JP2002508121A - 通信システムに関する方法および装置 - Google Patents

Abstract

(57)【要約】 本発明は、認証されていないクライアント局（１１、２０）と通信ネットワーク（１２）内のホスト局（１０、２１）との間のルート内に接続デバイス（１３〜１７、２２〜２８）を含み、各クライアント局（１１、２０）、ホスト局（１０、２１）および前記接続デバイス（１３〜１７、２２〜２８）のうちの少なくとも一部にユニークなアイデンティティが与えられており、最初の検証を実行する工程を含み、通信ネットワーク（１２）内のホスト局（１０、２１）にアクセスする際の認証されていないクライアント局（１１、２０）を検出し、および／またはトラッキングするための方法および装置に関する。この方法は、前記最初の検証が認証された場合に、アイデンティティの問い合わせを伝えることにより、前記ルート内の前記デバイスの各々のユニークなアイデンティティを検索する工程と、ユニークなアイデンティティを有する少なくとも各デバイスのアイデンティティを含む、アイデンティティ問い合わせ応答メッセージを収集する工程と、前記応答メッセージ内に含まれる各デバイスおよび／または局の各ユニークなアイデンティティと認証されたアイデンティティのリストとを比較する工程と、比較の結果に基づき、アクセスを拒否または受け入れる工程とを備えた、別のルート管理工程を含むことを特徴とする、認証されていないクライアント局を検出し、および／またはトラッキングする。

Description

【発明の詳細な説明】 通信システムに関する方法および装置 発明の技術的分野 本発明は、通信ネットワークにおけるホストに、認証されていないクライアン ト局がアクセスしようとする試みを検出し、好ましくはトラッキングするための 方法および装置に関する。この通信ネットワークは複数の接続デバイスを含み、 少なくとも各接続デバイスは１つのユニークなアイデンティティを有する。 本発明は、セキュリティ装置を有する通信ネットワークにも関する。 関連技術の説明 近年、例えばコンピュータ、移動電話などを使ったデジタル化通信技術は劇的 に変化した。これら変化はユーザーを助け、より高速で、かつ良好な通信を可能 にしたことを除けば、例えば会社または政府のコンピュータネットワークにアク セスし、情報を検索し、変更または削除したり、もしくは電話、交換ボードなど を使って、重罪に値する利益を得ようとすることにより、多少犯罪的な行動、例 えば詐欺を行うのに基本的に高度な通信手段の利点および可能性を利用する機会 を、一部の人に与えることとなった。 インターネット、コンピュータのグローバルなネットワークおよびコンピュー タネットワークも、画像、音声および他のデータを簡単でかつ安価な方法で転送 できるようにすることによってグローバルな通信に寄与している。 この結果、会社、政府官庁、大学などは内部ユーザーおよび外部ユーザーに、 対応する情報を供給し、更に互いに通信も行うためにインターネットを通して自 らのネットワークを接続している。 インターネットは公的なネットワークであるので、すなわちコンピュータおよ び通信デバイス、例えばモデムを有する誰もが、インターネットプロバイダのサ ーバー（ＩＰＳ）を通してインターネットにアクセスし、互いに通信したり、ま た情報を検索することができる。インターネットは多数の人々に多量の情報を分 配するための優れた態様における最も高速かつ最も効果的な方法である。 インターネットの「コア」はスタンドアローンまたはネットワーク内で接続さ れた極めて多数のコンピュータを含み、これらコンピュータは所定のプロトコル 、特に伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）を使っ て実質的に直接情報を交換できる。 各コンピュータまたはコア内の接続デバイスはＩＰアドレスにより互いに分離 されており、このＩＰアドレスはネットワーク番号から成る。ＩＰアドレスがデ バイス（コンピュータ）へ永続的に割り当てられているケースもあれば、ＩＰア ドレスがコンピュータに一時的に割り当てられているケースもある。ＩＰアドレ スは接続されている各コンピュータ／デバイスに対しネットワーク内のユニーク なアイデンティティを与えている。 データ伝送は、例えば光ファイバー回線、衛星リンクおよび電話回線を介して 実行できる。 現在ではホストシステムに接続された、または接続しようとしているクライア ントまたはユーザーワークステーションを完全に識別することはできない。また 、完全かつ高速に不正なワークステーションを識別することは不可能であり、よ って部分的な識別が可能であったとしても、ユーザーを識別することは不可能で ある。 ネットフークにアクセスする際、通常、ユーザーを認証するためには、通常ロ グイン手続きが実行される。この認証は、まずネットワークにアクセスするのに 使用すべきユーザー名を宣言するクライアントによって働く。次に、サービスを 提供するサーバーが許容できる一組の認証方法によって応答する。次にクライア ントは認証リクエストを送り、この対話はアクセスが許可または否定されるまで 続く。認証方法はシステムごとに異なり、一部の方法は次のとおりである。 none 認証がＯＫでないかどうかをチェックする password アクセスをするためにパスワードを必要とする従来のパスワー ド認証 secureid セキュアＩＤ認証は、ユーザーがトークン上にディスプレイさ れたコードを入力した場合に、タイミングに基づいて行うハー ドウェアトークン識別である。 また、オンタイムのパスワードおよび同様な方法も利用できる。他の方法とし て、秘密鍵の所有を認証とする公開鍵についても触れることができる。 認証手続きを安全にするための方法およびアルゴリズムを開発するために、多 大な努力が払われているが、パスワードのようなシステムのユーザーよりも安全 なシステムはなく、キーが正当でない人に所有される可能性もある。インターネ ットの場合でも、問題なくネットワークにアクセスできるようにするＩＰアドレ スも偽造が可能である。 偽造されたＩＰアドレスにより、例えばフラッディング（Flooding）などによ ってインターネットサービスプロバイダを攻撃することも可能である。フラッデ ィングとはリーチできないソース（ＩＰ）アドレスを目標とするホストコンピュ ータに対して使用し、これにより応答を待つリソースをリザーブせんとする方法 である。攻撃者は送られる新しいアクセスパケットごとに偽のソースアドレスを 繰り返し変更し、別の追加されるホストリソースを使い尽くす。次に、攻撃者が ソースアドレスとして、ある有効なアドレスを使用した場合、攻撃を受けたシス テムは多数の回答パッケージを送ることにより応答し、最後に、この結果、性能 が劣化しシステムもクラッシュすることとなる。 米国特許第5,619,657号は、管理サーバー間の相互関係を証明するために信頼 関係のデータベースを利用する管理サーバーのネットワークのための安全設備を 提供する方法を教示している。この方法は特にネットワークを通し、システムに 口座を創り出すことに関する。管理オペレーション（ＭＯ）は、オペレーション にランチを供するユーザーのアイデンティティも含む。ＭＯはインターフェース を通して管理サーバー（ＭＳ）のディスパッチャーへ転送される。このＭＳはロ ーカルシステムによって提供される管理サービスのためのリクエストを統括する 他に、ネットワーク内の他のローカルシステムへの安全なパス上でＭＯをルーテ ィングしたり、ローカルシステムのセキュリティを管理する責任もある。ＭＳは 管理サーバー間の信頼性のある関係を維持するデータベースによって正しいリン クを決定する。自律的ネットワークユーティリティにより、通信プロトコルの実 行と独立して、信頼性のある関係のリストが生成される。各ＭＳは１つのリスト を含み、これらリストは２つのカテゴリー、すなわち信頼性のある受け手と信頼 性のある送り手とに分割されている。信頼性のあるリストに基づき、オペレーシ ョンの転送が実行される。要約すると、データベースはＭＯを実行するネットワ ーク内のルート内の各リンクにおいて、ＭＳの信頼関係によって決定される安全 なパスに沿って、あるＭＳから別のＭＳへＭＯをルーティングするための手段を 提供する。 概要 特にコンピュータネットワークでは、セキュリティを高めるための、簡単で効 果的、かつストレートフォワードな方法を提供する通信システムにおける方法お よび装置が設けられている。 更に、実質的に利用できる手続きを使用することにより、ユーザー局またはプ ロセスによって通信システム内でのサービス提供デバイスなどに対する不正なア クセスの試みを検出できる方法および装置も求められている。 本発明に係わる方法および装置を実現することにより、不正なユーザー局の位 置をトレースする高速の方法が提供される。 従って、本発明の方法は、ネットワークへのアクセスを試みるクライアント局 のアイデンティティが最初に認証されて制御される場合に、アイデンティティの 問い合わせを伝えることにより、前記ルート内の前記デバイスの各々のユニーク なアイデンティティを検索する工程と、ユニークなアイデンティティを有する少 なくとも各デバイスのアイデンティティを含む、アイデンティティ問い合わせ応 答メッセージを収集する工程と、前記応答メッセージ内に含まれる各デバイスお よび／または局の各ユニークなアイデンティティと認証されたアイデンティティ のリストとを比較する工程と、比較の結果に基づき、アクセスを拒否または受け 入れる工程とを更に含む。 本発明の有利な実施例では、最初の検証はクライアント局のアイデンティティ を制御し、このアイデンティティと認証されたアイデンティティおよび／または クライアント局が行ったアクセスの回数のリストとを比較することを含む。クラ イアントのアイデンティティが認められ、第１回のアクセスが検出された場合に 、本方法は更に、前記ルート内の前記デバイスの各々のユニークなアイデンティ ティを検索する工程と、前記クライアント局のためのデータベースが、接続ルー ト を記憶するようにさせる工程と、アイデンティティを有する各デバイスによって 送られるユニークなアイデンティティを有し、データベース内で応答するように なっている各デバイスのアイデンティティを含む工程とを含む。 アイデンティティの条件を伝え、アイデンティティの条件の応答メッセージを 収集することにより、各デバイスのアイデンティティを収集できるようにするこ とが可能である。リストが前記応答メッセージ内で受信された前記アイデンティ ティを含むようにし、前記アイデンティティリストがルートリストを構成するよ うにし、前記リストと認証されたルートリストのリストとを比較する。 一実施例では、ルート制御の前に、クライアント局のアイデンティティと既知 の認証されたクライアントのリストとの比較を実行し、この比較はルート制御後 も行うことが可能である。 好ましい実施例では、通信ネットワークはコンピュータネットワークであり、 ユニークなアイデンティティがはライアント局、ホスト局および前記接続デバイ スのうちの少なくともいくつかのＩＰアドレスである。 通信ネットワークがインターネットであることが好ましく、この通信ネットワ ークは、イントラネット／イクストラネットでもよい。 別の実施例では、拒否する場合にアラーム信号を発生するか、またはトレース 手続きを実行する。 一実施例では、アイデンティティの競合のエラーおよび／または他のエラーに ついて質問するエラーメッセージの問い合わせを、各デバイスまたは全てのデバ イスに送る。 本発明によれば、通信ネットワークへの認証されていないユーザーのアクセス を検出し、および／またはトラッキングをするためのセキュリティ装置が提供さ れる。このネットワークは、少なくとも１つのクライアント局と、少なくとも１ つのホスト局と、前記クライアント局とホスト局との間のルート内にある接続デ バイスとを含み、各クライアント局、ホスト局および前記接続デバイスの少なく とも一部にユニークなアイデンティティが与えられている。前記装置は、前記ホ スト局とクライアント局と接続デバイスとの間で通信をするための手段と、情報 および命令を記憶するためのメモリユニットと、ログイン時にクライアント局の アクセスをフェッチするための手段と、ユーザーのアクセスと記憶されたアクセ スリストとを比較するための手段と、デバイスのアクセスの問い合わせを伝える ための手段と、ユニークなアイデンティティを含む前記問い合わせへの応答を識 別し、収集するための手段と、前記収集されたアイデンティティとアイデンティ ティの記憶リストとを比較するための手段とを含む。 前記ホスト局に前記装置が統合されていることが好ましい。前記接続デバイス は、ルータのうちのいずれか、すなわちブリッジ、ターミナルサーバー、ゲート ウェイ、ファイアーウォール、中継器、ＤＮＳ（ドメインネームシステム）のよ うなアプリケーションサーバー、メールハブ、ニュースサーバー、ＦＴＰ（ファ イル転送プロトコル）サーバー、ＷＷＷ（ワールドワイドウェブ）サーバー、ネ ットワーク管理システムおよび通信サーバーのようなインフラストラクチャデバ イスである。 発呼ユニットと、１つ以上の交換局と、リンクと、受信局とを備えた、本発明 に係わる通信ネットワークは、発呼ユニット、交換局／リンクの各々にユニーク なアイデンティティが与えられており、前記発呼ユニットのための音声を接続す る際の認証されていないユーザーを検出し、および／またはトラッキングするた めのセキュリティ装置を特徴とする。この装置は発呼ユニットのアイデンティテ ィを収集するための手段を更に含み、前記装置からのリクエスト時に交換局が発 呼ルートのためのリストを発生し、前記発呼ルートと認証された発呼ルートとを 比較し、発呼を受け入れまたは拒否するようになっている。 図面の簡単な説明 次に、添付した図面を参照い、下記において本発明について非限定的に説明す る。 図１は、本発明を実施したシステムの第１実施例の略図である。 図２は、図１に係わる実施例の機能を略図で示すフローチャートである。 図３は、本発明の別の実施例を示す。 実施例の詳細な説明 次に２つの非限定的実施例を参照し、本発明を開示する。第１実施例はＩＰア ドレス（ＴＣＰ／ＩＰプロトコル）を使ったコンピュータネットワークに基づく ものであり、かかるネットワークの例としてはインターネット、イントラネット ／イクストラネットがある。第２の実施例は通信ネットフークである。 当業者にはＴＣＰ／ＩＰプロトコルおよびＩＰアドレス構造は既知であると仮 定するが、この構造の動作は単にメッセージを小さいパッケージ、すなわちデー タグラムに分割することに基づいており、各データグラムは別々に伝送され、宛 て先サイトで元のメッセージとなるように集められる。これによりルートが使用 中である場合、パッケージは自由なルートをとることが可能となる。 図１は、少なくとも１つのサービスを提供するサーバー（ＳＰＳ）または統括 サーバー１０を含む。ユーザーまたはクライアント局（ＣＳ）１１は、１つまた は数個の接続デバイス１３〜１７を含むネットワーク１２を通してＳＰＳ１０に アクセスできる。ＳＰＳ１０、ＣＳ１１および実質的に各々の接続デバイスに１ のユニークなアイデンティティ（例えばＩＰアドレス）が与えられている。更に 、ＳＰＳ１０には記憶手段１０が配置されている。ＣＳ１１は公知の態様でネッ トワークカードによりローカルネットワーク内の他のコンピュータに接続された 別のローカルネットワークのメンバーでもよい。この場合、接続デバイス１３は ルータなどでよい。 ＩＰアドレスを有する接続デバイスは、次のうちのいずれでもよい。すなわち 、 ＊ ルータ ＊ インフラストラクチャデバイス、例えばブリッジ、ターミナルサーバー、 ゲートウェイ、ファイアウォール、リピーター ＊ アプリケーションサーバー、例えばＤＮＳ（ドメインネームシステム）、 メールハブ、ニュースサーバー、ＦＴＰ（ファイル転送プロトコル）サーバー、 ＷＷＷ（ワールドワイドウェブ）サーバー、ネットワーク管理システムなど ＊ 周辺デバイス、例えばプリンタ、プリンタサーバー、ＣＤ−ＲＯＭサーバ ー、通信サーバーなど 一般に上記デバイスは、問い合わせが向けられた場合、自分のユニークなアド レスを戻すようになっている。 図２のフローチャートを参照して次の非限定的作動例を読めば、本発明の基本 的概念が明らかとなろう。 クライアント局１１はアクセスリクエストを１つまたはいくつかのサーバー１ ０へ向ける（１００）。このサーバーはセキュリティ管理サーバーでもよい。次 に、パスワードなどを必要とするサーバー１０によって認証手順１０１が開始さ れる。次に、クライアント局からの回答はデータベース内に記憶されている、例 えばサーバー１０のデバイス１８内に記憶されている認証されたアイデンティテ ィのリストと比較される（１０２）。ユーザー名およびパスワードがリスト内に あれば、アクセスの第１工程が認められる。そうでない場合、公知の態様でアク セスは拒否（１０３）される。サーバー１０はＣＳ１１のＩＰアドレスをチェッ クするだけでよく、別の認証プロセスのためにこのＩＰアドレスを使用する。 アクセスの第１ステップが認められると、認証手順はサーバー（システム）に アクセスするクライアント局にとってこのアクセスが最初のアクセスであるかど うかをチェックする（１０４）。最初のアクセスであれば、クライアントに対す る新しいデータベースを構築する（１０５）。次に、この手順はネットワーク上 で問い合わせを伝える。この問い合わせはルート内で各デバイス１３〜１７へ向 けられる（１０６）か、またはデバイス１３〜１７の全てに伝えられる（１０７ ）。これにより、サーバー１０とクライアント局１１との間の通信が成立する。 この問い合わせはルート内の各接続デバイス１３〜１７のアイデンティティ（Ｉ Ｐアドレス）を求めるものである。デバイスにアイデンティティが与えられてい る場合、アイデンティティの問い合わせを受信した際にデバイスはアイデンティ ティを送り戻す。次にサーバーによって受信されたアイデンティティはデータベ ースに集められ、記憶される（１０８）。次にこの手順が最初のアクセスである 時、クライアント局はネットワーク（サービス）にアクセスすることが認められ る（１０９）。 ステップ１０４において、クライアント局の最初のアクセスでないと判断され た場合、クライアント局に関するデータを含むか、または先の章に従った手続き によって集められた接続デバイスのアイデンティティを含むクライアント局専用 のデータベースをオープンする。次に、手続きはネットワーク上で問い合わせを 伝え、この問い合わせはルート内の各デバイス１３〜１７へ向けられるか（１１ １）、または全てのデバイス１３〜１７へ向けられる（１１２）。これによりサ ーバー１０とクライアント局１１との間の通信が成立する。問い合わせはルート 内の各接続デバイスにアイデンティティ（ＩＰアドレス）を求める。アイデンテ ィティの問い合わせを受信した際に、デバイスにアイデンティティが提供されて いる場合、デバイスはそのアイデンティティを送り戻す。サーバーが受信したア イデンティティは次にデータベースに集められ、データベース内のアイデンティ ティのリストと比較される（１１３）。アイデンティティのリストが確認される と、アクセスが受け入れられる（１０９）。そうでない場合、アラームが発生さ れる（１１４）。物理的サイトに対応する各接続デバイスのアイデンティティが 検索される際に、ユーザー名、パスワードおよびＩＰアドレスが偽造されていて も、クライアント局の物理的ロケーションをトレースすることが可能である（１ １４）。 更に、許可なく偽のルートを構築したり、ＩＰアドレスを変更したりする試み を管理することが可能である。装置はアイデンティティの問題に関連するアイデ ンティティの競合またはエラーメッセージについて接続デバイスに質問をする問 い合わせを送信することができる。アイデンティティの競合またはエラーメッセ ージが検出された場合、システムはこの検出をシステムオペレータへ報告し、マ ニュアルによる制裁を求めることができる。 第１回目のアクセスの制御は、例えばクライアント局のアイデンティティ（例 えばユーザー名またはＩＰアドレス）が存在することに関し、対応するデータベ ースを検査することによって実行される。あるケースでは、ルート内のアイデン ティティは例えば永久的アイデンティティを有する接続デバイスが交換されたり 、またはメッセージが別のルートをとった際に変わり得る。これらのケースでは 、好ましくはクライアント局が認証されたクライアントによって運用されている ことをダブルチェックした後に、データベースに新しいアイデンティティルート を追加することができる。また、接続デバイスが、この交換を制御データベース へ報告し、よってサーバーが可能な変更をチェックできるようにすることもでき る。実験によれば、ＴＣＰ／ＩＰに基づくネットワーク内のデータグラムは実質 的に常に同じルートをとることが証明されている。 ルートの承認ステップ１０８または１１３の後に、ユーザー名およびパスワー ドを求める最初の認証手続きを実行する（１０２）ことも可能である。 デバイスのアイデンティティに対する問い合わせは現行の手続きまたは特別な 手続きを使って実行できる。データパケット状をした「エコーリクエスト」を遠 隔地のホストへ送り、各デバイスからの各エコー回答を待つことも可能である。 ルートトレース機能を使用することにより、サーバーはＩＰパケットが従ったネ ットワーク、インターネットまたはイントラネットのホストまでの実際のルート をトレースし、登録できる。「フィンガー」機能はログオンされたユーザーを遠 隔地のシステムへ戻す。遠隔地の登録およびドメインに関する情報（ＷＨＯＩＳ ）からの入力を戻すメッセージを送ることも可能である。また、例えば各々をピ ンジング(pinging)することによって、好ましくは指定されたレンジのＩＰアド レスにわたってネットスキャニング機能を使用することも可能であり、これによ ってネームを戻し、これらネームを可能なホストファイルへ追加できる。 フラッディング攻撃を阻止するために、本発明を利用することにより、サーバ ーは（偽造された）ＩＰアドレスの発信点に対するルートを管理し、必要であれ ば適当な措置をとり、よってシステムの性能を劣化させるような不要なＡＣＫ／ ＲＥＱ送信を回避できる。 ＩＰアドレスを有しないデバイスが、サーバーのルートデータベース内に記憶 できるような他のユニークなアイデンティティを有するようにすることも可能で ある。 図３は、本発明に係わる方法を使用する通信システムを示す。このシステムは 発呼ユニット２０と、受信ユニット２１と、接続デバイスとを含み、接続デバイ スは基地局２２、交換ボード２３、２８、リンク２４、衛星中継器２５、２７お よび衛星２６のうちの１つまたはいくつかでよい。デバイス２０〜２８のうちの 各々にはユニークなアイデンティティが与えられていることが好ましい。発呼を 交換する際には、基地局２８または受信ユニット２１には各認証された発呼ユニ ット２０からの発呼に対する呼ルートを含むデータベースが設けられて言うこと が好ましい。特にデジタル化されたネットワークでは、各デバイスは自動的、も しくはリクエスト時に、基地局２８または受信ユニット２１へのメッセージに、 そのアイデンティティを追加するようにできる。ルート内のデバイスの受信され たリストを使用することにより、基地局２８または受信ユニット２１は発呼を認 めるかどうかを判断できる。この実施例はコンポーネントがアイデンティティを 有するか、またはこれらコンポーネントにアイデンティティを提供できるように なっている任意の通信システム、例えばＧＳＭ、ＮＭＴなどに適用できる。 このシステムはセキュリティ発呼、銀行取引などに対して特に有効となり得る 。 本発明はこれまで説明した実施例のみに限定されるものでなく、添付した請求 の範囲から逸脱することなく、種々の態様に変形でき、装置および方法はアプリ ケーション、機能的ユニット、ニーズおよび必要性などに応じて種々の態様で実 現できる。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＭＬ，ＭＲ， ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，ＫＥ，Ｌ Ｓ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ)，ＡＬ ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ， ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，Ｅ Ｅ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＧＭ，ＧＷ，ＨＵ ，ＩＤ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ， ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，Ｍ Ｄ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ， ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＳ，Ｕ Ｚ，ＶＮ，ＹＵ，ＺＷ 【要約の続き】 ィティと認証されたアイデンティティのリストとを比較 する工程と、比較の結果に基づき、アクセスを拒否また は受け入れる工程とを備えた、別のルート管理工程を含 むことを特徴とする、認証されていないクライアント局 を検出し、および／またはトラッキングする。

Claims (1)

1. 【特許請求の範囲】 １．認証されていないクライアント局（１１、２０）と通信ネットワーク（１ ２）内のホスト局（１０、２１）との間のルート内に接続デバイス（１３〜１７ 、２２〜２８）を含み、各クライアント局（１１、２０）、ホスト局（１０、２ １）および前記接続デバイス（１３〜１７、２２〜２８）のうちの少なくとも一 部にユニークなアイデンティティが与えられており、最初の検証を実行する工程 を含み、通信ネットワーク（１２）内のホスト局（１０、２１）にアクセスする 際の認証されていないクライアント局（１１、２０）を検出し、および／または トラッキングするための方法であって、 前記最初の検証が認証された場合に、本方法が、 −アイデンティティの問い合わせを伝えることにより、前記ルート内の前記デ バイスの各々のユニークなアイデンティティを検索する工程と、 −ユニークなアイデンティティを有する少なくとも各デバイスのアイデンティ ティを含む、アイデンティティ問い合わせ応答メッセージを収集する工程と、 −前記応答メッセージ内に含まれる各デバイスおよび／または局の各ユニーク なアイデンティティと認証されたアイデンティティのリストとを比較する工程と 、 −比較の結果に基づき、アクセスを拒否または受け入れる工程とを備えた、別 のルート管理工程を含むことを特徴とする、認証されていないクライアント局を 検出し、および／またはトラッキングするための方法。 ２．前記最初の検証がクライアント局（１１、２０）のアイデンティティを制 御し、このアイデンティティと認証されたアイデンティティのリストとを比較す ることを含むことを特徴とする、請求項１記載の方法。 ３．前記最初の検証がクライアント局（１１、２０）が行ったアクセスの回数 を制御することを含むことを特徴とする、請求項１または２記載の方法。 ４．クライアントのアイデンティティが認められ、第１回のアクセスが検出さ れた場合に、本方法は更に、 −前記ルート内の前記デバイス（１３〜１７、２２〜２８）の各々のユニーク なアイデンティティを検索する工程と、 −前記クライアント局のためのデータベースが、接続ルートを記憶するように させる工程と、 −アイデンティティを有する各デバイスによって送られるユニークなアイデン ティティを有し、データベース内で応答するようになっている各デバイス（１３ 〜１７、２２〜２８）のアイデンティティを含む工程とを備えたことを特徴とす る、請求項３記載の方法。 ５．アイデンティティの条件を伝え、アイデンティティの条件の応答メッセー ジを収集することにより、各デバイスのアイデンティティを収集することを特徴 とする、請求項４記載の方法。 ６．リストが前記応答メッセージ内で受信された前記アイデンティティを含む ようにさせ、前記アイデンティティリストがルートリストを構成するようにし、 前記リストと認証されたルートリストのリストとを比較することを特徴とする、 請求項４記載の方法。 ７．ルート制御の前に、クライアント局のアイデンティティと既知の認証され たクライアントのリストとの比較を実行することを特徴とする、請求項２記載の 方法。 ８．ルート制御の後に、クライアント局のアイデンティティと既知の認証され たクライアントのリストとの比較を実行することを特徴とする、請求項２記載の 方法。 ９．前記通信ネットワークがコンピュータネットワーク（１２）であることを 特徴とする、請求項１〜８のいずれかに記載の方法。 １０．前記ユニークなアイデンティティがクライアント局（１１）、ホスト局 （１１）および前記接続デバイス（１３〜１８）のうちの少なくともいくつかの ＩＰアドレスであることを特徴とする、請求項９記載の方法。 １１．前記通信ネットワークがインターネットであることを特徴とする、請求 項９または１０記載の方法。 １２．前記通信ネットワークがイントラネット／イクストラネットであること を特徴とする、請求項９または１０記載の方法。 １３．拒否する場合にアラーム信号を発生することを特徴とする、請求項１〜 １２のいずれかに記載の方法。 １４．拒否する場合にトレース手続きを実行することを特徴とする、請求項１ 〜１３のいずれかに記載の方法。 １５．アイデンティティの競合のエラーおよび／または他のエラーについて質 問するエラーメッセージの問い合わせを、各デバイスまたは全てのデバイスに送 ることを特徴とする、請求項１記載の方法。 １６．最初の検証に失敗した場合に、アクセスを拒否することを特徴とする、 請求項１記載の方法。 １７．少なくとも１つのクライアント局（１１）と、少なくとも１つのホスト 局（１０）と、前記クライアント局とホスト局との間のルート内にある接続デバ イス（１３〜１７）とを含み、各クライアント局、ホスト局および前記接続デバ イスの少なくとも一部にユニークなアイデンティティが与えられている、通信ネ ットワーク（１２）への認証されていないユーザーのアクセスを検出し、および ／またはトラッキングするためのセキュリティ装置において、 前記装置が、前記ホスト局とクライアント局と接続デバイスとの間で通信をす るための手段と、情報および命令を記憶するためのメモリユニットと、ログイン 時にクライアント局のアクセスをフェッチするための手段と、ユーザーのアクセ スと記憶されたアクセスリストとを比較するための手段と、デバイスのアクセス の問い合わせを伝えるための手段と、ユニークなアイデンティティを含む前記問 い合わせへの応答を識別し、収集するための手段と、前記収集されたアイデンテ ィティとアイデンティティの記憶リストとを比較するための手段とを備えたこと を特徴とするセキュリティ装置。 １８．前記ホスト局（１０）に前記装置が統合されていることを特徴とする、 請求項１７記載の装置。 １９．前記装置が管理サーバーと別個に配置されていることを特徴とする、請 求項１７記載の装置。 ２０．ルートリストを自動的に更新することを特徴とする、請求項１７〜１９ のいずれかに記載の装置。 ２１．前記接続デバイスがルータのうちのいずれか、すなわちブリッジ、ター ミナルサーバー、ゲートウェイ、ファイアーウォール、中継器、ＤＮＳ（ドメイ ンネームシステム）のようなアプリケーションサーバー、メールハブ、ニュース サーバー、ＦＴＰ（ファイル転送プロトコル）サーバー、ＷＷＷ（ワールドワイ ドウェブ）サーバー、ネットワーク管理システムおよび通信サーバーのようなイ ンフラストラクチャデバイスであることを特徴とする、請求項１７〜２０のいず れかに記載の装置。 ２２．発呼ユニット（２０）と、１つ以上の交換局と、リンク（２２〜２８） と、受信局（２１）とを備えた通信ネットワークにおいて、発呼ユニット（２０ ）、交換局／リンク（２２〜２８）の各々にユニークなアイデンティティが与え られており、前記発呼ユニット（２０）のための音声を接続する際の認証されて いないユーザーを検出し、および／またはトラッキングするためのセキュリティ 装置であって、 前記装置が発呼ユニット（２０）のアイデンティティを収集するための手段を 更に含み、前記装置からのリクエスト時に交換局（２２〜２８）が発呼ルートの ためのリストを発生し、前記発呼ルートと認証された発呼ルートとを比較し、発 呼を受け入れまたは拒否するようになっていることを特徴とする通信ネットワー ク。