JP2005193590A

JP2005193590A - 印刷装置

Info

Publication number: JP2005193590A
Application number: JP2004004115A
Authority: JP
Inventors: Hiroki Shono; 広希庄野
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 2004-01-09
Filing date: 2004-01-09
Publication date: 2005-07-21

Abstract

【課題】ネットワーク経由のアタックに対して安全性が高く、且つ管理者の負担を軽減させることが可能な印刷装置を提供する。
【解決手段】ＩＰアドレスで構成されるアドレス帳を参照することによって、特定のＩＰアドレスを持つ装置との通信を許可／禁止することが可能な印刷装置において、印刷装置自身がネットワーク攻撃を検知することが可能な手段と、印刷装置が攻撃されていると検知された場合、攻撃元のＩＰアドレスからの通信を遮断する手段と、攻撃元のＩＰアドレスをアドレス帳に追加する手段と、攻撃元のＩＰアドレスを他のデバイスに通知する手段と、通知を受信した場合、受信したデータに含まれるＩＰアドレスとの通信を遮断する手段を備える。
【選択図】図１

Description

本発明はネットワークに接続した印刷装置のセキュリティ機構に関わり、特に他の端末からの攻撃を防御し、攻撃者の情報をネットワーク上に通知する印刷装置のセキュリティ機構に関する。

現在まで、攻撃者を防ぐために用意されている手段としては、暗号またはファイアウォールが標準的かつ普通である。前者は、通信の途中でのデータの改暫や盗聴を防ぐ事ができる事に特徴がある。また、後者は、ネットワークの一定の範囲をその外部から保護する事に特徴がある。ここでは特に後者の場合について考察する。まずファイアウォールとは、保護されたネットワーク（ローカルネットワーク）と、インターネットまたは他のネットワーク群との間に設置され、その間のアクセスを制限するための、コンポーネントあるいはコンポーネント群のことである。それを設置すると、すべての内外からのデータは、ファイアウォールを通過するため、セキュリティの方針によって決められたデータのみ、通過させるという制御が可能となる（例えば、特許文献１参照）。

また、ファイアウォール内の個々の端末で、起動しているプロセスの個数、ネットワークインターフェイスのトラフィック、特定ファイルのアクセス状況等の内部状態を監視することにより、侵入検出を行い、異常と判断した場合に、自計算機のリソースアクセスの制御および、ファイアウォールを含む他計算機への侵入の通知を行うものである。
特開２０００−１２５０６２号公報

前述のファイアウォールを使用したネットワークセキュリティシステムにおいては、ネットワーク管理者はファイアウォールを使用することにより、監視する範囲を限定することができる反面、クラッカーがファイアウォールをすり抜けてローカルネットワーク内に侵入した場合に、ローカルネットワーク内の端末に攻撃を仕掛けられる可能性がある。この場合には、ローカルネットワーク内の端末には攻撃の防御機能や検知機能が入っていないために、容易に侵入される場合が存在する。

また、ローカルネットワーク内に存在する各端末がネットワークアクセスを監視することにより、侵入検出を行い、異常と判断した場合に、自計算機のリソースアクセスの制御及び、ファイアウォールを含む他計算機への侵入の通知を行うシステムも提案されているが、各端末内での通知情報の管理のし易さなどに問題がある場合があった。

本発明はこのような事情を考慮してなされたものであり、その目的とするところは、ネットワーク経由での攻撃を受けた場合にその攻撃を検知し、攻撃元との通信を遮断することが可能な印刷装置を提供することにより印刷装置の管理者への負担の軽減を図る。また、印刷装置が攻撃を検知した際に、攻撃者の情報を他の印刷装置や端末に通知することにより、攻撃による事態の悪化を未然に防止して、管理者の負担の軽減を図ることにある。

この発明は下記の構成を備えることにより上記課題を解決できるものである。

（１）ネットワークに接続するためのネットワークインターフェイス部（ＮＩＣ部）を備え、特定の端末からのネットワーク経由での通信の許可／禁止を行うことが可能な印刷装置であって、前記印刷装置は、ネットワーク経由で取得したパケットを監視するためのパケット監視手段と、前記パケット監視手段を使用することによって受信したパケットが前記印刷装置へのネットワーク攻撃であるか否かを判断するための攻撃検知手段と、ネットワーク経由での通信の許可／禁止の対象となる特定の端末のネットワーク識別子をアドレスブックとして保持するアドレスブック管理手段とを備え、前記印刷装置は前記攻撃検知手段によって、前記印刷装置自身がネットワーク経由での攻撃を受けていると検知した場合、前記パケット監視手段は攻撃パケットの送信元端末のネットワーク識別子を認識し、前記アドレスブック管理手段は前記ネットワーク識別子を通信禁止端末として前記アドレスブックに対して書き込み、また前記攻撃パケットの送信元端末からの通信を遮断することを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。

（２）前記（１）に於いて、前記端末のネットワーク識別子とはＩＰアドレスであることを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。

（３）前記（１）に於いて、前記アドレスブック及びアドレスブック管理手段は、通信の許可及び禁止をそれぞれ複数個ずつ独立して保持することが可能であることを特徴とするネットワークセキュリティ機構を備えることを特徴とした印刷装置。

（４）ネットワークに接続するためのネットワークインターフェイス部（ＮＩＣ部）を備え、特定の端末からのネットワーク経由での通信の許可／禁止を行うことが可能な印刷装置であって、前記印刷装置は、ネットワーク経由で取得したパケットを監視するためのパケット監視手段と、前記パケット監視手段を使用することによって受信したパケットが前記印刷装置へのネットワーク攻撃であるか否かを判断するための攻撃検知手段と、前記印刷装置が接続されるネットワーク上に存在する他のデバイスのネットワーク識別子をリストとして保持する印刷装置アドレス保持手段と、前記印刷装置が接続されるネットワーク上の特定の装置に対してネットワーク経由で情報を通知する情報通知手段とを備え、前記印刷装置は前記攻撃検知手段によって、前記印刷装置自身がネットワーク経由での攻撃を受けていると検知した場合、前記パケット監視手段は攻撃パケットの送信元端末のネットワーク識別子を認識し、前記印刷装置アドレス保持手段に保持されているネットワーク識別子の宛て先に対して、前記情報通知手段は攻撃パケットの送信元端末のネットワーク識別子の情報を通知することを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。

（５）前記（４）に於いて、前記他のデバイスのネットワーク識別子とはＩＰアドレスであることを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。

（６）ネットワークに接続するためのネットワークインターフェイス部（ＮＩＣ部）を備え、特定の端末からのネットワーク経由での通信の許可／禁止を行うことが可能な印刷装置であって、前記印刷装置は、ネットワーク経由で取得したパケットを監視するためのパケット監視手段と、ネットワーク経由で取得したパケットが、ネットワークの攻撃者（クラッカー）の通知情報であるか否かを認識し、クラッカーのネットワーク識別子を認識するための情報認識手段と、ネットワーク経由での通信の許可／禁止の対象となる特定の端末のネットワーク識別子をアドレスブックとして保持するアドレスブック管理手段とを備え、前記ＮＩＣ部が受信したパケットが、他のデバイスから送られてきたクラッカーの通知情報であった場合、前記アドレスブック管理手段は前記クラッカーのネットワーク識別子を通信禁止端末として前記アドレスブックに対して書き込み、また前記クラッカーのネットワーク識別子からの通信を遮断することを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。

（７）前記（６）に於いて、前記ネットワーク識別子とはＩＰアドレスであることを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。

（８）前記（６）に於いて、前記アドレスブック及びアドレスブック管理手段は、通信の許可及び禁止をそれぞれ複数個ずつ独立して保持することが可能であることを特徴とするネットワークセキュリティ機構を備えることを特徴とした印刷装置。

本発明によれば印刷装置自身がネットワーク攻撃を検知することが可能であるため、攻撃を検知した場合には攻撃元から送信されるＩＰパケットの受信を禁止して、同時に通信禁止アドレス帳に攻撃元のＩＰアドレスを追記するため、印刷装置の管理者の負担を軽減させ、且つ安全な印刷装置を提供することが可能になる。また、検知した攻撃元ＩＰアドレスを他の装置に通知する機能を備えることにより、それぞれの装置の管理者の負担を軽減させることが可能になる。また、攻撃元ＩＰアドレス情報の通知を受信した印刷装置は、攻撃元から送信されるＩＰパケットの受信を禁止して、同時に通信禁止アドレス帳に攻撃元のＩＰアドレスを追記するため、印刷装置の管理者の負担を軽減させ、且つ安全な印刷装置を提供することが可能になる。

このように、本発明によれば印刷装置単体としてのセキュリティ機能の確保と、ネットワーク全体としてのセキュリティの確保を両立することが可能になる。

以下本発明を実施するための最良の形態を、実施例により詳しく説明する。

本発明の第一の実施例について説明する。

図１は本実施例のシステム構成を示すブロック図である。印刷装置１０１はネットワークインターフェイスを供えたＭＦＰ（ＭｕｌｔｉＦｕｎｃｔｉｏｎＰｅｒｉｐｈｅｒａｌ）であり、ネットワーク経由で印刷ジョブを受信したり、使用者が端末装置上で動作するアプリケーションソフトを使用することによって印刷装置１０１の情報の参照や設定が可能である。また印刷装置１０２及び１０３も、ネットワーク印刷装置としての基本的な能力は印刷装置１０１同様であり、ＭＦＰであるものとする。印刷装置１０１及び１０２、１０３の構成に関しては、図２を用いて後述する。ＬＡＮ１０４は一般的にいわれるところのＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）であり、イーサネット（Ｒ）（Ｅｔｈｅｒｎｅｔ（Ｒ））であるものとする。印刷装置１０１及び１０２、１０３や後述のファイアウォール１０６や端末１０７は全てネットワークインターフェイスカード（ＮＩＣ）によってＬＡＮ１０４に接続される。ＬＡＮ１０４に接続される各端末や各印刷装置はイーサネット（Ｒ）ケーブルやハブ（ＨＵＢ）などを介して接続される。なお、ここでのＬＡＮの種別はイーサネット（Ｒ）であるが、これは限定されるものではなく、一般的にＬＡＮを形成するものであればよい。例えばトークンリング（ＴｏｋｅｎＲｉｎｇ）などであってもよい。インターネット１０５は一般的にいわれるところのインターネット（Ｉｎｔｅｒｎｅｔ）そのものであり、ＴＣＰ／ＩＰによるパケット通信をベースとするネットワークプロトコルによって、世界中のコンピュータを相互接続したネットワークの総称。

ローカルなＬＡＮを相互接続した形態をとっており、インターネットに参加する世界のユーザ同士が相互に通信できるようにしているため、インターネットはネットワークのネットワークと呼ばれる。ファイアウォール１０６は外部（インターネット１０５）からの不正なパケットをＬＡＮ１０４内に送るのを防ぐために設けられている。一般的なファイアウォールとは、組織内部のローカルなネットワークとその外部に広がるＩｎｔｅｒｎｅｔとの間に、外部からの不正なアクセスを防ぐ目的で設置されるルータやホストコンピュータ、またはその機能的役割のことである。その名前の由来は火の手を防いで延焼を食い止める「防火壁（ｆｉｒｅｗａｌｌ）」に因んでいる。機能的には、組織内外からの通信要求を全て捕捉し、恣意的に通過させたり禁止したりすることによって、必要なサービスだけをユーザに提供しつつ、セキュリティを確保する。ただし、ファイアウォールの構築方法には特に決まった形式があるわけではなく、その組織のセキュリティに対するポリシー（方針）によって大きく異なる。一般的には、セキュリティを強化するとユーザに提供できるサービスが限定されたり制限を受けたりする。逆に、インターネットのサービスを比較的自由に使えるようにすると、その分安全性は低下する。必要なサービスだけを恣意的に通過させる方法として、アプリケーションゲートウェイ（Ｐｒｏｘｙ）、サーキットレベルゲートウェイ、パケットフィルタの３種類があるが、実際のシステムではこれらを柔軟に組み合わせて安全性の高いファイアウォールシステムを構築している。本実施例でのファイアウォール１０６の役割は、どのような種類のＩＰパケットをＬＡＮ１０４への進入を禁止するかを規定するデータが書き込まれるファイル（フィルタ設定ファイル）を有しており、このフィルタ設定ファイルで、ＬＡＮ１０４への進入が禁止された種類のＩＰパケットがインターネット１０５側から送信されてきたときに、そのＩＰパケットを廃棄してＬＡＮ１０４への進入を阻止する。そして、フィルタ設定ファイルで、ＬＡＮ１０４への進入が禁止されていないＩＰパケットが送信されてきたときには、それをＬＡＮ１０４に転送する。端末装置１０７はパーソナルコンピュータであり、印刷装置１０１に印刷データを送出したり、各プロトコルを使用してＬＡＮ１０４に接続される各装置と通信を行うことが可能である。

次に、印刷装置１０１の構成について説明する。上述のような印刷装置１０１の主なる構成は、例えば図２に示すように、デバイス全体の動作制御を司るＣＰＵ２０１と、ＣＰＵ２０１での動作制御のための各種プログラムやデータ等が格納されるＲＯＭ２０２と、ＣＰＵ２０１の主メモリや作業用エリア等を含むＲＡＭ２０３と、デバイス機能（プリンタ機能やコピー機能等）のエンジン２０４と、エンジン２０４の駆動を制御するエンジンコントローラ２０５と、ユーザから各種操作指示を受け付けたり種々の情報を表示するパネル２０６と、パネル２０６での入出力をコントロールしたりパネル２０６を管理するパネルコントローラ２０７と、各種プログラムやデータを記憶するためのハードディスクドライブ２０８とを備える。ハードディスクドライブ２０８に保持されるデータやプログラムに関しての詳細な説明は後述とする。また印刷装置１０４は、ハードディスクドライブ２０８とのアクセスを制御するディスクコントローラ２０９と、不揮発性ＲＡＭ２１０と、ＬＡＮ１０４を介して他の端末や印刷装置と双方向にデータをやりとりするためのネットワークインターフェイスカード２１１とを備えている。前述のハードディスクドライブ２０８はＣＰＵ２０１によって実行されるプログラムや各プログラムによって使用されるデータが格納されている。本実施例において、ハードディスクドライブ２０８に格納されている主なプログラムやデータには以下のものが挙げられる。パケット解析ソフトウェア２１２はネットワークインターフェイスカード２１１が受信したＩＰパケットを解析し、必要に応じて他のモジュールにデータを渡したり、データを廃棄するものである。受信したＩＰパケットの受信ポート番号やアプリケーション層プロトコルを解析し、そのパケットが渡されるべきモジュールやアプリケーションに渡す。またパケット解析ソフトウェア２１２は、受信ＩＰパケットのフィルタリング機能も備えている。これは、特定の送信元ＩＰアドレスからのパケット受信の許可や禁止を行うものである。例として、１７２．２２．０．１というＩＰアドレスからのパケット受信が禁止に設定されていた場合、送信元ＩＰアドレスが１７２．２２．０．１であるＩＰパケットを受信した場合には、それがどのような種類（プロトコル）のパケットであった場合でも、パケット解析ソフトウェア２１２はそのパケットの破棄処理を実行し、データは他のモジュールやアプリケーションに渡されることはない。また、１７２．２２．０．２というＩＰアドレスからのパケット受信が許可に設定されていた場合、送信元ＩＰアドレスが１７２．２２．０．２であるＩＰパケットを受信した場合には、その受信データは適切なモジュールやアプリケーションに渡されるが、他の送信元ＩＰアドレスからのＩＰパケットは全て破棄される。ここで、通信禁止ＩＰアドレスと通信許可ＩＰアドレスは印刷装置１０１の利用者や管理者が印刷装置１０１の操作パネルなどを使用することによって設定することが可能であり、通信禁止ＩＰアドレスと通信許可ＩＰアドレスは一つではなくそれぞれに対して複数の登録が可能である。つまり、通信禁止ＩＰアドレスを１７２．２２．０．１，１９２．１６８．１６．１，１７２．３１．２．１と設定し、且つ通信禁止ＩＰアドレスを１７２．２２．０．２，１９２．１６８．４．１などと設定することが可能になる。さらに、利用者や管理者が登録する通信禁止ＩＰアドレスと通信許可ＩＰアドレスには、ＩＰアドレスの値に幅を持たせて設定することが可能である。例えば、通信を禁止したいＩＰアドレスとして１７２．３１．０．１−１７２．３１．０．４と設定することにより、送信元ＩＰアドレスが１７２．３１．０．１から１７２．３１．０．４の間であるＩＰパケットは破棄される。ハードディスクドライブ２０８は通信許可ＩＰアドレスのリストを格納している通信許可アドレス帳２１４と、通信禁止ＩＰアドレスのリストを格納している通信禁止アドレス帳２１５とを持つ。印刷装置１０１の利用者や管理者が設定した通信許可及び禁止ＩＰアドレスの情報はそれぞれ通信許可アドレス帳２１４と通信禁止アドレス帳２１５に保存される。通信解析ソフトウェア２１２は印刷装置１０１の電源が投入された場合などに起動されるが、起動時に通信許可アドレス帳２１４と通信禁止アドレス帳２１５にアクセスを行い、それぞれのＩＰアドレスをリードする。また、通信許可アドレス帳２１４と通信禁止アドレス帳２１５は他のアプリケーションによってその内容が変更される場合もあるので、通信解析ソフトウェア２１２は電源投入時のみならず一定の間隔でこれら２つのアドレス帳を読み出し、そのデータ内容をフィルタリングに反映する。図３は通信許可アドレス帳及び通信禁止アドレス帳２１５の内容のイメージである。列３０１はインデックスであり、本実施例に於いては最大で３２個のＩＰアドレス（ＩＰアドレス群）の登録が可能であることを表している。列３０２と列３０３はフィルタリングする開始ＩＰアドレスと終了ＩＰアドレスである。ＩＰアドレスを単一指定したい場合には、開始ＩＰアドレスと終了ＩＰアドレスには同一の値が入る。図２の攻撃検知ソフトウェアとは、受信したＩＰパケットの内容を解析して、それがクラッカーによって送出された印刷装置１０１への攻撃を行うためのパケットであるか否かを判断するためのソフトウェアである。攻撃検知ソフトウェア２１３には、ネットワーク上で使用される代表的な攻撃パターンを元に作成された攻撃検知アルゴリズムが実装されており、攻撃を検知する。ここで、ネットワーク上で使用される代表的な攻撃について説明する。クラッカーによる攻撃と、その検知方法に関しては、特開２００１−０５７５５４号公報にて説明されているので、その記載を以下に引用する。

まず、クラッカーによる第１の種類の攻撃として、一般にポートスキャン（ＰｏｒｔＳｃａｎ）と言われる種類の攻撃がある。この攻撃は、ネットワークに直接的な損害を及ぼすものではないが、その前段階の攻撃として用いられることが多い。この攻撃では、クラッカーは、自身の管理下にあるホストから、攻撃対象のネットワークに対して、パケット内の宛先ＩＰアドレスや宛先ポート番号を適宜変更しながらＩＰパケットを繰り返し送信する。そして、それらのＩＰパケットに対する応答を上記ホストを介して観測することで、攻撃対象のネットワークにおいて、ファイアウォール等による制限を受けずに外部との通信に利用されているＩＰアドレスやポート番号を探索する。なお、ここで、前記ポート番号は、ＴＣＰあるいはＵＤＰ上で動作するアプリケーションソフトウェアのサービス種類（例えばｔｅｌｎｅｔ，ｆｔｐ、ｓｍｔｐ，ｔｆｔｐ等）を表すもので、ＩＰパケット内のＴＣＰヘッダあるいはＵＤＰヘッダに付与されるデータである。この種の攻撃では、上記のようなＩＰパケットの送信は、通常、専用的なツールソフトウェアを用いて行われ、攻撃対象のネットワークには、宛先ＩＰアドレスやポート番号が互いに異なり、且つ送信元ＩＰアドレスが同一であるようなＩＰパケットが比較的短時間内に多数、送信される。

そこで、本発明では、前記攻撃検知手段は、前記ネットワークにその外部から送信されてきた複数のＩＰパケットであって、少なくともその送信元ＩＰアドレスが互いに同一で且つ宛先ＩＰアドレス又は宛先ポート番号が互いに異なるものが所定時間内に所定数以上取得されたとき、第１の種類の前記攻撃がなされたことを検知する。これにより、ポートスキャンと言われる第１の種類の攻撃を確実に検知することができる。次に、クラッカーによる第２の種類の攻撃として、一般にＳＹＮＦＬＯＯＤと称される種類の攻撃がある。この攻撃は、ＴＣＰの特性を利用してネットワーク内の特定のホストをダウンさせるものである。

すなわち、ＴＣＰでは二つのホスト間で通信を行う場合、まず、両ホスト間で論理的なコネクションの開設処理が行われる。このコネクション開設処理では、一方のホストから他方のホストに対してＳＹＮ用ＩＰパケットを送信する。

ここで、該ＳＹＮ用ＩＰパケットは、それを詳しく言えば、上記一方のホストのＩＰアドレスと他方のホストのＩＰアドレスとをそれぞれ送信元ＩＰアドレス、宛先ＩＰアドレスとしたＩＰパケットで、そのパケット内のＴＣＰヘッダのＳＹＮビット及びＡＣＫビットのうちのＳＹＮビットのみを「１」としたものである。そして、コネクション開設処理では、このＳＹＮ用ＩＰパケットを受けた他方のホストは、前記一方のホストに対してＳＹＮ／ＡＣＫ用ＩＰパケットを送信する。ここで、該ＳＹＮ／ＡＣＫ用ＩＰパケットは、詳しくは、上記他方のホストのＩＰアドレスと一方のホストのＩＰアドレスとをそれぞれ送信元ＩＰアドレス、宛先ＩＰアドレスとしたＩＰパケットで、そのパケット内のＴＣＰヘッダのＳＹＮビット及びＡＣＫビットを共に「１」としたものである。

さらに、コネクション開設処理では、このＳＹＮ／ＡＣＫ用ＩＰパケットを受けた前記一方のホストは、前記他方のホストに対してＡＣＫ用ＩＰパケットを送信し、このＡＣＫ用ＩＰパケットを前記他方のホストが受けることで、両ホスト間の論理的なコネクションの開設がなされる。なお、上記ＡＣＫ用ＩＰパケットは、詳しくは、前記ＳＹＮ用ＩＰパケットと同一の送信元ＩＰアドレス及び宛先ＩＰアドレスを有するＩＰパケットで、そのパケット内のＴＣＰヘッダのＳＹＮビット及びＡＣＫビットのうちのＡＣＫビットのみを「１」としたものである。

前記ＳＹＮＦＬＯＯＤは、このようなＴＣＰの特性を利用する攻撃であり、この攻撃では、クラッカーは、攻撃対象のネットワークの特定のホストに対して、比較的短い時間内に多数のＳＹＮ用ＩＰパケットを送信する。そして、それらの各ＳＹＮ用ＩＰパケットに対して上記特定ホストからＳＹＮ／ＡＣＫ用ＩＰパケットが送信されてきても、ＡＣＫ用ＩＰパケットをその特定ホストに送信しない。このような攻撃がなされたとき、上記特定ホストは、最初に送信されてきたＳＹＮ用ＩＰパケットに対するＳＹＮ／ＡＣＫ用ＩＰパケットを送信した後、所定時間（一般に２分）は、その時間内にＡＣＫ用パケットが送信されてこない限り、そのＡＣＫ用パケットの受信待ち状態となる。

そして、この状態で新たなＳＹＮ用パケットが送信されてくる毎に、上記特定ホストは、新たなＳＹＮ用パケットに応じたコネクション開設処理を順番に完結すべくその新たなＳＹＮ用パケットの情報を通信処理用のバッファ領域に蓄積していく。

ところが、バッファ領域の大きさには限界があり、該バッファ領域が満杯になり、このようになると、前記特定ホストは、ＴＣＰの通信処理やＴＣＰ上のサービス処理を行うことができなくなり、これにより、特定ホストがダウンすることとなる。この種の攻撃（ＳＹＮＦＬＯＯＤ）では、前述のように、比較的短い時間内に、比較的多くのＳＹＮ用ＩＰパケットが攻撃対象のネットワーク内の特定のホスト（特定のＩＰアドレスを有するホスト）に対して送信されてくる。また、これに応じて、当該特定のホストからネットワークの外部に向かって、比較的短い時間内に、多くのＳＹＮ／ＡＣＫ用ＩＰパケットが送信される。

さらに、それらのＳＹＮ用ＩＰパケットあるいはＳＹＮ／ＡＣＫ用ＩＰパケットに対応して最終的に前記特定ホストに送信されてくるべきＡＣＫ用パケットがその特定ホストに送信されてこない。そこで、本発明では、前記攻撃検知手段は、前記ネットワークにその外部から送信されてきたＴＣＰに基づく複数のＳＹＮ用ＩＰパケットであって、少なくともその宛先ＩＰアドレスが互いに同一であるものが所定時間内に所定数以上取得され、且つ、その各ＳＹＮ用ＩＰパケットと同一の送信元ＩＰアドレス及び宛先ＩＰアドレスを有すると共に前記ＴＣＰに基づくＡＣＫ用ＩＰパケットが前記所定時間内に取得されなかったとき、第２の種類の前記攻撃がなされたことを検知する。

あるいは、前記攻撃検知手段は、前記ネットワークからその外部に送信されたＴＣＰに基づく複数のＳＹＮ／ＡＣＫ用ＩＰパケットであって、少なくともその送信元ＩＰアドレスがそれぞれ互いに同一であるものが所定時間内に所定数以上取得され、且つ、前記ＴＣＰに基づくＡＣＫ用ＩＰパケットであって、前記各ＳＹＮ／ＡＣＫ用ＩＰパケットの送信元ＩＰアドレス及び宛先ＩＰアドレスとそれぞれ同一の宛先ＩＰアドレス及び送信元ＩＰアドレスを有するものが前記所定時間内に取得されなかったとき、第２の種類の前記攻撃がなされたことを検知する。

これにより、ＳＹＮＦＬＯＯＤといわれる第２の種類の攻撃を確実に検知することができる。次に、クラッカーによる第３の種類の攻撃として、一般にＴｅａｒｄｒｏｐと称される種類の攻撃がある。この攻撃は、ＩＰパケットの分轄（所謂ＩＰフラグメント）に係る処理の特性を利用してネットワーク内の特定のホストをダウンさせるものである。すなわち、ＩＰパケットは、インターネット上をルータを介して転送される過程で、各ルータのデータ処理容量の関係上、分轄されることがある。

また、各ルータにおいてＩＰパケットが転送される際にエラーが生じることもあり、このような場合には、ルータは、ＩＰパケットの再送信を行う。このため、ＩＰパケットの宛先ＩＰアドレスのホストでは、分轄された一部の同じＩＰパケットが、複数受信されるということもある。

このようなことから、ＩＰに基づく通信では、最終的にＩＰパケットを受け取るホスト（宛先ＩＰアドレスのホスト）は、受け取ったＩＰパケットが分轄されたものであるとき、残りの全ての分轄部分のＩＰパケットを受信するまで、各分割部分のＩＰパケットを蓄積保持し、全ての分轄部分のＩＰパケットを受信してから、それらを整理して元のＩＰパケットのデータを復元する処理を行う。

前記Ｔｅａｒｄｒｏｐは、このようなＩＰパケットの分轄に係る処理の特性を利用する攻撃であり、この攻撃では、クラッカーは、比較的短い時間内に、多数の同じ分轄部分のＩＰパケットを攻撃対象のネットワークの特定のホストに送信した上で、残りの分轄部分のＩＰパケットをその特定ホストに送信する。このような攻撃がなされたとき、上記特定ホストは、最終的に残りの分轄部分のＩＰパケットを受信したときに、そのＩＰパケットと、先に送信されてきた多量の分割部分のＩＰパケットとから元のＩＰパケットのデータを復元しようとする処理を行うため、その処理に長時間を要するものとなる。このため、該特定ホストは、事実上、ダウンしてしまうこととなる。この種の攻撃（Ｔｅａｒｄｒｏｐ）では、前述の如く、比較的短い時間内に、多数の同じ分轄部分のＩＰパケットがネットワーク内の特定のホストに送信されてくる。

そこで、本発明では、前記攻撃検知手段は、前記ネットワークにその外部から送信されてきた複数の分割されたＩＰパケットであって、同一の分割部分が所定時間内に所定数個以上取得されたとき、第３の種類の前記攻撃がなされていることを検知する。これにより、Ｔｅａｒｄｒｏｐといわれる第３の種類の攻撃を確実に検知することができる。次に、クラッカーによる第４の種類の攻撃として、一般にＬａｎｄと称される種類の攻撃がある。この攻撃は、送信元ＩＰアドレス及び宛先ＩＰアドレスが同一であるような、正規にはあり得ないＩＰパケットを、攻撃対象のネットワークの特定のホストに送信する攻撃である。

このようなＩＰパケットを送信された特定ホストは、そのＩＰパケットの処理に手間取ることが多く、ダウンしてしまうことがしばしばある。この種の攻撃では、上記の如く、送信元ＩＰアドレス及び宛先ＩＰアドレスが同一であるＩＰパケットが、ネットワーク内の特定のホストに送信され、しかも、一般には、そのようなＩＰパケットが比較的短い時間内に、複数、上記特定ホストに送信される。

そこで、本発明では、前記攻撃検知手段は、前記ネットワークにその外部から送信されてきた複数のＩＰパケットであって、その送信元ＩＰアドレスが宛先ＩＰアドレスと同一のアドレスとなっているものが所定時間内に所定数個以上取得されたとき、第４の種類の前記攻撃がなされていることを検知する。これにより、Ｌａｎｄとわれる第４の種類の攻撃を確実に検知することができる。

次に、クラッカーによる第５の種類の攻撃として、ネットワーク内の特定のホストのユーザのパスワードを獲得する攻撃がある。この攻撃では、クラッカーは、攻撃対象のネットワーク内の特定のホストのユーザ名を使って、ｔｅｌｎｅｔ等により上記特定ホストにログインし、さらに所定の辞書ファイルなどから選択した多数のパスワードを使って、その特定ホストの操作を試みる。

そして、このとき、その特定ホストの操作ができるか否かにより、パスワードが判明することとなる。この種の攻撃では、同一のユーザ名データを含み、しかも互いに異なるパスワードを有する多数のＩＰパケットが、攻撃対象のネットワークの特定ホストに送信される。

そこで、本発明では、前記攻撃検知手段は、前記ネットワーク内の特定のホストを操作すべく該ネットワークにその外部から送信されてきた複数のＩＰパケットであって、前記特定のホストに係るユーザ名データが互いに同一で、且つパスワードが互いに異なるものが所定時間内に所定数以上取得したとき、第５の種類の前記攻撃がなされていることを検知する。これにより、上記のようにパスワードを獲得する攻撃を確実に検知することができる。

次に、クラッカーによる第６の種類の攻撃として、ネットワーク内の特定のホストに、ネットワーク管理者など、ごく限られた者が、専用のパスワードを入力した状態でしか実行させることができないような処理（所謂、ルートコマンド）を行わせる攻撃がある。この攻撃は、攻撃対象のホストが搭載しているＯＳ（ＯｐｅｒａｔｉｏｎＳｙｓｔｅｍ）のセキュリティホールといわれるバグを利用するものである。すなわち、例えばＵＮＩＸ（Ｒ）マシン（ホスト）は、バッファオーバフローといわれるセキュリティホールを有しており、このセキュリティホールは、例えばプリンタの論理名を表す「ｌｐｒ」というコマンドを含む比較的大きなデータ（１２８文字以上のデータ）が一度に送られてきたとき、バッファがオーバフローし、そのオーバフローしたデータ内に、ルートコマンドがあると、ネットワーク管理者などのパスワードが入力されていなくても、そのルートコマンドを実行してしまうというものである。前記第６の種類の攻撃は、このようなバッファオーバフローといわれるセキュリティホールを攻撃するもので、前述の「ｌｐｒ」というコマンドを含む所定サイズ以上のデータ列というような、所定のパターンのデータを含むデータ列を有するＩＰパケットがネットワークの特定のホストに送信される。そこで、本発明では、前記攻撃検知手段は、バッファオーバフローと言われるセキュリティホールを攻撃する所定のパターンのデータを有するデータ列を有するＩＰパケットを取得したとき、第６の種類の前記攻撃がなされていることを検知する。これにより、上記のような第６の種類の攻撃を検知することができる。

攻撃検知ソフトウェア２１３に実装される攻撃検知アルゴリズムも、上記のような検知アルゴリズムを有しており、攻撃を検知することが可能となっている。図２のハードディスクドライブ２０８には、他にＳＮＭＰ通信ソフトウェアが格納されている。これは、印刷装置１０１上でアプリケーション層プロトコルであるＳＮＭＰ（ＳｉｍｐｌｅＮｅｔｗｏｒｋＭａｎａｇｅｍｅｎｔＰｒｏｔｏｃｏｌ）が動作するのに必要がソフトウェアであり、デバイスのデータベースであるＭＩＢ２１７とのアクセスや、通信パケット解析ソフトウェア２１２からデータを受け取ったり、またデータを送ったりといった処理を行う。ＭＩＢ２１７とは、ＳＮＭＰで使用される機器情報データベースであるＭＩＢ（ＭａｃｈｉｎｅＩｎｆｏｒｍａｔｉｏｎＢａｓｅ）である。ハードディスクドライブ２０８には他には、印刷の制御を行うための印刷制御ソフトウェア２１８や印刷装置１０１のオペレーティングシステムであるＯＳ部２１９などが存在する。また、ネットワークインターフェイスカード２１１が取得した全てのパケットの内容を一時的に保管しておくためのパケットデータファイル２２０も備わる。本実施例で使用されるＯＳとは、一般的なＭＦＰやコントローラが使用すると予想されるＶｘＷｏｒｋｓやＬｉｎｕｘを想定している。また本実施例に於いては説明は省略するが、印刷装置が動作するための他のソフトウェアもついても、ハードディスクドライブ２０８に保持されているものとする。例えば、各印刷サービスの制御モジュールやデータ伸張を司るソフトウェアなどである。

次に図４に示されるフローチャートを用いて、本発明の第一の実施例の全体の流れについて説明する。

まずＳｔｅｐ４０１において、印刷装置１０１の利用者や管理者が印刷装置１０１の電源の投入を行う。次にＳｔｅｐ４０２において、印刷装置１０１のシステムが起動する。これは、ＣＰＵ２０１がハードディスクドライブ２０８内に保持されているＯＳ部２１９及び印刷装置１０１がＭＦＰとしての動作を実行できるための各種ソフトウェアなどをハードディクスドライブ２０８から読み出し、実行することで利用者や管理者が印刷装置１０１をＭＦＰとして使用できる状態になるための処理である。

次にＳｔｅｐ４０３において、受信ＩＰパケットのフィルタリング処理を行う。ここでのフィルタリングとは、特定のＩＰパケットを破棄するということであり、その理由は信頼できる送信元からのＩＰパケットのみを受信／解析することによってネットワーク経由での攻撃から防御することが可能になるからである。受信可能なＩＰパケットの判断は、ＩＰパケットの送信元ＩＰアドレスから識別する。ＣＰＵ２０１は通信パケット解析ソフトウェア２１２を読み出し、実行する。前述の通り、通信パケット解析ソフトウェア２１２は受信ＩＰパケットのフィルタリング機能を備えている。通信パケット解析ソフトウェア２１２は、通信許可アドレス帳２１４及び通信禁止アドレス帳２１５を読み込み、それらのアドレス帳に記載されているＩＰアドレス情報に従って、送信元ＩＰアドレスのフィルタリング処理を実行する。ここで、通信許可アドレス帳２１４や通信禁止アドレス帳２１５のフォーマットは図３で示されるものとする。仮に、通信禁止アドレス帳２１５の内容が図３で示される情報であった場合、まず通信パケット解析ソフトウェア２１２は、図３に示されるＩｎｄｅｘ．１のＩＰアドレス１７２．２２．０．１から１７２．２２．０．４までに含まれるＩＰアドレスの受信及び解析を禁止する。このＩＰアドレスが送信元となるＩＰパケットは、その内容がいかなるものであった場合でも、印刷装置１０１内でＩＰパケットの要求が実行されることはない。

また、図３の残りのＩｎｄｅｘ．２から３２に関しても同様に、受信及び解析は禁止される。次にＳｔｅｐ４０４にて、攻撃検知ソフトウェア２１３が起動される。攻撃検知ソフトウェア２１３はネットワークインターフェイスカード２１１が受信した全てのＩＰパケットを取得可能になっており、ネットワーク経由での攻撃を検知する機能が備わっている。攻撃の検知は以下のような手法で行われる。まず、攻撃検知ソフトウェア２１３は、単位時間あたりにネットワークインターフェイスカード２１１が取得した全てのＩＰパケットを読み出し、送信元ＩＰアドレス及び送信先ＩＰアドレス別に振り分けて、ハードディスクドライブ２０８の空き領域に格納される。つまり、攻撃検知ソフトウェア２１３は、送信元ＩＰアドレスと送信先ＩＰアドレス別にグループ化し、それぞれのグループ単位で検知処理を行う。攻撃の検知処理は、攻撃検知ソフトウェア２１３が前述のグループ化されたＩＰパケットグループをメモリ（ＲＡＭ２０３）に読み出し、前述の攻撃検知アルゴリズムによって攻撃パケットであるか否かを識別する。

ここで、あるＩＰパケット群が攻撃パケットであると検知された場合には、攻撃元ＩＰアドレスを認識する処理であるＳｔｅｐ４０７に移行する。また逆に、その単位時間あたりに取得したＩＰパケット全てが攻撃パケットではないと判定された場合には、メモリ（ＲＡＭ２０３）及びハードディスクドライブ２０８上から、今回検知したＩＰパケットグループのデータを破棄して、ハードディスクドライブ２０８に格納されている次のＩＰパケットグループを攻撃識別するためにメモリ（ＲＡＭ２０３）に読み出す（Ｓｔｅｐ４０５）。攻撃検知のシーケンスについて、図５を用いて詳細な説明を行う。前述のように、攻撃検知アルゴリズムとして攻撃検知ソフトウェア２１３が有しているものは、
１）ポートスキャン検知
２）ＳＹＮＦＬＯＯＤ検知
３）Ｔｅａｒｄｒｏｐ検知
４）ＬＡＮＤ検知
５）パスワード不正入手検知
６）セキュリティホール攻撃検知
これらが挙げられている。本実施例では、攻撃検知ソフトウェア２１３は単位時間に取得されたＩＰパケットグループに対して、これらの攻撃検知を行うので、任意のＩＰパケットグループに対する検知は、６回行われることになる。

つまり、第一の攻撃検知を行い（Ｓｔｅｐ５０１）、攻撃と判定されなければ第２の攻撃検知を行う（Ｓｔｅｐ５０２）。そのように第６の攻撃検知までを行い（Ｓｔｅｐ５０６）、全ての攻撃を検知できなかった場合には、メモリ（ＲＡＭ２０３）及びハードディスクドライブ２０８に保持されているＩＰパケットグループを破棄する（Ｓｔｅｐ４０６）。

ここで、第１から第６の攻撃検知処理（Ｓｔｅｐ５０１からＳｔｅｐ５０６）において、攻撃パケットであると識別された場合には、攻撃元ＩＰアドレスを認識する処理であるＳｔｅｐ４０７に移行する。Ｓｔｅｐ４０７では、攻撃パケットと判断されたＩＰパケットの送信元ＩＰアドレスを認識し、メモリ内に格納する処理である。攻撃検知ソフトウェア２１３はＩＰパケットを解読し、所定の位置から送信元ＩＰアドレスを認識して、メモリ（ＲＡＭ２０３）にデータとして格納する。

次に、攻撃検知ソフトウェア２１３は、攻撃者からのＩＰパケットの受信を遮断するために、攻撃元ＩＰアドレスを通信禁止アドレス帳２１５に追加する。例えば、追加以前の通信禁止アドレス帳２１５の内容が図３に示される内容であったと仮定する。

図３では、Ｉｎｄｅｘが１から４までの範囲でデータが記載されている。これは通信を禁止するＩＰアドレス個数またはＩＰアドレスの範囲の個数が４つ登録されていることを示す。この状態に於いて、攻撃検知ソフトウェアが攻撃元ＩＰアドレス１７２．３１．０．２０を通信禁止アドレス帳２１５に書き加えた場合、その内容は図６で示されるものになる。

図６では、Ｉｎｄｅｘ．１から４までは図３と同内容である。これはすでに有効になっている通信禁止ＩＰアドレス（ＩＰアドレス範囲）はそのまま有効であり続けることを意味する。攻撃検知ソフトウェア２１３は通信禁止アドレス帳２１５に対して、Ｉｎｄｅｘ．５として新規に攻撃元ＩＰアドレスを追加する（Ｓｔｅｐ４０８）。攻撃検知ソフトウェア２１３が攻撃を検知した際に行う処理は以上である。

次にＳｔｅｐ４０９において、通信パケット解析ソフトウェア２１２が通信禁止アドレス帳２１５をリロードすることによって、クラッカーが送信元となるＩＰパケットのフィルタリング処理を行う。前述の通り、通信パケット解析ソフトウェア２１２はＩＰパケットのフィルタリングを行う部分であるが、通信の許可／禁止が定義されているアドレス帳を定期的にリロードする機能が備わっている。リロードを行い、前回ロードしたデータと比較して差異があった場合、フィルタリングの設定を変更する。今回、攻撃検知ソフトウェア２１３によって通信禁止アドレス帳２１５は変更されているため、通信パケット解析ソフトウェア２１２は変更箇所である攻撃元ＩＰアドレス１７２．３１．０．２０との通信を遮断する。つまり、今後クラッカーが送信元となるＩＰパケットを印刷装置１０１が受信した場合には、そのＩＰパケットはアプリケーションによって解釈されることなく破棄される。印刷装置１０１内での攻撃ＩＰパケットのフィルタリング処理が終了したら、クラッカーの情報を他の印刷装置に通知する処理に移行する（Ｓｔｅｐ４１０）。

本実施例に於いては、クラッカーの情報はＳＮＭＰで使用されるＴＲＡＰメッセージを用いて行われる。ＴＲＡＰメッセージとは、ＳＮＭＰで規定されるメッセージであり、デバイスの状態が変わったときに、ＳＮＭＰのエージェント側からマネージャ側に対して、管理情報の変更ということで自発的に送られるものである。本実施例では、通知するクラッカーの情報とは攻撃ＩＰパケットの送信元ＩＰアドレスである。Ｓｔｅｐ４１０においてＳＮＭＰ通信ソフトウェア２１６は、ＬＡＮ１０４内に存在する他の印刷装置１０２及び１０３と、端末１０７に対してＴＲＡＰを発行する。ここで、ＴＲＡＰの送信先となる印刷装置１０２、１０３及び端末１０７のＩＰアドレスは、印刷装置１０１の管理者によって事前に登録されており、その情報はＭＩＢ２１７として保持されているものとする。ＳＮＭＰ通信ソフトウェア２１６はＩＰパケットの送信先を上記の印刷装置または端末として、ＳＮＭＰのＴＲＡＰパケットを送信する。トランスポート層のプロトコルはＵＤＰであり、ＳＮＭＰのｇｅｎｅｒｉｃ−ＴＲＡＰフィールドに入る値は、ベンダが独自に定義した事象が発生したことを示すｅｎｔｅｒｐｒｉｓｅＳｐｅｃｉｆｉｃ（６）である。またｓｐｅｃｉｆｉｃ−ＴＲＡＰフィールドには、攻撃元ＩＰアドレスであることを示す特定のコードと、攻撃元ＩＰアドレスが記載される。印刷装置１０１が攻撃の検知と他のデバイスへの通知を行う手順は以上である。

次に、Ｓｔｅｐ４１０において印刷装置１０１が送信したＴＲＡＰ情報を送信先のデバイスが受信してフィルタリングを行う処理について図７のフローチャートを用いて説明する。

まず、図４のＳｔｅｐ４１０に於いて、印刷装置１０１よりＴＲＡＰパケットが送信される。ＴＲＡＰパケットの送信先は、印刷装置１０２、同１０３、端末１０７である。一例としてここでは印刷装置１０２内の動作について説明するが、基本的な動作は印刷装置１０３も端末１０７も同様であるものとする。印刷装置１０２の基本構成は印刷装置１０１と同様であり、ＭＦＰであるものとする。その構成は図２として説明されたものと同様である。まずＳｔｅｐ７０１において、印刷装置１０２のネットワークインターフェイスカード２１１がＴＲＡＰパケットを受信した場合、受信ＴＲＡＰは通信パケット解析ソフトウェア２１２に送られる。通信パケット解析ソフトウェア２１２は受信ＴＲＡＰパケットの送信元ＩＰアドレスを認識して、通信が許可されたＩＰアドレスであるか否かを判別する。本実施例では、印刷装置１０１と同１０２は同一のＬＡＮ上で動作する印刷装置であり、その管理者も同一であることから互いの通信は許可されているものとする。印刷装置１０１が送信元となるＩＰパケットの受信が許可されているので、ＴＲＡＰパケットのアプリケーションデータはＳＮＭＰ通信ソフトウェア２１６に渡される。次にＳｔｅｐ７０２において、受信したＴＲＡＰメッセージの内容の解析（デコード）を行う。ＳＮＭＰ通信ソフトウェア２１６は、受信したＳＮＭＰパケットのＰＤＵ−Ｔｙｐｅフィールド（ＰｒｏｔｏｃｏｌＤａｔａＵｎｉｔｓ−Ｔｙｐｅフィールド）の値が４であることから、それがＴＲＡＰであることを認識する。

またＴＲＡＰ−ＰＤＵのＥｎｔｅｒｐｒｉｓｅフィールドとＧｅｎｅｒｉｃＴｒａｐフィールド、そしてＳｐｅｃｉｆｉｃＴｒａｐフィールドの値を参照することによって、受信したＴＲＡＰがどのようなＴＲＡＰであるかを認識することが可能になる。これはＳＮＭＰのＴＲＡＰ−ＰＤＵの定義として規定されているものであり、まずＧｅｎｅｒｉｃＴｒａｐフィールドに通知されるイベントの詳細な種別が記載される。ここでは、クラッカー情報の通知という独自の通知内容であるため、その値はｅｎｔｅｒｐｒｉｓｅＳｐｅｃｉｆｉｃ（６）である。そしてそのＴＲＡＰの内容は、ＳｐｅｃｉｆｉｃＴｒａｐフィールドとＥｎｔｅｒｐｒｉｓｅフィールドに記載される。このような手順によって、ＳＮＭＰ通信ソフトウェア２１６はクラッカーのＩＰアドレスを認識することが可能になる。次に印刷装置１０２は通知されたＩＰアドレスを自身の通信禁止アドレス帳２１５に書き込む処理を行う。ＳＮＭＰ通信ソフトウェア２１６は通信禁止アドレス帳２１５にアクセスして、まず通知されたクラッカーのＩＰアドレスが通信禁止アドレス帳２１５にすでに登録されているか否かを調査する（Ｓｔｅｐ７０３）。この処理において、クラッカーのＩＰアドレスが通信禁止アドレス帳２１５に登録済みであることが認識された場合、クラッカーから受信されるＩＰパケットのフィルタリングはすでに実行されているということであるため、ＳＮＭＰ通信ソフトウェア２１６はその処理を中止する。Ｓｔｅｐ７０３の処理において、クラッカーのＩＰアドレスは自己の通信禁止アドレス帳２１５に記載されていないと認識された場合、ＳＮＭＰ通信ソフトウェア２１６は通信禁止アドレス帳２１５にクラッカーのＩＰアドレスを追記する（Ｓｔｅｐ７０４）。

次にＳｔｅｐ７０５において、通信パケット解析ソフトウェア２１２が通信禁止アドレス帳２１５をリロードすることによって、クラッカーが送信元となるＩＰパケットのフィルタリング処理を行う。前述の通り、通信パケット解析ソフトウェア２１２はＩＰパケットのフィルタリングを行う部分であるが、通信の許可／禁止が定義されているアドレス帳を定期的にリロードする機能が備わっている。リロードを行い、前回ロードしたデータと比較して差異があった場合、フィルタリングの設定を変更する。今回、ＳＮＭＰ通信ソフトウェア２１６によって通信禁止アドレス帳２１５は変更されているため、通信パケット解析ソフトウェア２１２は変更箇所であるクラッカーのＩＰアドレスとの通信を遮断する。つまり、今後クラッカーが送信元となるＩＰパケットを印刷装置１０２が受信した場合には、そのＩＰパケットはアプリケーションによって解釈されることなく破棄される。

ＴＲＡＰを受信した装置は以上の処理を行うが、印刷装置１０１から送信されたＴＲＡＰを受信した他のデバイス、即ち印刷装置１０３及び端末１０７に関しても、図７に示されるＳｔｅｐ７０１からＳｔｅｐ７０５の処理が行われるものとする。

以上、本発明の実施例について説明したが、本発明は上記実施例に限定されるものではない。たとえば、本発明では印刷装置１０１から他の装置へ、クラッカーの情報を通知する際にＳＮＭＰのＴＲＡＰを使用したが、これは他のプロトコルを使用することも可能である。また、本発明においては、ＩＰアドレスをＳＮＭＰパケットのデータとして送信したが、これはＦＴＰ（ＦｉｌｅＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）などを使用して、通信禁止アドレス帳そのものを他の印刷装置などに対して送付してもよい。

このほか、本発明の要旨を逸脱しない範囲で種々の変形実施が可能である。

本発明の実施の形態において、本発明を適用した印刷装置が接続されるネットワーク環境の構成を示すブロック図である。印刷装置の内部構造を示すブロック図である。通信禁止アドレス帳のフォーマットの一例を示した図である。本発明の実施例において、攻撃の検知及び他の装置への通知を行う際のフロー図である。本発明の実施例において、攻撃の検知を行う際の詳細なフロー図である。通信禁止アドレス帳にＩＰアドレスが追加されたことを示す一例である。本発明の実施例において、印刷装置が攻撃元ＩＰアドレス情報を受信した際の動作を表すフロー図である。

符号の説明

１０１〜１０３印刷装置
１０４ＬＡＮ
１０５インターネット
１０６ファイアウォール
１０７端末
２０１ＣＰＵ
２０２ＲＯＭ
２０３ＲＡＭ
２０４エンジン
２０５エンジンコントローラ
２０６パネル
２０７パネルコントローラ
２０８ハードディスクドライブ
２０９ディスクコントローラ
２１０ＮＶＲＡＭ
２１１ネットワークインターフェイスカード
２１２通信パケット解析ソフトウェア
２１３攻撃検知ソフトウェア
２１４通信許可アドレス帳
２１５通信禁止アドレス帳
２１６ＳＮＭＰ通信ソフトウェア
２１７ＭＩＢ
２１８印刷制御ソフトウェア
２１９ＯＳ部
２２０パケットデータファイル
３０１通信禁止アドレス帳のＩｎｄｅｘ
３０２通信禁止アドレス帳の開始ＩＰアドレス
３０３通信禁止アドレス帳の終了ＩＰアドレス
４０１電源投入処理
４０２システムソフト起動処理
４０３フィルタリング処理
４０４攻撃検知ソフトウェア起動処理
４０５攻撃検知処理
４０６ＩＰパケットデータ廃棄処理
４０７攻撃元ＩＰアドレス検知処理
４０８通信禁止アドレス帳追記処理
４０９フィルタリング処理
４１０ＴＲＡＰ送信処理
５０１第一の攻撃の検知処理
５０２第二の攻撃の検知処理
５０３第三の攻撃の検知処理
５０４第四の攻撃の検知処理
５０５第五の攻撃の検知処理
５０６第六の攻撃の検知処理
７０１ＴＲＡＰ受信処理
７０２解析処理
７０３通信禁止アドレス帳確認処理
７０４通信禁止アドレス帳追記処理
７０５フィルタリング処理

Claims

ネットワークに接続するためのネットワークインターフェイス部（ＮＩＣ部）を備え、特定の端末からのネットワーク経由での通信の許可／禁止を行うことが可能な印刷装置であって、前記印刷装置は、
ネットワーク経由で取得したパケットを監視するためのパケット監視手段と、
前記パケット監視手段を使用することによって受信したパケットが前記印刷装置へのネットワーク攻撃であるか否かを判断するための攻撃検知手段と、
ネットワーク経由での通信の許可／禁止の対象となる特定の端末のネットワーク識別子をアドレスブックとして保持するアドレスブック管理手段とを備え、
前記印刷装置は前記攻撃検知手段によって、前記印刷装置自身がネットワーク経由での攻撃を受けていると検知した場合、前記パケット監視手段は攻撃パケットの送信元端末のネットワーク識別子を認識し、前記アドレスブック管理手段は前記ネットワーク識別子を通信禁止端末として前記アドレスブックに対して書き込み、また前記攻撃パケットの送信元端末からの通信を遮断することを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。
請求項１に於いて、前記端末のネットワーク識別子とはＩＰアドレスであることを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。
請求項１に於いて、前記アドレスブック及びアドレスブック管理手段は、通信の許可及び禁止をそれぞれ複数個ずつ独立して保持することが可能であることを特徴とするネットワークセキュリティ機構を備えることを特徴とした印刷装置。
ネットワークに接続するためのネットワークインターフェイス部（ＮＩＣ部）を備え、特定の端末からのネットワーク経由での通信の許可／禁止を行うことが可能な印刷装置であって、前記印刷装置は、
ネットワーク経由で取得したパケットを監視するためのパケット監視手段と、
前記パケット監視手段を使用することによって受信したパケットが前記印刷装置へのネットワーク攻撃であるか否かを判断するための攻撃検知手段と、
前記印刷装置が接続されるネットワーク上に存在する他のデバイスのネットワーク識別子をリストとして保持する印刷装置アドレス保持手段と、
前記印刷装置が接続されるネットワーク上の特定の装置に対してネットワーク経由で情報を通知する情報通知手段とを備え、
前記印刷装置は前記攻撃検知手段によって、前記印刷装置自身がネットワーク経由での攻撃を受けていると検知した場合、前記パケット監視手段は攻撃パケットの送信元端末のネットワーク識別子を認識し、前記印刷装置アドレス保持手段に保持されているネットワーク識別子の宛て先に対して、前記情報通知手段は攻撃パケットの送信元端末のネットワーク識別子の情報を通知することを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。
請求項４に於いて、前記他のデバイスのネットワーク識別子とはＩＰアドレスであることを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。
ネットワークに接続するためのネットワークインターフェイス部（ＮＩＣ部）を備え、特定の端末からのネットワーク経由での通信の許可／禁止を行うことが可能な印刷装置であって、前記印刷装置は、
ネットワーク経由で取得したパケットを監視するためのパケット監視手段と、
ネットワーク経由で取得したパケットが、ネットワークの攻撃者（クラッカー）の通知情報であるか否かを認識し、クラッカーのネットワーク識別子を認識するための情報認識手段と、
ネットワーク経由での通信の許可／禁止の対象となる特定の端末のネットワーク識別子をアドレスブックとして保持するアドレスブック管理手段とを備え、
前記ＮＩＣ部が受信したパケットが、他のデバイスから送られてきたクラッカーの通知情報であった場合、前記アドレスブック管理手段は前記クラッカーのネットワーク識別子を通信禁止端末として前記アドレスブックに対して書き込み、また前記クラッカーのネットワーク識別子からの通信を遮断することを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。
請求項６に於いて、前記ネットワーク識別子とはＩＰアドレスであることを特徴としたネットワークセキュリティ機構を備えることを特徴とした印刷装置。
請求項６に於いて、前記アドレスブック及びアドレスブック管理手段は、通信の許可及び禁止をそれぞれ複数個ずつ独立して保持することが可能であることを特徴とするネットワークセキュリティ機構を備えることを特徴とした印刷装置。