JP2006217039A - ネットワーク中継装置 - Google Patents

Abstract

【課題】 脆弱性のある機器がネットワーク管理者の知らない間に接続されても安全性に問題のないネットワーク中継装置を提供する。
【解決手段】 脆弱性のあるネットワーク接続機器が外部のネットワークにデータを送信しようとしたときに、脆弱性の検査を自動的に行ない、その結果に応じてデータを中継するか否かを決定する。すなわち、ＬＡＮ側に接続された機器の存在を外部に知られる前に脆弱性の検査を最初に自動的に行ない、不合格になった機器は合格するまでＷＡＮ側との通信をできなくする機能を備える。
【選択図】 図１

Description

本発明は、脆弱性のあるネットワーク接続機器が外部のネットワークにデータを送信しようとしたときに、脆弱性の検査を自動的に行ない、その結果に応じてデータを中継するか否かを決定するネットワーク中継装置に関するものである。

従来、脆弱性に対処するネットワーク中継装置に関する技術としては、「不正アクセス対処ルール自動設定装置（特開２００２−３２８８９６）」に示されるように、
（１）保護対象ネットワークのセキュリティ上の弱点を特定する機能、
（２）不正対処手段を選択設定するためのマンマシンインタフェース機能、
（３）不正アクセス対処ツールに不正対処ルールを設定する機能
を有することにより、作業効率及び作業精度の向上を目指そうとする技術があった。

現在でもインターネットを利用して外部から不正にアクセスする行為に対して、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ：不正侵入検知システム）に代表されるような不正対処ツールが企業などのネットワーク管理部門等に利用されている。

一方、「Ｒｅｍｏｔｅ Ｓｃａｎｎｅｒ製品」と呼ばれるネットワークに接続された機器に対して脆弱性の診断を行うツールも利用されている。

不正アクセスに対処するためには不正対処ツールに不正アクセス対処ルールを設定しなければならないが、ここにあげた従来の技術はそのルールの設定作業をセキュリティ脆弱性診断ツールと組み合わせてオンライン連携仲立ちすることにより自動で行おうとするものである。
特開２００２−３２８８９６号公報

しかしながら、上記従来技術では、（１）の保護対象ネットワークのセキュリティ上の弱点を特定する機能の例としてあげられている「Ｒｅｍｏｔｅ Ｓｃａｎｎｅｒ製品」では、ＬＡＮ側に脆弱性のある機器がネットワーク管理者の知らない間に接続されてＷＡＮ側にデータを送出したとしても「Ｒｅｍｏｔｅ Ｓｃａｎｎｅｒ製品」の診断機能が働くまでは脆弱性のある機器が接続されたことを検出することができず、脆弱性のある機器が外部から攻撃されても一般的なファイアウォールやＩＤＳでは対処できないため、外部からの攻撃対象として脆弱性のある機器が狙われやすくなるといった課題があった。

上記課題を解決するために、請求項１記載の発明では、ＬＡＮ側からＷＡＮ側へデータを中継するネットワーク中継装置であって、ＬＡＮ側からのデータを受信する受信手段、ＬＡＮ側からのデータの送信元ＩＰアドレスが検査済であるかを判定する検査済判定手段、検査済でなかった場合に送信元に脆弱性の検査を行なう脆弱性検査手段、ＷＡＮ側へデータを送出する送信手段、脆弱性検査の合否を判定する合否判定手段、合格したデータの送信元ＩＰアドレスを検査済として登録する登録手段、合格しなかったデータに不合格処理を行なう不合格処理手段、を備えることを特徴とするネットワーク中継装置を構成した。

すなわち、本発明では、ＬＡＮ側に接続された機器の存在を外部に知られる前に脆弱性の検査を最初に自動的に行ない、不合格になった機器は合格するまでＷＡＮ側との通信をできなくする機能を有する。

以上の説明から明らかなように、本願請求項１によれば、ＬＡＮ側に脆弱性のある機器がネットワーク管理者の知らない間に接続されてもＷＡＮ側にデータを送出する前に脆弱性の検査が行なわれるため、外部からの攻撃対象として脆弱性のある機器が狙われることが極めて少なくなり、ネットワーク管理者の負担が軽減される、脆弱性に不安のある利用者も安心して新たな機器をネットワークに接続できるといった効果がある。

また、本願請求項２によれば、機器に固有のサービスに限定して検査できるので、脆弱性検査が効率よく行えるといった効果がある。

また、本願請求項３によれば、データを連続的に送りつけてくるようなパターン攻撃に対しても検査ができるので、脆弱性検査が幅広く行えるといった効果がある。

また、本願請求項４によれば、不合格処理が検査方法に応じて変えられるため、ネットワーク管理者の方針に即した適正な運用が可能となるといった効果がある。

また、本願請求項５によれば、不合格処理としてデータを破棄する処理を行うため、ＬＡＮ側のネットワークに大きな負荷をかけることなくセキュリティが向上できるといった効果がある。

また、本願請求項６によれば、不合格処理の結果を送信元に通知できるため、送信元で脆弱性に関する情報を知ることができ、迅速な対応が可能となるといった効果がある。

以下、図を参照して本発明の実施形態を説明する。

最初に、本発明の実施形態におけるネットワーク中継装置の基本の機能的な構成をブロック図［図１］を用いて説明する。

１０１は、ＬＡＮ側からのデータを受信する受信手段、
１０２は、ＬＡＮ側からのデータの送信元ＩＰアドレスが検査済であるかを判定する検査済判定手段、
１０３は、送信元に脆弱性の検査を行なう脆弱性検査手段、
１０４は、ＷＡＮ側へデータを送出する送信手段、
１０５は、脆弱性検査の合否を判定する合否判定手段、
１０６は、合格したデータの送信元ＩＰアドレスを検査済として登録する登録手段、
１０７は、合格しなかったデータに不合格処理を行なう不合格処理手段、
である。

次に、同装置の具体的なハードウェアの構成をハードウェア構成図［図２］を用いて説明する。

ＬＡＮ側イーサネット（登録商標）インターフェイス２０１は、ＬＡＮ側からのデータの受信を行なうための受信手段１０１である。

ＷＡＮ側イーサネット（登録商標）インターフェイス２０２は、ＷＡＮ側にデータを送出するための送信手段１０４である。

ＲＡＭ２０３は、送信元のＩＰアドレスと合否情報を記憶するための登録手段である。

ＣＰＵ２０４は、ＲＯＭ２０５にあらかじめ記憶された処理手順にしたがって処理を行なうことにより、検査済判定手段１０２、脆弱性検査手段１０３、合否判定手段１０５、不合格処理手段１０７の各手段を実現する。

バス２０６は、ＬＡＮ側イーサネット（登録商標）インターフェイス２０１、ＷＡＮ側イーサネット（登録商標）インターフェイス２０２、ＲＡＭ２０３、ＲＯＭ２０５といった各デバイスとＣＰＵ２０４とのデータのやりとりを行なう。

また、同装置はＲＡＭやＲＯＭや入出力レジスタといったデバイスをひとつのアドレス空間に配置している実装例であり、実現されたアドレス空間をメモリマップ［図３］を用いて説明する。

ＲＯＭ領域３０１は、同装置の処理手順が記憶されているメモリ領域である。

ＲＡＭ領域３０２は、同装置の処理に必要な作業領域３０２ａおよび検査に合格したＩＰアドレスが記録された検査済対応表３０２ｂを記憶するメモリ領域である。

入出力レジスタ領域３０３は、同装置のＬＡＮ側およびＷＡＮ側のイーサネット（登録商標）インターフェイスの入出力関係のレジスタが割当てられている領域である。

次に、同装置のメイン処理であるＷＡＮ側送出処理手順をフローチャート［図４］を用いて説明する。

通常、ＬＡＮ側のネットワークに新たな機器が接続された場合、機器は自分のＩＰアドレスがすでに使われていないかを確認するために自分のＩＰアドレスをＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を用いてネットワークに問合わせる。

その時点で以下の処理を行なっても良いが、ＬＡＮの内部で閉じている機器であれば脆弱性の検査は不要であるため、機器が外部（ＷＡＮ側）へデータを送出しようとした時点で以下の処理を行なう。ネットワーク機器として接続できるようになるまでの処理の説明は本願の主眼でないため割愛する。

最初に、ＷＡＮ側へデータの送出要求があると本発明のネットワーク中継装置では以下の処理をステップＳ４０１から開始する。

ステップＳ４０１では、送出しようとしているデータから送信元のＩＰアドレスを抽出し、ＲＡＭ２０３に記憶されている検査済対応表３０２ｂを参照することにより前記ＩＰアドレスが検査済であるか否かを調べ、検査済であればステップＳ４０６に移行し、そうでない場合、すなわち未登録または検査中であった場合はステップＳ４０２へ移行する。

ステップＳ４０２では、ステップＳ４０１で抽出したＩＰアドレスが未登録であった場合は検査済対応表３０２ｂに登録し、状態を「検査中」に変更し脆弱性検査を行い、状態がすでに「検査中」であった場合は別の脆弱性検査を行ない、結果をＲＡＭ２０３のＲＡＭ領域３０２にある作業領域３０２ａに保持し、ステップＳ４０３へ移行する。

脆弱性の検査の方法については様々な方法が考案されており、本願の主眼ではないので詳しく説明することは避けるが、従来技術で紹介したような「Ｒｅｍｏｔｅ Ｓｃａｎｎｅｒ装置」で用いられているパターン攻撃などを適用することで実現される。

例えば、サービス拒否攻撃（ＤｏＳ攻撃）として有名な「Ｅｃｈｏ Ａｔｔａｃｋ」やＩＣＭＰ Ｅｃｈｏパケットを連続的に送出する「Ｐｉｎｇ Ｆｌｏｏｄｉｎｇ」といった攻撃を検査対象の機器に行ない、他のサービスが著しく低下しないかどうかを判断する。

また、検査対象の機器にＷｅｂサーバの機能があれば、代表的なポート番号に対してＨＴＴＰプロトコルを用いてＵＲＬに長い文字列を指定することでバッファオーバフローの検査も行なえる。

このように、アプリケーション層における脆弱性検査も従来技術で用いられる方法が適用できる。

このステップで脆弱性検査を機器の特性に応じて選択することにより、本願請求項２に記載の検査手段を実施することができ、検査が効率よく行える。

たとえば、外部に送出しようとしているパケットがＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）の応答パケットであると判断された場合、検査対象となる機器はＨＴＴＰサーバ機能を有していると考えられる。

そこで、対象となる機器に「ＨＴＴＰ ＮＣＳＡ Ｂｕｆｆｅｒ Ｏｖｅｒｆｌｏｗ Ａｔｔａｃｋ（２５６文字を越えるＵＲＬを送信する攻撃）」といった機器特有の検査を行うことができる。

もちろん、攻撃パターンの登録や更新は従来技術と同様に手動で行なうこともリモートメンテナンスのサービスを提供している業者が自動で行なうことも可能であるが、請求項４に記載の発明を実施することで、脆弱性の検査方法の種類によって後述の不合格処理を適切に行うことができる。

たとえば、フラグメント禁止フラグの設定された大きなパケットに対する脆弱性検査を行った場合は、「ＩＣＭＰ ｕｎｒｅａｃｈａｂｌｅ」の原因コードに「ＵＮＲＥＡＣＨ＿ＮＥＥＤＦＲＡＧ」を指定することでフラグメントが必要であることを送信元に通知できる。

ステップＳ４０３では、前記脆弱性検査に合格したか否かを調べ、合格していればステップＳ４０４に移行し、そうでなければステップＳ４０５へ移行する。

ステップＳ４０４では、送信元のＩＰアドレスをＲＡＭ２０３のＲＡＭ領域３０２にある検査済対応表３０２ｂに検査済として登録し、ステップＳ４０６に移行する。

ステップＳ４０５では、不合格処理を行ない処理を終了する。

例えば、請求項５に記載の不合格処理の実施例として、データを破棄してほかのデータを受け取るための準備を行い、その後は何も行わない。このように実施することにより処理が軽くなる。

また、請求項６に記載の不合格処理の実施例として、「ＩＣＭＰ ｕｎｒｅａｃｈａｂｌｅ」というデータを送信元に返信する。このように実施することで送信元に積極的に通知し、送信元の機器の利用者に対処を促すことができる。

ステップＳ４０６では、ＷＡＮ側イーサネット（登録商標）インターフェイス２０２にデータ送出の処理を行ない処理を終了する。

以上のように実施することで、ＬＡＮ側に脆弱性のある機器がネットワーク管理者の知らない間に接続されてもＷＡＮ側にデータを送出する前に脆弱性の検査が行なわれるため、外部からの攻撃対象として脆弱性のある機器が狙われやすくなるといった上記課題が解決されるだけでなく、次に述べるような効果も期待できる。

本発明の実施形態におけるネットワーク中継装置の機能的な構成を示すブロック図。 同装置の具体的なハードウェアの構成を示すハードウェア構成図。 同装置のメモリ構成を示すメモリマップ。 同装置のメイン処理の手順を示すフローチャート。

符号の説明

１０１ ＬＡＮ側データ受信手段
１０２ 検査済判定手段
１０３ 脆弱性検査手段
１０４ ＷＡＮ側データ送信手段
１０５ 合格判定手段
１０６ 登録手段
１０７ 不合格処理手段
２０１ ＬＡＮ側イーサネット（登録商標）インターフェイス
２０２ ＷＡＮ側イーサネット（登録商標）インターフェイス
２０３ ＲＡＭ
２０４ ＣＰＵ
２０５ ＲＯＭ
２０６ バス
３０１ ＲＯＭ領域
３０２ ＲＡＭ領域
３０２ａ 作業領域
３０２ｂ 検査済対応表
３０３ 入出力レジスタ領域

Claims (6)

1. ＬＡＮ側からＷＡＮ側へデータを中継するネットワーク中継装置であって、
   ＬＡＮ側からのデータを受信する受信手段、
   ＬＡＮ側からのデータの送信元ＩＰアドレスが検査済であるかを判定する検査済判定手段、
   検査済でなかった場合に送信元に脆弱性の検査を行なう脆弱性検査手段、
   ＷＡＮ側へデータを送出する送信手段、
   脆弱性検査の合否を判定する合否判定手段、
   合格したデータの送信元ＩＰアドレスを検査済として登録する登録手段、
   合格しなかったデータに不合格処理を行なう不合格処理手段、
   を備えることを特徴とするネットワーク中継装置。
2. 前記脆弱性検査手段は、複数の検査方法から機器に応じて検査方法を選択することを特徴とする請求項１記載のネットワーク中継装置。
3. 前記脆弱性検査手段は、送信元の特定のポートへ特定のパターンの攻撃を行ない、その後のサービスに問題がないかを検査することを特徴とする請求項１記載のネットワーク中継装置。
4. 前記不合格処理手段は、脆弱性検査の検査方法に応じて不合格処理の内容を変更することを特徴とする請求項１記載のネットワーク中継装置。
5. 前記不合格処理手段は、送信元からのデータを破棄する処理を行うことを特徴とする請求項１記載のネットワーク中継装置。
6. 前記不合格処理手段は、データが外部へ送出できない旨を送信元へ通知する処理を行うことを特徴とする請求項１記載のネットワーク中継装置。

Images