JP2006222662A - 不正アクセス防止システム、不正アクセス防止方法、および不正アクセス防止プログラム - Google Patents

Abstract

【課題】 セキュリティ性を高める。
【解決手段】 不正アクセス防止システムにおいて、不正アクセス検知装置は、不正アクセスを検知すると、不正アクセスのために送信されたプロトコルデータ単位の宛先可変アドレスを抽出して可変アドレス管理装置に通知する対象可変アドレス通知部を備え、可変アドレス管理装置は、対象可変アドレス通知部から通知を受けた宛先可変アドレスが、現時点で、通信装置に割り当てられているか否かを検査する割り当て状況検査部を備え、この検査の結果、現在、宛先可変アドレスが通信装置に割り当てられている場合には、その通信装置に割り当てる可変アドレスを変更させる。
【選択図】 図１

Description

本発明は不正アクセス防止システム、不正アクセス防止方法、および不正アクセス防止プログラムに関し、例えば、ＤＨＣＰでＩＰアドレスの割り当てを行う場合などに適用して好適なものである。

従来、ＩＰアドレスの割り当て変更を伴う不正アクセス対策技術として、下記の特許文献１に記載されたものがある。

特許文献１では、ＷＡＮとＬＡＮのあいだを中継するルータにおいて、ＷＡＮ側からの不正アクセスを検出すると、ルータのＷＡＮポート側に割り当てられたＩＰアドレスを変更する。そのために、特許文献１では、前回と異なるＩＰアドレスが割り当てられるまで、ＰＰＰｏＥの切断と接続を繰り返す。切断と接続を繰り返すのは、１回、切断したあと接続しただけでは、前回と同じＩＰアドレスが割り当てられる可能性があるからである。
特開２００４−２１５１１２号公報

ところで、上述した特許文献１の技術では、ＷＡＮ側からＬＡＮへの不正アクセスに対応することができるとしても、ＬＡＮ内のある通信装置から他の通信装置に対して不正アクセスが行われるケースには対応することができず、セキュリティ性が低い。また、何らかの理由で、不正アクセスのためのパケットが前記ルータを通過した場合、ＬＡＮ内の通信装置は、不正アクセスに対して無防備であるため、不正アクセスが成功してしまう可能性があり、この点でもセキュリティ性が低いといえる。

かかる課題を解決するために、第１の本発明では、不正アクセスを検知する不正アクセス検知装置と、割り当て処理によって変更され得る可変アドレスの割り当てを受ける１または複数の通信装置と、当該通信装置に対する前記可変アドレスの割り当て状況を管理する可変アドレス管理装置とを備えた不正アクセス防止システムにおいて、（１）前記不正アクセス検知装置は、前記不正アクセスを検知すると、当該不正アクセスのために送信されたプロトコルデータ単位の宛先可変アドレスを抽出して前記可変アドレス管理装置に通知する対象可変アドレス通知部を備え、（２）前記可変アドレス管理装置は、前記対象可変アドレス通知部から通知を受けた宛先可変アドレスが、現時点で、前記通信装置に割り当てられているか否かを検査する割り当て状況検査部を備え、（３）この検査の結果、現在、前記宛先可変アドレスが通信装置に割り当てられている場合には、その通信装置に割り当てる可変アドレスを変更させることを特徴とする。

また、第２の本発明では、不正アクセスを検知する不正アクセス検知装置と、割り当て処理によって変更され得る可変アドレスの割り当てを受ける１または複数の通信装置と、当該通信装置に対する前記可変アドレスの割り当て状況を管理する可変アドレス管理装置とを使用する不正アクセス防止方法において、（１）前記不正アクセス検知装置では、対象可変アドレス通知部が、前記不正アクセスを検知すると、当該不正アクセスのために送信されたプロトコルデータ単位の宛先可変アドレスを抽出して前記可変アドレス管理装置に通知し、（２）前記可変アドレス管理装置では、割り当て状況検査部が、前記対象可変アドレス通知部から通知を受けた宛先可変アドレスが、現時点で、前記通信装置に割り当てられているか否かを検査し、（３）この検査の結果、現在、前記宛先可変アドレスが通信装置に割り当てられている場合には、その通信装置に割り当てる可変アドレスを変更させることを特徴とする。

さらに、第３の本発明では、不正アクセスを検知する不正アクセス検知装置と、割り当て処理によって変更され得る可変アドレスの割り当てを受ける１または複数の通信装置と、当該通信装置に対する前記可変アドレスの割り当て状況を管理する可変アドレス管理装置とを使用する不正アクセス防止プログラムにおいて、（１）前記不正アクセス検知装置では、コンピュータに、前記不正アクセスを検知すると、当該不正アクセスのために送信されたプロトコルデータ単位の宛先可変アドレスを抽出して前記可変アドレス管理装置に通知する対象可変アドレス通知機能を実現させ、（２）前記可変アドレス管理装置では、コンピュータに、前記対象可変アドレス通知機能から通知を受けた宛先可変アドレスが、現時点で、前記通信装置に割り当てられているか否かを検査する割り当て状況検査機能を実現させ、（３）この検査の結果、現在、前記宛先可変アドレスが通信装置に割り当てられている場合には、その通信装置に割り当てる可変アドレスを変更させることを特徴とする。

本発明によれば、セキュリティ性を高めることができる。

（Ａ）実施形態
以下、本発明にかかる不正アクセス防止システム、不正アクセス防止方法、および不正アクセス防止プログラムを、ＴＣＰ／ＩＰネットワークに適用した場合を例に、実施形態について説明する。

（Ａ−１）第１の実施形態の構成
本実施形態にかかる通信システム１０の全体構成例を図２に示す。通信システム１０は全体として、広義のＴＣＰ／ＩＰプロトコルが通用するネットワーク、すなわちＴＣＰ／ＩＰネットワークを構成する。

図２において、当該通信システム１０は、インターネット１１と、ＬＡＮ１２とを備えている。

このうちインターネット１１側にはパソコン１３が存在する。このパソコン１３は、悪意のユーザ（攻撃者）ＵＸによって操作される。このユーザＵＸはＬＡＮ１２内への不正アクセス（攻撃）の意図と能力を有する。当該パソコン１３と悪意のユーザＵＸの組み合わせに相当する機能は、コンピュータウイルス（狭義のコンピュータウイルスだけでなく、ワームやトロイの木馬なども含む）に感染したコンピュータが持つ機能と同じである。したがって、悪意のユーザＵＸとパソコン１３の組み合わせは、当該コンピュータウイルスに感染した１または複数のコンピュータに置換することが可能である。なお、不正アクセスには、ＤｏＳ攻撃やＤＤｏＳ攻撃など、サービス停止を目的とする攻撃のほか、攻撃対象の通信装置内に蓄積されている個人情報を不正な方法で盗み出そうとする行為なども含まれる。

インターネット１１側に配置された攻撃検出装置１４はＩＤＳ（不正侵入検知システム）の機能を有するものであるが、単なるＩＤＳとは相違する点がある。攻撃検出装置１４の詳細については後述するが、当該攻撃検出装置１４は不正アクセス（不正侵入）を検知すると、その旨と不正アクセスの対象となっているＩＰアドレス（対象ＩＰアドレス）をＬＡＮ１２内のＩＰアドレス管理サーバ１６へ通知する。攻撃検出装置１４はＬＡＮ１２からみてインターネット１１側であればどこに設置されてもかまわないが、例えば、ＬＡＮ１２が収容されているＩＳＰ（インターネット接続事業者）網内に設置するようにしてもよい。ＩＳＰ網はインターネット１１の構成要素である。

前記ＬＡＮ１２内には、ルータ１５と、前記ＩＰアドレス管理サーバ１６と、パソコン１７〜１９が配置されている。

このうちルータ１５は、ＬＡＮ１２とインターネット１１をＯＳＩ参照モデルのネットワーク層で中継する中継装置である。

前記ＩＰアドレス管理サーバ１６は、ＤＨＣＰサーバの機能を有するものであるが、単なるＤＨＣＰサーバとは相違する点がある。ＩＰアドレス管理サーバ１６の詳細については後述するが、前記攻撃検出装置１４から通知を受けると、当該ＩＰアドレス管理サーバ１６は、現時点で、前記対象ＩＰアドレスが割り当てられているパソコンに、そのＩＰアドレスの変更を行わせる。

前記パソコン１７は、ＩＰプロトコルを処理するＩＰプロトコル処理モジュールやＤＨＣＰクライアントの機能などを搭載した通常のパソコンであってよい。他のパソコン１８，１９も当該パソコン１７と同じものであってよい。

パソコン１７にはＩＰアドレスＩＰ１が割り当てられ、パソコン１８にはＩＰアドレスＩＰ２が割り当てられ、パソコン１９にはＩＰアドレスＩＰ３が割り当てられているものとする。

なお、パソコン１７〜１８はいわゆるクライアント端末として各ユーザに利用されるパソコンであってもよいが、ここでは、パソコン１７〜１８はサーバ端末（例えば、Ｗｅｂサーバやメールサーバなど）であるものとする。当該サーバ端末が提供するサーバ機能（例えば、Ｗｅｂサーバ機能）を外部に公開するには、サーバ端末にグローバルＩＰアドレスを割り当てることが必要となる。グローバルＩＰアドレス以外のＩＰアドレス（例えば、プライベートＩＰアドレス）が不正アクセスの対象とならないわけではないが、ここでは、グローバルＩＰアドレスを割り当てるサーバ端末を想定する。したがって、ここでは、特にことわらない限り、ＩＰアドレスはグローバルＩＰアドレスである。

前記攻撃検出装置１４の内部構成は例えば図５に示す通りであってよい。

（Ａ−１−１）攻撃検出装置の内部構成例
図５において、当該攻撃検出装置１４は、通信部５０と、制御部５１と、記憶部５２と、ＩＤＳ部５３と、攻撃対象解析部５４と、攻撃通知生成部５５と、通知要否判定部５６とを備えている。

このうち通信部５０は当該攻撃検出装置１４の通信機能に対応する部分である。攻撃検出装置１４は自身宛てのパケットだけでなく、インターネット１１上を伝送される他の通信装置宛てのパケットも捕捉する必要がある。他の通信装置に対する不正アクセスを検知するには他の通信装置宛てのパケットを捕捉することが必要だからである。このような捕捉を行うため、通信部５０は、自身宛てでないパケットも受信する。

制御部５１はハードウエア的には当該攻撃検出装置１４のＣＰＵ（中央処理装置）に相当し、ソフトウエア的にはＯＳ（オペレーティングシステム）の主要部に相当し得る部分である。

記憶部５２はハードウエア的には不揮発性記憶手段（例えば、ＲＯＭやハードディスクなど）および揮発性記憶手段（例えば、ＲＡＭなど）に相当し、ソフトウエア的には、各種のファイルなどに相当する部分である。前記ＯＳなどソフトウエア的に実現された機能は、プログラムファイルやデータファイルなどの形でこのようなファイルの１つとなり得る。

ＩＤＳ部５３は上述したＩＤＳの機能に対応する部分である。当該ＩＤＳ部５３自体は基本的に通常のＩＤＳと同じ機能を持つものであってよい。

攻撃対象解析部５４は、前記ＩＤＳ部５３が不正アクセス（攻撃）を検知したとき、その不正アクセスの対象となっている通信装置（その通信装置に割り当てられているＩＰアドレス（前記対象ＩＰアドレス））を特定する部分である。通常、ネットワーク経由で、ある通信装置に対する不正アクセスを行うには、その通信装置宛てのパケットを送信する必要があるため、検知した不正アクセスに関するパケットの宛先ＩＰアドレスを抽出することが当該攻撃対象解析部５４の役割になる。

ここでは一例として、前記パソコン１７が不正アクセスの対象となっている場合を想定する。この場合、検知した不正アクセスに関するパケットの宛先ＩＰアドレスは、前記ＩＰ１である。

攻撃通知生成部５５は、前記ＩＤＳ部５３が不正アクセスを検知したときＩＰアドレス管理サーバ１６に通知する攻撃通知信号ＡＮ１を生成する部分である。

この攻撃通知信号ＡＮ１には、不正アクセスが試みられていることと、その不正アクセスに関する対象ＩＰアドレスの値を示す情報が含まれている。

図２上ではＬＡＮ１２以外のＬＡＮは図示していないが、通常、１つのＩＳＰ網には多数のＬＡＮ（その１つが、ＬＡＮ１２）が収容され、各ＬＡＮごとに、前記ＩＰアドレス管理サーバ１６が設置された構成となる。また、各ＬＡＮへのグローバルＩＰアドレスの割り当て（この場合、サーバ用に複数のＩＰアドレスを固定的に割り当てるＬＡＮ型のダイヤルアップＩＰ接続サービスが用いられ得る）は、ＩＳＰ自身が行ったものである。したがって、当該攻撃検出装置１４を前記ＩＳＰ網に設置する場合、ＩＳＰ（および、ＩＳＰと連携する攻撃検出装置１４）はいずれのＬＡＮにいずれのグローバルＩＰアドレスを割り当てたかを特定することができ、当該攻撃検出装置１４は、それを特定したうえで該当するＬＡＮ（ここでは、１２）のＩＰアドレス管理サーバ１６にのみ当該攻撃通知信号ＡＮ１を届けることができる。

いずれのＬＡＮにいずれのグローバルＩＰアドレスを割り当てたかを特定するのは、前記通知要否判定部５６である。なお、対象ＩＰアドレスが、いずれのＬＡＮにも割り当てていないものである場合、通知は不要であると判定する。当該通知要否判定部５６が、通知を要すると判定した場合にのみ、前記攻撃通知生成部５５に、該当するＬＡＮ内のＩＰアドレス管理サーバに宛てて送信するための、前記攻撃通知信号ＡＮ１を生成させる。

前記ＩＰアドレス管理サーバ１６の内部構成は例えば図４に示す通りであってよい。ＩＰアドレス管理サーバ１６はＬＡＮ１２内で各パソコン１７〜１９に対するＩＰアドレスの割り当てを行う。このＩＰアドレスは、前記ＩＳＰから割り当てを受けたものである。

（Ａ−１−２）ＩＰアドレス管理サーバの内部構成例
図４において、当該ＩＰアドレス管理サーバ１６は、通信部４０と、制御部４１と、記憶部４２と、攻撃通知解析部４３と、ＤＨＣＰサーバ部４４と、変更通知生成部４５と、変更要否判定部４６とを備えている。

このうち通信部４０は前記通信部５０に対応し、制御部４１は前記制御部５１に対応し、記憶部４２は前記記憶部５２に対応するので、その詳しい説明は省略する。

ただし前記通信部５０が、自身宛てでないパケットも受信したのに対し、当該通信部４０は、基本的に自身宛てのパケット（ＤＨＣＰのためのブロードキャストパケットも含む）のみを受信する。本実施形態の構成上、当該通信部４０が通信するのは、前記攻撃検出装置１４と、ＬＡＮ１２内のパソコン１７〜１９である。

前記ＤＨＣＰサーバ部４４は上述したＤＨＣＰサーバの機能を発揮する部分である。当該ＤＨＣＰサーバ部４４は、周知の通常のＤＨＣＰサーバと同様に、ＬＡＮ１２内のＤＨＣＰクライアントからの要求に応じて、ＴＣＰ／ＩＰネットワークの構成に関する所定の設定情報（コンフィギュレーション情報）を提供する。この設定情報のなかに、前記ＤＨＣＰクライアントを搭載した通信装置に割り当てるＩＰアドレスも含まれている。

ＩＰアドレスはＩＰプロトコル上で各通信装置を一意に識別するための識別情報であるため、常に、一意性を確保して割り当てる必要があり、ＤＨＣＰサーバ部４４では、いずれの通信装置にいずれのＩＰアドレスを割り当てたかを管理しているか、少なくとも、ＬＡＮ１２内のいずれかの通信装置に割り当てたＩＰアドレスと、いずれの通信装置にも割り当てていないＩＰアドレスを識別できるような形式でＩＰアドレスを管理している。

前記攻撃通知解析部４３は、前記攻撃検出装置１４が送信し当該ＩＰアドレス管理サーバ１６に受信された攻撃通知信号ＡＮ１を解析する部分である。解析結果として、前記対象ＩＰアドレスが得られる。

ＬＡＮ１２内における各パソコン１７〜１９に対するＩＰアドレスの割り当ては、当該ＩＰアドレス管理サーバ１６が行っているが、必ずしも前記ＩＳＰから割り当てを受けたすべてのＩＰアドレスを実際にいずれかのパソコンに割り当てているとは限らない。当該対象ＩＰアドレスがいずれのパソコンにも割り当てられていなければ、特段、処理を行う必要はないが、いずれかのパソコンに割り当てられている場合には、そのパソコンのＩＰアドレスを変更するための処理を実行する必要がある。

このように当該対象ＩＰアドレスが実際にＬＡＮ１２内のいずれかのパソコンに割り当てられているか否かを判定するのに最も適した通信システム１０中の通信装置は、前記ＤＨＣＰサーバ部４４を備えた当該ＩＰアドレス管理サーバ１６である。したがって、本実施形態では、ＩＰアドレス管理サーバ１６がこの判定を行うものとする。具体的には、当該ＩＰアドレス管理サーバ１６内の前記変更要否判定部４６が、この判定を行う。

変更要否判定部４６は、通知を受けた対象ＩＰアドレスが、少なくともＬＡＮ１２内のいずれかの通信装置（ここでは、パソコン１７とする）に割り当てられている場合、割り当てるＩＰアドレス（ここでは、ＩＰ１）の変更の必要があると判定する部分である。変更では、そのＩＰアドレスＩＰ１をＤＨＣＰサーバ部４４に回収させ、そのパソコン１７には前記対象ＩＰアドレスとは異なるＩＰアドレス（例えば、ＩＰ４）を割り当てる。対象ＩＰアドレスＩＰ１がパソコン１７に割り当てられたまま放置すると、当該パソコン１７が悪意のユーザＵＸの操作するパソコン１３からの攻撃にさらされる可能性が高いからである。

ＬＡＮ１２に対し、十分な数のＩＰアドレスがＩＳＰから割り当てられていないケースなどでは、ＬＡＮ１２内のパソコン間で割り当てるＩＰアドレスを入れ替え、当該対象ＩＰアドレスをＬＡＮ１２内の他のパソコン（例えば、１８）に割り当てても、不正アクセスの継続性が失われて、不正アクセスの実行を困難にする効果が期待できるが、よりセキュリティ性を高めるためには、その対象ＩＰアドレスＩＰ１を割り当てられた通信装置がＬＡＮ１２内に存在しないようにすることが望ましい。

前記変更通知生成部４５は、前記変更を行うように対象ＩＰアドレスが割り当てられた通信装置（パソコン１７）に通知する部分である。この通知は、変更通知信号ＳＮ１を当該パソコン１７に届けることによって行われる。当該変更通知信号ＳＮ１は通常のパケットに収容してＬＡＮ１２内を伝送するものであってもよいが、必要に応じて、その伝送のための独立した伝送路（管理網など）を用意するようにしてもよい。この点は、前記攻撃通知信号ＡＮ１の伝送に関しても同様である。

通常、ＤＨＣＰの手順ではＤＨＣＰクライアントからの要求に応じてＤＨＣＰサーバがＩＰアドレスの割り当てを行うため、このような手順の枠組みを維持しつつ当該変更を行うことは重要である。通常のＤＨＣＰの手順の枠組みを維持すれば、通常のＤＨＣＰクライアントの機能をほとんどそのまま用いることができ、既存のソフトウエア資産（この場合、ＤＨＣＰクライアントやＤＨＣＰサーバのプログラム等）を有効活用して開発コストの低減などの効果を得ることが期待できるからである。

前記パソコン１７の内部構成は例えば図３に示す通りであってよい。他のパソコン１８，１９の内部構成もこれと同じである。

（Ａ−１−３）パソコンの内部構成例
図３において、当該パソコン１７は、通信部３０と、制御部３１と、記憶部３２と、変更通知対応部３３と、サーバ部３４と、ＤＨＣＰクライアント部３５とを備えている。

このうち通信部３０は前記通信部５０に対応し、制御部３１は前記制御部５１に対応し、記憶部３２は前記記憶部５２に対応するので、その詳しい説明は省略する。

ただし前記通信部５０が、自身宛てでないパケットも受信したのに対し、当該通信部３０は、基本的に自身宛てのパケットのみを受信する。本実施形態の構成上、当該通信部３０が通信するのは、ＩＰアドレス管理サーバ１６のみでよい。もちろん、当該パソコン１７はサーバ端末であるから、提供するサーバ機能（例えば、Ｗｅｂサーバとしての機能）を利用するためにアクセスしてきたクライアント端末と通信することは当然である。例えば、前記悪意のユーザＵＸが操作するパソコン１３がこのようなクライアント端末を装ってアクセスしてきた場合、基本的にそれを拒否することは難しい。

当該パソコン１７に割り当てられたＩＰアドレス（図３の状態では、ＩＰ１）は、この通信部３０に設定される。

前記サーバ部３４は、当該パソコン１７が提供するサーバ機能を備える部分で、一例として、前記Ｗｅｂサーバに対応する。

ＤＨＣＰクライアント部３５は上述したＤＨＣＰクライアントに対応する部分である。このＤＨＣＰクライアント部３５は基本的に通常のＤＨＣＰクライアントであってよい。ＤＨＣＰクライアントは、ＯＳなどからの要求に応じて、パソコン１７が起動した場合などに、前記設定情報の割り当てを求めるため、ＤＨＣＰの手順を開始して前記ＤＨＣＰサーバ部４４とのあいだでＤＨＣＰに規定された制御信号群を送受する。ＤＨＣＰの手順は通常、ＤＨＣＰクライアント側から開始するものである。

前記変更通知対応部３３は、前記変更通知信号ＳＮ１を受信すると、ＤＨＣＰクライアント部３５に対し、前記ＤＨＣＰの手順を開始させる部分である。ＤＨＣＰの手順が開始されると、前記ＤＨＣＰサーバ部４４は通常のＤＨＣＰの枠組みを維持しながら、新たな設定情報をパソコン１７に割り当てることができるため、設定情報の一部であるＩＰアドレスＩＰ１を他のＩＰアドレス（ここでは、ＩＰ４とする）に変更することが可能になる。

以下、上記のような構成を有する本実施形態の動作について、図１のフローチャートと図９のシーケンス図を参照しながら説明する。

図１のフローチャートは通信システム１０の全体動作を示しており、Ｓ１０〜Ｓ１６の各ステップを備えている。図９のシーケンス図も通信システム１０全体の動作シーケンスを示しており、Ｓ２０〜Ｓ２５の各ステップを備えている。

ここでも、上述したように、主として、パソコン１７にＩＰアドレスＩＰ１が割り当てられており、当該ＩＰアドレスＩＰ１が前記対象ＩＰアドレスとなるケースを例に動作を説明する。

（Ａ−２）第１の実施形態の動作
すでにＩＰアドレス管理サーバ１６は、各ＩＰアドレスＩＰ１〜ＩＰ３をＬＡＮ１２内の各パソコン１７〜１９に割り当てており、各パソコン１７〜１９は通常のサーバ端末としての動作を実行しているものとする。例えば、前記パソコン１７はＷｅｂサーバとして動作している。

この間、当該ＬＡＮ１２を収容しているＩＳＰ網内の前記攻撃検出装置１４は、ＩＳＰ網内を伝送される各パケットを捕捉して不正アクセスを検知するための動作を行っている。この動作において、前記悪意のユーザＵＸが操作するパソコン１３からパソコン１７に宛てて送信されたパケットが、不正アクセスを試みるものであると検知されたものとする（Ｓ１０、Ｓ１１、Ｓ２０）。このパケットの宛先ＩＰアドレスはＩＰ１であるから、前記対象ＩＰアドレスはＩＰ１となり、前記通知要否判定部４６が、当該対象ＩＰアドレスＩＰ１をいずれのＬＡＮに割り当てたかを検査する（Ｓ１２）。いずれのＬＡＮにも割り当てていないければ、ステップＳ１２はＮＯ側に分岐して一連の処理が終わる（Ｓ１６）が、いずれかのＬＡＮに割り当てている場合には、ＹＥＳ側に分岐して処理がステップＳ１３に進む。

ステップＳ１３では、当該対象ＩＰアドレスＩＰ１を割り当てたＬＡＮが特定され、そのＬＡＮ内のＩＰアドレス管理サーバに、前記攻撃通知信号ＡＮ１が送信される。ここでは、ＬＡＮ１２が特定され、ＬＡＮ１２内のＩＰアドレス管理サーバ１６に攻撃通知信号ＡＮ１が送信されることになる。これは図９のステップＳ２１に対応する。

次に、当該攻撃通知信号ＡＮ１を受信したＩＰアドレス管理サーバ１６内の変更要否判定部４６が、その対象ＩＰアドレスＩＰ１を現時点で実際にＬＡＮ１２内のいずれかの通信装置に割り当てているか否かを判定する。割り当てていない場合には何もする必要はない。図１には示していないが、このケースでは、処理をステップＳ１６に進めて、一連の処理を終了させるものであってよい。

割り当てている場合には、ステップＳ１４およびＳ２３に示すように、その通信装置に前記変更通知信号ＳＮ１を送信する。ここでは、対象ＩＰアドレスＩＰ１がパソコン１７に割り当てられているため、パソコン１７に変更通知信号ＳＮ１を送信することになる。

当該変更通知信号ＳＮ１を受信したパソコン１７内では、変更通知対応部３３がＤＨＣＰクライアント部３５に、上述したＤＨＣＰの手順を開始させる（
Ｓ２４）ので、この手順のなかで、ＩＰアドレス管理サーバ１６は、前記対象ＩＰアドレスＩＰ１とは異なるＩＰアドレス（ここでは、ＩＰ４）を当該パソコン１７に割り当てることができる（Ｓ１５、Ｓ２５）。

このとき対象ＩＰアドレスＩＰ１はＤＨＣＰサーバ部４４に回収され、ＬＡＮ１２内に当該対象ＩＰアドレスＩＰ１を割り当てられた通信装置は存在しない状態となる。したがって前記悪意のユーザＵＸが操作するパソコン１３から、不正アクセスのため、当該対象ＩＰアドレスＩＰ１を宛先とするパケットがＬＡＮ１２内に届いたとしても、もはやＬＡＮ１２内にはそのパケットをＯＳＩ参照モデルのネットワーク層以上の階層で受信する通信装置は存在しないため、不正アクセスは阻止される。

すでに不正アクセスのためのパケットがいくつかパソコン１７まで到達している段階で、パソコン１７のＩＰアドレスが対象ＩＰアドレスＩＰ１からＩＰ４に変更された場合でも、不正アクセスを阻止できる点は同じである。多くの場合、不正アクセスを成功させるには、悪意のユーザＵＸが操作するパソコン１３はかなりの数のパケットを対象ＩＰアドレスとのあいだで送受する必要があるからである。

（Ａ−３）第１の実施形態の効果
本実施形態によれば、不正アクセスのために前記対象ＩＰアドレス（例えば、ＩＰ１）に宛てて送信されるパケットがＬＡＮ（１２）内に届いたとしても、ＬＡＮ内の通信装置（例えば、パソコン１７）に割り当てるＩＰアドレスを当該対象ＩＰアドレスと異なるものに変更することができるため、不正アクセスを阻止することができ、セキュリティ性が高まる。

（Ｂ）第２の実施形態
以下では、本実施形態が第１の実施形態と相違する点についてのみ説明する。

（Ｂ−１）第２の実施形態の構成および動作
本実施形態にかかる通信システム６０の全体構成例を図７に示す。

図７において、当該通信システム６０は、インターネット１１と、ＬＡＮ１２とを備えている。インターネット１１上にはパソコン１３と攻撃検出装置６１が設置され、ＬＡＮ１２上には、ＩＰアドレス管理サーバ１６と、パソコン１７〜１９が設置されている。

このうち図２と同じ符号１１〜１９を付与した各構成要素の機能は基本的に第１の実施形態と同じなので、その詳しい説明は省略する。

本実施形態の攻撃検出装置６１は第１の実施形態の攻撃検出装置１４に対応する通信装置であるが、ＩＤＳの代わりにハニーポットの機能を搭載している点が相違する。

当該攻撃検出装置６１の内部構成は例えば図６に示す通りであってよい。

図６において、当該攻撃検出装置６１は、通信部５０と、制御部５１と、記憶部５２と、攻撃対象解析部５４と、攻撃通知生成部５５と、通知要否判定部５６と、ハニーポット部６２とを備えている。

ハニーポット部６２は上述したハニーポットの機能に対応する部分である。当該ハニーポット部６２自体は、基本的に周知のハニーポットであってよい。すなわち当該ハニーポット部６２は、悪意のユーザＵＸから見て、一見、杜撰な方法で、重要そうな情報を蓄積、管理している収穫の多い攻略容易な（セキュリティホールを残した）攻撃対象であるかのように振る舞うが、これらはすべて偽装であり、実際には、セキュリティ的な観点で厳格に構成、管理されていて、乗っ取ることも踏み台にすることも不可能である。ハニーポット部６２の真の役目は、悪意のユーザＵＸによる攻撃の手法を調べたり、悪意のユーザＵＸに関する情報を収集したりする点などにある。

このようなハニーポットの性能要件を満たすために必要な場合などには、当該ハニーポット部６２は、攻撃検出装置６１の一部としてではなく、独立した通信装置（独立したコンピュータ）として構成するようにしてもかまわない。

いずれにしても、当該ハニーポット部６２が存在することにより、悪意のユーザＵＸの注意は当該ハニーポット部６２に向かいやすく、悪意のユーザＵＸの労力や時間は、その大部分がハニーポット部６２の攻略のために投入されるものと期待できるため、前記対象ＩＰアドレスＩＰ１を割り当てられたパソコン１７が不正アクセスの被害を受ける前に、当該パソコン１７のＩＰアドレスを対象ＩＰアドレスＩＰ１から変更できる可能性が高まる。また、例えば、ハニーポット部６２に対して悪意のユーザＵＸが行った行動を、パソコン１７に対する不正アクセスの予兆として検知することができる可能性もある。

本実施形態の通信システム６０の動作例を図１１のフローチャートに示す。

図１１のフローチャートは、第１の実施形態における図１に対応するもので、Ｓ１０〜Ｓ１６およびＳ３０の各ステップを備えている。

このうち図１と同じ符号Ｓ１０、Ｓ１２〜Ｓ１６を付与した各ステップの処理は第１の実施形態と同じであるので、その詳しい説明は省略する。

図１１において、ステップＳ１０とＳ１２のあいだで処理されるステップＳ３０では、攻撃検出装置６１がウイルス攻撃を検出している。このウイルス攻撃は、パソコン１３を操作する悪意のユーザＵＸによる攻撃に置き換えることができる。

当該ステップＳ３０の検出は、主として、前記ハニーポット部６２の機能によって行われるものであってよい。

（Ｂ−２）第２の実施形態の効果
本実施形態では、第１の実施形態の効果と同等な効果を得ることができる。

また、本実施形態では、ハニーポット部（６２）の機能により、ＬＡＮ（１２）内の通信装置（１７〜１９）のセキュリティ性は第１の実施形態より高まることが期待できる。

（Ｃ）第３の実施形態
以下では、本実施形態が第１、第２の実施形態と相違する点についてのみ説明する。

（Ｃ−１）第３の実施形態の構成および動作
本実施形態にかかる通信システム７０の全体構成例を図８に示す。

図８において、当該通信システム７０は、インターネット１１と、ＬＡＮ７１とを備えている。ＬＡＮ７１上には、ＩＰアドレス管理サーバ１６と、パソコン１７〜１９と、攻撃検出装置１４と、パソコン１３とが設置されている。

このうち図２と同じ符号１１、１３〜１９を付与した各構成要素の機能は基本的に第１の実施形態と同じなので、その詳しい説明は省略する。

ただし、第１の実施形態ではインターネット１１上に配置されていた攻撃検出装置１４と悪意のユーザＵＸが操作するパソコン１３が、本実施形態では、ＬＡＮ７１内に配置されている。

このようにＬＡＮ内の通信装置が、同じＬＡＮ内の他の通信装置から不正アクセスを受けることは実際にも多い。

また、攻撃検出装置１４をＬＡＮ７１内に配置しているのは、ＬＡＮ７１内で伝送されるパケットを捕捉して不正アクセスの試みを検出するためである。攻撃検出装置１４は、ハニーポットの機能を搭載した攻撃検出装置６１に置換することも可能である。

（Ｃ−２）第３の実施形態の効果
本実施形態では、ＬＡＮ（７１）内のある通信装置（例えば、１３）から他の通信装置（例えば、１７）への不正アクセスに関し、第１、第２の実施形態の効果と同等な効果を得ることができる。

（Ｄ）他の実施形態
上記第１〜第３の実施形態において、１つの通信装置に配置した機能は複数の通信装置に分けて配置することが可能であり、複数の通信装置に分けて配置した機能は１つの通信装置にまとめて配置することが可能である。

例えば、図５に示したＩＤＳ部５３と攻撃要否判定部５６は、別個の通信装置に分けて配置することも可能である。

本発明におけるネットワーク構成は、図２，図７，図８などに示したものから変更することができることは当然である。例えば、図２などでは、ルータは一台のみ存在したが、複数のルータが存在してもかまわない。その場合、サブネット（ルータで区切られた範囲）ごとに、ＩＰアドレス管理サーバ（例えば、１６）が存在するものであってもよい。もちろん、ＬＡＮ内に設置されるパソコンの数は、上述した３台より少なくてもよく、多くてもよいことは当然である。

また、本発明はグローバルＩＰアドレスだけでなく、プライベートＩＰアドレスなどにも適用可能である。ＬＡＮ内のある通信装置から他の通信装置に不正アクセスが行われる場合などには、もちろん、当該他の通信装置のＩＰアドレスがプライベートＩＰアドレスであってもよく、グローバルＩＰアドレスであってもよい。場合によって、その他、特定のＩＰアドレスが当該他の通信装置に割り当てられていることも起こり得る。

さらに、ＷＡＮ側の通信装置からＬＡＮ内の通信装置に対して不正アクセスが行われる場合、あいだにアドレス変換を介在させれば、ＬＡＮ内の通信装置に割り当てたＩＰアドレスはプライベートＩＰアドレスであってもよい。ＷＡＮ側に設定された多数のグローバルＩＰアドレスとＬＡＮ側に設定された多数のプライベートＩＰアドレスのあいだでアドレス変換を行う多対多のアドレス変換を想定すると、ＩＰアドレス管理サーバ１６によって、ＬＡＮ内のサーバ端末のプライベートＩＰアドレスが変更されれば、不正アクセスの継続性が失われて、不正アクセスの実行が困難になるからである。

なお、基本的に、以上の説明では、ＩＰアドレスとしてＩＰｖ４アドレスを想定したが、本発明は、ＩＰｖ６アドレスにも適用可能である。

また、上記第１〜第３の実施形態の特徴は、上述したものとは異なる組み合わせで複合することも可能である。

例えば、攻撃検出装置１４は、インターネット１１上とＬＡＮ１２上に同時に設置してもかまわない。また、ハニーポットの機能を搭載した攻撃検出装置６１とＩＤＳの機能を搭載した攻撃検出装置１４を同時に設置してもかまわない。その場合には、攻撃検出装置６１から届いた攻撃通知信号ＡＮ１と攻撃検出装置１４から届いた攻撃通知信号ＡＮ１の双方に基づいて、パソコン１７のＩＰアドレスを変更するか否かを決定するようにしてもよい。

なお、図９の動作シーケンス図は、図１０の動作シーケンス図に置換することが可能である。

図１０はＳ２０〜Ｓ２３およびＳ４０，Ｓ４１の各ステップを備えている。このうち図９と同じ符号Ｓ２０〜Ｓ２３を付与した各ステップの処理は第１の実施形態と同じなので、その詳しい説明は省略する。

図１０では、ステップＳ２３のＩＰアドレス変更通知（変更通知信号ＳＮ１の送信）を行うことにより、ＤＨＣＰクライアントを搭載したパソコン１７側からＤＨＣＰの手順を開始させることにより、通常のＤＨＣＰの手順の枠組みを維持しながらパソコン１７のＩＰアドレスを変更するようにしたが、図１０では、ＩＰアドレス管理サーバ１６側からパソコン１７に対し、ＩＰアドレスの変更を要求し（Ｓ４０）、パソコン１７がその変更を承認した場合には（Ｓ４１）、パソコン１７に割り当てるＩＰアドレスを変更する。

なお、以上の説明では、攻撃検出信号ＡＮ１が届いた場合などには、対象ＩＰアドレスＩＰ１だけをＬＡＮ（例えば、１２）内で用いないようにしたが、ＬＡＮ１２内で当該対象ＩＰアドレスを割り当てられていたパソコン１７の周辺に存在するパソコン（例えば、パソコン１７と同一のサブネットに属する他のパソコン）のＩＰアドレスも変更し、用いないようにしてもよい。

また、上述した管理網は、攻撃通知信号ＡＮ１の伝送にのみ利用してもよい。

さらに、本発明は、前記パソコン１７〜１８がサーバ端末ではなく、クライアント端末として各ユーザに利用されるパソコンである場合にも適用可能である。

なお、上記第１〜第３の実施形態で用いた通信プロトコルは必要に応じてその他の通信プロトコルに置き換えてもよい。

例えば、ＩＰプロトコルの代わり、ＩＰＸプロトコルなどを用いることができる可能性もある。

また、本発明は前記特許文献１の技術と矛盾するものではないので、特許文献１の技術と組み合わせて用いることもできる。

以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することが可能であり、ソフトウエア的に実現した機能のほとんど全ては、ハードウエア的に実現することが可能である。

第１の実施形態にかかる通信システムの全体動作例を示すフローチャートである。 第１の実施形態にかかる通信システムの全体構成例を示す概略図である。 第１および第２の実施形態で使用するパソコンの内部構成例を示す概略図である。 第１および第２の実施形態で使用するＩＰアドレス管理サーバの内部構成例を示す概略図である。 第１の実施形態で使用する攻撃検出装置の内部構成例を示す概略図である。 第２の実施形態で使用する攻撃検出装置の内部構成例を示す概略図である。 第２の実施形態にかかる通信システムの全体構成例を示す概略図である。 第３の実施形態にかかる通信システムの全体構成例を示す概略図である。 第１〜第３の実施形態にかかる通信システムの全体動作例を示すシーケンス図である。 他の実施形態にかかる通信システムの全体動作例を示すシーケンス図である。 第２の実施形態にかかる通信システムの全体動作例を示すフローチャートである。

符号の説明

１０、６０，７０…通信システム、１２、７１…ＬＡＮ、１３，１７〜１９…パソコン、１４，６１…攻撃検出装置、１５…ルータ、１６…ＩＰアドレス管理サーバ、３３…変更通知対応部、３４…サーバ部、３５…ＤＨＣＰクライアント部、４３…攻撃通知解析部、４４…ＤＨＣＰサーバ部、４５…変更通知生成部、４６…変更要否判定部、５３…ＩＤＳ部、５４…攻撃対象解析部、５５…攻撃通知生成部、５６…通知要否半知恵部、６２…ハニーポット部、ＩＰ１〜ＩＰ４…ＩＰアドレス。

Claims (4)

1. 不正アクセスを検知する不正アクセス検知装置と、割り当て処理によって変更され得る可変アドレスの割り当てを受ける１または複数の通信装置と、当該通信装置に対する前記可変アドレスの割り当て状況を管理する可変アドレス管理装置とを備えた不正アクセス防止システムにおいて、
   前記不正アクセス検知装置は、
   前記不正アクセスを検知すると、当該不正アクセスのために送信されたプロトコルデータ単位の宛先可変アドレスを抽出して前記可変アドレス管理装置に通知する対象可変アドレス通知部を備え、
   前記可変アドレス管理装置は、
   前記対象可変アドレス通知部から通知を受けた宛先可変アドレスが、現時点で、前記通信装置に割り当てられているか否かを検査する割り当て状況検査部を備え、
   この検査の結果、現在、前記宛先可変アドレスが通信装置に割り当てられている場合には、その通信装置に割り当てる可変アドレスを変更させることを特徴とする不正アクセス防止システム。
2. 請求項１の不正アクセス防止システムにおいて、
   前記通信装置が、割り当て要求信号を送信して可変アドレスの割り当てを要求する割り当てクライアント機能部を有し、前記割り当て処理が、当該割り当てクライアント機能部から割り当て要求信号が送信されることによって開始されるものである場合、前記可変アドレス管理装置は、当該通信装置に対して割り当て要求信号の送信を依頼するための送信依頼信号を送信する割り当て要求依頼部を備え、
   前記通信装置は、
   前記割り当て要求依頼部から送信依頼信号が届いた場合、前記割り当てクライアント機能部を動作させて割り当て要求信号を送信させる割り当て要求制御部を備え、
   当該通信装置から割り当て要求信号が届くと、前記可変アドレス管理装置は、前回とは異なる可変アドレスを割り当てるように、前記割り当て処理を制御することを特徴とする不正アクセス防止システム。
3. 不正アクセスを検知する不正アクセス検知装置と、割り当て処理によって変更され得る可変アドレスの割り当てを受ける１または複数の通信装置と、当該通信装置に対する前記可変アドレスの割り当て状況を管理する可変アドレス管理装置とを使用する不正アクセス防止方法において、
   前記不正アクセス検知装置では、
   対象可変アドレス通知部が、前記不正アクセスを検知すると、当該不正アクセスのために送信されたプロトコルデータ単位の宛先可変アドレスを抽出して前記可変アドレス管理装置に通知し、
   前記可変アドレス管理装置では、
   割り当て状況検査部が、前記対象可変アドレス通知部から通知を受けた宛先可変アドレスが、現時点で、前記通信装置に割り当てられているか否かを検査し、
   この検査の結果、現在、前記宛先可変アドレスが通信装置に割り当てられている場合には、その通信装置に割り当てる可変アドレスを変更させることを特徴とする不正アクセス防止方法。
4. 不正アクセスを検知する不正アクセス検知装置と、割り当て処理によって変更され得る可変アドレスの割り当てを受ける１または複数の通信装置と、当該通信装置に対する前記可変アドレスの割り当て状況を管理する可変アドレス管理装置とを使用する不正アクセス防止プログラムにおいて、
   前記不正アクセス検知装置では、コンピュータに、
   前記不正アクセスを検知すると、当該不正アクセスのために送信されたプロトコルデータ単位の宛先可変アドレスを抽出して前記可変アドレス管理装置に通知する対象可変アドレス通知機能を実現させ、
   前記可変アドレス管理装置では、コンピュータに、
   前記対象可変アドレス通知機能から通知を受けた宛先可変アドレスが、現時点で、前記通信装置に割り当てられているか否かを検査する割り当て状況検査機能を実現させ、
   この検査の結果、現在、前記宛先可変アドレスが通信装置に割り当てられている場合には、その通信装置に割り当てる可変アドレスを変更させることを特徴とする不正アクセス防止プログラム。

Images