JP2007189725A - 通信方法及び通信網侵入防御方法並びに通信網侵入試み検知システム - Google Patents

Abstract

【課題】通信網用侵入防御方法及びシステムは、目標ホストのサイバー座標が所定の予定表と侵入試み検知時の両方に基づいて変更されるアドレス敏捷性を実現する。
【解決手段】システムは、ランダム順序のサイバー座標を生成し現在と次のサイバー座標の集合を含んだ一連の表を維持する管理装置（１８）を備えている。これらのサイバー座標は、無許可のアクセスを防止するために、暗号化処理にかけられた上で許可されたユーザ（１２）に配布される。
【選択図】図１

Description

本発明は、１９９９年５月１７日出願の米国特許出願番号６０／１３４，５４７の一部継続出願である。

歴史的に、いかなる技術も主として性能のパラメータに焦点を当てながら進化を開始し、その一定の発達段階においてのみ、その利用の安全面に取り組むことになる。コンピュータネットワークと通信網も歴史的にこのパターンを辿っている。例えば、インターネットの発達において最初に優先されたのは、通信路の信頼性、生存性、使用の最適化、及びその速度と容量の最大化であった。一部の行政システムにおける顕著な例外はあるが、通信のセキュリティは、たとえあったとしても、初期の上位優先事項ではなかった。その代わりに、インターネットの発達の初期段階でユーザの数が相対的に少なかったため、及びユーザのあり方が内輪的であったために、サイバー攻撃の可能性の問題は、その当時克服すべき他の技術的及び機構的問題の大きさを考えれば、対処するにはほとんど不自然であったであろう。また、インターネットの理念の１つは、セキュリティの概念とはほとんど対照的な通信路及び情報へのアクセスの“民主化”であった。今や、既に実現された通信路及び情報へのアクセスの“民主化”を維持しながら適切なレベルの通信のセキュリティを必要とする状況に直面している。

インターネットの原初の開発者たちの初期の目的の全ては、彼らの期待をほぼ確実に上回る十分に華々しい結果を伴って達成された。今日までのインターネットの発達の中で注目すべき最大の結果の１つは、上述の“民主化”である。しかしながら、無防備なやり方では、“民主化”というのは明らかに一定の割合のインターネットユーザにとって時期尚早であるか、人間性に反しているか、あるいはその両方である。相変わらず、まさにこの割合のユーザが国の重要な基盤設備の保全性、情報の機密性及びインターネットの機能を利用した更なる産業の進歩に対して重大な脅威を与えているというのが実情である。現段階では、セキュリティの問題に取り組むことは極めて重要に思われるが、従来通り、既存の構造と技術上の取決めの範囲内で対処することが望ましい。

現在の通信規約は、通信を能率化する一方で、セキュリティのために十分な基礎エントロピーには未だ欠けている。エントロピーを増大させる１つの方法は、勿論、フィンレイ(Finley)に対する米国特許５，７４２，６６６号によって例示される暗号化である。この場合、インターネット上の各ノードは、次のノードによってのみスクランブル解除可能な符号を用いて宛先アドレスを暗号化する。

暗号化は単独では多くの通信アプリケーションに対して実行可能なセキュリティ解決策であることを証明していない。暗号化は、その中核の目的の範囲内でさえ、未だに、鍵の配布や安全保護等、一定のセキュリティ問題を抱えている。さらに、暗号化は、情報処理速度と伝送時間をかなり低下させる“バラスト”になっている。これらの要因は多数の境界例においてその利用を思い止まらせることになっている。

もう１つの方法はパスワードの使用である。この方法は人間に対抗するには十分であったが、コンピュータに対しては明らかに機能していない。パスワード利用セキュリティの安全性面での成功は最良の場合でも一時的である。コンピュータの能力の急速な進歩により、どんなに複雑なパスワード構成でさえ短期間の解決策になっている。

最新の研究では、ウェジンガー(Wesinger)他に対する米国特許５，８９８，８３０号に例示するようなファイアウォール技術もまたセキュリティ問題に対して十分に長期の解決策になっていないことが明らかになっている。ファイアウォール技術は、ある程度までは有用であるが、単独では最新レベルの侵入サイバー攻撃に耐えることができない。
米国特許５，７４２，６６６号明細書 米国特許５，８９８，８３０号明細書

他のあらゆるものに加えて、暗号化等の既存のセキュリティ方法はいずれもサービス妨害攻撃に対する防御になっていない。サービス妨害攻撃に対する防御は、通信システムのセキュリティの重要な側面になっている。暗号化を利用したもの等、既存の全てのログオンセキュリティシステムは、実際にはそのような攻撃に対して無防備である。攻撃しようとする者に悪意があれば、その攻撃者が、侵入の試みに失敗しても、さらにサービス妨害攻撃によってシステムを不能にして損害をもたらす可能性があると推測することはもっともなことである。当然、既存のシステムは、正当であろうとなかろうと、あらゆるログオンの試みに対処しなければならないので、サービス妨害攻撃に対して身を守れないことは明らかである。

既存のセキュリティ方法が通信システムを保護するには不備があるので、ネットワーク通信において許容レベルのセキュリティを実現するには新世代のサイバー保護技術が必要であるという結論に達する。

本発明の第１の目的は、インターネット利用コンピュータ間、企業・組織コンピュータネットワーク（ＬＡＮ）、電子商取引システム、無線コンピュータ通信網、電話ダイアル呼出しシステム、無線ダイアル呼出しシステム、無線電話及びコンピュータ通信システム、セルラー及び衛星電話システム、移動電話及び移動通信システム、有線利用システム、コンピュータデータベース等の広範囲の通信網での使用に適合するとともに、ルータ、交換機、ゲートウェイ、ブリッジ、フレームリレー等のネットワークノードの保護に適合する新規かつ改良型の通信方法、新規かつ改良型の通信網侵入防御方法及びシステム、並びに新規かつ改良型の侵入試み検知方法及びシステムを提供することである。

本発明の別の目的は、ログオン試みの許容回数を制限することと組み合わせてアドレス敏捷性を実現する新規かつ改良型の通信網侵入防御方法及びシステムを提供することである。

本発明のさらに別の目的は、番号、アドレスコードまたはアクセスコードによってアクセス可能な広範囲の通信その他の装置用の新規かつ改良型の侵入防御方法を提供することである。この番号、アドレスコードまたはアクセスコードは周期的に変更され、許可されたユーザに対してのみ新しい番号、アドレスコードまたはアクセスコードが送られる。この新しい番号、アドレスコードまたはアクセスコードは許可されたユーザのコンピュータまたは装置に対して送られ、他者にはアクセスできないようにしてもよい。この識別名により、ユーザのコンピュータは別の方法では未知でアクセス不可能な番号、アドレスコードまたはアクセスコードを送信する。

本発明のさらに別の目的は、複数のそれぞれ異なるサイバー座標が正しく与えられた後でなければ保護付通信装置や特定の情報部分へのアクセスが許可されない新規かつ改良型の通信網侵入防御方法及びシステムを提供することである。全てのあるいは一部のサイバー座標が正しく与えられなければ、アクセスを拒否し、警報状態を誘発させ、被害を受けたサイバー座標を直ちに変更してもよい。

本発明上、サイバー座標とは、サイバースペース内の（コンピュータ等の）物体や（コンピュータファイル等の）情報部分の所在地を定めるステートメントの集合と定義する。サイバー座標には、インターネットのＩＰアドレス、コンピュータのポート番号または指示子、コンピュータまたはデータベースのディレクトリ、ファイル名または指示子、電話番号、アクセス番号またはコード等の私用または共用プロトコルネットワークアドレスがあるが、それらに限定されない。

本発明の上記及びその他の目的は、侵入しようとする者は最初にホストワークステーション等の目標のコンピュータがサイバースペース内のどこに存在するかを推測し、かつワークステーション等の目標のコンピュータが次にサイバースペース内のどこに位置することになるかを予想しなければならないという、通信網侵入防御方法及びシステムを提供することによって達成される。このことは、所定のあるいはランダムの予定表に沿ってワークステーション等のコンピュータの１つのサイバー座標（アドレス）または複数のサイバー座標を変更し、システムが侵入の試みを検知した場合は予定外のサイバー座標変更を行うことによって実現される。侵入の試みを確認し、サイバー座標を変更する前に、わずかな回数のログオン試みを許可することもできる。ランダム順序のサイバー座標を生成し、現在と次のアドレス集合を含んだ一連の表を維持する管理装置が設けられる。これらのアドレスは、通常は暗号化処理を使用して、許可された関係者に配布される。

本発明はさらに、侵入しようとする者は最初にコンピュータファイルやディレクトリ等の目標の情報部分がサイバースペース内のどこに存在するかを推測し、かつその目標の情報部分が次にサイバースペース内のどこに存在することになるかを予想しなければならないという、情報、コンピュータまたはデータベース侵入防御方法及びシステムに備えている。このことは、所定のあるいはランダムの予定表に沿って情報部分の１つまたは複数のサイバー座標を変更し、システムが侵入の試みを検知した場合は予定外のサイバー座標変更を行うことによって実現される。侵入の試みを確認し、サイバー座標を変更する前に、わずかな回数のログオン試みを許可することもできる。ランダム順序のサイバー座標を生成し、現在と次のサイバー座標集合を含んだ一連の表を維持する管理装置が設けられる。これらのアドレスは、通常は暗号化処理を使用して、許可された関係者に配布される。

正しいサイバー座標の全てあるいは一部が存在しない場合にログオン試みを侵入試みとして分類するとともに警報状態を誘発させることによって、上述したような保護付装置と情報部分に対する侵入試み検知方法及びシステムが提供される。

既存の通信システムは、通信の発信元と受信側に対してサイバースペース内で固定の座標を使用している。インターネットに関して一般的に受け入れられている用語では、これらのサイバー座標を発信元ＩＰアドレス及び宛先ＩＰアドレスと称している。サイバー攻撃の状況は、これら通信システム内へ無許可で侵入する目的であるため、軍事的に言えばサイバースペース内の既知の座標に位置する静止目標への狙い撃ちであると表現できるかもしれない。明らかに、静止目標よりも動く目標のほうが安全であり、侵入者にとって未知の座標を持つ動く目標はさらにより安全である。本発明の方法は、サイバースペース環境と、コンピュータ及びその他の通信装置の物理座標とそのサイバー座標との間の相関が重要ではないという事実とを利用している。

コンピュータ及びその他の通信装置の物理座標を変更することは難しいが、そのサイバー座標（サイバーアドレス）ははるかに簡単に変更可能であり、本発明によれば、可変であるとともに時間の経過とともに変更しつづけることもできる。時間とともにサイバー座標を変動させることに加え、サイバー座標は、侵入の試みを検知した場合には直ちに変更可能である。さらに、現在のサイバー座標を許可された関係者にのみ入手可能にすることによって、コンピュータ及びその他の通信装置が、攻撃をしようとする者にとって未知のサイバー座標を有する動く目標になる。この方法は、実効上、サイバースペース内で絶え間なく移動する装置を作り出す。

本発明の方法がコンピュータ及びコンピュータネットワークに適用されるものであることを第１に考えれば、コンピュータの現在のサイバーアドレスは、可変という特徴を伴ったその最初のログオンパスワードとして役立てることもできる。しかしながら、ユーザはコンピュータの不変の識別名、すなわち、実際には対応するネットワーク内で割り当てられた“名前”だけを扱わなければならない。どのような不変の識別名も使用可能であり、アルファベット“名前”システムは合理的に考えてユーザが使いやすい物であると思われる。そのような構成の１つでは、その数値または他の種類のサイバーアドレスに対して規則的なあるいは不規則な間隔で周期的に変更を加える一方で、サイバーアドレス不変識別名としてコンピュータのアルファベットドメイン名システムを利用することが必要になるだろう。この分離により、セキュリティシステムがユーザにとって透過的になり、ユーザはアルファベットアドレスだけを扱えばよくなる。実際には、ユーザのコンピュータには、アルファベットアドレスが不変であり、対応する可変アドレスがより複雑でネットワーク管理者によって周期的に更新される“アドレス帳”が格納されることになるだろう。ユーザがその名前すなわちアルファベットアドレスに基づいてネットワークの他のメンバと作業している間に、そのコンピュータはその時間に割り当てられた対応する可変の数値その他のアドレスに基づいて通信を行う。

可変アドレスシステムは、ほぼあらゆるレベルのエントロピーと大部分の高度な攻撃を拒むのに確実に十分なエントロピーを含むようにすることが比較的容易に可能である。明らかに、保護レベルは可変アドレスシステムに含まれるエントロピーレベルとサイバーアドレス変更の頻度に直接関連している。

この筋書きによると、攻撃をしようとする者は、攻撃を仕掛ける前に目標を発見しなければならないという非常に困難な状況に置かれる。ログオン試みの許容回数に対して制限を行えば、攻撃者が目標を発見することはそれを実際に攻撃することよりも困難になる。この目標を突き止める作業は、ネットワークのサーバアドレスシステムが十分なエントロピーを有している場合に困難にすることができる。さらにセキュリティシステムがログオン試みの許容回数を制限してエントロピー密度を大幅に上昇させている場合には、この困難さは大幅に増大する。

本発明上、エントロピー密度は確率変数の値を推定する１回の試みあたりのエントロピーと定義される。

図１は、本発明の方法に従って動作する単純なコンピュータ侵入防御システム１０を示す。この場合、遠隔ユーザのコンピュータ１２が、ゲートウェイルータ、すなわち、ブリッジ１６によって保護付コンピュータ１４に接続されている。管理システム１８は、複数のサイバーアドレスを格納するサイバーアドレス帳２０から新しいアドレスを与えることによってコンピュータ１４のアドレスを周期的に変更する。各新しいアドレスは管理システム１８によりルータ１６とユーザコンピュータのアドレス帳２２に送られる。アドレス帳２２には、ユーザが入手可能なコンピュータ１４用のアルファベット宛先アドレスと、ユーザには入手できない可変数値サイバーアドレスの両方が格納されている。ユーザがコンピュータ１４のアルファベットアドレスで情報パケット送信したい時は、このアルファベットアドレスが自動的に現在の数値サイバーアドレスに置換されてパケット内で使用される。

図１及び図２において、２４で示すように、ゲートウェイルータすなわちブリッジ１６がパケットを受け取ると、２６においてそのサイバーアドレスをゲートウェイルータすなわちブリッジ１６が検査し、宛先アドレスが正しい場合は、２８においてパケットをコンピュータ１４に渡す。宛先アドレスが正しくない場合は、セキュリティ分析部３０にパケットを渡し、３２においてセキュリティ分析部３０がそのパケットがログイン試みの回数の制限内で正しいアドレスで再送信されたものであるか否かを判定する。もしそうであれば、２８において、セキュリティ分析部がパケットをコンピュータ１４に転送する。しかしながら、ログイン試みの許容回数の制限内で正しいアドレスが受け取られなかった場合は、パケットはコンピュータ１４に転送されず、３６においてセキュリティ分析部が警報部３４を起動させ、３８において警報部３４が管理装置に対して直ちにサイバーアドレスを変更する操作を行わせる。

高度なサイバー攻撃は、クライアントログオン向けのポート以外のコンピュータポートを通して侵入する場合が多い。主として図１及び図２に関連して説明したシステムが実施された場合、少なくとも攻撃者が特定のコンピュータに対して低レベルの許可されたアクセス権を有しており、その現在の可変アドレスを知っていれば、ポートの脆弱性はネットワーク内からの攻撃に対して開口となる。

コンピュータポートは、コンピュータ自体の保護と同じ方法で保護することができる。この場合、コンピュータに対するポート割当ては可変になり、図１及び図２に関連した説明した場合と同様に周期的に変更される。その後、特定のポートの現在の割当てが適切な関係者のみに伝達され、他者には通知されない。それと同時に、上述の方法と同様に、コンピュータのユーザはそのポートの不変の“名前”となる不変のポート割当てを扱うことになる。

しかしながら、この構成は、エントロピー密度が不充分になる可能性があるので、かなりの計算能力を使用したポート攻撃から確実に防御するには本質的に十分ではないかもしれない。そのような防御は、共通のゲートウェイルータすなわちブリッジ１６がコンピュータ宛先アドレスに対して果たすのと本質的に同じ役割をポート識別名に対して果たすような内部コンピュータ“ポートルータ”を実装することで達成可能である。

図１及び図２に関連して先に説明したのと同じ構成要素と動作に対して同じ符号を用いた図３及び図４を参照すると、保護付コンピュータ１４の手前にポートルータ４０が設けられ、このポートルータには、管理装置１８によってポート番号、すなわち、指示子が付与される。このポート番号すなわち指示子は、ユーザのアドレス帳２２にも送られ、サイバーアドレスが変更された時に、あるいは、それとは別に変更されることになる。したがって、図４に示すように、２６においてサイバーアドレスが無事に通過すると、４２においてポート番号すなわち指示子が検査される。ポート番号も正しければ、２８においてデータパケットがコンピュータ１４に渡される。最初、ポート番号が正しくなければ、パケットは、セキュリティ分析部３０に送られ、３２においてそのパケットがログイン試みの回数の制限内で正しいポート番号で再送されているか否かが判定される。

ポート保護機能はシステムのほかの機能とは無関係に利用することができる。ポート保護機能は、ルータ、ゲートウェイ、ブリッジ、フレームリレー等の基盤設備のノードを無許可のアクセスから有効に防御することができる。これにより、攻撃者がそのようなノードからサイバー攻撃に入ることからシステムを防御することができる。

本発明の方法及びシステムは、インターネット利用コンピュータネットワークとＬＡＮ等の専用コンピュータネットワークの両方にセキュリティを提供するよう構成することができる。

インターネットの構造は、多数のインターネット接続コンピュータの間でインターネットを利用した専用サイバーネットワーク（ＰＣＮ）を構築することを可能にする。この目的のため、専用伝送路を有する実際の専用ネットワークに代わる物としてインタネットを利用する場合に主として懸念されることは、インターネット利用ネットワークのセキュリティである。

本発明は、ＰＣＮ用の適切で制御可能なレベルのセキュリティ確立を容易にする。さらに、この新しい技術は、ＰＣＮの構造を柔軟にしてメンバ資格の変更を容易かつほとんど瞬時に可能にする手段を提供する。さらに、この技術によれば、１台のコンピュータがそれぞれ異なるセキュリティ要求を持った複数のＰＣＮのメンバとなるかも知れない環境において適切なセキュリティを維持することができる。上述の概念を利用すれば、保護付コンピュータは、侵入を行おうとする者にとってそのサイバー座標が周期的に変更される“動く目標”となり、新しい座標は、このコンピュータにアクセスする権限を付与されたＰＣＮの他のメンバに対してのみ“知る必要がある”という基準で適切なルータとゲートウェイ伝いに伝達される。このサイバー座標の変更は、前もって手配すること、あるいは、変更前に将来のアドレスを許可されたメンバに対して送信することによって行うことができる。そのような変更を行い得る頻度は、サイバー攻撃の検知時にのみサイバー座標を変更する固定システムによる極端に低い頻度からパケットごとの場合のように極端に高い頻度にまで及ぶ可能性がある。将来の座標は、暗号化されて転送されることもあれば暗号化されないで転送されることもある。また、各ＰＣＮメンバの状態の変更は、その現在のサイバー座標と座標変更の時間の両方に関して無作為に行うことができる。保護付ＰＣＮメンバのサイバー移動のこれらパラメータは、ＰＣＮ管理者、このメンバと通信する権限を有する他のＰＣＮメンバ及び適切なゲートウェイとルータに対してのみ通知される。ＰＣＮ管理者は全てのＰＣＮメンバに対して周期的にサイバー座標の変更を実施し、調整することになる。ＰＣＮ管理者はサイバー座標変更の全ての通知を行う理論上の関係者であるが、場合によっては、この仕事の一部をＰＣＮメンバのコンピュータ自体に移行させるほうが有利になるかも知れない。いくつかの制約があって、その保護付コンピュータの現在のアドレスを“知る必要がある”ルータ及びゲートウェイは、保護付コンピュータの統括近隣域のサイバースペース内に配置される。そのような場合、保護付コンピュータは近傍のルータ及びゲートウェイに上述の通知を行うのにより好ましい状態となることができる。

アドレス変更はＰＣＮの全てのメンバに対して同時になされる可能性もあれば、特にメンバのセキュリティ要求がかなり異なる場合には個別に行われる可能性もある。後者の方法は、例えば、ＰＣＮ内の一部のコンピュータが他よりも侵入しようとする者によってはるかに目標にされやすい場合に有利である。小売銀行ＰＣＮは、その銀行のコンピュータが顧客のコンピュータよりもはるかに攻撃されやすいそのような構成の一例となるかも知れない。なお、場合によっては、ＰＣＮの一部のメンバが保護を全く必要としないことがあるが、そのコンピュータが保護付ＰＣＮに属する限りは保護を与えることがやはり賢明である。現在の“戻りアドレス”に正しい“署名”があれば、さらに真偽を確認するものとなるだろう。上記の小売銀行の例では、多数の顧客コンピュータが保護を全く必要としないかも知れないが、それらのコンピュータに可変アドレスを割り当てることは、全てのログオンが許可される銀行に対してさらに保証となるだろう。事実上、このシステムは自動的に二重のセキュリティを提供する。保護付コンピュータに到達するためには、クライアントコンピュータが先ず第１にサーバコンピュータの現在のサイバーアドレスを知る必要がある。それにより、たとえ困難に立ち向かって侵入しようとする者が現在の正しいアドレスに到達したとしても、その情報パケットは正しい“署名”すなわち戻りアドレスかどうか審査される。その署名がＰＣＮの現在のアドレスのリストに属していなければ、そのパケットは拒否される。セキュリティが高い場合には、それによって保護つきコンピュータの予定外のアドレス変更を引き起こすはずである。

この二重セキュリティシステムを示す図５及び図６を参照すると、ネットワーク管理装置４４は、システム内の各コンピュータのアドレス帳（アドレス帳２２、４６をそれぞれ有する２つのコンピュータ１２、１４を図示）に対してそれぞれ異なる一意のサイバー座標を与える。ここで、コンピュータ１２がコンピュータ１４にデータパケットを送出すると、最初に２６において、ゲートウェイルータすなわちブリッジ１６が既に述べたやり方でコンピュータ１４の現在の正しい宛先アドレスかどうかを検査する。宛先アドレスが正しければ、５０において、発信元アドレスセンサ４８がコンピュータ１２の正しい発信元アドレス（すなわち、戻りアドレス）も存在しているか否かを判定する検査を行う。両方の正しいアドレスが存在していれば、２８において、データパケットがコンピュータ１４に渡されるが、正しい発信元アドレスが存在しなければ、データパケットがセキュリティ分析部３０に渡され、ここでは、３２において許容回数のログオン試み内で正しい発信元アドレスが受け取られたか否かが判定される。正しい戻りアドレスが受け取られない場合は、３６において警報状況が作動し、３８においてネットワーク管理システムがコンピュータ１４のサイバーアドレスを変更する操作を行う。

浸透（ハッキング）検知と防御に加えて、上記のシステムはサイバー攻撃の実時間検知と“フラッディング”サービス妨害攻撃に対する防御を実現する。ゲートウェイルータすなわちブリッジ１６は不正にアドレス指定された全てのパケットをフィルタに通すことによって“フラッディング”を防御する。さらに、保護付ネットワークの“アドレス帳”が信用のある宛先しか収めていないので、このシステムは、教示的なウィルスやワームが存在したりネットワーク内に導入された場合にはそれらも防御する。本発明上、教示的ウィルスまたはワームを、あるコンピュータデータをシステム外の未権限者に送信させるようにコンピュータシステム内に導入された異質なソフトウェア単位と定義する。

上述のシステムの要素は、ゲートウェイルータすなわちブリッジ１６、コンピュータ保護装置及び管理装置である。ゲートウェイルータすなわちブリッジはネットワークの集団防衛要素に相当し、発信元アドレスフィルタ、“ポートルータ”及びフィルタはメンバコンピュータの個別防衛装置に相当する。この個別防衛装置（サーバ装置）は、独立型コンピュータ、保護付コンピュータ内のカードあるいは保護付コンピュータ内のソフトウェアの形で実装可能であるし、保護付コンピュータのオペレーティングシステム内に組み込むことも可能である。セキュリティ全体をさらに向上させるため、ポート割当てを管理装置から自律的に発生させることにより、暗号の面で“二重鍵”システムを作成することができる。これにより、セキュリティの破れがセキュリティ管理レベルで発生したとしてもセキュリティをまだその位置に置くことができる。

本発明の方法及びシステムは人間のシステムへの掛かり合いを最小限にする。本システムは、コンピュータのユーザがネットワーク上の全てのコンピュータに不変に割り当てられた単純な識別名や名前のみを扱うように構成することができる。全ての実際の（現在の）サイバー座標は別個に格納してユーザにはアクセス不可能にすることができ、適切なコンピュータにのみ入手可能にすることもできる。この手法は、セキュリティを高めるとともにこのセキュリティシステムをユーザに対して透過的にする。ユーザは“アドレス帳”の単純なアルファベットの面のみを扱い、セキュリティシステム内部の動きに煩わされない。本構成において電話と等価な物はコンピュータ化された電話機内にある電子個人別電話帳であり、この電話帳は電話会社によって自動的に更新される。ユーザはただ名前を見つけ、電話機が残りの作業をしている間に“接続”ボタンを押すだけでよい。

インターネットのホスト番号に基づく数値サイバーアドレスシステムは、上述のセキュリティの目的で比較的容易に利用できるかも知れないが、本アドレスシステムの場合、IPv.4プロトコルによって表わされた現在の形態においては限界がある。この限界は、アドレスが３２ビットの番号によって表現されるという事情によって引き起こされている。３２ビットフォーマットは、適切なセキュリティを確立できるだけの十分なエントロピーをアドレスシステム内に含んでいない。このことは、ネットワーク全体の安全化に関して特に重大な制約となる。ネットワーク番号の入手可能性は、インターネットの急速な膨張とともにエントロピーのみならず単純な不変割当ての番号でさえ益々入手困難になりつつある程度まで限られている。

本アドレスシステムがセキュリティ目的で利用されるとすれば、ホスト番号のフォーマットはシステム内に十分な大きさのアドレス番号フィールドを作成するくらいに相応に拡張されなければならない。これが行われれば、ドメイン名システム（ＤＮＳ）の対応するアドレスを特定のコンピュータの不変識別名として便利に利用できるようになり、インターネットホスト番号が可変になって保護付コンピュータの動く体制を構築することができる。現在実施されているIPv.6(IPING)プロトコルは十分なエントロピーを提供することによってこの問題を解決する。

同じ目的を達成する別のやり方は、セキュリティ目的用の変数としてＤＮＳアドレスを使用することである。この方法によれば、従来のインターネットＤＮＳアドレスシステムは影響されることはないだろうし、フォーマットの変更は必要ない。保護付コンピュータのＤＮＳアドレスの対応部分が、アルファベットよりも多くの文字を利用して、非常に多数の変形を有する変数になり、十分なレベルのエントロピーを作成する。

同じ方法を実施する別のやり方は、地理上の区域に基づくシステムを利用することである。その利用はＤＮＳシステムに幾分似ているが、セキュリティ利用にとって実用上のいくつかの利点をもたらす。当然ながら、コンピュータがセキュリティシステムによって保護される場合には、インターネット通信の通信冗長性を維持することがさらに必要である。しかしながら、わずかな数のルータとゲートウェイにしか保護付コンピュータの現在のサイバーアドレスが通知されない場合は、冗長性が損なわれる恐れがある。この影響は、その保護付ネットワークのメンバが地理的に広大に隔たっている場合には特に重大になるかも知れない。多数のルータとゲートウェイに通知が必要であることも、技術的な点だけでなくセキュリティレベルを低下させることがある点からも、問題になる可能性がある。この意味では、地理上の区域に基づくシステムによれば、情報パケットの最初の経路指定を従来の方法で行うことができる一方、コンピュータのサイバーアドレスの可変部分には一定の地理的場所のみ含ませることができるので、利点がもたらされる。パケットが受取側コンピュータの統括近隣域まで移動すると、パケットは“通知された”ルータ及びゲートウェイの区域内に入ることになる。この仕組みは、“知る必要がある”関係者の数を限定することによってルータの通知処理を単純化するとともにセキュリティを向上させることになる。重要なことは、サイバーアドレスの“統括”部分が情報パケットを受取人のサイバー近隣域内に到着させた後に、私設であっても、ほとんど全てのアドレスシステムが残りの配送のために利用できることである。これにより、システムの基礎エントロピーレベルがさらに上昇することになる。

これまで特定の具体的なアドレスシステムについて述べてきたが、ほとんど全てのアドレスシステムの場合に実施可能であることが本発明の重要な特質である。

ＬＡＮ等の企業・組織コンピュータネットワークは、少なくとも閉じた構成のものであれば、インターネット利用ネットワークほどにはサイバー攻撃に対する脆弱性を有していない。しかしながら、これらの場合でさえ、その遠隔アクセスのセキュリティは重要な課題である。このことは、専用網（ＰＮ）が適切な関係者にアクセスを制限した状態で様々な機密保護レベルの情報を有している場合に特に明らかである。言い換えると、組織ＰＮは、一般的にアクセス可能な他の組織情報に加えて、一定の限られた集団に限定された情報も有している。これらの限定を強化するには、遠隔アクセスセキュリティシステムが必要である。通常、これらのセキュリティシステムは何らかの種類のパスワード利用方式と、恐らくは、ファイアウォールとを採用している。しかしながら、パスワードは低アクセスレベルの悪意ある内部者に高アクセスレベルのみを対象とする情報に無理なくアクセスする機会を与えることで失われたり盗まれたりする可能性があるので、パスワードに対する信頼は完全には評価されないかもしれない。さらに、時にはそのような立場からクラッキング技術を使用することが全くあり得ないとは言えない。そのような事態が発生すれば、パスワードもファイアウォールも比較的簡単に破れる可能性がある。これは、ネットワーク内部から仕掛けられたサーバー攻撃によりＬＡＮを妨害することになる。

本発明は、パスワードに対して信頼がなく適切なコンピュータにのみアクセスを限定する，そのようなＰＣＮに対して十分なセキュリティを提供する。その場合、実際には、情報アクセスセキュリティ全体の仕事は、通常それ程複雑ではない作業であるが、特定のコンピュータに対する物理的なアクセスを制御することまで狭められることになる。

インターネット利用ネットワークに関して述べたシステムと同様に、“閉じた”ＬＡＮもインターネット利用ＬＡＮもメンバのネットワークアドレスの周期的な変更とその変更の適切な関係者への伝達とを実行することで保護することができる。これにより、最もアクセスレベルの低いコンピュータのアドレス変更率が最も低くなる。アドレス変更率はアクセスレベルとともに上昇することになる。このシステムによれば、ＰＣＮ内で特定のコンピュータに対して正当なアクセス権を有する全てのＰＣＮコンピュータがその特定のコンピュータの位置情報を確実に通知されるようになる。また、本システムは機密情報を有するコンピュータの現在位置を正当なアクセス許可を持たない者に確実に知らせないようにする。例えば、上位コンピュータはその下位コンピュータにアクセス可能になるが、逆は不可能になる。

さらに、ＰＣＮに関して述べたシステムと同様に、ＰＣＮコンピュータには“アドレス帳”が格納されるようになっており、実際の通信機能はＰＮ管理者が周期的に更新する“アドレス帳”の可変側を用いてコンピュータによって実行されるが、ユーザはそのアクセス可能な全てのコンピュータの識別名を有する“アドレス帳”の不変側しか見ることも使用することもできない。セキュリティをさらに向上させるため、ＰＣＮ管理者は、コンピュータアドレスシステムの管理に加えて、間違ったアドレス指定をしたログオン試みの全てを記録してセキュリティ目的で分析する自動セキュリティ監視システムを実装することができる。

これにより、本発明の方法及び装置は、許可されたアクセスを容易かつ迅速に修正できるかなりの柔軟性を実現すると同時に、ＰＮ内部からの情報への未権限の遠隔アクセスからの確実な防御を可能にする。

侵入防御システム及び方法の大幅な向上は、図１ないし図６のオペレーティングシステムを組み合わせることによって達成することができる。これにより、到着するデータパケットは、最初にゲートウェイルータもしくは正しい宛先アドレスを検査する同様の装置によって審査されることになる。宛先アドレスが正しければ、パケットが次の処理のために通される。宛先アドレスが正しくなければ、警報が発せられ、パケットはセキュリティ分析のためにネットワークセキュリティ管理装置に渡される。

その後、正しい宛先アドレスを有するパケットは正しい発信元アドレスかどうかを審査される。発信元アドレスが正しければ、パケットは受信人のコンピュータに渡される。発信元アドレスが正しくなければ、警報が発せられ、パケットはセキュリティ分析のためにネットワークセキュリティ管理装置に渡される。

そして、正しい宛先アドレスと正しい発信元アドレスを有するパケットは、ポート番号等の正しい許可されたポート座標かどうか審査される。ポート座標が正しければ、パケットが次の処理のために通される。ポート座標が正しくなければ、警報が発せられ、パケットはセキュリティ分析のためにネットワークセキュリティ管理装置に渡される。

最後に、正しい宛先アドレスと正しい発信元アドレスと正しいポート指示子を有するパケットは、チェックサム等の真偽チェックにかけることによってデータ保全性に関して審査される。真偽チェックに合格すれば、パケットは受取人のコンピュータに渡される。真偽チェックに不合格であれば、警報が発せられ、パケットはセキュリティ分析のためにネットワークセキュリティ管理装置に渡される。

セキュリティ管理装置は、全ての警報を分析し、適切なネットワークサーバにとって必要な予定外のアドレス変更に関する決定を行う。さらに、セキュリティ管理装置は、警察に知らせるとともに適切なデータを渡す。

図７は、全体を５２で示す１つ以上のネットワークコンピュータ５４用の強化コンピュータ侵入防御システムを示す。ゲートウェイルータすなわちブリッジ５８は、負荷分散スイッチ６２内を通過するデ−タパケットを受け取る宛先アドレスフィルタ６０を備えている。問合せ不能ネットワークアドレス帳６４には、宛先アドレスフィルタ６０用の現在のネットワークサーバアドレスが記録されており、宛先アドレスフィルタは、各データパケットを検査して正当な宛先アドレスが存在するか否かを判定する。

正当な宛先アドレスを有するパケットは発信元アドレスフィルタ６６に送られる一方、不正な宛先アドレスを有するパケットは管理装置７０内のセキュリティ分析部６８に送られる。

フラッディングの試みがなされていることを示す所定トラフィック負荷レベルに達すると、宛先アドレスフィルタによって負荷分散スイッチ６２が１つ以上のパラレルゲートウェイルータすなわちブリッジに対してトラフィックを分散させられ、パラレルゲートウェイルータすなわちブリッジが正当なトラフィックを集めて送るとともにフラッディングトラフィックをダンプする。別の構成であれば、絶えず全てのパラレルゲートウェイを利用しながら負荷分散機能が負荷に関係なく実行されることが必要になる。発信元アドレス表７４には、アクセス可能なサーバの指示子と、コンピュータ５４に対して正当なアクセス権を有すると思われる全てのシステムサーバの対応する現在のアドレスとが記録されている。これらのアドレスは、適正な宛先アドレスを有する着信データパケットが発信元アドレス表７４に登録された正当な発信元アドレスを有する発信元から来ているか否かを判定する発信元アドレスフィルタによってアクセスされる。発信元アドレスが正当であると判定されると、データパケットはポートアドレスフィルタ７６に渡される。不正な発信元アドレスを有するデータパケットはセキュリティ分析部６８に送られる。あるいは、ポートフィルタ７６より先に、ゲートウェイルータすなわちブリッジ５８で発信元アドレスの審査を行うことも可能である。

ポート保護表７８はコンピュータ５４の現在のポート割当てを有しており、これらポート割当ては、その後に着信データパケットが正当なポート指定を有しているか否かを判定するポート指示子フィルタ７６によってアクセスされる。そうであれば、データパケットは実アドレス翻訳器８０に渡され、実アドレス翻訳器８０は、データパケットをそのパケットを受け取る予定のコンピュータ５４に送る。ポートアドレスフィルタ７６が不正なポートアドレスを発見すると、データパケットがセキュリティ分析部６８に転送される。

管理装置７０はセキュリティ管理者８２の制御下に置かれている。ネットワークメンバ資格マスタファイル８４には、各許可済アクセスリストとそれに対応する現在のサイバー座標とに加えて、正当なサーバの指示子のマスタリストが記録されている。セキュリティ管理者は、全ての保護付コンピュータに関する許可済アクセスを加えたり除いたりすることによってマスタリストを更新することができる。アクセス許可装置８６はマスタリストの更新された関連部分を各許可済サーバのアドレス帳に配布する。

ランダム文字生成器８８は、現在のポート指示子を形成する際に使用するランダム文字を生成し、これらの文字をポート指示子形成ブロック９０に送る。このポート指示子形成ブロックは、マスタリストと協働して次のネットワーク現在ポート指示子の集合を形成し、これらネットワーク現在ポート指示子はポート表ブロック９２によって転送用に結合される。あるいは、ポート指示子を管理装置の代わりにコンピュータ装置で形成してもよい。

同様に、ランダム文字生成器９４は、現在のサーバアドレスを形成する際に使用するランダム文字を生成し、これらの文字をサーバアドレス形成ブロック９６に送る。このサーバアドレス形成ブロックは、次のネットワークサーバアドレスの集合を形成し、アドレス表９８がマスタリストで指定されたサーバにアドレスを割り当てる。

コーディネータ／ディスパッチャブロック１００は、ネットワークサーバの次の現在アドレスへの移行予定を調整し、適切なサーバ及びルータに対する次のネットワークアドレス集合を提供し、セキュリティ分析装置６８からの命令で予定外のアドレス変更を調整する。コーディネータ／ディスパッチャブロック１００は、入力１０４から受け取ったアドレス帳の更新分を復号化するとともに出力１０６を通じてシステム内の許可済サーバに送出される予定の新しいポートアドレスとサーバ宛先アドレスを符号化する符号化／復号化ブロック１０２に接続されてもよい。新しいサイバー座標の符号化を利用する場合、ネットワーク上の各許可済コンピュータが同じ符号化／復号化装置を持つことになる。

セキュリティ分析装置６８は、受け取った不正なデータパケットを分析し、攻撃の試みを検知する。セキュリティ分析装置は、必要に応じて、コーディネータ／ディスパッチャブロック１００に命じて予定外のアドレス変更を行わせるとともに、攻撃のデータパケットを調査装置１０８に転送する。この調査装置は、標的のサーバが攻撃者との対話を通じたままにしている振りをしてセキュリティ要員に攻撃の源を追跡させながら攻撃者の進行に関わらせ従わせる。

電子商取引システム用の侵入に対するセキュリティを実現することは、アドレスが公開されなければならないという電子商取引システムの重要な特性のために、独自の問題を提示している。この点は、許可済の関係者にのみアドレスを通知するという要件とは矛盾する。しかしながら、通常、一般大衆向けの唯一の情報は会社のカタログと同様の資料に関するものである。業者ネットワークに関する残りの情報は通常非公開なものとみなされ、したがって、保護される必要がある。この区別を利用して、業者の電子商取引サイトは２つの部分、すなわち、公開部分と非公開部分とに分割される必要がある。公開部分は固定ＩＰアドレスを使って公開の“カタログ”サーバ上に設置され、一般大衆向けの情報のみを含んでいるはずである。残りの企業情報は当然別のネットワーク上に置かれ、図１ないし図７に関連して説明したように保護される。

顧客が買い物を完了し、取引に関係する売買条項と価格に関して購入の決定をすると、情報が別個のレジスタ内に収められる。このレジスタは、保護付企業ネットワークに属する財務取引を扱うサーバ（“財務”サーバ）によって周期的に走査される。実際には、“カタログ”サーバは財務取引サーバの現在のアドレスを知らない。したがって、たとえ侵入者が“カタログ”サーバに浸透しても、損害はカタログの内容に限定され、侵入者は保護付企業ネットワークに入ることはできない。

懸案の取引データを受け取った財務サーバは、顧客と連絡を取って取引を終結させるために短時間の一時的なアクセスを可能にする。言い換えると、顧客は、クレジットカード番号等の関係する財務データを伝達してセッション終了時点である取引確認を受け取るだけの長さのアクセスを許可された後、カタログサーバに戻され、財務サーバは新しいサイバーアドレスに移転することによって取引中に得られたその場所についての知識を古いものにする。

ダイアル呼出し通信システムは、その基盤設備たる伝送路に対する無関係の者による伝送妨害の受けやすさという点で、２つの大きな範疇に分類することができる。すなわち、セルラー電話システムや衛星電話システム等の妨害を受けやすいものと従来の陸線利用電話システム等の相対的に防御されたものである。従来の陸線利用電話システム等の相対的に防御されたシステムは、次のようにして防御可能である。電話会社がダイアル呼出し電話利用専用網に割り当てた電話番号は、メンバのコンピュータアドレスとなる。上述したように、そのような専用網は、アクセスコード等の他の指示子とともに、アドレス、すなわち、ネットワークが伝送用にメンバに割り当てた電話番号を周期的に変更し、その変更後の番号を適切な関係者に伝達することによって、無許可の遠隔アクセスから防御することができる。

従来の陸線ダイアル呼出し電話システムの場合、“ラストマイル”接続は変わらないままであるが、割り当てられた電話番号は周期的に変更され、対応するコンピュータを攻撃をしようとする者に対して動く標的にする。この場合、電話会社がセキュリティシステムの管理者になる。電話会社は、保護付専用網のメンバに対して可変の現在の電話番号を付与し、適切な関係者全員に対して通知を行い、適切な時間にメンバの現在の番号を新しい集合に変更する。電話会社の交換機は当然ルータの役割を行うので、システムの監視と、侵入攻撃の可能性の検出と、適切な警報の発行を行うようにプログラムすることが可能である。

現在割り当てられている番号を周期的に変更することによって、侵入の恐れのある者に対してシステムエントロピーが作成され、無許可のアクセスが困難になる。明らかに、このセキュリティシステムの実施は、電話会社の施設において十分な空き番号を利用可能であるかどうかにかかっている。また、様々な実用上の理由により、空いたばかりの番号は一定期間未割当てのままにしておくことが賢明である。これにより、電話会社が快適なレベルのシステムエントロピーを維持しながらより多数の専用網に対して遠隔アクセスセキュリティを提供できるようにするためには、電話会社の施設にさらに番号容量を増設させる必要があるだろう。

上記の容量増設が利用できない場合、すなわち、さらに高レベルのエントロピーが要求される場合には、割当て番号にアクセスコードを加えることによってエントロピーレベルを人為的に上昇させることができる。これはシステムに仮想的な容量を追加することに等しく、電話番号とアクセスコードとの組合せをコンピュータ電話アドレスと等価物にすることになる。実際には、これによって、従来の方式よりも大きなダイアル番号が形成されることになる。この方法は仮想番号容量を実用上無制限にし、その処理を人間の掛かり合いなくコンピュータが扱うので、ユーザに対してさらに負担がかかることは何らないはずである。仮想番号容量があってもなくても、この方法を利用すれば、侵入の試みをその間違った番号やコードによって容易に識別することが可能になる。それと同時に、このシステムを実施するには、ダイアル呼出しプロトコルの一部の変更と電話交換機の機能追加が必要になるかも知れない。

エントロピー密度は接続試みの許容回数を制限することによって上昇させることができる。上述した方法と同様に、電話会社交換機は専用網にとって外部セキュリティ障壁の役割を果たすように形成することができる。この場合、間違ったアドレス指定の接続の試みは、“大激流”の可能性を検出するために当然分析にかけられる。そのような試みが検知された場合に、その試みの発生源を追跡してしかるべき電話会社に通知することは、既存の技術を使用したとしても問題は発生しないであろう。

提案した方法とシステムの下で専用網を保護する最も単純な形態は、所定の時間にそのネットワークの全メンバをネットワークの新しい“電話帳”に移し変える場合である。しかしながら、場合によっては、同じ専用網の一部のメンバが要求するセキュリティレベルがかなり異なっていることもあり、それらのメンバは異なったセキュリティレベルの危険性に直面している恐れがある。そのような場合には、電話番号変更の頻度をネットワークの他のメンバに対する適宜の通知とともに個別に設定することが可能である。この差異化により、電話会社は、同じ専用網内の顧客に対しても差異のあるセキュリティレベルの保護を提供することが可能になる。

また、電話会社は、その顧客に対して、現在利用されている“リスト外番号”よりも高レベルの機密保護を提供するような保護付音声専用網を提供することができる。この構成では、顧客の電話機に、保護付音声ネットワークの各メンバがネットワークの“電話帳”を格納できるような遠隔更新可能なメモリを備えたコンピュータ化ダイアル装置が装備されており、電話帳は電話会社によって周期的に更新される。

電話会社は、保護付ネットワークの割当て電話番号を周期的に新しい現在の番号の集合に変更することになる。これらの新しい番号は、保護付音声ネットワークのメンバのコンピュータ化ダイアル装置を更新することによってメンバに伝達されることになる。

上記のシステムの派生物として、更新可能な電子電話ディレクトリシステムも実装可能である。この場合、顧客の電話機は、従来の電話ディレクトリとさらに個人ディレクトリも格納する電子メモリを備えたコンピュータ化ダイアル装置を有することになる。この電話ディレクトリは電話会社によって周期的にオンラインで更新可能である。

セルラー電話システムや衛星電話システム等の妨害を受けやすいシステムは、上記の保護に加えて、その信号が妨害される可能性がありその電話の“同一性”がシステムへの無許可のアクセスと使用を得る目的で権限のない者によって複製される可能性がある場合に、その“クローニング”から防御することができる。

移動電話システム及び移動通信システムもネットワークや陸線利用電話システムと同様にして保護される。この場合、新規かつ改良型のサイバー座標変更方法は、クローニングとして公知の無許可の使用から移動電話システムを確実に防御するとともに無線通信の妨害を現在よりも困難にするように構成されている。このシステムの場合、固定の無線電話番号やその他類似の識別名は識別及び許可の目的では使用されない。その代わりに、電話会社と移動電話呼出しを制御する基地局に対してのみ通知される専用の識別名の集合が生成され、それを利用して移動電話と基地局のディレクトリが現在有効な識別名で絶えず更新される。この手法により、識別名の変更のせいで現在の識別名を追跡し維持するために呼出しが遮断されなければならない現在の方法よりもはるかに優れた保護が可能になる。複製した電話を利用しようとする無許可の試みを直ちに検知することが可能になり、ほとんどリアルタイムに警察に通知してしかるべき措置を求めることもできる。

無線通信を利用する他の電子装置も上記の方法とシステムによって保護することができる。

つまり、コンピュータは様々な情報を有するデータベースを備えていることが多い。そのデータベース内の情報は幅広いレベルの感度と商業的価値を有していることが多い。このことによって、多数のコンピュータが非常に様々なアクセスレベルを有する多数のユーザにために働くという状況が発生する。さらに、同じアクセスレベルの中でさえ、各ユーザがデータベースのほんの一部にだけアクセス権を持っていればよい場合にセキュリティを考慮するには、情報の区分化が必要になる。

既存のシステムはこの状況をパスワードと初期のファイアウォールとを利用することによって解決しようとしている。既に述べたように、パスワード利用システムとファイアウォールはコンピュータ化された攻撃に対抗するには十分ではない。実際には、低アクセスレベルの正規のユーザがその地位からハッキング技術を利用してデータベースの最も機密の領域にさえ不法侵入できることを意味している。

この問題は本発明の方法を利用することで解決できる。コンピュータ内のファイルやディレクトリ等の情報部分はサーバースペース内に存在する。したがって、その情報は、通常そのコンピュータファイルシステム内での位置を規定するディレクトリやファイル名で表現されたサイバーアドレスを有している。実際には、これはコンピュータ内でのその情報部分のサイバー座標に相当する。

既に述べたように、システム管理者がシステム内のディレクトリやファイル名、すなわち、情報のサイバーアドレスを周期的に変更し、その現在のファイル名を適切な関係者にのみ通知することによって情報セキュリティを実現することができる。この方法によれば、各ユーザのコンピュータは、正当なアクセス権を有するファイルしかその場所を知ることができないようになる。さらに、ユーザはアクセス権を持たないファイルの存在さえも知らないことになる。

システムをさらに強化してユーザに使いやすくするためには、ユーザは不変のディレクトリやファイル名だけがアクセス可能なアドレス帳に似た個人ディレクトリを持つことになり、“アドレス帳”の可変側はシステム管理者のみアクセス可能で周期的に更新されることになる。この構成において、可変ディレクトリやファイル名はあらゆる要求レベルのエントロピーを含むことが可能であり、システム内部からの攻撃に対する耐性をさらに向上させることができる。さらに、内部“ルータ”や“フィルタ”も情報セキュリティ監視機能を発揮して侵入の試みを検知し、リアルタイムでしかるべき警報を発することができる。

明らかに、そのような構成において情報セキュリティを確保するためには、キーワードや主題によるコンピュータ全体にわたるあらゆる検索を不可能にして特定のクライアントの“アドレス帳”内部の検索に切り換える必要がある。

上述のシステム及び方法は、国内または国際的な基盤設備保護システム等、実現可能な基盤設備保護システムの構築を可能にする。サイバー攻撃が特定の地点で検知されると、サイバー攻撃のさらなる分析と警察当局による措置が可能かどうかがそのシステムに委ねられる。

図１は、本発明の通信網防御システムのブロック図である。 図２は、図１のシステムの動作を示すフロー図である。 図３は、本発明の通信網防御システムの第２の実施形態のブロック図である。 図４は、図３のシステムの動作を示すフロー図である。 図５は、本発明の通信網防御システムの第３の実施形態のブロック図である。 図６は、図５のシステムの動作を示すフロー図である。 図７は、本発明の通信網防御システムの第４の実施形態のブロック図である。

Claims (25)

1. 通信システムに接続された通信装置を無許可の侵入から防御する方法であって、
   上記通信装置に少なくとも１つの識別名を付与する工程と、
   上記少なくとも１つの識別名を、上記通信装置へのアクセス時に使用するよう上記通信装置にアクセスする権限を付与されたエンティティに送る工程と、
   上記通信装置へのアクセスを許可する前に上記識別名の有無を検出する工程と、
   上記少なくとも１つの正しい識別名の使用を検知したときに上記通信装置へのアクセスを可能にする工程と、
   上記通信装置にアクセスする試み中に上記少なくとも１つの正しい識別名が存在しないことを検知したときに、上記通信装置へのアクセスを拒否して上記通信装置に少なくとも１つの新しい識別名を付与し、該少なくとも１つの新しい識別名を上記通信装置にアクセスする権限を付与されたエンティティに送る工程とを備えている方法。
2. 上記少なくとも１つの識別名を周期的に変更し、該変更された少なくとも１つの識別名を上記通信装置にアクセスする権限を付与されたエンティティに送る工程を備えている請求項１記載の方法。
3. 上記通信装置に複数の個別の識別名を付与する工程と、
   上記通信装置へのアクセスを許可する前に上記複数の識別名全ての有無を検出する工程と、
   上記識別名全ての使用を検知したときに上記通信装置へのアクセスを可能にする工程と、
   上記正しい識別名のいずれか１つでも存在しないことを検知したときに、上記通信装置へのアクセスを拒否して上記通信装置に新しい複数の識別名を付与して以前の複数の識別名を取り替える工程とを備えている請求項１記載の方法。
4. 上記複数の個別の識別名を周期的に変更し、該変更された識別名を上記通信装置にアクセスする権限を付与されたエンティティに送る工程を備えている請求項３記載の方法。
5. 少なくとも１つの正しい識別名が存在しないことを検知した後、上記通信装置に少なくとも１つの新しい識別名を付与する前に、上記少なくとも１つの正しい識別名で上記通信装置にアクセスする試みを所定回数だけ許可する工程と、
   上記所定回数のアクセスの試み中に少なくとも１つの正しい識別名を検出した場合に上記通信装置へのアクセスを可能にする工程を備えている請求項１記載の方法。
6. 上記通信システムは電話システムであり、上記通信装置は電話である請求項２記載の方法。
7. 上記通信システムは上記通信装置にアクセスする権限を付与された上記エンティティを備えたコンピュータネットワークであり、上記エンティティは上記コンピュータネットワークへのアクセス権を有する許可済コンピュータであって、上記通信装置は上記コンピュータネットワークへのアクセス権を有する少なくとも１つのホストコンピュータを備えている請求項１記載の方法。
8. 上記ホストコンピュータの少なくとも１つの識別名を周期的に変更し、該変更された少なくとも１つの識別名を上記許可済コンピュータに送る工程を備えている請求項７記載の方法。
9. 上記許可済コンピュータに該許可済コンピュータが使用する上記ホストコンピュータ用の変更不可能でアクセス可能なアドレスを送り、上記許可済コンピュータが上記ホストコンピュータへのアクセスを開始する際に上記ホストコンピュータの少なくとも１つの識別名を活性化させて送信する工程を備えている請求項７記載の方法。
10. 上記各許可済コンピュータに許可済コンピュータ識別名を付与する工程と、
    上記ホストコンピュータに宛先識別名を付与する工程と、
    上記各許可済コンピュータに少なくとも１つのホストコンピュータ宛先識別名と上記許可済コンピュータ識別名を使って上記ホストコンピュータにアクセスさせる工程と、
    上記ホストコンピュータへのアクセスを許可する前に上記ホストコンピュータ宛先識別名と許可済コンピュータ識別名の両方の有無を検出する工程と、
    正しいホストコンピュータ宛先識別名と許可済コンピュータ識別名の両方の使用を検知したときに上記ホストコンピュータへのアクセスを可能にする工程と、
    正しいホストコンピュータ宛先識別名または正しい許可済コンピュータ識別名のどちらかが存在しないことを検知したときに、上記ホストコンピュータへのアクセスを拒否して上記ホストコンピュータに新しいホストコンピュータ宛先識別名を付与する工程とを備えている請求項８記載の方法。
11. 正しいホストコンピュータ宛先識別名または許可済コンピュータ識別名が存在しないことを検知した後、上記ホストコンピュータに新しいホストコンピュータ宛先識別名を付与する前に、正しいホストコンピュータ宛先識別名と許可済コンピュータ識別名の両方で上記ホストコンピュータにアクセスする試みを所定回数だけ許可する工程と、
    上記所定回数のホストコンピュータへのアクセスの試み中に正しいホストコンピュータ宛先識別名と許可済コンピュータ識別名を検出した場合に上記ホストコンピュータへのアクセスを可能にする工程を備えている請求項１０記載の方法。
12. 上記許可済コンピュータに上記ホストコンピュータ宛先識別名をアクセス不可能な識別名の形で格納するとともに、上記許可済コンピュータに変更不可能でアクセス可能なホストコンピュータアドレスを送り、許可済コンピュータが上記ホストコンピュータへのアクセスを開始する際に上記ホストコンピュータ宛先識別名を活性化させて送信する工程を備えている請求項１１記載の方法。
13. 上記ホストコンピュータにホストコンピュータ宛先識別名とホストコンピュータポート識別名を付与する工程と、
    上記各許可済コンピュータに少なくとも上記ホストコンピュータ宛先識別名と上記ホストコンピュータポート識別名とを使って上記ホストコンピュータにアクセスさせる工程と、
    上記ホストコンピュータへのアクセスを許可する前に上記ホストコンピュータ宛先識別名と上記ホストコンピュータポート識別名の両方の有無を検出する工程と、
    正しいホストコンピュータ宛先識別名と正しいホストコンピュータポート識別名の両方の使用を検知したときに上記ホストコンピュータへのアクセスを可能にする工程と、
    正しいホストコンピュータ宛先識別名と正しいホストコンピュータポート識別名のどちらか一方または両方が存在しないことを検知したときに、上記ホストコンピュータへのアクセスを拒否して上記ホストコンピュータに新しい宛先識別名とポート識別名を付与する工程とを備えている請求項８記載の方法。
14. 不正なホストコンピュータ宛先識別名及びポート識別名のどちらか一方または両方を検出した場合に、上記ホストコンピュータに新しい宛先識別名とポート識別名を付与する前に、正しいホストコンピュータ宛先識別名とポート識別名の両方で上記ホストコンピュータにアクセスする試みを所定回数だけ許可する工程と、
    上記所定回数のホストコンピュータへのアクセスの試み中に正しいホストコンピュータ宛先識別名とポート識別名の両方を検出した場合に、上記ホストコンピュータへのアクセスを可能にする工程を備えている請求項１３記載の方法。
15. 上記許可済コンピュータに上記ホストコンピュータ宛先識別名とポート識別名をアクセス不可能な識別名の形で格納するとともに、上記許可済コンピュータに変更不可能でアクセス可能なホストコンピュータアドレスを送り、許可済コンピュータが上記ホストコンピュータへのアクセスを開始する際に上記ホストコンピュータ宛先識別名とポート識別名を活性化させて送信する工程を備えている請求項１４記載の方法。
16. ホストコンピュータにアクセスする権限を付与された１つ以上の許可済コンピュータを備え、該許可済コンピュータがアクセス権を有するコンピュータ通信システムにおいて、該コンピュータ通信システムに接続された上記ホストコンピュータを保護する侵入防御方法であって、
    上記各許可済コンピュータに許可済コンピュータ識別アドレスを付与する工程と、
    上記ホストコンピュータにホストコンピュータ宛先識別名とホストコンピュータポート識別名を付与する工程と、
    上記許可済コンピュータに上記ホストコンピュータ宛先識別名と上記ホストコンピュータポート識別名を送る工程と、
    上記各許可済コンピュータに上記ホストコンピュータ宛先識別名及びポート識別名と上記許可済コンピュータ識別アドレスとを使って上記ホストコンピュータにアクセスさせる工程と、
    上記ホストコンピュータへのアクセスを許可する前に上記ホストコンピュータ宛先識別名及びポート識別名と上記許可済コンピュータ識別アドレスの有無を検出する工程と、
    正しいコンピュータ宛先識別名及びポート識別名と正しい許可済コンピュータ識別アドレスの使用を検知したときに上記ホストコンピュータへのアクセスを可能にする工程と、
    上記正しいホストコンピュータ宛先識別名及びポート識別名と上記許可済コンピュータ識別アドレスのいずれか１つ以上が存在しないことを検知したときに上記ホストコンピュータへの即時アクセスを拒否する工程とを備えている方法。
17. 上記ホストコンピュータ宛先識別名及びポート識別名を周期的に変更し、これらの変更を上記許可済コンピュータに送る工程を備えている請求項１６記載の方法。
18. 上記許可済コンピュータに上記ホストコンピュータ宛先識別名及びポート識別名をアクセス不可能な識別名の形で格納するとともに、上記許可済コンピュータに変更不可能でアクセス可能なホストコンピュータアドレスを送り、許可済コンピュータが上記ホストコンピュータへのアクセスを開始する際に上記ホストコンピュータ宛先識別名及びポート識別名を活性化させて送信する工程を備えている請求項１７記載の方法。
19. 少なくとも１回アクセスの試みがなされた後に上記ホストコンピュータへのアクセスが拒否された場合に、上記ホストコンピュータ宛先識別名及びポート識別名を変更してこれら変更された識別名を上記許可済コンピュータに送る工程を備えている請求項１６記載の方法。
20. 正しいホストコンピュータ宛先識別名及びポート識別名と正しい許可済コンピュータ識別アドレスのうちの少なくとも１つが存在しないことが上記ホストコンピュータによって検知された後、上記正しいホストコンピュータ宛先識別名及びポート識別名と正しい許可済コンピュータ識別アドレスで上記ホストコンピュータにアクセスする試みを所定回数だけ許可する工程と、
    上記所定回数のホストコンピュータへのアクセスの試み中に正しいホストコンピュータ宛先識別名及びポート識別名と正しい許可済コンピュータ識別アドレスを検出した場合に、上記ホストコンピュータへのアクセスを可能にする工程を備えている請求項１６記載の方法。
21. 上記許可済コンピュータに上記ホストコンピュータ宛先識別名及びポート識別名をアクセス不可能な識別名の形で格納するとともに、上記許可済コンピュータに変更不可能でアクセス可能なホストコンピュータアドレスを送り、許可済コンピュータが上記ホストコンピュータへのアクセスを開始する際に上記ホストコンピュータ宛先識別名及びポート識別名を活性化させて送信する工程を備えている請求項１９記載の方法。
22. 少なくとも１回アクセスの試みがなされた後に上記ホストコンピュータへのアクセスが拒否された場合に、上記ホストコンピュータ宛先識別名及びポート識別名を変更してこれら変更された識別名を上記許可済コンピュータに送る工程を備えている請求項２０記載の方法。
23. 上記許可済コンピュータに上記ホストコンピュータ宛先識別名及びポート識別名をアクセス不可能な識別名の形で格納するとともに、上記許可済コンピュータに変更不可能でアクセス可能なホストコンピュータアドレスを送り、許可済コンピュータが上記ホストコンピュータへのアクセスを開始する際に上記ホストコンピュータ宛先識別名及びポート識別名を活性化させて送信する工程を備えている請求項２２記載の方法。
24. 通信システムを通じた遠隔エンティティとの通信方法であって、
    上記遠隔エンティティに少なくとも１つの遠隔エンティティサイバー座標識別名を付与する工程と、
    上記遠隔エンティティサイバー座標識別名を上記遠隔エンティティと通信する権限を付与された１つ以上の基本エンティティに送る工程と、
    上記遠隔エンティティサイバー座標識別名を新しい遠隔エンティティサイバー座標識別名に周期的に変更する工程と、
    上記新しい遠隔エンティティサイバー座標識別名を上記１つ以上の基本エンティティに送る工程とを備えている方法。
25. 不正な遠隔エンティティサイバー座標識別名で上記遠隔エンティティと通信しようとする試みに応じて上記遠隔エンティティサイバー座標識別名を新しい遠隔エンティティサイバー座標識別名に変更する工程と、
    上記新しい遠隔エンティティサイバー座標識別名を上記１つ以上の基本エンティティに送る工程とを備えている請求項２４記載の方法。

Images