JP2007251866A

JP2007251866A - 電子機器装置

Info

Publication number: JP2007251866A
Application number: JP2006075859A
Authority: JP
Inventors: Toru Yasui; 徹保井; Hiroyuki Hanano; 博之花野; Tetsushi Yamaguchi; 哲史山口
Original assignee: Kyocera Mita Corp
Current assignee: Kyocera Document Solutions Inc
Priority date: 2006-03-20
Filing date: 2006-03-20
Publication date: 2007-09-27
Also published as: CN101043322A; US20070220256A1

Abstract

【課題】電子機器装置において、ネットワーク攻撃を行った装置に対する通信禁止措置を、管理者が手動で通信禁止リスト中の該通信禁止対象を削除しないと該通信禁止対象との通信が回復出来ないという問題があった。
【解決手段】攻撃検知部が通信攻撃を検知した際に、通信攻撃対象をそのネットワーク識別子を元に有効期限の付いた通信禁止対象とする通信禁止情報をセキュリティ管理部に記録して通信禁止対象とし、前記有効期限が過ぎれば自動的に通信禁止措置を解除し通信が回復される方法により、管理者が手動で通信禁止リスト中の通信禁止対象を削除する必要が無くなり管理者の負担が軽減された。
また、ネットワーク攻撃を感知すると、ネットワーク攻撃情報を表示部に表示すると共に、印刷部のある電子機器装置においては同情報を印刷するために、ネットワーク攻撃への対応が迅速に行えるようになった。
【選択図】図４

Description

ネットワークに接続される電子機器装置において、通信攻撃を行った対象を通信禁止とし、指定時間経過後は、その通信禁止措置を解除することにより、ネットワーク管理者の管理作業の負担を軽減する技術に関する。

ネットワークに接続される印刷装置に、ネットワーク経由での攻撃を受けた場合に、その攻撃を検知し攻撃元のＩＰアドレスを元にそのＩＰアドレスを通信禁止ＩＰアドレス帳に載せ、その通信を遮断する機能を持たせて、印刷装置の管理者への負担の軽減を図る方法がある（特許文献１参照）。

しかしこの方法では、攻撃元の装置が正常に復帰した場合、管理者が前記通信禁止ＩＰアドレス帳より、攻撃元のＩＰアドレスを抹消する必要があった。

このような通信攻撃は、通常コンピュータウィルスによって引き起こされ、複数のコンピュータに増殖して感染が進んで行くので、管理者は、それらコンピュータウィルスに感染したコンピュータの復旧に手一杯で、印刷装置などの周辺機器にまではなかなか手が回らないのが実情であった。

特開２００５−１９３５９０号公報

ネットワークに接続される電子機器装置において、ネットワーク攻撃を行った装置に対する通信禁止措置を、管理者が手動で通信禁止リスト中の該通信禁止対象を削除しないと該通信禁止対象との通信が回復出来ない点である。

本発明のネットワークに接続される電子機器装置は、ネットワークを通しての通信攻撃を検知する攻撃検知部と、ネットワークとの通信を管理して、前記攻撃検知部が通信攻撃を検知した際に、該通信攻撃を行う通信対象を通信禁止対象とする通信管理部と、前記通信禁止対象の情報である通信禁止情報を管理するセキュリティ管理部とを備え、前記セキュリティ管理部は、前記通信禁止情報に有効期限を付して記録し、前記通信管理部は、前記通信禁止情報を基にその通信禁止対象との通信を禁止すると共に、前記有効期限が過ぎたら前記通信禁止対象との通信を回復することを最も主要な特徴とする。

本発明のネットワークに接続される電子機器装置は、ネットワークを通しての通信攻撃を検知する攻撃検知部と、ネットワークとの通信を管理して、前記攻撃検知部が通信攻撃を検知した際に、該通信攻撃を行う通信対象を通信禁止対象とする通信管理部と、前記通信禁止対象の情報である通信禁止情報を管理するセキュリティ管理部とを備え、前記セキュリティ管理部は、前記通信禁止情報に有効期限を付して記録し、前記通信管理部は、前記通信禁止情報を基にその通信禁止対象との通信を禁止すると共に、前記有効期限が過ぎたら前記通信禁止対象との通信を回復することを最も主要な特徴とするため、ネットワーク攻撃を行った装置に対する通信禁止措置を、管理者が通信禁止リスト中の該通信禁止対象を手動で削除しなくとも、指定時間がたてば自動的に解除して攻撃対象との通信が回復されるようになり、管理者の負担が軽減された。

また、ネットワーク攻撃を感知すると、ネットワーク攻撃があったことをその攻撃元情報と一緒に表示部に表示すると共に、印刷部のある電子機器装置においては、前記攻撃情報を印刷するために、ネットワーク管理者以外にもネットワーク攻撃が発生していることを知らせることができ、ネットワーク攻撃への対応が迅速に行えるようになった。

ネットワークに接続された電子機器装置において、ネットワーク攻撃を行った装置に対する通信禁止措置を、管理者が手動で通信禁止リスト中の該通信禁止対象を削除しないと該通信禁止対象との通信が回復出来ないという問題点を指定時間経過後は、その通信禁止措置を解除するという方法により解決した。

［構成］
図１は、本発明の実施例である画像形成装置の機能ブロック図である。

画像形成装置１０１は、ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）１１９を通して、外部端末装置であるＰＣ（ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）（図示せず）と接続されている。

画像形成装置１０１は、主制御部１１１、描画データ生成部１１３、印刷部１１５、表示部１１７、データ解析部１２１、攻撃検知部１２３、通信管理部１２５、セキュリティ管理部１２７からなる。

主制御部１１１は、ＣＰＵと半導体メモリ、磁気ディスク及び周辺制御回路からなり、画像形成装置の各部の制御を行ったり、各機能部のプログラムを実行したりする。

描画データ生成部１１３は、外部端末装置から送られる印刷データを印刷部１１５が処理することのできるビットマップデータに変換を行う。

印刷部１１５は、印刷機構からなり、前記描画データ生成部１１３で生成されたビットマップデータの印刷を行うと共に、事前の設定により攻撃検知部１２３がネットワーク攻撃を検知した際に知らせるアラート情報と、その攻撃元情報を印刷することが可能である。

表示部１１７は、画像形成装置１０１の状態表示を行うと共に、事前の設定により、攻撃検知部１２３がネットワーク攻撃を検知した際に知らせるアラート情報と、その攻撃元情報を表示することが可能である。

データ解析部１２１は、受信パケットの実データの解析を行う。

攻撃検知部１２３は、データ解析部１２１で解析された受信パケットデータを受け取り、セキュリティ管理部１２７からセキュリティポリシーを参照して、前記受信パケットデータの正当性のチェックを行う。

通信管理部１２５は、セキュリティ管理部１２７から通信禁止ＩＰアドレス情報を参照し、通信の認可処理を行う。

セキュリティ管理部１２７は、セキュリティポリシー（図２；後述）及び通信禁止アドレス（図３；後述）を管理する。

［セキュリティポリシー］
セキュリティポリシーの例を図２に示す。

図２に示すように、通信攻撃のタイプごとにその攻撃と認識する条件、及び通信禁止を行う指定時間を制限タイムとして指定してある。

通信攻撃には、主として図２に示すように、ポートスキャン、ＤｏＳ（ＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ）攻撃、ＳＹＮＦＬＯＯＤ攻撃があり、以下にそれらについて説明する。

まず、ポートスキャン攻撃についてであるが、ＴＣＰ／ＩＰ通信においては、ＩＰアドレスとポート番号との組を持って通信を行う仕組みとなっており、そのポート番号それぞれに対して種々の通信サービスが設定されている。ポートスキャン攻撃とは、どのポート番号のサービスが稼働中であるか、またどのポート番号に対してファイアーウォールが働いているかどうかを調べるために、攻撃側が攻撃準備として調査するために行われる。このポートスキャンで調べた結果を元にセキュリティの弱い点、例えばセキュリティホールがあることが知られている通信サービスに対する攻撃が続く場合がある。

次のＤｏＳ攻撃であるが、無意味なサービス要求などのパケットを大量に送り続けることにより、サーバの正常な稼動を妨げる攻撃方法である。例えば、ＨＴＴＰサーバに対してＧＥＴ要求を連続的に送信することにより、そのサーバがその攻撃に対する応答に処理が使われてしまい、正常な通信要求にこたえられなくなってしまう攻撃である。

この攻撃の場合は、送られてくるＧＥＴ要求が単独の通信としては正常なもののために拒否することがむずかしく、連続した受信パケットの監視により判断することが必要である。

次のＳＹＮＦＬＯＯＤ攻撃であるが、前記ＤｏＳ攻撃の一種で、通信を確立するためのＳＹＮビットの立った接続要求パケットを一方的に送り続ける攻撃である。通信は、クライアントからサーバへのＳＹＮパケット送信、それに対するサーバからクライアントへのＡＣＫパケット返信、次にクライアントからサーバへのＡＣＫパケット再返信により通信接続が確立される仕組みとなっているが、本攻撃ではクライアント側（攻撃側）から最初のＳＹＮパケットのみを送信し、最後のＡＣＫパケットの再送信を行わないために、サーバ側がＡＣＫ待ち状態を増やして行くことによるリソース枯渇を起こさせて、サービスを停止させてしまう攻撃である。

上記の通信攻撃に対処するために、セキュリティポリシー表に従い、受信パケットを解析し、通信攻撃と判断された受信パケットを通信禁止アドレスリストに登録する。

セキュリティポリシー表には、攻撃タイプ、攻撃感知条件及び、攻撃タイプごとの通信禁止措置の継続期間である、制限タイムが載っている。

攻撃のタイプによっては、その攻撃対象の装置の復旧にかかる時間が異なるために上記のように異なった制限タイムを設定することを可能としている。

［通信禁止アドレスリスト（通信禁止情報）］
次に、通信禁止情報である、通信禁止アドレスリストの例を図３に示す。

通信禁止アドレスリストには、攻撃元ＩＰアドレス、攻撃ポート番号、攻撃が検知されて通信禁止アドレスに登録された登録日時及びその攻撃タイプが載せてある。

通信攻撃が検知されると、この通信禁止アドレスにその情報が登録される。この登録されたひとつの通信禁止情報をエントリと呼ぶ。

一度この通信禁止アドレスリストに載ると、その各エントリのＩＰアドレスをもつ受信パケットは、その受信パケットの内容が通信攻撃であるかないかの判断にかかわらず、すべて破棄されることとなる。

この通信禁止アドレスリストは、一定時間ごとにセキュリティ管理部１２７により監査され、攻撃タイプごとに指定されたセキュリティポリシーに定められている制限タイムが経過したら、通信禁止アドレスリストより削除される。

削除後の通信により通信攻撃が再度検知された場合には、再度通信禁止リストに登録され、通信禁止対象としてその受信パケットは破棄される。

［セキュリティ管理部のフローチャート］
図４は、セキュリティ管理部１２７の動作に関するプログラムのフローチャートである。

本プログラムは、一定時間（例えば１０秒）ごとに起動される。本プログラムにより、セキュリティ管理部が管理する通信禁止アドレスリスト（図３）のエントリの制限時間の超過による抹消を行う。以下にステップごとに動作を説明する。

ステップＳ１１では、セキュリティ管理部１２７が管理する通信禁止アドレスリスト（図３）に攻撃元ＩＰアドレスの登録（エントリ）があるかどうかを判断する。

Ｓ１１での判断がＮＯの場合は、動作を終了する。

Ｓ１１での判断がＹＥＳの場合は、制限時間を超過したかどうかを判断する、ステップＳ１３が実行される。ここでは、通信禁止アドレスリスト（図３）に登録したエントリの登録時間と現在の時間を比較して、その時間差が攻撃Ｔｙｐｅごとに指定してある制限タイムを超えていた場合には、制限時間を超過したとみなす。

Ｓ１３での判断がＮＯの場合はＳ１７に動作を移行する。

Ｓ１３での判断がＹＥＳの場合は、Ｓ１５に動作を移行する。

ステップＳ１５では、前記Ｓ１３で制限時間を超過したと判断された通信禁止アドレスリスト中のエントリをリストから抹消する。

ステップＳ１７では、通信禁止リストの全エントリの監査が完了したかどうかを判断する。全てのエントリの監査が完了した場合は処理を終了する。まだ通信禁止リストにエントリが残っている場合には、対象エントリを次の項目に移して、Ｓ１３に動作を移行し、Ｓ１３からの動作を繰り返す。

［パケット受信処理のフローチャート］
次に、画像形成装置１０１のパケット受信の動作について、図５のフローチャートを用いて説明する。

ステップＳ２１では、データ解析部１２１がネットワークを通しての通信のパケットを受信する。

ステップＳ２３では、前記Ｓ２１で受信されたパケットのデータ解析をデータ解析部１２１で行う。

ステップＳ２５では、Ｓ２３で解析されたパケットが悪意あるアクセスであるかどうかが判断される。悪意あるアクセスであるかどうかは、セキュリティ管理部１２７が保持するセキュリティポリシー（図２）に従い、その条件に該当する受信パケットを通信攻撃として認識する。

Ｓ２５での判断がＮＯの場合は、受信されたパケットは通常の通信パケットとして判断され、動作をＳ３５に移行し、パケットが通常に処理される。

Ｓ２５での判断がＹＥＳの場合は、受信されたパケットが通信攻撃と判断され、動作をＳ２７に移行する。

ステップＳ２７では、前記Ｓ２５で通信攻撃と判断されたパケットの情報を通信禁止リスト（図３）に登録する。

ステップＳ２９では、同攻撃情報をネットワークへ通知する。この場合、ネットワークが攻撃元が発信する連続的なパケット攻撃により、その通知が伝わらない場合がある。

そこで、ネットワークを用いない通知方法として、ステップＳ３１で前記攻撃情報を表示部１１７に表示する。

また、同じくネットワークを用いない通知方法として、ステップＳ３３で前記攻撃情報を印刷部１１５を通して印刷する。

ステップＳ３５では、セキュリティ管理部が管理する通信禁止アドレスに基づき、受信パケットが通信禁止アドレスにあるＩＰアドレスからの通信である場合には、パケットを破棄してその通信を禁止する。

受信パケットが通信禁止アドレスにあるＩＰアドレスからの通信でない場合は、通常のパケット処理を行う。

［実施例の効果］
本実施例により、通信攻撃を受けた画像形成装置は、攻撃元の装置との通信を禁止することができ、攻撃を回避することができるようになった。また、その攻撃情報を表示部に表示したり、印刷部に印刷したりすることにより、通信攻撃が起きている時にその攻撃パケットにネットワークが占有されていてネットワークを通じての通知が難しい時でも、前記表示部や印刷された情報により、通信攻撃を知ることができ、通信攻撃への対処を迅速に行うことが可能となった。

また、ネットワーク攻撃は、一般にコンピュータウィルスによって引き起こされる事が多く、管理者はその対処に手一杯で画像形成装置などの周辺装置の復旧に手が回らないことが多いが、本実施例では、画像形成装置自身が指定時間を過ぎると通信を回復するため管理者の負担を軽減することが可能となった。

画像形成装置が通信禁止措置を解除した後も通信攻撃が終了していない場合には、画像形成装置が再度その攻撃を検知し、攻撃対象との通信禁止措置を再度行う。

通信攻撃には、自身に割り当てられたＩＰアドレス以外のＩＰアドレスを装う、ＩＰスプーフィングを伴う場合もあり、その際には通信攻撃対象の装置だけではなく、そのＩＰアドレスが装われた正規のＩＰアドレスを持ったＰＣなども通信禁止対象となってしまうが、本実施例の自動復旧の方法により、それら正規のＩＰを持つＰＣのユーザからの復旧要求（画像形成装置に送信ができなくて印刷ができないことへの復旧要求）にも、管理者は指定時間たてば通信は回復すると伝えることによりユーザへの対応を行うことができ、最重要課題である攻撃元の対象装置の復旧に集中することができる。

［その他］
本実施例のようにネットワークに接続される電子機器装置は、画像形成装置であってもよいし、印刷、ＦＡＸ及びコピー機能を含む複合機であってもよい。

また、携帯情報端末であってもよい。

ネットワーク識別子としては、ＩＰアドレスに代えて、ＭＡＣアドレスなどの識別子を用いてもよい。

画像形成装置の機能ブロック図である（実施例１）。セキュリティ管理部が保持するセキュリティポリシーの表である（実施例１）。セキュリティ管理部が保持する通信禁止アドレスリストの表である（実施例１）。セキュリティ管理部１２７のフローチャートである（実施例１）。画像形成装置１０１のパケット処理のフローチャートである（実施例１）。

符号の説明

１０１画像形成装置（ネットワークに接続される電子機器装置）
１１５印刷部
１１７表示部
１２３攻撃検知部
１２５通信管理部
１２７セキュリティ管理部

Claims

ネットワークに接続される電子機器装置において、
ネットワークを通しての通信攻撃を検知する攻撃検知部と、
ネットワークとの通信を管理して、前記攻撃検知部が通信攻撃を検知した際に、該通信攻撃を行う通信対象を通信禁止対象とする通信管理部と、
前記通信禁止対象の情報である通信禁止情報を管理するセキュリティ管理部とを備え、
前記セキュリティ管理部は、前記通信禁止情報に有効期限を付して記録し、
前記通信管理部は、前記通信禁止情報を基にその通信禁止対象との通信を禁止すると共に、前記有効期限が過ぎたら前記通信禁止対象との通信を回復する
ことを特徴とする電子機器装置。
請求項１の電子機器装置であって、
前記セキュリティ管理部は、前記通信攻撃を行う通信対象をネットワーク識別子を元に通信禁止対象とする
ことを特徴とする電子機器装置。
請求項２の電子機器装置であって、
前記ネットワーク識別子は、ＩＰアドレスである
ことを特徴とする電子機器装置。
請求項１から請求項３の何れかの電子機器装置であって、
前記通信攻撃情報を表示する表示部または、
通信攻撃情報を印刷する印刷部の少なくとも一方を備えた
ことを特徴とする電子機器装置。