JP2007274086A

JP2007274086A - アクセス制御方法及びアクセス制御システム

Info

Publication number: JP2007274086A
Application number: JP2006094307A
Authority: JP
Inventors: Yoji Suzuki; 洋司鈴木
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2006-03-30
Filing date: 2006-03-30
Publication date: 2007-10-18

Abstract

【課題】同一のアドレスを利用する不正ユーザ端末と正当ユーザ端末とを正しく識別する。
【解決手段】侵入防止システムが、第１のネットワーク内の不正ユーザ端末からの第２のネットワークへの不正アクセスを検出する不正アクセス検出ステップと、前記侵入防止システムが、前記不正ユーザ端末に割り当てられている前記アドレスをネットワーク・アクセス・サーバに通知するアドレス通知ステップと、前記ネットワーク・アクセス・サーバが、前記不正ユーザ端末に割り当てられているアドレスを前記不正ユーザ端末から解放するアドレス解放ステップと、前記ネットワーク・アクセス・サーバが、前記解放をした旨を前記侵入防止システムに通知する解放通知ステップと、前記侵入防止システムが、前記アドレスを利用した通信を可能とする通信可能化ステップと、を備える。
【選択図】図１

Description

本発明は、第１のネットワークから第２のネットワークへのアクセスを制御するためのアクセス制御方法及びアクセス制御システムに関する。

従来のＮＡＳ(Network Access Server、ネットワーク・アクセス・サーバ)、ＩＰＳ(Intrusion Prevention System、侵入防止システム)が組み込まれたネットワークの例を図２に示す。ＮＡＳはＩＰＳに登録されている不正ユーザ端末の情報を保持しておらず、また、ＩＰＳはＮＡＳによるＩＰアドレス開放についての情報を保持していない。
特開２００１−２１１１８０号公報特開２００３−３４８０８５号公報

上記の状態で、不正ユーザ端末からのアクセスがあった際の一連の動作を、図２に示す。

図２では、ＮＡＳ２０１、ＩＰＳ２０２、ルータ１０３は、ＩＳＰ(Internet Service Provider)が利用する装置群である。ＮＡＳ２０１の左側のイントラネット１０４は、ＩＳＰへの加入者の端末が接続されるＩＰネットワークを示す。ルータの右側のインターネット１０５は、世界的に広がるＩＰネットワークを示す。ＩＳＰへの加入者の端末がインターネット１０５に接続する場合には、ＩＰパケットがＮＡＳ２０１、２０２及びルータ１０３を通過する。

問題となっているのは、加入者の端末が全て正当な加入者であるとは限らず、不正な加入者（防御ネットワークへの不正なアクセスを行う加入者）が加入者群に含まれていることである。ＩＰＳは、不正な加入者の端末を検出すると、その端末が送受信するＩＰパケットを遮断する。

すなわち、ＩＰＳ２０２は、不正ユーザ端末（イントラネット１０４に接続されている）からの不正アクセスを検出すると、不正ユーザ端末が行う通信を遮断（ブロック）する。このとき、ＩＰＳ２０２は、不正ユーザ端末に割り当てられているＩＰアドレスを検出し、そのＩＰアドレスを送信元ＩＰアドレス又は宛先ＩＰアドレスとして有するＩＰパケットの通過を遮断する。しかし、ＮＡＳ２０１は、不正アクセスに関しては全く関与していない（ステップＳ２１、Ｓ２２）。

次に、不正ユーザ端末がログアウトし、その不正ユーザが利用していたＩＰアドレスが解放される。次に、別の正当なユーザ端末がインターネット１０５に接続される場合、ＩＰアドレスのダイナミック・アロケーションが行われる場合には、不正ユーザ端末に割り当てられていたＩＰアドレスが、ＮＡＳ２０１により、新たな正当なユーザ端末に割り当てられる場合が生じる。

しかし、ＩＰＳ２０２は、不正ユーザ端末に割り当てられていたＩＰアドレスは、不正アクセスに関連したＩＰアドレスであるとして、ブラックリストに入れたままである。従って、新たな正当なユーザ端末が送受信しようとするＩＰパケットは、ＩＰＳ２０２により遮断されてしまい、新たな正当なユーザ端末は、インターネット１０５に接続することができない（ステップＳ２３）
すなわち、ＮＡＳ２０１を用いて、あらかじめプールされたＩＰアドレスをユーザに割り振るＩＳＰ(Internet Service Provider)では、ユーザがインターネット接続を切断すると、割り当てられていたＩＰアドレスが開放され、別のユーザに割り当てられる事になる。ＩＰＳにマークされている不正ユーザが使用していたＩＰアドレスが一般ユーザに割り当てられた場合、通信制限を受けるはずの無い一般ユーザが不正ユーザとして、ＩＰＳから通信のブロックを受ける事になってしまう。

端的に言えば、不正ユーザ端末についての情報連携がＮＡＳ２０１とＩＰＳ２０２との間でなされていないため、ＩＰＳ２０２は一般ユーザ端末の通信をブロックしてしまい、ＮＡＳ２０１は不正ユーザ端末の通信をブロックする事が出来ない。

従って、従来の技術では、同一ＩＰアドレスを使用しているユーザについて、ＩＰＳ２０２が不正ユーザ端末と一般ユーザ端末の識別を行う事は不可能である。

また、不正ユーザ端末が外部で行った行為については、ＩＳＰに対しても責任を問われることになるため、出来る限りネットワークの内側で不正ユーザ端末の通信を遮断したいとの課題があった。

さらに、不正ユーザ端末の通信によるトラフィック負荷の軽減も、課題であった。すなわち、不正ユーザ端末は、大量のＩＰパケットを送出する場合があるが、このような大量のＩＰパケットがＮＡＳ２０１とＩＰＳ２０２との間で伝送されると、その間の伝送路が圧迫されることがあった。

そこで本発明は、同一のアドレスを利用する不正ユーザ端末と正当ユーザ端末とを正しく識別することを可能とするアクセス制御方法及びアクセス制御システムを提供することを目的とする。

本発明によれば、侵入防止システムが、第１のネットワーク内の不正ユーザ端末からの第２のネットワークへの不正アクセスを検出する不正アクセス検出ステップと、前記侵入防止システムが、前記不正ユーザ端末に割り当てられている前記アドレスをネットワーク・アクセス・サーバに通知するアドレス通知ステップと、前記ネットワーク・アクセス・サーバが、前記不正ユーザ端末に割り当てられているアドレスを前記不正ユーザ端末から解放するアドレス解放ステップと、前記ネットワーク・アクセス・サーバが、前記解放をした旨を前記侵入防止システムに通知する解放通知ステップと、前記侵入防止システムが、前記アドレスを利用した通信を可能とする通信可能化ステップと、を備えることを特徴とするアクセス制御方法が提供される。

上記のアクセス制御方法において、前記不正アクセス検出ステップの次に、前記侵入防止システムが、前記不正ユーザ端末に割り当てられているアドレスを利用した通信を不能とする通信不能化ステップを更に備えるようにしてもよい。

上記のアクセス制御方法において、前記アドレス通知ステップと、前記アドレス解放ステップとの間で、前記ネットワーク・アクセス・サーバが、前記不正ユーザに割り当てられているアドレスを利用した通信を不能とする通信不能化ステップを更に備えるようにしてもよい。

本発明によれば、侵入防止システムが、第１のネットワーク内の不正ユーザ端末からの第２のネットワークへの不正アクセスを検出する不正アクセス検出ステップと、前記侵入防止システムが、前記不正ユーザ端末に割り当てられている前記アドレスをネットワーク・アクセス・サーバに通知するアドレス通知ステップと、前記ネットワーク・アクセス・サーバが、前記不正ユーザ端末に割り当てられているアドレスを前記不正ユーザ端末から解放するアドレス解放ステップと、前記ネットワーク・アクセス・サーバが、前記解放をした旨を前記侵入防止システムに通知する解放通知ステップと、前記侵入防止システムが、前記アドレスを利用した通信を可能とする通信可能化ステップと、を備えるので、同一のアドレスを利用する不正ユーザ端末と正当ユーザ端末とを正しく識別することが可能となる。

以下、図面を参照して本発明を実施するための最良の形態について詳細に説明する。

図１を参照すると、本発明は、ＮＡＳ１０１及びＩＰＳ１０２を用いて、不正ユーザ端末を正当ユーザ端末から正しく識別し、かつ、不正ユーザ端末の通信をＮＡＳ１０１にて遮断可能なシステムを提供するものである。

ＩＰＳ１０２が不正ユーザ端末からの不正アクセスを検知した際には、まず、ＩＰＳ１０２が不正ユーザ端末の通信を遮断する（ステップＳ１１）。

これと同時に、ＩＰＳ１０２は、ＮＡＳ１０１に対し、不正ユーザ端末に関する情報を送付する（ステップＳ１２）。ここで不正ユーザ端末に関する情報とは、例えば、不正ユーザ端末に現在割り当てられているＩＰアドレスである。

不正ユーザ端末に関する情報を受け取ったＮＡＳ１０１は、不正ユーザ端末からＩＰアドレスを強制的に解放する（ステップＳ１３）。これにより、不正ユーザ端末から送出されようとするＩＰパケットは外部ネットワークへアクセスするためのＩＰアドレスを失い、ＮＡＳ１０１の外側に出られなくなる（ＮＡＳによる通信の遮断）。

続いて、ＮＡＳ１０１は不正ユーザ端末からＩＰアドレスを開放した旨をＩＰＳ１０２に通知する。この通知の際には、解放したＩＰアドレスも同時に通知する。これを受けたＩＰＳ１０２は、ステップＳ１１でブラックリストに登録した不正ユーザ端末のＩＰアドレスをブラックリストから削除する（ステップＳ１４）。

これにより、不正ユーザ端末が使用していたＩＰアドレスが、その後、正当ユーザ端末に割り当てられたとしても、その正当ユーザ端末の通信はＮＡＳ１０１により遮断されることもないし、ＩＰＳ１０２により遮断されることもない。

本発明によるアクセス制御方法を説明するための図である。従来例によるアクセス制御方法を説明するための図である。

符号の説明

１０１ＮＡＳ（ネットワーク・アクセス・サーバ）
１０２ＩＰＳ（侵入防止システム）
１０３ルータ
１０４イントラネット
１０５インターネット

Claims

侵入防止システムが、第１のネットワーク内の不正ユーザ端末からの第２のネットワークへの不正アクセスを検出する不正アクセス検出ステップと、
前記侵入防止システムが、前記不正ユーザ端末に割り当てられている前記アドレスをネットワーク・アクセス・サーバに通知するアドレス通知ステップと、
前記ネットワーク・アクセス・サーバが、前記不正ユーザ端末に割り当てられているアドレスを前記不正ユーザ端末から解放するアドレス解放ステップと、
前記ネットワーク・アクセス・サーバが、前記解放をした旨を前記侵入防止システムに通知する解放通知ステップと、
前記侵入防止システムが、前記アドレスを利用した通信を可能とする通信可能化ステップと、
を備えることを特徴とするアクセス制御方法。
請求項１に記載のアクセス制御方法において、
前記不正アクセス検出ステップの次に、前記侵入防止システムが、前記不正ユーザ端末に割り当てられているアドレスを利用した通信を不能とする通信不能化ステップを更に備えることを特徴とするアクセス制御方法。
請求項１に記載のアクセス制御方法において、
前記アドレス通知ステップと、前記アドレス解放ステップとの間で、前記ネットワーク・アクセス・サーバが、前記不正ユーザに割り当てられているアドレスを利用した通信を不能とする通信不能化ステップを更に備えることを特徴とするアクセス制御方法。
侵入防止システムが、第１のネットワーク内の不正ユーザ端末からの第２のネットワークへの不正アクセスを検出する不正アクセス検出手段と、
前記侵入防止システムが、前記不正ユーザ端末に割り当てられている前記アドレスをネットワーク・アクセス・サーバに通知するアドレス通知手段と、
前記ネットワーク・アクセス・サーバが、前記不正ユーザ端末に割り当てられているアドレスを前記不正ユーザ端末から解放するアドレス解放手段と、
前記ネットワーク・アクセス・サーバが、前記解放をした旨を前記侵入防止システムに通知する解放通知手段と、
前記侵入防止システムが、前記アドレスを利用した通信を可能とする通信可能化手段と、
を備えることを特徴とするアクセス制御システム。
請求項４に記載のアクセス制御システムにおいて、
前記不正アクセス検出手段の動作の次に、前記侵入防止システムが、前記不正ユーザ端末に割り当てられているアドレスを利用した通信を不能とする通信不能化手段を更に備えることを特徴とするアクセス制御システム。
請求項４に記載のアクセス制御システムにおいて、
前記アドレス通知手段の動作と、前記アドレス解放手段の動作との間の期間で、前記ネットワーク・アクセス・サーバが、前記不正ユーザに割り当てられているアドレスを利用した通信を不能とする通信不能化手段を更に備えることを特徴とするアクセス制御システム。