JP2008079108A - 送信制御装置 - Google Patents

Abstract

【課題】この発明は送信制御装置に関し、送信元識別情報（送信元ＩＰアドレス）を偽装したデータの送信を、送信側の装置で停止することを課題とする。
【解決手段】自己を特定するために付与された第１の送信元識別情報を記憶した記憶部と、記憶部に記憶されている第１の送信元識別情報を読み出す識別情報取得部と、送信元を特定した第２の送信元識別情報を含むデータの送信を要求する通信要求部と、前記通信要求部から送信要求のあったデータに含まれる第２の送信元識別情報が、前記識別情報取得部によって読み出された第１の送信元識別情報と同一であるか否かを確認する識別情報確認部と、前記第１および第２の送信元識別情報が同一でない場合、前記通信要求部が要求したデータの送信を停止する送信制御部とを備えたことを特徴とする。
【選択図】図１

Description

この発明は、送信制御装置に関し、特に、送信データに付与される送信元識別情報（たとえばＩＰアドレス）を確認し、不正なＩＰアドレスが付与されたデータの送信を抑制する送信制御装置に関する。

インターネットなどのネットワークを利用した通信では、一般的にＴＣＰ／ＩＰプロトコルを利用した通信が行われている。ＴＣＰ／ＩＰプロトコルを利用した通信では、ネットワークに接続した情報処理装置（以下、端末とも呼ぶ）ごとに固有のＩＰアドレスが付与される。端末から送信されるデータには、送信元を特定する情報として、その端末固有のＩＰアドレスが含まれる。

サーバやルータなどのネットワークに接続されたデータの中継装置や管理装置では、受信したデータの中のＩＰアドレスや、ネットワークインタフェースカード（ＮＩＣ）に割り当てられたＭＡＣアドレスを監視することにより、その受信データが正当なものか、あるいは不正なものかを判断している。

しかし、第三者が、ある端末ＴＥに不正なプログラムをしのばせ、その端末ＴＥに正当に付与された送信元ＩＰアドレスを不正に取得することが可能である。不正なプログラムは、このように不正に取得した送信元ＩＰアドレスを用いて不正なデータを大量にネットワークに送信し、不正にトラフィック量を増加させ、故意に通信障害を発生させるような場合がある。この不正通信は、端末ＴＥの正当な所有者の意思とは全く無関係に行われる。
また、不正に取得したＩＰアドレスを持つ端末に対して、異常なデータを送信したり、大量のパケットを送信することにより、その端末の通信機器をマヒさせるようなＤＯＳ（Denial of Service）攻撃が行われている。

また、悪意のある第三者が自己の端末ＴＥ１から、不正に取得したある端末ＴＥ２の送信元ＩＰアドレスを用いて、端末ＴＥ１から、他の端末ＴＥ３に、不正にデータＤを送信する場合がある。これは、送信元を偽装した攻撃と呼ばれる。他の端末ＴＥ３が受信した不正データＤには、通信規格に適合した送信元ＩＰアドレスが存在するので、他の端末ＴＥ３では、受信したデータＤが悪意を持って送信されてきた不正データか否かわからない。したがってこの不正データＤに対する応答データＥは、他の端末ＴＥ３から端末ＴＥ２に送信されることになる。応答データＥは、端末ＴＥ１には返らない。

すなわち、実際には端末ＴＥ２から端末ＴＥ３に対してはデータＤの送信は行われていないにもかかわらず、第三者の端末ＴＥ１が，端末ＴＥ２のＩＰアドレスを偽装することにより、あたかも端末ＴＥ２から端末ＴＥ３に対してデータＤを送信したかのようにふるまうことが可能となる。端末ＴＥ１からこの不正データＤを端末ＴＥ３に大量に送信した場合、端末ＴＥ３を踏み台にして、その応答データＥが大量に端末ＴＥ２へ送信されることになる。

この場合、端末ＴＥ２から見ると不当な応答データＥが大量に受信されることになり、端末ＴＥ３から見ると不正データＤの受信と不当な応答データＥの送信処理が大量に行われることになり、端末ＴＥ２とＴＥ３で通信障害が発生し、これらの端末が接続されたネットワーク（ＬＡＮなど）に不要な通信トラフィックが増加する。また、端末ＴＥ２で応答データＥが不当であることを検出することはできても、端末ＴＥ３に対して送信された不正なデータＤの送信元の端末がどれであるかを特定することは困難である。

以上のように、送信元ＩＰアドレスを偽装した不正なデータを、ネットワーク上に送信することが可能であるので、ネットワーク上のトラフィック異常の発生や、特定の端末に大量の不正データや応答データが送信されるという問題があった。このような問題を解決するために、不正なデータを受信するネットワーク上のデータ中継装置や管理装置側に対策が行われている。たとえば、中継装置において、受信したデータの中に特有のヘッダ情報を付加し、端末側ではこのヘッダ情報が付加されたデータのみを受信することや、受信データの量を測定することにより所定量以上の異常に多くのデータを送信してきた送信元のデータは受信しないようにするなどの対策が行われていた。

また、不正アクセスの防止の一つの従来技術としては、ＤＨＣＰサーバに予め登録されているＭＡＣアドレスを持つ端末（ＰＣ）のみに対して、ＤＨＣＰサーバがＩＰアドレスを付与し、エコー要求メッセージをＬＡＮ内に送信し、これに対する応答信号としてのエコー応答メッセージ内に含まれる送信元ＩＰアドレスが、リース（付与）ＩＰアドレスリストに列挙されていない場合は、その送信元ＩＰアドレスを不正利用アドレスリストに記録し、不正利用防止装置が、その送信元ＩＰアドレスを宛先とした宛先到達不能メッセージを送信することにより、他の端末へのアクセスを阻止するネットワーク管理装置が提案されている（特許文献１参照）。

また、ＩＰアドレスのみの管理では、他人になりすますことが可能となるので、ＩＰアドレスとＭＡＣアドレスと回線番号との組を、ＤＨＣＰサーバの管理テーブルに登録し、送信パケットに含まれるＩＰアドレス、ＭＡＣアドレスおよび回線番号がすべて登録情報と一致しない場合には、その送信パケットの通信を許可しないようにして不正アクセスを防止する回線収容装置が提案されている。（特許文献２参照）。
特開２００４−２４１８３１号公報 特開２００５−２４４６０３号公報

しかし、従来の不正アクセスの対応は、すべて不正データを受信する受信側の装置で行われており、送信元を偽装した不正データの送信行為そのものを停止することはできなかった。
たとえば、上記従来技術のうち、特有のヘッダ情報を付加したり、データ量の測定をするものでは、受信側である中継装置や端末に特別なハードやソフトを組み込む必要があり、いずれもコストアップになる。また、特許文献１に記載のものでは、不正端末から送信されてきた不正なパケットを受信端末側で受信されないようにすることにより不正アクセスを阻止することはできても、その不正なパケットそのものの送信を阻止することはできない。
したがって、不正なパケットがネットワークに流れるのを防止することはできず、大量の不正なパケットがネットワーク上に送信される可能性があり、不当なトラフィックの増加によりネットワーク内の正常な通信に支障を及ぼす場合がある。

また、特許文献２に記載のものでは、ＩＰアドレスを詐称した不正なパケットが、受信端末側で受信されることのないようにすることはできるが、その不正なパケットの送信そのものを中止させることはできない。すなわち、この場合も、大量の不正パケットの送信により、ネットワーク内の正常な通信に支障を及ぼす場合がある。

以上のように、不正アクセスを防止するために従来からさまざまな対策がとられているが、いずれも、送信されてきた不正なパケットを受信しないようにするか、あるいは中継しないようにするものであり、不正パケットにより攻撃を受ける受信側の端末や管理装置に、この対策用のソフトウェアやハードウェアを備える必要があった。

また、不正な送信パケットのネットワーク上への送信そのものを阻止する対策ではないため、大量の不正パケットのネットワーク上への流出により、通信トラフィックが増加し正常なデータ通信がさまたげられる場合がある。

そこで、このように不正アクセスを目的とするような不正なパケットのネットワーク上への送信そのものを送信側端末で積極的に防止し、不正パケットの送信による通信トラフィックを減少させる対策が望まれる。この発明は、以上のような事情を考慮してなされたものであり、送信元の識別情報を偽装したデータの送信を、送信側で抑制する送信制御装置を提供することを課題とする。

この発明は、自己を特定するために付与された第１の送信元識別情報を記憶した記憶部と、記憶部に記憶されている第１の送信元識別情報を読み出す識別情報取得部と、送信元を特定した第２の送信元識別情報を含むデータの送信を要求する通信要求部と、前記通信要求部から送信要求のあったデータに含まれる第２の送信元識別情報が、前記識別情報取得部によって読み出された第１の送信元識別情報と同一であるか否かを確認する識別情報確認部と、前記第１および第２の送信元識別情報が同一でない場合、前記通信要求部が要求したデータの送信を停止する送信制御部とを備えたことを特徴とする送信制御装置を提供するものである。

これによれば、自己を特定するために付与された第１の送信元識別情報と異なる第２の送信元識別情報を持つ偽装データの送信が要求された場合、この装置外へその偽装データが送信されることを未然に防止できる。
したがって、送信元識別情報を偽装してデータ送信しようとする悪意の通信要求部が装置内に存在したとしても、自己を特定する送信元識別情報と異なる第２の送信元識別情報を持つ不正なデータは装置外へ送信されることはないので、不正なデータによってネットワーク上のトラフィック量を増加させることはなく、安定した通信環境を提供できる。

また、この発明において、前記第１及び第２の送信元識別情報としては、ＩＰアドレスを用いてもよい。
これによれば、既存の通信システムですでに用いられているＩＰアドレスを利用するので、データを受信するネットワーク中継装置やサーバなどの管理装置に変更を加える必要はなく、受信側に新たに特別なハードウェアを追加することもなく、容易かつ低コストで不正送信に対する対策をすることができる。

また、前記第１の送信元識別情報が、複数個のＩＰアドレスを含むＩＰアドレスリストであり、前記第２の送信元識別情報が１つのＩＰアドレスであり、前記識別情報確認部は、第２の送信元識別情報がＩＰアドレスリストに含まれているか否かを確認するようにしてもよい。この場合、ＩＰアドレスリストに含まれる複数個のＩＰアドレスの中に、データの中の前記第２の送信元識別情報と同一のものが含まれていなければ、送信制御部は、そのデータの送信を停止すればよい。

また、前記送信制御部は、データの送信を停止する場合、そのデータを送信先に送信するために利用されるポートを確認し、その後にそのポートを利用するすべてのデータの送信を停止するようにしてもよい。
さらに、前記送信制御部は、データの送信を停止する場合、接続されたネットワークへのデータ送信機能を停止し、その後に送信要求されたすべてのデータの送信を停止するようにしてもよい。
これによれば、不正なデータのネットワーク上への送信を、送信側で確実に防止できる。
データ送信機能を停止するためには、本送信制御装置のような通信装置に通常組み込まれるＮＩＣへのアクセスを禁止する、ＬＡＮドライバと呼ばれるソフトウェアを停止させる、ＮＩＣへの電源供給を中止するなどの方法が考えられる。

また、前記識別情報取得部と前記識別情報確認部とが、異なるモジュールプログラムとして構成された場合、前記識別情報取得部および識別情報確認部とが、定期的に問合せ要求の送信とその応答データの返信を相互に通信する正常動作確認部をそれぞれ備えるようにしてもよい。
これによれば、どちらか一方のモジュールプログラムが不正に改変，削除等されたとしても、正常な他方のモジュールプログラムが相互通信ができないことを検出することによって、不正なデータ送信を停止できる。

また、この発明は、以上のような特徴を有する送信制御装置を組み込んだ情報処理装置を提供するものである。
これによれば、送信元識別情報を偽装したデータを送信するプログラムが不正に情報処理装置にインストールされても、その情報処理装置から、ＬＡＮ等のネットワークへ、不正なデータの送出を防止できる。

また、この発明は、自己を特定するために付与された第１の送信元識別情報を予め記憶した記憶部から、第１の送信元識別情報を読み出す識別情報取得機能と、送信元を特定した第２の送信元識別情報を含むデータの送信を要求する通信要求機能と、前記送信要求のあったデータに含まれる第２の送信元識別情報が、前記読み出された第１の送信元識別情報と同一であるか否かを確認する識別情報確認機能と、前記第１および第２の送信元識別情報が同一でない場合、前記送信要求されたデータの送信を停止する送信制御機能とを、コンピュータに実現させるための送信制御プログラムを提供するものである。

この発明によれば、送信要求のあったデータに含まれる送信元識別情報が、予め付与された自己の送信元識別情報と同一でなければ、そのデータの送信を停止するので、送信元識別情報を偽装した不正データの送信要求がされても、その不正データをネットワーク上へ送出することを防止できる。
不正データの送出を送信側で停止するので、ネットワーク上に不正なデータが大量に流れることはなく、不正なデータによってネットワークの通信トラフィックが増加することを防止でき、安定した通信環境を提供することができる。
また、不正なデータを受信していたサーバなどのネットワーク中継装置や管理装置側に、不正なデータの受信または中継を禁止するような特別なハードウェア等を設ける必要もなく、容易に低コストで不正データの送出に対する対策をすることができる。

以下、図に示す実施例に基づいて本発明を詳述する。なお、本発明はこれによって限定されるものではない。
＜この発明の送信制御装置の構成＞
図１に、この発明の送信制御装置の一実施例の構成ブロック図を示す。
この発明の送信制御装置１００は、主として、送信元識別情報記憶部１、識別情報取得部２、通信要求制御部３、偽装監視部４、ＬＡＮドライバ部５、ＮＩＣ（ネットワークインタフェースカード）６とから構成される。

送信制御装置１００は、１つのハードウェアとして提供することもできるが、その一部分は、ソフトウェアで提供してもよい。例えば、送信制御装置１００は、パソコンやワークステーション（以下ＰＣと呼ぶ）のような情報処理装置（以下、端末ＰＣとも呼ぶ）８に搭載されるが、送信元識別情報記憶部１、ＬＡＮドライバ部５、ＮＩＣ６はハードウェアで構成し、その他のブロックは、ソフトウェアにより実現することもできる。

ＰＣ８には、通常ＲＡＭ，ＲＯＭ，ハードディスクなどの記録装置が備えられているので、識別情報取得部２、通信要求制御部３、偽装監視部４に相当するソフトウェアモジュールを、予め記録装置に記憶しておく。そして、ＰＣ８に備えられたＣＰＵ，ＲＡＭ，Ｉ／Ｏコントローラ，タイマー等からなるマイクロコンピュータが、これらのソフトウェアモジュールに従って各種ハードウェアを動作させることにより、上記各ブロック（２，３，４）の機能を実現させることができる。

したがって、図１には、送信制御装置１００を１つのモジュールとして図示しているが、送信制御装置１００は、独立した１つのハードウェアとして構成するのではなく、情報処理装置ＰＣ８に、ハードウェアおよびソフトウェアからなる１つの通信モジュールとして組み込んでもよい。
送信制御装置１００のＮＩＣ６は、１０ＢＡＳＥ−Ｔなどの各種の通信規格のネットワークケーブルを介して、ＬＡＮ７などのネットワークに接続される。
ＬＡＮ７には、他のＰＣ８やルータ９などの通信機器が接続され、所定のプロトコルでデータ通信が行われる。また、ルータ９を介して、インターネットなどのＷＡＮ１０にも接続され、インターネット１０に接続されたＰＣ８やサーバなどともデータ通信される。

送信制御装置１００のＮＩＣ６には、その装置を唯一特定するＭＡＣアドレスが付与されており、このＭＡＣアドレスを用いて、いわゆる物理層のデータ通信が行われる。ＮＩＣ６は、１つのハードウェアであるが、この送信制御装置１００に１枚のみならず、複数枚搭載される場合もある。ＮＩＣを複数枚搭載した場合は、物理的に異なるＬＡＮ７やＷＡＮに接続することができる。また接続するネットワークごとに、装置１００に、異なるＩＰアドレスを付与することができる。

ＬＡＮドライバ部５は、ＮＩＣ６を介して、ＬＡＮ７へのデータ送信と、ＬＡＮ７からのデータの受信をコントロールする部分であり、ハードウェアあるいはソフトウェアとして提供される。ＬＡＮドライバ部５が停止すると、接続されたネットワークへのデータ送信機能がすべて停止され、すべてのポートを介したデータ送信が停止される。

送信元識別情報記憶部１は、ＲＡＭなどの記憶素子やハードディスクなどの記録装置に相当する部分であり、図示したＩＰアドレスリスト１１の他、通信に必要な各種情報やソフトウェアが記録される。ＩＰアドレスリスト１１は、送信制御装置１００を特定する送信元識別情報を登録したリストであり、前記した第１の送信元識別情報に相当する。装置１００を特定する識別情報は１つでもよく、あるいは複数個登録してもよい。装置１００を特定する送信元識別情報としては、たとえば、ＩＰアドレスを用いることができる。

図３に、ＩＰアドレスを複数個登録したＩＰアドレスリスト１１の一実施例の説明図を示す。
ＩＰアドレスリスト１１に登録されたＩＰアドレスは、データの送信を行う端末ＰＣを特定する情報でもあり、送信されるデータの送信元の識別情報であり、以下、送信元ＩＰアドレスとも呼ぶ。
ＩＰアドレスが１つの場合は、例えばＩＰ０１という番号に対応づけたＩＰアドレス＝「Ａ．Ｂ．Ｃ．Ｄ．」という内容が記憶される。具体的には、「１０．２０．３０．１０」というような数値情報が記憶される。
ＩＰアドレスが複数個登録された場合は、図３に示すように、ＩＰ０１〜ＩＰ０ｎとして、それぞれ異なるＩＰアドレス内容を持つ数値情報が記憶される。

このＩＰアドレスリスト１１は、たとえば装置１００を備えたＰＣ８の電源が投入された直後に、図示しない専用ソフトウェアモジュールによって作成される。この場合は、ＩＰアドレスは、ＬＡＮ７に接続されたＤＨＣＰサーバなどによって動的に付与される。
また、ＩＰアドレスリスト１１は、ユーザによって、予め静的に作成することも可能である。この場合、ＩＰアドレスリスト１１は、ハードディスクなどの不揮発性メモリに格納される。

ＩＰアドレスリスト１１は、原則として以下に説明する偽装監視処理が実行される前に作成される。
また、ＬＡＮ７を介したデータ通信処理の実行中や偽装監視処理の実行中にも、ＩＰアドレスリスト１１に対してＩＰアドレスの更新、追加、削除が行われる。

このＩＰアドレスリスト１１に登録された送信元ＩＰアドレスは、正規の送信元識別情報であり、悪意を持った不正ソフトウェアがインストールされたとしても、改変することのできないものとする。
たとえば、ＩＰアドレスリスト１１を暗号化することにより、送信元ＩＰアドレスを、不正に改変することができないようにすることができる。
以下、このＩＰアドレスリスト１１の送信元ＩＰアドレスは、後述する不正なソフトウェアである偽装通信要求部３１によっては、アクセス（改変）できない情報であるとする。

また、ＩＰアドレスリスト１１を読み出すことのできるモジュールは、識別情報取得部２と、通信要求制御部３とする。
これらのモジュールは、ユーザおよび第三者が容易に攻撃することのできないように、取りはずしできないＲＯＭなどに固定的に格納しておくことが好ましい。
識別情報取得部２は、記憶部１に記憶されているＩＰアドレスリスト１１を読み出す部分である。たとえば、識別情報確認部４２からの要求により、第１の送信元識別情報に相当するＩＰアドレスリスト１１を読み出す。

通信要求制御部３は、メール，ファイル，画像などの各種情報を送信するための通信アプリケーションプログラム（図示なし）からの送信要求を受けて、その情報を送信可能なデータに組み立てて、偽装監視部４に渡す部分である。送信可能なデータを作成する際に、通信要求制御部３は、送信元識別情報記憶部１からＩＰアドレスリスト１１を読み出し、送信元ＩＰアドレスをデータに付加する。
通信要求制御部３は、正常な送信データを作成する前記した通信要求部に相当し、後述する偽装通信要求部３１は、不正な送信データを作成する通信要求部に相当する。データに付加された送信元ＩＰアドレスは、送信元を特定した第２の送信元識別情報に相当する。通信要求制御部３は、このように送信元ＩＰアドレスを含むデータの送信を、偽装監視部４に要求する。

送信可能なデータには、アプリケーションプログラムから渡された送信データそのものの他に、種々のヘッダ情報が付加される。
図４に、通信要求制御部３によって作成されるデータの構造の一実施例を示す。
ここで、送信データは、メール，文書，画像などの送信すべき情報そのものである。
ＴＣＰヘッダとは、ＴＣＰパケットの先頭に付与される情報であり、たとえば、送信元ポート番号（ＳＲＣＰＯＲＴ），送信先ポート番号（ＤＥＳＴＰＯＲＴ），送信用シーケンス番号（ＳＥＱ）．ヘッダ長（ＨＬＥＮ），チェックサム（checksum）などの情報が含まれる。

ＩＰヘッダとは、ＩＰパケットの先頭に付与される情報であり、たとえば、送信元ＩＰアドレスＩＰａ（ＳＡ），送信先ＩＰアドレスＩＰｄ（ＤＡ），バージョン（ＶＥＲ），ヘッダ長（ＨＬ），サービスタイプ（ＴＯＳ），パケット長（ＴＬ），プロトコル（ＰＲＯＴ），ヘッダチェックサム（ＨＣ）などの情報が含まれる。以上のヘッダ情報は、一般にＴＣＰ／ＩＰ通信では、その内容が規格化されており、その規格に従って各種情報が作成される。

この発明は、特に、ＩＰヘッダの中の送信元ＩＰアドレスＩＰａに注目し、この送信元ＩＰアドレスが記憶部1に登録された正規のものかどうかをチェックし、送信の可否を判断する。このチェックは、後述する偽装監視部４の識別情報確認部４２が行う。
また、このチェック内容は、送信データ取得部４１が取得した送信データの中の送信元ＩＰアドレスＩＰａが、ＩＰアドレスリスト１１に含まれているか否かあるいは、正規に登録されたＩＰアドレスと同一であるか否かを確認することである。この送信元ＩＰアドレスＩＰａは、前記した第２の送信元識別情報に相当し、ＩＰアドレスリスト１１が前記した第１の送信元識別情報に相当する。

送信元ＩＰアドレスＩＰａが正規に登録されたＩＰアドレスと同一であると判断された場合などには、その送信データは、ＬＡＮドライバ部５に送られ、ＮＩＣ６を介してＬＡＮ７に送出される。
一方、送信元ＩＰアドレスＩＰａがＩＰアドレスリスト１１に含まれず、正規なＩＰアドレスと同一でないと判断された場合には、送信要求のあったその送信データは、ＬＡＮ７に送出されない。

以下の実施例では、送信元を識別する情報として、送信元ＩＰアドレスＩＰａを用いるが、これに限るものではない。通信プロトコルやヘッダ構造の違いにより他の種々の情報が送信データに付与されるので、送信元を特定できる他の情報を、送信元識別情報として用いてもよい。たとえば、ＳＭＴＰヘッダ，ＵＤＰヘッダ，ＡＲＰヘッダなどの送信元識別情報を使用してもよい。

図４において、通常正規にインストールされている通信要求制御部３は、ＩＰアドレスリスト１１を読み出して、このリストに含まれるＩＰアドレス（ＩＰ０１など）を、送信元ＩＰアドレスＩＰａとして利用するので、送信元ＩＰアドレスＩＰａは、識別情報取得部２が取得するＩＰアドレスリスト１１の中に必ず含まれる。
しかし、仮に、本装置１００に、図２に示すような不正目的の通信ソフトウェアである偽装通信要求部３１がインストールされていたとする。偽装通信要求部３１は、図４に示すような構造のデータを自ら作成し、ＬＡＮドライバ部５に、あたかも正常な送信データとして渡そうとする。送信元ＩＰアドレスも、自ら設定する。たとえば、意図的に攻撃したい端末ＰＣに付与されているそのＰＣ固有のＩＰアドレスを、送信元ＩＰアドレスとして設定する。

この発明では、ＩＰアドレスリスト１１を取得できるのは、正規にインストールされた識別情報取得部２と通信要求制御部３とし、偽装通信要求部３１は、ＩＰアドレスリスト１１を読み出せないものとすることが好ましい。
偽装通信要求部３１が、ＩＰアドレスリスト１１を読み出し、その装置１００の正規の送信元ＩＰアドレスを取得し、自己の正規の送信元ＩＰアドレスを使用して、不正データの送信を行った場合、その不正データの送信は止められず、ＬＡＮ７に送出されてしまうからである。
ただし、この場合、不正データの中に自己の正現の送信元ＩＰアドレスが含まれているので、不正データに対する応答データは、この装置自身に返ってくることになり、前記したような送信元を偽装した攻撃とはならない。また、装置自身で応答データの監視をすることにより、不正な偽装通信要求部３１の存在に気付くことが可能である。

また、ＬＡＮドライバ部５にアクセスできるのは、偽装監視部４のみとし、送信データは、必ず偽装監視部４の送信データ取得部４１によって取得されるものとする。
すなわち、偽装通信要求部３１が作成した不正送信データは、直接ＬＡＮドライバ部５に渡されることはなく、一旦必ず偽装監視部４を経由されるようにする。

偽装通信要求部３１が、ＩＰアドレスリスト１１を読み出せないようにするためには、たとえば、暗号化をすることにより実現できる。
また、偽装通信要求部３１が作成した不正送信データが、直接ＬＡＮドライバ部５へ渡されることがないようにするためには、たとえば認証やフィルタリングをすればよい。

図２は、不正目的のソフトウェアである偽装通信要求部３１が不正にインストールされた状態の構成ブロック図を示している。図２では、偽装通信要求部３１は、ＩＰアドレスリスト１１にアクセスすることができず、作成した不正送信データは、必ず偽装監視部４の送信データ取得部４１を経由することを示している。

図１および図２において、偽装監視部４は、図４のように組み立てられた送信データが、正規の送信ルートで作成されたものであるか否か、具体的には正規の送信元ＩＰアドレスＩＰａを有するものであるか否かを確認する部分である。偽装監視部４は、主として、送信データ取得部４１，識別情報確認部４２，送信制御部４３から構成される。

送信データ取得部４１は、送信要求制御部３などから与えられる送信データを取得する部分である。ここで取得される送信データは、図４に示したような構造のデータであり、送信元を特定する送信元ＩＰアドレスＩＰａを含む。
識別情報確認部４２は、送信データに含まれる送信元を識別する情報をチェックする部分であり、いわゆる送信元を偽装したデータの送信を防止するための主要部分である。
また、識別情報確認部４２は、このチェックのために、識別情報取得部２に対して、送信元識別情報記憶部１に記憶されていたＩＰアドレスリスト１１を読み出すよう要求する。

ＩＰアドレスリスト１１が固定的に記憶され、その後変更されることがない場合もあるが、ＩＰアドレスが動的に更新または追加される場合には、定期的あるいは送信要求があるごとに、新たにＩＰアドレスリスト１１を読み出すことが好ましい。読み出されたＩＰアドリスリスト１１は、識別情報確認部４２へ与えられる。
識別情報確認部４２は、取得した送信データの中に含まれる送信元ＩＰアドレスが、読み出されたＩＰアドレスリスト１１の中に含まれるか否か、確認する。また、ＩＰアドレスリスト１１に含まれるＩＰアドレスが１つの場合もあるが、この場合は、送信データに含まれる送信元ＩＰアドレスが、読み出された１つのＩＰアドレスと同一であるか否かを確認する。

含まれる場合あるいは同一である場合は、正規の送信データであると判断し、送信制御部４３に対して送信可の指示を与える。正規の送信データは、送信制御部４３を介して、ＬＡＮドライバ部５へ与えられる。

含まれない場合あるいは同一でない場合は、送信元ＩＰアドレスは不正であり送信元が偽装されていると判断する。すなわち、送信データは、不正なソフトウェア（偽装通信要求部３１）によって作成されたものと判断する。
このように偽装と判断された場合は、識別情報確認部４２は、送信制御部４３に対して、送信要求されたデータの送信動作を停止する旨の指示をする。

上記のように、識別情報確認部４２は、正規のデータ送信をしてよいと判断した場合は、送信データとともに、送信可を示す情報を、送信制御部４３に与える。
一方、偽装と判断した場合は、送信停止を示す情報を、送信制御部４３に与える。この場合、どのような方法で送信停止をするかを示す情報も与えてもよい。

送信制御部４３は、主として、識別情報確認部４２からの指示に基づいて、ＬＡＮドライバ部５に対する制御をする部分である。
送信停止を意味する指示を受けた場合、データ送信を停止する方法としては、たとえば、次のようなものが考えられる。

（１）送信データに含まれる送信先ポート番号を確認し、そのデータの送信を中止し、さらにその後に送信要求されたその送信先ポート番号を含むデータの送信を中止する。すなわち、その送信先のポートを閉じ、その後にそのポートを利用するデータの送信を停止する。
（２）送信停止を意味する指示を受けた後、ＬＡＮドライバ部５の動作を停止させ、その後要求されたデータの送信をすべて中止する。この場合、送信データの内容、ヘッダ情報の内容にかかわらず、すべての送信動作が中止される。送信動作の中止は、接続されたネットワークへのデータ送信機能を停止することにより行うことができ、ＬＡＮドライバ部５の動作を停止させるほかに、ＮＩＣへの電源供給の中止、パケットフィルタリングなどの方法によって行ってもよい。
（３）送信停止を意味する指示を受けたときに与えられた送信データそのものを破棄し、そのデータの送信を中止する。ただし、その後の送信動作は継続する。この場合、送信データごとに、送信の可否が判断される。

送信制御部４３は、図１に示すように、たとえばポート制御部４４，ＬＡＮ制御部４５，不正検出通知部４６を備える。
ポート制御部４４は、送信データのヘッダに含まれる送信先ポート番号を確認する部分である。送信制御部４３が送信可を示す情報を受けた場合は、送信データに含まれる送信先ポート番号を確認して、そのポートに向けて、データを送信する。

一方、送信停止を示す情報を受けた場合であって、ポート番号による送信停止をする場合は、ポート制御部４４は、送信停止となったデータの中の送信先ポート番号を読み出し、一時記憶する。
そして、送信停止となった今回の送信データを含め、今後送信要求される送信データのうち、一時記憶された送信先ポート番号を有する送信データも送信停止する。すなわち、ポート制御部４４は、送信データの中の送信先ポート番号を確認し、一時記憶された送信ポート番号と同一の送信先ポート番号を持つ送信データはＬＡＮドライバ部５へ与えないようにする。

ＬＡＮ制御部４５は、送信可および送信停止の情報に基づいて、ＬＡＮドライバ部５に対して、動作の有効化または無効化を行う部分である。
たとえば、送信可の場合は、ＬＡＮドライバ部５を有効化し、送信データをＬＡＮドライバ部５に与える。
送信停止を示す情報を受け、さらに、識別情報確認部４２からＬＡＮドライバ部５の無効化指示を受けた場合は、ＬＡＮドライバ部５の動作を停止させる。
たとえば、ＬＡＮドライバ部５の起動を中止する処理をしたり、ＬＡＮドライバ部５に対して、その後送信要求のあった送信データすべてについて、ＬＡＮドライバ部５に与えないようにする。

この他に、送信制御部４３は、送信停止指示のあった送信データのみの送信を止めるために、その送信データを破棄してもよい。この場合、送信停止指示のあったデータのみが送信停止され、その後の送信制御は通常どおり継続される。

また、送信データを破棄する場合、その送信データは偽装通信要求部３１によって生成された不正なデータであるので、特にユーザに通知することなくその後の送信制御を継続しても問題は生じない。ただし、不正なソフトウェアが存在する可能性があることをユーザに注意喚起するために、特定のメッセージをユーザに通知する不正検出通知部４６を設けてもよい。この通知手段は、特に限定するものではなく、文字，図形，音声，光など、視覚的あるいは聴覚的ないずれかの手段を用いて行えばよい。

図２に示すように、たとえ本装置１００に偽装通信要求部３１が組み込まれたとして、偽装通信要求部３１から与えられた不正な送信データには、ＩＰアドレスリスト１１に存在しない不正な送信元ＩＰアドレスが含まれるので、識別情報確認部４２が、この不正な送信元アドレスを検出することによって、送信元ＩＰアドレスが偽装されたと判断し、不正なデータの送信を未然に防止することができる。
したがって、送信元ＩＰアドレスを偽装して送信しようとしたデータは、送信側の端末ＰＣ内で停止されるので、ネットワーク上を流れることはなく、不正なデータによるトラフィック量の増加を防止でき、特定の端末に対する攻撃を防止でき、安定したデータ通信の環境を提供することができる。

＜偽装監視部の偽装監視および送信制御機能の動作説明＞
図５に、この発明の偽装監視部４の一実施例の概略フローチャートを示す。
まず、ステップＳ１において、図示しないメールソフトウェアなどの通信用アプリケーションから、通信要求制御部３を介してデータの送信要求があるか否か、チェックする。送信要求があれば、ステップＳ２へ進む。なければループする。
ステップＳ２において、送信データ取得部４１が、通信要求制御部３から与えられた送信データを取得する。ここで、もし、偽装通信要求部３１が存在する場合は、偽装通信要求部３１から送信要求された送信データも取得される。

ステップＳ３において、識別情報確認部４２が、識別情報取得部２を介して、ＩＰアドレスリスト１１を取得する。
ステップＳ４において、送信データ取得部４１が取得した送信データの中に含まれる送信元ＩＰアドレスＩＰａを読み出す。そして、識別情報確認部４２は、読み出した送信元ＩＰアドレスＩＰａが、ＩＰアドレスリスト１１の中に存在するか否か確認する。

ステップＳ５において、存在する場合は、ステップＳ６へ進み、存在しない場合は、ステップＳ７へ進む。ここで、存在する場合は、送信要求のあった送信データに含まれる送信元ＩＰアドレスは、この装置１００に対して正規に付与されたものと判断され、その送信データはＬＡＮ７に送出してよいデータとみなされる。存在しない場合は、正規に登録されていない他の端末のＩＰアドレスを偽装して不正なデータ送信を行おうとするものと判断し、ＬＡＮ７には送出してはいけないデータとみなす。送信してよいデータの場合は、その旨と送信データとが送信制御部に与えられ、送出してはいけないデータの場合は、そのデータの送信停止の指示と、停止の方法の指示とが与えられる。

ステップＳ６において、送信制御部４３は、送信データと送信してよい旨の指示とを受けとり、ＬＡＮドライバ部５に、その送信データを転送する。この後ＬＡＮドライバ部５は、従来と同様の送信処理により、ＮＩＣ６を介して、ＬＡＮ７に送信データを送出する。
ステップＳ７において、送信制御部４３は、送信停止の指示を受けとり、その送信データをＬＡＮ７へは送出しない処理を行う。送信停止の指示に加えて、送信停止の方法を指示した情報が含まれる場合は、その指示情報に従って送信停止処理を実行する。あるいは、そのような指示情報が含まれていない場合は、予め定められた送信停止処理を実行する。

具体的には、送信ポート制御部４４，ＬＡＮ制御部４５，不正検出通知部４６のいずれかの動作により、上記した３つの送信停止処理のうちいずれかを行う。この送信停止処理により、要求のあった送信データは、ＬＡＮ７には送出されず、装置内部で破棄又は留保されることになる。
以上が、この発明の送信制御機能の特徴的な処理の説明であるが、図５は一つの実施例であり、前記したように、送信元の識別情報として、ＩＰアドレスの代わりに、他のヘッダ情報を用いてもよい。

＜偽装監視機能の正常動作の確認処理＞
ここでは、偽装監視機能が正常に動作していることを確認する処理について説明する。
この発明の図１に示した識別情報取得部２と偽装監視部４とはこの発明の偽装監視機能を実現するために必要なモジュールであり、原則として第三者に改変されないようにこの装置１００内に備えられる。これらのモジュールは、１つのモジュールプログラムとして提供することもできるが、別々の異なるモジュールプログラムとして構成することもできる。
しかし、これらのモジュール（２，４）が異なるモジュールプログラムとして構成された場合、悪意のある第三者によって、両モジュールあるいはどちらの一方のモジュールが改変される可能性はないとは言えない。
そこで、少なくとも一方のモジュールが停止，改変または消去されてしまった場合には、データ送信処理を停止することにより偽装監視機能が働くようにすることが、セキュリティ上好ましい。

図６および図７に、この偽装監視機能の正常動作確認処理の一実施例の説明図を示す。
図６は、偽装監視機能の正常動作確認処理を実現する一実施例の構成ブロック図を示したものである。
図６において、識別情報取得部２と、偽装監視部４に、それぞれ正常動作確認部（２９，４９）を設ける。正常動作確認部は、ソフトウェアモジュールとして提供することができる。図１のような構成の場合、偽装監視部４の側では、識別情報確認部４２に、正常動作確認部４９を備えてもよい。

２つの正常動作確認部（２９，４９）は、定期的に、特定のデータ（問合せ要求（Ｑ１，Ｑ２），応答データ（Ａ１，Ａ２））を相互に通信し合うようにする。たとえば、識別情報取得部２の正常動作確認部２９から、問合せ要求Ｑ１が偽装監視部４の正常動作確認部４９へ送信されると、その問合せ要求Ｑ１に対する応答データＡ１が返信される。
この問合せ要求と応答データの相互通信により、取得部２と監視部４とが互いに正常動作をしていること（すなわち生存確認）が確認できる。
仮に、問合せ要求Ｑ２に対して、一定時間内に応答Ａ２の返信がなければ、偽装監視部４は、識別情報取得部２が改変されている可能性があると判断することができる。また、応答Ａ１の返信がなければ、識別情報取得部２は、偽装監視部４が改変されている可能性があると判断できる。

図７は、正常動作確認部（２９，４９）の正常動作確認（生存確認）処理の一実施例のフローチャートである。
ステップＳ３１において、タイマー１をセットし、タイマー２をリセットする。
タイマー１は、ポーリング動作のタイマーであり、問合せ要求を送信するタイミングを決めるタイマーである。ここでは、タイマー１は、所定の初期値（例えば１０秒）に設定される。ただし、タイマー１の起動中に、相手側の正常動作確認部から問合せ要求が送信されてくることもある。
タイマー２は応答確認用のタイマーであり、応答データが受信されるのを確認するタイミングを決めるタイマーである。
ステップＳ３１では、タイマー２は、初期状態で停止させるためにリセットする。

ステップＳ３２において、相手側の正常動作確認部から送られてくる問合せ要求が受信されたか否か、確認する。問合せ要求を受信した場合は、ステップＳ３４へ進み、応答データを相手側に送信する。
そして、問合せ要求を受信したことは、相手側のモジュールプログラムが原則として正常に動作していることを示すので、生存確認が成功したと判断し、ステップＳ３１へ戻り、再度タイマーを初期化する。

ステップＳ３２において、問合せ要求が受信されなかった場合は、ステップＳ３３へ進み、相手側からの応答データが受信されたか否か確認する。応答データが受信された場合、相手側の生存確認が成功したと判断できるので、ステップＳ３１へ戻る。
応答データが受信されなかった場合、ステップＳ３５へ進み、タイマー１がタイムアウトしたか否か、チェックする。タイムアウトしていない場合、ステップＳ３２へ戻り、再度受信チェックを繰り返す。

タイマー１がタイムアウトした場合、問合せ要求を送信するタイミングが来たと判断し、ステップＳ３６へ進む。ステップＳ３６において、タイマー２が起動（セット）中でないか否かチェックし、起動中でない場合、ステップＳ３７へ進み、問合せ要求を相手側の正常動作確認部へ送信する。
次に、ステップＳ３８において、送信した問合せ要求に対する応答データの確認のためのタイマー２を起動（セット）させる。ここで、タイマー２として、所定の時間（たとえば１秒）が設定される。タイマー２のセット後、ステップＳ３２へ戻る。

ステップＳ３６において、タイマー２が起動中の場合、ステップＳ３９へ進み、タイマー２がタイムアウトしているか否かチェックする。タイムアウトしていない場合は、ステップＳ３２へ戻る。
一方、タイマー２がタイムアウトした場合は、応答確認期間中に、相手側からの応答データが受信されなかったことになるので、ステップＳ４０へ進み、送信停止処理を行う。この場合は、生存確認が失敗し、相手側のモジュール（２または４）が正常動作していないことを意味する。
送信停止処理は、上記したようなステップＳ７と同様の処理でもよいが、相手側がすでに正常動作していないと考えられるので、自らの動作を停止するようにしてもよい。

以上のような正常動作確認処理を組み込むことで、２つのモジュールプログラムのうちどちらか一方のモジュールが改変されてしまった場合を検出することができ、不正なデータ送信を未然に防止することができ、不正送信によるトラフィックの増加を抑制し、よりセキュリティを高めることができる。

この発明の送信制御装置の一実施例の構成ブロック図である。 この発明の送信制御装置の一実施例の構成ブロック図である。 この発明に用いるＩＰアドレスリストの一実施例の説明図である。 この発明の送信データとヘッダの構造の一実施例の説明図である。 この発明の偽装監視部の動作の一実施例のフローチャートである。 この発明の正常動作確認処理の一実施例の説明図である。 この発明の正常動作確認処理の一実施例のフローチャートである。

符号の説明

１ 送信元識別情報記憶部
２ 識別情報取得部
３ 通信要求制御部
４ 偽装監視部
５ ＬＡＮドライバ部
６ ＮＩＣ
７ ＬＡＮ
８ ＰＣ
９ ルータ
１０ インターネット
１１ ＩＰアドレスリスト
３１ 偽装通信要求部
４１ 送信データ取得部
４２ 識別情報確認部
４３ 送信制御部
４４ ポート制御部
４５ ＬＡＮ制御部
４６ 不正検出通知部

Claims (8)

1. 自己を特定するために付与された第１の送信元識別情報を記憶した記憶部と、記憶部に記憶されている第１の送信元識別情報を読み出す識別情報取得部と、送信元を特定した第２の送信元識別情報を含むデータの送信を要求する通信要求部と、前記通信要求部から送信要求のあったデータに含まれる第２の送信元識別情報が、前記識別情報取得部によって読み出された第１の送信元識別情報と同一であるか否かを確認する識別情報確認部と、前記第１および第２の送信元識別情報が同一でない場合、前記通信要求部が要求したデータの送信を停止する送信制御部とを備えたことを特徴とする送信制御装置。
2. 前記第１および第２の送信元識別情報が、ＩＰアドレスであることを特徴とする請求項１の送信制御装置。
3. 前記第１の送信元識別情報が、複数個のＩＰアドレスを含むＩＰアドレスリストであり、前記第２の送信元識別情報が１つのＩＰアドレスであり、前記識別情報確認部は、第２の送信元識別情報がＩＰアドレスリストに含まれているか否かを確認することを特徴とする請求項１の送信制御装置。
4. 前記送信制御部は、データの送信を停止する場合、そのデータを送信先に送信するために利用されるポートを確認し、その後にそのポートを利用するすべてのデータの送信を停止することを特徴とする請求項１の送信制御装置。
5. 前記送信制御部は、データの送信を停止する場合、接続されたネットワークへのデータ送信機能を停止し、その後に送信要求されたすべてのデータの送信を停止することを特徴とする請求項１の送信制御装置。
6. 前記識別情報取得部と前記識別情報確認部とが、異なるモジュールプログラムとして構成された場合、前記識別情報取得部および識別情報確認部とが、定期的に問合せ要求の送信とその応答データの返信を相互に通信する正常動作確認部をそれぞれ備えることを特徴とする請求項１の送信制御装置。
7. 前記請求項１乃至６に記載したいずれかの送信制御装置を組み込んだ情報処理装置。
8. 自己を特定するために付与された第１の送信元識別情報を予め記憶した記憶部から、第１の送信元識別情報を読み出す識別情報取得機能と、送信元を特定した第２の送信元識別情報を含むデータの送信を要求する通信要求機能と、前記送信要求のあったデータに含まれる第２の送信元識別情報が、前記読み出された第１の送信元識別情報と同一であるか否かを確認する識別情報確認機能と、前記第１および第２の送信元識別情報が同一でない場合、前記送信要求されたデータの送信を停止する送信制御機能とを、コンピュータに実現させるための送信制御プログラム。

Images