JP2009239525A - フィルタリング装置、フィルタリング方法およびフィルタリングプログラム - Google Patents

Abstract

【課題】パケットフィルタリングの性能が低下することを防止することと、未知の不正ユーザに対しても正確に防御することを課題とする。
【解決手段】パケットフィルタリング装置は、ＳＩＰサーバから送信されたパケットを受信し、受信したパケットが、ＳＩＰクライアントから所定の間隔で送信される認証要求に対する応答であるか否かを判定し、認証要求に対する応答であると判定され、当該パケットの送信元情報がホワイトリストに記憶されていない場合に、当該パケットの送信元情報を取得してホワイトリストに格納する。そして、パケットフィルタリング装置は、ネットワークに輻輳が発生していると検出した場合に、ネットワーク上のパケットを受信し、当該受信されたパケットのうち、ホワイトリストに送信元が記憶されているパケットを、ホワイトリストに送信元が記憶されていないパケットよりも優先して送信先に転送する。
【選択図】 図３

Description

この発明は、パケットの送受信を行うサーバ装置とクライアント装置とのそれぞれとネットワークを介して接続されるフィルタリング装置、フィルタリング方法およびフィルタリングプログラムに関する。

従来より、インターネット上における悪意のある攻撃が大きな問題となっており、この攻撃の代表的なものとしては、サービス不能攻撃がある。サービス不能攻撃とは、インターネット上の各種サーバに対して大量のサービス接続要求を送りつけ、サーバの負荷を高め、サーバを過負荷でダウンさせたり、他の正当なユーザへのサービスを妨げたりする攻撃のことであり、いわゆる、ＤＤｏＳ（Distributed Denial of Service）などである。

また、近年、広く利用されつつあるＳＩＰ（Session Initiation Protocol）サーバも、このサービス不能攻撃の標的になる危険性が高まってきている。そして、ＳＩＰサーバに対するサービス不能攻撃の検出と防御としては、多量パケットを検出（特許文献１と２参照）やプロトコル仕様に違反する異常トラフィックを検出（特許文献３と４参照）し、原因と思われる送信元からの受信パケットを廃棄するのが一般的である。

上記したいずれの技術も、攻撃者と思われる送信元のリスト（ブラックリスト）を作成して保持しておき、受信したパケットがブラックリストに記憶されている送信元からのパケットである場合に、当該パケットを破棄する制御を行っている。

特開２００７−０６０３７９号公報 特開２００６−０２３９３４号公報 特開２００７−２６７１５１号公報 特開２００６−１００８７３号公報

しかしながら、上記した従来の技術は、大量の偽造アドレス（送信元アドレス）をブラックリストに記載することになる結果、フィルタルールが急増し、パケットフィルタリングの性能が低下するという課題と、ブラックリストに記載されていない未知の不正ユーザに対しては、防御することができないという課題があった。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、パケットフィルタリングの性能が低下することを防止することが可能であることと、未知の不正ユーザに対しても正確に防御することが可能であるフィルタリング装置、フィルタリング方法およびフィルタリングプログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、本発明は、パケットの送受信を行うサーバ装置とクライアント装置とのそれぞれとネットワークを介して接続されるフィルタリング装置であって、前記ネットワークで送受信を許可するパケットの送信元を示す送信元情報を記憶する許可情報記憶手段と、前記サーバ装置から送信されたパケットを受信するパケット受信手段と、前記パケット受信手段により受信されたパケットが、前記クライアント装置から所定の間隔で送信される認証要求に対する応答であるか否かを判定するパケット判定手段と、前記パケット判定手段により認証要求に対する応答であると判定され、当該パケットの送信元情報が前記許可情報記憶手段に記憶されていない場合に、当該パケットの送信元情報を取得して前記許可情報記憶手段に格納する許可情報格納手段と、を備えたことを特徴とする。

本発明によれば、サーバ装置から送信されたパケットを受信し、受信されたパケットが、クライアント装置から所定の間隔で送信される認証要求に対する応答であるか否かを判定し、認証要求に対する応答であると判定され、当該パケットの送信元情報が記憶されていない場合に、当該パケットの送信元情報を取得して格納するので、パケットフィルタリングの性能が低下することを防止することが可能である。また、未知の不正ユーザに対しても正確に防御することが可能である。

例えば、正規ユーザの数万倍が必要なブラックリストに比べて、正規ユーザだけを登録するホワイトリストを用いてフィルタリングすることができる結果、パケットフィルタリングの性能低下を防止することが可能である。また、ホワイトリストを予め用意しておく手法も考えられるが、ＤＨＣＰ（Dynamic Host Configuration Protocol）などを用いた正規ユーザのＩＰアドレスを毎回、正確に把握して登録することは現実的ではなく、本発明に係るパケットフィルタリング装置は、ＳＩＰサーバにより正規ユーザであると認証されたＳＩＰクライアントのみをホワイトリストに登録することができるため、未知の不正ユーザに対しても正確に防御することが可能である。

以下に添付図面を参照して、この発明に係るフィルタリング装置、フィルタリング方法およびフィルタリングプログラムの実施例を詳細に説明する。なお、以下では、本実施例に係るフィルタリング装置の概要および特徴、フィルタリング装置の構成および処理の流れを順に説明し、最後に本実施例に対する種々の変形例を説明する。

［パケットフィルタリング装置の概要および特徴］
まず最初に、図１を用いて、実施例１に係るパケットフィルタリング装置の概要および特徴を説明する。図１は、実施例１に係るパケットフィルタリング装置を含むシステムの全体構成を示すシステム構成図である。

図１に示すように、このシステムは、ＳＩＰを用いて通信を行うＳＩＰサーバとＳＩＰクライアントＡ〜Ｎとがネットワークを介して相互に通信可能に接続されて構成され、また、ＳＩＰサーバとネットワークとの間委にはパケットフィルタリング装置が接続されて構成される。また、このネットワークには、悪意をもったユーザ端末である攻撃者Ａ〜攻撃者Ｎも接続されている。

また、正規サーバであるＳＩＰサーバは、ＳＩＰを用いて通信を行う正規ユーザを識別するために、正規ＳＩＰクライアントのユーザＩＤとパスワードとを対応付けて記憶している。

また、正規ユーザであるＳＩＰクライアントは、ＳＩＰのプロトコルに仕様上、通常３６００秒に１回の間隔で、ＳＩＰサーバに対してＲＥＧＩＳＴＥＲメッセージを送信して、自装置がネットワークに接続されていることを通知する。このＲＥＧＩＳＴＥＲメッセージを受信したＳＩＰクライアントは、ＲＥＧＩＳＴＥＲメッセージから送信元ＩＰアドレス、ユーザＩＤ、パスワードを取得し、取得したユーザＩＤ、パスワードが自装置が記憶する情報と一致するか否かの認証を行う。そして、ＳＩＰサーバは、認証がＯＫの場合にのみ、送信元ＩＰアドレスに対して、「２００ ＯＫ」メッセージを送信する。ＳＩＰサーバは、認証がＮＧの場合にのみ、送信元ＩＰアドレスに対して、「４０１ Unauthorized」メッセージを送信する。

このような構成において、実施例１に係るパケットフィルタリング装置は、上記したように、ＳＩＰを用いてパケットの送受信を行うＳＩＰサーバとＳＩＰクライアントとのそれぞれとネットワークを介して接続されることを概要とするものであり、特に、パケットフィルタリングの性能が低下することを防止することが可能である点と、未知の不正ユーザに対しても正確に防御することが可能である点に主たる特徴がある。

この主たる特徴を具体的に説明すると、パケットフィルタリング装置は、ネットワークで送受信を許可するパケットの送信元を示す送信元情報を記憶するホワイトリストを備える。具体的に例を挙げると、このホワイトリストは、ネットワークで送受信を許可するパケットの送信元を示す送信元情報として「ＵＲＩ（Uniform Resource Identifier）」や「送信元ＩＰアドレス」などを記憶する。例えば、パケットフィルタリング装置は、「ＵＲＩ」として「050-aaa-aaaa」などを記憶し、「送信元ＩＰアドレス」として「1.1.1.1」などを記憶する。

そして、パケットフィルタリング装置は、ＳＩＰサーバから送信されたパケットを受信し、受信されたパケットが、ＳＩＰクライアントから所定の間隔で送信される認証要求に対する応答であるか否かを判定する。具体的に例を挙げると、パケットフィルタリング装置は、ＳＩＰサーバから送信されたパケットであって、ＳＩＰクライアントから送信されたメッセージに対する成功応答を受信し、受信された成功応答が、ＳＩＰクライアントから所定の間隔で送信される認証要求に対する応答であるか否かを判定する。例えば、パケットフィルタリング装置は、ＳＩＰサーバから送信されたパケットであって、ＳＩＰクライアントから送信されたメッセージに対する応答であっても、図２の（１）に示すように、ＳＩＰクライアントのＲＥＧＩＳＴＥＲメッセージに対する認証拒否応答（401 Unauthorized）ではなく、図２の（２）に示すように、「CSeq」に「REGISTER」と記載されているREGISTERメッセージに対する認証許可応答（200 OK）のみを受信する。なお、図２は、正規ＳＩＰクライアントへの応答メッセージ例と当該応答メッセージを詳細に表した図である。

続いて、パケットフィルタリング装置は、認証要求に対する応答であると判定され、当該パケットの送信元情報がホワイトリストに記憶されていない場合に、当該パケットの送信元情報を取得してホワイトリストに格納する。具体的に説明すると、パケットフィルタリング装置は、受信した「２００ ＯＫ」メッセージが「ＲＥＧＩＳＴＥＲ」メッセージに対する応答であると判定され、当該パケットの送信元情報がホワイトリストに記憶されていない場合に、当該パケットの送信元情報を取得し、新たな送信元情報として、ホワイトリストに格納する。つまり、パケットフィルタリング装置は、ＳＩＰサーバによって認証されて、正規ユーザである旨の通知である「２００ ＯＫ」メッセージのみからホワイトリストを作成する。

また、このようにホワイトリストを作成した状態で、ネットワークの輻輳が発生した場合、パケットフィルタリング装置は、作成して保持するホワイトリストを用いて、パケットフィルタリングを実施する。具体的には、パケットフィルタリング装置は、ネットワーク使用状況、ネットワーク上のパケットの量などを観察することによりネットワークの輻輳を検出する。そして、パケットフィルタリング装置は、ネットワークの輻輳を検出すると、ホワイトリストに送信元が記憶されているパケットを優先して送信先に転送するフィルタリング制御を実施する。

このように、実施例１に係るパケットフィルタリング装置は、ＳＩＰサーバにより正規ユーザであると認証されたＳＩＰクライアントのみをホワイトリストに登録し、ネットワークに輻輳が発生した場合には、当該ホワイトリストに送信元が記憶されるパケットを優先して送信先に転送することができる結果、上記した主たる特徴のごとく、パケットフィルタリングの性能が低下することを防止することと、未知の不正ユーザに対しても正確に防御することが可能である。

［パケットフィルタリング装置の構成］
次に、図３を用いて、図１に示したパケットフィルタリング装置の構成を説明する。図３は、実施例１に係るパケットフィルタリング装置の構成を示すブロック図である。図３に示すように、このパケットフィルタリング装置１０は、通信制御Ｉ／Ｆ部１１と、記憶部１５と、制御部２０とから構成される。

通信制御Ｉ／Ｆ部１１は、ネットワークに接続される複数のポートを備え、これらによってネットワーク上のパケットを受信したり、ネットワークにパケットを送信したりする。記憶部１５は、制御部２０による各種処理に必要なデータおよびプログラムを格納する格納手段（記憶手段）であり、特に本発明に密接に関連するものとしては、ホワイトリスト１６を備える。

ホワイトリスト１６は、ネットワークで送受信を許可するパケットの送信元を示す送信元情報を記憶する。具体的に例を挙げると、ホワイトリスト１６は、図４に示すように、『送信先の電話番号を示す「ＵＩＤ」、送信先のＩＰアドレスを示す「ＩＰ」、当該情報を有効期限を示す「Expires」』として「050-aaa-aaaa、1.1.1.1、3600」などと記憶する。また、ホワイトリスト１６は、レコードが記憶されると当該レコードの有効期限「Expires」を１秒ずつデクリメントしていき、「Expires」が０になると、当該レコードを無効としたり削除したりする。なお、図４は、ホワイトリストに記憶される情報の例を示す図である。

制御部２０は、ＯＳ（Operating System）などの制御プログラム、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有するとともに、特に本発明に密接に関連するものとしては、パケット受信部２１と、パケット判定部２２と、パケット格納部２３と、フィルタリング部２４とを備え、これらによって種々の処理を実行する。

パケット受信部２１は、ＳＩＰサーバから送信されたパケットを受信する。具体的に例を挙げると、パケット受信部２１は、通信制御Ｉ／Ｆ部１１を介してネットワーク上に流れるパケットのうち、ＳＩＰサーバから送信されたパケットを受信して、後述するパケット判定部２２に出力する。

また、パケット受信部２１は、ＳＩＰサーバから送信されたパケットであって、ＳＩＰクライアントから送信されたメッセージに対する成功応答を受信してもよい。具体的に例を挙げると、パケット受信部２１は、通信制御Ｉ／Ｆ部１１を介してネットワーク上に流れるパケットのうち、ＳＩＰサーバから送信されたパケットであって、ＳＩＰクライアントから送信されたメッセージに対する「２００ ＯＫ」メッセージを受信して、後述するパケット判定部２２に出力することもできる。

パケット判定部２２は、パケット受信部２１により受信されたパケットが、ＳＩＰクライアントから所定の間隔で送信される認証要求に対する応答であるか否かを判定する。具体的に例を挙げると、パケット判定部２２は、パケット受信部２１により入力されたパケットの「CSeq」を参照し、この「CSeq」に「REGISTER」が記載されているか否かを判定する（図２の（ａ）参照）。そして、パケット判定部２２は、「CSeq」に「REGISTER」が記載されているパケットについては、後述するパケット格納部２３に出力し、「CSeq」に「REGISTER」が記載されていないパケットについては、破棄する。

パケット格納部２３は、パケット判定部２２により認証要求に対する応答であると判定され、当該パケットの送信元情報がホワイトリスト１６に記憶されていない場合に、当該パケットの送信元情報を取得してホワイトリスト１６に格納する。具体的に例を挙げると、パケット格納部２３は、パケット判定部２２により「CSeq」に「REGISTER」が記載されている認証要求に対する応答であると判定されたパケットについて、当該パケットのヘッダから送信元情報（例えば、ＩＰアドレス）を取得してホワイトリスト１６に格納する。

また、例えば、これ以外にも、パケット格納部２３は、パケット判定部２２により「CSeq」に「REGISTER」が記載されている認証要求に対する応答であると判定されたパケットについて、当該パケットの送信元情報「received（図２の（ｂ）参照）」がホワイトリスト１６に記憶されていない場合に、当該パケットから送信元情報「received」を取得してホワイトリスト１６に格納することもできる。

また、パケット格納部２３は、パケット判定部２２により「CSeq」に「REGISTER」が記載されている認証要求に対する応答であると判定されたパケットについて、送信元情報「received」と有効期限「expires（図２の（ｃ）参照）」を取得して、これらを対応付けてホワイトリスト１６に格納してもよい。また、パケット格納部２３は、送信元情報として「received」以外にも「２００ ＯＫ」メッセージのヘッダから「ＩＰアドレス」を取得し、これを送信元情報としてホワイトリスト１６に格納することもできる。

フィルタリング部２４は、ネットワークに輻輳が発生した場合に、ホワイトリスト１６を用いてフィルタリングを実施する。具体的に例を挙げると、フィルタリング部２４は、ネットワーク使用状況、ネットワーク上のパケットの量などを観察することによりネットワークの輻輳を検出する。そして、フィルタリング部２４は、ネットワークの輻輳を検出すると、当該ネットワーク上のパケットを受信し、受信したパケットの送信元がホワイトリスト１６に記憶されているか否かを判定する。続いて、フィルタリング部２４は、受信したパケットの送信元がホワイトリスト１６に記憶されている場合には、当該パケットを送信先に転送し、受信したパケットの送信元がホワイトリスト１６に記憶されていない場合には、当該パケットを破棄する。また、フィルタリング部２４は、受信したパケットの送信元がホワイトリスト１６に記憶されていない場合には、ネットワークの輻輳が解消するまで当該パケットを保持しておき、輻輳が解消してから当該パケットを送信先に転送することもできる。

［パケットフィルタリング装置による処理］
次に、図５と図６とを用いて、パケットフィルタリング装置による処理を説明する。図５は、実施例１に係るパケットフィルタリング装置におけるホワイトリスト作成処理の流れを示すフローチャートであり、図６は、実施例１に係るパケットフィルタリング装置におけるフィルタリング処理の流れを示すフローチャートである。

（ホワイトリスト作成処理の流れ）
図５に示すように、パケットフィルタリング装置１０は、ＳＩＰサーバから送信されたパケットであって、ＳＩＰクライアントから送信されたメッセージに対する成功応答を受信すると（ステップＳ１０１肯定）、受信したパケットが「REGISTER」メッセージに対する応答であるか否かを判定する（ステップＳ１０２）。

具体的には、パケットフィルタリング装置１０は、ＳＩＰサーバから送信された「２００ ＯＫ」メッセージを受信すると、当該メッセージの「Cseq」のメソッドが「REGISTER」であるか否かを判定する。

そして、パケットフィルタリング装置１０は、受信したパケットが「REGISTER」メッセージに対する応答である場合（ステップＳ１０２肯定）、当該パケットの送信元がホワイトリスト１６に記憶されているか否かを判定する（ステップＳ１０３）。

具体的には、パケットフィルタリング装置１０は、受信したパケットが「REGISTER」メッセージに対する応答である場合、当該パケットの送信元情報である「ＵＲＩ」や「ＩＰアドレス」などがホワイトリスト１６に記憶されているか否かを判定する。

続いて、パケットフィルタリング装置１０は、当該パケットの送信元がホワイトリスト１６に記憶されていない場合には（ステップＳ１０３否定）、当該送信元情報をホワイトリスト１６に新たに格納し（ステップＳ１０４）、当該パケットの送信元がホワイトリスト１６に記憶されている場合には（ステップＳ１０３肯定）、ホワイトリスト１６に記憶されている情報を更新する（ステップＳ１０５）。

上記した例で具体的に説明すると、パケットフィルタリング装置１０は、当該「REGISTER」メッセージの送信元がホワイトリスト１６に記憶されていない場合には、当該「REGISTER」メッセージから「送信元情報（ＵＲＩ）、宛先のＩＰアドレス、Expires」を取得してホワイトリスト１６に新たに格納する。一方、当該「REGISTER」メッセージの送信元がホワイトリスト１６に記憶されている場合には（ステップＳ１０３肯定）、パケットフィルタリング装置１０は当該「REGISTER」メッセージから「宛先のＩＰアドレス、Expires」を取得してホワイトリスト１６に記憶されている情報を更新する。つまり、ここで、「Expires」の値が「1100」であれば、初期値である「3600」に更新されることとなる。

ステップＳ１０２に戻り、パケットフィルタリング装置１０は、受信したパケットが「REGISTER」メッセージに対する応答でない場合（ステップＳ１０２否定）、当該パケットを破棄して処理を終了する。なお、上記したステップＳ１０１〜ステップＳ１０５の処理は、管理者の指示があるまで、受信されたパケット全てについて実行される。

（フィルタリング処理の流れ）
図６に示すように、ネットワークの輻輳を検出したパケットフィルタリング装置１０は、ネットワーク上のパケットを受信すると（ステップＳ２０１肯定）、受信したパケットのソースＩＰがホワイトリスト１６に記憶されているか否かを判定する（ステップＳ２０２）。

具体的に例を挙げると、パケットフィルタリング装置１０は、ネットワーク使用状況、ネットワーク上のパケットの量などを観察することによりネットワークの輻輳を検出する。すると、パケットフィルタリング装置１０は、ネットワーク上の全てのパケットを受信して、当該パケットのソースＩＰ（送信元情報）がホワイトリスト１６に記憶されているか否かを判定する。

そして、パケットフィルタリング装置１０は、受信したパケットのソースＩＰがホワイトリスト１６に記憶されている場合には（ステップＳ２０２肯定）、当該パケットを最優先で送信先に転送し（ステップＳ２０３）、受信したパケットのソースＩＰがホワイトリスト１６に記憶されていない場合には（ステップＳ２０２否定）、当該パケットを破棄またはbest effortで送信先に転送する（ステップＳ２０４）。

具体的に例を挙げると、パケットフィルタリング装置１０は、受信したパケットのソースＩＰがホワイトリスト１６に記憶されている場合には、受信した他のパケットよりも当該パケットを最優先で送信先に転送する。一方、受信したパケットのソースＩＰがホワイトリスト１６に記憶されていない場合には、パケットフィルタリング装置１０は、当該パケットを破棄したり、ネットワークの輻輳が解消するまで保持しておき、輻輳が解消すると送信先に転送したりする。

［実施例１による効果］
このように、実施例１によれば、ＳＩＰサーバから送信されたパケットを受信し、受信されたパケットが、ＳＩＰクライアントから所定の間隔で送信される認証要求に対する応答であるか否かを判定し、認証要求に対する応答であると判定され、当該パケットの送信元情報がホワイトリスト１６に記憶されていない場合に、当該パケットの送信元情報を取得してホワイトリスト１６に格納するので、パケットフィルタリングの性能が低下することを防止することが可能であることと、未知の不正ユーザに対しても正確に防御することが可能である。

例えば、正規ユーザの数万倍が必要なブラックリストに比べて、正規ユーザだけを登録するホワイトリストを用いてフィルタリングすることができる結果、パケットフィルタリングの性能が低下することを防止することが可能である。また、ホワイトリストを予め用意しておく手法も考えられるが、全ての正規ユーザを事前に把握して登録することは現実的ではなく、未知のユーザに対応できないが、本発明に係るパケットフィルタリング装置は、ＳＩＰサーバにより正規ユーザであると認証されたＳＩＰクライアントのみをホワイトリストに登録することができるため、未知の不正ユーザに対しても正確に防御することが可能である。

また、実施例１によれば、ＳＩＰサーバから送信されたパケットであって、前記ＳＩＰクライアントから送信されたメッセージに対する成功応答を受信し、受信された成功応答が、ＳＩＰクライアントから所定の間隔で送信される認証要求に対する応答であるか否かを判定するので、全てのパケットに対してホワイトリストに登録するか否かの判定を行う必要がなく、ホワイトリスト作成処理を効率的に実行することが可能であるとともに、ＳＩＰサーバにより正規ユーザであると認証されたＳＩＰクライアントのみをホワイトリストに正確に登録することが可能である。

また、実施例１によれば、ネットワークに輻輳が発生していると検出された場合に、ネットワーク上のパケットを受信し、当該受信されたパケットのうち、ホワイトリスト１６に送信元情報が記憶されているパケットを、ホワイトリスト１６に送信元情報が記憶されていないパケットよりも優先して送信先に転送するので、攻撃者などの不正なパケットの流通を防止し、正規ユーザのためのトラフィックを確保することが可能である。さらに、正規ユーザのためのトラフィックを確保することができる結果、ネットワークの輻輳の解消に貢献することが可能である。

また、実施例１によれば、認証要求に対する応答であると判定され、当該パケットの送信元情報がホワイトリスト１６に記憶されていない場合に、当該パケットの送信元情報と有効期限とを取得してホワイトリスト１６に格納するので、送信元情報だけでなく、有効期限も用いたフィルタリングを実施するための、詳細なホワイトリストを作成することが可能である。

また、実施例１によれば、認証要求に対する応答であると判定され、当該パケットの送信元情報がホワイトリスト１６に記憶されている場合に、当該パケットの送信元情報と有効期限とを取得して、ホワイトリスト１６に格納されている情報を更新するので、ネットワークに現在接続されているＳＩＰクライアントについてのみのホワイトリストを作成することができる結果、不正ユーザからより強固に防御するホワイトリストを作成することが可能である。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に示すように、（１）ホワイトリストからの削除、（２）有効期限、（３）送信元情報、（４）フィルタリング実施タイミング、（５）プロトコル、（６）ネットワーク構成、（７）システム構成等、（８）プログラムにそれぞれ区分けして異なる実施例を説明する。

（１）ホワイトリストからの削除
例えば、本発明では、ホワイトリストに記憶された情報が一定期間更新されない場合には、当該情報を削除することができる。このようにすることで、ネットワークに現在接続されているＳＩＰクライアントについてのみのホワイトリストを作成することができる結果、長時間アクセスのない疑わしいユーザをホワイトリストから削除することができ、不正ユーザをより強固に防御するホワイトリストを作成することが可能である。

（２）有効期限
また、本発明では、ホワイトリストに必ずしも有効期限を記憶している必要はない。例えば、ホワイトリストに正規ユーザの送信元情報のみを記憶しておくこともでき、その場合でもパケットフィルタリングの性能が低下することを防止することが可能であり、未知の不正ユーザに対しても正確に防御することが可能である。

（３）送信元情報
また、本発明では、ホワイトリストに登録する送信元情報としては、実施例１で説明したＵＲＩやＩＰアドレス、電話番号など、ＳＩＰを用いて通信する際にユーザを特定できる情報であれば、いずれの情報でもよい。

（４）フィルタリング実施タイミング
また、実施例１では、ホワイトリスト作成後にネットワークの輻輳が発生した場合には、作成したホワイトリストを用いてフィルタリングを実施する場合について説明したが、本発明はこれに限定されるものではなく、ホワイトリストを作成している段階でも、当該ホワイトリストを用いてフィルタリングを実施することができる。また、ホワイトリスト作成後にネットワークの輻輳が発生しなくても、ホワイトリスト作成後直ちに、作成したホワイトリストを用いてフィルタリングを実施することもできる。

（５）プロトコル
また、実施例１では、ＳＩＰを用いた場合について説明したが、本発明はこれに限定されるものではなく、ＳＩＰ以外にも、上記したパケットをやり取りするプロトコルにも適用することができる。具体的には、サーバ、クライアント通信において、クライアントは、サーバに対してパケットを送信し、サーバは、クライアントから送信されたパケットを用いてクライアントを認証してその認証結果をクライアント応答する。このようなプロトコルであれば、どのようなプロトコルでも同様に用いることができる。

（６）ネットワーク構成
また、本発明に係るパケットフィルタリング装置は、実施例１で説明したネットワーク構成以外にも適用することができる。例えば、図７に示すように、パケットフィルタリング装置は、ＳＩＰサーバとネットワークとの間にタップを介して接続することもできる。この場合、本装置は、タップを介してパケットのコピーを取得することで、実施例１と同様に、パケットフィルタリングの性能が低下することを防止することが可能であり、未知の不正ユーザに対しても正確に防御することが可能である。また、このように、タップを介して接続することで、本装置が故障した場合であっても、ネットワークが中断することを防止することが可能である。また、システム管理者は、本装置のホワイトリストをファイアウォールなどの装置に設定することで、実施例１と同様に、トラフィック制御を実現することが可能である。

（７）システム構成等
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理（例えば、ネットワーク使用状況やパケット流通率の輻輳検出処理など）の全部または一部を手動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報（例えば、図２や図４など）については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合（例えば、フィルタリング部を輻輳検出部とフィルタリング実施部とに分割するなど）して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（８）プログラム
なお、本実施例で説明したフィルタリング方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、本発明に係るフィルタリング装置、フィルタリング方法およびフィルタリングプログラムは、パケットの送受信を行うサーバ装置とクライアント装置とのそれぞれとネットワークを介して接続されてパケットフィルタリングを実施することに有用であり、特に、パケットフィルタリングの性能が低下することを防止することと、未知の不正ユーザに対しても正確に防御することに適する。

実施例１に係るパケットフィルタリング装置を含むシステムの全体構成を示すシステム構成図である。 正規ＳＩＰクライアントへの応答メッセージ例と当該応答メッセージを詳細に表した図である。 実施例１に係るパケットフィルタリング装置の構成を示すブロック図である。 ホワイトリストに記憶される情報の例を示す図である。 実施例１に係るパケットフィルタリング装置におけるホワイトリスト作成処理の流れを示すフローチャートである。 実施例１に係るパケットフィルタリング装置におけるフィルタリング処理の流れを示すフローチャートである。 実施例２に係るパケットフィルタリング装置を含むシステムの全体構成を示すシステム構成図である。

符号の説明

１０ パケットフィルタリング装置
１１ 通信制御Ｉ／Ｆ部
１５ 記憶部
１６ ホワイトリスト
２０ 制御部
２１ パケット受信部
２２ パケット判定部
２３ パケット格納部
２４ フィルタリング部

Claims (9)

1. パケットの送受信を行うサーバ装置とクライアント装置とのそれぞれとネットワークを介して接続されるフィルタリング装置であって、
   前記ネットワークで送受信を許可するパケットの送信元を示す送信元情報を記憶する許可情報記憶手段と、
   前記サーバ装置から送信されたパケットを受信するパケット受信手段と、
   前記パケット受信手段により受信されたパケットが、前記クライアント装置から所定の間隔で送信される認証要求に対する応答であるか否かを判定するパケット判定手段と、
   前記パケット判定手段により認証要求に対する応答であると判定され、当該パケットの送信元情報が前記許可情報記憶手段に記憶されていない場合に、当該パケットの送信元情報を取得して前記許可情報記憶手段に格納する許可情報格納手段と、
   を備えたことを特徴とするフィルタリング装置。
2. 前記パケット受信手段は、前記サーバ装置から送信されたパケットであって、前記クライアント装置から送信されたパケットに対する成功応答を受信し、
   前記パケット判定手段は、前記パケット受信手段により受信された成功応答が、前記クライアント装置から所定の間隔で送信される認証要求に対する応答であるか否かを判定することを特徴とする請求項１に記載のフィルタリング装置。
3. 前記ネットワークにおいて輻輳が発生しているか否かを検出する輻輳検出手段と、
   前記輻輳検出手段により輻輳が発生していると検出された場合に、前記ネットワーク上のパケットを受信し、当該受信されたパケットのうち、前記許可情報記憶手段に送信元情報が記憶されているパケットを、前記許可情報記憶手段に送信元情報が記憶されていないパケットよりも優先して送信先に転送するパケット転送手段とをさらに備えたことを特徴とする請求項１または２に記載のフィルタリング装置。
4. 前記許可情報格納手段は、前記ネットワークで送受信を許可する期限を示す有効期限をさらに記憶するものであって、
   前記許可情報格納手段は、前記パケット判定手段により認証要求に対する応答であると判定され、当該パケットの送信元情報が前記許可情報記憶手段に記憶されていない場合に、当該パケットの送信元情報と有効期限とを取得して前記許可情報記憶手段に格納することを特徴とする請求項１〜３のいずれか一つに記載のフィルタリング装置。
5. 前記許可情報格納手段は、前記パケット判定手段により認証要求に対する応答であると判定され、当該パケットの送信元情報が前記許可情報記憶手段に記憶されている場合に、当該パケットの送信元情報と有効期限とを取得して、前記許可情報記憶手段に格納されている情報を更新することを特徴とする請求項４に記載のフィルタリング装置。
6. 前記許可情報格納手段は、前記許可情報記憶手段に記憶されている情報が所定に期間更新されない場合には、当該情報を削除することを特徴とする請求項４または５に記載のフィルタリング装置。
7. パケットの送受信を行うサーバ装置とクライアント装置とのそれぞれとネットワークを介して接続されるフィルタリング装置に適したフィルタリング方法であって、
   前記ネットワークで送受信を許可するパケットの送信元を示す送信元情報を記憶する許可情報記憶手段と、
   前記サーバ装置から送信されたパケットを受信するパケット受信工程と、
   前記パケット受信工程により受信されたパケットが、前記クライアント装置から所定の間隔で送信される認証要求に対する応答であるか否かを判定するパケット判定工程と、
   前記パケット判定工程により認証要求に対する応答であると判定され、当該パケットの送信元情報が前記許可情報記憶手段に記憶されていない場合に、当該パケットの送信元情報を取得して前記許可情報記憶手段に格納する許可情報格納手段と、
   を含んだことを特徴とするフィルタリング方法。
8. パケットの送受信を行うサーバ装置とクライアント装置とのそれぞれとネットワークを介して接続されるフィルタリング装置としてのコンピュータに実行させるフィルタリングプログラムであって、
   前記ネットワークで送受信を許可するパケットの送信元を示す送信元情報を記憶する許可情報記憶手段と、
   前記サーバ装置から送信されたパケットを受信するパケット受信手順と、
   前記パケット受信工程により受信されたパケットが、前記クライアント装置から所定の間隔で送信される認証要求に対する応答であるか否かを判定するパケット判定手順と、
   前記パケット判定手順により認証要求に対する応答であると判定され、当該パケットの送信元情報が前記許可情報記憶手段に記憶されていない場合に、当該パケットの送信元情報を取得して前記許可情報記憶手段に格納する許可情報格納手順と、
   をコンピュータに実行させることを特徴とするフィルタリングプログラム。
9. パケットを送受信するサーバ装置とクライアントとが接続されるネットワークに接続され、前記ネットワーク上のパケットをフィルタリングするフィルタリング装置であって、
   前記ネットワーク上のパケットの転送を許可する送信元を特定する送信元情報を記憶する許可情報記憶手段と、
   前記ネットワーク上のパケットを受信するパケット受信手段と、
   前記パケット受信手段により受信されたパケットの送信元情報が前記許可情報記憶手段に記憶されている場合に、当該パケットを送信先に転送するパケット転送手段と、
   前記パケット受信手段により受信されたパケットの送信元情報が前記許可情報記憶手段に記憶されていない場合に、前記サーバ装置から送信されたパケットであって、前記クライアント装置から送信された認証要求対する許可応答であるか否かを判定するパケット判定手段と、
   前記パケット判定手段により認証要求対する許可応答であると判定された場合に、当該パケットから送信元情報を取得して前記許可情報記憶手段に格納するとともに、当該パケットを送信先に転送する許可情報格納手段と、
   を備えたことを特徴とするフィルタリング装置。

Images