JP2014053004A - 動的に構成されるネットワークにおいて端末を防御する方法およびシステム - Google Patents

Abstract

【課題】動的に構成されるネットワークにおいて安全性の高いネットワーククライアント端末を実装する。
【解決手段】本明細書記載のシステムと方法は、ダイナミック・ホスト・コンフィグレーション・プロトコル（ＤＨＣＰ）に関連し、より安全性の高いネットワーククライアント端末を実装するためのものである。構成情報を含んで到来するＤＨＣＰオファーパケットは一時的に収集される。全ての到来するオファーが受信されたと一旦判定されると、オファーが採点され、最良のオファーが選択される。最良のオファーは端末のネットワークスタックを構成するために利用される。
【選択図】図１

Description

近代のＴＣＰ／ＩＰネットワークにおけるセキュリティ上最大の脆弱性の一つにダイナミック・ホスト・コンフィグレーション・プロトコル（ＤＨＣＰ）への依存が挙げられる。ＤＨＣＰが存在しない場合、ネットワークに接続しようとする計算機の利用者はネットワーク管理者の人間を見つけ出す必要があり、ＩＰアドレス、サブネットマスク、ドメイン名サービス（ＤＮＳ）サーバのアドレスや、その他ネットワーク構成情報を要求すると共に、利用者はこれらの構成情報を利用するために計算機のネットワーク層の環境を手動で設定しなくてはならない。

このような手動設定によるアプローチはほぼ非現実的で、ときには不可能であり、ＤＨＣＰがかわりに使われることがある。ＤＨＣＰを使うことにより、ネットワークに接続しようとするクライアント計算機は、ＤＨＣＰディスカバリー要求パケットをブロードキャストして、適切なＤＨＣＰサーバを特定する要求をアナウンスする。これに対してネットワーク上のＤＨＣＰサーバはＤＨＣＰオファーパケットによって返信することが一般的であり、このパケットには提案するネットワークアドレス、サブネットマスク、ゲートウェイルータやＤＮＳサーバといった追加資源のアドレス情報などの項目など、そのクライアントのためのネットワークコンフィグレーション情報が含まれる。そしてクライアントは受信したオファーのなかから選択し、その選択したオファーのコンフィグレーションを予約するための要求を返信する。そしてそれをオファーしたＤＨＣＰサーバはこの予約情報について最終決定をしてそれに沿ってアドレステーブルを更新する。

上述の要領でのＤＨＣＰの使用には特定の脆弱な部分が含まれ、ネットワーク内で特定の安全面において問題を潜在的に引き起こすことがありうる。まず第一に、そのネットワークまたはサブネットにおいてどのホストがＤＨＣＰサーバとして実行するかを制限せず、ＤＨＣＰプロトコルはネットワークやサブネットにおいて断定的はおろか推奨としてどのサーバがＤＨＣＰサーバなのかを指定する手段を提供しない。その結果、ネットワークにおいてどのＤＨＣＰサーバが正しいのか、そしてネットワーク上のいずれかのＤＰＣＰサーバが安全面で脅威となりうるのかについて、ふたつまたはそれ以上のＤＨＣＰからオファーを受信したクライアントそれぞれで判断しなくてはならない。第２に、多くのクライアントに搭載されているネットワーク処理スタックは最初のＤＨＣＰオファー応答を単に受け入れる。その理由として、（１）多くのネットワークではただ一つのＤＨＣＰサーバが存在することが典型的であることと、（２）多くのクライアント端末はネットワークに可能な限り早く接続したがることと、（３）ネットワークとサブネット上にいくつのＤＨＣＰサーバがあるのかを事前に知ることはできず、故にいくつＤＨＣＰオファーを受信することを期待できるのかわからない。したがって、多くのクライアントにあっては、例えばＤＨＣＰオファー応答がネットワーク上での正しいあるいは認定されたＤＨＣＰサーバから受信したものなのか、ネットワークにたまたま挿入されたかＤＨＣＰサービスを提供するように不本意に設定されたＤＨＣＰサーバではなかったか、あるいは潜在的な悪意の意図をもったハッカーに操作されている悪いＤＨＣＰサーバから受信したものかを判定するための努力をしない。

例えば、悪意をもつＤＨＣＰサーバが、ネットワーク上の脆弱なコンフィグレーションを提供すべく、インターネットカフェといった事業者の公衆ネットワークにハッカーによって挿入されていることがある。ＤＨＣＰ情報のためのクライアントデバイスの要求に応じて、ハッカーの不正なＤＨＣＰサーバは、ネットワーク上の正当なＤＨＣＰサーバの前にクライアントに応答することができる。場合によっては、通常ＤＨＣＰサーバによって提供されるクライアントのゲートウェイやＤＮＳサーバあるいはその他のネットワーク情報をクライアントはこの悪意をもったＤＨＣＰサーバによるオファーに基づいて設定するよう指示することができる。このように、ハッカーは偽造ウェブサイトや、アカウント名とパスワードを傍受できるサーバそしてクライアントからの検出を事実上不可能とするその他極悪非道な動作をする危険なネットワーク資源へクライアントを誘導できる。

本実施例によれば、ハッカーが悪意を持つＤＨＣＰサーバをネットワークに設置した後、携帯電話をもつ顧客がネットワークへの接続を試みる。携帯電話がＤＨＣＰティスカバリ要求をブロードキャストすると、その携帯電話はＤＨＣＰオファーへの応答をネットワーク上にある正当なルータとハッカーの悪意をもつサーバから受け取ることがある。もしハッカーの悪意をもつサーバからの応答が顧客に先に受信されると、携帯電話はそのハッカーから提供された情報に基づいてネットワーク情報を設定する可能性が高い。

本実施例によれば、ハッカーの悪意をもつＤＨＣＰサーバはそのネットワーク上の正当なＤＮＳサーバのとは異なるアドレスを割り振ることができる。もしその携帯電話がハッカーにとって興味のないウェブサイトを訪問する場合は、そのハッカーのＤＮＳサーバはその要求を正当なＤＮＳサーバに転送し、また応答を受信することにより顧客の携帯電話は何か異常が生じていることに気づくことなく要求したウェブページを閲覧できる。

しかしながら、もし携帯電話の利用者がハッカーが標的とする特定のウェブサイトを訪問しようと判断した場合、そのハッカーの悪意をもつＤＨＣＰサーバにより設定された無効なＤＮＳサーバによってＩＰアドレスを直接返答することができ、そのＩＰアドレスは偽造あるいは「フィッシング詐欺」サイトのアドレスを指す可能性がある。その後、携帯電話の利用者のウェブブラウザは、ネットワーク上の正当なホストサーバから受信したと信じてウェブページのロードを試みるが、実際にそのときにはハッカーにより運営される偽装ウェブサイトからページがダウンロードされているかもしれない。もしそのページが利用者により要求された実際のウェブページと酷似している場合、利用者は、実際には潜在的に危険なウェブサイトであるときにそのウェブサイトに正しくたどり着いたと信じることがありうる。こういった構成によって、利用者が偽造ウェブサイトに入ることにより例えば利用者の属性情報（例えばユーザ名やパスワード）を獲得することなど、さまざまな危険なあるいは安全性に欠く操作を実施できる。

したがって、獲得されるＤＨＣＰオファーを不正なＤＨＣＰサーバから供給することにより、ハッカーは、実質的にあらゆる目的のためにあらゆるホストまたはサーバに被害者を誘導できる。そして、盲目的に不正なＤＨＣＰオファー応答を受け入れることによって、顧客はそれにしたがってネットワークトラフィック全体をそのようなあらゆるハッカーや極悪な団体により管理され、追跡され、そして操作されることになる。

したがって、悪意のあるＤＨＣＰサーバからクライアント側で防御できる信頼できる手段をネットワーククライアント端末で提供する必要がある。

本明細書で言及した全ての刊行物、特許および特許出願は、個々の刊行物、特許、または特許出願が具体的であるかのように同程度に、本明細書に参考として援用かつ個別に参考として援用されるように示されている。

本発明の新規な特徴は、添付の特許請求の範囲に詳細に記載されている。本発明の特徴および利点のより良い理解は、記載の本発明の原理が利用される例示的な実施形態を、以下の詳細な説明を参照することによって得られるであろう。
図１に本実施例におけるシステムと方式を示すべく構成変更可能なＤＨＣＰ防御モジュールに関するブロック図を示す。 図２に本実施例におけるシステムと方式を示すべく構成変更可能な保護端末に対応できる環境システムを図示する。

本発明は、ネットワークセキュリティを向上するためのシステムと方式に関し、より詳細には、ＤＨＣＰオファーの妥当性を評価するための方法およびプロセスに関する。本明細書に記載の本発明の種々の態様を以下に記載する特定のアプリケーションのいずれにも適用可能である。本発明の異なる態様をまとめて、個別に評価されて、又は互いに組み合わせにすることができることとする。

本発明によるダイナミック・ホスト・コンフィグレーション・プロトコル（ＤＨＣＰ）を用いたネットワーククライアント端末を示す。図１では、ＤＨＣＰ防御モジュール（１００）が組み込まれたネットワーククライアント端末によって構成可能なシステムと方式を実装する一実施例を示す。本明細書で参照されるネットワーク・クライアント端末は、ＤＨＣＰを使用することにより、例えばネットワーク接続用に構成することができる任意のネットワーク接続デバイスを含むことができ、これにはコンピュータネットワークや他の通信ネットワークと通信可能なあらゆる端末が含まれ、例えば移動型、セルラー型、または「スマート」携帯端末（例：iPhone, BlackBerry, Android, Treo）があり、ワイヤレス電子メール端末といったワイヤレス端末や、タブレットやPalmやWindows（登録商標） CE端末を基にしたパーソナル・デジタル・アシスタント（ＰＤＡ）端末がある。端末にはさらにネットワーク・ハードウェア機器が含まれ、これには中継あるいは他のネットワーク制御端末たとえばネットワークサーバ、ルータまたはスイッチが含まれ、ここに記載する方式とシステムを実装すべく構成可能である。

本明細書で参照されるネットワーク・クライアント・デバイスは、プロセッサとオペレーティングシステム（ＯＳ）およびネットワークスタックの実装を格納することができるメモリを有することができる。これは、ネットワーククライアント装置のメモリが非リムーバブルメモリや着脱可能なメモリを含み得ることを理解されたい。非リムーバブルメモリはＲＡＭ、ＲＯＭ、ハードディスク、または他の周知のメモリ・ストレージ技術で構成できる。着脱可能なメモリは 、ＧＳＭ（登録商標）通信システムで知られている加入者識別モジュール（ＳＩＭ）カードや、他の周知のメモリ記憶技術として”スマートカード”またはフラッシュメモリと基にしたメモリから構成されてもよい。

ネットワーク・クライアント・デバイスは、ネットワーク・クライアント・デバイスで送受信されるネットワークパケットの要求と応答を処理するネットワーク・スタック（１０２）を含むことができる。これは、ネットワーク・クライアント・デバイスのネットワーク・スタック（１０２）はＩＰｖ４またはＩＰｖ６プロトコル、またはその両方を実装してもよいことと理解され、本発明は、ＩＰｖ４またはＩＰｖ６プロトコルのいずれかもしくは両方を使用して不正なＤＨＣＰサーバに対して防御するように構成できる。さらに、いくつかの実施形態では、ＤＨＣＰ防御モジュールが直接ＤＨＣＰプロトコルを実装したり、ＤＨＣＰの直接的な機能を提供しないかもしれないが、それは潜在的に非合法ＤＨＣＰオファーと潜在的に正当なＤＨＣＰオファーを区別しようとしないことが理解されなければならない。

いくつかの実施形態において、ここにおいて説明されるシステムおよび方法は、物理層（１０１）とネットワーク・スタック（１０２）の論理層との間の中間層（シム）として実装できる。いくつかの実施形態では、ＤＨＣＰ防御モジュール（１００）は、代わりに個別のモジュールで、ネットワークスタックソフトウェアに又はＯＳに統合されてもよい。いくつかの実施形態では、ＤＨＣＰ防御モジュール（１００）は、その製品の特徴の一つ又は成分として、ファイアウォール、侵入検知システム、侵入防止システム、又は同様のセキュリティ製品に統合することができる。いくつかの実施形態では、ＤＨＣＰ防衛モジュール（１００）は、離散から、または直接組み込む、クライアントデバイス内の１つまたは複数のネットワークインタフェースコントローラ（ＮＩＣ）に、ハードウェアに実装されてもよい。他の実施形態も可能である。

受信機ロジックモジュール（１０３）によって、本発明の一態様では、着信パケットを調べてもよいし、さらなる処理のために分類してもよい。パケットは、受信機ロジックモジュール（１０３）によってネットワークトラフィックが傍受され、ネットワークスタックの論理層（１０２）と物理層（１０１）との間のインバウンドおよびアウトバウンドの両方向にＤＨＣＰパケットを調べてもよい。

例えば、物理層（１０１）からくるインバウンドパケットは一つまたはそれ以上の受信機ロジックモジュール（１０３）を通ることによりパケットがＩＰパケットかどうか、ＵＤＰパケットかどうか、保護される端末に向けられているのかどうか、ＤＨＣＰオファーパケットかどうか、既に受信したオファーの複製かどうか、さらにはパケットがブラックリストに登録されているかを判定できる。いくつかの実施例においては、インバウンドパケットが保護される端末へのＤＨＣＰオファーではない場合、通常処理のためにネットワークスタック（１０２）に転送される。いくつかの実施例においては、インバウンドパケットが保護される端末へのＤＨＣＰオファーである場合、パケットは一時保管プール（１０５）に置かれる。

ネットワーククライアント端末は、ＤＨＣＰサーバがネットワーク上にいくつ存在するか事前にわからないことがあり、いくつのオファーを受信することを予測すべきかもわからない。また、ネットワークの状態が変化するなかでオファーを受信するまでに必要な時間もわからない。従って、有効なオファーすべてが到来したかを判断することが困難となる。一実施例によると、保護される端末が最初のＤＨＧＰ発見パケットの発信する時にタイマー（１０６）を起動する。タイマー（１０６）は、一定の時間間が経過した時点で無効になるように設定することができ、または、構成情報によって指定された時間間隔にて動作するよう設定することができる。例えば、タイマーは利用者によって制御することができ、または中央管理とサービス局（２３０）から制御できる。タイマー（１０６）が動作中に到来したオファーはＤＨＣＰ推奨候補保管プール（１０５）に保管できる。一実施例によると、タイマーが無効になるとき、全てのオファーが到来したとみなされ、採点プロセスが始まる。

実施例によると、再ロード可能なタイマーがタイマー（１０６）に利用できる。そのタイマーは、上述のように最初のＤＨＣＰ発見パケットが発信された時に起動する。また、タイマーは上述のように固定値あるいは設定可能な値をもつことができる。ＤＨＣＰオファーパケットを受信した際にもしまだタイマーが無効になっていない場合、タイマーは初期値にリセットされる。もし、追加のオファーを受信せずにこの再ロード可能なタイマーが無効になった場合、有効なすべてのオファーを受信したとみなす。

実施例によると、送信演算処理部（１０４）は、もしタイマー（１０６）が動作中のときに追加のＤＨＣＰ発見リクエストを送信することから保護対象端末を防ぐことができる。これにより、ＤＨＣＰ防御モジュール（１００）は重複したＤＨＣＰオファー応答を受信することを防ぐことに貢献できる。

一旦全てのＤＨＣＰオファーを受信して保管プール（１０５）に集まったと判断すると、採点部（１０７）は各オファーを評価して、オファーの属性値そして／またはそれらのオファーが発信された場所に基づいて点数を付ける。すると、ＤＨＣＰ防御モジュール（１００）は、採点されたＤＨＣＰオファーから選択されたオファーを通常の処理のためにネットワークスタックに転送する。実施例によると、選択されなかった全てのＤＨＣＰオファーは無視されたりそのまま破棄されたりすることにより、保管プール（１０５）が空にされる。もし選択されたそのオファーが唯一のオファーである場合、標準のＤＨＣＰ手順に基づいてクライアント端末のネットワーク設定を完了する。

一実施例によると、採点部（１０７）はＤＨＣＰオファーの一つもしくはそれ以上の属性に基づいて各ＤＨＣＰオファーに点数を設定する。実施例によると、各属性は採点のための演算において独立して利用され、また各属性は演算アルゴリズムにおける重要度に基づいて重み付けがされることがある。例えば、採点部（１０７）は、受信した各ＤＨＣＰオファーに関連して次の一つあるいは複数の特徴について配慮したアルゴリズムに基づいて採点できる。即ちそれは、クライアントＩＰアドレス、サブネットマスク、ＤＨＣＰサーバのＩＰアドレス、ＤＨＣＰサーバのＭＡＣアドレス、ＤＨＣＰサーバのＭＡＣアドレスにOrganizationally Unique Identifier （「ＯＵＩ」）の存在するかあるいはその値、一つもしくは複数のＤＮＳサーバのＩＰアドレス、またはネットワークゲートウェイのＩＰアドレスがある。この場合、たとえば採点部（１０７）はＤＨＣＰサーバのＩＰアドレスに関連した点数により高い重み付けをする一方、クライアントＩＰアドレスに関連した点数について低い重み付けするアルゴリズムを使うことができる。従って、採点部（１０７）はまず最初に考慮すべき各属性について点数を算出し、それに続いて、各属性に設定された重み付けが反映された方程式に基づいてそれらの点数の合算することができる。最終的に合算した重み付け反映済み点数がそのＤＨＣＰオファーに対応付けられる。採点部（１０７）は受信した全てのＤＨＣＰオファーに対して同様の演算をする。実施例によると、ＤＨＣＰオファーに関連づけられた属性について、例えば属性リスト（１１０）に含まれる一つまたは複数の属性に対してクロス・チェックすることがある。

実施例によると、採点部（１０７）はＤＨＣＰオファーの属性が潜在的に信用のおける発信元かどうかを特定できるかによって重み付けをして祭典することがある。例えば、ＯＵＩがＤＨＣＰオファーの発信元の第２層ＭＡＣアドレスに含まれるかを採点部（１０７）は判定し、有効なＯＵＩに関連付けられたＤＨＣＰオファーにより高い採点をできることがある。実施例によれば、ＤＨＣＰ防御モジュール（１００）は特定のメーカや他の同様の情報をＯＵＩから特定したり抽出したりできる。これにより、採点部（１０７）はメーカが特定可能か、そして／あるいは特定されたメーカについてＤＨＣＰオファーが有効的に発信された信用のおける発信元として扱えるかどうかによって、ＯＵＩ属性に対して高い点数あるいは低い点数を設定できる。例えば、もし、あるＤＨＣＰオファーのＯＵＩが信用のおけるネットワーク機器メーカに付与されたと知られている場合、そういったネットワーク機器から受信したＤＨＣＰオファーはモバイル機器から受信したオファーの場合と比較してより有効であることから、そのＯＵＩ属性に対応したＤＨＣＰオファーの点数は高いことがある。

実施例によると、ＤＨＣＰオファーに含まれるネットワーク構成情報に基づいてＤＨＣＰオファーが採点されることがある。例えば、ネットワーク構成情報に含まれているネットワークのゲートウェイアドレスがネットワーク上のいずれのＤＮＳサーバのＩＰアドレスとも等しくないかに基づいて、ＤＨＣＰオファーが採点されることがある。ネットワークによっては、そのネットワークのためのＤＮＳサーバがネットワークパケットのルーティングの責任をもつアクセスポイントではないことが典型であり、そのような性質の存在が潜在的に悪意を示すことがある。実施例によっては、もし関連したネットワーク構成情報にＤＮＳサーバのアドレスがたった一つだけ提供されている場合に、それがまた別の潜在的な悪意をもつ環境を示しているとして、ＤＨＣＰオファーについて低く採点することがある。

実施例によれば、ＤＨＣＰ防御部（１００）は一つまたは複数の属性リストを保持して利用するように設定でき、その保管されている属性リスト（１１０）はＤＨＣＰオファーに関連する特定の属性値を維持できる。実施例によると、一つあるいは複数の保管属性リスト（１１０）は承認されたかあるいは許可された属性値や、拒絶されたかあるいは不安全とされた属性値のリストが含まれている。実施例によると、保管属性リスト（１１０）は属性について唯一の特定の型として設定されていたり、属性に対して特に許可された値のリストが提供されることがある。同様に、保存属性リスト（１１０）は、特定の属性の型について、制限されたか、不安全とされたか、あるいは信用できないとされた値を保管するよう設定できる。実施例によると、信用できる発信元を示す保管属性リストにあるか、または信用できない発信元を示す保存属性リストにあるかによって、それぞれ特定の属性に対してより高い点数や低い点数を付与できる。

例えば、ＤＨＣＰ防御モジュールは保管属性リスト（１１０）を利用し、それには許可可能な、あるいは信用できるＯＵＩの一覧が含まれていて、さらに、信用できないＯＵＩの一覧が含まれる保管属性リスト（１１０）を維持する。実施例によると、ＤＨＣＰオファーは、それに関連したＯＵＩが信用できるＯＵＩ保管属性リスト（１１０）に一つもしくは複数存在する場合にのみ選択可能なオファーとして有効とされる。例えば、既知のルータやアクセスポイントの機器メーカの一覧といったように、信用しうる製造元の保管属性リストにＤＨＣＰオファーのＯＵＩが含まれていることを必須とすることで、それ以外のものはオファーとして選択できないようにする。さらなる例として、採点部（１０７）はＤＨＣＰオファーのＯＵＩが信用可能なもしくは信用できない保存属性リスト（１１０）にあるかによってより高い点やより低い点を付与すると共に、いずれの保存属性リストにもその関連するＯＵＩが見つからない場合においても、オファーとして選択しうる。実施例によれば、ＯＵＩ属性は、一つもしくは複数の保存属性リスト（１１０）に保存されることができるいくつかの属性の一つであり、ＤＨＣＰオファーをランキングする目的で重み付けをするために利用できる。

保存属性リスト（１１０）は、ネットワーク装置のメモリに記憶することができるか、または設定ファイルまたはその他の永続的な媒体から読み取られてもよいことを理解すべきである。実施例によれば、保存属性リスト（１１０）は、それぞれのシステム環境（２００）に関連したサービス局（２３０）のような外部の手段により更新できる。

実施例によると、受信した複数のＤＨＣＰオファーから一つの最良のＤＨＣＰオファーを選択する段階において、最適ではない「最良の」オファーを選択することがあり得る。例えば、もし保護される端末が常に固定された採点ルールに基づいて最良のオファーを選択する場合、ハッカーはそういったルールについて推論し、それらに対して適切な攻略を企てる。さらに、悪意をもつＤＨＣＰサーバがうっかり設置されていた企業ネットワークにおいては、悪意をもつＤＨＣＰサーバの方が正当なサーバによるオファーよりも高く採点される場合があり得る。

実施例によると、採点部（１０７）は、単に最高得点を得たオファーを選択するのではなく、受信したオファーのなかからランダムに選択してそれを最良のオファーとすることもある。実施例によれば、採点部（１０７）は、オファーが選択される確率が採点部（１０７）からの点数に比例することができるように、ランダム比例選択するアプローチをとることがある。例えば、保護された端末が点数が８のオファーＡと、点数が２４のオファーＢの２つのオファーを受信したとする。このとき、オファーＡが選択される確率8/(8+24)即ち０．２５と、オファーＢが選択される確率０．７５に基づいて最良なオファーをランダムに選択することが有効な場合がある。

これにはいくつかの利点がある。第一に、選択プロセスに予測できない要素を追加することによって、機構や採点の重み付けなどを推測するために、ハッカーが本発明により保護された端末の動作について学習することがより困難になる。第二に、コードのリバース・エンジニアリングやネットワークのトラフィックに関する学習や他の学習をいかにハッカーが実施しようと、ある特定のオファー属性のセットにより確実に最良とされることを保証できない。第三に、もし、システム環境（２００）におかれて保護された端末が、与えられた状況にてすべて同一の動作をしない場合、このランダム選択により得られたそれぞれ異なる結果をサービス局（２３）にて科学鑑定技術（例えば、ＤＨＣＰプロセス直後にＤＨＣＰプロセスとネットワーク上のパケットを分析すること）をつかって比較できる。これらの科学鑑定結果はオファー属性に対する重み付け効果を向上させるために用いることができ、新たなオファー属性を分析するために付与したり、ＤＨＣＰの乗っ取りハイジャックや他の種類の攻撃に対して全く新たな防御策を開発できる。このアプローチが上述したこれらの利点の例を超えてさらなる利点を提供しうることを理解すべきである。

図２は、本実施例に基づくシステムと方式により構成されて保護された端末をサポートすべく構成されたシステム環境（２００）を図示している。システム環境（２００）は、特定の管理、構成そして／あるいはアグリゲーション・サービスを提供可能な一つあるいは複数の中央サービス局（２３）が含まれる。実施例によれば、システム環境（２００）はただ一つの分離されたネットワークに対応する。実施例によれば、システム（２００）は複数のネットワークにわたり保護された端末を包含し、保護された端末がその同じシステム環境（２００）の範囲内に留まりつつも一つのネットワークから他のネットワークに移ることができる。実施例によれば、保護された端末は同一のシステム環境（２００）の一部にある複数のネットワークに同時に接続できる。例えば、ここに記載したモバイル端末（２１０）は、セルラネットワーク（２５）と８０２．１１無線ネットワーク（２６０）の両方に接続するように構成でき、モバイル端末（２１０）は本明細書に記載のそれぞれのネットワークへの接続を通じて、さらに本明細書に記載するサービス局（２３０）を介してシステム環境（２００）に参加できる。

実施例によれば、システム環境（２００）は、ネットワークに参加しているいくつかの端末のみが本明細書記載のシステムと方式を実装するよう構成されている場合も包含する。例えば、８０２．１１無線ネットワーク（２６０）上に本明細書記載のセキュリティ保護の構成がなされておらずシステム環境（２００）に参加していないラップトップ端末（２２０）が含まれていることがある。実施例によれば、ここで参照されたネットワーククライアント端末は、本明細書に記載されたシステムと方式が実装されているもののシステム環境に全く接続していないことがある。

実施例によれば、システム環境（２００）にあり保護された端末は、同様あるいは同一の採点方法を実行するよう構成されていることがある。例えば、いくつかの実施例によれば、システム環境（２００）における全ての保護された端末がＤＨＣＰオファーをランダム比例で選択するよう設定されていることがある。実施例によれば、システム環境（２００）における保護された端末はランダム比例によりＤＨＣＰオファーの選択をするよう設定されていることがあり得、あるいは端末はランダム比例による選択を定期的にのみ実行することがある。例えば、ある保護された端末において、複数のオファーを受信する際におそらく５つのうち１つについてランダム比例による選択を用いて、それぞれ５つのうち４つについては最高得点に基づく決定論的手法に基づく選択をする。実施例によると、どの端末がランダム比例に基づく選択をしなくてはならないかは、サービス局（２３０）を介して設定することがある。

実施例によれば、最良のオファーが選択されたときに、劣る全てのオファーを破棄することに加えて、それらの劣るオファーそれぞれの送信元を送信演算処理部（１０４）によりブラックリスト（１０８）に追加することがある。ブラックリスト（１０８）は、特段ＤＨＣＰに関連しない他の種類の攻撃からネットワーククライアント端末を保護するために用いられる。ＤＨＣＰオファーの送信元が敵意のある送信元と一旦判断されると、同じ送信元からの他の種類のトラフィックについても敵意があるといえる。

実施例によれば、保管プール（１０５）に複数のＤＨＣＰオファーを挿入することにより、それらのオファーに関して記録しかつ関連した全てのネットワークパケットをログファイル（１０９）に記録する処理を起動する。ログファイル（１０９）は定期的に回収でき、システム環境（２００）にある例えばサービス局（２３０）といった管理部により分析でき、採点や他の処理部の動作を統括するパラメータを改善し、ひいては向上された安全性を提供する。

ログファイル（１０９）は、後の収集と活用のために数々の種類の情報を記録するために使われる。例えば、特筆すべきイベントや行為のログ記録はログファイル（１０９）に記録でき、採点部（１０７）が（ＤＨＣＰ乗っ取りハイジャック行為が試されたことを示す）複数の競合するオファーを受信したことを判断した行為や、あるいは採点部（１０７）が特定のオファーを選択して他のオファーを破棄する行為がある。実施例によれば、イベントと行為はそれぞれで受信した点数についての情報と共にログ記録される。特定のネットワーク動作についても、全体あるいは一部についてログファイル（１０９）に記録されることがある。例えば、もし複数のＤＨＣＰオファーが受信された場合、各オファーに関する実際のＩＰパケットが一部あるいはそれら全体について記録できる。実施例によれば、各ＤＨＣＰオファーのＩＰパケット全体がログファイル（１０９）に記録でき、もし破棄したオファーを発信したネットワークホストから追加でパケットを受信した場合には、それらのネットワークパケットについても部分的に記録されることがある。これは、ハッカーがまず被害者に対してＤＨＣＰによる乗っ取りハイジャックを試みてそれが失敗した場合に、その後、他の攻撃を仕掛けてきた場合に対して役立つことがある。その後のパケットの部分を記録することにより、同様の状態でハッカーがとるであろう次の手段を断定することが可能になる。

実施例によると、ログファイル（１０９）は目的とする端末の永続的ファイル保管システムに実在するファイルとして存在し、例えばフラッシュメモリや時期保存ドライブ、ＳＤやＭＭＣカード、またはいくつかの同様の種類の永続記憶上に存在しうる。他の実施例では、ログファイル（１０９）は端末の揮発性メモリのバッファ内、例えば、静的または動的メモリ上に存在しうる。他の実施例では、ログファイル（１０９）は従来の意味合いにおける実際のファイルとしては存在せず、ネットワークパケットのペイロード領域を構成するメモリブロック内に存在し得て、対応するネットワークヘッダフィールドやチェックサムなどを完成させてそのパケットを中央サービス局（２３０）に対してその他の中間的な保存形態が無い状態で単に送信することでログファイル（１０９）全体を送信できる。

いくつかの実施例によると、ログファイル（１０９）の内容は中央のサービス局（２３０）によってネットワーク端末から定期的に回収できる。例えば、ログファイル（１０９）が特定の大きさや最大あるいは設計上の容量に達したとき、あるいはいくつかの同様のしきい値を超えた場合、その保護された端末はログファイル（１０９）の内容を中央のサービス局（２３０）にプッシュ送信できる。他の実施例によれば、例えば攻撃を示す複数のＤＨＣＰオファーを受信した時やこういった攻撃が特定の件数発生した場合等、十分にクリティカルな状態と判断される状態になった場合には、保護された端末はログファイル（１０９）を中央のサービス局（２３０）にプッシュ送信できる。

いくつかの実施例によると、もし例えばネットワーク上に今、敵意のある機器が存在すると見受けられるなどの場合、保護された端末は中央のサービス局（２３０）への情報通信を遅らせることを選択することがある。こういった場合、保護された端末は、その端末自身がその潜在的に侵入を受けたネットワークから他の安全なネットワークに移るまで通信を遅らせることがある。例えば無線ローカル・エリアネットワークとセルラ広域ネットワークといったように、もし保護された端末が複数のネットワークに参加できる場合、その保護された端末が一つのネットワークにおいて攻撃の試みが発生したことを検出すると、もう一方のネットワークにある中央のサービス局（２３０）に連絡することを選ぶことがある。

いくつかの実施例によると、クライアント端末の利用者は、潜在的に敵意のあるＤＨＣＰオファーについて通知を受けたり、最良なＤＨＣＰオファーの選択処理に参加できる。例えば、一時保管プール（１０５）にて複数のＤＨＣＰオファーパケットを受信した場合、ネットワーク端末の利用者は端末の一つあるいは複数のユーザ・インターフェースを介して通知を受けることがある。これには端末の表示、スピーカーそして／あるいはバイブレータが利用される。これによって、利用者は潜在的に敵意のあるネットワーク上の行為について知らされることができ、同時にネットワークに接続することを拒否する機会も与えられる。いくつかの実施例では、複数のＤＨＣＰオファーについてユーザ・インターフェース手段を介して端末の利用者に提供して、さらに受信したＤＨＣＰオファーから利用者によって手動で選択することを許可できる。

本明細書記載のシステムと方式はネットワークセキュリティのインフラやシステム環境（２００）において数々の利用目的のために有効であることを理解すべきである。例えば、本発明による保護された複数の端末が一つあるいは複数のログファイル（１０９）を中央のサービス局（２３０）に発信するとき、それは事実上その中央のサービス局（２３０）と通信する保護された端末による一つのシステム環境（２００）を形成する。中央のサービス局（２３０）へのそれら端末による参加によって、参加する全ての端末での防衛能力が効果的に向上することになる。さらに、例えば、多数の保護された端末からログファイル（１０９）を入手することによって、中央のサービス局（２３０）は数多くのネットワーク環境下において付与された点数を分析でき、その結果、他の採点パラメータや重み付けが参加する全ての保護された端末をより効果的に保護することにつながるかを判断できる。

多くのＤＨＣＰサーバをネットワーク管理者によって広い範囲で構成管理できる。状況によっては、正当なＤＨＣＰサーバがネットワーク上のクライアントに対してＤＮＳサービスをも提供することがあり、ＤＨＣＰオファーの一部としてＤＮＳサーバのアドレスをただ一つだけ記載するようにできる。採点部の実装に関連して、こういったサーバでは他のＤＨＣＰサーバと比較して低く採点することがあり、ハッカーにより容易に破られることになる。しかしながら、これらサーバの他の属性（例えば発行されるＩＰアドレスの範囲、それら自身のＩＰアドレス、あるいはそれらの応答時間）を利用することにより、ここで算出されるこれらのＤＨＣＰオファーに対する採点を改善できる。採点属性の重み付けを調整することにより、サービス局（２３０）の実装はこれらのサーバを正当なサーバとして選択する可能性を向上させ、これらの正当なサーバに対して競合するハッカーを拒絶できる。こういった動作により、調整されたこれらの重み付けがシステム環境（２００）下にある保護されたすべての端末に配布された場合、そのシステム環境（２００）全体にとって利益となる。

他の例として、もしサービス局（２３０）が特定のメーカー製の正当なＤＨＣＰサーバから受信した全てのオファーについて、そのサーバ自身が付与した唯一のＤＮＳサーバのアドレスを提供しかつ、その同じメーカのＭＡＣアドレスが有効なＯＵＩを含むことを発見した場合、そのＯＵＩは許可済みＯＵＩとして内部リストに追加でき、端末の比較点数を向上できる。実施例によれば、サービス局（２３０）により維持されるこのリストは、システム環境（２３０）にあるすべての端末に配布されることにより、推奨される本発明の共同利用に基づいてシステム環境（２００）全体により強固な保護を提供する。

本明細書記載の方式は、たとえばサービス局（２３０）レベルで処理されることができるといったように、ネットワークのトラフィックに関する特定の科学鑑定分析をする上で価値を提供する。たとえば、潜在的な攻撃を検出したときに、その後のネットワークパケットの内容をその後の分析のためにログファイル（１０９）に記録できる。一つもしくは複数のログファイル（１０９）は数々の端末からサービス局（２３０）に回収され、手作業あるいは自動化されたツールあるいはそれらの両方の組み合わせによってネットワークの挙動パターンを明らかにできる。例えば、ＤＨＣＰ乗っ取りハイジャックが企てられた際のオファーについて、それを発信した端末が特定の製造メーカそして／あるいは型番であることをＯＵＩが指し示しているなど、ＤＨＣＰオファーから共通の要素やパターンを見出すことがあり得る。あるいは、企てられた乗っ取りハイジャックに関するいくつかのオファーから、それが特定の日付や、特定の地域で特定の時間帯、もしくは特定の種類のネットワーク（例えば特定の小売店により運営されている加盟店舗にある無料ＷｉＦｉネットワーク）で作成されたことが判明することがあり得る。たとえば法の執行機関やＤＨＣＰ乗っ取りハイジャックや他の種類の攻撃に対する防衛を向上させることなど、こういった科学鑑定情報はハッカーの場所を特定したり見分けるために非常に貴重になりうる。

本発明の好ましい実施形態を図示し説明したが、このような実施形態は単なる例として提供されていることは当業者には明らかであろう。多くの変形、変更、および置換が、本発明から逸脱することなく当業者には想起されるであろう。なお、本明細書に記載された本発明の実施形態に対する様々な代替が本発明を実施する際に用いることができることを理解すべきである。なお、以下の特許請求の範囲は本発明の範囲を定義し、これらの請求項およびその均等物の範囲内の方法及び構造は、それによって網羅されることが意図されている。

Claims (28)

1. ネットワーククライアント端末の安全性向上のための計算機実装方法であって、
   ネットワーク構成情報の要求に対する一つあるいは複数の応答を受信することと、
   それぞれの応答を採点することと、
   最良の応答を選択することと、
   前記最良の応答を前記ネットワーククライアント端末のネットワークスタックに供給すること、とを含む計算機実装方法。
2. 請求項１に記載の計算機実装方法において、一つあるいは複数の応答を受信することが、設定可能な時間にわたって応答を受信し、かつ受信した応答を記憶することを含む、計算機実装方法。
3. 請求項２に記載の計算機実装方法において、一つあるいは複数の応答を受信することは、リセット可能なタイマに基づいて行うことを特徴とする計算機実装方法。
4. 請求項１に記載の計算機実装方法において、受信した一つあるいは複数の応答がＤＨＣＰオファー応答であることを特徴とする計算機実装方法。
5. 請求項１に記載の計算機実装方法において、前記ネットワーク構成情報がＤＨＣＰサーバにより提供される情報により構成され、
   その情報が、
   クライアントのＩＰアドレス、
   サブネットマスク、
   ＤＨＣＰサーバのＩＰアドレス、
   ＤＨＣＰサーバのＭＡＣアドレス、
   一つあるいは複数のＤＮＳサーバのＩＰアドレス、および
   ネットワークゲートウェイのＩＰアドレス、のうちの一つあるいは複数を含むことを特徴とする計算機実装方法。
6. 請求項１に記載の計算機実装方法において、応答を採点することは、それぞれの応答に埋め込まれている、あるいは関連する、一つあるいは複数の属性の全てあるいは一部に基づいて行うことを特徴とする計算機実装方法。
7. 請求項６に記載の計算機実装方法において、それぞれの応答に埋め込まれている、あるいは関連する一つあるいは複数の属性は、
   クライアントのＩＰアドレス、
   サブネットマスク、
   ＤＨＣＰサーバのＩＰアドレス、
   ＤＨＣＰサーバのＭＡＣアドレス、
   ＤＨＣＰサーバのＭＡＣアドレス内のＯＵＩの存在および値の少なくとも一方、
   一つあるいは複数のＤＮＳサーバのＩＰアドレス、および
   ネットワークゲートウェイのＩＰアドレス、のうちの一つあるいは複数に該当することを特徴とする計算機実装方法。
8. 請求項１に記載の計算機実装方法において、応答の採点は、それぞれの応答に関連するＤＨＣＰサーバに関連する一つあるいは複数の属性に基づくことを特徴とする計算機実装方法。
9. 請求項８に記載の計算機実装方法において、属性値が記憶された属性リストに存在するか否かに基づいて属性を採点することを特徴とする計算機実装方法。
10. 請求項１に記載の計算機実装方法において、応答の採点が、応答を受信する順序に全てあるいは一部基づくことを特徴とする計算機実装方法。
11. 請求項１に記載の計算機実装方法において、応答の採点が、ネットワーク構成情報の要求を発信してからネットワーク構成情報に関する応答を受信するまでに経過した時間に全てあるいは一部基づくことを特徴とする計算機実装方法。
12. 請求項１に記載の計算機実装方法において、最良の応答は、応答の得点に基づいて選択されることを特徴とする計算機実装方法。
13. 請求項１２に記載の計算機実装方法において、最良の応答は、最高得点をもつ応答であることを特徴とする計算機実装方法。
14. 請求項１２に記載の計算機実装方法において、最良の応答は、重み付けをしたランダム選択に基づいて、受信した一つあるいは複数の応答からランダムに選択されることを特徴する計算機実装方法。
15. ネットワーククライアント端末の安全性を実装するためのシステムであって、
    プロセッサと、
    前記プロセッサに結合されたメモリを備え、
    前記メモリは、プロセッサで実行可能なプログラム命令を保持し、
    前記命令は、
    ネットワーク構成情報の要求に対する一つあるいは複数の応答を受信することと、
    それぞれの応答を採点することと、
    最良の応答を選択することと、
    前記ネットワーククライアント端末のネットワークスタックに前記最良の応答を供給することを含むことを特徴とするシステム。
16. 請求項１５に記載のシステムにおいて、一つあるいは複数の応答を受信することが、設定可能な時間にわたって応答を受信し、かつ受信した応答を記憶することを含むシステム。
17. 請求項１６に記載のシステムにおいて、一つあるいは複数の応答を受信することは、リセット可能なタイマに基づいて行うことを特徴とするシステム。
18. 請求項１５に記載のシステムにおいて、受信した一つあるいは複数の応答がＤＨＣＰオファー応答であることを特徴とするシステム。
19. 請求項１５に記載のシステムにおいて、ネットワーク構成情報がＤＨＣＰサーバにより提供される情報により構成され、
    その情報が、
    クライアントのＩＰアドレス、
    サブネットマスク、
    ＤＨＣＰサーバのＩＰアドレス、
    ＤＨＣＰサーバのＭＡＣアドレス、
    一つあるいは複数のＤＮＳサーバのＩＰアドレス、および
    ネットワークゲートウェイのＩＰアドレス、のうちの一つあるいは複数を含むことを特徴とするシステム。
20. 請求項１５に記載のシステムにおいて、応答を採点することは、それぞれの応答に埋め込まれている、あるいは関連する一つあるいは複数の属性の全てあるいは一部に基づいて行うことを特徴とするシステム。
21. 請求項２０に記載のシステムにおいて、それぞれの応答に埋め込まれている、あるいは関連する一つあるいは複数の属性は、
    クライアントのＩＰアドレス、
    サブネットマスク、
    ＤＨＣＰサーバのＩＰアドレス、
    ＤＨＣＰサーバのＭＡＣアドレス、
    ＤＨＣＰサーバのＭＡＣアドレス内のＯＵＩの存在および値の少なくとも一方、
    一つあるいは複数のＤＮＳサーバのＩＰアドレス、および
    ネットワークゲートウェイのＩＰアドレス、のうちの一つあるいは複数に該当することを特徴とするシステム。
22. 請求項１５に記載のシステムにおいて、応答の採点は、それぞれの応答に関連するＤＨＣＰサーバに関連する一つあるいは複数の属性に基づくことを特徴とするシステム。
23. 請求項２２に記載のシステムにおいて、性値が記憶された属性リストに存在するか否かに基づいて属性を採点することを特徴とするシステム。
24. 請求項１５に記載のシステムにおいて、応答の採点が、応答を受信する順序に全てあるいは一部基づくことを特徴とするシステム。
25. 請求項１５に記載のシステムにおいて、応答の採点が、ネットワーク構成情報の要求を発信してからネットワーク構成情報に関する応答を受信するまでに経過した時間に全てあるいは一部基づくことを特徴とするシステム。
26. 請求項１５に記載のシステムにおいて、最良の応答は、応答の得点に基づいて選択されることを特徴とするシステム。
27. 請求項２６に記載のシステムにおいて、最良の応答は、最高得点をもつ応答であることを特徴とするシステム。
28. 請求項２６に記載のシステムにおいて、最良の応答は、重み付けをしたランダム選択に基づいて、受信した一つあるいは複数の応答からランダムに選択されることを特徴するシステム。