JP2015220589A - 通信制御装置、ネットワークシステム、通信制御方法およびプログラム - Google Patents

Abstract

【課題】 悪意ある者によるサービスの利用を回避し、ネットワーク運用者が安全にサービスを提供でき、他のゲストが安全にサービスを利用できる装置や方法を提供する。【解決手段】 この装置は、通信端末とネットワークに接続された１以上の機器および他の通信端末との通信を制御する通信制御装置で、１以上の機器および他の通信端末への通信を制限する条件を記憶する条件記憶部３０と、通信端末からネットワークに接続された１以上の機器および他の通信端末の少なくとも１つへの通信を監視する監視部３１と、監視された通信が記憶された条件に適合するか否かを判断する判断部３２と、条件に適合すると判断された場合に、１以上の機器および他の通信端末の少なくとも１つまたは全てへの通信を制限する制限部３３とを含む。【選択図】 図３

Description

本発明は、通信端末とネットワークに接続された１以上の機器および他の通信端末との通信を制御する通信制御装置、その通信制御装置を含むネットワークシステム、通信制御方法およびその方法をコンピュータに実行させるためのプログラムに関する。

特定のユーザが利用するために構築されたネットワークとは別に、その特定のユーザ以外のユーザ（ゲスト）が利用するためのゲスト向けネットワーク（ゲストネットワーク）が構築されている。これにより、例えば、その会社の社員以外の者でも、ゲストとしてゲストネットワークに接続することで、その会社内においてインターネットやゲストに対して許可されたプリンタ等を利用することができる。

このゲストネットワークでは、キャプティブポータル等のゲスト認証を用い、認証が成功した場合に、そのゲストに対してプリンタ等の利用を許可し、印刷等のサービスを提供している。このため、ゲストネットワークを使用させたいユーザがゲストに対してＩＤやパスワードを提供し、それらを使用して認証させることで、そのゲストがゲストネットワークの利用を可能にしている。

近年、通信の無線化やモバイル端末の普及に伴い、無線ＬＡＮ等の無線通信により、このような認証やサービスの提供が行われることが多くなってきている。アクセスポイントは、モバイル端末とゲストネットワーク上のサーバやプリンタ等との間の通信を中継し、上記の認証処理や印刷等のサービスの提供を実現するほか、モバイル端末間の通信も中継する。このようなモバイル端末間の無線ＬＡＮを使用した通信は、無線ＬＡＮにおけるＬＡＮ内のパケットの折り返し通信と呼ばれている。

ホットスポットシステム等の安価なアクセスポイントを利用したサービスを提供するシステムでは、このような折り返し通信は想定していないため、モバイル端末間での通信が増加すると、サービスの提供に支障が生じる。そこで、安価なアクセスポイントにおける負荷軽減を目的として、この折り返し通信を削減する技術が提案されている（例えば、特許文献１参照）。

従来のシステムでは、悪意ある者がゲストネットワークを利用する端末のＩＰアドレスを知った場合、そのＩＰアドレスを詐称してサービスを利用する可能性があり、そのような利用を回避できないという問題があった。また、サービスの利用を許可した者であっても、ゲスト用インターネット接続を介してインターネットへ攻撃的なアクセスを行う可能性があり、ネットワーク運用者が安全にサービスを提供できないという問題もあった。さらに、他のゲストの端末へマルチキャストパケットやブロードキャストパケットを送付し、セキュリティが低い近隣の端末から端末の情報を取得できてしまい、他のゲストが安全にサービスを利用できないという問題もあった。

そこで、悪意ある者によるサービスの利用を回避し、ネットワーク運用者が安全にサービスを提供でき、他のゲストが安全にサービスを利用することができる装置、システムや方法の提供が望まれている。

本発明は、上記課題に鑑み、通信端末とネットワークに接続された１以上の機器および他の通信端末との通信を制御する通信制御装置であって、ネットワークに接続された１以上の機器および他の通信端末への通信を制限する条件を記憶する条件記憶部と、通信端末からネットワークに接続された１以上の機器および他の通信端末の少なくとも１つへの通信を監視する監視部と、監視部により監視された通信が条件記憶部に記憶された条件に適合するか否かを判断する判断部と、判断部により条件に適合すると判断された場合に、通信端末からネットワークに接続された１以上の機器および他の通信端末の少なくとも１つまたは全てへの通信を制限する制限部とを含む、通信制御装置が提供される。

本発明によれば、悪意ある者によるサービスの利用を回避し、ネットワーク運用者が安全にサービスを提供でき、他のゲストが安全にサービスを利用することが可能となる。

本実施形態の通信制御装置を含むネットワークシステムの構成例を示した図。 図１に示す通信制御装置のハードウェア構成を例示した図。 図１に示す通信制御装置の機能ブロック図。 通信端末がゲストネットワークに接続する処理を説明する図。 ゲストネットワーク上の機器やインターネットを利用する処理を説明する図。 ゲストネットワーク上の機器やインターネットの利用を制限する処理を説明する図。 ネットワークスイッチが行う処理の一例を示したフローチャート。 ゲストネットワーク上の機器や他の通信端末への通信を制限する処理を説明する図。 ネットワークスイッチが行う処理の別の例を示したフローチャート。 悪意あるパケットを送信する通信端末による通信を制限する処理を説明する図。 ネットワークスイッチが行う処理のさらに別の例を示したフローチャート。

図１は、本実施形態の通信制御装置を含むネットワークシステムの構成例を示した図である。ネットワークシステムは、無線ＬＡＮ等により無線通信を行う通信端末１０、１１と、通信端末１０、１１との間で無線通信を行うアクセスポイント(AP)１２と、通信制御装置としてのネットワークスイッチ１３を含む。また、ネットワークシステムは、ゲスト向けサーバ１４と、ＤＨＣＰ(Dynamic Host Configuration Protocol)／ＤＨＣＰｖ６サーバ１５と、インターネット回線接続機器１６とを含む。

ＡＰ１２とネットワークスイッチ１３、ネットワークスイッチ１３とゲスト向けサーバ１４並びにＤＨＣＰ／ＤＨＣＰｖ６サーバ１５およびインターネット回線接続機器１６は、有線ＬＡＮにより接続されている。インターネット回線接続機器１６は、通信端末１０、１１等をインターネット１７へ接続する。

通信端末１０、１１は、無線通信を行うことができる端末であれば、いかなる端末であってもよい。例えば、ノートＰＣ、タブレットＰＣ、スマートフォン、ＰＤＡ(Personal Digital Assistant)、携帯型ゲーム機、デジタルカメラ等を挙げることができる。無線通信は、無線ＬＡＮに限られるものではなく、Ｂｌｕｅｔｏｏｔｈ（登録商標）や赤外線通信等であってもよい。

通信端末１０、１１は、無線通信を行うため、図示しない送受信機と、アンテナとを備える。送受信機は、電磁波にパケットと呼ばれる情報を乗せ、アンテナへ出力し、アンテナから送信する。また、送受信機は、アンテナによってパケットを乗せた電磁波を受信し、電磁波からパケットを取り出す。このようにして、通信端末１０、１１は、ＡＰ１２との間でパケットのやりとりを行うことで通信を行う。

通信端末１０、１１から送信されるパケットとしては、ゲスト向けサーバ１４に対する処理要求や、ＤＨＣＰ／ＤＨＣＰｖ６サーバ１５に対するアドレス割り当て要求等を挙げることができる。また、パケットとしては、インターネット回線接続機器１６に対するインターネット接続要求も挙げることができる。

ＡＰ１２は、例えば、一定期間毎にビーコンと呼ばれる無線ネットワークを識別するための識別情報(ESSID)を含むパケットを送信する。また、ＡＰ１２は、通信端末１０、１１から受信した認証情報を受信し、認証処理を実行する。この認証処理により認証が成功した通信端末１０、１１のみを接続し、有線ＬＡＮに接続されるゲスト向けサーバ１４等の利用を可能にする。

ゲスト向けサーバ１４は、ファイルサーバ、メールサーバ、動画ファイルを提供する動画サーバ、プリントサーバ等を挙げることができる。また、ゲスト向けサーバ１４は、上記のサーバに限定されるものではなく、プリンタ、ＭＦＰ(Multi-Function Peripheral)、ファックス装置、コピー機、スキャナ、プロジェクタ、電子黒板等であってもよい。各機器がもつ機能についてはよく知られた機能であるため、ここでは詳述しない。

ＤＨＣＰ／ＤＨＣＰｖ６サーバ１５は、アドレス情報としてのＩＰアドレスの割り当て要求を受け付け、ＩＰアドレスを各機器に対して割り当てる。また、ＤＨＣＰ／ＤＨＣＰｖ６サーバ１５は、ＩＰアドレスを割り当てた機器が通信を切断したことを受けて、そのＩＰアドレスを回収する。回収したＩＰアドレスは、割り当て要求を受け付けた場合に、再使用される。ここで、ＤＨＣＰは、ＤＨＣＰｖ４であり、ＩＰｖ４とともに用いられるプロトコルで、ＤＨＣＰｖ６は、ＩＰｖ６とともに用いられるプロトコルである。これらのプロトコルは、ＩＰアドレス等の必要な情報を自動的に割り当てるプロトコルである。

インターネット回線接続機器１６は、有線ＬＡＮとインターネット１７とを接続するための機器である。インターネット回線接続機器１６としては、例えば、ハブ、スイッチ、ルータ等を挙げることができる。

図１に示すネットワークシステムは、２つの通信端末１０、１１、ＡＰ１２、ゲスト向けサーバ１４、ＤＨＣＰ／ＤＨＣＰｖ６サーバ１５、インターネット回線接続機器１６からなる構成に限られるものでない。したがって、通信端末１０、１１は、１台もしくは３台以上であってもよいし、ＡＰ１２も２台以上であってもよいし、ゲスト向けサーバ１４等が２台以上設けられていてもよい。また、ネットワークシステムには、その他の機器が含まれていてもよい。

このネットワークシステムは、通信端末１０、１１に対してゲストネットワーク機能を提供し、悪意ある利用を回避する等のセキュリティ機能を備えたシステムである。この機能を実現するために、このネットワークシステムは、ネットワークスイッチ１３を備える。このネットワークスイッチ１３について、以下に詳細に説明する。

図２は、ネットワークスイッチ１３のハードウェア構成を例示した図である。ネットワークスイッチ１３は、ハードウェアとして、ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、フラッシュメモリ２３、複数のネットワークＩ／Ｆ２４を備えている。ＲＯＭ２１は、ネットワークスイッチ１３を起動させるためのプログラムや他のハードウェアの試験を行うプログラム等を記憶する。ＲＡＭ２２は、ＣＰＵ２０が処理を行う際の作業領域を提供する。また、ＲＡＭ２２は、ＣＰＵ２０により作成されたテーブル等を保持する。

フラッシュメモリ２３は、ネットワークスイッチ１３の機能を実現するためのプログラムを記憶する。この機能の詳細については後述する。ＣＰＵ２０は、ＲＯＭ２１からプログラムを読み出し実行して、ネットワークスイッチ１３を起動させ、各ハードウェアが正常に動作するかを試験する。また、ＣＰＵ２０は、フラッシュメモリ２３からプログラムを読み出し実行し、所望の機能を実現する。その際、ＣＰＵ２０は、ＲＡＭ２２上にテーブル等を作成し、その作成したテーブルを参照して処理を実行する。

複数のネットワークＩ／Ｆ２４は、各機器と１つずつ接続し、各機器との通信を可能にする。複数のネットワークＩ／Ｆ２４は、接続口としてのポートを提供し、各ポートにケーブル等が差し込まれ、各機器と接続される。ＣＰＵ２０、ＲＯＭ２１、ＲＡＭ２２、フラッシュメモリ２３、複数のネットワークＩ／Ｆ２４は、バス２５により互いに情報等のやりとりを可能にしている。

ネットワークスイッチ１３は、機器からの接続要求があった場合、その機器を一意に識別するための端末識別情報としてＭＡＣ(Media Access Control)アドレスを、その接続要求から取得する。そして、ＭＡＣアドレステーブルと呼ばれるテーブルを作成し、その内にポートを識別するためのポート番号に対応付けて記憶する。このようにして、ＭＡＣアドレステーブルは、ネットワークスイッチ１３に接続されるすべての機器のＭＡＣアドレスとポート番号とを対応付けて作成され、記憶される。これにより、宛先ＭＡＣアドレスが指定されたパケットを、そのＭＡＣアドレスに対応するポート番号へ出力することで、目的の機器へパケットを送信することができる。

ネットワークスイッチ１３は、パケットのやりとりを制御するだけではなく、悪意ある利用を回避する等のセキュリティ機能も提供する。このため、ネットワークスイッチ１３は、それを実現するための各機能部を備える。なお、この機能は、上述したように、フラッシュメモリ２３に記憶されたプログラムをＣＰＵ２０が読み出し実行することにより実現される。図３は、ネットワークスイッチ１３の機能ブロック図である。

ネットワークスイッチ１３は、条件記憶部３０と、監視部３１と、判断部３２と、制限部３３とを備える。条件記憶部３０は、ネットワーク、ここではゲスト向けのネットワークであるため、ゲストネットワークに接続された１以上の機器および他の通信端末への通信を制限する条件を記憶する。制限する条件の詳細については後述するが、一例として、ＤＨＣＰ／ＤＨＣＰｖ６サーバ１５により割り当てられたＩＰアドレスとＭＡＣアドレスとの組が一致しない場合を挙げることができる。一致しない場合、ＩＰアドレスを詐称し、悪意でゲストネットワーク上の機器やインターネットを利用しようとしていることが想定されるからである。

監視部３１は、通信端末からゲストネットワークに接続された１以上の機器および他の通信端末の少なくとも１つへの通信を監視する。判断部３２は、監視部３１により監視された通信が条件記憶部３０に記憶された条件に適合するか否かを判断する。監視部３１は、通信端末からパケットが送信された場合、そのパケットの情報を判断部３２に通知する。判断部３２は、通知された情報に基づき、条件に適合するかどうかを判断する。条件は、１つに限られないので、判断部３２は、いずれかの条件に適合するかを判断し、適合する場合、どの条件に適合するかを判断する。

制限部３３は、判断部３２が条件に適合すると判断した場合に、ゲストネットワークに接続された１以上の機器および他の通信端末の少なくとも１つまたは全てへの通信を制限する。制限部３３は、当該１以上の機器および他の通信端末の少なくとも１つまたは全てへ送信するポートに、上記通信端末から送信されたパケットを出力せず、そのパケットを無視する、あるいは破棄する等の処理を実行する。この処理は一例であるので、制限部３３が行う処理はこれに限られるものではない。

ネットワークシステムおよびネットワークスイッチ１３が具体的にどのような処理を行い、どのような機能を有するかについて、図を参照しながら詳細に説明する。まず、図４を参照して、通信端末１０、１１がゲストネットワークに接続する処理について説明する。この処理は、一般によく知られている無線ＬＡＮ接続と同様であるため、簡単に説明する。

ＡＰ１２は、一定期間毎にビーコンを送信する。通信端末１０、１１は、ゲストネットワークを識別するための識別子としてＥＳＳＩＤが登録され、保持しており、そのＥＳＳＩＤが、ＡＰ１２が含まれるネットワークのＥＳＳＩＤと一致するかどうかを問い合わせる。ＡＰ１２は、その問い合わせに対して一致する場合、一致する旨の応答を返す。通信端末１０、１１は、ユーザＩＤやパスワード等の認証情報を、ＡＰ１２へ送信し、ＡＰ１２が認証を行う。通信端末１０、１１がその認証に成功した場合、通信端末１０、１１は、ゲストネットワークへの接続が可能となる。

ゲストネットワークに接続された機器は、ＤＨＣＰ／ＤＨＣＰｖ６サーバ１５によってＩＰアドレスが割り当てられる。したがって、ＡＰ１２、ゲスト向けサーバ１４、インターネット回線接続機器１６も、ゲストネットワークに接続した際、ＩＰアドレスが割り当てられる。また、ゲストネットワークに接続した通信端末１０、１１にも、ＩＰアドレスが割り当てられる。

通信端末１０、１１は、ゲストネットワークに接続した際、ＤＨＣＰ／ＤＨＣＰｖ６サーバ１５へ接続し、ＩＰアドレスの付与を要求する。この要求に応答して、ＤＨＣＰ／ＤＨＣＰｖ６サーバ１５がＩＰアドレスを割り当て、そのＩＰアドレスの情報を返信する。通信端末１０、１１からＤＨＣＰ／ＤＨＣＰｖ６サーバ１５への通信経路は、無線チャネル４０、ＡＰ１２、有線チャネル４１、ネットワークスイッチ１３、有線チャネル４２となる。

ネットワークスイッチ１３は、通信端末１０、１１からＩＰアドレスの付与を要求する際に送信したパケットに含まれるＭＡＣアドレスを用い、ＭＡＣアドレステーブルを作成する。また、ネットワークスイッチ１３は、そのＭＡＣアドレスと、ＤＨＣＰ／ＤＨＣＰｖ６サーバ１５が割り当てたＩＰアドレスとを対応付けて記憶する。このＭＡＣアドレスとＩＰアドレスとを対応付けた情報は、通信を制限する条件に適合するかどうかを判断するために利用される。このため、ネットワークスイッチ１３は、これら識別情報を記憶するための情報記憶部を備えることができる。

図５を参照して、接続後、ゲストネットワーク上の機器やインターネット１７を利用する処理について説明する。通信端末１０は、図４に示したように、ゲストとして接続し、ゲストネットワーク上の機器等の利用を認められた端末である。このため、通信端末１０は、ＤＨＣＰ／ＤＨＣＰｖ６サーバ１５により割り当てられたＩＰアドレスを用いて、ゲスト向けサーバ１４等に接続し、そのゲスト向けサーバ１４等を利用することができる。通信端末１０からの通信経路は、無線チャネル４０、ＡＰ１２、有線チャネル４１、ネットワークスイッチ１３、有線チャネル４３または有線チャネル４４となる。

通信端末１０は、ゲスト向けサーバ１４へ接続した場合、ゲスト向けサーバ１４が提供するサービス、例えば印刷を実行させることができる。この場合、通信端末１０は、印刷する画像データ等をパケットとしてゲスト向けサーバ１４へ送信し、その画像データ等の画像を印刷出力させることができる。また、通信端末１０は、インターネット回線接続機器１６へ接続した場合、インターネット回線接続機器１６を介してインターネット１７へアクセスし、インターネット１７上のサービスを利用することができる。

ここでは、ゲスト向けサーバ１４を印刷装置として説明したが、ファイルサーバや動画サーバ等のゲスト向けサーバを追加し、ファイルや動画を参照することも可能である。

図６を参照して、接続後、ゲストネットワーク上の機器やインターネット１７の利用を制限する処理について説明する。通信端末１０は、ゲストとして接続し、ゲストネットワーク上の機器等の利用を認められた端末であるが、通信端末５０は、その利用を認められていない端末である。しかしながら、何らかの理由により、通信端末５０のユーザが、通信端末１０のＩＰアドレスを取得した場合、ＩＰアドレスを詐称してゲストネットワークへアクセスすることが可能となる。

図６では、通信端末５０が、通信端末１０に割り当てられた「192.168.0.100」というＩＰアドレスを用い、ゲストネットワークに接続している。通信端末５０は、無線チャネル４０、ＡＰ１２、有線チャネル４１を介してネットワークスイッチ１３へアクセスすることができる。ネットワークスイッチ１３には、通信を制限する条件として、ＩＰアドレスとＭＡＣアドレスとの組が一致しない場合に制限するという条件が設定されている。

通信端末５０からの通信は、ＩＰアドレスが通信端末１０に割り当てられたＩＰアドレスで、ＭＡＣアドレスが通信端末５０のＭＡＣアドレスで行われている。このような組は、ネットワークスイッチ１３に記憶されていないので、ネットワークスイッチ１３は、一致しないと判断し、その通信を制限する。図６に示す実施形態では、通信端末５０からのパケットは受け付けないようにし、通信端末５０からの通信を制限した旨をログとして記録する。このため、ネットワークスイッチ１３は、制限した端末を特定する端末情報を記録する端末記録部を備えることができる。端末情報としては、端末識別情報としてのＭＡＣアドレスを用いることができる。ＭＡＣアドレスは一例であるので、端末を識別できれば、端末名等のいかなる情報であってもよい。

ネットワークスイッチ１３は、その後の処理において、記録されたログを参照し、記録されたＭＡＣアドレスをもつ通信端末５０からの接続要求があった場合、無視する等の対応を行うことができる。

この場合のネットワークスイッチ１３が行う処理を、図７に示すフローチャートを参照して詳細に説明する。ステップ７００から処理を開始し、ステップ７１０では、監視部３１が通信端末からの通信を監視する。この通信では、通信端末がゲスト向けサーバ１４あるいはインターネット回線接続機器１６への接続を要求するパケットを送信している。監視部３１は、そのパケットの判断部３２へ通知する。パケットの情報としては、パケットに含まれるＭＡＣアドレスやＩＰアドレス等を挙げることができる。

ステップ７２０では、判断部３２が、ログに記録された通信端末かどうかを判断する。ログには、通信を制限する通信端末のＭＡＣアドレスの情報が記録されているため、それを参照し、通知されたＭＡＣアドレスに一致するものがあるかどうかにより判断する。記録された通信端末である場合、ステップ７５０へ進み、記録されていない場合は、ステップ７３０へ進む。

ステップ７３０では、判断部３２が、通知された情報と、識別情報記憶部に記憶された識別情報とを用い、ＭＡＣアドレスとＩＰアドレスの組が一致しないかどうかを判断する。一致すると判断された場合は、ステップ７１０へ戻り、一致しないと判断された場合は、ステップ７４０へ進み、その通信端末の情報をログとして記録する。

ステップ７５０では、制限部３３が、その通信端末からのパケットを無視し、その通信端末からの通信を制限する。ステップ７６０では、全ての通信端末が通信を切断したかを判断する。１つでも切断していない通信端末がある場合、ステップ７１０へ戻り、同様の処理を行う。これに対し、全ての通信端末が通信を切断した場合は、ステップ７７０へ進み、処理を終了する。

なお、ＭＡＣアドレスとＩＰアドレスの組が一致する通信端末については、制限部３３は、ゲストネットワーク上の機器や他の通信端末との通信を許可し、サービスを利用させる。サービスは、上述したように、印刷等であり、通信端末から印刷データを送信し、ゲストネットワーク上に機器に印刷を実行させることができる。

通信を制限する必要がある場合として、上記のＩＰアドレスを詐称する場合のほか、攻撃相手や攻撃先を発見する目的でマルチキャスト通信やブロードキャスト通信を行う場合がある。ゲストネットワークへの接続は、ゲストネットワーク上の機器やインターネット１７の利用を目的とし、他の通信端末や機器の発見や他のサービスの発見を目的とはしていない。それであるのに、他の通信端末等の発見を目的としたマルチキャスト通信やブロードキャスト通信は、悪意をもって通信を行っているものとみなすことができる。

図８を参照して、このような場合の他の通信端末や他の機器への接続を制限する処理について説明する。ゲストネットワークに接続する通信端末は、ゲストネットワークへの接続を許可された通信端末１０、５１である。通信端末１０、５１は、ゲストネットワークへの接続が許可され、ゲストネットワーク上の特定の機器の利用が可能とされている。通信端末５１のユーザは、悪意をもってゲストネットワークに接続する他の通信端末、図８では通信端末１０を発見し、許可されていない機器、図８ではインターネット回線接続機器１６を発見しようとしている。なお、ゲスト向けサーバ１４およびＤＨＣＰ／ＤＨＣＰｖ６サーバ１５については、上記の特定の機器として、通信端末５１に対して接続が許可されている。

通信端末５１が無線チャネル４０、ＡＰ１２、有線チャネル４１を介してネットワークスイッチ１３へマルチキャストパケットまたはブロードキャストパケットを送信する。ネットワークスイッチ１３は、条件記憶部３０に、通信を制限する条件として、マルチキャストパケットまたはブロードキャストパケットを送信する場合に制限するという条件を記憶している。このため、監視部３１は、通信端末から送信されたパケットの情報を判断部３２に通知し、判断部３２は、その情報を参照し、そのパケットがマルチキャストパケット等かどうかを判断する。ここでは、判断部３２は、通信端末５１からのパケットは、マルチキャストパケット等であると判断する。

制限部３３は、判断部３２の判断結果に基づき、許可していない通信端末１０やインターネット回線接続機器１６への接続要求を受け付けず、無視する。このため、許可されたゲスト向けサーバ１４およびＤＨＣＰ／ＤＨＣＰｖ６サーバ１５へはパケットが到達するが、許可されていない通信端末１０やインターネット回線接続機器１６へはパケットが到達しない。これにより、通信端末５１が他の通信端末や機器、サービスを発見するのを阻止することができる。

この場合のネットワークスイッチ１３が行う処理を、図９に示すフローチャートを参照して詳細に説明する。通信端末が無線チャネル４０、ＡＰ１２、有線チャネル４１を介してネットワークスイッチ１３へパケットを送信したこと受けて、この処理をステップ９００から開始する。ステップ９１０では、監視部３１が通信端末からの通信を監視する。監視部３１は、通信端末から送信されたパケットの情報を判断部３２に通知する。

ステップ９２０では、判断部３２が、通知された情報に基づき、そのパケットがマルチキャストパケットまたはブロードキャストパケットであるかどうかを判断する。マルチキャストパケットまたはブロードキャストパケットは、宛先のＩＰアドレスがマルチキャストアドレスまたはブロードキャストアドレスという、通常のＩＰアドレスとは異なる特殊なアドレスになっている。このため、判断部３２は、このような特殊なアドレスを含むパケットかどうかを確認することにより、マルチキャストパケット等かどうかを判断することができる。

マルチキャストパケット等でないと判断された場合、ステップ９１０へ戻り、マルチキャストパケット等であると判断された場合、ステップ９３０へ進む。 ステップ９３０では、制限部３３が、その通信端末からのパケットを無視し、その通信端末からの通信を制限する。ここでは、ゲスト向けサーバ１４およびＤＨＣＰ／ＤＨＣＰｖ６サーバ１５との通信は許可されているので、それらの機器との通信は行うことができ、その他の機器との通信が制限される。

ステップ９４０では、全ての通信端末が通信を切断したかを判断する。１つでも切断していない通信端末がある場合、ステップ９１０へ戻り、同様の処理を行う。これに対し、全ての通信端末が通信を切断した場合は、ステップ９５０へ進み、処理を終了する。なお、マルチキャストパケットまたはブロードキャストパケットを送信していない通信端末については、制限部３３は、ゲスト向けサーバ１４およびＤＨＣＰ／ＤＨＣＰｖ６サーバ１５以外の機器との通信も許可し、サービスを利用させる。

ゲストネットワークへの接続を許可された通信端末がマルチキャストまたはブロードキャストではなく、ユニキャストで悪意をもってパケットを送信する場合も考えられる。例えば、メールアドレスを特定するために、少しずつアドレスを変えて大量のメールを送信する場合等である。

図１０を参照して、このような悪意あるパケットを送信する通信端末５２による通信を制限する処理について説明する。悪意あるパケットかどうかは、これまでに知られた侵入検知システム(IDS)や侵入防止システム(IPS)と呼ばれるセキュリティシステムで利用されている技術を採用することができる。

ＩＤＳは、通信回線を監視し、ゲストネットワークへの侵入を検知し、管理者に通報するシステムで、パケットを分析し、パターン照合して悪意あるパケットを検出する。ＩＰＳは、侵入を検知した場合に接続の遮断等をリアルタイムに行うシステムで、パケットの特徴的なパターンに該当する接続を検知し、それを遮断し、管理者へ通知し、ログを記録する。

悪意あるパケットとして疑わしい具体的な例としては、単位時間当たりのＤＮＳ(Domain Name System)への参照数が通信端末としては非常に多い場合、単位時間当たりのメールサーバ接続回数が非常に多い場合等を挙げることができる。ＤＮＳ参照数が非常に多い場合、不正にＩＰアドレスを取得していると考えられるからである。メールサーバ接続回数が非常に多い場合、大量にメールを送り付け、メールサーバを停止させたり、有効なメールアドレスを収集しようとしたりしていると考えられるからである。そのほか、ｐｉｎｇパケットを複数のＩＰアドレスに大量に送付している場合も挙げることができる。ｐｉｎｇパケットによりノードの到達性を確認し、接続可能なルートを知ろうとしていると考えられるからである。

そのようなパケットによる通信は、悪意ある者からの攻撃と考えることができる。しかしながら、攻撃であると断定することはできないため、攻撃と疑わしい通信とされる。このような疑わしい通信は、ゲストネットワークから分離し、しばらく通信を行ってみて、攻撃かどうかを判断することができる。

そこで、条件記憶部３０には、このような攻撃が疑わしい場合を、通信を制限する条件として設定する。具体的には、通信端末から単位時間に送信される情報、すなわちパケットの数が閾値以上である場合を疑わしい場合として設定することができる。そして、しばらく通信を行ってみて、攻撃かどうかを判断するために、通信応答部を設ける。通信応答部は、専用の仮想サブネットにパケットを誘導する機能を持たせたものを利用することができる。仮想サブネットへはトンネリングしてアクセスし、仮想サブネット内で通信を分析し、分析結果を報告することができる。

仮想サブネットには、擬似的な応答を返すＤＮＳサーバや、接続要求を受け取ったらその受信ポートに応じた擬似的な応答を返す仮想サーバを設けることができる。これにより、その通信端末がどのような攻撃をしているかを判断し、ログに記録する機能を持たせることができる。図１０では、通信応答部として、仮想サブネット６０が設けられている。なお、仮想サブネット６０は、図１０ではネットワークスイッチ１３の外部に設けられているが、これに限られるものではなく、ＤＮＳサーバや仮想サーバの機能をネットワークスイッチ１３内に備えるものであってもよい。

具体的な処理は、監視部３１で通信を監視し、パケットの情報を判断部３２へ通知する。判断部３２は、大量のパケットが同じ通信端末から特定の宛先に向けて送信されている場合、攻撃と疑わしい通信と判断し、制限部３３が、仮想サブネット６０に接続する。

仮想サブネット６０は、どのようなＤＮＳ名前解決を行っているかを判別し、どのようなポートへどのようなアクセスを行っているかをログに記録する。必要な情報が一定時間取得することができた後は、通信端末５２からの接続はすべて遮断し、通信端末５２をゲストネットワークから外す。

ネットワークスイッチ１３が行う処理を、図１１に示すフローチャートを参照して詳細に説明する。通信端末が無線チャネル４０、ＡＰ１２、有線チャネル４１を介してネットワークスイッチ１３へパケットを送信したことを受けて、この処理をステップ１１００から開始する。ステップ１１１０では、監視部３１が通信端末からの通信を監視する。監視部３１は、通信端末から送信されたパケットの情報を判断部３２に通知する。

ステップ１１２０では、判断部３２が、通知された情報に基づき、攻撃と疑わしい通信かどうかを判断する。疑わしくないと判断された場合、ステップ１１１０へ戻り、疑わしいと判断された場合、ステップ１１３０へ進み、制限部３３が、その通信端末をゲストネットワークから分離する。そして、ステップ１１４０で、その通信端末を仮想サブネット６０に接続する。

ステップ１１５０では、仮想サブネット６０で一定時間ログに記録し、そのログを参照して悪意あるパケットによる通信かどうかを判断する。悪意ある通信かどうかは、上記のような、単位時間当たりのＤＮＳへの参照数が通信端末としては非常に多いかどうか等により判断する。非常に多いかどうかは、例えば、閾値を設け、その閾値以上であるかどうかにより判断することができる。

悪意あるパケットによる通信でない場合、ステップ１１６０へ進み、ゲストネットワークの利用を許可し、ステップ１１１０へ戻る。悪意あるパケットによる通信の場合、ステップ１１７０へ進む。

ステップ１１７０では、通信端末を特定する情報と、どのような通信であったかという通信の内容をログとして記録する。通信端末を特定する情報としては、ＭＡＣアドレス等が、通信の内容については、例えば、単位時間当たりのＤＮＳへの参照数等が記録される。ステップ１１８０では、通信端末を特定する情報を、ブラックリストに登録し、通信端末からＡＰ１２への接続を、ＡＰ１２において遮断する。そして、ステップ１１９０へ進み、全ての通信端末が通信を切断したかを判断する。１つでも切断していない通信端末がある場合、ステップ１１１０へ戻り、同様の処理を行う。これに対し、全ての通信端末が通信を切断した場合は、ステップ１２００へ進み、処理を終了する。

この場合も、攻撃ではないと判断された通信端末については、制限部３３は、ゲストネットワーク上の機器や他の通信端末との通信を許可し、サービスを利用させる。

図１０および図１１に示した例では、仮想サブネット６０を設けたが、仮想サブネット６０を設けず、攻撃と疑わしい通信端末から送信されたパケットを無視し、また、破棄することも可能である。

これまで３つの条件を設定し、その条件に適合するかどうかを判断し、通信を制限する例を示してきた。これらの条件は、ゲストネットワークのセキュリティを確保するために必要な条件の例であり、必要な条件であれば、その他の条件であってもよい。また、条件に適合する通信端末が通信可能な機器および利用可能なサービスは、ネットワーク運用者や管理者が条件に応じて設定することができる。

通信端末からの通信を制限した場合、システム管理者にその通信端末の通信を制限した旨を通知し、また、その通信端末へ警告を表す情報を送信してその画面に表示させ、注意を促すことができる。このため、ネットワークスイッチ１３は、そのような通知を行うために通知部をさらに備えることができる。

これまで本発明を、通信制御装置、ネットワークシステムおよび通信制御方法として上述した実施の形態をもって説明してきた。しかしながら、本発明は上述した実施の形態に限定されるものではなく、他の実施の形態、追加、変更、削除など、当業者が想到することができる範囲内で変更することができるものである。また、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。したがって、通信制御装置を備える情報処理装置、通信制御方法をコンピュータに実行させるためのプログラムやそのプログラムが記録された記録媒体としても提供することができるものである。

１０、１１…通信端末、１２…ＡＰ、１３…ネットワークスイッチ、１４…ゲスト向けサーバ、１５…ＤＨＣＰ／ＤＨＣＰｖ６サーバ、１６…インターネット回線接続機器、１７…インターネット、２０…ＣＰＵ、２１…ＲＯＭ、２２…ＲＡＭ、２３…フラッシュメモリ、２４…ネットワークＩ／Ｆ、２５…バス、３０…条件記憶部、３１…監視部、３２…判断部、３３…制限部、４０…無線チャネル、４１〜４４…有線チャネル、５０〜５２…通信端末、６０…仮想サブネット

特開２００４−１７３１７６号公報

Claims (10)

1. 通信端末とネットワークに接続された１以上の機器および他の通信端末との通信を制御する通信制御装置であって、
   前記ネットワークに接続された前記１以上の機器および他の通信端末への通信を制限する条件を記憶する条件記憶部と、
   前記通信端末から前記ネットワークに接続された前記１以上の機器および他の通信端末の少なくとも１つへの通信を監視する監視部と、
   前記監視部により監視された前記通信が前記条件記憶部に記憶された前記条件に適合するか否かを判断する判断部と、
   前記判断部により前記条件に適合すると判断された場合に、前記ネットワークに接続された前記１以上の機器および他の通信端末の少なくとも１つまたは全てへの通信を制限する制限部とを含む、通信制御装置。
2. 前記通信端末を一意に識別するための端末識別情報と、前記通信端末に割り当てられたアドレス情報とを対応付けて記憶する情報記憶部をさらに含み、
   前記判断部は、前記通信端末の端末識別情報とアドレス情報とが前記情報記憶部に記憶されている端末識別情報とアドレス情報とに一致しない場合に、前記条件に適合すると判断し、
   前記制限部は、前記ネットワークに接続された前記１以上の機器および他の通信端末の全てへの通信を制限する、請求項１に記載の通信制御装置。
3. 前記判断部により前記条件に適合すると判断された通信端末を特定する端末情報を記録する端末記録部をさらに含み、
   前記通信制御装置は、前記端末記録部に記録された前記端末情報により特定される通信端末からの通信を、前記判断部により判断することなく制限する、請求項２に記載の通信制御装置。
4. 前記判断部は、前記通信端末からの通信がマルチキャスト通信またはブロードキャスト通信である場合に、前記条件に適合すると判断し、
   前記制限部は、前記ネットワークに接続された前記１以上の機器のうち指定された少なくとも１つ機器への通信のみに制限する、請求項１に記載の通信制御装置。
5. 前記判断部は、前記通信端末から単位時間に送信される情報の数が閾値以上である場合に、前記条件に適合すると判断し、
   前記制限部は、前記ネットワークに接続された前記１以上の機器および他の通信端末の全てへの通信を制限する、請求項１に記載の通信制御装置。
6. 前記通信端末からの通信に対して応答する通信応答部をさらに含み、
   前記判断部は、前記通信端末から単位時間に送信される情報の数が閾値以上である場合に、前記条件に適合すると判断し、
   前記制限部は、前記ネットワークに接続された前記１以上の機器および他の通信端末の全てへの通信を制限し、前記通信端末と前記通信応答部とを接続し、該通信応答部に応答させる、請求項１に記載の通信制御装置。
7. 前記通信端末からの通信を制限した旨の通知を行う通知部をさらに含む、請求項１〜６のいずれか１項に記載の通信制御装置。
8. 通信端末とネットワークに接続された１以上の機器および他の通信端末との通信を制御する通信制御装置を含むネットワークシステムであって、前記通信制御装置が、
   前記ネットワークに接続された前記１以上の機器および他の通信端末への通信を制限する条件を記憶する条件記憶部と、
   前記通信端末から前記ネットワークに接続された前記１以上の機器および他の通信端末の少なくとも１つへの通信を監視する監視部と、
   前記監視部により監視された前記通信が前記条件記憶部に記憶された前記条件に適合するか否かを判断する判断部と、
   前記判断部により前記条件に適合すると判断された場合に、前記ネットワークに接続された前記１以上の機器および他の通信端末の少なくとも１つまたは全てへの通信を制限する制限部とを含む、ネットワークシステム。
9. 通信端末とネットワークに接続された１以上の機器および他の通信端末との通信を制御する通信制御装置により実行される通信制御方法であって、前記通信制御装置が、前記ネットワークに接続された前記１以上の機器および他の通信端末への通信を制限する条件を記憶する条件記憶部を含み、
   前記通信制御方法が、
   前記通信端末から前記ネットワークに接続された前記１以上の機器および他の通信端末の少なくとも１つへの通信を監視するステップと、
   監視された前記通信が前記条件記憶部に記憶された前記条件に適合するか否かを判断するステップと、
   前記条件に適合すると判断された場合に、前記ネットワークに接続された前記１以上の機器および他の通信端末の少なくとも１つまたは全てへの通信を制限するステップとを含む、通信制御方法。
10. 請求項９に記載の通信制御方法をコンピュータに実行させるためのプログラム。