JP4030548B2 - 伝送装置のセキュリティシステム - Google Patents

Description

本発明は，Ｎｅｔｗｏｒｋ（ネットワーク）に対する制御資格を持たない第三者による不正な侵入の防止，及び不正操作を行っている者の早期発見を行う為の伝送装置のセキュリティシステムに関する。

近年のネットワークが扱う情報量の増加やネットワーク構成の複雑化に伴い，不正操作がネットワークに与える影響は，年々増大している。

また，ネットワークのオープン化に伴い，ネットワークヘアクセスする為の様々な経路が用意されている。この為に，第三者によるネットワークへの侵入が行われる確率が高くなって来ている。また，万一侵入された場合も，その侵入経路の特定が非常に困難な状況にある。

そこでネットワーク構成要素の一つである伝送装置に対して，第三者の不正侵入を防ぎ，不正操作を行わせない為の高度なセキュリティシステムを持たせる必要がある。

かかる目的のための従来の伝送装置のセキュリティシステムにおいては，第１に，装置へのＬｏｇ−Ｉｎ（ログイン）時に，ユーザーＩＤとパスワードによるユーザーの正当性をチェックする機能，第２は，一定期間コマンド入力がなかった場合に，装置に対するログイン状態を自動解除する機能，あるいは，第３に指定レベル以上のユーザーにのみ使用権を与える為に，コマンド毎に使用許可ユーザー・レベルの設定を可能とする機能等が提供されている。

これにより，装置への容易なログインを禁止し，コマンド入力が可能なログイン状態をいつまでも保持することがないようにしている。また，ログインを行ったユーザー・レベルによって使用可能なコマンドに制限を持たせ，ユーザーの権限を超えた操作を禁止するようにしている。

ところが，コマンド入力自体を禁止する事をしない為，ユーザＩＤやパスワードを変化させたログインコマンド入力を何度も実行する事ができる。また，コマンド入力操作が行われている装置が特定できない為に，不正な操作を行っている第三者の発見は，不正操作によりネットワークに障害が発生した後となる。

さらに，保守者による装置保守作業が終了した後，ログイン状態の解除を行わずに装置を離れてしまった場合は，一定期間が経遇するまでは，保守者のユーザー・レベルによりコマンド入力が可能となってしまう。

したがって，ユーザーＩＤやパスワードを変化させたログインコマンドの入力を何度か試みることにより，いずれログインが行えてしまうといった間題や，不正な操作を行っている繰作者をなかなか発見できないという間題が生じていた。
また，正規保守者による保守作業が終了した後，別の端末を接続する事で第三者による不正な制御が可能となる間題も生じていた。さらに，コマンド個別に使用許可ユーザー・レベルが設定できるという事は，ユーザーを特定できると共に全てのユーザーヘコマンド使用権を与える事になる，といった間題が含まれている。
したがって，本発明の目的は，不正な操作の行われている装置の特定と不正な操作の禁止及び，保守者によるログイン状態解除忘れの防止，そして，コマンド個別に使用許可ユーザー・レベルの設定を保守者の設定した条件によって装置が自動的に行う等により，より高度なセキュリティシステムを有する伝送装置を提供することにある。

前述の課題は，以下に上げる手段によって解決できる。

第１の態様として，少なくとも伝送装置に対して制御を行う制御端末用のポートを有する複数の伝送装置により構成されるネットワークにおける伝送装置のセキュリティシステムにおいて，前記複数の伝送装置の各々は，前記ネットワークに属する伝送装置を認識するためのネットワークアドレスと装置ＩＤとの対応を示す管理テーブルを保持し，他伝送装置へのアクセスの際は，ヘッダに送信元及び送信先ネットワークアドレスを有し，データ領域にユーザＩＤとパスワードを含む通信データをログインコマンドとして送り，自伝送装置宛のログインコマンドを取り出し，自伝送装置に登録されていないユーザＩＤが指定されている場合，あるいは，ユーザＩＤとパスワードの組み合わせがない場合に，前記管理テーブルにおける前記ログインコマンド内の送信元ネットワークアドレスに対応する装置ＩＤについてログイン失敗回数のカウントアップを行い，前記ログイン失敗回数のカウント値が許容回数以上となったときに，前記管理テーブルを参照して獲得される，前記送信元ネットワークアドレスに対応する装置ＩＤとともに，前記自伝送装置にログインされている全ての保守者に不正操作が行われていることのレポート送信を行うことを特徴とする。

第２の態様として，前記第１の態様において，各伝送装置は，自伝送装置に接続されている制御端末から入力されるログインコマンドにより不正操作が行われていることを検知した場合は，前記管理テーブルを参照して，自伝送装置のネットワークアドレスに対応する装置ＩＤ を獲得して前記獲得された装置ＩＤの保守者に不正操作が行われていることのレポート送信を行うことを特徴とする。

第３の態様として，前記第１の態様において，各伝送装置は，前記不正操作が行われていることのレポート送信を行う際に，前記管理テーブルを参照して，不正コマンドの通知元のネットワークアドレスと前記管理テーブルに登録されているネットワークアドレスとを比較し，異なる場合は，前記ネットワークアドレスを基に他の伝送装置との間に一時的な通信可能状態を確立させ，前記不正コマンドの通知元のネットワークアドレスに対応する伝送装置のレポートを前記他の伝送装置通知し，前記管理テーブルの通知状態を通知済に更新して，前記通信可能状態を解放することを特徴とする。

第４の態様として，前記第１の態様において，更に，他伝送装置で自伝送装置において不正操作が行われていることが検知された場合，前記他伝送装置から自伝送装置において不正操作が行われていることの通知を受けた際は，当該自伝送装置において端末により不正操作が行われているポートをロックすることを特徴とする。

本発明の更なる目的及び，特徴は，以下に図面を参照しての実施の形態の説明から明らかになる。

以上実施の形態を図面を参照してに説明した様に，本発明によれば保守者のログイン状態の解除忘れを防止し，第三者による不正操作を防止する事が可能である。

また，不正な繰作が行われた場合でもその操作が行われている装置を特定する事ができ，操作を行っている第三者の早期発見が可能となる。加えて，不正操作を検出した装置では，それ以降のコマンド入力が禁止される為，不正操作を最小限に留める事が可能である。

そして，各コマンド使用許可ユーザー・レベルの設定が，保守者の設定した条件により自動的に変更され，保守者以外のユーザーにコマンドの制限を行う事が可能である為，伝送装置のセキュリティシステムの向上に寄与するところが大きい。

なお，上記図面を参照しての実施の形態の説明は，本発明の理解のためであって，本発明の保護の範囲は，これに限定されない。本発明の保護の範囲は，特許請求の範囲の記載によって定められ，特許請求の範囲の記載と均等物も本発明の保護の範囲に含まれるものである。

以下本発明の実施の形態を図面を参照しながら説明する。なお，図において，同一又は，類似のものには，同一の参照番号又は，参照記号を付して説明する。

図１は，本発明の第１の実施の形態例のネットワーク構成の説明図である。図中，ネットワークを構成する伝送装置１，２，３を有し，制御端末１０，２０，３０は，それぞれ対応する伝送装置（Ａ，Ｂ，Ｃ）１，２，３を制御する為のものであり，ＲＳ−２３２Ｃケーブルで対応する伝送装置に直接接続される。

対応する伝送装置１，２，３側には，それぞれ制御端末１０，２０，３０が接続される受け口（ポート）１１，２１，３１が備えられる。また，遠隔地より公衆回線を利用して制御を行う為の端末１２が，公衆回線を利用する為のモデム１３，１４を通して，伝送装置１のポート１５に接続される。なお，モデム１３と伝送装置１のポート１５間の物理的接続は，ＲＳ２３２Ｃケーブルで行われる。

ここで，伝送装置１，２，３の構成例を図２を参照して説明する。図２は，伝送装置１を想定して他装置との接続関係を示しているが，他の伝送装置２，３の構成も同様である。

伝送装置１は，電源ユニット１００，主信号ユニット１０１，主信号ユニット制御部１０２及び，マンマシンインタフェース（Ｍ・Ｍ ＩＦ）部１０３を有する。主信号ユニット１０１は，インタフェース１０１Ａ〜１０１Ｅを有し，図では，インタフェース１０１Ｂ，１０１Ｄが他の伝送装置２，３に接続され，インタフェース１０１Ｅが交換機４に接続される例を示している。

マンマシンインタフェース（Ｍ・Ｍ ＩＦ）部１０３は，ポート１１を有し，制御端末１０と接続されている。主信号ユニット１０１及び，主信号ユニット制御部１０２の内部構成は，伝送装置によって構成が変わるが，本発明と直接に関係しないので，その詳細説明は，省略する。

図３は，マンマシンインタフェース（Ｍ・Ｍ ＩＦ）部１０３の詳細構成例である。マンマシンインタフェース（Ｍ・Ｍ ＩＦ）部１０３の制御部は，例えば，レジスタ１３１を含むＭＣ６８３０２等のＣＰＵ１３０で構成される。

装置全体は，メモリ領域の一部に格納されるＯＳ（オペレーション・ソフトウエア）で制御される。さらに，メモリ領域として，本発明を実行するためのプログラムが格納されるＲＯＭ領域１３３と，通信用バッファ，演算変数，管理テーブル等を記憶するＲＡＭ領域１３４を有する。

さらに，複数の通信ポート１３６Ａ〜１３６Ｃを有する。図３では，通信ポート１３６Ａは，制御端末用ポート１１及びモデム用ポート１５と，切換スイッチ１３５を通して接続され，通信ポート１３６Ｂは，他装置と接続され，通信ポート１３６Ｃは，主信号ユニット１０２と接続されている。

図１に戻り，説明すると，伝送装置１，２，３に搭載されるソフトウェアプログラム（図３のマンマシンインタフェース部１０３のＲＯＭ領域１３３に格納されている）が，制御端末１０，１２，２０，３０より入力されるコマンドを受信する場合，あるいは障害発生時におけるレポートの通知を制御端末１０，１２，２０，３０に対して行う場合は，伝送装置１０，２０，３０に搭載されている処理装置（図３のＣＰＵ１３０）が提供するシリアル通信コントローラ機能（ＳＣＣ：Serial Communication Controller ）を利用して行われる。

このＳＣＣ機能には，通信ライン（チャネル）の現在の状態（Ｓｔａｔｕｓ）が反映されるレジスタが用意されている。一例として，上記ＣＰＵ１３０をＭＣ６８３０２として考えると，そのレジスタ１３１のモデルが図４に示される。

図４中，レジスタ１３１は，Ｄ0 〜Ｄ8 の８ビットを有し，Ｄ0 ビットのＣＴＳには，制御端末用ポート／モデムポートのケーブル抜けを検出する為のＤＴＲ／ＤＳＲ信号の状態（Ｓｔａｔｕｓ）が，Ｄ1 ビットのＣＤには，モデム間の通信断を検出する為のＣＤ信号の状態（Ｓｔａｔｕｓ）がそれぞれ反映される。

ソフトウェアプログラムは，それぞれのポートに対応するＳＣＣ状態（Ｓｔａｔｕｓ）レジスタ１３１のＣＴＳ，ＣＤビットを監視する。

この監視により，ケーブル抜けやモデム間の通信断を検出した場合には，図５に一例を示す伝送装置１（Ａ局）にあるログイン状態管理テーブルより，ネットワーク内のどの装置に対して，どのポートからログインが行われているかを判断する。そして，異常を検出したポートを経由したログイン（接続）状態を全て解除（Ｌｏｇ−Ｏｆｆ）する。なお，かかるログイン状態管理テーブルは，図３のＲＡＭ領域１３４に格納される。

図５のログイン状態管理テーブルにおいて，Ａ局，Ｂ局，Ｃ局は，それぞれ伝送装置１，２，３に対応し，○付き数字は，図１の○付き数字に対応する。図５において，例として，自局即ち，Ａ局に対応する伝送装置１は，制御端末と接続してログイン状態Iであることが示される。さらに，自局Ａから他局へのログイン状態II，他局からのログイン状態IIIが示される。

次に，図１の動作を図６の動作フローに従い説明する。ＣＰＵ１３０は，ＲＯＭ領域１３３に格納されるプログラムに従い，ＳＣＣ状態（Ｓｔａｔｕｓ）レジスタ１３１を監視する（ステップＳ１）。

ＳＣＣ状態（Ｓｔａｔｕｓ）レジスタ１３１のＣＴＳ，ＣＤビットに基づき，それぞれのポートで，ケーブル抜け，或いは，モデム間通信断の異常が生じているか否かの判断が行われる（ステップＳ２）。

異常が検出されると，異常を検出したポートからネットワーク内のいずれかの装置にログインしているかを図５のログイン状態管理テーブルを参照して判断する（ステップＳ３）。次いで，異常を検出した自局である伝送装置又は，他局へのログイン状態を解除する（ステップＳ４）。

図７は，本発明の第２の実施の形態例を説明する図である。ネットワークを構成する伝送装置１，２がネットワーク内で各伝送装置を認識する為の装置ＩＤとネットワークアドレス（ＮＳＡＰ：Ｎｅｔｗｏｒｋ ＳｅｒｖｉｃｅＡｃｃｅｓｓ Ｐｏｉｎｔ）を保持していることを示している。

図１と同一のものは同一の記号で示してあり，図中，伝送装置１の装置ＩＤは”ＡＢＣ”であり，伝送装置２の装置ＩＤは”ＢＣＤ”である。また，伝送装置１のネットワークアドレスＮＳＡＰは，”ＡＡＢＢＣＣ”であり，伝送装置２のネットワークアドレスＮＳＡＰは，”ＢＢＣＣＤＤ”である。

さらに，図７において，ｃ１〜ｃ３はＢ局より入力されたコマンドの流れを示し，先ず伝送装置１（Ａ局）へのログインコマンドを端末（Ｂ）２０から入力する（ｃ１）。

伝送装置２（Ｂ局）において，入力された伝送装置１（Ａ局）へのログインコマンドは，伝送装置１（Ａ局）への通知を行う為の通信データ（ｃ２）の形に変換される。そして伝送装置２（Ｂ局）は，伝送装置１（Ａ局）へのログインコマンドｃ１を通信データとして伝送装置１（Ａ局）に送る（ｃ２）。

これにより同属装置間インタフェース（ＤＣＣ），公衆網インタフェース（Ｘ．２５），局社内インタフェース（ＬＣＮ）等によって，伝送装置１（Ａ局）へ通知される。

伝送装置１（Ａ局）では，送られた通信データについて，エラーをチェックする（ｃ３）。そして，異常が検出された場合は，伝送装置１（Ａ局）から例えば，伝送装置３（Ｃ局）の保守者に対して，検出結果が通知される（ｄ）。

この時，通信データ内には，送信先である伝送装置１（Ａ局）のネットワークアドレス（ＮＳＡＰ）と送信元である伝送装置２（Ｂ局）のＮＳＡＰが，図８に示す通信データモデルの様に設定されている。通信データを受信した伝送装置１（Ａ局）では，通信データの中より自局宛ログインコマンドを取り出す。

そして，そのコマンド内に指定されているユーザーＩＤ（ＵＩＤ），パスワード（ＰＷＤ）のチェックが，伝送装置１（Ａ局）のＲＡＭ領域１３４に登録されているＵＩＤ／ＰＷＤ対応テーブル（図９）を参照して行われる。

このチェックの結果，登録されていないＵＩＤが指定されている場合や，ＵＩＤ／ＰＷＤの組合せが合わない場合等，異常と判断された場合（ｃ３）には，通信データ内の送信元ＮＳＡＰに対応する局のログインコマンド失敗数のカウントアップを行う。

その失敗数のカウント値が，予め設定されている許容失敗回数以上となった場合に異常操作が行われたと判断する。送信元ネットワークアドレスであるＮＳＡＰを基に，後に説明する図１０に示す管理テーブルを参照して獲得される装置ＩＤと共に，当該伝送装置１にログインされている全ての保守者に対して不正操作局レポート送信を行う（ｄ）。これにより，不正操作の行われている装置の特定が容易となる。

また，自局即ち，伝送装置２に接続される制御端末２０から入力されるログインコマンドにより不正繰作が行われている事を検出した場合は，自局のＮＳＡＰを獲得し，その自局ネットワークアドレスＮＳＡＰを元に，図１０の管理テーブルを参照して，装置ＩＤの獲得，及び保守者への不正操作局レポートの通知を行う。

上記のとおり装置ＩＤの獲得やログインコマンド失敗数の管理は，図１０に示す様な管理テーブルを用いて行う。かかる，管理テーブルは，既知のＴＡＲＰ技術，即ち北米テレコジア社（旧ベルコア社）の規格であるＧＲ２５３に規定するＴＡＲＰ技術によりネットワーク構築の際，ネットワークに属する装置のＮＳＡＰと装置ＩＤの対応関係がそれぞれの伝送装置で把握され，各ＲＡＭ領域１３４に格納される。

上記の第２の実施の形態における処理フローが，図１１に示される。図１１のフローにしたがって，更に説明すると，先ず，伝送装置２は，制御端末２０からのログインコマンドを受信する（ステップＳ１０）。ついで，受信したログインコマンドは，他局より通知されたコマンドか否かを判断する（ステップＳ１１）。

自局即ち，伝送装置２に接続される制御端末２０よりのログインコマンドである場合は，自局のＮＳＡＰを獲得する（ステップＳ１２）。他局からのログインコマンドである場合は，通知データの中から送信元ＮＳＡＰを獲得する（ステップＳ１３）。

次いでログインを行い，ＵＩＤ，ＰＩＤをチェックしてログインの成功又は，失敗を判断する（ステップＳ１４）。ログインに成功した場合は，図１０の管理テーブルにおいて，獲得したＮＳＡＰに対応する伝送装置のログインコマンド失敗数のクリアを行う（ステップＳ１５）。

反対に，ログインに失敗した場合は，図１０の管理テーブルにおいて，獲得したＮＳＡＰに対応する伝送装置のログインコマンド失敗数のカウントアップを行う（ステップＳ１６）。このログインコマンド失敗数のカウント値は，ソフトウエアカウンタにより計数され，図１０に示す装置データ／コマンド失敗数管理テーブルの右欄に登録されている。

次に，ログインコマンドの失敗カウント値が，許容値を超えているか否かを判断する（ステップＳ１８）。許容値を超えている場合は，ＮＳＡＰを元に伝送装置ＩＤの獲得を行い，レポートメッセージを作成し，保守者に通知が行われる（ステップＳ１８）。

図１２は，本発明の第３の実施の形態例を説明する図である。図中，伝送装置（Ａ〜Ｅ）１〜５は，ネットワークを構成する伝送装置である。制御端末（Ａ〜Ｅ）１０，２０，３０，４０，５０は，それぞれ伝送装置１〜５に接続されている。

また，ｆ１，ｆ２は不正ログインコマンド入力による処理を示しており，ｆ３は自局での不正操作局レポート通知，ｆ４〜ｆ６は，ネットワーク内の他装置での不正操作局レポート通知を示している。

図１４は，かかる図１２に示すネットワークにおける本発明に従う動作フローであり，これに従い動作を説明すると，先ず伝送装置（Ｂ局）２から送られたログインコマンド（ｆ１）を，伝送装置（Ａ局）１において判断する（ｆ２）（ステップＳ２０）。

このステップＳ２０における不正操作の検出判断は，先の実施の形態における図１１のフローに従う動作と同じ方法で行われる。すなわち，先の第３の実施の形態例で説明したようにログインコマンドの失敗数カウント値が許容値を超えている場合と判断される時，ＮＳＡＰを基に管理テーブルを参照して装置ＩＤが獲得され，レポートメッセージが作成され，当該獲得された装置ＩＤの保守者に通知する。

レポートメッセージの通知を行うと，図１３に示すように管理テーブルにレポート通知状態を登録する。したがって，かかる管理テーブルに基づいて，未だレポートを行っていない装置の有無を判断して（ステップＳ２１），未だレポートを行っていない装置の装置データ（伝送装置のＮＳＡＰ及び装置ＩＤ）の獲得を行う（ステップＳ２２）。

すなわち，かかるレポートを行っていない装置の装置データ（伝送装置のＮＳＡＰ及び装置ＩＤ）の獲得は，図１３に示す管理テーブルを参照して行い，先ずネットワークに存在する装置の内，レポート通知の行われていない装置のＮＳＡＰを特定する（ステップＳ２２）。

そして，特定されたＮＳＡＰと，不正コマンドの通知元（不正操作局）の装置ＮＳＡＰとの比較を行う（ステップＳ２３）。もし，管理テーブルより特定したＮＳＡＰと不正操作局のＮＳＡＰが同一である場合は，当該不正操作局と同一であるＮＳＡＰについて管理テーブルでレポート通知状態を対象外とし，管理テーブルにおける次の装置のＮＳＡＰを特定する。

管理テーブルより特定したＮＳＡＰと不正操作局のＮＳＡＰが異なる場合は，そのＮＳＡＰを基に，他局との間に一時的な通信可能状態を確立させ（図１２中の丸数字１），不正操作局レポートの通知（ｆ３，ｆ４）を行う。レポート通知後は，管理テーブルのレポート通知状態を通知済へと更新し，通信可能状態を開放する（ステップＳ２４）。

同様の処理｛通信可能状態の確立（図１２中の丸数字２，３）とレポート通知（ｆ５，ｆ６）｝を，管理テーブル上のレポート通知状態の未通知が無くなる迄繰り返し行う（ステップＳ２１）。

図１５は，本発明の第４の実施の形態を説明する図である。図中，伝送装置１，２とそれぞれに接続される制御端末１０，２０の記号は，図７に示す第２の実施の形態と同様である。

参照記号ｃ１〜ｃ３は，伝送装置（Ａ局）１に対して行われるコマンド入力を示し，参照記号ｄ１〜ｄ３は，不正操作検出時に行われる保守者へのレポートと不正コマンド送信元に対する通知，及びその通知による処理をそれぞれ示している。

図７の実施の形態では，不正ログインコマンドの入力による不正操作が行われている（ｃ１）事を，伝送装置１において検出した際に，保守者に対してレポートの通知を行っている（ｄ）。これに対し，図１５の実施の形態では，同時に不正操作の行われている伝送装置１に対して，伝送装置２から不正操作を検出した事を通知する（ｄ２）。

不正操作の行われている伝送装置（Ａ局）１において，この通知を受信した場合，もしくは，自局で不正操作を検出した場合等，自局で不正操作が行われている事を判断出来た場合，操作の行われているポートをロックする（ｄ３）。これにより，それ以降に行われるコマンド入力（ｃ２，ｃ３）を全て無効とする事で，不正操作を最小限にくい止める事が出来る。

本実施の形態の伝送装置１（Ａ局）におけるポートロック処理フローを図１６に，また，図７の実施の形態の機能に対して，伝送装置２（Ｂ局）におけるコマンド送信元への不正操作検出通知処理を追加した処理フローを図１７に示す。

これらの処理フローを説明すると，図１６において，伝送装置１（Ａ局）において，不正ログコマンドによる不正操作を検出したかを判断する（ステップＳ３０）。そして，自局即ち，伝送装置１（Ａ局）で不正操作を検出しない場合は，他局即ち，伝送装置２（Ｂ局）より不正操作検出通知を受信しているかを判断する（ステップＳ３１）。

自局若しくは，他局で不正操作検出をしている場合は，コマンド入力操作が行われているポートより入力される全てのコマンドを破棄し，いっさいの処理を行わない（ステップＳ３２）。

図１７の処理フローにおいて，ステップＳ１０〜Ｓ１８までは，図１１の処理フローと同じである。図１７の処理フローでは，更にステップＳ１８に続き，コマンドが送出された伝送装置に対して，不正操作検出通知を行う（ステップＳ１９）が追加されている。

かかる追加された，処理ステップＳ１９は，図１５において，伝送装置２から伝送装置１への不正操作検出通知（ｄ２）に対応する。

ここで，自局に接続された制御端末より入力されたコマンドがネットワーク内に存在しない装置を指定する場合，もしくは，ログインコマンドの成功による通信可能状態の確立していない装置に対して制御コマンドの入力を実施した場合，入力コマンドに対するエラー・メッセージにより，自局で不正操作が行われている事を検出する。

そして，その不正操作の入力が，設定されている許容失敗回数を超えた場合に，操作が行われているポートのロックが行われる。ネットワーク内に存在しない装置を指定したコマンドは，当然の事ながら，どの装置も入力コマンドを受信できない為，入力コマンドに対するレスポンスを受信する事ができない。

したがって，コマンドを送出した装置では，コマンド送出後にタイマーを起動し，一定時間内にレスポンスが受信出来なければ，エラー・メッセージを表示し，次のコマンドが入力できる様にする。

また，ログインコマンドの成功による通信可能状態が確立されている場合に入力されたコマンドがエラーした場合は，エラー・メッセージとエラー原因を示すコード（エラー・コード）を通知する。しかし，通信可能状態が確立していない場合は，エラー・コードは通知されず，エラー・メッセージのみの通知となる。

図１８は，かかるコマンド・レスポンス（エラー・メッセージを含む）の例を示し，レスポンスメッセージコードと，各レスポンスメッセージに対するレスポンスの意味が示されている。図１９は，エラー・コードの一例を示している。

いずれもＴＬ１仕様で規定されているコマンド・レスポンス，エラー・コードの例であり，本発明の第５の実施の形態において，自局で不正操作が行われている事の判断に用いられる。

また，図２０は，コマンドレスポンスに対応する処理フローである。図２０において，コマンド・レスポンスを受信すると（ステップＳ５０）と，受信したレスポンスは，”ＲＥＳＰＯＮＳＥ ＴＩＭＥＯＵＴ”／エラ−コードの無い”ＤＥＮＹ”であるかを判断する（ステップＳ５１）。

ステップＳ５１における判断がＹＥＳである場合は，時局での不正操作入力数のカウントアップを行う（ステップＳ５２）。この不正操作入力のカウント値が，許容失敗回数を超えているかを判断する（ステップＳ５３）。そして，許容失敗回数を超えている場合には，操作の行われているポートより入力されるコマンドを全て廃棄する（ステップＳ５４）。

ステップＳ５３において，不正操作入力のカウント値が，許容失敗回数を超えていない場合は，不正操作入力数のカウント値をクリアする（ステップＳ５５）。

ここで，保守者は，例えば『午後８時から午前８時まで』，『土曜日＆日曜日』等の条件と『参照コマンド』や『セキュリティ関連コマンド』といったコマンド種別，及びその期間中に適応する使用許可ユーザー・レベルを設定する。

伝送装置では，設定されているコマンド種別より対象となるコマンドを判断し，使用許可ユーザー・レベルの変更を行った管理テーブルの作成を行う。条件により指定されている期間中は，作成した管理テーブルを使用して入力コマンドに対するユーザー・レベルのチェックを行う。

設定に従った使用許可ユーザー・レベル管理テーブルの作成に際して，コマンド種別で，対象となるコマンドの内，指定されたユーザー・レベルが元来設定されているユーザー・レベルよりも低い場合は，使用許可ユーザー・レベルの変更を行わず，元来設定されているユーザー・レベルを引き継ぐ。

図２１，２２，２３に保守者設定による使用許可ユーザー・レベル作成例を示す。本機能により，例えば『土曜日＆日曜日』，『コマンド全般』，『保守者のみ』といった設定を行う事で，保守者以外のユーザーが作業を行わない週末に，コマンド全般を保守者のみコマンド実行を可能とする事ができる。これにより，保守者以外のユーザーに対してコマンド実行の制限を持たせる事が可能となる。

すなわち，図２１の例は，対象コマンドを『プロビジョニング関連コマンド』とする例であり，図２２は，コマンド全般を対象コマンドとし，図２３は，設定コマンドを対象とする例である。

上記管理テーブルのレベル設定では，ユーザ・レベルの設定が４段階（”１”〜”４”）の設定であり，レベル”４”が最もレベルが高く，”１”が最もレベルが低い。

本実施例では，時間的な条件を例として上げているが，ユーザーＩＤをコマンド制限の条件としても良く，装置を使用する各ユーザーの目的に合わせてコマンドに制限を持たせる事で，装置に対する権限を超えた制御を防止できる。

図２４は，上記管理テーブルの利用により処理フローである。コマンドが入力されると（ステップＳ６０），設定されている条件の期間中かを判断する（ステップＳ６１）。

設定されている条件の期間中でなければ，元来より保持している使用許可ユーザ・レベル管理テーブルを参照する（ステップＳ６２）。設定されている条件の期間中であれば，設定されているコマンド種別，使用許可ユーザ・レベルを元に作成した管理テーブルを参照する（ステップＳ６３）。

そして，コマンド入力を行ったユーザのレベルが管理テーブル上のユーザ・レベルを超えているかを判断し（ステップＳ６４），管理テーブル上のユーザ・レベルを超えている場合は，入力されたコマンドを実行する（ステップＳ６６）。また，管理テーブル上のユーザ・レベルを超えていない場合は，入力されたコマンドを禁止する（ステップＳ６５）。

本発明の本発明の第１の実施の形態のネットワークを構成の説明図である。 伝送装置１０を想定して他装置との接続関係を示す図である。 マンマシンインタフェース（Ｍ・Ｍ ＩＦ）部１０３の詳細構成例である。 図３におけるＣＰＵ１３０をＭＣ６８３０２とする時ののレジスタ１３１のモデル図である。 ログイン状態管理テーブルの一例である。 図１の実施の形態の動作フローである。 本発明の第２の実施の形態例を説明する図である。 通信データモデルを説明する図である。 伝送装置１（Ａ局）のＲＡＭ領域１３４に登録されているＵＩＤ／ＰＷＤ対応テーブルの一例である。 装置ＩＤの獲得やログインコマンド失敗数の管理のための管理テーブルヲ示す図である。 第２の実施の形態における処理フローを示す図である。 本発明の第３の実施の形態例を説明する図である。 装置（ＮＳＡＰ）／レポート通知管理テーブルの一例である。 第３の実施の形態の動作フローである。 本発明の第４の実施の形態例を説明する図である。 第４の実施の形態例における伝送装置１（Ａ局）の動作フローである。 第４の実施の形態例における伝送装置２（Ｂ局）の動作フローである。 コマンドレスポンスの一例である。 エラー・コードの一例である。 第５の実施の形態例の動作フローであり，コマンドレスポンスに対応する処理フローである。 保守者設定による使用許可ユーザー・レベルの作成例を示す図（その１）である。 保守者設定による使用許可ユーザー・レベルの作成例を示す図（その２）である。 保守者設定による使用許可ユーザー・レベルの作成例を示す図（その３）である。 第６の実施の形態例の動作フローである。

符号の説明

１〜３ ネットワークを構成する各伝送装置
１０，２０，３０ 伝送装置へのコマンドを入力する為の制御端末
１１，２１，３１ 伝送装置と制御端末を接続する為のポート
１５ モデムを使用し遠隔操作を行う際の伝送装置とモデムを接続する為のポート
１３，１４ 遠隔操作を行う際に使用されるモデム
ｃ１，ｃ２，ｃ３ コマンド入力による処理及びデータ
ｆ１，ｆ２ コマンド入力による処理
ｆ３，ｆ４，ｆ５，ｆ６ 不正操作検出時のネットワーク全体に対するレポート
ｄ１，ｄ２，ｄ３：不正操作検出時の処理

Claims (4)

1. 少なくとも伝送装置に対して保守者によりログインコマンドの入力が行われる制御端末用のポートを有する複数の伝送装置により構成されるネットワークにおける伝送装置のセキュリティシステムにおいて、
   前記複数の伝送装置の各々は、
   前記ネットワークに属する伝送装置を認識するためのネットワークアドレスと装置ＩＤとの対応を示す管理テーブルを保持し、
   他伝送装置へのアクセスの際は、ヘッダに送信元及び送信先ネットワークアドレスを有し、データ領域にユーザＩＤとパスワードを含む通信データをログインコマンドとして送り、
   自伝送装置宛の通信データの中よりログインコマンドを取り出し、前記ログインコマンドが他伝送装置より通知されたか否かを判断し、他伝送装置より通知されたコマンドである場合は、前記ログインコマンド内の送信元ネットワークアドレスを取り出し、自伝送装置に登録されていないユーザＩＤが指定されている場合、あるいは、ユーザＩＤとパスワードの組み合わせがない場合に、前記管理テーブルにおける前記ログインコマンド内の送信元ネットワークアドレスに対応する装置ＩＤについてログイン失敗回数のカウントアップを行い、
   前記ログイン失敗回数のカウント値が許容回数以上となったときに、前記管理テーブルを参照して獲得される、前記送信元ネットワークアドレスに対応する装置ＩＤとともに、前記自伝送装置にログインされている全ての保守者の制御端末に不正操作が行われていることのレポート送信を行う
   ことを特徴とする伝送装置のセキュリティシステム。
2. 請求項１において、
   各伝送装置は、前記ログインコマンドが他伝送装置より通知されたか否かの判断において自伝送装置に接続されている制御端末から入力されるログインコマンドである場合に、前記ログイン失敗回数のカウント値が許容回数以上となり、前記ログインコマンドにより不正操作が行われていることを検知したときは、前記管理テーブルを参照して、自伝送装置のネットワークアドレスに対応する装置ＩＤを獲得し、前記自伝送装置にログインされている全ての保守者の制御端末に不正操作が行われていることのレポート送信を行う
   ことを特徴とする伝送装置のセキュリティシステム。
3. 請求項１において、
   各伝送装置は、前記不正操作が行われていることのレポート送信を行う際に、前記管理テーブルを参照して、前記不正操作が行われていることのレポートの通知元のネットワークアドレスと前記管理テーブルに登録されているネットワークアドレスとを比較し、異なる場合は、前記比較された管理テーブルに登録されているネットワークアドレスを基に他の伝送装置との間に一時的な通信可能状態を確立させ、
   前記不正操作が行われていることのレポートの通知元のネットワークアドレスに対応する伝送装置のレポートを前記他の伝送装置に通知し、
   前記管理テーブルの通知状態を通知済に更新して、前記通信可能状態を解放する
   ことを特徴とする伝送装置のセキュリティシステム。
4. 請求項１において、
   更に、他伝送装置で自伝送装置において不正操作が行われていることが検知された場合、前記他伝送装置から自伝送装置において不正操作が行われていることの通知を受けた際は、当該自伝送装置において制御端末により不正操作が行われているポートをロックすることを特徴とする伝送装置のセキュリティシステム。

Images