JP4063771B2 - ルータ - Google Patents
ルータ Download PDFInfo
- Publication number
- JP4063771B2 JP4063771B2 JP2004001363A JP2004001363A JP4063771B2 JP 4063771 B2 JP4063771 B2 JP 4063771B2 JP 2004001363 A JP2004001363 A JP 2004001363A JP 2004001363 A JP2004001363 A JP 2004001363A JP 4063771 B2 JP4063771 B2 JP 4063771B2
- Authority
- JP
- Japan
- Prior art keywords
- packet
- registered
- time
- unit
- source address
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
- 230000005540 biological transmission Effects 0.000 claims description 49
- 230000002265 prevention Effects 0.000 claims description 29
- 230000002159 abnormal effect Effects 0.000 description 38
- 241000700605 Viruses Species 0.000 description 6
- 238000010586 diagram Methods 0.000 description 4
- 238000001914 filtration Methods 0.000 description 4
- 238000000034 method Methods 0.000 description 4
- 238000001514 detection method Methods 0.000 description 2
- 230000001105 regulatory effect Effects 0.000 description 2
- 230000007123 defense Effects 0.000 description 1
- 238000012544 monitoring process Methods 0.000 description 1
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
Description
本発明は、第１ネットワークからのパケットを第２ネットワークに転送するルータに関する。
コンピュータウイルスをネットワーク上にばらまくために、多量のパケットを送信する端末（異常端末）が存在する。異常端末からの多量のパケットが第１ネットワーク｛例示；ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）｝からルータを介して第２ネットワーク｛例示；ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）｝に転送される場合、コンピュータウイルスが第２ネットワーク上に拡散されてしまう。
ルータは、通常、パケットフィルタリング機能を有し、このパケットフィルタリング機能は、特定条件に一致するパケットをフィルタリングするものである。特定条件として、例えば、事前に送信元アドレスと宛先アドレスとをデータベースに登録しておき、データベースに登録された送信元アドレスと宛先アドレスとに基づいて、フィルタリングしている。このようなルータとして、特許文献１には、不正なパケットを破棄しても、不正なパケットによる伝送媒体の占有を防止するパケットフィルタ機能付きルータ装置が記載されている。しかしながら、異常端末から第１ネットワークに送信された多量のパケットが特定条件に一致するパケットである場合、コンピュータウイルスがルータを介して第２ネットワーク上に拡散されてしまう。
パケットの転送に関する技術として、特許文献２には、攻撃パケットによる攻撃を防御する侵入検知・防御装置が記載されている。また、特許文献３には、不正アクセスに関わるパケットの転送を効率よく禁止することが可能なパケット転送装置が記載されている。また、特許文献４には、外部ネットワークから企業内情報ネットワークへの不正アクセスを検出し、不正パケットの送信元探知を可能とするネットワーク監視システムが記載されている。
本発明の課題は、異常端末からの多量のパケットの通過を防止することができるルータを提供することにある。
本発明の他の課題は、記憶容量を低減することができるルータを提供することにある。
本発明の更に他の課題は、異常端末のユーザを特定することができるルータを提供することにある。
以下に、［発明を実施するための最良の形態］で使用する番号・符号を用いて、課題を解決するための手段を説明する。これらの番号・符号は、［特許請求の範囲］の記載と［発明を実施するための最良の形態］の記載との対応関係を明らかにするために付加されたものであるが、［特許請求の範囲］に記載されている発明の技術的範囲の解釈に用いてはならない。
本発明のルータは、第１ネットワークからのパケットを受信する第１インタフェース部（１／５）と、パケットの転送の可否を判定するフィルタ処理部（６）と、パケットの転送が許可されたとき、パケットを第２ネットワークに送信する第２インタフェース部（５／１）とを具備する。パケットは、送信元アドレスと宛先アドレスとを含む。フィルタ処理部（６）は、第１所定時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数以下である場合、パケットの転送を許可し、上記数が設定数を超えた場合、パケットを破棄する。
異常端末は、コンピュータウイルスを他のネットワーク（第２ネットワーク）上にばらまくために、多量のパケットを送信する。このため、異常端末から送信される多量のパケットの宛先アドレスは異なる傾向にある。本発明のルータによれば、第１所定時間において、異なる宛先アドレスと同一の送信元アドレス（異常端末のアドレス）とを有するパケットの数が設定数を超えた場合、パケットを破棄するため、異常端末（同一の送信元アドレス）からの多量のパケットの通過を防止することができる。
異常端末は、コンピュータウイルスを他のネットワーク（第２ネットワーク）上にばらまくために、多量のパケットを送信する。このため、異常端末から送信される多量のパケットの宛先アドレスは異なる傾向にある。本発明のルータによれば、第１所定時間において、異なる宛先アドレスと同一の送信元アドレス（異常端末のアドレス）とを有するパケットの数が設定数を超えた場合、パケットを破棄するため、異常端末（同一の送信元アドレス）からの多量のパケットの通過を防止することができる。
本発明のルータにおいて、フィルタ処理部（６）は、テーブル（１１、１２、２１、２２）と、不特定パケット配送判定部（７）と、不正パケット防止部（９）とを具備する。不特定パケット配送判定部（７）は、同一の送信元アドレスをテーブル（１１、１２、２１、２２）に登録する。
不特定パケット配送判定部（７）は、第１所定時間において、上記数が設定数以下である場合、パケットの転送を許可し、上記数が設定数を超えた場合、パケットの転送の拒否を表す不許可情報を同一の送信元アドレスに対応付けてテーブル（１１、１２、２１、２２）に登録する。
不正パケット防止部（９）は、テーブル（１１、１２、２１、２２）を参照して、不許可情報に基づいてパケットを破棄する。
本発明のルータによれば、第１所定時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、不許可情報を同一の送信元アドレス（異常端末のアドレス）に対応付けてテーブル（１１、１２、２１、２２）に登録するため、異常端末（同一の送信元アドレス）から多量のパケットが再度送信されても、テーブル（１１、１２、２１、２２）を参照して、異常端末（同一の送信元アドレス）からの多量のパケットの通過を防止することができる。
不特定パケット配送判定部（７）は、第１所定時間において、上記数が設定数以下である場合、パケットの転送を許可し、上記数が設定数を超えた場合、パケットの転送の拒否を表す不許可情報を同一の送信元アドレスに対応付けてテーブル（１１、１２、２１、２２）に登録する。
不正パケット防止部（９）は、テーブル（１１、１２、２１、２２）を参照して、不許可情報に基づいてパケットを破棄する。
本発明のルータによれば、第１所定時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、不許可情報を同一の送信元アドレス（異常端末のアドレス）に対応付けてテーブル（１１、１２、２１、２２）に登録するため、異常端末（同一の送信元アドレス）から多量のパケットが再度送信されても、テーブル（１１、１２、２１、２２）を参照して、異常端末（同一の送信元アドレス）からの多量のパケットの通過を防止することができる。
本発明の第１の態様に係るルータにおいて、テーブル（１１、１２）には、同一の送信元アドレスに対応付けられて、登録数と登録宛先アドレスと登録時刻とが登録される。登録時刻は、登録宛先アドレスがテーブル（１１、１２）に登録されたときの時刻である。
不特定パケット配送判定部（７）は、テーブル（１１、１２）を参照して、登録時刻から第２所定時間が経過したときに、第２所定時間が経過した登録時刻と、第２所定時間が経過した登録時刻に対応する登録宛先アドレスとを消去し、上記消去された登録宛先アドレスに対応する登録数から、上記消去された登録宛先アドレスの数だけ減算する。第２所定時間は、第１所定時間よりも長い。
不特定パケット配送判定部（７）は、第１所定時間において、上記異なる宛先アドレスのうち、登録宛先アドレスに一致しない宛先アドレスを同一の送信元アドレスに対応付けてテーブル（１１、１２）に登録し、現在の時刻を登録時刻として上記一致しない宛先アドレスに対応付けてテーブル（１１、１２）に登録し、上記一致しない宛先アドレスの数を登録数に加算して上記数として同一の送信元アドレスに対応付けてテーブル（１１、１２）に登録する。
本発明の第１の態様に係るルータによれば、テーブル（１１、１２）を用いて同一の送信元アドレスと宛先アドレス（登録宛先アドレス）とを管理する場合、第２所定時間が経過した情報（登録宛先アドレス、登録時刻）をテーブル（１１、１２）から消去することが好ましい。このため、本発明の第１の態様に係るルータによれば、第１所定時間において異常端末（同一の送信元アドレス）から送信された多量のパケットの通過を防止することができる上に、テーブル（１１、１２）に登録される記憶容量が従来（例示；特許文献１）よりも低減される。
不特定パケット配送判定部（７）は、テーブル（１１、１２）を参照して、登録時刻から第２所定時間が経過したときに、第２所定時間が経過した登録時刻と、第２所定時間が経過した登録時刻に対応する登録宛先アドレスとを消去し、上記消去された登録宛先アドレスに対応する登録数から、上記消去された登録宛先アドレスの数だけ減算する。第２所定時間は、第１所定時間よりも長い。
不特定パケット配送判定部（７）は、第１所定時間において、上記異なる宛先アドレスのうち、登録宛先アドレスに一致しない宛先アドレスを同一の送信元アドレスに対応付けてテーブル（１１、１２）に登録し、現在の時刻を登録時刻として上記一致しない宛先アドレスに対応付けてテーブル（１１、１２）に登録し、上記一致しない宛先アドレスの数を登録数に加算して上記数として同一の送信元アドレスに対応付けてテーブル（１１、１２）に登録する。
本発明の第１の態様に係るルータによれば、テーブル（１１、１２）を用いて同一の送信元アドレスと宛先アドレス（登録宛先アドレス）とを管理する場合、第２所定時間が経過した情報（登録宛先アドレス、登録時刻）をテーブル（１１、１２）から消去することが好ましい。このため、本発明の第１の態様に係るルータによれば、第１所定時間において異常端末（同一の送信元アドレス）から送信された多量のパケットの通過を防止することができる上に、テーブル（１１、１２）に登録される記憶容量が従来（例示；特許文献１）よりも低減される。
本発明の第１の態様に係るルータにおいて、不特定パケット配送判定部（７）は、テーブル（１１、１２）を参照して、第１所定時間において、上記異なる宛先アドレスのうちの登録宛先アドレスに一致する宛先アドレスに対応する登録時刻を現在の時刻に更新する。
本発明の第１の態様に係るルータによれば、テーブル（１１、１２）を用いて同一の送信元アドレスと宛先アドレス（登録宛先アドレス）とを管理する場合、同一の送信元アドレスから送信された多量のパケットの宛先アドレスのうちの登録宛先アドレスに一致する宛先アドレスに対応する登録時刻を現在の時刻に更新することが好ましい。
本発明の第１の態様に係るルータによれば、テーブル（１１、１２）を用いて同一の送信元アドレスと宛先アドレス（登録宛先アドレス）とを管理する場合、同一の送信元アドレスから送信された多量のパケットの宛先アドレスのうちの登録宛先アドレスに一致する宛先アドレスに対応する登録時刻を現在の時刻に更新することが好ましい。
本発明の第２の態様に係るルータにおいて、テーブル（２１、２２）には、同一の送信元アドレスに対応付けられて、ハッシュ登録数と登録ハッシュ値と登録時刻とが登録される。登録時刻は、登録ハッシュ値がテーブル（２１、２２）に登録されたときの時刻である。
不特定パケット配送判定部（７）は、テーブル（２１、２２）を参照して、登録時刻から第２所定時間が経過したときに、第２所定時間が経過した登録時刻と、第２所定時間が経過した登録時刻に対応する登録ハッシュ値とを消去し、上記消去された登録ハッシュ値に対応するハッシュ値登録数から、上記消去された登録ハッシュ値の数だけ減算する。第２所定時間は、第１所定時間よりも長い。
不特定パケット配送判定部（７）は、第１所定時間において、上記異なる宛先アドレスに基づいてハッシュ値を算出し、上記算出されたハッシュ値のうち、登録ハッシュ値に一致しないハッシュ値を同一の送信元アドレスに対応付けてテーブル（２１、２２）に登録し、現在の時刻を登録時刻として上記一致しないハッシュ値に対応付けてテーブル（２１、２２）に登録し、上記一致しないハッシュ値の数をハッシュ登録数に加算して上記数として同一の送信元アドレスに対応付けてテーブル（２１、２２）に登録する。
本発明の第２の態様に係るルータによれば、テーブル（２１、２２）を用いて同一の送信元アドレスとハッシュ値（登録ハッシュ値）とを管理する場合、第２所定時間が経過した情報（登録ハッシュ値、登録時刻）をテーブル（２１、２２）から消去することが好ましい。ハッシュ値（登録ハッシュ値）がテーブル（２１、２２）に登録される記憶容量は、宛先アドレス（登録宛先アドレス）がテーブル（２１、２２）に登録される記憶容量よりも小さい。このため、本発明の第２の態様に係るルータによれば、第１所定時間において異常端末（同一の送信元アドレス）から送信された多量のパケットの通過を防止することができる上に、テーブル（２１、２２）に登録される記憶容量が本発明の第１の態様に係るルータにおけるテーブル（１１、１２）の記憶容量よりも低減される。
不特定パケット配送判定部（７）は、テーブル（２１、２２）を参照して、登録時刻から第２所定時間が経過したときに、第２所定時間が経過した登録時刻と、第２所定時間が経過した登録時刻に対応する登録ハッシュ値とを消去し、上記消去された登録ハッシュ値に対応するハッシュ値登録数から、上記消去された登録ハッシュ値の数だけ減算する。第２所定時間は、第１所定時間よりも長い。
不特定パケット配送判定部（７）は、第１所定時間において、上記異なる宛先アドレスに基づいてハッシュ値を算出し、上記算出されたハッシュ値のうち、登録ハッシュ値に一致しないハッシュ値を同一の送信元アドレスに対応付けてテーブル（２１、２２）に登録し、現在の時刻を登録時刻として上記一致しないハッシュ値に対応付けてテーブル（２１、２２）に登録し、上記一致しないハッシュ値の数をハッシュ登録数に加算して上記数として同一の送信元アドレスに対応付けてテーブル（２１、２２）に登録する。
本発明の第２の態様に係るルータによれば、テーブル（２１、２２）を用いて同一の送信元アドレスとハッシュ値（登録ハッシュ値）とを管理する場合、第２所定時間が経過した情報（登録ハッシュ値、登録時刻）をテーブル（２１、２２）から消去することが好ましい。ハッシュ値（登録ハッシュ値）がテーブル（２１、２２）に登録される記憶容量は、宛先アドレス（登録宛先アドレス）がテーブル（２１、２２）に登録される記憶容量よりも小さい。このため、本発明の第２の態様に係るルータによれば、第１所定時間において異常端末（同一の送信元アドレス）から送信された多量のパケットの通過を防止することができる上に、テーブル（２１、２２）に登録される記憶容量が本発明の第１の態様に係るルータにおけるテーブル（１１、１２）の記憶容量よりも低減される。
本発明の第２の態様に係るルータにおいて、不特定パケット配送判定部（７）は、テーブル（２１、２２）を参照して、第１所定時間において、上記算出されたハッシュ値のうちの登録ハッシュ値に一致するハッシュ値に対応する登録時刻を現在の時刻に更新する。
本発明の第２の態様に係るルータによれば、テーブル（１１、１２）を用いて同一の送信元アドレスとハッシュ値（登録ハッシュ値）とを管理する場合、同一の送信元アドレスから送信された多量のパケットの宛先アドレスに基づいて計算されたハッシュ値のうちの登録ハッシュ値に一致するハッシュ値に対応する登録時刻を現在の時刻に更新することが好ましい。
本発明の第２の態様に係るルータによれば、テーブル（１１、１２）を用いて同一の送信元アドレスとハッシュ値（登録ハッシュ値）とを管理する場合、同一の送信元アドレスから送信された多量のパケットの宛先アドレスに基づいて計算されたハッシュ値のうちの登録ハッシュ値に一致するハッシュ値に対応する登録時刻を現在の時刻に更新することが好ましい。
本発明のルータは、更に、管理者に利用される警報器（８）を具備する。
不特定パケット配送判定部（７）は、テーブル（１１、１２、２１、２２）を参照して、第１所定時間において、上記数が設定数を超えた場合、不許可情報を同一の送信元アドレスに対応付けてテーブル（１１、１２、２１、２２）に登録すると共に、パケットの転送が拒否された旨を表す警報情報を警報器（８）に出力する。警報情報は、同一の送信元アドレスを含む。
警報器（８）は、警報情報に基づいて、パケットの転送が拒否された旨を管理者に通知する。
本発明のルータによれば、第１所定時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、同一の送信元アドレス（異常端末のアドレス）を含む警報情報を管理者に通知するため、異常端末（同一の送信元アドレス）のユーザを特定することができる。即ち、管理者は、直ちに、異常端末のユーザを把握することができ、異常端末のユーザに警告状を通達したり、取締機関（例示；警察）に通報することができる。
不特定パケット配送判定部（７）は、テーブル（１１、１２、２１、２２）を参照して、第１所定時間において、上記数が設定数を超えた場合、不許可情報を同一の送信元アドレスに対応付けてテーブル（１１、１２、２１、２２）に登録すると共に、パケットの転送が拒否された旨を表す警報情報を警報器（８）に出力する。警報情報は、同一の送信元アドレスを含む。
警報器（８）は、警報情報に基づいて、パケットの転送が拒否された旨を管理者に通知する。
本発明のルータによれば、第１所定時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、同一の送信元アドレス（異常端末のアドレス）を含む警報情報を管理者に通知するため、異常端末（同一の送信元アドレス）のユーザを特定することができる。即ち、管理者は、直ちに、異常端末のユーザを把握することができ、異常端末のユーザに警告状を通達したり、取締機関（例示；警察）に通報することができる。
警報器（８）は、警報情報を表示する表示部を含む。
本発明のルータによれば、異常端末（同一の送信元アドレス）のユーザを特定するために、警報情報が表示されることが好ましい。
本発明のルータによれば、異常端末（同一の送信元アドレス）のユーザを特定するために、警報情報が表示されることが好ましい。
第１ネットワークと第１インタフェース部（１）は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に適用される。第２ネットワークと第２インタフェース部（５）は、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）に適用される。
第１ネットワークと第１インタフェース部（５）は、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）に適用される。第２ネットワークと第２インタフェース部（１）は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に適用される。
以上の説明により、本発明のルータは、異常端末からの多量のパケットの通過を防止することができる。
本発明のルータは、記憶容量を低減することができる。
本発明のルータは、異常端末のユーザを特定することができる。
添付図面を参照して、本発明によるルータを実施するための最良の形態を以下に説明する。
（第１実施形態）
図１は、本発明の第１実施形態に係るルータの構成を示すブロック図である。本発明の第１実施形態に係るルータは、コンピュータであるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）インタフェース部１、ＬＡＮフィルタインタフェース部２、配送処理部３、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）フィルタインタフェース部４、ＷＡＮインタフェース部５、フィルタ処理部６と、警報器であるアラーム表示部８とを具備する。フィルタ処理部６は、パケットフィルタリング機能を有する。ＬＡＮインタフェース部１は、ＬＡＮとＬＡＮフィルタインタフェース部２とに接続されている。ＬＡＮフィルタインタフェース部２は、配送処理部３とフィルタ処理部６とに接続されている。ＷＡＮフィルタインタフェース部４は、配送処理部３とフィルタ処理部６とに接続されている。ＷＡＮインタフェース部５は、ＷＡＮとＷＡＮフィルタインタフェース部４とに接続されている。フィルタ処理部６は、アラーム表示部８に接続されている。
図１は、本発明の第１実施形態に係るルータの構成を示すブロック図である。本発明の第１実施形態に係るルータは、コンピュータであるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）インタフェース部１、ＬＡＮフィルタインタフェース部２、配送処理部３、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）フィルタインタフェース部４、ＷＡＮインタフェース部５、フィルタ処理部６と、警報器であるアラーム表示部８とを具備する。フィルタ処理部６は、パケットフィルタリング機能を有する。ＬＡＮインタフェース部１は、ＬＡＮとＬＡＮフィルタインタフェース部２とに接続されている。ＬＡＮフィルタインタフェース部２は、配送処理部３とフィルタ処理部６とに接続されている。ＷＡＮフィルタインタフェース部４は、配送処理部３とフィルタ処理部６とに接続されている。ＷＡＮインタフェース部５は、ＷＡＮとＷＡＮフィルタインタフェース部４とに接続されている。フィルタ処理部６は、アラーム表示部８に接続されている。
ＬＡＮインタフェース部１は、ＬＡＮからのパケットを受信してＬＡＮフィルタインタフェース部２に転送する。パケットのヘッダは、送信元アドレスと宛先アドレスとを含む。
ＬＡＮインタフェース部１は、ＬＡＮフィルタインタフェース部２から受け取ったパケットをＬＡＮに転送する。
ＬＡＮインタフェース部１は、ＬＡＮフィルタインタフェース部２から受け取ったパケットをＬＡＮに転送する。
ＬＡＮフィルタインタフェース部２は、ＬＡＮインタフェース部１からパケットを受け取ったとき、ＬＡＮインタフェース部１からのパケットであることを表す情報をパケットに付加してフィルタ処理部６に出力する。ＬＡＮフィルタインタフェース部２は、フィルタ処理部６からパケットを受け取った場合、受け取ったパケットを配送処理部３に転送する。
ＬＡＮフィルタインタフェース部２は、配送処理部３からパケットを受け取ったとき、配送処理部３からのパケットであることを表す情報をパケットに付加してフィルタ処理部６に出力する。ＬＡＮフィルタインタフェース部２は、フィルタ処理部６からパケットを受け取った場合、受け取ったパケットをＬＡＮインタフェース部１に転送する。
ＬＡＮフィルタインタフェース部２は、配送処理部３からパケットを受け取ったとき、配送処理部３からのパケットであることを表す情報をパケットに付加してフィルタ処理部６に出力する。ＬＡＮフィルタインタフェース部２は、フィルタ処理部６からパケットを受け取った場合、受け取ったパケットをＬＡＮインタフェース部１に転送する。
配送処理部３は、ＬＡＮフィルタインタフェース部２からパケットを受け取り、受け取ったパケットの宛先アドレスに従って、予め決められた配送経路にパケットを受け渡す。予め決められた配送経路として、受け取ったパケットの宛先アドレスがＬＡＮに適用される場合、配送処理部３は、受け取ったパケットをＬＡＮフィルタインタフェース部２に転送する。予め決められた配送経路として、受け取ったパケットの宛先アドレスがＷＡＮに適用される場合、配送処理部３は、受け取ったパケットをＷＡＮフィルタインタフェース部４に転送する。
配送処理部３は、ＷＡＮフィルタインタフェース部４からパケットを受け取り、受け取ったパケットの宛先アドレスに従って、予め決められた配送経路にパケットを受け渡す。予め決められた配送経路として、受け取ったパケットの宛先アドレスがＬＡＮに適用される場合、配送処理部３は、受け取ったパケットをＬＡＮフィルタインタフェース部２に転送する。予め決められた配送経路として、受け取ったパケットの宛先アドレスがＷＡＮに適用される場合、配送処理部３は、受け取ったパケットをＷＡＮフィルタインタフェース部４に転送する。
配送処理部３は、ＷＡＮフィルタインタフェース部４からパケットを受け取り、受け取ったパケットの宛先アドレスに従って、予め決められた配送経路にパケットを受け渡す。予め決められた配送経路として、受け取ったパケットの宛先アドレスがＬＡＮに適用される場合、配送処理部３は、受け取ったパケットをＬＡＮフィルタインタフェース部２に転送する。予め決められた配送経路として、受け取ったパケットの宛先アドレスがＷＡＮに適用される場合、配送処理部３は、受け取ったパケットをＷＡＮフィルタインタフェース部４に転送する。
ＷＡＮフィルタインタフェース部４は、ＷＡＮインタフェース部５からパケットを受け取ったとき、ＷＡＮインタフェース部５からのパケットであることを表す情報をパケットに付加してフィルタ処理部６に出力する。ＷＡＮフィルタインタフェース部４は、フィルタ処理部６からパケットを受け取った場合、受け取ったパケットを配送処理部３に転送する。
ＷＡＮフィルタインタフェース部４は、配送処理部３からパケットを受け取ったとき、配送処理部３からのパケットであることを表す情報をパケットに付加してフィルタ処理部６に出力する。ＷＡＮフィルタインタフェース部４は、フィルタ処理部６からパケットを受け取った場合、受け取ったパケットをＷＡＮインタフェース部５に転送する。
ＷＡＮフィルタインタフェース部４は、配送処理部３からパケットを受け取ったとき、配送処理部３からのパケットであることを表す情報をパケットに付加してフィルタ処理部６に出力する。ＷＡＮフィルタインタフェース部４は、フィルタ処理部６からパケットを受け取った場合、受け取ったパケットをＷＡＮインタフェース部５に転送する。
ＷＡＮインタフェース部５は、ＷＡＮからのパケットを受信してＷＡＮフィルタインタフェース部４に転送する。
ＷＡＮインタフェース部５は、ＷＡＮフィルタインタフェース部４から受け取ったパケットをＷＡＮに送信する。
ＷＡＮインタフェース部５は、ＷＡＮフィルタインタフェース部４から受け取ったパケットをＷＡＮに送信する。
フィルタ処理部６は、不特定パケット配送判定部７と、不正パケット防止部９と、記憶部１０とを具備する。記憶部１０には、ＬＡＮ用テーブル１１と、ＷＡＮ用テーブル１２とが格納されている。ＬＡＮ用テーブル１１とＷＡＮ用テーブル１２との詳細は後述する。
不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からパケットを受け取り、ＬＡＮ用テーブル１１を参照する。不特定パケット配送判定部７は、単位時間（第１所定時間）において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数以下である場合、パケットをＬＡＮフィルタインタフェース部２に出力する（返す）。不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、パケットの転送の拒否を表す不許可情報をＬＡＮ用テーブル１１に登録して、その不許可情報をＬＡＮフィルタインタフェース部２と不正パケット防止部９とに出力する。このとき、不特定パケット配送判定部７は、パケットの転送が拒否された旨を表す警報情報をアラーム表示部８に出力する。この警報情報は、同一の送信元アドレスを含む。
不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からパケットを受け取り、ＷＡＮ用テーブル１２を参照する。不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数以下である場合、パケットをＷＡＮフィルタインタフェース部４に出力する（返す）。不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、パケットの転送の拒否を表す不許可情報をＷＡＮ用テーブル１２に登録してＷＡＮフィルタインタフェース部４と不正パケット防止部９とに出力する。このとき、不特定パケット配送判定部７は、パケットの転送が拒否された旨を表す警報情報をアラーム表示部８に出力する。この警報情報は、同一の送信元アドレスを含む。
不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からパケットを受け取り、ＷＡＮ用テーブル１２を参照する。不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数以下である場合、パケットをＷＡＮフィルタインタフェース部４に出力する（返す）。不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、パケットの転送の拒否を表す不許可情報をＷＡＮ用テーブル１２に登録してＷＡＮフィルタインタフェース部４と不正パケット防止部９とに出力する。このとき、不特定パケット配送判定部７は、パケットの転送が拒否された旨を表す警報情報をアラーム表示部８に出力する。この警報情報は、同一の送信元アドレスを含む。
不正パケット防止部９は、ＬＡＮ用テーブル１１を参照して、不許可情報に基づいて、ＬＡＮフィルタインタフェース部２からのパケットを破棄する。
不正パケット防止部９は、ＷＡＮ用テーブル１２を参照して、不許可情報に基づいて、ＷＡＮフィルタインタフェース部４からのパケットを破棄する。
不正パケット防止部９は、ＷＡＮ用テーブル１２を参照して、不許可情報に基づいて、ＷＡＮフィルタインタフェース部４からのパケットを破棄する。
異常端末は、コンピュータウイルスを他のネットワーク上にばらまくために、多量のパケットを送信する。このため、異常端末から送信される多量のパケットの宛先アドレスは異なる傾向にある。本発明のルータによれば、単位時間（第１所定時間）において、異なる宛先アドレスと同一の送信元アドレス（異常端末のアドレス）とを有するパケットの数が設定数を超えた場合、パケットを破棄するため、異常端末（同一の送信元アドレス）からの多量のパケットの通過を防止することができる。
アラーム表示部８は、ネットワーク（ＬＡＮ、ＷＡＮ、本発明のルータ）の管理者に利用される。アラーム表示部８は、不特定パケット配送判定部７からの警報情報に基づいて、パケットの転送が拒否された旨を管理者に通知する。アラーム表示部８が通知する手段としては、ＬＥＤ表示、アラーム音、ディスプレイ表示、メール通知が例示される。例えば、アラーム表示部８が表示部を備える場合、アラーム表示部８は、不特定パケット配送判定部７からの警報情報（同一の送信元アドレス）を表示部に表示する（ディスプレイ表示する）。
本発明のルータによれば、単位時間（第１所定時間）において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、同一の送信元アドレス（異常端末のアドレス）を含む警報情報を管理者に通知するため、異常端末（同一の送信元アドレス）のユーザを特定することができる。即ち、管理者は、直ちに、異常端末のユーザを把握することができ、異常端末のユーザに警告状を通達したり、取締機関（例示；警察）に通報することができる。
図２は、本発明の第１実施形態に係るルータが第１インタフェース部によりパケットを受信して第２インタフェース部によりパケットを送信するときの動作を示すフローチャートである。ここで、第１インタフェース部がＬＡＮインタフェース部１である場合、第１インタフェース部に接続された第１フィルタインタフェース部がＬＡＮフィルタインタフェース部２であり、第２インタフェース部がＷＡＮインタフェース部５である場合、第２インタフェース部に接続された第２フィルタインタフェース部がＷＡＮフィルタインタフェース部４である。また、第１インタフェース部がＷＡＮインタフェース部５である場合、第１インタフェース部に接続された第１フィルタインタフェース部がＷＡＮフィルタインタフェース部４であり、第２インタフェース部がＬＡＮインタフェース部１である場合、第２インタフェース部に接続された第２フィルタインタフェース部がＬＡＮフィルタインタフェース部２である。
以下の説明では、第１インタフェース部をＬＡＮインタフェース部１とし、第１フィルタインタフェース部をＬＡＮフィルタインタフェース部２とし、第２インタフェース部をＷＡＮインタフェース部５とし、第２フィルタインタフェース部をＷＡＮフィルタインタフェース部４とする。
以下の説明では、第１インタフェース部をＬＡＮインタフェース部１とし、第１フィルタインタフェース部をＬＡＮフィルタインタフェース部２とし、第２インタフェース部をＷＡＮインタフェース部５とし、第２フィルタインタフェース部をＷＡＮフィルタインタフェース部４とする。
第１インタフェース部（ＬＡＮインタフェース部１）は、ＬＡＮからのパケットを受信して第１フィルタインタフェース部（ＬＡＮフィルタインタフェース部２）に転送する（ステップＳ１）。
第１フィルタインタフェース部（ＬＡＮフィルタインタフェース部２）は、ＬＡＮインタフェース部１からパケットを受け取り、受け取ったパケットについてフィルタ処理部６に必要な情報（送信元アドレス、宛先アドレス）の解析を行う。ＬＡＮフィルタインタフェース部２は、解析の結果、ＬＡＮインタフェース部１からのパケットであることを表す情報をパケットに付加してフィルタ処理部６に出力する（ステップＳ２）。
フィルタ処理部６の不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、ＬＡＮ用テーブル１１を参照して、ＬＡＮフィルタインタフェース部２からのパケットの転送を許可するか否かを判定する（ステップＳ３）。
不特定パケット配送判定部７は、ステップＳ３にてＬＡＮフィルタインタフェース部２からのパケットの転送を許可するか否かを判定した結果、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、不許可情報をＬＡＮ用テーブル１１に登録してＬＡＮフィルタインタフェース部２と不正パケット防止部９とに出力し、警報情報をアラーム表示部８に出力する（ステップＳ３−不許可）。不正パケット防止部９は、ＬＡＮ用テーブル１１を参照して、不許可情報に基づいて、ＬＡＮフィルタインタフェース部２からのパケットを破棄する（ステップＳ４）。その後、本発明の第１実施形態に係るルータは、第１インタフェース部（ＬＡＮインタフェース部１）によりパケットの受信を行う（ステップＳ１を実行する）。
不特定パケット配送判定部７は、ステップＳ３にてＬＡＮフィルタインタフェース部２からのパケットの転送を許可するか否かを判定した結果、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数以下である場合、パケットをＬＡＮフィルタインタフェース部２に返す（ステップＳ３−許可）。ＬＡＮフィルタインタフェース部２は、フィルタ処理部６からのパケットを配送処理部３に転送する。
配送処理部３は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、そのパケットの宛先アドレスに従って、受け取ったパケットを第２フィルタインタフェース部（ＷＡＮフィルタインタフェース部４）に転送する（ステップＳ５）。
第２フィルタインタフェース部（ＷＡＮフィルタインタフェース部４）は、配送処理部３からパケットを受け取り、受け取ったパケットについてフィルタ処理部６に必要な情報（送信元アドレス、宛先アドレス）の解析を行う。ＷＡＮフィルタインタフェース部４は、解析の結果、配送処理部３からのパケットであることを表す情報をパケットに付加してフィルタ処理部６に出力する（ステップＳ６）。
フィルタ処理部６の不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からのパケットを受け取り、ＷＡＮ用テーブル１２を参照して、ＷＡＮフィルタインタフェース部４からのパケットの転送を許可するか否かを判定する（ステップＳ７）。
不特定パケット配送判定部７は、ステップＳ７にてＷＡＮフィルタインタフェース部４からのパケットの転送を許可するか否かを判定した結果、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、不許可情報をＷＡＮ用テーブル１２に登録してＷＡＮフィルタインタフェース部４と不正パケット防止部９とに出力し、警報情報をアラーム表示部８に出力する（ステップＳ７−不許可）。不正パケット防止部９は、ＷＡＮ用テーブル１２を参照して、不許可情報に基づいて、ＷＡＮフィルタインタフェース部４からのパケットを破棄する（ステップＳ９）。その後、本発明の第１実施形態に係るルータは、第１インタフェース部（ＬＡＮインタフェース部１）によりパケットの受信を行う（ステップＳ１を実行する）。
不特定パケット配送判定部７は、ステップＳ７にてＷＡＮフィルタインタフェース部４からのパケットの転送を許可するか否かを判定した結果、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数以下である場合、パケットをＷＡＮフィルタインタフェース部４に返す（ステップＳ７−許可）。ＷＡＮフィルタインタフェース部４は、フィルタ処理部６からのパケットを第２インタフェース部（ＬＡＮインタフェース部５）に転送する。
第２インタフェース部（ＬＡＮインタフェース部５）は、第２フィルタインタフェース部（ＷＡＮフィルタインタフェース部４）からのパケットをＷＡＮに送信する。その後、本発明の第１実施形態に係るルータは、第１インタフェース部（ＬＡＮインタフェース部１）によりパケットの受信を行う（ステップＳ１を実行する）。
本発明のルータによれば、上述のように、単位時間（第１所定時間）において、異なる宛先アドレスと同一の送信元アドレス（異常端末のアドレス）とを有するパケットの数が設定数を超えた場合、パケットを破棄する。このため、異常端末（同一の送信元アドレス）から第１ネットワーク（ＬＡＮ）に送信された多量のパケット（コンピュータウイルス）が第２ネットワーク（ＷＡＮ）上に拡散されることを防止することができる。
図３は、本発明の第１実施形態に係るルータにおけるＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２に登録される情報を示す。ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２には、送信元アドレスと判定情報と、登録数と、登録宛先アドレスと、登録時刻とが対応付けられて登録される。登録時刻は、登録宛先アドレスがＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２に登録されたときの時刻である。
例えば、ＬＡＮフィルタインタフェース部２からのパケットの送信元アドレスがＬＡＮ用テーブル１１に登録されていないものとする。
この場合、前述のステップＳ３にて、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、送信元アドレスをＬＡＮ用テーブル１１に登録する。不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスを登録宛先アドレスとして同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録し、現在の時刻を登録時刻として上記の登録宛先アドレス（登録された宛先アドレス）に対応付けてＬＡＮ用テーブル１１に登録する。また、不特定パケット配送判定部７は、単位時間において、登録宛先アドレスの数を登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数をカウントする。
この場合、前述のステップＳ３にて、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、送信元アドレスをＬＡＮ用テーブル１１に登録する。不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスを登録宛先アドレスとして同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録し、現在の時刻を登録時刻として上記の登録宛先アドレス（登録された宛先アドレス）に対応付けてＬＡＮ用テーブル１１に登録する。また、不特定パケット配送判定部７は、単位時間において、登録宛先アドレスの数を登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数をカウントする。
例えば、ＬＡＮフィルタインタフェース部２からのパケットの送信元アドレスがＬＡＮ用テーブル１１に登録されていて、この送信元アドレスに対応付けられて判定情報（許可情報又は不許可情報）、登録数、登録宛先アドレス、登録時刻が対応付けられてＬＡＮ用テーブル１１に登録されているものとする。
この場合、不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照して、登録時刻から設定単位時間（第２所定時間）が経過したか否かを調べる。設定単位時間（第２所定時間）は、上記の単位時間（第１所定時間）よりも長い。不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照して、登録時刻から設定単位時間が経過したときに、設定単位時間が経過した登録時刻と、設定単位時間が経過した登録時刻に対応する登録宛先アドレスとを消去し、上記消去された登録宛先アドレスに対応する登録数から、上記消去された登録宛先アドレスの数だけ減算する。
前述のステップＳ３にて、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、ＬＡＮ用テーブル１１を参照する。不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスが登録宛先アドレスに一致しない場合、その宛先アドレス（一致しない宛先アドレス）を登録宛先アドレスとして同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録し、現在の時刻を登録時刻として上記の一致しない宛先アドレスに対応付けてＬＡＮ用テーブル１１に登録する。また、不特定パケット配送判定部７は、単位時間において、上記の一致しない宛先アドレスの数を上記の登録数に加算した数を、新たな登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として、同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録する。また、不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスが登録宛先アドレスに一致する場合、その登録宛先アドレスに対応する登録時刻を現在の時刻に更新する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数をカウントする。
この場合、不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照して、登録時刻から設定単位時間（第２所定時間）が経過したか否かを調べる。設定単位時間（第２所定時間）は、上記の単位時間（第１所定時間）よりも長い。不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照して、登録時刻から設定単位時間が経過したときに、設定単位時間が経過した登録時刻と、設定単位時間が経過した登録時刻に対応する登録宛先アドレスとを消去し、上記消去された登録宛先アドレスに対応する登録数から、上記消去された登録宛先アドレスの数だけ減算する。
前述のステップＳ３にて、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、ＬＡＮ用テーブル１１を参照する。不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスが登録宛先アドレスに一致しない場合、その宛先アドレス（一致しない宛先アドレス）を登録宛先アドレスとして同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録し、現在の時刻を登録時刻として上記の一致しない宛先アドレスに対応付けてＬＡＮ用テーブル１１に登録する。また、不特定パケット配送判定部７は、単位時間において、上記の一致しない宛先アドレスの数を上記の登録数に加算した数を、新たな登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として、同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録する。また、不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスが登録宛先アドレスに一致する場合、その登録宛先アドレスに対応する登録時刻を現在の時刻に更新する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数をカウントする。
不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照して、単位時間において、登録数が設定数を超えた場合、不許可情報を同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録してＬＡＮフィルタインタフェース部２と不正パケット防止部９とに出力し、警報情報をアラーム表示部８に出力する。この場合、前述のステップＳ４にて、不正パケット防止部９は、ＬＡＮ用テーブル１１を参照して、同一の送信元アドレスに対応付けられた不許可情報に基づいて、ＬＡＮフィルタインタフェース部２からのパケット（同一の送信元アドレスを含む）を破棄する。
不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照して、単位時間において、登録数が設定数以下である場合、パケットの転送の許可を表す許可情報を同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録し、パケットをＬＡＮフィルタインタフェース部２に返す。この場合、ＬＡＮフィルタインタフェース部２は、フィルタ処理部６からのパケットを配送処理部３に転送する。
不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照して、単位時間において、登録数が設定数以下である場合、パケットの転送の許可を表す許可情報を同一の送信元アドレスに対応付けてＬＡＮ用テーブル１１に登録し、パケットをＬＡＮフィルタインタフェース部２に返す。この場合、ＬＡＮフィルタインタフェース部２は、フィルタ処理部６からのパケットを配送処理部３に転送する。
例えば、ＷＡＮフィルタインタフェース部４からのパケットの送信元アドレスがＷＡＮ用テーブル１２に登録されていないものとする。
この場合、前述のステップＳ７にて、不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からのパケットを受け取り、送信元アドレスをＷＡＮ用テーブル１２に登録する。不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスを登録宛先アドレスとして同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録し、現在の時刻を登録時刻として上記の登録宛先アドレス（登録された宛先アドレス）に対応付けてＷＡＮ用テーブル１２に登録する。また、不特定パケット配送判定部７は、単位時間において、登録宛先アドレスの数を登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数をカウントする。
この場合、前述のステップＳ７にて、不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からのパケットを受け取り、送信元アドレスをＷＡＮ用テーブル１２に登録する。不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスを登録宛先アドレスとして同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録し、現在の時刻を登録時刻として上記の登録宛先アドレス（登録された宛先アドレス）に対応付けてＷＡＮ用テーブル１２に登録する。また、不特定パケット配送判定部７は、単位時間において、登録宛先アドレスの数を登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数をカウントする。
例えば、ＷＡＮフィルタインタフェース部４からのパケットの送信元アドレスがＷＡＮ用テーブル１２に登録されていて、この送信元アドレスに対応付けられて判定情報（許可情報又は不許可情報）、登録数、登録宛先アドレス、登録時刻が対応付けられてＷＡＮ用テーブル１２に登録されているものとする。
この場合、不特定パケット配送判定部７は、ＷＡＮ用テーブル１２を参照して、登録時刻から設定単位時間が経過したか否かを調べる。設定単位時間は、上記の単位時間よりも長い。不特定パケット配送判定部７は、ＷＡＮ用テーブル１２を参照して、登録時刻から設定単位時間が経過したときに、設定単位時間が経過した登録時刻と、設定単位時間が経過した登録時刻に対応する登録宛先アドレスとを消去し、上記消去された登録宛先アドレスに対応する登録数から、上記消去された登録宛先アドレスの数だけ減算する。
前述のステップＳ７にて、不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からのパケットを受け取り、ＷＡＮ用テーブル１２を参照する。不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスが登録宛先アドレスに一致しない場合、その宛先アドレスを登録宛先アドレスとして同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録し、現在の時刻を登録時刻として上記の一致しない宛先アドレスに対応付けてＷＡＮ用テーブル１２に登録する。また、不特定パケット配送判定部７は、単位時間において、上記の一致しない宛先アドレスの数を上記の登録数に加算した数を、新たな登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として、同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録する。また、不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスが登録宛先アドレスに一致する場合、その登録宛先アドレスに対応する登録時刻を現在の時刻に更新する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数をカウントする。
この場合、不特定パケット配送判定部７は、ＷＡＮ用テーブル１２を参照して、登録時刻から設定単位時間が経過したか否かを調べる。設定単位時間は、上記の単位時間よりも長い。不特定パケット配送判定部７は、ＷＡＮ用テーブル１２を参照して、登録時刻から設定単位時間が経過したときに、設定単位時間が経過した登録時刻と、設定単位時間が経過した登録時刻に対応する登録宛先アドレスとを消去し、上記消去された登録宛先アドレスに対応する登録数から、上記消去された登録宛先アドレスの数だけ減算する。
前述のステップＳ７にて、不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からのパケットを受け取り、ＷＡＮ用テーブル１２を参照する。不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスが登録宛先アドレスに一致しない場合、その宛先アドレスを登録宛先アドレスとして同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録し、現在の時刻を登録時刻として上記の一致しない宛先アドレスに対応付けてＷＡＮ用テーブル１２に登録する。また、不特定パケット配送判定部７は、単位時間において、上記の一致しない宛先アドレスの数を上記の登録数に加算した数を、新たな登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として、同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録する。また、不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスが登録宛先アドレスに一致する場合、その登録宛先アドレスに対応する登録時刻を現在の時刻に更新する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数をカウントする。
不特定パケット配送判定部７は、ＷＡＮ用テーブル１２を参照して、単位時間において、登録数が設定数を超えた場合、不許可情報を同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録してＷＡＮフィルタインタフェース部４と不正パケット防止部９とに出力し、警報情報をアラーム表示部８に出力する。この場合、前述のステップＳ８にて、不正パケット防止部９は、ＷＡＮ用テーブル１２を参照して、同一の送信元アドレスに対応付けられた不許可情報に基づいて、ＷＡＮフィルタインタフェース部４からのパケット（同一の送信元アドレスを含む）を破棄する。
不特定パケット配送判定部７は、ＷＡＮ用テーブル１２を参照して、単位時間において、登録数が設定数以下である場合、パケットの転送の許可を表す許可情報を同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録し、パケットをＷＡＮフィルタインタフェース部４に返す。この場合、ＷＡＮフィルタインタフェース部４は、フィルタ処理部６からのＬＡＮインタフェース部５に転送する。
不特定パケット配送判定部７は、ＷＡＮ用テーブル１２を参照して、単位時間において、登録数が設定数以下である場合、パケットの転送の許可を表す許可情報を同一の送信元アドレスに対応付けてＷＡＮ用テーブル１２に登録し、パケットをＷＡＮフィルタインタフェース部４に返す。この場合、ＷＡＮフィルタインタフェース部４は、フィルタ処理部６からのＬＡＮインタフェース部５に転送する。
本発明の第１実施形態に係るルータの不特定パケット配送判定部７の動作（前述のステップＳ３、Ｓ７）として、ＬＡＮ用テーブル１１の参照動作（前述のステップＳ３）について、図４〜図６を用いて説明する。ＷＡＮ用テーブル１２の参照動作（前述のステップＳ７）については、図４〜図６を用いて説明されるＬＡＮ用テーブル１１をＷＡＮ用テーブル１２に置き換え、図４〜図６を用いて説明されるＬＡＮフィルタインタフェース部２をＷＡＮフィルタインタフェース部４に置き換えばよい。
図６は、本発明の第１実施形態に係るルータにおけるＬＡＮ用テーブル１１に登録された情報の一例を示す。図４は、本発明の第１実施形態に係るルータの不特定パケット配送判定部７の単位時間毎の動作を示すフローチャートである。いま、ＬＡＮ用テーブル１１には、送信元アドレス１３と、判定情報１４と、登録数１５と、登録宛先アドレス１６−１〜１６−ｍ（ｍは１以上の整数）と、登録時刻１７−１〜１７−ｍとが対応付けられて登録されているものとする。
不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照する（ステップＳ１１）。不特定パケット配送判定部７は、ＬＡＮ用テーブル１１に登録された全ての登録時刻を参照していない場合（ステップＳ１２−ＮＯ）、ＬＡＮ用テーブル１１に登録された登録時刻１７−ｉ（ｉ＝１、２、…、ｍ）が設定単位時間を経過したか否かを調べる（ステップＳ１３）。ステップＳ１３において、不特定パケット配送判定部７は、現在の時刻から登録時刻までの時間を計算し、計算した時間が設定単位時間を超える場合、登録時刻が設定単位時間を経過したものと判断する。
例えば、登録時刻１７−ｉが登録時刻１７−ｍであり、不特定パケット配送判定部７は、ＬＡＮ用テーブル１１に登録された登録時刻１７−ｍが設定単位時間を経過した場合（ステップＳ１３−ＹＥＳ）、登録時刻１７−ｍと、登録時刻１７−ｍに対応する登録宛先アドレス１６−ｍとを消去し、登録宛先アドレス１６−ｍに対応する登録数１５から“１”をデクリメントする（ステップＳ１５）。その後、不特定パケット配送判定部７は、再度、ＬＡＮ用テーブル１１を参照する（ステップＳ１１を実行する）。
例えば、登録時刻１７−ｉが登録時刻１７−１であり、不特定パケット配送判定部７は、ＬＡＮ用テーブル１１に登録された登録時刻１７−１が設定単位時間を経過していない場合（ステップＳ１３−ＮＯ）、再度、ＬＡＮ用テーブル１１を参照する（ステップＳ１１を実行する）。
不特定パケット配送判定部７は、ＬＡＮ用テーブル１１に登録された全ての登録時刻を参照した場合（ステップＳ１２−ＹＥＳ）、終了する。
例えば、登録時刻１７−ｉが登録時刻１７−ｍであり、不特定パケット配送判定部７は、ＬＡＮ用テーブル１１に登録された登録時刻１７−ｍが設定単位時間を経過した場合（ステップＳ１３−ＹＥＳ）、登録時刻１７−ｍと、登録時刻１７−ｍに対応する登録宛先アドレス１６−ｍとを消去し、登録宛先アドレス１６−ｍに対応する登録数１５から“１”をデクリメントする（ステップＳ１５）。その後、不特定パケット配送判定部７は、再度、ＬＡＮ用テーブル１１を参照する（ステップＳ１１を実行する）。
例えば、登録時刻１７−ｉが登録時刻１７−１であり、不特定パケット配送判定部７は、ＬＡＮ用テーブル１１に登録された登録時刻１７−１が設定単位時間を経過していない場合（ステップＳ１３−ＮＯ）、再度、ＬＡＮ用テーブル１１を参照する（ステップＳ１１を実行する）。
不特定パケット配送判定部７は、ＬＡＮ用テーブル１１に登録された全ての登録時刻を参照した場合（ステップＳ１２−ＹＥＳ）、終了する。
本発明の第１実施形態に係るルータによれば、テーブル（ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２）を用いて同一の送信元アドレスと宛先アドレス（登録宛先アドレス）とを管理する場合、設定単位時間（第２所定時間）が経過した情報（登録宛先アドレス、登録時刻）をテーブル（ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２）から消去することが好ましい。このため、本発明の第１実施形態に係るルータによれば、単位時間（第１所定時間）において異常端末（同一の送信元アドレス）から送信された多量のパケットの通過を防止することができる上に、テーブル（ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２）に登録される記憶容量が従来（例示；特許文献１）よりも低減される。
図５は、本発明の第１実施形態に係るルータの不特定パケット配送判定部７の動作（前述のステップＳ３）を示すフローチャートである。いま、ＬＡＮ用テーブル１１には、送信元アドレス１３と、判定情報１４と、登録数１５と、登録宛先アドレス１６−１〜１６−（ｍ−１）と、登録時刻１７−１〜１７−（ｍ−１）とが対応付けられて登録されているものとする。
不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、パケットの送信元アドレス１３によりＬＡＮ用テーブル１１を参照する（ステップＳ２１）。
不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照した結果、送信元アドレス１３に対応する判定情報１４が不許可情報を表すか否かを調べる（ステップＳ２２）。
不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照した結果、送信元アドレス１３に対応する判定情報１４が不許可情報を表すか否かを調べる（ステップＳ２２）。
送信元アドレス１３に対応する判定情報１４が不許可情報を表す場合（ステップＳ２２−ＹＥＳ）、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットの返信として、不許可情報をＬＡＮフィルタインタフェース部２に出力し（返し）、不許可情報を不正パケット防止部９に出力し、警報情報をアラーム表示部８に出力する（ステップＳ３０）。
送信元アドレス１３に対応する判定情報１４が許可情報を表す場合（ステップＳ２２−ＮＯ）、不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスと一致する登録宛先アドレスが送信元アドレス１３に対応付けてＬＡＮ用テーブル１１に登録されているか否かを調べる（ステップＳ２３）。
単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスが、送信元アドレス１３に対応する登録宛先アドレス１６−１に一致する（ステップＳ２４−ＹＥＳ）。この場合、不特定パケット配送判定部７は、登録宛先アドレス１６−１に対応する登録時刻１７−１を現在の時刻に更新し（ステップＳ３１）、ＬＡＮフィルタインタフェース部２からのパケットの返信として、ＬＡＮフィルタインタフェース部２から受け取ったパケットをＬＡＮフィルタインタフェース部２に返す（ステップＳ３２）。
単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスが、送信元アドレス１３に対応する登録宛先アドレス１６−１〜１６−（ｍ−１）に一致しない（ステップＳ２４−ＮＯ）。この場合、不特定パケット配送判定部７は、上記の一致しない宛先アドレスを登録宛先アドレス１６−ｍとして同一の送信元アドレス１３に対応付けてＬＡＮ用テーブル１１に登録し、現在の時刻を登録時刻１７−ｍとして登録宛先アドレス１６−ｍに対応付けてＬＡＮ用テーブル１１に登録する（ステップＳ２５）。不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照して、単位時間において、登録宛先アドレス１６−ｍに対応する登録数１５に“１”をインクリメントする（ステップＳ２６）。次に、不特定パケット配送判定部７は、ＬＡＮ用テーブル１１を参照して、単位時間において、登録数１５が設定数を超えるか否かを調べる（ステップＳ２７）。
登録数１５が設定数以下である場合（ステップＳ２７−ＮＯ）、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットの返信として、ＬＡＮフィルタインタフェース部２から受け取ったパケットをＬＡＮフィルタインタフェース部２に返す（ステップＳ３２）。
登録数１５が設定数を超えた場合（ステップＳ２７−ＹＥＳ）、不特定パケット配送判定部７は、不許可情報を送信元アドレス１３に対応付けてＬＡＮ用テーブル１１に登録する（ステップＳ２８）。このとき、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットの返信として、不許可情報をＬＡＮフィルタインタフェース部２に出力し（返し）、不許可情報を不正パケット防止部９に出力し、警報情報（送信元アドレス１３を含む）をアラーム表示部８に出力する（ステップＳ２９）。
本発明の第１実施形態に係るルータによれば、単位時間（第１所定時間）において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、不許可情報を同一の送信元アドレス（異常端末のアドレス）に対応付けてテーブル（ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２）に登録する。このため、本発明の第１実施形態に係るルータによれば、異常端末（同一の送信元アドレス）から多量のパケットが再度送信されても、テーブル（ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２）を参照して、異常端末（同一の送信元アドレス）からの多量のパケットの通過を防止することができる。
本発明の第１実施形態に係るルータによれば、テーブル（ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２）に登録される記憶容量を低減するために、同一の送信元アドレスから送信された多量のパケットの宛先アドレスのうちの登録宛先アドレスに一致する宛先アドレスに対応する登録時刻を現在の時刻に更新することが好ましい。また、上述のように、設定単位時間（第２所定時間）が経過した情報（登録宛先アドレス、登録時刻）をテーブル（ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２）から消去することが好ましい。
（第２実施形態）
本発明の第２実施形態に係るルータでは、宛先アドレスに代えて、宛先アドレスによるハッシュ値をテーブル（ＬＡＮ用テーブル、ＷＡＮ用テーブル）に登録する。これにより、テーブル（ＬＡＮ用テーブル、ＷＡＮ用テーブル）に登録される記憶容量が、本発明の第１実施形態に係るルータにおけるテーブル（ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２）の記憶容量よりも低減される。第２実施形態では、前述の第１実施形態と重複する説明を省略する。
本発明の第２実施形態に係るルータでは、宛先アドレスに代えて、宛先アドレスによるハッシュ値をテーブル（ＬＡＮ用テーブル、ＷＡＮ用テーブル）に登録する。これにより、テーブル（ＬＡＮ用テーブル、ＷＡＮ用テーブル）に登録される記憶容量が、本発明の第１実施形態に係るルータにおけるテーブル（ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２）の記憶容量よりも低減される。第２実施形態では、前述の第１実施形態と重複する説明を省略する。
図７は、本発明の第２実施形態に係るルータの構成を示すブロック図である。フィルタ処理部６の記憶部１０には、ＬＡＮ用テーブル２１と、ＷＡＮ用テーブル２２とが格納されている。ＬＡＮ用テーブル２１とＷＡＮ用テーブル２２との詳細は後述する。不特定パケット配送判定部７は、前述のＬＡＮ用テーブル１１に代えて、ＬＡＮ用テーブル２１を参照する。不特定パケット配送判定部７は、前述のＷＡＮ用テーブル１２に代えて、ＷＡＮ用テーブル２２を参照する。
図８は、本発明の第２実施形態に係るルータにおけるＬＡＮ用テーブル２１、ＷＡＮ用テーブル２２に登録される情報を示す。ＬＡＮ用テーブル２１、ＷＡＮ用テーブル２２には、送信元アドレスと判定情報と、ハッシュ登録数と、登録ハッシュ値と、登録時刻とが対応付けられて登録される。登録時刻は、登録ハッシュ値がＬＡＮ用テーブル２１、ＷＡＮ用テーブル２２に登録されたときの時刻である。
例えば、ＬＡＮフィルタインタフェース部２からのパケットの送信元アドレスがＬＡＮ用テーブル２１に登録されていないものとする。
この場合、前述のステップＳ３にて、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、送信元アドレスをＬＡＮ用テーブル２１に登録する。不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値を登録ハッシュ値として同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録し、現在の時刻を登録時刻として上記の登録ハッシュ値（登録されたハッシュ値）に対応付けてＬＡＮ用テーブル２１に登録する。また、不特定パケット配送判定部７は、単位時間において、登録ハッシュ値の数をハッシュ登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレス（ハッシュ値）と同一の送信元アドレスとを有するパケットの数をカウントする。
この場合、前述のステップＳ３にて、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、送信元アドレスをＬＡＮ用テーブル２１に登録する。不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値を登録ハッシュ値として同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録し、現在の時刻を登録時刻として上記の登録ハッシュ値（登録されたハッシュ値）に対応付けてＬＡＮ用テーブル２１に登録する。また、不特定パケット配送判定部７は、単位時間において、登録ハッシュ値の数をハッシュ登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレス（ハッシュ値）と同一の送信元アドレスとを有するパケットの数をカウントする。
例えば、ＬＡＮフィルタインタフェース部２からのパケットの送信元アドレスがＬＡＮ用テーブル２１に登録されていて、この送信元アドレスに対応付けられて判定情報（許可情報又は不許可情報）、登録数、登録宛先アドレス、登録時刻が対応付けられてＬＡＮ用テーブル２１に登録されているものとする。
この場合、不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照して、登録時刻から設定単位時間が経過したか否かを調べる。設定単位時間は、上記の単位時間よりも長い。不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照して、登録時刻から設定単位時間が経過したときに、設定単位時間が経過した登録時刻と、設定単位時間が経過した登録時刻に対応する登録ハッシュ値とを消去し、上記消去された登録ハッシュ値に対応する登録数から、上記消去された登録ハッシュ値の数だけ減算する。
前述のステップＳ３にて、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、ＬＡＮ用テーブル２１を参照する。不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値が登録ハッシュ値に一致しない場合、そのハッシュ値（一致しないハッシュ値）を登録ハッシュ値として同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録し、現在の時刻を登録時刻として上記の一致しないハッシュ値に対応付けてＬＡＮ用テーブル２１に登録する。また、不特定パケット配送判定部７は、単位時間において、上記の一致しないハッシュ値の数を上記のハッシュ登録数に加算した数を、新たなハッシュ登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として、同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録する。また、不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値が登録ハッシュ値に一致する場合、その登録ハッシュ値に対応する登録時刻を現在の時刻に更新する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレス（ハッシュ値）と同一の送信元アドレスとを有するパケットの数をカウントする。
この場合、不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照して、登録時刻から設定単位時間が経過したか否かを調べる。設定単位時間は、上記の単位時間よりも長い。不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照して、登録時刻から設定単位時間が経過したときに、設定単位時間が経過した登録時刻と、設定単位時間が経過した登録時刻に対応する登録ハッシュ値とを消去し、上記消去された登録ハッシュ値に対応する登録数から、上記消去された登録ハッシュ値の数だけ減算する。
前述のステップＳ３にて、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、ＬＡＮ用テーブル２１を参照する。不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値が登録ハッシュ値に一致しない場合、そのハッシュ値（一致しないハッシュ値）を登録ハッシュ値として同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録し、現在の時刻を登録時刻として上記の一致しないハッシュ値に対応付けてＬＡＮ用テーブル２１に登録する。また、不特定パケット配送判定部７は、単位時間において、上記の一致しないハッシュ値の数を上記のハッシュ登録数に加算した数を、新たなハッシュ登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として、同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録する。また、不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値が登録ハッシュ値に一致する場合、その登録ハッシュ値に対応する登録時刻を現在の時刻に更新する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレス（ハッシュ値）と同一の送信元アドレスとを有するパケットの数をカウントする。
不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照して、単位時間において、ハッシュ登録数が設定数を超えた場合、不許可情報を同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録してＬＡＮフィルタインタフェース部２と不正パケット防止部９とに出力し、警報情報をアラーム表示部８に出力する。この場合、前述のステップＳ４にて、不正パケット防止部９は、ＬＡＮ用テーブル２１を参照して、同一の送信元アドレスに対応付けられた不許可情報に基づいて、ＬＡＮフィルタインタフェース部２からのパケット（同一の送信元アドレスを含む）を破棄する。
不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照して、単位時間において、ハッシュ登録数が設定数以下である場合、パケットの転送の許可を表す許可情報を同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録し、パケットをＬＡＮフィルタインタフェース部２に返す。この場合、ＬＡＮフィルタインタフェース部２は、フィルタ処理部６からのパケットを配送処理部３に転送する。
不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照して、単位時間において、ハッシュ登録数が設定数以下である場合、パケットの転送の許可を表す許可情報を同一の送信元アドレスに対応付けてＬＡＮ用テーブル２１に登録し、パケットをＬＡＮフィルタインタフェース部２に返す。この場合、ＬＡＮフィルタインタフェース部２は、フィルタ処理部６からのパケットを配送処理部３に転送する。
例えば、ＷＡＮフィルタインタフェース部４からのパケットの送信元アドレスがＷＡＮ用テーブル２２に登録されていないものとする。
この場合、前述のステップＳ７にて、不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からのパケットを受け取り、送信元アドレスをＷＡＮ用テーブル２２に登録する。不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値を登録ハッシュ値として同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録し、現在の時刻を登録時刻として上記の登録ハッシュ値（登録されたハッシュ値）に対応付けてＷＡＮ用テーブル２２に登録する。また、不特定パケット配送判定部７は、単位時間において、登録ハッシュ値の数をハッシュ登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレス（ハッシュ値）と同一の送信元アドレスとを有するパケットの数をカウントする。
この場合、前述のステップＳ７にて、不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からのパケットを受け取り、送信元アドレスをＷＡＮ用テーブル２２に登録する。不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値を登録ハッシュ値として同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録し、現在の時刻を登録時刻として上記の登録ハッシュ値（登録されたハッシュ値）に対応付けてＷＡＮ用テーブル２２に登録する。また、不特定パケット配送判定部７は、単位時間において、登録ハッシュ値の数をハッシュ登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレス（ハッシュ値）と同一の送信元アドレスとを有するパケットの数をカウントする。
例えば、ＷＡＮフィルタインタフェース部４からのパケットの送信元アドレスがＷＡＮ用テーブル２２に登録されていて、この送信元アドレスに対応付けられて判定情報（許可情報又は不許可情報）、登録数、登録宛先アドレス、登録時刻が対応付けられてＷＡＮ用テーブル２２に登録されているものとする。
この場合、不特定パケット配送判定部７は、ＷＡＮ用テーブル２２を参照して、登録時刻から設定単位時間が経過したか否かを調べる。設定単位時間は、上記の単位時間よりも長い。不特定パケット配送判定部７は、ＷＡＮ用テーブル２２を参照して、登録時刻から設定単位時間が経過したときに、設定単位時間が経過した登録時刻と、設定単位時間が経過した登録時刻に対応する登録ハッシュ値とを消去し、上記消去された登録ハッシュ値に対応する登録数から、上記消去された登録ハッシュ値の数だけ減算する。
前述のステップＳ７にて、不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からのパケットを受け取り、ＷＡＮ用テーブル２２を参照する。不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値が登録ハッシュ値に一致しない場合、そのハッシュ値（一致しないハッシュ値）を登録ハッシュ値として同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録し、現在の時刻を登録時刻として上記の一致しないハッシュ値に対応付けてＷＡＮ用テーブル２２に登録する。また、不特定パケット配送判定部７は、単位時間において、上記の一致しないハッシュ値の数を上記のハッシュ登録数に加算した数を、新たなハッシュ登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として、同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録する。また、不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値が登録ハッシュ値に一致する場合、その登録ハッシュ値に対応する登録時刻を現在の時刻に更新する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレス（ハッシュ値）と同一の送信元アドレスとを有するパケットの数をカウントする。
この場合、不特定パケット配送判定部７は、ＷＡＮ用テーブル２２を参照して、登録時刻から設定単位時間が経過したか否かを調べる。設定単位時間は、上記の単位時間よりも長い。不特定パケット配送判定部７は、ＷＡＮ用テーブル２２を参照して、登録時刻から設定単位時間が経過したときに、設定単位時間が経過した登録時刻と、設定単位時間が経過した登録時刻に対応する登録ハッシュ値とを消去し、上記消去された登録ハッシュ値に対応する登録数から、上記消去された登録ハッシュ値の数だけ減算する。
前述のステップＳ７にて、不特定パケット配送判定部７は、ＷＡＮフィルタインタフェース部４からのパケットを受け取り、ＷＡＮ用テーブル２２を参照する。不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値が登録ハッシュ値に一致しない場合、そのハッシュ値（一致しないハッシュ値）を登録ハッシュ値として同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録し、現在の時刻を登録時刻として上記の一致しないハッシュ値に対応付けてＷＡＮ用テーブル２２に登録する。また、不特定パケット配送判定部７は、単位時間において、上記の一致しないハッシュ値の数を上記のハッシュ登録数に加算した数を、新たなハッシュ登録数（即ち、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数）として、同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録する。また、不特定パケット配送判定部７は、単位時間において、ＷＡＮフィルタインタフェース部４からのパケットの宛先アドレスに基づいてハッシュ値を算出し、算出されたハッシュ値が登録ハッシュ値に一致する場合、その登録ハッシュ値に対応する登録時刻を現在の時刻に更新する。
このように、不特定パケット配送判定部７は、単位時間において、異なる宛先アドレス（ハッシュ値）と同一の送信元アドレスとを有するパケットの数をカウントする。
不特定パケット配送判定部７は、ＷＡＮ用テーブル２２を参照して、単位時間において、ハッシュ登録数が設定数を超えた場合、不許可情報を同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録してＷＡＮフィルタインタフェース部４と不正パケット防止部９とに出力し、警報情報をアラーム表示部８に出力する。この場合、前述のステップＳ８にて、不正パケット防止部９は、ＷＡＮ用テーブル２２を参照して、同一の送信元アドレスに対応付けられた不許可情報に基づいて、ＷＡＮフィルタインタフェース部４からのパケット（同一の送信元アドレスを含む）を破棄する。
不特定パケット配送判定部７は、ＷＡＮ用テーブル２２を参照して、単位時間において、ハッシュ登録数が設定数以下である場合、パケットの転送の許可を表す許可情報を同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録し、パケットをＷＡＮフィルタインタフェース部４に返す。この場合、ＷＡＮフィルタインタフェース部４は、フィルタ処理部６からのＬＡＮインタフェース部５に転送する。
不特定パケット配送判定部７は、ＷＡＮ用テーブル２２を参照して、単位時間において、ハッシュ登録数が設定数以下である場合、パケットの転送の許可を表す許可情報を同一の送信元アドレスに対応付けてＷＡＮ用テーブル２２に登録し、パケットをＷＡＮフィルタインタフェース部４に返す。この場合、ＷＡＮフィルタインタフェース部４は、フィルタ処理部６からのＬＡＮインタフェース部５に転送する。
本発明の第２実施形態に係るルータの不特定パケット配送判定部７の動作（前述のステップＳ３、Ｓ７）として、ＬＡＮ用テーブル２１の参照動作（前述のステップＳ３）について、図９〜図１１を用いて説明する。不特定パケット配送判定部７の動作（前述のステップＳ３、Ｓ７）として、ＷＡＮ用テーブル２２の参照動作（前述のステップＳ７）については、図９〜図１１を用いて説明されるＬＡＮ用テーブル２１をＷＡＮ用テーブル２２に置き換え、図９〜図１１を用いて説明されるＬＡＮフィルタインタフェース部２をＷＡＮフィルタインタフェース部４に置き換えばよい。
図１１は、本発明の第２実施形態に係るルータにおけるＬＡＮ用テーブル２１に登録された情報の一例を示す。図９は、本発明の第２実施形態に係るルータの不特定パケット配送判定部７の単位時間毎の動作を示すフローチャートである。いま、ＬＡＮ用テーブル２１には、送信元アドレス２３と、判定情報２４と、ハッシュ登録数２５と、登録ハッシュ値２６−１〜２６−ｎ（ｎは１以上の整数）と、登録時刻２７−１〜２７−ｎとが対応付けられて登録されているものとする。ｎは、前述のｍと同じでもよいし異なっていてもよい。
不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照する（ステップＳ４１）。不特定パケット配送判定部７は、ＬＡＮ用テーブル２１に登録された全ての登録時刻を参照していない場合（ステップＳ４２−ＮＯ）、ＬＡＮ用テーブル２１に登録された登録時刻が設定単位時間を経過したか否かを調べる（ステップＳ４３）。ステップＳ４３において、不特定パケット配送判定部７は、現在の時刻から登録時刻までの時間を計算し、計算した時間が設定単位時間を超える場合、登録時刻が設定単位時間を経過したものと判断する。
例えば、登録時刻２７−ｉが登録時刻２７−ｎであり、不特定パケット配送判定部７は、ＬＡＮ用テーブル２１に登録された登録時刻２７−ｎが設定単位時間を経過した場合（ステップＳ４３−ＹＥＳ）、登録時刻２７−ｎと、登録時刻２７−ｎに対応する登録ハッシュ値２６−ｎとを消去し（ステップＳ４４）、登録ハッシュ値２６−ｎに対応するハッシュ登録数２５から“１”をデクリメントする（ステップＳ４５）。その後、不特定パケット配送判定部７は、再度、ＬＡＮ用テーブル２１を参照する（ステップＳ４１を実行する）。
例えば、登録時刻２７−ｉが登録時刻２７−１であり、不特定パケット配送判定部７は、ＬＡＮ用テーブル２１に登録された登録時刻２７−１が設定単位時間を経過していない場合（ステップＳ４３−ＮＯ）、再度、ＬＡＮ用テーブル２１を参照する（ステップＳ４１を実行する）。
不特定パケット配送判定部７は、ＬＡＮ用テーブル２１に登録された全ての登録時刻を参照した場合（ステップＳ４２−ＹＥＳ）、終了する。
例えば、登録時刻２７−ｉが登録時刻２７−ｎであり、不特定パケット配送判定部７は、ＬＡＮ用テーブル２１に登録された登録時刻２７−ｎが設定単位時間を経過した場合（ステップＳ４３−ＹＥＳ）、登録時刻２７−ｎと、登録時刻２７−ｎに対応する登録ハッシュ値２６−ｎとを消去し（ステップＳ４４）、登録ハッシュ値２６−ｎに対応するハッシュ登録数２５から“１”をデクリメントする（ステップＳ４５）。その後、不特定パケット配送判定部７は、再度、ＬＡＮ用テーブル２１を参照する（ステップＳ４１を実行する）。
例えば、登録時刻２７−ｉが登録時刻２７−１であり、不特定パケット配送判定部７は、ＬＡＮ用テーブル２１に登録された登録時刻２７−１が設定単位時間を経過していない場合（ステップＳ４３−ＮＯ）、再度、ＬＡＮ用テーブル２１を参照する（ステップＳ４１を実行する）。
不特定パケット配送判定部７は、ＬＡＮ用テーブル２１に登録された全ての登録時刻を参照した場合（ステップＳ４２−ＹＥＳ）、終了する。
本発明の第２実施形態に係るルータによれば、テーブル（ＬＡＮ用テーブル２１、ＷＡＮ用テーブル２２）を用いて同一の送信元アドレスとハッシュ値（登録ハッシュ値）とを管理する場合、設定単位時間（第２所定時間）が経過した情報（登録ハッシュ値、登録時刻）をテーブル（ＬＡＮ用テーブル２１、ＷＡＮ用テーブル２２）から消去することが好ましい。このため、本発明の第２実施形態に係るルータによれば、単位時間（第１所定時間）において異常端末（同一の送信元アドレス）から送信された多量のパケットの通過を防止することができる上に、テーブル（ＬＡＮ用テーブル２１、ＷＡＮ用テーブル２２）に登録される記憶容量が、本発明の第１実施形態に係るルータにおけるテーブル（ＬＡＮ用テーブル１１、ＷＡＮ用テーブル１２）の記憶容量よりも低減される。
図１０は、本発明の第２実施形態に係るルータの不特定パケット配送判定部７の動作（前述のステップＳ３）を示すフローチャートである。いま、ＬＡＮ用テーブル２１には、送信元アドレス２３と、判定情報２４と、ハッシュ登録数２５と、登録ハッシュ値２６−１〜２６−（ｎ−１）と、登録時刻２７−１〜２７−（ｎ−１）とが対応付けられて登録されているものとする。
不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットを受け取り、パケットの送信元アドレス２３によりＬＡＮ用テーブル２１を参照する（ステップＳ５１）。
不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照した結果、送信元アドレス２３に対応する判定情報２４が不許可情報を表すか否かを調べる（ステップＳ５２）。
不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照した結果、送信元アドレス２３に対応する判定情報２４が不許可情報を表すか否かを調べる（ステップＳ５２）。
送信元アドレス１３に対応する判定情報２４が不許可情報を表す場合（ステップＳ５２−ＹＥＳ）、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットの返信として、不許可情報をＬＡＮフィルタインタフェース部２に出力し（返し）、不許可情報を不正パケット防止部９に出力し、警報情報をアラーム表示部８に出力する（ステップＳ６１）。
送信元アドレス２３に対応する判定情報２４が許可情報を表す場合（ステップＳ５２−ＮＯ）、不特定パケット配送判定部７は、単位時間において、ＬＡＮフィルタインタフェース部２からのパケットの宛先アドレスからハッシュ値を算出（生成）する（ステップＳ５３）。不特定パケット配送判定部７は、単位時間において、算出されたハッシュ値と一致する登録ハッシュ値が送信元アドレス２３に対応付けてＬＡＮ用テーブル２１に登録されているか否かを調べる（ステップＳ５４）。
単位時間において、算出されたハッシュ値が、送信元アドレス２３に対応する登録ハッシュ値２６−１に一致する（ステップＳ５５−ＹＥＳ）。この場合、不特定パケット配送判定部７は、登録ハッシュ値２６−１に対応する登録時刻２７−１を現在の時刻に更新し（ステップＳ６２）、ＬＡＮフィルタインタフェース部２からのパケットの返信として、ＬＡＮフィルタインタフェース部２から受け取ったパケットをＬＡＮフィルタインタフェース部２に返す（ステップＳ６３）。
単位時間において、算出されたハッシュ値が、送信元アドレス２３に対応する登録ハッシュ値２６−１〜２６−（ｎ−１）に一致しない（ステップＳ５５−ＮＯ）。この場合、不特定パケット配送判定部７は、上記の一致しないハッシュ値を登録ハッシュ値２６−ｎとして同一の送信元アドレス２３に対応付けてＬＡＮ用テーブル２１に登録し、現在の時刻を登録時刻２７−ｎとして登録ハッシュ値２６−ｎに対応付けてＬＡＮ用テーブル２１に登録する（ステップＳ５６）。不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照して、単位時間において、登録ハッシュ値２６−ｎに対応するハッシュ登録数２５に“１”をインクリメントする（ステップＳ５７）。次に、不特定パケット配送判定部７は、ＬＡＮ用テーブル２１を参照して、単位時間において、ハッシュ登録数２５が設定数を超えるか否かを調べる（ステップＳ５８）。
ハッシュ登録数２５が設定数以下である場合（ステップＳ５８−ＮＯ）、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットの返信として、ＬＡＮフィルタインタフェース部２から受け取ったパケットをＬＡＮフィルタインタフェース部２に返す（ステップＳ６３）。
ハッシュ登録数２５が設定数を超えた場合（ステップＳ５８−ＹＥＳ）、不特定パケット配送判定部７は、不許可情報を送信元アドレス２３に対応付けてＬＡＮ用テーブル２１に登録する（ステップＳ５９）。このとき、不特定パケット配送判定部７は、ＬＡＮフィルタインタフェース部２からのパケットの返信として、不許可情報をＬＡＮフィルタインタフェース部２に出力し（返し）、不許可情報を不正パケット防止部９に出力し、警報情報（送信元アドレス１３を含む）をアラーム表示部８に出力する（ステップＳ６０）。
本発明の第２実施形態に係るルータによれば、単位時間（第１所定時間）において、異なる宛先アドレスと同一の送信元アドレスとを有するパケットの数が設定数を超えた場合、不許可情報を同一の送信元アドレス（異常端末のアドレス）に対応付けてテーブル（ＬＡＮ用テーブル２１、ＷＡＮ用テーブル２２）に登録する。このため、本発明の第２実施形態に係るルータによれば、異常端末（同一の送信元アドレス）から多量のパケットが再度送信されても、テーブル（ＬＡＮ用テーブル２１、ＷＡＮ用テーブル２２）を参照して、異常端末（同一の送信元アドレス）からの多量のパケットの通過を防止することができる。
本発明の第２実施形態に係るルータによれば、テーブル（ＬＡＮ用テーブル２１、ＷＡＮ用テーブル２２）に登録される記憶容量を低減するために、同一の送信元アドレスから送信された多量のパケットの宛先アドレスに基づいて計算されたハッシュ値のうちの登録ハッシュ値に一致するハッシュ値に対応する登録時刻を現在の時刻に更新することが好ましい。また、上述のように、設定単位時間（第２所定時間）が経過した情報（登録ハッシュ値、登録時刻）をテーブル（ＬＡＮ用テーブル２１、ＷＡＮ用テーブル２２）から消去することが好ましい。
１ ＬＡＮインタフェース部
２ ＬＡＮフィルタインタフェース部
３ 配送処理部
４ ＷＡＮフィルタインタフェース部
５ ＷＡＮインタフェース部
６ フィルタ処理部
７ 不特定パケット配送判定部
８ アラーム表示部
９ 不正パケット防止部
１０ 記憶部
１１ ＬＡＮテーブル
１２ ＷＡＮテーブル
１３ 送信元アドレス
１４ 判定情報
１５ 登録数
１６−１〜１６−ｍ 登録宛先アドレス
１７−１〜１７−ｍ 登録時刻
２１ ＬＡＮテーブル
２２ ＷＡＮテーブル
２３ 送信元アドレス
２４ 判定情報
２５ ハッシュ登録数
２６−１〜２６−ｎ 登録ハッシュ値
２７−１〜２７−ｎ 登録時刻
２ ＬＡＮフィルタインタフェース部
３ 配送処理部
４ ＷＡＮフィルタインタフェース部
５ ＷＡＮインタフェース部
６ フィルタ処理部
７ 不特定パケット配送判定部
８ アラーム表示部
９ 不正パケット防止部
１０ 記憶部
１１ ＬＡＮテーブル
１２ ＷＡＮテーブル
１３ 送信元アドレス
１４ 判定情報
１５ 登録数
１６−１〜１６−ｍ 登録宛先アドレス
１７−１〜１７−ｍ 登録時刻
２１ ＬＡＮテーブル
２２ ＷＡＮテーブル
２３ 送信元アドレス
２４ 判定情報
２５ ハッシュ登録数
２６−１〜２６−ｎ 登録ハッシュ値
２７−１〜２７−ｎ 登録時刻
Claims (8)
- 第１ネットワークからのパケットを受信する第１インタフェース部と、
前記パケットの転送の可否を判定するフィルタ処理部と、
前記パケットの転送が許可されたとき、前記パケットを第２ネットワークに送信する第２インタフェース部と
を具備し、
前記パケットは、送信元アドレスと宛先アドレスとを含み、
前記フィルタ処理部は、
テーブルと、
前記同一の送信元アドレスを前記テーブルに登録する不特定パケット配送判定部と、
不正パケット防止部と
を具備し、
前記不特定パケット配送判定部は、第１所定時間において、異なる宛先アドレスと同一の送信元アドレスとを有する前記パケットの数としてパケット数が設定数以下である場合、前記パケットの転送を許可し、前記パケット数が前記設定数を超えた場合、前記パケットの転送の拒否を表す不許可情報を前記同一の送信元アドレスに対応付けて前記テーブルに登録し、
前記不正パケット防止部は、前記テーブルを参照して、前記不許可情報に基づいて前記パケットを破棄し、
前記テーブルには、前記同一の送信元アドレスに対応付けられて、更に、登録数と登録宛先アドレスと登録時刻とが登録され、前記登録時刻は、前記登録宛先アドレスが前記テーブルに登録されたときの時刻であり、
前記不特定パケット配送判定部は、前記テーブルを参照して、前記登録時刻から第２所定時間が経過したときに、前記第２所定時間が経過した前記登録時刻と、前記第２所定時間が経過した前記登録時刻に対応する前記登録宛先アドレスとを消去し、前記消去された登録宛先アドレスに対応する前記登録数から、前記消去された登録宛先アドレスの数だけ減算し、
前記第２所定時間は、前記第１所定時間よりも長く、
前記不特定パケット配送判定部は、前記第１所定時間において、前記異なる宛先アドレスのうち、前記登録宛先アドレスに一致しない宛先アドレスを前記同一の送信元アドレスに対応付けて前記テーブルに登録し、現在の時刻を前記登録時刻として前記一致しない宛先アドレスに対応付けて前記テーブルに登録し、前記一致しない宛先アドレスの数を前記登録数に加算して前記パケット数として前記同一の送信元アドレスに対応付けて前記テーブルに登録する
ルータ。 - 請求項１に記載のルータにおいて、
前記不特定パケット配送判定部は、前記テーブルを参照して、前記第１所定時間において、前記異なる宛先アドレスのうちの前記登録宛先アドレスに一致する宛先アドレスに対応する前記登録時刻を前記現在の時刻に更新する
ルータ。 - 第１ネットワークからのパケットを受信する第１インタフェース部と、
前記パケットの転送の可否を判定するフィルタ処理部と、
前記パケットの転送が許可されたとき、前記パケットを第２ネットワークに送信する第２インタフェース部と
を具備し、
前記パケットは、送信元アドレスと宛先アドレスとを含み、
前記フィルタ処理部は、
テーブルと、
前記同一の送信元アドレスを前記テーブルに登録する不特定パケット配送判定部と、
不正パケット防止部と
を具備し、
前記不特定パケット配送判定部は、第１所定時間において、異なる宛先アドレスと同一の送信元アドレスとを有する前記パケットの数としてパケット数が設定数以下である場合、前記パケットの転送を許可し、前記パケット数が前記設定数を超えた場合、前記パケットの転送の拒否を表す不許可情報を前記同一の送信元アドレスに対応付けて前記テーブルに登録し、
前記不正パケット防止部は、前記テーブルを参照して、前記不許可情報に基づいて前記パケットを破棄し、
前記テーブルには、前記同一の送信元アドレスに対応付けられて、更に、ハッシュ登録数と登録ハッシュ値と登録時刻とが登録され、前記登録時刻は、前記登録ハッシュ値が前記テーブルに登録されたときの時刻であり、
前記不特定パケット配送判定部は、前記テーブルを参照して、前記登録時刻から第２所定時間が経過したときに、前記第２所定時間が経過した前記登録時刻と、前記第２所定時間が経過した前記登録時刻に対応する前記登録ハッシュ値とを消去し、前記消去された登録ハッシュ値に対応する前記ハッシュ登録数から、前記消去された登録ハッシュ値の数だけ減算し、
前記第２所定時間は、前記第１所定時間よりも長く、
前記不特定パケット配送判定部は、前記第１所定時間において、前記異なる宛先アドレスに基づいてハッシュ値を算出し、前記算出されたハッシュ値のうち、前記登録ハッシュ値に一致しないハッシュ値を前記同一の送信元アドレスに対応付けて前記テーブルに登録し、現在の時刻を前記登録時刻として前記一致しないハッシュ値に対応付けて前記テーブルに登録し、前記一致しないハッシュ値の数を前記ハッシュ登録数に加算して前記パケット数として前記同一の送信元アドレスに対応付けて前記テーブルに登録する
ルータ。 - 請求項３に記載のルータにおいて、
前記不特定パケット配送判定部は、前記テーブルを参照して、前記第１所定時間において、前記算出されたハッシュ値のうちの前記登録ハッシュ値に一致するハッシュ値に対応する前記登録時刻を前記現在の時刻に更新する
ルータ。 - 請求項１〜４のいずれか一項に記載のルータにおいて、
更に、
管理者に利用される警報器を具備し、
前記不特定パケット配送判定部は、前記テーブルを参照して、前記第１所定時間において、前記パケット数が前記設定数を超えた場合、前記不許可情報を前記同一の送信元アドレスに対応付けて前記テーブルに登録すると共に、前記パケットの転送が拒否された旨を表す警報情報を前記警報器に出力し、
前記警報情報は、前記同一の送信元アドレスを含み、
前記警報器は、前記警報情報に基づいて、前記パケットの転送が拒否された旨を前記管理者に通知する
ルータ。 - 請求項５に記載のルータにおいて、
前記警報器は、前記警報情報を表示する表示部を含む
ルータ。 - 請求項１〜６のいずれか一項に記載のルータにおいて、
前記第１ネットワークと前記第１インタフェース部は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に適用され、
前記第２ネットワークと前記第２インタフェース部は、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）に適用される
ルータ。 - 請求項１〜６のいずれか一項に記載のルータにおいて、
前記第１ネットワークと前記第１インタフェース部は、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）に適用され、
前記第２ネットワークと前記第２インタフェース部は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に適用される
ルータ。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004001363A JP4063771B2 (ja) | 2004-01-06 | 2004-01-06 | ルータ |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004001363A JP4063771B2 (ja) | 2004-01-06 | 2004-01-06 | ルータ |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2005197959A JP2005197959A (ja) | 2005-07-21 |
| JP4063771B2 true JP4063771B2 (ja) | 2008-03-19 |
Family
ID=34816898
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2004001363A Expired - Lifetime JP4063771B2 (ja) | 2004-01-06 | 2004-01-06 | ルータ |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4063771B2 (ja) |
Families Citing this family (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012178792A (ja) * | 2011-02-28 | 2012-09-13 | Nec Access Technica Ltd | ルータ装置、ノード管理方法およびノード管理プログラム |
| JP6949466B2 (ja) * | 2016-08-24 | 2021-10-13 | Ｎｅｃプラットフォームズ株式会社 | 中継装置、通信システム、中継方法、及び中継用プログラム |
| JP7277168B2 (ja) * | 2019-02-20 | 2023-05-18 | キヤノン株式会社 | リソースサービスシステム、及び、制御方法 |
| CN111935108B (zh) * | 2020-07-24 | 2023-02-28 | 杭州安恒信息技术股份有限公司 | 云数据安全访问控制方法、装置、电子装置及存储介质 |
Family Cites Families (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001057554A (ja) * | 1999-08-17 | 2001-02-27 | Yoshimi Baba | クラッカー監視システム |
| TW453072B (en) * | 1999-08-18 | 2001-09-01 | Alma Baba Technical Res Lab Co | System for montoring network for cracker attacic |
| JP2002124996A (ja) * | 2000-10-13 | 2002-04-26 | Yoshimi Baba | 高速パケット取得エンジン・セキュリティ |
| JP3760919B2 (ja) * | 2003-02-28 | 2006-03-29 | 日本電気株式会社 | 不正アクセス防止方法、装置、プログラム |
-
2004
- 2004-01-06 JP JP2004001363A patent/JP4063771B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2005197959A (ja) | 2005-07-21 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| AU2021209277B2 (en) | Efficient packet capture for cyber threat analysis | |
| US7401145B2 (en) | In-line mode network intrusion detect and prevent system and method thereof | |
| US7904942B2 (en) | Method of updating intrusion detection rules through link data packet | |
| US20070022468A1 (en) | Packet transmission equipment and packet transmission system | |
| JP4774307B2 (ja) | 不正アクセス監視装置及びパケット中継装置 | |
| JPWO2005036831A1 (ja) | フレーム中継装置 | |
| US10193890B2 (en) | Communication apparatus to manage whitelist information | |
| US7684339B2 (en) | Communication control system | |
| US20050180421A1 (en) | Source address-fabricated packet detection unit, source address-fabricated packet detection method, and source address-fabricated packet detection program | |
| CN109005175A (zh) | 网络防护方法、装置、服务器及存储介质 | |
| CN112583850B (zh) | 网络攻击防护方法、装置及系统 | |
| JP2008054204A (ja) | 接続装置及び端末装置及びデータ確認プログラム | |
| JP4063771B2 (ja) | ルータ | |
| JP2003099339A (ja) | 侵入検知・防御装置及びプログラム | |
| JP5153779B2 (ja) | １つまたは複数のパケット・ネットワーク内で望まれないトラフィックの告発をオーバーライドする方法および装置 | |
| JP2013134711A (ja) | 医療クラウドシステム | |
| KR101088867B1 (ko) | 네트워크 스위치 및 그 네트워크 스위치의 보안공지방법 | |
| JP4014599B2 (ja) | 送信元アドレス偽装パケット検出装置、送信元アドレス偽装パケット検出方法、送信元アドレス偽装パケット検出プログラム | |
| US8646081B1 (en) | Method and system to detect a security event in a packet flow and block the packet flow at an egress point in a communication network | |
| JP2007336220A (ja) | パケット制御装置、パケット制御方法およびパケット制御プログラム | |
| Cisco | Configuring IP Permit List | |
| Cisco | Configuring IP Permit List | |
| JP2003283555A (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム | |
| JP2007142841A (ja) | 攻撃パケット迂回システム、方法、およびトンネル機能付きルータ | |
| JP2007228449A (ja) | パケット中継装置、パケット中継方法及びパケット中継プログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070910 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071108 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20071129 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20071225 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 Ref document number: 4063771 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110111 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110111 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120111 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130111 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130111 Year of fee payment: 5 |
|
| S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313111 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |