JP4354201B2 - 不正アクセス対処システム、及び不正アクセス対処処理プログラム - Google Patents
不正アクセス対処システム、及び不正アクセス対処処理プログラム Download PDFInfo
- Publication number
- JP4354201B2 JP4354201B2 JP2003074546A JP2003074546A JP4354201B2 JP 4354201 B2 JP4354201 B2 JP 4354201B2 JP 2003074546 A JP2003074546 A JP 2003074546A JP 2003074546 A JP2003074546 A JP 2003074546A JP 4354201 B2 JP4354201 B2 JP 4354201B2
- Authority
- JP
- Japan
- Prior art keywords
- unauthorized access
- communication network
- countermeasure
- notification
- network
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1458—Denial of Service
Description
【０００１】
【発明の属する技術分野】
本発明は、通信ネットワークにおける不正アクセス対策技術に関し、特に、例えばインターネットサービスプロバイダ（ＩＳＰ）が顧客に提供する不正アクセス対策サービスの実施技術に関するものであり、とりわけ、分散型サービス不能化攻撃に代表される不正アクセス攻撃に対して効果的な対策実施技術に関するものである。
【０００２】
【従来の技術】
サービス不能化攻撃（ＤｏＳ：Denial of Services）とは、故意にシステムリソース許容限度を越えた処理要求を送出することにより、システムを停止または不能化させる攻撃で、正当な処理要求と不当な処理要求との区別が難しいという特徴がある。その内特に攻撃元がネットワーク上に多数分散している形態の攻撃を分散型サービス不能化攻撃（ＤＤｏＳ：Distributed Denial of Services、以下「ＤＤｏＳ攻撃」と称する）という。このＤＤｏＳ攻撃については非特許文献１に詳説されている。
【０００３】
ＤＤｏＳ攻撃に対する従来の対処技術を分類すると下記の２つの手法に大別することができ、その各々の手法について各対処技術を更に細分化することができる。
【０００４】
Ｉ．現状のネットワークで使用されている構成要素を置き換える手法
（１）ＩＰパケットを拡張して行われる対処技術
これは、ＩＰパケットにその往復の経路情報を追加すると共に、ルータ（Router）やファイヤウォール（Firewall）を現状のものからこの拡張されたＩＰパケットを理解できるものに置き換えることにより、攻撃元の探索や要求処理の送信元毎の均等化を可能とする技術である。
【０００５】
（２）ＩＰパケットの拡張は行わない対処技術
この技術に含まれるものとして、例えば特許文献１で開示されている技術は、境界ルータ（Edge Router ）において増殖させて各ルータへ送付するパケットフィルタリングプログラムを受信したルータでそのプログラムを実行して攻撃元からのトラフィックを遮断するというものであり、現状のネットワークで使用されているものに代えてこのプログラムを受信・実行可能なルータが用いられる。
【０００６】
II．現状のネットワークで用いられている構成要素をそのまま使用する手法
この手法について図１５を参照しながら説明する。
図１５に示したネットワーク構成例において、顧客サイト１０００はＷｅｂシステム１００１を運用しており、更に、Ｗｅｂシステム１００１への不正侵入を防護するためのファイヤウォール１００２を設置している。
【０００７】
Ｗｅｂシステム１００１はファイヤウォール１００２を介して境界ルータ２００１に接続されている。境界ルータ２００１はインターネットサービスプロバイダであるＩＳＰ−Ａ２０００によって管理されている。
【０００８】
また、このＷｅｂシステム１００１に対してＤＤｏＳ攻撃を行うことを目論んでいる攻撃者は、ネットワーク上でＩＳＰ−Ａ２０００に隣接しているインターネットサービスプロバイダであるＩＳＰ−Ｂ３０００によって管理されているＰＯＰ（Point of Presence ）境界ルータにアクセスしてＷｅｂシステムへの攻撃を行う。
【０００９】
一方、このＷｅｂシステム１００１のサービスを利用する正規の利用者は、ネットワーク上でＩＳＰ−Ａ２０００に隣接しているインターネットサービスプロバイダであるＩＳＰ−Ｃ３０００の管理しているＰＯＰ境界ルータにアクセスしてＷｅｂシステム１００１によるサービスの提供を受ける。
【００１０】
（１）攻撃対象顧客サイトによる対処技術
これは、ＩＤＳ（Intrusion Detection System：侵入検知システム）で利用されている不正アクセス検知技術とファイヤウォールやルータで利用されているパケット制御（フィルタリングや流量制御など）技術とを実装した装置をＩＳＰ−Ａ２０００と顧客サイト１０００とのネットワーク境界に配置（図１５においては境界ルータ２００１に配置）し、ＤＤｏＳ不正アクセスを検知すると、ＩＳＰ−Ａ２０００から顧客サイト１０００へ流れる特定の不正パケットのみを遮断する技術である。
【００１１】
（２）単独ＩＳＰによる対処技術
これは、ＩＤＳ装置をＩＳＰ−Ａ２０００と顧客サイト１０００とのネットワーク境界に配置（図１５においては境界ルータ２００１に配置）し、且つパケット制御装置をＩＳＰ−Ａ２０００と隣接ＩＳＰとのネットワーク境界（図１５においては境界ルータ２００２、２００３に配置）に配置し、ＩＤＳが不正アクセスを検知すると、送信元を偽った攻撃パケットの上流を特定するＩＰトレースバック（Traceback ）技術を利用して、そのパケットの流入元を特定し、隣接ＩＳＰとの境界（図１５においては境界ルータ２００２）で不正パケットのみを遮断する技術である。
【００１２】
（３）複数ＩＳＰ連携による対処技術
これは、前述した単独ＩＳＰによる対処技術により不正アクセスパケット流入元の隣接ＩＳＰがＩＳＰ−Ｂ３０００であることを特定したＩＳＰ−Ａ２０００の管理者が、電話による手作業でＩＳＰ−Ｂ３０００の管理者へ対策を依頼することにより実現する。ゆえに、現状未確立の技術である。
【００１３】
なお、ＤＤｏＳ攻撃に関する技術情報の所在は非特許文献２が詳しい。
ところで、分散型サービス不能化攻撃に対しては、攻撃発信元から攻撃対象顧客サイトへ至る経路上における攻撃発信元により近い場所で対処した方が、より効果的な対策になるといえる。なぜならば、攻撃対象サイトにより近い場所で対策を実施した場合には、攻撃対象サイトを守ることはできるものの、経路上のネットワークの輻輳やルータ処理遅延による不能化が防げないため、そのサイトのサービスをインターネットから利用している者にとっては結局サービスが無効化されたときと同様の状態になってしまうからである。
【００１４】
【特許文献１】
特開２００２−１６４９３８号公報
【非特許文献１】
ケビン・Ｊ・ホール（Kevin J Houle ）、ジョージ・Ｍ・ウィーバ（George M. Weaver）共著、「トレンズ・イン・デナイアル・オブ・サービス・アタック・テクノロジ（Trends in Denial of Service Attack Technology）」、［online］、２００１年１０月、サート・コーディネーション・センタ（CERT Coordination Center）、［平成１５年２月１７日検索］、インターネット＜ＵＲＬ：http://www.cert.org/archive/pdf/DoS_trends.pdf＞
【００１５】
【非特許文献２】
デイブ・ディトリッチ（Dave Dittrich ）、「ディストリビューティッド・デナイアル・オブ・サービス（ディーディーオーエス）・アタックス／ツールズ（Distributed Denial of Service (DDoS) Attacks/tools）」、［online］、［平成１５年２月１７日検索］、インターネット＜ＵＲＬ：http://staff.washington.edu/dittrich/misc/ddos/＞
【００１６】
【発明が解決しようとする課題】
上述した手法のうち、Ｉ．の手法においては、新しいプロトコルを実装したルータを現状のネットワークで使用されているものに代えて設置しなければＤＤｏＳ攻撃に対処できないため、ルータの置き換えの費用がかかる。更に、新しいプロトコルとその新プロトコルを扱えるルータとが普及するまでにはかなりの年月を要するという問題も抱えている。
【００１７】
また、ＤＤｏＳ攻撃が発生している状態では通信の信頼性が保証できないため、上述した特許文献１に開示されている技術ではルータがプログラムを受信できない結果、攻撃元からのトラフィックが遮断されないという場合が考えられる。その一方で、特許文献１に開示されている技術ではルータ自体がＤＤｏＳ攻撃の対象とされてしまう場合も考えられる。また、特許文献１に開示されている技術ではプログラムを増殖させる動作が行われるが、この動作が各組織のセキュリティポリシーに対する考え方に馴染まないために採用が見送られる結果、ＤＤｏＳ攻撃に対して組織横断的に対処することができない場合も考えられる。
【００１８】
また、前述した手法のうち、II．の手法においては、以下の問題が考えられる。
まず、攻撃対象顧客サイトによる対処技術では、ＩＳＰと攻撃対象顧客サイトとの境界で対策を実施するため、ＩＳＰ内のネットワークの輻輳やルータ処理能力の低下には対処ができない。従って、ＤＤｏＳ攻撃がＩＳＰの他の顧客へ及ぼす影響を防ぐことができない。
【００１９】
図１５の例では、攻撃者によるＩＳＰ−Ｂ３０００を介したＷｅｂシステム１００１へのＤＤｏＳ攻撃を境界ルータ２００１で対策すると、ＩＳＰ−Ｃ４０００を介してＷｅｂシステム１００１へのアクセスを行っている正規利用者へのサービスの提供に影響を及ぼしてしまう。
【００２０】
また、単一ＩＳＰによる対処技術では、ＩＳＰと隣接ＩＳＰとの境界で対策が実施されるため、自ＩＳＰ内ネットワークへの影響は最小限となるが、隣接ＩＳＰ内でのネットワークの輻輳やルータの処理能力の劣化には対処できないため、結果として隣接ＩＳＰから自ＩＳＰへ流入する正規のパケットが受ける影響を防ぐことができない。更にその上に、常時接続されているネットワーク境界のみでしか対策ができないため、時間と共に接続実体が変化する非常時接続ネットワークからの攻撃には正しく対処することができない。
【００２１】
図１５の例では、攻撃者によるＩＳＰ−Ｂ３０００を介したＷｅｂシステム１００１へのＤＤｏＳ攻撃を境界ルータ２００２で対策すると、ＩＳＰ−Ｃ４０００を介してＷｅｂシステム１００１へのアクセスを行っている正規利用者へのサービスの提供に及ぼす影響は少ないものの、ＩＳＰ−Ｂ３０００を介してＷｅｂシステム１００１へのアクセスを行っている不図示の正規利用者へのサービスの提供にはやはり影響を及ぼしてしまう。しかも、図１５の場合には、ＩＳＰ−Ｂ３０００が管理しているＰＯＰ境界ルータ３００１に接続して攻撃を行っている攻撃者がＰＯＰ境界ルータ３００１との接続を一旦断とした後に再度接続を行ったときには攻撃元のＩＰアドレスは変化してしまうため、ＩＳＰ−Ａ２０００が管理している境界ルータ２００２での対策は困難である。
【００２２】
また、複数ＩＳＰ連携による対処技術では、攻撃発信元により近い場所で対策を実施できるものの、現状ではＩＳＰの管理者が電話で相互に連絡を取り合ってお互いのセキュリティポリシーを尊重して問題に対処していく必要があるため、対策作業に相当の時間を要する。更にその上に、ＩＳＰ担当者間の認証方法がないため、運用上の情報の信頼性、あるいはなりすましなどといったセキュリティの問題が生じる。また、ＩＳＰ間で協調連携して対策した場合には作業履歴が残らないという問題も生じている。
【００２３】
本発明は、このような従来の技術の問題点に鑑みてなされたものである。
すなわち、本発明が解決しようとする課題は、複数のＩＳＰが協調して不正アクセス発信元にできるだけ近い場所で不正アクセス対策を実施することにより、分散型サービス不能化攻撃に効果的に対処するための、不正アクセス着信拒否技術を提供することである。
【００２４】
【課題を解決するための手段】
上述した課題を解決するための手段について図１を参照しながら説明する。
図１において、自ＩＳＰ（インターネットサービスプロバイダ）１０は自己の通信ネットワークであり、その運用は運用管理システム１１によって管理されている。
【００２５】
顧客サイト２０のＷｅｂシステム２１はＷｅｂサービスを自ＩＳＰ１０より公開しており、自ＩＳＰ１０によって管理されている顧客境界ルータ１５にファイヤウォール２２を介して接続されている。
【００２６】
ＩＤＳ（侵入検知システム）１４は、顧客サイト２０のＷｅｂシステム２１への不正なアクセスを顧客境界ルータ１５において検知し、検知された不正アクセスの内容を解析する。
【００２７】
不正アクセスエージェントサイト１３は不正アクセス通知手段１３−１を必要に応じて備えており、ＩＤＳ１４から得られた情報を不正アクセス対策マネージャサイト１２へ送付する。
【００２８】
不正アクセス対策マネージャサイト１２は、探索手段１２−１、決定手段１２−２、通知手段１２−３、認証手段１２−４、セキュリティ-ポリシー交換手段１２−５、不正アクセス対策制御手段１２−６、通知取得手段１２−７、及び記録手段１２−８を各々必要に応じて備えており、顧客サイト２０のＷｅｂシステム２１への不正なアクセスに対する対策を不正アクセス対策実施エージェントサイト１６や１８に指示する。
【００２９】
不正アクセス対策実施エージェントサイト１６は、トラフィックモニター手段１６−１及び不正アクセス対策実施手段１６−２をそれぞれ必要に応じて備えており、自ＩＳＰ１０と論理的に隣接している通信ネットワークである隣接ＩＳＰ３０と自ＩＳＰ１０とを接続しているＩＳＰ境界ルータ１７において、顧客サイト２０のＷｅｂシステム２１への不正なアクセスに対する対策を行う。
【００３０】
不正アクセス対策実施エージェントサイト１８は、トラフィックモニター手段１８−１及び不正アクセス対策実施手段１８−２をそれぞれ必要に応じて備えており、自ＩＳＰ１０の利用者のうち常時接続を行わない者（非常時接続利用者）によって使用される非常時接続利用者端末４０が自ＩＳＰ１０を利用するために接続するＰＯＰ（ポイント・オブ・プレゼンス）と自ＩＳＰ１０とを接続するＰＯＰ境界ルータ１７において、顧客サイト２０のＷｅｂシステム２１への不正なアクセスに対する対策を行う。
【００３１】
上述したように構成されている図１に示すシステムにおける不正アクセスマネージャサイト１２、不正アクセス通知エージェントサイト１３、並びに不正アクセス対策実施エージェントサイト１６及び１８が本発明に特に関係するものである。
【００３２】
本発明に係る態様のひとつである不正アクセス対処システムは、自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索を行う探索手段１２−１と、このサービスをこの不正なアクセスから保護するための対策を実施する場所の決定をこの探索の結果に基づいて行う決定手段１２−２と、この不正なアクセスを自己の通信ネットワークに流入させている流入元でこの対策を実施するとの決定に応じて該決定を該流入元へ通知する通知手段１２−３と、を有するように構成することにより、前述した課題を解決する。
【００３３】
この構成によれば、自己の通信ネットワーク（自ＩＳＰ１０）より公開されているサービス（Ｗｅｂシステム２１によるＷｅｂサービス）に対する不正なアクセスへの対策を、自己の通信ネットワークにその不正アクセスを流入させている流入元で実施するとの決定がその流入元へ通知されるので、その流入元、すなわち不正アクセスの発信元により近い場所で不正アクセスの対策の実施が可能となる結果、分散型サービス不能化攻撃に対する効果的な対処が行えるようになる。
【００３４】
なお、上述した本発明に係る不正アクセス対処システムにおいて、探索手段１２−１は、前述した不正なアクセスが検知されたときに前述した探索を行うようにしてもよく、あるいは、不正なアクセスの検知がされたことが通知されたときに前述した探索を行うようにしてもよい。
【００３５】
図１においては、不正なアクセスの検知はＩＤＳ１４によって行われ、また、ＩＤＳ１４によって検知がされた不正なアクセスは不正アクセス通知手段１３−１によって不正アクセス対策マネージャサイト１２に通知される。
【００３６】
こうすることにより、不正なアクセスに対して迅速な対策を行うことができるようになる。
また、前述した本発明に係る不正アクセス対処システムにおいて、探索手段１２−１は、自己の通信ネットワークで伝送されているトラフィックの監視情報と前述した不正なアクセスの内容を示す不正アクセス情報とに基づいて前述した流入路を探索するようにしてもよい。
【００３７】
図１においては、自己の通信ネットワーク、すなわち自ＩＳＰ１０で伝送されているトラフィックの監視情報は運用管理システム１１より得られ、不正アクセス情報はＩＤＳ１４により得られる。この不正アクセス情報により不正アクセスの特徴が判明するので、これと同様の特徴を有するトラフィックを監視情報から見つけ出すことにより、不正アクセスの流入路を判明させることができる。
【００３８】
なお、ここで、監視情報は、自己の通信ネットワークと該自己の通信ネットワークに隣接する通信ネットワークとの境界に配置されている境界ルータの位置情報と、境界ルータを通過して自己の通信ネットワークへ流入したトラフィックについての監視情報とを少なくとも含むものであってもよい。
【００３９】
図１においては、境界ルータ（ＩＳＰ境界ルータ１７）の位置情報は運用管理システム１１より得られ、境界ルータを通過して自己の通信ネットワークへ流入したトラフィックについての監視情報はトラフィックモニター手段１６−１によって得られる。従って、これらの情報により、これと同様の特徴を有するトラフィックを監視情報から見つけ出すことにより、不正アクセス情報により示されている特徴を有する不正アクセスがどこから自ＩＳＰに流入したのかを判明させることができる。
【００４０】
なお、ここで、トラフィックモニター手段１６−１は、例えば、送信元アドレス、送信先アドレス、及び送信先ポート番号をキーとして、ＩＳＰ境界ルータ１７を介して流入するパケット数を単位時間毎且つ接続先毎に記録することにより、送信元アドレスが偽装されたパケットの流入路の把握が可能となる。
【００４１】
また、トラフィックモニター手段１８−１もトラフィックモニター手段１６−１と同様の記録を行うことにより、ＰＯＰ境界ルータ１９を介して流入する、非常時接続接続利用者端末４０からの流入パケットを把握することができる。
【００４２】
なお、好ましくは、トラフィックモニター手段１６−１及び１８−１は、運用管理システム１１と連携して接続先情報を入手するうにしてもよい。
また、前述した本発明に係る不正アクセス対処システムにおいて、通知手段１２−３は、前述した不正なアクセスの流入元との間で相互認証を行った後に前述した決定を該流入元へ通知するようにしてもよい。
【００４３】
図１においては、この相互認証は認証手段１２−４によって行われる。こうすることにより、流入元になりすました第三者による前述した決定の通知の窃取が防止される。
【００４４】
ここで、この相互認証のための流入元との接続プロトコルは例えばＨＴＴＰＳ（Hypertext Transfer Protocol Security）プロトコルであってもよく、また、この相互認証で用いられる認証方式は例えば公開鍵基盤（ＰＫＩ：Public Key Infrastructure ）であってもよく、また電子証明書は例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式であってもよい。
【００４５】
また、前述した本発明に係る不正アクセス対処システムにおいて、通知手段１２−３は、前述した不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前述した決定を該流入元へ通知するようにしてもよい。
【００４６】
図１においては、このセキュリティポリシーに関する情報の交換はセキュリティポリシー交換手段１２−５によって行われる。こうすることにより、流入元とのセキュリティポリシーに違いが存在していても、その違いを調整した上での不正アクセスに対する対策を流入元に依頼することができるようになる。
【００４７】
なお、ここで、セキュリティポリシーに関する情報として、データ暗号方式情報とタイムゾーンの情報との交換を行ってもよく、またデータ暗号方式の交換をするときにＨＴＴＰＳプロトコルを用いて行ってもよい。
【００４８】
また、前記セキュリティポリシーに関する情報は、不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間を示す情報であってもよい。
【００４９】
こうすることにより、不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間についてのセキュリティポリシーに違いが存在していても、セキュリティポリシーに従った対策を流入元に依頼することができる。
【００５０】
また、このとき、セキュリティポリシーに関する情報によって示されている時間が自己のネットワークと流入元とで異なっているときには、両者のうち短い方の時間を、不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間とするようにしてもよい。
【００５１】
こうすることにより、自己のネットワークと流入元との両者で許容し得るセキュリティポリシーに従った対策を流入元に依頼することができる。
また、このとき、通知手段１２−３が、前述した決定と共に、不正なアクセスが検知されなくなってから該不正なアクセスに対する前述した対策を解除するまでの時間を示す情報を流入元へ通知するようにしてもよい。
【００５２】
こうすることにより、自己のネットワークと流入元との両者で許容し得るセキュリティポリシーに従ったこの時間の設定が流入元に通知される。
また、前述した本発明に係る不正アクセス対処システムにおいて、通知手段１２−３は、前述した不正なアクセスの流入路とは異なる通信経路を用いて前述した決定を該不正なアクセスの流入元へ通知するようにしてもよい。
【００５３】
不正なアクセスの流入路はＤＤｏｓ攻撃の影響により通信路として利用できない場合があるので、こうすることより、このような場合が発生していても前述した決定を流入元へ通知することができるようになる。
【００５４】
また、前述した本発明に係る不正アクセス対処システムにおいて、通知手段１２−３は、前述した自己の通信ネットワークに前述した不正なアクセスを流入させている流入元で前述した対策を実施する決定がされたときに、該決定を該流入元へ通知するか否かを判定し、この通知手段１２−３によって前述した決定を該流入元へ通知しないとの判定がされたときに、前述したサービスを前述した不正なアクセスから保護するための対策を自己の通信ネットワーク内で実施させる不正アクセス対策実施制御手段１２−６を更に備えるようにしてもよい。
【００５５】
こうすることにより、例えば前述した決定を前述した流入先に通知しても前述した対策が該流入先で行ってもらえない場合であっても、このような不正アクセスに適切に対処することができるようになる。
【００５６】
なお、ここで、前述した判定が、予め与えられている前記流入元についての判定情報に基づいて行われるようにしてもよい。
こうすることにより、例えば前述した決定を前述した流入先に通知しても前述した対策が該流入先で行ってもらえないことが予め判明しているような場合にこのことを示す情報を予め判定情報として与えておくことにより、このような不正アクセスに適切に対処することができる。
【００５７】
また、前述した本発明に係る不正アクセス対処システムにおいて、自己の通信ネットワーク内で前述した対策を実施するとの前述した決定に応じて、該サービスを該不正なアクセスから保護するための対策を該自己の通信ネットワーク内で実施させる不正アクセス対策実施制御手段１２−６を更に備えるようにしてもよい。
【００５８】
こうすることにより、不正アクセスの発信元が自己の通信ネットワーク（自ＩＳＰ１０）内より行われている場合に、自己の通信ネットワーク内でこのような不正アクセスに対する対策を適切に行わせることができるようになる。
【００５９】
なお、図１において、例えば隣接ＩＳＰ３０から自ＩＳＰへＷｅｂシステム２１への不正アクセスが流入している場合には、不正アクセス対策実施制御手段１２−６は、ＩＳＰ境界ルータ１７で不正アクセスに対する対策の実施を不正アクセス対策実施エージェント１６に指示する。不正アクセス対策実施エージェント１６に設けられている不正アクセス対策実施手段１６−２はこの指示に応じてＩＳＰ境界ルータ１７を制御し、隣接ＩＳＰ３０からのこの不正アクセスをＩＳＰ境界ルータ１７で遮断させる。
【００６０】
なお、ここで、不正アクセス対策実施制御手段１２−６は、前述した不正なアクセスの発信元が接続しているＰＯＰ（ポイント・オブ・プレゼンス）境界ルータにおいて前述した対策を実施させるようにしてもよい。
【００６１】
図１において、例えば非常時接続利用者端末４０がＷｅｂシステム２１への不正アクセスの発信元である場合には、不正アクセス対策実施制御手段１２−６は、ＰＯＰ境界ルータ１９で不正アクセスに対する対策の実施を不正アクセス対策実施エージェント１８に指示する。不正アクセス対策実施エージェント１８に設けられている不正アクセス対策実施手段１８−２はこの指示に応じてＰＯＰ境界ルータ１９を制御し、非常時接続利用者端末４０からのこの不正アクセスをＰＯＰ境界ルータ１９で遮断させる。
【００６２】
なお、ここで、不正アクセス対策実施制御手段１２−６は、前述した不正なアクセスの発信元が接続しているＰＯＰ境界ルータ１９を、前述した自己の通信ネットワーク（自ＩＳＰ１０）の運用の管理を行っている運用管理システム１１から得られる情報に基づいて特定するようにしてもよい。
【００６３】
ＰＯＰ（ポイント・オブ・プレゼンス）接続においては、通信ネットワーク上で特定の端末を識別するために該端末に割り当てられる識別子が接続の度に異なっていることが一般的である。従って、不正アクセスの発信元である非常時接続利用者端末４０によってＰＯＰ接続が改めて行われてために異なる識別子がその非常時接続利用者端末４０に割り当てられてしまい、その結果不正アクセスに対する適切な対策が取れなくなる場合がある。しかし、この割り当ては運用管理システム１１によって管理されているので、この割り当て情報を利用することにより、ＰＯＰ接続が改めて行われて異なる識別子が割り当てられても、非常時接続利用者端末４０からのこの不正アクセスをＰＯＰ境界ルータ１９で適切に遮断させることができるようになる。
【００６４】
また、自己の通信ネットワークとは異なる他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークへ流入させている決定の通知を取得する通知取得手段１２−７を更に有し、不正アクセス対策実施制御手段１２−６は、通知取得手段１２−７によって前述した通知が取得されたときには、上述した他の通信ネットワークより公開されているサービスを該通知に係る該不正なアクセスから保護するための対策を自己の通信ネットワーク内で実施させるようにしてもよい。
【００６５】
こうすることにより、上述した他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークに流入させている自己のネットワーク、すなわち不正アクセスの発信元により近い場所でその不正なアクセスに対する適切な対策が実施される。
【００６６】
また、不正アクセス対策実施制御手段１２−６によって実施させた対策は、不正アクセスの検知がされなくなったときから予め設定されている時間が経過した後には解除されるようにしてもよい。
【００６７】
ここで、この予め設定されている時間は、自己の通信ネットワークと前述した他の通信ネットワークとの各々のネットワーク運用におけるセキュリティポリシーに基づいて設定されているようにしてもよい。
【００６８】
こうすることにより、不正アクセスについての対策によって正規のアクセス受けてしまう影響が、不正アクセスが停止してから所定の時間が経過した後には解消されるようになる。
【００６９】
なお、このとき、自己の通信ネットワークと前述した他の通信ネットワークとの各々のネットワーク運用におけるセキュリティポリシーに基づいて設定されている時間が両者間で異なっているときには、不正アクセスの検知がされなくなったときから両者のうち短い方の時間が経過した後には解除されるようにしてもよい。
【００７０】
こうすることにより、不正アクセスについての対策によって正規のアクセス受けてしまう影響が解消されるまでの時間が、自己の通信ネットワークと他の通信ネットワークとの両者で許容し得るセキュリティポリシーに従った時間となる。
【００７１】
また、前述した本発明に係る不正アクセス対処システムにおいて、自己の通信ネットワークとは異なる他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークへ流入させている決定の通知を取得する通知取得手段１２−７を更に有し、探索手段１２−１は、通知取得手段１２−７によって前述した通知が取得されたときには、該通知に係る不正なアクセスの自己の通信ネットワークにおける流入路を探索し、決定手段１２−２は、通知取得手段１２−７によって前述した通知が取得されたときには、前述した他の通信ネットワークより公開されているサービスを該通知に係る不正なアクセスから保護するための対策を実施する場所を前述した探索の結果に基づいて決定し、通知手段１２−３は、通知取得手段１２−７によって前述した通知が取得されたときには、該通知に係る不正なアクセスを自己の通信ネットワークに流入させている流入元で前述した対策を実施する決定に応じて該決定を該流入元へ通知するようにしてもよい。
【００７２】
こうすることにより、上述した他の通信ネットワークより公開されているサービスに対する不正なアクセスを自己の通信ネットワークに流入させている更に上流の流入元、すなわち不正アクセスの発信元に更に近い場所でその不正なアクセスに対する適切な対策が実施される。
【００７３】
なお、このとき、通知取得手段１２−７によって取得された通知が過去に取得されたものと同一の通知であるときに、自己の通信ネットワーク若しくは前述した他の通信ネットワークより公開されているサービスを該通知に係る不正なアクセスから保護するための対策を該通知の通知元の通信ネットワーク内で実施させる不正アクセス対策実施制御手段１２−６を更に有するように構成してもよい。
【００７４】
通知取得手段１２−７によって取得された通知が過去に取得されたものと同一の通知であるときには、その後も通知が繰り返されるだけで不正アクセスに対する対策が全くなされてないおそれがあると見ることができる。上述した構成によれば、このような場合にも不正アクセスに対する対策が適切に実施される。
【００７５】
なお、このとき、通知手段１２−３は、前記決定を通知するときに該通知に係る不正なアクセスを一意に特定する情報を併せて通知するようにしてもよい。
こうすることにより、不正アクセス対策実施制御手段１２−６は、通知取得手段１２−７によって取得された通知が自己の通知手段１２−３による通知に起因して通知されていたものであるかどうかを、該通知に含まれている該通知に係る不正なアクセスを一意に特定する情報に基づいて判定することができる。
【００７６】
また、前述した本発明に係る不正アクセス対処システムにおいて、通知手段１２−３による通知の履歴を記録する記録手段１２−８を更に有するように構成してもよい。
【００７７】
この構成によれば、自己の通信ネットワーク（自ＩＳＰ１０）の管理者が流入元へ行った不正アクセスへの対処の依頼の状況をこの履歴の記録から把握することができるようになる。
【００７８】
なお、上述した本発明に係る不正アクセス対処システムの各構成により行なわれる機能と同様の処理をコンピュータに行わせるプログラムであっても、そのプログラムをコンピュータに実行させることによって本発明に係る不正アクセス対処システムと同様の作用・効果が得られるので、前述した課題を解決することができる。
【００７９】
また、上述した本発明に係る不正アクセス対処システムの各構成により行なわれる手順からなる方法であっても、その方法を使用することによって本発明に係る不正アクセス対処システムと同様の作用・効果が得られるので、前述した課題を解決することができる。
【００８０】
【発明の実施の形態】
以下、本発明の実施の形態を図面に基づいて説明する。
図２は本発明を実施する不正アクセス対処システムの機能構成を示している。このシステムは、不正アクセス対策マネージャサイト１００、不正アクセス通知エージェントサイト２００、及び不正アクセス対策実施エージェントサイト３００が不正アクセス対処システム専用ネットワーク４００で接続されて構成されており、自己の通信ネットワークであるＩＳＰネットワーク５００内に構築されている。また、このシステムは運用管理システム５０１及び不正アクセスの検知を行うＩＤＳ（Intrusion Detection System）５０２と連携することによって機能する。
【００８１】
不正アクセス対策マネージャサイト１００は不正アクセス対策マネージャプログラム１１０を実行するコンピュータである。不正アクセス対策マネージャサイト１００は２つの通信インタフェースを有しており、その一方はＩＳＰネットワーク５００に接続され、他方は不正アクセス対処システム専用ネットワーク４００に接続されている。但し、２つのネットワーク間のルーティングは行わない。
【００８２】
不正アクセス対策マネージャプログラム１１０が実行されると不正アクセス対策制御部１１１、不正アクセス対策記録制御部１１２、及びＩＯ制御部１１３が構成される。
【００８３】
不正アクセス対策制御部１１１は不正アクセス対策実施場所決定、組織間認証、及び組織間ポリシー交換の各機能を呼び出し、各機能の実行順序を制御する。不正アクセス対策記録制御部１１２は不正アクセスに対してこの不正アクセス対処システムによって行われた対策内容の履歴の記録を制御する。
【００８４】
ＩＯ制御部１１３は、ＩＳＰネットワーク５００及び不正アクセス対処システム専用ネットワーク４００での通信の制御、及び不正アクセス対策マネージャサイト１００に設けられているＤＢ（データベース）に対するデータ操作の制御を行う。
【００８５】
証明書１２０は不正アクセス対策制御部１１１の制御によって組織間認証が行われるときに使用されるものであり、例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式のものである。
【００８６】
Ｐｏｌｉｃｙ（ポリシー）１３０はＩＳＰネットワーク５００のセキュリティポリシーが示されている情報ファイルである。
Ｌｏｇ（ログ）ＤＢ１４０は不正アクセスに対してこの不正アクセス対処システムによって行われた対策内容の履歴が記録されるデータベースである。
【００８７】
管理端末１０１はこの不正アクセス拒否システムのためのユーザインターフェースをＩＳＰネットワーク５００の管理者に提供するものであり、ＣＰＵ、メモリ、ディスプレイ、通信インタフェース等を有するコンピュータである。なお、管理端末１０１としては例えばパーソナルコンピュータや携帯情報端末（ＰＤＡ）等が利用可能である。
【００８８】
不正アクセス通知エージェントサイト２００は不正アクセス通知プログラム２１０を実行するコンピュータである。不正アクセス通知エージェントサイト２００は２つの通信インタフェースを有し、その一方はＩＳＰネットワーク５００に接続され、他方は不正アクセス対処システム専用ネットワーク４００に接続されている。但し、この２つのネットワーク間のルーティングは行わない。
【００８９】
不正アクセス通知プログラム２１０が実行されると不正アクセス通知エンジン２１１と通信制御部２１２とが構成される。
不正アクセス通知エンジン２１１はＩＤＳ５０２によって検知された不正アクセスに関する情報をＩＤＳ５０２から取得して不正アクセス対策マネージャサイト１００に通知する制御を行う。
【００９０】
通信制御部２１２はＩＳＰネットワーク５００及び不正アクセス対処システム専用ネットワーク４００での通信の制御を行う。
不正アクセス対策実施エージェントサイト３００は不正アクセス対策実施エージェントプログラム３１０を実行するコンピュータである。不正アクセス対策実施エージェントサイト３００は２つの通信インタフェースを有しており、その一方はＩＳＰネットワーク５００に接続され、他方は不正アクセス対処システム専用ネットワーク４００に接続されている。但し、２つのネットワーク間のルーティングは行わない。
【００９１】
不正アクセス対策実施プログラム３１０が実行されると不正アクセス対策実施エンジン３１１、トラフィックモニターエンジン３１２、及びＩＯ制御部３１３が構成される。
【００９２】
不正アクセス対策実施エンジン３１１は不正アクセス対策マネージャサイト１００から送られてくる情報に基づいて境界ルータ５０３を制御して不正アクセスを遮断させる。
【００９３】
トラフィックモニターエンジン３１２は境界ルータ５０３に流入するトラフィックを監視して監視情報を記録する制御を行う。
ＩＯ制御部３１３は、ＩＳＰネットワーク５００及び不正アクセス対処システム専用ネットワーク４００での通信の制御、及び不正アクセス対策実施エージェントサイト３００に設けられているＤＢ（データベース）に対するデータ操作の制御を行う。
【００９４】
トラフィックＤＢ３２０は境界ルータ５０３に流入したトラフィックの情報が記録されるデータベースである。
運用管理システム５０１はＩＳＰネットワーク５００内に配置されてＩＳＰネットワーク５００の運用の管理を行うシステムでおり、ＩＳＰネットワーク５００の構成管理、トラフィック管理、障害管理、アカウント管理等を行っている。運用管理システム５０１は不正アクセス対策マネージャサイト１００と連携し、各種のデータの受け渡しを行う。
【００９５】
ＩＤＳシステム５０２は、ＩＳＰネットワーク５００と顧客によって運用されている顧客ネットワークとの境界の好ましくはＩＳＰネットワーク５００側に配置され、悪意ある発信元からの不正アクセスの検知を行っている。ＩＤＳシステムは５０２は不正アクセス通知エージェントサイト２００と連携し、各種のデータの受け渡しを行う。
【００９６】
境界ルータ５０３はＩＳＰネットワーク５００と論理的に隣接している他の通信ネットワーク（隣接ネットワーク）の境界に設置されているルータ、あるいはＩＳＰネットワーク５００の利用者のうち常時接続を行わない者（非常時接続利用者）によって使用される非常時接続利用者端末がＩＳＰネットワーク５００を利用するために接続するＰＯＰ（ポイント・オブ・プレゼンス）とＩＳＰネットワーク５００との境界に設置されているルータである。境界ルータ５０３は不正アクセス対策実施エージェントサイト３００と連携し、各種のデータの受け渡しを行う。なお、図２には境界ルータ５０３がＩＳＰネットワーク５００に一台だけ設置されているように描かれているが、ここでは複数台の境界ルータ５０３がＩＳＰネットワーク５００に設置されているものとする。
【００９７】
不正アクセス対処システム専用ネットワーク４００は、ＩＳＰネットワーク５００とは別の通信ネットワークである。不正アクセス対処システム専用ネットワーク４００にはＩＳＰネットワーク５００に設けられている不正アクセス対処システムが接続されていることに加え、隣接ネットワークに設けられている図２と同様の構成の不正アクセス対処システムも接続されており、各種のデータの受け渡しが行われる。なお、これらの機器間での各種のデータの授受は原則としてこの不正アクセス対処システム専用ネットワーク４００を介して行われる。
【００９８】
なお、図２に示した不正アクセス対策マネージャサイト１００、不正アクセス通知エージェントサイト２００、及び不正アクセス対策実施エージェントサイト３００は、いずれも例えば図３に示すようなハードウェア構成を有するコンピュータを用いて構成することができる。
【００９９】
図３について説明する。
同図に示すコンピュータはＣＰＵ６０１、ＲＡＭ６０２、ＲＯＭ６０３、ＨＤＤ６０４、入力部６０５、出力部６０６、通信インタフェースＡ６０７、及び通信インタフェースＢ６０８がバス６０９を介して相互に接続されて構成されており、ＣＰＵ６０１による管理の下で相互にデータ授受を行うことができる。
【０１００】
ＣＰＵ（Central Processing Unit ）６０１はこのコンピュータ全体の動作制御を司る中央処理装置である。
ＲＡＭ（Random Access Memory）６０２は、各種の制御プログラムをＣＰＵ６０１が実行するときにワークメモリとして使用され、また各種のデータの一時的な格納領域として必要に応じて用いられるメインメモリとしても使用されるメモリである。
【０１０１】
ＲＯＭ（Read Only Memory）６０３はＣＰＵ６０１によって実行される基本制御プログラムが予め格納されているメモリであり、このコンピュータの起動時にＣＰＵ６０１がこの基本制御プログラムを実行することによってこのコンピュータ全体の動作の基本的な制御がＣＰＵ６０１によって行えるようになる。
【０１０２】
ＨＤＤ（Hard Disk Drive ）６０４は、各種のデータを記録しておくデータベースとして利用されるハードディスク装置である。また、ＨＤＤ６０４にはＣＰＵ６０１によって実行される各種の制御プログラムが予め格納されている。
【０１０３】
入力部６０５は外部からの入力を受け取ってその入力の内容をＣＰＵ６０１に渡すものであり、必要に応じ、例えばキーボードやマウスなどといったこのコンピュータを操作する操作者からの指示を受け取る入力装置、あるいはＦＤ（Flexible Disk）、ＣＤ−ＲＯＭ（Compact Disc-ROM）、ＤＶＤ−ＲＯＭ（Digital Versatile Disc-ROM）、ＭＯ（Magneto-Optics）ディスクなどといった可搬型の記録媒体の読出装置を備えて構成される。
【０１０４】
出力部６０６はＣＰＵ６０１からの指示に応じた出力を行うものであり、例えば各種データを表示するＣＲＴ（Cathode Ray Tube）やＬＣＤ（Liquid Crystal Display）を備えて構成される表示装置や各種データを印刷して表示するプリンタ装置などである。
【０１０５】
なお、このコンピュータを不正アクセスマネージャサイト１００として使用する場合には、管理端末１０１を入力部６０５や出力部６０６として利用してもよい。
【０１０６】
通信インタフェースＡ６０７は、このコンピュータをＩＳＰネットワーク５００に接続して他のシステムとの間でのデータ授受を行う際の通信管理を行うものである。
【０１０７】
通信インタフェースＢ６０８は、このコンピュータを不正アクセス対処システム専用ネットワーク４００に接続してＩＳＰネットワーク５００に設けられている不正アクセス対処システムを構成する他のサイトとの間、あるいは隣接ネットワークに設けられている不正アクセス対処システムとの間でデータ授受を行う際の通信管理を行うものである。
【０１０８】
図３に示すコンピュータは以上の各構成要素を備えて構成される。
以下、図２に示した不正アクセス対処システムを構成する各サイトで前述した各種のプログラムを実行することによって構成される各部によって行われる処理の内容について説明する。
【０１０９】
なお、図２に示した不正アクセス対処システムでは、これより説明するトラフィックモニター手順、不正アクセス通知手順、不正アクセス対策制御手順、不正アクセス対策記録手順が並行して行われる。
【０１１０】
まず図４について説明する。同図はトラフィックモニターエンジン３１２によって行われるトラフィックモニター手順の内容をフローチャートで示したものである。
【０１１１】
まず、Ｓ１０１においてスレッドの分岐が行われ、その一方ではＳ１０２の繰り返し手順が、他方ではＳ１０３からＳ１０５にかけての繰り返しの手順が、それぞれ実行される。
【０１１２】
Ｓ１０２では、境界ルータ５０３へ流入しているトラフィックであるＩＰ（Internet Protocol ）パケット（以下、単に「パケット」と称することとする）がキャプチャー（捕獲）される。以降、Ｓ１０２の手順が繰り返されて境界ルータ５０３に流入するパケットが全てキャプチャーされる。
【０１１３】
Ｓ１０３では、Ｓ１０３からＳ１０５にかけてのスレッドの実行が一定の時刻レンジだけ、例えば１０分間だけスリープ（停止）され、その後、所定の時刻レンジが経過したときにＳ１０４の手順に進む。
【０１１４】
Ｓ１０４では、Ｓ１０２の処理によってキャプチャーされているパケットの数が、接続ＩＤ、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、及びＤｉｓｔＰｏｒｔをキーにして計数され、続くＳ１０５においてその計数の結果を示すデータが監視情報としてトラフィックＤＢ３２０に格納される。このＳ１０５の手順が完了した後にはＳ１０３へ手順を戻して上述した手順が繰り返される。
【０１１５】
ここで図５について説明する。同図は上述したＳ１０５の手順によってデータの格納が行われるトラフィックＤＢ３２０のデータ構造を示している。同図に示すように、トラフィックＤＢ３２０にはレコード毎に「接続ＩＤ」、「時刻レンジ」、「ＳｒｃＩＰ」、「ＤｉｓｔＩＰ」、「ＤｉｓｔＰｏｒｔ」、及び「Ｃｏｕｎｔ」の各フィールドが設けられている。
【０１１６】
接続ＩＤは、ＩＳＰネットワーク５００の利用者に個別に割り当てられている識別子である。接続ＩＤと計数対象とするパケットとの関係は、そのパケットに示されているＳｒｃＩＰを運用管理システム５０１に送付して問い合わせを行うことによって運用管理システム５０１から得ることができる。
【０１１７】
時刻レンジはパケットの計数の開始時刻及び終了時刻の組である。
ＳｒｃＩＰは計数対象とするパケットに示されている送信元のＩＰアドレスである。
【０１１８】
ＤｉｓｔＩＰは計数対象とするパケットに示されている宛先のＩＰアドレスである。
ＤｉｓｔＰｏｒｔは計数対象とするパケットに示されている宛先のポート番号である。
【０１１９】
Ｃｏｕｎｔは「時刻レンジ」に示されている時間内に境界ルータ５０３に流入した計数対象とするパケットの数である。
図５に示されているデータ例のうち第一行目のレコードについて解説すると、接続ＩＤとして「ＡＢＣ０１２３４」が割り当てられているＩＳＰネットワーク５００の利用者は、「１０：００−１０：１０」の時間内に、送信元のＩＰアドレスが「２０２．２４８．２０．２５４」、宛先のＩＰアドレスが「２０２．２４８．２０．６８」、そして宛先のポート番号が「８０」である「１４５６」個のパケットを境界ルータ５０３に流入させたことを示している。
【０１２０】
なお、トラフィックＤＢ３２０には上述したデータが境界ルータ５０３毎に格納される。
以上のトラフィックモニター手順が行われることによって、境界ルータ５０３に流入するパケットの監視が行われる。
【０１２１】
次に図６について説明する。同図は不正アクセス通知エンジン２１１によって行なわれる不正アクセス通知手順の内容をフローチャートで示したものである。
まず、Ｓ２０１において、ＩＤＳ５０２の不正アクセスイベントのチェックが行われ、続くＳ２０２において不正アクセスの検知がＩＤＳ５０２によってなされたか否かが判定される。この結果、不正アクセスの検知がされたと判定された（判定結果がＹｅｓ）ならばＳ２０３に手順を進め、不正アクセスの検知がされていないと判定された（判定結果がＮｏ）ならばＳ２０１へ手順を戻して上述した手順が繰り返される。
【０１２２】
Ｓ２０３では、検知された不正アクセスについての通知が不正アクセス対策マネージャサイト１００の不正アクセス対策制御部１１１へ行われる。その後はＳ２０１へ手順を戻して上述した手順が繰り返される。
【０１２３】
ここで図７について説明する。同図は上述したＳ２０３の手順によって不正アクセス対策制御部１１１へ行われる不正アクセスの通知のデータ形式を示している。同図に示すように、この不正アクセス通知には、「検知ＩＤ」、「時刻レンジ・スタート」、「時刻レンジ・エンド」、「攻撃種別」、「組織名」、「所属ＩＳＰ」、「ターゲットプロトコル」、「ＳｒｃＩＰ」、「ＤｉｓｔＰｏｒｔ」、「不正パケット数」、「攻撃ツール名」、「対策解除ポリシー」の各情報が含まれている。なお、これらのデータはＩＤＳ５０２から得ることができる。
【０１２４】
検知ＩＤは、不正アクセスの検知がなされる度にＩＤＳ５０２によってその不正アクセスに対して付与される一意な識別子であり、この検知ＩＤによってＤＤｏＳ攻撃を個別に特定する指標とすることができる。
【０１２５】
時刻レンジ・スタート及び時刻レンジ・エンドは、それぞれ不正アクセスに係るパケットが最初に検知された日時及びこの日時から所定の時間（例えば１０分間）が経過したときの日時であり、図７の例ではこれらの日時がグリニッジ標準時（ＧＭＴ）で示されている。
【０１２６】
攻撃種別は、検知された不正アクセスであるＤＤｏＳ攻撃の詳細種別である。組織名は、不正アクセスを受けているシステムが属している組織の組織名である。
【０１２７】
所属ＩＳＰは、不正アクセスを受けているシステムが属している組織が所属しているＩＳＰの名称である。
ターゲットプロトコルは不正アクセスが攻撃を受けているシステムへの接続に利用しているプロトコルである。
【０１２８】
ＳｒｃＩＰは不正アクセスに係るパケットに示されている送信元のＩＰアドレスである。
ＤｉｓｔＩＰは不正アクセスに係るパケットに示されている宛先のＩＰアドレスである。
【０１２９】
ＤｉｓｔＰｏｒｔは不正アクセスに係るパケットに示されている宛先のポート番号である。
不正パケット数は検知ＩＤで特定される不正アクセスに係るパケットの数である。
【０１３０】
攻撃ツール名は、不正アクセスに使用されているＤＤｏＳ攻撃ツールのツール名である。
対策解除ポリシーは、この不正アクセスが停止してからこの対策を解除するまでの時間である。この時間はＩＳＰネットワーク５００におけるセキュリティポリシーで許容される範囲内で例えば不正アクセスを受けている顧客からの指示により予め設定される。
【０１３１】
図７に示されているデータ例のうちの例１の不正について解説すると、ＩＤＳ５０２によって検知された「００−００−０Ｅ−８２−２Ｅ−７４−００１」なる検知ＩＤで特定される不正アクセスは、「２００３／２／１・１６：０１：１６」から検知された「ＴＣＰ Ｓｙｎ Ｆｌｏｏｄ」攻撃であり、この攻撃は「ＩＳＰ ＡＢＣ」に属する「ＣｏｍｐａｍｙＡ」への「ＴＣＰ」プロトコルによるものであって、攻撃元は「ＴＦＮ２Ｋ」なる攻撃ツールを使用しており、送信元のＩＰアドレスが「１０．４．１２０．Ｚ」、宛先のＩＰアドレスが「１９２．１６８．Ｘ．Ｙ」、宛先のポート番号が「８０」であるパケットが「２００３／２／１・１６：１１：１６」までの間に「１５６７８９」個送りつけられてきたこと、この不正アクセスについての対策は当該不正アクセスが停止してからも「１０分間」は継続して実施すべきことを示している。
【０１３２】
以上の不正アクセス通知手順が行われることによって、ＩＤＳ５０２による顧客ネットワークへの不正アクセスの検知の内容が不正アクセス対策マネージャサイト１００の不正アクセス対策制御部１１１へ通知される。
【０１３３】
次に図８について説明する。同図は不正アクセス対策制御部１１１によって行われる不正アクセス対策制御手順の内容をフローチャートで示したものである。まず、Ｓ３０１において、不正アクセス通知エージェントサイト２００からの不正アクセスの通知をひとつ取り出す。
【０１３４】
Ｓ３０２では、この取り出された不正アクセス通知に示されている前述した検知ＩＤが参照され、この検出ＩＤが過去に取得していた不正アクセス通知に示されていたか否か、より具体的にはこの検知ＩＤと同一のものがＬｏｇＤＢ１４０に記録されているか否かが判定される。そして、この判定結果がＹｅｓならばＳ３１４に手順が進み、ＮｏならばＳ３０３に手順が進む。
【０１３５】
Ｓ３０３では不正アクセス対策実施場所決定手順が実行される。この手順の詳細は図９にフローチャートで示されている。
以下、この図９の手順を先に説明する。
【０１３６】
まず、Ｓ３２１において、運用管理システム５０１に対する問い合わせが行われて、ＩＳＰネットワーク５００に設置されている境界ルータ５０３の一覧が取得される。
【０１３７】
Ｓ３２２では、不正アクセス対策実施エージェントサイト３００に対する問い合わせが行われ、図８のＳ３０１の手順において取り出された不正アクセス通知に示されていた、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、及びＤｉｓｔＰｏｒｔの一致しているレコードをトラフィックＤＢ３２０から抽出する。そして、その抽出されたレコードに示されていたトラフィックが流入していた境界ルータ５０３を残してそのほかの境界ルータ５０３を前の手順で取得されていた境界ルータ５０３の一覧から除外する。
【０１３８】
Ｓ３２３では、先の一覧に残されている境界ルータ５０３から非常時接続利用者用端末のために設けられているもの（非常時接続境界ルータ）が抽出され、抽出された非常時接続境界ルータについてのトラフィックＤＢ３２０の格納データから、前述した不正アクセス通知に関係しているデータレコードに示されている接続ＩＤが取得される。
【０１３９】
Ｓ３２４では、前の手順で取得された接続ＩＤで特定される利用者がＩＳＰネットワーク５００に現在接続しているかどうかの問い合わせが運用管理システム５０１へ行われる。そして、この利用者がＩＳＰネットワーク５００に現在接続しているのであればこの利用者によって現在使用されている非常時接続利用者端末からのパケットが流入している非常時接続境界ルータを抽出して先の一覧に残し、一方、この利用者が現在はＩＳＰネットワーク５００に接続していないのであれば、この利用者によって使用されていた非常時接続利用者端末からの不正アクセスを流入させていた非常時接続境界ルータを先の一覧から除外する。
【０１４０】
Ｓ３２５では、一覧に残されている境界ルータ５０３の各々の接続先に基づいて、先の通知に係る不正アクセスについての対策を自組織で実施するか、あるいはこの対策の実施を他組織に依頼するかを分類する。
【０１４１】
この分類の基準は、より具体的には、一覧に残されている境界ルータ５０３が非常時接続境界ルータであるか、あるいはＩＳＰネットワーク５００とは信頼関係のない隣接ＩＳＰとの境界に設置されているＩＳＰ境界ルータであるならば、この境界ルータ５０３において自組織でこの対策を実施するものとする。一方、一覧に残されている境界ルータ５０３がＩＳＰネットワーク５００と信頼関係にある隣接ＩＳＰとの境界に設置されているＩＳＰ境界ルータであるならば、このＩＳＰ境界ルータでは対策を行わずにその隣接ＩＳＰにこの対策の実施を依頼するものとする。この手順によって前述した通知に係る不正アクセスについての対策を実施する場所が全て決定される。
【０１４２】
Ｓ３２５の手順を終えた後には図８の手順へ戻る。
図８のＳ３０４では、上述した不正アクセス対策実施場所決定手順で求めた、対策実施場所が取り出される。
【０１４３】
Ｓ３０５では、Ｓ３０４の手順で取り出された対策実施場所のうち、未対策のまま残されている場所の数が０よりも大きいか否かが判定され、この判定結果がＹｅｓ、すなわち未対策の場所が残されているのであればＳ３０６に手順を進める。一方、この判定結果がＮｏ、すなわち対策を実施すべき全ての場所での対策が完了したならばＳ３０１へ手順を戻して上述した手順が繰り返される。
【０１４４】
Ｓ３０６では、Ｓ３０４の手順で取り出された対策実施場所のうち、未対策のまま残されている場所が一つ取り出される。
Ｓ３０７では、前の手順で取り出された場所が、自組織でこの対策を実施するとしていた境界ルータ５０３であるか否かが判定され、この判定結果がＹｅｓならばＳ３０８に手順を進める。一方、この判定結果がＮｏ、すなわちこの場所がその隣接ＩＳＰにこの対策の実施を依頼するものとしたＩＳＰ境界ルータであったならばＳ３０９に手順を進める。
【０１４５】
Ｓ３０８では、前の手順で取り出された場所である境界ルータ５０３を制御する不正アクセス対策実施エージェントサイト３００に対して不正アクセス対策実施要求が送付され、その後はＳ３１２に手順が進む。
【０１４６】
この不正アクセス対策実施要求には対策を実施させる境界ルータ５０３を特定する情報が示されており、更にＳ３０１の処理で取り出されていた不正アクセス通知が添付されている。この要求を受け取った不正アクセス対策実施エージェントサイト３００では、不正アクセス対策実施エンジン３１１によって不正アクセス対策実施手順が実行される。
【０１４７】
不正アクセス対策実施手順の詳細は図１０にフローチャートで示されている。以下、この図１０の手順を先に説明する。
まず、Ｓ４０１において、不正アクセス対策マネージャサイト１００から送られてきた不正アクセス対策実施要求が取得される。
【０１４８】
Ｓ４０２では、運用管理システム５０１に対する問い合わせが行われ、運用管理システム５０１から送られてくる不正アクセス対策実施要求に示されていた境界ルータ５０３を制御するために必要な固有情報、例えばこの境界ルータ５０３の機器種別、機器管理のための管理者ＩＤ及びパスワード等が取得される。
【０１４９】
Ｓ４０３では、前の手順によって取得された固有情報を使用して境界ルータ５０３が制御され、不正アクセス対策実施要求に添付されていた不正アクセス通知に含まれるＳｒｃＩＰ、ＤｉｓｔＩＰ、ＤｉｓｔＰｏｒｔ、攻撃種別情報に基づいて、この通知に係る不正アクセスと同一のパケットの通過を遮断するフィルタを境界ルータ５０３が設定される。
【０１５０】
Ｓ４０４ではスレットの分岐が行われ、その一方ではＳ４０１からＳ４０３にかけての繰り返しの手順が実行され、他方ではＳ４０５からＳ４０８にかけての手順が実行される。
【０１５１】
Ｓ４０５では、前述したＳ４０３の手順で設定したフィルタの状況が境界ルータ５０３から取り出される。
Ｓ４０６では、前のステップで取り出されたフィルタの状況から、対策解除時間閾値を超えて不正アクセスであるパケットが継続して境界ルータ５０３に到来していないかどうかが判定され、この判定結果がＹｅｓ、すなわち対策解除時間閾値を超えて不正アクセスであるパケットが継続して到来していないのであればＳ４０７に手順を進め、一方、この判定結果がＮｏ、すなわち不正アクセスであるパケットが依然として到来しているかあるいは不正アクセスであるパケットが到来していない継続時間が対策解除時間閾値に未だ満たないときにはＳ４０５へ手順を戻して上述した手順が繰り返される。なお、対策解除時間閾値については後述する。
【０１５２】
Ｓ４０７では、境界ルータ５０３が制御されて前述したＳ４０３の手順で設定したフィルタが解除される。
Ｓ４０８では、不正アクセス対策マネージャサイト１００の不正アクセス対策記録制御部１１２へログ要求が送付され、対策の実施完了の記録の依頼が行われる。なお、このログ要求には、Ｓ３０１の手順によって取得された不正アクセス通知が添付される。
【０１５３】
Ｓ４０８の手順を終えた後にはＳ４０４の手順によって分岐させたＳ４０５からＳ４０８にかけてのスレッドを終了させる。
以上の不正アクセス対策実施手順が行われることによって、不正なアクセスへの対策が実施されて顧客ネットワークが不正なアクセスから保護される。
【０１５４】
図８の手順の説明へ戻る。
前述したＳ３０７の手順における判定の結果がＮｏであったとき、すなわち前述したＳ３０６の手順において取り出された場所が、不正アクセスについての対策の実施を隣接ＩＳＰに依頼するものとしたＩＳＰ境界ルータであったときにはＳ３０９において組織間認証手順が実行される。この手順の詳細は図１１にフローチャートで示されている。
【０１５５】
以下、この図１１の手順を先に説明する。
まず、Ｓ３３１においてサーバ認証処理が証明書１２０を用いて行われ、対策の依頼先である隣接ＩＳＰ（サーバ）が確かに信頼関係にあるＩＳＰであって悪意あるサイトのなりすましでないことの確認が行われる。
【０１５６】
続くＳ３３２ではクライアント認証処理が証明書１２０を用いて行われ、対策依頼元であるＩＳＰネットワーク５００（クライアント）が確かに信頼関係にあるＩＳＰで、悪意あるサイトのなりすましでないことの確認が対策の依頼先であるＩＳＰで行われる。
【０１５７】
このＳ３３２の手順が終了したときには図８の手順へ戻る。
以上の組織間認証手順が行われることによって、不正アクセス対策に関する情報の悪意あるサイトによるなりすましでの窃取が防止される。
【０１５８】
図８においてＳ３０９に続いて行われるＳ３１０では組織間ポリシー交換手順が実行される。この手順の詳細は図１２にフローチャートで示されている。
以下、この図１２の手順を先に説明する。
【０１５９】
まず、Ｓ３４１において、第三者による情報の解読を不可能にするために、対策依頼元であるＩＳＰネットワーク５００と対策依頼先である隣接ＩＳＰとの間で暗号アルゴリズムの交換が行われる。
【０１６０】
Ｓ３４２では、対策依頼元であるＩＳＰネットワーク５００と対策依頼先である隣接ＩＳＰとの間で自己の対策解除時間閾値の交換が行われ、そのうちの短いものが両者間での対策解除時間閾値として採用される。
【０１６１】
ここで対策解除時間閾値にについて説明する。
対策解除時間閾値とは、ある不正アクセスが検知されなくなってから後にどの程度の時間までその不正アクセスに対する対策を継続するかを示す閾値である。この閾値は自己のネットワーク運用におけるセキュリティポリシーに従って各ＩＳＰで独自に設定されるが、ＩＳＰ間で異なる値が設定されている場合には、本実施形態においてはそのうちのより短い時間を示している閾値を、その両者によって伝送されている不正アクセスに対して採用することとする。これは、閾値を長時間とすればそれだけ不正アクセスではない正規のアクセスも遮断してしまうおそれが長く継続してしまうことを考慮したものである。
【０１６２】
従って、例えばＰｏｌｉｃｙ１３０に示されている対策依頼元の対策解除時間閾値が１０分に設定されており、一方、対策依頼先の対策解除時間閾値が２０分に設定されている場合には、その両者によって伝送されている不正アクセスについての対策解除時間閾値としては１０分が採用されることになる。
【０１６３】
なお、このようにして決定された対策解除時間閾値よりも、前述した不正アクセス通知に示されていた対策解除ポリシーの値の方がより短い時間を示していたときには、顧客の指示に従うため、この対策解除ポリシーの値を対策解除時間閾値として採用する。
【０１６４】
Ｓ３４３では、対策依頼元であるＩＳＰネットワーク５００と対策依頼先である隣接ＩＳＰとの間でタイムゾーン（地域別時間帯情報）の交換が行われる。これは、双方で対策内容の記録を行うときの時刻情報をローカル時間で表わすことを可能にして利便性を向上させる等の用途のために行われるものである。
【０１６５】
このＳ３４３の手順が終了したときには図８の手順へ戻る。
以上の組織間ポリシー交換手順が行われることによって、ネットワーク運用に関するセキュリティポリシーに組織間で違いが存在していても、その違いを調整した上での不正アクセスに対する対策を依頼先に実施してもらうことができるようになる。
【０１６６】
図８においてＳ３１０に続いて行われるＳ３１１では、前述したＳ３０１の手順において取り出された不正アクセス通知が、対策依頼先である隣接ＩＳＰへ転送される。なお、このとき、Ｓ３０１の手順において取り出された不正アクセス通知に示されている対策解除ポリシーの値と、前述した組織間ポリシー交換手順の実行によって採用された対策解除時間閾値とが異なっているときには、このときの対策解除時間閾値を対策解除ポリシーの値として上書きした上で対策依頼先である隣接ＩＳＰへ転送するようにする。
【０１６７】
Ｓ３１２では不正アクセス対策記録制御部１１２へログ要求が送付され、上述したＳ３０８の手順またはＳ３０９からＳ３１１にかけての手順で行われた処理の内容の記録の依頼が行われる。なお、このログ要求には、Ｓ３０１の手順によって取得された不正アクセス通知が添付される。
【０１６８】
Ｓ３１３では、Ｓ３０３の不正アクセス対策実施場所決定手順で求めた対策実施場所数を１減らし、その後はＳ３０５へ手順を戻して上述した処理が繰り返される。
【０１６９】
ところで、前述したＳ３０２の手順における判定の結果がＹｅｓであったときには、その後も不正アクセス通知の転送がＩＳＰ間で繰り返される（不正アクセス通知がループしている）だけで不正アクセスに対する対策が全くなされてないおそれがあると見ることができる。
【０１７０】
そこで、この場合には、まず、Ｓ３１４において、不正アクセス対策記録制御部１１２へログ要求が送付され、ループしている不正アクセス通知を取得した旨の記録の依頼が行われる。なお、このログ要求には、Ｓ３０１の手順によって取得された不正アクセス通知が添付される。
【０１７１】
その後は、Ｓ３１５において、Ｓ３０１で取り出された不正アクセス通知を送付してきた通知元（すなわち不正アクセス対策依頼の依頼元）のＩＳＰの不正アクセス対策マネージャサイト１００に指示を与えて、そこで実行されている不正アクセス対策制御手順をＳ３０８から開始させることにより、この不正アクセス通知に係る不正アクセスに対する対策をそのＩＳＰ内で実施させるようにする。
【０１７２】
以上の不正アクセス対策制御手順が行われることによって、不正なアクセスへの対策の実施が指示されて顧客ネットワークが不正なアクセスから保護される。
次に図１３について説明する。同図は不正アクセス対策記録制御部１１２によって行われる不正アクセス対策記録手順の内容をフローチャートで示したものである。
【０１７３】
まず、Ｓ５０１において、不正アクセス対策制御部１１１や不正アクセス対策実施エージェントサイト３００の不正アクセス対策実施エンジン３１１から送られてくるログ要求が取り出される。
【０１７４】
Ｓ５０２では、取り出されたログ要求に基づいて、時刻、アクション、検出ＩＤ、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、ＤｉｓｔＰｏｒｔ、不正パケット数、攻撃種別をログに記録してＬｏｇＤＢ１４０に格納する。なお、ここで、「アクション」とは、例えば対策の実施、対策の転送（隣接ＩＳＰへの対策の依頼）、対策の解除、あるいは対策の中止など、どのような処置が実行されたときにログの記録が要求されたかを示す情報である。
【０１７５】
このＳ５０２の手順を終えた後にはＳ５０１へと手順を戻し、以降は上述したログ要求の取り出しとログへの記録の手順が繰り返される。
以上の不正アクセス対策記録手順が行われることにより、ＩＳＰネットワーク５００の管理者は顧客ネットワークに対する不正アクセスへの対処の状況をこの履歴の記録から把握することができるようになる。
【０１７６】
なお、図２は本発明を実施する不正アクセス対処システムの各構成要素によって実行される各種の制御プログラムをコンピュータで読み取り可能な記録媒体に記録させ、その制御プログラムを記録媒体からコンピュータに読み出させて実行させることによって本発明を実施するようにしてもよい。
【０１７７】
記録させた制御プログラムをコンピュータで読み取ることの可能な記録媒体の例を図１４に示す。このような記録媒体としては、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学作用によって蓄積し、コンピュータから読み取ることができるものであればよく、このような記録媒体としては、同図に示すように、例えば、コンピュータ７０１に内蔵若しくは外付けの付属装置として備えられるＲＡＭ若しくはＲＯＭ又はハードディスク装置などのメモリ７０２、あるいはフレキシブルディスク、ＭＯ（光磁気ディスク）、ＣＤ−ＲＯＭ、ＣＤ−Ｒ／Ｗ、ＤＶＤ、８ｍｍテープ、メモリカードなどといった可搬型記録媒体７０３等が利用できる。
【０１７８】
また、記録媒体は通信回線７０４を介してコンピュータ７０１と接続される、プログラムサーバ７０５として機能するコンピュータが備えている記憶装置７０６であってもよい。この場合には、制御プログラムを表現するデータ信号で搬送波を変調して得られる伝送信号を、プログラムサーバ４５から伝送媒体である通信回線７０４を通じて伝送するようにし、コンピュータ７０１では受信した伝送信号を復調して制御プログラムを再生することで当該制御プログラムを実行できるようになる。
【０１７９】
ここで、伝送媒体としては、有線通信媒体、例えば、同軸ケーブルおよびツイストペアケーブルを含む金属ケーブル類、光通信ケーブル等、または、無線通信媒体、例えば、衛星通信、地上波無線通信等のいずれでもよい。
【０１８０】
また、搬送波は、データ通信信号を変調するための電磁波または光である。但し、搬送波は直流信号でもよい。この場合にはデータ通信信号は搬送波がないベースバンド波形になる。したがって、搬送波に具現化されたデータ通信信号は、変調されたブロードバンド信号を変調されていないベースバンド信号（電圧０の直流信号を搬送波とした場合に相当）のいずれでもよい。
【０１８１】
その他、本発明は、上述した実施形態に限定されることなく、本発明の要旨を逸脱しない範囲内で種々の改良・変更が可能である。
（付記１） 自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索を行う探索手段と、
前記サービスを前記不正なアクセスから保護するための対策を実施する場所の決定を前記探索の結果に基づいて行う決定手段と、
前記不正なアクセスを自己の通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて該決定を該流入元へ通知する通知手段と、を有することを特徴とする不正アクセス対処システム。
【０１８２】
（付記２） 自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索を行う探索処理と、
前記サービスを前記不正なアクセスから保護するための対策を実施する場所の決定を前記探索の結果に基づいて行う決定処理と、
前記不正なアクセスを自己の通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて該決定を該流入元へ通知する通知処理と、をコンピュータに行わせるための不正アクセス対処処理プログラム。
【０１８３】
（付記３） 前記探索処理は、前記不正なアクセスが検知されたときに前記探索の処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１８４】
（付記４） 前記探索処理は、前記不正なアクセスの検知が通知されたときに前記探索の処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１８５】
（付記５） 前記探索処理は、前記自己の通信ネットワークで伝送されているトラフィックの監視情報と前記不正なアクセスの内容を示す不正アクセス情報とに基づいて前記流入路を探索する処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１８６】
（付記６） 前記監視情報は、前記自己の通信ネットワークと該自己の通信ネットワークに隣接する通信ネットワークとの境界に配置されている境界ルータの位置情報と、該境界ルータを通過して該自己の通信ネットワークへ流入したトラフィックについての監視情報とを少なくとも含むことを特徴とする付記５に記載の不正アクセス対処処理プログラム。
【０１８７】
（付記７） 前記通知処理は、前記不正なアクセスの流入元との間で相互認証を行った後に前記決定を該流入元へ通知する処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１８８】
（付記８） 前記通知処理は、前記不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前記決定を該流入元へ通知する処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１８９】
（付記９） 前記セキュリティポリシーに関する情報は、前記不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間を示す情報であることを特徴とする付記８に記載の不正アクセス対処処理プログラム。
【０１９０】
（付記１０） 前記セキュリティポリシーに関する情報によって示されている時間が前記自己のネットワークと前記流入元とで異なっているときには、両者のうち短い方の時間を、前記不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間とすることを特徴とする付記９に記載の不正アクセス対処処理プログラム。
【０１９１】
（付記１１） 前記通知処理は、前記決定と共に、前記不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間を示す情報を前記流入元へ通知する処理を前記コンピュータに行わせることを特徴とする付記１０に記載の不正アクセス対処処理プログラム。
【０１９２】
（付記１２） 前記通知処理は、前記不正なアクセスの流入路とは異なる通信経路を用いて前記決定を該不正なアクセスの流入元へ通知する処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１９３】
（付記１３） 前記通知処理は、前記自己の通信ネットワークに前記不正なアクセスを流入させている流入元で前記対策を実施する決定がされたときに、該決定を該流入元へ通知するか否かの判定を前記コンピュータに行わせ、
前記通知処理の実行によって前記決定を前記流入元へ通知しないとの判定がされたときに、前記サービスを前記不正なアクセスから保護するための対策を前記自己の通信ネットワーク内で実施させる不正アクセス対策実施制御処理を前記コンピュータに更に行わせる、
ことを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１９４】
（付記１４） 前記判定は、予め与えられている前記流入元についての判定情報に基づいて行われることを特徴とする付記１３に記載の不正アクセス対処処理プログラム。
【０１９５】
（付記１５） 前記自己の通信ネットワーク内で前記対策を実施するとの前記決定に応じて、該サービスを該不正なアクセスから保護するための対策を該自己の通信ネットワーク内で実施させる不正アクセス対策実施制御処理を前記コンピュータに更に行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１９６】
（付記１６） 前記不正アクセス対策実施制御処理は、前記不正なアクセスの発信元が接続しているＰＯＰ（ポイント・オブ・プレゼンス）境界ルータにおいて前記対策を実施させるための処理を前記コンピュータに行わせることを特徴とする付記１５に記載の不正アクセス対処処理プログラム。
【０１９７】
（付記１７） 前記不正アクセス対策実施制御処理は、前記不正なアクセスの発信元が接続しているＰＯＰ境界ルータを、前記自己の通信ネットワークの運用の管理を行っている運用管理システムから得られる情報に基づいて特定する処理を前記コンピュータに行わせることを特徴とする付記１６に記載の不正アクセス対処処理プログラム。
【０１９８】
（付記１８） 前記自己の通信ネットワークとは異なる他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークへ流入させている決定の通知を取得する通知取得処理を前記コンピュータに更に行わせ、
前記不正アクセス対策実施制御処理は、前記通知取得処理によって前記通知が取得されたときには、前記他の通信ネットワークより公開されているサービスを該通知に係る該不正なアクセスから保護するための対策を前記自己の通信ネットワーク内で実施させる処理を前記コンピュータに行わせる、
ことを特徴とする付記１５に記載の不正アクセス対処処理プログラム。
【０１９９】
（付記１９） 前記不正アクセス対策実施制御処理の実行によって実施させた前記対策は、前記不正アクセスの検知がされなくなったときから予め設定されている時間が経過した後には解除されることを特徴とする付記１５に記載の不正アクセス対処処理プログラム。
【０２００】
（付記２０） 前記予め設定されている時間は、前記自己の通信ネットワークと前記他の通信ネットワークとの各々のネットワーク運用におけるセキュリティポリシーに基づいて設定されていることを特徴とする付記１９に記載の不正アクセス対処処理プログラム。
【０２０１】
（付記２１） 前記自己の通信ネットワークと前記他の通信ネットワークとの各々のネットワーク運用におけるセキュリティポリシーに基づいて設定されている時間が両者間で異なっているときには、前記不正アクセスの検知がされなくなったときから両者のうち短い方の時間が経過した後には解除されることを特徴とする付記２０に記載の不正アクセス対処処理プログラム。
【０２０２】
（付記２２） 前記自己の通信ネットワークとは異なる他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークへ流入させている決定の通知を取得する通知取得処理を前記コンピュータに更に行わせ、
前記探索処理は、前記通知取得処理によって前記通知が取得されたときには、該通知に係る不正なアクセスの自己の通信ネットワークにおける流入路を探索する処理を前記コンピュータに行わせ、
前記決定処理は、前記通知取得処理によって前記通知が取得されたときには、前記他の通信ネットワークより公開されているサービスを該通知に係る不正なアクセスから保護するための対策を実施する場所を前記探索の結果に基づいて決定する処理を前記コンピュータに行わせ、
前記通知処理は、前記通知取得処理によって前記通知が取得されたときには、該通知に係る不正なアクセスを前記自己の通信ネットワークに流入させている流入元で前記対策を実施する決定に応じて該決定を該流入元へ通知する処理を前記コンピュータに行わせる、
ことを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０２０３】
（付記２３） 前記通知取得処理の実行によって取得された通知が過去に取得されたものと同一の通知であるときに、前記自己の通信ネットワーク若しくは前記他の通信ネットワークより公開されているサービスを該通知に係る不正なアクセスから保護するための対策を該通知の通知元の通信ネットワーク内で実施させる不正アクセス対策実施制御処理を前記コンピュータに更に行わせることを特徴とする付記２２に記載の不正アクセス対処処理プログラム。
【０２０４】
（付記２４） 前記通知処理は、前記決定を通知するときに該通知に係る不正なアクセスを一意に特定する情報を併せて通知する処理を前記コンピュータに行わせることを特徴とする付記２３に記載の不正アクセス対処処理プログラム。
【０２０５】
（付記２５） 前記通知処理の実行の履歴を記録する記録処理を前記コンピュータに更に行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０２０６】
（付記２６） 自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索を行い、
前記サービスを前記不正なアクセスから保護するための対策を実施する場所の決定を前記探索の結果に基づいて行い、
前記不正なアクセスを自己の通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて該決定を該流入元へ通知する、
ことを特徴とする不正アクセス対処方法。
【０２０７】
（付記２７） 自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索を行う探索処理と、
前記サービスを前記不正なアクセスから保護するための対策を実施する場所の決定を前記探索の結果に基づいて行う決定処理と、
前記不正なアクセスを自己の通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて該決定を該流入元へ通知する通知処理と、をコンピュータに行わせるための不正アクセス対処処理プログラムを記録した該コンピュータで読み取り可能な記録媒体。
【０２０８】
【発明の効果】
以上詳細に説明したように、本発明は、自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路を探索し、このサービスをこの不正なアクセスから保護するための対策を実施する場所の決定をこの探索の結果に基づいて行い、この不正なアクセスを自己の通信ネットワークに流入させている流入元でこの対策を実施するとの決定に応じて該決定を該流入元へ通知する。
【０２０９】
こうすることにより、本発明によれば、不正アクセスの発信元にできるだけ近い場所での不正アクセス対策の実施が可能となる結果、分散型サービス不能化攻撃に効果的に対処することができるという効果を奏する。
【図面の簡単な説明】
【図１】本発明の原理構成を示す図である。
【図２】本発明を実施する不正アクセス対処システムの機能構成を示す図である。
【図３】図２のシステムで使用されるコンピュータのハードウェア構成例を示す図である。
【図４】トラフィックモニター手順の内容を示す図である。
【図５】トラフィックＤＢのデータ構造を示す図である。
【図６】不正アクセス通知手順の内容を示す図である。
【図７】不正アクセス通知のデータ形式を示す図である。
【図８】不正アクセス対策制御手順の内容を示す図である。
【図９】不正アクセス対策実施場所決定手順の内容を示す図である。
【図１０】不正アクセス対策実施手順の内容を示す図である。
【図１１】組織間認証手順の内容を示す図である。
【図１２】組織間ポリシー交換手順の内容を示す図である。
【図１３】不正アクセス対策記録手順の内容を示す図である。
【図１４】記録させた制御プログラムをコンピュータで読み取ることの可能な記録媒体の例を示す図である。
【図１５】従来の不正アクセス対処システムの概略を説明する図である。
【符号の説明】
１０ 自ＩＳＰ
１１、５０１ 運用管理システム
１２、１００ 不正アクセス対策マネージャサイト
１２−１ 探索手段
１２−２ 決定手段
１２−３ 通知手段
１２−４ 認証手段
１２−５ セキュリティポリシー交換手段
１２−６ 不正アクセス対策実施制御手段
１２−７ 通知取得手段
１２−８ 記録手段
１３、２００ 不正アクセス通知エージェントサイト
１３−１ 不正アクセス通知手段
１４、５０２ ＩＤＳ
１５ 顧客境界ルータ
１６、１８、３００ 不正アクセス対策実施エージェントサイト
１６−１、１８−１ トラフィックモニター手段
１６−２、１８−２ 不正アクセス対策実施手段
１７、２００２、２００３ ＩＳＰ境界ルータ
１９、３００１、４００１ ＰＯＰ境界ルータ
２０、１０００ 顧客サイト
２１、１００１ Ｗｅｂシステム
２２、１００２ ファイヤウォール
３０ 隣接ＩＳＰ
４０ 非常時接続利用者端末
１０１ 管理端末
１１０ 不正アクセス対策マネージャプログラム
１１１ 不正アクセス対策制御部
１１２ 不正アクセス対策記録制御部
１１３、３１３ ＩＯ制御部
１２０ 証明書
１３０ Ｐｏｌｉｃｙ
１４０ ＬｏｇＤＢ
２１０ 不正アクセス通知プログラム
２１１ 不正アクセス通知エンジン
２１２ 通信制御部
３１０ 不正アクセス対策実施プログラム
３１１ 不正アクセス対策実施エンジン
３１２ トラフィックモニターエンジン
３２０ トラフィックＤＢ
４００ 不正アクセス対処システム専用ネットワーク
５００ ＩＳＰネットワーク
５０３、２００１ 境界ルータ
６０１ ＣＰＵ
６０２ ＲＡＭ
６０３ ＲＯＭ
６０４ ＨＤＤ
６０５ 入力部
６０６ 出力部
６０７ 通信インタフェースＡ
６０８ 通信インタフェースＢ
６０９ バス
７０１ コンピュータ
７０２ メモリ
７０３ 可搬型記録媒体
７０４ 回線
７０５ プログラムサーバ
７０６ 記憶装置
２０００ ＩＳＰ−Ａ
３０００ ＩＳＰ−Ｂ
４０００ ＩＳＰ−Ｃ
【発明の属する技術分野】
本発明は、通信ネットワークにおける不正アクセス対策技術に関し、特に、例えばインターネットサービスプロバイダ（ＩＳＰ）が顧客に提供する不正アクセス対策サービスの実施技術に関するものであり、とりわけ、分散型サービス不能化攻撃に代表される不正アクセス攻撃に対して効果的な対策実施技術に関するものである。
【０００２】
【従来の技術】
サービス不能化攻撃（ＤｏＳ：Denial of Services）とは、故意にシステムリソース許容限度を越えた処理要求を送出することにより、システムを停止または不能化させる攻撃で、正当な処理要求と不当な処理要求との区別が難しいという特徴がある。その内特に攻撃元がネットワーク上に多数分散している形態の攻撃を分散型サービス不能化攻撃（ＤＤｏＳ：Distributed Denial of Services、以下「ＤＤｏＳ攻撃」と称する）という。このＤＤｏＳ攻撃については非特許文献１に詳説されている。
【０００３】
ＤＤｏＳ攻撃に対する従来の対処技術を分類すると下記の２つの手法に大別することができ、その各々の手法について各対処技術を更に細分化することができる。
【０００４】
Ｉ．現状のネットワークで使用されている構成要素を置き換える手法
（１）ＩＰパケットを拡張して行われる対処技術
これは、ＩＰパケットにその往復の経路情報を追加すると共に、ルータ（Router）やファイヤウォール（Firewall）を現状のものからこの拡張されたＩＰパケットを理解できるものに置き換えることにより、攻撃元の探索や要求処理の送信元毎の均等化を可能とする技術である。
【０００５】
（２）ＩＰパケットの拡張は行わない対処技術
この技術に含まれるものとして、例えば特許文献１で開示されている技術は、境界ルータ（Edge Router ）において増殖させて各ルータへ送付するパケットフィルタリングプログラムを受信したルータでそのプログラムを実行して攻撃元からのトラフィックを遮断するというものであり、現状のネットワークで使用されているものに代えてこのプログラムを受信・実行可能なルータが用いられる。
【０００６】
II．現状のネットワークで用いられている構成要素をそのまま使用する手法
この手法について図１５を参照しながら説明する。
図１５に示したネットワーク構成例において、顧客サイト１０００はＷｅｂシステム１００１を運用しており、更に、Ｗｅｂシステム１００１への不正侵入を防護するためのファイヤウォール１００２を設置している。
【０００７】
Ｗｅｂシステム１００１はファイヤウォール１００２を介して境界ルータ２００１に接続されている。境界ルータ２００１はインターネットサービスプロバイダであるＩＳＰ−Ａ２０００によって管理されている。
【０００８】
また、このＷｅｂシステム１００１に対してＤＤｏＳ攻撃を行うことを目論んでいる攻撃者は、ネットワーク上でＩＳＰ−Ａ２０００に隣接しているインターネットサービスプロバイダであるＩＳＰ−Ｂ３０００によって管理されているＰＯＰ（Point of Presence ）境界ルータにアクセスしてＷｅｂシステムへの攻撃を行う。
【０００９】
一方、このＷｅｂシステム１００１のサービスを利用する正規の利用者は、ネットワーク上でＩＳＰ−Ａ２０００に隣接しているインターネットサービスプロバイダであるＩＳＰ−Ｃ３０００の管理しているＰＯＰ境界ルータにアクセスしてＷｅｂシステム１００１によるサービスの提供を受ける。
【００１０】
（１）攻撃対象顧客サイトによる対処技術
これは、ＩＤＳ（Intrusion Detection System：侵入検知システム）で利用されている不正アクセス検知技術とファイヤウォールやルータで利用されているパケット制御（フィルタリングや流量制御など）技術とを実装した装置をＩＳＰ−Ａ２０００と顧客サイト１０００とのネットワーク境界に配置（図１５においては境界ルータ２００１に配置）し、ＤＤｏＳ不正アクセスを検知すると、ＩＳＰ−Ａ２０００から顧客サイト１０００へ流れる特定の不正パケットのみを遮断する技術である。
【００１１】
（２）単独ＩＳＰによる対処技術
これは、ＩＤＳ装置をＩＳＰ−Ａ２０００と顧客サイト１０００とのネットワーク境界に配置（図１５においては境界ルータ２００１に配置）し、且つパケット制御装置をＩＳＰ−Ａ２０００と隣接ＩＳＰとのネットワーク境界（図１５においては境界ルータ２００２、２００３に配置）に配置し、ＩＤＳが不正アクセスを検知すると、送信元を偽った攻撃パケットの上流を特定するＩＰトレースバック（Traceback ）技術を利用して、そのパケットの流入元を特定し、隣接ＩＳＰとの境界（図１５においては境界ルータ２００２）で不正パケットのみを遮断する技術である。
【００１２】
（３）複数ＩＳＰ連携による対処技術
これは、前述した単独ＩＳＰによる対処技術により不正アクセスパケット流入元の隣接ＩＳＰがＩＳＰ−Ｂ３０００であることを特定したＩＳＰ−Ａ２０００の管理者が、電話による手作業でＩＳＰ−Ｂ３０００の管理者へ対策を依頼することにより実現する。ゆえに、現状未確立の技術である。
【００１３】
なお、ＤＤｏＳ攻撃に関する技術情報の所在は非特許文献２が詳しい。
ところで、分散型サービス不能化攻撃に対しては、攻撃発信元から攻撃対象顧客サイトへ至る経路上における攻撃発信元により近い場所で対処した方が、より効果的な対策になるといえる。なぜならば、攻撃対象サイトにより近い場所で対策を実施した場合には、攻撃対象サイトを守ることはできるものの、経路上のネットワークの輻輳やルータ処理遅延による不能化が防げないため、そのサイトのサービスをインターネットから利用している者にとっては結局サービスが無効化されたときと同様の状態になってしまうからである。
【００１４】
【特許文献１】
特開２００２−１６４９３８号公報
【非特許文献１】
ケビン・Ｊ・ホール（Kevin J Houle ）、ジョージ・Ｍ・ウィーバ（George M. Weaver）共著、「トレンズ・イン・デナイアル・オブ・サービス・アタック・テクノロジ（Trends in Denial of Service Attack Technology）」、［online］、２００１年１０月、サート・コーディネーション・センタ（CERT Coordination Center）、［平成１５年２月１７日検索］、インターネット＜ＵＲＬ：http://www.cert.org/archive/pdf/DoS_trends.pdf＞
【００１５】
【非特許文献２】
デイブ・ディトリッチ（Dave Dittrich ）、「ディストリビューティッド・デナイアル・オブ・サービス（ディーディーオーエス）・アタックス／ツールズ（Distributed Denial of Service (DDoS) Attacks/tools）」、［online］、［平成１５年２月１７日検索］、インターネット＜ＵＲＬ：http://staff.washington.edu/dittrich/misc/ddos/＞
【００１６】
【発明が解決しようとする課題】
上述した手法のうち、Ｉ．の手法においては、新しいプロトコルを実装したルータを現状のネットワークで使用されているものに代えて設置しなければＤＤｏＳ攻撃に対処できないため、ルータの置き換えの費用がかかる。更に、新しいプロトコルとその新プロトコルを扱えるルータとが普及するまでにはかなりの年月を要するという問題も抱えている。
【００１７】
また、ＤＤｏＳ攻撃が発生している状態では通信の信頼性が保証できないため、上述した特許文献１に開示されている技術ではルータがプログラムを受信できない結果、攻撃元からのトラフィックが遮断されないという場合が考えられる。その一方で、特許文献１に開示されている技術ではルータ自体がＤＤｏＳ攻撃の対象とされてしまう場合も考えられる。また、特許文献１に開示されている技術ではプログラムを増殖させる動作が行われるが、この動作が各組織のセキュリティポリシーに対する考え方に馴染まないために採用が見送られる結果、ＤＤｏＳ攻撃に対して組織横断的に対処することができない場合も考えられる。
【００１８】
また、前述した手法のうち、II．の手法においては、以下の問題が考えられる。
まず、攻撃対象顧客サイトによる対処技術では、ＩＳＰと攻撃対象顧客サイトとの境界で対策を実施するため、ＩＳＰ内のネットワークの輻輳やルータ処理能力の低下には対処ができない。従って、ＤＤｏＳ攻撃がＩＳＰの他の顧客へ及ぼす影響を防ぐことができない。
【００１９】
図１５の例では、攻撃者によるＩＳＰ−Ｂ３０００を介したＷｅｂシステム１００１へのＤＤｏＳ攻撃を境界ルータ２００１で対策すると、ＩＳＰ−Ｃ４０００を介してＷｅｂシステム１００１へのアクセスを行っている正規利用者へのサービスの提供に影響を及ぼしてしまう。
【００２０】
また、単一ＩＳＰによる対処技術では、ＩＳＰと隣接ＩＳＰとの境界で対策が実施されるため、自ＩＳＰ内ネットワークへの影響は最小限となるが、隣接ＩＳＰ内でのネットワークの輻輳やルータの処理能力の劣化には対処できないため、結果として隣接ＩＳＰから自ＩＳＰへ流入する正規のパケットが受ける影響を防ぐことができない。更にその上に、常時接続されているネットワーク境界のみでしか対策ができないため、時間と共に接続実体が変化する非常時接続ネットワークからの攻撃には正しく対処することができない。
【００２１】
図１５の例では、攻撃者によるＩＳＰ−Ｂ３０００を介したＷｅｂシステム１００１へのＤＤｏＳ攻撃を境界ルータ２００２で対策すると、ＩＳＰ−Ｃ４０００を介してＷｅｂシステム１００１へのアクセスを行っている正規利用者へのサービスの提供に及ぼす影響は少ないものの、ＩＳＰ−Ｂ３０００を介してＷｅｂシステム１００１へのアクセスを行っている不図示の正規利用者へのサービスの提供にはやはり影響を及ぼしてしまう。しかも、図１５の場合には、ＩＳＰ−Ｂ３０００が管理しているＰＯＰ境界ルータ３００１に接続して攻撃を行っている攻撃者がＰＯＰ境界ルータ３００１との接続を一旦断とした後に再度接続を行ったときには攻撃元のＩＰアドレスは変化してしまうため、ＩＳＰ−Ａ２０００が管理している境界ルータ２００２での対策は困難である。
【００２２】
また、複数ＩＳＰ連携による対処技術では、攻撃発信元により近い場所で対策を実施できるものの、現状ではＩＳＰの管理者が電話で相互に連絡を取り合ってお互いのセキュリティポリシーを尊重して問題に対処していく必要があるため、対策作業に相当の時間を要する。更にその上に、ＩＳＰ担当者間の認証方法がないため、運用上の情報の信頼性、あるいはなりすましなどといったセキュリティの問題が生じる。また、ＩＳＰ間で協調連携して対策した場合には作業履歴が残らないという問題も生じている。
【００２３】
本発明は、このような従来の技術の問題点に鑑みてなされたものである。
すなわち、本発明が解決しようとする課題は、複数のＩＳＰが協調して不正アクセス発信元にできるだけ近い場所で不正アクセス対策を実施することにより、分散型サービス不能化攻撃に効果的に対処するための、不正アクセス着信拒否技術を提供することである。
【００２４】
【課題を解決するための手段】
上述した課題を解決するための手段について図１を参照しながら説明する。
図１において、自ＩＳＰ（インターネットサービスプロバイダ）１０は自己の通信ネットワークであり、その運用は運用管理システム１１によって管理されている。
【００２５】
顧客サイト２０のＷｅｂシステム２１はＷｅｂサービスを自ＩＳＰ１０より公開しており、自ＩＳＰ１０によって管理されている顧客境界ルータ１５にファイヤウォール２２を介して接続されている。
【００２６】
ＩＤＳ（侵入検知システム）１４は、顧客サイト２０のＷｅｂシステム２１への不正なアクセスを顧客境界ルータ１５において検知し、検知された不正アクセスの内容を解析する。
【００２７】
不正アクセスエージェントサイト１３は不正アクセス通知手段１３−１を必要に応じて備えており、ＩＤＳ１４から得られた情報を不正アクセス対策マネージャサイト１２へ送付する。
【００２８】
不正アクセス対策マネージャサイト１２は、探索手段１２−１、決定手段１２−２、通知手段１２−３、認証手段１２−４、セキュリティ-ポリシー交換手段１２−５、不正アクセス対策制御手段１２−６、通知取得手段１２−７、及び記録手段１２−８を各々必要に応じて備えており、顧客サイト２０のＷｅｂシステム２１への不正なアクセスに対する対策を不正アクセス対策実施エージェントサイト１６や１８に指示する。
【００２９】
不正アクセス対策実施エージェントサイト１６は、トラフィックモニター手段１６−１及び不正アクセス対策実施手段１６−２をそれぞれ必要に応じて備えており、自ＩＳＰ１０と論理的に隣接している通信ネットワークである隣接ＩＳＰ３０と自ＩＳＰ１０とを接続しているＩＳＰ境界ルータ１７において、顧客サイト２０のＷｅｂシステム２１への不正なアクセスに対する対策を行う。
【００３０】
不正アクセス対策実施エージェントサイト１８は、トラフィックモニター手段１８−１及び不正アクセス対策実施手段１８−２をそれぞれ必要に応じて備えており、自ＩＳＰ１０の利用者のうち常時接続を行わない者（非常時接続利用者）によって使用される非常時接続利用者端末４０が自ＩＳＰ１０を利用するために接続するＰＯＰ（ポイント・オブ・プレゼンス）と自ＩＳＰ１０とを接続するＰＯＰ境界ルータ１７において、顧客サイト２０のＷｅｂシステム２１への不正なアクセスに対する対策を行う。
【００３１】
上述したように構成されている図１に示すシステムにおける不正アクセスマネージャサイト１２、不正アクセス通知エージェントサイト１３、並びに不正アクセス対策実施エージェントサイト１６及び１８が本発明に特に関係するものである。
【００３２】
本発明に係る態様のひとつである不正アクセス対処システムは、自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索を行う探索手段１２−１と、このサービスをこの不正なアクセスから保護するための対策を実施する場所の決定をこの探索の結果に基づいて行う決定手段１２−２と、この不正なアクセスを自己の通信ネットワークに流入させている流入元でこの対策を実施するとの決定に応じて該決定を該流入元へ通知する通知手段１２−３と、を有するように構成することにより、前述した課題を解決する。
【００３３】
この構成によれば、自己の通信ネットワーク（自ＩＳＰ１０）より公開されているサービス（Ｗｅｂシステム２１によるＷｅｂサービス）に対する不正なアクセスへの対策を、自己の通信ネットワークにその不正アクセスを流入させている流入元で実施するとの決定がその流入元へ通知されるので、その流入元、すなわち不正アクセスの発信元により近い場所で不正アクセスの対策の実施が可能となる結果、分散型サービス不能化攻撃に対する効果的な対処が行えるようになる。
【００３４】
なお、上述した本発明に係る不正アクセス対処システムにおいて、探索手段１２−１は、前述した不正なアクセスが検知されたときに前述した探索を行うようにしてもよく、あるいは、不正なアクセスの検知がされたことが通知されたときに前述した探索を行うようにしてもよい。
【００３５】
図１においては、不正なアクセスの検知はＩＤＳ１４によって行われ、また、ＩＤＳ１４によって検知がされた不正なアクセスは不正アクセス通知手段１３−１によって不正アクセス対策マネージャサイト１２に通知される。
【００３６】
こうすることにより、不正なアクセスに対して迅速な対策を行うことができるようになる。
また、前述した本発明に係る不正アクセス対処システムにおいて、探索手段１２−１は、自己の通信ネットワークで伝送されているトラフィックの監視情報と前述した不正なアクセスの内容を示す不正アクセス情報とに基づいて前述した流入路を探索するようにしてもよい。
【００３７】
図１においては、自己の通信ネットワーク、すなわち自ＩＳＰ１０で伝送されているトラフィックの監視情報は運用管理システム１１より得られ、不正アクセス情報はＩＤＳ１４により得られる。この不正アクセス情報により不正アクセスの特徴が判明するので、これと同様の特徴を有するトラフィックを監視情報から見つけ出すことにより、不正アクセスの流入路を判明させることができる。
【００３８】
なお、ここで、監視情報は、自己の通信ネットワークと該自己の通信ネットワークに隣接する通信ネットワークとの境界に配置されている境界ルータの位置情報と、境界ルータを通過して自己の通信ネットワークへ流入したトラフィックについての監視情報とを少なくとも含むものであってもよい。
【００３９】
図１においては、境界ルータ（ＩＳＰ境界ルータ１７）の位置情報は運用管理システム１１より得られ、境界ルータを通過して自己の通信ネットワークへ流入したトラフィックについての監視情報はトラフィックモニター手段１６−１によって得られる。従って、これらの情報により、これと同様の特徴を有するトラフィックを監視情報から見つけ出すことにより、不正アクセス情報により示されている特徴を有する不正アクセスがどこから自ＩＳＰに流入したのかを判明させることができる。
【００４０】
なお、ここで、トラフィックモニター手段１６−１は、例えば、送信元アドレス、送信先アドレス、及び送信先ポート番号をキーとして、ＩＳＰ境界ルータ１７を介して流入するパケット数を単位時間毎且つ接続先毎に記録することにより、送信元アドレスが偽装されたパケットの流入路の把握が可能となる。
【００４１】
また、トラフィックモニター手段１８−１もトラフィックモニター手段１６−１と同様の記録を行うことにより、ＰＯＰ境界ルータ１９を介して流入する、非常時接続接続利用者端末４０からの流入パケットを把握することができる。
【００４２】
なお、好ましくは、トラフィックモニター手段１６−１及び１８−１は、運用管理システム１１と連携して接続先情報を入手するうにしてもよい。
また、前述した本発明に係る不正アクセス対処システムにおいて、通知手段１２−３は、前述した不正なアクセスの流入元との間で相互認証を行った後に前述した決定を該流入元へ通知するようにしてもよい。
【００４３】
図１においては、この相互認証は認証手段１２−４によって行われる。こうすることにより、流入元になりすました第三者による前述した決定の通知の窃取が防止される。
【００４４】
ここで、この相互認証のための流入元との接続プロトコルは例えばＨＴＴＰＳ（Hypertext Transfer Protocol Security）プロトコルであってもよく、また、この相互認証で用いられる認証方式は例えば公開鍵基盤（ＰＫＩ：Public Key Infrastructure ）であってもよく、また電子証明書は例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式であってもよい。
【００４５】
また、前述した本発明に係る不正アクセス対処システムにおいて、通知手段１２−３は、前述した不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前述した決定を該流入元へ通知するようにしてもよい。
【００４６】
図１においては、このセキュリティポリシーに関する情報の交換はセキュリティポリシー交換手段１２−５によって行われる。こうすることにより、流入元とのセキュリティポリシーに違いが存在していても、その違いを調整した上での不正アクセスに対する対策を流入元に依頼することができるようになる。
【００４７】
なお、ここで、セキュリティポリシーに関する情報として、データ暗号方式情報とタイムゾーンの情報との交換を行ってもよく、またデータ暗号方式の交換をするときにＨＴＴＰＳプロトコルを用いて行ってもよい。
【００４８】
また、前記セキュリティポリシーに関する情報は、不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間を示す情報であってもよい。
【００４９】
こうすることにより、不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間についてのセキュリティポリシーに違いが存在していても、セキュリティポリシーに従った対策を流入元に依頼することができる。
【００５０】
また、このとき、セキュリティポリシーに関する情報によって示されている時間が自己のネットワークと流入元とで異なっているときには、両者のうち短い方の時間を、不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間とするようにしてもよい。
【００５１】
こうすることにより、自己のネットワークと流入元との両者で許容し得るセキュリティポリシーに従った対策を流入元に依頼することができる。
また、このとき、通知手段１２−３が、前述した決定と共に、不正なアクセスが検知されなくなってから該不正なアクセスに対する前述した対策を解除するまでの時間を示す情報を流入元へ通知するようにしてもよい。
【００５２】
こうすることにより、自己のネットワークと流入元との両者で許容し得るセキュリティポリシーに従ったこの時間の設定が流入元に通知される。
また、前述した本発明に係る不正アクセス対処システムにおいて、通知手段１２−３は、前述した不正なアクセスの流入路とは異なる通信経路を用いて前述した決定を該不正なアクセスの流入元へ通知するようにしてもよい。
【００５３】
不正なアクセスの流入路はＤＤｏｓ攻撃の影響により通信路として利用できない場合があるので、こうすることより、このような場合が発生していても前述した決定を流入元へ通知することができるようになる。
【００５４】
また、前述した本発明に係る不正アクセス対処システムにおいて、通知手段１２−３は、前述した自己の通信ネットワークに前述した不正なアクセスを流入させている流入元で前述した対策を実施する決定がされたときに、該決定を該流入元へ通知するか否かを判定し、この通知手段１２−３によって前述した決定を該流入元へ通知しないとの判定がされたときに、前述したサービスを前述した不正なアクセスから保護するための対策を自己の通信ネットワーク内で実施させる不正アクセス対策実施制御手段１２−６を更に備えるようにしてもよい。
【００５５】
こうすることにより、例えば前述した決定を前述した流入先に通知しても前述した対策が該流入先で行ってもらえない場合であっても、このような不正アクセスに適切に対処することができるようになる。
【００５６】
なお、ここで、前述した判定が、予め与えられている前記流入元についての判定情報に基づいて行われるようにしてもよい。
こうすることにより、例えば前述した決定を前述した流入先に通知しても前述した対策が該流入先で行ってもらえないことが予め判明しているような場合にこのことを示す情報を予め判定情報として与えておくことにより、このような不正アクセスに適切に対処することができる。
【００５７】
また、前述した本発明に係る不正アクセス対処システムにおいて、自己の通信ネットワーク内で前述した対策を実施するとの前述した決定に応じて、該サービスを該不正なアクセスから保護するための対策を該自己の通信ネットワーク内で実施させる不正アクセス対策実施制御手段１２−６を更に備えるようにしてもよい。
【００５８】
こうすることにより、不正アクセスの発信元が自己の通信ネットワーク（自ＩＳＰ１０）内より行われている場合に、自己の通信ネットワーク内でこのような不正アクセスに対する対策を適切に行わせることができるようになる。
【００５９】
なお、図１において、例えば隣接ＩＳＰ３０から自ＩＳＰへＷｅｂシステム２１への不正アクセスが流入している場合には、不正アクセス対策実施制御手段１２−６は、ＩＳＰ境界ルータ１７で不正アクセスに対する対策の実施を不正アクセス対策実施エージェント１６に指示する。不正アクセス対策実施エージェント１６に設けられている不正アクセス対策実施手段１６−２はこの指示に応じてＩＳＰ境界ルータ１７を制御し、隣接ＩＳＰ３０からのこの不正アクセスをＩＳＰ境界ルータ１７で遮断させる。
【００６０】
なお、ここで、不正アクセス対策実施制御手段１２−６は、前述した不正なアクセスの発信元が接続しているＰＯＰ（ポイント・オブ・プレゼンス）境界ルータにおいて前述した対策を実施させるようにしてもよい。
【００６１】
図１において、例えば非常時接続利用者端末４０がＷｅｂシステム２１への不正アクセスの発信元である場合には、不正アクセス対策実施制御手段１２−６は、ＰＯＰ境界ルータ１９で不正アクセスに対する対策の実施を不正アクセス対策実施エージェント１８に指示する。不正アクセス対策実施エージェント１８に設けられている不正アクセス対策実施手段１８−２はこの指示に応じてＰＯＰ境界ルータ１９を制御し、非常時接続利用者端末４０からのこの不正アクセスをＰＯＰ境界ルータ１９で遮断させる。
【００６２】
なお、ここで、不正アクセス対策実施制御手段１２−６は、前述した不正なアクセスの発信元が接続しているＰＯＰ境界ルータ１９を、前述した自己の通信ネットワーク（自ＩＳＰ１０）の運用の管理を行っている運用管理システム１１から得られる情報に基づいて特定するようにしてもよい。
【００６３】
ＰＯＰ（ポイント・オブ・プレゼンス）接続においては、通信ネットワーク上で特定の端末を識別するために該端末に割り当てられる識別子が接続の度に異なっていることが一般的である。従って、不正アクセスの発信元である非常時接続利用者端末４０によってＰＯＰ接続が改めて行われてために異なる識別子がその非常時接続利用者端末４０に割り当てられてしまい、その結果不正アクセスに対する適切な対策が取れなくなる場合がある。しかし、この割り当ては運用管理システム１１によって管理されているので、この割り当て情報を利用することにより、ＰＯＰ接続が改めて行われて異なる識別子が割り当てられても、非常時接続利用者端末４０からのこの不正アクセスをＰＯＰ境界ルータ１９で適切に遮断させることができるようになる。
【００６４】
また、自己の通信ネットワークとは異なる他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークへ流入させている決定の通知を取得する通知取得手段１２−７を更に有し、不正アクセス対策実施制御手段１２−６は、通知取得手段１２−７によって前述した通知が取得されたときには、上述した他の通信ネットワークより公開されているサービスを該通知に係る該不正なアクセスから保護するための対策を自己の通信ネットワーク内で実施させるようにしてもよい。
【００６５】
こうすることにより、上述した他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークに流入させている自己のネットワーク、すなわち不正アクセスの発信元により近い場所でその不正なアクセスに対する適切な対策が実施される。
【００６６】
また、不正アクセス対策実施制御手段１２−６によって実施させた対策は、不正アクセスの検知がされなくなったときから予め設定されている時間が経過した後には解除されるようにしてもよい。
【００６７】
ここで、この予め設定されている時間は、自己の通信ネットワークと前述した他の通信ネットワークとの各々のネットワーク運用におけるセキュリティポリシーに基づいて設定されているようにしてもよい。
【００６８】
こうすることにより、不正アクセスについての対策によって正規のアクセス受けてしまう影響が、不正アクセスが停止してから所定の時間が経過した後には解消されるようになる。
【００６９】
なお、このとき、自己の通信ネットワークと前述した他の通信ネットワークとの各々のネットワーク運用におけるセキュリティポリシーに基づいて設定されている時間が両者間で異なっているときには、不正アクセスの検知がされなくなったときから両者のうち短い方の時間が経過した後には解除されるようにしてもよい。
【００７０】
こうすることにより、不正アクセスについての対策によって正規のアクセス受けてしまう影響が解消されるまでの時間が、自己の通信ネットワークと他の通信ネットワークとの両者で許容し得るセキュリティポリシーに従った時間となる。
【００７１】
また、前述した本発明に係る不正アクセス対処システムにおいて、自己の通信ネットワークとは異なる他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークへ流入させている決定の通知を取得する通知取得手段１２−７を更に有し、探索手段１２−１は、通知取得手段１２−７によって前述した通知が取得されたときには、該通知に係る不正なアクセスの自己の通信ネットワークにおける流入路を探索し、決定手段１２−２は、通知取得手段１２−７によって前述した通知が取得されたときには、前述した他の通信ネットワークより公開されているサービスを該通知に係る不正なアクセスから保護するための対策を実施する場所を前述した探索の結果に基づいて決定し、通知手段１２−３は、通知取得手段１２−７によって前述した通知が取得されたときには、該通知に係る不正なアクセスを自己の通信ネットワークに流入させている流入元で前述した対策を実施する決定に応じて該決定を該流入元へ通知するようにしてもよい。
【００７２】
こうすることにより、上述した他の通信ネットワークより公開されているサービスに対する不正なアクセスを自己の通信ネットワークに流入させている更に上流の流入元、すなわち不正アクセスの発信元に更に近い場所でその不正なアクセスに対する適切な対策が実施される。
【００７３】
なお、このとき、通知取得手段１２−７によって取得された通知が過去に取得されたものと同一の通知であるときに、自己の通信ネットワーク若しくは前述した他の通信ネットワークより公開されているサービスを該通知に係る不正なアクセスから保護するための対策を該通知の通知元の通信ネットワーク内で実施させる不正アクセス対策実施制御手段１２−６を更に有するように構成してもよい。
【００７４】
通知取得手段１２−７によって取得された通知が過去に取得されたものと同一の通知であるときには、その後も通知が繰り返されるだけで不正アクセスに対する対策が全くなされてないおそれがあると見ることができる。上述した構成によれば、このような場合にも不正アクセスに対する対策が適切に実施される。
【００７５】
なお、このとき、通知手段１２−３は、前記決定を通知するときに該通知に係る不正なアクセスを一意に特定する情報を併せて通知するようにしてもよい。
こうすることにより、不正アクセス対策実施制御手段１２−６は、通知取得手段１２−７によって取得された通知が自己の通知手段１２−３による通知に起因して通知されていたものであるかどうかを、該通知に含まれている該通知に係る不正なアクセスを一意に特定する情報に基づいて判定することができる。
【００７６】
また、前述した本発明に係る不正アクセス対処システムにおいて、通知手段１２−３による通知の履歴を記録する記録手段１２−８を更に有するように構成してもよい。
【００７７】
この構成によれば、自己の通信ネットワーク（自ＩＳＰ１０）の管理者が流入元へ行った不正アクセスへの対処の依頼の状況をこの履歴の記録から把握することができるようになる。
【００７８】
なお、上述した本発明に係る不正アクセス対処システムの各構成により行なわれる機能と同様の処理をコンピュータに行わせるプログラムであっても、そのプログラムをコンピュータに実行させることによって本発明に係る不正アクセス対処システムと同様の作用・効果が得られるので、前述した課題を解決することができる。
【００７９】
また、上述した本発明に係る不正アクセス対処システムの各構成により行なわれる手順からなる方法であっても、その方法を使用することによって本発明に係る不正アクセス対処システムと同様の作用・効果が得られるので、前述した課題を解決することができる。
【００８０】
【発明の実施の形態】
以下、本発明の実施の形態を図面に基づいて説明する。
図２は本発明を実施する不正アクセス対処システムの機能構成を示している。このシステムは、不正アクセス対策マネージャサイト１００、不正アクセス通知エージェントサイト２００、及び不正アクセス対策実施エージェントサイト３００が不正アクセス対処システム専用ネットワーク４００で接続されて構成されており、自己の通信ネットワークであるＩＳＰネットワーク５００内に構築されている。また、このシステムは運用管理システム５０１及び不正アクセスの検知を行うＩＤＳ（Intrusion Detection System）５０２と連携することによって機能する。
【００８１】
不正アクセス対策マネージャサイト１００は不正アクセス対策マネージャプログラム１１０を実行するコンピュータである。不正アクセス対策マネージャサイト１００は２つの通信インタフェースを有しており、その一方はＩＳＰネットワーク５００に接続され、他方は不正アクセス対処システム専用ネットワーク４００に接続されている。但し、２つのネットワーク間のルーティングは行わない。
【００８２】
不正アクセス対策マネージャプログラム１１０が実行されると不正アクセス対策制御部１１１、不正アクセス対策記録制御部１１２、及びＩＯ制御部１１３が構成される。
【００８３】
不正アクセス対策制御部１１１は不正アクセス対策実施場所決定、組織間認証、及び組織間ポリシー交換の各機能を呼び出し、各機能の実行順序を制御する。不正アクセス対策記録制御部１１２は不正アクセスに対してこの不正アクセス対処システムによって行われた対策内容の履歴の記録を制御する。
【００８４】
ＩＯ制御部１１３は、ＩＳＰネットワーク５００及び不正アクセス対処システム専用ネットワーク４００での通信の制御、及び不正アクセス対策マネージャサイト１００に設けられているＤＢ（データベース）に対するデータ操作の制御を行う。
【００８５】
証明書１２０は不正アクセス対策制御部１１１の制御によって組織間認証が行われるときに使用されるものであり、例えばＩＴＵ（国際電気通信連合）勧告Ｘ．５０９に則った形式のものである。
【００８６】
Ｐｏｌｉｃｙ（ポリシー）１３０はＩＳＰネットワーク５００のセキュリティポリシーが示されている情報ファイルである。
Ｌｏｇ（ログ）ＤＢ１４０は不正アクセスに対してこの不正アクセス対処システムによって行われた対策内容の履歴が記録されるデータベースである。
【００８７】
管理端末１０１はこの不正アクセス拒否システムのためのユーザインターフェースをＩＳＰネットワーク５００の管理者に提供するものであり、ＣＰＵ、メモリ、ディスプレイ、通信インタフェース等を有するコンピュータである。なお、管理端末１０１としては例えばパーソナルコンピュータや携帯情報端末（ＰＤＡ）等が利用可能である。
【００８８】
不正アクセス通知エージェントサイト２００は不正アクセス通知プログラム２１０を実行するコンピュータである。不正アクセス通知エージェントサイト２００は２つの通信インタフェースを有し、その一方はＩＳＰネットワーク５００に接続され、他方は不正アクセス対処システム専用ネットワーク４００に接続されている。但し、この２つのネットワーク間のルーティングは行わない。
【００８９】
不正アクセス通知プログラム２１０が実行されると不正アクセス通知エンジン２１１と通信制御部２１２とが構成される。
不正アクセス通知エンジン２１１はＩＤＳ５０２によって検知された不正アクセスに関する情報をＩＤＳ５０２から取得して不正アクセス対策マネージャサイト１００に通知する制御を行う。
【００９０】
通信制御部２１２はＩＳＰネットワーク５００及び不正アクセス対処システム専用ネットワーク４００での通信の制御を行う。
不正アクセス対策実施エージェントサイト３００は不正アクセス対策実施エージェントプログラム３１０を実行するコンピュータである。不正アクセス対策実施エージェントサイト３００は２つの通信インタフェースを有しており、その一方はＩＳＰネットワーク５００に接続され、他方は不正アクセス対処システム専用ネットワーク４００に接続されている。但し、２つのネットワーク間のルーティングは行わない。
【００９１】
不正アクセス対策実施プログラム３１０が実行されると不正アクセス対策実施エンジン３１１、トラフィックモニターエンジン３１２、及びＩＯ制御部３１３が構成される。
【００９２】
不正アクセス対策実施エンジン３１１は不正アクセス対策マネージャサイト１００から送られてくる情報に基づいて境界ルータ５０３を制御して不正アクセスを遮断させる。
【００９３】
トラフィックモニターエンジン３１２は境界ルータ５０３に流入するトラフィックを監視して監視情報を記録する制御を行う。
ＩＯ制御部３１３は、ＩＳＰネットワーク５００及び不正アクセス対処システム専用ネットワーク４００での通信の制御、及び不正アクセス対策実施エージェントサイト３００に設けられているＤＢ（データベース）に対するデータ操作の制御を行う。
【００９４】
トラフィックＤＢ３２０は境界ルータ５０３に流入したトラフィックの情報が記録されるデータベースである。
運用管理システム５０１はＩＳＰネットワーク５００内に配置されてＩＳＰネットワーク５００の運用の管理を行うシステムでおり、ＩＳＰネットワーク５００の構成管理、トラフィック管理、障害管理、アカウント管理等を行っている。運用管理システム５０１は不正アクセス対策マネージャサイト１００と連携し、各種のデータの受け渡しを行う。
【００９５】
ＩＤＳシステム５０２は、ＩＳＰネットワーク５００と顧客によって運用されている顧客ネットワークとの境界の好ましくはＩＳＰネットワーク５００側に配置され、悪意ある発信元からの不正アクセスの検知を行っている。ＩＤＳシステムは５０２は不正アクセス通知エージェントサイト２００と連携し、各種のデータの受け渡しを行う。
【００９６】
境界ルータ５０３はＩＳＰネットワーク５００と論理的に隣接している他の通信ネットワーク（隣接ネットワーク）の境界に設置されているルータ、あるいはＩＳＰネットワーク５００の利用者のうち常時接続を行わない者（非常時接続利用者）によって使用される非常時接続利用者端末がＩＳＰネットワーク５００を利用するために接続するＰＯＰ（ポイント・オブ・プレゼンス）とＩＳＰネットワーク５００との境界に設置されているルータである。境界ルータ５０３は不正アクセス対策実施エージェントサイト３００と連携し、各種のデータの受け渡しを行う。なお、図２には境界ルータ５０３がＩＳＰネットワーク５００に一台だけ設置されているように描かれているが、ここでは複数台の境界ルータ５０３がＩＳＰネットワーク５００に設置されているものとする。
【００９７】
不正アクセス対処システム専用ネットワーク４００は、ＩＳＰネットワーク５００とは別の通信ネットワークである。不正アクセス対処システム専用ネットワーク４００にはＩＳＰネットワーク５００に設けられている不正アクセス対処システムが接続されていることに加え、隣接ネットワークに設けられている図２と同様の構成の不正アクセス対処システムも接続されており、各種のデータの受け渡しが行われる。なお、これらの機器間での各種のデータの授受は原則としてこの不正アクセス対処システム専用ネットワーク４００を介して行われる。
【００９８】
なお、図２に示した不正アクセス対策マネージャサイト１００、不正アクセス通知エージェントサイト２００、及び不正アクセス対策実施エージェントサイト３００は、いずれも例えば図３に示すようなハードウェア構成を有するコンピュータを用いて構成することができる。
【００９９】
図３について説明する。
同図に示すコンピュータはＣＰＵ６０１、ＲＡＭ６０２、ＲＯＭ６０３、ＨＤＤ６０４、入力部６０５、出力部６０６、通信インタフェースＡ６０７、及び通信インタフェースＢ６０８がバス６０９を介して相互に接続されて構成されており、ＣＰＵ６０１による管理の下で相互にデータ授受を行うことができる。
【０１００】
ＣＰＵ（Central Processing Unit ）６０１はこのコンピュータ全体の動作制御を司る中央処理装置である。
ＲＡＭ（Random Access Memory）６０２は、各種の制御プログラムをＣＰＵ６０１が実行するときにワークメモリとして使用され、また各種のデータの一時的な格納領域として必要に応じて用いられるメインメモリとしても使用されるメモリである。
【０１０１】
ＲＯＭ（Read Only Memory）６０３はＣＰＵ６０１によって実行される基本制御プログラムが予め格納されているメモリであり、このコンピュータの起動時にＣＰＵ６０１がこの基本制御プログラムを実行することによってこのコンピュータ全体の動作の基本的な制御がＣＰＵ６０１によって行えるようになる。
【０１０２】
ＨＤＤ（Hard Disk Drive ）６０４は、各種のデータを記録しておくデータベースとして利用されるハードディスク装置である。また、ＨＤＤ６０４にはＣＰＵ６０１によって実行される各種の制御プログラムが予め格納されている。
【０１０３】
入力部６０５は外部からの入力を受け取ってその入力の内容をＣＰＵ６０１に渡すものであり、必要に応じ、例えばキーボードやマウスなどといったこのコンピュータを操作する操作者からの指示を受け取る入力装置、あるいはＦＤ（Flexible Disk）、ＣＤ−ＲＯＭ（Compact Disc-ROM）、ＤＶＤ−ＲＯＭ（Digital Versatile Disc-ROM）、ＭＯ（Magneto-Optics）ディスクなどといった可搬型の記録媒体の読出装置を備えて構成される。
【０１０４】
出力部６０６はＣＰＵ６０１からの指示に応じた出力を行うものであり、例えば各種データを表示するＣＲＴ（Cathode Ray Tube）やＬＣＤ（Liquid Crystal Display）を備えて構成される表示装置や各種データを印刷して表示するプリンタ装置などである。
【０１０５】
なお、このコンピュータを不正アクセスマネージャサイト１００として使用する場合には、管理端末１０１を入力部６０５や出力部６０６として利用してもよい。
【０１０６】
通信インタフェースＡ６０７は、このコンピュータをＩＳＰネットワーク５００に接続して他のシステムとの間でのデータ授受を行う際の通信管理を行うものである。
【０１０７】
通信インタフェースＢ６０８は、このコンピュータを不正アクセス対処システム専用ネットワーク４００に接続してＩＳＰネットワーク５００に設けられている不正アクセス対処システムを構成する他のサイトとの間、あるいは隣接ネットワークに設けられている不正アクセス対処システムとの間でデータ授受を行う際の通信管理を行うものである。
【０１０８】
図３に示すコンピュータは以上の各構成要素を備えて構成される。
以下、図２に示した不正アクセス対処システムを構成する各サイトで前述した各種のプログラムを実行することによって構成される各部によって行われる処理の内容について説明する。
【０１０９】
なお、図２に示した不正アクセス対処システムでは、これより説明するトラフィックモニター手順、不正アクセス通知手順、不正アクセス対策制御手順、不正アクセス対策記録手順が並行して行われる。
【０１１０】
まず図４について説明する。同図はトラフィックモニターエンジン３１２によって行われるトラフィックモニター手順の内容をフローチャートで示したものである。
【０１１１】
まず、Ｓ１０１においてスレッドの分岐が行われ、その一方ではＳ１０２の繰り返し手順が、他方ではＳ１０３からＳ１０５にかけての繰り返しの手順が、それぞれ実行される。
【０１１２】
Ｓ１０２では、境界ルータ５０３へ流入しているトラフィックであるＩＰ（Internet Protocol ）パケット（以下、単に「パケット」と称することとする）がキャプチャー（捕獲）される。以降、Ｓ１０２の手順が繰り返されて境界ルータ５０３に流入するパケットが全てキャプチャーされる。
【０１１３】
Ｓ１０３では、Ｓ１０３からＳ１０５にかけてのスレッドの実行が一定の時刻レンジだけ、例えば１０分間だけスリープ（停止）され、その後、所定の時刻レンジが経過したときにＳ１０４の手順に進む。
【０１１４】
Ｓ１０４では、Ｓ１０２の処理によってキャプチャーされているパケットの数が、接続ＩＤ、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、及びＤｉｓｔＰｏｒｔをキーにして計数され、続くＳ１０５においてその計数の結果を示すデータが監視情報としてトラフィックＤＢ３２０に格納される。このＳ１０５の手順が完了した後にはＳ１０３へ手順を戻して上述した手順が繰り返される。
【０１１５】
ここで図５について説明する。同図は上述したＳ１０５の手順によってデータの格納が行われるトラフィックＤＢ３２０のデータ構造を示している。同図に示すように、トラフィックＤＢ３２０にはレコード毎に「接続ＩＤ」、「時刻レンジ」、「ＳｒｃＩＰ」、「ＤｉｓｔＩＰ」、「ＤｉｓｔＰｏｒｔ」、及び「Ｃｏｕｎｔ」の各フィールドが設けられている。
【０１１６】
接続ＩＤは、ＩＳＰネットワーク５００の利用者に個別に割り当てられている識別子である。接続ＩＤと計数対象とするパケットとの関係は、そのパケットに示されているＳｒｃＩＰを運用管理システム５０１に送付して問い合わせを行うことによって運用管理システム５０１から得ることができる。
【０１１７】
時刻レンジはパケットの計数の開始時刻及び終了時刻の組である。
ＳｒｃＩＰは計数対象とするパケットに示されている送信元のＩＰアドレスである。
【０１１８】
ＤｉｓｔＩＰは計数対象とするパケットに示されている宛先のＩＰアドレスである。
ＤｉｓｔＰｏｒｔは計数対象とするパケットに示されている宛先のポート番号である。
【０１１９】
Ｃｏｕｎｔは「時刻レンジ」に示されている時間内に境界ルータ５０３に流入した計数対象とするパケットの数である。
図５に示されているデータ例のうち第一行目のレコードについて解説すると、接続ＩＤとして「ＡＢＣ０１２３４」が割り当てられているＩＳＰネットワーク５００の利用者は、「１０：００−１０：１０」の時間内に、送信元のＩＰアドレスが「２０２．２４８．２０．２５４」、宛先のＩＰアドレスが「２０２．２４８．２０．６８」、そして宛先のポート番号が「８０」である「１４５６」個のパケットを境界ルータ５０３に流入させたことを示している。
【０１２０】
なお、トラフィックＤＢ３２０には上述したデータが境界ルータ５０３毎に格納される。
以上のトラフィックモニター手順が行われることによって、境界ルータ５０３に流入するパケットの監視が行われる。
【０１２１】
次に図６について説明する。同図は不正アクセス通知エンジン２１１によって行なわれる不正アクセス通知手順の内容をフローチャートで示したものである。
まず、Ｓ２０１において、ＩＤＳ５０２の不正アクセスイベントのチェックが行われ、続くＳ２０２において不正アクセスの検知がＩＤＳ５０２によってなされたか否かが判定される。この結果、不正アクセスの検知がされたと判定された（判定結果がＹｅｓ）ならばＳ２０３に手順を進め、不正アクセスの検知がされていないと判定された（判定結果がＮｏ）ならばＳ２０１へ手順を戻して上述した手順が繰り返される。
【０１２２】
Ｓ２０３では、検知された不正アクセスについての通知が不正アクセス対策マネージャサイト１００の不正アクセス対策制御部１１１へ行われる。その後はＳ２０１へ手順を戻して上述した手順が繰り返される。
【０１２３】
ここで図７について説明する。同図は上述したＳ２０３の手順によって不正アクセス対策制御部１１１へ行われる不正アクセスの通知のデータ形式を示している。同図に示すように、この不正アクセス通知には、「検知ＩＤ」、「時刻レンジ・スタート」、「時刻レンジ・エンド」、「攻撃種別」、「組織名」、「所属ＩＳＰ」、「ターゲットプロトコル」、「ＳｒｃＩＰ」、「ＤｉｓｔＰｏｒｔ」、「不正パケット数」、「攻撃ツール名」、「対策解除ポリシー」の各情報が含まれている。なお、これらのデータはＩＤＳ５０２から得ることができる。
【０１２４】
検知ＩＤは、不正アクセスの検知がなされる度にＩＤＳ５０２によってその不正アクセスに対して付与される一意な識別子であり、この検知ＩＤによってＤＤｏＳ攻撃を個別に特定する指標とすることができる。
【０１２５】
時刻レンジ・スタート及び時刻レンジ・エンドは、それぞれ不正アクセスに係るパケットが最初に検知された日時及びこの日時から所定の時間（例えば１０分間）が経過したときの日時であり、図７の例ではこれらの日時がグリニッジ標準時（ＧＭＴ）で示されている。
【０１２６】
攻撃種別は、検知された不正アクセスであるＤＤｏＳ攻撃の詳細種別である。組織名は、不正アクセスを受けているシステムが属している組織の組織名である。
【０１２７】
所属ＩＳＰは、不正アクセスを受けているシステムが属している組織が所属しているＩＳＰの名称である。
ターゲットプロトコルは不正アクセスが攻撃を受けているシステムへの接続に利用しているプロトコルである。
【０１２８】
ＳｒｃＩＰは不正アクセスに係るパケットに示されている送信元のＩＰアドレスである。
ＤｉｓｔＩＰは不正アクセスに係るパケットに示されている宛先のＩＰアドレスである。
【０１２９】
ＤｉｓｔＰｏｒｔは不正アクセスに係るパケットに示されている宛先のポート番号である。
不正パケット数は検知ＩＤで特定される不正アクセスに係るパケットの数である。
【０１３０】
攻撃ツール名は、不正アクセスに使用されているＤＤｏＳ攻撃ツールのツール名である。
対策解除ポリシーは、この不正アクセスが停止してからこの対策を解除するまでの時間である。この時間はＩＳＰネットワーク５００におけるセキュリティポリシーで許容される範囲内で例えば不正アクセスを受けている顧客からの指示により予め設定される。
【０１３１】
図７に示されているデータ例のうちの例１の不正について解説すると、ＩＤＳ５０２によって検知された「００−００−０Ｅ−８２−２Ｅ−７４−００１」なる検知ＩＤで特定される不正アクセスは、「２００３／２／１・１６：０１：１６」から検知された「ＴＣＰ Ｓｙｎ Ｆｌｏｏｄ」攻撃であり、この攻撃は「ＩＳＰ ＡＢＣ」に属する「ＣｏｍｐａｍｙＡ」への「ＴＣＰ」プロトコルによるものであって、攻撃元は「ＴＦＮ２Ｋ」なる攻撃ツールを使用しており、送信元のＩＰアドレスが「１０．４．１２０．Ｚ」、宛先のＩＰアドレスが「１９２．１６８．Ｘ．Ｙ」、宛先のポート番号が「８０」であるパケットが「２００３／２／１・１６：１１：１６」までの間に「１５６７８９」個送りつけられてきたこと、この不正アクセスについての対策は当該不正アクセスが停止してからも「１０分間」は継続して実施すべきことを示している。
【０１３２】
以上の不正アクセス通知手順が行われることによって、ＩＤＳ５０２による顧客ネットワークへの不正アクセスの検知の内容が不正アクセス対策マネージャサイト１００の不正アクセス対策制御部１１１へ通知される。
【０１３３】
次に図８について説明する。同図は不正アクセス対策制御部１１１によって行われる不正アクセス対策制御手順の内容をフローチャートで示したものである。まず、Ｓ３０１において、不正アクセス通知エージェントサイト２００からの不正アクセスの通知をひとつ取り出す。
【０１３４】
Ｓ３０２では、この取り出された不正アクセス通知に示されている前述した検知ＩＤが参照され、この検出ＩＤが過去に取得していた不正アクセス通知に示されていたか否か、より具体的にはこの検知ＩＤと同一のものがＬｏｇＤＢ１４０に記録されているか否かが判定される。そして、この判定結果がＹｅｓならばＳ３１４に手順が進み、ＮｏならばＳ３０３に手順が進む。
【０１３５】
Ｓ３０３では不正アクセス対策実施場所決定手順が実行される。この手順の詳細は図９にフローチャートで示されている。
以下、この図９の手順を先に説明する。
【０１３６】
まず、Ｓ３２１において、運用管理システム５０１に対する問い合わせが行われて、ＩＳＰネットワーク５００に設置されている境界ルータ５０３の一覧が取得される。
【０１３７】
Ｓ３２２では、不正アクセス対策実施エージェントサイト３００に対する問い合わせが行われ、図８のＳ３０１の手順において取り出された不正アクセス通知に示されていた、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、及びＤｉｓｔＰｏｒｔの一致しているレコードをトラフィックＤＢ３２０から抽出する。そして、その抽出されたレコードに示されていたトラフィックが流入していた境界ルータ５０３を残してそのほかの境界ルータ５０３を前の手順で取得されていた境界ルータ５０３の一覧から除外する。
【０１３８】
Ｓ３２３では、先の一覧に残されている境界ルータ５０３から非常時接続利用者用端末のために設けられているもの（非常時接続境界ルータ）が抽出され、抽出された非常時接続境界ルータについてのトラフィックＤＢ３２０の格納データから、前述した不正アクセス通知に関係しているデータレコードに示されている接続ＩＤが取得される。
【０１３９】
Ｓ３２４では、前の手順で取得された接続ＩＤで特定される利用者がＩＳＰネットワーク５００に現在接続しているかどうかの問い合わせが運用管理システム５０１へ行われる。そして、この利用者がＩＳＰネットワーク５００に現在接続しているのであればこの利用者によって現在使用されている非常時接続利用者端末からのパケットが流入している非常時接続境界ルータを抽出して先の一覧に残し、一方、この利用者が現在はＩＳＰネットワーク５００に接続していないのであれば、この利用者によって使用されていた非常時接続利用者端末からの不正アクセスを流入させていた非常時接続境界ルータを先の一覧から除外する。
【０１４０】
Ｓ３２５では、一覧に残されている境界ルータ５０３の各々の接続先に基づいて、先の通知に係る不正アクセスについての対策を自組織で実施するか、あるいはこの対策の実施を他組織に依頼するかを分類する。
【０１４１】
この分類の基準は、より具体的には、一覧に残されている境界ルータ５０３が非常時接続境界ルータであるか、あるいはＩＳＰネットワーク５００とは信頼関係のない隣接ＩＳＰとの境界に設置されているＩＳＰ境界ルータであるならば、この境界ルータ５０３において自組織でこの対策を実施するものとする。一方、一覧に残されている境界ルータ５０３がＩＳＰネットワーク５００と信頼関係にある隣接ＩＳＰとの境界に設置されているＩＳＰ境界ルータであるならば、このＩＳＰ境界ルータでは対策を行わずにその隣接ＩＳＰにこの対策の実施を依頼するものとする。この手順によって前述した通知に係る不正アクセスについての対策を実施する場所が全て決定される。
【０１４２】
Ｓ３２５の手順を終えた後には図８の手順へ戻る。
図８のＳ３０４では、上述した不正アクセス対策実施場所決定手順で求めた、対策実施場所が取り出される。
【０１４３】
Ｓ３０５では、Ｓ３０４の手順で取り出された対策実施場所のうち、未対策のまま残されている場所の数が０よりも大きいか否かが判定され、この判定結果がＹｅｓ、すなわち未対策の場所が残されているのであればＳ３０６に手順を進める。一方、この判定結果がＮｏ、すなわち対策を実施すべき全ての場所での対策が完了したならばＳ３０１へ手順を戻して上述した手順が繰り返される。
【０１４４】
Ｓ３０６では、Ｓ３０４の手順で取り出された対策実施場所のうち、未対策のまま残されている場所が一つ取り出される。
Ｓ３０７では、前の手順で取り出された場所が、自組織でこの対策を実施するとしていた境界ルータ５０３であるか否かが判定され、この判定結果がＹｅｓならばＳ３０８に手順を進める。一方、この判定結果がＮｏ、すなわちこの場所がその隣接ＩＳＰにこの対策の実施を依頼するものとしたＩＳＰ境界ルータであったならばＳ３０９に手順を進める。
【０１４５】
Ｓ３０８では、前の手順で取り出された場所である境界ルータ５０３を制御する不正アクセス対策実施エージェントサイト３００に対して不正アクセス対策実施要求が送付され、その後はＳ３１２に手順が進む。
【０１４６】
この不正アクセス対策実施要求には対策を実施させる境界ルータ５０３を特定する情報が示されており、更にＳ３０１の処理で取り出されていた不正アクセス通知が添付されている。この要求を受け取った不正アクセス対策実施エージェントサイト３００では、不正アクセス対策実施エンジン３１１によって不正アクセス対策実施手順が実行される。
【０１４７】
不正アクセス対策実施手順の詳細は図１０にフローチャートで示されている。以下、この図１０の手順を先に説明する。
まず、Ｓ４０１において、不正アクセス対策マネージャサイト１００から送られてきた不正アクセス対策実施要求が取得される。
【０１４８】
Ｓ４０２では、運用管理システム５０１に対する問い合わせが行われ、運用管理システム５０１から送られてくる不正アクセス対策実施要求に示されていた境界ルータ５０３を制御するために必要な固有情報、例えばこの境界ルータ５０３の機器種別、機器管理のための管理者ＩＤ及びパスワード等が取得される。
【０１４９】
Ｓ４０３では、前の手順によって取得された固有情報を使用して境界ルータ５０３が制御され、不正アクセス対策実施要求に添付されていた不正アクセス通知に含まれるＳｒｃＩＰ、ＤｉｓｔＩＰ、ＤｉｓｔＰｏｒｔ、攻撃種別情報に基づいて、この通知に係る不正アクセスと同一のパケットの通過を遮断するフィルタを境界ルータ５０３が設定される。
【０１５０】
Ｓ４０４ではスレットの分岐が行われ、その一方ではＳ４０１からＳ４０３にかけての繰り返しの手順が実行され、他方ではＳ４０５からＳ４０８にかけての手順が実行される。
【０１５１】
Ｓ４０５では、前述したＳ４０３の手順で設定したフィルタの状況が境界ルータ５０３から取り出される。
Ｓ４０６では、前のステップで取り出されたフィルタの状況から、対策解除時間閾値を超えて不正アクセスであるパケットが継続して境界ルータ５０３に到来していないかどうかが判定され、この判定結果がＹｅｓ、すなわち対策解除時間閾値を超えて不正アクセスであるパケットが継続して到来していないのであればＳ４０７に手順を進め、一方、この判定結果がＮｏ、すなわち不正アクセスであるパケットが依然として到来しているかあるいは不正アクセスであるパケットが到来していない継続時間が対策解除時間閾値に未だ満たないときにはＳ４０５へ手順を戻して上述した手順が繰り返される。なお、対策解除時間閾値については後述する。
【０１５２】
Ｓ４０７では、境界ルータ５０３が制御されて前述したＳ４０３の手順で設定したフィルタが解除される。
Ｓ４０８では、不正アクセス対策マネージャサイト１００の不正アクセス対策記録制御部１１２へログ要求が送付され、対策の実施完了の記録の依頼が行われる。なお、このログ要求には、Ｓ３０１の手順によって取得された不正アクセス通知が添付される。
【０１５３】
Ｓ４０８の手順を終えた後にはＳ４０４の手順によって分岐させたＳ４０５からＳ４０８にかけてのスレッドを終了させる。
以上の不正アクセス対策実施手順が行われることによって、不正なアクセスへの対策が実施されて顧客ネットワークが不正なアクセスから保護される。
【０１５４】
図８の手順の説明へ戻る。
前述したＳ３０７の手順における判定の結果がＮｏであったとき、すなわち前述したＳ３０６の手順において取り出された場所が、不正アクセスについての対策の実施を隣接ＩＳＰに依頼するものとしたＩＳＰ境界ルータであったときにはＳ３０９において組織間認証手順が実行される。この手順の詳細は図１１にフローチャートで示されている。
【０１５５】
以下、この図１１の手順を先に説明する。
まず、Ｓ３３１においてサーバ認証処理が証明書１２０を用いて行われ、対策の依頼先である隣接ＩＳＰ（サーバ）が確かに信頼関係にあるＩＳＰであって悪意あるサイトのなりすましでないことの確認が行われる。
【０１５６】
続くＳ３３２ではクライアント認証処理が証明書１２０を用いて行われ、対策依頼元であるＩＳＰネットワーク５００（クライアント）が確かに信頼関係にあるＩＳＰで、悪意あるサイトのなりすましでないことの確認が対策の依頼先であるＩＳＰで行われる。
【０１５７】
このＳ３３２の手順が終了したときには図８の手順へ戻る。
以上の組織間認証手順が行われることによって、不正アクセス対策に関する情報の悪意あるサイトによるなりすましでの窃取が防止される。
【０１５８】
図８においてＳ３０９に続いて行われるＳ３１０では組織間ポリシー交換手順が実行される。この手順の詳細は図１２にフローチャートで示されている。
以下、この図１２の手順を先に説明する。
【０１５９】
まず、Ｓ３４１において、第三者による情報の解読を不可能にするために、対策依頼元であるＩＳＰネットワーク５００と対策依頼先である隣接ＩＳＰとの間で暗号アルゴリズムの交換が行われる。
【０１６０】
Ｓ３４２では、対策依頼元であるＩＳＰネットワーク５００と対策依頼先である隣接ＩＳＰとの間で自己の対策解除時間閾値の交換が行われ、そのうちの短いものが両者間での対策解除時間閾値として採用される。
【０１６１】
ここで対策解除時間閾値にについて説明する。
対策解除時間閾値とは、ある不正アクセスが検知されなくなってから後にどの程度の時間までその不正アクセスに対する対策を継続するかを示す閾値である。この閾値は自己のネットワーク運用におけるセキュリティポリシーに従って各ＩＳＰで独自に設定されるが、ＩＳＰ間で異なる値が設定されている場合には、本実施形態においてはそのうちのより短い時間を示している閾値を、その両者によって伝送されている不正アクセスに対して採用することとする。これは、閾値を長時間とすればそれだけ不正アクセスではない正規のアクセスも遮断してしまうおそれが長く継続してしまうことを考慮したものである。
【０１６２】
従って、例えばＰｏｌｉｃｙ１３０に示されている対策依頼元の対策解除時間閾値が１０分に設定されており、一方、対策依頼先の対策解除時間閾値が２０分に設定されている場合には、その両者によって伝送されている不正アクセスについての対策解除時間閾値としては１０分が採用されることになる。
【０１６３】
なお、このようにして決定された対策解除時間閾値よりも、前述した不正アクセス通知に示されていた対策解除ポリシーの値の方がより短い時間を示していたときには、顧客の指示に従うため、この対策解除ポリシーの値を対策解除時間閾値として採用する。
【０１６４】
Ｓ３４３では、対策依頼元であるＩＳＰネットワーク５００と対策依頼先である隣接ＩＳＰとの間でタイムゾーン（地域別時間帯情報）の交換が行われる。これは、双方で対策内容の記録を行うときの時刻情報をローカル時間で表わすことを可能にして利便性を向上させる等の用途のために行われるものである。
【０１６５】
このＳ３４３の手順が終了したときには図８の手順へ戻る。
以上の組織間ポリシー交換手順が行われることによって、ネットワーク運用に関するセキュリティポリシーに組織間で違いが存在していても、その違いを調整した上での不正アクセスに対する対策を依頼先に実施してもらうことができるようになる。
【０１６６】
図８においてＳ３１０に続いて行われるＳ３１１では、前述したＳ３０１の手順において取り出された不正アクセス通知が、対策依頼先である隣接ＩＳＰへ転送される。なお、このとき、Ｓ３０１の手順において取り出された不正アクセス通知に示されている対策解除ポリシーの値と、前述した組織間ポリシー交換手順の実行によって採用された対策解除時間閾値とが異なっているときには、このときの対策解除時間閾値を対策解除ポリシーの値として上書きした上で対策依頼先である隣接ＩＳＰへ転送するようにする。
【０１６７】
Ｓ３１２では不正アクセス対策記録制御部１１２へログ要求が送付され、上述したＳ３０８の手順またはＳ３０９からＳ３１１にかけての手順で行われた処理の内容の記録の依頼が行われる。なお、このログ要求には、Ｓ３０１の手順によって取得された不正アクセス通知が添付される。
【０１６８】
Ｓ３１３では、Ｓ３０３の不正アクセス対策実施場所決定手順で求めた対策実施場所数を１減らし、その後はＳ３０５へ手順を戻して上述した処理が繰り返される。
【０１６９】
ところで、前述したＳ３０２の手順における判定の結果がＹｅｓであったときには、その後も不正アクセス通知の転送がＩＳＰ間で繰り返される（不正アクセス通知がループしている）だけで不正アクセスに対する対策が全くなされてないおそれがあると見ることができる。
【０１７０】
そこで、この場合には、まず、Ｓ３１４において、不正アクセス対策記録制御部１１２へログ要求が送付され、ループしている不正アクセス通知を取得した旨の記録の依頼が行われる。なお、このログ要求には、Ｓ３０１の手順によって取得された不正アクセス通知が添付される。
【０１７１】
その後は、Ｓ３１５において、Ｓ３０１で取り出された不正アクセス通知を送付してきた通知元（すなわち不正アクセス対策依頼の依頼元）のＩＳＰの不正アクセス対策マネージャサイト１００に指示を与えて、そこで実行されている不正アクセス対策制御手順をＳ３０８から開始させることにより、この不正アクセス通知に係る不正アクセスに対する対策をそのＩＳＰ内で実施させるようにする。
【０１７２】
以上の不正アクセス対策制御手順が行われることによって、不正なアクセスへの対策の実施が指示されて顧客ネットワークが不正なアクセスから保護される。
次に図１３について説明する。同図は不正アクセス対策記録制御部１１２によって行われる不正アクセス対策記録手順の内容をフローチャートで示したものである。
【０１７３】
まず、Ｓ５０１において、不正アクセス対策制御部１１１や不正アクセス対策実施エージェントサイト３００の不正アクセス対策実施エンジン３１１から送られてくるログ要求が取り出される。
【０１７４】
Ｓ５０２では、取り出されたログ要求に基づいて、時刻、アクション、検出ＩＤ、時刻レンジ、ＳｒｃＩＰ、ＤｉｓｔＩＰ、ＤｉｓｔＰｏｒｔ、不正パケット数、攻撃種別をログに記録してＬｏｇＤＢ１４０に格納する。なお、ここで、「アクション」とは、例えば対策の実施、対策の転送（隣接ＩＳＰへの対策の依頼）、対策の解除、あるいは対策の中止など、どのような処置が実行されたときにログの記録が要求されたかを示す情報である。
【０１７５】
このＳ５０２の手順を終えた後にはＳ５０１へと手順を戻し、以降は上述したログ要求の取り出しとログへの記録の手順が繰り返される。
以上の不正アクセス対策記録手順が行われることにより、ＩＳＰネットワーク５００の管理者は顧客ネットワークに対する不正アクセスへの対処の状況をこの履歴の記録から把握することができるようになる。
【０１７６】
なお、図２は本発明を実施する不正アクセス対処システムの各構成要素によって実行される各種の制御プログラムをコンピュータで読み取り可能な記録媒体に記録させ、その制御プログラムを記録媒体からコンピュータに読み出させて実行させることによって本発明を実施するようにしてもよい。
【０１７７】
記録させた制御プログラムをコンピュータで読み取ることの可能な記録媒体の例を図１４に示す。このような記録媒体としては、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学作用によって蓄積し、コンピュータから読み取ることができるものであればよく、このような記録媒体としては、同図に示すように、例えば、コンピュータ７０１に内蔵若しくは外付けの付属装置として備えられるＲＡＭ若しくはＲＯＭ又はハードディスク装置などのメモリ７０２、あるいはフレキシブルディスク、ＭＯ（光磁気ディスク）、ＣＤ−ＲＯＭ、ＣＤ−Ｒ／Ｗ、ＤＶＤ、８ｍｍテープ、メモリカードなどといった可搬型記録媒体７０３等が利用できる。
【０１７８】
また、記録媒体は通信回線７０４を介してコンピュータ７０１と接続される、プログラムサーバ７０５として機能するコンピュータが備えている記憶装置７０６であってもよい。この場合には、制御プログラムを表現するデータ信号で搬送波を変調して得られる伝送信号を、プログラムサーバ４５から伝送媒体である通信回線７０４を通じて伝送するようにし、コンピュータ７０１では受信した伝送信号を復調して制御プログラムを再生することで当該制御プログラムを実行できるようになる。
【０１７９】
ここで、伝送媒体としては、有線通信媒体、例えば、同軸ケーブルおよびツイストペアケーブルを含む金属ケーブル類、光通信ケーブル等、または、無線通信媒体、例えば、衛星通信、地上波無線通信等のいずれでもよい。
【０１８０】
また、搬送波は、データ通信信号を変調するための電磁波または光である。但し、搬送波は直流信号でもよい。この場合にはデータ通信信号は搬送波がないベースバンド波形になる。したがって、搬送波に具現化されたデータ通信信号は、変調されたブロードバンド信号を変調されていないベースバンド信号（電圧０の直流信号を搬送波とした場合に相当）のいずれでもよい。
【０１８１】
その他、本発明は、上述した実施形態に限定されることなく、本発明の要旨を逸脱しない範囲内で種々の改良・変更が可能である。
（付記１） 自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索を行う探索手段と、
前記サービスを前記不正なアクセスから保護するための対策を実施する場所の決定を前記探索の結果に基づいて行う決定手段と、
前記不正なアクセスを自己の通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて該決定を該流入元へ通知する通知手段と、を有することを特徴とする不正アクセス対処システム。
【０１８２】
（付記２） 自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索を行う探索処理と、
前記サービスを前記不正なアクセスから保護するための対策を実施する場所の決定を前記探索の結果に基づいて行う決定処理と、
前記不正なアクセスを自己の通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて該決定を該流入元へ通知する通知処理と、をコンピュータに行わせるための不正アクセス対処処理プログラム。
【０１８３】
（付記３） 前記探索処理は、前記不正なアクセスが検知されたときに前記探索の処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１８４】
（付記４） 前記探索処理は、前記不正なアクセスの検知が通知されたときに前記探索の処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１８５】
（付記５） 前記探索処理は、前記自己の通信ネットワークで伝送されているトラフィックの監視情報と前記不正なアクセスの内容を示す不正アクセス情報とに基づいて前記流入路を探索する処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１８６】
（付記６） 前記監視情報は、前記自己の通信ネットワークと該自己の通信ネットワークに隣接する通信ネットワークとの境界に配置されている境界ルータの位置情報と、該境界ルータを通過して該自己の通信ネットワークへ流入したトラフィックについての監視情報とを少なくとも含むことを特徴とする付記５に記載の不正アクセス対処処理プログラム。
【０１８７】
（付記７） 前記通知処理は、前記不正なアクセスの流入元との間で相互認証を行った後に前記決定を該流入元へ通知する処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１８８】
（付記８） 前記通知処理は、前記不正なアクセスの流入元との間で各々のネットワーク運用におけるセキュリティポリシーに関する情報を交換した後に前記決定を該流入元へ通知する処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１８９】
（付記９） 前記セキュリティポリシーに関する情報は、前記不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間を示す情報であることを特徴とする付記８に記載の不正アクセス対処処理プログラム。
【０１９０】
（付記１０） 前記セキュリティポリシーに関する情報によって示されている時間が前記自己のネットワークと前記流入元とで異なっているときには、両者のうち短い方の時間を、前記不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間とすることを特徴とする付記９に記載の不正アクセス対処処理プログラム。
【０１９１】
（付記１１） 前記通知処理は、前記決定と共に、前記不正なアクセスが検知されなくなってから該不正なアクセスに対する前記対策を解除するまでの時間を示す情報を前記流入元へ通知する処理を前記コンピュータに行わせることを特徴とする付記１０に記載の不正アクセス対処処理プログラム。
【０１９２】
（付記１２） 前記通知処理は、前記不正なアクセスの流入路とは異なる通信経路を用いて前記決定を該不正なアクセスの流入元へ通知する処理を前記コンピュータに行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１９３】
（付記１３） 前記通知処理は、前記自己の通信ネットワークに前記不正なアクセスを流入させている流入元で前記対策を実施する決定がされたときに、該決定を該流入元へ通知するか否かの判定を前記コンピュータに行わせ、
前記通知処理の実行によって前記決定を前記流入元へ通知しないとの判定がされたときに、前記サービスを前記不正なアクセスから保護するための対策を前記自己の通信ネットワーク内で実施させる不正アクセス対策実施制御処理を前記コンピュータに更に行わせる、
ことを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１９４】
（付記１４） 前記判定は、予め与えられている前記流入元についての判定情報に基づいて行われることを特徴とする付記１３に記載の不正アクセス対処処理プログラム。
【０１９５】
（付記１５） 前記自己の通信ネットワーク内で前記対策を実施するとの前記決定に応じて、該サービスを該不正なアクセスから保護するための対策を該自己の通信ネットワーク内で実施させる不正アクセス対策実施制御処理を前記コンピュータに更に行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０１９６】
（付記１６） 前記不正アクセス対策実施制御処理は、前記不正なアクセスの発信元が接続しているＰＯＰ（ポイント・オブ・プレゼンス）境界ルータにおいて前記対策を実施させるための処理を前記コンピュータに行わせることを特徴とする付記１５に記載の不正アクセス対処処理プログラム。
【０１９７】
（付記１７） 前記不正アクセス対策実施制御処理は、前記不正なアクセスの発信元が接続しているＰＯＰ境界ルータを、前記自己の通信ネットワークの運用の管理を行っている運用管理システムから得られる情報に基づいて特定する処理を前記コンピュータに行わせることを特徴とする付記１６に記載の不正アクセス対処処理プログラム。
【０１９８】
（付記１８） 前記自己の通信ネットワークとは異なる他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークへ流入させている決定の通知を取得する通知取得処理を前記コンピュータに更に行わせ、
前記不正アクセス対策実施制御処理は、前記通知取得処理によって前記通知が取得されたときには、前記他の通信ネットワークより公開されているサービスを該通知に係る該不正なアクセスから保護するための対策を前記自己の通信ネットワーク内で実施させる処理を前記コンピュータに行わせる、
ことを特徴とする付記１５に記載の不正アクセス対処処理プログラム。
【０１９９】
（付記１９） 前記不正アクセス対策実施制御処理の実行によって実施させた前記対策は、前記不正アクセスの検知がされなくなったときから予め設定されている時間が経過した後には解除されることを特徴とする付記１５に記載の不正アクセス対処処理プログラム。
【０２００】
（付記２０） 前記予め設定されている時間は、前記自己の通信ネットワークと前記他の通信ネットワークとの各々のネットワーク運用におけるセキュリティポリシーに基づいて設定されていることを特徴とする付記１９に記載の不正アクセス対処処理プログラム。
【０２０１】
（付記２１） 前記自己の通信ネットワークと前記他の通信ネットワークとの各々のネットワーク運用におけるセキュリティポリシーに基づいて設定されている時間が両者間で異なっているときには、前記不正アクセスの検知がされなくなったときから両者のうち短い方の時間が経過した後には解除されることを特徴とする付記２０に記載の不正アクセス対処処理プログラム。
【０２０２】
（付記２２） 前記自己の通信ネットワークとは異なる他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークへ流入させている決定の通知を取得する通知取得処理を前記コンピュータに更に行わせ、
前記探索処理は、前記通知取得処理によって前記通知が取得されたときには、該通知に係る不正なアクセスの自己の通信ネットワークにおける流入路を探索する処理を前記コンピュータに行わせ、
前記決定処理は、前記通知取得処理によって前記通知が取得されたときには、前記他の通信ネットワークより公開されているサービスを該通知に係る不正なアクセスから保護するための対策を実施する場所を前記探索の結果に基づいて決定する処理を前記コンピュータに行わせ、
前記通知処理は、前記通知取得処理によって前記通知が取得されたときには、該通知に係る不正なアクセスを前記自己の通信ネットワークに流入させている流入元で前記対策を実施する決定に応じて該決定を該流入元へ通知する処理を前記コンピュータに行わせる、
ことを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０２０３】
（付記２３） 前記通知取得処理の実行によって取得された通知が過去に取得されたものと同一の通知であるときに、前記自己の通信ネットワーク若しくは前記他の通信ネットワークより公開されているサービスを該通知に係る不正なアクセスから保護するための対策を該通知の通知元の通信ネットワーク内で実施させる不正アクセス対策実施制御処理を前記コンピュータに更に行わせることを特徴とする付記２２に記載の不正アクセス対処処理プログラム。
【０２０４】
（付記２４） 前記通知処理は、前記決定を通知するときに該通知に係る不正なアクセスを一意に特定する情報を併せて通知する処理を前記コンピュータに行わせることを特徴とする付記２３に記載の不正アクセス対処処理プログラム。
【０２０５】
（付記２５） 前記通知処理の実行の履歴を記録する記録処理を前記コンピュータに更に行わせることを特徴とする付記２に記載の不正アクセス対処処理プログラム。
【０２０６】
（付記２６） 自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索を行い、
前記サービスを前記不正なアクセスから保護するための対策を実施する場所の決定を前記探索の結果に基づいて行い、
前記不正なアクセスを自己の通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて該決定を該流入元へ通知する、
ことを特徴とする不正アクセス対処方法。
【０２０７】
（付記２７） 自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索を行う探索処理と、
前記サービスを前記不正なアクセスから保護するための対策を実施する場所の決定を前記探索の結果に基づいて行う決定処理と、
前記不正なアクセスを自己の通信ネットワークに流入させている流入元で前記対策を実施するとの前記決定に応じて該決定を該流入元へ通知する通知処理と、をコンピュータに行わせるための不正アクセス対処処理プログラムを記録した該コンピュータで読み取り可能な記録媒体。
【０２０８】
【発明の効果】
以上詳細に説明したように、本発明は、自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路を探索し、このサービスをこの不正なアクセスから保護するための対策を実施する場所の決定をこの探索の結果に基づいて行い、この不正なアクセスを自己の通信ネットワークに流入させている流入元でこの対策を実施するとの決定に応じて該決定を該流入元へ通知する。
【０２０９】
こうすることにより、本発明によれば、不正アクセスの発信元にできるだけ近い場所での不正アクセス対策の実施が可能となる結果、分散型サービス不能化攻撃に効果的に対処することができるという効果を奏する。
【図面の簡単な説明】
【図１】本発明の原理構成を示す図である。
【図２】本発明を実施する不正アクセス対処システムの機能構成を示す図である。
【図３】図２のシステムで使用されるコンピュータのハードウェア構成例を示す図である。
【図４】トラフィックモニター手順の内容を示す図である。
【図５】トラフィックＤＢのデータ構造を示す図である。
【図６】不正アクセス通知手順の内容を示す図である。
【図７】不正アクセス通知のデータ形式を示す図である。
【図８】不正アクセス対策制御手順の内容を示す図である。
【図９】不正アクセス対策実施場所決定手順の内容を示す図である。
【図１０】不正アクセス対策実施手順の内容を示す図である。
【図１１】組織間認証手順の内容を示す図である。
【図１２】組織間ポリシー交換手順の内容を示す図である。
【図１３】不正アクセス対策記録手順の内容を示す図である。
【図１４】記録させた制御プログラムをコンピュータで読み取ることの可能な記録媒体の例を示す図である。
【図１５】従来の不正アクセス対処システムの概略を説明する図である。
【符号の説明】
１０ 自ＩＳＰ
１１、５０１ 運用管理システム
１２、１００ 不正アクセス対策マネージャサイト
１２−１ 探索手段
１２−２ 決定手段
１２−３ 通知手段
１２−４ 認証手段
１２−５ セキュリティポリシー交換手段
１２−６ 不正アクセス対策実施制御手段
１２−７ 通知取得手段
１２−８ 記録手段
１３、２００ 不正アクセス通知エージェントサイト
１３−１ 不正アクセス通知手段
１４、５０２ ＩＤＳ
１５ 顧客境界ルータ
１６、１８、３００ 不正アクセス対策実施エージェントサイト
１６−１、１８−１ トラフィックモニター手段
１６−２、１８−２ 不正アクセス対策実施手段
１７、２００２、２００３ ＩＳＰ境界ルータ
１９、３００１、４００１ ＰＯＰ境界ルータ
２０、１０００ 顧客サイト
２１、１００１ Ｗｅｂシステム
２２、１００２ ファイヤウォール
３０ 隣接ＩＳＰ
４０ 非常時接続利用者端末
１０１ 管理端末
１１０ 不正アクセス対策マネージャプログラム
１１１ 不正アクセス対策制御部
１１２ 不正アクセス対策記録制御部
１１３、３１３ ＩＯ制御部
１２０ 証明書
１３０ Ｐｏｌｉｃｙ
１４０ ＬｏｇＤＢ
２１０ 不正アクセス通知プログラム
２１１ 不正アクセス通知エンジン
２１２ 通信制御部
３１０ 不正アクセス対策実施プログラム
３１１ 不正アクセス対策実施エンジン
３１２ トラフィックモニターエンジン
３２０ トラフィックＤＢ
４００ 不正アクセス対処システム専用ネットワーク
５００ ＩＳＰネットワーク
５０３、２００１ 境界ルータ
６０１ ＣＰＵ
６０２ ＲＡＭ
６０３ ＲＯＭ
６０４ ＨＤＤ
６０５ 入力部
６０６ 出力部
６０７ 通信インタフェースＡ
６０８ 通信インタフェースＢ
６０９ バス
７０１ コンピュータ
７０２ メモリ
７０３ 可搬型記録媒体
７０４ 回線
７０５ プログラムサーバ
７０６ 記憶装置
２０００ ＩＳＰ−Ａ
３０００ ＩＳＰ−Ｂ
４０００ ＩＳＰ−Ｃ
Claims (8)
- 自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索をＩＰアドレスにより行う探索手段と、
前記サービスを前記不正なアクセスから保護するための対策を、前記不正なアクセスを自己の通信ネットワークに流入させている流入元の通信ネットワーク内で実施するか、あるいは、前記自己の通信ネットワーク内で実施するかの決定を、前記探索の結果に基づいて行う決定手段と、
前記不正なアクセスを自己の通信ネットワークに流入させている流入元の通信ネットワーク内で前記不正なアクセスから保護するための対策を実施すると前記決定手段が決定したときに、該決定を該流入元の通信ネットワークの運用を管理するシステムへ通知する通知手段と、
を有しており、
前記決定手段は、前記自己の通信ネットワークに論理的に隣接している隣接通信ネットワークの各々から該自己の通信ネットワークへのトラフィックの流入路毎に取得される該トラフィックの監視情報より、該探索手段による探索で得られた該不正なアクセスについての情報を抽出した上で、該抽出された情報で示されているトラフィックの流入路から該トラフィックを該自己の通信ネットワークへ流入させた隣接通信ネットワークを前記流入元の通信ネットワークとして特定し、該特定された流入元の通信ネットワークが該自己の通信ネットワークと信頼関係にあるとされているか否かを、該自己の通信ネットワークと信頼関係にある通信ネットワークであることを認証する証明書の保有の有無により判定し、該信頼関係にあるとされていると判定した場合には前記対策を該流入元の通信ネットワーク内で実施すると決定する一方、この他の場合には該対策を該自己の通信ネットワーク内で実施すると決定し、
前記通知手段は、前記対策を前記流入元の通信ネットワーク内で実施するとの決定を、前記探索手段による探索結果である前記不正なアクセスを特定する情報を添付した不正アクセス対策実施要求を該流入元の通信ネットワークの運用を管理するシステムへ送付することによって、通知する、
ことを特徴とする不正アクセス対処システム。 - 不正アクセス対処処理プログラムであって、コンピュータに実行させると、
自己の通信ネットワークより公開されているサービスに対する不正なアクセスの流入路の探索をＩＰアドレスにより行う探索処理と、
前記サービスを前記不正なアクセスから保護するための対策を、前記不正なアクセスを自己の通信ネットワークに流入させている流入元で実施するか、あるいは、前記自己の通信ネットワーク内で実施するかの決定を行う決定処理と、
前記不正なアクセスを自己の通信ネットワークに流入させている流入元の通信ネットワーク内で前記不正なアクセスから保護するための対策を実施すると前記決定処理により決定されたときに、該決定を該流入元の通信ネットワークの運用を管理するシステムへ通知する通知処理と、
を該コンピュータが行い、
前記決定処理は、前記自己の通信ネットワークに論理的に隣接している隣接通信ネットワークの各々から該自己の通信ネットワークへのトラフィックの流入路毎に取得される該トラフィックの監視情報より、該探索処理による探索で得られた該不正なアクセスについての情報を抽出した上で、該抽出された情報で示されているトラフィックの流入路から該トラフィックを該自己の通信ネットワークへ流入させた隣接通信ネットワークを前記流入元の通信ネットワークとして特定し、該特定された流入元の通信ネットワークが該自己の通信ネットワークと信頼関係にあるとされているか否かを、該自己の通信ネットワークと信頼関係にある通信ネットワークであることを認証する証明書の保有の有無により判定し、該信頼関係にあるとされていると判定した場合には前記対策を該流入元の通信ネットワーク内で実施すると決定する一方、この他の場合には該対策を該自己の通信ネットワーク内で実施すると決定する処理であり、
前記通知処理は、前記対策を前記流入元の通信ネットワーク内で実施するとの決定を、前記探索処理による探索結果である前記不正なアクセスを特定する情報を添付した不正アクセス対策実施要求を該流入元の通信ネットワークの運用を管理するシステムへ送付することによって、通知する処理である、
不正アクセス対処処理プログラム。 - 前記探索処理は、該不正なアクセスを前記自己の通信ネットワークに流入させているＰＯＰ（ポイント・オブ・プレゼンス）境界ルータを探索することによって、前記不正なアクセスの該自己の通信ネットワークへの流入路の探索を行う処理であり、該ＰＯＰ境界ルータの探索が、前記自己の通信ネットワークで伝送されているトラフィックの監視情報と前記不正なアクセスの内容を示す不正アクセス情報とに基づいて行われることを特徴とする請求項２に記載の不正アクセス対処処理プログラム。
- 前記通知処理は、前記不正なアクセスの流入路とは異なる通信経路を用いて前記決定を該不正なアクセスの流入元の通信ネットワークの運用を管理するシステムへ通知する処理であることを特徴とする請求項２に記載の不正アクセス対処処理プログラム。
- 前記不正アクセス対処プログラムは、前記コンピュータに実行させると、前記自己の通信ネットワーク内で前記不正なアクセスから保護するための対策を実施すると前記決定処理により決定されたときに、前記サービスを該不正なアクセスから保護するための対策を該自己の通信ネットワーク内で実施させる不正アクセス対策実施制御処理を該コンピュータが更に行うことを特徴とする請求項２に記載の不正アクセス対処処理プログラム。
- 前記不正アクセス対策実施制御処理は、前記不正なアクセスの発信元が接続しているＰＯＰ（ポイント・オブ・プレゼンス）境界ルータにおいて前記不正なアクセスから保護するための対策を実施させる処理であることを特徴とする請求項５に記載の不正アクセス対処処理プログラム。
- 前記不正アクセス対策実施制御処理の実行によって実施させた前記対策は、前記不正アクセスの検知がされなくなったときから予め設定されている時間が経過した後には解除されることを特徴とする請求項５に記載の不正アクセス対処処理プログラム。
- 前記不正アクセス対処プログラムは、前記コンピュータに実行させると、前記自己の通信ネットワークとは異なる他の通信ネットワークより公開されているサービスに対する不正なアクセスを該他の通信ネットワークへ流入させている決定の通知を取得する通知取得処理を該コンピュータが更に行い、
前記コンピュータは、前記通知取得処理によって前記通知が取得されたときには、前記探索処理として、該通知に係る不正なアクセスの自己の通信ネットワークにおける流入路を探索する処理を行い、
前記コンピュータは、前記通知取得処理によって前記通知が取得されたときには、前記決定処理として、前記他の通信ネットワークより公開されているサービスを該通知に係る不正なアクセスから保護するための対策を、前記不正なアクセスを自己の通信ネットワークに流入させている流入元の通信ネットワーク内で実施するか、あるいは、前記自己の通信ネットワーク内で実施するかの決定を行う処理を行い、
前記コンピュータは、前記通知取得処理によって前記通知が取得されたときには、前記通知処理として、該通知に係る不正なアクセスを前記自己の通信ネットワークに流入させている流入元の通信ネットワーク内で前記対策を実施すると前記決定処理により決定されたときに、該決定を該流入元の通信ネットワークの運用を管理するシステムへ通知する処理を行う、
ことを特徴とする請求項２に記載の不正アクセス対処処理プログラム。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003074546A JP4354201B2 (ja) | 2003-03-18 | 2003-03-18 | 不正アクセス対処システム、及び不正アクセス対処処理プログラム |
| US10/790,655 US7681236B2 (en) | 2003-03-18 | 2004-03-01 | Unauthorized access prevention system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003074546A JP4354201B2 (ja) | 2003-03-18 | 2003-03-18 | 不正アクセス対処システム、及び不正アクセス対処処理プログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004280724A JP2004280724A (ja) | 2004-10-07 |
| JP4354201B2 true JP4354201B2 (ja) | 2009-10-28 |
Family
ID=32984749
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003074546A Expired - Fee Related JP4354201B2 (ja) | 2003-03-18 | 2003-03-18 | 不正アクセス対処システム、及び不正アクセス対処処理プログラム |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US7681236B2 (ja) |
| JP (1) | JP4354201B2 (ja) |
Families Citing this family (74)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4371905B2 (ja) | 2004-05-27 | 2009-11-25 | 富士通株式会社 | 不正アクセス検知装置、不正アクセス検知方法、不正アクセス検知プログラムおよび分散型サービス不能化攻撃検知装置 |
| CN100370757C (zh) * | 2004-07-09 | 2008-02-20 | 国际商业机器公司 | 识别网络内分布式拒绝服务攻击和防御攻击的方法和系统 |
| KR100777751B1 (ko) * | 2004-10-12 | 2007-11-19 | 니폰덴신뎅와 가부시키가이샤 | 서비스 불능 공격 방어 시스템, 서비스 불능 공격 방어방법 및 서비스 불능 공격 방어 프로그램 |
| JPWO2006043371A1 (ja) * | 2004-10-21 | 2008-05-22 | 日本電信電話株式会社 | 防御装置、防御方法および防御プログラム並びにネットワーク攻撃防御システム |
| JP4709160B2 (ja) | 2004-10-28 | 2011-06-22 | 日本電信電話株式会社 | サービス不能攻撃検知システムおよびサービス不能攻撃検知方法 |
| JP4641848B2 (ja) * | 2005-03-30 | 2011-03-02 | 富士通株式会社 | 不正アクセス探索方法及び装置 |
| US9912677B2 (en) | 2005-09-06 | 2018-03-06 | Daniel Chien | Evaluating a questionable network communication |
| US9015090B2 (en) | 2005-09-06 | 2015-04-21 | Daniel Chien | Evaluating a questionable network communication |
| US9674145B2 (en) | 2005-09-06 | 2017-06-06 | Daniel Chien | Evaluating a questionable network communication |
| US8621604B2 (en) * | 2005-09-06 | 2013-12-31 | Daniel Chien | Evaluating a questionable network communication |
| WO2007106902A2 (en) * | 2006-03-15 | 2007-09-20 | Daniel Chien | Identifying unauthorized access to a network resource |
| US8069230B2 (en) * | 2007-10-31 | 2011-11-29 | Affinegy, Inc. | System and method of configuring a network |
| JP5169999B2 (ja) * | 2009-06-03 | 2013-03-27 | Ｎｅｃインフロンティア株式会社 | サービス停止攻撃検出システム、ネットワーク中継装置、サービス停止攻撃防御方法 |
| US8752142B2 (en) * | 2009-07-17 | 2014-06-10 | American Express Travel Related Services Company, Inc. | Systems, methods, and computer program products for adapting the security measures of a communication network based on feedback |
| US8621636B2 (en) | 2009-12-17 | 2013-12-31 | American Express Travel Related Services Company, Inc. | Systems, methods, and computer program products for collecting and reporting sensor data in a communication network |
| US9756076B2 (en) | 2009-12-17 | 2017-09-05 | American Express Travel Related Services Company, Inc. | Dynamically reacting policies and protections for securing mobile financial transactions |
| US8650129B2 (en) | 2010-01-20 | 2014-02-11 | American Express Travel Related Services Company, Inc. | Dynamically reacting policies and protections for securing mobile financial transaction data in transit |
| JP2013523043A (ja) | 2010-03-22 | 2013-06-13 | エルアールディシー システムズ、エルエルシー | ソースデータセットの完全性を識別及び保護する方法 |
| US8850539B2 (en) | 2010-06-22 | 2014-09-30 | American Express Travel Related Services Company, Inc. | Adaptive policies and protections for securing financial transaction data at rest |
| US10360625B2 (en) | 2010-06-22 | 2019-07-23 | American Express Travel Related Services Company, Inc. | Dynamically adaptive policy management for securing mobile financial transactions |
| US8924296B2 (en) | 2010-06-22 | 2014-12-30 | American Express Travel Related Services Company, Inc. | Dynamic pairing system for securing a trusted communication channel |
| TWI459749B (zh) | 2010-12-27 | 2014-11-01 | Ind Tech Res Inst | 數位資訊編碼方法、解碼方法、資訊傳播裝置及資訊管理裝置 |
| US9369872B2 (en) * | 2013-03-14 | 2016-06-14 | Vonage Business Inc. | Method and apparatus for configuring communication parameters on a wireless device |
| US9282113B2 (en) * | 2013-06-27 | 2016-03-08 | Cellco Partnership | Denial of service (DoS) attack detection systems and methods |
| US10454714B2 (en) | 2013-07-10 | 2019-10-22 | Nicira, Inc. | Method and system of overlay flow control |
| US10749711B2 (en) | 2013-07-10 | 2020-08-18 | Nicira, Inc. | Network-link method useful for a last-mile connectivity in an edge-gateway multipath system |
| US10084791B2 (en) | 2013-08-14 | 2018-09-25 | Daniel Chien | Evaluating a questionable network communication |
| US9542570B2 (en) * | 2014-11-10 | 2017-01-10 | Successfactors, Inc. | Permission control |
| US10425382B2 (en) | 2015-04-13 | 2019-09-24 | Nicira, Inc. | Method and system of a cloud-based multipath routing protocol |
| US10498652B2 (en) | 2015-04-13 | 2019-12-03 | Nicira, Inc. | Method and system of application-aware routing with crowdsourcing |
| US10135789B2 (en) | 2015-04-13 | 2018-11-20 | Nicira, Inc. | Method and system of establishing a virtual private network in a cloud service for branch networking |
| US10542006B2 (en) | 2016-11-22 | 2020-01-21 | Daniel Chien | Network security based on redirection of questionable network access |
| US10382436B2 (en) | 2016-11-22 | 2019-08-13 | Daniel Chien | Network security based on device identifiers and network addresses |
| US11252079B2 (en) | 2017-01-31 | 2022-02-15 | Vmware, Inc. | High performance software-defined core network |
| US20200036624A1 (en) | 2017-01-31 | 2020-01-30 | The Mode Group | High performance software-defined core network |
| US10992558B1 (en) | 2017-11-06 | 2021-04-27 | Vmware, Inc. | Method and apparatus for distributed data network traffic optimization |
| US11706127B2 (en) | 2017-01-31 | 2023-07-18 | Vmware, Inc. | High performance software-defined core network |
| US11121962B2 (en) | 2017-01-31 | 2021-09-14 | Vmware, Inc. | High performance software-defined core network |
| US10992568B2 (en) | 2017-01-31 | 2021-04-27 | Vmware, Inc. | High performance software-defined core network |
| US20180219765A1 (en) | 2017-01-31 | 2018-08-02 | Waltz Networks | Method and Apparatus for Network Traffic Control Optimization |
| US10778528B2 (en) | 2017-02-11 | 2020-09-15 | Nicira, Inc. | Method and system of connecting to a multipath hub in a cluster |
| JP2018133753A (ja) * | 2017-02-16 | 2018-08-23 | 日本電信電話株式会社 | 対処制御システム及び対処制御方法 |
| EP3570504B1 (en) | 2017-03-09 | 2020-12-23 | Nippon Telegraph and Telephone Corporation | Attack countermeasure determination device, attack countermeasure determination method, and attack countermeasure determination program |
| US10523539B2 (en) | 2017-06-22 | 2019-12-31 | Nicira, Inc. | Method and system of resiliency in cloud-delivered SD-WAN |
| US10999100B2 (en) | 2017-10-02 | 2021-05-04 | Vmware, Inc. | Identifying multiple nodes in a virtual network defined over a set of public clouds to connect to an external SAAS provider |
| US10999165B2 (en) | 2017-10-02 | 2021-05-04 | Vmware, Inc. | Three tiers of SaaS providers for deploying compute and network infrastructure in the public cloud |
| US11089111B2 (en) | 2017-10-02 | 2021-08-10 | Vmware, Inc. | Layer four optimization for a virtual network defined over public cloud |
| US10594516B2 (en) | 2017-10-02 | 2020-03-17 | Vmware, Inc. | Virtual network provider |
| US11115480B2 (en) | 2017-10-02 | 2021-09-07 | Vmware, Inc. | Layer four optimization for a virtual network defined over public cloud |
| US11223514B2 (en) | 2017-11-09 | 2022-01-11 | Nicira, Inc. | Method and system of a dynamic high-availability mode based on current wide area network connectivity |
| US11188622B2 (en) | 2018-09-28 | 2021-11-30 | Daniel Chien | Systems and methods for computer security |
| US10826912B2 (en) | 2018-12-14 | 2020-11-03 | Daniel Chien | Timestamp-based authentication |
| US10848489B2 (en) | 2018-12-14 | 2020-11-24 | Daniel Chien | Timestamp-based authentication with redirection |
| US11121985B2 (en) | 2019-08-27 | 2021-09-14 | Vmware, Inc. | Defining different public cloud virtual networks for different entities based on different sets of measurements |
| US11044190B2 (en) | 2019-10-28 | 2021-06-22 | Vmware, Inc. | Managing forwarding elements at edge nodes connected to a virtual network |
| US11677754B2 (en) | 2019-12-09 | 2023-06-13 | Daniel Chien | Access control systems and methods |
| US11394640B2 (en) | 2019-12-12 | 2022-07-19 | Vmware, Inc. | Collecting and analyzing data regarding flows associated with DPI parameters |
| US11489783B2 (en) | 2019-12-12 | 2022-11-01 | Vmware, Inc. | Performing deep packet inspection in a software defined wide area network |
| US11418997B2 (en) | 2020-01-24 | 2022-08-16 | Vmware, Inc. | Using heart beats to monitor operational state of service classes of a QoS aware network link |
| US11509463B2 (en) | 2020-05-31 | 2022-11-22 | Daniel Chien | Timestamp-based shared key generation |
| US11438145B2 (en) | 2020-05-31 | 2022-09-06 | Daniel Chien | Shared key generation based on dual clocks |
| US11477127B2 (en) | 2020-07-02 | 2022-10-18 | Vmware, Inc. | Methods and apparatus for application aware hub clustering techniques for a hyper scale SD-WAN |
| US11363124B2 (en) | 2020-07-30 | 2022-06-14 | Vmware, Inc. | Zero copy socket splicing |
| US11575591B2 (en) | 2020-11-17 | 2023-02-07 | Vmware, Inc. | Autonomous distributed forwarding plane traceability based anomaly detection in application traffic for hyper-scale SD-WAN |
| US11575600B2 (en) | 2020-11-24 | 2023-02-07 | Vmware, Inc. | Tunnel-less SD-WAN |
| US11601356B2 (en) | 2020-12-29 | 2023-03-07 | Vmware, Inc. | Emulating packet flows to assess network links for SD-WAN |
| US11792127B2 (en) | 2021-01-18 | 2023-10-17 | Vmware, Inc. | Network-aware load balancing |
| US11979325B2 (en) | 2021-01-28 | 2024-05-07 | VMware LLC | Dynamic SD-WAN hub cluster scaling with machine learning |
| US11388086B1 (en) | 2021-05-03 | 2022-07-12 | Vmware, Inc. | On demand routing mesh for dynamically adjusting SD-WAN edge forwarding node roles to facilitate routing through an SD-WAN |
| US11729065B2 (en) | 2021-05-06 | 2023-08-15 | Vmware, Inc. | Methods for application defined virtual network service among multiple transport in SD-WAN |
| US11489720B1 (en) | 2021-06-18 | 2022-11-01 | Vmware, Inc. | Method and apparatus to evaluate resource elements and public clouds for deploying tenant deployable elements based on harvested performance metrics |
| US11375005B1 (en) | 2021-07-24 | 2022-06-28 | Vmware, Inc. | High availability solutions for a secure access service edge application |
| US11943146B2 (en) | 2021-10-01 | 2024-03-26 | VMware LLC | Traffic prioritization in SD-WAN |
| US11909815B2 (en) | 2022-06-06 | 2024-02-20 | VMware LLC | Routing based on geolocation costs |
Family Cites Families (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH07141296A (ja) | 1993-11-15 | 1995-06-02 | Hitachi Ltd | オープンな分散環境におけるセキュリティ管理装置 |
| JPH09214493A (ja) * | 1996-02-08 | 1997-08-15 | Hitachi Ltd | ネットワークシステム |
| JP3483782B2 (ja) | 1998-10-15 | 2004-01-06 | 株式会社エヌ・ティ・ティ・データ | 電子データの追跡システム及びデータ中継装置 |
| JP3618245B2 (ja) | 1999-03-09 | 2005-02-09 | 株式会社日立製作所 | ネットワーク監視システム |
| US6715083B1 (en) * | 1999-10-13 | 2004-03-30 | Ericsson Inc. | Method and system of alerting internet service providers that a hacker may be using their system to gain access to a target system |
| JP3549861B2 (ja) | 2000-09-12 | 2004-08-04 | 日本電信電話株式会社 | 分散型サービス不能攻撃の防止方法および装置ならびにそのコンピュータプログラム |
| JP3723076B2 (ja) | 2000-12-15 | 2005-12-07 | 富士通株式会社 | 不正侵入防御機能を有するｉｐ通信ネットワークシステム |
| US7373666B2 (en) * | 2002-07-01 | 2008-05-13 | Microsoft Corporation | Distributed threat management |
| US20040148520A1 (en) * | 2003-01-29 | 2004-07-29 | Rajesh Talpade | Mitigating denial of service attacks |
-
2003
- 2003-03-18 JP JP2003074546A patent/JP4354201B2/ja not_active Expired - Fee Related
-
2004
- 2004-03-01 US US10/790,655 patent/US7681236B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| US7681236B2 (en) | 2010-03-16 |
| JP2004280724A (ja) | 2004-10-07 |
| US20040187034A1 (en) | 2004-09-23 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4354201B2 (ja) | 不正アクセス対処システム、及び不正アクセス対処処理プログラム | |
| JP4520703B2 (ja) | 不正アクセス対処システム、及び不正アクセス対処処理プログラム | |
| EP2194677B1 (en) | Network monitoring device, network monitoring method, and network monitoring program | |
| US7757283B2 (en) | System and method for detecting abnormal traffic based on early notification | |
| Belenky et al. | On IP traceback | |
| Hu et al. | Accurate real-time identification of IP prefix hijacking | |
| RU2514138C1 (ru) | Система и способ верификации сертификата открытого ключа с целью противодействия атакам типа "человек посередине" | |
| EP1203280B1 (en) | System and method for protecting a computer network against denial of service attacks | |
| US20050216956A1 (en) | Method and system for authentication event security policy generation | |
| WO2002019642A1 (en) | Method and system for internet hosting and security | |
| EP1804446B1 (en) | Denial-of-service attack protecting system, method, and program | |
| KR20110049282A (ko) | 디도스 공격에 대한 디도스 탐지/차단 시스템 및 그 방법 | |
| Amiri et al. | Theoretical and experimental methods for defending against DDoS attacks | |
| JP3699941B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置、分散型サービス不能攻撃防止プログラム及び記録媒体 | |
| JP3966231B2 (ja) | ネットワークシステムと不正アクセス制御方法およびプログラム | |
| JP3609381B2 (ja) | 分散型サービス不能攻撃防止方法及びゲート装置、通信装置ならびにプログラム | |
| Badea et al. | Computer network vulnerabilities and monitoring | |
| JP4814988B2 (ja) | 不正アクセス対処システム、及び不正アクセス対処処理プログラム | |
| KR20110010050A (ko) | 플로우별 동적인 접근제어 시스템 및 방법 | |
| JP2006201951A (ja) | ネットワーク防御システム、ネットワーク防御方法、監視マネージャおよびプログラム | |
| Srivastava et al. | History Based Adaptive Approach for Blocking the Malicious Host in SDN | |
| JP2007512745A (ja) | 合法的な使用を損なわない、幾つかのネットワークプロトコルの不正使用の検出並びに防止方法 | |
| Sharma et al. | Security enhancement on BGP protocol: A literature survey | |
| Savola et al. | Towards security metrics-supported IP traceback | |
| Oliveira et al. | Understanding the Challenges in Securing Internet Routing |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060213 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20080605 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080624 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080820 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20081118 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090115 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20090317 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090417 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090428 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20090527 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20090728 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20090729 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4354201 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120807 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120807 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130807 Year of fee payment: 4 |
|
| LAPS | Cancellation because of no payment of annual fees |