JP4376711B2

JP4376711B2 - アクセス管理方法及びその装置

Info

Publication number: JP4376711B2
Application number: JP2004203675A
Authority: JP
Inventors: 大輔四ノ宮
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2004-07-09
Filing date: 2004-07-09
Publication date: 2009-12-02
Anticipated expiration: 2024-07-09
Also published as: US7508767B2; US20060007868A1; JP2006025354A

Description

本発明は、アクセス管理方法及びその装置に関し、エンドシステムと、ルーティングを行うパケット通信装置と、認証機能を持ったアクセス管理サーバで構成されたネットワークのアクセス管理方法及びその装置ブリッジ装置に関する。

近年はパーソナルコンピュータの急速な普及と共に、コンピュータやネットワーク自体の高機能化、高性能化も進んでいる。企業内ではビジネスを円滑に進めるためのツールとして、ネットワークの重要度は増しており、ネットワーク上で重要なデータのやり取りが行われている。そのため、不正アクセスやウイルスなどの攻撃に対して、ファイアウォール等のセキュリティ装置を用いてそれらのデータを守る対策が採られている。

特許文献１には、認証サーバと新規な基地局が相互認証を行うことで、事業者が一般ユーザの設置した基地局の安全性を保証し、また、新規無線端末がアクセスしたとき、最初に新規無線端末，基地局間で相互認証し、基地局は相互認証が成功するまでは新規無線端末が送信したパケットを事業者側ネットワークに転送しないことで認証を装ったＤｏＳ（ＤｅｎｉａｌｏｆＳｅｒｖｉｃｅ）攻撃を防止することが記載されている。

特許文献２には、利用者の認証をしたうえで、ルータに対して通信相手のＩＰアドレスの許可リストを持たせて通信の管理を行うことが記載されている。
特開２００３−２４９９４４号公報特開２００３−８６６０号公報

しかし、近年のデータ漏洩などの問題や、ウイルスによるネットワークへの攻撃の問題があり、対応が求められており、いくつかの方法が提案されているが、これといった解決策は存在しない。

特許文献２に記載のものは、利用者の認証をしたうえで、ルータに対して通信相手のＩＰアドレスの許可リストを持たせて通信の管理を行っているが、ＩＰアドレスを基にしてしか管理が出来ないほか、アクセス管理サーバに通信可否の情報を設定されており、その情報のみで管理されるため、通信相手が一時的に通信を拒否したい場合に臨機応変に対応したり、セション毎など細かい条件に応じて通信可否を決めたりする等のフレキシブルな対応ができない。動的に対応できないため、通常許可されている相手先がウイルスに感染して攻撃してきた場合には、対処することができない。また、端末の数が増えた場合に、リストが大きくなるため、ルータの性能が落ち、スケールアップしにくいという問題がある。

セション毎の認証としてはＳＳＬ（ＳｅｃｕｒｅＳｏｃｋｅｔｓＬａｙｅｒ）などの技術を使って対応することができ、一般的に使われているものの、この方法はエンドシステム側で対応するため、ＤｏＳ攻撃などの正規の手順をとりながら攻撃をしてくるものに対して対応することが出来ないといった問題がある。

以上の問題点についてまとめてみると、次の３点に集約できる。
（１）加入者認証しか出来ないため、管理者の異なるネットワークをまたがってユーザの認証を行うことが出来ない。また、セション毎の認証を行うことが出来ない。
（２）固定的に設定された通信可否情報を元に処理するため、ウイルスなどの攻撃により、その端末が一時的に攻撃者になった場合に対応が出来ない。
（３）セション認証をエンドシステムで行い、フィルタをしたとしても、ＤｏＳ攻撃の場合、エンドシステムまで通信が届くことが問題でありうまく防ぐことが出来ない。

本発明は、上記の点に鑑みなされたものであり、ネットワークへの攻撃に対しセション毎にフレキシブルな対応ができるアクセス管理方法及びその装置を提供することを目的とする。

請求項１に記載の発明は、エンドシステムと、ルーティングを行うパケット通信装置と、認証機能を持ったアクセス管理サーバで構成されたネットワークのアクセス管理方法であって、
前記アクセス管理サーバでセション毎に通信相手に認証を行い、通信相手から許可された通信のみを許可し、
前記パケット通信装置で前記通信相手から拒否されたパケットの条件と一致するパケットを破棄するよう前記パケット通信装置に設けられたフィルタを設定し、
受信したパケットの通信元の条件が、通信相手から拒否されたとき通信を拒否する通信元の条件を登録した拒否リストと一致したとき、前記認証を行う前に、前記受信したパケットを破棄するよう前記パケット通信装置を設定することにより、ネットワークへの攻撃に対しセション毎に細かい条件に応じて通信可否を決めることができフレキシブルな対応が可能となる。

請求項２に記載の発明は、エンドシステムと、ルーティングを行うパケット通信装置とともにネットワークを構成する認証機能を持ったアクセス管理サーバであって、
前記アクセス管理サーバでセション毎に通信相手に認証を行い、通信相手から許可された通信のみを許可する通信許可手段と、
前記通信相手から拒否されたパケットの条件と一致するパケットを破棄するよう前記パケット通信装置に設けられたフィルタ手段を設定する破棄設定手段と、
通信相手から拒否されたとき通信を拒否する通信元の条件を登録した拒否リストを有し、
受信したパケットの通信元の条件が前記拒否リストと一致したとき、前記認証を行う前に、前記受信したパケットを破棄するよう前記破棄設定手段で前記パケット通信装置を設定することにより、ネットワークへの攻撃に対しセション毎に細かい条件に応じて通信可否を決めることができフレキシブルな対応が可能となる。

本発明によれば、ネットワークへの攻撃に対しセション毎に細かい条件に応じて通信可否を決めることができフレキシブルな対応が可能となる。

以下、図面に基づいて本発明の実施形態について説明する。

本発明では、ＲＡＤＩＵＳ（ＲｅｍｏｔｅＡｕｔｈｅｎｔｉｃａｔｉｏｎＤｉａｌＩｎＵｓｅｒＳｅｒｖｉｃｅ）サーバやＤＮＳ（ＤｏｍａｉｎＮａｍｅＳｙｓｔｅｍ）サーバ、ＳＩＰ（ＳｅｓｓｉｏｎＩｎｉｔｉａｔｉｏｎＰｒｏｔｏｃｏｌ）サーバ等、通信を開始する時に最初にアクセスするサーバ（以降「アクセス管理サーバ」と呼ぶ）でユーザ認証を行った上で、更に通信相手となるクライアント自身にセッションレベルでの通信許可／拒否を決めさせ、それを元に、通信元のセションレベルでのアクセス管理を行う。

ユーザが、通信を開始する前に、アクセス管理サーバに対して通信相手への通信許可を求めると、アクセス管理サーバが通信相手のエンドシステム（クライアントおよびサーバ）に対して通信を許可するか拒否するかを確認する。通信許可が下りた場合は、アクセス管理サーバが相手先の正しい情報を返し、通信が出来るようにするが、そうでない場合は正しくない情報を返したり、パケット通信装置に対してフィルタを設定したりすることで通信が出来ないようにする。これにより、細かいレベルでアクセス管理を行いながらセキュアな通信を実現することができる。

本発明は、特定のプロトコル上の動作について規定するものではないが、ＳＩＰを使った実施形態（ＳＩＰサーバがアクセス管理サーバとして動く場合）を例にとって説明する。なお、この仕組み自体は、ＳＩＰにのみ適用可能というものではなく、ＲＡＤＩＵＳサーバやＤＮＳサーバの認証機能など、他の仕組みにも適用可能である。

まず、一般的なＳＩＰのシーケンスについて図１を用いて説明する。同図中、エンドシステムＡはアクセス管理サーバに対して、ＩＮＶＩＴＥ（セション参加要求）メッセージを送信する。ＩＮＶＩＴＥメッセージを受けたアクセス管理サーバは、通信相手のエンドシステムＢに対してＩＮＶＩＴＥメッセージを転送する。その後、エンドシステムＡに対して‘１００’暫定レスポンスを返す（２−１）。

エンドシステムＢはエンドシステムＡからのＩＮＶＩＴＥメッセージが問題ないものであれば、ＩＮＶＩＴＥメッセージに対する応答として‘２００’成功レスポンスをアクセス管理サーバ経由でエンドシステム１１に返す（２−２）。

エンドシステムＡは‘２００’成功レスポンスを受信すると、それに対するＡＣＫ（応答）メッセージをアクセス管理サーバ経由でエンドシステムＢ宛に送信する（２−３）。ここまでの動作でセッションが確立され通信が可能となる（２−４）。

一通り、通信を完了すると、セションを終了するための処理を行う。セションの終了はどちらから行ってもよいが、ここでは開始側で行う場合を説明している。エンドシステムＡはＢＹＥ（終了）メッセージをアクセス管理サーバ経由でエンドシステムＢに送信する（２−５）。

ＢＹＥメッセージを受けたエンドシステムＢはそれに対する応答メッセージとして‘２００’成功レスポンスをアクセス管理サーバ経由でエンドシステム１１に送り、これでセションが終了する（２−６）。

以上のようにＳＩＰは、テキストベースの単純なやりとりを用いて、通信をするエンドシステム間でセションの確立と終了を行うプロトコルである。
（１）従前からのＳＩＰヘッダの一例を以下に示す。

Ｖｉａ：このリクエストに対する応答の受信を望むアドレスと、このトランザクションを識別するｂｒａｎｃｈパラメータを含む。

Ｔｏ：このリクエストの宛先の表示名とＳＩＰ＿ＵＲＩ（表示名はなくてもよい）。

Ｆｒｏｍ：このリクエストの発信元の表示名とＳＩＰ＿ＵＲＩ（表示名はなくてもよい）。このヘッダーフィールドは、識別に使われるタグ・パラメータも持つ。

Ｃａｌｌ−ＩＤ：この呼のグローバルに一意な識別子（Ｔｏｔａｇ，Ｆｒｏｍｔａｇから生成）。

ＣＳｅｑ：整数値とメソッド名（整数値はインクリメントされる）。

Ｃｏｎｔａｃｔ：応答の受信を望むアドレス応答の受信を望むアドレス。今後のリクエストをどこに送ってほしいのかを他のエレメントに伝える。

Ｃｏｎｔｅｎｔ−Ｔｙｐｅ：メッセージボディの説明。

Ｃｏｎｔｅｎｔ−Ｌｅｎｇｔｈ：メッセージボディの長さ。
（２）本実施形態で使用する従前からのＳＩＰメソッドを以下に示す。

ＩＮＶＩＴＥ：セション参加リクエスト
ＡＣＫ：ＩＮＶＩＴＥに対する最終レスポンスの確認
ＢＹＥ：セションの終了
（３）本実施形態で使用する従前からのＳＩＰレスポンスコードを以下に示す。

１ｘｘ（暫定レスポンス）：リクエスト処理中でまだ完了していない。

２ｘｘ（成功）：リクエストがきちんと受理された。

４ｘｘ（クライアントエラー）：リクエストにエラーが発生したため処理できない。エラーを修正すれば再試行可能。
（４）本発明の拡張メッセージのＳＩＰヘッダを以下に示す。

Ｄｅｆａｕｌｔ−ＧＷ：このメッセージを送信した側のデフォルトゲートウェイを示す。ＳＩＰサーバのみが判別し、設定を変更するルータを特定する。

Ｐｏｒｔ−ｔｙｐｅ：エンドシステム間で使用されるポート番号（ＵＤＰ／ＴＣＰ）を示す。

Ａｃｃｅｓｓ−Ａｕｔｈｅｎｔｉｃａｔｅ−ＭＤ５：ＵＳＥＲ−ＡＵＴＨメソッドでＭＤ５（ＭｅｓｓａｇｅＤｉｇｅｓｔＡｌｇｏｒｉｓｍ５：ＲＦＣ１３２１で規定）を使った認証を行うときに使われるフィールド。中には下記の情報が含まれる。

−ｕｓｅｒ：ユーザ名とｒｅａｌｍから構成される。認証の際のユーザ名を示す。

−ｃｈａｌｌｅｎｇｅ：ＳＩＰサーバから送られる鍵。

−ｒｅｓｐｏｎｓｅ：エンドシステムからＳＩＰサーバへの応答。ｃｈａｌｌｅｎｇｅの中の鍵を使ってユーザ名とパスワードのハッシュ値が入る。
（５）本発明の拡張メッセージのＳＩＰメソッドを以下に示す。

ＵＳＥＲ−ＡＵＴＨ：エンドシステムからのＩＮＶＩＴＥメッセージをＳＩＰサーバが受信した時点で、発信元と宛先に対して、認証を行うように指示をするリクエスト。

ＵＳＥＲ−ＡＵＴＨ−ＡＣＫ：ＵＳＥＲ−ＡＵＴＨに対する最終レスポンスの確認。
（６）本発明の拡張メッセージのＳＩＰレスポンスコードを以下に示す。

４９８（ＤＥＮＩＡＬ：拒否応答）：通信元または通信内容に対して通信が拒否されたことを通知。

４９９（ＡＵＴＨ−ＥＲＲ：認証処理エラー）：認証時にエラーが発生したことを通知。
以上である。

図２は、本発明が適用されるネットワークの一実施形態の構成図を示す。同図中、ネットワーク１０は、エンドシステム（クライアントおよびサーバ）１１，アクセス管理サーバ１３，パケット通信装置１４，フィルタ装置１５を有しており、ネットワーク２０は、エンドシステム２１，２２，アクセス管理サーバ２３，パケット通信装置２４を有している。

図３は、本発明で使用されるアクセス管理サーバの一実施形態のブロック図を示す。同図中、アクセス管理サーバは、ＳＩＰメッセージのヘッダを識別するヘッダ識別部３１と、全体を制御する処理部３２と、認証処理を行う認証処理部３３と、認証が許可される端末のアドレスが登録された認証用ＤＢ（データベース）３４と、拒否リストＤＢ３９を参照してアクセス管理を行うアクセス管理部３５と、メッセージを生成するメッセージ生成部３６と、拒否リストの時間管理を行うタイマ部３８と、パケット通信装置のフィルタを変更するための指示方法が設定されているフィルタ設定ＤＢ３７と、拒否するエンドシステムのアドレスが登録された拒否リストＤＢ３９より構成されている。

図４は、本発明で使用されるエンドシステムの一実施形態のブロック図を示す。同図中、エンドシステムは、ＳＩＰメッセージのヘッダを識別するヘッダ識別部４１と、全体を制御する処理部４２と、認証処理を行う認証処理部４３と、認証が許可される端末のＩＤとパスワードが登録された認証用データ４４と、アクセスを管理するアクセス許可管理部４５と、メッセージを生成するメッセージ生成部４６より構成されている。

図５は、本発明で使用されるパケット通信装置の一実施形態のブロック図を示す。同図中、パケット通信装置は、複数の受信ポート５１_１〜５１ｎと、複数の送信ポート５２_１〜５２ｎと、パケット判定部５５_１〜５５ｎと、パケットの破棄を行うフィルタ処理部５６と、破棄するパケットの条件が記述されたフィルタデータ５７と、ルーティングテーブルを含む転送機能部５８より構成されている。

図６は、本発明方法における正常動作の実施形態のシーケンスを示す。同図中、セッション毎にエンドシステム１１はアクセス管理サーバ１３に対して、ＩＮＶＩＴＥメッセージを送信する（２−１）。本発明では、ＩＮＶＩＴＥメッセージにエンドシステム間で使用されるポート番号を示すＰｏｒｔ−ｔｙｐｅフィールドを追加し、相手先に対して細かい通知ができるように拡張している。

ＩＮＶＩＴＥメッセージを受信したアクセス管理サーバ１３は、ヘッダ識別部３１にてＳＩＰメッセージの識別を行う。ＩＮＶＩＴＥメッセージであることを判別すると、処理部３２でメッセージの処理を行う。まず処理部３２では、アクセス管理部３５に対してＩＮＶＩＴＥメッセージを送ってきたエンドシステムが拒否リストＤＢ３９に記載されていないか問い合わせを行ない、記載されていないことを確認した上で、要求元のエンドシステム１１と宛先のエンドシステム２１宛に認証処理を行うためのメッセージを送るようメッセージ生成部３６に指示を出す。

本実施形態では、宛先のエンドシステムについてはアクセス管理サーバ１３が所属するネットワーク１０の管理下にないため、該当するネットワーク２０のアクセス管理サーバ２３に対して転送をして処理を続ける。この時、最初のアクセス管理サーバ１３はプロキシ・サーバとして動作する。

また、この時、アクセス管理サーバ２３の拒否リストＤＢ３９にエンドシステム２１が登録されている場合は、アクセス管理サーバ２３のポリシーに従って処理されるが、具体的な動作については後述する。メッセージ生成部３６は、ＵＳＥＲ−ＡＵＴＨメッセージ（Ａｃｃｅｓｓ−Ａｕｔｈｅｎｔｉｃａｔｅ−ＭＤ５フィールドにｃｈａｌｌｅｎｇｅ値を入れたもの）を生成して送信する（３−１）。ここでは、ＭＤ５による認証の場合について説明しているが、これ以外の認証方法を用いてもよい。

アクセス管理サーバ２３から送信されたＵＳＥＲ−ＡＵＴＨメッセージを受信したエンドシステム２１はＳＩＰメッセージの識別をヘッダ識別部４１で行う。ＵＳＥＲ−ＡＵＴＨメッセージであることを確認すると、認証処理部４３で処理を行う。認証用データ４４には、ＩＤとパスワードの情報が格納されており、認証処理部４３はＩＤとパスワードをメッセージ中のｃｈａｌｌｅｎｇｅ値でハッシュをかけて処理部４２に渡す。

処理部４２は、そのハッシュの値をｒｅｓｐｏｎｓｅ値とし、ｕｓｅｒ値に値をいれてメッセージをアクセス管理サーバ２３に返信するようにメッセージ生成部４６に指示を出す。なお、このメッセージには、メッセージを送信した側のデフォルトゲートウェイを示すＤｅｆａｕｌｔ−ＧＷフィールドが含まれる。また、上記動作は要求元エンドシステムにおいても上記宛先エンドシステムと同様に行われる（３−２）。

ＵＳＥＲ−ＡＵＴＨメッセージに対する応答を受け取ったアクセス管理サーバ１３は、ヘッダ識別部３１で識別を行い、認証処理部３３でユーザの認証を行う。認証処理部３３では、認証用データＤＢ３４に問い合わせをして、許可された端末であるか確認する。

認証の結果、許可された端末であった場合には、ＵＳＥＲ−ＡＵＴＨ−ＡＣＫメッセージを使ってユーザのエンドシステム１１，２１に対して確認メッセージを送信する（３−３）。もし、この時、認証で失敗した場合には、‘４９９’認証処理エラーレスポンスで応答を返す。

認証処理が完了した時点で、アクセス管理サーバ１３はＩＮＶＩＴＥメッセージの転送を行う（２−１’）。このとき、通信相手となるエンドシステム２１は、相手との通信内容を確認し通信の可否を決定する。

エンドシステム２１はヘッダ識別部４１でＩＮＶＩＴＥメッセージを受信したことがわかると、処理部４２に送って処理をする。処理部４２は、アクセス許可管理部４５でユーザにより設定されたポリシーに従って通信の可否を決定する。使う情報としては、通信を要求している通信元のポート番号（または通信元のポート番号とＩＰアドレス）や、通信元のＩＰアドレス、通信元が所属するサブネットアドレスや通信元が所属するドメイン名などがあり、これらを組み合わせて使ってもよい。

通信を許可した場合について説明する。許可する場合、処理部４２はメッセージ生成部４６に対してアクセス管理サーバ１３宛の‘２００’成功レスポンスを生成して送信するように指示を出す（２−２）。

通常の処理同様、ＩＮＶＩＴＥメッセージに対する‘２００’成功レスポンスを受信したエンドシステム１１はＡＣＫメッセージを送信し（２−３）、このＡＣＫメッセージはアクセス管理サーバ１３を経由して通信相手のエンドシステム２１に送られることで、通信可能な状態になる（２−４）。

以上の処理によりエンドシステム１１は許可されたプロトコルを使って、エンドシステム２１と通信を行うことができる。通信が終われば普通のＳＩＰと同様、ＢＹＥメッセージを使ってセションを終了する。（２−５，２−６）
図７は、本発明方法における失敗時のフィルタ処理の実施形態のシーケンスを示す。同図中、セッション毎にエンドシステム１１はアクセス管理サーバ１３に対して、ＩＮＶＩＴＥメッセージを送信し（２−１）、（３−１，３−２，３−３）による認証後、ＩＮＶＩＴＥメッセージがエンドシステム２１に転送され（２−１’）、前述のようにポート番号、ＩＰアドレス、サブネットアドレス、ドメイン名などの情報を元に通信可否を決める。

この時、エンドシステム２１の処理部４２が通信を拒否することを決定した場合、メッセージ生成部４６に対し、‘４９８’拒否応答レスポンスをアクセス管理サーバ１３経由で通信要求元のエンドシステム１１に送信するように指示を出す（４−１ａ）。‘４９８’拒否応答レスポンスには、何故拒否になったかの情報が含まれている。

‘４９８’拒否応答レスポンスを受信したアクセス管理サーバ１３では、処理部３２がアクセス管理部３５にこれらの情報と拒否した側のＩＰアドレス情報を渡し、拒否リストＤＢ３９にデータを書き込む。例えばＩＰアドレスが拒否項目であった場合、通信先ＩＰとして拒否した側のＩＰアドレス（依頼元）、拒否項目「ＩＰアドレス」とＩＰアドレス値を含むリストを作成する処理が行われる。

その後、処理部３２は、この情報を基にパケット通信装置１４に対して上記の条件に該当するパケットは破棄するようにフィルタを設定するメッセージを生成し、パケット通信装置１４のフィルタデータ５７を変更する（４−２ａ）。パケット通信装置１４に対する指示方法はフィルタ設定ＤＢ３７に設定されており、そのルールに合わせてフィルタを設定するメッセージが生成され送信される。

これにより、パケット通信装置１４のフィルタデータ５７が変更され、フィルタ処理部５６はパケット受信ポート５１_１〜５１ｎそれぞれで受信されたパケットが条件に該当するパケットであるか否かをパケット判別部５５_１〜５５ｎそれぞれに判別させ、条件に該当するパケットはフィルタ処理部５６で廃棄する。条件に該当しないパケットはパケット判別部５５から転送機能部５８に供給され、送信ポート５２_１〜５２ｎのいずれかから転送先に向けて送出される。

アクセス管理サーバ１３に構成される拒否リストＤＢ３９に登録される拒否リストは、タイマ部３８によりリスト登録時から一定時間を過ぎると削除されるように管理されているが、パケット通信装置１４に設定されたフィルタデータは、該当する条件のＩＮＶＩＴＥメッセージに対する‘２００’成功レスポンスが通信元のエンドシステム１１にて受信されるまでは解除されない。

以上の図６、図７の仕組みによって、許可した通信のみを行い、それ以外の通信をフィルタで破棄することができる。

なお、フィルタ処理については図２に示すフィルタ装置１５のようにフィルタ用の処理装置をパケット通信装置１４に併設して処理してもよい。この場合、パケット通信装置１４は受信したパケットを必ずこのフィルタ装置１５に転送し、フィルタ装置１５から帰ってきたパケットだけルーティング処理することで、パケット通信装置１４の負担を軽くすることができる。

上記実施形態では、パケット通信装置に対してフィルタの設定を行い、パケットをフィルタリングする方法をとったが、パケット通信装置の性能がそれなりに高いものを要求したり、一部機能を強化したりする必要がある。既存のパケット通信装置で構成されたネットワークに本発明を適用する場合について図８を用いて説明する。

図８は、本発明方法における失敗時の偽情報付与処理の実施形態のシーケンスを示す。同図中、セッション毎にエンドシステム１１はアクセス管理サーバ１３に対して、ＩＮＶＩＴＥメッセージを送信し（２−１）、（３−１，３−２，３−３）による認証後、ＩＮＶＩＴＥメッセージがエンドシステム２１に転送され（２−１’）、前述のようにポート番号、ＩＰアドレス、サブネットアドレス、ドメイン名などの情報を元に通信可否を決める。

この時、エンドシステム２１の処理部４２が通信を拒否することを決定した場合、メッセージ生成部４６に対し、‘４９８’拒否応答レスポンスをアクセス管理サーバ１３に送信するように指示を出す（４−１ｂ）。‘４９８’拒否応答レスポンスには、何故拒否になったかの情報が含まれている。

‘４９８’拒否応答レスポンスを受信したアクセス管理サーバ１３は、これを‘２００’成功レスポンスに書き換え、Ｄｅｆａｕｌｔ−ＧＷフィールドにあるパケット通信装置１４のループバックポートに合わせたアドレスを宛先とするダミー情報を通信要求元のエンドシステム１１に対して回答する。

通信要求元のエンドシステム１１は、正しい場合と同様にＡＣＫメッセージを返し（４−２ｂ）、セションが確立したもの（４−３ｂ）として通信を行うが、実際は最初のデフォルトゲートウェイであるパケット通信装置１４のループバックポートにおいてパケットが破棄され、相手先に対して通信が行えない。この方法であれば、パケット通信装置１４にフィルタ機能のような特別な機能がなくとも対応可能であり、フィルタに比べて負荷も小さいため都合がよい。

また、パケット通信装置１４のループバックポートのアドレスを使用せずに、ハニーポットのようなオトリまたはダミーネットワークに導くアドレスを返す方法も使用することができる。

次に、アクセス管理サーバの拒否リストＤＢ３９にエンドシステムが登録されている場合の処理（失敗時）について説明する。

図９に、拒否リストＤＢ３９の構成例を示す。拒否リストには、依頼元（エンドシステムやアクセス管理サーバ）のＩＰアドレスと、拒否項目（拒否レベル）と、拒否対象のＩＰアドレス（複数指定可能）と、処理開始時刻が登録される。拒否リストに登録された当初は拒否レベルの値は‘０’とされている。

アクセス管理サーバは、１回何らかの理由で拒絶されたことがあり、拒否リストＤＢ３９に拒否対象として登録されているエンドシステムから通信要求がきた場合、図６〜図８における（３−１〜３−３）の認証動作を行わずに、直接応答を返す。例えば、フィルタ方式であれば、‘４９８’拒否応答レスポンスを送信し、偽情報付与方式であれば、‘２００’成功レスポンスとダミー情報を送信することで、認証に関する通信を省略して対応することができる。

図１０は、アクセス管理サーバの処理部３２が実行する拒否処理の一実施形態のフローチャートを示す。この拒否処理は通信要求を行ったエンドシステムが拒否リストＤＢ３９に登録されているときに実行される。

同図中、ステップＳ１０で当該通信要求の拒否リストＤＢ３９における拒否レベルが‘０’か否かを判別する。拒否レベルが‘０’の場合はステップＳ１１で他のエンドシステムから拒否されているか、つまり、複数の拒否対象が登録されているか否かを判別し、他のエンドシステムから拒否されていない場合はステップＳ１２で通信要求している通信元のポート番号（アプリケーションに対応）、もしくは通信元のポート番号とＩＰアドレスで指定される特定通信のみを遮断する。これとともに、当該通信要求の拒否リストＤＢ３９における拒否レベルを‘１’に変更する。

一方、ステップＳ１０で拒否レベルが‘０’でない場合はステップＳ１３で拒否レベルが‘１’か否かを判別する。拒否レベルが‘１’の場合はステップＳ１４に進む。また、ステップＳ１１で他のエンドシステムから拒否されている場合のステップＳ１４に進む。ステップＳ１４では通信元のＩＰアドレスで指定される特定通信のみを遮断する。これとともに、当該通信要求の拒否リストＤＢ３９における拒否レベルを‘２’に変更する。

また、ステップＳ１３で拒否レベルが‘１’でない場合はステップＳ１５で拒否レベルが‘２’か否かを判別する。拒否レベルが‘２’の場合はステップＳ１６に進む。ステップＳ１６では通信元のＩＰアドレスが属するサブネットアドレスからの特定通信を全て遮断する。これとともに、当該通信要求の拒否リストＤＢ３９における拒否レベルを‘３’に変更する。

更に、ステップＳ１４で拒否レベルが‘２’でない場合はステップＳ１７に進む。ステップＳ１７では通信元のＩＰアドレスが属するドメインからの特定通信を全て遮断する。これとともに、当該通信要求の拒否リストＤＢ３９における拒否レベルを‘４’に変更する。

このように、通信を要求している通信元のポート番号（＋ＩＰアドレス）や、通信元のＩＰアドレス、通信元が所属するサブネットアドレスや通信元が所属するドメイン名などを拒否回数に応じて変更し、拒否する範囲を順次広げることができる。

また、一定時間内に例えば通信ポートＡで拒否された通信元からのパケットが通信ポートＢで拒否された場合や、一定時間内に複数の通信相手からの通信要求を拒否した場合は、通信元のエンドシステムがウイルスなどの影響により他のエンドシステムに対してアタックを仕掛けている可能性があるので、本実施形態では、これらの通信により他のエンドシステムの負荷が増えないようにするため、アクセス管理サーバで受信した通信元のエンドシステムからのパケットを一定時間すべて破棄し、その通信元のエンドシステムとの通信をすべて拒否する。

このようにして、アプリケーションなどの情報や通信の時間帯などの細かい条件毎に通信をコントロールすることができ、ネットワークのセキュリティを利便性と共存させながら高めることができる。また、近年注目されているＳＩＰを使ったＩＰ電話にも応用でき、ＩＰ電話での迷惑電話対策の一つとして効果が期待できる。また、ＤｏＳ攻撃など攻撃者に近いところで遮断すべき攻撃に対処できるなど、従来はうまく対処できなかったことに対処でき、ネットワークのセキュリティを確保できる。

なお、処理部３２，認証処理部３３，認証用ＤＢ３４，メッセージ生成部３６が請求項記載の通信許可手段に対応し、処理部３２，アクセス管理部３５，メッセージ生成部３６，フィルタ設定ＤＢ３７，拒否リストＤＢ３９が破棄設定手段に対応し、フィルタ処理部５６，フィルタデータ５７がフィルタ手段に対応する。
（付記１）
エンドシステムと、ルーティングを行うパケット通信装置と、認証機能を持ったアクセス管理サーバで構成されたネットワークのアクセス管理方法であって、
前記アクセス管理サーバでセション毎に通信相手に認証を行い、通信相手から許可された通信のみを許可し、
前記パケット通信装置で前記通信相手から拒否されたパケットの条件と一致するパケットを前記パケット通信装置で破棄させることを特徴とするアクセス管理方法。
（付記２）
エンドシステムと、ルーティングを行うパケット通信装置とともにネットワークを構成する認証機能を持ったアクセス管理サーバであって、
前記アクセス管理サーバでセション毎に通信相手に認証を行い、通信相手から許可された通信のみを許可する通信許可手段と、
前記通信相手から拒否されたパケットの条件と一致するパケットを破棄するよう前記パケット通信装置を設定する破棄設定手段を
有することを特徴とするアクセス管理サーバ。
（付記３）
付記２記載のアクセス管理サーバにおいて、
前記破棄設定手段は、前記通信相手から拒否されたパケットの条件と一致するパケットを廃棄するよう前記パケット通信装置に設けられたフィルタ手段を設定することを特徴とするアクセス管理サーバ。
（付記４）
付記２記載のアクセス管理サーバにおいて、
前記破棄設定手段は、前記通信相手から拒否されたパケットの通信元に偽情報を与え、前記パケット通信装置で前記通信元からのパケットを廃棄することを特徴とするアクセス管理サーバ。
（付記５）
付記２記載のアクセス管理サーバにおいて、
通信を拒否する通信元の条件を登録した拒否リストを有し、
受信したパケットの通信元の条件が前記拒否リストと一致したとき、前記認証を行う前に、前記受信したパケットを破棄するよう前記破棄設定手段で前記パケット通信装置を設定することを特徴とするアクセス管理サーバ。
（付記６）
付記２記載のアクセス管理サーバにおいて、
前記破棄設定手段は、前記通信相手から拒否されたパケットの通信元に偽情報を与え、前記通信元からのパケットをオトリのネットワークに導いて廃棄することを特徴とするアクセス管理サーバ。
（付記７）
付記５記載のアクセス管理サーバにおいて、
前記拒否リストにおける通信を拒否する通信元の条件は、通信元のポート番号であることを特徴とするアクセス管理サーバ。
（付記８）
付記５記載のアクセス管理サーバにおいて、
前記拒否リストにおける通信を拒否する通信元の条件は、通信元のＩＰアドレスであることを特徴とするアクセス管理サーバ。
（付記９）
付記５記載のアクセス管理サーバにおいて、
前記拒否リストにおける通信を拒否する通信元の条件は、通信元のサブネットアドレスであることを特徴とするアクセス管理サーバ。
（付記１０）
付記５記載のアクセス管理サーバにおいて、
前記拒否リストにおける通信を拒否する通信元の条件は、通信元のドメイン名であることを特徴とするアクセス管理サーバ。
（付記１１）
付記５記載のアクセス管理サーバにおいて、
前記拒否リストは、通信相手から拒否されたとき通信元からの通信を一定時間拒否するよう登録されることを特徴とするアクセス管理サーバ。
（付記１２）
付記５記載のアクセス管理サーバにおいて、
前記拒否リストは、一定時間内に同じ通信相手から複数回拒否されたとき通信元からの全ての通信を一定時間拒否するよう登録されることを特徴とするアクセス管理サーバ。
（付記１３）
付記５記載のアクセス管理サーバにおいて、
前記拒否リストは、一定時間内に複数の通信相手から拒否されたとき通信元からの全ての通信を一定時間拒否するよう登録されることを特徴とするアクセス管理サーバ。
（付記１４）
付記３記載のアクセス管理サーバにおいて、
前記フィルタ手段は、前記パケット通信装置とは別体とされ、前記パケット通信装置に併設されたことを特徴とするアクセス管理サーバ。

一般的なＳＩＰのシーケンスを示す図である。本発明が適用されるネットワークの一実施形態の構成図である。本発明で使用されるアクセス管理サーバの一実施形態のブロック図である。本発明で使用されるエンドシステムの一実施形態のブロック図である。本発明で使用されるパケット通信装置の一実施形態のブロック図である。本発明方法における正常動作の実施形態のシーケンスである。本発明方法における失敗時のフィルタ処理の実施形態のシーケンスである。本発明方法における失敗時の偽情報付与処理の実施形態のシーケンスである。拒否リストＤＢの構成例を示す図である。アクセス管理サーバの処理部が実行する拒否処理の一実施形態のフローチャートである。

符号の説明

１０，２０ネットワーク
１１，２１，２２エンドシステム
１４，２４パケット通信装置
１３，２３アクセス管理サーバ
１５フィルタ装置
３１，４１ヘッダ識別部
３２，４２処理部
３３，４３認証処理部
３４認証用ＤＢ
３５アクセス管理部
３６メッセージ生成部
３７フィルタ設定ＤＢ
３８タイマ部
３９拒否リストＤＢ
４４認証用データ
４５アクセス許可管理部
４６メッセージ生成部
５１_１〜５１ｎ受信ポート
５２_１〜５２ｎ送信ポート
５５_１〜５５ｎパケット判定部
５６フィルタ処理部
５７フィルタデータ

Claims

エンドシステムと、ルーティングを行うパケット通信装置と、認証機能を持ったアクセス管理サーバで構成されたネットワークのアクセス管理方法であって、
前記アクセス管理サーバでセション毎に通信相手に認証を行い、通信相手から許可された通信のみを許可し、
前記パケット通信装置で前記通信相手から拒否されたパケットの条件と一致するパケットを破棄するよう前記パケット通信装置に設けられたフィルタを設定し、
受信したパケットの通信元の条件が、通信相手から拒否されたとき通信を拒否する通信元の条件を登録した拒否リストと一致したとき、前記認証を行う前に、前記受信したパケットを破棄するよう前記パケット通信装置を設定することを特徴とするアクセス管理方法。
エンドシステムと、ルーティングを行うパケット通信装置とともにネットワークを構成する認証機能を持ったアクセス管理サーバであって、
前記アクセス管理サーバでセション毎に通信相手に認証を行い、通信相手から許可された通信のみを許可する通信許可手段と、
前記通信相手から拒否されたパケットの条件と一致するパケットを破棄するよう前記パケット通信装置に設けられたフィルタ手段を設定する破棄設定手段と、
通信相手から拒否されたとき通信を拒否する通信元の条件を登録した拒否リストを有し、
受信したパケットの通信元の条件が前記拒否リストと一致したとき、前記認証を行う前に、前記受信したパケットを破棄するよう前記破棄設定手段で前記パケット通信装置を設定することを特徴とするアクセス管理サーバ。
請求項２記載のアクセス管理サーバにおいて、
前記拒否リストは、通信相手から拒否されたとき通信元からの通信を一定時間拒否するよう登録されることを特徴とするアクセス管理サーバ。
請求項２記載のアクセス管理サーバにおいて、
前記拒否リストは、一定時間内に同じ通信相手から複数回拒否されたとき通信元からの全ての通信を一定時間拒否するよう登録されることを特徴とするアクセス管理サーバ。
請求項２記載のアクセス管理サーバにおいて、
前記拒否リストは、一定時間内に複数の通信相手から拒否されたとき通信元からの全ての通信を一定時間拒否するよう登録されることを特徴とするアクセス管理サーバ。