JP4677501B2 - 中継装置および中継方法 - Google Patents

Description

本発明は、ネットワーク上を伝送されるパケットの中継を行うと共に、当該パケットから攻撃パケットを検出した場合に、当該攻撃パケットを廃棄する中継装置およびその中継方法に関するものである。

近年、攻撃パケットによるネットワークやサーバへの攻撃が増加している。一般に、攻撃パケットは、その送信元を隠すために、送信元ＩＰ（Internet Protocol）アドレスを詐称していることが多い。

これは、第１にエンドユーザが端末にＩＰアドレスを設定可能であること、第２に通信先端末（サーバ）が、送信元のＩＰアドレスの妥当性を認証する仕組みがないこと、第３に中継装置（ルータ）は、中継対象のパケットをどのＩＦ（Interface）から受信するべきかを把握する仕組みがないこと等により、通信先端末のＩＰアドレスの詐称が容易であり、かつ攻撃パケットの発信元をトレースすることは難しいためである。

そこで、特許文献１では上記した３つの問題点に着目し、中継装置で、詐称した送信元のＩＰアドレスを有するパケットを検出し、検出したパケットを廃棄することによって攻撃パケットによるネットワークやサーバへの攻撃を防いでいる。

特許文献１は、ルータが到着したパケットの宛先ＩＰアドレスをキーに経路テーブルを検索し、パケット中継を行う点、すなわち、端末はＩＰアドレスを詐称したパケットを送信することはできるが、詐称したＩＰアドレスを宛先としてパケットを受信することはできないことを利用している。

ここで、図１９を用いて、従来技術（特許文献１）について説明する。図１９は、従来技術を説明するための図である。図１９において、端末１０は、ＩＰアドレスＡを正規に有する端末であり、端末２０は、ＩＰアドレスＡを詐称する端末である。端末１０，２０ともにサーバ５０宛にパケットを送信しているものとする。

第１にルータ２は、一定時間内に、複数の異なるインターフェース（ＩＦ−α、ＩＦ−β）から、同一送信元ＩＰアドレスを一定量以上受信する（（１）参照）。第２にルータ２は、送信元検査用パケットを、ＩＰアドレスＡを宛先ＩＰアドレス、ルータ２のＩＰアドレスを送信元ＩＰアドレスとして送信する（（２）参照）。この結果、送信元検査用パケットは、ＩＰアドレスＡを正規に有する端末１０に送信され、ＩＰアドレスを詐称している端末２０には送信されない。

そして、第３に送信元検査用アドレスを受信した端末１０は、ルータ２宛に送信元検査用パケットの回答を返信する（（３）参照）。第４にルータ２は、送信元検査用パケットの回答を受信したインタフェース（図１９ではＩＦ−α）から受信した送信元ＩＰアドレスＡを有するパケットのみ疎通を許可し、それ以外のインタフェース（図１９ではＩＦ−β）から受信する送信元ＩＰアドレスＡのパケットに対しては廃棄するようフィルタのエントリを設定する（（４）参照）。

特開２００２−１７６４５４号公報

しかしながら、上述した従来の技術では、パケットに対してフィルタを設定した場合に、送信元ＩＰアドレスを詐称していない正規のパケットであっても、誤って廃棄してしまうという問題があった。

図２０は、従来技術の問題点を説明するための図である。図２０において、ネットワーク網は冗長構成となっており、正規のＩＰアドレスＡを有する端末１０は、サーバ５０，６０とそれぞれ通信を行っている。このネットワーク網における経路制御では、端末１０発でサーバ５０宛のパケットは、ルータ４，３，１を経由してサーバ５０に到達し、端末１０発でサーバ６０宛のパケットは、ルータ４，５，１を経由してサーバ６０に到達する。

図２０に示す経路によって端末１０からサーバ５０，６０にパケットが送信される場合には、ルータ１は、端末１０からのパケットをＩＦ−αおよびＩＦ−βの２つのインタフェースから受信することになる。

このとき、端末２０がＩＰアドレスＡを詐称し、サーバ５０へパケットを送信したとする。ルータ１は、背景技術で述べた手順を実行し、ＩＰアドレスＡを送信元ＩＰアドレスとするパケットをＩＦ−βからのみ受信するフィルタを設定する。このため、ＩＦ−αから受信する、端末１０からサーバ６０へのパケット（ＩＰアドレスＡを詐称していない正規のパケット）も廃棄されてしまう。

また、上記方法によってフィルタのエントリを設定した後に、パケットの経路変更が生じ、例えば、端末１０からサーバ５０宛の経路がルータ３経由からルータ５経由になった場合、従来の技術では、自律的に経路変更と同期してフィルタのエントリを変更できないため、正規のパケットを廃棄してしまう。

なお、送信元検査用パケットに応答する装置は、エンドの端末（端末１０）である。このため、端末２０による攻撃中に、端末１０がシャットダウン中であれば、従来の技術では正規のＩＰアドレスＡを有する端末発のパケットを受信するインタフェースを特定することができない。

すなわち、正規のパケットを廃棄することなく、送信元ＩＰアドレスを詐称した攻撃パケットのみを的確に廃棄することが極めて重要な課題となっている。

この発明は、上述した従来技術の課題を解決するためになされたものであり、送信元ＩＰアドレスを詐称した攻撃パケットのみを的確に廃棄することができる中継装置および中継方法を提供することを目的とする。

本発明は、ネットワーク上を伝送されるパケットの中継を行うと共に、当該パケットから攻撃パケットを検出した場合に、当該攻撃パケットを廃棄する中継装置であって、前記攻撃パケットを検出した場合に、前記攻撃パケットに含まれる送信元アドレスを宛先アドレスに設定し、前記攻撃パケットに含まれる宛先アドレスを送信元アドレスに設定した検査用パケットを出力する検査用パケット出力手段と、前記検査用パケットの応答パケットを取得した場合に、当該応答パケットに含まれる送信元アドレスと宛先アドレスと当該応答パケットを受信したインタフェースの識別情報とを対応付けてフィルタテーブルに記憶するフィルタテーブル記憶手段と、前記フィルタテーブルに基づいて転送対象となるパケットを転送するか否かを判定する転送制御手段と、を備えたことを特徴とする。

また、本発明は、上記発明において、前記パケットを転送するネットワーク上の経路を変更するか否かを判定する経路変更判定手段と、前記経路変更判定手段の判定結果に基づいて、前記検査用パケットの出力を要求する要求パケットを出力する要求パケット出力手段とを更に備えたことを特徴とする。

また、本発明は、上記発明において、前記検査用パケットを取得し、当該検査用パケットの宛先アドレスを有する端末装置が配下のサブネットに接続されている場合に、当該端末装置の代わりに前記検査用パケットの応答アドレスを出力する代理応答手段を更に備えたことを特徴とする。

また、本発明は、上記発明において、前記検査用パケット出力手段は、前記要求パケットを取得した場合に、前記検査用パケットを出力することを特徴とする。

また、本発明は、ネットワーク上を伝送されるパケットの中継を行うと共に、当該パケットから攻撃パケットを検出した場合に、当該攻撃パケットを廃棄する中継装置の中継方法であって、前記攻撃パケットを検出した場合に、前記攻撃パケットに含まれる送信元アドレスを宛先アドレスに設定し、前記攻撃パケットに含まれる宛先アドレスを送信元アドレスに設定した検査用パケットを出力する検査用パケット出力工程と、前記検査用パケットの応答パケットを取得した場合に、当該応答パケットに含まれる送信元アドレスと宛先アドレスと当該応答パケットを受信したインタフェースの識別情報とを対応付けてフィルタテーブルに記憶するフィルタテーブル記憶工程と、前記フィルタテーブルに基づいて転送対象となるパケットを転送するか否かを判定する転送制御工程と、を含んだことを特徴とする。

また、本発明は、上記発明において、前記パケットを転送するネットワーク上の経路を変更するか否かを判定する経路変更判定工程と、前記経路変更判定工程の判定結果に基づいて、前記検査用パケットの出力を要求する要求パケットを出力する要求パケット出力工程とを更に含んだことを特徴とする。

また、本発明は、上記発明において、前記検査用パケットを取得し、当該検査用パケットの宛先アドレスを有する端末装置が配下のサブネットに接続されている場合に、当該端末装置の代わりに前記検査用パケットの応答アドレスを出力する代理応答工程を更に含んだことを特徴とする。

また、本発明は、上記発明において、前記検査用パケット出力工程は、前記要求パケットを取得した場合に、前記検査用パケットを出力することを特徴とする。

本発明によれば、攻撃パケットのみを的確に廃棄することができる。また、検査用パケットの宛先となる正規の端末がシャットダウン中であっても、フィルタテーブルのエントリを適切に設定することができる。

図１は、本実施例にかかる中継装置の概要および特徴を説明するための図である。 図２は、本実施例１にかかるネットワークシステムの構成を示す図である。 図３は、本実施例１にかかるパケットのデータ構造の一例を示す図である。 図４は、本実施例１にかかるネットワークシステムの処理を説明するための図である。 図５は、本実施例１にかかるルータの構成を示す機能ブロック図である。 図６は、フィルタテーブルのデータ構造の一例を示す図である。 図７は、本実施例１にかかるルータが攻撃パケットを検出した場合の処理を示すフローチャートである。 図８は、本実施例１にかかるルータが送信元検査用パケット（要求用）を取得した場合の処理を示すフローチャートである。 図９は、本実施例１にかかるルータが送信元検査用パケット（回答用）を取得した場合の処理を示すフローチャートである。 図１０は、本実施例１にかかるルータがその他のパケットを取得した場合の処理を示すフローチャートである。 図１１は、本実施例２にかかるネットワークシステムの構成を示す図である。 図１２は、本実施例２にかかるネットワークシステムの処理を説明するための図である。 図１３は、本実施例３にかかるネットワークシステムを示す図である。 図１４は、本実施例３にかかるネットワークシステムの処理を説明するための図である。 図１５は、本実施例３にかかるフィルタテーブルのデータ構造の一例を示す図である。 図１６は、本実施例３にかかるルータの構成を示す機能ブロック図である。 図１７は、本実施例３にかかるルータが経路変更を判定する場合の処理を示すフローチャートである。 図１８は、本実施例３にかかるルータが発信依頼パケットを取得した場合の処理を示すフローチャートである。 図１９は、従来技術を説明するための図である。 図２０は、従来技術の問題点を説明するための図である。

符号の説明

１０，２０ 端末
５０，６０ サーバ
１，２，３，４，５，１００，２００，３００，４００，５００，１２０，２２０，３２０，４２０，５２０,１３０，２３０，３３０，４３０，５３０ ルータ
１０１，１３１ 通信部
１０２，１３２ パケット種別判定部
１０３，１３３ フィルタテーブル
１０４，１３４ フィルタ書き込み部
１０５，１３５ パケット終端判定部
１０６，１３６ 送信元検査用パケット（回答用）作成部
１０７，１３７ 送信元検査用パケット（要求用）作成部
１０８，１３９ フィルタ検索部
１０９，１４０ 攻撃パケット検出部
１１０，１４１ タイマー部
１１１，１４２ 経路制御部
１１２，１４３ 経路テーブル
１１３，１４４ パケット転送処理部
１３８ 発信依頼パケット作成部

以下に、本発明にかかる中継装置および中継方法の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。

まず、本実施例１にかかる中継装置（ルータ）の概要および特徴について説明する。図１は、本実施例にかかる中継装置の概要および特徴を説明するための図である。同図に示すように、本実施例１にかかる中継装置は、パケットの転送を行うか否かの判定基準となるフィルタを設定する場合に、パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとパケットを受信するインタフェースとを対応付けて設定する。

図１に示すフィルタは、宛先ＩＰアドレスＢに対して送信されるパケットのうち、ＩＦ−βから入力された送信元ＩＰアドレスＡとなるパケットのみの転送を許可し、その他のパケット（宛先ＩＰアドレスＢに対して送信されるパケット）を廃棄する。

このように、本実施例１にかかる中継装置は、送信元ＩＰアドレスと宛先ＩＰアドレスとパケットを受信するインタフェースとの組でフィルタの設定を行うので、攻撃パケットを的確に廃棄し、正規のパケットを誤って廃棄してしまうという問題を解消することができる。

例えば、従来技術では、図２０に示すように、端末１０からサーバ６０に転送されるパケットがルータ１によって廃棄されていたが、本実施例１では、宛先ＩＰアドレスも含めてパケットフィルタリングを行っているため、サーバ６０宛のパケットは廃棄対象にならず、従来技術のように正規のパケットを廃棄してしまうことがない。

次に、本実施例１にかかるネットワークシステムについて説明する。図２は、本実施例１にかかるネットワークシステムの構成を示す図（一例）である。同図に示すように、このネットワークシステムは、正規のＩＰアドレスＡを有する端末１０、詐称したＩＰアドレスＡを有する端末２０、サービス要求に応答して各種サービスを提供するサーバ５０，６０、ルータ１００〜５００を備える。

そして、端末１０は、ルータ３００，４００，２００，１００経由でサーバ５０にパケットを送信し、ルータ３００，２００，１００経由でサーバ６０にパケット送信しているものとする。また、端末２０は、ルータ５００，２００，１００経由でサーバ５０にパケットを送信しているものとする。

ここで、本実施例１のネットワークシステムで利用されるパケットのデータ構造について説明する。図３は、本実施例１にかかるパケットのデータ構造の一例を示す図である。同図に示すように、このパケットはメッセージ種別と、ＴＣＰ（Transmission Control Protocol）ヘッダと、ＩＰヘッダとを備える。このうち、ＴＣＰヘッダおよびＩＰヘッダは既存のＴＣＰヘッダ、ＩＰヘッダと同様であるため説明を省略する。

メッセージ種別は、パケットの種別を識別する番号を格納する。メッセージ種別に「０」が格納されていれば、かかるパケットは、送信元検査用パケット（要求用）を示す。メッセージ種別に「１」が格納されていれば、かかるパケットは、送信元検査用パケット（回答用）を示す。メッセージ種別に「２」が格納されていれば、かかるパケットは、発信依頼パケットを示す。

送信元検査用パケット（要求用）は、攻撃パケットを検出したルータが、攻撃パケットの送信元ＩＰアドレスを宛先ＩＰアドレスとして送信するパケットである。送信元検査用パケット（回答用）は、送信元検査用パケット（要求用）の宛先ＩＰアドレスの端末を収容するルータが、その送信元ＩＰアドレスを宛先ＩＰアドレスとして返信するパケットである。

発信依頼パケットは、パケットの経路変更を検出したルータが、新しい経路に対応したフィルタエントリを作成するように、送信元検査用パケット（要求用）の送信を指示するパケットである（発信依頼パケットに関する説明は、実施例３で行うため、実施例１では発信依頼パケットに関する説明を省略する）。

続いて、端末１０発のパケットがサーバ５０宛／６０宛ともに疎通し、端末２０からのパケット（攻撃パケット）を廃棄するまでのネットワークシステムの処理について説明する。図４は、本実施例１にかかるネットワークシステムの処理を説明するための図である。

同図に示すように、ルータ２００は、一定時間内に、複数の異なるインタフェース（ＩＦ−α、ＩＦ−β、ＩＦ−γ；図２参照）から、同一送信元ＩＰアドレスＡを有し、かつ同一の宛先ＩＰアドレスＢを有するパケットを一定量以上受信する（ステップＳ１０１）。

そして、ルータ２００は、攻撃パケットを検出した場合に、送信元検査用パケット（要求用）を生成し、生成した送信元検査用パケット（要求用）を送信する（ステップＳ１０２）。かかる送信元検査用パケット（要求用）のメッセージ種別には「０」が格納され、送信元検査用パケット（要求用）の送信元ＩＰアドレスはＢ（攻撃パケットに含まれる宛先ＩＰアドレス）となり、宛先ＩＰアドレスはＡ（攻撃パケットに含まれる送信元ＩＰアドレス）となる。

送信元検査用パケット（要求用）を受信した、端末１０を収容するルータ３００は、ルータ２００宛に送信元検査用パケット（回答用）を送信する（ステップＳ１０３）。かかる送信元検査用パケット（回答用）のメッセージ種別には「１」が格納され、送信元検査用パケット（回答用）の送信元ＩＰアドレスはＡとなり、宛先ＩＰアドレスはＢとなる。

続いて、ルータ２００は、送信元検査用パケット（回答用）を受信したインタフェース、すなわち、ＩＦ−βから受信した送信元ＩＰアドレスと宛先ＩＰアドレスを有するパケットの疎通を許可し、それ以外は廃棄するフィルタを設定する（ステップＳ１０４）。図示を省略するが、送信元検査用パケットの経路上にあるルータ３００も、ＩＦ−δから受信した送信元ＩＰアドレスＡと宛先ＩＰアドレスＢを有するパケットのみ疎通を許可するようフィルタを設定する。

ルータ２００は、ステップＳ１０４で設定したフィルタにより、ＩＦ−γから受信される、詐称したアドレスＡを有する端末２０発のパケットを廃棄し、かつ端末１０からサーバ５０，６０宛のパケットを中継する（ステップＳ１０５）。以降、ステップＳ１０１〜ステップＳ１０５を定期的に繰り返し、フィルタテーブルのエントリをリフレッシュする。

次に、本実施例１にかかるルータ１００の構成について説明する。なお、ルータ２００〜５００の構成は、ルータ１００の構成と同様であるため、説明を省略する。図５は、本実施例１にかかるルータ１００の構成を示す機能ブロック図である。同図に示すように、このルータ１００は、通信部１０１と、パケット種別判定部１０２と、フィルタテーブル１０３と、フィルタ書き込み部１０４と、パケット終端判定部１０５と、送信元検査用パケット（回答用）作成部１０６と、送信元検査用パケット（要求用）作成部１０７と、フィルタ検索部１０８と、攻撃パケット検出部１０９と、タイマー部１１０と、経路制御部１１１と、経路テーブル１１２と、パケット転送処理部１１３とを備えて構成される。

通信部１０１は、ネットワークからのパケットの受信処理及びネットワークへのパケットの送信処理を行う手段である。通信部１０１は、受信したパケットをパケット種別判定部１０２および攻撃パケット検出部１０９に出力する。

パケット種別判定部１０２は、パケットに含まれるメッセージ種別に基づいてパケットの種別を判定し、判定結果に基づいてパケットをフィルタ書き込み部１０４、パケット終端判定部１０５あるいはパケット転送処理部１１３に出力する手段である。

パケット種別判定部１０２は、パケットが送信元検査用パケット（要求用）である場合（メッセージ種別に「０」が格納されている場合）には、パケットをパケット終端判定部１０５に出力する。

パケット種別判定部１０２は、パケットが送信元検査用パケット（回答用）である場合（メッセージ種別に「１」が格納されている場合）には、パケットをフィルタ書き込み部１０４に出力する。パケット種別判定部１０２は、その他のパケットをパケット転送処理部１１３に出力する。

フィルタテーブル１０３は、パケットを廃棄するか否かを判定するための情報を記憶するテーブルである。図６は、フィルタテーブル１０３のデータ構造の一例を示す図である。同図に示すように、このフィルタテーブル１０３は、送信元ＩＰアドレスと、宛先ＩＰアドレスと、受信インタフェースと、処理と、該当ラインを登録（更新）した時刻とを備える。

図６の１段目では、インタフェース（ＩＦ−α）から受信し、送信元ＩＰアドレスＡ、宛先ＩＰアドレスＢを有するパケットを廃棄する旨が登録されている。２段目では、インタフェース（ＩＦ−β）から受信し、送信元ＩＰアドレスＡ、宛先ＩＰアドレスＢを有するパケットの転送を許可する旨が登録されている。また、３段目では、インタフェース（ＩＦ−γ）から受信し、送信元ＩＰアドレスＡ、宛先ＩＰアドレスＢを有するパケットを廃棄する旨が登録されている。

図５の説明に戻ると、フィルタ書き込み部１０４は、送信元検査用パケット（回答用）の送信元ＩＰアドレス、宛先ＩＰアドレス、受信インタフェース番号からフィルタテーブル１０３のエントリを作成する手段である。フィルタ書き込み部１０４は、送信元検査用パケット（回答用）の受信インタフェースのみ、フィルタテーブルの処理フィールドを「Permit」とし、他のインタフェースを「Deny」とし、時刻フィールドに現在の時刻を登録する。フィルタ書き込み部１０４は、フィルタテーブル１０３に同一エントリが存在する場合には、現在時刻をアップデート（更新）する。

パケット終端判定部１０５は、送信元検査用パケット（要求用／回答用）を終端するか、中継するかの判定を行う手段である。具体的に、パケット終端判定部１０５は、送信元検査用パケット（要求用／回答用）の宛先ＩＰアドレスが、自ルータの配下のサブネット内であるならば終端し、送信元検査用パケット（要求用）作成部１０７または送信元検査用パケット（回答用）作成部１０６に処理を渡す。なお、ここでは、図示を省略するが、パケット終端判定部１０５は、自ルータの配下のサブネット内に存在する端末のＩＰアドレスを保持しているものとする。

パケット終端判定部１０５は、送信元検査用パケット（回答用）作成部１０６には、終端した、送信元検査用パケット（要求用）の宛先ＩＰアドレスを送信元ＩＰアドレス、送信元検査用パケット（要求用）の送信元ＩＰアドレスを宛先ＩＰアドレスとして、送信元検査用パケット（回答用）を生成するように指示する。

送信元検査用パケット（回答用）作成部１０６は、パケット終端判定部１０５からの指示に基づいて、送信元検査用パケット（回答用）を作成する手段である（送信元検査用パケット（回答用）のフォーマットは、図３参照）。送信元検査用パケット（回答用）作成部１０６は、生成した送信元検査用パケット（回答用）を通信部１０１に出力し、ネットワークに送信する。

送信元検査用パケット（要求用）作成部１０７は、攻撃パケット検出部１０９、タイマー部１１０等からの指示に基づいて、送信元検査用パケット（要求用）を作成する手段である（送信元検査用パケット（要求用）のフォーマットは、図３参照）。送信元検査用パケット（要求用）作成部１０７は、生成した送信元検査用パケット（要求用）を通信部１０１に出力し、ネットワークに送信する。

フィルタ検索部１０８は、パケット転送処理部１１３から出力される条件（送信元ＩＰアドレス、宛先ＩＰアドレス、インタフェース）を基にして、フィルタテーブル１０３を検索し、検索結果（「Permit」あるいは「Deny」）をパケット転送処理部１１３に出力する手段である。また、フィルタ検索部１０８は、タイマー部１１０の要求に応じて、フィルタテーブル１０３のデータをタイマー部１１０に出力し、タイマー部１１０の指示に応じて、フィルタテーブル１０３のエントリを削除する。

攻撃パケット検出部１０９は、攻撃パケットを検出する手段である。攻撃パケット検出部１０９が攻撃パケットを検出する手法は、従来と同様の手法を用いるものとする。攻撃パケット検出部１０９は、攻撃パケットを検出した場合に、送信元検査用パケット（要求用）作成部１０７に、攻撃パケットの送信元ＩＰアドレスを宛先ＩＰアドレス、攻撃パケットの宛先ＩＰアドレスを送信元ＩＰアドレスとした、送信元検査用パケット（要求用）を作成するよう指示する。

タイマー部１１０は、送信元検査用パケット（要求用）の再送信およびタイムアウトしたフィルタテーブル１０３のエントリの削除を行う手段である。まず、タイマー部１１０が、送信元検査用パケット（要求用）の再送信を行う処理について説明する。送信元検査用パケット（要求用）の再送信を行うことによって、フィルタテーブル１０３のエントリをリフレッシュさせる。

タイマー部１１０は、一定時間（ｔ１）毎に、フィルタ検索部１０８を通じて、フィルタテーブル１０３の送信元ＩＰアドレスフィールドのうち、自ルータの配下のサブネット内にあるＩＰアドレスを検索する。この検索でヒットしたエントリの時刻フィールドにある時刻から予め決められた時間が経過している場合、該エントリ情報の送信元ＩＰアドレスフィールドの値を送信元ＩＰアドレスとし、宛先ＩＰアドレスフィールドの値を宛先ＩＰアドレスとする送信元検査用パケット（要求用）作成部１０７に指示する。

続いて、タイマー部１１０がフィルタテーブル１０３のエントリの削除を行う処理について説明する。タイマー部１１０は、一定時間毎（ｔ２：ただし、ｔ２＞ｔ１とする）に、フィルタ検索部１０８を通じて、フィルタテーブル１０３の時刻フィールドを検索し、予め決められた時間が経過しているエントリ削除を実行する（エントリの削除をフィルタ検索部１０８に依頼する）。

経路制御部１１１は、パケットの経路を制御する手段であり、経路テーブル１１２は、パケットを中継する場合の経路の情報を記憶するテーブルである。

パケット転送処理部１１３は、いわゆる既存のパケットの転送処理、および送信元ＩＰアドレスを作用したパケットの廃棄を行う手段である。パケット転送処理部１１３は、各受信パケットの、送信元ＩＰアドレス、宛先ＩＰアドレス、受信インタフェースに合致するエントリがフィルタテーブル１１３に存在するかを、フィルタ検索部１０８を介して検索する。そして、エントリが存在し、かつその処理フィールドが「Deny」である場合には、該当受信パケットを廃棄する。

一方、パケット転送処理部１１３は、エントリが存在しない場合、あるいは、該当パケットに対応する処理フィールドが「Permit」である場合には、かかる受信パケットを転送する。

次に、本実施例１にかかるルータの各処理手順について説明する。ここでは、ルータが攻撃パケットを検出した場合の処理（図４のステップＳ１０１，１０２に該当する処理）、ルータが送信元検査用パケット（要求用）を取得した場合の処理（図４のステップＳ１０３に該当する処理）、ルータが送信元検査用パケット（回答用）を取得した場合の処理（図４のステップＳ１０４に該当する処理）、その他のパケットを取得した場合の処理（図４のステップＳ１０５に該当する処理）について順に説明する。

まず、ルータが攻撃パケットを検出した場合の処理について説明する。図７は、本実施例１にかかるルータが攻撃パケットを検出した場合の処理を示すフローチャートである。同図に示すように、攻撃パケット検出部１０９がパケットを取得し（ステップＳ２０１）、攻撃パケットを検出したか否かを判定する（ステップＳ２０２）。そして、攻撃パケットを検出していない場合には（ステップＳ２０３，Ｎｏ）、ステップＳ２０１に移行する。

一方、攻撃パケット検出部１０９が、攻撃パケットを検出した場合には（ステップＳ２０３，Ｙｅｓ）、攻撃パケットの送信元ＩＰアドレスを宛先ＩＰアドレス、攻撃パケットの宛先ＩＰアドレスを送信元ＩＰアドレスとした送信元検査用パケット（要求用）の作成指示を送信元検査用パケット（要求用）作成部１０７に出力する（ステップＳ２０４）。

そして、送信元検査用パケット（要求用）作成部１０７が送信元検査用パケット（要求用）を作成し（ステップＳ２０５）、送信元検査用パケット（要求用）を通信部１０１に出力して、ネットワークに出力する（ステップＳ２０６）。

次に、ルータが送信元検査用パケット（要求用）を取得した場合の処理について説明する。図８は、ルータが送信元検査用パケット（要求用）を取得した場合の処理を示すフローチャートである。同図に示すように、パケット種別判定部１０２は、通信部１０１から送信元検査用パケット（要求用）を取得し（ステップＳ３０１）、パケット終端判定部１０５に送信元検査用パケット（要求用）を出力する（ステップＳ３０２）。

そして、パケット終端判定部１０５は、送信元検査用パケット（要求用）を終端するか否かを判定し（ステップＳ３０３）、終端しない場合には（ステップＳ３０４，Ｎｏ）、送信元検査用パケット（要求用）を転送する（ステップＳ３０５）。

一方、パケット終端判定部１０５は、送信元検査用パケット（要求用）を終端しない場合には（ステップＳ３０４，Ｙｅｓ）、送信元検査用パケット（要求用）の宛先ＩＰアドレスを送信元ＩＰアドレス、送信元検査用パケット（要求用）の送信元ＩＰアドレスを宛先ＩＰアドレスとした送信元検査用パケット（回答用）の作成指示を送信元検査用パケット（回答用）作成部１０６に出力する（ステップＳ３０６）。

続いて、送信元検査用パケット（回答用）作成部１０６は、送信元検査用パケット（回答用）を作成し（ステップＳ３０７）、送信元検査用パケット（回答用）を通信部１０１に出力して、ネットワークに出力する（ステップＳ３０８）。

次に、ルータが送信元検査用パケット（回答用）を取得した場合の処理について説明する。図９は、本実施例１にかかるルータが送信元検査用パケット（回答用）を取得した場合の処理を示すフローチャートである。

図９に示すように、パケット種別判定部１０２は、通信部１０１から送信元検査用パケット（回答用）を取得し（ステップＳ４０１）、フィルタ書き込み部１０４に送信元検査用パケット（回答用）を出力する（ステップＳ４０２）。

そして、フィルタ書き込み部１０４は、送信元検査用パケット（回答用）の送信元ＩＰアドレス、宛先ＩＰアドレス、受信インタフェース番号に基づいてフィルタテーブル１０３のエントリを生成し（ステップＳ４０３）、パケット終端判定部に、送信元検査用パケット（回答用）を出力する（ステップＳ４０４）。

そして、パケット終端判定部１０５は、送信元検査用パケット（回答用）を終端するか否かを判定し（ステップＳ４０５）、終端しない場合には（ステップＳ４０６，Ｎｏ）、送信元検査用パケット（回答用）を転送する（ステップＳ４０７）。

一方、パケット終端判定部１０５は、送信元検査用パケット（回答用）を終端する場合には（ステップＳ４０６，Ｙｅｓ）、処理を終了する。

次に、ルータがその他のパケット（通常のパケット）を取得した場合の処理について説明する。図１０は、本実施例１にかかるルータがその他のパケットを取得した場合の処理を示すフローチャートである。同図に示すように、パケット種別判定部１０２は、通信部１０１からパケット（その他のパケット）を取得し（ステップＳ５０１）、パケットをパケット転送処理部１１３に出力する（ステップＳ５０２）。

そして、パケット転送処理部１１３は、フィルタ検索部１０８を介して、フィルタテーブルに基づいてパケットを転送するか否かを判定し（ステップＳ５０４）、パケットを転送する場合には（ステップＳ５０３，Ｙｅｓ）、経路制御部１１１の指示に応じてパケットを転送する（ステップＳ５０５）。一方、パケット転送処理部１１３は、パケット転送を行わない場合には（ステップＳ５０４，Ｎｏ）、パケットを廃棄する（ステップＳ５０６）。

なお、上述した図７〜図１０のフローチャートでは、各処理の説明を、図５の機能ブロック図（すなわち、スイッチ１００の各処理部）を用いて説明したが、他のスイッチ２００〜５００の機能部もスイッチ１００の各機能部と同様の処理を行うものとする。

上述してきたように、本実施例１のネットワークシステムに含まれる各ルータ１００〜５００は、攻撃パケットを検出した場合に、攻撃パケットに含まれる送信元ＩＰアドレスを宛先ＩＰアドレスに設定し、攻撃パケットに含まれる宛先ＩＰアドレスを送信元ＩＰアドレスに設定した送信元検査用パケット（要求用）を出力する。そして、送信元検査用パケット（回答用）を取得した場合に、送信元検査用パケット（回答用）に含まれる送信元ＩＰアドレスと宛先ＩＰアドレスと当該応答パケットを受信したインタフェースの識別情報とを対応付けてフィルタテーブル１０３に登録し、フィルタテーブル１０３に基づいて転送対象となるパケットを転送するか否かを判定するので、攻撃パケットを的確に廃棄し、正規のパケットを誤って廃棄してしまうという問題を解消することができる。

次に、本実施例２にかかる中継装置（ルータ）の概要および特徴について説明する。本実施例２にかかる中継装置は、配下のサブネットに接続された端末がシャットダウン中に、当該端末宛の送信元検査用パケット（要求用）を取得した場合に、かかる端末に代わって送信元検査用パケット（回答用）を出力する。

このように、配下のサブネットに接続された端末の代わりに、送信元検査用パケット（回答用）を出力するので、正規の端末がシャットダウン中であっても、フィルタテーブルのエントリを適切に設定することができる。

次に、本実施例２にかかるネットワークシステムについて説明する。図１１は、本実施例２にかかるネットワークシステムの構成を示す図（一例）である。同図に示すように、このネットワークシステムは、正規のＩＰアドレスＡを有する端末１０（シャットダウン中）、詐称したＩＰアドレスを有する端末２０、サービス要求に応答して各種サービスを提供するサーバ５０，６０、ルータ１２０〜５２０を備える。

なお、ルータ１２０は、ＩＤＳ（Intrusion Detection System）で攻撃パケットを検出し、送信元検査用パケット（要求用）を出力する場合のトリガとする。ＩＤＳは、ネットワーク上を流れるパケットを分析し、パターン照合により不正アクセスと思われるパケットを検出する機能のことである。

次に、本実施例２にかかるネットワークシステムの処理について説明する。図１２は、本実施例２にかかるネットワークシステムの処理を説明するための図である。同図に示すように、ルータ１２０のＩＤＳが、送信元ＩＰアドレスにＡを有する、悪意のあるパケット（攻撃パケット）を検出する（ステップＳ６０１）。

そして、ルータ１２０は、送信元検査用パケット（要求用）を送信する（ステップＳ６０２）。かかる送信元検査用パケット（要求用）のメッセージ種別には「０」が格納され、送信元検査用パケット（要求用）の送信元ＩＰアドレスはＢ（攻撃パケットに含まれる宛先ＩＰアドレス）となり、宛先ＩＰアドレスはＡ（攻撃パケットに含まれる送信元ＩＰアドレス）となる。この結果、送信元検査用パケット（要求用）は、ＩＰアドレスＡを正規に有する端末１０宛に送信される。

送信元検査用パケット（要求用）を受信した、端末１０を収容するルータ３２０は、ルータ２２０宛に送信元検査用パケット（回答用）を送信する（ステップＳ６０３）。かかる送信元検査用パケット（回答用）のメッセージ種別には「１」が格納され、送信元検査用パケット（回答用）の送信元ＩＰアドレスはＡとなり、宛先ＩＰアドレスはＢとなる。

続いて、ルータ２２０は、送信元検査用パケット（回答用）を受信したインタフェース、すなわち、ＩＦ−βから受信した送信元ＩＰアドレスと宛先ＩＰアドレスを有するパケットの疎通を許可し、それ以外は廃棄するフィルタを設定する（ステップＳ６０４）。図示を省略するが、送信元検査用パケットの経路上にあるルータ３２０も、ＩＦ−δから受信した送信元ＩＰアドレスＡと宛先ＩＰアドレスＢを有するパケットのみ疎通を許可するようフィルタを設定する。また、ルータ１２０も、送信元検査用パケットを受信したインタフェースから受信した送信元ＩＰアドレスＡと宛先ＩＰアドレスＢを有するパケットのみ疎通を許可するようフィルタを設定する。

ルータ２２０は、ステップＳ６０４で設定したフィルタにより、ＩＦ−γから受信される、詐称したアドレスＡを有する端末２０発のパケットを廃棄し、かつ起動した端末１０から送信されるサーバ５０，６０宛のパケットを中継する（ステップＳ６０５）。以降、ステップＳ６０１〜ステップＳ６０５を定期的に繰り返し、フィルタテーブルのエントリをリフレッシュする。

ところで、本実施例２にかかるルータ１２０〜５２０の構成は、図５に示した構成と同様であるため、説明を省略する。なお、ルータ１２０の攻撃パケット検出部１０９は、ＩＤＳ方式によって攻撃パケットを検出するものとする。

上述してきたように、本実施例２のネットワークシステムでは、ルータ３２０（一例）が配下のサブネットに接続された端末がシャットダウン中に、当該端末宛の送信元検査用パケット（要求用）を取得した場合に、かかる端末に代わって送信元検査用パケット（回答用）を出力するので、正規の端末がシャットダウン中であっても、フィルタテーブルのエントリを適切に設定することができる。すなわち、詐称されたＩＰアドレスを正規に有する端末のオン／オフに限らず、ルータ１２０〜５２０は、正規の端末発のパケットを受信するべきインタフェースの特定をすることができる。

次に、本実施例３にかかる中継装置（ルータ）の概要および特徴について説明する。本実施例３にかかる中継装置は、パケットを転送するネットワーク上の経路を変更する場合に、変更した経路に接続された他の中継装置に対して、送信元検査用パケット（要求用）の出力を要求するパケット（以下、発信依頼パケット）を出力し、かかる発信依頼パケットを受信した中継装置に送信元検査用パケット（要求用）を出力させてフィルタテーブルを更新させる。

このように、経路変更する場合に、変更した経路に接続された他の中継装置に発信依頼パケットを出力して、送信元検査用パケット（要求用）を出力させるので、経路制御プロトコルとの連携を取った上で、かつ、詐称した送信元ＩＰアドレスを有する攻撃パケットの廃棄を実現することができる。

次に、本実施例３にかかるネットワークシステムについて説明する。図１３は、本実施例３にかかるネットワークシステムを示す図である。同図に示すように、このネットワークシステムは、正規のＩＰアドレスを有する端末１０、詐称したＩＰアドレスを有する端末２０、サービス要求に応答して各種サービスを提供するサーバ５０，６０、ルータ１３０〜５３０を備える。

そして、図１３に示す例では、ルータ２３０とルータ３３０との間で、断線などが発生し、経路変更を行った場合を示している。かかる影響により、端末１０からサーバ５０への経路がルータ４３０経由になっている（経路変更前では、端末１０からサーバ５０への経路は、ルータ４３０を経由していない）。

ここで、経路変更が生じ、フィルタテーブルの設定が更新されるまでのネットワークシステムの処理について説明する。図１４は、本実施例３にかかるネットワークシステムの処理を説明するための図である。まず、ルータ２３０〜３３０間で断線が発生した場合に、ルータ３３０は、サーバ５０宛（ＩＰアドレスＢ宛）を含むルータ２３０経由のあて先をルータ４３０経由の宛先に切り替える（ステップＳ７０１）。

続いて、ルータ３３０は、経路変更に関わるＩＰアドレスが、フィルタテーブルの宛先ＩＰアドレスフィールドに含まれているエントリの有無を判定する。ルータ３３０は、ＩＰアドレスＢに関して、図１５に示すようなエントリが存在しているものとする。

ルータ３３０は、図１５に示すエントリの送信元ＩＰアドレスＡ、宛先ＩＰアドレスＢに基づいて、発信依頼パケットを送信する（ステップＳ７０２）。かかる発信依頼パケットのメッセージ種別には「３」が格納され、発信依頼パケットの送信元ＩＰアドレスはＡとなり、発信依頼パケットの宛先ＩＰアドレスはＢとなる。

サーバ５０を収容するルータ１３０は、発信依頼パケットを受信後、受信した発信依頼パケットの宛先ＩＰアドレスと送信元ＩＰアドレスを入れ替えて、送信元検査用パケット（要求用）を送信する（ステップＳ７０３）。かかる送信元検査用パケット（要求用）パケットのメッセージ種別には「０」が格納され、送信元ＩＰアドレスはＢとなり、宛先ＩＰアドレスはＡとなる。

送信元検査用パケット（要求用）を受信した、端末１０を収容するルータ３３０は、ルータ１３０宛に送信元検査用パケット（回答用）を送信する（ステップＳ７０４）。かかる送信元検査用パケット（回答用）のメッセージ種別には「１」が格納され、送信元検査用パケット（回答用）の送信元ＩＰアドレスはＡとなり、宛先ＩＰアドレスはＢとなる。

続いて、ルータ４３０、２３０、１３０は、送信元検査用パケット（回答用）を受信したインタフェースから受信した送信元ＩＰアドレスＡと宛先ＩＰアドレスＢを有するパケットのみ疎通を許可し、それ以外は廃棄するフィルタテーブルを再設定する（ステップＳ７０５）。

図示を省略するが、送信元検査用パケットの経路上にあるルータ３３０も、ＩＦ−δから受信した送信元ＩＰアドレスＡと宛先ＩＰアドレスＢを有するパケットのみ疎通を許可するようフィルタを再設定する。

ルータ２３０は、ステップＳ７０５で設定したフィルタテーブルにより、ＩＦ−αから受信される端末１０からサーバ５０宛のパケットを中継する（ステップＳ７０６）。以降、ステップＳ７０３からステップＳ７０６のプロセスを定期的に繰り返し、フィルタテーブルのエントリをリフレッシュする。

次に、本実施例３にかかるルータ１３０の構成について説明する。なお、ルータ２３０〜５３０の構成は、ルータ１３０の構成と同様であるため、説明を省略する。図１６は、本実施例３にかかるルータ１３０の構成を示す機能ブロック図である。同図に示すように、このルータ１３０は、通信部１３１と、パケット種別判定部１３２と、フィルタテーブル１３３と、フィルタ書き込み部１３４と、パケット終端判定部１３５と、送信元検査用パケット（回答用）作成部１３６と、送信元検査用パケット（要求用）作成部１３７と、発信依頼パケット作成部１３８と、フィルタ検索部１３９と、攻撃パケット検出部１４０と、タイマー部１４１と、経路制御部１４２と、経路テーブル１４３と、パケット転送処理部１４４とを備えて構成される。

通信部１３１は、ネットワークからのパケットの受信処理及びネットワークへのパケットの送信処理を行う手段である。通信部１３１は、受信したパケットをパケット種別判定部１３２および攻撃パケット検出部１４０に出力する。

パケット種別判定部１３２は、パケットに含まれるメッセージ種別に基づいてパケットの種別を判定し、判定結果に基づいてパケットをフィルタ書き込み部１３４、パケット終端判定部１３５あるいはパケット転送処理部１４４に出力する手段である。

パケット種別判定部１３２は、パケットが送信元検査用パケット（要求用）である場合（メッセージ種別に「０」が格納されている場合）、あるいはパケットが発信依頼パケットである場合（メッセージ種別に「２」が格納されている場合）には、パケットをパケット終端判定部１３５に出力する。

パケット種別判定部１３２は、パケットが送信元検査用パケット（回答用）である場合（メッセージ種別に「１」が格納されている場合）には、パケットをフィルタ書き込み部１３４に出力する。パケット種別判定部１３２は、その他のパケットをパケット転送処理部１４４に出力する。

フィルタテーブル１３３は、パケットを廃棄するか否かを判定するための情報を記憶するテーブルである。なお、フィルタテーブル１３３のデータ構造は、図６あるいは図１５に示したフィルタテーブルのデータ構造と同様であるので説明を省略する。

フィルタ書き込み部１３４は、送信元検査用パケット（回答用）の送信元ＩＰアドレス、宛先ＩＰアドレス、受信インタフェース番号からフィルタテーブル１３３のエントリを作成する手段である。フィルタ書き込み部１３４は、送信元検査用パケット（回答用）の受信インタフェースのみ、フィルタテーブルの処理フィールドを「Permit」とし、他のインタフェースを「Deny」とし、時刻フィールドに現在の時刻を登録する。フィルタ書き込み部１３４は、フィルタテーブル１３３に同一エントリが存在する場合には、現在時刻をアップデート（更新）する。

パケット終端判定部１３５は、送信元検査用パケット（要求用／回答用）、発信依頼パケットを終端するか、中継するかの判定を行う手段である。具体的に、パケット終端判定部１３５は、送信元検査用パケット（要求用／回答用）、発信依頼パケットの宛先ＩＰアドレスが、自ルータの配下のサブネット内であるならば終端し、送信元検査用パケット（要求用）作成部１３７または送信元検査用パケット（回答用）作成部１３６に処理を渡す。なお、ここでは、図示を省略するが、パケット終端判定部１３５は、自ルータの配下のサブネット内に存在する端末のＩＰアドレスを保持しているものとする。

パケット終端判定部１３５は、送信元検査用パケット（回答用）作成部１３６には、終端した、送信元検査用パケット（要求用）の宛先ＩＰアドレスを送信元ＩＰアドレス、送信元検査用パケット（要求用）の送信元ＩＰアドレスを宛先ＩＰアドレスとして、送信元検査用パケット（回答用）を生成するように指示する。

また、パケット終端判定部１３５は、送信元検査用パケット（要求用）作成部１３７には、終端した、パケット発信依頼パケットの宛先ＩＰアドレスを送信元ＩＰアドレス、送信元ＩＰアドレスを宛先ＩＰアドレスとして、送信元検査用パケット（要求用）を作成するように指示する。

送信元検査用パケット（回答用）作成部１３６は、パケット終端判定部１３５からの指示に基づいて、送信元検査用パケット（回答用）を作成する手段である（送信元検査用パケット（回答用）のフォーマットは、図３参照）。送信元検査用パケット（回答用）作成部１３６は、作成した送信元検査用パケット（回答用）を通信部１３１に出力し、ネットワークに送信する。

送信元検査用パケット（要求用）作成部１３７は、パケット終端判定部１３５、攻撃パケット検出部１４０、タイマー部１４１からの指示に基づいて、送信元検査用パケット（要求用）を作成する手段である（送信元検査用パケット（要求用）のフォーマットは、図３参照）。送信元検査用パケット（要求用）作成部１３７は、作成した送信元検査用パケット（要求用）を通信部１３１に出力し、ネットワークに送信する。

発信依頼パケット作成部１３８は、経路制御部１４２からの指示に基づいて、発信依頼パケットを作成する手段である（発信依頼パケットのフォーマットは、図３参照）。発信依頼パケット作成部１３８は、作成した発信依頼パケットを通信部１３１に出力し、ネットワークに送信する。

フィルタ検索部１３９は、パケット転送処理部１４４から出力される条件（送信元ＩＰアドレス、宛先ＩＰアドレス、インタフェース）を基にして、フィルタテーブル１３３を検索し、検索結果（「Permit」あるいは「Deny」）をパケット転送処理部１４４に出力する手段である。また、フィルタ検索部１３９は、タイマー部１４１の要求に応じて、フィルタテーブル１３３のデータをタイマー部１４１に出力し、タイマー部１４１の指示に応じて、フィルタテーブル１３３のエントリを削除する。

攻撃パケット検出部１４０は、攻撃パケットを検出する手段である。攻撃パケット検出部１４０が攻撃パケットを検出する手法は、従来と同様の手法を用いるものとする。攻撃パケット検出部１４０は、攻撃パケットを検出した場合に、送信元検査用パケット（要求用）作成部１３７に、攻撃パケットの送信元ＩＰアドレスを宛先ＩＰアドレス、攻撃パケットの宛先ＩＰアドレスを送信元ＩＰアドレスとした、送信元検査用パケット（要求用）を作成するよう指示する。

タイマー部１４１は、送信元検査用パケット（要求用）の再送信およびタイムアウトしたフィルタテーブル１３３のエントリの削除を行う手段である。まず、タイマー部１４１が、送信元検査用パケット（要求用）の再送信を行う処理について説明する。送信元検査用パケット（要求用）の再送信を行うことによって、フィルタテーブル１３３のエントリをリフレッシュさせる。

タイマー部１４１は、一定時間（ｔ１）毎に、フィルタ検索部１３９を通じて、フィルタテーブル１３３の送信元ＩＰアドレスフィールドのうち、自ルータの配下のサブネット内にあるＩＰアドレスを検索する。この検索でヒットしたエントリの時刻フィールドにある時刻から予め決められた時間が経過している場合、該エントリ情報の送信元ＩＰアドレスフィールドの値を送信元ＩＰアドレスとし、宛先ＩＰアドレスフィールドの値を宛先ＩＰアドレスとする送信元検査用パケット（要求用）作成部１３７に指示する。

続いて、タイマー部１４１がフィルタテーブル１３３のエントリの削除を行う処理について説明する。タイマー部１４１は、一定時間毎（ｔ２：ただし、ｔ２＞ｔ１とする）に、フィルタ検索部１３９を通じて、フィルタテーブル１３３の時刻フィールドを検索し、予め決められた時間が経過しているエントリ削除を実行する（エントリの削除をフィルタ検索部１３９に依頼する）。

経路制御部１４２は、いわゆるＩＰの経路制御機能に加え、経路変更を検出した場合に、経路変更に関わるＩＰアドレスが、フィルタテーブル１３３の宛先ＩＰアドレスフィールドに含まれているか否かを判定する（フィルタ検索部１３９経由で確認する）。例えば、宛先ＩＰアドレスＢ宛のパケットの経路が、断線の発生した経路を含んでいる場合には、ＩＰアドレスＢがフィルタテーブル１３３の宛先ＩＰアドレスフィールドに含まれているか否かを判定する。なお、各宛先ＩＰアドレスの経路は、経路テーブル１４３に登録されているものとする。

そして、経路制御部１４２は、フィルタテーブル１３３に該当エントリが存在した場合に、かかるエントリ情報の送信元ＩＰアドレスフィールドの値を送信元ＩＰアドレスとし、宛先ＩＰアドレスフィールドの値を宛先ＩＰアドレスとする発信依頼パケットを生成するように、発信依頼パケット生成部１３８に指示する。

経路制御部１４２は、パケットの経路を制御する手段であり、経路テーブル１４３は、パケットを中継する場合の経路の情報を記憶するテーブルである。

パケット転送処理部１４４は、いわゆる既存のパケットの転送処理、および送信元ＩＰアドレスを作用したパケットの廃棄を行う手段である。パケット転送処理部１４４は、各受信パケットの、送信元ＩＰアドレス、宛先ＩＰアドレス、受信インタフェースに合致するエントリがフィルタテーブル１３３に存在するかを、フィルタ検索部１３９を介して検索する。そして、エントリが存在し、かつその処理フィールドが「Deny」である場合には、該当受信パケットを廃棄する。

一方、パケット転送処理部１４４は、エントリが存在しない場合、あるいは、該当パケットに対応する処理フィールドが「Permit」である場合には、かかる受信パケットを転送する。

次に、本実施例３にかかるルータの各処理手順について説明する。ここでは、ルータが経路変更を判定する場合の処理（図１４のステップＳ７０１，７０２に該当する処理）、ルータが発信依頼パケットを取得した場合の処理（図１４のステップＳ７０３に該当する処理）について説明する。なお、図１４のステップＳ７０４，７０５に該当する処理は、図８、図９に示した処理と同様であるため説明を省略する。

まず、ルータが経路変更を判定する場合の処理について説明する。図１７は、本実施例３にかかるルータが経路変更を判定する場合の処理を示すフローチャートである。同図に示すように、経路制御部１４２が経路変更を行うか否かを判定し（ステップＳ８０１）、経路変更を行わない場合には（ステップＳ８０２，Ｎｏ）、ステップＳ８０１に移行する。

一方、経路変更を行う場合（断線などを検出した場合）には（ステップＳ８０２，Ｙｅｓ）、経路変更に関わるＩＰアドレスがフィルタテーブル１３３の宛先ＩＰアドレスフィールドに含まれているか否かを判定し（ステップＳ８０３）、含まれていない場合には（ステップＳ８０４，Ｎｏ）、処理を終了する。

経路変更に関わるＩＰアドレスがフィルタテーブル１３３の宛先ＩＰアドレスフィールドに含まれている場合には（ステップＳ８０４，Ｙｅｓ）、該当するエントリの送信元ＩＰアドレスフィールドの値を送信元ＩＰアドレスとし、宛先ＩＰアドレスフィールドの値を宛先ＩＰアドレスとする発信依頼パケットの生成指示を発信依頼パケット作成部１３８に出力する（ステップＳ８０５）。

そして、発信依頼パケット作成部１３８は、発信依頼パケットを作成し（ステップＳ８０６）、作成した発信依頼パケットを通信部１３１に出力して、ネットワークに出力する（ステップＳ８０７）。

次に、ルータが発信依頼パケットを取得した場合の処理について説明する。図１８は、本実施例３にかかるルータが発信依頼パケットを取得した場合の処理を示すフローチャートである。同図に示すように、パケット種別判定部１３２は、通信部１３１から発信依頼パケットを取得し（ステップＳ９０１）、パケット終端判定部１３５に発信依頼パケットを出力する（ステップＳ９０２）。

そして、パケット終端判定部１３５は、発信依頼パケットを終端するか否かを判定し（ステップＳ９０３）、終端しない場合には（ステップＳ９０４，Ｎｏ）、送信元検査用パケット（回答用）を転送する（ステップＳ９０５）。

一方、パケット終端判定部１３５は、送信元検査用パケット（回答用）を終端する場合には（ステップＳ９０４，Ｙｅｓ）、発信依頼パケットの宛先ＩＰアドレスを送信元ＩＰアドレス、発信依頼パケットの送信元ＩＰアドレスを宛先ＩＰアドレスとして送信元検査用パケット（要求用）の作成指示を出力する（ステップＳ９０６）。

送信元検査用パケット（要求用）作成部１３７は、送信元検査用パケット（要求用）を作成し（ステップＳ９０７）、作成した送信元検査用パケット（要求用）を通信部１３１に出力し、ネットワークに出力する（ステップＳ９０８）。

なお、上述した図１７、図１８のフローチャートでは、各処理の説明を、図１６の機能ブロック図（すなわち、ルータ１３０の各処理部）を用いて説明したが、他のルータ２３０〜５３０の機能部もルータ１３０の各機能部と同様の処理を行うものとする。

上述してきたように、本実施例３にかかるネットワークシステムでは、ルータ１３０〜５３０は、パケットを転送するネットワーク上の経路を変更する場合に、変更した経路に接続された他の中継装置に対して、送信元検査用パケット（要求用）の出力を要求するパケット（以下、発信依頼パケット）を出力し、かかる発信依頼パケットを受信した中継装置に送信元検査用パケット（要求用）を出力させてフィルタテーブルを更新させるので、経路制御プロトコルとの連携を取った上で、かつ、詐称した送信元ＩＰアドレスを有する攻撃パケットの廃棄を実現することができる。

ところで、本実施例において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部あるいは一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図５、図１６等に示したルータ１００、１３０等の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部または任意の一部がＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

以上のように、本発明にかかる中継装置および中継方法は、冗長化された構成を有するネットワークシステムに有用であり、特に、正規のパケットを誤って廃棄することなく、攻撃パケットを廃棄する場合に適している。

Claims (8)

1. ネットワーク上を伝送されるパケットの中継を行うと共に、当該パケットから攻撃パケットを検出した場合に、当該攻撃パケットを廃棄する中継装置であって、
   前記攻撃パケットを検出した場合に、前記攻撃パケットに含まれる送信元アドレスを宛先アドレスに設定し、前記攻撃パケットに含まれる宛先アドレスを送信元アドレスに設定した検査用パケットを出力する検査用パケット出力手段と、
   前記検査用パケットの応答パケットを取得した場合に、当該応答パケットに含まれる送信元アドレスと宛先アドレスと当該応答パケットを受信したインタフェースの識別情報とを対応付けてフィルタテーブルに記憶するフィルタテーブル記憶手段と、
   前記フィルタテーブルに基づいて転送対象となるパケットを転送するか否かを判定する転送制御手段と、
   を備えたことを特徴とする中継装置。
2. 前記パケットを転送するネットワーク上の経路を変更するか否かを判定する経路変更判定手段と、前記経路変更判定手段の判定結果に基づいて、前記検査用パケットの出力を要求する要求パケットを出力する要求パケット出力手段とを更に備えたことを特徴とする請求項１に記載の中継装置。
3. 前記検査用パケットを取得し、当該検査用パケットの宛先アドレスを有する端末装置が配下のサブネットに接続されている場合に、当該端末装置の代わりに前記検査用パケットの応答アドレスを出力する代理応答手段を更に備えたことを特徴とする請求項２に記載の中継装置。
4. 前記検査用パケット出力手段は、前記要求パケットを取得した場合に、前記検査用パケットを出力することを特徴とする請求項３に記載の中継装置。
5. ネットワーク上を伝送されるパケットの中継を行うと共に、当該パケットから攻撃パケットを検出した場合に、当該攻撃パケットを廃棄する中継装置の中継方法であって、
   前記攻撃パケットを検出した場合に、前記攻撃パケットに含まれる送信元アドレスを宛先アドレスに設定し、前記攻撃パケットに含まれる宛先アドレスを送信元アドレスに設定した検査用パケットを出力する検査用パケット出力工程と、
   前記検査用パケットの応答パケットを取得した場合に、当該応答パケットに含まれる送信元アドレスと宛先アドレスと当該応答パケットを受信したインタフェースの識別情報とを対応付けてフィルタテーブルに記憶するフィルタテーブル記憶工程と、
   前記フィルタテーブルに基づいて転送対象となるパケットを転送するか否かを判定する転送制御工程と、
   を含んだことを特徴とする中継方法。
6. 前記パケットを転送するネットワーク上の経路を変更するか否かを判定する経路変更判定工程と、前記経路変更判定工程の判定結果に基づいて、前記検査用パケットの出力を要求する要求パケットを出力する要求パケット出力工程とを更に含んだことを特徴とする請求項５に記載の中継方法。
7. 前記検査用パケットを取得し、当該検査用パケットの宛先アドレスを有する端末装置が配下のサブネットに接続されている場合に、当該端末装置の代わりに前記検査用パケットの応答アドレスを出力する代理応答工程を更に含んだことを特徴とする請求項６に記載の中継方法。
8. 前記検査用パケット出力工程は、前記要求パケットを取得した場合に、前記検査用パケットを出力することを特徴とする請求項７に記載の中継方法。

Images