JP4922620B2

JP4922620B2 - ネットワークシステム

Info

Publication number: JP4922620B2
Application number: JP2006038665A
Authority: JP
Inventors: 恭弘青山
Original assignee: Panasonic Corp; Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Corp; Panasonic Holdings Corp
Priority date: 2006-02-15
Filing date: 2006-02-15
Publication date: 2012-04-25
Anticipated expiration: 2026-02-15
Also published as: JP2007221395A

Description

本発明はネットワークシステムに関し、特に通信パケットをフィルタリングする機能を備えるネットワーク端末装置を有するネットワークシステムに関する。

一般に、ネットワーク端末又はネットワーク中継機器は、不正な受信パケットや処理不要な受信パケットを選択的に破棄するためのパケットフィルタリング機能を有する。このフィルタリング機能の目的の一つは不正なパケットを排除することによるネットワークセキュリティの強化であり、別の目的は処理不要なパケットを事前に排除することによりネットワーク端末に内蔵された通信処理プロセッサの負荷を低減することである。

特に後者の目的のため、パケットフィルタリング処理はネットワーク端末のネットワークインターフェース機能に近い受信端にて、ホストプロセッサとは分離された専用ＤＳＰ（Digital Signal Processor）又は専用ハードウェアにより実現されることが多い。具体的にフィルタリング処理は、受信パケットに記載された各種情報と、端末内部で管理するフィルタリング条件との比較によって行われるが、その比較ポイント、すなわち受信パケットの何れのプロトコルフィールドに対して検閲をかけるかによってフィルタリングレイヤの分類がなされる。例えば、受信データのＥｔｈｅｒｎｅｔ（登録商標）フレームアドレスを検閲対象とする場合、又はＩＰパケットアドレスを対象とする場合、それぞれが対応するＯＳＩ（Open Systems Interconnection）階層に準じてレイヤ２フィルタリング、レイヤ３フィルタリングと呼称する。

また、昨今では、自ネットワーク端末が送信しようとするパケットに対してネットワークインターフェース端点でフィルタリング処理を行うプロセッサを実装する情報処理装置が提案されている（例えば、特許文献１）。この情報処理装置の目的の一つはＱｏＳ（Quality of Service）制御的な観点、すなわち接続中のネットワークが輻輳状態（混雑状態）にあり、自ネットワーク端末から送信しようとする全てのパケットが正しくネットワーク側に受け入れられる保証が得られないとき、送信候補パケットのうち重要度の高いものを優先して送信しようとする装置であり、パケットの重要度判定テーブルと照合しながら送信端でのパケット間引き処理を行う。

また、上記情報処理装置の別の目的としては、昨今問題となっているネットワークを介したウィルス感染や踏み台攻撃を受けて異常状態となったネットワーク端末に対する対処である。何らかの外的な要因によりネットワーク端末が異常状態となり、自らのネットワークアドレスを偽ったり、無作為にウィルスをばら撒くような不正なパケット送信を行うような状態となった場合に、ネットワーク上の他端末に対する悪影響を未然に防ぐ目的で、上記情報処理装置では送信端に予めフィルタリング機能が設けられている。
特開２００４−１３９１７８号公報

しかしながら、上記自送信パケットに対するフィルタリング機能を設けるという発想自体が最近のもであり、上記後者の目的の技術要件については十分に検討が進んでいないというのが実情である。

また、上記踏み台攻撃とは、何らかの悪意のある端末が、ネットワーク上の特定ノード（端末、サーバ、中継器等）にセキュリティ攻撃を行おうとする際、直接には攻撃せず、無関係の端末に対して攻撃プログラムを流布・感染させることで、自分の代理で目標ノードを攻撃する手法である。特に、代理攻撃端末を多く作り、特定時間に同期して一斉攻撃を仕掛ける手法はＤＤｏＳ攻撃（Distributed Denial of Service attacks ）と呼ばれ、インターネットにおける昨今の主要な問題の一つとなっている。

このＤＤｏＳ攻撃に対する抜本的な対策は難しく、間接的な対策として攻撃に加担する端末が極力少なくなるように、インターネット上の端末それぞれに充分なセキュリティ対策を施すことが望ましいとされている。このようなＤＤｏＳ攻撃により踏み台とされた端末における特徴的な挙動としては、攻撃する端末の特定を逃れるために送信元ＩＰアドレスを詐称することが多いという点がある。従って、ネットワーク端末が送信元ＩＰアドレスを詐称したパケットを送信しようとすることを何らかの手段で防ぐことができれば、ＤＤｏＳ攻撃の対策手段になり得る。

また、上記従来の情報処理装置では、送信候補パケットのうち重要度の高いものを優先して送信するフィルタリング機能を有するだけであるため、ＤＤｏＳ攻撃を回避することは不可能である。

本発明は係る点に鑑みてなされたものであり、フィルタリング条件により送信パケットの送信可否を判断するとともに、送信パケットの送信元アドレスを検閲する送信パケットフィルタリング機能を、通信機能を司るホストプロセッサとは別の専用プロセッサに設けて、送信パケットに対して適正なフィルタリング処理を実行可能とし、ＤＤｏＳ攻撃等を未然に防止するネットワーク端末装置を有するネットワークシステムを提供することを目的とする。

本発明のネットワークシステムは、通信処理を行うホストプロセッサと、送信パケットのフィルタリング処理を行う専用プロセッサとを有するネットワーク端末装置と、前記ネットワーク端末装置が接続されるローカルエリアネットワークと外部ネットワークとを結ぶ中継点に配置されて通信パケットの異常状態を検出する通信監視装置と、を具備するネットワークシステムにおいて、前記通信監視装置は、前記ネットワーク端末装置で利用されるフィルタリング条件を記憶した記憶手段と、前記異常状態を検出した場合にフィルタリング処理を開始させるイネーブル信号と前記フィルタリング条件とを前記ネットワーク端末装置へ送信する手段と、を有し、前記ネットワーク端末装置の前記専用プロセッサは、フィルタリング条件を記憶するフィルタ条件記憶手段と、イネーブル状態のときに、前記フィルタ条件記憶手段に記憶されたフィルタリング条件を参照して前記送信パケットの送信可否を判断して送信不可パケットの廃棄を行うとともに、当該送信不可パケットの廃棄を前記ホストプロセッサに通知する送信パケットフィルタ処理手段と、を有し、前記ネットワーク端末装置の前記ホストプロセッサは、前記専用プロセッサから通知される前記送信パケットフィルタ処理手段の動作状態を報知するフィルタ動作状態報知手段を具備し、前記通信監視装置から前記フィルタリング条件と前記イネーブル信号を受信した場合に、前記フィルタリング条件を前記専用プロセッサへ通知して前記フィルタ条件記憶手段へ記憶させるとともに、前記送信パケットフィルタ処理手段をイネーブル状態にする一方、前記送信パケットフィルタ処理手段をイネーブル状態にした後、前記パケット廃棄の通知が所定時間ない場合に、前記送信パケットフィルタ処理手段の前記イネーブル状態を解除する構成を採る。

この構成によれば、送信パケットに対して適正なフィルタリング処理を実行することが可能になり、ＤＤｏＳ攻撃等を未然に防止することができる。また、ホストプロセッサはパケット廃棄通知により自律的に異常パケットの回復を図ることができる。

また、本発明に係るネットワーク端末装置は、前記専用プロセッサは、前記送信パケットフィルタ処理手段の動作状態を監視して前記ホストプロセッサに通知する状態監視通知手段を具備する構成としてもよい。

この構成によれば、ホストプロセッサは送信パケットフィルタ処理の動作状態を認識して動作管理が可能になり、その処理に伴う送信スループットの低下や無駄な消費電力の増大を最小限に留めることができる。

また、本発明に係るネットワーク端末装置は、前記ホストプロセッサが、前記専用プロセッサから通知される前記送信パケットフィルタ処理手段の動作状態を報知するフィルタ動作状態報知手段を具備する構成としてもよい。

この構成によれば、端末ユーザに対して明示的なフィルタ設定が可能となり、ネットワーク側からの一方的なフィルタリング条件設定によりユーザが困惑するといった事態を防止することができる。

また、本発明に係るネットワーク端末装置は、上記のように、前記ホストプロセッサが、外部ネットワーク上に配置された通信監視装置から前記フィルタリング条件を受信して前記専用プロセッサに通知して、前記送信パケットフィルタ処理手段をイネーブル状態とする構成を採っている。

この構成によれば、ホストプロセッサは送信パケットフィルタ処理の開始タイミングを制御することが可能になる。

また、一例として示すネットワーク端末装置は、通信処理を行うホストプロセッサと、送信パケットのフィルタリング処理を行う専用プロセッサとを有するネットワーク端末装置であって、前記専用プロセッサは、前記送信パケットに設定された送信元論理アドレスの成否を検閲し、該送信パケットの送信可否を判断して送信不可パケットの廃棄を行うとともに、当該パケット廃棄を前記ホストプロセッサに通知する送信パケットフィルタ処理手段を具備する構成を採る。

この構成によれば、送信パケットに対して適正なフィルタリング処理を実行することが可能になり、ホストＣＰＵの自律的な回復を促すことができ、ＤＤｏＳ攻撃等を未然に防止することができる。

また、上記のネットワーク端末装置において、前記専用プロセッサは、自端末装置の物理アドレス情報に対応する論理アドレスを外部ネットワーク上に配置されたアドレス管理サーバに対して問合せて、該アドレス管理サーバからの応答により前記送信元論理アドレスを認識するアドレス認識手段を具備する構成としてもよい。

この構成によれば、ユーザが故意にローカルエリア内の機密情報を漏洩しようとする行為を未然に防止することができる。

また、上記のネットワーク端末装置において、前記アドレス管理サーバはＤＨＣＰサーバである構成を採ってもよい。

この構成によれば、ネットワーク端末装置は、特別な通信手順を実行することなく、ＩＰネットワーク上のＤＨＣＰサーバに対して自端末のＩＰアドレスを問い合わせることが可能になる。

また、上記のネットワーク端末装置において、前記アドレス管理サーバはＲＡＲＰサーバである構成を採ってもよい。

この構成によれば、ネットワーク端末装置は、特別な通信手順を実行することなく、ＩＰネットワーク上のＲＡＲＰサーバに対して自端末のＩＰアドレスを問い合わせることが可能になる。

本発明によれば、送信パケットに対して適正なフィルタリング処理を実行することが可能になり、ＤＤｏＳ攻撃等を未然に防止することができる。

以下、本発明の実施の形態について図面を参照して詳細に説明する。

（実施の形態１）
図１は、本実施の形態１に係るネットワーク端末装置の構成を示すブロック図である。図１において、ネットワーク端末装置１は、ネットワークＩ／Ｆ２と、パケットフィルタリング機能部３と、ホストＣＰＵ（Central Processing Unit ）４と、ＣＰＵ周辺回路５と、ＲＡＭ（Random Access Memory）６と、ＲＯＭ（Read Only Memory）７と、から構成される。パケットフィルタリング機能部３、ホストＣＰＵ４、ＣＰＵ周辺回路５、ＲＡＭ６及びＲＯＭ７は、バス８を介して相互に接続されている。

ネットワークＩ／Ｆ２は、図示しないネットワークに接続し、ネットワーク端末装置１のネットワーク機能（Ｌ１〜Ｌ２のフレーミング処理等）を実現する。また、ネットワークＩ／Ｆ２は、パケットフィルタリング機能部３から入力される送信パケットをネットワークに送信し、ネットワークからパケットを受信してパケットフィルタリング機能部３に出力する。

パケットフィルタリング機能部３は、送信パケットフィルタ部３Ａと、フィルタ条件記憶部３Ｂと、特定パケット抽出部３ｃを有する受信パケットフィルタ部３Ｃと、状態監視通知部３Ｄと、から構成される。このパケットフィルタリング機能部３は専用プロセッサにより構成される。

送信パケットフィルタ部３Ａは、ホストＣＰＵ４からバス８を介して入力される送信パケットをフィルタ条件記憶部３Ｂに記憶されたフィルタ条件を参照して送信可能か否かを判定して廃棄対象のパケットを見付け、そのパケットを廃棄した上で廃棄した旨を、状態監視通知部３ＤからホストＣＰＵ４に通知する。

フィルタ条件記憶部３Ｂは、後述する通信監視装置１０２から受信するフィルタリング条件を記憶する。このフィルタリング条件には、送信パケットの送信可否及び受信パケットの受信可否を判断する条件として、ＩＰレイヤにおける送信先アドレス制限あるいは送信元アドレス制限（送信元アドレスが適正であるかの検閲）、またはＴＣＰ（Transmission Control Protocol ）階層でのパターンマッチング（ウィルス検出）等が含まれる。

受信パケットフィルタ部３Ｃは、特定パケット抽出部３ｃによりフィルタ条件記憶部３Ｂに記憶されたフィルタ条件を参照して受信可能か否かを判定して破棄対象の特定パケットを抽出し、その抽出された特定パケットを破棄した上で破棄した旨を、状態監視通知部３ＤからホストＣＰＵ４に通知する。

状態監視通知部３Ｄは、送信パケットフィルタ部３Ａの送信フィルタリング処理と、受信パケットフィルタ部３Ｃの受信フィルタリング処理の各活性状態を管理し、その各活性状態の解除判定を行うとともに、送信パケットフィルタ部３Ａ及び受信パケットフィルタ部３Ｃの各パケット破棄処理に伴う通知をホストＣＰＵ４に対して行う。

ホストＣＰＵ４（ホストプロセッサ）は、ＲＯＭ７に記憶されたプログラムにより通信動作を含むネットワーク端末装置１の主要機能を制御するホストプロセッサである。ＣＰＵ周辺回路５は、ネットワーク端末装置１のインターフェース機能（キー操作や画面表示機能等）を実現する回路である。ＲＡＭ６は、主にホストＣＰＵ４の処理動作に使用されるワークエリア等を形成する一時記憶メモリである。ＲＯＭ７は、主にホストＣＰＵ４の動作プログラムや静的設定値等を記憶する不揮発性メモリである。

次に、図２は、図１のネットワーク端末装置１が複数台接続されるネットワークシステムの構成を示す図である。

図２のネットワークシステム１００では、複数台のネットワーク端末装置１がＬＡＮ（Local Area Network）１０１に接続され、ＬＡＮ１０１は外部ネットワーク１０３上の通信監視装置１０２に接続されている。

通信監視装置１０２は、ＬＡＮ１０１と外部ネットワーク１０３を結ぶ中継点に位置する装置であり、ＬＡＮ１０１に接続されたネットワーク端末装置１と外部ネットワーク１０３に接続される他のネットワーク端末装置（図示せず）との間の通信を監視する。また、通信監視装置１０２は、ネットワーク端末装置１において利用されるフィルタリング条件を記憶し、ネットワーク端末装置１が通信中に通信異常を検出した場合に、送信フィルタイネーブル信号とともに記憶したフィルタリング条件をネットワーク端末装置１に送信する機能を有する。なお、通信監視装置１０２は、送受信パケットのフィルタリング（選択廃棄）処理は行わないため、正常状態にある他の端末の通信を阻害することはない。

なお、通信監視装置１０２は、当該ネットワークシステム全体の運営会社あるいは通信事業者の構内に設置され、外部からのアクセスが物理的に制限されているものであり、その安全性は充分に保証されているものとする。また、通信監視装置１０２は、ＬＡＮ１０１と外部ネットワーク１０３を結ぶ中継点に位置するものであれば、何れのネットワーク装置と併設されるものであってもよい。一般的にネットワーク中継点に配置されるスイッチングハブやＩＰルータに対して、通信監視機能と異常検出・通知機能を持たせたものであってもよく、また単独に存在するプロキシサーバとして設置される形態でもよい。

また、この場合、通信監視装置１０２では、通信パケットの異常状態は検出するものの、異常検出時に通信パケット廃棄の必要性は負わないため、実際に廃棄処理までを行う場合と比べてその処理負荷及び装置コストは大幅に低減される。通信監視装置において廃棄処理まで行おうとする場合、導通パケットを一旦装置内で塞き止めて廃棄の必要性について判断を行った後に透過するという手順が必要になり、高速の処理能力あるいは大容量のパケットメモリが必要となるからである。

次に、図２のネットワークシステム１００における動作について、図３に示すシーケンス図を参照して説明する。

図３において、特定のネットワーク端末装置１がＬＡＮ１０１及び外部ネットワーク１０３を介して他の端末と通信中であるとすると（ステップＳ１０１）、送出パケットは通信監視装置１０２により監視される。この通信中に、通信監視装置１０２において異常パケットが検出されると（ステップＳ１０２）、当該異常パケットの送出を止めるためのフィルタリング条件がネットワーク端末装置１内のホストＣＰＵ４に通知される（ステップＳ１０３）。

ネットワーク端末装置１内のホストＣＰＵ４では、フィルタリング条件が通知されると、パケットフィルタリング機能部３内の送信パケットフィルタ部３Ａの機能をイネーブル状態とし、そのフィルタリング条件をフィルタ条件記憶部３Ｂに記憶させる（ステップＳ１０４）。

通信監視装置１０２からホストＣＰＵ４への情報伝達手段については、特に限定するものではないが、例えば、レイヤ２のＥｔｈｅｒｎｅｔ（登録商標）階層でＶＬＡＮ（Virtual ＬＡＮ）を使う等して特別のフレームを定義したり、ＩＣＭＰ（Internet Control Message Protocol ）の未使用種別番号を使って専用パケットを定義する等の方法が考えられる。また、通信監視装置１０２から通知されるフィルタリング条件に関しても、同様に特に限定するものではないが、例えば、ＩＰレイヤにおいて送信先アドレス制御、あるいは送信元アドレス制限（適正であることの検閲）、またはＴＣＰ（Transmission Control Protocol ）階層でのパターンマッチング（ウィルス検出）等が想定される。

次いで、パケットフィルタリング機能部３では、送信パケットフィルタ部３Ａにより送信パケットに対する送信フィルタリング処理が開始される（ステップＳ１０５）。送信パケットフィルタ部３Ａでは、送信パケットのそれぞれに対してフィルタ条件記憶部３Ｂに記憶されたフィルタリング条件に照らし合わされて送信可否が判断される。そして、送信可と判断された送出パケットは透過されてＬＡＮ１０１から外部ネットワーク１０３に送出される（ステップＳ１０６）また、送信不可と判断された送出パケットは、廃棄対象パケットとして廃棄され（ステップＳ１０７）、廃棄の旨がホストＣＰＵ４に通知される（ステップＳ１０８）。

この廃棄の通知手段は、ネットワーク端末装置１内部の実装に依存し、端末内部のバスあるいは結線情報としての伝達、パケット導通を模したインバイドの情報伝達等の実装形態をとり得る。

以後、上記ステップＳ１０６〜ステップＳ１０８と同様の処理が繰り返し実行される（ステップＳ１０９〜Ｓ１１２）。その後、廃棄通知によりホストＣＰＵ４が自律的に異常状態を回復し、送信パケット群の中に廃棄対象となるパケットが存在しなくなった場合、
ホストＣＰＵ４は、パケットフィルタリング機能部３の送信フィルタリング処理をディセーブルとする（ステップＳ１１３）。

この一連の処理実施のため、ホストＣＰＵ４では、最後の送信フィルタリング処理によりパケット廃棄してからの経過時間と、それ以降に送出した情報量（あるいはパケット個数）が、それぞれ所望の閾値を上回ったことを条件に送信フィルタリング処理が解除される。これら２つの閾値は、上記フィルタリング条件と共に通知するようにしてもよい。

このように、ネットワーク端末装置１内で自律的に状態回復を図り、フィルタリング処理の必要性が無くなった時点で処理を停止することで、フィルタリング処理に伴う送信スループットの低下や無駄な消費電力の増大を最小限に留めることができる。

なお、図１において、状態監視通知部３Ｄとして示した機能部は、上記送信フィルタリング処理の活性状態を管理し、活性状態の解除判定を行い、かつ廃棄処理に伴ってホストＣＰＵ４に破棄通知を行うものである。

以上のように、本実施の形態１のネットワーク端末装置及びネットワークシステムによれば、ホストＣＰＵとは別の専用プロセッサによるパケットフィルタリング機能部を設け、ホストＣＰＵから送出されるパケットの異常を判断し、異常パケットを廃棄して廃棄したことをホストＣＰＵに通知することにより、ホストＣＰＵの自律的な回復を促すことができ、ＤＤｏＳ攻撃等を未然に防止することができる。

なお、上記実施の形態１では、専用プロセッサでパケットの廃棄が生じた際はその旨が廃棄通知という形でホストＣＰＵに通知される場合を示したが、その実装形態としては専用プロセッサが活性状態にあって、云わば非監視状態（要注意状態）であることが、端末ユーザに対して明示的に示されていることが望ましい。そこで、フィルタリング機能部がイネーブル状態である場合は、その旨を専用プロセッサがホストＣＰＵに伝達し、ホストＣＰＵの機能として、端末ユーザに状態通知を行う機能を付加してもよい。

この場合、ユーザへの伝達方法としては、例えば、状態を示すアイコンを端末画面に表示したり、あるいは表示画面を点灯させる等の方法が考えられる。

また、通信監視装置からフィルタリング条件が通知される際に、フィルタリング条件とは直接関係のないユーザ宛のメッセージを送信する場合もあり得る。この場合は、例えば、特定のフィルタリング条件を端末に通知する際、そのフィルタリング条件が端末において有効になった際に端末画面に自動表示させ、当該端末がどのようなフィルタリング条件で制限状態になったかをユーザに知らせるといった使用方法も可能である（例えば、現在、特定サーバへのアクセスが制限されているといったメッセージ）。この機能により、ユーザに対して明示的なフィルタ設定が可能となり、ネットワーク側からの一方的なフィルタリング条件設定によりユーザが困惑するといった事態を防止することができる。

（実施の形態２）
本実施の形態２では、ネットワーク端末装置に実装された送信パケットフィルタリング機能が、レイヤ３のフィルタリング処理の一環として実施するＩＰパケットの送信元アドレスの検閲（端末のＩＰアドレスが正しく記載されているか否かの検閲）に使用する自端末のＩＰアドレスの認識を、通信機能を司るホストＣＰＵ側の手助け無く自律して行うことで、常に適正なフィルタリング処理を実現させる場合を説明する。

図４は、本実施の形態２に適用するネットワーク端末装置２０の構成を示すブロック図である。なお、図４に示す構成において、上記図１に示した構成と同一の構成部分には、同一符号を付してその構成説明を省略する。

図４において、ネットワーク端末装置２０は、ネットワークＩ／Ｆ２と、パケットフィルタリング機能部２１と、ホストＣＰＵ（Central Processing Unit ）４と、ＣＰＵ周辺回路５と、ＲＡＭ（Random Access Memory）６と、物理アドレス記憶部２２Ａを有するＲＯＭ（Read Only Memory）２２と、から構成される。パケットフィルタリング機能部２１、ホストＣＰＵ４、ＣＰＵ周辺回路５、ＲＡＭ６及びＲＯＭ２２は、バス８を介して相互に接続されている。

パケットフィルタリング機能部２１は、送信パケットフィルタ部３Ａと、フィルタ条件記憶部３Ｂと、特定パケット抽出部３ｃを有する受信パケットフィルタ部３Ｃと、自アドレス認識部２１Ａと、から構成される。このパケットフィルタリング機能部２１は専用プロセッサにより構成される。

自アドレス認識部２１Ａは、物理アドレス記憶部２２Ａに格納されたアドレス情報を読み出すとともに、ネットワーク端末装置２０のＩＰアドレス把握のための後述する一連の通信シーケンスを始動する機能を有する。

ＲＯＭ２２は、主にホストＣＰＵ４の動作プログラムや静的設定値等を記憶する不揮発性メモリである。物理アドレス記憶部２２Ａは、ネットワーク端末装置２０固有の物理アドレス（例えば、Ｅｔｈｅｒｎｅｔ（登録商標）あればＭＡＣアドレス）を記憶する記憶領域である。

次に、図５は、図４のネットワーク端末装置２０が複数台接続されるネットワークシステムの構成を示す図である。

図５のネットワークシステム２００では、複数台のネットワーク端末装置２０がＬＡＮ（Local Area Network）１０１に接続され、ＬＡＮ１０１は外部ネットワーク１０３上の通信監視装置１０２に接続されている。また、外部ネットワーク１０３上にはアドレス管理サーバであるＤＨＣＰ（Dynamic Host Configuration Protocol ）サーバ２０１が接続されている。

次に、図５のネットワークシステム２００における動作について、図６に示すシーケンス図を参照して説明する。

図６において、特定のネットワーク端末装置２０がＬＡＮ１０１及び外部ネットワーク１０３を介して他の端末との通信を開始する（ステップＳ２０１）。この通信の開始をパケットフィルタリング機能部２１が検出すると、パケットフィルタリング機能部２１内の自アドレス認識部２１Ａは、図６に示すＩＰアドレス取得手順（１）又はＩＰアドレス取得手順（２）のいずれかの方法によって自ＩＰアドレスの確認を図る。

まず、ＩＰアドレス取得手順（１）について説明する。この場合、アドレス管理サーバ（ＤＨＣＰサーバ２０１）への問合せ処理である。

一般にＩＰネットワークでは、ネットワーク端末が属するネットワークにアドレス管理（発行）サーバが存在する場合、ネットワーク端末から特定のアドレス要求パケットをブロードキャストすることでアドレス情報の問合せが可能である。

ネットワーク端末装置２０内のパケットフィルタリング機能部２１は、自端末が属するブロードキャストドメイン（ローカルネットワークエリア：ＬＡＮ１０１）内にアドレス管理サーバ（ＤＨＣＰサーバ２０１）が存在することを想定して、自端末の物理アドレスに対応するＩＰアドレスの問い合わせパケットをブロードキャストして応答を待つ（ステップＳ２０２）。パケットフィルタリング機能部２１は、ネットワーク１０３上のＤＨＣＰサーバ２０１から応答が返信されれば、自端末のＩＰアドレスを認識する（ステップＳ２０３）。

パケットフィルタリング機能部２１内の自アドレス認識部２１Ａは、物理アドレス記憶部２２Ａから自端末の物理アドレス情報を得て、上記のような一連のＩＰアドレス問い合わせ処理を実行する。

次に、ＩＰアドレス取得手順（２）について説明する。この場合、アドレス解決サーバ（ＲＡＲＰ（Reverse Address Resolution Protocol ）サーバ）への問合せ処理である。

一般にＩＰネットワークでは、自端末のＩＰアドレスを物理アドレスを元に問合せることが可能なサーバ（ＲＡＲＰサーバ）が標準規格上で定義されている。ＲＡＲＰプロトコルとは、ＡＲＰ（Address Resolution Protocol ）プロトコルの逆で、自ノードのＭＡＣアドレスから自ノードのＩＰアドレスを求めるためのプロトコルである。

このＲＡＲＰプロトコルでは、自ノードのＭＡＣアドレスをブロードキャストドメイン（ローカルネットワークエリア：ＬＡＮ１０１）内にブロードキャストして問合せを行うと、ネットワーク上に存在するＲＡＲＰサーバ（この場合、通信監視装置１０２）が、そのノードのＩＰアドレスを返す仕組みになっている。

ネットワーク端末装置２０内のパケットフィルタリング機能部２１は、アドレス解決サーバであるＲＡＲＰサーバ（通信監視装置１０２）がネットワーク上に存在することを想定して、自端末の物理アドレス情報に対応するＩＰアドレスの問合せパケット（ＲＡＲＰ／ＩＡＲＰ（Inverse Address Resolution Protocol ）要求）をブロードキャストして問合せを待つ（ステップＳ２０４）。パケットフィルタリング機能部２１は、ネットワーク１０３上のＲＡＲＰサーバ（通信監視装置１０２）から応答（ＲＡＲＰ／ＩＡＲＰ応答）が返信されれば、自端末のＩＰアドレスを認識する（ステップＳ２０５）。

パケットフィルタリング機能部２１内の自アドレス認識部２１Ａは、物理アドレス記憶部２２Ａから自端末の物理アドレス情報を得て、上記のような一連のＩＰアドレス問い合わせ処理を実行して、応答されたＩＰアドレスを保持する（ステップＳ２０６）。

上記の手順を経て自端末のＩＰアドレスを認識したパケットフィルタリング機能部２１は、送信パケットのそれぞれに対して、送信元ＩＰアドレスが正しく設定されているか否かを判断する送信フィルタリング処理を開始する（ステップＳ２０７）。

送信パケットフィルタ部３Ａでは、送信パケットのそれぞれに対して保持された送信元ＩＰアドレスが正しく設定されているか否かにより送信可否が判断される。そして、送信可と判断された送出パケットは透過されてＬＡＮ１０１から外部ネットワーク１０３に送出される（ステップＳ２０８）また、送信元ＩＰアドレスとは異なるＩＰアドレスが見つかり送信不可と判断された送出パケットは、廃棄対象パケットとして廃棄され（ステップＳ２０９）、廃棄の旨がホストＣＰＵ４に通知される（ステップＳ２１０）。

以後、送信パケットフィルタ部３Ａでは、通信が継続している間は、上記ステップＳ２０８〜ステップＳ２１０と同様の処理が繰り返し実行される（ステップＳ２１１〜Ｓ２１３）。その後、パケットフィルタリング機能部２１は、通信の終了に合わせてフィルタリング処理の停止、自ＩＰアドレス認識の破棄を行う。

通信終了の認識は、パケットフィルタリング機能部２１における自律認識とする。また、通信終了の定義としては、ＴＣＰセッションの終了、あるいはＥｔｈｅｒｎｅｔ（登録商標）レイヤでのリンク断等である。

以上のように、本実施の形態２のネットワーク端末装置及びネットワークシステムによれば、ホストＣＰＵとは別の専用プロセッサによるパケットフィルタリング機能部を設け、通信開始後に自端末の物理アドレス情報に対応するＩＰアドレスをネットワーク上のアドレス管理サーバ（ＤＨＣＰサーバ）又はＲＡＲＰサーバ（通信監視装置１０２）に問合せて送信元ＩＰアドレスを認識し、送信パケットそれぞれに対して正しいＩＰアドレスが設定されているか否かを判断して、送信パケットの透過又は廃棄を行い、パケット廃棄をホストＣＰＵに通知するようにした。このため、送信パケットに対して適正なフィルタリング処理を実行することが可能になり、ホストＣＰＵの自律的な回復を促すことができ、ＤＤｏＳ攻撃等を未然に防止することができる。

また、本実施の形態２のネットワーク端末装置では、自端末の物理アドレス情報に対応するＩＰアドレスをネットワーク上のアドレス管理サーバ（ＤＨＣＰサーバ）又はＲＡＲＰサーバ（通信監視装置１０２）に問合せて送信元ＩＰアドレスを認識するようにしたため、ユーザが故意にローカルエリア内の機密情報を漏洩しようとする行為（悪意のあるユーザがパケット送信元を改竄してネットワークを不正に利用する行為）を未然に防止することができる。

なお、上記実施の形態２では、自アドレス認識部において２つの方法のＩＰアドレス取得手順（１）（２）を実行する場合を示したが、これら以外の方法でもよい。例えば、ＩＰｖ６（Internet Protocol Version 6 ）通信を想定した場合、近隣発見プロトコル（ＮＤＰ（Neighbor Discovery Protocol ）プロトコル）等の使用によりＩＰアドレスを認識するようにしてもよい。

本発明は、フィルタリング条件により送信パケットの送信可否を判断するとともに、送信パケットの送信元アドレスを検閲する送信パケットフィルタリング機能を、通信機能を司るホストプロセッサとは別の専用プロセッサに設けて、送信パケットに対して適正なフィルタリング処理を実行可能とし、ＤＤｏＳ攻撃等を未然に防止することを可能にする点でネットワーク端末装置等に有用である。

本発明の実施の形態１に係るネットワーク端末装置の構成を示すブロック図本実施の形態１に係るネットワークシステムの構成を示す図本実施の形態１に係るネットワークシステムの動作を示すシーケンス図本発明の実施の形態２に係るネットワーク端末装置の構成を示すブロック図本実施の形態２に係るネットワークシステムの構成を示す図本実施の形態２に係るネットワークシステムの動作を示すシーケンス図

符号の説明

１、２０ネットワーク端末装置
２ネットワークＩ／Ｆ
３パケットフィルタリング機能部
３Ａ送信パケットフィルタ部
３Ｂフィルタ条件記憶部
３Ｃ受信パケットフィルタ部
３ｃ特定パケット抽出部
３Ｄ状態監視通知部
４ホストＣＰＵ
５ＣＰＵ周辺回路
６ＲＡＭ
７、２２ＲＯＭ
８バス
１００、２００ネットワークシステム
１０１ＬＡＮ
１０２通信監視装置
１０３外部ネットワーク
２１Ａ自アドレス認識部
２２Ａ物理アドレス記憶部

Claims

通信処理を行うホストプロセッサと、送信パケットのフィルタリング処理を行う専用プロセッサとを有するネットワーク端末装置と、
前記ネットワーク端末装置が接続されるローカルエリアネットワークと外部ネットワークとを結ぶ中継点に配置されて通信パケットの異常状態を検出する通信監視装置と、
を具備するネットワークシステムにおいて、
前記通信監視装置は、
前記ネットワーク端末装置で利用されるフィルタリング条件を記憶した記憶手段と、
前記異常状態を検出した場合にフィルタリング処理を開始させるイネーブル信号と前記フィルタリング条件とを前記ネットワーク端末装置へ送信する手段と、
を有し、
前記ネットワーク端末装置の前記専用プロセッサは、
フィルタリング条件を記憶するフィルタ条件記憶手段と、
イネーブル状態のときに、前記フィルタ条件記憶手段に記憶されたフィルタリング条件を参照して前記送信パケットの送信可否を判断して送信不可パケットの廃棄を行うとともに、当該送信不可パケットの廃棄を前記ホストプロセッサに通知する送信パケットフィルタ処理手段と、
を有し、
前記ネットワーク端末装置の前記ホストプロセッサは、
前記専用プロセッサから通知される前記送信パケットフィルタ処理手段の動作状態を報知するフィルタ動作状態報知手段を具備し、
前記通信監視装置から前記フィルタリング条件と前記イネーブル信号を受信した場合に、前記フィルタリング条件を前記専用プロセッサへ通知して前記フィルタ条件記憶手段へ記憶させるとともに、前記送信パケットフィルタ処理手段をイネーブル状態にする一方、
前記送信パケットフィルタ処理手段をイネーブル状態にした後、前記パケット廃棄の通知が所定時間ない場合に、前記送信パケットフィルタ処理手段の前記イネーブル状態を解除する
ネットワークシステム。