JP6111067B2 - 通信制御装置、通信制御方法、及びプログラム - Google Patents

Description

本発明は、特定のサーバ装置へのアクセスを制御する通信制御装置、通信制御方法、及びプログラムに関する。

パソコンなどの端末（通信装置）から、通信ネットワークを介してサーバ装置に接続して、サーバ装置が提供する各種通信サービスを利用可能とする通信システムが構築されている。通信ネットワークに接続される各装置は、それぞれ付与されたアドレス情報に基づいて識別される。ただし、ユーザーがアドレス情報を直接指定する場合は少なく、多くの場合、アドレス情報に代えてUniform Resource Locator（ＵＲＬ）情報などによって指定している。このように、ＵＲＬ情報を指定するだけで、対応するサーバ装置に容易に接続できる。
その通信システムにおける通信サービスの安全性を高めるため、必要に応じて特定のサーバ装置にアクセスすることを制限するなどの各種対策がそれぞれ講じられている（例えば、特許文献１参照）。特許文献１によれば、通信を中継するプロキシ装置（HTTP Proxy）のアクセスコントロール機能により、特定のサーバ装置（悪性ホスト）へのアクセスを制限する技術が示されている。上記のアクセスコントロール機能は、特定のＵＲＬに対するアクセスを制限する機能であり、アクセスを制限する対象のＵＲＬのＵＲＬ情報に基づいて、特定のＵＲＬに対する通信を制御する。アクセスを制限する対象を示すＵＲＬ情報は、アクセス制限リストとして記憶されており、プロキシ装置は、アクセス制限リストとして記憶されているＵＲＬ情報に基づいて、当該ＵＲＬ情報に対応するサーバ装置に対する通信を遮断する。

特開２０１２−５２２２９５号公報

しかしながら、各種対策をそれぞれ講じても、通信装置がマルウェアに侵される場合が生じうる。マルウェアには、コンピュータウイルスやワームなどが含まれる。例えば、特定のサーバ装置（悪性ホスト）がマルウェアを保持している場合がある。サーバ装置がマルウェアを保持していることを知らずにアクセスしてしまうと、通信装置は、サーバ装置のマルウェアに侵される。このようなマルウェアの配信元となりうる悪性ホストへのアクセスを制限する技術が、例えば、特許文献１に示されている。この特許文献１の技術を適用した通信システムにおいては、プロキシ装置のアクセスコントロール機能の有効性は、アクセス制限リストに記憶された情報の良否によって左右される。それゆえ、このアクセス制限リストは、安全に通信可能な範囲を定めるものであるがゆえ、通信システムにおける重要な情報（構成情報）として扱われている。

このようにアクセス制限リストは、重要な情報として扱われるため、自動で逐次更新するように運用している場合は少なく、アクセス制限リストに追加することが望ましいという情報の要否をシステム管理者が判定し、その判定結果に応じて当該情報をアクセス制限リストに反映する場合が多い。そのため、アクセス制限リストが更新されるまでの間は、更新前のアクセス制限リストに基づいてアクセスを制限することから、新たに追加された制限対象の装置に対するアクセスを制限できない状況が生じてしまう。
このように、通信を中継するプロキシ装置のアクセスコントロール機能による対策を講じても、アクセス制限リストを更新するまでの間に制限対象の装置へのアクセスを許してしまい、端末（通信装置）がウィルスなどに感染することを防ぐことができなかった。

本発明は、このような状況に鑑みてなされたもので、特定のサーバ装置へのアクセスを制御することができる通信制御装置、通信制御方法、及びプログラムを提供する。

上述した課題を解決するために、本発明の一態様は、名前解決を要求する通信装置から、名前解決を実施する名前解決装置に対して送出された名前解決を要求するメッセージが前記名前解決装置と通信可能な経路上の観測ポイントを通過して、前記観測ポイントにおいて前記名前解決を要求するメッセージからコピーされたメッセージを検出し、前記検出したメッセージに、予め定められている所定の情報が含まれていることを検出した場合に、前記名前解決を要求するメッセージに対する応答であって、前記名前解決装置が送出する応答メッセージとは異なる擬似応答メッセージを、前記メッセージの検出から予め定められた時間の範囲に収まるように前記擬似応答メッセージを生成し、前記名前解決を要求するメッセージに対する前記名前解決装置からの応答メッセージが前記通信装置に到来する前に前記擬似応答メッセージが前記通信装置に届くように、前記生成した擬似応答メッセージを前記通信装置に対して送出させて、前記通信装置における名前解決を要求する処理を前記擬似応答メッセージの内容に従って完了させる制御部を備えることを特徴とする通信制御装置である。

また、本発明の一態様は、上記の通信制御装置において、前記制御部は、前記検出したメッセージに、予め定められている所定のドメイン名を示す文字列が含まれたＤＮＳクエリを検出した場合に、前記検出したＤＮＳクエリに応じて前記名前解決装置が応答する接続先とは異なる接続先を解とする前記擬似応答メッセージを生成し、前記生成した擬似応答メッセージを前記通信装置に対して送出させて、前記通信装置における前記名前解決を要求する処理を前記擬似応答メッセージの内容に従って完了させることを特徴とする。

また、本発明の一態様は、上記の通信制御装置において、前記擬似応答メッセージには、前記名前解決装置が応答する接続先とは異なる接続先に接続されたことを示す情報を前記通信装置に送信して当該情報を前記通信装置に表示させる装置のアドレス情報が、前記検出したＤＮＳクエリの解として含まれていることを特徴とする。
また、本発明の一態様は、上記の通信制御装置において、前記制御部は、前記名前解決を要求するメッセージを検出するための検出条件が複数に分割され、前記分割された検出条件に対応する前記予め定められている所定の情報を検出する、ことを特徴とする。

また、本発明の一態様は、名前解決を要求する通信装置から、名前解決を実施する名前解決装置に対して送出された名前解決を要求するメッセージが前記名前解決装置と通信可能な経路上の観測ポイントを通過して、前記観測ポイントにおいて前記名前解決を要求するメッセージからコピーされたメッセージを検出するステップと、前記検出したメッセージに、予め定められている所定の情報が含まれているか否かを判定するステップと、前記検出したメッセージに、予め定められている所定の情報が含まれていることを検出した場合に、前記名前解決を要求するメッセージに対する応答であって、前記名前解決装置が送出する応答メッセージとは異なる擬似応答メッセージを、前記メッセージの検出から予め定められた時間の範囲に収まるように前記擬似応答メッセージを生成し、前記名前解決を要求するメッセージに対する前記名前解決装置からの応答メッセージが前記通信装置に到来する前に前記擬似応答メッセージが前記通信装置に届くように、前記生成した擬似応答メッセージを前記通信装置に対して送出させて、前記通信装置における名前解決を要求する処理を前記擬似応答メッセージの内容に従って完了させるステップと、を備えることを特徴とする通信制御方法である。

また、本発明の一態様は、通信制御装置のコンピュータに、名前解決を要求する通信装置から、名前解決を実施する名前解決装置に対して送出された名前解決を要求するメッセージが前記名前解決装置と通信可能な経路上の観測ポイントを通過して、前記観測ポイントにおいて前記名前解決を要求するメッセージからコピーされたメッセージを検出するステップと、前記検出したメッセージに、予め定められている所定の情報が含まれているか否かを判定するステップと、前記検出したメッセージに、予め定められている所定の情報が含まれていることを検出した場合に、前記名前解決を要求するメッセージに対する応答であって、前記名前解決装置が送出する応答メッセージとは異なる擬似応答メッセージを、前記メッセージの検出から予め定められた時間の範囲に収まるように前記擬似応答メッセージを生成し、前記名前解決を要求するメッセージに対する前記名前解決装置からの応答メッセージが前記通信装置に到来する前に前記擬似応答メッセージが前記通信装置に届くように、前記生成した擬似応答メッセージを前記通信装置に対して送出させて、前記通信装置における名前解決を要求する処理を前記擬似応答メッセージの内容に従って完了させるステップと、を実行させるためのプログラムである。

以上説明したように、本発明によれば、特定のサーバ装置へのアクセスを制御することができる。

本発明の実施形態による通信システムの構成を示す概略ブロック図である。 本実施形態による通信制御装置の構成を示す概略ブロック図である。 名前解決の処理のシーケンス図である。 本実施形態の通信制御処理のシーケンス図である。 本実施形態の擬似応答メッセージを示す説明図である。 本実施形態における通信制御処理のフローチャートである。 本実施形態における名前解決を要求する処理を擬似応答メッセージの内容に従って完了させる処理を示すフローチャートである。 本実施形態におけるサーバ装置４００の情報提供処理を示すフローチャートである。

以下、本発明の一実施形態について、図面を参照して説明する。

図１は、本実施形態による通信システムの概略構成図である。
この図１に示される通信システム１は、通信装置１００、ＤＮＳ装置２００、通信制御装置３００、サーバ装置４００、ファイヤウォール（ＦＷ）５００、６００、プロキシ装置９００を備える。通信システム１における名前解決について、ＤＮＳ（Domain Name System）を例に挙げて説明する（詳細は、ＲＦＣ１０３４，ＲＦＣ１０３５などを参照する）。本実施形態におけるＤＮＳは、ＤＮＳ装置２００とＤＮＳ装置７００などの複数のＤＮＳサーバから構成される。なお、ＤＮＳ装置７００は、ＤＮＳにおける下位のＤＮＳ装置２００からの名前解決の要求に応じるＤＮＳサーバである。
サーバ装置８００は、一般に公開されているサーバである。

通信装置１００、ＤＮＳ装置２００、通信制御装置３００、サーバ装置４００、ファイヤウォール５００、６００、ＤＮＳ装置７００、サーバ装置８００、プロキシ装置９００は、図示されないルータやＬ２（Ｌ３）スイッチ、ＨＵＢ（ハブ）などの通信ノードを含む通信ネットワークを介して所定の通信が行えるように接続されている。
ファイヤウォール５００、６００は、通信ネットワークをセキュリティレベルの異なる３つの領域に分ける。その３つの領域は、領域Ｚ１（内部環境の領域）、領域Ｚ３（外部環境の領域）、領域Ｚ２（ＤＭＺ）である。このように領域を分けることにより、領域Ｚ１に配される装置と領域Ｚ３に配される装置とが、直接通信できないようにする。通信装置１００とサーバ装置４００は、ファイヤウォール５００によって分けられた領域Ｚ１に配されている。ＤＮＳ装置７００、サーバ装置８００は、ファイヤウォール６００によって分けられた領域Ｚ３に配されている。ＤＮＳ装置２００、通信制御装置３００、プロキシ装置９００は、ファイヤウォール５００、６００によって分けられた領域Ｚ２に配されている。

プロキシ装置９００は、領域Ｚ１に配された通信装置１００と、領域Ｚ３に配されるサーバ装置８００などの各サーバ装置との間で、予め定められたプロトコルの通信を中継する。例えば、予め定められた所定のプロトコルがＨＴＴＰ（Hypertext Transfer Protocol））である場合、プロキシ装置９００は、ＨＴＴＰによる通信を中継し、領域Ｚ１に配された装置と領域Ｚ３に配された装置との間で、ＨＴＴＰによる通信を可能とする。その際、プロキシ装置９００は、アクセス制限リストに基づいたアクセス制限を実施して、アクセス制限リストにない宛先に対する通信を許可するようにしてもよい。
プロキシ装置９００は、通信装置１００から名前解決を要求するメッセージ（ＤＮＳクエリ）を受信した場合、そのＤＮＳクエリをＤＮＳ装置２００に転送する。また、そのＤＮＳクエリに対するレスポンスを受信した場合、そのレスポンスを通信装置１００に転送する。

通信装置１００は、各種サーバ装置と通信を行う。通信装置１００は、各種サーバ装置のうち領域Ｚ３に配される各サーバ装置（例えば、サーバ装置８００）と通信する場合には、プロキシ装置９００を介して通信する。通信装置１００は、必要に応じて、ＤＮＳ装置２００に対して特定のサーバ装置の名前解決を要求するリクエストを送信し、ＤＮＳ装置２００からリクエストに対するレスポンスを受信する。受信するレスポンスには、要求した名前解決に対する解としてのアドレス情報が含まれる。通信装置１００は、要求した名前解決に対する解を得て、解として得たアドレス情報に基づいて、上記の特定のサーバ装置に対する通信を開始する。

ＤＮＳ装置２００は、通信装置１００からの名前解決の要求に応じるＤＮＳサーバである。ＤＮＳ装置２００、ＤＮＳ装置７００は、ＤＮＳキャッシュサーバとしての機能を備えるものとする。

サーバ装置４００は、通信の接続先がサーバ装置４００に変更されたことにより、サーバ装置４００に接続されたことを示す情報を通信装置１００に送信して、その情報を通信装置１００において表示させる。なお、本実施形態において、通信の接続先がサーバ装置４００に変更されたことを換言すれば、通信装置１００が発したＤＮＳクエリに応じてＤＮＳ装置２００が応答する接続先とは異なる接続先が、通信制御装置３００から出力される擬似応答メッセージにより指示されたこととして示すことができる。
サーバ装置４００は、通信の安全性が担保された装置として利用できるように、セキュリティ性を高めるように構成されている。このようなサーバ装置４００は、通信の安全性が担保されているとみなすことができる。以下の説明においては、例えば、サーバ装置４００は、Ｗｅｂサーバであって、サーバ装置４００に接続された各通信装置からの要求に応じて、例えば、ＨＴＭＬ（HyperText Markup Language）で記述した情報を、当該通信装置に対し送信する。例えば、サーバ装置４００は、当該通信装置に表示させる情報として、以下のような情報を当該通信装置に対して送信する。
「通信を試みたＸＸ装置は、接続が禁止されている装置です。そのため、通信を試みた装置に接続するができません。この案内は、通信の安全が確保されている○○装置から提供しております。」このような表示をユーザーが視認することにより、ユーザーが要求した通信先に接続されず、安全なサーバに接続されていると判断することができる。

通信制御装置３００は、領域Ｚ３に配されるサーバ装置８００などの各サーバ装置に対する通信を制御する。
図２は、本実施形態による通信制御装置の概略構成図である。この図２には、通信制御装置３００と、通信制御装置３００が接続される通信ノード３５０と、通信装置１００と、ＤＮＳ装置２００との接続が模式的示されている。この図２においては、ファイヤウォール５００、６００、プロキシ装置９００などの一部の装置の記載を省略する。通信ノード３５０は、通信装置１００とＤＮＳ装置２００との通信を中継するとともに、当該通信を通信制御装置３００からモニタできるように、通信装置１００とＤＮＳ装置２００との通信に係る何れかの通信ポートをミラーリングするように設定されている。

通信制御装置３００は、通信処理部３１０、記憶部３２０、制御部３３０を備える。
通信処理部３１０は、名前解決を要求する通信装置１００から、ＤＮＳ装置２００（名前解決を実施する名前解決装置）に対して送出される情報を含むフレームを検出する。通信処理部３１０は、通信ネットワークを介して通信装置１００と通信する。なお、通信制御装置３００を通信ノード３５０を介して通信ネットワークに接続して稼働させる場合に、通信装置１００とＤＮＳ装置２００との間の物理的な通信経路を変更することなく通信装置１００と通信できる。
通信処理部３１０は、例えば、リンク層(データリンク層)のプロトコルにＭＡＣ（media access control）、インターネット層（ネットワーク層）のプロトコルにＩＰ（Internet Protocol）、トランスポート層のプロトコルにＵＤＰ（User Datagram Protocol）を適用したフレームの送受信を可能とする。通信処理部３１０は、例えば、ＩＥＥＥ８０２．３などの規格に準じた少なくとも１つの通信ポートを備える。通信処理部３１０は、この通信ポートを介して通信ネットワークに接続して、通信装置１００からＤＮＳ装置２００に対する通信を、フレーム（又はＩＰパケット）を単位として検出する。通信処理部３１０は、フレームヘッダー、ＩＰパケットヘッダー、ＵＤＰパケットヘッダーの各種情報を検出し、検出した情報を制御部３３０に供給する。通信処理部３１０は、検出したフレームに含まれるＵＤＰパケットのペイロード部の情報を制御部３３０に供給する。また、通信処理部３１０は、制御部３３０から供給される情報を含むフレームを、制御部３３０からの指示に応じて生成して送出する。

記憶部３２０は、半導体メモリー等を備えて構成され、通信制御装置３００の各部に当該各部の処理を実行させるためのプログラムや各種情報を記憶する。記憶部３２０は、誘導先情報記憶部３２２、ＤＮＳアドレス情報記憶部３２４、検出対象情報記憶部３２６を備える。
誘導先情報記憶部３２２は、アクセス制限を実施する通信を検出した場合に、当該通信の接続先として指定する装置のアドレス情報（ＩＰアドレス）を記憶する。
ＤＮＳアドレス情報記憶部３２４は、一般に公開されているＤＮＳ装置（ＤＮＳ装置７００など）のアドレス情報を記憶する。
検出対象情報記憶部３２６は、通信処理部３１０が検出したフレームに含まれる検出対象とする所定の情報を記憶する。当該所定の情報は、予め定められているものとする。例えば、当該所定の情報は、アクセスを禁止する装置に係る情報として、所定のドメイン名を示す文字列の情報又は予め定められている文字列の情報、ＤＮＳクエリに含まれるビットパターンなどの情報などを含む。

制御部３３０は、通信処理部３１０が検出したフレーム（又はＩＰパケット等）に含まれる情報から、通信装置１００からＤＮＳ装置２００に対して送出される名前解決を要求するメッセージを検出する。制御部３３０は、ヘッダ情報検出部３３２、判定処理部３３４、及び通信処理制御部３３６を備える。

ヘッダ情報検出部３３２は、通信処理部３１０が検出したフレームに含まれるＩＰパケットのヘッダ情報から送信元アドレス（ＳＡ）と宛先アドレス（ＤＡ）のアドレス情報を取得する。ヘッダ情報検出部３３２は、ＩＰパケットに含まれるＵＤＰパケットから、ＤＮＳ装置２００（名前解決装置）宛のポート番号を取得する。ヘッダ情報検出部３３２は、ＵＤＰパケットに含まれるメッセージにおいて、予め定められている所定の情報を検出する。予め定められている所定の情報は、例えば、検出したメッセージがＤＮＳクエリのリクエストであるかレスポンスであるか否かを示す情報であってもよい。

判定処理部３３４は、検出したフレーム（又はＩＰパケット等）に含まれる情報に、予め定められている所定の情報が含まれているか否かを判定する。例えば、判定処理部３３４は、通信処理部３１０が検出したフレームに含まれるＩＰパケットのヘッダ情報の宛先アドレス（ＤＡ）のアドレス情報がＤＮＳ装置２００であるか否かを判定する。判定処理部３３４は、ヘッダ情報検出部３３２が検出したフレーム（又はＩＰパケット等）に含まれるＵＤＰパケットから、ＤＮＳ装置２００（名前解決装置）宛のポート番号が設定されているか否かを判定する。判定処理部３３４は、ヘッダ情報検出部３３２が検出したフレーム（又はＩＰパケット等）に含まれる情報に、予め定められている所定の情報が含まれているか否かを判定する。
通信処理制御部３３６は、通信処理部３１０が検出したフレーム（又はＩＰパケット等）において、予め定められている所定の情報が含まれていることを検出した場合に、通信装置１００におけるＤＮＳ装置２００に対して要求している名前解決を要求する処理を擬似応答メッセージの内容に従って完了させる。なお、予め定められている所定の情報は、検出対象情報記憶部３２６に記憶されている情報のうちの何れかの情報とする。また、上記の擬似応答メッセージは、検出したＤＮＳ装置２００へのリクエストに対する応答であって、ＤＮＳ装置２００が上記リクエストに対して応答する応答メッセージと異なるものである。

上記のように名前解決を要求する処理を擬似応答メッセージの内容に従って完了させる場合について説明する。例えば、通信処理制御部３３６は、検出したメッセージにおいて、予め定められている所定のドメイン名を示す文字列が含まれたＤＮＳクエリを検出したと判定処理部３３４が判定した場合に、ヘッダ情報検出部３３２が検出したメッセージに含まれるＤＮＳクエリに応じた擬似応答メッセージを生成する。この擬似応答メッセージは、記憶部３２０（誘導先情報記憶部３２２）に記憶されている通信の安全性が担保された装置のアドレス情報をＤＮＳクエリの解として含むものとする。なお、通信処理制御部３３６は、この擬似応答メッセージを生成する際には、検出したＤＮＳクエリに応じた応答メッセージを通信装置１００がＤＮＳ装置２００から受信する前に、上記の擬似応答メッセージを通信装置１００が受信するように、ＤＮＳクエリの検出から擬似応答メッセージの生成まで時間を、予め定められた時間の範囲に収まるように生成する。例えば、予め定められた時間は、ＤＮＳ装置２００がＤＮＳクエリに対して応答するまでの応答時間とする。通信処理制御部３３６は、生成した擬似応答メッセージを通信装置１００に対して送出させて、通信装置１００における名前解決を要求する処理を擬似応答メッセージの内容に従って完了させる。
なお、上記の変形例として、例えば、通信処理制御部３３６は、検出したメッセージにおいて、予め定められている文字列と一致する文字列の情報を検出した場合に、名前解決を要求する処理を擬似応答メッセージの内容に従って完了させる条件としてもよい。

以下の説明においては、通信装置１００は、サーバ装置８００に対する通信を開始するために、ＤＮＳ装置２００に対して名前解決を要求する場合を例に挙げて説明する。以下の説明において、ファイヤウォール５００、６００、プロキシ装置９００、通信ノード３５０などの一部の装置が実施する処理を省略する場合がある。

（原理の説明）
図３から図４を参照して、本実施形態の名前解決の処理について説明する。
最初に、本実施形態の説明に先立って、ＤＮＳによる一般的な名前解決の処理について説明する。
図３は、名前解決の処理のシーケンス図である。この図３には、通信装置１００がＤＮＳ装置２００に対して要求する名前解決の処理の流れが示されている。ＤＮＳによる名前解決の処理において、次の２つのステップが順に実施される。

（１）通信装置１００が、サーバ装置８００に対する通信を開始する要求に起因して、通信装置１００からＤＮＳ装置２００へのリクエスト（名前解決を要求するメッセージＭ１１）を送信するステップ。
（２）通信装置１００が、ＤＮＳ装置２００から上記リクエスト（メッセージＭ１１）に応じたレスポンス（応答メッセージＭ１２）を受信するステップ。

このように、ＤＮＳによる名前解決の処理においては、通信装置１００からＤＮＳ装置２００に送信するリクエスト（メッセージＭ１１）と、ＤＮＳ装置２００からのレスポンス（応答メッセージＭ１２）とが対になっている。通信装置１００は、サーバ装置８００に対する通信を開始する要求に起因して、名前解決を要求する処理Ｐｒｏｃ１１０Ａを開始する。通信装置１００は、ＤＮＳ装置２００からのレスポンス（応答メッセージＭ１２）を受信して、名前解決を要求する処理Ｐｒｏｃ１１０Ａを終了する。これにより、通信装置１００は、ＤＮＳ装置２００からのレスポンス（応答メッセージＭ１２）に応じて、サーバ装置８００に対する通信を開始する。このように、通信装置１００は、名前解決を要求する処理Ｐｒｏｃ１１０Ａを正常に終了しており、アクセス制限を実施すべき対象のサーバ装置８００にアクセスしてしまう。
以上に示すように、ＤＮＳ装置２００のアクセス制御リストのメンテナンスが不完全な状況では、アクセス制限を行いたいサーバ装置８００に対する通信を許可してしまうことがわかる。

また、以上の通信処理の過程で、ＤＮＳ装置２００は、通信装置１００からのリクエスト（メッセージＭ１１）に応じて名前解決処理Ｐｒｏｃ２００を実施して、名前解決処理Ｐｒｏｃ２００の結果をＤＮＳ装置２００からのレスポンス（応答メッセージＭ１２）に含めて生成する。ＤＮＳ装置２００は、生成した応答メッセージＭ１２からなるレスポンスを通信装置１００に送出して、名前解決処理Ｐｒｏｃ２００を終了させる。
なお、ＤＮＳ装置２００は、リクエスト（メッセージＭ１１）に対する解を保持していない場合には、さらに上位のＤＮＳ装置（例えば、ＤＮＳ装置７００）に対する問い合わせを行う。このように、各ＤＮＳ装置は、階層的に配置され、必要に応じて、より上位のＤＮＳ装置に対して問い合わせるように多層化されている。そのため、ＤＮＳ装置２００がリクエスト（メッセージＭ１１）の解を保持していない場合には、上位のＤＮＳ装置に対して順次問い合わせ処理を実施することから、名前解決処理Ｐｒｏｃ２００の時間が長くなる。要するに、通信装置１００がリクエスト（メッセージＭ１１）を送出してから、通信装置１００がレスポンス（応答メッセージＭ１２）を受信するまでの応答時間が長くなり、通信装置１００における名前解決を要求する処理Ｐｒｏｃ１１０Ａの時間も長くなる。
一方、通信装置１００がリクエスト（メッセージＭ１１）を送出してから、通信装置１００がレスポンス（応答メッセージＭ１２）を受信するまでの応答時間が最も短くなる場合は、通信装置１００からネットワーク的に近いＤＮＳ装置２００が、解であるアドレス情報を保持している場合である。このような場合には、ＤＮＳ装置２００における名前解決処理Ｐｒｏｃ２００の時間が、解を保持していない場合に比べて比較的短くなり、それに応じて、通信装置１００における名前解決を要求する処理Ｐｒｏｃ１１０Ａの時間も比較的短くなる。

なお、通信装置１００は、ＤＮＳ装置２００が送信するレスポンスを受信するまでに、真のレスポンスを模した疑似レスポンスを受信した場合に、受信した疑似レスポンスが所定の条件を満たすものであれば、すでにＤＮＳ装置２００に要求している名前解決を要求する処理を終了（完了）する。
ここで、上記の通信装置１００の動作に基づいた、本実施形態の通信制御処理について説明する。
図４は、本実施形態の通信制御処理のシーケンス図である。この図４には、図３と同様の条件で通信装置１００がＤＮＳ装置２００に対して要求する名前解決の処理の流れが示されている。通信装置１００、ＤＮＳ装置２００、サーバ装置８００は、図３の場合と同様のものとする。図４には、本実施形態の通信制御装置３００、サーバ装置４００が追加されている。以下、図３と異なる点を中心に説明を行う。

通信装置１００が送出したＤＮＳ装置２００へのリクエスト（名前解決を要求するメッセージＭ１１）は、通信ノード３５０にてコピーされてメッセージＭ１１’として通信制御装置３００に届く。通信制御装置３００は、検出対象のメッセージＭ１１’として受信して、判定処理Ｐｒｏｃ３００を開始する。
通信制御装置３００は、判定の結果、アクセス制限の対象とする名前解決を要求するメッセージであると認定し、疑似レスポンス（擬似応答メッセージＭ１３）を通信ノード３５０を介して通信装置１００に送出する。
通信装置１００は、通信制御装置３００からの疑似レスポンス（擬似応答メッセージＭ１３）を受信して、あたかも真のレスポンス(応答メッセージＭ１２)を受信したかのように、名前解決を要求する処理Ｐｒｏｃ１１０を終了（完了）する。
一方で、ＤＮＳ装置２００は、図３と同様にレスポンス（応答メッセージＭ１２）を通信装置１００に対して送出する。ただし、通信装置１００は、ＤＮＳ装置２００からのレスポンス（応答メッセージＭ１２）を受信する前に、すでに名前解決を要求する処理Ｐｒｏｃ１１０を終了（完了）している。そのため、通信装置１００は、レスポンス（応答メッセージＭ１２）を不要な情報と判断して破棄する。通信装置１００は、上記のように処理することにより、サーバ装置８００に対する通信を開始するためのアドレス情報を受信せずに済む。
このように、通信装置１００は、名前解決を要求する処理Ｐｒｏｃ１１０を正常に終了していながら、アクセス制限を必要とするサーバ装置８００への通信が規制されて、アクセスが制限された状態になる。

さらに、通信制御装置３００は、通信装置１００に受信させる疑似レスポンス(擬似応答メッセージＭ１３)に、通信装置１００の通信先を所望の装置に誘導させる情報を設定することができる。例えば、通信制御装置３００は、通信装置１００の通信先を誘導する所望の装置のアドレス情報を前述の名前解決の要求に対する解として含ませた擬似応答メッセージＭ１３にする。ここでは、通信装置１００の通信先を誘導する所望の装置をサーバ装置４００とする。
これにより、擬似応答メッセージＭ１３に従って通信を開始する通信装置１００は、擬似応答メッセージＭ１３に含まれたアドレス情報に応じて、サーバ装置４００との通信を開始する（メッセージＭ１５）。サーバ装置４００は、通信装置１００からの要求に応じて、例えば、通信先の変更を示す情報を送信する処理（Ｐｒｏｃ４００）を実施する。その結果、サーバ装置４００からの情報をメッセージＭ１６として受信する。

（擬似応答メッセージ）
次に図５を参照して、擬似応答メッセージの例について示す。
図５は、擬似応答メッセージを示す説明図である。この図５に示されるように、受信するＤＮＳクエリと、ＤＮＳクエリに対する疑似レスポンスのいずれもが、ＵＤＰパケットをカプセル化したＩＰパケットとして形成される。
図５（ａ）は、受信したＤＮＳクエリを含むメッセージＭ１１’を示し、図５（ｂ）は、ＤＮＳクエリに対する疑似レスポンス含む擬似応答メッセージＭ１３を示す。
擬似応答メッセージＭ１３の生成に当たり、ＩＰアドレスについては、受信したメッセージＭ１１’のＩＰヘッダに含まれる送信元アドレス（ＳＡ）と宛先アドレス（ＤＡ）を入れ替えて、擬似応答メッセージＭ１３のＩＰヘッダに含まれる送信元アドレス（ＳＡ）と宛先アドレス（ＤＡ）にする。
ＵＤＰのポート番号については、受信したメッセージＭ１１’のＵＤＰヘッダに含まれる送信元ポート番号をコピーして、擬似応答メッセージＭ１３のＵＤＰヘッダに含まれる宛先ポート番号にする。擬似応答メッセージＭ１３のＵＤＰヘッダに含まれる送信元ポート番号は、例えば、既定の番号（「５３」）にする。
ＤＮＳクエリの識別番号（ＩＤ）については、受信したメッセージＭ１１’のＤＮＳクエリの識別番号（ＩＤ）をコピーして、擬似応答メッセージＭ１３のＤＮＳクエリに対するレスポンスの識別番号（ＩＤ）にする。
ＤＮＳクエリに対する解は、例えば、記憶部３２０に記憶されている通信の安全性が担保された装置（例えば、サーバ装置４００など）のアドレス情報（ＩＰアドレス）にする。
上記の説明ではチェックサムなどについての説明を省略しているが、一般的な手法に準じて生成したものを充当する。

（通信制御処理）
次に、本実施形態における通信制御処理について説明する。本実施形態における通信制御処理は、次のステップに大別される。
（１）検出したフレームに含まれるＤＮＳ装置２００へのリクエストをモニタするステップ。
（２）ＤＮＳ装置２００へのリクエストのうちから、アクセス制限の対象となるホスト（例えば、サーバ装置８００）の名前解決のリクエストであることを検出するステップ。
（３）アクセス制限の対象となるホスト（例えば、サーバ装置８００）の名前解決のリクエストだった場合に、ＤＮＳ装置２００に対する名前解決のリクエストの処理を通信装置１００において擬似応答メッセージの内容に従って完了させるステップ。

以下、図６を参照して、本実施形態における通信制御処理の一例を、上記ステップに対応させて説明する。図６は、本実施形態における通信制御処理のフローチャートである。

（検出したフレームに含まれるＤＮＳ装置２００へのリクエストをモニタするステップ）
通信装置１００からＤＮＳ装置２００に対して送出されるフレームを、通信処理部３１０が検出する。
通信処理部３１０が検出したフレームに含まれるＩＰパケットのヘッダ情報から送信元アドレス（ＳＡ）と宛先アドレス（ＤＡ）のアドレス情報を、制御部３３０のヘッダ情報検出部３３２が取得する（ステップＳ１０）。
通信処理部３１０が検出したフレーム（ＩＰパケット）に含まれるＵＤＰパケットから、ＤＮＳ装置２００（名前解決装置）宛のポート番号を、ヘッダ情報検出部３３２が取得する（ステップＳ２０）。
ヘッダ情報検出部３３２は、検出したＵＤＰパケットに含まれるメッセージにおいて、予め定められている所定の情報を検出する（ステップＳ３０）。予め定められている所定の情報は、例えば、検出したメッセージがＤＮＳクエリのリクエストであることを識別するための情報であればよく、より具体的には、ＤＮＳクエリのリクエストかレスポンスであるか否かを示す情報であってもよい。

制御部３３０の判定処理部３３４は、取得した宛先アドレス（ＤＡ）がＤＮＳ装置２００のＩＰアドレスであるか否かを判定する（ステップＳ４０）。ステップＳ４０における判定により、取得した宛先アドレス（ＤＡ）がＤＮＳ装置２００のＩＰアドレスではないと判定した場合（ステップＳ４０：Ｎｏ）、検出した情報の解析処理を終了する。

ステップＳ４０における判定により、取得した宛先アドレス（ＤＡ）がＤＮＳ装置２００のＩＰアドレスであると判定した場合（ステップＳ４０：Ｙｅｓ）、判定処理部３３４は、通信処理部３１０が検出したフレーム（ＩＰパケット）に含まれるＵＤＰパケットから、宛先のポート番号がＤＮＳを指定する番号（例えば、「５３」）であるか否かを判定する（ステップＳ５０）。ステップＳ５０における判定により、宛先のポート番号がＤＮＳを指定する番号（例えば、「５３」）でないと判定した場合（ステップＳ５０：Ｎｏ）、検出した情報の解析処理を終了する。

ステップＳ５０における判定により、宛先のポート番号がＤＮＳを指定する番号（例えば、「５３」）であると判定した場合（ステップＳ５０：Ｙｅｓ）、判定処理部３３４は、検出したＵＤＰパケットに含まれるメッセージにおいて、予め定められている所定の情報が含まれているか否かを判定する（ステップＳ６０）。上記の判定により、判定処理部３３４は、予め定められている所定の情報が含まれているメッセージをＤＮＳ装置２００へのリクエストと判定する。
ステップＳ６０における判定により、検出したメッセージにおいて、予め定められている所定の情報が含まれていないと判定した場合（ステップＳ６０：Ｎｏ）、検出した情報の解析処理を終了する。
以上の処理により、検出したフレームに含まれるＤＮＳ装置２００へのリクエストを検出することができる。

（ＤＮＳ装置２００へのリクエストから、アクセスブロック対象となるホストの名前解決のリクエストを検出するステップ）
ステップＳ６０における判定により、予め定められている所定の情報が含まれていると判定した場合（ステップＳ６０：Ｙｅｓ）、即ち、ＤＮＳ装置２００へのリクエストと判定した場合、通信処理制御部３３６は、名前解決の対象のサーバ装置を特定する文字列を、検出対象情報記憶部３２６を参照して検索する（ステップＳ７０）。
通信処理制御部３３６は、名前解決の対象のサーバ装置を特定する文字列が検出対象情報記憶部３２６に記憶されている情報に存在するか否かを判定する（ステップＳ８０）。ステップＳ８０の判定により、名前解決の対象のサーバ装置を特定する文字列が検出対象情報記憶部３２６に記憶されている情報に存在しないと判定した場合（ステップＳ８０：Ｎｏ）、検出した情報の解析処理を終了する。
以上の処理により、ＤＮＳ装置２００へのリクエストから、アクセスブロック対象となるホストの名前解決のリクエストを検出することができる。

（アクセス制限の対象となるホストの名前解決のリクエストだった場合に、ＤＮＳ装置２００に対する名前解決のリクエストの処理を通信装置１００において擬似応答メッセージの内容に従って完了させるステップ）
ステップＳ８０の判定により、名前解決の対象のサーバ装置を特定する文字列が検出対象情報記憶部３２６に記憶されている情報に存在すると判定した場合（ステップＳ８０：Ｙｅｓ）、通信処理制御部３３６は、通信装置１００における名前解決を要求する処理を擬似応答メッセージＭ１３の内容に従って完了させ（ステップＳ９０）、検出した情報の解析処理を終了する。なお、擬似応答メッセージＭ１３は、検出したＤＮＳ装置２００へのリクエストに対する応答であって、ＤＮＳ装置２００が上記リクエストに対して応答する応答メッセージと異なるものである。
以上の処理により、ＤＮＳ装置２００に対する名前解決のリクエストの処理を通信装置１００において擬似応答メッセージの内容に従って完了させることができる。

次に、図７を参照して、ステップ９０の名前解決を要求する処理を擬似応答メッセージの内容に従って完了させる、より具体的な処理について説明する。図７は、ステップ９０の名前解決を要求する処理を擬似応答メッセージの内容に従って完了させる処理を示すフローチャートである。この図７に示す処理の前提条件は、アクセス制限の対象となるホスト（サーバ装置８００）の名前解決のリクエストを通信制御装置３００が検出した段階にあり、通信制御装置３００は以下の処理を行う。

まず、制御部３３０の通信処理制御部３３６は、検出したメッセージＭ１１’に応じて、ＤＮＳクエリの擬似応答メッセージＭ１３を生成する（ステップＳ９２）。通信処理制御部３３６は、生成した擬似応答メッセージＭ１３を、通信処理部３１０を介して送出する（ステップＳ９４）。この擬似応答メッセージＭ１３には、ＤＮＳ装置２００が応答する接続先とは異なる接続先に接続されたことを示す情報を通信装置１００に送信して当該情報を通信装置１００に表示させる装置のアドレス情報が、前記検出したＤＮＳクエリの解として含まれている。

以上の処理により、アクセス制限の対象となるホスト（例えば、サーバ装置８００）の名前解決のリクエストだった場合に、ＤＮＳ装置２００に対する名前解決のリクエストの処理を通信装置１００に擬似応答メッセージの内容に従って完了させるように制御することができる。

なお、一度レスポンスを返却された通信装置１００（クライアント）は、当該レスポンスの結果を、ＤＮＳのフォーマットにおいて規定されている「レコードのＴＴＬ（生存時間）」に応じて通信装置１００内に保持する。このように、アクセス制限を実施する時間をＴＴＬとして設定することで、通信装置１００は、一定の時間、当該ホスト（サーバ装置８００）にアクセスするためのリクエストを送信しなくなる。
なお、本実施形態においては、ＤＮＳ装置２００が応答する接続先とは異なる接続先に接続されたことを示す情報を通信装置１００に送信して当該情報を通信装置１００に表示させる装置を、サーバ装置４００とする場合を例示する。以下、サーバ装置４００が通信装置１００に表示させる情報について説明する。

次に、図８を参照して、サーバ装置４００の情報提供処理について説明する。図８は、サーバ装置４００の情報提供処理を示すフローチャートである。この図８に示す処理の前提条件は、通信装置１００の通信がサーバ装置４００に誘導された段階にある。

サーバ装置４００は、通信装置１００からの通信要求を受け付けて、通信装置１００に対して、通信先の変更を示す情報を送信する（ステップＳ４１０）。
通信装置１００は、上記の情報を備える表示部に表示して、ユーザーに接続先が変更されていることを認知させるようにする。例えば、サーバ装置４００は、通信装置１００に対し、サーバ装置４００に接続されたこと（接続先が変更されていること）を示す画面情報を送信して、通信装置１００において、同画面情報を表示させるようにする。

以上のように、本実施形態に示す通信制御方法では、単に、接続要求を破棄したり、通信を遮断したりするだけに留めることなく、通信が行えない状況をユーザーに認知させることも容易に行うことができる。

＜通信制御装置３００を適用することの有利性について＞
以下、本実施形態の通信制御装置３００を適用することの有用性について説明する。

（ＨＴＴＰ以外の通信プロトコルについての適用性）
ＤＮＳは、ＨＴＴＰ以外の通信プロトコルを利用するサーバ装置に対してアクセスする際にも利用されている。例えば、ＤＮＳを利用する例として、電子メールサービスを実施するＭＸサーバ（例えば、通信プロトコルにＳＭＴＰを利用するメールサーバ。例えば、サーバ装置８００に相当。）に対してアクセスする場合が挙げられる。電子メールの宛先は、通常「（固有の文字列）＠（ドメイン名）」のように表記される電子メールアドレスによって指定する。このように、電子メールアドレスにも「ドメイン名」が含まれており、送付先のＭＸサーバの検索に、その「ドメイン名」に対する名前解決が必要とされることから、ＤＮＳが利用されている。
そこで、上記のようにアクセス制限を実施するＭＸサーバに対するアクセス要求がある場合、アクセス要求(リクエスト)に対しても、本実施形態に示すように、リクエストに応じた擬似応答メッセージ（疑似レスポンス）を通信装置１００に返すようにする。
このように、通信装置１００は、要求に応じた擬似応答メッセージ（疑似レスポンス）を検出して、アクセス制限を実施すべきＭＸサーバ（サーバ装置８００）に対するアクセス要求を終了させるとともに、擬似応答メッセージ（疑似レスポンス）に応じた接続先のＭＸサーバ（例えば、サーバ装置４００に相当。）に対して通信を開始する。

また、同様の手法により、通信ネットワークにおける外部環境に設けるＭＸサーバでなく、内部環境に設けるＭＸサーバ（例えば、サーバ装置４００）に一時的にトラフィックを向けることができる。例えば、このような利用形態によって、外部環境に設けたＭＸサーバ（サーバ装置８００）の通信履歴を残すことができない場合であっても、一時的にトラフィックが向けられた内部環境に設けるＭＸサーバ（サーバ装置４００）に、通信の履歴情報を記録させることが可能になる。本実施形態の構成を応用することにより、外部環境に設けたＭＸサーバ（サーバ装置８００）の通信履歴を取得することができない場合であっても、ＭＸサーバの通信履歴を容易に取得することが可能になる。

（上位のプロトコルに依存しない対策の共通化）
上位プロトコルに依存しない共通の機能を対策の対象にしていることから、各種上位プロトコルの共通する対策を講じるだけで、各種上位プロトコルに対する対策を実施できる。
ここで、プロキシ装置(プロキシ装置９００)におけるアクセス制限と対比する。プロキシ装置においてＨＴＴＰに基づいたアクセス制限を実施しても、ＨＴＴＰ以外のプロトコルについてはアクセス制限を実施できない。そのため、ＨＴＴＰ以外のプロトコルについては他の対策を別途実施することが必要になる。
一方、本実施形態によれば、名前解決の段階でアクセス制限を実施できるので、名前解決を必要とするプロトコルについては、共通の対策を適用できる。

（ＤＮＳクエリを検出する機能を独立させる優位性）
本実施形態においては、フレームの中継処理や、リクエストに対する正規の応答をするＤＮＳなどの処理と、本実施形態のアクセス制限の処理とを分離して、ハードウェアリソースを独立させる。これによりＤＮＳクエリの検出の即時性を容易に確保することができる。
なお、本実施形からの変形として、上記の中継処理や正規のＤＮＳなどの処理の少なくとも何れかの処理と、本実施形態のアクセス制限の処理とを、共通のハードウェアリソースのもとで並列に実施する場合、処理が集中して、処理の負荷が重くなることにより検出の即時性が低下することがある。共通のハードウェアリソースのもとで並列に実施する場合には、十分な処理能力を有するように構成することを推奨する。

（トラフィックを中継させないことの優位性）
本実施形態からの変形として、共通のハードウェアリソースのもとで、検出を行う回線の全てのメッセージを中継するように構成した場合（インライン型の場合）には、全てのメッセージについて中継する処理が必要になる。このような場合、トラフィック量が増大することによりプロトコルの各階層の処理の負荷がそれぞれ重くなる。そのため、中継処理の遅延時間が生じたり、トラフィックが集中する場合にパフォーマンスが低下したりすることがある。
一方、本実施形態に示す構成では、検出を行う回線の全てのメッセージを中継する上記のインライン型のようにメッセージを中継することはない。本実施形態に示す構成では、単に、接続された回線から取得するメッセージをモニタするだけでよいので、メッセージを中継する処理の負荷に影響されることがない。また、あくまで必要な情報を取得できればよく、必要な情報を検出可能とする範囲まで、検出機能（各プロトコルの実装）を縮退させることも可能である。

さらに、トラフィックを中継させない構成にしていることにより、以下の点で優位性がある。
通信処理部３１０は、通信システム１に接続して稼働させる場合に、通信装置１００とＤＮＳ装置２００との間の物理的な通信経路を変更せずに、接続された回線から取得するメッセージをモニタするように通信ネットワークに接続することができる。例えば、通信ネットワークに接続する際には、通信ポートを接続する通信ノードのポートミラーリング機能を利用して、通信装置１００とＤＮＳ装置２００との間の回線をモニタできるようにするとよい。

（処理能力を向上させるための構成について）
ＤＮＳ装置(例えば、ＤＮＳ装置２００)は、名前解決された解を複数保持することができる。ＤＮＳ装置は、複数保持している名前解決された解の中に、名前解決の要求に対応する解が含まれているかを判定する際に検索処理を行う。そのため、保持する名前解決された解の数（レコード数）が多くなると、一致の判定が下されるまでの平均時間が長くなる。
そこで、通信制御装置３００では、１台あたりが検出する対象の数を制限することで、検索に掛る時間を短縮させることができる。

なお、検出する対象の数が、自装置１台あたりの通信制御装置３００が対象とする数を超える場合には、通信制御装置３００の台数を複数設けることにしてもよい。
その場合、それぞれの通信制御装置３００は、検出する対象が異なるように設定することにより、１台の通信制御装置３００で検出する対象の数を制限して、検索に掛る時間を短縮させることができる。

（処理を分散させるための構成について）
ＤＮＳ装置２００に直接接続される回線を検出対象の回線としている場合、ＤＮＳ装置２００に対するすべてのトラフィックが集中する。このような場合には、ＤＮＳクエリが存在する確率が高くなる。このような場合には、トラフィックを集約させる前の回線にそれぞれ、通信制御装置を配することにより、通信制御装置が実施する処理を複数の装置に分散させることができる。

（ＤＮＳの仕組みを悪用するウィルスなどに対する対策について）
ＤＮＳの仕組みを悪用して、ホストのアドレスを頻繁に切り替えるタイプのウィルスに対して、本実施形態の通信制御装置３００は、有効な対策となる。

＜変形例（その１）＞
以上、実施形態に示した構成は、Ｗｅｂサーバとして稼働しているサーバ装置８００を対象に、通信装置１００からのアクセスを制限する場合（通信妨害）を想定したものである。
一方、ウィルスが情報持ち出しを行うタイプであり、その持ち出し先のアドレス情報を名前解決によって得る手順を踏むものであれば、持ち出し先（例えば、サーバ装置８００）を特定して、当該持ち出し先についての名前解決を制限してもよい。

＜変形例（その２）：要求メッセージの検出方法について＞
以上の実施形態に示した説明では、ＤＮＳ装置２００宛のメッセージＭ１１’を検出する際に、ＩＰアドレスを参照する方法を例示したが、ＭＡＣアドレスを参照してＤＮＳ装置２００宛のメッセージ１１’を検出可能である場合には、検出したフレームのＭＡＣヘッダに含まれるＭＡＣアドレスを参照するようにしてもよい。

＜変形例（その３）：要求メッセージの検出方法について＞
以上の実施形態に示した説明では、ＤＮＳクエリを正確に検出する場合を例示して説明した。本実施形態の変形として、ＤＮＳクエリが含まれているメッセージを検出するように構成する場合も想定できる。例えば、ＤＮＳのフォーマット中の「ＯＰＣＯＤＥ」として規定されている情報から、ＤＮＳクエリを特定することができる。ＯＰＣＯＤＥは、４ビットの情報であるが、定義されている値は「０（００００ｂ（ビット表記））」、「１（０００１ｂ）」、「２（００１０ｂ）」である。要するに、４ビットのうち下位の２ビットしか利用していないため、検出対象のビットを下位の２ビットにしてもよい。この場合、厳密に「０」を特定したことにならないが、実質的にＤＮＳクエリであることを判定することができる。このように、メッセージ中の所定の位置に特定の情報（ビットパターン）が含まれていることを検出するように、本実施形態の検出方法を変形してもよい。
同様に、ＤＮＳクエリのＵＤＰにおけるポート番号が「５３」に規定されているが、ＤＮＳに対するメッセージの判定条件をポート番号の全ビットの完全一致を一部のビットの一致に変更してもよい。

また、本発明の実施形態は、上述の例に限るものではなく、本発明の範囲内で様々な形態をとることができる。例えば、上述した通信システム１が備える各構成は、任意のコンピュータ装置に分散または集約して配置することができる。例えば、通信制御装置３００は、クラウド環境やネットワーク環境、ユーザー数の規模、通信システム１を構成するために用意されたハードウェアの数やスペック等に応じて、任意のコンピュータ装置に分散または集約して配置することができる。

なお、本発明における処理部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによりメッセージの表示制御を行ってもよい。ここで、「記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行する」とは、コンピュータシステムにプログラムをインストールすることを含む。ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、インターネットやＷＡＮ、ＬＡＮ、専用回線等の通信回線を含むネットワークを介して接続された複数のコンピュータ装置を含んでもよい。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。このように、プログラムを記憶した記録媒体は、ＣＤ−ＲＯＭ等の非一過性の記録媒体であってもよい。また、記録媒体には、当該プログラムを配信するために配信サーバからアクセス可能な内部または外部に設けられた記録媒体も含まれる。なお、プログラムを複数に分割し、それぞれ異なるタイミングでダウンロードした後に通信装置１００で合体される構成や、分割されたプログラムのそれぞれを配信する配信サーバが異なっていてもよい。さらに「コンピュータ読み取り可能な記録媒体」とは、ネットワークを介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。また、上記プログラムは、上述した機能の一部を実現するためのものであってもよい。さらに、上述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

また、上述した機能の一部または全部を、ＬＳＩ（Large Scale Integration）等の集積回路として実現してもよい。上述した各機能は個別にプロセッサ化してもよいし、一部、または全部を集積してプロセッサ化してもよい。また、集積回路化の手法はＬＳＩに限らず専用回路、または汎用プロセッサで実現してもよい。また、半導体技術の進歩によりＬＳＩに代替する集積回路化の技術が出現した場合、当該技術による集積回路を用いてもよい。

１ 通信システム、
１００ 通信装置、
２００、７００ ＤＮＳ装置、
３００ 通信制御装置、
３１０ 通信処理部、
３２０ 記憶部、
３２２ 誘導先情報記憶部、３２４ ＤＮＳアドレス情報記憶部、３２６ 検出対象情報記憶部、
３３０ 制御部、
３３２ ヘッダ情報検出部、３３４ 判定処理部、３３６ 通信処理制御部、
３５０ 通信ノード、
４００、８００ サーバ装置、
５００、６００ ファイヤウォール、
９００ プロキシ装置

Claims (6)

1. 名前解決を要求する通信装置から、名前解決を実施する名前解決装置に対して送出された名前解決を要求するメッセージが前記名前解決装置と通信可能な経路上の観測ポイントを通過して、前記観測ポイントにおいて前記名前解決を要求するメッセージからコピーされたメッセージを検出し、
   前記検出したメッセージに、予め定められている所定の情報が含まれていることを検出した場合に、前記名前解決を要求するメッセージに対する応答であって、前記名前解決装置が送出する応答メッセージとは異なる擬似応答メッセージを、前記メッセージの検出から予め定められた時間の範囲に収まるように前記擬似応答メッセージを生成し、
   前記名前解決を要求するメッセージに対する前記名前解決装置からの応答メッセージが前記通信装置に到来する前に前記擬似応答メッセージが前記通信装置に届くように、前記生成した擬似応答メッセージを前記通信装置に対して送出させて、前記通信装置における名前解決を要求する処理を前記擬似応答メッセージの内容に従って完了させる制御部
   を備えることを特徴とする通信制御装置。
2. 前記制御部は、
   前記検出したメッセージに、予め定められている所定のドメイン名を示す文字列が含まれたＤＮＳクエリを検出した場合に、前記検出したＤＮＳクエリに応じて前記名前解決装置が応答する接続先とは異なる接続先を解とする前記擬似応答メッセージを生成し、前記生成した擬似応答メッセージを前記通信装置に対して送出させて、前記通信装置における前記名前解決を要求する処理を前記擬似応答メッセージの内容に従って完了させる
   ことを特徴とする請求項１に記載の通信制御装置。
3. 前記擬似応答メッセージには、前記名前解決装置が応答する接続先とは異なる接続先に接続されたことを示す情報を前記通信装置に送信して当該情報を前記通信装置に表示させる装置のアドレス情報が、前記検出したＤＮＳクエリの解として含まれている
   ことを特徴とする請求項２に記載の通信制御装置。
4. 前記制御部は、
   前記名前解決を要求するメッセージを検出するための検出条件が複数に分割され、前記分割された検出条件に対応する前記予め定められている所定の情報を検出する、
   ことを特徴とする請求項１から請求項３の何れか１項に記載の通信制御装置。
5. 名前解決を要求する通信装置から、名前解決を実施する名前解決装置に対して送出された名前解決を要求するメッセージが前記名前解決装置と通信可能な経路上の観測ポイントを通過して、前記観測ポイントにおいて前記名前解決を要求するメッセージからコピーされたメッセージを検出するステップと、
   前記検出したメッセージに、予め定められている所定の情報が含まれているか否かを判定するステップと、
   前記検出したメッセージに、予め定められている所定の情報が含まれていることを検出した場合に、前記名前解決を要求するメッセージに対する応答であって、前記名前解決装置が送出する応答メッセージとは異なる擬似応答メッセージを、前記メッセージの検出から予め定められた時間の範囲に収まるように前記擬似応答メッセージを生成し、前記名前解決を要求するメッセージに対する前記名前解決装置からの応答メッセージが前記通信装置に到来する前に前記擬似応答メッセージが前記通信装置に届くように、前記生成した擬似応答メッセージを前記通信装置に対して送出させて、前記通信装置における名前解決を要求する処理を前記擬似応答メッセージの内容に従って完了させるステップと、
   を備えることを特徴とする通信制御方法。
6. 通信制御装置のコンピュータに、
   名前解決を要求する通信装置から、名前解決を実施する名前解決装置に対して送出された名前解決を要求するメッセージが前記名前解決装置と通信可能な経路上の観測ポイントを通過して、前記観測ポイントにおいて前記名前解決を要求するメッセージからコピーされたメッセージを検出するステップと、
   前記検出したメッセージに、予め定められている所定の情報が含まれているか否かを判定するステップと、
   前記検出したメッセージに、予め定められている所定の情報が含まれていることを検出した場合に、前記名前解決を要求するメッセージに対する応答であって、前記名前解決装置が送出する応答メッセージとは異なる擬似応答メッセージを、前記メッセージの検出から予め定められた時間の範囲に収まるように前記擬似応答メッセージを生成し、前記名前解決を要求するメッセージに対する前記名前解決装置からの応答メッセージが前記通信装置に到来する前に前記擬似応答メッセージが前記通信装置に届くように、前記生成した擬似応答メッセージを前記通信装置に対して送出させて、前記通信装置における名前解決を要求する処理を前記擬似応答メッセージの内容に従って完了させるステップと、
   を実行させるためのプログラム。

Images