JP7265056B1

JP7265056B1 - 通信制御装置、通信制御方法、通信制御プログラム

Info

Publication number: JP7265056B1
Application number: JP2022043539A
Authority: JP
Inventors: 聡志日名子
Original assignee: SoftBank Corp
Current assignee: SoftBank Corp
Priority date: 2022-03-18
Filing date: 2022-03-18
Publication date: 2023-04-25
Anticipated expiration: 2042-03-18
Also published as: JP2023137360A

Abstract

【課題】ネットワークシステムの負荷を抑制しながらポートスキャンを実施可能とする。【解決手段】通信制御装置１０は、複数のポート番号を含む第１リストと、複数のＩＰアドレスを含む第２リストと、を取得する取得部と、前記第１リスト内の前記複数のポート番号について逐次的に、前記第２リスト内の前記複数のＩＰアドレスに対するポートスキャンをポート番号毎に実行する実行部と、を備える。【選択図】図８

Description

本発明は、通信制御装置、通信制御方法、通信制御プログラムに関する。

従来、ネットワーク内の各端末に対して、一以上のポートに対する接続を要求し、当該要求に対する応答を確認することにより、各端末において利用可能なポートを探すポートスキャンが知られている（例えば、特許文献１）。ポートスキャン用のツールとしては、例えば、network mapper（ｎｍａｐ）等も知られている。

ネットワーク内の各端末に対してポートスキャンを行うことにより、不要なポートがアクセス可能になっていないか等、ネットワークの脆弱性を発見できる。この結果、ネットワークのセキュリティを向上でき、攻撃者によるユーザの被害を防止できる。

特開２００５－２５２６９号公報

例えば、ｎｍａｐ等のツールを用いたポートスキャンでは、調査対象の複数のポート番号（例えば、最大６５５３６個のポート番号）のポートスキャンが並列的に実行されるため、調査対象のネットワーク及び／又はシステム（以下、「ネットワークシステム」という）の負荷が増大する恐れがある。このようなポートスキャンによる負荷増大により最悪ユーザに対する通信サービスの提供に支障を来す恐れがあるため、攻撃者によるユーザの被害を防止するためのポートスキャンの実行は現実的には困難であった。

本開示は、このような状況を鑑みてなされたものであって、ネットワークシステムの負荷を抑制しながらポートスキャンを実施可能な通信制御装置、通信制御方法、通信制御プログラムを提供する。

本開示の一態様に係る通信制御装置は、複数のポート番号を含む第１リストと、複数のＩＰアドレスを含む第２リストと、を生成する生成部と、前記第２リスト内の前記複数のＩＰアドレスに対するポートスキャンをポート番号毎に実行する実行部と、前記第２リスト内の前記複数のＩＰアドレスをランダムに並び替えるランダム化部と、を備え、前記実行部は、ランダムに並び替えられた前記第２リストの前記複数のＩＰアドレスのエントリの順番に基づいて前記複数のＩＰアドレスをグループ化し、前記第１リストの前記複数のポート番号のエントリの順番に従って逐次的になるように、かつ、前記第２リストの同一のグループに属する複数のＩＰアドレスに対して並列的になるように前記ポートスキャンを実行する。

本実施形態に係る通信制御システム１の概略の一例を示す図である。本実施形態に係る通信制御システム１を構成する各装置の物理構成の一例を示す図である。本実施形態に係る通信制御装置１０の機能構成の一例を示す図である。本実施形態に係るポート番号リスト及びＩＰアドレスリストの一例を示す図である。本実施形態に係るポート番号リスト及びＩＰアドレスリストの他の例を示す図である。本実施形態に係る通信制御動作の一例を示すフローチャートである。本実施形態に係るＩＰアドレスグループに対するポートスキャンの一例を示す図である。本実施形態に係るＩＰアドレスグループに対するポートスキャンの他の例を示す図である。

（概要）
ポートスキャンとは、ポート番号によって識別されるサービスの稼働状況等を調べることである。具体的には、調査対象のポート番号を指定する各パケットを調査対象のネットワークシステムに送信し、当該調査対象のネットワークシステムからの応答を確認することで、ポート番号によって識別されるサービスの稼働状況、当該サービスのバージョン、オペレーティングシステム（ＯＳ）、当該サービスのフィルタリング状況等を特定してもよい。

ポート番号は、ＴＣＰ（Transmission Control Protocol）又はＵＤＰ（(User Datagram Protocol）上のサービスを識別する。例えば、ポート番号「２０」はデータ用のＦＴＰ（File Transfer Protocol）を識別し、ポート番号「２５」はＳＭＴＰ（Simple Mail Transfer Protocol）を識別し、ポート番号「８０」はＨＴＴＰ（Hypertext Transfer Protocol）を識別する。このように、各サービスを識別するポート番号は予め定められもよい。また、最大６５５３６個のポート番号（例えば、「０」～「６５５３５」）が用いられてもよい。

例えば、ｎｍａｐ等のツールを用いたポートスキャンでは、複数のポート番号（例えば、最大６５５３６個のポート番号）を調査対象とする場合、当該複数のポート番号のポートスキャンが並列的に実行される。具体的には、当該複数のポート番号をそれぞれ指定する複数のパケットが調査対象のＩＰアドレス宛に同時に送信され、当該調査対象のネットワークシステムにおいて当該複数のパケットそれぞれが並列的に処理されることになる。このため、当該ネットワークシステムの負荷が増大する恐れがある。

そこで、本実施形態では、調査対象の複数のポート番号のポートスキャンを並列的に実行するのではなく、当該複数のポート番号のポートスキャンを逐次的に実行する。具体的には、あるポート番号についてのポートスキャンが終了してから、次のポート番号についてのポートスキャンを実行することにより、ネットワークシステムの負荷を抑制する。

例えば、最大６５５３６個のポート番号のポートスキャンを並列的に実行すると、単一のポート番号のポートスキャンを実行する場合と比較してネットワークシステムの負荷は６５５３６倍となる。複数のポート番号のポートスキャンを逐次的に実行することにより、あるタイミングにおけるネットワークシステムの負荷は、単一のポート番号のポートスキャン時と同等となる。このため、複数のポート番号のポートスキャンを並列的に実行する場合と比較してネットワークシステムの負荷を抑制しながらポートスキャンを実施可能となる。

以下、添付図面を参照して、本実施形態について説明する。各図において、同一の符号を付したものは、同一又は同様の構成を有する。なお、本実施形態では、ＣＩＤＲ（Classless Inter-Domain Routing）に基づくＩＰ（Internet Protocol）ｖ４アドレスを用いることを想定するが、これに限られず、ＩＰｖ６等であっても適宜適用可能である。また、本実施形態では、プライベートＩＰアドレスを例示するが、本実施形態にグローバルＩＰアドレスに適用されてもよいことは勿論である。

また、本実施形態は、例えば、通信事業者が大規模のネットワークシステムを管理する場合に、インターネットに対してルーティング及び／又は経路広報している全てのＩＰアドレスに対してポートスキャンを行うことを想定するが、本実施形態の用途はこれに限られない。また、ポートスキャンは、例えば、ＳＹＮスキャン、ＦＩＮスキャン、ＡＣＫスキャン、ＵＤＰスキャン又はＸｍａｓスキャン等の手法が想定されるが、これらに限られず、どのような手法が用いられてもよい。

（通信制御システムの構成）
＜概略構成＞
図１は、本実施形態に係る通信制御システムの概要の一例を示す図である。図１に示すように、通信制御システム１は、通信制御装置１０と、複数のネットワーク３０の各々に属する一以上の端末２０と、を備える。

通信制御装置１０は、例えば、通信事業者のサーバ等であり、通信事業者が提供するネットワーク３０に属する各端末２０に対して、適切な通信サービスを提供するための制御を行う。具体的には、通信制御装置１０は、ポートスキャンにより、端末２０の脆弱性を検出し、脆弱性が検出された端末２０の加入者に対する注意喚起等を行う。

各端末２０は、例えば、通信事業者が提供する通信サービスの加入者が利用するスマーフォン、タブレット又はパーソナルコンピュータ等である。各端末２０は、ネットワーク３０を介して通信を行い、ＩＰアドレスで識別される。ＩＰアドレスは、ネットワーク３０を識別するネットワーク部と、端末２０（すなわち、ホスト）を識別するホスト部とで構成される。ＣＩＤＲでは、サブネットマスクを用いてネットワーク部のビット数ｎを変更可能である。ネットワーク部のビット数ｎは、「プリフィクス」とも呼ばれる。「ＩＰアドレス／ｎ」という表記はＣＩＤＲ表記とも呼ばれる。

例えば、図１において、「１９２．１６８．０．２／２４」の端末２０は、２４ビットのネットワーク部「１１００００００．１０１０１０００．００００００００（１０進数の“１９２．１６８．０”）」により識別されるネットワーク３０₀に属し、２進数の８ビットのホスト部「００００００１０（１０進数の“２”）」により識別される。ここで、ホスト部の全ビットが０であるＩＰアドレスは、ネットワーク３０₀を示すネットワークアドレスであり、ホスト部の全ビットが１であるＩＰアドレスはブロードキャストアドレスである。このため、ホスト部が８ビットの場合、２５４個（＝２の８乗－２）のホスト（すなわち、端末２０）を識別可能である。

なお、図１では、プリフィクス「２４」の場合の２５６個のネットワーク３０₀～３０₂₅₅を示すが、通信制御装置１０が制御するネットワーク３０の数は、図示する数に限られない。通信制御システム１では、異なる複数のプリフィクス値の複数のＩＰアドレスが使用され、それぞれに属する端末２０の数が異なる複数のネットワーク３０が設けられてもよい。なお、プリフィクス値が小さいＩＰアドレスを利用する場合、ネットワーク３０に属する端末２０の最大数は増加し、プリフィクス値が大きいＩＰアドレスを利用する場合、ネットワーク３０に属する端末２０の最大数は減少する。

＜物理構成＞
図２は、本実施形態に係る通信制御システム１を構成する各装置の物理構成の一例を示す図である。各装置（例えば、通信制御装置１０及び端末２０）は、演算部に相当するプロセッサ１０ａと、記憶部に相当するＲＡＭ（Random Access Memory）１０ｂと、記憶部に相当するＲＯＭ（Read Only Memory）１０ｃと、通信部１０ｄと、入力部１０ｅと、表示部１０ｆと、を有する。これらの各構成は、バスを介して相互にデータ送受信可能に接続される。なお、図２で示す構成は一例であり、各装置はこれら以外の構成を有してもよいし、これらの構成のうち一部を有さなくてもよい。また、通信制御装置１０は、単体の装置で構成されてもよいし、複数の装置を含んで構成されてもよい。

プロセッサ１０ａは、例えば、ＣＰＵ（Central Processing Unit）である。プロセッサ１０ａは、ＲＡＭ１０ｂ又はＲＯＭ１０ｃに記憶されているプログラムを実行することにより、各装置における各種処理を制御する制御部である。プロセッサ１０ａは、各装置が備える他の構成と、プログラムとの協働により、各装置の機能を実現し、処理の実行を制御する。プロセッサ１０ａは、入力部１０ｅや通信部１０ｄから種々のデータを受け取り、データの演算結果を表示部１０ｆに表示したり、ＲＡＭ１０ｂに格納したりする。

ＲＡＭ１０ｂ及びＲＯＭ１０ｃは、各種処理に必要なデータ及び処理結果のデータを記憶する記憶部である。各装置は、ＲＡＭ１０ｂ及びＲＯＭ１０ｃ以外に、ハードディスクドライブ等の大容量の記憶部を備えてもよい。ＲＡＭ１０ｂ及びＲＯＭ１０ｃは、例えば、半導体記憶素子で構成されてもよい。

通信部１０ｄは、各装置を他の機器に接続するインターフェースである。通信部１０ｄは、他の機器と通信する。入力部１０ｅは、ユーザからデータの入力を受け付けるためのデバイスや、各装置の外部からデータを入力するためのデバイスである。入力部１０ｅは、例えば、キーボード、マウス及びタッチパネル等を含んでよい。表示部１０ｆは、プロセッサ１０ａによる制御に従って、情報を表示するデバイスである。表示部１０ｆは、例えば、ＬＣＤ（Liquid Crystal Display）により構成されてよい。

各装置を実行させるためのプログラムは、ＲＡＭ１０ｂやＲＯＭ１０ｃ等のコンピュータによって読み取り可能な記憶媒体に記憶されて提供されてもよいし、通信部１０ｄにより接続されるネットワークを介して提供されてもよい。各装置では、プロセッサ１０ａが当該プログラムを実行することにより、各装置を制御するための様々な動作が実現される。なお、これらの物理的な構成は例示であって、必ずしも独立した構成でなくてもよい。例えば、各装置は、プロセッサ１０ａとＲＡＭ１０ｂやＲＯＭ１０ｃが一体化したＬＳＩ（Large-Scale Integration）を備えていてもよい。

＜機能構成＞
図３は、本実施形態に係る通信制御装置１０の機能構成の一例を示す図である。通信制御装置１０は、取得部１０１、生成部１０２、ランダム化部１０３、記憶部１０４及び実行部１０５を備える。

取得部１０１は、調査対象の複数のポート番号と、調査対象の複数のＩＰアドレスと、を取得する。具体的には、取得部１０１は、使用率及び／又は脆弱性に基づいて選択された複数のポート番号を取得してもよい。例えば、取得部１０１は、使用率が高い所定数のポート番号を取得してもよい。また、取得部１０１は、脆弱性が特定された所定数のポート番号を取得してもよい。また、取得部１０１は、ＣＩＤＲ表記のＩＰアドレス（すなわち、プリフィクス付きのＩＰアドレス）を取得し、プリフィクスに基づいてネットワークアドレスとホストアドレスを特定してもよい。

生成部１０２は、複数のポート番号を含むリストであるポート番号リスト（第１リスト）と、複数のＩＰアドレスを含むリストであるＩＰアドレスリスト（第２リスト）と、を生成する。具体的には、生成部１０２は、取得部１０１によって取得された複数のポート番号を含むポート番号リストを生成してもよい。また、生成部１０２は、取得部１０１によって取得された複数のＩＰアドレスを含むＩＰアドレスリストを生成してもよい。

図４（Ａ）及び（Ｂ）は、それぞれ、本実施形態に係るポート番号リスト及びＩＰアドレスリストの一例を示す図である。例えば、図４（Ａ）に示すように、生成部１０２は、調査対象のＩ個のポート番号（Ｉ＞１の整数）を昇順（又は降順）に含むポート番号リストを生成してもよい。例えば、図４（Ａ）では、１番目のエントリがポート番号「２０」、２番目のエントリがポート番号「２１」、３番目のエントリがポート番号「２２」、…であり、１～Ｉ番目のエントリに対応するポート番号は昇順である。

また、図４（Ｂ）に示すように、生成部１０２は、調査対象のＪ個（Ｊ＞１の整数）のＩＰアドレスを昇順（又は降順）に含むＩＰアドレスリストを生成してもよい。各ＩＰアドレスには、プリフィクスに基づいて特定されたネットワークアドレスが関連付けられてもよいが、ＩＰアドレスリストはＩＰアドレスを含めばよく、ネットワークアドレスを含まなくともよい。図４（Ｂ）に示すように、Ｊ個のＩＰアドレスが昇順（又は降順）にＩＰアドレスリストに含まれる場合、同一のネットワークアドレスを有する複数のＩＰアドレスがホストアドレスの昇順（又は降順）に並ぶことになる。例えば、図４（Ｂ）では、１番目のエントリがＩＰアドレス「１９２．１６８．０．１」、２番目のエントリがＩＰアドレス「１９２．１６８．０．２」、…、２５４番目のエントリがＩＰアドレス「１９２．１６８．０．２５４」であり、同一のネットワークアドレス「１９２．１６８．０．０」を有するＩＰアドレスが１番目～２５４番目のエントリに連続して並ぶ。

ランダム化部１０３は、ポート番号リスト内の複数のポート番号をランダムに並び替える。また、ランダム化部１０３は、ＩＰアドレスリスト内の複数のＩＰアドレスをランダムに並び替える。なお、本明細書において「ランダムに並び替える」は「シャッフルする」と言い換えられてもよい。

図５（Ａ）及び（Ｂ）は、それぞれ、本実施形態に係るポート番号リスト及びＩＰアドレスリストの他の例を示す図である。例えば、図５（Ａ）に示すように、ランダム化部１０３は、図４（Ａ）に示すポート番号リスト内のＩ個のポート番号をランダムに並び替えてもよい。例えば、図５（Ａ）では、１番目のエントリがポート番号「１１０」、２番目のエントリがポート番号「２２」、３番目のエントリがポート番号「４４３」、…、Ｉ番目のエントリがポート番号「１２３」であり、１～Ｉ番目のエントリに対応するポート番号はランダムである。

また、図５（Ｂ）に示すように、ランダム化部１０３は、図４（Ｂ）に示すＩＰアドレスリスト内のＪ個のＩＰアドレスをランダムに並び替えてもよい。図５（Ｂ）に示すように、Ｊ個のＩＰアドレスをランダムに並び替えることにより、異なるネットワークアドレスを有する複数のＩＰアドレスが連続し難くなる。例えば、図５（Ｂ）では、１番目のエントリがＩＰアドレス「１９２．１６８．１０．１」、２番目のエントリがＩＰアドレス「１９２．１６８．２５５．２」、３番目のエントリがＩＰアドレス「１９２．１６８．０．２５４」、…、Ｉ番目のエントリがＩＰアドレス「１９２．１６８．１．１」であり、隣接するエントリに対応するＩＰアドレスは異なるネットワークアドレスを有する。

記憶部１０４は、ＩＰアドレスリスト及びポート番号リストを記憶する。具体的には、記憶部１０４は、ランダム化部１０３によってランダムにエントリが並び替えられたポート番号リスト（例えば、図５（Ａ））及びＩＰアドレスリスト（例えば、図５（Ｂ））を記憶してもよい。

実行部１０５は、ポート番号毎にＩＰアドレスリスト内の複数のＩＰアドレスに対するポートスキャンを実行する。具体的には、実行部１０５は、ポート番号リスト内の複数のポート番号について逐次的に、当該ポート番号毎のポートスキャンを実行する。

実行部１０５は、ランダム化部１０３によってランダムに並び替えられたポート番号リストのエントリの順番に基づいて、当該ポート番号リスト内の複数のポート番号について逐次的に、上記ポートスキャンを実行してもよい。ここで、ポート番号リストのエントリの順番とは、ポート番号リスト内のある位置から一定方向に付与された順番であり、例えば、図５（Ａ）に示すポート番号リストでは、最上のエントリが１番目で、最下のＩ番目のエントリである。

例えば、図５（Ａ）に示すポート番号リストを利用する場合、実行部１０５は、ポート番号リストの１番目のエントリであるポート番号「１１０」についてＩＰアドレスリスト内の全ＩＰアドレスに対するポートスキャンを行い、次に、２番目のエントリであるポート番号「２２」についてＩＰアドレスリスト内の全ＩＰアドレスに対するポートスキャンを行う。同様に、実行部１０５は、Ｉ番目のエントリまで、ポート番号毎にＩＰアドレスリスト内の全ＩＰアドレスに対するポートスキャンを行う。このように、ランダムに並び替えられたポート番号リストのエントリ順にポートスキャンを行うことにより、次のどのポート番号のポートスキャンが行われるのかを端末２０が推測し難くなる。

また、実行部１０５は、ランダム化部１０３によってランダムに並び替えられたＩＰアドレスリストのエントリの順番に基づいて、当該ＩＰアドレスリスト内の複数のＩＰアドレスに対するポートスキャンを実行してもよい。ここで、ＩＰアドレスリストのエントリの順番とは、ＩＰアドレスリスト内のある位置から一定方向に付与された順番であり、例えば、図５（Ｂ）に示すＩＰアドレスリストでは、最上のエントリが１番目で、最下のＩ番目のエントリである。

具体的には、実行部１０５は、ＩＰアドレスリストのエントリの順番に基づいて当該複数のＩＰアドレスをグループ化し、同一のグループに属する複数のＩＰアドレスに対するポートスキャンを並列的に実行してもよい。また、実行部１０５は、所定数のＩＰアドレスグループ毎に逐次的にポートスキャンを実行してもよい。

例えば、図５（Ｂ）に示すＩＰアドレスリストを利用する場合、実行部１０５は、Ｊ個のＩＰアドレスをＫ（Ｋ＞０の整数）のグループ（以下、「ＩＰアドレスグループ」という）にグループ化してもよい。例えば、ＩＰアドレスリストのエントリの順番に基づいて所定数（例えば、１０００個）のＩＰアドレスをグループ化してもよい。例えば、図５（Ｂ）では、１番目のエントリから順番に所定数のＩＰアドレス毎に、ＩＰアドレスグループ＃１～＃Ｋが形成される。実行部１０５は、ＩＰアドレスグループ＃１内の複数のＩＰアドレスに対して並列的にポートスキャンを実行してもよい。また、実行部１０５は、ＩＰアドレスグループ＃１のポートスキャンを実行してから次のＩＰアドレスグループのポートスキャンを実行してもよいし、複数のＩＰアドレスグループ（例えば、４つのＩＰアドレスグループ）のポートスキャンを並列的に実行してもよい。

なお、通信制御装置１０は、ランダム化部１０３を備えなくともよく、記憶部１０４は、生成部１０２によって生成されたポート番号リスト（例えば、図４（Ａ））及びＩＰアドレスリスト（例えば、図４（Ｂ））を記憶してもよい。また、実行部１０５は、当該ポート番号リストのエントリの順番に基づいて、当該ポート番号リスト内の複数のポート番号について逐次的に、上記ポートスキャンを実行してもよい。また、実行部１０５は、当該ＩＰアドレスリストのエントリの順番に基づいて、当該ＩＰアドレスリスト内の複数のＩＰアドレスに対するポートスキャンを実行してもよい。この場合、実行部１０５は、当該複数のＩＰアドレスに対するポートスキャンを逐次的に実行してもよいし、所定数のＩＰアドレス毎にグループ化し、同一のＩＰアドレスグループに属する複数のＩＰアドレス対するポートスキャンを並列的に実行してもよい。

（通信制御システムの動作）
図６は、本実施形態に係る通信制御動作の一例を示すフローチャートである。なお、図６は、例示にすぎず、少なくとも一部のステップ（例えば、ステップＳ１０１～Ｓ１０４等）の順番は入れ替えられてもよいし、不図示のステップが実施されてもよいし、一部のステップが省略されてもよい。なお、図６においてポート番号の添え字ｉ及びＩＰアドレスグループの添え字ｋの初期値は１に設定されるものとするが、これに限られない。

ステップＳ１０１において、通信制御装置１０は、複数のポート番号を含むポート番号リストを生成する。ステップＳ１０２において、通信制御装置１０は、ステップＳ１０１で生成されたポート番号リスト内の複数のポート番号をランダムに並び替える。

ステップＳ１０３において、通信制御装置１０は、複数のＩＰアドレスを含むＩＰアドレスリストを生成する。ステップＳ１０４において、通信制御装置１０は、ステップＳ１０３で生成されたＩＰアドレスリスト内の複数のＩＰアドレスをランダムに並び替える。また、ステップＳ１０４において、通信制御装置１０は、ランダムに並び替えられたＩＰアドレスリストのエントリの順番に基づいてＫ個のＩＰアドレスグループを形成してもよい。

ステップＳ１０５～Ｓ１０７において、通信制御装置１０は、ポート番号リスト内のｉ番目のポート番号（すなわち、ポート番号リストのｉ番目のエントリのポート番号）について、ＩＰアドレスリスト内のＪ個のＩＰアドレスに対して実行する。具体的には、ステップＳ１０５において、通信制御装置１０は、ｉ番目のポート番号について、ｋ（１≦ｋ≦Ｋ）番目のＩＰアドレスグループ内の複数のＩＰアドレスに対するポートスキャンを並列的に実行してもよい。

図７及び８を参照し、ｋ（例えば、ｋ＝１）番目のＩＰアドレスグループ内の複数のＩＰアドレスに対するポートスキャンについて例示する。図７では、Ｊ個のエントリに複数のＩＰアドレスを昇順に含むＩＰアドレスリスト（例えば、図４（Ｂ））が用いられ、図８では、Ｊ個のエントリに複数のＩＰアドレスをランダムな順番で含むＩＰアドレスリスト（例えば、図５（Ｂ））が用いられるものとする。

図７に示すように、例えば、図４（Ｂ）に示すＩＰアドレスリストが用いられる場合、ｋ番目のＩＰアドレスグループに同一のネットワークアドレスを有する多数のＩＰアドレスが属することになる。例えば、図７では、ネットワークアドレス「１９２．１６８．０．０」のネットワーク３０に属するＩＰアドレス「１９２．１６８．０．１」～「１９２．１６８．０．２５４」の２５４個の端末２０に対して並列的にポートスキャンが実行されることになる。このため、図７では、ネットワーク３０内の単一の端末２０対してポートスキャンを実行する場合と比較して、単一のネットワーク３０の負荷が２５４倍に増加する。

一方、図８に示すように、例えば、図５（Ｂ）に示すＩＰアドレスリストが用いられる場合、ｋ番目のＩＰアドレスグループに異なるネットワークアドレスを有するＩＰアドレスが属する確率が高くなる。例えば、図８では、図７と同一の数の端末２０がｋ番目のＩＰアドレスグループに含まれても、これらが異なるネットワーク３０に属する確率が高いので、複数のネットワーク３０にポートスキャンの負荷を分散することができる。当該複数のネットワーク３０の各々の負荷は、単一の端末２０に対してポートスキャンを実行する場合と同等になるので、図７と比較して、単一のネットワーク３０の負荷を抑制できる。

ステップＳ１０６において、通信制御装置１０は、ＩＰアドレスグループの添え字ｋをカウントアップする。ステップＳ１０７において、通信制御装置１０は、ＩＰアドレスリスト内のＫ個のＩＰアドレスグループについてポートスキャンを終えたか否かを判定し、Ｋ個のＩＰアドレスグループについてのポートスキャンを終えるまで、ステップＳ１０５～Ｓ１０７を繰り返す。

ステップＳ１０８において、通信制御装置１０は、ポート番号の添え字ｉをカウントアップする。ステップＳ１０９において、通信制御装置１０は、ポート番号リスト内のＩ個のポート番号についてポートスキャンを終えたか否かを判定し、Ｉ個のポート番号についてのポートスキャンを終えるまで、ステップＳ１０５～Ｓ１０９を繰り返す。

以上のように、本実施形態に係る通信制御システム１によれば、ポート番号毎にＩＰアドレスリスト内の複数のＩＰアドレスに対するポートスキャンが実行され、ポート番号リスト内の複数のポート番号について逐次的に当該ポートスキャンが実行される。これにより、あるタイミングにおける通信制御システム１の負荷を単一のポート番号のポートスキャン時と同等とすることができるので、通信制御システム１の負荷を抑制しながらポートスキャンを実施できる。

また、本実施形態に係る通信制御システム１によれば、ランダムに並び替えられたＩＰアドレスリストのエントリの順番に基づいて、当該ＩＰアドレスリスト内の複数のＩＰアドレスに対するポートスキャンが実行される。これにより、ポートスキャンの対象となる端末２０が異なる複数のネットワーク３０に属する確率が高くなるので、複数のネットワーク３０にポートスキャンの負荷を分散することができ、単一のネットワーク３０の負荷を抑制できる。

また、本実施形態に係る通信制御システム１によれば、ＩＰアドレスリストのエントリの順番に基づいてＩＰアドレスリスト内の複数のＩＰアドレスをグループ化し、同一のグループに属する複数のＩＰアドレスに対するポートスキャンが並列的に実行される。これにより、異なる複数のネットワーク３０に属する端末２０に対するポートスキャンを並列的に実行可能となるので、ポート番号毎のポートスキャンをより効率的に実行できる。

また、本実施形態に係る通信制御システム１によれば、ランダムに並び替えられたポート番号リストのエントリの順番に基づいて、当該ポート番号リスト内の複数のポート番号について逐次的に上記ポートスキャンが実行される。このため、次にどのポート番号のポートスキャンが実行されるのかの予測を困難化することができる。

以上の通り、本実施形態に係る通信制御システム１によると、従来現実的には困難であったポートスキャンを実行可能となり、攻撃者によるユーザの被害と電気通信役務提供の支障を防止できるので、本実施形態に係る技術は、持続可能な開発目標（ＳＤＧｓ）の目標９「産業と技術革新の基盤をつくろう」の達成に貢献できる。

（その他の実施形態）
以上説明した実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。実施形態が備える各要素並びにその配置、材料、条件、形状及びサイズ等は、例示したものに限定されるわけではなく適宜変更することができる。また、異なる実施形態で示した構成同士を部分的に置換し又は組み合わせることが可能である。

例えば、上記実施形態では、同一のＩＰアドレスグループ内の複数のＩＰアドレスに対するポートスキャンは並列的に行われるものとしたが逐次的に実行されてもよい。ＩＰアドレスリスト内に複数のＩＰアドレスグループを形成するものとしたが、当該複数のＩＰアドレスグループは形成されなくともよい。ＩＰアドレスリスト内の少なくとも二つのＩＰアドレスに対するポートスキャンは並列的に実行されてもよいし、又は、逐次的に実行されてもよい。

また、上記実施形態では、通信制御装置１０が、取得部１０１によって取得された複数のポート番号を含むポート番号リストを生成し、取得部１０１によって取得された複数のＩＰアドレスを含むＩＰアドレスリストを生成するものとしたがこれに限られない。例えば、通信制御装置１０の取得部１０１は、調査対象の複数のポート番号及び／又は調査対象の複数のＩＰアドレスを取得する代わりに、ポート番号リスト及び／又はＩＰアドレスリストを取得してもよい。この場合、通信制御装置１０１は、他の装置からポート番号リスト及び／又はＩＰアドレスリストを受信し、通信制御装置１０１自身は、ポート番号リスト及び／又はＩＰアドレスリストを生成する生成部１０２を備えなくともよい。

１…通信制御システム、１０…通信制御装置、２０…端末、３０…ネットワーク、１０ａ…プロセッサ、１０ｂ…ＲＡＭ、１０ｃ…ＲＯＭ、１０ｄ…通信部、１０ｅ…入力部、１０ｆ…表示部、１０１…取得部、１０２…生成部、１０３…ランダム化部、１０４…記憶部、１０５…実行部

Claims

複数のポート番号を含む第１リストと、複数のＩＰアドレスを含む第２リストと、を生成する生成部と、
前記第２リスト内の前記複数のＩＰアドレスに対するポートスキャンをポート番号毎に実行する実行部と、
前記第２リスト内の前記複数のＩＰアドレスをランダムに並び替えるランダム化部と、
を備え、
前記実行部は、
ランダムに並び替えられた前記第２リストの前記複数のＩＰアドレスのエントリの順番に基づいて前記複数のＩＰアドレスをグループ化し、
前記第１リストの前記複数のポート番号のエントリの順番に従って逐次的になるように、かつ、前記第２リストの同一のグループに属する複数のＩＰアドレスに対して並列的になるように前記ポートスキャンを実行する、
通信制御装置。
複数のポート番号を含む第１リストと、複数のＩＰアドレスを含む第２リストと、を生成する生成部と、
前記第２リスト内の前記複数のＩＰアドレスに対するポートスキャンをポート番号毎に実行する実行部と、
前記第１リスト内の前記複数のポート番号をランダムに並び替え、かつ、前記第２リスト内の前記複数のＩＰアドレスをランダムに並び替えるランダム化部と、
を備え、
前記実行部は、ランダムに並び替えられた前記第１リストの前記複数のポート番号のエントリの順番に従って逐次的になるように、かつ、前記第２リストの同一のグループに属する複数のＩＰアドレスに対して並列的になるように前記ポートスキャンを実行する、
通信制御装置。
通信制御装置において、
複数のポート番号を含む第１リストを生成する工程と、
複数のＩＰアドレスを含む第２リストを生成する工程と、
前記第２リスト内の前記複数のＩＰアドレスをランダムに並び替える工程と、
ランダムに並び替えられた前記第２リストの前記複数のＩＰアドレスのエントリの順番に基づいて前記複数のＩＰアドレスをグループ化する工程と、
前記第１リストの前記複数のポート番号のエントリの順番に従って逐次的になるように、かつ、前記第２リストの同一のグループに属する複数のＩＰアドレスに対して並列的になるように前記ポートスキャンを実行する工程と、
を備える、
通信制御方法。
通信制御装置に備えられたプロセッサに、
複数のポート番号を含む第１リストを生成する工程と、
複数のＩＰアドレスを含む第２リストを生成する工程と、
前記第２リスト内の前記複数のＩＰアドレスをランダムに並び替える工程と、
ランダムに並び替えられた前記第２リストの前記複数のＩＰアドレスのエントリの順番に基づいて前記複数のＩＰアドレスをグループ化する工程と、
前記第１リストの前記複数のポート番号のエントリの順番に従って逐次的になるように、かつ、前記第２リストの同一のグループに属する複数のＩＰアドレスに対して並列的になるように前記ポートスキャンを実行する工程と、
を実行させる、
通信制御プログラム。