WO2023195090A1 - 不正アクセスをブロックするためのネットワーク管理 - Google Patents

不正アクセスをブロックするためのネットワーク管理 Download PDF

Info

Publication number
WO2023195090A1
WO2023195090A1 PCT/JP2022/017145 JP2022017145W WO2023195090A1 WO 2023195090 A1 WO2023195090 A1 WO 2023195090A1 JP 2022017145 W JP2022017145 W JP 2022017145W WO 2023195090 A1 WO2023195090 A1 WO 2023195090A1
Authority
WO
WIPO (PCT)
Prior art keywords
address
communication control
control device
request packet
counting
Prior art date
Application number
PCT/JP2022/017145
Other languages
English (en)
French (fr)
Inventor
嘉 岡田
Original Assignee
楽天モバイル株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 楽天モバイル株式会社 filed Critical 楽天モバイル株式会社
Priority to PCT/JP2022/017145 priority Critical patent/WO2023195090A1/ja
Priority to US17/792,277 priority patent/US20240179120A1/en
Publication of WO2023195090A1 publication Critical patent/WO2023195090A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • This disclosure relates to network management for blocking unauthorized access.
  • DoS Delivery of Service attack
  • various servers on the Internet such as web servers, DNS (Domain Name System) servers, and mail servers, increasing the load on the servers and bringing them down.
  • DNS Domain Name System
  • mail servers increasing the load on the servers and bringing them down.
  • a count is performed using a predetermined network mask (prefix length) based on the source address, the address corresponding to the count exceeding a predetermined threshold is identified, and the address
  • a technique has been proposed for controlling packets not to be received from the Internet (Patent Document 1).
  • access can be restricted based on the address of the network mask corresponding to the count exceeding a predetermined threshold, but if the length of the network mask is short, access can be restricted based on the address belonging to a wider area. Access will be restricted. As a result, access by a large number of users unrelated to unauthorized access is restricted, resulting in a problem that user convenience is reduced. Furthermore, when using IPv4 (Internet Protocol Version 4) addresses, address specification filtering was possible to prevent unauthorized access, but when using IPv6 addresses, conventional filtering is not effectively effective. do not have. That is, IPv6 has a problem in that the number of addresses to be handled is enormous, and conventional filtering of address specifications is virtually impossible.
  • IPv4 Internet Protocol Version 4
  • the present disclosure provides a technology for appropriately determining the address area that is being accessed illegally.
  • a communication control device includes one or more processors, and at least one of the one or more processors executes a reception process, a count process, and a decision process.
  • Ru The receiving process is a process of receiving a request packet for making an inquiry to a predetermined server.
  • the counting process is a process of performing counting at multiple stages corresponding to different ranges of address areas including the source address, based on the source address of the request packet.
  • the determination process is a process of determining, among the plurality of stages, an address area corresponding to a stage in which the count value obtained by the counting process exceeds a predetermined threshold value, as the address area that is being accessed illegally.
  • a communication control method receives a request packet for making an inquiry to a predetermined server, and based on the address of the source of the request packet, determines the address of the source.
  • count processing is performed in multiple stages corresponding to different ranges of address areas including . This includes determining the address area that is being processed.
  • a storage medium is a computer-readable storage medium that stores a program, and when the program is executed by one or more processors of a communication control device,
  • the communication control device includes instructions for causing the communication control device to execute reception processing, counting processing, and determination processing.
  • the receiving process is a process of receiving a request packet for making an inquiry to a predetermined server.
  • the counting process is a process of performing counting at multiple stages corresponding to different ranges of address areas including the source address, based on the source address of the request packet.
  • the determination process is a process of determining, among the plurality of stages, an address area corresponding to a stage in which the count value obtained by the counting process exceeds a predetermined threshold value, as the address area that is being accessed illegally.
  • FIG. 1 shows a configuration example of a communication system according to an embodiment of the present disclosure.
  • FIG. 2 shows an example of a functional configuration of a communication control device according to an embodiment of the present disclosure.
  • FIG. 3 is a diagram illustrating an example hardware configuration of a communication control device according to an embodiment of the present disclosure.
  • FIG. 4 shows a flowchart of processing executed by the communication control device according to the embodiment of the present disclosure.
  • FIG. 5 is a conceptual diagram for explaining request packet counting processing.
  • FIG. 6 is a flowchart showing the process of determining whether a request packet is an invalid request packet and transmitting/blocking.
  • FIG. 1 shows an example of the configuration of a communication system according to this embodiment.
  • the present communication system is configured to include user devices 1a to 1c, a communication control device 10, and a communication server device 20, as shown in FIG.
  • Data transmission including packet transmission according to IP (Internet Protocol), is performed between the user devices 1a to 1c and the communication control device 10, and between the communication control device 10 and the communication server device 20, via a communication medium, whether wired or wireless. It is assumed that the network is connected via a communication network that allows
  • the number of user devices is not limited to a specific number.
  • the user devices 1a to 1c are collectively referred to as the user device 1 unless otherwise specified.
  • the term “user device” and the term “user who uses the user device” may be used interchangeably.
  • the communication server device 20 is, for example, a web server, a DNS (Domain Name System) server, or a mail server on the Internet.
  • the communication server device 20 is configured to, in response to receiving a request packet for making a predetermined inquiry from the user device 1 via the communication control device 10, return a response corresponding to the request.
  • the communication server device 20 is assumed to be a DNS server, and manages domain names (addresses on the Internet) and IP addresses in association with each other.
  • the user device 1 sends a request packet containing information about the domain name (hereinafter simply referred to as a request packet) in order to inquire the communication server device 20 about the IP address corresponding to the domain name that the user device 1 accesses. Send.
  • the communication control device 10 transmits the received request packet to the communication server device 20.
  • the communication server device 20 can receive the request packet from the user device 1 via the communication control device 10, include the IP address corresponding to the domain name in a response packet, and return it to the user device 1.
  • the terminal device 1 is a mobile device such as a user equipment (UE), a mobile station (MS), a mobile station device, a mobile terminal, a subscriber unit, a subscriber station, a wireless terminal, or a mobile device. or a general term for fixed user end equipment. Further, the terminal device 1 may be a device such as a cellular phone, a smartphone, a personal digital assistant (PDA), a tablet, a laptop, a handheld communication device, a handheld computing device, a satellite radio, a wireless modem card, or a CPE (Customer Premises Equipment). It's okay.
  • PDA personal digital assistant
  • CPE Customer Premises Equipment
  • the communication control device 10 can receive a request packet including information on a domain name accessed by the user device 1 from the user device 1, and can transmit the request packet to the communication server device 20.
  • Each of the user devices 1a to 1c can transmit the request packet at any timing.
  • DoS DoS
  • the communication control device 10 analyzes the content and number of received request packets, and if it determines that the request is an unauthorized request, blocks the request packet. That is, the communication control device 10 controls not to transmit the request packet to the communication server device 20.
  • FIG. 2 shows an example of the functional configuration of the communication control device 10 according to this embodiment.
  • the communication control device 10 shown in FIG. 2 includes a receiving section 21, a counting section 22, a determining section 23, a transmitting section 24, and a blocking section 25.
  • the receiving unit 21 receives from the user device 1 a request packet that includes information on the domain name that the user device 1 accesses.
  • the request packet includes domain name information, a source address, a destination address, and the like.
  • the counting unit 22 counts the number of request packets received by the receiving unit 21 based on the source address. Specifically, the counting unit 22 arbitrarily specifies (sets) a plurality of prefix lengths. Then, the counting unit 22 counts the number of request packets including the source address based on the plurality of arbitrarily specified prefix lengths.
  • the prefix length is the length (numeric value) indicating how many bits from the beginning of the IP address that is the source address represent the network address, that is, the network address part, /xx (xx is the length). expressed. The shorter the length (the smaller the number), the wider the network. The processing of the counting section 22 will be described later.
  • the determining unit 23 determines whether the received request packet is an invalid request packet by comparing the number of packets counted by the counting unit 22 with a predetermined threshold.
  • the determination unit makes the determination based on the number of receptions (number of packets) during a certain period of time from an arbitrary point in time. Therefore, the threshold value is defined by the number of packets in a certain period of time.
  • the threshold value may be set in advance in the communication system according to experience or policy, or may be set by the operator via the input unit (input unit 35 in FIG. 3). Further, the determination unit 23 may change the set threshold according to changes in the network environment. The determination processing of the determination unit 23 will be described later.
  • the transmitter 24 transmits the request packet received by the receiver 21 to the communication server device 20. However, if the determination unit 23 determines that the request packet is an invalid request packet, the packet is not transmitted to the communication server device 20.
  • the blocking unit 25 performs a process of blocking (not receiving) access to the communication server device 20 from the source of the packet. I do.
  • the blocking unit 25 can discard the packet.
  • the blocking unit 25 may be configured to notify information about the source of the fraudulent request packet to an external device as the source of the fraudulent request.
  • FIG. 3 shows an example of the hardware configuration of the communication control device 10 according to this embodiment.
  • the communication control device 10 can be implemented on any computer or any other processing platform, single or multiple.
  • the communication control device 10 may be implemented in a general-purpose server device that constitutes a cloud, or may be implemented in a dedicated server device.
  • FIG. 3 although an example is shown in which the communication control device 10 is implemented in a single computer, the communication control device 10 according to the present embodiment is implemented in a computer system including a plurality of computers. good. A plurality of computers may be connected to each other through a wired or wireless network so that they can communicate with each other.
  • the communication control device 10 may include a CPU 31, a ROM 32, a RAM 33, an HDD 34, an input section 35, a display section 36, a communication I/F 37, and a system bus 38.
  • Communication control device 10 may also include external memory.
  • the CPU (Central Processing Unit) 31 is composed of one or more processors, and controls the operation of the communication control device 10 in an integrated manner.
  • the CPU 31 controls each component (32 to 37) via a system bus 38 which is a data transmission path.
  • the ROM (Read Only Memory) 32 is a nonvolatile memory that stores control programs and the like necessary for the CPU 31 to execute processing.
  • the program may be stored in a nonvolatile memory such as an HDD (Hard Disk Drive) 34 or an SSD (Solid State Drive), or an external memory such as a removable storage medium (not shown).
  • a RAM (Random Access Memory) 33 is a volatile memory and functions as a main memory, work area, etc. of the CPU 31. That is, the CPU 31 loads necessary programs and the like from the ROM 32 into the RAM 33 when executing processing, and implements various functional operations by executing the programs and the like.
  • the HDD 34 stores, for example, various data and information necessary when the CPU 31 performs processing using a program. Further, the HDD 34 stores various data, various information, etc. obtained by the CPU 31 performing processing using programs and the like.
  • the input unit 35 is composed of a pointing device such as a keyboard and a mouse.
  • the display unit 36 is composed of a monitor such as a liquid crystal display (LCD).
  • the display unit 36 may provide a GUI (Graphical User Interface) for inputting various parameters, communication parameters used in communication with other devices, etc. to the communication device.
  • the communication I/F 37 is an interface that controls communication between the communication control device 10 and external devices.
  • each element of the functional configuration of the communication control device 10 shown in FIG. 2 can be realized by at least one of the one or more processors configuring the CPU 31 executing a program.
  • at least a portion of each element of the functional configuration of the communication control device 10 may operate as dedicated hardware. In this case, the dedicated hardware operates under the control of the CPU 31.
  • FIG. 4 shows a flowchart of processing executed by the communication control device 10 according to this embodiment.
  • the processing in FIG. 4 will be described below with reference to the configuration example of the communication system shown in FIG. 1. Note that the flowchart shown in FIG. 4 can be realized by the CPU 31 of the communication control device 10 executing a control program stored in the ROM 32 or RAM 33, and executing calculations and processing of information and control of each hardware.
  • the process proceeds to S42.
  • the request packet includes at least information on the domain name accessed by the user device, the IP address of the user device as the source information of the packet, and the destination address.
  • the counting unit 22 counts the request packet received by the receiving unit 21 in multiple stages based on a plurality of arbitrarily specified prefix lengths.
  • the counting process will be explained with reference to FIG. FIG. 5 is a conceptual diagram for explaining request packet counting processing according to this embodiment.
  • FIG. 5 shows an example in which the user device 1a in the communication system shown in FIG. 1 transmits a request packet to the communication control device 10.
  • the network range increases in the order of first network 51, second network 52, and third network 53. Note that the prefix length for each network shown in FIG. 5 is an example, and can be arbitrarily specified by the counting unit 22.
  • the counting unit 22 counts received request packets at multiple stages depending on the source IP address and different prefix lengths (64, 44, and 32 in the example of FIG. 5).
  • the counting unit 22 includes a count C1 of request packets from the source IP address (not shown), a count C1 of request packets from the first network 51 (address area with a prefix length of 64), and a count C1 of request packets from the first network 51 (address area with a prefix length of 64).
  • a count C2 of request packets from the network 52 (address area with a prefix length of 44) and a count C3 of request packets from the third network 53 (address area with a prefix length of 32) are performed.
  • the process advances to S43.
  • the determining unit 23 determines whether the received request packet is an invalid request packet based on the number of packets (count value) counted by the counting unit 22 during a certain period of time. Then, according to the determination, the transmitting unit 24 transmits the request packet to the communication server device 20, or the blocking unit 25 performs control to block access from the source of the request packet.
  • FIG. 6 is a flowchart showing the process of determining whether a request packet is an invalid request packet and transmitting/blocking.
  • the first to fourth threshold values are used for this determination.
  • the threshold value may be set in advance in the communication system, or may be set by the operator via the input unit 35. Further, the determination unit 23 may change the set threshold according to changes in the network environment.
  • the determination unit 23 determines whether the number of request packets from the source IP address is greater than the first threshold. If the number of request packets from the source IP address is greater than the first threshold (Yes in S61), the determination unit 23 determines that the request packet is an invalid request packet. That is, the determining unit 23 determines that the source IP address is the address that is being accessed illegally. In response, in S62, the blocking unit 25 performs control to block access from the source IP address of the request packet. If the number of request packets from the source IP address is less than or equal to the first threshold (No in S61), the process advances to S63.
  • the determination unit 23 determines whether the number of request packets from addresses with a prefix length of 64 including the source IP address is greater than the second threshold. If the number of request packets from the IP address with the prefix length of 64 is larger than the second threshold (Yes in S63), the determination unit 23 determines that the request packet is an invalid request packet. That is, the determination unit 23 determines that the IP address with the prefix length of 64 is an address area that is being accessed illegally. In response, in S64, the blocking unit 25 performs control to block access from the address with the prefix length of 64 (address belonging to the determined address area). If the number of request packets from the source IP address is less than or equal to the second threshold (No in S63), the process advances to S65.
  • the determination unit 23 determines whether the number of request packets from addresses with a prefix length of 44 including the source IP address is greater than the third threshold. If the number of request packets from the IP address with the prefix length of 44 is greater than the third threshold (Yes in S65), the determination unit 23 determines that the request packet is an invalid request packet. That is, the determination unit 23 determines that the IP address with the prefix length of 44 is an address area that is being accessed illegally. In response, in S66, the blocking unit 25 performs control to block access from the address with the prefix length of 44 (address belonging to the determined address area). If the number of request packets from the source IP address is less than or equal to the third threshold (No in S65), the process advances to S67.
  • the determining unit 23 determines whether the number of request packets from addresses with a prefix length of 32 including the source IP address is greater than the fourth threshold. If the number of request packets from the IP address with the prefix length of 32 is greater than the fourth threshold (Yes in S67), the determination unit 23 determines that the request packet is an invalid request packet. That is, the determination unit 23 determines that the IP address with the prefix length of 32 is an address area that is being accessed illegally. In response, in S68, the blocking unit 25 performs control to block access from the address with the prefix length of 32 (address belonging to the determined address area). If the number of request packets from the source IP address is less than or equal to the fourth threshold (No in S67), the process advances to S68.
  • the determination unit 23 can determine that the request packet is not an invalid request packet. In this case, the transmitter 24 can transmit the request packet to the communication server device 20. When the process in FIG. 6 advances to the end, the process in FIG. 4 also ends.
  • the communication control device 10 determines whether a received request packet is an invalid request packet, that is, whether the received packet is caused by unauthorized access, using different ranges including the source address. count in multiple stages corresponding to the address range of . The plurality of stages can be arbitrarily designated by the communication control device 10. Then, the communication control device 10 determines whether the count value exceeds a predetermined threshold value. Specifically, the communication control device 10 determines the address area corresponding to the stage where the count value exceeds a predetermined threshold value as the address area where unauthorized access is being performed. As a result, it is possible to appropriately determine the area of the address that is being accessed illegally, and it is possible to avoid blocking access from an unnecessarily wide range.
  • the communication control device 10 is configured to be able to arbitrarily specify the plurality of stages, so that unlike filtering that targets a specific route (route filtering), the communication control device 10 can specify the address range to be filtered. It becomes possible to make decisions flexibly. This makes it possible to build a secure network more flexibly.
  • IPv6 addresses which have a huge number of addresses, it is possible to effectively filter addresses (address areas) for unauthorized access.
  • the blocking unit 25 blocks access from a predetermined address or a predetermined range of addresses in accordance with the processing of S62, S64, S66, and S68 in FIG. , and then may temporarily unblock it. Alternatively, the operator may cancel the blocking state by the blocking unit 25 via the input unit 35.
  • IP source guard is a device that has a function that can prevent IP address spoofing. Specifically, IP source guard has a function of filtering source addresses using a predetermined table and excluding accesses from unauthorized source addresses. By arranging the IP source guard, the source IP addresses of request packets arriving at the communication control device 10 can be narrowed down, and the load of the counting process and determination process of the counting unit 22 can be reduced.
  • aspects of the present disclosure may include a computer-readable storage medium that stores a program, and here, when the program is executed by CPU 31 (at least one of one or more processors) of communication control device 10, , includes instructions for causing the communication control device 10 to execute at least one of the methods described above.
  • a reception process comprising one or more processors, in which at least one of the one or more processors receives a request packet for making an inquiry to a predetermined server, and based on the address of the source of the request packet,
  • a counting process that performs counting in a plurality of stages corresponding to different ranges of address areas including the source address, and a stage in which a count value obtained by the counting process exceeds a predetermined threshold value among the plurality of stages.
  • a communication control device that executes a determination process of determining an address area as an address area that is being accessed illegally.
  • the request packet is composed of a packet that complies with IP (Internet Protocol), and the counting process includes the communication control described in [1] or [2], in which counting is performed for different prefix lengths as the plurality of steps. Device.
  • IP Internet Protocol
  • At least one of the one or more processors further executes a control process for controlling not to receive the request packet transmitted from an address belonging to the address area determined by the determination process.[1 ] to [6].
  • the communication control device according to any one of [6].
  • [8] Receive a request packet for making an inquiry to a predetermined server, and perform counting processing in multiple stages corresponding to different ranges of address ranges including the source address, based on the address of the source of the request packet. and determining, among the plurality of steps, an address area corresponding to a step in which a count value obtained by the counting process exceeds a predetermined threshold value as an address area that is being accessed illegally.
  • a computer-readable storage medium that stores a program, the program, when executed by one or more processors of a communication control device, requests the communication control device to make an inquiry to a predetermined server. a reception process of receiving a packet; a counting process of counting in a plurality of stages corresponding to different ranges of address areas including the source address, based on the source address of the request packet; and the plurality of stages.
  • a storage medium including an instruction for executing a determining process of determining an address area corresponding to a stage where a count value obtained by the counting process exceeds a predetermined threshold value as an address area that is being accessed illegally.
  • 1a to 1c user device, 10: communication control device, 20: server device, 21: receiving section, 22: counting section, 23: determining section, 24: transmitting section, 25: blocking section

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

通信制御装置（１０）は、受信処理と、カウント処理と、決定処理を行う。前記受信処理は、所定のサーバへ問合せするための要求パケットを受信する処理である。前記カウント処理は、前記要求パケットの送信元のアドレスに基づいて、前記送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウントを行う処理である。前記決定処理は、前記複数の段階のうち、前記カウント処理によるカウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域として決定する処理である。

Description

不正アクセスをブロックするためのネットワーク管理
　本開示は、不正アクセスをブロックするためのネットワーク管理に関する。
　近年、インターネット上のウェブサーバ、ＤＮＳ（Ｄｏｍａｉｎ　Ｎａｍｅ　Ｓｙｓｔｅｍ）サーバ、メールサーバ等の各種サーバに対して大量の無効な要求を送り付けて、サーバの負荷を高めてサーバをダウンさせるＤｏＳ（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ　ａｔｔａｃｋ）攻撃が問題となっている。このような問題に対処するために、例えば、送信元のアドレスに基づいて所定のネットワークマスク（プレフィックス長）でカウントを行い、所定の閾値を超えたカウント数に対応するアドレスを特定し、当該アドレスからパケットを受信しないよう制御する技術が提案されている（特許文献１）。
特開２００５－２１０６０１号公報
　特許文献１に開示される技術では、所定の閾値を超えたカウント数に対応するネットワークマスクのアドレスによるアクセスが制限できるが、当該ネットワークマスクの長さが短い場合は、より広いエリアに属するアドレスによるアクセスが制限されてしまう。これにより、不正アクセスに関係ない多数のユーザによるアクセスが制限され、結果として、ユーザの利便性が低下するという問題があった。
　また、ＩＰｖ４（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ　Ｖｅｒｓｉｏｎ　４）によるアドレス使用時では、不正アクセスに対して、アドレス指定のフィルタリングが可能であったが、ＩＰｖ６によるアドレス使用時では、従来のようなフィルタリングは実質的に有効ではない。すなわち、ＩＰｖ６では、扱うアドレスの数が膨大であり、従来のようなアドレス指定のフィルタリングは実質的に不可能であるという問題があった。
　本開示では、このような課題に鑑みて、不正アクセスを行っているアドレスの領域を適切に決定するための技術を提供する。
　上記課題を解決するために、本開示の一態様による通信制御装置は、１以上のプロセッサを備え、前記１以上のプロセッサの少なくとも一つによって、受信処理と、カウント処理と、決定処理が実行される。前記受信処理は、所定のサーバへ問合せするための要求パケットを受信する処理である。前記カウント処理は、前記要求パケットの送信元のアドレスに基づいて、前記送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウントを行う処理である。前記決定処理は、前記複数の段階のうち、前記カウント処理によるカウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域として決定する処理である。
　上記課題を解決するために、本開示の一態様による通信制御方法は、所定のサーバへ問合せするための要求パケットを受信し、前記要求パケットの送信元のアドレスに基づいて、前記送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウント処理を行い、前記複数の段階のうち、前記カウント処理によるカウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域として決定する、ことを含む。
　上記課題を解決するために、本開示の一態様による記憶媒体は、プログラムを記憶するコンピュータ可読記憶媒体であって、前記プログラムは、通信制御装置の１つ以上のプロセッサによって実行されたときに、前記通信制御装置に、受信処理と、カウント処理と、決定処理を実行させる命令を含む。前記受信処理は、所定のサーバへ問合せするための要求パケットを受信する処理である。前記カウント処理は、前記要求パケットの送信元のアドレスに基づいて、前記送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウントを行う処理である。前記決定処理は、前記複数の段階のうち、前記カウント処理によるカウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域として決定する処理である。
　本開示の技術によれば、不正アクセスを行っているアドレスの領域を適切に決定することが可能となる。
図１は、本開示の実施形態による通信システムの構成例を示す。 図２は、本開示の実施形態による通信制御装置の機能構成例を示す。 図３は、本開示の実施形態による通信制御装置のハードウェア構成例を示す図である。 図４は、本開示の実施形態による通信制御装置により実行される処理のフローチャートを示す。 図５は、要求パケットのカウント処理を説明するための概念図である。 図６は、不正な要求パケットか否かの判定および送信／ブロックの処理の流れを示すフローチャートである。
　以下、添付図面を参照して、本開示の実施形態について詳細に説明する。以下に開示される構成要素のうち、同一機能を有するものには同一の符号を付し、その説明を省略する。なお、以下に開示される実施形態は、本開示の一形態であり、装置の構成や各種条件によって適宜修正または変更されるべきものであり、以下の実施形態のみに限定されるものではない。また、本実施形態で説明されている特徴の組み合わせの全てが上記課題の解決手段に必須のものとは限らない。
　（通信システムの構成）
　図１に、本実施形態による通信システムの構成例を示す。本通信システムは、その一例として、図１に示すように、ユーザ装置１ａ～１ｃ、通信制御装置１０、および通信サーバ装置２０を含んで構成される。ユーザ装置１ａ～１ｃと通信制御装置１０間、および通信制御装置１０と通信サーバ装置２０間は、有線、無線を問わず、通信媒体を介して、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）に従うパケット伝送を含むデータ伝送を行うことが可能な通信網で接続されているものとする。
　図１では３台のユーザ装置１ａ～１ｃが示されているが、ユーザ装置の数は特定の数に限定されない。また、以下の説明において、特に説明がない限り、ユーザ装置１ａ～１ｃをユーザ装置１と総称する。また、以下の説明において、ユーザ装置という語と当該ユーザ装置を使用するユーザという語は、同義に使用されうる。
　通信サーバ装置２０は、例えば、インターネット上のウェブサーバ、ＤＮＳ（Ｄｏｍａｉｎ　Ｎａｍｅ　Ｓｙｓｔｅｍ）サーバ、メールサーバである。通信サーバ装置２０は、ユーザ装置１から通信制御装置１０を介して、所定の問合せするための要求パケットを受信したことに応じて、当該要求に対応する応答を返すように構成されている。
　本実施形態では、通信サーバ装置２０は、ＤＮＳサーバであるものとし、ドメイン名（インターネット上の住所）とＩＰアドレスとを対応付けて管理している。ユーザ装置１は、当該ユーザ装置１がアクセスするドメイン名に対応するＩＰアドレスを、通信サーバ装置２０に問合せするために、当該ドメイン名の情報を含む要求パケット（以下、単に要求パケットと称す）を送信する。通信制御装置１０は、受信した当該要求パケットを通信サーバ装置２０へ送信する。通信サーバ装置２０は、ユーザ装置１から通信制御装置１０を介して当該要求パケットを受信し、当該ドメイン名に対応するＩＰアドレスを応答パケットに含めて、当該ユーザ装置１に返すことができる。
　端末装置１は、ユーザ装置（Ｕｓｅｒ　Ｅｑｕｉｐｍｅｎｔ（ＵＥ））、移動局（Ｍｏｂｉｌｅ　Ｓｔａｔｉｏｎ（ＭＳ））、移動局装置、移動端末、加入者ユニット、加入者局、ワイヤレス端末、移動体デバイスなどの移動型又は固定型のユーザ端機器を総称するものとする。また、端末装置１は、セルラ電話機、スマートフォン、パーソナルデジタルアシスタント（ＰＤＡ）、タブレット、ラップトップ、ハンドヘルド通信デバイス、ハンドヘルドコンピューティングデバイス、衛星ラジオ、ワイヤレスモデムカード、ＣＰＥ（Ｃｕｓｔｏｍｅｒ　Ｐｒｅｍｉｓｅｓ　Ｅｑｕｉｐｍｅｎｔ）といったデバイスであってもよい。
　（通信制御装置の機能構成）
　本実施形態による通信制御装置１０は、ユーザ装置１から当該ユーザ装置がアクセスするドメイン名の情報を含む要求パケットを受信し、当該要求パケットを通信サーバ装置２０へ送信することができる。ユーザ装置１ａ～１ｃはそれぞれ、任意のタイミングで当該要求パケットを送信することができる。本実施形態では、ユーザ装置１ａ～１ｃのユーザのうち、悪意のあるユーザが存在すると想定する。具体的には、当該悪意のあるユーザは、一定時間内に大量の要求パケットを通信サーバ装置２０へ送り付けて、通信サーバ装置２０の負荷を高めて、実質的にサービスを利用不可にするＤｏＳ（Ｄｅｎｉａｌ　ｏｆ　Ｓｅｒｖｉｃｅ　ａｔｔａｃｋ）攻撃を仕掛けうる。このような攻撃に対処するために、通信制御装置１０は、受信した要求パケットの内容および数を解析することにより、不正な要求であると判断した場合には、当該要求パケットをブロックする。すなわち、通信制御装置１０は、当該要求パケットを通信サーバ装置２０へ送信しないように制御する。
　図２に、本実施形態による通信制御装置１０の機能構成例を示す。
　図２に示す通信制御装置１０は、受信部２１、カウント部２２、判定部２３、送信部２４、およびブロック部２５を有する。
　受信部２１は、ユーザ装置１から、当該ユーザ装置１がアクセスするドメイン名の情報を含む要求パケットを受信する。当該要求パケットには、ドメイン名の情報のほか、送信元アドレス、宛先アドレス等が含まれている。
　カウント部２２は、受信部２１により受信された要求パケットについて、送信元アドレスに基づいて、当該パケットの数をカウントする。具体的には、カウント部２２は、複数のプレフィックス長を任意に指定（設定）する。そして、カウント部２２は、当該任意に指定した複数のプレフィックス長に基づき、送信元アドレスを含む要求パケットの数をカウントする。プレフィックス長とは、送信元アドレスであるＩＰアドレスの先頭から何ビット目までがネットワークアドレスを表すかを示す長さ（数値）、すなわち、ネットワークアドレス部分を示し、／ｘｘ（ｘｘは長さ）で表される。長さが短いほど（数値が小さいほど）、より広域なネットワークを表す。カウント部２２の処理については後述する。
　判定部２３は、カウント部２２によりカウントされたパケット数を所定の閾値と比較することにより、受信された要求パケットが不正な要求パケットか否かを判定する。本実施形態では、判定部は、任意の時点から一定時間の間の受信回数（パケット数）に基づいて、当該判定を行う。よって、閾値は、一定時間におけるパケット数で規定される。当該閾値は、経験やポリシーに従って、通信システムにおいて予め設定されていてもよいし、操作者によって入力部（図３の入力部３５）を介して設定されてもよい。また、判定部２３は、設定された閾値を、ネットワーク環境の変化に応じて、変更してもよい。当該判定部２３の判定処理については後述する。
　送信部２４は、受信部２１により受信された要求パケットを、通信サーバ装置２０へ送信する。ただし、判定部２３により、当該要求パケットが不正な要求パケットであると判定された場合には、当該パケットを通信サーバ装置２０へ送信しない。
　ブロック部２５は、判定部２３により、当該要求パケットが不正な要求パケットであると判定された場合には、当該パケットの送信元からの通信サーバ装置２０へのアクセスをブロックする（受信しない）処理を行う。例えば、ブロック部２５は、当該パケットを破棄することができる。また、ブロック部２５は、当該不正な要求パケットの送信元の情報を、不正要求の送信元として、外部の装置へ通知するように構成されてもよい。
　（通信制御装置のハードウェア構成）
　図３に、本実施形態による通信制御装置１０のハードウェア構成例を示す。
　本実施形態による通信制御装置１０は、単一または複数の、あらゆるコンピュータ、または他のいかなる処理プラットフォーム上にも実装することができる。通信制御装置１０は、クラウドを構成する汎用サーバ装置に実装されてもよく、専用のサーバ装置に実装されてもよい。
　図３を参照して、通信制御装置１０は、単一のコンピュータに実装される例が示されているが、本実施形態による通信制御装置１０は、複数のコンピュータを含むコンピュータシステムに実装されてよい。複数のコンピュータは、有線または無線のネットワークにより相互通信可能に接続されてよい。
　図３に示すように、通信制御装置１０は、ＣＰＵ３１と、ＲＯＭ３２と、ＲＡＭ３３と、ＨＤＤ３４と、入力部３５と、表示部３６と、通信Ｉ／Ｆ３７と、システムバス３８とを備えてよい。通信制御装置１０はまた、外部メモリを備えてよい。
　ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）３１は、１つ以上のプロセッサにより構成され、通信制御装置１０における動作を統括的に制御するものである。ＣＰＵ３１は、データ伝送路であるシステムバス３８を介して、各構成部（３２～３７）を制御する。
　ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）３２は、ＣＰＵ３１が処理を実行するために必要な制御プログラム等を記憶する不揮発性メモリである。なお、当該プログラムは、ＨＤＤ（Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅ）３４、ＳＳＤ（Ｓｏｌｉｄ　Ｓｔａｔｅ　Ｄｒｉｖｅ）等の不揮発性メモリや着脱可能な記憶媒体（不図示）等の外部メモリに記憶されていてもよい。
　ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）３３は、揮発性メモリであり、ＣＰＵ３１の主メモリ、ワークエリア等として機能する。すなわち、ＣＰＵ３１は、処理の実行に際してＲＯＭ３２から必要なプログラム等をＲＡＭ３３にロードし、当該プログラム等を実行することで各種の機能動作を実現する。
　ＨＤＤ３４は、例えば、ＣＰＵ３１がプログラムを用いた処理を行う際に必要な各種データや各種情報等を記憶している。また、ＨＤＤ３４には、例えば、ＣＰＵ３１がプログラム等を用いた処理を行うことにより得られた各種データや各種情報等が記憶される。
　入力部３５は、キーボードやマウス等のポインティングデバイスにより構成される。
　表示部３６は、液晶ディスプレイ（ＬＣＤ）等のモニターにより構成される。表示部３６は、各種パラメータや、他の装置との通信で使用される通信パラメータ等を通信装置へ指示入力するためのＧＵＩ（Ｇｒａｐｈｉｃａｌ　Ｕｓｅｒ　Ｉｎｔｅｒｆａｃｅ）を提供してよい。
　通信Ｉ／Ｆ３７は、通信制御装置１０と外部装置との通信を制御するインタフェースである。
　図２に示す通信制御装置１０の機能構成の各要素のうち少なくとも一部の機能は、ＣＰＵ３１を構成する１つ以上のプロセッサの少なくとも一つがプログラムを実行することで実現することができる。ただし、通信制御装置１０の機能構成の各要素のうち少なくとも一部が専用のハードウェアとして動作するようにしてもよい。この場合、専用のハードウェアは、ＣＰＵ３１の制御に基づいて動作する。
　（処理の流れ）
　次に、図４を参照して、本実施形態における処理の流れについて説明する。図４は、本実施形態による通信制御装置１０により実行される処理のフローチャートを示す。以下、図４の処理について、図１に示す通信システムの構成例を参照して説明する。
　なお、図４に示すフローチャートは、通信制御装置１０のＣＰＵ３１がＲＯＭ３２やＲＡＭ３３に記憶されている制御プログラムを実行し、情報の演算および加工並びに各ハードウェアの制御を実行することにより実現されうる。
　Ｓ４１において、受信部２１は、ユーザ装置１ａ～１ｃの少なくともいずれかから要求パケットを受信すると（Ｓ４１でＹｅｓ）、処理はＳ４２へ進む。要求パケットは、上記のように、当該ユーザ装置がアクセスするドメイン名の情報、当該パケットの送信元情報としての当該ユーザ装置のＩＰアドレス、宛先アドレスが少なくとも含まれる。
　Ｓ４２において、カウント部２２は、受信部２１により受信された要求パケットについて、任意に指定した複数のプレフィックス長に基づき、複数の段階でカウントを行う。カウント処理について、図５を参照して説明する。図５は、本実施形態による要求パケットのカウント処理を説明するための概念図である。
　図５は、図１に示す通信システムにおけるユーザ装置１ａが要求パケットを通信制御装置１０に送信する例を示している。ユーザ装置１ａが要求パケットを送信するために用いる送信元アドレスとしてのＩＰアドレスを管理する最も小さいネットワークを、第１ネットワーク５１（プレフィックス長＝６４）とする。また、第１ネットワーク５１を包含するネットワークを、第２ネットワーク５２（プレフィックス長＝４４）とする。また、第２ネットワーク５２を包含するネットワークを、第３ネットワーク５３（プレフィックス長＝３２）とする。第１ネットワーク５１、第２ネットワーク５２、第３ネットワーク５３の順に、ネットワーク範囲が大きくなる。なお、図５に示す各ネットワークに対するプレフィックス長は一例であり、カウント部２２により任意に指定可能である。
　このような構成の場合、カウント部２２は、送信元のＩＰアドレスおよび異なるプレフィックス長（図５の例では６４、４４、および３２）に応じた複数の段階で、受信された要求パケットをカウントする。図５の例では、カウント部２２は、送信元のＩＰアドレスからの要求パケットのカウント（不図示）、第１ネットワーク５１（プレフィックス長が６４のアドレス領域）からの要求パケットのカウントＣ１、第２ネットワーク５２（プレフィックス長が４４のアドレス領域）からの要求パケットのカウントＣ２、第３ネットワーク５３（プレフィックス長が３２のアドレス領域）からの要求パケットのカウントＣ３を行う。カウント部２２による要求パケットのカウント後、処理はＳ４３へ進む。
　Ｓ４３では、判定部２３は、一定時間の間でカウント部２２によりカウントされたパケット数（カウント値）に基づき、受信された要求パケットが不正な要求パケットか否かを判定する。そして、当該判定に従って、送信部２４が、当該要求パケットを通信サーバ装置２０へ送信する、または、ブロック部２５が、当該要求パケットの送信元からのアクセスをブロックするための制御を行う。
　Ｓ４３の処理の流れを、図６を参照して説明する。図６は、不正な要求パケットか否かの判定および送信／ブロックの処理の流れを示すフローチャートである。当該判定のために、第１～第４閾値が使用される。前述のように、当該閾値は、通信システムにおいて予め設定されていてもよいし、操作者によって入力部３５を介して設定されてもよい。また、判定部２３は、設定された閾値を、ネットワーク環境の変化に応じて、変更してもよい。
　図６では、一例として、第１～第４閾値は、１秒間に許容される受信要求パケット数とし、第１閾値＝１００、第２閾値＝１００，０００、第３閾値＝３，０００，０００、第４閾値＝１，０００，０００，０００に設定されているものとする。このように、第１～第４閾値は、この順に大きい値となるように設定することができる。
　Ｓ６１では、判定部２３は、送信元のＩＰアドレスからの要求パケットの数が、第１閾値より大きいか否かを判定する。送信元のＩＰアドレスからの要求パケットの数が第１閾値より大きい場合（Ｓ６１でＹｅｓ）、判定部２３は、当該要求パケットは不正な要求パケットであると判定する。すなわち、判定部２３は、送信元のＩＰアドレスは不正アクセスを行っているアドレスであると決定する。これに応じて、Ｓ６２において、ブロック部２５は、当該要求パケットの送信元のＩＰアドレスからのアクセスをブロックするための制御を行う。送信元のＩＰアドレスからの要求パケットの数が第１閾値以下の場合（Ｓ６１でＮｏ）、処理はＳ６３へ進む。
　Ｓ６３では、判定部２３は、送信元のＩＰアドレスを含むプレフィックス長が６４のアドレスからの要求パケットの数が、第２閾値より大きいか否かを判定する。当該プレフィックス長が６４のＩＰアドレスからの要求パケットの数が第２閾値より大きい場合（Ｓ６３でＹｅｓ）、判定部２３は、当該要求パケットは不正な要求パケットであると判定する。すなわち、判定部２３は、当該プレフィックス長が６４のＩＰアドレスは不正アクセスを行っているアドレス領域であると決定する。これに応じて、Ｓ６４において、ブロック部２５は、当該プレフィックス長が６４のアドレス（当該決定されたアドレス領域に属するアドレス）からのアクセスをブロックするための制御を行う。送信元のＩＰアドレスからの要求パケットの数が第２閾値以下の場合（Ｓ６３でＮｏ）、処理はＳ６５へ進む。
　Ｓ６５では、判定部２３は、送信元のＩＰアドレスを含むプレフィックス長が４４のアドレスからの要求パケットの数が、第３閾値より大きいか否かを判定する。当該プレフィックス長が４４のＩＰアドレスからの要求パケットの数が第３閾値より大きい場合（Ｓ６５でＹｅｓ）、判定部２３は、当該要求パケットは不正な要求パケットであると判定する。すなわち、判定部２３は、当該プレフィックス長が４４のＩＰアドレスは不正アクセスを行っているアドレス領域であると決定する。これに応じて、Ｓ６６において、ブロック部２５は、当該プレフィックス長が４４のアドレス（当該決定されたアドレス領域に属するアドレス）からのアクセスをブロックするための制御を行う。送信元のＩＰアドレスからの要求パケットの数が第３閾値以下の場合（Ｓ６５でＮｏ）、処理はＳ６７へ進む。
　Ｓ６７では、判定部２３は、送信元のＩＰアドレスを含むプレフィックス長が３２のアドレスからの要求パケットの数が、第４閾値より大きいか否かを判定する。当該プレフィックス長が３２のＩＰアドレスからの要求パケットの数が第４閾値より大きい場合（Ｓ６７でＹｅｓ）、判定部２３は、当該要求パケットは不正な要求パケットであると判定する。すなわち、判定部２３は、当該プレフィックス長が３２のＩＰアドレスは不正アクセスを行っているアドレス領域であると決定する。これに応じて、Ｓ６８において、ブロック部２５は、当該プレフィックス長が３２のアドレス（当該決定されたアドレス領域に属するアドレス）からのアクセスをブロックするための制御を行う。送信元のＩＰアドレスからの要求パケットの数が第４閾値以下の場合（Ｓ６７でＮｏ）、処理はＳ６８へ進む。
　処理がＳ６８へ進んだ場合、判定部２３は、当該要求パケットは、不正な要求パケットでないと判定することができる。この場合、送信部２４は、当該要求パケットを通信サーバ装置２０へ送信することができる。図６の処理がエンドに進むと、図４の処理も終了する。
　このように、本実施形態による通信制御装置１０は、受信した要求パケットが不正な要求パケットか否か、すなわち、受信したパケットが不正アクセスによるものか否かを、送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウントする。当該複数の段階は、通信制御装置１０が任意に指定することができる。そして、通信制御装置１０は、当該カウント値が所定の閾値を超えたか否か判定する。具体的には、通信制御装置１０は、カウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域と決定する。これにより、不正アクセスを行っているアドレスの領域を適切に決定でき、不必要に広い範囲からのアクセスをブロックすることを回避することができる。
　また、通信制御装置１０は、当該複数の段階を任意に指定することが可能なように構成されることにより、特定のルートを対象としたフィルタリング（ルートフィルタリング）とは異なり、フィルタリングするアドレス範囲を柔軟に決定することが可能となる。これにより、セキュアなネットワークをより柔軟に構築することが可能となる。
　また、アドレスの数が膨大であるＩＰｖ６によるアドレスを用いる場合であっても、有効に不正アクセスのアドレス（アドレス領域）に対するフィルタリングを行うことが可能となる。
　なお、ブロック部２５は、図６におけるＳ６２、Ｓ６４、Ｓ６６、Ｓ６８の処理に応じて所定または所定範囲のアドレスからのアクセスをブロックした場合、一定時間（例えば、１０分）はその状態を保持し、その後、一時的にブロックを解除してもよい。あるいは、操作者が入力部３５を介してブロック部２５によるブロック状態を解除してもよい。
　なお、上記実施形態では、ユーザ装置１と通信制御装置１０が直接的に接続される例を示したが、ユーザ装置１と通信制御装置１０との間に、ＩＰソースガード（不図示）を配置するように通信システムを構成してもよい。ＩＰソースガードは、ＩＰアドレスのなりすましを防止できる機能を備えた装置である。具体的には、ＩＰソースガードは、所定のテーブルを用いて、送信元アドレスをフィルタリングし、不正な送信元アドレスからのアクセスを排除する機能を有する。ＩＰソースガードを配置することにより、通信制御装置１０へ到達する要求パケットの送信元ＩＰアドレスが絞られ、カウント部２２のカウント処理および判定処理の負荷が軽減されうる。
　上記説明では、主に、単独の攻撃元からの攻撃（ＤｏＳ攻撃）に対処することが可能な実施形態について説明したが、本実施形態は、不正アクセスか否かの判定に用いる各閾値の設定により、複数の攻撃元からの攻撃（ＤＤｏｓ攻撃）にも対処可能である。
　本開示の態様は、プログラムを記憶するコンピュータ可読記憶媒体を含むことができ、ここでは、当該プログラムが、通信制御装置１０のＣＰＵ３１（１つ以上のプロセッサの少なくとも一つ）によって実行されたときに、通信制御装置１０に前述の方法のうちの少なくともいずれかを実行させる命令を含む。
　なお、上記において特定の実施形態が説明されているが、当該実施形態は単なる例示であり、本開示の範囲を限定する意図はない。本明細書に記載された装置及び方法は上記した以外の形態において具現化することができる。また、本開示の範囲から離れることなく、上記した実施形態に対して適宜、省略、置換及び変更をなすこともできる。かかる省略、置換及び変更をなした形態は、請求の範囲に記載されたもの及びこれらの均等物の範疇に含まれ、本開示の技術的範囲に属する。
　（本開示の実施形態）
　本開示は以下の実施形態を含む。
［１］１以上のプロセッサを備え、前記１以上のプロセッサの少なくとも一つによって、所定のサーバへ問合せするための要求パケットを受信する受信処理と、前記要求パケットの送信元のアドレスに基づいて、前記送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウントを行うカウント処理と、前記複数の段階のうち、前記カウント処理によるカウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域として決定する決定処理と、が実行される通信制御装置。
　［２］前記カウント処理は、前記複数の段階を指定する処理を含む［１］に記載の通信制御装置。
　［３］要求パケットは、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）に従うパケットで構成され、前記カウント処理は、前記複数の段階として、異なるプレフィックス長に対してカウントを行う［１］または［２］に記載の通信制御装置。
　［４］前記所定の閾値は、一定時間の間の所定の回数として設定される［１］から［３］のいずれかに記載の通信制御装置。
　［５］前記所定の閾値は、前記複数の段階のそれぞれで異なるように設定される［１］から［４］のいずれかに記載の通信制御装置。
　［６］前記所定のサーバは、ＤＮＳ（Ｄｏｍａｉｎ　Ｎａｍｅ　Ｓｙｓｔｅｍ）サーバである［１］から［５］のいずれかに記載の通信制御装置。
　［７］前記１以上のプロセッサの少なくとも一つによって、前記決定処理により決定されたアドレス領域に属するアドレスから送信された前記要求パケットを受信しないように制御する制御処理、がさらに実行される［１］から［６］のいずれかに記載の通信制御装置。
　［８］所定のサーバへ問合せするための要求パケットを受信し、前記要求パケットの送信元のアドレスに基づいて、前記送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウント処理を行い、前記複数の段階のうち、前記カウント処理によるカウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域として決定する、ことを含む通信制御方法。
　［９］プログラムを記憶するコンピュータ可読記憶媒体であって、前記プログラムは、通信制御装置の１つ以上のプロセッサによって実行されたときに、前記通信制御装置に、所定のサーバへ問合せするための要求パケットを受信する受信処理と、前記要求パケットの送信元のアドレスに基づいて、前記送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウントを行うカウント処理と、前記複数の段階のうち、前記カウント処理によるカウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域として決定する決定処理と、を実行させる命令を含む記憶媒体。
１ａ～１ｃ：ユーザ装置、１０：通信制御装置、２０：サーバ装置、２１：受信部、２２：カウント部、２３：判定部、２４：送信部、２５：ブロック部

 

Claims (9)

  1. 　１以上のプロセッサを備え、
    　前記１以上のプロセッサの少なくとも一つによって、
    　　所定のサーバへ問合せするための要求パケットを受信する受信処理と、
    　　前記要求パケットの送信元のアドレスに基づいて、前記送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウントを行うカウント処理と、
    　　前記複数の段階のうち、前記カウント処理によるカウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域として決定する決定処理と、
    が実行される、
    　ことを特徴とする通信制御装置。
  2. 　前記カウント処理は、前記複数の段階を指定する処理を含むことを特徴とする請求項１に記載の通信制御装置。
  3. 　前記要求パケットは、ＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）に従うパケットで構成され、
    　前記カウント処理は、前記複数の段階として、異なるプレフィックス長に対してカウントを行うことを特徴とする請求項１に記載の通信制御装置。
  4. 　前記所定の閾値は、一定時間の間の所定の回数として設定されることを特徴とする請求項１に記載の通信制御装置。
  5. 　前記所定の閾値は、前記複数の段階のそれぞれで異なるように設定されることを特徴とする請求項１に記載の通信制御装置。
  6. 　前記所定のサーバは、ＤＮＳ（Ｄｏｍａｉｎ　Ｎａｍｅ　Ｓｙｓｔｅｍ）サーバであることを特徴とする請求項１に記載の通信制御装置。
  7. 　前記１以上のプロセッサの少なくとも一つによって、
    　　前記決定処理により決定されたアドレス領域に属するアドレスから送信された前記要求パケットを受信しないように制御する制御処理、がさらに実行されることを特徴とする請求項１に記載の通信制御装置。
  8. 　所定のサーバへ問合せするための要求パケットを受信し、
    　前記要求パケットの送信元のアドレスに基づいて、前記送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウント処理を行い、
    　前記複数の段階のうち、前記カウント処理によるカウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域として決定する、
    ことを含むことを特徴とする通信制御方法。
  9. 　プログラムを記憶するコンピュータ可読記憶媒体であって、前記プログラムは、通信制御装置の１つ以上のプロセッサによって実行されたときに、前記通信制御装置に、
    　所定のサーバへ問合せするための要求パケットを受信する受信処理と、
    　前記要求パケットの送信元のアドレスに基づいて、前記送信元のアドレスを含む異なる範囲のアドレス領域に対応する複数の段階でカウントを行うカウント処理と、
    　前記複数の段階のうち、前記カウント処理によるカウント値が所定の閾値を超えた段階に対応するアドレス領域を、不正アクセスを行っているアドレス領域として決定する決定処理と、
    を実行させる命令を含むことを特徴とする記憶媒体。
     

     
PCT/JP2022/017145 2022-04-06 2022-04-06 不正アクセスをブロックするためのネットワーク管理 WO2023195090A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/JP2022/017145 WO2023195090A1 (ja) 2022-04-06 2022-04-06 不正アクセスをブロックするためのネットワーク管理
US17/792,277 US20240179120A1 (en) 2022-04-06 2022-04-06 Network management for blocking unauthorized access

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/017145 WO2023195090A1 (ja) 2022-04-06 2022-04-06 不正アクセスをブロックするためのネットワーク管理

Publications (1)

Publication Number Publication Date
WO2023195090A1 true WO2023195090A1 (ja) 2023-10-12

Family

ID=88242702

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/017145 WO2023195090A1 (ja) 2022-04-06 2022-04-06 不正アクセスをブロックするためのネットワーク管理

Country Status (2)

Country Link
US (1) US20240179120A1 (ja)
WO (1) WO2023195090A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005210601A (ja) * 2004-01-26 2005-08-04 Nippon Telegr & Teleph Corp <Ntt> 不正侵入検知装置
JP2013502130A (ja) * 2009-08-13 2013-01-17 インターナショナル・ビジネス・マシーンズ・コーポレーション Ｉｐネットワークのためのアドレス範囲自動検出
JP2017200152A (ja) * 2016-04-28 2017-11-02 学校法人東京電機大学 通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005210601A (ja) * 2004-01-26 2005-08-04 Nippon Telegr & Teleph Corp <Ntt> 不正侵入検知装置
JP2013502130A (ja) * 2009-08-13 2013-01-17 インターナショナル・ビジネス・マシーンズ・コーポレーション Ｉｐネットワークのためのアドレス範囲自動検出
JP2017200152A (ja) * 2016-04-28 2017-11-02 学校法人東京電機大学 通信制限範囲特定装置、通信制御装置、通信装置、通信システム、通信制限範囲特定方法、及びプログラム

Also Published As

Publication number Publication date
US20240179120A1 (en) 2024-05-30

Similar Documents

Publication Publication Date Title
US11575686B2 (en) Client reputation driven role-based access control
US10764320B2 (en) Structuring data and pre-compiled exception list engines and internet protocol threat prevention
US10091237B2 (en) Systems and methods for network access control
AU2014244137B2 (en) Internet protocol threat prevention
US9838421B2 (en) Systems and methods utilizing peer measurements to detect and defend against distributed denial of service attacks
US8726338B2 (en) Dynamic threat protection in mobile networks
US10038715B1 (en) Identifying and mitigating denial of service (DoS) attacks
KR101812403B1 (ko) SDN에서의 DoS공격 방어시스템 및 이의 구현방법
US11451582B2 (en) Detecting malicious packets in edge network devices
US11800598B2 (en) Method for providing an elastic content filtering security service in a mesh network
WO2017143897A1 (zh) 一种攻击处理方法、设备及系统
WO2023195090A1 (ja) 不正アクセスをブロックするためのネットワーク管理
US11115435B2 (en) Local DDOS mitigation announcements in a telecommunications network
Nenova et al. Intrusion detection system model implementation against ddos attacks
KR20070114501A (ko) 비업무사이트 차단 시스템 및 방법
CN110380968B (zh) 一种报文处理的方法及装置
US20240107294A1 (en) Identity-Based Policy Enforcement for SIM Devices
Averbakh et al. Classification of DDoS attacks and their implementation
JP2012114917A (ja) コンテンツフィルタリングシステム及びパケットレベル遮断システムを利用したＤｏＳ攻撃遮断方法、システム及びコンピュータ読み取り可能な記録媒体
WO2016001713A2 (en) Dns mobile app for smart devices

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 17792277

Country of ref document: US

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22936490

Country of ref document: EP

Kind code of ref document: A1