(57)【要約】【課題】外部ネットワークに接続された攻撃者からのアタックによる通信トラフィックの増大を回避することのできるコントローラ、端末、ルータ、並びにこれらを備えたネットワークシステムを得る。【解決手段】コントローラ３００は、外部ネットワーク５００上の攻撃者４００からのアタック状況に応じてルータ２００のポートマップを更新し、端末１００に更新したアドレスの通知を行う。【選択図】図１
2010068306.tif 000002
【特許請求の範囲】
【請求項１】
内部ネットワークに接続されるコントローラであって、
外部ネットワークに接続される端末に各種サービスを提供する公開サービス機能と、
アドレス変換テーブル設定機能と、
セキュリティアタックに関する情報を受信して管理するアタック情報管理手段と、
前記公開サービス機能にアクセスするためのアドレスを前記端末に送信するアドレス通知手段とを有し、
所定のセキュリティアタックを受けると、前記アドレス変換テーブル設定機能は前記外部ネットワークと内部ネットワークとを中継するルータに対してポートマップの再設定を要求し、前記アドレス通知手段は前記ルータによって再設定された前記ポートマップに基づく前記アドレスを前記端末に送信する
ことを特徴とするコントローラ。
【請求項２】
前記アタック情報管理手段は、
セキュリティアタックに関する情報を受信すると、
前記アドレス変換テーブル設定機能に対してはポートマップの再設定を要求する指示を行い、前記アドレス通知手段に対しては再設定した前記ポートマップに基づく前記アドレスを前記端末に送信するよう要求する
ことを特徴とする請求項１記載のコントローラ。
【請求項３】
外部ネットワークに接続される端末であって、
前記外部ネットワークはルータを介して請求項１または請求項２に記載のコントローラが接続される内部ネットワークと接続され、
前記コントローラの公開サービス機能にアクセスするクライアント部と、
前記コントローラのアドレス通知手段から送信されたアドレスを受信するアドレス受信手段とを備えた
ことを特徴とする端末。
【請求項４】
外部ネットワークと請求項１または請求項２に記載のコントローラが接続される内部ネットワークとを中継するルータであって、
ポートマップと、
前記アドレス変換テーブル設定機能からの指示によりポートマップの設定を行う通信処理部と、
前記外部ネットワークからのセキュリティアタックを検出し、該セキュリティアタックに関する情報を前記コントローラに対して通知するアタック検出手段を設けた
ことを特徴とするルータ。
【請求項５】
請求項１又は請求項２に記載のコントローラと、
請求項３記載の端末と、
請求項４記載のルータとを備えた
ことを特徴とするネットワークシステム。
【請求項６】
内部ネットワークに接続されるコントローラと、
前記内部ネットワークとルータを介して接続される外部ネットワークに接続される端末と、
請求項４記載のルータと、
前記内部ネットワークに接続され、前記端末に各種サービスを提供する公開サービス機能を有する公開サーバとを備えたネットワークシステムであって、
前記コントローラは、
アドレス変換テーブル設定機能と、
セキュリティアタックに関する情報を受信して管理するアタック情報管理手段と、
前記公開サーバにアクセスするためのアドレスを前記端末に送信するアドレス通知手段とを有し、
所定のセキュリティアタックを受けると、前記アドレス変換テーブル設定機能は前記ルータに対してポートマップの再設定を要求し、前記アドレス通知手段は再設定した前記ポートマップに基づく前記アドレスを前記端末に送信し、
前記端末は、
前記公開サーバにアクセスするクライアント部と、
前記コントローラのアドレス通知手段から送信されたアドレスを受信するアドレス受信手段とを備えた
ことを特徴とするネットワークシステム。
【請求項７】
前記アタック情報管理手段は、
前記ルータが検知したセキュリティアタックに関する情報を受信すると、
前記アドレス変換テーブル設定機能に対してはポートマップの再設定を要求する指示を行い、前記アドレス通知手段に対しては再設定した前記ポートマップに基づく前記アドレスを前記端末に送信するよう要求する
ことを特徴とする請求項６記載のネットワークシステム。
【請求項８】
請求項１又は請求項２に記載のコントローラと、
請求項３記載の端末と、
請求項４記載のルータと、
外部ネットワークに接続される監視装置とを備えたネットワークシステムであって、
前記コントローラのアタック情報管理手段は、セキュリティアタックに関する情報を前記監視装置に通知し、
前記監視装置は、
前記コントローラから取得したセキュリティアタックに関する情報を収集して管理するとともに、該情報に基づいてセキュリティアタックを行う攻撃者を特定する
ことを特徴とするネットワークシステム。
【請求項９】
請求項１又は請求項２に記載のコントローラと、
請求項３記載の端末と、
請求項４記載のルータと、
外部ネットワークに接続される監視装置と、
前記コントローラと同じ内部ネットワークに接続されるおとりサーバとを備えたネットワークシステムであって、
前記おとりサーバは、自身に対するセキュリティアタックに関する情報を収集して前記監視装置に送信し、
前記監視装置は、
前記おとりサーバから取得したセキュリティアタックに関する情報を収集して管理するとともに、該情報に基づいてセキュリティアタックを行う攻撃者を特定する
ことを特徴とするネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コントローラ、端末、ルータ、及びネットワークシステムに関するものであり、特に外部ネットワークからルータを介して内部ネットワーク内のコントローラにアクセスする技術に関する。
【背景技術】
【０００２】
従来より、外部ネットワークに接続された監視装置から、内部ネットワークに接続された監視対象装置に対してルータを介してアクセスするシステムが提案されている。このようなシステムとして、「ＬＡＮインタフェースに接続された装置のポートに対するマッピングを示すポートマッピング情報を用いて、前記ＬＡＮインタフェースとＷＡＮインタフェースの間でパケットを転送するブロードバンドルータであって、ポートマッピングテーブル上で前記ポートマッピング情報の登録及び削除を管理するポートマッピング部と、前記ポートマッピングテーブルにポートマッピング情報が登録されている装置の正常性を監視し、正常性が失われた装置のポートマッピング情報の削除を前記ポートマッピング部に要求する監視部と、前記ポートマッピングテーブルに登録された前記ポートマッピング情報に従って前記ＷＡＮインタフェースと前記ＬＡＮインタフェースの間のパケットを転送するルータ部とを」備えたブロードバンドルータが提案されている（例えば、特許文献１参照）。
【０００３】
【特許文献１】特開２００６−１５７８００号公報（第４頁、第５頁）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
特許文献１に記載のブロードバンドルータによれば、ポートマッピングテーブルに登録されたポートマッピング情報に基づいて、ＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）あるいはＮＡＰＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｐｏｒｔ  Ｔｒａｎｓｌａｔｉｏｎ）などのアドレス変換を行っている。これにより、外部ネットワーク（ＷＡＮ：Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）から内部ネットワーク（ＬＡＮ：Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）へのアクセスを可能にしている。
【０００５】
しかしながら、特許文献１に記載の技術ではポートマッピング情報が固定であるため、外部ネットワークに接続された攻撃者がポートスキャンを行うことで、内部ネットワークに接続されたコントローラへアクセスするためのポートを特定しうる。こうなると、外部ネットワークのポートに継続してアクセスが行われ、ＮＡＴ／ＮＡＰＴ越えを行って内部ネットワークに接続されたコントローラのポートへの通信トラフィックを増大させるという問題点があった。
【０００６】
本発明は、上述のような課題を解決するためになされたもので、外部ネットワークに接続された攻撃者からのアタックによる通信トラフィックの増大を回避することのできるコントローラ、端末、ルータ、並びにこれらを備えたネットワークシステムを提供するものである。
【課題を解決するための手段】
【０００７】
本発明に係るコントローラは、
内部ネットワークに接続されたコントローラであって、
外部ネットワークに接続された端末に各種サービスを提供する公開サービスと、
アドレス変換テーブル設定機能と、
セキュリティアタックに関する情報を受信して管理するアタック情報管理手段と、
前記公開サービスにアクセスするためのアドレスを前記端末に通知するアドレス通知手段とを有し、
所定のセキュリティアタックを受けると、前記アドレス変換テーブル設定機能機能は前記外部ネットワークと内部ネットワークとを中継するルータに対してポートマップの再設定を要求し、前記アドレス通知手段は前記ルータによって再設定された前記ポートマップに基づく前記アドレスを前記端末に送信する
ことを特徴とするものである。
【発明の効果】
【０００８】
本発明では、内部ネットワークに接続されたコントローラに対してルータを介して外部ネットワークに接続された端末からアクセスする際において、外部ネットワーク上の攻撃者からのアタック状況に応じてポートマップを更新し、端末に更新したアドレスの通知を行うようにした。このため、攻撃者からのセキュリティアタックを逸らすことができ、セキュリティアタックに伴う通信トラフィックの増大を回避することができる。
【発明を実施するための最良の形態】
【０００９】
実施の形態１．
図１は、本発明の実施の形態１に係るシステム構成図である。図１において、インターネットなどの外部ネットワーク５００は、ルータ２００を介してＬＡＮなどの内部ネットワーク６００と接続されている。外部ネットワーク５００には、端末１００、攻撃者４００が接続されており、内部ネットワーク６００にはコントローラ３００が接続されている。例えば、コントローラ３００は、内部ネットワーク６００に接続された図示しない各種機器を制御するための制御装置であり、端末１００は、外部ネットワーク５００を使ってコントローラ３００を遠隔監視する端末である。
【００１０】
図１に示すネットワークシステムは、外部ネットワーク５００に接続された端末１００から、ルータ２００を介して内部ネットワーク６００に接続されたコントローラ３００に対してアクセスするために構築されたネットワークシステムである。ルータ２００は、外部ネットワーク５００と内部ネットワーク６００との間でアドレス変換を行っている。また、ルータ２００及びコントローラ３００はＵＰｎＰ（Ｕｎｉｖｅｒｓａｌ  Ｐｌｕｇ  ａｎｄ  Ｐｌａｙ）に対応しており、コントローラ３００がＵＰｎＰコントロールポイントの役割を行う。
【００１１】
攻撃者４００は、コントローラ３００に不正侵入してデータの改ざんや流出などのセキュリティアタックを図ろうとするものであり、外部ネットワーク５００に接続されている。
【００１２】
図２は、端末１００の構成を示すブロック図である。端末１００は、アドレス受信手段１１０、通信先アドレス管理手段１２０、クライアント部１３０を備えている。
【００１３】
アドレス受信手段１１０は、コントローラアドレスに関する情報を、電子メール、ＨＴＴＰ通信、ＦＴＰ通信などの通信方法で受信する手段である。アドレス受信手段１１０は、コントローラ３００から送信されたデータをルータ２００を経由して受信できるものであればよく、通信方法は問わない。ここで、コントローラアドレスとは、コントローラ３００にアクセスするために必要なアドレスであり、ルータ２００が管理する外部ネットワーク５００側のコントローラ３００のポート番号とＩＰアドレスを含んでいる。
【００１４】
通信先アドレス管理手段１２０は、アドレス受信手段１１０が受信したコントローラアドレスに関する情報を管理し、後述のクライアント部１３０に通知する。
【００１５】
クライアント部１３０は、通信先アドレス管理手段１２０から取得したコントローラアドレスに基づいて、後述するコントローラ３００の公開サービス３４０と通信し、公開サービス３４０によって提供される情報や機能を実行する。また、取得した情報や機能の実行結果を、画面表示などによりユーザに知らせることができる。例えば、コントローラ３００の公開サービス３４０がＷｅｂサーバ機能を有している場合には、クライアント部１３０はブラウザアプリケーションを用いることができる。
【００１６】
図３は、ルータ２００の構成を示すブロック図である。ルータ２００はＵＰｎＰに対応しており、ＵＰｎＰ処理部２１０、ポートマップ２２０、アドレス変換部２３０、アタック情報管理手段２４０を備えている。
【００１７】
ＵＰｎＰ処理部２１０は、ルータ２００に接続されたＵＰｎＰ対応機器からの要求に応じて、ポートマップ２２０の作成、削除を行う。
【００１８】
ポートマップ２２０は、アドレス変換部２３０がアドレス変換する際のアドレス変換テーブルであり、外部ネットワーク５００側のＩＰアドレス及びポート番号と、内部ネットワーク６００側のＩＰアドレス及びポート番号とが対になった情報が格納されている。
【００１９】
アドレス変換部２３０は、ポートマップ２２０の情報に基づいて、外部ネットワーク５００側のアドレスを内部ネットワーク６００側のアドレスに変換する。本実施の形態１では、アドレス変換部２３０は、ＮＡＰＴによりアドレス変換を行う場合を例に説明するが、ＮＡＴによりアドレス変換を行ってもよい。
【００２０】
アタック情報管理手段２４０は、外部ネットワーク５００に接続された攻撃者４００からのセキュリティアタックを検出し、セキュリティアタックに関する情報をコントローラ３００に通知する。セキュリティアタックには、コンピュータやルータをランダムに検索して不正なデータを送信することにより使用不能にさせるものや、トラフィックを増大させて相手のネットワークを麻痺させるようなものなどがある。アタック情報管理手段２４０は、例えば、通信ログを解析するなど、セキュリティアタックの種類と特性に応じた方法によりセキュリティアタックの検出を行う。そして、アタックの連続回数や頻度など所定の尺度を用いてアタックの重度を判断する。例えば、一時的にアタックが行われて以降連続的にアタックがない場合は、軽度であると判断することができる。そしてアタック情報管理手段２４０は、検出したセキュリティアタックに関する情報を、アタック情報としてコントローラ３００に通知する。
【００２１】
ここで、アタック情報とは、攻撃者４００によるセキュリティアタックに関する情報であり、例えば、攻撃者４００のアドレス、アタックされた日時などである。
【００２２】
図４は、コントローラ３００の構成を示すブロック図である。コントローラ３００はＵＰｎＰに対応しており、ＵＰｎＰコントロールポイント３１０、アタック情報管理手段３２０、アドレス通知手段３３０、公開サービス３４０を備えている。
【００２３】
ＵＰｎＰコントロールポイント３１０は、ＵＰｎＰプロトコルに基づいてルータ２００のＵＰｎＰ処理部２１０に対してポートマップの作成や削除を要求し、本発明のアドレス変換テーブル設定機能に相当する。
【００２４】
アタック情報管理手段３２０は、ルータ２００のアタック情報管理手段２４０から通知されたアタック情報を受信し、これを履歴管理する。また、アタック情報を受信した場合には、ＵＰｎＰコントロールポイント３１０に対して新たなポートマップの作成を要求する。
【００２５】
アドレス通知手段３３０は、端末１００に対してコントローラアドレスを通知する。端末１００への通知は、ルータ２００を経由する通信手段を用いて行い、例えば、電子メール、ＨＴＴＰ通信、ＦＴＰ通信などを用いることができる。
【００２６】
公開サービス３４０は、外部ネットワーク５００に接続された端末１００に対して情報や機能などの各種サービスを提供する。例えば、端末１００から情報送信や機能実行の要求があった場合には、対応する情報の送信や機能の実行を行う。なお、公開サービス３４０としては、例えば、Ｗｅｂサーバを用いることができる。
【００２７】
上記のような構成において、端末１００からコントローラ３００の公開サービス３４０へアクセスする際の動作概要を説明する。ユーザが端末１００から公開サービス３４０にアクセスする際には、予め、コントローラ３００のアドレス通知手段３３０から、公開サービス３４０のアドレス情報を取得しておく。そして、該アドレス情報に従って、クライアント部１３０を用いて要求パケットを送信する。この要求パケットは外部ネットワーク５００を経由してルータ２００に到達し、ルータ２００は、ポートフォワーディング機能を用いて端末１００からの要求パケットをコントローラ３００の公開サービス３４０に転送する。公開サービス３４０は前記要求パケットを受信し、パケット内容に応じた処理を行う。例えば、要求パケットが情報送信を要求するものであれば応答パケットを発信する。応答パケットは、内部ネットワーク６００、ルータ２００、外部ネットワーク５００を経由して端末１００へと届けられる。
【００２８】
次に、図５により本実施の形態１に係るネットワークシステムの処理フローを説明する。図５は、本実施の形態１に係る端末１００、ルータ２００、コントローラ３００、攻撃者４００による処理フローである。図５の処理フローにおいては、後述するステップＳ５０１〜Ｓ５０５までは端末１００からコントローラ３００へアクセスする際の通常の処理フローを示し、ステップＳ５０６〜Ｓ５１３は攻撃者４００がセキュリティアタックを行う際の処理フローを示す。以下、順に説明する。
【００２９】
コントローラ３００が内部ネットワーク６００に接続して通信を開始する際、コントローラ３００は、ポートマップ設定を要求するコマンドをＵＰｎＰプロトコルに従ってルータ２００に対して送信する（Ｓ５０１）。本実施の形態１では、公開サービス３４０が各種サービスを提供するので、公開サービス３４０のポートマップ設定を要求する。ルータ２００は、コントローラ３００からの要求に従ってポートマップ設定を行い、コントローラ３００に応答を返す（Ｓ５０２）。ポートマップ設定が行われることにより、コントローラ３００は外部ネットワーク５００に接続されたデバイスとの間で通信を行うことができるようになる。
【００３０】
コントローラ３００は、電子メールなどを利用してコントローラアドレスを端末１００に対して送信する（Ｓ５０３）。送信されたコントローラアドレスはルータ２００を経由して端末１００に通知される。コントローラアドレスはコントローラ３００の公開サービス３４０にアクセス可能なアドレス情報であり、端末１００はこのコントローラアドレスを用いて公開サービス３４０へのアクセスが可能となる。
【００３１】
端末１００は、ステップＳ５０３で通知されたコントローラアドレスへのアクセスを行い（Ｓ５０４）、端末１００から送信された要求パケットが、ルータ２００を介してコントローラ３００の公開サービス３４０へと届けられる。
【００３２】
コントローラ３００の公開サービス３４０は、要求パケットに従って、例えば情報送信や機能実行などの各種サービスを提供する（Ｓ５０５）。
【００３３】
このように、端末１００には予めコントローラ３００のコントロールアドレスが通知されているので、内部ネットワーク６００に接続されたコントローラ３００に対して外部ネットワーク５００に接続された端末１００からアクセスを行うことができる。
【００３４】
なお、ステップＳ５０１〜Ｓ５０３は、コントローラ３００が初めて内部ネットワーク６００に接続された場合など、通信を確立する際に必要な処理であり、一旦通信を確立した後は、後述の攻撃者４００からのセキュリティアタックを受けた場合を除き、原則としてステップＳ５０１〜Ｓ５０３の処理は行わず、ステップＳ５０４、Ｓ５０５に示す処理のみが行われることとなる。
【００３５】
次に、外部ネットワーク５００に接続された攻撃者４００がセキュリティアタックを行った場合の処理フローを説明する。
【００３６】
攻撃者４００は、外部ネットワーク５００に公開されたルータ２００の外部ネットワークアドレスを、アドレススキャンなどの手法を用いて特定する（Ｓ５０６）。攻撃者４００は、アドレススキャンなどにより特定したルータ２００のアドレスに対してセキュリティアタックを行う（Ｓ５０７）。なお、攻撃者４００が何らかの理由によりルータ２００の外部ネットワークアドレスを特定している場合などには、ステップＳ５０６のアドレススキャンを行わない場合もある。
【００３７】
ルータ２００は、通信ログの解析を行うなどしてセキュリティアタックを検知すると（Ｓ５０８）、前述の通りセキュリティアタックの重度を判断し、重度の場合はコントローラ３００に対してセキュリティアタックの情報を通知する（Ｓ５０９）。
【００３８】
セキュリティアタックの中には、ルータ２００の外部ネットワーク側のポートに対して連続したアタックを行うものがある。この場合、コントローラ３００の公開サービス３４０の通信トラフィックを増大させる可能性がある。
【００３９】
そこで、コントローラ３００がセキュリティアタックの情報を取得すると、コントローラ３００のアドレス通知手段３３０は、ルータ２００に対してポートマップ設定を要求するコマンドを送信する（Ｓ５１０）。ルータ２００は、コントローラ３００からの要求に従ってポートマップ設定を行い、コントローラ３００に応答を返す（Ｓ５１１）。このように、セキュリティアタックを受けたアドレスのポートマップを変更するので、攻撃者４００は継続してセキュリティアタックを行うことができなくなる。
【００４０】
そして、コントローラ３００は、コントローラアドレスを端末１００に対してルータ２００を経由して通知する（Ｓ５１２）。これ以降、端末１００は、ステップＳ５１２で通知されたコントローラアドレスにより、コントローラ３００にアクセスすることができるようになる。
【００４１】
このように本実施の形態１によれば、セキュリティアタックを受けた際にコントローラ３００によりポートマップを変更するようにしたので、攻撃者４００によるセキュリティアタックを中断させることができ、セキュリティアタックに伴う通信トラフィックの増大を回避することができる。
【００４２】
また、コントローラ３００のポートマップを更新した後は、コントローラアドレスを端末１００に通知するようにしたので、端末１００はコントローラ３００に継続してアクセスすることができる。
【００４３】
なお、本実施の形態１では、内部ネットワーク６００にコントローラ３００が１台接続されている場合の例について説明したが、複数のコントローラ３００が接続されている場合でも本発明を適用することができ、同様の効果を得ることができる。
【００４４】
実施の形態２．
図６は、本発明の実施の形態２に係るシステム構成図である。本実施の形態２では、内部ネットワーク６００に公開サーバ７００が接続されている点が、前述の実施の形態１と異なる。なお、実施の形態１と同一の構成要素には同一の符号を付している。
【００４５】
図６において、公開サーバ７００は、前述の実施の形態１で説明したコントローラ３００の公開サービス３４０と同等の機能を持つ。すなわち、公開サーバ７００は、外部ネットワーク５００に接続された端末１００に対して情報や機能を提供するためのサーバである。
【００４６】
また、図示しないが、コントローラ３００ａには公開サービス３４０を備えていない点が、前述のコントローラ３００と異なる。
【００４７】
図７は、本実施の形態２に係る端末１００、ルータ２００、コントローラ３００ａ、攻撃者４００、公開サーバ７００による処理フローである。前述の実施の形態１で述べた図５と同一の処理を行う箇所には、同一の符号を付している。以下、相違点を中心に説明する。
【００４８】
図７において、コントローラ３００ａは、ルータ２００に対してポートマップ設定のためのコマンドを送信する（Ｓ５０１ａ）。このときコントローラ３００ａは、公開サーバ７００のポートマップ設定を要求する。ルータ２００にポートマップが設定されると、コントローラ３００ａはルータ２００を経由し、端末１００に対してアドレスを通知する（Ｓ５０３ａ）。このとき端末１００に通知されるアドレスは、公開サーバ７００にアクセスするためのアドレス情報である。
【００４９】
アドレス情報を受信した端末１００は、通知されたアドレスを用いて公開サーバ７００へアクセスし（Ｓ５０４ａ）、端末１００から送信された要求パケットが、ルータ２００を介して公開サーバ７００へと届けられる。
【００５０】
そして、公開サーバ７００は、要求パケットに従って、例えば情報送信や機能実行などの各種サービスを提供する（Ｓ５０５ａ）。
【００５１】
このように、端末１００には予め公開サーバ７００のアドレス情報が通知されているので、内部ネットワーク６００に接続された公開サーバ７００に対して外部ネットワーク５００に接続された端末１００からアクセスを行うことができる。
【００５２】
次に、外部ネットワーク５００に接続された攻撃者４００がセキュリティアタックを行った場合の処理フローを説明する。
【００５３】
攻撃者４００によるセキュリティアタックが行われてルータ２００がこれを検知しコントローラ３００ａに通知すると（Ｓ５０６〜Ｓ５０９）、コントローラ３００ａは、ルータ２００に対してポートマップ設定のためのコマンドを送信し、ポートマップの変更要求を行う（Ｓ５１０ａ）。このときコントローラ３００ａは、公開サーバ７００のポートマップ設定を要求する。このように、セキュリティアタックを受けたアドレスのポートマップ設定を変更するので、攻撃者４００は継続してセキュリティアタックを行うことができなくなる。
【００５４】
そして、コントローラ３００ａは、公開サーバ７００のアドレスを端末１００に対してルータ２００を経由して通知する（Ｓ５１２ａ）。これ以降、端末１００は、ステップＳ５１２ａで通知されたアドレスにより、公開サーバ７００にアクセスすることができるようになる。
【００５５】
このように本実施の形態２によれば、公開サービスを提供する公開サーバ７００をコントローラ３００ａとは別に設けたので、ネットワークシステムにおける通信トラフィックを分散させることができる。また、前述の実施の形態１と同様に、セキュリティアタックに伴う通信トラフィックの増大の回避という効果を得ることができる。
【００５６】
なお、本実施の形態２では、公開サーバ７００のポートマップ設定要求をコントローラ３００ａが行う場合の例について説明したが、公開サーバ７００がＵＰｎＰコントロールポイントとしての機能を備え、公開サーバ７００がルータ２００に対してポートマップ設定要求を行うこととしてもよい。
【００５７】
実施の形態３．
図８は、本発明の実施の形態３に係るシステム構成図である。本実施の形態３では、外部ネットワーク５００に監視装置８００が接続されている点が、前述の実施の形態１と異なる。なお、実施の形態１と同一の構成要素には同一の符号を付しており、以下、相違点を中心に説明する。
【００５８】
図８において、監視装置８００は、コントローラ３００ｂが収集したアタック情報を取得し、このアタック情報に基づいて攻撃者４００を特定、監視するための装置であり、外部ネットワーク５００に接続されている。
【００５９】
また、図示しないが、コントローラ３００ｂはアタック情報管理手段３２０ｂを備えている点が前述のコントローラ３００と異なる。アタック情報管理手段３２０ｂは、収集したアタック情報を監視装置８００に通知する処理を行う点が、前述のアタック情報管理手段３２０と異なる。
【００６０】
図９は、本実施の形態３に係る端末１００、ルータ２００、コントローラ３００ｂ、攻撃者４００、監視装置８００による処理フローである。本実施の形態３では、攻撃者４００からのセキュリティアタックを受けた後の動作が前述の実施の形態１と異なるので、ステップＳ５０６以降の処理のみ記載している。また、前述の実施の形態１で述べた図５と同一の処理を行う箇所には、同一の符号を付している。以下、相違点を中心に説明する。
【００６１】
図９において、攻撃者４００からのセキュリティアタックを受けたコントローラ３００ｂがポートマップの再設定を行って端末１００にコントローラアドレスを通知するまでの処理は実施の形態１と同様である（Ｓ５０６〜Ｓ５１２）。
【００６２】
コントローラ３００ｂは、端末１００に対してコントローラアドレスの通知を行った後（Ｓ５１２）、監視装置８００へアタック情報を通知する（Ｓ５１３）。監視装置８００は、コントローラ３００ｂから通知されたアタック情報を一括管理する。図８では、外部ネットワーク５００に接続された内部ネットワーク６００が１つである場合を例に説明しているが、外部ネットワーク５００に複数の内部ネットワーク６００を接続する構成とすることもできる。この場合、複数の内部ネットワーク６００に接続された複数のコントローラ３００ｂがそれぞれセキュリティアタックを受けた場合には、各コントローラ３００ｂはルータ２００を介して１つの監視装置８００に対してアタック情報を通知する。そして、監視装置８００は、それぞれのアタック情報をデータベース化して一括管理する。
【００６３】
コントローラ３００ｂからアタック情報の通知を受けた監視装置８００は、攻撃者４００を特定する（Ｓ５１４）。アタック情報には、攻撃者４００のアドレスが記録されており、このアドレスからドメイン名の逆引きをし、攻撃者４００のサーバを特定する。そして、攻撃者４００に対し、注意喚起や警告を促すための通知を行う（Ｓ５１５）。
【００６４】
さらに、端末１００が攻撃者４００の情報を得たい場合には、監視装置８００に対して攻撃者情報の問い合わせを行い（Ｓ５１６）、応答を得ることができる（Ｓ５１７）。
【００６５】
このように本実施の形態３によれば、アタック情報に基づいて攻撃者４００を特定、監視するための監視装置８００を設けたので、攻撃者４００によるセキュリティアタックを抑制することができる。したがって、セキュリティアタックに伴うルータ２００やコントローラ３００ｂに対するトラフィックの増大を回避することができる。
【００６６】
また、外部ネットワーク５００に複数の内部ネットワーク６００が接続されている場合において、各内部ネットワーク６００に接続されたコントローラ３００ｂへのアタック情報を、監視装置８００が一括管理するようにしたので、アタック情報の管理の効率化を図ることができる。さらに、端末１００から攻撃者情報の問い合わせがあった場合には、監視装置８００が管理するすべてのアタック情報を通知することができるので、端末１００を利用するユーザは攻撃者情報を幅広くかつ効率的に入手することができる。
【００６７】
実施の形態４．
図１０は、本発明の実施の形態４に係るシステム構成図である。本実施の形態４では、内部ネットワーク６００におとりサーバ９００が接続されている点が、前述の実施の形態１と異なる。なお、実施の形態３と同一の構成要素には同一の符号を付しており、以下、相違点を中心に説明する。
【００６８】
図１０において、おとりサーバ９００は、コントローラ３００の公開サービス３４０のおとり用として設けられたサーバである。おとりサーバ９００は、攻撃者４００に対して偽情報や偽のコマンド処理などを行い、攻撃者４００がアタックに成功したかのように見せかける。また、おとりサーバ９００は、攻撃者４００からのアクセスが行われると、攻撃者４００のアドレス、攻撃パターン、日時等の情報を記録し、監視装置８００に対して通知する機能を有する。
【００６９】
また、図示しないが、ルータ２００ｃはアドレス変換部２３０ｃを備えている点が前述のルータ２００と異なる。アドレス変換部２３０ｃは、コントローラ３００へのセキュリティアタックが発生すると、コントローラ３００宛の通信パケットをおとりサーバ９００へ送信する機能を有している。
【００７０】
図１１は、本実施の形態４に係る監視装置８００、攻撃者４００、端末１００、ルータ２００ｃ、コントローラ３００、おとりサーバ９００による処理フローである。本実施の形態４では、攻撃者４００からのセキュリティアタックを受けた後の動作が前述の実施の形態１と異なるので、ステップＳ５０６以降の処理のみ記載している。また、前述の実施の形態１〜３で述べたのと同一の処理を行う箇所には、同一の符号を付している。以下、相違点を中心に説明する。
【００７１】
図１１において、攻撃者４００からのセキュリティアタックをルータ２００ｃが検知し、コントローラ３００へと通知するまでの処理は前述の実施の形態１と同様である（Ｓ５０６〜Ｓ５０９）。
【００７２】
コントローラ３００のアタック情報管理手段３２０に対してセキュリティアタックの情報が通知された（Ｓ５０９）後、攻撃者４００から発信されたコントローラ３００に対するセキュリティアタックを行う通信パケットは、ルータ２００ｃを介しておとりサーバ９００へと送信される（Ｓ５０９−１）。すなわち、ルータ２００ｃは、攻撃者４００からのアタック情報をコントローラ３００に通知した（Ｓ５０９）後は、攻撃者４００からの要求パケットはすべておとりサーバ９００へ送信する。このようにすることで、攻撃者４００によるコントローラ３００へのアクセスを防ぐことができる。
【００７３】
攻撃者４００からアタックを受けたおとりサーバ９００は、攻撃者４００のアドレス、攻撃パターン、攻撃日時等を記録する（Ｓ５０９−２）。そして、攻撃者４００への警告等を行う際の証拠として、これらのアタック情報に関する記録を図示しない記憶装置等に保持しておく。また、アタック情報に関する記録を、監視装置８００に送信する。
ステップＳ５１４〜Ｓ５１７に示す処理は前述の実施の形態３と同様である。
【００７４】
このように本実施の形態４によれば、攻撃者４００からのアタックを受けるおとりとなるおとりサーバ９００を設けたので、攻撃者４００からコントローラ３００へのセキュリティアタックを回避することができる。また、攻撃者４００に関する各種情報をおとりサーバ９００で記録して保持するようにしたので、攻撃者４００の特定が行いやすい。さらには、前述の実施の形態３と同様に監視装置８００を設けたので、攻撃者４００によるセキュリティアタックを抑制することができる。したがって、セキュリティアタックに伴うコントローラ３００に対するトラフィックの増大を回避することができる。
【００７５】
なお、本実施の形態４では、外部ネットワーク５００に接続された内部ネットワーク６００が１つである場合を例に説明しているが、外部ネットワーク５００に複数の内部ネットワーク６００を接続する構成とすることもできる。この場合、複数の内部ネットワーク６００にそれぞれおとりサーバ９００を設け、各おとりサーバ９００からのアタック情報を１つの監視装置８００で一括管理することができる。
【００７６】
なお、本実施の形態４で示したおとりサーバを、前述の実施の形態１、２に適用することもできる。このようにすることで、コントローラ３００あるいは公開サーバ７００に対する攻撃者４００からのセキュリティアタックを回避することができる。
【図面の簡単な説明】
【００７７】
【図１】本発明の実施の形態１を示すシステム構成図である。
【図２】本発明の実施の形態１を示す端末のブロック図である。
【図３】本発明の実施の形態１を示すルータのブロック図である。
【図４】本発明の実施の形態１を示すコントローラのブロック図である。
【図５】本発明の実施の形態１を示す処理フローである。
【図６】本発明の実施の形態２を示すシステム構成図である。
【図７】本発明の実施の形態２を示す処理フローである。
【図８】本発明の実施の形態３を示すシステム構成図である。
【図９】本発明の実施の形態３を示す処理フローである。
【図１０】本発明の実施の形態４を示すシステム構成図である。
【図１１】本発明の実施の形態４を示す処理フローである。
【符号の説明】
【００７８】
１００  端末、２００  ルータ、３００  コントローラ、４００  攻撃者、５００  外部ネットワーク、６００  内部ネットワーク、７００  公開サーバ、８００  監視装置、９００  おとりサーバ。
【図１】
2010068306.tif 000003
【図２】
2010068306.tif 000004
【図３】
2010068306.tif 000005
【図４】
2010068306.tif 000006
【図５】
2010068306.tif 000007
【図６】
2010068306.tif 000008
【図７】
2010068306.tif 000009
【図８】
2010068306.tif 000010
【図９】
2010068306.tif 000011
【図１０】
2010068306.tif 000012
【図１１】
2010068306.tif 000013