(57)【特許請求の範囲】
【請求項１】
ネットワークを介して送られてきたパケットを受信する複数のポートと、
これらのポートの幾つかに同一の送信元を示すパケットが時間的に並列して入力されたことを条件として不正アクセスを検出する不正アクセス検出手段と、
この不正アクセス検出手段が不正アクセスを検出したときこれらのパケットの送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、
この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元のパケットが入力されたポートから前記同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段
とを具備することを特徴とするパケット転送制御装置。
【請求項２】
ネットワークを介して送られてきたパケットを受信する複数のポートと、
これらのポートの幾つかに同一の送信元を示すパケットが時間的に並列して入力されたときこれが所定の頻度以上であることを条件として不正アクセスを検出する不正アクセス検出手段と、
この不正アクセス検出手段が不正アクセスを検出したときこれらのパケットの送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、
この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元のパケットが入力されたポートから前記同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段
とを具備することを特徴とするパケット転送制御装置。
【請求項３】
ネットワークを介して送られてきたパケットを受信する複数のポートと、
これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報を記憶する転送回数送信元情報記憶手段と、
この転送回数送信元情報記憶手段に記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、
この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、
この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段
とを具備することを特徴とするパケット転送制御装置。
【請求項４】
ネットワークを介して送られてきたパケットを受信する複数のポートと、
これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元情報記憶手段と、
この転送回数送信元情報記憶手段に記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、
この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、
この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段
とを具備することを特徴とするパケット転送制御装置。
【請求項５】
ネットワークを介して送られてきたパケットを受信する複数のポートと、
これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元情報記憶手段と、
この転送回数送信元情報記憶手段に記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、
この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したとき、これらのパケットを受信するポートを転送回数の関係で記憶するポート記憶手段と、
前記転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したとき、そのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、
この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定する不正パケット特定手段と、
この不正パケット特定手段によって特定された不正パケットに対応するポートから受信される該当する送信元のパケットの転送を禁止する特定パケット転送禁止手段
とを具備することを特徴とするパケット転送制御装置。
【請求項６】
ネットワークを介して送られてきたパケットを受信する複数のポートと、
同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときその送信元を表わした送信元情報と共にその通知を受信する通知受信手段と、
この通知受信手段が通知を受信したとき前記複数のポートのうちの２以上のポートに前記送信元情報に表わされる送信元のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別手段と、
この該当パケット受信判別手段が２以上のポートに前記送信元情報に表わされる送信元のパケットが並行して受信されていると判別したとき、前記送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、
この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元のパケットが入力されたポートから前記同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段
とを具備することを特徴とするパケット転送制御装置。
【請求項７】
ネットワークを介して送られてきたパケットを受信する複数のポートと、
転送回数を規定したパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対を示す転送回数送信元情報と共にその通知を受信する通知受信手段と、
この通知受信手段が通知を受信したときこの転送回数送信元情報に示された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、
この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、
この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段
とを具備することを特徴とするパケット転送制御装置。
【請求項８】
ネットワークを介して送られてきたパケットを受信する複数のポートと、
転送回数を規定したパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対を示す転送回数送信元情報と共にその通知を受信する通知受信手段と、
この通知受信手段が通知を受信したとき前記転送回数送信元情報に示された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、
この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、
この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段
とを具備することを特徴とするパケット転送制御装置。
【請求項９】
ネットワークを介して送られてきたパケットを受信する複数のポートと、
同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときその送信元を表わした送信元情報と共にその通知を受信する通知受信手段と、
この通知受信手段が通知を受信したとき前記複数のポートのうちの２以上のポートに前記送信元情報に表わされる送信元のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別手段と、
この該当パケット受信判別手段が２以上のポートに前記送信元情報に表わされる送信元のパケットが並行して受信されていると判別したとき、前記送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、
この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元のパケットが入力されたポートから前記同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段と、
前記該当パケット受信判別手段が２以上のポートに前記送信元情報に表わされる送信元のパケットが並行して受信されていないと判別したとき送信元情報に表わされる送信元に１つ近い側の転送先に前記不正に送信元を表示しているおそれのある送信元を表わした送信元情報を通知する通知手段
とを具備することを特徴とするパケット転送制御装置。
【請求項１０】
前記特定パケット転送禁止手段は、タイマを備えており、このタイマによって計時される一定時間経過後は特定のパケットの転送禁止を解除することを特徴とする請求項１〜請求項９いずれかに記載のパケット転送制御装置。
【請求項１１】
ネットワークを介して送られてきた同一の送信元を示すパケットが時間的に並列して複数のポートの幾つかに入力されたことを条件として不正アクセスを検出する不正アクセス検出ステップと、
この不正アクセス検出ステップで不正アクセスを検出したときこれらのパケットの送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、
この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元のパケットが入力されたポートから前記同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止ステップ
とを具備することを特徴とするパケット転送制御方法。
【請求項１２】
ネットワークを介して送られてきた同一の送信元を示すパケットが所定の頻度以上でかつ時間的に並列して複数のポートの幾つかに入力されたことを条件として不正アクセスを検出する不正アクセス検出ステップと、
この不正アクセス検出ステップで不正アクセスを検出したときこれらのパケットの送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、
この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元のパケットが入力されたポートから前記同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止ステップ
とを具備することを特徴とするパケット転送制御方法。
【請求項１３】
ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、
これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報を記憶する転送回数送信元情報記憶ステップと、
この転送回数送信元情報記憶ステップで記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出ステップと、
この転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、
この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止ステップ
とを具備することを特徴とするパケット転送制御方法。
【請求項１４】
ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、
これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元情報記憶ステップと、
この転送回数送信元情報記憶ステップで記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出ステップと、
この転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、
この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止ステップ
とを具備することを特徴とするパケット転送制御方法。
【請求項１５】
ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、
これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元情報記憶ステップと、
この転送回数送信元情報記憶ステップで記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出ステップと、
この転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したとき、これらのパケットを受信するポートを転送回数の関係で記憶するポート記憶ステップと、
前記転送回数不整合パケット検出ステップが転送回数の整合していないパケットを検出したとき、そのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、
この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定する不正パケット特定ステップと、
この不正パケット特定ステップによって特定された不正パケットに対応するポートから受信される該当する送信元のパケットの転送を禁止する特定パケット転送禁止ステップ
とを具備することを特徴とするパケット転送制御方法。
【請求項１６】
ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、
同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときその送信元を表わした送信元情報と共にその通知を受信する通知受信ステップと、
この通知受信ステップで通知を受信したとき前記複数のポートのうちの２以上のポートに前記送信元情報に表わされる送信元のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別ステップと、
この該当パケット受信判別ステップで２以上のポートに前記送信元情報に表わされる送信元のパケットが並行して受信されていると判別したとき、前記送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、
この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元のパケットが入力されたポートから前記同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止ステップ
とを具備することを特徴とするパケット転送制御方法。
【請求項１７】
ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、
転送回数を規定したパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対を示す転送回数送信元情報と共にその通知を受信する通知受信ステップと、
この通知受信ステップで通知を受信したときこの転送回数送信元情報に示された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出ステップと、
この転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、
この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止ステップ
とを具備することを特徴とするパケット転送制御方法。
【請求項１８】
ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、
転送回数を規定したパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対を示す転送回数送信元情報と共にその通知を受信する通知受信ステップと、
この通知受信ステップで通知を受信したとき前記転送回数送信元情報に示された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出ステップと、
この転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、
この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止ステップ
とを具備することを特徴とするパケット転送制御方法。
【請求項１９】
ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、
同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときその送信元を表わした送信元情報と共にその通知を受信する通知受信ステップと、
この通知受信ステップで通知を受信したとき前記複数のポートのうちの２以上のポートに前記送信元情報に表わされる送信元のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別ステップと、
この該当パケット受信判別ステップで２以上のポートに前記送信元情報に表わされる送信元のパケットが並行して受信されていると判別したとき、前記送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、
この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元のパケットが入力されたポートから前記同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止ステップと、
前記該当パケット受信判別ステップで２以上のポートに前記送信元情報に表わされる送信元のパケットが並行して受信されていないと判別したとき送信元情報に表わされる送信元に１つ近い側の転送先に前記不正に送信元を表示しているおそれのある送信元を表わした送信元情報を通知する通知ステップ
とを具備することを特徴とするパケット転送制御方法。
【請求項２０】
ネットワークを介してパケットを送信する送信元装置と、
ネットワークを介してパケットを受信する送信先装置と、
前記送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、これらのポートの幾つかに同一の送信元装置を示すパケットが時間的に並列して入力されたことを条件として不正アクセスを検出する不正アクセス検出手段と、この不正アクセス検出手段が不正アクセスを検出したときこれらのパケットの送信元装置を宛先としてパケットの返信を要求するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元装置のパケットが入力されたポートから前記同一の送信元装置のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置
とを具備することを特徴とするパケット転送システム。
【請求項２１】
ネットワークを介してパケットを送信する送信元装置と、
ネットワークを介してパケットを受信する送信先装置と、
前記送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、これらのポートの幾つかに同一の送信元装置を示すパケットが時間的に並列して入力されたときこれが所定の頻度以上であることを条件として不正アクセスを検出する不正アクセス検出手段と、この不正アクセス検出手段が不正アクセスを検出したときこれらのパケットの送信元装置を宛先としてパケットの返信を要求するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元装置のパケットが入力されたポートから前記同一の送信元装置のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置
とを具備することを特徴とするパケット転送システム。
【請求項２２】
ネットワークを介してパケットを送信する送信元装置と、
ネットワークを介してパケットを受信する送信先装置と、
前記送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元装置情報との対からなる転送回数送信元装置情報を記憶する転送回数送信元装置情報記憶手段と、この転送回数送信元装置情報記憶手段に記憶された同一送信元装置のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元装置を宛先としてこの送信元装置を検査するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置
とを具備することを特徴とするパケット転送システム。
【請求項２３】
ネットワークを介してパケットを送信する送信元装置と、
ネットワークを介してパケットを受信する送信先装置と、
前記送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元装置情報との対からなる転送回数送信元装置情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元装置情報記憶手段と、この転送回数送信元装置情報記憶手段に記憶された同一送信元装置のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元装置を宛先としてこの送信元装置を検査するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置
とを具備することを特徴とするパケット転送システム。
【請求項２４】
ネットワークを介してパケットを送信する送信元装置と、
ネットワークを介してパケットを受信する送信先装置と、
前記送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元装置情報との対からなる転送回数送信元装置情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元装置情報記憶手段と、この転送回数送信元装置情報記憶手段に記憶された同一送信元装置のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したとき、これらのパケットを受信するポートを転送回数の関係で記憶するポート記憶手段と、前記転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したとき、そのパケットの送信元装置を宛先としてこの送信元装置を検査するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定する不正パケット特定手段と、この不正パケット特定手段によって特定された不正パケットに対応するポートから受信される該当する送信元装置のパケットの転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置
とを具備することを特徴とするパケット転送システム。
【請求項２５】
ネットワークを介してパケットを送信する送信元装置と、
ネットワークを介してパケットを受信する送信先装置と、
前記送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、同一の送信元装置のパケットで少なくともその一部が不正に送信元装置を表示しているおそれのあるものが存在する可能性があるときその送信元装置を表わした送信元装置情報と共にその通知を受信する通知受信手段と、この通知受信手段が通知を受信したとき前記複数のポートのうちの２以上のポートに前記送信元装置情報に表わされる送信元装置のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別手段と、この該当パケット受信判別手段が２以上のポートに前記送信元装置情報に表わされる送信元装置のパケットが並行して受信されていると判別したとき、前記送信元装置情報に表わされる送信元装置を宛先としてパケットの返信を要求するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元装置のパケットが入力されたポートから前記同一の送信元装置のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置
とを具備することを特徴とするパケット転送システム。
【請求項２６】
ネットワークを介してパケットを送信する送信元装置と、
ネットワークを介してパケットを受信する送信先装置と、
前記送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、転送回数を規定したパケットで少なくともその一部が不正に送信元装置を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元装置情報との対を示す転送回数送信元装置情報と共にその通知を受信する通知受信手段と、この通知受信手段が通知を受信したときこの転送回数送信元装置情報に示された同一送信元装置のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元装置を宛先としてこの送信元装置を検査するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置
とを具備することを特徴とするパケット転送システム。
【請求項２７】
ネットワークを介してパケットを送信する送信元装置と、
ネットワークを介してパケットを受信する送信先装置と、
前記送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、転送回数を規定したパケットで少なくともその一部が不正に送信元装置を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元装置情報との対を示す転送回数送信元装置情報と共にその通知を受信する通知受信手段と、この通知受信手段が通知を受信したとき前記転送回数送信元装置情報に示された同一送信元装置のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元装置を宛先としてこの送信元装置を検査するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置
とを具備することを特徴とするパケット転送システム。
【請求項２８】
ネットワークを介してパケットを送信する送信元装置と、
ネットワークを介してパケットを受信する送信先装置と、
前記送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、同一の送信元装置のパケットで少なくともその一部が不正に送信元装置を表示しているおそれのあるものが存在する可能性があるときその送信元装置を表わした送信元装置情報と共にその通知を受信する通知受信手段と、この通知受信手段が通知を受信したとき前記複数のポートのうちの２以上のポートに前記送信元装置情報に表わされる送信元装置のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別手段と、この該当パケット受信判別手段が２以上のポートに前記送信元装置情報に表わされる送信元装置のパケットが並行して受信されていると判別したとき、前記送信元装置情報に表わされる送信元装置を宛先としてパケットの返信を要求するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記同一の送信元装置のパケットが入力されたポートから前記同一の送信元装置のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段と、前記該当パケット受信判別手段が２以上のポートに前記送信元装置情報に表わされる送信元装置のパケットが並行して受信されていないと判別したとき送信元装置情報に表わされる送信元装置に１つ近い側の転送先に前記不正に送信元装置を表示しているおそれのある送信元装置を表わした送信元装置情報を通知する通知手段とを備えたパケット転送制御装置
とを具備することを特徴とするパケット転送システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明はインターネット等のネットワークに使用されるパケット転送制御装置、パケット転送制御方法およびパケット転送のためのパケット転送制御システムに係わり、特に不正にネットワーク上に送出されるパケットの転送を規制することのできるパケット転送制御装置、パケット転送制御方法およびパケット転送制御システムに関する。
【０００２】
【従来の技術】
近時、インターネット等のネットワークを介してさまざまな情報やアプリケーションを提供するサービスが広く活用されるようになっている。たとえばインターネットを使用したこのようなサービスでは、インターネット網にサーバが置かれ、ユーザが電話網等のネットワークを介してこのサーバにアクセスするようになっている。通常の場合、サーバは、パーソナルコンピュータやワークステーション等のコンピュータで構成されている。そして、ユーザからアクセスがあるとそのアクセス要求に対する処理を行い、その結果をユーザに返すことで所望のサービスを実現している。ユーザに返送する情報の代表的なものは文字情報やアプリケーションデータである。
【０００３】
サーバに対するアクセス数が多ければ、そのサーバの処理数は当然増加し負荷が増大する。したがって、インターネット上にサーバを配置する場合には、単位時間当たりどの程度のアクセスがあるかを事前に想定し、ユーザのアクセス数に十分耐えるようにネットワークの設計を行ったりサーバの性能の選択を行っている。このため、たとえばユーザの増加によってアクセス数が次第に増加していくような場合には、アクセスの状況を見てサーバの性能をより高性能のものに切り替えたり、サーバの数を増加させて負担を分散するといった工夫を行うことができる。
【０００４】
ところが、近時、悪意のユーザが特定のサーバを狙って意図的にアクセス回数を増加させるといった事件が発生している。サーバに対する単位時間当たりのアクセス数が想定される範囲を越えると、そのサーバが過負荷状態となって処理性能を超えてしまい、システムダウンを発生させる場合がある。また、システムダウンに至らない場合であっても、過負荷状態では通常アクセス可能であったユーザがそのサーバになかなかアクセスできないようになったり、アクセスできてもその後の処理が迅速に進まないといった弊害が発生する。
【０００５】
図１７は、不正ユーザに対処するために従来提案されたパケット転送制御装置を示したものである。このシステムで、保護の対象となるサーバ１０１にアクセスする不正ユーザ１０２１と正当ユーザ１０２２があるものとする。正当ユーザ１０２２はルータ１０３２から回線１０４２、ルータ１０３３、回線１０４３と辿ってサーバ１０１にパケットを送出する。これに対して不正ユーザ１０２１の方は他のルータ１０３１から回線１０４１を介してそのパケットをルータ１０３３まで到達させ、ここから回線１０４３を使ってサーバ１０１にアクセスを行う。
【０００６】
そこで従来提案されたこのパケット転送制御装置では、たとえばルータ１０３３がサーバ１０１を送出先とするパケットについての送信元をチェックして、過去に不正ユーザとして判別された不正ユーザ１０２１からアクセスがあった場合には、これと同一の送信元のパケットが到来した時にそのアクセスをフィルタ機能を使って排除するようにしている。特定のユーザから頻度の異常に高いアクセスが行われた場合にも、アクセス頻度を作業担当者が調べて不正なアクセスであると判断した場合には、不正ユーザ１０２１によるアクセスであるとして、アクセス要求元のアドレスに対してフィルタの設定を行う。
【０００７】
このような設定が行われた後は、不正ユーザ１０２１からサーバ１０１にアクセスの要求が届く前にその途中に配置されたルータ１０３の段階で要求を廃棄することができる。インターネットの場合には、アクセス要求元のアドレスはＩＰパケットのソースアドレス（送信元アドレス）であり、これに対するフィルタの設定によって該当するパケットを廃棄することが可能である。
【０００８】
【発明が解決しようとする課題】
以上説明した従来のパケット転送制御装置では、不正なアクセスを行ったパケットの送信元を判別することでそのユーザのアクセスを禁止するようにしている。したがって、過去に不正なアクセスを行った者に対処することができるが、不正なアクセスを開始した者に対して迅速に対処することはできない。また、送信元アドレスを偽って、すなわち不正ユーザがその身元を隠した状態でサーバにアクセスするような場合がある。この場合には悪意のユーザがアクセスしているかどうかの判別が困難であり、フィルタの設定を行うことができない。
【０００９】
そこで本発明の目的は、送信元を偽った不正なパケットがインターネット網等のネットワークを転送されていくのを阻止することのできるパケット転送制御装置、パケット転送制御方法およびパケット転送制御システムを提供することにある。
【００１０】
【課題を解決するための手段】
請求項１記載の発明では、（イ）ネットワークを介して送られてきたパケットを受信する複数のポートと、（ロ）これらのポートの幾つかに同一の送信元を示すパケットが時間的に並列して入力されたことを条件として不正アクセスを検出する不正アクセス検出手段と、（ハ）この不正アクセス検出手段が不正アクセスを検出したときこれらのパケットの送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、（ニ）この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元のパケットが入力されたポートから前記した同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段とをパケット転送制御装置に具備させる。
【００１１】
すなわち請求項１記載の発明では、複数のポートのうちの幾つかに同一の送信元を示すパケットが時間的に並列して入力されたことを条件として不正アクセスを検出し、その送信元に送信元検査用パケットを送出して応答パケットが送り返されてきたときには、この応答パケットの送り返されてきたポート以外で同一の送信元のパケットが入力されたポートから同一の送信元のパケットが受信されたときその転送を禁止するようにしている。これにより、ポートあるいはインタフェース回路を経て送られてきた不正ユーザのパケットを簡単に見分けてその転送を禁止することができる。
【００１２】
請求項２記載の発明では、（イ）ネットワークを介して送られてきたパケットを受信する複数のポートと、（ロ）これらのポートの幾つかに同一の送信元を示すパケットが時間的に並列して入力されたときこれが所定の頻度以上であることを条件として不正アクセスを検出する不正アクセス検出手段と、（ハ）この不正アクセス検出手段が不正アクセスを検出したときこれらのパケットの送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、（ニ）この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元のパケットが入力されたポートから前記した同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段とをパケット転送制御装置に具備させる。
【００１３】
すなわち請求項２記載の発明では、複数のポートのうちの幾つかに同一の送信元を示すパケットが時間的に並列して入力されたときこれが所定の頻度以上であることを条件として不正アクセスを検出し、その送信元に送信元検査用パケットを送出して応答パケットが送り返されてきたときには、この応答パケットの送り返されてきたポート以外で同一の送信元のパケットが入力されたポートから同一の送信元のパケットが受信されたときその転送を禁止するようにしている。これにより、ポートあるいはインタフェース回路を経て送られてきた不正ユーザのパケットを簡単に見分けてその転送を禁止することができる。しかもある程度の頻度以上送られているパケットを対象としたので、何らかの原因で送信元が重複したようなノイズを除去することができ、パケット転送制御装置の負荷を軽減させることができる。
【００１４】
請求項３記載の発明では、（イ）ネットワークを介して送られてきたパケットを受信する複数のポートと、（ロ）これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報を記憶する転送回数送信元情報記憶手段と、（ハ）この転送回数送信元情報記憶手段に記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、（ニ）この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、（ホ）この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とをパケット転送制御装置に具備させる。
【００１５】
すなわち請求項３記載の発明では、パケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報を転送回数送信元情報記憶手段に記憶し、この転送回数送信元情報記憶手段に記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出するようにしている。たとえば転送回数が後５回であるというパケットが送られてきた後に、同一送信元のパケットで転送回数が後１０回であるというパケットが送られてきたときには、どちらかのパケットが不正ユーザから送られてきた可能性がある。このような場合には、パケットに表示された送信元に送信元検査用パケットを送出して応答パケットが送り返されてきたときには、この応答パケットの送り返されてきたポート以外で同一の送信元のパケットが入力されたポートから同一の送信元のパケットが受信されたときその転送を禁止するようにしている。これにより、ポートあるいはインタフェース回路を経て送られてきた不正ユーザのパケットを簡単に見分けてその転送を禁止することができる。
【００１６】
請求項４記載の発明では、（イ）ネットワークを介して送られてきたパケットを受信する複数のポートと、（ロ）これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元情報記憶手段と、（ハ）この転送回数送信元情報記憶手段に記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、（ニ）この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、（ホ）この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とをパケット転送制御装置に具備させる。
【００１７】
すなわち請求項４記載の発明では、パケットの転送回数を規定したパケットが所定の頻度以上で受信されたときこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報を転送回数送信元情報記憶手段に記憶し、この転送回数送信元情報記憶手段に記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出するようにしている。たとえば転送回数が後５回であるというパケットが送られてきた後に、同一送信元のパケットで転送回数が後１０回であるというパケットが送られてきたときには、どちらかのパケットが不正ユーザから送られてきた可能性がある。このような場合には、パケットに表示された送信元に送信元検査用パケットを送出して応答パケットが送り返されてきたときには、この応答パケットの送り返されてきたポート以外で同一の送信元のパケットが入力されたポートから同一の送信元のパケットが受信されたときその転送を禁止するようにしている。これにより、ポートあるいはインタフェース回路を経て送られてきた不正ユーザのパケットを簡単に見分けてその転送を禁止することができる。しかもある程度の頻度以上送られているパケットを対象としたので、何らかの原因で送信元が重複したようなノイズを除去することができ、パケット転送制御装置の負荷を軽減させることができる。
【００１８】
請求項５記載の発明では、（イ）ネットワークを介して送られてきたパケットを受信する複数のポートと、（ロ）これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元情報記憶手段と、（ハ）この転送回数送信元情報記憶手段に記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、（ニ）この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したとき、これらのパケットを受信するポートを転送回数の関係で記憶するポート記憶手段と、（ホ）転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したとき、そのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、（へ）この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定する不正パケット特定手段と、（ト）この不正パケット特定手段によって特定された不正パケットに対応するポートから受信される該当する送信元のパケットの転送を禁止する特定パケット転送禁止手段とをパケット転送制御装置に具備させる。
【００１９】
すなわち請求項５記載の発明では、転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したとき、ポート記憶手段がこれらのパケットを受信するポートを転送回数の関係で記憶するようにしている。そして送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定して、特定された不正パケットに対応するポートから受信される該当する送信元のパケットの転送を禁止するようにしている。
【００２０】
請求項６記載の発明では、（イ）ネットワークを介して送られてきたパケットを受信する複数のポートと、（ロ）同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときその送信元を表わした送信元情報と共にその通知を受信する通知受信手段と、（ハ）この通知受信手段が通知を受信したとき前記した複数のポートのうちの２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別手段と、（ニ）この該当パケット受信判別手段が２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されていると判別したとき、送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、（ホ）この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元のパケットが入力されたポートから前記した同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段とをパケット転送制御装置に具備させる。
【００２１】
すなわち請求項６記載の発明では、パケット転送制御装置自体が不正ユーザの検出を積極的には行わず、同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるとき通知受信手段がその送信元を表わした送信元情報と共にその通知を受信することにしている。可能性があると判断するのは他の装置であり、たとえば単位時間当たり異常にアクセスが増加したといった現象が発生した場合である。このような通知をトリガとして請求項１記載の発明で説明したような手法で不正ユーザのパケットを特定してこれを他の装置に転送するのを禁止するようにしている。
【００２２】
請求項７記載の発明では、（イ）ネットワークを介して送られてきたパケットを受信する複数のポートと、（ロ）転送回数を規定したパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対を示す転送回数送信元情報と共にその通知を受信する通知受信手段と、（ハ）この通知受信手段が通知を受信したときこの転送回数送信元情報に示された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、（ニ）この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、（ホ）この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とをパケット転送制御装置に具備させる。
【００２３】
すなわち請求項７記載の発明では、パケット転送制御装置自体が不正ユーザの検出を積極的には行わず、同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるとき通知受信手段がその送信元を表わした送信元情報と共にその通知を受信することにしている。可能性があると判断するのは他の装置であり、たとえば異常にアクセスが増加したといった現象が発生した場合である。このような通知をトリガとして請求項３記載の発明で説明したような手法で不正ユーザのパケットを特定してこれを他の装置に転送するのを禁止するようにしている。
【００２４】
請求項８記載の発明では、（イ）ネットワークを介して送られてきたパケットを受信する複数のポートと、（ロ）転送回数を規定したパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対を示す転送回数送信元情報と共にその通知を受信する通知受信手段と、（ハ）この通知受信手段が通知を受信したとき転送回数送信元情報に示された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、（ニ）この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、（ホ）この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とをパケット転送制御装置に具備させる。
【００２５】
すなわち請求項８記載の発明では、パケット転送制御装置自体が不正ユーザの検出を積極的には行わず、同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるとき通知受信手段がその送信元を表わした送信元情報と共にその通知を受信することにしている。可能性があると判断するのは他の装置である。この通知があったら、転送回数不整合パケット検出手段は転送回数送信元情報に示された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出し、そのパケットの送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出することにしている。この場合には、不正ユーザのパケットを特定してこれを他の装置に転送するのを禁止するようにしている。
【００２６】
請求項９記載の発明では、（イ）ネットワークを介して送られてきたパケットを受信する複数のポートと、（ロ）同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときその送信元を表わした送信元情報と共にその通知を受信する通知受信手段と、（ハ）この通知受信手段が通知を受信したとき前記した複数のポートのうちの２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別手段と、（ニ）この該当パケット受信判別手段が２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されていると判別したとき、送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出手段と、（ホ）この送信元検査用パケット送出手段によって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元のパケットが入力されたポートから前記した同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段と、（へ）該当パケット受信判別手段が２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されていないと判別したとき送信元情報に表わされる送信元に１つ近い側の転送先に不正に送信元を表示しているおそれのある送信元を表わした送信元情報を通知する通知手段とをパケット転送制御装置に具備させる。
【００２７】
すなわち請求項９記載の発明では、パケット転送制御装置自体が不正ユーザの検出を積極的には行わず、同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるとき通知受信手段がその送信元を表わした送信元情報と共にその通知を受信することにしている。可能性があると判断するのは他の装置である。この通知があったら、該当パケット受信判別手段は複数のポートのうちの２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されているかどうかを独自にチェックする。そして該当パケット受信判別手段が２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されていると判別したとき、送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出することにしている。この場合には、不正ユーザのパケットを特定してこれを他の装置に転送するのを禁止する。一方、パケットの経路によっては正当ユーザのパケットと不正ユーザのパケットが同一のポートあるいはインタフェース回路に入力される場合があり、この場合には通知を受けても不正ユーザのパケットの転送を禁止することができない。そこで、この場合には送信元情報に表わされる送信元に１つ近い側の転送先に不正に送信元を表示しているおそれのある送信元を表わした送信元情報を通知するようにしている。通知を受信した装置が同様の構成を備えたパケット転送制御装置であれば、不正ユーザのパケットを分離してその転送を禁止することができる可能性がある。
【００２８】
請求項１０記載の発明では、請求項１〜請求項９いずれかに記載のパケット転送制御装置で、前記した特定パケット転送禁止手段は、タイマを備えており、このタイマによって計時される一定時間経過後は特定のパケットの転送禁止を解除することを特徴としている。
【００２９】
すなわち請求項１０記載の発明では、時間の経過によってネットワークの障害等の事情でパケットの転送される経路が異なってくる可能性があるので、一定時間経過後は特定のパケットの転送禁止を一旦解除して、再度、点検を行えるようにしている。
【００３０】
請求項１１記載の発明では、（イ）ネットワークを介して送られてきた同一の送信元を示すパケットが時間的に並列して複数のポートの幾つかに入力されたことを条件として不正アクセスを検出する不正アクセス検出ステップと、（ロ）この不正アクセス検出ステップで不正アクセスを検出したときこれらのパケットの送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、（ハ）この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元のパケットが入力されたポートから前記した同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止ステップとをパケット転送制御方法に具備させる。
【００３１】
すなわち請求項１１記載の発明では、複数のポートのうちの幾つかに同一の送信元を示すパケットが時間的に並列して入力されたことを条件として不正アクセスを検出し、その送信元に送信元検査用パケットを送出して応答パケットが送り返されてきたときには、この応答パケットの送り返されてきたポート以外で同一の送信元のパケットが入力されたポートから同一の送信元のパケットが受信されたときその転送を禁止するようにしている。これにより、ポートあるいはインタフェース回路を経て送られてきた不正ユーザのパケットを簡単に見分けてその転送を禁止することができる。
【００３２】
請求項１２記載の発明では、（イ）ネットワークを介して送られてきた同一の送信元を示すパケットが所定の頻度以上でかつ時間的に並列して複数のポートの幾つかに入力されたことを条件として不正アクセスを検出する不正アクセス検出ステップと、（ロ）この不正アクセス検出ステップで不正アクセスを検出したときこれらのパケットの送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、（ハ）この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元のパケットが入力されたポートから前記した同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止ステップとをパケット転送制御方法に具備させる。
【００３３】
すなわち請求項１２記載の発明では、複数のポートのうちの幾つかに同一の送信元を示すパケットが時間的に並列して入力されたときこれが所定の頻度以上であることを条件として不正アクセスを検出し、その送信元に送信元検査用パケットを送出して応答パケットが送り返されてきたときには、この応答パケットの送り返されてきたポート以外で同一の送信元のパケットが入力されたポートから同一の送信元のパケットが受信されたときその転送を禁止するようにしている。これにより、ポートあるいはインタフェース回路を経て送られてきた不正ユーザのパケットを簡単に見分けてその転送を禁止することができる。しかもある程度の頻度以上送られているパケットを対象としたので、何らかの原因で送信元が重複したようなノイズを除去することができ、パケット転送制御装置の負荷を軽減させることができる。
【００３４】
請求項１３記載の発明では、（イ）ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、（ロ）これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報を記憶する転送回数送信元情報記憶ステップと、（ハ）この転送回数送信元情報記憶ステップで記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出ステップと、（ニ）この転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、（ホ）この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止ステップとをパケット転送制御方法に具備させる。
【００３５】
すなわち請求項１３記載の発明では、パケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報を転送回数送信元情報記憶ステップで記憶し、この転送回数送信元情報記憶ステップで記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出するようにしている。たとえば転送回数が後５回であるというパケットが送られてきた後に、同一送信元のパケットで転送回数が後１０回であるというパケットが送られてきたときには、どちらかのパケットが不正ユーザから送られてきた可能性がある。このような場合には、パケットに表示された送信元に送信元検査用パケットを送出して応答パケットが送り返されてきたときには、この応答パケットの送り返されてきたポート以外で同一の送信元のパケットが入力されたポートから同一の送信元のパケットが受信されたときその転送を禁止するようにしている。これにより、ポートあるいはインタフェース回路を経て送られてきた不正ユーザのパケットを簡単に見分けてその転送を禁止することができる
【００３６】
請求項１４記載の発明では、（イ）ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、（ロ）これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元情報記憶ステップと、（ハ）この転送回数送信元情報記憶ステップで記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出ステップと、（ニ）この転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、（ホ）この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止ステップとをパケット転送制御方法に具備させる。
【００３７】
すなわち請求項１４記載の発明では、パケットの転送回数を規定したパケットが所定の頻度以上で受信されたときこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報を転送回数送信元情報記憶ステップで記憶し、この転送回数送信元情報記憶ステップで記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出するようにしている。たとえば転送回数が後５回であるというパケットが送られてきた後に、同一送信元のパケットで転送回数が後１０回であるというパケットが送られてきたときには、どちらかのパケットが不正ユーザから送られてきた可能性がある。このような場合には、パケットに表示された送信元に送信元検査用パケットを送出して応答パケットが送り返されてきたときには、この応答パケットの送り返されてきたポート以外で同一の送信元のパケットが入力されたポートから同一の送信元のパケットが受信されたときその転送を禁止するようにしている。これにより、ポートあるいはインタフェース回路を経て送られてきた不正ユーザのパケットを簡単に見分けてその転送を禁止することができる。しかもある程度の頻度以上送られているパケットを対象としたので、何らかの原因で送信元が重複したようなノイズを除去することができ、パケット転送制御装置の負荷を軽減させることができる。
【００３８】
請求項１５記載の発明では、（イ）ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、（ロ）これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対からなる転送回数送信元情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元情報記憶ステップと、（ハ）この転送回数送信元情報記憶ステップで記憶された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出ステップと、（ニ）この転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したとき、これらのパケットを受信するポートを転送回数の関係で記憶するポート記憶ステップと、（ホ）転送回数不整合パケット検出ステップが転送回数の整合していないパケットを検出したとき、そのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、（へ）この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定する不正パケット特定ステップと、（ト）この不正パケット特定ステップによって特定された不正パケットに対応するポートから受信される該当する送信元のパケットの転送を禁止する特定パケット転送禁止ステップとをパケット転送制御方法に具備させる。
【００３９】
すなわち請求項１５記載の発明では、転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したとき、ポート記憶ステップでこれらのパケットを受信するポートを転送回数の関係で記憶するようにしている。そして、転送回数不整合パケット検出ステップが転送回数の整合していないパケットを検出したとき、そのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出し、この送信元検査用パケットについての応答パケットが送り返されてきたとき、応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これによって特定された不正パケットに対応するポートから受信される該当する送信元のパケットの転送を禁止するようにしている。
【００４０】
請求項１６記載の発明では、（イ）ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、（ロ）同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときその送信元を表わした送信元情報と共にその通知を受信する通知受信ステップと、（ハ）この通知受信ステップで通知を受信したとき前記した複数のポートのうちの２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別ステップと、（ニ）この該当パケット受信判別ステップで２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されていると判別したとき、送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、（ホ）この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元のパケットが入力されたポートから前記した同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止ステップとをパケット転送制御方法に具備させる。
【００４１】
すなわち請求項１６記載の発明では、パケット転送制御装置自体が不正ユーザの検出を積極的には行わず、同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるとき通知受信ステップでその送信元を表わした送信元情報と共にその通知を受信することにしている。可能性があると判断するのは他の装置であり、たとえば単位時間当たり異常にアクセスが増加したといった現象が発生した場合である。このような通知をトリガとして請求項１記載の発明で説明したような手法で不正ユーザのパケットを特定してこれを他の装置に転送するのを禁止するようにしている。
【００４２】
請求項１７記載の発明では、（イ）ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、（ロ）転送回数を規定したパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対を示す転送回数送信元情報と共にその通知を受信する通知受信ステップと、（ハ）この通知受信ステップで通知を受信したときこの転送回数送信元情報に示された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出ステップと、（ニ）この転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、（ホ）この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止ステップとをパケット転送制御方法に具備させる。
【００４３】
すなわち請求項１７記載の発明では、パケット転送制御装置自体が不正ユーザの検出を積極的には行わず、同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるとき通知受信ステップでその送信元を表わした送信元情報と共にその通知を受信することにしている。可能性があると判断するのは他の装置であり、たとえば異常にアクセスが増加したといった現象が発生した場合である。このような通知をトリガとして請求項３記載の発明で説明したような手法で不正ユーザのパケットを特定してこれを他の装置に転送するのを禁止するようにしている。
【００４４】
請求項１８記載の発明では、（イ）ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、（ロ）転送回数を規定したパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元情報との対を示す転送回数送信元情報と共にその通知を受信する通知受信ステップと、（ハ）この通知受信ステップで通知を受信したとき転送回数送信元情報に示された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出ステップと、（ニ）この転送回数不整合パケット検出ステップで転送回数の整合していないパケットを検出したときそのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、（ホ）この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止ステップとをパケット転送制御方法に具備させる。
【００４５】
すなわち請求項１８記載の発明では、パケット転送制御装置自体が不正ユーザの検出を積極的には行わず、同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるとき通知受信ステップで転送回数とパケットの送信元情報との対を示す転送回数送信元情報と共にその通知を受信することにしている。可能性があると判断するのは他の装置である。この通知があったら、転送回数送信元情報に示された同一送信元のパケットの中で時系列的な転送回数が整合していないパケットを検出し、そのパケットの送信元を宛先としてこの送信元を検査するための送信元検査用パケットを送出し、これに対して応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止するようにしている。
【００４６】
請求項１９記載の発明では、（イ）ネットワークを介して送られてきたパケットを複数のポートで受信する受信ステップと、（ロ）同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるときその送信元を表わした送信元情報と共にその通知を受信する通知受信ステップと、（ハ）この通知受信ステップで通知を受信したとき前記した複数のポートのうちの２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別ステップと、（ニ）この該当パケット受信判別ステップで２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されていると判別したとき、送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出する送信元検査用パケット送出ステップと、（ホ）この送信元検査用パケット送出ステップによって送出された送信元検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元のパケットが入力されたポートから前記した同一の送信元のパケットが受信されたときその転送を禁止する特定パケット転送禁止ステップと、（へ）該当パケット受信判別ステップで２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されていないと判別したとき送信元情報に表わされる送信元に１つ近い側の転送先に不正に送信元を表示しているおそれのある送信元を表わした送信元情報を通知する通知ステップとをパケット転送制御方法に具備させる。
【００４７】
すなわち請求項１９記載の発明では、パケット転送制御装置自体が不正ユーザの検出を積極的には行わず、同一の送信元のパケットで少なくともその一部が不正に送信元を表示しているおそれのあるものが存在する可能性があるとき通知受信ステップでその送信元を表わした送信元情報と共にその通知を受信することにしている。可能性があると判断するのは他の装置である。この通知があったら、該当パケット受信判別ステップでは複数のポートのうちの２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されているかどうかを独自にチェックする。そして該当パケット受信判別ステップで２以上のポートに送信元情報に表わされる送信元のパケットが並行して受信されていると判別したとき、送信元情報に表わされる送信元を宛先としてパケットの返信を要求するための送信元検査用パケットを送出することにしている。この場合には、不正ユーザのパケットを特定してこれを他の装置に転送するのを禁止する。一方、パケットの経路によっては正当ユーザのパケットと不正ユーザのパケットが同一のポートあるいはインタフェース回路に入力される場合があり、この場合には通知を受けても不正ユーザのパケットの転送を禁止することができない。そこで、この場合には送信元情報に表わされる送信元に１つ近い側の転送先に不正に送信元を表示しているおそれのある送信元を表わした送信元情報を通知するようにしている。通知を受信した装置が同様の構成を備えたパケット転送制御装置であれば、不正ユーザのパケットを分離してその転送を禁止することができる可能性がある。
【００４８】
請求項２０記載の発明では、（イ）ネットワークを介してパケットを送信する送信元装置と、（ロ）ネットワークを介してパケットを受信する送信先装置と、（ハ）送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、これらのポートの幾つかに同一の送信元装置を示すパケットが時間的に並列して入力されたことを条件として不正アクセスを検出する不正アクセス検出手段と、この不正アクセス検出手段が不正アクセスを検出したときこれらのパケットの送信元装置を宛先としてパケットの返信を要求するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元装置のパケットが入力されたポートから前記した同一の送信元装置のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置とをパケット転送システムに具備させる。
【００４９】
すなわち請求項２０記載の発明では、パケット転送システムを送信元装置と、送信先装置とパケット転送制御装置とで構成している。そして、パケット転送制御装置は請求項１記載の発明の構成としている。
【００５０】
請求項２１記載の発明では、（イ）ネットワークを介してパケットを送信する送信元装置と、（ロ）ネットワークを介してパケットを受信する送信先装置と、（ハ）送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、これらのポートの幾つかに同一の送信元装置を示すパケットが時間的に並列して入力されたときこれが所定の頻度以上であることを条件として不正アクセスを検出する不正アクセス検出手段と、この不正アクセス検出手段が不正アクセスを検出したときこれらのパケットの送信元装置を宛先としてパケットの返信を要求するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元装置のパケットが入力されたポートから前記した同一の送信元装置のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置とをパケット転送システムに具備させる。
【００５１】
すなわち請求項２１記載の発明では、パケット転送システムを送信元装置と、送信先装置とパケット転送制御装置とで構成している。そして、パケット転送制御装置は請求項２記載の発明の構成としている。
【００５２】
請求項２２記載の発明では、（イ）ネットワークを介してパケットを送信する送信元装置と、（ロ）ネットワークを介してパケットを受信する送信先装置と、（ハ）送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元装置情報との対からなる転送回数送信元装置情報を記憶する転送回数送信元装置情報記憶手段と、この転送回数送信元装置情報記憶手段に記憶された同一送信元装置のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元装置を宛先としてこの送信元装置を検査するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置とをパケット転送システムに具備させる。
【００５３】
すなわち請求項２２記載の発明では、パケット転送システムを送信元装置と、送信先装置とパケット転送制御装置とで構成している。そして、パケット転送制御装置は請求項３記載の発明の構成としている。
【００５４】
請求項２３記載の発明では、（イ）ネットワークを介してパケットを送信する送信元装置と、（ロ）ネットワークを介してパケットを受信する送信先装置と、（ハ）送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元装置情報との対からなる転送回数送信元装置情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元装置情報記憶手段と、この転送回数送信元装置情報記憶手段に記憶された同一送信元装置のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元装置を宛先としてこの送信元装置を検査するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置とをパケット転送システムに具備させる。
【００５５】
すなわち請求項２３記載の発明では、パケット転送システムを送信元装置と、送信先装置とパケット転送制御装置とで構成している。そして、パケット転送制御装置は請求項４記載の発明の構成としている。
【００５６】
請求項２４記載の発明では、（イ）ネットワークを介してパケットを送信する送信元装置と、（ロ）ネットワークを介してパケットを受信する送信先装置と、（ハ）送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、これらのポートにパケットの転送回数を規定したパケットが受信されたときにこれらに示されている転送回数とパケットの送信元装置情報との対からなる転送回数送信元装置情報をこれらのパケットの受信が所定の頻度以上であることを条件として記憶する転送回数送信元装置情報記憶手段と、この転送回数送信元装置情報記憶手段に記憶された同一送信元装置のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したとき、これらのパケットを受信するポートを転送回数の関係で記憶するポート記憶手段と、転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したとき、そのパケットの送信元装置を宛先としてこの送信元装置を検査するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定する不正パケット特定手段と、この不正パケット特定手段によって特定された不正パケットに対応するポートから受信される該当する送信元装置のパケットの転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置とをパケット転送システムに具備させる。
【００５７】
すなわち請求項２４記載の発明では、パケット転送システムを送信元装置と、送信先装置とパケット転送制御装置とで構成している。そして、パケット転送制御装置は請求項５記載の発明の構成としている。
【００５８】
請求項２５記載の発明では、（イ）ネットワークを介してパケットを送信する送信元装置と、（ロ）ネットワークを介してパケットを受信する送信先装置と、（ハ）送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、同一の送信元装置のパケットで少なくともその一部が不正に送信元装置を表示しているおそれのあるものが存在する可能性があるときその送信元装置を表わした送信元装置情報と共にその通知を受信する通知受信手段と、この通知受信手段が通知を受信したとき前記した複数のポートのうちの２以上のポートに送信元装置情報に表わされる送信元装置のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別手段と、この該当パケット受信判別手段が２以上のポートに送信元装置情報に表わされる送信元装置のパケットが並行して受信されていると判別したとき、送信元装置情報に表わされる送信元装置を宛先としてパケットの返信を要求するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元装置のパケットが入力されたポートから前記した同一の送信元装置のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置とをパケット転送システムに具備させる。
【００５９】
すなわち請求項２５記載の発明では、パケット転送システムを送信元装置と、送信先装置とパケット転送制御装置とで構成している。そして、パケット転送制御装置は請求項６記載の発明の構成としている。
【００６０】
請求項２６記載の発明では、（イ）ネットワークを介してパケットを送信する送信元装置と、（ロ）ネットワークを介してパケットを受信する送信先装置と、（ハ）送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、転送回数を規定したパケットで少なくともその一部が不正に送信元装置を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元装置情報との対を示す転送回数送信元装置情報と共にその通知を受信する通知受信手段と、この通知受信手段が通知を受信したときこの転送回数送信元装置情報に示された同一送信元装置のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元装置を宛先としてこの送信元装置を検査するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置とをパケット転送システムに具備させる。
【００６１】
すなわち請求項２６記載の発明では、パケット転送システムを送信元装置と、送信先装置とパケット転送制御装置とで構成している。そして、パケット転送制御装置は請求項７記載の発明の構成としている。
【００６２】
請求項２７記載の発明では、（イ）ネットワークを介してパケットを送信する送信元装置と、（ロ）ネットワークを介してパケットを受信する送信先装置と、（ハ）送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、転送回数を規定したパケットで少なくともその一部が不正に送信元装置を表示しているおそれのあるものが存在する可能性があるときそのパケットが受信されたときにこれらに示されている転送回数とパケットの送信元装置情報との対を示す転送回数送信元装置情報と共にその通知を受信する通知受信手段と、この通知受信手段が通知を受信したとき転送回数送信元装置情報に示された同一送信元装置のパケットの中で時系列的な転送回数が整合していないパケットを検出する転送回数不整合パケット検出手段と、この転送回数不整合パケット検出手段が転送回数の整合していないパケットを検出したときそのパケットの送信元装置を宛先としてこの送信元装置を検査するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットが返信された経路をチェックして不正アクセスのパケットを特定し、これら不正アクセスのパケットの転送を禁止する特定パケット転送禁止手段とを備えたパケット転送制御装置とをパケット転送システムに具備させる。
【００６３】
すなわち請求項２７記載の発明では、パケット転送システムを送信元装置と、送信先装置とパケット転送制御装置とで構成している。そして、パケット転送制御装置は請求項８記載の発明の構成としている。
【００６４】
請求項２８記載の発明では、（イ）ネットワークを介してパケットを送信する送信元装置と、（ロ）ネットワークを介してパケットを受信する送信先装置と、（ハ）送信元装置によってネットワークを介して送られてきたパケットを受信する複数のポートと、同一の送信元装置のパケットで少なくともその一部が不正に送信元装置を表示しているおそれのあるものが存在する可能性があるときその送信元装置を表わした送信元装置情報と共にその通知を受信する通知受信手段と、この通知受信手段が通知を受信したとき前記した複数のポートのうちの２以上のポートに送信元装置情報に表わされる送信元装置のパケットが並行して受信されているかどうかをチェックする該当パケット受信判別手段と、この該当パケット受信判別手段が２以上のポートに送信元装置情報に表わされる送信元装置のパケットが並行して受信されていると判別したとき、送信元装置情報に表わされる送信元装置を宛先としてパケットの返信を要求するための送信元装置検査用パケットを送出する送信元装置検査用パケット送出手段と、この送信元装置検査用パケット送出手段によって送出された送信元装置検査用パケットについての応答パケットが送り返されてきたとき、この応答パケットの送り返されてきたポート以外であって前記した同一の送信元装置のパケットが入力されたポートから前記した同一の送信元装置のパケットが受信されたときその転送を禁止する特定パケット転送禁止手段と、該当パケット受信判別手段が２以上のポートに送信元装置情報に表わされる送信元装置のパケットが並行して受信されていないと判別したとき送信元装置情報に表わされる送信元装置に１つ近い側の転送先に不正に送信元装置を表示しているおそれのある送信元装置を表わした送信元装置情報を通知する通知手段とを備えたパケット転送制御装置とをパケット転送システムに具備させる。
【００６５】
すなわち請求項２８記載の発明では、パケット転送システムを送信元装置と、送信先装置とパケット転送制御装置とで構成している。そして、パケット転送制御装置は請求項９記載の発明の構成としている。
【００６６】
【発明の実施の形態】
【００６７】
【実施例】
以下実施例につき本発明を詳細に説明する。
【００６８】
第１の実施例
【００６９】
図１は本発明の第１の実施例におけるパケット転送制御装置を使用した通信システムの要部を示したものである。この通信システムは、今回不正アクセス防止の対象となるサーバ２０１と正当ユーザ２０２ならびに不正ユーザ２０３の間を結ぶインターネットを利用した網の目状の通信経路から構成されている。この通信経路におけるサーバ２０１と直接接続されたルータ２０４から見て、正当ユーザ２０２側に進む方向に順にルータ２０５１１、２０５２１、２０５３１が配置されているものとする。図で示したルータ２０５２２および２０５２３は、ルータ２０５１１から見て、サーバ２０１方向にホップ数が“１”となったルータであり、ルータ２０５３２はルータ２０５２１から見て、サーバ２０１方向にホップ数が“１”となったルータである。ルータ２０５２２には、更にサーバ２０１から経路的に離れた側にルータ２０５３３とルータ２０５３４が接続されている。この例では正当ユーザ２０２がルータ２０５３１を介してサーバ２０１に接続されるものとし、不正ユーザ２０３は他のルータ２０５３３を介してサーバ２０１に接続されるものとする。
【００７０】
不正アクセスに対する阻止機能を備えた本実施例のパケット転送制御装置２０７は、ルータ２０５１１を含めた装置として構成されている。ただし、他のルータ２０５２１、２０５３１、……側でも、それらを含めた回路がそれぞれパケット転送制御装置を構成することは自由である。本実施例のパケット転送制御装置２０７を使用したパケット転送制御装置の概要を簡単に説明する。
【００７１】
図２は、本実施例のパケット転送制御装置の入出力ポートの構成を表わしたものである。パケット転送制御装置２０７は、第１〜第ＮのポートＰ１〜ＰＮを備えている。説明を簡単にするために、ある時点で第１のポートＰ１がルータ２０５２１を介して正当ユーザ２０２と接続され、第２のポートＰ２がルータ２０５２２を介して不正ユーザ２０３と接続され、第３のポートＰ３がルータ２０５２３と接続されているものとする。また、第４のポートＰ４はルータ２０４を介してサーバ２０１と接続されているものとする。第１〜第ＮのポートＰ１〜ＰＮには、それぞれ回線２１１１〜２１１Ｎが接続されている。
【００７２】
パケット転送制御装置２０７はその入力側のポートＰ１〜Ｐ３に同一の送信元を表わす同一の送信元アドレスを有するパケットが到着するかどうかをチェックするようになっている。正当ユーザ２０２に成りすまして不正ユーザ２０３が正当ユーザ２０２と同一の送信元アドレスを使用したパケットを送り出したとすると、パケット転送制御装置２０７はこれによりネットワークを伝達しているパケットの中に不正使用している可能性があることを判別する。そこで、このような場合が生じると、パケット転送制御装置２０７はその送信元アドレスに対して送信元検査用パケットを送出する。
【００７３】
送信元検査用パケットは送信元アドレスに対して送られるので、正当ユーザ２０２のみがこれに対して応答することができる。パケット転送制御装置２０７はこの応答をポートＰ１を介して受信する。したがって、他のポートＰ２あるいはＰ３から同一の送信元アドレスのパケットが送られてきたときにはこれらをポートＰ４側にスイッチングしないようにフィルタリングを行うことで不正パケットがサーバ２０１側に送られるのを阻止することができる。
【００７４】
図３は、パケット転送制御装置の構成を表わしたものである。このパケット転送制御装置２０７は、回線インタフェース部２１３を備えている。回線インタフェース部２１３は第１のポートＰ１、第２のポートＰ２、……第ＮのポートＰＮに対向する第１、第２、……第Ｎのインタフェース（Ｉ／Ｆ）回路２１４１、２１４２、……２１４Ｎを備えている。これらのインタフェース回路２１４１、２１４２、……２１４Ｎは、制御パケット分類部２１５と接続されている。回線インタフェース部２１３は回線２１１１、２１１２、……２１１Ｎからパケットを受信したときには、これを制御パケット分類部２１５に渡す処理を行う。また反対に制御パケット分類部２１５から送信パケットを渡された場合には、第１、第２、……第Ｎのインタフェース回路２１４１、２１４２、……２１４Ｎのうちのその送信パケットについて指定された回路にこれを出力するようになっている。回線インタフェース部２１３は、また回線２１１１、２１１２、……２１１Ｎの物理的な信号を論理的な信号に変換してパケットフレームを生成する処理および、これとは逆に回線２１１１、２１１２、……２１１Ｎのパッケージデータを物理的な信号に変換する処理を行うようになっている。
【００７５】
制御パケット分類部２１５は、パケットについて前記したフィルタリングを行うフィルタ部２１６と、ルーティングを行うルーティング部２１７と、不正ユーザから送信された可能性のあるパケットを判別するための比較処理を行う回線比較部２１８およびＳＡ（ｓｏｕｒｃｅ  ａｄｄｒｅｓｓ：送信元アドレス）の検査を行うＳＡ検査部２１９と接続されている。制御パケット分類部２１５は、回線インタフェース部２１３から渡されるパケットの内容を調べて、これがＳＡ検査部２１９が送信を指示した送信元検査用パケットに対する応答パケットであれば、このパケットを回線比較部２１８に渡すようになっている。回線インタフェース部２１３から渡されるパケットが応答パケット以外のパケットである場合、制御パケット分類部２１５はこのパケットをフィルタ部２１６に渡す処理を行う。制御パケット分類部２１５はこの他に、ルーティング部２１７あるいはＳＡ検査部２１９から送信パケットを受け取って、これを回線インタフェース部２１３に渡す処理も行うようになっている。
【００７６】
フィルタ部２１６はフィルタテーブル２２１に設定した所定のルールと一致するパケットが受信されてきたときにはこれを不正ユーザからのパケットであると判別し、ＳＡ分類部２２２に渡すことなく廃棄するようになっている。フィルタテーブル２２１には時間の経過を測定するためのタイマ部２２４が接続されており、フィルタ部２１６に設定したルールの有効期間内であるかどうかを測定する。そして有効期間が経過したルールがあればこの設定内容を消去するようになっている。ネットワークの経路はネットワークの状態の変化や時間に応じて変化する可能性があるので、フィルタテーブル２２１に設定していた送信元アドレスのパケットが異なるネットワーク経由で到着する場合がある。そこで、タイマ部２２４を設けて一定期間経過後に今までのルールを消去するようにして、経路情報が変化した場合に対処できるようにするためである。
【００７７】
ＳＡ分類部２２２は、フィルタ部２１６によって廃棄されなかったパケットを受け取る。このようなパケットは不正アクセスの対象となったパケットに限らず、新しく到着したパケット等の一般のパケットが当然に含まれている。ＳＡ分類部２２２は受け取ったパケットのその送信元アドレスと到着回線インタフェースを分類用テーブル２２５に記録すると共に、転送するパケットをルーティング部２１７に渡す処理を行う。多重検出部２２６は、分類用テーブル２２５を用いて、同一送信元アドレスで複数の回線インタフェースから到着したパケットが存在するかどうかをチェックするようになっている。
【００７８】
多重検出部２２６がこのような複数の回線インタフェースに跨って到着したパケットを検出すると、ＳＡ検査部２１９はその検出した１つの送信元アドレスに該当する複数の回線インタフェースがどれとどれであるかを示す情報を受け取る。そして不正アクセスが行われているかどうかをチェックするための送信元検査用パケットの送信を制御パケット分類部２１５に要求する処理を行うと共に、検査用テーブル２２７にこの１つの送信元アドレスに該当する複数の回線インタフェースの記録を行う。
【００７９】
回線比較部２１８は受信したパケットをこの検査用テーブル２２７と比較して、検査対象となっている複数の回線インタフェースのうちで送信元検査用パケットに対する送信元からの応答があった回線インタフェース以外の回線インタフェースを不正なユーザの送信したパケットに係わるものである可能性があると判別する。そして、フィルタテーブル２２１に対して不正ユーザの送出するパケットを阻止するための回線インタフェースの設定を行うようにしている。
【００８０】
図４は、本実施例のパケット転送制御装置の制御の流れを示したものである。この図４を使用して図３に示した構成のパケット転送制御装置２０７の動作を説明する。所定の回線２１１を経由してパケットがパケット転送制御装置２０７に到来すると、回線インタフェース部２１３はその到着を検出する（ステップＳ３０１：Ｙ）。ここで回線２１１は、たとえば光ファイバケーブルで接続されたＯＣ−３（Ｏｐｔｉｃａｌ  Ｃａｒｒｉｅｒ−３）やＯＣ−４８（Ｏｐｔｉｃａｌ  Ｃａｒｒｉｅｒ−４８）、あるいは２本の線を捩りあわせたツイストペアケーブルで接続されたイーサネット等で構成されている。
【００８１】
回線インタフェース部２１３は、物理信号をその受信したパケットのデータに変換する（ステップＳ３０２）。変換されたパケットは、制御パケット分類部２１５に渡される。制御パケット分類部２１５では、その受信したパケットが通常パケットであるかどうかをチェックする（ステップＳ３０３）。ここで通常パケットとは、送信元を検査するためにパケット転送制御装置２０７から送信した送信元検査用パケットに対する送信元からの応答パケット以外の受信されたパケットをいう。応答パケットである場合には（Ｎ）、これを転送処理する必要はない。そこで回線比較部２１８にこれを渡して、後に詳細に説明する比較処理を実行する（ステップＳ３０４）。
【００８２】
これに対してその受信したパケットが通常パケットであると判別された場合には（ステップＳ３０３：Ｙ）、その転送処理の前段階としてのフィルタリングを行うためにこれをフィルタ部２１６に渡す。パケット転送制御装置２０７は、この場合に不正アクセスによるパケットを阻止するためのデータをフィルタテーブル２２１から読み込む（ステップＳ３０５）。
【００８３】
図５は、フィルタテーブルの内容の一例を表わしたものである。フィルタテーブル２２１は不正ユーザから送られてくるパケットをフィルタリングするためのデータを格納したテーブルである。ここにはＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスを表わした項目「ＳＲＣＡＤＤＲ」３２２と、到着回線インタフェースに対応するポート番号を表わした項目「ＳＲＣＩＦ」３２３と、フィルタテーブル２２１にそれらの項目を登録した日時の経過を示す項目「ＴＩＭＥＲ」３２４に分けたデータが格納されるようになっている。このフィルタテーブル２２１のいずれかの内容と一致するパケットがフィルタ部２１６に到着すれば、廃棄のためのルールに一致したと判断され（図４ステップＳ３０６：Ｙ）、そのパケットは転送処理されず処理が終了する（エンド）。すなわち、そのパケットは廃棄処理されることになる。
【００８４】
たとえば図２に示すポートＰ１とＰ２の双方に入力されるパケットの送信元アドレスが「１０．５．５．８」であったとし、前記した応答パケットによる判別結果からポートＰ１から入力されたパケットが正当ユーザ２０２から送られてきたパケットであると判別され、他のポートＰ２から入力されたパケットは不正ユーザ２０３のパケットであると判別されたものとする。この場合には、フィルタテーブル２２１の項目「ＳＲＣＡＤＤＲ」に「１０．５．５．８」が記され、項目「ＳＲＣＩＦ」にはポートＰ２を示す数値「２」が記される。そして、項目「ＴＩＭＥＲ」には送信元検査用パケットに対する応答パケットが到着して不正ユーザ２０３のパケットが判別されフィルタテーブル２２１に登録されたた時刻を示すデータ「１１．２０．２０．１０」すなわち１１月２０日２０時１０分というデータが記されている。
【００８５】
したがって、この例では送信元アドレスが「１０．５．５．８」のパケットがポートＰ２から入力されるようなことがあると、その時刻が項目「ＴＩＭＥＲ」に記された時刻から所定の時間ｔ以内であれば、そのパケットは不正ユーザから送られるパケットとしてのルールに一致しているものとして廃棄されることになる。なお、この所定の時間ｔを経過すれば、ルールに一致しないものとされる（図４ステップＳ３０６：Ｎ）。これは、時間の経過によりパケットのルーティングが異なる可能性が大きくなるので、再度、複数のポートに同一の送信元アドレスのパケットが到着するかどうかをチェックして、新たなルールの下で不正アクセスのパケットの処理を行うことにするためである。
【００８６】
図４のステップＳ３０６でルールに一致しないと判断された場合には、そのパケットはＳＡ分類部２２２に送られることになる。ＳＡ分類部２２２では、分類用テーブルを更新または新規作成する（ステップＳ３０７）。
【００８７】
図６は分類用テーブルの内容の一例を示したものである。分類用テーブル２２５は、ＩＰアドレスを表わした項目「ＳＲＣＡＤＤＲ」３３２と、到着回線インタフェースに対応するポート番号を表わした項目「ＳＲＣＩＦ」３３３と、同一パケットの到着回数を計数する項目「ＣＯＵＮＴＥＲ」３３４から構成されている。分類用テーブル２２５は項目「ＳＲＣＡＤＤＲ」３３２が異なるごとに新しく作成される。項目「ＣＯＵＮＴＥＲ」３３４が設けられているのは、たとえばある時間帯における同一ＩＰアドレスでのパケットの到着回数がごく少ないような場合には、不正アクセスが行われてはいないと見なして、このようなものについての送信元検査用パケットの送出やフィルタリング処理を省く主旨である。
【００８８】
図６ではＩＰアドレスが「１３．９．２．６」についての分類用テーブル２２５を示しているが、分類用テーブル２２５がすでに作成されているＩＰアドレスのパケットがＳＡ分類部２２２に入力された場合には、その分類用テーブル２２５について該当する項目「ＳＲＣＩＦ」３３３についての項目「ＣＯＵＮＴＥＲ」３３４の内容が１つずつカウントアップされることになる。項目「ＳＲＣＡＤＤＲ」３３２で示されるＩＰアドレスに該当するものがない場合には、これについての分類用テーブルが新たに作成されることになる。
【００８９】
ＳＡ分類部２２２が分類用テーブル２２５の更新または新規作成を行ったら、そのパケットがルーティング部２１７に渡されてどの経路のルータに向けてそのパケットを送り出すかを設定するルーティング処理が行われる（図４ステップＳ３０８）。そしてその宛先回線にパケットを渡し（ステップＳ３０９）、パケットデータを再び物理信号に直して回線に送出することになる（ステップＳ３１０）。
【００９０】
図７は、多重検出部が行う多重検出処理の流れを示したものである。図３に示した多重検出部２２６は、所定の時間間隔でこの処理を開始する。まず多重検出部２２６は分類用テーブル２２５内の項目「ＣＯＵＮＴＥＲ」３３４に、予め定めた数値以上のカウント値が登録されているものがあるかどうかをチェックする（ステップＳ３５１）。このようなものがなければ、処理を終了させる（エンド）。
【００９１】
予め定めた数値以上のカウント値が登録されているものがあれば、それぞれの項目「ＳＲＣＡＤＤＲ」３３２に対して項目「ＳＲＣＩＦ」３３３が複数のポートあるいはインタフェース回路２１４に跨って登録されているかどうかをチェックする（ステップＳ３５２）。１つのポートあるいはインタフェース回路２１４のみがデータとして項目「ＳＲＣＩＦ」３３３に記入されているものについては、その項目「ＳＲＣＡＤＤＲ」３３２についてアクセスが多重となっているおそれはない。したがってこのようなものについては検査用テーブル２２７への登録は行わない。
【００９２】
これに対して、予め定めた数値以上のカウント値が登録されているものでかつ項目「ＳＲＣＩＦ」３３３が複数記入されているものについては、１つの送信元アドレスが複数の送信元で使用されていることになる。そこでこのようなものがあれば（ステップＳ３５２：Ｙ）、これが検査用テーブル２２７に登録されているかどうかをチェックする（ステップＳ３５３）。そして検査用テーブル２２７に登録されていない場合には（Ｙ）、その項目「ＳＲＣＡＤＤＲ」３３２とそれに対する各項目「ＳＲＣＩＦ」３３３とを検査用テーブル２２７に登録する（ステップＳ３５４）。これ以外の場合（ステップＳ３５３：Ｎ）には、重複登録を回避するためにその項目「ＳＲＣＡＤＤＲ」３３２に関する処理は終了する（エンド）。
【００９３】
なお、ステップＳ３５３の処理のときに今まで存在しなかったポートあるいはインタフェース回路２１４に新たにデータが記入されていた場合にはその内容を対応する検査用テーブル２２７に追記する処理を行うようにしてもよい。この場合には後で説明するＳＡ検査部２１９が新たな状況に対処するために再度、送信元検査用パケットを送信することは有益である。
【００９４】
図８は、検査用テーブルの一例を示したものである。検査用テーブル２２７は、項目「ＳＲＣＡＤＤＲ」３６２と、図３に示したインタフェース回路２１４１、２１４２、……２１４Ｎに対応する項目「第１のＳＲＣＩＦ」３６３１〜項目「第ＮのＳＲＣＩＦ」３６３Ｎから構成されている。それぞれの項目「第１のＳＲＣＩＦ」３６３１から項目「第ＮのＳＲＣＩＦ」３６３Ｎにおけるパケットが到着したインタフェース回路２１４についてはその回数がデータとして記入されるようになっている。
【００９５】
図９は、回線比較部の比較処理の流れを表わしたものである。回線比較部２１８は制御パケット分類部２１５から送られてきた応答パケットの送信元アドレスと到着したポートに対応するインタフェース回路２１４を検査用テーブル２２７におけるこれらの組み合わせと比較する（ステップＳ３８１）。この結果、一致するもの（ステップＳ３８２：Ｙ）、については正当パケットについての組み合わせなので、フィルタテーブル２２１への登録を行うことなく処理を終了させる（エンド）。
【００９６】
これに対して応答パケットと送信元アドレスが一致していてインタフェース回路２１４が一致しないものについては（Ｎ）、そのポートあるいはインタフェース回路２１４を時刻を示すデータと共にフィルタテーブル２２１へ登録することになる（ステップＳ３８３）。
【００９７】
以上説明したように本実施例では第１、第２、……第Ｎのインタフェース回路２１４１、２１４２、……２１４Ｎの中の複数が同一の時間帯に同一送信元のパケットを受信した事実をもって不正アクセスの存在を検知し、送信元アドレスに送信元検査用パケットを送信し返信した経路（ポート）をチェックすることで不正アクセスのパケットを特定することにしている。
【００９８】
第２の実施例
【００９９】
本発明の第２の実施例ではパケットのヘッダ内に記述されたＴＴＬ（Ｔｉｍｅ  Ｔｏ  Ｌｉｖｅ）フィールドの値を比較することで同一送信元のパケットが複数の経路を経たことを検出し、その中に不正アクセスのパケットが存在することを判別するようにしている。この第２の実施例でも、送信元検査用パケットをパケット転送制御装置側が送信して、どれが正当ユーザの送出したパケットでどれが不正ユーザの送出したパケットであるかを見きわめるようにしている。
【０１００】
図１０は、パケットの構成の一例を示したものである。パケット４０１はＩＰヘッダ４０２とデータ部分としてのＩＣＭＰ４０３から構成されている。この例のパケット４０１は、ＩＰヘッダ４０２は、Ｖｅｒ（Version）、ＩＨＬ（Internet Header Length）等の各フィールドによって構成されているが、この中にＴＴＬフィールドが存在する。ＴＴＬフィールドはパケットの転送を無制限に行うことを防止するために設けられたものである。すなわちパケットを送信するときにＴＴＬフィールドに所定の初期値を与え、転送装置あるいはゲートウェイ等の装置によってパケットが転送されるたびにその値を“１”ずつ減少するようになっている。そして、ＴＴＬフィールドに示す値が“０”にまで減少したときには同一送信元のそのパケットの転送を終了して、それ以後のその送信元のそのパケットについては廃棄する。
【０１０１】
したがって、たとえばＴＴＬフィールドの値が“１０”のパケットを送信した場合には、転送装置側では１０回まで転送が可能である。たとえばＩＰＶ４（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ｖｒｓｉｏｎ  ４）のプロトコルでは、このようなＴＴＬフィールドが定義されている。アドレス・フィールドをこのＩＰＶ４よりも長くして、アドレスに十分な余裕を設けたＩＰＶ６（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ  Ｖｒｓｉｏｎ  ６）では、ホップリミットフィールド（Ｈｏｐ  Ｌｉｍｉｔ  フィールド）がＴＴＬフィールドと同様なものとして定義されている。
【０１０２】
なお、図１０に示したパケット４０１では、「ＩＰＣＭ  ＥＣＨＯ  ＲＥＰＬＹ」メッセージの場合に、ＩＰＣＭなのでＩＰヘッダ４０２のプロトコルフィード（ＰＲＯＴＯ）は“１”になる。また、「ＩＰＣＭ  ＥＣＨＯ  ＲＥＰＬＹ」メッセージなので、「ＴＹＰＥ＝０、ＣＯＤＥ＝０」となる。
【０１０３】
図１１は、この第２の実施例におけるパケット転送制御装置の構成を表わしたものである。図３と同一部分には同一の符号を付しており、これらの説明を適宜省略する。この第２の実施例のパケット転送制御装置２０７Ａではフィルタ部２１６を通過したパケットがＳＡ分類部２２２Ａに渡されるようになっている。ＳＡ分類部２２２Ａは、受け取ったパケットのその送信元アドレスと到着回線インタフェースおよびＴＴＬフィールドの値を分類用テーブル２２５Ａに記録すると共に、転送するパケットをルーティング部２１７に渡す処理を行う。
【０１０４】
図１２は、分類用テーブルの内容の一例を表わしたものである。分類用テーブル２２５Ａは、ＩＰアドレスを表わした項目「ＳＲＣＡＤＤＲ」３３２と、ＴＴＬフィールドの値を表わした項目「ＴＴＬ」４１１と、同一パケットの到着回数を計数する項目「ＣＯＵＮＴＥＲ」３３４から構成されている。分類用テーブル２２５Ａは項目「ＳＲＣＡＤＤＲ」３３２が異なるごとに新しく作成される。
【０１０５】
図６ではＩＰアドレスが「１３．９．２．６」についての分類用テーブル２２５Ａを示しているが、分類用テーブル２２５Ａがすでに作成されているＩＰアドレスのパケットがＳＡ分類部２２２Ａに入力された場合には、その分類用テーブル２２５Ａについて項目「ＴＴＬ」４１１が同一であるかどうかの判別が行われ、同一の場合には項目「ＣＯＵＮＴＥＲ」３３４の内容が１つずつカウントアップされることになる。項目「ＴＴＬ」４１１の異なるパケットがＳＡ分類部２２２Ａに入力された場合には、その項目が同一の分類用テーブル２２５Ａに追記されることになる。
【０１０６】
図１１に示した多重検出部２２６Ａは、図１２に示した分類用テーブル２２５Ａに同一の送信元アドレスにもかかわらず複数の項目「ＴＴＬ」４１１が存在するパケットが存在するかどうかをチェックすることになる。そして、このようなパケットが存在したときには不正ユーザのパケットが存在する可能性があるので、ＳＡ検査部２１９Ａに対してこの送信元アドレスとこれら複数のＴＴＬフィールドの値の組を渡すことになる。
【０１０７】
図１３は、このような多重検出部の制御の流れを表わしたものである。この図で図７と同一部分には同一の符号を付している。図１１に示した多重検出部２２６Ａは、所定の時間間隔でこの処理を開始する。まず多重検出部２２６Ａは分類用テーブル２２５Ａ内の項目「ＣＯＵＮＴＥＲ」３３４に、予め定めた数値以上のカウント値が登録されているかどうかをチェックする（ステップＳ３５１）。このようなものがなければ、処理を終了させる（エンド）。
【０１０８】
予め定めた数値以上のカウント値が登録されているものがあれば、それぞれの項目「ＳＲＣＡＤＤＲ」３３２に対して項目「ＴＴＬ」４１１が異なった値として複数登録されているかどうかをチェックする（ステップＳ４３１）。
【０１０９】
これに対して、予め定めた数値以上のカウント値が登録されているものでかつ項目「ＴＴＬ」４１１が複数記入されているものについては、１つの送信元アドレスで異なったＴＴＬフィールドが存在するので、１つの送信元と偽ってパケットを送出している送信者が存在することになる。そこでこのようなものがあれば（ステップＳ４３１：Ｙ）、これが検査用テーブル２２７Ａに登録されているかどうかをチェックする（ステップＳ３５３）。そして検査用テーブル２２７に登録されていない場合には（Ｙ）、すなわち新たな送信者が追加されたときには、その項目「ＳＲＣＡＤＤＲ」３３２とそれに対する各項目「ＴＴＬ」４１１とを検査用テーブル２２７Ａに登録する（ステップＳ４３２）。これ以外の場合（ステップＳ３５３：Ｎ）には、重複登録を回避するためにその項目「ＳＲＣＡＤＤＲ」３３２に関する処理は終了する（エンド）。
【０１１０】
図１４は、検査用テーブルの構成を表わしたものである。この図で図８と同一部分には同一の符号を付している。検査用テーブル２２７Ａは、項目「ＳＲＣＡＤＤＲ」３６２と、各ＴＴＬフィールドに順に対応する項目「第１のＴＴＬ」４５１１〜項目「第ＮのＴＴＬ」４５１Ｎから構成されている。
【０１１１】
このように第２の実施例のパケット転送制御装置では、同一送信元と表示されているパケットのＴＴＬフィールドが異なっている場合には、これを基にしてその送信元に対して送信元検査用パケットを送出し、返信した経路（ポート）をチェックすることで不正アクセスのパケットを特定することにしている。
【０１１２】
第３の実施例
【０１１３】
図１５は本発明の第３の実施例におけるパケット転送制御装置の構成を表わしたものである。このパケット転送制御装置２０７Ｂで図３に示したパケット転送制御装置２０７と同一部分には同一の符号を付しており、これらの説明を適宜省略する。この第３の実施例では、パケット転送制御装置２０７Ｂ自体が不正パケットの検出機能を備えていない。検査要求検出部５０１はフィルタ部２１６Ｂを通過したパケットを受け取って、他のルータ等の装置から不正ユーザの検出とそのパケットの廃棄を要求する検査要求パケットであるかどうかを判別する。検査要求パケットではない場合には、他の箇所に転送すべきパケットなので、これをルーティング部２１７に受け渡すことになる。
【０１１４】
これに対して、そのパケットが検査要求パケットであった場合にはこのパケットに付加された送信元アドレスをＳＡ検査部２１９Ｂに引き渡す。ＳＡ検査部２１９Ｂは先の実施例と同様に渡された送信元アドレスに対して送信元検査用パケットを送出させるための指示を制御パケット分類部２１５Ｂに対して与えると共に、その送信元アドレスを検査用テーブル２２７Ｂおよびフィルタテーブル２２１Ｂに与える。
【０１１５】
回線比較部２１８Ｂは送信元検査用パケットに対する応答パケットが返送されてきたときにはこのとき使用されたインタフェース回路２１４に関する情報を制御パケット分類部２１５Ｂから受け取って、送信元アドレスとその正当ユーザに関するインタフェース回路２１４に関する情報の対をフィルタテーブル２２１Ｂに登録する。フィルタ部２１６Ｂはこのフィルタテーブル２２１Ｂに登録されている送信元アドレスのパケットが送出されてきたときには、これに対応して登録したインタフェース回路２１４に関する情報と同一のインタフェース回路２１４を経て受信されたパケットであるかどうかを判別して、そのパケットのみを通過させる。すなわち、フィルタテーブル２２１Ｂに登録されている送信元アドレスのパケットについてはこれ以外のインタフェース回路２１４を経て受信されたパケットは廃棄することになる。タイマ部２２４は同様に一定時間を経たデータについてフィルタテーブル２２１Ｂの内容を消去して正当ユーザのパケットが廃棄される不都合を解消するようにしている。
【０１１６】
発明のその他の変形例
【０１１７】
先に説明した第２の実施例では、図１２に示すように分類用テーブル２２５Ａを、ＩＰアドレスを表わした項目「ＳＲＣＡＤＤＲ」３３２と、ＴＴＬフィールドの値を表わした項目「ＴＴＬ」４１１と、同一パケットの到着回数を計数する項目「ＣＯＵＮＴＥＲ」３３４から構成した。このうちの項目「ＣＯＵＮＴＥＲ」３３４を省略することは可能である。また、他の同様な項目をこれに代わって、あるいはこれと共に追加してもよい。
【０１１８】
図１６は分類用テーブルの変形例を表わしたものである。この変形例の分類用テーブル２２５Ｃは、ＩＰアドレスを表わした項目「ＳＲＣＡＤＤＲ」３３２と、ＴＴＬフィールドの値を表わした項目「ＴＴＬ」４１１と、登録した日時の経過を示す項目「ＴＩＭＥＲ」６０１から構成されている。
【０１１９】
更に第２の実施例では不正ユーザのパケットが送られてきている可能性があるときに送信元アドレスに対して単に返信を指示する送信元検査用パケットを送出することにしたが、更に現在の転送回数を示すパケットの返信を求めたり、送信を最初に開始した時刻等の他の情報を返答用の情報に付加するようにしてもよい。これにより、複数の送信者のパケットのＴＴＬフィールドが一時的に近似した値となった場合であっても不正ユーザの存在を確認することができる。
【０１２０】
また、第３の実施例では検査要求パケットが他の装置から送られてきたとき複数のインタフェース回路２１４に同一の送信元アドレスのパケットが受信されていることを利用して不正ユーザのパケットを廃棄することにしたが、検査の結果、その送信元アドレスについてインタフェース回路２１４が１つしか使用されていない場合も存在する。このような場合には、要求を受けたパケット転送制御装置あるいは不正ユーザのパケットが存在する可能性を否定できないパケット転送制御装置は、送信元アドレスに近いと思われる上流側の同様のパケット転送制御装置に検査要求パケットを転送あるいは新たに送出することも有効である。イーサネット網では異なった送信元のパケットが共通した経路を取っている場合であっても、その送信元により近い上流側に辿っていけば経路が異なっている可能性が高く、その場所に存在するパケット転送制御装置はインタフェース回路２１４を使用して不正パケットを判別し廃棄することが可能だからである。
【０１２１】
【発明の効果】
以上説明したように請求項１〜請求項２８記載の発明によれば、ルータ等のパケットの転送装置の複数のポートに同一送信先のパケットが並行して入力されたとき不正ユーザのパケットの通過するポートを特定してそのパケットの転送を禁止することにしたので、簡単な制御で不正なパケットの転送を禁止することができ、不正なアクセスあるいは不正なパケットがネットワークを転送されることによるサーバ等の処理装置の負荷を軽減させることができる。
【０１２２】
また請求項２、請求項４、請求項５、請求項１２、請求項１４、請求項１５、請求項２１、請求項２３および請求項２４記載の発明によれば、パケットの受信が所定の頻度以上であることを条件として不正アクセスに対する処理を行うようにしたので、パケット転送制御装置のテーブル管理が煩雑にならず、負荷も少なくなるという効果がある。
【０１２３】
更に請求項請求項３〜請求項５、請求項７、請求項８、請求項１３〜請求項１５、請求項１７、請求項１８、請求項２２〜請求項２４、請求項２６および請求項２７記載の発明によれば、パケットに含まれる転送回数に関する情報を基にして不正ユーザのパケットを判別するので、同一のポートあるいはインタフェース回路を経たパケットであっても不正ユーザのパケットが存在する可能性を判別することが可能である。
【０１２４】
また、請求項６〜請求項９、請求項１６〜請求項１９および請求項２５〜請求項２８記載の発明によれば、不正ユーザのパケットが存在する可能性があることの通知を受けたものがそのパケットの転送を規制することにしたので、パケット転送制御装置が不正ユーザのパケットの検出機能を省略あるいは簡略化することができるだけでなく、通知を行う側はパケットの転送を規制する回路装置を備える必要がなく、互いに装置構成を融通することができる。
【０１２５】
更に請求項１０記載の発明によれば、時間の経過によってネットワークの障害等の事情でパケットの転送される経路が異なった場合にも、不正アクセスのパケットを再度点検して規制することが可能になる。
【図面の簡単な説明】
【図１】本発明の第１の実施例におけるパケット転送制御装置を使用した通信システムの要部を示した概略構成図である。
【図２】第１の実施例におけるパケット転送制御装置の入出力ポートの構成を表わした説明図である。
【図３】第１の実施例におけるパケット転送制御装置の構成を表わしたブロック図である。
【図４】第１の実施例におけるパケット転送制御装置の制御の流れを示した流れ図である。
【図５】第１の実施例におけるフィルタテーブルの内容の一例を表わした説明図である。
【図６】第１の実施例における分類用テーブルの内容の一例を示した説明図である。
【図７】第１の実施例における多重検出部が行う多重検出処理の流れを示した流れ図である。
【図８】第１の実施例における検査用テーブルの一例を示した説明図である。
【図９】第１の実施例における回線比較部の比較処理の流れを表わした流れ図である。
【図１０】本発明の第２の実施例で使用されるパケットの構成の一例を示した説明図である。
【図１１】第２の実施例におけるパケット転送制御装置の構成を表わしたブロック図である。
【図１２】第２の実施例における分類用テーブルの内容の一例を表わした説明図である。
【図１３】第２の実施例における多重検出部の制御の流れを表わした流れ図である。
【図１４】第２の実施例における検査用テーブルの構成を表わした説明図である。
【図１５】本発明の第３の実施例におけるパケット転送制御装置の構成を表わしたブロック図である。
【図１６】分類用テーブルの変形例を表わした説明図である。
【図１７】従来提案されたパケット転送制御装置を示したシステム構成図である。
【符号の説明】
２０７  パケット転送制御装置
２１１  回線
２１３  回線インタフェース部
２１４  インタフェース回路
２１５  制御パケット分類部
２１６  フィルタ部
２１７  ルーティング部
２１８  回線比較部
２１９  ＳＡ検査部
２２１  フィルタテーブル
２２２  ＳＡ分類部
２２５  分類用テーブル
２２６  多重検出部
２２７  検査用テーブル
４１１  項目「ＴＴＬ」
Ｐ１〜ＰＮ  第１〜第Ｎのポート
【図１】
0003584877.tif 000002
【図２】
0003584877.tif 000003
【図３】
0003584877.tif 000004
【図４】
0003584877.tif 000005
【図５】
0003584877.tif 000006
【図６】
0003584877.tif 000007
【図７】
0003584877.tif 000008
【図８】
0003584877.tif 000009
【図９】
0003584877.tif 000010
【図１０】
0003584877.tif 000011
【図１１】
0003584877.tif 000012
【図１２】
0003584877.tif 000013
【図１３】
0003584877.tif 000014
【図１４】
0003584877.tif 000015
【図１５】
0003584877.tif 000016
【図１６】
0003584877.tif 000017
【図１７】
0003584877.tif 000018