(57)【要約】【課題】  ネットワークから端末への不正アクセスを防止する。【解決手段】  外部端末から受信したシグナリングパケットにウィルスが含まれていればシグナリングパケットを廃棄する。ウィルスが含まれていることがあきらかとならなかった場合には、不要箇所を削除して、ポーリング信号に応じて、内部端末にシグナリングパケットを転送する。内部端末から受信した応答パケットに記述されているポート番号を他のポート番号に変換する。外部端末から受信したセッションパケットが所定のプロトコルに従ったものでなければセッションパケットを廃棄する。外部端末から受信したセッションパケットが所定のプロトコルに従ったものであれば、ポート番号を逆変換して内部端末に転送する。【選択図】        図２
2006005548.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークからの不正アクセスを防止するための不正アクセス防止方法において、
前記ネットワークに接続されている機器からセッションを開始するためのシグナリングパケットを受信するステップと、
前記ネットワークに接続されている機器から受信した前記シグナリングパケットに不正アクセスのための記述が含まれているか否かを検出するステップと、
前記不正アクセスのための記述が含まれていることが明らかとなったシグナリングパケットを廃棄するステップと、
前記不正アクセスのための記述が含まれていることが明らかとならなかったシグナリングパケットから、前記セッションで使用することが希望されているポート番号を示す希望ポート番号の記述を少なくとも含む所定の項目の記述を残して、他の項目の記述を削除するステップと、
前記削除が行われた後の前記シグナリングパケットをシグナリングパケット処理部に送信するステップと、
を備えることを特徴とする不正アクセス防止方法。
【請求項２】
請求項１に記載の不正アクセス防止方法において、
前記削除が行われた後のシグナリングパケットのシグナリングパケット処理部への送信は、ポーリングに応じて行うことを特徴とする不正アクセス防止方法。
【請求項３】
請求項１に記載の不正アクセス防止方法において、
前記シグナリングパケット処理部から前記シグナリングパケットに対する応答パケットであって、前記セッションを行うためのセッション部が前記セッションで使用可能であるポート番号を示す使用可能ポート番号を含むものを受信するステップと、
前記使用可能ポート番号を他のポート番号に変換するステップと、
前記使用可能ポート番号が他のポート番号に変換された応答パケットを前記ネットワークに接続されている前記機器に送信するステップと、
を更に備えることを特徴とする不正アクセス防止方法。
【請求項４】
請求項３に記載の不正アクセス防止方法において、
前記ネットワークに接続されている前記機器に送信した前記応答パケットに含まれている前記他のポート番号のポートを利用したセッションパケットを前記ネットワークに接続されている前記機器から受信するステップと、
前記セッションパケットが所定のプロトコルのパケットであるか否かを検出するステップと、
前記セッションパケットが前記所定のプロトコルのパケットでない場合には、該セッションパケットを廃棄するステップと、
前記所定のプロトコルのパケットであると判断された前記セッションパケットのポート番号を変換前のポート番号に逆変換して前記セッション部に送信するステップと、
を更に備えることを特徴とする不正アクセス防止方法。
【請求項５】
請求項３に記載の不正アクセス防止方法において、
前記使用可能ポート番号を他のポート番号に変換する代わりに、又は前記使用可能ポート番号を他のポート番号に変換することに加え、応答パケットに含まれる、前記セッションで使用可能な第４層プロトコル番号を示す使用可能第４層プロトコル番号を他の第４層プロトコル番号に変換することを特徴とする不正アクセス防止方法。
【請求項６】
ネットワークからの不正アクセスを防止するための不正アクセス防止装置において、
前記ネットワークに接続されている機器からセッションを開始するためのシグナリングパケットを受信する手段と、
前記ネットワークに接続されている機器から受信した前記シグナリングパケットに不正アクセスのための記述が含まれているか否かを検出する手段と、
前記不正アクセスのための記述が含まれていることが明らかとなったシグナリングパケットを廃棄する手段と、
前記不正アクセスのための記述が含まれていることが明らかとならなかったシグナリングパケットから、前記セッションで使用することが希望されているポート番号を示す希望ポート番号の記述を少なくとも含む所定の項目の記述を残して、他の項目の記述を削除する手段と、
前記削除が行われた後の前記シグナリングパケットをシグナリングパケット処理部に送信する手段と、
を備えることを特徴とする不正アクセス防止装置。
【請求項７】
請求項６に記載の不正アクセス防止装置において、
前記削除が行われた後のシグナリングパケットのシグナリングパケット処理部への送信は、ポーリングに応じて行うことを特徴とする不正アクセス防止装置。
【請求項８】
請求項６に記載の不正アクセス防止装置において、
前記シグナリングパケット処理部から前記シグナリングパケットに対する応答パケットであって、前記セッションを行うためのセッション部が前記セッションで使用可能であるポート番号を示す使用可能ポート番号を含むものを受信する手段と、
前記使用可能ポート番号を他のポート番号に変換する手段と、
前記使用可能ポート番号が他のポート番号に変換された応答パケットを前記ネットワークに接続されている前記機器に送信する手段と、
を更に備えることを特徴とする不正アクセス防止装置。
【請求項９】
請求項８に記載の不正アクセス防止装置において、
前記ネットワークに接続されている前記機器に送信した前記応答パケットに含まれている前記他のポート番号のポートを利用したセッションパケットを前記ネットワークに接続されている前記機器から受信する手段と、
前記セッションパケットが所定のプロトコルのパケットであるか否かを検出する手段と、
前記セッションパケットが前記所定のプロトコルのパケットでない場合には、該セッションパケットを廃棄する手段と、
前記所定のプロトコルのパケットであると判断された前記セッションパケットのポート番号を変換前のポート番号に逆変換して前記セッション部に送信する手段と、
を更に備えることを特徴とする不正アクセス防止装置。
【請求項１０】
請求項８に記載の不正アクセス防止装置において、
前記使用可能ポート番号を他のポート番号に変換する代わりに、又は前記使用可能ポート番号を他のポート番号に変換することに加え、応答パケットに含まれる、前記セッションで使用可能な第４層プロトコル番号を示す使用可能第４層プロトコル番号を他の第４層プロトコル番号に変換することを特徴とする不正アクセス防止装置。
【請求項１１】
コンピュータに請求項１乃至５の何れか１項に記載の不正アクセス防止方法を行わせるための不正アクセス防止プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークから端末への不正アクセスを防止するための不正アクセス防止方法、不正アクセス防止装置及び不正アクセス防止プログラムに関する。
【背景技術】
【０００２】
近年、インターネット上でコーデック信号をペイロードに入れたＲＴＰ(Real-time Transport Protocol)パケットを利用して、ＩＰ(Internet Protocol)電話、テレビ電話等が行われるようになってきている。
【０００３】
ＲＴＰパケット伝送のセッションを始めるためには、例えば、ＳＩＰ(Session Initiation Protocol)又はＨ．３２３を用いてシグナリングが行われる。ＳＩＰメッセージは、ＳＩＰヘッダ及びＳＩＰボディを含み、ＳＩＰボディはＳＤＰ(Session description Protocol)に従った記述を含む。
【０００４】
また、ＲＴＰパケット伝送のセッションが実行されている最中には、ＲＴＣＰ(RTP Control Protocol)を用いてセッションの制御が行われる。
【０００５】
なお、本発明に関連する先行技術文献として以下のものがある。非特許文献１は、ＳＩＰに関するものであり、非特許文献２はＳＤＰに関するものであり、非特許文献３は、ＲＴＣＰに関するものである。
【非特許文献１】ＲＦＣ３２６１規格書  http://www.ietf.org/rfc/rfc3261.txt
【非特許文献２】ＲＦＣ２３２７規格書  http://www.ietf.org/rfc/rfc2327.txt?number=2327
【非特許文献３】ＲＦＣ３５５０規格書  http://rfc3550.x42.com/
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、シグナリング時及びセッション実行時に以下に説明するようにウィルスが端末に送り込まれることがあった。
【０００７】
シグナリング用のパケットのヘッダ又はペイロードにウィルスを潜ませる。
【０００８】
シグナリング用のパケットを多数送り、バッファをオーバーフローさせて、ウィルスチェック機能が働かないようにする。
【０００９】
セッションを開始する前のシグナリングの際に、映像データ又は音楽データを送信するためのポートのみならず他のポートも開通させ、ストリーミング用の映像データ又は音楽データと共に、他のポートを利用してウィルスも送信する。
【００１０】
そこで、本発明は、ネットワークから端末への不正アクセスを防止することにより端末へのウィルスの侵入を防止することを可能とする不正アクセス防止方法、不正アクセス防止装置及び不正アクセス防止プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明によれば、ネットワークからの不正アクセスを防止するための不正アクセス防止方法において、前記ネットワークに接続されている機器からセッションを開始するためのシグナリングパケットを受信するステップと、前記ネットワークに接続されている機器から受信した前記シグナリングパケットに不正アクセスのための記述が含まれているか否かを検出するステップと、前記不正アクセスのための記述が含まれていることが明らかとなったシグナリングパケットを廃棄するステップと、前記不正アクセスのための記述が含まれていることが明らかとならなかったシグナリングパケットから、前記セッションで使用することが希望されているポート番号を示す希望ポート番号の記述を少なくとも含む所定の項目の記述を残して、他の項目の記述を削除するステップと、
前記削除が行われた後の前記シグナリングパケットをシグナリングパケット処理部に送信するステップと、を備えることを特徴とする不正アクセス防止方法が提供される。
【００１２】
上記の不正アクセス防止方法において、前記削除が行われた後のシグナリングパケットのシグナリングパケット処理部への送信は、ポーリングに応じて行ってもよい。
【００１３】
上記の不正アクセス防止方法は、前記シグナリングパケット処理部から前記シグナリングパケットに対する応答パケットであって、前記セッションを行うためのセッション部が前記セッションで使用可能であるポート番号を示す使用可能ポート番号を含むものを受信するステップと、前記使用可能ポート番号を他のポート番号に変換するステップと、前記使用可能ポート番号が他のポート番号に変換された応答パケットを前記ネットワークに接続されている前記機器に送信するステップと、を更に備えていてもよい。
【００１４】
上記の不正アクセス防止方法は、前記ネットワークに接続されている前記機器に送信した前記応答パケットに含まれている前記他のポート番号のポートを利用したセッションパケットを前記ネットワークに接続されている前記機器から受信するステップと、前記セッションパケットが所定のプロトコルのパケットであるか否かを検出するステップと、前記セッションパケットが前記所定のプロトコルのパケットでない場合には、該セッションパケットを廃棄するステップと、前記所定のプロトコルのパケットであると判断された前記セッションパケットのポート番号を変換前のポート番号に逆変換して前記セッション部に送信するステップと、を更に備えていてもよい。
【００１５】
上記の不正アクセス防止方法において、前記使用可能ポート番号を他のポート番号に変換する代わりに、又は前記使用可能ポート番号を他のポート番号に変換することに加え、応答パケットに含まれる、前記セッションで使用可能な第４層プロトコル番号を示す使用可能第４層プロトコル番号を他の第４層プロトコル番号に変換してもよい。
【発明の効果】
【００１６】
以上説明したように、本発明によれば以下の効果が奏される。
【００１７】
シグナリングパケット処理部に不正なシグナリングパケットが到達しないので、端末のウィルスへの感染を防止することができる。
【００１８】
また、シグナリングパケットのシグナリングパケット処理部への送信は、ポーリングに応じて行うので、シグナリングパケット処理部側のバッファのオーバーフローを防止できる。また、シグナリングパケット待ち行列がオーバーフローしてウィルスのチェック機能が働かなくなったとしても、シグナリングパケット処理部にウィルスが潜んだシグナリングパケットが積極的に送信されることを防止することができる。
【００１９】
更に、使用可能ポート番号を他のポート番号に変換するので、シグナリングパケットを送信した側に、セッション開始を諦めさせることができ、従って、ウィルスが潜んだセッションパケットの受信を未然に防止することができる。
【００２０】
更に、受信したセッションパケットが所定のプロトコルのセッションパケットでない場合には、セッションパケットを廃棄し、また、ウィルスが潜んだセッションパケットは所定のプロトコルのセッションパケットではないので、ウィルスが潜んだセッションパケットを廃棄することができる。一方、音声パケット又は画像パケットは所定のプロトコルのセッションパケットであるので、廃棄されることはなく、内部端末に到達する。
【発明を実施するための最良の形態】
【００２１】
以下、図面を参照して本発明を実施するための最良の形態について詳細に説明する。
【００２２】
図１は、本発明の実施形態による通信システムの構成を示す。
【００２３】
図１を参照すると、本発明の実施形態による通信システムは、不正アクセス防止装置１０１、第１のファイアーウォール１０２、第２のファイアーウォール１０３、外部ネットワーク１０４、内部ネットワーク１０５、外部端末１０７及び内部端末１０８を備える。外部端末１０７な外部サーバに置き換わってもよい。
【００２４】
外部端末１０７は、外部ネットワーク１０４に接続されている。内部端末１０８は内部ネットワーク１０５に接続されている。不正アクセス防止装置１０１は、外部ネットワーク１０４及び内部ネットワーク１０５に接続されている。外部ネットワーク１０４と内部ネットワーク１０５の間には第１のファイアーウォール１０２及び第２のファイアーウォール１０３が存在する。第１のファイアーウォール１０２と第２のファイアーウォール１０３との間は、非武装地帯（ＤＭＺ：DeMilitarized Zone）であり、ここに不正アクセス防止装置１０１が存在する。
【００２５】
図２は、不正アクセス防止装置１０１の構成を示すブロック図である。
【００２６】
図２を参照すると、不正アクセス防止装置１０１は、シグナリングパケット受信部１２１、ウィルスパターン格納部１２２、シグナリングパケット判定部１２３、シグナリングパケット廃棄部１２５、必要箇所パターン格納部１２６、不要箇所削除部１２７、シグナリングパケット待ち行列１２９、シグナリングパケット書込部１３１、ポーリング信号受信部１３３、シグナリングパケット読出部１３５、シグナリングパケット送信部１３７、応答パケット受信部１３９、ポート番号／プロトコル番号変換部１４１、ポート番号／プロトコル番号変換テーブル１４２、応答パケット送信部１４３、セッションパケット受信部１４５、セッションパケット判定部１４７、セッションパケット廃棄部１４９、ポート番号／プロトコル番号逆変換部１５０及びセッションパケット送信部１５１を備える。
【００２７】
ウィルスパターン格納部１２２、必要箇所パターン格納部１２６、シグナリングパケット待ち行列１２９及びポート番号／プロトコル番号変換テーブル１４２は、ＲＡＭ等の記録媒体に構築される。その他の構成要素であるシグナリングパケット受信部１２１、シグナリングパケット判定部１２３、シグナリングパケット廃棄部１２５、不要箇所削除部１２７、シグナリングパケット書込部１３１、ポーリング信号受信部１３３、シグナリングパケット読出部１３５、シグナリングパケット送信部１３７、応答パケット受信部１３９、ポート番号／プロトコル番号変換部１４１、応答パケット送信部１４３、セッションパケット受信部１４５、セッションパケット判定部１４７、セッションパケット廃棄部１４９、ポート番号／プロトコル番号逆変換部１５０及びセッションパケット送信部１５１は、ハードウェアによって実現してもよいが、コンピュータをこれらの部分として機能させるためのプログラムをコンピュータが読み込んで実行することによって実現してもよい。
【００２８】
シグナリングパケット１２１は、外部端末１０７から外部ネットワーク１０４を介してシグナリングパケットを受信する。シグナリングパケットは、例えば、ＳＩＰに従ったパケット、Ｈ．３２３に従ったパケット、又は、ＲＴＣＰに従ったパケットである。ウィルスパターン格納部１２２はウィルスパターンを格納する。シグナリングパケット判定部１２３は、シグナリングパケット受信部１２１からシグナリングパケットを入力し、ウィルスパターン格納部１２２に格納されているウィルスパターンがそのシグナリングパケットに含まれているか否かを判定する。また、シグナリングパケット判定部１２３は、ウィルスパターンが含まれていることが明らかとなったシグナリングパケットをシグナリングパケット廃棄部１２５に出力し、そうでないシグナリングパケットを不要箇所削除部１２７に出力する。
【００２９】
シグナリングパケット廃棄部１２５は、シグナリングパケット判定部１２３がウィルスパターンが含まれていると判定したシグナリングパケットを廃棄する。
【００３０】
必要箇所パターン格納部１２６は、シグナリングパケットのうち内部端末１０８に転送する必要がある箇所のパターン（必要箇所パターン）を格納する。必要箇所パターンは、外部端末１０７がセッションで利用することを希望するポート番号を記述した箇所のパターンを少なくとも含む。不要箇所削除部１２７は、ウィルスパターンが含まれていることが明らかとならなかったシグナリングパケットと必要箇所パターン格納部１２６に格納されている必要箇所パターンを比較することにより、ウィルスパターンが含まれていることが明らかとならなかったシグナリングパケットから必要箇所以外の箇所（不要箇所）を除く。
【００３１】
シグナリングパケット書込部１３１は、ウィルスパターンが含まれていることが明らかとならなかったシグナリングパケットであって、不要箇所が除かれたものをシグナリング待ち行列１２９に書き込む。
【００３２】
ポーリング信号受信部１３３は、内部端末１０８から内部ネットワーク１０５を介してポーリング信号を受信する。シグナリングパケット読出部１３５は、ポーリング信号受信部１３３がポーリング信号を受信する度にシグナリングパケット待ち行列１２９からシグナリングパケットを読み出す。シグナリングパケット送信部１３７は、シグナリングパケット読出部１３５が読み出したシグナリングパケットを内部ネットワーク１０５を介して内部端末１０８のシグナリングパケット処理部に送信する。
【００３３】
応答パケット受信部１３９は、応答パケットを内部ネットワーク１０５を介して内部端末１０８のシグナリングパケット処理部から受信する。応答パケットには、シグナリングパケット処理部がセッションで利用することを希望するポート番号が記述されている。シグナリングパケット処理部がセッションで利用することを希望するポート番号は、シグナリングパケットに記述されていたポート番号（外部端末１０７がセッションで利用することを希望するポート番号）と同一であることが多い。
【００３４】
ポート番号／プロトコル番号変換部１４１は、応答パケット受信部１３９が受信した応答パケットに記述されているポート番号を他のポート番号に変換し、変換前のポート番号及び変換後のポート番号をポート番号／プロトコル番号変換テーブル１４２に書き込む。また、ポート番号／プロトコル番号変換部１４１は、ポート番号を変更することに加え、又はポート番号を変更することに代えて、応答パケットに記述されている第４層プロトコル番号を他の第４層プロトコル番号に変換し、変換前の第４層プロトコル番号及び変換後の第４層プロトコル番号をポート番号／プロトコル番号変換テーブル１４２に書き込んでもよい。応答パケット送信部１４３は、ポート番号／プロトコル番号変換部１４１を経由した応答パケットを外部ネットワーク１０４を介して外部端末１０７に送信する。
【００３５】
セッションパケット受信部１４５は、セッションパケットを外部ネットワーク１０４を介して外部端末１０７から受信する。セッションパケットは例えば、ＲＴＰパケットである。ポート番号／プロトコル番号変換部１４１がポート番号を変換した場合には、セッションパケットは、変換後のポート番号を含んでいる。また、ポート番号／プロトコル番号変換部１４１が第４層プロトコル番号を変換した場合には、セッションパケットは、変換後の第４層プロトコル番号を含んでいる。
【００３６】
セッションパケット判定部１４７は、セッションパケット受信部１４５が受信したセッションパケットがＯＳＩ参照モデル第５層以上における所定のプロトコル（所定の「上位プロトコル」という。）のセッションパケットであるか否かを判定する。例えば、セッションパケット判定部１４７は、セッションパケット受信部１４５が受信したセッションパケットであるＲＴＰパケットに挿入されているパケットが映像パケット又は音声パケットであるか否かを判定する。ＲＴＰパケットに挿入されているパケットが映像パケット又は音声パケットでない場合には、それは、ウィルスを含んだパケットである可能性がある。従って、セッションパケット判定部１４７は、セッションパケットであるＲＴＰパケットに挿入されているパケットが所定の上位プロトコルのセッションパケットである場合には、セッションパケットをポート番号／プロトコル番号逆変換部１５０に出力し、そうでない場合には、セッションパケットをセッションパケット廃棄部１４９に出力する。
【００３７】
セッションパケット廃棄部１４９は、所定の上位プロトコルのセッションパケットでないセッションパケットを廃棄する。
【００３８】
ポート番号／プロトコル番号逆変換部１５０は、ポート番号／プロトコル番号変換テーブル１４２を参照して、所定の上位プロトコルのセッションパケットのポート番号が変換されている場合には、そのセッションパケットのポート番号を変換前のポート番号に逆変換する。また、ポート番号／プロトコル番号逆変換部１５０は、ポート番号／プロトコル番号変換テーブル１４２を参照して、所定の上位プロトコルのセッションパケットの第４層プロトコル番号が変換されている場合には、そのセッションパケットの第４層プロトコル番号を変換前の第４層プロトコル番号に逆変換する。
【００３９】
セッションパケット送信部１５１は、ポート番号／プロトコル番号逆変換部１５０を経由したセッションパケットを内部ネットワークを介して内部端末１０８のセッション部に送信する。
【００４０】
次に、本発明の実施形態による不正アクセス防止方法について、図１乃至６を参照して説明する。
【００４１】
図３を参照すると、まず、シグナリングパケット受信部１２１は、外部端末１０７からシグナリングパケットを受信するまで待ち続ける（ステップＳ２０１）。シグナリングパケットを受信したならば（ステップＳ２０１でＹＥＳ）、シグナリングパケット判定部１２３は、受信したシグナリングパケットが不正アクセスのための記述（ウィルスパターン等）を含んでいることが明らかであるか否かを判断する（ステップＳ２０３）。そうであれば（ステップＳ２０３でＹＥＳ）、シグナリングパケット廃棄部１２５は、シグナリングパケットを廃棄する（ステップＳ２０５）。
【００４２】
そうでなければ（ステップＳ２０３でＮＯ）、不要箇所削除部１２７は、シグナリングパケットの必要箇所パターン格納部１２６に格納されている必要箇所のパターンを有する部分を残し、他の部分を削除する（ステップＳ２０７）。次に、シグナリングパケット書込部１３１は、シグナリングパケットをシグナリングパケット待ち行列１２９に追加する（ステップＳ２０９）。
【００４３】
図４を参照すると、ポーリング信号受信部１３３は、内部端末１０８からポーリング信号を受信するまで待ち続ける（ステップＳ２２１）。ポーリング信号を受信したならば（ステップＳ２２１でＹＥＳ）、シグナリングパケット読出部１３５は、シグナリングパケットをシグナリングパケット待ち行列１２９から読み出す（ステップＳ２２３）。次に、シグナリングパケット送信部１３７は、シグナリングパケットを内部端末１０８に送信する（ステップＳ２２５）。
【００４４】
図５を参照すると、応答パケット受信部１３９は、内部端末１０８からシグナリングパケットに対する応答パケットを受信するまで待ち続ける（ステップＳ２４１）。応答パケットを受信したならば（ステップＳ２４１でＹＥＳ）、ポート番号／プロトコル番号変換部１４１は、応答パケットに記述されているポート番号、第４層プロトコル番号又はその両者を他のポート番号、第４層プロトコル番号又はその両者に変換する（ステップＳ２４３）。次に、応答パケット送信部１４３は、外部端末１０７に応答パケットを送信する（ステップＳ２４５）。
【００４５】
図６を参照すると、セッションパケット受信部１４５は、外部端末１０７からセッションパケットを受信するまで待ち続ける（ステップＳ２６１）。セッションパケットを受信したならば（ステップＳ２６１でＹＥＳ）、セッションパケット判定部１４７は、セッションパケットは所定の上位プロトコルのパケットであるか否かを判断する（ステップＳ２６３）。そうでなければ（ステップＳ２６３でＮＯ）、セッションパケット廃棄部１４９は、セッションパケットを廃棄する（ステップＳ２６５）。
【００４６】
そうであれば（ステップＳ２６３でＹＥＳ）、ポート番号／プロトコル番号逆変換部１５０は、セッションパケットのポート番号、第４層プロトコル番号又はその両者を変換前のポート番号、第４層プロトコル番号又はその両者に逆変換する（ステップＳ２６７）。次に、セッションパケット送信部１５１は、セッションパケットを内部端末１０８に送信する（ステップＳ２６９）。
【００４７】
上記の実施形態では、内部端末１０８がポーリング信号を不正アクセス防止装置１０１に送信するとしたが、図７に示すように、ポーリング代行装置１０９を内部ネットワーク１０５に接続し、ポーリング代行装置１０９がポーリング信号を不正アクセス防止装置１０１に送信するようにしてもよい。
【００４８】
図８はポーリング代行装置１０９の動作を示すフローチャートである。
【００４９】
図８を参照すると、ポーリング代行装置１０９は、一定時間が経過するたびに（ステップＳ２８１）、ポーリング信号を不正アクセス防止装置１０１に送信する（ステップＳ２８３）。
【００５０】
また、ポーリング信号に応じて、不正アクセス防止装置１０１からシグナリングパケットを受信するまで待ち続け（ステップＳ２８５）、受信したならば（ステップＳ２８５でＹＥＳ）、内部端末１０８にシグナリングパケットを転送する（ステップＳ２８７）。
【００５１】
更に、内部端末１０８からシグナリングパケットに対する応答パケットを受信するまで待ち続け（ステップＳ２８９）、受信したならば（ステップＳ２８９でＹＥＳ）、不正アクセス防止装置１０１に応答パケットを転送する（ステップＳ２９１）。
【００５２】
また、上記の実施形態では、不正アクセス防止装置１０１は、非武装地帯に配置されるとしたが、図９（ａ）及び（ｂ）に示すように、内部端末１０８の内部に配置してもよい。ポーリング代行装置１０９を図９（ｂ）に示すように、内部端末１０８の内部に配置してもよい。
【産業上の利用可能性】
【００５３】
本発明は、ネットワークから端末への不正アクセスを防止するために利用することができる。
【図面の簡単な説明】
【００５４】
【図１】本発明の実施形態による通信システムの構成を示すブロック図である。
【図２】本発明の実施形態による不正アクセス防止装置の構成を示すブロック図である。
【図３】本発明の実施形態による不正アクセス防止装置が行う不正アクセス防止方法を示す第１のフローチャートである。
【図４】本発明の実施形態による不正アクセス防止装置が行う不正アクセス防止方法を示す第２のフローチャートである。
【図５】本発明の実施形態による不正アクセス防止装置が行う不正アクセス防止方法を示す第３のフローチャートである。
【図６】本発明の実施形態による不正アクセス防止装置が行う不正アクセス防止方法を示す第４のフローチャートである。
【図７】本発明の他の実施形態に通信システムの構成を示すブロック図である。
【図８】本発明の実施形態によるポーリング代行装置の動作を示すフローチャートである。
【図９】本発明の更に他の実施形態による内部端末の構成を示すブロック図である。
【符号の説明】
【００５５】
１０１  不正アクセス防止装置
１０２  第１のファイアーウォール
１０３  第２のファイアーウォール
１０４  外部ネットワーク
１０５  内部ネットワーク
１０６  非武装地帯
１０７  外部端末
１０８  内部端末
１２１  シグナリングパケット受信部
１２２  ウィルスパターン格納部
１２３  シグナリングパケット判定部
１２５  シグナリングパケット廃棄部
１２６  必要箇所パターン格納部
１２７  不要箇所削除部
１２９  シグナリングパケット待ち行列
１３１  シグナリングパケット書込部
１３３  ポーリング信号受信部
１３５  シグナリングパケット読出部
１３７  シグナリングパケット送信部
１３９  応答パケット受信部
１４１  ポート番号／プロトコル番号変換部
１４２  ポート番号／プロトコル番号変換テーブル
１４３  応答パケット送信部１４３
１４５  セッションパケット受信部
１４７  セッションパケット判定部
１４９  セッションパケット廃棄部
１５１  セッションパケット送信部
【図１】
2006005548.tif 000003
【図２】
2006005548.tif 000004
【図３】
2006005548.tif 000005
【図４】
2006005548.tif 000006
【図５】
2006005548.tif 000007
【図６】
2006005548.tif 000008
【図７】
2006005548.tif 000009
【図８】
2006005548.tif 000010
【図９】
2006005548.tif 000011