(57)【要約】  【課題】  大量のパケットを送信することでサービスの提供を妨害するＤｏＳ攻撃等の攻撃に用いられる不正な目的のパケットに対する防御を行う監視方法、監視装置、通信制限システム及びコンピュータプログラムを提供する。  【解決手段】  監視装置１０は、所定の時間間隔で、位置情報に対応付けられたドメイン名を照会するＤＮＳクエリパケットの内容を取得し（Ｓ１０１）、取得したパケット内容として示されている照会の対象となる位置情報が未使用の位置情報であるか否かを判定し（Ｓ１０３）、未使用の位置情報であると判定した場合（Ｓ１０３：ＹＥＳ）、当該ＤＮＳクエリパケットに示されている送信元の位置を示す送信元情報が示された他のパケットを通信制限の対象として、その送信元情報を記録する（Ｓ１０５）。【選択図】        図４
2006042183.tif 000002
【特許請求の範囲】
【請求項１】
通信網上の位置を示す位置情報に基づいて送受信されるパケットを監視する監視装置を用いた監視方法において、
前記監視装置は、
位置情報に関する情報を照会するパケットの内容を取得し、
該パケットの照会に係る位置情報を、予め記録されている位置情報と照合し、
該照合により、所定の位置情報であると判定した場合に、取得したパケットに示されている送信元の位置を示す送信元情報を検出し、
検出した送信元情報が示された他のパケットを通信制限の対象とする
ことを特徴とする監視方法。
【請求項２】
通信網上の位置を示す位置情報に基づいて送受信されるパケットを監視する監視装置において、
位置情報に関する情報を照会するパケットの内容を取得する手段と、
該パケットの照会に係る位置情報を、予め記録されている位置情報と照合する手段と、
該照合により、所定の位置情報であると判定した場合に、取得したパケットに示されている送信元の位置を示す送信元情報を検出する手段と、
検出した送信元情報が示された他のパケットを通信制限の対象とする手段と
を備えることを特徴とする監視装置。
【請求項３】
前記照合により判定する所定の位置情報は、未使用の位置情報であることを特徴とする請求項２に記載の監視装置。
【請求項４】
通信網上の位置を示す位置情報に基づいて送受信されるパケットの通信を制限する通信制限システムにおいて、
請求項２又は請求項３に記載の監視装置と、
パケットの通信を制限する制限装置と
を備え、
該制限装置は、
前記監視装置により通信制限の対象とされたパケットに示される送信元情報を取得する手段と、
取得した送信元情報を、制限対象となる送信元情報として記録する手段と、
通信網を介してパケットを受信する手段と、
受信したパケットに示された送信元情報を、記録している送信元情報と照合する手段と、
照合した送信元情報が合致した場合に、受信したパケットを破棄することで通信を制限する手段と
を備える
ことを特徴とする通信制限システム。
【請求項５】
通信網に接続するコンピュータに、通信網上の位置を示す位置情報に基づいて送受信されるパケットを監視させるコンピュータプログラムにおいて、
コンピュータに、位置情報に関する情報を照会するパケットの内容を取得させる手順と、
コンピュータに、取得したパケットの照会に係る位置情報を、予め記録されている位置情報と照合させる手順と、
コンピュータに、照合により、所定の位置情報であると判定した場合に、取得したパケットに示されている送信元の位置を示す送信元情報を検出させる手順と、
コンピュータに、検出した送信元情報が示された他のパケットを通信制限の対象とさせる手順と
を実行させることを特徴とするコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信網上の位置を示す位置情報に基づいて送受信されるパケットを監視する監視装置を用いた監視方法、該監視方法に用いられる監視装置、該監視装置を用いた通信制限システム、及び該通信制限システムにて用いられる監視装置を実現するためのコンピュータプログラムに関し、特に分散型サービス妨害攻撃を阻止する監視方法、監視装置、通信制限システム及びコンピュータプログラムに関する。
【背景技術】
【０００２】
近年、インターネット等の通信網の発達が著しく、ビジネスシーンにおいて、また日常生活において不可欠なものとなっている。そしてインターネットの普及に伴い、ウィルス及びワームに代表される不正なプログラムの攻撃による被害が加速度的に増加している。最近特に増加している不正なプログラムの攻撃としては、ＤＤｏＳ(Distributed Denial of Service) 攻撃等のＤｏＳ(Denial of Service) 攻撃が挙げられる。ＤｏＳ攻撃とは、攻撃側のコンピュータから、攻撃の対象となるＤＮＳ(Domain Name System)サーバコンピュータ等のサーバコンピュータへ、処理能力を超える大量のパケットを送信することで、サーバコンピュータからのサービスの提供を妨害する攻撃であり、深刻な被害をもたらしている（例えば、非特許文献１参照。）。
【非特許文献１】Ｎｅｗｓ：ルートサーバ攻撃が警告するＩＣＡＮＮの限界［平成１６年７月２９日検索］、インターネット＜http://www.itmedia.co.jp/news/0210/28/cead_alberti.html＞
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら攻撃元のコンピュータを特定することは困難であるため、ＤｏＳ攻撃から防御することは容易ではない。特に攻撃の対象がＤＮＳサーバコンピュータである場合、ＩＰアドレスに対応付けられたドメイン名を照会するドメイン名システムクエリパケット等の様々なパケットを受け取るため、どのパケットが攻撃を目的としたパケットであるかを特定することさえ困難である。
【０００４】
本発明は斯かる事情に鑑みてなされたものであり、ＤＮＳサーバコンピュータに対して送信されるドメイン名システムクエリパケットにより照会されているＩＰアドレスが未使用である場合、当該ドメイン名システムクエリパケットの送信元を攻撃元と見なし、例えばファイアウォールサーバコンピュータによる通信制御の対象とすることにより、ＤｏＳ攻撃から防御することが可能な監視方法、該監視方法に用いられる監視装置、該監視装置を用いた通信制限システム、及び該通信制限システムにて用いられる監視装置を実現するためのコンピュータプログラムの提供を目的とする。
【課題を解決するための手段】
【０００５】
第１発明に係る監視方法は、通信網上の位置を示す位置情報に基づいて送受信されるパケットを監視する監視装置を用いた監視方法において、前記監視装置は、位置情報に関する情報を照会するパケットの内容を取得し、該パケットの照会に係る位置情報を、予め記録されている位置情報と照合し、該照合により、所定の位置情報であると判定した場合に、取得したパケットに示されている送信元の位置を示す送信元情報を検出し、検出した送信元情報が示された他のパケットを通信制限の対象とすることを特徴とする。
【０００６】
本発明では、ＩＰアドレス等の位置情報に対応付けられたドメイン名を照会するシステムクエリパケットの照会に係る位置情報が、未使用の位置情報等の所定の位置情報であると判明した場合に、当該パケットの送信元を攻撃元と見なし、例えば送信元を示す送信元情報をファイアウォールサーバコンピュータコンピュータ等の制限装置に記録させることで、当該送信元からの通信を制限することが可能であり、従ってＤｏＳ攻撃から防御することが可能である。
【０００７】
第２発明に係る監視装置は、通信網上の位置を示す位置情報に基づいて送受信されるパケットを監視する監視装置において、位置情報に関する情報を照会するパケットの内容を取得する手段と、該パケットの照会に係る位置情報を、予め記録されている位置情報と照合する手段と、該照合により、所定の位置情報であると判定した場合に、取得したパケットに示されている送信元の位置を示す送信元情報を検出する手段と、検出した送信元情報が示された他のパケットを通信制限の対象とする手段とを備えることを特徴とする。
【０００８】
本発明では、ＩＰアドレス等の位置情報に対応付けられたドメイン名を照会するシステムクエリパケットの照会に係る位置情報が所定の位置情報であると判明した場合に、当該パケットの送信元を攻撃元と見なし、例えば送信元を示す送信元情報をファイアウォールサーバコンピュータコンピュータ等の制限装置に記録させることで、当該送信元からの通信を制限することが可能であり、従ってＤｏＳ攻撃から防御することが可能である。
【０００９】
第３発明に係る監視装置は、第２発明において、前記照合により判定する所定の位置情報は、未使用の位置情報であることを特徴とする。
【００１０】
本発明では、未使用の位置情報の照会は通常ではあり得ないものであることから、攻撃を目的とした不正なパケットである可能性が高いと判断し、制限の対象とすることが可能である。
【００１１】
第４発明に係る通信制限システムは、通信網上の位置を示す位置情報に基づいて送受信されるパケットの通信を制限する通信制限システムにおいて、請求項２又は請求項３に記載の監視装置と、パケットの通信を制限する制限装置とを備え、該制限装置は、前記監視装置により通信制限の対象とされたパケットに示される送信元情報を取得する手段と、取得した送信元情報を、制限対象となる送信元情報として記録する手段と、通信網を介してパケットを受信する手段と、受信したパケットに示された送信元情報を、記録している送信元情報と照合する手段と、照合した送信元情報が合致した場合に、受信したパケットを破棄することで通信を制限する手段とを備えることを特徴とする。
【００１２】
本発明では、通信制限の対象として特定したＩＰアドレス等の送信元情報を、ファイアウォールサーバコンピュータコンピュータを用いた制限装置による通信制限の対象とし、当該送信元情報が示された以降のパケットを破棄することにより、攻撃の対象となる装置へ大量のパケットが送信されることを防止してＤｏＳ攻撃から防御することが可能である。しかも時間制限を設けて通信制限の対象とした場合には、攻撃元の装置の管理者が悪意を持って攻撃したものではないときに所定時間が経過後アクセスを許可することになるので必要以上にサービスの提供を停止することがない。
【００１３】
第５発明に係るコンピュータプログラムは、通信網に接続するコンピュータに、通信網上の位置を示す位置情報に基づいて送受信されるパケットを監視させるコンピュータプログラムにおいて、コンピュータに、位置情報に関する情報を照会するパケットの内容を取得させる手順と、コンピュータに、取得したパケットの照会に係る位置情報を、予め記録されている位置情報と照合させる手順と、コンピュータに、照合により、所定の位置情報であると判定した場合に、取得したパケットに示されている送信元の位置を示す送信元情報を検出させる手順と、コンピュータに、検出した送信元情報が示された他のパケットを通信制限の対象とさせる手順とを実行させることを特徴とする。
【００１４】
本発明では、ＤＮＳサーバコンピュータ等のコンピュータにて実行することにより、コンピュータが監視装置として動作し、ＩＰアドレス等の位置情報に対応付けられたドメイン名を照会するシステムクエリパケットの照会に係る位置情報が、未使用の位置情報等の所定の位置情報であると判明した場合に、当該パケットの送信元を攻撃元と見なし、例えば送信元を示す送信元情報をファイアウォールサーバコンピュータコンピュータ等の制限装置に記録させることで、当該送信元からの通信を制限することが可能であり、従ってＤｏＳ攻撃から防御することが可能である。
【発明の効果】
【００１５】
本発明に係る監視方法、監視装置、通信制限システム及びコンピュータプログラムでは、インターネット、ＬＡＮ等の通信網上の位置を示すＩＰアドレス等の位置情報に対応付けられたドメイン名を照会するパケットを取得し、取得したパケットの照会に係る位置情報が未使用の位置情報である場合、当該パケットの送信元のＩＰアドレスを示す送信元情報を検出し、検出した送信元情報が示された以降に取得する他のパケットを通信制限の対象とする。
【００１６】
この構成により、ＤＮＳサーバコンピュータに対して送信されるドメイン名システムクエリパケットの中で、照会に係る位置情報が未使用の位置情報である場合、通常では送信されることがないパケットであるという前提に基づき、当該パケットは、ＤｏＳ攻撃等の不正な目的のパケットであると判断することができるので、不正な目的のパケットの特定及び不正な目的のパケットの送信元の特定を行い、送信元情報に基づく通信制限の対象とすることが可能である等、優れた効果を奏する。
【００１７】
そして通信制限の対象としたパケットを、ファイアウォールサーバコンピュータ等の制限装置が受信した場合には、受信したパケットを破棄することで通信を制限することにより、ＤＮＳサーバコンピュータをＤｏＳ攻撃から防御することが可能である等、優れた効果を奏する。なお通信の制限は、所定の時間が経過後解除するように設定することにより、送信元の装置がワームの感染により攻撃を行っていた場合、送信元情報を不正に利用されていた場合等、攻撃が永続的なものではない場合に、送信元情報が示す装置に対するサービスの低下を防止することが可能である等、優れた効果を奏する。
【発明を実施するための最良の形態】
【００１８】
以下、本発明をその実施の形態を示す図面に基づいて詳述する。
【００１９】
図１は、本発明の通信制限システムの構成を示すブロック図である。図１中１０は、ＤＮＳサーバコンピュータを用いた本発明の監視装置であり、監視装置１０は、ＬＡＮ等の内部通信網１０１に接続している。内部通信網１０１には、ファイアウォールサーバコンピュータを用いた制限装置２０、ルーティングを行う経路決定装置３０等の様々な装置が接続されており、経路設定装置３０は、インターネット等の外部通信網１０２に接続している。外部通信網１０２には、パーソナルコンピュータ、各種サーバコンピュータ、ルータ等の様々な通信装置４０，４０，…が接続されている。
【００２０】
監視装置１０として用いられるＤＮＳサーバコンピュータは、内部通信網１０１又は外部通信網１０２上の位置を示す位置情報である「１６４．７１．２．７１」等のＩＰアドレスと、「ｊｐ．ｆｕｊｉｔｓｕ．ｃｏｍ」等のドメイン名とを対応付けて記録しており、ドメイン名に対応する位置情報を照会する正引きのドメイン名システムクエリパケット（以降ＤＮＳクエリパケットという）、位置情報に対応するドメイン名を照会する逆引きのＤＮＳクエリパケット等の各種パケットを受信し、夫々のパケットに対する照会等の処理を実行する。そしてＤＮＳサーバコンピュータとして実行した処理の記録を元に、本発明の監視装置１０として、位置情報に基づき送受信されるパケットを監視する。制限装置２０は、パケットに係る送信元の位置情報、命令、通信規約に基づいて通信を制限する処理を実行する。
【００２１】
図２は、本発明の通信制限システムにて用いられる各種装置の構成を示すブロック図である。監視装置１０は、装置全体を制御するＣＰＵ等の制御手段１１、本発明の監視装置用のコンピュータプログラム２０１及びデータ等の各種情報を記録したＣＤ−ＲＯＭ等の記録媒体２０２から各種情報を読み取るＣＤ−ＲＯＭドライブ等の補助記憶手段１２、補助記憶手段１２により読み取った各種情報を記録するハードディスク、ＲＡＩＤ(Redundant Arrays of Inexpensive Disks) 等の記録手段１３、情報を一時的に記憶するＲＡＭ等の記憶手段１４、時刻を示す時計手段１５、並びに内部通信網１０１に接続するＬＡＮポート等の通信手段１６を備えている。そして記録手段１３から本発明のコンピュータプログラム２０１及びデータ等の各種情報を読み取り、記憶手段１４に記憶させてコンピュータプログラム２０１に含まれる各種手順を実行することで、コンピュータは本発明の監視装置１０として動作する。
【００２２】
監視装置１０が備える記録手段１３の記録領域の一部は、ＤＮＳサーバコンピュータとしての機能を実現するためＩＰアドレスの位置情報及びドメイン名を対応付けて記録するドメイン名データベース（ＤＮＳ  ＤＢ）１３ａ、受信したパケットの内容を記録する記録データベース（Ｌｏｇ  ＤＢ）１３ｂ、使用されていない位置情報を一覧として記録する未使用位置情報データベース（Ｕｎｕｓｅｄ  ＩＰ  ＤＢ）１３ｃ、ＤｏＳ攻撃に用いられる装置の位置情報を、通信を制限すべき送信元を示す送信元情報として記録する制限送信元情報データベース（ＤｏＳ  ＩＰ  ＤＢ）１３ｄ等の各種データベースとして用いられている。なお監視装置１０が備える記録手段１３の記録領域の一部をドメイン名データベース１３ａ、記録データベース１３ｂ、未使用位置情報データベース１３ｃ、制限送信元情報データベース１３ｄ等の各種データベースとして用いるのではなく、監視装置１０に接続された他の装置を各種データベースとして用い、必要に応じてアクセスする様にしても良い。
【００２３】
制限装置２０は、制御手段２１、記録手段２２、記憶手段２３、及び通信手段２４等の様々な構成要素を備えており、記録手段２２の記録領域の一部は、通信制限の対象となる送信元の装置の位置を示す送信元情報、送信先の装置の位置を示す送信先情報、命令、通信規約等の通信を制限する対象を記録するフィルタテーブル２２ａとして用いられている。
【００２４】
図３は、本発明の通信制限システムにて用いられる記録データベース１３ｂの記録内容を概念的に示す説明図である。記録データベース１３ｂには、監視装置１０がＤＮＳサーバコンピュータとして受信したパケットの内容が記録されており、図中「Ａ」として示した箇所は、受信日時を示し、「Ｂ」として示した箇所は、ホスト名、プロセス名及びプロセスＩＤを示しており、「Ｃ」として示した箇所は、パケットの送信元の位置を示すＩＰアドレスである送信元情報を示しており、「Ｄ」として示した箇所は、当該パケットの照会内容を示している。照会内容の末尾が「ＩＮ  ＰＴＲ」であるパケットはＰＴＲレコードと呼ばれ、位置情報に対応するドメイン名を照会する逆引きＤＮＳクエリパケットであり、位置情報として示されている「１３０．１３．１９４．ＸＸＸ」に対応付けられたドメイン名を照会している。照会内容の末尾が「ＩＮ  ＭＸ」であるパケットはＭＸレコードと呼ばれ、電子メールの配送先を照会している。照会内容の末尾が「ＩＮ  Ａ」であるパケットはＡレコードと呼ばれ、ドメイン名に対応する位置情報を照会する正引きＤＮＳクエリパケットである。なお本発明の説明においてＩＰアドレスである位置情報の例示に一部符号を用いているが、実際の位置情報、例えばＶｅｒｓｉｏｎ４として規定される位置情報は、３２ビットの数列を８ビットごとに区切った数列、即ち０〜２５５の数値を４つ並べた数列として示される。
【００２５】
次に本発明の通信制限システムが備える各種装置の処理について説明する。図４は、本発明の通信制限システムにて用いられる監視装置１０の制限対象特定処理を示すフローチャートである。監視装置１０では、１０秒等の所定時間毎にＤＮＳサーバコンピュータが受信したパケットから通信を制限すべき対象となるパケットの送信元を特定する制限対象特定処理を実行する。監視装置１０は、記憶手段１４に記憶させたコンピュータプログラム２０１を実行する制御手段１１の制御により、１０秒等の所定の時間間隔で、記録データベース１３ｂから、位置情報に対応付けられたドメイン名を照会する逆引きのＤＮＳクエリパケットの内容を取得し（Ｓ１０１）、取得したパケット内容として示されている照会の対象となる位置情報を、未使用位置情報データベース１３ｃに記録されている位置情報と照合し（Ｓ１０２）、ＤＮＳクエリパケットにより照会されている位置情報が未使用の位置情報であるか否かを判定する（Ｓ１０３）。通常、未使用の位置情報に対応付けられたドメイン名を照会することはあり得ないことから、照会の対象とされている位置情報が未使用である場合、当該ＤＮＳクエリパケットは、例えばランダムに生成された位置情報に基づいてドメイン名の照会を行うパケットであり、ＤｏＳ攻撃等の不正な目的により送信された可能性が高いと判断することができる。
【００２６】
ステップＳ１０３において、ＤＮＳクエリパケットにより照会されている位置情報が未使用の位置情報であると判定した場合（Ｓ１０３：ＹＥＳ）、監視装置１０では、制御手段１１の制御により、当該ＤＮＳクエリパケットに示されている送信元の位置を示す送信元情報を検出し（Ｓ１０４）、検出した送信元情報が示された他のパケットを通信制限の対象として、その送信元情報を制限送信元情報データベース１３ｄに記録し（Ｓ１０５）、制限対象特定処理を終了する。なお未使用の位置情報に基づいてドメイン名の照会を行うパケットが複数存在し、複数の送信元情報が検出された場合、全ての送信元情報を制限送信元情報データベース１３ｄに記録することは言うまでもない。
【００２７】
ステップＳ１０３において、ＤＮＳクエリパケットにより照会されている位置情報が使用されている位置情報であると判定した場合（Ｓ１０３：ＮＯ）、制限対象特定処理を終了する。
【００２８】
図５は、本発明の通信制限システムにて用いられる監視装置１０の通信制限解除処理を示すフローチャートである。監視装置１０では、記憶手段１４に記憶させたコンピュータプログラム２０１を実行する制御手段１１の制御により、１分等の所定の時間間隔で、制限送信元情報データベース１３ｄに、送信元情報として記録した各送信元情報の記録してからの時間が、所定の制限時間、例えば１時間を経過しているか否かを判定し（Ｓ２０１）、所定の制限時間を経過していると判定した場合（Ｓ２０１：ＹＥＳ）、制限時間を経過している送信元情報を制限送信元情報データベース１３ｄから削除することにより、当該送信元情報に基づく通信の制限を解除する（Ｓ２０２）。ステップＳ２０１において、所定の制限時間を経過している送信元情報が無いと判定した場合（Ｓ２０１：ＮＯ）、通信制限解除処理を終了する。通信制限を永続的に行うのではなく、所定時間で解除することにより、送信元情報により示される通信装置４０に対するサービスの提供を再開することが可能である。例えば送信元情報により示される通信装置４０が、ワームに感染しており、感染しているワームにより不正なパケットを送信している場合、通信制限を解除しないと、ワームの駆除等によりワームの活動が停止したとしても当該通信装置４０からのアクセスを制限することになるからである。また実際にパケットを送信している通信装置４０が、偽装した送信元情報を用いてパケットを送信している場合、偽装する送信元情報を変更することがあるため、永続的に同一の送信元情報に対して通信制限を行うことは無意味である。なお制限時間の設定としては、１分間乃至１２時間の間で設定することが好ましく、更には３０分間乃至３０時間の間で設定することがより望ましい。１分未満では、攻撃が継続している可能性が高く、１２時間を超えて通信を制限することは、それだけサービスを停止することとなり実用的ではないからである。
【００２９】
図６は、本発明の通信制限システムにて用いられる制限装置２０の通信制限対象取得処理を示すフローチャートである。制限装置２０は、制御手段２１の制御により、１０秒等の所定の間隔で、制限送信元情報データベース１３ｄにアクセスして、監視装置１０により通信制限の対象とされたパケットに示されている送信元情報を取得し（Ｓ３０１）、取得した送信元情報を、制限対象となる送信元情報としてフィルタテーブル２２ａに記録する（Ｓ３０２）。ステップＳ３０２での記録は、制限送信元情報データベース１３ｄに記録されている送信元情報に基づく更新処理であるため、制限送信元情報データベース１３ｄから削除されている送信元情報は、制限装置２０の記録手段２２からも削除される。なお送信元情報の制限の解除を監視装置１０側で行うのではなく、制限装置２０側で行う様にしても良い。即ち制限装置２０では、制限対象としてフィルタテーブル２２ａに記録した送信元情報を、記録から所定時間経過後自動的に削除する様にしても良い。
【００３０】
図７は、本発明の通信制限システムにて用いられる制限装置２０の通信制限処理を示すフローチャートである。制限装置２０は、制御手段２１の制御により、外部通信網１０２を介して送信されてくるパケットを受信し（Ｓ４０１）、受信したパケットに示された送信元情報を、通信制限の対象となる送信元情報としてフィルタテーブル２２ａに記録されている送信元情報と照合し（Ｓ４０２）、照合した送信元情報が合致した場合（Ｓ４０３：ＹＥＳ）、受信したパケットを破棄することで通信を制限する（Ｓ４０４）。なお通信の制限を行った場合、その内容を記録し、また当該システムの管理者が操作する所定の管理装置へ送信する。
【００３１】
ステップＳ４０３において、照合した送信元情報が合致しない場合（Ｓ４０３：ＮＯ）、受信したパケットを、送信先情報として示される送信先の装置へ送信する（Ｓ４０５）。
【００３２】
前記実施の形態では、システム構成を図１に示したが、図１は、無数に存在する形態の一例を示したものであり、本発明の通信制限システムは図１に例示した構成に限るものではなく、目的、費用、規模等の種々の要因に応じて様々な形態に展開することが可能である。例えば監視装置をＤＮＳサーバコンピュータと異なる装置として構成しても良く、また制限装置を経路設定装置と一体化しても良い。さらに内部通信網の伝送線を伝送される電気信号を検知することでパケットの内容を取得することが可能な装置を設置し、監視装置として用いる様にしても良い。
【００３３】
以上の実施の形態に関し、更に以下の付記を開示する。
【００３４】
（付記１）通信網上の位置を示す位置情報に基づいて送受信されるパケットを監視する監視装置を用いた監視方法において、前記監視装置は、位置情報に関する情報を照会するパケットの内容を取得し、該パケットの照会に係る位置情報を、予め記録されている位置情報と照合し、該照合により、所定の位置情報であると判定した場合に、取得したパケットに示されている送信元の位置を示す送信元情報を検出し、検出した送信元情報が示された他のパケットを通信制限の対象とすることを特徴とする監視方法。
（付記２）通信網上の位置を示す位置情報に基づいて送受信されるパケットを監視する監視装置において、位置情報に関する情報を照会するパケットの内容を取得する手段と、該パケットの照会に係る位置情報を、予め記録されている位置情報と照合する手段と、該照合により、所定の位置情報であると判定した場合に、取得したパケットに示されている送信元の位置を示す送信元情報を検出する手段と、検出した送信元情報が示された他のパケットを通信制限の対象とする手段とを備えることを特徴とする監視装置。
（付記３）前記照合により判定する所定の位置情報は、未使用の位置情報であることを特徴とする請求項２に記載の監視装置。
（付記４）前記位置情報は、ＩＰアドレスであり、前記位置情報に関する情報を照会するパケットは、位置情報に対応付けられたドメイン名を照会するドメイン名システムクエリパケットであることを特徴とする付記２又は付記３に記載の監視装置。
（付記５）通信網上の位置を示す位置情報に基づいて送受信されるパケットの通信を制限する通信制限システムにおいて、付記２又は付記３に記載の監視装置と、パケットの通信を制限する制限装置とを備え、該制限装置は、前記監視装置により通信制限の対象とされたパケットに示される送信元情報を取得する手段と、取得した送信元情報を、制限対象となる送信元情報として記録する手段と、通信網を介してパケットを受信する手段と、受信したパケットに示された送信元情報を、記録している送信元情報と照合する手段と、照合した送信元情報が合致した場合に、受信したパケットを破棄することで通信を制限する手段とを備えることを特徴とする通信制限システム。
（付記６）前記監視装置は、更に、制限対象となる送信元情報として記録してからの時間が、所定の制限時間を経過しているか否かを判定する手段と、所定の制限時間を経過していると判定した場合に、当該送信元情報に基づく通信の制限を解除する手段とを備えることを特徴とする付記５に記載の通信制限システム。
（付記７）通信網に接続するコンピュータに、通信網上の位置を示す位置情報に基づいて送受信されるパケットを監視させるコンピュータプログラムにおいて、コンピュータに、位置情報に関する情報を照会するパケットの内容を取得させる手順と、コンピュータに、取得したパケットの照会に係る位置情報を、予め記録されている位置情報と照合させる手順と、コンピュータに、照合により、所定の位置情報であると判定した場合に、取得したパケットに示されている送信元の位置を示す送信元情報を検出させる手順と、コンピュータに、検出した送信元情報が示された他のパケットを通信制限の対象とさせる手順とを実行させることを特徴とするコンピュータプログラム。
【図面の簡単な説明】
【００３５】
【図１】本発明の通信制限システムの構成を示すブロック図である。
【図２】本発明の通信制限システムにて用いられる各種装置の構成を示すブロック図である。
【図３】本発明の通信制限システムにて用いられる記録データベースの記録内容を概念的に示す説明図である。
【図４】本発明の通信制限システムにて用いられる監視装置の制限対象特定処理を示すフローチャートである。
【図５】本発明の通信制限システムにて用いられる監視装置の通信制限解除処理を示すフローチャートである。
【図６】本発明の通信制限システムにて用いられる制限装置の通信制限対象取得処理を示すフローチャートである。
【図７】本発明の通信制限システムにて用いられる制限装置の通信制限処理を示すフローチャートである。
【符号の説明】
【００３６】
１０  監視装置
１３ａ  ドメイン名データベース
１３ｂ  記録データベース
１３ｃ  未使用位置情報データベース
１３ｄ  制限送信元情報データベース
２０  制限装置
２２ａ  フィルタテーブル
３０  経路設定装置
４０  通信装置
１０１  内部通信網
１０２  外部通信網
２０１  コンピュータプログラム
２０２  記録媒体
【図１】
2006042183.tif 000003
【図２】
2006042183.tif 000004
【図３】
2006042183.tif 000005
【図４】
2006042183.tif 000006
【図５】
2006042183.tif 000007
【図６】
2006042183.tif 000008
【図７】
2006042183.tif 000009