(57)【要約】【課題】アドレス変換機能が備えられる通信装置の配下にある複数の端末のうちのどの端末がウィルスに感染しているかを迅速に特定する。【解決手段】第１の網と第２の網とを接続するエッジルータを備える通信システムにおける第２の網の通信装置において、アドレス変換テーブルを格納する記憶手段と、前記アドレス変換テーブルに基づいて、第２の網における端末から受信したパケットのアドレスを、第１の網において使用されるアドレスに変換し、当該変換を行ったパケットを前記エッジルータに送信するアドレス変換手段と、制御装置から、前記通信装置の配下の端末数の問い合わせを受信し、当該端末数を前記制御装置に通知する端末数通知手段と、前記制御装置からの指示に基づき前記エッジルータから払い出された前記端末数分のアドレスを受信し、当該アドレスを用いて前記アドレス変換テーブルを変換する変換手段とを備える。【選択図】図５
2018129594.tif 000002
【特許請求の範囲】
【請求項１】
制御装置と、第１の網に備えられる攻撃検知装置と、第２の網に備えられる通信装置と、前記第１の網と前記第２の網とを接続するエッジルータとを備える通信システムにおける前記通信装置であって、
アドレス変換テーブルを格納する記憶手段と、
前記アドレス変換テーブルに基づいて、前記第２の網における端末から受信したパケットのアドレスを、前記第１の網において使用されるアドレスに変換し、当該変換を行ったパケットを前記エッジルータに送信するアドレス変換手段と、
前記制御装置から、前記通信装置の配下の端末数の問い合わせを受信し、当該端末数を前記制御装置に通知する端末数通知手段と、
前記制御装置からの指示に基づき前記エッジルータから払い出された前記端末数分のアドレスを受信し、当該アドレスを用いて前記アドレス変換テーブルを変換する変換手段と
を備えることを特徴とする通信装置。
【請求項２】
前記変換手段は、
前記通信装置の配下の端末に割り当てられている前記第２の網のアドレスと、前記エッジルータから払い出されたアドレスとが１対１に対応付けられるように前記アドレス変換テーブルの変換を行う
ことを特徴とする請求項１に記載の通信装置。
【請求項３】
制御装置と、第１の網に備えられる攻撃検知装置と、第２の網に備えられる通信装置と、前記第１の網と前記第２の網とを接続するエッジルータとを備える通信システムにおける前記制御装置であって、
前記通信装置に対し、当該通信装置の配下の端末数を問い合わせることにより、当該端末数を取得する取得手段と、
前記端末数分のアドレスを前記通信装置に払い出すことを指示するアドレス払い出し指示を前記エッジルータに送信する指示手段と、
前記エッジルータから、前記アドレス払い出し指示に基づいて払い出されたアドレスである払い出しアドレスと、当該払い出しの前に使用されていたアドレスである当初アドレスとを受信し、前記払い出しアドレスと前記当初アドレスとを前記攻撃検知装置に通知する通知手段と
を備えることを特徴とする制御装置。
【請求項４】
前記攻撃検知装置から、攻撃検知に係るアドレスを受信し、当該アドレスを前記通信装置に通知する検知アドレス通知手段と
を備えることを特徴とする請求項３に記載の制御装置。
【請求項５】
制御装置と、第１の網に備えられる攻撃検知装置と、第２の網に備えられる通信装置と、前記第１の網と前記第２の網とを接続するエッジルータとを備える通信システムにおいて実行される通信方法であって、
前記制御装置が、前記通信装置に対し、当該通信装置の配下の端末数を問い合わせることにより、当該端末数を取得するステップと、
前記制御装置が、前記端末数分のアドレスを前記通信装置に払い出すことを指示するアドレス払い出し指示を前記エッジルータに送信するステップと、
前記通信装置が、前記制御装置からの指示に基づき前記エッジルータから払い出された前記端末数分のアドレスを受信し、当該アドレスを用いてアドレス変換テーブルを変換するステップと、
前記制御装置が、前記エッジルータから、前記アドレス払い出し指示に基づいて払い出されたアドレスである払い出しアドレスと、当該払い出しの前に使用されていたアドレスである当初アドレスとを受信し、前記払い出しアドレスと前記当初アドレスとを前記攻撃検知装置に通知するステップと
を備えることを特徴とする通信方法。
【請求項６】
前記変換するステップにおいて、
前記通信装置の配下の端末に割り当てられている前記第２の網のアドレスと、前記エッジルータから払い出されたアドレスとが１対１に対応付けられるように前記アドレス変換テーブルの変換を行う
ことを特徴とする請求項５に記載の通信方法。
【請求項７】
コンピュータを、請求項１又は２に記載の通信装置における各手段として機能させるためのプログラム。
【請求項８】
コンピュータを、請求項３又は４に記載の制御装置における各手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ウィルスに感染した端末を特定する技術に関連するものである。
【背景技術】
【０００２】
近年、ＷＥＢ上のサービスの阻害を目的として、悪意のあるユーザがサイバー攻撃を実施する場合がある。悪意のあるユーザは、ＷＥＢサービスを利用する複数の端末をウィルスに感染させ、ウイルスに感染した複数の端末に特定のＷＥＢサーバに対してサイバー攻撃を実施させる。このような攻撃は、ＤＤｏＳ（Distributed Denial of Service attack）攻撃と呼ばれる。また、ウィルスに感染した各端末は、例えば非特許文献１に記載されたＳＹＮ  ｆｌｏｏｄ攻撃を行う。
【０００３】
上記のようなサイバー攻撃を検知するために攻撃検知装置（例：ＵＴＭ（Unified Threat Management））が用いられている。
【０００４】
図１に、攻撃検知装置５が使用されるシステムの構成例及び動作例を示す。図１に示す例は、キャリア網１０に、キャリア網１０に接続される加入者の網である企業ＮＷ２０が接続されている例である。キャリア網１０には、エッジルータ４、攻撃検知装置５、ＷＥＢサーバ６が備えられている。企業ＮＷ２０には、ＣＰＥ（Customer Premises Equipment）１（例えばルータ）と端末３が備えられている。なお、ＣＰＥを通信装置と称してもよい。
【０００５】
ここでは例として、端末３がウィルスに感染し、ＷＥＢサーバ６に対してサイバー攻撃を行う（ステップＳ１）。攻撃検知装置５は、この攻撃を検知すると、キャリア網１０の管理者に検知情報を通知し、キャリア網１０の管理者が、加入者である企業ＮＷの管理者（具体的には、例えばＮＷ管理者の端末２）に通知を行う（ステップＳ２）。これにより、ＮＷ管理者はウィルスに感染した端末が存在することを把握する（ステップＳ３）。加入者は意図せずに攻撃に加担する可能性があるため、このように加入者への通知を行う必要がある。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】RFC 4987 TCP SYN Flooding Attacks and Common Mitigations
【発明の概要】
【発明が解決しようとする課題】
【０００７】
図１に示すようなＮＷ構成において、セキュリティの確保のために、加入者側のＮＷ環境ではＮＡＰＴ（Network Address Port Translation）技術が使用されている場合が多い。なお、ＮＡＰＴ機能をアドレス変換機能と称してもよい。
【０００８】
図１の構成では、ＣＰＥ１にＮＡＰＴ機能が備えられる。ＮＡＰＴ機能により、企業ＮＷ２０内の複数の端末から送信されるパケットの送信元のＩＰアドレス（ローカルＩＰアドレスと呼んでもよい）がそれぞれ、キャリア網１０側（ＣＰＥ１のキャリア網１０側のインタフェース）のＩＰアドレス（グローバルＩＰアドレスと呼んでもよい）に書き換えられ、当該パケットはキャリア網１０に送信される。
【０００９】
ＮＡＰＴ機能を使用する場合の構成例を図２に示す。図２の例では、企業ＮＷ２０内の３つの端末が示され、そのうちの端末３にウィルスが感染し、端末３からサイバー攻撃が行われることを示している。なお、図２には、個人用のＮＷ３０も示されている。また、図２では、白丸〇でグローバルＩＰアドレスを示し、黒丸●でプライベートＩＰアドレスを示している。この表記方法は以降の図でも同様である。
【００１０】
攻撃検知装置５は、例えば攻撃パケットの送信元ＩＰアドレスから、企業ＮＷ２０からサイバー攻撃があることを検知し、その旨をＮＷ管理者の端末２に通知する。
【００１１】
しかし、ＮＷ管理者は、企業ＮＷ２０からサイバー攻撃があることが分かるものの、企業ＮＷ２０内のどの端末からサイバー攻撃が行われているのかわからない。そのため、例えばＮＷ管理者は、感染端末を特定するために、企業ＮＷ２０内の個々の端末を調査する等をしなければならない。
【００１２】
すなわち、従来技術では、キャリア網１０側からはキャリア網の加入者単位でしか攻撃検知の通知を行うことができない。そのため、ＮＡＰＴを適用している加入者においては、攻撃検知の通知を受けてもどの端末がウィルスに感染しているのかをすぐには特定できず、感染端末の捜索に時間がかかるという課題がある。
【００１３】
本発明は上記の点に鑑みてなされたものであり、アドレス変換機能が備えられる通信装置の配下にある複数の端末のうちのどの端末がウィルスに感染しているかを迅速に特定することを可能とする技術を提供することを目的とする。
【課題を解決するための手段】
【００１４】
開示の技術によれば、制御装置と、第１の網に備えられる攻撃検知装置と、第２の網に備えられる通信装置と、前記第１の網と前記第２の網とを接続するエッジルータとを備える通信システムにおける前記通信装置であって、
アドレス変換テーブルを格納する記憶手段と、
前記アドレス変換テーブルに基づいて、前記第２の網における端末から受信したパケットのアドレスを、前記第１の網において使用されるアドレスに変換し、当該変換を行ったパケットを前記エッジルータに送信するアドレス変換手段と、
前記制御装置から、前記通信装置の配下の端末数の問い合わせを受信し、当該端末数を前記制御装置に通知する端末数通知手段と、
前記制御装置からの指示に基づき前記エッジルータから払い出された前記端末数分のアドレスを受信し、当該アドレスを用いて前記アドレス変換テーブルを変換する変換手段と
を備えることを特徴とする通信装置が提供される。
【００１５】
また、  開示の技術によれば、制御装置と、第１の網に備えられる攻撃検知装置と、第２の網に備えられる通信装置と、前記第１の網と前記第２の網とを接続するエッジルータとを備える通信システムにおける前記制御装置であって、
前記通信装置に対し、当該通信装置の配下の端末数を問い合わせることにより、当該端末数を取得する取得手段と、
前記端末数分のアドレスを前記通信装置に払い出すことを指示するアドレス払い出し指示を前記エッジルータに送信する指示手段と、
前記エッジルータから、前記アドレス払い出し指示に基づいて払い出されたアドレスである払い出しアドレスと、当該払い出しの前に使用されていたアドレスである当初アドレスとを受信し、前記払い出しアドレスと前記当初アドレスとを前記攻撃検知装置に通知する通知手段と
を備えることを特徴とする制御装置が提供される。
【発明の効果】
【００１６】
開示の技術によれば、アドレス変換機能が備えられる通信装置の配下にある複数の端末のうちのどの端末がウィルスに感染しているかを迅速に特定することを可能とする技術が提供される。
【図面の簡単な説明】
【００１７】
【図１】従来技術を説明するための図である。
【図２】課題を説明するための図である。
【図３】本発明の実施の形態の概要を示す図である。
【図４】本発明の実施の形態におけるシステム構成図である。
【図５】本発明の実施の形態におけるシステムの動作例を説明するための図である。
【図６】本発明の実施の形態におけるシステムの動作例を説明するための図である。
【図７】本発明の実施の形態におけるシステムの動作例を説明するための図である。
【図８】本発明の実施の形態におけるシステムの動作例を説明するための図である。
【図９】解除後と解除前の状態を示す図である。
【図１０】コントローラ２００の機能構成図である。
【図１１】ＣＰＥ１００の機能構成図である。
【図１２】コントローラ２００及びＣＰＥ１００のハードウェア構成図である。
【発明を実施するための形態】
【００１８】
以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。
【００１９】
本実施の形態では、キャリア網（第１の網の例）に、加入者網としての企業ＮＷ（第２の網の例）が接続される構成を例にとって説明するが、本発明は、このような構成に限らずに適用可能である。また、本実施の形態では、ＩＰアドレスを変換対象及び通知対象としているが、これも例であり、本発明はＩＰアドレス以外のアドレス（例：ＭＡＣアドレス）にも適用可能である。
【００２０】
また、本実施の形態では、アドレス変換機能の例としてＮＡＰＴを用いているが、本発明は、ＮＡＰＴ以外のアドレス変換機能を備える通信装置にも適用可能である。なお、以下の説明において、サイバー攻撃を「攻撃」と記述する。
【００２１】
（実施の形態の概要）
図３を参照して本実施の形態における処理動作の概要を説明する。図３（ａ）は比較のために従来手法を示し、図３（ｂ）は本実施の形態における提案手法を示している。
【００２２】
図３（ａ）に示すように、従来手法では、既に説明したように、企業ＮＷ２０におけるＣＰＥ１のＮＡＰＴ機能により、キャリア網１０側では、企業ＮＷ２０における複数の端末から送信されるパケットの送信元ＩＰアドレスは同じ１つのＩＰアドレスとなる。攻撃検知装置５は、ＩＰアドレスに基づき攻撃検知を行うので、従来手法では、企業ＮＷ２０から攻撃が行われていることを検知できるものの、企業ＮＷ２０における端末毎の攻撃検知を行うことができない。
【００２３】
一方、図３（ｂ）に示す本実施の形態では、キャリア網１０におけるエッジルータ４が、企業ＮＷ２０におけるＣＰＥ１００の配下の端末毎（アドレス変換が適用される端末毎）に、ＣＰＥ１００に対してグローバルのＩＰアドレスを払い出す。これにより、ＣＰＥ１００から送信されるパケットの送信元ＩＰアドレスは、端末毎に異なるものとなり、キャリア網１０側の攻撃検知装置５により、企業ＮＷ２０における端末毎の攻撃検知を行うことが可能となる。
【００２４】
（システム構成）
図４に、本実施の形態におけるシステム構成を示す。図４に示すように、本実施の形態におけるシステムは、キャリア網１０と、キャリア網１０に接続する加入者網の１つである企業ＮＷ２０が接続された構成を有する。キャリア網１０は、エッジルータ４、攻撃検知装置５、ＷＥＢサーバ６、及びコントローラ２００を有する。コントローラ２００は、ネットワークを介して攻撃検知装置５及びエッジルータ４と通信可能である。企業ＮＷ２０は、ＮＡＰＴ機能を有するＣＰＥ１００（例えばルータ）、及び、ＣＰＥ１００の配下にあり、ＣＰＥ１００と通信を行う複数の端末を有する。
【００２５】
エッジルータ４は、キャリア網１０と企業ＮＷ２０とを接続するルータである。攻撃検知装置５は、エッジルータ４等から受信するパケットに基づいて攻撃を検知する装置である。ＷＥＢサーバ６は、攻撃対象の一例である。
【００２６】
キャリア網１０におけるコントローラ２００は、ＩＰアドレス払い出しの指示等を行う装置である。ＣＰＥ１００は、アドレス変換機能としてのＮＡＰＴ機能、及びＮＡＰＴテーブルを備える通信装置であり、複数の端末を配下に持っている。ＣＰＥ１００は、例えば、ＮＡＰＴテーブルを参照し、端末から受信したパケットの送信元ＩＰアドレス（ローカルＩＰアドレス）にマッチするＩＰアドレスに対応するＩＰアドレス（グローバルＩＰアドレス）を取得し、当該ローカルＩＰアドレスを当該グローバルＩＰアドレスに変換し、変換後のパケットをエッジルータ４に送出する。
【００２７】
コントローラ２００とＣＰＥ１００はそれぞれ、本発明に係る機能を含む装置であり、その動作内容については以下で順次説明する。また、コントローラ２００を制御装置と呼び、ＣＰＥ１００を通信装置と呼んでもよい。
【００２８】
（システムの動作例）
図５〜図８を参照して、本実施の形態におけるシステムの動作例を説明する。
【００２９】
図５のステップＳ１０１において、攻撃検知装置５は、企業ＮＷ２０からの攻撃を検知し、攻撃者のＩＰアドレス（ここでは、ＣＰＥ１００のキャリア網１０側のＩＰアドレス）をコントローラ２００へ通知する。なお、本実施の形態では、このように攻撃検知を契機としてステップＳ１０２以降の処理を行うが、攻撃検知の有無に拠らずに、ステップＳ１０２から開始することとしてもよい。
【００３０】
ステップＳ１０２において、コントローラ２００は、例えば上記の通知に係るＩＰアドレスを用いて、ＣＰＥ１００に対し、収容する端末の数を問い合わせる。ＣＰＥ１００は、コントローラ２００からの問い合わせに対する応答として、端末数をコントローラ２００へ返す（ステップＳ１０３）。なお、端末数が１である場合、企業ＮＷ２０における感染端末を１つに特定できるので、この時点でコントローラ２００は、攻撃が検知されたことを加入者（具体的には、例えば、企業ＮＷ２０の管理者の端末）に通知し、以降の処理を行わなくてよい。以降、端末数が複数の場合を説明する。
【００３１】
ステップＳ１０４において、コントローラ２００は、ＣＰＥ１００を収容するエッジルータ４に対し、ステップＳ１０３の応答で返された端末数分の（グローバル）ＩＰアドレスをＣＰＥ１００に払い出すよう、アドレス払い出し指示を送信する。ステップＳ１０５において、エッジルータ４は、ＣＰＥ１００に対し、端末数分のＩＰアドレスを払い出す。
【００３２】
図６のステップＳ１０６において、ＣＰＥ１００は、払い出されたＩＰアドレスを各端末に割り振り、ＮＡＰＴテーブルを変換する。
【００３３】
図６に示す表１、表２を参照して、ＣＰＥ１００が備えるＮＡＰＴテーブルの変換例を説明する。ＮＡＰＴテーブルの変換前（表１）において、端末ａ、端末ｂ、端末ｃにはそれぞれローカルＩＰアドレスＡ、Ｂ、Ｃが割り当てられており、ＮＡＰＴのアドレス変換後のＩＰアドレス（ＣＰＥ１００のキャリア網側のグローバルＩＰアドレス）として１つのグローバルＩＰアドレスＤが割り当てられている。よって、表１に示すとおりのＮＡＰＴテーブルとなる。
【００３４】
次に、ＮＡＰＴテーブルの変換後（表２）について説明する。本例では、エッジルータ４からＣＰＥ１００に対し、端末数分（３つ）のグローバルＩＰアドレスとして、Ｅ、Ｆ、Ｇが払い出される。ＣＰＥ１００は、端末ａ（ローカルＩＰアドレスＡ）にグローバルＩＰアドレスＥを割り振り、端末ｂ（ローカルＩＰアドレスＢ）にグローバルＩＰアドレスＦを割り振り、端末ｃ（ローカルＩＰアドレスＣ）にグローバルＩＰアドレスＧを割り振る。ＣＰＥ１００は、上記の割り振りに基づき、表２に示すＮＡＰＴテーブルを作成する。
【００３５】
なお、図６の企業ＮＷ２０内でステップＳ１０６として示すアドレス配付については、上記のＮＡＰＴテーブル変換例のようにローカルＩＰアドレスに変更がない場合には行わないこととしてもよい。
【００３６】
続いて、ステップＳ１０７において、エッジルータ４は、ＣＰＥ１００に対して払い出したグローバルＩＰアドレスと、この払い出しの前にＣＰＥ１００で使用されていたグローバルＩＰアドレスとをコントローラ２００に通知し、コントローラ２００はこれらを攻撃検知装置５に通知する。表２の例では、ＣＰＥ１００に対して払い出したグローバルＩＰアドレスとして、Ｅ、Ｆ、Ｇが通知され、払い出しの前にＣＰＥ１００で使用されていたグローバルＩＰアドレスとして、Ｄが通知される。
【００３７】
攻撃検知装置５はＮＡＰＴ機能（アドレス変換機能）を有している。ステップＳ１０８において、攻撃検知装置５は、ステップＳ１０７で受信したグローバルＩＰアドレスの情報に基づいて、ＮＡＰＴテーブル（変換テーブル）を作成する。具体的には、新たにＣＰＥ１００に払い出されたグローバルＩＰアドレスを、当初使用していたグローバルＩＰアドレスに変換するＮＡＰＴテーブルを作成する。
【００３８】
表１、表２に示したアドレスの例では、表３に示すように、グローバルＩＰアドレスＥ、Ｆ、Ｇを、グローバルＩＰアドレスＤに変換するＮＡＰＴテーブルになる。攻撃検知装置５は、例えば、グローバルＩＰアドレスＧを送信元ＩＰアドレスとして持つ、ＷＥＢサーバ６宛てのパケットを受信した場合に、送信元ＩＰアドレスをグローバルＩＰアドレスＤに変換して、パケットをＷＥＢサーバ６に送出する。これにより、ＷＥＢサーバ６にとって、以前と同じく、グローバルＩＰアドレスＤと通信しているように見える。
【００３９】
図７のステップＳ１０９において、攻撃検知装置５は、例えば、グローバルＩＰアドレスＧを送信元ＩＰアドレスとして持つパケットにより攻撃が行われていることを検知する。
【００４０】
ステップＳ１１０において、攻撃検知装置５は、攻撃元のＩＰアドレスをコントローラ２００へ通知する。ここでは、グローバルＩＰアドレスＧを通知したものとする。
【００４１】
ステップＳ１１１において、コントローラ２００は、グローバルＩＰアドレスＧに基づき、加入者（企業ＮＷ２０）に対し、グローバルＩＰアドレスＧを通知する。通知されたグローバルＩＰアドレスＧは、例えば企業ＮＷ２０におけるＮＷ管理者の端末に通知され、ＮＷ管理者は、ＮＡＰＴテーブル（図６の表２）におけるローカルＩＰアドレスとグローバルＩＰアドレスとの１対１の対応に基づいて、グローバルＩＰアドレスＧに対応する端末のローカルＩＰアドレスＣを特定できる。つまり、感染の疑いがある端末として端末ｃを特定できる。なお、ＣＰＥ１００は、ステップＳ１１１で受信したグローバルＩＰアドレスＧと、ＮＡＰＴテーブルに基づき、端末ｃのローカルＩＰアドレスＣを取得し、端末ｃのローカルＩＰアドレスＣをＮＷ管理者の端末に通知することとしてもよい。
【００４２】
次に、払い出したＩＰアドレスの設定を解除する手順を図８を参照して説明する。
【００４３】
ステップＳ２０１において、コントローラ２００は、ＣＰＥ１００と攻撃検知装置５に解除指示を送信する。ステップＳ２０２では、攻撃検知装置５とＣＰＥ１００のそれぞれで解除処理が実行される。
【００４４】
ステップＳ２０２において、攻撃検知装置５はＮＡＰＴ機能自体をＯＦＦとする。これにより、図６の表３に示したテーブルによるアドレス変換は行われなくなる。また、ＣＰＥ１００は、表４に示すＮＡＰＴテーブルを、表５に示すように以前のＮＡＰＴテーブルに戻す。
【００４５】
図９は、解除前（ａ）と解除後（ｂ）を比較して示す図である。図９に示すとおり、解除前（ａ）においては、キャリア網１００側において端末ａ、ｂ、ｃを識別可能であるが、解除後（ｂ）は識別できなくなる。
【００４６】
（装置構成）
次に、上述した動作を行うコントローラ２００とＣＰＥ１００の機能構成の例について説明する。
【００４７】
＜コントローラ２００＞
図１０に、コントローラ２００の機能構成図を示す。図１０に示すように、コントローラ２００は、記録部２１０、制御部２２０、送信部２３０、受信部２４０を有する。
【００４８】
記録部２１０は、各種のデータを格納する記憶手段である（例：データベースシステム）。図１０に示すように、例えば、記録部２１０は、加入者のＮＷの形態の情報（例：ＮＡＰＴ利用の有無）、攻撃検知装置５により検出されたＩＰアドレスの情報、元々加入者が使用していたグローバルＩＰアドレスと新規に払い出されたグルーバルＩＰアドレスの情報を、加入者毎に、例えばテーブル形式で格納する。
【００４９】
送信部２３０は、制御部２２０からの指示に基づき情報を外部に送信する。受信部２４０は、外部から情報を受信し、受信した情報を制御部２２０に渡す。
【００５０】
制御部２２０は、図５〜図８を参照して説明したコントローラ２００の動作を制御する。つまり、制御部２２０の制御により、図５〜図８を参照して説明したコントローラ２００の動作が実行される。
【００５１】
例えば、制御部２２０は、ＩＰアドレス払い出し指示（図５のＳ１０５）、端末数の要求と不正（感染）端末のＩＰアドレス通知（図５のＳ１０２、図７のＳ１１１）、攻撃検知装置５へのＩＰアドレス通知（図６のＳ１０７）、解除指示（図８のＳ２０１）をコントローラ２００に実行させるための制御を行う。具体的には、例えば、動作に必要な情報を記録部２１０から読み出し、送信部２３０に送信を指示する。また、例えば、受信部２４０から受信した情報を受け取り、受信した情報の分析、保存等を行う。
【００５２】
＜ＣＰＥ１００＞
図１１に、ＣＰＥ１００の機能構成図を示す。図１１に示すように、ＣＰＥ１００は、記録部１１０、制御部１２０、送信部１３０、受信部１４０を有する。
【００５３】
記録部１１０は、各種のデータを格納する記憶手段である（例：データベースシステム）。図１１に示すように、例えば、記録部１１０は、ＮＡＰＴテーブル（例：図６の表１、表２）を格納する。
【００５４】
送信部１３０は、制御部１２０からの指示に基づき情報を外部に送信する。受信部１４０は、外部から情報を受信し、受信した情報を制御部１２０に渡す。
【００５５】
制御部１２０は、図５〜図８を参照して説明したＣＰＥ１００の動作を制御する。つまり、制御部１２０の制御により、図５〜図８を参照して説明したＣＰＥ１００の動作が実行される。
【００５６】
例えば、制御部１２０は、ＩＰアドレス払い出し指示、端末数の検索と送信（図５のＳ１０２、Ｓ１０３）、ＮＡＰＴテーブルの書き換え（図６のＳ１０６、図８のＳ２０２）をＣＰＥ１００に実行させるための制御を行う。具体的には、例えば、動作に必要な情報を記録部１１０から読み出し、送信部１３０に送信を指示する。また、例えば、受信部１４０から受信した情報を受け取り、受信した情報の分析、保存等を行う。
【００５７】
また、制御部１２０は、ＮＡＰＴ機能も含み、例えば、受信部１４０を介して企業ＮＷ２０側から受信したパケットの送信元ＩＰアドレスをＮＡＰＴテーブルと照合し、変換前ＩＰアドレスにマッチする場合に、当該送信元ＩＰアドレスを変換後ＩＰアドレスに変換し、送信元ＩＰアドレス変換後のパケットを送信部１３０を介してキャリア網側（エッジルータ側）に送信する機能を有する。
【００５８】
＜ハードウェア構成例＞
本実施の形態におけるコントローラ２００とＣＰＥ１００はいずれも、ハードウェア的には、コンピュータ（ルータ等もコンピュータの一種である）の構成により実現できる。また、コントローラ２００とＣＰＥ１００はいずれも、コンピュータ上でプログラムを実行させることによりその機能を実現できる。ただし、コンピュータの構成によりコントローラ２００もしくはＣＰＥ１００を実現することは一例であり、コンピュータ以外のハードウェア構成を採用してもよい。
【００５９】
図１２は、本実施の形態におけるコントローラ２００とＣＰＥ１００（以下、コントローラ２００／ＣＰＥ１００と記載する）のいずれにも適用できるハードウェア構成例を示す図である。図１２に示すように、コントローラ２００／ＣＰＥ１００は、それぞれバスＢで相互に接続されているドライブ装置１５０、補助記憶装置１５２、メモリ装置１５３、ＣＰＵ１５４、インタフェース装置１５５、表示装置１５６、及び入力装置１５７等を有する。
【００６０】
コントローラ２００／ＣＰＥ１００での処理を実現するプログラムは、例えば、ＣＤ−ＲＯＭ又はメモリカード等の記録媒体１５１によって提供される。プログラムを記憶した記録媒体１５１がドライブ装置１５０にセットされると、プログラムが記録媒体１５１からドライブ装置１５０を介して補助記憶装置１５２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１５１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１５２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
【００６１】
メモリ装置１５３は、プログラムの起動指示があった場合に、補助記憶装置１５２からプログラムを読み出して格納する。ＣＰＵ１５４は、メモリ装置１５３に格納されたプログラムに従ってコントローラ２００／ＣＰＥ１００に係る機能を実現する。インタフェース装置１５５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１５６はプログラムによるＧＵＩ（Graphical User Interface）等を表示する。入力装置１５７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。なお、本実施の形態のコントローラ２００／ＣＰＥ１００は、表示装置１５６と入力装置１５７を備えないこととしてもよい。
【００６２】
（実施の形態の効果、まとめ）
本実施の形態に係る技術により、ＮＡＰＴを使用している加入者に対して一時的に端末数分のＩＰアドレスを払い出すこととしたので、ＩＰアドレス毎（端末毎）に通信を検査することで不審な通信を行っているＩＰアドレス（端末）を特定することが可能となる。すなわち、本技術を用いることによりウイルスに感染している端末を迅速に特定でき、端末を特定するまでの稼働の削減を図ることができる。
【００６３】
また、本実施の形態に係る技術により、加入者毎に適切な情報を通知し、感染端末を特定する事ができるようになる。通知のバリエーションとして、例えば、（１）ＮＡＰＴを使用している加入者に対しては端末のアドレスを通知する、及び、（２）ＮＡＰＴを使用していないユーザに対しては加入者単位で通知する、の２つがある。
【００６４】
なお、本発明に係る技術以外にも、例えば、各端末のＭＡＣアドレスの情報を上位に伝える方法等が考えられるが、処理負荷が大きくなると考えられる。これに対し、本発明に係る技術は、規模の大きなＤＤｏＳ攻撃に対しても有効であると考えられる。
【００６５】
以上、説明したように、本実施の形態によれば、制御装置と、第１の網に備えられる攻撃検知装置と、第２の網に備えられる通信装置と、前記第１の網と前記第２の網とを接続するエッジルータとを備える通信システムにおける前記通信装置であって、アドレス変換テーブルを格納する記憶手段と、前記アドレス変換テーブルに基づいて、前記第２の網における端末から受信したパケットのアドレスを、前記第１の網において使用されるアドレスに変換し、当該変換を行ったパケットを前記エッジルータに送信するアドレス変換手段と、前記制御装置から、前記通信装置の配下の端末数の問い合わせを受信し、当該端末数を前記制御装置に通知する端末数通知手段と、前記制御装置からの指示に基づき前記エッジルータから払い出された前記端末数分のアドレスを受信し、当該アドレスを用いて前記アドレス変換テーブルを変換する変換手段とを備えることを特徴とする通信装置が提供される。
【００６６】
実施の形態で説明したＣＰＥ１００は、通信装置の例である。すなわち、ＣＰＥ１００は、記憶手段と、アドレス変換手段と、端末数通知手段と、変換手段とを含む。
【００６７】
前記変換手段は、前記通信装置の配下の端末に割り当てられている前記第２の網のアドレスと、前記エッジルータから払い出されたアドレスとが１対１に対応付けられるように前記アドレス変換テーブルの変換を行うこととしてもよい。
【００６８】
また、本実施の形態により、制御装置と、第１の網に備えられる攻撃検知装置と、第２の網に備えられる通信装置と、前記第１の網と前記第２の網とを接続するエッジルータとを備える通信システムにおける前記制御装置であって、前記通信装置に対し、当該通信装置の配下の端末数を問い合わせることにより、当該端末数を取得する取得手段と、前記端末数分のアドレスを前記通信装置に払い出すことを指示するアドレス払い出し指示を前記エッジルータに送信する指示手段と、前記エッジルータから、前記アドレス払い出し指示に基づいて払い出されたアドレスである払い出しアドレスと、当該払い出しの前に使用されていたアドレスである当初アドレスとを受信し、前記払い出しアドレスと前記当初アドレスとを前記攻撃検知装置に通知する通知手段とを備えることを特徴とする制御装置が提供される。
【００６９】
実施の形態で説明したコントローラ２００は、制御装置の例である。すなわち、コントローラ２００は、取得手段と、指示手段と、通知手段とを含む。
【００７０】
制御装置は、前記攻撃検知装置から、攻撃検知に係るアドレスを受信し、当該アドレスを前記通信装置に通知する検知アドレス通知手段を更に含んでもよい。
【００７１】
以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【符号の説明】
【００７２】
１０  キャリア網
２０  企業ＮＷ
１、１００  ＣＰＥ
４  エッジルータ
５  攻撃検知装置
６  ＷＥＢサーバ
２００  コントローラ
１１０、２１０  記録部
１２０、２２０  制御部
１３０、２３０  送信部
１４０、２４０  受信部
１５０  ドライブ装置
１５１  記録媒体
１５２  補助記憶装置
１５３  メモリ装置
１５４  ＣＰＵ
１５５  インタフェース装置
１５６  表示装置
１５７  入力装置
【図１】
2018129594.tif 000003
【図２】
2018129594.tif 000004
【図３】
2018129594.tif 000005
【図４】
2018129594.tif 000006
【図５】
2018129594.tif 000007
【図６】
2018129594.tif 000008
【図７】
2018129594.tif 000009
【図８】
2018129594.tif 000010
【図９】
2018129594.tif 000011
【図１０】
2018129594.tif 000012
【図１１】
2018129594.tif 000013
【図１２】
2018129594.tif 000014