(57)【要約】【課題】攻撃対象ＩＰアドレスのリース更新通信を行い、ＩＰアドレスがＤＨＣＰサーバへ返却されるのを防ぎつつ、別のＩＰアドレスを通信に用いることにより、ネットワーク攻撃を他の通信端末に引き継いでしまうという問題を回避することができ、ホームネットワーク全体として攻撃を防御することができる通信端末を提供する。【解決手段】通信端末は、検出手段がＤｏＳ攻撃を検出すると、ＭＡＣアドレス変更手段は自装置に割当てられたＭＡＣアドレスを変更し、ＩＰアドレス取得手段は変更されたＭＡＣアドレスに対応した新たなＩＰアドレスをＤＨＣＰサーバから取得し、新たなＩＰアドレスを基に外部ネットワークを介して通信すると共に、ＩＰアドレス更新手段が攻撃対象ＩＰアドレスの定期的な更新処理を継続することで、ＤＨＣＰサーバにＩＰアドレスが返却されないようにし、ホームネットワーク内の他の端末に攻撃先が切り替ることを防ぐ。【選択図】図２
2011129968.tif 000002
【特許請求の範囲】
【請求項１】
ホームネットワークに接続され、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）サーバから割当てられるＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスを基に、外部ネットワークを介して通信を行なう通信端末装置であって、
ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃およびＤｏＳ攻撃の終了を検出する検出手段と、
自装置のＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスの変更を行なうＭＡＣアドレス変更手段と、
前記ＤＨＣＰサーバからＭＡＣアドレスに対応したＩＰアドレスを取得するＩＰアドレス取得手段と、を備え、
前記検出手段がＤｏＳ攻撃を検出した場合、前記ＭＡＣアドレス変更手段は、自装置に割当てられたＭＡＣアドレスを変更し、前記ＩＰアドレス取得手段は、変更されたＭＡＣアドレスに対応した新たなＩＰアドレスを前記ＤＨＣＰサーバから取得し、前記新たなＩＰアドレスを基に前記外部ネットワークを介して通信すると共に、変更前に取得したＩＰアドレスは解放せずに自装置にて保持することを特徴とする通信端末装置。
【請求項２】
前記ＤＨＣＰサーバに対してリース更新の要求を行なう攻撃対象ＩＰアドレス更新手段をさらに備え、
前記攻撃対象ＩＰアドレス更新手段が、前記ＤＨＣＰサーバに対して、攻撃対象となっている前記変更前に取得したＩＰアドレスのリース更新要求を、予め定めた間隔で行うことにより、前記変更前に取得したＩＰアドレスを解放せずに自装置にて保持することを特徴とする請求項１記載の通信端末装置。
【請求項３】
前記攻撃対象ＩＰアドレス更新手段は、予め定めた間隔で前記ＤＨＣＰサーバに対して送信するＤＨＣＰＲＥＱＵＥＳＴメッセージに対し、その応答メッセージの受信は行なわないことを特徴とする請求項２記載の通信端末装置。
【請求項４】
前記検出手段がＤｏＳ攻撃の終了したことを検出すると、前記ＭＡＣアドレス変更手段が変更したＭＡＣアドレスおよび前記新たなＩＰアドレスを解放すると共に、前記変更前に取得したＩＰアドレスを基に前記外部ネットワークを介して通信することを特徴とする請求項１記載の通信端末装置。
【請求項５】
自装置に送信されてくるパケットを監視し、該パケットに記載されている送信元ＭＡＣアドレスを蓄積するＭＡＣアドレス蓄積手段をさらに備え、
前記ＭＡＣアドレス変更手段は、自装置のＭＡＣアドレスを変更する際に、前記ＭＡＣアドレス蓄積手段に蓄積されているＭＡＣアドレスとは一致しないように変更することを特徴とする請求項１記載の通信端末装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワークに接続することにより、ネットワークサービスに対応することができる通信端末装置（以下、通信端末と称す）に関するものである。
【背景技術】
【０００２】
近年、ネットワークを介して不正なデータを送りつけるなどして、他の端末装置（以下、端末と称す）が提供または実行するサービスを阻害したり、保存されている情報を不正に引き出したりする、いわゆるネットワーク攻撃が猛威を振るっている。
【０００３】
このようなネットワーク攻撃には複数の種類が存在するが、それぞれのネットワーク攻撃に対する対抗策となる技術も数多く存在する。例えば、特許文献１には、サービス阻害攻撃（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ攻撃：ＤｏＳ攻撃）に対する対抗策に関する技術が開示されている。
【０００４】
特許文献１においては、端末において通信量が過剰であるか否かを監視し、過剰である（ＤｏＳ攻撃を受けている）と判断した場合には、割り込み信号を出力しないことで割り込み処理を行わず、端末のリソース占有を防ぐことにより、サービスに必要なリソースを確保し、正常な動作を維持できる技術が開示されている。
【０００５】
一方、ノートパソコンなどの可搬性の高い端末においては、使用環境によって接続先のネットワークを変更しながら使用するケースがある。このとき、端末においては、接続先のネットワークによってＩＰアドレスを適切に設定変更する必要がある。この設定変更を手動で行う場合は、ユーザに毎回手間をかけさせることになる。また、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）を使って自動設定するにしても、毎回アドレスの取得処理をする必要があり、ユーザは取得完了まで待たされることになり、ユーザの負担は決して軽いものではない。
【０００６】
このようなユーザの負担を軽減する技術が、特許文献２に示されている。特許文献２においては、一度設定したＩＰアドレス情報をネットワーク切断後も保持し、新たなネットワークで通信を開始するときの接続先ＩＰアドレスを基に、保持している複数のＩＰアドレス情報を検索し、適切なものを設定しなおすことで、ユーザの負荷を軽減する技術が開示されている。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２００８−１９９１３８号公報
【特許文献２】特開２００６−３３２７１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００８】
しかしながら、ホームルータによりＤＨＣＰサービスが提供されているホームネットワークにおいて、ホームルータのＤＨＣＰサーバによりＩＰアドレスの割り当てを受けて外部ネットワークと通信を行う通信端末に対して、ネットワーク攻撃に対する対抗策として特許文献１に開示されている技術を適用し、受信割り込み処理を行わないようにすると、ＩＰアドレスのリース更新のための通信もできなくなる。その結果として、ＤＨＣＰサーバにＩＰアドレスが返却されてしまうことになり、さらに、返却されたＩＰアドレスが、家庭内の別の通信端末に割り当てられた場合には、その通信端末がネットワーク攻撃を受けることになってしまい、ホームネットワーク内でネットワーク攻撃を回避することができないという課題を有していた。
【０００９】
このような課題を解決するために、攻撃対象となっているＩＰアドレスのリース更新通信を行い、ＩＰアドレスがＤＨＣＰサーバへ返却されるのを防ぎつつ、別のＩＰアドレスを通信に用いる方法が考えられる。
【００１０】
このような２つのＩＰアドレスを保持する手法として、特許文献２に開示されている技術を適用することが考えられる。しかし、特許文献２に開示されている技術においては、別のＩＰアドレスの取得と切り換えは新たなネットワークへの接続時に行われ、ネットワーク攻撃を受けたときにネットワーク接続を維持しながら別のＩＰアドレスを取得することは考慮されていないため、このような課題を解決することはできない。
【００１１】
本発明は、このような課題に鑑みてなされたものであり、攻撃対象となっているＩＰアドレスのリース更新通信を行い、ＩＰアドレスがＤＨＣＰサーバへ返却されるのを防ぎつつ、別のＩＰアドレスを通信に用いることにより、ＩＰアドレスの再利用の仕組みに起因するネットワーク攻撃を他の通信端末に引き継いでしまうという問題を回避することができ、ホームネットワーク全体として攻撃を防御することができる通信端末を提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記目的を達成するために、本願の第１の発明の通信端末装置は、ホームネットワークに接続され、ＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）サーバから割当てられるＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスを基に、外部ネットワークを介して通信を行なう通信端末装置であって、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃およびＤｏＳ攻撃の終了を検出する検出手段と、自装置のＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレスの変更を行なうＭＡＣアドレス変更手段と、前記ＤＨＣＰサーバからＭＡＣアドレスに対応したＩＰアドレスを取得するＩＰアドレス取得手段と、を備え、前記検出手段がＤｏＳ攻撃を検出した場合、前記ＭＡＣアドレス変更手段は、自装置に割当てられたＭＡＣアドレスを変更し、前記ＩＰアドレス取得手段は、変更されたＭＡＣアドレスに対応した新たなＩＰアドレスを前記ＤＨＣＰサーバから取得し、前記新たなＩＰアドレスを基に前記外部ネットワークを介して通信すると共に、変更前に取得したＩＰアドレスは解放せずに自装置にて保持することを特徴とするものである。
【００１３】
また、本願の第２の発明の通信端末装置は、本願の第１の発明の通信端末装置において、前記ＤＨＣＰサーバに対してリース更新の要求を行なう攻撃対象ＩＰアドレス更新手段をさらに備え、前記攻撃対象ＩＰアドレス更新手段が、前記ＤＨＣＰサーバに対して、攻撃対象となっている前記変更前に取得したＩＰアドレスのリース更新要求を、予め定めた間隔で行うことにより、前記変更前に取得したＩＰアドレスを解放せずに自装置にて保持することを特徴とするものである。
【００１４】
また、本願の第３の発明の通信端末装置は、本願の第２の発明の通信端末装置において、前記攻撃対象ＩＰアドレス更新手段は、予め定めた間隔で前記ＤＨＣＰサーバに対して送信するＤＨＣＰＲＥＱＵＥＳＴメッセージに対し、その応答メッセージの受信は行なわないことを特徴とするものである。
【００１５】
また、本願の第４の発明の通信端末装置は、本願の第１の発明の通信端末装置において、前記検出手段がＤｏＳ攻撃の終了したことを検出すると、前記ＭＡＣアドレス変更手段が変更したＭＡＣアドレスおよび前記新たなＩＰアドレスを解放すると共に、前記変更前に取得したＩＰアドレスを基に前記外部ネットワークを介して通信することを特徴とするものである。
【００１６】
また、本願の第５の発明の通信端末装置は、本願の第１の発明の通信端末装置において、自装置に送信されてくるパケットを監視し、該パケットに記載されている送信元ＭＡＣアドレスを蓄積するＭＡＣアドレス蓄積手段をさらに備え、前記ＭＡＣアドレス変更手段は、自装置のＭＡＣアドレスを変更する際に、前記ＭＡＣアドレス蓄積手段に蓄積されているＭＡＣアドレスとは一致しないように変更することを特徴とするものである。
【発明の効果】
【００１７】
本発明の通信端末によれば、「ＩＰアドレスの再利用の仕組みに起因するネットワーク攻撃を他の通信端末に引き継いでしまうという問題」を回避することができ、ホームネットワーク全体として攻撃を防御することができる。
【図面の簡単な説明】
【００１８】
【図１】本発明の実施の形態１におけるネットワークの構成を示すブロック図
【図２】本発明の実施の形態１に係る通信端末の内部の構成を示すブロック図
【図３】本発明の実施の形態１に係る通信端末のアドレス管理部が保持するアドレス管理テーブルの一例を示す図
【図４】本発明の実施の形態１に係る通信端末のＩＰアドレス更新部と攻撃対象ＩＰアドレス更新部が、それぞれホームルータのＤＨＣＰサーバと通信する際のシーケンスの一例を示す図
【図５】本発明の実施の形態１に係る通信端末のＭＡＣアドレス蓄積部において蓄積される送信元ＭＡＣアドレス（ホームネットワーク内機器のＭＡＣアドレス）の一覧テーブルの一例を示す図
【発明を実施するための形態】
【００１９】
以下に、本発明を実施するための形態について、図面を参照しながら説明する。
【００２０】
（実施の形態１）
図１は、本発明の実施の形態１におけるネットワークの構成を示すブロック図である。
【００２１】
図１において、ホームルータ１０２は、ＤＨＣＰサーバ１０２１を備え、ホームネットワーク１１０内の各端末からインターネット１０１への接続の中継をするゲートウェイ機能、１つのグローバルＩＰアドレスをホームネットワーク１１０内の各端末で共有するＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）機能、およびホームネットワーク１１０内の各端末にＩＰアドレスを割り当てるＤＨＣＰサーバ機能を有する。
【００２２】
ホームネットワーク１１０内の本発明に係る通信端末Ａ１０３や、ネットワーク攻撃対策を備えていない通信端末Ｂ１０４は、これらの機能を利用することにより、インターネット１０１上に存在する様々なサービスが利用可能である。また、通信端末Ｃ１０５は、コンピュータウィルスに感染したなど、何らかの理由により、ホームネットワーク１１０内の端末を対象に、ネットワーク攻撃を行う可能性のある状態になっているものとする。
【００２３】
次に、図２を用いて、本発明の実施の形態１に係る通信端末Ａ１０３の内部の構成について説明する。なお、図２は、本発明の実施の形態１に係る通信端末の内部の構成を示すブロック図である。
【００２４】
図２において、イーサネット（登録商標）のＩ／Ｆ（以下、Ｉ／Ｆと称す）２０１は、イーサネット（登録商標）を介した通信の物理層の処理を行う。通信部２０２は、データリンク層より上位の、ユーザにネットワークサービスを提供する際に行う通信を処理する。攻撃検出部２０３は、Ｉ／Ｆ２０１の通信状況を監視し、何らかの方法により攻撃を検出する。
【００２５】
一時ＭＡＣ（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ）アドレス設定部２０４は、一時的に必要なＭＡＣアドレスを生成する。攻撃終了検出部２０５は、Ｉ／Ｆ２０１の通信状況を監視し、何らかの方法により攻撃が終了したことを検出する。一時ＭＡＣアドレス解放部２０６は、一時ＭＡＣアドレス設定部２０４において生成したＭＡＣアドレスを解放する。
【００２６】
なお、攻撃検出部２０３において攻撃を検出する何らかの方法としては、Ｉ／Ｆ２０１からＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）（図示せず）に送られる受信割込み数が、予め定めた閾値を超えたときなどが考えられるが、これに限定されるものではない。
【００２７】
ＩＰアドレス取得部２０７は、呼び出し元から与えられたＭＡＣアドレスを用いてＩ／Ｆ２０１経由でホームルータ１０２のＤＨＣＰサーバ１０２１と通信し、ＩＰアドレスの割り当てを受けた後、呼び出し元に対して、割り当てられたＩＰアドレスを返す。
【００２８】
ＩＰアドレス更新部２０８は、呼び出し元から与えられたＭＡＣアドレスと、そのＭＡＣアドレスに割り当てられ、ＩＰアドレス取得部２０７で取得したＩＰアドレスを用いて、定期的にＩ／Ｆ２０１経由でホームルータ１０２のＤＨＣＰサーバ１０２１と通信し、ＤＨＣＰサーバ１０２１に対してＩＰアドレスの割り当て期間（リース時間）の延長を要求し、延長が可能か不可能かの応答の待ち受けを行って応答を受け取った後、呼び出し元に対して延長が可能か不可能かの応答結果を返す。
【００２９】
攻撃対象ＩＰアドレス更新部２０９は、ほぼＩＰアドレス更新部２０８と同様の動作を行うが、ＩＰアドレスの割り当て期間の延長を要求した後、延長が可能か不可能かの応答の待ち受けを行わない。
【００３０】
ＩＰアドレス解放部２１０は、呼び出し元から与えられたＭＡＣアドレスとＩＰアドレスを用いて、Ｉ／Ｆ２０１経由でホームルータ１０２のＤＨＣＰサーバ１０２１と通信し、ＤＨＣＰサーバ１０２１に対してＩＰアドレスの解放を要求する。
【００３１】
アドレス管理部２１１は、通信端末Ａ１０３に予め関連付けられたＭＡＣアドレス、もしくは一時ＭＡＣアドレス設定部２０４で生成されたＭＡＣアドレスと、ＤＨＣＰ通信によりこれらのＭＡＣアドレスに割り当てられたＩＰアドレスを管理し、さらに、ＩＰアドレスの取得、保持および解放などの制御を管理する。
【００３２】
ＭＡＣアドレス蓄積部２１２は、Ｉ／Ｆ２０１で受信するパケットの送信元ＭＡＣアドレスを抽出し、受信歴のある送信元ＭＡＣアドレスを蓄積する。
【００３３】
ここで、特許請求の範囲に記載の各手段と図２における各部との関係について説明すると、検出手段は、Ｉ／Ｆ２０１、攻撃検出部２０３および攻撃終了検出部２０５で構成される。また、ＭＡＣアドレス変更手段は、一時ＭＡＣアドレス設定部２０４およびアドレス管理部２１１で構成され、ＩＰアドレス取得手段は、Ｉ／Ｆ２０１、ＩＰアドレス取得部２０７およびアドレス管理部２１１で構成される。また、攻撃対象ＩＰアドレス更新手段は、Ｉ／Ｆ２０１、ＩＰアドレス更新部２０８およびアドレス管理部２１１で構成され、ＭＡＣアドレス蓄積手段は、Ｉ／Ｆ２０１およびＭＡＣアドレス蓄積部２１２で構成される。
【００３４】
次に、図３〜図５を用いて、本発明の実施の形態１に係る通信端末Ａ１０３における動作について説明する。なお、図３は、本発明の実施の形態１に係る通信端末のアドレス管理部が保持するアドレス管理テーブルの一例を示す図である。また、図４は、本発明の実施の形態１に係る通信端末のＩＰアドレス更新部と攻撃対象ＩＰアドレス更新部が、それぞれホームルータのＤＨＣＰサーバと通信する際のシーケンスの一例を示す図である。また、図５は、本発明の実施の形態１に係る通信端末のＭＡＣアドレス蓄積部において蓄積される送信元ＭＡＣアドレス（ホームネットワーク内機器のＭＡＣアドレス）の一覧テーブルの一例を示す図である。
【００３５】
本発明の実施の形態１に係る通信端末Ａ１０３は、通常の通信端末と同様、Ｉ／Ｆ２０１や通信部２０２を備え、これらによりユーザに対して通信サービスを提供する。
【００３６】
また、通信用にＩＰアドレスの取得が必要なときには、アドレス管理部２１１にアドレス取得要求が送られる。例えば、イーサケーブルが通信端末Ａ１０３に接続された直後は、Ｉ／Ｆ２０１がアドレス管理部２１１に対してアドレス取得要求を送る。アドレス取得要求を受ける前のアドレス管理部２１１が保持するアドレス管理テーブル（以下、管理テーブルと称す）は、図３の（イ）に示すように、通信端末Ａ１０３に予め関連付けられたＭＡＣアドレスのみが通信用ＭＡＣアドレスとして登録されている状態である。
【００３７】
ここで、アドレス管理部２１１は、Ｉ／Ｆ２０１からアドレス取得要求を受け取ると、ＩＰアドレス取得部２０７に対して通信用ＭＡＣアドレスと共にＩＰアドレス取得要求を送る。
【００３８】
ＩＰアドレス取得部２０７は、アドレス管理部２１１からＩＰアドレス取得要求を受け取ると、ＤＨＣＰ通信によりＩＰアドレスの割り当てを受け、そのＩＰアドレスとリース時間をアドレス管理部２１１に応答として返す。
【００３９】
アドレス管理部２１１は、ＩＰアドレス取得部２０７から受け取ったＩＰアドレスとリース時間を管理テーブルに登録する。この際の管理テーブルは、図３の（ロ）に示すようになる。このように管理テーブルに登録された通信用ＩＰアドレスは、通信部２０２に通知され、通信を行う際に使用される。
【００４０】
また、アドレス管理部２１１は、リース時間に基づいてリース更新間隔を決定し（通常はリース時間の半分）、このリース更新間隔と、管理テーブルに登録された通信用ＩＰアドレスおよび通信用ＭＡＣアドレスなどの情報を、ＩＰアドレス更新部２０８に送る。
【００４１】
ＩＰアドレス更新部２０８は、アドレス管理部２１１から送られたこれらの情報を使用して、通信用ＩＰアドレスのリース更新のために、ホームルータ１０２内のＤＨＣＰサーバ１０２１との通信を定期的に行い、ＤＨＣＰサーバ１０２１との通信が正常にできなかった場合や、更新の拒否を受けたときは、アドレス管理部２１１にその旨を通知する。
【００４２】
以上のような一連の処理により、通信端末Ａ１０３は、通信用ＩＰアドレスの取得および保持を実現することができる。
【００４３】
ここで、通信端末Ａ１０３がネットワーク攻撃を受け、攻撃検出部２０３がネットワーク攻撃を受けたことを検出すると、攻撃回避を行うために、攻撃検出部２０３は、一時ＭＡＣアドレス設定部２０４に対して攻撃検出通知を送る。
【００４４】
一時ＭＡＣアドレス設定部２０４は、攻撃検出部２０３から攻撃検出通知を受け取ると、一時的に使用するＭＡＣアドレスを生成し、その生成したＭＡＣアドレスとアドレス変更要求をアドレス管理部２１１に送る。
【００４５】
なお、一時ＭＡＣアドレス設定部２０４が生成するＭＡＣアドレスの生成方法は以下の通りである。
【００４６】
まず、ＭＡＣアドレス蓄積部２１２は、それまでにＩ／Ｆ２０１で受信されたパケットの送信元ＭＡＣアドレスを抽出し、受信歴のある送信元ＭＡＣアドレスを全てテーブル（ＭＡＣアドレステーブル）に記録する。
【００４７】
ＤＨＣＰによるＩＰアドレス割り当てを前提としたホームネットワーク１１０においては、ＩＰアドレス割り当て要求時にブロードキャストパケットを送信するため、ホームネットワーク１１０内の全端末のＭＡＣアドレスを収集することが可能である。すなわち、ＭＡＣアドレス蓄積部２１２が記録するＭＡＣアドレステーブルは、通信端末Ａ１０３が動作している間にホームネットワーク１１０に接続された全ての端末のＭＡＣアドレステーブルとなっている。このＭＡＣアドレステーブルの一例を図５に示す。
【００４８】
一時ＭＡＣアドレス設定部２０４は、ＭＡＣアドレスの生成にあたり、まず、ＭＡＣアドレス蓄積部２１２に対してＭＡＣアドレステーブルの要求を行ない、ＭＡＣアドレス蓄積部２１２からＭＡＣアドレス蓄積部２１２が保持しているＭＡＣアドレステーブルを取得する。
【００４９】
一時ＭＡＣアドレス設定部２０４は、ランダムにＭＡＣアドレスを生成するが、ＭＡＣアドレス蓄積部２１２から取得したＭＡＣアドレステーブルにあるものと同じＭＡＣアドレスが生成された場合には、再度生成しなおす。これにより、ホームネットワーク１１０内の端末のＭＡＣアドレスと重複しないＭＡＣアドレスを生成することができ、ホームネットワーク１１０内に同じＭＡＣアドレスの端末が複数あることによる障害を避けることができる。
【００５０】
一方、アドレス管理部２１１は、一時ＭＡＣアドレス設定部２０４からアドレス変更要求を受け取ると、まず、自らが管理している管理テーブル上の通信用ＭＡＣアドレス、通信用ＩＰアドレスおよびリース時間を、図３の（ハ）に示すように、攻撃対象の行に移動させる。続いて、アドレス変更要求と共に受け取った別のＭＡＣアドレスを、図３の（ニ）に示すように、通信用のＭＡＣアドレスとして設定する。
【００５１】
続いて、アドレス管理部２１１は、ＩＰアドレス更新部２０８に対して更新停止通知を送り、ＩＰアドレス更新部２０８における定期的な更新処理を停止させる。
【００５２】
続いて、アドレス管理部２１１は、ＩＰアドレス取得部２０７に対して、管理テーブルに登録されている通信用ＭＡＣアドレスと共にＩＰアドレス取得要求を送る。
【００５３】
ＩＰアドレス取得部２０７は、アドレス管理部２１１からＩＰアドレス取得要求を受け取ると、ＤＨＣＰ通信によりＩＰアドレスの割り当てを受け、その割り当てを受けたＩＰアドレスとリース時間を、アドレス管理部２１１に応答として返す。
【００５４】
アドレス管理部２１１は、ＩＰアドレス取得部２０７から受け取ったＩＰアドレスとリース時間を管理テーブルに登録する。このときの管理テーブルは図３の（ホ）に示すようになる。図３の（ホ）に示される通信用ＩＰアドレスは通信部２０２に通知され、通信を行う際に使用される。また、アドレス管理部２１１は、リース時間に基づき、リース更新間隔を決定し（通常はリース時間の半分）、決定したリース更新間隔と管理テーブル上の通信用ＩＰアドレス、および通信用ＭＡＣアドレスをＩＰアドレス更新部２０８に送る。
【００５５】
ＩＰアドレス更新部２０８は、アドレス管理部２１１から送られたこれらの情報を使用して、通信用ＩＰアドレスのリース更新のためにＤＨＣＰサーバ１０２１との通信を定期的に行い、ＤＨＣＰサーバ１０２１との通信が正常にできなかった場合や、更新の拒否を受けたときは、アドレス管理部２１１にその旨を通知する。
【００５６】
以上のような一連の処理により、攻撃対象となっているＩＰアドレスとは別に、通信用ＩＰアドレスの取得、保持を実現することができるので、攻撃を回避しつつ、ネットワークサービスの使用が可能となる。
【００５７】
次に、アドレス管理部２１１は、攻撃対象ＩＰアドレス更新部２０９に対して、管理テーブル上の攻撃対象ＩＰアドレス、攻撃対象ＭＡＣアドレス、およびリース時間から決定したリース更新時間を送る。
【００５８】
攻撃対象ＩＰアドレス更新部２０９は、アドレス管理部２１１から送られたこれらの情報を使用して、攻撃対象ＩＰアドレスのリース更新のためにＤＨＣＰサーバ１０２１との通信を定期的に行う。
【００５９】
この際、ＩＰアドレス更新部２０８において行われる通常のリース更新処理では、図４に示すように、通信端末Ａ１０３は、ホームルータ１０２のＤＨＣＰサーバ１０２１にＤＨＣＰＲＥＱＵＥＳＴメッセージを送った後、メッセージの受信待ちを行い、ＤＨＣＰサーバ１０２１から送られるＤＨＣＰＡＣＫメッセージかＤＨＣＰＮＡＫメッセージを受信して、そのアドレスがその後の通信に使用可能か否かを判断するが、攻撃対象ＩＰアドレス更新部２０９での処理は、ＤＨＣＰサーバ１０２１にＤＨＣＰＲＥＱＵＥＳＴメッセージを送った後、メッセージの受信待ちを敢えて行わない。その理由は、攻撃対象ＩＰアドレス（ＭＡＣアドレス）に対する受信待ちを行ってしまうと、その受信待ちの間にＤｏＳ攻撃による大量のパケットを受信してしまい、ＣＰＵ負荷の増大によりサービスに不具合を引き起こす可能性があるからである。
【００６０】
したがって、攻撃対象ＩＰアドレス更新時には、受信待ちを行わないことで、サービスに不具合を引き起こすような問題を回避することができる。なお、受信待ちを行わない場合、そのＩＰアドレスが通信に使ってよいものかどうかの判断ができないが、攻撃対象ＩＰアドレスで通信を行うことはないので、特に問題とはならない。
【００６１】
以上のような一連の処理により、攻撃対象ＩＰアドレスのリースを更新し続けつつ、攻撃による不具合を回避することができるので、ＤＨＣＰサーバ１０２１へのＩＰアドレス返却を防ぐことができ、ホームネットワーク１１０内の他の通信端末、例えば、通信端末Ｂ１０４に対して攻撃対象ＩＰアドレスが割り当てられ、通信端末Ｂ１０４がＤｏＳ攻撃を受けてしまう事態を防ぐことができる。
【００６２】
アドレス管理部２１１が保持する管理テーブルにおいて、攻撃対象の行にＭＡＣアドレスやＩＰアドレスが設定された状態（攻撃検出状態）で、攻撃終了検出部２０５が攻撃終了を検出すると、一時的に設定したＭＡＣアドレスとＩＰアドレスを解放するために、攻撃終了検出部２０５は、一時ＭＡＣアドレス解放部２０６に対して攻撃終了通知を送る。
【００６３】
一時ＭＡＣアドレス解放部２０６は、攻撃終了検出部２０５から攻撃終了通知を受け取ると、一時的に設定したＩＰアドレスを解放するために、アドレス管理部２１１にアドレス解放要求を送る。
【００６４】
アドレス管理部２１１は、一時ＭＡＣアドレス解放部２０６からアドレス解放要求を受け取ると、まず、ＩＰアドレス解放部２１０に対して、管理テーブルの通信用ＭＡＣアドレスと通信用ＩＰアドレスと共にＩＰアドレス解放要求を送る。
【００６５】
ＩＰアドレス解放部２１０は、アドレス管理部２１１から受け取った通信用ＭＡＣアドレスと通信用ＩＰアドレスを用いて、ＤＨＣＰサーバ１０２１に対してＤＨＣＰＲＥＬＥＡＳＥメッセージを送り、通信用ＩＰアドレスの返却を行なう。
【００６６】
アドレス管理部２１１は、続いて、管理テーブルの通信用ＭＡＣアドレス、通信用ＩＰアドレスおよびリース時間を削除して図３の（ハ）に示すような状態にした後、攻撃対象ＭＡＣアドレスを通信用の行に移動させ、攻撃対象ＩＰアドレスとリース時間は削除し、図３の（イ）に示すような状態にする。
【００６７】
続いて、アドレス管理部２１１は、攻撃対象ＩＰアドレス更新部２０９に対して、更新停止要求を送り、攻撃対象ＩＰアドレス更新部２０９は、アドレス管理部２１１からの更新停止要求に対応して、定期的な更新処理を停止する。
【００６８】
続いて、アドレス管理部２１１は、ＩＰアドレス取得部２０７に対して、管理テーブルの通信用ＭＡＣアドレスと共にＩＰアドレス取得要求を送り、ＩＰアドレス取得部２０７は、アドレス管理部２１１からのＩＰアドレス取得要求に対応して、ＤＨＣＰ通信によりＩＰアドレスの割り当てを受け、その割り当てを受けたＩＰアドレスとリース時間を、アドレス管理部２１１に返す。
【００６９】
アドレス管理部２１１は、ＩＰアドレス取得部２０７から受け取ったＩＰアドレスとリース時間を管理テーブルに登録する。このときの管理テーブルは図３の（ロ）に示すようになる。この図３の（ロ）に示される通信用ＩＰアドレスは通信部２０２に通知され、通信を行う際に使用される。
【００７０】
また、アドレス管理部２１１は、管理テーブルのリース時間に基づき、リース更新間隔を決定し（通常はリース時間の半分）、決定したリース更新間隔と管理テーブル上の通信用ＩＰアドレスおよび通信用ＭＡＣアドレスをＩＰアドレス更新部２０８に送る。ＩＰアドレス更新部２０８は、アドレス管理部２１１から送られたこれらの情報を使用して、通信用ＩＰアドレスのリース更新のために、ＤＨＣＰサーバ１０２１との通信を定期的に行い、ＤＨＣＰサーバ１０２１との通信が正常にできなかった場合や、更新の拒否を受けたときには、アドレス管理部２１１にその旨を通知する。
【００７１】
以上の一連の処理により、攻撃終了後は、攻撃回避のためにリースされていたＩＰアドレスを返却することができ、ホームネットワーク１１０内の占有リソースを最低限に抑えることができる。
【産業上の利用可能性】
【００７２】
本発明に係る通信端末は、ネットワーク攻撃を受けたときに、ネットワークサービスの提供を停止せずに攻撃の回避が可能であり、かつネットワーク内の他の端末に攻撃先が切り換わることもないので、ＩＰネットワークに接続することによりネットワークサービスに対応することができる通信端末として有用である。
【符号の説明】
【００７３】
１０１  インターネット
１０２  ホームルータ
１０３  通信端末Ａ
１０４  通信端末Ｂ
１０５  通信端末Ｃ
１１０  ホームネットワーク
２０１  イーサネット（登録商標）Ｉ／Ｆ
２０２  通信部
２０３  攻撃検出部
２０４  一時ＭＡＣアドレス設定部
２０５  攻撃終了検出部
２０６  一時ＭＡＣアドレス解放部
２０７  ＩＰアドレス取得部
２０８  ＩＰアドレス更新部
２０９  攻撃対象ＩＰアドレス更新部
２１０  ＩＰアドレス解放部
２１１  アドレス管理部
２１２  ＭＡＣアドレス蓄積部
１０２１  ＤＨＣＰサーバ
【図１】
2011129968.tif 000003
【図２】
2011129968.tif 000004
【図３】
2011129968.tif 000005
【図４】
2011129968.tif 000006
【図５】
2011129968.tif 000007