(57)【要約】【課題】ワームが発信したと疑われるコネクション接続要求が送信されることを阻止することができる中継装置を提供することを目的とする。【解決手段】接続要求パケットおよび接続応答パケットを抽出するパケット抽出部１１ａと、送信した接続要求パケットの宛先を、対応する接続応答パケットが受信されるか、あるいは、一定時間経過するまで記憶しておく応答待ちデータベース２１と、この応答待ちデータベース２１に記憶されている宛先について、送信元アドレス毎に応答待ち宛先数を算出する応答待ち宛先数算出部１１ｂと、接続要求パケットの送信元アドレスの応答待ち宛先数が予め設定した閾値に達していた場合、この接続要求パケットを送信せずに廃棄する送信抑制部１１ｃとを備えている。【選択図】        図２
2008141398.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに端末を収容してパケットを中継する中継装置において、
中継するパケットの中から接続要求パケットおよび接続応答パケットを抽出するパケット抽出部と、
送信した接続要求パケットの宛先情報を、対応する接続応答パケットが受信されるか、あるいは、一定時間経過するまで、各接続要求パケット毎に記憶しておく宛先データベースと、
前記宛先データベースに記憶されている宛先情報について、送信元アドレス毎に応答待ち宛先数を算出する応答待ち宛先数算出部と、
接続要求パケットの送信元アドレスの応答待ち宛先数が予め設定した閾値に達していた場合、当該接続要求パケットを送信せずに廃棄する送信抑制部と
を備えたことを特徴とする中継装置。
【請求項２】
前記パケット抽出部は、前記接続要求パケットとして、ＡＲＰ  ＲｅｑｕｅｓｔパケットとＳＹＮフラグがＯＮでＡＣＫフラグがＯＦＦのＴＣＰパケットとを抽出し、
前記接続応答パケットとして、ＡＲＰ  ＲｅｐｌｙパケットとＳＹＮフラグがＯＮでＡＣＫフラグがＯＮのＴＣＰパケットとを抽出する
ことを特徴とする請求項１に記載の中継装置。
【請求項３】
前記パケット抽出部は、前記接続要求パケットとして、ＡＲＰ  ＲｅｑｕｅｓｔパケットとＩＣＭＰ  Ｅｃｈｏ  Ｒｅｑｕｅｓｔパケットとを抽出し、
前記接続応答パケットとして、ＡＲＰ  ＲｅｐｌｙパケットとＩＣＭＰ  Ｅｃｈｏ  Ｒｅｐｌｙパケットとを抽出する
ことを特徴とする請求項１に記載の中継装置。
【請求項４】
中継されるパケットがＵＤＰパケットの場合には宛先情報と送信元情報とを含めて前記宛先データベースに記録し、
前記パケット抽出部は、前記接続要求パケットして、前記宛先データベースに記録されてない新たなＵＤＰパケットとＡＲＰ  Ｒｅｑｕｅｓｔパケットとを抽出し、前記接続応答パケットとして、宛先情報と送信元情報とが入れ替わった記録があるＵＤＰパケットとＡＲＰ  Ｒｅｐｌｙパケットとを抽出する
ことを特徴とする請求項１に記載の中継装置。
【請求項５】
ネットワークに端末を収容してパケットを中継する中継装置の制御方法において、
中継するパケットの中から接続要求パケットおよび接続応答パケットを抽出するパケット抽出工程と、
送信した接続要求パケットの宛先情報を、対応する接続応答パケットが受信されるか、あるいは、一定時間経過するまで、各接続要求パケット毎に応答待ち宛先データベースに記憶する記憶工程と、
前記宛先データベースに記憶されている宛先情報について、送信元アドレス毎に応答待ち宛先数を算出する算出工程と、
接続要求パケットの送信元アドレスの応答待ち宛先数が予め設定した閾値に達していた場合、当該接続要求パケットを送信せずに廃棄する送信抑制工程と
を備えたことを特徴とする中継装置の制御方法。
【請求項６】
前記パケット抽出工程は、前記接続要求パケットとして、ＡＲＰ  ＲｅｑｕｅｓｔパケットとＳＹＮフラグがＯＮでＡＣＫフラグがＯＦＦのＴＣＰパケットとを抽出し、
前記接続応答パケットとして、ＡＲＰ  ＲｅｐｌｙパケットとＳＹＮフラグがＯＮでＡＣＫフラグがＯＮのＴＣＰパケットとを抽出する
ことを特徴とする請求項５に記載の中継装置の制御方法。
【請求項７】
前記パケット抽出工程は、前記接続要求パケットとして、ＡＲＰ  ＲｅｑｕｅｓｔパケットとＩＣＭＰ  Ｅｃｈｏ  Ｒｅｑｕｅｓｔパケットとを抽出し、
前記接続応答パケットとして、ＡＲＰ  ＲｅｐｌｙパケットとＩＣＭＰ  Ｅｃｈｏ  Ｒｅｐｌｙパケットとを抽出する
ことを特徴とする請求項５に記載の中継装置の制御方法。
【請求項８】
中継されるパケットがＵＤＰパケットの場合には宛先情報と送信元情報とを含めて前記宛先データベースに記録し、
、前記パケット抽出工程は、前記接続要求パケットして、前記宛先データベースに記録されてない新たなＵＤＰパケットとＡＲＰ  Ｒｅｑｕｅｓｔパケットとを抽出し、前記接続応答パケットとして、宛先情報と送信元情報とが入れ替わった記録があるＵＤＰパケットとＡＲＰ  Ｒｅｐｌｙパケットとを抽出する
ことを特徴とする請求項５に記載の中継装置の制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
発明は、ネットワークにおいて、ワームに感染した疑いのある端末を特定することができ、ワームが発信したと疑われるコネクション接続要求が送信されることを阻止することができる中継装置および中継装置の制御方法に関するものである。
【背景技術】
【０００２】
コンピュータウィルスの一種であるワームは、不特定多数の端末宛に接続要求を行うスキャニングによりネットワーク上に存在する端末を特定し、その端末に対して攻撃を行うといった動作を行うものが多い。そのため、ワームの感染拡大を抑制するためには、端末のコネクション接続動作からワームに感染した疑いのある端末を特定して、その端末を隔離したり、通信データをフィルタリングして、ワームのコネクション接続を妨害することが有効である。
【０００３】
従来のコネクション接続制限は、例えば、ネットワークにブロードキャストされるＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ：アドレス解決プロトコル）Ｒｅｑｕｅｓｔパケットをサーバで受信し、それと同一宛先へのＡＲＰ  Ｒｅｑｕｅｓｔパケットをサーバからも送信してＡＲＰ  Ｒｅｐｌｙパケットの受信有無を確認し、ＡＲＰ  Ｒｅｐｌｙパケットが返ってこないＡＲＰ  Ｒｅｑｕｅｓｔパケット送信数が一定数に達した端末や、中継装置からＩＣＭＰ（Ｉｎｔｅｒｎｅｔ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ）Ｄｅｓｔｉｎａｔｉｏｎ  Ｕｎｒｅａｃｈａｂｌｅパケットを転送してもらい、その数が一定数に達した端末をワーム感染端末と判断し、該当端末の通信パケットを廃棄するようにネットワーク内の中継装置に指示していた（例えば、特許文献１参照）。
【０００４】
また、他の方法として、端末において接続完了待ちのＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）コネクション数を一定周期で確認し、このコネクション数がしきい値を超えた場合にワームに感染したと判断して、該当するＴＣＰコネクションの接続要求を行っているデータベースを削除する方法も提案されている（例えば、特許文献２参照）。
【０００５】
【特許文献１】特開平２００５−２２８２３０号公報（第８−１０頁、図１）
【特許文献２】特開平２００４−３０２６５６号公報（第６−７頁、図４）
【発明の開示】
【発明が解決しようとする課題】
【０００６】
従来のコネクション接続制限は、ＴＣＰのコネクション接続要求を端末で監視して異常を検出していた。しかし、企業のネットワークにおいて多数の端末全てでコネクション接続制限を実施するのは運用コストが大きい。そのため、ネットワークに専用のサーバを設置して異常を検出する方法が提案されたが、この場合、ユニキャストで送信されるＴＣＰパケットでコネクション接続要求を監視することは困難のため、ＡＲＰ  ＲｅｑｕｅｓｔパケットとＡＲＰ  ＲｅｐｌｙパケットおよびＩＣＭＰ  Ｄｅｓｔｉｎａｔｉｏｎ  Ｕｎｒｅａｃｈａｂｌｅパケットを用いて異常を検出していた。
【０００７】
しかし、ルータを経由する宛先の場合、ＴＣＰがコネクション接続要求に用いる、ＳＹＮフラグがＯＮでＡＣＫフラグがＯＦＦのＴＣＰパケット（以後、ＴＣＰ  ＳＹＮパケットと呼ぶ）は、一旦ルータ宛に送信後に中継されるため、ＡＲＰによるアドレス解決を必要としない。更に、近年、セキュリティ上の理由から、ＩＣＭＰ  Ｄｅｓｔｉｎａｔｉｏｎ  Ｕｎｒｅａｃｈａｂｌｅパケットを送信しないルータや端末が多数存在するため、ＩＣＭＰ  Ｄｅｓｔｉｎａｔｉｏｎ  Ｕｎｒｅａｃｈａｂｌｅパケットでは、コネクション接続失敗を検出することが困難であるという問題点があった。
【０００８】
また、Ｌ２スイッチング技術の進歩により、これまでルータの適用が必要だった規模のネットワークが、Ｌ２スイッチのみで運用されることが可能となっている。ルータでネットワークが多数のブロードキャストドメインに細かく分割されている場合、ワームが送信する不特定多数のコネクション接続要求パケットの大多数はルータを経由することになるため、ＡＲＰによるアドレス解決を必要とせず、従って、ＴＣＰ  ＳＹＮパケットを監視することでほとんどのコネクション接続失敗を検出することができた。
【０００９】
しかし、大規模なブロードキャストドメインで構成されるネットワークでは、ワームの送信するコネクション接続要求パケットのかなりの量がＡＲＰによるアドレス解決に失敗するため、ＴＣＰ  ＳＹＮパケットのみを監視したのでは、コネクション接続失敗を効果的に検出することが困難であるという問題点があった。特に、感染端末の属するブロードキャストドメインから優先的に攻撃するワームの場合、ＴＣＰ  ＳＹＮパケットによるコネクション接続失敗でワーム感染が検出されたときには、大規模なブロードキャストドメイン内にワームの感染が広まってしまっていることが考えられる。
【００１０】
この発明は上述のような課題を解決するためになされたもので、コネクション接続の失敗を監視することにより、ワームに感染した疑いのある端末を特定して、ワームが発信したと疑われるコネクション接続要求が送信されることを阻止することができる中継装置および中継装置の制御方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
上記課題を解決するために、この発明に係る中継装置は、ネットワークに端末を収容してパケットを中継する中継装置において、中継するパケットの中から接続要求パケットおよび接続応答パケットを抽出するパケット抽出部と、送信した接続要求パケットの宛先情報を、対応する接続応答パケットが受信されるか、あるいは、一定時間経過するまで、各接続要求パケット毎に記憶しておく宛先データベースと、宛先データベースに記憶されている宛先情報について、送信元アドレス毎に応答待ち宛先数を算出する応答待ち宛先数算出部と、接続要求パケットの送信元アドレスの応答待ち宛先数が予め設定した閾値に達していた場合、当該接続要求パケットを送信せずに廃棄する送信抑制部とを備えたことを特徴とする。
【００１２】
また、この発明に係る中継装置の制御方法は、ネットワークに端末を収容してパケットを中継する中継装置の制御方法において、中継するパケットの中から接続要求パケットおよび接続応答パケットを抽出するパケット抽出工程と、送信した接続要求パケットの宛先情報を、対応する接続応答パケットが受信されるか、あるいは、一定時間経過するまで、各接続要求パケット毎に応答待ち宛先データベースに記憶する記憶工程と、宛先データベースに記憶されている宛先情報について、送信元アドレス毎に応答待ち宛先数を算出する算出工程と、接続要求パケットの送信元アドレスの応答待ち宛先数が予め設定した閾値に達していた場合、当該接続要求パケットを送信せずに廃棄する送信抑制工程とを備えたことを特徴とする。
【発明の効果】
【００１３】
この発明によれば、ネットワークに端末を収容してパケットを中継する中継装置において、中継するパケットの中から接続要求パケットおよび接続応答パケットを抽出し、送信した接続要求パケットの宛先情報を、対応する接続応答パケットが受信されるか、あるいは、一定時間経過するまで、宛先データベースに記憶しておき、宛先データベースに記憶されている宛先情報について、送信元アドレス毎に応答待ち宛先数を算出して、接続要求パケットの送信元アドレスの応答待ち宛先数が予め設定した閾値に達していた場合に、当該接続要求パケットを送信せずに廃棄する。このような方法によって、端末のコネクション接続の失敗を監視することにより、ワームに感染した疑いのある端末を特定することができ、この端末からワームが発信した疑いのあるコネクション接続要求が送信されることを阻止することができる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明に係る中継装置および中継装置の制御方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。
【００１５】
実施の形態１．
図１はこの発明に係る実施の形態１の中継装置を用いたネットワークのネットワーク構成図である。図１において、中継装置１１〜１Ｎはこの発明に係る中継装置である。応答待ちデータベース２１〜２Ｎは中継装置１１〜１Ｎにそれぞれ設けられ、接続応答の送信が期待されている接続要求が記録されているデータベースである。端末３１〜３ＭはＩＰ通信によりネットワークサービスをユーザに提供する端末である。内部サーバ４は内部ネットワーク７に設置され端末３１〜３Ｍにネットワークサービスを提供するサーバである。外部サーバ５は外部ネットワーク８に設置され端末３１〜３Ｍにネットワークサービスを提供するサーバである。ルータ６は内部ネットワーク７と外部ネットワーク８をレイヤ３で接続する中継装置である。内部ネットワーク７はブリッジやＬ２スイッチで接続された１つのブロードキャストドメインを構成するレイヤ２ネットワークである。外部ネットワーク８はインターネットやイントラネットといった複数のルータを用いて構成される大規模なレイヤ３ネットワークである。
【００１６】
図２は中継装置の機能構成を説明するための図１の中継装置１１の機能ブロック図である。中継装置１１は、宛先データベース２１の他に、機能的に分かれたパケット抽出部１１ａと、応答待ち宛先数算出部１１ｂと、送信抑制部１１ｃとを有している。パケット抽出部１１ａは、中継する多数のパケットの中から、接続要求パケットおよび接続応答パケットを抽出する（パケット抽出工程）。宛先データベース２１は、送信した接続要求パケットの情報（接続要求元ＩＰアドレス、接続要求先ＩＰアドレス、受信時刻）を記憶して（記憶工程）、対応する接続応答パケットが受信するか、あるいは、一定時間経過するとこの情報を削除する。応答待ち宛先数算出部１１ｂは、宛先データベース２１に記憶されている宛先について、送信元アドレス毎に応答待ち宛先数を算出する（算出工程）。送信抑制部１１は、接続要求パケットの送信元アドレスの応答待ち宛先数が予め設定した閾値に達していた場合、この接続要求パケットを送信せずに廃棄する（送信抑制工程）。
【００１７】
図３は実施の形態１の宛先データベース２１〜２Ｎのデータ構造図である。図２において、接続要求元ＩＰアドレス２１１には、接続要求パケットの送信元端末のＩＰアドレスが記載される。接続要求先ＩＰアドレス２１２には、接続要求パケットの宛先端末のＩＰアドレスが記載される。受信時刻２１３には接続要求パケットの受信時刻（送信時刻でもある）が記載される。
【００１８】
次に動作について説明する。まず、内部ネットワーク内の通信動作について、端末３１が内部サーバ４に接続要求をする場合で説明する。端末３１は内部サーバ４のアドレス解決をするためにＡＲＰ  Ｒｅｑｕｅｓｔパケットをブロードキャスト送信する。ＡＲＰ  Ｒｅｑｕｅｓｔパケットは中継装置１１で受信され、接続要求パケットと判定される。
【００１９】
中継装置１１は、ＡＲＰ  Ｒｅｑｕｅｓｔパケットから得られる端末３１のＩＰアドレスを接続要求元ＩＰアドレス２１１、同様にＡＲＰ  Ｒｅｑｕｅｓｔパケットから得られる内部サーバ４のＩＰアドレスを接続要求先ＩＰアドレス２１２として、応答待ちデータベース２１を検索する。もし、一致する情報があれば、このＡＲＰ  Ｒｅｑｕｅｓｔパケットは再送パケットであるので、該当情報の受信時刻２１３のみ修正し、内部ネットワーク７に中継する。
【００２０】
一方、検索した結果、該当情報がなかった場合、中継装置１１はＡＲＰ  Ｒｅｑｕｅｓｔパケットから得られる端末３１のＩＰアドレスが接続要求元ＩＰアドレス２１１である情報の登録数を応答待ちデータベース２１の中で調査する。そして、登録数が規定値に達していた場合はＡＲＰ  Ｒｅｑｕｅｓｔパケットを廃棄する。そうでない場合は、新たにＡＲＰ  Ｒｅｑｕｅｓｔパケットの情報を応答待ちデータベース２１に登録するとともに、このＡＲＰ  Ｒｅｑｕｅｓｔパケットを内部ネットワーク７に中継する。
【００２１】
内部サーバ４は、ＡＲＰ  Ｒｅｑｕｅｓｔパケットを受信すると端末３１宛にＡＲＰ  Ｒｅｐｌｙパケットを送信する。このパケットは、中継装置１１で受信され、接続応答パケットと判定される。中継装置１１は、ＡＲＰ  Ｒｅｐｌｙパケットから得られる端末３１のＩＰアドレスを接続要求元ＩＰアドレス２１１、同様にＡＲＰ  Ｒｅｐｌｙパケットから得られる内部サーバ４のＩＰアドレスを説億要求先ＩＰアドレス２１２として、応答待ちデータベース２１を検索して、一致する情報が登録されていた場合、その情報を削除する。そして、登録の有無にかかわらず、ＡＲＰ  Ｒｅｐｌｙパケットを端末３１に中継する。
【００２２】
端末３１では、ＡＲＰ  Ｒｅｐｌｙパケット受信によりアドレス解決が成功したので、次に、ＴＣＰ  ＳＹＮパケットを内部サーバ４宛に送信する。ＴＣＰ  ＳＹＮパケットは中継装置１１で受信され、接続要求パケットと判定され、ＡＲＰ  Ｒｅｑｕｅｓｔパケットと同様の処理が実施され、内部ネットワーク７に中継される。
【００２３】
ＴＣＰ  ＳＹＮパケットを受信した内部サーバ４は、ＳＹＮフラグがＯＮでＡＣＫフラグがＯＮのＴＣＰパケット（以後、ＴＣＰ  ＳＹＮ＋ＡＣＫパケットと呼ぶ）を端末３１宛に送信する。ＴＣＰ  ＳＹＮ＋ＡＣＫパケットは中継装置１１で受信され、接続応答パケットと判定され、ＡＲＰ  Ｒｅｐｌｙパケットと同様の処理が実施され、端末３１に中継される。
【００２４】
ＴＣＰ  ＳＹＮ＋ＡＣＫパケットを受信した端末３１は、以後、内部サーバ４との通信を継続する。継続以後の通信パケットも中継装置１１を経由するが、これらのパケットは接続要求パケットまたは接続応答パケットとは判別されないため、応答待ちデータベース２１に登録されることなくそのまま中継される。
【００２５】
次に、外部ネットワークとの通信動作について、端末３１が外部サーバ５に接続要求をする場合で説明する。端末３１は外部サーバ５と通信する場合、ルータ６のＭＡＣアドレス宛にＩＰパケットを送信する。そのため端末３１はＡＲＰ  Ｒｅｑｕｅｓｔパケットを送信せず、ＴＣＰ  ＳＹＮパケットの送信から接続処理を開始する。以後の通信は、端末３１と内部サーバ４の場合と全く同様に処理される。
【００２６】
次に、タイムアウトによる応答待ちデータベース２１のメンテナンス動作について説明する。ネットワーク異常やサーバがダウンしていた場合、接続要求パケットが中継装置１１で受信されないため、応答待ちデータベース２１に登録された情報が削除されない。そのため、中継装置１１では定期的に応答待ちデータベース２１の情報の受信時刻２１３を確認し、規定時間以上経過している情報を削除する。
【００２７】
次に、端末３１がワームに感染し、不特定多数の宛先に対して接続要求パケットの送信を行う場合の動作について説明する。端末３１が内部ネットワーク７内の実際には存在しないサーバ宛に接続要求を行う場合、まず、ＡＲＰ  Ｒｅｑｕｅｓｔパケットを送信する。このＡＲＰ  Ｒｅｑｕｅｓｔパケットは、中継装置１１において内部サーバ４宛のＡＲＰ  Ｒｅｑｕｅｓｔパケットと全く同様に処理され、応答待ちデータベース２１に登録される。このＡＲＰ  Ｒｅｑｕｅｓｔパケットに対応するＡＲＰ  Ｒｅｐｌｙパケットは、接続先のサーバが存在しないため、中継装置１１においてタイムアウトによるメンテナンス動作が行われるまで削除されない。
【００２８】
また、端末３１が外部ネットワーク８の実際には存在しないサーバ宛に接続要求を行う場合、ＴＣＰ  ＳＹＮパケットを送信する。このＴＣＰ  ＳＹＮパケットは外部サーバ５宛のＴＣＰ  ＳＹＮパケットと全く同様に処理され、応答待ちデータベース２１に登録される。このＴＣＰ  ＳＹＮパケットに対応するＴＣＰ  ＳＹＮ＋ＡＣＫパケットは、接続先のサーバが存在しないため、中継装置１１においてタイムアウトによるメンテナンス動作が行われるまで削除されない。
【００２９】
このように、実際には存在しない端末宛の接続要求パケットの送信を短時間に繰り返すと、応答待ちデータベース２１内の端末３１を接続要求元ＩＰアドレスとする登録数が増加し、最終的に規定値に達する。以後、タイムアウトによる応答待ちデータベース２１のメンテナンスにより、端末３１を接続要求元ＩＰアドレスとする情報が削除されるまで、接続要求パケット、すなわち、ＡＲＰ  ＲｅｑｕｅｓｔパケットとＴＣＰ  ＳＹＮパケットは、中継装置１１において廃棄される。
【００３０】
以上のように、応答待ちの接続要求を応答待ちデータベースとして記録しておき、端末毎の登録数が規定値に達した場合、以後の接続要求パケットを廃棄するようにしているので、ワームに感染した端末の送信する不特定多数の宛先に送信される接続要求パケットの中継を直ちに抑制することができる。
【００３１】
また、接続要求パケットとして、ＡＲＰ  ＲｅｑｕｅｓｔパケットとＴＣＰ  ＳＹＮパケットを用いているので、ルータを経由しない接続要求とルータを経由する接続要求の両方を監視することができる。
【００３２】
また、タイムアウトによる応答待ちデータベースのメンテナンスで規定時間以上経過した情報の削除を行っているので、ワームに感染したため接続要求の中継が行われなくなった端末が、ワームの駆除により正常な状態に戻った場合、中継装置１１について何の設定を行わずとも時間経過により自動的に接続要求の中継が再開できる。
【００３３】
尚、以上の例では、接続要求パケットとしてＡＲＰ  ＲｅｑｕｅｓｔパケットＴＣＰ  ＳＹＮパケット、接続応答パケットとしてＡＲＰ  ＲｅｐｌｙパケットとＴＣＰ  ＳＹＮ＋ＡＣＫパケットを用いたが、更に接続要求パケットとしてＩＣＭＰ  Ｅｃｈｏ  Ｒｅｑｕｅｓｔパケット、接続応答パケットとしてＩＣＭＰ  Ｅｃｈｏ  Ｒｅｐｌｙパケットを追加すると、スキャニングにＩＣＭＰ  Ｅｃｈｏを用いるワームにも対応することができる。
【００３４】
以上の実施の形態１では、ＩＰアドレスのみで接続要求パケットに対応する接続応答パケットを判別するようにしたものであるが、次に、接続要求パケットがＴＣＰ  ＳＹＮパケットの場合、ＴＣＰポート番号によりＴＣＰ  ＳＹＮパケットに対応するＴＣＰ  ＳＹＮ＋ＡＣＫパケットを判別する実施の形態を示す。
【００３５】
実施の形態２．
図４はこの発明に係る実施の形態２の中継装置の宛先データベースのデータ構造図である。図４において、接続要求元ＩＰアドレス２１１には、接続要求パケットの送信元端末のＩＰアドレスが記載される。接続要求先ＩＰアドレス２１２には、接続要求パケットの宛先端末のＩＰアドレスが記載される。受信時刻２１３には接続要求パケットの送信時刻が記載される。プロトコル番号１４には接続要求パケットのＩＰヘッダのプロトコル番号が記述される。接続要求先ポート番号２１５にはＴＣＰ  ＳＹＮパケットの宛先ＴＣＰポート番号が記述される。
【００３６】
次に動作について説明する。本実施の形態では、実施の形態１と同様の動作を行うが、応答待ちデータベース２１〜２Ｎに対する検索および登録動作のみが異なる。
【００３７】
まず、ＡＲＰ  ＲｅｑｕｅｓｔパケットとＡＲＰ  Ｒｅｐｌｙパケット受信時に行われる同一情報の検索処理では、実施の形態１では接続要求元ＩＰアドレス２１１と接続要求元ＩＰアドレス２１２が一致するものを検索していたが、実施の形態２では、更にプロトコル番号２１４が一致するものを検索する。
【００３８】
次に、ＡＲＰ  Ｒｅｑｕｅｓｔパケットの登録では、接続要求元ＩＰアドレス２１１と接続要求元ＩＰアドレス２１２に加え、プロトコル番号２１５を登録する。次に、ＴＣＰ  ＳＹＮパケットとＴＣＰ  ＳＹＮ＋ＡＣＫパケット受信時に行われる同一情報の検索処理では、実施の形態１では接続要求元ＩＰアドレス２１１と接続要求元ＩＰアドレス２１２が一致するものを検索していたが、実施の形態２では、更にプロトコル番号２１４と接続要求先ポート番号２１５が一致するものを検索する。ＴＣＰ  ＳＹＮパケットでは接続要求先ポート番号２１５としてＴＣＰの宛先ポート番号を使用する。ＴＣＰ  ＳＹＮ＋ＡＣＫパケットでは接続要求先ポート番号２１５としてＴＣＰの送信元ポート番号を使用する。これ以外の処理以外は、実施の形態２は実施の形態１と全く同様の処理を行う。
【００３９】
以上のように、応答待ちデータベースにＩＰアドレスのほか、ＴＣＰのポート番号を記録しているので、同一サーバへのポートスキャニング動作を行うワームの接続要求パケットの中継を直ちに抑制することができる。
【００４０】
尚、以上の例では、接続要求パケットとしてＡＲＰ  ＲｅｑｕｅｓｔパケットＴＣＰ  ＳＹＮパケット、接続応答パケットとしてＡＲＰ  ＲｅｐｌｙパケットとＴＣＰ  ＳＹＮ＋ＡＣＫパケットを用いたが、更に接続要求パケットとしてＩＣＭＰ  Ｅｃｈｏ  Ｒｅｑｕｅｓｔパケット、接続応答パケットとしてＩＣＭＰ  Ｅｃｈｏ  Ｒｅｐｌｙパケットを追加すると、スキャニングにＩＣＭＰ  Ｅｃｈｏを用いるワームにも対応できる。
【００４１】
実施の形態３．
以上の実施の形態では、ＡＲＰパケット、ＴＣＰパケット、およびＩＣＭＰパケットを使用したワームのスキャニングに対応したものであるが、次に、ＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）パケットによるワームのスキャニングにも対応することができる実施の形態を示す。
【００４２】
図５は、この発明に係る実施の形態３の中継装置の宛先データベースのデータ構造図である。図３において、接続要求元ＩＰアドレス２１１には、接続要求パケットの送信元端末のＩＰアドレスが記載される。接続要求先ＩＰアドレス２１２には、接続要求パケットの宛先端末のＩＰアドレスが記載される。受信時刻２１３には接続要求パケットの送信時刻が記載される。プロトコル番号１４には接続要求パケットのＩＰヘッダのプロトコル番号が記述される。接続要求先ポート番号２１５にはＴＣＰ  ＳＹＮパケットの宛先ＴＣＰポート番号もしくはＵＤＰポート番号が記述される。応答フラグ２１６にはプロトコル番号２１４がＵＤＰの場合に応答有無が記録される。
【００４３】
次に動作について説明する。ＡＲＰパケット、ＴＣＰパケット、ＩＣＭＰパケットは実施の形態１と同様の処理となるので、ＵＤＰパケットの処理について、端末３１と外部サーバ５の通信を例に説明する。
【００４４】
まず、端末３１がＵＤＰパケットを送信すると中継装置１１で受信される。ＵＤＰパケットの場合、ＵＤＰヘッダ情報では該当パケットが接続要求パケットか接続応答パケットか、それ以外のパケットかを判別することができないため、端末３１のＩＰアドレスを接続要求元ＩＰアドレス２１１、外部サーバ５のＩＰアドレスを接続要求先ＩＰアドレス２１２、ＵＤＰの宛先ポート番号を接続要求先ポート番号２１５として、プロトコル番号２１４がＵＤＰである情報が応答待ちデータベース２１に登録されているか検索する。該当するエントリが見つかった場合、そのＵＤＰパケットは接続要求パケットの再送パケットもしくは接続完了後のパケットと判断して、受信時刻２１３のみ修正し、内部ネットワーク７に中継する。
【００４５】
該当情報がなかった場合、中継装置１１はＵＤＰパケットの送信元ＩＰアドレスが接続要求元ＩＰアドレス２１１で応答フラグがＯＦＦである情報の登録数を応答待ちデータベース２１で調査する。登録数が規定値に達していた場合はＵＤＰパケットを廃棄する。そうでない場合は、新たにＵＤＰパケットを応答待ちデータベース２１に応答フラグ２１６をＯＦＦで登録し、内部ネットワーク７に中継する。
【００４６】
中継装置１１は、外部サーバ５から端末３１宛のＵＤＰパケットを、内部ネットワーク７を経由して受信すると、接続要求元ＩＰアドレス２１１を端末３１のＩＰアドレス、接続要求先ＩＰアドレス２１２を外部サーバ５のＩＰアドレス、接続要求先ポート番号２１５をＵＤＰの送信元ポート番号として、プロトコル番号２１４がＵＤＰである情報を応答待ちデータベース２１で検索する。
【００４７】
該当するエントリが見つかった場合、その情報の応答フラグ２１６をＯＮにして、ＵＤＰパケットを端末３１に中継する。このとき、情報の削除は行わない。そして、ＵＤＰパケットを受信した端末３１は、以後、継続して外部サーバ５と通信を行うが、これらのパケットは、応答待ちデータベース２１６の該当する情報の応答フラグ２１６がＯＮとなっているため、接続要求パケットとはみなされず、そのまま中継される。
【００４８】
以上のように、応答待ちデータベースに接続完了したＵＤＰ通信の接続要求元ＩＰアドレスと接続要求先ＩＰアドレスおよび接続要求先ポート番号を記録しておき、接続要求パケットして、宛先データベースに記録されてない新たなＵＤＰパケットとＡＲＰ  Ｒｅｑｕｅｓｔパケットとを抽出し、接続応答パケットとして、宛先情報と送信元情報とが入れ替わった記録があるＵＤＰパケットとＡＲＰ  Ｒｅｐｌｙパケットとを抽出する。このように、記録のないパケットを接続要求パケット、記録のあるパケットをそれ以外とすることで、ＵＤＰによる接続要求パケットを上位層のプロトコルを精査せずに判定して接続要求数を確認および送信制御できるので、ＵＤＰを用いたスキャニング動作を行うワームの接続要求パケットの中継を直ちに抑制することができる。
【産業上の利用可能性】
【００４９】
この発明はネットワークに用いられる中継装置に適用されて好適なものであり、特に大規模なブロードキャストドメインで構成されるネットワークの中継装置に適用されて最適なものである。
【図面の簡単な説明】
【００５０】
【図１】この発明に係る実施の形態１の中継装置を用いたネットワークのネットワーク構成図である。
【図２】中継装置の機能構成を説明するための図１の中継装置の機能ブロック図である。
【図３】この発明に係る実施の形態１の中継装置の宛先データベースのデータ構造図である。
【図４】この発明に係る実施の形態２の中継装置の宛先データベースのデータ構造図である。
【図５】この発明に係る実施の形態３の中継装置の宛先データベースのデータ構造図である。
【符号の説明】
【００５１】
１１〜１Ｎ  中継装置
１１ａ  パケット抽出部
１１ｂ  応答待ち宛先数算出部
１１ｃ  送信抑制部
２１〜２Ｎ  宛先データベース
３１〜３Ｎ  端末
４  内部サーバ
５  外部サーバ
６  ルータ
７  内部ネットワーク
８  外部ネットワーク
２１１  接続要求元ＩＰアドレス
２１２  接続要求先ＩＰアドレス
２１３  受信時刻
２１４  プロトコル番号
２１５  接続要求先ポート番号
２１６  応答フラグ
【図１】
2008141398.tif 000003
【図２】
2008141398.tif 000004
【図３】
2008141398.tif 000005
【図４】
2008141398.tif 000006
【図５】
2008141398.tif 000007