(57)【要約】【課題】ＷＡＮからＬＡＮへの不正アクセスを防止する方法と、その方法を実行するインターネット接続ルータ等のネットワーク接続装置を提供する。【解決手段】インターネットなどのＷＡＮ側からの不正アクセスを自動的に検出するステップ（Ｓ１００、Ｓ２００）と、不正アクセスを検出したらＷＡＮとの接続の切断および再接続を、異なったＩＰアドレスが割り当てられるまで自動的に繰り返し行うことでＩＰアドレスを変更するステップ（Ｓ３００）を備える。【選択図】      図１
2004215112.tif 000002
【特許請求の範囲】
【請求項１】
広域ネットワークとローカルエリアネットワークとを相互に接続するネットワーク接続装置において、
広域ネットワークからの不正アクセスを検出する不正アクセス検出手段と、不正アクセスを検出した場合に、自己に割り当てられるＩＰアドレスを変更するＩＰアドレス変更手段とを備えることを特徴とするネットワーク接続装置。
【請求項２】
広域ネットワークとローカルエリアネットワークとを相互に接続するネットワーク接続装置において、
広域ネットワークからの不正アクセスを検出する不正アクセス検出手段と、不正アクセスを検出した場合に、広域ネットワークとの接続の切断および再接続を、異なったＩＰアドレスが割り当てられるまで繰り返し行うことでＩＰアドレスを変更するＩＰアドレス変更手段とを備えることを特徴とするネットワーク接続装置。
【請求項３】
広域ネットワークとローカルエリアネットワークとを相互に接続するネットワーク接続装置において、
広域ネットワークからの不正アクセスを検出する不正アクセス検出手段と、不正アクセスを検出した場合に、広域ネットワークとの接続の切断および再接続を所定回数繰り返し、当該所定回数内に異なったＩＰアドレスが割り当てられない場合には、広域ネットワークとの接続又は切断を選択するＩＰアドレス変更手段とを備えることを特徴とするネットワーク接続装置。
【請求項４】
前記不正アクセス検出手段は、過去所定時間以内に、同一ＩＰアドレスから、所定の種類以上の異なる宛先ポート番号あてのパケットを受信した場合に不正アクセスを受けたと判断することを特徴とする請求項１、２又は３に記載のネットワーク接続装置。
【請求項５】
前記不正アクセス検出手段は、受信したパケットのフィルタリング処理を実行した結果、ユーザにより指定された条件を満たした場合に不正アクセスを受けたと判断することを特徴とする請求項１、２又は３に記載のネットワーク接続装置。
【請求項６】
前記条件は、同一ＩＰアドレスから同一ポート番号宛のパケットが所定時間内に所定回数以上破棄されたときであることを特徴とする請求項５記載のネットワーク接続装置。
【請求項７】
前記不正アクセス検出手段は、受信したパケットの宛先情報のアドレス変換を実行する際に、ユーザにより指定された条件を満たした場合に不正アクセスを受けたと判断することを特徴とする請求項１、２又は３に記載のネットワーク接続装置。
【請求項８】
前記条件は、所定時間内に同一宛先ＩＰアドレス、同一宛先ポート番号のパケットを所定回数以上変換できなかったときであることを特徴とする請求項７記載のネットワーク接続装置。
【請求項９】
前記ＩＰアドレス変更手段は、ＰＰＰｏＥ  （Ｐｏｉｎｔ  ｔｏ  Ｐｏｉｎｔ  Ｐｒｏｔｏｃｏｌ  ｏｖｅｒ  Ｅｔｈｅｒｎｅｔ（登録商標））の切断、再接続を行うことによりＩＰアドレスの変更を行うことを特徴とする請求項１、２又は３に記載のネットワーク接続装置。
【請求項１０】
広域ネットワークとローカルエリアネットワークとを相互に接続するネットワーク接続装置において、
広域ネットワークから受信したパケットのＩＰヘッダを監視してポートスキャンを受けていることを検出して通知するパケット監視部と、
前記受信したパケットのフィルタリング処理を行い、破棄されるパケットに関する情報を通知するパケットフィルタ処理部と、
前記受信したパケットのアドレス変換処理を行い、破棄されるパケットに関する情報を通知するアドレス変換処理部と、
前記パケット監視部、前記パケットフィルタ処理部又は前記アドレス変換処理部から通知された情報を元に、広域ネットワークからの不正アクセスを検出して通知する不正アクセス監視部と、
前回接続時のＩＰアドレスを記憶するＩＰアドレス記憶部と、
前記不正アクセス監視部からの通知を受けた場合に、広域ネットワークとの接続を切断してＩＰアドレスを開放し、その後再接続を行うことで割り当てられた新たなＩＰアドレスと、前記ＩＰアドレス記憶部が記憶しているＩＰアドレスとを比較し、同じＩＰアドレスが割り当てられた場合には、異なったＩＰアドレスが割り当てられるまで前記切断と前記接続を繰り返すＰＰＰｏＥ接続制御部とを備えることを特徴とするネットワーク接続装置。
【請求項１１】
広域ネットワークからローカルエリアネットワークへの不正アクセスの防止方法において、
広域ネットワークからの不正アクセスを検出する第１のステップと、不正アクセスを検出した場合に、自己に割り当てられるＩＰアドレスを変更する第２のステップとから構成されることを特徴とする不正アクセス防止方法。
【請求項１２】
広域ネットワークからローカルエリアネットワークへの不正アクセスの防止方法において、
広域ネットワークからの不正アクセスを検出する第１のステップと、不正アクセスを検出した場合に、広域ネットワークとの接続の切断および再接続を、異なったＩＰアドレスが割り当てられるまで繰り返し行うことでＩＰアドレスを変更する第２のステップとから構成されることを特徴とする不正アクセス防止方法。
【請求項１３】
広域ネットワークからローカルエリアネットワークへの不正アクセスの防止方法において、
広域ネットワークからの不正アクセスを検出する第１のステップと、不正アクセスを検出した場合に、広域ネットワークとの接続の切断および再接続を所定回数繰り返し、当該所定回数内に異なったＩＰアドレスが割り当てられない場合には、広域ネットワークとの接続又は切断を選択する第２のステップとから構成されることを特徴とする不正アクセス防止方法。
【請求項１４】
前記第１のステップは、過去所定時間以内に、同一ＩＰアドレスから、所定の種類以上の異なる宛先ポート番号あてのパケットを受信した場合に不正アクセスを受けたと判断することを特徴とする請求項１１、１２又は１３に記載の不正アクセス防止方法。
【請求項１５】
前記第１のステップは、受信したパケットのフィルタリング処理を実行した結果、ユーザにより指定された条件を満たした場合に不正アクセスを受けたと判断することを特徴とする請求項１１、１２又は１３に記載の不正アクセス防止方法。
【請求項１６】
前記条件は、同一ＩＰアドレスから同一ポート番号宛のパケットが所定時間内に所定回数以上破棄されたときであることを特徴とする請求項１５記載の不正アクセス防止方法。
【請求項１７】
前記第１のステップは、受信したパケットの宛先情報のアドレス変換を実行する際に、ユーザにより指定された条件を満たした場合に不正アクセスを受けたと判断することを特徴とする請求項１１、１２又は１３に記載の不正アクセス防止方法。
【請求項１８】
前記条件は、所定時間内に同一宛先ＩＰアドレス、同一宛先ポート番号のパケットを所定回数以上変換できなかったときであることを特徴とする請求項１７記載の不正アクセス防止方法。
【請求項１９】
前記第２のステップは、ＰＰＰｏＥ  （Ｐｏｉｎｔ  ｔｏＰｏｉｎｔ  Ｐｒｏｔｏｃｏｌ  ｏｖｅｒ  Ｅｔｈｅｒｎｅｔ（登録商標））の切断、再接続を行うことによりＩＰアドレスの変更を行うことを特徴とする請求項１１、１２又は１３に記載の不正アクセス防止方法。
【請求項２０】
広域ネットワークからローカルエリアネットワークへの不正アクセスの防止方法において、
広域ネットワークから受信したパケットのＩＰヘッダを監視してポートスキャンを受けていることを検出して通知する第１のステップと、
前記受信したパケットのフィルタリング処理を行い、破棄されるパケットに関する情報を通知する第２のステップと、
前記受信したパケットのアドレス変換処理を行い、破棄されるパケットに関する情報を通知する第３のステップと、
前記第１のステップ、前記第２のステップ又は前記第３のステップにより通知された情報を元に、広域ネットワークからの不正アクセスを検出して通知する第４のステップと、
前記第４のステップにより通知を受けた場合に、広域ネットワークとの接続を切断してＩＰアドレスを開放し、その後再接続を行うことで割り当てられた新たなＩＰアドレスと、前回のＩＰアドレスとを比較し、同じＩＰアドレスが割り当てられた場合には、異なったＩＰアドレスが割り当てられるまで前記切断と前記接続を繰り返す第５のステップとから構成されることを特徴とする不正アクセスの防止方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）と、インターネット等のＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）とを接続するルータ等のネットワーク接続装置及び不正アクセスの防止方法に関する。
【０００２】
【従来の技術】
近年、ＡＤＳＬやＣＡＴＶによるインターネットへの常時接続が盛んになってきており、同時にインターネット側からＬＡＮへの不正アクセスなどセキュリティ問題が発生してきている。この問題の原因の一つには、常時接続により同じＩＰアドレスでのインターネット接続が長期間継続することがある。同じＩＰアドレスで長期間接続することは、外部からのアクセスを容易にするという利便性がある一方、ファイヤーウォールなどの対策を行わなければ、セキュリティが低下するという危険性を併せ持つ。しかしながら、本格的なファイヤーウォールは高価であり、個人やＳＯＨＯ向けのインターネット接続環境で使用することは現実的ではなかった。
【０００３】
この状態を克服するための技術としては、これまで次のようなものがあった。
【０００４】
１．ＬＡＮ側からインターネット側への通信が所定時間行われない場合、インターネットへの接続を自動あるいは手動で切断する。
【０００５】
２．インターネットへの常時接続の環境において、所定時間毎あるいはランダムな間隔で、ユーザに意識させること無く自動的に切断および再接続を行い、割り当てられるＩＰアドレスの変更を試みる（特開２００１−３４５８０２号公報）。
【０００６】
【特許文献１】
特開２００１−３４５８０２号公報
【０００７】
【発明が解決しようとする課題】
しかし、これらの従来技術には次のような問題点があった。
【０００８】
１の方法の問題点は、常時接続という利便性が損なわれているということである。特にインターネット側へサーバーを公開することが難しいという問題点がある。その理由は、ＬＡＮ側からの通信がない状態では、インターネットとの接続が切断されており、外部からのアクセスができないためである。
【０００９】
２の方法には次の３つの問題点がある。
【００１０】
第１の問題点は、切断および再接続を行っても、ＩＰアドレスを変更できないことがあることである。その理由は、切断をするとそのＩＰアドレスは開放（未使用）状態となるため、再接続を行うと再度同じＩＰアドレスが割り当てられることが考えられるためである。
【００１１】
第２の問題点は、インターネットへ接続している間に行われる不正アクセスに対しては無防備であるということである。その理由は、不正アクセスを検出して防御を行うものではないため、不正アクセスが行われても、次の切断のタイミングまでは接続が継続されてしまうためである。
【００１２】
第３の問題点は、不正アクセスが行われない時でもＩＰアドレスの変更が発生することである。特にインターネット側へサーバーを公開した場合、ＩＰアドレスが変更される度に、サーバー利用者に対し新しいＩＰアドレスを通知しなければならない。その理由は、不正アクセスの有無とは関係なく、所定時間毎またはランダムな間隔で自動的に切断および接続を行い、ＩＰアドレスの更新を行っているためである。
【００１３】
そこで、本発明は以上の問題点に鑑みなされたものであり、ＷＡＮからＬＡＮへの不正アクセスを防止する方法と、その方法を実行するインターネット接続ルータ等のネットワーク接続装置を提供することを目的とする。
【００１４】
【課題を解決するための手段】
上記目的を達成するためになされた本発明のネットワーク接続装置又は不正アクセス防止方法は、図１に示す通り、インターネットなどのＷＡＮ側からの不正アクセスを自動的に検出するステップ（Ｓ１００、Ｓ２００）と、不正アクセスを検出したらＷＡＮとの接続の切断および再接続を、異なったＩＰアドレスが割り当てられるまで自動的に繰り返し行うことでＩＰアドレスを変更するステップ（Ｓ３００）を備え、これらの処理を実行することにより不正アクセスに対するセキュリティを向上させるものである。また、本発明によるネットワーク接続装置は、上記の不正アクセス防止方法を実行するための手段を有するものである。
【００１５】
すなわち、本発明のネットワーク接続装置は、広域ネットワークとローカルエリアネットワークとを相互に接続するネットワーク接続装置において、広域ネットワークからの不正アクセスを検出する不正アクセス検出手段と、不正アクセスを検出した場合に、自己に割り当てられるＩＰアドレスを変更するＩＰアドレス変更手段とを備えることを特徴とする。
【００１６】
また、本発明の不正アクセス防止方法は、広域ネットワークからローカルエリアネットワークへの不正アクセスの防止方法において、広域ネットワークからの不正アクセスを検出する第１のステップと、不正アクセスを検出した場合に、自己に割り当てられるＩＰアドレスを変更する第２のステップとから構成されることを特徴とする。
【００１７】
【発明の実施の形態】
以下、本発明の実施の形態を図面を参照して説明する。
【００１８】
図２は、本発明の実施の形態にかかるネットワーク接続装置の全体構成を示すブロック図である。ネットワーク接続装置としては、例えば、ルータがある。
【００１９】
まず、本実施の形態にかかるネットワーク接続装置の特徴的な構成要素について、その概要を説明する。
【００２０】
図２においてパケット監視部１０は、ＷＡＮ３１から受信したＩＰパケット（以下、単にパケットと呼ぶ）のＩＰヘッダを監視してポートスキャンを受けていないかどうかを検出し、それを不正アクセス監視部８へ通知する。
【００２１】
また、パケットフィルタ処理部５はフィルタリング処理を、アドレス変換処理部６はアドレス変換処理を、それぞれＷＡＮ３１からの受信パケットに対して行い、その結果、破棄されるパケットに関する情報を不正アクセス監視部８へ通知する。
【００２２】
不正アクセス監視部８は通知された情報を元に、ＷＡＮ３１から不正アクセスを受けているかどうかを判断する。不正アクセス監視部８が不正アクセスを認識すると、ＰＰＰｏＥ接続制御部３は、ＷＡＮ３１との接続を切断してＩＰアドレスを開放し、その後再接続を行うことで新たなＩＰアドレスを割り当てられる。
【００２３】
また、ＩＰアドレス記憶部４は、前回接続時のＩＰアドレスを記憶する機能を具備している。前述の再接続において、ＰＰＰｏＥ接続制御部３は新たに割り当てられたＩＰアドレスとＩＰアドレス記憶部４が記憶しているＩＰアドレスを比較し、同じＩＰアドレスが割り当てられた場合には異なったＩＰアドレスが割り当てられるまで、ＷＡＮ３１との切断および接続を繰り返す。
【００２４】
以上が、本実施の形態にかかるネットワーク接続装置の特徴的な構成要素の概要である。
【００２５】
次に、図２を同様に参照して、本実施の形態にかかるネットワーク接続装置の構成を詳細に説明する。
【００２６】
図２によると、本実施の形態にかかるルータ１は、ＷＡＮ側端末接続部２、ＰＰＰｏＥ接続制御部３、ＩＰアドレス記憶部４、パケット監視部１０、パケットフィルタ処理部５、アドレス変換処理部６、不正アクセス監視部８、ＬＡＮ側端末収容部２０とから構成される。
【００２７】
ＷＡＮ側端末制御部２は、ＡＤＳＬモデム３０を介して、ＷＡＮ３１と接続される。ＷＡＮ３１はインターネットなどの広域ネットワークである。ＡＤＳＬモデム３０は、ＷＡＮ側端末制御部２とＷＡＮ３１との間で送受信されるパケットの電気的変換を行う。
【００２８】
ＬＡＮ側端末収容部２０は複数のＬＡＮ側端末を収容可能なインタフェース部で、本実施の形態ではＬＡＮ側端末Ａ２１とＬＡＮ側端末Ｂ２２の２台が接続されている。
【００２９】
次に、ルータ１内の構成を説明する。
【００３０】
ＰＰＰｏＥ接続制御部３は、ＷＡＮ側端末制御部２、ＡＤＳＬモデム３０を介してＷＡＮ３１に接続される。接続にはＰＰＰｏＥ（Ｐｏｉｎｔ  ｔｏ  Ｐｏｉｎｔ  Ｐｒｏｔｏｃｏｌ  ｏｖｅｒ  Ｅｔｈｅｒｎｅｔ（登録商標））プロトコルを使用する。ＰＰＰｏＥ接続制御部３はＰＰＰｏＥプロトコルの接続開始シーケンス中に、ＷＡＮ３１内のサーバーからＩＰアドレス、サブネットマスク、ＤＮＳアドレス、ゲートウェイアドレスなどを取得する。ＩＰアドレス記憶部４は、ＰＰＰｏＥ接続制御部３に接続され、ＰＰＰｏＥプロトコルにより取得したＩＰアドレスを記憶する。
【００３１】
ＷＡＮ３１から受信したパケットの処理経路は次のとおりである。
【００３２】
ＷＡＮ側端末制御部２はパケット監視部１０に接続され、ＡＤＳＬモデム３０から受信したパケットをパケット監視部１０へ送る。パケット監視部１０はパケットフィルタ処理部５へ接続される。
【００３３】
パケット監視部１０はＷＡＮ３１からポートスキャンを受けていないかの監視を行う。ポートスキャンとはＴＣＰ／ＵＤＰのオープンしているポートを調べるために、順々にＴＣＰ／ＵＤＰのあて先ポートを変えたパケットを送信して、その応答を待つという方法である。悪意を持ってネットワークにアクセスを行う場合、前もってポートスキャンを行うことも多いため、それを検出することは不正アクセスの監視方法として有効である。
【００３４】
パケット監視部１０は、ＷＡＮ側端末制御部２から受け取ったパケットがポートスキャンによるものでないか監視を行った後、パケットフィルタ処理部５へ送る。パケット監視部１０は、ポートスキャンを検出すると不正アクセス監視部８へ通知する。
【００３５】
パケットフィルタ処理部５は、パケット監視部１０およびアドレス変換処理部６に接続され、パケット監視部１０から受け取ったパケットのフィルタリング処理を行う。パケットフィルタとは、送信元ＩＰアドレス／ポート番号、あて先ＩＰアドレス／ポート番号、プロトコル種別などの条件により、条件に合致したパケットを破棄あるいは通過させる仕組みで、ルータなどの装置で一般的に用いられているものである。フィルタリング処理の条件は、ユーザによりあらかじめ設定できるようにしておく。
【００３６】
パケットフィルタ処理部５はフィルタリング処理を行った結果、通過させるパケットをアドレス変換処理部６へ送り、破棄されるパケットに関する情報を不正アクセス監視部８へ通知する。
【００３７】
アドレス変換処理部６は、パケットフィルタ処理部５とＬＡＮ側端末収容部２０に接続され、パケットフィルタ処理部５から受けとったパケットのアドレス変換処理を行う。アドレス変換処理には、ＮＡＰＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｐｏｒｔ  Ｔｒａｎｓｌａｔｉｏｎ）と呼ばれるアドレス変換技術を用いる。ＮＡＰＴは、ＷＡＮ３１内のサーバーから割り当てられた一つのＩＰアドレスを使用して、複数台のＬＡＮ側端末（本実施の形態では２台）が同時にＷＡＮ３１との通信を行うために一般的に使用されている技術である。
【００３８】
アドレス変換処理部６では、パケットフィルタ処理部５から受け取ったパケットに対しアドレス変換処理を行って、ＬＡＮ側端末収容部２０へ送る。アドレス変換処理が行えなかった場合には、そのパケットに関する情報を不正アクセス監視部８へ通知するともに、そのパケットを破棄する。
【００３９】
ＬＡＮ側端末収容部２０は、アドレス変換処理部６から受けたパケットを適切なＬＡＮ側端末に送信する。
【００４０】
ＷＡＮ３１へ送信されるパケットの処理経路は次のとおりである。
【００４１】
ＬＡＮ側端末収容部２０は、ＬＡＮ側端末Ａ２１またはＬＡＮ側端末Ｂ２２から受信したパケットを、アドレス変換処理部６に送る。アドレス変換処理部６は受け取ったパケットのアドレス変換処理を行い、パケットフィルタ処理部５へ送る。パケットフィルタ処理部５は、アドレス変換部６から受け取ったパケットのフィルタリング処理を行い、通過させるパケットをＷＡＮ側端末制御部２へ送る。ＷＡＮ側端末制御部２はパケットフィルタ処理部５から受け取ったパケットを、接続されているＡＤＳＬモデム３０へ送る。フィルタリング処理、アドレス変換処理は、前述のＷＡＮ３１から受信したパケットに対するものと通信の方向が異なるだけで、同等の技術を用いる。
【００４２】
不正アクセスを検出時の処理を行う部分の構成は以下のようになる。
【００４３】
不正アクセス監視部８は、パケット監視部１０、パケットフィルタ処理部５およびアドレス変換処理部６からの通知される情報を元に、不正アクセスがあったかどうかの判断を行う。判断の方法については、後述する。不正アクセス監視部８はまた、ＰＰＰｏＥ接続制御部３に接続され、不正アクセスを認識するとＰＰＰＰｏＥ接続制御部３に対しＰＰＰｏＥの切断および再接続の要求を行う。
【００４４】
ＰＰＰｏＥ接続制御部３はこの要求を受けると、ＷＡＮ３１との接続の切断および再接続を行い、割り当てられるＩＰアドレスを更新する。
【００４５】
本実施の形態の動作について説明する。
【００４６】
まず、ルータ１がＷＡＮ３１と接続を開始する時の動作を説明する。
【００４７】
図２を参照すると、ＷＡＮ３１とＬＡＮ側端末Ａ２１またはＬＡＮ側端末Ｂ２２の間で通信を開始する際、ＰＰＰｏＥ接続制御部３は、ＰＰＰｏＥに基く接続シーケンスを実行し、ＷＡＮ３１内のサーバーからＩＰアドレス、サブネットマスク、ＤＮＳアドレス、ゲートウェイアドレスなどを取得する。割り当てられたＩＰアドレスはＩＰアドレス記憶部４へ記憶しておく。
【００４８】
次に、通信中にＷＡＮ３１から受信したパケットが不正アクセスによるものかどうかの検出を行う動作について図２及び図３を参照して説明する。本実施の形態では、不正アクセスの検出を、ポートスキャン検出、フィルタリング、アドレス変換の３つの手段により行う。以下これら３つの手段の動作を説明する。
【００４９】
まず、ポートスキャン検出により不正アクセスの検出する場合の動作について説明する。
【００５０】
パケット監視部１０は、ＷＡＮ３１からＡＤＳＬモデム３０、ＷＡＮ側端末制御部２を経由して受信したパケットの送信元ＩＰアドレスとあて先ポート番号を、受信時刻と共にパケット受信記録として保存していく（図３のＳ１０１）。ただし、送信元ＩＰアドレス、あて先ＩＰアドレス／ポート番号が直前の受信パケットと同じパケットは記録しないようにする。これにより、ＦＴＰでのファイル転送などの通常の通信で、受信パケットがすべて記録されてしまいパケット受信記録がオーバーフローする、ということが避けられる。
【００５１】
パケット監視部１０は、ポートスキャンを受けたかどうかをチェックする（Ｓ１０２）。具体的には、パケット監視部１０は所定時間（例えば１０秒）毎にパケット受信記録をスキャンし、過去所定時間（例えば１分）以内に、同一ＩＰアドレスから所定種類（例えば１０種類）以上の異なるあて先ポート番号宛のパケットを受信していたら、ポートスキャンを受けたと判断して、不正アクセス監視部８へ通知する。パケット受信記録に記録された情報は、所定量（例えば１０００パケット）を超えたら、古いものからパケット監視部１０が消去する。
【００５２】
不正アクセス監視部８は、パケット監視部１０からポートスキャンの通知を受けたら、その時点で不正アクセスと認識する。これはポートスキャンが通常、悪意を持って行われ、１回でもポートスキャンがあれば、それは不正アクセスである可能性が非常に高いためである。不正アクセス監視部８が不正アクセスを認識するとＩＰアドレス変更処理を実行するが、それについては後述する。
【００５３】
次にフィルタリングにより不正アクセスを検出する場合の動作について説明する。
【００５４】
パケットフィルタ処理部５は、パケット監視部１０から受け取ったパケットに対し、ユーザにより設定された条件を元にフィルタリング処理を行い（Ｓ１０３）、その結果破棄されるパケットの送信元ＩＰアドレス、あて先ＩＰアドレス／ポート番号、プロトコル種別などの情報を不正アクセス監視部８へ通知する。不正アクセス監視部８は、通知された破棄パケットに関する情報をログに記録する（Ｓ１０７）。
【００５５】
フィルタリング処理で破棄されたパケットが不正アクセスによるものかどうかは、パケットフィルタの設定内容や使用環境などにより異なるため、１個の破棄パケットの情報では、それが不正アクセスによるものかどうかはわからない。そこで、不正アクセスとして認識する条件をユーザが設定できるようにしておくのが望ましい。例えば、同一ＩＰアドレスから同一ポート番号宛のパケットが所定時間（例えば５分）内に、所定回数（例えば１０回）以上破棄されたら、不正アクセスと認識する、というように設定する。不正アクセス監視部８は定期的にログを監視し（Ｓ１０８）、ユーザが設定した条件に合致する記録を発見したら、不正アクセスとして認識する。
【００５６】
次にアドレス変換により不正アクセスの検出する場合の動作について説明する。
【００５７】
図４は、アドレス変換処理部６がＮＡＰＴを使用してアドレス変換処理を行う動作の説明図である。ＬＡＮ側端末Ａ２１から送信パケット４１が送信されたとすると、送信パケット４１はＬＡＮ側端末収容部２０を経由して、アドレス変換処理部６へ渡される。アドレス変換処理部６は送信パケット４１の送信元ポート番号を、ユニークな番号（ここでは８５００とする）に変更し、送信元アドレスをＷＡＮ側から割り当てられたＩＰアドレス（ここでは１０．０．０．１とする）に変更して変換済み送信パケット４２を生成する。その後、変換済み送信パケット４２はパケットフィルタ処理部５、ＷＡＮ側端末制御部２、ＡＤＳＬモデム３０を経由してＷＡＮ３１へ送出される。アドレス変換処理部６は、送信パケット４１から変換済み送信パケット４２への変換情報を、変換テーブル４５へ記録しておく。
【００５８】
変換済み送信パケット４２への応答として、ＷＡＮ３１から受信パケット４３が受信されると、受信パケット４３はＡＤＳＬモデム３０、ＷＡＮ側端末制御部２、パケット監視部１０、パケットフィルタ処理部５を経由して、アドレス変換処理部６へ渡される。アドレス変換処理部６では変換テーブル４５を参照して、受信パケット４３を変換済み受信パケット４４に変換する。変換済み受信パケット４４はＬＡＮ側端末Ａ２１へ送られる。以上の動作を繰り返して、ＬＡＮ側端末とＷＡＮ３１との通信が行われる。
【００５９】
アドレス変換処理部６は変換テーブル４５を定期的に監視し、変換テーブル４５に記録されている個々の要素が最後に参照された時から所定時間（例えば１時間）経過すると、この要素を自動的に消去する。これによりＷＡＮ３１とＬＡＮ側端末との通信が完了した後も、変換テーブルに変換情報が残ったままとなるということが避けられる。
【００６０】
通常の通信はＬＡＮ側端末が起点となって開始されるため、通信中は変換テーブル４５にアドレス／ポート番号の変換情報が存在するはずである。したがって、変換テーブル４５に変換情報のないパケットは、不正アクセスによるものの可能性がある。そこで、アドレス変換処理部６は、アドレス変換テーブルを参照して（Ｓ１０５）、変換情報が存在しないパケットをＷＡＮ３１から受信したら、その受信パケットを破棄し（Ｓ１０９）、そのパケットの送信元ＩＰアドレス、あて先ポート番号、プロトコル種別などの情報を不正アクセス監視部８へ通知する。不正アクセス監視部８は、その情報をログに記録する（Ｓ１１０）。
【００６１】
不正アクセス監視部８はアドレス変換処理部６から通知された情報を元に不正アクセスかどうかを判断する。ただし、変換テーブル４５に変換情報のないパケットは、何らかの理由で通信が遅延し、変換テーブル４５の変換情報が消去された後にＬＡＮ側端末への応答が受信されたものであることも考えられる。そこで、不正アクセス監視部８は、アドレス変換処理部６から通知された情報をすべて不正アクセスによるものと認識するのではなく、不正アクセスとして認識する条件をユーザが設定できるようにしておくのが望ましい。例えば、所定時間（例えば１０分）内に同一ＩＰアドレス、同一あて先ポート番号のパケットを、所定回数（例えば１０回）以上変換できなかった記録がログにある場合に、不正アクセスとして認識するようにする（Ｓ１１１）。
【００６２】
最後に、不正アクセス監視部８が不正アクセスを認識した場合の動作について図２及び図５を参照して説明する。
【００６３】
不正アクセス監視部８は、前述の３つの不正アクセスを検出する手段により不正アクセスを認識すると、ＰＰＰｏＥの切断および再接続の要求をＰＰＰｏＥ接続制御部３に対して行う。ＰＰＰｏＥ接続制御部３はこの要求により、ＰＰＰｏＥを切断し（図５のＳ３０１）、その後、再接続を行う（Ｓ３０２）。この時、ＰＰＰｏＥ接続制御部３は、新たに割り当てられたＩＰアドレスと、ＩＰアドレス記憶部４に記憶されている前回のＩＰアドレスを比較する（Ｓ３０３）。前回と同一のＩＰアドレスが割り当てられていたら、さらにＰＰＰｏＥの切断および再接続を、異なるＩＰアドレスが割り当てられるまで繰り返す。ＰＰＰｏＥ接続制御部３は、前回と異なるＩＰアドレスが割り当てられたら、それをＩＰアドレス記憶部４へ通知する。ＩＰアドレス記憶部４は通知されたＩＰアドレスを前回のＩＰアドレスに代えて記憶する。
【００６４】
以上の動作により、ＷＡＮ３１からの不正アクセスを検出したら、ＷＡＮ３１内のサーバーから割り当てられるＩＰアドレスを変更する。もし、所定回数、切断および再接続を繰り返しても異なるＩＰアドレスが割り当てられなかった場合には、そのまま切断する（セキュリティ大）か、そのまま接続する（セキュリティ小）かを、ユーザが設定できるようにしてもよい。
【００６５】
次に、本発明の他の実施の形態について図面を参照して説明する。
【００６６】
図６を参照すると、他の実施の形態はＷＡＮ側端末制御部２にケーブルモデム５２が接続され、ＩＰアドレス、サブネットマスク、ＤＮＳアドレス、ゲートウェイアドレスを取得する方法としてＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）を使用する点で、図２の実施の形態と異なる。
【００６７】
ＤＨＣＰ制御部５１は通信に先立ち、ＤＨＣＰプロトコルを用いてＷＡＮ側のＤＨＣＰサーバよりＩＰアドレス、サブネットマスク、ＤＮＳアドレス、ゲートウェイアドレスなどの情報を取得し、ＩＰアドレスをＩＰアドレス記憶部４に保存する。不正アクセス監視部８が不正アクセスを認識したら、ＤＨＣＰ制御部５１はＩＰアドレスの開放、再取得要求を行い、ＩＰアドレスなどの情報を再取得する。この際、ＩＰアドレス記憶部４に保存されている前回のＩＰアドレスと同じアドレスが取得できた時は、他のアドレスが取得できるまで解放および再取得を行う。これ以外の動作は、図２の実施の形態と同等である。
【００６８】
この実施の形態は、ＩＰアドレスの取得にＤＨＣＰを使用したものであるが、ＷＡＮ３１内のサーバーに対し、ＩＰアドレスの割り当ておよび開放を自由に要求できるものであれば、他のプロトコルを使用したものでも本発明を適用できる。
【００６９】
【発明の効果】
第１の効果は、不正アクセスを検出したらＷＡＮとの接続を切断するため、その時点でそれ以上の不正アクセスを、一旦遮断することができることである。また、異なるＩＰアドレスが割り当てられるまで切断および再接続を繰り返すことにより、通信が再開した時にはＩＰアドレスが変更されているため、通信再開後の不正アクセスの可能性を減らすことができ、セキュリティが向上することである。
【００７０】
第２の効果は、不正アクセスを検出するまで自らはＷＡＮとの接続の切断を行わないため、不正アクセスの頻度が低い環境では、「従来の技術」の２に示した技術に比較してＩＰアドレスが変更されることが少なく、ＷＡＮ側へサーバーを公開することが容易になることである。
【図面の簡単な説明】
【図１】本発明の不正アクセス防止方法の概要を示すフローチャートである。
【図２】本発明のネットワーク接続装置の構成を示すブロック図である。
【図３】本発明の不正アクセス防止方法における不正アクセス検出処理を示すフローチャートである。
【図４】アドレス変換機構を示すブロック図である。
【図５】本発明における不正アクセス防止方法におけるＩＰアドレス変更処理を示すフローチャートである。
【図６】本発明のネットワーク接続装置の構成を示すブロック図である。
【符号の説明】
１  ルータ、２  ＷＡＮ側端末制御部、３  ＰＰＰ０Ｅ接続制御部、４  ＩＰアドレス記憶部、５  パケットフィルタ処理部、６  アドレス変換処理部、８  不正アクセス監視部、２０  ＬＡＮ側端末収容部、２１  ＬＡＮ側端末Ａ、２２ＬＡＮ側端末Ｂ、３０  ＡＤＳＬモデム、３１  ＷＡＮ、５１  ＤＨＣＰ制御部、５２  ケーブルモデム
【図１】
2004215112.tif 000003
【図２】
2004215112.tif 000004
【図３】
2004215112.tif 000005
【図４】
2004215112.tif 000006
【図５】
2004215112.tif 000007
【図６】
2004215112.tif 000008