(57)【要約】 【課題】  ファイアウォールを使用しない信頼性の高いネットワークを構築できるコンピュータサーバ装置を提供する。【解決手段】  ネットワークを介して外部から与えられるＩＰアドレスとポート番号の組合せにより利用する処理プロトコルを一意に決定し、処理プロトコルを一意に決定した後、ポート変更プロトコルによりポート番号を動的に変更する。具体的には、ポートスキャン時とアクセス時に使用するポート番号を変更する。これにより、悪意を持ったクライアントがポートスキャン時のポート番号によりセキュリティ・ホールを突こうとしても、番号が変更されているためにアクセスできない。従って不正なアクセスによるデータの盗用、改ざん等の実施を防止することができる。【選択図】        図１
2005182250.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介して外部から与えられるＩＰアドレスとポート番号の組合せにより利用する処理プロトコルを一意に決定し、
処理プロトコルを一意に決定した後、ポート変更プロトコルによりポート番号を動的に変更することを特徴とするコンピュータサーバ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークセキュリティの向上に関し、外部からの不正アクセスによるデータの盗用・改ざん防止を目的とし、特にファイアウォールを使用しないネットワークセキュリティ技術に関する。
【背景技術】
【０００２】
特許文献１にはネットワークセキュリティに関し、ファイアウォールの使用を前提としたネットワークセキュリティを向上させる方法について記載がある。ポート番号を動的に変更するセキュリティ方法の検討はなされていない。
【０００３】
【特許文献１】特開平９−２１８８３７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
信頼できる電子データの運用の点からネットワークのセキュリティの向上が望まれている。本発明者は、ファイアウォールを使用しないネットワークセキュリティの向上に関し検討した。従来は、パブリックなネットワーク（外部インターネット網）とプライベートなネットワーク（内部インターネット網）の間にファイアウォールを設置して内部インターネット網への不正アクセスを防止していた。しかし、ファイアウォールの購入及び設定が必要であり、その設定が複雑かつ困難であるという問題があった。更に、ファイアウォールに依存したセキュリティ方法では、一度内部インターネット網にアクセス可能となると、データの盗用や改ざん等が行われ易いという問題もあった。
【０００５】
本発明の目的は、ファイアウォールを設置することなく、信頼性の高いネットワークを構築できるコンピュータサーバ装置を提供することにある。
【課題を解決するための手段】
【０００６】
本願において開示される発明のうち代表的なものの概要を簡単に説明すれば下記の通りである。
【０００７】
上述した課題を解決するために、請求項１の発明は、ネットワークを介して外部から与えられるＩＰアドレスとポート番号の組合せにより利用する処理プロトコルを一意に決定し、処理プロトコルを一意に決定した後、ポート変更プロトコルによりポート番号を動的に変更することを特徴とするコンピュータサーバ装置である。
【０００８】
ここで処理プロトコルとは、ＩＰアドレスで決定されたサーバで利用する通信手順を意味する。例えば、Ｗｅｂで利用するＨＴＴＰ（ハイパーテキスト転送プロトコル）やメールで利用するＳＭＴＰ（シンプル・メール転送プロトコル）等である。当該サーバに対し、どの処理プロトコルを使用する通信を行いたいのかを指す番号がポート番号である。特に多くのコンピュータで利用される処理プロトコルについてはポート番号が予め決められている。例えば、ＦＴＰ（ファイル転送プロトコル）の場合はポート番号が２１、ＳＭＴＰの場合はポート番号が２５と決められている。
【０００９】
本発明では、クライアントがＩＰアドレスで一意に決定されるサーバと接続後、ポート番号を動的に変更する。具体的には、ポートスキャン時とポートアクセス時にポート番号を変更し、更に経時的にポート番号を変更する。悪意を持ったクライアントが不正アクセスによりデータの盗用、改ざん等を実施する場合、ポートスキャン時に接続したポート番号でセキュリティ・ホールを探し、セキュリティ・ホールを突こうとする。しかし、ここで得た情報を用いて、再度同じ番号で通信しようとしても、ポートスキャン時とはすでにポート番号が変更されているためにアクセスできない。これにより、悪意を持ったクライアントがセキュリティ・ホールを突く機会を失うため、不正アクセスを防止することができる。
【００１０】
尚、認証されたクライアントに対しては、最初の通信時にポート変更のプロトコルが確立するため、動的にポートが変更してもクライアントとサーバ間の通信は維持できる。要するに、認証されたクライアントとサーバ間では、同じポート変更プロトコルを共有している。
【００１１】
これにより、ファイアウォールを設置することなく、信頼性の高いネットワークを簡便に構築できる。
【発明の効果】
【００１２】
本願において開示される発明のうち代表的なものによって得られる効果を簡単に説明すれば下記の通りである。
【００１３】
すなわち、ファイアウォールを設置することなく、外部からの不正なアクセスを遮断できる。
【００１４】
また、複雑かつ困難な設定が不要なことから、信頼性の高いネットワークを簡便に構築できる。
【発明を実施するための最良の形態】
【００１５】
図１には本発明を適用するインターネット網の一例が示される。同図に示される外部インターネット網２０にはクライアント２１をはじめとする多数のクライアントが接続されている。内部インターネット網１０には種々の処理プロトコルを提供するコンピュータサーバ装置（単にサーバとも記す）１１が存在し、サーバ１１にはクライアント１２をはじめとする複数のクライアントが接続されている。
【００１６】
本発明では、クライアント２１がＩＰアドレスとポート番号で一意に決定されるサーバ１１と接続後、ポート番号を動的に変更することでクライアント２１がセキュリティ・ホールを突く機会を失わせ、不正アクセスを防止する。
【００１７】
図２は本発明を適用した場合としなかった場合の、クライアントとサーバを比較した図である。
【００１８】
通常のセキュリティ方法の場合について説明する。まず、サーバ１１に接続しようとするクライアント２１は、サーバ１１にｐｉｎｇコマンドを発行し、サーバがＩＰレベルで通信できるかどうかを確認する（Ａ）。ｐｉｎｇコマンドはサーバからの応答を要求するプログラムであるため、サーバ１１は、クライアント２１に応答する（Ａ−１）。
【００１９】
次にクライアント２１は、サーバ１１に対しポートスキャンを行ない、ポートの開閉状況を調査する（Ｂ）。これに対しサーバ１１は例えばポート２１が開いていることを返信する（Ｂ−１）。これにより悪意のあるクライアント２１は、サーバ１１のポート２１のセキュリティ・ホールを突いてサーバ１１のゲスト又は管理者の権限を得ることができ（Ｃ）、クライアント２１は、サーバ１１に保存されているデータの盗用、改ざん等の実施が可能となる環境を得たこととなる（Ｄ）。
【００２０】
次に、本発明のセキュリティ方法の場合について説明する。まず、サーバ１１に接続しようとするクライアント２１は、サーバ１１にｐｉｎｇコマンドを発行し、サーバがＩＰレベルで通信できるかどうかを確認する（Ａ）。サーバ１１は、クライアント２１に応答する（Ａ−１）。
【００２１】
次にクライアント２１は、サーバ１１に対しポートスキャンを行ない、ポートの開閉状況を調査する（Ｂ）。これに対しサーバ１１は例えばポートｎが開いていることを返信する（Ｂ−２）。これにより悪意のあるクライアント２１は、サーバ１１のポートｎを通じて再度通信を行なおうとする（Ｃ−１）。しかし、サーバ１１では、ポートｎをポート変更プロトコルによりポートｎ＋ｍに変更しているため、ポートｎにはアクセスできない（Ｃ−２）。この場合、悪意のあるクライアント２１は、サーバ１１のセキュリティ・ホールを突くことができず、サーバ１１に保存されているデータの盗用、改ざん等を実施する機会を得られない。
【００２２】
ポート番号の変更プロトコルは、サーバ側だけではなくクライアント側にも知らせる必要があるが、通信の際ではなく事前に決めておく方法と通信中に決める方法がある。
ポート番号の変更プロトコルは、既存のポート番号に、経時的に変化する値をパラメータとして組み合わせ、新たなポート番号を決定するプロトコルが考えられる。このプロトコルは次式で表すことができる。
Ａｉ＝Ｄｂ×ａ＋Ａｃ
【００２３】
ここでＡｉは新たなポート番号、Ａｃは既存のポート番号を表す。つまり、Ｄｂ×ａに依存して新たなポート番号Ａｉが変化する。このポート番号は経時的に変化する必要があるので、Ｄｂ又はａは経時的に変化する値とする必要がある。ここで、ａをパラメータとした場合、Ｄｂは日付やデータサイズなどにしてもよい。日付の場合は、例えば２００３年１月１日を０として、１日増える毎に値を１ずつ増やす等により数値化する。
【００２４】
ポート番号の変化の間隔は、不正アクセス防止の観点から、当該間隔が長期間では当該セキュリティ方法の効果が期待できない。逆に不必要に短期間では、処理が複雑で処理速度が低下する等のおそれがある。そこで、ｍｓ単位で定められるパラメータが適当と考える。例えばａを時間（ｍｓ）とすることができる。
【００２５】
また、ポートアドレスとして選択できる値の範囲を０〜ｎとすると、この数値は有限である。従って、当該式のＡｉ＞ｎとなった場合にはＡｉの一部の値のみを利用することにすれば、経時的にポート番号を変更させることができる。例えば、Ａｉの下４桁の値を利用する、Ａｉ＝ｎとなったら一旦Ａｉを０にリセットする等である。ＴＣＰセグメント中のポートを表す領域が１６ｂｉｔであるため、ＴＣＰ／ＩＰを利用する場合は必ずｎ≦２１６＝６５５３６となる。
【００２６】
以上本発明者によってなされた発明を実施形態に基づいて具体的に説明したが、本発明はそれに限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは言うまでもない。
【００２７】
例えば、ポート変更のプロトコルのパラメータは時間に限定されない。経時的に変化するデータ量をパラメータにした場合にも適用可能である。また、コンピュータサーバ装置に限られず、その他の通信機器、ネットワーク関連の製品にも適用できる。更に、ファイアウォールを使用したネットワークに適用することもできる。
【図面の簡単な説明】
【００２８】
【図１】本発明を適用するインターネット網の一例の説明図である。
【図２】本発明を適用した場合としなかった場合の、クライアントとサーバの比較図である。
【符号の説明】
【００２９】
１０  内部インターネット網
１１  サーバ
１２  クライアント（内部）
２０  外部インターネット網
２１  クライアント（外部）
【図１】
2005182250.tif 000003
【図２】
2005182250.tif 000004