(57)【要約】【課題】ネットワーク端末が必要としないＩＰパケットを自動的に認識し、廃棄処理をおこなうフィルタリング方法、および機器を提供することを目的とする。【解決手段】ＩＰパケットを検出するステップＳ１０１０と、検出したＩＰパケットがＩＣＭＰパケットかどうかを判断するステップＳ１０２０と、検出したＩＣＭＰパケットが宛先到達不能メッセージかどうかを認識するステップＳ１０３０と、検出した宛先到達不能メッセージの理由がネットワーク端末が処理できないことによるものかどうかを判断するステップＳ１０４０と、検出したＩＣＭＰパケットから廃棄すべきＩＰパケットの情報を取得するステップＳ１０５０と、取得した廃棄すべきＩＰパケットの情報をフィルタ装置に設定するステップＳ１０６０を有することで、課題を解決する。【選択図】図４
2005051588.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク機器が処理することができない処理不能パケットを受信したときに前記処理不能パケットの送信元に対して送信するエラー通知パケットを検知するステップと、
前記エラー通知パケットに記載されている前記処理不能パケットの情報を取得するステップと、
前記処理不能パケットの情報に該当するパケットを廃棄するステップ
を実行することを特徴とする自動フィルタリング方法。
【請求項２】
処理不能パケットの情報に該当するパケットを廃棄するステップは、前記処理不能パケットの送信元に対するエラー通知パケットの送信回数を記録し、前記送信回数が予め定められた回数を超えた場合、前記処理不能パケットの送信元から送られてくるパケットを全て廃棄することを特徴とする請求項１に記載の自動フィルタリング方法。
【請求項３】
前記エラー通知パケットは、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ）であることを特徴とする請求項１または２に記載の自動フィルタリング方法。
【請求項４】
ネットワークに接続するための接続部と、
前記接続手段から入力されるパケットの中から予め定められた条件に該当するパケットを廃棄するフィルタ部と、
前記フィルタ部の条件に該当しなかったパケットを処理する制御部と、
前記制御部から出力されるパケットの中から前記エラー通知パケットを監視し、前記エラー通知パケットに記載されている前記処理不能パケットの情報を取得し、前記フィルタ部に対して前記処理不能パケットを廃棄するように設定する検出部
を備えることを特徴とする自動フィルタリング機器。
【請求項５】
前記検出部は、前記処理不能パケットの送信元に対するエラー通知パケットの送信回数を記録する手段を備え、前記送信回数が予め定められた回数を超えた場合、前記フィルタ部に前記処理不能パケットの送信元から送られてくるパケットを全て廃棄するように設定することを特徴とする請求項４記載の自動フィルタリング機器。
【請求項６】
前記エラー通知パケットは、ＩＣＭＰ（Ｉｎｔｅｒｎｅｔ  Ｃｏｎｔｒｏｌ  Ｍｅｓｓａｇｅ  Ｐｒｏｔｏｃｏｌ）であることを特徴とする請求項４または５に記載の自動フィルタリング機器。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続された機器に対する不正なアクセスに対するため、不要なＩＰパケットを自動的に認識しフィルタリングする方法、および機器を提供する。
【背景技術】
【０００２】
近年、ネットワーク技術の進展に伴い、各家庭でも常時インターネットに接続できる環境が増大している。それに伴い、ＷＷＷ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ）等の各種サーバを自宅のＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）上に構築し、宅外から宅内のＰＣにアクセスできるようにしている家庭も増加している。反面、常時インターネットに接続しているために、悪意を持つ人間からの不正アクセスを受ける危険が高まっている。特にＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃と呼ばれる攻撃は、業務用のサーバをも停止させるほど被害が大きく、その対策方法もいくつか考案されている（例えば特許文献１参照。）。
【０００３】
しかしながら、上記特許文献１などで提案されている方法は、プロバイダなどのサービス業者が行うような大規模なものである。各家庭向けの対策としては、家庭用ルータ製品に標準的に備えられているＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）パケットのフィルタリング機能を用いることが一般的な方法となる。ＩＰパケットのフィルタリング機能を用いれば、特定のパケットのみ外部から通過、または廃棄することが可能となる。例えば、通常ＷＷＷに使われるＨＴＴＰ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）のパケットのみを通過させる場合、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）の宛先ポート番号が８０番のパケットのみを通過させ、その他の外部からのパケットを廃棄するように設定すればよい。
【特許文献１】特開２００２−１５８６６０号公報（第３−４項、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、ＩＰパケットのフィルタリング機能を用いるためには、ＩＰに関する知識がある程度必要となり、誰にでも簡単に設定できるというものではない。すなわち、宅内に構築するサーバが何番のポートを使用しているかを把握しておかなくてはならない。さらに、新しいサーバを構築するたびに設定を更新する必要が生じる。
【０００５】
そこで、本発明は外部からアクセスされるネットワーク機器が不要とするＩＰパケットを自動的に判断し、フィルタリングする方法、および機器を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上記課題を解決するために本発明は、ネットワーク機器が処理することができない処理不能パケットを受信したときに前記処理不能パケットの送信元に対して送信するエラー通知パケットを検知するステップと、前記エラー通知パケットに記載されている前記処理不能パケットの情報を取得するステップと、前記処理不能パケットの情報に該当するパケットを廃棄するステップを持つことを特徴とする自動フィルタリング方法である。
【０００７】
これによれば、使用者はＩＰに関する知識が乏しくても、自動的に不要なＩＰパケットが認識され廃棄することで、不正アクセスを防ぐことができる。
【０００８】
また、本発明は、前記処理不能パケットの送信元に対するエラー通知パケットの送信回数を記録し、前記送信回数が予め定められた回数を超えた場合、前記処理不能パケットの送信元から送られてくるパケットを全て廃棄することを特徴とする請求項１に記載の自動フィルタリング方法である。
【０００９】
これによれば、不正なアクセスを行っている機器を判別することができるようになり、その機器からのアクセスを全て禁止し、不正アクセスを防ぐことができる。
【発明の効果】
【００１０】
以上、説明したところから明らかなように、本発明はＩＣＭＰメッセージを解析し、ネットワーク端末にとって不要なＩＰパケットを自動的にフィルタリングする仕組みを備えることで、ネットワーク端末の負荷を減らすとともに、不正アクセスを防ぐことができる。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の実施の形態を添付面に基づいて詳述する。
【００１２】
（実施の形態１）
図１は本発明の実施の形態に係るネットワーク端末１００の構成図を示す。ネットワーク端末１００は、たとえばＰＣや、ネットワーク機能を備えたＴＶやビデオデッキなどの家庭電化製品などであり、宅内に随時設置されている。
【００１３】
ネットワーク端末１００は、ネットワークインタフェース１１０を備え、このネットワークインタフェース１１０を用いてネットワークに接続されている。制御部１２０は、ネットワークインタフェース１１０を介して外部から入力されるＩＰパケットを処理し、ネットワークインタフェース１１０を介して外部にＩＰパケットを出力するためのソフトウェアプログラムを実行している。フィルタ部１３０は、ネットワークインタフェース１１０と制御部１２０の間に位置し、既定の設定に従ってネットワークインタフェース１１０から制御部１２０へ送信されるＩＰパケットを廃棄する。ＩＣＭＰ検出部１４０は、制御部１２０とネットワークインタフェース１１０の間に位置し、制御部１２０からネットワークインタフェース１１０へ送信されるＩＣＭＰパケットを検出し、検出したＩＣＭＰパケットからフィルタリング条件を特定し、フィルタ部１３０に対して設定する。ＩＣＭＰ、およびＩＣＭＰ検出部１４０については、後ほど詳しく説明する。
【００１４】
なお、フィルタ部１３０およびＩＣＭＰ検出部１４０は、ネットワークインタフェース１１０の機能の一部としてハードウェアとして実装されてもよいし、制御部１２０上で動作するソフトウェアとして実装されてもよい。
【００１５】
図２はフィルタ部１３０の設定例を表している。
【００１６】
フィルタ部１３０では、フィルタ部１３０の設定表２００に従ってフィルタリング処理を行っている。フィルタ部１３０の設定表２００において、ＩＰヘッダに含まれるプロトコル番号２１２、送信元ＩＰアドレス２１３、および宛先ＩＰアドレス２１４と、ＴＣＰ、またはＵＤＰヘッダに含まれる送信元ポート番号２１５、および宛先ポート番号２１６の組み合わせに対して動作２１７を設定する。動作２１７には「通過」「廃棄」の２つの選択肢が存在する。また、各組み合わせには優先度２１１があり、対象となるＩＰパケットが複数の組み合わせに該当する場合は、最も優先度の高い組み合わせに従う。各組み合わせに該当しないＩＰパケットは、優先度がデフォルトの動作に従う。
【００１７】
図２の例の場合、１９２．１６８．１０．５のＩＰアドレスを持つネットワーク端末が、１９２．１６８．０．１０のＩＰアドレスを持つ端末にＴＣＰ（プロトコル番号６）によるＷｅｂアクセス（宛先ポート番号８０）、またはＴｅｌｎｅｔ（宛先ポート番号２３）のみ通過させるような設定となっている。送信元ポート番号２１５等に設定されている「＊」は、すべての値が該当するということを示している。
【００１８】
ＩＣＭＰは、ＰＩＮＧコマンドでも用いられているように、指定したＩＰアドレスを持つ端末が存在するかどうか確かめる機能も備えているが、主にＩＰ層で発生したエラーを通知するためのプロトコルである。ＩＣＭＰのエラー通知機能の１つに、宛先到達不能メッセージ（Ｄｅｓｔｉｎａｔｉｏｎ  Ｕｎｒｅａｃｈａｂｌｅ  Ｍｅｓｓａｇｅ）を送る機能がある。宛先到達不能メッセージは、宛先ＩＰアドレスを持つ端末にＩＰパケットを正しく送信できなかったことを、送信元ＩＰアドレスを持つ端末に知らせるために用いられるメッセージである。
【００１９】
宛先到達不能メッセージのフォーマット３００を図３に示す。宛先不能メッセージには、０〜７ビットにＴｙｐｅフィールド３０１、８〜１５ビットにＣｏｄｅフィールド３０２、１６〜３１ビットにＣｈｅｃｋｓｕｍフィールド３０３、３２〜６３ビットにＵｎｕｓｅｄフィールド３０４、および６４ビット以降のＩｎｔｅｒｎｅｔ  Ｈｅａｄｅｒ  ＋  ６４ｂｉｔ  ｏｆ  Ｏｒｉｇｉｎａｌ  Ｄａｔａｇｒａｍフィールド３０５から構成されている。
【００２０】
ＩＣＭＰパケットには、Ｔｙｐｅフィールド３０１は共通に存在しており、このＴｙｐｅフィールド３０１が「３」の場合が宛先到達不能メッセージと決められている。また、宛先到達不能メッセージでは、その理由をＣｏｄｅフィールド３０２にセットすることができる。
【００２１】
ネットワーク端末１００において、制御部１２０は受信したＩＰパケットのプロトコル番号２１２に該当するプロトコルを処理できない場合、Ｃｏｄｅフィールド３０２を「２」に設定して宛先到達不能メッセージを送信する。また、制御部１２０は、受信したＩＰパケットの宛先ポート番号が未使用の場合、Ｃｏｄｅフィールド３０２を「３」に設定して宛先到達不能メッセージを送信する。
【００２２】
すなわち、ネットワーク端末１００が、宛先到達不能メッセージを返信する要因となったＩＰパケットは、ネットワーク端末１００にとって不必要なパケットと判断することができる。
【００２３】
図４はＩＣＭＰ検出部１４０のフローチャートを示す。
【００２４】
まずステップＳ１０１０では、ＩＣＭＰ検出部１４０は制御部１２０からネットワークインタフェース１１０へ出力されるＩＰパケットを検出するまで待機する。
【００２５】
ステップＳ１０２０では、受信したＩＰパケットがＩＣＭＰパケットかどうかを検査する。ＩＣＭＰパケットは、ＩＰパケットヘッダにあるプロトコル番号フィールドが「１」と既定されているので、それを元に判断する。ＩＣＭＰパケットでない場合はステップＳ１０１０へ戻る。
【００２６】
ステップＳ１０３０では、ＩＣＭＰパケットが宛先到達不能メッセージであるかどうかを検査する。宛先到達不能メッセージは、Ｔｙｐｅフィールド３０１が「３」と既定されているので、それを元に判断する。宛先到達不能メッセージでない場合はステップＳ１０１０へ戻る。
【００２７】
ステップＳ１０４０では、宛先到達不能の理由が、プロトコル処理不可能、またはポート未使用であるかどうかを検査する。プロトコル処理不可能の場合はＣｏｄｅフィールド３０２が「２」、ポート未使用である場合はＣｏｄｅフィールド３０２が「３」と既定されているので、それを元に判断する。宛先到達不能の理由がそれ以外の場合はステップＳ１０１０へ戻る。
【００２８】
ステップＳ１０５０では、ＩＣＭＰパケットのＩｎｔｅｒｎｅｔ  Ｈｅａｄｅｒ  ＋  ６４ｂｉｔ  ｏｆ  Ｏｒｉｇｉｎａｌ  Ｄａｔａｇｒａｍフィールドからフィルタリングするための設定情報を抽出する。Ｉｎｔｅｒｎｅｔ  Ｈｅａｄｅｒ  ＋  ６４ｂｉｔ  ｏｆ  Ｏｒｉｇｉｎａｌ  Ｄａｔａｇｒａｍフィールドには、ネットワーク端末１００によって処理できなかったＩＰパケットのヘッダと８バイト分のＴＣＰ、またはＵＤＰヘッダが格納されている。この各ヘッダから、フィルタリングするための各種設定情報を取り出すことが
ステップＳ１０６０では、ステップＳ１０５０で抽出した設定情報をフィルタ部１３０へ設定する。
【００２９】
最後に、ネットワーク端末１００が起動してから、最初にＩＣＭＰパケットを検出して、フィルタリング設定を行うまでの手順を図５を用いて説明する。なお、ネットワーク端末１００のＩＰアドレスは１９２．１６８．０．１０とする。
【００３０】
ステップＳ２０１０では、ネットワーク端末１００が起動して、フィルタ部１３０の設定表２００をリセットする。リセット後、フィルタ部１３０の設定表２００は、図６に示すように、デフォルトですべてのＩＰパケットを通過させるような設定になる。
【００３１】
ステップＳ２０２０では、ネットワーク端末１００のネットワークインタフェース１１０は、１９２．１６８．３０．９のＩＰアドレスを持つ端末からＩＰパケット（プロトコル番号２１２は６、送信元ＩＰアドレス２１３は、１９２．１６８．３０．９、宛先ＩＰアドレス２１４は１９２．１６８．０．１０、送信元ポート番号２１５は３００１、宛先ポート番号２１６は２３）を受信する。
【００３２】
ステップＳ２０３０では、フィルタ部１３０では、全てのＩＰパケットを通過させる設定になっているので、受信したＩＰパケットを制御部１２０へ渡す。
【００３３】
ステップＳ２０４０では、制御部１２０は、ポート番号２３を未使用、すなわちＴｅｌｅｎｅｔサーバではないので、１９２．１６８．３０．９の端末に対してＩＣＭＰの宛先到達不能メッセージをＣｏｄｅフィールド３０２に「３」を設定して送信する。
【００３４】
ステップＳ２０５０では、ＩＣＭＰ検出部１４０では、ＩＣＭＰパケットからフィルタリングする設定を特定し、フィルタ部１３０に設定する。このとき、フィルタ部１３０の設定表２００は図７のようになる。また、ＩＣＭＰパケットをネットワークインタフェース１１０へ渡す。
【００３５】
ステップＳ２０６０では、ネットワークインタフェース１１０は、１９２．１６８．３０．９のＩＰアドレスを持つ端末にＩＣＭＰパケットを送信する。
【００３６】
以上のように、本実施例では、ＩＣＭＰパケットを監視することで、ネットワーク端末１００が不要とするＩＰパケットを自動的にフィルタリングすることで、不正なアクセスを防ぐことができる。
【００３７】
なお、本実施例では、ステップＳ２０５０においてＩＣＭＰパケットを送信するように記述したが、ＩＣＭＰパケットを送信することは、ネットワーク端末１００が存在することを証明することになるので、ステップＳ２０５０、またはステップＳ２０６０においてＩＣＭＰパケットを廃棄してしまってもよい。
【００３８】
（実施の形態２）
図８、図９を用いて本発明の実施の形態２における、ネットワーク端末１００のＩＣＭＰ検出部１４０の動作を説明する。
【００３９】
図８はＩＣＭＰ検出部１４０に備えられているＩＣＭＰパケット送信回数テーブル４００である。ＩＣＭＰパケット送信回数テーブル４００は、番号４０１と、ＩＣＭＰパケットの宛先ＩＰアドレス４０２とＩＣＭＰパケット送信回数４０３を対応させている。ＩＣＭＰパケット送信回数４０３は、ＩＣＭＰパケットを送信するごとにカウントアップされる。
【００４０】
図９は本実施の形態におけるＩＣＭＰ検出部１４０のフローチャートの一部を記している。以下、本実施の形態におけるＩＣＭＰ検出部１４０の動作を図９を用いて行う。
【００４１】
ＩＣＭＰ検出部１４０は、ステップＳ１０１０〜ステップＳ１０６０までは本実施の形態１において説明したとおりの動作を行うので、本実施の形態ではその説明を省略する。以下、ステップＳ１０７０以降を説明する。
【００４２】
ステップＳ１０７０では、ＩＣＭＰ送信回数テーブル４００を更新する。ＩＣＭＰ検出部１４０は、ＩＣＭＰパケット送信回数テーブル４００を用いて、ＩＣＭＰパケットの宛先ＩＰアドレス４０２ごとに、ＩＣＭＰパケット送信回数４０３を記録している。ステップＳ１０７０では、ＩＣＭＰパケットを送信するＩＰアドレス４０２に対応するＩＣＭＰパケット送信回数４０３をカウントアップする。
【００４３】
ステップＳ１０８０では、ステップＳ１０７０でカウントアップＩＣＭＰパケット送信回数４０３が既定値を超えたかどうか判断する。既定値を超えていない場合、ステップＳ１０１０へ戻る。
【００４４】
ステップＳ１０９０では、ＩＣＭＰパケット送信回数４０３が既定値を超えたＩＰアドレスからのＩＰパケットを全て拒否する設定値を、フィルタ部１３０へ設定する。図１０に１９２．１６８．４０．８のＩＰアドレスを持つ端末からのＩＰパケットを全て拒否したときの設定例を示す。
【００４５】
以上のように、本実施の形態では、ＩＣＭＰパケットの宛先ＩＰアドレスごとにＩＣＭＰパケットの送信回数を記録しておくことで、ポートスキャンなどを行っている端末のＩＰアドレスを特定し、不正なアクセスを防ぐことができる。
【産業上の利用可能性】
【００４６】
本発明はＩＣＭＰメッセージを解析し、ネットワーク端末にとって不要なＩＰパケットを自動的にフィルタリングする仕組みを備えることにより、ネットワーク端末の負荷を減らすとともに、不正アクセスを防ぐことができるものであり、ネットワークに接続された機器に対する不正なアクセスに対するため、不要なＩＰパケットを自動的に認識しフィルタリングする等において有用である。
【図面の簡単な説明】
【００４７】
【図１】ネットワーク端末１００の構成図
【図２】フィルタ部１３０の設定例を表す図
【図３】宛先到達不能メッセージのフォーマットを表す図
【図４】ＩＣＭＰ検出部１４０のフローチャート
【図５】ネットワーク端末１００の動作手順を表す図
【図６】フィルタ部１３０の設定表を表す図
【図７】フィルタ部１３０の設定表を表す図
【図８】ＩＣＭＰパケット送信回数テーブルを表す図
【図９】ＩＣＭＰ検出部１４０のフローチャート
【図１０】フィルタ部１３０の設定表を表す図
【符号の説明】
【００４８】
１００    ネットワーク端末
１１０    ネットワークインタフェース
１２０    制御部
１３０    フィルタ部
１４０    ＩＣＭＰ検出部
２００    フィルタ部１３０の設定表
２１１    優先順
２１２    プロトコル番号
２１３    送信元ＩＰアドレス
２１４    宛先ＩＰアドレス
２１５    送信元ポート番号
２１６    宛先ポート番号
２１７    動作
３００    宛先到達不能メッセージフォーマット
３０１    Ｔｙｐｅフィールド
３０２    Ｃｏｄｅフィールド
３０３    Ｃｈｅｃｋｓｕｍフィールド
３０４    Ｕｎｕｓｅｄフィールド
３０５    Ｉｎｔｅｒｎｅｔ  Ｈｅａｄｅｒ  ＋  ６４ｂｉｔ  ｏｆ  Ｏｒｉｇｉｎａｌ  Ｄａｔａｇｒａｍフィールド
４００    ＩＣＭＰパケット送信回数テーブル
４０１    番号
４０２    ＩＣＭＰパケットの宛先ＩＰアドレス
４０３    ＩＣＭＰパケット送信回数
【図１】
2005051588.tif 000003
【図２】
2005051588.tif 000004
【図３】
2005051588.tif 000005
【図４】
2005051588.tif 000006
【図５】
2005051588.tif 000007
【図６】
2005051588.tif 000008
【図７】
2005051588.tif 000009
【図８】
2005051588.tif 000010
【図９】
2005051588.tif 000011
【図１０】
2005051588.tif 000012