(57)【要約】      （修正有）【課題】ネットワーク上の不正データを検出する場合にその出力をオペレータが監視する手間と、ファイアウォールを設置する場合の手間とを解消する通信制御方法及び装置を提供する。【解決手段】通信制御装置１は、障害を発生させる可能性のある不正データが流れ得るネットワークＡ，Ｂ上で特定のサービスを行うサービス部３Ａ，３Ｂに接続された通信制限部４Ａ，４Ｂを制御するため、通信制限部を制御する通信制御部５Ａ，５Ｂと、不正データを検出する不正データ検出部６Ａ，６Ｂと、検出された不正データに関する情報に基づいて、当該不正データの発信元からの流入を遮断する通信規則を生成して通信制御部に送る通信規則生成部７とを備える。通信制御部５Ａ又は５Ｂは、不正データの送信先が、対応するサービス部３Ａ又は３Ｂである場合、当該不正データの発信元からの流入を遮断する通信規則を通信制限部に設定する。【選択図】図１
2005268856.tif 000002
【特許請求の範囲】
【請求項１】
障害を発生させる可能性のある不正データが流れ得るネットワーク上で特定のサービスを行うサービス部に接続された通信制限部を制御することで、当該ネットワーク又はこれに接続する別のネットワークにおける通信を制限する通信制御方法であって、
(a) 前記不正データが検出されたとき、その不正データの送信先が前記サービス部であるか否かを判定し、
(b) 前記(a)の判定で不正データの送信先が前記サービス部である場合、当該不正データの発信元からの流入を遮断する通信規則を前記通信制限部に設定し、
(c) 前記(a)の判定で不正データの送信先が前記サービス部でない場合、当該不正データの送信先が前記サービス部とは別のサービス部であるか否かを判定し、
(d) 当該不正データの送信先が別のサービス部である場合、当該不正データの発信元からの流入を遮断する通信規則を生成して、当該別のサービス部に接続された別の通信制限部に設定する
ことを特徴とする通信制御方法。
【請求項２】
請求項１記載の通信制御方法において、
前記(a)の判定で不正データの送信先が前記サービス部でない場合、当該不正データに関する情報を通信規則生成部に送り、該通信規則生成部で、当該情報に基づいて前記(c)の判定と前記(d)の通信規則の生成及び設定を行う
ことを特徴とする通信制御方法。
【請求項３】
請求項１記載の通信制御方法において、前記不正データが流れ得るネットワークは複数あり、各々個別に外部のネットワークに接続されていることを特徴とする通信制御方法。
【請求項４】
障害を発生させる可能性のある不正データが流れ得るネットワーク上で特定のサービスを行うサービス部に接続された通信制限部を制御する通信制御装置であって、
前記通信制限部を制御する通信制御部と、
前記不正データを検出する不正データ検出部と、
該不正データ検出部で検出された不正データに関する情報に基づいて、当該不正データの発信元からの流入を遮断する通信規則を生成して前記通信制御部に送る通信規則生成部とを備え、
前記通信制御部は、前記不正データ検出部で検出された不正データの送信先が前記サービス部であるか否かを判定し、該送信先が前記サービス部である場合、当該不正データの発信元からの流入を遮断する通信規則を前記通信制限部に設定し、該送信先が前記サービス部でない場合、当該不正データに関する情報を前記通信規則生成部に送る手段を有し、
前記通信規則生成部は、当該不正データに関する情報を受けたとき、当該不正データの送信先が前記サービス部とは別のサービス部であるか否かを判定し、当該不正データの送信先が別のサービス部である場合、当該不正データの発信元からの流入を遮断する通信規則を、当該別のサービス部に接続された別の通信制限部に設定する手段を有する
ことを特徴とする通信制御装置。
【請求項５】
請求項４記載の通信制御装置において、前記ネットワークは複数あり、各々個別に外部のネットワークに接続されていることを特徴とする通信制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク上の通信を制御する方法及び装置に関する。
【背景技術】
【０００２】
一般に、ネットワークやネットワーク上に接続された機器に障害を発生させる可能性があるデータ（以下「不正データ」という。）を遮断するために、“Intrusion Detection System”と呼ばれる装置（以下「ＩＤＳ」という。）が利用されている。
【０００３】
ＩＤＳは、ネットワーク毎に設置され或いはサーバ毎にインストールされて、不正データや不正な通信を監視及び検出する機能を有し、「監視カメラ」或いは「警報発生器」のような役割を果す装置である。
【０００４】
しかしながら、ＩＤＳによるネットワークの監視では、オペレータは、ＩＤＳが不正データを検出したときに出力する当該不正データに関する情報（以下「不正情報」という。）に基づいて、ネットワーク上の適切な通信制限部（例えば、ルータ、スイッチなど）の設定を当該不正データが通過しないように変更しなければならない。
【０００５】
また、ＩＤＳとは別の不正アクセス対処法として、ネットワーク上にファイアウォールを導入する方法がある。しかしながら、ファイアウォールは、送信元やファイルの種類等毎に通信を許可するか否かを予め設定しなければならないうえに、そこで許可された通信を介して行われる不正なアクセスや攻撃を防ぐことができない。
【０００６】
更に、ファイアウォールは、上記のようにして許可された通信を介して不正データが侵入したり、ネットワークが攻撃を受けたりしてもそれに気付くことができない。すなわち、ファイアウォールは、通信を遮断するための「壁」ではなく、特定の通信を通過させるための「扉」として機能しているものである。
【０００７】
上記の不正データの一例としては、「コンピュータウイルス」があり、ネットワークに接続された多数のコンピュータにおいて、そのいずれかでコンピュータウイルスが出されたときにそのことを他のユーザに一斉に素早く周知させるための技術として、「コンピュータウイルス検査システムの一斉管理システム」が提案されている（例えば、特許文献１参照）。
【０００８】
【特許文献１】特開２００３−５９８９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００９】
上記のＩＤＳを用いてネットワーク上の不正データの遮断を行う方法では、オペレータは、ＩＤＳの出力を常時監視して、不正情報が出力されたとき、その不正情報に基づいて、ネットワーク上に設置された通信制限部（例えば、ルータ又はスイッチ）の設定を、その不正データを遮断するように変更しなければならない。この方法では、熟練したオペレータが常時ＩＤＳからの出力を監視する必要があり、オペレータに掛かる負担が非常に大きなものとなっている。
【００１０】
また、ファイアウォールをネットワークに設置する方法では、ファイアウォールが設置されていないネットワーク上の径路では不正データを遮断することができず、不正データを完全に遮断するためには、ネットワーク毎にファイアウォールを設置しなければならない。
【００１１】
本発明の目的は、上記のＩＤＳを用いてネットワーク上の不正データを検出する場合にその出力をオペレータが監視する手間と、ネットワークにファイアウォールを設置する場合の手間とを解消する通信制御方法及び装置を提供することである。
【課題を解決するための手段】
【００１２】
本発明の方法は、障害を発生させる可能性のある不正データが流れ得るネットワーク上で特定のサービス（例えば、電子メールサービスやＷｅｂによる情報提供）を行うサービス部（例えば、メールサーバやＷｅｂサーバ）に接続された通信制限部（例えば、ルータ）を制御することで、当該ネットワーク又はこれに接続する別のネットワークにおける通信を制限する通信制御方法であって、
(a)不正データが検出されたとき、その不正データの送信先が上記サービス部であるか否かを判定し、
(b)上記(a)の判定で不正データの送信先が上記サービス部である場合、当該不正データの発信元からの流入を遮断する通信規則を上記通信制限部に設定し、
(c)上記(a)の判定で不正データの送信先が上記サービス部でない場合、当該不正データの送信先が上記サービス部とは別のサービス部であるか否かを判定し、
(d)当該不正データの送信先が別のサービス部である場合、当該不正データの発信元からの流入を遮断する通信規則を生成して、当該別のサービス部に接続された別の通信制限部に設定することを特徴とする。
【００１３】
本発明の実施態様では、上記(a)の判定で不正データの送信先が上記サービス部でない場合、当該不正データに関する情報を通信規則生成部に送り、該通信規則生成部で、当該情報に基づいて上記(c)の判定と上記(d)の通信規則の生成及び設定を行う。
【００１４】
本発明の装置は、障害を発生させる可能性のある不正データが流れ得るネットワーク上で特定のサービスを行うサービス部に接続された通信制限部を制御する通信制御装置であって、
前記通信制限部を制御する通信制御部と、
前記不正データを検出する不正データ検出部と、
該不正データ検出部で検出された不正データに関する情報に基づいて、当該不正データの発信元からの流入を遮断する通信規則を生成して前記通信制御部に送る通信規則生成部とを備え、
前記通信制御部は、前記不正データ検出部で検出された不正データの送信先が前記サービス部であるか否かを判定し、該送信先が前記サービス部である場合、当該不正データの発信元からの流入を遮断する通信規則を前記通信制限部に設定し、該送信先が前記サービス部でない場合、当該不正データに関する情報を前記通信規則生成部に送る手段を有し、
前記通信規則生成部は、当該不正データに関する情報を受けたとき、当該不正データの送信先が前記サービス部とは別のサービス部であるか否かを判定し、当該不正データの送信先が別のサービス部である場合、当該不正データの発信元からの流入を遮断する通信規則を、当該別のサービス部に接続された別の通信制限部に設定することを特徴とする。
【発明の効果】
【００１５】
本発明によれば、特定のサービスを行うサービス部に接続するネットワーク上で不正データが検出されたとき、その不正データの送信先が当該特定のサービス部であれば、不正データの発信元からの流入を遮断する。一方、不正データの送信先が上記サービス部でない場合は、その送信先が別のサービス部であるか否かを判定し、別のサービス部であれば、上記サービス部の場合と同様、当該不正データの発信元からの流入を遮断する。これにより、通信対象が電子メール或いはＷｅｂサーバのように特定のサービスに限定されたネットワーク上で不正データの侵入を防止することができる。
【００１６】
特に、不正データの送信先が上記サービス部でない場合は、当該不正データはそのネットワーク上では存在しないサービスに対するアクセスであることになり、それを不正と判断できると共に、その不正データに関する情報を利用して他のサービスに対する不正なアクセスの防御にも利用できる。すなわち、不正データが検出されていないネットワークに接続するサービス部への不正データの流れを自動的に遮断することができる。いずれにしても、ネットワーク上を流れる不正データの宛先が所定のサービス部であれば、その宛先に対する不正データの流入を遮断することにより、不正データの侵入を阻止することができる。
【００１７】
上記のように、本発明は、不正データの送信先をチェックし、その結果に応じて、ネットワークに接続された通信制限部に、当該不正データの発信元からの流入を遮断する通信規則を設定するようにしたので、従来のようにＩＤＳの出力結果を常時監視したり、ネットワーク毎にファイアウォールを設置したり、或いは末端のコンピュータ毎にウイルス検出ソフトをインストールしなくても、ネットワーク上で不正データの侵入を防止することができる。
【００１８】
また、不正データの発信元からの流入を遮断する通信規則は、不正データが検出されたネットワークと別のネットワークに接続された通信制限部に設定可能であるから、本発明は、各々個別に外部のネットワークに接続されている複数のネットワークに適用できる。
【発明を実施するための最良の形態】
【００１９】
図１は、本発明の実施例の通信制御装置１を含むネットワーク構成を示すブロック図である。通信制御装置１は、上流側の外部ネットワーク（例えば、インターネット）２に接続した複数のネットワークＡ、Ｂ、Ｃ、・・・対するＩＤＳとしての機能を有する。
【００２０】
図１のネットワーク構成において、ネットワークＡ、Ｂ上には、それぞれ所定のサービスを行うサービス部３Ａ、３Ｂとして電子メールサーバ、Ｗｅｂサーバが設置されている。すなわち、ネットワークＡでは、メールサービスを実施し、Ｗｅｂサービスは行っていない。一方、ネットワークＢでは、Ｗｅｂサービスを実施し、メールサービスは行っていない。
【００２１】
上記のように各ネットワークＡ、Ｂ上に設置されたサービス部３Ａ、３Ｂは、それぞれメールサービス、Ｗｅｂサービスを行う。各サービス部３Ａ、３Ｂは、図２及び図３に示すように、共通の構成としてポート制御部１１、メールポート１２及びＷｅｂポート１３を備えており、メールポート１２及びＷｅｂポート１３としては、それぞれ番号２５及び８０のポートが割り当てられている。
【００２２】
図２に示すメールサービス部３Ａにおいては、ポート制御部１１は、ネットワークから通信データを受け取り、そのデータの宛先がメールサービス宛であればメールポート１２へ、Ｗｅｂサービス宛であればＷｅｂポート１３へ、データを送信する。メールポート１２は、データを受け取ると、そのデータをメールサービスへ送信する。Ｗｅｂポート１３は、データを受け取っても、それを処理するＷｅｂサービスが存在しないので、データを破棄する。
【００２３】
一方、図３に示すＷｅｂサービス部３Ｂにおいても、ポート制御部１１は、ネットワークから通信データを受け取り、そのデータの宛先がメールサービス宛であればメールポート１２へ、Ｗｅｂサービス宛であればＷｅｂポート１３へ、そのデータを送信する。しかしながら、メールポート１２は、データを受け取っても、それを処理するメールサービスが存在しないので、データを破棄する。Ｗｅｂポート１３は、データを受け取ると、Ｗｅｂサービスへデータを送信する。
【００２４】
再び図１において、各ネットワークＡ、Ｂ上で各サービス部３Ａ、３Ｂに接続された通信制限部４Ａ、４Ｂは、自分自身を流れるデータの一部又は全部の通信を制限することができる。
【００２５】
通信制御装置１は、各通信制限部４Ａ、４Ｂを制御するため、以下の手段を備えている。
【００２６】
各通信制限部４Ａ、４Ｂを制御する通信制御部５Ａ、５Ｂ、
各ネットワークＡ、Ｂ上を流れる不正データを検出する不正データ検出部６Ａ、６Ｂ、及び
不正データ検出部６Ａ、６Ｂで検出された不正データに関する情報に基づいて、当該不正データの発信元からの流入を遮断する通信規則を生成して各通信制御部５Ａ、５Ｂに送る通信規則生成部７。
【００２７】
上記通信制御装置１において、各ネットワークＡ、Ｂに対する不正データ検出部６Ａ、６Ｂは、ネットワーク上の情報を読み取り、ネットワークを流れる不正データを検出する。実施例では、不正アクセスを検出するために、ＩＤＳによる次の３種類の方法を使用している。
【００２８】
（１）シグニネチャ検知
シグニチャとは、不正アクセスの攻撃パターンを記述したパターンデータであり、ＩＤＳは、ネットワークを流れるデータがシグニチャのパターンと一致するものが有るかどうかを監視する。そして、シグニチャのパターンと一致したネットワークデータがあった場合、それを不正侵入と判断する。
【００２９】
例えば、ＩＤＳ用のソフトウェア“Ｓｎｏｒｔ”で使用されているシグネチャパターンの１つは、次のようなものである。
“alert  tcp  ＄EXTERNAL_NET  any  ->  ＄HTTP_SERVERS  ＄HTTP_PORTS(msg:"WEB-IIS  Directory  transversal  attempt";flow:to_s\erver,established;content:"|2e2e5c2e2e|";  reference:bugtraq,2218;  reference:cve,CAN-1999-0229;classtype:web-application-attack;sid:974;  rev:7;)”
これは「WEB-IIS  Directory  transversal  attempt」という言葉で説明される不正アクセスのパターンを表す。
上記シグネチャパターン中の“＄EXTERNAL_NET  any  ->  ＄HTTP_SERVERS  ＄HTTP_PORTS”という記述により、外部ネットワークから内部ネットワークの機器に対してＷｅｂポート（８０番）に接続するデータであること、そして“content:"|2e2e5c2e2e|"”の部分の記述により、データの中に１６進数で表される“2e2e5c2e2e”というパターンが現れることが定義され、これらの条件を満たすデータがネットワークデータより検出された場合、そのデータを不正アクセスとして検知する。
【００３０】
（２）異常処理検知
これは、ネットワークの日常的な運用状態ではあり得ないネットワーク状態が発生した場合に、その異常と思われるネットワークデータを不正アクセスとして検知する方式である。
【００３１】
例えば、通常１分間に１０件程度のアクセスがあるファイルサーバに対し、１つのネットワーク機器から１分間に１０００件を越すアクセスが発信された場合などである。
【００３２】
（３）ポートスキャン検知
ポートスキャンは、ネットワーク機器のポートに順番にアクセスし、そのネットワーク機器で動作しているサービスやＯＳの種類等を調査し、不正アクセスのための侵入口の有無を調べるものである。ポートスキャンの検知は、１つのネットワーク装置の数多くのポートに対して外部ネットワークから接続を試みる動作を監視することで可能となる。
【００３３】
次に、通信制御部５Ａ、５Ｂは、不正データ検出部６Ａ、６Ｂから得られた情報又は通信規則生成部７からの情報に基づいて、それぞれ対応する通信制限部４Ａ、４Ｂを操作し、通信の制限を行う。詳細には、通信制御部５Ａ、５Ｂは、不正データ検出部６Ａ、６Ｂで検出された不正データの送信先が、対応するサービス部３Ａ、３Ｂであるか否かを判定し、送信先が対応するサービス部（すなわち、通信制御部５Ａに対してサービス部３Ａ、通信制御部５Ｂに対してサービス部３Ｂ）である場合は、当該不正データの発信元からの流入を遮断する通信規則を、対応する通信制限部４Ａ、４Ｂに設定し、送信先が対応するサービス部でない場合は、当該不正データに関する情報を通信規則生成部７に送る手段を有する。
【００３４】
通信規則生成部７は、通信制御部５Ａ、５Ｂから当該不正データに関する情報を受けたとき、不正データの送信先が別のサービス部であるか否かを判定し、当該不正データの送信先が別のサービス部（すなわち、通信制御部５Ａに対してサービス部３Ｂ、通信制御部５Ｂに対してサービス部３Ａ）である場合、当該不正データの発信元からの流入を遮断する通信規則を、当該別のサービス部に接続された通信制限部４Ｂ、４Ａに設定する手段を有する。
【００３５】
図４は、通信規則生成部７の構成を示すブロック図である。図示のとおり、通信規則生成部７は、不正データ検出部６Ａ、６Ｂから受信した不正情報に基づく通信規則を生成し、それを通信制御部５Ａ，５Ｂに送る規則生成手段２１と、通信規則を格納する規則情報格納手段２２と、ネットワークＡ、Ｂ上の各通信制限部４Ａ，４Ｂが設置されている位置を示す情報を格納する位置情報格納手段２３とを備えている。
【００３６】
以下、本発明の方法を実施する通信制御装置１の動作について説明する。
【００３７】
初めに、通信制御部５Ａにおいて、図５に示すように、不正データ検出部６Ａが不正データを検出したかどうかを監視し（ＳＴ１）、不正データを検出したとき、不正データ検出部６Ａから受け取った不正データ情報に基づき、不正データの送信先（宛先）のサービスポートがメールポート（ポート番号：２５番）であるかどうかを判定する（ＳＴ２）。その結果、メールポート宛であるときは、不正データの発信元からの通信を遮断する通信規則を生成して、通信制限部４Ａに設定して（ＳＴ３）、動作終了となる。一方、メールポート宛でなかった場合は、不正データ検出部６Ａから受け取った不正データ情報を通信規則生成部７へ送信する（ＳＴ４）。
【００３８】
次に、通信規則生成部７では、図６に示すように、通信制御部５Ａから送られた不正データ情報を読み取り、不正データの送信宛先ポートがＷｅｂサービス宛（ポート番号：８０番）かどうかを判定する（ＳＴ５）。その結果、Ｗｅｂサービス宛の場合は、受け取った不正データ情報の不正データの発信元からの通信を遮断する通信規則を生成し、その通信規則を通信制御部５Ｂに送る（ＳＴ６）。
一方、Ｗｅｂサービス宛でない（メールポート宛でもない）場合は、動作終了となる。
【００３９】
通信制御部５Ｂでは、図７に示すように、通信規則生成部７から受け取った通信規則を通信制限部４Ｂに対して設定する（ＳＴ７）。これにより、ネットワークＢの通信を制御する。
【００４０】
上記図５〜図７のフローチャートは、メールサービス部３Ａへの不正アクセスに対する通信制御動作であるが、Ｗｅｂサービス部３Ｂへの不正アクセスに対する通信制御も、上記のフローチャートにおいて通信制御部５Ａと通信制御部５Ｂが入れ替わる以外、同様に行われる。
【００４１】
以上、実施例について説明したが、本発明はこれに限られるものではない。
【００４２】
実施例の通信制御装置１は、外部ネットワーク２に接続される２つのネットワークＡ及びＢを対象としているが、３つ以上のネットワークに対しても、同様に適用することができる。
【００４３】
実施例では、ネットワークにおいて通信制限部と通信制御部とは一対に設置されているが、これに限られるものではない。例えば、複数の通信制限部を制御可能な機能を備えた通信制御部があれば、その通信制御部１台で複数の通信制限部を制御するようにしてもよい。また、通信制限部と通信制御部の両方の機能を備えた装置をネットワークに接続するようにしてもよい。
【００４４】
実施例では、不正データ検出部は、各通信制限部及び通信制御部と一対で備えられているが、これに限られるものではない。例えば、不正データ検出部は、ネットワークにおいて複数の通信制限部及び通信制御部の上流側又は下流側に設置されて、その複数の通信制限部及び通信制御部に流れる可能性のある不正データを検出するようにしてもよい。
【００４５】
実施例の通信規則生成部と不正データ検出部並びに通信制御部との通信は、一般的な通信回線を用いればよい。また、通信制限部が接続されたネットワークを介して通信するようにしてもよいし、専用の回線を設置して通信するようにしてもよい。
【図面の簡単な説明】
【００４６】
【図１】実施例の通信制御装置を含むネットワーク構成を示すブロック図。
【図２】ネットワークＡに接続されるメールサービス部の構成を示す図。
【図３】ネットワークＢに接続されるＷｅｂサービス部の構成を示す図。
【図４】実施例の通信規則生成部の構成を示すブロック図。
【図５】ネットワークＡに対する通信制御部の動作を示すフローチャート。
【図６】通信規則生成部の動作を示すフローチャート。
【図７】ネットワークＢに対する通信制御部の動作を示すフローチャート。
【符号の説明】
【００４７】
１…通信制御装置、２…外部ネットワーク、３Ａ，３Ｂ…サービス部、４Ａ，４Ｂ…通信制限部、５Ａ，５Ｂ…通信制御部、６Ａ，６Ｂ…不正データ検出部、７…通信規則生成部、１１…ポート制御部、１２…メールポート、１３…Ｗｅｂポート、２１…規則生成手段、２２…規則情報格納手段、２３…位置情報格納手段、Ａ，Ｂ，Ｃ…ネットワーク。
【図１】
2005268856.tif 000003
【図２】
2005268856.tif 000004
【図３】
2005268856.tif 000005
【図４】
2005268856.tif 000006
【図５】
2005268856.tif 000007
【図６】
2005268856.tif 000008
【図７】
2005268856.tif 000009