(57)【要約】送信元ＩＰアドレスの偽装が施されたパケットを検出する送信元アドレス偽装パケット検出装置であって、パケットの入出力を制御するとともに、入力パケットの送信元ＩＰアドレスと入力パケットのＴＴＬ値を取得するパケット制御部と、正常な生存時間の範囲を表す基準ＴＴＬ値と送信元アドレスとを対応づけて記憶する基準ＴＴＬ値記憶部と、入力パケットのＴＴＬ値と入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値との比較を行い、比較の結果に基づいて、入力パケットにおける送信元ＩＰアドレスの偽装の有無を判定するアドレス偽装判定部とを備える。
2004051946.tif 000002
【特許請求の範囲】
【請求項１】
送信元アドレスの偽装が施されたパケットを検出する送信元アドレス偽装パケット検出装置であって、
パケットの入出力を制御するとともに、入力パケットの送信元アドレスと前記入力パケットの生存時間を取得するパケット制御部と、
正常な生存時間の範囲を表す基準生存時間と送信元アドレスとを対応づけて記憶する基準生存時間記憶部と、
前記入力パケットの生存時間と前記入力パケットの送信元アドレスに対応する基準生存時間との比較を行い、該比較の結果に基づいて、前記入力パケットにおける送信元アドレスの偽装の有無を判定するアドレス偽装判定部と、
を備えてなる送信元アドレス偽装パケット検出装置。
【請求項２】
請求の範囲第１項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元アドレスの偽装無しと判定した場合に前記パケット制御部は前記入力パケットを通過させ、前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に前記パケット制御部は前記入力パケットを廃棄することを特徴とする送信元アドレス偽装パケット検出装置。
【請求項３】
請求の範囲第２項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元アドレスと宛先アドレスの間のコネクションを切断するコネクション切断部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項４】
請求の範囲第１項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、予め指定されたアドレスへアラート情報を送信するアラート情報通知部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項５】
請求の範囲第１項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、アラート情報をログとして記憶するログ記憶部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項６】
請求の範囲第１項に記載の送信元アドレス偽装パケット検出装置において、
前記入力パケットの送信元アドレスと生存時間とを対応づけて記憶する生存時間記憶部と、
該生存時間記憶部により送信元アドレス毎に記憶された生存時間に基づいて、送信元アドレス毎の基準生存時間を算出する基準生存時間算出部と、
をさらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項７】
請求の範囲第６項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元アドレスの偽装無しと判定した場合に、前記パケット制御部は前記入力パケットを通過させ、前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、前記パケット制御部は前記入力パケットを廃棄することを特徴とする送信元アドレス偽装パケット検出装置。
【請求項８】
請求の範囲第７項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元アドレスと宛先アドレスの間のコネクションを切断するコネクション切断部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項９】
請求の範囲第６項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、予め指定されたアドレスへアラート情報を送信するアラート情報通知部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項１０】
請求の範囲第６項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、アラート情報をログとして記憶するログ記憶部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項１１】
請求の範囲第１項に記載の送信元アドレス偽装パケット検出装置において
前記送信元アドレスは送信元ＩＰアドレスであり、前記生存時間はＴＴＬ値であり、前記基準生存時間は正常なＴＴＬ値の範囲を表す基準ＴＴＬ値であり、前記基準生存時間記憶部は基準ＴＴＬ値記憶部であることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項１２】
請求の範囲第１１項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元ＩＰアドレスの偽装無しと判定した場合に前記パケット制御部は前記入力パケットを通過させ、前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に前記パケット制御部は前記入力パケットを廃棄することを特徴とする送信元アドレス偽装パケット検出装置。
【請求項１３】
請求の範囲第１２項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元ＩＰアドレスと宛先ＩＰアドレスの間のコネクションを切断するコネクション切断部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項１４】
請求の範囲第１３項に記載の送信元アドレス偽装パケット検出装置において、
前記コネクション切断部は、送信元ＩＰアドレスと宛先ＩＰアドレスへリセットパケットを送信することにより前記コネクションを切断することを特徴とする送信元アドレス偽装パケット検出装置。
【請求項１５】
請求の範囲第１１項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に、予め指定されたアドレスへアラート情報を送信するアラート情報通知部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項１６】
請求の範囲第１５項に記載の送信元アドレス偽装パケット検出装置において、
前記アラート情報は、前記入力パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとＴＴＬ値と基準ＴＴＬ値とを含むことを特徴とする送信元アドレス偽装パケット検出装置。
【請求項１７】
請求の範囲第１１項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に、アラート情報をログとして記憶するログ記憶部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項１８】
請求の範囲第１７項に記載の送信元アドレス偽装パケット検出装置において、
前記アラート情報は、前記入力パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとＴＴＬ値と基準ＴＴＬ値とを含むことを特徴とする送信元アドレス偽装パケット検出装置。
【請求項１９】
請求の範囲第１１項に記載の送信元アドレス偽装パケット検出装置において、
前記入力パケットの送信元ＩＰアドレスとＴＴＬ値とを対応づけて記憶するＴＴＬ値記憶部と、
該ＴＴＬ値記憶部により送信元ＩＰアドレス毎に記憶されたＴＴＬ値に基づいて、送信元ＩＰアドレス毎の基準ＴＴＬ値を算出する基準ＴＴＬ値算出部と、
をさらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２０】
請求の範囲第１９項に記載の送信元アドレス偽装パケット検出装置において、
前記基準ＴＴＬ値算出部は、前記ＴＴＬ値記憶部により送信元ＩＰアドレス毎に記憶されたＴＴＬ値から中央値を算出し、該中央値を含む所定の範囲を送信元ＩＰアドレスに対応する基準ＴＴＬ値とすることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２１】
請求の範囲第１９項に記載の送信元アドレス偽装パケット検出装置において、
前記基準ＴＴＬ値算出部は、前記ＴＴＬ値記憶部により送信元ＩＰアドレス毎に記憶されたＴＴＬ値から平均値を算出し、該平均値を含む所定の範囲を送信元ＩＰアドレスに対応する基準ＴＴＬ値とすることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２２】
請求の範囲第１９項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元ＩＰアドレスの偽装無しと判定した場合に前記パケット制御部は前記入力パケットを通過させ、前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に前記パケット制御部は前記入力パケットを廃棄することを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２３】
請求の範囲第２２項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元ＩＰアドレスと宛先ＩＰアドレスの間のコネクションを切断するコネクション切断部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２４】
請求の範囲第２３項に記載の送信元アドレス偽装パケット検出装置において、
前記コネクション切断部は、送信元ＩＰアドレスと宛先ＩＰアドレスへリセットパケットを送信することにより前記コネクションを切断することを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２５】
請求の範囲第１９項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に、予め指定されたアドレスへアラート情報を送信するアラート情報通知部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２６】
請求の範囲第２５項に記載の送信元アドレス偽装パケット検出装置において、
前記アラート情報は、前記入力パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとＴＴＬ値と基準ＴＴＬ値とを含むことを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２７】
請求の範囲第１９項に記載の送信元アドレス偽装パケット検出装置において、
前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に、アラート情報をログとして記憶するログ記憶部を、さらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２８】
請求の範囲第２７項に記載の送信元アドレス偽装パケット検出装置において、
前記アラート情報は、前記入力パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとＴＴＬ値と基準ＴＴＬ値とを含むことを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２９】
送信元ＩＰアドレスの偽装が施されたパケットを検出する送信元アドレス偽装パケット検出方法であって、
パケットの入出力を制御するとともに、入力パケットの送信元ＩＰアドレスと前記入力パケットのＴＴＬ値を取得するステップと、
前記入力パケットの送信元ＩＰアドレスとＴＴＬ値とを対応づけて記憶するステップと、
送信元ＩＰアドレス毎に記憶されたＴＴＬ値に基づいて、送信元ＩＰアドレス毎の正常なＴＴＬ値の範囲を表す基準ＴＴＬ値を算出するステップと、
基準ＴＴＬ値と送信元ＩＰアドレスとを対応づけて記憶するステップと、
前記入力パケットのＴＴＬ値と前記入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値との比較を行い、該比較の結果に基づいて、前記入力パケットにおける前記送信元ＩＰアドレスが偽装か否かを判定するステップと、
を備えてなる送信元アドレス偽装パケット検出方法。
【請求項３０】
請求の範囲第２９項に記載の送信元アドレス偽装パケット検出方法において、
送信元ＩＰアドレスの偽装無しと判定した場合に前記入力パケットを通過させ、送信元ＩＰアドレスの偽装有りと判定した場合に前記入力パケットを廃棄するステップを、さらに備えることを特徴とする送信元アドレス偽装パケット検出方法。
【請求項３１】
請求の範囲第３０項に記載の送信元アドレス偽装パケット検出方法において、
送信元ＩＰアドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元ＩＰアドレスと宛先ＩＰアドレスの間のコネクションを切断するステップを、さらに備えることを特徴とする送信元アドレス偽装パケット検出方法。
【請求項３２】
請求の範囲第２９項に記載の送信元アドレス偽装パケット検出方法において、
送信元ＩＰアドレスの偽装有りと判定した場合に、予め指定されたアドレスへアラート情報を送信するステップを、さらに備えることを特徴とする送信元アドレス偽装パケット検出方法。
【請求項３３】
請求の範囲第２９項に記載の送信元アドレス偽装パケット検出方法において、
送信元ＩＰアドレスの偽装有りと判定した場合に、アラート情報をログとして記憶するステップを、さらに備えることを特徴とする送信元アドレス偽装パケット検出方法。
【請求項３４】
送信元ＩＰアドレスの偽装が施されたパケットの検出をコンピュータに実行させるために、コンピュータにより読取可能な媒体に記憶された送信元アドレス偽装パケット検出プログラムであって、
パケットの入出力を制御するとともに、入力パケットの送信元ＩＰアドレスと前記入力パケットのＴＴＬ値を取得するステップと、
前記入力パケットの送信元ＩＰアドレスとＴＴＬ値とを対応づけて記憶するステップと、
送信元ＩＰアドレス毎に記憶されたＴＴＬ値に基づいて、送信元ＩＰアドレス毎の正常なＴＴＬ値の範囲を表す基準ＴＴＬ値を算出するステップと、
基準ＴＴＬ値と送信元ＩＰアドレスとを対応づけて記憶するステップと、
前記入力パケットのＴＴＬ値と前記入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値との比較を行い、該比較の結果に基づいて、前記入力パケットにおける前記送信元ＩＰアドレスが偽装か否かを判定するステップと、
を備えてなる送信元アドレス偽装パケット検出プログラム。
【請求項３５】
請求の範囲第３４項に記載の送信元アドレス偽装パケット検出プログラムにおいて、
送信元ＩＰアドレスの偽装無しと判定した場合に前記入力パケットを通過させ、送信元ＩＰアドレスの偽装有りと判定した場合に前記入力パケットを廃棄するステップを、さらに備えることを特徴とする送信元アドレス偽装パケット検出プログラム。
【請求項３６】
請求の範囲第３５項に記載の送信元アドレス偽装パケット検出プログラムにおいて、
送信元ＩＰアドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元ＩＰアドレスと宛先ＩＰアドレスの間のコネクションを切断するステップを、さらに備えることを特徴とする送信元アドレス偽装パケット検出プログラム。
【請求項３７】
請求の範囲第３４項に記載の送信元アドレス偽装パケット検出プログラムにおいて、
送信元ＩＰアドレスの偽装有りと判定した場合に、予め指定されたアドレスへアラート情報を送信するステップを、さらに備えることを特徴とする送信元アドレス偽装パケット検出プログラム。
【請求項３８】
請求の範囲第３４項に記載の送信元アドレス偽装パケット検出プログラムにおいて、
送信元ＩＰアドレスの偽装有りと判定した場合に、アラート情報をログとして記憶するステップを、さらに備えることを特徴とする送信元アドレス偽装パケット検出プログラム。
【発明の詳細な説明】
【技術分野】  本発明は、ネットワーク上のＦＷ（Ｆｉｒｅ  Ｗａｌｌ）、フィルタ機能を持ったルータ、ＩＤＳ（Ｉｎｔｒｕｄｅｒ  Ｄｅｔｅｃｔｉｏｎ  Ｓｙｓｔｅｍ）等において、送信元アドレスの偽装による不正侵入や攻撃を検出する送信元アドレス偽装パケット検出装置、送信元アドレス偽装パケット検出方法、送信元アドレス偽装パケット検出プログラムに関するものである。
【背景技術】  現在、ＷＷＷ（Ｗｏｒｌｄ  Ｗｉｄｅ  Ｗｅｂ）やＥ−Ｍａｉｌ、携帯電話におけるパケット通信サービスの普及により、インターネットが社会インフラとして定着してきている。それに伴い、セキュリティの高機能化の要求が高まっている。この要求に対し、不正侵入や攻撃に対する防御を行うＦＷ、ＩＤＳ等多くの製品が市場に浸透している。これらの不正侵入や攻撃のうち、パケットの送信元アドレスを偽装する、送信元アドレス偽装が問題となっている。
ここで、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）／ＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）ネットワーク境界におけるＦＷの動作について説明する。第１６図は、ＦＷの動作の一例を示す図である。第１６図において、ホスト１０２とホスト１０３が存在するＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）内部と、ホスト１０１が存在するＬＡＮ外部は、ＦＷ１００を介して接続されている。以下、説明のため、ホスト１０１のＩＰアドレスはＡ、ホスト１０２のＩＰアドレスはＢ、ホスト１０３のＩＰアドレスはＣとする。ホスト１０２とホスト１０３は信頼関係にあり、互いに送信元ＩＰアドレスのみの認証を用いているとする。例えば、ＵＮＩＸ系ＯＳのｒｓｈ（リモート・シェル）は、〜／．ｒｈｏｓｔｓファイルに特定のホスト名、あるいは送信元ＩＰアドレスを書いておくことにより信頼関係を結び、そのホストからパスワードなしでアクセスできる。
ここでホスト１０１が、送信するパケットのＩＰヘッダにおける送信元ＩＰアドレスを、ホスト１０２のＩＰアドレスＢに偽装すると、ホスト１０１から送信されたパケットはホスト１０２から送信されたパケットとみなされ、ＦＷ１００を通過してホスト１０３にアクセスすることができ、ホスト１０３を不正に使用することができる。
この送信元アドレス偽装パケットの不正侵入を防ぐ手段として、ＦＷによるフィルタリングが挙げられる。具体的には、ＬＡＮの外部から内部へ向かうパケットの送信元ＩＰアドレスが、ＬＡＮ内部に存在するホストのＩＰアドレスかどうかをＦＷが判断し、ＬＡＮ内部に存在するホストのＩＰアドレスである場合にはそのパケットを廃棄する。しかし、このようなＦＷによるフィルタリングは、ＬＡＮ内部に存在するホストのＩＰアドレスに偽装したパケットを検出することができるが、ＬＡＮ外部に存在するホストの送信元ＩＰアドレスに偽装したパケットは検出することができない。
これに対して、フィルタリング通過リストを所持するＦＷがある。フィルタリング通過リストとは、ＬＡＮの外部から内部へ通過しても良い送信元ＩＰアドレスが記載されたリストのことである。第１７図は、フィルタリング通過リストを所持するＦＷの動作の一例を示す図である。第１７図に示す例では、ホスト１０３と信頼関係にあるホスト１０２はＬＡＮ外部に存在し、ホスト１０３が存在するＬＡＮ内部と、ホスト１０１とホスト１０２が存在するＬＡＮ外部は、ＦＷ１１０を介して接続されている。また、フィルタリング通過リストには、通過させるパケットの送信元ＩＰアドレスとしてＢが設定されている。第１７図に示すように、ＦＷ１１０はフィルタリング通過リストに従って、ホスト１０２からの送信元ＩＰアドレスＢを持つパケットは通過させるが、ホスト１０１からの送信元ＩＰアドレスＡを持つパケットは廃棄する。
しかしながら第１７図の構成において、ホスト１０１が、送信するパケットのＩＰヘッダにおける送信元ＩＰアドレスをホスト１０２のＩＰアドレスＢに偽装した場合には、ＦＷ１１０は、ホスト１０１からの送信元ＩＰアドレスＢを持つパケットを廃棄せず、通過させてしまうという問題が生じる。
本発明は、このような問題を解決するためになされたものであり、ＬＡＮ外部のホストの送信元ＩＰアドレスに偽装したパケットを検出することにより、送信元ＩＰアドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができる送信元ＩＰアドレス偽装パケット検出装置、送信元ＩＰアドレス偽装パケット検出方法、送信元ＩＰアドレス偽装パケット検出プログラムを提供することを目的とする。
【発明の開示】
本発明は、送信元アドレスの偽装が施されたパケットを検出する送信元アドレス偽装パケット検出装置であって、パケットの入出力を制御するとともに、入力パケットの送信元アドレスと前記入力パケットの生存時間を取得するパケット制御部と、正常な生存時間の範囲を表す基準生存時間と送信元アドレスとを対応づけて記憶する基準生存時間記憶部と、前記入力パケットの生存時間と前記入力パケットの送信元アドレスに対応する基準生存時間との比較を行い、該比較の結果に基づいて、前記入力パケットにおける送信元アドレスの偽装の有無を判定するアドレス偽装判定部とを備えてなるものである。
このような構成によれば、予め記憶された送信元アドレス毎の基準生存時間と入力パケットの生存時間とを比較することにより、送信元アドレスが偽装されたパケットを検出することができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記入力パケットの送信元アドレスと生存時間とを対応づけて記憶する生存時間記憶部と、該生存時間記憶部により送信元アドレス毎に記憶された生存時間に基づいて、送信元アドレス毎の基準生存時間を算出する基準生存時間算出部とをさらに備えることを特徴とするものである。
このような構成によれば、送信元アドレス毎に収集した生存時間を用いることにより、送信元アドレス毎の基準生存時間を算出することができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記アドレス偽装判定部が送信元アドレスの偽装無しと判定した場合に前記パケット制御部は前記入力パケットを通過させ、前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に前記パケット制御部は前記入力パケットを廃棄することを特徴とするものである。
このような構成によれば、送信元アドレス偽装パケットを検出した場合にそのパケットを廃棄することにより、リアルタイムで送信元アドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元アドレスと宛先アドレスの間のコネクションを切断するコネクション切断部を、さらに備えることを特徴とするものである。
このような構成によれば、送信元アドレス偽装パケットを検出した場合にそのパケットを廃棄し、さらに送信元アドレスと宛先アドレスのコネクションを切断することにより、リアルタイムで送信元アドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができ、さらに不正侵入や攻撃の継続を防ぐことができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、予め指定されたアドレスへアラート情報を送信するアラート情報通知部を、さらに備えることを特徴とするものである。
このような構成によれば、送信元アドレス偽装パケットを検出した場合に、そのパケットに関するアラート情報を管理者へ通知することにより、管理者が送信元アドレスの偽装による不正侵入や攻撃を把握し、対処することができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、アラート情報をログとして記憶するログ記憶部を、さらに備えることを特徴とするものである。
このような構成によれば、送信元アドレス偽装パケットを検出した場合に、そのパケットに関するアラート情報をログとして記憶することにより、送信元アドレスの偽装による不正侵入や攻撃の記録を残し、ログを不正侵入や攻撃の証拠とすることができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記送信元アドレスは送信元ＩＰアドレスであり、前記生存時間はＴＴＬ値であり、前記基準生存時間は正常なＴＴＬ値の範囲を表す基準ＴＴＬ値であり、前記基準生存時間記憶部は基準ＴＴＬ値記憶部であることを特徴とするものである。
このような構成によれば、予め記憶された送信元ＩＰアドレス毎の基準ＴＴＬ値と入力パケットのＴＴＬ値とを比較することにより、送信元ＩＰアドレスが偽装されたパケットを検出することができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記入力パケットの送信元ＩＰアドレスとＴＴＬ値とを対応づけて記憶するＴＴＬ値記憶部と、該ＴＴＬ値記憶部により送信元ＩＰアドレス毎に記憶されたＴＴＬ値に基づいて、送信元ＩＰアドレス毎の基準ＴＴＬ値を算出する基準ＴＴＬ値算出部とをさらに備えることを特徴とするものである。また、本発明に係る送信元アドレス偽装パケット検出装置において、前記基準ＴＴＬ値算出部は、前記ＴＴＬ値記憶部により送信元ＩＰアドレス毎に記憶されたＴＴＬ値から中央値を算出し、該中央値を含む所定の範囲を送信元ＩＰアドレスに対応する基準ＴＴＬ値とすることを特徴とするものである。また、本発明に係る送信元アドレス偽装パケット検出装置において、前記基準ＴＴＬ値算出部は、前記ＴＴＬ値記憶部により送信元ＩＰアドレス毎に記憶されたＴＴＬ値から平均値を算出し、該平均値を含む所定の範囲を送信元ＩＰアドレスに対応する基準ＴＴＬ値とすることを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス毎に収集したＴＴＬ値を用いることにより、送信元ＩＰアドレス毎の基準ＴＴＬ値を算出することができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記アドレス偽装判定部が送信元ＩＰアドレスの偽装無しと判定した場合に前記パケット制御部は前記入力パケットを通過させ、前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に前記パケット制御部は前記入力パケットを廃棄することを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合にそのパケットを廃棄することにより、リアルタイムで送信元ＩＰアドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元ＩＰアドレスと宛先ＩＰアドレスの間のコネクションを切断するコネクション切断部を、さらに備えることを特徴とするものである。また、本発明に係る送信元アドレス偽装パケット検出装置において、前記コネクション切断部は、送信元ＩＰアドレスと宛先ＩＰアドレスへリセットパケットを送信することにより前記コネクションを切断することを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合にそのパケットを廃棄し、さらに送信元ＩＰアドレスと宛先ＩＰアドレスのコネクションを切断することにより、リアルタイムで送信元ＩＰアドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができ、さらに不正侵入や攻撃の継続を防ぐことができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に、予め指定されたアドレスへアラート情報を送信するアラート情報通知部を、さらに備えることを特徴とするものである。また、本発明に係る送信元アドレス偽装パケット検出装置において、前記アラート情報は、前記入力パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとＴＴＬ値と基準ＴＴＬ値とを含むことを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットに関するアラート情報を管理者へ通知することにより、管理者が送信元ＩＰアドレスの偽装による不正侵入や攻撃を把握し、対処することができる。なお、アラート情報に更に日付や時刻を含めることができる。
また、本発明に係る送信元アドレス偽装パケット検出装置において、前記アドレス偽装判定部が送信元ＩＰアドレスの偽装有りと判定した場合に、アラート情報をログとして記憶するログ記憶部を、さらに備えることを特徴とするものである。また、本発明に係る送信元アドレス偽装パケット検出装置において、前記アラート情報は、前記入力パケットの送信元ＩＰアドレスと宛先ＩＰアドレスとＴＴＬ値と基準ＴＴＬ値とを含むことを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットに関するアラート情報をログとして記憶することにより、送信元ＩＰアドレスの偽装による不正侵入や攻撃の記録を残し、ログを不正侵入や攻撃の証拠とすることができる。
また、本発明は、送信元ＩＰアドレスの偽装が施されたパケットを検出する送信元アドレス偽装パケット検出方法であって、パケットの入出力を制御するとともに、入力パケットの送信元ＩＰアドレスと前記入力パケットのＴＴＬ値を取得するステップと、前記入力パケットの送信元ＩＰアドレスとＴＴＬ値とを対応づけて記憶するステップと、送信元ＩＰアドレス毎に記憶されたＴＴＬ値に基づいて、送信元ＩＰアドレス毎の正常なＴＴＬ値の範囲を表す基準ＴＴＬ値を算出するステップと、基準ＴＴＬ値と送信元ＩＰアドレスとを対応づけて記憶するステップと、前記入力パケットのＴＴＬ値と前記入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値との比較を行い、該比較の結果に基づいて、前記入力パケットにおける前記送信元ＩＰアドレスが偽装か否かを判定するステップとを備えてなるものである。
このような構成によれば、送信元ＩＰアドレス毎に収集したＴＴＬ値を用いて算出した送信元アドレス毎の基準ＴＴＬ値と入力パケットのＴＴＬ値とを比較することにより、送信元ＩＰアドレスが偽装されたパケットを検出することができる。
また、本発明に係る送信元アドレス偽装パケット検出方法において、送信元ＩＰアドレスの偽装無しと判定した場合に前記入力パケットを通過させ、送信元ＩＰアドレスの偽装有りと判定した場合に前記入力パケットを廃棄するステップを、さらに備えることを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合にそのパケットを廃棄することにより、リアルタイムで送信元ＩＰアドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができる。
また、本発明に係る送信元アドレス偽装パケット検出方法において、送信元ＩＰアドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元ＩＰアドレスと宛先ＩＰアドレスの間のコネクションを切断するステップを、さらに備えることを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合にそのパケットを廃棄し、さらに送信元ＩＰアドレスと宛先ＩＰアドレスのコネクションを切断することにより、リアルタイムで送信元ＩＰアドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができ、さらに不正侵入や攻撃の継続を防ぐことができる。
また、本発明に係る送信元アドレス偽装パケット検出方法において、送信元ＩＰアドレスの偽装有りと判定した場合に、予め指定されたアドレスへアラート情報を送信するステップを、さらに備えることを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットに関するアラート情報を管理者へ通知することにより、管理者が送信元ＩＰアドレスの偽装による不正侵入や攻撃を把握し、対処することができる。
また、本発明に係る送信元アドレス偽装パケット検出方法において、送信元ＩＰアドレスの偽装有りと判定した場合に、アラート情報をログとして記憶するステップを、さらに備えることを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットに関するアラート情報をログとして記憶することにより、送信元ＩＰアドレスの偽装による不正侵入や攻撃の記録を残し、ログを不正侵入や攻撃の証拠とすることができる。
また、本発明は、送信元ＩＰアドレスの偽装が施されたパケットの検出をコンピュータに実行させるために、コンピュータにより読取可能な媒体に記憶された送信元アドレス偽装パケット検出プログラムであって、パケットの入出力を制御するとともに、入力パケットの送信元ＩＰアドレスと前記入力パケットのＴＴＬ値を取得するステップと、前記入力パケットの送信元ＩＰアドレスとＴＴＬ値とを対応づけて記憶するステップと、送信元ＩＰアドレス毎に記憶されたＴＴＬ値に基づいて、送信元ＩＰアドレス毎の正常なＴＴＬ値の範囲を表す基準ＴＴＬ値を算出するステップと、基準ＴＴＬ値と送信元ＩＰアドレスとを対応づけて記憶するステップと、前記入力パケットのＴＴＬ値と前記入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値との比較を行い、該比較の結果に基づいて、前記入力パケットにおける前記送信元ＩＰアドレスが偽装か否かを判定するステップとを備えてなるものである。
このような構成によれば、送信元ＩＰアドレス毎に収集したＴＴＬ値を用いて算出した送信元アドレス毎の基準ＴＴＬ値と入力パケットのＴＴＬ値とを比較することにより、送信元ＩＰアドレスが偽装されたパケットを検出することができる。
また、本発明に係る送信元アドレス偽装パケット検出プログラムにおいて、送信元ＩＰアドレスの偽装無しと判定した場合に前記入力パケットを通過させ、送信元ＩＰアドレスの偽装有りと判定した場合に前記入力パケットを廃棄するステップを、さらに備えることを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合にそのパケットを廃棄することにより、リアルタイムで送信元ＩＰアドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができる。
また、本発明に係る送信元アドレス偽装パケット検出プログラムにおいて、送信元ＩＰアドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元ＩＰアドレスと宛先ＩＰアドレスの間のコネクションを切断するステップを、さらに備えることを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合にそのパケットを廃棄し、さらに送信元ＩＰアドレスと宛先ＩＰアドレスのコネクションを切断することにより、リアルタイムで送信元ＩＰアドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができ、さらに不正侵入や攻撃の継続を防ぐことができる。
また、本発明に係る送信元アドレス偽装パケット検出プログラムにおいて、送信元ＩＰアドレスの偽装有りと判定した場合に、予め指定されたアドレスへアラート情報を送信するステップを、さらに備えることを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットに関するアラート情報を管理者へ通知することにより、管理者が送信元ＩＰアドレスの偽装による不正侵入や攻撃を把握し、対処することができる。
また、本発明に係る送信元アドレス偽装パケット検出プログラムにおいて、送信元ＩＰアドレスの偽装有りと判定した場合に、アラート情報をログとして記憶するステップを、さらに備えることを特徴とするものである。
このような構成によれば、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットに関するアラート情報をログとして記憶することにより、送信元ＩＰアドレスの偽装による不正侵入や攻撃の記録を残し、ログを不正侵入や攻撃の証拠とすることができる。
【図面の簡単な説明】  第１図は、パケットの構成を示す図である。
第２図は、ＩＰヘッダの構成を示す図である。
第３図は、実施の形態１に係る送信元ＩＰアドレス偽装パケット検出装置の機能の一例を示すブロック図である。
第４図は、実施の形態１に係る送信元ＩＰアドレス偽装パケット検出装置の処理の一例を示すフローチャートである。
第５図は、基準ＴＴＬ値テーブルの一例を示す図である。
第６図は、ＴＴＬ値テーブルの一例を示す図である。
第７図は、実施の形態１に係る送信元アドレス偽装パケット検出装置を備えたＦＷの動作の一例を表すブロック図である。
第８図は、実施の形態２に係る送信元ＩＰアドレス偽装パケット検出装置の機能の一例を示すブロック図である。
第９図は、ＴＣＰヘッダの構成を示す図である。
第１０図は、実施の形態２に係る送信元ＩＰアドレス偽装パケット検出装置の処理の一例を示すフローチャートである。
第１１図は、実施の形態３に係る送信元ＩＰアドレス偽装パケット検出装置の機能の一例を示すブロック図である。
第１２図は、実施の形態３に係る送信元ＩＰアドレス偽装パケット検出装置の処理の一例を示すフローチャートである。
第１３図は、ログの一例を示す図である。
第１４図は、実施の形態４に係る送信元ＩＰアドレス偽装パケット検出装置の機能の一例を示すブロック図である。
第１５図は、実施の形態４に係る送信元ＩＰアドレス偽装パケット検出装置の処理の一例を示すフローチャートである。
第１６図は、ＦＷの動作の一例を示す図である。
第１７図は、フィルタリング通過リストを所持するＦＷの動作の一例を示す図である。
【発明を実施するための最良の形態】  以下、本発明の実施の形態について図面を参照して詳細に説明する。本実施の形態では、ＴＣＰ／ＩＰネットワークにおける送信元アドレス偽装パケット検出装置について説明する。
実施の形態１．
まず、本発明の送信元アドレス偽装パケット検出装置が用いるＴＴＬ値について説明する。第１図に示すように、パケットは、イーサネットヘッダ、ＩＰヘッダ、ＴＣＰ／ＵＤＰ（Ｕｓｅｒ  Ｄａｔａｇｒａｍ  Ｐｒｏｔｏｃｏｌ）ヘッダ、データから構成されている。また、第２図に示すように、ＩＰヘッダは、Ｖｅｒ．（Ｖｅｒｓｉｏｎ）、ＨＬｅｎ（Ｈｅａｄｅｒ  Ｌｅｎｇｔｈ）、ＴＯＳ（Ｔｙｐｅ  ｏｆ  Ｓｅｒｖｉｃｅ）、全データ長、識別子、フラグ、フラグメントオフセット、ＴＴＬ（Ｔｉｍｅ  Ｔｏ  Ｌｉｖｅ）値、プロトコル、チェックサム、送信元ＩＰアドレス、宛先ＩＰアドレスから構成されている。
ＩＰヘッダにおけるＴＴＬ値は、ＩＰヘッダにおける生存時間フィールドであり、パケットが経由できるルータ数の限界値が記されている。ＴＴＬ値はまず初期値を与えられ、ルータを経由するごとに値を１ずつ減らされる。ＴＴＬ値が０になるとそのパケットは破棄され、ＩＣＭＰタイプ１１エラー（時間超過）パケットが返送される。
このような動作により、送信元ＩＰアドレスを偽装したパケットのＴＴＬ値と、正常なパケットのＴＴＬ値は異なる場合が多い。その理由は、ホストごとにＴＴＬ値の初期値が異なる場合が多いという点と、送信元のホストからＦＷまでのホップ数が異なる場合が多いという点である。本発明はこの性質を利用し、通過するパケットのＴＴＬ値と基準ＴＴＬ値を比較することにより、送信元ＩＰアドレス偽装パケットを検出する。ここで、基準ＴＴＬ値は、ある送信元ＩＰアドレスに対応するＴＴＬ値の履歴に基づいて求められ、正常なＴＴＬ値の範囲を表すものである。
以下、本実施の形態に係る送信元ＩＰアドレス偽装パケット検出装置について詳細に説明する。本実施の形態に係る送信元ＩＰアドレス偽装パケット検出装置は、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットを廃棄するものである。第３図は、実施の形態１に係る送信元ＩＰアドレス偽装パケット検出装置の機能の一例を示すブロック図である。第３図に示すように、この送信元ＩＰアドレス偽装パケット検出装置の機能は、パケット制御部１と、アドレス偽装判定部２と、ＴＴＬ値記憶部３と、基準ＴＴＬ値算出部４と、基準ＴＴＬ値記憶部５から構成される。
第４図は、実施の形態１に係る送信元ＩＰアドレス偽装パケット検出装置の処理の一例を示すフローチャートである。まず、パケット制御部１は、ネットワークから入力パケットを受信し、入力パケットのＩＰヘッダから送信元ＩＰアドレスとＴＴＬ値を取得してアドレス偽装判定部２へ出力する（Ｓ１）。
アドレス偽装判定部２は、入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値が、基準ＴＴＬ値テーブルに設定されているか否かの判断を行う（Ｓ２）。ここで、基準ＴＴＬ値テーブルについて説明する。基準ＴＴＬ値テーブルは基準ＴＴＬ値記憶部５に記憶されている。第５図は、基準ＴＴＬ値テーブルの一例を示す図である。第５図に示すように基準ＴＴＬ値テーブルは、送信元ＩＰアドレス毎の正常なＴＴＬ値の範囲を表す基準ＴＴＬ値を、送信元ＩＰアドレスに対応づけて記憶する。
基準ＴＴＬ値テーブルに、入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値が設定されていない場合（Ｓ２，Ｎ）、処理はＳ４へ移行する。一方、基準ＴＴＬ値テーブルに、入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値が設定されている場合（Ｓ２，Ｙ）、アドレス偽装判定部２は基準ＴＴＬ値テーブルから送信元ＩＰアドレスに対応する基準ＴＴＬ値を取得し、入力パケットのＴＴＬ値が基準ＴＴＬ値の範囲内であるか否かを判断する（Ｓ３）。
入力パケットのＴＴＬ値が基準ＴＴＬ値の範囲内でない場合（Ｓ３，Ｎ）、アドレス偽装判定部２は、入力パケットが送信元ＩＰアドレス偽装パケットであることをパケット制御部１へ通知する。入力パケットが送信元ＩＰアドレス偽装パケットであるとの通知を受けたパケット制御部１は、入力パケットの廃棄を行い（Ｓ７）、このフローを終了する。
一方、入力パケットのＴＴＬ値が基準ＴＴＬ値の範囲内である場合（Ｓ３，Ｙ）、アドレス偽装判定部２は、入力パケットの送信元ＩＰアドレスが正常であることをパケット制御部１へ通知するとともに、入力パケットのＴＴＬ値をＴＴＬ値テーブルに保存する（Ｓ４）。
ここで、ＴＴＬ値テーブルについて説明する。ＴＴＬ値テーブルはＴＴＬ値記憶部３に記憶されている。第６図は、ＴＴＬ値テーブルの一例を示す図である。第６図に示すように、ＴＴＬ値テーブルは、送信元ＩＰアドレス毎に収集されたＴＴＬ値を、送信元ＩＰアドレスに対応づけて記憶する。
基準ＴＴＬ値算出部４は、ＴＴＬ値テーブルに新たに記憶されたＴＴＬ値を含めて基準ＴＴＬ値を算出し、その結果を基準ＴＴＬ値テーブルへ保存する（Ｓ５）。基準ＴＴＬ値は、例えばＴＴＬ値テーブルにおける送信元ＩＰアドレス毎のＴＴＬ値の中央値、または平均値として算出される。また、基準ＴＴＬ値は範囲を持っても良く、例えば中央値±１、平均値±１としても良い。また、基準ＴＴＬ値を予め基準ＴＴＬ値テーブルへ記憶させ、ＴＴＬ値記憶部３と基準ＴＴＬ値算出部４を省いても良い。
送信元ＩＰアドレスが正常であるとの通知を受けたパケット制御部１は、入力パケットをネットワークへ送信し（Ｓ６）、このフローを終了する。
ここで、本実施の形態に係る送信元アドレス偽装パケット検出装置を備えたＦＷの動作の一例について第７図を用いて説明する。第７図は、実施の形態１に係る送信元アドレス偽装パケット検出装置を備えたＦＷの動作の一例を表すブロック図である。第７図に示す例では、ホスト１０３と信頼関係にあるホスト１０２はＬＡＮ外部に存在し、ホスト１０３が存在するＬＡＮ内部と、ホスト１０１とホスト１０２が存在するＬＡＮ外部は、ＦＷ１２０を介して接続されている。ここで、ホスト１０１のＩＰアドレスはＡ、ホスト１０２のＩＰアドレスはＢ、ホスト１０３のＩＰアドレスはＣとする。ＦＷ１２０は、フィルタリング通過リストを保持するとともに、本実施の形態に係る送信元アドレス偽装パケット検出装置１３０を備える。フィルタリング通過リストには、通過させるパケットの送信元ＩＰアドレスとしてＢが設定されている。
ここでは簡単のため、送信元ＩＰアドレスＢを持つパケットの判定についてのみ説明する。送信元アドレス偽装パケット検出装置１３０は、入力パケットのＴＴＬ値と入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値２５１±１とを比較し、ＴＴＬ値が基準ＴＴＬ値の範囲内である場合はパケットを通過させ、ＴＴＬ値が基準ＴＴＬ値の範囲内でない場合はパケットの廃棄を行う。第７図に示す例においては、ホスト１０２から送信されたパケットは、送信元ＩＰアドレスがＢであり、さらにＴＴＬ値２５１が基準ＴＴＬ値２５１±１の範囲内であるため、ホスト１０２から送信されたパケットを正常なパケットとみなし、通過させる。一方、ホスト１０１から送信されたパケットは、送信元ＩＰアドレスはＢであるが、ＴＴＬ値１２３が基準ＴＴＬ値２５１±１の範囲内でないため、ホスト１０１から送信されたパケットを送信元ＩＰアドレス偽装パケットとみなし、廃棄する。
以上、本実施の形態では、送信元ＩＰアドレス偽装パケットを検出した場合にそのパケットを廃棄することにより、リアルタイムで送信元ＩＰアドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができる。
実施の形態２．
本実施の形態に係る送信元ＩＰアドレス偽装パケット検出装置は、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットに関する情報を管理者へ通知するものである。第８図は、実施の形態２に係る送信元ＩＰアドレス偽装パケット検出装置の機能の一例を示すブロック図である。第８図において、第３図と同一符号は第３図に示された対象と同一又は相当物を示しており、ここでの説明を省略する。第８図に示すように、本実施の形態に係る送信元ＩＰアドレス偽装パケット検出装置の機能は、第３図に示した構成に加え、さらにアラート情報通知部２１を備える。また、第３図に示した構成におけるパケット制御部１の代わりにパケット制御部１Ａを備え、アドレス偽装判定部２の代わりにアドレス偽装判定部２Ａを備える。
まず、パケット制御部１Ａの動作について説明する。パケット制御部１Ａは、ネットワークから入力パケットを受信し、入力パケットの送信元ＩＰアドレスとＴＴＬ値を取得してアドレス偽装判定部２Ａへ出力し、入力パケットのコネクション情報を取得してアラート情報通知部２１へ出力し、入力パケットをネットワークへ送信する。ここで、コネクション情報は、ＩＰヘッダから得られる送信元ＩＰアドレスと宛先ＩＰアドレスと、ＴＣＰヘッダから得られる送信元ポート番号と宛先ポート番号からなる。第９図に示すように、ＴＣＰヘッダは、送信元ポート番号、宛先ポート番号、シーケンス番号、ＡＣＫ（Ａｃｋｎｏｗｌｅｄｇｅ）番号、オフセット、予約、フラグ、ウィンドウサイズ、チェックサム、緊急ポインタから構成されている。
次に、アドレス偽装判定部２Ａとアラート情報通知部２１の動作について説明する。第１０図は、実施の形態２に係る送信元ＩＰアドレス偽装パケット検出装置の処理の一例を示すフローチャートである。第１０図において、第４図と同一符号は第４図に示された処理と同様であり、ここでの説明を省略する。本実施の形態では、入力パケットのＴＴＬ値が基準ＴＴＬ値の範囲内でない場合（Ｓ３，Ｎ）、アドレス偽装判定部２Ａは、入力パケットが送信元ＩＰアドレス偽装パケットであることをアラート情報通知部２１へ通知する。このときアドレス偽装判定部２Ａは、アラート情報通知部２１へ入力パケットのＴＴＬ値と基準ＴＴＬ値を渡す。
入力パケットが送信元ＩＰアドレス偽装パケットであるとの通知を受けたアラート情報通知部２１は、まず、アラート情報の作成を行う（Ｓ２１）。アラート情報は、例えば、日付と時刻と入力パケットのコネクション情報とＴＴＬ値と基準ＴＴＬ値からなる。次に、アラート情報通知部２１は予め指定された管理者のメールアドレスへ、アラート情報をメールとして送信し（Ｓ２２）、このフローを終了する。
以上、本実施の形態では、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットに関するアラート情報を作成し、管理者へ通知することにより、管理者が送信元ＩＰアドレスの偽装による不正侵入や攻撃を把握し、対処することができる。
実施の形態３．
本実施の形態に係る送信元ＩＰアドレス偽装パケット検出装置は、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットに関する情報をログとして記録するものである。第１１図は、実施の形態３に係る送信元ＩＰアドレス偽装パケット検出装置の機能の一例を示すブロック図である。第１１図において、第８図と同一符号は第８図に示された対象と同一又は相当物を示しており、ここでの説明を省略する。第１１図に示すように、本実施の形態に係る送信元ＩＰアドレス偽装パケット検出装置の機能は、第８図に示したアラート情報通知部２１の代わりにログ記憶部３１を備える。
以下、ログ記憶部３１の動作について説明する。第１２図は、実施の形態３に係る送信元ＩＰアドレス偽装パケット検出装置の処理の一例を示すフローチャートである。第１２図において、第４図と同一符号は第４図に示された処理と同様であり、ここでの説明を省略する。本実施の形態では、入力パケットのＴＴＬ値が基準ＴＴＬ値の範囲内でない場合（Ｓ３，Ｎ）、アドレス偽装判定部２Ａは、入力パケットが送信元ＩＰアドレス偽装パケットであることをログ記憶部３１へ通知する。このときアドレス偽装判定部２Ａは、ログ記憶部３１へ入力パケットのＴＴＬ値と基準ＴＴＬ値を渡す。
入力パケットが送信元ＩＰアドレス偽装パケットであるとの通知を受けたログ記憶部３１は、まず、アラート情報の作成を行う（Ｓ３１）。次に、ログ記憶部３１は、アラート情報をログとして記録し（Ｓ３２）、このフローを終了する。
第１３図は、ログの一例を示す図である。第１３図に示すように、ログには、送信元ＩＰアドレス偽装パケットが通過した日付と時刻、送信元ＩＰアドレス偽装パケットの基準ＴＴＬ値とＴＴＬ値とコネクション情報が記録されている。
以上、本実施の形態では、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットに関するアラート情報を作成し、ログとして記憶することにより、送信元ＩＰアドレスの偽装による不正侵入や攻撃の記録を残し、ログを不正侵入や攻撃の証拠とすることができる。
実施の形態４．
本実施の形態に係る送信元ＩＰアドレス偽装パケット検出装置は、送信元ＩＰアドレス偽装パケットを検出した場合に、そのパケットの送信元ＩＰアドレスと宛先ＩＰアドレスの間のコネクションを切断するものである。第１４図は、実施の形態４に係る送信元ＩＰアドレス偽装パケット検出装置の機能の一例を示すブロック図である。第１４図において、第３図と同一符号は第３図に示された対象と同一又は相当物を示しており、ここでの説明を省略する。第１４図に示すように、本実施の形態に係る送信元ＩＰアドレス偽装パケット検出装置の機能は、第３図に示した構成に加え、さらにコネクション切断部４１を備える。また、第３図に示した構成におけるパケット制御部１の代わりにパケット制御部１Ｂを備え、アドレス偽装判定部２の代わりにアドレス偽装判定部２Ｂを備える。
まず、パケット制御部１Ｂの動作について説明する。パケット制御部１Ｂは、ネットワークから入力パケットを受信し、入力パケットの送信元ＩＰアドレスとＴＴＬ値を取得してアドレス偽装判定部２Ｂへ出力し、入力パケットをコネクション切断部４１へ出力する。また、パケット制御部１Ｂは、入力パケットが送信元ＩＰアドレス偽装パケットであるとの通知を受けた場合、入力パケットを廃棄する。
次に、アドレス偽装判定部２Ｂとコネクション切断部４１の動作について説明する。第１５図は、実施の形態４に係る送信元ＩＰアドレス偽装パケット検出装置の処理の一例を示すフローチャートである。第１５図において、第４図と同一符号は第４図に示された処理と同様であり、ここでの説明を省略する。本実施の形態では、入力パケットのＴＴＬ値が基準ＴＴＬ値の範囲内でない場合（Ｓ３，Ｎ）、アドレス偽装判定部２Ｂは、入力パケットが送信元ＩＰアドレス偽装パケットであることをコネクション切断部４１とパケット制御部１Ｂへ通知する。
入力パケットが送信元ＩＰアドレス偽装パケットであるとの通知を受けたコネクション切断部４１は、まず入力パケットを参照して送信元ＩＰアドレスと宛先ＩＰアドレスに対するリセットパケットの作成を行う（Ｓ４１）。リセットパケットとは、ＴＣＰにおけるコネクションを強制終了するためのパケットであり、具体的には、ＴＣＰヘッダのフラグのうちＲＳＴフラグビットを立てたパケットのことである。次にコネクション切断部４１は、リセットパケットを送信元ＩＰアドレスと宛先ＩＰアドレスへ送信し（Ｓ４２）、このフローを終了する。
以上、本実施の形態では、送信元ＩＰアドレス偽装パケットを検出した場合にそのパケットを廃棄し、さらにリセットパケットを生成し送信元ＩＰアドレスと宛先ＩＰアドレスへ送信することでＴＣＰにおけるコネクションを切断することにより、リアルタイムで送信元ＩＰアドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができ、さらに不正侵入や攻撃の継続を防ぐことができる。
なお、実施の形態１から実施の形態４で説明した送信元ＩＰアドレス偽装パケット検出装置の機能をプログラムとすることにより、ＦＷやルータ、ＩＤＳの機能の一部として実装し他の機能と協調し、攻撃や不正侵入の検出率を上げることができる。
【産業上の利用の可能性】
以上説明したように本発明によれば、パケットを中継またはモニタする装置において、通過するパケットの送信元ＩＰアドレス毎にＴＴＬ値を収集して基準ＴＴＬ値を生成し、通過するパケットのＴＴＬ値と基準ＴＴＬ値を比較することにより、送信元ＩＰアドレスの偽装を検出し、検出した場合にアラートを上げる、またはそのパケットの廃棄を行うことにより、送信元ＩＰアドレスの偽装による不正侵入や攻撃からＬＡＮ内部を守ることができる。
【図１】
2004051946.tif 000003
【図２】
2004051946.tif 000004
【図３】
2004051946.tif 000005
【図４】
2004051946.tif 000006
【図５】
2004051946.tif 000007
【図６】
2004051946.tif 000008
【図７】
2004051946.tif 000009
【図８】
2004051946.tif 000010
【図９】
2004051946.tif 000011
【図１０】
2004051946.tif 000012
【図１１】
2004051946.tif 000013
【図１２】
2004051946.tif 000014
【図１３】
2004051946.tif 000015
【図１４】
2004051946.tif 000016
【図１５】
2004051946.tif 000017
【図１６】
2004051946.tif 000018
【図１７】
2004051946.tif 000019
【手続補正書】
【提出日】平成17年4月12日(2005.4.12)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
送信元アドレスの偽装が施されたパケットを検出する送信元アドレス偽装パケット検出装置であって、
パケットの入出力を制御するとともに、入力パケットの送信元アドレスと前記入力パケットの生存時間を取得するパケット制御部と、
正常な生存時間の範囲を表す基準生存時間と送信元アドレスとを対応づけて記憶する基準生存時間記憶部と、
前記入力パケットの生存時間と前記入力パケットの送信元アドレスに対応する基準生存時間との比較を行い、該比較の結果に基づいて、前記入力パケットにおける送信元アドレスの偽装の有無を判定するアドレス偽装判定部と、
前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元アドレスと宛先アドレスの間のコネクションを切断するコネクション切断部とを備え、
前記パケット制御部は、前記アドレス偽装判定部が送信元アドレスの偽装無しと判定した場合に前記入力パケットを通過させる一方、前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に前記入力パケットを廃棄し、前記アドレス偽装判定部は、前記入力パケットにおける送信元アドレスと宛先アドレスの間のコネクションを切断することを特徴とする送信元アドレス偽装パケット検出装置。
【請求項２】
送信元アドレスの偽装が施されたパケットを検出する送信元アドレス偽装パケット検出装置であって、
パケットの入出力を制御するとともに、入力パケットの送信元アドレスと前記入力パケットの生存時間を取得するパケット制御部と、
正常な生存時間の範囲を表す基準生存時間と送信元アドレスとを対応づけて記憶する基準生存時間記憶部と、
前記入力パケットの生存時間と前記入力パケットの送信元アドレスに対応する基準生存時間との比較を行い、該比較の結果に基づいて、前記入力パケットにおける送信元アドレスの偽装の有無を判定するアドレス偽装判定部と、
前記入力パケットの送信元アドレスと生存時間とを対応づけて記憶する生存時間記憶部と、
該生存時間記憶部により送信元アドレス毎に記憶された生存時間に基づいて、送信元アドレス毎の基準生存時間を算出する基準生存時間算出部と、
前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元アドレスと宛先アドレスの間のコネクションを切断するコネクション切断部とを備え、
前記パケット制御部は、前記アドレス偽装判定部が送信元アドレスの偽装無しと判定した場合に前記入力パケットを通過させる一方、前記アドレス偽装判定部が送信元アドレスの偽装有りと判定した場合に前記入力パケットを廃棄し、前記コネクション切断部は、前記入力パケットにおける送信元アドレスと宛先アドレスの間のコネクションを切断することを特徴とする送信元アドレス偽装パケット検出装置。
【請求項３】
請求項１に記載の送信元アドレス偽装パケット検出装置であって、
前記アドレスはＩＰアドレスであり、前記生存時間はＴＴＬ値であり、前記基準生存時間は正常なＴＴＬ値の範囲を表す基準ＴＴＬ値であり、前記基準生存時間記憶部は基準ＴＴＬ値記憶部であることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項４】
請求項３に記載の送信元アドレス偽装パケット検出装置において、
前記コネクション切断部は、送信元ＩＰアドレスと宛先ＩＰアドレスへリセットパケットを送信することにより前記コネクションを切断することを特徴とする送信元アドレス偽装パケット検出装置。
【請求項５】
請求項３に記載の送信元アドレス偽装パケット検出装置において、
前記入力パケットの送信元ＩＰアドレスとＴＴＬ値とを対応づけて記憶するＴＴＬ値記憶部と、
該ＴＴＬ値記憶部により送信元ＩＰアドレス毎に記憶されたＴＴＬ値に基づいて、送信元ＩＰアドレス毎の基準ＴＴＬ値を算出する基準ＴＴＬ値算出部と、をさらに備えることを特徴とする送信元アドレス偽装パケット検出装置。
【請求項６】
請求項５に記載の送信元アドレス偽装パケット検出装置において、
前記コネクション切断部は、送信元ＩＰアドレスと宛先ＩＰアドレスへリセットパケットを送信することにより前記コネクションを切断することを特徴とする送信元アドレス偽装パケット検出装置。
【請求項７】
送信元ＩＰアドレスの偽装が施されたパケットを検出する送信元アドレス偽装パケット検出方法であって、
パケットの入出力を制御するとともに、入力パケットの送信元ＩＰアドレスと前記入力パケットのＴＴＬ値を取得するステップと、
前記入力パケットの送信元ＩＰアドレスとＴＴＬ値とを対応づけて記憶するステップと、
送信元ＩＰアドレス毎に記憶されたＴＴＬ値に基づいて、送信元ＩＰアドレス毎の正常なＴＴＬ値の範囲を表す基準ＴＴＬ値を算出するステップと、
基準ＴＴＬ値と送信元ＩＰアドレスとを対応づけて記憶するステップと、
前記入力パケットのＴＴＬ値と前記入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値との比較を行い、該比較の結果に基づいて、前記入力パケットにおける前記送信元ＩＰアドレスが偽装か否かを判定するステップと、
送信元ＩＰアドレスの偽装無しと判定した場合に前記入力パケットを通過させ、送信元ＩＰアドレスの偽装有りと判定した場合に前記入力パケットを廃棄するステップと、
送信元ＩＰアドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元ＩＰアドレスと宛先ＩＰアドレスの間のコネクションを切断するステップと、
を備えてなる送信元アドレス偽装パケット検出方法。
【請求項８】
送信元ＩＰアドレスの偽装が施されたパケットの検出をコンピュータに実行させるために、コンピュータにより読取可能な媒体に記憶された送信元アドレス偽装パケット検出プログラムであって、
パケットの入出力を制御するとともに、入力パケットの送信元ＩＰアドレスと前記入力パケットのＴＴＬ値を取得するステップと、
前記入力パケットの送信元ＩＰアドレスとＴＴＬ値とを対応づけて記憶するステップと、
送信元ＩＰアドレス毎に記憶されたＴＴＬ値に基づいて、送信元ＩＰアドレス毎の正常なＴＴＬ値の範囲を表す基準ＴＴＬ値を算出するステップと、
基準ＴＴＬ値と送信元ＩＰアドレスとを対応づけて記憶するステップと、
前記入力パケットのＴＴＬ値と前記入力パケットの送信元ＩＰアドレスに対応する基準ＴＴＬ値との比較を行い、該比較の結果に基づいて、前記入力パケットにおける前記送信元ＩＰアドレスが偽装か否かを判定するステップと、
送信元ＩＰアドレスの偽装無しと判定した場合に前記入力パケットを通過させ、送信元ＩＰアドレスの偽装有りと判定した場合に前記入力パケットを廃棄するステップと、
送信元ＩＰアドレスの偽装有りと判定した場合に、前記入力パケットにおける送信元ＩＰアドレスと宛先ＩＰアドレスの間のコネクションを切断するステップと、
を備えてなる送信元アドレス偽装パケット検出プログラム。
【国際調査報告】
2004051946.tif 000020
2004051946.tif 000021
2004051946.tif 000022