(57)【要約】【課題】同一のアドレスを利用する不正ユーザ端末と正当ユーザ端末とを正しく識別する。【解決手段】侵入防止システムが、第１のネットワーク内の不正ユーザ端末からの第２のネットワークへの不正アクセスを検出する不正アクセス検出ステップと、前記侵入防止システムが、前記不正ユーザ端末に割り当てられている前記アドレスをネットワーク・アクセス・サーバに通知するアドレス通知ステップと、前記ネットワーク・アクセス・サーバが、前記不正ユーザ端末に割り当てられているアドレスを前記不正ユーザ端末から解放するアドレス解放ステップと、前記ネットワーク・アクセス・サーバが、前記解放をした旨を前記侵入防止システムに通知する解放通知ステップと、前記侵入防止システムが、前記アドレスを利用した通信を可能とする通信可能化ステップと、を備える。【選択図】図１
2007274086.tif 000002
【特許請求の範囲】
【請求項１】
侵入防止システムが、第１のネットワーク内の不正ユーザ端末からの第２のネットワークへの不正アクセスを検出する不正アクセス検出ステップと、
前記侵入防止システムが、前記不正ユーザ端末に割り当てられている前記アドレスをネットワーク・アクセス・サーバに通知するアドレス通知ステップと、
前記ネットワーク・アクセス・サーバが、前記不正ユーザ端末に割り当てられているアドレスを前記不正ユーザ端末から解放するアドレス解放ステップと、
前記ネットワーク・アクセス・サーバが、前記解放をした旨を前記侵入防止システムに通知する解放通知ステップと、
前記侵入防止システムが、前記アドレスを利用した通信を可能とする通信可能化ステップと、
を備えることを特徴とするアクセス制御方法。
【請求項２】
請求項１に記載のアクセス制御方法において、
前記不正アクセス検出ステップの次に、前記侵入防止システムが、前記不正ユーザ端末に割り当てられているアドレスを利用した通信を不能とする通信不能化ステップを更に備えることを特徴とするアクセス制御方法。
【請求項３】
請求項１に記載のアクセス制御方法において、
前記アドレス通知ステップと、前記アドレス解放ステップとの間で、前記ネットワーク・アクセス・サーバが、前記不正ユーザに割り当てられているアドレスを利用した通信を不能とする通信不能化ステップを更に備えることを特徴とするアクセス制御方法。
【請求項４】
侵入防止システムが、第１のネットワーク内の不正ユーザ端末からの第２のネットワークへの不正アクセスを検出する不正アクセス検出手段と、
前記侵入防止システムが、前記不正ユーザ端末に割り当てられている前記アドレスをネットワーク・アクセス・サーバに通知するアドレス通知手段と、
前記ネットワーク・アクセス・サーバが、前記不正ユーザ端末に割り当てられているアドレスを前記不正ユーザ端末から解放するアドレス解放手段と、
前記ネットワーク・アクセス・サーバが、前記解放をした旨を前記侵入防止システムに通知する解放通知手段と、
前記侵入防止システムが、前記アドレスを利用した通信を可能とする通信可能化手段と、
を備えることを特徴とするアクセス制御システム。
【請求項５】
請求項４に記載のアクセス制御システムにおいて、
前記不正アクセス検出手段の動作の次に、前記侵入防止システムが、前記不正ユーザ端末に割り当てられているアドレスを利用した通信を不能とする通信不能化手段を更に備えることを特徴とするアクセス制御システム。
【請求項６】
請求項４に記載のアクセス制御システムにおいて、
前記アドレス通知手段の動作と、前記アドレス解放手段の動作との間の期間で、前記ネットワーク・アクセス・サーバが、前記不正ユーザに割り当てられているアドレスを利用した通信を不能とする通信不能化手段を更に備えることを特徴とするアクセス制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、第１のネットワークから第２のネットワークへのアクセスを制御するためのアクセス制御方法及びアクセス制御システムに関する。
【背景技術】
【０００２】
従来のＮＡＳ(Network Access Server、ネットワーク・アクセス・サーバ)、ＩＰＳ(Intrusion Prevention System、侵入防止システム)が組み込まれたネットワークの例を図２に示す。ＮＡＳはＩＰＳに登録されている不正ユーザ端末の情報を保持しておらず、また、ＩＰＳはＮＡＳによるＩＰアドレス開放についての情報を保持していない。
【特許文献１】特開２００１−２１１１８０号公報
【特許文献２】特開２００３−３４８０８５号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
上記の状態で、不正ユーザ端末からのアクセスがあった際の一連の動作を、図２に示す。
【０００４】
図２では、ＮＡＳ２０１、ＩＰＳ２０２、ルータ１０３は、ＩＳＰ(Internet Service Provider)が利用する装置群である。ＮＡＳ２０１の左側のイントラネット１０４は、ＩＳＰへの加入者の端末が接続されるＩＰネットワークを示す。ルータの右側のインターネット１０５は、世界的に広がるＩＰネットワークを示す。ＩＳＰへの加入者の端末がインターネット１０５に接続する場合には、ＩＰパケットがＮＡＳ２０１、２０２及びルータ１０３を通過する。
【０００５】
問題となっているのは、加入者の端末が全て正当な加入者であるとは限らず、不正な加入者（防御ネットワークへの不正なアクセスを行う加入者）が加入者群に含まれていることである。ＩＰＳは、不正な加入者の端末を検出すると、その端末が送受信するＩＰパケットを遮断する。
【０００６】
すなわち、ＩＰＳ２０２は、不正ユーザ端末（イントラネット１０４に接続されている）からの不正アクセスを検出すると、不正ユーザ端末が行う通信を遮断（ブロック）する。このとき、ＩＰＳ２０２は、不正ユーザ端末に割り当てられているＩＰアドレスを検出し、そのＩＰアドレスを送信元ＩＰアドレス又は宛先ＩＰアドレスとして有するＩＰパケットの通過を遮断する。しかし、ＮＡＳ２０１は、不正アクセスに関しては全く関与していない（ステップＳ２１、Ｓ２２）。
【０００７】
次に、不正ユーザ端末がログアウトし、その不正ユーザが利用していたＩＰアドレスが解放される。次に、別の正当なユーザ端末がインターネット１０５に接続される場合、ＩＰアドレスのダイナミック・アロケーションが行われる場合には、不正ユーザ端末に割り当てられていたＩＰアドレスが、ＮＡＳ２０１により、新たな正当なユーザ端末に割り当てられる場合が生じる。
【０００８】
しかし、ＩＰＳ２０２は、不正ユーザ端末に割り当てられていたＩＰアドレスは、不正アクセスに関連したＩＰアドレスであるとして、ブラックリストに入れたままである。従って、新たな正当なユーザ端末が送受信しようとするＩＰパケットは、ＩＰＳ２０２により遮断されてしまい、新たな正当なユーザ端末は、インターネット１０５に接続することができない（ステップＳ２３）
すなわち、ＮＡＳ２０１を用いて、あらかじめプールされたＩＰアドレスをユーザに割り振るＩＳＰ(Internet Service Provider)では、ユーザがインターネット接続を切断すると、割り当てられていたＩＰアドレスが開放され、別のユーザに割り当てられる事になる。ＩＰＳにマークされている不正ユーザが使用していたＩＰアドレスが一般ユーザに割り当てられた場合、通信制限を受けるはずの無い一般ユーザが不正ユーザとして、ＩＰＳから通信のブロックを受ける事になってしまう。
【０００９】
端的に言えば、不正ユーザ端末についての情報連携がＮＡＳ２０１とＩＰＳ２０２との間でなされていないため、ＩＰＳ２０２は一般ユーザ端末の通信をブロックしてしまい、ＮＡＳ２０１は不正ユーザ端末の通信をブロックする事が出来ない。
【００１０】
従って、従来の技術では、同一ＩＰアドレスを使用しているユーザについて、ＩＰＳ２０２が不正ユーザ端末と一般ユーザ端末の識別を行う事は不可能である。
【００１１】
また、不正ユーザ端末が外部で行った行為については、ＩＳＰに対しても責任を問われることになるため、出来る限りネットワークの内側で不正ユーザ端末の通信を遮断したいとの課題があった。
【００１２】
さらに、不正ユーザ端末の通信によるトラフィック負荷の軽減も、課題であった。すなわち、不正ユーザ端末は、大量のＩＰパケットを送出する場合があるが、このような大量のＩＰパケットがＮＡＳ２０１とＩＰＳ２０２との間で伝送されると、その間の伝送路が圧迫されることがあった。
【００１３】
そこで本発明は、同一のアドレスを利用する不正ユーザ端末と正当ユーザ端末とを正しく識別することを可能とするアクセス制御方法及びアクセス制御システムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
本発明によれば、侵入防止システムが、第１のネットワーク内の不正ユーザ端末からの第２のネットワークへの不正アクセスを検出する不正アクセス検出ステップと、前記侵入防止システムが、前記不正ユーザ端末に割り当てられている前記アドレスをネットワーク・アクセス・サーバに通知するアドレス通知ステップと、前記ネットワーク・アクセス・サーバが、前記不正ユーザ端末に割り当てられているアドレスを前記不正ユーザ端末から解放するアドレス解放ステップと、前記ネットワーク・アクセス・サーバが、前記解放をした旨を前記侵入防止システムに通知する解放通知ステップと、前記侵入防止システムが、前記アドレスを利用した通信を可能とする通信可能化ステップと、を備えることを特徴とするアクセス制御方法が提供される。
【００１５】
上記のアクセス制御方法において、前記不正アクセス検出ステップの次に、前記侵入防止システムが、前記不正ユーザ端末に割り当てられているアドレスを利用した通信を不能とする通信不能化ステップを更に備えるようにしてもよい。
【００１６】
上記のアクセス制御方法において、前記アドレス通知ステップと、前記アドレス解放ステップとの間で、前記ネットワーク・アクセス・サーバが、前記不正ユーザに割り当てられているアドレスを利用した通信を不能とする通信不能化ステップを更に備えるようにしてもよい。
【発明の効果】
【００１７】
本発明によれば、侵入防止システムが、第１のネットワーク内の不正ユーザ端末からの第２のネットワークへの不正アクセスを検出する不正アクセス検出ステップと、前記侵入防止システムが、前記不正ユーザ端末に割り当てられている前記アドレスをネットワーク・アクセス・サーバに通知するアドレス通知ステップと、前記ネットワーク・アクセス・サーバが、前記不正ユーザ端末に割り当てられているアドレスを前記不正ユーザ端末から解放するアドレス解放ステップと、前記ネットワーク・アクセス・サーバが、前記解放をした旨を前記侵入防止システムに通知する解放通知ステップと、前記侵入防止システムが、前記アドレスを利用した通信を可能とする通信可能化ステップと、を備えるので、同一のアドレスを利用する不正ユーザ端末と正当ユーザ端末とを正しく識別することが可能となる。
【発明を実施するための最良の形態】
【００１８】
以下、図面を参照して本発明を実施するための最良の形態について詳細に説明する。
【００１９】
図１を参照すると、本発明は、ＮＡＳ１０１及びＩＰＳ１０２を用いて、不正ユーザ端末を正当ユーザ端末から正しく識別し、かつ、不正ユーザ端末の通信をＮＡＳ１０１にて遮断可能なシステムを提供するものである。
【００２０】
ＩＰＳ１０２が不正ユーザ端末からの不正アクセスを検知した際には、まず、ＩＰＳ１０２が不正ユーザ端末の通信を遮断する（ステップＳ１１）。
【００２１】
これと同時に、ＩＰＳ１０２は、ＮＡＳ１０１に対し、不正ユーザ端末に関する情報を送付する（ステップＳ１２）。ここで不正ユーザ端末に関する情報とは、例えば、不正ユーザ端末に現在割り当てられているＩＰアドレスである。
【００２２】
不正ユーザ端末に関する情報を受け取ったＮＡＳ１０１は、不正ユーザ端末からＩＰアドレスを強制的に解放する（ステップＳ１３）。これにより、不正ユーザ端末から送出されようとするＩＰパケットは外部ネットワークへアクセスするためのＩＰアドレスを失い、ＮＡＳ１０１の外側に出られなくなる（ＮＡＳによる通信の遮断）。
【００２３】
続いて、ＮＡＳ１０１は不正ユーザ端末からＩＰアドレスを開放した旨をＩＰＳ１０２に通知する。この通知の際には、解放したＩＰアドレスも同時に通知する。これを受けたＩＰＳ１０２は、ステップＳ１１でブラックリストに登録した不正ユーザ端末のＩＰアドレスをブラックリストから削除する（ステップＳ１４）。
【００２４】
これにより、不正ユーザ端末が使用していたＩＰアドレスが、その後、正当ユーザ端末に割り当てられたとしても、その正当ユーザ端末の通信はＮＡＳ１０１により遮断されることもないし、ＩＰＳ１０２により遮断されることもない。
【図面の簡単な説明】
【００２５】
【図１】本発明によるアクセス制御方法を説明するための図である。
【図２】従来例によるアクセス制御方法を説明するための図である。
【符号の説明】
【００２６】
１０１  ＮＡＳ（ネットワーク・アクセス・サーバ）
１０２  ＩＰＳ（侵入防止システム）
１０３  ルータ
１０４  イントラネット
１０５  インターネット
【図１】
2007274086.tif 000003
【図２】
2007274086.tif 000004