(57)【要約】      （修正有）【課題】サイバーアタックを受けた場合、システム管理者の判断や操作を介さずに内部ネットワークに接続されたサーバを保護し、特定の送信者からのパケットを受信可能とする。【解決手段】外部ネットワーク１からゲートウェイ装置４に入力されるパケットの数をカウントするパケットカウント装置５と、所定時間におけるパケットの受信回数を閾値として登録する閾値テーブル６と、パケットカウント装置５によりカウントされるパケット数が、閾値テーブル６に登録された該閾値を超えた場合にサイバーアタック等と判断する判断装置７と、パケット着信をフィルタリングしない特例者のＩＰアドレスを登録する特例者名登録テーブル８とを有する。ゲートウェイ装置４は、判断装置７がサイバーアタック等と判断した場合、特例者名登録テーブル８に登録されたＩＰアドレスを持つ者から送信されるパケットはフィルタリングしないで内部ネットワーク２へ転送する。【選択図】図１
2016152549.tif 000002
【特許請求の範囲】
【請求項１】
第１ネットワークと第２ネットワークとを、ゲートウェイ装置を介して接続するゲートウェイシステムにおいて、
該第１ネットワークからゲートウェイ装置に入力されるパケットの数をカウントするパケットカウント装置と、
所定時間におけるパケットの受信回数を閾値として登録する閾値テーブルと、
該パケットカウント装置によりカウントされるパケット数が、該閾値テーブルに登録された該閾値を超えた場合にサイバーアタック又は過剰受信状態と判断する判断装置と、
パケット着信をフィルタリングしない特例者の固有情報を登録する特例者名登録テーブルと、を有し、
前記ゲートウェイ装置は、該判断装置がサイバーアタック又は過剰受信状態と判断した場合、該特例者名登録テーブルに登録された該固有情報を持つ者から送信されるパケットはフィルタリングしないで該第２ネットワークへ転送し、該特例者名登録テーブルに登録された該固有情報以外の者から送信されるパケットはフィルタリングするように制御する
ことを特徴とするゲートウェイシステム。
【請求項２】
第１ネットワークと第２ネットワークとを、ゲートウェイ装置を介して接続するゲートウェイシステムにおいて、
該第１ネットワークからゲートウェイ装置に入力されるパケットの数をカウントするパケットカウント装置と、
所定時間におけるパケットの受信回数を閾値として登録する閾値テーブルと、
該パケットカウント装置によりカウントされるパケット数が、該閾値テーブルに登録された該閾値を超えた場合にサイバーアタック又は過剰受信状態と判断する判断装置と、
パケット着信をフィルタリングする特例者の固有情報を登録する排除者名登録テーブルを有し、
前記ゲートウェイ装置は、該判断装置がサイバーアタック又は過剰受信状態と判断した場合、該排除者名登録テーブルに登録された固有情報を持つ者から送信されるパケットはフィルタリングして該第２ネットワークへ転送しないように制御する
ことを特徴とするゲートウェイシステム。
【請求項３】
さらに、該ゲートウェイ装置が受信するパケット数のうちどの程度のパケット数を該第２ネットワークへ転送してよいかの割合（間引き率）を設定する間引き率テーブルを有し、
前記判断装置がサイバーアタック又は過剰受信状態と判断した場合、前記ゲートウェイ装置は、該間引き率テーブルにより規定された間引き率に応じて、間引き率分のパケットを該第２ネットワークへ転送し、該間引き率を超えた分のパケットは廃棄するように制御する
ことを特徴とする請求項１又は２に記載のゲートウェイシステム。
【請求項４】
さらに、前記固有情報としてのＩＰアドレスごとのパケットの受信状況をモニタする状況モニタ装置と、
受信パケットの宛先ＩＰアドレスに該当するユーザの装置へパケットの受信状況を通知する通信装置と、を有し、
前記判断装置がサイバーアタック又は過剰受信状態と判断した場合、該状況モニタ装置はパケットの受信状況を監視し、
該通信装置は、パケットの受信状況を、該受信パケットの宛先ＩＰアドレスに該当するユーザの装置へ通知する
ことを特徴とする請求項１乃至３のいずれかの項記載のゲートウェイシステム。
【請求項５】
前記パケットカウント装置は、該パケットのタイトルごとにパケット数をカウントするものであり、
前記閾値テーブルは、所定時間における同一タイトルを含むパケットの受信回数を閾値として登録し、
前記判断装置は、該パケットカウンタ装置がカウントする同一タイトルごとのパケット数と、該閾値テーブルに登録された閾値を照合することで、サイバーアタック又は過剰受信状態と判断する
ことを特徴とする請求項１乃至３のいずれかの項記載のゲートウェイシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、外部ネットワークと内部ネットワークとを接続するゲートウェイシステムに関する。
【背景技術】
【０００２】
ゲートウェイシステムは、インターネット等の外部ネットワークと、社内ネットワーク等の内部ネットワークとを接続し、両者のプロトコルが異なるデータを相互に変換して通信を可能とする。ゲートウェイシステムは、一般的に、フィルタリング機能や、プロキシ機能、ユーザ認証機能、プロトコルフィルタリング機能等を有している。さらに、ファイアウォールや侵入検知システム（ＩＤＳ）、送受信データの暗号化技術を適用して、セキュリティの向上を図っている。
【０００３】
ゲートウェイシステムでは、外部ネットワークからのサイバー攻撃やハッキング等から内部ネットワークに接続される機器や情報資産を保護することが重要である。そのための技術として、例えば、特許文献１及び特許文献２に記載された技術が知られている。これらの技術は、不特定の発信元から短時間に集中的に送信されてくるサイバーアタックや過剰受信状態になったときに、ゲートウェイシステムが自動的にサイバーアタックを受けたことを判断して内部ネットワークを保護する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００４−２７４４４４号公報
【特許文献２】特表２００６−５０４１７８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記従来技術によれば、ゲートウェイシステムが自動的にサイバーアタックを受けたことを判断して内部ネットワークを保護することができるが、一方で悪意の通信の確率が極めて低く優先度の高いパケットの受信が排除されてしまう。そのため、サイバーアタックからサーバを保護することが遅れて、内部ネットワーク内の受信パケット処理がサーバの処理能力を超え、サーバダウンを招く危険が高くなることがある。また、従来技術では、特定のドメインもしくは送信者から悪意の送信が集中的にあった場合には、システム管理者はゲートウェイシステム内に設けた排除者名登録テーブルに当該送信者を登録する必要である。このような操作は手間であり、またネットワーク管理の技術力が低い一般ユーザには即時の対応が困難であるという問題がある。
【０００６】
本発明の目的は、サイバーアタックを受けた場合、システム管理者の判断や操作を介さずに内部ネットワークに接続されたサーバを保護し、特定の送信者からのパケットを受信可能とするゲートウェイシステムを提供することにある。
【課題を解決するための手段】
【０００７】
本発明に係るゲートウェイシステムは、好ましい例によれば、第１ネットワークと第２ネットワークとを、ゲートウェイ装置を介して接続するゲートウェイシステムにおいて、
該第１ネットワークからゲートウェイ装置に入力されるパケットの数をカウントするパケットカウント装置と、所定時間におけるパケットの受信回数を閾値として登録する閾値テーブルと、該パケットカウント装置によりカウントされるパケット数が、該閾値テーブルに登録された該閾値を超えた場合にサイバーアタック又は過剰受信状態と判断する判断装置と、パケット着信をフィルタリングしない特例者の固有情報を登録する特例者名登録テーブルとを有し、
前記ゲートウェイ装置は、該判断装置がサイバーアタック又は過剰受信状態と判断した場合、該特例者名登録テーブルに登録された該固有情報を持つ者から送信されるパケットはフィルタリングしないで該第２ネットワークへ転送し、該特例者名登録テーブルに登録された該固有情報以外の者から送信されるパケットはフィルタリングするように制御することを特徴とするゲートウェイシステムとして構成する。
【０００８】
また、他の好ましい例によれば、本発明に係るゲートウェイシステムは、第１ネットワークと第２ネットワークとを、ゲートウェイ装置を介して接続するゲートウェイシステムにおいて、
該第１ネットワークからゲートウェイ装置に入力されるパケットの数をカウントするパケットカウント装置と、所定時間におけるパケットの受信回数を閾値として登録する閾値テーブルと、該パケットカウント装置によりカウントされるパケット数が、該閾値テーブルに登録された該閾値を超えた場合にサイバーアタック又は過剰受信状態と判断する判断装置と、パケット着信をフィルタリングする特例者の固有情報を登録する排除者名登録テーブルを有し、
前記ゲートウェイ装置は、該判断装置がサイバーアタック又は過剰受信状態と判断した場合、該排除者名登録テーブルに登録された固有情報を持つ者から送信されるパケットはフィルタリングして該第２ネットワークへ転送しないように制御するゲートウェイシステムとして構成される。
【発明の効果】
【０００９】
本発明によれば、サイバーアタックを受けた場合、システム管理者の判断や操作を介さずに内部ネットワークに接続されたサーバを保護し、特定の送信者からのパケットの受信が可能となる。
【図面の簡単な説明】
【００１０】
【図１】一実施例（実施例１）におけるゲートウェイシステムの構成例を示す図である。
【図２】パケットのフレームの構成例を示す図である。
【図３】パケットカウントテーブルの構成例を示す図である。
【図４】サイバーアタックとみなすかを判断する閾値テーブルの構成例を示す図である。
【図５】ＩＤテーブルの構成例を示す図である。
【図６】特例者名登録テーブルの構成例を示す図である。
【図７】実施例２におけるゲートウェイシステムの構成例を示す図である。
【図８】排除者名登録テーブルの構成例を示す図である。
【図９】実施例３におけるゲートウェイシステムの構成例を示す図である。
【図１０】実施例４におけるゲートウェイシステムの構成例を示す図である。
【発明を実施するための形態】
【００１１】
以下、図面を参照して、本発明の好ましい実施形態について説明する。
【実施例１】
【００１２】
図１は、ネットワークシステムにおけるゲートウェイシステムの構成例を示す。
ゲートウェイシステム３は、送信者宅内装置１８が接続されるインターネット網のような外部ネットワーク（第１ネットワーク）１と、社内ネットワークのような内部ネットワーク（第２ネットワーク）２を接続する。内部ネットワーク２には、メールサーバ１０や、メインサーバ１１、内部サーバ１２が接続される。送信者宅内装置１８は、ＯＮＵ等のインターネットサービスプロバイダが提供する装置でも良いし、パーソナルコンピュータ上のソフトウェアでもよい。
【００１３】
ゲートウェイシステム３は、外部ネットワーク１と内部ネットワーク２とを接続して通信プロトコルの変換を行うと共にフィルタリング機能を有するゲートウェイ装置４と、ゲートウェイ装置４に入力されるパケットの数をカウントするパケットカウント装置５と、ある回数以上のアクセスがあった場合にサイバーアタック或いは過剰受信状態（以下、サイバーバーアタック等という）とみなすための、閾値となるアクセス回数を予め登録する閾値テーブル６と、パケットカウント装置５のカウント値と閾値テーブル６に登録された閾値を基に、サイバーアタック等と判断する判断装置７と、判断装置７がサイバーアタックと判断した場合でもパケット着信をフィルタリングしない、特定の送信者名を登録する特例者名登録テーブル８と、許可された送信者のＩＤを予め登録するＩＤテーブル１６と、送信者（送信元）のＩＰアドレスごとのパケット数のカウント値を登録するパケットカウントテーブル１７と、を有して構成される。上記各テーブルは、ゲートウェイシステム３が有するメモリ等の記憶部（図示せず）内に形成される。なお、各テーブルの構成については、図３〜図６を参照して後述する。
【００１４】
ゲートウェイシステム３において、パケットカウント装置５は、ゲートウェイ装置４に入力されるパケットの数をカウントする。カウントは、ＩＰアドレスとパケットの特定領域のＩＤの組み合わせごとに行う。なお、ドメイン名ごともしくは送信者ごとにカウントしてもよい。
【００１５】
判断装置７は、逐次加算されるパケットカウント装置５のカウント値と閾値テーブル６に登録された閾値とを照合することで、ある送信者ＩＤからのパケットが閾値を超えた場合にサイバーアタック等と判断して、ゲートウェイ装置４でそのパケットをフィルタリングすることにより、サイバーアタックから第２ネットワークを防護する。一方、特例者名登録テーブル８に登録されたＩＰアドレスと特定領域に埋め込まれたＩＤの組み合わせによるパケットはゲートウェイ装置４を通過させて、内部ネットワーク２へ送る。
なお、判断装置７は、構成上個別のハードウェア装置として設けてもよいし、ゲートウェイ装置４内に搭載するソフトウェア（プログラム）で実現してもよい。
【００１６】
パケットカウントテーブル１７は、図３に示すように、受信パケットから取得したＩＰアドレスとその対応するＩＤを対にして、メモリアドレスに従い順次記憶する。カウント値は、パケットカウンタ５がカウントする、当該ＩＰアドレスとＩＤを持つパケットの数（累積値）を記憶する。
【００１７】
閾値テーブル６は、図４に示すように、所定時間において受信する（または受信の可能性のある）パケットのＩＰアドレスごとに、その受信回数の上限値を閾値として設定する。なお、閾値の他にサイバーアタックと判断するための測定時間をさらに追記してもよい。
【００１８】
ＩＤテーブル１６は、図５に示すように、ゲートウェイシステム３が受信を許可するパケットのＩＤを登録する。
【００１９】
特例者名登録テーブル１７は、図６（Ａ）に示すように、判断装置７がサイバーアタックと判断した場合でもパケットの受信を許可する特定の送信者のＩＰアドレスを、メモリアドレスに従い順次登録する。また、他の例として、図６（Ｂ）に示すように、特例者名登録テーブル１７は特定送信者のドメイン名或いはメールアドレスを登録してもよい。
【００２０】
図２にパケットのフレームの構成例を示す。
パケットには、（Ａ）に示すIPv4と、（Ｂ）に示すIPv6の２つのタイプがある。何れのパケットもフレームのフォーマットが定義されているので、ＩＰアドレスが記載されているビット（bit）とIPv4のオプション部、IPv6の拡張ヘッダの格納場所に関する、受信パケットのフレーム内の位置が予め決まっている。
【００２１】
ＩＰアドレスとパケットの特定領域のＩＤの組み合わせごとに受信パケット数を登録するためのＩＰアドレス表の作成方法について説明する。ＩＰアドレスが記載されているbitを読み取り、受信したＩＰアドレスをＩＰアドレス表に登録する。また、IPv4のパケットの場合ＩＤが記載されているbitを読み取り、ＩＤテーブル１６に記録されているＩＤと照合する。照合の結果、ＩＤテーブル１６に登録されているＩＤを持つパケットであれば、パケットカウントテーブル１７にそのパケットのＩＰアドレスと共にＩＤを登録する。一方、受信パケットのＩＤがＩＤテーブル１６に登録されていない場合にはＩＤが無いパケットとして、そのパケットのＩＰアドレスをパケットカウントテーブルに登録する。ここで、ＩＰアドレス表とは、ゲートウェイシステム３が有する記憶部内に形成されるテーブルであり、例えば図５のＩＤテーブルにおけるＩＤが、ＩＰアドレスに変更されたものと理解すればよい。
【００２２】
次に、ＩＰアドレスごとのパケット数のカウント方法について説明する。パケットを受信する度にＩＰアドレス表のＩＰアドレスごとに受信回数を加算して、所定時間内に受信したパケット数の合計値を、メモリアドレスごとにＩＰアドレスに対応付けて「カウント値」に登録する。なお、実施例１と実施例３においては、ＩＰアドレスごとの受信回数をカウントせず、所定時間内に受信したパケット数の合計値のみを測定しても良い。また実施例２においては、送信元ＩＰアドレスとＩＤの組み合わせごとに受信パケット数をカウントする。また実施例４においては、受信元ＩＰアドレスごとに受信パケット数をカウントする。
なお、サイバーアタックの有無を判断するための所定時間ごとにこのカウント値をクリアする。クリア処理時間内にカウント処理漏れによる誤差が生じることを排除するために、ＩＰアドレス表を複数作成することにより対処することできる。
【００２３】
実施例１によれば、システム管理者の判断や操作を介さずに、サイバーアタック等を判断することができるので、サイバーアタック等の対応を短時間で行うことができ、内部ネットワーク内のサーバがダウンする可能性を低減できる。また、サイバーアタック等に外部からの受信をフィルタリングしている最中においても、特例者名登録テーブルに登録したＩＰアドレス又はドメイン名もしくは送信者からのパケットは通常通り受信処理を行うことができるので、通常業務の機能低下を軽減できる。また、ＩＤテーブルに無い送信者からのパケットは不要パケットとして廃棄できるので、ＩＰアドレスの偽装による攻撃を防止することができる。
【実施例２】
【００２４】
図７及び図８を参照して、実施例２について説明する。
実施例１は、サイバーアタック等と判断された場合、特例者名登録テーブル８に登録された特定者についてはフィルタリングしない例である。これに対して、実施例２は、図７に示すように、ゲートウェイシステム３は排除者名登録テーブル９を有する。この排除者名登録テーブル９は、図８に示すように、フィルタリングすべき送信者のＩＰアドレスを登録しており、ゲートウェイ装置４は、排除者名登録テーブル９に登録されたＩＰアドレスについては、フィルタリングするように制御する。他の構成については、実施例１と同様である。なお、排除者名登録テーブル９には、ＩＰアドレスの他にドメイン名や送信者名を登録するようにしてもよい。
【００２５】
判断装置７は、逐次加算されるパケットカウント装置５のカウント値と閾値テーブル６に登録された閾値とを照合することで、同一ＩＰアドレスのパケットが所定時間内に閾値回数以上受信すると、サイバーアタックがあったと判断して、そのＩＰアドレスもしくはドメイン名もしくは送信者名を排除者名登録テーブルに登録する。
【００２６】
そして、ゲートウェイ装置４は、排除者名登録テーブル９に登録されたＩＰアドレスの受信パケットをフィルタリングして内部ネットワーク２に廃棄する（送信しない）ように制御する。具体的には、受信パケットフレーム（図２参照）内の送信元ＩＰアドレスと、排除者名登録テーブル９に登録されたＩＰアドレスとを比較して、一致した場合の受信パケットを廃棄する。なお、他の変形例として、ドメイン名でフィルタリングする場合は、排除者名登録テーブル９に登録されたＩＰアドレス中の任意の数値の部分一致をもって受信パケットを廃棄する。このように、当該ドメイン名を有する送信元をフィルタリングすることによりサイバーアタック件数を低減し、通常業務の機能低下を低減することもできる。
【００２７】
実施例２によれば、システム管理者の判断や操作を介さずに、迷惑メール等のＩＰアドレス又はドメインもしくは送信者を排除者名登録テーブル９に自動的に登録することができるので、技術力がない一般ユーザでも問題なく容易にゲートウェイシステム３を利用することが可能となる。
【実施例３】
【００２８】
図９を参照して、実施例３について説明する。
実施例３は、ゲートウェイシステム３が間引き率テーブル１３を有する。その他の構成については実施例１又は実施例２と同様である。間引き率テーブル１３は、サイバーアタックと判断された場合、ゲートウェイ装置４が受信したパケット数のうちその程度のパケット数を内部ネットワーク２へ転送してよいかの割合（間引き率）を設定する。（説明の都合上、図９には両方の登録テーブルが描かれているが、実施例１又は２を前提とするので、何れか１つあればよい。）
サイバーアタックの場合、特例者名登録テーブル８によって管理される特例者のパケットを内部ネットワーク２に通信する（実施例１）、又はサイバーアタックの場合排除者名登録テーブル９によって管理される排除者のパケットを廃棄する（実施例２）ことを前提にしている。さらに加えて、サイバーアタックの場合、ゲートウェイ装置４は、間引きテーブル１３に登録された比率に従って、受信したパケットを間引きして内部ネットワーク２へ転送するように制御する。
【００２９】
すなわち、判断装置７がサイバーアタックを受けたと判断した場合、所定時間内にゲートウェイ装置４を通過させるパケットの量を、間引き率テーブル１３を参照して、間引いて内部ネットワーク２へ転送する。例えば、間引き率テーブルに「３０％」と設定された場合には、所定時間内に受信したパケット１０件につき３件のパケットを内部ネットワーク２へ通過させる。これにより、ゲートウェイ装置４を通過させるパケットの量を、内部ネットワーク２に接続されたサーバ１０〜１２が処理可能な量に制限することができるので、サーバダウンを回避することが可能となる。
【実施例４】
【００３０】
図１０を参照して、実施例４について説明する。
実施例４は、実施例１〜３に記載のゲートウェイシステム３を前提として、更にパケットの受信状況をモニタする機能を付加したものである。なお、図１０には、実施例１〜３（図１、図７、図９）における、特例者名登録テーブル８、排除者名登録テーブル９、間引き率テーブル１３等の図示が省略されている。
【００３１】
図１０において、パケットカウント装置５は受信パケットフレーム(図２参照)のあて先ＩＰアドレスごとの受信パケットの数をカウントし、状況モニタ装置１４は、そのカウントしたパケットの受信状況をモニタする。通信装置１５は、該当するあて先ＩＰアドレスのユーザの装置に受信状況を通知する。
【００３２】
判断装置７が、パケットカウント装置５がカウントするＩＰアドレス対応の受信パケット数のカウント値が、閾値テーブル６に登録された閾値を超えて（過剰受信状態）、サイバーアタック等と判断した場合、状況モニタ装置１４がその状況を監視して、通信装置１５がパケットの受信状況を、受信パケットの宛先ＩＰアドレスに該当するユーザの装置へ警報通知する。
【００３３】
実施例４によれば、あて先ＩＰアドレスごとに受信パケット数をモニタして、ユーザ会社(あて先ＩＰアドレス)ごとのサイバーアタック状況を通知することができるので、実施例１〜３の効果に加えて、ユーザ会社が早急にサイバーアタックの対策を講じることができる。
【実施例５】
【００３４】
実施例５は、同じタイトルを持つメールの受信数に着目して、サイバーアタック等を認識して内部ネットワークを保護する例である。
実施例１又は２に記載のゲートウェイシステム３を前提として、パケットカウント装置５は、受信パケットフレーム(図２参照)のメールタイトルごとの受信パケット数をカウントする。また、閾値テーブルは、所定時間内に同一タイトルを含むパケットの受信回数を閾値として設定する。判断装置７は、パケットカウンタ装置５がカウントした受信パケット数と、閾値テーブル６に登録された閾値を照合することでサイバーアタック等を判断する。
【００３５】
判断装置７がサイバーアタックと判断した場合、ゲートウェイ装置４は、特例者名登録テーブ８に登録されたＩＰアドレス又はドメイン名もしくは送信者以外の受信パケットをフィルタリングし、特例者名登録テーブル８に登録されたＩＰアドレス又はドメイン名もしくは送信者のパケットを内部ネットワーク２へ通過させる。
元のメールをコピーしてアタック用のメールを増殖させているサイバーアタックの場合にはメールタイトルに共通タイトルを含む場合が多いので、この実施例はサイバーアタックの防護手段として有効である。
【００３６】
以上、幾つかの実施例について説明したが、本発明は上記実施例に限定されず、種々変形ないし応用して実施できる。上記実施例では判断装置がサイバーアタックと判断した場合に所定の処理を行うとした。例えば実施例３の変形例として、サイバーアタック以外の例えばクリスマスや新年の挨拶メールや災害時には過剰な量のパケットを受信する場合がある。このような場合に、判断装置が過剰パケット量と判断して、間引き率テーブルに設定された間引き率を適用して、その後受信するパケットの量を制限することができる。これにより、内部ネットワーク内のサーバの過負荷を防止しサーバダウンを回避することができる。
【符号の説明】
【００３７】
１：外部ネットワーク      ２：内部ネットワーク        ３：ゲートウェイシステム
４：ゲートウェイ装置      ５：パケットカウント装置    ６：閾値テーブル
７：判断装置              ８：排除者名登録テーブル    ９：特例者名登録テーブル
１０：メールサーバ        １１：メインサーバ          １２：内部サーバ
１３：間引き率テーブル    １４：状況モニタ装置        １５：通信装置
１６：ＩＤテーブル        １７：パケットカウントテーブル
１８：送信者宅内装置
【図１】
2016152549.tif 000003
【図２】
2016152549.tif 000004
【図３】
2016152549.tif 000005
【図４】
2016152549.tif 000006
【図５】
2016152549.tif 000007
【図６】
2016152549.tif 000008
【図７】
2016152549.tif 000009
【図８】
2016152549.tif 000010
【図９】
2016152549.tif 000011
【図１０】
2016152549.tif 000012