(57)【要約】【課題】小さい処理負荷でサイバー攻撃に対処する。【解決手段】通信制御装置１０のＨＳＳ２００は、接続を許可する端末と禁止する端末を識別するための接続可否情報を記憶する。Ｐ−ＧＷ３００は、前記接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行う。Ｐ−ＣＳＣＦ１００の攻撃端末特定部１１０は、通信をモニタし、サイバー攻撃を行った端末を特定し、該サイバー攻撃を行った端末の接続を禁止するようにＨＳＳ２００に記憶されている前記接続可否情報を更新する。【選択図】図４
2016181874.tif 000002
【特許請求の範囲】
【請求項１】
接続を許可する端末と禁止する端末を識別するための接続可否情報を記憶する記憶手段と、
前記記憶手段に記憶されている接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行う通信接続手段と、
通信をモニタし、サイバー攻撃を行った端末を特定し、該サイバー攻撃を行った端末の接続を禁止するように前記記憶手段に記憶されている前記接続可否情報を更新する接続可否情報更新手段と、
を備えることを特徴とする通信制御装置。
【請求項２】
前記通信接続手段は、
通信ネットワークとこの通信制御装置とを接続する機能を有するネットワーク接続手段と、
この通信制御装置とユーザ端末とを接続する機能を有するユーザ端末接続手段と、
を備えることを特徴とする請求項１に記載の通信制御装置。
【請求項３】
前記接続可否情報更新手段は、前記通信接続手段が中継した接続要求に基づく通信で送受信されるパケットをモニタし、モニタしたパケットに基づいて、前記サイバー攻撃を行った端末を特定する、
ことを特徴とする請求項１または２に記載の通信制御装置。
【請求項４】
前記接続可否情報更新手段は、
通信のパケットをモニタし、集中アクセス、成りすまし、改ざんの何れかを検出し、
集中アクセス、成りすまし、改ざんの何れかを行った端末を特定し、特定した端末の接続を禁止するように前記記憶手段に記憶されている前記接続可否情報を更新する、
ことを特徴とする請求項１乃至３のいずれか１項に記載の通信制御装置。
【請求項５】
前記接続可否情報更新手段は、通信で送受信されたパケットに付与されている送信元を特定するアドレスを検出し、単位時間あたりに受信した同一アドレスのパケットの数が閾値以上である場合に、閾値以上の数のパケットを送信した端末を前記サイバー攻撃を行った端末と特定する、
ことを特徴とする請求項１乃至４のいずれか１項に記載の通信制御装置。
【請求項６】
前記サイバー攻撃を行った端末のアドレスを他の装置から取得する取得手段をさらに備え、
前記接続可否情報更新手段は、前記取得手段が取得したアドレスの端末との接続を禁止するように前記記憶手段に記憶されている前記接続可否情報を更新する、
ことを特徴とする請求項１乃至５のいずれか１項に記載の通信制御装置。
【請求項７】
前記通信接続手段は、
通信ネットワークと、この通信制御装置を介して前記通信ネットワークに接続された第１の端末と通信を行う１又は複数の第２の端末に接続され、
前記通信ネットワークを介して前記第１の端末から前記第２の端末を要求先とする接続要求を受信し、前記記憶手段に記憶されている接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行う、
ことを特徴とする請求項１乃至６のいずれか１項に記載の通信制御装置。
【請求項８】
前記通信接続手段は、
前記第２の端末の何れかから第２の端末の他の何れか宛ての接続要求を、前記記憶手段に記憶されている接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行い、
前記接続可否情報更新手段は、
中継した通信をモニタしてサイバー攻撃を行った端末を特定し、該サイバー攻撃を行った端末の接続を禁止するように前記記憶手段に記憶されている前記接続可否情報を更新する、
ことを特徴とする請求項７に記載の通信制御装置。
【請求項９】
過去にサイバー攻撃を行った端末から送信された接続要求を遮断する通信制御方法であって、
接続を許可する端末と禁止する端末を識別するための接続可否情報を記憶する工程と、
前記接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行う工程と、
通信をモニタし、サイバー攻撃を行った端末を特定し、該サイバー攻撃を行った端末の接続を禁止するように前記接続可否情報を更新する工程と、
を含む通信制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信制御装置、及び通信制御方法に関する。
【背景技術】
【０００２】
高速データ通信をサポートするＶｏＬＴＥでは、マルチメディアサービスを提供するＩＭＳネットワークとユーザ装置とがＩＰを利用して直接通信を行うので、相手装置からサイバー攻撃を受ける脅威が存在する。
【０００３】
サイバー攻撃から防御する技術として、特許文献１は、複数の認証パラメータを用いた認証プロトコルを用いて、データの改ざん、成りすましを防止する技術を開示する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００９−２６２１５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
特許文献１が開示する技術は、受信する通信の全てについて、サイバー攻撃に該当するか否かを検証する。したがって、同じ相手装置からサイバー攻撃を複数回受けても、そのたびにサイバー攻撃が行われていることを判別する必要があり、処理負荷が大きい。
【０００６】
本発明は、以上の状況に鑑みてなされたものであり、小さい処理負荷でサイバー攻撃に対処しうる通信制御装置、及び通信制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記目的を達成するため、本発明の第１の観点に係る通信制御装置は、
接続を許可する端末と禁止する端末を識別するための接続可否情報を記憶する記憶手段と、
前記記憶手段に記憶されている接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行う通信接続手段と、
通信をモニタし、サイバー攻撃を行った端末を特定し、該サイバー攻撃を行った端末の接続を禁止するように前記記憶手段に記憶されている前記接続可否情報を更新する接続可否情報更新手段と、
を備えることを特徴とする。
【０００８】
上記目的を達成するため、本発明の第２の観点に係る通信制御方法は、
過去にサイバー攻撃を行った端末から送信された接続要求を遮断する通信制御方法であって、
接続を許可する端末と禁止する端末を識別するための接続可否情報を記憶する工程と、
前記接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行う工程と、
通信をモニタし、サイバー攻撃を行った端末を特定し、該サイバー攻撃を行った端末の接続を禁止するように前記接続可否情報を更新する工程と、
を含む。
【発明の効果】
【０００９】
本発明によれば、小さい処理負荷でサイバー攻撃に対処することができる。
【図面の簡単な説明】
【００１０】
【図１】実施形態１に係るネットワークシステムの構成例を示すブロック図である。
【図２】ＨＳＳに記憶する接続可否情報を含むユーザ情報の図である。
【図３】実施形態１に係るＰ−ＧＷの構成例を示すブロック図である。
【図４】実施形態１に係るＰ−ＣＳＣＦの構成例を示すブロック図である。
【図５】攻撃端末特定部の構成例を示すブロック図である。
【図６】相手装置からＰ−ＧＷに送信された接続要求を許可するシーケンス図である。
【図７】相手装置からＰ−ＧＷに送信された接続要求を許可しないシーケンス図である。
【図８】サイバー攻撃を行った相手装置のアドレスをＨＳＳに登録するシーケンス図である。
【図９】相手装置から送信された接続要求の処理について説明するためのフローチャート図である。
【図１０】変形例１に係るＰ−ＧＷの構成例を示すブロック図である。
【図１１】実施形態２に係るネットワークシステムの構成例を示すブロック図である。
【図１２】相手装置からＰ−ＣＳＣＦに送信された接続要求を許可するシーケンス図である。
【図１３】相手装置からＰ−ＣＳＣＦに送信された接続要求を許可しないシーケンス図である。
【図１４】Ｐ−ＣＳＣＦに対してサイバー攻撃を行った相手装置のアドレスをＨＳＳに登録するシーケンス図である。
【発明を実施するための形態】
【００１１】
以下、本発明の実施形態に係る通信制御装置と通信制御方法について、図面を参照しながら説明する。なお、図面中同一又は相当する部分には同一符号を付す。
【００１２】
（実施形態１）
実施形態１に係る通信制御装置を適用するネットワークシステムについて図１を参照して説明する。実施形態１に係るネットワークシステム１は、通信制御装置１０と、複数の端末と、から構成される。本実施形態では、サイバー攻撃を行う側の端末を相手装置７００とし、サイバー攻撃を受ける側の端末をユーザ端末６００として説明する。ユーザ端末６００と相手装置７００は、携帯端末、サーバ、コンピュータなどの通信機能を有する電子機器を含む。
【００１３】
通信制御装置１０は、ユーザ端末接続装置Ｐ−ＣＳＣＦ（Ｐｒｏｘｙ  Ｃａｌｌ  Ｓｅｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｆｕｎｃｔｉｏｎ）１００と、ホーム加入者情報サーバＨＳＳ（Ｈｏｍｅ  Ｓｕｂｓｃｒｉｂｅｒ  Ｓｅｒｖｅｒ、登録端末記憶手段）２００と、パケット・データ・ネット・ゲートウェイ装置Ｐ−ＧＷ（Ｐａｃｋｅｔ  ｄａｔａ  ｎｅｔｗｏｒｋ  Ｇａｔｅｗａｙ、ネットワーク接続手段）３００と、から構成される。Ｐ−ＣＳＣＦ１００は、ユーザ端末６００と通信制御装置１０との接続処理を行う。ＨＳＳ２００は、ユーザＩＤや端末情報（端末を特定するＭＡＣアドレス、契約番号）などのユーザ情報を管理する。Ｐ−ＧＷ３００は、外部のネットワーク８００と通信制御装置１０との接続処理を行う。Ｐ−ＣＳＣＦ１００とＰ−ＧＷ３００とは、ネットワークを介して接続要求を行う相手装置７００とユーザ端末６００とを接続する通信接続手段として機能する。
【００１４】
相手装置７００から外部のネットワーク８００を介して、通信制御装置１０に接続されるユーザ端末６００に通信の接続要求があると、Ｐ−ＧＷ３００は、その相手装置７００を通信制御装置１０内の機器と接続しても良いか否かを、ＨＳＳ２００に問い合わせる。ＨＳＳ２００は、自装置に登録されているユーザ情報（接続可否情報を含む）を参照して接続の可否を判別する。接続しても良いと判別した場合、ＨＳＳ２００は、Ｐ−ＧＷ３００に接続許可通知を送信する。接続許可通知を受信したＰ−ＧＷ３００は、相手装置７００から受信した通信の接続要求をＰ−ＣＳＣＦ１００に中継する。そして、接続要求を中継されたＰ−ＣＳＣＦ１００は、相手装置７００が接続要求を送信したユーザ端末６００にその接続要求を中継する。ユーザ端末６００がその接続要求を受け付けると、相手装置７００とユーザ端末６００との間で音声通信もしくはデータ通信が成立する。一方、ＨＳＳ２００が接続禁止と判別した場合には、ＨＳＳ２００は、Ｐ−ＧＷ３００に接続禁止通知を送信する。接続禁止通知を受信したＰ−ＧＷ３００は、相手装置７００に対して接続未確立通知を送信する。
【００１５】
さらに、通信制御装置１０は、相手装置７００がサイバー攻撃を行ったか否かを判別し、サイバー攻撃を行ったと判別した場合には、相手装置７００を識別するためのアドレス（例えば、ＭＡＣアドレスなど）を特定する機能を有する。そして、特定したアドレスを接続禁止対象アドレス（接続可否情報）としてＨＳＳ２００に登録することにより、通信制御装置１０は、サイバー攻撃を行った相手装置７００から送信されてくるそれ以後の接続要求を排除する。このように、通信制御装置１０は、自装置と自装置に接続されるユーザ端末６００をサイバー攻撃から保護する。
【００１６】
次に、通信制御装置１０を構成するＨＳＳ２００、Ｐ−ＧＷ３００、Ｐ−ＣＳＣＦ１００の構成について、順次説明する。
【００１７】
ＨＳＳ２００は、ユーザＩＤや端末位置情報などのユーザ情報を管理するホーム加入者情報サーバである。ＨＳＳ２００が記憶するユーザ情報は、図２に例示するユーザ端末固有のＭＡＣアドレス、ユーザ端末と通信制御装置１０との接続を許可するか否かを示す接続可否フラグ（接続可否情報）を含む。接続可否フラグは、接続可否フラグが「０」である相手装置７００から通信制御装置１０に通信の接続要求があった場合は接続要求を許可し、「１」の場合は接続要求を許可しないことを示す。ＨＳＳ２００は、例えば、サイバー攻撃を行ったユーザ端末、料金未納のユーザ端末、異常端末（送信電力制御などの制御を受け付けない故障端末など）に該当するユーザ端末の接続可否フラグを「１」（接続禁止）に設定する。
【００１８】
次に、図１に示すＰ−ＧＷ３００について、図３を参照して説明する。Ｐ−ＧＷ３００は、外部のネットワーク８００と通信制御装置１０とを接続する機能を有し、図示しないＣＰＵ、ＲＡＭ等から構成される。また、機能的には、接続処理部３１０と接続制御部３２０とを備える。
【００１９】
接続処理部３１０は、相手装置７００から受信した接続要求パケットのヘッダー部に記載されている送信元アドレスを取得して、取得したアドレスを接続制御部３２０に供給する。接続制御部３２０は、供給されたアドレスをＨＳＳ２００に送付する。そして、接続制御部３２０は、ＨＳＳ２００から接続可否の通知を受け、その通知に基づいて相手装置７００の接続要求をＰ−ＣＳＣＦ１００に中継するか否かを制御する。具体的には、ＨＳＳ２００から接続許可通知を受信した場合は、接続制御部３２０は、相手装置７００の接続要求をＰ−ＣＳＣＦ１００に中継するように接続処理部３１０を制御する。また、接続禁止通知を受けた場合は、接続制御部３２０は、接続処理部３１０が相手装置７００に接続未確立通知を送信するように接続処理部３１０を制御する。
【００２０】
次に、Ｐ−ＣＳＣＦ１００について図４を参照して説明する。Ｐ−ＣＳＣＦ１００は、ユーザ端末６００と通信制御装置１０とを接続する機能を有し、図示しないＣＰＵ、ＲＡＭ等から構成される。具体的には、相手装置７００からユーザ端末６００宛ての接続要求を中継するとともに、ユーザ端末６００から相手装置７００宛ての通信の接続要求を受け付ける。また、相手装置７００からサイバー攻撃されたか否かを判別し、サイバー攻撃が行われた場合はサイバー攻撃を行った相手装置７００のアドレスを接続禁止対象アドレスとしてＨＳＳ２００に通知する。この接続可否情報を更新する機能（接続可否情報更新手段）を実現するために、Ｐ−ＣＳＣＦ１００は、図４に示すように、攻撃端末特定部１１０、接続禁止対象アドレス取得部１２０、通知部１３０、接続処理部１４０、を備える。
【００２１】
攻撃端末特定部１１０は、Ｐ−ＧＷ３００から中継されてくるパケットをモニタし、相手装置７００によるパケットの送信がサイバー攻撃に該当しないか否かを判別する。そして、サイバー攻撃に該当する場合、該当するパケットを送信した相手装置７００の送信元アドレスを特定する。具体的には、攻撃端末特定部１１０は、大量のアクセスを集中送信するサイバー攻撃を検出する機能と、ＩＰアドレス等の改ざん／成りすましを検出する機能と、を有する。これらの機能を実現するために、攻撃端末特定部１１０は、図５に示すように、アドレス検出部１１１、パケット数カウント部１１２、攻撃端末アドレス取得部１１３、改ざん／成りすまし検出部１１４、を備える。
【００２２】
アドレス検出部１１１は、Ｐ−ＧＷ３００から送信されてくるパケットをモニタする。モニタしたパケットのヘッダー部には、送信元装置を特定するユーザＩＤ、ＭＡＣアドレス、を特定する情報が記載されている。アドレス検出部１１１は、これらのアドレスごとにモニタしたパケットを振り分ける。
パケット数カウント部１１２は、アドレスごとにモニタしたパケットの数をカウントする。そして、単位時間内の振り分けられたアドレスごとのパケットの数が閾値以上である場合に、サイバー攻撃が行われたと判別する。例えば、１時間以内に、同じアドレスから１００回以上の接続要求があった場合にサイバー攻撃が行われたと判別する。
攻撃端末アドレス取得部１１３は、パケット数カウント部１１２がサイバー攻撃に該当すると判別した相手端末７００が送信したパケットのヘッダー部に記載されている送信元アドレスを取得し、取得したアドレスを通知部１３０に供給する。
【００２３】
改ざん／成りすまし検出部１１４は、アドレス検出部１１１が振り分けたパケットごとに、改ざん／成りすましに該当するパケットを検出する。改ざん／成りすましの検出方法は任意である。例えば、特許文献１（特開２００９−２６２１５号公報）が開示する技術などを用いてもよい。そして、改ざん／成りすまし検出部１１４は、検出したパケットを攻撃端末アドレス取得部１１３に供給する。攻撃端末アドレス取得部１１３は、改ざん／成りすまし検出部１１４がサイバー攻撃に該当すると判別したパケットのヘッダー部に記載されている送信元アドレスを取得し、取得したアドレスを通知部１３０に供給する。
【００２４】
図４に戻って、接続禁止対象アドレス取得部１２０は、通信制御装置１０に接続されているユーザ端末６００から、ユーザ端末６００がサイバー攻撃であると判別した相手装置７００の送信元アドレスを取得する。
【００２５】
通知部１３０は、攻撃端末特定部１１０が検出したアドレスと、接続禁止対象アドレス取得部１２０が取得したアドレスと、をＨＳＳ２００に通知する。
【００２６】
接続処理部１４０は、Ｐ−ＧＷ３００から中継された相手端末７００の接続要求をユーザ端末６００に中継する。
【００２７】
次に、上記構成を有する通信制御装置１０が接続要求を処理するシーケンスについて図６と図７を参照して説明する。
【００２８】
まず、相手装置７００から送信された接続要求を許可する場合について図６を参照して説明する。例えば、図２に示すＭＡＣアドレスがＭＡＣ−Ａ１である端末から接続要求があった場合である。図２に示すユーザ情報には、受信した接続要求パケットのヘッダー部に記載されているＭＡＣアドレス（ＭＡＣ−Ａ１）が登録されており、かつ、接続可否フラグは「０」（接続許可）に設定されている。
【００２９】
相手装置７００が、ネットワーク８００を介してＰ−ＧＷ３００に接続要求を行うと（ステップＳ１１）、Ｐ−ＧＷ３００は、受信した接続要求パケットの送信元アドレス（ＭＡＣ−Ａ１）が登録済のアドレスであるか、また、接続禁止対象アドレスでないかをＨＳＳ２００に問い合わせる（ステップＳ１２）。ＨＳＳ２００は、図２に示すユーザ情報と問合せを受けたアドレスとを照合し、接続可否の確認を行う（ステップＳ１３）。ＭＡＣ−Ａ１はＨＳＳ２００に登録されており、接続可否フラグが「０」（接続許可）に設定されているので、ＨＳＳ２００は、Ｐ−ＧＷ３００に対して接続許可通知を送信する（ステップＳ１４）。接続許可通知を受信したＰ−ＧＷ３００は、接続要求をＰ−ＣＳＣＦ１００に中継し、相手装置７００とユーザ端末６００とがパケット通信を行えるようにする（ステップＳ１５）。
【００３０】
次に、相手装置７００から送信された接続要求を許可しない場合について図７を参照して説明する。例えば、図２に示すＭＡＣアドレスがＭＡＣ−Ａ２である端末から接続要求があった場合である。図２に示すユーザ情報では、ＭＡＣ−Ａ２に該当する接続可否フラグは「１」（接続禁止）に設定されている。
【００３１】
相手装置７００が、ネットワーク８００を介してＰ−ＧＷ３００に接続要求を行うと（ステップＳ２１）、Ｐ−ＧＷ３００は、受信した接続要求パケットの送信元アドレス（ＭＡＣ−Ａ２）が登録済のアドレスであるか、また、接続禁止対象アドレスでないかをＨＳＳ２００に問い合わせる（ステップＳ２２）。ＨＳＳ２００は、図２に示すユーザ情報と問合せを受けたアドレスとを照合し、接続可否の確認を行う（ステップＳ２３）。ＭＡＣ−Ａ２の場合は接続可否フラグが「１」（接続禁止）に設定されているので、ＨＳＳ２００は、Ｐ−ＧＷ３００に対して接続禁止通知を送信する（ステップＳ２４）。接続禁止通知を受信したＰ−ＧＷ３００は、接続要求をＰ−ＣＳＣＦ１００に中継せず、相手装置７００に接続未確立通知を送信する（ステップＳ２５）。なお、ステップＳ２５の通知を行わずに接続要求を拒絶してもよい。
【００３２】
次に、接続要求を許可した後で相手装置７００からのサイバー攻撃を検出した場合のシーケンスについて、図８を参照して説明する。この場合は、Ｐ−ＧＷ３００が接続処理を行った際には、相手装置７００に該当する接続可否フラグは「０」（接続許可）の状態であり、図６を用いて説明した接続処理が行われる。そして、相手装置７００と通信制御装置１０に接続されているユーザ端末６００との間で通信が開始された後で、相手装置７００がサイバー攻撃を行っていることを通信制御装置１０が検出した場合のシーケンスである。
【００３３】
通信中に相手装置７００がサイバー攻撃を行うと（ステップＳ３１）、Ｐ−ＣＳＣＦ１００内の攻撃端末特定部１１０は、相手装置７００が送信するパケットをモニタすることにより、相手装置７００がサイバー攻撃を行っているか否かを判別する（ステップＳ３２）。具体的には、相手装置７００が送信する単位時間あたりのパケットの数をカウントし、パケットの数が閾値以上であった場合、相手装置７００がサイバー攻撃を行ったと判別する。
【００３４】
サイバー攻撃が行われたことを判別した攻撃端末特定部１１０は、相手装置７００が送信したパケットのヘッダー部に記載されている送信元アドレスを特定し、特定したアドレスを通知部１３０に供給する。通知部１３０は、特定されたアドレスが接続禁止対象アドレスであることをＨＳＳ２００に通知する（ステップＳ３３）。通知を受けたＨＳＳ２００は、通知を受けたアドレスを接続禁止対象アドレスとして登録する（ステップＳ３４）。例えば、ＭＡＣアドレスがＭＡＣ−Ａ４である相手装置７００がサイバー攻撃を行った場合、ＨＳＳ２００は、図２に示すＭＡＣ−Ａ４に対応する接続可否フラグを「０」（接続許可）から「１」（接続禁止）に変更する。
【００３５】
接続可否フラグを変更したＨＳＳ２００は、Ｐ−ＧＷ３００に変更したフラグ情報（接続可否情報）を通知する（ステップＳ３５）。接続可否情報を受信したＰ−ＧＷ３００は、該当するアドレスの相手装置７００と自装置との通信を切断する（ステップＳ３６）。
【００３６】
このようにして、通信制御装置１０は、サイバー攻撃を行った相手装置７００を、自装置から切り離す。次に同じ相手装置７００が通信の接続要求を行っても、図２に示す接続可否フラグが「１」（接続禁止）に設定されているため、通信制御装置１０は、図７を用いて説明した接続要求を許可しない処理を行う。したがって、過去にサイバー攻撃を行った相手端末７００は通信制御装置１０に接続されることはない。なお、一端接続した通信は切断せずに、次回の接続要求から接続を禁止する場合は、ステップＳ３５とステップＳ３６の処理は省略してもよい。
【００３７】
次に、通信制御装置１０が行う接続要求の処理について、図９を参照して説明する。図９に示すフローチャートは、Ｐ−ＧＷ３００がネットワークを介して相手装置７００から通信の接続要求を受けることにより開始される。
【００３８】
Ｐ−ＧＷ３００が相手装置７００から通信の接続要求を受信すると（ステップＳ４１）、Ｐ−ＧＷ３００は、受信したパケットのヘッダー部に記載されている相手装置７００の送信元アドレスを取得する（ステップＳ４２）。そして、取得したアドレスがＰ−ＧＷ３００との接続を許可されているアドレスであるか否かを、ＨＳＳ２００に問合わせる（ステップＳ４３）。
【００３９】
ＨＳＳ２００は、図２に示すユーザ情報と照合することにより、問合せを受けたアドレスが接続を許可されたアドレスであるか否かを判別する（ステップＳ４４）。具体的には、送信されたアドレスが予め登録されているアドレスであり、かつ、接続可否フラグが「０」（接続許可）である場合（ステップＳ４４：Ｙｅｓ）、ＨＳＳ２００はＰ−ＧＷ３００に接続許可通知を送信する（ステップＳ４５）。接続許可通知を受信したＰ−ＧＷ３００は、接続要求をＰ−ＣＳＣＦ１００に中継し、相手装置７００とユーザ端末６００とがパケット通信を行えるように接続処理を行う（ステップＳ４６）。
【００４０】
一方、問合せを受けたアドレスが予め登録されていないアドレスであるか、アドレスの登録はされているが接続可否フラグが「１」（接続禁止）に設定されている場合（ステップＳ４４：Ｎｏ）、ＨＳＳ２００は、Ｐ−ＧＷ３００に接続禁止通知を送信する（ステップＳ４７）。接続禁止通知を受信したＰ−ＧＷ３００は、接続要求をＰ−ＣＳＣＦ１００に中継せず、相手装置７００に接続未確立通知を送信する（ステップＳ４８）。以上で、通信制御装置１０の接続処理の説明を終わる。
【００４１】
以上に説明したように、実施形態１に係る通信制御装置１０は、サイバー攻撃を行った相手装置７００の送信元アドレスを特定すると、特定したアドレスを接続禁止対象アドレスとしてＨＳＳ２００に記憶する。Ｐ−ＧＷ３００は、新たな接続処理を行うたびにＨＳＳ２００に登録された接続可否フラグ（接続可否情報）を確認するので、同じ相手装置７００から次のサイバー攻撃を仕掛けられても、通信制御装置１０は、相手装置７００から送信された接続要求をＰ−ＧＷ３００で遮断する。したがって、通信制御装置１０は、過去にサイバー攻撃を行った相手装置７００の接続処理やサイバー攻撃の検出処理を行わない。これにより、同じ相手装置７００がサイバー攻撃を仕掛けてきても通信制御装置１０、もしくは、通信制御装置１０に接続されるサーバの処理負荷が増大することを防止できる。
【００４２】
（変形例１）
実施形態１では、Ｐ−ＣＳＣＦ１００内に攻撃端末特定部１１０を設けて受信したパケットをモニタすることにより、相手装置７００がサイバー攻撃を行ったことを検出した。しかし、サイバー攻撃を検出する場所はこれに限定する必要はない。例えば、Ｐ−ＧＷ３００内に攻撃検出機能を設けてもよい。
【００４３】
Ｐ−ＧＷ３００内に攻撃端末特定部１１０を設けた場合のＰ−ＧＷ３００の装置構成（以後、攻撃端末特定部１１０を備えたＰ−ＧＷをＰ−ＧＷ３０１とする）について、実施形態１で行った説明と異なるところを中心に図１０を参照して説明する。変形例１に係るＰ−ＧＷ３０１は、攻撃端末特定部１１０と通知部１３０を備える。その他の構成については、実施形態１で説明した内容と同じである。攻撃端末特定部１１０は、ネットワーク８００から受信したパケットをモニタし、パケットのヘッダー部に記載されている送信元アドレスごとに振り分けたパケットの数をカウントする。そして、単位時間内にモニタした同じアドレスのパケットの数が閾値以上であった場合、攻撃端末特定部１１０は、該当するパケットを送信した相手装置７００がサイバー攻撃を行っていると判別する。そして、サイバー攻撃を行っていると判別した相手装置７００の送信元アドレスを通知部１３０を介してＨＳＳ２００に通知する。
【００４４】
通知を受けたＨＳＳ２００は、相手装置７００に対応する接続可否フラグを「１」（接続禁止）に設定する。Ｐ−ＧＷ３００は、ＨＳＳ２００に記憶されている接続可否フラグを確認し、接続可否フラグが「１」（接続禁止）である場合は、接続要求を許可しない。したがって、一度サイバー攻撃を行った相手装置７００が通信制御装置１０に接続されることはない。
【００４５】
（実施形態２）
実施形態１と変形例１の説明では、外部のネットワーク８００を介して相手装置７００から接続要求があった場合について説明した。実施形態２では、相手装置７００が外部のネットワーク８００を介さずに、直接Ｐ−ＣＳＣＦ１００に通信の接続要求を行った場合について、図１１〜図１４を参照して説明する。実施形態２においても、サイバー攻撃を行う側の端末を相手装置７００とし、サイバー攻撃を受ける側の端末をユーザ端末６００として説明する。
【００４６】
まず、実施形態２に係るネットワークシステム構成について図１１を参照して説明する。実施形態２では、相手装置７００がユーザ端末６００と通信を行う場合、相手装置７００がＰ−ＣＳＣＦ１００ｂに接続要求を行う。そして、接続要求を受けたＰ−ＣＳＣＦ１００ｂが、自装置に接続されるユーザ端末６００に接続要求を中継する。この中継ルートを図１１にルート１で示す。その他の場合としては、相手装置７００がＰ−ＣＳＣＦ１００ｂに接続要求を行い、接続要求を受けたＰ−ＣＳＣＦ１００ｂが、その接続要求を他のＰ−ＣＳＣＦ１００ａに中継する。そして、中継を受けたＰ−ＣＳＣＦ１００ａが自装置に接続されるユーザ端末６００に接続要求を中継する。この中継ルートを図１１にルート２で示す。その他の場合として、相手装置７００がＰ−ＣＳＣＦ１００ｂに接続要求を行い、Ｐ−ＣＳＣＦ１００ｂがＰ−ＧＷ３００を介してネットワーク８００に繋がるユーザ端末６００に接続要求を中継する。この中継ルートを図１１にルート３で示す。
【００４７】
いずれの場合も、接続要求を受信したＰ−ＣＳＣＦ１００ｂは、相手装置７００がＰ−ＳＣＦ１００ｂとの接続が許可されている端末であるか否かを、ＨＳＳ２００に問い合わせる。まず、接続ルート１についての接続要求を許可するシーケンスについて図１２を参照して説明する。この場合は、ＨＳＳ２００に記憶されているユーザ情報は、受信した相手装置７００の接続要求パケットのヘッダー部に記載されているアドレスを含み、かつ、該当する接続可否フラグは「０」（接続許可）に設定されている。
【００４８】
相手装置７００が、Ｐ−ＣＳＣＦ１００ｂに接続要求を行うと（ステップＳ５１）、Ｐ−ＣＳＣＦ１００ｂは、受信した接続要求パケットの送信元アドレスが登録済のアドレスであるか、また、接続禁止になっていないかをＨＳＳ２００に問合わせる（ステップＳ５２）。ＨＳＳ２００は、登録されているユーザ情報と問合せを受けたアドレスとを照合し、接続可否の確認を行う（ステップＳ５３）。そして、接続可否フラグが「０」であり、接続許可対象のアドレスであるので、ＨＳＳ２００は、Ｐ−ＣＳＣＦ１００ｂに対して接続許可通知を送信する（ステップＳ５４）。接続許可通知を受信したＰ−ＣＳＣＦ１００ｂは、自装置に接続されるユーザ端末６００に接続要求を中継する。そして、相手装置７００とユーザ端末６００とがパケット通信を行えるようにする（ステップＳ５５）。
【００４９】
中継ルート２の場合は、ステップＳ５５の接続要求の中継先が相手装置７００ではなく他のＰ−ＣＳＣＦ１００ａとなるが、他の処理については同じである。中継ルート３の場合は、ステップＳ５５の接続要求の中継先が相手装置７００ではなくＰ−ＧＷ３００となるが、他の処理については同じである。
【００５０】
次に、相手装置７００から送信された接続要求を許可しない場合について図１３を参照して説明する。この場合は、受信したアドレスに該当する接続可否フラグは「１」（接続禁止）に設定されている。
【００５１】
相手装置７００が、Ｐ−ＣＳＣＦ１００ｂに接続要求を行うと（ステップＳ６１）、Ｐ−ＣＳＣＦ１００ｂは、受信した接続要求パケットの送信元アドレスが登録済のアドレスであるか、また、接続禁止になっていないかをＨＳＳ２００に問合わせる（ステップＳ６２）。ＨＳＳ２００は、登録されているユーザ情報と問合せを受けたアドレスとを照合し、接続可否の確認を行う（ステップＳ６３）。そして、接続可否フラグが「１」であり、接続禁止対象のアドレスであるので、ＨＳＳ２００は、Ｐ−ＣＳＣＦ１００ｂに対して接続禁止通知を送信する（ステップＳ６４）。接続禁止通知を受信したＰ−ＣＳＣＦ１００ｂは、相手装置７００に接続未確立通知を送信する（ステップＳ６５）。
【００５２】
次に、接続した後で相手装置７００からのサイバー攻撃を検出した場合のシーケンスについて、図１４を参照して説明する。通信中に相手装置７００がサイバー攻撃を行うと（ステップＳ７１）、Ｐ−ＣＳＣＦ１００ｂ内の攻撃端末特定部１１０は、相手装置７００が送信するパケットをモニタすることにより、相手装置７００がサイバー攻撃を行っているか否かを判別する（ステップＳ７２）。サイバー攻撃が行われていることを判別した攻撃端末特定部１１０は、該当するパケットのヘッダー部に記載されている送信元アドレスを取得し、取得したアドレスを通知部１３０に供給する。通知部１３０は、そのアドレスが接続禁止対象アドレスであることをＨＳＳ２００に通知する（ステップＳ７３）。通知を受けたＨＳＳ２００は、通知を受けたアドレスを接続禁止対象アドレスとして登録する（ステップＳ７４）。例えば、図２に示すＭＡＣ−Ａ４に該当する相手装置７００がサイバー攻撃を行ったという通知を受けた場合、ＨＳＳ２００は、図２に示すＭＡＣ−Ａ４に対応する接続可否フラグを「０」（接続許可）から「１」（接続禁止）に変更する。
【００５３】
接続可否フラグを変更したＨＳＳ２００は、Ｐ−ＣＳＣＦ１００ｂに変更したフラグ情報（接続可否情報）を通知する（ステップＳ７５）。接続可否情報を受信したＰ−ＣＳＣＦ１００ｂは、該当するアドレスの相手装置７００との通信を切断する（ステップＳ７６）。
【００５４】
以上に説明したように、実施形態２に係る通信制御装置１０は、Ｐ−ＣＳＣＦ１００に接続された相手端末７００がサイバー攻撃を行ったことを判別すると、相手装置７００のアドレスを特定し、そのアドレスを接続禁止対象アドレスとしてＨＳＳ２００に記憶する。Ｐ−ＣＳＣＦ１００は、新たな接続処理を行うたびにＨＳＳ２００に登録された接続可否フラグ（接続可否情報）を確認するので、同じ相手装置７００から次のサイバー攻撃を仕掛けられても、通信制御装置１０は、接続要求をＰ−ＣＳＣＦ１００で遮断する。したがって、通信制御装置１０は、過去にサイバー攻撃を行った相手装置７００の接続処理やサイバー攻撃の検出処理などを行わない。これにより、同じ相手装置７００がサイバー攻撃を仕掛けてきても通信制御装置１０、もしくは、通信制御装置１０に接続されるサーバの処理負荷が増大することを防止できる。
【００５５】
なお、以上の実施形態１と２及び変形例１の説明では、Ｐ−ＧＷ３００もしくはＰ−ＣＳＣＦ１００からＨＳＳ２００に直接接続可否の確認を行う場合について説明した。しかし、本発明の範囲は上記の実施形態に限定されることはない。ユーザ端末が移動体端末である場合、Ｐ−ＧＷ３００もしくはＰ−ＣＳＣＦ１００は、ユーザ端末との通信を設定する際に、ユーザ端末の位置情報を管理するモビリティ管理サーバ（Ｍｏｂｉｌｉｔｙ  Ｍａｎａｇｅｍｅｎｔ  Ｅｎｔｉｔｙ：以下ＭＭＥと略す）にユーザ端末の位置情報を確認する。そして、ＭＭＥを介してＨＳＳ２００にユーザ情報を確認する場合がある。このようなＭＭＥを介してＨＳＳ２００に問い合わせる実施形態も本発明に含まれる。
【００５６】
また、上記の説明では、接続禁止対象アドレスをＨＳＳ２００に記憶する場合について説明した。しかし、ＭＭＥ内に接続禁止対象アドレスを記憶しておき、Ｐ−ＧＷ３００もしくはＰ−ＣＳＣＦ１００からＭＭＥに問合せがあった際に、ＭＭＥからＰ−ＧＷ３００もしくはＰ−ＣＳＣＦ１００に、相手装置７００が接続禁止対象装置であることを通知するようにしてもよい。
また、接続禁止対象アドレスをＰ−ＧＷ３００内もしくはＰ−ＣＳＣＦ１００内の記憶部に記憶し、接続処理部１４０もしくは接続処理部３１０がその情報を参照することにより、サイバー攻撃を行った相手装置７００との接続をしないようにしてもよい。
【００５７】
以上の実施形態の一部または全部は、以下の付記のようにも記載されうるが、以下には限られない。
【００５８】
（付記１）
接続を許可する端末と禁止する端末を識別するための接続可否情報を記憶する記憶手段と、
前記記憶手段に記憶されている接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行う通信接続手段と、
通信をモニタし、サイバー攻撃を行った端末を特定し、該サイバー攻撃を行った端末の接続を禁止するように前記記憶手段に記憶されている前記接続可否情報を更新する接続可否情報更新手段と、
を備えることを特徴とする通信制御装置。
【００５９】
（付記２）
前記通信接続手段は、
通信ネットワークとこの通信制御装置とを接続する機能を有するネットワーク接続手段と、
この通信制御装置とユーザ端末とを接続する機能を有するユーザ端末接続手段と、
を備えることを特徴とする付記１に記載の通信制御装置。
【００６０】
（付記３）
前記接続可否情報更新手段は、前記通信接続手段が中継した接続要求に基づく通信で送受信されるパケットをモニタし、モニタしたパケットに基づいて、前記サイバー攻撃を行った端末を特定する、
ことを特徴とする付記１または２に記載の通信制御装置。
【００６１】
（付記４）
前記接続可否情報更新手段は、
通信のパケットをモニタし、集中アクセス、成りすまし、改ざんの何れかを検出し、
集中アクセス、成りすまし、改ざんの何れかを行った端末を特定し、特定した端末の接続を禁止するように前記記憶手段に記憶されている前記接続可否情報を更新する、
ことを特徴とする付記１乃至３のいずれかに記載の通信制御装置。
【００６２】
（付記５）
前記接続可否情報更新手段は、通信で送受信されたパケットに付与されている送信元を特定するアドレスを検出し、単位時間あたりに受信した同一アドレスのパケットの数が閾値以上である場合に、閾値以上の数のパケットを送信した端末を前記サイバー攻撃を行った端末と特定する、
ことを特徴とする付記１乃至４のいずれかに記載の通信制御装置。
【００６３】
（付記６）
前記サイバー攻撃を行った端末のアドレスを他の装置から取得する取得手段をさらに備え、
前記接続可否情報更新手段は、前記取得手段が取得したアドレスの端末との接続を禁止するように前記記憶手段に記憶されている前記接続可否情報を更新する、
ことを特徴とする付記１乃至５のいずれかに記載の通信制御装置。
【００６４】
（付記７）
前記通信接続手段は、
通信ネットワークと、この通信制御装置を介して前記通信ネットワークに接続された第１の端末と通信を行う１又は複数の第２の端末に接続され、
前記通信ネットワークを介して前記第１の端末から前記第２の端末を要求先とする接続要求を受信し、前記記憶手段に記憶されている接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行う、
ことを特徴とする付記１乃至６のいずれかに記載の通信制御装置。
【００６５】
（付記８）
前記通信接続手段は、
前記第２の端末の何れかから第２の端末の他の何れか宛ての接続要求を、前記記憶手段に記憶されている接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行い、
前記接続可否情報更新手段は、
中継した通信をモニタしてサイバー攻撃を行った端末を特定し、該サイバー攻撃を行った端末の接続を禁止するように前記記憶手段に記憶されている前記接続可否情報を更新する、
ことを特徴とする付記７に記載の通信制御装置。
【００６６】
（付記９）
過去にサイバー攻撃を行った端末から送信された接続要求を遮断する通信制御方法であって、
接続を許可する端末と禁止する端末を識別するための接続可否情報を記憶する工程と、
前記接続可否情報に基づいて、接続が許可されている端末から受信した接続要求を要求先の端末に中継し、接続を禁止されている端末から受信した接続要求を要求先の端末に中継しない処理を行う工程と、
通信をモニタし、サイバー攻撃を行った端末を特定し、該サイバー攻撃を行った端末の接続を禁止するように前記接続可否情報を更新する工程と、
を含む通信制御方法。
【符号の説明】
【００６７】
１…ネットワークシステム、１０…通信制御装置、１００…Ｐ−ＣＳＣＦ、１００ａ…Ｐ−ＣＳＣＦ、１００ｂ…Ｐ−ＣＳＣＦ、１１０…攻撃端末特定部、１１１…アドレス検出部、１１２…パケット数カウント部、１１３…攻撃端末アドレス取得部、１１４…改ざん／成りすまし検出部、１２０…接続禁止対象アドレス取得部、１３０…通知部、１４０…接続処理部、２００…ＨＳＳ、３００…Ｐ−ＧＷ、３０１…Ｐ−ＧＷ、３１０…接続処理部、３２０…接続制御部、６００…ユーザ端末、７００…相手装置、８００…ネットワーク
【図１】
2016181874.tif 000003
【図２】
2016181874.tif 000004
【図３】
2016181874.tif 000005
【図４】
2016181874.tif 000006
【図５】
2016181874.tif 000007
【図６】
2016181874.tif 000008
【図７】
2016181874.tif 000009
【図８】
2016181874.tif 000010
【図９】
2016181874.tif 000011
【図１０】
2016181874.tif 000012
【図１１】
2016181874.tif 000013
【図１２】
2016181874.tif 000014
【図１３】
2016181874.tif 000015
【図１４】
2016181874.tif 000016