(57)【要約】      （修正有）【課題】攻撃者端末のＩＰアドレスが変更された場合であっても攻撃者端末からのアクセスを制限する。【解決手段】本アクセス制限管理装置は、受信したパケットに含まれる第１の送信元アドレスを、送信元アドレスに基づくアクセス制限を行うアクセス制御装置に送信する第１通信部と、各々がアドレスの割り当ての変更を管理する複数の変更管理装置から、第１の送信元アドレスに基づいて第１の変更管理装置を特定する特定部と、特定部により特定された第１の変更管理装置に、第１の送信元アドレスを送信する第２通信部と、パケットの送信元に対して割り当てられるアドレスが第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した第１の変更管理装置から、第２の送信元アドレスを受信し、受信した第２のアドレスをアクセス制御装置に送信する第３通信部とを有する。【選択図】図１９
2017208599.tif 000002
【特許請求の範囲】
【請求項１】
受信したパケットに含まれる第１の送信元アドレスを、送信元アドレスに基づくアクセス制限を行うアクセス制御装置に送信する第１通信部と、
各々がアドレスの割り当ての変更を管理する複数の変更管理装置から、前記第１の送信元アドレスに基づいて第１の変更管理装置を特定する特定部と、
前記特定部により特定された前記第１の変更管理装置に、前記第１の送信元アドレスを送信する第２通信部と、
前記パケットの送信元に対して割り当てられるアドレスが前記第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した前記第１の変更管理装置から、前記第２の送信元アドレスを受信し、受信した前記第２のアドレスを前記アクセス制御装置に送信する第３通信部と、
を有するアクセス制限管理装置。
【請求項２】
前記第１の送信元アドレスについて所定の条件が満たされた場合又は前記第１の送信元アドレスを削除するための指示を受け付けた場合、前記第１の送信元アドレスを削除させるための削除要求を前記アクセス制御装置に送信する第４通信部
をさらに有する請求項１記載のアクセス制限管理装置。
【請求項３】
前記特定部は、
送信元アドレスを割り当てた変更管理装置を前記複数の変更管理装置から特定する処理を行う特定装置に、前記第１の送信元アドレスを送信し、
前記特定装置から前記第１の変更管理装置のアドレスを受信し、
前記第２通信部は、
前記第１の変更管理装置のアドレスを用いて、前記第１の送信元アドレスを前記第１の変更管理装置に送信する、
請求項１又は２記載のアクセス制限管理装置。
【請求項４】
コンピュータが、
受信したパケットに含まれる第１の送信元アドレスを、送信元アドレスに基づくアクセス制限を行うアクセス制御装置に送信し、
各々がアドレスの割り当ての変更を管理する複数の変更管理装置から、前記第１の送信元アドレスに基づいて第１の変更管理装置を特定し、
特定された前記第１の変更管理装置に、前記第１の送信元アドレスを送信し、
前記パケットの送信元に対して割り当てられるアドレスが前記第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した前記第１の変更管理装置から、前記第２の送信元アドレスを受信し、
受信した前記第２のアドレスを前記アクセス制御装置に送信する、
処理を実行するアクセス制限管理方法。
【請求項５】
コンピュータに、
受信したパケットに含まれる第１の送信元アドレスを、送信元アドレスに基づくアクセス制限を行うアクセス制御装置に送信し、
各々がアドレスの割り当ての変更を管理する複数の変更管理装置から、前記第１の送信元アドレスに基づいて第１の変更管理装置を特定し、
特定された前記第１の変更管理装置に、前記第１の送信元アドレスを送信し、
前記パケットの送信元に対して割り当てられるアドレスが前記第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した前記第１の変更管理装置から、前記第２の送信元アドレスを受信し、
受信した前記第２のアドレスを前記アクセス制御装置に送信する、
処理を実行させるアクセス制限管理プログラム。
【請求項６】
アクセス制限の管理を行うアクセス制限管理装置と、
各々がアドレスの割り当ての変更を管理する複数の変更管理装置と、
送信元アドレスに基づくアクセス制限を行うアクセス制御装置と、
を有し、
前記アクセス制限管理装置は、
受信したパケットに含まれる第１の送信元アドレスを、前記アクセス制御装置に送信する第１通信部と、
前記複数の変更管理装置から、前記第１の送信元アドレスに基づいて第１の変更管理装置を特定する特定部と、
前記特定部により特定された前記第１の変更管理装置に、前記第１の送信元アドレスを送信する第２通信部と、
前記パケットの送信元に対して割り当てられるアドレスが前記第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した前記第１の変更管理装置から、前記第２の送信元アドレスを受信し、受信した前記第２のアドレスを前記アクセス制御装置に送信する第３通信部と、
を有する情報処理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス制限の管理技術に関する。
【背景技術】
【０００２】
インターネット上で発生する不正アクセスへの対策に関して、或る文献は以下のような技術を開示する。具体的には、ログデータの解析を行う管理サーバが、ログデータに含まれる送信元ＩＰ（Internet Protocol）アドレスを管理するプロバイダを特定し、特定したプロバイダが管理するＩＰアドレス貸出し情報から、送信元ＩＰアドレスに係るクライアントを特定する。
【０００３】
また、通信を許可されていない端末から加入者端末に対する攻撃への対策に関して、或る文献は以下のような技術を開示する。具体的には、プロバイダネットワーク上に追加されたセキュリティ管理装置が、加入者端末が使用中のＩＰアドレス、ホスト名および接続先のセキュリティ通信装置の対応関係を特定する。そして、セキュリティ管理装置は、加入者端末のセキュリティポリシに応じて、加入者端末が接続中のセキュリティ通信装置に対してファイアウォール設定を行う。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−１５６６８１号公報
【特許文献２】特開２００４−３５７２３４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
但し、これらの文献には、実際に攻撃に携わっていた攻撃者の端末（以下、攻撃者端末と呼ぶ）のアドレスが変更された場合への対処について開示は無い。
【０００６】
本発明の目的は、１つの側面では、攻撃者端末のＩＰアドレスが変更された場合であっても攻撃者端末からのアクセスを制限するための技術を提供することである。
【課題を解決するための手段】
【０００７】
本発明に係るアクセス制限管理装置は、受信したパケットに含まれる第１の送信元アドレスを、送信元アドレスに基づくアクセス制限を行うアクセス制御装置に送信する第１通信部と、各々がアドレスの割り当ての変更を管理する複数の変更管理装置から、第１の送信元アドレスに基づいて第１の変更管理装置を特定する特定部と、特定部により特定された第１の変更管理装置に、第１の送信元アドレスを送信する第２通信部と、パケットの送信元に対して割り当てられるアドレスが第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した第１の変更管理装置から、第２の送信元アドレスを受信し、受信した第２のアドレスをアクセス制御装置に送信する第３通信部とを有する。
【発明の効果】
【０００８】
１つの側面では、攻撃者端末のＩＰアドレスが変更された場合であっても攻撃者端末からのアクセスを制限できるようになる。
【図面の簡単な説明】
【０００９】
【図１】図１は、攻撃者端末のＩＰアドレスが変更されたケースについて説明するための図である。
【図２】図２は、本実施の形態のネットワーク構成を示す図である。
【図３】図３は、企業システムのシステム概要を示す図である。
【図４】図４は、ＩＳＰシステムのシステム概要を示す図である。
【図５】図５は、変更制御装置の機能ブロック図である。
【図６】図６は、変更管理装置の機能ブロック図である。
【図７】図７は、攻撃テーブル格納部に格納される攻撃テーブルの一例を示す図である。
【図８】図８は、ＩＳＰテーブル格納部に格納されるＩＳＰテーブルの一例を示す図である。
【図９】図９は、アクセス制御装置が管理するデータの一例を示す図である。
【図１０】図１０は、攻撃元ＩＰテーブル格納部に格納される攻撃元ＩＰテーブルの一例を示す図である。
【図１１】図１１は、加入者管理装置が管理するデータの一例を示す図である。
【図１２】図１２は、ＩＳＰ特定システムが管理するデータの一例を示す図である。
【図１３】図１３は、本実施の形態の概要を説明するための図である。
【図１４】図１４は、攻撃パケットが検知された場合に変更制御装置によって実行される処理の処理フローを示す図である。
【図１５】図１５は、ＩＳＰシステムの特定について説明するための図である。
【図１６】図１６は、攻撃テーブル格納部に格納される攻撃テーブルの一例を示す図である。
【図１７】図１７は、攻撃元ＩＰアドレスを割り当てたＩＳＰシステムの変更管理装置が攻撃元ＩＰアドレス等を受信した場合に実行する処理の処理フローを示す図である。
【図１８】図１８は、攻撃元ＩＰテーブル格納部に格納される攻撃元ＩＰテーブルの一例を示す図である。
【図１９】図１９は、攻撃者端末に割り当てられたＩＰアドレスが変更された場合に変更制御装置によって実行される処理の処理フローを示す図である。
【図２０】図２０は、攻撃元ＩＰテーブル格納部に格納される攻撃元ＩＰテーブルの一例を示す図である。
【図２１】図２１は、攻撃テーブル格納部に格納される攻撃テーブルの一例を示す図である。
【図２２】図２２は、攻撃者端末の情報を削除する場合に変更制御装置が実行する処理の処理フローを示す図である。
【図２３】図２３は、攻撃テーブル格納部に格納される攻撃テーブルの一例を示す図である。
【図２４】図２４は、攻撃者端末の情報を削除する場合に変更管理装置が実行する処理の処理フローを示す図である。
【図２５】図２５は、攻撃元ＩＰテーブル格納部に格納される攻撃元ＩＰテーブルの一例を示す図である。
【図２６】図２６は、変更制御装置からデータを受信した場合にアクセス制御装置が実行する処理の処理フローを示す図である。
【図２７】図２７は、コンピュータの機能ブロック図である。
【発明を実施するための形態】
【００１０】
図１を用いて、攻撃者端末のＩＰアドレスが変更されるケースについて説明する。図１においては、元々のＩＰアドレスは「ａｄ１」であったが、例えば攻撃者端末の接続が一旦切断された後に、ＩＳＰ（Internet Service Provider）から割り当てられたＩＰアドレスは「ａｄ２」に変更されている。変更前のアドレスを含む攻撃パケットが企業システムの公開サーバに対して送信された場合、最初はアクセス制御装置によるアクセス制限（例えば遮断）は行われない。但し、セキュリティ装置によって攻撃パケットが検知され、アクセス制御装置に対してアクセス制限の設定が行われた後は、攻撃パケットは公開サーバには到達しない。
【００１１】
しかし、攻撃者端末のＩＰアドレスが変更されると、攻撃パケットに対してアクセス制御装置によるアクセス制限は行われないため、攻撃パケットは公開サーバまで到達する。そのため、攻撃者端末の操作者は意図的にＩＰアドレスを変更することで、アクセス制限を回避することができる。また、変更前のＩＰアドレス「ａｄ１」はアクセス制御装置に登録されたままであるので、ＩＰアドレス「ａｄ１」を新たに割り当てられた、悪意を有さない第三者の端末が公開サーバにアクセスしようとすると、アクセスは制限される。
【００１２】
そこで以下では、攻撃者端末のＩＰアドレスが変更された場合であっても攻撃者端末からのアクセスを適切に制限する方法について説明する。
【００１３】
図２に、本実施の形態のネットワーク構成を示す。ＩＳＰの情報処理システムであるＩＳＰシステム３１乃至３３は、インターネット９に接続される。加入者の端末は、ＩＳＰシステム３１乃至３３のいずれかから割り当てられたＩＰアドレスによってインターネット９に接続することができる。本実施の形態においては、サービス妨害攻撃（ＤｏＳ（Denial of Service）攻撃とも呼ばれる）を行う攻撃者端末７のＩＰアドレスがＩＳＰシステム３１から割り当てられ、攻撃者端末７は割り当てられたＩＰアドレスによってインターネット９に接続し、企業システム１に対する攻撃を行う。
【００１４】
ＩＳＰ特定システム５は、インターネット９に接続される。ＩＳＰ特定システム５は、企業システム１から通知されたＩＰアドレスの割り当てを管理するＩＳＰシステムを特定する処理を行う。
【００１５】
なお、図２においてはＩＳＰシステムの数が３であり、企業システムの数が１であるが、数に限定は無い。また、ＩＳＰシステム３１乃至３３に接続される加入者端末は攻撃者端末７以外にも存在するが、本実施の形態の主要な部分とは関係しないため省略する。
【００１６】
図３に、企業システム１のシステム概要を示す。企業システム１は、変更制御装置１０と、アクセス制御装置１１と、セキュリティ装置１２と、公開サーバ１３とを含む。変更制御装置１０、アクセス制御装置１１、セキュリティ装置１２および公開サーバ１３は、ＬＡＮ（Local Area Network）等によって接続される。
【００１７】
アクセス制御装置１１は、セキュリティポリシに従って企業システム１の外部からのアクセスを制御する処理を実行する。セキュリティ装置１２は、攻撃者端末７が送信した攻撃パケットを検出する。セキュリティ装置１２によって検出された攻撃パケットは、企業システム１の管理者によって監視されており、変更制御装置１０は企業システム１の管理者から攻撃者端末７の情報の入力を受け付ける。変更制御装置１０は、攻撃者端末７の送信元ＩＰアドレスをアクセス制御装置１１に送信し、攻撃者端末７が送信したパケットをアクセス制御装置１１に遮断させる。公開サーバ１３は例えばウェブサーバであり、企業システム１の外部の端末等に対して公開されるデータ等を有する。
【００１８】
図４に、ＩＳＰシステム３１のシステム概要を示す。ＩＳＰシステム３１は、変更管理装置３００と、ＤＨＣＰ(Dynamic Host Configuration Protocol)サーバ３１０と、加入者管理装置３２０とを含む。変更管理装置３００、ＤＨＣＰサーバ３１０および加入者管理装置３２０は、ＬＡＮ等によって接続される。なお、ＩＳＰシステム３１以外のＩＳＰシステムのシステム概要も、ＩＳＰシステム３１のシステム概要と同じである。
【００１９】
ＤＨＣＰサーバ３１０は、加入者の端末からの要求に応じてその加入者の端末（例えば、パーソナルコンピュータ或いはスマートフォンなど）にＩＰアドレスを割り当てる処理を実行する。加入者管理装置３２０は、加入者の端末に割り当てられたＩＰアドレスおよび加入者のＩＤ（Identifier）等、加入者に関する情報を管理する。変更管理装置３００は、攻撃者端末７のＩＰアドレスを管理する処理を行う。
【００２０】
図５に、変更制御装置１０の機能ブロック図を示す。変更制御装置１０は、処理部１００と、ＩＳＰ特定部１０１と、変更処理部１０２と、攻撃テーブル格納部１０３と、ＩＳＰテーブル格納部１０４とを含む。処理部１００は、登録処理部１００１と、通知部１００２と、削除処理部１００３とを含む。
【００２１】
登録処理部１００１は、攻撃者端末７の情報を攻撃テーブル格納部１０３に登録する処理、攻撃者端末７にＩＰアドレスを割り当てたＩＳＰシステムの情報をＩＳＰテーブル格納部１０４に登録する処理、およびアクセス制御装置１１に攻撃者端末７からのアクセスを制限させるための処理を行う。通知部１００２は、攻撃者端末７の情報の登録が行われた場合に、変更管理装置３００に対して通知を行う。削除処理部１００３は、攻撃者端末７の情報を攻撃テーブル格納部１０３から削除する処理およびアクセス制御装置１１に攻撃者端末７からのアクセスの制限を解除させるための処理を行う。ＩＳＰ特定部１０１は、攻撃者端末７にＩＰアドレスを割り当てたＩＳＰシステムのＩＤおよびそのＩＳＰシステムのＩＰアドレス（本実施の形態においては、変更管理装置３００のＩＰアドレスであるとする）を、ＩＳＰ特定システム５から取得する。変更処理部１０２は、攻撃者端末７について登録された情報を変更する処理およびアクセス制御装置１１に攻撃者端末７の情報を変更させるための処理を行う。
【００２２】
図６に、変更管理装置３００の機能ブロック図を示す。変更管理装置３００は、登録処理部３００１と、削除処理部３００２と、変更処理部３００３と、攻撃元ＩＰテーブル格納部３００４とを含む。
【００２３】
登録処理部３００１は、攻撃者端末７の情報を攻撃元ＩＰテーブル格納部３００４に登録する処理を行う。削除処理部３００２は、攻撃者端末７の情報を攻撃元ＩＰテーブル格納部３００４から削除する処理を行う。変更処理部３００３は、攻撃元ＩＰテーブル格納部３００４に格納されている、攻撃者端末７の情報を変更する処理を行う。
【００２４】
図７に、攻撃テーブル格納部１０３に格納される攻撃テーブルの一例を示す。図７の例では、攻撃元ＩＰアドレス（すなわち、攻撃者端末７から送信されたパケットの送信元ＩＰアドレス）と、攻撃先ＩＰアドレス（例えば公開サーバ１３のＩＰアドレス）と、エントリが更新された時刻である更新時刻と、ＩＳＰシステムのＩＤとが格納される。
【００２５】
図８に、ＩＳＰテーブル格納部１０４に格納されるＩＳＰテーブルの一例を示す。図８の例では、ＩＳＰシステムのＩＤと、そのＩＳＰシステムのＩＰアドレスとが格納される。
【００２６】
図９に、アクセス制御装置１１が管理するデータの一例を示す。図９の例では、アクセスが制限されるパケットの送信元ＩＰアドレスのリストが管理される。なお、アクセス制御装置１１は、アクセスを許可するパケットの送信元ＩＰアドレスのリスト等をさらに管理している場合もある。
【００２７】
図１０に、攻撃元ＩＰテーブル格納部３００４に格納される攻撃元ＩＰテーブルの一例を示す。図１０の例では、攻撃元ＩＰアドレスと、加入者ＩＤと、企業ＩＰアドレス（本実施の形態においては、企業システム１における変更制御装置１０のＩＰアドレス）とが格納される。
【００２８】
図１１に、加入者管理装置３２０が管理するデータの一例を示す。図１１の例では、加入者ＩＤと、加入者の端末に割り当てたＩＰアドレスとが格納される。
【００２９】
図１２に、ＩＳＰ特定システム５が管理するデータの一例を示す。図１２の例では、ＩＳＰシステムが管理するアドレス範囲を示す情報と、そのＩＳＰシステムのＩＤと、そのＩＳＰシステムのＩＰアドレスとが格納される。本実施の形態の機構を導入していないＩＳＰシステムについては、エントリは登録されない。
【００３０】
図１３を用いて、本実施の形態の概要を説明する。本実施の形態においては、企業側には変更制御装置１０が設けられ、ＩＳＰ側には変更管理装置３００が設けられ、これらの装置の通信によって攻撃者端末７の情報が企業側とＩＳＰ側とで共有される。攻撃者端末７にＩＰアドレスを割り当てたＩＳＰシステム（ここでは、ＩＳＰシステム３１）が企業システム１の変更制御装置１０およびＩＳＰ特定システム５によって特定されると、ＩＳＰシステム３１に対して企業システム１から攻撃者端末７のＩＰアドレス等が通知される。攻撃者端末７のＩＰアドレスが変更された場合、ＩＳＰシステム３１から企業システム１に対して変更後のＩＰアドレスが通知される。企業システム１における変更制御装置１０は、変更後のＩＰアドレスを有する端末からのアクセスをアクセス制御装置１１に制限させることで、ＩＰアドレスの変更に追従して攻撃を遮断することが可能になる。
【００３１】
次に、図１４乃至図２６を用いて、本実施の形態における装置の動作を説明する。
【００３２】
まず、図１４乃至図１６を用いて、攻撃パケットが検知された場合に変更制御装置１０によって実行される処理について説明する。セキュリティ装置１２によって攻撃パケットが検出されると、変更制御装置１０における登録処理部１００１は、攻撃元ＩＰアドレス、更新時刻および攻撃先ＩＰアドレスの入力を企業システム１の管理者から受け付ける（図１４：ステップＳ１）。
【００３３】
登録処理部１００１は、ステップＳ１において入力を受け付けた攻撃元ＩＰアドレスを含む登録要求をアクセス制御装置１１に送信する（ステップＳ３）。登録要求を受信したアクセス制御装置１１が実行する処理については、後で説明する。
【００３４】
登録処理部１００１は、攻撃元ＩＰアドレスを攻撃者端末７に割り当てたＩＳＰシステムのＩＤおよびＩＰアドレスの取得要求を、ＩＳＰ特定システム５に送信する（ステップＳ５）。例えば図１５に示すように、ＩＳＰシステム３１およびＩＳＰシステム３３はＩＳＰ特定システム５が管理するデータに登録されているが、ＩＳＰシステム３２は登録されていないとする。このような場合、攻撃者端末７がＩＳＰシステム３１又はＩＳＰシステム３３に接続されていれば、ＩＳＰ特定システム５は攻撃者端末７に攻撃元ＩＰアドレスを割り当てたＩＳＰシステムを特定することができる。仮に攻撃者端末７がＩＳＰシステム３２に接続されていた場合、ＩＳＰ特定システム５は攻撃者端末７に攻撃元ＩＰアドレスを割り当てたＩＳＰシステムを特定することができない。
【００３５】
登録処理部１００１は、攻撃元ＩＰアドレスを割り当てたＩＳＰシステムを特定することができたか判定する（ステップＳ７）。ＩＳＰシステムを特定することができた場合、取得要求に対する応答は、攻撃元ＩＰアドレスを割り当てたＩＳＰシステムのＩＤおよびそのＩＳＰシステムのＩＰアドレスを含む。ＩＳＰシステムを特定することができない場合、取得要求に対する応答としてＩＳＰシステムを特定することができないことを示す応答が返信されるか、又は、応答が返信されない。
【００３６】
攻撃元ＩＰアドレスを割り当てたＩＳＰシステムを特定することができない場合（ステップＳ７：Ｎｏルート）、登録処理部１００１は、攻撃元ＩＰアドレス、更新時刻および攻撃先ＩＰアドレスを攻撃テーブル格納部１０３における攻撃テーブルに登録する（ステップＳ９）。そして処理は終了する。
【００３７】
一方、攻撃元ＩＰアドレスを割り当てたＩＳＰシステム（本実施の形態においては、ＩＳＰシステム３１）を特定することができた場合（ステップＳ７：Ｙｅｓルート）、登録処理部１００１は、攻撃元ＩＰアドレス、更新時刻、攻撃先ＩＰアドレスおよび取得要求の応答に含まれるＩＤを攻撃テーブル格納部１０３における攻撃テーブルに登録する（ステップＳ１１）。
【００３８】
図１６に、ステップＳ１１の処理後における攻撃テーブルの一例を示す。図７の攻撃テーブルと図１６の攻撃テーブルとを比較すると、太い実線で囲まれたエントリが新たに追加されている。
【００３９】
登録処理部１００１は、攻撃元ＩＰアドレスを割り当てたＩＳＰシステム３１についてのエントリがＩＳＰテーブル格納部１０４におけるＩＳＰテーブルに登録されているか判定する（ステップＳ１３）。攻撃元ＩＰアドレスを割り当てたＩＳＰシステム３１についてのエントリがＩＳＰテーブル格納部１０４におけるＩＳＰテーブルに登録されている場合（ステップＳ１３：Ｙｅｓルート）、追加で登録を行わなくてもよいので、ステップＳ１７の処理に移行する。
【００４０】
一方、攻撃元ＩＰアドレスを割り当てたＩＳＰシステム３１についてのエントリがＩＳＰテーブル格納部１０４におけるＩＳＰテーブルに登録されていない場合（ステップＳ１３：Ｎｏルート）、攻撃元ＩＰアドレスを割り当てたＩＳＰシステム３１のＩＤおよびＩＰアドレスをＩＳＰテーブル格納部１０４におけるＩＳＰテーブルに登録する（ステップＳ１５）。
【００４１】
通知部１００２は、攻撃元ＩＰアドレス、更新時刻および企業ＩＰアドレス（ここでは、本変更制御装置１０のＩＰアドレス）を、攻撃元ＩＰアドレスを割り当てたＩＳＰシステム３１の変更管理装置３００に送信する（ステップＳ１７）。ステップＳ１７における送信の送信先ＩＰアドレスは、取得要求の応答に含まれるＩＰアドレスである。そして処理は終了する。攻撃元ＩＰアドレス、更新時刻および企業ＩＰアドレスを受信したＩＳＰシステム３１の変更管理装置３００が実行する処理については、後で説明する。
【００４２】
以上のような処理を実行すれば、攻撃者端末７のＩＰアドレスを、企業側だけではなくＩＳＰ側にも持たせることができるようになる。また、攻撃者端末７からの攻撃パケットをアクセス制御装置１１において遮断することができるようになる。
【００４３】
次に、図１７および図１８を用いて、攻撃元ＩＰアドレスを割り当てたＩＳＰシステム３１の変更管理装置３００が攻撃元ＩＰアドレス、更新時刻および企業ＩＰアドレスを受信した場合に実行する処理について説明する。
【００４４】
まず、攻撃元ＩＰアドレスを割り当てたＩＳＰシステム３１における変更管理装置３００の登録処理部３００１は、攻撃元ＩＰアドレス、更新時刻および企業ＩＰアドレスを、企業システム１の変更制御装置１０から受信する。そして、登録処理部３００１は、攻撃元ＩＰアドレスおよび更新時刻を、加入者管理装置３２０に通知する（図１７：ステップＳ２１）。
【００４５】
攻撃元ＩＰアドレスおよび更新時刻を受信した加入者管理装置３２０は、図１１に示したデータを用いて、受信した攻撃元ＩＰアドレスに対応する加入者ＩＤを特定し、特定した加入者ＩＤを変更管理装置３００に送信する。これに応じ、変更管理装置３００の登録処理部３００１は、加入者ＩＤを加入者管理装置３２０から受信する（ステップＳ２３）。
【００４６】
そして、登録処理部３００１は、ステップＳ２３において受信した加入者ＩＤと受信した攻撃元ＩＰアドレスおよび企業ＩＰアドレスとを含むエントリを、攻撃元ＩＰテーブル格納部３００４における攻撃元ＩＰテーブルに登録する（ステップＳ２５）。そして処理は終了する。
【００４７】
以上のような処理を実行すると、攻撃元ＩＰテーブル格納部３００４における攻撃元ＩＰテーブルには、図１８に示すようなデータが格納される。図１８の攻撃元ＩＰテーブルと、図１０の攻撃元ＩＰテーブルとを比較すると、太い実線で囲まれたエントリが新たに追加されている。
【００４８】
次に、図１９乃至図２１を用いて、攻撃者端末７に割り当てられたＩＰアドレスが変更された場合に実行される処理について説明する。
【００４９】
攻撃者端末７にＩＰアドレスを割り当てたＩＳＰシステム３１におけるＤＨＣＰサーバ３１０は、攻撃者端末７に変更後のＩＰアドレス（以下、新ＩＰアドレスと呼ぶ）を割り当てる（図１９：ステップＳ３１）。
【００５０】
ＤＨＣＰサーバ３１０は、新ＩＰアドレスおよび変更前のＩＰアドレス（以下、旧ＩＰアドレスと呼ぶ）を含む割当情報を加入者管理装置３２０に送信する（ステップＳ３３）。
【００５１】
加入者管理装置３２０は、新ＩＰアドレスおよび旧ＩＰアドレスを含む割当情報をＤＨＣＰサーバ３１０から受信する（ステップＳ３５）。
【００５２】
加入者管理装置３２０は、割当情報に含まれる旧ＩＰアドレスに対応する加入者ＩＤを、図１１に示したデータを用いて特定する。そして、加入者管理装置３２０は、特定した加入者ＩＤおよび新ＩＰアドレスを変更管理装置３００に送信する（ステップＳ３７）。
【００５３】
変更管理装置３００の変更処理部３００３は、加入者ＩＤおよび新ＩＰアドレスを加入者管理装置３２０から受信する（ステップＳ３９）。
【００５４】
変更処理部３００３は、攻撃元ＩＰテーブルに格納されている、ステップＳ３９において受信した加入者ＩＤに対応付けられている攻撃元ＩＰアドレス（本ＩＰアドレスは旧ＩＰアドレスに相当する）を、ステップＳ３９において受信した新ＩＰアドレスで更新する（ステップＳ４１）。
【００５５】
図２０に、ステップＳ４１の処理が実行された場合における攻撃元ＩＰテーブルの一例を示す。図２０に示した攻撃元ＩＰテーブルと、図１８に示した攻撃元ＩＰテーブルとを比較すると、３行目のエントリにおける攻撃元ＩＰアドレスが「１５６．１２３．５６．７８」から「１５６．１２３．５６．１０２」に変更されている。
【００５６】
変更処理部３００３は、新ＩＰアドレスおよび旧ＩＰアドレスを企業システム１に送信する（ステップＳ４３）。ステップＳ４３における送信の送信先ＩＰアドレスは、攻撃元ＩＰテーブル格納部３００４における攻撃元ＩＰテーブルにおける、更新されたエントリに含まれる企業ＩＰアドレスである。
【００５７】
企業システム１の変更制御装置１０における変更処理部１０２は、新ＩＰアドレスおよび旧ＩＰアドレスを、攻撃者端末７にＩＰアドレスを割り当てたＩＳＰシステム３１における変更管理装置３００から受信する（ステップＳ４５）。
【００５８】
変更処理部１０２は、攻撃テーブル格納部１０３における攻撃テーブルに格納されている、受信した旧ＩＰアドレスと同じＩＰアドレスを、ステップＳ４５において受信した新ＩＰアドレスで更新する。そして、変更処理部１０２は、対応する更新時刻を、例えばＯＳ（Operating System）のシステム時計から取得した現在の時刻で更新する（ステップＳ４７）。
【００５９】
図２１に、ステップＳ４７の処理が実行された場合における攻撃テーブルの一例を示す。図１６に示した攻撃テーブルと、図２１に示した攻撃テーブルとを比較すると、３行目のエントリにおける攻撃元ＩＰアドレスが「１５６．１２３．５６．７８」から「１５６．１２３．５６．１０２」に変更され且つ更新時刻が更新されている。
【００６０】
変更処理部１０２は、旧ＩＰアドレスおよび新ＩＰアドレスを含む更新要求をアクセス制御装置１１に送信する（ステップＳ４９）。更新要求を受信したアクセス制御装置１１が実行する処理については、後で説明する。
【００６１】
以上のような処理を実行すれば、攻撃者端末７に割り当てられたＩＰアドレスの変更に合わせて、アクセス制御装置１１に設定されたＩＰアドレスを旧ＩＰアドレスから新ＩＰアドレスへ変更できるようになる。
【００６２】
次に、図２２および図２３を用いて、攻撃者端末７の情報を削除する場合に変更制御装置１０が実行する処理について説明する。
【００６３】
変更制御装置１０における削除処理部１００３は、攻撃者端末７の情報を削除するための削除指示（ここでは、攻撃元ＩＰアドレスを含む）の入力を企業システム１の管理者から受け付けるか又は所定の条件が満たされたことを検出する（図２２：ステップＳ５１）。所定の条件とは、例えば、攻撃者端末７からの攻撃が所定の期間無かったという条件である。
【００６４】
削除処理部１００３は、削除指示に含まれる攻撃元ＩＰアドレス又は所定の条件が満たされた攻撃元ＩＰアドレスを含むエントリを攻撃テーブル格納部１０３における攻撃テーブルから削除する（ステップＳ５３）。ここで、削除されるエントリにＩＳＰシステム３１のＩＤが含まれる場合には、ＩＳＰシステム３１のＩＤだけメインメモリ等の記憶装置に退避しておく。
【００６５】
図２３に、ステップＳ５３の処理が行われた場合における攻撃テーブルの一例を示す。図２３に示した攻撃テーブルと、図２１に示した攻撃テーブルとを比較すると、５行目のエントリが削除されている。
【００６６】
削除処理部１００３は、削除指示に含まれる攻撃元ＩＰアドレス又は所定の条件が満たされた攻撃元ＩＰアドレスを含む削除要求をアクセス制御装置１１に送信する（ステップＳ５５）。削除要求を受信したアクセス制御装置１１が実行する処理については、後で説明する。
【００６７】
削除処理部１００３は、ステップＳ５３において削除されるエントリにＩＳＰシステム３１のＩＤが含まれていたか判定する（ステップＳ５７）。ステップＳ５３において削除されるエントリにＩＳＰシステム３１のＩＤが含まれていなかった場合（ステップＳ５７：Ｎｏルート）、処理は終了する。
【００６８】
一方、ステップＳ５３において削除されるエントリにＩＳＰシステム３１のＩＤが含まれていた場合（ステップＳ５７：Ｙｅｓルート）、削除処理部１００３は、退避されたＩＳＰシステム３１のＩＤに対応するＩＰアドレスをＩＳＰテーブル格納部１０４におけるＩＳＰテーブルから特定する（ステップＳ５９）。
【００６９】
削除処理部１００３は、削除指示に含まれる攻撃元ＩＰアドレスを含む削除要求を、ステップＳ５９において特定されたＩＰアドレスに対して（すなわち、削除指示に含まれる攻撃元ＩＰアドレスを割り当てたＩＳＰシステム３１に対して）送信する（ステップＳ６１）。そして処理は終了する。
【００７０】
以上のような処理を実行すれば、攻撃に関係しないＩＰアドレスのエントリは削除されるので、次にそのＩＰアドレスが悪意の無い端末に割り当てられた場合にその端末からのアクセスが制限されることを防げるようになる。
【００７１】
次に、図２４および図２５を用いて、攻撃者端末７の情報を削除する場合に変更管理装置３００が実行する処理について説明する。
【００７２】
まず、攻撃者端末７にＩＰアドレスを割り当てたＩＳＰシステム３１の変更管理装置３００における削除処理部３００２は、攻撃元ＩＰアドレスの削除要求を企業システム１から受信する（図２４：ステップＳ７１）。
【００７３】
削除処理部３００２は、削除指示に含まれる攻撃元ＩＰアドレスを含むエントリを攻撃元ＩＰテーブル格納部３００４における攻撃元ＩＰテーブルにおいて特定し、特定したエントリを攻撃元ＩＰテーブル格納部３００４における攻撃元ＩＰテーブルから削除する（ステップＳ７３）。そして処理は終了する。
【００７４】
図２５に、ステップＳ７３の処理が行われた場合における攻撃元ＩＰテーブルの一例を示す。図２０に示した攻撃元ＩＰテーブルと、図２５に示した攻撃元ＩＰテーブルとを比較すると、５行目のエントリが削除されている。
【００７５】
以上のような処理を実行すれば、企業側だけでなくＩＳＰ側においても、攻撃に関係しないＩＰアドレスのエントリが削除されるようになる。
【００７６】
次に、図２６を用いて、変更制御装置１０からデータを受信した場合にアクセス制御装置１１が実行する処理について説明する。
【００７７】
まず、アクセス制御装置１１は、受信したデータは登録要求であるか判定する（図２６：ステップＳ８１）。受信したデータは登録要求である場合（ステップＳ８１：Ｙｅｓルート）、アクセス制御装置１１は、登録要求に含まれる攻撃元ＩＰアドレスを、図９に示したリストに登録する（ステップＳ８３）。そして処理は終了する。
【００７８】
一方、受信したデータは登録要求ではない場合（ステップＳ８１：Ｎｏルート）、アクセス制御装置１１は、受信したデータは更新要求であるか判定する（ステップＳ８５）。
【００７９】
受信したデータは更新要求である場合（ステップＳ８５：Ｙｅｓルート）、アクセス制御装置１１は、更新要求に含まれる新ＩＰアドレスで、図９に示したリストに含まれる旧ＩＰアドレスを更新する（ステップＳ８７）。そして処理は終了する。一方、受信したデータは更新要求ではない場合（ステップＳ８５：Ｎｏルート）、受信したデータは削除要求である。従って、アクセス制御装置１１は、削除要求に含まれる攻撃元ＩＰアドレスを、図９に示したリストから削除する（ステップＳ８９）。そして処理は終了する。
【００８０】
以上のような処理を実行すれば、変更制御装置１０からの要求に応じて動的に設定が変更されるので、適切なアクセス制限を行うことができるようになる。
【００８１】
以上本発明の一実施の形態を説明したが、本発明はこれに限定されるものではない。例えば、上で説明した変更制御装置１０および変更管理装置３００の機能ブロック構成は実際のプログラムモジュール構成に一致しない場合もある。
【００８２】
また、上で説明した各テーブルの構成は一例であって、上記のような構成でなければならないわけではない。さらに、処理フローにおいても、処理結果が変わらなければ処理の順番を入れ替えることも可能である。さらに、並列に実行させるようにしても良い。
【００８３】
なお、上で述べた変更制御装置１０、アクセス制御装置１１、セキュリティ装置１２、公開サーバ１３、ＤＨＣＰサーバ３１０、加入者管理装置３２０および変更管理装置３００は、コンピュータ装置であって、図２７に示すように、メモリ２５０１とＣＰＵ（Central Processing Unit）２５０３とハードディスク・ドライブ（ＨＤＤ：Hard Disk Drive）２５０５と表示装置２５０９に接続される表示制御部２５０７とリムーバブル・ディスク２５１１用のドライブ装置２５１３と入力装置２５１５とネットワークに接続するための通信制御部２５１７とがバス２５１９で接続されている。オペレーティング・システム（ＯＳ：Operating System）及び本実施例における処理を実施するためのアプリケーション・プログラムは、ＨＤＤ２５０５に格納されており、ＣＰＵ２５０３により実行される際にはＨＤＤ２５０５からメモリ２５０１に読み出される。ＣＰＵ２５０３は、アプリケーション・プログラムの処理内容に応じて表示制御部２５０７、通信制御部２５１７、ドライブ装置２５１３を制御して、所定の動作を行わせる。また、処理途中のデータについては、主としてメモリ２５０１に格納されるが、ＨＤＤ２５０５に格納されるようにしてもよい。本発明の実施例では、上で述べた処理を実施するためのアプリケーション・プログラムはコンピュータ読み取り可能なリムーバブル・ディスク２５１１に格納されて頒布され、ドライブ装置２５１３からＨＤＤ２５０５にインストールされる。インターネットなどのネットワーク及び通信制御部２５１７を経由して、ＨＤＤ２５０５にインストールされる場合もある。このようなコンピュータ装置は、上で述べたＣＰＵ２５０３、メモリ２５０１などのハードウエアとＯＳ及びアプリケーション・プログラムなどのプログラムとが有機的に協働することにより、上で述べたような各種機能を実現する。
【００８４】
以上述べた本発明の実施の形態をまとめると、以下のようになる。
【００８５】
本実施の形態の第１の態様に係るアクセス制限管理装置は、（Ａ）受信したパケットに含まれる第１の送信元アドレスを、送信元アドレスに基づくアクセス制限を行うアクセス制御装置に送信する第１通信部（例えば登録処理部１００１）と、（Ｂ）各々がアドレスの割り当ての変更を管理する複数の変更管理装置から、第１の送信元アドレスに基づいて第１の変更管理装置を特定する特定部（例えばＩＳＰ特定部１０１）と、（Ｃ）特定部により特定された第１の変更管理装置に、第１の送信元アドレスを送信する第２通信部（例えば通知部１００２）と、（Ｄ）パケットの送信元に対して割り当てられるアドレスが第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した第１の変更管理装置から、第２の送信元アドレスを受信し、受信した第２のアドレスをアクセス制御装置に送信する第３通信部（例えば変更処理部１０２）とを有する。
【００８６】
このような処理を実行すれば、パケットの送信元アドレスが変更された場合であっても、送信元アドレスに基づくアクセス制限を継続できるようになる。
【００８７】
また、上記アクセス制限管理装置は、（Ｅ）第１の送信元アドレスについて所定の条件が満たされた場合又は第１の送信元アドレスを削除するための指示を受け付けた場合、第１の送信元アドレスを削除させるための削除要求をアクセス制御装置に送信する第４通信部（例えば削除処理部１００３）をさらに有してもよい。特定の送信元アドレスからのアクセスを制限し続けることを防げるようになる。
【００８８】
また、上記特定部は、（ｂ１）送信元アドレスを割り当てた変更管理装置を複数の変更管理装置から特定する処理を行う特定装置に、第１の送信元アドレスを送信し、（ｂ２）特定装置から第１の変更管理装置のアドレスを受信してもよい。そして、上記第２通信部は、（ｃ１）第１の変更管理装置のアドレスを用いて、第１の送信元アドレスを第１の変更管理装置に送信してもよい。変更管理装置の特定を容易に行うことができるようになる。
【００８９】
また、複数の変更管理装置の各々は、１のインターネットサービスプロバイダのシステムに含まれてもよい。
【００９０】
また、パケットは、サービス妨害攻撃のパケットであってもよい。
【００９１】
本実施の形態の第２の態様に係るアクセス制限管理方法は、（Ｆ）受信したパケットに含まれる第１の送信元アドレスを、送信元アドレスに基づくアクセス制限を行うアクセス制御装置に送信し、（Ｇ）各々がアドレスの割り当ての変更を管理する複数の変更管理装置から、第１の送信元アドレスに基づいて第１の変更管理装置を特定し、（Ｈ）特定された第１の変更管理装置に、第１の送信元アドレスを送信し、（Ｉ）パケットの送信元に対して割り当てられるアドレスが第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した第１の変更管理装置から、第２の送信元アドレスを受信し、（Ｊ）受信した第２のアドレスをアクセス制御装置に送信する処理を含む。
【００９２】
なお、上記方法による処理をコンピュータに実行させるためのプログラムを作成することができ、当該プログラムは、例えばフレキシブルディスク、ＣＤ−ＲＯＭ、光磁気ディスク、半導体メモリ、ハードディスク等のコンピュータ読み取り可能な記憶媒体又は記憶装置に格納される。尚、中間的な処理結果はメインメモリ等の記憶装置に一時保管される。
【００９３】
以上の実施例を含む実施形態に関し、さらに以下の付記を開示する。
【００９４】
（付記１）
受信したパケットに含まれる第１の送信元アドレスを、送信元アドレスに基づくアクセス制限を行うアクセス制御装置に送信する第１通信部と、
各々がアドレスの割り当ての変更を管理する複数の変更管理装置から、前記第１の送信元アドレスに基づいて第１の変更管理装置を特定する特定部と、
前記特定部により特定された前記第１の変更管理装置に、前記第１の送信元アドレスを送信する第２通信部と、
前記パケットの送信元に対して割り当てられるアドレスが前記第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した前記第１の変更管理装置から、前記第２の送信元アドレスを受信し、受信した前記第２のアドレスを前記アクセス制御装置に送信する第３通信部と、
を有するアクセス制限管理装置。
【００９５】
（付記２）
前記第１の送信元アドレスについて所定の条件が満たされた場合又は前記第１の送信元アドレスを削除するための指示を受け付けた場合、前記第１の送信元アドレスを削除させるための削除要求を前記アクセス制御装置に送信する第４通信部
をさらに有する付記１記載のアクセス制限管理装置。
【００９６】
（付記３）
前記特定部は、
送信元アドレスを割り当てた変更管理装置を前記複数の変更管理装置から特定する処理を行う特定装置に、前記第１の送信元アドレスを送信し、
前記特定装置から前記第１の変更管理装置のアドレスを受信し、
前記第２通信部は、
前記第１の変更管理装置のアドレスを用いて、前記第１の送信元アドレスを前記第１の変更管理装置に送信する、
付記１又は２記載のアクセス制限管理装置。
【００９７】
（付記４）
前記複数の変更管理装置の各々は、１のインターネットサービスプロバイダのシステムに含まれる、
付記１乃至３のいずれか１つ記載のアクセス制限管理装置。
【００９８】
（付記５）
前記パケットは、サービス妨害攻撃のパケットである、
付記１乃至４のいずれか１つ記載のアクセス制限管理装置。
【００９９】
（付記６）
コンピュータが、
受信したパケットに含まれる第１の送信元アドレスを、送信元アドレスに基づくアクセス制限を行うアクセス制御装置に送信し、
各々がアドレスの割り当ての変更を管理する複数の変更管理装置から、前記第１の送信元アドレスに基づいて第１の変更管理装置を特定し、
特定された前記第１の変更管理装置に、前記第１の送信元アドレスを送信し、
前記パケットの送信元に対して割り当てられるアドレスが前記第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した前記第１の変更管理装置から、前記第２の送信元アドレスを受信し、
受信した前記第２のアドレスを前記アクセス制御装置に送信する、
処理を実行するアクセス制限管理方法。
【０１００】
（付記７）
コンピュータに、
受信したパケットに含まれる第１の送信元アドレスを、送信元アドレスに基づくアクセス制限を行うアクセス制御装置に送信し、
各々がアドレスの割り当ての変更を管理する複数の変更管理装置から、前記第１の送信元アドレスに基づいて第１の変更管理装置を特定し、
特定された前記第１の変更管理装置に、前記第１の送信元アドレスを送信し、
前記パケットの送信元に対して割り当てられるアドレスが前記第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した前記第１の変更管理装置から、前記第２の送信元アドレスを受信し、
受信した前記第２のアドレスを前記アクセス制御装置に送信する、
処理を実行させるアクセス制限管理プログラム。
【０１０１】
（付記８）
アクセス制限の管理を行うアクセス制限管理装置と、
各々がアドレスの割り当ての変更を管理する複数の変更管理装置と、
送信元アドレスに基づくアクセス制限を行うアクセス制御装置と、
を有し、
前記アクセス制限管理装置は、
受信したパケットに含まれる第１の送信元アドレスを、前記アクセス制御装置に送信する第１通信部と、
前記複数の変更管理装置から、前記第１の送信元アドレスに基づいて第１の変更管理装置を特定する特定部と、
前記特定部により特定された前記第１の変更管理装置に、前記第１の送信元アドレスを送信する第２通信部と、
前記パケットの送信元に対して割り当てられるアドレスが前記第１の送信元アドレスから第２の送信元アドレスに変更されたことを検知した前記第１の変更管理装置から、前記第２の送信元アドレスを受信し、受信した前記第２のアドレスを前記アクセス制御装置に送信する第３通信部と、
を有する情報処理システム。
【符号の説明】
【０１０２】
１  企業システム    ３１，３２，３３  ＩＳＰシステム
５  ＩＳＰ特定システム    ７  攻撃者端末
９  インターネット    １０  変更制御装置
１１  アクセス制御装置    １２  セキュリティ装置
１３  公開サーバ    ３００  変更管理装置
３１０  ＤＨＣＰサーバ    ３２０  加入者管理装置
１００  処理部    １０１  ＩＳＰ特定部
１０２  変更処理部    １０３  攻撃テーブル格納部
１０４  ＩＳＰテーブル格納部    １００１  登録処理部
１００２  通知部    １００３  削除処理部
３００１  登録処理部    ３００２  削除処理部
３００３  変更処理部    ３００４  攻撃元ＩＰテーブル格納部
【図１】
2017208599.tif 000003
【図２】
2017208599.tif 000004
【図３】
2017208599.tif 000005
【図４】
2017208599.tif 000006
【図５】
2017208599.tif 000007
【図６】
2017208599.tif 000008
【図７】
2017208599.tif 000009
【図８】
2017208599.tif 000010
【図９】
2017208599.tif 000011
【図１０】
2017208599.tif 000012
【図１１】
2017208599.tif 000013
【図１２】
2017208599.tif 000014
【図１３】
2017208599.tif 000015
【図１４】
2017208599.tif 000016
【図１５】
2017208599.tif 000017
【図１６】
2017208599.tif 000018
【図１７】
2017208599.tif 000019
【図１８】
2017208599.tif 000020
【図１９】
2017208599.tif 000021
【図２０】
2017208599.tif 000022
【図２１】
2017208599.tif 000023
【図２２】
2017208599.tif 000024
【図２３】
2017208599.tif 000025
【図２４】
2017208599.tif 000026
【図２５】
2017208599.tif 000027
【図２６】
2017208599.tif 000028
【図２７】
2017208599.tif 000029