JP3685062B2 - 不正アクセス監視方法および内部通信ネットワーク - Google Patents
不正アクセス監視方法および内部通信ネットワーク Download PDFInfo
- Publication number
- JP3685062B2 JP3685062B2 JP2000397385A JP2000397385A JP3685062B2 JP 3685062 B2 JP3685062 B2 JP 3685062B2 JP 2000397385 A JP2000397385 A JP 2000397385A JP 2000397385 A JP2000397385 A JP 2000397385A JP 3685062 B2 JP3685062 B2 JP 3685062B2
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- information
- communication network
- external
- access
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
この発明は、外部通信ネットワークから組織内などに構築された内部通信ネットワークへの不正アクセスを監視する方法、および上記内部通信ネットワークに関する。
【０００２】
【従来の技術】
パーソナルコンピュータの普及に伴って、日常業務のほとんどは、会社などの組織内の通信ネットワークに接続されたパーソナルコンピュータおよびワークステーションなどの端末装置、ならびに各種情報を提供するサーバを利用して行われるようになってきている。さらに、こうした組織内の通信ネットワーク（以下「内部通信ネットワーク」という）は、組織外との情報交換の利便性を求めて世界中に接続されているインターネットなどの外部通信ネットワークと接続されて利用されるのが通常である。こうした状況は、一方では、外部通信ネットワークのユーザからの内部通信ネットワークへの様々な不正アクセスの脅威にさらされることになり、これらの不正アクセスを水際で食い止める技術が重要になってきている。
【０００３】
不正アクセスを監視するための技術としては、たとえば、次のようなものがある。内部通信ネットワークのゲートウエイは、外部通信ネットワークからの通信に対し、そのパケット制御情報（接続元ＩＰアドレス、宛先ＩＰアドレス、接続元ポート番号、宛先ポート番号など）に基づいて、通過の可否を判断している。すなわち、ゲートウエイは、上記パケット制御情報と事前に通過許可登録されているパケット制御情報とを照合する。パケット制御情報が一致しない場合、内部通信ネットワークのゲートウエイは、内部通信ネットワークへの被害を阻止するため、その通信を強制終了する。こうすることにより、不正アクセスを水際で食い止めている。
【０００４】
【発明が解決しようとする課題】
しかしながら、上述の技術では、不正アクセスをしてきたユーザに関する情報を得ることができないとの問題があった。より詳述すれば、上述の通信は、通常、ＴＣＰ／ＩＰを利用している。ＴＣＰ／ＩＰでは、一般に、直接通信する端末に関する情報のみをパケット制御情報ととして送受している。したがって、不正アクセス端末からサーバなどを経由して内部通信ネットワークに侵入してくる場合、内部通信ネットワークのゲートウエイは、直前のサーバに関するパケット制御情報しか得ることができない。そのため、さらに上流側にある不正アクセス端末の端末情報を得ることができないという問題があった。
【０００５】
そこで、この発明の目的は、内部通信ネットワークにおいて不正アクセス端末を特定できる不正アクセス監視方法を提供することである。
【０００６】
また、この発明の他の目的は、不正アクセス端末を特定できる内部通信ネットワークを提供することである。
【０００７】
【課題を解決するための手段】
上記目的を達成するためのこの発明は、直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークと、この外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークとを有する通信ネットワークに用いられる不正アクセス監視方法であって、上記ゲートウエイにおいて、外部通信ネットワークの端末である外部端末からアクセスがあった場合に、そのアクセスが不正アクセスであるか否かを検出する不正アクセス検出ステップと、不正アクセスであると検出された場合に、内部通信ネットワーク内の罠端末と外部通信ネットワークのアクセス元の外部端末との間で通信回線を接続する回線接続ステップと、通信回線接続中に、アクセス元の外部端末が予め定められた罠処理を実行することにより、当該アクセス元の外部端末の端末情報を内部通信ネットワーク内の管理端末に送信する情報送信ステップとを含むものである。
【０００８】
また、直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークと、この外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークとを有する通信ネットワークに用いられる不正アクセス監視方法であって、アクセス元の外部端末から回線接続が要求された外部端末において、リモート操作であるか否かを判別するリモート判別ステップと、リモート操作であると判別された場合に、アクセス元の外部端末の端末情報を取得し後段の外部端末に転送する情報取得・転送ステップと、後段の外部端末において上記アクセス元の外部端末の端末情報をさらに後段の外部端末に転送する情報転送ステップと、ゲートウエイにおいて、外部端末からアクセスがあった場合に、不正アクセスであるか否かを検出する不正アクセス検出ステップと、不正アクセスであると検出された場合に、上記アクセス元の端末の端末情報を内部通信ネットワーク内の管理端末に転送するステップとを含むものである。
【０００９】
さらに、直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークにおいて、外部通信ネットワークの端末からアクセスがあった場合に、そのアクセスが不正アクセスであるか否かを検出する手段と、不正アクセスであると検出された場合に、上記アクセスが導かれる罠端末とを備え、上記罠端末は、上記アクセスが導かれた場合に、外部通信ネットワークのアクセス元の端末と通信回線を接続する手段と、通信回線接続中においてアクセス元の端末が所定の罠コマンドを実行するか否かを判別する手段と、上記罠コマンドが実行されたと判別された場合に、前段の端末の端末情報を取得し内部通信ネットワークに送信すること、および当該送信命令を前段の端末に対して転送することを規定した送信命令を外部通信ネットワークの端末に対して送出する手段とを含むものである。
【００１０】
さらにまた、直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークにおいて、外部通信ネットワークの端末からアクセスがあった場合に、そのアクセスが不正アクセスであるか否かを検出する手段と、不正アクセスであると検出された場合に、上記アクセスが導かれる罠端末とを備え、上記罠端末は、上記アクセスが導かれた場合に、外部通信ネットワークのアクセス元の端末と通信回線を接続する手段と、予め定められたファイル操作プログラムにより起動され、起動端末の端末情報を収集し内部通信ネットワーク内の管理端末に送信するように規定された情報収集プログラムが埋め込まれた罠ファイルをダウンロード可能に記憶するデータベースとを含むものである。
【００１１】
【発明の実施の形態】
以下では、この発明の実施の形態を、添付図面を参照して詳細に説明する。
【００１２】
実施の形態１
図１は、この発明の実施の形態１に係る不正アクセス監視方法が用いられた通信ネットワークの全体構成を示す概念図である。この通信ネットワークは、インターネットなどの有線の外部通信ネットワーク１に企業内などに構築された有線の内部通信ネットワーク２が接続されたものであり、複数のコンピュータ端末（以下単に「端末」という）間においてＴＣＰ／ＩＰなどの所定の通信プロトコルに従ってパケットを送受信するものである。
【００１３】
より具体的には、この通信ネットワークは、外部通信ネットワーク１から内部通信ネットワーク２への不正アクセスを監視し、不正アクセスが検出された場合に、内部通信ネットワーク２内の正規の端末と異なる専用の端末を利用することにより、不正アクセス経路を追跡するとともに不正アクセス端末の端末情報を取得するように構成されたものである。
【００１４】
ここに、内部通信ネットワーク２は、企業、大学、政府などの組織内に構築されている通信ネットワークに相当するものである。また、上記通信プロトコルは、ＴＣＰ／ＩＰに限定されることはなく、直接通信する隣接端末間の端末情報をパケット制御情報に含ませるようにしたものであればよい。パケット制御情報は、接続先ＭＡＣアドレス、接続元ＭＡＣアドレス、接続先ＩＰアドレス、接続元ＩＰアドレス、接続元ポート、接続先ポートおよびユーザ名などである。また、端末情報は、接続元ＭＡＣアドレス、接続元ＩＰアドレスおよびユーザ名である。
【００１５】
なお、この通信ネットワークは、すべて有線通信ネットワークを前提としている。しかし、たとえば外部通信ネットワーク１および内部通信ネットワーク２のいずれか一方または両方が無線の通信ネットワークでもよいことはもちろんである。
【００１６】
通信ネットワークの構成についてより詳述すれば、内部通信ネットワーク２は、ゲートウエイＧＷを介して外部通信ネットワーク１に接続されており、正規ネットワークＮｎ、罠ネットワークＮｗおよび管理ネットワークＮｋを含む。ゲートウエイＧＷは、内部通信ネットワーク２と外部通信ネットワーク１とを接続するためのネットワーク間接続装置の一種であり、外部通信ネットワーク１からのアクセス監視など予め定められた処理を実行するものである。
【００１７】
正規ネットワークＮｎは、ゲートウエイＧＷに接続され、内部通信ネットワーク２内の正規端末Ｔｎが接続された正規の通信ネットワークに相当するものである。より具体的には、正規ネットワークＮｎは、たとえばＬＡＮ(Local Area Network)を介して接続された１または複数の正規端末Ｔｎを含む。この正規端末Ｔｎは、たとえば、オペレータにより操作可能なパーソナルコンピュータである。
【００１８】
罠ネットワークＮｗは、ゲートウエイＧＷに接続され、外部通信ネットワーク１からの不正アクセスが導かれる通信ネットワークであり、１または複数台の罠端末Ｔｗを含む。罠端末Ｔｗは、不正アクセス元の端末情報を取得することを目的に設置されており、所定の不正アクセス追跡プログラムが予め格納されている。すなわち、罠端末Ｔｗは、不正アクセス追跡プログラムに従って不正アクセス元の端末情報を追跡する処理を自動的に実行するものであり、たとえばサーバにより構成される。
【００１９】
管理ネットワークＮｋは、ゲートウエイＧＷに接続され、１または複数台の管理端末Ｔｋを含む。管理端末Ｔｋは、内部通信ネットワーク２にアクセスしてきた通信に関し予め定められた管理処理を自動的に実行するものであり、たとえばサーバである。管理処理は、たとえば、アクセスだけを拒否し、端末情報についてのみ正規ネットワークまで伝送するか否かを判断したりする処理である。
【００２０】
外部通信ネットワーク１は、内部通信ネットワーク２以外のすべての通信ネットワークを含む概念のものであり、たとえばインターネットおよび／またはインターネットに接続された専用通信ネットワークからなる。外部通信ネットワーク１は、複数台の外部端末Ｔｍを含んでいる。この複数台の外部端末Ｔｍの中には、ユーザが操作するパーソナルコンピュータおよびワークステーションなどの他に、サーバおよびルータも含まれる。ある外部端末Ｔｍのアクセスは、たとえば、複数台のサーバを経由して特定の端末に到達し、接続元の外部端末Ｔｍと特定の端末との間でＴＣＰ／ＩＰ通信が行われる。上記特定の端末には、当然ながら内部通信ネットワーク２内の端末も含まれる。
【００２１】
なお、この実施の形態１では、外部端末Ｔｍの一つである不正アクセス端末ＴＦが内部通信ネットワーク２内の正規端末Ｔｎにアクセスする際に、４つの外部端末Ｔｍ、すなわち第１外部端末Ｔ１、第２外部端末Ｔ２、第３外部端末Ｔ３および第４外部端末Ｔ４を経由する場合を想定する。
【００２２】
図２は、パケットの構成を示す概念図である。パケットは、ヘッダ部およびデータ部を含む。ヘッダ部は、パケット制御情報を格納するもので、接続元ＭＡＣアドレス(MAC SA)、接続元ＩＰアドレス(IPヘッダ)、ユーザ名および接続元ポート(Source Port)、ならびに接続先ＭＡＣアドレス(MAC DA)、接続先ＩＰアドレス(IPヘッダ)および接続先ポート(Destination Port)である。データ部は、通信データを格納するものである。ＭＡＣアドレスは、たとえばＬＡＮカードに固有の製造番号のようなシリアル番号であり、通常、設定変更できないようになっている。
【００２３】
図３は、罠端末Ｔｗの内部構成を示す機能ブロック図である。罠端末Ｔｗは、送受信部１０、プログラム記憶部１１および制御部１２を含む。送受信部１０は、ゲートウエイＧＷを介して外部通信ネットワーク１とパケットの送受信を行うものである。プログラム記憶部１１は、不正アクセス追跡プログラムを予め記憶している。制御部１２は、このプログラム記憶部１１に記憶された不正アクセス追跡プログラムに従って、不正アクセス追跡処理を実行する。
【００２４】
不正アクセス追跡プログラムは、所定の罠コマンドが実行された場合に、外部通信ネットワーク１の外部端末Ｔｍに対して前段の外部端末Ｔｍの端末情報を内部通信ネットワーク２の管理端末Ｔｋに送信させる処理を規定するものである。より具体的には、不正アクセス追跡プログラムは、不正ユーザが実行する可能性の高いものとして予め設定された罠コマンドが実行された場合に、外部通信ネットワーク１のアクセス経路を構成するすべての外部端末Ｔ１〜Ｔ４およびＴＦに対して前段の外部端末の端末情報を内部通信ネットワーク２の管理端末Ｔｋに送信させる処理を規定する。
【００２５】
ここに、上記罠コマンドは、罠端末Ｔｗ内のファイルまたはプログラムの識別情報を表示させるコマンドである。より具体的には、上記罠コマンドは、罠端末Ｔｗ内のファイル名またはプログラム名を一覧表示させるコマンドであり、ＵＮＩＸ（登録商標）のコマンドであるls、psなどに相当する。なお、lsは、ファイル一覧を表示させるコマンドであり、psは稼動しているプロセス（プログラム）の一覧を表示させるコマンドである。
【００２６】
罠端末Ｔｗは、この不正アクセス追跡プログラムの実行を開始すると、ゲートウエイＧＷの前段の外部端末である第４外部端末Ｔ４に送信命令パケットを送信する。送信命令パケットは、端末情報送信命令を含むものである。端末情報送信命令は、外部端末Ｔｍに対して前段の外部端末Ｔｍの端末情報を管理端末Ｔｋ宛に送信すること、および、当該端末情報送信命令を前段の外部端末Ｔｍに転送することを命令するものである。
【００２７】
したがって、第４外部端末Ｔ４は、第３外部端末Ｔ３の端末情報を管理端末Ｔｋ宛に送信するとともに、送信命令パケットを第３外部端末Ｔ３に転送する。すると、第３外部端末Ｔ３においても第４外部端末Ｔ４と同様の処理を行うことになる。以後の第２外部端末Ｔ２、第１外部端末Ｔ１および不正アクセス端末ＴＦにおいても、第４外部端末Ｔ４と同様の処理を実行することになる。そのため、アクセス経路を構成するすべての外部端末Ｔ１〜Ｔ４およびＴＦの端末情報を管理端末Ｔｋに通知することになる。
【００２８】
図４は、外部端末Ｔｍの内部構成を示す機能ブロック図である。外部端末Ｔｍは、送受信部２０および制御部２１を含む。送受信部２０は、他の端末から送信されてきたパケットを受信するとともに、他の端末に対してパケットを送信する。制御部２１は、送受信部２０により受信されたパケットを処理したり必要なパケットを生成したりする。
【００２９】
より具体的には、制御部２１は、送信要求部２２、要求応答部２３、情報送信部２４および送信命令転送部２５を備えている。送信要求部２２は、送受信部２０において送信命令パケットを受信した場合に、送信要求パケットを生成し、当該外部端末Ｔｍの前段の外部端末Ｔｍに送信するものである。送信要求パケットは、前段の外部端末Ｔｍを宛先とし、かつ当該前段の外部端末Ｔｍの端末情報の送信を要求するものである。
【００３０】
要求応答部２３は、後段の外部端末Ｔｍから送信要求パケットを送受信部２０において受信した場合に、自端末の端末情報を含む要求応答パケットを生成し、後段の外部端末Ｔｍに送信するものである。要求応答パケットは、後段の外部端末Ｔｍを宛先とし、かつ自端末の端末情報を含むものである。
【００３１】
情報送信部２４は、前段の外部端末Ｔｍから要求応答パケットを送受信部２０において受信された場合に、情報送信パケットを生成し、内部通信ネットワーク２の管理端末Ｔｋに送信するものである。情報送信パケットは、内部通信ネットワーク２の管理端末Ｔｋを宛先とし、要求応答パケットに含まれている端末情報をデータとして含むものである。
【００３２】
送信命令転送部２５は、後段の外部端末Ｔｍから情報送信命令パケットを送受信部２０において受信された場合に、当該情報送信命令パケットを前段の外部端末Ｔｍにそのまま転送するものである。
【００３３】
図５は、管理端末Ｔｋの内部構成を示す機能ブロック図である。管理端末Ｔｋは、送受信部３０、制御部３１、情報記憶部３２および入出力部３３を含む。送受信部３０は、ゲートウエイＧＷを介して外部ネットワーク１の外部端末Ｔｍや内部ネットワーク２内の正規端末Ｔｎ、罠端末Ｔｗとの間でパケットを送受信するものである。
【００３４】
制御部３１は、管理端末Ｔｋの制御中枢として機能するもので、たとえばＣＰＵを含む。制御部３１は、送受信部３０において受信されたパケットを処理したり、情報記憶部３２の記憶内容を読み出して入出力部３３に出力したり、情報記憶部３２に対して情報を書き込んだりする。より具体的には、制御部３１は、ＩＰアドレス変更部３４および記憶制御部３５を備えている。ＩＰアドレス変更部３４は、ゲートウエイＧＷにて不正アクセスであるとして送信されてきたパケットの接続先ＩＰアドレスを罠端末ＴｗのＩＰアドレスに変更し、送受信部３０を介してゲートウエイＧＷに返信するものである。ゲートウエイＧＷは、当該パケットを罠端末Ｔｗに送信する。これにより、不正アクセスを罠ネットワークＮｗに導くことができる。
【００３５】
記憶制御部３５は、外部ネットワーク１からゲートウエイＧＷを介して管理端末Ｔｋに送信されてきた情報送信パケット中の端末情報を抽出し、情報記憶部３２に記憶させる。また、記憶制御部３５は、入出力部３３からの指示により、情報記憶部３２の記憶内容を入出力部３３に出力する。入出力部３３は、たとえばキーボードと、ディスプレイおよび／またはプリンタとを含むものである。したがって、キーボードから記憶内容の表示が指示された場合、記憶制御部３５は情報記憶部３２の記憶内容を読み出し、ディスプレイに表示させたりプリンタによりプリントアウトさせる。こうすることにより、オペレータは、たとえば、不正アクセス経路の全外部端末Ｔｍの端末情報を視認することができる。
【００３６】
図６は、この実施の形態１に係る不正アクセスを監視する際の通信シーケンス図である。不正アクセス端末ＴＦは、内部通信ネットワーク２内に侵入する場合、宛先の正規端末ＴｎのＩＰアドレス、ＭＡＣアドレスおよびポートを指定したうえで、接続要求パケットを外部通信ネットワーク１上に送出する。この場合、上記接続要求パケットは、パケット制御情報として上記宛先のＩＰアドレスなどの他、自端末のＩＰアドレス、ＭＡＣアドレスおよびポートを含む。この接続要求パケットは、外部通信ネットワーク１の第１外部端末Ｔ１、第２外部端末Ｔ２、第３外部端末Ｔ３および第４外部端末Ｔ４を経由して内部通信ネットワーク２のゲートウエイＧＷにて受信される。
【００３７】
ゲートウエイＧＷは、受信されたパケットが正規ユーザによるアクセスか否かを判断する（Ｓ１）。具体的には、ゲートウエイＧＷは、当該接続要求パケットのパケット制御情報を通過許可登録されている情報と照合し、正規ユーザによるアクセスか否かを判断する。正規ユーザによるアクセスであれば（Ｓ１のＹＥＳ）、ゲートウエイＧＷは、当該接続要求パケットを正規ネットワークＮｎの正規端末Ｔｎに送出する。一方、正規ユーザでなければ（Ｓ１のＮＯ）、すなわち不正ユーザであれば、ゲートウエイＧＷは、当該接続要求パケットを管理端末Ｔｋに転送する。
【００３８】
管理端末Ｔｋは、当該接続要求パケットの接続先ＩＰアドレスを元の正規端末のものから罠端末Ｔｗのものへと自動的に変更し（Ｓ２）、アドレス変更後の接続要求パケットを罠ネットワークＮｗ内の罠端末Ｔｗに送信する。罠端末Ｔｗは、当該接続要求パケットを受信すると、不正アクセス端末ＴＦとの間で通信回線を確立する。こうして、通信が開始される（Ｓ３）。
【００３９】
ところで、罠端末Ｔｗから送信されるパケットの接続元ＩＰアドレスは、ゲートウエイＧＷを通過する際に、代理応答変換により外部向けのＩＰアドレスに変換される。したがって、外部通信ネットワーク１から見た場合、パケットの接続元が正規端末Ｔｎであるか罠端末Ｔｗであるかを識別することができない。
【００４０】
これにより、不正ユーザに対してあたかも内部通信ネットワーク２に侵入し、正規端末Ｔｎと通信が確立できたかの錯覚を与えることができる。この場合、正規端末Ｔｎと通信としていると錯覚している不正ユーザは、罠端末Ｔｗにおいて様々な不正操作を行うことが予想され、その間に不正アクセス端末ＴＦを特定する時間を確保することができる。
【００４１】
より詳述すれば、罠端末Ｔｗは、この通信中に、罠コマンドを実行したか否かを判別する（Ｓ４）。罠コマンドが実行されれば（Ｓ４のＹＥＳ）、罠端末Ｔｗは、端末情報送信命令を含む送信命令パケットを生成し、当該送信命令パケットをゲートウエイＧＷを介して外部通信ネットワーク１に送出する。当該送信命令パケットは、ゲートウエイＧＷと直接通信している第４外部端末Ｔ４にてまず受信される。
【００４２】
第４外部端末Ｔ４は、当該送信命令パケットを受信すると、前段の第３外部端末Ｔ３に対して送信要求パケットを送信するとともに、上記送信命令パケットを転送する。前段の第３外部端末Ｔ３は、送信要求パケットを受信すると、自端末の端末情報（Ｔ３情報：ＭＡＣアドレス、ＩＰアドレスおよびユーザ名）を含む要求応答パケットを後段の第４外部端末Ｔ４に送信する。
【００４３】
要求応答パケットを受信した第４外部端末Ｔ４は、当該要求応答パケットに含まれる端末情報をデータとした情報送信パケットを生成し、当該情報送信パケットを送出する。その結果、情報送信パケットは、ゲートウエイＧＷを介して管理端末Ｔｋに送信され、管理端末Ｔｋにおいて端末情報が記憶される。これにより、内部通信ネットワーク２において不正アクセス経路の一つである第３外部端末Ｔ３の端末情報を取得できる。
【００４４】
また、第４外部端末Ｔ４から送信命令パケットが転送されてきた前段の第３外部端末Ｔ３は、第４外部端末Ｔ４の場合と同様に、前段の第２外部端末Ｔ２に対して送信要求パケットを送信するとともに、上記送信命令パケットを転送する。
【００４５】
その結果、第２外部端末Ｔ２から端末情報（Ｔ２情報）を含む要求応答パケットが第３外部端末Ｔ３に送信され、第３外部端末Ｔ３においてＴ２情報を含む情報送信パケットが生成され、当該情報送信パケットが第４外部端末Ｔ４およびゲートウエイＧＷを介して管理端末Ｔｋに送信される。こうして、内部通信ネットワーク２において第２外部端末Ｔ２の端末情報が取得される。
【００４６】
また、第３外部端末Ｔ３から送信命令パケットが転送されてきた前段の第２外部端末Ｔ２は、第３外部端末Ｔ３の場合と同様に、前段の第１外部端末Ｔ１に対して送信要求パケットを送信するとともに、上記送信命令パケットを転送する。
【００４７】
その結果、第１外部端末Ｔ１から端末情報（Ｔ１情報）を含む要求応答パケットが第２外部端末Ｔ２に送信され、第２外部端末Ｔ２においてＴ１情報を含む情報送信パケットが生成され、当該情報送信パケットが第３外部端末Ｔ３、第４外部端末Ｔ４およびゲートウエイＧＷを介して管理端末Ｔｋに送信される。こうして、内部通信ネットワーク２において第１外部端末Ｔ１の端末情報が取得される。
【００４８】
また、第２外部端末Ｔ２から送信命令パケットが転送されてきた前段の第１外部端末Ｔ１は、第２外部端末Ｔ２の場合と同様に、前段の不正アクセス端末ＴＦに対して送信要求パケットを送信するとともに、上記送信命令パケットを転送する。
【００４９】
その結果、不正アクセス端末ＴＦから端末情報（ＴＦ情報）を含む要求応答パケットが第１外部端末Ｔ１に送信され、第１外部端末Ｔ１においてＴＦ情報を含む情報送信パケットが生成され、当該情報送信パケットが第２外部端末Ｔ２、第３外部端末Ｔ３、第４外部端末Ｔ４およびゲートウエイＧＷを介して管理端末Ｔｋに送信される。こうして、内部通信ネットワーク２において不正アクセス端末ＴＦの端末情報が取得される。
【００５０】
以上のようにこの実施の形態１によれば、不正アクセスであることを検出した場合に、不正アクセス端末ＴＦと罠端末Ｔｗとの間で通信回線を接続させ、所定の罠コマンドの実行により、不正アクセス端末ＴＦおよび不正アクセス経路を構成するすべての外部端末Ｔ１〜Ｔ４およびＴＦの端末情報を内部通信ネットワーク２に送信させる。したがって、不正アクセスから正規端末Ｔｎを保護できるだけでなく、不正アクセス端末ＴＦをも容易に特定できる。そのため、不正アクセスの芽を迅速に摘むことができ、セキュリティ効果の高いネットワーク構築を実現できる。
【００５１】
また、正規端末Ｔｎに不正アクセス追跡処理を行わせるのでなく専用の罠端末Ｔｗを別に備え、この罠端末Ｔｗにて不正アクセス追跡処理を行わせるようにしているので、正規端末Ｔｎの保護を確実に図ることができる。
【００５２】
さらに、不正アクセス経路を構成する各外部端末Ｔｍの端末情報をも内部通信ネットワーク２に送信させているから、不正アクセス経路をも特定することができる。
【００５３】
なお、上述の説明では、不正アクセス端末ＴＦを特定するだけである。しかし、たとえば、その特定された不正アクセス端末ＴＦに対して内部通信ネットワーク２から警告メッセージを送信するようにしてもよい。より具体的には、管理端末Ｔｋは、不正アクセス端末ＴＦの端末情報を記憶し終えると、その旨をゲートウエイＧＷを介して罠端末Ｔｗに通知する。罠端末Ｔｗは、この通知に応答してパケットのデータ部に警告メッセージを上書きする。警告メッセージは、たとえば、不正アクセスであること、および不正アクセス端末を特定済みであることを含む。その後、罠端末Ｔｗは、当該通信を強制切断する。
【００５４】
こうすることにより、不正アクセス端末ＴＦでは、警告メッセージがユーザに提示されることになる。そのため、不正ユーザに対して不正侵入をあきらめさせるのに役立つ。
【００５５】
実施の形態２
図７は、この発明の実施の形態２に係る罠端末Ｔｗの内部構成を示す機能ブロック図である。図７において、図３と同じ機能部分については同一の参照符号を使用する。
【００５６】
上記実施の形態１では、罠端末Ｔｗにて所定の罠コマンドを実行することを条件に、不正アクセス経路を構成するすべての外部端末Ｔｍの端末情報を内部通信ネットワーク２に送信させている。これに対して、この実施の形態２では、罠端末Ｔｗから情報収集プログラムを含む罠ファイルをダウンロードさせ、不正アクセス端末ＴＦにてその罠ファイルを開いた場合に、情報収集プログラムが自動的に実行されて不正アクセス端末ＴＦの端末情報を調査し、当該端末情報を内部通信ネットワーク２に強制的に送信するようにしている。
【００５７】
より詳述すれば、この実施の形態２に係る罠端末Ｔｗは、プログラム記憶部１１の代わりに、１または複数の罠ファイルＦを記憶しているデータベース４０を有している。罠ファイルＦは、たとえば、パスワードを記録したパスワードファイル、アクセスログファイル、各種サービスのコンフィギュレーションファイルである。この罠ファイルＦは、不正ユーザがいかにも内容を参照したくなるようなファイルとしておく。もちろんこの罠ファイルＦに記述されている内容は、正規の情報でなく適当な情報である。
【００５８】
罠ファイルＦの中には、所定の情報収集プログラムＰが埋め込まれている。情報収集プログラムＰは、予め定められたファイル操作プログラムにより起動し、起動端末の端末情報を調査し、管理端末Ｔｋに自動的に通知するように規定されたものである。ここに、ファイル操作プログラムは、外部端末Ｔｍにて使用されている高汎用性のものが選ばれる。たとえば、テキストエディタまたはテキストコマンドである。一方、罠端末Ｔｗは、このファイル操作プログラムの実行を禁止するように設定されている。これにより、罠ファイルＦを罠端末Ｔｗにて実行することができないので、罠ファイルＦを不正アクセス端末ＴＦまでダウンロードさせ不正アクセス端末ＴＦにて実行させるということを補償することができる。
【００５９】
図８は、この実施の形態２において不正アクセスを監視する際の通信シーケンス図である。不正アクセス端末ＴＦが複数の第１〜第４外部端末Ｔ１〜Ｔ４を経由して内部通信ネットワーク２にアクセスしてくると、ゲートウエイＧＷは、そのアクセスが正規ユーザからのものであるか否かをパケット制御情報および通過許可登録済の情報を照合することにより調べる（Ｔ１）。正規ユーザであれば（Ｔ１のＹＥＳ）、ゲートウエイＧＷは、その接続要求パケットを正規端末Ｔｎに転送する。一方、不正ユーザであれば（Ｔ１のＮＯ）、ゲートウエイＧＷは、その接続要求パケットを管理端末Ｔｋに転送する。管理端末Ｔｋは、ＩＰアドレスを罠端末Ｔｗのものに自動変更した後（Ｔ２）、当該接続要求パケットを罠端末Ｔｗに転送する。
【００６０】
罠端末Ｔｗは、接続要求パケットを受信すると、不正アクセス端末ＴＦとの間で通信回線を確立し、通信を開始する（Ｔ３）。この通信中において、不正アクセス端末ＴＦは、罠ファイルＦを発見すると、罠ファイルＦを罠端末Ｔｗで開こうとすると予想される。しかし、罠端末Ｔｗではこの罠ファイルＦを開くことができないので、次に、不正アクセス端末ＴＦは、当該罠ファイルＦをダウンロードすることになると予想される。
【００６１】
上述したように、罠ファイルＦテキストエディタなどで開くことができる。不正アクセス端末ＴＦにより当該罠ファイルＦがテキストエディタなどで開かれると（Ｔ４）、当該罠ファイルＦに埋め込まれている情報収集プログラムの実行が開始される（Ｔ５）。
【００６２】
より具体的には、情報収集プログラムは、起動端末である不正アクセス端末ＴＦの端末情報（ＩＰアドレス、ＭＡＣアドレスおよびユーザ名）を調査し、当該端末情報を含むパケットを自動生成する。この場合、当該パケットの宛先は、管理端末Ｔｋとする。情報収集プログラムは、当該パケットを起動端末から外部通信ネットワーク１中に送出する。
【００６３】
その結果、不正アクセス端末ＴＦの端末情報を含むパケットは、第１〜第４外部端末Ｔ１〜Ｔ４を経由してゲートウエイＧＷにて受信される。ゲートウエイＧＷは、このパケットを管理端末Ｔｋに転送する。管理端末Ｔｋは、このパケットを受信すると、当該パケットの中から端末情報を抽出し、当該端末情報を情報記憶部３２に記憶する。
【００６４】
以上のようにこの実施の形態２によれば、不正ユーザが内容を参照したくなるような罠ファイルＦの中に起動端末の端末情報を自動的に調査し管理端末Ｔｋに自動通知する情報収集プログラムＰを埋め込んでいるから、不正アクセス端末ＴＦの端末情報を取得することができる。そのため、不正アクセス端末ＴＦを容易に特定できる。
【００６５】
なお、上述の説明では、上記実施の形態１での説明と同様に、不正アクセス端末ＴＦを特定するだけで終了している。しかし、この実施の形態２に係る構成に加えて、特定された不正アクセス端末ＴＦに内部通信ネットワーク２から警告メッセージを送信するようにしてもよいことはもちろんである。
【００６６】
実施の形態３
図９は、この発明の実施の形態３に係る外部端末Ｔｍの内部構成を示す機能ブロック図である。図９において、図４と同じ機能部分については同一の参照符号を使用する。
【００６７】
上記実施の形態１および２では、不正アクセス専用の罠端末Ｔｗを備え、この罠端末Ｔｗを使って不正アクセス端末ＴＦの端末情報収集を行っている。これに対して、この実施の形態３では、内部通信ネットワーク２に罠ネットワークＮｗを備えずに、不正アクセス経路となっている複数の外部端末Ｔｍにおいて前段の外部端末Ｔｍの端末情報を記憶・通知する処理を順次実行させることにより、不正アクセス端末ＴＦの端末情報を収集することとしている。
【００６８】
より詳述すれば、この実施の形態３に係る外部端末Ｔｍは、パケットを受信した場合にリモート操作を検出したときには、前段の外部端末Ｔｍの端末情報をいったん記憶するとともに当該記憶された端末情報を後段の外部端末Ｔｍに転送するように構成されている。
【００６９】
より具体的には、外部端末Ｔｍは、情報記憶部５０を備えている。情報記憶部５０は、前段の外部端末Ｔｍの端末情報を記憶するものである。また、外部端末Ｔｍの制御部５１は、リモート操作を検出するリモート操作検出部５２を備えている。リモート操作は、ある外部端末Ｔｍから別の外部端末Ｔｍに対してネットワーク経由でサービスを要求する操作のことである。リモート操作に対応するパケットは、リモート操作に固有のポート番号を有している。リモート操作検出部５２は、受信されたパケットの中のポート番号を参照し、リモート操作か否かを検出する。
【００７０】
また、外部端末の制御部５１は、情報制御部５３を備えている。情報制御部５３は、リモート操作検出部５２によりリモート操作であることが検出された場合に、前段の外部端末Ｔｍに対して端末情報の送信要求を送受信部２０を介して送出し、前段の外部端末Ｔｍから送信されてきた端末情報を情報記憶部５０に記憶する。また、情報制御部５３は、リモート操作であると検出された場合に、前段の外部端末Ｔｍから端末情報専用パケットが送信されているとき、当該端末情報専用パケットを後段の外部端末Ｔｍに転送する。一方、端末情報専用パケットが送信されていないときには、情報記憶部５０に記憶された端末情報を含む端末情報専用パケットを新たに生成し、当該端末情報専用パケットを後段の外部端末Ｔｍに送信する。
【００７１】
図１０は、この実施の形態３において不正アクセスを監視する際の通信シーケンス図である。不正アクセス端末ＴＦは、内部通信ネットワーク２の任意の正規端末Ｔｎにアクセスする場合、自端末の端末情報を含む接続要求パケットを送出する。この場合、不正アクセス端末ＴＦは、リモート操作であることを示すポート番号をパケット制御情報に含ませる。この接続要求パケットは、外部通信ネットワーク１内の第１外部端末Ｔ１にて受信される。
【００７２】
第１外部端末Ｔ１内のリモート操作検出部５２は、この接続要求パケットを受信すると、ポート番号を参照し、リモート操作であるか否かを検出する（Ｕ１）。リモート操作であれば、第１外部端末Ｔ１内の情報制御部５３は、端末情報専用パケットを受信したか否かを判別する。この場合、端末情報専用パケットを受信していないから、情報制御部５３は、端末情報の送信要求パケットを不正アクセス端末ＴＦに送信する（Ｕ２）。不正アクセス端末ＴＦは、これに応答して、ＭＡＣアドレス、ＩＰアドレスおよびユーザ名からなる端末情報（ＴＦ情報）を含む要求応答パケットを第１外部端末ＴＦに送信する（Ｕ３）。
【００７３】
第１外部端末Ｔ１は、この要求応答パケット内のＴＦ情報を情報記憶部５０に記憶するとともに（Ｕ４）、上記ＴＦ情報を含む端末情報専用パケットを新たに生成し、当該端末情報専用パケットを接続要求パケットとともに後段の第２外部端末Ｔ２に送信する（Ｕ５）。
【００７４】
第２外部端末Ｔ２のリモート操作検出部５２は、受信された接続要求パケット中のポート番号を参照し、リモート操作であるか否かを検出する（Ｕ６）。リモート操作である場合には、情報制御部５３は、端末情報専用パケットを受信したか否かを判別する。この場合には端末情報専用パケットを受信しているから、情報制御部５３は、受信されている端末情報専用パケット内のＴＦ情報を情報記憶部５０に記憶するとともに、上記端末情報専用パケットをそのまま後段の第３外部端末Ｔ３に転送する（Ｕ７）。また、情報制御部５３は、受信された接続要求パケットも第３外部端末Ｔ３に転送する（Ｕ７）。
【００７５】
その後、ゲートウエイＧＷに至るまでの第３外部端末Ｔ３および第４外部端末Ｔ４は、第２外部端末Ｔ２と同様に、リモート操作であることを検出した場合に（Ｕ８、Ｕ１０）、ＴＦ情報を情報記憶部５０に記憶し、端末情報専用パケットを転送していく（Ｕ９、Ｕ１１）。その結果、端末情報専用パケットはゲートウエイＧＷに到達する。
【００７６】
ゲートウエイＧＷは、接続要求パケットのパケット制御情報に基づいて、当該アクセスが正規ユーザからのものであるか否かを判別する（Ｕ１２）。正規ユーザからのものであれば、ゲートウエイＧＷは、当該アクセスを正規端末Ｔｎに導く。この場合、ＴＦ情報を破棄する。一方、不正ユーザであれば、ゲートウエイＧＷは、上記端末情報専用パケットを管理端末Ｔｋに転送する（Ｕ１３）。管理端末Ｔｋは、端末情報専用パケットを受信すると、当該パケットからＴＦ情報を抽出し、情報記憶部３２に記憶させる。こうして、不正アクセス端末ＴＦを特定することができる。
【００７７】
管理端末Ｔｋは、ＴＦ情報の記憶が完了すると、ＴＦ情報の記憶完了を示す完了パケットをゲートウエイＧＷに送信する（Ｕ１４）。これに応答して、ゲートウエイＧＷは、当該不正アクセス端末ＴＦからのアクセスを拒否する。
【００７８】
以上のようにこの実施の形態３によれば、不正アクセス経路となる複数の外部端末Ｔｍにおいて不正アクセス端末ＴＦの端末情報を記憶・通知する処理を順次実行させている。したがって、罠ネットワークＮｗを備えなくても、不正アクセス端末ＴＦの端末情報を収集することができる。そのため、不正アクセス端末ＴＦを容易に特定することができる。
【００７９】
また、不正アクセス端末ＴＦの端末情報を記憶した後に不正アクセスを拒否している。すなわち、不正アクセスを迅速に排除しているから、内部通信ネットワーク２内の正規端末Ｔｎを保護することができる。
【００８０】
実施の形態４
図１１は、この発明の実施の形態４に係る外部端末Ｔｍの内部構成を示す機能ブロック図である。図１１において、図９と同じ機能部分については同一の参照符号を使用する。
【００８１】
上記実施の形態３では、不正アクセスである場合にＴＦ情報を管理端末Ｔｋにて記憶させることにより、不正アクセス端末ＴＦを特定するようにしている。しかし、もしもＴＦ情報が改ざんされていれば、ＴＦ情報を記憶しても不正アクセス端末ＴＦを正確に特定できないことになる。そこで、この実施の形態４では、ＴＦ情報が改ざんされているか否かを検出し、その検出結果に応じた処理を行うようにしている。
【００８２】
より詳述すれば、この実施の形態４に係る外部端末Ｔｍの制御部６０は、リモート操作検出部５２および情報制御部５３の他に、電子署名部６１、暗号化部６２、フィルタリング部６３および改ざん検出部６４を備えている。電子署名部６１は、情報記憶部５０に記憶されたＴＦ情報を読み出して当該ＴＦ情報に対して電子署名を施すものである。暗号化部６２は、電子署名が施されたＴＦ情報に対して所定の秘密鍵を用いて暗号化を施すものである。このように、ＴＦ情報に対して電子署名を施し暗号化を施すのは、不正ユーザが容易に復号化して内容を把握することができないようにするためである。
【００８３】
フィルタリング部６３は、この暗号化されたＴＦ情報を一方向関数などの所定関数でフィルタリングし、フィルタリング結果を求めるものである。この場合、フィルタリング結果は、演算対象となったＴＦ情報に対応する結果となっている。フィルタリング部６３は、求められたフィルタリング結果を改ざん検出部６４に与える。
【００８４】
改ざん検出部６４は、他の外部端末Ｔｍから別のフィルタリング結果が送信されてきたか否かを判別し、その判別結果に応じた処理を実行するものである。より具体的には、他の外部端末Ｔｍから別のフィルタリング結果が送信されてきていない場合、改ざん検出部６４は、上記フィルタリング結果を第１のフィルタリング結果（第１の演算結果データ）とし、上記ＴＦ情報とともに後段の外部端末Ｔｍに送信する。
【００８５】
一方、他の外部端末Ｔｍから別のフィルタリング結果が送信されてきている場合、すなわち第１のフィルタリング結果が送信されてきている場合、改ざん検出部６４は、上記第１のフィルタリング結果と、自端末のフィルタリング部６３から与えられたフィルタリング結果（第２のフィルタリング結果：第２の演算結果データ）とを比較し、一致しているか否かを判別する。
【００８６】
一致していれば、改ざん検出部６４は、第１のフィルタリング結果を上記ＴＦ情報とともに後段の外部端末Ｔｍに送信する。この場合、すべての外部端末Ｔ１〜Ｔ４において第１および第２のフィルタリング結果が一致していれば、当該アクセスは、ゲートウエイＧＷに到達する。ゲートウエイＧＷは、不正アクセスであるか否かにかかわらず、当該アクセスを管理端末Ｔｋに導く。一方、一致していなければ、前段の外部端末ＴｍにてＴＦ情報が改ざんされたものと考えられるから、改ざん検出部６４は、以降の外部端末Ｔｍへのアクセスを禁止するとともに、当該アクセスを強制切断する。すなわち、ＴＦ情報が改ざんされていれば、当該アクセスを内部通信ネットワーク２にまで導いても、不正アクセス端末ＴＦを特定することができないからである。
【００８７】
図１２は、この実施の形態４に係る管理端末Ｔｋの内部構成を示す機能ブロック図である。図１２において、図５と同じ機能部分についは同一の参照符号を使用する。管理端末Ｔｋの制御部７０は、ＩＰアドレス変更部３４および記憶制御部３５の他に、電子署名部７１、暗号化部７２、フィルタリング部７３および改ざん検出部７４を備えている。電子署名部７１、暗号化部７２およびフィルタリング部７３の構成は、外部端末Ｔｍと同一である。
【００８８】
改ざん検出部７４は、自端末で求められたフィルタリング結果（第３のフィルタリング結果：第３の演算結果データ）と第１のフィルタリング結果とを比較する。一致していれば、管理端末ＴｋにおいてＴＦ情報が改ざんされていないと考えられるから、当該アクセスは正規アクセスであると判断することができる。一方、一致していなければ、管理端末Ｔｋにまで不正アクセスが入り込んで管理端末ＴｋにてＴＦ情報の改ざんが行われたと考えられるから、管理端末Ｔｋの改ざん検出部７４は、ゲートウエイＧＷの直前の第４外部端末Ｔ４に対して、記憶されているＴＦ情報の送信要求を示す送信要求パケットを送信する。その結果、第４外部端末Ｔ４からＴＦ情報を含む要求応答パケットが管理端末Ｔｋ宛に返信されてくる。これにより、管理端末Ｔｋは、真のＴＦ情報を得ることができる。
【００８９】
以上のようにこの実施の形態４によれば、各外部端末ＴｍにおいてＴＦ情報が改ざんされているか否かを検出し、改ざんされていればそれ以降のアクセスを拒否している。したがって、内部通信ネットワーク２においては、不正アクセス端末ＴＦの無駄な特定作業を行わなくて済む。また、万が一不正アクセスが内部通信ネットワーク２に侵入し、内部ネットワーク２にてＴＦ情報が改ざんされても、外部端末Ｔｍから真のＴＦ情報を取得するようにしているから、内部通信ネットワーク２において不正アクセス端末ＴＦを容易に特定することができる。
【００９０】
【発明の効果】
以上のようにこの発明によれば、不正アクセスを検出した場合に、罠端末と不正アクセス端末との回線を接続させ、不正アクセス端末において所定の罠処理が実行された場合に、不正アクセス端末の端末情報を内部通信ネットワークに送信するようにしている。したがって、内部通信ネットワークは、不正アクセス端末の端末情報を取得することができる。そのため、不正アクセス端末を容易に特定することができる。
【００９１】
また、この発明によれば、外部端末においてリモート操作を検出した場合であって、アクセス元の端末の端末情報を受信した場合に、当該アクセス元の端末情報を後段の外部端末に転送するようにしている。したがって、内部通信ネットワークには、内部通信ネットワークの直前の外部端末からアクセス元の端末の端末情報が送信されることになる。そのため、不正アクセス元の外部端末を容易に特定することができる。
【図面の簡単な説明】
【図１】 この発明の実施の形態１に係る不正アクセス監視方法が用いられた通信ネットワークの全体構成を示す概念図である。
【図２】 パケットの構成を示す概念図である。
【図３】 罠端末の内部構成を示す機能ブロック図である。
【図４】 外部端末の内部構成を示す機能ブロック図である。
【図５】 管理端末の内部構成を示す機能ブロック図である。
【図６】 実施の形態１に係る不正アクセス端末を特定する際の通信シーケンス図である。
【図７】 この発明の実施の形態２に係る罠端末の内部構成を示す機能ブロック図である。
【図８】 実施の形態２に係る不正アクセス端末を特定する際の通信シーケンス図である。
【図９】 この発明の実施の形態３に係る外部端末の内部構成を示す機能ブロック図である。
【図１０】 実施の形態３に係る不正アクセス端末を特定する際の通信シーケンス図である。
【図１１】 実施の形態４に係る外部端末の内部構成を示す機能ブロック図である。
【図１２】 実施の形態４に係る管理端末の内部構成を示す機能ブロック図である。
【符号の説明】
１ 外部通信ネットワーク、２ 内部通信ネットワーク、Ｔｍ 外部端末、Ｔｗ 罠端末、１１ プログラム記憶部、２２ 送信要求部、２３ 要求応答部、２４ 情報送信部、２５ 送信命令転送部、３４ ＩＰアドレス変更部、３５ 記憶制御部、４０ データベース、Ｆ 罠ファイル、Ｐ 情報収集プログラム、５２ リモート操作検出部、５３ 情報制御部、６１ 電子署名部、６２ 暗号化部、６３ フィルタリング部、６４ 改ざん検出部、７１ 電子署名部、７２暗号化部、７３ フィルタリング部、７４ 改ざん検出部。
【発明の属する技術分野】
この発明は、外部通信ネットワークから組織内などに構築された内部通信ネットワークへの不正アクセスを監視する方法、および上記内部通信ネットワークに関する。
【０００２】
【従来の技術】
パーソナルコンピュータの普及に伴って、日常業務のほとんどは、会社などの組織内の通信ネットワークに接続されたパーソナルコンピュータおよびワークステーションなどの端末装置、ならびに各種情報を提供するサーバを利用して行われるようになってきている。さらに、こうした組織内の通信ネットワーク（以下「内部通信ネットワーク」という）は、組織外との情報交換の利便性を求めて世界中に接続されているインターネットなどの外部通信ネットワークと接続されて利用されるのが通常である。こうした状況は、一方では、外部通信ネットワークのユーザからの内部通信ネットワークへの様々な不正アクセスの脅威にさらされることになり、これらの不正アクセスを水際で食い止める技術が重要になってきている。
【０００３】
不正アクセスを監視するための技術としては、たとえば、次のようなものがある。内部通信ネットワークのゲートウエイは、外部通信ネットワークからの通信に対し、そのパケット制御情報（接続元ＩＰアドレス、宛先ＩＰアドレス、接続元ポート番号、宛先ポート番号など）に基づいて、通過の可否を判断している。すなわち、ゲートウエイは、上記パケット制御情報と事前に通過許可登録されているパケット制御情報とを照合する。パケット制御情報が一致しない場合、内部通信ネットワークのゲートウエイは、内部通信ネットワークへの被害を阻止するため、その通信を強制終了する。こうすることにより、不正アクセスを水際で食い止めている。
【０００４】
【発明が解決しようとする課題】
しかしながら、上述の技術では、不正アクセスをしてきたユーザに関する情報を得ることができないとの問題があった。より詳述すれば、上述の通信は、通常、ＴＣＰ／ＩＰを利用している。ＴＣＰ／ＩＰでは、一般に、直接通信する端末に関する情報のみをパケット制御情報ととして送受している。したがって、不正アクセス端末からサーバなどを経由して内部通信ネットワークに侵入してくる場合、内部通信ネットワークのゲートウエイは、直前のサーバに関するパケット制御情報しか得ることができない。そのため、さらに上流側にある不正アクセス端末の端末情報を得ることができないという問題があった。
【０００５】
そこで、この発明の目的は、内部通信ネットワークにおいて不正アクセス端末を特定できる不正アクセス監視方法を提供することである。
【０００６】
また、この発明の他の目的は、不正アクセス端末を特定できる内部通信ネットワークを提供することである。
【０００７】
【課題を解決するための手段】
上記目的を達成するためのこの発明は、直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークと、この外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークとを有する通信ネットワークに用いられる不正アクセス監視方法であって、上記ゲートウエイにおいて、外部通信ネットワークの端末である外部端末からアクセスがあった場合に、そのアクセスが不正アクセスであるか否かを検出する不正アクセス検出ステップと、不正アクセスであると検出された場合に、内部通信ネットワーク内の罠端末と外部通信ネットワークのアクセス元の外部端末との間で通信回線を接続する回線接続ステップと、通信回線接続中に、アクセス元の外部端末が予め定められた罠処理を実行することにより、当該アクセス元の外部端末の端末情報を内部通信ネットワーク内の管理端末に送信する情報送信ステップとを含むものである。
【０００８】
また、直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークと、この外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークとを有する通信ネットワークに用いられる不正アクセス監視方法であって、アクセス元の外部端末から回線接続が要求された外部端末において、リモート操作であるか否かを判別するリモート判別ステップと、リモート操作であると判別された場合に、アクセス元の外部端末の端末情報を取得し後段の外部端末に転送する情報取得・転送ステップと、後段の外部端末において上記アクセス元の外部端末の端末情報をさらに後段の外部端末に転送する情報転送ステップと、ゲートウエイにおいて、外部端末からアクセスがあった場合に、不正アクセスであるか否かを検出する不正アクセス検出ステップと、不正アクセスであると検出された場合に、上記アクセス元の端末の端末情報を内部通信ネットワーク内の管理端末に転送するステップとを含むものである。
【０００９】
さらに、直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークにおいて、外部通信ネットワークの端末からアクセスがあった場合に、そのアクセスが不正アクセスであるか否かを検出する手段と、不正アクセスであると検出された場合に、上記アクセスが導かれる罠端末とを備え、上記罠端末は、上記アクセスが導かれた場合に、外部通信ネットワークのアクセス元の端末と通信回線を接続する手段と、通信回線接続中においてアクセス元の端末が所定の罠コマンドを実行するか否かを判別する手段と、上記罠コマンドが実行されたと判別された場合に、前段の端末の端末情報を取得し内部通信ネットワークに送信すること、および当該送信命令を前段の端末に対して転送することを規定した送信命令を外部通信ネットワークの端末に対して送出する手段とを含むものである。
【００１０】
さらにまた、直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークにおいて、外部通信ネットワークの端末からアクセスがあった場合に、そのアクセスが不正アクセスであるか否かを検出する手段と、不正アクセスであると検出された場合に、上記アクセスが導かれる罠端末とを備え、上記罠端末は、上記アクセスが導かれた場合に、外部通信ネットワークのアクセス元の端末と通信回線を接続する手段と、予め定められたファイル操作プログラムにより起動され、起動端末の端末情報を収集し内部通信ネットワーク内の管理端末に送信するように規定された情報収集プログラムが埋め込まれた罠ファイルをダウンロード可能に記憶するデータベースとを含むものである。
【００１１】
【発明の実施の形態】
以下では、この発明の実施の形態を、添付図面を参照して詳細に説明する。
【００１２】
実施の形態１
図１は、この発明の実施の形態１に係る不正アクセス監視方法が用いられた通信ネットワークの全体構成を示す概念図である。この通信ネットワークは、インターネットなどの有線の外部通信ネットワーク１に企業内などに構築された有線の内部通信ネットワーク２が接続されたものであり、複数のコンピュータ端末（以下単に「端末」という）間においてＴＣＰ／ＩＰなどの所定の通信プロトコルに従ってパケットを送受信するものである。
【００１３】
より具体的には、この通信ネットワークは、外部通信ネットワーク１から内部通信ネットワーク２への不正アクセスを監視し、不正アクセスが検出された場合に、内部通信ネットワーク２内の正規の端末と異なる専用の端末を利用することにより、不正アクセス経路を追跡するとともに不正アクセス端末の端末情報を取得するように構成されたものである。
【００１４】
ここに、内部通信ネットワーク２は、企業、大学、政府などの組織内に構築されている通信ネットワークに相当するものである。また、上記通信プロトコルは、ＴＣＰ／ＩＰに限定されることはなく、直接通信する隣接端末間の端末情報をパケット制御情報に含ませるようにしたものであればよい。パケット制御情報は、接続先ＭＡＣアドレス、接続元ＭＡＣアドレス、接続先ＩＰアドレス、接続元ＩＰアドレス、接続元ポート、接続先ポートおよびユーザ名などである。また、端末情報は、接続元ＭＡＣアドレス、接続元ＩＰアドレスおよびユーザ名である。
【００１５】
なお、この通信ネットワークは、すべて有線通信ネットワークを前提としている。しかし、たとえば外部通信ネットワーク１および内部通信ネットワーク２のいずれか一方または両方が無線の通信ネットワークでもよいことはもちろんである。
【００１６】
通信ネットワークの構成についてより詳述すれば、内部通信ネットワーク２は、ゲートウエイＧＷを介して外部通信ネットワーク１に接続されており、正規ネットワークＮｎ、罠ネットワークＮｗおよび管理ネットワークＮｋを含む。ゲートウエイＧＷは、内部通信ネットワーク２と外部通信ネットワーク１とを接続するためのネットワーク間接続装置の一種であり、外部通信ネットワーク１からのアクセス監視など予め定められた処理を実行するものである。
【００１７】
正規ネットワークＮｎは、ゲートウエイＧＷに接続され、内部通信ネットワーク２内の正規端末Ｔｎが接続された正規の通信ネットワークに相当するものである。より具体的には、正規ネットワークＮｎは、たとえばＬＡＮ(Local Area Network)を介して接続された１または複数の正規端末Ｔｎを含む。この正規端末Ｔｎは、たとえば、オペレータにより操作可能なパーソナルコンピュータである。
【００１８】
罠ネットワークＮｗは、ゲートウエイＧＷに接続され、外部通信ネットワーク１からの不正アクセスが導かれる通信ネットワークであり、１または複数台の罠端末Ｔｗを含む。罠端末Ｔｗは、不正アクセス元の端末情報を取得することを目的に設置されており、所定の不正アクセス追跡プログラムが予め格納されている。すなわち、罠端末Ｔｗは、不正アクセス追跡プログラムに従って不正アクセス元の端末情報を追跡する処理を自動的に実行するものであり、たとえばサーバにより構成される。
【００１９】
管理ネットワークＮｋは、ゲートウエイＧＷに接続され、１または複数台の管理端末Ｔｋを含む。管理端末Ｔｋは、内部通信ネットワーク２にアクセスしてきた通信に関し予め定められた管理処理を自動的に実行するものであり、たとえばサーバである。管理処理は、たとえば、アクセスだけを拒否し、端末情報についてのみ正規ネットワークまで伝送するか否かを判断したりする処理である。
【００２０】
外部通信ネットワーク１は、内部通信ネットワーク２以外のすべての通信ネットワークを含む概念のものであり、たとえばインターネットおよび／またはインターネットに接続された専用通信ネットワークからなる。外部通信ネットワーク１は、複数台の外部端末Ｔｍを含んでいる。この複数台の外部端末Ｔｍの中には、ユーザが操作するパーソナルコンピュータおよびワークステーションなどの他に、サーバおよびルータも含まれる。ある外部端末Ｔｍのアクセスは、たとえば、複数台のサーバを経由して特定の端末に到達し、接続元の外部端末Ｔｍと特定の端末との間でＴＣＰ／ＩＰ通信が行われる。上記特定の端末には、当然ながら内部通信ネットワーク２内の端末も含まれる。
【００２１】
なお、この実施の形態１では、外部端末Ｔｍの一つである不正アクセス端末ＴＦが内部通信ネットワーク２内の正規端末Ｔｎにアクセスする際に、４つの外部端末Ｔｍ、すなわち第１外部端末Ｔ１、第２外部端末Ｔ２、第３外部端末Ｔ３および第４外部端末Ｔ４を経由する場合を想定する。
【００２２】
図２は、パケットの構成を示す概念図である。パケットは、ヘッダ部およびデータ部を含む。ヘッダ部は、パケット制御情報を格納するもので、接続元ＭＡＣアドレス(MAC SA)、接続元ＩＰアドレス(IPヘッダ)、ユーザ名および接続元ポート(Source Port)、ならびに接続先ＭＡＣアドレス(MAC DA)、接続先ＩＰアドレス(IPヘッダ)および接続先ポート(Destination Port)である。データ部は、通信データを格納するものである。ＭＡＣアドレスは、たとえばＬＡＮカードに固有の製造番号のようなシリアル番号であり、通常、設定変更できないようになっている。
【００２３】
図３は、罠端末Ｔｗの内部構成を示す機能ブロック図である。罠端末Ｔｗは、送受信部１０、プログラム記憶部１１および制御部１２を含む。送受信部１０は、ゲートウエイＧＷを介して外部通信ネットワーク１とパケットの送受信を行うものである。プログラム記憶部１１は、不正アクセス追跡プログラムを予め記憶している。制御部１２は、このプログラム記憶部１１に記憶された不正アクセス追跡プログラムに従って、不正アクセス追跡処理を実行する。
【００２４】
不正アクセス追跡プログラムは、所定の罠コマンドが実行された場合に、外部通信ネットワーク１の外部端末Ｔｍに対して前段の外部端末Ｔｍの端末情報を内部通信ネットワーク２の管理端末Ｔｋに送信させる処理を規定するものである。より具体的には、不正アクセス追跡プログラムは、不正ユーザが実行する可能性の高いものとして予め設定された罠コマンドが実行された場合に、外部通信ネットワーク１のアクセス経路を構成するすべての外部端末Ｔ１〜Ｔ４およびＴＦに対して前段の外部端末の端末情報を内部通信ネットワーク２の管理端末Ｔｋに送信させる処理を規定する。
【００２５】
ここに、上記罠コマンドは、罠端末Ｔｗ内のファイルまたはプログラムの識別情報を表示させるコマンドである。より具体的には、上記罠コマンドは、罠端末Ｔｗ内のファイル名またはプログラム名を一覧表示させるコマンドであり、ＵＮＩＸ（登録商標）のコマンドであるls、psなどに相当する。なお、lsは、ファイル一覧を表示させるコマンドであり、psは稼動しているプロセス（プログラム）の一覧を表示させるコマンドである。
【００２６】
罠端末Ｔｗは、この不正アクセス追跡プログラムの実行を開始すると、ゲートウエイＧＷの前段の外部端末である第４外部端末Ｔ４に送信命令パケットを送信する。送信命令パケットは、端末情報送信命令を含むものである。端末情報送信命令は、外部端末Ｔｍに対して前段の外部端末Ｔｍの端末情報を管理端末Ｔｋ宛に送信すること、および、当該端末情報送信命令を前段の外部端末Ｔｍに転送することを命令するものである。
【００２７】
したがって、第４外部端末Ｔ４は、第３外部端末Ｔ３の端末情報を管理端末Ｔｋ宛に送信するとともに、送信命令パケットを第３外部端末Ｔ３に転送する。すると、第３外部端末Ｔ３においても第４外部端末Ｔ４と同様の処理を行うことになる。以後の第２外部端末Ｔ２、第１外部端末Ｔ１および不正アクセス端末ＴＦにおいても、第４外部端末Ｔ４と同様の処理を実行することになる。そのため、アクセス経路を構成するすべての外部端末Ｔ１〜Ｔ４およびＴＦの端末情報を管理端末Ｔｋに通知することになる。
【００２８】
図４は、外部端末Ｔｍの内部構成を示す機能ブロック図である。外部端末Ｔｍは、送受信部２０および制御部２１を含む。送受信部２０は、他の端末から送信されてきたパケットを受信するとともに、他の端末に対してパケットを送信する。制御部２１は、送受信部２０により受信されたパケットを処理したり必要なパケットを生成したりする。
【００２９】
より具体的には、制御部２１は、送信要求部２２、要求応答部２３、情報送信部２４および送信命令転送部２５を備えている。送信要求部２２は、送受信部２０において送信命令パケットを受信した場合に、送信要求パケットを生成し、当該外部端末Ｔｍの前段の外部端末Ｔｍに送信するものである。送信要求パケットは、前段の外部端末Ｔｍを宛先とし、かつ当該前段の外部端末Ｔｍの端末情報の送信を要求するものである。
【００３０】
要求応答部２３は、後段の外部端末Ｔｍから送信要求パケットを送受信部２０において受信した場合に、自端末の端末情報を含む要求応答パケットを生成し、後段の外部端末Ｔｍに送信するものである。要求応答パケットは、後段の外部端末Ｔｍを宛先とし、かつ自端末の端末情報を含むものである。
【００３１】
情報送信部２４は、前段の外部端末Ｔｍから要求応答パケットを送受信部２０において受信された場合に、情報送信パケットを生成し、内部通信ネットワーク２の管理端末Ｔｋに送信するものである。情報送信パケットは、内部通信ネットワーク２の管理端末Ｔｋを宛先とし、要求応答パケットに含まれている端末情報をデータとして含むものである。
【００３２】
送信命令転送部２５は、後段の外部端末Ｔｍから情報送信命令パケットを送受信部２０において受信された場合に、当該情報送信命令パケットを前段の外部端末Ｔｍにそのまま転送するものである。
【００３３】
図５は、管理端末Ｔｋの内部構成を示す機能ブロック図である。管理端末Ｔｋは、送受信部３０、制御部３１、情報記憶部３２および入出力部３３を含む。送受信部３０は、ゲートウエイＧＷを介して外部ネットワーク１の外部端末Ｔｍや内部ネットワーク２内の正規端末Ｔｎ、罠端末Ｔｗとの間でパケットを送受信するものである。
【００３４】
制御部３１は、管理端末Ｔｋの制御中枢として機能するもので、たとえばＣＰＵを含む。制御部３１は、送受信部３０において受信されたパケットを処理したり、情報記憶部３２の記憶内容を読み出して入出力部３３に出力したり、情報記憶部３２に対して情報を書き込んだりする。より具体的には、制御部３１は、ＩＰアドレス変更部３４および記憶制御部３５を備えている。ＩＰアドレス変更部３４は、ゲートウエイＧＷにて不正アクセスであるとして送信されてきたパケットの接続先ＩＰアドレスを罠端末ＴｗのＩＰアドレスに変更し、送受信部３０を介してゲートウエイＧＷに返信するものである。ゲートウエイＧＷは、当該パケットを罠端末Ｔｗに送信する。これにより、不正アクセスを罠ネットワークＮｗに導くことができる。
【００３５】
記憶制御部３５は、外部ネットワーク１からゲートウエイＧＷを介して管理端末Ｔｋに送信されてきた情報送信パケット中の端末情報を抽出し、情報記憶部３２に記憶させる。また、記憶制御部３５は、入出力部３３からの指示により、情報記憶部３２の記憶内容を入出力部３３に出力する。入出力部３３は、たとえばキーボードと、ディスプレイおよび／またはプリンタとを含むものである。したがって、キーボードから記憶内容の表示が指示された場合、記憶制御部３５は情報記憶部３２の記憶内容を読み出し、ディスプレイに表示させたりプリンタによりプリントアウトさせる。こうすることにより、オペレータは、たとえば、不正アクセス経路の全外部端末Ｔｍの端末情報を視認することができる。
【００３６】
図６は、この実施の形態１に係る不正アクセスを監視する際の通信シーケンス図である。不正アクセス端末ＴＦは、内部通信ネットワーク２内に侵入する場合、宛先の正規端末ＴｎのＩＰアドレス、ＭＡＣアドレスおよびポートを指定したうえで、接続要求パケットを外部通信ネットワーク１上に送出する。この場合、上記接続要求パケットは、パケット制御情報として上記宛先のＩＰアドレスなどの他、自端末のＩＰアドレス、ＭＡＣアドレスおよびポートを含む。この接続要求パケットは、外部通信ネットワーク１の第１外部端末Ｔ１、第２外部端末Ｔ２、第３外部端末Ｔ３および第４外部端末Ｔ４を経由して内部通信ネットワーク２のゲートウエイＧＷにて受信される。
【００３７】
ゲートウエイＧＷは、受信されたパケットが正規ユーザによるアクセスか否かを判断する（Ｓ１）。具体的には、ゲートウエイＧＷは、当該接続要求パケットのパケット制御情報を通過許可登録されている情報と照合し、正規ユーザによるアクセスか否かを判断する。正規ユーザによるアクセスであれば（Ｓ１のＹＥＳ）、ゲートウエイＧＷは、当該接続要求パケットを正規ネットワークＮｎの正規端末Ｔｎに送出する。一方、正規ユーザでなければ（Ｓ１のＮＯ）、すなわち不正ユーザであれば、ゲートウエイＧＷは、当該接続要求パケットを管理端末Ｔｋに転送する。
【００３８】
管理端末Ｔｋは、当該接続要求パケットの接続先ＩＰアドレスを元の正規端末のものから罠端末Ｔｗのものへと自動的に変更し（Ｓ２）、アドレス変更後の接続要求パケットを罠ネットワークＮｗ内の罠端末Ｔｗに送信する。罠端末Ｔｗは、当該接続要求パケットを受信すると、不正アクセス端末ＴＦとの間で通信回線を確立する。こうして、通信が開始される（Ｓ３）。
【００３９】
ところで、罠端末Ｔｗから送信されるパケットの接続元ＩＰアドレスは、ゲートウエイＧＷを通過する際に、代理応答変換により外部向けのＩＰアドレスに変換される。したがって、外部通信ネットワーク１から見た場合、パケットの接続元が正規端末Ｔｎであるか罠端末Ｔｗであるかを識別することができない。
【００４０】
これにより、不正ユーザに対してあたかも内部通信ネットワーク２に侵入し、正規端末Ｔｎと通信が確立できたかの錯覚を与えることができる。この場合、正規端末Ｔｎと通信としていると錯覚している不正ユーザは、罠端末Ｔｗにおいて様々な不正操作を行うことが予想され、その間に不正アクセス端末ＴＦを特定する時間を確保することができる。
【００４１】
より詳述すれば、罠端末Ｔｗは、この通信中に、罠コマンドを実行したか否かを判別する（Ｓ４）。罠コマンドが実行されれば（Ｓ４のＹＥＳ）、罠端末Ｔｗは、端末情報送信命令を含む送信命令パケットを生成し、当該送信命令パケットをゲートウエイＧＷを介して外部通信ネットワーク１に送出する。当該送信命令パケットは、ゲートウエイＧＷと直接通信している第４外部端末Ｔ４にてまず受信される。
【００４２】
第４外部端末Ｔ４は、当該送信命令パケットを受信すると、前段の第３外部端末Ｔ３に対して送信要求パケットを送信するとともに、上記送信命令パケットを転送する。前段の第３外部端末Ｔ３は、送信要求パケットを受信すると、自端末の端末情報（Ｔ３情報：ＭＡＣアドレス、ＩＰアドレスおよびユーザ名）を含む要求応答パケットを後段の第４外部端末Ｔ４に送信する。
【００４３】
要求応答パケットを受信した第４外部端末Ｔ４は、当該要求応答パケットに含まれる端末情報をデータとした情報送信パケットを生成し、当該情報送信パケットを送出する。その結果、情報送信パケットは、ゲートウエイＧＷを介して管理端末Ｔｋに送信され、管理端末Ｔｋにおいて端末情報が記憶される。これにより、内部通信ネットワーク２において不正アクセス経路の一つである第３外部端末Ｔ３の端末情報を取得できる。
【００４４】
また、第４外部端末Ｔ４から送信命令パケットが転送されてきた前段の第３外部端末Ｔ３は、第４外部端末Ｔ４の場合と同様に、前段の第２外部端末Ｔ２に対して送信要求パケットを送信するとともに、上記送信命令パケットを転送する。
【００４５】
その結果、第２外部端末Ｔ２から端末情報（Ｔ２情報）を含む要求応答パケットが第３外部端末Ｔ３に送信され、第３外部端末Ｔ３においてＴ２情報を含む情報送信パケットが生成され、当該情報送信パケットが第４外部端末Ｔ４およびゲートウエイＧＷを介して管理端末Ｔｋに送信される。こうして、内部通信ネットワーク２において第２外部端末Ｔ２の端末情報が取得される。
【００４６】
また、第３外部端末Ｔ３から送信命令パケットが転送されてきた前段の第２外部端末Ｔ２は、第３外部端末Ｔ３の場合と同様に、前段の第１外部端末Ｔ１に対して送信要求パケットを送信するとともに、上記送信命令パケットを転送する。
【００４７】
その結果、第１外部端末Ｔ１から端末情報（Ｔ１情報）を含む要求応答パケットが第２外部端末Ｔ２に送信され、第２外部端末Ｔ２においてＴ１情報を含む情報送信パケットが生成され、当該情報送信パケットが第３外部端末Ｔ３、第４外部端末Ｔ４およびゲートウエイＧＷを介して管理端末Ｔｋに送信される。こうして、内部通信ネットワーク２において第１外部端末Ｔ１の端末情報が取得される。
【００４８】
また、第２外部端末Ｔ２から送信命令パケットが転送されてきた前段の第１外部端末Ｔ１は、第２外部端末Ｔ２の場合と同様に、前段の不正アクセス端末ＴＦに対して送信要求パケットを送信するとともに、上記送信命令パケットを転送する。
【００４９】
その結果、不正アクセス端末ＴＦから端末情報（ＴＦ情報）を含む要求応答パケットが第１外部端末Ｔ１に送信され、第１外部端末Ｔ１においてＴＦ情報を含む情報送信パケットが生成され、当該情報送信パケットが第２外部端末Ｔ２、第３外部端末Ｔ３、第４外部端末Ｔ４およびゲートウエイＧＷを介して管理端末Ｔｋに送信される。こうして、内部通信ネットワーク２において不正アクセス端末ＴＦの端末情報が取得される。
【００５０】
以上のようにこの実施の形態１によれば、不正アクセスであることを検出した場合に、不正アクセス端末ＴＦと罠端末Ｔｗとの間で通信回線を接続させ、所定の罠コマンドの実行により、不正アクセス端末ＴＦおよび不正アクセス経路を構成するすべての外部端末Ｔ１〜Ｔ４およびＴＦの端末情報を内部通信ネットワーク２に送信させる。したがって、不正アクセスから正規端末Ｔｎを保護できるだけでなく、不正アクセス端末ＴＦをも容易に特定できる。そのため、不正アクセスの芽を迅速に摘むことができ、セキュリティ効果の高いネットワーク構築を実現できる。
【００５１】
また、正規端末Ｔｎに不正アクセス追跡処理を行わせるのでなく専用の罠端末Ｔｗを別に備え、この罠端末Ｔｗにて不正アクセス追跡処理を行わせるようにしているので、正規端末Ｔｎの保護を確実に図ることができる。
【００５２】
さらに、不正アクセス経路を構成する各外部端末Ｔｍの端末情報をも内部通信ネットワーク２に送信させているから、不正アクセス経路をも特定することができる。
【００５３】
なお、上述の説明では、不正アクセス端末ＴＦを特定するだけである。しかし、たとえば、その特定された不正アクセス端末ＴＦに対して内部通信ネットワーク２から警告メッセージを送信するようにしてもよい。より具体的には、管理端末Ｔｋは、不正アクセス端末ＴＦの端末情報を記憶し終えると、その旨をゲートウエイＧＷを介して罠端末Ｔｗに通知する。罠端末Ｔｗは、この通知に応答してパケットのデータ部に警告メッセージを上書きする。警告メッセージは、たとえば、不正アクセスであること、および不正アクセス端末を特定済みであることを含む。その後、罠端末Ｔｗは、当該通信を強制切断する。
【００５４】
こうすることにより、不正アクセス端末ＴＦでは、警告メッセージがユーザに提示されることになる。そのため、不正ユーザに対して不正侵入をあきらめさせるのに役立つ。
【００５５】
実施の形態２
図７は、この発明の実施の形態２に係る罠端末Ｔｗの内部構成を示す機能ブロック図である。図７において、図３と同じ機能部分については同一の参照符号を使用する。
【００５６】
上記実施の形態１では、罠端末Ｔｗにて所定の罠コマンドを実行することを条件に、不正アクセス経路を構成するすべての外部端末Ｔｍの端末情報を内部通信ネットワーク２に送信させている。これに対して、この実施の形態２では、罠端末Ｔｗから情報収集プログラムを含む罠ファイルをダウンロードさせ、不正アクセス端末ＴＦにてその罠ファイルを開いた場合に、情報収集プログラムが自動的に実行されて不正アクセス端末ＴＦの端末情報を調査し、当該端末情報を内部通信ネットワーク２に強制的に送信するようにしている。
【００５７】
より詳述すれば、この実施の形態２に係る罠端末Ｔｗは、プログラム記憶部１１の代わりに、１または複数の罠ファイルＦを記憶しているデータベース４０を有している。罠ファイルＦは、たとえば、パスワードを記録したパスワードファイル、アクセスログファイル、各種サービスのコンフィギュレーションファイルである。この罠ファイルＦは、不正ユーザがいかにも内容を参照したくなるようなファイルとしておく。もちろんこの罠ファイルＦに記述されている内容は、正規の情報でなく適当な情報である。
【００５８】
罠ファイルＦの中には、所定の情報収集プログラムＰが埋め込まれている。情報収集プログラムＰは、予め定められたファイル操作プログラムにより起動し、起動端末の端末情報を調査し、管理端末Ｔｋに自動的に通知するように規定されたものである。ここに、ファイル操作プログラムは、外部端末Ｔｍにて使用されている高汎用性のものが選ばれる。たとえば、テキストエディタまたはテキストコマンドである。一方、罠端末Ｔｗは、このファイル操作プログラムの実行を禁止するように設定されている。これにより、罠ファイルＦを罠端末Ｔｗにて実行することができないので、罠ファイルＦを不正アクセス端末ＴＦまでダウンロードさせ不正アクセス端末ＴＦにて実行させるということを補償することができる。
【００５９】
図８は、この実施の形態２において不正アクセスを監視する際の通信シーケンス図である。不正アクセス端末ＴＦが複数の第１〜第４外部端末Ｔ１〜Ｔ４を経由して内部通信ネットワーク２にアクセスしてくると、ゲートウエイＧＷは、そのアクセスが正規ユーザからのものであるか否かをパケット制御情報および通過許可登録済の情報を照合することにより調べる（Ｔ１）。正規ユーザであれば（Ｔ１のＹＥＳ）、ゲートウエイＧＷは、その接続要求パケットを正規端末Ｔｎに転送する。一方、不正ユーザであれば（Ｔ１のＮＯ）、ゲートウエイＧＷは、その接続要求パケットを管理端末Ｔｋに転送する。管理端末Ｔｋは、ＩＰアドレスを罠端末Ｔｗのものに自動変更した後（Ｔ２）、当該接続要求パケットを罠端末Ｔｗに転送する。
【００６０】
罠端末Ｔｗは、接続要求パケットを受信すると、不正アクセス端末ＴＦとの間で通信回線を確立し、通信を開始する（Ｔ３）。この通信中において、不正アクセス端末ＴＦは、罠ファイルＦを発見すると、罠ファイルＦを罠端末Ｔｗで開こうとすると予想される。しかし、罠端末Ｔｗではこの罠ファイルＦを開くことができないので、次に、不正アクセス端末ＴＦは、当該罠ファイルＦをダウンロードすることになると予想される。
【００６１】
上述したように、罠ファイルＦテキストエディタなどで開くことができる。不正アクセス端末ＴＦにより当該罠ファイルＦがテキストエディタなどで開かれると（Ｔ４）、当該罠ファイルＦに埋め込まれている情報収集プログラムの実行が開始される（Ｔ５）。
【００６２】
より具体的には、情報収集プログラムは、起動端末である不正アクセス端末ＴＦの端末情報（ＩＰアドレス、ＭＡＣアドレスおよびユーザ名）を調査し、当該端末情報を含むパケットを自動生成する。この場合、当該パケットの宛先は、管理端末Ｔｋとする。情報収集プログラムは、当該パケットを起動端末から外部通信ネットワーク１中に送出する。
【００６３】
その結果、不正アクセス端末ＴＦの端末情報を含むパケットは、第１〜第４外部端末Ｔ１〜Ｔ４を経由してゲートウエイＧＷにて受信される。ゲートウエイＧＷは、このパケットを管理端末Ｔｋに転送する。管理端末Ｔｋは、このパケットを受信すると、当該パケットの中から端末情報を抽出し、当該端末情報を情報記憶部３２に記憶する。
【００６４】
以上のようにこの実施の形態２によれば、不正ユーザが内容を参照したくなるような罠ファイルＦの中に起動端末の端末情報を自動的に調査し管理端末Ｔｋに自動通知する情報収集プログラムＰを埋め込んでいるから、不正アクセス端末ＴＦの端末情報を取得することができる。そのため、不正アクセス端末ＴＦを容易に特定できる。
【００６５】
なお、上述の説明では、上記実施の形態１での説明と同様に、不正アクセス端末ＴＦを特定するだけで終了している。しかし、この実施の形態２に係る構成に加えて、特定された不正アクセス端末ＴＦに内部通信ネットワーク２から警告メッセージを送信するようにしてもよいことはもちろんである。
【００６６】
実施の形態３
図９は、この発明の実施の形態３に係る外部端末Ｔｍの内部構成を示す機能ブロック図である。図９において、図４と同じ機能部分については同一の参照符号を使用する。
【００６７】
上記実施の形態１および２では、不正アクセス専用の罠端末Ｔｗを備え、この罠端末Ｔｗを使って不正アクセス端末ＴＦの端末情報収集を行っている。これに対して、この実施の形態３では、内部通信ネットワーク２に罠ネットワークＮｗを備えずに、不正アクセス経路となっている複数の外部端末Ｔｍにおいて前段の外部端末Ｔｍの端末情報を記憶・通知する処理を順次実行させることにより、不正アクセス端末ＴＦの端末情報を収集することとしている。
【００６８】
より詳述すれば、この実施の形態３に係る外部端末Ｔｍは、パケットを受信した場合にリモート操作を検出したときには、前段の外部端末Ｔｍの端末情報をいったん記憶するとともに当該記憶された端末情報を後段の外部端末Ｔｍに転送するように構成されている。
【００６９】
より具体的には、外部端末Ｔｍは、情報記憶部５０を備えている。情報記憶部５０は、前段の外部端末Ｔｍの端末情報を記憶するものである。また、外部端末Ｔｍの制御部５１は、リモート操作を検出するリモート操作検出部５２を備えている。リモート操作は、ある外部端末Ｔｍから別の外部端末Ｔｍに対してネットワーク経由でサービスを要求する操作のことである。リモート操作に対応するパケットは、リモート操作に固有のポート番号を有している。リモート操作検出部５２は、受信されたパケットの中のポート番号を参照し、リモート操作か否かを検出する。
【００７０】
また、外部端末の制御部５１は、情報制御部５３を備えている。情報制御部５３は、リモート操作検出部５２によりリモート操作であることが検出された場合に、前段の外部端末Ｔｍに対して端末情報の送信要求を送受信部２０を介して送出し、前段の外部端末Ｔｍから送信されてきた端末情報を情報記憶部５０に記憶する。また、情報制御部５３は、リモート操作であると検出された場合に、前段の外部端末Ｔｍから端末情報専用パケットが送信されているとき、当該端末情報専用パケットを後段の外部端末Ｔｍに転送する。一方、端末情報専用パケットが送信されていないときには、情報記憶部５０に記憶された端末情報を含む端末情報専用パケットを新たに生成し、当該端末情報専用パケットを後段の外部端末Ｔｍに送信する。
【００７１】
図１０は、この実施の形態３において不正アクセスを監視する際の通信シーケンス図である。不正アクセス端末ＴＦは、内部通信ネットワーク２の任意の正規端末Ｔｎにアクセスする場合、自端末の端末情報を含む接続要求パケットを送出する。この場合、不正アクセス端末ＴＦは、リモート操作であることを示すポート番号をパケット制御情報に含ませる。この接続要求パケットは、外部通信ネットワーク１内の第１外部端末Ｔ１にて受信される。
【００７２】
第１外部端末Ｔ１内のリモート操作検出部５２は、この接続要求パケットを受信すると、ポート番号を参照し、リモート操作であるか否かを検出する（Ｕ１）。リモート操作であれば、第１外部端末Ｔ１内の情報制御部５３は、端末情報専用パケットを受信したか否かを判別する。この場合、端末情報専用パケットを受信していないから、情報制御部５３は、端末情報の送信要求パケットを不正アクセス端末ＴＦに送信する（Ｕ２）。不正アクセス端末ＴＦは、これに応答して、ＭＡＣアドレス、ＩＰアドレスおよびユーザ名からなる端末情報（ＴＦ情報）を含む要求応答パケットを第１外部端末ＴＦに送信する（Ｕ３）。
【００７３】
第１外部端末Ｔ１は、この要求応答パケット内のＴＦ情報を情報記憶部５０に記憶するとともに（Ｕ４）、上記ＴＦ情報を含む端末情報専用パケットを新たに生成し、当該端末情報専用パケットを接続要求パケットとともに後段の第２外部端末Ｔ２に送信する（Ｕ５）。
【００７４】
第２外部端末Ｔ２のリモート操作検出部５２は、受信された接続要求パケット中のポート番号を参照し、リモート操作であるか否かを検出する（Ｕ６）。リモート操作である場合には、情報制御部５３は、端末情報専用パケットを受信したか否かを判別する。この場合には端末情報専用パケットを受信しているから、情報制御部５３は、受信されている端末情報専用パケット内のＴＦ情報を情報記憶部５０に記憶するとともに、上記端末情報専用パケットをそのまま後段の第３外部端末Ｔ３に転送する（Ｕ７）。また、情報制御部５３は、受信された接続要求パケットも第３外部端末Ｔ３に転送する（Ｕ７）。
【００７５】
その後、ゲートウエイＧＷに至るまでの第３外部端末Ｔ３および第４外部端末Ｔ４は、第２外部端末Ｔ２と同様に、リモート操作であることを検出した場合に（Ｕ８、Ｕ１０）、ＴＦ情報を情報記憶部５０に記憶し、端末情報専用パケットを転送していく（Ｕ９、Ｕ１１）。その結果、端末情報専用パケットはゲートウエイＧＷに到達する。
【００７６】
ゲートウエイＧＷは、接続要求パケットのパケット制御情報に基づいて、当該アクセスが正規ユーザからのものであるか否かを判別する（Ｕ１２）。正規ユーザからのものであれば、ゲートウエイＧＷは、当該アクセスを正規端末Ｔｎに導く。この場合、ＴＦ情報を破棄する。一方、不正ユーザであれば、ゲートウエイＧＷは、上記端末情報専用パケットを管理端末Ｔｋに転送する（Ｕ１３）。管理端末Ｔｋは、端末情報専用パケットを受信すると、当該パケットからＴＦ情報を抽出し、情報記憶部３２に記憶させる。こうして、不正アクセス端末ＴＦを特定することができる。
【００７７】
管理端末Ｔｋは、ＴＦ情報の記憶が完了すると、ＴＦ情報の記憶完了を示す完了パケットをゲートウエイＧＷに送信する（Ｕ１４）。これに応答して、ゲートウエイＧＷは、当該不正アクセス端末ＴＦからのアクセスを拒否する。
【００７８】
以上のようにこの実施の形態３によれば、不正アクセス経路となる複数の外部端末Ｔｍにおいて不正アクセス端末ＴＦの端末情報を記憶・通知する処理を順次実行させている。したがって、罠ネットワークＮｗを備えなくても、不正アクセス端末ＴＦの端末情報を収集することができる。そのため、不正アクセス端末ＴＦを容易に特定することができる。
【００７９】
また、不正アクセス端末ＴＦの端末情報を記憶した後に不正アクセスを拒否している。すなわち、不正アクセスを迅速に排除しているから、内部通信ネットワーク２内の正規端末Ｔｎを保護することができる。
【００８０】
実施の形態４
図１１は、この発明の実施の形態４に係る外部端末Ｔｍの内部構成を示す機能ブロック図である。図１１において、図９と同じ機能部分については同一の参照符号を使用する。
【００８１】
上記実施の形態３では、不正アクセスである場合にＴＦ情報を管理端末Ｔｋにて記憶させることにより、不正アクセス端末ＴＦを特定するようにしている。しかし、もしもＴＦ情報が改ざんされていれば、ＴＦ情報を記憶しても不正アクセス端末ＴＦを正確に特定できないことになる。そこで、この実施の形態４では、ＴＦ情報が改ざんされているか否かを検出し、その検出結果に応じた処理を行うようにしている。
【００８２】
より詳述すれば、この実施の形態４に係る外部端末Ｔｍの制御部６０は、リモート操作検出部５２および情報制御部５３の他に、電子署名部６１、暗号化部６２、フィルタリング部６３および改ざん検出部６４を備えている。電子署名部６１は、情報記憶部５０に記憶されたＴＦ情報を読み出して当該ＴＦ情報に対して電子署名を施すものである。暗号化部６２は、電子署名が施されたＴＦ情報に対して所定の秘密鍵を用いて暗号化を施すものである。このように、ＴＦ情報に対して電子署名を施し暗号化を施すのは、不正ユーザが容易に復号化して内容を把握することができないようにするためである。
【００８３】
フィルタリング部６３は、この暗号化されたＴＦ情報を一方向関数などの所定関数でフィルタリングし、フィルタリング結果を求めるものである。この場合、フィルタリング結果は、演算対象となったＴＦ情報に対応する結果となっている。フィルタリング部６３は、求められたフィルタリング結果を改ざん検出部６４に与える。
【００８４】
改ざん検出部６４は、他の外部端末Ｔｍから別のフィルタリング結果が送信されてきたか否かを判別し、その判別結果に応じた処理を実行するものである。より具体的には、他の外部端末Ｔｍから別のフィルタリング結果が送信されてきていない場合、改ざん検出部６４は、上記フィルタリング結果を第１のフィルタリング結果（第１の演算結果データ）とし、上記ＴＦ情報とともに後段の外部端末Ｔｍに送信する。
【００８５】
一方、他の外部端末Ｔｍから別のフィルタリング結果が送信されてきている場合、すなわち第１のフィルタリング結果が送信されてきている場合、改ざん検出部６４は、上記第１のフィルタリング結果と、自端末のフィルタリング部６３から与えられたフィルタリング結果（第２のフィルタリング結果：第２の演算結果データ）とを比較し、一致しているか否かを判別する。
【００８６】
一致していれば、改ざん検出部６４は、第１のフィルタリング結果を上記ＴＦ情報とともに後段の外部端末Ｔｍに送信する。この場合、すべての外部端末Ｔ１〜Ｔ４において第１および第２のフィルタリング結果が一致していれば、当該アクセスは、ゲートウエイＧＷに到達する。ゲートウエイＧＷは、不正アクセスであるか否かにかかわらず、当該アクセスを管理端末Ｔｋに導く。一方、一致していなければ、前段の外部端末ＴｍにてＴＦ情報が改ざんされたものと考えられるから、改ざん検出部６４は、以降の外部端末Ｔｍへのアクセスを禁止するとともに、当該アクセスを強制切断する。すなわち、ＴＦ情報が改ざんされていれば、当該アクセスを内部通信ネットワーク２にまで導いても、不正アクセス端末ＴＦを特定することができないからである。
【００８７】
図１２は、この実施の形態４に係る管理端末Ｔｋの内部構成を示す機能ブロック図である。図１２において、図５と同じ機能部分についは同一の参照符号を使用する。管理端末Ｔｋの制御部７０は、ＩＰアドレス変更部３４および記憶制御部３５の他に、電子署名部７１、暗号化部７２、フィルタリング部７３および改ざん検出部７４を備えている。電子署名部７１、暗号化部７２およびフィルタリング部７３の構成は、外部端末Ｔｍと同一である。
【００８８】
改ざん検出部７４は、自端末で求められたフィルタリング結果（第３のフィルタリング結果：第３の演算結果データ）と第１のフィルタリング結果とを比較する。一致していれば、管理端末ＴｋにおいてＴＦ情報が改ざんされていないと考えられるから、当該アクセスは正規アクセスであると判断することができる。一方、一致していなければ、管理端末Ｔｋにまで不正アクセスが入り込んで管理端末ＴｋにてＴＦ情報の改ざんが行われたと考えられるから、管理端末Ｔｋの改ざん検出部７４は、ゲートウエイＧＷの直前の第４外部端末Ｔ４に対して、記憶されているＴＦ情報の送信要求を示す送信要求パケットを送信する。その結果、第４外部端末Ｔ４からＴＦ情報を含む要求応答パケットが管理端末Ｔｋ宛に返信されてくる。これにより、管理端末Ｔｋは、真のＴＦ情報を得ることができる。
【００８９】
以上のようにこの実施の形態４によれば、各外部端末ＴｍにおいてＴＦ情報が改ざんされているか否かを検出し、改ざんされていればそれ以降のアクセスを拒否している。したがって、内部通信ネットワーク２においては、不正アクセス端末ＴＦの無駄な特定作業を行わなくて済む。また、万が一不正アクセスが内部通信ネットワーク２に侵入し、内部ネットワーク２にてＴＦ情報が改ざんされても、外部端末Ｔｍから真のＴＦ情報を取得するようにしているから、内部通信ネットワーク２において不正アクセス端末ＴＦを容易に特定することができる。
【００９０】
【発明の効果】
以上のようにこの発明によれば、不正アクセスを検出した場合に、罠端末と不正アクセス端末との回線を接続させ、不正アクセス端末において所定の罠処理が実行された場合に、不正アクセス端末の端末情報を内部通信ネットワークに送信するようにしている。したがって、内部通信ネットワークは、不正アクセス端末の端末情報を取得することができる。そのため、不正アクセス端末を容易に特定することができる。
【００９１】
また、この発明によれば、外部端末においてリモート操作を検出した場合であって、アクセス元の端末の端末情報を受信した場合に、当該アクセス元の端末情報を後段の外部端末に転送するようにしている。したがって、内部通信ネットワークには、内部通信ネットワークの直前の外部端末からアクセス元の端末の端末情報が送信されることになる。そのため、不正アクセス元の外部端末を容易に特定することができる。
【図面の簡単な説明】
【図１】 この発明の実施の形態１に係る不正アクセス監視方法が用いられた通信ネットワークの全体構成を示す概念図である。
【図２】 パケットの構成を示す概念図である。
【図３】 罠端末の内部構成を示す機能ブロック図である。
【図４】 外部端末の内部構成を示す機能ブロック図である。
【図５】 管理端末の内部構成を示す機能ブロック図である。
【図６】 実施の形態１に係る不正アクセス端末を特定する際の通信シーケンス図である。
【図７】 この発明の実施の形態２に係る罠端末の内部構成を示す機能ブロック図である。
【図８】 実施の形態２に係る不正アクセス端末を特定する際の通信シーケンス図である。
【図９】 この発明の実施の形態３に係る外部端末の内部構成を示す機能ブロック図である。
【図１０】 実施の形態３に係る不正アクセス端末を特定する際の通信シーケンス図である。
【図１１】 実施の形態４に係る外部端末の内部構成を示す機能ブロック図である。
【図１２】 実施の形態４に係る管理端末の内部構成を示す機能ブロック図である。
【符号の説明】
１ 外部通信ネットワーク、２ 内部通信ネットワーク、Ｔｍ 外部端末、Ｔｗ 罠端末、１１ プログラム記憶部、２２ 送信要求部、２３ 要求応答部、２４ 情報送信部、２５ 送信命令転送部、３４ ＩＰアドレス変更部、３５ 記憶制御部、４０ データベース、Ｆ 罠ファイル、Ｐ 情報収集プログラム、５２ リモート操作検出部、５３ 情報制御部、６１ 電子署名部、６２ 暗号化部、６３ フィルタリング部、６４ 改ざん検出部、７１ 電子署名部、７２暗号化部、７３ フィルタリング部、７４ 改ざん検出部。
Claims (13)
- 直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークと、この外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークとを有する通信ネットワークに用いられる不正アクセス監視方法であって、
上記ゲートウエイにおいて、外部通信ネットワークの端末である外部端末からアクセスがあった場合に、そのアクセスが不正アクセスであるか否かを検出する不正アクセス検出ステップと、
不正アクセスであると検出された場合に、内部通信ネットワーク内の罠端末と外部通信ネットワークのアクセス元の外部端末との間で通信回線を接続する回線接続ステップと、
通信回線接続中に、アクセス元の外部端末が予め定められた罠処理を実行することにより、当該アクセス元の外部端末の端末情報を内部通信ネットワーク内の管理端末に送信する情報送信ステップとを含む不正アクセス監視方法。 - 請求項１において、情報送信ステップは、
通信回線接続中に、所定の罠コマンドが実行されたことに応答して罠端末から外部端末に対して情報送信命令を送信するステップと、
外部端末において情報送信命令を受信した場合に、当該外部端末の前段の外部端末の端末情報を取得し内部通信ネットワーク内の管理端末に送信するステップと、
外部端末において情報送信命令を受信した場合に、当該外部端末の前段の外部端末に対して上記情報送信命令を転送するステップとを含む不正アクセス監視方法。 - 請求項２において、端末情報を内部通信ネットワーク内の管理端末に送信するステップは、
外部端末において上記情報送信命令を受信した場合に、当該外部端末の前段の外部端末に対して端末情報の送信を要求するステップと、
前段の外部端末から端末情報が送信されてきた場合に、当該端末情報を内部通信ネットワーク内の管理端末に送信するステップとを含む不正アクセス監視方法。 - 請求項２または３において、罠コマンドは、上記罠端末内のファイルまたはプログラムの識別情報を表示させるコマンドである不正アクセス監視方法。
- 請求項１において、情報送信ステップは、通信回線接続後に、外部端末において内部通信ネットワーク内の罠端末からダウンロードされた情報収集プログラム内蔵の罠ファイルを予め定められたファイル操作プログラムにより起動された場合に、当該外部端末の端末情報を内部通信ネットワーク内の管理端末に送信させるものである不正アクセス監視方法。
- 請求項５において、ファイルは、パスワードファイル、アクセスログファイルおよび／またはコンフィギュレーションファイルである不正アクセス監視方法。
- 直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークと、この外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークとを有する通信ネットワークに用いられる不正アクセス監視方法であって、
アクセス元の外部端末から回線接続が要求された外部端末において、リモート操作であるか否かを判別するリモート判別ステップと、
リモート操作であると判別された場合に、アクセス元の外部端末の端末情報を取得し後段の外部端末に転送する情報取得・転送ステップと、
後段の外部端末において上記アクセス元の外部端末の端末情報をさらに後段の外部端末に転送する情報転送ステップと、
ゲートウエイにおいて、外部端末からアクセスがあった場合に、不正アクセスであるか否かを検出する不正アクセス検出ステップと、
不正アクセスであると検出された場合に、上記アクセス元の端末の端末情報を内部通信ネットワーク内の管理端末に転送するステップとを含む不正アクセス監視方法。 - 請求項７において、さらに、
管理端末においてアクセス元の端末情報を受信したか否かを判別するステップと、
アクセス元の端末情報を受信した場合に、アクセス元の端末との回線接続を強制終了するステップとを含む不正アクセス監視方法。 - 請求項７または８において、情報取得・転送ステップは、
アクセス元の端末から取得された端末情報を記憶するステップと、
記憶された端末情報に対して所定の暗号化処理を施すステップと、
上記記憶された端末情報に所定の関数でフィルタリングして上記端末情報に対応する第１の演算結果データを求めるステップと、
この求められた第１の演算結果データを上記暗号処理済の端末情報とともに後段の外部端末に転送するステップとを有するものであり、
第１の演算結果データおよび上記暗号処理済の端末情報を受信した後段の外部端末において、上記暗号処理済の端末情報に所定の関数でフィルタリングして上記端末情報に対応する第２の演算結果データを求めるステップと、
上記第１の演算結果データと上記第２の演算結果データとを比較することにより、上記端末情報の改ざんが行われたか否か判別するステップと、
上記端末情報の改ざんが行われたと判別された場合に、当該アクセスを強制切断するステップとをさらに含む不正アクセス監視方法。 - 請求項９において、さらに、
上記端末情報の改ざんが行われていないと判別された場合に、上記第１の演算結果データを上記アクセス元の端末情報と共にさらに後段の外部端末に転送するステップと、
不正アクセス検出ステップにおいて不正アクセスでないと検出された場合においても、上記第１の演算結果データおよびアクセス元の端末情報を含む当該アクセスを内部通信ネットワーク内の管理端末に導くステップと、
管理端末において受信されたアクセス元の端末情報に対して、所定の関数でフィルタリングして上記端末情報に対応する第３の演算結果データを求めるステップと、
上記第１の演算結果データと上記第３の演算結果データとを比較することにより、上記端末情報の改ざんが行われたか否かを判別するステップと、
改ざんが行われた場合に、記憶されているアクセス元の端末情報を管理端末に送信するように外部端末に命令するステップとを含む不正アクセス監視方法。 - 請求項１ないし１０のいずれかにおいて、端末情報は、ＭＡＣアドレス、ＩＰアドレスおよびユーザ名を含むものである不正アクセス監視方法。
- 直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークにおいて、
外部通信ネットワークの端末からアクセスがあった場合に、そのアクセスが不正アクセスであるか否かを検出する手段と、
不正アクセスであると検出された場合に、上記アクセスが導かれる罠端末とを備え、
上記罠端末は、上記アクセスが導かれた場合に、外部通信ネットワークのアクセス元の端末と通信回線を接続する手段と、通信回線接続中においてアクセス元の端末が所定の罠コマンドを実行するか否かを判別する手段と、上記罠コマンドが実行されたと判別された場合に、前段の端末の端末情報を取得し内部通信ネットワークに送信すること、および当該送信命令を前段の端末に対して転送することを規定した送信命令を外部通信ネットワークの端末に対して送出する手段とを含むものである内部通信ネットワーク。 - 直接通信する端末間のアドレスをパケット制御情報に含ませるようにした通信プロトコルに従ってパケットを送受する外部通信ネットワークにゲートウエイを介して接続された内部通信ネットワークにおいて、
外部通信ネットワークの端末からアクセスがあった場合に、そのアクセスが不正アクセスであるか否かを検出する手段と、
不正アクセスであると検出された場合に、上記アクセスが導かれる罠端末とを備え、
上記罠端末は、上記アクセスが導かれた場合に、外部通信ネットワークのアクセス元の端末と通信回線を接続する手段と、予め定められたファイル操作プログラムにより起動され、起動端末の端末情報を収集し内部通信ネットワーク内の管理端末に送信するように規定された情報収集プログラムが埋め込まれた罠ファイルをダウンロード可能に記憶するデータベースとを含むものである内部通信ネットワーク。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000397385A JP3685062B2 (ja) | 2000-12-27 | 2000-12-27 | 不正アクセス監視方法および内部通信ネットワーク |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000397385A JP3685062B2 (ja) | 2000-12-27 | 2000-12-27 | 不正アクセス監視方法および内部通信ネットワーク |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2002199024A JP2002199024A (ja) | 2002-07-12 |
| JP3685062B2 true JP3685062B2 (ja) | 2005-08-17 |
Family
ID=18862513
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000397385A Expired - Fee Related JP3685062B2 (ja) | 2000-12-27 | 2000-12-27 | 不正アクセス監視方法および内部通信ネットワーク |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3685062B2 (ja) |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2004153485A (ja) * | 2002-10-30 | 2004-05-27 | Jens Corp | 通信セキュリティシステム |
| WO2006048936A1 (ja) * | 2004-11-05 | 2006-05-11 | Mitsubishi Denki Kabushiki Kaisha | アドホック・ネットワーク、移動端末、ゲートウェイノード及びゲートウェイノードの選択方法 |
| JP2008124870A (ja) * | 2006-11-14 | 2008-05-29 | Kwok-Yan Leung | 末端機をセクション化するシステムと方法 |
| JP5412816B2 (ja) * | 2008-12-08 | 2014-02-12 | 株式会社リコー | 情報処理装置及びプログラム |
| JP5613855B1 (ja) | 2014-04-23 | 2014-10-29 | 株式会社 ディー・エヌ・エー | ユーザ認証システム |
-
2000
- 2000-12-27 JP JP2000397385A patent/JP3685062B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JP2002199024A (ja) | 2002-07-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6775657B1 (en) | Multilayered intrusion detection system and method | |
| CN101610264B (zh) | 一种防火墙系统、安全服务平台及防火墙系统的管理方法 | |
| JP5581141B2 (ja) | 管理サーバ、通信遮断装置、情報処理システム、方法およびプログラム | |
| JP3618245B2 (ja) | ネットワーク監視システム | |
| US7590844B1 (en) | Decryption system and method for network analyzers and security programs | |
| JP2003527793A (ja) | ネットワークにおける、自動的な侵入検出及び偏向のための方法 | |
| KR20120090574A (ko) | Ａｒｐ록킹 기능을 이용한 ａｒｐ스푸핑 공격 탐지 방법과 그 방법을 실행하기 위한 프로그램이 기록된 기록매체 | |
| CN111314381A (zh) | 安全隔离网关 | |
| US7360250B2 (en) | Illegal access data handling apparatus and method for handling illegal access data | |
| JP2011522336A (ja) | 通信ネットワーク上の仮名にされたストリームの追跡および復活方法、およびデータトラフィックおよびそのアドレスを安全に保護することができる情報ストリームの送信方法 | |
| CN100399750C (zh) | 便于在网络上识别计算机的系统与方法 | |
| JP2004062417A (ja) | 認証サーバ装置、サーバ装置、およびゲートウェイ装置 | |
| TW201421936A (zh) | 網點之判斷與阻擋之方法 | |
| JP2006094258A (ja) | 端末装置、そのポリシー強制方法およびそのプログラム | |
| KR100595493B1 (ko) | Ｐ２ｐ 유해 정보 차단 시스템 및 방법 | |
| JP3685062B2 (ja) | 不正アクセス監視方法および内部通信ネットワーク | |
| KR101088084B1 (ko) | 전자상거래 불법 침입 감시 및 차단 방법과 시스템 | |
| JP3483782B2 (ja) | 電子データの追跡システム及びデータ中継装置 | |
| JP3495030B2 (ja) | 不正侵入データ対策処理装置、不正侵入データ対策処理方法及び不正侵入データ対策処理システム | |
| JPH09266475A (ja) | アドレス情報管理装置およびネットワークシステム | |
| CN113518067A (zh) | 一种基于原始报文的安全分析方法 | |
| CN109587134B (zh) | 接口总线的安全认证的方法、装置、设备和介质 | |
| JP2001148715A (ja) | ネットワークシステム及び端末装置 | |
| JP2004062416A (ja) | 不正アクセス防止方法、セキュリティポリシーダウンロード方法、ｐｃ、およびポリシーサーバ | |
| WO2015085940A1 (zh) | 移动终端防盗方法及客户端 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| RD01 | Notification of change of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7421 Effective date: 20040707 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20040812 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20040817 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20041013 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050510 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050523 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080610 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090610 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100610 Year of fee payment: 5 |
|
| LAPS | Cancellation because of no payment of annual fees |