アクセス制御装置、アクセス制御方法およびアクセス制御プログラム
【課題】 運用管理に依存しない、十分に高いセキュリティ強度を実現する。
【解決手段】 第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、第１の変換処理部と、通用する通信プロトコルが第１の内部通信プロトコル群に制限された第１の内部通信路と、第１の内部通信路経由で受け取った第１の内部プロトコルデータ単位を、原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部と、第１の変換処理部に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路で接続され、不正アクセスに対する所定の囮機能部を持つ囮通信処理部とを備える。
【解決手段】 第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、第１の変換処理部と、通用する通信プロトコルが第１の内部通信プロトコル群に制限された第１の内部通信路と、第１の内部通信路経由で受け取った第１の内部プロトコルデータ単位を、原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部と、第１の変換処理部に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路で接続され、不正アクセスに対する所定の囮機能部を持つ囮通信処理部とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はアクセス制御装置、アクセス制御方法およびアクセス制御プログラムに関し、例えば、不正侵入を防止するためのファイアウォール装置などに適用して好適なものである。
【背景技術】
【０００２】
従来、企業などの組織内に配置されたコンピュータをインターネット等の外部ネットワークに接続する場合、外部からの不正な侵入を防止するためにファイアウォールを配置して組織内のコンピュータシステムのセキュリティを保つことが多い。
【０００３】
ファイアウォールとは、インターネットなどの外部のネットワーク（ＷＡＮ）と組織や家庭内のネットワーク（ＬＡＮ）を接続するときなどのように、セキュリティポリシーの異なるネットワークを接続するときに、これらのネットワークの間に配置して、アクセスを制御するソフトウェア、あるいはハードウェアを指す。
【０００４】
ファイアウォールの方式は、パケットフィルタリング方式、アプリケーションゲートウェイ方式、ステートフルインスペクション方式に大別される。
【０００５】
パケットフィルタリング方式とは、パケットのＩＰヘッダやＴＣＰ（ＵＤＰ）ヘッダに含まれる情報を元にフィルタリングを行う方式である。ヘッダ情報のみをチェックするのでフィルタリング処理にともなう遅延時間が短く、性能的に優れている。
【０００６】
アプリケーションゲートウェイ方式は、プロキシ方式とも呼ばれ、パケットのデータ部分に含まれるアプリケーションプロトコルを解釈してフィルタリングを行う。この方式の場合、組織内のコンピュータと外部のコンピュータとの間は、直接ＴＣＰ／ＩＰ接続されるのではなく、プロキシによって中継されるので、セキュリティ強度的には優れている。
【０００７】
ステートフルインスペクション方式は、パケットフィルタリング方式と同様にネットワーク層やトランスポート層で動作するファイアウォールだが、パケットのデータ部分もチェックし、リクエストとレスポンスの整合性などを検査することによってフィルタリングを行うものである。一般に、ステートフルインスペクション方式は、アプリケーションゲートウェイ方式よりも高速に動作し、パケットフィルタリング方式よりもセキュリティ強度が高い。
【０００８】
図２に、前記アプリケーションゲートウエイ方式のファイアウォール１１を用いた通信システム９を示す。
【０００９】
図２において、Ｗｅｂブラウザ１０から外部のＷｅｂサーバ１３にアクセスする場合、ＴＣＰ／ＩＰのＨＴＴＰプロトコルを用いる。ファイアウォール１１では、内側（組織内）から外側（インターネット１２側）へのＨＴＴＰのアクセスを実現するプロキシ１１Ａを動作させる。組織内のＷｅｂブラウザ１０から組織外のＷｅｂサーバ１３へアクセスするとき、ファイアウォール１１のプロキシ１１ＡがＨＴＴＰプロトコルの中継を行い、Ｗｅｂブラウザ１０に所望のＷｅｂページを画面表示させることが可能である。
【００１０】
このプロキシ１１Ａでは、外側からのアクセスは受け付けないようにしてあるため、インターネット１２上のクラッカが操作するパソコン１４から前記組織の内部のコンピュータにアクセスしようとしても、遮断され、アクセスすることができない。また、ＨＴＴＰ以外のＴＣＰ／ＩＰ接続はルーティングしない設定になっているので、組織内への不正なアクセスは防止可能である。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
ところが、上述したファイアウォール１１にセキュリティホールが存在する場合、図３に示すように、当該セキュリティホールを突いたパソコン１４からの攻撃（Ｓ１０）により、ファイアウォール１１の管理者権限が奪取されてファイアウォール１１自体がクラッカに乗っ取られ（Ｓ１１）、当該ファイアウォール１１を踏み台にして組織（ＬＡＮ）の内部に配置されている各コンピュータに対する不正アクセスが実行される（Ｓ１２）ことが起こり得る。前記セキュリティホールを塞ぐための迅速なセキュリティパッチ（修正版プログラム）の適用など、適切な対応を迅速に実行すれば、ファイアウォール１１のセキュリティ強度を十分に高めることが可能であるが、そのような高いセキュリティ強度を維持しつづけることは、運用管理のための多大な手数を必要とし、必ずしも常に十分なセキュリティ強度を維持できるとは限らない。
【００１２】
インターネット上やＬＡＮ内などで広く用いられるＴＣＰ／ＩＰプロトコルの分野では、多種多様なセキュリティ対策の技術の蓄積があるが、その一方で、それと同程度に、多種多様な不正アクセスのための攻撃技術の蓄積もあり、多くのクラッカがそのような攻撃技術を駆使して攻撃を試みる。このため、いったん、ファイアウォール１１が乗っ取られてしまうと、クラッカが駆使する攻撃技術によって組織の内部のコンピュータが多大な被害を被る可能性が高い。特に、前記組織が金融機関など、求められる信用レベルの高い組織である場合、不正アクセスによって個人情報の流出やサービス停止などの被害が発生すれば、大きな損失につながる。
【００１３】
したがって、運用管理にそれほど多大な手数をかけなくても、ファイアウォール自体のセキュリティ強度を十分に高くできることが求められる。
【課題を解決するための手段】
【００１４】
かかる課題を解決するために、第１の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報（例えば、宛先ポート番号）を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部（例えば、プロキシ部２３Ａ）と、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路と、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部と、前記第１の変換処理部に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路で接続され、不正アクセスに対する所定の囮機能部を持つ囮通信処理部とを備えたことを特徴とする。
【００１５】
また、第２の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだでプロトコルデータ単位を中継する際に実行されるアクセス制御方法において、第１の変換処理部は、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換した後、当該第１の内部プロトコルデータ単位を、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路に供給し、第２の変換処理部は、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出し、不正アクセスに対する所定の囮機能部を持つ囮通信処理部が、前記第１の変換処理部に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路で接続されることを特徴とする。
【００１６】
さらに、第３の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されて機能を発揮するアクセス制御プログラムにおいて、コンピュータに、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理機能と、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路機能と、当該第１の内部通信路機能経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理機能と、前記第１の変換処理機能に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路機能で接続され、不正アクセスに対する所定の囮機能を持つ囮通信処理機能とを実現させたことを特徴とする。
【発明の効果】
【００１７】
本発明によれば、運用管理に依存することなく、十分に高いセキュリティ強度を実現することができる。
【発明を実施するための最良の形態】
【００１８】
（Ａ）実施形態
以下、本発明にかかるアクセス制御装置、アクセス制御方法およびアクセス制御プログラムの実施形態について説明する。
【００１９】
（Ａ−１）実施形態の構成
本実施形態にかかる通信システム２０の全体構成例を図１に示す。なお、当該通信システム２０中に、図示しないサーバ類（例えば、ＤＮＳサーバやＤＨＣＰサーバなど）が存在していてもよいことは当然である。
【００２０】
図１において、当該通信システム２０は、ネットワーク２１，２２と、ＦＷ用コンピュータ２３，２４と、Ｗｅｂサーバ２５，２７と、パソコン２６，２８と、アクセス制御用通信路２９と、ハニーポット用コンピュータ３１と、ＴＣＰ／ＩＰ通信路３２とを備えている。
【００２１】
このうちネットワーク２１はＷＡＮなど、比較的セキュリティレベルの低い範囲を指し、ネットワーク２２はＬＡＮなど比較的セキュリティレベルの高い範囲を指す。具体的には、例えば、前記ネットワーク２１はインターネット、ネットワーク２２は金融機関などの組織の内部に構築されたＬＡＮであってよい。
【００２２】
ネットワーク２１上にはＷｅｂサーバ２５やパソコン２６などが存在する。パソコン２６を利用するユーザＵ２は、不正アクセスを試みるクラッカである。ネットワーク２２上にはＷｅｂサーバ２７やパソコン２８などが存在する。パソコン２８を利用するユーザＵ１は前記金融機関の社員などで、パソコン２８を利用してネットワーク２２内のＷｅｂサーバ２７やネットワーク２１上のＷｅｂサーバ２５などにアクセスする正当なユーザである。当該パソコン２８には、ＷｅｂブラウザＢＲ１が搭載されているものとする。
【００２３】
アクセス制御用通信路２９を介して接続された２台のＦＷ用コンピュータ２３、２４と当該アクセス制御用通信路２９によって、論理的に１つのファイアウォール（ＦＷ）装置３０が構成される。
【００２４】
ＦＷ用コンピュータ２３は、プロキシ部２３Ａと、ＮＩＣ（ネットワークインタフェースカード）部２３Ｂ、２３Ｃとを備え、ＦＷ用コンピュータ２４は、プロキシ部２４Ａと、ＮＩＣ部２４Ｂとを備えている。
【００２５】
ここで、ＮＩＣ部２３Ｂは、ＦＷ用コンピュータ２３をＴＣＰ／ＩＰプロトコルが通用するネットワーク２１に接続するためのインタフェースカードである。ＯＳＩ参照モデルの物理層、データリンク層の通信プロトコルが当該ＮＩＣ部２３Ｂによって処理されるものであってよい。そのほか、当該ＦＷ用コンピュータ２３内では、後述するＯＳ（オペレーティングシステム）などが、ネットワーク層やトランスポート層の通信プロトコルを処理する機能を備えている。ＮＩＣ部２３Ｃも当該ＮＩＣ部２３Ｂと同様な機能を有する。
【００２６】
ネットワーク２１がインターネットであれば、当該ネットワーク層の通信プロトコルはＩＰプロトコルである。また、ネットワーク層がＩＰプロトコルである場合、データリンク層はＩＥＥＥ８０２．３（イーサネット（登録商標））などであることが多い。物理層には有線通信用、無線通信用の様々な通信プロトコルを使用可能である。
【００２７】
プロキシ部２３Ａは、代理応答の機能を持つソフトウエア（ゲートウエイプログラム）の本体で、Ｗｅｂサーバ２５に対しＷｅｂブラウザと同様なインタフェースを提供する。ＦＷ用コンピュータ２３内において、当該プロキシ部２３Ａはアプリケーションプログラムの１つであると見ることができ、ネットワーク２１側からネットワーク２２側へ届けられるパケットＰＫ１のうち、ＯＳＩ参照モデルにおけるトランスポート層の通信プロトコルである例えばＴＣＰやＵＤＰの宛先ポート番号として、当該プロキシ部２３Ａを指定する値を持つパケットのみがＦＷ用コンピュータ２３内でプロキシ部２３Ａに渡される。
【００２８】
パケットＰＫ１が宛先ポート番号としてその他の値を持つ場合、プロキシ部２３Ａを経由しないので、アクセス制御用通信路２９に到達しない。また、プロキシ部２３Ａにおける処理を経なければ、パケットＰＫ１はアクセス制御用通信路２９を正常に通過することはできない。
【００２９】
アクセス制御用通信路２９では、インターネット上で広く用いられるＴＣＰ／ＩＰとは異なる通信プロトコルのみが使用される。このような通信プロトコルとして専用の通信プロトコルを用意してもかまわないが、ここでは、限られた局面でのみ利用される一般的な通信プロトコルである局所一般通信プロトコル（物理層の例では、ＲＳ−２３２Ｃ、ＩＥＥＥ１３９４など）を用いるものとする。
【００３０】
上述したように、ＴＣＰ／ＩＰプロトコルの分野では、多種多様なセキュリティ対策の技術の蓄積がある一方で、それと同程度に、多種多様な不正アクセスのための攻撃技術の蓄積もあり、多くのクラッカがそのような攻撃技術を駆使して攻撃を試みることができるが、局所一般通信プロトコル等では、そのような攻撃技術そのものがほとんど存在しないか、存在したとしても広く知られてはいないため、アクセス制御用通信路２９を経由させることで、クラッカによる攻撃を阻むことが可能である。
【００３１】
前記アクセス制御用通信路２９自体は伝送のための構成要素なので、ＯＳＩ参照モデルのトランスポート層以下の階層に属する通信プロトコルの処理を実行する。
【００３２】
このトランスポート層以下の階層に属する局所一般通信プロトコルに適合するように、トランスポート層より上位の階層であるプレゼンテーション層やアプリケーション層などの通信プロトコルを処理するのが、プロキシ部２３Ａ、２４Ａの役割である。プロキシ部２３Ａ、２４Ａの機能の詳細については後述する。
【００３３】
前記アクセス制御用通信路２９内に配置され、ＯＳＩ参照モデルの下位の階層の通信プロトコルを処理するプロトコル処理モジュール（図示せず）は上位の階層の通信プロトコルのトラフィックを透過的に通過させる性質を持つことが必要であるため、トランスポート層以下の下位の階層のセキュリティ強度をアクセス制御用通信路２９によって確保したとしても、プレゼンテーション層やアプリケーション層など上位の階層のセキュリティ強度はそれぞれ独立に、前記プロキシ部２３Ａ、２４Ａによって確保することが必要である。
【００３４】
結局、セキュリティ強度を高めるためには、最下位の物理層から最上位のアプリケーション層に及ぶすべての階層で、ＴＣＰ／ＩＰプロトコルとは異なる前記局所一般通信プロトコル等を用いることが望ましい。例えば、物理層やデータリンク層だけ前記局所一般通信プロトコルを使用したとしても、より上位のアプリケーション層などでＴＣＰ／ＩＰプロトコル（例えば、ＨＴＴＰプロトコル）をそのまま利用すれば、ＴＣＰ／ＩＰプロトコルの分野で広く知られた攻撃技術の使用を許してしまう可能性が高いからである。
【００３５】
ただし、ある階層（例えば、データリンク層）のプロトコルの持つセキュリティホールを突く攻撃はその階層のプロトコルを局所一般通信プロトコルに変換させることによって防御できるので、必ずしもすべての階層で局所一般通信プロトコルを用いなくても一定の効果は期待できる。
【００３６】
なお、ＯＳＩ参照モデルは、７つの階層からなるプロトコル体系であるため、ＯＳＩ参照モデルに忠実な実装を行うと、プロトコル処理モジュールを各階層ごとに１つずつ、合計７つ用意しなければならないが、必要に応じて、複数の階層を１つのプロトコル処理モジュールで処理するようにしてもかまわない。例えば、アプリケーション層、プレゼンテーション層、およびセッション層を１つのプロトコル処理モジュールによって処理するようにしてもよい。この場合、前記プロキシ部２３Ａは１つのプロトコル処理モジュールによって構成されることになる。
【００３７】
「ＴＣＰ／ＩＰ」には狭義と広義があり、狭義では、ＴＣＰとＩＰを指すが、広義では、ＴＣＰやＩＰを含め、インターネット上で標準的に使用されるプロトコル全般を指す。したがって広義のＴＣＰ／ＩＰには、例えば、ＨＴＴＰ、ＳＭＴＰ、ＦＴＰなども含まれる。以下では、「ＴＣＰ／ＩＰ」の語はすべてこの広義のものとして用いる。
【００３８】
前記プロキシ部２３ＡはＷｅｂのためのＨＴＴＰプロトコルを処理するためのプロキシであるが、通常、プロキシ部は通信プロトコルごとに必要である。したがって、他の通信プロトコル（例えば、ＦＴＰなど）を処理する場合には、そのためのプロキシ部をＦＷ用コンピュータ２３に搭載する必要がある。必要に応じて、１つのプロキシ部で特定の複数の通信プロトコルを処理するようにしてもよい。いずれにしても、予め用意してあるプロキシ部（ここでは、２３Ａ）が対応できる特定の通信プロトコルしか処理することができないため、ネットワーク２２側の前記組織が必要とする通信プロトコルに対応するプロキシ部のみを用意するようにしておけば、その他の通信プロトコルを用いて不正アクセスが行われることを防止できる。
【００３９】
本実施形態のプロキシ部２３Ａの特徴は、宛先ポート番号として自身を指定する値を持つパケットＰＫ１を受信した場合、前記局所一般通信プロトコルに適合するプロトコルデータ単位（ＰＤＵ）である内部パケットＰＫ１１に変換（変換処理）した上で、前記アクセス制御用通信路２９に供給する点にある。
【００４０】
通信の内容が定型データのみである場合などには、変換処理の前または後、あるいは、この変換処理の過程で、予め定めたフォーマットに変換することにより、不正アクセスを許す可能性のあるデータの混入を排除することが好ましい。このフォーマットには、利用され得る攻撃技術に応じて様々なものがあり得るが、一例として、バッファオーバーフロー攻撃の対策の場合、１パケットの最大サイズ（例えば、ペイロード部の最大サイズ）を、バッファオーバーフロー現象を発生させることのできない所定値以下のものに制限することをもって当該フォーマットとしてもよい。起こり得る複数の攻撃に対応するため、同時に複数の条件に適合するように、当該フォーマットを定めてよいことは当然である。
【００４１】
前記アクセス制御用通信路２９を介してこの内部パケットＰＫ１１を受け取ったプロキシ部２４Ａは、当該内部パケットＰＫ１１を、ＴＣＰ／ＩＰプロトコルに適合したパケットＰＫ１に復元（復元処理）してＮＩＣ部２４Ｂからネットワーク２２へ送出する。
【００４２】
ここで、ＮＩＣ部２４Ｂは、ＦＷ用コンピュータ２４をＴＣＰ／ＩＰプロトコルが通用するネットワーク２２に接続するためのインタフェースカードである。
【００４３】
すなわち、本実施形態では、ＬＡＮであるネットワーク２２内でも、通常のＴＣＰ／ＩＰプロトコルが使用されることを前提としている。したがってネットワーク２２はＴＣＰ／ＩＰプロトコルが使用される点で前記ネットワーク２１と同じであるが、金融機関などの内部に構築されたネットワークであるため、インターネットなどに対応するネットワーク２１に比べ、高いセキュリティレベルを維持する必要がある。
【００４４】
なお、ネットワーク２２内のパソコン２８が、パケットＰＫ２を送信してネットワーク２１上のＷｅｂサーバ２５などにアクセスすることも許す場合、プロキシ部２４Ａで前記変換処理、プロキシ部２３Ａで前記復元処理を実行した上で、この復元処理によって得られたパケットＰＫ２をＮＩＣ部２３Ｂを介してネットワーク２１に送出する構成を取ることが望ましい。また、Ｗｅｂサーバ２７を外部に公開する場合などには、ネットワーク２１上の正当なユーザのパソコンからのリクエストメッセージ（パケット）に応じたレスポンスメッセージ（パケット）を、Ｗｅｂサーバ２７から送信する必要があるが、その場合には、Ｗｅｂサーバ２７が送信したパケットに対し、プロキシ部２４Ａによる前記変換処理と、プロキシ部２３Ａによる前記復元処理を実行することになる。
【００４５】
これにより、ネットワーク２２内のパソコン２８などから外部にあるネットワーク２１上のコンピュータを攻撃すること等によって、ネットワーク２２を持つ組織の社会的信用が失墜することを防止することができる。このような攻撃は、たとえユーザＵ１に悪意がない場合でも、パソコン２８などがコンピュータウイルス（狭義のコンピュータウイルスだけでなく、ワームやトロイの木馬なども含む）に感染すること等によって実行される可能性がある。コンピュータウイルスの感染経路はネットワーク経由のものに限らないため、前記ファイアウォール装置３０を用いたとしてもパソコン２８がコンピュータウイルスに感染することは起こり得、そのようなケースに配慮しておくことは必要になる。
【００４６】
ただし、別な方法で、ネットワーク２２内のセキュリティレベルを高く維持できる場合などには、ネットワーク２２からネットワーク２１へ向かう外向きのパケットの変換処理や復元処理は、ネットワーク２１からネットワーク２２へ向かう内向きのパケットの変換処理や復元処理に比べて、処理量の少ない簡易なものとしてもよい。これにより、変換処理や復元処理自体によるセキュリティ強度は低減するが、ＦＷ用コンピュータ２３，２４の処理能力にかかる負荷を軽減できる。
【００４７】
アクセス制御用通信路２９（に設けられるプロトコル処理モジュール）は、前記局所一般通信プロトコルに対応していないパケットＰＫ１が届いた場合、その処理を拒否するように構成しておくとよい。
【００４８】
前記ハニーポット用コンピュータ３１は、ＩＤＳ（侵入検知システム）部３１Ａと、接続元特定部３１Ｂと、偽データ部３１Ｃと、セッション切断部３１Ｄと、ＮＩＣ部３１Ｅとを備えている。
【００４９】
このうちＮＩＣ部３１Ｅは前記ＮＩＣ部２３Ｂに対応するので、その詳しい説明は省略する。
【００５０】
当該ＮＩＣ部３１Ｅは前記ＮＩＣ部２３ＣとＴＣＰ／ＩＰ通信路３２を介して対向する部分である。ＴＣＰ／ＩＰ通信路３２では、ＴＣＰ／ＩＰプロトコルが通用する。
【００５１】
すなわち、ハニーポット用コンピュータ３１とＦＷ用コンピュータ２３は、ＮＩＣ部２３Ｃ、ＴＣＰ／ＩＰ通信路３２，ＮＩＣ部３１Ｅを介して接続されているため、ＦＷ用コンピュータ２３とハニーポット用コンピュータ３１とのあいだではＴＣＰ／ＩＰプロトコルによる通信を行うことができる。
【００５２】
また、当該ＴＣＰ／ＩＰ通信路３２では、データリンク層や物理層でも前記ＩＥＥＥ８０２．３（イーサネット）など、ＩＰプロトコルと組み合わせて用いられることの多い一般的なプロトコルをそのまま用いることが望ましい。
【００５３】
上述した通りであるから、クラッカＵ２は、プロキシ部２３Ａおよびアクセス制御用通信路２９を経由して内側のＦＷ用コンピュータ２４などに不正アクセスを試みても、知っている攻撃技術が使えないため失敗することが多いが、ＴＣＰ／ＩＰ通信路３２経由で不正アクセスを試みた場合、攻撃技術が使え、一見すると容易に成功しそうに見えるため、結果として不正アクセスのアクセス先はハニーポット用コンピュータ３１側へ誘導される。もちろん、クラッカＵ２がアクセス制御用通信路２９の存在に気付かず、最初に、ハニーポット用コンピュータ３１へアクセスしてくれると、いっそう好都合である。
【００５４】
ハニーポット用コンピュータ３１自体は、基本的に周知のハニーポットであってよい。すなわち当該ハニーポット用コンピュータ３１は、クラッカＵ２から見て、一見、杜撰な方法で、重要そうな情報を蓄積、管理している収穫の多い攻略容易な（セキュリティホールを残した）攻撃対象であるかのように振る舞うが、これらはすべて偽装であり、実際には、セキュリティ的な観点で厳格に構成、管理されていて、乗っ取ることも踏み台にすることも不可能である。ハニーポット用コンピュータ３１の真の役目は、クラッカＵ２による攻撃の手法を調べたり、クラッカＵ２に関する情報を収集したりする点などにある。
【００５５】
偽データ部３１Ｃは、クラッカＵ２から見て、一見、重要そうに見える偽データを蓄積したデータベースなどに相当する部分である。
【００５６】
ＩＤＳ部３１Ａは、不正アクセスを検知する部分である。例えば、予め登録された不正侵入のパターン（シグネチャ）に適合するか否かを調べることにより、あるアクセスが不正アクセスであるか否かを判定する。不正アクセスを検知した場合、ＩＤＳ部３１Ａは、何らかの通知手段（例えば、電子メールの送信やパトランプの点灯など）で管理者などに知らせることが望ましい。
【００５７】
接続元特定部３１Ｂは、当該ＩＤＳ部３１Ａが不正アクセスを検知した場合、そのアクセス元であるコンピュータ（ここでは、パソコン２６とする）やユーザ（ここでは、Ｕ２）に関する識別情報を特定する。この識別情報は様々な用途で利用できる可能性があるが、例えば、所定のブラックリストに載せて、今後、そのコンピュータやユーザからの接続要求メッセージを受信しても接続を拒否させるために利用することも望ましい。当該識別情報としては、例えば、ＳＩＰ−ＵＲＩや電子メールアドレスなどのアプリケーションレベルの情報や、ＩＰアドレスなどの伝送制御レベルの情報などを用いることができる。
【００５８】
この接続の拒否は、内側のＦＷ用コンピュータ２４やハニーポット用コンピュータ３１などでも行ってよいが、外側のＦＷ用コンピュータ２３に行わせることが重要である。外部からのパケットは不正なものも不正でないものも、すべて最初に、この外側のＦＷ用コンピュータ２３を経由するため、ＦＷ用コンピュータ２３で接続を拒否すれば、その他のコンピュータ（例えば、２４）への不正アクセスも阻止できるからである。また、アクセス制御用通信路２９によって内部への侵入を防ぐことができるとしても、例えば、外側のＦＷ用コンピュータ２３が乗っ取られてしまうと、ＦＷ用コンピュータ２３を経由する内部から外部へのアクセス（例えば、パソコン２８からＷｅｂサーバ２５へのアクセスなど）を行うことも難しくなる等、金融機関などの組織による業務の遂行に支障が出るおそれがあるため、接続を拒否することによって外側のＦＷ用コンピュータ２３自体の乗っ取りの可能性を低減することが望ましいからである。
【００５９】
セッション切断部３１はＩＤＳ部３１Ａが不正アクセスであると判定した場合、アクセス元とのセッションを強制的に切断させる部分である。セッションの切断は、ＩＤＳ部３１Ａが不正アクセスであると判定したあと直ちに行ってもよいが、その時点でまだ前記識別情報が収集できていない場合には、収集完了後に行ってもよい。
【００６０】
なお、前記ＦＷ用コンピュータ２３と２４、ハニーポット用コンピュータ３１の３つはそれぞれ別個のコンピュータであるから、それぞれ、ＣＰＵ（中央処理装置）、半導体メモリなどの主記憶装置、ハードディスク等の補助記憶装置などの図示しないハードウエア構成要素、セキュアＯＳ（セキュアオペレーティングシステム）、ミドルウエア、アプリケーションソフトウエア等のソフトウエア構成要素を備えていることは当然である。
【００６１】
以下、上記のような構成を有する本実施形態の動作について図４〜図７を用いて説明する。
【００６２】
図４は、通常時にパケットの流れる経路を示している。ただし図４では、ＮＩＣ部２３Ｂ、２４Ｂや、ネットワーク２２、ハニーポット用コンピュータ３１など、いくつかの構成要素は省略している。この点は、図５，図６でも同様である。
【００６３】
図５は、クラッカＵ２による攻撃が行われたときの動作を示す概略図で、Ｓ２０〜Ｓ２２の各ステップを備えている。
【００６４】
図６は、図１に示すネットワーク構成の場合には、不正侵入はまず最初にＦＷ用コンピュータ２３に対して行われ、そこからアクセス先がハニーポット用コンピュータ３１に誘導される様子を示す概略図で、Ｓ１、Ｓ２の各ステップを備えている。
【００６５】
図７は、不正侵入とその対応策（ハニーポット用コンピュータ３１を利用したもの）の実行手順を示したフローチャートで、Ｓ１０〜Ｓ１４の各ステップから構成されている。
【００６６】
（Ａ−２）実施形態の動作
図４に示すように、通常、前記ネットワーク２２内のパソコン２８に搭載されたＷｅｂブラウザＢＲ１を利用することによって、ユーザＵ１が外部のネットワーク２１上にあるＷｅｂサーバ２５へアクセスする場合、ＨＴＴＰリクエストメッセージを収容したパケットＰＫ２がＷｅｂブラウザＢＲ１を搭載したパソコン２８から送信され、このパケットＰＫ２は、前記ネットワーク２２上のルータ（図示せず）などを経由してＦＷ用コンピュータ２４に受信される。
【００６７】
ＨＴＴＰリクエストメッセージである以上、通常、そのパケットＰＫ２に含まれるＴＣＰヘッダ中の宛先ポート番号には、ＨＴＴＰのウエルノウンポート番号である８０番が、宛先ポート番号として記述されている。この８０番に基づいて、ＦＷ用コンピュータ２４は当該パケットＰＫ２の内容（ペイロード部）をプロキシ部２４Ａに供給し、当該プロキシ部２４Ａで前記変換処理を実行して、変換処理の結果を含むパケットＰＫ２１を生成する。当該パケットＰＫ２１は、前記パケットＰＫ１１に対応する。この変換処理の際に、上述した予め定めたフォーマットに変換するようにすれば、ユーザＵ１がネットワーク２１上のコンピュータを攻撃しようとしたり、パソコン２８がコンピュータウイルスに感染してネットワーク２１上のコンピュータを攻撃したりする場合であっても、その攻撃を阻止することが可能である。なお、必要ならば、セキュリティ性に配慮し、ＨＴＴＰのポート番号として前記８０番以外の値を用いてもよいことは当然である。
【００６８】
当該変換処理で生成されたパケットＰＫ２１は、アクセス制御用通信路２９を介してＦＷ用コンピュータ２４から２３へ伝送され、ＦＷ用コンピュータ２３内でプロキシ部２３Ａへ供給される。プロキシ部２３Ａでは、前記復元処理が実行されて、元のパケットＰＫ２が生成される。
【００６９】
このパケットＰＫ２はＦＷ用コンピュータ２３からネットワーク２１へ送出されると、ネットワーク２１上のルータ（図示せず）などに中継されて、Ｗｅｂサーバ２５に届けられる。
【００７０】
このパケットＰＫ２に収容されていたＨＴＴＰリクエストメッセージを受け取ると、前記Ｗｅｂサーバ２５は、対応するＨＴＴＰレスポンスメッセージを生成し、当該ＨＴＴＰレスポンスメッセージを収容したパケットＰＫ１をネットワーク２１に送出する。このあと、当該パケットＰＫ１は、ネットワーク２１上のルータなどに中継されてＦＷ用コンピュータ２３まで届けられる。
【００７１】
前記パケットＰＫ２をネットワーク２１に送出する時点で、ＦＷ用コンピュータ２３のＯＳなどが、当該パケットＰＫ２に含まれるＴＣＰヘッダ中の送信元ポート番号として、プロキシ部２３Ａを指定する番号を設定するので、Ｗｅｂサーバ２５から返送されてきた当該パケットＰＫ１をプロキシ部２３Ａに供給することができる。
【００７２】
パケットＰＫ１の内容を受け取ったプロキシ部２３Ａは、前記変換処理を実行し、変換処理の結果を含む前記パケットＰＫ１１を生成する。生成された当該パケットＰＫ１１は、前記アクセス制御用通信路２９を介してＦＷ用コンピュータ２４まで届けられ、ＦＷ用コンピュータ２４内でプロキシ部２４Ａに供給される。このパケットＰＫ１１の内容を受け取ったプロキシ部２４Ａでは、前記復号処理を実行し、復号処理の結果を含む前記パケットＰＫ１をネットワーク２２に送出することにより、パソコン２８まで届ける。
【００７３】
パソコン２８内では、当該パケットＰＫ１に含まれているＨＴＴＰレスポンスメッセージの内容に応じて、例えば、Ｗｅｂページの画面表示などを行う。
【００７４】
このようにＷｅｂブラウザＢＲ１とＷｅｂサーバ２５のあいだで、メッセージのやり取りが行われるたびに、そのメッセージを収容したパケットＰＫ２，ＰＫ１が、プロキシ部２４Ａによる変換処理や復元処理、およびプロキシ部２３Ａによる復元処理や変換処理を経て、前記アクセス制御用通信路２９を介した通信が実行される。
【００７５】
ここで、図５に示すように、ネットワーク２１上のクラッカＵ２がパソコン２６を利用して、セキュリティホールを突いた攻撃を行うため不正にパケット（これもＰＫ１とする）を送り付けることによって、ＦＷ用コンピュータ２３および２４の乗っ取りを試みるものとする（Ｓ２０）。
【００７６】
ＦＷ用コンピュータ２３の運用管理が適切に行われていて、新しく発見されたセキュリティホールなどが完全に塞がれている場合、このような攻撃が成功することはほとんどないが、少なくとも一時的に運用管理が適切に行えないケースや全く新しい未知の攻撃がなされたケースなどでは、攻撃が成功し、ＦＷ用コンピュータ２３Ａの管理者権限が奪取され、乗っ取られることが起こり得る（Ｓ２１）。
【００７７】
しかしながら、本実施形態では、このようなケースでも、プロキシ部２３Ａによる変換処理とアクセス制御用通信路２９による前記局所一般通信プロトコルによる通信を経なければ、さらに内側のＦＷ用コンピュータ２４にアクセスすることができない。そして、プロキシ部２３Ａによる変換処理では、アプリケーション層からセッション層にあたるＴＣＰ／ＩＰプロトコルを用いた攻撃が阻止され、アクセス制御用通信路２９では、トランスポート層から物理層にあたる通信プロトコルを用いた攻撃が阻止される。
【００７８】
例えば、クラッカＵ２がパソコン２６を操作して所定値以上に長いペイロード部を持つＩＰパケットを送り付け、ＦＷ用コンピュータ２４Ａが搭載した前記主記憶装置の記憶領域内に予めバッファとして確保されている特定の領域をオーバーフローさせるバッファオーバーフロー現象を起こすことにより、ＦＷ用コンピュータ２４のサービス停止や乗っ取りを狙うバッファオーバーフロー攻撃を試みたとしても、プロキシ部２３Ａの変換処理で前記フォーマットへの変換が行われた結果、前記パケットＰＫ１１の１パケット当たりのペイロード部の最大サイズが所定値以下に制限されると、前記バッファオーバーフロー現象を起こすことができないため、バッファオーバーフロー攻撃は阻止される。
【００７９】
この場合、ＦＷ用コンピュータ２４の運用管理が適切に行われておらず、ＦＷ用コンピュータ２４にバッファオーバーフロー攻撃が可能なセキュリティホールが残っていたとしても、内部にあるＦＷ用コンピュータ２４は乗っ取ることができない。クラッカＵ２がＦＷ用コンピュータ２３を乗っ取ったとしても、アクセス制御用通信路２９では前記局所一般通信プロトコルしか通用しないので、クラッカＵ２がＦＷ用コンピュータ２４へのアクセス方法を知ることは容易ではないからである。また、ＦＷ用コンピュータ２４（プロキシ部２４Ａ）は、プロキシ部２３Ａで前記変換処理の際に獲得される特定のフォーマットのパケットしか受け取らないからである。
【００８０】
結局、クラッカＵ２は、ＦＷ用コンピュータ２３および２４によって構成される論理的なファイアウォール装置３０を越えて内部に侵入することはできない。したがって、前記ＷｅｂブラウザＢＲ１を搭載したパソコン２８，Ｗｅｂサーバ２７など、ネットワーク２２内に含まれる各種コンピュータは、クラッカＵ２からの攻撃を受けることがない。これにより、例えば、ネットワーク２２内のデータベース（図示せず）に蓄積された顧客などの個人情報がＦＷ用コンピュータ２４，２３経由でクラッカＵ２に盗まれることによって流出することを完全に防止できる。
【００８１】
また、クラッカＵ２がＦＷ用コンピュータ２３の機能を停止させれば、ネットワーク２２内のパソコン２８などから、ＦＷ用コンピュータ２４および２３を経由してネットワーク２１上のＷｅｂサーバ２５にアクセスすること等はできなくなるものの、ネットワーク２２内のコンピュータ（例えば、２８，２７など）を利用して、当該組織が顧客に提供しているサービスなどは支障無く継続することができるので、被害は小さい。
【００８２】
しかしながら、以上の動作では、ハニーポット用コンピュータ３１の存在を考慮に入れていない。ハニーポット用コンピュータ３１の動作によって、全体の動作は図６、図７に示したものに変わる可能性が高い。
【００８３】
図６および図７において、クラッカＵ２はＦＷ用コンピュータ２３への侵入に成功したあと（Ｓ１、Ｓ１０）、さらに重要そうな情報などを取得するために侵入経路を探索する（Ｓ１１）。ＴＣＰ／ＩＰプロトコルの分野で侵入経路の探索に用いられる技術には様々なものがあるが、一例として、ポートスキャンがある。
【００８４】
ポートスキャンはＴＣＰやＵＤＰのポート宛てにポート番号を順次変化させながら、応答メッセージの返送を要求する応答要求メッセージを送り付けることを繰り返すもので、攻撃を仕掛けるまえの下調べに利用されることが多い。いずれかのポートから応答メッセージが返送されてくると、クラッカＵ２には、そのポート番号に対応するアプリケーション（サービス）がハニーポット用コンピュータ３１上で稼動していることが分かる。ハニーポット用コンピュータ３１の場合、クラッカＵ２を自身に誘導する囮としての役目を持つから、意図的に、セキュリティホールを残したバージョンのアプリケーション（例えば、TelnetサーバやＦＴＰサーバなど）を稼動させ、そのアプリケーションが応答メッセージを返送したかのように振る舞う。
【００８５】
例えば、Telnetサーバの２３番やＦＴＰサーバの２１番などの代表的なポートが開いていたり、セキュリティ管理の行き届いたサーバでは応答しないように設定されていることの多い、pingの投入（ＩＣＭＰエコー要求パケット）に応答する設定となっていたりすることは、このような振る舞いに該当する。ただし、これはクラッカＵ２の注意を自身に誘導するためのものであるから、本当のTelnetサーバやＦＴＰサーバではなく、偽のアプリケーションである。
【００８６】
ＴＣＰ／ＩＰ通信路３２では、ＴＣＰ／ＩＰプロトコルの分野で知られている攻撃技術がすべて利用可能であるため、クラッカＵ２はこのような侵入経路の探索を容易に行うことができる。
【００８７】
つづいて、侵入経路探索の結果をもとに、クラッカＵ２がハニーポット用コンピュータ３１に不正侵入を開始する（Ｓ２、Ｓ１２）。
【００８８】
このとき、ハニーポット用コンピュータ３１内では、クラッカＵ２に、偽データ部３１Ｃが蓄積している前記偽データなどを取得させる一方で、ＩＤＳ部３１ＡがクラッカＵ２によるアクセスが不正アクセスであることを検知し、その検知の前後に、上述した接続元特定部３１ＢがクラッカＵ２あるいはクラッカＵ２が利用するパソコン２６の識別情報を特定し、セッション切断部３１ＤがクラッカＵ２（パソコン２６）のセッションを切断する（Ｓ１３）。セッションの切断は、具体的には、その時点でパソコン２６からのアクセスを受け付けているコンピュータのポート（ここでは、２３および３１のポート）を強制的に塞ぐ操作である。
【００８９】
このセッションの切断は、少なくともハニーポット用コンピュータ３１内で行うことができる。また、クラッカＵ２によってそのための機能が破壊されていなければ、ＦＷ用コンピュータ２３内でも行わせることができる。
【００９０】
さらにＦＷ用コンピュータ２３とネットワーク２１のあいだに別のファイアウォール装置（図示せず）が存在する場合には、そのファイアウォール装置の該当するポートを強制的に塞ぐことによって、ＦＷ用コンピュータ２３の機能の破壊状態に依存することなく、パソコン２６とＦＷ用コンピュータ２３のあいだのセッションを強制的に切断することができる。
【００９１】
前記ステップＳ１０の不正侵入で、どの程度、ＦＷ用コンピュータ２３の機能が失われているかは、その時点でクラッカＵ２がＦＷ用コンピュータ２３に対して行った不正アクセス（破壊活動）の内容に依存するが、必要ならば、前記セッションの切断後、ＦＷ用コンピュータ２３に対し、その本来の機能を回復するための保守作業が行われる。
【００９２】
ただし、クラッカＵ２から見た場合、前記アクセス制御用通信路２９はその存在を認識することさえ難しく、存在を認識できたとしても侵入が困難である。これに対し、ハニーポット用コンピュータ３１の存在は極めて分かりやすく、侵入も容易であるため、クラッカＵ２の注意はハニーポット用コンピュータ３１に向けられやすい。また、クラッカＵ２の注意がハニーポット用コンピュータ３１へ向けられるほど、不正アクセスのための試みの多くがハニーポット用コンピュータ３１に対して実行されるため、結果として、ＦＷ用コンピュータ２３の被害が軽微なものになることも期待できる。ＦＷ用コンピュータ２３の被害が軽微であれば、ＦＷ用コンピュータ２３が本来の機能を回復することも容易であるし、クラッカＵ２がＦＷ用コンピュータ２３に侵入したあとでもユーザＵ１などがＦＷ用コンピュータ２３経由で外部のＷｅｂサーバ２５などにアクセスできる可能性も高くなり、金融機関などの組織による業務の遂行への影響も小さくなる。
【００９３】
もちろん、不正侵入のあとＦＷ用コンピュータ２３に行われる前記保守作業では、単に、本来の機能を回復するだけでなく、クラッカＵ２による不正侵入を許してしまった原因であるＦＷ用コンピュータ２３のセキュリティホールを塞いでおくことも重要である。
【００９４】
次に、上述した接続元特定部３１Ｂが特定したクラッカＵ２あるいはクラッカＵ２が利用するパソコン２６の識別情報を前記ブラックリストに載せて、クラッカＵ２による次回の不正アクセスに備える（Ｓ１４）。クラッカＵ２やパソコン２６の識別情報をブラックリストに載せて、パソコン２６から送信される接続要求メッセージを拒否させれば、パソコン２６はＦＷ用コンピュータ２３とのあいだにセッションを張ることさえできないため、不正アクセスを実行することは困難となる。また、例えば、識別情報を詐称したり、第３のサーバ（図示せず）などを踏み台にした場合などには、セッションを張ることはできるが、すでに前記セキュリティホールは塞がれているため、不正アクセスを実現することはできない。
【００９５】
識別情報の詐称や踏み台の用意にも時間や手間がかかり、そのための試行錯誤を繰り返す過程で、クラッカＵ２は、ＦＷ用コンピュータ２３が、攻略の困難な対象であることを認識し、攻略を断念する可能性は小さくない。また、ハニーポット用コンピュータ３１上のアプリケーションが偽のアプリケーションであること、識別情報が特定されたこと、ハニーポット用コンピュータ３１の偽データ部３１から取得したデータが偽データであることなどが分かれば、クラッカＵ２は強い警戒心を抱き、ＦＷ用コンピュータ２３への不正アクセスを諦める可能性も高い。
【００９６】
以上の動作は、クラッカＵ２が、バッファオーバーフロー以外のＴＣＰ／ＩＰプロトコルの分野で用いられる攻撃技術を使用した場合にも成立することは当然である。
【００９７】
（Ａ−３）実施形態の効果
本実施形態によれば、ファイアウォール装置（３０）において、運用管理に依存することなく、十分に高いセキュリティ強度を実現することができる。
【００９８】
加えて、本実施形態では、侵入困難なアクセス制御用通信路（２９）と侵入容易なハニーポット用コンピュータ（３１）を用意することにより、不正アクセスのアクセス先をハニーポット用コンピュータに誘導することができるので、セキュリティ強度をいっそう高めることが可能である。
【００９９】
また、ハニーポット用コンピュータの存在は、侵入されたＦＷ用コンピュータ（２３）の被害の程度を軽微なものにし、ＦＷ用コンピュータ経由の本来の通信（例えば、ユーザＵ１によるＷｅｂサーバ２５へのアクセスなど）の信頼性を高めることにも寄与できる可能性がある。クラッカ（Ｕ２）の注意がハニーポット用コンピュータに向けられると、不正アクセスのための試みの多くがハニーポット用コンピュータに対して実行されることが期待できるからである。
【０１００】
（Ｂ）他の実施形態
上記実施形態のネットワーク構成は変更することが可能である。
【０１０１】
例えば、図８に示すネットワーク構成を用いてもかまわない。
【０１０２】
図８において、図１と同じ符号を付与した構成要素２１、２３、２４，２３Ａ、２３Ｂ、２４Ａ、２４Ｂ、３０，２０，３１、３１Ａ、３１Ｂ、３１Ｃ、３１Ｄの機能は基本的に上記実施形態と同じなので、その詳しい説明は省略する。
【０１０３】
上記実施形態では、ＦＷ用コンピュータ２３にハニーポット用コンピュータ３１が収容された接続関係になっており、外部からクラッカＵ２が不正アクセスする場合、最初は必ず、ＦＷ用コンピュータ２３に侵入する必要があったが、本実施形態では、中継装置５０に、前記ファイアウォール装置３０と、ハニーポット用コンピュータ３１が収容された構成となっているため、ＦＷ用コンピュータ２３に侵入する前にハニーポット用コンピュータ３１に侵入することが可能となる。運用によって、ＦＷ用コンピュータ２３に侵入する前にハニーポット用コンピュータ３１に侵入する可能性をさらに高めることができる。
【０１０４】
これは、ハニーポット用コンピュータ３１にクラッカＵ２からの不正アクセスが行われたことが前記ＩＤＳ部３１Ａによって検知されれば、前記識別情報がブラックリストに載せられて、クラッカＵ２からの接続要求がＦＷ用コンピュータ２３で拒否されるため、図８の構成は結局、ＦＷ用コンピュータ２３に対するクラッカＵ２の攻撃を未然に防ぎ、ＦＷ用コンピュータ２３への不正侵入を困難にすることに寄与する。
【０１０５】
前記中継装置５０は、ファイアウォール装置３０とは別個のファイアウォール装置やルータである。一例として、当該中継装置５０はファイアウォール機能を搭載したルータであってもよい。
【０１０６】
なお、図８の構成のように、中継装置５０にハニーポット用コンピュータ３１を収容すると共に、図１の構成のようにＦＷ用コンピュータ２３にも、ハニーポット用コンピュータ３１を収容するようにしてもよいことは当然である。
【０１０７】
また、上述したように、本発明では、最下位の物理層から最上位のアプリケーション層に及ぶすべての階層で、ＴＣＰ／ＩＰプロトコルとは異なる前記局所一般通信プロトコル等を用いることが望ましいが、必要ならば、一部の階層のみ、前記局所一般通信プロトコルを用いることも可能である。
【０１０８】
例えば、ＴＣＰ／ＩＰプロトコルの分野で広く知られた攻撃技術の使用のみを阻むことが目的ならば、物理層やデータリンク層などの下位の階層では、広く利用されるＩＥＥＥ８０２．３などをそのまま利用し、ネットワーク層やトランスポート層やそれ以上の上位の階層で、前記局所一般通信プロトコルや専用の通信プロトコルを用いる構成が有効である。
【０１０９】
また、物理層からトランスポート層までの階層でのみ前記局所一般通信プロトコル等を用い、セッション層以上の階層では、ＴＣＰ／ＩＰプロトコルをそのまま利用する構成を取っても、物理層からトランスポート層の通信プロトコルを利用した攻撃に対して、セキュリティ強度を高めることが可能なので、一定の効果が期待できる。
【０１１０】
なお、本発明は、ネットワークインタフェース部分にＩＰアドレスを設定しないステルス型のファイアウォールなどにも適用可能である。
【０１１１】
上記実施形態で利用した各階層の通信プロトコルは他の通信プロトコルに置換できることは当然である。
【０１１２】
例えば、ＨＴＴＰプロトコルは、前記ＳＭＴＰなどにも置換可能である。また、例えば、ＲＳ−２３２ＣやＩＥＥＥ１３９４などもその他の通信プロトコルに置換できる可能性がある。
【０１１３】
以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することができ、ソフトウエア的に実現した機能のほとんど全てはハードウエア的に実現することが可能である。
【０１１４】
例えば、前記プロキシ部２３Ａ、２４Ａなどをハードウエアによって実現してもかまわない。また、このハードウエアは、ＦＷ用コンピュータ２３，２４の中にあってもよいし、ＦＷ用コンピュータ２３，２４にそれぞれ接続された別筐体の装置であってもよい。
【図面の簡単な説明】
【０１１５】
【図１】実施形態にかかる通信システムの全体構成例を示す概略図である。
【図２】従来の通信システムの全体構成例を示す概略図である。
【図３】発明が解決しようとする課題を説明するための概略図である。
【図４】実施形態の動作説明図である。
【図５】実施形態の動作説明図である。
【図６】実施形態の動作説明図である。
【図７】実施形態の動作説明図である。
【図８】他の実施形態の動作説明図である。
【符号の説明】
【０１１６】
９，２０、５０…通信システム、２１，２２…ネットワーク、２３，２４…ＦＷ用コンピュータ、２３Ａ、２４Ａ…プロキシ部、２３Ｂ、２３Ｃ、２４Ｂ、３１Ｅ…ＮＩＣ部、２５，２７…Ｗｅｂサーバ、２６，２８…パソコン、２９…アクセス制御用通信路、３０…ファイアウォール装置、３１…ハニーポット用コンピュータ、３１Ａ…ＩＤＳ部、３１Ｂ…接続元特定部、３１Ｃ…偽データ部、３１Ｄ…セッション切断部、３２…ＴＣＰ／ＩＰ通信路、ＰＫ１，ＰＫ２、ＰＫ１１…パケット。
【技術分野】
【０００１】
本発明はアクセス制御装置、アクセス制御方法およびアクセス制御プログラムに関し、例えば、不正侵入を防止するためのファイアウォール装置などに適用して好適なものである。
【背景技術】
【０００２】
従来、企業などの組織内に配置されたコンピュータをインターネット等の外部ネットワークに接続する場合、外部からの不正な侵入を防止するためにファイアウォールを配置して組織内のコンピュータシステムのセキュリティを保つことが多い。
【０００３】
ファイアウォールとは、インターネットなどの外部のネットワーク（ＷＡＮ）と組織や家庭内のネットワーク（ＬＡＮ）を接続するときなどのように、セキュリティポリシーの異なるネットワークを接続するときに、これらのネットワークの間に配置して、アクセスを制御するソフトウェア、あるいはハードウェアを指す。
【０００４】
ファイアウォールの方式は、パケットフィルタリング方式、アプリケーションゲートウェイ方式、ステートフルインスペクション方式に大別される。
【０００５】
パケットフィルタリング方式とは、パケットのＩＰヘッダやＴＣＰ（ＵＤＰ）ヘッダに含まれる情報を元にフィルタリングを行う方式である。ヘッダ情報のみをチェックするのでフィルタリング処理にともなう遅延時間が短く、性能的に優れている。
【０００６】
アプリケーションゲートウェイ方式は、プロキシ方式とも呼ばれ、パケットのデータ部分に含まれるアプリケーションプロトコルを解釈してフィルタリングを行う。この方式の場合、組織内のコンピュータと外部のコンピュータとの間は、直接ＴＣＰ／ＩＰ接続されるのではなく、プロキシによって中継されるので、セキュリティ強度的には優れている。
【０００７】
ステートフルインスペクション方式は、パケットフィルタリング方式と同様にネットワーク層やトランスポート層で動作するファイアウォールだが、パケットのデータ部分もチェックし、リクエストとレスポンスの整合性などを検査することによってフィルタリングを行うものである。一般に、ステートフルインスペクション方式は、アプリケーションゲートウェイ方式よりも高速に動作し、パケットフィルタリング方式よりもセキュリティ強度が高い。
【０００８】
図２に、前記アプリケーションゲートウエイ方式のファイアウォール１１を用いた通信システム９を示す。
【０００９】
図２において、Ｗｅｂブラウザ１０から外部のＷｅｂサーバ１３にアクセスする場合、ＴＣＰ／ＩＰのＨＴＴＰプロトコルを用いる。ファイアウォール１１では、内側（組織内）から外側（インターネット１２側）へのＨＴＴＰのアクセスを実現するプロキシ１１Ａを動作させる。組織内のＷｅｂブラウザ１０から組織外のＷｅｂサーバ１３へアクセスするとき、ファイアウォール１１のプロキシ１１ＡがＨＴＴＰプロトコルの中継を行い、Ｗｅｂブラウザ１０に所望のＷｅｂページを画面表示させることが可能である。
【００１０】
このプロキシ１１Ａでは、外側からのアクセスは受け付けないようにしてあるため、インターネット１２上のクラッカが操作するパソコン１４から前記組織の内部のコンピュータにアクセスしようとしても、遮断され、アクセスすることができない。また、ＨＴＴＰ以外のＴＣＰ／ＩＰ接続はルーティングしない設定になっているので、組織内への不正なアクセスは防止可能である。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
ところが、上述したファイアウォール１１にセキュリティホールが存在する場合、図３に示すように、当該セキュリティホールを突いたパソコン１４からの攻撃（Ｓ１０）により、ファイアウォール１１の管理者権限が奪取されてファイアウォール１１自体がクラッカに乗っ取られ（Ｓ１１）、当該ファイアウォール１１を踏み台にして組織（ＬＡＮ）の内部に配置されている各コンピュータに対する不正アクセスが実行される（Ｓ１２）ことが起こり得る。前記セキュリティホールを塞ぐための迅速なセキュリティパッチ（修正版プログラム）の適用など、適切な対応を迅速に実行すれば、ファイアウォール１１のセキュリティ強度を十分に高めることが可能であるが、そのような高いセキュリティ強度を維持しつづけることは、運用管理のための多大な手数を必要とし、必ずしも常に十分なセキュリティ強度を維持できるとは限らない。
【００１２】
インターネット上やＬＡＮ内などで広く用いられるＴＣＰ／ＩＰプロトコルの分野では、多種多様なセキュリティ対策の技術の蓄積があるが、その一方で、それと同程度に、多種多様な不正アクセスのための攻撃技術の蓄積もあり、多くのクラッカがそのような攻撃技術を駆使して攻撃を試みる。このため、いったん、ファイアウォール１１が乗っ取られてしまうと、クラッカが駆使する攻撃技術によって組織の内部のコンピュータが多大な被害を被る可能性が高い。特に、前記組織が金融機関など、求められる信用レベルの高い組織である場合、不正アクセスによって個人情報の流出やサービス停止などの被害が発生すれば、大きな損失につながる。
【００１３】
したがって、運用管理にそれほど多大な手数をかけなくても、ファイアウォール自体のセキュリティ強度を十分に高くできることが求められる。
【課題を解決するための手段】
【００１４】
かかる課題を解決するために、第１の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報（例えば、宛先ポート番号）を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部（例えば、プロキシ部２３Ａ）と、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路と、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部と、前記第１の変換処理部に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路で接続され、不正アクセスに対する所定の囮機能部を持つ囮通信処理部とを備えたことを特徴とする。
【００１５】
また、第２の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだでプロトコルデータ単位を中継する際に実行されるアクセス制御方法において、第１の変換処理部は、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換した後、当該第１の内部プロトコルデータ単位を、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路に供給し、第２の変換処理部は、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出し、不正アクセスに対する所定の囮機能部を持つ囮通信処理部が、前記第１の変換処理部に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路で接続されることを特徴とする。
【００１６】
さらに、第３の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されて機能を発揮するアクセス制御プログラムにおいて、コンピュータに、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理機能と、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路機能と、当該第１の内部通信路機能経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理機能と、前記第１の変換処理機能に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路機能で接続され、不正アクセスに対する所定の囮機能を持つ囮通信処理機能とを実現させたことを特徴とする。
【発明の効果】
【００１７】
本発明によれば、運用管理に依存することなく、十分に高いセキュリティ強度を実現することができる。
【発明を実施するための最良の形態】
【００１８】
（Ａ）実施形態
以下、本発明にかかるアクセス制御装置、アクセス制御方法およびアクセス制御プログラムの実施形態について説明する。
【００１９】
（Ａ−１）実施形態の構成
本実施形態にかかる通信システム２０の全体構成例を図１に示す。なお、当該通信システム２０中に、図示しないサーバ類（例えば、ＤＮＳサーバやＤＨＣＰサーバなど）が存在していてもよいことは当然である。
【００２０】
図１において、当該通信システム２０は、ネットワーク２１，２２と、ＦＷ用コンピュータ２３，２４と、Ｗｅｂサーバ２５，２７と、パソコン２６，２８と、アクセス制御用通信路２９と、ハニーポット用コンピュータ３１と、ＴＣＰ／ＩＰ通信路３２とを備えている。
【００２１】
このうちネットワーク２１はＷＡＮなど、比較的セキュリティレベルの低い範囲を指し、ネットワーク２２はＬＡＮなど比較的セキュリティレベルの高い範囲を指す。具体的には、例えば、前記ネットワーク２１はインターネット、ネットワーク２２は金融機関などの組織の内部に構築されたＬＡＮであってよい。
【００２２】
ネットワーク２１上にはＷｅｂサーバ２５やパソコン２６などが存在する。パソコン２６を利用するユーザＵ２は、不正アクセスを試みるクラッカである。ネットワーク２２上にはＷｅｂサーバ２７やパソコン２８などが存在する。パソコン２８を利用するユーザＵ１は前記金融機関の社員などで、パソコン２８を利用してネットワーク２２内のＷｅｂサーバ２７やネットワーク２１上のＷｅｂサーバ２５などにアクセスする正当なユーザである。当該パソコン２８には、ＷｅｂブラウザＢＲ１が搭載されているものとする。
【００２３】
アクセス制御用通信路２９を介して接続された２台のＦＷ用コンピュータ２３、２４と当該アクセス制御用通信路２９によって、論理的に１つのファイアウォール（ＦＷ）装置３０が構成される。
【００２４】
ＦＷ用コンピュータ２３は、プロキシ部２３Ａと、ＮＩＣ（ネットワークインタフェースカード）部２３Ｂ、２３Ｃとを備え、ＦＷ用コンピュータ２４は、プロキシ部２４Ａと、ＮＩＣ部２４Ｂとを備えている。
【００２５】
ここで、ＮＩＣ部２３Ｂは、ＦＷ用コンピュータ２３をＴＣＰ／ＩＰプロトコルが通用するネットワーク２１に接続するためのインタフェースカードである。ＯＳＩ参照モデルの物理層、データリンク層の通信プロトコルが当該ＮＩＣ部２３Ｂによって処理されるものであってよい。そのほか、当該ＦＷ用コンピュータ２３内では、後述するＯＳ（オペレーティングシステム）などが、ネットワーク層やトランスポート層の通信プロトコルを処理する機能を備えている。ＮＩＣ部２３Ｃも当該ＮＩＣ部２３Ｂと同様な機能を有する。
【００２６】
ネットワーク２１がインターネットであれば、当該ネットワーク層の通信プロトコルはＩＰプロトコルである。また、ネットワーク層がＩＰプロトコルである場合、データリンク層はＩＥＥＥ８０２．３（イーサネット（登録商標））などであることが多い。物理層には有線通信用、無線通信用の様々な通信プロトコルを使用可能である。
【００２７】
プロキシ部２３Ａは、代理応答の機能を持つソフトウエア（ゲートウエイプログラム）の本体で、Ｗｅｂサーバ２５に対しＷｅｂブラウザと同様なインタフェースを提供する。ＦＷ用コンピュータ２３内において、当該プロキシ部２３Ａはアプリケーションプログラムの１つであると見ることができ、ネットワーク２１側からネットワーク２２側へ届けられるパケットＰＫ１のうち、ＯＳＩ参照モデルにおけるトランスポート層の通信プロトコルである例えばＴＣＰやＵＤＰの宛先ポート番号として、当該プロキシ部２３Ａを指定する値を持つパケットのみがＦＷ用コンピュータ２３内でプロキシ部２３Ａに渡される。
【００２８】
パケットＰＫ１が宛先ポート番号としてその他の値を持つ場合、プロキシ部２３Ａを経由しないので、アクセス制御用通信路２９に到達しない。また、プロキシ部２３Ａにおける処理を経なければ、パケットＰＫ１はアクセス制御用通信路２９を正常に通過することはできない。
【００２９】
アクセス制御用通信路２９では、インターネット上で広く用いられるＴＣＰ／ＩＰとは異なる通信プロトコルのみが使用される。このような通信プロトコルとして専用の通信プロトコルを用意してもかまわないが、ここでは、限られた局面でのみ利用される一般的な通信プロトコルである局所一般通信プロトコル（物理層の例では、ＲＳ−２３２Ｃ、ＩＥＥＥ１３９４など）を用いるものとする。
【００３０】
上述したように、ＴＣＰ／ＩＰプロトコルの分野では、多種多様なセキュリティ対策の技術の蓄積がある一方で、それと同程度に、多種多様な不正アクセスのための攻撃技術の蓄積もあり、多くのクラッカがそのような攻撃技術を駆使して攻撃を試みることができるが、局所一般通信プロトコル等では、そのような攻撃技術そのものがほとんど存在しないか、存在したとしても広く知られてはいないため、アクセス制御用通信路２９を経由させることで、クラッカによる攻撃を阻むことが可能である。
【００３１】
前記アクセス制御用通信路２９自体は伝送のための構成要素なので、ＯＳＩ参照モデルのトランスポート層以下の階層に属する通信プロトコルの処理を実行する。
【００３２】
このトランスポート層以下の階層に属する局所一般通信プロトコルに適合するように、トランスポート層より上位の階層であるプレゼンテーション層やアプリケーション層などの通信プロトコルを処理するのが、プロキシ部２３Ａ、２４Ａの役割である。プロキシ部２３Ａ、２４Ａの機能の詳細については後述する。
【００３３】
前記アクセス制御用通信路２９内に配置され、ＯＳＩ参照モデルの下位の階層の通信プロトコルを処理するプロトコル処理モジュール（図示せず）は上位の階層の通信プロトコルのトラフィックを透過的に通過させる性質を持つことが必要であるため、トランスポート層以下の下位の階層のセキュリティ強度をアクセス制御用通信路２９によって確保したとしても、プレゼンテーション層やアプリケーション層など上位の階層のセキュリティ強度はそれぞれ独立に、前記プロキシ部２３Ａ、２４Ａによって確保することが必要である。
【００３４】
結局、セキュリティ強度を高めるためには、最下位の物理層から最上位のアプリケーション層に及ぶすべての階層で、ＴＣＰ／ＩＰプロトコルとは異なる前記局所一般通信プロトコル等を用いることが望ましい。例えば、物理層やデータリンク層だけ前記局所一般通信プロトコルを使用したとしても、より上位のアプリケーション層などでＴＣＰ／ＩＰプロトコル（例えば、ＨＴＴＰプロトコル）をそのまま利用すれば、ＴＣＰ／ＩＰプロトコルの分野で広く知られた攻撃技術の使用を許してしまう可能性が高いからである。
【００３５】
ただし、ある階層（例えば、データリンク層）のプロトコルの持つセキュリティホールを突く攻撃はその階層のプロトコルを局所一般通信プロトコルに変換させることによって防御できるので、必ずしもすべての階層で局所一般通信プロトコルを用いなくても一定の効果は期待できる。
【００３６】
なお、ＯＳＩ参照モデルは、７つの階層からなるプロトコル体系であるため、ＯＳＩ参照モデルに忠実な実装を行うと、プロトコル処理モジュールを各階層ごとに１つずつ、合計７つ用意しなければならないが、必要に応じて、複数の階層を１つのプロトコル処理モジュールで処理するようにしてもかまわない。例えば、アプリケーション層、プレゼンテーション層、およびセッション層を１つのプロトコル処理モジュールによって処理するようにしてもよい。この場合、前記プロキシ部２３Ａは１つのプロトコル処理モジュールによって構成されることになる。
【００３７】
「ＴＣＰ／ＩＰ」には狭義と広義があり、狭義では、ＴＣＰとＩＰを指すが、広義では、ＴＣＰやＩＰを含め、インターネット上で標準的に使用されるプロトコル全般を指す。したがって広義のＴＣＰ／ＩＰには、例えば、ＨＴＴＰ、ＳＭＴＰ、ＦＴＰなども含まれる。以下では、「ＴＣＰ／ＩＰ」の語はすべてこの広義のものとして用いる。
【００３８】
前記プロキシ部２３ＡはＷｅｂのためのＨＴＴＰプロトコルを処理するためのプロキシであるが、通常、プロキシ部は通信プロトコルごとに必要である。したがって、他の通信プロトコル（例えば、ＦＴＰなど）を処理する場合には、そのためのプロキシ部をＦＷ用コンピュータ２３に搭載する必要がある。必要に応じて、１つのプロキシ部で特定の複数の通信プロトコルを処理するようにしてもよい。いずれにしても、予め用意してあるプロキシ部（ここでは、２３Ａ）が対応できる特定の通信プロトコルしか処理することができないため、ネットワーク２２側の前記組織が必要とする通信プロトコルに対応するプロキシ部のみを用意するようにしておけば、その他の通信プロトコルを用いて不正アクセスが行われることを防止できる。
【００３９】
本実施形態のプロキシ部２３Ａの特徴は、宛先ポート番号として自身を指定する値を持つパケットＰＫ１を受信した場合、前記局所一般通信プロトコルに適合するプロトコルデータ単位（ＰＤＵ）である内部パケットＰＫ１１に変換（変換処理）した上で、前記アクセス制御用通信路２９に供給する点にある。
【００４０】
通信の内容が定型データのみである場合などには、変換処理の前または後、あるいは、この変換処理の過程で、予め定めたフォーマットに変換することにより、不正アクセスを許す可能性のあるデータの混入を排除することが好ましい。このフォーマットには、利用され得る攻撃技術に応じて様々なものがあり得るが、一例として、バッファオーバーフロー攻撃の対策の場合、１パケットの最大サイズ（例えば、ペイロード部の最大サイズ）を、バッファオーバーフロー現象を発生させることのできない所定値以下のものに制限することをもって当該フォーマットとしてもよい。起こり得る複数の攻撃に対応するため、同時に複数の条件に適合するように、当該フォーマットを定めてよいことは当然である。
【００４１】
前記アクセス制御用通信路２９を介してこの内部パケットＰＫ１１を受け取ったプロキシ部２４Ａは、当該内部パケットＰＫ１１を、ＴＣＰ／ＩＰプロトコルに適合したパケットＰＫ１に復元（復元処理）してＮＩＣ部２４Ｂからネットワーク２２へ送出する。
【００４２】
ここで、ＮＩＣ部２４Ｂは、ＦＷ用コンピュータ２４をＴＣＰ／ＩＰプロトコルが通用するネットワーク２２に接続するためのインタフェースカードである。
【００４３】
すなわち、本実施形態では、ＬＡＮであるネットワーク２２内でも、通常のＴＣＰ／ＩＰプロトコルが使用されることを前提としている。したがってネットワーク２２はＴＣＰ／ＩＰプロトコルが使用される点で前記ネットワーク２１と同じであるが、金融機関などの内部に構築されたネットワークであるため、インターネットなどに対応するネットワーク２１に比べ、高いセキュリティレベルを維持する必要がある。
【００４４】
なお、ネットワーク２２内のパソコン２８が、パケットＰＫ２を送信してネットワーク２１上のＷｅｂサーバ２５などにアクセスすることも許す場合、プロキシ部２４Ａで前記変換処理、プロキシ部２３Ａで前記復元処理を実行した上で、この復元処理によって得られたパケットＰＫ２をＮＩＣ部２３Ｂを介してネットワーク２１に送出する構成を取ることが望ましい。また、Ｗｅｂサーバ２７を外部に公開する場合などには、ネットワーク２１上の正当なユーザのパソコンからのリクエストメッセージ（パケット）に応じたレスポンスメッセージ（パケット）を、Ｗｅｂサーバ２７から送信する必要があるが、その場合には、Ｗｅｂサーバ２７が送信したパケットに対し、プロキシ部２４Ａによる前記変換処理と、プロキシ部２３Ａによる前記復元処理を実行することになる。
【００４５】
これにより、ネットワーク２２内のパソコン２８などから外部にあるネットワーク２１上のコンピュータを攻撃すること等によって、ネットワーク２２を持つ組織の社会的信用が失墜することを防止することができる。このような攻撃は、たとえユーザＵ１に悪意がない場合でも、パソコン２８などがコンピュータウイルス（狭義のコンピュータウイルスだけでなく、ワームやトロイの木馬なども含む）に感染すること等によって実行される可能性がある。コンピュータウイルスの感染経路はネットワーク経由のものに限らないため、前記ファイアウォール装置３０を用いたとしてもパソコン２８がコンピュータウイルスに感染することは起こり得、そのようなケースに配慮しておくことは必要になる。
【００４６】
ただし、別な方法で、ネットワーク２２内のセキュリティレベルを高く維持できる場合などには、ネットワーク２２からネットワーク２１へ向かう外向きのパケットの変換処理や復元処理は、ネットワーク２１からネットワーク２２へ向かう内向きのパケットの変換処理や復元処理に比べて、処理量の少ない簡易なものとしてもよい。これにより、変換処理や復元処理自体によるセキュリティ強度は低減するが、ＦＷ用コンピュータ２３，２４の処理能力にかかる負荷を軽減できる。
【００４７】
アクセス制御用通信路２９（に設けられるプロトコル処理モジュール）は、前記局所一般通信プロトコルに対応していないパケットＰＫ１が届いた場合、その処理を拒否するように構成しておくとよい。
【００４８】
前記ハニーポット用コンピュータ３１は、ＩＤＳ（侵入検知システム）部３１Ａと、接続元特定部３１Ｂと、偽データ部３１Ｃと、セッション切断部３１Ｄと、ＮＩＣ部３１Ｅとを備えている。
【００４９】
このうちＮＩＣ部３１Ｅは前記ＮＩＣ部２３Ｂに対応するので、その詳しい説明は省略する。
【００５０】
当該ＮＩＣ部３１Ｅは前記ＮＩＣ部２３ＣとＴＣＰ／ＩＰ通信路３２を介して対向する部分である。ＴＣＰ／ＩＰ通信路３２では、ＴＣＰ／ＩＰプロトコルが通用する。
【００５１】
すなわち、ハニーポット用コンピュータ３１とＦＷ用コンピュータ２３は、ＮＩＣ部２３Ｃ、ＴＣＰ／ＩＰ通信路３２，ＮＩＣ部３１Ｅを介して接続されているため、ＦＷ用コンピュータ２３とハニーポット用コンピュータ３１とのあいだではＴＣＰ／ＩＰプロトコルによる通信を行うことができる。
【００５２】
また、当該ＴＣＰ／ＩＰ通信路３２では、データリンク層や物理層でも前記ＩＥＥＥ８０２．３（イーサネット）など、ＩＰプロトコルと組み合わせて用いられることの多い一般的なプロトコルをそのまま用いることが望ましい。
【００５３】
上述した通りであるから、クラッカＵ２は、プロキシ部２３Ａおよびアクセス制御用通信路２９を経由して内側のＦＷ用コンピュータ２４などに不正アクセスを試みても、知っている攻撃技術が使えないため失敗することが多いが、ＴＣＰ／ＩＰ通信路３２経由で不正アクセスを試みた場合、攻撃技術が使え、一見すると容易に成功しそうに見えるため、結果として不正アクセスのアクセス先はハニーポット用コンピュータ３１側へ誘導される。もちろん、クラッカＵ２がアクセス制御用通信路２９の存在に気付かず、最初に、ハニーポット用コンピュータ３１へアクセスしてくれると、いっそう好都合である。
【００５４】
ハニーポット用コンピュータ３１自体は、基本的に周知のハニーポットであってよい。すなわち当該ハニーポット用コンピュータ３１は、クラッカＵ２から見て、一見、杜撰な方法で、重要そうな情報を蓄積、管理している収穫の多い攻略容易な（セキュリティホールを残した）攻撃対象であるかのように振る舞うが、これらはすべて偽装であり、実際には、セキュリティ的な観点で厳格に構成、管理されていて、乗っ取ることも踏み台にすることも不可能である。ハニーポット用コンピュータ３１の真の役目は、クラッカＵ２による攻撃の手法を調べたり、クラッカＵ２に関する情報を収集したりする点などにある。
【００５５】
偽データ部３１Ｃは、クラッカＵ２から見て、一見、重要そうに見える偽データを蓄積したデータベースなどに相当する部分である。
【００５６】
ＩＤＳ部３１Ａは、不正アクセスを検知する部分である。例えば、予め登録された不正侵入のパターン（シグネチャ）に適合するか否かを調べることにより、あるアクセスが不正アクセスであるか否かを判定する。不正アクセスを検知した場合、ＩＤＳ部３１Ａは、何らかの通知手段（例えば、電子メールの送信やパトランプの点灯など）で管理者などに知らせることが望ましい。
【００５７】
接続元特定部３１Ｂは、当該ＩＤＳ部３１Ａが不正アクセスを検知した場合、そのアクセス元であるコンピュータ（ここでは、パソコン２６とする）やユーザ（ここでは、Ｕ２）に関する識別情報を特定する。この識別情報は様々な用途で利用できる可能性があるが、例えば、所定のブラックリストに載せて、今後、そのコンピュータやユーザからの接続要求メッセージを受信しても接続を拒否させるために利用することも望ましい。当該識別情報としては、例えば、ＳＩＰ−ＵＲＩや電子メールアドレスなどのアプリケーションレベルの情報や、ＩＰアドレスなどの伝送制御レベルの情報などを用いることができる。
【００５８】
この接続の拒否は、内側のＦＷ用コンピュータ２４やハニーポット用コンピュータ３１などでも行ってよいが、外側のＦＷ用コンピュータ２３に行わせることが重要である。外部からのパケットは不正なものも不正でないものも、すべて最初に、この外側のＦＷ用コンピュータ２３を経由するため、ＦＷ用コンピュータ２３で接続を拒否すれば、その他のコンピュータ（例えば、２４）への不正アクセスも阻止できるからである。また、アクセス制御用通信路２９によって内部への侵入を防ぐことができるとしても、例えば、外側のＦＷ用コンピュータ２３が乗っ取られてしまうと、ＦＷ用コンピュータ２３を経由する内部から外部へのアクセス（例えば、パソコン２８からＷｅｂサーバ２５へのアクセスなど）を行うことも難しくなる等、金融機関などの組織による業務の遂行に支障が出るおそれがあるため、接続を拒否することによって外側のＦＷ用コンピュータ２３自体の乗っ取りの可能性を低減することが望ましいからである。
【００５９】
セッション切断部３１はＩＤＳ部３１Ａが不正アクセスであると判定した場合、アクセス元とのセッションを強制的に切断させる部分である。セッションの切断は、ＩＤＳ部３１Ａが不正アクセスであると判定したあと直ちに行ってもよいが、その時点でまだ前記識別情報が収集できていない場合には、収集完了後に行ってもよい。
【００６０】
なお、前記ＦＷ用コンピュータ２３と２４、ハニーポット用コンピュータ３１の３つはそれぞれ別個のコンピュータであるから、それぞれ、ＣＰＵ（中央処理装置）、半導体メモリなどの主記憶装置、ハードディスク等の補助記憶装置などの図示しないハードウエア構成要素、セキュアＯＳ（セキュアオペレーティングシステム）、ミドルウエア、アプリケーションソフトウエア等のソフトウエア構成要素を備えていることは当然である。
【００６１】
以下、上記のような構成を有する本実施形態の動作について図４〜図７を用いて説明する。
【００６２】
図４は、通常時にパケットの流れる経路を示している。ただし図４では、ＮＩＣ部２３Ｂ、２４Ｂや、ネットワーク２２、ハニーポット用コンピュータ３１など、いくつかの構成要素は省略している。この点は、図５，図６でも同様である。
【００６３】
図５は、クラッカＵ２による攻撃が行われたときの動作を示す概略図で、Ｓ２０〜Ｓ２２の各ステップを備えている。
【００６４】
図６は、図１に示すネットワーク構成の場合には、不正侵入はまず最初にＦＷ用コンピュータ２３に対して行われ、そこからアクセス先がハニーポット用コンピュータ３１に誘導される様子を示す概略図で、Ｓ１、Ｓ２の各ステップを備えている。
【００６５】
図７は、不正侵入とその対応策（ハニーポット用コンピュータ３１を利用したもの）の実行手順を示したフローチャートで、Ｓ１０〜Ｓ１４の各ステップから構成されている。
【００６６】
（Ａ−２）実施形態の動作
図４に示すように、通常、前記ネットワーク２２内のパソコン２８に搭載されたＷｅｂブラウザＢＲ１を利用することによって、ユーザＵ１が外部のネットワーク２１上にあるＷｅｂサーバ２５へアクセスする場合、ＨＴＴＰリクエストメッセージを収容したパケットＰＫ２がＷｅｂブラウザＢＲ１を搭載したパソコン２８から送信され、このパケットＰＫ２は、前記ネットワーク２２上のルータ（図示せず）などを経由してＦＷ用コンピュータ２４に受信される。
【００６７】
ＨＴＴＰリクエストメッセージである以上、通常、そのパケットＰＫ２に含まれるＴＣＰヘッダ中の宛先ポート番号には、ＨＴＴＰのウエルノウンポート番号である８０番が、宛先ポート番号として記述されている。この８０番に基づいて、ＦＷ用コンピュータ２４は当該パケットＰＫ２の内容（ペイロード部）をプロキシ部２４Ａに供給し、当該プロキシ部２４Ａで前記変換処理を実行して、変換処理の結果を含むパケットＰＫ２１を生成する。当該パケットＰＫ２１は、前記パケットＰＫ１１に対応する。この変換処理の際に、上述した予め定めたフォーマットに変換するようにすれば、ユーザＵ１がネットワーク２１上のコンピュータを攻撃しようとしたり、パソコン２８がコンピュータウイルスに感染してネットワーク２１上のコンピュータを攻撃したりする場合であっても、その攻撃を阻止することが可能である。なお、必要ならば、セキュリティ性に配慮し、ＨＴＴＰのポート番号として前記８０番以外の値を用いてもよいことは当然である。
【００６８】
当該変換処理で生成されたパケットＰＫ２１は、アクセス制御用通信路２９を介してＦＷ用コンピュータ２４から２３へ伝送され、ＦＷ用コンピュータ２３内でプロキシ部２３Ａへ供給される。プロキシ部２３Ａでは、前記復元処理が実行されて、元のパケットＰＫ２が生成される。
【００６９】
このパケットＰＫ２はＦＷ用コンピュータ２３からネットワーク２１へ送出されると、ネットワーク２１上のルータ（図示せず）などに中継されて、Ｗｅｂサーバ２５に届けられる。
【００７０】
このパケットＰＫ２に収容されていたＨＴＴＰリクエストメッセージを受け取ると、前記Ｗｅｂサーバ２５は、対応するＨＴＴＰレスポンスメッセージを生成し、当該ＨＴＴＰレスポンスメッセージを収容したパケットＰＫ１をネットワーク２１に送出する。このあと、当該パケットＰＫ１は、ネットワーク２１上のルータなどに中継されてＦＷ用コンピュータ２３まで届けられる。
【００７１】
前記パケットＰＫ２をネットワーク２１に送出する時点で、ＦＷ用コンピュータ２３のＯＳなどが、当該パケットＰＫ２に含まれるＴＣＰヘッダ中の送信元ポート番号として、プロキシ部２３Ａを指定する番号を設定するので、Ｗｅｂサーバ２５から返送されてきた当該パケットＰＫ１をプロキシ部２３Ａに供給することができる。
【００７２】
パケットＰＫ１の内容を受け取ったプロキシ部２３Ａは、前記変換処理を実行し、変換処理の結果を含む前記パケットＰＫ１１を生成する。生成された当該パケットＰＫ１１は、前記アクセス制御用通信路２９を介してＦＷ用コンピュータ２４まで届けられ、ＦＷ用コンピュータ２４内でプロキシ部２４Ａに供給される。このパケットＰＫ１１の内容を受け取ったプロキシ部２４Ａでは、前記復号処理を実行し、復号処理の結果を含む前記パケットＰＫ１をネットワーク２２に送出することにより、パソコン２８まで届ける。
【００７３】
パソコン２８内では、当該パケットＰＫ１に含まれているＨＴＴＰレスポンスメッセージの内容に応じて、例えば、Ｗｅｂページの画面表示などを行う。
【００７４】
このようにＷｅｂブラウザＢＲ１とＷｅｂサーバ２５のあいだで、メッセージのやり取りが行われるたびに、そのメッセージを収容したパケットＰＫ２，ＰＫ１が、プロキシ部２４Ａによる変換処理や復元処理、およびプロキシ部２３Ａによる復元処理や変換処理を経て、前記アクセス制御用通信路２９を介した通信が実行される。
【００７５】
ここで、図５に示すように、ネットワーク２１上のクラッカＵ２がパソコン２６を利用して、セキュリティホールを突いた攻撃を行うため不正にパケット（これもＰＫ１とする）を送り付けることによって、ＦＷ用コンピュータ２３および２４の乗っ取りを試みるものとする（Ｓ２０）。
【００７６】
ＦＷ用コンピュータ２３の運用管理が適切に行われていて、新しく発見されたセキュリティホールなどが完全に塞がれている場合、このような攻撃が成功することはほとんどないが、少なくとも一時的に運用管理が適切に行えないケースや全く新しい未知の攻撃がなされたケースなどでは、攻撃が成功し、ＦＷ用コンピュータ２３Ａの管理者権限が奪取され、乗っ取られることが起こり得る（Ｓ２１）。
【００７７】
しかしながら、本実施形態では、このようなケースでも、プロキシ部２３Ａによる変換処理とアクセス制御用通信路２９による前記局所一般通信プロトコルによる通信を経なければ、さらに内側のＦＷ用コンピュータ２４にアクセスすることができない。そして、プロキシ部２３Ａによる変換処理では、アプリケーション層からセッション層にあたるＴＣＰ／ＩＰプロトコルを用いた攻撃が阻止され、アクセス制御用通信路２９では、トランスポート層から物理層にあたる通信プロトコルを用いた攻撃が阻止される。
【００７８】
例えば、クラッカＵ２がパソコン２６を操作して所定値以上に長いペイロード部を持つＩＰパケットを送り付け、ＦＷ用コンピュータ２４Ａが搭載した前記主記憶装置の記憶領域内に予めバッファとして確保されている特定の領域をオーバーフローさせるバッファオーバーフロー現象を起こすことにより、ＦＷ用コンピュータ２４のサービス停止や乗っ取りを狙うバッファオーバーフロー攻撃を試みたとしても、プロキシ部２３Ａの変換処理で前記フォーマットへの変換が行われた結果、前記パケットＰＫ１１の１パケット当たりのペイロード部の最大サイズが所定値以下に制限されると、前記バッファオーバーフロー現象を起こすことができないため、バッファオーバーフロー攻撃は阻止される。
【００７９】
この場合、ＦＷ用コンピュータ２４の運用管理が適切に行われておらず、ＦＷ用コンピュータ２４にバッファオーバーフロー攻撃が可能なセキュリティホールが残っていたとしても、内部にあるＦＷ用コンピュータ２４は乗っ取ることができない。クラッカＵ２がＦＷ用コンピュータ２３を乗っ取ったとしても、アクセス制御用通信路２９では前記局所一般通信プロトコルしか通用しないので、クラッカＵ２がＦＷ用コンピュータ２４へのアクセス方法を知ることは容易ではないからである。また、ＦＷ用コンピュータ２４（プロキシ部２４Ａ）は、プロキシ部２３Ａで前記変換処理の際に獲得される特定のフォーマットのパケットしか受け取らないからである。
【００８０】
結局、クラッカＵ２は、ＦＷ用コンピュータ２３および２４によって構成される論理的なファイアウォール装置３０を越えて内部に侵入することはできない。したがって、前記ＷｅｂブラウザＢＲ１を搭載したパソコン２８，Ｗｅｂサーバ２７など、ネットワーク２２内に含まれる各種コンピュータは、クラッカＵ２からの攻撃を受けることがない。これにより、例えば、ネットワーク２２内のデータベース（図示せず）に蓄積された顧客などの個人情報がＦＷ用コンピュータ２４，２３経由でクラッカＵ２に盗まれることによって流出することを完全に防止できる。
【００８１】
また、クラッカＵ２がＦＷ用コンピュータ２３の機能を停止させれば、ネットワーク２２内のパソコン２８などから、ＦＷ用コンピュータ２４および２３を経由してネットワーク２１上のＷｅｂサーバ２５にアクセスすること等はできなくなるものの、ネットワーク２２内のコンピュータ（例えば、２８，２７など）を利用して、当該組織が顧客に提供しているサービスなどは支障無く継続することができるので、被害は小さい。
【００８２】
しかしながら、以上の動作では、ハニーポット用コンピュータ３１の存在を考慮に入れていない。ハニーポット用コンピュータ３１の動作によって、全体の動作は図６、図７に示したものに変わる可能性が高い。
【００８３】
図６および図７において、クラッカＵ２はＦＷ用コンピュータ２３への侵入に成功したあと（Ｓ１、Ｓ１０）、さらに重要そうな情報などを取得するために侵入経路を探索する（Ｓ１１）。ＴＣＰ／ＩＰプロトコルの分野で侵入経路の探索に用いられる技術には様々なものがあるが、一例として、ポートスキャンがある。
【００８４】
ポートスキャンはＴＣＰやＵＤＰのポート宛てにポート番号を順次変化させながら、応答メッセージの返送を要求する応答要求メッセージを送り付けることを繰り返すもので、攻撃を仕掛けるまえの下調べに利用されることが多い。いずれかのポートから応答メッセージが返送されてくると、クラッカＵ２には、そのポート番号に対応するアプリケーション（サービス）がハニーポット用コンピュータ３１上で稼動していることが分かる。ハニーポット用コンピュータ３１の場合、クラッカＵ２を自身に誘導する囮としての役目を持つから、意図的に、セキュリティホールを残したバージョンのアプリケーション（例えば、TelnetサーバやＦＴＰサーバなど）を稼動させ、そのアプリケーションが応答メッセージを返送したかのように振る舞う。
【００８５】
例えば、Telnetサーバの２３番やＦＴＰサーバの２１番などの代表的なポートが開いていたり、セキュリティ管理の行き届いたサーバでは応答しないように設定されていることの多い、pingの投入（ＩＣＭＰエコー要求パケット）に応答する設定となっていたりすることは、このような振る舞いに該当する。ただし、これはクラッカＵ２の注意を自身に誘導するためのものであるから、本当のTelnetサーバやＦＴＰサーバではなく、偽のアプリケーションである。
【００８６】
ＴＣＰ／ＩＰ通信路３２では、ＴＣＰ／ＩＰプロトコルの分野で知られている攻撃技術がすべて利用可能であるため、クラッカＵ２はこのような侵入経路の探索を容易に行うことができる。
【００８７】
つづいて、侵入経路探索の結果をもとに、クラッカＵ２がハニーポット用コンピュータ３１に不正侵入を開始する（Ｓ２、Ｓ１２）。
【００８８】
このとき、ハニーポット用コンピュータ３１内では、クラッカＵ２に、偽データ部３１Ｃが蓄積している前記偽データなどを取得させる一方で、ＩＤＳ部３１ＡがクラッカＵ２によるアクセスが不正アクセスであることを検知し、その検知の前後に、上述した接続元特定部３１ＢがクラッカＵ２あるいはクラッカＵ２が利用するパソコン２６の識別情報を特定し、セッション切断部３１ＤがクラッカＵ２（パソコン２６）のセッションを切断する（Ｓ１３）。セッションの切断は、具体的には、その時点でパソコン２６からのアクセスを受け付けているコンピュータのポート（ここでは、２３および３１のポート）を強制的に塞ぐ操作である。
【００８９】
このセッションの切断は、少なくともハニーポット用コンピュータ３１内で行うことができる。また、クラッカＵ２によってそのための機能が破壊されていなければ、ＦＷ用コンピュータ２３内でも行わせることができる。
【００９０】
さらにＦＷ用コンピュータ２３とネットワーク２１のあいだに別のファイアウォール装置（図示せず）が存在する場合には、そのファイアウォール装置の該当するポートを強制的に塞ぐことによって、ＦＷ用コンピュータ２３の機能の破壊状態に依存することなく、パソコン２６とＦＷ用コンピュータ２３のあいだのセッションを強制的に切断することができる。
【００９１】
前記ステップＳ１０の不正侵入で、どの程度、ＦＷ用コンピュータ２３の機能が失われているかは、その時点でクラッカＵ２がＦＷ用コンピュータ２３に対して行った不正アクセス（破壊活動）の内容に依存するが、必要ならば、前記セッションの切断後、ＦＷ用コンピュータ２３に対し、その本来の機能を回復するための保守作業が行われる。
【００９２】
ただし、クラッカＵ２から見た場合、前記アクセス制御用通信路２９はその存在を認識することさえ難しく、存在を認識できたとしても侵入が困難である。これに対し、ハニーポット用コンピュータ３１の存在は極めて分かりやすく、侵入も容易であるため、クラッカＵ２の注意はハニーポット用コンピュータ３１に向けられやすい。また、クラッカＵ２の注意がハニーポット用コンピュータ３１へ向けられるほど、不正アクセスのための試みの多くがハニーポット用コンピュータ３１に対して実行されるため、結果として、ＦＷ用コンピュータ２３の被害が軽微なものになることも期待できる。ＦＷ用コンピュータ２３の被害が軽微であれば、ＦＷ用コンピュータ２３が本来の機能を回復することも容易であるし、クラッカＵ２がＦＷ用コンピュータ２３に侵入したあとでもユーザＵ１などがＦＷ用コンピュータ２３経由で外部のＷｅｂサーバ２５などにアクセスできる可能性も高くなり、金融機関などの組織による業務の遂行への影響も小さくなる。
【００９３】
もちろん、不正侵入のあとＦＷ用コンピュータ２３に行われる前記保守作業では、単に、本来の機能を回復するだけでなく、クラッカＵ２による不正侵入を許してしまった原因であるＦＷ用コンピュータ２３のセキュリティホールを塞いでおくことも重要である。
【００９４】
次に、上述した接続元特定部３１Ｂが特定したクラッカＵ２あるいはクラッカＵ２が利用するパソコン２６の識別情報を前記ブラックリストに載せて、クラッカＵ２による次回の不正アクセスに備える（Ｓ１４）。クラッカＵ２やパソコン２６の識別情報をブラックリストに載せて、パソコン２６から送信される接続要求メッセージを拒否させれば、パソコン２６はＦＷ用コンピュータ２３とのあいだにセッションを張ることさえできないため、不正アクセスを実行することは困難となる。また、例えば、識別情報を詐称したり、第３のサーバ（図示せず）などを踏み台にした場合などには、セッションを張ることはできるが、すでに前記セキュリティホールは塞がれているため、不正アクセスを実現することはできない。
【００９５】
識別情報の詐称や踏み台の用意にも時間や手間がかかり、そのための試行錯誤を繰り返す過程で、クラッカＵ２は、ＦＷ用コンピュータ２３が、攻略の困難な対象であることを認識し、攻略を断念する可能性は小さくない。また、ハニーポット用コンピュータ３１上のアプリケーションが偽のアプリケーションであること、識別情報が特定されたこと、ハニーポット用コンピュータ３１の偽データ部３１から取得したデータが偽データであることなどが分かれば、クラッカＵ２は強い警戒心を抱き、ＦＷ用コンピュータ２３への不正アクセスを諦める可能性も高い。
【００９６】
以上の動作は、クラッカＵ２が、バッファオーバーフロー以外のＴＣＰ／ＩＰプロトコルの分野で用いられる攻撃技術を使用した場合にも成立することは当然である。
【００９７】
（Ａ−３）実施形態の効果
本実施形態によれば、ファイアウォール装置（３０）において、運用管理に依存することなく、十分に高いセキュリティ強度を実現することができる。
【００９８】
加えて、本実施形態では、侵入困難なアクセス制御用通信路（２９）と侵入容易なハニーポット用コンピュータ（３１）を用意することにより、不正アクセスのアクセス先をハニーポット用コンピュータに誘導することができるので、セキュリティ強度をいっそう高めることが可能である。
【００９９】
また、ハニーポット用コンピュータの存在は、侵入されたＦＷ用コンピュータ（２３）の被害の程度を軽微なものにし、ＦＷ用コンピュータ経由の本来の通信（例えば、ユーザＵ１によるＷｅｂサーバ２５へのアクセスなど）の信頼性を高めることにも寄与できる可能性がある。クラッカ（Ｕ２）の注意がハニーポット用コンピュータに向けられると、不正アクセスのための試みの多くがハニーポット用コンピュータに対して実行されることが期待できるからである。
【０１００】
（Ｂ）他の実施形態
上記実施形態のネットワーク構成は変更することが可能である。
【０１０１】
例えば、図８に示すネットワーク構成を用いてもかまわない。
【０１０２】
図８において、図１と同じ符号を付与した構成要素２１、２３、２４，２３Ａ、２３Ｂ、２４Ａ、２４Ｂ、３０，２０，３１、３１Ａ、３１Ｂ、３１Ｃ、３１Ｄの機能は基本的に上記実施形態と同じなので、その詳しい説明は省略する。
【０１０３】
上記実施形態では、ＦＷ用コンピュータ２３にハニーポット用コンピュータ３１が収容された接続関係になっており、外部からクラッカＵ２が不正アクセスする場合、最初は必ず、ＦＷ用コンピュータ２３に侵入する必要があったが、本実施形態では、中継装置５０に、前記ファイアウォール装置３０と、ハニーポット用コンピュータ３１が収容された構成となっているため、ＦＷ用コンピュータ２３に侵入する前にハニーポット用コンピュータ３１に侵入することが可能となる。運用によって、ＦＷ用コンピュータ２３に侵入する前にハニーポット用コンピュータ３１に侵入する可能性をさらに高めることができる。
【０１０４】
これは、ハニーポット用コンピュータ３１にクラッカＵ２からの不正アクセスが行われたことが前記ＩＤＳ部３１Ａによって検知されれば、前記識別情報がブラックリストに載せられて、クラッカＵ２からの接続要求がＦＷ用コンピュータ２３で拒否されるため、図８の構成は結局、ＦＷ用コンピュータ２３に対するクラッカＵ２の攻撃を未然に防ぎ、ＦＷ用コンピュータ２３への不正侵入を困難にすることに寄与する。
【０１０５】
前記中継装置５０は、ファイアウォール装置３０とは別個のファイアウォール装置やルータである。一例として、当該中継装置５０はファイアウォール機能を搭載したルータであってもよい。
【０１０６】
なお、図８の構成のように、中継装置５０にハニーポット用コンピュータ３１を収容すると共に、図１の構成のようにＦＷ用コンピュータ２３にも、ハニーポット用コンピュータ３１を収容するようにしてもよいことは当然である。
【０１０７】
また、上述したように、本発明では、最下位の物理層から最上位のアプリケーション層に及ぶすべての階層で、ＴＣＰ／ＩＰプロトコルとは異なる前記局所一般通信プロトコル等を用いることが望ましいが、必要ならば、一部の階層のみ、前記局所一般通信プロトコルを用いることも可能である。
【０１０８】
例えば、ＴＣＰ／ＩＰプロトコルの分野で広く知られた攻撃技術の使用のみを阻むことが目的ならば、物理層やデータリンク層などの下位の階層では、広く利用されるＩＥＥＥ８０２．３などをそのまま利用し、ネットワーク層やトランスポート層やそれ以上の上位の階層で、前記局所一般通信プロトコルや専用の通信プロトコルを用いる構成が有効である。
【０１０９】
また、物理層からトランスポート層までの階層でのみ前記局所一般通信プロトコル等を用い、セッション層以上の階層では、ＴＣＰ／ＩＰプロトコルをそのまま利用する構成を取っても、物理層からトランスポート層の通信プロトコルを利用した攻撃に対して、セキュリティ強度を高めることが可能なので、一定の効果が期待できる。
【０１１０】
なお、本発明は、ネットワークインタフェース部分にＩＰアドレスを設定しないステルス型のファイアウォールなどにも適用可能である。
【０１１１】
上記実施形態で利用した各階層の通信プロトコルは他の通信プロトコルに置換できることは当然である。
【０１１２】
例えば、ＨＴＴＰプロトコルは、前記ＳＭＴＰなどにも置換可能である。また、例えば、ＲＳ−２３２ＣやＩＥＥＥ１３９４などもその他の通信プロトコルに置換できる可能性がある。
【０１１３】
以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することができ、ソフトウエア的に実現した機能のほとんど全てはハードウエア的に実現することが可能である。
【０１１４】
例えば、前記プロキシ部２３Ａ、２４Ａなどをハードウエアによって実現してもかまわない。また、このハードウエアは、ＦＷ用コンピュータ２３，２４の中にあってもよいし、ＦＷ用コンピュータ２３，２４にそれぞれ接続された別筐体の装置であってもよい。
【図面の簡単な説明】
【０１１５】
【図１】実施形態にかかる通信システムの全体構成例を示す概略図である。
【図２】従来の通信システムの全体構成例を示す概略図である。
【図３】発明が解決しようとする課題を説明するための概略図である。
【図４】実施形態の動作説明図である。
【図５】実施形態の動作説明図である。
【図６】実施形態の動作説明図である。
【図７】実施形態の動作説明図である。
【図８】他の実施形態の動作説明図である。
【符号の説明】
【０１１６】
９，２０、５０…通信システム、２１，２２…ネットワーク、２３，２４…ＦＷ用コンピュータ、２３Ａ、２４Ａ…プロキシ部、２３Ｂ、２３Ｃ、２４Ｂ、３１Ｅ…ＮＩＣ部、２５，２７…Ｗｅｂサーバ、２６，２８…パソコン、２９…アクセス制御用通信路、３０…ファイアウォール装置、３１…ハニーポット用コンピュータ、３１Ａ…ＩＤＳ部、３１Ｂ…接続元特定部、３１Ｃ…偽データ部、３１Ｄ…セッション切断部、３２…ＴＣＰ／ＩＰ通信路、ＰＫ１，ＰＫ２、ＰＫ１１…パケット。
【特許請求の範囲】
【請求項１】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、
前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部と、
通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路と、
当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部と、
前記第１の変換処理部に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路で接続され、不正アクセスに対する所定の囮機能部を持つ囮通信処理部とを備えたことを特徴とするアクセス制御装置。
【請求項２】
請求項１のアクセス制御装置において、
前記囮通信処理部は、
不正アクセスを検知する不正アクセス検知部を備え、
当該不正アクセス検知部が不正アクセスを検知したとき、当該不正アクセスのアクセス元とのセッションの切断、または、不正アクセスのアクセス元を識別するアクセス元識別情報の収集を実行し、その後、収集されたアクセス元識別情報で識別されるアクセス元からのアクセスが試みられても前記第１の変換処理部に応答させないことを特徴とするアクセス制御装置。
【請求項３】
第１の通信ネットワークと第２の通信ネットワークのあいだでプロトコルデータ単位を中継する際に実行されるアクセス制御方法において、
第１の変換処理部は、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換した後、当該第１の内部プロトコルデータ単位を、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路に供給し、
第２の変換処理部は、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出し、
不正アクセスに対する所定の囮機能部を持つ囮通信処理部が、前記第１の変換処理部に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路で接続されることを特徴とするアクセス制御方法。
【請求項４】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されて機能を発揮するアクセス制御プログラムにおいて、コンピュータに、
前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理機能と、
通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路機能と、
当該第１の内部通信路機能経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理機能と、
前記第１の変換処理機能に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路機能で接続され、不正アクセスに対する所定の囮機能を持つ囮通信処理機能とを実現させたことを特徴とするアクセス制御プログラム。
【請求項１】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、
前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部と、
通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路と、
当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部と、
前記第１の変換処理部に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路で接続され、不正アクセスに対する所定の囮機能部を持つ囮通信処理部とを備えたことを特徴とするアクセス制御装置。
【請求項２】
請求項１のアクセス制御装置において、
前記囮通信処理部は、
不正アクセスを検知する不正アクセス検知部を備え、
当該不正アクセス検知部が不正アクセスを検知したとき、当該不正アクセスのアクセス元とのセッションの切断、または、不正アクセスのアクセス元を識別するアクセス元識別情報の収集を実行し、その後、収集されたアクセス元識別情報で識別されるアクセス元からのアクセスが試みられても前記第１の変換処理部に応答させないことを特徴とするアクセス制御装置。
【請求項３】
第１の通信ネットワークと第２の通信ネットワークのあいだでプロトコルデータ単位を中継する際に実行されるアクセス制御方法において、
第１の変換処理部は、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換した後、当該第１の内部プロトコルデータ単位を、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路に供給し、
第２の変換処理部は、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出し、
不正アクセスに対する所定の囮機能部を持つ囮通信処理部が、前記第１の変換処理部に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路で接続されることを特徴とするアクセス制御方法。
【請求項４】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されて機能を発揮するアクセス制御プログラムにおいて、コンピュータに、
前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理機能と、
通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路機能と、
当該第１の内部通信路機能経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理機能と、
前記第１の変換処理機能に広義ＴＣＰ／ＩＰプロトコルが通用する通常通信路機能で接続され、不正アクセスに対する所定の囮機能を持つ囮通信処理機能とを実現させたことを特徴とするアクセス制御プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２００６−９９５９０（Ｐ２００６−９９５９０Ａ）
【公開日】平成１８年４月１３日（２００６．４．１３）
【国際特許分類】
【出願番号】特願２００４−２８６９０２（Ｐ２００４−２８６９０２）
【出願日】平成１６年９月３０日（２００４．９．３０）
【出願人】（００００００２９５）沖電気工業株式会社 (6,645)
【Ｆターム（参考）】
【公開日】平成１８年４月１３日（２００６．４．１３）
【国際特許分類】
【出願日】平成１６年９月３０日（２００４．９．３０）
【出願人】（００００００２９５）沖電気工業株式会社 (6,645)
【Ｆターム（参考）】
[ Back to top ]