JPH10271154A - 不正アクセス防止方法およびシステム - Google Patents
不正アクセス防止方法およびシステムInfo
- Publication number
- JPH10271154A JPH10271154A JP6792997A JP6792997A JPH10271154A JP H10271154 A JPH10271154 A JP H10271154A JP 6792997 A JP6792997 A JP 6792997A JP 6792997 A JP6792997 A JP 6792997A JP H10271154 A JPH10271154 A JP H10271154A
- Authority
- JP
- Japan
- Prior art keywords
- packet
- network
- information
- filtering
- address
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Landscapes
- Data Exchanges In Wide-Area Networks (AREA)
- Small-Scale Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
(57)【要約】
【課題】 パケットのデータ形式にエリアの追加を行う
ことなく、パケットの既存エリアを利用した不正パケッ
トのフィルタリングによる排除を可能とする。 【解決手段】 ゲートウェイ１のＩＰヘッダチェック部
１１は、ＩＰヘッダに含まれるＴＴＬ（Time To Live：
ネットワーク内存続時間）情報およびＩＰアドレス情報
に基づいて、不正でない通信パケットのみを通過させ
る。ＩＰヘッダチェック部１１のＴＴＬフィルタリング
部２１は、ＩＰヘッダ中に妥当性のあるＴＴＬ情報を有
する通信パケットのみを通過させる。妥当性チェック部
２１ａは、パケット通過時のＴＴＬの値が、予めグルー
プ内で取り決めた初期値から（初期値−最大通過ゲート
ウェイ数）までの範囲内であることを条件として妥当性
をチェックする。フィルタリング処理部２１ｂはＴＴＬ
情報が所定の条件を満足していない通信パケットをパケ
ット廃棄処理部１２に与える。
ことなく、パケットの既存エリアを利用した不正パケッ
トのフィルタリングによる排除を可能とする。 【解決手段】 ゲートウェイ１のＩＰヘッダチェック部
１１は、ＩＰヘッダに含まれるＴＴＬ（Time To Live：
ネットワーク内存続時間）情報およびＩＰアドレス情報
に基づいて、不正でない通信パケットのみを通過させ
る。ＩＰヘッダチェック部１１のＴＴＬフィルタリング
部２１は、ＩＰヘッダ中に妥当性のあるＴＴＬ情報を有
する通信パケットのみを通過させる。妥当性チェック部
２１ａは、パケット通過時のＴＴＬの値が、予めグルー
プ内で取り決めた初期値から（初期値−最大通過ゲート
ウェイ数）までの範囲内であることを条件として妥当性
をチェックする。フィルタリング処理部２１ｂはＴＴＬ
情報が所定の条件を満足していない通信パケットをパケ
ット廃棄処理部１２に与える。
Description
【０００１】
【発明の属する技術分野】この発明は、通信ネットワー
クシステムを構築するルータおよびゲートウェイ等にお
ける不正アクセスの防止に係り、特に、通信プロトコル
としてＴＣＰ／ＩＰ（Transmission Control Protocol
/ Internet Protocol：転送制御プロトコル／インター
ネットプロトコル）を使用している通信ネットワークシ
ステムに好適な不正アクセス防止システムに関する。
クシステムを構築するルータおよびゲートウェイ等にお
ける不正アクセスの防止に係り、特に、通信プロトコル
としてＴＣＰ／ＩＰ（Transmission Control Protocol
/ Internet Protocol：転送制御プロトコル／インター
ネットプロトコル）を使用している通信ネットワークシ
ステムに好適な不正アクセス防止システムに関する。
【０００２】
【従来の技術】通信ネットワークシステム、例えばＬＡ
Ｎ（Local Area Network：ローカルエリアネットワー
ク）システムは、ルータおよびゲートウェイの少なくと
もいずれかを介して複数の支線ＬＡＮが接続されて構築
されている。このような通信ネットワークシステムにお
いて、通信プロトコルとしてＴＣＰ／ＩＰを使用してい
ることも多い。
Ｎ（Local Area Network：ローカルエリアネットワー
ク）システムは、ルータおよびゲートウェイの少なくと
もいずれかを介して複数の支線ＬＡＮが接続されて構築
されている。このような通信ネットワークシステムにお
いて、通信プロトコルとしてＴＣＰ／ＩＰを使用してい
ることも多い。
【０００３】ところで、物理的に接続されているネット
ワーク上で、必要に応じて論理的にグループ分けを行っ
ている場合がある。このような場合、論理的なグループ
内での通信が主体となって、他のグループとの間の通信
を、必要としなかったり、排除したりしたいことがあ
る。
ワーク上で、必要に応じて論理的にグループ分けを行っ
ている場合がある。このような場合、論理的なグループ
内での通信が主体となって、他のグループとの間の通信
を、必要としなかったり、排除したりしたいことがあ
る。
【０００４】このような場合には、支線ＬＡＮを接続す
るルータおよびゲートウェイ等において、パケットのＭ
ＡＣ（Media Access Control：メディアアクセス制御）
アドレスまたはＩＰ（Internet Protocol：インターネ
ットプロトコル）アドレスを識別し、他のグループのパ
ケットを通過させないようにして、同報パケット、異常
パケット、あるいは不正に他のグループの端末にアクセ
スしようとするパケット等の不正アクセスパケットの流
入および流出を防止することが行われている。
るルータおよびゲートウェイ等において、パケットのＭ
ＡＣ（Media Access Control：メディアアクセス制御）
アドレスまたはＩＰ（Internet Protocol：インターネ
ットプロトコル）アドレスを識別し、他のグループのパ
ケットを通過させないようにして、同報パケット、異常
パケット、あるいは不正に他のグループの端末にアクセ
スしようとするパケット等の不正アクセスパケットの流
入および流出を防止することが行われている。
【０００５】このように、パケットのＭＡＣアドレスま
たはＩＰアドレスを識別して他のグループのパケットは
通過させないようにする機能は、ＭＡＣアドレスにより
フィルタリングを行うＭＡＣアドレスフィルタリング機
能またはＩＰアドレスによりフィルタリングを行うＩＰ
アドレスフィルタリング機能と称される。
たはＩＰアドレスを識別して他のグループのパケットは
通過させないようにする機能は、ＭＡＣアドレスにより
フィルタリングを行うＭＡＣアドレスフィルタリング機
能またはＩＰアドレスによりフィルタリングを行うＩＰ
アドレスフィルタリング機能と称される。
【０００６】すなわち、ＭＡＣアドレスまたはＩＰアド
レスによるフィルタリングは、次のようにして行われ
る。予め通過を許容するＭＡＣアドレスまたはＩＰアド
レスを、ルータあるいはゲートウェイに登録しておく。
ルータあるいはゲートウェイは、受信したパケットのＭ
ＡＣアドレスまたはＩＰアドレスと登録されているＭＡ
ＣアドレスまたはＩＰアドレスとを照合して、正しいＭ
ＡＣアドレスまたはＩＰアドレスのパケットのみを通過
させる。このようにして、不正アクセスパケットの通過
がルータあるいはゲートウェイにより阻止される。
レスによるフィルタリングは、次のようにして行われ
る。予め通過を許容するＭＡＣアドレスまたはＩＰアド
レスを、ルータあるいはゲートウェイに登録しておく。
ルータあるいはゲートウェイは、受信したパケットのＭ
ＡＣアドレスまたはＩＰアドレスと登録されているＭＡ
ＣアドレスまたはＩＰアドレスとを照合して、正しいＭ
ＡＣアドレスまたはＩＰアドレスのパケットのみを通過
させる。このようにして、不正アクセスパケットの通過
がルータあるいはゲートウェイにより阻止される。
【０００７】ＭＡＣアドレスは、多くの場合端末装置
（以下、単に「端末」と称する）に物理的に設定されて
おり、安易に変更することができないことが多い。とこ
ろが、ＭＡＣ層アドレスには、全ネットワークに同報パ
ケットを通過させるための同報アドレスが存在するた
め、同報パケットとの混同が生じる。これを防止するた
めに、ＭＡＣ層よりも上位層であるネットワーク層のＩ
ＰアドレスでフィルタリングするＩＰアドレスフィルタ
リングが用いられる。
（以下、単に「端末」と称する）に物理的に設定されて
おり、安易に変更することができないことが多い。とこ
ろが、ＭＡＣ層アドレスには、全ネットワークに同報パ
ケットを通過させるための同報アドレスが存在するた
め、同報パケットとの混同が生じる。これを防止するた
めに、ＭＡＣ層よりも上位層であるネットワーク層のＩ
ＰアドレスでフィルタリングするＩＰアドレスフィルタ
リングが用いられる。
【０００８】しかしながら、ＩＰアドレスは、ＴＣＰ／
ＩＰプロトコルに必要なものであり、装置に論理的に設
定しているため、比較的容易に変更することが可能であ
る。そのため、グループ外の端末が、当該グループ内の
端末のＩＰアドレスを不正に設定してグループ内のＬＡ
Ｎシステムに入り込もうとした場合には、ＩＰアドレス
のフィルタリングでは、不正アクセスパケットを確実に
検出することができない。
ＩＰプロトコルに必要なものであり、装置に論理的に設
定しているため、比較的容易に変更することが可能であ
る。そのため、グループ外の端末が、当該グループ内の
端末のＩＰアドレスを不正に設定してグループ内のＬＡ
Ｎシステムに入り込もうとした場合には、ＩＰアドレス
のフィルタリングでは、不正アクセスパケットを確実に
検出することができない。
【０００９】これに対して、特開平７−１７０２７９号
公報には、ＩＰアドレスフィルタリングを用いることな
く、不正アクセスパケットを排除する技術が開示されて
いる。
公報には、ＩＰアドレスフィルタリングを用いることな
く、不正アクセスパケットを排除する技術が開示されて
いる。
【００１０】すなわち、特開平７−１７０２７９号公報
に示されたシステムは、ＭＡＣアドレスによるフィルタ
リングを行う複数の支線ＬＡＮを収容する従来のブリッ
ジ回路に対して、支線ＬＡＮのグループ番号を登録する
機能、パケット送信時に該グループ番号をパケットに付
加する機能、およびパケットに付加されたグループ番号
と登録されたグループ番号とをパケット受信時に照合す
る機能を付加したブリッジ回路を用いる。
に示されたシステムは、ＭＡＣアドレスによるフィルタ
リングを行う複数の支線ＬＡＮを収容する従来のブリッ
ジ回路に対して、支線ＬＡＮのグループ番号を登録する
機能、パケット送信時に該グループ番号をパケットに付
加する機能、およびパケットに付加されたグループ番号
と登録されたグループ番号とをパケット受信時に照合す
る機能を付加したブリッジ回路を用いる。
【００１１】このブリッジ回路に収容したＬＡＮそれぞ
れにグループ番号を設定し、同一グループ内のＬＡＮ間
転送時には基幹バスへ送信するパケットに、該グループ
番号を付加する。基幹バスからパケットを受信するとき
はブリッジ回路が元来行っていたフィルタリング機能で
あるＭＡＣアドレスによるフィルタリングを行う前に、
送信時にパケットに付加されたグループ番号によるフィ
ルタリングを行う。
れにグループ番号を設定し、同一グループ内のＬＡＮ間
転送時には基幹バスへ送信するパケットに、該グループ
番号を付加する。基幹バスからパケットを受信するとき
はブリッジ回路が元来行っていたフィルタリング機能で
あるＭＡＣアドレスによるフィルタリングを行う前に、
送信時にパケットに付加されたグループ番号によるフィ
ルタリングを行う。
【００１２】すなわち、複数の端末が接続される複数の
支線ＬＡＮを複数のブリッジ回路を介して基幹バスに接
続するシステムにおいて、複数のブリッジ回路に個々に
収容された複数の支線ＬＡＮを独立した複数のグループ
にグループ化し、各ブリッジ回路にはそれぞれ収容する
支線ＬＡＮのグループ番号を予め登録しておく。端末か
ら同一グループ内の他の支線ＬＡＮへ送信するパケット
には、ブリッジ回路は、該端末が属する支線ＬＡＮのグ
ループ番号を付加して基幹バスに送信する。基幹バスを
介してパケットを受信したときには、ブリッジ回路は、
受信したパケットに付加されているグループ番号を識別
し、登録されている番号と照合して、両者が一致したと
きにのみ、この受信したパケットに対してＭＡＣアドレ
スフィルタリング機能を動作させブリッジ回路が収容し
ている支線ＬＡＮに送信する。
支線ＬＡＮを複数のブリッジ回路を介して基幹バスに接
続するシステムにおいて、複数のブリッジ回路に個々に
収容された複数の支線ＬＡＮを独立した複数のグループ
にグループ化し、各ブリッジ回路にはそれぞれ収容する
支線ＬＡＮのグループ番号を予め登録しておく。端末か
ら同一グループ内の他の支線ＬＡＮへ送信するパケット
には、ブリッジ回路は、該端末が属する支線ＬＡＮのグ
ループ番号を付加して基幹バスに送信する。基幹バスを
介してパケットを受信したときには、ブリッジ回路は、
受信したパケットに付加されているグループ番号を識別
し、登録されている番号と照合して、両者が一致したと
きにのみ、この受信したパケットに対してＭＡＣアドレ
スフィルタリング機能を動作させブリッジ回路が収容し
ている支線ＬＡＮに送信する。
【００１３】このようにすることにより、ＬＡＮのＭＡ
Ｃ層における同報パケット、異常パケットまたは不正に
他のグループの端末に他のグループの端末と通信しよう
とするパケット等の不正アクセスパケットを、グループ
番号の相違により阻止することができる。
Ｃ層における同報パケット、異常パケットまたは不正に
他のグループの端末に他のグループの端末と通信しよう
とするパケット等の不正アクセスパケットを、グループ
番号の相違により阻止することができる。
【００１４】
【発明が解決しようとする課題】上述したように、特開
平７−１７０２７９号公報に示されたシステムは、ブリ
ッジ回路に収容した複数のＬＡＮにそれぞれグループ番
号を設定し、同一グループ内のＬＡＮ間転送時には基幹
バスへ送信するパケットに、該グループ番号を付加す
る。基幹バスからパケットを受信するときはブリッジ回
路が元来行っていたフィルタリング機能であるＭＡＣア
ドレスによるフィルタリングを行う前に、送信時にパケ
ットに付加されたグループ番号によるフィルタリングを
行う。
平７−１７０２７９号公報に示されたシステムは、ブリ
ッジ回路に収容した複数のＬＡＮにそれぞれグループ番
号を設定し、同一グループ内のＬＡＮ間転送時には基幹
バスへ送信するパケットに、該グループ番号を付加す
る。基幹バスからパケットを受信するときはブリッジ回
路が元来行っていたフィルタリング機能であるＭＡＣア
ドレスによるフィルタリングを行う前に、送信時にパケ
ットに付加されたグループ番号によるフィルタリングを
行う。
【００１５】この特開平７−１７０２７９号公報のシス
テムによれば、グループ番号の相違をチェックすること
により、ＬＡＮのＭＡＣ層における同報パケット、異常
パケットまたは不正に他のグループの端末に他のグルー
プの端末と通信しようとするパケット等の不正アクセス
パケットを阻止することができる。
テムによれば、グループ番号の相違をチェックすること
により、ＬＡＮのＭＡＣ層における同報パケット、異常
パケットまたは不正に他のグループの端末に他のグルー
プの端末と通信しようとするパケット等の不正アクセス
パケットを阻止することができる。
【００１６】しかしながら、特開平７−１７０２７９号
公報に示された、ブリッジ回路にグループ番号を登録
し、送信パケットにこのグループ番号を付加して、パケ
ットを受信したときに受信パケットのグループ番号と登
録したグループ番号の照合を行うフィルタリングを可能
とするためには、パケットのデータ形式にグループ番号
エリアを追加する必要がある。
公報に示された、ブリッジ回路にグループ番号を登録
し、送信パケットにこのグループ番号を付加して、パケ
ットを受信したときに受信パケットのグループ番号と登
録したグループ番号の照合を行うフィルタリングを可能
とするためには、パケットのデータ形式にグループ番号
エリアを追加する必要がある。
【００１７】ところが、ＬＡＮのパケットには、物理層
のヘッダ部およびトランスポート層のヘッダ部等が含ま
れており、パケットのデータ形式が細かく規定されてい
ることが多い。したがって、パケットのデータ形式が規
定されているＬＡＮシステムにおいては、多くの場合、
在来のパケットにグループ番号を格納するためのエリア
を追加して確保することができず、特開平７−１７０２
７９号公報に記載された技術を実施することができな
い。
のヘッダ部およびトランスポート層のヘッダ部等が含ま
れており、パケットのデータ形式が細かく規定されてい
ることが多い。したがって、パケットのデータ形式が規
定されているＬＡＮシステムにおいては、多くの場合、
在来のパケットにグループ番号を格納するためのエリア
を追加して確保することができず、特開平７−１７０２
７９号公報に記載された技術を実施することができな
い。
【００１８】この発明は、上述した事情に鑑みてなされ
たもので、パケットの既存エリアを利用した不正パケッ
トのフィルタリングを可能とし、パケットのデータ形式
にエリアの追加を行うことなく、不正パケットの効果的
な排除を可能とする不正アクセス防止方法およびシステ
ムを提供することを目的とする。
たもので、パケットの既存エリアを利用した不正パケッ
トのフィルタリングを可能とし、パケットのデータ形式
にエリアの追加を行うことなく、不正パケットの効果的
な排除を可能とする不正アクセス防止方法およびシステ
ムを提供することを目的とする。
【００１９】
【課題を解決するための手段】上記目的を達成するた
め、この発明の第１の観点に係る不正アクセス防止方法
は、複数の支線ネットワークが結合装置により結合され
たネットワーク内に１以上の論理グループが構成されて
いる通信ネットワークにおいて、該論理グループにおけ
る不正アクセスを防止するにあたり、送信時の通信パケ
ットに含まれるネットワーク内存続時間情報の初期値
を、予め通信ネットワーク内に設定した論理グループ内
における機密情報として、所定値に定めておき、前記結
合装置が、前記通信パケットの通過時に前記ネットワー
ク内存続時間情報の妥当性をチェックすることにより、
前記論理グループの内外間での通過パケットのフィルタ
リングを行うようにする。
め、この発明の第１の観点に係る不正アクセス防止方法
は、複数の支線ネットワークが結合装置により結合され
たネットワーク内に１以上の論理グループが構成されて
いる通信ネットワークにおいて、該論理グループにおけ
る不正アクセスを防止するにあたり、送信時の通信パケ
ットに含まれるネットワーク内存続時間情報の初期値
を、予め通信ネットワーク内に設定した論理グループ内
における機密情報として、所定値に定めておき、前記結
合装置が、前記通信パケットの通過時に前記ネットワー
ク内存続時間情報の妥当性をチェックすることにより、
前記論理グループの内外間での通過パケットのフィルタ
リングを行うようにする。
【００２０】前記ネットワーク内存続時間情報は、前記
結合装置の通過毎に減算される情報を含み、且つ前記機
密情報としてのネットワーク内存続時間情報の初期値
は、ネットワーク構成に基づいて予想される前記結合装
置の最大通過数を超える値に設定するとともに、前記ネ
ットワーク内存続時間情報の値が、前記初期値乃至前記
初期値−前記最大通過数の範囲外である場合に前記結合
装置が当該パケットを不正パケットと判断するようにし
てもよい。
結合装置の通過毎に減算される情報を含み、且つ前記機
密情報としてのネットワーク内存続時間情報の初期値
は、ネットワーク構成に基づいて予想される前記結合装
置の最大通過数を超える値に設定するとともに、前記ネ
ットワーク内存続時間情報の値が、前記初期値乃至前記
初期値−前記最大通過数の範囲外である場合に前記結合
装置が当該パケットを不正パケットと判断するようにし
てもよい。
【００２１】前記不正アクセス防止方法は、さらに、Ｉ
Ｐアドレスに基づくフィルタリングをさらに併用するよ
うにしてもよい。
Ｐアドレスに基づくフィルタリングをさらに併用するよ
うにしてもよい。
【００２２】前記不正アクセス防止方法は、さらに、Ｍ
ＡＣアドレスに基づくフィルタリングをさらに併用する
ようにしてもよい。
ＡＣアドレスに基づくフィルタリングをさらに併用する
ようにしてもよい。
【００２３】前記不正アクセス防止方法は、前記不正パ
ケットを、前記結合装置が廃棄するようにしてもよい。
ケットを、前記結合装置が廃棄するようにしてもよい。
【００２４】この発明の第２の観点に係る不正アクセス
防止システムは、複数の支線ネットワークが結合された
ネットワーク内に１以上の論理グループが構成されてい
る通信ネットワークシステムにおいて、前記支線ネット
ワークに結合され、通信パケットの送信時に、該通信パ
ケットに含まれるネットワーク内存続時間情報の初期値
を、予め通信ネットワーク内に設定した論理グループ内
における機密情報として、所定値に設定するネットワー
ク内存続時間情報設定手段を有する端末装置と、前記通
信パケットの通過時に前記ネットワーク内存続時間情報
の妥当性をチェックする妥当性チェック手段、および該
妥当性チェック手段のチェック結果に基づいて、前記論
理グループの内外間での通過パケットをフィルタリング
するフィルタリング処理手段を有し、前記複数の支線ネ
ットワークを結合するとともに、該論理グループにおけ
る不正アクセスを防止するネットワーク結合手段と、を
具備する。
防止システムは、複数の支線ネットワークが結合された
ネットワーク内に１以上の論理グループが構成されてい
る通信ネットワークシステムにおいて、前記支線ネット
ワークに結合され、通信パケットの送信時に、該通信パ
ケットに含まれるネットワーク内存続時間情報の初期値
を、予め通信ネットワーク内に設定した論理グループ内
における機密情報として、所定値に設定するネットワー
ク内存続時間情報設定手段を有する端末装置と、前記通
信パケットの通過時に前記ネットワーク内存続時間情報
の妥当性をチェックする妥当性チェック手段、および該
妥当性チェック手段のチェック結果に基づいて、前記論
理グループの内外間での通過パケットをフィルタリング
するフィルタリング処理手段を有し、前記複数の支線ネ
ットワークを結合するとともに、該論理グループにおけ
る不正アクセスを防止するネットワーク結合手段と、を
具備する。
【００２５】前記ネットワーク内存続時間情報は、前記
ネットワーク結合手段の通過毎に減算される情報を含
み、且つネットワーク内存続時間設定手段は、前記機密
情報としてのネットワーク内存続時間情報の初期値を、
ネットワーク構成に基づいて予想される前記ネットワー
ク結合手段の最大通過数を超える値に設定する手段を含
むとともに、前記妥当性チェック手段は、前記ネットワ
ーク内存続時間情報の値が、前記初期値乃至前記初期値
−前記最大通過数の範囲外である場合に当該パケットを
不正パケットと判断する手段を含んでいてもよい。
ネットワーク結合手段の通過毎に減算される情報を含
み、且つネットワーク内存続時間設定手段は、前記機密
情報としてのネットワーク内存続時間情報の初期値を、
ネットワーク構成に基づいて予想される前記ネットワー
ク結合手段の最大通過数を超える値に設定する手段を含
むとともに、前記妥当性チェック手段は、前記ネットワ
ーク内存続時間情報の値が、前記初期値乃至前記初期値
−前記最大通過数の範囲外である場合に当該パケットを
不正パケットと判断する手段を含んでいてもよい。
【００２６】前記ネットワーク結合手段は、ＩＰアドレ
スに基づくフィルタリングを行うＩＰアドレスフィルタ
リング手段をさらに含んでいてもよい。
スに基づくフィルタリングを行うＩＰアドレスフィルタ
リング手段をさらに含んでいてもよい。
【００２７】前記ネットワーク結合手段は、ＭＡＣアド
レスに基づくフィルタリングを行うＭＡＣアドレスフィ
ルタリング手段をさらに含んでいてもよい。
レスに基づくフィルタリングを行うＭＡＣアドレスフィ
ルタリング手段をさらに含んでいてもよい。
【００２８】前記ネットワーク結合手段は、フィルタリ
ングによって通過が阻止された不正パケットを廃棄する
パケット廃棄手段を含んでいてもよい。
ングによって通過が阻止された不正パケットを廃棄する
パケット廃棄手段を含んでいてもよい。
【００２９】この発明の不正アクセス防止方法およびシ
ステムにおいては、複数の支線ネットワークが結合装置
により結合されたネットワーク内に１以上の論理グルー
プが構成されている通信ネットワークの該論理グループ
における不正アクセスを防止するために、送信時の通信
パケットに含まれるネットワーク内存続時間情報の初期
値を、予め通信ネットワーク内に設定した論理グループ
内における機密情報として、所定値に定め、前記結合装
置が、前記通信パケットの通過時に前記ネットワーク内
存続時間情報の妥当性をチェックすることにより、前記
論理グループの内外間での通過パケットのフィルタリン
グを行う。したがって、パケットの既存エリアであるネ
ットワーク内存続時間情報を利用して不正パケットのフ
ィルタリングを行うことができ、パケットのデータ形式
にエリアの追加を行うことなく、不正パケットの効果的
な排除が可能となる。
ステムにおいては、複数の支線ネットワークが結合装置
により結合されたネットワーク内に１以上の論理グルー
プが構成されている通信ネットワークの該論理グループ
における不正アクセスを防止するために、送信時の通信
パケットに含まれるネットワーク内存続時間情報の初期
値を、予め通信ネットワーク内に設定した論理グループ
内における機密情報として、所定値に定め、前記結合装
置が、前記通信パケットの通過時に前記ネットワーク内
存続時間情報の妥当性をチェックすることにより、前記
論理グループの内外間での通過パケットのフィルタリン
グを行う。したがって、パケットの既存エリアであるネ
ットワーク内存続時間情報を利用して不正パケットのフ
ィルタリングを行うことができ、パケットのデータ形式
にエリアの追加を行うことなく、不正パケットの効果的
な排除が可能となる。
【００３０】
【発明の実施の形態】以下、この発明の実施の形態を図
面を参照して説明する。
面を参照して説明する。
【００３１】この発明の実施の形態に係る不正アクセス
防止システムは、ＴＣＰ／ＩＰプロトコルを用いた通信
ネットワークシステムに適用している。この実施の形態
では、ＴＣＰ／ＩＰプロトコルのＩＰヘッダ内の既存の
エリアであるＴＴＬを利用することにより不正パケット
のフィルタリングを行うことにより、通信パケットの在
来のデータ形式のままで不正アクセスを効果的に防止す
る。
防止システムは、ＴＣＰ／ＩＰプロトコルを用いた通信
ネットワークシステムに適用している。この実施の形態
では、ＴＣＰ／ＩＰプロトコルのＩＰヘッダ内の既存の
エリアであるＴＴＬを利用することにより不正パケット
のフィルタリングを行うことにより、通信パケットの在
来のデータ形式のままで不正アクセスを効果的に防止す
る。
【００３２】ＴＣＰ／ＩＰプロトコルによる通信パケッ
トのＩＰヘッダには、ＴＴＬ（Timeto Live：ネットワ
ーク内存続時間）情報を格納するためのＴＴＬエリアが
設けられている。ＴＴＬ情報とは、通信パケットが、あ
とどれだけの時間ネットワーク内に存続できるか、すな
わち存続残時間を秒単位で示したものである。この存続
算時間は、秒単位を基本としているが、処理時間が１秒
に満たない場合および処理時間が計測できない場合があ
り、一般に、例えばルータまたはゲートウェイのような
結合装置を通過する度に、その都度“１”マイナスさ
れ、このＴＴＬの値が“０”である通信パケットを検出
したときに、その通信パケットは、存続時間が満了した
ものとして廃棄される。このようなＴＴＬ情報は、永遠
に配達されずに、ネットワーク中を浮遊するパケットが
発生することを防止するために設けられている。ＴＣＰ
／ＩＰプロトコルにおいては、ＴＴＬの最大値は“２５
５（秒）”である。一般には、送信端末から受信端末ま
でのルータおよびゲートウェイ等の結合装置の数は、不
達パケットの発生を防止するために多めに見積もられ
る。しかも、このＴＴＬの値は、仮に最大値を設定して
も送信から２５５秒たった時点で通信パケットが廃棄さ
れるため、通常の場合、かなり大きめに設定される。
トのＩＰヘッダには、ＴＴＬ（Timeto Live：ネットワ
ーク内存続時間）情報を格納するためのＴＴＬエリアが
設けられている。ＴＴＬ情報とは、通信パケットが、あ
とどれだけの時間ネットワーク内に存続できるか、すな
わち存続残時間を秒単位で示したものである。この存続
算時間は、秒単位を基本としているが、処理時間が１秒
に満たない場合および処理時間が計測できない場合があ
り、一般に、例えばルータまたはゲートウェイのような
結合装置を通過する度に、その都度“１”マイナスさ
れ、このＴＴＬの値が“０”である通信パケットを検出
したときに、その通信パケットは、存続時間が満了した
ものとして廃棄される。このようなＴＴＬ情報は、永遠
に配達されずに、ネットワーク中を浮遊するパケットが
発生することを防止するために設けられている。ＴＣＰ
／ＩＰプロトコルにおいては、ＴＴＬの最大値は“２５
５（秒）”である。一般には、送信端末から受信端末ま
でのルータおよびゲートウェイ等の結合装置の数は、不
達パケットの発生を防止するために多めに見積もられ
る。しかも、このＴＴＬの値は、仮に最大値を設定して
も送信から２５５秒たった時点で通信パケットが廃棄さ
れるため、通常の場合、かなり大きめに設定される。
【００３３】この発明では、論理的なグループ内で、Ｔ
ＴＬの初期値を機密情報として予め取り決めておき、グ
ループ内の送信端末から受信端末までにパケットが通過
すると予想されるルータおよびゲートウェイ等の結合装
置の最大数を設定しておく。この結合装置の最大数より
も、ＴＴＬの初期値を大きく設定しておく。パケットの
フィルタリングにあたっては、パケット通過時のＴＴＬ
の値がＴＴＬの初期値から（初期値−最大通過結合装置
数）までの範囲であれば正常パケット、該範囲外であれ
ば不正パケットと判断する。
ＴＬの初期値を機密情報として予め取り決めておき、グ
ループ内の送信端末から受信端末までにパケットが通過
すると予想されるルータおよびゲートウェイ等の結合装
置の最大数を設定しておく。この結合装置の最大数より
も、ＴＴＬの初期値を大きく設定しておく。パケットの
フィルタリングにあたっては、パケット通過時のＴＴＬ
の値がＴＴＬの初期値から（初期値−最大通過結合装置
数）までの範囲であれば正常パケット、該範囲外であれ
ば不正パケットと判断する。
【００３４】このような仕組みにより、グループ内の端
末のＩＰアドレスを使用して不正にグループ内の端末に
アクセスしようとするグループ外の不正な端末からの不
正パケットを排除することができる。
末のＩＰアドレスを使用して不正にグループ内の端末に
アクセスしようとするグループ外の不正な端末からの不
正パケットを排除することができる。
【００３５】図１〜図３を参照して、上述した原理に基
づくこの発明による不正アクセス防止システムを組み込
んだネットワークシステムの実施の形態を説明する。
づくこの発明による不正アクセス防止システムを組み込
んだネットワークシステムの実施の形態を説明する。
【００３６】図１は、この発明の実施の形態に係る不正
アクセス防止システムを組み込んだゲートウェイの主要
部の構成を示している。
アクセス防止システムを組み込んだゲートウェイの主要
部の構成を示している。
【００３７】図１に示すゲートウェイ１は、ＩＰヘッダ
チェック部１１およびパケット廃棄処理部１２を具備し
ている。
チェック部１１およびパケット廃棄処理部１２を具備し
ている。
【００３８】ＩＰヘッダチェック部１１は、ＩＰヘッダ
の情報をチェックし、ＩＰヘッダに含まれるＴＴＬ（Ti
me to Live：ネットワーク内存続時間）情報およびＩＰ
アドレス情報に基づいて、当該論理グループの内部から
外部へ、および外部から内部への通過パケットをチェッ
クして、不正でない通信パケットのみを通過させ、不正
パケットの通過を阻止する。パケット廃棄処理部１２
は、ＩＰヘッダチェック部１１により、通過が阻止され
た不正パケットを廃棄処理する。
の情報をチェックし、ＩＰヘッダに含まれるＴＴＬ（Ti
me to Live：ネットワーク内存続時間）情報およびＩＰ
アドレス情報に基づいて、当該論理グループの内部から
外部へ、および外部から内部への通過パケットをチェッ
クして、不正でない通信パケットのみを通過させ、不正
パケットの通過を阻止する。パケット廃棄処理部１２
は、ＩＰヘッダチェック部１１により、通過が阻止され
た不正パケットを廃棄処理する。
【００３９】ＩＰヘッダチェック部１１は、ＴＴＬフィ
ルタリング部２１およびＩＰアドレスフィルタリング部
２２を有する。
ルタリング部２１およびＩＰアドレスフィルタリング部
２２を有する。
【００４０】ＴＴＬフィルタリング部２１は、妥当性チ
ェック部２１ａおよびフィルタリング処理部２１ｂを有
し、ＩＰヘッダ中のＴＴＬ情報の妥当性をチェックし
て、ＴＴＬ情報として妥当性のあるＴＴＬ情報を有する
通信パケットのみを通過させ、妥当性のないＴＴＬ情報
を有する通信パケットの通過を阻止する。
ェック部２１ａおよびフィルタリング処理部２１ｂを有
し、ＩＰヘッダ中のＴＴＬ情報の妥当性をチェックし
て、ＴＴＬ情報として妥当性のあるＴＴＬ情報を有する
通信パケットのみを通過させ、妥当性のないＴＴＬ情報
を有する通信パケットの通過を阻止する。
【００４１】妥当性チェック部２１ａは、通信パケット
の通過時にＩＰヘッダにおけるＴＴＬ情報が所定の条件
を満足しているか否かに基づいて、ＴＴＬ情報の妥当性
をチェックする。フィルタリング処理部２１ｂは、論理
グループの内外間での通過パケットに対し、妥当性チェ
ック部２１ａのチェック結果に基づいて、ＴＴＬ情報が
所定の条件を満足している通信パケットのみを通過さ
せ、該所定の条件を満足していない通信パケットをパケ
ット廃棄処理部１２に与える。
の通過時にＩＰヘッダにおけるＴＴＬ情報が所定の条件
を満足しているか否かに基づいて、ＴＴＬ情報の妥当性
をチェックする。フィルタリング処理部２１ｂは、論理
グループの内外間での通過パケットに対し、妥当性チェ
ック部２１ａのチェック結果に基づいて、ＴＴＬ情報が
所定の条件を満足している通信パケットのみを通過さ
せ、該所定の条件を満足していない通信パケットをパケ
ット廃棄処理部１２に与える。
【００４２】上述したようにゲートウェイ１におけるＴ
ＴＬ情報を用いたフィルタリングでは、各論理グループ
において、予めグループ内でのＴＴＬの初期値を機密デ
ータとして取り決め、且つグループ内の送信端末から受
信端末までにパケットが通過する結合装置、例えばゲー
トウェイおよびルータ等、の最大数を設定しておく。そ
して、これらＴＴＬの初期値と最大通過結合装置数をゲ
ートウェイ１の妥当性チェック部２１ａに予め登録して
おくことにより、妥当性チェック部２１ａは、パケット
通過時のＴＴＬの値がＴＴＬの初期値から（初期値−最
大通過ゲートウェイ数）までの範囲内であるか否かを条
件として妥当性をチェックする。ＴＴＬの値が該範囲内
であれば正常パケットすなわち妥当性ありと判定し、当
該範囲外であれば不正パケットすなわち妥当性なしと判
定する。
ＴＬ情報を用いたフィルタリングでは、各論理グループ
において、予めグループ内でのＴＴＬの初期値を機密デ
ータとして取り決め、且つグループ内の送信端末から受
信端末までにパケットが通過する結合装置、例えばゲー
トウェイおよびルータ等、の最大数を設定しておく。そ
して、これらＴＴＬの初期値と最大通過結合装置数をゲ
ートウェイ１の妥当性チェック部２１ａに予め登録して
おくことにより、妥当性チェック部２１ａは、パケット
通過時のＴＴＬの値がＴＴＬの初期値から（初期値−最
大通過ゲートウェイ数）までの範囲内であるか否かを条
件として妥当性をチェックする。ＴＴＬの値が該範囲内
であれば正常パケットすなわち妥当性ありと判定し、当
該範囲外であれば不正パケットすなわち妥当性なしと判
定する。
【００４３】ＩＰアドレスフィルタリング部２２は、Ｉ
ＰヘッダにおけるＩＰアドレス情報に基づいて、当該論
理グループの外部から該論理グループの内部のアドレス
への通信パケットおよび当該論理グループの内部から該
論理グループの外部のアドレスへの通信パケットを通過
させ、それ以外のＩＰアドレス情報を有する通信パケッ
トの通過を阻止してパケット廃棄処理部１２に与える。
ＰヘッダにおけるＩＰアドレス情報に基づいて、当該論
理グループの外部から該論理グループの内部のアドレス
への通信パケットおよび当該論理グループの内部から該
論理グループの外部のアドレスへの通信パケットを通過
させ、それ以外のＩＰアドレス情報を有する通信パケッ
トの通過を阻止してパケット廃棄処理部１２に与える。
【００４４】図１に示したゲートウェイ１を用いて構成
したネットワークシステムを図２に示す。図２において
は、在来のフィルタリング機能を有するゲートウェイと
図１のこの発明によるフィルタリング機能を有するゲー
トウェイとを用いて不正アクセス防止システムを構成し
ている。
したネットワークシステムを図２に示す。図２において
は、在来のフィルタリング機能を有するゲートウェイと
図１のこの発明によるフィルタリング機能を有するゲー
トウェイとを用いて不正アクセス防止システムを構成し
ている。
【００４５】図２に示すネットワークシステムは、第１
のゲートウェイ１、第２のゲートウェイ２、第１の端末
３、第２の端末４、第３の端末５、第１の支線ＬＡＮ
６、第２の支線ＬＡＮ７および第３の支線ＬＡＮ８を備
えている。第１の端末３および第２の端末４は、第１の
支線ＬＡＮ６に結合されており、第３の端末５は第３の
支線ＬＡＮ８に結合されている。第１の支線ＬＡＮ６と
第２の支線ＬＡＮ７とは第２のゲートウェイ２により結
合されており、第２の支線ＬＡＮ７と第３の支線ＬＡＮ
８とは第２のゲートウェイ１により結合されている。
のゲートウェイ１、第２のゲートウェイ２、第１の端末
３、第２の端末４、第３の端末５、第１の支線ＬＡＮ
６、第２の支線ＬＡＮ７および第３の支線ＬＡＮ８を備
えている。第１の端末３および第２の端末４は、第１の
支線ＬＡＮ６に結合されており、第３の端末５は第３の
支線ＬＡＮ８に結合されている。第１の支線ＬＡＮ６と
第２の支線ＬＡＮ７とは第２のゲートウェイ２により結
合されており、第２の支線ＬＡＮ７と第３の支線ＬＡＮ
８とは第２のゲートウェイ１により結合されている。
【００４６】第１および第２のゲートウェイ１および２
は、それぞれ第２の支線ＬＡＮ７と第３の支線ＬＡＮ８
との間、および第１の支線ＬＡＮ６と第２の支線ＬＡＮ
７との間で通信パケット等のデータを転送する。
は、それぞれ第２の支線ＬＡＮ７と第３の支線ＬＡＮ８
との間、および第１の支線ＬＡＮ６と第２の支線ＬＡＮ
７との間で通信パケット等のデータを転送する。
【００４７】第１のゲートウェイ１は、図１に示したこ
の発明に基づく通信パケットのフィルタリング機能を有
するゲートウェイである。すなわち、第１のゲートウェ
イ１は、この発明によるＴＴＬ情報を用いた通信パケッ
トのフィルタリング機能と、在来のＩＰアドレスを用い
た通信パケットのフィルタリング機能とを有している。
の発明に基づく通信パケットのフィルタリング機能を有
するゲートウェイである。すなわち、第１のゲートウェ
イ１は、この発明によるＴＴＬ情報を用いた通信パケッ
トのフィルタリング機能と、在来のＩＰアドレスを用い
た通信パケットのフィルタリング機能とを有している。
【００４８】第２のゲートウェイは、在来のゲートウェ
イであり、ＩＰアドレスを用いた通信パケットのフィル
タリング機能のみを有している。
イであり、ＩＰアドレスを用いた通信パケットのフィル
タリング機能のみを有している。
【００４９】第２の端末４および第３の端末５が同一グ
ループを構成し、第１の端末３はグループ外の端末であ
るとする。
ループを構成し、第１の端末３はグループ外の端末であ
るとする。
【００５０】この場合、例えば、端末４と端末５とで構
成されるグループ内では、機密データとしてＴＴＬの初
期値を“５”と設定しているものとする。また、最大通
過結合装置数、すなわち最大通過ゲートウェイ数は、ゲ
ートウェイ１および２が存在するため“２”である。こ
れらの値は、ゲートウェイ１の妥当性チェック部２１ａ
に予め設定される。
成されるグループ内では、機密データとしてＴＴＬの初
期値を“５”と設定しているものとする。また、最大通
過結合装置数、すなわち最大通過ゲートウェイ数は、ゲ
ートウェイ１および２が存在するため“２”である。こ
れらの値は、ゲートウェイ１の妥当性チェック部２１ａ
に予め設定される。
【００５１】グループ外の端末３は、端末４と端末５と
のグループ間で取り決めたＴＴＬの初期値がわからない
ため、端末３では、ＴＴＬの初期値を“３２”と設定し
たものとする。端末４が端末５に通信パケットを送信し
たときの動作、および端末４が支線ＬＡＮ６に接続して
いない状態で端末３が端末４を装って、端末４のＩＰア
ドレスに設定して、端末５に不正にアクセスしようとし
た場合の動作について、図３に示すフローチャートを参
照して説明する。図３に示すフローチャートは、図１の
ゲートウェイ１のＩＰヘッダチェック部１１におけるＩ
Ｐヘッダのチェック処理の流れを示している。
のグループ間で取り決めたＴＴＬの初期値がわからない
ため、端末３では、ＴＴＬの初期値を“３２”と設定し
たものとする。端末４が端末５に通信パケットを送信し
たときの動作、および端末４が支線ＬＡＮ６に接続して
いない状態で端末３が端末４を装って、端末４のＩＰア
ドレスに設定して、端末５に不正にアクセスしようとし
た場合の動作について、図３に示すフローチャートを参
照して説明する。図３に示すフローチャートは、図１の
ゲートウェイ１のＩＰヘッダチェック部１１におけるＩ
Ｐヘッダのチェック処理の流れを示している。
【００５２】ゲートウェイ２にはＩＰアドレスのフィル
タリングのみを行うために端末４と端末５のＩＰアドレ
スを登録する。ゲートウェイ１には、ＩＰアドレスのフ
ィルタリングのために端末４と端末５のＩＰアドレスを
登録し、且つＴＴＬによるフィルタリングのために、端
末４と端末５との間で取り決めたＴＴＬの初期値α
“５”と最大通過ゲートウェイ数“２”とを内部の妥当
性チェック部２１ａに記憶させる。
タリングのみを行うために端末４と端末５のＩＰアドレ
スを登録する。ゲートウェイ１には、ＩＰアドレスのフ
ィルタリングのために端末４と端末５のＩＰアドレスを
登録し、且つＴＴＬによるフィルタリングのために、端
末４と端末５との間で取り決めたＴＴＬの初期値α
“５”と最大通過ゲートウェイ数“２”とを内部の妥当
性チェック部２１ａに記憶させる。
【００５３】まず、端末４が同一グループ内の端末５に
通信パケットを送信する場合の動作について説明する。
通信パケットを送信する場合の動作について説明する。
【００５４】端末４は、自分のＩＰアドレス、つまり発
信元ＩＰアドレス、に端末４のＩＰアドレスを設定し、
相手のＩＰアドレス、つまり宛先（送信先）ＩＰアドレ
スに相手先端末５のＩＰアドレスを設定するとともに、
ＴＴＬには当該グループ間で取り決めた初期値α“５”
をセットして、通信パケットを支線ＬＡＮ６に送信す
る。
信元ＩＰアドレス、に端末４のＩＰアドレスを設定し、
相手のＩＰアドレス、つまり宛先（送信先）ＩＰアドレ
スに相手先端末５のＩＰアドレスを設定するとともに、
ＴＴＬには当該グループ間で取り決めた初期値α“５”
をセットして、通信パケットを支線ＬＡＮ６に送信す
る。
【００５５】送信されたパケットは、ゲートウェイ２で
受信される。ゲートウェイ２は、ＩＰヘッダをチェック
する。ゲートウェイ２は、発信元ＩＰアドレスが登録さ
れている端末４のアドレスであり、宛先ＩＰアドレスが
登録されている端末５のアドレスであるため、正常パケ
ットとみなす。正常パケットとみなすと、ゲートウェイ
２は、元のＴＴＬ値である“５”から“１”をマイナス
した“４”を新たなＴＴＬ値としてＴＴＬにセットし
て、通信パケットを支線ＬＡＮ７に送信する。
受信される。ゲートウェイ２は、ＩＰヘッダをチェック
する。ゲートウェイ２は、発信元ＩＰアドレスが登録さ
れている端末４のアドレスであり、宛先ＩＰアドレスが
登録されている端末５のアドレスであるため、正常パケ
ットとみなす。正常パケットとみなすと、ゲートウェイ
２は、元のＴＴＬ値である“５”から“１”をマイナス
した“４”を新たなＴＴＬ値としてＴＴＬにセットし
て、通信パケットを支線ＬＡＮ７に送信する。
【００５６】支線ＬＡＮ７に送信されたパケットは、さ
らにゲートウェイ１で受信される。ゲートウェイ１は、
ＩＰヘッダチェック部１１において、図３に示すフロー
チャートに従ってＩＰヘッダのチェックを行う。
らにゲートウェイ１で受信される。ゲートウェイ１は、
ＩＰヘッダチェック部１１において、図３に示すフロー
チャートに従ってＩＰヘッダのチェックを行う。
【００５７】ＩＰヘッダのチェックが開始されると、Ｉ
Ｐのバージョンのチェックを行い（ステップＳ１１）、
バージョンが異常である場合は、パケット廃棄処理部１
２でパケットを廃棄する（ステップＳ１７）。ステップ
Ｓ１１で、バージョンが正常であった場合は、ＩＰヘッ
ダのその他の情報のチェックを行い（ステップＳ１
２）、該その他の情報の異常を検知した場合にもステッ
プＳ１７に移行してパケットを廃棄する。
Ｐのバージョンのチェックを行い（ステップＳ１１）、
バージョンが異常である場合は、パケット廃棄処理部１
２でパケットを廃棄する（ステップＳ１７）。ステップ
Ｓ１１で、バージョンが正常であった場合は、ＩＰヘッ
ダのその他の情報のチェックを行い（ステップＳ１
２）、該その他の情報の異常を検知した場合にもステッ
プＳ１７に移行してパケットを廃棄する。
【００５８】ステップＳ１２で正常であった場合には、
ＴＴＬの値が“０”であるか否かのチェックを行う（ス
テップＳ１３）。ステップＳ１３において、ＴＴＬの値
が“０”である場合には、ＴＴＬすなわちネットワーク
内存続時間が満了しているので、ステップＳ１７でパケ
ットを廃棄する。この場合には、ＴＴＬの値は、“４”
であるので、ステップＳ１３では正常と判定され、ＴＴ
Ｌフィルタリング部２１の妥当性チェック部２１ａでＴ
ＴＬの値の妥当性のチェックを行う（ステップＳ１
４）。
ＴＴＬの値が“０”であるか否かのチェックを行う（ス
テップＳ１３）。ステップＳ１３において、ＴＴＬの値
が“０”である場合には、ＴＴＬすなわちネットワーク
内存続時間が満了しているので、ステップＳ１７でパケ
ットを廃棄する。この場合には、ＴＴＬの値は、“４”
であるので、ステップＳ１３では正常と判定され、ＴＴ
Ｌフィルタリング部２１の妥当性チェック部２１ａでＴ
ＴＬの値の妥当性のチェックを行う（ステップＳ１
４）。
【００５９】妥当性のチェックは、ＴＴＬの値が初期値
α以下で且つ（初期値−最大ゲート数）βを超えている
か否かにより行う。ＴＴＬの値がこの範囲内であれば妥
当であるとみなす。
α以下で且つ（初期値−最大ゲート数）βを超えている
か否かにより行う。ＴＴＬの値がこの範囲内であれば妥
当であるとみなす。
【００６０】この場合、初期値αは“５”、（初期値−
最大ゲート数）βは“３”（＝５−２）であり、受信し
たパケットのＴＴＬの値は“４”であるため、正常とみ
なされる。ステップＳ１４で正常とみなされると、ＩＰ
アドレスフィルタリング部１２によりＩＰアドレスのチ
ェックを行う（ステップＳ１５）。ステップＳ１４で不
正とみなされた場合には、ステップＳ１７でパケットを
廃棄する。
最大ゲート数）βは“３”（＝５−２）であり、受信し
たパケットのＴＴＬの値は“４”であるため、正常とみ
なされる。ステップＳ１４で正常とみなされると、ＩＰ
アドレスフィルタリング部１２によりＩＰアドレスのチ
ェックを行う（ステップＳ１５）。ステップＳ１４で不
正とみなされた場合には、ステップＳ１７でパケットを
廃棄する。
【００６１】受信した通信パケットの発信元ＩＰアドレ
スは登録されている端末４のＩＰアドレスであり、宛先
ＩＰアドレスは登録されている端末５のアドレスである
ため、正常パケットとみなし、通信パケットは、ゲート
ウェイ１に受信される（ステップＳ１６）。ゲートウェ
イ１は、受信したパケットのＴＴＬに“４”から“１”
をマイナスした“３”をセットして、通信パケットを支
線ＬＡＮ８に送信する。送信された通信パケットは相手
先端末である端末５で受信される。
スは登録されている端末４のＩＰアドレスであり、宛先
ＩＰアドレスは登録されている端末５のアドレスである
ため、正常パケットとみなし、通信パケットは、ゲート
ウェイ１に受信される（ステップＳ１６）。ゲートウェ
イ１は、受信したパケットのＴＴＬに“４”から“１”
をマイナスした“３”をセットして、通信パケットを支
線ＬＡＮ８に送信する。送信された通信パケットは相手
先端末である端末５で受信される。
【００６２】次に、端末４が支線ＬＡＮ６に接続されて
いない状態で、当該グループ外の端末３が端末４を装っ
て不正に端末５にパケットを送信しようとした場合の動
作を説明する。
いない状態で、当該グループ外の端末３が端末４を装っ
て不正に端末５にパケットを送信しようとした場合の動
作を説明する。
【００６３】端末３は、発信元ＩＰアドレスに端末４の
ＩＰアドレスを設定し、宛先ＩＰアドレスに相手先端末
５のＩＰアドレスを設定して、通信パケットを支線ＬＡ
Ｎ６に送信する。しかしこの場合、端末３では、相手先
端末５が属する論理グループに属していないので、当該
グループ内で取り決めたＴＴＬの初期値がわからない。
そのため、端末３は、適当な値として“３２”をＴＴＬ
にセットして通信パケットを送信する。
ＩＰアドレスを設定し、宛先ＩＰアドレスに相手先端末
５のＩＰアドレスを設定して、通信パケットを支線ＬＡ
Ｎ６に送信する。しかしこの場合、端末３では、相手先
端末５が属する論理グループに属していないので、当該
グループ内で取り決めたＴＴＬの初期値がわからない。
そのため、端末３は、適当な値として“３２”をＴＴＬ
にセットして通信パケットを送信する。
【００６４】送信された通信パケットはゲートウェイ２
に受信される。ゲートウェイ２は、ＩＰアドレスのフィ
ルタリングのためのＩＰヘッダのチェックを行うが、発
信元ＩＰアドレスが登録されている端末４のアドレスで
あり、宛先ＩＰアドレスが登録されている端末５のアド
レスであるため、ＩＰアドレスは正常であるとみなす。
そこで、ゲートウェイ２は、“３２”から“１”をマイ
ナスした“３１”をＴＴＬにセットして、該通信パケッ
トを支線ＬＡＮ７に送信する。
に受信される。ゲートウェイ２は、ＩＰアドレスのフィ
ルタリングのためのＩＰヘッダのチェックを行うが、発
信元ＩＰアドレスが登録されている端末４のアドレスで
あり、宛先ＩＰアドレスが登録されている端末５のアド
レスであるため、ＩＰアドレスは正常であるとみなす。
そこで、ゲートウェイ２は、“３２”から“１”をマイ
ナスした“３１”をＴＴＬにセットして、該通信パケッ
トを支線ＬＡＮ７に送信する。
【００６５】支線ＬＡＮ７に送信されたパケットはゲー
トウェイ１で受信される。ゲートウェイ１は、ＩＰヘッ
ダチェック部１１において、図３に示すフローチャート
に従ってＩＰヘッダのチェックを行う。
トウェイ１で受信される。ゲートウェイ１は、ＩＰヘッ
ダチェック部１１において、図３に示すフローチャート
に従ってＩＰヘッダのチェックを行う。
【００６６】ＩＰヘッダのチェックが開始されると、ス
テップＳ１１でＩＰのバージョンのチェックを行い、バ
ージョンが異常である場合は、ステップＳ１７に移行し
パケット廃棄処理部１２でパケットを廃棄する。ステッ
プＳ１１で、バージョンが正常であった場合は、ステッ
プＳ１２で、ＩＰヘッダのその他の情報のチェックを行
い、異常を検知した場合には、ステップＳ１７でパケッ
トを廃棄する。
テップＳ１１でＩＰのバージョンのチェックを行い、バ
ージョンが異常である場合は、ステップＳ１７に移行し
パケット廃棄処理部１２でパケットを廃棄する。ステッ
プＳ１１で、バージョンが正常であった場合は、ステッ
プＳ１２で、ＩＰヘッダのその他の情報のチェックを行
い、異常を検知した場合には、ステップＳ１７でパケッ
トを廃棄する。
【００６７】ステップＳ１２で、ＩＰヘッダのその他の
情報が正常であった場合には、ステップＳ１３で、ＴＴ
Ｌの値が“０”であるか否かのチェックを行う。ステッ
プＳ１３のチェックにおいて、もしもＴＴＬの値が
“０”であればパケットを廃棄するが、この場合は、Ｔ
ＴＬの値が“３１”であるため、ステップＳ１３では正
常と判定され、ステップＳ１４でＴＴＬの値の妥当性の
チェックを行う。
情報が正常であった場合には、ステップＳ１３で、ＴＴ
Ｌの値が“０”であるか否かのチェックを行う。ステッ
プＳ１３のチェックにおいて、もしもＴＴＬの値が
“０”であればパケットを廃棄するが、この場合は、Ｔ
ＴＬの値が“３１”であるため、ステップＳ１３では正
常と判定され、ステップＳ１４でＴＴＬの値の妥当性の
チェックを行う。
【００６８】ステップＳ１４の妥当性のチェックにおい
て、先に述べたように初期値αは“５”であり、（初期
値−最大通過ゲートウェイ数）であるβは“３”（＝５
−２）であるが、受信した通信パケットのＴＴＬの値は
“３１”であるため、異常とみなされ、ステップＳ１７
に移行して、該通信パケットは廃棄される。
て、先に述べたように初期値αは“５”であり、（初期
値−最大通過ゲートウェイ数）であるβは“３”（＝５
−２）であるが、受信した通信パケットのＴＴＬの値は
“３１”であるため、異常とみなされ、ステップＳ１７
に移行して、該通信パケットは廃棄される。
【００６９】上述したように、ＩＰヘッダ部分における
ＴＴＬを利用したフィルタリング機能により、ＩＰアド
レスフィルタリングでは検出することができない不正パ
ケットを検出し、廃棄して、端末の不正アクセス防止機
能の信頼性を向上することができる。
ＴＴＬを利用したフィルタリング機能により、ＩＰアド
レスフィルタリングでは検出することができない不正パ
ケットを検出し、廃棄して、端末の不正アクセス防止機
能の信頼性を向上することができる。
【００７０】なお、図１〜図３で説明したこの発明の実
施の形態においては、ＴＴＬ情報を利用したフィルタリ
ングに、ＩＰアドレスによるフィルタリングを併用する
ものとしたが、さらにＭＡＣアドレスに基づくフィルタ
リング処理を行う手段を設けて、ＭＡＣアドレスフィル
タリング機能を併用するようにしてもよい。
施の形態においては、ＴＴＬ情報を利用したフィルタリ
ングに、ＩＰアドレスによるフィルタリングを併用する
ものとしたが、さらにＭＡＣアドレスに基づくフィルタ
リング処理を行う手段を設けて、ＭＡＣアドレスフィル
タリング機能を併用するようにしてもよい。
【００７１】
【発明の効果】以上説明したように、この発明の不正ア
クセス防止方法およびシステムにおいては、複数の支線
ネットワークが結合装置により結合されたネットワーク
内に１以上の論理グループが構成されている通信ネット
ワークの該論理グループにおける不正アクセスを防止す
るために、送信時の通信パケットに含まれるネットワー
ク内存続時間情報の初期値を、予め通信ネットワーク内
に設定した論理グループ内における機密情報として、所
定値に定め、前記結合装置が、前記通信パケットの通過
時に前記ネットワーク内存続時間情報の妥当性をチェッ
クすることにより、前記論理グループの内外間での通過
パケットのフィルタリングを行う。したがって、パケッ
トの既存エリアであるネットワーク内存続時間情報を利
用して不正パケットのフィルタリングを行うことができ
る。
クセス防止方法およびシステムにおいては、複数の支線
ネットワークが結合装置により結合されたネットワーク
内に１以上の論理グループが構成されている通信ネット
ワークの該論理グループにおける不正アクセスを防止す
るために、送信時の通信パケットに含まれるネットワー
ク内存続時間情報の初期値を、予め通信ネットワーク内
に設定した論理グループ内における機密情報として、所
定値に定め、前記結合装置が、前記通信パケットの通過
時に前記ネットワーク内存続時間情報の妥当性をチェッ
クすることにより、前記論理グループの内外間での通過
パケットのフィルタリングを行う。したがって、パケッ
トの既存エリアであるネットワーク内存続時間情報を利
用して不正パケットのフィルタリングを行うことができ
る。
【００７２】すなわち、この発明によれば、パケットの
既存エリアを利用した不正パケットのフィルタリングを
可能とし、パケットのデータ形式にエリアの追加を行う
ことなく、不正パケットの効果的な排除を可能とする不
正アクセス防止方法およびシステムを提供することがで
きる。
既存エリアを利用した不正パケットのフィルタリングを
可能とし、パケットのデータ形式にエリアの追加を行う
ことなく、不正パケットの効果的な排除を可能とする不
正アクセス防止方法およびシステムを提供することがで
きる。
【図１】この発明の実施の形態に係る不正アクセス防止
システムを組み込んだゲートウェイの主要部の構成を示
すブロック図である。
システムを組み込んだゲートウェイの主要部の構成を示
すブロック図である。
【図２】図１のゲートウェイを用いたネットワークシス
テムの構成を示すブロック図である。
テムの構成を示すブロック図である。
【図３】図１のシステムの動作を説明するため、ゲート
ウェイのＩＰヘッダチェック部におけるＩＰヘッダのチ
ェックの流れを示すフローチャートである。
ウェイのＩＰヘッダチェック部におけるＩＰヘッダのチ
ェックの流れを示すフローチャートである。
１，２ ゲートウェイ ３〜５ 端末（端末装置） ６〜８ 支線ＬＡＮ（Local Area Network） １１ ＩＰ（Internet Protocol）ヘッダチェック
部 １２ パケット廃棄処理部 ２１ ＴＴＬ（Time to Live）フィルタリング部 ２１ａ 妥当性チェック部 ２１ｂ フィルタリング処理部 ２２ ＩＰアドレスフィルタリング部
部 １２ パケット廃棄処理部 ２１ ＴＴＬ（Time to Live）フィルタリング部 ２１ａ 妥当性チェック部 ２１ｂ フィルタリング処理部 ２２ ＩＰアドレスフィルタリング部
Claims (10)
- 【請求項１】 複数の支線ネットワークが結合装置によ
り結合されたネットワーク内に１以上の論理グループが
構成されている通信ネットワークにおいて、該論理グル
ープにおける不正アクセスを防止するにあたり、 送信時の通信パケットに含まれるネットワーク内存続時
間情報の初期値を、予め通信ネットワーク内に設定した
論理グループ内における機密情報として、所定値に定め
ておき、 前記結合装置が、前記通信パケットの通過時に前記ネッ
トワーク内存続時間情報の妥当性をチェックすることに
より、前記論理グループの内外間での通過パケットのフ
ィルタリングを行うようにした、ことを特徴とする不正
アクセス防止方法。 - 【請求項２】 前記ネットワーク内存続時間情報は、前
記結合装置の通過毎に減算される情報を含み、且つ前記
機密情報としてのネットワーク内存続時間情報の初期値
は、ネットワーク構成に基づいて予想される前記結合装
置の最大通過数を超える値に設定するとともに、前記ネ
ットワーク内存続時間情報の値が、前記初期値乃至前記
初期値−前記最大通過数の範囲外である場合に前記結合
装置が当該パケットを不正パケットと判断することを特
徴とする請求項１に記載の不正アクセス防止方法。 - 【請求項３】 ＩＰ（インターネットプロトコル）アド
レスに基づくフィルタリングをさらに併用することを特
徴とする請求項１または２に記載の不正アクセス防止方
法。 - 【請求項４】 ＭＡＣ（メディアアクセス制御）アドレ
スに基づくフィルタリングをさらに併用することを特徴
とする請求項１乃至３のうちのいずれか１項に記載の不
正アクセス防止方法。 - 【請求項５】 前記不正パケットは、前記結合装置が廃
棄することを特徴とする請求項１乃至４のうちのいずれ
か１項に記載の不正アクセス防止方法。 - 【請求項６】 複数の支線ネットワークが結合されたネ
ットワーク内に１以上の論理グループが構成されている
通信ネットワークシステムにおいて、 前記支線ネットワークに結合され、通信パケットの送信
時に、該通信パケットに含まれるネットワーク内存続時
間情報の初期値を、予め通信ネットワーク内に設定した
論理グループ内における機密情報として、所定値に設定
するネットワーク内存続時間情報設定手段を有する端末
装置と、 前記通信パケットの通過時に前記ネットワーク内存続時
間情報の妥当性をチェックする妥当性チェック手段、お
よび該妥当性チェック手段のチェック結果に基づいて、
前記論理グループの内外間での通過パケットをフィルタ
リングするフィルタリング処理手段を有し、前記複数の
支線ネットワークを結合するとともに、該論理グループ
における不正アクセスを防止するネットワーク結合手段
と、を具備することを特徴とする不正アクセス防止シス
テム。 - 【請求項７】 前記ネットワーク内存続時間情報は、前
記ネットワーク結合手段の通過毎に減算される情報を含
み、且つネットワーク内存続時間設定手段は、前記機密
情報としてのネットワーク内存続時間情報の初期値を、
ネットワーク構成に基づいて予想される前記ネットワー
ク結合手段の最大通過数を超える値に設定する手段を含
むとともに、前記妥当性チェック手段は、前記ネットワ
ーク内存続時間情報の値が、前記初期値乃至前記初期値
−前記最大通過数の範囲外である場合に当該パケットを
不正パケットと判断する手段を含むことを特徴とする請
求項６に記載の不正アクセス防止システム。 - 【請求項８】 前記ネットワーク結合手段は、ＩＰ（イ
ンターネットプロトコル）アドレスに基づくフィルタリ
ングを行うＩＰアドレスフィルタリング手段をさらに含
むことを特徴とする請求項６または７に記載の不正アク
セス防止システム。 - 【請求項９】 前記ネットワーク結合手段は、ＭＡＣ
（メディアアクセス制御）アドレスに基づくフィルタリ
ングを行うＭＡＣアドレスフィルタリング手段をさらに
含むことを特徴とする請求項６乃至８のうちのいずれか
１項に記載の不正アクセス防止システム。 - 【請求項１０】 前記ネットワーク結合手段は、フィル
タリングによって通過が阻止された不正パケットを廃棄
するパケット廃棄手段を含むことを特徴とする請求項６
乃至９のうちのいずれか１項に記載の不正アクセス防止
システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP6792997A JPH10271154A (ja) | 1997-03-21 | 1997-03-21 | 不正アクセス防止方法およびシステム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP6792997A JPH10271154A (ja) | 1997-03-21 | 1997-03-21 | 不正アクセス防止方法およびシステム |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| JPH10271154A true JPH10271154A (ja) | 1998-10-09 |
Family
ID=13359107
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP6792997A Pending JPH10271154A (ja) | 1997-03-21 | 1997-03-21 | 不正アクセス防止方法およびシステム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JPH10271154A (ja) |
Cited By (18)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001313640A (ja) * | 2000-05-02 | 2001-11-09 | Ntt Data Corp | 通信ネットワークにおけるアクセス種別を判定する方法及びシステム、記録媒体 |
| JP2002033768A (ja) * | 2000-07-18 | 2002-01-31 | Melco Inc | 通信回線制御装置、通信回線制御方法および通信回線制御プログラムを記録した媒体 |
| JP2003527793A (ja) * | 1999-11-29 | 2003-09-16 | フォアスカウト テクノロジース インコポレーテッド | ネットワークにおける、自動的な侵入検出及び偏向のための方法 |
| WO2004030290A1 (ja) * | 2002-09-27 | 2004-04-08 | Matsushita Electric Industrial Co., Ltd. | コンテンツ配信システム |
| WO2004051946A1 (ja) * | 2002-12-02 | 2004-06-17 | Fujitsu Limited | 送信元アドレス偽装パケット検出装置、送信元アドレス偽装パケット検出方法、送信元アドレス偽装パケット検出プログラム |
| JP2005005821A (ja) * | 2003-06-10 | 2005-01-06 | Hitachi Ltd | コンテンツ送信装置、コンテンツ受信装置およびコンテンツ伝送方法 |
| JP2007143020A (ja) * | 2005-11-22 | 2007-06-07 | Nippon Telegr & Teleph Corp <Ntt> | 中継装置および中継装置用プログラム |
| US7523211B2 (en) | 2004-02-25 | 2009-04-21 | Sony Corporation | Information processing apparatus, information processing method, and computer-readable storage medium |
| US7552167B2 (en) | 2001-12-19 | 2009-06-23 | Fujitsu Limited | Communications control method and system with automatic data congestion preventing function |
| US7610380B2 (en) | 2003-05-16 | 2009-10-27 | Sony Corporation | Information processing device, access control processing method, and computer program |
| US7805526B2 (en) | 2003-05-12 | 2010-09-28 | Sony Corporation | Inter-device authentication system, inter-device authentication method, communication device, and computer program |
| WO2010126069A1 (ja) | 2009-04-30 | 2010-11-04 | 日本電気株式会社 | 通信装置、接続方法及び接続プログラム |
| US7836507B2 (en) | 2004-03-19 | 2010-11-16 | Hitachi, Ltd. | Contents transmitter apparatus, contents receiver apparatus and contents transmitting method |
| JP2011015444A (ja) * | 2010-10-07 | 2011-01-20 | Hitachi Ltd | コンテンツ送信装置、コンテンツ受信装置およびコンテンツ伝送方法 |
| US7930536B2 (en) | 2003-05-12 | 2011-04-19 | Sony Corporation | Device-to-device authentication system, device-to-device authentication method, communication apparatus, and computer program |
| US8010792B2 (en) | 2004-01-16 | 2011-08-30 | Hitachi, Ltd. | Content transmission apparatus, content reception apparatus and content transmission method |
| US8107384B2 (en) | 2004-01-15 | 2012-01-31 | Sony Corporation | Information communication system, transmitting apparatus, transmitting method, and computer program |
| WO2019021402A1 (ja) * | 2017-07-26 | 2019-01-31 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 通信装置、通信方法および通信システム |
-
1997
- 1997-03-21 JP JP6792997A patent/JPH10271154A/ja active Pending
Cited By (34)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003527793A (ja) * | 1999-11-29 | 2003-09-16 | フォアスカウト テクノロジース インコポレーテッド | ネットワークにおける、自動的な侵入検出及び偏向のための方法 |
| JP2001313640A (ja) * | 2000-05-02 | 2001-11-09 | Ntt Data Corp | 通信ネットワークにおけるアクセス種別を判定する方法及びシステム、記録媒体 |
| JP2002033768A (ja) * | 2000-07-18 | 2002-01-31 | Melco Inc | 通信回線制御装置、通信回線制御方法および通信回線制御プログラムを記録した媒体 |
| US7552167B2 (en) | 2001-12-19 | 2009-06-23 | Fujitsu Limited | Communications control method and system with automatic data congestion preventing function |
| WO2004030290A1 (ja) * | 2002-09-27 | 2004-04-08 | Matsushita Electric Industrial Co., Ltd. | コンテンツ配信システム |
| KR101015362B1 (ko) | 2002-09-27 | 2011-02-16 | 파나소닉 주식회사 | 콘텐츠 배포 시스템 |
| US7958240B2 (en) | 2002-09-27 | 2011-06-07 | Panasonic Corporation | Group judgment device |
| US7349396B2 (en) | 2002-09-27 | 2008-03-25 | Matsushita Electric Industrial Co., Ltd. | Content distribution system |
| WO2004051946A1 (ja) * | 2002-12-02 | 2004-06-17 | Fujitsu Limited | 送信元アドレス偽装パケット検出装置、送信元アドレス偽装パケット検出方法、送信元アドレス偽装パケット検出プログラム |
| US7805526B2 (en) | 2003-05-12 | 2010-09-28 | Sony Corporation | Inter-device authentication system, inter-device authentication method, communication device, and computer program |
| US7930536B2 (en) | 2003-05-12 | 2011-04-19 | Sony Corporation | Device-to-device authentication system, device-to-device authentication method, communication apparatus, and computer program |
| US7610380B2 (en) | 2003-05-16 | 2009-10-27 | Sony Corporation | Information processing device, access control processing method, and computer program |
| US7644265B2 (en) | 2003-06-10 | 2010-01-05 | Hitachi, Ltd. | Content transmitting device, content receiving device and content transmitting method |
| US8225084B2 (en) | 2003-06-10 | 2012-07-17 | Hitachi, Ltd. | Content transmitting device, content receiving device and content transmitting method |
| JP2005005821A (ja) * | 2003-06-10 | 2005-01-06 | Hitachi Ltd | コンテンツ送信装置、コンテンツ受信装置およびコンテンツ伝送方法 |
| US8107384B2 (en) | 2004-01-15 | 2012-01-31 | Sony Corporation | Information communication system, transmitting apparatus, transmitting method, and computer program |
| US8468350B2 (en) | 2004-01-16 | 2013-06-18 | Hitachi, Ltd. | Content transmission apparatus, content reception apparatus and content transmission method |
| US8010792B2 (en) | 2004-01-16 | 2011-08-30 | Hitachi, Ltd. | Content transmission apparatus, content reception apparatus and content transmission method |
| US7523211B2 (en) | 2004-02-25 | 2009-04-21 | Sony Corporation | Information processing apparatus, information processing method, and computer-readable storage medium |
| US7836507B2 (en) | 2004-03-19 | 2010-11-16 | Hitachi, Ltd. | Contents transmitter apparatus, contents receiver apparatus and contents transmitting method |
| US8209534B2 (en) | 2004-03-19 | 2012-06-26 | Hitachi, Ltd. | Contents transmitter apparatus, contents receiver apparatus and contents transmitting method |
| JP4551316B2 (ja) * | 2005-11-22 | 2010-09-29 | 日本電信電話株式会社 | 中継装置および中継装置用プログラム |
| JP2007143020A (ja) * | 2005-11-22 | 2007-06-07 | Nippon Telegr & Teleph Corp <Ntt> | 中継装置および中継装置用プログラム |
| US9030993B2 (en) | 2009-04-30 | 2015-05-12 | Lenovo Innovations Limited (Hong Kong) | Communication device, connection method and storage medium |
| WO2010126069A1 (ja) | 2009-04-30 | 2010-11-04 | 日本電気株式会社 | 通信装置、接続方法及び接続プログラム |
| JP2011015444A (ja) * | 2010-10-07 | 2011-01-20 | Hitachi Ltd | コンテンツ送信装置、コンテンツ受信装置およびコンテンツ伝送方法 |
| WO2019021402A1 (ja) * | 2017-07-26 | 2019-01-31 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 通信装置、通信方法および通信システム |
| WO2019021995A1 (ja) * | 2017-07-26 | 2019-01-31 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 通信装置、通信方法及び通信システム |
| CN109845195A (zh) * | 2017-07-26 | 2019-06-04 | 松下电器（美国）知识产权公司 | 通信装置、通信方法以及通信*** |
| US20190239221A1 (en) * | 2017-07-26 | 2019-08-01 | Panasonic Intellectual Property Corporation Of America | Communication device, communication method, and communication system |
| JPWO2019021995A1 (ja) * | 2017-07-26 | 2020-05-28 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ | 通信装置、通信方法及び通信システム |
| US10904883B2 (en) | 2017-07-26 | 2021-01-26 | Panasonic Intellectual Property Corporation Of America | Communication device, communication method, and communication system |
| CN109845195B (zh) * | 2017-07-26 | 2022-01-18 | 松下电器（美国）知识产权公司 | 通信装置、通信方法以及通信*** |
| US11553484B2 (en) | 2017-07-26 | 2023-01-10 | Panasonic Intellectual Property Corporation Of America | Communication device, communication method, and communication system |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JPH10271154A (ja) | 不正アクセス防止方法およびシステム | |
| US7360245B1 (en) | Method and system for filtering spoofed packets in a network | |
| US7061899B2 (en) | Method and apparatus for providing network security | |
| US7930740B2 (en) | System and method for detection and mitigation of distributed denial of service attacks | |
| US7836488B2 (en) | Authentic device admission scheme for a secure communication network, especially a secure IP telephony network | |
| US7873038B2 (en) | Packet processing | |
| US8001244B2 (en) | Deep packet scan hacker identification | |
| CN101411156B (zh) | 对网络入侵者的自动阻止 | |
| US6487666B1 (en) | Intrusion detection signature analysis using regular expressions and logical operators | |
| CN1938982B (zh) | 通过认证因特网控制消息协议分组来防止网络攻击的方法和装置 | |
| EP1463239A2 (en) | Protection of network infrastructure and secure communication of control information thereto | |
| US20080250496A1 (en) | Frame Relay Device | |
| EP2309685B1 (en) | A method and apparatus for realizing forwarding the reversal transmission path of the unique address | |
| WO2004070583A2 (en) | Wireless network control and protection system | |
| US8406223B2 (en) | Mechanism for protecting H.323 networks for call set-up functions | |
| US20090122784A1 (en) | Method and device for implementing the security of the backbone network | |
| JP2001249866A (ja) | ファイアウォール機能を分散させたネットワーク、ファイアウォール分散機能を有するファイアウォールサーバ、及びファイアウォール機能を有するエッジノード | |
| US20210014253A1 (en) | Device and method for intrusion detection in a communications network | |
| JP4093075B2 (ja) | 不正データ検出方法及び車載機器 | |
| US20090222904A1 (en) | Network access node computer for a communication network, communication system and method for operating a communication system | |
| US20060225141A1 (en) | Unauthorized access searching method and device | |
| JP2002158699A (ja) | ＤｏＳ攻撃防止方法および装置およびシステムおよび記録媒体 | |
| US20180241770A1 (en) | Communication system and repeater | |
| JPH09307580A (ja) | 不正パケット防止方法およびブリッジ装置 | |
| JPH07170279A (ja) | Ｌａｎブリッジシステムにおけるユーザグループ 設定方式 |