特許 7404922 通信制御装置および通信制御方法並びに通信制御方法のプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-12-18

(45)【発行日】2023-12-26

(54)【発明の名称】通信制御装置および通信制御方法並びに通信制御方法のプログラム

(51)【国際特許分類】

   H04L 12/22 20060101AFI20231219BHJP

   H04L 12/66 20060101ALI20231219BHJP

【ＦＩ】

H04L12/22

H04L12/66

【請求項の数】 10

(21)【出願番号】P 2020027039

(22)【出願日】2020-02-20

(65)【公開番号】P2021132316

(43)【公開日】2021-09-09

【審査請求日】2022-11-08

(73)【特許権者】

【識別番号】000000295

【氏名又は名称】沖電気工業株式会社

(74)【代理人】

【識別番号】110001461

【氏名又は名称】弁理士法人きさ特許商標事務所

(72)【発明者】

【氏名】東條 臣行

【審査官】宮島 郁美

(56)【参考文献】

【文献】特開２０１６－０９９８７８（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１８／０３５９６３９（ＵＳ，Ａ１）

【文献】特開２００３－０９１５０３（ＪＰ，Ａ）

【文献】特開２００１－３２６６９６（ＪＰ，Ａ）

【文献】米国特許出願公開第２００７／００４４１５５（ＵＳ，Ａ１）

【文献】特開２００６－３５２４７６（ＪＰ，Ａ）

【文献】特表２０１７－５１３２７４（ＪＰ，Ａ）

【文献】米国特許出願公開第２０１５／０２４９６４５（ＵＳ，Ａ１）

【文献】国際公開第２０１５／１３０８１２（ＷＯ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ１２／００－１２／６６，１３／００，４１／００－４９／９０５７，６１／００－６５／８０，６９／００－６９／４０

(57)【特許請求の範囲】

【請求項1】

端末装置からの信号を、あらかじめ決められた特定の通信ポートを介して通信させるかどうかを判定する通信制御装置であって、
特定の前記通信ポートの開放要求が送られる信号に関する条件の設定および設定変更に係る処理を行い、前記条件のデータを通信設定データとして生成する設定変更処理部と、
前記通信ポートの管理を行うファイヤウォール部と、
前記通信設定データに基づいて、前記端末装置から送られた信号が、前記条件を満たしているかどうかを判定し、前記条件を満たしていると判定すると、前記ファイヤウォール部に、特定の前記通信ポートを開放させる条件監視部と、
ＬＡＮによって通信接続された前記端末装置に対してアドレスを付与する処理を行うＤＨＣＰサーバ部と
を備え、
前記設定変更処理部は、前記端末装置毎に前記条件の前記設定または前記設定変更に係る処理を行い、
前記ＤＨＣＰサーバ部は、前記端末装置に送る信号に、前記設定変更処理部が前記端末装置に対して前記設定または前記設定変更した前記条件に係る前記通信設定データを含めて送る通信制御装置。

【請求項2】

端末装置からの信号を、あらかじめ決められた特定の通信ポートを介して通信させるかどうかを判定する通信制御装置であって、
特定の前記通信ポートの開放要求が送られる信号に関する条件の設定および設定変更に係る処理を行い、前記条件のデータを通信設定データとして生成する設定変更処理部と、
前記通信ポートの管理を行うファイヤウォール部と、
前記通信設定データに基づいて、前記端末装置から送られた信号が、前記条件を満たしているかどうかを判定し、前記条件を満たしていると判定すると、前記ファイヤウォール部に、特定の前記通信ポートを開放させる条件監視部とを備え、
前記条件監視部は、前記条件を満たしていると判定した信号の送信元となる前記端末装置のアドレスおよび特定の前記通信ポートを開放した日時のデータを、ログデータとして生成処理する通信制御装置。

【請求項3】

ログ表示要求に基づき、前記ログデータを含む信号を、前記ログ表示要求に係る端末装置に送る処理を行うログ表示処理部をさらに備える請求項２に記載の通信制御装置。

【請求項4】

端末装置からの信号を、あらかじめ決められた特定の通信ポートを介して通信させるかどうかを判定する通信制御装置であって、
特定の前記通信ポートの開放要求が送られる信号に関する条件の設定および設定変更に係る処理を行い、前記条件のデータを通信設定データとして生成する設定変更処理部と、
前記通信ポートの管理を行うファイヤウォール部と、
前記通信設定データに基づいて、前記端末装置から送られた信号が、前記条件を満たしているかどうかを判定し、前記条件を満たしていると判定すると、前記ファイヤウォール部に、特定の前記通信ポートを開放させる条件監視部とを備え、
前記条件監視部は、前記端末装置からの前記信号に含まれる実データがあらかじめ定められた内容であると判定すると、前記条件を満たしているかどうかを判定する通信制御装置。

【請求項5】

端末装置からの信号を、あらかじめ決められた特定の通信ポートを介して通信させるかどうかを判定する通信制御装置であって、
特定の前記通信ポートの開放要求が送られる信号に関する条件の設定および設定変更に係る処理を行い、前記条件のデータを通信設定データとして生成する設定変更処理部と、
前記通信ポートの管理を行うファイヤウォール部と、
前記通信設定データに基づいて、前記端末装置から送られた信号が、前記条件を満たしているかどうかを判定し、前記条件を満たしていると判定すると、前記ファイヤウォール部に、特定の前記通信ポートを開放させる条件監視部と、
前記通信が許可され、特定の前記通信ポートから送られる信号に基づいて、装置の保守に係る処理を行う保守処理部と
を備える通信制御装置。

【請求項6】

前記設定変更処理部は、前記端末装置毎に前記条件の前記設定または前記設定変更に係る処理を行う請求項２～請求項５のいずれか一項に記載の通信制御装置。

【請求項7】

前記設定変更処理部は、特定の前記通信ポート以外の前記通信ポートの指定および前記指定の順番を前記条件として、前記設定または前記設定変更に係る処理を行う請求項１～請求項６のいずれか一項に記載の通信制御装置。

【請求項8】

特定の前記通信ポートは、ＳＳＨ接続を行う前記通信ポートである請求項１～請求項７のいずれか一項に記載の通信制御装置。

【請求項9】

端末装置からの特定の通信ポートを開放要求する信号が、設定された条件を満たしていると判定すると、特定の前記通信ポートを介して通信させる通信制御方法であって、
特定の前記通信ポートの開放要求が送られる信号に関する前記条件の設定変更が行われる工程と、
前記設定変更に係る処理を行い、新たな前記条件に係るデータを通信設定データとして生成する工程と、
前記通信設定データに基づいて、前記端末装置から送られた信号が、前記条件を満たしていると判定した信号の送信元となる前記端末装置のアドレスおよび特定の前記通信ポートを開放した日時のデータを、ログデータとして生成する工程と
を有する通信制御方法。

【請求項10】

端末装置からの特定の通信ポートを開放要求する信号が、設定された条件を満たしていると判定すると、特定の前記通信ポートを介して通信させる通信制御方法のプログラムであって、
特定の前記通信ポートの開放要求が送られる信号に関する前記条件の設定変更が行われる工程と、
前記設定変更に係る処理を行い、新たな前記条件に係るデータを通信設定データとして生成する工程と、
前記通信設定データに基づいて、前記端末装置から送られた信号が、前記条件を満たしていると判定した信号の送信元となる前記端末装置のアドレスおよび特定の前記通信ポートを開放した日時のデータを、ログデータとして生成する工程と
をコンピュータに行わせる通信制御方法のプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

この発明は、通信制御装置および通信制御方法並びに通信制御方法のプログラムに関するものである。特に、不正アクセスに対する防御に関するものである。

【背景技術】

【0002】

一般的に、ホームゲートウェイ装置（以下、ＨＧＷという）などの通信制御装置は、インターネットなどの公衆電気通信回線網と接続されるＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）側インターフェースと、コンピュータなどの端末装置と接続されるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）側インターフェースとを有している。そして、ＬＡＮ側の端末装置からＨＧＷの設定変更などの保守を行う場合、端末装置の表示装置に、ブラウザなどによる設定変更に係るＷＥＢ画面を表示させ、ＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）によって保守作業が行われる。一方、ＷＡＮ側からＨＧＷを保守する場合、公衆電気通信回線網に接続された端末装置から、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）接続を利用し、遠隔操作などを行って、公衆電気通信回線網を介した保守作業が行われる。

【0003】

ここで、ＷＡＮ側から保守を行う際、ＳＳＨによる接続（以下、ＳＳＨ接続という）を行う通信ポート（以下、ＳＳＨポートという）が常時開放された状態にしておくと、不正アクセスされる懸念がある。そこで、一般的に用いられていない第２のポート番号をＳＳＨポートの番号として使用し、第２のポート番号を介してアクセスする方法などがある。また、サービスサーバおよびポート制御サーバを設置して、ＷＡＮ側の端末装置の要求に基づき、サービスサーバがＬＡＮ側の端末装置にアクセスして、ＬＡＮ側の端末装置からＨＧＷにアクセスさせる方法が開示されている（たとえば、特許文献１参照）。

【先行技術文献】

【特許文献】

【0004】

【文献】特開２００７－０７２８５６号公報

【発明の概要】

【発明が解決しようとする課題】

【0005】

しかしながら、第２のポート番号をＳＳＨポートの番号として使用する場合には、ＳＳＨ接続を試みるクライアント装置が、第２のポート番号を介して行った要求に装置が応答する。このため、ＳＳＨポートが判明されやすい。また、特許文献１の場合には、サービスサーバおよびポート制御サーバの構築などが必要となるため、装置構成および処理が複雑になる。

【0006】

そこで、より簡単に不正アクセスに対する防御を行うことができる通信制御装置および通信制御方法並びに通信制御方法のプログラムの実現が望まれていた。

【課題を解決するための手段】

【0007】

上述した課題を解決するため、この発明における通信制御装置は、端末装置からの信号を、あらかじめ決められた特定の通信ポートを介して通信させるかどうかを判定する通信制御装置であって、特定の通信ポートの開放要求が送られる信号に関する条件の設定および設定変更に係る処理を行い、条件のデータを通信設定データとして生成する設定変更処理部と、通信ポートの管理を行うファイヤウォール部と、通信設定データに基づいて、端末装置から送られた信号が、条件を満たしているかどうかを判定し、条件を満たしていると判定すると、ファイヤウォール部に、特定の通信ポートを開放させる条件監視部と、ＬＡＮによって通信接続された端末装置に対してアドレスを付与する処理を行うＤＨＣＰサーバ部とを備え、設定変更処理部は、端末装置毎に条件の設定または設定変更に係る処理を行い、ＤＨＣＰサーバ部は、端末装置に送る信号に、設定変更処理部が端末装置に対して設定または設定変更した条件に係る通信設定データを含めて送るものである。
また、この発明における通信制御装置は、端末装置からの信号を、あらかじめ決められた特定の通信ポートを介して通信させるかどうかを判定する通信制御装置であって、特定の通信ポートの開放要求が送られる信号に関する条件の設定および設定変更に係る処理を行い、条件のデータを通信設定データとして生成する設定変更処理部と、通信ポートの管理を行うファイヤウォール部と、通信設定データに基づいて、端末装置から送られた信号が、条件を満たしているかどうかを判定し、条件を満たしていると判定すると、ファイヤウォール部に、特定の通信ポートを開放させる条件監視部とを備え、条件監視部は、条件を満たしていると判定した信号の送信元となる端末装置のアドレスおよび特定の通信ポートを開放した日時のデータを、ログデータとして生成処理するものである。
さらに、この発明における通信制御装置は、端末装置からの信号を、あらかじめ決められた特定の通信ポートを介して通信させるかどうかを判定する通信制御装置であって、特定の通信ポートの開放要求が送られる信号に関する条件の設定および設定変更に係る処理を行い、条件のデータを通信設定データとして生成する設定変更処理部と、通信ポートの管理を行うファイヤウォール部と、通信設定データに基づいて、端末装置から送られた信号が、条件を満たしているかどうかを判定し、条件を満たしていると判定すると、ファイヤウォール部に、特定の通信ポートを開放させる条件監視部とを備え、条件監視部は、端末装置からの信号に含まれる実データがあらかじめ定められた内容であると判定すると、条件を満たしているかどうかを判定するものである。
そして、この発明における通信制御装置は、端末装置からの信号を、あらかじめ決められた特定の通信ポートを介して通信させるかどうかを判定する通信制御装置であって、特定の通信ポートの開放要求が送られる信号に関する条件の設定および設定変更に係る処理を行い、条件のデータを通信設定データとして生成する設定変更処理部と、通信ポートの管理を行うファイヤウォール部と、通信設定データに基づいて、端末装置から送られた信号が、条件を満たしているかどうかを判定し、条件を満たしていると判定すると、ファイヤウォール部に、特定の通信ポートを開放させる条件監視部と、通信が許可され、特定の通信ポートから送られる信号に基づいて、装置の保守に係る処理を行う保守処理部とを備えるものである。

【0008】

また、この発明における通信制御方法は、端末装置からの特定の通信ポートを開放要求する信号が、設定された条件を満たしていると判定すると、特定の通信ポートを介して通信させる通信制御方法であって、特定の通信ポートの開放要求が送られる信号に関する条件の設定変更が行われる工程と、設定変更に係る処理を行い、新たな条件に係るデータを通信設定データとして生成する工程と、通信設定データに基づいて、端末装置から送られた信号が、条件を満たしていると判定した信号の送信元となる端末装置のアドレスおよび特定の通信ポートを開放した日時のデータを、ログデータとして生成する工程とを有するものである。

【0009】

そして、この発明における通信制御方法のプログラムは、端末装置からの特定の通信ポートを開放要求する信号が、設定された条件を満たしていると判定すると、特定の通信ポートを介して通信させる通信制御方法のプログラムであって、特定の通信ポートの開放要求が送られる信号に関する条件の設定変更が行われる工程と、設定変更に係る処理を行い、新たな条件に係るデータを通信設定データとして生成する工程と、通信設定データに基づいて、端末装置から送られた信号が、条件を満たしていると判定した信号の送信元となる端末装置のアドレスおよび特定の通信ポートを開放した日時のデータを、ログデータとして生成する工程とをコンピュータに行わせるものである。

【発明の効果】

【0010】

この発明によれば、通信制御装置において、特定の通信ポートの開放要求に係る信号が満たす条件の設定および設定変更ができるようにした。このため、不正アクセスが行われたときまたは行われないように条件の変更を行うことができ、通信制御装置に対する不正アクセスを防御し、リスク軽減をはかることができる。

【図面の簡単な説明】

【0011】

【図1】実施の形態１に係る通信制御装置１００を中心とする通信システムの構成を示す図である。

【図2】実施の形態１に係る通信制御装置１００の構成を示す図である。

【図3】実施の形態１に係る端末装置の構成を示す図である。

【図4】実施の形態１に係る設定変更処理部１１１から送られる設定画面の一例を示す図である。

【図5】実施の形態１に係るノッキング監視部１１２のノッキング監視のプロセスの流れを示す図である。

【図6】実施の形態１に係る通信制御装置１００を中心とする通信に係るシーケンスを示す図である。

【図7】実施の形態２の通信制御装置１００における構成を示す図である。

【発明を実施するための形態】

【0012】

以下、この発明の実施の形態について、図面を参照しつつ、説明する。ここで、以下の図面において、同一の符号を付したものは、同一またはこれに相当するものであり、以下に記載する実施の形態の全文において共通することとする。また、明細書全文に示されている構成要素の形態は、あくまで例示であってこれらの記載に限定されるものではない。特に構成要素の組み合わせは、各実施の形態における組み合わせのみに限定するものではなく、他の実施の形態に記載した構成要素を別の実施の形態に適宜、適用することができる。また、添字で区別などしている複数の同種の機器などについて、特に区別したり、特定したりする必要がない場合には、添字などを省略して記載する場合がある。

【0013】

実施の形態１．
図１は、実施の形態１に係る通信制御装置１００を中心とする通信システムの構成を示す図である。実施の形態１における通信制御装置１００は、たとえば、インターネットなどの公衆電気通信回線網であるＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）１０００とＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）２０００との間で、信号の中継および各ネットワークに合わせたプロトコル変換処理などを行うＨＧＷである。ここで、実施の形態１において、信号はパケット単位で送られるものとする。そして、パケット単位での信号を表す場合には、特に、パケット信号として説明する。

【0014】

通信制御装置１００は、複数の端末装置と通信を行うことができる。そして、通信制御装置１００は、ＷＡＮ１０００を介して、複数のＷＡＮ側端末装置３００と通信可能に接続されている。実施の形態１におけるＷＡＮ側端末装置３００は、ＳＳＨ（Ｓｅｃｕｒｅ Ｓｈｅｌｌ）クライアントとなる。図１では、２台のＷＡＮ側端末装置３００ＡおよびＷＡＮ側端末装置３００Ｂが記載されている。ＷＡＮ側端末装置３００ＡおよびＷＡＮ側端末装置３００Ｂは、ＷＡＮ１０００を介して、通信制御装置１００との間で信号の送受信である通信を行うことができる。ここで、２台のＷＡＮ側端末装置３００のうち、ＷＡＮ側端末装置３００Ｂは、不正アクセスを試みようとする者が有する装置であるものとする。ＷＡＮ側端末装置３００となる端末装置の構成については後述する。また、通信制御装置１００は、ＬＡＮ２０００を介して、１台または複数台のＬＡＮ側端末装置２００と接続されている。図１では、１台のＬＡＮ側端末装置２００がＬＡＮ２０００を介した信号の送受信を行うことができ、通信制御装置１００と通信を行うことができる。特に限定するものではないが、実施の形態１のＬＡＮ側端末装置２００についてもＳＳＨクライアントとなる。ＬＡＮ側端末装置２００となる端末装置の構成については後述する。

【0015】

図２は、実施の形態１に係る通信制御装置１００の構成を示す図である。図２に示すように、実施の形態１の通信制御装置１００は、通信制御処理部１１０、ＷＡＮ側通信部１２０、ＬＡＮ側通信部１３０、通信記憶部１４０および計時部１５０を有する。ＷＡＮ側通信部１２０は、通信制御処理部１１０が、ＷＡＮ１０００を介して接続されたＷＡＮ側端末装置３００との間で、各種データを含む信号の通信を行う際のインターフェースとなる。ＬＡＮ側通信部１３０は、通信制御処理部１１０がＬＡＮ２０００を介して接続されたＬＡＮ側端末装置２００との間で、各種データを含む信号の通信を行う際のインターフェースとなる。通信記憶部１４０は、通信制御処理部１１０が各種処理を行う際に必要となるデータを一時的および長期的に記憶する。また、計時部１５０は、タイマなどを有し、通信制御処理部１１０が判定などに用いる時間および後述するログデータに含む日時などの計時を行う。

【0016】

通信制御処理部１１０は、通信制御装置１００全体の制御を行い、通信に係る信号の処理などを行う。特に、実施の形態１においては、通信制御処理部１１０は、ＳＳＨクライアントとなる端末装置からの要求に基づく処理などを行う。実施の形態１の通信制御処理部１１０は、設定変更処理部１１１、ノッキング監視部１１２、ファイヤウォール部１１３、ＳＳＨサーバ処理部１１４、ログ表示処理部１１５および保守処理部１１６を有する。

【0017】

設定変更処理部１１１は、端末装置などから通信制御装置１００の通信に関する設定または設定変更が要求されると、後述するように、ＬＡＮ側端末装置２００のＷＥＢブラウザ４６１上に表示させる設定画面のデータを含む信号を要求された装置に送る。したがって、実施の形態１においては、設定変更処理部１１１は、ＷＥＢサーバとしての機能を有し、処理を行う。そして、設定変更処理部１１１は、装置などから設定画面に基づいて行われた設定に関する信号が送られると、設定処理を行い、設定に関するデータを生成する。設定変更処理部１１１は、設定に関するデータを、通信設定データとして通信記憶部１４０に記憶させる。ここで、実施の形態１においては、ＬＡＮ側端末装置２００が、ＷＥＢの設定画面に基づく設定を行うものとして説明する。設定内容などについては、後述する。

【0018】

条件監視部となるノッキング監視部１１２は、設定変更処理部１１１によって設定された通信設定データに基づいて、ＳＳＨポートの開放要求に係る信号が満たす条件となるポートノッキングのノッキング監視処理を行う。ノッキング監視部１１２は、ＳＳＨクライアントであるＬＡＮ側端末装置２００またはＷＡＮ側端末装置３００からのノッキングが手順通りの条件で行われたものと判定すると、ファイヤウォール部１１３にＳＳＨポートを開放させる。そして、ノッキング監視部１１２は、ポートノッキングにより、ＳＳＨポートが開放されたことを検出すると、計時部１５０の計時に基づき、ノッキングの検出日時および信号送信元アドレスなどのＳＳＨポートに係るログのデータを作成する。そして、ノッキング監視部１１２は、作成したログのデータを、ログデータとして通信記憶部１４０に記憶させる。実施の形態１では、検出日時と信号送信元アドレスとをログデータとするが、他のデータをログデータに含めてもよい。ここで、ポートノッキングは、特定の通信ポートを開放する条件を定めておき、条件を満たすと、特定の通信ポートを開放して、ファイヤウォールに穴を空けられるようにする仕組みの１つである。ポートノッキングは、事前に決められた通信ポートに、決められた順番でパケット信号が送信されると、特定の通信ポートを開放する。たとえば、ポートノッキングをＳＳＨ接続に利用した場合、ＨＧＷは、ポートノッキング用に事前に決められた通信ポートに、決められた順番でパケット信号を受信したものと判定すると、特定の通信ポートであるＳＳＨポートを介したアクセスを許可する。ノッキング監視部１１２が行う監視処理については、後述する。

【0019】

ファイヤウォール部１１３は、いわゆるファイヤウォールとして機能し、各種通信ポートを管理し、信号通過の許可または不許可の判断などを行う。ファイヤウォール部１１３は、特に、ＷＡＮ１０００側からの不正アクセスによる信号の送受信を防ぐ処理を行う。実施の形態１では、ファイヤウォール部１１３は、初期状態では、ＷＡＮ１０００を介して送られる信号の通過を許可しない（拒否する）。そして、ファイヤウォール部１１３は、ノッキング監視部１１２からの指示により、ファイヤウォールに設定されたルールに基づいてＳＳＨポートを開放し、ＳＳＨ接続による信号通過に係るアクセスを許可する。

【0020】

ＳＳＨサーバ処理部１１４は、いわゆるＳＳＨサーバとして機能し、ファイヤウォール部１１３のＳＳＨポートを通過した信号の処理を行う。ログ表示処理部１１５は、他の装置からログ表示要求に係る信号が送られると、通信記憶部１４０に記憶されたログデータを、表示要求された装置に表示させる処理を行う。保守処理部１１６は、ＳＳＨポートを介して信号の送受信可能に接続されたＷＡＮ側端末装置３００からの遠隔操作指示の信号に基づき、通信制御装置１００の保守作業を行う。

【0021】

ここで、通信制御処理部１１０は、通常、たとえば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を中心とするコンピュータなどの制御演算処理を行う装置がハードウェアとして構成されている。そして、通信制御処理部１１０は、各部が行う処理の手順を、あらかじめプログラム化しておき、そのプログラムを実行して、各部の処理を実現する。ここで、たとえば、通信記憶部１４０が、プログラムのデータを有する。ただし、処理の実現をプログラムの実行だけに限定するものではなく、各部を別個に専用機器で構成して、実現してもよい。また、通信記憶部１４０は、データを一時的に記憶できるランダムアクセスメモリ（ＲＡＭ）などの揮発性記憶装置（図示せず）およびハードディスク、フラッシュメモリなどの不揮発性の補助記憶装置（図示せず）を、ハードウェアとなる装置として有する。

【0022】

実施の形態１の通信制御装置１００は、通信制御処理部１１０の設定変更処理部１１１が行う処理により、ＳＳＨ接続に係るポートノッキングにおけるノッキング手順などの設定を変更可能にするものである。そして、ポートノッキングに係るログデータを通信記憶部１４０に記憶しておき、ログデータの内容を他の装置などに表示させることができる。そして、管理者などが、不正アクセスが試みられたと判断した場合には、通信に関する設定を変更して、同様のノッキング手順による不正アクセスを行えないようにする。

【0023】

図３は、実施の形態１に係る端末装置の構成を示す図である。ここで、実施の形態１におけるＬＡＮ側端末装置２００およびＷＡＮ側端末装置３００の構成について説明する。実施の形態１のＬＡＮ側端末装置２００およびＷＡＮ側端末装置３００は、端末入力部４１０、端末出力部４２０、端末通信部４３０、端末制御処理部４４０、端末記憶部４５０を有する。

【0024】

端末入力部４１０は、使用者の指示およびデータなどを含む信号を端末制御処理部４４０に送る。端末入力部４１０は、たとえば、キーボード、マウス、タッチパネルなどの入力装置である。また、端末出力部４２０は、端末制御処理部４４０からの信号に基づき、たとえば、表示画面の表示または音声出力などを行う。端末出力部４２０は、たとえば、ディスプレイ、スピーカなどの出力装置である。実施の形態１では、たとえば、表示装置であるディスプレイにＷＥＢブラウザ４６１を表示し、信号により送られるデータに基づいて、文字および画像などをＷＥＢブラウザ４６１内に表示する。端末通信部４３０は、端末制御処理部４４０が、ＷＡＮ１０００およびＬＡＮ２０００などのネットワークを介して、通信制御装置１００などと各種データを含む信号を通信する際のインターフェースとなる。

【0025】

端末制御処理部４４０は、端末装置の各部の制御を行う。ここでは、端末制御処理部４４０は、端末記憶部４５０に記憶されたＷＥＢブラウザ４６１またはノッキングツール４６２などのアプリケーションプログラムを実行処理する。そして、端末制御処理部４４０は、たとえば、端末入力部４１０から入力される指示およびデータ、端末通信部４３０の通信による信号に含まれるデータなどの処理を行う。ここで、端末制御処理部４４０は、通信制御処理部１１０と同様に、コンピュータなどがハードウェアとなる装置で構成されている。

【0026】

端末記憶部４５０は、端末制御処理部４４０が処理を行うためのデータを一時的または長期的に記憶する。実施の形態１では、たとえば、端末制御処理部４４０が実行するＷＥＢブラウザ４６１、ノッキングツール４６２およびＳＳＨクライアントツール４６３のアプリケーションソフトに関するデータなどを記憶する。また、ＷＥＢブラウザ４６１、ノッキングツール４６２およびＳＳＨクライアントツール４６３を処理する際に必要となる端末出力部４２０に表示などさせる文字および画像などのデータを記憶する。ここで、端末記憶部４５０は、通信記憶部１４０と同様に、揮発性記憶装置（図示せず）および補助記憶装置（図示せず）などをハードウェアとなる装置として有する。

【0027】

実施の形態１の端末装置は、ＷＥＢブラウザ４６１、ノッキングツール４６２およびＳＳＨクライアントツール４６３などのアプリケーションソフトのデータを有し、端末制御処理部４４０がアプリケーションソフトを実行処理する。ここで、実施の形態１のＬＡＮ側端末装置２００は、少なくともＷＥＢブラウザ４６１を有する。また、実施の形態１のＷＡＮ側端末装置３００は、少なくともノッキングツール４６２およびＳＳＨクライアントツール４６３を有する。

【0028】

端末制御処理部４４０がＷＥＢブラウザ４６１を実行することで、通信制御装置１００から送られる信号に含まれるデータに基づき、端末出力部４２０にＷＥＢ画面を表示させ、端末入力部４１０から入力されたデータを含む信号を送るための処理を行う。実施の形態１では、特に、通信制御装置１００における設定変更処理部１１１からのポートノッキングの設定画面を表示させ、ポート番号のデータなどを信号に含めて送る処理を行う。

【0029】

また、端末制御処理部４４０がノッキングツール４６２を実行することで、通信制御装置１００において、通信設定データとして設定されたノッキング手順に応じたパケット信号の送信を行うことができる。ここで、実施の形態１において、ポートノッキング用のノッキングツール４６２ではなく、一般的なパケット送信ツールを有し、実行してもよい。ただし、実施の形態１では、ノッキングツール４６２を実行することで、ポートノッキング用のパケット信号であることを判別することができるように、あらかじめ規定したペイロード部分のデータ（実データ）とする信号を送信するようにする。そして、ノッキング監視部１１２が実データをチェックして、規定したデータでないと判定すると、ポートノッキング用のパケット信号として扱わないようにする。これにより、ノッキング手順と偶然に一致したパケット信号によるポートノッキングを防ぐことができ、セキュリティを向上させることができる。

【0030】

そして、端末制御処理部４４０がＳＳＨクライアントツール４６３を実行することで、端末装置がＳＳＨクライアントとして機能し、ＳＳＨ接続が可能となる。

【0031】

図４は、実施の形態１に係る設定変更処理部１１１から送られる設定画面の一例を示す図である。図４に示す設定画面では、ポートノッキングによるＳＳＨ接続を行うかどうかを設定するＳＳＨノッキング機能設定の有効または無効を設定することができる。図４では、ＳＳＨノッキング機能設定は、有効に設定されている。また、ノッキングを行うポート番号とノッキングの順序を設定することができる。図４では、第１パケットは、ＵＤＰポートの１００００番に設定されている。同様に、第２パケットは、ＵＤＰポートの２００００番に設定されており、第３パケットは、ＵＤＰポートの３００００番に設定されている。設定変更処理部１１１は、設定画面に入力されたデータを通信設定データとして、通信記憶部１４０に記憶する。

【0032】

図５は、実施の形態１に係るノッキング監視部１１２のノッキング監視のプロセスの流れを示す図である。ノッキング監視部１１２は、パケット信号を受信すると（ステップＳ１）、ノッキングに係る第１パケットの検出待ち状態かどうかを判定する（ステップＳ２）。ノッキング監視部１１２は、第１パケットの検出待ちであると判定すると、パケット信号の実データ部分および通信設定データに基づいて、第１パケットを検出したかどうかを判定する（ステップＳ３）。ノッキング監視部１１２は、第１パケットを検出しなかったと判定すると、ノッキングに係るパケットではないとして、ステップＳ１に戻って処理を続ける。

【0033】

また、ノッキング監視部１１２は、ステップＳ２において第１パケットの検出待ち状態でないまたはステップＳ３において第１パケットを検出したと判定すると、第２パケットの検出待ち状態かどうかを判定する（ステップＳ４）。ノッキング監視部１１２は、第２パケットの検出待ちであると判定すると、パケット信号の実データ部分および通信設定データに基づいて、第２パケットを検出したかどうかを判定する（ステップＳ５）。ノッキング監視部１１２は、第２パケットを検出しなかったと判定すると、ノッキングに係るパケットではないとして、ステップＳ１に戻って処理を続ける。

【0034】

ノッキング監視部１１２は、ステップＳ４で第２パケットの検出待ち状態でないまたはステップＳ５で第２パケットを検出したと判定すると、パケット信号の実データ部分および通信設定データから、第３パケットを検出したかどうかを判定する（ステップＳ６）。ノッキング監視部１１２は、第３パケットを検出しなかったと判定すると、ノッキングに係るパケットではないとして、ステップＳ１に戻って処理を続ける。

【0035】

一方、ノッキング監視部１１２は、ステップＳ６において第３パケットを検出したと判定すると、ログデータを作成して、通信記憶部１４０に記憶させる（ステップＳ７）。そして、ノッキング監視部１１２は、ファイヤウォールルールを設定し、ファイヤウォール部１１３にＳＳＨポートを介して信号を通過させるアクセスを許可する（ステップＳ８）。ノッキング監視部１１２は、計時部１５０の計時に基づき、設定時間が経過したものと判定すると（ステップＳ９）、ファイヤウォールルールを削除し、ＳＳＨポートを介してのアクセスを不許可にする（ステップＳ１０）。

【0036】

図６は、実施の形態１に係る通信制御装置１００を中心とする通信に係るシーケンスを示す図である。通信制御装置１００は、ＷＡＮ１０００と接続されたＷＡＮ側通信部１２０において、「１００．１００．１．１／２４」のＩＰアドレスが設定されている。また、通信制御装置１００は、ＬＡＮ２０００と接続されたＬＡＮ側通信部１３０において、「１９２．１６８．１．１ ／２４」のＩＰアドレスが設定されている。そして、図４の設定画面と同様に、通信制御装置１００が行うＳＳＨノッキング機能は有効に設定される。ＨＧＷ－Ｓ１に示すように、第１パケット（１ｓｔＰａｃｋｅｔ）は、ＵＤＰポートの１００００番に設定されている。同様に、第２パケット（２ｎｄＰａｃｋｅｔ）は、ＵＤＰポートの２００００番に設定されており、第３パケット（３ｒｄＰａｃｋｅｔ）は、ＵＤＰポートの３００００番に設定されており、動作中の状態であるものとする。

【0037】

一方、ＬＡＮ側端末装置２００は、「１９２．１６８．１．２／２４」のＩＰアドレスが設定されている。また、ＷＡＮ側端末装置３００Ａは、「２００．２００．１．１」のＩＰアドレスが設定されており、ＷＡＮ側通信部１２０と通信可能である。不正アクセスを試みようとするユーザが用いるＷＡＮ側端末装置３００Ｂは、「２００．２００．１．２」のＩＰアドレスが設定されており、ＷＡＮ側通信部１２０と通信可能である。ＷＡＮ側端末装置３００Ｂのユーザは、通信制御装置１００にＳＳＨ接続するためのポートノッキングに係るノッキング手順の情報を何らかの方法で、入手していることとする。

【0038】

この状態で、ＷＡＮ側端末装置３００Ｂは、ＷＢ－Ｓ１に示すように、通信制御装置１００のＷＡＮ１０００側のＩＰアドレスである「１００．１００．１．１／２４」に宛てて、ポートノッキングに係るパケット信号を送信する。ここで、ＷＡＮ側端末装置３００Ｂからは、１ｓｔＰａｃｋｅｔ（ＵＤＰ：１００００）、２ｎｄＰａｃｋｅｔ（ＵＤＰ：２００００）および３ｒｄＰａｃｋｅｔ（ＵＤＰ：３００００）が送られる。

【0039】

通信制御装置１００の通信制御処理部１１０におけるノッキング監視部１１２は、ノッキングを検出し、ノッキングの検出日時と送信元のＩＰアドレス「２００．２００．１．２」をログデータとして通信記憶部１４０に記憶させる。ノッキング監視部１１２は、ファイヤウォールルールを設定し、ＷＡＮ側端末装置３００ＢによるＳＳＨポートを介したアクセスを許可する。ＷＢ－Ｓ２に示すように、ＷＡＮ側端末装置３００Ｂは、ＳＳＨ接続される。

【0040】

ここで、ポートノッキングの設定が固定されているような場合、一度、通信制御装置１００のノッキング情報が入手されると、ＷＡＮ側端末装置３００ＢからのＳＳＨ接続に係る不正アクセスに対策することができなかった。

【0041】

そこで、実施の形態１における通信制御装置１００の通信制御処理部１１０は、設定変更処理部１１１を有する。そして、設定変更処理部１１１は、ＬＡＮ２０００を介して通信可能に接続されたＬＡＮ側端末装置２００との通信により、ポートノッキング手順の設定を変更することができる。たとえば、ＬＡＮ側端末装置２００のユーザが、ログを閲覧したい場合、ＬＡＮ側端末装置２００は、通信制御装置１００に対して、ログの表示要求を行う。通信制御処理部１１０におけるログ表示処理部１１５は、表示要求に基づく信号を、ＬＡＮ側端末装置２００に送って表示させる。ＬＡＮ側端末装置２００のユーザは表示されたログを確認し、意図しないノッキングが検出され、不正アクセスが行われている可能性があったと判断すると、ポートノッキング手順の設定変更を行い、新たな監視処理が行われるようにする。設定変更に係る新たな設定については、Ｌ－Ｓ１に示すように、第１パケット（１ｓｔＰａｃｋｅｔ）は、ＵＤＰポートの４００００番に設定変更される。同様に、第２パケット（２ｎｄＰａｃｋｅｔ）は、ＵＤＰポートの５００００番に設定変更され、第３パケット（３ｒｄＰａｃｋｅｔ）は、ＵＤＰポートの６００００番に設定変更される。設定変更処理部１１１は、変更された新たな通信設定データとして通信記憶部１４０に記憶させる。

【0042】

そして、ＨＧＷ－Ｓ２に示すように、通信制御処理部１１０のノッキング監視部１１２は、新たなノッキング手順による監視処理を行う。ＷＢ－Ｓ３のように、ノッキング監視部１１２は、ＷＡＮ側端末装置３００Ｂから１ｓｔＰａｃｋｅｔ（ＵＤＰ：１００００）、２ｎｄＰａｃｋｅｔ（ＵＤＰ：２００００）および３ｒｄＰａｃｋｅｔ（ＵＤＰ：３００００）が送られても、ノッキングを検出しない。このため、通信制御装置１００は、ＷＡＮ側端末装置３００ＢからのＳＳＨ接続を拒否することができる。そして、ＷＢ－Ｓ４に示すように、ＷＡＮ側端末装置３００Ｂは、ＳＳＨ接続することができない。

【0043】

一方、ＷＡＮ側端末装置３００Ａのユーザは、何らかの方法で変更されたノッキング手順の通知を受けている。したがって、ＳＳＨ接続を行おうとする場合、ＷＡ－Ｓ１に示すように、ＷＡＮ側端末装置３００Ａからは、１ｓｔＰａｃｋｅｔ（ＵＤＰ：４００００）、２ｎｄＰａｃｋｅｔ（ＵＤＰ：５００００）および３ｒｄＰａｃｋｅｔ（ＵＤＰ：６００００）が送られる。

【0044】

通信制御処理部１１０のノッキング監視部１１２は、ノッキングを検出し、ノッキングの検出日時と送信元のＩＰアドレス「２００．２００．１．１」をログデータとして通信記憶部１４０に記憶させる。そして、ノッキング監視部１１２は、ファイヤウォールルールを設定し、ＷＡＮ側端末装置３００ＡによるＳＳＨポートを介したアクセスを許可する。ＷＡ－Ｓ２に示すように、ＷＡＮ側端末装置３００Ａは、ＳＳＨ接続される。ＳＳＨ接続されたＷＡＮ側端末装置３００Ａは、たとえば、ＷＡＮ１０００を介した遠隔操作による通信制御装置１００の保守作業を行う。通信制御処理部１１０の保守処理部１１６は、ＷＡＮ側端末装置３００Ａからの遠隔操作指示の信号に基づき、保守処理を行う。

【0045】

以上のように、実施の形態１の通信制御装置１００は、通信制御処理部１１０が設定変更処理部１１１を有し、ＳＳＨ接続のためのポートノッキングにおけるノッキング手順の設定および変更を行うことができる。このため、パケット信号の盗聴などにより、ノッキング手順が外部に流出などしても、ノッキング手順の変更することで、通信制御装置１００の不正アクセスに係るリスクを軽減させることができる。

【0046】

また、実施の形態１の通信制御装置１００は、通信制御処理部１１０がログ表示処理部１１５を有し、ポートノッキングを検出した日時およびパケット信号の送信元アドレスをログデータとして、通信記憶部１４０に記憶するようにした。そして、通信記憶部１４０に記憶されたログを表示できるようにすることで、不正アクセスされたかどうかを確認することができる。

【0047】

実施の形態２．
上述した実施の形態１の通信制御装置１００は、通信制御処理部１１０の設定変更処理部１１１が、ＬＡＮ側端末装置２００におけるＷＥＢブラウザ４６１に表示された画面に基づき、ユーザがノッキング手順を任意に設定および変更するものであった。実施の形態２の通信制御装置１００は、たとえば、ＷＥＢブラウザ４６１がないなど、端末装置が設定および変更できる環境を有していないなどの場合に、ユーザではなく、設定変更処理部１１１が、ノッキングに係るポート番号の決定などの処理を行うものである。

【0048】

図７は、実施の形態２の通信制御装置１００における構成を示す図である。図７において、図２などと同じ符号を付しているものについては、実施の形態１で説明したことと同様の処理などを行う。図７における通信制御装置１００は、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバ部１１７を有する。ＤＨＣＰサーバ部１１７は、ＬＡＮ２０００を介して一時的に通信可能に接続されたＬＡＮ側端末装置２００に対して、一時的なＩＰアドレスを割り振る処理を行う。

【0049】

実施の形態２の設定変更処理部１１１は、要求に応じて、ノッキングにおける第１パケット、第２パケットおよび第３パケットのポート番号を決定し、決定に基づく通信設定データを生成して通信記憶部１４０に記憶させる。このとき、設定変更処理部１１１は、通信設定データと、その通信設定データによるノッキング手順でポートノッキングを行うＬＡＮ側端末装置２００のＩＰアドレスとを関連づけて通信記憶部１４０に記憶させる。また、設定変更処理部１１１は、通信設定データを含む信号をＤＨＣＰサーバ部１１７に送信させる。このため、実施の形態２の設定変更処理部１１１は、ＬＡＮ側端末装置２００毎にノッキング手順を異なる条件で設定した通信設定データを作成することができる。このとき、設定変更処理部１１１は、ノッキング手順をランダムに設定することができる。

【0050】

また、実施の形態２では、ＬＡＮ側端末装置２００は、ノッキングツール４６２を有し、ポートノッキングを行うことができる。このとき、実施の形態２では、たとえば、設定変更処理部１１１は、通信制御装置１００のＤＨＣＰサーバ部１１７と連携し、ＤＨＣＰに基づいて生成される信号に含めて通信設定データを送ることで、ＬＡＮ側端末装置２００が通信設定データを取得する。ノッキングツール４６２を実行することにより、ＬＡＮ側端末装置２００は、取得した通信設定データに基づくノッキング手順でポートノッキングを行うことができる。

【0051】

ＤＨＣＰに基づいて生成される信号は、ベンダが含めるデータを自由に設定することができるベンダオプションの項目を有する。そこで、ＬＡＮ側端末装置２００のノッキングツール４６２は、ＩＮＦＯＲＭリクエストにベンダオプションを指定することで、ＤＨＣＰサーバ部１１７に、通信設定データを含めて送信させるように要求する。たとえば、ＬＡＮ側端末装置２００のユーザは、ＤＨＣＰサーバ部１１７からＡＣＫメッセージとなる応答信号に含まれる通信設定データに基づいて、ノッキング手順を確認することができる。ここで、設定変更処理部１１１は、ＬＡＮ側端末装置２００のＩＮＦＯＲＭリクエストにベンダオプションが指定されていれば、ノッキング手順の設定変更することで、設定変更を行うことができる。

【0052】

以上のように、実施の形態２の通信制御装置１００は、ＤＨＣＰサーバ部１１７を有する。実施の形態２の設定変更処理部１１１は、ＤＨＣＰサーバ部１１７と連携して、ＤＨＣＰサーバ部１１７がＬＡＮ側端末装置２００に送る信号に、設定したノッキング手順の通信設定データを含めて送る。このため、ＬＡＮ側端末装置２００毎にノッキング手順を異なる条件で設定した通信設定データを作成し、ＬＡＮ側端末装置２００に送ることができる。ＬＡＮ側端末装置２００毎にノッキング手順が異なるため、通信制御装置１００に対する不正アクセスをさらに効果的に防御することができる。

【0053】

実施の形態３．
上述した実施の形態１および実施の形態２では、ＳＳＨ接続を実現するＳＳＨポートの開放に係るポートノッキングについて説明したが、これに限定するものではない。他のポートにおけるポートノッキングに係る設定変更にも適用することもできる。

【0054】

また、上述した実施の形態１では、ＷＡＮ１０００に接続されたＷＡＮ側端末装置３００の不正アクセスに対応したノッキング手順の設定変更であるものとして説明したが、これに限定するものではない。ＬＡＮ２０００に接続されたＬＡＮ側端末装置２００からのアクセスなどにおけるノッキング手順の設定変更にも適用することができる。

【0055】

さらに、上述した実施の形態１および実施の形態２では、ポート開放の条件としてポートノッキングについて説明したが、他の条件を設定し、条件を満たしたときに、ポート開放を行うようにしてもよい。

【符号の説明】

【0056】

１００ 通信制御装置
１１０ 通信制御処理部
１１１ 設定変更処理部
１１２ ノッキング監視部
１１３ ファイヤウォール部
１１４ ＳＳＨサーバ処理部
１１５ ログ表示処理部
１１６ 保守処理部
１１７ ＤＨＣＰサーバ部
１２０ ＷＡＮ側通信部
１３０ ＬＡＮ側通信部
１４０ 通信記憶部
１５０ 計時部
２００ ＬＡＮ側端末装置
３００，３００Ａ，３００Ｂ ＷＡＮ側端末装置
４１０ 端末入力部
４２０ 端末出力部
４２２ ノッキング処理部
４３０ 端末通信部
４４０ 端末制御処理部
４５０ 端末記憶部
４６１ ＷＥＢブラウザ
４６２ ノッキングツール
４６３ ＳＳＨクライアントツール
１０００ ＷＡＮ
２０００ ＬＡＮ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】