JP2001077857A - フィルタリング処理装置及びこれを備えるネットワーク及びその記憶媒体 - Google Patents

Abstract

(57)【要約】 【課題】 本発明は、フィルタリング処理装置に関し、
クライアントのセキュリティを向上することを目的とす
る。 【解決手段】 フィルタリング処理装置３はクライアン
ト１とサーバ４との間に設けられ、これらの間において
送受信されるデータのフィルタリングを行う。フィルタ
リング処理装置３は解析処理部６と動的条件設定処理部
７とを備える。解析処理部６はクライアント１からサー
バ４に対して送信されるデータを解析する。動的条件設
定処理部７は、解析処理部６における解析結果に基づい
て、サーバ４からクライアント１に対して送信されるデ
ータについてのフィルタリングの条件を設定する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、フィルタリング処
理装置及びこれを備えるネットワーク及びその記憶媒体
に関し、特に、クライアントのセキュリティを向上した
フィルタリング処理装置及びこれを備えるネットワーク
及びその記憶媒体に関する。

【０００２】

【従来の技術】インターネットにおいては、クライアン
ト（ＷＷＷブラウザ）に対して、種々のサーバが接続し
てくる。そこで、セキュリティの確保のために、図７
（Ａ）に示すように、インターネット１０２とクライア
ント１０１との間にファイアウォール１０３が設けられ
る。クライアント１０１又はサーバ１０４から送出され
たパケットは、ファイアウォール１０３を通過すること
が認められれば、これを越えて通信の相手方に到達する
ことができる。

【０００３】ファイアウォール１０３がこのようなセキ
ュリティ機能を実現する方法には、例えばパケットフィ
ルタリング等の方法がある。このパケットフィルタリン
グは、例えば、以下のように行われる。即ち、サーバ１
０４又はクライアント１０１から送られたパケットにつ
いて、ファイアウォール１０３が、パケットのＩＰアド
レスや上位アプリケーションの種類を示すポート番号等
に基づいて、当該パケットを通過させるか否かを決定す
る。通過させると決定されたパケットは、そのまま相手
方に転送される。

【０００４】

【発明が解決しようとする課題】大量のデータ転送を頻
繁に行うようなネットワークでは、通信経済の観点か
ら、通常、クライアント１０１とサーバ１０４との間の
通信は、以下のように行われる。即ち、クライアント１
０１からサーバ１０４への接続（以下、第１のコネクシ
ョンと言う）を確立し、この第１のコネクションにより
クライアント１０１からサーバ１０４へ要求を通知する
ための制御用の通信を行う。次に、第１のコネクション
とは別に、サーバ１０４からクライアント１０１への接
続（以下、第２のコネクションと言う）を確立し、この
第２のコネクションによりデータ送信用の通信を行う。
第２のコネクションにおいては、一般に、既に接続済の
通信路を使用した通信の待ち合わせ又は受信ポートの指
定が可能である。

【０００５】そこで、ファイアウォール１０３を採用す
るネットワークにおいて、上記第２のコネクションを許
す場合、ファイアウォール１０３に、当該第２のコネク
ションにおけるパケットについてのパケットフィルタリ
ング（通過）の条件を、予め設定しておく必要がある。

【０００６】このような第２のコネクションについての
パケットフィルタリングの一例として、例えばＦＴＰ
（ファイルトランスファープロトコル）の場合について
説明する。ＦＴＰにおいては、データ転送時にサーバ１
０４の固定ポート（ポート番号２０）からクライアント
１０１のＡＮＹポートに接続する（コネクションを確立
する）。ここで、ＡＮＹポートは、サーバ１０４がクラ
イアント１０１からの通知に基づいて当該通信毎に割り
当てるポートであり、そのポート番号は予め１０２４〜
６５５３５の範囲とされる。従って、第２のコネクショ
ンについてのパケットフィルタリングの条件テーブル１
１１は、図７（Ｂ）に示すように、送信先のポート番号
が１０２４〜６５５３５であるパケットについて通過さ
せる設定とされる。即ち、ファイアウォール１０３は、
サーバＩＰアドレスＳのポート番号２０からのクライア
ントＩＰアドレスＣへのパケットについては、送信先の
ポート番号が１０２４〜６５５３５の範囲であれば、通
過させることになる。

【０００７】このため、第２のコネクションにおいて
は、クライアント１０１から見ると、サーバＩＰアドレ
スＳのポート番号２０からのパケットであれば、ポート
番号が１０２４〜６５５３５と言う広範囲のものがファ
イアウォール１０３を通過する。従って、極めて広範囲
のパケットについて、ファイアウォール１０３が存在し
ないように見えることになる。即ち、ファイアウォール
１０３の内側に保護されているはずのクライアント１０
１が、極めて広範囲のパケットについて無防備な状態に
置かれていることになる。

【０００８】本発明は、クライアントのセキュリティを
向上したフィルタリング処理装置を提供することを目的
とする。

【０００９】また、本発明は、クライアントのセキュリ
ティを向上したネットワークを提供することを目的とす
る。

【００１０】また、本発明は、クライアントのセキュリ
ティを向上したフィルタリング処理装置を実現するプロ
グラムを記憶する記憶媒体を提供することを目的とす
る。

【００１１】

【課題を解決するための手段】図１は本発明の原理構成
図であり、本発明によるフィルタリング処理装置３を示
す。フィルタリング処理装置３はクライアント１とサー
バ４との間に設けられ、これらの間において送受信され
るデータのフィルタリングを行う。フィルタリング処理
装置３は解析処理部６と動的条件設定処理部７とを備え
る。解析処理部６はクライアント１からサーバ４に対し
て送信されるデータを解析する。動的条件設定処理部７
は、解析処理部６における解析結果に基づいて、サーバ
４からクライアント１に対して送信されるデータについ
てのフィルタリングの条件を設定する。

【００１２】本発明のフィルタリング処理装置３によれ
ば、クライアント１からサーバ４に対して送信されるデ
ータの解析結果に基づいて、サーバ４からクライアント
１に対して送信されるデータについてのフィルタリング
の条件を動的に設定することができる。従って、当該条
件を満たすデータのみがフィルタリング処理装置３を通
過するように設定することができる。例えば、前述のよ
うに第２のコネクションを許す場合、クライアント１か
らサーバ４へのデータから、クライアント１におけるデ
ータの送受信の条件を検出する。これにより、第２のコ
ネクションにおいてサーバ４からクライアント１へのデ
ータがどのような条件で送信されるかを予め知り、これ
に基づいて、サーバ４からクライアント１へのデータの
内で当該送信の条件に合致するデータのみが、第２のコ
ネクションにおいてフィルタリング処理装置３を通過す
るように設定することができる。従って、第２のコネク
ションにおいて、クライアント１から見て、同一のサー
バ４からのデータであっても、フィルタリングの条件を
満たさないデータはフィルタリング処理装置３を通過す
ることができない。これにより、クライアント１をフィ
ルタリング処理装置３の内側に保護することができ、そ
のセキュリティを向上することができる。

【００１３】

【発明の実施の形態】図２はフィルタリング処理装置説
明図であり、本発明のフィルタリング処理装置３及びこ
れを備えるネットワークの構成を示す。

【００１４】図２において、フィルタリング処理装置３
は、例えばファイアウォール３からなる。ファイアウォ
ール３は、クライアント１のセキュリティの確保のため
に、ネットワーク２とクライアント１との間に設けら
れ、フィルタリングを行う。従って、サーバ４から見た
場合、クライアント１はファイアウォール３の内側にあ
り、これにより守られている。例えば、（複数の）クラ
イアント１はファイアウォール３と共にイントラネット
を構成する。ネットワーク２は、例えばインターネット
２からなる。サーバ４はウェブ（Ｗｅｂ）サーバやプロ
キシサーバ等からなる。従って、全体をネットワークと
して見ると、クライアント１、サーバ４、ファイアウォ
ール３とを備える。

【００１５】クライアント１は、例えば、インターネッ
ト２を介して、サーバ４にアクセスする。この時、クラ
イアント１は、ファイアウォール３にアクセスしてその
フィルタ処理部１０を通過する必要がある。逆に、クラ
イアント１に応答するサーバ４も、ファイアウォール３
にアクセスしてそのフィルタ処理部１０を通過する必要
がある。従って、ファイアウォール３は、その内側のク
ライアント１（の属するイントラネット）と外側のイン
ターネット２とを切り離す。フィルタ処理部１０を通過
すれば、クライアント１とサーバ４とはファイアウォー
ル３を越えて相互にアクセスすることができる。

【００１６】ファイアウォール３は、中央演算処理装置
（ＣＰＵ）、主メモリ、補助記憶等（いずれも図示せ
ず）からなる。主メモリ上に、フィルタリング処理を行
うプログラムが存在する。フィルタリング処理プログラ
ムがＣＰＵ上で実行されることにより、以下に説明する
各処理部５、６、７、１０によるフィルタリング処理が
行われる。なお、アドレスポートテーブル８、動的条件
テーブル１１、静的条件テーブル１２は磁気ディスク装
置等の補助記憶に設けられる。

【００１７】ファイアウォール３は、前述のように、ク
ライアント１のセキュリティの実現のために、クライア
ント１とサーバ４との間に設けられ、これらの間におい
て送受信されるデータのフィルタリング処理を行う。ク
ライアント１とサーバ４との間において送受信されるデ
ータはパケットからなる。従って、ファイアウォール３
はパケットフィルタリングによりクライアント１のセキ
ュリティを実現する。このために、ファイアウォール３
は、中継モジュール９、フィルタ処理部１０を備える。
中継モジュール９は、フィルタ処理部１０を制御し、ま
た、そのための制御情報（フィルタリングの制御のため
の情報）を作成する。フィルタ処理部１０は、中継モジ
ュール９の制御に従って、クライアント１又はサーバ４
から受信したパケットについてのフィルタリングを行
う。中継モジュール９は、中継処理部５、解析処理部
６、動的条件設定処理部７を備える。

【００１８】フィルタ処理部１０は、動的条件設定処理
部７により設定された条件に従って、当該ファイアウォ
ール３を通過しようとするデータについての実際のフィ
ルタリング処理及び通信処理を行う。即ち、フィルタ処
理部１０は、クライアント１又はサーバ４から送信され
てきたパケットの受信処理を行い、フィルタリングの制
御のための情報（動的フィルタリング情報）を抽出する
ために、これを中継モジュール９に送る。また、フィル
タ処理部１０は、中継モジュール９からのパケットを受
け取り、予め自己が備えるフィルタリングの制御のため
の情報（静的フィルタリング情報）と中継モジュール９
から与えられたフィルタリングの制御のための情報（動
的フィルタリング情報）とに従ってフィルタリングした
後、通過させるべきパケットの当該クライアント１又は
サーバ４への送信処理を行う。

【００１９】このために、フィルタ処理部１０は、図３
（Ｂ）に示すように、動的条件テーブル１１を備える。
動的条件テーブル１１は、中継モジュール９からのフィ
ルタリングの制御のための情報（動的フィルタリング情
報）を格納する。動的フィルタリング情報は、第２のコ
ネクションにおけるフィルタリングについての条件を規
定する情報である。動的フィルタリング情報は、後述す
るように、動的条件設定処理部７により設定され、削除
される。

【００２０】フィルタ処理部１０は、動的条件テーブル
１１とは別に、第２のコネクションにおけるフィルタリ
ング以外のフィルタリング（例えば、第１のコネクショ
ンにおけるフィルタリング）についての条件（静的フィ
ルタリング情報）を備える。このために、フィルタ処理
部１０は、図３（Ａ）に示すように、静的条件テーブル
１２を備える。静的条件テーブル１２は、静的フィルタ
リング情報を格納する。静的フィルタリング情報は、第
１のコネクションにおけるフィルタリングについての条
件を規定する情報である。

【００２１】図３（Ａ）に示す静的条件テーブル１２
は、例えばＦＴＰの場合について示す。ＦＴＰにおいて
は、処理「通過」の対象として、送信元アドレスとして
クライアント１の「クライアントＩＰアドレスＣ」、そ
のポート（送信元ポート）番号として「１０２４〜６５
５３５」、送信先アドレスとしてサーバ４の「サーバＩ
ＰアドレスＳ」、そのポート（送信先ポート）番号とし
て「２１」が設定される。クライアント１の送信ポート
番号が「１０２４〜６５５３５」のように広範囲である
が、ファイアウォール３の内側であるので、セキュリテ
ィ上の問題はない。サーバ４の受信ポート番号「２１」
は固定である。従って、第１のコネクションについての
パケットフィルタリング（静的フィルタリング）は、ク
ライアントＩＰアドレスＣのポート番号１０２４〜６５
５３５からのサーバＩＰアドレスＳのポート番号２１へ
のパケットについては、通過させることになる。

【００２２】また、このようなパケットに対する第１の
コネクション上の応答パケットについても、通過させる
ことになる。例えば、クライアント１からのパケットの
送信ポートが１０２４であるとすると、サーバＩＰアド
レスＳのポート番号２１からのクライアントＩＰアドレ
スＣのポート番号１０２４へのパケットについても、通
過させることになる。これは、一旦確立された第１のコ
ネクションに接続する特定のサーバ４及びクライアント
１の間での通信であり、かつ、一旦静的フィルタリング
を通過した送受信のポートの間での通信だからである。
即ち、同一のクライアント１及びサーバ４の間の同一の
ポートでの通信だからである。

【００２３】このために、フィルタ処理部１０は、図３
（Ａ）に示す静的条件テーブル１２において、処理「通
過」の対象として、送信元アドレスとしてサーバ４の
「サーバＩＰアドレスＳ」、そのポート（送信元ポー
ト）番号として「２１」、送信先アドレスとしてクライ
アント１の「クライアントＩＰアドレスＣ」、そのポー
ト（送信先ポート）番号として「１０２４」を設定す
る。このフィルタリングの条件は、図３（Ａ）に示す条
件の裏返しの条件である。

【００２４】中継モジュール９において、中継処理部５
はデータの中継を行う。即ち、中継処理部５は、フィル
タ処理部１０からパケットを受け取り、動的フィルタリ
ング情報を抽出するために、これを解析処理部６へ送
る。また、中継処理部５は、解析処理部６からパケット
を受け取り、フィルタリングのために、これをフィルタ
処理部１０に送る。

【００２５】解析処理部６は、クライアント１からサー
バ４に対して送信されるデータを解析する。具体的に
は、解析処理部６の解析するデータは、クライアント１
からサーバ４に対して確立されたコネクション（第１の
コネクション）を介して、クライアント１から送信され
るデータである。このデータは、第１のコネクションと
は別に、サーバ４からクライアント１に対してその時点
以後に確立される（又はその時点前に確立された）コネ
クション（第２のコネクション）についての情報を含
む。第２のコネクションについての情報は、第２のコネ
クションを開設するための情報、又は、第２のコネクシ
ョンを閉塞するための情報である。

【００２６】この明細書において、第１及び第２のコネ
クションは、トランスポート層でのＴＣＰ（トランスミ
ッションコントロールプロトコル）の接続である。第２
のコネクションは、第１のコネクションが確立された後
にそれが存在する状態で確立され、クライアント１から
サーバ４へのコネクションである第１のコネクションと
は逆に、サーバ４からクライアント１へのコネクション
である。従って、第２のコネクションは、第１のコネク
ションの存在が前提であって、前提である当該第１のコ
ネクションに対応する。

【００２７】前述のように、パケットフィルタリングに
おいては、パケットのＩＰアドレスや上位アプリケーシ
ョンの種類を示すポート番号等に基づいて、当該パケッ
トを通過させるか否かを決定する。従って、解析処理部
６は、第２のコネクションを使用するネットワークアプ
リケーションのプロトコルデータを解析し、ＩＰアドレ
スやポート番号等の接続に関する情報を、第２のコネク
ションについての情報として取得する。

【００２８】例えば、ＦＴＰにおいては、第１のコネク
ションを介して、第２のコネクションについての情報
が、所定のコマンドによりクライアント１からサーバ４
に通知される。具体的には、クライアント１からのポー
ト（ＰＯＲＴ）コマンド及びこれに続くデータ受信コマ
ンドにより、当該第１のコネクションを介しての通信の
後、サーバ４からクライアント１への第２のコネクショ
ンが確立される。データ受信コマンドとしてはＬＩＳ
Ｔ、ＲＥＴＲ又はＳＴＯＲ等がある。また、当該ポート
コマンドにより、第２のコネクションの利用時にクライ
アント１においてデータを受信するポートのアドレス及
び当該ポートについての情報が、クライアント１からサ
ーバ４に通知される。この情報は、(ASCII) 文字列とし
て通知され、例えば、ポートアドレス「192.168.1.1.4.
1 」と、ＩＰアドレス「192.168.1.1」とポート番号「1
025」とからなる（図３（Ｂ）参照）。

【００２９】従って、解析処理部６は、第１のコネクシ
ョン上のクライアント１からのパケットを解析し、ポー
トコマンドに続くデータ受信コマンドを検出すると、ポ
ートコマンドにおける前記３個のデータを第２のコネク
ションについてのそれを開設させるための情報として抽
出する。従って、第２のコネクションを用いた通信のフ
ィルタリングにおいては、当該ＩＰアドレスのクライア
ント１の当該ポート（及びアドレス）に対して当該サー
バ４から送信されるパケットのみを通過させれば良い。

【００３０】また、クライアント１からのポートコマン
ド及びこれに続くデータ受信完了コマンドにより、当該
第１のコネクションを介しての通信の後、第２のコネク
ションが閉塞される。従って、解析処理部６は、第１の
コネクション上のクライアント１からのパケットを解析
し、ポートコマンドに続くデータ受信完了コマンドを検
出すると、前記と同様にポートコマンドにおける前記３
個のデータを第２のコネクションについてのそれを閉塞
させるための情報として抽出する。

【００３１】なお、実際は、第１のコネクションに対し
て既に第２のコネクションが開設された状態で、更に、
ポートコマンド及びこれに続くデータ受信コマンドが検
出されると、当該既設の第２のコネクションは閉塞さ
れ、これとは別に新たな第２のコネクションが開設され
る。従って、既設の第２のコネクションについての動的
フィルタリング条件は削除され、新たな第２のコネクシ
ョンについての動的フィルタリング条件が設定される。

【００３２】解析処理部６は、第２のコネクションにお
けるフィルタリングについての条件（動的フィルタリン
グ情報）を作成するために、アドレスポートテーブル８
を備える。アドレスポートテーブル８は、アドレスポー
ト情報を格納する。アドレスポート情報は、第２のコネ
クションが対応する第１のコネクションのサーバ４のサ
ーバＩＰアドレスとそのデータ送信ポートとからなる。

【００３３】例えば、ＦＴＰにおいては、サーバ４にお
けるデータの送信ポートは、第１のコネクションのサー
バＩＰアドレス「192.168.1.1 」と固定ポート２０番と
に固定されている。これらが、サーバ４についてのアド
レスポート情報として、当該アドレスポートテーブル８
に格納される。

【００３４】従って、ＦＴＰにおいては、解析処理部６
により、図３（Ｂ）に示すように、動的フィルタリング
情報が作成される。即ち、前述の３個のデータの内、ポ
ートアドレス「192.168.1.1.4.1 」を用いてサーバ４の
サーバＩＰアドレスを求め、また、当該ポートアドレス
を用いてアドレスポートテーブル８を参照し、当該アド
レスのサーバ４のデータ送信（送信元）ポート（ポート
番号２０）を求める。このポート番号２０は、前述のよ
うに、固定である。また、３個のデータの内、ＩＰアド
レス「192.168.1.1 」をクライアント１のクライアント
ＩＰアドレスとし、ポート番号「１０２５」をクライア
ント１のデータ受信（送信先）ポートとする。これによ
り、第２のコネクションにおいて、サーバ４から送信さ
れるパケットは、送信先ポートが１０２５であるものの
みがフィルタリングを通過できることになる。

【００３５】動的条件設定処理部７は、解析処理部６に
おける解析結果に基づいて、サーバ４からクライアント
１に対して送信されるデータについてのフィルタリング
の条件（動的フィルタリング情報）を設定する。具体的
には、動的条件設定処理部７の設定する条件は、第１の
コネクションに対応するサーバ４からのクライアント１
に対する第２のコネクションを介して、サーバ４から送
信されるデータについての動的フィルタリングの条件で
ある。従って、動的条件設定処理部７は、第２のコネク
ションを開設するための情報に基づいて動的フィルタリ
ングの条件を設定し、又は、第２のコネクションを閉塞
するための情報に基づいて動的フィルタリングの条件を
削除する。

【００３６】クライアント１からのサーバ４に対する第
１のコネクションが存在する場合に、第２のコネクショ
ンについての動的フィルタリングの条件が設定される。
具体的には、第２のコネクションの使用（又は設定）の
直前に、その直前に行われた第１のコネクションを使用
した通信を解析した結果に基づいて設定される。即ち、
動的に設定される。このために、解析処理部６が、クラ
イアント１から送信されるデータを解析し、動的条件設
定処理部７が、この解析結果に基づいて、第１のコネク
ションに対応するサーバ４からのクライアント１に対す
る第２のコネクションにおいて、サーバ４から送信され
るデータについてのフィルタリングの条件を動的に設定
する。従って、第２のコネクションにおけるフィルタリ
ングの条件を、必要な場合にのみ、その直前に動的に設
定し、フィルタリングを行うことができる。

【００３７】また、クライアント１からのサーバ４に対
する第２のコネクションが存在する場合に、動的フィル
タリングの条件が削除される。具体的には、第２のコネ
クションの使用（又は切断）の直後に、その直後に行わ
れた第１のコネクションを使用した通信を解析した結果
に基づいて、削除される。即ち、動的に削除される。こ
のために、解析処理部６が、クライアント１から送信さ
れるデータを解析し、動的条件設定処理部７が、解析結
果に基づいて、第２のコネクションにおける動的フィル
タリングの条件を削除する。従って、第２のコネクショ
ンにおけるフィルタリングの条件を、その直後に動的に
削除することができる。

【００３８】なお、実際は、第２のコネクションが対応
する第１のコネクションが切断される場合、当該第２の
コネクションも切断（閉塞）される。従って、この場合
にも、その動的フィルタリングの条件が削除される。具
体的には、クライアント１からサーバ４に対して第１の
コネクションの切断が通知されたら、これを解析処理部
６が検出して、動的条件設定処理部７により当該第２の
コネクションが閉塞される。

【００３９】例えば、前述のＦＴＰにおいては、動的条
件設定処理部７は、解析処理部６により図３（Ｂ）に示
すように作成された動的フィルタリング情報を当該情報
の設定指示と共に受け取り、当該情報をフィルタ処理部
１０の動的条件テーブル１１に書き込む。これにより、
フィルタ処理部１０における動的フィルタリングの条件
が設定される。この結果、第２のコネクションにおい
て、サーバ４から送信されるパケットは、送信先ポート
が１０２５であるもののみがフィルタリングを通過でき
ることになる。

【００４０】図４は、ファイアウォール３が実行するフ
ィルタリング処理フローを示す。

【００４１】フィルタ処理部１０が、パケットを受信し
たか否かを調べる（ステップＳ１）。受信していない場
合、ステップＳ１を繰り返す。

【００４２】受信した場合、フィルタ処理部１０が、静
的条件テーブル１２及び動的条件テーブル１１を用い
て、静的フィルタリング処理及び動的フィルタリング処
理を行う（ステップＳ２）。この時、フィルタ処理部１
０は、当該パケットが第１又は第２のコネクション上の
ものか及びクライアント１又はサーバ４からのものかを
意識することはなく、また、静的フィルタリングか動的
フィルタリングかを意識することはない。

【００４３】フィルタ処理部１０が、フィルタリング処
理の結果、当該パケットが通過の条件を満足するか否か
を調べる（ステップＳ３）。

【００４４】満足する場合、フィルタ処理部１０が、当
該パケットを中継モジュール９に送る（ステップＳ
４）。当該パケットは、中継モジュール９において、中
継処理部５を介して、解析処理部６に送られる。

【００４５】解析処理部６が、当該パケットを解析する
（ステップＳ５）。

【００４６】この解析の結果に基づいて、所定の処理が
行われる（ステップＳ６）。これについては、図５を参
照して後述する。

【００４７】解析処理部６が、当該パケットをフィルタ
処理部１０に送る（ステップＳ７）。

【００４８】フィルタ処理部１０が、当該パケットを中
継処理する（ステップＳ８）。即ち、当該パケットをそ
の宛て先（送信先）に転送する。

【００４９】ステップＳ３において通過の条件を満足し
ない場合、フィルタ処理部１０が、当該パケットを廃棄
する（ステップＳ９）。

【００５０】図５は、図４のステップＳ６においてファ
イアウォール３が実行するフィルタリング条件設定処理
フローを示す。

【００５１】解析処理部６が、中継処理部５から受け取
ったパケットについて解析する（ステップＳ１１）。

【００５２】解析処理部６が、当該解析結果に基づい
て、第２のコネクションの開設についての情報か否かを
調べる（ステップＳ１２）。当該情報でない場合、ステ
ップＳ１５に進む。なお、このパケットは、フィルタ処
理部１０がクライアント１から受け取って中継処理部５
に渡し、更に、中継処理部５が解析処理部６に渡したも
のである。

【００５３】当該情報である場合、解析処理部６が、当
該解析結果に基づいて、第２のコネクションにおけるパ
ケットフィルタリングの条件を作成し、動的条件設定処
理部７に条件の設定を依頼する（ステップＳ１３）。

【００５４】依頼を受けた動的条件設定処理部７が当該
条件をフィルタ処理部１０に設定する（ステップＳ１
４）。この後、中継処理部５がパケットの中継処理を行
う（図４のステップＳ７及びＳ８）。即ち、解析処理部
６が、必要に応じてパケットのデータを書き替えた上
で、当該パケットをフィルタ処理部１０に返し、フィル
タ処理部１０が当該パケットをサーバ４に送信する。

【００５５】ステップＳ１２において第２のコネクショ
ンの開設についての情報でない場合、更に、解析処理部
６が、第２のコネクションの閉塞についての情報か否か
を調べる（ステップＳ１５）。当該情報でない場合、図
４のステップＳ７に進む。

【００５６】当該情報である場合、解析処理部６が、当
該解析結果に基づいて、第２のコネクションにおけるパ
ケットフィルタリングの条件の削除を、動的条件設定処
理部７に依頼し、依頼を受けた動的条件設定処理部７
が、当該条件をフィルタ処理部１０から削除する（ステ
ップＳ１６）。

【００５７】図６は、クライアント１とサーバ４との間
における通信について、ファイアウォール３が実行する
フィルタリング処理説明図を示す。

【００５８】クライアント１からファイアウォール３を
介してサーバ４に対するコネクション（第１のコネクシ
ョン）を張る（）。

【００５９】クライアント１が、第１のコネクション上
でサーバ４に対する制御用のパケットを送信すると、フ
ァイアウォール３が図３（Ａ）に示す静的フィルタリン
グ条件によりフィルタリングを行い（のａ）、当該パ
ケットを通過させるか否かを判断し、条件を満たすパケ
ットであればサーバ４に転送する（）。この時、当該
パケットがクライアント１からのものであるので、解析
処理部６が当該パケットを解析する。この結果、第２の
コネクションを開設するための情報が抽出されないの
で、動的条件設定処理部７による動的フィルタリング条
件の設定は行われない。

【００６０】パケットを受信したサーバ４が、クライア
ント１に対する応答のパケットを送信すると、ファイア
ウォール３が図３（Ａ）に示す静的フィルタリング条件
の裏返しの条件によりフィルタリングを行い（の
ａ）、当該パケットを通過させるか否かを判断し、条件
を満たすパケットであればクライアント１に転送する
（）。

【００６１】クライアント１がサーバ４に対するデータ
転送要求（制御用）のパケットを送信すると、ファイア
ウォール３が図３（Ａ）に示す静的フィルタリング条件
によりフィルタリングを行い（のａ）、当該パケット
を通過させるか否かを判断し、条件を満たすパケットで
あればサーバ４に転送する（）。この時、当該パケッ
トがクライアント１からのものであるので、解析処理部
６が当該パケットを解析する。この結果、第２のコネク
ションを開設するための情報が抽出されるので、動的条
件設定処理部７により、フィルタ処理部１０の動的条件
テーブル１１への図３（Ｂ）に示す動的フィルタリング
条件の設定が行われる。

【００６２】パケットを受信したサーバ４が、第１のコ
ネクションとは別に、当該サーバ４からファイアウォー
ル３を介してクライアント１に対するコネクション（第
２のコネクション）を張る（）。

【００６３】サーバ４が、クライアント１に対する転送
データのパケットを送信すると、ファイアウォール３が
図３（Ｂ）に示す動的フィルタリング条件によりフィル
タリングを行い（のｂ）、当該パケットを通過させる
か否かを判断し、条件を満たすパケットであればクライ
アント１に転送する（）。

【００６４】データを受信したクライアント１は、サー
バ４に対するデータ受信完了通知（制御用）のパケット
を送信すると、ファイアウォール３が図３（Ａ）に示す
静的フィルタリング条件によりフィルタリングを行い
（のａ）、当該パケットを通過させるか否かを判断
し、条件を満たすパケットであればサーバ４に転送する
（）。この時、当該パケットがクライアント１からの
ものであるので、解析処理部６が当該パケットを解析す
る。この結果、第２のコネクションを閉塞するための情
報が抽出されるので、動的条件設定処理部７により、フ
ィルタ処理部１０の動的条件テーブル１１からの図３
（Ｂ）に示す動的フィルタリング条件の削除が行われ
る。

【００６５】サーバ４が、当該サーバ４からクライアン
ト１に対するコネクション（第２のコネクション）を切
断する（）。

【００６６】以上、本発明をその実施の態様により説明
したが、本発明はその主旨の範囲において種々の変形が
可能である。

【００６７】例えば、動的フィルタリング条件の作成
は、解析処理部６ではなく、動的条件設定処理部７又は
フィルタ処理部１０が行ってもよい。また、解析処理部
６と動的条件設定処理部７とを一体に設けてもよい。

【００６８】また、本発明は、ＦＴＰに限らず、例えば
ｔｅｌｎｅｔ等の種々の通信プロトコルに適用すること
ができる。例えば、ｔｅｌｎｅｔにおいては、フィルタ
処理部１０における静的フィルタリングの後、そのまま
中継処理を行うのではなく、当該パケットを中継モジュ
ール９に送るようにすればよい。

【００６９】

【発明の効果】以上説明したように、本発明によれば、
フィルタリング処理装置において、第１のコネクション
においてクライアントからサーバに対して送信されるデ
ータの解析結果に基づいて、第２のコネクションにおい
てサーバからクライアントに対して送信されるデータに
ついてのフィルタリングの条件を動的に設定することに
より、第２のコネクションにおいてサーバからクライア
ントへのデータがどのような条件で送信されるかを予め
知ることができるので、当該送信の条件に合致するサー
バからクライアントへのデータのみがフィルタリング処
理装置を通過するように設定することができ、結果とし
て、第２のコネクションにおいて通過条件を満たさない
データをフィルタリング処理により除去することがで
き、クライアントをフィルタリング処理装置の内側に保
護してそのセキュリティを向上することができる。

【図面の簡単な説明】

【図１】本発明の原理構成図である。

【図２】フィルタリング処理装置説明図である。

【図３】フィルタリング条件説明図である。

【図４】フィルタリング処理フローチャートである。

【図５】フィルタリング条件設定処理フローチャートで
ある。

【図６】フィルタリング処理説明図である。

【図７】従来技術説明図である。

【符号の説明】

１ クライアント ２ インターネット ３ ファイアウォール ４ サーバ ５ 中継処理部 ６ 解析処理部 ７ 動的条件設定処理部 ８ アドレスポートテーブル ９ 中継モジュール １０ フィルタ処理部 １１ 動的条件テーブル １２ 静的条件テーブル

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B089 GA11 GA21 HA10 HB04 JA40 KA17 KB13 KC52 KC58 5K030 GA15 HC01 HC14 HD03 HD06 KA07 LA01 LC15 LD20 LE17 MA04 MB00 5K033 AA01 AA03 CB03 CB06 CB08 DA05 DB12 DB14 DB16 DB18 DB20

Claims (12)

【特許請求の範囲】
1. 【請求項１】 クライアントとサーバとの間に設けら
   れ、これらの間において送受信されるデータのフィルタ
   リングを行うフィルタリング処理装置であって、 前記クライアントから前記サーバに対して送信されるデ
   ータを解析する解析処理部と、 前記解析処理部における解析結果に基づいて、前記サー
   バから前記クライアントに対して送信されるデータにつ
   いてのフィルタリングの条件を設定する動的条件設定処
   理部とを備えることを特徴とするフィルタリング処理装
   置。
2. 【請求項２】 前記クライアントとサーバとの間におい
   て送受信されるデータはパケットからなることを特徴と
   する請求項１に記載のフィルタリング処理装置。
3. 【請求項３】 当該フィルタリング処理装置が、更に、 前記動的条件設定処理部により設定された条件に従っ
   て、当該フィルタリング処理装置を通過しようとするデ
   ータについてのフィルタリングを行うフィルタ処理部を
   備えることを特徴とする請求項１に記載のフィルタリン
   グ処理装置。
4. 【請求項４】 前記解析処理部の解析するデータは、前
   記クライアントからの前記サーバに対する第１のコネク
   ションを介して、前記クライアントから送信されるデー
   タであり、 前記動的条件設定処理部の設定する条件は、前記第１の
   コネクションに対応する前記サーバからの前記クライア
   ントに対する第２のコネクションを介して、前記サーバ
   から送信されるデータについてのフィルタリングの条件
   であることを特徴とする請求項１に記載のフィルタリン
   グ処理装置。
5. 【請求項５】 前記解析処理部の解析するデータは、前
   記サーバ及びクライアントの間における前記第２のコネ
   クションについての制御情報を含むことを特徴とする請
   求項４に記載のフィルタリング処理装置。
6. 【請求項６】 前記第２のコネクションについての制御
   情報は、前記第２のコネクションを開設するための制御
   情報であり、 前記第２のコネクションを開設するための制御情報に基
   づいて、前記動的条件設定処理部が前記フィルタリング
   の条件を設定することを特徴とする請求項５に記載のフ
   ィルタリング処理装置。
7. 【請求項７】 前記第２のコネクションについての制御
   情報は、前記第２のコネクションを閉塞するための制御
   情報であり、 前記第２のコネクションを閉塞するための制御情報に基
   づいて、前記動的条件設定処理部が前記フィルタリング
   の条件を削除することを特徴とする請求項５に記載のフ
   ィルタリング処理装置。
8. 【請求項８】 前記クライアントからの前記サーバに対
   する第１のコネクションが存在する場合に、 前記解析処理部が、前記クライアントから送信されるデ
   ータを解析し、 前記動的条件設定処理部が、前記解析結果に基づいて、
   前記第１のコネクションに対応する前記サーバからの前
   記クライアントに対する第２のコネクションにおいて前
   記サーバから送信されるデータについてのフィルタリン
   グの条件を設定することを特徴とする請求項１に記載の
   フィルタリング処理装置。
9. 【請求項９】 前記クライアントからの前記サーバに対
   する第２のコネクションが存在する場合に、 前記解析処理部が、前記クライアントから送信されるデ
   ータを解析し、 前記動的条件設定処理部が、前記解析結果に基づいて、
   前記第２のコネクションにおけるフィルタリングの条件
   を削除することを特徴とする請求項８に記載のフィルタ
   リング処理装置。
10. 【請求項１０】 前記解析処理部が、第２のコネクショ
    ンにおけるフィルタリング以外のフィルタリングについ
    ての条件を備えることを特徴とする請求項１に記載のフ
    ィルタリング処理装置。
11. 【請求項１１】 クライアントと、 サーバと、 前記クライアントとサーバとの間に設けられ、これらの
    間において送受信されるデータのフィルタリングを行う
    フィルタリング処理装置とを備え、 前記フィルタリング処理装置が、 前記クライアントから前記サーバに対して送信されるデ
    ータを解析する解析処理部と、 前記解析処理部における解析結果に基づいて、前記サー
    バから前記クライアントに対して送信されるデータにつ
    いてのフィルタリングの条件を設定する動的条件設定処
    理部と、 前記動的条件設定処理部により設定された条件に従っ
    て、当該フィルタリング処理装置を通過しようとするデ
    ータについてのフィルタリングを行うフィルタ処理部を
    備えることを特徴とするネットワーク。
12. 【請求項１２】 クライアントとサーバとの間において
    送受信されるデータのフィルタリングを行うプログラム
    を格納したコンピュータ読取可能な記憶媒体において、 当該プログラムは、 前記クライアントから前記サーバに対して送信されるデ
    ータを解析する第１のプログラムコードと、 前記解析結果に基づいて、前記サーバから前記クライア
    ントに対して送信されるデータについてのフィルタリン
    グの条件を設定する第２のプログラムコードとを有する
    ことを特徴とするコンピュータ読取可能な記憶媒体。