JP2003271474A - 外部ネットワークからの不正侵入防止方法、およびプログラム - Google Patents

Abstract

(57)【要約】 【課題】 外部ネットワークからの正規の利用者になり
すました不正侵入者からの内部ネットワーク向けアプリ
ケーションへのアクセス、および大量の通信による基幹
サーバのスローダウンを防止する。 【解決手段】 ＬＡＮアダプタに識別情報を設け、ＬＡ
Ｎアダプタは識別情報を付加し受信データをサーバに転
送し、サーバは特定のＬＡＮアダプタ経由の受信データ
は内部ネットワーク向けアプリケーションとの接続を拒
否するように制御する。また、サーバからＬＡＮアダプ
タが使用できるデータ通信用の記憶域量を通知し、ＬＡ
Ｎアダプタは通知された記憶域量を超える受信データを
受信するとサーバへは転送しないように制御することに
よりデータ通信用記憶域の枯渇による内部ネットワーク
向けアプリケーションなど他のサービスのスローダウン
を防止する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークとネ
ットワークを相互に接続する広域ネットワークシステム
において、不正侵入者からネットワーク資源へのアクセ
スを排除するネットワークセキュリティに関し、特に外
部ネットワークから内部ネットワークへの不正侵入を防
止するネットワークセキュリティ保護技術に関する。

【０００２】

【従来の技術】インターネットなどの外部ネットワーク
とイントラネットなどの内部ネットワークとを接続する
システムでは、外部ネットワークと内部ネットワークの
接点となる位置にファイアウォール等の不正アクセス防
止機構を設置することにより、外部ネットワークからの
アクセスに対して、送信元のＩＰアドレス、受信先のＩ
Ｐアドレスおよびポート番号など、装置やネットワーク
アプリケーションの固有情報に基づいて内部ネットワー
クへのアクセスを制御していた。

【０００３】しかしながら、インターネットは不特定多
数が利用するため、利用者の中にはクラッカーと呼ばれ
る不正に内部ネットワークへの侵入を試みる者も少なく
ない。例えば、不正に認証済の利用者のＩＰアドレスを
入手し、データパケットに認証済のＩＰアドレスを付加
したものを送信し、あたかも正規の利用者になりすまし
てファイアウォールを通過してしまうと、受信先ポート
番号に対応するネットワークアプリケーションによって
は侵入が可能となる場合がある。一旦、ファイアウォー
ルを通過され、ネットワークアプリケーションに侵入さ
れてしまうと、それを足掛かりとして、更に内部ネット
ワークへの侵入を許してしまうことにもなり兼ねない。

【０００４】

【発明が解決しようとする課題】大型計算機の資源を有
効に利用するために、従来の社内システムの運用とＷｅ
ｂサーバなど外部ネットワークに対するサービスの運用
を併用して行うシステム（基幹サーバ）が存在するよう
になってきた。図１０にそのような基幹サーバを含む従
来のネットワークシステム構成の例が示してある。基幹
サーバ１には、複数のＬＡＮアダプタがグループ化して
接続され、インターネット５などの外部ネットワークに
対してはファイアウォール４を介して外部ネットワーク
用ＬＡＮアダプタ２（群）経由でデータの送受信を行
い、イントラネット７などの内部ネットワークに対して
は内部ネットワーク用ＬＡＮアダプタ（群）経由でデー
タの送受信を行う。

【０００５】ところが、複数のＬＡＮアダプタ（群）を
使用して、複数のネットワーク（イントラネット７とイ
ンターネット５など）に接続している場合、送信元に対
して通過してきたＬＡＮアダプタ（群）毎に、利用可能
なアプリケーションを制限することはできない。そのた
め、認証済の正規の利用者になりすましてファイアウォ
ール４を通過して侵入してきた不正利用者６は、外部ネ
ットワーク向けアプリケーション１１だけでは無く、社
外には公開できない秘密情報を含む可能性のある内部ネ
ットワーク向けアプリケーション１２にもアクセスでき
てしまうのが現状である（→Ｂ）。

【０００６】また、一旦、内部ネットワーク向けアプリ
ケーション１２に侵入されると、基幹サーバ１を踏み台
として、更にイントラネット７内の他のサーバ８への侵
入される可能性が出てくる（→Ｃ）。更に、基幹サーバ
１が持つデータ送受信のための通信バッファなどとして
使用されるデータ記憶装置１４は基幹サーバ１として共
通に使用されるため、例えば外部ネットワーク用ＬＡＮ
アダプタ２を経由した大量のデータ（サービス）を受け
付ける（所謂、Ｄｏｓ攻撃）と、データ記憶装置１４の
記憶域が枯渇し、内部ネットワーク向けアプリケーショ
ン１２など他のサービスのスローダウン（→Ａ）の原因
になり兼ねない。

【０００７】本発明の目的は、認証済の正規の利用者に
なりすました不正侵入者に対しても、基幹サーバが使用
するＬＡＮアダプタ（群）毎に利用可能な送信元と利用
可能なネットワークアプリケーションを制限することに
よりイントラネットなど内部ネットワークへの侵入を防
止すると共に、基幹サーバが使用するＬＡＮアダプタ
（群）毎に通信用メモリの上限値を設定し、特定のＬＡ
Ｎアダプタ（群）での大量の通信が、通信用データ記憶
域全体の枯渇による基幹サーバのスローダウンを防止す
ることにある。

【０００８】

【課題を解決するための手段】図１は本発明の実施の形
態１の全体構成図を示すものである。本発明の通信制御
プログラム１３は、コンピュータを用いて、複数のＬＡ
Ｎアダプタに対して、個々のＬＡＮアダプタを識別する
ためのＬＡＮアダプタ識別情報を通知する識別情報通知
手段１３１、ＬＡＮアダプタに対して、個々のＬＡＮア
ダプタが受信したデータを格納するために使用できるデ
ータ記憶域量を通知する記憶域量通知手段１３２、ＬＡ
Ｎアダプタ毎に利用を許可する送信元と、その送信元が
利用できるアプリケーションプログラムとの対応関係を
関連付ける関連付手段１３３、ＬＡＮアダプタが受信し
た前記ＬＡＮアダプタ識別情報が付加されたデータと、
前記関連付手段により関連付された送信元が利用出来る
アプリケーションプログラムとの対応関係に基づき送信
元とアプリケーションプログラムの接続可否を判定する
接続可否判定手段１３４、ＬＡＮアダプタのファームウ
ェアは、個々のＬＡＮアダプタを識別するためのＬＡＮ
アダプタ識別情報を取得する識別情報取得手段２１、個
々のＬＡＮアダプタが受信したデータに該ＬＡＮアダプ
タの識別情報を付加する識別情報付加手段２２、個々の
ＬＡＮアダプタが受信したデータを格納するために使用
できるサーバコンピュータ上の記憶域量を取得する記憶
域量取得手段２３、受信したデータの大きさが前記記憶
域量取得手段が取得した該ＬＡＮアダプタが使用できる
サーバコンピュータ上の記憶量を超えると、前記受信し
たデータを破棄するデータ破棄手段２４として機能する
ものである。

【０００９】識別情報通知手段１３１は必須の手段では
なく、例えばＬＡＮアダプタの識別情報取得手段２１が
ＬＡＮに接続したすべてのポートあるいはデバイスを識
別するために設定されるハードウェアアドレスである該
ＬＡＮアダプタのＭＡＣアドレスを取得し、ＬＡＮアダ
プタの識別情報とするように実装する場合などは不要と
なる。

【００１０】なお、上述の個々のＬＡＮアダプタを識別
するためのＬＡＮアダプタ識別情報とは、図３で示すＬ
ＡＮアダプタ＃１〜ＬＡＮアダプタ＃３をグループ化し
たＬＡＮアダプタグループ＃Ｇ１のように複数のＬＡＮ
アダプタをグループ化したＬＡＮアダプタグループ識別
情報を含むものとする。基幹サーバ１の通信制御プログ
ラム１３、及びＬＡＮアダプタのファームウェアを上記
の構成とすることにより、ＬＡＮアダプタ毎に受信した
データと基幹サーバ上の利用可能なネットワークアプリ
ケーションとの接続可否の制御が可能となり、例えば外
部ネットワーク用ＬＡＮアダプタ経由の受信データと内
部ネットワーク向けアプリケーション１２との接続を制
限することが可能となる。

【００１１】なお、ＬＡＮアダプタ経由の受信データと
ネットワークアプリケーションとの接続可否の制御に関
し柔軟性には欠けるが、関連付手段１３３がＬＡＮアダ
プタが利用できるアプリケーションとの対応を関連付
け、接続可否判定手段１３４が受信データに付加された
ＬＡＮアダプタ識別情報と利用できるアプリケーション
との対応関係に基づき接続可否の制御を行うように実装
すると、特定のＬＡＮアダプタを経由する受信データ
は、送信元に関わらず接続可能なアプリケーションが固
定され、例えば外部ネットワーク用ＬＡＮアダプタ２を
経由する受信データはすべて内部ネットワーク向けアプ
リケーション１２への接続はできないようにすることな
どが可能となる。

【００１２】また、ＬＡＮアダプタ毎に、基幹サーバ１
のデータ記憶装置１４上の通信バッファ領域を制御でき
るため、外部ネットワークに接続されている特定のＬＡ
Ｎアダプタからの大量のサービス要求を受け付けても、
内部ネットワーク向けアプリケーションなど他のサービ
スのスローダウンを防止することが可能となる。

【００１３】

【発明の実施の形態】図１は本発明の実施の形態１の全
体構成図を示すものである。本発明に係る基幹サーバ１
には、Ｗｅｂサービス用など外部ネットワーク向けアプ
リケーション１１、従来より内部で利用されていた開発
環境など内部ネットワーク向けアプリケーション１２、
基幹サーバ１と内外部のネットワークと接続されたクラ
イアントやサーバとのデータ通信の制御を行う通信制御
プログラム１３、通信制御プログラムがデータのＲＥＡ
Ｄ／ＷＲＩＴＥ（受信／送信）を行うためのデータ記憶
装置（通信バッファ）１４を有し、ネットワークを接続
するための周辺機器であるＬＡＮアダプタが外部ネット
ワーク用のものと内部ネットワーク用のものとして複数
台設置されている。

【００１４】外部ネットワーク用ＬＡＮアダプタ２には
インターネット５からの不正アクセス防止機構であるフ
ァイアウォール４、インターネット５には図示してはい
ないがＷｅｂなど外部ネットワーク向けアプリケーショ
ンの利用者の複数クライアントが接続されている。前記
クライアントの中には不正侵入者のクライアント６が含
まれている場合がある。また内部ネットワーク用ＬＡＮ
アダプタにはイントラネット７経由でサーバ８や、図示
はしていないが社内ネットワークの利用者の複数クライ
アントが接続されている。

【００１５】通信制御プログラム１３は、コンピュータ
読み取り可能な記録媒体に記録されており、複数のＬＡ
Ｎアダプタに対して、個々のＬＡＮアダプタを識別する
ためのＬＡＮアダプタ識別情報を通知する識別情報通知
手段１３１、ＬＡＮアダプタに対して、個々のＬＡＮア
ダプタが受信したデータを格納するために使用できるデ
ータ記憶域量を通知する記憶域量通知手段１３２、ＬＡ
Ｎアダプタ毎に利用を許可する送信元とその送信元が利
用できるアプリケーションプログラムとの対応関係を関
連付ける関連付手段１３３、ＬＡＮアダプタが受信した
前記ＬＡＮアダプタ識別情報が付加されたデータと、前
記関連付手段により関連付された送信元が利用出来るア
プリケーションプログラムとの対応関係に基づき送信元
とアプリケーションプログラムの接続可否を判定する接
続可否判定手段１３４を備えている。

【００１６】ＬＡＮアダプタには、コンピュータ読み取
り可能な記録媒体に記録されたファームウェアが格納さ
れており、ＬＡＮアダプタ識別情報を取得する識別情報
取得手段２１、個々のＬＡＮアダプタが受信したデータ
に該ＬＡＮアダプタの識別情報を付加する識別情報付加
手段２２、個々のＬＡＮアダプタが受信したデータを格
納するために使用できるサーバコンピュータ上の記憶域
量を取得する記憶域量取得手段２３、受信したデータの
大きさが前記記憶域量取得手段が取得した該ＬＡＮアダ
プタが使用できるサーバコンピュータ上の記憶量を超え
ると、前記受信したデータを破棄するデータ破棄手段２
４を備えている。

【００１７】図２は、ＬＡＮアダプタの定義例が示して
ある。ＬＡＮアダプタ＃０や＃４などのように個々のＬ
ＡＮアダプタ、またはＬＡＮアダプタ＃１〜＃３のよう
に（例えば、内部ネットワーク用のＬＡＮアダプタグル
ープ、外部ネットワーク用ＬＡＮアダプタグループな
ど）複数のＬＡＮアダプタを一纏めにしてグループ化
し、ＬＡＮアダプタグループとして定義する。定義内容
の詳細については図３、図４で説明する。

【００１８】図３は、ＬＡＮアダプタの定義結果の中、
グループ定義情報が格納されるテーブルである。グルー
プＩＤはシステム管理者が定義したＬＡＮアダプタグル
ープ名をシステム内でユニークな識別番号に変換したも
のである。この図では、例えば図２において、グループ
名グループ＃Ｇ１に対して通信制御プログラムがグルー
プＩＤとして”１”と変換している。これは、プログラ
ムが処理し易くしているだけであって、ＬＡＮアダプタ
を定義したときのグループ名を使用しても構わない。許
可ＩＰはＬＡＮアダプタグループを経由した電文が許可
される送信元のＩＰアドレス、許可ＰＯＲＴ１、許可Ｐ
ＯＲＴ２、・・・は許可された受信先のポート番号を示
している。

【００１９】ポート番号とは、外部ネットワーク向けア
プリケーションとか外部ネットワークアプリケーション
に割り振られたＴＣＰ／ＩＰ上の識別番号である。この
例では、グループＩＤ”１”のＬＡＮアダプタ経由で受
信したデータは送信元のＩＰアドレス”１０．１０．
３．５”のコンピュータは受信先ポート番号”８０８
０”と”２３５０１”、および送信元のＩＰアドレス”
１０．１０．３．４”のコンピュータは受信先ポート番
号”１００００”と”５００５”のネットワークアプリ
ケーションとのみ接続可能であることを示している。

【００２０】図４は、ＬＡＮアダプタの定義結果の中、
ＬＡＮアダプタ情報が格納されるテーブルである。個々
のＬＡＮアダプタに対する所属しているグループＩＤ、
及び許可ＩＰアドレス、許可ポート番号が格納される。
図２のＬＡＮアダプタ＃１はグループＩＤ”１”に属し
ていることを示している。なお、ＬＡＮアダプタグルー
プとして定義されたＬＡＮアダプタに対しては、グルー
プ定義情報に基づき通信制御プログラムがＬＡＮアダプ
タ情報テーブルを生成する。

【００２１】図５は、本発明に係る外部ネットワークか
らの不正侵入防止処理の全体フローを示すフローチャー
トである。本外部ネットワークからの不正侵入防止処理
は基幹サーバ１の通信制御プログラム１３とＬＡＮアダ
プタのファームウェア・プログラムとが連携して機能す
るものである。通信制御プログラム１は、先ずＬＡＮア
ダプタの定義情報に基づいてＬＡＮアダプタの初期化を
行う（Ｓ５０１）。処理の詳細については、図６を参照
されたい。続いてＬＡＮアダプタのファームウェア・プ
ログラムは、通信制御プログラム１３から取得した初期
化情報に基づき通信処理の準備を行う（Ｓ５０２）。処
理の詳細については、図７を参照されたい。続いてネッ
トワークから送信されたデータの受信処理を行う（Ｓ５
０３）。処理の詳細については、図８を参照されたい。
次に基幹サーバ１の通信制御プログラム１３はネットワ
ークアプリケーションが受信データのＲＥＡＤができる
ように受信処理を行う（Ｓ５０４）。処理の詳細につい
ては、図９を参照されたい。

【００２２】図６は、本発明に係る通信制御プログラム
１３のＬＡＮアダプタ初期化処理フローを示すフローチ
ャートである。先ずシステム管理者が定義したＬＡＮア
ダプタグループの定義情報を読み込む（Ｓ６０１）。Ｌ
ＡＮアダプタ及びＬＡＮアダプタグループの定義情報
は、定義用の対話型画面などでシステム管理者が指定し
た定義内容そのものが予め定義ファイルとして作成され
ているものとする。

【００２３】次に、ＬＡＮアダプタグループ毎にシーケ
ンス番号など基幹サーバでユニークなＩＤを付与して図
３で示すグループ定義情報テーブルを作成する（Ｓ６０
２）。続いてシステム管理者が定義したＬＡＮアダプタ
定義情報を読込み（Ｓ６０３）、ＬＡＮアダプタ毎に基
幹サーバでユニークなＩＤをに付与して図４で示すＬＡ
Ｎアダプタ情報テーブルを作成する（Ｓ６０４）。続い
て、ＬＡＮアダプタ毎にＬＡＮアダプタＩＤとデータ記
憶装置１４内の使用可能なデータ記憶域量の上限値を通
知する（Ｓ６０５）。

【００２４】図７は、本発明に係るＬＡＮアダプタの通
信処理準備の処理フローを示すフローチャートである。
先ず通信制御プログラム１３より通知されたＬＡＮアダ
プタＩＤを記憶する（Ｓ７０１）。次に先ず通信制御プ
ログラム１３より通知されたデータ記憶装置１４内の使
用可能なデータ記憶域量の上限値を使用可能データ記憶
域量として記憶する（Ｓ７０２）。

【００２５】図８は、本発明に係るＬＡＮアダプタの受
信処理の処理フローを示すフローチャートである。ネッ
トワーク経由でデータを受信する（Ｓ８０１）と、受信
したデータの大きさが使用可能記憶域量より大きいかど
うかを比較する（Ｓ８０２）。受信したデータの大きさ
が使用可能記憶域量より大きい場合には、受信したデー
タを破棄し（Ｓ８０７）、データの受信を待つ。

【００２６】受信したデータの大きさが使用可能記憶域
量より小さい場合には、受信したデータにＬＡＮアダプ
タＩＤを付加する（Ｓ８０３）。続いてデータ記憶装置
１４にＬＡＮアダプタＩＤを付加した受信データを書き
込み（Ｓ８０４）、通信制御プログラムが図９で示す受
信処理を行う（Ｓ８０５）。通信制御プログラムが受信
処理を行うと、ＬＡＮアダプタに対して現在使用可能な
記憶域量を通知してくるので、この値を使用可能記憶域
量として記憶する（Ｓ９０５）。

【００２７】図９は、本発明に係る通信制御プログラム
の受信処理の処理フローを示すフローチャートである。
先ず記憶装置１４からデータを読み込む（Ｓ９０１）。
読み込んだ受信データには、ＬＡＮアダプタが付加した
ＬＡＮアダプタＩＤ、接続先のネットワークアプリケー
ションのポート番号が含まれている。次に、受信したデ
ータがネットワークアプリケーションと接続可能かどう
かを確認する（Ｓ９０２）。これは、受信データ中のＬ
ＡＮアダプタＩＤ、接続先のネットワークアプリケーシ
ョンのポート番号と、図４で示すＬＡＮアダプタ情報テ
ーブルとを比較して確認する。

【００２８】接続可と判断した場合には、ネットワーク
アプリケーションに受信データを渡し（Ｓ９０４）、接
続不可と判断したときには、接続を拒否し受信データを
破棄する（Ｓ９０３）。次に今回受信処理したＬＡＮア
ダプタに対して使用可能な記憶域量を通知し（Ｓ９０
５）、次のデータの受信処理を待つ。 （付記１） ＬＡＮアダプタ毎に利用を許可する送信元
と該送信元が利用できるアプリケーションプログラムと
の対応関係を関連付ける関連付手段と、ＬＡＮアダプタ
から受信したＬＡＮアダプタ識別情報付の受信データ
と、前記関連付手段により関連付された送信元が利用出
来るアプリケーションプログラムとの対応関係に基づき
送信元とアプリケーションプログラムの接続可否を判定
する接続可否判定手段としてサーバコンピュータを機能
させる通信制御プログラム。

【００２９】（付記２） ＬＡＮアダプタに対して、個
々のＬＡＮアダプタが受信したデータを格納するために
使用できるデータ記憶域量を通知する記憶域量通知手段
としてサーバコンピュータを機能させる付記１記載の通
信制御プログラム。 （付記３） ＬＡＮアダプタと該ＬＡＮアダプタが利用
できるアプリケーションプログラムとの対応関係を関連
付ける関連付手段と、ＬＡＮアダプタから受信したＬＡ
Ｎアダプタ識別情報付の受信データと、前記関連付手段
により関連付されたＬＡＮアダプタが利用出来るアプリ
ケーションプログラムとの対応関係に基づき該受信デー
タとアプリケーションプログラムの接続可否を判定する
接続可否判定手段としてサーバコンピュータを機能させ
る通信制御プログラム。

【００３０】（付記４） 個々のＬＡＮアダプタを識別
するためのＬＡＮアダプタ識別情報を取得する識別情報
取得手段と、個々のＬＡＮアダプタが受信したデータに
該ＬＡＮアダプタの識別情報を付加する識別情報付加手
段としてＬＡＮアダプタを機能させるファームウェア・
プログラム。

【００３１】（付記５） 個々のＬＡＮアダプタが受信
したデータを格納するために使用できるサーバコンピュ
ータ上の記憶域量を取得する記憶域量取得手段と、受信
したデータの大きさが前記記憶域量取得手段が取得した
該ＬＡＮアダプタが使用できるサーバコンピュータ上の
記憶量を超えると、前記受信したデータを破棄するデー
タ破棄手段としてＬＡＮアダプタを機能させる付記４記
載のファームウェア・プログラム。

【００３２】（付記６） サーバコンピュータとＬＡＮ
アダプタを用いて外部のネットワークから不正侵入を防
止する方法であって、サーバコンピュータには、ＬＡＮ
アダプタ毎に利用を許可する送信元と該送信元が利用で
きるアプリケーションプログラムとの対応関係を関連付
けるステップと、ＬＡＮアダプタから受信したＬＡＮア
ダプタ識別情報付の受信データと、前記関連付手段によ
り関連付された送信元が利用出来るアプリケーションプ
ログラムとの対応関係に基づき送信元とアプリケーショ
ンプログラムの接続可否を判定するステップと、ＬＡＮ
アダプタのファームウェアには、個々のＬＡＮアダプタ
を識別するためのＬＡＮアダプタ識別情報を取得するス
テップと、個々のＬＡＮアダプタが受信したデータに該
ＬＡＮアダプタの識別情報を付加するステップとを有す
る外部ネットワークからの不正侵入防止方法。

【００３３】（付記７） サーバコンピュータとＬＡＮ
アダプタを用いて外部のネットワークから不正侵入を防
止する方法であって、サーバコンピュータには、複数の
ＬＡＮアダプタに対して、個々のＬＡＮアダプタが受信
したデータを格納するために使用できるデータ記憶域量
を通知するステップと、ＬＡＮアダプタ毎に利用を許可
する送信元と該送信元が利用できるアプリケーションプ
ログラムとの対応関係を関連付けるステップと、ＬＡＮ
アダプタから受信したＬＡＮアダプタ識別情報付の受信
データと、前記関連付手段により関連付された送信元が
利用出来るアプリケーションプログラムとの対応関係に
基づき送信元とアプリケーションプログラムの接続可否
を判定するステップと、ＬＡＮアダプタのファームウェ
アには、個々のＬＡＮアダプタを識別するためのＬＡＮ
アダプタ識別情報を取得するステップと、個々のＬＡＮ
アダプタが受信したデータを格納するために使用できる
サーバコンピュータ上の記憶域量を取得するステップ
と、個々のＬＡＮアダプタが受信したデータに該ＬＡＮ
アダプタの識別情報を付加するステップと、受信したデ
ータの大きさが前記記憶域量取得手段が取得した該ＬＡ
Ｎアダプタが使用できるサーバコンピュータ上の記憶量
を超えると、前記受信したデータを破棄するステップと
を有する外部ネットワークからの不正侵入防止方法。

【００３４】（付記８） ＬＡＮアダプタ毎に利用を許
可する送信元と該送信元が利用できるアプリケーション
プログラムとの対応関係を関連付ける関連付手段と、Ｌ
ＡＮアダプタから受信したＬＡＮアダプタ識別情報付の
受信データと、前記関連付手段により関連付された送信
元が利用出来るアプリケーションプログラムとの対応関
係に基づき送信元とアプリケーションプログラムの接続
可否を判定する接続可否判定手段とを有することを特徴
とするサーバコンピュータ。

【００３５】（付記９） 複数のＬＡＮアダプタに対し
て、個々のＬＡＮアダプタが受信したデータを格納する
ために使用できるデータ記憶域量を通知する記憶域量通
知手段 を有することを特徴とする付記７記載のサーバ
コンピュータ。 （付記１０） 個々のＬＡＮアダプタを識別するための
ＬＡＮアダプタ識別情報を取得する識別情報取得手段
と、個々のＬＡＮアダプタが受信したデータに該ＬＡＮ
アダプタの識別情報を付加する識別情報付加手段とを有
することを特徴とするしてＬＡＮアダプタ。

【００３６】（付記１１） 個々のＬＡＮアダプタが受
信したデータを格納するために使用できるサーバコンュ
ータ上の記憶域量を取得する記憶域量取得手段と、受信
したデータの大きさが前記記憶域量取得手段が取得した
該ＬＡＮアダプタが使用できるサーバコンピュータ上の
記憶量を超えると、前記受信したデータを破棄するデー
タ破棄手段とを有することを特徴とする付記１０記載の
ＬＡＮアダプタ。

【００３７】（付記１２） ＬＡＮアダプタ毎に利用を
許可する送信元と該送信元が利用できるアプリケーショ
ンプログラムとの対応関係を関連付ける関連付手段と、
ＬＡＮアダプタから受信したＬＡＮアダプタ識別情報月
の受信データと、前記関連付手段により関連付された送
信元が利用出来るアプリケーションプログラムとの対応
関係に基づき送信元とアプリケーションプログラムの接
続可否を判定する接続可否判定手段としてサーバコンピ
ュータを機能させる通信制御プログラムを記録したコン
ピュータ読み取り可能な記録媒体。

【００３８】（付記１３） ＬＡＮアダプタに対して、
個々のＬＡＮアダプタが受信したデータを格納するため
に使用できるデータ記憶域量を通知する記憶域量通知手
段としてサーバコンピュータを機能させる付記１２記載
の通信制御プログラムを記録したコンピュータ読み取り
可能な記録媒体。 （付記１４） 個々のＬＡＮアダプタを識別するための
ＬＡＮアダプタ識別情報を取得する識別情報取得手段
と、個々のＬＡＮアダプタが受信したデータに該ＬＡＮ
アダプタの識別情報を付加する識別情報付加手段として
ＬＡＮアダプタを機能させるファームウェア・プログラ
ムを記録したコンピュータ読み取り可能な記録媒体。

【００３９】（付記１５） 個々のＬＡＮアダプタが受
信したデータを格納するために使用できるサーバコンュ
ータ上の記憶域量を取得する記憶域量取得手段と、受信
したデータの大きさが前記記憶域量取得手段が取得した
該ＬＡＮアダプタが使用できるサーバコンピュータ上の
記憶量を超えると、前記受信したデータを破棄するデー
タ破棄手段としてＬＡＮアダプタを機能させる付記１４
記載のファームウェア・プログラムを記録したコンピュ
ータ読み取り可能な記録媒体。

【００４０】

【発明の効果】認証済の正規の利用者になりすました不
正侵入者に対しても、イントラネットなど内部ネットワ
ークへの侵入を防止すると共に、特定のＬＡＮアダプタ
（群）での大量の通信が、通信用データ記憶域全体の枯
渇による基幹サーバのスローダウンを防止することが可
能となる。

【図面の簡単な説明】

【図１】本発明の実施の形態１の全体構成図

【図２】本発明に係るＬＡＮアダプタの定義例

【図３】本発明に係るグループ定義情報テーブル

【図４】本発明に係るＬＡＮアダプタ情報テーブル

【図５】本発明に係る実施の形態１における外部ネット
ワークからの不正侵入防止処理の全体処理フロー

【図６】本発明に係る実施の形態１における通信制御プ
ログラムのＬＡＮアダプタ初期化処理フロー

【図７】本発明に係る実施の形態１におけるＬＡＮアダ
プタの通信処理準備の処理フロー

【図８】本発明に係る実施の形態１におけるＬＡＮアダ
プタの受信処理の処理フロー

【図９】本発明に係る実施の形態１における通信制御プ
ログラムの受信処理の処理フロー

【図１０】従来のネットワークシステム構成図

【符号の説明】

１ 基幹サーバ ２ 外部ネットワーク用ＬＡＮアダプタ ３ 内部ネットワーク用ＬＡＮアダプタ ４ ファイアウォール ５ インターネット ６ 不正侵入者（クライアント） ７ イントラネット ８ サーバ １１ 外部ネットワーク向けアプリケーション １２ 内部ネットワーク向けアプリケーション １３ 通信制御プログラム １４ データ記憶装置 ２１ 識別情報取得手段 ２２ 識別情報付加手段 ２３ 記憶域量取得手段 ２４ データ破棄手段 ３１ 識別情報取得手段 ３２ 識別情報付加手段 ３３ 記憶域量取得手段 ３４ データ破棄手段 １３１ 識別情報通知手段 １３２ 記憶域量通知手段 １３３ 関連付手段 １３４ 接続可否判定手段

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B085 AA01 AA03 AE01 AE06 AE23 5B089 GA04 GA11 GB01 KA17 KB13 KC34 KC52 KC58

Claims (3)

【特許請求の範囲】
1. 【請求項１】 ＬＡＮアダプタ毎に利用を許可する送信
   元と該送信元が利用できるアプリケーションプログラム
   との対応関係を関連付ける関連付手段と、 ＬＡＮアダプタから受信したＬＡＮアダプタ識別情報付
   の受信データと、前記関連付手段により関連付された送
   信元が利用出来るアプリケーションプログラムとの対応
   関係に基づき送信元とアプリケーションプログラムの接
   続可否を判定する接続可否判定手段としてサーバコンピ
   ュータを機能させる通信制御プログラム。
2. 【請求項２】 個々のＬＡＮアダプタを識別するための
   ＬＡＮアダプタ識別情報を取得する識別情報取得手段
   と、 個々のＬＡＮアダプタが受信したデータに該ＬＡＮアダ
   プタの識別情報を付加する識別情報付加手段としてＬＡ
   Ｎアダプタを機能させるファームウェア・プログラム。
3. 【請求項３】 サーバコンピュータとＬＡＮアダプタを
   用いて外部のネットワークから不正侵入を防止する方法
   であって、 サーバコンピュータには、複数のＬＡＮアダプタに対し
   て、個々のＬＡＮアダプタが受信したデータを格納する
   ために使用できるデータ記憶域量を通知するステップ
   と、 ＬＡＮアダプタ毎に利用を許可する送信元と該送信元が
   利用できるアプリケーションプログラムとの対応関係を
   関連付けるステップと、 ＬＡＮアダプタから受信したＬＡＮアダプタ識別情報付
   の受信データと、前記関連付手段により関連付された送
   信元が利用出来るアプリケーションプログラムとの対応
   関係に基づき送信元とアプリケーションプログラムの接
   続可否を判定するステップと、 ＬＡＮアダプタのファームウェアには、個々のＬＡＮア
   ダプタを識別するためのＬＡＮアダプタ識別情報を取得
   するステップと、 個々のＬＡＮアダプタが受信したデータを格納するため
   に使用できるサーバコンピュータ上の記憶域量を取得す
   るステップと、 個々のＬＡＮアダプタが受信したデータに該ＬＡＮアダ
   プタの識別情報を付加するステップと、 受信したデータの大きさが前記記憶域量取得手段が取得
   した該ＬＡＮアダプタが使用できるサーバコンピュータ
   上の記憶量を超えると、前記受信したデータを破棄する
   ステップとを有する外部ネットワークからの不正侵入防
   止方法。