JP2005182640A

JP2005182640A - ファイアウォール装置、及びそれを用いた通信システム、通信方法

Info

Publication number: JP2005182640A
Application number: JP2003425372A
Authority: JP
Inventors: Reiketsu Ko; 令傑孔
Original assignee: Japan Telecom Co Ltd
Current assignee: SoftBank Corp
Priority date: 2003-12-22
Filing date: 2003-12-22
Publication date: 2005-07-07

Abstract

【課題】ＯＳや端末の状態に依存せずに独立して基本動作を行うことができ、更にはファイアウォール機能とリモートコントロール機能とを明確に分離することで制御データ等の書き換えを端末による制御なくして独立して実行可能とする。
【解決手段】このファイアウォール装置１は、ハードウェアで構成され、受信したパケットを解析し、当該パケットに遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを格納し、当該遠隔制御データが含まれていない場合には、制御データに基づいて当該パケットが通過条件に合致しているか否かを判断するように制御するファイアウォール・コア部１２を有する。
【選択図】図１

Description

本発明は、例えば、不正なパケットをフィルタリングする機能等を備えたファイアウォール装置、及びそれを用いた通信システム、通信方法に関する。

従来、ネットワーク・システムの内部（ＬＡＮ等）と外部（インターネット等）の境界部分にファイアウォール装置を設け、当該ファイアウォール装置により外部からのアクセスを制限することで、内部システムの安全性を高めることがなされている。このようなファイアウォール装置は、例えばインターネットから入ってくるパケット、ＬＡＮから出ていくパケットを監視し、不正パケットを適宜破棄することはできるが、ＬＡＮ内部で行われる通信に関する制御はできない。そこで、今日では、パーソナルファイアウォールというソフトウェアファイアウォールを端末毎に実装することがなされている。通常のファイアウォールがインターネットとＬＡＮの境界部分に設置され使用されるのに対して、このパーソナルファイアウォールはウイルススキャンソフト等との併用で個々の端末毎にインストールされてＯＳ上で実行されるソフトウェアである（非特許文献１参照）。
NETWORK MAGAZINE（ネットワークマガジン）２００４年１月号，P176-177，出版社アスキー，２００３年１１月２２日発行

しかしながら、上記パーソナルファイアウォールは、前述したように端末毎にインストールされＯＳ上で実行されるソフトウェアであることから、ＯＳに依存するところが大きく、端末が起動していないときには実行されない。即ち、パーソナルファイアウォールでは、トラヒックが危険な状態下にあっても、端末が起動されていないと、フィルタリング等の各種機能を発揮することができない。

本発明の目的とするところは、ハードウェアによりファイアウォール装置を構成することで、ＯＳに依存することなく、更に端末の状態によらず、独立してフィルタリング等の基本動作を行うことができるようにし、更にはファイアウォール機能とリモートコントロール機能とを明確に分離することで制御データ等の書き換えを端末による制御なくして独立して実行可能とすることにある。

上記目的を達成するために、本発明の第１の態様では、ネットワークを介して外部と通信する通信手段と、少なくとも遠隔制御データを格納する遠隔制御データ格納手段と、上記通信手段にて受信したパケットを解析し、当該パケットに遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを上記遠隔制御データ格納手段に格納するように制御するファイアウォール手段とを具備することを特徴とするファイアウォール装置が提供される。

本発明の第２の態様では、ネットワークを介して外部と通信する通信手段と、少なくとも遠隔制御データを格納する遠隔制御データ格納手段と、少なくとも制御データを格納する制御データ格納手段と、上記通信手段にて受信したパケットを解析し、当該パケットに遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを上記遠隔制御データ格納手段に格納し、当該遠隔制御データが含まれていない場合には、上記制御データ格納手段に格納されている制御データに基づいて当該パケットが通過条件に合致しているか否かを判断するように制御するファイアウォール手段とを具備することを特徴とするファイアウォール装置が提供される。

本発明の第３の態様では、上記第２の態様において、上記ファイアウォール手段は、パケットが通過条件に合致していると判断した場合には当該パケットを通過し、通過条件に合致していないと判断した場合には当該パケットを破棄するように制御することを更に特徴とするファイアウォール装置が提供される。

本発明の第４の態様では、上記第２の態様において、上記パケットのログデータを格納するログデータ格納手段を更に有し、上記ファイアウォール手段は、上記パケットが制御データに含まれるログ条件に合致しているか否かを判断し、当該ログ条件に合致している場合には上記ログデータ格納手段に当該パケットのログデータを書き込むことを更に特徴とするファイアウォール装置が提供される。

本発明の第５の態様では、ネットワークを介して外部と通信する第１の通信手段と、端末と通信するための第２の通信手段と、少なくとも遠隔制御データを格納する遠隔制御データ格納手段と、少なくとも制御データを格納する制御データ格納手段と、上記第１の通信手段又は第２の通信手段にて受信したパケットを解析し、当該パケットに遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを上記遠隔制御データ格納手段に格納し、当該遠隔制御データが含まれていない場合には、上記制御データ格納手段に格納されている制御データに基づいて当該パケットが通過条件に合致しているか否かを判断する当該パケットに上記端末による制御命令が含まれているか否かを判断し、更には、当該パケットに制御命令が含まれている場合には制御手段に転送するように制御するファイアウォール手段と、上記制御命令に従って、遠隔制御データに基づくデータの更新処理を行い、当該更新処理の結果を上記ネットワーク及び上記端末の少なくともいずれかに通知するように制御する制御手段とを具備することを特徴とするファイアウォール装置が提供される。

本発明の第６の態様では、上記第１乃至第５の態様において、上記遠隔制御データには、制御データやソフトウェア、制御命令の少なくともいずれかが含まれることを更に特徴とするファイアウォール装置が提供される。

本発明の第７の態様では、ネットワークを介してファイアウォール装置と制御センタとが接続された通信システムであって、上記制御センタは、上記ファイアウォール装置の制御データを記憶する制御データデータベースと、上記制御データを含む遠隔制御データを送信するセンタ通信手段と、を有し、上記ファイアウォール装置は、ネットワークを介して少なくとも制御センタと通信する通信手段と、少なくとも遠隔制御データを格納する遠隔制御データ格納手段と、少なくとも制御データを格納する制御データ格納手段と、を有し、上記通信手段にて受信したパケットを解析し、当該パケットに制御センタからの遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを上記遠隔制御データ格納手段に格納し、当該遠隔制御データが含まれていない場合には、上記制御データ格納手段に格納されている制御データに基づいて当該パケットが通過条件に合致しているか否かを判断するように制御することを特徴とする通信システムが提供される。

本発明の第８の態様では、制御センタと、ネットワークを介して当該制御センタと接続されたファイアウォール装置と、当該ファイアウォール装置を介して制御センタと通信自在な端末とからなる通信システムであって、上記制御センタは、上記ファイアウォール装置の制御データを記憶する制御データデータベースと、上記端末のデータを記憶する端末データベースと、上記制御データを含む遠隔制御データを送信するセンタ通信手段と、を有し、上記ファイアウォール装置は、ネットワークを介して少なくとも制御センタと通信する第１の通信手段と、端末と通信するための第２の通信手段と、少なくとも遠隔制御データを格納する遠隔制御データ格納手段と、少なくとも制御データを格納する制御データ格納手段と、上記第１の通信手段又は第２の通信手段にて受信したパケットを解析し、当該パケットに制御センタからの遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを上記遠隔制御データ格納手段に格納し、当該遠隔制御データが含まれていない場合には、上記制御データ格納手段に格納されている制御データに基づいて当該パケットが通過条件に合致しているか否かを判断する当該パケットに上記端末による制御命令が含まれているか否かを判断し、更には、当該パケットに端末或いは制御センタからの制御命令が含まれている場合には制御手段に転送するように制御するファイアウォール手段と、上記制御命令に従って、ファイアウォール手段の設定の更新或いは読み出し、又は遠隔制御データに基づく更新処理を行い、当該更新処理の結果を上記ネットワーク及び上記端末の少なくともいずれかに通知するように制御する制御手段と、を有する、ことを特徴とする通信システムが提供される。

本発明の第９の態様では、制御センタと、ネットワークを介して当該制御センタと接続されたファイアウォール装置と、当該ファイアウォール装置を介して制御センタと通信自在な端末とからなる通信システムによる通信方法であって、上記ファイアウォール装置において、ファイアウォール手段が、受信したパケットを解析し、当該パケットに制御センタからの遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを遠隔制御データ格納手段に格納し、当該遠隔制御データが含まれていない場合には、制御データ格納手段に格納されている制御データに基づいて当該パケットが通過条件に合致しているか否かを判断する当該パケットに上記端末による制御命令が含まれているか否かを判断し、更には、当該パケットに端末或いは制御センタからの制御命令が含まれている場合には制御手段に転送するように制御し、制御手段が、上記制御命令に従って、ファイアウォール手段の設定の更新或いは読み出し、又は遠隔制御データに基づく更新処理を行い、当該更新処理の結果を上記ネットワーク及び上記端末の少なくともいずれかに通知するように制御する、ことを特徴とする通信方法が提供される。

本発明によれば、ハードウェアによりファイアウォール装置を構成することで、ＯＳに依存することなく、更に端末の状態によらず、独立してフィルタリング等の基本動作を行うことができるようにし、更にはファイアウォール機能とリモートコントロール機能とを明確に分離することで制御データ等の書き換えを端末による制御なくして独立して実行可能とする、ファイアウォール装置、及びそれを用いた通信システム、通信方法を提供することができる。

以下、図面を参照して、本発明の実施の形態について説明する。

（第１の実施の形態）
図１には、本発明の第１の実施の形態に係るファイアウォール装置、及びそれを用いた通信システムの構成例を示し、説明する。

この図１に示されるように、ファイアウォール装置１ａ，１ｂ・・・を集中管理する遠隔制御センタ３は、端末データベース（ＤＢ）４と制御データＤＢ５を有している。各端末２ａ，２ｂ・・・は、ファイアウォール装置１ａ，１ｂ・・・、ネットワーク６を介して、端末相互間で或いは遠隔制御センタ３と通信自在となっている。尚、以下の説明では、ファイアウォール装置１ａ，１ｂ・・・を総称するときは符号１を用い、端末２ａ，２ｂ・・・を総称するときは符号２を用いることとする。

ここで、上記ファイアウォール装置１の詳細な構成は、図２に示される通りである。

図２に示されるように、このファイアウォール装置１は、ネットワークインタフェース（Ｉ／Ｆ）部１１、ファイアウォール・コア部１２、遠隔制御データ格納部１３、制御部１４、制御データ格納部１５、ログデータ格納部１６、端末Ｉ／Ｆ部１７を有する。

ネットワークＩ／Ｆ部１１は、ＬＡＮやＷＡＮ等のネットワーク６を介した通信の為のＩ／Ｆである。例えば、遠隔制御センタ３からパケットがネットワーク６を介して送信されると、当該パケットがネットワークＩ／Ｆ部１１を介してファイアウォール・コア部１２に送られる。ファイアウォール・コア部１２は、制御データ格納部１５に格納されている制御データに基づいて、データトラフィックを制御する為のものである。即ち、ファイアウォール・コア部１２は、通過パケットを制限することができ、通過を許可していない不正パケットを破棄する、所謂パケットフィルタリングの機能を有する。この場合、ファイアウォール・コア部１２は、上記パケットを制御データ格納部１５に格納されている制御データ（通過条件）と比較し、通過の可否を決定する。この詳細は後述する。

遠隔制御データ格納部１３は、遠隔制御センタ３からネットワーク６を介して送信された遠隔制御データを格納する為のものである。この遠隔制御データ格納部１３は、ネットワーク６を介して遠隔制御センタ３等から送信された遠隔制御データ等の書き込みのみが可能となっており、当該遠隔制御データ等は制御部１４によってのみ読み出しが可能となっている。即ち、ファイアウォール・コア部１２は、遠隔制御データを遠隔制御データ格納部１３に格納することはできても、当該遠隔制御データ格納部１３より遠隔制御データを読み出すことはできない。ここで、遠隔制御データとは、遠隔制御センタ３からネットワーク６を介して送られたパケットのデータ部に含まれるもので、制御データやファームウェア等のソフトウェア、制御命令等を含むものである。

制御部１４は、端末２又は遠隔制御センタ３からのパケットに含まれる制御命令に従ってファイアウォール装置１の制御を司る為のものである。より具体的には、ファイアウォール装置１の動作モードの設定、制御データの更新、ファームウェア等のソフトウェアの更新、ログデータに関する操作等の制御を司る。制御データ格納部１５は、ファイアウォール・コア部１２が動作する為の制御データを格納する為のものである。ログデータ格納部１６は、ファイアウォール装置１の動作履歴を記録する為のものである。端末Ｉ／Ｆ部１７は、ファイアウォール装置１と端末２との間の通信の為のＩ／Ｆである。

なお、ファイアウォール・コア部１２はプログラムとして実装することも可能である。

また、制御部１４についてもプログラムとして実装することが可能である。

尚、請求項に記載の通信手段、第１の通信手段とはネットワークＩ／Ｆ部１１等に相当し、第２の通信手段とは端末Ｉ／Ｆ部１７等に相当し、遠隔制御データ格納手段とは遠隔制御データ格納部１３等に相当し、ファイアウォール手段とはファイアウォール・コア部１２等に相当し、制御データ格納手段とは制御データ格納部１５等に相当し、制御手段とは制御部１４等に相当する。但し、これらの関係には限定されない。

以上の構成において、この第１の実施の形態に係るファイアウォール装置１では、管轄する端末２の状態（起動／非起動）に係らず、独立して基本動作を行うことができる点で、ソフトウェアで構成されたパーソナルファイアウォールとは相違する。例えば、従来技術に係るパーソナルファイアウォールでは、トラフィックが危険な状態になっても、端末２が起動していなければトラフィックを遮断することができなかったが、この第１の実施の形態に係るファイアウォール装置１では、端末２の状態に係らず遮断できる。

また、ファイアウォール装置１では、ファイアウォール機能とリモートコントロール機能とを明確に分離しているので、当該ファイアウォール機能に関しては端末２からの制御なくしても独立して実行可能であり、更には、制御データ格納部１５の制御データ（制御パラメータを含む）の書き換えも端末２による制御なくして独立して実行可能である。また、遠隔制御センタ３により遠隔制御できるのは制御データ（制御パラメータを含む）の更新のみとすることで、セキュリティを担保している。

次に、図３（ａ）には遠隔制御センタ３から送信されるパケットの一例を示し、図３（ｂ）には制御データに含まれる通過条件に係るテーブルの一例を示し、説明する。

先ず、図３（ａ）に示されるように、パケットはヘッダ部とデータ部からなり、当該ヘッダ部はＩＰヘッダ、ＴＣＰ／ＵＤＰヘッダからなる。

このパケットのＩＰヘッダには、例えばバージョン番号（Ver.No.）やプロトコルタイプ（Protocol Type；以下、ＰＴと略記する）、送信元ＩＰアドレス（Src.ADDR；以下、ＳＡと略記する）、宛先ＩＰアドレス（Dst.ADDR；以下、ＤＡと略記する）等が含まれている。更に、ＴＣＰ／ＵＤＰヘッダには、送信元／宛先のポート番号（Port No.;以下、ＰＮと略記する）等が含まれている。

一方、パケットのデータ部にはペイロードデータ（Payload Data）や特定情報（Specified Data；以下、ＳＤと略記する）等が含まれている。このＳＤは、コンピュータウィルス等を有無を判断する為のものである。更に、遠隔制御データ（制御データ、ファームウェア、制御命令等を含む）は、このデータ部に含まれる。

そして、図３（ｂ）に示されるように、パケットフィルタリングの通過条件に係るテーブルは、前述したパケットに含まれるＩＰ，ＰＴ，ＳＡ，ＤＡ，ＤＮ，ＳＰ，そしてフラグ（通過の場合“１”、非通過の場合“０”等）を関連付けて、通過すべきか否かについて判断する上での条件を定めている。ファイアウォール・コア部１２は、ネットワークＩ／Ｆ部１１を介して受けたパケットの上記ＩＰ，ＰＴ，ＳＡ，ＤＡ，ＤＮ，ＳＰの各情報を読み取り、図３（ｂ）のテーブルで予め定められている条件と照らして、当該パケットの扱いを決定することになる（パケットフィルタリング）。

ここで、本実施の形態のファイアウォール装置１において、ログデータをログデータ格納部１６に格納しているのは、日々刻々と変化する利用状況を適正に把握して、当該利用状況に応じて適切な処置を行うことは重要なことであり、こうした状況に対応するためには、ログの監視及び管理が重要になるからである。

以下、図４のフローチャートを参照して、本発明の第１の実施の形態に係るファイアウォール装置１がネットワーク６よりネットワークＩ／Ｆ部１１を介してパケットの外部入力を受けた場合のファイアウォール・コア部１２による処理の流れを詳細に説明する。

尚、この処理は、第１の実施の形態に係る通信方法にも相当する。

ファイアウォール・コア部１２は、ネットワークＩ／Ｆ部１１を介してパケットを受けると、当該パケットを解析し、遠隔制御データが含まれているか否かを判断する（ステップＳ１）。そして、遠隔制御データが含まれている場合には、当該遠隔制御データを遠隔制御データ格納部１３に格納し（ステップＳ２）、本処理を終了する。

一方、パケットに遠隔制御データが含まれていない場合には、ファイアウォール・コア部１２は、制御データ格納部１５に格納されている制御データとの照合を行う（ステップＳ３）。尚、この制御データには、ログ条件、通過条件が含まれる。そして、ファイアウォール・コア部１２は、パケットのログデータがログ条件に合致しているか否かを判断し（ステップＳ４）、ログ条件に合致している場合にはログデータをログデータ格納部１６に書き込み（ステップＳ５）、ステップＳ６に移行する。ログ条件に合致していない場合には、通過条件に照らして通過すべきか否かを判断する（ステップＳ６）。

このステップＳ６で、ファイアウォール・コア部１２は、制御データ格納部１５に格納されている制御データに含まれる通過条件に係るテーブル（図３（ｂ））を参照して、パケットを通過させるべきでないと判断した場合には、当該パケットを破棄し（ステップＳ７）、本処理を終了する。一方、通過させるべきと判断した場合には、端末Ｉ／Ｆ部１７に当該パケットを送信し（ステップＳ８）、本処理を終了する。

次に、図５のフローチャートを参照して、本発明の第１の実施の形態に係るファイアウォール装置１が、端末２より端末Ｉ／Ｆ部１７を介してパケットの外部入力を受けた場合のファイアウォール・コア部１２による処理の流れを詳細に説明する。

ファイアウォール・コア部１２は、端末Ｉ／Ｆ部１７を介してパケットを受けると、当該パケットを解析し、制御命令が含まれているか否かを判断する（ステップＳ１１）。このステップＳ１１にて、制御命令が含まれていると判断した場合には、ファイアウォール・コア部１２は、当該制御命令を制御部１４に送り（ステップＳ１２）、本処理を終了する。一方、パケットに制御命令が含まれていないと判断した場合、ファイアウォール・コア部１２は、制御データ格納部１５に格納されている制御データとの照合を行う（ステップＳ１３）。尚、この制御データには、ログ条件、通過条件が含まれる。

そして、ファイアウォール・コア部１２は、パケットのログデータがログ条件に合致しているか否かを判断し（ステップＳ１４）、ログ条件に合致している場合にはログデータをログデータ格納部１６に書き込み（ステップＳ１５）、ステップＳ１６に移行する。これに対して、ログ条件に合致していない場合には、ファイアウォール・コア部１２は、制御データ格納部１５に格納されている制御データに含まれる通過条件に係るテーブルを参照して、パケットを通過すべきか否かを判断する（ステップＳ１６）。

そして、このステップＳ１６にて、ファイアウォール・コア部１２は、パケットを通過させるべきでないと判断した場合には、当該パケットを破棄し（ステップＳ１７）、本処理を終了することになる。一方、ファイアウォール・コア部１２は、通過させるべきと判断した場合には、ネットワークＩ／Ｆ部１１を介して当該パケットをネットワーク６に送信し（ステップＳ１８）、本処理を終了することになる。

次に、図６及び図７のフローチャートを参照して、本発明の第１の実施の形態に係るファイアウォール装置１の制御部１４による処理を詳細に説明する。

図６に示すように、制御部１４は、先ず端末２からの制御命令か否かを判断する（ステップＳ２１）。ここで、端末２からの制御命令であると判断した場合には、それが設定の更新に係るものであるか否かを判断することになる（ステップＳ２２）。

そして、このステップＳ２２にて、設定の更新に係るものであると判断した場合、設定を更新する（ステップＳ２３）。具体的には、制御部１４は、ファイアウォール・コア部１２の動作モード、制御データ、ログ設定の少なくともいずれかを更新する。

この後、制御部１４は、更新に成功したか否かを判断し（ステップＳ２４）、更新に成功しなかった場合には端末２に更新失敗の旨を通知し（ステップＳ２５）、更新に成功した場合には端末２に更新成功の旨を通知し（ステップＳ２６）、本処理を終了する。

一方、上記ステップＳ２２にて、制御部１４は、制御命令が設定の更新に係るものではないと判断した場合には設定の読み出しに係るものであるか否かを判断する（ステップＳ２７）。このステップＳ２７で、設定の読み出しに係るものではない場合には本処理を終了し、設定の読み出しに係るものである場合には設定を読み出す（ステップＳ２８）。

より具体的には、制御部１４は、ファイアウォール・コア部１２の動作モード、制御データ、ログ設定に係る情報を制御データ格納部１５から読み出すことになる。

そして、制御部１４は、これら設定に係る情報を遠隔制御センタ３に送信すべきか否かを判断し（ステップＳ２９）、送信すべきと判断した場合には、端末に設定送信の許可を取って、遠隔制御センタ３に当該情報を送信し（ステップＳ３０）、本処理を終了する。一方、送信すべきでないと判断した場合には、上記情報を遠隔制御センタ３に送信することなく、本処理を終了する。

一方、図７に示すように、図６のステップＳ２１で端末２からの制御命令ではないと判断した場合には、制御部１４は、遠隔制御データ格納部１３からのリクエストに応答して当該遠隔制御データ格納部１３より遠隔制御データを読み出し（ステップＳ３１）、当該遠隔制御データの正当性を確認することになる（ステップＳ３２）。

次いで、制御部１４は、遠隔制御データが有効であるか否かを判断し（ステップＳ３３）、有効でないと判断した場合には、当該データを破棄し（ステップＳ３４）、遠隔制御センタ３にデータを破棄した旨を通知し（ステップＳ３５）、本処理を終了する。

一方、上記ステップＳ３３にて、データが有効であると判断した場合には、端末２に更新申請を行い（ステップＳ３６）、当該更新が許可されたか否かを判断し（ステップＳ３７）、更新が許可されない場合にはステップＳ４０に移行する。

これに対して、更新が許可された場合には、制御部１４は、遠隔制御データの更新を行う（ステップＳ３８）。具体的には、遠隔制御データに含まれる制御データ、ファームウェア等のソフトウェアの更新を行う。そして、制御部１４は、更新に成功したか否かを判断し（ステップＳ３９）、更新に成功しなかった場合には端末２及び遠隔制御センタ３に更新失敗の旨を通知し（ステップＳ４０）、更新に成功した場合には端末２及び遠隔制御センタ３に更新成功の旨を通知し（ステップＳ２６）、本処理を終了する。

以上説明したように、本発明の第１の実施の形態に係るファイアウォール装置１は、ハードウェアで構成されているので、ＯＳに依存することなく、更には端末の状態（起動／非起動）に係らず、独立して基本動作を行うことができる。また、この第１の実施の形態に係るファイアウォール装置１では、ファイアウォール機能とリモートコントロール機能とを明確に分離しているので、当該ファイアウォール機能に関しては端末２からの制御なくしても独立して実行可能であり、制御データ格納部１５の制御データの制御パラメータの書き換えも端末２による制御なくして独立して実行可能である。

（第２の実施の形態）
次に、本発明の第２の実施の形態に係るファイアウォール装置を用いた通信システムについて詳細に説明する。このファイアウォール装置を用いた通信システムの構成は、先に図１，２に示したものと略同様であるので、以下では、同一構成要素について同一符号を用い、第２の実施の形態の特徴的な処理を詳細に説明する。

尚、この処理は、第２の実施の形態に係る通信方法にも相当する。

本発明の第２の実施の形態においては、各端末２毎に前述したような構成及び作用のファイアウォール装置１を設置することで、安全な遠隔制御を実現する。

このファイアウォール装置１に対しては、遠隔制御センタ３による集中管理を行い、ユーザにメンテナンスフリーのサービスを提供する。尚、各ファイアウォール装置１は、ハードウェアで実現し、更にはユニークな固有ＩＤを付与している。

このファイアウォール装置１の設置に伴って、各端末２に当該ファイアウォール装置１に対応する管理制御ソフトウェアをインストールする。端末２は、当該管理制御ソフトウェアに基づき、対応するファイアウォール装置１に関わる全ての設定（設定の更新、読み出しを含む）をすることができる。管理制御ソフトウェアは、端末２のアプリケーション情報、ユーザ識別情報をファイアウォール装置１に送信する機能も有する。

このような管理制御ソフトウェアのインストール完了後、端末２のユーザは、自分が使用するアプリケーション情報、通信光情報、禁止する通信光（又は種別、例えば暴力コンテンツを提供するサイト等）を登録し、登録情報を遠隔制御センタ３に送信する。

この遠隔制御センタ３は、ユーザの登録情報に基づいて当該ユーザの制御データを生成する。即ち、ファイアウォール装置１の固有ＩＤ毎に、ＵＲＬ、プロトコル情報、アプリケーション等に対応する制御データ（使用するプロトコル、固有通信光等を含む）を生成し、制御データＤＢ５に登録する。そして、この生成された制御データを上記固有ＩＤを有するファイアウォール装置１に送信し、設定を要求する。より具体的には、制御データを含む遠隔制御データをデータ部に持つパケットを送信する。

ファイアウォール装置１は、このパケット（制御データを含む）を受信すると、端末２に制御データの更新要求をし、当該端末２のユーザの更新認証を求める。端末２のユーザが更新承認をした場合には、ファイアウォール装置１は送信された制御データに基づき制御データ格納部１５の設定を更新する。一方、端末２のユーザが更新承認をしない場合には、ファイアウォール装置１は設定を更新しない。ファイアウォール装置１は、更新に成功した場合は、更新の結果を遠隔制御センタ３に通知する。以上は、ファイアウォール装置１のファームウェアを更新する場合においても同様である。

以下は、前述した第１の実施の形態と特に作用上、異なる部分である。

ファイアウォール装置１は、未知のタイプ（未知のアプリケーション、未知のプロトコル等）のデータトラフィックを検出した場合は端末２に確認要求を出す。端末２のユーザが、当該確認要求を受け、通信を許可する場合には、制御データに未知のタイプを追加すると共に、遠隔制御センタ３にその旨を通知し、端末ＤＢ４の対応データ項目を更新（追加）する。通信を許可しない場合もその旨を通知するが、制御データへの追加は行わない。端末２のユーザがファイアウォール装置１からの確認要求を受け、一定の時間内に確認しない場合、端末２はその確認要求を遠隔制御センタ３へ送信する。

遠隔制御センタ３は、この端末２からの確認要求を受けた後、端末ＤＢ４と制御データＤＢ５に登録された情報と照合する。ユーザの登録情報と一致しない、又は危険なデータと判断した場合、ファイアウォール装置１に当該データに対する遮断命令（制御命令）を出し、通信を許可しない。これに対して、遠隔制御センタ３は、ユーザの登録情報と一致し、且つ危険でないと判断した場合、ファイアウォール装置１に当該データに対する通過命令（制御命令）を出し、通信を許可する。このように、遠隔制御センタ３は、所定の場合には、ファイアウォール装置１に対して通過命令（制御命令）又は遮断命令（制御命令）を発行し、ファイアウォール装置１を制御することができる。

いかなる場合でも、ユーザの承認無しで、ファイアウォール装置１に設定した制御データやログデータ格納部１６のログデータを読み出すことはできない。

以上説明したように、本発明の第２の実施の形態によれば、前述した第１の実施の形態に係るファイアウォール装置の効果に加えて、未知のタイプのデータトラフィックを検出した場合も、遠隔制御センタ３による集中管理により適正に対処できる。

以上、本発明の第１及び第２の実施の形態について説明したが、本発明はこれに限定されることなく、その趣旨を逸脱しない範囲で種々の改良・変更が可能である。例えば、第１及び第２の実施の形態に係るファイアウォール装置は、端末としてのパーソナルコンピュータに外付けするＰＣカードの如きもので実現することができる。更に、外部のインターネット等に対応するファイアウォール装置をシステムが備えている場合には、当該ファイアウォール装置との役割の分担により、効率的な処理を実現できる。

本発明の第１の実施の形態に係るファイアウォール装置、及びそれを用いた通信システムの構成例を示す図。ファイアウォール装置１の詳細な構成を示す図。（ａ）は制御センタ３から送信されるパケットの一例を示す図、（ｂ）は制御データに含まれる通過条件に係るテーブルの一例を示す図。本発明の一実施の形態に係るファイアウォール装置１がネットワーク６よりネットワークＩ／Ｆ部１１を介してパケットの外部入力を受けた場合のファイアウォール・コア部１２による処理の流れを詳細に説明するフローチャート。本発明の一実施の形態に係るファイアウォール装置１が、端末２より端末Ｉ／Ｆ部１７を介してパケットの外部入力を受けた場合のファイアウォール・コア部１２による処理の流れを詳細に説明するフローチャート。本発明の一実施の形態に係るファイアウォール装置１の制御部１４による処理を詳細に説明するフローチャート。本発明の一実施の形態に係るファイアウォール装置１の制御部１４による処理を詳細に説明するフローチャート。

符号の説明

１・・・ファイアウォール装置、２・・・端末、３・・・制御センタ、４・・・端末ＤＢ、５・・・制御データＤＢ、１１・・・ネットワークＩ／Ｆ部、１２・・・ファイアウォール・コア部１２、１３・・・遠隔制御データ格納部１３、１４・・・制御部、１５・・・制御データ格納部、１６・・・ログデータ格納部、１７・・・端末Ｉ／Ｆ部。

Claims

ネットワークを介して外部と通信する通信手段と、
少なくとも遠隔制御データを格納する遠隔制御データ格納手段と、
上記通信手段にて受信したパケットを解析し、当該パケットに遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを上記遠隔制御データ格納手段に格納するように制御するファイアウォール手段と、
を具備することを特徴とするファイアウォール装置。
ネットワークを介して外部と通信する通信手段と、
少なくとも遠隔制御データを格納する遠隔制御データ格納手段と、
少なくとも制御データを格納する制御データ格納手段と、
上記通信手段にて受信したパケットを解析し、当該パケットに遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを上記遠隔制御データ格納手段に格納し、当該遠隔制御データが含まれていない場合には、上記制御データ格納手段に格納されている制御データに基づいて当該パケットが通過条件に合致しているか否かを判断するように制御するファイアウォール手段と、
を具備することを特徴とするファイアウォール装置。
上記ファイアウォール手段は、パケットが通過条件に合致していると判断した場合には当該パケットを通過し、通過条件に合致していないと判断した場合には当該パケットを破棄するように制御することを更に特徴とする請求項２に記載のファイアウォール装置。
上記パケットのログデータを格納するログデータ格納手段を更に有し、上記ファイアウォール手段は、上記パケットが制御データに含まれるログ条件に合致しているか否かを判断し、当該ログ条件に合致している場合には上記ログデータ格納手段に当該パケットのログデータを書き込むことを更に特徴とする請求項２に記載のファイアウォール装置。
ネットワークを介して外部と通信する第１の通信手段と、
端末と通信する第２の通信手段と、
少なくとも遠隔制御データを格納する遠隔制御データ格納手段と、
少なくとも制御データを格納する制御データ格納手段と、
上記第１の通信手段又は第２の通信手段にて受信したパケットを解析し、当該パケットに遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを上記遠隔制御データ格納手段に格納し、当該遠隔制御データが含まれていない場合には、上記制御データ格納手段に格納されている制御データに基づいて当該パケットが通過条件に合致しているか否かを判断する当該パケットに上記端末による制御命令が含まれているか否かを判断し、更には、当該パケットに制御命令が含まれている場合には制御手段に転送するように制御するファイアウォール手段と、
上記制御命令に従って、遠隔制御データに基づくデータの更新処理を行い、当該更新処理の結果を上記ネットワーク及び上記端末の少なくともいずれかに通知するように制御する制御手段と、
を具備することを特徴とするファイアウォール装置。
上記遠隔制御データには、制御データやソフトウェア、制御命令の少なくともいずれかが含まれることを更に特徴とする請求項１乃至５のいずれかに記載のファイアウォール装置。
ネットワークを介してファイアウォール装置と制御センタとが接続された通信システムであって、
上記制御センタは、
上記ファイアウォール装置の制御データを記憶する制御データデータベースと、
上記制御データを含む遠隔制御データを送信するセンタ通信手段と、
を有し、
上記ファイアウォール装置は、
ネットワークを介して少なくとも制御センタと通信する通信手段と、
少なくとも遠隔制御データを格納する遠隔制御データ格納手段と、
少なくとも制御データを格納する制御データ格納手段と、
を有し、
上記通信手段にて受信したパケットを解析し、当該パケットに制御センタからの遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを上記遠隔制御データ格納手段に格納し、当該遠隔制御データが含まれていない場合には、上記制御データ格納手段に格納されている制御データに基づいて当該パケットが通過条件に合致しているか否かを判断するように制御することを特徴とする通信システム。
制御センタと、ネットワークを介して当該制御センタと接続されたファイアウォール装置と、当該ファイアウォール装置を介して制御センタと通信自在な端末とからなる通信システムであって、
上記制御センタは、
上記ファイアウォール装置の制御データを記憶する制御データデータベースと、
上記端末のデータを記憶する端末データベースと、
上記制御データを含む遠隔制御データを送信するセンタ通信手段と、
を有し、
上記ファイアウォール装置は、
ネットワークを介して少なくとも制御センタと通信する第１の通信手段と、
端末と通信するための第２の通信手段と、
少なくとも遠隔制御データを格納する遠隔制御データ格納手段と、
少なくとも制御データを格納する制御データ格納手段と、
上記第１の通信手段又は第２の通信手段にて受信したパケットを解析し、当該パケットに制御センタからの遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを上記遠隔制御データ格納手段に格納し、当該遠隔制御データが含まれていない場合には、上記制御データ格納手段に格納されている制御データに基づいて当該パケットが通過条件に合致しているか否かを判断し、更には当該パケットに上記端末による制御命令が含まれているか否かを判断し、当該パケットに端末或いは制御センタからの制御命令が含まれている場合には制御手段に転送するように制御するファイアウォール手段と、
上記制御命令に従って、ファイアウォール手段の設定の更新或いは読み出し、又は遠隔制御データに基づく更新処理を行い、当該更新処理の結果を上記ネットワーク及び上記端末の少なくともいずれかに通知するように制御する制御手段と、
を有する、
ことを特徴とする通信システム。
制御センタと、ネットワークを介して当該制御センタと接続されたファイアウォール装置と、当該ファイアウォール装置を介して制御センタと通信自在な端末とからなる通信システムによる通信方法であって、
上記ファイアウォール装置において、
ファイアウォール手段が、受信したパケットを解析し、当該パケットに制御センタからの遠隔制御データが含まれているか否かを判断し、当該遠隔制御データが含まれている場合には当該遠隔制御データを遠隔制御データ格納手段に格納し、当該遠隔制御データが含まれていない場合には、制御データ格納手段に格納されている制御データに基づいて当該パケットが通過条件に合致しているか否かを判断し、更には当該パケットに上記端末による制御命令が含まれているか否かを判断し、当該パケットに端末或いは制御センタからの制御命令が含まれている場合には制御手段に転送するように制御し、
制御手段が、上記制御命令に従って、ファイアウォール手段の設定の更新或いは読み出し、又は遠隔制御データに基づく更新処理を行い、当該更新処理の結果を上記ネットワーク及び上記端末の少なくともいずれかに通知するように制御する、
ことを特徴とする通信方法。