JP3426832B2 - Network access control method - Google Patents
Network access control methodInfo
- Publication number
- JP3426832B2 JP3426832B2 JP01193796A JP1193796A JP3426832B2 JP 3426832 B2 JP3426832 B2 JP 3426832B2 JP 01193796 A JP01193796 A JP 01193796A JP 1193796 A JP1193796 A JP 1193796A JP 3426832 B2 JP3426832 B2 JP 3426832B2
- Authority
- JP
- Japan
- Prior art keywords
- connection
- computer
- computers
- information
- risk
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Description
【０００１】[0001]
【発明の属する技術分野】本発明は、ファイアウォール
により内部ネットワークを保護する計算機システムのネ
ットワークアクセス制御方法に関する。BACKGROUND OF THE INVENTION 1. Field of the Invention The present invention relates to a network access control method for a computer system that protects an internal network with a firewall.
【０００２】[0002]
【従来の技術】計算機システムの小型化、低価格化やネ
ットワーク環境の充実に伴って、計算機システムの利用
は急速にかつ種々の分野に広く拡大し、また集中型シス
テムから分散型システムへの移行が進んでいる。特に近
年では計算機システム自体の進歩、能力向上に加え、コ
ンピュータ・ネットワーク技術の発達・普及により、オ
フィス内のファイルやプリンタなどの資源共有のみなら
ず、オフィス外、一組織外とのコミュニケーション（例
えば電子メール、電子ニュース、ファイルの転送など）
が可能になり、これらが広く利用されはじめた。特に近
年では、世界最大のコンピュータネットワーク「インタ
ーネット（Ｉｎｔｅｒｎｅｔ）」の利用が普及してお
り、インターネットと接続し、公開された情報、サービ
スを利用したり、逆にインターネットを通してアクセス
してくる外部ユーザに対し、情報、サービスを提供する
ことで、新たなコンピュータビジネスが開拓されてい
る。また、インターネット利用に関して、新たな技術開
発、展開がなされている。2. Description of the Related Art The use of computer systems has rapidly and widely spread to various fields as computer systems have become smaller and less expensive, and network environments have been enhanced. Also, the shift from centralized systems to distributed systems Is progressing. Especially in recent years, in addition to sharing resources such as files and printers in the office, communication with outside offices and outside of one organization (such as electronic (E-mail, electronic news, file transfer, etc.)
Has become possible and these have begun to be widely used. In recent years, in particular, the use of the world's largest computer network “Internet” has become widespread, and it has become popular with external users who connect to the Internet and use publicly available information and services, and vice versa. On the other hand, by providing information and services, new computer business is being cultivated. In addition, new technologies are being developed and deployed regarding the use of the Internet.
【０００３】しかし、ネットワークが普及し、ネットワ
ーク間の自由な接続が実現され、膨大なデータ、サービ
スのやりとりがなされる場合、セキュリティ上の問題を
考慮する必要が生じてくる。例えば、組織内部の秘密情
報の外部ネットワークへの漏洩をいかに防ぐか、という
問題や、組織外からの不正な侵入から、組織内ネットワ
ークに接続された資源、情報をいかに守るか、という問
題である。インターネットは、当初学術研究を目的に構
築されたため、ネットワークの接続による自由なデータ
サービスのやりとりを重視しており、このようなセキュ
リティ上の問題は考慮されていなかったが、近年多くの
企業、団体がインターネットに接続するようになり、セ
キュリティ上の問題から自組織ネットワークを防衛する
機構が必要となってきた。However, in the case of widespread use of networks, realization of free connections between networks, and exchange of vast amounts of data and services, it becomes necessary to consider security issues. For example, how to prevent leakage of confidential information inside the organization to the external network, and how to protect resources and information connected to the internal network from unauthorized intrusion from outside the organization. . Since the Internet was originally constructed for academic research, it emphasizes the exchange of free data services by connecting networks, and although such security problems were not taken into consideration, many companies and organizations have recently taken into consideration. Has come to connect to the Internet, and it is necessary to have a mechanism for defending its own network from security problems.
【０００４】そこで、複数のネットワークを接続する際
に、それらのネットワークを介して相互にやりとりされ
るデータを監視、チェックし、不正なアクセスが外部か
ら侵入したり、内部データが外部に漏洩することを防止
する機構を配置することが一般に行われている。このよ
うな機構をファイアウォールという。ファイアウォール
を設置することにより、外部への秘密情報の漏洩、外部
からの不正なアクセスを防ぎ、かつ内部から安全に外部
のサービスを受けられるようになる。Therefore, when connecting a plurality of networks, the data exchanged through these networks are monitored and checked, and unauthorized access from the outside or leakage of the internal data to the outside. It is common practice to arrange a mechanism to prevent this. Such a mechanism is called a firewall. By installing a firewall, it is possible to prevent leakage of confidential information to the outside and unauthorized access from the outside, and to receive external services safely from inside.
【０００５】従来のファイアウォールは通常外部ネット
ワークの接点に配置される。この様子を図１６に示す。
すなわち、ファイアウォール１０３によって保護したい
ネットワーク１０１と、それ以外のネットワーク１０２
との接続点ただ１つに配置され、外部のネットワーク１
０２と保護したいネットワーク１０１の間で交換される
パケットすべてがこのファイアウォール１０３を必ず通
るような形に作られる。ファイアウォールは１つのネッ
トワーク接続機器を指すものではなく、一般的にはルー
タやゲートウェイなど、ハード、ソフトを含めた複数の
構成要素をまとめて指す。ファイアウォールでは、ファ
イアウォールを通る通信すべてについてその正当性や安
全性を確認し、通信を許可する。Conventional firewalls are typically located at the contacts of external networks. This state is shown in FIG.
That is, the network 101 to be protected by the firewall 103 and the other network 102
External network 1 located at only one connection point with
All packets exchanged between 02 and the network 101 to be protected are made to pass through this firewall 103. A firewall does not refer to one network connection device, but generally refers to a plurality of components including hardware and software such as a router and a gateway collectively. The firewall confirms the legitimacy and security of all communication that passes through the firewall and permits communication.
【０００６】しかし、従来の方法では、組織内から組織
外の全てのトラフィックがファイアウォールに集中す
る。よって、組織内に数多くの計算機が存在する場合に
は、ファイアウォールに大きな負荷がかかることにな
る。このため、たとえファイアウォールの両側、すなわ
ち組織外及び組織内への通信路容量が十分に大きい場合
でも、ファイアウォールの処理能力がそれに見合うだけ
のものでない限り、この通信路容量を活かすことは活か
すことができず、高速通信の妨げになるという問題があ
る。また、ファイアウォールにおける制限が厳しくなれ
ばなる程、使用できるサービスが制限され、利用者の利
便性が損なわれる。逆に利用者の利便を求めれば求める
程、安全性が低下することになる。また、ファイアウォ
ールを分散させ、各計算機に割り当てるといったことを
行なった場合、組織内部での信頼関係が失われ、ホスト
間の信頼関係によって使用できる有益なサービスの使用
が困難になり、やはり利用者の利便性が損なわれること
になる。However, in the conventional method, all traffic from inside the organization to outside the organization is concentrated on the firewall. Therefore, if many computers exist in the organization, the firewall will be heavily loaded. Therefore, even if the capacity of the communication path to both sides of the firewall, that is, outside and inside the organization, is sufficiently large, it is not possible to utilize this communication capacity unless the processing capacity of the firewall is commensurate with it. There is a problem that it cannot be done and it hinders high-speed communication. In addition, the more restrictive the firewall, the more restricted the services that can be used, and the less convenient the user is. On the contrary, the more the user demands convenience, the lower the safety becomes. Also, if the firewall is distributed and assigned to each computer, the trust relationship within the organization is lost, and it becomes difficult to use useful services that can be used due to the trust relationship between hosts, and again the users' The convenience will be impaired.
【０００７】[0007]
【発明が解決しようとする課題】従来の方法では、ファ
イアウォールに負荷が集中するという問題があった。ま
た、ネットワークの安全性と利用者の利便性を確保しつ
つ、ファイアウォールを分散化することも、従来のファ
イアウォールの特性上、困難であった。The conventional method has a problem that the load is concentrated on the firewall. In addition, it is difficult to decentralize firewalls while ensuring network safety and user convenience, due to the characteristics of conventional firewalls.
【０００８】本発明は、上記事情を考慮してなされたも
ので、複数の計算機が複数の相互接続された通信ネット
ワークにより相互に通信可能に接続された計算機システ
ムにおいて、ファイアウォールを分散化することを可能
とするネットワークアクセス制御方法を提供することを
目的とする。The present invention has been made in consideration of the above circumstances, and it is possible to decentralize firewalls in a computer system in which a plurality of computers are communicably connected by a plurality of interconnected communication networks. An object of the present invention is to provide a network access control method that enables the network access control.
【０００９】また、本発明は、複数の計算機が複数の相
互接続された通信ネットワークにより相互に通信可能に
接続された計算機システムにおいて、保護単位のネット
ワーク内にある計算機それぞれについて、安全性を確保
しつつ、自由なアクセス制御の規則を設けることを可能
とするネットワークアクセス制御方法を提供することを
目的とする。Further, the present invention, in a computer system in which a plurality of computers are communicably connected to each other through a plurality of interconnected communication networks, ensures the safety of each computer in the protection unit network. At the same time, it is an object of the present invention to provide a network access control method capable of providing free access control rules.
【００１０】[0010]
【課題を解決するための手段】本発明（請求項１）は、
外部ネットワークと接続可能な管理ネットワーク内の複
数の計算機を外部から保護するためのネットワークアク
セス制御方法において、前記複数の計算機のいずれかを
送信元または宛先とするすべてのパケットを監視可能な
位置に設けられた接続状態検出手段により、前記パケッ
トの内容に基づいて、前記複数の計算機の他計算機との
接続開始および接続終了を少なくとも検出し、前記複数
の計算機対応に設けられた保護手段により、少なくとも
検出された前記接続開始または前記接続終了の情報に基
づいて、対応する前記計算機にパケットを受信させるか
否かを決定することを特徴とする。The present invention (Claim 1) includes:
In a network access control method for protecting a plurality of computers in a management network that can be connected to an external network from the outside, all packets destined to a source or a destination of the plurality of computers are provided at a position where they can be monitored. Based on the contents of the packet, the connection state detection means detects at least connection start and connection end with other computers of the plurality of computers, and at least the protection means provided corresponding to the plurality of computers detects at least It is characterized in that whether or not the corresponding computer is made to receive a packet is determined based on the information of the connection start or the connection end thus established.
【００１１】ここで、管理ネットワークとは、保護対象
となる一纏まりのネットワークをいう。外部ネットワー
クとは、管理ネットワーク以外のネットワークをいう。
本発明によれば、接続状態検出手段を一箇所に設けて保
護対象となる管理ネットワーク内の計算機の他計算機と
の接続の状態を集中的に監視するとともに、保護手段を
保護対象となる管理ネットワーク内に計算機対応に分散
し、各保護手段では少なくとも接続状態検出手段により
検出された計算機それぞれの接続の状態によって通信の
許可もしくは拒否を行うので、ネットワークアクセス制
御を行って計算機を保護する機構を分散配置できるた
め、負荷の集中を避けることができ、より高速な通信が
可能となる。また、各計算機が独立なアクセス制御のた
めのルールを持ち、利用者の利便性を確保しつつ、ネッ
トワーク全体の安全性を保つことができる。Here, the management network means a set of networks to be protected. The external network is a network other than the management network.
According to the present invention, the connection state detection means is provided at one place to centrally monitor the connection state with other computers in the management network to be protected, and the protection means is the management network to be protected. Computers are distributed within the network, and each protection means allows or denies communication based on at least the connection status of each computer detected by the connection status detection means.Therefore, the mechanism for protecting the computer by performing network access control is distributed. Since they can be arranged, concentration of load can be avoided and higher speed communication becomes possible. In addition, each computer has an independent rule for access control, and it is possible to maintain the safety of the entire network while ensuring the convenience of the user.
【００１２】本発明（請求項２）は、外部ネットワーク
と接続可能な管理ネットワーク内の複数の計算機を外部
から保護するためのネットワークアクセス制御方法にお
いて、前記複数の計算機のいずれかを送信元または宛先
とするすべてのパケットを監視可能な位置に設けられた
接続状態検出手段により、前記パケットの内容に基づい
て、前記複数の計算機の他計算機との接続開始および接
続終了を少なくとも検出し、危険度導出手段により、検
出された前記接続開始または前記接続終了の情報に基づ
いて、前記複数の計算機夫々の危険度を求め、前記複数
の計算機対応に設けられた保護手段により、少なくとも
求められた前記危険度の情報に基づいて、対応する前記
計算機にパケットを受信させるか否かを決定することを
特徴とする。The present invention (claim 2) is a network access control method for protecting a plurality of computers in a management network connectable to an external network from the outside, wherein any one of the plurality of computers is a source or a destination. The connection state detection means provided at a position capable of monitoring all packets detects at least the start and end of connection with other computers of the plurality of computers based on the contents of the packets, and derives the risk level. Based on the information of the connection start or the connection end detected by means, the risk degree of each of the plurality of computers is obtained, and at least the risk degree obtained by the protection means provided for the plurality of computers. It is characterized in that whether or not the corresponding computer is made to receive the packet is determined based on the information of (1).
【００１３】本発明（請求項３）は、外部ネットワーク
と接続可能な管理ネットワーク内の複数の計算機を外部
から保護するためのネットワークアクセス制御方法にお
いて、前記複数の計算機のいずれかを送信元または宛先
とするすべてのパケットを監視可能な位置に設けられた
接続状態検出手段により、前記パケットの内容に基づい
て、前記複数の計算機の他計算機との接続開始および接
続終了を少なくとも検出し、少なくとも前記接続開始ま
たは前記接続終了が検出されるごとに、危険度導出手段
により、検出された前記接続開始または前記接続終了の
情報に基づいて、前記複数の計算機夫々の危険度を求
め、求められた新たな危険度を、前記複数の計算機対応
に設けられ対応する前記計算機を保護する保護手段に伝
えることを特徴とする。The present invention (claim 3) is a network access control method for protecting a plurality of computers in a management network connectable to an external network from the outside, wherein any one of the plurality of computers is a source or a destination. The connection state detecting means provided at a position capable of monitoring all packets at least detects connection start and connection end with other computers of the plurality of computers based on the contents of the packets, and at least the connection. Each time the start or the connection end is detected, the risk derivation means obtains the risk degree of each of the plurality of computers based on the detected information of the connection start or the connection end, and the obtained new The risk degree is transmitted to a protection means that is provided for the plurality of computers and protects the corresponding computers. .
【００１４】ここで、危険度とは、計算機がどのくらい
危険であるかを示す指標であり、計算機それぞれについ
て定められる。例えば、危険な場合には１、安全な場合
には０とする。Here, the degree of risk is an index indicating how dangerous a computer is, and is set for each computer. For example, it is set to 1 when it is dangerous and 0 when it is safe.
【００１５】この危険度は、接続によって伝搬し得るも
のとする。すなわち、危険度は、計算機が持つ成立した
接続それぞれの現在の接続先によって、接続した側およ
び接続された側双方が変化する可能性がある。It is assumed that this risk can be propagated by the connection. That is, the risk level may change on both the connected side and the connected side depending on the current connection destination of each established connection of the computer.
【００１６】接続によって危険度が伝搬するか否かにつ
いて、例えば接続による危険度の変化規則として定義し
ておき、危険度が伝搬する接続開始または終了が検出さ
れた場合のみ、前記複数の計算機夫々の危険度を求める
ようにしても良い。Whether or not the risk is propagated by the connection is defined as, for example, a rule of changing the risk by the connection, and only when the connection start or the end where the risk is propagated is detected, each of the plurality of computers is detected. The risk level of may be obtained.
【００１７】本発明では、接続状態検出手段を一箇所に
設けて保護対象となる管理ネットワーク内の計算機の他
計算機との接続の状態を集中的に監視するとともに、接
続状態検出手段の検出結果にしたがって危険度導出手段
において各時点での各計算機の危険度を導出する。According to the present invention, the connection status detecting means is provided at one place to centrally monitor the status of the connection between the computer in the management network to be protected and the other computer, and the detection result of the connection status detecting means is used. Therefore, the risk degree deriving means derives the risk degree of each computer at each time point.
【００１８】一方、保護手段を保護対象となる管理ネッ
トワーク内に計算機対応に分散し、各保護手段では少な
くとも計算機それぞれの接続の状態あるいは危険度に基
づいて通信の許可もしくは拒否を行う。On the other hand, the protection means are distributed in the management network to be protected corresponding to the computers, and each protection means permits or rejects the communication based on at least the connection status or the degree of danger of each computer.
【００１９】すなわち、保護手段は、危険度や接続情報
に基づき、定められた規則にしたがって、管理ネットワ
ーク内の計算機へのパケットの転送の可否を決定する。
接続情報とは、例えば、計算機が接続を開始した時間
や、相手計算機のアドレス、提供するあるいは受けるサ
ービスの種類など、その接続に付随する情報一般であ
る。That is, the protection means determines whether or not the packet can be transferred to the computer in the management network based on the risk and the connection information and according to the determined rule.
The connection information is general information associated with the connection, such as the time when the computer started the connection, the address of the partner computer, the type of service provided or received, and the like.
【００２０】また、接続先の計算機の危険度が変化した
場合、その通知を受けた保護手段は、新しい危険度に応
じてその通信を遮断したり許可することが可能である。
本発明によれば、ネットワークアクセス制御を行い計算
機を保護する機構が計算機毎に分散して配置できるた
め、負荷の集中を避けることができ、より高速な通信が
可能となる。Further, when the risk level of the computer at the connection destination changes, the protection means that has received the notification can block or permit the communication according to the new risk level.
According to the present invention, a mechanism for performing network access control and protecting a computer can be arranged in a distributed manner for each computer, so that concentration of load can be avoided and higher speed communication can be performed.
【００２１】また、管理ネットワークに接続された各計
算機において、他計算機からの接続の可否を定める際
に、他計算機が危険な計算機か、危険な計算機と接続し
ているかということによって判断できるので、保護機構
が分散しても、信頼できる計算機を危険度から動的に判
断することが可能となり、信頼に基づいた有益なサービ
スを使用することができる。Further, in each computer connected to the management network, when determining whether to connect from another computer, it can be judged by whether the other computer is a dangerous computer or is connected to a dangerous computer. Even if the protection mechanisms are distributed, a reliable computer can be dynamically determined based on the degree of risk, and a useful service based on the trust can be used.
【００２２】また、各計算機に対して危険度という指標
を用いることによって、保護装置を分散して運用する場
合でも、安全かつ柔軟な運用が可能となる。すなわち、
各計算機が独立なアクセス制御のためのルールを持ち、
利用者の利便性を確保しつつ、ネットワーク全体の安全
性を保つことができる。Further, by using the index of the degree of danger for each computer, safe and flexible operation is possible even when the protection devices are distributed and operated. That is,
Each computer has its own rules for access control,
It is possible to maintain the safety of the entire network while ensuring the convenience of the user.
【００２３】なお、本発明は、ネットワークアクセス制
御装置の形で実現することもでき、これは例えば、管理
ネットワーク内の計算機の接続開始および終了を検出す
るための接続状態検出手段と、この接続状態検出装置に
よって得られる接続情報を管理し、危険度を導出する接
続情報管理手段と、各計算機へのパケットの転送をあら
かじめ規定された規則にしたがって制御する計算機対応
に設けられた保護装置を具備する。The present invention can also be realized in the form of a network access control device, which is, for example, a connection state detecting means for detecting connection start and end of a computer in a management network, and this connection state. It is provided with connection information management means for managing the connection information obtained by the detection device and deriving the degree of risk, and a protection device provided for the computer for controlling the transfer of packets to each computer according to a predetermined rule. .
【００２４】ネットワークアクセス制御装置はまず管理
ネットワーク内のすべての計算機について、接続先の計
算機が管理ネットワークにあるか外部ネットワークにあ
るかを問わず、そのすべての接続の開始および中断、終
了を検出する。検出された接続は、その接続が終了する
まで記憶される。また、ネットワークアクセス制御装置
は、各計算機についての危険度を記憶している。接続が
変化した、すなわち新しい接続が検出されたりある接続
が終了された場合、危険度は変化するため、ネットワー
クアクセス装置は新たな危険度を導出する。危険度の導
出方法は、ネットワークアクセス制御装置の管理者が自
由に定めることができる。危険度の導出の際には、接続
情報や、あらかじめ与えられた情報を使用することがで
きる。管理ネットワーク内の計算機に対して新たな接続
要求が発生した場合、ネットワークアクセス制御装置は
接続の要求を計算機に渡すかどうか、すなわちそのパケ
ットを計算機に転送するかどうかを判断する。その判断
規則は、接続情報と危険度情報を用いてネットワークア
クセス制御装置の管理者が定めることができる。判断規
則は、各計算機毎に独立に限定される。また、新たな接
続の発生やある接続の終了に伴い危険度情報の内容が変
化した場合、すでに接続されている通信もこれを遮断す
る必要があると判断された場合、その接続に関連するパ
ケットの転送を中止する。よって、各計算機は互いに接
続している計算機相互の動的な接続状態の変化の他に危
険度の変化に伴い動的に接続状態が変化することにな
る。First, the network access control device detects the start, interruption, and end of all the connections of all computers in the management network, regardless of whether the connection destination computer is in the management network or an external network. . The detected connection is stored until the connection is terminated. Also, the network access control device stores the degree of risk for each computer. If the connection changes, that is, a new connection is detected or a certain connection is terminated, the risk level changes and the network access device derives a new risk level. The method of deriving the degree of risk can be freely determined by the administrator of the network access control device. When deriving the degree of risk, connection information or information given in advance can be used. When a new connection request is made to the computer in the management network, the network access control device determines whether to pass the connection request to the computer, that is, to transfer the packet to the computer. The determination rule can be determined by the administrator of the network access control device using the connection information and the risk level information. The judgment rule is independently limited for each computer. In addition, if the content of the risk information changes due to the occurrence of a new connection or the termination of a certain connection, and if it is determined that communication that has already been connected also needs to be blocked, the packet related to that connection To cancel the transfer. Therefore, in addition to the dynamic change of the connection state between the computers connected to each other, the connection state of each computer also dynamically changes with the change of the risk level.
【００２５】[0025]
【発明の実施の形態】以下、図面を参照しながら発明の
実施の形態を説明する。図１は、本発明を適用した計算
機ネットワークの一構成例を示す。外部ネットワークＮ
１は、複数の組織が接続する解放されたネットワークで
ある。図１中に示す計算機Ｏ１〜Ｏ５は外部の計算機を
表しており、外部ネットワークＮ１に直接または他のネ
ットワークを介して接続される。BEST MODE FOR CARRYING OUT THE INVENTION Embodiments of the present invention will be described below with reference to the drawings. FIG. 1 shows an example of the configuration of a computer network to which the present invention is applied. External network N
1 is an open network where multiple organizations connect. Computers O1 to O5 shown in FIG. 1 represent external computers, and are connected to the external network N1 directly or via another network.
【００２６】本実施形態で保護対象とする管理ネットワ
ークＮ２内の計算機Ｈ１，Ｈ２，Ｈ３，Ｈ４，…は、そ
れぞれ保護装置Ｐ１，Ｐ２，Ｐ３，Ｐ４，…にまず接続
され、その後、外部ネットワークＮ１へと接続される
か、外部ネットワークＮ１に接続可能なネットワークへ
接続される。The computers H1, H2, H3, H4, ... In the management network N2 to be protected in this embodiment are first connected to the protection devices P1, P2, P3, P4 ,. Or to a network connectable to the external network N1.
【００２７】接続状態検出装置Ｉ１は、それが管理する
ネットワークに接続されている計算機全ての通信を監視
できる位置に接続する。図１では、スター型のネットワ
ークを仮定している。The connection status detecting device I1 is connected to a position where communication of all computers connected to the network managed by the connection detecting device I1 can be monitored. In FIG. 1, a star network is assumed.
【００２８】接続状態検出装置Ｉ１は、管理ネットワー
ク内の各計算機が送信／受信する全てのパケットを監視
することによって接続の開始および終了、通信相手を検
出し、新しい接続が危険度を伝搬する可能性のあるもの
ならば、この接続に付随する情報を含む接続情報を接続
状態管理装置Ｉ２に伝える装置である。接続情報は、例
えば、計算機が接続を開始等した時間や、相手計算機の
アドレス、提供するあるいは受けるサービスの種類など
からなる情報である。The connection state detection device I1 detects the start and end of connection and the communication partner by monitoring all packets transmitted / received by each computer in the management network, and the new connection can propagate the degree of danger. A device that transmits the connection information including the information associated with this connection to the connection state management device I2, if it has the property. The connection information is, for example, information such as the time when the computer started connection, the address of the partner computer, the type of service provided or received, and the like.
【００２９】接続状態管理装置Ｉ２は、接続状態検出装
置Ｉ１から接続情報を受け取り、その情報を管理すると
ともに、各計算機がどのくらい危険であるかを示す指標
である危険度を求める装置である。The connection state management device I2 is a device that receives connection information from the connection state detection device I1, manages the information, and obtains a risk level that is an index indicating how dangerous each computer is.
【００３０】なお、本実施形態では、接続の要求を発し
た、すなわち発呼した計算機を発呼者と呼ぶ。また、接
続の要求を受ける計算機を受呼者と呼ぶ。接続は、互い
の計算機の識別子や、ネットワークによって定められる
アドレス、サービスの種類やポートと呼ばれるサービス
を識別する番号などの計算機がネットワーク上で使用す
るプロトコル固有の情報によって識別され得る。よっ
て、同一計算機に複数の異なる接続が存在できることと
する。In the present embodiment, the computer that has issued the connection request, that is, has called the call is called a caller. A computer that receives a connection request is called a called party. The connection can be identified by protocol-specific information used by the computers on the network, such as an identifier of each other's computer, an address defined by the network, a type of service and a number for identifying the service called a port. Therefore, it is assumed that multiple different connections can exist on the same computer.
【００３１】また、接続の状態には３通りの状態がある
とする。１つは接続がない状態、これは全く通信してい
ないか、過去に通信していたが接続が終了し、その時点
では発呼者、受呼者ともその接続に合致したパケットを
全く送出していない状態を言う。１つは接続が成立して
いる状態、すなわち発呼者および受呼者ともその接続に
合致したパケットを送出している状態を言う。１つは接
続が休止しているという状態である。これは接続は成立
しているが、発呼側、受呼側を問わず現在その接続を使
用しない状態である。It is assumed that there are three connection states. One is in the state of no connection, which means that there is no communication at all, or communication has been done in the past but the connection has ended, at which point both the calling and called parties send out packets that match the connection. Not say the state. One is a state in which a connection is established, that is, a state in which both the calling party and the called party are sending packets that match the connection. One is a state in which the connection is dormant. This is a state in which the connection is established, but the connection is not currently used regardless of the calling side or the called side.
【００３２】接続の検出には、例えばパケットから接続
の成立、休止、終了は判断できるプロトコルの場合、こ
れをもって接続の状態を検出することができる。これら
ができないプロトコルでは、ある一定時間内ある接続に
合致したパケットが送出されなければ、その接続は休止
状態であり、さらにそれより長時間その接続に合致した
パケットが送出されなければ、その接続は終了したと判
断することができる。For detecting the connection, for example, in the case of a protocol in which the establishment, suspension, and termination of the connection can be determined from the packet, the state of the connection can be detected with this. In protocols that cannot do this, if a packet that matches a connection is not sent within a certain period of time, the connection is dormant, and if a packet that matches the connection is not sent for a longer time, the connection is It can be judged that it has ended.
【００３３】以下、接続状態検出装置、接続状態管理装
置および保護装置について説明する。図２に、接続状態
検出装置Ｉ１の一構成例を示す。また、図３に、この接
続状態検出装置Ｉ１の動作例のフローチャートを示す。The connection state detection device, connection state management device and protection device will be described below. FIG. 2 shows a configuration example of the connection state detection device I1. Further, FIG. 3 shows a flowchart of an operation example of the connection state detecting device I1.
【００３４】図２のように、本実施形態の接続状態検出
装置Ｉ１は、パケット受信部３０１、接続検出部３０
２、判断情報記憶部３０３、危険度判断部３０４、接続
通知部３０５、パケット転送部３０６から構成される。As shown in FIG. 2, the connection state detecting apparatus I1 of this embodiment has a packet receiving section 301 and a connection detecting section 30.
2. A judgment information storage unit 303, a risk degree judgment unit 304, a connection notification unit 305, and a packet transfer unit 306.
【００３５】パケット受信部３０１は、接続状態検出装
置Ｉ１が管理する計算機から送出されるかもしくは該計
算機へ向けて送られるパケットすべてを受信する部分で
ある。The packet receiving section 301 is a section for receiving all packets transmitted from or toward the computer managed by the connection state detecting device I1.
【００３６】接続検出部３０２は、それらのパケットか
ら接続の開始／終了／休止を判断し、また接続情報をそ
のパケットから得る部分である。判断情報記憶部３０３
は、ある接続が危険な接続になりうるかどうかを決定す
るために必要な情報の集合である判断情報を記憶する部
分である。The connection detecting section 302 is a part for judging the start / end / pause of the connection from these packets and obtaining the connection information from the packets. Judgment information storage unit 303
Is a part that stores judgment information, which is a set of information necessary for determining whether a certain connection can be a dangerous connection.
【００３７】危険度判断部３０４は、判断情報と接続情
報から、新しい接続が危険な接続になりうるかどうかを
判断する部分である。接続通知部３０５は、危険度判断
部３０４が接続を危険なものになりうると判断した場
合、その接続情報を接続状態管理装置Ｉ２に通知する部
分である。The risk degree judging section 304 is a section for judging whether a new connection can be a dangerous connection from the judgment information and the connection information. The connection notification unit 305 is a unit that notifies the connection state management device I2 of the connection information when the risk determination unit 304 determines that the connection may be dangerous.
【００３８】パケット転送部３０６は、受信したパケッ
トを計算機に転送する部分である。なお、パケット転送
部３０６を設けず、パケット受信部３０１から計算機に
転送するような構成にしても良い。The packet transfer unit 306 is a unit for transferring the received packet to the computer. The packet transfer unit 306 may not be provided and the packet reception unit 301 may transfer the packet to the computer.
【００３９】本実施形態の接続状態検出装置Ｉ１の動作
は概略的には次のようになる。接続状態検出装置Ｉ１
は、パケットを監視しており（ステップＳ１１）、新た
な接続を検出した場合（ステップＳ１２）、危険度を伝
搬する接続と判断されたなら（ステップＳ１２）、接続
状態管理装置Ｉ２に接続開始の通知を行う（ステップＳ
１４）。一方、接続の休止または終了を検出した場合
（ステップＳ１５）、危険度を伝搬する接続と判断され
たなら（ステップＳ１６）、接続状態管理装置Ｉ２に接
続休止／終了の通知を行う（ステップＳ１４）。The operation of the connection state detecting device I1 of this embodiment is roughly as follows. Connection status detection device I1
Monitors the packet (step S11), detects a new connection (step S12), and determines that the connection propagates the risk level (step S12), the connection state management device I2 starts the connection. Notify (Step S)
14). On the other hand, when the suspension or termination of the connection is detected (step S15), if it is determined that the connection propagates the risk level (step S16), the connection state management device I2 is notified of the suspension / termination of the connection (step S14). .
【００４０】図４に、接続状態管理装置Ｉ２の一構成例
を示す。また、図５（ａ），（ｂ）に、この接続状態管
理装置Ｉ２の動作例フのローチャートを示す。図４のよ
うに、本実施形態の接続状態管理装置Ｉ２は、接続情報
受信部４０１、接続状態情報管理部４０２、接続状態情
報記憶部４０３、危険度決定部４０４、危険度情報記憶
部４０５、接続状態変化通知部４０６、問い合わせ処理
部４０７から構成される。FIG. 4 shows an example of the configuration of the connection status management device I2. Further, FIGS. 5A and 5B are flowcharts showing an operation example of the connection status management device I2. As shown in FIG. 4, the connection status management device I2 of the present embodiment has a connection information reception unit 401, a connection status information management unit 402, a connection status information storage unit 403, a risk level determination unit 404, a risk level information storage unit 405, The connection state change notification unit 406 and the inquiry processing unit 407 are included.
【００４１】接続情報受信部４０１は、接続状態検出装
置Ｉ１から接続情報を受信する部分である。接続状態情
報記憶部４０３は、管理ネットワーク内の計算機それぞ
れについて、どの計算機とどのような接続を行ってお
り、現在接続がどのような状態になっているかの情報を
記憶する部分である。この接続状態情報は例えば図６の
ようになる。図６では、計算機Ｏ１と計算機Ｈ１がサー
ビスｔｅｌｎｅｔ（遠隔ログイン）で接続していること
を示し、計算機Ｈ２と計算機Ｈ３がサービスｆｔｐ（フ
ァイル転送）で接続しているが、その接続は今、休止し
ていることを示している。The connection information receiving section 401 is a section for receiving connection information from the connection state detecting device I1. The connection state information storage unit 403 is a unit that stores information about which computer is connected to which computer in the management network, and what state the connection is currently in. This connection status information is as shown in FIG. 6, for example. FIG. 6 shows that the computer O1 and the computer H1 are connected by the service telnet (remote login), and the computer H2 and the computer H3 are connected by the service ftp (file transfer), but the connection is now suspended. It shows that it is doing.
【００４２】接続状態情報管理部４０２は、接続状態検
出装置Ｉ１から受け取った接続情報をもとに接続状態情
報記憶部４０３内の要素の更新、削除、追加など、接続
状態情報記憶部４０３を管理する部分である。The connection status information management unit 402 manages the connection status information storage unit 403 by updating, deleting, adding elements in the connection status information storage unit 403 based on the connection information received from the connection status detecting device I1. It is the part to do.
【００４３】危険度情報記憶部４０５は、接続状態管理
装置Ｉ２が管理する計算機全てについて、その計算機が
今どのくらい危険な接続を行っているかを示す指標を記
憶している。また、管理ネットワーク外にいる計算機に
ついては、それぞれある一定の危険度を仮定することが
できる。危険度情報の一例を図７に示す。The risk information storage unit 405 stores, for all computers managed by the connection status management device I2, an index indicating how dangerous the computer is currently connected. Further, a certain degree of risk can be assumed for each computer outside the management network. FIG. 7 shows an example of the risk information.
【００４４】危険度決定部４０４は、新たな接続情報に
よって更新された接続状態情報と、現在の危険度情報か
ら新しい危険度情報を決定する。危険度の求め方はプロ
グラマブルであり、装置の管理者は柔軟に危険度の求め
方を設定できる。The risk degree determining unit 404 determines new risk degree information from the connection state information updated by the new connection information and the current risk degree information. The method of calculating the risk level is programmable, and the administrator of the device can flexibly set the method of calculating the risk level.
【００４５】接続状態変化通知部４０６は、新しい接続
によって危険度情報が変化した場合、その変化の影響を
受ける、すなわち危険度が変化した計算機と接続状態に
ある計算機の保護装置に対して、接続先の危険度がどの
ように変化したかを通知する。When the risk information changes due to a new connection, the connection state change notifying unit 406 is affected by the change, that is, the computer with the changed risk and the protection device for the computer in the connected state are connected. Notify how the previous risk has changed.
【００４６】問い合わせ処理部４０７は、保護装置から
のある計算機に対する危険度の問い合わせに対しては危
険度情報から適切な回答を応答する。本実施形態の接続
状態管理装置Ｉ２の動作は概略的には次のようになる。
接続状態管理装置Ｉ２は、保護装置から危険度情報の問
い合わせを受信した場合（ステップＳ２１）、危険度情
報を検索し（ステップＳ２２）、危険度応報の応答を行
う（ステップＳ２３）。The inquiry processing unit 407 responds to the inquiry about the degree of risk to a computer from the protection device with an appropriate response from the risk degree information. The operation of the connection status management device I2 of this embodiment is roughly as follows.
When the connection state management device I2 receives the inquiry about the risk information from the protection device (step S21), the connection state management device I2 retrieves the risk information (step S22) and sends a risk alert response (step S23).
【００４７】また、接続状態管理装置Ｉ２は、接続状態
検出装置Ｉ１から接続情報を受信した場合（ステップＳ
３１）、接続状態情報を更新する（ステップＳ３２）。
そして、危険度の再計算を行い（ステップＳ３３）、危
険度変化計算機が存在するなら（ステップＳ３４）、各
計算機へ通知する（ステップＳ３５）。When the connection state management device I2 receives the connection information from the connection state detection device I1 (step S
31), and the connection status information is updated (step S32).
Then, the risk is recalculated (step S33), and if there is a risk change calculator (step S34), it is notified to each calculator (step S35).
【００４８】図８に、保護装置の一構成例を示す。ま
た、図９に、この保護装置の動作例のフローチャートを
示す。図８のように、本実施形態の保護装置は、パケッ
ト受信部７０１、発呼検出部７０２、接続終了検出部７
０３、転送許可判断部７０４、許可規則情報管理部７０
５、パケット転送部７０６、危険度問い合わせ部７０
７、保護計算機接続情報記憶部７０８から構成される。FIG. 8 shows a structural example of the protection device. Further, FIG. 9 shows a flowchart of an operation example of this protection device. As illustrated in FIG. 8, the protection device according to the present exemplary embodiment includes a packet reception unit 701, a call detection unit 702, and a connection end detection unit 7.
03, transfer permission judgment unit 704, permission rule information management unit 70
5, packet transfer unit 706, risk degree inquiry unit 70
7 and a protection computer connection information storage unit 708.
【００４９】パケット受信部７０１は、ネットワークか
らパケットを受信する部分である。保護計算機接続情報
記憶部７０８は、発呼者および受呼者、サービス、保護
装置の保護対象となる計算機からみた接続先の危険度な
どの情報を記憶する部分である。The packet receiving section 701 is a section for receiving a packet from the network. The protected computer connection information storage unit 708 is a unit that stores information such as the caller and the called party, the service, and the degree of danger of the connection destination viewed from the computer to be protected by the protection device.
【００５０】発呼検出部７０２は、保護装置の保護対象
である計算機に対する発呼、および保護装置の保護対象
である計算機の発呼を検出する。発呼が検出された場
合、接続先の計算機の危険度を危険度問い合わせ部７０
７を通して取得し、これをその接続情報に加えて保護計
算機接続情報記憶部７０８に保存する。The call detection unit 702 detects a call to a computer that is a protection target of the protection device and a call to a computer that is a protection target of the protection device. If a call is detected, the risk inquiry unit 70 determines the risk of the computer at the connection destination.
7, and stores this in the protected computer connection information storage unit 708 in addition to the connection information.
【００５１】接続終了検出部７０３は、保護装置の保護
対象である計算機の持つそれぞれの接続に対して、その
終了を検出する。接続の終了が検出された場合、その接
続情報を保護計算機接続情報記憶部７０８から削除す
る。接続終了検出部７０３は、発呼のみで実際に接続が
行われなかった、すなわち接続の失敗も検出し、同様の
ことを行う。The connection end detection unit 703 detects the end of each connection of the computer that is the protection target of the protection device. When the end of the connection is detected, the connection information is deleted from the protected computer connection information storage unit 708. The connection end detecting unit 703 detects that the call is only made but the connection is not actually made, that is, the connection is failed, and the same operation is performed.
【００５２】許可規則情報管理部７０５は、接続情報と
接続要求をしてきた計算機あるいは接続相手の計算機の
危険度などの接続情報からパケットの転送を行うかどう
かを判断するための情報を記憶する部分である。許可規
則情報も各保護装置ごとにあるため、各保護装置毎に他
の保護装置と異なる独立な規則を持つことができる。The authorization rule information management unit 705 stores information for determining whether to transfer a packet from the connection information and the connection information such as the risk of the computer requesting the connection or the computer of the connection partner. Is. Since the authorization rule information is also provided for each protection device, each protection device can have an independent rule different from other protection devices.
【００５３】転送許可判断部７０４は、パケットから、
適合する接続情報を保護計算機接続情報記憶部７０８に
ある情報から取得し、許可規則情報管理部７０５にある
許可規則によってその接続要求を受けるかどうか決定す
る。The transfer permission judgment unit 704 determines from the packet
The matching connection information is acquired from the information stored in the protection computer connection information storage unit 708, and it is determined whether or not to receive the connection request according to the permission rule in the permission rule information management unit 705.
【００５４】パケット転送部７０６は、許可されたパケ
ットを計算機に転送する部分である。危険度問い合わせ
部７０７は、転送許可判断部７０４において必要な、あ
る計算機に対する危険度情報を接続状態監視装置に問い
合わせる部分である。また、接続状態管理装置Ｉ２から
現在通信している計算機の危険度が変化したことを通知
された場合、その情報を保護計算機接続情報記憶部７０
８に保存する。The packet transfer section 706 is a section for transferring the permitted packet to the computer. The risk inquiring unit 707 is a unit that inquires of the connection status monitoring device about the risk information for a certain computer, which is necessary in the transfer permission determining unit 704. Further, when the connection status management device I2 notifies that the risk level of the computer currently in communication has changed, the information is protected by the protected computer connection information storage unit 70.
Save to 8.
【００５５】本実施形態の保護装置の動作は概略的には
次のようになる。保護装置は、パケットを受信した場合
（ステップＳ４１）、発呼を検出すると（ステップＳ４
２）、接続状態管理装置Ｉ２に危険度を問い合わせ（ス
テップＳ４３）、保護計算機接続情報に登録する（ステ
ップＳ４４）。一方、接続の終了を検出すると（ステッ
プＳ４５）、保護計算機接続情報から削除する（ステッ
プＳ４６）。そして、受信したパケットは、転送許可な
ら（ステップＳ４７）、転送し（ステップＳ４８）、転
送許可でないなら（ステップＳ４７）、廃棄する（ステ
ップＳ４８）。The operation of the protection device of this embodiment is roughly as follows. When the protection device receives the packet (step S41), it detects a call (step S4).
2) Inquire the connection status management device I2 about the degree of risk (step S43) and register it in the protection computer connection information (step S44). On the other hand, when the termination of the connection is detected (step S45), it is deleted from the protection computer connection information (step S46). Then, the received packet is transferred (step S47), is transferred (step S48), and is not transferred (step S47), and is discarded (step S48).
【００５６】次に、本実施形態の動作の具体例をＴＣＰ
／ＩＰプロトコルを例に説明する。ＴＣＰ／ＩＰでは、
接続情報として接続先ＩＰアドレスと使用するサービス
がパケットから識別可能である。Next, a concrete example of the operation of this embodiment is TCP.
The / IP protocol will be described as an example. With TCP / IP,
The connection destination IP address and the service to be used as the connection information can be identified from the packet.
【００５７】接続状態管理装置Ｉ２が持つ危険度情報の
初期状態として、計算機Ｏ１を含む外部の計算機は全て
危険であり、計算機Ｈ１〜Ｈ４は危険でないとする。こ
こでは、危険度は１（危険）と０（安全）の２値とす
る。この場合の危険度情報記憶部４０５内の危険度情報
の例を図７に示す。It is assumed that all the external computers including the computer O1 are dangerous and the computers H1 to H4 are not dangerous as the initial state of the risk degree information of the connection state management device I2. Here, the degree of risk is a binary value of 1 (danger) and 0 (safety). FIG. 7 shows an example of the risk level information in the risk level information storage unit 405 in this case.
【００５８】危険度情報の更新方法としては、例えば次
のような方法がある。接続には危険度が伝搬する接続と
伝搬しない接続があるとする。すなわち、危険度が０で
ある計算機が危険度１の計算機と接続し、かつその接続
が危険度を伝搬する接続であった場合、接続した計算機
は危険度１となる。As a method of updating the risk degree information, for example, the following method is available. It is assumed that there are connections that propagate risk and connections that do not propagate. That is, when a computer with a risk level of 0 is connected to a computer with a risk level of 1 and the connection is a connection that propagates the risk level, the connected computer has a risk level of 1.
【００５９】接続状態情報から接続行列Ｃ０を生成す
る。接続行列Ｃ０は次のように生成する。各行を接続状
態情報に現れる計算機と対応付ける。仮に計算機Ｏ１を
第一行、計算機Ｈ１を第二行、計算機Ｈ２を第三行、計
算機Ｈ３を第四行、計算機Ｈ４を第五行とする。次に、
注目する計算機の接続対象となる計算機を各列と対応付
ける。このとき、行と同じ順序で対応付ける。すなわ
ち、計算機Ｏ１を第一列、計算機Ｈ１を第二列、計算機
Ｈ２を第三列、計算機Ｈ３を第四列、計算機Ｈ４を第五
列とする。各行について危険度を伝搬する接続を行って
いる場合、対応する列の成分を１とし、それ以外は０と
する。ただし、対角成分は１とする。よって、接続行列
の成分は対角成分に対して対象となる。仮にＯ１とＨ
２、Ｈ２とＨ３が接続しているとすると、接続行列は図
１０のようになる。A connection matrix C0 is generated from the connection state information. The connection matrix C0 is generated as follows. Correlate each line with the computer that appears in the connection status information. It is assumed that the computer O1 is the first row, the computer H1 is the second row, the computer H2 is the third row, the computer H3 is the fourth row, and the computer H4 is the fifth row. next,
Associate each computer with the computer to which the computer of interest is connected. At this time, the lines are associated in the same order. That is, the computer O1 is the first column, the computer H1 is the second column, the computer H2 is the third column, the computer H3 is the fourth column, and the computer H4 is the fifth column. When a connection for propagating the degree of danger is made for each row, the component of the corresponding column is set to 1, and the other components are set to 0. However, the diagonal component is 1. Therefore, the components of the connection matrix are of interest for the diagonal components. Temporarily O1 and H
2, assuming that H2 and H3 are connected, the connection matrix is as shown in FIG.
【００６０】これによって得られた接続行列をｎ−１乗
し、この結果をＣとする。ただし、接続状態情報にあら
われる計算機の台数をｎとする。結果Ｃはｎ台の計算機
がそれらの間接な接続に関してどの範囲に伝搬されるか
を表現している。The connection matrix thus obtained is raised to the power of n-1, and the result is designated as C. However, the number of computers appearing in the connection status information is n. Result C expresses to what extent n computers are propagated with respect to their indirect connections.
【００６１】危険度情報から危険度ベクトルの状態Ｔ0
＝［ｔ0 ，ｔ1 ，…，ｔn-1 ］t を生成する。いま、接
続状態情報に現れている計算機Ｏ１，Ｈ１，Ｈ２，Ｈ
３，Ｈ４の５台とすると、前述の条件から初期値はＴ0
＝［１，０，０，０，０］t とできる。From the risk information, the state T 0 of the risk vector
= [T 0 , t 1 , ..., T n-1 ] t is generated. Now, the computers O1, H1, H2, H appearing in the connection status information
Assuming that the number of units is 3 and H4, the initial value is T 0 from the above conditions.
= [1,0,0,0,0] t .
【００６２】そして、新しい危険度ベクトルＴ1 を、Ｔ
1 ＝Ｃ×Ｔ0 により求める。この例では、新しく得られ
た危険度ベクトルはＴ1 ＝［１，０，１，１，０］t と
なり、計算機Ｏ１の危険度が接続を伝搬してＨ２へ、さ
らにその危険度がＨ３へ伝搬したことを表す。なお、こ
の例では危険度は０か１の２値であるので、接続行列Ｃ
０と危険度ベクトルＴの積の結果、危険度ベクトルＴの
各成分においてこれが１より大きい値をとる場合は、こ
れを１とする。Then, the new risk vector T 1 is set to T
1 = C × T 0 In this example, the newly obtained risk level vector is T 1 = [1,0,1,1,0] t , and the risk level of the computer O1 propagates through the connection to H2, and further to H3. Indicates that it has propagated. In this example, the degree of risk is binary 0 or 1, so the connection matrix C
As a result of the product of 0 and the risk vector T, if each component of the risk vector T takes a value larger than 1, this is set to 1.
【００６３】次に、接続状態検出装置Ｉ１が持つ判断情
報として、図１１に示すものが与えられていると仮定す
る。発呼者とは、接続要求を出した計算機を意味してお
り、受呼者は、その接続要求を受諾する計算機を意味し
ている。サービスは、その接続によって使用されるネッ
トワークサービスの種類を意味する。危険度伝搬性の項
目が“伝搬する”の場合には、その接続は危険度を伝搬
しうる接続であることを意味し、接続状態管理装置に新
しい接続が発生したことを伝える。危険度伝搬性の項目
が“伝搬しない”であれば、その接続は危険度を伝搬し
ない安全な接続であることを意味し、接続状態管理装置
Ｉ２に新しい接続が発生したことを伝えない。よって、
この情報の意図するところは、外部ネットワークにある
計算機が、管理ネットワークに対して発呼した場合、サ
ービスｔｅｌｎｅｔ、ｆｔｐについては危険度を伝搬し
うる接続であり、接続状態管理装置に新しい接続が発生
したことを伝えることを意味している。また、管理ネッ
トワークにある計算機が外部ネットワークにある計算機
に対して発呼した場合で、サービスがｆｔｐによる接続
ならば、これは危険になりえない接続と判断され、ｆｔ
ｐによる接続が新しく発生したとしても、接続状態管理
装置に伝えないことを意味している。Next, it is assumed that the information shown in FIG. 11 is given as the judgment information which the connection state detecting device I1 has. The calling party means a computer that issues a connection request, and the called party means a computer that accepts the connection request. Service means the type of network service used by the connection. When the item of “propagation degree of risk” is “propagation”, it means that the connection is a connection capable of propagating the degree of danger, and informs the connection state management device that a new connection has occurred. If the item of the risk degree propagating property is "not propagate", it means that the connection is a safe connection that does not propagate the risk degree, and does not notify the connection state management device I2 that a new connection has occurred. Therefore,
The intent of this information is a connection that can propagate the risk level for services telnet and ftp when a computer in the external network makes a call to the management network, and a new connection is generated in the connection status management device. It means to convey what you have done. If a computer in the management network makes a call to a computer in the external network and the service is a connection by ftp, it is determined that this connection is not dangerous and ft
This means that even if a new connection by p occurs, it is not notified to the connection status management device.
【００６４】次に、保護装置Ｐ２が持つ許可規則情報と
して、図１２に示すものが与えられていたと仮定する。
また、保護装置Ｐ３が持つ許可規則情報として、図１３
に示すものが与えられていたと仮定する。Next, it is assumed that the permission rule information held by the protection device P2 is given as shown in FIG.
In addition, as the permission rule information that the protection device P3 has, FIG.
Suppose that the one shown in is given.
【００６５】図１２、図１３の管理計算機とは、その保
護装置の管理対象となる計算機を意味する。条件は接続
先の危険度がどのくらいならその規則を満たすかを示し
ている。よって、図１２の意図するところは、外部ネッ
トワークから管理計算機へのｔｅｌｎｅｔおよびｆｔｐ
は拒否する、すなわちこのパケットは管理計算機へ転送
されないというものである。管理ネットワークから管理
計算機へのｔｅｌｎｅｔおよびｆｔｐは発呼者の危険度
が０であればパケットを管理計算機へと転送するが、危
険度が１であれば転送せず、そのパケットを廃棄するこ
とを示している。同様に、図１３の意図するところは、
外部ネットワークから管理計算機へのｔｅｌｎｅｔおよ
びｆｔｐは拒否する、すなわちこのパケットは管理計算
機へ転送されないというものである。一方、管理ネット
ワークから管理計算機へのｔｅｌｎｅｔおよびｆｔｐは
発呼者の危険度にかかわらずこれを転送するということ
である。The management computer in FIGS. 12 and 13 means a computer to be managed by the protection device. The condition indicates how dangerous the connection destination is to satisfy the rule. Therefore, the intention of FIG. 12 is to telnet and ftp from the external network to the management computer.
Refuses, that is, this packet is not forwarded to the management computer. Telnet and ftp from the management network to the management computer forward the packet to the management computer if the caller's risk is 0, but do not forward it if the risk is 1 and discard the packet. Shows. Similarly, the intention of FIG.
The telnet and ftp from the external network to the management computer are rejected, that is, this packet is not transferred to the management computer. On the other hand, telnet and ftp from the management network to the management computer are transferred regardless of the degree of danger of the caller.
【００６６】以下、本発明によるネットワークアクセス
制御装置の動作手順の一例を順を追って説明する。計算
機Ｈ１が外部ネットワークＮ１にある計算機Ｏ１とサー
ビスｆｔｐで接続したとする。計算機Ｈ１が送出するパ
ケットおよび計算機Ｈ１に宛てられたパケットはすべて
保護装置Ｐ１を通る。この接続は接続状態検出装置Ｉ１
で検出されるが、図１１の判断情報の４からこの接続は
危険度を伝搬しないと判断され、接続状態管理装置Ｉ２
には伝えられない。Hereinafter, an example of the operation procedure of the network access control apparatus according to the present invention will be described step by step. It is assumed that the computer H1 is connected to the computer O1 in the external network N1 by the service ftp. All the packets sent by the computer H1 and the packets addressed to the computer H1 pass through the protection device P1. This connection is the connection state detection device I1.
However, it is determined from the judgment information 4 in FIG. 11 that this connection does not propagate the risk, and the connection state management device I2
I can't tell you.
【００６７】計算機Ｈ１が外部ネットワークＮ１にある
計算機Ｏ１とサービスｔｅｌｎｅｔで接続したとする。
接続状態検出装置Ｉ１では、この接続は図１１の判断情
報の３から危険度を伝搬すると判断され、この計算機Ｈ
１と計算機Ｏ１の接続は接続状態管理装置Ｉ２に伝えら
れる。接続状態管理装置Ｉ２では、この接続情報をもと
に、接続状態情報記憶部４０３を更新すると同時に危険
度情報を更新する。危険度１の計算機Ｏ１から危険度は
伝搬され、計算機Ｈ１も危険度１の計算機となる。It is assumed that the computer H1 is connected to the computer O1 in the external network N1 by the service telnet.
In the connection state detecting device I1, it is judged that this connection propagates the degree of danger from the judgment information 3 in FIG.
The connection between 1 and the computer O1 is transmitted to the connection status management device I2. The connection status management device I2 updates the connection status information storage unit 403 based on this connection information, and at the same time updates the risk level information. The risk degree is propagated from the computer O1 having the risk level 1, and the computer H1 also becomes the computer having the risk level 1.
【００６８】次に、計算機Ｈ１が計算機Ｈ２に対してｔ
ｅｌｎｅｔによる接続要求を出したとする。計算機Ｈ２
の保護装置Ｐ２は接続状態管理装置Ｉ２に計算機Ｈ１の
現在の危険度を問い合わせる。接続状態管理装置Ｉ２は
危険度情報から計算機Ｈ１は危険であると応答する。図
１２の許可規則情報の４から保護装置Ｐ２はこのパケッ
トを計算機Ｈ２に転送しないので、計算機Ｈ１と計算機
Ｈ２の接続は成立しない。Next, the computer H1 sends t to the computer H2.
It is assumed that a connection request by elnet is issued. Calculator H2
The protection device P2 inquires of the connection state management device I2 about the current degree of danger of the computer H1. The connection state management device I2 responds from the risk information that the computer H1 is dangerous. Since the protection device P2 does not transfer this packet to the computer H2 from 4 of the permission rule information of FIG. 12, the connection between the computer H1 and the computer H2 is not established.
【００６９】次に、計算機Ｈ３が計算機Ｈ２にｔｅｌｎ
ｅｔによる接続要求を出したとする。同様の処理が行わ
れ、計算機Ｈ３の危険度は０であることを接続状態管理
装置Ｉ２が保護装置Ｐ２に通知すると、計算機Ｈ３と計
算機Ｈ２の接続は成立する。Next, the computer H3 tells the computer H2 to teln.
It is assumed that a connection request by et is issued. When the connection state management device I2 notifies the protection device P2 that the same process is performed and the risk degree of the computer H3 is 0, the connection between the computer H3 and the computer H2 is established.
【００７０】計算機Ｈ１が次に計算機Ｈ３にｔｅｌｎｅ
ｔによる接続要求を出したとする。図１３の許可規則情
報の３から保護装置Ｐ３は発呼者の危険度にかかわらず
パケットを転送するので、計算機Ｈ１と計算機Ｈ３の接
続は成立する。この接続は接続状態検出装置Ｉ１によっ
て検出され、接続状態管理装置Ｉ２に伝えられる。接続
状態管理装置Ｉ２では、この新たな接続をもとに危険度
の再評価を行う。その結果、接続状態管理装置Ｉ２では
計算機Ｈ３の危険度が０から１へ変化したということが
判明する。この変化を接続先である保護装置Ｐ２に通知
する。保護装置Ｐ２はこれを受けて、図１２の許可規則
情報の４から計算機Ｈ３からのこの接続に関するパケッ
トの転送を停止し、このパケットを破棄する。計算機Ｈ
１と計算機Ｈ３のｔｅｌｎｅｔによる接続が終了する
と、再び計算機Ｈ３の危険度は０となるため、保護装置
Ｐ２はパケットの転送を再開する。The computer H1 then telnes to the computer H3.
It is assumed that a connection request by t is issued. Since the protection device P3 transfers the packet from the permission rule information 3 of FIG. 13 regardless of the risk of the caller, the connection between the computer H1 and the computer H3 is established. This connection is detected by the connection state detecting device I1 and transmitted to the connection state management device I2. The connection status management device I2 re-evaluates the risk level based on this new connection. As a result, it is found that the risk level of the computer H3 has changed from 0 to 1 in the connection status management device I2. This change is notified to the protection device P2 which is the connection destination. In response to this, the protection device P2 stops the transfer of the packet relating to this connection from the computer H3 from 4 of the permission rule information of FIG. 12, and discards this packet. Calculator H
When the connection between the computer 1 and the computer H3 by telnet is completed, the risk of the computer H3 becomes 0 again, and the protection device P2 restarts the packet transfer.
【００７１】ところで上記の実施形態では、外部ネット
ワークとの接点に接続状態検出装置を設けたが、バス型
ネットワークでの構成は必ずしも外部ネットワークとの
接点に接続状態検出装置がある必要はない。管理したい
計算機が送出するパケットおよび計算機へ向かうパケッ
ト全てをモニタすることができれば良いので、図１４の
ように、バス型ネットワークＢ１上の別な位置に接続す
ることもできる。また、図１５のように、計算機を接続
するハブＨＵＢ１の中に直接、接続状態検出装置および
接続状態管理装置、保護装置を直接収容しても良い。こ
の場合、計算機との接点それぞれに保護装置が内蔵され
ていることになる。In the above embodiment, the connection state detecting device is provided at the contact point with the external network, but the bus type network does not necessarily have the connection state detecting device at the contact point with the external network. Since it is sufficient to monitor all the packets sent by the computer to be managed and the packets destined for the computer, it is possible to connect to another position on the bus network B1 as shown in FIG. Further, as shown in FIG. 15, the connection state detection device, the connection state management device, and the protection device may be directly housed in the hub HUB1 that connects the computers. In this case, a protection device is built in each contact with the computer.
【００７２】また、上記の実施形態では、接続の状態に
は開始、終了、休止の３通りの状態があるとしたが、そ
の代わりに、休止を検出しても接続状態とみなす、休止
は終了とみなす、休止の検出は行わず接続開始および終
了のみ検出する、といったような他の方法を採用するこ
とも可能である。また、本発明は、上述した実施の形態
に限定されるものではなく、その技術的範囲において種
々変形して実施することができる。Further, in the above-described embodiment, the connection state has three states of start, end, and pause. Instead, however, even if a pause is detected, it is regarded as a connected state. It is also possible to adopt other methods such as assuming that the connection is not detected and only detecting the start and end of the connection is not detected. Further, the present invention is not limited to the above-described embodiments, and can be implemented with various modifications within the technical scope thereof.
【００７３】[0073]
【発明の効果】本発明によれば、管理ネットワーク内の
計算機の他計算機との接続の検出を一箇所で集中的に行
い、通信の許可もしくは拒否を行う保護手段の部分を保
護対象となる管理ネットワーク内に計算機対応に分散し
たので、保護機構にかかる負荷の集中を避けることがで
き、より高速な通信が可能となる。As described above, according to the present invention, the management of the protection means for centrally detecting the connection of the computer in the management network with the other computer at one place and permitting or denying the communication. Since it is distributed in the network for computers, it is possible to avoid concentration of load on the protection mechanism and to enable higher speed communication.
【００７４】また、各計算機に対して危険度という指標
を用いることによって、保護装置を分散して運用する場
合でも、各計算機が独立なアクセス制御のためのルール
を持ち、利用者の利便性を確保しつつ、ネットワーク全
体の安全性を保つことができるので、安全かつ柔軟な運
用が可能となる。Further, by using the index of the degree of risk for each computer, each computer has a rule for independent access control even when the protection devices are distributed and operated, and the convenience of the user is improved. Since the security of the entire network can be maintained while ensuring the security, safe and flexible operation becomes possible.
【図１】本発明の実施形態に係る計算機ネットワークの
一構成例を示す図FIG. 1 is a diagram showing a configuration example of a computer network according to an embodiment of the present invention.
【図２】接続状態検出装置の一構成例を示す図FIG. 2 is a diagram showing a configuration example of a connection state detection device.
【図３】接続状態検出装置の動作手順を示すフローチャ
ートFIG. 3 is a flowchart showing an operation procedure of the connection state detection device.
【図４】接続状態管理装置の一構成例を示す図FIG. 4 is a diagram showing a configuration example of a connection status management device.
【図５】接続状態管理装置の動作手順を示すフローチャ
ートFIG. 5 is a flowchart showing an operation procedure of the connection status management device.
【図６】接続状態表の一例を示す図FIG. 6 is a diagram showing an example of a connection status table.
【図７】危険度情報の一例を示す図FIG. 7 is a diagram showing an example of risk degree information.
【図８】保護装置の一構成例を示す図FIG. 8 is a diagram showing a configuration example of a protection device.
【図９】保護装置の動作手順を示すフローチャートFIG. 9 is a flowchart showing an operation procedure of the protection device.
【図１０】接続行列を示す図FIG. 10 is a diagram showing a connection matrix
【図１１】判断情報の一例を示す図FIG. 11 is a diagram showing an example of determination information.
【図１２】規則情報の一例を示す図FIG. 12 is a diagram showing an example of rule information.
【図１３】管理情報の一例を示す図FIG. 13 is a diagram showing an example of management information.
【図１４】バス型ネットワークを持つ計算機ネットワー
クの一構成例を示す図FIG. 14 is a diagram showing a configuration example of a computer network having a bus network.
【図１５】ハブ内に直接収容された場合の一構成例を示
す図FIG. 15 is a diagram showing an example of the configuration when it is directly housed in a hub.
【図１６】従来例を示す図FIG. 16 is a diagram showing a conventional example.
Ｉ１…接続状態検出装置
Ｉ２…接続状態管理装置
Ｐ１，Ｐ２，Ｐ３，Ｐ４…保護装置
Ｈ１，Ｈ２，Ｈ３，Ｈ４，Ｏ１，Ｏ２，Ｏ３，Ｏ４，Ｏ
５…計算機
Ｎ１…外部ネットワーク
Ｎ２…管理ネットワーク
Ｂ１…バス型ネットワーク
Ｒ１…ルータ
ＨＵＢ１…ハブ
３０１…受信部
３０２…接続検出部
３０３…判断情報記憶部
３０４…危険度判断部
３０５…接続通知部
４０１…接続情報受信部
４０２…接続状態情報管理部
４０３…接続状態情報記憶部
４０４…危険度決定部
４０５…危険度情報記憶部
４０６…接続状態変化通知部
４０７…問い合わせ処理部
７０１…パケット受信部
７０２…発呼検出部
７０３…接続終了検出部
７０４…転送許可判断部
７０５…許可規則情報管理部
７０６…パケット転送装置
７０７…危険度問い合わせ部
７０８…保護計算機接続情報記憶部I1 ... Connection state detection device I2 ... Connection state management device P1, P2, P3, P4 ... Protection device H1, H2, H3, H4, O1, O2, O3, O4, O
5 ... Computer N1 ... External network N2 ... Management network B1 ... Bus type network R1 ... Router HUB1 ... Hub 301 ... Reception unit 302 ... Connection detection unit 303 ... Judgment information storage unit 304 ... Danger degree judgment unit 305 ... Connection notification unit 401 ... Connection information reception unit 402 ... Connection state information management unit 403 ... Connection state information storage unit 404 ... Danger degree determination unit 405 ... Danger degree information storage unit 406 ... Connection state change notification unit 407 ... Inquiry processing unit 701 ... Packet receiving unit 702 ... Call detection unit 703 ... Connection termination detection unit 704 ... Transfer permission determination unit 705 ... Permit rule information management unit 706 ... Packet transfer device 707 ... Danger degree inquiry unit 708 ... Protection computer connection information storage unit
フロントページの続き (56)参考文献 特開 平７−262135（ＪＰ，Ａ) 特開 平６−62013（ＪＰ，Ａ) 特開 平４−235652（ＪＰ，Ａ) (58)調査した分野(Int.Cl.7，ＤＢ名) G06F 13/00 H04L 12/66 Continuation of the front page (56) Reference JP-A-7-262135 (JP, A) JP-A-6-62013 (JP, A) JP-A-4-235652 (JP, A) (58) Fields investigated (Int .Cl. 7 , DB name) G06F 13/00 H04L 12/66
Claims (3)
ワーク内の複数の計算機を外部から保護するためのネッ
トワークアクセス制御方法において、 前記複数の計算機のいずれかを送信元または宛先とする
すべてのパケットを監視可能な位置に設けられた接続状
態検出手段により、前記パケットの内容に基づいて、前
記複数の計算機の他計算機との接続開始および接続終了
を少なくとも検出し、 前記複数の計算機対応に設けられた保護手段により、少
なくとも検出された前記接続開始または前記接続終了の
情報に基づいて、対応する前記計算機にパケットを受信
させるか否かを決定することを特徴とするネットワーク
アクセス制御方法。1. A network access control method for protecting a plurality of computers in a management network connectable to an external network from the outside, wherein all packets whose source or destination is one of the plurality of computers are monitored. A connection state detection means provided at a possible position detects at least connection start and connection end with other computers of the plurality of computers based on the contents of the packet, and protection provided for the plurality of computers. A means for deciding whether or not to cause the corresponding computer to receive a packet based on at least the detected information of the connection start or the connection end by means.
ワーク内の複数の計算機を外部から保護するためのネッ
トワークアクセス制御方法において、 前記複数の計算機のいずれかを送信元または宛先とする
すべてのパケットを監視可能な位置に設けられた接続状
態検出手段により、前記パケットの内容に基づいて、前
記複数の計算機の他計算機との接続開始および接続終了
を少なくとも検出し、 危険度導出手段により、検出された前記接続開始または
前記接続終了の情報に基づいて、前記複数の計算機夫々
の危険度を求め、 前記複数の計算機対応に設けられた保護手段により、少
なくとも求められた前記危険度の情報に基づいて、対応
する前記計算機にパケットを受信させるか否かを決定す
ることを特徴とするネットワークアクセス制御方法。2. A network access control method for protecting a plurality of computers in a management network connectable to an external network from the outside, wherein all packets whose source or destination is any of the plurality of computers are monitored. A connection state detection means provided at a possible position detects at least a connection start and a connection end with another computer of the plurality of computers based on the contents of the packet, and the risk level derivation means detects the connection. Based on the information of the connection start or the connection end, to determine the risk of each of the plurality of computers, by the protection means provided corresponding to the plurality of computers, at least based on the information of the obtained risk Network access control method characterized by determining whether or not to allow the computer to receive a packet .
ワーク内の複数の計算機を外部から保護するためのネッ
トワークアクセス制御方法において、 前記複数の計算機のいずれかを送信元または宛先とする
すべてのパケットを監視可能な位置に設けられた接続状
態検出手段により、前記パケットの内容に基づいて、前
記複数の計算機の他計算機との接続開始および接続終了
を少なくとも検出し、 少なくとも前記接続開始または前記接続終了が検出され
るごとに、危険度導出手段により、検出された前記接続
開始または前記接続終了の情報に基づいて、前記複数の
計算機夫々の危険度を求め、 求められた新たな危険度を、前記複数の計算機対応に設
けられ対応する前記計算機を保護する保護手段に伝える
ことを特徴とするネットワークアクセス制御方法。3. A network access control method for protecting a plurality of computers in a management network connectable to an external network from the outside, wherein all packets whose source or destination is any of the plurality of computers are monitored. At least a connection start and a connection end with the other computers of the plurality of computers are detected by a connection state detection means provided at a possible position based on the content of the packet, and at least the connection start or the connection end is detected. Each time, the risk deriving unit obtains the risk degree of each of the plurality of computers based on the detected connection start or connection end information, and the obtained new risk degree is calculated as A network access, characterized by being provided to a computer and communicating to a protection means for protecting the corresponding computer. Control method.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP01193796A JP3426832B2 (en) | 1996-01-26 | 1996-01-26 | Network access control method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP01193796A JP3426832B2 (en) | 1996-01-26 | 1996-01-26 | Network access control method |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH09204385A JPH09204385A (en) | 1997-08-05 |
| JP3426832B2 true JP3426832B2 (en) | 2003-07-14 |
Family
ID=11791577
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP01193796A Expired - Fee Related JP3426832B2 (en) | 1996-01-26 | 1996-01-26 | Network access control method |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3426832B2 (en) |
Families Citing this family (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| EP2252019B1 (en) * | 1998-12-03 | 2014-07-09 | Rockstar Consortium US LP | Providing desired service policies to subscribers accessing internet |
| JP2001273210A (en) * | 2000-03-27 | 2001-10-05 | Yokogawa Electric Corp | Method and device for preventing invasion from external network |
| JP3794491B2 (en) | 2002-08-20 | 2006-07-05 | 日本電気株式会社 | Attack defense system and attack defense method |
| FR2872983A1 (en) * | 2004-07-09 | 2006-01-13 | Thomson Licensing Sa | FIREWALL PROTECTION SYSTEM FOR A COMMUNITY OF APPLIANCES, APPARATUS PARTICIPATING IN THE SYSTEM AND METHOD FOR UPDATING FIREWALL RULES WITHIN THE SYSTEM |
| US7353390B2 (en) * | 2004-08-20 | 2008-04-01 | Microsoft Corporation | Enabling network devices within a virtual network to communicate while the networks's communications are restricted due to security threats |
| US8739289B2 (en) | 2008-04-04 | 2014-05-27 | Microsoft Corporation | Hardware interface for enabling direct access and security assessment sharing |
| US20240095345A1 (en) * | 2021-01-28 | 2024-03-21 | Nec Corporation | Display apparatus, display system, display method, and non-transitory computer-readable medium |
-
1996
- 1996-01-26 JP JP01193796A patent/JP3426832B2/en not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JPH09204385A (en) | 1997-08-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US6345299B2 (en) | Distributed security system for a communication network | |
| EP1164766B1 (en) | Switch connection control apparatus for channels | |
| US7536715B2 (en) | Distributed firewall system and method | |
| US10038668B2 (en) | Computerized system and method for handling network traffic | |
| US8006296B2 (en) | Method and system for transmitting information across a firewall | |
| US7870611B2 (en) | System method and apparatus for service attack detection on a network | |
| JP4630896B2 (en) | Access control method, access control system, and packet communication apparatus | |
| US7171681B1 (en) | System and method for providing expandable proxy firewall services | |
| EP1298883B1 (en) | Server computer protection apparatus, method, program product, and server computer apparatus | |
| US11838317B2 (en) | Method for providing a connection between a communications service provider and an internet protocol, IP, server, providing a service, as well as a perimeter network, comprising the IP server, and an IP server providing the service | |
| JP3426832B2 (en) | Network access control method | |
| US20040243843A1 (en) | Content server defending system | |
| US6347338B1 (en) | Precomputed and distributed security system for a communication network | |
| Xiang et al. | Sign what you really care about–Secure BGP AS-paths efficiently | |
| CN104426864B (en) | The realization method and system of cross-region remote order | |
| US20160378956A1 (en) | Secure management of host connections | |
| US11936738B2 (en) | System, method, and computer program product for managing a connection between a device and a network | |
| EP1290852A2 (en) | Distributed firewall system and method | |
| GB2445805A (en) | Blocking connection to harmful information in an internet service provider network | |
| JP3929969B2 (en) | COMMUNICATION SYSTEM, SERVER, TERMINAL DEVICE, COMMUNICATION METHOD, PROGRAM, AND STORAGE MEDIUM | |
| JP2002223254A (en) | Electronic mail secure distribution system | |
| CN115941223A (en) | BGP Flowspec route issuing method and device, storage medium and electronic equipment |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090509 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |