JP4642707B2 - パケット制御装置、パケット制御方法およびパケット制御プログラム - Google Patents

Description

この発明は、パケット制御装置、パケット制御方法およびパケット制御プログラムに関する。

従来より、インターネット通信が飛躍的に進歩したことに伴い、一般個人の利用者によるインターネット接続が普及し、各種情報のダウンロードや発信などが頻繁になされるようになった。一方、悪意を持つ者によるインターネット接続も増大し、コンピュータウィルスの蔓延、個人情報や秘密情報の盗聴、ウェブページの改ざん、サーバへの攻撃など、様々な種類の脅威が登場するようにもなった。

このような様々な種類の脅威に対しては、利用者側のネットワークにおいて、複数の各種セキュリティ装置を組み合わせて、セキュリティ対策を実施することが効果的である。一般的には、セキュリティ対策の対象となるパケットを制御するパケット制御装置が設置され、このパケット制御装置が、パケットに複数の各種セキュリティ装置を経由させてから、パケットを宛先ネットワークに転送する手法などが実施される。

具体的には、パケット制御装置がパケットを制御し、不正なアクセスを検知する不正侵入検知装置ＩＤＳ（Intrusion Detection System）、不正なアクセスの検知に加えて攻撃の防御まで行う不正侵入防御装置ＩＰＳ（Intrusion Prevention System）、特定のＵＲＬ（Uniform Resource Locator）へのアクセスを制御するＵＲＬフィルタ装置、ウィルスチェック装置など、複数の各種セキュリティ装置を経由させる。ここで、パケットにどのセキュリティ装置を経由させるべきであるのかなど、パケット制御装置によるパケットの制御について利用者が定めた方針のことを、セキュリティポリシーという。パケット制御装置によるセキュリティ対策は、通常、セキュリティポリシーに従って実施される。

例えば、非特許文献１において、パケット制御装置は、「ＩＰＳｅｃ（Security Architecture for Internet Protocol）、ＳＳＬ（Secure Socket Layer）、およびＳＳＨ（Secure Shell）以外のパケットは、すべてのセキュリティ装置を経由させてから転送するが、ＩＰＳｅｃ、ＳＳＬ、およびＳＳＨのパケットは、セキュリティ装置を経由させずに転送する」などの通信プロトコルごとのセキュリティポリシーと、パケットに含まれる通信プロトコルに係る情報とを照合することで、パケットを制御している。

"特別企画 シスコ セキュリティソリューション"、［online］、［平成１８年４月２８日検索］、インターネット＜http://www.cisco.com/japanese/warp/public/3/jp/event/campaign/fy06q3asa/asa_01.shtml＞、＜http://www.cisco.com/japanese/warp/public/3/jp/event/campaign/fy06q3asa/asa_02.shtml＞、＜http://www.cisco.com/japanese/warp/public/3/jp/event/campaign/fy06q3asa/asa_03.shtml＞、＜http://www.cisco.com/japanese/warp/public/3/jp/event/campaign/fy06q3asa/asa_04.shtml＞、＜http://www.cisco.com/japanese/warp/public/3/jp/event/campaign/fy06q3asa/asa_05.shtml＞、＜http://www.cisco.com/japanese/warp/public/3/jp/event/campaign/fy06q3asa/asa_06.shtml＞、＜http://www.cisco.com/japanese/warp/public/3/jp/event/campaign/fy06q3asa/asa_07.shtml＞

ところで、上記した従来の技術では、以下に説明するように、利用者ごとにセキュリティポリシーが異なる場合に柔軟に対応することができないという課題がある。すなわち、上記した従来の技術では、通信プロトコルごとのセキュリティポリシーと、パケットに含まれる通信プロトコルに係る情報とを照合することで、パケットを制御するにすぎない。このため、利用者ごとにセキュリティポリシーが異なる場合にセキュリティ対策を実施するには、図１５のように、セキュリティ装置を、利用者ごと（または、セキュリティポリシーが共通の利用者ごと）に準備しなければ対応することができず、柔軟に対応することができない。また、利用者ごとにセキュリティポリシーが異なる場合に新たな機能を有するセキュリティ装置を追加するには、図１６のように、新たな機能を有するセキュリティ装置を、利用者ごと（または、セキュリティポリシーが共通の利用者ごと）に追加しなければ対応することができず、柔軟に対応することができない。

そこで、この発明は、上記した従来技術の課題を解決するためになされたものであり、利用者ごとにセキュリティポリシーが異なる場合に柔軟に対応することが可能なパケット制御装置、パケット制御方法およびパケット制御プログラムを提供することを目的とする。

上記した課題を解決し、目的を達成するため、本発明は、ネットワークから受信したパケットが経由すべきセキュリティ装置を指定するポリシーに従って当該パケットを制御するパケット制御装置であって、パケットに含まれるアドレス情報と当該アドレス情報を含むパケットが経由すべき前記セキュリティ装置を識別する識別情報とが対応づけられた前記ポリシーを保持する保持手段と、前記保持手段によって保持された前記ポリシーとネットワークから受信したパケットに含まれるアドレス情報とを照合し、当該パケットが当該アドレス情報に対応づけられた前記識別情報によって識別される前記セキュリティ装置を経由するように制御する経由制御手段と、を備えたことを特徴とする。

また、本発明は、上記の発明において、前記保持手段は、パケットに含まれるプロトコルに係る情報が、前記アドレス情報と前記識別情報とにさらに対応づけられた前記ポリシーを保持し、前記経由制御手段は、前記保持手段によって保持された前記ポリシーとネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、当該パケットが当該アドレス情報および当該プロトコルに係る情報に対応づけられた前記識別情報によって識別される前記セキュリティ装置を経由するように制御することを特徴とする。

また、本発明は、上記の発明において、前記保持手段は、複数の前記セキュリティ装置がある場合に当該複数のセキュリティ装置をパケットが経由すべき順序がさらに指定された前記ポリシーを保持し、前記経由制御手段は、前記保持手段によって保持された前記ポリシーによって指定された前記順序に従って、当該パケットが前記複数のセキュリティ装置を経由するように制御することを特徴とする。

また、本発明は、上記の発明において、前記保持手段は、パケットが前記セキュリティ装置を経由すべき日付、曜日、時間帯に係る情報のいずれかひとつまたは複数がさらに指定された前記ポリシーを保持し、前記経由制御手段は、前記保持手段によって保持された前記ポリシーによって指定された日付、曜日、時間帯に係る情報のいずれかひとつまたは複数に従って、パケットが前記セキュリティ装置を経由するように制御することを特徴とする。

また、本発明は、上記の発明において、前記セキュリティ装置は、当該セキュリティ装置において検知されたセキュリティに係る状況を通知するものであって、前記保持手段は、前記セキュリティ装置によって通知されるセキュリティに係る状況ごとに区分けされた複数のポリシーを保持し、前記経由制御手段は、前記セキュリティ装置によって前記セキュリティに係る状況が通知された場合に、前記保持手段によって保持された当該セキュリティに係る状況に区分けされた前記ポリシーに従って、当該セキュリティに係る状況が通知された後に制御するパケットがセキュリティ装置を経由するように制御することを特徴とする。

また、本発明は、上記の発明において、前記保持手段は、前記識別情報として、前記セキュリティ装置を収容するインタフェース情報が対応づけられた前記ポリシーを保持することを特徴とする。

また、本発明は、上記の発明において、前記保持手段は、前記ポリシーに固有の属性値を対応づけて当該ポリシーを保持し、前記経由制御手段は、前記ポリシーに従って制御されるパケットに、当該ポリシーに対応づけられた前記固有の属性値を付与し、当該ポリシーと当該パケットに付与された当該固有の属性値とを照合し、当該属性値に対応するポリシーに従って、当該パケットが前記セキュリティ装置を経由するように当該パケットを制御することを特徴とする。

また、本発明は、上記の発明において、前記保持手段によって保持された前記ポリシーを変更する変更手段をさらに備え、前記保持手段は、前記変更手段によって前記ポリシーを変更された場合に、当該ポリシーに替えて当該変更手段によって変更されたポリシーを保持し、前記経由制御手段は、前記保持手段によって前記変更されたポリシーが保持された場合に、当該変更されたポリシーに従って、当該変更されたポリシーが保持された後に制御するパケットがセキュリティ装置を経由するように制御することを特徴とする。

本発明によれば、ネットワークから受信したパケットが経由すべきセキュリティ装置を指定するポリシーに従ってパケットを制御するパケット制御装置であって、パケットに含まれるアドレス情報とアドレス情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報とが対応づけられたポリシーを保持し、保持されたポリシーとネットワークから受信したパケットに含まれるアドレス情報とを照合し、パケットがアドレス情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御するので、通信プロトコルごとのセキュリティポリシーと、パケットに含まれる通信プロトコルに係る情報とを照合することで、パケットを制御する手法に比較して、アドレス情報ごと（利用者ごと）のセキュリティポリシーと、パケットに含まれるアドレス情報とを照合することで、パケットを制御することから、利用者ごとにセキュリティポリシーが異なる場合に柔軟に対応することが可能になる。すなわち、利用者ごとにセキュリティポリシーが異なる場合にセキュリティ対策を実施する際に、複数の利用者間においてセキュリティ装置を共用することが可能になり、また、利用者ごとにセキュリティポリシーが異なる場合に新たな機能を有するセキュリティ装置を追加する際に、複数の利用者間において新たな機能を有するセキュリティ装置を共用し、システム全体への影響を最小限にすることが可能になる。さらに、複数の利用者間においてセキュリティ装置を共用することから、設備コストや運用コストを削減することが可能になる。

また、本発明によれば、パケットに含まれるプロトコルに係る情報が、アドレス情報と識別情報とにさらに対応づけられたポリシーを保持し、保持されたポリシーとネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、パケットがアドレス情報およびプロトコルに係る情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御するので、アドレス情報ごとおよび通信プロトコルごと（利用者ごとおよび通信プロトコルごと）のセキュリティポリシーと、パケットに含まれるアドレス情報および通信プロトコルに係る情報とを照合することで、パケットを制御することから、利用者ごとおよび通信プロトコルごとにセキュリティポリシーが異なる場合に、柔軟に対応することが可能になる。

また、本発明によれば、複数のセキュリティ装置がある場合に複数のセキュリティ装置をパケットが経由すべき順序がさらに指定されたポリシーを保持し、保持されたポリシーによって指定された順序に従って、パケットが複数のセキュリティ装置を経由するように制御するので、利用者ごとにセキュリティポリシーが異なる場合で、かつ、複数のセキュリティ装置をパケットが経由する順序が指定されたセキュリティポリシーの場合に、柔軟に対応することが可能になる。すなわち、例えば、「最初にファイアウォール装置を通し、次にＩＰＳ装置を通す。」というセキュリティポリシーで、最初にファイアウォール装置でパケットフィルタリングを行い、次にＩＰＳ装置で攻撃を検知することで、ＩＰＳ装置での処理負荷を抑えたいという利用者の要望や、「最初にＩＰＳ装置を通し、次にファイアウォール装置を通す。」というセキュリティポリシーで、最初にＩＰＳ装置で攻撃を検知し、次にファイアウォール装置でパケットフィルタリングを行うことで、攻撃に関する情報をもれなく収集したいという利用者の要望などに、柔軟に対応することが可能になる。

また、本発明によれば、パケットがセキュリティ装置を経由すべき日付、曜日、時間帯に係る情報のいずれかひとつまたは複数がさらに指定されたポリシーを保持し、保持されたポリシーによって指定された日付、曜日、時間帯に係る情報のいずれかひとつまたは複数に従って、パケットがセキュリティ装置を経由するように制御するので、利用者ごとにセキュリティポリシーが異なる場合で、かつ、セキュリティ装置を経由する日付、曜日、時間帯などが指定されたセキュリティポリシーの場合に、柔軟に対応することが可能になる。

また、本発明によれば、セキュリティ装置は、セキュリティ装置において検知されたセキュリティに係る状況を通知するものであって、セキュリティ装置によって通知されるセキュリティに係る状況ごとに区分けされた複数のポリシーを保持し、セキュリティ装置によってセキュリティに係る状況が通知された場合に、保持されたセキュリティに係る状況に区分けされたポリシーに従って、セキュリティに係る状況が通知された後に制御するパケットがセキュリティ装置を経由するように制御するので、利用者ごとにセキュリティポリシーが異なる場合で、かつ、セキュリティ装置によって通知されるセキュリティに係る状況ごとにセキュリティポリシーが異なる場合に、柔軟かつ迅速に対応することが可能になる。

また、本発明によれば、識別情報として、セキュリティ装置を収容するインタフェース情報が対応づけられたポリシーを保持するので、パケットがパケット制御装置に入力される入力インタフェースや、パケットがパケット制御装置から出力される出力インタフェースなど、パケットがセキュリティ装置を経由する際の入出力に係る物理的な情報を利用することで、パケットを制御することから、利用者ごとにセキュリティポリシーが異なる場合に、柔軟かつ簡易に対応することが可能になる。

また、本発明によれば、ポリシーに固有の属性値を対応づけてポリシーを保持し、ポリシーに従って制御されるパケットに、ポリシーに対応づけられた固有の属性値を付与し、ポリシーとパケットに付与された固有の属性値とを照合し、属性値に対応するポリシーに従って、パケットがセキュリティ装置を経由するようにパケットを制御するので、例えば、アドレス情報ごとおよび通信プロトコルごと（利用者ごとおよび通信プロトコルごと）のセキュリティポリシーと、パケットに含まれるアドレス情報および通信プロトコルに係る情報とを照合することで、パケットを制御する手法に比較して、ひとつの属性値に対応づけられたセキュリティポリシーと、ひとつの属性値とを照合することで、パケットを制御することから、利用者ごとにセキュリティポリシーが異なる場合に、柔軟かつ処理負荷を軽減して対応することが可能になる。

また、本発明によれば、保持されたポリシーを変更し、ポリシーを変更された場合に、このポリシーに替えて変更されたポリシーを保持し、変更されたポリシーが保持された場合に、変更されたポリシーに従って、変更されたポリシーが保持された後に制御するパケットがセキュリティ装置を経由するように制御するので、利用者ごとにセキュリティポリシーが異なる場合で、かつ、セキュリティポリシーに変更が必要になった場合に、柔軟かつ迅速に対応することが可能になる。

以下に添付図面を参照して、この発明に係るパケット制御装置の実施例を詳細に説明する。なお、以下では、実施例で用いる主要な用語、実施例１に係るパケット制御装置の概要および特徴、実施例１に係るパケット制御装置の構成および処理の手順、実施例１の効果を順に説明し、次に、他の実施例について説明する。

［用語の説明］
まず最初に、以下の実施例で用いる主要な用語を説明する。「セキュリティ装置」とは、インターネット接続する利用者ネットワークのセキュリティ（安全）を確保することを目的として、インターネットにおける脅威から利用者ネットワークを守るための装置である。具体的には、セキュリティ装置は、利用者ネットワーク内部に利用者ネットワークの管理者によって設置される場合や、ＩＳＰ（Internet Service Provider）などのネットワークプロバイダ内部に設置される場合などがあり、このようなセキュリティ装置を、インターネットと利用者ネットワークとの間で送受信される「パケット」が経由することで、セキュリティを確保する。

ところで、インターネットにおける脅威には様々な種類があることから、これらの脅威に対抗するセキュリティ装置にも様々な種類がある。例えば、利用者ネットワークに対する不正アクセスの脅威に対抗するには、不正アクセスを検知する機能を有する不正侵入検知装置ＩＤＳ（Intrusion Detection System）や、不正アクセスに伴う攻撃を防御する機能を有する不正侵入防御装置ＩＰＳ（Intrusion Prevention System）がある。また、例えば、利用者ネットワークに送信されたメールによるウィルス感染の脅威に対抗するには、ウィルス感染を検知するウィルスチェック装置がある。この他にも、ファイアウォール装置や、ＵＲＬ（Uniform Resource Locator）フィルタ装置など、様々な種類の脅威に対抗する様々な種類のセキュリティ装置があり、インターネットにおける脅威全てに対抗するには、可能な限り多くの種類のセキュリティ装置をパケットが経由することが効果的である。

しかしながら、一方で、パケットがセキュリティ装置を経由すると、セキュリティ装置において、パケットに含まれる各種情報を読み取り、読み取った各種情報に基づいて各種処理を行うことから、結果として、パケットの転送速度が低下するなどのデメリットが生ずることも考えられる。このため、実際には、全てのパケットが全てのセキュリティ装置を経由するというものではなく、利用者ネットワークごとに、どの脅威に対抗することを優先するべきであるのか、すなわち、どのパケットがどのセキュリティ装置を経由するべきであるのかなどの方針（特許請求の範囲に記載の「ポリシー」に対応する）が異なるのが通常である。

このように、利用者ネットワークごとに、どのパケットがどのセキュリティ装置を経由するべきであるのかなどの方針（ポリシー）が異なることから、多数の利用者ネットワークを収容するネットワークプロバイダなどでは、上記したような利用者ネットワークごとの方針（ポリシー）に従ってパケットをセキュリティ装置に経由させなければならず、方針（ポリシー）に従ってパケットを制御する「パケット制御装置」が重要な役割を果たすことになる。

［実施例１に係るパケット制御装置の概要および特徴］
続いて、図１を用いて、実施例１に係るパケット制御装置の概要および特徴を説明する。図１は、実施例１に係るパケット制御装置の概要および特徴を説明するための図である。

実施例１に係るパケット制御装置は、上記したように、ネットワークから受信したパケットが経由すべきセキュリティ装置を指定するポリシーに従ってパケットを制御することを概要とし、利用者ごとにセキュリティポリシーが異なる場合に柔軟に対応することを主たる特徴とする。

この主たる特徴について簡単に説明すると、実施例１に係るパケット制御装置は、パケットに含まれるアドレス情報およびプロトコルに係る情報と、このアドレス情報およびプロトコルに係る情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報（セキュリティ装置を収容するインタフェース）とが対応づけられたポリシーを保持する。例えば、図１に示すように、パケット制御装置は、ポリシー保持部において、パケットに含まれるアドレス情報（「129.60.10.0/28」）およびプロトコルに係る情報（「80」）と、このアドレス情報（「129.60.10.0/28」）およびプロトコルに係る情報（「80」）を含むパケットが経由すべきセキュリティ装置を識別する識別情報（「ＩＦ＃１」、「ＩＦ＃２」、および「ＩＦ＃３」）とが対応づけられたポリシーを保持する。

このように構成された実施例１に係るパケット制御装置は、ポリシー保持部によって保持されたポリシーと、ネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、このパケットが、このアドレス情報およびプロトコルに係る情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御する。例えば、図１に示すように、パケット制御装置は、ポリシー保持部によって保持されたポリシーと、ネットワークから受信したパケットに含まれるアドレス情報（「129.60.10.0/28」）およびプロトコルに係る情報（「80」）とを照合し（図１の（１）を参照）、このパケットが、このアドレス情報およびプロトコルに係る情報に対応づけられた識別情報（「ＩＦ＃１」、「ＩＦ＃２」、および「ＩＦ＃３」）によって識別されるセキュリティ装置を経由するように制御する（図１の（２）を参照）。

このようにして、実施例１に係るパケット制御装置は、アドレス情報ごと（利用者ごと）のセキュリティポリシーと、パケットに含まれるアドレス情報とを照合することで、パケットを制御することから、上記した主たる特徴のごとく、利用者ごとにセキュリティポリシーが異なる場合に柔軟に対応することが可能になる。

ところで、実施例１に係るパケット制御装置は、複数のセキュリティ装置がある場合に、複数のセキュリティ装置をパケットが経由すべき順序がさらに指定されたポリシーを保持し、ポリシーによって指定された順序に従って、パケットが複数のセキュリティ装置を経由するように制御することにも特徴がある。

例えば、図１に示すように、パケット制御装置は、複数のセキュリティ装置（「ＩＰＳ装置」、「ＵＲＬフィルタ装置」、および「ウィルスチェック装置」）がある場合には、複数のセキュリティ装置をパケットが経由すべき順序がさらに指定されたポリシーを保持し（図１の（２）−（Ａ）〜（Ｄ）を参照）、このポリシーによって指定された順序に従って、最初に、識別情報「ＩＦ＃１」によって識別される「ＩＰＳ装置」を経由するようにパケットを制御し（図１の（２）−（Ａ）を参照）、次に、識別情報「ＩＦ＃２」によって識別される「ＵＲＬフィルタ装置」を経由するようにパケットを制御し（図１の（２）−（Ｂ）を参照）、その後に、識別情報「ＩＦ＃３」によって識別される「ウィルスチェック装置」を経由するようにパケットを制御する（図１の（２）−（Ｃ）を参照）。

［実施例１に係るパケット制御装置の構成］
次に、図２〜図４を用いて、実施例１に係るパケット制御装置を説明する。図２は、パケット制御装置の構成を示すブロック図であり、図３および図４は、ポリシー保持部を説明するための図である。

図２に示すように、実施例１に係るパケット制御装置１０は、ポリシー受付用ネットワークインタフェース部１１と、ネットワークインタフェース部１２と、記憶部２０と、制御部３０とから構成される。

ポリシー受付用ネットワークインタフェース部１１は、パケット制御装置１０に設定するポリシーの受付やパケット制御装置１０の保守に際して通信を行うインタフェースである。例えば、ポリシー受付用ネットワークインタフェース部１１は、ＲＳ−２３２Ｃ（Recommended Standard 232 version C）などのインタフェースを有し、ケーブルで接続されたコンソール端末などとシリアル通信を行うことで、パケット制御装置１０に設定するポリシーを受信する。

ネットワークインタフェース部１２は、パケット制御装置１０がセキュリティ装置を収容して通信を行うインタフェースである。例えば、ネットワークインタフェース部１２は、モジュールタイプのセキュリティ装置を収容したり、ＲＪ−４５などのインタフェースでセキュリティ装置を収容したりする。なお、実施例１に係るパケット制御装置１０は、このようなインタフェースを複数備えており、パケット制御装置１０は、インタフェースに係る情報（例えば、インタフェースに付与された番号など）によって、収容するセキュリティ装置を識別する。

記憶部２０は、制御部３０による各種処理に用いるデータを記憶する手段であり、特にこの発明に密接に関連するものとしては、図２に示すように、ポリシー保持部２１と、パケットバッファ部２２とを備える。なお、ポリシー保持部２１は、特許請求の範囲に記載の「保持手段」に対応する。

かかる記憶部２０のなかで、ポリシー保持部２１は、パケットに含まれるアドレス情報およびプロトコルに係る情報と、このアドレス情報およびプロトコルに係る情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報（セキュリティ装置を収容するインタフェース）とが対応づけられたポリシーを保持する手段である。具体的には、ポリシー保持部２１は、後述するポリシー受付部３１によって受け付けられたポリシーを保持し、保持したポリシーは、後述するパケット経由制御部３３による経由制御処理に利用される。また、ポリシー保持部２１は、複数のセキュリティ装置がある場合に、複数のセキュリティ装置をパケットが経由すべき順序がさらに指定されたポリシーを保持する。

例えば、ポリシー保持部２１は、図３に示すような内容のポリシーを保持する。「外部ネットワークから利用者ネットワーク１宛の」の部分は、パケット制御装置１０が、「外部ネットワーク」から「利用者ネットワーク１」に送信されたパケットを制御することを示している。この時、「外部ネットワーク」は、ポリシー保持部２１において、送信元アドレスで表現され、「利用者ネットワーク１」は、宛先アドレスで表現される。また、「ＨＴＴＰのパケットは、」の部分は、パケット制御装置１０が、ＨＴＴＰ（HyperText Transfer Protocol）のパケットを制御することを示している。この時、「ＨＴＴＰ」は、ポリシー保持部２１において、宛先ポート番号で表現される。また、「最初にＩＰＳ装置を通し、次にＵＲＬフィルタ装置を通し、その後にウィルスチェック装置を通す。」の部分は、パケット制御装置１０が制御するパケットが、複数のセキュリティ装置を経由すべき順序を示している。この時、「ＩＰＳ装置」、「ＵＲＬフィルタ装置」、および「ウィルスチェック装置」は、ポリシー保持部２１において、インタフェースに係る情報で表現される。

ポリシー保持部２１は、図３に示すような内容のポリシーを、例えば、図４に示すような形態で保持する。図４に示す１行目のポリシーを説明すると、パケット制御装置１０が、インタフェースに係る情報「ＩＦ＃ａ」から入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート番号が「80」であるパケットを、インタフェースに係る情報「ＩＦ＃１」を経由するように制御することを示している。実施例１において、「ＩＦ＃ａ」は、外部ネットワークを識別する識別情報であり、「ＩＦ＃１」は、セキュリティ装置である「ＩＰＳ装置」を識別する識別情報であるので、図４に示す１行目のポリシーは、パケット制御装置１０が、外部ネットワークから入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート番号が「80」であるパケットを、「ＩＰＳ装置」を経由するように制御することを示している。なお、送信元アドレスおよび送信元ポート番号は、いずれでもよいことを示しており（「Ａｎｙ」）、トランスポート層のプロトコルは、「ＴＣＰ（Transmission Control Protocol）」であることを示している。

また、同様に、図４に示す２行目のポリシーを説明すると、パケット制御装置１０が、インタフェースに係る情報「ＩＦ＃１」から入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート番号が「80」であるパケットを、インタフェースに係る情報「ＩＦ＃２」を経由するように制御することを示している。実施例１において、「ＩＦ＃２」は、セキュリティ装置である「ＵＲＬフィルタ装置」を識別する識別情報であるので、図４に示すポリシーの２行目は、パケット制御装置１０が、「ＩＰＳ装置」から入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート番号が「80」であるパケットを、「ＵＲＬフィルタ装置」を経由するように制御することを示している。すなわち、図４に示す２行目のポリシーは、１行目のポリシーで制御されたパケットが経由する次のセキュリティ装置を示すものである。図４の示す３行目のポリシーおよび４行目のポリシーも、同様である。

このように、実施例１におけるポリシー保持部２１は、アドレス情報およびプロトコルに係る情報と、このアドレス情報およびプロトコルに係る情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報とが対応づけられたポリシーを保持し、複数のセキュリティ装置がある場合に、複数のセキュリティ装置をパケットが経由すべき順序が指定されたポリシーを保持する。また、ポリシー保持部２１は、後述するポリシー変更部３２によってポリシーを変更された場合に、保持するポリシーに替えて変更されたポリシーを保持する。なお、実施例１においては、ポリシー保持部２１が保持するポリシーとして図３および図４のみを例示したが、実際には、他のアドレス情報および他のプロトコルに係る情報を含むパケットが経由すべきセキュリティ装置を識別する他のポリシーも保持する場合が通常である。

ここで、図２に戻ると、パケットバッファ部２２は、パケット制御装置１０がネットワークから受信したパケットを一時的に記憶する手段である。具体的には、パケットバッファ部２２は、ネットワークから受信したパケットを一時的に記憶し、記憶したパケットは、後述するパケット経由制御部３３による経由制御処理に利用される。

制御部３０は、パケット制御装置１０を制御して各種処理を実行する手段であり、特にこの発明に密接に関連するものとしては、図２に示すように、ポリシー受付部３１と、ポリシー変更部３２と、パケット経由制御部３３とを備える。なお、ポリシー変更部３２は、特許請求の範囲に記載の「変更手段」に対応し、パケット経由制御部３３は、特許請求の範囲に記載の「経由制御手段」に対応する。

かかる制御部３０のなかで、ポリシー受付部３１は、パケット制御装置１０に設定するポリシーを受け付ける手段である。具体的には、ポリシー受付部３１は、ポリシー受付用ネットワークインタフェース部１１経由で受信したポリシーを受け付け、受け付けたポリシーを、ポリシー保持部２１に記憶させる。

ポリシー変更部３２は、ポリシーを変更する手段である。具体的には、ポリシー変更部３２は、ポリシー保持部２１によって保持されたポリシーに替えて、ポリシー受付部３１によって変更を受け付けられたポリシーをポリシー保持部２１に保持させ、ポリシーを変更する。

パケット経由制御部３３は、ポリシーと、ネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、パケットが、アドレス情報およびプロトコルに係る情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御する手段である。具体的には、実施例１におけるパケット経由制御部３３は、ポリシー保持部２１によって保持されたポリシーと、ネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、パケットが、アドレス情報およびプロトコルに係る情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御する。また、パケット経由制御部３３は、ポリシー保持部２１によって保持されたポリシーに指定された順序に従って、パケットが複数のセキュリティ装置を経由するように制御する。

例えば、パケット経由制御部３３は、外部ネットワークからパケットを受信すると、ポリシー保持部２１によって保持された図４に示すようなポリシーと、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報とを照合する。実施例１において、外部ネットワークからパケットが入力されるインタフェースは「ＩＦ＃ａ」であるので、パケット経由制御部３３は、「ＩＦ＃ａ」、「129.60.10.0/28」、および「80」を、図４に示すポリシーと照合する。すると、図４に示す１行目のポリシーに一致するので、パケット経由制御部３３は、対応づけられた識別情報（「ＩＦ＃１」）によって識別されるセキュリティ装置（「ＩＰＳ装置」）を経由するようにパケットを制御する。

パケット経由制御部３３が「ＩＰＳ装置」を経由するように制御したパケットは、経由した「ＩＰＳ装置」から再びパケット制御装置１０に送信される。このため、パケット経由制御部３３は、セキュリティ装置から送信されたパケットを受信すると、再び、ポリシー保持部２１によって保持された図４に示すようなポリシーと、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報とを照合する。すなわち、パケット経由制御部３３は、「ＩＦ＃１」、「129.60.10.0/28」、および「80」を、図４に示すポリシーと照合する。すると、図４に示す２行目のポリシーに一致するので、パケット経由制御部３３は、対応づけられた識別情報（ＩＦ＃２）によって識別されるセキュリティ装置（「ＵＲＬフィルタ装置」）を経由するようにパケットを制御する。

パケット経由制御部３３は、セキュリティ装置から送信されたパケットを受信すると、同様の処理を繰り返し、ポリシー保持部２１によって保持された図４に示すようなポリシーと、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報とを照合した結果、対応づけられた識別情報が利用者ネットワーク（ＩＦ＃ｂ）になった場合に、利用者ネットワークにパケットを送信し、処理を終了する。

［実施例１に係るパケット制御装置による処理の手順］
次に、図５を用いて、実施例１に係るパケット制御装置による処理の手順を説明する。図５は、実施例１に係るパケット制御装置による処理の手順を示すフローチャートである。なお、実施例１に係るパケット制御装置１０は、パケットに含まれるアドレス情報およびプロトコルに係る情報と、このアドレス情報およびプロトコルに係る情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報（セキュリティ装置を収容するインタフェース）とが対応づけられたポリシーを、ポリシー保持部２１にすでに保持しているものとし、以下では、このようなポリシーをすでに保持するパケット制御装置１０がパケットを制御する経由制御処理について説明する。

まず、パケット制御装置１０は、パケット経由制御部３３において、外部ネットワークからパケットを受信したか否かを判断する（ステップＳ５０１）。具体的には、パケット制御装置１０は、パケット経由制御部３３において、パケットバッファ部２２に外部ネットワーク（「ＩＦ＃ａ」）から受信したパケットが有るか否かを判断する。判断の結果、外部ネットワーク（「ＩＦ＃ａ」）から受信したパケットが無い場合には（ステップＳ５０１否定）、パケット制御装置１０は、パケット経由制御部３３において、外部ネットワークからパケットを受信したか否かを判断する処理に戻る。

一方、判断の結果、外部ネットワーク（「ＩＦ＃ａ」）から受信したパケットが有る場合には（ステップＳ５０１肯定）、パケット制御装置１０は、パケット経由制御部３３において、ポリシーと、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報とを照合して、一致したか否かを判断する（ステップＳ５０２）。具体的には、パケット制御装置１０は、パケット経由制御部３３において、ポリシー保持部２１に保持するポリシーと、パケットバッファ部２２に記憶する上記のパケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報とを照合して、一致したか否かを判断する。

判断の結果、一致しない場合には（ステップＳ５０２否定）、パケットが経由すべきセキュリティ装置が指定されていない場合であるので、パケット制御装置１０は、パケット経由制御部３３において、パケットを、宛先アドレスで指定された利用者ネットワーク（「ＩＦ＃ｂ」）に送信する（ステップＳ５０６）。

一方、判断の結果、一致する場合には（ステップＳ５０２肯定）、パケット制御装置１０は、パケット経由制御部３３において、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報に対応づけられたセキュリティ装置を識別する識別情報（セキュリティ装置を収容するインタフェース）が、利用者ネットワーク（「ＩＦ＃ｂ」）であるか否かを判断する（ステップＳ５０３）。

判断の結果、利用者ネットワーク（「ＩＦ＃ｂ」）である場合には（ステップＳ５０３肯定）、パケットが経由すべきセキュリティ装置を全て経由した場合であるので、パケット制御装置１０は、パケット経由制御部３３において、パケットを、宛先アドレスで指定された利用者ネットワーク（「ＩＦ＃ｂ」）に送信する（ステップＳ５０６）。

一方、判断の結果、利用者ネットワーク（「ＩＦ＃ｂ」）でない場合には（ステップＳ５０３否定）、パケット制御装置１０は、パケット経由制御部３３において、識別情報によって識別されるセキュリティ装置を経由するように、パケットを制御する（ステップＳ５０４）。例えば、識別情報が「ＩＦ＃１」である場合には、パケット制御装置１０は、パケット経由制御部３３において、「ＩＦ＃１」によって識別されるセキュリティ装置「ＩＰＳ装置」を経由するように、パケットを制御する。

次に、パケット制御装置１０は、パケット経由制御部３３において、パケットを制御したセキュリティ装置からパケットを受信したか否かを判断する（ステップＳ５０５）。上記した例で説明すると、パケット制御装置１０は、パケット経由制御部３３において、例えば、セキュリティ装置「ＩＰＳ装置」からパケットを受信したか否かを判断する。判断の結果、パケットを受信していない場合には（ステップＳ５０５否定）、パケット制御装置１０は、パケット経由制御部３３において、パケットを受信したか否かを判断する処理に戻る。

一方、判断の結果、パケットを受信した場合には（ステップＳ５０５肯定）、パケット制御装置１０は、パケット経由制御部３３において、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報に対応づけられたセキュリティ装置を識別する識別情報が、利用者ネットワーク（「ＩＦ＃ｂ」）であるか否かを判断する処理に戻る（ステップＳ５０３）。

そして、パケット制御装置１０は、パケット経由制御部３３において、ステップＳ５０３でパケットに対応づけられた識別情報が利用者ネットワーク（「ＩＦ＃ｂ」）と判断されるまで、ステップＳ５０４およびステップＳ５０５の処理を繰り返すことにより、ポリシーによって指定されたパケットが経由すべき順序に従って、パケットが複数のセキュリティ装置を経由するように制御する。

このようにして、実施例１に係るパケット制御装置１０は、アドレス情報ごと（利用者ごと）のセキュリティポリシーと、パケットに含まれるアドレス情報とを照合することで、パケットを制御することから、利用者ごとにセキュリティポリシーが異なる場合に柔軟に対応することが可能になる。

なお、実施例１では、パケット制御装置１０が、外部ネットワークから受信したパケットを利用者ネットワークに送信する場合について説明したが、この発明はこれに限られるものではなく、パケット制御装置１０が、利用者ネットワークから受信したパケットを外部ネットワークに送信する場合にも、この発明を同様に適用することができる。また、実施例１では、パケット制御装置１０が、外部ネットワークから受信したあるパケットをポリシーに従って制御する一連の処理について説明したが、この発明はこれに限られるものではなく、パケット制御装置１０が、異なるアドレス情報や異なるプロトコルに係る情報が含まれる複数のパケットを受信し、上記したような手順を、各々のパケットについてほぼ並行して行う処理にも、この発明を同様に適用することができる。

［実施例１の効果］
上記してきたように、実施例１によれば、ネットワークから受信したパケットが経由すべきセキュリティ装置を指定するポリシーに従ってパケットを制御するパケット制御装置であって、パケットに含まれるアドレス情報とアドレス情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報とが対応づけられたポリシーを保持し、保持されたポリシーとネットワークから受信したパケットに含まれるアドレス情報とを照合し、パケットがアドレス情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御するので、通信プロトコルごとのセキュリティポリシーと、パケットに含まれる通信プロトコルに係る情報とを照合することで、パケットを制御する手法に比較して、アドレス情報ごと（利用者ごと）のセキュリティポリシーと、パケットに含まれるアドレス情報とを照合することで、パケットを制御することから、利用者ごとにセキュリティポリシーが異なる場合に柔軟に対応することが可能になる。すなわち、利用者ごとにセキュリティポリシーが異なる場合にセキュリティ対策を実施する際に、複数の利用者間においてセキュリティ装置を共用することが可能になり、また、利用者ごとにセキュリティポリシーが異なる場合に新たな機能を有するセキュリティ装置を追加する際に、複数の利用者間において新たな機能を有するセキュリティ装置を共用し、システム全体への影響を最小限にすることが可能になる。さらに、複数の利用者間においてセキュリティ装置を共用することから、設備コストや運用コストを削減することが可能になる。

また、実施例１によれば、パケットに含まれるプロトコルに係る情報が、アドレス情報と識別情報とにさらに対応づけられたポリシーを保持し、保持されたポリシーとネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、パケットがアドレス情報およびプロトコルに係る情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御するので、アドレス情報ごとおよび通信プロトコルごと（利用者ごとおよび通信プロトコルごと）のセキュリティポリシーと、パケットに含まれるアドレス情報および通信プロトコルに係る情報とを照合することで、パケットを制御することから、利用者ごとおよび通信プロトコルごとにセキュリティポリシーが異なる場合に、柔軟に対応することが可能になる。

また、実施例１によれば、複数のセキュリティ装置がある場合に複数のセキュリティ装置をパケットが経由すべき順序がさらに指定されたポリシーを保持し、保持されたポリシーによって指定された順序に従って、パケットが複数のセキュリティ装置を経由するように制御するので、利用者ごとにセキュリティポリシーが異なる場合で、かつ、複数のセキュリティ装置をパケットが経由する順序が指定されたセキュリティポリシーの場合に、柔軟に対応することが可能になる。すなわち、例えば、「最初にファイアウォール装置を通し、次にＩＰＳ装置を通す。」というセキュリティポリシーで、最初にファイアウォール装置でパケットフィルタリングを行い、次にＩＰＳ装置で攻撃を検知することで、無駄なトラヒックを抑えたいという利用者の要望や、「最初にＩＰＳ装置を通し、次にファイアウォール装置を通す。」というセキュリティポリシーで、最初にＩＰＳ装置で攻撃を検知し、次にファイアウォール装置でパケットフィルタリングを行うことで、攻撃に関する情報を収集したいという利用者の要望などに、柔軟に対応することが可能になる。

また、実施例１によれば、識別情報として、セキュリティ装置を収容するインタフェース情報が対応づけられたポリシーを保持するので、パケットがパケット制御装置に入力される入力インタフェースや、パケットがパケット制御装置から出力される出力インタフェースなど、パケットがセキュリティ装置を経由する際の入出力に係る物理的な情報を利用することで、パケットを制御することから、利用者ごとにセキュリティポリシーが異なる場合に、柔軟かつ簡易に対応することが可能になる。

また、実施例１によれば、保持されたポリシーを変更し、ポリシーを変更された場合に、このポリシーに替えて変更されたポリシーを保持し、変更されたポリシーが保持された場合に、変更されたポリシーに従って、変更されたポリシーが保持された後に制御するパケットがセキュリティ装置を経由するように制御するので、利用者ごとにセキュリティポリシーが異なる場合で、かつ、セキュリティポリシーに変更が必要になった場合に、柔軟かつ迅速に対応することが可能になる。

さて、これまで、実施例１として、パケット制御装置が、ポリシーと、ネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合する手法を説明したが、この発明はこれに限られるものではなく、パケット制御装置が、ポリシーと、ネットワークから受信したパケットに付与された固有の属性値（ポリシーと対応づけられた固有の属性値）とを照合する手法にも、この発明を同様に適用することができる。そこで、以下では、実施例２として、パケット制御装置が、ポリシーと、ネットワークから受信したパケットに付与された固有の属性値とを照合する手法について説明する。

［実施例２に係るパケット制御装置の構成］
まず、図６を用いて、実施例２に係るパケット制御装置の構成を説明する。図６は、ポリシー保持部を説明するための図である。なお、以下では、実施例２に係るパケット制御装置において、実施例１に係るパケット制御装置と同様に構成される部については説明を省略し、ポリシー保持部２１およびパケット経由制御部３３についてのみ詳細に説明する。

実施例２におけるポリシー保持部２１は、実施例１と同様、パケットに含まれるアドレス情報およびプロトコルに係る情報と、このアドレス情報およびプロトコルに係る情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報とが対応づけられたポリシーを保持する手段であるが、このポリシーを、ポリシーに固有の属性値を対応づけて保持する点で、実施例１と異なる。

例えば、ポリシー保持部２１は、図６の（Ｂ）および（Ｃ）に示すような形態でポリシーを保持する。まず、ポリシー保持部２１は、図６の（Ｂ）に示すように、宛先アドレスが「129.60.10.0/28」であり、宛先ポート番号が「80」であるパケットに係る情報に、固有の属性値「１」を対応づけて保持する。また、ポリシー保持部２１は、図６の（Ｃ）に示すように、アドレス情報およびプロトコルに係る情報に、固有の属性値「１」を対応づけたポリシーを保持する。

実施例２におけるポリシー保持部２１において、図６の（Ｂ）および（Ｃ）に示すような形態で保持されたポリシーは、実施例１におけるポリシー保持部２１において保持されたポリシー（図４を参照）と同じ内容でパケットを制御するものであるが、ポリシーに固有の属性値「１」を対応づけて保持する点で、実施例１と異なる。

すなわち、図６の（Ｃ）に示す１行目のポリシーを説明すると、実施例１と同様、パケット制御装置１０が、インタフェースに係る情報「ＩＦ＃ａ」から入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート番号が「80」であるパケットを、インタフェースに係る情報「ＩＦ＃１」を経由するように制御することを示している。また、図６の（Ｃ）に示す２行目のポリシーを説明すると、実施例１と同様、パケット制御装置１０が、インタフェースに係る情報「ＩＦ＃１」から入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート番号が「80」であるパケットを、インタフェースに係る情報「ＩＦ＃２」を経由するように制御することを示している。図６の（Ｃ）に示す３行目のポリシーおよび４行目のポリシーも、同様である。

実施例２におけるパケット経由制御部３３は、実施例１と同様、ポリシーと、ネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、パケットが、アドレス情報およびプロトコルに係る情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御する手段であるが、ポリシーに従って制御されるパケットに、ポリシーに対応づけられた固有の属性値を付与し、ポリシーとパケットに付与された固有の属性値とを照合し、属性値に対応するポリシーに従って、パケットがセキュリティ装置を経由するようにパケットを制御する点で、実施例１と異なる。

例えば、パケット経由制御部３３は、外部ネットワークからパケットを受信すると、ポリシー保持部２１によって保持された図６の（Ｂ）に示すようなポリシーと、パケットに含まれるアドレス情報およびプロトコルに係る情報とを照合する。実施例２において、パケット経由制御部３３は、「129.60.10.0/28」および「80」を、図６の（Ｂ）に示すポリシーと照合する。すると、「129.60.10.0/28」および「80」が、図６の（Ｂ）に示す宛先アドレスおよび宛先ポート番号と一致するので、パケット経由制御部３３は、「129.60.10.0/28」および「80」が含まれるパケットに、図６の（Ｂ）に示す固有の属性値「１」を付与する（図６の（Ａ）を参照）。

また、パケット経由制御部３３は、図６の（Ｃ）に示すようなポリシーと、パケットが入力されたインタフェースに係る情報および属性値とを照合する。実施例２において、外部ネットワークからパケットが入力されるインタフェースは「ＩＦ＃ａ」であるので、パケット経由制御部３３は、「ＩＦ＃ａ」および属性値「１」を、図６の（Ｃ）に示すポリシーと照合する。すると、図６の（Ｃ）に示す１行目のポリシーに一致するので、パケット経由制御部３３は、対応づけられた識別情報（「ＩＦ＃１」）によって識別されるセキュリティ装置（「ＩＰＳ装置」）を経由するようにパケットを制御する。

パケット経由制御部３３が「ＩＰＳ装置」を経由するように制御したパケットは、実施例１と同様、経由した「ＩＰＳ装置」から再びパケット制御装置１０に送信される。このため、パケット制御部３３は、セキュリティ装置から送信されたパケットを受信すると、再び、ポリシー保持部２１によって保持された図６の（Ｃ）に示すようなポリシーと、パケットが入力されたインタフェースに係る情報および属性値とを照合する。すなわち、実施例２におけるパケット経由制御部３３は、「ＩＦ＃１」および属性値「１」を、図６の（Ｃ）に示すポリシーと照合する。すると、図６の（Ｃ）に示す２行目のポリシーに一致するので、パケット経由制御部３３は、対応づけられた識別情報（「ＩＦ＃２」）によって識別されるセキュリティ装置（「ＵＲＬフィルタ装置」）を経由するようにパケットを制御する。

パケット経由制御部３３は、セキュリティ装置から送信されたパケットを受信すると、同様の処理を繰り返し、ポリシー保持部２１によって保持された図６の（Ｃ）に示すようなポリシーと、パケットが入力されたインタフェースに係る情報および属性値とを照合した結果、対応づけられた識別情報が利用者ネットワーク（「ＩＦ＃ｂ」）になった場合に、利用者ネットワークにパケットを送信し、処理を終了する。

［実施例２に係るパケット制御装置による処理の手順］
次に、図７を用いて、実施例２に係るパケット制御装置による処理の手順を説明する。図７は、実施例２に係るパケット制御装置による処理の手順を示すフローチャートである。なお、実施例２に係るパケット制御装置１０は、固有の属性値が対応づけられたポリシーを、ポリシー保持部２１によってすでに保持しているものとし、以下では、このようなポリシーをすでに保持するパケット制御装置１０がパケットを制御する経由制御処理について説明する。

まず、パケット制御装置１０は、パケット経由制御部３３において、外部ネットワークからパケットを受信したか否かを判断する（ステップＳ７０１）。判断の結果、外部ネットワーク（「ＩＦ＃ａ」）から受信したパケットが無い場合には（ステップＳ７０１否定）、パケット制御装置１０は、パケット経由制御部３３において、外部ネットワークからパケットを受信したか否かを判断する処理に戻る。

一方、判断の結果、外部ネットワーク（「ＩＦ＃ａ」）から受信したパケットが有る場合には（ステップＳ７０１肯定）、パケット制御装置１０は、パケット経由制御部３３において、ポリシーと、パケットに含まれるアドレス情報およびプロトコルに係る情報とを照合して、一致したか否かを判断する（ステップＳ７０２）。具体的には、パケット制御装置１０は、パケット経由制御部３３において、ポリシー保持部２１に保持するポリシー（例えば、図６の（Ｂ）など）と、パケットバッファ部２２に記憶する上記のパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合して、一致したか否かを判断する。

判断の結果、一致しない場合には（ステップＳ７０２否定）、パケットが経由すべきセキュリティ装置が指定されていない場合であるので、パケット制御装置１０は、パケット経由制御部３３において、パケットを、宛先アドレスで指定された利用者ネットワーク（「ＩＦ＃ｂ」）に送信する（ステップＳ７０８）。

一方、判断の結果、一致する場合には（ステップＳ７０２肯定）、パケット制御装置１０は、パケット経由制御部３３において、パケットに含まれるアドレス情報およびプロトコルに係る情報と一致したポリシーに対応づけられた固有の属性値を、パケットに付与する（ステップＳ７０３）。

そして、パケット制御装置１０は、パケット経由制御部３３において、ポリシー（例えば、図６の（Ｃ）など）と、パケットが入力されたインタフェースに係る情報およびパケットに付与された固有の属性値とを照合して、一致したか否かを判断する（ステップＳ７０４）。判断の結果、一致しない場合には（ステップＳ７０４否定）、パケットが経由すべきセキュリティ装置が指定されていない場合であるので（例えば、図６の（Ｂ）のポリシーは指定されていたが、（Ｃ）のポリシーが指定されていなかったような場合などであるので）、パケット制御装置１０は、パケット経由制御部３３において、パケットを、宛先アドレスで指定された利用者ネットワーク（「ＩＦ＃ｂ」）に送信する（ステップＳ７０８）。

一方、判断の結果、一致する場合には（ステップＳ７０４肯定）、パケット制御装置１０は、パケット経由制御部３３において、パケットが入力されたインタフェースに係る情報および属性値に対応づけられたセキュリティ装置を識別する識別情報（セキュリティ装置を収容するインタフェース）が、利用者ネットワーク（「ＩＦ＃ｂ」）であるか否かを判断する（ステップＳ７０５）。

判断の結果、利用者ネットワーク（「ＩＦ＃ｂ」）である場合には（ステップＳ７０５肯定）、パケットが経由すべきセキュリティ装置を全て経由した場合であるので、パケット制御装置１０は、パケット経由制御部３３において、パケットを、宛先アドレスで指定された利用者ネットワーク（「ＩＦ＃ｂ」）に送信する（ステップＳ７０８）。

一方、判断の結果、利用者ネットワーク（「ＩＦ＃ｂ」）でない場合には（ステップＳ７０５否定）、パケット制御装置１０は、パケット経由制御部３３において、識別情報によって識別されるセキュリティ装置を経由するように、パケットを制御する（ステップＳ７０６）。例えば、識別情報が「ＩＦ＃１」である場合には、パケット制御装置１０は、パケット経由制御部３３において、「ＩＦ＃１」によって識別されるセキュリティ装置「ＩＰＳ装置」を経由するように、パケットを制御する。

次に、パケット制御装置１０は、パケット経由制御部３３において、パケットを制御したセキュリティ装置からパケットを受信したか否かを判断する（ステップＳ７０７）。上記した例で説明すると、パケット制御装置１０は、パケット経由制御部３３において、例えば、セキュリティ装置「ＩＰＳ装置」からパケットを受信したか否かを判断する。判断の結果、パケットを受信していない場合には（ステップＳ７０７否定）、パケット制御装置１０は、パケット経由制御部３３において、パケットを受信したか否かを判断する処理に戻る。

一方、判断の結果、パケットを受信した場合には（ステップＳ７０７肯定）、パケット制御装置１０は、パケット経由制御部３３において、パケットが入力されたインタフェースに係る情報および属性値に対応づけられたセキュリティ装置を識別する識別情報が、利用者ネットワーク（「ＩＦ＃ｂ」）であるか否かを判断する処理に戻る（ステップＳ７０５）。

そして、パケット制御装置１０は、パケット経由制御部３３において、ステップＳ７０５でパケットに対応づけられた識別情報が利用者ネットワーク（「ＩＦ＃ｂ」）と判断されるまで、ステップＳ７０６およびステップＳ７０７の処理を繰り返すことにより、ポリシーによって指定されたパケットが経由すべき順序に従って、パケットが複数のセキュリティ装置を経由するように制御する。

このようにして、実施例２に係るパケット制御装置１０は、ひとつの属性値に対応づけられたセキュリティポリシーと、ひとつの属性値とを照合することで、パケットを制御することから、利用者ごとにセキュリティポリシーが異なる場合に柔軟かつ処理負荷を軽減して対応することが可能になる。

［実施例２の効果］
上記してきたように、実施例２によれば、ポリシーに固有の属性値を対応づけてポリシーを保持し、ポリシーに従って制御されるパケットに、ポリシーに対応づけられた固有の属性値を付与し、ポリシーとパケットに付与された固有の属性値とを照合し、属性値に対応するポリシーに従って、パケットがセキュリティ装置を経由するようにパケットを制御するので、例えば、アドレス情報ごとおよび通信プロトコルごと（利用者ごとおよび通信プロトコルごと）のセキュリティポリシーと、パケットに含まれるアドレス情報および通信プロトコルに係る情報とを照合することで、パケットを制御する手法に比較して、ひとつの属性値に対応づけられたセキュリティポリシーと、ひとつの属性値とを照合することで、パケットを制御することから、利用者ごとにセキュリティポリシーが異なる場合に、柔軟かつ処理負荷を軽減して対応することが可能になる。

続いて、これまで、実施例１または実施例２として、パケット制御装置が、パケットが経由すべきセキュリティ装置を指定するポリシーに従ってパケットを制御する手法を説明したが、この発明はこれに限られるものではなく、パケット制御装置が、パケットがセキュリティ装置を経由すべき日付、曜日、時間帯に係る情報のいずれかひとつまたは複数がさらに指定されたポリシーに従ってパケットを制御する手法にも、この発明を同様に適用することができる。そこで、以下では、実施例３として、パケット制御装置が、パケットがセキュリティ装置を経由すべき日付、曜日、時間帯に係る情報のいずれかひとつまたは複数がさらに指定されたポリシーに従ってパケットを制御する手法について説明する。

［実施例３に係るパケット制御装置の構成］
まず、図８および図９を用いて、実施例３に係るパケット制御装置の構成を説明する。図８および図９は、ポリシー保持部を説明するための図である。なお、以下では、実施例３に係るパケット制御装置において、実施例１または実施例２に係るパケット制御装置と同様に構成される部については説明を省略し、ポリシー保持部２１およびパケット経由制御部３３についてのみ詳細に説明する。

実施例３におけるポリシー保持部２１は、実施例１または実施例２と同様、パケットに含まれるアドレス情報およびプロトコルに係る情報と、このアドレス情報およびプロトコルに係る情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報とが対応づけられたポリシーを保持する手段であるが、パケットがセキュリティ装置を経由すべき日付、曜日、時間帯に係る情報のいずれかひとつまたは複数がさらに指定されたポリシーを保持する点で、実施例１または実施例２と異なる。

例えば、ポリシー保持部２１は、図８に示すような内容のポリシーを保持する。「外部ネットワークから利用者ネットワーク１宛の」の部分は、実施例１または実施例２と同様、パケット制御装置１０が、「外部ネットワーク」から「利用者ネットワーク１」に送信されたパケットを制御することを示している。また、「ＨＴＴＰのパケットは、」の部分は、実施例１または実施例２と同様、パケット制御装置１０が、ＨＴＴＰのパケットを制御することを示している。

ところで、実施例３におけるポリシー保持部２１は、実施例１または実施例２と異なり、パケット制御装置１０が制御するパケットが、複数のセキュリティ装置を経由すべき順序として、「最初にＩＰＳ装置を通し、次に平日の１０：００〜１７：００のみＵＲＬフィルタ装置を通し、その後にウィルスチェック装置を通す。」という内容のポリシーを保持する。すなわち、実施例３におけるポリシー保持部２１は、パケット制御装置１０が制御するパケットが、「平日の１０：００〜１７：００」には、「ＩＰＳ装置」、「ＵＲＬフィルタ装置」、「ウィルスチェック装置」の順序で３台のセキュリティ装置を経由すべきであるが、「平日の１０：００〜１７：００以外」には、「ＩＰＳ装置」、「ウィルスチェック装置」の順序で２台のセキュリティ装置を経由すべきであることを示す内容のポリシーを保持する。

実施例３におけるポリシー保持部２１は、図８に示すような内容のポリシーを、例えば、図９に示すような形態で保持する。図９に示す２行目のポリシーを説明すると、パケット制御装置１０が、インタフェースに係る情報「ＩＦ＃１」から入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート番号が「80」であるパケットを、「月〜金の１０：００〜１７：００」には、インタフェースに係る情報「ＩＦ＃２」を経由するように制御することを示している。また、図９に示す３行目のポリシーを説明すると、パケット制御装置１０が、インタフェースに係る情報「ＩＦ＃１」から入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート番号が「80」であるパケットを、「月〜金の１０：００〜１７：００以外」には、インタフェースに係る情報「ＩＦ＃３」を経由するように制御することを示している。

実施例３におけるパケット経由制御部３３は、実施例１または実施例２と同様、ポリシーと、ネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、パケットが、アドレス情報およびプロトコルに係る情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御する手段であるが、ポリシーによって指定された日付、曜日、時間帯に係る情報のいずれかひとつまたは複数に従って、パケットがセキュリティ装置を経由するように制御する点で、実施例１または実施例２と異なる。

例えば、パケット経由制御部３３は、識別情報「ＩＦ＃１」によって識別される「ＩＰＳ装置」から送信されたパケットを受信すると、ポリシー保持部２１によって保持された図９の２行目に示すようなポリシーと、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、プロトコルに係る情報、および作動条件（日付、曜日、時間帯に係る情報）とを照合する。すなわち、実施例３におけるパケット制御部３３は、「ＩＦ＃１」、「129.60.10.0/28」、「80」、および作動条件（現在の日付、曜日、時間帯に係る情報）を、図９に示すポリシーと照合する。

すると、現在の日付、曜日、時間帯に係る情報が、「月〜金の１０：００〜１７：００」に一致する場合には、図９の２行目のポリシーに一致するので、パケット経由制御部３３は、対応づけられた識別情報（「ＩＦ＃２」）によって識別されるセキュリティ装置（「ＵＲＬフィルタ装置」）を経由するようにパケットを制御する。一方、現在の日付、曜日、時間帯に係る情報が、「月〜金の１０：００〜１７：００」に一致しない場合、すなわち、「月〜金の１０：００〜１７：００以外」に一致する場合には、図９の３行目のポリシーに一致するので、パケット経由制御部３３は、対応づけられた識別情報（「ＩＦ＃３」）によって識別されるセキュリティ装置（「ウィルスチェック装置」）を経由するようにパケットを制御する。

［実施例３に係るパケット制御装置による処理の手順］
次に、図１０を用いて、実施例３に係るパケット制御装置による処理の手順を説明する。図１０は、実施例３に係るパケット制御装置による処理の手順を示すフローチャートである。なお、実施例３に係るパケット制御装置１０は、パケットがセキュリティ装置を経由すべき日付、曜日、時間帯に係る情報のいずれかひとつまたは複数がさらに指定されたポリシーを、ポリシー保持部２１によってすでに保持しているものとし、以下では、このようなポリシーをすでに保持するパケット制御装置１０がパケットを制御する経由制御処理について説明する。

まず、パケット制御装置１０は、パケット経由制御部３３において、外部ネットワークからパケットを受信したか否かを判断する（ステップＳ１００１）。判断の結果、外部ネットワーク（「ＩＦ＃ａ」）から受信したパケットが無い場合には（ステップＳ１００１否定）、パケット制御装置１０は、パケット経由制御部３３において、外部ネットワークからパケットを受信したか否かを判断する処理に戻る。

一方、判断の結果、外部ネットワーク（「ＩＦ＃ａ」）から受信したパケットが有る場合には（ステップＳ１００１肯定）、パケット制御装置１０は、パケット経由制御部３３において、ポリシーと、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、プロトコルに係る情報、および作動条件（現在の日付、曜日、時間帯に係る情報）とを照合して、一致したか否かを判断する（ステップＳ１００２）。

判断の結果、一致しない場合には（ステップＳ１００２否定）、パケットが経由すべきセキュリティ装置が指定されていない場合であるので、パケット制御装置１０は、パケット経由制御部３３において、パケットを、宛先アドレスで指定された利用者ネットワーク（「ＩＦ＃ｂ」）に送信する（ステップＳ１００６）。

一方、判断の結果、一致する場合には（ステップＳ１００２肯定）、パケット制御装置１０は、パケット経由制御部３３において、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、プロトコルに係る情報、および作動条件（日付、曜日、時間帯に係る情報）に対応づけられたセキュリティ装置を識別する識別情報（セキュリティ装置を収容するインタフェース）が、利用者ネットワーク（「ＩＦ＃ｂ」）であるか否かを判断する（ステップＳ１００３）。

判断の結果、利用者ネットワーク（「ＩＦ＃ｂ」）である場合には（ステップＳ１００３肯定）、パケットが経由すべきセキュリティ装置を全て経由した場合であるので、パケット制御装置１０は、パケット経由制御部３３において、パケットを、宛先アドレスで指定された利用者ネットワーク（「ＩＦ＃ｂ」）に送信する（ステップＳ１００６）。

一方、判断の結果、利用者ネットワーク（「ＩＦ＃ｂ」）でない場合には（ステップＳ１００３否定）、パケット制御装置１０は、パケット経由制御部３３において、識別情報によって識別されるセキュリティ装置を経由するように、パケットを制御する（ステップＳ１００４）。

次に、パケット制御装置１０は、パケット経由制御部３３において、パケットを制御したセキュリティ装置からパケットを受信したか否かを判断する（ステップＳ１００５）。判断の結果、パケットを受信していない場合には（ステップＳ１００５否定）、パケット制御装置１０は、パケット経由制御部３３において、パケットを受信したか否かを判断する処理に戻る。

一方、判断の結果、パケットを受信した場合には（ステップＳ１００５肯定）、パケット制御装置１０は、パケット経由制御部３３において、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、プロトコルに係る情報、および作動条件（日付、曜日、時間帯に係る情報）に対応づけられたセキュリティ装置を識別する識別情報が、利用者ネットワーク（「ＩＦ＃ｂ」）であるか否かを判断する処理に戻る（ステップＳ１００３）。

そして、パケット制御装置１０は、パケット経由制御部３３において、ステップＳ１００３でパケットに対応づけられた識別情報が利用者ネットワーク（「ＩＦ＃ｂ」）と判断されるまで、ステップＳ１００４およびステップＳ１００５の処理を繰り返すことにより、ポリシーによって指定されたパケットが経由すべき順序に従って、パケットが複数のセキュリティ装置を経由するように制御する。

このようにして、実施例３に係るパケット制御装置１０は、利用者ごとにセキュリティポリシーが異なる場合で、かつ、セキュリティ装置を経由する日付、曜日、時間帯などが指定されたセキュリティポリシーの場合に、柔軟に対応することが可能になる。

［実施例３の効果］
上記してきたように、実施例３によれば、パケットがセキュリティ装置を経由すべき日付、曜日、時間帯に係る情報のいずれかひとつまたは複数がさらに指定されたポリシーを保持し、保持されたポリシーによって指定された日付、曜日、時間帯に係る情報のいずれかひとつまたは複数に従って、パケットがセキュリティ装置を経由するように制御するので、利用者ごとにセキュリティポリシーが異なる場合で、かつ、セキュリティ装置を経由する日付、曜日、時間帯などが指定されたセキュリティポリシーの場合に、柔軟に対応することが可能になる。

次に、これまで、実施例１〜実施例３として、パケット制御装置が、セキュリティ装置において検知されたセキュリティに係る状況に係らずパケットを制御する手法を説明したが、この発明はこれに限られるものではなく、パケット制御装置が、セキュリティ装置において検知されたセキュリティに係る状況ごとに区分けされたポリシーに従ってパケットを制御する手法にも、この発明を同様に適用することができる。そこで、以下では、実施例４として、パケット制御装置が、セキュリティ装置において検知されたセキュリティに係る状況ごとに区分けされたポリシーに従ってパケットを制御する手法について説明する。

［実施例４に係るパケット制御装置の概要および特徴］
まず、図１１を用いて、実施例４に係るパケット制御装置の概要および特徴を説明する。図１１は、実施例４に係るパケット制御装置の概要および特徴を説明するための図である。

実施例４に係るパケット制御装置は、ネットワークから受信したパケットが経由すべきセキュリティ装置を指定するポリシーに従ってパケットを制御することを概要とし、利用者ごとにセキュリティポリシーが異なる場合で、かつ、セキュリティ装置によって通知されるセキュリティに係る状況ごとにセキュリティポリシーが異なる場合に、柔軟かつ迅速に対応することを主たる特徴とする。

この主たる特徴について簡単に説明すると、実施例４に係るパケット制御装置は、実施例１〜実施例３と同様、パケットに含まれるアドレス情報およびプロトコルに係る情報と、このアドレス情報およびプロトコルに係る情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報（セキュリティ装置を収容するインタフェース）とが対応づけられたポリシーを保持するが、セキュリティ装置によって通知されるセキュリティに係る状況ごとに区分けされた複数のポリシーを保持する点で、実施例１〜実施例３と異なる。

例えば、図１１に示すように、実施例４に係るパケット制御装置は、ポリシー保持部において、セキュリティ装置によって通知されるセキュリティに係る状況が「ＤＤｏＳ（Distributed Denial of Service）攻撃なし」の場合と「ＤＤｏＳ攻撃あり」の場合とに区分けされた２つのポリシーを保持する。実施例４において、「ＤＤｏＳ攻撃なし」の場合のポリシーは、パケット制御装置が、パケットを、識別情報「ＩＦ＃２」によって識別されるセキュリティ装置「ＤＤｏＳ防御装置」に経由させないで制御するポリシーであるが、「ＤＤｏＳ攻撃あり」の場合のポリシーは、セキュリティ装置「ＤＤｏＳ防御装置」を経由するように制御するポリシーである。また、実施例４において、識別情報「ＩＦ＃１」によって識別される「ＤＤｏＳ攻撃検知装置」は、「ＤＤｏＳ攻撃検知装置」において検知されたセキュリティに係る状況を通知するものである。

このように構成された実施例４に係るパケット制御装置は、実施例１〜実施例３と同様、ポリシー保持部によって保持されたポリシーと、ネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、このパケットが、このアドレス情報およびプロトコルに係る情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御するが、セキュリティ装置によってセキュリティに係る状況が通知された場合に、ポリシー保持部によって保持されたセキュリティに係る状況に区分けされたポリシーに従って、セキュリティに係る状況が通知された後に制御するパケットがセキュリティ装置を経由するように制御する点で、実施例１〜実施例３と異なる。

例えば、図１１に示すように、パケット制御装置は、セキュリティに係る状況が「ＤＤｏＳ攻撃なし」の場合のポリシーとしてポリシー保持部によって保持されたポリシーと、ネットワークから受信したパケットに含まれるアドレス情報（「129.60.10.0/28」）およびプロトコルに係る情報（「80」）とを照合し（図１１の（１）を参照）、このパケットが、このアドレス情報およびプロトコルに係る情報に対応づけられた識別情報（「ＩＦ＃１」、および「ＩＦ＃３」）によって識別されるセキュリティ装置を経由するように制御する（図１１の（２）を参照）。

ここで、パケット制御装置は、「ＤＤｏＳ攻撃検知装置」によってセキュリティに係る状況を通知されない場合には、このパケットを、識別情報「ＩＦ＃１」に識別されるセキュリティ装置「ＤＤｏＳ攻撃検知装置」を経由するように制御した後に、識別情報「ＩＦ＃３」に識別されるセキュリティ装置「ウィルスチェック装置」を経由するように制御する。一方、「ＤＤｏＳ攻撃検知装置」によってセキュリティに係る状況を通知された場合には（図１１の（３）を参照）、実施例４に係るパケット制御装置は、ポリシー保持部によって保持されたセキュリティに係る状況が「ＤＤｏＳ攻撃あり」の場合のポリシーに従って、セキュリティに係る状況が通知された後に制御するパケットが、識別情報「ＩＦ＃１」に識別されるセキュリティ装置「ＤＤｏＳ攻撃検知装置」を経由するように制御した後に、識別情報「ＩＦ＃２」に識別されるセキュリティ装置「ＤＤｏＳ防御装置」を経由するように制御する。

例えば、図１１に示すように、パケット制御装置は、セキュリティに係る状況が「ＤＤｏＳ攻撃あり」の場合のポリシーとしてポリシー保持部によって保持されたポリシーと、ネットワークから受信したパケットに含まれるアドレス情報（「129.60.10.0/28」）およびプロトコルに係る情報（「80」）とを照合し（図１１の（４）を参照）、このパケットが、このアドレス情報およびプロトコルに係る情報に対応づけられた識別情報（「ＩＦ＃２」）によって識別されるセキュリティ装置（「ＤＤｏＳ防御装置」）を経由するように制御する（図１１の（５）を参照）。

このようにして、実施例４に係るパケット制御装置は、上記した主たる特徴のごとく、利用者ごとにセキュリティポリシーが異なる場合で、かつ、セキュリティ装置によって通知されるセキュリティに係る状況ごとにセキュリティポリシーが異なる場合に、柔軟かつ迅速に対応することが可能になる。

［実施例４に係るパケット制御装置の構成］
次に、図１２および図１３を用いて、実施例４に係るパケット制御装置を説明する。図１２および図１３は、ポリシー保持部を説明するための図である。なお、以下では、実施例４に係るパケット制御装置において、実施例１〜実施例３に係るパケット制御装置と同様に構成される部については説明を省略し、ポリシー保持部２１およびパケット制御部３３についてのみ詳細に説明する。

実施例４におけるポリシー保持部２１は、実施例１〜実施例３と同様、パケットに含まれるアドレス情報およびプロトコルに係る情報と、このアドレス情報およびプロトコルに係る情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報とが対応づけられたポリシーを保持する手段であるが、セキュリティ装置によって通知されるセキュリティに係る状況ごとに区分けされた複数のポリシーを保持する点で、実施例１〜実施例３と異なる。

例えば、ポリシー保持部２１は、図１２に示すような内容のポリシーを保持する。「外部ネットワークから利用者ネットワーク１宛の」の部分は、実施例１〜実施例３と同様、パケット制御装置１０が、「外部ネットワーク」から「利用者ネットワーク１」に送信されたパケットを制御することを示している。また、「ＨＴＴＰのパケットは、」の部分は、実施例１〜実施例３と同様、パケット制御装置１０が、ＨＴＴＰのパケットを制御することを示している。

ところで、実施例４におけるポリシー保持部２１は、実施例１〜実施例３と異なり、セキュリティ装置によって通知されるセキュリティに係る状況が、「ＤＤｏＳ攻撃を検知しない場合、」には、「最初にＤＤｏＳ攻撃検知装置を通し、次にウィルスチェック装置を通す。」という内容のポリシーを保持し、セキュリティ装置によって通知されるセキュリティに係る状況が、「ＤＤｏＳ攻撃を検知した場合、」には、「最初にＤＤｏＳ攻撃検知装置を通し、次にＤＤｏＳ防御装置を通し、その後にウィルスチェック装置を通す。」という内容のポリシーを保持する。

実施例４におけるポリシー保持部２１は、図１２に示すような内容のポリシーを、例えば、図１３に示すような形態で保持する。図１３に示すポリシーを説明すると、セキュリティに係る状況が「ＤＤｏＳ攻撃なし」に区分けされたポリシーでは、パケット制御装置１０が、インタフェースに係る情報「ＩＦ＃１」から入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート「80」であるパケットを、インタフェースに係る情報「ＩＦ＃３」を経由するように制御することを示している。

一方、セキュリティに係る状況が「ＤＤｏＳ攻撃あり」に区分けされたポリシーでは、パケット制御装置１０が、インタフェースに係る情報「ＩＦ＃１」から入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート「80」であるパケットを、インタフェースに係る情報「ＩＦ＃２」を経由するように制御することを示しており、また、インタフェースに係る情報「ＩＦ＃２」から入力を受け付けたパケットであり、宛先アドレスが「129.60.10.0/28」であり、宛先ポート「80」であるパケットを、インタフェースに係る情報「ＩＦ＃３」を経由するように制御することを示している。

実施例４におけるパケット経由制御部３３は、実施例１〜実施例３と同様、ポリシーと、ネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、パケットが、アドレス情報およびプロトコルに係る情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御する手段であるが、セキュリティ装置によってセキュリティに係る状況が通知された場合に、ポリシー保持部２１によって保持されたセキュリティに係る状況に区分けされたポリシーに従って、セキュリティに係る状況が通知された後に制御するパケットがセキュリティ装置を経由するように制御する点で、実施例１〜実施例３と異なる。

例えば、パケット経由制御部３３は、セキュリティ装置「ＤＤｏＳ攻撃検知装置」によってセキュリティに係る状況が通知されない場合に、識別情報「ＩＦ＃１」によって識別される「ＤＤｏＳ攻撃検知装置」から送信されたパケットを受信すると、ポリシー保持部２１によって保持された図１３に示すポリシーと、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報とを照合する。すなわち、実施例４におけるパケット制御部３３は、「ＤＤｏＳ攻撃なし」に区分けされたポリシーで、「ＩＦ＃１」、「129.60.10.0/28」、および「80」を照合する。すると、図１３の２行目のポリシーに一致するので、パケット経由制御部３３は、対応づけられた識別情報（「ＩＦ＃３」）によって識別されるセキュリティ装置（「ウィルスチェック装置」）を経由するようにパケットを制御する。

一方、パケット制御部３３は、セキュリティ装置「ＤＤｏＳ攻撃検知装置」によってセキュリティにかかる状況が通知された場合に、識別情報「ＩＦ＃１」によって識別される「ＤＤｏＳ攻撃検知装置」から送信されたパケットを受信すると、ポリシー保持部２１によって保持された図１３に示すポリシーと、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報とを照合する。すなわち、実施例４におけるパケット制御部３３は、「ＤＤｏＳ攻撃あり」に区分けされたポリシーで、「ＩＦ＃１」、「129.60.10.0/28」、および「80」を照合する。すると、図１３の５行目のポリシーに一致するので、パケット経由制御部３３は、対応づけられた識別情報（「ＩＦ＃２」）によって識別されるセキュリティ装置（「ＤＤｏＳ防御装置」）を経由するようにパケットを制御する。

［実施例４に係るパケット制御装置による処理の手順］
次に、図１４を用いて、実施例４に係るパケット制御装置による処理の手順を説明する。図１４は、実施例４に係るパケット制御装置による処理の手順を示すフローチャートである。なお、実施例４に係るパケット制御装置１０は、セキュリティ装置によって通知されるセキュリティに係る状況ごとに区分けされた複数のポリシーを、ポリシー保持部２１によってすでに保持しているものとし、以下では、このようなポリシーをすでに保持するパケット制御装置１０がパケットを制御する経由制御処理について説明する。また、実施例４に係るパケット制御装置１０は、セキュリティに係る状況として「ＤＤｏＳ攻撃なし」に区分けされたポリシーで通常運用されているものとする。

まず、パケット制御装置１０は、パケット経由制御部３３において、外部ネットワークからパケットを受信したか否かを判断する（ステップＳ１４０１）。判断の結果、外部ネットワーク（「ＩＦ＃ａ」）から受信したパケットが無い場合には（ステップＳ１４０１否定）、パケット制御装置１０は、パケット経由制御部３３において、外部ネットワークからパケットを受信したか否かを判断する処理に戻る。

一方、判断の結果、外部ネットワーク（「ＩＦ＃ａ」）から受信したパケットが有る場合には（ステップＳ１４０１肯定）、パケット制御装置１０は、パケット経由制御部３３において、セキュリティに係る状況が「ＤＤｏＳ攻撃なし」に区分けされたポリシーと、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報とを照合して、一致したか否かを判断する（ステップＳ１４０２）。

判断の結果、一致しない場合には（ステップＳ１４０２否定）、パケットが経由すべきセキュリティ装置が指定されていない場合であるので、パケット制御装置１０は、パケット経由制御部３３において、パケットを、宛先アドレスで指定された利用者ネットワーク（「ＩＦ＃ｂ」）に送信する（ステップＳ１４０８）。

一方、判断の結果、一致する場合には（ステップＳ１４０２肯定）、パケット制御装置１０は、パケット経由制御部３３において、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報に対応づけられたセキュリティ装置を識別する識別情報（セキュリティ装置を収容するインタフェース）が、利用者ネットワーク（「ＩＦ＃ｂ」）であるか否かを判断する（ステップＳ１４０３）。

判断の結果、利用者ネットワーク（「ＩＦ＃ｂ」）である場合には（ステップＳ１４０３肯定）、パケットが経由すべきセキュリティ装置を全て経由した場合であるので、パケット制御装置１０は、パケット経由制御部３３において、パケットを、宛先アドレスで指定された利用者ネットワーク（「ＩＦ＃ｂ」）に送信する（ステップＳ１４０８）。

一方、判断の結果、利用者ネットワーク（「ＩＦ＃ｂ」）でない場合には（ステップＳ１４０３否定）、パケット制御装置１０は、パケット経由制御部３３において、識別情報によって識別されるセキュリティ装置を経由するように、パケットを制御する（ステップＳ１４０４）。

次に、パケット制御装置１０は、パケット経由制御部３３において、セキュリティに係る状況（「ＤＤｏＳ攻撃なし」または「ＤＤｏＳ攻撃あり」）ごとに区分けされたポリシーを変更する必要が有るか否かを判断する（ステップＳ１４０５）。ポリシーを変更する必要が無い場合には（ステップＳ１４０５否定）、すなわち、「ＤＤｏＳ攻撃なし」に区分けされたポリシーのままで運用する場合には、パケット制御装置１０は、パケット経由制御部３３において、パケットを制御したセキュリティ装置からパケットを受信したか否かを判断し（ステップＳ１４０６）、判断の結果、パケットを受信していない場合には（ステップＳ１４０６否定）、パケットを受信したか否かを判断する処理に戻る。

一方、ポリシーを変更する必要がある場合には（ステップＳ１４０５肯定）、すなわち、「ＤＤｏＳ攻撃あり」に区分けされたポリシーで運用する場合には、パケット制御装置１０は、パケット経由制御部３３において、セキュリティに係る状況に区分けされたポリシーに変更する（ステップＳ１４０７）。実施例４では、「ＤＤｏＳ攻撃なし」に区分けされたポリシーから、「ＤＤｏＳ攻撃あり」に区分けされたポリシーに変更する。その後、パケット制御装置１０は、パケット経由制御部３３において、パケットを制御したセキュリティ装置からパケットを受信したか否かを判断する（ステップＳ１４０６）。

ステップＳ１４０６において、パケットを受信した場合には（ステップＳ１４０６肯定）、パケット制御装置１０は、パケット経由制御部３３において、「ＤＤｏＳ攻撃あり」に区分けされたポリシーに従って、パケットが入力されたインタフェースに係る情報、パケットに含まれるアドレス情報、およびプロトコルに係る情報に対応づけられたセキュリティ装置を識別する識別情報が、利用者ネットワーク（「ＩＦ＃ｂ」）であるか否かを判断する処理に戻る（ステップＳ１４０３）。

そして、パケット制御装置１０は、パケット経由制御部３３において、ステップＳ１４０３でパケットに対応づけられた識別情報が利用者ネットワーク（「ＩＦ＃ｂ」）と判断されるまで、ステップＳ１４０４〜ステップＳ１４０７の処理を繰り返すことにより、ポリシーによって指定されたパケットが経由すべき順序に従って、パケットが複数のセキュリティ装置を経由するように制御する。

このようにして、実施例４に係るパケット制御装置１０は、利用者ごとにセキュリティポリシーが異なる場合で、かつ、セキュリティ装置によって通知されるセキュリティに係る状況ごとにセキュリティポリシーが異なる場合に、柔軟かつ迅速に対応することが可能になる。

［実施例４の効果］
上記してきたように、実施例４によれば、セキュリティ装置は、セキュリティ装置において検知されたセキュリティに係る状況を通知するものであって、セキュリティ装置によって通知されるセキュリティに係る状況ごとに区分けされた複数のポリシーを保持し、セキュリティ装置によってセキュリティに係る状況が通知された場合に、保持されたセキュリティに係る状況に区分けされたポリシーに従って、セキュリティに係る状況が通知された後に制御するパケットがセキュリティ装置を経由するように制御するので、利用者ごとにセキュリティポリシーが異なる場合で、かつ、セキュリティ装置によって通知されるセキュリティに係る状況ごとにセキュリティポリシーが異なる場合に、柔軟かつ迅速に対応することが可能になる。

ところで、これまで、実施例１〜実施例４に係るパケット制御装置について説明したが、この発明は上記した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では、実施例５に係るパケット制御装置として、異なる実施例を説明する。

［ポリシー］
上記の実施例１〜実施例４に係るパケット制御装置では、パケットに含まれるアドレス情報およびプロトコルに係る情報と、このアドレス情報およびプロトコルに係る情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報とが対応づけられたポリシーを保持する場合を説明したが、この発明はこれに限られるものではなく、パケットに含まれるアドレス情報と、このアドレス情報を含むパケットが経由すべきセキュリティ装置を識別する識別情報とが対応づけられたポリシーを保持する場合にも、この発明を同様に適用することができる。この場合には、パケット制御装置は、ポリシーと、ネットワークから受信したパケットに含まれるアドレス情報とを照合し、パケットがアドレス情報に対応づけられた識別情報によって識別されるセキュリティ装置を経由するように制御する。

また、上記の実施例１〜実施例４に係るパケット制御装置では、複数のセキュリティ装置がある場合に、複数のセキュリティ装置をパケットが経由すべき順序がさらに指定されたポリシーを保持する手法を説明したが、この発明はこれに限られるものではなく、複数のセキュリティ装置がある場合に、複数のセキュリティ装置をパケットが経由すべき順序については指定されていないポリシーを保持する手法にも、この発明を同様に適用することができる。

また、上記の実施例１〜実施例４に係るパケット制御装置では、識別情報として、セキュリティ装置を収容するインタフェース情報が対応づけられたポリシーを保持する手法を説明したが、この発明はこれに限られるものではなく、識別情報として、セキュリティ装置の物理アドレスが対応づけられたポリシーを保持する手法など、セキュリティ装置を識別する識別情報であれば、いずれでもよい。

また、上記の実施例１〜実施例４に係るパケット制御装置では、ポリシーを変更するポリシー変更部を備え、ポリシーを変更された場合に、保持していたポリシーに替えて変更されたポリシーを保持する場合を説明したが、この発明はこれに限られるものではなく、ポリシーを変更するポリシー変更部を備えていない場合にも、この発明を同様に適用することができる。

［システム構成等］
また、上記の実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理（例えば、セキュリティ装置において検知されたセキュリティに係る状況の通知など）の全部または一部を手動的におこなう（例えば、セキュリティ装置において検知されたセキュリティに係る状況を確認した利用者によって、セキュリティに係る状況がパケット制御装置に通知されるなど）こともでき、あるいは、手動的におこなわれるものとして説明した処理（例えば、ポリシーの変更など）の全部または一部を公知の方法で自動的におこなう（例えば、定期的にポリシーをダウンロードして変更するなど）こともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示（例えば、図２など）のごとく構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる（例えば、図２におけるポリシー受付部３１とポリシー変更部３２とを統合して構成するなど）。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

なお、上記の実施例で説明したパケット制御方法は、あらかじめ用意されたプログラムをパーソナルコンピュータやワークステーションなどのコンピュータで実行することによって実現することができる。このプログラムは、インターネットなどのネットワークを介して配布することができる。また、このプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。

以上のように、この発明に係るパケット制御装置、パケット制御方法およびパケット制御プログラムは、ネットワークから受信したパケットが経由すべきセキュリティ装置を指定するポリシーに従って当該パケットを制御することに有用であり、特に、利用者ごとにセキュリティポリシーが異なる場合に柔軟に対応することに適する。

実施例１に係るパケット制御装置の概要および特徴を説明するための図である。 実施例１に係るパケット制御装置の構成を示すブロック図である。 ポリシー保持部を説明するための図である。 ポリシー保持部を説明するための図である。 実施例１に係るパケット制御装置による処理の手順を示すフローチャートである。 ポリシー保持部を説明するための図である。 実施例２に係るパケット制御装置による処理の手順を示すフローチャートである。 ポリシー保持部を説明するための図である。 ポリシー保持部を説明するための図である。 実施例３に係るパケット制御装置による処理の手順を示すフローチャートである。 実施例４に係るパケット制御装置の概要および特徴を説明するための図である。 ポリシー保持部を説明するための図である。 ポリシー保持部を説明するための図である。 実施例４に係るパケット制御装置による処理の手順を示すフローチャートである。 従来技術を説明するための図である。 従来技術を説明するための図である。

符号の説明

１０ パケット制御装置
１１ ポリシー受付用ネットワークインタフェース部
１２ ネットワークインタフェース部
２０ 記憶部
２１ ポリシー保持部
２２ パケットバッファ部
３０ 制御部
３１ ポリシー受付部
３２ ポリシー変更部
３３ パケット経由制御部

Claims (7)

1. ネットワークから受信したパケットが経由すべきセキュリティ装置を指定するポリシーに従って当該パケットを制御するパケット制御装置であって、
   パケットに含まれるアドレス情報と当該アドレス情報を含むパケットが経由すべき前記セキュリティ装置を識別する識別情報とが対応づけられた前記ポリシーを保持する保持手段と、
   前記保持手段によって保持された前記ポリシーとネットワークから受信したパケットに含まれるアドレス情報とを照合し、当該パケットが当該アドレス情報に対応づけられた前記識別情報によって識別される前記セキュリティ装置を経由するように制御する経由制御手段と、
   を備え、
   前記保持手段が、前記複数のセキュリティ装置による検知結果ごとのポリシーをさらに保持し、
   前記経路制御手段が、前記複数のセキュリティ装置による検知結果に基づいて前記パケットに含まれる前記アドレス情報と照合するポリシーを決定し、当該パケットが、決定したポリシーに含まれる順序に従って前記複数のセキュリティ装置を経由するように制御することを特徴とするパケット制御装置。
2. 前記保持手段は、パケットに含まれるプロトコルに係る情報が、前記アドレス情報と前記識別情報とにさらに対応づけられた前記ポリシーを保持し、
   前記経由制御手段は、前記保持手段によって保持された前記ポリシーとネットワークから受信したパケットに含まれるアドレス情報およびプロトコルに係る情報とを照合し、当該パケットが当該アドレス情報および当該プロトコルに係る情報に対応づけられた前記識別情報によって識別される前記セキュリティ装置を経由するように制御することを特徴とする請求項１に記載のパケット制御装置。
3. 前記保持手段は、複数の前記セキュリティ装置がある場合に当該複数のセキュリティ装置をパケットが経由すべき順序がさらに指定された前記ポリシーを保持し、
   前記経由制御手段は、前記保持手段によって保持された前記ポリシーによって指定された前記順序に従って、当該パケットが前記複数のセキュリティ装置を経由するように制御することを特徴とする請求項１または２に記載のパケット制御装置。
4. 前記保持手段は、パケットが前記セキュリティ装置を経由すべき日付、曜日、時間帯に係る情報のいずれかひとつまたは複数がさらに指定された前記ポリシーを保持し、
   前記経由制御手段は、前記保持手段によって保持された前記ポリシーによって指定された日付、曜日、時間帯に係る情報のいずれかひとつまたは複数に従って、パケットが前記セキュリティ装置を経由するように制御することを特徴とする請求項１〜３のいずれかひとつに記載のパケット制御装置。
5. 前記保持手段は、前記識別情報として、前記セキュリティ装置を収容するインタフェース情報が対応づけられた前記ポリシーを保持することを特徴とする請求項１〜４のいずれかひとつに記載のパケット制御装置。
6. 前記保持手段は、前記ポリシーに固有の属性値を対応づけて当該ポリシーを保持し、
   前記経由制御手段は、前記ポリシーに従って制御されるパケットに、当該ポリシーに対応づけられた前記固有の属性値を付与し、当該ポリシーと当該パケットに付与された当該固有の属性値とを照合し、当該属性値に対応するポリシーに従って、当該パケットが前記セキュリティ装置を経由するように当該パケットを制御することを特徴とする請求項１〜５のいずれかひとつに記載のパケット制御装置。
7. 前記保持手段によって保持された前記ポリシーを変更する変更手段をさらに備え、
   前記保持手段は、前記変更手段によって前記ポリシーを変更された場合に、当該ポリシーに替えて当該変更手段によって変更されたポリシーを保持し、
   前記経由制御手段は、前記保持手段によって前記変更されたポリシーが保持された場合に、当該変更されたポリシーに従って、当該変更されたポリシーが保持された後に制御するパケットがセキュリティ装置を経由するように制御することを特徴とする請求項１〜６のいずれかひとつに記載のパケット制御装置。

Images