JP4928990B2 - ファイアウォール装置 - Google Patents

Description

本発明は、外部ネットワークから内部ネットワークへの不正アクセスを遮断して、内部ネットワークを不正アクセスから保護するファイアウォール装置に関する。

インターネット等の外部ネットワークとＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の社内内部ネットワークとの間にファイアウォール装置を設けて、内部ネットワークへの不正アクセスや攻撃に対して防御していることが知られている。
外部ネットワーク上の端末から会社内部のネットワーク（内部ネットワーク）中の各種サーバにアクセスする際に、従来のファイアウォールは、当該端末のＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスやポート番号等をチェックし、内部ネットワークへの通過許可を制御する手段を有していた。
しかし、ファイアウォール自体は、内部ネットワーク上の各種サーバへのアクセス許否を制御する機能は有しておらず、そのため外部ユーザによる各サーバへのアクセス許否は、各サーバ自身が制御しなければならなかった。

このため、内部ネットワーク上の各々のサーバにユーザ認証機能やアクセス制限機能を搭載し、アクセスが行なわれる都度各サーバで認証等を行なう必要があり、各サーバの負担が大きかった。
また、ファイアウォールを通過しさえすれば、外部ユーザが内部ネットワーク上を自由に行き来できるという環境は、セキュリティ上問題があった。

一方、ファイアウォールに関する発明は種々提案されており、例えば、次の特許文献１（特開２００１−２３６２７８号公報）、特許文献２（特開２００３−８５０５９号公報）に示されているような技術が知られている。
この特許文献１には、図７に示すように、ファイアウォール０１のアクセス制御部０２がデータベース０３内に設定されたデータに基づいて、外部からの情報に含まれる送信元アドレス、宛先アドレス、及び該情報の使用するプロトコルあるいはプロトコルオプションの少なくとも一つの内容が、予めデータベース０３内に設定されたものと異なるときに不正アクセスと判断して、システムから切り離すファイアウォールが示されている。

また、特許文献２（特開２００３−８５０５９号公報）には、図８に示すようファイアウォール０１０の認証機能部０１１において、外部端末のアドレスと外部端末の使用者を識別するユーザ識別データとから使用者の認証を行う技術が示され、さらに、認証を受けた使用者は予め設定された複数のサーバから選択的にサービスを受けることができるとともに、その外部端末が変わってもサービスを受けることができる技術が示されている。
さらに、特許文献２には、通信路設定機能部０１２で通信路のデータ通信状況を監視して、予め設定された期間に通信路をデータが通らないときには通信路の設定を解除する等の技術も示されている。

特開２００１−２３６２７８号公報 特開２００３−８５０５９号公報

しかし、前記特許文献１の技術においては、ファイアウォール上にはユーザの認証機能を搭載していないため、ユーザの認証を各サーバ自身で制御しなければならず、サーバの負担が依然生じる問題を有している。
また、特許文献２においては、ファイアウォール上で外部端末のアドレスからユーザ認証を行うことが示されているが、ユーザ端末のアドレスとして知られているＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの場合には変更可能であるとともに、重複して設定可能であるため、セキュリティの信頼性の面で劣る。また、ユーザの使用端末が変更されてもアクセスが許可されるため、セキュリティの面で問題がある。
さらに、予め設定された期間に通信路をデータが通らないときには通信路の設定を解除することが示されているが、ユーザ端末が頻繁に信号を発する使用機器でない場合、または頻繁にデータのやり取りをしないサービス提供の場合には適切な通信路の解除が出来ない問題も残っており、実用的で高いセキュリティ効果を得ることができるファイアウォール装置が望まれている。

そこで、本発明は、このような背景に鑑みなされたものであり、内部ネットワークの各サーバに認証等の負担を負わせることなく、セキュリティの信頼性の高いユーザ認証機能をファイアウォール上に持たせるとともに、不使用時に通信路の接続を適切に遮断するシステムをファイアウォール上に設けて、実用的で信頼性の高いファイアウォールを提供することを課題とする。

前記課題を解決するため、請求項１記載の発明は、外部ネットワークから内部ネットワークへの不正アクセスを遮断するファイアウォール装置において、ユーザ名とパスワードとを含んだユーザ識別信号および外部端末特有の認証番号からアクセス可能な正当なユーザかどうかを判断するログイン制御部と、予めユーザ毎に接続可能な内部ネットワークのサーバおよび該サーバで利用可能な通信プロトコルを登録したユーザデータベースと、前記ログイン制御部で正当なユーザと判断したとき前記ユーザデータベースから接続可能なサーバへの通信ルートを設定するルーティング制御部と、外部端末に対してユーザ側で実施されるハートビートプログラムを送信して前記ユーザ毎に接続可能な内部ネットワークのサーバおよび該サーバで利用可能な通信プロトコルに対応して予め設定されたハートビート信号の間隔時間でハートビート信号を発信せしめて通信路の使用状態を監視するハートビート制御部とを備えて構成されることを特徴とするファイアウォール装置を提供する。

かかる発明によれば、ログイン制御部で外部端末の使用者を識別するユーザ名とパスワードとを含んでなるユーザ識別信号、および外部端末特有の認証番号からユーザが正当であるかを判断するため、特に、外部端末特有の自己認証番号によって、例えば、ＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）、ボリュームシリアル番号等よって、ユーザ端末が識別されるため、ユーザの認証精度が高まりセキュリティの信頼性が向上する。すなわち、これら自己認証番号は原則的に変更、重複して設定されていないため信頼性が向上するものである。

さらに、ユーザ識別信号からの識別と、外部端末特有の認証番号からの識別との両方の信号に基づいてユーザを認証するため、セキュリティの信頼性が高い。

また、ハートビート制御部によって、ユーザに対してユーザ側で実施されるハートビートプログラムを送信してハートビート信号を発信せしめて通信路の使用状態を監視するため、ユーザ端末が頻繁に信号を発する使用機器でない場合、または頻繁にデータのやり取りをしないサービス提供の場合であっても、適切に通信路が閉じられていることを判断して通信ルートの設定解除が可能になるので、通信ルートの監視が効果的になされセキュリティが向上する。

また、好ましくは請求項２記載の発明のように、前記ユーザ側で実施されるハートビート用プログラムによって発生するハートビート信号の間隔時間が前記ユーザ毎に可変設定されることを特徴とし、また、請求項３記載の発明のように前記ハートビート信号の間隔時間が前記ユーザデータベースに登録されていることを特徴とする。

また、予めユーザ毎に接続可能なサーバ、および通信プロトコルが設定されるため、ユーザと接続可能サーバとの関係から、データの使用状況が考えられるため、通信ルートの使用状況を監視するハートビート信号の間隔時間を適切な時間、例えば３０秒、６０秒のようにユーザ毎に設定することで、ユーザに応じた通信ルートの監視ができ、通信ルートの遮断を効果的に行なうことができる。
係る請求項２記載の発明によれば、その間隔時間のデータをユーザデータベースに登録しておくことで、間隔時間の管理及び変更を容易に行なうことができる。

また、請求項３記載の発明は、前記ハートビート用プログラムを、前記ユーザ名とパスワードの情報入力画面を外部端末で表示させるためのプログラムとともに外部端末へ送信することを特徴とし、請求項４記載の発明は、前記ハートビート用プログラムを、内部ネットワークのサーバから送付するデータとともに外部端末へ送信することを特徴とする。

このように請求項３記載の発明によれば、ファイアウォールからユーザ端末へユーザ名／パスワードの入力画面用のプログラムを送ると同時に、また請求項４記載の発明によれば、内部ネットワークのサーバから実際のデータを送付すると同時にハートビート用プログラムを送付するため、ユーザは新たな操作を必要とせずにユーザ側の端末で実施されるハートビートプログラムをユーザに送付することができる。

また、請求項５記載の発明は、前記ユーザ識別信号が、前記ユーザ名とパスワードに代えて、または加えて指紋認証等のユーザ固有の信号であることを特徴とし、かかる発明によれば、ユーザ認証をより高い精度をもって行うことができセキュリティを向上することができる。

本発明によれば、内部ネットワークの各サーバに認証等の負担を負わせることなく、セキュリティの信頼性の高いユーザ認証機能をファイアウォール上に持たせるとともに、不使用時に通信路の接続を適切に遮断するシステムをファイアウォール上に設けて、実用的で信頼性の高いファイアウォールを得ることができる。

以下、図面を参照して本発明の好適な実施の形態を例示的に詳しく説明する。

本発明の実施の形態について、適宜図面を参照しながら詳細に説明する。
参照する図面において、図１は本発明が適用されるネットワークの概要図である。図２は本発明に係るファイアウォール装置の構成図である。図３はログイン制御部のフローチャートである。図４はルーティング制御部のフローチャートである。図５はユーザデータベース内のデータテーブルの概要を示す説明図である。図６はハートビート制御部のフローチャートである。

図１は、本実施形態に係るネットワークの概略構成図であり、インターネット１等の外部ネットワーク２とＬＡＮ等の社内の内部ネットワーク３との間にファイアウォール装置５を設けて構成されている。
外部ネットワーク２の外部端末ａ、ｂ、ｃはインターネット１を介して内部ネットワーク３のサーバα、β、γへアクセスできるようになっている。つまり、後に詳述するが、概要はａが正当なユーザである場合には、外部端末ａから送信された情報はインターネット１を介して、ファイアウォール装置５のログイン制御部７に入力され、ユーザ認証を行って正当なユーザと判断されて、ルーティング制御部１１で予め登録されているアクセス可能なサーバαに通信ルートが設定され、サーバαと外部端末ａとの間に通信路が形成されるようになるものである。

ファイアウォール装置５の全体構成は、図２に示すようにユーザ名とパスワードとを含んだユーザ識別信号から、および外部端末特有のＩＤ（認証番号）からアクセス可能な正当なユーザかどうかを判断するログイン制御部７と、正当なユーザ毎に予めアクセス可能な内部ネットワーク３のサーバα、β、γおよび該サーバα、β、γで利用可能な通信プロトコルを登録したユーザデータベース９と、前記ログイン制御部７で正当なユーザと判断したときに前記ユーザデータベース９から接続可能なサーバα、β、γへの通信ルートを設定するルーティング制御部１１と、外部端末ａに対してユーザ側で実施されるハートビートプログラムを送信してハートビート信号を外部端末ａから発信させてユーザ側の使用状態を監視するハートビート制御部１３とを備えて構成されている。

ログイン制御部７の作動について、図３のフローチャートを参照して説明する。ステップＳ１で制御を開始すると、まずステップＳ２で外部ネットワーク２に接続された外部端末ａから、内部ネットワーク３のサーバαへのアクセス信号を受信する。そして、次にステップＳ３でユーザ名とパスワードの入力画面表示用の専用プログラムを外部端末ａに送信する。

その後、ステップＳ４で、外部端末ａで前記専用プログラムが作動して、その端末ａ特有のＩＤ（認証番号）、例えば、ＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）、ボリュームシリアル番号等、および使用者によるユーザ名およびパスワードの入力情報を受信する。

そして、ステップＳ５で、受信したＩＤ番号およびユーザ名とパスワードの入力情報を、ユーザデータベース９に登録されているデータと比較し、合致しなければステップＳ６で外部端末ａからのアクセスを不正アクセスとして拒否する。合致していればステップＳ７でユーザを特定してアクセスを許可する。そしてステップＳ８で終了する。

以上のような動作によって、ログイン制御部７では、例えば、ＭＡＣアドレス（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ａｄｄｒｅｓｓ）、ボリュームシリアル番号等によって、ユーザ端末が識別されるため、ユーザの認証精度が高まりセキュリティの信頼性が向上する。すなわち、これらＭＡＣアドレスやボリュームシリアル番号のような自己認証番号は原則的に変更、重複して設定されていないためＩＰアドレスよりも認証精度が高まり信頼性が向上する。
さらに、ユーザ名とパスワードとからなるユーザ識別信号からの識別と、外部端末特有のＩＤ番号（認証番号）からの識別との両方の信号に基づいて、ユーザが正当であるかを判断しているため、セキュリティの信頼性が高い。

また、ユーザ識別信号が、ユーザ名とパスワードに代えて、または加えて指紋認証等のユーザ固有の信号であってもよく、この場合には、ユーザ認証をより高い精度をもって行うことができセキュリティの信頼性をさらに向上させることができる。

次に、ルーティング制御部１１について図４のフローチャートを参照して説明する。
まず、ステップＳ１０でスタートし、ステップＳ１１でログイン制御部７で許可した例えば外部端末ａのユーザの特定を行い、ステップＳ１２で外部端末ａのユーザに対して、許可できる接続先サーバ、そのサーバに適用して許可できるサービス名（通信プロトコル）を、ユーザデータベース９に登録されているデータから選択する。そして、ステップＳ１３でその選択したサーバ及び通信プロトコルによって通信ルートを設定する。

図５に、ユーザデータベース９に収納されているデータテーブルの例を示す。例えば、許可された外部端末ａ、この外部端末ａはＩＤ番号によって特定され、さらにその端末の使用者（ユーザ）Ａはユーザ名とパスワードによって特定される。そして、使用者がＡで端末がａの場合には、テーブルの設定条件でサーバとの接続が許可される。なお、端末ｂで使用者がＢの場合に許可され、端末ａで使用者Ｂの場合や、端末ｂで使用者Ａの場合には、許可されない。
そして、許可されると、ユーザＡによる外部端末ａの使用に対しては、ハートビート信号が３０秒ごとの設定となる。そして許可サーバがα、βであり、サーバαでは許可プロトコルがＨＴＴＰ（Ｈｙｐｅｒ Ｔｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）であり、サーバβでは許可プロトコルがＨＴＴＰとＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）である。

この例では、アクセス要求時のプロトコルがＦＴＰの場合には、サーバβに通信ルートが設定される。また、アクセス要求時のプロトコルがＨＴＴＰの場合には、サーバα、βの何れにも接続できるようになっている。この通信ルートの設定において各サーバのＩＰアドレス、ポートＮｏが、ユーザデータベース９内に登録されているため、該データをルーティング制御部１１で設定して許可サーバαまたはβへの通信ルートが接続される。

そして、ステップＳ１４において、設定された通信ルート（図２の点線）によって、外部端末ａとサーバαとの通信が実行されて、サーバαからユーザにデータ表示用ＨＴＭＬ（Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）が送られる。
ステップＳ１５で外部端末ａとサーバαとの通信が終了すると通信ルートの設定が解除されて、ステップＳ１６で終了する。
なお、ステップＳ１５で通信ルートの設定が解除されると、前記ログイン制御部７でのユーザ認証および前記ステップＳ１２、１３で選択、設定した条件が全て解除されるため、再度ログインする場合には、改めてログイン制御部７でのユーザ認証から入る必要がある。

次に、ハートビート制御部１３について説明する。このハートビート制御部１３は、図２に示すように、ログイン制御部７から信号を受けて、外部端末ａにハートビート用プログラムを送信して、その信号を受信して通信ルートの状況を監視し、ハートビート信号が途絶えたときにハートビート制御部１３からルーティング制御部１１に通信ルートを遮断する指示を行っている。

図６のフローチャートを参照して、さらに説明する。
ステップＳ２０で制御を開始すると、まずステップＳ２１で外部ネットワーク２に接続された外部端末ａから、内部ネットワーク３のサーバαへのアクセス信号を受信する。
そして、ステップＳ２２で、ハートビート用プログラムを外部端末ａへ送信する。この送信は、ログイン制御部７のフローチャート（図３参照）のステップＳ３でユーザ名とパスワードの入力画面表示用の専用プログラムを外部端末ａに送付するのと同時に送信されるか、または、ルーティング制御部１１のフローチャート（図４参照）のステップＳ１４でルート設定された後に実際のデータをサーバαが外部端末ａに送信するのと同時に送信される。

そして、次のステップＳ２３によって、ユーザデータベース９に登録されている端末ａに対応したハートビート時間によって、端末ａとサーバαとが接続されているときには、その間隔でハートビート信号が端末ａからサーバαに送信されてくるため、ハートビート制御部１３ではこの信号を受信して通信ルートがつながっていることが確認される。
なお、このハービート信号とは、一般にネットワーク上で、コンピュータやネットワーク機器が自身が正常に稼動していることを外部に知らせるために送る信号のことをいう。

次に、ステップＳ２４で、ハートビート信号が途絶えたかどうかが判断され、途絶えていなければ、ステップＳ２５で通信ルートがまだ維持されているため、そのままの状態を維持して、ステップＳ２７で終了する。また、ステップＳ２４で、ハートビート信号が途絶えたと判断した場合には、ハートビート制御部１３からルーティング制御部１１へ通信ルートの遮断を指示し、ルーティング制御部１１が通信ルートを閉じてステップＳ２７で終了する。

以上のように、ハートビート制御部１３によって、ユーザに対してユーザ側で実施されるハートビートプログラムを送信してハートビート信号を発信せしめてユーザ側の使用状態を監視するため、外部端末ａが頻繁に信号を発する使用機器でない場合、または頻繁にデータのやり取りをしないサービス提供の場合であっても、適切に通信ルートが閉じられていることを判断して、通信ルートの設定解除が可能になるので、通信ルートの監視が効果的になされセキュリティが向上する。

さらに、予めユーザ毎に接続可能なサーバ、および通信プロトコルが設定されるため、ユーザと接続可能サーバとの関係から、データの使用状況が考えられるため、通信ルートの使用状況を監視するハートビート信号の間隔時間を適切な時間、例えば３０秒、６０秒のように設定することで、ユーザに応じた通信ルートの監視ができ、通信ルートの解除を効果的に行なうことができる。また、その間隔時間のデータをユーザデータベース９に登録しておくことで、間隔時間の管理及び変更を容易に行なうことができる。

さらに、ファイアウォール側からユーザ端末へユーザ名／パスワードの入力画面用のプログラムを送ると同時に、また内部ネットワークのサーバから実際のデータを送付すると同時にハートビート用プログラムを送付するため、ユーザに新たな操作を必要とせずにユーザ端末で実施されるハートビートプログラムをユーザに送付することができる。

本発明によれば、内部ネットワークの各サーバに認証等の負担を負わせることなく、セキュリティの信頼性の高いユーザ認証機能をファイアウォール上に持たせるとともに、不使用時に通信路の接続を適切に遮断するシステムをファイアウォール上に設けて、実用的で信頼性の高いファイアウォールを得ることができるので、ファイアウォール装置への適用に際して有益である。

本発明のファイアウォール装置が適用されるネットワークの概要図である。 本発明のファイアウォール装置の構成図である。 ログイン制御部のフローチャートである。 ルーティング制御部のフローチャートである。 ユーザデータベース内のデータテーブルの概要を示す説明図である。 ハートビート制御部のフローチャートである。 従来技術の全体構成説明図である。 従来技術の全体構成説明図である。

符号の説明

１ インターネット
２ 外部ネットワーク
３ 内部ネットワーク
５ ファイアウォール装置
７ ログイン制御部
９ ユーザデータベース
１１ ルーティング制御部
１３ ハートビート制御部
ａ、ｂ、ｃ 外部端末
α、β、γ サーバ

Claims (5)

1. 外部ネットワークから内部ネットワークへの不正アクセスを遮断するファイアウォール装置において、ユーザ名とパスワードとを含んだユーザ識別信号および外部端末特有の認証番号からアクセス可能な正当なユーザかどうかを判断するログイン制御部と、予めユーザ毎に接続可能な内部ネットワークのサーバおよび該サーバで利用可能な通信プロトコルを登録したユーザデータベースと、前記ログイン制御部で正当なユーザと判断したとき前記ユーザデータベースから接続可能なサーバへの通信ルートを設定するルーティング制御部と、外部端末に対してユーザ側で実施されるハートビートプログラムを送信して前記ユーザ毎に接続可能な内部ネットワークのサーバおよび該サーバで利用可能な通信プロトコルに対応して予め設定されたハートビート信号の間隔時間でハートビート信号を発信せしめて通信路の使用状態を監視するハートビート制御部とを備えて構成されることを特徴とするファイアウォール装置。
2. 前記ハートビート信号の間隔時間が前記ユーザデータベースに登録されていることを特徴とする請求項１記載のファイアウォール装置。
3. 前記ハートビート用プログラムを、前記ユーザ名とパスワードの情報入力画面を外部端末で表示させるためのプログラムとともに外部端末へ送信することを特徴とする請求項１記載のファイアウォール装置。
4. 前記ハートビート用プログラムを、内部ネットワークのサーバから送付するデータとともに外部端末へ送信することを特徴とする請求項１記載のファイアウォール装置。
5. 前記ユーザ識別信号が、前記ユーザ名とパスワードに代えて、または加えて指紋認証等のユーザ固有の信号であることを特徴とする前記請求項の何れかに記載のファイアウォール装置。

Images