JP4985246B2 - データ中継装置、データ中継方法、および、当該データ中継装置としてのコンピュータに実行される管理プログラム - Google Patents

Description

この発明は、複数のセキュリティ機能を併せ持ち、入力された通信データに対して、複数のセキュリティ機能ごとに定められた所定のルールに基づいて複数のセキュリティ機能を順次実行して通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否するデータ中継装置、データ中継方法、および、当該データ中継装置としてのコンピュータに実行される管理プログラムに関する。

従来、コンピュータネットワークにおけるセキュリティ機能として、ＩＰ（Internet Protocol）アドレスに基づくアクセス制御を行うもの、特定のコンテンツへのアクセスを禁止するもの、ウイルスを検出するものなどがあり、それぞれについて技術の考案がなされている。例えば、特許文献１では、セキュリティ機能の一つであるアクセス制御を行うファイアウォールに関する技術が開示されている。

上記したような各種セキュリティ機能は、それぞれ個別の装置によって実現することができるが、近年、単一の装置内に複数のセキュリティ機能を併せ持ったデータ中継装置が登場してきている。

複数のセキュリティ機能を併せ持ったデータ中継装置を使用すれば、一つのセキュリティ機能しか持たない装置を同効果が期待できるように複数組み合わせて使用する場合と比較して、価格や管理の面で多くの利点がある。

特開２００３−２７３９３６号公報

ところで、複数のセキュリティ機能を併せ持ったデータ中継装置は、各セキュリティ機能を順次実行してデータの中継を制御している。

具体的に例を挙げて説明すると、ファイアウォールおよびアンチウイルスを併せ持ったデータ中継装置は、データが入力されると、当該データに対してまずファイアウォールを実行し、次にアンチウイルスを実行する。

しかし、上記したデータ中継装置は、２番目のアンチウイルスによって、ある送信元から送信されたデータにセキュリティ上の問題があり、データの中継を拒否した場合であっても、それ以降、同送信元から送信されたデータが入力されると、同様に、当該データに対して１番目のファイアウォールを実行し、２番目のアンチウイルスを実行する。

そして、データ中継装置は、２番目のアンチウイルスによって、データにセキュリティ上の問題があればデータの中継を拒否するが、当該データ中継装置による１番目のファイアウォールの実行について考えると、結果的には無駄な処理といえる。このような無駄な処理の発生は、データ中継装置が持つセキュリティ機能が増えるほど顕著になる。つまり、データ中継装置が持つセキュリティ機能が増えれば増えるほど、機器にかかる負荷は大きくなるという課題がある。さらに、複数のセキュリティ機能を全て実行するように設定した際にはスループットが大きく低下する場合もある。

そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、複数のセキュリティ機能を併せ持ったデータ中継装置にかかる負荷を軽減させることが可能な管理プログラムを提供することを目的とする。

上述した課題を解決し、目的を達成するため、本発明は、複数のセキュリティ機能を併せ持ち、入力された通信データに対して、前記複数のセキュリティ機能ごとに定められた所定のルールに基づいて前記複数のセキュリティ機能を順次実行して前記通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否するデータ中継装置としてのコンピュータに実行され、前記複数のセキュリティ機能の動作を管理する管理プログラムであって、前記通信データの中継可否の判定結果を取得する判定結果取得手順と、前記判定結果取得手順によって取得された判定結果に基づいて、中継不可と判定したセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該通信データが中継不可と判定されるように変更するルール変更手順と、をデータ中継装置としてのコンピュータに実行させることを特徴とする。

また、本発明は、上記の発明において、前記ルール変更手順は、全てのセキュリティ機能を実行して中継が決定された通信データがあった場合に、当該通信データに対して所定のセキュリティ機能を実行した段階で後続のセキュリティ機能を実行することなく中継を決定するよう前記所定のセキュリティ機能のルールを変更することを特徴とする。

また、本発明は、上記の発明において、前記判定結果取得手順によって取得された判定結果を蓄積する判定結果蓄積手順と、前記判定結果蓄積手順によって蓄積された判定結果が所定の条件を満たす場合に、前記ルール変更手順に対してルールの変更を許可するルール変更許可手順と、をさらにデータ中継装置としてのコンピュータに実行させることを特徴とする。

また、本発明は、上記の発明において、前記ルール変更手順は、ルール変更時に、当該変更したルールに対して有効期間を設定し、前記有効期間が経過した場合に、前記ルールの変更を取り消すルール変更取り消し手順をさらにデータ中継装置としてのコンピュータに実行させることを特徴とする。

また、本発明は、上記の発明において、前記ルール変更手順は、ルール変更時に、当該変更したルールを適用する時刻条件を設定し、時刻情報に基づいて、前記変更したルールの適用可否を制御する適用制御手順をさらにデータ中継装置としてのコンピュータに実行させることを特徴とする。

また、本発明は、複数のセキュリティ機能を併せ持ち、入力された通信データに対して、前記複数のセキュリティ機能ごとに定められた所定のルールに基づいて前記複数のセキュリティ機能を順次実行して前記通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否するデータ中継装置であって、前記通信データの中継可否の判定結果を取得する判定結果取得手段と、前記判定結果取得手段によって取得された判定結果に基づいて、中継不可と判定したセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該通信データが中継不可と判定されるように変更するルール変更手段と、を備えたことを特徴とする。

また、本発明は、複数のセキュリティ機能を併せ持ち、入力された通信データに対して、前記複数のセキュリティ機能ごとに定められた所定のルールに基づいて前記複数のセキュリティ機能を順次実行して前記通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否するデータ中継方法であって、前記通信データの中継可否の判定結果を取得する判定結果取得工程と、前記判定結果取得工程において取得された判定結果に基づいて、中継不可と判定したセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該通信データが中継不可と判定されるように変更するルール変更工程と、を含んだことを特徴とする。

本発明によれば、通信データの中継可否の判定結果を取得し、当該取得した判定結果に基づいて、中継不可と判定したセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該通信データが中継不可と判定されるように変更するので、次回、同送信元から送信された通信データを、より先行するセキュリティ機能を実行することによって中継不可と判定し、後続のセキュリティ機能の実行を中止する。こうすることによって、データ中継装置にかかる負荷を軽減することが可能となる。

本発明によれば、全てのセキュリティ機能を実行して中継が決定された通信データがあった場合に、当該通信データに対して所定のセキュリティ機能を実行した段階で後続のセキュリティ機能を実行することなく中継を決定するよう所定のセキュリティ機能のルールを変更するので、セキュリティ上の問題がないとみなした通信データに対するセキュリティ機能の実行を減らし、データ中継装置にかかる負荷をさらに軽減することが可能となる。

本発明によれば、判定結果を蓄積し、当該蓄積した判定結果が所定の条件を満たす場合に、ルールの変更を許可する。こうすることによって、ルールの変更が、セキュリティ機能の実行による判定結果のみに基づくものではなくなり、データ中継装置を柔軟に運用することが可能となる。

本発明によれば、ルール変更時に、当該変更したルールに対して有効期間を設定し、有効期間が経過した場合に、ルールの変更を取り消す。こうすることによって、ルールの変更を恒久的にしておくことが望ましくない場合などにも対処でき、データ中継装置を柔軟に運用することが可能となる。

本発明によれば、ルール変更時に、当該変更したルールを適用する時刻条件を設定し、時刻情報に基づいて、変更したルールの適用可否を制御する。こうすることによって、１日の時間帯による業務状況などにあわせてデータ中継装置の動作を制御したい場合などにも対処でき、データ中継装置を柔軟に運用することが可能となる。

以下に添付図面を参照して、この発明に係るパケット中継装置の好適な実施の形態を詳細に説明する。

［実施例１に係るパケット中継装置の概要および特徴］
まず、図１を用いて、パケット中継装置の概要および特徴を説明する。図１は、パケット中継装置の概要および特徴を説明するための図である。

パケット中継装置の概要について説明すると、図１に示すように、パケット中継装置は、各種セキュリティ機能を併せ持っており、パケットが入力されると、当該パケットに対して矢印で示す順に各セキュリティ機能を実行することで、パケットの中継可否を判定する。なお、パケット中継装置は、セキュリティ機能ごとに定められた所定のルールに基づいて各セキュリティ機能を実行する。

そして、パケット中継装置は、セキュリティ機能の実行によりパケットにセキュリティ上の問題の有無を判断し、セキュリティ上の問題があれば中継不可と判定し、パケットを廃棄、または、送信元に返却するなどして中継を拒否し、未実行の後続のセキュリティ機能については実行せず、次のパケットが入力されると、当該パケットに対して同様に矢印で示す順に各セキュリティ機能を実行する。

一方、パケット中継装置は、全てのセキュリティ機能を実行した結果、パケットにセキュリティ上の問題がなければ中継可と判定し、予め保持するパケットの中継先に係る経路情報を参照するなどして次の中継先へパケットを送信する。以上がパケット中継装置の概要である。

このパケット中継装置の特徴について説明する。図１に示すように、パケット中継装置は、例えば、ある送信元（１．１．１．１）から送信されたパケットに対して３番目のセキュリティ機能を実行した結果、パケットにセキュリティ上の問題があり、当該パケットの中継を拒否したとする。

ここで、パケット中継装置は、１番目または２番目のセキュリティ機能に定められたルールを、「送信元（１．１．１．１）からのパケットについてはセキュリティ上の問題あり」などと、当該パケットを中継不可と判定するように変更する。こうすることによって、次回、同送信元（１．１．１．１）から送信されたパケットを、より先行するセキュリティ機能の実行によってセキュリティ上の問題があると判断して中継不可と判定し、後続のセキュリティ機能を実行せず（例えば、１番目のセキュリティ機能の実行によってセキュリティ上の問題があると判断して中継不可と判定してパケットを廃棄した場合には、２〜３番目のセキュリティ機能を実行しない）、データ中継装置にかかる負荷を軽減するようにしている。以上がパケット中継装置の特徴である。

［パケット中継装置の構成］
図２を用いて、実施例１に係るパケット中継装置の構成を説明する。同図に示すように、パケット中継装置１０は、特に本発明に密接に関連するものとしては、アクセス制御ルール保持部２０と、ファイアウォール処理部３０と、アンチウイルス処理部４０と、Ｗｅｂコンテンツフィルタリング処理部５０と、管理部６０と、を備える。なお、図２は、実施例１に係るパケット中継装置の構成を示すブロック図である。

アクセス制御ルール保持部２０は、後述するファイアウォール処理部３０がセキュリティ機能を実行する際に用いるテーブルを保持する。具体的には、図３に示すように、アクセス制御ルール保持部２０は、パケットのヘッダに含まれる送信元アドレスと、送信先アドレスと、プロトコルと、パケットに対して行う処理を指定する処理内容とを対応付けて記憶する。例えば、アクセス制御ルール保持部２０は、送信元アドレス「１．１．１．１」と、送信先アドレス「２．２．２．２」と、プロトコル「ＨＴＴＰ」と、処理内容「廃棄」とを対応付けて記憶する。なお、図３は、アクセス制御ルール保持部２０が記憶する情報の例を示す図である。

ファイアウォール処理部３０は、パケット中継装置１０に入力されたパケットに対して最初にセキュリティ機能を実行する。具体的には、ファイアウォール処理部３０は、パケットが入力されると、当該パケットのヘッダに含まれる送信元アドレス、送信先アドレスおよびプロトコルを読み出し、当該対応関係をアクセス制御ルール保持部２０より検索する。そして、ファイアウォール処理部３０は、アクセス制御ルール保持部２０に当該対応関係がある場合には、当該パケットを中継不可と判定し、ヘッダから取得した情報（送信元アドレス、送信先アドレスおよびプロトコル）と、中継不可の判定結果を示す判定結果情報「不可」とを管理部６０内の判定結果取得部６１に出力した後、当該対応関係に対応付けられた処理内容（パケットの廃棄または送信元への返却）を行う。なお、判定結果情報とは、ファイアウォール処理部３０、アンチウイルス処理部４０またはＷｅｂコンテンツフィルタリング処理部５０が中継可否の判定後に生成する中継不可の判定結果または中継可の判定結果のいずれかを示す情報であり、中継不可の判定結果を示す情報を判定結果情報「不可」、中継可の判定結果を示す情報を判定結果情報「可」としている。

一方、ファイアウォール処理部３０は、当該対応関係がアクセス制御ルール保持部２０にない場合には、当該パケットを中継可と判定し、ヘッダから取得した情報（送信元アドレス、送信先アドレスおよびプロトコル）と、中継可の判定結果を示す判定結果情報「可」とを管理部６０内の判定結果取得部６１に出力した後、パケットをアンチウイルス処理部４０に出力する。

アンチウイルス処理部４０は、パケット中継装置１０に入力されたパケットに対して２番目にセキュリティ機能を実行する。具体的には、アンチウイルス処理部４０は、ファイアウォール処理部３０からパケットを受け取ると、ヘッダを除くデータ部分にウイルスとみなされる情報が含まれるか否かを、パターンマッチングなどを行って判断する。

そして、アンチウイルス処理部４０は、ウイルスとみなされる情報を検出すると、当該パケットを中継不可と判定し、ヘッダから取得した情報（送信元アドレス、送信先アドレスおよびプロトコル）と、判定結果情報「不可」とを管理部６０内の判定結果取得部６１に出力した後、パケットを廃棄する。

一方、アンチウイルス処理部４０は、ウイルスとみなされる情報を検出しない場合には、当該パケットを中継可と判定し、ヘッダから取得した情報（送信元アドレス、送信先アドレスおよびプロトコル）と、判定結果情報「可」とを管理部６０内の判定結果取得部６１に出力した後、当該パケットをＷｅｂコンテンツフィルタリング処理部５０に出力する。

Ｗｅｂコンテンツフィルタリング処理部５０は、パケット中継装置１０に入力されたパケットに対して３番目にセキュリティ機能を実行する。具体的には、Ｗｅｂコンテンツフィルタリング処理部５０は、アンチウイルス処理部４０からパケットを受け取ると、ヘッダを除くデータ部分に特定の語句を示す情報が含まれるか否かを、パターンマッチングなどを行って判断する。

そして、Ｗｅｂコンテンツフィルタリング処理部５０は、特定の語句を示す情報を検出すると、当該パケットを中継不可と判定し、ヘッダから取得した情報（送信元アドレス、送信先アドレスおよびプロトコル）と、判定結果情報「不可」とを管理部６０内の判定結果取得部６１に出力した後、パケットを廃棄する。

一方、Ｗｅｂコンテンツフィルタリング処理部５０は、特定の語句を示す情報を検出しない場合には、当該パケットを中継可と判定し、ヘッダから取得した情報（送信元アドレス、送信先アドレスおよびプロトコル）と、判定結果情報「可」とを管理部６０内の判定結果取得部６１に出力した後、当該パケットを次の中継先へ送信する。

管理部６０は、上述したファイアウォール処理部３０、アンチウイルス処理部４０およびＷｅｂコンテンツフィルタリング処理部５０の処理動作を管理する制御部であり、特に本発明に密接に関連するものとしては、判定結果取得部６１およびアクセス制御ルール変更部６２を備える。なお、判定結果取得部６１は、特許請求の範囲に記載の「判定結果取得手順」に対応する処理を実行し、アクセス制御ルール変更部６２は、同じく「ルール変更手順」に対応する処理を実行する。

判定結果取得部６１は、パケットの中継可否の判定結果を取得する。そして、判定結果取得部６１は、アンチウイルス処理部４０またはＷｅｂコンテンツフィルタリング処理部５０から、送信元アドレス、送信先アドレスおよびプロトコルとともに、判定結果情報「不可」を受け取った場合には、アクセス制御ルール変更部６２に対して送信元アドレス、送信先アドレス、プロトコルおよび判定結果情報「不可」を出力する。

アクセス制御ルール変更部６２は、判定結果取得部６１によって取得された判定結果に基づいて、所定のパケットを中継不可と判定したセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該パケットが中継不可と判定されるように変更する。具体的には、アクセス制御ルール変更部６２は、判定結果取得部６１から送信元アドレス、送信先アドレスおよびプロトコルとともに判定結果情報「不可」を受け取ると、送信元アドレス、送信先アドレスおよびプロトコルの対応関係に対して処理内容「廃棄」をさらに対応付けてアクセス制御ルール保持部２０に書き込む。

［パケット中継装置の処理］
次に、パケット中継装置１０の処理動作について図４のフローチャートを参照して説明する。同図に示した処理フローは、パケット中継装置１０の動作中に繰り返し実行される処理である。なお、図４は、パケット中継装置１０の処理の流れを示すフローチャートである。

同図に示すように、パケット中継装置１０は、パケットが入力されると（ステップＳ１１０肯定）、ファイアウォール処理部３０によるパケットの中継可否の判定を行い（ステップＳ１２０）、中継不可と判定した場合には（ステップＳ１３０肯定）、パケットの中継を拒否（パケットの廃棄または送信元への返却）する（ステップＳ１４０）。

ステップＳ１３０に戻って、パケット中継装置１０は、ファイアウォール処理部３０によるパケットの中継可否の判定で、中継可と判定した場合には（ステップＳ１３０否定）、アンチウイルス処理部４０へパケットを出力し（ステップＳ１５０）、アンチウイルス処理部４０によるパケットの中継可否の判定を行う（ステップＳ１６０）。

そして、パケット中継装置１０は、アンチウイルス処理部４０によるパケットの中継可否の判定で、中継不可と判定した場合には（ステップＳ１７０肯定）、ヘッダから所定の情報（送信元アドレス、送信先アドレスおよびプロトコル）を取得し（ステップＳ１８０）、かかる情報の対応関係に対して処理内容「廃棄」をさらに対応付けた対応関係をアクセス制御ルール保持部２０に書き込み（ステップＳ１９０）、パケットを廃棄する（ステップＳ２００）。

ステップＳ１７０に戻って、パケット中継装置１０は、アンチウイルス処理部４０によるパケットの中継可否の判定で、中継可と判定した場合には（ステップＳ１７０否定）、Ｗｅｂコンテンツフィルタリング処理部５０へパケットを出力し（ステップＳ２１０）、Ｗｅｂコンテンツフィルタリング処理部５０によるパケットの中継可否の判定を行う（ステップＳ２２０）。

そして、パケット中継装置１０は、Ｗｅｂコンテンツフィルタリング処理部５０によるパケットの中継可否の判定で、中継不可と判定した場合には（ステップＳ２３０肯定）、上述したステップＳ１８０〜ステップＳ２００までの処理と同様、ヘッダから所定の情報を取得し、かかる情報の対応関係に対して処理内容「廃棄」をさらに対応付けた対応関係をアクセス制御ルール保持部２０に書き込み、パケットを廃棄する（ステップＳ１８０〜ステップＳ２００）。

一方、パケット中継装置１０は、Ｗｅｂコンテンツフィルタリング処理部５０によるパケットの中継可否の判定で、中継可と判定した場合には（ステップＳ２３０否定）、次の中継先へパケットを送信し（ステップＳ２４０）、処理を終了する。

［実施例１の効果］
上記したように、実施例１によれば、パケットの中継可否の判定結果を取得し、当該取得した判定結果に基づいて、中継不可と判定した処理部より前段に位置するファイアウォール処理部が参照するアクセス制御ルール保持部を、当該パケットが中継不可と判定されるように変更するので、次回、同送信元から送信されたパケットを、より先行するファイアウォール処理部を実行することによって中継不可と判定し、後続の処理部を実行しないので、パケット中継装置にかかる負荷を軽減することが可能となる。

実施例２では、中継可否の判定を行う処理部が全て中継可と判定したパケットについては、今後もセキュリティ上の問題がないとみなし、次回当該パケットが入力された場合には、所定の処理部を実行した段階で後続の処理部を実行することなくパケットの中継を決定するものとした。これは、パケットに対する処理を減らすことでパケット中継装置にかかる負荷をさらに軽減するためである。

［実施例２に係るパケット中継装置の構成］
図５を用いて、実施例２に係るパケット中継装置の構成を説明する。なお、図５は、実施例２に係るパケット中継装置の構成を示すブロック図である。

図５に示すように、パケット中継装置１０は、実施例１と同様、アクセス制御ルール保持部２０と、ファイアウォール処理部３０と、アンチウイルス処理部４０と、Ｗｅｂコンテンツフィルタリング処理部５０と、管理部６０と、を備える。実施例１と異なる点としては、パケット中継装置１０は、管理部６０のアクセス制御ルール変更部６２内に中継決定ルール登録部６２ａを備える。なお、実施例１と同じ処理動作をし、同じ機能を有する部については説明を省略し、以下では、判定結果取得部６１、アクセス制御ルール変更部６２、アクセス制御ルール保持部２０およびファイアウォール処理部３０についてのみ説明を行う。

判定結果取得部６１は、パケットに対して最後に処理を行うＷｅｂコンテンツフィルタリング処理部５０から送信元アドレス、送信先アドレスおよびプロトコルとともに、判定結果情報「可」を受け取ると、アクセス制御ルール変更部６２に対して送信元アドレス、送信先アドレス、プロトコルおよび判定結果情報「可」を出力する。

アクセス制御ルール変更部６２は、ファイアウォール処理部３０、アンチウイルス処理部４０およびＷｅｂコンテンツフィルタリング処理部５０による処理を全て実行して中継が決定されたパケットがあった場合に、当該パケットに対してファイアウォール処理部３０による処理を実行した段階で後続の処理部による処理を実行することなく中継を決定するようアクセス制御ルール保持部２０を変更する。

具体的には、アクセス制御ルール変更部６２は、判定結果取得部６１から送信元アドレス、送信先アドレスおよびプロトコルとともに、判定結果情報「可」を受け取ると、中継決定ルール登録部６２ａによって送信元アドレス、送信先アドレスおよびプロトコルの対応関係に対して処理内容「中継」をさらに対応付けてアクセス制御ルール保持部２０に書き込む。

以上の各部の処理により、アクセス制御ルール保持部２０は、実施例１と異なる点としては、例えば、図６に示すように、送信元アドレス「１２．１２．１２．１２」と、送信先アドレス「１３．１３．１３．１３」と、プロトコル「ＨＴＴＰ」と、処理内容「中継」とを対応付けた対応関係を記憶する。なお、図６は、アクセス制御ルール保持部２０が記憶する情報の例を示す図である。

ファイアウォール処理部３０は、パケットが入力されると、当該パケットのヘッダに含まれる送信元アドレス、送信先アドレスおよびプロトコルを読み出し、当該対応関係をアクセス制御ルール保持部２０から検索する。そして、ファイアウォール処理部３０は、実施例１と異なる点としては、アクセス制御ルール保持部２０に当該対応関係があり、さらに、当該対応関係に対応付けられた処理内容が「中継」であった場合には、アンチウイルス処理部４０およびＷｅｂコンテンツフィルタリング処理部５０を介さずにパケットを次の中継先へ送信する。

［実施例２の効果］
上記したように、実施例２によれば、中継可否の判定を行う処理部を全て実行して中継が決定されたパケットがあった場合に、当該パケットに対するファイアウォール処理部３０の処理段階で、後続のアンチウイルス処理部４０およびＷｅｂコンテンツフィルタリング処理部５０の処理を実行することなく中継を決定するようアクセス制御ルール保持部２０を変更する。こうすることによって、パケットに対する処理を減らし、パケット中継装置にかかる負荷をさらに軽減することが可能となる。

実施例３では、２番目以降で中継可否の判定を行う処理部がパケットに対して１回目に中継不可と判定した際にアクセス制御ルール保持部２０を変更せず、以後、当該パケットに対してさらに所定の回数だけ中継不可と判定した場合に変更するものとした。これは、中継可否の判定を行う処理部の処理結果のみに従って一様にアクセス制御ルール保持部２０を変更すると、運用上の問題（例えば、ウイルスの誤検出や、ウイルスに感染させようと目論む犯人による一時的な送信元アドレスの使用などに起因して、アクセス制御ルール保持部２０が不必要に変更され、本来中継すべきパケットも廃棄してしまうことなど）がある場合に対処するためである。

［実施例３に係るパケット中継装置の構成］
図７を用いて、実施例３に係るパケット中継装置の構成を説明する。なお、図７は、実施例３に係るパケット中継装置の構成を示すブロック図である。

図７に示すように、パケット中継装置１０は、実施例１と同様、アクセス制御ルール保持部２０と、ファイアウォール処理部３０と、アンチウイルス処理部４０と、Ｗｅｂコンテンツフィルタリング処理部５０と、管理部６０と、を備える。実施例１と異なる点としては、管理部６０は、判定結果記憶部６３と、中継不可判定回数記憶部６４と、ルール変更許可部６５とをさらに備え、判定結果取得部６１内に判定結果蓄積部６１ａ、ルール変更許可部６５内に条件保持部６５ａを備える。なお、ルール変更許可部６５は、特許請求の範囲に記載の「ルール変更許可手順」に対応する処理を実行する。なお、実施例１と同じ処理動作をし、同じ機能を有する部については説明を省略し、以下では、判定結果取得部６１、判定結果蓄積部６１ａ、アクセス制御ルール変更部６２、判定結果記憶部６３、中継不可判定回数記憶部６４、ルール変更許可部６５および条件保持部６５ａについて説明を行う。

判定結果記憶部６３は、パケットに対するファイアウォール処理部３０、アンチウイルス処理部４０およびＷｅｂコンテンツフィルタリング処理部５０の判定結果を記憶する。具体的には、図８に示すように、判定結果記憶部６３は、送信元アドレスと、送信先アドレスと、プロトコルと、パケットに対する中継可否の判定を行う処理部を一意に識別する判定元識別情報と、判定結果が中継不可または中継可のいずれかであることを示す判定結果情報とを対応付けて記憶する。例えば、図８に示すように、判定結果記憶部６３は、送信元アドレス「１．１．１．１」と、送信先アドレス「２．２．２．２」と、プロトコル「ＨＴＴＰ」と、判定元識別情報「ＦＷ」と、判定結果情報「可」とを対応付けて記憶する。なお、図８は、判定結果記憶部６３が記憶する情報の例を示す図であり、ＦＷ、ＡＶ、ＣＦは、それぞれ、ファイアウォール処理部３０、アンチウイルス処理部４０、Ｗｅｂコンテンツフィルタリング処理部５０に対応する。

中継不可判定回数記憶部６４は、中継不可と判定された回数をパケットごとに記憶する。具体的には、図９に示すように、中継不可判定回数記憶部６４は、送信元アドレスと、送信先アドレスと、プロトコルと、判定元識別情報と、判定結果情報と、中継不可と判定された回数を示す回数情報とを対応付けて記憶する。例えば、図９に示すように、中継不可判定回数記憶部６４は、送信元アドレス「１．１．１．１」と、送信先アドレス「２．２．２．２」と、プロトコル「ＨＴＴＰ」と、判定元識別情報「ＣＦ」と、判定結果情報「不可」と、回数情報「３」とを対応付けて記憶する。なお、図９は、中継不可判定回数記憶部６４が記憶する情報の例を示す図である。

判定結果取得部６１は、ファイアウォール処理部３０、アンチウイルス処理部４０およびＷｅｂコンテンツフィルタリング処理部５０から、送信元アドレス、送信先アドレスおよびプロトコルとともに、判定結果情報を受け取ると、判定結果蓄積部６１ａによって送信元アドレス、送信先アドレス、プロトコルおよび判定結果情報を対応付け、受け取り元の処理部を識別して判定元識別情報をさらに対応付けて判定結果記憶部６３に格納する。なお、判定結果取得部６１は、実施例１と異なり、アンチウイルス処理部４０またはＷｅｂコンテンツフィルタリング処理部５０から、送信元アドレス、送信先アドレスおよびプロトコルとともに、判定結果情報「不可」を受け取っても、アクセス制御ルール変更部６２に対して送信元アドレス、送信先アドレス、プロトコルおよび判定結果情報「不可」を出力しない。

ルール変更許可部６５は、判定結果蓄積部６１ａによって判定結果記憶部６３に蓄積された判定結果が所定の条件を満たす場合に、アクセス制御ルール変更部６２に対してルールの変更を許可する。

具体的には、ルール変更許可部６５は、判定結果情報「不可」が判定結果記憶部６３に格納されるたびに、判定結果記憶部６３によって記憶された情報に基づいて、当該中継不可と判定されたパケットが現時点で中継不可と判定された回数を算出する。

そして、ルール変更許可部６５は、現に判定結果記憶部６３に格納された送信元アドレス、送信先アドレス、プロトコル、判定元識別情報および判定結果情報「不可」の対応関係に対して、さらに、算出した回数を回数情報として対応付けて中継不可判定回数記憶部６４に格納する。

そして、ルール変更許可部６５は、条件保持部６５ａに予め保持する所定の条件（例えば「中継不可と判定された回数が５回以上」という条件）に基づいて、回数情報が示す回数が当該所定の条件を満たすか否かを判断する。

そして、ルール変更許可部６５は、かかる回数が当該所定の条件を満たす場合には、現に判定結果記憶部６３に格納した送信元アドレス、送信先アドレス、プロトコルおよび判定結果情報「不可」を読み出し、アクセス制御ルール変更部６２に出力する。

アクセス制御ルール変更部６２は、ルール変更許可部６５から送信元アドレス、送信先アドレスおよびプロトコルとともに判定結果情報「不可」を受け取ると、実施例１と同様、送信元アドレス、送信先アドレスおよびプロトコルの対応関係に対して処理内容「廃棄」をさらに対応付けてアクセス制御ルール保持部２０に書き込む。

［実施例３の効果］
上記したように、実施例３によれば、判定結果を蓄積し、当該蓄積した判定結果が所定の条件を満たす場合に、アクセス制御ルール保持部２０の変更を行う。こうすることによって、パケット中継装置の柔軟な運用が可能となる。

実施例４では、アクセス制御ルール保持部２０の変更が常時持続するものではなく、有効期間や適用期間を設定して、アクセス制御ルール保持部２０の変更を一時的なものや限定的なものとした。これは、実施例３でも述べたように、例えば、ウイルスの誤検出や、ウイルスに感染させようと目論む犯人による一時的な送信元アドレスの使用などに起因して、アクセス制御ルール保持部２０が不必要に変更された場合など、当該アクセス制御ルール保持部２０の変更を恒久的にしておくことが望ましくない場合や、１日の時間帯による業務状況などにあわせてパケット中継装置の動作を制御したい場合に対処するためである。

［実施例４に係るパケット中継装置の構成］
図１０を用いて、実施例４に係るパケット中継装置の構成を説明する。なお、図１０は、実施例４に係るパケット中継装置の構成を示すブロック図である。

図１０に示すように、パケット中継装置１０は、実施例１と同様、アクセス制御ルール保持部２０と、ファイアウォール処理部３０と、アンチウイルス処理部４０と、Ｗｅｂコンテンツフィルタリング処理部５０と、管理部６０と、を備える。実施例１と異なる点としては、管理部６０のアクセス制御ルール変更部６２は、その内部にルール変更取り消し部６２ｂと、ルール適用制御部６２ｃと、制御情報保持部６２ｄとを備える。なお、ルール変更取り消し部６２ｂは、特許請求の範囲に記載の「ルール変更取り消し手順」に対応する処理を実行し、ルール適用制御部６２ｃは、同じく「適用制御手順」に対応する処理を実行する。なお、実施例１と同じ処理動作をし、同じ機能を有する部については説明を省略し、以下では、アクセス制御ルール変更部６２、ルール変更取り消し部６２ｂ、ルール適用制御部６２ｃおよび制御情報保持部６２ｄについてのみ説明を行う。

制御情報保持部６２ｄは、後述するルール変更取り消し部６２ｂおよびルール適用制御部６２ｃによって参照される情報を記憶する。具体的には、図１１に示すように、制御情報保持部６２ｄは、送信元アドレスと、送信先アドレスと、プロトコルと、アクセス制御ルール保持部２０の変更を１日のなかで維持する時間帯を示す適用時刻情報と、アクセス制御ルール保持部２０の変更を最終的に取り消す時を示す有効期限情報とを対応付けて記憶する。例えば、制御情報保持部６２ｄは、送信元アドレス「４．４．４．４」と、送信先アドレス「５．５．５．５」と、プロトコル「ＨＴＴＰ」と、適用時刻情報「０９：００〜１７：００（１日のうち午前９時から午後５時までの時間帯）」と、有効期限情報「２００７．８．１０（２００７年８月１０日）」とを対応付けて記憶する。

アクセス制御ルール変更部６２は、判定結果取得部６１から送信元アドレス、送信先アドレスおよびプロトコルとともに判定結果情報「不可」を受け取ると、送信元アドレス、送信先アドレスおよびプロトコルの対応関係に対して、さらに所定の適用時刻情報と、所定の有効期限情報とを対応付けて制御情報保持部６２ｄに格納する。なお、適用時刻情報および有効期限情報については、例えば、判定結果取得部６１から判定元識別情報をさらに出力させるなどして送信元アドレス、送信先アドレスおよびプロトコルの対応関係を区別し、処理部ごとに異なる有効期限情報および適用時刻情報を対応付けるようにしてもよい。

ここで、アクセス制御ルール変更部６２のルール適用制御部６２ｃによる初回のアクセス制御ルール保持部２０への書き込み動作を説明する。アクセス制御ルール変更部６２のルール適用制御部６２ｃは、現時刻と制御情報保持部６２ｄに現に格納された適用時刻情報とを比べ、現時刻がアクセス制御ルール保持部２０の変更を維持すべき時間帯内である場合には、制御情報保持部６２ｄから送信元アドレス、送信先アドレスおよびプロトコルを読み出し、当該対応関係に対して処理内容「廃棄」をさらに対応付けてアクセス制御ルール保持部２０に書き込む。

一方、アクセス制御ルール変更部６２のルール適用制御部６２ｃは、現時刻がアクセス制御ルール保持部２０の変更を維持すべき時間帯外である場合には、現時刻がアクセス制御ルール保持部２０の変更を維持する時間帯の開始時刻になった時点で制御情報保持部６２ｄから送信元アドレス、送信先アドレスおよびプロトコルを読み出し、当該対応関係に対して処理内容「廃棄」をさらに対応付けてアクセス制御ルール保持部２０に書き込む。

以上のように初回の書き込みを終えると、ルール適用制御部６２ｃおよびルール変更取り消し部６２ｂは、制御情報保持部６２ｄに格納された適用時刻情報および有効期限情報に基づいて、アクセス制御ルール保持部２０の変更が１日のなかの所定の時間帯にだけ維持されるように制御したり、アクセス制御ルール保持部２０の変更を最終的に取り消したりする。こうすることによって、例えば、図１２に示すように、８月７日午前８時に、ある送信元アドレス、送信先アドレスおよびプロトコルの対応関係に対して適用時刻情報「０９：００〜１７：００」および有効期限情報「２００７．８．１０」が対応付けられて制御情報保持部６２ｄに格納された場合には、８月７日、８月８日および８月９日の午前９時から午後５時までの時間帯だけアクセス制御ルール保持部２０の変更が維持される。なお、８月１０日以降は、アクセス制御ルール保持部２０の変更自体行われない。

具体的には、ルール適用制御部６２ｃは、現時刻が、制御情報保持部６２ｄに格納された適用時刻情報が示すアクセス制御ルール保持部２０の変更を維持する時間帯の終了時刻になると、当該適用時刻情報に対応する送信元アドレス、送信先アドレスおよびプロトコルを読み出す。そして、ルール適用制御部６２ｃは、アクセス制御ルール保持部２０によって記憶された対応関係のうち、送信元アドレス、送信先アドレスおよびプロトコルが当該読み出した対応関係と一致する対応関係を削除する。その後、ルール適用制御部６２ｃは、現時刻が、制御情報保持部６２ｄに格納された適用時刻情報が示すアクセス制御ルール保持部２０の変更を維持する時間帯の開始時刻になると、当該適用時刻情報に対応する送信元アドレス、送信先アドレスおよびプロトコルを読み出し、当該対応関係に対して処理内容「廃棄」をさらに対応付けてアクセス制御ルール保持部２０に書き込む。なお、ルール適用制御部６２ｃは、以降、同じ処理を繰り返す。

また、ルール変更取り消し部６２ｂは、現時刻が、制御情報保持部６２ｄに格納された有効期限情報が示す時刻になると、制御情報保持部６２ｄから現時刻を示す有効期限情報に対応する送信元アドレス、送信先アドレスおよびプロトコルを読み出すとともに、制御情報保持部６２ｄから当該対応関係を削除する。そして、ルール変更取り消し部６２ｂは、アクセス制御ルール保持部２０によって記憶された対応関係のうち、送信元アドレス、送信先アドレスおよびプロトコルが、制御情報保持部６２ｄから読み出した対応関係と一致する対応関係を削除する。

［実施例４の効果］
上記したように、実施例４によれば、ルール変更時に、当該変更したルールに対して有効期間を設定し、有効期間が経過した場合に、ルールの変更を取り消すので、パケット中継装置の柔軟な運用が可能となる。

また、実施例４によれば、ルール変更時に、当該変更したルールを適用する時刻条件を設定し、時刻情報に基づいて、変更したルールの適用可否を制御するので、パケット中継装置の柔軟な運用が可能となる。

実施例５では、パケットの中継が拒否された場合に、所定の送信先にメールを送信するものとした。また、送信されるメールの内容については、ファイアウォール処理部３０、アンチウイルス処理部４０、もしくはＷｅｂコンテンツフィルタリング処理部５０いずれの処理によってパケットの中継が拒否されたかでそれぞれ異なるものとし、さらに、アクセス制御ルール保持部２０の変更に基づいて、本来の処理部とは別のファイアウォール処理部３０によって中継が拒否された場合においても、本来の処理部の処理によってパケットの中継が拒否された場合と同様の内容でメールを送信するものとした。これは、アクセス制御ルール変更部６２の変更によって、所定のパケットの中継が、本来とは異なるファイアウォール処理部３０の処理によって拒否され、所定の送信先に異なる内容のメールが送信されてしまうことに対処するためである。

［実施例５に係るパケット中継装置の構成］
図１３を用いて、実施例５に係るパケット中継装置の構成を説明する。なお、図１３は、実施例５に係るパケット中継装置の構成を示すブロック図である。

図１３に示すように、パケット中継装置１０は、実施例１と同様、アクセス制御ルール保持部２０と、ファイアウォール処理部３０と、アンチウイルス処理部４０と、Ｗｅｂコンテンツフィルタリング処理部５０と、管理部６０と、を備える。実施例１と異なる点としては、管理部６０は、その内部にメール送信部６６を備え、メール送信部６６内には、メール本文変更部６６ａと、メール本文保持部６６ｂと、制御情報保持部６６ｃとを備える。なお、メール送信部６６は、特許請求の範囲に記載の「中継拒否通知送信手順」に対応する処理を実行し、メール本文変更部６６ａは、同じく「中継拒否通知内容変更手順」に対応する処理を実行する。なお、実施例１と同じ処理動作をし、同じ機能を有する部については説明を省略し、以下では、判定結果取得部６１、メール送信部６６、メール本文変更部６６ａ、メール本文保持部６６ｂおよび制御情報保持部６６ｃについてのみ説明を行う。

メール本文保持部６６ｂは、パケットの中継が拒否された際に、パケットのセキュリティ上の問題点とともに中継が拒否されたことを管理者などに知らせる情報を保持する。具体的には、図１４に示すように、メール本文保持部６６ｂは、パケットに対する中継可否の判定を行う処理部を一意に識別する判定元識別情報と、所定の送信先に送るメールの本文であるメール本文とを対応付けて保持する。例えば、図１４に示すように、メール本文保持部６６ｂは、判定元識別情報「ＡＶ」と、メール本文「Ｂ（例えば、「ウイルスが検出されたので、アクセスを拒否しました。」など）」とを対応付けて保持する。なお、図１４は、メール本文保持部が記憶する情報の例を示す図である。

制御情報保持部６６ｃは、メール本文変更部６６ａによって用いられる情報を保持する。具体的には、図１５に示すように、制御情報保持部６６ｃは、送信元アドレスと、送信先アドレスと、プロトコルと、判定元識別情報とを対応付けて記憶する。例えば、図１５に示すように、制御情報保持部６６ｃは、送信元アドレス「４．４．４．４」送信先アドレス「５．５．５．５」と、プロトコル「ＨＴＴＰ」と、判定元識別情報「ＡＶ」とを対応付けて記憶する。なお、図１５は、制御情報保持部が記憶する情報の例を示す図である。

判定結果取得部６１は、ファイアウォール処理部３０、アンチウイルス処理部４０またはＷｅｂコンテンツフィルタリング処理部５０から送信元アドレス、送信先アドレスおよびプロトコルとともに、判定結果情報「不可」を受け取ると、メール送信部６６に対して、送信元アドレス、送信先アドレスおよびプロトコルを出力するとともに、受け取り元の処理部を識別して判定元識別情報についても出力する。

メール送信部６６は、判定結果取得部６１によって取得された判定結果に基づいて、中継が拒否されたパケットがあった場合に、いずれの処理部の実行により通信データの中継が拒否されたかを示すメールを所定の送信先に送信する。

具体的には、メール送信部６６は、判定結果取得部６１から送信元アドレス、送信先アドレス、プロトコルおよび判定元識別情報を受け取ると、メール本文保持部６６ｂを参照し、当該受け取った判定元識別情報に対応するメール本文を読み出す。そして、メール送信部６６は、当該読み出したメール本文に基づいて所定の送信先にメールを送信する。なお、メール送信部６６は、判定結果取得部６１から受け取った判定元識別情報が「ＡＶ」または「ＣＦ」だった場合には、送信元アドレス、送信先アドレス、プロトコルおよび当該判定元識別情報を対応付けて制御情報保持部６６ｃに格納する。なお、判定元識別情報が「ＡＶ」または「ＣＦ」であるということは、アクセス制御ルール変更部６２によってアクセス制御ルール保持部２０が変更されたことを意味する。

ここで、メール送信部６６のメール本文変更部６６ａによる処理を説明する。メール本文変更部６６ａは、アクセス制御ルール変更部６２によって変更されたアクセス制御ルール保持部２０に基づいて、本来のアンチウイルス処理部４０またはＷｅｂコンテンツフィルタリング処理部５０とは別のファイアウォール処理部３０による処理でパケットの中継が拒否された場合でも、本来の処理部の実行によってパケットの中継が拒否されたことが示されるようにメール本文を変更する。

具体的には、メール本文変更部６６ａは、判定結果取得部６１から送信元アドレス、送信先アドレス、プロトコルおよび判定元識別情報「ＦＷ」を受け取ると、制御情報保持部６６ｃを参照し、当該受け取った送信元アドレス、送信先アドレスおよびプロトコルの対応関係を検索する。そして、メール本文変更部６６ａは、制御情報保持部６６ｃに当該対応関係がある場合には、当該対応関係に対応付けられた判定元識別情報を読み出す。そして、メール本文変更部６６ａは、メール本文保持部６６ｂを参照し、当該読み出した判定元識別情報に対応するメール本文を読み出した後、当該読み出したメール本文に基づいて所定の送信先にメールを送信する。

［実施例５の効果］
上記したように、実施例５によれば、判定結果に基づいて、中継が拒否されたパケットがあった場合に、ファイアウォール処理部、アンチウイルス処理部またはＷｅｂコンテンツフィルタリング処理部のうちいずれの処理部の実行により中継が拒否されたかを示すメールを所定の送信先に送信する。そして、本来の処理部とは別のファイアウォール処理部３０を実行することでパケットの中継が拒否された場合でも、本来の処理部の実行によってパケットの中継が拒否されたことを示すメール本文を送信する。こうすることによって、アクセス制御ルール保持部の変更が行われて、パケットに対して中継不可の判定を行った処理部とは異なるファイアウォール処理部が当該パケットに対して中継不可の判定を行うことにより、パケットの中継が拒否された場合においても、本来の処理部の実行によってパケットの中継が拒否されたことを示すメールを管理者などへ通知することが可能となる。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下に示すように、（１）〜（４）にそれぞれ区分けして異なる実施例を説明する。

（１）セキュリティ機能
上記の実施例では、１〜３番目のセキュリティ機能として、それぞれファイアウォール、アンチウイルス、Ｗｅｂコンテンツフィルタリングを例に挙げて説明したが、本発明はこれに限定されるものではなく、パケット中継装置によって実行された場合に、所定のルールに基づいて中継可否の判定を行うものであればいずれのセキュリティ機能であってもよい。また、それにともない、ファイアウォール、アンチウイルス、Ｗｅｂコンテンツフィルタリングを実行する順序を変えてもよい。

（２）ルール変更
上記の実施例では、最前段に位置するセキュリティ機能であるファイアウォール処理部が参照するアクセス制御ルール保持部を変更する場合を説明したが、本発明はこれに限定されるものではなく、中継不可と判定したセキュリティ機能より前段に位置するセキュリティ機能に定められたルールを変更するものであればよい。例えば、あるパケットに対してＷｅｂコンテンツフィルタリング処理部を実行することによって中継不可と判定した場合に、アンチウイルス処理部に定められた所定のルールを変更し、次回、同送信元から送信されたパケットに対してアンチウイルス処理部を実行することによって中継不可と判定するようにしても、パケット中継装置にかかる負荷を軽減する効果は十分に得られる。

（３）ルール変更の条件
上記の実施例３では、蓄積した判定結果に基づいて中継不可と判定された回数を算出し、当該算出した回数が所定値以上になったことを条件にアクセス制御ルール保持部を変更する場合を説明したが、本発明はこれに限定されるものではなく、アクセス制御ルール保持部の変更が所定の条件下で行われるものであればよい。例えば、中継不可と判定した時刻が所定の時間帯内であることを条件にアクセス制御ルール保持部を変更するようにしてもよい。

（４）システム構成等
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、例えば、判定結果取得部６１と、アクセス制御ルール変更部６２とを統合するなど、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（付記１）複数のセキュリティ機能を併せ持ち、入力された通信データに対して、前記複数のセキュリティ機能ごとに定められた所定のルールに基づいて前記複数のセキュリティ機能を順次実行して前記通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否するデータ中継装置としてのコンピュータに実行され、前記複数のセキュリティ機能の動作を管理する管理プログラムであって、
前記通信データの中継可否の判定結果を取得する判定結果取得手順と、
前記判定結果取得手順によって取得された判定結果に基づいて、中継不可と判定したセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該通信データが中継不可と判定されるように変更するルール変更手順と、
をデータ中継装置としてのコンピュータに実行させることを特徴とする管理プログラム。

（付記２）前記ルール変更手順は、全てのセキュリティ機能を実行して中継が決定された通信データがあった場合に、当該通信データに対して所定のセキュリティ機能を実行した段階で後続のセキュリティ機能を実行することなく中継を決定するよう前記所定のセキュリティ機能のルールを変更することを特徴とする付記１に記載の管理プログラム。

（付記３）前記判定結果取得手順によって取得された判定結果を蓄積する判定結果蓄積手順と、
前記判定結果蓄積手順によって蓄積された判定結果が所定の条件を満たす場合に、前記ルール変更手順に対してルールの変更を許可するルール変更許可手順と、
をさらにデータ中継装置としてのコンピュータに実行させることを特徴とする付記１または２に記載の管理プログラム。

（付記４）前記ルール変更手順は、ルール変更時に、当該変更したルールに対して有効期間を設定し、
前記有効期間が経過した場合に、前記ルールの変更を取り消すルール変更取り消し手順をさらにデータ中継装置としてのコンピュータに実行させることを特徴とする付記１、２または３に記載の管理プログラム。

（付記５）前記ルール変更手順は、ルール変更時に、当該変更したルールを適用する時刻条件を設定し、
時刻情報に基づいて、前記変更したルールの適用可否を制御する適用制御手順をさらにデータ中継装置としてのコンピュータに実行させることを特徴とする付記１〜４のいずれか一つに記載の管理プログラム。

（付記６）前記判定結果取得手順によって取得された判定結果に基づいて、中継が拒否された通信データがあった場合に、いずれのセキュリティ機能の実行により通信データの中継が拒否されたかを示す中継拒否通知を所定の送信先に送信する中継拒否通知送信手順と、
前記ルール変更手順によって変更されたルールに基づいて、本来のセキュリティ機能とは別のセキュリティ機能を実行することで前記通信データの中継が拒否された場合でも、前記本来のセキュリティ機能の実行によって前記通信データの中継が拒否されたことが示されるように前記中継拒否通知を変更する中継拒否通知変更手順と、をさらにデータ中継装置としてのコンピュータに実行させることを特徴とする付記１〜５のいずれか一つに記載の管理プログラム。

（付記７）複数のセキュリティ機能を併せ持ち、入力された通信データに対して、前記複数のセキュリティ機能ごとに定められた所定のルールに基づいて前記複数のセキュリティ機能を順次実行して前記通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否するデータ中継装置であって、
前記通信データの中継可否の判定結果を取得する判定結果取得手段と、
前記判定結果取得手段によって取得された判定結果に基づいて、中継不可と判定したセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該通信データが中継不可と判定されるように変更するルール変更手段と、
を備えたことを特徴とするデータ中継装置。

（付記８）複数のセキュリティ機能を併せ持ち、入力された通信データに対して、前記複数のセキュリティ機能ごとに定められた所定のルールに基づいて前記複数のセキュリティ機能を順次実行して前記通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否するデータ中継方法であって、
前記通信データの中継可否の判定結果を取得する判定結果取得工程と、
前記判定結果取得工程において取得された判定結果に基づいて、中継不可と判定したセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該通信データが中継不可と判定されるように変更するルール変更工程と、
を含んだことを特徴とするデータ中継方法。

以上のように、本発明に係るデータ中継装置、データ中継方法、および、当該データ中継装置としてのコンピュータに実行される管理プログラムは、複数のセキュリティ機能を併せ持ち、入力された通信データに対して、前記複数のセキュリティ機能ごとに定められた所定のルールに基づいて前記複数のセキュリティ機能を順次実行して前記通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否する場合に有用であり、特に、データ中継装置にかかる負荷を軽減することに適する。

パケット中継装置の概要および特徴を説明するための図である。 実施例１に係るパケット中継装置の構成を示すブロック図である。 アクセス制御ルール保持部が記憶する情報の例を示す図である。 パケット中継装置の処理の流れを示すフローチャートである。 実施例２に係るパケット中継装置の構成を示すブロック図である。 アクセス制御ルール保持部が記憶する情報の例を示す図である。 実施例３に係るパケット中継装置の構成を示すブロック図である。 判定結果記憶部が記憶する情報の例を示す図である。 中継不可判定回数記憶部が記憶する情報の例を示す図である。 実施例４に係るパケット中継装置の構成を示すブロック図である。 制御情報保持部が記憶する情報の例を示す図である。 アクセス制御ルール保持部の変更状態の例を説明するための図である。 実施例５に係るパケット中継装置の構成を示すブロック図である。 メール本文保持部が記憶する情報の例を示す図である。 制御情報保持部が記憶する情報の例を示す図である。

符号の説明

１０ パケット中継装置
２０ アクセス制御ルール保持部
３０ ファイアウォール処理部
４０ アンチウイルス処理部
５０ Ｗｅｂコンテンツフィルタリング処理部
６０ 管理部
６１ 判定結果取得部
６１ａ 判定結果蓄積部
６２ アクセス制御ルール変更部
６２ａ 中断決定ルール登録部
６２ｂ ルール変更取り消し部
６２ｃ ルール適用制御部
６２ｄ 制御情報保持部
６３ 判定結果記憶部
６４ 中継不可判定回数記憶部
６５ ルール変更許可部
６５ａ 条件保持部
６６ メール送信部
６６ａ メール本文変更部
６６ｂ メール本文保持部
６６ｃ 制御情報保持部

Claims (6)

1. 複数のセキュリティ機能を併せ持ち、入力された通信データに対して、前記複数のセキュリティ機能ごとに定められた所定のルールに基づいて前記複数のセキュリティ機能を順次実行して前記通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否するデータ中継装置としてのコンピュータに実行され、前記複数のセキュリティ機能の動作を管理する管理プログラムであって、
   前記複数のセキュリティ機能それぞれによる前記通信データの中継可否の判定結果を取得し、取得した判定結果の判定元のセキュリティ機能の識別情報を含む判定結果を一元管理する判定結果取得手順と、
   前記判定結果取得手順によって取得され一元管理される前記複数のセキュリティ機能ごとの前記判定結果に基づいて、中継不可としたセキュリティ機能による判定結果がセキュリティ機能ごとの所定の条件を満たす場合に、当該中継不可としたセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該通信データが中継不可と判定されるように変更し、全てのセキュリティ機能を実行して中継が決定された通信データがあった場合に、当該通信データに対して所定のセキュリティ機能を実行した段階で後続のセキュリティ機能を実行することなく中継を決定するよう前記所定のセキュリティ機能のルールを変更するルール変更手順と、
   をデータ中継装置としてのコンピュータに実行させることを特徴とする管理プログラム。
2. 前記判定結果取得手順によって取得された判定結果を蓄積する判定結果蓄積手順と、
   前記判定結果蓄積手順によって蓄積された判定結果がセキュリティ機能ごとの所定の条件を満たす場合に、前記ルール変更手順に対してルールの変更を許可するルール変更許可手順と、
   をさらにデータ中継装置としてのコンピュータに実行させることを特徴とする請求項１に記載の管理プログラム。
3. 前記ルール変更手順は、ルール変更時に、当該変更したルールに対して有効期間を設定し、
   前記有効期間が経過した場合に、前記ルールの変更を取り消すルール変更取り消し手順をさらにデータ中継装置としてのコンピュータに実行させることを特徴とする請求項１または２に記載の管理プログラム。
4. 前記ルール変更手順は、ルール変更時に、当該変更したルールを適用する時刻条件を設定し、
   時刻情報に基づいて、前記変更したルールの適用可否を制御する適用制御手順をさらにデータ中継装置としてのコンピュータに実行させることを特徴とする請求項１、２または３に記載の管理プログラム。
5. 複数のセキュリティ機能を併せ持ち、入力された通信データに対して、前記複数のセキュリティ機能ごとに定められた所定のルールに基づいて前記複数のセキュリティ機能を順次実行して前記通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否するデータ中継装置であって、
   前記複数のセキュリティ機能それぞれによる前記通信データの中継可否の判定結果を取得し、取得した判定結果の判定元のセキュリティ機能の識別情報を含む判定結果を一元管理する判定結果取得手段と、
   前記判定結果取得手段によって取得され一元管理される前記複数のセキュリティ機能ごとの前記判定結果に基づいて、中継不可としたセキュリティ機能による判定結果がセキュリティ機能ごとの所定の条件を満たす場合に、当該中継不可としたセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該通信データが中継不可と判定されるように変更し、全てのセキュリティ機能を実行して中継が決定された通信データがあった場合に、当該通信データに対して所定のセキュリティ機能を実行した段階で後続のセキュリティ機能を実行することなく中継を決定するよう前記所定のセキュリティ機能のルールを変更するルール変更手段と、
   を備えたことを特徴とするデータ中継装置。
6. 複数のセキュリティ機能を併せ持ち、入力された通信データに対して、前記複数のセキュリティ機能ごとに定められた所定のルールに基づいて前記複数のセキュリティ機能を順次実行して前記通信データの中継可否を判定し、中継不可と判定した通信データについては、未実行の後続のセキュリティ機能を実行せずに中継を拒否するデータ中継方法であって、
   前記複数のセキュリティ機能それぞれによる前記通信データの中継可否の判定結果を取得し、取得した判定結果の判定元のセキュリティ機能の識別情報を含む判定結果を一元管理する判定結果取得工程と、
   前記判定結果取得工程において取得され一元管理される前記複数のセキュリティ機能ごとの前記判定結果に基づいて、中継不可としたセキュリティ機能による判定結果がセキュリティ機能ごとの所定の条件を満たす場合に、当該中継不可としたセキュリティ機能より前段に位置するいずれかのセキュリティ機能に定められたルールを、当該通信データが中継不可と判定されるように変更し、全てのセキュリティ機能を実行して中継が決定された通信データがあった場合に、当該通信データに対して所定のセキュリティ機能を実行した段階で後続のセキュリティ機能を実行することなく中継を決定するよう前記所定のセキュリティ機能のルールを変更するルール変更工程と、
   を含んだことを特徴とするデータ中継方法。

Images