JP6114204B2

JP6114204B2 - 通信システム、フィルタリング装置、フィルタリング方法およびプログラム

Info

Publication number: JP6114204B2
Application number: JP2014005566A
Authority: JP
Inventors: 輝森川
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2014-01-16
Filing date: 2014-01-16
Publication date: 2017-04-12
Anticipated expiration: 2034-01-16
Also published as: JP2015133680A

Description

本発明は、異なるネットワーク間の通信に対するフィルタリング技術に関する。

近年、携帯端末の普及と同時に個人情報をはじめ位置情報やその他機密情報等の重要な情報の取り扱いが複雑化している。これらの情報はＳＮＳ（Social Networking Service）やそれに紐付くサービス、ＢＹＯＤ（Bring Your Own Device）等の利便性の高いサービスに利用可能である反面、悪用や改ざんの恐れがあるため適切に管理する必要がある。

ユーザの重要な情報の外部への流出を防止するための代表的な方法として、パケットフィルタリング、アプリケーションゲートウェイおよびステートフルインスペクションが知られている（非特許文献１参照）。以下に、これらの方法を簡単に説明する。

はじめに、パケットフィルタリングについて説明する。図７は従来技術のパケットフィルタリングを説明するための図である。

フィルタリング装置のデータベースには、通信を許可／拒否するＩＰ（Internet Protocol）アドレス、ＵＲＬ（Uniform Resource Locator）等の通信先情報である通信先フィルタルールが予め登録されている。ユーザがクライアント端末を操作してアプリケーションソフトウェアプログラム（以下では、「アプリケーション」と称する）を実行させると、クライアント端末はインターネット通信を行うために通信パケットをフィルタリング装置に送信する。フィルタリング装置は、クライアント端末から受信した通信パケットのヘッダ解析を行って、通信パケットのヘッダから通信先情報を取得する。そして、フィルタリング装置の制御部は、取得した通信先情報と予め登録されているフィルタルールとを比較し、その通信の可否を決定する。

パケットフィルタリングでは、通信を許可しないＩＰアドレスが予め登録され、通信パケットのヘッダ情報を監視し、通信パケットの宛先のＩＰアドレスが予め登録されたＩＰアドレスと一致した場合、その通信パケットを破棄する。

次に、アプリケーションゲートウェイについて説明する。図８は従来技術のアプリケーションゲートウェイを説明するための図である。

フィルタリング装置のデータベースには、通信内容に基づいた通信の可否のルールである通信内容フィルタルールが予め登録されている。ユーザがクライアント端末を操作してアプリケーションを実行させると、クライアント端末はインターネット通信を行うために通信パケットをフィルタリング装置に送信する。フィルタリング装置は、クライアント端末から受信した通信パケットのペイロード解析を行って、通信パケットから通信内容を取得する。そして、フィルタリング装置の制御部は、取得した通信内容と予め登録されているフィルタルールとを比較し、その通信の可否を決定する。

このようにして、アプリケーションゲートウェイでは、通信パケットのペイロードを解析し、許可すべき通信か否かを判定する。

続いて、ステートフルインスペクションについて説明する。図９は従来技術のステートフルインスペクションを説明するための図である。

フィルタリング装置のデータベースには、フィルタリングの判断基準として、通信先フィルタルールおよびアプリケーション推測ルールが予め登録され、通信履歴が登録される。通信履歴は通信元アプリケーションを特定するための過去の通信に関する履歴の情報である。通信先フィルタルールはアプリケーション毎の通信先フィルタルールである。アプリケーション推測ルールは特定のアプリケーションが指定する通信先や使用ポート通信頻度等の特徴を示す情報である。

ユーザがクライアント端末を操作してアプリケーションを実行させると、クライアント端末はインターネット通信を行うために通信パケットをフィルタリング装置に送信する。フィルタリング装置は、クライアント端末から受信した通信パケットのヘッダ解析を行って、通信パケットから通信元情報および通信先情報を取得する。そして、フィルタリング装置の制御部は、取得した通信元情報および通信先情報と、通信履歴、通信先フィルタルールおよびアプリケーション推測ルールを参照することで、通信元アプリケーションを推測し、アプリケーション毎に通信の可否を決定する。ステートフルインスペクションでは、特定の使用ポートや接続先、挙動の特徴等から通信元アプリケーションを推定している。

"実はこんなに奥の深い「ファイアウォール」"、［ｏｎｌｉｎｅ］、２００４年１１月１９日、アイティメディア株式会社、［２０１４年１月７日検索］、インターネット＜ＵＲＬ：http:// www.itmedia.co.jp/ enterprise/ articles/ 0411/ 19/ news002.html＞

しかし、悪意のあるアプリケーションによる情報流出や、ユーザが意図しない通信先への情報提供等のトラブルが発生している。多くの携帯端末において、アプリケーションの実行に伴う通信を制御する手段がユーザに提供されていない。

パケットフィルタリングは、上記３つの方法のうち最も単純な方法なので、処理に要する負荷が低いが、通信先単位で一律の判断であるためユーザの判断や意図を反映させることができない。

アプリケーションゲートウェイは、処理に要する負荷が大きいという問題がある。ＨＴＴＰＳ（ＨＴＴＰ（Hyper Text Transfer Protocol）ｏｖｅｒＳＳＬ（Secure Sockets Layer）／ＴＬＳ（Transport Layer Security））等の暗号化通信に対応しようとすると、さらに大きな負荷がかかる。

ステートフルインスペクションは、使用ポートや通信先に特徴のある一部のアプリケーション以外への対応は困難である。また、誤検知や見逃し等の可能性が存在する。

本発明は上述したような技術が有する問題点を解決するためになされたものであり、アプリケーションの実行に伴う通信に対してユーザによる通信制御を可能にした通信システム、フィルタリング装置、フィルタリング方法およびプログラムを提供することを目的とする。

上記目的を達成するための本発明の通信システムは、
ユーザによって設定された、アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるクライアント側フィルタルールを第１のネットワークを介して送信する通信端末と、
前記第１のネットワークに設定された、前記アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるネットワーク側フィルタルールを記憶する記憶部と、前記第１のネットワークを介して前記通信端末から受信する前記クライアント側フィルタルールを前記記憶部に格納し、前記第１のネットワークとは異なる第２のネットワークに送信される通信パケットを前記通信端末から受信すると、前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールに基づいて、該通信パケットの前記第２のネットワークへの送信を許可するか否かを判定する制御部とを含むフィルタリング装置と、
を有する構成である。

また、本発明のフィルタリング装置は、通信端末と第１のネットワークを介して接続されるフィルタリング装置であって、
前記第１のネットワークに設定された、アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるネットワーク側フィルタルールを記憶する記憶部と、
前記通信端末のユーザによって設定された、前記アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるクライアント側フィルタルールを前記第１のネットワークを介して前記通信端末から受信すると、該クライアント側フィルタルールを前記記憶部に格納し、前記第１のネットワークとは異なる第２のネットワークに送信される通信パケットを前記通信端末から受信すると、前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールに基づいて、該通信パケットの前記第２のネットワークへの送信を許可するか否かを判定する制御部と、
を有する構成である。

また、本発明のフィルタリング方法は、第１のネットワークを介して相互に通信可能に接続される通信端末およびフィルタリング装置を有する通信システムによるフィルタリング方法であって、
前記通信端末が、ユーザによって設定された、アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるクライアント側フィルタルールを前記第１のネットワークを介して前記フィルタリング装置に送信し、
前記フィルタリング装置が、前記第１のネットワークに設定された、前記アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるネットワーク側フィルタルールを自装置の記憶部に格納し、
前記フィルタリング装置が、前記第１のネットワークを介して前記通信端末から受信する前記クライアント側フィルタルールを前記記憶部に格納し、
前記通信端末が、前記第１のネットワークとは異なる第２のネットワークに送信するための通信パケットを前記フィルタリング装置に送信し、
前記フィルタリング装置が、前記通信パケットを前記通信端末から受信すると、前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールに基づいて、該通信パケットの前記第２のネットワークへの送信を許可するか否かを判定するものである。

また、本発明のフィルタリング方法は、通信端末と第１のネットワークを介して接続されるフィルタリング装置によるフィルタリング方法であって、
前記第１のネットワークに設定された、アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるネットワーク側フィルタルールを自装置の記憶部に格納し、
前記通信端末のユーザによって設定された、前記アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるクライアント側フィルタルールを前記第１のネットワークを介して前記通信端末から受信すると、該クライアント側フィルタルールを前記記憶部に格納し、
前記第１のネットワークとは異なる第２のネットワークに送信される通信パケットを前記通信端末から受信すると、前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールに基づいて、該通信パケットの前記第２のネットワークへの送信を許可するか否かを判定するものである。

さらに、本発明のプログラムは、通信端末と第１のネットワークを介して接続されるコンピュータに、
前記第１のネットワークに設定された、アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるネットワーク側フィルタルールを記憶部に格納する手順と、
前記通信端末のユーザによって設定された、前記アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるクライアント側フィルタルールを前記第１のネットワークを介して前記通信端末から受信すると、該クライアント側フィルタルールを前記記憶部に格納する手順と、
前記第１のネットワークとは異なる第２のネットワークに送信される通信パケットを前記通信端末から受信すると、前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールに基づいて、該通信パケットの前記第２のネットワークへの送信を許可するか否かを判定する手順を実行させるものである。

本発明によれば、ユーザの意図しない、悪意のあるアプリケーションの通信による情報流出を防ぐことができる。

本実施形態の通信システムの一構成例を示すブロック図である。本実施形態のクライアント端末の一構成例を示すブロック図である。本実施形態のフィルタリング装置の一構成例を示すブロック図である。本実施形態の通信システムの動作の概要を説明するための図である。クライアント端末およびフィルタリング装置のそれぞれの動作を説明するための図である。本実施形態の通信システムの動作手順を示すシーケンス図である。従来技術のパケットフィルタリングを説明するための図である。従来技術のアプリケーションゲートウェイを説明するための図である。従来技術のステートフルインスペクションを説明するための図である。

本実施形態の通信システムの構成を説明する。図１は本実施形態の通信システムの一構成例を示すブロック図である。

本実施形態の通信システムは、クライアント端末１０と、クライアント端末１０からの通信をフィルタするフィルタリング装置２０とを有する。クライアント端末１０とフィルタリング装置２０はプライベートネットワーク（ＰＮ）１００で接続される。ＰＮ１００はローカルネットワーク内またはＶＰＮ（Virtual Private Network）接続等により通信経路上でＩＰアドレスが変更されない通信路である。

フィルタリング装置２０は、ＰＮ１００と外部ネットワークとの間に設けられ、ＰＮ１００に接続される端末から機密情報が外部ネットワークに流出することを防ぐファイアウォールとしての役目を果たす。本実施形態では、図１に示すように、外部ネットワークがインターネット２００の場合で説明する。

クライアント端末１０はユーザが種々の一般的なアプリケーションを実行させるための通信端末である。クライアント端末１０はＰＮ１００と基地局（不図示）を介して無線で通信する携帯端末であってもよい。

本実施形態の通信システムは、ネットワーク上の通信装置とクライアント端末内のアプリケーションとの連携によって通信フィルタリングを行うものである。以下に、クライアント端末１０とフィルタリング装置２０の構成について詳しく説明する。

はじめに、図１に示したクライアント端末１０の構成について説明する。図２は本実施形態のクライアント端末の一構成例を示すブロック図である。

クライアント端末１０は、端末記憶部１３と、端末制御部１５とを有する。

端末記憶部１３は、一般のアプリケーションと、フィルタ用クライアント側アプリケーションとを記憶する。フィルタ用クライアント側アプリケーションは、ネットワーク側のフィルタリング装置２０と連携して本実施形態の通信フィルタリング処理を実行するための端末側アプリケーションである。

また、端末記憶部１３には、ユーザによって設定されるフィルタルールであるクライアント側フィルタルールが格納される。クライアント側フィルタルールは、ユーザによって設定された、アプリケーション毎の通信の許可または拒否を示す通信先の情報を含むフィルタルールである。このようにして、アプリケーション毎に個々の通信先に対して通信の可否を設定することが可能である。

一般のアプリケーションは予め端末記憶部１３に格納されていてもよく、ユーザがクライアント端末１０を操作してインターネット２００を介してＡＳＰ（Application Service Provider）等のサーバ（不図示）からクライアント端末１０にダウンロードしてもよい。図２は、一般のアプリケーションとして、アプリケーションＡ〜アプリケーションＣの３種類のアプリケーションが端末記憶部１３に格納されている場合を示す。この図に示す例の場合、例えば、アプリケーションＡで指定される通信先への通信を許可するが、アプリケーションＣで指定される通信先への通信は拒否するフィルタルールがクライアント側フィルタルールに登録されている。この場合、具体的には、クライアント側フィルタルールには、アプリケーションＡとその通信先および通信の「許可」の情報が登録され、アプリケーションＣとその通信先および通信の「拒否」の情報が登録されている。

端末制御部１５は、端末記憶部１３から読み出されたアプリケーションを記憶するメモリ（不図示）と、メモリが記憶するアプリケーションを実行するＣＰＵ（Central Processing Unit）（不図示）とを有する。

端末制御部１５は、フィルタ用クライアント側アプリケーションを実行することで、次のように動作して、フィルタリング装置２０と連携して通信フィルタリングを行う。端末制御部１５は、端末記憶部１３に格納されているクライアント側フィルタルールをフィルタリング装置２０に送信する。また、端末制御部１５は、自端末のＩＰアドレスおよび自端末で実行されるアプリケーションが使用するポートの情報を含むソケット情報をフィルタリング装置２０に送信する。さらに、端末制御部１５は、自端末の状況をリアルタイムにフィルタリング装置２０に通知するために、自端末を一定時間間隔で監視し、クライアント側フィルタルールおよびソケット情報のいずれかが変更されると、変更後の情報をフィルタリング装置２０に送信する。

ユーザによってクライアント端末１０に初期設定で入力されるクライアント側フィルタルールだけでなく、既に設定されたフィルタルールに対する、ユーザによる追加および変更等の更新情報を、以下では「フィルタ情報」と総称する。

また、端末制御部１５は、ユーザによる、一般のアプリケーションの起動の指示が入力されると、対象となるアプリケーションを端末記憶部１３から読み出して実行し、そのアプリケーションで指定された通信先を宛先に設定した通信パケットをフィルタリング装置２０に送信する。

なお、フィルタ用クライアント側アプリケーションを端末制御部１５が実行するトリガは、ユーザによる、一般のアプリケーションの起動の指示であってもよく、フィルタルールの初期設定またはフィルタルールの追加もしくは変更の指示であってもよい。

次に、図１に示したフィルタリング装置２０の構成について説明する。図３は本実施形態のフィルタリング装置の一構成例を示すブロック図である。

フィルタリング装置２０は、パケットヘッダ解析部２１と、記憶部２３と、制御部２５と、通信部２７とを有する。

記憶部２３には、フィルタ用ネットワーク側アプリケーションおよびネットワーク側フィルタルールが予め格納されている。フィルタ用ネットワーク側アプリケーションは、クライアント端末側のフィルタ用クライアント側アプリケーションと連携して本実施形態の通信フィルタリング処理を実行するためのネットワーク側アプリケーションである。

ネットワーク側フィルタルールは、プライベートネットワーク側で設定された、アプリケーション毎の通信の許可または拒否を示す通信先の情報を含むフィルタルールである。ネットワーク側フィルタルールは、例えば、ネットワーク管理者によって設定される。

また、記憶部２３には、クライアント端末１０から受信するソケット情報およびフィルタ情報が格納される。ＰＮ１００に接続されるクライアント端末１０が複数ある場合には、クライアント端末１０毎に異なるＩＰアドレスを識別子として、端末毎にクライアント側フィルタルールおよびソケット情報が登録される。

パケットヘッダ解析部２１は、通信パケットのヘッダから通信元情報および通信先情報を取得し、取得した通信元情報および通信先情報を制御部２５に通知するとともに、通信パケットを通信部２７に渡す。通信元情報は、クライアント端末１０を特定するための通信元ＩＰアドレスと、クライアント端末１０で実行されているアプリケーションのポートの情報を含む情報である。通信先情報は、通信パケットの通信先を示す通信先ＩＰアドレスを含む情報である。

また、パケットヘッダ解析部２１は、通信パケットのヘッダから取得した通信元情報および通信先情報と記憶部２３に格納されたソケット情報とを参照して通信パケットをアプリケーション毎に分類し、その情報を制御部２５に通知する。この場合、クライアント端末１０で複数のアプリケーションが同時に実行されていても、制御部２５は、アプリケーションに対応して分類された通信パケットのグループ毎に通信許否の判定を行うことが可能となる。

制御部２５は、記憶部２３から読み出されたアプリケーションを記憶するメモリ（不図示）と、メモリが記憶するアプリケーションを実行するＣＰＵ（不図示）とを有する。

制御部２５は、フィルタ用ネットワーク側アプリケーションを実行することで、次のように動作する。制御部２５は、クライアント端末１０から受信するソケット情報およびフィルタ情報を記憶部２３に格納する。また、制御部２５は、パケットヘッダ解析部２１から受け取る通信元情報および通信先情報を受け取ると、クライアント端末から受信した通信パケットの送信を許可するか否かについて、クライアント側フィルタルールおよびネットワーク側フィルタルールしたがって判定し、許可しないと判定した通信パケットを破棄するように通信部２７に指示し、許可すると判定した通信パケットをインターネット２００を介して送信するように通信部２７に指示する。

なお、フィルタルールに優先順位が設定されていてもよい。例えば、ネットワーク側フィルタルールが優先フィルタルールに予め設定され、あるアプリケーションに対する許可／拒否について、クライアント側フィルタルールとネットワーク側フィルタルールとで異なっている場合、ネットワーク側フィルタルールが優先される。

また、本実施形態では、クライアント端末１０からインターネット２００への通信に関するフィルタリングについて説明するために、図３では、通信パケットの送信方向がＰＮ１００からインターネット２００への一方向の矢印で示しているが、インターネット２００からクライアント端末１０への通信フィルタリングを、クライアント側およびネットワーク側の２種類のフィルタルールにしたがって行うようにしてもよい。

また、制御部２５は、クライアント端末１０から受信した通信パケットに関して、クライアント側フィルタルールおよびネットワーク側フィルタルールのいずれにも定義されていない場合、通信を許可するか否かを問い合わせるメッセージをクライアント端末１０に送信してユーザに問い合わせるか、そのメッセージを表示部（不図示）に表示してネットワーク管理者に問い合わせてもよい。ユーザまたはネットワーク管理者からの回答があれば、制御部２５は、その回答内容を記憶部２３に登録されたフィルタルールに反映させることで、新規のアプリケーションに関するフィルタルールを追加することが可能となる。

また、本実施形態では、制御部２５が通信部２７を通信制御する場合で説明したが、通信部２７の機能を制御部２５が備えていてもよい。また、ＰＮ１００に複数のクライアント端末が接続されている場合には、記憶部２３に格納される２つのフィルタルールをクライアント端末毎に異なるＩＰアドレスで区別して管理するようにしてもよい。さらに、記憶部２３に格納されるフィルタルールの容量が膨大になる場合には、記憶部２３をデータベース化してもよい。

次に、本実施形態の通信システムの動作を説明する。図４は本実施形態の通信システムの動作の概要を説明するための図である。

本実施形態の通信システムでは、クライアント端末１０とフィルタリング装置２０の連携で通信フィルタが構成される。上述したように、フィルタ用クライアント側アプリケーションおよびネットワーク側フィルタリング装置の双方でフィルタ設定が可能である。フィルタリング後許可された通信のみインターネット２００に送信される。

本実施形態の通信システムの動作を、図５および図６を参照して説明する。図５はクライアント端末およびフィルタリング装置のそれぞれの動作を説明するための図である。図６は本実施形態の通信システムの動作手順を示すシーケンス図である。

図５および図６では、説明のために、ソフトウェアを動作の主体にし、また、一部のハードウェアの構成およびその符号を図に示すことを省略している。

フィルタ用クライアント側アプリケーションは、実行される一般アプリケーションと、保持しているソケット情報と、クライアント側フィルタルールとを取得し、ソケット情報とフィルタ情報をフィルタリング装置２０に送信する。

制御部２５はクライアント端末１０から受け取るソケット情報とフィルタ情報を記憶部２３に格納する。フィルタ情報がクライアント側フィルタルールの更新情報である場合には、制御部２５は、既に記憶部２３に格納されているクライアント側フィルタルールを更新情報にしたがって変更する。

クライアント端末１０は、ユーザの指示によりアプリケーションを実行することで、その実行に伴って生成した通信パケットをフィルタリング装置２０に送信する。図５に示す例では、クライアント端末１０は、アプリケーションＡとアプリケーションＣを実行している。

パケットヘッダ解析部２１は、クライアント端末１０から通信パケットを受信すると、そのヘッダから通信元情報および通信先情報を取得し、ソケット情報を参照して、アプリケーション毎に通信を分類する。

制御部２５は、パケットヘッダ解析部２１から受け取る通信元情報および通信先情報を用いて、パケットヘッダ解析部２１が分類したアプリケーション毎に、クライアント側フィルタルールとネットワーク側フィルタルールのそれぞれのルールにしたがっているか否かを判定する。そして、制御部２５は、これら２つのルールにしたがっている通信パケットのみを通信部２７を介してインターネット２００に送信する。

なお、２つのフィルタルールに矛盾がある場合、制御部２５は、優先フィルタルールにしたがって判定する。図５はネットワーク側フィルタルールが優先フィルタルールの場合を示す。

また、図６では、一般アプリケーションの通信開始後にフィルタ情報がクライアント端末１０からフィルタリング装置２０に送信されるように示されているが、フィルタ情報の送信が先であってもよく、その手順は図６に示す場合に限定されない。

本実施形態では、クライアント端末と、端末と同一ネットワーク上のフィルタリング装置との連携によって、通信フィルタリングが実行される構成である。ネットワーク管理者によるフィルタ設定だけでなく、クライアント端末を利用しているユーザによるフィルタ設定が可能である。そのため、個々のクライアント端末に対して、アプリケーション毎の通信先によって通信を許可するか否かを端末利用者およびネットワーク管理者の双方での制御が可能となる。その結果、悪意のあるアプリケーションによる情報流出やアプリケーション毎にユーザの意図しない通信の発生を防ぐことが可能となる。

また、通信先ＩＰアドレス毎のフィルタリングだけでなく、通信元アプリケーション毎のフィルタリングが可能である。

さらに、クライアント側とネットワーク側のそれぞれでフィルタルールを設定可能にすることで、ユーザは個々のアプリケーションに対して通信先毎に自分の判断を反映させることができ、ネットワーク管理者は、アプリケーションまたは通信先の限定や、特定アプリケーションによる必須通信等を端末に対して運用ポリシーを適用することができる。

従来技術のパケットフィルタリングでは、通信先単位で一律の判断であるためユーザの判断や意図の反映が不可能であるが、本実施形態では、個々のアプリケーション毎に許可する通信先をユーザがクライアント端末を介してフィルタリング装置に設定可能にし、通信元アプリケーションをフィルタリング装置で判別可能にしている。

また、アプリケーションゲートウェイでは処理に要する負荷が大きいという問題があるが、本実施形態では、通信パケットのペイロードの再構築や解析等が不要なため負荷が小さい上、暗号化通信への特別な対策も不要である。

また、ステートフルインスペクションでは、使用ポートや通信先に特徴のある一部のアプリケーション以外への対応は困難であり、誤検知や見逃し等の可能性が存在するという問題があるが、本実施形態では、端末とネットワーク上の通信装置（フィルタリング装置）が連携するシステムであるため、誤検知や見逃し等は発生せず、全てのアプリケーションに対応可能である。

本実施形態のフィルタリング方法をコンピュータに実行させてもよく、その方法をコンピュータに実行させるためのプログラムを記録媒体に記録して提供してもよく、そのプログラムをインターネット等のネットワークを介して他の情報処理装置に提供してもよい。

１０クライアント端末
１３端末記憶部
１５端末制御部
２０フィルタリング装置
２１パケットヘッダ解析部
２３記憶部
２５制御部

Claims

ユーザによって設定された、アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるクライアント側フィルタルールを第１のネットワークを介して送信する通信端末と、
前記第１のネットワークに設定された、前記アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるネットワーク側フィルタルールを記憶する記憶部と、前記第１のネットワークを介して前記通信端末から受信する前記クライアント側フィルタルールを前記記憶部に格納し、前記第１のネットワークとは異なる第２のネットワークに送信される通信パケットを前記通信端末から受信すると、前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールに基づいて、該通信パケットの前記第２のネットワークへの送信を許可するか否かを判定し、前記通信端末から受信した通信パケットに関して、前記クライアント側フィルタルールおよび前記ネットワーク側フィルタルールのいずれにも定義されていない場合、通信を許可するか否かを前記通信端末またはネットワーク管理者に問い合わせ、該問い合わせに対する回答内容を前記記憶部のフィルタルールに反映する制御部とを含むフィルタリング装置と、
を有する通信システム。
通信端末と第１のネットワークを介して接続されるフィルタリング装置であって、
前記第１のネットワークに設定された、アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるネットワーク側フィルタルールを記憶する記憶部と、
前記通信端末のユーザによって設定された、前記アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるクライアント側フィルタルールを前記第１のネットワークを介して前記通信端末から受信すると、該クライアント側フィルタルールを前記記憶部に格納し、前記第１のネットワークとは異なる第２のネットワークに送信される通信パケットを前記通信端末から受信すると、前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールに基づいて、該通信パケットの前記第２のネットワークへの送信を許可するか否かを判定し、前記通信端末から受信した通信パケットに関して、前記クライアント側フィルタルールおよび前記ネットワーク側フィルタルールのいずれにも定義されていない場合、通信を許可するか否かを前記通信端末またはネットワーク管理者に問い合わせ、該問い合わせに対する回答内容を前記記憶部のフィルタルールに反映する制御部と、
を有するフィルタリング装置。
請求項２記載のフィルタリング装置において、
前記通信端末から受信する前記通信パケットのヘッダから通信元情報および通信先情報を取得して前記制御部に通知するパケットヘッダ解析部をさらに有し、
前記制御部は、前記パケットヘッダ解析部から通知される前記通信元情報および通信先情報を用いて、前記通信パケットの前記第２のネットワークへの送信を許可するか否かを前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールにしたがって判定する、フィルタリング装置。
請求項３記載のフィルタリング装置において、
前記制御部は、前記通信端末を特定するための通信元アドレスおよび該通信端末で実行されているアプリケーションソフトウェアプログラムで使用されるポートの情報を含むソケット情報を前記通信端末から受信すると、該ソケット情報を前記記憶部に格納し、
前記パケットヘッダ解析部は、前記通信元情報および通信先情報と前記ソケット情報とを参照して、前記通信パケットをアプリケーションソフトウェアプログラム毎に分類する、フィルタリング装置。
請求項２記載のフィルタリング装置において、
前記制御部は、前記ネットワーク側フィルタルールと前記クライアント側フィルタルールとで判定内容が異なっている場合、前記ネットワーク側フィルタルールと前記クライアント側フィルタルールとのうち、予め設定された優先順位が高い方のフィルタルールにしたがって判定を行う、フィルタリング装置。
請求項５記載のフィルタリング装置において、
前記ネットワーク側フィルタルールは、前記クライアント側フィルタルールよりも前記優先順位が高い、フィルタリング装置。
第１のネットワークを介して相互に通信可能に接続される通信端末およびフィルタリング装置を有する通信システムによるフィルタリング方法であって、
前記通信端末が、ユーザによって設定された、アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるクライアント側フィルタルールを前記第１のネットワークを介して前記フィルタリング装置に送信し、
前記フィルタリング装置が、前記第１のネットワークに設定された、前記アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるネットワーク側フィルタルールを自装置の記憶部に格納し、
前記フィルタリング装置が、前記第１のネットワークを介して前記通信端末から受信する前記クライアント側フィルタルールを前記記憶部に格納し、
前記通信端末が、前記第１のネットワークとは異なる第２のネットワークに送信するための通信パケットを前記フィルタリング装置に送信し、
前記フィルタリング装置が、前記通信パケットを前記通信端末から受信すると、前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールに基づいて、該通信パケットの前記第２のネットワークへの送信を許可するか否かを判定し、前記通信端末から受信した通信パケットに関して、前記クライアント側フィルタルールおよび前記ネットワーク側フィルタルールのいずれにも定義されていない場合、通信を許可するか否かを前記通信端末またはネットワーク管理者に問い合わせ、該問い合わせに対する回答内容を前記記憶部のフィルタルールに反映する、フィルタリング方法。
通信端末と第１のネットワークを介して接続されるフィルタリング装置によるフィルタリング方法であって、
前記第１のネットワークに設定された、アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるネットワーク側フィルタルールを自装置の記憶部に格納し、
前記通信端末のユーザによって設定された、前記アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるクライアント側フィルタルールを前記第１のネットワークを介して前記通信端末から受信すると、該クライアント側フィルタルールを前記記憶部に格納し、
前記第１のネットワークとは異なる第２のネットワークに送信される通信パケットを前記通信端末から受信すると、前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールに基づいて、該通信パケットの前記第２のネットワークへの送信を許可するか否かを判定し、前記通信端末から受信した通信パケットに関して、前記クライアント側フィルタルールおよび前記ネットワーク側フィルタルールのいずれにも定義されていない場合、通信を許可するか否かを前記通信端末またはネットワーク管理者に問い合わせ、該問い合わせに対する回答内容を前記記憶部のフィルタルールに反映する、フィルタリング方法。
通信端末と第１のネットワークを介して接続されるコンピュータに、
前記第１のネットワークに設定された、アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるネットワーク側フィルタルールを記憶部に格納する手順と、
前記通信端末のユーザによって設定された、前記アプリケーションソフトウェアプログラム毎の通信先のフィルタルールであるクライアント側フィルタルールを前記第１のネットワークを介して前記通信端末から受信すると、該クライアント側フィルタルールを前記記憶部に格納する手順と、
前記第１のネットワークとは異なる第２のネットワークに送信される通信パケットを前記通信端末から受信すると、前記ネットワーク側フィルタルールおよび前記クライアント側フィルタルールに基づいて、該通信パケットの前記第２のネットワークへの送信を許可するか否かを判定し、前記通信端末から受信した通信パケットに関して、前記クライアント側フィルタルールおよび前記ネットワーク側フィルタルールのいずれにも定義されていない場合、通信を許可するか否かを前記通信端末またはネットワーク管理者に問い合わせ、該問い合わせに対する回答内容を前記記憶部のフィルタルールに反映する手順を実行させるためのプログラム。