JP6472762B2 - パケットフィルタリング装置 - Google Patents

Description

本発明は、内部ネットワークに接続された端末装置と外部ネットワークに接続された外部装置との間における通信パケットの通過の可否を制御するパケットフィルタリング装置に関する。

従来から、ネットワークに接続されたコンピュータ相互間におけるパケット通信を制限するパケットフィルタリング装置（レイヤ３のファイアウォール）が知られている（特許文献１参照）。従来のパケットフィルタリング装置は、例えば、通過を許可（または不許可）するパケットのＩＰアドレス、プロトコル、ポート番号などの条件（フィルタリング条件）を予め記憶しておき、パケットフィルタリング装置を通過するパケットのヘッダ部に含まれるＩＰアドレス、プロトコル、ポート番号などがこの条件に合致しているか否かによって、パケットの通過の可否を制御する。このようなレイヤ３のファイアウォールは、それ以上のレイヤの情報を参照するファイアウォールに比べて、処理がシンプルであるため高速処理が可能である。

特開２００２−２６１７８８号公報

しかしながら、従来のパケットフィルタリング装置では、パケットの通過の可否を定める条件（フィルタリング条件）がＩＰアドレス、ポート番号、プロトコルなどで記述されており、管理者が条件を見ただけでは、フィルタリング条件の内容を把握することが困難であった。特に、フィルタリング条件に含まれるＩＰアドレスが、管理者の管理下にないグローバルＩＰアドレスで記述される場合、そのグローバルＩＰアドレスを見ただけでは、誰の管理下にある外部装置（サーバなど）であるのかを管理者が認識することが困難であった。そのため、フィルタリング条件を管理するのに手間がかかり、管理上の負担が大きくなるという問題があった。

本発明は、上記の課題に鑑みてなされたもので、フィルタリング条件を容易に管理することができ、管理上の負担を軽減することのできるパケットフィルタリング装置を提供することを目的とする。

本発明のパケットフィルタリング装置は、内部ネットワークに接続された端末装置と外部ネットワークに接続された外部装置との間における通信パケットの通過可否を制御するパケットフィルタリング装置であって、前記内部ネットワークに接続されたＤＮＳサーバから前記端末装置へのＤＮＳ応答を傍受するＤＮＳ応答傍受部と、前記制御の対象となる外部装置のホスト名を識別できる条件を含む条件情報と、当該外部装置のＩＰアドレスを含むＩＰアドレス情報とを記憶する記憶部と、前記ＤＮＳ応答から抽出したホスト名が前記条件情報の条件を満たしている場合に、当該ホスト名に対応する回答ＩＰアドレスを当該ＤＮＳ応答から抽出して当該回答ＩＰアドレスを用いて前記ＩＰアドレス情報を更新するＩＰアドレス更新部と、前記端末装置と前記外部装置との間で送受される通信パケットのＩＰアドレスが前記ＩＰアドレス情報に含まれるか否かに基づいて、当該通信パケットの通過可否を制御する通信制御部と、を備えている。

この構成により、傍受したＤＮＳ（Domain Name System）応答から抽出したホスト名が、予め記憶した条件情報（フィルタリング条件）の条件を満たしているか否かに基づいて、そのホスト名の外部装置との間で送受される通信パケットの通過の可否が制御される。ここで「通信パケットの通過の可否を制御」とは、端末装置と外部装置との間における通信パケットの通過を許可したり、通過を禁止したりする制御をいう。また、条件情報は、ホスト名を識別できる条件が記された情報である。例えば、条件情報は、ホスト名そのものやＦＱＤＮ（Fully Qualified Domain Name）、あるいは、正規表現・ワイルドカードなどのホスト名を識別できるパターン条件を記した情報である。したがって、管理者はＩＰアドレスといった数値列からなるフィルタリング条件ではなく、人が内容を容易に認識することができる条件情報を用いて管理できるため、管理上の負担を軽減することが可能になる。

また、本発明のパケットフィルタリング装置では、前記条件情報は、前記端末装置との通信が許可された前記外部装置のホスト名を識別できる条件を含み、前記ＩＰアドレス更新部は、前記ＤＮＳ応答から抽出したホスト名が前記条件情報の条件を満たしている場合に、当該ホスト名に対応する回答ＩＰアドレスを当該ＤＮＳ応答から抽出して当該回答ＩＰアドレスを前記ＩＰアドレス情報に追加するよう更新し、前記通信制御部は、前記端末装置と前記外部装置との間で送受される通信パケットのＩＰアドレスが前記ＩＰアドレス情報に含まれる場合に、当該通信パケットの通過を許可してもよい。

この構成により、信頼できる外部装置であるとして通信が許可された外部装置のホスト名を識別できる条件が条件情報に含まれており、傍受したＤＮＳ応答から抽出したホスト名が条件情報を満たしていると、そのＤＮＳ応答に基づいてＩＰアドレス情報が更新される。そして、このＩＰアドレス情報に基づいて、通信パケットの通過許可が制御される。これにより、信頼できる外部装置との間の通信パケットのみを適切に通過させることができる。

また、本発明のパケットフィルタリング装置では、前記記憶部は、前記端末装置との通信が禁止された前記外部装置のホスト名を識別できる条件を含む禁止条件情報を更に記憶し、前記ＩＰアドレス更新部は、傍受した前記ＤＮＳ応答から抽出したホスト名が前記禁止条件情報の条件を満たしている場合に、当該ＤＮＳ応答に含まれる回答ＩＰアドレスを前記ＩＰアドレス情報から削除してもよい。

この構成により、信頼できない外部装置（例えば悪意ある処理を行うサーバ）であるとして、管理者などによって禁止条件情報が設定された場合、傍受したＤＮＳ応答から抽出したホスト名が禁止条件情報に含まれていると、そのＤＮＳ応答に基づいてＩＰアドレス情報から削除される。そして、このＩＰアドレス情報に基づいて通信パケットの通過可否が制御される。これにより、たとえ過去に信頼できる外部装置としてそのホスト名が条件情報に登録され、そしてＩＰアドレス情報に当該外部装置のＩＰアドレスが登録されていたとしても、禁止条件情報に基づいてＩＰアドレス情報を適切に更新できる。したがって、信頼できない外部装置への通信パケットの通過を適切に禁止することができる。

また、本発明のパケットフィルタリング装置では、前記記憶部は、前記ＩＰアドレス情報と前記条件情報とを対応付けて記憶し、前記ＩＰアドレス更新部は、傍受した前記ＤＮＳ応答から抽出したホスト名が前記条件情報の条件を満たしている場合に、当該ホスト名に対応付けられている前記ＩＰアドレス情報のＩＰアドレスを更新してもよい。

この構成により、外部装置のホスト名とＩＰアドレスとの対応付けがダイナミックＤＮＳなどによって動的に変更されるような場合であっても、変更後の最新の対応付けに基づいてＩＰアドレス情報も更新されるため、最新の対応付けに基づいてパケットの通過可否の判定を行うことができる。したがって、外部装置のホスト名と対応づいた変更前の古いＩＰアドレスに基づいて誤ってパケットを通過（あるいは非通過）させるのを適切に防ぐことができる。

また、本発明のパケットフィルタリング装置では、前記記憶部は、前記端末装置のＩＰアドレスである端末ＩＰアドレスと前記ＩＰアドレス情報とを対応付けて記憶し、前記ＩＰアドレス更新部は、傍受した前記ＤＮＳ応答から抽出したホスト名が前記条件情報の条件を満たしている場合に、当該ＤＮＳ応答の送信先のＩＰアドレスと等しい前記端末ＩＰアドレスに対応付けられている前記ＩＰアドレス情報を更新してもよい。

この構成により、パケットフィルタリング装置は、ＤＮＳサーバとの間で送受したＤＮＳ応答を傍受して、傍受したＤＮＳ応答に基づいて、端末装置ごとにＩＰアドレス情報を更新する。したがって、外部装置のホスト名とＩＰアドレスとの対応付けを、端末装置ごとに管理することができ、端末装置がＤＮＳ応答から得たＩＰアドレスとホスト名との対応付けを正確に管理することができる。したがって、端末装置から外部装置へのアクセスがＤＮＳ応答に基づいたアクセスなのか否かを判断することができる。

本発明によれば、フィルタリング条件を容易に管理することができ、管理上の負担を軽減することができる。

本発明の実施の形態におけるネットワークシステムの概略構成図である。 本発明の実施の形態におけるパケットフィルタリング装置のブロック図である。 本発明の実施の形態における条件情報、ＩＰアドレス情報、禁止条件情報、禁止ＩＰアドレス情報の一例を示す図である。 本発明の実施の形態における条件情報とＩＰアドレス情報の対応付けの一例を示す図である。 本発明の実施の形態における端末ＩＰアドレスとＩＰアドレス情報の対応付けの一例を示す図である。 本発明の実施の形態におけるパケットフィルタリング装置の動作を示すフロー図である。 本発明の実施の形態におけるＩＰアドレス情報更新処理の流れを示すフロー図である。 本発明の実施の形態におけるパケットフィルタリング装置のＤＮＳ応答に基づいてＩＰアドレス情報を更新しフィルタリング制御する時の処理の流れを説明するシーケンス図である。 本発明の実施の形態におけるパケットフィルタリング装置のＳＳＬ（Secure Socket Layer）／ＴＬＳ（Transport Layer Security）通信に基づいてＩＰアドレス情報を更新しフィルタリング制御する時の処理の流れを説明するシーケンス図である。

以下、本発明の実施の形態のパケットフィルタリング装置について、図面を用いて説明する。本実施の形態では、ネットワークに接続されたコンピュータ相互間におけるパケット通信を制限するファイアウォール等に用いられるパケットフィルタリング装置の場合を例示する。

本発明の実施の形態のパケットフィルタリング装置の構成を、図面を参照して説明する。図１は、本実施の形態のパケットフィルタリング装置が適用されるネットワークシステムの概略構成を示す図である。図１に示すように、ネットワークシステム１は、内部ネットワーク２に接続されている端末装置３（例えば端末装置Ｘ、Ｙ、Ｚ）、パケットフィルタリング装置４（ファイアウォール）、ＤＮＳサーバ５と、外部ネットワーク６に接続されている外部装置７（例えば外部装置Ａ、Ｂ、Ｃ）を備えている。なお、パケットフィルタリング装置４は、ＤＮＳサーバ５から端末装置３へのＤＮＳ応答を傍受可能な内部ネットワーク上の位置に接続されているものとする。端末装置３や外部装置７は、例えばパーソナルコンピュータなどであり、パケットフィルタリング装置４は、端末装置３と外部装置７との間における通信パケットの通過をフィルタリングする機能を備えている。

図２は、パケットフィルタリング装置４の構成を示すブロック図である。図２に示すように、パケットフィルタリング装置４は、通信部４０、入力部４１、出力部４２、記憶部４３、制御部４４を備えている。

通信部４０は、内部ネットワーク２を介して端末装置３やＤＮＳサーバ５と通信する機能を備えている。また、通信部４０は、外部ネットワーク６を介して外部装置７と通信する機能を備えている。入力部４１は、各種のデータ等を入力するためのインターフェースであり、例えば、キーボードやマウス、タッチパネル、可搬記憶媒体の読み取り装置等の情報入力デバイスが相当する。出力部４２は、各種のデータ等を出力するためのインターフェースであり、ディスプレイや可搬記憶媒体の記憶装置等の情報出力デバイスが相当する。

記憶部４３には、条件情報４３０、ＩＰアドレス情報４３１、禁止条件情報４３２、禁止ＩＰアドレス情報４３３などが記憶される。

図３には、条件情報４３０、ＩＰアドレス情報４３１、禁止条件情報４３２、禁止ＩＰアドレス情報４３３の一例が示される。図３に示すように、条件情報４３０は、フィルタリング制御の対象（通信の制御対象）となる外部装置７のホスト名（例えば、ホストＡ、ホストＢ、ホストＣなど）を含んでいる。また、条件情報４３０は、外部装置７のホスト名やＦＱＤＮが直接的に記述されてもよく、ワイルドカードや正規表現などのマッチングパターンで記述されてもよい。このように条件情報４３０は、外部装置７のホスト名を識別できる条件が記述されていればよい。条件情報４３０は、管理者によって予め設定される。本実施の形態では、条件情報４３０は、端末装置３との通信が許可された外部装置７のホスト名が記述されるホワイトリスト方式とする。しかし、ホワイトリスト方式に限らず、端末装置３との通信を許可しない外部装置７のホスト名が記述されるブラックリスト方式でもよい。

ＩＰアドレス情報４３１は、フィルタリング制御の対象（通信の制御対象）となる通信パケットの宛先ＩＰアドレス（例えば、グローバルＩＰアドレスＡ、グローバルＩＰアドレスＢ、グローバルＩＰアドレスＣ）を含んでいる。ＩＰアドレス情報４３１には、条件情報４３０に合致する外部装置７のＩＰアドレス（グローバルＩＰアドレス）が記述される。ＩＰアドレス情報４３１は、後述するようにＩＰアドレス更新部４４１によって更新され、このＩＰアドレス情報４３１に基づいて、通信パケットの通過可否が判定される。なお、ＩＰアドレス情報４３１は、初期状態ではヌルデータ（情報なし）でもよく、また、予め管理者によって設定されたＩＰアドレスが登録されていてもよい。また、端末装置３からＤＮＳサーバ５への通信パケットはフィルタリング制御の対象外とされる。すなわち、ＩＰアドレス情報４３１にＤＮＳサーバ５のＩＰアドレスは含まれないとしても、端末装置３とＤＮＳサーバ５との間で制限なく通信できるものとする。

禁止条件情報４３２は、端末装置３との通信が禁止される外部装置７のホスト名を識別できる条件を含んでいる。例えば、端末装置３との通信が禁止される外部装置７のホスト名（例えば、ホストＨ、ホストＩ、ホストＪなど）やＦＱＤＮが直接的に記述されてもよく、ワイルドカードや正規表現などのマッチングパターンで記述されてもよい。禁止条件情報４３２は、管理者によって予め設定される。なお、本実施の形態では、禁止条件情報４３２は、ブラックリスト方式で記述されるが、条件情報４３０がブラックリスト方式で記述されている他の実施の形態では、ホワイトリスト方式で記述されてもよい（許可条件情報でもよい）。

禁止ＩＰアドレス情報４３３は、端末装置３との通信が禁止される外部装置７のＩＰアドレス（例えば、グローバルＩＰアドレスＨ、グローバルＩＰアドレスＩ、グローバルＩＰアドレスＪなど）を含んでいる。禁止ＩＰアドレス情報４３３は、管理者によって予め設定される。なお、本実施の形態では、禁止ＩＰアドレス情報４３３は、ブラックリスト方式で記述されるが、ＩＰアドレス情報４３１がブラックリスト方式で記述されている他の実施の形態の場合には、ホワイトリスト方式で記述されてもよい（許可ＩＰアドレス情報でもよい）。

制御部４４は、ＤＮＳ応答に基づいてＩＰアドレス情報４３１を更新しフィルタリング制御を行うための構成として、ＤＮＳ応答傍受部４４０、ＩＰアドレス更新部４４１、通信制御部４４２を備えている。

ＤＮＳ応答傍受部４４０は、内部ネットワーク２に接続されたＤＮＳサーバ５から端末装置３への通信パケットを傍受（例えばスニッフィング）し、傍受した通信パケットの中からＤＮＳ応答を抽出する機能を備えている。すなわち、端末装置３が外部装置７に接続する場合に、パケットフィルタリング装置４を介してＤＮＳサーバ５にＤＮＳ要求を送信する。ＤＮＳサーバ５は、このＤＮＳ要求に対する応答としてＤＮＳ応答をパケットフィルタリング装置４を介して端末装置３に送信する。ＤＮＳ要求には、接続先の外部装置７のホスト名が含まれており、ＤＮＳ応答には、そのホスト名と共にホスト名に対応するＩＰアドレス（回答ＩＰアドレス）が含まれる。ＤＮＳ応答傍受部４４０は、このような回答ＩＰアドレスを含んだＤＮＳ応答を傍受する。

ＩＰアドレス更新部４４１は、ＤＮＳ応答傍受部４４０で傍受したＤＮＳ応答からホスト名や回答ＩＰアドレスを抽出することができ、ＤＮＳ応答から抽出したホスト名が条件情報４３０の条件に合致している場合に、そのＤＮＳ応答に含まれる回答ＩＰアドレス（グローバルＩＰアドレス）を用いてＩＰアドレス情報４３１を更新する。例えば、ＤＮＳ応答から抽出したホスト名「ホストＡ」が条件情報４３０に含まれている場合には、そのＤＮＳ応答に含まれる回答ＩＰアドレス「（ホストＡの）グローバルＩＰアドレスＡ」がＩＰアドレス情報４３１に追加される。

なお、ＤＮＳ応答には、ＣＮＡＭＥ（Canonical Name）タイプのＤＮＳ応答も含まれる。この場合、ホストＡのＩＰアドレスを要求するＤＮＳ要求に対して、ホストＢを参照（ホストＢと同じ）というＤＮＳ応答が返される。このタイプのＤＮＳ応答を受けた端末装置３は、次にホストＢのＩＰアドレスを要求するＤＮＳ要求を送り、その応答として、ホストＢのＩＰアドレス（すなわち、ホストＡのＩＰアドレス）を回答ＩＰアドレスとして受け取る。ＩＰアドレス更新部４４１は、このような一連のＤＮＳ応答（複数のＤＮＳ応答）からホスト名や回答ＩＰアドレスを抽出することができる。

また、ＩＰアドレス更新部４４１は、ＤＮＳ応答傍受部４４０で傍受したＤＮＳ応答から抽出したホスト名が禁止条件情報４３２に含まれている場合には、そのＤＮＳ応答に含まれる回答ＩＰアドレスをＩＰアドレス情報４３１から削除する。例えば、ＤＮＳ応答から抽出したホスト名「ホストＨ」が禁止条件情報４３２に含まれている場合には、そのＤＮＳ応答に含まれる回答ＩＰアドレス「（ホストＨの）グローバルＩＰアドレスＨ」がＩＰアドレス情報４３１から削除される。

通信制御部４４２は、端末装置３から送信された通信パケットの宛先ＩＰアドレスがＩＰアドレス情報４３１に含まれるか否かに基づいて、通信パケットの通過可否を制御するフィルタリング制御を行う。本実施の形態では、通信制御部４４２は、端末装置３から送信された通信パケットの宛先ＩＰアドレスがＩＰアドレス情報４３１に含まれていれば、通信パケットの通過を許可する。一方、端末装置３から送信された通信パケットの宛先ＩＰアドレスがＩＰアドレス情報４３１に含まれていなければ、通信パケットの通過を禁止する。

また、制御部４４は、ＳＳＬ／ＴＬＳ通信に基づいてＩＰアドレス情報４３１を更新しフィルタリング制御するための構成として、接続パケット判定部４４３、接続要求送信部４４４、証明書情報取得部４４５を備えている。

接続パケット判定部４４３は、端末装置３から外部装置７へ送信された通信パケットが、電子証明書を用いたセキュア通信プロトコル（例えば、ＳＳＬ／ＴＬＳ接続）の接続パケットであるか否かを判定する。例えば、その通信パケットのポート番号が「４４３」などの標準的にＴＬＳ接続に割り当てられるポート番号である場合には、ＴＬＳ接続用の接続パケットであると判定する。しかし、これに限らず、少しでも電子証明書を用いたセキュア通信プロトコルの接続用の接続パケットである可能性があるならば、その通信パケットを当該セキュア通信プロトコルの接続パケットと判定してもよい。例えば、ＴＣＰ接続の接続パケットであるならば、ＳＳＬ／ＴＬＳ接続用パケットの可能性があるため、セキュア通信プロトコルの接続パケットと判定してもよい。

接続要求送信部４４４は、接続パケット判定部４４３で電子証明書を用いたセキュア通信プロトコル（ＴＬＳ接続）の接続パケットであると判定された場合に、外部装置７に対して、端末装置３を代理して同じセキュア通信プロトコル（ＴＬＳ接続）を行う接続要求（ＴＬＳ接続要求）を送信する。

証明書情報取得部４４５は、ＴＬＳ接続要求に対する応答として外部装置７から電子証明書を取得する。また、証明書情報取得部４４５は、外部装置７から取得した電子証明書を検証する機能を備えている。例えば、電子証明書の秘密鍵を外部装置７が所持していることが検証できた場合、証明書の有効性が検証できた場合、電子証明書がＥＶＳＳＬ証明書などの信頼できる証明書である場合には、検証結果が適切である（検証条件を満たす）と判定される。

証明書情報取得部４４５が端末装置３を代理して外部装置７から電子証明書を取得した場合、ＩＰアドレス更新部４４１は、取得した電子証明書から抽出したホスト名が条件情報４３０に含まれる条件を満たしていれば、端末装置３が送信したＴＬＳ接続パケットの宛先ＩＰアドレス（すなわち、端末装置３が接続しようとしている外部装置７のグローバルＩＰアドレス）を用いてＩＰアドレス情報４３１を更新する。また、ＩＰアドレス更新部４４１は、証明書情報取得部４４５で取得した電子証明書から抽出したホスト名が禁止条件情報４３２に含まれていれば、端末装置３が送信したＴＬＳ接続パケットの宛先ＩＰアドレスをＩＰアドレス情報４３１から削除する。

なお、ＩＰアドレス更新部４４１は、証明書情報取得部４４５による電子証明書の検証結果に基づいてＩＰアドレス情報４３１を更新してもよい。すなわち、外部装置７から取得した電子証明書の検証結果が適切である場合には、ＴＬＳ接続パケットの宛先ＩＰアドレスを用いてＩＰアドレス情報４３１を更新する。一方、外部装置７から取得した電子証明書の検証結果が適切でない場合には、ＴＬＳ接続パケットの宛先ＩＰアドレスを用いてＩＰアドレス情報４３１を更新しない。

以上のように構成されたパケットフィルタリング装置４について、図６、図７のフロー図および図８、図９のシーケンス図を参照してその動作を説明する。

図６は、パケットフィルタリング装置４の動作を示すフロー図である。図６に示すように、端末装置３と外部装置７との間の通信パケットの通過をフィルタリング制御する場合には、まず、パケットフィルタリング装置４で初期設定処理が行われる（Ｓ１）。この初期設定処理では、禁止ＩＰアドレス情報４３３に記述されているＩＰアドレスが読み出されて、そのＩＰアドレスがＩＰアドレス情報４３１から削除される。

その後、パケットフィルタリング装置４のＤＮＳ応答傍受部４４０は、通信パケットを傍受（例えばスニッフィング）する処理を行う（Ｓ２）。この場合、パケットフィルタリング装置４は、通信経路上のすべての通信パケットを傍受する。これにより、これ以降の処理で、各通信パケットのヘッダやペイロードをチェックすることが可能になる。

つぎに、ＤＮＳ応答傍受部４４０は、傍受した通信パケットがＤＮＳ応答パケットであるか否かの判定を行う（Ｓ３）。例えば、傍受した通信パケットのポート番号やペイロードの書式に基づいて、通信パケットがＤＮＳ応答であるか否かを判定することができる。ＤＮＳ応答傍受部４４０にて傍受した通信パケットがＤＮＳ応答パケットである場合には、ＩＰアドレス更新部４４１によりＩＰアドレス情報４３１の更新処理が行われる（Ｓ４）。その後、傍受したＤＮＳ応答パケットは端末装置３に対して転送され、処理をＳ２に進めてパケットの傍受を再開する。

傍受した通信パケットがＤＮＳ応答パケットでない場合には、端末装置３から外部装置７へ送信される通信パケットであるか否かの判定が行われる（Ｓ５）。例えば、傍受した通信パケットの宛先ＩＰアドレスに基づいて、端末装置３から外部装置７へ送信される通信パケットであるか否かを判定することができる。

端末装置３から外部装置７へ送信される通信パケットである場合には、通信制御部４４２は、その宛先ＩＰアドレスがＩＰアドレス情報４３１に含まれるか否かに基づいて、その通信パケットを通過させるか否かを判定する処理を行う（Ｓ６）。例えば、ホワイトリスト方式の場合、宛先ＩＰアドレスがＩＰアドレス情報４３１に含まれる場合には、その通信パケットを通過させると判定される。

通過させると判定された場合には（Ｓ７）、その通信パケットを通過させる処理が行われる（Ｓ８）。一方、通過させないと判定された場合には、接続パケット判定部４４３は、その通信パケットがＴＬＳ接続用の接続パケットであるか否かを判定する（Ｓ９）。例えば、接続パケット判定部４４３は、傍受した通信パケットのポート番号などに基づいてその通信パケットがＴＬＳ接続用の接続パケットの可能性を有するかを判定し、可能性が高いならばＴＬＳ接続用の接続パケットであると判定する。具体的には、その通信パケットのポート番号が「４４３」などの標準的にＴＬＳ接続に割り当てられるポート番号である場合には、ＴＬＳ接続用の接続パケットであると判定される。ＴＬＳ接続用の接続パケットでなければ、その通信パケットは破棄される（Ｓ１０）。

接続パケット判定部４４３によりＴＬＳ接続用の接続パケットであると判定された場合、パケットフィルタリング装置４は、当該接続パケットの転送を一旦保留（キャッシュ）するとともに、接続要求送信部４４４は外部装置７に対して、当該接続パケットを送信した端末装置３を代理してＴＬＳ接続用の接続パケットを送信（ＴＬＳ接続要求）する（Ｓ１１）。すなわち、当該ＴＬＳ接続要求で代理送信する接続パケットの送信元ＩＰアドレスにはパケットフィルタリング装置４自らのＩＰアドレスが設定される。なお、先に代理のＴＬＳ接続要求（Ｓ１１）を送った後に、ＴＬＳ接続用の接続パケットであるか否かの判断（Ｓ９）を行ってもよい。

そして、証明書情報取得部４４５は、ＴＬＳ接続要求に対する応答として外部装置７から電子証明書を取得し、その電子証明書の検証を行う（Ｓ１２）。この検証では、当該外部装置７が電子証明書の秘密鍵を外部装置７が所持しているか否か、取得した電子証明書が有効であるか否か、取得した電子証明書がＥＶＳＳＬ証明書などの信頼できる証明書であるか否かなどについて検証する。そして、証明書情報取得部４４５は、検証の結果が所定の検証条件を満たすか否かが判定する（Ｓ１３）。検証条件は予め管理者によって設定され記憶部４３に記憶されているものとする。例えば、より信頼性の高い電子証明書に基づいてフィルタリング制御したいのであれば、「秘密鍵を所持」、「電子証明書が有効」、「ＥＶＳＳＬ証明書である」などといったように複数（多重）の条件が設定される。

ＩＰアドレス更新部４４１は、検証結果が検証条件を満たすと判定した場合には、ＩＰアドレス情報４３１の更新処理を行う（Ｓ１４）。そして、通信制御部４４２は、端末装置３から受信したＴＬＳ接続用の接続パケットにおける宛先ＩＰアドレスが更新後のＩＰアドレス情報４３１に含まれるか否かに基づいて、その通信パケットを通過させるか否かを判定する処理を行う（Ｓ６）。一方、検証条件を満たさないと判定された場合には、その通信パケットは破棄される（Ｓ１０）。

図７は、ＩＰアドレス更新部４４１で実行されるＩＰアドレス情報４３１の更新処理の流れを示すフロー図である。図７に示すように、ＩＰアドレス情報４３１の更新処理が開始されると、まず、Ｓ２で傍受したＤＮＳ応答から抽出したホスト名またはＳ１２で取得した電子証明書から抽出したホスト名（以下、これらの抽出したホスト名を「抽出ホスト名」という）が条件情報４３０に含まれるか否かが判定される（Ｓ２０）。すなわち、抽出ホスト名が、条件情報４３０における複数の条件のうちの少なくとも一つの条件を満たしているか否かが判定される。

抽出ホスト名が条件情報４３０の条件を満たしている場合には、ＤＮＳ応答から抽出した回答ＩＰアドレスまたはＴＬＳ接続用の接続パケットから抽出した宛先ＩＰアドレス（以下、これらの抽出したＩＰアドレスを「抽出ＩＰアドレス」という）が禁止ＩＰアドレス情報４３３に含まれるか否かが判定される（Ｓ２１）。抽出ＩＰアドレスが禁止ＩＰアドレス情報４３３に含まれなければ、その抽出ＩＰアドレスをＩＰアドレス情報４３１に追加する（Ｓ２２）。抽出ＩＰアドレスが禁止ＩＰアドレス情報４３３に含まれれば、その抽出ＩＰアドレスをＩＰアドレス情報４３１に追加せずに、ＩＰアドレス情報更新処理を終了する。

一方、Ｓ２０において抽出ホスト名が条件情報４３０に含まれない場合には、抽出ホスト名が禁止条件情報４３２に含まれるか否かが判定される（Ｓ２３）。抽出ホスト名が禁止条件情報４３２に含まれており、抽出ＩＰアドレスがＩＰアドレス情報４３１に含まれている場合、当該抽出ＩＰアドレスをＩＰアドレス情報４３１から削除する（Ｓ２４）。抽出ホスト名が禁止条件情報４３２に含まれなければ、ＩＰアドレス情報更新処理を終了する。

図８は、パケットフィルタリング装置４のＤＮＳ応答に基づいてＩＰアドレス情報４３１を更新しフィルタリング制御する時における処理の流れを説明するシーケンス図である。図８に示すように、まず端末装置３からＤＮＳサーバ５にＤＮＳ要求が送信される（Ｓ１００）。このＤＮＳ要求に対する応答として、ＤＮＳサーバ５からパケットフィルタリング装置４を介して端末装置３にＤＮＳ応答が送信される。すなわち、ＤＮＳサーバ５からパケットフィルタリング装置４にＤＮＳ応答が送信され（Ｓ１０１）、当該ＤＮＳ応答をパケットフィルタリング装置４が端末装置３に対して転送する（Ｓ１０２）。このとき、パケットフィルタリング装置４は、ＤＮＳ応答を傍受する。

本実施の形態では、ＤＮＳ応答を傍受するにあたってＤＮＳ応答をスニッフィングする方法を用いている。しかし、これに限らず、パケットフィルタリング装置４において端末装置３とＤＮＳサーバ５との間のＤＮＳパケットを中継する中継プログラム（例えば、ＤＮＳサーバプログラム）を動作させ、当該中継プログラムの動作履歴を参照することによりＤＮＳ応答を傍受してもよい。ここでいうＤＮＳパケットの中継とは、単なるトランスポート層のパケットの転送ではなく、パケットフィルタリング装置４上で稼働する中継プログラムによりＤＮＳパケットを受付け、当該中継プログラムがそのＤＮＳパケットへの応答を作成するために上位のＤＮＳサーバに問い合わせることによって必要な情報を取得し、当該必要な情報に基づいてそのＤＮＳパケットへの応答を行うような処理をいう。

そして、パケットフィルタリング装置４は、傍受したＤＮＳ応答に基づいてＩＰアドレス情報４３１の更新処理を行う（Ｓ１０３）。例えば、傍受したＤＮＳ応答から抽出したホスト名（抽出ホスト名）が、条件情報４３０に含まれるホスト名だった場合に、そのＩＰアドレス（グローバルＩＰアドレス）をＩＰアドレス情報４３１に登録する。その後、端末装置３から外部装置７に対する通信パケットが送信されると（Ｓ１０４）、パケットフィルタリング装置４は、ＩＰアドレス情報４３１に基づいて、その通信パケットの通過の可否を判定する（Ｓ１０５）。通信パケットの宛先ＩＰアドレスがＩＰアドレス情報４３１に登録されている場合には、その通信パケットの通過を許可する。一方、通信パケットの宛先ＩＰアドレスがＩＰアドレス情報４３１に登録されていない場合には、その通信パケットを破棄する。そして、通信許可と判定された場合には、その通信パケットが外部装置７へ送信される。

図９は、パケットフィルタリング装置４のＳＳＬ／ＴＬＳ通信に基づいてＩＰアドレス情報４３１を更新しフィルタリング制御する時における処理の流れを説明するシーケンス図である。図９に示すように、まず、端末装置３から外部装置７に対するＴＬＳ接続要求を行うパケットが送信される（Ｓ２００）。当該パケットを傍受したパケットフィルタリング装置４は、このＴＬＳ接続要求のパケットを一旦保留し、当該ＴＬＳ接続要求を行った端末装置３を代理してＴＬＳ接続要求のパケットを新たに生成し、外部装置７へ送信する（Ｓ２０１）。そして、このＴＬＳ接続要求に対する応答として、外部装置７からパケットフィルタリング装置４に対して電子証明書が送信される（Ｓ２０２）。

パケットフィルタリング装置４は、外部装置７から取得した電子証明書の検証を行い（Ｓ２０３）、取得した電子証明書に基づいてＩＰアドレス情報４３１の更新処理を行う（Ｓ２０４）。例えば、取得した電子証明書から抽出したホスト名（抽出ホスト名）が条件情報４３０に含まれている場合には、Ｓ２００におけるＴＬＳ接続要求の宛先ＩＰアドレス（外部装置７のグローバルＩＰアドレス）をＩＰアドレス情報４３１に登録する。その後、Ｓ２００におけるＴＬＳ接続要求の通信パケットのＩＰアドレスがＩＰアドレス情報４３１に登録されているか否か基づいて、その通信パケットの通過の可否を判定する（Ｓ２０５）。そして、通信許可と判定された場合には、Ｓ２００にて一旦保留していたＴＬＳ接続要求を外部装置７へ送信し（Ｓ２０６）、端末装置３と外部装置７との間にＴＬＳセッションを確立する（Ｓ２０７）。その後、端末装置３から外部装置７に対する通信パケットが送信されると、パケットフィルタリング装置４は、ＩＰアドレス情報４３１に基づいて、その通信パケットの通過の可否を判定し、通信パケットの宛先ＩＰアドレスがＩＰアドレス情報４３１に登録されている場合には、その通信パケットの通過を許可する。一方、通信パケットの宛先ＩＰアドレスがＩＰアドレス情報４３１に登録されていない場合には、その通信パケットを破棄する。なお、ＴＬＳ接続要求を保留せずに、端末装置３に対して「接続失敗」を通知し、再度、端末装置３にＳＳＬ／ＴＬＳ接続要求を送信させてもよい。またＴＬＳ接続要求を無視し、端末装置３からの再送信を待ってもよい。

このような本実施の形態のパケットフィルタリング装置４によれば、傍受したＤＮＳ応答や代理により取得した電子証明書から抽出したホスト名（抽出ホスト名）が、予め記憶した条件情報４３０を満たしているか否かに基づいて、そのホスト名の外部装置７に対して送信された通信パケットを通過させるか否かが制御される。条件情報４３０は、例えば、ホスト名そのもの、あるいは、ＦＱＤＮや正規表現などのホスト名を識別できる情報である。したがって、管理者はフィルタリング条件（条件情報４３０）の内容を容易に認識することができ、管理上の負担を軽減することが可能になる。

また、本実施の形態のパケットフィルタリング装置４は、傍受したＤＮＳ応答や代理により取得した電子証明書からホスト名を抽出しているため、通信パケットの宛先ＩＰアドレスが条件情報４３０に合致する（満たした）ものであるか否かをＤＮＳサーバ５に対して逆引き問い合わせを行うことなく判定することができる。

一般に、ホスト名とＩＰアドレスとは必ずしも一対一の関係で対応付けられるものではなく、例えば、一つのホスト名に対して複数のＩＰアドレスが対応付けられたり、一つのＩＰアドレスに対して複数のホスト名が対応付けられたりする。そのため、ＤＮＳサーバ５に対して逆引き問合せを行って知り得たホスト名は、必ずしも端末装置３がアクセスしようとしている外部装置７のホスト名と合致するとは限らない。このような場合、条件情報４３０に記されたホスト名を用いてフィルタリング制御を行う際に当該ホスト名をＤＮＳサーバに逆引き問合せを行うような装置では、本来通過させるべき通信パケットを通過させない、あるいは、逆に通過させるべきでない通信パケットを通過させてしまうという事態が生じ得る。

これに対して、本実施の形態のパケットフィルタリング装置４では、ＩＰアドレス情報４３１に基づいて通信パケットの通過可否が制御される。そして、このＩＰアドレス情報４３１は、端末装置３が事前にＤＮＳサーバ５との間で送受したＤＮＳ応答を傍受することで抽出したホスト名（抽出ホスト名）と条件情報４３０との比較により更新された情報である。したがって、端末装置３がアクセスしようとしている外部装置７のＩＰアドレスとホスト名とを正確に対応付けることができ、通信パケットの通過可否の判断を適切に行うことができる。

また、本実施の形態のパケットフィルタリング装置４では、電子証明書から求めた抽出ホスト名と条件情報４３０との比較によりＩＰアドレス情報４３１を更新している。そのため、ＤＮＳサーバに対して名前解決の問合せを行わない端末装置３からのアクセス（例えば、外部装置７のグローバルＩＰアドレスを直接入力することによるアクセス）であったとしても、ＩＰアドレス情報４３１を更新することができる。また、外部装置７のより信頼性の高いホスト名を把握することができ、例えば、ＤＮＳポイゾニングなどといったＤＮＳサーバに対する攻撃の悪影響を低減することができる。

また、本実施の形態では、信頼できる外部装置７であるとして通信が許可された外部装置７のホスト名のホスト名を識別できる条件が条件情報４３０に含まれており、抽出ホスト名が条件情報４３０を満たしていると、ＩＰアドレス情報４３１が更新される。そして、このＩＰアドレス情報４３１に基づいて、通信パケットの通過許可が制御される。これにより、信頼できる外部装置７への通信パケットのみを適切に通過させることができる。

また、本実施の形態では、信頼できない外部装置７（例えば悪意ある処理を行う外部装置７）であるとして、管理者などによって禁止条件情報４３２が設定された場合、傍受したＤＮＳ応答から抽出したホスト名が禁止条件情報４３２の条件を満たしていると、そのＤＮＳ応答に基づいてＩＰアドレス情報４３１から削除される。そして、このＩＰアドレス情報４３１に基づいて通信パケットの通過可否が制御される。これにより、たとえ過去に信頼できる外部装置７としてそのホスト名が条件情報４３０に登録され、そしてＩＰアドレス情報４３１に当該外部装置７のＩＰアドレスが登録されていたとしても、禁止条件情報４３２に基づいてＩＰアドレス情報４３１を適切に更新できる。したがって、信頼できない外部装置７への通信パケットの通過を適切に禁止することができる。

また、本実施の形態では、外部装置７から取得した電子証明書の検証結果が適切である場合（例えば、電子証明書の秘密鍵を外部装置７が所持している場合、証明書検証できる場合、電子証明書がＥＶＳＳＬ証明書などの信頼できる証明書である場合など）に、接続パケットの宛先ＩＰアドレスに基づいてＩＰアドレス情報４３１を更新する。したがって、外部装置７のより信頼性の高いホスト名を把握することができる。

以上、本発明の実施の形態を例示により説明したが、本発明の範囲はこれらに限定されるものではなく、請求項に記載された範囲内において目的に応じて変更・変形することが可能である。

上記実施の形態では、記憶部４３は、ＩＰアドレス情報４３１と条件情報４３０とを別個のテーブルで記憶している。しかし、これに限らず、図４に示すように、記憶部４３は、ＩＰアドレス情報４３１と条件情報４３０とを対応付けて記憶してもよい。図４の例では、ホストＡとグローバルＩＰアドレスＡが対応付けられており、ホストＢとグローバルＩＰアドレスＢが対応付けられており、ホストＣとグローバルＩＰアドレスＣが対応付けられている。なお、条件情報４３０とＩＰアドレス情報４３１とに共通するＩＤ情報を付与し、ＩＤ情報を介して条件情報４３０とＩＰアドレス情報４３１を対応付けてもよい。また、一つのホスト名（条件）に対して複数のＩＰアドレスを対応付けることもできる。

この場合、ＩＰアドレス更新部４４１は、ＩＰアドレス情報更新処理において、抽出ホスト名が条件情報４３０の条件を満たしていれば（Ｓ２０でＹｅｓ）、当該抽出ホスト名に対応付けられているＩＰアドレス情報４３１のＩＰアドレスを更新する。例えば、抽出ホスト名「ホストＡ」が条件情報４３０に含まれており（Ｓ２０でＹｅｓ）、その「ホストＡ」とＩＰアドレス情報４３１の「グローバルＩＰアドレスＸ」が既に対応付けられている場合には、Ｓ２２において抽出ＩＰアドレス「グローバルＩＰアドレスＡ」を用いて「グローバルＩＰアドレスＸ」を更新する。

これにより、外部装置７のホスト名とＩＰアドレスとの対応付けがダイナミックＤＮＳなどによって動的に変更されるような場合であっても、変更された対応付け（最新の対応付け）に基づいてＩＰアドレス情報４３１も更新されるため、最新の対応付けに基づいてパケットの通過可否の判定を行うことができる。したがって、外部装置７のホスト名と対応づいた古いＩＰアドレスに基づいて誤ってパケットを通過（あるいは非通過）させるのを適切に防ぐことができる。

上記実施の形態では、記憶部４３は、端末装置３のＩＰアドレスである端末ＩＰアドレス（ローカルＩＰアドレス）と、ＩＰアドレス情報４３１とを対応付けることなく記憶している。しかし、これに限らず、図５に示すように、記憶部４３は、端末装置３の端末ＩＰアドレスとＩＰアドレス情報４３１とを対応付けて記憶してもよい。図５の例では、ローカルＩＰアドレスＡとグローバルＩＰアドレスＡ及びグローバルＩＰアドレスＢが対応付けられており、ローカルＩＰアドレスＢとグローバルＩＰアドレスＣが対応付けられている。

この場合、ＩＰアドレス更新部４４１は、抽出ホスト名が条件情報４３０の条件を満たしていれば（Ｓ２０でＹｅｓ）、Ｓ２２において、ＤＮＳ応答の送信先の端末装置７のＩＰアドレス（又はＴＬＳ接続要求を行った端末装置７のＩＰアドレス）と等しい端末ＩＰアドレスに対応付けられているＩＰアドレス情報４３１を更新する。例えば、抽出ホスト名「ホストＡ」が条件情報４３０に含まれており（Ｓ２０でＹｅｓ）、ＤＮＳ応答の送信先の端末装置７のＩＰアドレスと等しい端末ＩＰアドレス「ローカルＩＰアドレスＡ」とＩＰアドレス「グローバルＩＰアドレスＡ」が既に対応付けられている場合には、その「ローカルＩＰアドレスＡ」に対応するよう新たな抽出ＩＰアドレス「グローバルＩＰアドレスＸ」がＩＰアドレス情報４３１に追加される。

これにより、パケットフィルタリング装置４は、ＤＮＳサーバ５との間で送受したＤＮＳ応答を傍受して、傍受したＤＮＳ応答に基づいて、端末装置３ごとにＩＰアドレス情報４３１を更新する。したがって、外部装置７のホスト名とＩＰアドレスとの対応付けを、端末装置３ごとに管理することができ、端末装置３がＤＮＳ応答から得たＩＰアドレスとホスト名との対応付けを正確に管理することができる。したがって、端末装置から外部装置へのアクセスがＤＮＳ応答に基づいたアクセスなのか否かを判断することができる。すなわち、端末装置３が、その端末装置３の端末ＩＰアドレスに対応付けられているＩＰアドレス情報４３１以外の外部装置７に通信パケットを送った場合に、その通信パケットが、ＤＮＳサーバ５との問合せを行わずに（例えば、端末装置３側でＩＰアドレスを直接入力して）送信したパケットであることを把握することができる。

なお、通信制御部４４２は、端末装置３から送信された通信パケットの宛先ＩＰアドレスが、その通信パケットの送信元のＩＰアドレスと一致する端末ＩＰアドレスに対応付けられているＩＰアドレス情報４３１に含まれるか否かに基づいて、その通信パケットの通過を制御してもよい。

上記実施の形態では、通信制御部４４２は、端末装置３から外部装置７への通信パケットの宛先ＩＰアドレス（すなわち外部装置７のグローバルＩＰアドレス）がＩＰアドレス情報４３１に含まれているか否かに基づいて当該通信パケットの通過可否を判定している。しかし、これに限らず、外部装置７から端末装置３に送信される通信パケットの送信元ＩＰアドレスがＩＰアドレス情報４３１に含まれているか否かに基づいて当該通信パケットの通過可否を判定してもよい。例えば、端末装置３から外部装置７に送信されるＳＹＮパケットに対する返信として外部装置７から端末装置３に送信されるＳＹＮ／ＡＣＫパケットの送信元ＩＰアドレスがＩＰアドレス情報４３１に含まれているとき、当該ＳＹＮ／ＡＣＫパケットを通過不可として破棄してもよい。また端末装置３においてＤＮＳの名前解決がなされていない外部装置より直接ＵＤＰパケットが端末装置3に向けて送信されえた場合も当該パケットの送信元ＩＰアドレスが、ＩＰアドレス情報４３１に含まれていないため破棄するようにしてもよい。

以上のように、本発明にかかるパケットフィルタリング装置は、フィルタリング条件を容易に管理することができ、管理上の負担を軽減することができるという効果を有し、ネットワークに接続されたコンピュータ相互間におけるパケット通信を制限するファイアウォール等として有用である。

１ ネットワークシステム
２ 内部ネットワーク
３ 端末装置
４ パケットフィルタリング装置
５ ＤＮＳサーバ
６ 外部ネットワーク
７ 外部装置
４０ 通信部
４１ 入力部
４２ 出力部
４３ 記憶部
４４ 制御部
４３０ 条件情報
４３１ ＩＰアドレス情報
４３２ 禁止条件情報
４３３ 禁止ＩＰアドレス情報
４４０ ＤＮＳ応答傍受部
４４１ ＩＰアドレス更新部
４４２ 通信制御部
４４３ 接続パケット判定部
４４４ 接続要求送信部
４４５ 証明書情報取得部

Claims (4)

1. 内部ネットワークに接続された端末装置と外部ネットワークに接続された外部装置との間における通信パケットの通過可否を制御するパケットフィルタリング装置であって、
   前記内部ネットワークに接続されたＤＮＳサーバから前記端末装置へのＤＮＳ応答を傍受するＤＮＳ応答傍受部と、
   前記制御の対象となる外部装置のホスト名を識別できる条件を含む条件情報と、当該外部装置のＩＰアドレスを含むＩＰアドレス情報とを記憶するとともに、前記端末装置のＩＰアドレスである端末ＩＰアドレスと前記ＩＰアドレス情報とを対応付けて記憶する記憶部と、
   前記ＤＮＳ応答から抽出したホスト名が前記条件情報の条件を満たしている場合に、当該ホスト名に対応する回答ＩＰアドレスを当該ＤＮＳ応答から抽出して当該回答ＩＰアドレスを用いて、当該ＤＮＳ応答の送信先のＩＰアドレスと等しい前記端末ＩＰアドレスに対応付けられている前記ＩＰアドレス情報を更新するＩＰアドレス更新部と、
   前記端末装置と前記外部装置との間で送受される通信パケットのＩＰアドレスが前記ＩＰアドレス情報に含まれるか否かに基づいて、当該通信パケットの通過可否を制御する通信制御部と、
   を備えることを特徴とするパケットフィルタリング装置。
2. 前記条件情報は、前記端末装置との通信が許可された前記外部装置のホスト名を識別できる条件を含み、
   前記ＩＰアドレス更新部は、前記ＤＮＳ応答から抽出したホスト名が前記条件情報の条件を満たしている場合に、当該ホスト名に対応する回答ＩＰアドレスを当該ＤＮＳ応答から抽出して当該回答ＩＰアドレスを前記ＩＰアドレス情報に追加するよう更新し、
   前記通信制御部は、前記端末装置と前記外部装置との間で送受される通信パケットのＩＰアドレスが前記ＩＰアドレス情報に含まれる場合に、当該通信パケットの通過を許可する、請求項１に記載のパケットフィルタリング装置。
3. 前記記憶部は、前記端末装置との通信が禁止された前記外部装置のホスト名を識別できる条件を含む禁止条件情報を更に記憶し、
   前記ＩＰアドレス更新部は、傍受した前記ＤＮＳ応答から抽出したホスト名が前記禁止条件情報の条件を満たしている場合に、当該ＤＮＳ応答に含まれる回答ＩＰアドレスを前記ＩＰアドレス情報から削除する、請求項２に記載のパケットフィルタリング装置。
4. 前記記憶部は、前記ＩＰアドレス情報と前記条件情報とを対応付けて記憶し、
   前記ＩＰアドレス更新部は、傍受した前記ＤＮＳ応答から抽出したホスト名が前記条件情報の条件を満たしている場合に、当該ホスト名に対応付けられている前記ＩＰアドレス情報のＩＰアドレスを更新する、請求項１〜請求項３のいずれかに記載のパケットフィルタリング装置。
   
   

Images