JP6927081B2 - 管理システム及び管理方法 - Google Patents

Description

本発明は、管理システム及び管理方法に関する。

従来、ホームゲートウェイに対してＷＡＮ（Wide Area Network）からＬＡＮ（Local Area Network）へのアクセスを許可するフィルタリングルールを設定する方法として、ＵＰｎＰ（Universal Plug and Play） ＩＧＤ（Internet Gateway Device）によるフィルタリング設定を行う方法が知られている。

RFC6970 Universal Plug and Play (UPnP) Internet Gateway Device - Port Control Protocol Interworking Function (IGD-PCP IWF)、[online]、[平成３０年２月１７日検索]、インターネット（https://tools.ietf.org/html/rfc6970）

しかしながら、従来の方法には、不正アクセスを防止するフィルタリングルールの設定を、ホームゲートウェイに対して容易に行うことが困難な場合があるという問題がある。例えば、ＵＰｎＰ ＩＧＤによって不正アクセスを防止するフィルタリング設定を行うためには、アクセス先の端末が事前にアクセス元のＩＰアドレスを把握しておく必要がある。しかし、アクセス先の端末がアクセス元のＩＰアドレスを事前に把握することは困難であるため、ＵＰｎＰ ＩＧＤによるフィルタリング設定では任意のＩＰアドレスからアクセスを許可するフィルタリング設定しか実装されておらず、不正アクセスが行われる場合がある。

上述した課題を解決し、目的を達成するために、本発明の管理システムは、第１のネットワークと第２のネットワークとの間でパケットのフィルタリング及び転送を行うゲートウェイ装置と、前記ゲートウェイ装置の管理を行う管理装置と、を有する管理システムであって、前記ゲートウェイ装置は、前記第１のネットワークの端末を送信元とし、前記第２のネットワークの端末を宛先とするパケットのフィルタリングを行う第１のフィルタリングルール及び第２のフィルタリングルールを記憶する記憶部と、前記第２のネットワークの第２の端末から送信されたパケットを基に、前記第２の端末を識別する識別情報を取得する取得部と、前記取得部によって取得された前記第２の端末の識別情報を、前記管理装置に通知する通知部と、前記管理装置からの指示に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を行う設定部と、を有し、前記管理装置は、前記通知部から通知された前記第２の端末の識別情報を基に、前記第２の端末に関する前記第１のフィルタリングルールを管理する管理画面を生成し、生成した管理画面を所定の表示装置に送信する生成部と、前記表示装置を介した前記管理画面への入力に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を前記ゲートウェイ装置に指示する指示部と、を有することを特徴とする。

本発明によれば、不正アクセスを防止するフィルタリングルールをホームゲートウェイに対して容易かつ安価に行うことができる。

図１は、第１の実施形態に係る管理システムの構成の一例を示す図である。 図２は、第１の実施形態に係るゲートウェイ装置の構成の一例を示す図である。 図３は、第１の実施形態に係る変換テーブルの一例を示す図である。 図４は、第１の実施形態に係る第１のフィルタリングルールの一例を示す図である。 図５は、第１の実施形態に係る第２のフィルタリングルールの一例を示す図である。 図６は、第１の実施形態に係る管理装置の構成の一例を示す図である。 図７は、第１の実施形態に係る表示装置の構成の一例を示す図である。 図８は、第１の実施形態に係る管理画面の一例を示す図である。 図９は、第１の実施形態に係るゲートウェイ装置の設定処理の流れを示すフローチャートである。 図１０は、第１の実施形態に係る管理装置の指示処理の流れを示すフローチャートである。 図１１は、第１の実施形態に係るゲートウェイ装置の転送処理の流れを示すフローチャートである。 図１２は、管理プログラムを実行するゲートウェイ装置又は管理装置として機能するコンピュータの一例を示す図である。

以下に、本願に係る管理システム及び管理方法の実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

［第１の実施形態の管理システムの構成］
まず、図１を用いて、第１の実施形態に係る管理システムの構成について説明する。図１は、第１の実施形態に係る管理システムの構成の一例を示す図である。図１に示すように、管理システム１は、ゲートウェイ装置１０、端末２０、管理装置３０及び表示装置４０を有する。

ゲートウェイ装置１０は、ネットワーク２とネットワーク３との間でパケットのフィルタリング及び転送を行う。管理装置３０は、ゲートウェイ装置１０の管理を行う。例えば、ネットワーク２は、公衆ネットワークである。また、例えば、ネットワーク３は、ローカルネットワークである。また、ネットワーク２は、第１のネットワークの一例である。また、ネットワーク３は、第２のネットワークの一例である。

ゲートウェイ装置１０には、ネットワーク２側のアドレスとして「100.64.1.1」が設定されている。また、ゲートウェイ装置１０には、ネットワーク３側のアドレスとして「192.168.1.1」が設定されている。また、３つの端末２０のアドレスには、それぞれ「192.168.1.11」、「192.168.1.12」及び「192.168.1.13」が設定されている。また、表示装置４０のアドレスには、「100.64.100.99」が設定されている。

管理装置３０は、ゲートウェイ装置１０から取得した情報を基に、ゲートウェイ装置１０によって使用されるフィルタリングルールを管理するための管理画面を生成する。また、表示装置４０は、管理装置３０によって生成された管理画面を表示し、管理画面を介した入力を受け付ける。

図１の例では、１つの管理装置３０は１つのゲートウェイ装置１０に対応しているが、１つの管理装置３０は複数のゲートウェイ装置１０に対応していてもよい。また、ゲートウェイ装置１０と管理装置３０との間の通信は、物理的又は仮想的な閉域網により安全が確保されているものとする。

また、管理装置３０と表示装置４０との間の通信では、表示装置４０のユーザがゲートウェイ装置１０の正当な利用者であることを確認するためのユーザ認証が行われる。管理システム１においては、ユーザは、表示装置４０に表示された管理画面を介してゲートウェイ装置１０の設定を指示することができる。

［第１の実施形態のゲートウェイ装置の構成］
ここで、図２を用いて、ゲートウェイ装置１０の構成について説明する。図２は、第１の実施形態に係るゲートウェイ装置の構成の一例を示す図である。図２に示すようにゲートウェイ装置１０は、通信部１１、記憶部１２及び制御部１３を有する。

通信部１１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部１１はＮＩＣ（Network Interface Card）である。通信部１１は、ネットワーク２に接続された装置、及びネットワーク３に接続された装置との間で通信を行うことができる。

記憶部１２は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、光ディスク等の記憶装置である。なお、記憶部１２は、ＲＡＭ（Random Access Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non Volatile Static Random Access Memory）等のデータを書き換え可能な半導体メモリであってもよい。記憶部１２は、ゲートウェイ装置１０で実行されるＯＳ（Operating System）や各種プログラムを記憶する。さらに、記憶部１２は、プログラムの実行で用いられる各種情報を記憶する。また、記憶部１２は、変換テーブル１２１、識別情報１２２、第１のフィルタリングテーブル１２３及び第２のフィルタリングテーブル１２４を記憶する。

変換テーブル１２１には、変換ルールが格納される。ここで、変換ルールは、ゲートウェイ装置１０が、ネットワーク２とネットワーク３との間で転送されるパケットの宛先又は送信元の情報を変換するためのルールである。

図３は、第１の実施形態に係る変換テーブルの一例を示す図である。図３に示すように、変換テーブル１２１には、プロトコル、変換前の宛先アドレス、変換前の宛先ポート番号、変換後の宛先アドレス及び変換後の宛先ポート番号が格納される。

例えば、図３に示すように、変換テーブル１２１の１行目には、プロトコル「tcp」、変換前の宛先アドレス「100.64.1.1」、変換前の宛先ポート番号「8080」、変換後の宛先アドレス「192.168.1.11」及び変換後の宛先ポート番号「80」が格納されている。

このとき、ゲートウェイ装置１０は、宛先アドレス「100.64.1.1」及び宛先ポート番号「8080」が設定されたＴＣＰプロトコルのパケットをネットワーク２側から受信した場合、宛先アドレス及び宛先ポート番号をそれぞれ「192.168.1.11」及び「80」に変更した上で、パケットをネットワーク３内の該当する端末２０に転送する。

一方、ゲートウェイ装置１０は、送信元アドレス「192.168.1.11」及び送信元ポート番号「80」が設定されたＴＣＰプロトコルのパケットをネットワーク３側から受信した場合、宛先アドレス及び宛先ポート番号をそれぞれ「100.64.1.1」及び「8080」に変更した上で、パケットをネットワーク２に転送する。

識別情報１２２は、端末２０を識別するための情報である。識別情報１２２は、端末２０が送信したパケットを基に、ゲートウェイ装置１０によって取得される。例えば、識別情報１２２は、製造メーカ、機種及び型番等のハードウェア情報を含む。また、例えば、識別情報１２２は、ＯＳ、ファームウェア等のソフトウェア情報を含む。また、識別情報１２２は、端末２０に設定されたホスト名等の情報を含む。

第１のフィルタリングテーブル１２３には、第１のフィルタリングルールが格納される。ここで、第１のフィルタリングルールは、ゲートウェイ装置１０によって用いられるパケットのフィルタリングルールのうち、管理装置３０及び表示装置４０を介したユーザの操作により設定可能なフィルタリングルールである。

図４は、第１の実施形態に係る第１のフィルタリングルールの一例を示す図である。図４に示すように、第１のフィルタリングテーブル１２３には、プロトコル、送信元アドレス、送信元ポート番号、宛先アドレス、宛先ポート番号及び動作が格納される。

例えば、図４に示すように、第１のフィルタリングテーブル１２３の１行目には、プロトコル「tcp」、送信元アドレス「100.64.100.99」、送信元ポート番号「any」、宛先アドレス「192.168.1.11」、宛先ポート番号「any」及び動作「第２のフィルタリングルール」が格納されている。なお、「any」は任意の値を示す。

このとき、ゲートウェイ装置１０は、送信元アドレス「100.64.100.99」、宛先アドレス「192.168.1.11」が設定されたＴＣＰプロトコルのパケットを受信した場合、当該パケットに対する動作として「第２のフィルタリングルール」を決定する。ここで、動作「第２のフィルタリングルール」は、第１のフィルタリングルールにおいて転送が許可されたことを意味し、当該パケットの転送可否は、第２のフィルタリングルールを用いてさらに判断される。なお、動作「拒否」は、当該パケットの転送が拒否されたことを意味する。

第１のフィルタリングルールは、ブラックリストとして公開されている悪性のアドレスに関するパケットを拒否するように設定されていてもよい。

また、ゲートウェイ装置１０がパケットの転送可否を判断する際は、第１のフィルタリングテーブル１２３を上から順に見ていく。つまり、図４の例では、３行目の条件で動作「拒否」が決定されるパケットであっても、１行目又は２行目の条件に合致すれば転送が許可される。

第２のフィルタリングテーブル１２４には、第２のフィルタリングルールが格納される。ここで、第２のフィルタリングルールは、ゲートウェイ装置１０によって用いられるパケットのフィルタリングルールのうち、あらかじめ設定されたものである。

図５は、第１の実施形態に係る第２のフィルタリングルールの一例を示す図である。図５に示すように、第２のフィルタリングテーブル１２４には、プロトコル、送信元アドレス、送信元ポート番号、宛先アドレス、宛先ポート番号及び動作が格納される。

例えば、図５に示すように、第２のフィルタリングテーブル１２４の１行目には、プロトコル「tcp」、送信元アドレス「0.0.0.0/0」、送信元ポート番号「any」、宛先アドレス「192.168.1.11」、宛先ポート番号「80」及び動作「許可」が格納されている。

このとき、ゲートウェイ装置１０は、宛先アドレス「192.168.1.11」及び宛先ポート番号「80」が設定されたＴＣＰプロトコルのパケットを受信した場合、当該パケットに対する動作として「許可」を決定する。

制御部１３は、ゲートウェイ装置１０全体を制御する。制御部１３は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）等の電子回路や、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）等の集積回路である。また、制御部１３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部１３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部１３は、取得部１３１、通知部１３２、設定部１３３及び転送部１３４を有する。

取得部１３１は、ネットワーク３の端末２０から送信されたパケットを基に、端末２０を識別する識別情報１２２を取得する。取得部１３１は、第２のフィルタリングルールによってネットワーク３の端末２０への転送が許可されていないパケットを基に、パケットの宛先の端末２０の識別情報１２２を取得する。

取得部１３１は、識別情報１２２を、ゲートウェイ装置１０が端末２０に対して送信したパケットに対する応答パケットを基に取得してもよいし、端末２０が自発的に送信したパケットを基に取得してもよい。また、取得部１３１は、端末２０が送信したＵＰｎＰのDescriptionメッセージを用いて識別情報１２２を取得してもよいし、端末が送信したパケットとあらかじめ保持する辞書データとを照合し、識別情報１２２を取得してもよい。

通知部１３２は、取得部１３１によって取得された端末２０の識別情報１２２を、管理装置３０に通知する。また、通知部１３２は、端末２０に関する第２のフィルタリングルールを、管理装置３０にさらに通知することができる。また、通知部１３２は、端末２０に関する変換ルールを、管理装置３０にさらに通知することができる。また、通知部１３２は、取得部１３１によって取得された識別情報１２２及びパケットの送信元アドレスを管理装置３０に通知することができる。

設定部１３３は、管理装置３０からの指示に基づいて、端末２０に関する第１のフィルタリングルールの設定を行う。例えば、設定部１３３は、第１のフィルタリングルールの追加及び削除を行うことができる。

また、設定部１３３は、ネットワーク３の端末２０から送信されたパケットを基に、特定のプロトコルかつ特定の宛先ポート番号のパケットを端末２０へ転送することを許可する第２のフィルタリングルールを追加することができる。また、設定部１３３は、ネットワーク３に対して送信された所定のパケットの宛先アドレス及び宛先ポート番号を、端末２０のアドレス及び特定の宛先ポート番号に変換する変換ルールを追加することができる。このように、設定部１３３は、変換ルール及び第２のフィルタリングルールの追加を、自動的に行うことができる。

転送部１３４は、ネットワーク２を送信元とし、ネットワーク３を宛先とするパケットのフィルタリング及び転送を行う。このとき、転送部１３４は、第１のフィルタリングルールを基に決定された動作が「第２のフィルタリングルール」であったパケットのうち、第２のフィルタリングルールを基に決定された動作が「許可」であったパケットの転送を許可することができる。

また、転送部１３４は、ネットワーク３を送信元とし、ネットワーク２を宛先とするパケットのフィルタリング及び転送を行う。ここで、転送部１３４は、ネットワーク３の端末２０を送信元とし、ネットワーク２を宛先とするパケットの転送を常に許可することとしてもよい。

指示部３３２は、インスタントメッセージサービスを介した入力に基づいて、端末２０に関する第１のフィルタリングルールの設定をゲートウェイ装置１０に指示することができる。これにより、ユーザは容易に設定指示の入力を行うことができる。

［第１の実施形態の管理装置の構成］
次に、図６を用いて、管理装置３０の構成について説明する。図６は、第１の実施形態に係る管理装置の構成の一例を示す図である。図６に示すように管理装置３０は、通信部３１、記憶部３２及び制御部３３を有する。

通信部３１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部３１はＮＩＣである。通信部３１は、ゲートウェイ装置１０及び表示装置４０との間で通信を行うことができる。

記憶部３２は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部３２は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部３２は、ゲートウェイ装置１０で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部３２は、プログラムの実行で用いられる各種情報を記憶する。

制御部３３は、管理装置３０全体を制御する。制御部３３は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部３３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部３３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部３３は、生成部３３１及び指示部３３２を有する。

生成部３３１は、通知部１３２から通知された端末２０の識別情報１２２を基に、端末２０に関する第１のフィルタリングルールを管理する管理画面を生成し、生成した管理画面を所定の表示装置４０に送信する。

図８は、第１の実施形態に係る管理画面の一例を示す図である。図８に示すように、生成部３３１は、ゲートウェイ装置１０の通知部１３２によって通知された情報を管理画面に表示させることができる。

生成部３３１は、通知部１３２によって通知された第２のフィルタリングルールに関する情報を管理画面に表示させることができる。また、生成部３３１は、通知部１３２によって通知された変換ルールに関する情報を管理画面に表示させることができる。

また、生成部３３１は、通知部１３２によって通知された送信元アドレス及び当該送信元アドレスから送信されたパケットの転送を許可する第１のフィルタリングルールを追加する指示を行うためのボタンを管理画面に表示させる。また、生成部３３１は、第１のフィルタリングルールを管理する対象の送信元アドレスのＤＳＮ逆引き情報又はＷＨＯＩＳ情報を管理画面に表示させてもよい。

図８に示すように、管理画面には、端末識別情報、変換ルールから抽出した情報、第２のフィルタリングルールから抽出した情報及び第１のフィルタリングルールが表示される。なお、変換ルールから抽出した情報及び第２のフィルタリングルールから抽出した情報は、それぞれ元になる情報が通知部１３２によって通知された場合に表示される。

指示部３３２は、表示装置４０を介した管理画面への入力に基づいて、端末２０に関する第１のフィルタリングルールの設定をゲートウェイ装置１０に指示する。例えば、指示部３３２は、端末識別情報及び追加する送信元アドレスをゲートウェイ装置１０に送信することができる。また、指示部３３２は、インスタントメッセージサービスを介した入力に基づいて、端末２０に関する第１のフィルタリングルールの設定をゲートウェイ装置１０に指示することができる。

［第１の実施形態の表示装置の構成］
次に、図７を用いて、表示装置４０の構成について説明する。図７は、第１の実施形態に係る表示装置の構成の一例を示す図である。図７に示すように表示装置４０は、通信部４１、表示部４２、入力部４３、記憶部４４及び制御部４５を有する。

通信部４１は、ネットワークを介して、他の装置との間でデータ通信を行う。例えば、通信部４１は、ＮＩＣである。通信部４１は、管理装置３０との間で通信を行うことができる。

表示部４２は、画面を表示する。例えば、表示部４２は、ディスプレイ装置等である。また、入力部４３はユーザからの入力を受け付けるためのインタフェース装置である。例えば、入力部４３は、マウス、キーボード及びタッチパネル等である。

記憶部４４は、ＨＤＤ、ＳＳＤ、光ディスク等の記憶装置である。なお、記憶部４４は、ＲＡＭ、フラッシュメモリ、ＮＶＳＲＡＭ等のデータを書き換え可能な半導体メモリであってもよい。記憶部４４は、ゲートウェイ装置１０で実行されるＯＳや各種プログラムを記憶する。さらに、記憶部４４は、プログラムの実行で用いられる各種情報を記憶する。

制御部４５は、表示装置４０全体を制御する。制御部４５は、例えば、ＣＰＵ、ＭＰＵ等の電子回路や、ＡＳＩＣ、ＦＰＧＡ等の集積回路である。また、制御部４５は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。また、制御部４５は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部４５は、表示制御部４５１及び指示部４５２を有する。

表示制御部４５１は、管理装置３０の生成部３３１によって生成され、表示装置４０に送信された管理画面を表示部４２に表示させる。また、指示部４５２は、表示部４２に表示された管理画面を介したユーザの入力に基づく設定指示を管理装置３０に送信する。

ここで、例えば、表示部４２には、図８の管理画面が表示されているものとする。このとき、表示部４２に表示された管理画面の追加ボタンがクリックされた場合、指示部４５２は、当該クリックされた送信元アドレスが設定されたパケットを、対応する端末識別情報によって識別される端末２０に転送することを許可する設定を行うことを指示する。また、例えば、表示部４２に表示された管理画面の削除ボタンがクリックされた場合、指示部４５２は、当該クリックされた送信元アドレスが設定されたパケットを、対応する端末識別情報によって識別される端末２０に転送することを許可する設定を削除することを指示する。

また、全て拒否ボタンがクリックされた場合、全てのパケットについて、対応する端末識別情報によって識別される端末２０に転送することを拒否する設定を行うことを指示する。なお、転送を拒否する設定を行うことは、動作として「許可」が設定された行を削除することであってもよい。

［第１の実施形態の処理］
図９を用いて、ゲートウェイ装置１０の設定処理について説明する。図９は、第１の実施形態に係るゲートウェイ装置の設定処理の流れを示すフローチャートである。図９に示すように、まず、ゲートウェイ装置１０は、端末の識別情報、変換ルール及び第２のフィルタリングルールを取得する（ステップＳ１０１）。そして、ゲートウェイ装置１０は、取得した情報を管理装置３０に通知する（ステップＳ１０２）。

ここで、ゲートウェイ装置１０は、管理装置３０からの指示を待機する（ステップＳ１０３、Ｎｏ）。そして、ゲートウェイ装置１０は、管理装置３０からの指示があった場合（ステップＳ１０３、Ｙｅｓ）、指示に従って第１のフィルタリングルールを設定する（ステップＳ１０４）。

図１０を用いて、管理装置３０の指示処理について説明する。図１０は、第１の実施形態に係る管理装置の指示処理の流れを示すフローチャートである。図１０に示すように、まず、管理装置３０は、ゲートウェイ装置１０から送信された情報を基に、管理画面を生成し、表示装置４０に送信する（ステップＳ２０１）。

そして、管理装置３０は、管理画面を介して表示装置４０からの設定指示を受け付け（ステップＳ２０２）、受け付けた指示に基づいてゲートウェイ装置１０に設定を指示する（ステップＳ２０３）。

図１１を用いて、ゲートウェイ装置１０の転送処理について説明する。図１１は、第１の実施形態に係るゲートウェイ装置における第１のネットワークから第２のネットワークへの転送処理の流れを示すフローチャートである。図１１に示すように、まず、ゲートウェイ装置１０は、ネットワーク３からパケットを受信する（ステップＳ３０１）。次に、宛先変換ルールを参照し、受信したパケットの宛先等を必要に応じて変換する（ステップＳ３０２）。

そして、ゲートウェイ装置１０は、第１のフィルタリングルールでパケットをフィルタリングする（ステップＳ３０３）。ここで、第１のフィルタリングルールでパケットの転送が許可されなかった場合（ステップＳ３０４、Ｎｏ）、ゲートウェイ装置１０は、当該パケットを転送せずに処理を終了する。

一方、第１のフィルタリングルールでパケットの転送が許可された場合（ステップＳ３０４、Ｙｅｓ）、ゲートウェイ装置１０は、第２のフィルタリングルールでパケットをさらにフィルタリングする（ステップＳ３０５）。

ここで、第２のフィルタリングルールでパケットの転送が許可されなかった場合（ステップＳ３０６、Ｎｏ）、ゲートウェイ装置１０は、当該パケットを転送せずに処理を終了する。

一方、第２のフィルタリングルールでパケットの転送が許可された場合（ステップＳ３０６、Ｙｅｓ）、ゲートウェイ装置１０は、ネットワーク２の端末にパケットを転送する（ステップＳ３０７）。

［第１の実施形態の効果］
管理システム１は、ネットワーク２とネットワーク３との間でパケットのフィルタリング及び転送を行うゲートウェイ装置１０と、ゲートウェイ装置１０の管理を行う管理装置３０と、を有する。また、記憶部１２は、ネットワーク２の端末２０を送信元とし、ネットワーク３の端末２０を宛先とするパケットのフィルタリングを行う第１のフィルタリングルール及び第２のフィルタリングルールを記憶する。また、取得部１３１は、ネットワーク３の端末２０から送信されたパケットを基に、端末２０を識別する識別情報１２２を取得する。また、通知部１３２は、取得部１３１によって取得された端末２０の識別情報１２２を、管理装置３０に通知する。また、設定部１３３は、管理装置３０からの指示に基づいて、端末２０に関する第１のフィルタリングルールの設定を行う。また、生成部３３１は、通知部１３２から通知された端末２０の識別情報１２２を基に、端末２０に関する第１のフィルタリングルールを管理する管理画面を生成し、生成した管理画面を所定の表示装置に送信する。また、指示部３３２は、表示装置４０を介した管理画面への入力に基づいて、端末２０に関する第１のフィルタリングルールの設定をゲートウェイ装置１０に指示する。

このように、本実施形態では、ゲートウェイ装置１０の設定は、管理装置３０を介して行われる。また、本実施形態では、管理装置３０では、事前に設定対象のアドレス等を把握しておく必要がない。その上、第２のフィルタリングルールは、既存のＵＰｎＰ ＩＧＧＤによって設定可能であることから、ＵＰｎＰ ＩＧＤに関する既存の端末及びゲートウェイ装置の仕様を変更する必要がない。さらに、端末へのアクセス元のＩＰアドレスを固定化するための、専用プロキシを用意する必要もない。このため、本実施形態によれば、不正アクセスを防止するフィルタリングルールの設定をホームゲートウェイに対して、容易かつ安価に行うことができる。

通知部１３２は、端末２０に関する第２のフィルタリングルールを、管理装置３０にさらに通知する。また、生成部３３１は、通知部１３２によって通知された第２のフィルタリングルールに関する情報を管理画面に表示させる。これにより、本実施形態によれば、管理画面において、第２のフィルタリングルールを確認しつつ第１のフィルタリングルールの設定を行うことが可能となる。

記憶部１２は、ネットワーク３に対して送信されたパケットの宛先を、ネットワーク３の端末２０を特定可能な宛先に変換する変換ルールをさらに記憶する。また、通知部１３２は、端末２０に関する変換ルールを、管理装置３０にさらに通知する。また、生成部３３１は、通知部１３２によって通知された変換ルールに関する情報を管理画面に表示させる。これにより、本実施形態によれば、管理画面において、変換後の送信元及び宛先を確認しつつ第１のフィルタリングルールの設定を行うことが可能となる。

設定部１３３は、ネットワーク３の端末２０から送信されたパケットを基に、特定のプロトコルかつ特定の宛先ポート番号のパケットを端末２０へ転送することを許可する第２のフィルタリングルールを追加し、さらに、ネットワーク３に対して送信された所定のパケットの宛先アドレス及び宛先ポート番号を、端末２０のアドレス及び特定の宛先ポート番号に変換する変換ルールを追加する。これにより、本実施形態によれば、変換ルール及び第２のフィルタリングルールを自動的に設定することが可能となる。

取得部１３１は、第２のフィルタリングルールによってネットワーク３の端末２０への転送が許可されていないパケットを基に、パケットの宛先の端末２０の識別情報１２２を取得する。また、通知部１３２は、取得部１３１によって取得された識別情報１２２及びパケットの送信元アドレスを管理装置３０に通知する。また、生成部３３１は、通知部１３２によって通知された送信元アドレス及び当該送信元アドレスから送信されたパケットの転送を許可する第１のフィルタリングルールを追加する指示を行うためのボタンを管理画面に表示させる。これにより、本実施形態によれば、管理画面において、直感的な操作で第１のフィルタリングルールの設定を行うことが可能となる。

また、生成部３３１は、表示装置４０のアドレスから送信されたパケットの転送を許可する第１のフィルタリングルールを追加する指示を行うためのボタンを管理画面に表示させてもよい。この場合、表示装置４０は、第１のネットワークの端末の一例である。

生成部３３１は、第１のフィルタリングルールを管理する対象の送信元アドレスのＤＳＮ逆引き情報又はＷＨＯＩＳ情報を管理画面に表示させる。これにより、本実施形態によれば、管理画面において、アドレスに対応するＩＳＰ（Internet Service Provider）等を確認しつつ第１のフィルタリングルールの設定を行うことが可能となる。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
一実施形態として、管理装置３０は、パッケージソフトウェアやオンラインソフトウェアとして上記の管理を実行する管理プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の管理プログラムを情報処理装置に実行させることにより、情報処理装置を管理装置３０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistant）等のスレート端末等がその範疇に含まれる。

図１２は、管理プログラムを実行するゲートウェイ装置又は管理装置として機能するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ゲートウェイ装置１０又は管理装置３０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、ゲートウェイ装置１０又は管理装置３０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤにより代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１ 管理システム
１０ ゲートウェイ装置
２０ 端末
３０ 管理装置
４０ 表示装置
１１、３１、４１ 通信部
１２、３２、４４ 記憶部
１３、３３、４５ 制御部
４２ 表示部
４３ 入力部
１２１ 変換テーブル
１２２ 識別情報
１２３ 第１のフィルタリングテーブル
１２４ 第２のフィルタリングテーブル
１３１ 取得部
１３２ 通知部
１３３ 設定部
１３４ 転送部
３３１ 生成部
３３２、４５２ 指示部
４５１ 表示制御部

Claims (8)

1. 第１のネットワークと第２のネットワークとの間でパケットのフィルタリング及び転送を行うゲートウェイ装置と、前記ゲートウェイ装置の管理を行う管理装置と、を有する管理システムであって、
   前記ゲートウェイ装置は、
   前記第１のネットワークの端末を送信元とし、前記第２のネットワークの端末を宛先とするパケットのフィルタリングを行う第１のフィルタリングルール及び第２のフィルタリングルールを記憶する記憶部と、
   前記第２のネットワークの第２の端末から送信されたパケットを基に、前記第２の端末を識別する識別情報を取得する取得部と、
   前記取得部によって取得された前記第２の端末の識別情報を、前記管理装置に通知する通知部と、
   前記管理装置からの指示に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を行う設定部と、
   を有し、
   前記管理装置は、
   前記通知部から通知された前記第２の端末の識別情報を基に、前記第２の端末に関する前記第１のフィルタリングルールを管理する管理画面であって、前記第１のフィルタリングルールによって転送が許可されるパケットの送信元の追加又は削除を行うためのボタンを表示する管理画面を生成し、生成した管理画面を所定の表示装置に送信する生成部と、
   前記表示装置を介した前記管理画面への入力に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を前記ゲートウェイ装置に指示する指示部と、
   を有することを特徴とする管理システム。
2. 前記通知部は、前記第２の端末に関する前記第２のフィルタリングルールを、前記管理装置にさらに通知し、
   前記生成部は、前記通知部によって通知された前記第２のフィルタリングルールに関する情報を前記管理画面に表示させることを特徴とする請求項１に記載の管理システム。
3. 第１のネットワークと第２のネットワークとの間でパケットのフィルタリング及び転送を行うゲートウェイ装置と、前記ゲートウェイ装置の管理を行う管理装置と、を有する管理システムであって、
   前記ゲートウェイ装置は、
   前記第１のネットワークの端末を送信元とし、前記第２のネットワークの端末を宛先とするパケットのフィルタリングを行う第１のフィルタリングルール及び第２のフィルタリングルールを記憶する記憶部と、
   前記第２のネットワークの第２の端末から送信されたパケットを基に、前記第２の端末を識別する識別情報を取得する取得部と、
   前記取得部によって取得された前記第２の端末の識別情報を、前記管理装置に通知する通知部と、
   前記管理装置からの指示に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を行う設定部と、
   を有し、
   前記管理装置は、
   前記通知部から通知された前記第２の端末の識別情報を基に、前記第２の端末に関する前記第１のフィルタリングルールを管理する管理画面を生成し、生成した管理画面を所定の表示装置に送信する生成部と、
   前記表示装置を介した前記管理画面への入力に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を前記ゲートウェイ装置に指示する指示部と、
   を有し、
   前記記憶部は、前記第２のネットワークに対して送信されたパケットの宛先を、前記第２のネットワークの端末を特定可能な宛先に変換する変換ルールをさらに記憶し、
   前記通知部は、前記第２の端末に関する前記変換ルールを、前記管理装置にさらに通知し、
   前記生成部は、前記通知部によって通知された前記変換ルールに関する情報を前記管理画面に表示させることを特徴とする管理システム。
4. 前記設定部は、前記第２のネットワークの端末から送信されたパケットを基に、特定のプロトコルかつ特定の宛先ポート番号のパケットを前記端末へ転送することを許可する前記第２のフィルタリングルールを追加し、さらに、前記第２のネットワークに対して送信された所定のパケットの宛先アドレス及び宛先ポート番号を、前記端末のアドレス及び前記特定の宛先ポート番号に変換する前記変換ルールを追加することを特徴とする請求項３に記載の管理システム。
5. 第１のネットワークと第２のネットワークとの間でパケットのフィルタリング及び転送を行うゲートウェイ装置と、前記ゲートウェイ装置の管理を行う管理装置と、を有する管理システムであって、
   前記ゲートウェイ装置は、
   前記第１のネットワークの端末を送信元とし、前記第２のネットワークの端末を宛先とするパケットのフィルタリングを行う第１のフィルタリングルール及び第２のフィルタリングルールを記憶する記憶部と、
   前記第２のネットワークの第２の端末から送信されたパケットを基に、前記第２の端末を識別する識別情報を取得する取得部と、
   前記取得部によって取得された前記第２の端末の識別情報を、前記管理装置に通知する通知部と、
   前記管理装置からの指示に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を行う設定部と、
   を有し、
   前記管理装置は、
   前記通知部から通知された前記第２の端末の識別情報を基に、前記第２の端末に関する前記第１のフィルタリングルールを管理する管理画面を生成し、生成した管理画面を所定の表示装置に送信する生成部と、
   前記表示装置を介した前記管理画面への入力に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を前記ゲートウェイ装置に指示する指示部と、
   を有し、
   前記取得部は、前記第２のフィルタリングルールによって前記第２のネットワークの端末への転送が許可されていないパケットを基に、前記パケットの宛先の端末の識別情報を取得し、
   前記通知部は、前記取得部によって取得された識別情報及び前記パケットの送信元アドレスを前記管理装置に通知し、
   前記生成部は、前記通知部によって通知された送信元アドレス及び当該送信元アドレスから送信されたパケットの転送を許可する前記第１のフィルタリングルールを追加する指示を行うためのボタンを前記管理画面に表示させることを特徴とする管理システム。
6. 前記生成部は、前記第１のフィルタリングルールを管理する対象の送信元アドレスのＤＳＮ逆引き情報又はＷＨＯＩＳ情報を前記管理画面に表示させることを特徴とする請求項１から５のいずれか１項に記載の管理システム。
7. 前記指示部は、インスタントメッセージサービスを介した入力に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を前記ゲートウェイ装置に指示することを特徴とする請求項１から６のいずれか１項に記載の管理システム。
8. 第１のネットワークと第２のネットワークとの間でパケットのフィルタリング及び転送を行うゲートウェイ装置であって、前記第１のネットワークの端末を送信元とし、前記第２のネットワークの端末を宛先とするパケットのフィルタリングを行う第１のフィルタリングルール及び第２のフィルタリングルールを記憶する記憶部を有するゲートウェイ装置と、前記ゲートウェイ装置の管理を行う管理装置と、を有する管理システムによって実行される管理方法であって、
   前記ゲートウェイ装置が、前記第２のネットワークの第２の端末から送信されたパケットを基に、前記第２の端末を識別する識別情報を取得する取得工程と、
   前記ゲートウェイ装置が、前記取得工程において取得された前記第２の端末の識別情報を、前記管理装置に通知する通知工程と、
   前記管理装置が、前記通知工程において通知された前記第２の端末の識別情報を基に、前記第２の端末に関する前記第１のフィルタリングルールを管理する管理画面であって、前記第１のフィルタリングルールによって転送が許可されるパケットの送信元の追加又は削除を行うためのボタンを表示する管理画面を生成し、生成した管理画面を所定の表示装置に送信する生成工程と、
   前記管理装置が、前記表示装置を介した前記管理画面への入力に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を前記ゲートウェイ装置に指示する指示工程と、
   前記ゲートウェイ装置が、前記管理装置からの指示に基づいて、前記第２の端末に関する前記第１のフィルタリングルールの設定を行う設定工程と、
   を含むことを特徴とする管理方法。

Images