JPH09204385A

JPH09204385A - ネットワークアクセス制御方法

Info

Publication number: JPH09204385A
Application number: JP8011937A
Authority: JP
Inventors: Masahiro Ishiyama; 政浩石山; Satoru Ozaki; 哲尾崎; Atsushi Shinpo; 淳新保
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1996-01-26
Filing date: 1996-01-26
Publication date: 1997-08-05
Anticipated expiration: 2016-01-26
Also published as: JP3426832B2

Abstract

(57)【要約】【課題】複数の計算機が複数の相互接続された通信ネ
ットワークにより相互に通信可能に接続された計算機シ
ステムにおいて、ファイアウォールを分散化することを
可能とするネットワークアクセス制御方法を提供するこ
と。【解決手段】外部ネットワークと接続可能な管理ネッ
トワーク内の複数の計算機を外部から保護するためのネ
ットワークアクセス制御方法において、前記複数の計算
機のいずれかを送信元または宛先とするすべてのパケッ
トを監視可能な位置に設けられた接続状態検出手段によ
り、前記パケットの内容に基づいて、前記複数の計算機
の他計算機との接続開始および接続終了を少なくとも検
出し、前記複数の計算機対応に設けられた保護手段によ
り、少なくとも検出された前記接続開始または前記接続
終了の情報に基づいて、対応する前記計算機にパケット
を受信させるか否かを決定することを特徴とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ファイアウォール
により内部ネットワークを保護する計算機システムのネ
ットワークアクセス制御方法に関する。

【０００２】

【従来の技術】計算機システムの小型化、低価格化やネ
ットワーク環境の充実に伴って、計算機システムの利用
は急速にかつ種々の分野に広く拡大し、また集中型シス
テムから分散型システムへの移行が進んでいる。特に近
年では計算機システム自体の進歩、能力向上に加え、コ
ンピュータ・ネットワーク技術の発達・普及により、オ
フィス内のファイルやプリンタなどの資源共有のみなら
ず、オフィス外、一組織外とのコミュニケーション（例
えば電子メール、電子ニュース、ファイルの転送など）
が可能になり、これらが広く利用されはじめた。特に近
年では、世界最大のコンピュータネットワーク「インタ
ーネット（Ｉｎｔｅｒｎｅｔ）」の利用が普及してお
り、インターネットと接続し、公開された情報、サービ
スを利用したり、逆にインターネットを通してアクセス
してくる外部ユーザに対し、情報、サービスを提供する
ことで、新たなコンピュータビジネスが開拓されてい
る。また、インターネット利用に関して、新たな技術開
発、展開がなされている。

【０００３】しかし、ネットワークが普及し、ネットワ
ーク間の自由な接続が実現され、膨大なデータ、サービ
スのやりとりがなされる場合、セキュリティ上の問題を
考慮する必要が生じてくる。例えば、組織内部の秘密情
報の外部ネットワークへの漏洩をいかに防ぐか、という
問題や、組織外からの不正な侵入から、組織内ネットワ
ークに接続された資源、情報をいかに守るか、という問
題である。インターネットは、当初学術研究を目的に構
築されたため、ネットワークの接続による自由なデータ
サービスのやりとりを重視しており、このようなセキュ
リティ上の問題は考慮されていなかったが、近年多くの
企業、団体がインターネットに接続するようになり、セ
キュリティ上の問題から自組織ネットワークを防衛する
機構が必要となってきた。

【０００４】そこで、複数のネットワークを接続する際
に、それらのネットワークを介して相互にやりとりされ
るデータを監視、チェックし、不正なアクセスが外部か
ら侵入したり、内部データが外部に漏洩することを防止
する機構を配置することが一般に行われている。このよ
うな機構をファイアウォールという。ファイアウォール
を設置することにより、外部への秘密情報の漏洩、外部
からの不正なアクセスを防ぎ、かつ内部から安全に外部
のサービスを受けられるようになる。

【０００５】従来のファイアウォールは通常外部ネット
ワークの接点に配置される。この様子を図１６に示す。
すなわち、ファイアウォール１０３によって保護したい
ネットワーク１０１と、それ以外のネットワーク１０２
との接続点ただ１つに配置され、外部のネットワーク１
０２と保護したいネットワーク１０１の間で交換される
パケットすべてがこのファイアウォール１０３を必ず通
るような形に作られる。ファイアウォールは１つのネッ
トワーク接続機器を指すものではなく、一般的にはルー
タやゲートウェイなど、ハード、ソフトを含めた複数の
構成要素をまとめて指す。ファイアウォールでは、ファ
イアウォールを通る通信すべてについてその正当性や安
全性を確認し、通信を許可する。

【０００６】しかし、従来の方法では、組織内から組織
外の全てのトラフィックがファイアウォールに集中す
る。よって、組織内に数多くの計算機が存在する場合に
は、ファイアウォールに大きな負荷がかかることにな
る。このため、たとえファイアウォールの両側、すなわ
ち組織外及び組織内への通信路容量が十分に大きい場合
でも、ファイアウォールの処理能力がそれに見合うだけ
のものでない限り、この通信路容量を活かすことは活か
すことができず、高速通信の妨げになるという問題があ
る。また、ファイアウォールにおける制限が厳しくなれ
ばなる程、使用できるサービスが制限され、利用者の利
便性が損なわれる。逆に利用者の利便を求めれば求める
程、安全性が低下することになる。また、ファイアウォ
ールを分散させ、各計算機に割り当てるといったことを
行なった場合、組織内部での信頼関係が失われ、ホスト
間の信頼関係によって使用できる有益なサービスの使用
が困難になり、やはり利用者の利便性が損なわれること
になる。

【０００７】

【発明が解決しようとする課題】従来の方法では、ファ
イアウォールに負荷が集中するという問題があった。ま
た、ネットワークの安全性と利用者の利便性を確保しつ
つ、ファイアウォールを分散化することも、従来のファ
イアウォールの特性上、困難であった。

【０００８】本発明は、上記事情を考慮してなされたも
ので、複数の計算機が複数の相互接続された通信ネット
ワークにより相互に通信可能に接続された計算機システ
ムにおいて、ファイアウォールを分散化することを可能
とするネットワークアクセス制御方法を提供することを
目的とする。

【０００９】また、本発明は、複数の計算機が複数の相
互接続された通信ネットワークにより相互に通信可能に
接続された計算機システムにおいて、保護単位のネット
ワーク内にある計算機それぞれについて、安全性を確保
しつつ、自由なアクセス制御の規則を設けることを可能
とするネットワークアクセス制御方法を提供することを
目的とする。

【００１０】

【課題を解決するための手段】本発明（請求項１）は、
外部ネットワークと接続可能な管理ネットワーク内の複
数の計算機を外部から保護するためのネットワークアク
セス制御方法において、前記複数の計算機のいずれかを
送信元または宛先とするすべてのパケットを監視可能な
位置に設けられた接続状態検出手段により、前記パケッ
トの内容に基づいて、前記複数の計算機の他計算機との
接続開始および接続終了を少なくとも検出し、前記複数
の計算機対応に設けられた保護手段により、少なくとも
検出された前記接続開始または前記接続終了の情報に基
づいて、対応する前記計算機にパケットを受信させるか
否かを決定することを特徴とする。

【００１１】ここで、管理ネットワークとは、保護対象
となる一纏まりのネットワークをいう。外部ネットワー
クとは、管理ネットワーク以外のネットワークをいう。
本発明によれば、接続状態検出手段を一箇所に設けて保
護対象となる管理ネットワーク内の計算機の他計算機と
の接続の状態を集中的に監視するとともに、保護手段を
保護対象となる管理ネットワーク内に計算機対応に分散
し、各保護手段では少なくとも接続状態検出手段により
検出された計算機それぞれの接続の状態によって通信の
許可もしくは拒否を行うので、ネットワークアクセス制
御を行って計算機を保護する機構を分散配置できるた
め、負荷の集中を避けることができ、より高速な通信が
可能となる。また、各計算機が独立なアクセス制御のた
めのルールを持ち、利用者の利便性を確保しつつ、ネッ
トワーク全体の安全性を保つことができる。

【００１２】本発明（請求項２）は、外部ネットワーク
と接続可能な管理ネットワーク内の複数の計算機を外部
から保護するためのネットワークアクセス制御方法にお
いて、前記複数の計算機のいずれかを送信元または宛先
とするすべてのパケットを監視可能な位置に設けられた
接続状態検出手段により、前記パケットの内容に基づい
て、前記複数の計算機の他計算機との接続開始および接
続終了を少なくとも検出し、危険度導出手段により、検
出された前記接続開始または前記接続終了の情報に基づ
いて、前記複数の計算機夫々の危険度を求め、前記複数
の計算機対応に設けられた保護手段により、少なくとも
求められた前記危険度の情報に基づいて、対応する前記
計算機にパケットを受信させるか否かを決定することを
特徴とする。

【００１３】本発明（請求項３）は、外部ネットワーク
と接続可能な管理ネットワーク内の複数の計算機を外部
から保護するためのネットワークアクセス制御方法にお
いて、前記複数の計算機のいずれかを送信元または宛先
とするすべてのパケットを監視可能な位置に設けられた
接続状態検出手段により、前記パケットの内容に基づい
て、前記複数の計算機の他計算機との接続開始および接
続終了を少なくとも検出し、少なくとも前記接続開始ま
たは前記接続終了が検出されるごとに、危険度導出手段
により、検出された前記接続開始または前記接続終了の
情報に基づいて、前記複数の計算機夫々の危険度を求
め、求められた新たな危険度を、前記複数の計算機対応
に設けられ対応する前記計算機を保護する保護手段に伝
えることを特徴とする。

【００１４】ここで、危険度とは、計算機がどのくらい
危険であるかを示す指標であり、計算機それぞれについ
て定められる。例えば、危険な場合には１、安全な場合
には０とする。

【００１５】この危険度は、接続によって伝搬し得るも
のとする。すなわち、危険度は、計算機が持つ成立した
接続それぞれの現在の接続先によって、接続した側およ
び接続された側双方が変化する可能性がある。

【００１６】接続によって危険度が伝搬するか否かにつ
いて、例えば接続による危険度の変化規則として定義し
ておき、危険度が伝搬する接続開始または終了が検出さ
れた場合のみ、前記複数の計算機夫々の危険度を求める
ようにしても良い。

【００１７】本発明では、接続状態検出手段を一箇所に
設けて保護対象となる管理ネットワーク内の計算機の他
計算機との接続の状態を集中的に監視するとともに、接
続状態検出手段の検出結果にしたがって危険度導出手段
において各時点での各計算機の危険度を導出する。

【００１８】一方、保護手段を保護対象となる管理ネッ
トワーク内に計算機対応に分散し、各保護手段では少な
くとも計算機それぞれの接続の状態あるいは危険度に基
づいて通信の許可もしくは拒否を行う。

【００１９】すなわち、保護手段は、危険度や接続情報
に基づき、定められた規則にしたがって、管理ネットワ
ーク内の計算機へのパケットの転送の可否を決定する。
接続情報とは、例えば、計算機が接続を開始した時間
や、相手計算機のアドレス、提供するあるいは受けるサ
ービスの種類など、その接続に付随する情報一般であ
る。

【００２０】また、接続先の計算機の危険度が変化した
場合、その通知を受けた保護手段は、新しい危険度に応
じてその通信を遮断したり許可することが可能である。
本発明によれば、ネットワークアクセス制御を行い計算
機を保護する機構が計算機毎に分散して配置できるた
め、負荷の集中を避けることができ、より高速な通信が
可能となる。

【００２１】また、管理ネットワークに接続された各計
算機において、他計算機からの接続の可否を定める際
に、他計算機が危険な計算機か、危険な計算機と接続し
ているかということによって判断できるので、保護機構
が分散しても、信頼できる計算機を危険度から動的に判
断することが可能となり、信頼に基づいた有益なサービ
スを使用することができる。

【００２２】また、各計算機に対して危険度という指標
を用いることによって、保護装置を分散して運用する場
合でも、安全かつ柔軟な運用が可能となる。すなわち、
各計算機が独立なアクセス制御のためのルールを持ち、
利用者の利便性を確保しつつ、ネットワーク全体の安全
性を保つことができる。

【００２３】なお、本発明は、ネットワークアクセス制
御装置の形で実現することもでき、これは例えば、管理
ネットワーク内の計算機の接続開始および終了を検出す
るための接続状態検出手段と、この接続状態検出装置に
よって得られる接続情報を管理し、危険度を導出する接
続情報管理手段と、各計算機へのパケットの転送をあら
かじめ規定された規則にしたがって制御する計算機対応
に設けられた保護装置を具備する。

【００２４】ネットワークアクセス制御装置はまず管理
ネットワーク内のすべての計算機について、接続先の計
算機が管理ネットワークにあるか外部ネットワークにあ
るかを問わず、そのすべての接続の開始および中断、終
了を検出する。検出された接続は、その接続が終了する
まで記憶される。また、ネットワークアクセス制御装置
は、各計算機についての危険度を記憶している。接続が
変化した、すなわち新しい接続が検出されたりある接続
が終了された場合、危険度は変化するため、ネットワー
クアクセス装置は新たな危険度を導出する。危険度の導
出方法は、ネットワークアクセス制御装置の管理者が自
由に定めることができる。危険度の導出の際には、接続
情報や、あらかじめ与えられた情報を使用することがで
きる。管理ネットワーク内の計算機に対して新たな接続
要求が発生した場合、ネットワークアクセス制御装置は
接続の要求を計算機に渡すかどうか、すなわちそのパケ
ットを計算機に転送するかどうかを判断する。その判断
規則は、接続情報と危険度情報を用いてネットワークア
クセス制御装置の管理者が定めることができる。判断規
則は、各計算機毎に独立に限定される。また、新たな接
続の発生やある接続の終了に伴い危険度情報の内容が変
化した場合、すでに接続されている通信もこれを遮断す
る必要があると判断された場合、その接続に関連するパ
ケットの転送を中止する。よって、各計算機は互いに接
続している計算機相互の動的な接続状態の変化の他に危
険度の変化に伴い動的に接続状態が変化することにな
る。

【００２５】

【発明の実施の形態】以下、図面を参照しながら発明の
実施の形態を説明する。図１は、本発明を適用した計算
機ネットワークの一構成例を示す。外部ネットワークＮ
１は、複数の組織が接続する解放されたネットワークで
ある。図１中に示す計算機Ｏ１〜Ｏ５は外部の計算機を
表しており、外部ネットワークＮ１に直接または他のネ
ットワークを介して接続される。

【００２６】本実施形態で保護対象とする管理ネットワ
ークＮ２内の計算機Ｈ１，Ｈ２，Ｈ３，Ｈ４，…は、そ
れぞれ保護装置Ｐ１，Ｐ２，Ｐ３，Ｐ４，…にまず接続
され、その後、外部ネットワークＮ１へと接続される
か、外部ネットワークＮ１に接続可能なネットワークへ
接続される。

【００２７】接続状態検出装置Ｉ１は、それが管理する
ネットワークに接続されている計算機全ての通信を監視
できる位置に接続する。図１では、スター型のネットワ
ークを仮定している。

【００２８】接続状態検出装置Ｉ１は、管理ネットワー
ク内の各計算機が送信／受信する全てのパケットを監視
することによって接続の開始および終了、通信相手を検
出し、新しい接続が危険度を伝搬する可能性のあるもの
ならば、この接続に付随する情報を含む接続情報を接続
状態管理装置Ｉ２に伝える装置である。接続情報は、例
えば、計算機が接続を開始等した時間や、相手計算機の
アドレス、提供するあるいは受けるサービスの種類など
からなる情報である。

【００２９】接続状態管理装置Ｉ２は、接続状態検出装
置Ｉ１から接続情報を受け取り、その情報を管理すると
ともに、各計算機がどのくらい危険であるかを示す指標
である危険度を求める装置である。

【００３０】なお、本実施形態では、接続の要求を発し
た、すなわち発呼した計算機を発呼者と呼ぶ。また、接
続の要求を受ける計算機を受呼者と呼ぶ。接続は、互い
の計算機の識別子や、ネットワークによって定められる
アドレス、サービスの種類やポートと呼ばれるサービス
を識別する番号などの計算機がネットワーク上で使用す
るプロトコル固有の情報によって識別され得る。よっ
て、同一計算機に複数の異なる接続が存在できることと
する。

【００３１】また、接続の状態には３通りの状態がある
とする。１つは接続がない状態、これは全く通信してい
ないか、過去に通信していたが接続が終了し、その時点
では発呼者、受呼者ともその接続に合致したパケットを
全く送出していない状態を言う。１つは接続が成立して
いる状態、すなわち発呼者および受呼者ともその接続に
合致したパケットを送出している状態を言う。１つは接
続が休止しているという状態である。これは接続は成立
しているが、発呼側、受呼側を問わず現在その接続を使
用しない状態である。

【００３２】接続の検出には、例えばパケットから接続
の成立、休止、終了は判断できるプロトコルの場合、こ
れをもって接続の状態を検出することができる。これら
ができないプロトコルでは、ある一定時間内ある接続に
合致したパケットが送出されなければ、その接続は休止
状態であり、さらにそれより長時間その接続に合致した
パケットが送出されなければ、その接続は終了したと判
断することができる。

【００３３】以下、接続状態検出装置、接続状態管理装
置および保護装置について説明する。図２に、接続状態
検出装置Ｉ１の一構成例を示す。また、図３に、この接
続状態検出装置Ｉ１の動作例のフローチャートを示す。

【００３４】図２のように、本実施形態の接続状態検出
装置Ｉ１は、パケット受信部３０１、接続検出部３０
２、判断情報記憶部３０３、危険度判断部３０４、接続
通知部３０５、パケット転送部３０６から構成される。

【００３５】パケット受信部３０１は、接続状態検出装
置Ｉ１が管理する計算機から送出されるかもしくは該計
算機へ向けて送られるパケットすべてを受信する部分で
ある。

【００３６】接続検出部３０２は、それらのパケットか
ら接続の開始／終了／休止を判断し、また接続情報をそ
のパケットから得る部分である。判断情報記憶部３０３
は、ある接続が危険な接続になりうるかどうかを決定す
るために必要な情報の集合である判断情報を記憶する部
分である。

【００３７】危険度判断部３０４は、判断情報と接続情
報から、新しい接続が危険な接続になりうるかどうかを
判断する部分である。接続通知部３０５は、危険度判断
部３０４が接続を危険なものになりうると判断した場
合、その接続情報を接続状態管理装置Ｉ２に通知する部
分である。

【００３８】パケット転送部３０６は、受信したパケッ
トを計算機に転送する部分である。なお、パケット転送
部３０６を設けず、パケット受信部３０１から計算機に
転送するような構成にしても良い。

【００３９】本実施形態の接続状態検出装置Ｉ１の動作
は概略的には次のようになる。接続状態検出装置Ｉ１
は、パケットを監視しており（ステップＳ１１）、新た
な接続を検出した場合（ステップＳ１２）、危険度を伝
搬する接続と判断されたなら（ステップＳ１２）、接続
状態管理装置Ｉ２に接続開始の通知を行う（ステップＳ
１４）。一方、接続の休止または終了を検出した場合
（ステップＳ１５）、危険度を伝搬する接続と判断され
たなら（ステップＳ１６）、接続状態管理装置Ｉ２に接
続休止／終了の通知を行う（ステップＳ１４）。

【００４０】図４に、接続状態管理装置Ｉ２の一構成例
を示す。また、図５（ａ），（ｂ）に、この接続状態管
理装置Ｉ２の動作例フのローチャートを示す。図４のよ
うに、本実施形態の接続状態管理装置Ｉ２は、接続情報
受信部４０１、接続状態情報管理部４０２、接続状態情
報記憶部４０３、危険度決定部４０４、危険度情報記憶
部４０５、接続状態変化通知部４０６、問い合わせ処理
部４０７から構成される。

【００４１】接続情報受信部４０１は、接続状態検出装
置Ｉ１から接続情報を受信する部分である。接続状態情
報記憶部４０３は、管理ネットワーク内の計算機それぞ
れについて、どの計算機とどのような接続を行ってお
り、現在接続がどのような状態になっているかの情報を
記憶する部分である。この接続状態情報は例えば図６の
ようになる。図６では、計算機Ｏ１と計算機Ｈ１がサー
ビスｔｅｌｎｅｔ（遠隔ログイン）で接続していること
を示し、計算機Ｈ２と計算機Ｈ３がサービスｆｔｐ（フ
ァイル転送）で接続しているが、その接続は今、休止し
ていることを示している。

【００４２】接続状態情報管理部４０２は、接続状態検
出装置Ｉ１から受け取った接続情報をもとに接続状態情
報記憶部４０３内の要素の更新、削除、追加など、接続
状態情報記憶部４０３を管理する部分である。

【００４３】危険度情報記憶部４０５は、接続状態管理
装置Ｉ２が管理する計算機全てについて、その計算機が
今どのくらい危険な接続を行っているかを示す指標を記
憶している。また、管理ネットワーク外にいる計算機に
ついては、それぞれある一定の危険度を仮定することが
できる。危険度情報の一例を図７に示す。

【００４４】危険度決定部４０４は、新たな接続情報に
よって更新された接続状態情報と、現在の危険度情報か
ら新しい危険度情報を決定する。危険度の求め方はプロ
グラマブルであり、装置の管理者は柔軟に危険度の求め
方を設定できる。

【００４５】接続状態変化通知部４０６は、新しい接続
によって危険度情報が変化した場合、その変化の影響を
受ける、すなわち危険度が変化した計算機と接続状態に
ある計算機の保護装置に対して、接続先の危険度がどの
ように変化したかを通知する。

【００４６】問い合わせ処理部４０７は、保護装置から
のある計算機に対する危険度の問い合わせに対しては危
険度情報から適切な回答を応答する。本実施形態の接続
状態管理装置Ｉ２の動作は概略的には次のようになる。
接続状態管理装置Ｉ２は、保護装置から危険度情報の問
い合わせを受信した場合（ステップＳ２１）、危険度情
報を検索し（ステップＳ２２）、危険度応報の応答を行
う（ステップＳ２３）。

【００４７】また、接続状態管理装置Ｉ２は、接続状態
検出装置Ｉ１から接続情報を受信した場合（ステップＳ
３１）、接続状態情報を更新する（ステップＳ３２）。
そして、危険度の再計算を行い（ステップＳ３３）、危
険度変化計算機が存在するなら（ステップＳ３４）、各
計算機へ通知する（ステップＳ３５）。

【００４８】図８に、保護装置の一構成例を示す。ま
た、図９に、この保護装置の動作例のフローチャートを
示す。図８のように、本実施形態の保護装置は、パケッ
ト受信部７０１、発呼検出部７０２、接続終了検出部７
０３、転送許可判断部７０４、許可規則情報管理部７０
５、パケット転送部７０６、危険度問い合わせ部７０
７、保護計算機接続情報記憶部７０８から構成される。

【００４９】パケット受信部７０１は、ネットワークか
らパケットを受信する部分である。保護計算機接続情報
記憶部７０８は、発呼者および受呼者、サービス、保護
装置の保護対象となる計算機からみた接続先の危険度な
どの情報を記憶する部分である。

【００５０】発呼検出部７０２は、保護装置の保護対象
である計算機に対する発呼、および保護装置の保護対象
である計算機の発呼を検出する。発呼が検出された場
合、接続先の計算機の危険度を危険度問い合わせ部７０
７を通して取得し、これをその接続情報に加えて保護計
算機接続情報記憶部７０８に保存する。

【００５１】接続終了検出部７０３は、保護装置の保護
対象である計算機の持つそれぞれの接続に対して、その
終了を検出する。接続の終了が検出された場合、その接
続情報を保護計算機接続情報記憶部７０８から削除す
る。接続終了検出部７０３は、発呼のみで実際に接続が
行われなかった、すなわち接続の失敗も検出し、同様の
ことを行う。

【００５２】許可規則情報管理部７０５は、接続情報と
接続要求をしてきた計算機あるいは接続相手の計算機の
危険度などの接続情報からパケットの転送を行うかどう
かを判断するための情報を記憶する部分である。許可規
則情報も各保護装置ごとにあるため、各保護装置毎に他
の保護装置と異なる独立な規則を持つことができる。

【００５３】転送許可判断部７０４は、パケットから、
適合する接続情報を保護計算機接続情報記憶部７０８に
ある情報から取得し、許可規則情報管理部７０５にある
許可規則によってその接続要求を受けるかどうか決定す
る。

【００５４】パケット転送部７０６は、許可されたパケ
ットを計算機に転送する部分である。危険度問い合わせ
部７０７は、転送許可判断部７０４において必要な、あ
る計算機に対する危険度情報を接続状態監視装置に問い
合わせる部分である。また、接続状態管理装置Ｉ２から
現在通信している計算機の危険度が変化したことを通知
された場合、その情報を保護計算機接続情報記憶部７０
８に保存する。

【００５５】本実施形態の保護装置の動作は概略的には
次のようになる。保護装置は、パケットを受信した場合
（ステップＳ４１）、発呼を検出すると（ステップＳ４
２）、接続状態管理装置Ｉ２に危険度を問い合わせ（ス
テップＳ４３）、保護計算機接続情報に登録する（ステ
ップＳ４４）。一方、接続の終了を検出すると（ステッ
プＳ４５）、保護計算機接続情報から削除する（ステッ
プＳ４６）。そして、受信したパケットは、転送許可な
ら（ステップＳ４７）、転送し（ステップＳ４８）、転
送許可でないなら（ステップＳ４７）、廃棄する（ステ
ップＳ４８）。

【００５６】次に、本実施形態の動作の具体例をＴＣＰ
／ＩＰプロトコルを例に説明する。ＴＣＰ／ＩＰでは、
接続情報として接続先ＩＰアドレスと使用するサービス
がパケットから識別可能である。

【００５７】接続状態管理装置Ｉ２が持つ危険度情報の
初期状態として、計算機Ｏ１を含む外部の計算機は全て
危険であり、計算機Ｈ１〜Ｈ４は危険でないとする。こ
こでは、危険度は１（危険）と０（安全）の２値とす
る。この場合の危険度情報記憶部４０５内の危険度情報
の例を図７に示す。

【００５８】危険度情報の更新方法としては、例えば次
のような方法がある。接続には危険度が伝搬する接続と
伝搬しない接続があるとする。すなわち、危険度が０で
ある計算機が危険度１の計算機と接続し、かつその接続
が危険度を伝搬する接続であった場合、接続した計算機
は危険度１となる。

【００５９】接続状態情報から接続行列Ｃ０を生成す
る。接続行列Ｃ０は次のように生成する。各行を接続状
態情報に現れる計算機と対応付ける。仮に計算機Ｏ１を
第一行、計算機Ｈ１を第二行、計算機Ｈ２を第三行、計
算機Ｈ３を第四行、計算機Ｈ４を第五行とする。次に、
注目する計算機の接続対象となる計算機を各列と対応付
ける。このとき、行と同じ順序で対応付ける。すなわ
ち、計算機Ｏ１を第一列、計算機Ｈ１を第二列、計算機
Ｈ２を第三列、計算機Ｈ３を第四列、計算機Ｈ４を第五
列とする。各行について危険度を伝搬する接続を行って
いる場合、対応する列の成分を１とし、それ以外は０と
する。ただし、対角成分は１とする。よって、接続行列
の成分は対角成分に対して対象となる。仮にＯ１とＨ
２、Ｈ２とＨ３が接続しているとすると、接続行列は図
１０のようになる。

【００６０】これによって得られた接続行列をｎ−１乗
し、この結果をＣとする。ただし、接続状態情報にあら
われる計算機の台数をｎとする。結果Ｃはｎ台の計算機
がそれらの間接な接続に関してどの範囲に伝搬されるか
を表現している。

【００６１】危険度情報から危険度ベクトルの状態Ｔ₀
＝［ｔ₀ ，ｔ₁ ，…，ｔ_n-1 ］^t を生成する。いま、接
続状態情報に現れている計算機Ｏ１，Ｈ１，Ｈ２，Ｈ
３，Ｈ４の５台とすると、前述の条件から初期値はＴ₀
＝［１，０，０，０，０］^t とできる。

【００６２】そして、新しい危険度ベクトルＴ₁ を、Ｔ
₁ ＝Ｃ×Ｔ₀ により求める。この例では、新しく得られ
た危険度ベクトルはＴ₁ ＝［１，０，１，１，０］^t と
なり、計算機Ｏ１の危険度が接続を伝搬してＨ２へ、さ
らにその危険度がＨ３へ伝搬したことを表す。なお、こ
の例では危険度は０か１の２値であるので、接続行列Ｃ
０と危険度ベクトルＴの積の結果、危険度ベクトルＴの
各成分においてこれが１より大きい値をとる場合は、こ
れを１とする。

【００６３】次に、接続状態検出装置Ｉ１が持つ判断情
報として、図１１に示すものが与えられていると仮定す
る。発呼者とは、接続要求を出した計算機を意味してお
り、受呼者は、その接続要求を受諾する計算機を意味し
ている。サービスは、その接続によって使用されるネッ
トワークサービスの種類を意味する。危険度伝搬性の項
目が“伝搬する”の場合には、その接続は危険度を伝搬
しうる接続であることを意味し、接続状態管理装置に新
しい接続が発生したことを伝える。危険度伝搬性の項目
が“伝搬しない”であれば、その接続は危険度を伝搬し
ない安全な接続であることを意味し、接続状態管理装置
Ｉ２に新しい接続が発生したことを伝えない。よって、
この情報の意図するところは、外部ネットワークにある
計算機が、管理ネットワークに対して発呼した場合、サ
ービスｔｅｌｎｅｔ、ｆｔｐについては危険度を伝搬し
うる接続であり、接続状態管理装置に新しい接続が発生
したことを伝えることを意味している。また、管理ネッ
トワークにある計算機が外部ネットワークにある計算機
に対して発呼した場合で、サービスがｆｔｐによる接続
ならば、これは危険になりえない接続と判断され、ｆｔ
ｐによる接続が新しく発生したとしても、接続状態管理
装置に伝えないことを意味している。

【００６４】次に、保護装置Ｐ２が持つ許可規則情報と
して、図１２に示すものが与えられていたと仮定する。
また、保護装置Ｐ３が持つ許可規則情報として、図１３
に示すものが与えられていたと仮定する。

【００６５】図１２、図１３の管理計算機とは、その保
護装置の管理対象となる計算機を意味する。条件は接続
先の危険度がどのくらいならその規則を満たすかを示し
ている。よって、図１２の意図するところは、外部ネッ
トワークから管理計算機へのｔｅｌｎｅｔおよびｆｔｐ
は拒否する、すなわちこのパケットは管理計算機へ転送
されないというものである。管理ネットワークから管理
計算機へのｔｅｌｎｅｔおよびｆｔｐは発呼者の危険度
が０であればパケットを管理計算機へと転送するが、危
険度が１であれば転送せず、そのパケットを廃棄するこ
とを示している。同様に、図１３の意図するところは、
外部ネットワークから管理計算機へのｔｅｌｎｅｔおよ
びｆｔｐは拒否する、すなわちこのパケットは管理計算
機へ転送されないというものである。一方、管理ネット
ワークから管理計算機へのｔｅｌｎｅｔおよびｆｔｐは
発呼者の危険度にかかわらずこれを転送するということ
である。

【００６６】以下、本発明によるネットワークアクセス
制御装置の動作手順の一例を順を追って説明する。計算
機Ｈ１が外部ネットワークＮ１にある計算機Ｏ１とサー
ビスｆｔｐで接続したとする。計算機Ｈ１が送出するパ
ケットおよび計算機Ｈ１に宛てられたパケットはすべて
保護装置Ｐ１を通る。この接続は接続状態検出装置Ｉ１
で検出されるが、図１１の判断情報の４からこの接続は
危険度を伝搬しないと判断され、接続状態管理装置Ｉ２
には伝えられない。

【００６７】計算機Ｈ１が外部ネットワークＮ１にある
計算機Ｏ１とサービスｔｅｌｎｅｔで接続したとする。
接続状態検出装置Ｉ１では、この接続は図１１の判断情
報の３から危険度を伝搬すると判断され、この計算機Ｈ
１と計算機Ｏ１の接続は接続状態管理装置Ｉ２に伝えら
れる。接続状態管理装置Ｉ２では、この接続情報をもと
に、接続状態情報記憶部４０３を更新すると同時に危険
度情報を更新する。危険度１の計算機Ｏ１から危険度は
伝搬され、計算機Ｈ１も危険度１の計算機となる。

【００６８】次に、計算機Ｈ１が計算機Ｈ２に対してｔ
ｅｌｎｅｔによる接続要求を出したとする。計算機Ｈ２
の保護装置Ｐ２は接続状態管理装置Ｉ２に計算機Ｈ１の
現在の危険度を問い合わせる。接続状態管理装置Ｉ２は
危険度情報から計算機Ｈ１は危険であると応答する。図
１２の許可規則情報の４から保護装置Ｐ２はこのパケッ
トを計算機Ｈ２に転送しないので、計算機Ｈ１と計算機
Ｈ２の接続は成立しない。

【００６９】次に、計算機Ｈ３が計算機Ｈ２にｔｅｌｎ
ｅｔによる接続要求を出したとする。同様の処理が行わ
れ、計算機Ｈ３の危険度は０であることを接続状態管理
装置Ｉ２が保護装置Ｐ２に通知すると、計算機Ｈ３と計
算機Ｈ２の接続は成立する。

【００７０】計算機Ｈ１が次に計算機Ｈ３にｔｅｌｎｅ
ｔによる接続要求を出したとする。図１３の許可規則情
報の３から保護装置Ｐ３は発呼者の危険度にかかわらず
パケットを転送するので、計算機Ｈ１と計算機Ｈ３の接
続は成立する。この接続は接続状態検出装置Ｉ１によっ
て検出され、接続状態管理装置Ｉ２に伝えられる。接続
状態管理装置Ｉ２では、この新たな接続をもとに危険度
の再評価を行う。その結果、接続状態管理装置Ｉ２では
計算機Ｈ３の危険度が０から１へ変化したということが
判明する。この変化を接続先である保護装置Ｐ２に通知
する。保護装置Ｐ２はこれを受けて、図１２の許可規則
情報の４から計算機Ｈ３からのこの接続に関するパケッ
トの転送を停止し、このパケットを破棄する。計算機Ｈ
１と計算機Ｈ３のｔｅｌｎｅｔによる接続が終了する
と、再び計算機Ｈ３の危険度は０となるため、保護装置
Ｐ２はパケットの転送を再開する。

【００７１】ところで上記の実施形態では、外部ネット
ワークとの接点に接続状態検出装置を設けたが、バス型
ネットワークでの構成は必ずしも外部ネットワークとの
接点に接続状態検出装置がある必要はない。管理したい
計算機が送出するパケットおよび計算機へ向かうパケッ
ト全てをモニタすることができれば良いので、図１４の
ように、バス型ネットワークＢ１上の別な位置に接続す
ることもできる。また、図１５のように、計算機を接続
するハブＨＵＢ１の中に直接、接続状態検出装置および
接続状態管理装置、保護装置を直接収容しても良い。こ
の場合、計算機との接点それぞれに保護装置が内蔵され
ていることになる。

【００７２】また、上記の実施形態では、接続の状態に
は開始、終了、休止の３通りの状態があるとしたが、そ
の代わりに、休止を検出しても接続状態とみなす、休止
は終了とみなす、休止の検出は行わず接続開始および終
了のみ検出する、といったような他の方法を採用するこ
とも可能である。また、本発明は、上述した実施の形態
に限定されるものではなく、その技術的範囲において種
々変形して実施することができる。

【００７３】

【発明の効果】本発明によれば、管理ネットワーク内の
計算機の他計算機との接続の検出を一箇所で集中的に行
い、通信の許可もしくは拒否を行う保護手段の部分を保
護対象となる管理ネットワーク内に計算機対応に分散し
たので、保護機構にかかる負荷の集中を避けることがで
き、より高速な通信が可能となる。

【００７４】また、各計算機に対して危険度という指標
を用いることによって、保護装置を分散して運用する場
合でも、各計算機が独立なアクセス制御のためのルール
を持ち、利用者の利便性を確保しつつ、ネットワーク全
体の安全性を保つことができるので、安全かつ柔軟な運
用が可能となる。

【図面の簡単な説明】

【図１】本発明の実施形態に係る計算機ネットワークの
一構成例を示す図

【図２】接続状態検出装置の一構成例を示す図

【図３】接続状態検出装置の動作手順を示すフローチャ
ート

【図４】接続状態管理装置の一構成例を示す図

【図５】接続状態管理装置の動作手順を示すフローチャ
ート

【図６】接続状態表の一例を示す図

【図７】危険度情報の一例を示す図

【図８】保護装置の一構成例を示す図

【図９】保護装置の動作手順を示すフローチャート

【図１０】接続行列を示す図

【図１１】判断情報の一例を示す図

【図１２】規則情報の一例を示す図

【図１３】管理情報の一例を示す図

【図１４】バス型ネットワークを持つ計算機ネットワー
クの一構成例を示す図

【図１５】ハブ内に直接収容された場合の一構成例を示
す図

【図１６】従来例を示す図

【符号の説明】

Ｉ１…接続状態検出装置Ｉ２…接続状態管理装置Ｐ１，Ｐ２，Ｐ３，Ｐ４…保護装置Ｈ１，Ｈ２，Ｈ３，Ｈ４，Ｏ１，Ｏ２，Ｏ３，Ｏ４，Ｏ
５…計算機Ｎ１…外部ネットワークＮ２…管理ネットワークＢ１…バス型ネットワークＲ１…ルータＨＵＢ１…ハブ３０１…受信部３０２…接続検出部３０３…判断情報記憶部３０４…危険度判断部３０５…接続通知部４０１…接続情報受信部４０２…接続状態情報管理部４０３…接続状態情報記憶部４０４…危険度決定部４０５…危険度情報記憶部４０６…接続状態変化通知部４０７…問い合わせ処理部７０１…パケット受信部７０２…発呼検出部７０３…接続終了検出部７０４…転送許可判断部７０５…許可規則情報管理部７０６…パケット転送装置７０７…危険度問い合わせ部７０８…保護計算機接続情報記憶部

Claims

【特許請求の範囲】

【請求項１】外部ネットワークと接続可能な管理ネット
ワーク内の複数の計算機を外部から保護するためのネッ
トワークアクセス制御方法において、前記複数の計算機のいずれかを送信元または宛先とする
すべてのパケットを監視可能な位置に設けられた接続状
態検出手段により、前記パケットの内容に基づいて、前
記複数の計算機の他計算機との接続開始および接続終了
を少なくとも検出し、前記複数の計算機対応に設けられた保護手段により、少
なくとも検出された前記接続開始または前記接続終了の
情報に基づいて、対応する前記計算機にパケットを受信
させるか否かを決定することを特徴とするネットワーク
アクセス制御方法。
【請求項２】外部ネットワークと接続可能な管理ネット
ワーク内の複数の計算機を外部から保護するためのネッ
トワークアクセス制御方法において、前記複数の計算機のいずれかを送信元または宛先とする
すべてのパケットを監視可能な位置に設けられた接続状
態検出手段により、前記パケットの内容に基づいて、前
記複数の計算機の他計算機との接続開始および接続終了
を少なくとも検出し、危険度導出手段により、検出された前記接続開始または
前記接続終了の情報に基づいて、前記複数の計算機夫々
の危険度を求め、前記複数の計算機対応に設けられた保護手段により、少
なくとも求められた前記危険度の情報に基づいて、対応
する前記計算機にパケットを受信させるか否かを決定す
ることを特徴とするネットワークアクセス制御方法。
【請求項３】外部ネットワークと接続可能な管理ネット
ワーク内の複数の計算機を外部から保護するためのネッ
トワークアクセス制御方法において、前記複数の計算機のいずれかを送信元または宛先とする
すべてのパケットを監視可能な位置に設けられた接続状
態検出手段により、前記パケットの内容に基づいて、前
記複数の計算機の他計算機との接続開始および接続終了
を少なくとも検出し、少なくとも前記接続開始または前記接続終了が検出され
るごとに、危険度導出手段により、検出された前記接続
開始または前記接続終了の情報に基づいて、前記複数の
計算機夫々の危険度を求め、求められた新たな危険度を、前記複数の計算機対応に設
けられ対応する前記計算機を保護する保護手段に伝える
ことを特徴とするネットワークアクセス制御方法。