JPWO2007116605A1 - 通信端末装置、ルール配布装置およびプログラム - Google Patents

Abstract

通信端末装置１０は、ネットワークに接続するための通信装置１１と、ファイアウォールルールに従って機能するファイアウォール１２とを備え、ネットワークの識別情報とファイアウォールルールとを対応付けてネットワーク毎に保持しているルール記憶部１４と、ルール配布装置２０から受信されるファイアウォールルールを適用すべきネットワークの識別情報に対応付けてルール記憶部１４に記憶するルール記憶制御部１５と、ネットワークの識別情報を検出して監視するとともに該識別情報が新たに検出又は変化すると当該検出又は変化した識別情報に対応付けられているファイアウォールルールをルール記憶部１４から読み出してファイアウォール１２に設定又は更新するファイアウォール制御部１３とを有する。

Description

本発明は、ファイアウォールを備えた通信端末装置、及び通信端末装置のプログラムに関する。また、ファイアウォールルールを各通信端末装置へ配布するルール配布装置、及びルール配布装置のプログラムに関する。

近年、携帯電話網、無線LAN(Local Area Network)をはじめとする無線ネットワークの普及に伴い、移動端末装置を用いて多種多様なネットワークに接続するというユースケースが増大している。

多種多様なネットワークに端末を接続する場合、悪意を持った攻撃者によりネットワーク経由で端末が攻撃される恐れが高くなる。これを防御するために、端末内にパーソナルファイアウォール（以下ファイアウォール）機能を実装する方法がある。ファイアウォールは、端末とネットワークの間の通信を監視し、必要な通信のみを通過させ、不要な通信を遮断する。これにより、ネットワーク側からの不正な通信や攻撃を防御することができる。

従来、ファイアウォール機能は、おもにパーソナルコンピュータ上のソフトウェアとして実装されることが多く、携帯電話のような移動体通信端末装置に実装されることはあまりなかった。しかし、移動体通信端末装置は、セキュリティレベルの異なるネットワークを頻繁に切り替えて接続するため、移動体通信端末装置のファイアウォールには、あまり移動を想定していないパーソナルファイアウォールよりもさらに高度な機能が要求される。具体的には、ネットワークが切り替わったときに、切り替え先のネットワークのセキュリティレベルに応じてファイアウォールルールを迅速に切り替える必要がある。

また、携帯電話のような移動体端末装置の利用者の多くは、ファイアウォールの設定などに精通していないので、ファイアウォールの設定を、携帯電話サービスの提供者が設定することが望まれる。特に、新種のコンピュータウィルスやワームが発生した場合には、特定の攻撃が短時間のうちに増加するため、各通信端末装置のファイアウォールに速やかに攻撃を防御するためのルールを適用し、攻撃を未然に防御する必要がある。

（１）特開２００４−０９４７２３号公報（特許文献１）には、ユーザのシステムがサービス提供会社のシステムに対してファイアウォールの設定変更データを要求すると、提供会社のシステムがユーザのシステムへ変更データを送信して、ファイアウォールの設定を変更することが記載されている。

（２）特開２００５−１９１７２１号公報（特許文献２）には、無線ＬＡＮネットワーク検出部が検出したネットワーク識別子に対応するネットワーク設定情報を持っていない場合に、当該無線ＬＡＮに接続するための無線部とは異なる無線部を用いてディレクトリサーバにアクセスして当該無線ＬＡＮのネットワーク設定情報をダウンロードして登録する機能を備えた無線端末装置が記載されている。

（３）特開２００５−０３１７２０号公報（特許文献３）には、ユーザ毎にファイアウォールルールを記憶しており、接続に応じてファイアウォールルールを切り換えるファイアウォール装置が記載されている。
特開２００４−０９４７２３号公報 特開２００５−１９１７２１号公報 特開２００５−０３１７２０号公報

特許文献１や２に記載の設定変更方式は、何れも、ユーザからの要求に応じてサービス提供者が更新データを返す方式であるため、例えば、新種のコンピュータウィルスやワームが発生した場合等のように、緊急に各通信端末装置のファイアウォールルールを更新する必要が生じたような場合に対応できない。従来の方式で上記のような緊急事態に対応するためには、常時ユーザ側からポーリングを繰り返している必要があり、ネットワークの負荷が増大する。また、たいていは緊急事態ではないことに鑑みると、通信の大部分が無駄となってしまう。

本発明は、新種のコンピュータウィルス等が発生したような緊急事態でも、各通信端末装置のファイアウォールルールを速やかに更新できるようにすることを目的とする。

また、従来は、通信端末装置が攻撃を受けている場合、サービス提供者が、その事実や攻撃パターン或いは攻撃を受けているネットワークを速やかに知る手法が無い。このため例えば新種のネットワーク攻撃への対応も後手になりがちである。

本発明は、ネットワーク攻撃を速やかに検出してファイアウォールルール更新等の対応を適時にとり得るようにすることを目的とする。

本発明は、下記［１］〜［１１］のように構成される。

［１］構成１：
ネットワークに接続するための通信装置と、設定されているファイアウォールルールに従ってネットワークと自装置との間のデータの通過と遮断を制御するファイアウォールと、を備えた通信端末装置であって、
ネットワークの識別情報とファイアウォールルールとを対応付けてネットワーク毎に保持しているルール記憶部と、
所定のルール配布装置から受信されるファイアウォールルールを、当該ファイアウォールルールを適用すべきネットワークの識別情報に対応付けて前記ルール記憶部に記憶するルール記憶制御部と、
ネットワークの識別情報を検出して監視するとともに該識別情報が新たに検出され又は変化すると当該検出され又は変化した識別情報に対応付けられているファイアウォールルールを前記ルール記憶部から読み出して前記ファイアウォールに設定し又は更新するファイアウォール制御部と、
を有することを特徴とする通信端末装置。

［２］構成２：
構成１に於いて、
前記ルール記憶制御部は、所定のルール配布装置から受信されるファイアウォールルールにネットワークの識別情報が対応付けられている場合は当該識別情報をファイアウォールルールに対応付けて前記ルール記憶部に記憶し、前記ファイアウォールルールにネットワークの識別情報が対応付けられていない場合は前記ファイアウォール制御部が検出している識別情報を前記ファイアウォールルールに対応付けて前記ルール記憶部に記憶する、
ことを特徴とする通信端末装置。

［３］構成３：
構成１に於いて、
前記ファイアウォール制御部は、前記ルール記憶部にファイアウォールルールとネットワークの識別情報が対応付けて記憶されると、当該識別情報を現在検出している識別情報と比較して、両者が合致する場合は当該識別情報に対応付けられたファイアウォールルールを前記ルール記憶部から読み出して前記ファイアウォールに設定されているファイアウォールルールを当該読み出したファイアウォールルールに更新する、
ことを特徴とする通信端末装置。

［４］構成４
構成１に於いて、
前記ルール記憶制御部は、所定のルール配布装置から受信されるファイアウォールルールであることを所定の電子署名を検証することで確認する、
ことを特徴とする通信端末装置。

［５］構成５：
構成１に於いて、さらに、
前記通信装置で受信されるデータを監視して所定のパターンに合致するネットワーク攻撃を検出する攻撃検出部と、
前記攻撃検出部がネットワーク攻撃を検出すると、該ネットワーク攻撃のパターン情報と前記ファイアウォール制御部が検出している識別情報とを対応付けて当該パターン情報と当該識別情報とを所定のルール配布装置へ宛てて送信する攻撃通知部と、
を有することを特徴とする通信端末装置。

［６］構成６：
構成５に於いて、
前記攻撃通知部は、前記ネットワーク攻撃のパターン情報に所定のルール配布装置が要求する電子署名を付して、当該パターン情報と前記識別情報とを送信する、
ことを特徴とする通信端末装置。

［７］構成７：
ネットワークに接続するための通信装置を備えたルール配布装置であって、
ネットワークの識別情報とファイアウォールルールとを対応付けてネットワーク毎に保持しているルール記憶部と、
管理下にある通信端末装置のデータ送信先情報を通信端末装置毎に保持している端末装置記憶部と、
前記ルール記憶部からファイアウォールルールを読み出して、必要に応じて当該ファイアウォールルールの適用対象のネットワークの識別情報を当該ファイアウォールルールに対応付けて、当該ファイアウォールルールと当該識別情報とを管理下の通信端末装置へ宛てて送信するルール通知部と、
を有することを特徴とするルール配布装置。

［８］構成８：
構成７に於いて、
前記ルール通知部は、所定の電子署名を付して前記ファイアウォールルールと前記識別情報とを送信する、
ことを特徴とするルール配布装置。

［９］構成９：
構成７に於いて、
通信端末装置から受信されるネットワーク攻撃のパターン情報とネットワーク識別情報に基づいて、当該識別情報が対応付けられているファイアウォールルールで当該ネットワーク攻撃に対応可能か否かを調べるルール検査部と、
前記ルール検査部が対応不可と認定した場合は当該ネットワーク攻撃に対応可能なファイアウォールルールを作成するルール作成部と、
を更に有し、
前記ルール通知部は、前記ルール作成部が作成したファイアウォールルールに当該ネットワークの識別情報を対応付けて、当該ファイアウォールルールと当該識別情報とを管理下の通信端末装置へ宛てて送信する、
ことを特徴とするルール配布装置。

［１０］構成１０：
ネットワークに接続するための通信装置と、設定されているファイアウォールルールに従ってネットワークと自コンピュータとの間のデータの通過と遮断を制御するファイアウォールと、を備えたコンピュータを、
ネットワークの識別情報とファイアウォールルールとを対応付けてネットワーク毎に保持しているルール記憶部に、所定のルール配布装置から受信されるファイアウォールルールを、当該ファイアウォールルールを適用すべきネットワークの識別情報に対応付けて記憶するルール記憶制御部、
ネットワークの識別情報を検出して監視するとともに該識別情報が新たに検出され又は変化すると当該検出され又は変化した識別情報に対応付けられているファイアウォールルールを前記ルール記憶部から読み出して前記ファイアウォールに設定し又は更新するファイアウォール制御部、
として機能させるためのプログラム。

［１１］構成１１：
ネットワークに接続するための通信装置を備えたコンピュータを、
管理下にある通信端末装置のデータ送信先情報を通信端末装置毎に保持している端末装置記憶部、
ネットワークの識別情報とファイアウォールルールを対応付けてネットワーク毎に保持しているルール記憶部からファイアウォールルールを読み出して、必要に応じて当該ファイアウォールルールの適用対象のネットワークの識別情報を当該ファイアウォールルールに対応付けて、当該ファイアウォールルールと当該識別情報とを管理下の通信端末装置へ宛てて送信するルール通知部、
として機能させるためのプログラム。

構成１の通信端末装置は、ネットワークに接続するための通信装置と、設定されているファイアウォールルールに従ってネットワークと自装置との間のデータの通過と遮断を制御するファイアウォールと、を備えた通信端末装置であって、ネットワークの識別情報とファイアウォールルールとを対応付けてネットワーク毎に保持しているルール記憶部と、所定のルール配布装置から受信されるファイアウォールルールを当該ファイアウォールルールを適用すべきネットワークの識別情報に対応付けて前記ルール記憶部に記憶するルール記憶制御部と、ネットワークの識別情報を検出して監視するとともに該識別情報が新たに検出され又は変化すると当該検出され又は変化した識別情報に対応付けられているファイアウォールルールを前記ルール記憶部から読み出して前記ファイアウォールに設定し又は更新するファイアウォール制御部と、を有する。このため、新種のコンピュータウィルス等が発生したような緊急事態でも、サービス提供者側からの更新データを受け入れてファイアウォールルールを速やかに更新することができる。

構成２の通信端末装置は、構成１に於いて、前記ルール記憶制御部は、所定のルール配布装置から受信されるファイアウォールルールにネットワークの識別情報が対応付けられている場合は当該識別情報をファイアウォールルールに対応付けて前記ルール記憶部に記憶し、前記ファイアウォールルールにネットワークの識別情報が対応付けられていない場合は前記ファイアウォール制御部が検出している識別情報を前記ファイアウォールルールに対応付けて前記ルール記憶部に記憶する。このため、構成１が奏する効果に加えて、ネットワークの識別情報の対応付けについての具体的構成を与えることができる効果がある。

構成３の通信端末装置は、構成１に於いて、前記ファイアウォール制御部は、前記ルール記憶部にファイアウォールルールとネットワークの識別情報が対応付けて記憶されると、当該識別情報を現在検出している識別情報と比較して、両者が合致する場合は当該識別情報に対応付けられたファイアウォールルールを前記ルール記憶部から読み出して前記ファイアウォールに設定されているファイアウォールルールを当該読み出したファイアウォールルールに更新する。このため、構成１が奏する効果に加えて、現在接続中のネットワークに関してファイアウォールルールが更新された場合は、直ちに、更新後のファイアウォールルールを設定できる効果がある。

構成４の通信端末装置は、構成１に於いて、前記ルール記憶制御部は、所定のルール配布装置から受信されるファイアウォールルールであることを所定の電子署名を検証することで確認する。このため、構成１が奏する効果に加えて、正規のファイアウォールルールの更新であることを確認できる効果がある。

構成５の通信端末装置は、構成１に於いて、さらに、前記通信装置で受信されるデータを監視して所定のパターンに合致するネットワーク攻撃を検出する攻撃検出部と、前記攻撃検出部がネットワーク攻撃を検出すると、該ネットワーク攻撃のパターン情報と前記ファイアウォール制御部が検出している識別情報とを対応付けて当該パターン情報と当該識別情報とを所定のルール配布装置へ宛てて送信する攻撃通知部と、を有する。このため、サービス提供者（ルール配布装置）は、各通信端末装置から受信される情報により、新種のネットワーク攻撃を速やかに検出してそのネットワーク攻撃に対応することができる。

構成６の通信端末装置は、構成５に於いて、前記攻撃通知部は、所定のルール配布装置が要求する電子署名を付して前記パターン情報と前記識別情報と送信する。このため、サービス提供者（ルール配布装置）は、構成５が奏する効果に加えて、正規の通知であることを確認可能にする効果がある。

構成７のルール配布装置は、ネットワークに接続するための通信装置を備えたルール配布装置であって、ネットワークの識別情報とファイアウォールルールとを対応付けてネットワーク毎に保持しているルール記憶部と、管理下にある通信端末装置のデータ送信先情報を通信端末装置毎に保持している端末装置記憶部と、前記ルール記憶部からファイアウォールルールを読み出して、必要に応じて当該ファイアウォールルールの適用対象のネットワークの識別情報を当該ファイアウォールルールに対応付けて、当該ファイアウォールルールと当該識別情報とを管理下の通信端末装置へ宛てて送信するルール通知部と、を有する。このため、新種のコンピュータウィルス等が発生したような緊急事態でも、各通信端末装置のファイアウォールルールを速やかに更新させることができる。

構成８のルール配布装置は、構成７に於いて、前記ルール通知部は、所定の電子署名を付して当該ファイアウォールルールと当該識別情報とを送信する。このため、構成７が奏する効果に加えて、正規の更新であることを確認可能にする効果がある。

構成９のルール配布装置は、構成７に於いて、通信端末装置から受信されるネットワーク攻撃のパターン情報とネットワーク識別情報に基づいて、当該識別情報が対応付けられているファイアウォールルールで当該ネットワーク攻撃に対応可能か否かを調べるルール検査部と、前記ルール検査手段が対応不可と認定した場合は当該ネットワーク攻撃に対応可能なファイアウォールルールを作成するルール作成部とを更に有し、前記ルール通知部は、前記ルール作成部が作成したファイアウォールルールに当該ネットワークの識別情報を対応付けて、当該ファイアウォールルールと当該識別情報とを管理下の通信端末装置へ宛てて送信させる。このため、新種のネットワーク攻撃を各通信端末装置からの情報に基づいて速やかに検出して、ファイアウォールルール更新等の対応を適時にとり得るようにすることができる。

構成１０は、ネットワークに接続するための通信装置と、設定されているファイアウォールルールに従ってネットワークと自コンピュータとの間のデータの通過と遮断を制御するファイアウォールと、を備えたコンピュータを、ネットワークの識別情報とファイアウォールルールとを対応付けてネットワーク毎に保持しているルール記憶部に、所定のルール配布装置から受信されるファイアウォールルールを、当該ファイアウォールルールを適用すべきネットワークの識別情報に対応付けて記憶するルール記憶制御部、ネットワークの識別情報を検出して監視するとともに該識別情報が新たに検出され又は変化すると当該検出され又は変化した識別情報に対応付けられているファイアウォールルールを前記ルール記憶部から読み出して前記ファイアウォールに設定し又は更新するファイアウォール制御部、として機能させるためのプログラムである。このため、コンピュータを構成１の装置として機能させるためのプログラムを提供することができる。

構成１１は、ネットワークに接続するための通信装置を備えたコンピュータを、管理下にある通信端末装置のデータ送信先情報を通信端末装置毎に保持している端末装置記憶部、ネットワークの識別情報とファイアウォールルールを対応付けてネットワーク毎に保持しているルール記憶部からファイアウォールルールを読み出して、必要に応じて当該ファイアウォールルールの適用対象のネットワークの識別情報を対応付けて、当該ファイアウォールルールと当該識別情報とを管理下の通信端末装置へ宛てて送信するルール通知部、として機能させるためのプログラムである。このため、コンピュータを構成７の装置として機能させるためのプログラムを提供することができる。

図１は、実施の形態の通信端末装置１０とルール配布装置２０を示した機能ブロック図である。 図２は、通信端末装置１０のファイアウォールルールデータベース１４と、ルール配布装置のファイアウォールルールデータベース２４に保持されるルールテーブルの構成を示した説明図である。

符号の説明

１０ 通信端末装置
１１ 通信装置
１２ ファイアウォール
１３ ファイアウォール適応制御部（ファイアウォール制御部）
１４ ファイアウォールルールデータベース（ルール記憶部）
１５ ファイアウォール記憶制御部（ファイアウォール制御部）
１８ ネットワーク攻撃検出制御部（攻撃検出部）
１９ 攻撃通知制御部（攻撃通知部）
２０ ルール配布装置
２１ 通信装置
２４ ファイアウォールルールデータベース（ルール記憶部）
２５ ルール通知制御部（ルール通知部）
２６ 通信端末装置データベース
２８ ルール作成部（ルール作成部）
２９ ルール検査部（ルール検査部）

図面を参照して本発明の実施の形態を説明する。図１は、本発明の実施の形態の通信端末装置１０およびルール配布装置２０の構成を示すブロック図である。図１において、通信端末装置１０は、ネットワークＡ３０やネットワークＢ４０に接続してネットワークサービスを受けるための通信端末装置である。

ネットワーク３０、ネットワーク４０としては、インターネット、イントラネット、無線ＬＡＮスポット、家庭内ＬＡＮ、店舗内ＬＡＮなど、さまざまなネットワークが想定される。

通信端末装置１０は、通信装置１１を使用してネットワーク３０やネットワーク４０に接続する。この際、通信端末装置１０は、例えば有線ＬＡＮ(Local Area Network)、無線ＬＡＮ、公衆電話網、携帯電話網、ＰＨＳ(Personal Handy-phone System)、ＩｒＤＡ（Infrared Data Association）、Ｂｌｕｅｔｏｏｈ、シリアル通信等によって、ネットワーク３０やネットワーク４０に接続する。通信に使用するプロトコルは、ＴＣＰ／ＩＰである。

ファイアウォール１２は、通信装置１１を使用してネットワーク３０やネットワーク４０と通信する際に、不要な通信を遮断することで通信端末装置１０の外部からの攻撃を防御するための手段である。具体的には、ファイアウォール１２は、通信装置１１を通過するＴＣＰ／ＩＰのパケットの内容を確認し、不必要なパケットを廃棄することで不正な通信を遮断する。ファイアウォール１２には、どのような種別の通信を遮断すべきかというファイアウォールルールが設定されている。ファイアウォールルールは、ファイアウォール適応制御部１３によりファイアウォールルールデータベース１４から読み出されて、ファイアウォール１２設定される。ファイアウォール適応制御部１３は、現在接続されているネットワーク（図１ではネットワーク３０）の識別子を検出し、該識別子に対応するファイアウォールルールをファイアウォールルールデータベース１４から読み出してファイアウォール１２に設定する。

このため、ファイアウォールルールデータベース１４内には、ファイアウォールルールが、図２（ａ）のルールテーブルに示すように、ネットワークの識別子に対応付けてネットワーク毎に保持されている。ネットワークの識別子としては、セルラ網の識別名(アクセスポイント名)、無線ＬＡＮのＥＳＳ−ＩＤ(Extended Service Set Identifier)、ネットワークのＩＰアドレスなどが使用できる。

本発明では、ファイアウォールルールは、サービス提供側である配布装置２０によって指定される。即ち、ルール配布装置２０のルール通知制御部２５が、ファイアウォールルールを管理しており、必要に応じて、管理下の各通信端末装置１０のアドレスを通信端末装置データベース２６から読み出して、そのアドレスを用いてファイアウォールルールを配布する。本実施の形態では、ルール配布装置２０は、ネットワーク３０とネットワーク４０とに共通に設けられているが、これに代えて、ルール配布装置２０は、ネットワーク毎に設けられてもよい。

図１では、ファイアウォールルールは、ネットワーク３０またはネットワーク４０を使用して通信端末装置１０に配布される。通信端末装置１０では、ファイアウォール記憶制御部１５が、通信装置１１を経由して、このファイアウォールルールを受信して、このファイアウォールルールをファイアウォールルールデータベース１４に登録する。ファイアウォールルールには電子署名が付与されており、ファイアウォールルール記憶制御部１５内の署名検証制御部（電子署名検証部）が、この署名を検証する。

ファイアウォールルールを、実際に通信するネットワークとは異なるネットワークから受信するように構成することも可能である。たとえば、無線ＬＡＮを使って通信する際に、無線ＬＡＮに対するファイアウォールルールを、携帯電話網の電子メールなどを用いて受信するように構成することも可能である。

ネットワーク攻撃の検出と通知について述べる。

通信端末装置１０は、前述の構成に加えて、ネットワーク攻撃検出制御部１８と攻撃通知制御部１９を更に有し、攻撃通知制御部１９は電子署名付加機能を備えている。

ネットワーク攻撃検出制御部１８は、通信装置１１に対して行われるネットワーク攻撃を検出する。これは一般的にはＩＤＳ(Intrusion Detection System, 侵入検知システム)と呼ばれるもので、通信パケットの内容がネットワーク攻撃パケットのパターンと一致するかどうかを、両者を比較することによって判定して、攻撃を検出するものである。

攻撃通知制御部１９は、ネットワーク攻撃検出制御部１８が攻撃を検出すると、その報告をルール配布装置２０のルール検査部２９へ送信する。この報告には、攻撃通知制御部１９の電子署名付加機能が電子署名を付加している。

ルール配布装置２０のルール検査部２９は、ネットワーク攻撃パケットのパターンや度数等を調べ、必要に応じて当該ネットワークに対応付けるべきファイアウォールルールをルール作成部２８に作成／修正させ、ファイアウォールルールデータベース２４のデータを更新する。ルール検査部２９は、電子署名の検証も行なう。

次に、動作を説明する。

通信端末装置１０の電源が投入されると、通信端末装置１０は通信装置１１を使用してネットワークに接続する。ここでは、通信端末装置１０がネットワーク３０に接続された場合を述べる。通信端末装置１０がネットワーク３０に接続されると、通信アプリケーション１７が通信を開始する。この時、ファイアウォール１２は、不必要な通信を遮断するように動作する。また、ファイアウォール記憶制御部１５は、ルール配布装置２０からのファイアウォールルールをいつでも受信できるように、待機状態に入る。

ルール配布装置２０でファイアウォールルールが更新されると、ルール配布装置２０のルール通知制御部２５は、当該更新されたファイアウォールルールを、ネットワークを経由して通信端末装置１０へ送信する。ここでは、ルール通知制御部２５は、ネットワーク３０を経由して通信端末装置１０へファイアウォールルールを送信したものとする。

このとき、ルール通知制御部２５は、ファイアウォールルールを電子メールに添付して送信したり、通信端末装置１０内のファイアウォールルール記憶制御部１５へ、直接、ファイアウォールルールのＩＰパケットを送信することで、ファイアウォールルールを配布するといった方式が考えられる。

通信端末装置１０では、ファイアウォールルール記憶制御部１５が、当該ファイアウォールルールを、通信装置１１経由で受信する。ファイアウォールルール記憶制御部１５は、当該受信したファイアウォールルールの電子署名を、電子署名検証部を用いて検証する。この電子署名検証部は、ルール配布装置２０のサーバ証明書或いは電子証明局の証明書を保持しており、これを用いて電子署名を検証する。検証の結果、正等な電子署名が付与されていない場合には、ファイアウォールルール記憶制御部１５は、当該ファイアウォールルールを破棄する。

一方、検証の結果、正当な電子署名が付されていた場合は、ファイアウォールルール記憶制御部１５は、当該ファイアウォールルールを、ファイアウォールルールデータベース１４に格納する。このとき、ファイアウォールルールにネットワークの識別子が付与されている場合は、ファイアウォールルール記憶制御部１５は、この識別子と対応づけてファイアウォールルールをファイアウォールルールデータベース１４に格納する。このようにすることで、ネットワーク別にファイアウォールルールを設定することができる。また、ネットワーク識別子が付されていなかった場合は、ファイアウォールルール記憶制御部１５は、ファイアウォールルールを受信したネットワーク、すなわちこの例ではネットワーク３０を識別子として、これに対応付けてファイアウォールルールをファイアウォールルールデータベース１４に格納する。こうすることで、現在接続中のネットワークに対応したファイアウォールルールを設定することができる。このように処理する構成は、ルール配布装置２０がネットワーク毎にそれぞれ設けられている場合に有用である。

新しく格納されたファイアウォールルールが、現在接続中のネットワークに対するルールである場合には、例えば、ファイアウォールルールデータベース１４にファイアウォールルールとネットワークの識別情報が対応付けて記憶され、ファイアウォール適用制御部１３が、その識別情報を現在検出している識別情報と比較して両者が合致する場合には、次に、ファイアウォール適応制御部１３が、当該新しく格納されたファイアウォールルールをファイアウォールルールデータベース１４から読み出して、ファイアウォール１２に設定されているファイアウォールルールを、当該読み出したファイアウォールルールに更新する。ファイアウォール１２は、以後、当該更新されたファイアウォールルールにしたがって通信の遮断処理を行う。

通信端末装置１０が、接続先のネットワークを切り換えた場合について説明する。

通信装置１１が接続先のネットワークをネットワーク３０からネットワーク４０に切り替えると、ファイアウォールルール適応制御部１３が、その切換を検出し、ネットワーク４０の識別子に対応付けられているファイアウォールルールをファイアウォールルールデータベース１４から読み出して、ファイアウォール１２に設定されているファイアウォールルールを、当該読み出したファイアウォールルールに更新する。以後、ファイアウォール１２は、この切換後のファイアウォールルールにしたがって通信の遮断を行う。

このようにして、接続先のネットワークに適合するファイアウォールルールを動的に切り替える制御が行なわれる。

ネットワーク攻撃の検出時の動作について説明する。

通信端末装置１０がネットワークに接続されると、ネットワーク攻撃検出制御部１８が起動される。ネットワーク攻撃検出制御部１８は、通信装置１１を通過するパケットを精査して、攻撃パケットの特徴（所定のパターン）と一致しているものを探す。一致しているパケットが発見されると、攻撃通知制御部１９は、そのパケット（ネットワーク攻撃のパターン情報）に、電子署名付加機能を用いて電子署名を付加して、ネットワーク経由で、電子署名が付加されたパケットをルール配布装置２０のルール検査部２９へ送信する。この時、攻撃通知制御部１９は、攻撃が検出されたネットワークを指す識別子も対応付けて送信する。なお、電子署名付加機能では、ルール配布装置２０が要求する電子署名が付加される。

ルール配布装置２０のルール検査部２９は、ネットワーク攻撃の報告が受信されると、まず、電子署名を検証し、不正なものであれば当該報告を破棄する。一方、正当なものであった場合は、ルール検査部２９は、この報告を受け入れ、この情報に応じて各ネットワークにおける攻撃の統計を取る。たとえば、ルール検査部２９は、ネットワーク３０ではＴＣＰの８０番ポートに対する攻撃が全通信端末装置の２０％に対して発生している、といった統計を取る。

ルール配布装置２０のルール作成部２８は、上記の情報を利用してファイアウォールルールを効果的に作成することができる。作成したファイアウォールルールは、ファイアウォールルールデータベース２４に記録されて、ルール通知制御部２５によって各通信端末装置１０に配布される。なお、ファイアウォールルールを、人間が上記の統計情報を監視して手動で更新するようにしてもよく、ルール作成部２８が自動的に更新するようにしてもよい。

実施の形態の効果について述べる。

上述した実施の形態では、ルール配布装置２０が、通信端末装置１０へファイアウォールルールを送信して更新させ得るため、ルール配布装置２０が各通信端末装置１０を集中管理しやすく、新種のコンピュータウィルス等が発生したような緊急事態でも、ファイアウォールルールを迅速に配布することができる。

また、各通信端末装置１０がファイアウォールルールを要求してダウンロードする方式に比べると、本方式では、ルール配布装置２０がファイアウォールルールを各通信端末装置１０へ送信するため、全体の通信量を削減できる。また、ルール配布装置２０の負荷も低減できる。

また、各通信端末装置１０は、接続先のネットワークに応じてファイアウォールルールを動的に切り替えることができるので、ネットワークのセキュリティ状態に応じた最適なファイアウォール設定を使用することができる。

また、本実施の形態では、各通信端末装置１０から送信されて来る攻撃に関する情報をルール配布装置２０のルール検査部２９が調べて、各通信端末装置１０がどのネットワークでどのような攻撃を受けているか、すなわちネットワーク毎にどのような攻撃が発生しているかという情報を収集することができるため、これにより、ネットワーク毎に最適なファイアウォールのファイアウォールルールを手動あるいは自動的に更新し、迅速に端末に配布することができる。

なお、通信端末装置１０は、プログラムにしたがって動作するコンピュータでもよい。このコンピュータは、通信装置１１とファイアウォール１２とファイアウォールルールデータベース１４とを備える。また、このコンピュータは、そのプログラムを実行することによって、ファイアウォール記憶制御部１５、ファイアウォール適用制御部１３、ネットワーク攻撃検出制御部１８および攻撃通知制御部１９として機能する。

また、ルール配布装置２０は、プログラムにしたがって動作するコンピュータでもよい。このコンピュータは、通信装置２１とファイアウォールルールデータベース２４とを備える。また、このコンピュータは、そのプログラムを実行することによって、ルール検査部２９とルール作成部２８とルール通知制御部２５として機能する。

以上説明した実施形態において、図示した構成は単なる一例であって、本発明はその構成に限定されるものではない。

Claims (11)

1. ネットワークに接続するための通信装置と、設定されているファイアウォールルールに従ってネットワークと自装置との間のデータの通過と遮断を制御するファイアウォールと、を備えた通信端末装置であって、
   ネットワークの識別情報とファイアウォールルールとを対応付けてネットワーク毎に保持しているルール記憶部と、
   所定のルール配布装置から受信されるファイアウォールルールを当該ファイアウォールルールを適用すべきネットワークの識別情報に対応付けて前記ルール記憶部に記憶するルール記憶制御部と、
   ネットワークの識別情報を検出して監視するとともに該識別情報が新たに検出され又は変化すると当該検出され又は変化した識別情報に対応付けられているファイアウォールルールを前記ルール記憶部から読み出して前記ファイアウォールに設定し又は更新するファイアウォール制御部と、
   を有する通信端末装置。
2. 前記ルール記憶制御部は、所定のルール配布装置から受信されるファイアウォールルールにネットワークの識別情報が対応付けられている場合は当該識別情報をファイアウォールルールに対応付けて前記ルール記憶部に記憶し、前記ファイアウォールルールにネットワークの識別情報が対応付けられていない場合は前記ファイアウォール制御部が検出している識別情報を前記ファイアウォールルールに対応付けて前記ルール記憶部に記憶する、
   請求の範囲１に記載の通信端末装置。
3. 前記ファイアウォール制御部は、前記ルール記憶部にファイアウォールルールとネットワークの識別情報が対応付けて記憶されると、当該識別情報を現在検出している識別情報と比較して、両者が合致する場合は当該識別情報に対応付けられたファイアウォールルールを前記ルール記憶部から読み出して前記ファイアウォールに設定されているファイアウォールルールを当該読み出したファイアウォールルールに更新する、
   請求の範囲１に記載の通信端末装置。
4. 前記ルール記憶制御部は、所定のルール配布装置から受信されるファイアウォールルールであることを所定の電子署名を検証することで確認する、
   請求の範囲１に記載の通信端末装置。
5. 前記通信装置で受信されるデータを監視して所定のパターンに合致するネットワーク攻撃を検出する攻撃検出部と、
   前記攻撃検出部がネットワーク攻撃を検出すると、該ネットワーク攻撃のパターン情報に前記ファイアウォール制御部が検出している識別情報を対応付けて当該パターン情報と当該識別情報とを所定のルール配布装置へ宛てて送信する攻撃通知部と、をさらに有する
   請求の範囲１に記載の通信端末装置。
6. 前記攻撃通知部は、前記ネットワーク攻撃のパターン情報に所定のルール配布装置が要求する電子署名を付して送信する、
   請求の範囲５に記載の通信端末装置。
7. ネットワークに接続するための通信装置を備えたルール配布装置であって、
   ネットワークの識別情報とファイアウォールルールとを対応付けてネットワーク毎に保持しているルール記憶部と、
   管理下にある通信端末装置のデータ送信先情報を通信端末装置毎に保持している端末装置記憶部と、
   前記ルール記憶部からファイアウォールルールを読み出して、必要に応じて当該ファイアウォールルールの適用対象のネットワークの識別情報を当該ファイアウォールルールに対応付けて、当該ファイアウォールルールと当該識別情報とを管理下の通信端末装置へ宛てて送信するルール通知部と、
   を有するルール配布装置。
8. 前記ルール通知部は、所定の電子署名を付して前記ファイアウォールルールと前記識別情報とを送信する、
   請求の範囲７に記載のルール配布装置。
9. 通信端末装置から受信されるネットワーク攻撃のパターン情報とネットワーク識別情報に基づいて、当該識別情報が対応付けられているファイアウォールルールで当該ネットワーク攻撃に対応可能か否かを調べるルール検査部と、
   前記ルール検査部が対応不可と認定した場合は当該ネットワーク攻撃に対応可能なファイアウォールルールを作成するルール作成部と、
   を更に有し、
   前記ルール通知部は、前記ルール作成部が作成したファイアウォールルールに当該ネットワークの識別情報を対応付けて、当該ファイアウォールルールと当該識別情報とを管理下の通信端末装置へ宛てて送信する、
   請求の範囲７に記載のルール配布装置。
10. ネットワークに接続するための通信装置と、設定されているファイアウォールルールに従ってネットワークと自コンピュータとの間のデータの通過と遮断を制御するファイアウォールと、を備えたコンピュータを、
    ネットワークの識別情報とファイアウォールルールとを対応付けてネットワーク毎に保持しているルール記憶部に、所定のルール配布装置から受信されるファイアウォールルールを当該ファイアウォールルールを適用すべきネットワークの識別情報に対応付けて記憶するルール記憶制御部、
    ネットワークの識別情報を検出して監視するとともに該識別情報が新たに検出され又は変化すると当該検出され又は変化した識別情報に対応付けられているファイアウォールルールを前記ルール記憶部から読み出して前記ファイアウォールに設定し又は更新するファイアウォール制御部、
    として機能させるためのプログラム。
11. ネットワークに接続するための通信装置を備えたコンピュータを、
    管理下にある通信端末装置のデータ送信先情報を通信端末装置毎に保持している端末装置記憶部、
    ネットワークの識別情報とファイアウォールルールを対応付けてネットワーク毎に保持しているルール記憶部からファイアウォールルールを読み出して、必要に応じて当該ファイアウォールルールの適用対象のネットワークの識別情報を当該ファイアウォールルールに対応付けて、当該ファイアウォールルールと当該識別情報とを管理下の通信端末装置へ宛てて送信するルール通知部、
    として機能させるためのプログラム。

Images