(57)【要約】【課題】  フィルタリングに係る設定を容易にすることができるフィルタ装置、フィルタプログラム及び方法を提供する。【解決手段】  通信回線上を流れるパケットのフィルタリングを行なうフィルタ装置１であって、フィルタリングを行なうための情報の収集を行なうか、あるいは、フィルタリングを行なうか、を判断するためのモニタモードを設定し、複数のネットワーク間を流れるパケットを取得し、モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、パケットに含まれるネットワークアドレスとネットワークアドレスによる通信のプロトコルとをマトリクスＤＢ１３に記録し、モニタモードがフィルタリングを行なうモードと判断をすると、マトリクスＤＢ１３に基づいて、パケットフィルタリングを実行する監視部１１を備える。【選択図】  図２
2010098706.tif 000002
【特許請求の範囲】
【請求項１】
通信回線上を流れるパケットのフィルタリングを行なうフィルタ装置であって、
フィルタリングを行なうための情報の収集を行なうか、あるいは、フィルタリングを行なうか、を判断するためのモニタモードを設定する設定部と、
前記通信回線上を流れるパケットを取得するパケット取得部と、
前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記パケット取得部により取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルとを対応付けてアドレス記録情報として第１記録部に記録し、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記第１記録部に記録したアドレス記録情報に基づいて、パケットフィルタリングを実行する監視部と
を備えるフィルタ装置。
【請求項２】
請求項１に記載のフィルタ装置であって、
前記通信回線上に接続されている機器に対して、応答を求める情報である応答要求情報を送信する送信部を更に備え、
前記監視部は、前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記送信部により送信された応答要求情報に対して応答があった機器のネットワークアドレスを第２記録部に記録し、前記パケット取得部により取得されたパケットに含まれるネットワークアドレスが前記第２記録部に記録していないネットワークアドレスである場合、第１通知部に警告を通知させることを特徴とするフィルタ装置。
【請求項３】
請求項１に記載のフィルタ装置であって、
前記監視部は、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記パケット取得部により取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルと、前記第１記録部に記録したアドレス記録情報とに基づいて、前記パケット取得部により取得されたネットワークアドレスにおける通信のプロトコルが、該第１記録部に記録したアドレス記録情報と相違があると判断すると、第２通知部に該相違を通知させることを特徴とするフィルタ装置。
【請求項４】
請求項１乃至請求項３のいずれかに記載のフィルタ装置であって、
前記監視部により前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断されると、前記通信回線上を流れるパケットを遮断する遮断部を更に備え、
前記パケット取得部は、前記遮断部により遮断されたパケットを取得することを特徴とするフィルタ装置。
【請求項５】
通信回線上を流れるパケットのフィルタリングを行なう装置のフィルタプログラムであって、
フィルタリングを行なうための情報の収集を行なうか、あるいは、フィルタリングを行なうか、を判断するためのモニタモードを設定する設定ステップと、
前記通信回線上を流れるパケットを取得するパケット取得ステップと、
前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルとを対応付けてアドレス記録情報として前記装置の第１メモリに記録し、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記第１メモリに記録したアドレス記録情報に基づいて、パケットフィルタリングを実行する監視ステップと
をコンピュータに実行させるフィルタプログラム。
【請求項６】
請求項５に記載のフィルタプログラムであって、
前記通信回線上に接続されている機器に対して、応答を求める情報である応答要求情報を送信する送信ステップを更にコンピュータに実行させ、
前記監視ステップは、前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記送信ステップにより送信された応答要求情報に対して応答があった機器のネットワークアドレスを前記装置の第２メモリに記録し、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスが前記第２メモリに記録されていないネットワークアドレスである場合、前記装置に警告を通知させることを特徴とするフィルタプログラム。
【請求項７】
通信回線上を流れるパケットのフィルタリングを行なう装置におけるフィルタ方法であって、
フィルタリングを行なうための情報の収集を行なうか、あるいは、フィルタリングを行なうか、を判断するためのモニタモードを設定する設定ステップと、
前記通信回線上を流れるパケットを取得するパケット取得ステップと、
前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルとを対応付けてアドレス記録情報として前記装置の第１メモリに記録し、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記第１メモリに記録したアドレス記録情報に基づいて、パケットフィルタリングを実行する監視ステップと
を備えるフィルタ方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおけるフィルタリング技術に関するものである。
【背景技術】
【０００２】
ネットワークの構築において、例えば、イントラネット同士でフィルタリングの設定をするような場合、ネットワークの管理者は、構築するネットワークにおける機器を把握して、フィルタリングルールを定義していた。
【０００３】
なお、ネットワークにおけるフィルタリング技術が知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−０５３７０３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、構築するネットワークの規模が大きくなる程、機器の把握、フィルタリングルールの設定及びチェックに係る手間が増大するという問題がある。
【０００６】
本発明は、上述した問題点を解決するためになされたものであり、フィルタリングに係る設定を容易にすることができるフィルタ装置、フィルタプログラム及び方法を提供することを目的としている。
【課題を解決するための手段】
【０００７】
上述した課題を解決するため、フィルタ装置は、通信回線上を流れるパケットのフィルタリングを行なう装置であって、フィルタリングを行なうための情報の収集を行なうか、あるいは、フィルタリングを行なうか、を判断するためのモニタモードを設定する設定部と、前記通信回線上を流れるパケットを取得するパケット取得部と、前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記パケット取得部により取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルとを対応付けてアドレス記録情報として第１記録部に記録し、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記第１記録部に記録したアドレス記録情報に基づいて、パケットフィルタリングを実行する監視部とを備える。
【０００８】
また、フィルタプログラムは、通信回線上を流れるパケットのフィルタリングを行なう装置のプログラムであって、フィルタリングを行なうための情報の収集を行なうか、あるいは、フィルタリングを行なうか、を判断するためのモニタモードを設定する設定ステップと、前記通信回線上を流れるパケットを取得するパケット取得ステップと、前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルとを対応付けてアドレス記録情報として前記装置の第１メモリに記録し、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記第１メモリに記録したアドレス記録情報に基づいて、パケットフィルタリングを実行する監視ステップとをコンピュータに実行させる。
【０００９】
また、フィルタ方法は、通信回線上を流れるパケットのフィルタリングを行なう装置における方法であって、フィルタリングを行なうための情報の収集を行なうか、あるいは、フィルタリングを行なうか、を判断するためのモニタモードを設定する設定ステップと、前記通信回線上を流れるパケットを取得するパケット取得ステップと、前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルとを対応付けてアドレス記録情報として前記装置の第１メモリに記録し、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記第１メモリに記録したアドレス記録情報に基づいて、パケットフィルタリングを実行する監視ステップとを備える。
【発明の効果】
【００１０】
本発明によれば、フィルタリングに係る設定を容易にすることができるという効果を奏する。
【図面の簡単な説明】
【００１１】
【図１】実施の形態１の全体構成を示す図である。
【図２】実施の形態１に係るフィルタ装置の構成を示すブロック図である。
【図３】実施の形態１に係るアドレス管理ＤＢを示す図である。
【図４】実施の形態１に係るマトリクスＤＢを示す図である。
【図５】実施の形態１に係るフィルタ装置のハードウェア構成を示すブロック図である。
【図６】実施の形態１に係るフィルタ装置の全体動作を示す図である。
【図７】実施の形態１に係る登録処理の動作を示すフローチャートである。
【図８】実施の形態１に係る監視処理の動作を示すフローチャートである。
【図９】実施の形態１に係る警告表示を示すものである。
【図１０】実施の形態１に係る生成されたフィルタリング表を示す図である。
【図１１】実施の形態１に係る設定されたフィルタリング表を示す図である。
【図１２】実施の形態１に係るフィルタリング表による警告を示す図である。
【図１３】実施の形態２に係る監視処理の動作を示すフローチャートである。
【図１４】実施の形態２に係る生成されたフィルタリング表を示す図である。
【図１５】本発明が適用されるコンピュータシステムの一例を示す図である。
【発明を実施するための形態】
【００１２】
以下、本発明の実施の形態について図を用いて説明する。
【００１３】
実施の形態１．
まず、本実施の形態の全体構成について説明する。図１は、実施の形態１の全体構成を示す図である。
【００１４】
図１に示すように、本実施の形態は、ネットワーク機器によるネットワークＡ及びネットワークＢと、これらのネットワーク間(通信回線上)に接続されたフィルタ装置１、このフィルタ装置１に接続された設定用端末２から構成される。フィルタ装置１は、ネットワークＡ及びネットワークＢ間のフィルタリングを行うものであり、設定用端末２は、フィルタ装置１の設定を行うものである。
【００１５】
次に、本実施の形態に係るフィルタ装置の構成について説明する。図２は、実施の形態１に係るフィルタ装置の構成を示すブロック図である。また、図３は、実施の形態１に係るアドレス管理ＤＢを示す図である。また、図４は、実施の形態１に係るマトリクスＤＢを示す図である。また、図５は、実施の形態１に係るフィルタ装置のハードウェア構成を示すブロック図である。
【００１６】
図２に示すように、本実施の形態に係るフィルタ装置１は、登録部１０（送信部）、監視部１１（設定部、パケット取得部、監視部、第１通知部、第２通知部）、アドレス管理ＤＢ（Ｄａｔａ  Ｂａｓｅ）１２（第２記録部、第２メモリ）、マトリクスＤＢ１３（アドレス記録情報、第１記録部、第１メモリ）、フィルタリングＤＢ１４を備えるものである。登録部１０はＩＰアドレスをアドレス管理ＤＢ１２に登録するものである。このアドレス管理ＤＢ１２は、図３に示すように、ＩＤを示すアドレス番号と、ＩＰアドレスを示す応答アドレスとが対応付けられているものである。また、監視部１１は、アドレス管理ＤＢ１２に存在するアドレスによる通信に関する情報をマトリクスＤＢ１３に書き込み、フィルタリングＤＢ１４に基づいてフィルタリングを実行するものである。このマトリクスＤＢ１３は、図４に示すように、ＩＤを示すフィルタ番号、送信元ＩＰアドレス、送信先ＩＰアドレス、プロトコルが対応付けられているものである。また、フィルタリングＤＢ１４は、監視部１１によりマトリクスＤＢ１３に基づいて生成されるものである。なお、フィルタリングＤＢ１４については、後に詳述する。
【００１７】
また、登録部１０及び監視部１１による各機能は、実質的にはＣＰＵ１５により実行されるものとする。また、アドレス管理ＤＢ１２、マトリクスＤＢ１３、フィルタリングＤＢ１４は、メモリ１６に格納されているものである。
【００１８】
次に、本実施の形態に係るフィルタ装置の動作について説明する。図６は、実施の形態１に係るフィルタ装置の全体動作を示す図である。
【００１９】
フィルタ装置１においては、まず、後述する登録処理が登録部１０により実行され（Ｓ１０１）、次に、後述する監視処理が監視部１１により実行される（Ｓ１０２）。
【００２０】
次に、登録処理の動作について説明する。図７は、実施の形態１に係る登録処理の動作を示すフローチャートである。
【００２１】
まず、登録部１０は、接続されたネットワークにおける全てのプライベートアドレスにＰｉｎｇ（応答要求情報）を発行したかどうかを判断する（Ｓ２０１）。
【００２２】
全てのプライベートアドレスにＰｉｎｇを発行していない場合（Ｓ２０１，ＮＯ）、登録部１０は、プライベートアドレスに順次Ｐｉｎｇを発行し（Ｓ２０２、送信ステップ）、発行したＰｉｎｇに対して応答があるかどうかを判断する（Ｓ２０３）。
【００２３】
発行したＰｉｎｇに対して応答がある場合（Ｓ２０３，ＹＥＳ）、登録部１０は、応答があったアドレスをアドレス番号と対応付けてアドレス管理ＤＢ１２に書き込む（Ｓ２０４、監視ステップ）。
【００２４】
一方、発行したＰｉｎｇに対して応答がない場合（Ｓ２０３，ＮＯ）、登録部１０は、再度、接続されたネットワークにおける全てのプライベートアドレスにＰｉｎｇを発行したかどうかを判断する（Ｓ２０１）。
【００２５】
また、ステップＳ２０１において、全てのプライベートアドレスにＰｉｎｇを発行した場合（Ｓ２０１，ＹＥＳ）、登録部１０は登録処理を終了する。
【００２６】
上述したように、登録処理によれば、発行したＰｉｎｇに応答したプライベートアドレスがアドレス管理ＤＢ１２に書き込まれる。この処理によって、フィルタ装置１は、接続されたネットワークＡ及びネットワークＢ内の機器のＩＰアドレスを得ることができる。
【００２７】
次に、監視処理について説明する。図８は、実施の形態１に係る監視処理の動作を示すフローチャートである。また、図９は、実施の形態１に係る警告表示を示すものである。また、図１０は、実施の形態１に係る生成されたフィルタリング表を示す図である。また、図１１は、実施の形態１に係る設定されたフィルタリング表を示す図である。また、図１２は、実施の形態１に係る矛盾ルール（Ｄｒｏｐ設定されているのに通信履歴がある、Ｐａｓｓ設定されているのに全然通信がされていない等）があった場合、マークし表示する図である。なお、図８におけるモニタモードは、フィルタリングを行なうための情報の収集を行なうモード（ＯＮ）、あるいは、フィルタリングを行なうモード（ＯＦＦ）かを判断するための機能である。また、モニタモードは本実施の形態において、ネットワークの管理者により設定用端末を介して、フィルタリングを行うための情報の収集を行うモードが所定の期間に設定されているものである。なお、図８において、モニタモードはＯＮまたはＯＦＦに予め設定され、ＯＮに設定されている場合は、その期間が設定されているものとする（設定ステップ）。
【００２８】
まず、監視部１１は、モニタモードがＯＮになっているかどうかを判断する（Ｓ３０１）。
【００２９】
モニタモードがＯＮになっている場合（Ｓ３０１，ＹＥＳ）、監視部１１は、フィルタ装置１を通過するパケットを取得し、取得したパケットから送信元アドレス、送信先アドレス、プロトコルを抽出し（Ｓ３０２、パケット取得ステップ）、抽出したアドレスがアドレス管理ＤＢに存在するかどうかを判断する（Ｓ３０３）。
【００３０】
抽出したアドレスがアドレス管理ＤＢに存在する場合（Ｓ３０３，ＹＥＳ）、監視部１１は、抽出した送信元アドレス、送信先アドレス、プロトコルをマトリクスＤＢ１３に書き込む（Ｓ３０４、監視ステップ）。次に、監視部１１は、モニタモードの設定期間を過ぎたかどうかを判断する（Ｓ３０５）。
【００３１】
モニタモード設定期間を過ぎている場合（Ｓ３０５，ＹＥＳ）、監視部１１は、モニタモードをＯＦＦにし（Ｓ３０６）、再度、モニタモードがＯＮになっているかどうかを判断する（Ｓ３０１）。
【００３２】
一方、モニタモード設定期間を過ぎていない場合（Ｓ３０５，ＮＯ）、監視部１１は、再度、モニタモードがＯＮになっているかどうかを判断する（Ｓ３０１）。
【００３３】
また、ステップＳ３０３において、抽出したアドレスがアドレス管理ＤＢに存在しない場合（Ｓ３０３，ＮＯ）、監視部１１は、図９に示すように、アドレス管理ＤＢに存在しないアドレスを設定用端末２に通知することにより設定用端末２に警告を表示させ（Ｓ３０７、監視ステップ）、再度、モニタモードがＯＮになっているかどうかを判断する（Ｓ３０１）。なお、図９に示す警告表示は、例えば、設定用端末２における管理画面においてポップアップとして表示される。また、この警告表示は、フィルタ装置１により表示されても構わない。
【００３４】
また、ステップＳ３０１において、モニタモードがＯＮではない場合（Ｓ３０１，ＮＯ）、監視部１１は、マトリクスＤＢ１３を読み込み（Ｓ３０８）、マトリクスＤＢ１３に基づいてフィルタリングＤＢ１４を生成する（Ｓ３０９）。フィルタリングＤＢ１４が生成されると、監視部１１は、このフィルタリングＤＢ１４に基づいてフィルタリングを実施し（Ｓ３１０、監視ステップ）、再度、モニタモードがＯＮになっているかどうかを判断する（Ｓ３０１）。
【００３５】
ここで、フィルタリングＤＢ１４について説明する。フィルタリングＤＢ１４は、図１０に示すようなフィルタリング表として、設定用端末２に表示されるものである。このフィルタリング表において、ＩＮは送信元アドレスを示し、ＯＵＴは送信先アドレスを示し、ＩＮ、ＯＵＴの組み合わせに対して通信が設定される。なお、フィルタリングＤＢ１４は、図４に示すようなマトリクスＤＢ１３に基づくため、図１０においては未設定の通信が存在するが、全ての設定は設定用端末２により設定可能である。図１１に示すように、ネットワークの管理者は、未設定の通信に関して設定をすることができ、設定がマトリクスＤＢ１３と異なる場合には、図１２に示すように、相違箇所が表示される（監視ステップ）。なお、この機能は、監視部１１がフィルタリングＤＢ１４と、マトリクスＤＢ１３とを比較し、相違箇所を設定用端末２に通知することにより実現される。なお、このような相違箇所を表示する機能において、予めルールを設け、ルールにそぐわない箇所を相違箇所としても構わない。
【００３６】
上述したように、モニタモードがＯＮである間になされた通信をマトリクスＤＢ１３に書き込み、マトリクスＤＢ１３に基づくフィルタリングＤＢ１４によりフィルタリングを行うことにより、フィルタリングルールの設定を容易にすることができる。また、フィルタ装置１によるＰｉｎｇに応じたアドレスをアドレス管理ＤＢ１２に書き込み、モニタモードにおいて、アドレス管理ＤＢ１２に存在しないアドレスを含むパケットによる通信があった場合に警告を発することによって、所定のネットワーク内に存在しない機器をマトリクスＤＢ１３から除外することができる。なお、本実施の形態において、予めアドレス管理ＤＢ１２にアドレスを登録したが、アドレス管理ＤＢ１２を用いずに、モニタモードがＯＮである間になされた通信をマトリクスＤＢ１３に書き込むことによりフィルタリングを実施することも可能である。
【００３７】
実施の形態２．
上述した実施の形態１におけるモニタモードにおいて、監視部１１は、フィルタ装置１を通過するパケットから送信先アドレス、送信元アドレス、プロトコルを抽出するとした。これに対し、本実施の形態２におけるモニタモードは、ネットワークＡ及びネットワークＢ間でパケットによる通信を遮断する。
【００３８】
まず、本実施の形態におけるフィルタ装置１の構成について説明する。なお、本実施の形態に係るフィルタ装置１の構成は、監視部１１以外の構成は実施の形態１と同様であるため、ここでの説明を省略する。
【００３９】
本実施の形態における監視部１１（設定部、パケット取得部、監視部、第１通知部、第２通知部、遮断部）は、モニタモード中において、全てのパケットを遮断する動作を行う点が、実施の形態１とは異なる。
【００４０】
次に、本実施の形態におけるフィルタ装置の動作を説明する。なお、本実施の形態におけるフィルタ装置１の全体動作及び登録処理の動作は、上述した実施の形態１における図６及び図７に示す全体動作及び登録処理の動作と同様であるため、ここでの説明を省略する。
【００４１】
図１３は、実施の形態２に係る監視処理の動作を示すフローチャートである。なお、このフローチャートにおいて、実施の形態１で説明した図８と同一符号のステップは、図８に示されたステップと同一又は相当するステップを示しており、重複する説明は省略する。
【００４２】
まず、モニタモードがＯＮになっている場合（Ｓ３０１，ＹＥＳ）、監視部１１は、フィルタ装置１を通過するパケットを遮断する（Ｓ４０１，遮断ステップ）。次に、監視部１１は、遮断したパケットを取得し、取得したパケットから送信元アドレス、送信先アドレス、プロトコルを抽出し（Ｓ４０２、パケット取得ステップ）、抽出したアドレスがアドレス管理ＤＢ１２に存在するかどうかを判断する（Ｓ３０３）。
【００４３】
抽出したアドレスがアドレス管理ＤＢ１２に存在する場合（Ｓ３０３，ＹＥＳ）、監視部１１は、抽出した送信元アドレス、送信先アドレス、プロトコルをパケットの通過可能なものとしてマトリクスＤＢ１３に書き込む（Ｓ４０３、監視ステップ）。
【００４４】
なお、本実施の形態における監視部１１は、モニタモード中において、全てのパケットを遮断し、モニタモード中に通信がきたパケットの送信元アドレス、送信先アドレス、プロトコルのみをパケットの通過可能なものとしてマトリクスＤＢ１３に書き込む。よって、ステップＳ３０９にて監視部１１により作成されるフィルタリング表におけるモニタモード中にパケットの通信が無いＩＮ−ＯＵＴ間に関しては、Ｄｒｏｐ設定となり、モニタモード中にパケットの通信が有るＩＮ−ＯＵＴ間に関しては、Ｐａｓｓ設定となる。
【００４５】
図１４は、実施の形態２に係る生成されたフィルタリング表を示す図である。図１４に示すように、実施の形態１にて説明した図１０のフィルタリング表と比較すると、図１０において未設定となっていたＩＮ−ＯＵＴ間が図１４においてはＤｒｏｐとなる。
【００４６】
なお、本実施の形態において、ステップＳ３０３の取得したアドレスがアドレス管理ＤＢ１２にあるか否かの判断において、取得したアドレスがアドレス管理ＤＢ１２にないと判断された場合、警告の表示を行わず、取得したアドレスからのパケットを遮断するようにしてもよい。また、本実施の形態において、フィルタリング表におけるモニタモード中にパケットの通信が無いＩＮ−ＯＵＴ間に関してはＤｒｏｐ設定としたが、実施の形態１と同様に未設定としてもよいことは言うまでもない。
【００４７】
上述したように、モニタモード中において全てのパケットを遮断することにより、所定のネットワーク内に存在しない機器からのパケットを遮断することができ、モニタモード中における安全性を向上できる。また、モニタモード中に通信が遮断されたパケットの送信元アドレス、送信先アドレス、プロトコルのみをパケットの通過可能なものと設定することにより、フィルタリング表のＤｒｏｐ設定の入力を簡略化することが可能となり、作業性を向上できる。
【００４８】
本発明は、その要旨または主要な特徴から逸脱することなく、他の様々な形で実施することができる。そのため、前述の実施の形態は、あらゆる点で単なる例示に過ぎず、限定的に解釈してはならない。本発明の範囲は、特許請求の範囲によって示すものであって、明細書本文には、何ら拘束されない。更に、特許請求の範囲の均等範囲に属する全ての変形、様々な改良、代替および改質は、全て本発明の範囲内のものである。
【００４９】
更に、フィルタ装置１において上述した各ステップを実行させるプログラムを、フィルタプログラムとして提供することができる。上述したプログラムは、ＣＰＵ１５により読取り可能な記録媒体に記憶させることによって、フィルタ装置１に実行させることが可能となる。また、図１５に示すように、フィルタ装置１と接続された設定用端末２に記憶媒体２１を読み込ませ、フィルタプログラムをフィルタ装置１へ送信しても良い。ここで、設定用端末２により読取り可能な記録媒体としては、ＲＯＭやＲＡＭ等のコンピュータに内部実装される内部記憶装置、ＣＤ−ＲＯＭやフレキシブルディスク、ＤＶＤディスク、光磁気ディスク、ＩＣカード等の可搬型記憶媒体をも含むものである。また、通信回線を介してフィルタプログラムをフィルタ装置１あるいはフィルタ装置１と接続された設定用端末２へ送信しても良い。
【００５０】
以上、本実施の形態によれば、以下の付記で示す技術的思想が開示されている。
（付記１）  通信回線上を流れるパケットのフィルタリングを行なうフィルタ装置であって、
フィルタリングを行なうための情報の収集を行なうか、あるいは、フィルタリングを行なうか、を判断するためのモニタモードを設定する設定部と、
前記通信回線上を流れるパケットを取得するパケット取得部と、
前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記パケット取得部により取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルとを対応付けてアドレス記録情報として第１記録部に記録し、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記第１記録部に記録したアドレス記録情報に基づいて、パケットフィルタリングを実行する監視部と
を備えるフィルタ装置。
（付記２）  付記１に記載のフィルタ装置であって、
前記通信回線上に接続されている機器に対して、応答を求める情報である応答要求情報を送信する送信部を更に備え、
前記監視部は、前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記送信部により送信された応答要求情報に対して応答があった機器のネットワークアドレスを第２記録部に記録し、前記パケット取得部により取得されたパケットに含まれるネットワークアドレスが前記第２記録部に記録していないネットワークアドレスである場合、第１通知部に警告を通知させることを特徴とするフィルタ装置。
（付記３）  付記１に記載のフィルタ装置であって、
前記監視部は、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記パケット取得部により取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルと、前記第１記録部に記録したアドレス記録情報とに基づいて、前記パケット取得部により取得されたネットワークアドレスにおける通信のプロトコルが、該第１記録部に記録したアドレス記録情報と相違があると判断すると、第２通知部に該相違を通知させることを特徴とするフィルタ装置。
（付記４）  付記２に記載のフィルタ装置であって、
前記応答要求情報はＰｉｎｇコマンドであり、
前記送信部は、前記複数のネットワークにおける機器に対して、複数のネットワークのプライベートアドレスにより前記Ｐｉｎｇコマンドを送信することを特徴とするフィルタ装置。
（付記５）  付記１に記載のフィルタ装置であって、
前記監視部により前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断されると、前記通信回線上を流れるパケットを遮断する遮断部を更に備え、
前記パケット取得部は、前記遮断部により遮断されたパケットを取得することを特徴とするフィルタ装置。
（付記６）  通信回線上を流れるパケットのフィルタリングを行なう装置のフィルタプログラムであって、
フィルタリングを行なうための情報の収集を行なうか、あるいは、フィルタリングを行なうか、を判断するためのモニタモードを設定する設定ステップと、
前記通信回線上を流れるパケットを取得するパケット取得ステップと、
前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルとを対応付けてアドレス記録情報として前記装置の第１メモリに記録し、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記第１メモリに記録したアドレス記録情報に基づいて、パケットフィルタリングを実行する監視ステップと
をコンピュータに実行させるフィルタプログラム。
（付記７）  付記６に記載のフィルタプログラムであって、
前記通信回線上に接続されている機器に対して、応答を求める情報である応答要求情報を送信する送信ステップを更にコンピュータに実行させ、
前記監視ステップは、前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記送信ステップにより送信された応答要求情報に対して応答があった機器のネットワークアドレスを前記装置の第２メモリに記録し、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスが前記第２メモリに記録されていないネットワークアドレスである場合、前記装置に警告を通知させることを特徴とするフィルタプログラム。
（付記８）  付記６に記載のフィルタプログラムであって、
前記監視ステップは、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルと、前記第１メモリに記録したアドレス記録情報とに基づいて、前記パケット取得ステップにより取得されたネットワークアドレスにおける通信のプロトコルが、該第１メモリに記録したアドレス記録情報と相違があると判断をすると、前記装置に該相違を通知させることを特徴とするフィルタプログラム。
（付記９）  付記７に記載のフィルタプログラムであって、
前記応答要求情報はＰｉｎｇコマンドであり、
前記送信ステップは、前記複数のネットワークにおける機器に対して、複数のネットワークのプライベートアドレスにより前記Ｐｉｎｇコマンドを送信することを特徴とするフィルタプログラム。
（付記１０）  付記６に記載のフィルタプログラムであって、
前記監視ステップにより前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断されると、前記通信回線上を流れるパケットを遮断する遮断ステップを更にコンピュータに実行させ、
前記パケット取得ステップは、前記遮断ステップにより遮断されたパケットを取得することを特徴とするフィルタプログラム。
（付記１１）  通信回線上を流れるパケットのフィルタリングを行なう装置におけるフィルタ方法であって、
フィルタリングを行なうための情報の収集を行なうか、あるいは、フィルタリングを行なうか、を判断するためのモニタモードを設定する設定ステップと、
前記通信回線上を流れるパケットを取得するパケット取得ステップと、
前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルとを対応付けてアドレス記録情報として前記装置の第１メモリに記録し、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記第１メモリに記録したアドレス記録情報に基づいて、パケットフィルタリングを実行する監視ステップと
を備えるフィルタ方法。
（付記１２）  付記１１に記載のフィルタ方法であって、
前記通信回線上に接続されている機器に対して、応答を求める情報である応答要求情報を送信する送信ステップを更に備え、
前記監視ステップは、前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断をすると、前記送信ステップにより送信された応答要求情報に対して応答があった機器のネットワークアドレスを前記装置の第２メモリに記録し、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスが前記第２メモリに記録されていないネットワークアドレスである場合、前記装置に警告を通知させることを特徴とするフィルタ方法。
（付記１３）  付記１１に記載のフィルタ方法であって、
前記監視ステップは、前記モニタモードがフィルタリングを行なうモードと判断をすると、前記パケット取得ステップにより取得されたパケットに含まれるネットワークアドレスと該ネットワークアドレスにおける通信のプロトコルと、前記第１メモリに記録したアドレス記録情報とに基づいて、前記パケット取得ステップにより取得されたネットワークアドレスにおける通信のプロトコルが、該第１メモリに記録したアドレス記録情報と相違があると判断をすると、前記装置に該相違を通知させることを特徴とするフィルタ方法。
（付記１４）  付記１２に記載のフィルタ方法であって、
前記応答要求情報はＰｉｎｇコマンドであり、
前記送信ステップは、前記複数のネットワークにおける機器に対して、複数のネットワークのプライベートアドレスにより前記Ｐｉｎｇコマンドを送信することを特徴とするフィルタ方法。
（付記１５）  付記１１に記載のフィルタ方法であって、
前記監視ステップにより前記モニタモードがフィルタリングを行なうための情報の収集を行なうモードと判断されると、前記通信回線上を流れるパケットを遮断する遮断ステップを更に備え、
前記パケット取得ステップは、前記遮断ステップにより遮断されたパケットを取得することを特徴とするフィルタ方法。
【符号の説明】
【００５１】
１  フィルタ装置、２  設定用端末、１０  登録部、１１  監視部、１２  アドレス管理ＤＢ、１３  マトリクスＤＢ、１４  フィルタリングＤＢ。
【図１】
2010098706.tif 000003
【図２】
2010098706.tif 000004
【図３】
2010098706.tif 000005
【図４】
2010098706.tif 000006
【図５】
2010098706.tif 000007
【図６】
2010098706.tif 000008
【図７】
2010098706.tif 000009
【図８】
2010098706.tif 000010
【図９】
2010098706.tif 000011
【図１０】
2010098706.tif 000012
【図１１】
2010098706.tif 000013
【図１２】
2010098706.tif 000014
【図１３】
2010098706.tif 000015
【図１４】
2010098706.tif 000016
【図１５】
2010098706.tif 000017