(57)【要約】課題  ユーザがユーザ端末で動作しているスパイウェア等の存在を認識することなく、情報漏洩の防止を効果的に達成できるネットワークシステムを提供する。解決手段  ブロードバンド網３を利用する周辺端末７と、セルラー網２を利用する携帯端末８とがネットワーク１で接続され、周辺端末７が他のサービスネットワーク４にアクセスする場合、携帯端末８が、当該携帯端末を経由してブロードバンド網３から他のサービスネットワーク４に接続し、または携帯端末８とセルラー網２のゲートウェイ装置２２を経由して他のサービスネットワーク４に接続するように構成されたフォワーディング設定情報を周辺端末７に送信し、携帯端末８またはゲートウェイ装置２２が、周辺端末７とサービスネットワーク間で通信されるパケットがマルウェアである場合、パケットを廃棄し、マルウェアでない場合フォワーディング設定情報に従ってパケットを転送する。
2008111555.tif 000002
【特許請求の範囲】
【請求項１】
第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続され、
前記第１のユーザ端末が前記第１のサービス網を介して他のサービスネットワークにアクセスする場合、
前記第２のユーザ端末が、当該第２のユーザ端末を経由して前記第１のサービス網に接続するように構成されたフォワーディング設定情報を前記第１のユーザ端末に送信し、
前記第２のユーザ端末が、前記第１のユーザ端末と前記他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、前記フォワーディング設定情報に従って当該パケットを転送することを特徴とするネットワークシステム。
【請求項２】
前記第２のユーザ端末が、前記第１のユーザ端末に対し、前記フォワーディング設定情報を送信する手段、前記マルウェアを含むパケットを識別するパケット識別手段、前記第１のユーザ端末からのパケットを前記第１のサービス網あるいは前記第１のユーザ端末に転送するフォワーディング手段を備え、
前記第１のユーザ端末が、前記第２のユーザ端末から受信した前記フォワーディング設定情報に従って、前記第２のユーザ端末を経由した前記他のサービスネットワークとの通信をフォワーディングするフォワーディング手段を備えることを特徴とする請求項１に記載のネットワークシステム。
【請求項３】
前記第２のユーザ端末が、前記第１のサービス網とのダイレクトリンクを有し、
前記第１のユーザ端末のフォワーディング手段が、前記第２のユーザ端末を経由したダイレクトリンクを介して通信をフォワーディングすることを特徴とする請求項２に記載のネットワークシステム。
【請求項４】
前記第１のユーザ端末のフォワーディング手段が、前記第２のユーザ端末をゲートウェイとし、前記第２のユーザ端末と前記第１のサービス網との間の通信では前記第１のユーザ端末をブリッジとして、通信をフォワーディングすることを特徴とする請求項２に記載のネットワークシステム。
【請求項５】
前記第２のユーザ端末の前記パケット識別手段が、インターセプトしたパケットのヘッダ情報を参照することにより、前記マルウェアを含むパケットであることを検知することを特徴とする請求項２から請求項４の何れか１項に記載のネットワークシステム。
【請求項６】
前記第２のユーザ端末の前記パケット識別手段が、前記マルウェアを含むパケットであることを検知した場合に、当該パケットの送信元に対して当該パケットの削除依頼を送信することを特徴とする請求項２から請求項５の何れか１項に記載のネットワークシステム。
【請求項７】
第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続され、
前記第１のユーザ端末が前記第２のサービス網を介して他のサービスネットワークにアクセスする場合、
前記第２のユーザ端末が、当該第２のユーザ端末を経由して前記第２のサービス網に接続するように構成されたフォワーディング設定情報を前記第１のユーザ端末に送信し、
前記第２のサービス網のゲートウェイ装置が、前記第１のユーザ端末と前記他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、当該パケットを転送することを特徴とするネットワークシステム。
【請求項８】
前記第２のサービス網のゲートウェイ装置が、前記マルウェアを含むパケットを識別するパケット識別手段を備え、
前記第２のユーザ端末が、前記第１のユーザ端末に対し、前記フォワーディング設定情報を送信する手段を備え、
前記第１のユーザ端末が、前記第２のユーザ端末から受信した前記フォワーディング設定情報に従って、前記第２のユーザ端末を経由した前記他のサービスネットワークとの通信をフォワーディングするフォワーディング手段を備えることを特徴とする請求項７に記載のネットワークシステム。
【請求項９】
前記第１のユーザ端末のフォワーディング手段が、前記ゲートウェイ装置で終端される接続によって、前記他のサービスネットワークとの通信をフォワーディングすることを特徴とする請求項８に記載のネットワークシステム。
【請求項１０】
前記ゲートウェイ装置の前記パケット識別手段が、インターセプトしたパケットのヘッダ情報を参照することにより、前記マルウェアを含むパケットであることを検知することを特徴とする請求項８又は請求項９に記載のネットワークシステム。
【請求項１１】
前記ゲートウェイ装置の前記パケット識別手段が、前記マルウェアを含むパケットであることを検知した場合に、当該パケットの送信元に対して当該パケットの削除依頼を送信することを特徴とする請求項８から請求項１０の何れか１項に記載のネットワークシステム。
【請求項１２】
第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続され、
前記第１のユーザ端末が他のサービスネットワークにアクセスする場合、
前記第２のユーザ端末が、当該第２のユーザ端末を経由して前記第１のサービス網から前記他のサービスネットワークに接続するように構成され、または前記第２のユーザ端末と前記第２のサービス網のゲートウェイ装置を経由して前記他のサービスネットワークに接続するように構成されたフォワーディング設定情報を前記第１のユーザ端末に送信し、
前記第２のユーザ端末または前記ゲートウェイ装置が、前記第１のユーザ端末と前記他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、前記フォワーディング設定情報に従って当該パケットを転送することを特徴とするネットワークシステム。
【請求項１３】
第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続されるネットワークシステムにおける通信方法であって、
前記第１のユーザ端末が前記第１のサービス網を介して他のサービスネットワークにアクセスする場合、
前記第２のユーザ端末が、当該第２のユーザ端末を経由して前記第１のサービス網に接続するように構成されたフォワーディング設定情報を前記第１のユーザ端末に送信し、
前記第２のユーザ端末が、前記第１のユーザ端末と前記他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、前記フォワーディング設定情報に従って当該パケットを転送することを特徴とする通信方法。
【請求項１４】
前記第２のユーザ端末が、
前記第１のユーザ端末に対し、前記フォワーディング設定情報を送信し、前記マルウェアを含むパケットを識別し、前記第１のユーザ端末からのパケットを前記第１のサービス網あるいは前記第１のユーザ端末に転送し、
前記第１のユーザ端末が、
前記第２のユーザ端末から受信した前記フォワーディング設定情報に従って、前記第２のユーザ端末を経由した前記他のサービスネットワークとの通信をフォワーディングすることを特徴とする請求項１３に記載の通信方法。
【請求項１５】
前記第２のユーザ端末が、前記第１のサービス網とのダイレクトリンクを有し、
前記第１のユーザ端末が、前記第２のユーザ端末を経由したダイレクトリンクを介して通信をフォワーディングすることを特徴とする請求項１４に記載の通信方法。
【請求項１６】
前記第１のユーザ端末が、前記第２のユーザ端末をゲートウェイとし、前記第２のユーザ端末と前記第１のサービス網との間の通信では前記第１のユーザ端末をブリッジとして、通信をフォワーディングすることを特徴とする請求項１４に記載の通信方法。
【請求項１７】
前記第２のユーザ端末が、インターセプトしたパケットのヘッダ情報を参照することにより、前記マルウェアを含むパケットであることを検知することを特徴とする請求項１４から請求項１６の何れか１項に記載の通信方法。
【請求項１８】
前記第２のユーザ端末が、前記マルウェアを含むパケットであることを検知した場合に、当該パケットの送信元に対して当該パケットの削除依頼を送信することを特徴とする請求項１３から請求項１７の何れか１項に記載の通信方法。
【請求項１９】
第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続されるネットワークシステムにおける通信方法であって、
前記第１のユーザ端末が前記第２のサービス網を介して他のサービスネットワークにアクセスする場合、
前記第２のユーザ端末が、当該第２のユーザ端末を経由して前記第２のサービス網に接続するように構成されたフォワーディング設定情報を前記第１のユーザ端末に送信し、
前記第２のサービス網のゲートウェイ装置が、前記第１のユーザ端末と前記他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、当該パケットを転送することを特徴とする通信方法。
【請求項２０】
前記第２のサービス網のゲートウェイ装置が、前記マルウェアを含むパケットを識別し、
前記第２のユーザ端末が、前記第１のユーザ端末に対し、前記フォワーディング設定情報を送信し、
前記第１のユーザ端末が、前記第２のユーザ端末から受信した前記フォワーディング設定情報に従って、前記第２のユーザ端末を経由した前記他のサービスネットワークとの通信をフォワーディングすることを特徴とする請求項１９に記載の通信方法。
【請求項２１】
前記第１のユーザ端末が、前記ゲートウェイ装置で終端される接続によって、前記他のサービスネットワークとの通信をフォワーディングすることを特徴とする請求項２０に記載の通信方法。
【請求項２２】
前記ゲートウェイ装置が、インターセプトしたパケットのヘッダ情報を参照することにより、前記マルウェアを含むパケットであることを検知することを特徴とする請求項１９から請求項２１の何れか１項に記載の通信方法。
【請求項２３】
前記ゲートウェイ装置が、前記マルウェアを含むパケットであることを検知した場合に、当該パケットの送信元に対して当該パケットの削除依頼を送信することを特徴とする請求項１９から請求項２２の何れか１項に記載の通信方法。
【請求項２４】
第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続されるネットワークシステムにおける通信方法であって、
前記第１のユーザ端末が他のサービスネットワークにアクセスする場合、
前記第２のユーザ端末が、当該第２のユーザ端末を経由して前記第１のサービス網から前記他のサービスネットワークに接続するように構成され、または前記第２のユーザ端末と前記第２のサービス網のゲートウェイ装置を経由して前記他のサービスネットワークに接続するように構成されたフォワーディング設定情報を前記第１のユーザ端末に送信し、
前記第２のユーザ端末または前記ゲートウェイ装置が、前記第１のユーザ端末と前記他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、前記フォワーディング設定情報に従って当該パケットを転送することを特徴とする通信方法。
【請求項２５】
第１のサービス網を利用するユーザ端末とネットワーク接続され、第２のサービス網を利用する通信端末であって、
前記ユーザ端末が前記第１のサービス網を介して他のサービスネットワークにアクセスする場合、
当該通信端末を経由して前記第１のサービス網に接続するように構成されたフォワーディング設定情報を前記ユーザ端末に送信する手段と、
前記ユーザ端末と前記他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄する手段と、
マルウェアでない場合、前記フォワーディング設定情報に従って当該パケットを転送する手段を有することを特徴とする通信端末。
【請求項２６】
第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続されるネットワークシステムにおける通信を制御する通信プログラムであって、
前記第１のユーザ端末が前記第１のサービス網を介して他のサービスネットワークにアクセスする場合、
前記第２のユーザ端末に、当該第２のユーザ端末を経由して前記第１のサービス網に接続するように構成されたフォワーディング設定情報を前記第１のユーザ端末に送信する機能と、
前記第２のユーザ端末が、前記第１のユーザ端末と前記他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、前記フォワーディング設定情報に従って当該パケットを転送する機能とを実行させることを特徴とする通信プログラム。
【請求項２７】
第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続されるネットワークシステムにおける通信を制御する通信プログラムであって、
前記第１のユーザ端末が前記第２のサービス網を介して他のサービスネットワークにアクセスする場合、
前記第２のユーザ端末に、当該第２のユーザ端末を経由して前記第２のサービス網に接続するように構成されたフォワーディング設定情報を前記第１のユーザ端末に送信する機能を実行させ、
前記第２のサービス網のゲートウェイ装置に、前記第１のユーザ端末と前記他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、当該パケットを転送する機能を実行させることを特徴とする通信プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザがインターネット（Ｉｎｔｅｒｎｅｔ）や外部プライベートネットワーク（Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）に接続するネットワークシステムの情報漏洩防止方式に関し、特に、ポータブルな携帯端末等の端末を利用したファイヤウォール機能を実現するネットワークシステム、通信方法、通信端末及び通信プログラムに関する。
【背景技術】
【０００２】
ユーザがインターネット（Ｉｎｔｅｒｎｅｔ）や外部プライベートネットワーク（Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）に接続する際のアクセス技術としては、セルラー無線であるＷＣＤＭＡやｃｄｍａ２０００、固定型無線であるＷｉ−Ｆｉ、移動型無線であるＷｉＭＡＸ、固定型有線であるＡＤＳＬやＦＴＴＨ等様々なものが存在する。また、セルラー端末である携帯電話は、周囲にある機器と、ＷＣＤＭＡ等の網接続Ｉ／Ｆ以外に、ＷＬＡＮやＢｌｕｅｔｏｏｔｈ（ブルートゥース）、ＩｒＤＡ、ＵＳＢ等で接続することが可能である。【０００３】
現在、移動通信の標準化組織では、ユーザ管理下の携帯電話と、その周囲にあって近距離接続で結ばれた複数の周辺端末とが作るネットワークをＰＡＮ（Ｐｅｒｓｏｎａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）と称して、そのアーキテクチャが提案されている。【０００４】
ユーザのネットワーク接続環境においては、パスワードやクレジットカード番号等のキーボードからの入力履歴情報を第３者に送信するスパイウェアや、ハードウェアディスク装置等の記憶装置に保存された住所やメールアドレス等の個人情報を第３者に送信するＷｉｎｎｙ等のＰｅｅｒ  ｔｏ  Ｐｅｅｒ（Ｐ２Ｐ）アプリケーション（上記スパイウェアやＷｉｎｎｙ等のＰｅｅｒ  ｔｏ  Ｐｅｅｒ（Ｐ２Ｐ）アプリケーション等の有害なソフトウェアは、マルウェア（ｍａｌｗａｒｅ）と呼ばれている）が、場合によってはユーザに気付かれないようバックグラウンドで実行されるため、ユーザは常に情報流出の脅威にさらされている状況である。
【特許文献１】特表２００３−５２９２４３号
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ユーザがネットワーク接続を行う際、他のソフトウェアのダウンロード時に同梱されていた上記のようなスパイウェアが存在を把握できないままに実行されている懸念が存在する。【０００６】
また、無線ＬＡＮスポット等で公衆端末を利用する場合には、ユーザに気付かれないようにバックグラウンドでＷｉｎｎｙ等のＰ２Ｐアプリケーションが実行されている心配もある。【０００７】
上記のようなケースでは、キーボードから入力し又はストレージに保存された機密情報、個人情報が第３者に対し流出してしまう危険性がある。【０００８】
このような状況において、周辺端末にウイルス検知ソフトウェアやプロセスモニタのような情報漏洩防止ソフトウェアを予めインストールし、他のサービスネットワークに接続する場合に、上述したようなマルウェアによる実行を事前に検知する方法もあるが、他のサービスネットワークと通信する度に、送信するデータにマルウェアが含まれていないかを確認しなければならず、かつそのようなマルウェアが含まれている場合にはその削除操作を行ったうえで通信する必要があり、非常に面倒であった。【０００９】
また、ユーザ端末によって特定のネットワークサービスにアクセスする際に、セキュリティ機能やファイヤウォール機能を有する移動電話をゲートウェイとして接続することにより、ユーザ端末からのネットワークサービスに対する不正アクセスをブロックすると共に、ネットワークサービスへのアクセスによってデータウイルスの侵入を防止したセキュリティを保持したアクセスを可能にする通信システムの例が、特許文献１に開示されている。【００１０】
しかし、上記特許文献１に記載される通信システムでは、ユーザ端末によるネットワークサービスへの不正アクセスや、ネットワークサービスからユーザ端末へのデータウイルスの侵入を未然に防ぐことは可能であるが、ユーザ端末上で動作するスパイウェア等によってユーザ端末から個人情報が流出してしまうことを防ぐことはできない。【００１１】
このような事態を防ぐためには、上述したように、ユーザ端末に情報漏洩防止ソフトウェアを予めインストールして送信するデータにマルウェアが含まれていないかを確認しなければならい。【００１２】
また、特許文献１に記載の通信システムでは、ユーザ端末が他のネットワークサービスにアクセスする際の接続経路が上記移動電話をゲートウェイとした予め定められた接続経路のみに限定され、ユーザ端末から種々のネットワーク接続形態を利用して他のネットワークサービスに接続することができないという問題も有している。【００１３】
（発明の目的）
本発明の目的は、ユーザがユーザ端末で動作しているスパイウェア等のアプリケーション（マルウェア）の存在を認識することなく、情報漏洩の防止を効果的に達成できるネットワークシステム、通信方法、通信端末及び通信プログラムを提供することにある。【００１４】
また、本発明の他の目的は、ポータブルな携帯端末等のユーザ端末を利用して情報漏洩を防止しつつ、当該ユーザ端末を利用して他のネットワークサービスと様々なネットワーク接続形態によるセキュリティの高い通信サービスを受けることのできるネットワークシステム、通信方法、通信端末及び通信プログラムを提供することにある。【００１５】
また、本発明の他の目的は、ユーザ端末にウイルス検知ソフトウェアやプロセスモニタのような大掛かりなソフトウェアをインストールすることなく、情報漏洩防止を実現することが可能となるネットワークシステム、通信方法、通信端末及び通信プログラムを提供することにある。
【課題を解決するための手段】
【００１６】
本発明の第１のネットワークシステムは、第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続され、第１のユーザ端末が第１のサービス網を介して他のサービスネットワークにアクセスする場合、第２のユーザ端末が、当該第２のユーザ端末を経由して第１のサービス網に接続するように構成されたフォワーディング設定情報を第１のユーザ端末に送信し、第２のユーザ端末が、第１のユーザ端末と他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、フォワーディング設定情報に従って当該パケットを転送する。【００１７】
本発明の第２のネットワークシステムは、第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続され、第１のユーザ端末が第２のサービス網を介して他のサービスネットワークにアクセスする場合、第２のユーザ端末が、当該第２のユーザ端末を経由して第２のサービス網に接続するように構成されたフォワーディング設定情報を第１のユーザ端末に送信し、第２のサービス網のゲートウェイ装置が、第１のユーザ端末と他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、当該パケットを転送する。【００１８】
本発明の第３のネットワークシステムは、第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続され、第１のユーザ端末が他のサービスネットワークにアクセスする場合、第２のユーザ端末が、当該第２のユーザ端末を経由して第１のサービス網から他のサービスネットワークに接続するように構成され、または第２のユーザ端末と第２のサービス網のゲートウェイ装置を経由して他のサービスネットワークに接続するように構成されたフォワーディング設定情報を第１のユーザ端末に送信し、第２のユーザ端末またはゲートウェイ装置が、第１のユーザ端末と他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、フォワーディング設定情報に従って当該パケットを転送する。【００１９】
本発明の第１の通信方法は、第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続されるネットワークシステムにおける通信方法であって、第１のユーザ端末が第１のサービス網を介して他のサービスネットワークにアクセスする場合、第２のユーザ端末が、当該第２のユーザ端末を経由して第１のサービス網に接続するように構成されたフォワーディング設定情報を第１のユーザ端末に送信し、第２のユーザ端末が、第１のユーザ端末と他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、フォワーディング設定情報に従って当該パケットを転送する。【００２０】
本発明の第２の通信方法は、第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続されるネットワークシステムにおける通信方法であって、第１のユーザ端末が第２のサービス網を介して他のサービスネットワークにアクセスする場合、第２のユーザ端末が、当該第２のユーザ端末を経由して第２のサービス網に接続するように構成されたフォワーディング設定情報を第１のユーザ端末に送信し、第２のサービス網のゲートウェイ装置が、第１のユーザ端末と他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、当該パケットを転送する。【００２１】
本発明の第３の通信方法は、第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続されるネットワークシステムにおける通信方法であって、第１のユーザ端末が他のサービスネットワークにアクセスする場合、第２のユーザ端末が、当該第２のユーザ端末を経由して第１のサービス網から他のサービスネットワークに接続するように構成され、または第２のユーザ端末と第２のサービス網のゲートウェイ装置を経由して他のサービスネットワークに接続するように構成されたフォワーディング設定情報を第１のユーザ端末に送信し、第２のユーザ端末またはゲートウェイ装置が、第１のユーザ端末と他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、フォワーディング設定情報に従って当該パケットを転送する。【００２２】
本発明の第１の通信端末は、第１のサービス網を利用するユーザ端末とネットワーク接続され、第２のサービス網を利用する通信端末であって、ユーザ端末が第１のサービス網を介して他のサービスネットワークにアクセスする場合、当該通信端末を経由して第１のサービス網に接続するように構成されたフォワーディング設定情報をユーザ端末に送信する手段と、ユーザ端末と他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄する手段と、マルウェアでない場合、フォワーディング設定情報に従って当該パケットを転送する手段を含む。【００２３】
本発明の第１の通信プログラムは、第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続されるネットワークシステムにおける通信を制御する通信プログラムであって、第１のユーザ端末が第１のサービス網を介して他のサービスネットワークにアクセスする場合、第２のユーザ端末に、当該第２のユーザ端末を経由して第１のサービス網に接続するように構成されたフォワーディング設定情報を第１のユーザ端末に送信する機能と、第２のユーザ端末が、第１のユーザ端末と他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、フォワーディング設定情報に従って当該パケットを転送する機能とを実行させる。【００２４】
本発明の第２の通信プログラムは、第１のサービス網を利用する第１のユーザ端末と、第２のサービス網を利用する第２のユーザ端末とが第１のネットワークで接続されるネットワークシステムにおける通信を制御する通信プログラムであって、第１のユーザ端末が第２のサービス網を介して他のサービスネットワークにアクセスする場合、第２のユーザ端末に、当該第２のユーザ端末を経由して第２のサービス網に接続するように構成されたフォワーディング設定情報を第１のユーザ端末に送信する機能を実行させ、第２のサービス網のゲートウェイ装置に、第１のユーザ端末と他のサービスネットワーク間で通信されるパケットが、マルウェアである場合、当該パケットを廃棄し、マルウェアでない場合、当該パケットを転送する機能を実行させる。
【発明の効果】
【００２５】
本発明によれば、以下のような効果が達成される。【００２６】
ユーザがユーザ端末で動作しているスパイウェア等のアプリケーション（マルウェア）の存在を認識することなく、情報漏洩の防止を効果的に達成できる。【００２７】
ポータブルな携帯端末等のユーザ端末を利用して情報漏洩を防止しつつ、当該ユーザ端末を利用して他のネットワークサービスと様々なネットワーク接続形態によるセキュリティの高い通信サービスを受けることができる。【００２８】
ユーザ端末にウイルス検知ソフトウェアやプロセスモニタのような大掛かりなソフトウェアをインストールすることなく、情報漏洩防止を実現することが可能となる。
【図面の簡単な説明】
【００２９】
【図１】本発明の第１の実施の形態によるネットワークシステムの構成を示すブロック図である。
【図２】本発明の第１の実施の形態によるネットワークシステムにおいて携帯端末がマルチアクセス端末である場合の動作を説明する図である。
【図３】本発明の第１の実施の形態によるネットワークシステムにおける携帯端末の動作を説明するフローチャートである。
【図４】本発明の第１の実施の形態によるネットワークシステムにおいて携帯端末がシングルアクセス端末である場合の動作を説明する図である。
【図５】本発明の第２の実施の形態によるネットワークシステムの構成を示すブロック図である。
【図６】本発明の第２の実施の形態によるネットワークシステムにおける動作を説明する図である。
【図７】本発明の第２の実施の形態によるネットワークシステムにおける携帯端末の動作を説明するフローチャートである。
【図８】本発明の第２の実施の形態によるネットワークシステムにおけるゲートウェイ装置の動作を説明するフローチャートである。
【図９】本発明の第１の実施の形態に対応する第１の実施例の構成と動作を示すブロック図である。
【図１０】本発明の第２の実施の形態に対応する第１の実施例の構成と動作を示すブロック図である。
【図１１】本発明のネットワークシステムにおける携帯端末のハードウェア構成を示す図である。
【発明を実施するための最良の形態】
【００３０】
以下、図面を参照して本発明の実施の形態について詳細に説明する。【００３１】
（第１の実施の形態）
（構成の説明）
本発明の第１の実施の形態によるネットワークシステムの構成を図１に示す。【００３２】
図１に示す本実施の形態によるネットワークシステムにおいて、サービスネットワーク４は、インターネット（Ｉｎｔｅｒｎｅｔ）や外部プライベートネットワーク（Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）である。【００３３】
携帯端末８は、サービス網としてセルラー網２のサービスに加入し、それらのサービスを利用できる端末であり、周辺端末設定送信手段１１及びパケット識別手段１２、フォワーディング手段１３を備えている。【００３４】
携帯端末８と、ユーザ端末である周辺端末５、６、７と、ブロードバンドルータ９は、それぞれローカルネットワーク１にて接続されている。周辺端末７はサービス網としてブロードバンド網３のサービスに加入している端末であり、また、フォワーディング手段１０を備えている。【００３５】
ここで、携帯端末８のハードウェア構成について簡単に説明する。【００３６】
図１１は、本実施の形態によるネットワークシステムの携帯端末８のハードウェア構成例を示すブロック図である。【００３７】
図１１を参照すると、本発明による携帯端末８は、一般的なコンピュータ装置と同様のハードウェア構成によって実現することができ、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）５０１、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等のメインメモリであり、データの作業領域やデータの一時退避領域に用いられる主記憶部５０２、インターネット等の通信網を介してデータの送受信を行う通信制御部５０３、液晶ディスプレイ、プリンタやスピーカ等の出力部５０４、キーボードやマウス等の入力部５０５、周辺機器と接続してデータの送受信を行うインタフェース部５０６、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、磁気ディスク、半導体メモリ等の不揮発性メモリから構成されるハードディスク装置である補助記憶部５０７、本情報処理装置の上記各構成要素を相互に接続するシステムバス５０８等を備えている。【００３８】
本発明による携帯端末８は、その動作を、携帯端末８内部にそのような機能を実現するプログラムを組み込んだ、ＬＳＩ（Ｌａｒｇｅ  Ｓｃａｌｅ  Ｉｎｔｅｇｒａｔｉｏｎ）等のハードウェア部品からなる回路部品を実装してハードウェア的に実現することは勿論として、上記した各構成要素の各機能を提供するプログラムを、上記ＣＰＵ５０１で実行することにより、ソフトウェア的に実現することができる。【００３９】
すなわち、ＣＰＵ５０１は、補助記憶部５０７に格納されているプログラムを、主記憶部５０２にロードして実行し、携帯端末８の周辺端末設定送信手段１１、パケット識別手段１２及びフォワーディング手段１３の機能をソフトウェア的に実現する。【００４０】
なお、周辺端末７（周辺端末５、６）についても、その基本的なハードウェア構成は、上述した携帯端末８のハードウェア構成と同様である。【００４１】
（動作の説明）
次に、第１の実施の形態によるネットワークシステムの動作について図１〜図４を参照して説明する。【００４２】
ユーザが所有する携帯端末８は、セルラー網２との接続リンク以外に、ブロードバンドルータ９との間の広帯域なダイレクトリンクを持つマルチアクセス端末である場合と、セルラー網２との接続リンクのみのシングルアクセス端末である場合とがある。【００４３】
（１）携帯端末がマルチアクセス端末である場合
携帯端末８が、セルラー網２との接続リンク以外に、ブロードバンドルータ９との間の広帯域なダイレクトリンク１５を持つマルチアクセス端末である場合の動作を図２と図３を用いて説明する。図２中、矢印が上り下り方向のパケットの流れを示している。図３は、携帯端末８の動作を示すフローチャートである。【００４４】
ユーザが周辺端末７からサービスネットワーク４にアクセスする際、パケット識別機能を利用して情報流出を防止したい場合、携帯端末８上のユーザインターフェースＵＩにその旨を指示する。【００４５】
周辺端末７からの指示を受信すると（ステップ３０１）、携帯端末８は、周辺端末設定送信手段１１によって、周辺端末７に対し、通信時に両端末間のダイレクトリンクのみを使って、周辺端末７とブロードバンドルータ９間のリンクを使わないように構成されたフォワーディング設定情報を送信する（ステップ３０２）。【００４６】
このフォワーディング設定情報には、周辺端末７による全通信について、ブロードバンドルータ９との間のリンクを用いないで、携帯端末８経由のブロードバンドルータ９による接続によって行うことが設定されている。【００４７】
周辺端末７のフォワーディング手段１０は、携帯端末８から受信したフォワーディング設定情報に従って、全通信を携帯端末８経由のブロードバンドルータ９による接続で行うようになる。【００４８】
携帯端末８のパケット識別手段１２は、上り下りで通過するパケットを一度インターセプトして受信し（ステップ３０３）、当該パケットのヘッダ情報を参照してスパイウェア等のマルウェアを含むパケットであるかどうかを判定する（ステップ３０４）。【００４９】
スパイウェア等のマルウェアを含むパケットを検知すると、パケット識別手段１２は、当該パケットのコピーを添付した削除依頼（スパイウェア等のパケットであることの警告情報と共に）を周辺端末７等の送信元に返信し（ステップ３０５）、当該パケットを転送することなく廃棄する（ステップ３０６）。【００５０】
このようにパケットの削除依頼を送信元に返信することにより、その後、同じ送信元からの同じ種類のパケットが送信されるのを抑制できる。【００５１】
ステップ３０４でスパイウェア等のマルウェアを含むパケットでないと判定された場合には、携帯端末８のフォワーディング手段１３は、受信したパケットをルーティング設定に従って転送する（ステップ３０７）。【００５２】
携帯端末８のフォワーディング手段１３は、パケット識別手段１２にて廃棄されなかった上り方向のパケットについて、セルラー網２側ではなくブロードバンドルータ９との間のダイレクトリンクに転送し、ブロードバンド網３を利用して送信する。【００５３】
同様に下り方向のパケットもブロードバンドルータ９より携帯端末８がダイレクトに受信し、周辺端末７にフォワーディングする。【００５４】
（２）携帯端末がシングルアクセス端末である場合
携帯端末８が、セルラー網２との接続リンクのみのシングルアクセス端末である場合の動作を、図３と図４を参照して説明する。図４中、矢印が上りと下り方向のパケットの流れを示している。【００５５】
ユーザが周辺端末７からサービスネットワーク４にアクセスする際、パケット識別機能を利用して情報流出を防止したい場合、携帯端末８上のＵＩにてその旨を指示する。【００５６】
周辺端末７からの指示を受信すると（ステップ３０１）、携帯端末８の周辺端末設定送信手段１１は、周辺端末７に対し、通信時にＤｅｆａｕｌｔ  Ｇａｔｅｗａｙを携帯端末８とし、携帯端末８から再び受信したパケットに対してはブリッジとして動作してブロードバンドルータ９に接続するよう構成されたフォワーディング設定情報を送信する（ステップ３０２）。【００５７】
周辺端末７のフォワーディング手段１０は、携帯端末８から受信したフォワーディング設定情報に従って、Ｄｅｆａｕｌｔ  Ｇａｔｅｗａｙを携帯端末８とし、携帯端末８とブロードバンドルータ９間の通信ではブリッジとして動作するようになる。【００５８】
携帯端末８のパケット識別手段１２は、上り下りで通過するパケットを一度インターセプトして受信し（ステップ３０３）、当該パケットのヘッダ情報を参照してスパイウェア等のデータを含むパケットであるかどうかを判定する（ステップ３０４）。【００５９】
スパイウェア等のマルウェアを含むパケットを検知すると、当該パケットのコピーを添付した削除依頼（スパイウェア等のマルウェアを含むパケットであることの警告情報と共に）を周辺端末７等の送信元に返信し（ステップ３０５）、当該パケットを転送することなく廃棄する（ステップ３０６）。【００６０】
このようにパケットの削除依頼を送信元に返信することにより、その後、同じ送信元からの同じ種類のパケットが送信されるのを抑制できる。【００６１】
ステップ３０４でスパイウェア等のマルウェアを含むパケットでないと判定された場合には、携帯端末８のフォワーディング手段１３は、受信したパケットをルーティング設定に従って転送する（ステップ３０７）。【００６２】
携帯端末８のフォワーディング手段１３は、パケット識別手段１２にて削除されなかった上り方向のパケットについて、ブロードバンドルータ９のＬＡＮ側ＭＡＣアドレスを宛先としてＬ２接続し、周辺端末７をブリッジとして利用してブロードバンド網３に送信する。【００６３】
同様に下り方向のパケットもブロードバンドルータ９より周辺端末７をブリッジとして携帯端末８を経由し、再び周辺端末７にフォワーディングされる。【００６４】
（第２の実施の形態）
（構成の説明）
本発明の第２の実施の形態によるネットワークシステムの構成を図５に示す。【００６５】
図５に示す本実施の形態によるネットワークシステムにおいて、サービスネットワーク１７は、インターネット（Ｉｎｔｅｒｎｅｔ）や外部プライベートネットワーク（Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）である。【００６６】
携帯端末２１は、セルラー網１５のサービスに加入し、それらのサービスを利用できる端末であり、周辺端末設定送信手段２５を備えている。【００６７】
ゲートウェイ装置２２は、セルラー網１５のオペレータ管理下にあるゲートウェイ装置であり、パケット識別手段２６を備えている。【００６８】
携帯端末２１と、ユーザ端末である周辺端末１８、１９、２０と、ブロードバンドルータ２３は、それぞれローカルネットワーク１４にて接続されている。周辺端末２０はブロードバンド網１６のサービスに加入している端末であり、フォワーディング手段２４を備えている。【００６９】
（動作の説明）
次に、第２の実施の形態によるネットワークシステムの動作について、図６と、図７及び図８を用いて説明する。図６中、矢印が上りと下り方向のパケットの流れを示している。また、図７は携帯端末２１の動作を示すフローチャートであり、図８はゲートウェイ装置２２の動作を示すフローチャートである。【００７０】
ユーザが周辺端末２０からサービスネットワーク１７にアクセスする際、パケット識別機能を利用して情報流出を防止したいとき、携帯端末２１上のＵＩにてその旨指示する。【００７１】
周辺端末２０からの指示を受信すると（ステップ７０１）、携帯端末２１の周辺端末設定送信手段２５は、周辺端末２０に対し、通信時に両端末間のダイレクトリンクのみを使って、周辺端末２０−ブロードバンドルータ２３間のリンクを使わないよう構成されたフォワーディング設定情報を送信する（ステップ７０２）。【００７２】
周辺端末２０のフォワーディング手段２４は、携帯端末２１から受信したフォワーディング設定情報に従って、全通信を携帯端末２１経由のルータ接続、もしくはセルラー網１５のゲートウェイ２２で終端されるＰＰＰ等の接続で行うようになる。【００７３】
セルラー網１５のゲートウェイ装置２２のパケット識別手段２６は、上り下りで通過するパケットを一度インターセプトして受信し（ステップ８０１）、当該パケットのヘッダ情報を参照してスパイウェア等のデータを含むパケットであるかどうかを判定する（ステップ８０２）。【００７４】
スパイウェア等のマルウェアを含むパケットを検知すると、ゲートウェイ装置２２のパケット識別手段２６は、当該パケットのコピーを添付した削除依頼（スパイウェア等のマルウェアを含むパケットであることの警告情報と共に）を周辺端末２０等の送信元に返信し（ステップ８０３）、当該パケットを転送することなく廃棄する（ステップ８０４）。【００７５】
このようにパケットの削除依頼を送信元に返信することにより、その後、同じ送信元からの同じ種類のパケットが送信されるのを抑制できる。【００７６】
ステップ３０４でスパイウェア等のマルウェアを含むパケットでないと判定された場合には、ゲートウェイ装置２２は、受信したパケットをルーティング設定に従って転送する（ステップ８０５）。【００７７】
ゲートウェイ装置２２のパケット識別手段２６にて廃棄されなかった上り方向のパケットは、周辺端末２０−携帯端末２１−ゲートウェイ２２のパスで転送される。【００７８】
（他の実施の形態）
第１と第２の実施の形態においては、携帯端末８のパケット識別手段１２またはゲートウェイ装置２２のパケット識別手段２６が、上りと下りの両方向のパケットがスパイウェア等のマルウェアのデータを含むパケットであるかどうかを判定しているが、識周辺端末からの情報流出を防ぐ目的に限れば、上りパケットのみを判定する方式とすることも可能である。【００７９】
第１の実施の形態による携帯端末８がマルチアクセス端末である場合において、ユーザがブロードバンドルータ９の設定を変更する権限がある場合、ブロードバンドルータ９のフォワーディング設定において、周辺端末の携帯端末８側Ｉ／ＦのＩＰアドレス宛てのパケットを携帯端末宛てのポートに送出せず、周辺端末宛てのポートに送出するよう対応付けることで、下りパケットをブロードバンドリンク経由で受信するように構成することも可能である。【００８０】
第１の実施の形態と第２の実施の形態をそれぞれ別々の構成として説明したが、それぞれの構成を包含した構成とあうることも可能である。すなわち、パケット識別手段が携帯端末およびゲートウェイ装置に配置され、携帯端末がパケット識別判定を行えるほど十分な処理能力がない場合に、携帯端末のパケット識別手段を利用することなくゲートウェイ装置のパケット識別手段を使うようにする構成等が可能である。
【実施例１】
【００８１】
次に、３ＧＰＰサービスに加入している携帯電話を所有するユーザが、ＡＤＳＬサービスに加入しているノートＰＣを使ってプライベートネットワーク（Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）へのアクセスを行う場合の実施例について図９、図１０を参照して説明する。【００８２】
第１の実施例の構成を図９に示す。この第１の実施例は上述した第１の実施の形態に対応している。【００８３】
携帯電話１０８は、３ＧＰＰ網１０２のサービスに加入し、それらのサービスを利用できる端末であり、周辺端末設定送信手段１１１及びパケット識別手段１１２、フォワーディング手段１１３を備えている。【００８４】
携帯電話１０８と、デスクトップＰＣ１０５と、ノートＰＣ１０６、１０７と、ＡＤＳＬルータ１０９は、ＰＡＮ１０１にて接続されている。【００８５】
ノートＰＣ１０７は、ＡＤＳＬ網１０３のサービスに加入している端末であり、また、フォワーディング手段１１０を備えている。【００８６】
携帯電話１０８と周辺端末であるデスクトップＰＣ１０５やノートＰＣ１０６、１０７との間は、無線ＬＡＮやＢｌｕｅｔｏｏｔｈ等で接続されている。【００８７】
ユーザが所有する携帯電話１０８は、３ＧＰＰ網１０２との接続リンク以外に、ＡＤＳＬルータ１０９との間で無線ＬＡＮ等の広帯域なダイレクトリンクを持つマルチアクセス端末である場合と、３ＧＰＰ網１０２との接続リンクのみのシングルアクセス端末である場合がある。【００８８】
（１）携帯電話１０８がマルチアクセス端末である場合
ユーザがノートＰＣ１０７からプライベートネットワーク（Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ１０４）にアクセスする際、パケット識別手段１１２による機能を利用して情報流出を防止したいとき、携帯電話１０８のＵＩにてその旨を指示する。【００８９】
携帯電話１０８の周辺端末設定送信手段１１１は、ノートＰＣ１０７に対し、通信時に両端末間のダイレクトリンクのみを使って、ノートＰＣ１０７−ＡＤＳＬルータ１０９間のリンクを使わないよう構成されたフォワーディング設定情報を送信する。【００９０】
ノートＰＣ１０７のフォワーディング手段１１０は、携帯電話１０８から受信したフォワーディング設定情報に従って、全ての通信を携帯電話１０８経由のルータ接続で行うようになる。【００９１】
携帯電話１０８のパケット識別手段１１２は、上り下りで通過するパケットを一度インターセプトして受信し、プロトコル種別、送信元／送信先トランスポート層ポートナンバ、送信元／送信先ＩＰアドレス等を含むヘッダ情報を参照することにより、受信したパケットがスパイウェア等を含むパケットであるかどうかを判定する。【００９２】
スパイウェア等のマルウェアを含むパケットであることを検知すると、当該パケットのコピーを添付した削除依頼（スパイウェア等のマルウェアを含むパケットであることの警告情報と共に）をノートＰＣ１０７等の送信元に返信し、当該パケットを転送することなく廃棄する。【００９３】
その際、ノートＰＣ１０７を利用のユーザが受信した削除依頼（警告情報）を解析することにより、当該パケットの送信に関与したプロセスを手動で落とすようにすることも可能である。その場合、もし、ユーザがプロセスを落とさなくても、その後に受信するスパイウェア等のマルウェアを含むパケットは携帯電話１０８のパケット識別手段１１２にて廃棄される。【００９４】
携帯電話１０８のフォワーディング手段１１３は、パケット識別手段１１２にて廃棄されなかった上り方向のパケットについて、３ＧＰＰ網１０２側ではなくＡＤＳＬルータ１０９との間のダイレクトリンクに転送され、ＡＤＳＬ網１０３を利用して送信される。【００９５】
同様に下り方向のパケットについてもＡＤＳＬルータ１０９より携帯電話１０８がダイレクトに受信し、ノートＰＣ１０７にフォワーディングする。【００９６】
（２）携帯電話１０８がシングルアクセス端末である場合
ユーザがノートＰＣ１０７からプライベートネットワーク（Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）１０４にアクセスする際、パケット識別機能を利用して情報流出を防止したいとき、携帯電話１０８のＵＩにてその旨を指示する。【００９７】
携帯電話１０８の周辺端末設定送信手段１１１は、ノートＰＣ１０７に対し、通信時にＤｅｆａｕｌｔ  Ｇａｔｅｗａｙ（ディフォルトゲートウェイ）を携帯電話１０８とし、携帯電話１０８から再び受信したパケットに対してはブリッジとして動作してＡＤＳＬルータ１０９に接続するよう構成されたフォワーディング設定情報を送信する。【００９８】
ノートＰＣ１０７のフォワーディング手段１１０は、携帯電話１０８から受信したフォワーディング設定情報に従って、Ｄｅｆａｕｌｔ  Ｇａｔｅｗａｙ（ディフォルトゲートウェイ）を携帯電話１０８とし、携帯電話１０８とＡＤＳＬルータ１０９間の通信ではブリッジとして動作するようになる。【００９９】
携帯電話１０８のパケット識別手段１１２は、上り下りで通過するパケットを一度インターセプトして受信し、プロトコル種別、送信元／送信先トランスポート層ポートナンバ、送信元／送信先ＩＰアドレス等を含むヘッダ情報を参照することにより、受信したパケットがスパイウェア等を含むパケットであるかどうかを判定する。【０１００】
スパイウェア等のマルウェアを含むパケットであることを検知すると、当該パケットのコピーを添付した削除依頼（スパイウェア等のパケットであることの警告情報と共に）をノートＰＣ１０７等の送信元に返信し、当該パケットを転送することなく廃棄する。【０１０１】
この際、ノートＰＣ１０７を利用中のユーザが受信した削除依頼（警告情報）を解析し、当該パケットの送信に関与したプロセスを手動で落とすようにすることも可能である。その場合、もし、ユーザがプロセスを落とさなくても、その後に受信するスパイウェア等のマルウェアを含むパケットは携帯電話１０８のパケット識別手段１１２にて廃棄される。【０１０２】
携帯電話１０８のフォワーディング手段１１３は、パケット識別手段１１２にて廃棄されなかった上り方向のパケットについて、ＡＤＳＬルータ１０９のＬＡＮ側ＭＡＣアドレスを宛先としてＬ２接続し、ノートＰＣ１０７をブリッジとして利用してＡＤＳＬ網１０３に送信する。【０１０３】
同様に下り方向のパケットもＡＤＳＬルータ１０９よりノートＰＣ１０７をブリッジとして携帯電話１０８を経由し、再びノートＰＣ１０７にフォワーディングされる。
【実施例２】
【０１０４】
第２の実施例の構成を図１０に示す。この第２の実施例は上述した第２の実施の形態に対応している。【０１０５】
携帯端末１２１は、３ＧＰＰ網１１５のサービスに加入し、それらのサービスを利用できる端末であり、周辺端末設定送信手段１２５を備えている。【０１０６】
ゲートウェイ装置１２２は、３ＧＰＰ網１１５のオペレータ管理下にあるゲートウェイ装置であり、パケット識別手段１２６を備えている。【０１０７】
携帯電話１２１、デスクトップＰＣ１１８、ノートＰＣ１１９、１２０、ＡＤＳＬルータ１２３はＰＡＮ１１４にて接続されている。【０１０８】
ノートＰＣ１２０は、ＡＤＳＬ網１１６のサービスに加入している端末であり、また、フォワーディング手段１２４を備えている。【０１０９】
携帯電話１２１と、周辺端末であるデスクトップＰＣ１１８やノートＰＣ１１９、１２０との間は無線ＬＡＮやＢｌｕｅｔｏｏｔｈ等で接続されている。【０１１０】
ユーザがノートＰＣ１２０からプライベートネットワーク（Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）１１７にアクセスする際、パケット識別機能を利用して情報流出を防止したいとき、携帯電話１２１のＵＩにてその旨を指示する。【０１１１】
携帯電話１２１の周辺端末設定送信手段１２５は、ノートＰＣ１２０に対し、通信時に両端末間のダイレクトリンクのみを使って、ノートＰＣ１２０−ＡＤＳＬルータ１２３間のリンクを使わないよう構成されたフォワーディング設定情報を送信する。【０１１２】
ノートＰＣ１２０のフォワーディング手段１２４は、携帯電話１２１から受信したフォワーディング設定情報に従って、全ての通信を携帯電話１２１経由のルータ接続、もしくは３ＧＰＰ網１１５のゲートウェイ１２２で終端されるＰＰＰ等の接続で行うようになる。【０１１３】
３ＧＰＰ網１１５のゲートウェイ１２２のパケット識別手段１２６は、上り下りで通過するパケットを一度インターセプトして受信し、プロトコル種別、送信元／送信先トランスポート層ポートナンバ、送信元／送信先ＩＰアドレス等を含むヘッダ情報を参照することにより、受信したパケットがスパイウェア等を含むパケットであるかどうかを判定する。【０１１４】
スパイウェア等のマルウェアを含むパケットであるとことを検知すると、当該パケットのコピーを添付した削除依頼（スパイウェア等のパケットであることの警告情報と共に）をノートＰＣ１２０等の送信元に返信し、当該パケットを転送することなく廃棄する。【０１１５】
この際、ノートＰＣ１２０を利用中のユーザが受信した削除依頼（警告情報）を解析することにより、当該パケットの送信に関与したプロセスを手動で落とすことも可能である。その場合、もし、ユーザがプロセスを落とさなくても、その後に受信されるスパイウェア等のパケットはゲートウェイ１２２のパケット識別手段１２６にて廃棄される。【０１１６】
以降、上り下りのパケットはノートＰＣ１２０−携帯電話１２１−ゲートウェイ１２２のパスで転送される。【０１１７】
本発明の実施の形態では、上述したように、ユーザが第１のユーザ端末（周辺端末）から特定のサービスネットワークにアクセスする際、パケット識別機能を利用して情報流出を防止したい場合、第２のユーザ端末（携帯端末）に対してその旨を指示する。【０１１８】
第１のユーザ端末（周辺端末）からの指示を受信すると、第２のユーザ端末（携帯端末）は、第１のユーザ端末（周辺端末）に対し、第２のユーザ端末を経由して接続するように構成されたフォワーディング設定情報を送信する。【０１１９】
第２のユーザ端末（携帯端末）、またはゲートウェイ装置のパケット識別手段が、上り下りで通過するパケットを一度インターセプトし、当該パケットのヘッダ情報を参照することにより、スパイウェア等のデータを検知する。スパイウェア等のパケットを検知すると、当該パケットを廃棄し、スパイウェア等のパケットでない場合には、フォワーディング設定情報に従って転送する。【０１２０】
第２のユーザ端末（携帯端末）のフォワーディング手段は、パケット識別手段にて廃棄されなかった上り方向のパケットについて、第１のサービス網（ブロードバンド網）とのダイレクトリンクによるか、もしくは、第１のユーザ端末（周辺端末）をブリッジとして第１のサービス網（ブロードバンド網）を利用して送信する。同様に下り方向のパケットはこれら経路の復路によって第１のユーザ端末（周辺端末）にフォワーディングされる。【０１２１】
第１のユーザ端末（周辺端末）のフォワーディング手段は、第２のユーザ端末（携帯端末）から受信したフォワーディング設定情報に従って、第２のユーザ端末（携帯端末）経由の接続、第２のユーザ端末（携帯端末）にて折り返すブリッジ接続等で通信を行う。【０１２２】
以上好ましい実施の形態と実施例をあげて本発明を説明したが、本発明は必ずしも、上記実施の形態及び実施例に限定されるものでなく、その技術的思想の範囲内において様々に変形して実施することができる。【０１２３】
この出願は、２００７年３月９日に出願された日本出願特願２００７−０６１１０４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
【図１】
2008111555.tif 000003
【図２】
2008111555.tif 000004
【図３】
2008111555.tif 000005
【図４】
2008111555.tif 000006
【図５】
2008111555.tif 000007
【図６】
2008111555.tif 000008
【図７】
2008111555.tif 000009
【図８】
2008111555.tif 000010
【図９】
2008111555.tif 000011
【図１０】
2008111555.tif 000012
【図１１】
2008111555.tif 000013
【国際調査報告】
2008111555.tif 000014
2008111555.tif 000015
2008111555.tif 000016