(57)【要約】【課題】  低リソースで実装可能で、かつ、ＩＰ−ＰＢＸなどに対しても機能が過度になることがないファイヤウォールシステムを提供する。【解決手段】  本発明のファイヤウォールシステムは、ＩＰネットワークから防護対象システムへのパケットであって、動的にポートを付与するプロトコルに従っているパケットをフィルタリングするフィルタリング手段を有する。そして、フィルタリング手段が、ＩＰネットワーク側からの受信パケットのポート番号が転送禁止の場合に、少なくともペイロードの構成が、所定構成か否かで、受信パケットのプロトコルの正当性を検証する検証部と、正当性が検証し得ないときに、受信パケットを廃棄する廃棄部と、正当性が検証できたときに、受信パケットを上記防護対象システムに送信すると共に、上記ポート番号を転送許可に変更させる正当時処理部とを有することを特徴とする。【選択図】      図３
2006074175.tif 000002
【特許請求の範囲】
【請求項１】
ＩＰネットワークから防護対象システムへのパケットであって、動的にポートを付与するプロトコルに従っているパケットをフィルタリングするフィルタリング手段を有するファイヤウォールシステムであって、
上記フィルタリング手段が、
ＩＰネットワーク側からの受信パケットのポート番号が転送禁止の場合に、少なくともペイロードの構成が、所定構成か否かで、受信パケットのプロトコルの正当性を検証する検証部と、
正当性が検証し得ないときに、受信パケットを廃棄する廃棄部と、
正当性が検証できたときに、受信パケットを上記防護対象システムに送信すると共に、上記ポート番号を転送許可に変更させる正当時処理部とを有する
ことを特徴とするファイヤウォールシステム。
【請求項２】
受信パケットの正当性を検証し得たときから所定時間を計時し直すものであって、所定時間内に次の正当なパケットを受信し得ないときに、上記ポート番号の転送許可を転送禁止に復帰させる連続受信監視手段をさらに有することを特徴とする請求項１に記載のファイヤウォールシステム。
【請求項３】
ＩＰネットワークから防護対象システムへのパケットであって、動的にポートを付与するプロトコルに従っているパケットをフィルタリングするフィルタリング手段を制御するファイヤウォール制御方法であって、
ＩＰネットワーク側からの受信パケットのポート番号が転送禁止の場合に、少なくともペイロードの構成が、所定構成か否かで、受信パケットのプロトコルの正当性を検証する検証工程と、
正当性が検証し得ないときに、受信パケットを廃棄する廃棄工程と、
正当性が検証できたときに、受信パケットを上記防護対象システムに送信すると共に、上記ポート番号を転送許可に変更させる正当時処理工程と
を含むことを特徴とするファイヤウォールシステム。
【請求項４】
受信パケットの正当性を検証し得たときから所定時間を計時し直し、所定時間内に次の正当なパケットを受信し得ないときに、上記ポート番号の転送許可を転送禁止に復帰させる連続受信監視工程をさらに有することを特徴とする請求項３に記載のファイヤウォール制御方法。
【請求項５】
請求項３又は４に記載のファイヤウォール制御方法の各工程を、コンピュータが実行可能なコードで記述していることを特徴とするファイヤウォール制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ファイヤウォールシステム、ファイヤウォール制御方法及びファイヤウォール制御プログラムに関し、例えば、インターネットプロトコル（ＩＰ）を使用した電話構内交換機（ＩＰ−ＰＢＸ）を不正攻撃から防護するのに適用し得るものである。
【背景技術】
【０００２】
ＩＰ−ＰＢＸは、広く一般に普及しているパーソナルコンピュータ（ＰＣ）をハードウェアとして用い、汎用のオペレーティングシステム（ＯＳ：Ｗｉｎｄｏｗｓ（登録商標）やＬｉｎｕｘ等）を動作させ、その上で動作するソフトウェアとして実現されるのが一般的になりつつある。これにより、データ通信と音声通信をＩＰネットワークで統合できるため、従来と比較して、大幅な導入・運用コストを削減できる点が大きな特長となっている。
【０００３】
一方で、ＰＣを用いること、また、データと音声を統合することにより、従来なかったセキュリティ面の問題が深刻になりつつある。これは、ＩＰ−ＰＢＸがＩＰネットワーク上で他のＰＣと等しく動作するために、ＤｏＳ攻撃や、ＯＳのセキュリティホールを突いたネットワークワーム攻撃（ＢｌａｓｔｅｒやＳａｓｓｅｒなど）等のネットワーク型の攻撃にさらされる危険があるためである。
【０００４】
セキュリティの確保に、ファイヤウォール（ＦＷ）システムを設置する方法がある。ＦＷの機能には、ステートフル・インスペクション（特許文献１）を持つものがあり、ＩＰ−ＰＢＸに用いられるＨ．３２３やＳＩＰ等のプロトコルにも対応することができる。また、日々発生する新しい攻撃に対しても、アクティブネットワーク技術を応用したＦＷ（非特許文献１）により迅速に対策を実施することが研究されている。
【特許文献１】米国特許第５，６０６，６６８号公報
【非特許文献１】芝他、「アクティブネットワーク技術による高度パケットフィルタリングの開発」、信学技報、ＩＮ２０００−１９７
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、実際の導入では、従来のＦＷシステムがＩＰ−ＰＢＸの価格に対し同等あるいは高価であるために、セキュリティ対策としては十分ながら限られたケースでしか導入が難しいこと、また、ＩＰ−ＰＢＸでの利用では、ＦＷ機能はＩＰ音声通信に限定することができるが、従来のＦＷシステムでは不要な機能が多く運用が難しい等の課題がある。
【０００６】
そのため、低リソースで実装可能で、かつ、ＩＰ−ＰＢＸなどに対しても機能が過度となることがないＦＷ技術を適用したファイヤウォールシステム、ファイヤウォール制御方法及びファイヤウォール制御プログラムが望まれている。
【課題を解決するための手段】
【０００７】
第１の本発明は、ＩＰネットワークから防護対象システムへのパケットであって、動的にポートを付与するプロトコルに従っているパケットをフィルタリングするフィルタリング手段を有するファイヤウォールシステムであって、上記フィルタリング手段が、ＩＰネットワーク側からの受信パケットのポート番号が転送禁止の場合に、少なくともペイロードの構成が、所定構成か否かで、受信パケットのプロトコルの正当性を検証する検証部と、正当性が検証し得ないときに、受信パケットを廃棄する廃棄部と、正当性が検証できたときに、受信パケットを上記防護対象システムに送信すると共に、上記ポート番号を転送許可に変更させる正当時処理部とを有することを特徴とする。
【０００８】
また、第２の本発明は、ＩＰネットワークから防護対象システムへのパケットであって、動的にポートを付与するプロトコルに従っているパケットをフィルタリングするフィルタリング手段を制御するファイヤウォール制御方法であって、ＩＰネットワーク側からの受信パケットのポート番号が転送禁止の場合に、少なくともペイロードの構成が、所定構成か否かで、受信パケットのプロトコルの正当性を検証する検証工程と、正当性が検証し得ないときに、受信パケットを廃棄する廃棄工程と、  正当性が検証できたときに、受信パケットを上記防護対象システムに送信すると共に、上記ポート番号を転送許可に変更させる正当時処理工程とを含むことを特徴とする。
【０００９】
第３の本発明のファイヤウォール制御プログラムは、第２の本発明のファイヤウォール制御方法の各工程を、コンピュータが実行可能なコードで記述していることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、低リソースで実装可能で、かつ、ＩＰ−ＰＢＸなどに対しても機能が過度になることがないＦＷ技術を適用したファイヤウォールシステム、ファイヤウォール制御方法及びファイヤウォール制御プログラムを実現できる。
【発明を実施するための最良の形態】
【００１１】
（Ａ）第１の実施形態
以下、本発明によるファイヤウォールシステム、ファイヤウォール制御方法及びファイヤウォール制御プログラムの第１の実施形態を、図面を参照しながら詳述する。
【００１２】
第１の実施形態のファイヤウォールシステム（以下、ＦＷと略する）１は、例えば、図1に示すように、独立した装置としてＩＰ−ＰＢＸ２と関連して設けられている。
【００１３】
ＩＰ−ＰＢＸ２は、電話モジュラーケーブル６を介してアナログ電話やデジタル電話などのレガシー電話３を収容している。また、ＩＰ−ＰＢＸ２は、ＵＴＰケーブル７を介してＩＰネットワーク（図1ではＩＰ−ＮＷと表記）５（５Ｌ、５Ｂ）と接続され、ＩＰネットワーク５に接続されているＩＰ電話４やソフトフォン８（以下、これらをまとめてＩＰ電話４と呼ぶ）を収容している。ＩＰ−ＰＢＸ２は、レガシー電話３に係るアナログ電話信号又はデジタル電話信号と、ＩＰパケットとの相互変換機能（いわゆるＭＧ機能）を有しており、ＲＴＰプロトコルに従って適宜動的にポートを付与する。
【００１４】
ＦＷ１は、ＩＰ−ＰＢＸ２に接続されているローカルなＩＰネットワーク５Ｌと、グローバルなＩＰネットワーク５Ｇとの接続点に設けられている。
【００１５】
ＦＷ１は、機能的には、例えば、図２に示すように、グローバルなＩＰネットワーク５Ｇ（従ってＩＰ電話４）とＩＰパケットを授受する第１のパケット通信部１０と、ローカルなＩＰネットワーク５Ｌ（従ってＩＰ−ＰＢＸ２）とＩＰパケットを授受する第２のパケット通信部１１と、第１及び第２のパケット通信部１０及び１１間に介在し、第１のパケット通信部１０から第２のパケット通信部１１へ引き渡すパケットをフィルタリングするパケットフィルタ１２と、パケットフィルタ１２によるフィルタリングされるＲＴＰパケットを規定する情報を記憶する通過許可パケット情報記憶部１３と、後述する転送許可から転送禁止へ強制復帰させる時間（例えば１０秒）の監視用のタイマー部１４を有する。
【００１６】
この第１の実施形態の場合、パケットフィルタ１２でフィルタリングされるパケット単位がＲＴＰパケットであるので、上述した第１のパケット通信部１０は、受信したＩＰパケットを分解してＲＴＰパケットを形成してパケットフィルタ１２に与える機能を有している。
【００１７】
パケットフィルタ１２は、例えば、第１の実施形態のファイヤウォール制御プログラムＰ（図３参照）と、それを実行するＣＰＵによって実現される。
【００１８】
次に、第１の実施形態のＦＷ１の動作（第１の実施形態のファイヤウォール制御方法）を、図３を参照しながら説明する。
【００１９】
ＦＷ１において、第１のパケット通信部１０がＲＴＰパケットを受信すると（ステップ１００）、パケットフィルタ１２は、通過許可パケット情報記憶部１３の記憶内容を参照し、ＲＴＰパケットを受信したＵＤＰポート番号について転送許可がなされているか否かを判別する（ステップ１０１）。
【００２０】
転送許可がなされていると、パケットフィルタ１２は、第２のパケット通信部１１から、受信したＲＴＰパケットをＩＰ−ＰＢＸ２に向けて送信させる（ステップ１０５）。
【００２１】
これに対して、ＲＴＰパケットを受信したＵＤＰポート番号が転送禁止になっていると、パケットフィルタ１２は、受信したＲＴＰパケットがＲＴＰプロトコルに従っているか否かを検証する（ステップ１０２）。
【００２２】
例えば、ＩＰ電話４からレガシー電話３への発呼時における最初のＲＴＰパケットの到来時には、使用するＵＤＰポートが定まっておらず、そのため、ＵＤＰポート番号が転送禁止になっていても、正規のＲＴＰパケットが入力されることもあり得る。一方、転送禁止になっているＵＤＰポート（又は、今まで使用していないＵＤＰポート）へのＲＴＰパケットを全て許可するようにすると、不正攻撃者９からのＲＴＰパケットをも通過させ、ＩＰ−ＰＢＸ２を攻撃に晒すことになる。そのため、受信したＲＴＰパケットのプロトコルの正当性を検証することとした。ＲＴＰパケットのプロトコルの正当性検証は、例えば、受信したＲＴＰパケットのヘッダがそのプロトコルの規定（フィールドの種類や配列やビット数など）に沿っており、かつ、ヘッダにおけるペイロード構成（ペイロードの長さなど）の記述通りに、受信したＲＴＰパケットのペイロードの構成がなっているか否かで行う。
【００２３】
検証により、異常という結果を得た場合には、パケットフィルタ１２は、受信したＲＴＰパケットを廃棄する（ステップ１０３）。なお、この際に、外部の管理サーバなどに、異常パケット（攻撃パケット）の受信を通知するようにしても良い。
【００２４】
これに対して、検証により、正常という結果を得た場合には、パケットフィルタ１２は、ＲＴＰパケットを受信したＵＤＰポート番号を転送許可とした後（ステップ１０４）、第２のパケット通信部２１から、受信したＲＴＰパケットをＩＰ−ＰＢＸ２に向けて送信させる（ステップ１０５）。ステップ１０４の転送許可への切替処理では、例えば、通過許可パケット情報記憶部１３の記憶内容の更新処理も実行される。
【００２５】
なお、フローチャートの図示は省略しているが、転送許可から転送禁止への復帰は、以下のように実行する。受信したＲＴＰパケットをＩＰ−ＰＢＸ２側に送出する毎に、タイマー部１４は、所定時間（例えば１０秒）を最初から計時し直す。そのため、ＲＴＰパケットが、その所定時間以下の間隔で到達している限りにおいては、転送許可状態が継続する。タイマー部２４が所定時間を計時したときには、言い換えると、あるＲＴＰパケットの受信後、所定時間を経過しても次のＲＴＰパケットを受信しないときには、そのＵＤＰポート番号のポートを、転送許可状態から転送禁止状態に復帰させる。このようにしたのは、ＵＤＰでは、通信終了を検出できないためである。
【００２６】
図３に示した動作（ファイヤウォール制御方法）を実行するＦＷ１による防御範囲は、図１に示した破線範囲ＡＲである。
【００２７】
第１の実施形態のＦＷなどによれば、受信したＲＴＰパケットの構成が所定の構成になっているか否かで検証を行って、ファイヤウォール制御を行うようにしたので、防御対象であるＩＰ−ＰＢＸ２に比して、ファイヤウォールシステム１が過度に高機能や高価になることを押さえ、ファイヤウォールシステム１を導入し易いものにできる。
【００２８】
なお、制御セッションを分析することにより、受信したパケットのポートなどの正当性を検証するファイヤウォールが従来存在するが、装置が複雑、高価であり、ＩＰ−ＰＢＸを防護対象としたときには機能が高すぎてしまっていた。
【００２９】
（Ｂ）第２の実施形態
図４は、第２の実施形態のファイヤウォールシステム（ＦＷ）を含むネットワーク構成を示すブロック図である。
【００３０】
第２の実施形態のＦＷ１Ａは、ＶｏＩＰターミナルアダプタ（ＶｏＩＰ−ＴＡ）２０に組み込まれている。ＶｏＩＰターミナルアダプタ２０は、例えば、一般家庭におけるアナログ電話２１や家庭内ＬＡＮ２２を収容しており、アナログ電話２１をＩＰネットワーク（例えばプロバイダネットワーク）２３に接続したりするためのアダプタである。
【００３１】
第２の実施形態のＦＷ１Ａは、第１の実施形態のＦＷ１と同様な機能的構成を有し、ＩＰネットワーク２３から家庭内に向かうＲＴＰパケットに対し、第１の実施形態のＦＷ１と同様な動作を行う。
【００３２】
以上のように、ＶｏＩＰターミナルアダプタ２０に第２の実施形態のＦＷ１Ａを搭載することにより、外部から家庭内ＬＡＮ２２に接続されるＩＰ機器に対する攻撃を防御することができる。
【００３３】
因みに、第２の実施形態のＦＷ１Ａが、第１の実施形態のＦＷ１と同様な構成を有するため、言い換えると、簡易、安価であるため、ＶｏＩＰターミナルアダプタ２０への組み込み装置として実現することができる。
【００３４】
（Ｃ）第３の実施形態
図５は、第３の実施形態のファイヤウォールシステム（ＦＷ）を含むネットワーク構成を示すブロック図である。
【００３５】
第３の実施形態のＦＷ１Ｂは、ブロードバンド（ＢＢ）ルータ３０に組み込まれている。ブロードバンドルータ３０は、例えば、一般家庭における家庭内ＬＡＮ３１を収容している、家庭向けのルータであり、家庭内のＩＰ機器をＩＰネットワーク（例えばプロバイダネットワーク）３２に適宜接続させる。配信されたビデオ信号をテレビジョン受像機（テレビ）３４で表示させる、ビデオ配信で利用されるセットトップボックス３３は、ＩＰ機器の一例として書き出したものである。
【００３６】
第３の実施形態のＦＷ１Ｂは、第１の実施形態のＦＷ１と同様な機能的構成を有し、ＩＰネットワーク３２から家庭内に向かうＲＴＰパケットに対し、第１の実施形態のＦＷ１と同様な動作を行う。
【００３７】
以上のように、ブロードバンドルータ３０に第３の実施形態のＦＷ１Ｂを搭載することにより、外部から家庭内ＬＡＮ３１に接続されるＩＰ機器に対する攻撃を防御することができる。しかも、ＦＷ１Ｂを追加しても、ブロードバンドルータ３０の構成の複雑化や価格の上昇をごく僅かなものとすることができる。
【００３８】
なお、第２の実施形態で言及したＶｏＩＰターミナルアダプタ２０は、第３の実施形態で言及したブロードバンドルータ３０の機能を包含しているのが一般的であり、第３の実施形態の効果も、第２の実施形態の効果も同様である。
【００３９】
（Ｄ）他の実施形態
本発明のファイヤウォールシステムによってフィルタリングし得るパケットのプロトコルは、ＲＴＰプロトコルに限定されず、動的にポートの付与を行うプロトコルであれば他のプロトコルであっても良い。例えば、ＦＴＰパケットに関しても、本発明のファイヤウォールシステムを適用可能である。
【００４０】
また、本発明のファイヤウォールシステムを搭載する装置も、上記第２及び第３の実施形態のようなＶｏＩＰターミナルアダプタ２０やブロードバンドルータ３０に限定されるものではない。例えば、ＩＰネットワークの通信機能を有するＰＣなどに、本発明のファイヤウォール制御プログラムＰを搭載するようにしても良い。この場合のインストールは、記録媒体から行っても良く、外部装置からのダウンロードであっても良く、さらには、キーボードなどを用いた入力であっても良い。
【００４１】
さらに、独立した装置として、ネットワーク上に介在させる場合であっても、対象ネットワークや介在位置は、上記各実施形態のものに限定されるものではない。
【図面の簡単な説明】
【００４２】
【図１】第１の実施形態のファイヤウォールシステムが適用されているネットワークの構成を示すブロック図である。
【図２】第１の実施形態のファイヤウォールシステムの機能的構成を示すブロックブロック図である。
【図３】第１の実施形態のファイヤウォールシステムの動作を示すフローチャートである。
【図４】第２の実施形態のファイヤウォールシステムが適用されているネットワークの構成を示すブロック図である。
【図５】第３の実施形態のファイヤウォールシステムが適用されているネットワークの構成を示すブロック図である。
【符号の説明】
【００４３】
１…ファイヤウォールシステム（ＦＷ）、２…ＩＰ−ＰＢＸ、３…レガシー電話、４…ＩＰ電話、５（５Ｌ、５Ｂ）…ＩＰネットワーク、８…ソフトフォン、１０…第１のパケット通信部、１１…第２のパケット通信部、１２…パケットフィルタ、１３…通過許可パケット情報記憶部、１４…タイマー部、Ｐ…ファイヤウォール制御プログラム。
【図１】
2006074175.tif 000003
【図２】
2006074175.tif 000004
【図３】
2006074175.tif 000005
【図４】
2006074175.tif 000006
【図５】
2006074175.tif 000007