(57)【要約】【課題】  高いセキュリティ性を維持しつつ利便性を高める。【解決手段】  通常のプロトコルデータ単位は中継し、感染機能を持つ感染型不正プログラムに感染した通信装置から送信されたプロトコルデータ単位は遮断するアクセス制御システムにおいて、識別子対応アクセス制御部と、アクセスパターン対応アクセス制御部とを備え、プロトコルデータ単位が、遮断用識別子設定の内容に適合せず、不正アクセスパターン設定の内容に適合した場合には、遮断用識別子設定の内容を変更して、そのプロトコルデータ単位の送信元である通信装置が送信するプロトコルデータ単位は、収容されているエンティティ識別子が、所定のセキュリティサーバを指定するものである場合に、遮断用識別子設定の内容に適合しないものとする。【選択図】  図１
2006005738.tif 000002
【特許請求の範囲】
【請求項１】
通常のプロトコルデータ単位は中継し、感染機能を持つ感染型不正プログラムに感染した通信装置から送信されたプロトコルデータ単位は遮断するアクセス制御システムにおいて、
前記プロトコルデータ単位の送信元または宛先を指定するため、前記プロトコルデータ単位内に収容されている所定のエンティティ識別子が、予め供給を受けた遮断用識別子設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断する識別子対応アクセス制御部と、
前記感染型不正プログラムがプロトコルデータ単位を用いて実行する不正アクセスのアクセスパターンが、予め供給を受けた不正アクセスパターン設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断するアクセスパターン対応アクセス制御部とを備え、
前記プロトコルデータ単位が、前記遮断用識別子設定の内容に適合せず、前記不正アクセスパターン設定の内容に適合した場合には、当該遮断用識別子設定の内容を変更して、そのプロトコルデータ単位の送信元である通信装置が送信するプロトコルデータ単位は、収容されているエンティティ識別子が、所定のセキュリティサーバを指定するものである場合に、当該遮断用識別子設定の内容に適合しないものとすることを特徴とするアクセス制御システム。
【請求項２】
請求項１のアクセス制御システムにおいて、
前記識別子対応アクセス制御部を、前記通信装置が属するネットワークの組ごとに複数設け、そのうちの少なくとも１つは、前記セキュリティサーバを設置した隔離用ネットワークと他の任意のネットワークとの組に対応する隔離用識別子対応アクセス制御部である場合、
所定の振分設定の内容をもとに、前記プロトコルデータ単位を処理するべき識別子対応アクセス制御部を特定し、該当する識別子対応アクセス制御部に当該プロトコルデータ単位を振り分ける振分制御部を備えることを特徴とするアクセス制御システム。
【請求項３】
通常のプロトコルデータ単位は中継し、感染機能を持つ感染型不正プログラムに感染した通信装置から送信されたプロトコルデータ単位は遮断するアクセス制御方法において、
識別子対応アクセス制御部が、前記プロトコルデータ単位の送信元または宛先を指定するため、前記プロトコルデータ単位内に収容されている所定のエンティティ識別子が予め供給を受けた遮断用識別子設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断し、
アクセスパターン対応アクセス制御部が、前記感染型不正プログラムがプロトコルデータ単位を用いて実行する不正アクセスのアクセスパターンが、予め供給を受けた不正アクセスパターン設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断する場合、
前記プロトコルデータ単位が、前記遮断用識別子設定の内容に適合せず、前記不正アクセスパターン設定の内容に適合した場合には、当該遮断用識別子設定の内容を変更して、そのプロトコルデータ単位の送信元である通信装置が送信するプロトコルデータ単位は、収容されているエンティティ識別子が、所定のセキュリティサーバを指定するものである場合に、当該遮断用識別子設定の内容に適合しないものとすることを特徴とするアクセス制御方法。
【請求項４】
通常のプロトコルデータ単位は中継し、感染機能を持つ感染型不正プログラムに感染した通信装置から送信されたプロトコルデータ単位は遮断するアクセス制御プログラムにおいて、コンピュータに、
前記プロトコルデータ単位の送信元または宛先を指定するため、前記プロトコルデータ単位内に収容されている所定のエンティティ識別子が、予め供給を受けた遮断用識別子設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断する識別子対応アクセス制御機能と、
前記感染型不正プログラムがプロトコルデータ単位を用いて実行する不正アクセスのアクセスパターンが、予め供給を受けた不正アクセスパターン設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断するアクセスパターン対応アクセス制御機能とを実現させ、
前記プロトコルデータ単位が、前記遮断用識別子設定の内容に適合せず、前記不正アクセスパターン設定の内容に適合した場合には、当該遮断用識別子設定の内容を変更して、そのプロトコルデータ単位の送信元である通信装置が送信するプロトコルデータ単位は、収容されているエンティティ識別子が、所定のセキュリティサーバを指定するものである場合に、当該遮断用識別子設定の内容に適合しないものとすることを特徴とするアクセス制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はアクセス制御システム、アクセス制御方法、およびアクセス制御プログラムに関し、例えば、ファイアウオールとＩＤＳ（不正侵入検知システム）を連携させる場合などに適用して好適なものである。
【背景技術】
【０００２】
ファイアウオールやコンピュータウイルスに関連する従来技術としては、下記の特許文献１、２に記載されたものがある。
【０００３】
特許文献１の技術は、１台のファイアウオール装置に複数のファイアウオール機能部を搭載し、ユーザ網の組み合わせごとに異なるファイアウオール機能部を提供することにより、多数のユーザ網間の処理を１台のファイアウオール装置で実行するように構成する。これによって必要なファイアウオール装置の数が少なくなるため、ファイアウオール装置に関する装置コストの低減と、管理の省力化をはかることができる。
【０００４】
また、特許文献２の技術は、ＬＡＮ内の中継装置であるスイッチに、不正パケットを検出する機能を搭載したものである。これにより、ＬＡＮ内のコンピュータ間でやり取りされるパケットや、ＬＡＮ内のコンピュータとＷＡＮ側のコンピュータとのあいだでやり取りされるパケットは、当該スイッチで中継される際に不正パケットであるか否かが検査され、不正パケットは破棄されるため、コンピュータウイルス等が送信する不正パケットにより、ＬＡＮ内で感染が拡大したり、感染範囲がＬＡＮ内からＷＡＮ側へ広がったりすることを防止することができる。
【特許文献１】特開２００１−３０６４２１号公報
【特許文献２】特開２００３−３４８１１３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ところで、上述した特許文献１の技術では、個々の前記ファイアウオール機能部がパケットを遮断するためのルール（遮断ルール）などを動的に変更することができないため、利便性に欠ける面がある。
【０００６】
例えば、コンピュータウイルス（狭義のウイルス、ワーム、トロイの木馬などを含む）に感染したコンピュータ上から当該コンピュータウイルスを駆除する場合などによく利用されるパターンマッチング方式のワクチンソフトを用いようとすると、そのコンピュータに搭載されているウイルス定義ファイルを更新したり、そのコンピュータにワクチンソフト自体が搭載されていない場合にはワクチンソフトをインストールすること等が必要になるが、そのためには、感染している当該コンピュータが、ウイルス定義ファイルやワクチンソフトの提供元のサーバと通信することを許可しなければならない。
【０００７】
しかしながら、前記遮断ルールが固定されていると、そのような許可を実現するには、逐一、管理者が、遮断ルールの設定を変更するための作業を行うこと等が必要となり、管理負担がかえって増大し、利便性が低い。あるいは、コンピュータウイルスに感染していない別なコンピュータで前記サーバにアクセスしてウイルス定義ファイルやワクチンソフトをダウンロードし、そのファイルを、フロッピー（登録商標）ディスクやＣＤなどの外部記憶媒体に記憶させた上で、当該外部記憶媒体を、感染しているコンピュータの外部記憶装置に挿入して、感染しているコンピュータに読み込ませること等も可能であるが、この場合にも、そのための作業に、時間や手間がかかり、利便性が低い。
【０００８】
一方、前記特許文献２の技術では、すでにコンピュータウイルス等に感染しているコンピュータ（例えば、ノート型パソコンなど）がＬＡＮ内に持ち込まれて前記スイッチに接続され、ウイルスパターンを含むパケットを送信した場合、スイッチは、ポートを遮断するか、パケットを廃棄するか、所定のコンピュータに対しウイルス検出の通知を行うことになる。ポートを遮断すればウイルスパターン（自己の複製）を含むパケットがスイッチで中継されないため、コンピュータウイルスの感染の拡大を防止でき、それ以降に発生し得るウイルス被害の拡大も防止できるが、ポートを遮断してしまうと、コンピュータウイルス等に感染したコンピュータは前記提供元のサーバとの通信を行うこともできなくなる可能性があり、利便性が低い。
【０００９】
また、ウイルスパターンを含むパケットをスイッチで廃棄するだけでは、コンピュータウイルスの感染拡大は防げたとしてもウイルス被害の拡大は必ずしも防ぐことはできず、セキュリティ性が十分に高いとはいえない。コンピュータウイルス等が感染したコンピュータに送信させるパケットは、必ずしも前記ウイルスパターンを含むパケットだけではないし、ウイルスパターンを含まないパケットによっても被害が発生することがあるからである。
【００１０】
さらに、所定のコンピュータに対しウイルスの検出の通知を行うだけでは、感染の拡大を防止することもできず、被害の拡大を防止することもできないので、セキュリティ性が十分に高いとはいえない。
【課題を解決するための手段】
【００１１】
かかる課題を解決するために、第１の本発明では、通常のプロトコルデータ単位は中継し、感染機能を持つ感染型不正プログラムに感染した通信装置から送信されたプロトコルデータ単位は遮断するアクセス制御システムにおいて、（１）前記プロトコルデータ単位の送信元または宛先を指定するため、前記プロトコルデータ単位内に収容されている所定のエンティティ識別子が、予め供給を受けた遮断用識別子設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断する識別子対応アクセス制御部と、（２）前記感染型不正プログラムがプロトコルデータ単位を用いて実行する不正アクセスのアクセスパターンが、予め供給を受けた不正アクセスパターン設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断するアクセスパターン対応アクセス制御部とを備え、（３）前記プロトコルデータ単位が、前記遮断用識別子設定の内容に適合せず、前記不正アクセスパターン設定の内容に適合した場合には、当該遮断用識別子設定の内容を変更して、そのプロトコルデータ単位の送信元である通信装置が送信するプロトコルデータ単位は、収容されているエンティティ識別子が、所定のセキュリティサーバを指定するものである場合に、当該遮断用識別子設定の内容に適合しないものとすることを特徴とする。
【００１２】
また、第２の本発明では、通常のプロトコルデータ単位は中継し、感染機能を持つ感染型不正プログラムに感染した通信装置から送信されたプロトコルデータ単位は遮断するアクセス制御方法において、（１）識別子対応アクセス制御部が、前記プロトコルデータ単位の送信元または宛先を指定するため、前記プロトコルデータ単位内に収容されている所定のエンティティ識別子が予め供給を受けた遮断用識別子設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断し、（２）アクセスパターン対応アクセス制御部が、前記感染型不正プログラムがプロトコルデータ単位を用いて実行する不正アクセスのアクセスパターンが、予め供給を受けた不正アクセスパターン設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断する場合、（３）前記プロトコルデータ単位が、前記遮断用識別子設定の内容に適合せず、前記不正アクセスパターン設定の内容に適合した場合には、当該遮断用識別子設定の内容を変更して、そのプロトコルデータ単位の送信元である通信装置が送信するプロトコルデータ単位は、収容されているエンティティ識別子が、所定のセキュリティサーバを指定するものである場合に、当該遮断用識別子設定の内容に適合しないものとすることを特徴とする。
【００１３】
さらに、第３の本発明では、通常のプロトコルデータ単位は中継し、感染機能を持つ感染型不正プログラムに感染した通信装置から送信されたプロトコルデータ単位は遮断するアクセス制御プログラムにおいて、コンピュータに、（１）前記プロトコルデータ単位の送信元または宛先を指定するため、前記プロトコルデータ単位内に収容されている所定のエンティティ識別子が、予め供給を受けた遮断用識別子設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断する識別子対応アクセス制御機能と、（２）前記感染型不正プログラムがプロトコルデータ単位を用いて実行する不正アクセスのアクセスパターンが、予め供給を受けた不正アクセスパターン設定の内容に適合するか否かを判定して、適合しない場合には前記プロトコルデータ単位を中継し、適合する場合には遮断するアクセスパターン対応アクセス制御機能とを実現させ、（３）前記プロトコルデータ単位が、前記遮断用識別子設定の内容に適合せず、前記不正アクセスパターン設定の内容に適合した場合には、当該遮断用識別子設定の内容を変更して、そのプロトコルデータ単位の送信元である通信装置が送信するプロトコルデータ単位は、収容されているエンティティ識別子が、所定のセキュリティサーバを指定するものである場合に、当該遮断用識別子設定の内容に適合しないものとすることを特徴とする。
【発明の効果】
【００１４】
本発明によれば、高いセキュリティ性を維持しつつ利便性を高めることができる。
【発明を実施するための最良の形態】
【００１５】
（Ａ）実施形態
以下、本発明にかかるアクセス制御システム、アクセス制御方法、およびアクセス制御プログラムの実施形態について説明する。
【００１６】
（Ａ−１）第１の実施形態の構成
本実施形態にかかる通信システム１０の全体構成例を図２に示す。なお、当該通信システム１０中に、図示しないサーバ類（例えば、ＤＮＳサーバなど）が存在していてもよいことは当然である。
【００１７】
図２において、当該通信システム１０は、ファイアウオール（ＦＷ）装置１１と、ネットワーク１２〜１６と、ユーザ端末１８と、復旧サーバ１９と、通常サーバ２０とを備えている。
【００１８】
このうちネットワーク１２〜１６はＦＷ装置１１を経由して接続されるネットワークである。これらのネットワーク１２〜１６のなかには、ＬＡＮ（ローカルエリアネットワーク）の構成要素であるネットワークが含まれていてもよく、インターネットなどが含まれていてもよい。一例としては、ネットワーク１２、１４、１５，１６は、１つのＬＡＮを構成し、ネットワーク１３はインターネット（ＩＳＰ網）であってもよい。
【００１９】
本実施形態のＦＷ装置１１は、３つの仮想ファイアウオール機能部１７Ａ〜１７Ｃを搭載している。個々の仮想ファイアウオール機能部（例えば、１７Ａ）は、上述した特許文献１のファイアウオール機能部に相当し得る構成要素であるが、本実施形態では、この構成要素の使用方法が特許文献１と異なる。
【００２０】
ネットワーク１２〜１６のうち、ネットワーク１２と１４が、仮想ファイアウオール機能部１７Ａ経由で接続され、ネットワーク１３と１５が仮想ファイアウオール機能部１７Ｂ経由で接続される。また、図２に示した状態では、ネットワーク１６は、いずれのネットワークとも接続されていないが、隔離用の仮想ファイアウオール機能部（隔離用仮想ファイアウオール機能部）１７Ｃは、適宜、当該ネットワーク１６をいずれかのネットワーク（例えば、１５）と接続する。その詳細については後で説明する。
【００２１】
ネットワーク１５に収容されているユーザ端末１８はユーザＵ１に利用される情報処理装置である。具体的には、当該ユーザ端末１８はネットワーク機能を有する通常のパソコン（例えば、ノート型パソコンなど）であってもよい。本実施形態では、主としてこのユーザ端末１８がウイルスＶＲ１に感染したケースを想定して説明を進める。コンピュータウイルス（ウイルス）の用語は、狭義では、ワームやトロイの木馬などと区別して用いられることがあるが、ここでは、広義のウイルス（狭義のウイルスだけでなく、ワームやトロイの木馬なども包含し得る）を指すものとして用いる。
【００２２】
前記ユーザ端末１８は、前記パターンマッチング方式のワクチンソフトＶＣ１を搭載しているものの、そのウイルス定義ファイルが最新のものに更新されていないため、ウイルスＶＲ１の感染を許し、検出も行えていないケースを想定する。
【００２３】
ネットワーク１３に収容されている通常サーバ２０は、普段、ユーザ端末１８に搭載されている該当するクライアント機能（図示せず）と通信するサーバである。具体的には、当該通常サーバ２０は、例えば、Ｗｅｂサーバ、メールサーバ、ＦＴＰサーバなどであってもよい。
【００２４】
前記ネットワーク１６は隔離用のネットワーク（隔離用ネットワーク）である。当該隔離用ネットワーク１６はネットワークの構成や仕様自体は特段、他のネットワーク（例えば、１４など）と異なるものでなくてもよいが、ウイルスに感染したコンピュータ（例えば、１８）を隔離するために用いられる点が相違する。当該隔離用ネットワーク１６には、復旧サーバ１９が含まれている。
【００２５】
復旧サーバ１９は、前記ウイルスＶＲ１の検出や駆除などの実行を支援するサーバである。具体的には、例えば、ウイルスＶＲ１の検出や駆除を行うための最新のウイルス定義ファイルＶＦ１を蓄積しており、ユーザ端末（ここでは、１８）からの要求があると、当該ウイルス定義ファイルＶＦ１をユーザ端末１８へ提供する機能を持つ。ウイルス定義ファイルＶＦ１がユーザ端末１８へ届けられると、ワクチンソフトＶＣ１が当該ウイルス定義ファイルＶＦ１を用いてウイルスＶＲ１の検出や駆除などを行うことができる。
【００２６】
もしも、前記ユーザ端末１８がワクチンソフトＶＣ１自体を搭載していない場合などには、復旧サーバ１９からユーザ端末１８へワクチンソフトＶＣ１を提供するようにしてもよい。
【００２７】
また、前記ウイルスＶＲ１（あるいは、ＶＲ１以外の新種のウイルス）がユーザ端末１８の搭載しているソフトウエア（例えば、ＯＳ（オペレーティングシステム）やＷｅｂブラウザなど）のセキュリティホールを突いて感染するタイプのウイルスである場合などには、そのセキュリティホールを修正するための修正版プログラム（セキュリティパッチ）を当該復旧サーバ１８からユーザ端末１８へ提供できるようにしておくことも有効である。
【００２８】
図２の状態において、ユーザ端末１８にはＩＰアドレスＩＰＡ８が割り当てられ、通常サーバ２０にはＩＰアドレスＩＰＡ２が割り当てられ、復旧サーバ１９にはＩＰアドレスＩＰＡ９が割り当てられているものとする。
【００２９】
なお、前記ネットワーク１３，１５，１６に図示した以外の通信装置が収容されていてもよいことは当然である。また、ネットワーク１２，１４にも、図示しない通信装置が収容されている。これらの通信装置には、ユーザ端末や、サーバ類のほか、スイッチやルータなどのネットワーク機器も含まれ得る。
【００３０】
前記ＦＷ装置１１の内部構成は例えば図１に示す通りである。
【００３１】
（Ａ−１−１）ＦＷ装置の内部構成例
図１において、当該ＦＷ装置１１は、パケット受信部３０と、パケット送信部３１と、仮想ファイアウオール識別部３２と、仮想ファイアウオール変更制御部３３と、アドレス変換部３４と、不正侵入検出部３５と、前記仮想ファイアウオール機能部１７Ａ〜１７Ｃとを備えている。
【００３２】
このうちパケット受信部３０は、中継または遮断するパケットを受信する部分である。このパケットは、いずれかのユーザ端末（例えば、１８）またはサーバ（例えば、１９）から送信され、該当するネットワーク（例えば、１５）経由で当該ＦＷ装置１１に受信されるパケットである。
【００３３】
なお、ＯＳＩ参照モデルのデータリンク層の通信プロトコルとして、ＩＥＥＥ８０２．３を用い、ネットワーク層の通信プロトコルとして、ＩＰプロトコルを用いるものとすると、当該パケットは、ＭＡＣフレームに収容されたＩＰパケットである。様々なサーバやユーザ端末がパケットの送受を行うが、ここでは、主として、前記ユーザ端末１８から送信されたパケットＰＫ１に注目する。当該パケットＰＫ１の宛先には様々なものがあり得るが、いずれにしても当該ユーザ端末１８から送信されたパケットはＰＫ１とする。
【００３４】
パケット送信部３１は、該当する仮想ファイアウオール機能部（例えば、１７Ａ）と不正侵入検出部３５が、ともに中継を許可したパケット（例えば、ＰＫ１）、または、隔離用仮想ファイアウオール機能部１７Ｃが中継を許可しアドレス変換部３４によるアドレス変換を受けたパケットを送信する部分である。パケット送信部３１から送信されたパケットＰＫ１は該当するネットワーク（例えば、１３）経由で宛先の通信装置（例えば、２０）まで届けられる。
【００３５】
仮想ファイアウオール識別部３２は、パケット受信部３０を介して受信したパケットを処理するべき仮想ファイアウオール機能部を識別テーブルＴＢ１を利用して特定し、特定した仮想ファイアウオール機能部にそのパケットを振り分ける部分である。
【００３６】
当該識別テーブルＴＢ１は、例えば、図３に示す構成を備えている。
【００３７】
図３に示すように、当該識別テーブルＴＢ１は、データ項目として、送信元ＩＰアドレスと、ＶＬＡＮタグ値と、入力ポート番号と、仮想ファイアウオール機能とを備えている。
【００３８】
このうち送信元ＩＰアドレスは、前記パケット（例えば、ＰＫ１）に収容されている送信元ＩＰアドレスの値を登録するためのデータ項目である。
【００３９】
ＶＬＡＮタグ値は、前記パケット（例えば、ＰＫ１）を収容したＭＡＣフレームに付加されたＶＬＡＮタグの値を登録するためのデータ項目である。ＶＬＡＮ（バーチャルＬＡＮ）は、ＶＬＡＮ技術を使って論理的に構成したＬＡＮのことである。ＶＬＡＮを使えば物理的なＬＡＮ構成とは別個のＬＡＮを論理的に構成することができる。
【００４０】
入力ポート番号は、ＦＷ装置１１が備え、パケット（例えば、ＰＫ１）の入力用に用いるポート（入力ポート）に付与したポート番号を登録するためのデータ項目である。このポートは物理的なものであってもよく、物理的には同じポートを論理的に区別したものであってもよい。いずれにしても、入力ポート番号によって入力ポートが識別される。
【００４１】
仮想ファイアウオール機能は、ＦＷ装置１１に搭載されている３つのファイアウオール機能部１７Ａ〜１７Ｃを識別するためのファイアウオール識別情報（ここでは、ＶＦＷ＃１〜ＶＦＷ＃３）を登録するためのデータ項目である。
【００４２】
このような識別テーブルＴＢ１を用いると、仮想ファイアウオール識別部３２は、そのパケット（例えば、ＰＫ１）に関する送信元ＩＰアドレスの値、ＶＬＡＮタグの値、入力ポート番号の値に応じて、そのパケットを振り分けるべき仮想ファイアウオール機能部を一意に特定することができる。
【００４３】
個々の仮想ファイアウオール機能部（例えば、１７Ａ）は、通常の１つのファイアウオール装置と同等な機能を持ち、中継してよいと判断したパケットは中継し、中継してはいけないと判断したパケットは遮断する。遮断されたパケットは、その仮想ファイアウオール機能において直ちに廃棄される。中継の可否を判断する方法には様々なものがあるが、ここでは、ＯＳＩ参照モデルのネットワーク層の情報をもとに中継の可否を判断するものとする。
【００４４】
したがって、仮想ファイアウオール機能部１７Ａ〜１７Ｃが中継の可否を判断する際に用いるルールをまとめたルールテーブルＴＢ２の構成および内容は例えば図４に示すものとなる。図４に示すように、当該ルールテーブルＴＢ２は、データ項目として、送信元ＩＰアドレスと、宛先ＩＰアドレスと、動作とを備えている。
【００４５】
このうち送信元ＩＰアドレスは、前記識別テーブルＴＢ１のデータ項目である送信元ＩＰアドレスと同じものである。
【００４６】
また、宛先ＩＰアドレスは、前記パケット（例えば、ＰＫ１）に収容されている宛先ＩＰアドレスの値を登録するためのデータ項目である。
【００４７】
動作は、その仮想ファイアウオール機能部が当該パケットを中継するか否かを示す値を登録するデータ項目である。値が許可であれば、中継することを示し、拒否であれば、中継しない（遮断する）ことを示す。
【００４８】
このようなルールテーブルＴＢ２を用いると、各仮想ファイアウオール機能部（例えば、１７Ａ）は、そのパケット（例えば、ＰＫ１）に関する送信元ＩＰアドレス、宛先ＩＰアドレスの値に応じて、そのパケットを中継するか遮断するかを判定することができる。
【００４９】
ただし、後述するように、通常の仮想ファイアウオール機能部（例えば、１７Ｂ）は、ウイルスＶＲ１がユーザ端末１８に送信させた不正なパケットであるか否かにかかわらず、ユーザ端末１８がウイルスＶＲ１に感染していることが不正侵入検出部３５に確認されたあとはパケットＰＫ１を遮断するために用いられるのに対し、隔離用仮想ファイアウオール機能部１７Ｃは、不正なパケットであるか否かにかかわらず、パケットＰＫ１を中継するために用いられる点が相違する。これは、ユーザ端末１８が前記ウイルス定義ファイルＶＦ１のダウンロード等を目的として復旧サーバ１９にアクセスすることを許容するためである。これを許容すると、ウイルスＶＲ１がユーザ端末１８に送信させた不正なパケットＰＫ１も復旧サーバ１９へ届けられてしまう可能性もあるが、復旧サーバ１９側では、十分な防御策を施してあるため、そのパケットＰＫ１による被害の発生を防止することができる。
【００５０】
なお、各仮想ファイアウオール機能部１７Ａ〜１７Ｃごとに、図４と同じ構成（データ項目が同じ）で内容（各行が持つ各データ項目の値）の異なるルールテーブルを持たせるようにしてもよいが、ここでは、同じルールテーブルＴＢ２を３つの仮想ファイアウオール機能部１７Ａ〜１７Ｃに検索させるものとする。前記識別テーブルＴＢ１の構成および内容から明らかなように、ＦＷ装置１１が動作中のある時点でみると、仮想ファイアウオール機能部ごとに処理する可能性のある送信元ＩＰアドレスは決まっているため、仮想ファイアウオール機能部が異なれば、利用する行が変わるだけで、同一のルールテーブルＴＢ２を、すべての仮想ファイアウオール機能部１７Ａ〜１７Ｂに検索させることができる。ここで、行とは、テーブル内のデータ項目以外の横の並びのことである。例えば、図４に示すルールテーブルＴＢ２の場合、「Ａ  Ｂ  許可」は１つの行である。
【００５１】
また、必要ならば、パケット（例えば、ＰＫ１）に含まれるトランスポート層ヘッダに収容されているポート番号（宛先ポート番号、送信元ポート番号）の値など登録するためのデータ項目を図４中に用意してもよい。この場合、送信元ＩＰアドレスと、宛先ＩＰアドレスだけでなく、宛先ポート番号や送信元ポート番号の値も中継するか否かを判定するためのルールに反映させることができる。
【００５２】
前記不正侵入検出部３５は、いわゆるＩＤＳ（不正侵入検知システム）を構成する部分で、予め登録してある不正侵入のパターン（シグネチャ）に基づいて不正侵入を検知する部分である。隔離用仮想ファイアウオール機能部１７Ｃ以外のいずれかの仮想ファイアウオール機能（例えば、１７Ａ）で中継するものと判定されたパケットが当該不正侵入検出部３５に供給され、当該不正侵入検出部３５で、再度、中継の可否を判定される。当該不正侵入検出部３５は、前記仮想ファイアウオール機能部１７Ａ〜１７Ｃとは判定のルールがまったく異なるため、仮想ファイアウオール機能部（例えば、１７Ａ）で中継するものと判定されたパケット（例えば、ＰＫ１）であっても、当該不正侵入検出部３５では、遮断すべきものと判定される可能性がある。
【００５３】
不正侵入検出部３５で遮断すべきものと判定されたパケットは、不正侵入検出部３５において送信元ＩＰアドレス等を抽出されたあと、直ちに廃棄される。不正侵入検出部３５は、抽出した送信元ＩＰアドレス等を仮想ファイアウオール変更制御部３３に供給する。
【００５４】
仮想ファイアウオール変更制御部３３は、当該不正侵入検出部３５から供給を受けた送信元ＩＰアドレス等をもとに、仮想ファイアウオール識別部３２が持つ前記識別テーブルＴＢ１と、隔離用仮想ファイアウオール機能部１７Ｃが持つルールテーブルＴＢ２（ＴＢ２の該当する行）の内容を変更する部分である。
【００５５】
識別テーブルＴＢ１の内容の変更は、不正侵入検出部３５で不正なパケットであると判定されたパケット（例えば、ＰＫ１）の送信元（例えば、１８）から送信される後続のパケット（例えば、ＰＫ１）を隔離用仮想ファイアウオール機能部１７Ｃへ振分けさせるために行う。
【００５６】
また、ルールテーブルＴＢ２の該当する行の内容の変更は、隔離用仮想ファイアウオール機能部１７Ｃに、前記不正侵入検出部３５で不正なパケットであると判定されたパケット（例えば、ＰＫ１）の送信元（例えば、１８）から送信される後続のパケット（例えば、ＰＫ１）を中継させ、前記復旧サーバ１９に届けるために行う。
【００５７】
前記アドレス変換部３４は、隔離用仮想ファイアウオール機能部１７Ｃが中継したパケット（例えば、ＰＫ１）に収容されている送信元ＩＰアドレス（プライベートＩＰアドレス）をアドレス変換するための部分である。通常、仮想ファイアウオール機能部（例えば、１７Ａ）を介して相互に接続されているネットワーク（例えば、１２，１４）内では、適切なネットワーク管理が行われていれば、ＩＰアドレスの一意性は確保されているが、隔離用仮想ファイアウオール機能部１７Ｃを介して隔離用ネットワーク１６に接続されるネットワーク（例えば、１５）と隔離用ネットワーク１６は、通常は、接続されるものではないため、一意性が確保されていない可能性があり、その場合、当該アドレス変換部３４を用いて隔離用ネットワーク１６内におけるパケット（例えば、ＰＫ１）の送信元ＩＰアドレスの一意性を確保する。
【００５８】
換言すると、当該アドレス変換部３４があれば、隔離用ネットワーク１６内の図示しない各通信装置（ただし、復旧サーバ１９は除く）へのＩＰアドレス（プライベートＩＰアドレス）の割り当ては、他の任意のネットワーク１２〜１５内におけるＩＰアドレスの割り当てに拘束されることなく、自由に行うことができる。
【００５９】
ただし、復旧サーバ１９に対しては各ネットワーク１２〜１５内の任意のユーザ端末（例えば、１８）がパケット（例えば、ＰＫ１）を届ける必要があるため、少なくとも、各ネットワーク１２〜１５内でそのパケットが復旧サーバ１９宛てであることを一意に特定（あるいは、少なくとも、そのネットワーク内の他の通信装置宛てでないことを特定）できるようにしておく必要がある。この一意性を確保する方法には様々なものが考えられるが、例えば、復旧サーバ１９に割り当てるＩＰアドレスＩＰＡ９を、ネットワーク１２〜１６内で一意なプライベートＩＰアドレスとしておくか、グローバルＩＰアドレスとしておくことによっても、この一意性は確保することができる。
【００６０】
以下、上記のような構成を有する本実施形態の動作について、図５のフローチャートを参照しながら説明する。
【００６１】
図５のフローチャートは前記ＦＷ装置１１の動作を示すフローチャートで、Ｓ１０〜Ｓ２１の各ステップから構成されている。ここでも、前記ユーザ端末１８が送信するパケットＰＫ１に注目する。
【００６２】
（Ａ−２）第１の実施形態の動作
図５において、前記ＦＷ装置１１内のパケット受信部３０がネットワーク１５経由で、ユーザ端末１８の送信したパケットＰＫ１を受信すると（Ｓ１０）、そのパケットＰＫ１が隔離用ネットワーク１６に収容される端末から送信されたものであるか否かが検査される（Ｓ１１）。この検査は、前記仮想ファイアウオール識別部３２が、前記識別テーブルＴＢ１に基づいて行う。前記不正侵入検出部３５が、不正侵入に関係するパケットを検出していないあいだは、ネットワーク１２〜１５のなかに、隔離用ネットワーク１６と接続されるものは存在しないため、ステップＳ１１はＮｏ側に分岐する。
【００６３】
例えば、ユーザ端末１８がウイルスＶＲ１に感染していない場合、感染していても当該パケットＰＫ１が、ウイルスＶＲ１がユーザ端末１８に送信させたパケットではなく、ユーザＵ１が正規の目的のために送信させたパケットの場合、あるいは、すでに感染していて、ウイルスＶＲ１がユーザ端末１８に送信させたパケットであっても、まだ（不正侵入検出部３５がウイルスＶＲ１による不正侵入のパターンを検出していないために）感染の事実が識別テーブルＴＢ１に反映されていない場合などには、当該ステップＳ１１はＮｏ側に分岐して、当該パケットＰＫ１は、仮想ファイアウオール識別部３２により仮想ファイアウオール機能部１７Ｂに振り分けられる。
【００６４】
この場合、当該仮想ファイアウオール機能部１７Ｂは、前記ルールテーブルＴＢ２の内容に基づいて、当該パケットＰＫ１の中継の可否を判定する（Ｓ１６）。
【００６５】
ルールテーブルＴＢ２に基づいて、当該パケットＰＫ１が遮断すべきパケットであると判定した場合、ステップＳ１６はＮｏ側に分岐し、仮想ファイアウオール機能部１７Ｂは、直ちに、当該パケットＰＫ１を廃棄するが（Ｓ１７）、中継すべきパケットであると判定した場合には、ステップＳ１６がＹｅｓ側に分岐するので、当該パケットＰＫ１は仮想ファイアウオール機能部１７Ｂから前記不正侵入検出部３５に渡され、処理はステップＳ１８へ進む。
【００６６】
ステップＳ１８では、不正侵入検出部３５が、予め登録してある不正侵入のパターン（シグネチャ）に基づいて当該パケットＰＫ１が不正侵入に関係するものであるか否か（中継の可否）を判定し、不正侵入に関係しないパケットであると判定した場合には、当該パケットＰＫ１を前記パケット送信部３１へ渡して転送させる。
【００６７】
このように仮想ファイアウオール機能部１７Ｂも、不正侵入検出部３５も、中継すべきと判定した場合、通常の通信であるから、そのパケットＰＫ１はパケット送信部３１によってネットワーク１３に送出され、当該パケットＰＫ１の宛先ＩＰアドレスによって指定されるネットワーク１３内の宛先の通信装置（例えば、通常サーバ２０）へ届けられることになる（Ｓ１９）。
【００６８】
これに対し、ステップＳ１８で、不正侵入検出部３５が当該パケットＰＫ１が不正侵入に関係するパケットなので遮断すべきと判定した場合、ステップＳ１８はＹｅｓ側に分岐して処理はステップＳ２０に進む。
【００６９】
ステップＳ１８がＹｅｓ側に分岐するのは、具体的には、例えばユーザ端末１８に感染しているウイルスＶＲ１が最初に送信させたパケットＰＫ１（あるいは、最初に送信された所定数（不正侵入のパターンを特定するのに必要な数）のパケットＰＫ１）を不正侵入検出部３５が処理したときである。ウイルスＶＲ１がいつ、ユーザ端末１８にパケットＰＫ１を送信させるかは、ウイルスＶＲ１の機能によって異なる。例えば、ユーザ端末１８がネットワーク１５に接続された直後にパケットＰＫ１を送信させるウイルス、予めウイルスＶＲ１内で決められた所定の時刻になるとパケットＰＫ１を送信させるウイルス、予めウイルスＶＲ１内で決められた所定のイベントが発生するとパケットＰＫ１を送信させるウイルスなどもある。
【００７０】
いずれにしても、当該不正侵入検出部３５がそのパケットＰＫ１が不正侵入に関係するものであると判定した場合、不正侵入検出部３５は当該パケットＰＫ１から送信元ＩＰアドレス（ここでは、ＩＰＡ８）等を抽出したあと、直ちに当該パケットＰＫ１を廃棄する（Ｓ２１）。そして、抽出した送信元ＩＰアドレスＩＰＡ８は、当該不正侵入検出部３５から前記仮想ファイアウオール変更制御部３３に供給される。このとき必要ならば、ＩＰアドレスＩＰＡ８とともに、当該パケットＰＫ１に関するＶＬＡＮタグの値や入力ポート番号の値なども供給され得る。ただしそのためには、不正侵入検出部３５における処理が終わるまで、当該パケットＰＫ１に関するＶＬＡＮタグの値や入力ポート番号の値などを、ＦＷ装置１１内で当該パケットＰＫ１に対応づけて記憶しておく必要がある。
【００７１】
仮想ファイアウオール変更制御部３３は、供給を受けた当該送信元ＩＰアドレスＩＰＡ８等を利用して前記識別テーブルＴＢ１の内容とルールテーブルＴＢ２の内容を変更することにより（Ｓ２０）、それ以降、ユーザ端末１８から送信されたパケットＰＫ１は、仮想ファイアウオール識別部３２が隔離用仮想ファイアウオール機能部１７Ｃに振り分け、隔離用仮想ファイアウオール機能部１７Ｃと前記アドレス変換部３４を経由して、前記パケット送信部３１からネットワーク１６へ送出されるようにする。
【００７２】
なお、ステップＳ２０とＳ２１はいずれを先に実行してもかまわない。
【００７３】
また、前記ステップＳ１８がＹｅｓ側に分岐して、ユーザ端末１８から送信されたパケットＰＫ１を隔離用仮想ファイアウオール機能部１７Ｃに振り分けるように識別テーブルＴＢ１の内容を変更したとき、ユーザ端末１８が隔離用ネットワーク１６に収容されたといえる。
【００７４】
この場合、ユーザ端末１８と同じネットワーク１５に収容されている他のユーザ端末（図示せず）が送信したパケットは、それ以降も、仮想ファイアウオール識別部３２により仮想ファイアウオール記憶部１７Ｂに振り分けられつづけることは当然である。ユーザ端末が収容されている物理的なネットワークが同じであれば、そのユーザ端末から送信されたパケットに関する物理的な入力ポート番号は同じになるが、割り当てられているＩＰアドレスや、ＶＬＡＮタグの値がユーザ端末１８と相違し得るため、仮想ファイアウオール識別部３２がそのパケットに関する送信元ＩＰアドレス、ＶＬＡＮタグの値、入力ポート番号を検索キーとして識別テーブルＴＢ１を検索した結果は、パケットＰＫ１に関する送信元ＩＰアドレスＩＰＡ８、ＶＬＡＮタグの値、入力ポート番号を検索キーとして検索した検索結果（ファイアウオール識別情報）と異なるものとなるからである。
【００７５】
前記ステップＳ２０で識別テーブルＴＢ１の内容が変更されて、ユーザ端末１８が隔離用ネットワーク１６に収容されたあと、ユーザ端末１８から送信されたパケットＰＫ８がＦＷ装置１１に受信されると（Ｓ１０）、ステップＳ１１はＹｅｓ側に分岐する。
【００７６】
このとき、仮想ファイアウオール識別部３２が当該パケットＰＫ１を隔離用仮想ファイアウオール機能部１７Ｃに振り分けるので、そのパケットＰＫ１を受け取った隔離用仮想ファイアウオール機能部１７Ｃは、ルールテーブルＴＢ２を用いて、当該パケットＰＫ１の中継の可否を判定する（Ｓ１２）。中継すべきでないと判定した場合には、ステップＳ１２はＮｏ側に分岐してそのパケットＰＫ１を廃棄することになるが（Ｓ１３）、このケースでは、すでに前記ステップＳ２０でルールテーブルＴＢ２も隔離用仮想ファイアウオール機能部１７Ｃが当該パケットＰＫ１を中継する内容に変更されているため、ステップＳ１２はＹｅｓ側に分岐する。なお、図４に示すようにルールテーブルＴＢ２では、送信元ＩＰアドレスと宛先ＩＰアドレスの値が、ともに登録されている場合にのみ、許可（中継）するので、ユーザ端末１８が送信したパケットＰＫ１であっても、その宛先ＩＰアドレスが適切でなければ、隔離用仮想ファイアウオール機能部１７Ｃにおいて廃棄されることになる。
【００７７】
ここでは、ユーザ端末１８には、ネットワーク１６上の通信装置のうち復旧サーバ１９との通信のみを許せばよいから、送信元ＩＰアドレスがＩＰＡ８で、宛先ＩＰアドレスがＩＰＡ９のパケットＰＫ１のみを中継することになる。
【００７８】
パケットＰＫ１の宛先ＩＰアドレスとして記述されたＩＰアドレスが適切なものでなければ、パケットＰＫ１をネットワーク１６に送出したとしても、本来の宛先へは届かないが、ユーザＵ１がＤＮＳシステムなどを利用して正確に復旧サーバ１９を指定することができれば、宛先ＩＰアドレスとして当該復旧サーバ１９のＩＰアドレスであるＩＰＡ９を記述したパケットＰＫ１を送信することができるから、当該パケットＰＫ１はアドレス変換部３４によるアドレス変換を経たあとＦＷ装置１１から送出され（Ｓ１４，Ｓ１５）、復旧サーバ１９へ届けられる。
【００７９】
同様に、これと同じ経路を逆方向に辿ることによって、復旧サーバ１９がユーザ端末１８に宛てて送信するパケットＰＫ２も、ユーザ端末１８へ届けられる。
【００８０】
このようなパケットＰＫ１，ＰＫ２のやり取りを利用すれば、ユーザ端末１８から復旧サーバ１９へ、前記ウイルス定義ファイルＶＦ１の提供を要求し、その要求に応えて、復旧サーバ１９がユーザ端末１８にウイルス定義ファイルＶＦ１を提供すること等が可能となる。すなわち、ウイルスＶＲ１に感染したユーザ端末１８をそのまま利用して、ウイルス定義ファイルＶＦ１を取得するための通信を行うことができるので従来よりも利便性が高い。このとき、従来のように、管理者Ｍ１が手作業でＦＷ装置の設定を変更したり、ウイルスＶＲ１に感染していない別なユーザ端末（図示せず）で復旧サーバ１９にアクセスしてウイルス定義ファイルやワクチンソフトをダウンロードし、そのファイルを、フロッピーディスクやＣＤなどの外部記憶媒体に記憶させた上で、当該外部記憶媒体を、感染しているユーザ端末１８の外部記憶装置に挿入して読み込ませること等が必要なくなることが、利便性の向上に大きく寄与する。
【００８１】
しかも本実施形態では、このような通信を行っても、通信システム１０中の他の通信装置（例えば、通常サーバ２０）にウイルスＶＦ１の感染が広がることもないのでセキュリティ性も十分に高く維持できる。
【００８２】
このことは、例えば、ネットワーク１３がネットワーク１５と同じＬＡＮ内にある場合には、ＬＡＮ内の感染拡大を防止できることを意味し、ネットワーク１３がインターネット（ＩＳＰ網）である場合には、ＷＡＮ側への感染拡大を防止できることを意味する。
【００８３】
また、復旧サーバ１９からユーザ端末１８へ提供できるものは、ウイルス定義ファイルに限らない。例えば、前記セキュリティパッチやワクチンソフトなどを提供するようにしてもよい。なお、復旧サーバ１９から送信された前記パケットＰＫ２がネットワーク１６内で正確にＦＷ装置１１の該当するポートに届けられるために、前記ステップＳ１４でアドレス変換部３４が実行するアドレス変換が必要となる。
【００８４】
なお、前記パケットＰＫ１、ＰＫ２のやり取りによってユーザ端末１８が復旧サーバ１９からウイルス定義ファイルＶＦ１等の提供を受けるには、ウイルスＶＲ１に感染した状態でもこのような通信を行える程度にユーザ端末１８が本来の機能を保っていることが前提となることは当然である。
【００８５】
（Ａ−３）第１の実施形態の効果
本実施形態によれば、利便性を高めることができ、セキュリティ性も十分に高く維持することができる。
【００８６】
また、本実施形態では、１台のＦＷ装置（１１）で３台のＦＷ装置と同等の機能を発揮させることができるため、装置コストの低減や管理のための作業負担を軽減することが可能である。
【００８７】
なお、本実施形態のＦＷ装置は、多数のネットワーク（１２〜１６）が存在する環境で利用するのに適しているといえる。
【００８８】
（Ｂ）第２の実施形態
以下では、本実施形態が第１の実施形態と相違する点についてのみ説明する。
【００８９】
この相違点は、第１の実施形態のＦＷ装置１１が３つの仮想ファイアウオール機能部を搭載していたのに対し、本実施形態のＦＷ装置が搭載しているファイアウオール機能部の数が１つである点に関連する部分に限られる。
【００９０】
（Ｂ−１）第２の実施形態の構成および動作
本実施形態にかかる通信システム４０の全体構成例を図７に示す。
【００９１】
図７において、当該通信システム４０は、ファイアウオール（ＦＷ）装置４１と、ネットワーク４２，４３と、ユーザ端末４４と、復旧サーバ４５と、通常サーバ４６とを備えている。
【００９２】
このうちＦＷ装置４１は前記ＦＷ装置１１に対応し、ネットワーク４２は前記ネットワーク１５に対応し、通常サーバ４６は前記通常サーバ２０に対応し、復旧サーバ４５は前記復旧サーバ１９に対応するので、その詳しい説明は省略する。
【００９３】
前記ネットワーク４３は、ＦＷ装置４１を経由してネットワーク４２と接続されるネットワークである。ネットワーク４３は通常サーバ４６を収容している点で前記ネットワーク１３に対応し、復旧サーバ４５を収容している点で前記ネットワーク１６に対応する。
【００９４】
また、図７中で図２と同じ符号ＰＫ１，ＰＫ２，ＶＲ１，ＶＣ１，ＶＦ１を付与した各構成要素の機能は第１の実施形態と同じであるので、その詳しい説明は省略する。
【００９５】
なお、図７中のＩＰＡ４はユーザ端末４４に割り当てられたＩＰアドレスであり、ＩＰＡ５は復旧サーバ４５に割り当てられたＩＰアドレスであり、ＩＰＡ６は通常サーバ４６に割り当てられたＩＰアドレスである。
【００９６】
前記ＦＷ装置４１の内部構成は例えば図６に示す通りである。
【００９７】
図６において、当該ＦＷ装置４１は、パケット受信部５０と、パケット送信部５１と、ファイアウオール機能部５２と、ルール制御部５３と、不正侵入検出部５４とを備えている。
【００９８】
このうちパケット受信部５０は前記パケット受信部３０に対応し、パケット送信部５１は前記パケット送信部３１に対応し、ファイアウオール機能部５２は前記仮想ファイアウオール機能部１７Ａ〜１７Ｃに対応し、ルール制御部５３は前記仮想ファイアウオール変更制御部３３に対応し、不正侵入検出部５４は前記不正侵入検出部３５に対応するので、その詳しい説明は省略する。
【００９９】
なお、当該ファイアウオール機能部５２は、中継の可否を判定し、中継してよいと判定したパケット（例えば、ＰＫ１）を不正侵入検出部５４に供給し、遮断すべきと判定したパケットを直ちに廃棄する点では、前記仮想ファイアウオール機能部（例えば、１７Ｂ、１７Ｃなど）と同じであるものの、１つで、前記仮想ファイアウオール機能部１７Ｂに相当する機能と前記隔離用仮想ファイアウオール機能部１７Ｃに相当する機能を発揮することになる点が相違する。
【０１００】
当該ファイアウオール機能部５２が持つルールテーブルＴＢ３は、形式的には、図４に示したルールテーブルＴＢ２と同じものであってよいが、果たす役割は相違する。第１の実施形態において識別テーブルＴＢ１とルールテーブルＴＢ２が果たしていた役割に相当する役割を、当該ルールテーブルＴＢ３が果たしているとみることができる。
【０１０１】
本実施形態のＦＷ装置４１の動作は図８に示すフローチャートの通りである。
【０１０２】
図８のフローチャートは、Ｓ３０〜Ｓ３５の各ステップを備えている。
【０１０３】
このうちステップＳ３０は前記ステップＳ１０に対応し、ステップＳ３１は前記ステップＳ１６に対応し、ステップＳ３２は前記ステップＳ１７に対応し、ステップＳ３３は前記ステップＳ１８に対応し、ステップＳ３４は前記ステップＳ２０に対応し、ステップＳ３５は前記ステップＳ１９に対応するので、その詳しい説明は省略する。
【０１０４】
図８には、図５のステップＳ１１に相当するステップがないため、ステップＳ３０につづいてステップＳ３１が処理される。
【０１０５】
ステップＳ３１がＹｅｓ側に分岐し、ファイアウオール機能部５２から供給されたパケットＰＫ１が、前記不正侵入検出部５４によって、不正侵入に関係するパケットであると判定された場合、ステップＳ３３はＹｅｓ側に分岐して、不正侵入検出部５４は、当該パケットＰＫ１から送信元ＩＰアドレスであるＩＰＡ４等を抽出し、抽出した送信元ＩＰアドレスＩＰＡ４等を、ルール制御部５３に供給する。
【０１０６】
これを受け取ったルール制御部５３は、当該送信元ＩＰアドレスＩＰＡ４等に基づいてファイアウオール機能部５２が持つルールテーブルＴＢ３の内容を変更する（Ｓ３４）。
【０１０７】
これまでは、送信元ＩＰアドレスとして当該ＩＰＡ４を収容したパケットＰＫ１は、基本的にその宛先ＩＰアドレスがどのような値であっても、中継してよいものと判定されたが、この変更のあとでは、宛先ＩＰアドレスが復旧サーバ４５のＩＰアドレスである前記ＩＰＡ５である場合にのみ中継するものと判定され、それ以外の場合は、遮断されるようになる。
【０１０８】
これにより、ウイルスＶＲ１が感染を拡大するためにネットワーク４６に収容されている任意の通信装置（例えば、通常サーバ４６など）に宛てて送信したパケットＰＫ１のほとんどは、当該ファイアウオール機能部５２で遮断される。ウイルスＶＲ１が感染を拡大しようとして復旧サーバ４５に宛てて送信したパケットＰＫ１は、当該ファイアウオール機能部５２では遮断されないが、不正侵入検出部５４で遮断できる可能性が高い。また、もしも不正侵入検出部５４で遮断できずに復旧サーバ４５まで届けられたとしても、復旧サーバ４５側で十分な防御策を施してあれば、被害の発生を防止することができる。
【０１０９】
また、ユーザＵ１が前記ウイルス定義ファイルＶＦ１の提供を受けるためにパケットＰＫ１を送信させた場合、そのパケットＰＫ１は、ファイアウオール機能部５２と、不正侵入検出部５４で中継され、ネットワーク４３経由で復旧サーバ４５に届けられる。これに応じて、ウイルス定義ファイルＶＦ１を提供するために復旧サーバ１９から送信されるパケットＰＫ２は、この経路を逆に辿って、ユーザ端末４４まで届けられる。
【０１１０】
したがって、本実施形態でも第１の実施形態と同様、ウイルスＶＲ１に感染したユーザ端末４４をそのまま利用して、ウイルス定義ファイルＶＦ１を取得するための通信を行うことができるので従来よりも利便性が高い。
【０１１１】
なお、前記ステップＳ３３がＹｅｓ側に分岐して前記パケットＰＫ１から送信元ＩＰアドレスＩＰＡ４等が抽出されたあと、不正侵入検出部５４内において直ちに当該パケットＰＫ１を廃棄する（Ｓ３２）点などは、第１の実施形態と同じである。
【０１１２】
（Ｂ−２）第２の実施形態の効果
本実施形態によれば、利便性を高めることができ、セキュリティ性も十分に高く維持することができる。
【０１１３】
また、本実施形態では、ＦＷ装置（４１）自体の規模が第１の実施形態のＦＷ装置（１１）よりも小さいので、第１の実施形態よりも装置コストを低減することが可能である。
【０１１４】
なお、本実施形態のＦＷ装置は、少数のネットワーク（４２，４３）が存在する環境で利用するのに適しているといえる。
【０１１５】
（Ｃ）他の実施形態
上記第１の実施形態では、ＦＷ装置１１に３つの仮想ファイアウオール機能部を搭載したが、１台のＦＷ装置に搭載する仮想ファイアウオール機能部の数は、３つに限定する必要がないことは当然である。
【０１１６】
また、上記第１および第２の実施形態における前記ＦＷ装置（例えば、１１）内の構成要素は、ＦＷ装置１１とは別個の装置が備えていてもよい、例えば、不正侵入検出部（ＩＤＳ）はＦＷ装置１１と別個の装置に搭載するようにしてもかまわない。
【０１１７】
さらに、上記第１および第２の実施形態において、ユーザ端末（例えば、１８）でウイルスＶＲ１の駆除などが完了する等、ウイルスＶＲ１が感染の拡大や被害の拡大を実現する能力を失ったことが確認されたとき、自動的に、前記識別テーブルＴＢ１やルールテーブルＴＢ２（または、ＴＢ３）の内容を変更前の状態に戻すようにすることも望ましい。これにより、ＦＷ装置１１（または、４１）に関する管理負担がいっそう軽減でき、利便性が向上する。
【０１１８】
なお、本発明が利用する通信プロトコルは、必ずしも上記第１および第２の実施形態で用いたものに限定する必要はない。例えば、ＯＳＩ参照モデルのネットワーク層のプロトコルは必ずしもＩＰプロトコルである必要はない。一例として、ＩＰＸプロトコルを利用できる可能性もある。
【０１１９】
また、図３や図４に示したテーブルの構成は必ずしも図示したものに限定する必要はない。例えば、上述したように、パケット（例えば、ＰＫ１）に含まれるトランスポート層ヘッダに収容されているポート番号（宛先ポート番号、送信元ポート番号）の値など登録するためのデータ項目を用意した場合などにも、テーブルの構成は変わる。
【０１２０】
さらに、上記第１および第２の実施形態における不正侵入検出部（例えば、３５）は、仮想ファイアウオール機能部（例えば、１７Ｂ）やファイアウオール機能部５２と異なる方法によって不正侵入に関係するパケットを検出することができれば、どのようなものと置換してもかまわない。例えば、アプリケーション層型のファイアウオール（アプリケーションレベルゲートウエイ）等に置換できる可能性がある。アプリケーション層型のファイアウオールは、ＯＳＩ参照モデルのアプリケーション層の情報をもとに中継の可否を判断する。
【０１２１】
以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することができ、ソフトウエア的に実現した機能のなかにはハードウエア的に実現することができるものもある。
【図面の簡単な説明】
【０１２２】
【図１】第１の実施形態で使用するファイアウオール装置（ＦＷ装置）の構成例を示す概略図である。
【図２】第１の実施形態にかかる通信システムの構成例を示す概略図である。
【図３】第１の実施形態で使用する識別テーブルの構成例を示す概略図である。
【図４】第１の実施形態で使用するルールテーブルの構成例を示す概略図である。
【図５】第１の実施形態の動作例を示すフローチャートである。
【図６】第２の実施形態で使用するＦＷ装置の構成例を示す概略図である。
【図７】第２の実施形態にかかる通信システムの構成例を示す概略図である。
【図８】第２の実施形態の動作例を示すフローチャートである。
【符号の説明】
【０１２３】
１０…通信システム、１２〜１６…ネットワーク、１７Ａ〜１７Ｃ…仮想ファイアウオール機能部、１８、４４…ユーザ端末、１９、４５…復旧サーバ、２０、４６…通常サーバ、３０、５０…パケット受信部、３１，５１…パケット送信部、３２…仮想ファイアウオール識別部、３３…仮想ファイアウオール変更制御部、３５、５４…不正侵入検出部、５２…ファイアウオール機能部、５３…ルール制御部、ＴＢ１…識別テーブル、ＴＢ２…ルールテーブル、ＰＫ１、ＰＫ２…パケット、ＶＲ１…ウイルス、ＶＣ１…ワクチンソフト、ＶＦ１…ウイルス定義ファイル、ＩＰＡ２，ＩＰＡ８，ＩＰＡ９…ＩＰアドレス。
【図１】
2006005738.tif 000003
【図２】
2006005738.tif 000004
【図３】
2006005738.tif 000005
【図４】
2006005738.tif 000006
【図５】
2006005738.tif 000007
【図６】
2006005738.tif 000008
【図７】
2006005738.tif 000009
【図８】
2006005738.tif 000010