(57)【要約】【課題】  モバイルネットワークによる通信が運用される状況において、パケットフィルタリングと不正アクセス検知を適切に実行可能にする。【解決手段】  ホームエージェント４０４Ａは、呼制御中継サーバ４０３Ａの呼制御により得られるＩＰアドレス、ポート番号、メディアタイプを取得してファイアウォール７００に通知する。ファイアウォール７００のパケットフィルタリング装置４００は、ＩＰアドレスとポート番号の組で特定されるＩＰパケットを通過させるようにパケットフィルタリングを行う。また、不正アクセス監視装置７０１は、メディアタイプ毎に予め定義した正常アクセス判定条件の中から該当するメディアタイプの情報を取り出し、この正常アクセス判定条件に基づいてパケットを監視し、正常アクセスから逸脱するものを不正アクセスとして検知する。【選択図】  図１２
2006114991.tif 000002
【特許請求の範囲】
【請求項１】
外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォールシステムであって、
前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを中継する呼制御中継部と、
前記端末の移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部と、
前記呼制御中継部から得られる通信に用いる端末のアドレス及びポート番号の情報と、前記アドレス対応情報管理部から得られるアドレスの新旧対応関係の情報とに基づき、内部ネットワークと外部ネットワークとの間で通過を許可するパケットのフィルタリング条件として、アドレスとポート番号との組を設定するフィルタリング制御部と、
前記アドレスとポート番号との組を含むフィルタリング条件に基づいて特定されるパケットを通過させるパケットフィルタリング部と
を備えるファイアウォールシステム。
【請求項２】
請求項１記載のファイアウォールシステムであって、
前記呼制御中継部は、他の信頼できる呼制御中継部の情報を保持する中継部情報保持部を有し、
前記フィルタリング制御部は、前記他の呼制御中継部を経由して確立される端末間の通信におけるアドレス及びポート番号の情報を取得し、このアドレスとポート番号との組によるフィルタリング条件を設定するファイアウォールシステム。
【請求項３】
請求項１または２記載のファイアウォールシステムであって、
前記フィルタリング制御部は、内部ネットワーク上の端末または外部ネットワーク上の端末の少なくとも一方が移動し、前記呼制御中継部または前記アドレス対応情報管理部から得られるアドレスの情報が変更された場合は、最新のアドレスとポート番号との組によるフィルタリング条件を設定するファイアウォールシステム。
【請求項４】
請求項１記載のファイアウォールシステムであって、
前記通信のメディアタイプ毎に定義した正常アクセス判定条件を格納する正常アクセス判定条件格納部と、
前記呼制御中継部から得られる通信に用いる端末のアドレス、ポート番号、及びメディアタイプの情報と、前記アドレス対応情報管理部から得られるアドレスの新旧対応関係の情報と、前記正常アクセス判定条件格納部から得られる正常アクセス判定条件とに基づき、通過するパケットが前記正常アクセス判定条件に適合しない場合は不正アクセスとして検知する不正アクセス検知部と
を備えるファイアウォールシステム。
【請求項５】
請求項４記載のファイアウォールシステムであって、
前記不正アクセス検知部は、内部ネットワーク上の端末または外部ネットワーク上の端末の少なくとも一方が移動し、前記呼制御中継部または前記アドレス対応情報管理部から得られるアドレスの情報が変更された場合は、最新のアドレスの情報によって正常アクセス判定条件の判定を行うファイアウォールシステム。
【請求項６】
外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォールシステムのパケットフィルタリング装置であって、
前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを中継する呼制御中継部から得られる、通信に用いる端末のアドレス及びポート番号の情報と、前記端末の移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部から得られるアドレスの新旧対応関係の情報とに基づき、内部ネットワークと外部ネットワークとの間で通過を許可するパケットのフィルタリング条件として、アドレスとポート番号との組を設定するフィルタリング制御部と、
前記アドレスとポート番号との組を含むフィルタリング条件に基づいて特定されるパケットを通過させるパケットフィルタリング部と
を備えるパケットフィルタリング装置。
【請求項７】
外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォールシステムの不正アクセス検知装置であって、
前記通信のメディアタイプ毎に定義した正常アクセス判定条件を格納する正常アクセス判定条件格納部と、
前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを中継する呼制御中継部から得られる、通信に用いる端末のアドレス、ポート番号、及びメディアタイプの情報と、前記端末の移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部から得られるアドレスの新旧対応関係の情報と、前記正常アクセス判定条件格納部から得られる正常アクセス判定条件とに基づき、通過するパケットが前記正常アクセス判定条件に適合しない場合は不正アクセスとして検知する不正アクセス検知部と
を備える不正アクセス検知装置。
【請求項８】
外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォール制御方法であって、
前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを中継する呼制御中継部から、通信に用いる端末のアドレス及びポート番号の情報を取得するステップと、
前記端末の移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部から、アドレスの新旧対応関係の情報を取得するステップと、
前記通信に用いる端末のアドレス及びポート番号の情報と、前記アドレスの新旧対応関係の情報とに基づき、内部ネットワークと外部ネットワークとの間で通過を許可するパケットのフィルタリング条件として、アドレスとポート番号との組を設定するステップと、
前記アドレスとポート番号との組を含むフィルタリング条件に基づいて特定されるパケットを通過させるステップと
を有するファイアウォール制御方法。
【請求項９】
外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォール制御方法であって、
前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを中継する呼制御中継部から、通信に用いる端末のアドレス、ポート番号、及びメディアタイプの情報を取得するステップと、
前記端末の移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部から、アドレスの新旧対応関係の情報を取得するステップと、
前記通信に用いる端末のアドレス、ポート番号、及びメディアタイプの情報と、前記アドレスの新旧対応関係の情報と、前記通信のメディアタイプ毎に定義して正常アクセス判定条件格納部に格納してある正常アクセス判定条件とに基づき、通過するパケットが前記正常アクセス判定条件に適合しない場合は不正アクセスとして検知するステップと
を有するファイアウォール制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、モバイルＩＰ等のモバイルネットワークによる通信が運用されるネットワークにおいてファイアウォールを動的に制御するファイアウォールシステム及びファイアウォール制御方法に関する。
【背景技術】
【０００２】
企業、大学、家庭などでは、インターネット等の不特定多数の端末からアクセス可能なネットワークに接続する場合、内部のネットワークに対して、外部ネットワークから行われる攻撃を防ぐ必要がある。このため、内部ネットワークと外部ネットワークとの間にファイアウォールを設置することが従来より行われている。
【０００３】
ファイアウォールは、一般に、不正アクセス検知装置とパケットフィルタリング装置とにより構成される。不正アクセス検知装置は、外部ネットワークから攻撃が行われたり、内部ネットワークと外部ネットワークとの間で不正アクセスの兆候が観測されたりした場合に、ネットワークの管理者等に通知する装置である。
【０００４】
パケットフィルタリング装置は、内部ネットワークと外部ネットワークで行われる通信のうち、必要な通信に用いられるパケットのみを通過させ、それ以外のパケットを通過させない装置である。
【０００５】
（不正アクセス検知装置の手法）
不正アクセス検知装置は、攻撃者が行う攻撃や不正アクセスを、パケットの一連の流れを監視することで検知する。この攻撃や不正アクセスを検知する手法は、次の２つに大別できる。
（１）監視するパケットシーケンスが不正アクセスの兆候を示すことを検知する。
（２）監視するパケットシーケンスが正常アクセスを逸脱することを検知する。
【０００６】
このうち後者は、正常アクセス以外の動作を検知できるので不正アクセスの検知の精度を高くできることが期待される手法である。しかし、多種の通信が行われる環境において正常アクセスを規定し、データベース化することが難しいという事情がある。
【０００７】
このため、前者の方法を限られた対象に限定して運用されることが多い。例えば、特定の内部の端末の複数のポートに対するパケットを送ることによって、そのポート上でサービスが立ち上がっているかどうか外部ネットワーク側から調査するポートスキャンを不正アクセスの兆候として検知して通知するという方法が運用されてきた。しかし、この方法は、不正アクセスの兆候の情報を不正アクセスの手法毎に、不正アクセス検知システムに登録する必要があるため、新たな攻撃方法を検知しづらいという欠点がある。
【０００８】
なお、後者に属するものとして以下の技術が提案されている。
（２Ａ）外部ネットワークから通信データを受信し、この通信データが正常である場合にのみサーバに転送する通信中継制御部と、サーバが意図したサービスの提供に寄与する通信データの条件を、正常な通信データの特徴情報として、一種類または複数種類格納する正常アクセス情報格納部と、この正常アクセス情報格納部から特徴情報を読み出して通信中継制御部が受信した通信データと比較し、これらの特徴情報をすべて満たす通信データのみを正常であると判断する正常アクセス識別部と、を備える不正アクセス遮断システム（特許文献１参照）。
【０００９】
（２Ｂ）通信ネットワークを介して外部から行われるアクセスを正常アクセスとして受容するためのプロトコル仕様及び／又はアクセスポリシーを、対象となる通信システム又は通信システムグループ毎に定めておき、通信ネットワークを流通する伝送情報の中から通信システム又は通信システムグループ宛ての伝送情報を捕獲するとともに、捕獲した伝送情報の中からプロトコル仕様及び／又はアクセスポリシーに適合しない伝送情報を不正アクセスの蓋然性がある伝送情報として特定する過程を含む、通信ネットワークにおけるアクセス種別を判定する方法（特許文献２参照）。
【００１０】
（パケットフィルタリング装置の方式）
パケットフィルタリング装置は、内部ネットワークと外部ネットワークで行われる通信のパケットが、あらかじめ定められたルールに従っている場合は通過させ、ルールに従っていない場合は通過させないようにする。このルールは、例えば、「特定のホストからのアクセスを許可する」とか、「内部ネットワークから外部ネットワークへのｈｔｔｐ（HyperText Transfer Protocol）アクセスを許可する」とか、「内部ネットワークから外部ネットワークへのｆｔｐ（File Transfer Protocol）が起動された場合、外部ネットワークから内部ネットワークへの特定ポートへのｆｔｐのアクセスを許可する」といった内容を表すルールである。パケットフィルタリング装置は、これらのルールに適合するパケットのみを通過させ、それ以外のパケットを通過させないという動作を行うことで、外部ネットワークから内部ネットワークへの攻撃や不正アクセスを防御する。
【００１１】
パケットフィルタリング装置が、パケットの通過を制御する単位としては、主に、ＩＰアドレス単位とＩＰアドレスとポート番号の組の単位が用いられる。
【００１２】
ＩＰアドレス単位の制御は、外部ネットワークの特定端末と内部ネットワークの特定端末との間で送受されるすべてのパケットを通過させるルールで実現できる。具体的には、外部ネットワークにダイヤルアップやホットスポットを用いて接続したパソコンのＩＰアドレスを202.123.12.1、内部ネットワークの電子メールサーバのＩＰアドレスを202.32.21.1とした場合、このパソコンから電子メールサーバへの通信のパケットを許可するルールは、"Allow 202.123.12.1 202.32.21.1"、のように記述できる。このルールにおいて、Allowは通過を許可することを、202.123.12.1は送信元ＩＰアドレスを、202.32.21.1は宛先ＩＰアドレスを表す。パケットフィルタリング装置は、このルールに適合するパケットをすべて通過させる。このように送信元ＩＰアドレスと宛先ＩＰアドレスの組で特定されるパケットを通過させたり、通過させなかったりする制御をＩＰアドレス単位の制御と呼ぶ。
【００１３】
ＩＰアドレスとポート番号の組の単位の制御は、外部ネットワーク上の特定の端末の特定ポートから送信されるデータが、内部ネットワーク上の特定の端末のアプリケーションが待ち受けている特定ポートへ通過することを許可するルールで実現できる。例えば、外部ネットワーク上のＩＰ電話端末のＩＰアドレスを202.123.12.2、この端末で音声データを送信するアプリケーションが起動されているポート番号を12345とし、内部ネットワークのＩＰ電話端末のＩＰアドレスを202.32.21.2、この端末で音声データを受信するアプリケーションが起動されているポート番号を23456とする。この場合、この音声データの通過を許可するルールは、"Allow 202.123.12.2 12345 202.32.21.2 23456"のように記述できる。このルールにおいてAllowは許可することを、202.123.12.2、12345、202.32.21.2、23456は、それぞれ、送信元IPアドレス、送信元ポート番号、宛先IPアドレス、宛先ポート番号を表す。パケットフィルタリング装置は、このルールに適合するパケットをすべて通過させる。このように、送信元ＩＰアドレス、送信元ポート番号、宛先IPアドレス、宛先ポート番号の組で特定されるパケットを通過させたり、通過させなかったりする制御をＩＰアドレスとポート番号の組の単位の制御と呼ぶ。
【００１４】
外部ネットワークから内部ネットワークへ攻撃を行う場合、特定端末を乗っ取り、この端末から内部ネットワークの端末への攻撃を行う手法などがよく用いられる。この場合、パケットフィルタリング装置において、ＩＰアドレス単位の制御が行われていると、乗っ取った特定端末から内部ネットワークの端末上のすべてのサービス（アプリケーション）に対するアクセスが可能となるため、望ましくない。つまり、ＩＰアドレスとポート番号の組の制御を行ったほうが、攻撃の範囲を小さくすることができるので、より望ましい。
【００１５】
しかしながら、送信元ＩＰアドレス、送信元ポート番号、宛先ＩＰアドレス、宛先ポート番号の組は、通信が確立する時点で端末同士の間ではじめて明らかになる情報であるため、パケットフィルタリグ装置のようにネットワークの中間に位置する装置がＩＰアドレスとポート番号の組の情報を容易に取得することはできなかった。
【００１６】
このような不具合に対して、通信を確立するための呼制御を中継するサーバを用いて、これらの情報を取得する方法が知られている（例えば、特許文献３及び特許文献４参照）。以下に呼制御中継サーバについて説明する。
【００１７】
（呼制御中継サーバ）
特定の端末間で通信を確立する呼制御として、ＳＩＰ（Session Initiation Protocol）による通信制御がある。ＳＩＰでは、通信を確立させたる２台以上複数の端末間で、特定のメディアの配送に用いるＩＰアドレスとポート番号や、コーデック（CODEC）種別、帯域等の調整を行うための制御メッセージの書式とシーケンスが定義されている。このＳＩＰの運用において、特定の組織に属する端末が送受する呼制御のシーケンスをすべて中継する呼制御中継サーバを設置する方法がある。
【００１８】
図２１は、内部ネットワークに設置された内部端末と外部ネットワークに設置された外部端末とが、呼制御中継サーバを用いて通信を確立するための呼制御のシーケンス（INVITEシーケンス）を示したものである。図中の制御メッセージに付記されているINVITE, TRYING, RINGING, OK, ACKは、ＳＩＰで定義されている制御メッセージを表している。これらの制御メッセージを交換することで、確立する通信で用いるＩＰアドレスとポート番号や、メディアタイプ、CODEC、帯域等の情報を端末間で調整し、端末間で通信の確立をすることが可能となる。
【００１９】
例えば、図２１のシーケンスで音声通信を確立する場合、制御メッセージに次のような情報を含めることで、送信元ＩＰアドレスと送信元ポート番号、あるいは宛先ＩＰアドレスと宛先ポート番号を確定させる。
ｍ＝audio 49170 RTP/AVP 0
ｃ＝IN IP4 224.2.17.12
なお、この記述方式は、ＳＤＰ（Session Description Protocol）としてインターネット関係のプロトコルを標準化する団体であるＩＥＴＦで標準化された記述方式である。ｍ＝の行は、メディアに関する情報を示す。Audioはメディアタイプ、49170はポート番号、RTP/AVP 0はトランスポートとペイロードの形式をしめす。ｃ＝の行は、接続にする情報を示す。INはインターネット、IP4は、IPv4であること、224.2.17.12は、接続に用いるＩＰアドレスを示す。
【００２０】
図２１において、呼制御中継サーバがACKを受信した時点で、送信元ＩＰアドレス、及び宛先ＩＰアドレスと宛先ポート番号の情報を知ることができる。
【００２１】
呼制御中継サーバは、この送信元ＩＰアドレス、宛先ＩＰアドレス、宛先ポート番号を組みとした情報を用いて、パケットフィルタリング装置を制御することができる。この方法を、呼制御中継サーバを使ったパケットフィルタリング装置制御方法と呼ぶ。しかし、この方法は、次に説明するモバイルＩＰ環境で利用できないという事情があった。
【００２２】
（モバイルＩＰ環境）
モバイルＩＰとは、移動もしくはネットワークから切断、再接続することによりＩＰアドレスが変化する状況において、ひとたび確立した通信を切断することなく継続させることを実現する技術である。モバイルＩＰは、ＩＥＴＦで標準化が行われプロトコルの詳細は、RFC3775(IPv6)、RFC3344(IPv4)で規定されている。
【００２３】
図２２は、モバイルＩＰの動作を説明したものである。図２２の構成において、移動端末（モバイル端末、ＭＮ（Mobile Node）ともいう）２０１、移動管理を行うサーバであるホームエージェント（ＨＡ(Home Agent)ともいう）２０２、ホームエージェント２０２が接続されるホームネットワーク２０５、外部にある外部端末（ＣＮ(Correspondent Node)ともいう）２０３、外部ネットワーク２０４、外部ネットワークに接続された特定のネットワーク（移動先ネットワーク）２０６、パケットフィルタリング装置等を備えたファイアウォール２０７、ルータ２０８，２０９を有する。
【００２４】
移動端末２０１には、ホームネットワーク２０５上のＩＰアドレス、例えば2001:300:c01::2/64が付与されており、このアドレスをホームアドレスと呼ぶ。移動端末２０１がホームネットワーク２０５に接続した状態で、外部端末２０３と通信を確立する。この通信を確立した状態で、移動端末２０１が特定ネットワーク（移動先ネットワーク）２０６に移動することを想定する。移動端末２０１が特定ネットワーク（移動先ネットワーク）２０６に移動した場合に付与されるＩＰアドレスを例えば2001:300:c01:beef::2/64とする。このアドレスを移動端末２０１の気付けアドレスと呼ぶ。移動端末２０１と外部端末２０３との間で確立されていた通信を継続するためには、外部端末２０３から2001:300:c01::2（ホームアドレス＝旧気付けアドレス）宛に送信されるパケットを新たな気付けアドレス宛に送信しなおす必要がある。モバイルＩＰでは、移動端末２０１が移動し、新たな気付けアドレスを取得した場合、移動端末２０１がホームエージェント２０２及び外部端末２０３にＩＰアドレスの対応関係を通知する。このＩＰアドレスの対応関係、すなわち「移動端末２０１の気付けアドレスが2001:300:c01::2から2001:300:c01:beef::2に変更になった」という通知をＢＵ（Binding Update）メッセージと呼ぶ。
【００２５】
外部端末２０３がモバイルＩＰに対応していない場合、移動端末２０１宛のパケットはホームアドレスに向けて送信される。ホームアドレスに向けて送信されたパケットは外部ネットワーク２０４を経由してホームネットワーク２０５まで届けられる。ホームネットワーク２０５に届けられたパケットは、一旦ホームエージェント２０２が受信する。ホームエージェント２０２は、一旦受信したパケットを、移動端末２０１の気付けアドレスに配送することで移動端末２０１までパケットを届ける。なお、移動端末２０１から外部端末２０３へのパケットは、この逆順（移動端末２０１→ホームエージェント２０２→外部端末２０３）に届けられる。
【００２６】
外部端末２０３がモバイルＩＰに対応している場合、移動端末２０１宛のパケットは直接、気付けアドレスに対して配送される。このようにして、移動端末２０１に届けられたパケットは、特定のアプリケーションに届けられる。つまり、移動端末２０１が外部端末２０３と移動前に確立した通信は、移動端末２０１が移動した後にでも継続的に行うことができる。
【００２７】
しかし、このモバイルＩＰが運用されている状況では、移動端末２０１のＩＰアドレス（気付けアドレス）が変わってしまう。このため、パケットフィルタリング装置に移動端末２０１が移動する前に設定されたルールは、移動端末２０１が移動後には適用できなくなるという不具合があった。
【００２８】
従来、この不具合に対して、移動端末２０１が移動した場合に、移動端末２０１からホームエージェント２０２に送付されるＢＵメッセージに含まれる情報を用いて、パケットフィルタリング装置を制御する方法があった（特許文献５参照）。
【００２９】
図２３は、この従来方式の構成を説明したものである。図２３の構成において、第一の移動端末３０１、第二の移動端末３０２、ホームエージェント３０３、ファイアウォール管理ホスト３０４、パケットフィルタリング装置３０５、外部ネットワーク（インターネット）３０６、ＩＳＰ（インターネットサービスプロバイダ）３０７、ＩＳＰ３０７の認証サーバ３０８を有する。
【００３０】
ここでは、第一の移動端末３０１を外部ネットワークに持ち出し、第一の移動端末３０１から内部ネットワークの第二の移動端末３０２に接続する状況を想定している。第一の移動端末３０１をダイヤルアップ等で特定のＩＳＰ３０７経由で外部ネットワークに接続する。この際、ＩＳＰ３０７の認証サーバ３０８がユーザ情報を第一の移動端末３０１に送り、第一の移動端末３０１はユーザ情報を、ファイアウォール管理ホスト３０４に送付する。ファイアウォール管理ホスト３０４は、ユーザ情報が正当なものである場合、第一の移動端末３０１とホームエージェント３０３間の通信が可能となるようにファイアウォール上のパケットフィルタリング装置３０５の設定を変更する。この一連の動作を行うことで、第一の移動端末３０１がホームエージェント３０３を経由して第二の移動端末３０２と通信することを可能とする。すなわち、モバイルＩＰが運用されている状況で、動的なパケットフィルタリング装置３０５の制御を実現している。
【００３１】
【特許文献１】特開２００４−３８５５７号公報
【特許文献２】特開２００１−３１３６４０号公報
【特許文献３】特開２００３−２２９８９３号公報
【特許文献４】特開２００３−２２９９１５号公報
【特許文献５】特開平１０−７０５７６号公報
【発明の開示】
【発明が解決しようとする課題】
【００３２】
しかしながら、図２３に示した従来方式においては、パケットフィルタリング装置３０５が、ＩＰアドレスとポート番号の組でアクセス制限できないため、攻撃者は、第一の移動端末３０１を乗っ取った場合、ホームエージェント３０３及び第二の移動端末３０２のすべてのサービスへの攻撃が可能となるという問題があった。
【００３３】
また、従来方式を適用できるのは、第一の移動端末３０１を持ち出した場合のみであり、外部ネットワーク上の外部端末からの通信を開設する枠組みがない。つまり、内部ネットワークのネットワーク管理者等が承認した正当な通信を開設する仕組みが提供されていない。
【００３４】
また、従来方式でアクセスを許可した通信の不正アクセスを監視する場合、第一の外部端末３０１と第二の移動端末３０２の間で様々な通信が行われる可能性があるため、監視するパケットシーケンスが正常アクセスを逸脱することを検知する方式は利用できず、監視するパケットシーケンスが不正アクセスの兆候を示すことを検知する方式で監視せざるを得ない。このため、未知の攻撃を検知しづらいという問題があった。
【００３５】
本発明は、上記事情に鑑みてなされたもので、モバイルネットワークによる通信が運用されている状況においても、アドレスとポート番号の組単位でパケットフィルタリングを行ってより狭い範囲の通信のみを透過させること、および内部ネットワークの移動端末が、外部のネットワークに移動したときのみならず、外部のネットワークに接続された他の端末から内部ネットワークの端末に通信を開設することが可能なファイアウォールシステム及びファイアウォール制御方法を提供すること目的とする。
【００３６】
また、本発明は、メディアタイプで特定される通信のパケットシーケンスを監視し、メディアタイプ毎に定義した正常アクセス判定条件に基づいて正常アクセスに適合しない不正アクセスを検知することで、未知の攻撃を検知することが実質的に可能なファイアウォールシステム及びファイアウォール制御方法を提供すること目的とする。
【課題を解決するための手段】
【００３７】
本発明のファイアウォールシステムは、外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォールシステムであって、前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを中継する呼制御中継部と、前記端末の移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部と、前記呼制御中継部から得られる通信に用いる端末のアドレス及びポート番号の情報と、前記アドレス対応情報管理部から得られるアドレスの新旧対応関係の情報とに基づき、内部ネットワークと外部ネットワークとの間で通過を許可するパケットのフィルタリング条件として、アドレスとポート番号との組を設定するフィルタリング制御部と、前記アドレスとポート番号との組を含むフィルタリング条件に基づいて特定されるパケットを通過させるパケットフィルタリング部とを備えるものである。
【００３８】
これにより、呼制御中継部から得られる通信に用いる端末のアドレス及びポート番号の情報と、アドレス対応情報管理部から得られるアドレスの新旧対応関係の情報とに基づき、アドレスとポート番号との組を特定してパケットフィルタリングの制御を行うことができる。したがって、モバイルネットワークによる通信が運用されている状況においても、アドレスとポート番号の組単位でパケットフィルタリングを行うことができ、ネットワーク管理者等が承認した正当な通信のみを透過させることが可能となる。
【００３９】
また、本発明の一態様として、上記のファイアウォールシステムであって、前記呼制御中継部は、他の信頼できる呼制御中継部の情報を保持する中継部情報保持部を有し、前記フィルタリング制御部は、前記他の呼制御中継部を経由して確立される端末間の通信におけるアドレス及びポート番号の情報を取得し、このアドレスとポート番号との組によるフィルタリング条件を設定するものとする。
【００４０】
これにより、他の呼制御中継部を経由して確立される通信に対しても、信頼できる呼制御中継部からの情報に基づいてアドレスとポート番号の組単位でパケットフィルタリングを行うことができる。
【００４１】
また、本発明の一態様として、上記のファイアウォールシステムであって、前記フィルタリング制御部は、内部ネットワーク上の端末または外部ネットワーク上の端末の少なくとも一方が移動し、前記呼制御中継部または前記アドレス対応情報管理部から得られるアドレスの情報が変更された場合は、最新のアドレスとポート番号との組によるフィルタリング条件を設定するものとする。
【００４２】
これにより、端末が移動してアドレスが変更された場合でも、動的にアドレス情報の対応付けを行い、最新のアドレスに対応したアドレスとポート番号の組単位でパケットフィルタリングを動的に制御することが可能となる。
【００４３】
また、本発明の一態様として、上記のファイアウォールシステムであって、前記通信のメディアタイプ毎に定義した正常アクセス判定条件を格納する正常アクセス判定条件格納部と、前記呼制御中継部から得られる通信に用いる端末のアドレス、ポート番号、及びメディアタイプの情報と、前記アドレス対応情報管理部から得られるアドレスの新旧対応関係の情報と、前記正常アクセス判定条件格納部から得られる正常アクセス判定条件とに基づき、通過するパケットが前記正常アクセス判定条件に適合しない場合は不正アクセスとして検知する不正アクセス検知部とを備えるものである。
【００４４】
これにより、呼制御シーケンスによって確立された特定のメディアタイプの通信のパケットのみファイアウォールを通過させ、さらにこのパケットを監視し、通信のメディアタイプ毎に定義した正常アクセス判定条件に基づいて正常アクセスに適合しない不正アクセスを検知することが可能となる。
【００４５】
また、本発明の一態様として、上記のファイアウォールシステムであって、前記不正アクセス検知部は、内部ネットワーク上の端末または外部ネットワーク上の端末の少なくとも一方が移動し、前記呼制御中継部または前記アドレス対応情報管理部から得られるアドレスの情報が変更された場合は、最新のアドレスの情報によって正常アクセス判定条件の判定を行うものとする。
【００４６】
これにより、端末が移動してアドレスが変更された場合でも、動的にアドレス情報の対応付けを行い、最新のアドレスに対応した正常アクセス判定条件に基づいて不正アクセスを検知することが可能となる。
【００４７】
本発明のパケットフィルタリング装置は、外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォールシステムのパケットフィルタリング装置であって、前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを中継する呼制御中継部から得られる、通信に用いる端末のアドレス及びポート番号の情報と、前記端末の移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部から得られるアドレスの新旧対応関係の情報とに基づき、内部ネットワークと外部ネットワークとの間で通過を許可するパケットのフィルタリング条件として、アドレスとポート番号との組を設定するフィルタリング制御部と、前記アドレスとポート番号との組を含むフィルタリング条件に基づいて特定されるパケットを通過させるパケットフィルタリング部とを備えるものである。
【００４８】
これにより、呼制御中継部から得られる通信に用いる端末のアドレス及びポート番号の情報と、アドレス対応情報管理部から得られるアドレスの新旧対応関係の情報とに基づき、アドレスとポート番号との組を特定してパケットフィルタリングの制御を行うことが可能となる。
【００４９】
本発明の不正アクセス検知装置は、外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォールシステムの不正アクセス検知装置であって、前記通信のメディアタイプ毎に定義した正常アクセス判定条件を格納する正常アクセス判定条件格納部と、前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを中継する呼制御中継部から得られる、通信に用いる端末のアドレス、ポート番号、及びメディアタイプの情報と、前記端末の移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部から得られるアドレスの新旧対応関係の情報と、前記正常アクセス判定条件格納部から得られる正常アクセス判定条件とに基づき、通過するパケットが前記正常アクセス判定条件に適合しない場合は不正アクセスとして検知する不正アクセス検知部とを備えるものである。
【００５０】
これにより、呼制御シーケンスによって確立された特定のメディアタイプの通信のパケットを監視し、通信のメディアタイプ毎に定義した正常アクセス判定条件に基づいて正常アクセスに適合しない不正アクセスを検知することが可能となる。
【００５１】
本発明のファイアウォール制御方法は、外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォール制御方法であって、前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを中継する呼制御中継部から、通信に用いる端末のアドレス及びポート番号の情報を取得するステップと、前記端末の移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部から、アドレスの新旧対応関係の情報を取得するステップと、前記通信に用いる端末のアドレス及びポート番号の情報と、前記アドレスの新旧対応関係の情報とに基づき、内部ネットワークと外部ネットワークとの間で通過を許可するパケットのフィルタリング条件として、アドレスとポート番号との組を設定するステップと、前記アドレスとポート番号との組を含むフィルタリング条件に基づいて特定されるパケットを通過させるステップとを有するものである。
【００５２】
これにより、呼制御中継部から得られる通信に用いる端末のアドレス及びポート番号の情報と、アドレス対応情報管理部から得られるアドレスの新旧対応関係の情報とに基づき、アドレスとポート番号との組を特定してパケットフィルタリングの制御を行うことが可能となる。
【００５３】
本発明のファイアウォール制御方法は、外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォール制御方法であって、前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを中継する呼制御中継部から、通信に用いる端末のアドレス、ポート番号、及びメディアタイプの情報を取得するステップと、前記端末の移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部から、アドレスの新旧対応関係の情報を取得するステップと、前記通信に用いる端末のアドレス、ポート番号、及びメディアタイプの情報と、前記アドレスの新旧対応関係の情報と、前記通信のメディアタイプ毎に定義して正常アクセス判定条件格納部に格納してある正常アクセス判定条件とに基づき、通過するパケットが前記正常アクセス判定条件に適合しない場合は不正アクセスとして検知するステップとを有するものである。
【００５４】
これにより、呼制御シーケンスによって確立された特定のメディアタイプの通信のパケットを監視し、通信のメディアタイプ毎に定義した正常アクセス判定条件に基づいて正常アクセスに適合しない不正アクセスを検知することが可能となる。
【発明の効果】
【００５５】
本発明によれば、モバイルネットワークによる通信が運用されている状況においても、アドレスとポート番号の組単位でパケットフィルタリングを行ってより狭い範囲の通信のみを透過させること、および内部ネットワークの移動端末が、外部のネットワークに移動したときのみならず、外部のネットワークに接続された他の端末から内部ネットワークの端末に通信を開設することが可能なファイアウォールシステム及びファイアウォール制御方法を提供できる。また、メディアタイプで特定される通信のパケットシーケンスを監視し、メディアタイプ毎に定義した正常アクセス判定条件に基づいて正常アクセスに適合しない不正アクセスを検知することで、未知の攻撃を検知することが実質的に可能なファイアウォールシステム及びファイアウォール制御方法を提供できる。
【発明を実施するための最良の形態】
【００５６】
（第１の実施形態）
【００５７】
図１は本発明の第１の実施形態に係るファイアウォールシステムの構成を示す図である。第１の実施形態は、モバイルネットワークとしてモバイルＩＰによるデータ通信が運用されるネットワークにおいて、パケットフィルタリング装置を動的に制御する構成を示したものである。図１の構成において、企業等のネットワークの外部にあるインターネット等の外部ネットワーク１０上に、呼制御中継サーバ１１、ホームエージェント（ＨＡ）１２、アドレス管理サーバ１３が接続されている。外部端末１４は外部ネットワーク１０に接続されている。内部端末１５は企業等の内部に設けられる内部ネットワーク１６に接続されており、この内部ネットワーク１６と外部ネットワーク１０との間にファイアウォール１７が設置されている。
【００５８】
図２は本発明の第１の実施形態における呼制御シーケンスを示す図である。この図２は、内部ネットワーク１６における内部端末１５と外部ネットワーク１０における外部端末１４が、呼制御中継サーバ１１を用いて通信を確立するための呼制御のシーケンス（INVITEシーケンス）を示したものである。図中の制御メッセージに付記されているINVITE, TRYING, RINGING, OK, ACKは、ＳＩＰで定義されている制御メッセージを表している。これらの制御メッセージを交換することで、確立する通信で用いるＩＰアドレスとポート番号や、メディアタイプ、コーデック（CODEC）、帯域等の情報を端末間で調整し、端末間で通信の確立をすることが可能となる。
【００５９】
内部端末１５の呼制御処理部１５ａから呼制御中継サーバ１１に対して外部端末１４宛てのINVITE（セッション確立要求）メッセージが出されると（Ｓ１）、呼制御中継部１１aはセッション確立要求の受付を意味するメッセージを呼制御処理部１５ａに返送する（Ｓ２）。呼制御中継サーバ１１の呼制御中継部１１ａはアドレス管理サーバ１３に対して外部端末１４のアドレスを問い合せるメッセージを送る（Ｓ３）。
【００６０】
アドレス管理サーバ１３のアドレス管理応答部１３ａは、アドレス保持部１３ｂに登録されている外部端末１４のアドレスを検索して、外部端末１４のアドレスを返答するメッセージを呼制御中継サーバ１１に送る（Ｓ４）。呼制御中継サーバ１１の呼制御中継部１１ａは、外部端末１４の呼制御処理部１４ａに対して接続を要求するINVITEメッセージを送る（Ｓ５）。外部端末１４の呼制御処理部１４ａは、INVITEメッセージを受け取ると、RINGINGメッセージを返す（Ｓ６）。このRINGINGメッセージは、呼制御中継サーバ１１の呼制御中継部１１ａを介して内部端末１５の呼制御処理部１５ａへ送られる（Ｓ７）。
【００６１】
外部端末１４が応答すると、外部端末１４の呼制御処理部１４ａはOKメッセージを送る（Ｓ８）。このOKメッセージは呼制御中継サーバ１１の呼制御中継部１１ａを介して内部端末１５の呼制御処理部１５ａへ送られる（Ｓ９）。内部端末１５の呼制御処理部１５ａは、OKメッセージに対してACKメッセージを送る（Ｓ１０）。このACKメッセージは呼制御中継サーバ１１の呼制御中継部１１ａを介して外部端末１４の呼制御処理部１４ａへ送られる（Ｓ１１）。
【００６２】
この一連の呼制御シーケンスにおいて、呼制御中継サーバ１１の呼制御中継部１１ａは、内部端末１５の呼制御処理部１５ａからのACKメッセージを受け取った時点（Ｓ１０）で、内部端末１５と外部端末１４との間の通信に用いるアドレス（ＩＰアドレス）とポート番号の情報が確定するので、通信に用いるＩＰアドレスとポート番号の組情報をアドレス・ポート管理部１１ｂに一時記憶させる。そして、呼制御中継サーバ１１のフィルタリング制御要求部１１ｃは、通信に用いるＩＰアドレスとポート番号の組情報を含むフィルタリング制御要求メッセージをホームエージェント１２に対して供給する（Ｓ２１）。これにより、フィルタリング制御処理が起動される。
【００６３】
図１に示すように、ホームエージェント１２は、ＩＰアドレス対応情報管理部１２ａを有しており、このＩＰアドレス対応情報管理部１２ａによって外部端末１４の移動またはネットワークへの再接続によって変更されるＩＰアドレスの新旧対応関係を管理している。図３はＩＰアドレスの新旧対応関係を示すテーブルの構成例である。図３において、ホームアドレス欄１２ａ１は、内部ネットワークの端末のホームアドレスを保持する項目である。また、気付けアドレス欄１２ａ２は、同じ端末の現在の気付けアドレスを保持する項目である。図１のホームエージェント１２のフィルタリング制御指示部１２ｂは、通信に用いるＩＰアドレスとポート番号の組情報を含むフィルタリング制御要求メッセージを受け取ると、このＩＰアドレスをキーとしてホームアドレス欄１２ａ１を検索して、検索が成功する場合、気付けアドレス欄１２ａ２から現在の気付けアドレスを取得する。そして、フィルタリング制御指示部１２ｂは、この気付けアドレスを最新のＩＰアドレスとして最新のＩＰアドレスとポート番号との組を特定する。その後、この最新のＩＰアドレスとポート番号との組情報をファイアウォール１７へ送る。検索が成功しない場合は、フィルタリング制御指示部１２ｂはフィルタリング制御要求メッセージに含まれるＩＰアドレスとポート番号の組情報をファイアウォール１７へ送る。
【００６４】
ファイアウォール１７のパケット送信受信管理部１７ａは、前記最新のＩＰアドレスとポート番号との組情報を受信すると、この組情報をフィルタリング制御部１７ｂに供給する。フィルタリング制御部１７ｂは、前記最新のＩＰアドレスとポート番号との組情報によって特定されるＩＰパケットを通過させるようにパケット転送部（フィルタリング部）１７ｃのパケット転送動作（パケットフィルタリング動作）を制御する。
【００６５】
これにより、内部端末１５の主信号処理部１５ｂと外部端末１４の主信号処理部１４ｂとの間で、主信号（例えば音声や画像等のデータを含むパケット）の通信が可能となる。
【００６６】
図４は本発明の第１の実施形態におけるフィルタリング処理のシーケンスを示す図である。呼制御中継サーバ１１のフィルタリング制御要求部１１ｃは、通信に用いるＩＰアドレスとポート番号の組情報を含むフィルタリング要求をホームエージェント１２のフィルタリング制御指示部１２ｂへ送る（Ｓ５１）。フィルタリング制御指示部１２ｂは、ＩＰアドレスが最新のものであるか確認し、最新のＩＰアドレスとポート番号の組情報を含むフィルタリング要求をファイアウォール１７のフィルタリング制御部１７ｂに送る（Ｓ５２）。フィルタリング制御部１７ｂは、最新のＩＰアドレスとポート番号の組情報からなるフィルタリング情報を保持し、整合チェックを行って、フィルタリング設定指示をパケット転送部（フィルタリング部）１７ｃ（Ｓ５３）に送る。これにより、フィルタリング条件が設定される。パケット転送部（フィルタリング部）１７ｃは、フィルタリング条件が設定されたことを示す応答メッセージを返す（Ｓ５４）。この応答メッセージは、フィルタリング制御部１７ｂ、フィルタリング制御指示部１２ｂを介してフィルタリング制御要求部１１ｃへ送られる（Ｓ５５，Ｓ５６）。
【００６７】
図５は第１の実施形態に係るファイアウォールシステムの第１運用例を示す図である。この第１運用例のファイアウォールシステムは、内部端末４０１、移動端末（ＭＮ）である外部端末４０２、呼制御中継部の機能を有する呼制御中継サーバ４０３、アドレス対応情報管理部の機能を有するホームエージェント（ＨＡ）４０４、パケットフィルタリング装置４００を含むファイアウォール４０５、インターネット等の外部ネットワーク４０６、企業等に設けられる内部ネットワーク４０７、ルータ４０８を有する。呼制御中継サーバ４０３及びホームエージェント４０４は、内部ネットワーク４０７におけるＤＭＺ（非武装地帯）に設置されており、外部ネットワーク４０６からアクセス可能である。内部ネットワーク４０７に接続された内部端末４０１は、ファイアウォール４０５、ルータ４０８を介して外部ネットワーク４０６とアクセス可能となっている。
【００６８】
ここでは、内部端末４０１が外部端末４０２と通信を確立するために、呼制御中継サーバ４０３を介して呼制御のシーケンスを交換することを想定する。また、外部端末４０２は、移動端末（ＭＮ）であり、外部ネットワーク４０６に移動し、気付けアドレスを取得しているものとする。
【００６９】
図５に示すように、呼制御中継サーバ４０３は、図２に示した一連の呼制御のシーケンスにおいて確定した、内部端末４０１のＩＰアドレスとポート番号、及び外部端末４０２のＩＰアドレスと宛先ポート番号の呼情報をホームエージェント４０４に通知する。ここで、ホームエージェント４０４が呼制御中継サーバ４０３から取得した内部端末４０１のＩＰアドレスとポート番号、及び外部端末４０２のＩＰアドレスとポート番号の呼情報は、それぞれ、2001:300:c01:1::1, 12345, 2001:300:c01:1::2, 23456とする。
【００７０】
一方、ホームエージェント４０４は、外部端末４０２がホームエージェント４０４宛てに通知したバインディングアップデート情報（ＢＵメッセージ）により、外部端末４０２の気付けアドレスが2001:300:beaf::2であるという情報を取得している。それにより、外部端末４０２のホームアドレスと気付けアドレスとを対応付けて保持するとともに、外部端末４０２の最新のアドレスが気付けアドレスであることを把握している。
【００７１】
そして、ホームエージェント４０４は、パケットフィルタリング装置４００を備えるファイアウォール４０５に対して内部端末４０１と外部端末４０２との通信に用いられる情報を通知する。パケットフィルタリング装置４００では、取得したＩＰアドレスとポート番号との組の情報に基づき、フィルタリング条件を設定し、前記通信に用いられるＩＰパケットが透過できるように、ＩＰアドレスとポート番号との組によってパケットの通過を制御する。
【００７２】
すなわち、パケットフィルタリング装置４００は、ホームエージェント４０４からの情報に基づき、（ＩＰアドレス，ポート番号）が（2001:300:c01:1::1, 12345）と（2001:300:beaf::2, 23456）との間のパケットを透過させる。具体的には、フィルタ１(Allow 2001:300:c01:1::1 * 2001:300:beaf::2 23456)およびフィルタ２（Allow 001:300:beaf::2  * 2001:300:c01:1::1 12345）の２つのフィルタを設定することで設定できる。なお、送信元ポート番号の＊は、全てのポート番号を意味する記号である。ここで、ホームエージェント４０４が外部端末４０２の気付けアドレスを通知するので、2001:300:c01:1::2ではなく2001:300:beaf::2との間の通信のパケットを透過させるようにパケットフィルタリング装置４００を制御していることになる。
【００７３】
つまり、ホームエージェント４０４は、外部端末４０２から新たなＢＵメッセージが到達した場合、外部端末４０２の新たな気付けアドレスと内部端末４０１との間の通信が可能となり、古い気付けアドレスと内部端末４０１との間で通信ができないようにパケットフィルタリング装置４００を制御する。具体的には、ホームエージェント４０４は、新たなＢＵメッセージにより通知された外部端末４０２の気付けアドレスを2001:300:beaf::2とすると、（2001:300:c01:1::1, 12345）と（ 2001:300:beaf::2, 23456）との間の通信を透過させ、（2001:300:c01:1::1, 12345）と（ 2001:300:c01:1::2, 23456）との間の通信を遮断するようにパケットフィルタリング装置４００を制御する。
【００７４】
また、呼制御中継サーバ４０３が、内部端末４０１と外部端末４０２との間の通信の終了を検知した場合、内部端末４０１または外部端末４０２は呼制御中継サーバ４０３経由で通信終了の呼制御のシーケンスを実行する。そして、呼制御中継サーバ４０３が、ホームエージェント４０２にその旨を通知する。通信の終了の通知を受けたホームエージェント４０２は、それまで内部端末４０１と外部端末４０２の通信を確立するために透過させていたＩＰパケットを遮断するように、パケットフィルタリング装置４００を制御する。
【００７５】
なお、パケットフィルタリング装置４００が内部端末４０１と外部端末４０２の通信のパケットを監視し、通信が終了していると判断する場合に、自動的に、それまで内部端末４０１と外部端末４０２の通信を確立するために透過させていたパケットを遮断するように、パケットフィルタリング装置４００を制御することも可能である。
【００７６】
この第１運用例によれば、モバイルＩＰによるデータ通信が運用されている状況において、ＩＰアドレスとポート番号の組単位で動的にパケットフィルタリングの制御を行うことが可能となる。
【００７７】
図６は第１の実施形態に係るファイアウォールシステムの第２運用例を示す図である。第２運用例は、内部ネットワークにおいてモバイルＩＰによるデータ通信が運用される例を示している。図６の構成において、内部のホームネットワーク６０５、内部の移動先ネットワーク６０６、インターネット等の外部ネットワーク６０４を有し、外部ネットワーク６０４には外部端末（ＣＮ）６０３が接続されている。ホームネットワーク６０５と移動先ネットワーク６０６とは、各ルータ６０５Ｒ，６０６Ｒを介して接続されている。各ルータ６０５Ｒ，６０６Ｒと外部ネットワーク６０４との間にはファイアウォールとしてのパケットフィルタリング装置６０７が設置されている。ホームネットワーク６０５には、移動端末（ＭＮ）６０１、ホームエージェント（ＨＡ）６０２及び呼制御中継サーバ６０８が接続されている。
【００７８】
この構成において、呼制御中継サーバ６０８を介してホームネットワーク６０５上の移動端末と外部ネットワーク６０４上の外部端末６０３との接続が確立される。さらに、ホームエージェント６０２を介してパケットフィルタリング装置６０７のフィルタリング条件が設定され、移動端末６０１と外部端末６０３との間の通信がなされている状態で、移動端末６０１が移動先ネットワーク６０６へ移動する場合を想定する。
【００７９】
移動端末６０１は、移動先ネットワーク６０６で移動先アドレス（気付けアドレス）を取得し、この移動先アドレスをホームエージェント６０２に通知する。そして、ホームエージェント６０２は、移動端末６０１の最新のＩＰアドレス（すなわち気付けアドレス）を含むフィルタリング要求をパケットフィルタリング装置６０７へ供給し、移動先ネットワーク６０６の移動端末６０１と外部端末６０３との間の通信がなされるようにパケットフィルタリング条件を変更させる。これにより、移動端末６０１が移動した場合でも、外部端末６０３との通信を継続することができる。つまり、移動端末６０１から、ホームエージェント６０２に対して送付されるアドレスの変更通知をトリガーとして、図４に示したフィルタリング処理のシーケンスが実行される。これにより、呼制御中継サーバ６０８からホームエージェント６０２、ルータ６０５Ｒを介して最新のＩＰアドレスとポート番号の組情報からなるフィルタリング情報がパケットフィルタリング装置６０７に通知される。この結果、移動端末６０１が移動した場合でも、外部端末６０３との通信を継続することが可能となる。
【００８０】
この第２運用例によれば、移動端末がホームネットワークから移動先ネットワークへ移動した場合でも、外部端末との通信を継続でき、かつＩＰアドレスとポート番号の組単位でパケットフィルタリングを行うことができる。
【００８１】
以上説明した第１の実施形態によれば、モバイルＩＰによるデータ通信が運用されている状況において、ＩＰアドレスとポート番号の組単位で動的にパケットフィルタリング動作を制御することが可能となる。また、呼制御中継サーバ１１によってネットワーク管理者等が承認した外部の端末からの通信を開設し、この端末に関する通信のパケットフィルタリングを行うことが可能となる。
【００８２】
なお、呼制御中継サーバ１１において、ネットワーク管理者等が信頼する他の呼制御中継サーバの情報を保持する。呼制御中継サーバ１１は、内部端末と外部端末の通信の確立のための呼制御のシーケンスを開始する際に、信頼する他の呼制御中継サーバ経由である場合のみ、呼制御のシーケンスを行う機構を導入することができる。例えば、ネットワーク管理者等が信頼する他の呼制御中継サーバの情報を保持する方法としては、ＵＲＩ（Unified Resource Identifier）表記で、例えば、aaa@sip.acompany.co.jpと表現される外部ネットワーク上の資源表記のホスト部分、すなわちsip.acompany.co.jp部分を複数保持する方法や、ホスト部のリストを保持する方法や、ホスト部分の表現に正規表現を適用したsip.*.co.jpといった記述で保持する方法、あるいはホスト部のみならずＵＲＩそのものを保持する方法が利用できる。このような機構を導入することで、ネットワーク管理者等が信頼する他の呼制御中継サーバを経由して確立された通信のみがパケットフィルタリング装置を通過するように制御することが可能となる。
【００８３】
なお、第１の実施形態において、呼制御中継サーバ１１、ホームエージェント１２の双方もしくはいずれかを、外部ネットワーク１０に設置する運用方法と企業等の内部ネットワーク１６に設置する運用方法がある。前者は、呼制御中継サーバ１１とホームエージェント１２の通信、ホームエージェント１２とパケットフィルタリング装置を含むファイアウォール１７との通信をＴＬＳ（Transport Level Security ）,ＩＰＳＥＣ（IP security）等を用いた認証・暗号化で保護する方法を適用することで外部ネットワーク上の他の端末による偽装攻撃を防止し、運用することが可能となる。これにより、呼制御中継サーバ１１、ホームエージェント１２の双方もしくはいずれかを、外部ネットワーク１０に設置する運用方法でも、呼制御中継サーバ１１、ホームエージェント１２の双方を企業等の内部ネットワーク１６に設置する運用方法と同等に運用することが可能となる。
【００８４】
（第２の実施形態）
図７は本発明の第２の実施形態に係るファイアウォールシステムの構成を示す図である。第２の実施形態に係るファイアウォールシステムは、図１に示した第１の実施形態に係るファイアウォールシステムに不正アクセス監視機能を追加したものである。ファイアウォール１３０は、正常アクセス判定条件格納部としての正常アクセス規定データベース１３１と、不正アクセス検知部１３２と、パケット転送部１３３と、不正アクセス報知部１３４とを有する。呼制御中継サーバ１１０は、不正アクセス監視制御要求部１１１と、呼制御中継部１１ａと、アドレス・ポート管理部１１ｂとを有する。ホームエージェント（ＨＡ）１２０は、不正アクセス監視制御指示部１２１とＩＰアドレス対応情報管理部１２ａとを有する。その他の構成は図１に示した第１の実施形態と同様である。
【００８５】
図８は第２の実施形態における呼制御のシーケンスを示す図である。これは、図２に示した呼制御シーケンスを一部変更したものである。第２の実施形態では、内部端末１５の呼制御処理部１５ａから呼制御中継サーバ１１０の呼制御中継部１１ａにACKメッセージが供給された時点（Ｓ１０）で、通信に用いるＩＰアドレス、ポート番号、メディアタイプの各情報が確定する。呼制御中継サーバ１１０の不正アクセス監視制御要求部１１１は、ＩＰアドレス、ポート番号、メディアタイプの各情報を含む不正アクセス監視制御要求メッセージをホームエージェント１２に対して供給する（Ｓ２２）。これにより、不正アクセス監視制御処理が起動される。その他は第１の実施形態と同様である。
【００８６】
図９は第２の実施形態における不正アクセス監視制御のシーケンスを示す図である。呼制御中継サーバ１１０の不正アクセス監視制御要求部１１１は、通信に用いるＩＰアドレス、ポート番号、メディアタイプの各情報が確定すると、不正アクセス監視制御要求（ＩＤＳ(Intrusion Detection System)要求）をホームエージェント１２０に供給する（Ｓ１１１）。ホームエージェント１２０の不正アクセス監視制御指示部１２１は、ＩＰアドレスが最新のものであるか否かを確認し、最新のＩＰアドレス、ポート番号及びメディアタイプの情報を含む不正アクセス監視制御要求（ＩＤＳ要求）を不正アクセス検知部１３２に供給する（Ｓ１１２）。不正アクセス検知部１３２は、正常アクセス規定データベース１３１から該当するメディアの正常アクセスのパケット兆候データを取得し、正常アクセスのパケット兆候を逸脱するパケット兆候がないことを監視する。そして、逸脱するパケット兆候がある場合には、不正アクセス報知部１３４を介して不正アクセスの発生を管理者等に例えば電子メール等で通知する（Ｓ１１３）。
【００８７】
図１０は本発明の第２の実施形態における不正アクセス監視処理の手順を示すフローチャートである。不正アクセス検知部１３２は、正常アクセス規定データベース１３１から該当するメディアの正常アクセスのパケット兆候データを取得する（ステップＳ１２１）。そして、不正アクセス検知部１３２は、パケット転送部１３３によりキャプチャーしたパケットを取得し（ステップＳ１２２）、キャプチャーしたパケットの兆候（シグネチャ）を計算する（ステップＳ１２３）。不正アクセス検知部１３２は、該当するメディアの正常アクセスのパケット兆候とキャプチャーしたパケットの兆候とを比較し（ステップＳ１２４）、正常アクセスのパケットの兆候と合致しない場合は、不正アクセス報知部１３４を介して不正アクセスの発生を管理者等に通知する（ステップＳ１２５）。そして、通信が終了するまでステップＳ２以降の処理が繰り返される。
【００８８】
なおここで、図１１に示す形式をしたパケットを正常アクセスのパケットとして検査する際の、上記のステップＳ１２３，１２４におけるシグネチャの計算および比較方法（処理関数）の実現例を説明する。図１１は音声配送におけるパケット形式の一例を示す図である。この音声パケット（Ｇ．７１１形式）における正常アクセスのパケット兆候として、以下の一つ以上の条件の組み合わせを用いる。（１）ＲＴＰヘッダ中のシーケンシャル番号が増加している（またはラップランドしている）。（２）ＲＴＰヘッダ中のタイムスタンプ値が増加している（またはラップランドしている）。（３）ペイロード長が一定長（Ｇ．７１１では１６０バイト）である。（４）過去Ｎ個（例えば２０個）のパケットの平均到着間隔が２０ｍｓ（２０ミリ秒）である。このような正常アクセスのパケット兆候との比較を行うことにより、不正アクセスを検知して管理者等に通知することができる。
【００８９】
図１２は第２の実施形態に係るファイアウォールシステムの運用例を示す図である。この運用例のファイアウォールシステムは、図５に示した第１の実施形態に係るファイアウォールシステムの第１運用例に不正アクセス監視機能を追加したものである。ファイアウォール７００は、図５に示したパケットフィルタリング装置４００と、不正アクセス監視装置７０１とを備える。また、ホームエージェント（ＨＡ）４０４Ａと呼制御中継サーバ４０３Ａにおいて、メディアタイプの情報取得に関する一部機能が追加されている。その他の構成は図５に示した第１の実施形態の第１運用例と同様である。
【００９０】
ホームエージェント４０４Ａは、呼制御中継サーバ４０３Ａから通信に用いるＩＰアドレスとポート番号との組及びメディアタイプを取得し、ＩＰアドレスの新旧対応関係に基づいて最新のＩＰアドレスとポート番号との組及びメディアタイプを特定して、最新のＩＰアドレスとポート番号との組及びメディアタイプの情報をファイアウォール７００に供給する。ＩＰアドレスとポート番号との組及びメディアタイプの情報は、例えば、(2001:300:c01::1 12345  2001:300:c01::2 23456 m=audio 0 RTP/AVP 0,a=rtpmap:0 PCMU/8000)という空白区切りの形式で与えられる。この形式において第一の項目（2001:300:c01::1）は送信元ＩＰアドレス、第二の項目（12345）は送信元ポート番号、第三の項目（2001:300:c01::2）は宛先ＩＰアドレス、第四の項目（23456）は宛先ポート番号、第五の項目（m=audio 0 RTP/AVP 0,a=rtpmap:0 PCMU/8000）はメディアタイプを示す文字列であり、前述したＳＤＰ（Session Description Protocol）で規定される行記述をカンマ(,)で接続したものである。
【００９１】
不正アクセス監視装置７０１は、通信のメディアタイプが特定されると、そのメディアタイプに応じて検査動作を変更する。具体的には、前述したＩＰアドレスとポート番号との組及びメディアタイプの情報のメディアタイプを示す文字列をＳＤＰで規定される意味で解釈し、端末間の通信が例えばＩＰ電話であり、音声符号化方式としてＧ．７１１を用いる場合は、音声配送（Ｇ．７１１）のパケットの条件に適合しないときは不正アクセスとして検知し、ネットワーク管理者等に電子メールやインスタントメッセージやＩＰ電話等を用いて報告する。
【００９２】
図１３は第２の実施形態の運用例におけるファイアウォールの機能構成例を示す図である。ファイアウォール７００内のフィルタリング及び検査制御部７０２は、ホームエージェント４０４Ａからメディアタイプ、ＩＰアドレス、ポート番号の通知を受けると、不正アクセス検知の機能を持つパケット検査部７０３に検査指示を与えるとともに、パケットフィルタリング部７０４にフィルタ設定指示を与える。正常アクセス判定条件を格納する機能を持つ正常アクセスパターン記憶部７０５には、各メディアタイプ毎の正常アクセス兆候（正常アクセス判定条件）が保持されている。具体的には、以下に例示するような正常アクセス兆候保持テーブルで保持される。
【００９３】
図１４は正常アクセス兆候保持テーブルの構成例を示す図である。図１４において、メディアタイプ欄７０５aは、メディアタイプを保持するキー項目である。兆候検査関数へのポインタ欄７０５bは、正常アクセス判定条件を格納する項目である。メディアタイプ欄７０５aには、ＳＤＰで記述されたメディアタイプが格納されている。兆候検査関数へのポインタ欄７０５bには、パケットを検査するための関数（処理）を起動するための情報として、関数へのポインタとその関数に適用する引数が指定されている。
【００９４】
パケット検査部７０３は、メディアタイプをキーにして正常アクセスパターン記憶部７０５の正常アクセス兆候保持テーブルからパケットを検査するための関数と引数を取得し、この関数及び引数による処理をパケット毎に適用することで、ＩＰアドレス、ポート毎にメディアの正常アクセス兆候を逸脱するパケットを監視する。不正アクセス兆候通知部（不正アクセス報知手段）７０６は、正常アクセス兆候を逸脱するパケットの発生をネットワーク管理者等に電子メールやインスタントメッセージやＩＰ電話等を用いて通知する。
【００９５】
上記のように対象となる通信メディア（音声、動画）が決まっているので、図１１の音声配送におけるパケット形式の例で説明したように、メディアタイプ毎の正常アクセスのパターンは作成しやすい。例えば、音声、動画がＲＴＰ（Real-time Transport Protocol）のＡＶＰフォーマットに従うものとすれば、そのフォーマットに対応した検査ルールを作成することができる。例えば、ヘッダのデータ項目とパケット長さ等の整合性は維持されるため、この性質をつかった正常アクセスのパターンを作成できる。
【００９６】
以上説明した第２の実施形態によれば、呼制御シーケンスにより得られるＩＰアドレス、ポート番号、メディアタイプの情報に基づいて、メディアタイプ毎に予め定義した正常アクセス判定条件に適合するかどうかを監視し、適合しない場合は不正アクセスとして検知してネットワーク管理者等へ通知することができる。
【００９７】
（第３の実施形態）
図１５は本発明の第３の実施形態に係るファイアウォールシステムの構成を示す図、図１６は第３の実施形態におけるファイアウォールシステムの要部のブロック構成を示す図である。第３の実施形態は、ＳＩＰによる呼制御中継サーバ（ＳＩＰサーバ）単位でのアクセス制御機能にグループ通信制御ＳＩＰサーバ（ＭＣＵ）１５０を自動追加できるようにしたものである。
【００９８】
外部ネットワーク１０には、アドレス管理サーバ１３、外部端末１４、グループ通信制御ＳＩＰサーバ（ＭＣＵ）１５０が接続されている。呼制御中継サーバ１４０及びホームエージェント１２は、内部ネットワーク１６におけるＤＭＺ（非武装地帯）に設置されており、外部ネットワーク１０からアクセス可能である。内部ネットワーク１６に接続された内部端末１５は、ファイアウォール１７を介して外部ネットワーク１０とアクセス可能となっている。呼制御中継サーバ１４０は、信頼できるＳＩＰサーバの情報を許可ＳＩＰサーバリストとして保持する機能を持つ許可ＳＩＰサーバリスト保持部１４１を備えている。
【００９９】
図１６に示すように、呼制御中継サーバ１４０は、許可ＳＩＰサーバリスト保持部１４１とともに、呼制御中継部１４２、アドレス・ポート管理部１１ｂ、フィルタリング制御要求部１１ｃを有する。呼制御中継部１４２は、会議の開催など、複数端末間でグループ通信を行う際の呼び出し信号を解釈して、グループ通信制御ＳＩＰサーバ１５０を許可ＳＩＰサーバリストに追加／削除する。なお、呼制御中継サーバ１４０のアドレス・ポート管理部１１ｂ及びフィルタリング制御要求部１１ｃ、ホームエージェント１２、ファイアウォール１７の機能は図１に示した第１の実施形態と同様である。
【０１００】
図１７は複数端末間でグループ通信による会議を行う際の呼制御の例を示す図である。図１７では、端末Ａ−１がある会議に参加中に端末Ｂ−１を参加させ、さらに端末Ｂ−１が端末Ｂ−２をこの会議に参加させる場合の呼制御を示している。この場合、端末Ａ−１がアクセスする呼制御中継サーバＡ１４０Ａ、端末Ｂ−１及び端末Ｂ−２がアクセスする呼制御中継サーバＢ１４０Ｂ、この会議のグループ通信を制御するグループ通信制御ＳＩＰサーバ１５０が用いられる。図１７において、数字「１」「３」「５」で示される矢印の通信は、例えばメディアの追加や参加者の追加などの制御に関する会議の制御信号を表し、数字「２」「４」で示される矢印の通信は、会議のＵＲＩの通知（招待）を示す。この例では、端末Ａ−１（T1@aa.jp）から呼制御中継サーバＡ１４０Ａを介してＵＲＩとしてmeet1@mcu.xx.yyを通知し、このＵＲＩが呼制御中継サーバＢ１４０Ｂを介して端末Ｂ−１（T1@bb.jp）に通知され端末Ｂ−１が会議に参加する。同様に、このＵＲＩが端末Ｂ−１から端末Ｂ−２（T21@bb.jp）に通知され、端末Ｂ−２が参加する処理が行われる。
【０１０１】
図１８は本発明の第３の実施形態における会議参加時のシーケンスの例を示す図である。初めの状態では、端末Ａ−１が会議に参加しており、端末Ａ−１、呼制御中継サーバＡ１４０Ａ、グループ通信制御ＳＩＰサーバ１５０の間で会議の通信制御がなされているとする。端末Ａ−１から呼制御中継サーバＡ１４０Ａに対して端末Ｂ−１宛てに会議のＵＲＩを通知するREFERメッセージが出されると（Ｓ１７１）、呼制御中継サーバＡ１４０Ａは呼制御中継サーバＢ１４０Ｂに対してREFERメッセージを転送する（Ｓ１７２）。そして、呼制御中継サーバＢ１４０Ｂは端末Ｂ−１に対してREFERメッセージを送信する（Ｓ１７３）。端末Ｂ−１は、REFERメッセージを受け取ると、会議への参加表明を示すINVITEメッセージを返す（Ｓ１７４）。呼制御中継サーバＢ１４０ＢがINVITEメッセージを受け取ると、グループ通信制御ＳＩＰサーバ１５０に通知を行い（Ｓ１７５）、グループ通信制御ＳＩＰサーバ１５０により端末Ｂ−１との間で会議の通信制御が開始される。これにより、端末Ｂ−１が会議に参加可能となる。
【０１０２】
呼制御中継サーバＢ１４０Ｂは、REFERメッセージを受け取った時点（Ｓ１７２）またはINVITEメッセージを受け取った時点（Ｓ１７４）で、会議のＵＲＩからグループ通信制御ＳＩＰサーバ（ＭＣＵ）を特定し、許可ＳＩＰサーバリスト保持部１４１に信頼できるＳＩＰサーバの情報としてグループ通信制御ＳＩＰサーバの情報を格納する。
【０１０３】
以上のように第３の実施形態によれば、グループ通信による会議の通信を制御するグループ通信制御ＳＩＰサーバの情報を信頼できるＳＩＰサーバの情報として追加することで、この追加したＳＩＰサーバから得られるＩＰアドレス、ポート番号、メディアタイプ等の情報に基づいてパケットフィルタリングや不正アクセス検知を行うことができる。
【０１０４】
（第４の実施形態）
図１９は本発明の第４の実施形態におけるファイアウォールシステムの構成を示す図である。第４の実施形態は、第１の実施形態における呼制御中継サーバ、ホームエージェント（ＨＡ）、パケットフィルタリング装置を１台の宅内ルータにおいて実現した例を示すものである。宅内ルータ５０８は、ＩＰｖ６外部ネットワーク５１０Ａ、ＩＰｖ４外部ネットワーク５１０Ｂ、内部ネットワーク５０９に接続され、端末間の通信を中継する。内部ネットワーク５０９には内部端末５０１が、ＩＰｖ６外部ネットワーク５１０Ａには外部端末５０２がそれぞれ接続される。宅内ルータ５０８は、ＩＰｖ４・ＩＰｖ６パケット分類器５１１、ＩＰｖ６パケット処理部５１２、ＩＰｖ４パケット処理部５１３、ＮＡＴ機能を実現するＮＡＴ部５１４、ＤＨＣＰサーバ機能を実現するＤＨＣＰＳ部５１５等を有する。ＩＰｖ６パケット処理部５１２には、呼制御中継サーバ５０３、ホームエージェント５０４、パケットフィルタリング装置５０５及び不正アクセス検知装置５０６を有するファイアウォール５００、信頼する呼制御中継サーバ情報保持部５０７が設けられる。
【０１０５】
信頼する呼制御中継サーバ情報保持部５０７は、ネットワーク管理者等が信頼する他の呼制御中継サーバの情報を保持する。そして、呼制御中継サーバ５０３は、内部端末５０１と外部端末５０２間の通信の確立のための呼制御のシーケンスを開始する際に、信頼する呼制御中継サーバ情報保持部５０７に保持された呼制御中継サーバからの呼制御シグナルのみを受け付けることにより、呼制御のシーケンスを実行する。これにより、呼制御中継サーバの管理単位（ＳＩＰ管理単位）でのアクセス制御が可能となる。このような構成にすることで、宅内ルータ５０８において、モバイルＩＰによるデータ通信が運用されている状況において、ＩＰアドレスとポート番号の組単位で動的にパケットフィルタリング装置５０５を制御できる。
【０１０６】
また、ＩＰｖ６外部ネットワーク５０９上の外部端末５０２から内部ネットワーク５０９上の内部端末５０１に対して通信を確立するシーケンスにおいて、呼制御中継サーバ５０３は、その通信で用いられるメディアタイプを取得する。そして、このメディアタイプを用いてメディアタイプに応じた不正アクセス検知装置５０６を起動する。不正アクセス検知装置５０６においては、メディアタイプ毎に正常アクセスのパターンを規定したデータベースがあらかじめ準備されている。不正アクセス検知装置５０６は、呼制御中継サーバ５０３から取得したメディアタイプの情報と正常アクセス情報のデータベースを用いて、外部ネットワーク上の外部端末５０２と内部ネットワーク５０９上の内部端末５０１との間で行われる通信のパケットシーケンスを監視する。この監視において、正常なアクセスを逸脱するパケットシーケンスを検知した場合、不正アクセス検知装置５０６は、ネットワーク管理者等に電子メールやＩＰ電話などでその旨を通知する。
【０１０７】
このように動作することで、不正アクセス検知装置５０６においてパケットシーケンスを監視して正常アクセスからの逸脱による不正アクセスを検知することが可能になる。さらに、正常アクセスの兆候をメディアタイプ毎に定義すればよいので、正常アクセスを規定することが容易になる。例えば、外部端末と内部端末との間の通信で用いられる音声や動画などの配送は、予め規定されたＲＴＰのペイロード形式にしたがって配送される。このためペイロード形式のパケット長、シーケンス番号、タイムスタンプ等の情報を用いて正常アクセスを規定することが容易に実現できる。したがって、正常アクセスを逸脱することを検知する不正アクセス検知装置５０６が現実的に運用可能となる。
【０１０８】
なお、本実施形態は、宅内ルータ５０８に本発明のパケットフィルタリング装置及び不正アクセス検知装置の制御方法を適用したものであるが、同様の構成をルータ機能やブリッジ機能を備えた携帯電話やＰＤＡ等の移動端末にも適用することが可能である。
【０１０９】
以上のように第４の実施形態によれば、宅内ルータ等において、ＩＰアドレスとポート番号の組単位での動的なパケットフィルタリングや、メディアタイプ毎に予め定義した正常アクセス判定条件に基づき容易かつ適切な不正アクセス検知を行うことができる。
【０１１０】
（第５の実施形態）
図２０は本発明の第５の実施形態におけるファイアウォールシステムの構成を示す図である。第５の実施形態は、本発明に係るファイアウォールシステムをＩＰ携帯電話に適用した例である。インターネット等の外部ネットワーク５１０には、アドレス管理サーバ１３、外部端末１４が接続される。この外部ネットワーク５１０は、移動体通信キャリア網５２０または無線ＬＡＮ網５３０を介してＩＰ携帯電話８００と接続可能となっている。また、ＩＰ携帯電話８００はＰＡＮ（Personal Area Network）網５４０を介して内部端末５５０と接続される。
【０１１１】
ＩＰ携帯電話８００は、ルータ機能を有するもので、ＲＦ部８０１、無線ＬＡＮ−ＩＦ部８０２、ＰＡＮ−ＩＮ部８０３、ＩＰｖ４・ＩＰｖ６パケット分類器８０４、ＩＰｖ４パケット処理部８０５、ＩＰｖ６パケット処理部８０６、主信号処理部８０７、呼制御処理部８０８等を有する。ＩＰｖ６パケット処理部８０６は、ＩＰアドレス対応情報管理部８１１、呼制御中継部８１２、アドレス・ポート管理部８１３、フィルタリング制御部８１４及びパケット転送部（フィルタリング部）８１５等を備えるファイアウォール８１６を有する。
【０１１２】
このような構成によって、移動端末であるＩＰ携帯電話８００内部において、呼制御中継部８１２での呼制御シーケンスにより得られるＩＰアドレス、ポート番号、メディアタイプの情報とＩＰアドレス対応情報管理部８１１による端末移動時のアドレス情報とに基づき、フィルタリング制御部８１４でＩＰアドレスとポート番号の組単位での動的なパケットフィルタリングを行う。これにより、ＩＰ携帯電話８００において、ファイアウォール８１６を介して例えばＰＡＮ網５４０内部のＩＰ電話等の内部端末５５０に対する呼のみを受けるというような制御が可能である。また、呼制御中継部８１２より得られるメディアタイプの情報を用いて、メディアタイプ毎に予め定義した正常アクセス判定条件に基づく不正アクセス検知を行うことも可能である。
【０１１３】
以上のように第５の実施形態によれば、移動端末において、ＩＰアドレスとポート番号の組単位での動的なパケットフィルタリングや、メディアタイプ毎に予め定義した正常アクセス判定条件に基づき容易かつ適切な不正アクセス検知を行うことができる。
【０１１４】
上述したように、本実施形態の構成を企業等の内部ネットワークとインターネット等の外部ネットワークとの間に設置するファイアウォールシステムに適用することで、モバイルＩＰによるデータ通信が運用される状況においても有用なパケットフィルタリング機能や不正アクセス検知機能を実現可能である。また、宅内等に設けられるルータや、内部ネットワークを含み移動可能なルータ機能を有する携帯電話やＰＤＡ等の移動端末などにも適用可能である。
【産業上の利用可能性】
【０１１５】
本発明は、モバイルネットワークによる通信が運用されている状況においても、アドレスとポート番号の組単位でパケットフィルタリングを行ってより狭い範囲の通信のみを透過させること、および内部ネットワークの移動端末が、外部のネットワークに移動したときのみならず、外部のネットワークに接続された他の端末から内部ネットワークの端末に通信を開設することが可能となる効果を有する。また、メディアタイプで特定される通信のパケットシーケンスを監視し、メディアタイプ毎に定義した正常アクセス判定条件に基づいて正常アクセスに適合しない不正アクセスを検知することで、未知の攻撃を検知することが実質的に可能となる効果を有する。本発明は、モバイルＩＰによるデータ通信が運用されるネットワーク等においてファイアウォールを動的に制御するファイアウォールシステム及びファイアウォール制御方法等に有用である。
【図面の簡単な説明】
【０１１６】
【図１】本発明の第１の実施形態に係るファイアウォールシステムの構成を示す図
【図２】本発明の第１の実施形態における呼制御シーケンスを示す図
【図３】ＩＰアドレスの新旧対応関係を示すテーブルの構成例を示す図
【図４】本発明の第１の実施形態におけるフィルタリング処理のシーケンスを示す図
【図５】第１の実施形態に係るファイアウォールシステムの第１運用例を示す図
【図６】第１の実施形態に係るファイアウォールシステムの第２運用例を示す図
【図７】本発明の第２の実施形態に係るファイアウォールシステムの構成を示す図
【図８】本発明の第２の実施形態における呼制御のシーケンスを示す図
【図９】本発明の第２の実施形態における不正アクセス監視制御のシーケンスを示す図
【図１０】本発明の第２の実施形態における不正アクセス監視処理の手順を示すフローチャート
【図１１】音声配送におけるパケット形式の一例を示す図
【図１２】第２の実施形態に係るファイアウォールシステムの運用例を示す図
【図１３】第２の実施形態の運用例におけるファイアウォールの機能構成例を示す図
【図１４】正常アクセス兆候保持テーブルの構成例を示す図
【図１５】本発明の第３の実施形態に係るファイアウォールシステムの構成を示す図
【図１６】本発明の第３の実施形態におけるファイアウォールシステムの要部のブロック構成を示す図
【図１７】複数端末間でグループ通信による会議を行う際の呼制御の例を示す図
【図１８】本発明の第３の実施形態における会議参加時のシーケンスの例を示す図
【図１９】本発明の第４の実施形態におけるファイアウォールシステムの構成を示す図
【図２０】本発明の第５の実施形態におけるファイアウォールシステムの構成を示す図
【図２１】呼制御中継サーバを用いた呼制御のシーケンスを示す図
【図２２】モバイルＩＰの動作を示す図
【図２３】従来のファイアウォールの構成例を示す図
【符号の説明】
【０１１７】
１０，４０６，６０４  外部ネットワーク
１１，１１０，１４０，４０３，４０３Ａ，５０３，６０８  呼制御中継サーバ
１１ａ，１４２，８１２  呼制御中継部
１１ｃ  フィルタリング制御要求部
１２，１２０，４０４，５０４，６０２  ホームエージェント（ＨＡ）
１２ａ，８１１  ＩＰアドレス対応情報管理部
１２ｂ  フィルタリング制御指示部
１３  アドレス管理サーバ
１３ａ  アドレス管理応答部
１４，４０２，５０２，６０３  外部端末（ＣＮ）
１４ａ，１５ａ  呼制御処理部
１５，４０１，５０１  内部端末
１６，４０７，５０９  内部ネットワーク
１７，４０５，１３０，５００，７００，８１６  ファイアウォール
１７ｂ，８１４  フィルタリング制御部
１７ｃ，１３３，８１５  パケット転送部（フィルタリング部）
１１１  不正アクセス監視制御要求部
１２１  不正アクセス監視制御指示部
１３１  正常アクセス規定データベース（正常アクセス判定条件格納部）
１３２  不正アクセス検知部
１３４  不正アクセス報知部
１４１  許可ＳＩＰサーバリスト保持部
４００，５０５，６０７  パケットフィルタリング装置
５０６  不正アクセス検知装置
５０８  宅内ルータ
６０１  移動端末（ＭＮ）
７０１  不正アクセス監視装置
７０２  フィルタリング及び検査制御部
７０３  パケット検査部
７０４  パケットフィルタリング部
７０５  正常アクセスパターン記憶部（正常アクセス判定条件格納部）
７０６  不正アクセス兆候通知部
８００  ＩＰ携帯電話
【図１】
2006114991.tif 000003
【図２】
2006114991.tif 000004
【図３】
2006114991.tif 000005
【図４】
2006114991.tif 000006
【図５】
2006114991.tif 000007
【図６】
2006114991.tif 000008
【図７】
2006114991.tif 000009
【図８】
2006114991.tif 000010
【図９】
2006114991.tif 000011
【図１０】
2006114991.tif 000012
【図１１】
2006114991.tif 000013
【図１２】
2006114991.tif 000014
【図１３】
2006114991.tif 000015
【図１４】
2006114991.tif 000016
【図１５】
2006114991.tif 000017
【図１６】
2006114991.tif 000018
【図１７】
2006114991.tif 000019
【図１８】
2006114991.tif 000020
【図１９】
2006114991.tif 000021
【図２０】
2006114991.tif 000022
【図２１】
2006114991.tif 000023
【図２２】
2006114991.tif 000024
【図２３】
2006114991.tif 000025