(57)【要約】【課題】  保守管理が容易で不正なアクセスを防止することが可能なファイアウォールを実現する。【解決手段】  不正なアクセスを防止するファイアウォールシステムにおいて、通信パケットを送信したプロセスを特定する情報であるプロセス情報を付加してネットワーク経由で送信するコンピュータと、前記ネットワーク経由で前記通信パケットを受信し、予め設定されている通過を許可する前記プロセス情報の一覧を検索して通信パケットに付加された前記プロセス情報が存在する場合に通過を許可するファイアウォールとを設ける。【選択図】                    図１
2006339772.tif 000002
【特許請求の範囲】
【請求項１】
不正なアクセスを防止するファイアウォールシステムにおいて、
通信パケットを送信したプロセスを特定する情報であるプロセス情報を付加してネットワーク経由で送信するコンピュータと、
前記ネットワーク経由で前記通信パケットを受信し、予め設定されている通過を許可する前記プロセス情報の一覧を検索して通信パケットに付加された前記プロセス情報が存在する場合に通過を許可するファイアウォールと
を備えたことを特徴とするファイアウォールシステム。
【請求項２】
前記コンピュータが、
前記通信パケットを送信すると判断した場合に、送信する前記通信パケットに前記通信パケットを送信したプロセスを特定する情報であるプロセス情報を付加し、
プロセス情報が付加された前記通信パケットを前記ネットワークを介して送信することを特徴とする
請求項１記載のファイアウォールシステム。
【請求項３】
前記ファイアウォールが、
前記ネットワークを介して前記通信パケットを受信した場合に、受信した前記通信パケットに付加されている前記プロセス情報を解析し、
予め設定されている通過を許可するプロセス情報の一覧を検索して通信パケットに付加された前記プロセス情報が存在する場合に通過を許可し、
前記一覧を検索して通信パケットに付加された前記プロセス情報が存在しない場合に通過を拒否することを特徴とする
請求項１記載のファイアウォールシステム。
【請求項４】
前記プロセス情報が、
プロセス名、或いは、プロセス実行イメージのハッシュ値であることを特徴とする
請求項１記載のファイアウォールシステム。
【請求項５】
前記ファイアウォールが、
外部のネットワークと内部のネットワークとの間に設置されたことを特徴とする
請求項１記載のファイアウォールシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、組織内部のネットワークとインターネット等の外部のネットワークとの間に設置され不正なアクセスを防止するファイアウォールシステムに関し、特に保守管理が容易で不正なアクセスを防止することが可能なファイアウォールシステムに関する。
【背景技術】
【０００２】
従来の組織内部のネットワークとインターネット等の外部のネットワークとの間に設置され不正なアクセスを防止するファイアウォールシステムに関連する先行技術文献としては次のようなものがある。
【０００３】
【特許文献１】特開２０００−２５９５９５号公報
【特許文献２】特開２００２−１０８７２９号公報
【特許文献３】特開２００３−２７３９３６号公報
【特許文献４】特開２００４−０５４４８８号公報
【特許文献５】特開２００４−１９２０４４号公報
【特許文献６】特開２００５−０３１７２０号公報
【０００４】
図６はこのような従来のファイアウォールを用いたファイアウォールシステムの一例を示す構成ブロック図である。図６において１及び２は汎用のブラウザ等が稼動しクライアントとして動作するコンピュータ、３は通過する通信パケットの内容を検査して通過の許可／拒否を判断するファイアウォール、４はＷｅｂサーバ等が稼動しクライアントに対して情報を提供等するサーバ、１００はインターネット等の外部のネットワーク、１０１はイントラネット等の組織内部のネットワークである。
【０００５】
コンピュータ１及び２は外部のネットワーク１００に相互に接続され、ファイアウォール３の一方の入出力もまた外部のネットワーク１００に相互に接続される。ファイアウォール３の他方の入出力は内部のネットワーク１０１に相互に接続され、サーバ４もまた内部のネットワーク１０１に接続される。
【０００６】
ここで、図６に示すファイアウォールシステムにおけるファイアウォール３の動作を図７を用いて説明する。図７は通信パケットの流れを説明する説明図である。
【０００７】
図７中”ＴＤ０１”に示すように、外部のネットワーク１００から伝播してくる通信パケットは必ずファイアウォール３を介して内部のネットワーク１０１に転送される。
【０００８】
この時、ファイアウォール３は通過する通信パケットの内容を検査して、図７中”ＴＤ０２”に示すような通過を許可されていない通信パケットの通過を図７中”ＳＴ０１”に示すように遮断して不正なアクセスの防止等を行う。
【０００９】
この結果、ファイアウォール３は通過する通信パケットの内容を検査して通信パケットの通過の許可／拒否を判断することにより、外部のネットワークからの不正なアクセスを防止することが可能になる。
【００１０】
また、図６に示すような従来のファイアウォール３では、通信パケットのヘッダ情報に基づき通信パケットの通過の許可／拒否を判断するものや、攻撃パケットを特定するためのデータパターンを記述したファイル（以下、単にパターンファイルと呼ぶ。）と通信パケットを比較することにより、通信パケットの通過の許可／拒否を判断するものが存在する。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
しかし、前者のように通信パケットのヘッダ情報に基づき通信パケットの通過の許可／拒否を判断する場合、ウィルスプロセスが送出する攻撃パケットも正常なプロセスが送出する正常パケットも、ヘッダ情報は正常なヘッダ情報なのでファイアウォール３では両者の識別ができないと言った問題点があった。
【００１２】
ここで、図８は通信パケットの構成を説明する説明図、図９は通信パケットの流れを説明する説明図である。
【００１３】
図８中”ＰＣ１１”及び”ＰＣ１２”に示すは正常パケット及び攻撃パケットであり、図８中”ＰＣ１１”に示す正常パケットは、図８中”ＨＤ１１”に示すヘッダ情報（正常）と図８中”ＤＴ１１”に示す正常データから構成されている。
【００１４】
一方、図８中”ＰＣ１２”に示す攻撃パケットは、図８中”ＨＤ１２”に示すヘッダ情報（正常）と図８中”ＡＣ１１”に示す攻撃コードから構成されている。
【００１５】
このような通信パケットの構成の場合、ファイウォール３は通信パケットのヘッダ情報に基づき通信パケットの通過の許可／拒否を判断する一方、図８中”ＨＤ１１”や”ＨＤ１２”に示すヘッダ情報は正常であるので図８中”ＰＣ１１”及び”ＰＣ１２”に示すパケットはファイアウォール３を通過してしまう。
【００１６】
例えば、図９中”ＶＩ２１”に示すようウィルスの感染したコンピュータ２から送信された通信パケットは、通信パケットのヘッダ情報に基づき通信パケットの通過の許可／拒否を判断するので、図９中”ＴＤ２１”と同様に図９中”ＴＤ２２”に示すように外部のネットワーク１００から伝播してくる通信パケットは、ファイアウォール３を介して内部のネットワーク１０１に転送されることになる。
【００１７】
一方、後者のように通過する通信パケットの内容を検査して通信パケットの通過の許可／拒否を判断する場合には前者のような問題点解決することができる。
【００１８】
ここで、図１０は通信パケットの構成を説明する説明図、図１１は通信パケットの流れを説明する説明図である。
【００１９】
図１０中”ＰＣ３１”及び”ＰＣ３２”に示す通信パケットは正常パケット及び攻撃パケットであり、図１０中”ＰＣ３１”に示す正常パケットは、図１０中”ＨＤ３１”に示すヘッダ情報（正常）と図１０中”ＤＴ３１”に示す正常データから構成されている。
【００２０】
一方、図１０中”ＰＣ３２”に示す攻撃パケットは、図１０中”ＨＤ３２”に示すヘッダ情報（正常）と図１０中”ＡＣ３１”に示す攻撃コードから構成されている。
【００２１】
このような通信パケットの構成であっても、ファイウォール３は通信パケットの内容を検査して通信パケットの通過の許可／拒否を判断するので、図１０中”ＡＣ３１”に示す攻撃コードを識別して図１０中”ＰＣ３２”に示す攻撃パケットはファイアウォール３の通過を拒否される。
【００２２】
例えば、図１１中”ＶＩ４１”に示すようウィルスの感染したコンピュータ２から送信された通信パケットは、通信パケットの内容を検査して通信パケットの通過の許可／拒否を判断されるので、図１１中”ＴＤ４１”のように通過を許可されることなく、図１１中”ＴＤ４２”に示すように外部のネットワーク１００から伝播してくる通信パケットは、ファイアウォール３において図１１中”ＳＴ４１”に示すように遮断されることになる。
【００２３】
但し、後者の場合には日々増加し続ける攻撃パケットに対応するため、ファイアウォールの管理者はパターンファイルを常に最新の状態に維持し続ける必要性があり、保守管理の工数が増大してしまうと言った問題点があった。
従って本発明が解決しようとする課題は、保守管理が容易で不正なアクセスを防止することが可能なファイアウォールを実現することにある。
【課題を解決するための手段】
【００２４】
このような課題を達成するために、本発明のうち請求項１記載の発明は、
不正なアクセスを防止するファイアウォールシステムにおいて、
通信パケットを送信したプロセスを特定する情報であるプロセス情報を付加してネットワーク経由で送信するコンピュータと、前記ネットワーク経由で前記通信パケットを受信し、予め設定されている通過を許可する前記プロセス情報の一覧を検索して通信パケットに付加された前記プロセス情報が存在する場合に通過を許可するファイアウォールとを備えたことにより、保守管理が容易で不正なアクセスを防止することが可能になる。
【００２５】
請求項２記載の発明は、
請求項１記載の発明であるファイアウォールシステムにおいて、
前記コンピュータが、
前記通信パケットを送信すると判断した場合に、送信する前記通信パケットに前記通信パケットを送信したプロセスを特定する情報であるプロセス情報を付加し、プロセス情報が付加された前記通信パケットを前記ネットワークを介して送信することにより、保守管理が容易で不正なアクセスを防止することが可能になる。
【００２６】
請求項３記載の発明は、
請求項１記載の発明であるファイアウォールシステムにおいて、
前記ファイアウォールが、
前記ネットワークを介して前記通信パケットを受信した場合に、受信した前記通信パケットに付加されている前記プロセス情報を解析し、予め設定されている通過を許可するプロセス情報の一覧を検索して通信パケットに付加された前記プロセス情報が存在する場合に通過を許可し、前記一覧を検索して通信パケットに付加された前記プロセス情報が存在しない場合に通過を拒否することにより、保守管理が容易で不正なアクセスを防止することが可能になる。
【００２７】
請求項４記載の発明は、
請求項１記載の発明であるファイアウォールシステムにおいて、
前記プロセス情報が、
プロセス名、或いは、プロセス実行イメージのハッシュ値であることにより、保守管理が容易で不正なアクセスを防止することが可能になる。
【００２８】
請求項５記載の発明は、
請求項１記載の発明であるファイアウォールシステムにおいて、
前記ファイアウォールが、
外部のネットワークと内部のネットワークとの間に設置されたことにより、保守管理が容易で不正なアクセスを防止することが可能になる。
【発明の効果】
【００２９】
本発明によれば次のような効果がある。
請求項１，２，３，４及び請求項５の発明によれば、クライアントとして動作するコンピュータが送信する通信パケットに当該通信パケットを送信したプロセスを特定する情報であるプロセス情報を付加して送信し、ファイアウォールが予め設定された通過を許可する前記プロセス情報の一覧を検索して通信パケットに付加された前記プロセス情報が存在する場合に通過を許可することにより、保守管理が容易で不正なアクセスを防止することが可能になる。
【発明を実施するための最良の形態】
【００３０】
以下本発明を図面を用いて詳細に説明する。図１は本発明に係るファイアウォールの一実施例を示す構成ブロック図である。
【００３１】
図１において１，２，４及び１００は図６と同一符号を付してあり、５は通過を許可するプロセス情報（通信パケットを送信したプロセスを特定する情報）の一覧が予め設定され、通信パケットに付加されたプロセス情報に基づき通過の許可／拒否を判断するファイアウォール、１０２はイントラネット等の組織内部のネットワークである。
【００３２】
コンピュータ１及び２は外部のネットワーク１００に相互に接続され、ファイアウォール５の一方の入出力もまた外部のネットワーク１００に相互に接続される。ファイアウォール５の他方の入出力は内部のネットワーク１０２に相互に接続され、サーバ４もまた内部のネットワーク１０２に接続される。
【００３３】
ここで、図１に示す実施例の動作を図２、図３、図４及び図５を用いて説明する。図２はクライアントとして動作するコンピュータ１及び２（以下、単にコンピュータと呼ぶ。）の動作を説明するフロー図、図３は通信パケットの構成を説明する説明図、図４はファイアウォール５の動作を説明するフロー図、図５は通信パケットの流れを説明する説明図である。
【００３４】
図２中”Ｓ００１”においてコンピュータは、通信パケットを送信するか否かを判断し、もし、通信パケットを送信すると判断した場合には、図２中”Ｓ００２”においてコンピュータは、送信する通信パケットに当該通信パケットを送信したプロセスを特定する情報であるプロセス情報を付加する。
【００３５】
プロセス情報とは、通信パケットを送信したプロセスを特定するための情報、例えば、プロセス名、プロセス名のハッシュ値、プロセス実行イメージのハッシュ値等である。
【００３６】
また、図３中”ＰＣ５１”及び”ＰＣ５２”に示す通信パケットは正常パケット及び攻撃パケットであり、図３中”ＰＣ５１”に示す正常パケットは、図３中”ＨＤ５１”に示すヘッダ情報（正常）、図３中”ＰＲ５１”に示す正常プロセスのプロセス情報と図３中”ＤＴ５１”に示す正常データから構成されている。
【００３７】
一方、図３中”ＰＣ５２”に示す攻撃パケットは、図３中”ＨＤ５２”に示すヘッダ情報（正常）、図３中”ＰＲ５２”に示すウィルスプロセスのプロセス情報と図３中”ＡＣ３１”に示す攻撃コードから構成されている。
【００３８】
すなわち、コンピュータは図３中”ＰＲ５１”及び”ＰＲ５２”に示す通信パケットを送信したプロセスを特定するプロセス情報を図３中”ＰＣ５１”及び”ＰＣ５２”に示す通信パケットに付加する。
【００３９】
そして、図２中”Ｓ００３”においてコンピュータは、プロセス情報が付加された通信パケットをネットワーク１００を介して送信する。
【００４０】
図４中”Ｓ１０１”においてファイアウォール５は、ネットワーク１００を介して通信パケットを受信したか否かを判断し、もし、通信パケットを受信したと判断した場合には、図４中”Ｓ１０２”においてファイアウォール５は、受信した通信パケットに付加されているプロセス情報を解析すると共に図４中”Ｓ１０３”においてファイアウォール５は受信した当該通信パケットを通過させるか否かを判断する。
【００４１】
例えば、ファイアウォール５には、通過を許可するプロセス情報（通信パケットを送信したプロセスを特定する情報）の一覧が予め設定されているので、ファイアウォール５は受信した通信パケットに付加されているプロセス情報が当該一覧に存在するか否かに基づき当該通信パケットの通過の許可／拒否を判断する
【００４２】
図４中”Ｓ１０３”において、もし、通過を許可すると判断した場合には、図４中”Ｓ１０４”においてファイアウォール５は、受信した通信パケットを通過させる。もし、図４中”Ｓ１０３”において、もし、通過を拒否すると判断した場合には、図４中”Ｓ１０５”においてファイアウォール５は、受信した通信パケットを遮断する。
【００４３】
例えば、正常なコンピュータ１で稼動する正常なプロセスから送信された通信パケットには正常なプロセスのプロセス情報が付加されており、通過を許可するプロセス情報（通信パケットを送信したプロセスを特定する情報）の一覧に設定されている場合には、図５中”ＴＤ６１”に示すようにファイアウォール５を通過することが可能になる。
【００４４】
一方、例えば、図５中”ＶＩ６１”に示すようウィルスの感染したコンピュータ２から送信された通信パケットは、ウィルスプロセスのプロセス情報が付加されており、通常は通過を許可するプロセス情報（通信パケットを送信したプロセスを特定する情報）の一覧には設定されていないので、図５中”ＴＤ６２”に示すように外部のネットワーク１００から伝播してくる通信パケットは、ファイアウォール５において図５中”ＳＴ６１”に示すように遮断されることになる。
【００４５】
すなわち、通過を許可するプロセス情報（通信パケットを送信したプロセスを特定する情報）の一覧に設定されているプロセス情報を付加された通信パケットのみがファイアウォール５を通過することができ、それ以外の通信パケットは全て通過を拒否されることになる。
【００４６】
言い換えれば、ファイアウォール５の管理者は、通過を許可するプロセス情報のみを一覧に設定しておくだけで、一覧に設定されていない全ての通信パケットの通過を遮断することができるので、未知のウィルスが出現した場合であっても侵入を防ぐことができ保守管理が容易になる。また、パターンファイルを常に最新の状態に維持し続ける必要性はない。
【００４７】
この結果、クライアントとして動作するコンピュータが送信する通信パケットに当該通信パケットを送信したプロセスを特定する情報であるプロセス情報を付加して送信し、ファイアウォール５が予め設定された通過を許可する前記プロセス情報の一覧を検索して通信パケットに付加された前記プロセス情報が存在する場合に通過を許可することにより、保守管理が容易で不正なアクセスを防止することが可能になる。
【００４８】
なお、図３に示すようにプロセス情報の付加する領域としては、ヘッダ部とデータ部との間を例示しているが、勿論、これに限定されるわけではなく、何れの領域であっても構わない。
【００４９】
また、図１に示す実施例では、ファイアウォール５を外部のネットワーク１００と内部のネットワーク１０２との間に設置しているが、配置位置は何ら限定するものではなく、ネットワークの中間に配置する機器であっても、サーバやコンピュータの内部に組み込まれた状態であっても構わない。
【図面の簡単な説明】
【００５０】
【図１】本発明に係るファイアウォールの一実施例を示す構成ブロック図である。
【図２】クライアントとして動作するコンピュータの動作を説明するフロー図である。
【図３】通信パケットの構成を説明する説明図である。
【図４】ファイアウォールの動作を説明するフロー図である。
【図５】通信パケットの流れを説明する説明図である。
【図６】従来のファイアウォールを用いたファイアウォールシステムの一例を示す構成ブロック図である。
【図７】通信パケットの流れを説明する説明図である。
【図８】通信パケットの構成を説明する説明図である。
【図９】通信パケットの流れを説明する説明図である。
【図１０】通信パケットの構成を説明する説明図である。
【図１１】通信パケットの流れを説明する説明図である。
【符号の説明】
【００５１】
１，２  コンピュータ
３，５  ファイアウォール
４  サーバ
１００，１０１，１０２  ネットワーク
【図１】
2006339772.tif 000003
【図２】
2006339772.tif 000004
【図３】
2006339772.tif 000005
【図４】
2006339772.tif 000006
【図５】
2006339772.tif 000007
【図６】
2006339772.tif 000008
【図７】
2006339772.tif 000009
【図８】
2006339772.tif 000010
【図９】
2006339772.tif 000011
【図１０】
2006339772.tif 000012
【図１１】
2006339772.tif 000013