(57)【要約】ケーブルモデム、ルータ、ブリッジ、あるいはネットワークを介し通信し、不適切な動作に関係するパケットを特定し、ファイアウォールを有する他の通信装置などの方法及び双方向通信装置が開示される。本通信装置は、ファイアウォールに関連付けされた少なく１つのユーザ識別可能な標識を有する。この少なくとも１つのユーザ識別可能な標識は、不適切な動作に関係するパケットのパケット数が閾値レベル超えたことをリアルタイムに示す。
2005530398.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介し通信するよう構成される装置であって、
不適切な動作に関係するパケットを特定するファイアウォールと、
前記ファイアウォールに関連付けされ、前記不適切な動作に関係するパケットのパケット数が閾値レベルを超えたことを同時的に示す少なくとも１つのユーザ識別可能な標識と、
を有することを特徴とする装置。
【請求項２】
請求項１記載の装置であって、
前記不適切な動作は、不適切さのレベルを示す複数のクラスに分割される複数のルールを用いて決定されることを特徴とする装置。
【請求項３】
請求項１記載の装置であって、さらに、
モデム、ルータ及びブリッジの少なくとも１つを有することを特徴とする装置。
【請求項４】
請求項１記載の装置であって、
前記標識は、少なくとも１つの可視的標識を有することを特徴とする装置。
【請求項５】
請求項４記載の装置であって、
前記少なくとも１つの可視的標識は、該装置に近接した発光デバイスを有することを特徴とする装置。
【請求項６】
請求項４記載の装置であって、
前記少なくとも１つの可視的標識は、計算装置上に表示されるハイライトされたアイコンを有することを特徴とする装置。
【請求項７】
不適切な通信動作の標識を規定する複数のルールの少なくとも１つに違反したか判断するため、データトラフィックをチェックするステップと、
前記複数のルールの第１クラスの少なくとも１つのルールに違反した場合、前記第１クラスのルールに違反した前記データトラフィックをフィルタリングし、ユーザ識別可能な標識をトリガーするステップと、
から構成されることを特徴とする方法。
【請求項８】
請求項７記載の方法であって、さらに、
前記データトラフィックのフィルタリング前に、ルール違反の第１閾値レベルを上回っているか判断するステップを有することを特徴とする方法。
【請求項９】
請求項７記載の方法であって、さらに、
前記ユーザ識別可能な標識をトリガーする前に、ルール違反の第１閾値レベルを上回っているか判断するステップを有することを特徴とする方法。
【請求項１０】
請求項７記載の方法であって、
前記複数のルールの第２クラスのルールに違反した場合、前記第２クラスのルールに違反した前記データトラフィックをフィルタリングし、ユーザ識別可能な標識をトリガーするステップを有することを特徴とする方法。
【請求項１１】
請求項１０記載の方法であって、さらに、
前記データトラフィックのフィルタリング前に、ルール違反の第２閾値レベルを上回っているか判断するステップを有することを特徴とする方法。
【請求項１２】
請求項１０記載の方法であって、さらに、
前記ユーザ識別可能な標識をトリガーする前に、ルール違反の第２閾値レベルを上回っているか判断するステップを有することを特徴とする方法。
【請求項１３】
請求項７記載の方法であって、
前記複数のルールの第３クラスのルールに違反した場合、前記第３クラスのルールに違反した前記データトラフィックをフィルタリングし、ユーザ識別可能な標識をトリガーするステップを有することを特徴とする方法。
【請求項１４】
請求項１３記載の方法であって、さらに、
前記データトラフィックのフィルタリング前に、ルール違反の第３閾値レベルを上回っているか判断するステップを有することを特徴とする方法。
【請求項１５】
請求項１０記載の方法であって、さらに、
前記ユーザ識別可能な標識をトリガーする前に、ルール違反の第３閾値レベルを上回っているか判断するステップを有することを特徴とする方法。
【請求項１６】
ダウンストリーム処理回路と、
アップストリーム処理回路と、
前記ダウンストリーム処理回路、前記アップストリーム処理回路及びメモリと通信可能なコントローラと、
付属のルール群を有し、前記メモリに配置されるファイアウォールと、
から構成されるケーブルモデムであって、
前記ファイアウォールプログラムは、前記ダウンストリーム処理回路及び前記アップストリーム処理回路からのパケットのデータをチェックするよう前記コントローラにより実行可能であり、閾値レベルを超える不適切な動作により、ユーザによって識別可能な閲覧のための、前記ケーブルモデムに近接する少なくとも１つの可視的標識をトリガーさせることを特徴とするケーブルモデム。
【請求項１７】
請求項１６記載のケーブルモデムであって、
前記少なくとも１つの可視的標識は、少なくとも１つのＬＥＤ（Ｌｉｇｈｔ  Ｅｍｉｔｔｉｎｇ  Ｄｉｏｄｅ）を有することを特徴とするケーブルモデム。
【請求項１８】
請求項１６記載のケーブルモデムであって、
前記少なくとも１つの可視的標識は、
フィルタリングイベントを表す第１ＬＥＤと、
前記ルール群で有害とみなされるデータパケットのフィルタリングを現す第２ＬＥＤと、
を有することを特徴とするケーブルモデム。
【請求項１９】
請求項１６記載のケーブルモデムであって、
前記少なくとも１つの可視的標識は、コンピュータ装置上に表示されるハイライトされたアイコンを有することを特徴とするケーブルモデム。
【発明の詳細な説明】
【発明の詳細な説明】
【０００１】
［関連出願の相互参照］
本出願は、参照することによりその全体がここに含まれる、２００２年６月１２日に出願された米国仮特許出願第６０／３８８，０８２号の効果を主張するものである。
［発明の技術分野］
本発明は、一般にブロードバンドデータ送信に関する。より詳細には、本発明は、ネットワークシステムでの利用に適したファイアウォールプログラムを有する通信装置を介したデータトラフィックの監視に関する。
［背景技術の説明］
ネットワーク化されたコンピュータ装置のセキュリティ侵害の件数の増加により、ウィルス、ワーム及び保護されていないコンピュータシステムを利用するよう設計された他の迷惑あるいは修復不可能にする有害なコンピュータプログラムに対するセキュリティを与えるよう設計されたハードウェア及びソフトウェア装置が提供されてきた。ネットワーク上の１以上のユーザを保護するよく利用される１つのテクニックは、例えば、インターネットと当該ユーザにより利用されるイントラネットのゲートウェイとの間におけるファイアウォールプログラムをインストールすることである。
【０００２】
特に、ファイアウォールプログラムは、他のネットワーク（例えば、インターネットなど）のユーザからプライベートネットワークのリソースを保護するネットワークゲートウェイサーバに配備される関連するプログラム群である。従業員／ユーザがより大きなインターネットにアクセスすることを許可するイントラネットを有する組織あるいは団体は、典型的には、外部者による自身のプライベートデータリソースへのアクセスを防ぎ、自らのユーザがどの外部リソースにアクセスできるかを制御するファイアウォールプログラムをインストールしている。
【０００３】
このファイアウォールプログラムは、ある宛先へのデータトラフィックの転送を行うべきか判断するため、ゲートウェイを介してデータトラフィックをチェックする。特に、ファイアウォールプログラムは、それが配置されているネットワーク（ＬＡＮ）にアドレス指定されているデータパケットをチェックする。ファイアウォールプログラムは、独立したホストコンピュータ、ルータ、パケット化された情報の受信及びファイアウォールプログラムのホスト処理が可能な他のネットワークハードウェア上にインストールされてもよい。
【０００４】
典型的なソフトウェアベースのファイアウォールプログラムは、ログファイルにイベントのログをとる。ファイアウォールプログラムは、例えば、ハッカーがネットワークに侵入を試みているとき、リアルタイムでのフィードバックを与えるものではない。むしろ、フィルタリングイベントの発生時に、ダイアログウィンドウが提供されるかもしれない。このダイアログウィンドウは、画面をクリアするためユーザによるアクションを必要とする。ファイアウォールプログラムにより繰り返されるフィルタリング処理は、ダイアログウィンドウを繰り返し起動し、当該画面をクリアするのに一定のユーザによる処理が必要となり、ユーザにとっては面倒な作業となるかもしれない。多くのユーザは、単にダイアログウィンドウを無効にし、ログファイルへのログ処理を有効にし続けるだけである。このため、システムアドミニストレータやエンドユーザに、ネットワーク環境においてファイアウォールプログラムによりデータトラフィックがブロック（すなわち、フィルタリング）されている事実を通知する必要がある。
［発明の概要］
上記従来技術に関する問題点が、本発明、すなわち、不適切な動作に関係するパケットのパケット数が閾値を超えたことをリアルタイムにて示す方法及び装置により解消される。
【０００５】
一実施例では、本方法は、不適切な通信動作の標識を定義する複数のルールの少なくとも１つが侵害されたか判断するため、データトラフィックをチェックするステップから構成される。前記複数のルールの第１クラスのルールが侵害された場合、前記第１クラスルールを侵害したデータトラフィックがフィルタリングされ、ユーザ識別可能な標識がトリガーされる。
【０００６】
他の実施例では、本装置は、不適切な動作に関係するパケットを特定するため、ファイアウォール有するネットワークを介し通信するよう構成される。前記不適切な動作に関係するパケットのパケット数が閾値を超えたことをリアルタイムに表示する少なくとも１つのユーザ識別可能な標識が、前記ファイアウォール関連付けされている。
【０００７】
他の実施例では、ケーブルモデムは、ダウンストリーム処理回路、アップストリーム処理回路、及び前記ダウンストリーム処理回路、前記アップストリーム処理回路とメモリと通信するコントローラから構成される。付属するルール群を有するファイアウォールプログラムは、前記メモリに配置され、前記コントローラにより実行可能である。前記ファイアウォールは、前記ダウンストリーム処理回路及び前記アップストリーム処理回路からのデータパケットのチェックを行うよう構成される。前記ファイアウォールより不適切な動作が閾値を超えたと判断されると、少なくとも１つの可視的な標識に対しトリガーが行われる。前記少なくとも１つの可視的な標識は、前記ケーブルモデムの近傍に配置され、ユーザに識別可能とされる。
【０００８】
本発明の教示は、添付された図面と共に以下の詳細な説明を考察することにより容易に理解されるであろう。
【０００９】
理解を容易にするため、図面を通じて同一の要素を示すのに可能である場合には、同一の参照番号が使用される。
［発明の詳細な説明］
本発明は、ファイアウォールプログラムが、望ましくないデータトラフィックあるいは不適切なデータトラフィックをフィルタリングしているということを示すユーザ識別可能な標識（例えば、光源及び／または音声など）を、当該データトラフィックがネットワークの宛先に到達する前に提供する。本発明は、主として、データ通信システムのケーブルモデムに関して説明されるであろう。しかしながら、ルータ、デジタル加入者線（ＤＳＬ）モデム、あるいは付属のファイアウォールプログラムを有する他の任意のネットワーク通信装置などの他のデータ交換通信装置もまた、本発明に属し、その効果を有するかもしれない。本発明は、ファイアウォールプログラムによるフィルタリング処理をリアルタイムに示す視覚標識を提供し、エンドユーザやシステムアドミニストレータへの任意の望ましくないデータトラフィックの迅速な通知を可能にする。これにより、エンドユーザ／システムアドミニストレータは、ハッカーにより継続的な「攻撃」、「ワーム」あるいはネットワークへの他の有害な攻撃から保護するための追加的な安全手段を提供する。
【００１０】
図１は、本発明の原理によるデータフィルタリング標識１２６を有する一例となるマルチモード双方向通信装置１０２のブロック図である。マルチモード双方向通信装置１０２は、ルータ、ブリッジ、サーバ、デスクトップコンピュータ、ラップトップコンピュータ、ケーブルモデム、ＰＤＡ（Ｐｅｒｓｏｎａｌ  Ｄａｔａ  Ａｓｓｉｓｔａｎｔ）、携帯電話、あるいはデータパケットのチェック及びフィルタリングを行うファイアウォールプログラムを有する、あるいはそれと通信する他の任意の通信装置であってもよい。図１を参照するに、マルチモード双方向通信装置（以降、「通信装置」）１０２は、データ通信システムの一部である。通信装置１０２は、少なくとも１つのプロセッサ１０４、サポート回路１０６、Ｉ／Ｏ回路１１０、ファイアウォールプログラムがインストールされているメモリ１０８、及びデータパケットフィルタリングイベントを示す標識１２６から構成される。
【００１１】
プロセッサ１０４は、従来技術によるサポート回路１０６（クロック、電源、バスコントローラ、他の任意のサポート回路など）とメモリ１０８と協調して、ファイアプログラム１２４などのメモリ１０８に格納されているソフトウェアルーチンを実行する。メモリ１０８は、揮発性メモリ（例えば、ＲＡＭ）と共に、１以上のディスクドライブなどの不揮発性メモリを有するようにしてもよい。また、ソフトウェアプロセスとして説明される当該プロセスステップの一部は、例えば、各種ステップを実行するためプロセッサ１０４と協調する回路としてハードウェアにより実現されてもよい。Ｉ／Ｏ回路１１０は、当該Ｉ／Ｏ回路１１０と通信する各種機能要素間のインタフェースを構成する。例えば、図１の実施例では、通信装置１０２のＩ／Ｏ回路１１０は、信号Ｓ１とＳ２を介してそれぞれワイドエリアネットワーク（ＷＡＮ）とローカルエリアネットワーク（ＬＡＮ）と通信する。
【００１２】
図１の通信装置１０２は、本発明の原理による各種制御機能を実行するようプログラムされた汎用コンピュータを有するものとして示されているが、本発明は、例えば、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）としてハードウェアにより実現されてもよい。また、ここで説明されるプロセスステップは、ソフトウェア、ハードウェアあるいはそれらの組み合わせにより等しく実行されるものとして、広く解釈されるものとする。
【００１３】
ファイアウォール１２４は、送信元ノード（例えば、ＷＡＮ上のファイルサーバなど）から送信先ノード（例えば、ＬＡＮ上のローカルコンピュータなど）に送信されるデータパケット（例えば、ＩＰデータパケットなど）のチェック及びフィルタリングを実行することができる。特に、ファイアウォールプログラム１２４は、他のネットワークのユーザからプライベートネットワークのリソースを保護する関連するプログラム群から構成される。ファイアウォールプログラム１２４は、ネットワークパケットの一部またはすべてをチェックし、当該パケットをそれの送信先に転送すべきか判断する。すなわち、フィルタリングを行うファイアウォールプログラムは、ネットワークレベルで動作する。パケット構成が特定のルールを侵害しない場合のみ、データはファイアウォールプログラム１２４を含む通信装置１０２の通過を許可される。
【００１４】
ファイアウォールプログラムのルールは、例えば、ＬＡＮの管理者により規定される（デフォルトのルールが利用されてもよい）。このルールは、望ましくないデータが組織のＬＡＮに進入するのを禁止することによりセキュリティを確保するため、組織によるポリシーの考慮を反映したものである。例えば、ある組織は、特定のインターネットウェブサイトが、当該組織の従業員に閲覧されないようにすることを決定したり、あるいは一部の従業員によるインターネットへのアクセスを禁止するようにすることを決定するかもしれない。また、これらのルールには、一部またはすべてのＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）を制限するプログラムが含まれている。さらなるルールとして、ワームなどのＬＡＮやエンドユーザに有害とみなされるデータパケットと共に、当該ＬＡＮへの侵入を試みる権限のない者（すなわち、「ハッカー」）を制限することが含まれる。不適切なデータ動作のプロファイルが実際の動作と比較され、この実際のデータ動作が不適切なものであるか判断される。
【００１５】
Ｉ／Ｏ回路１１０は、入力されるデータパケットを受信し、メモリ１０８に格納する。ここでは、ファイアウォールプログラム１２４が、各パケットに含まれるパケットタイプ、送信元アドレス、送信先アドレス及びポート情報を少なくともチェックする。チェックされたパケット（または１つのものとみなされるパケット群）がファイアウォールプログラムのルールの何れにも違反していない場合、チェックされたパケットは当該パケットの送信先アドレスにさらにルーティングされる。しかしながら、チェックされたパケット（または１つのものとみなされるパケット群）がルールに違反しているとみなされると、当該パケットはフィルタリング（すなわち、制限）され、ネットワークから排除される。データパケットのフィルタリング方法が、図３に関して以下で詳細に説明される。
【００１６】
ある閾値を上回るパケットまたはパケット群がファイアウォールプログラム１２４によりフィルタリングされると、プロセッサ１０４は、標識１２６に制御信号を与える。一実施例では、この標識は、パケットがアクティブにフィルタリングされることを示す光信号を与えるＬＥＤ（Ｌｉｇｈｔ  Ｅｍｉｔｔｉｎｇ  Ｄｉｏｄｅ）である。第２の実施例では、この標識は、パケットがフィルタリングされていることを管理者／エンドユーザに通知するための音声識別可能な音声（例えば、「ビープ」など）を与えるスピーカーであるかもしれない。何れの実施例でも、標識は、ネットワークがファイアウォールプログラムのルールにより許可されない方法により侵害されていることのリアルタイムでの通知を提供する。
【００１７】
一実施例では、標識（すなわち、ＬＥＤまたはスピーカー）は、通信装置１０２の外面の管理者／エンドユーザにより容易に閲覧可能な位置に配置される。他の実施例では、ファイアウォールプログラム１２４は、コンピュータ画面上に標識を与えるため、コンピュータ装置上で実行されるオペレーティングシステムまたはアプリケーションプログラムに指示信号を与える。例えば、デスクトップまたはラップトップコンピュータ上にインストールされているＷＩＮＤＯＷＳ（登録商標）オペレーティングシステムのシステムトレイのアイコンに赤いランプが点灯されるようにしてもよい。
【００１８】
図２は、本発明の原理によるデータフィルタリング標識１２６を有するケーブルモデムの一例となるブロック図である。本発明の一実施例によると、データ通信システム２００は、例示されるように、インターネット２７０から、コンピュータ、携帯装置、ラップトップまたはデータの送受信が可能な他の任意の装置などの入出力（Ｉ／Ｏ）装置２６０を有するエンドユーザに、電子的に送信されるデジタルデータを提供するサービスプロバイダ２５５を有する。ケーブルモデム２０２は、ケーブルトランスポートネットワーク２５０を介して、サービスプロバイダ２５５のヘッドエンドにおいてＣＭＴＳ（Ｃａｂｌｅ  Ｍｏｄｅｍ  Ｔｅｒｍｉｎａｔｉｏｎ  Ｓｙｓｔｅｍ）２５６に接続されている。典型的には、サービスプロバイダ２５５は、加入者宅内装置（すなわち、コンピュータ装置２６０）にＩＰアドレスを割り当てるＤＨＣＰ（Ｄｙｎａｍｉｃ  Ｈｏｓｔ  Ｃｏｎｆｉｇｕｒａｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）サーバ（図示せず）などの１以上のホストサーバを有する。
【００１９】
サービスプロバイダ２５５は、低速、中速及び／または高速データ送信、マルチボイスチャネル、ビデオチャネルなどの提供が可能な任意の主体であってもよい。特に、データは、各種衛星放送フォーマット（例えば、ＤＢＳ（Ｄｉｇｉｔａｌ  Ｂｒｏａｄｃａｓｔ  Ｓａｔｅｌｌｉｔｅ）など）、ケーブル送信システム（例えば、高品位テレビ（ＨＤＴＶ）など）、デジタルビデオ放送（（ＤＶＢ−Ｃ）（すなわち、欧州デジタルケーブル規格））などのフォーマットに従ってサービスプロバイダ２５５によりＲＦ（Ｒａｄｉｏ  Ｆｒｅｑｕｅｎｃｙ）搬送信号を介し送信される。サービスプロバイダ２５５は、ケーブルトランスポートネットワーク２５０を介しデータを提供する。
【００２０】
一実施例では、ケーブルトランスポートネットワーク２５０は、北米あるいは欧州ＤＯＣＳＩＳ規格により規定されるような、従来技術による双方向ＨＦＣ（Ｈｙｂｒｉｄ  Ｆｉｂｅｒ−Ｃｏａｘ）ケーブルネットワークである。特に、ＨＦＣネットワークは、ケーブルテレビＲＦ信号とＣＭＴＳからのＲＦデータ信号とをミキシングするミキサ、ミキシングされたＲＦ信号を光信号に変換する光送信機（ＯＴＸ）、光信号を下流へのミキシングされたＲＦ信号に再変換すると共に、各加入者宅内装置２６０からのＲＦ信号を上流への光信号に変換する光ネットワークユニット（ＯＮＵ）、送信したミキシングＲＦ信号をケーブルモデムを介して各加入者宅内装置２６０に配信するタップ、及びＯＮＵからの光信号をＲＦ信号に再変換する光受信機（ＯＲＸ）などの各種コンポーネント（図示せず）から構成される。
【００２１】
一例となるケーブルモデム２０２は、データ通信システム２００のサービスプロバイダ２５５からコンピュータ装置２６０へのダウンストリームブロードバンドデータ信号の提供に利用される。さらに、この一例となるケーブルモデム２０２は、図示されるコンピュータ２６０からサービスプロバイダ２５５へのアップストリームベースバンドデータ信号の転送に利用される。
【００２２】
動作中、ＣＭＴＳ２５６は、デジタルデータを変調ＲＦ信号に変換し、ＨＦＣトランスポートネットワーク２５０を介してケーブルモデム２０２にこの変調信号を下流方向に提供する。ケーブルモデム２０２では、このＲＦ信号が受信及びチューニングされ、所定のＩＦ（Ｉｎｔｅｒｍｅｄｉａｔｅ  Ｆｒｅｑｕｅｎｃｙ）信号にフィルタリングされる。その後、ＩＦ信号は１以上の各自のベースバンド信号に復調され、もしくは例示されるようにデータパケットに処理される。このデータパケットは、例示されるように、ケーブル２６２（例えば、イーサネット（登録商標）、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ  Ｓｅｒｉａｌ  Ｂｕｓ）、同軸ケーブルなど）を介してコンピュータ装置２６０にさらに送信される。
【００２３】
同様に、コンピュータ装置２６０のユーザは、ケーブル２６２を介してケーブルモデム２０２にデータ信号を送信するようにしてもよい。ケーブルモデム２０２は、コンピュータ装置２６０からデータ信号を受け取り、その後、ケーブルトランスポートネットワーク２５０を介したサービスプロバイダ２５５への上流方向への送信のため、データ信号をＲＦキャリアに変調及びアップ変換する。
【００２４】
ケーブルモデム２０２を介したデータパケットフローをより良く理解するため、下流のハードウェアと上流のハードウェアはそれぞれ、単一の下流及び上流ブロックにより示される。下流及び上流のハードウェアは、モデムとＣＭＴＳ２５６との間のＲＦ双方向パスを参照する。具体的には、サービスプロバイダネットワークのヘッドエンドにおいて、ＣＭＴＳダウンストリームＲＦインタフェース（ＣＭＴＳ−ＤＲＦＩ）とＣＭＴＳアップストリームＲＦインタフェース（ＣＭＴＳ−ＵＲＦＩ）は（どちらもＣＭＴＳ２５６の内蔵されている要素として包括的に示される）、ケーブルモデムシステムと、例示されるように加入者宅内２６０のケーブルモデムで終端となるダウンストリームＲＦパスとの間のインタフェースを提供する。ＣＭＴＳ−ＤＲＦＩとＣＭＴＳ−ＵＲＦＩは、双方向通信を提供するよう協調する。
【００２５】
ケーブルモデム２０２のダウンストリーム処理回路２１０は、典型的には、チューナ、フィルタ、復調器、コントローラ２２６、アップストリーム処理においても利用されるＭＡＣ（Ｍｅｄｉｕｍ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌｌｅｒ）などの他のダウンストリーム処理回路などの各種コンポーネントを含む。
【００２６】
ダウンストリーム処理回路２１０は、コントローラ２０４により与えられた選択信号に応答して、ＣＭＴＳ２５６からの複数のダウンストリームデータ信号の少なくとも１つを選択的にチューニング、復調及び「受信」する。ハイパスフィルタ（ＨＰＦ）は、すべてのダウンストリームデータ信号をチューナに引き渡し、チューナはＨＰＦから受信したダウンストリームＲＦ信号を所定のＩＦ周波数信号にダウン変換する。ＩＦ信号は、１以上の各自のデジタルベースバンド信号を提供するため、復調回路により復調される。デジタルベースバンド信号はＭＡＣに送信され、そこで受信した信号（例えば、ＭＰＥＧパケット）は、コントローラ２０４により管理されるように、カプセル化解除され、コンピュータ装置２６０への以降の搬送のためのビットストリームに生成される。
【００２７】
コンピュータ装置２６０への搬送前に、以下で詳細に説明されるように、パケットは内部ＴＣＰ／ＩＰスタック２１４あるいはチェックのためにファイアウォールプログラム１２４に送信される。パケットがファイアウォールプログラムのルールに従っているとみなされると、ＭＡＣ、コントローラ２０４及び他のデジタル回路はさらにパケット化されたデータ（例えば、必要に応じて適切なトランスポートパケットに添付またはカプセル化された）を処理し、その後、この処理されたパケット化データをコンピュータ装置２６０（または他の情報機器）に分配する。特に、ＭＡＣは、パケット化されたビットスリームをコントローラ２０４に送信し、そこで当該データはコンピュータ装置２６０とのインタフェースため処理（例えば、フォーマット化）される。コントローラ２０４は、さらなる処理（例えば、データの抽出及びアップ変換など）のため、このフォーマット化されたパケットビットストリームを（ケーブル２６２を介して）コンピュータ装置２６０に転送する。
【００２８】
ケーブルモデム２０２はさらに、典型的には、アップストリーム物理層要素、アップストリームＭＡＣ、変調器、ローパスフィルタ、他のアップストリーム処理回路（例えば、アンプ、電圧調整器など）などの各種コンポーネントを含むアップストリーム処理回路２１２を有する。ケーブルモデム２０２は、サービスプロバイダ２５５を介した送信先への以降の送信のため、コンピュータ装置２６０から信号（例えば、コマンド信号など）を受け取る。特に、ユーザは、ケーブルモデム２０２を介してサービスプロバイダ２５５に、データ、データリクエストあるいは他のユーザリクエストを送信する。ケーブルモデム２０２はユーザリクエストを受け取り、ＭＡＣとアップストリーム処理回路により、送信のため当該信号のフォーマット化、カプセル化及びアップ変換が行われる。変調器は、ＣＭＴＳ２５６へのアップストリーム信号パスに沿ってアップ変換された信号を変調する（例えば、ＱＰＳＫまたは１６ＱＡＭなど）。
【００２９】
図１及び図２の実施例に対し、ケーブル２６２の物理層は、例示的には、イーサネット（登録商標）、同軸ケーブル、ＦＤＤＩ、ＩＳＤＮ、ＡＴＭ、ＡＤＳＬ、ＣＡＴ１−５ケーブル、ＵＳＢ、ＨｏｍｅＰＮＡ、無線データリンク（例えば、８０２．１１またはブルートゥース規格無線リンクなど）、パワーラインキャリアなどを含むものであってもよい。
【００３０】
図２を参照するに、ブロックとブロック間のパスは、主として、実際のハードウェアブロックを示すというより、ケーブルモデム２０２を介した機能的なデータの動きを表している。
【００３１】
特に、例えば、アクセスネットワーク２５０を介してＣＭＴＳ２５６（サービスプロバイダ２５５）から送信されるデータパケットは、ダウンストリーム処理回路２１０により受信される。ダウンストリーム処理回路により受信されるダウンストリームパケットは、内部のＴＣＰ／ＩＰスタック２１４またはさらなる処理のためファイアウォールプログラム１２４にルーティングされる。
【００３２】
この内部のＴＣＰ／ＩＰスタックは、データ交換のクライアントエンドとサーバエンドにデータが引き渡されるレイヤ（ＴＣＰ及びＩＰレイヤ）を参照する。ＴＣＰ／ＩＰスタックは、ＯＳＩモデルにおけるトランスポートレイヤ（４）とセッションレイヤ（５）に対応し、それぞれエンド・ツー・エンド制御とエラーチェックと共に、各エンドにおけるアプリケーション間の通信のセッション及び接続調整を管理する。
【００３３】
例えば、パケットが、ケーブルモデム２０２を制御するためのケーブルヘッドエンド２５５からのＳＮＭＰ（Ｓｉｍｐｌｅ  Ｎｅｔｗｏｒｋ  Ｍａｎａｇｅｍｅｎｔ  Ｐｒｏｔｏｃｏｌ）メッセージである場合、ＳＮＭＰパケットは、第１ルーティング機能２２１を介してＴＣＰ／ＩＰスタック２１４にルーティングされる。ＨＴＴＰパケットなどのパケットがコンピュータ装置２６０（例えば、ケーブルモデム２０２が接続されたＰＣなど）にアドレス指定される場合、ルーティング機能２２２は、ケーブルモデム２０２のメモリ１０８に与えられるファイアウォールプログラム１２４にＨＴＴＰパケットを転送する。
【００３４】
同様に、ケーブルモデム２０２のアップストリーム処理回路２１２（すなわち、ＭＡＣ及び物理層要素）から受信したパケットは、第２ルーティング機能２２２により、内部のＴＣＰ／ＩＰスタック２１４またはファイアウォールプログラム１２４にルーティングされる。例えば、パケットがケーブルモデムの内部診断ウェブページ（内部のＨＴＴＰサーバ（図示せず）を介し提供される）を閲覧するためのリクエストである場合、当該パケットはＴＣＰ／ＩＰスタック２１４にルーティングされる。あるいは、パケットがインターネットを介して送信される場合、第２ルーティング機能２２２は、当該パケットをファイアウォールプログラム１２４にルーティングする。
【００３５】
パケットがファイアウォールプログラム１２４の代わりに、ＴＣＰ／ＩＰスタック２１４に即座にルーティングされる場合、第３ルーティング機能２２３は、当該パケットのＴＣＰ／ＩＰスタック２１４から、アップストリーム処理回路２１２またはダウンストリーム処理回路２１０のＭＡＣ及び物理層要素へのさらなるルーティングを可能にする。例えば、パケットがユーザのＰＣのブラウザ上に表示されるケーブルモデム２０２の内部ウェブページ（図示せず）からのＨＴＭＬデータである場合、当該パケットは、第３ルーティング機能２２３を介してＴＣＰ／ＩＰスタック２１４からアップストリーム処理回路２１２（すなわち、ＭＡＣ及び物理層要素）にルーティングされる。あるいは、パケットが、例示されるように、ケーブルヘッドエンドからのＳＮＭＰリクエストメッセージに対する応答である場合、当該パケットは、第３ルーティング機能２２３を介してダウンストリーム処理回路２１０（すなわち、ＭＡＣ及び物理層要素）にルーティングされる。
【００３６】
図１に関して前述されたように、ファイアウォールプログラム１２４は、受け取った各パケットをチェックし、当該パケットがネットワークセキュリティの確保に供し、当該ネットワークの組織またはエンドユーザのポリシーの適用のため与えられたルールに従うものであるか判断する。ファイアウォールプログラム１２４により、あるパケット（または後述される例ではパケット群）が当該パケットの要諦される送信先アドレスへの転送が制限されるべきであると判断されると、ケーブルモデム２０２のコントローラ２０４は、管理者／エンドユーザにデータフィルタリングイベントを通知するための信号を１以上の標識１２６に送信する。
【００３７】
図３は、本発明の原理による図１及び図２の一例となる装置を用いて、データフィルタリングイベント中に識別可能な標識を提供する方法３００のフローチャートである。本方法３００は、ステップ３０１において、例えば、ファイアウォールプログラム１２４がダウンストリーム処理回路２１０またはアップストリーム処理回路２１２からチェックのための少なくとも１つのパケットを受け取ることにより開始される。ステップ３０２において、ファイアウォールプログラム１２４は、利用可能なデータトラフィックの少なくとも一部をチェックする。すなわち、ファイアウォールプログラム１２４は、ファイアウォールプログラムのルールとして与えられているポリシー及びセキュリティレベルに応じて、受信したデータパケットの一部またはすべてをチェックする。
【００３８】
ステップ３０４において、ファイアウォールプログラムは、チェックしたデータパケットがこれらルールの何れかに違反しているか判断する。ここで、ファイアウォールプログラムのルールは、様々なレベルの優先度またはランク付けを有するかもしれない。すなわち、高い格付けのルールは（例えば、第１クラスのルールなど）、侵害として特定あるいは権限のないソース（例えば、ハッカーなど）による攻撃が行われるデータパケット群に対して定時的に規定されるものであってもよい。さらに、中間に格付けされたルールは（例えば、第２クラスのルールなど）、それほど有害でないウイルス、または下位の優先度の他の望ましくないデータパケットを含み、下位に格付けされたルールは（例えば、第３クラスのルールなど）、インターネットドメイン及びウェブサイトの特定のデータパケット送信先アドレスのブロックを含むものであるかもしれない。ここで、もし存在すれば、ルールの優先度及びクラス数は、ファイアウォールプログラム１２４の設計構成に依存し、ネットワークにアクセスする組織のポリシー及びセキュリティ方針に基づく。
【００３９】
ステップ３０６において、第１クラスルールに違反したか判断される。違反したと判断されると、任意的なステップ３０８において、ファイアウォールプログラム１２４は、第１閾値を超えるものであるか判断する。すなわち、ファイアウォールプログラム１２４は、あるサンプルのデータパケットが第１クラスルールの１つに違反したかチェックする。任意的なステップ３０８における閾値を上回る場合、本方法３００はステップ３１８に移行する。
【００４０】
ステップ３１８において、ファイアウォールプログラムは、決定されたファイアウォールプログラムルールに違反するデータパケットをフィルタリングする。ファイアウォールプログラム１２４は、コントローラ２０４とやりとりし、当該データパケットのチェック及びフィルタリングを行う。ステップ３２０において、コントローラ２０４は、ファイアウォールプログラム１２４がデータパケットのフィルタリングを行っているということを識別可能な標識として管理者またはエンドユーザに提供するための信号を標識１２６に送信する。一実施例では、ＬＥＤなどの表示装置が、管理者またはエンドユーザにより閲覧可能なケーブルモデム２０２の外面（例えば、カバーなど）に配置される。標識１２６は、フィルタリングイベントをリアルタイムで表示する。
【００４１】
ステップ３０６における判定が否定される場合、または、第１クラスのルールに違反しているが、任意的なステップ３０８における閾値は超えていない場合、本方法３００はステップ３１０に移行する。ステップ３１０において、ファイアウォールプログラム１２４は、第２クラスのルールに違反しているか判断する。ステップ３１０におけるこの判断が肯定されると、本方法３００は、任意的なステップ３１２に移行する。任意的なステップ３１２において、ファイアウォールプログラム１２４は、第１閾値を超えるものであるか判断する。すなわち、ファイアウォールプログラム１２４は、あるサンプルのデータパケットが、当該データパケットのフィルタリング（ステップ３１８）前に、第２クラスのルールの１つに違反しているかチェックする。任意的なステップ３１２における閾値を上回る場合、本方法３００は、上述のように、ステップ３１８及び３２０に移行する。しかしばがら、ステップ３１０において、第２クラスのルールに違反していない場合、または、第２クラスのルールに違反しているが、任意的なステップ３１２における閾値を上回るものではない場合、本方法３００は、ステップ３１４に移行する。
【００４２】
ステップ３１４において、ファイアウォールプログラム１２４は、第３クラスのルールに違反しているか判断する。ステップ３１４における判定が肯定的なものである場合、本方法３００は、任意的なステップ３１６に移行する。任意的なステップ３１６において、ファイアウォールプログラム１２４は、第３閾値を上回るものであるか判断する。すなわち、ファイアウォールプログラム１２４は、あるサンプルのデータパケットが、当該データパケットのフィルタリング（ステップ３１８）前に、第３クラスのルールの１つに違反しているかチェックする。任意的なステップ３１６における閾値を上回る場合、本方法３００は、上述のように、ステップ３１８及び３２０に移行する。しかしながら、ステップ３１４において、第３クラスのルールに違反していない場合、または第３クラスのルールに違反しているが、任意的なステップ３１６における第３閾値を上回るものでない場合、本方法３００は、ステップ３２２に移行する。
【００４３】
ステップ３２２において、ファイアウォールプログラム１２４は、ルール侵害を検出することなく、ファイアウォールプログラムのルールに与えられるポリシー及びセキュリティ要件に関してデータパケットのチェックを完了する。これにより、ステップ３２２において、当該パケットデータは、ケーブルモデム２０２におけるさらなる処理と、パケットの送信先アドレスに与えられるようなその送信先への転送に対し、安全なものとみなされる。その後、本方法３００はステップ３２４に移行し、終了する。
【００４４】
任意的なステップ３０８、３１２及び３１４は、ファイアウォールプログラム１２４のフィルタリングステップ３１８の開始前に、超えられなければならい閾値レベルを提供する。ここで、この閾値レベルは、当該ファイアウォールプログラムを用いる組織またはエンドユーザのポリシー及びセキュリティ方針の一機能として設定される。従って、閾値レベルは、フィルタリングステップ３１８が、１つのパケットがあるルールに違反すると即座に開始されることを意味する単一の発生に設定されるようにしてもよい。このシナリオは、ステップ３０６及び３０８の高格付け（第１クラス）ルールに最もよく適用されるであろう。より高い閾値レベルが、例えば、徐々にあるいはファイアウォールプログラム１２４のポリシー及びセキュリティ方針に関して適当とみなされる任意の方法により、より低い格付けのルールに対して利用されてもよい。
【００４５】
図３の方法３００は、ステップ３１８におけるデータパケットのフィルタリング及びステップ３２０における標識のトリガー処理が、閾値レベル（例えば、ステップ３０８、３１２及び３１６）を上回った後になってはじめて行われるということを説明している。しかしながら、他の実施例では、ファイアウォールプログラム１２４は、あるファイアウォールプログラムのルールに違反するすべてのデータパケットをフィルタリングするが、閾値レベルを上回った場合のみ標識をトリガーするかもしれない。例えば、ステップ３１４において第３クラスルールに違反していると検出されたすべてのパケットは即座にフィルタリングされるが、標識１２６は、例示されたステップ３１６の閾値レベルを上回るときのみトリガーされる。ここで、フィルタリング及び標識のトリガー処理の任意の設定は、ネットワークを利用する組織のポリシー及びセキュリティ方針を満たすよう与えられるようにしてもよい。
【００４６】
さらに、標識は複数のタイプの標識を有するようにしてもよい。例えば、ファイアウォールプログラム１２４による一般的なフィルタリングイベントを表示するのには第１ＬＥＤが用いられ、任意の悪意あるタイプのフィルタリングイベントを表示するのには第２ＬＥＤが用いられるようにしてもよい。例えば、典型的には、それほど有害でないＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）トラフィックを生成する、いわゆる「Ｃｏｄｅ  Ｒｅｄ」ワームは、一般的なフィルタリングイベントに対して用いられる第１ＬＥＤ（例えば、黄色のＬＥＤ）をトリガーするようにしてもよい。しかしながら、コンピュータポートの組織的な探索などのより重大な攻撃には、高格付けルールに違反したデータパケットのフィルタリングを示す第２ＬＥＤ（例えば、赤色のＬＥＤ）をトリガーするようにしてもよい。
【００４７】
本発明の教示を含む様々な実施例が例示かつ詳細に説明されてきたが、当業者により、上記教示を含む他の様々な実施例の創出が容易に可能であるだろう。
【図面の簡単な説明】
【００４８】
【図１】図１は、本発明の原理による一例となるマルチモード双方向通信装置のブロック図である。
【図２】図２は、本発明の原理によるケーブルモデムの一例となるブロック図である。
【図３】図３は、本発明の原理による方法のフローチャートである。
【図１】
2005530398.tif 000003
【図２】
2005530398.tif 000004
【図３】
2005530398.tif 000005
【国際調査報告】
2005530398.tif 000006