(57)【要約】２つのネットワーク・カードとステートフル・インスペクション・ファイアウォールとを備える、内部ネットワークとの間のパケット・フローを制御するためのネットワーク・セキュリティ・デバイス。第１のネットワーク・カードは検査のために各パケットを転送し、それが既存のセッションの一部であればパケットは第２のネットワーク・カードへ、かつ上記ネットワーク上へ転送される。そうでなければパケットはルールセットと比較され、その受容可能性が決定される。受容可能であれば、これは第２のネットワーク・カードへ、かつ上記ネットワーク上へ転送され、受容不可であればドロップされる。
2005532713.tif 000002
【特許請求の範囲】
【請求項１】
内部ネットワークに出入りするパケット・フローを制御するためのネットワーク・セキュリティ・デバイスであって、上記デバイスは第１及び第２のネットワーク・カードとステートフル・インスペクション・ファイアウォールとを含み、パケットが流入する間に、上記第１のネットワーク・カードは各パケットを上記パケットが既存のセッションの一部であるかないかを決定する検査のために上記ファイアウォールへ転送し、
（ｉ）上記パケットが既存のセッションの一部であれば、これは上記第２のネットワーク・カードへかつ上記内部ネットワーク上へ転送され、
（ｉｉ）上記パケットが既存のセッションの一部でなければ、これは上記パケットが上記ネットワークへ受容可能であるか受容可能でないかを決定するルールセットと比較され、
（ａ）上記パケットが受容可能であれば、これは上記第２のネットワーク・カードへかつ上記内部ネットワークへ転送されかつ上記セッションは上記ステートフル・インスペクション・テーブルへ入れられ、
（ｂ）上記パケットが受容可能でなければ、これはドロップされて消失し、
パケットが流出する間に、アウトバウンド・パケットは上記第２のネットワーク・カードを通過し、ここでこれが既存のセッションの一部であるかないかを決定するために検査され、そうであればこれは上記デバイスを出るために上記第１のネットワーク・カードへ転送され、そうでなければこれは上記ルールセットと比較され、上記パケットが受容可能であればこれは上記デバイスを出るために上記第１のネットワーク・カードへ転送され、受容可能でなければこれはドロップされて消失するネットワーク・セキュリティ・デバイス。
【請求項２】
上記第１及び第２のネットワーク・カードは公的にルーティングされるＩＰアドレスを保有しない請求項１記載のデバイス。
【請求項３】
上記ファイアウォールを構成するために使用される公的にルーティングされないプライベートＩＰアドレスを有する管理インタフェースである第３のネットワーク・カードをさらに含む請求項１記載のデバイス。
【請求項４】
上記デバイスが、ルーティングまたはプロキシではなくブリッジするステートフル・インスペクション・ファイアウォールとして作用するように構成される請求項１記載のデバイス。
【請求項５】
上記デバイスが、ルータとハブまたはサーバ・マシンとの間に位置決めされるように適合化される請求項１記載のデバイス。
【請求項６】
上記デバイスが、実装するための別個のコンピュータを必要としない請求項１記載のデバイス。
【請求項７】
上記デバイスが、ＨＴＭＬインタフェースから構成可能である請求項１記載のデバイス。
【請求項８】
上記デバイスが、上記デバイスを供給されるＨＴＭＬインタフェースによって構成される請求項１記載のデバイス。
【請求項９】
負荷ステータスを供給しかつユーザにＣＰＵ上のカレント負荷が何であるかのグラフィック通知を供給するための負荷モニタをさらに備える請求項１記載のデバイス。
【請求項１０】
ユーザが上記ファイアウォール構成に加えた変更が上記ファイアウォールに反映されているかどうかのグラフィック通知をユーザに供給する構成ステータス・モニタをさらに備える請求項１記載のデバイス。
【請求項１１】
パケットが認可されたか拒否されたかのグラフィック表示を供給するモニタ及びログをさらに備える請求項１記載のデバイス。
【請求項１２】
追加のソフトウェアを何らインストールすることなく、ＨＴＭＬブラウザを有し、上記デバイスがネットワークされる任意のコンピュータから構成されることが可能であるように構成用のＨＴＭＬインタフェースをさらに備える請求項１記載のデバイス。
【請求項１３】
上記第１及び第２のネットワーク・カードがこれらに割り当てられるＩＰアドレスを保有しない、または必要としない請求項１記載のデバイス。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワーク・セキュリティ・デバイスに関し、より特定的にはステートフル・インスペクションのファイアウォール・ブリッジに関する。
【背景技術】
【０００２】
多くのネットワーク・サービスはセキュリティホールとなり得ることが判明しており、そのためのツールは、初心者向けのものさえ広く入手可能となっている。危険な情報がない場合でも、サーバまたはネットワークの一時的なブラックアウトは、何時間にも及ぶ作業の喪失及びされたビジネスの機会の逸失を意味する場合がある。
【０００３】
企業はインターネットへ接続することが可能であり、ダイアルアップを介してｉｓｄｎ及びリースされた回線でデータを交換することができる。さらに従業員には、リモート・アクセス・オプションが提供される可能性もある。その上、着信するあらゆる接続は発信する接続も保有しているように思われる。
【０００４】
どんなコンピュータ・ネットワークも、完全に安全であるわけではない。あらゆる鎖錠と同様に、人間が作ったものであれば、それは人間によって破られる可能性がある。ちょっとしたセキュリティ対策でも、そうでなければ厄介ごとをもたらすほとんどのアマチュアを排除することができる。これに対して大規模なサイトは、ちょっとしたセキュリティ対策で甘んじるべきではない。
【０００５】
セキュリティは高価である。専用のハードウェア及びソフトウェアは、専門知識を頼む、雇うまたは作り上げるかすることによって購入され、インストールされ、設定されかつ保全されなければならない。既存のインフラに対しては、さらなるハードウェアを必要とする、または中断時間を発生させる変更を実施しなければならない場合が多い。
【０００６】
用語解説
ブリッジ
データ・リンク層情報を基礎としてネットワーク・セグメント間でトラフィックを転送するデバイス。これらのセグメントは、共通のネットワーク層アドレスを保有する。
【０００７】
ファイアウォール
特にインターネット接続及びダイアルイン回線である外部ネットワークへのサービスに使用される、その上に特別なセキュリティ予防策を有する専用のゲートウェイ・マシン。その意図は、その背後に隠されたより管理の緩いマシン群をクラッカから保護することにある。典型的なファイアウォールは、重要データを保有しない安価なマイクロプロセッサ・ベースのユニット・マシンであり、モデム及び公衆ネットワーク・ポートをその上に有するが、残りのクラスタに対する慎重に監視された接続は１つしかない。
【０００８】
ルータ
ネットワーク間でパケットを転送するデバイス。転送の決定は、ネットワーク層情報と、ルーティング・プロトコルによって構成される場合の多いルーティング・テーブルとを基礎として行われる。
【０００９】
パケット
ネットワーク上で送信されるデータ・ユニット。「パケット」はＯＳＩプロトコル・スタックの任意の層におけるデータ・ユニットを記述するために使用される総称であるが、最も正確にはアプリケーション層のデータ・ユニット（「アプリケーション・プロトコル・データ・ユニット」、ＡＰＤＵ）を記述するために使用される。
【００１０】
ステートフル・インスペクション
ステートフル・インスペクション・プログラムは、接続を開始する全パケットをファイアウォール・ルールベースに照らして順次精査する。パケットが受容されることなく任意のルールを通過すれば、そのパケットは拒否される。接続が受容されれば、そのセッションはファイアウォールのステートフル・インスペクション・テーブルへ入る。そのセッションがテーブルに存在しかつそのパケットがそのセッションの一部であれば、パケットは受容される。パケットがセッションの一部でなければ、これはドロップされる。パケットは悉くルールベースと比較され、マッチング・ルールを基礎として決定が下される。
【００１１】
ルールベース
どのパケットがネットワークを介して認可され、または否認されるかを決定するルールセット。
【００１２】
ＨＴＭＬ：ハイパーテキスト・マークアップ言語
これは、ＷＷＷページを記述するために使用される言語である。
【００１３】
インターネット上のワールドワイドウェブ・サーバ上のコンテンツ及び他の文書へのハイパーテキスト・リンクを指定するために使用されるタグ・ベースのＡＳＣＩＩ言語。そして任意のオペレーティング・システム（ハードウェア・プラットフォーム、モニタ解像度、他）用に作られるブラウザを使用して作成された文書を見る、かつ他の文書を表示するリンクを辿ることができる。
【００１４】
ネットワーク・インタフェース・カード（ネットワーク・カード）
ＰＣにインストールされる、ＰＣがＬＡＮ上で通信することを有効化するＬＡＮアダプタ（プリンタ基板）の名称。この用語は、ＩＢＭ  ＰＣ及びトークン・リングのユーザにより共用されている。
【００１５】
ＩＰアドレス
ネットワーク層のプロトコルは全てアドレス・フォーマットを保有し、ＴＣＰ／ＩＰプロトコルの３２ビットＩＰアドレスの場合、アドレスは「１９９．１２．１．１」の形式になる。これはドット付き１０進数と呼ばれ、４つに区切られた各々は０乃至２５５の１０進数であってＩＰアドレスの８ビットを表し、そのネットワーク上の特定ホストを指定する。
【００１６】
ＩＰアドレス全体に対して３２ビットしか存在せず、またネットワークによっては他のネットワークより遙かに多数のホストを有するものがある（かつ遙かに少数のネットワークもある）ことから、異なるアドレス等級が存在する。これらは、異なるビット数をアドレスのネットワーク及びホスト部分に割り当てる。
【００１７】
ＤＭＺ：非武装地帯
敵対する両者間の戦闘が防止されている区域をいう軍事用語。
【００１８】
ＤＭＺイーサネットは、異なる団体によって制御されるネットワークとコンピュータとを接続する。これらは、外的なものである場合も、内的なものである場合もある。外部のＤＭＺイーサネットは、地域ネットワークを内部ネットワークにルータでリンクする。内部のＤＭＺイーサネットは、ローカル・ノードを地域ネットワークにルータでリンクする。
【００１９】
現行技術
ファイアウォール及びセキュリティ・ソフトウェアは、多くの異なるタイプが周知である。これらは、３つの範疇に分類されることが可能である。（ここでは、単一のホーム・コンピュータを保護するパーソナル・ファイアウォールについては考慮しない。）
・プロキシを基礎とするもの：ファイアウォール・サーバ上の異なるネットワーク・インタフェースに物理的に接続しているシステム間のアプリケーション−プロキシとして機能する。アプリケーション−プロキシは、ファイアウォールの一方の側に存在するエンティティがファイアウォールのもう一方の側のエンティティを相手とする場合にそのアプリケーション・レベルでのエージェントまたは代理として作用する。インタフェース間にこの仕切りを保持しかつ継続的にプロトコルを点検することにより、極めて安全な環境が提供される。これは、ＣＰＵ時間にとっては厳しいものであり、大容量サイトにおいては問題点となる可能性がある。
・ステートフル・インスペクション：ファイアウォールが接続を開始するパケットを受信するときはいつも、そのパケットはファイアウォール・ルールベースに照らして順次精査される。パケットが受容されることなく任意のルールを通過すれば、そのパケットは拒否される。接続が受容されれば、そのセッションは、メモリ内に位置づけられるファイアウォールのステートフル・インスペクション・テーブルへ入る。これに続くパケットは悉く、このステートフル・インスペクション・テーブルと比較される。そのセッションがテーブルに存在しかつそのパケットがそのセッションの一部であれば、パケットは受容される。パケットがセッションの一部でなければ、これはドロップされる。あらゆる単一のパケットがルールベースと比較されるわけではないことから、これによりシステム・パフォーマンスが向上される。
・パケット・フィルタ：パケットは悉くルールベースと比較され、１つまたは複数のマッチング・ルールを基礎として決定が下される。
【００２０】
高性能ファイアウォールのほとんどは、上述の技術を組合せたもの、または混合したものを提供する。周知の例は全て、それらが技術的にはルータであり、各ネットワーク・インタフェース上に異なるサブネットを保有する必要があることにおいて共通している。
【００２１】
ルータ対ブリッジ
ルータは、ネットワーク間でパケットを転送するデバイスである。ルータは、異なるネットワークを認識しかつそこへ到達する方法を認識している。これが、周知の全ての商用ファイアウォールによって現時点で使用されている技術である。これは、ファイアウォールの異なる側にあるホストは異なるネットワーク・アドレスを保有しなければならず、そうでなければトラフィックは絶対にそのファイアウォールで終了しないことを含意する。ネットワークの変更は、ダイアルイン・デバイス上で、及びＬＡＮ上でも必要とされる。
【００２２】
ブリッジは、データ・リンク層情報を基礎としてネットワーク・セグメント間でトラフィックを転送するデバイスである。これは、ＭＡＣアドレスを基礎として作動する。
【００２３】
本発明は、企業がそのダイアルイン・サーバの保護を希望するという現実的状況から発生した。このサーバは、従業員及び第三者には既にネットワーク接続性を供給している。新たな第三者企業はアクセスを必要としていたが、その企業が不確かなインターネット接続を有することは周知であった。
【００２４】
任意の種類の従来型ファイアウォールの実装は、ダイアルイン・サーバのアドレス指定スキームを再構成しかつリモート企業と変更を調整することを意味していたと思われる。
【００２５】
従って、既存のインフラを変更する必要のないセキュリティ・デバイスに対するニーズが存在する。
【００２６】
また、完全に透明なファイアウォールも必要とされている。本発明によるシステムは、ネットワークの論理部分ではないことからトレースルートには絶対に表れない。さらに本発明は、ファイアウォールにＩＰアドレスを割り当てることなく実装されることが可能である。これは、コンソール・アクセスでの設定を意味するが、結果的に得られるセキュリティ・デバイスにはアドレスがない。
【発明の開示】
【発明が解決しようとする課題】
【００２７】
内部ネットワークを出入りするパケット・フローを制御するためのネットワーク・セキュリティ・デバイスであって、上記デバイスは第１及び第２のネットワーク・カードとステートフル・インスペクション・ファイアウォールとを含み、パケットが流入する間に、上記第１のネットワーク・カードは各パケットを上記パケットが既存のセッションの一部であるかないかを決定する検査のために上記ファイアウォールへ転送し、
（ｉ）上記パケットが既存のセッションの一部であれば、これは上記第２のネットワーク・カードへかつ上記内部ネットワークへ転送され、
（ｉｉ）上記パケットが既存のセッションの一部でなければ、これは上記パケットが上記ネットワークへ受容可能であるか受容可能でないかを決定するルールセットと比較され、
（ａ）上記パケットが受容可能であれば、これは上記第２のネットワーク・カードへかつ上記内部ネットワークへ転送されかつ上記セッションは上記ステートフル・インスペクション・テーブルへ入れられ、
（ｂ）上記パケットが受容可能でなければ、これはドロップされて消失し、
パケットが流出する間に、アウトバウンド・パケットは上記第２のネットワーク・カードを通過し、ここでこれが既存のセッションの一部であるかないかを決定するために検査され、そうであればこれは上記デバイスを出るために上記第１のネットワーク・カードへ転送され、そうでなければこれは上記ルールセットと比較され、上記パケットが受容可能であればこれは上記デバイスを出るために上記第１のネットワーク・カードへ転送され、受容可能でなければこれはドロップされて消失する。
【発明を実施するための最良の形態】
【００２８】
本発明の実装には、例えば下記のものが必要である。
ハードウェア
最低２００Ｍｈｚのプロセッサ
最低６４ＭＢのＲＡＭ
容量６４ＭＢのソリッドステート・ハードドライブ１基
３×ネットワーク・カード１０／１００／１０００
電源を収容したケース及びシステム構成用入力デバイスを有するＬＣＤパネル
ビデオカードを使用しないことによる、デバッギング及び起動情報用シリアル・ポート
ソフトウェア
Ｌｉｎｕｘ  Ｋｅｒｎｅｌバージョン２．４．ｘ
Ａｐａｃｈｅウェブ・サーバ１．３．２２ｍｏｄ＿ｐｅｒｌ  ｍｏｄ＿ＳＳＬ
Ｐｅｒｌバージョン５．６．１
ＯｐｅｎＳＳＨ＋ＯｐｅｎＳＳＬ
ＧＮＵツール及びＳＹＳ  Ｖ  Ｌｉｎｕｘ  ＯＳの実行に必要なユーティリティ
ｍｏｄ＿ｐｅｒｌ、ＨＴＭＬ及びＣＳＳを使用するウェブ・インタフェース
【００２９】
インストールは、上述の「ハードウェア」セクションに列挙されたハードウェアを使用してコンピュータを生成することにより達成される。本発明は、ファイアウォール構成及びシステム監視を含む構成インタフェースを含む。
【００３０】
図１に、ファイアウォール構成をフローチャート形式で示す。インタフェース１０は、ルールセットを含む共通ゲートウェイ・インタフェース（５０）を介して操作されるプレーン・テキスト構成ファイル（２０）を使用する。構成ファイル２０は、ＨＴＭＬインタフェースを介してアクセスされるＰｅｒｌスクリプトによって操作され、次にＰｅｒｌスクリプトによってカーネル・ルール４０に翻訳される（３０）。
【００３１】
以下、好適な管理インタフェース及びファイアウォール構成ファイルについて説明する。
【００３２】
本システムは、
（ｉ）ユーザにＣＰＵ上のカレント負荷を知らせる負荷ステータスと、
（ｉｉ）ユーザにディスク・スペース利用のカレント・レベルを知らせるディスク・スペース・ステータスと、
（ｉｉｉ）ユーザにユーザがファイアウォール構成に加えた変更がファイアウォールに反映されているかどうかを知らせる構成ステータスと、を監視する。
【００３３】
本システムはまた、パケットが認可されたか拒否されたかを監視しかつログする。
【００３４】
図２に示すように、情報の内向きのフローは、ワールド７０からのパケット・フローを含む。各パケットは、第１のネットワーク・カード８０を通過する。パケットは次に、それが既存のセッションの一部であるかどうかを確認するために検査される（９０）。パケットは、既存のセッションの一部であれば（１００）受容され（１１０）、次に第２のネットワーク・カード１２０へ転送され、さらに内部ネットワーク（６０）へと転送される。
【００３５】
パケットが既存のセッションの一部でなければ（１３０）、これはルールセットと比較される。パケットが受容されれば（１１０）、これは次に第２のネットワーク・カード１２０へ転送され、さらに内部ネットワーク６０へと転送される。このセッションは次にステートフル・インスペクション・テーブルに入れられ、このセッションの一部であるパケットはどれも次に第２のネットワーク・カード１２０へ転送され、さらにネットワーク６０へと転送される。パケットが拒否される（１５０）か、そのセッションの一部でなければ、これはドロップされ（１６０）、つまりは消失する。ログは、パケットに発生したことを記録することができる。
【００３６】
図３に示すように、ネットワーク６０から外向きへのパケットは第２のネットワーク・カード１２０を通過する。パケットは次に、それが既存のセッションの一部であるかどうかを確認するために検査される（９０）。パケットは、既存のセッションの一部であれば（１００）受容され（１１０）、次に第１のネットワーク・カード８０へ転送され、さらにワールド７０へと転送される。
【００３７】
パケットが既存のセッションの一部でなければ、これは次にルールセットと比較される。パケットが受容されれば（１１０）、これは次に第１のネットワーク・カード８０へ転送され、さらにワールド７０へと転送される。このセッションは次にステートフル・インスペクション・テーブルに入れられ、このセッションの一部であるパケットはどれも次に第１のネットワーク・カード８０へ転送され、さらにワールド７０へと転送される。パケットが拒否されれば（１５０）、これはドロップされ（１６０）、つまりは消失する。ログは、パケットに発生したことを記録することができる。
【００３８】
下記のテーブルは、本発明の特徴を他の２つの市販製品と比較したものである。
2005532713.tif 000003
【００３９】
Ｆｉｒｅｗａｌｌ  Ｉ及びＲａｐｔｏｒは実行可能となる前にオペレーティング・システムを有する別々のコンピュータを必要とし、よって他の２種のファイアウォールとはかなり異なる。
【００４０】
本発明は、３つのネットワーク・カードを使用する。最初の２つのネットワーク・カード８０、１１０は、割り当てられたＩＰアドレスを保有しない。第３のネットワーク・カードは、ファイアウォールを構成するためにのみ使用されるダミー内部ＩＰアドレスを有する管理インタフェースである。これは、ファイアウォールのオペレーションには全く使用されず、よってＩＰアドレスを保有しない。
【００４１】
これは、本発明と市場における任意の周知ファイアウォールとの最大の相違である。本発明的解法は、ＩＰアドレスを使用しないことからネットワークの論理部分ではない。これは、本解法が検出され得ないこと、及び既存のインタフェースの接続を外してこれを間にプラグで接続するだけで実装され得ることを意味する。他のネットワーク再構成は、一切不要である。この点で、本発明は完全に独自的である。
【００４２】
Ｆｉｒｅｂｏｘ（商標）は、３つのネットワーク・カードを使用し、かつ３つの関連ＩＰアドレスを必要とする。これは、この製品のインストールのためにネットワークが再構成される必要のあることを意味する。
【００４３】
Ｆｉｒｅｗａｌｌ  Ｉ（商標）＆Ｒａｐｔｏｒ（商標）は、２つのネットワーク・カードを使用し、かつ２つの関連ＩＰアドレスを必要とする。これは、これらの製品のインストールのためにネットワークが再構成される必要のあることを意味する。
【００４４】
本発明はパケットをチェックし、次にこれをブリッジするが、これは完全に透明である。Ｆｉｒｅｂｏｘ（商標）はパケットをチェックし、これをルーティングする。
【００４５】
Fｉｒｅｗａｌｌ  Ｉ（商標）及びＲａｐｔｏｒ（商標）はパケットをチェックし、これをルーティングする。Ｒａｐｔｏｒ（商標）は要求をチェックし、これをプロキシする。
【００４６】
３種のファイアウォールは全て、パケットをチェックする。１つの重要な相違点は、本発明はパケットをルーティングではなくブリッジすることである。
【００４７】
図４に示すように、ルールセット９０は、グラフィック・ユーザ・インタフェース２００を介して編集されることが可能である。全てのルール２１０には、順番が与えられる。この順番は、いつでも変更されることが可能である。ルール２１０は、コンピュータにより一度に１つずつ順番にチェックされる。パケットが１つのルール２１０を満たせば、これはそのルールによって決定された通りにアクションされ２３０、満たさなければデフォルト・ルールへと進む。ルールセットは、パケット・ソース２２０と、宛先２４０と、関連サービス２５０と、ロギング要件等のオプション２６０とを考慮する。グラフィック・ボタンは、簡単なユーザ編集または削除を提供する２７０、２８０。
【００４８】
次に、好適な管理インタフェース及びファイアウォール構成ファイルについて説明する。
【００４９】
ＣＧＩインタフェースはｍｏｄ＿ｐｅｒｌを使用し、かつ２つのファイル・タイプ、即ちユーザがウェブブラウザにおいて何を見るかに対処する＊．ｃｇｉファイルと、ユーザ入力をチェックし、かつ構成ファイルを操作する関数を含む＊−ｌｉｂ．ｐｌファイルとを区別する。静的なｈｔｍｌファイル、画像及びカスケーディング・スタイルシートが存在し、動的なコンテンツ及びプレゼンテーション用のフレームワークとして使用される。
【００５０】
下記のファイルは、構成ファイルの操作に使用される。
／
−  ｆｂ−ｃｇｉｌｉｂ．ｐｌ（全スクリプトにより使用される汎用関数）
−  ｉｐｃａｌｃ−ｌｉｂ．ｐｌ（ｉｐ計算機ライブラリ）
−  ｉｐｃａｌｃ．ｃｇｉ（ｉｐ計算機プレゼンテーション）
＊ブリッジビュー（これは、読取り専用バージョンを含む）
−  ｖｗｇｒｏｕｐｓ．ｃｇｉ
−  ｖｗｎｅｔｏｂｊｅｃｔ．ｃｇｉ
−  ｖｗｒｕｌｅｓ．ｃｇｉ
−  ｖｗｓｅｒｖｉｃｅｓ．ｃｇｉ
＊ｆｗ
−  ｆｗｃｏｎｆ−ｌｉｂ．ｐｌ（ルールに従ってｉｐチェーン互換構成を書き込む）
−  ｆｗｃｏｎｆ．ｃｇｉ（構成を起動／ロールバックする）
−  ｇｒｏｕｐｓ−ｌｉｂ．ｐｌ（グループ・ファイルを操作する）
−  ｇｒｏｕｐｓ．ｃｇｉ（グループ・ファイルのプレゼンテーション）
−  ｎｅｔｏｂｊｅｃｔｓ−ｌｉｂ．ｐｌ（ネットワーク・オブジェクト・ファイルを操作する）
−  ｎｅｔｏｂｊｅｃｔｓ．ｃｇｉ（ネットワーク・オブジェクト・ファイルのプレゼンテーション）
−  ｒｕｌｅｓ−ｌｉｂ．ｐｌ（ルール・ファイルを操作する）
−  ｒｕｌｅｓ．ｃｇｉ（ルール・ファイルのプレゼンテーション）
−  ｓｅｒｖｉｃｅｓ−ｌｉｂ．ｐｌ（サービス・ファイルを操作する）
−  ｓｅｒｖｉｃｅｓ．ｃｇｉ（サービス・ファイルのプレゼンテーション）
＊ｌｏｇｖｗ
−  ｌｏｇｖｗ．ｃｇｉ（カレント・ログ・ファイルを見る）
＊オプション
−  ｆｂｇｃｏｎｆ−ｌｉｂ．ｐｌ（グローバル構成オプションを操作する）
−  ｆｂｇｃｏｎｆ．ｃｇｉ（グローバル構成オプションのプレゼンテーション）
＊ステータス
−  ｃｏｎｆｓｔａｔｕｓ．ｃｇｉ（カレント構成がアクティブと同一であるかどうかをチェックする）
−  ｌｏａｄｓｔａｔｕｓ．ｃｇｉ（ボックス・ロードをチェックする）
＊ウィザード
−  ｗｉｚａｒｄ．ｃｇｉ（ルール及び関連オブジェクトの漸次的生成）
【００５１】
ファイアブリッジは、下記の構成ファイルを使用する。
Ａｃｔｉｏｎｓ（ルールに関する可能アクション）
ｎｒ：ａｃｔｉｏｎ
ｆｂｇｃｆｇ（グローバル構成オプション）
ｏｐｔｉｏｎ＝ｖａｌｕｅ（真または偽）
ｆｂｒｕｌｅｓ（数字によるルール）
ｎｒ：ａｌｌｏｗ／ｄｅｎｙ：ｓｏｕｒｃｅ−ｎａｍｅ：ｄｅｓｔｉｎａｔｉｏｎ−ｎ  ａｍｅ：ｓｅｒｖｉｃｅ−ｎａｍｅ：ａｃｔｉｏｎ−ｎｒ：ｃｏｍｍｅｎｔ（ソース／宛先／サービスはグループ名であることに注意）
ｇｒｏｕｐｓ（グループ）
ｎａｍｅ：ｔｙｐｅ：ｍｅｍｂｅｒ−ｎａｍｅ，ｍｅｍｂｅｒ−ｎａｍｅ，ｍｅｍｂｅｒ−ｎａｍｅ：ｃｏｍｍｅｎｔ
ｎｅｔｏｂｊｅｃｔｓ（ネットワーク・エンティティ）
ｎａｍｅ：ａｄｄｒｅｓｓ／ｍａｓｋ
ｐｒｏｔｏｃｏｌｓ（数字によるｉｐプロトコル）
ｎｒ：ｎａｍｅ：ｃｏｍｍｅｎｔ
ｎａｍｅ：ｄｅｓｃｒｉｐｔｉｏｎ：ｐｒｏｔｏｃｏｌ−ｎｒ：ｓｏｕｒｃｅ−ｐｏｒｔ：ｄｅｓｔｉｎａｔｉｏｎ−ｐｏｒｔ（ポートはダッシュで分離されたレンジであることが可能である。例：１０２４−６５５３５）
【００５２】
ファイアブリッジは、その構成に下記のディレクトリを使用する。
／ｕｓｒ／ｌｏｃａｌ／ｆｉｒｅｂｒｉｄｇｅ／ｆｗｃｏｎｆｉｇ／ａｃｔｉｖｅ
／ｕｓｒ／ｌｏｃａｌ／ｆｉｒｅｂｒｉｄｇｅ／ｆｗｃｏｎｆｉｇ／ｃｏｎｆｉｇ
【００５３】
システムは、ブートされると、物理的に／ｖａｒ  ｒａｍドライブ上で活動する．／ａｃｔｉｖｅから．／ｃｏｎｆｉｇまでのファイルを書き込む（上記名称へのシンボリック・リンク）。ユーザがファイアウォールに変更を加えると、これらが．／ｃｏｎｆｉｇディレクトリに記録される。ユーザは、全ての変更に満足すると、管理インタフェース内のａｃｔｉｖａｔｅ  ｃｏｎｆｉｇを選択する。
【００５４】
次にシステムは、．／ｃｏｎｆｉｇから全ファイルを取り出して．／ａｃｔｉｖｅ内のファイルに上書きする。次にこれはｉｐチェーン互換出力の生成を開始し、所望に応じてグループを複数のルールに翻訳する。全てのルールが首尾良く書き込まれると、これらはｉｐチェーンにおいて起動される。
【００５５】
或いは、ユーザはロールバックを選択することも可能であり、これが選択されるとシステムは．／ａｃｔｉｖｅからファイルを取り出して．／ｃｏｎｆｉｇに上書きする。
【図面の簡単な説明】
【００５６】
【図１】本発明のシステムが構成される方法を示すフローチャートである。
【図２】ネットワーク・トラフィックが本発明のシステムを介して内部ネットワークへ入る方法を示すフローチャートである。
【図３】内部ネットワーク・トラフィックが本発明のシステムを通過して外界へ入る方法を示すフローチャートである。
【図４】ユーザにパケット濾波ルールセットに対する編集制御を供給するグラフィック・ユーザ・インタフェースを示したものである。
【図１】
2005532713.tif 000004
【図２】
2005532713.tif 000005
【図３】
2005532713.tif 000006
【図４】
2005532713.tif 000007
【手続補正書】
【提出日】平成16年7月20日(2004.7.20)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
データ・リンク層経由で内部ネットワークに出入りするパケット・フローを制御するためのステートフル・インスペクション・ブリッジ・ネットワーク・セキュリティ・デバイスであって、上記デバイスは第１及び第２のネットワーク・カードとステートフル・インスペクション・ファイアウォールとを含み、パケットが流入する間に、上記第１のネットワーク・カードは各パケットを上記パケットが既存のセッションの一部であるかないかを決定する検査のために上記ファイアウォールへ転送し、
（ｉ）上記パケットが既存のセッションの一部であれば、これはデータ・リンク層経由で上記第２のネットワーク・カードへかつ上記内部ネットワーク上へ転送され、
（ｉｉ）上記パケットが既存のセッションの一部でなければ、これは上記パケットが上記ネットワークへ受容可能であるか受容可能でないかを決定するルールセットと比較され、
（ａ）上記パケットが受容可能であれば、これはデータ・リンク層経由で上記第２のネットワーク・カードへかつ上記内部ネットワークへ転送されかつ上記セッションは上記ステートフル・インスペクション・テーブルへ入れられ、
（ｂ）上記パケットが受容可能でなければ、これはドロップされて消失し、
且つパケットが流出する間に、アウトバウンド・パケットは上記第２のネットワーク・カードを通過し、ここでこれが既存のセッションの一部であるかないかを決定するために検査され、そうであればこれは上記デバイスを出るために上記第１のネットワーク・カードへ転送され、そうでなければこれは上記ルールセットと比較され、上記パケットが受容可能であればこれは上記デバイスを出るためにデータ・リンク層経由で上記第１のネットワーク・カードへ転送され、受容可能でなければこれはドロップされて消失するネットワーク・セキュリティ・デバイス。
【請求項２】
上記第１及び第２のネットワーク・カードは公的にルーティングされるＩＰアドレスを保有しない請求項１記載のデバイス。
【請求項３】
上記ファイアウォールを構成するために使用される公的にルーティングされないプライベートＩＰアドレスを有する管理インタフェースである第３のネットワーク・カードをさらに含む請求項１記載のデバイス。
【請求項４】
上記デバイスが、ルータとハブまたはサーバ・マシンとの間に位置決めされるように適合化される請求項１記載のデバイス。
【請求項５】
上記デバイスが、実装するための別個のコンピュータを必要としない請求項１記載のデバイス。
【請求項６】
上記デバイスが、ＨＴＭＬインタフェースから構成可能である請求項１記載のデバイス。
【請求項７】
上記デバイスが、上記デバイスを供給されるＨＴＭＬインタフェースによって構成される請求項１記載のデバイス。
【請求項８】
負荷ステータスを供給しかつユーザにＣＰＵ上のカレント負荷が何であるかのグラフィック通知を供給するための負荷モニタをさらに備える請求項１記載のデバイス。
【請求項９】
ユーザが上記ファイアウォール構成に加えた変更が上記ファイアウォールに反映されているかどうかのグラフィック通知をユーザに供給する構成ステータス・モニタをさらに備える請求項１記載のデバイス。
【請求項１０】
パケットが認可されたか拒否されたかのグラフィック表示を供給するモニタ及びログをさらに備える請求項１記載のデバイス。
【請求項１１】
追加のソフトウェアを何らインストールすることなく、ＨＴＭＬブラウザを有し、上記デバイスがネットワークされる任意のコンピュータから構成されることが可能であるように構成用のＨＴＭＬインタフェースをさらに備える請求項１記載のデバイス。
【請求項１２】
上記第１及び第２のネットワーク・カードがこれらに割り当てられるＩＰアドレスを保有しない、または必要としない請求項１記載のデバイス。
【国際調査報告】
2005532713.tif 000008
2005532713.tif 000009
2005532713.tif 000010