(57)【要約】【課題】コンテンツ配信システムを構築するに際し、低コストで安全性の高いネットワークセキュリティシステムを提供する。【解決手段】クライアント側ＩＮＳ−Ｐ専用端末１０からＩＳＤＮ回線のＤチャネルを介してサーバ側ＩＮＳ−Ｐ専用端末２０にポート制御情報を送信する。サーバ側ＩＮＳ−Ｐ専用端末２０はポート制御情報に応じてサーバ３０（またはルータ４０）の所定のポートを開閉し、クライアント端末５０からのアクセスに応じてコンテンツの配信を行うサーバ３０のアクセス制御を行う。【選択図】図１
2011086197.tif 000002
【特許請求の範囲】
【請求項１】
インターネットを介してサーバと接続したクライアントが、前記サーバに対してリクエストを送り、前記サーバはリクエストに応じてコンテンツデータを当該クライアントに配信するコンテンツ配信システムにおいて、
前記サーバとプライベートネットワークを介して接続されるポート制御端末と、
該ポート制御端末と前記プライベートネットワークとは異なる通信回線とで接続されるポート開閉指示端末と、を備え、
前記ポート開閉指示端末からポート制御情報が送信され、前記ポート制御端末がポート制御情報を受信した場合、前記ポート制御端末は前記サーバにポート開放指示またはポート閉鎖指示を行い、前記サーバはポート開放指示またはポート閉鎖指示を受けて、所定のポートの開閉を行うことを特徴とするネットワークセキュリティシステム。
【請求項２】
前記ポート開閉指示端末及び前記ポート制御端末はＩＮＳ−Ｐ専用受発信端末であり、前記ポート制御情報はＩＳＤＮ回線のＤチャネルを介して送信されることを特徴とする請求項１記載のネットワークセキュリティシステム。
【請求項３】
前記ポート開閉指示端末は携帯電話であり、前記ポート制御端末は携帯電話専用ルータであることを特徴とする請求項１記載のネットワークセキュリティシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、動画のストリーミング配信や、ストレージに記憶したデータの配信などに代表されるネットワーク配信の際に用いることで、外部からアクセスされる装置やプライベートネットワークのセキュリティを向上させることが可能なネットワークセキュリティシステムに関する。
【背景技術】
【０００２】
近年、動画配信やデータ供給のためにインターネットを介したコンテンツ配信事業は、ネットワークの高速化やＰＣ（パーソナルコンピュータ）の高性能化に伴い、著しい成長を遂げている。また、この流れはエンドユーザによるコンテンツ配信を可能にし、現在では自宅のＰＣから動画等のコンテンツを配信するといったケースも存在し、その環境の構築も年々容易となり、誰でも簡単にコンテンツの配信を行うことができるようになっている。
【０００３】
コンテンツ配信を行うということは、多数のクライアントにプライベートネットワークへのアクセスを許可するということであり、即ち不正アクセスの可能性が少なからず生じてしまう。これを防止するためにファイアウォール、またはファイアウォール機能を有するルータ等が用いられることが多い。ファイアウォールにより不要なポート（ネットワークの入出力インタフェース）を閉じ、必要最低限のポートを開放することで、不用意に開放されたポートからの不正アクセスを防止することができる。
【０００４】
近年では、パーソナルファイアウォールという、ＰＣ自体にファイアウォール機能を実装するものも存在し、これによりエンドユーザのネットワーク環境においてもセキュリティは著しく向上することが可能である。例えば特許文献１では第一のポートを介して通信を行い、第二のポートの開閉制御を行い、第二のポートを介してサービスを行うシステムが開示されている。即ち、ネットワーク上のサービスを受ける際、サービスサーバから制御サーバの第一のポートに向けて、第二のポートの開放をするための信号を送信し、これを受けた制御サーバは第二のポートを開放してサービスを稼動可能な状況とさせる。サービスの提供を終えたら第二のポートは直ちに自動的に閉じることで、ポート開閉制御のリアルタイム性を実現し、不要時にポートを開放することがなく、不正アクセスを防止することができるとしている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２００７−０７２８５６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１の方法では、制御サーバの第二のポートからの不正アクセスを防止することは可能であっても、サービスサーバ、制御サーバの第一のポートは常に開放しており、更にこれらは一般的に用いられるＩＰネットワーク上に開放されるポートであるため、当該ポートからの不正アクセスを防止する手段は別途講じる必要がある。
【０００７】
また、従来用いられているコンテンツ配信を行うためのネットワーク環境では、使用しているオペレーティングシステムやファイアウォールなどの脆弱性を突かれることでセキュリティを無効化され、不正アクセスされる虞が常に生じている。更に、開放を設定したポートは常に開放し続けるため、長時間不正アクセスの危険に晒され続けるため、不正アクセスを行う者に様々な操作を行う時間を与えることとなり、被害を拡大する虞もある。
【０００８】
本発明は上記課題を鑑みてなされたものであり、ポートの開放制御を遠隔操作をＩＰネットワーク以外によって実現し、また不要な場合はポートを閉鎖するリアルタイム性を実現し、更にそのような環境を安価で実現可能なネットワークセキュリティシステムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
請求項１記載のネットワークセキュリティシステムは、インターネットを介してサーバと接続したクライアントが、前記サーバに対してリクエストを送り、前記サーバはリクエストに応じてコンテンツデータを当該クライアントに配信するコンテンツ配信システムにおいて、
前記サーバとプライベートネットワークを介して接続されるポート制御端末と、
該ポート制御端末と前記プライベートネットワークとは異なる通信回線とで接続されるポート開閉指示端末と、を備え、
前記ポート開閉指示端末からポート制御情報が送信され、前記ポート制御端末がポート制御情報を受信した場合、前記ポート制御端末は前記サーバにポート開放指示またはポート閉鎖指示を行い、前記サーバはポート開放指示またはポート閉鎖指示を受けて、所定のポートの開閉を行うことを特徴とする。
【００１０】
上記構成のネットワークセキュリティシステムによれば、インターネットを介したプライベートネットワークへの進入経路となるサーバまたはファイアウォールの通信ポートを、別の通信回線を介して接続されるポート制御端末によって開閉を行うことができる。更にポート制御端末はポート開閉指示端末から送信されるポート制御情報に基づいてポート開閉を行うため、ポートの開閉を遠隔地にて行うことができる。
【００１１】
請求項２記載のネットワークセキュリティシステムは、請求項１記載のネットワークセキュリティシステムにおいて、前記ポート開閉指示端末及び前記ポート制御端末はＩＮＳ−Ｐ専用受発信端末であり、前記ポート制御情報はＩＳＤＮ回線のＤチャネルを介して送信されることを特徴とする。
【００１２】
上記構成のネットワークセキュリティシステムによれば、ポート開閉指示端末及びポート制御端末を、ＩＳＤＮ回線を介して接続するＩＮＳ−Ｐ端末を用いることで、インターネット及びプライベートネットワーク、即ちＩＰネットワークに接続せずにポート開放制御を行うことができる。
【００１３】
請求項３記載のネットワークセキュリティシステムは、請求項２記載のコンテンツ配信一ステムのセキュリティシステムにおいて、前記ポート開閉指示端末は携帯電話であり、前記ポート制御端末は携帯電話専用ルータであることを特徴とする。
【００１４】
上記構成のネットワークセキュリティシステムによれば、ポート開閉指示端末を携帯電話、ポート制御端末を携帯電話専用ルータとすることで、ＩＰネットワークに接続せずにポート開放制御を行うことができる。
【発明の効果】
【００１５】
本発明の請求項１記載のネットワークセキュリティシステムによれば、サーバまたはファイアウォールの通信ポートの開閉を行うポート制御端末をコンテンツ配信システムの内部に設置し、対応するポート開閉指示端末を外部に設置さし、インターネット及びプライベートネットワークからなるＩＰネットワークを介さずにポート開閉指示端末からポート制御情報をポート制御端末へ送信してポートの開閉を行うことができるので、ポートの開放及び閉鎖をコンテンツ配信システムが設置される場所とは別の、遠隔地から行うことができる。また、インターネットを介すことがないため、コンテンツ配信のためのポート以外に専用のポートを開放することがないため、セキュリティの向上を図ることができる。
【００１６】
本発明の請求項２記載のネットワークセキュリティシステムによれば、請求項１記載のネットワークセキュリティシステムにおいて、ＩＮＳ−Ｐ端末を用いることで、接続可能なＩＮＳ−Ｐ端末を予め許可することができ、状況に応じたポートの開閉が可能となり第三者による不正アクセスを未然に防止することができる。また、通信を、Ｄチャネルを介して行うため、通信コストを低減させることができる。
【００１７】
本発明の請求項３記載のネットワークセキュリティシステムによれば、請求項１記載のコンテンツ配信システムにおいて、ポート開閉指示端末を携帯電話、ポート制御端末を携帯電話専用ルータとしたので、携帯電話専用ルータに携帯電話の番号を登録することで、特定の携帯電話からのみポート制御情報を受信することができ、ポートの開閉を行うことができるため、状況に応じたポートの開閉が可能となり第三者による不正アクセスを防止することができる。
【図面の簡単な説明】
【００１８】
【図１】本発明の実施例１における、ネットワークセキュリティシステムの構成を示す説明図である。
【図２】同上、ネットワークセキュリティシステムの動作を示すシーケンス図である。
【図３】本発明の実施例２における、ネットワークセキュリティシステムの構成を示す説明図である。
【発明を実施するための形態】
【００１９】
以下、本発明を実施するための最良の形態としての実施例を図１から図３を参照して説明する。もちろん、本発明は、その発明の趣旨に反さない範囲で、実施例において説明した以外のものに対しても容易に適用可能なことは説明を要するまでもない。
【実施例１】
【００２０】
図１及び図２は、本発明の一実施例を示し、図１は、本実施例におけるネットワークセキュリティシステムの構成の概略を示す説明図である。図２は各装置の動作を説明するシーケンス図である。
【００２１】
本実施例のコンテンツ配信システムの構成について、図１に基づいて説明する。図１はコンテンツ配信システム及びそのセキュリティを向上させるためのセキュリティシステムを示している。１は後述のサーバやその他ネットワーク機器を包含するホームネットワークである。１０及び２０はＩＮＳ−Ｐ制御端末であり、双方はＩＳＤＮ公衆網を介して通信可能に接続している。３０はコンテンツの配信を行うサーバである。４０はホームネットワーク１とインターネットを接続するルータである。５０はインターネット等を介してサーバ３０と接続しコンテンツのダウンロード等を行うクライアント端末である。６０はホームネットワーク1内に設置され、各装置を相互に通信可能に接続するためのスウィッチングハブ（ＳＷハブ）である。７０はコンテンツの１種である動画を撮影しＳＷハブ６０を介してサーバ３０へ該動画を送信するネットワークカメラである。サーバ４０、ルータ４０、ＳＷハブ６０、ネットワークカメラ７０は、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）環境として構築されており、ＬＡＮケーブル等通信可能なケーブルにて接続される。
【００２２】
サーバ３０は常時ネットワークカメラ７０の動画を配信可能な状態、例えばストリーミングによる配信可能な序通対を維持しており、クライアント端末５０を有するユーザがネットワークカメラ７０によって撮影された動画の視聴を所望する場合、サーバ３０はクライアント端末５０からのリクエストを受けた後、サーバ３０はネットワークカメラ７０によって撮影された動画をストリーミングによってクライアント端末５０に送信する。その際、動画の閲覧の際、所定のポート、例えばサーバ３０またはルータ４０の８０や８０８０等のポートを開放し、当該ポートを介したクライアント端末５０によるサーバ３０へのアクセスを許可しなくてはならない。
【００２３】
ポートの開放はセキュリティの観点からは必要最低限に留めるべきであるが、特定または不特定多数のクライアント端末へのコンテンツ配信を行うにはポートの開放を行うことは必須の要件である。本実施例におけるネットワークセキュリティシステムはポート開放を任意のタイミングで行うと共に、その動作を遠隔地において行うことを可能とするものである。
【００２４】
本実施例におけるネットワークセキュリティシステムの各装置の動作について、図２に基づいて説明する。以下、サーバ３０の通信ポートの制御を行うものとして説明する。ネットワークカメラ７０は常にサーバ３０に向けて撮影した動画データを送信し続ける（Ｓ２０１）。クライアント側のＩＮＳ−Ｐ専用端末１０からサーバ側のＩＮＳ−Ｐ専用端末２０に向けてポート開放の指示を重畳したＡＣＫ信号（ポート制御情報）をＩＳＤＮ回線のＤチャネルを介して送信する。（Ｓ２０２）。以降、ＩＮＳ−Ｐ端末同士の通信は全てＩＳＤＮ回線のＤチャネルを介して行われる。サーバ側ＩＮＳ−Ｐ専用端末２０は、クライアント側ＩＮＳ−Ｐ専用端末１０に向けて、当該ポート制御情報の受信が完了したことを示すＮＡＣＫ信号を送出する（Ｓ２０３）。ポート開放指示を重畳したＡＣＫ信号を受信したサーバ側ＩＮＳ−Ｐ専用端末２０は、ＳＷハブ６０を介してサーバ３０にポートの開放を行う旨の信号を送信する（Ｓ２０４）。サーバ３０は指定されたポートの開放を行い、ポート開放完了を示す信号をサーバ側ＩＮＳ−Ｐ専用端末２０に送信する（Ｓ２０５）。ポート開放が完了したサーバ３０は、インターネット（ＷＡＮ：Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）からルータ４０を介してサーバ３０にアクセスすることができ（Ｓ２０６）、ネットワークカメラ７０にて撮影された動画をストリーミングデータとして取得することが可能となる。（Ｓ２０７）。
【００２５】
その後、任意のタイミング、例えば動画配信の停止を行いたいという場合、クライアント側ＩＮＳ−Ｐ専用端末１０からサーバ側のＩＮＳ−Ｐ専用端末２０に向けてポート閉鎖の指示するためのＡＣＫ信号を送信する。（Ｓ２０８）。サーバ側ＩＮＳ−Ｐ専用端末２０は、クライアント側ＩＮＳ−Ｐ専用端末１０に向けて、当該信号の受信が完了したことを示すＮＡＣＫ信号を送出する（Ｓ２０９）。ポート閉鎖指示を重畳したＡＣＫ信号を受信したサーバ側ＩＮＳ−Ｐ専用端末２０は、ＳＷハブ６０を介してサーバ３０にポートの閉鎖を行う旨の信号を送信する（Ｓ２１０）。サーバ３０は指定されたポートを閉鎖し、ポート閉鎖が完了した旨を示す信号をサーバ側ＩＮＳ−Ｐ専用端末２０に送信する（Ｓ２１１）。ポートが閉鎖されたサーバ３０は、その時点でクライアント５０からのアクセスを拒否し、動画の配信を停止する（Ｓ２１２）。
【００２６】
以上のような動作を行いネットワークセキュリティシステムによれば、インターネット及びホームネットワーク１内のＬＡＮ等、所謂ＩＰネットワークとは異なる回線であるＩＳＤＮ回線によってポートの開閉制御を行うため、不要なポートを開放することなくポートの制御を行うことができるので、事前に全てのポートが閉鎖した状態であってもユーザが任意のタイミングでポートの制御を行うことができるので、必要なら開放、不要なら閉鎖といったきめ細かい運用が可能となり、セキュリティの向上を図ることができる。また、ＩＮＳ−Ｐ制御端末同士は、その通信にあたり対象となる端末を一意に設定することができ、第三者の端末のアクセスを拒絶することが可能であるため、更に強固なセキュリティ性を得ることができる。加えてＩＳＤＮ回線のＤチャネルを介してポート制御情報のやり取りを行うため、通信にかかるコストが発生せずに運用コストの低減が見込める。
【実施例２】
【００２７】
図３は本発明の実施例２を示したものであり、前記実施例１と同一部分には同一符号を付し、その詳細な説明を省略する。実施例２では実施例１におけるクライアント側ＩＮＳ−Ｐ専用端末１０及びサーバ側ＩＮＳ−Ｐ専用端末２０を、それぞれ携帯電話１１及び携帯電話専用ルータ２１に置き換えたものである。携帯電話専用ルータ２１には予め携帯電話１１の電話番号を登録しておく。登録済みの携帯電話１１からの着信を受けることで、携帯電話専用ルータはサーバ３０（またはルータ４０）の所定のポートの開閉を行う。例えば、ポートが閉鎖しており、コンテンツの配信が不可能な状態において、携帯電話１１からの着信を受け、携帯電話専用ルータ２１はサーバ３０の所定のポートの開閉状態を検出し、開放している場合は閉鎖を、閉鎖している場合は開放を行う。即ち前述の実施例１において、Ｄチャネルを介して行うＡＣＫ信号をポート制御情報としたのに対して、本実施例は携帯電話１１の着信情報がポート制御情報となる。
【００２８】
この構成によって前述のＩＮＳ−Ｐ専用端末によって構築する場合と比較し、ポート制御情報の送受信に通信料が発生し、運用コストが増加してしまうが、容易に持ち運びが可能な携帯電話をポート開閉指示端末とすることができるので、携帯電話の電波が届く箇所であれば何処の場所であってもコンテンツの配信開始、停止の制御をリアルタイムで行うことができ、利便性は格段に向上する。
【００２９】
以上、本発明の実施例について二種、詳述したが、本発明は、前記実施例１及び実施例２に限定されるものではなく、本発明の要旨の範囲内で種々の変形実施が可能である。例えばコンテンツとしてネットワークカメラ７０によって撮影された動画をストリーミング配信するとしたが、これに限定せずにサーバ３０が備えるＨＤＤやその他のＬＡＮに接続されたストレージ等に記憶されるデータファイル等、配信を所望するデータを適宜選択することが可能である。また、ポート制御端末たるサーバ側ＩＮＳ−Ｐ制御端末２０または携帯電話専用ルータ２１がサーバ３０のポート制御を行うとしたが、これに限定せず、ファイアウォール機能を有するルータ４０を用いる場合は、ルータ４０のポートの開閉を制御するよう構成し、またサーバ３０及びルータ４０双方のポート制御が必要な場合は、双方のポート制御を行うようポート制御端末を構成すれば良い。
【符号の説明】
【００３０】
１    ホームネットワーク
１０  クライアント側ＩＮＳ−Ｐ専用端末（ポート開閉指示端末）
１１  携帯電話（ポート開閉指示端末）
２０  サーバ側ＩＮＳ−Ｐ専用端末（ポート制御端末）
２１  携帯電話専用ルータ（ポート制御端末）
３０  サーバ
４０  ルータ
５０  クライアント端末
７０  ネットワークカメラ
【図１】
2011086197.tif 000003
【図２】
2011086197.tif 000004
【図３】
2011086197.tif 000005