(57)【要約】【課題】ネットワークシステムに属する情報装置の何れかから他の情報装置への不正な通信であっても、その不正な通信への制限ができるようにし、かつ、通信による負荷を集中させないようにする。【解決手段】端末１５のそれぞれに対して、その端末１５の１台に対して１台の端末用ファイヤウォール１４が、端末１５とスイッチ１３との間でやりとりされる送受信パケットを全て経由させるよう、その端末１５の直近に接続されている。不正な通信Ａが発せられたとしても、端末用ファイヤウォール１４ａが端末１５ａからの不正な通信Ａの送出を禁止すると共に、端末用ファイヤウォール１４ｂが端末１５ｂによる不正な通信Ａの受信を禁止する。この通信Ａが不正な通信であるか否かの判別は、端末用ファイヤウォール１４の設定により、端末１５による送受信で通過するパケット（送受信パケット）の内容を用いて行われる。【選択図】        図２
2004207783.tif 000002
【特許請求の範囲】
【請求項１】
外部のネットワークに接続されたネットワークシステムであって、
複数の情報装置と、
情報装置を前記外部のネットワークに接続させるルータと、
１つのルータにより複数の情報装置それぞれを前記外部のネットワークに接続させることができるよう該複数の情報装置を該１つのルータに接続させるスイッチ手段と、
情報装置それぞれについて、当該情報装置における予め許可された通信以外の通信を当該情報装置から前記スイッチ手段への送受信パケットの内容を用いて制限する制限手段と、を備えたことを特徴とするネットワークシステム。
【請求項２】
前記制限手段による前記送受信パケットの内容を用いた制限は、接続された情報装置による通信の通信手順を認識して該通信が通常の通信手順でない場合に許可しない方法を含むことを特徴とする請求項１記載のネットワークシステム。
【請求項３】
前記制限手段は、各情報装置に対して、情報装置と、当該情報装置をルータに接続させる前記スイッチ手段との間に配設されて、当該スイッチ手段と当該情報装置との間でやりとりされる送受信パケットの全てを経由させることを特徴とする請求項１または２記載のネットワークシステム。
【請求項４】
前記情報装置は、サーバと端末装置とを含み、
前記制限手段は、前記サーバを前記スイッチ手段に接続させるサーバ用制限手段と、前記端末装置を前記スイッチ手段に接続させる端末用制限手段とを含み、
前記サーバ用制限手段は、前記スイッチ手段に接続させるサーバが前記端末装置にサービスを提供可能であるように前記端末用制限手段とは異なる設定を備えたことを特徴とする請求項１から３の何れか１項に記載のネットワークシステム。
【請求項５】
前記情報装置は、前記制限手段それぞれの設定を集中的に管理する設定管理装置を含み、
前記制限手段は、前記設定管理装置を前記スイッチ手段に接続させる設定管理用制限手段を含むことを特徴とする請求項１から４の何れか１項に記載のネットワークシステム。
【請求項６】
外部のネットワークに接続され、複数の情報装置と、情報装置を前記外部のネットワークに接続させるルータと、１つのルータにより複数の情報装置それぞれを前記外部のネットワークに接続させることができるよう該複数の情報装置を該１つのルータに接続させるスイッチ手段と、を備えたネットワークシステムにおけるアクセス制限方法であって、
情報装置それぞれと前記スイッチ手段との間に各情報装置に対して配設された制限手段が、当該制限手段が接続された情報装置による送受信パケットを受ける受信工程と、
該送受信パケットが予め許可された通信によるものか否かを該送受信パケットの内容を用いて判別する判別工程と、
前記判別工程により該送受信パケットが予め許可された通信によるものでないと判定された場合、当該送受信パケットの通過を拒否する通信制限工程と、を備えたことを特徴とするアクセス制限方法。
【請求項７】
前記制限手段それぞれの設定を集中的に管理する設定管理手段が、制限手段の設定を変更する設定管理工程を備えたことを特徴とする請求項６記載のアクセス制限方法。
【請求項８】
外部のネットワークに接続され、複数の情報装置と、情報装置を前記外部のネットワークに接続させるルータと、１つのルータにより複数の情報装置それぞれを前記外部のネットワークに接続させることができるよう該複数の情報装置を該１つのルータに接続させるスイッチ手段と、を備えたネットワークシステムにおけるアクセス制限プログラムであって、
情報装置それぞれと前記スイッチ手段との間に各情報装置に対して配設された制限手段に、
当該制限手段が接続された情報装置による送受信パケットを受ける受信処理と、
該送受信パケットが予め許可された通信によるものか否かを該送受信パケットの内容を用いて判別する判別処理と、
前記判別処理により該送受信パケットが予め許可された通信によるものでないと判定された場合、当該送受信パケットの通過を拒否する通信制限処理と、を実行させることを特徴とするアクセス制限プログラム。
【請求項９】
前記制限手段それぞれの設定を集中的に管理する設定管理手段に、制限手段の設定を変更する設定管理処理を実行させることを特徴とする請求項８記載のアクセス制限プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、ネットワークの各端末における通信に何らかの制限を加えることによりセキュリティの向上を図るネットワークシステム、アクセス制限方法、及びアクセス制限プログラムに関する。
【０００２】
【従来の技術】
従来より、複数の端末間の通信に、ＬＡＮなどのネットワークが用いられると共に、そのネットワークシステムを外部ネットワークに接続することにより、そのネットワークシステムに属する情報装置（端末など）から外部ネットワークに接続可能としたものがある。
【０００３】
この従来のＬＡＮ（ネットワークシステム）の一般的な構成を、図５を参照して説明する。従来のネットワークシステム５は、図５に示すように、ルータ５１と、ファイヤウォール（Fire Wall ）５２と、スイッチ５３と、端末５４（５４ａ，５４ｂ）と、サーバ５５とを備えてなる。
【０００４】
ルータ５１は、外部ネットワークと内部ネットワーク（ネットワークシステム）とをつないでいる。
ファイヤウォール５２は、外部ネットワークからの不正な通信を遮断し、内部ネットワークを保護している。
スイッチ５３は、内部ネットワークの端末やサーバをつないでいる。
端末５４（５４ａ，５４ｂ）は、ユーザが作業などを行うもので、サーバ５５は端末５４に各種サービスを提供している。
【０００５】
従来のネットワークシステムでは、上述のように、外部のネットワークと内部のネットワークとの境界にファイヤウォールを配設することにより、外部のネットワークと内部のネットワークを分け、外部のネットワークからの不正な通信から内部のネットワークを保護しようとしていた。
【０００６】
また、特開２００１−３６５６１号公報（特許文献１）に開示された「ＴＣＰ／ＩＰネットワークシステム」は、複数のポートを備えるハブと、ルータと、端末機と、サーバとを備え、このサーバが、ネットワーク利用者の認証を行う認証サーバを備えており、ハブが、その認証サーバの認証により認可されたＩＰアドレスを有する端末機から送信されるパケットのみをルータに渡すものである。
【０００７】
また、本出願人により先に出願されている特開２００１−３２６６９６号公報（特許文献２）の「アクセス制御方法」は、サーバと、クライアント端末と、ルータとを備えたネットワークにおけるサーバへのアクセスを制限する方法として、ルータがクライアント端末のＩＰアドレスを基準に、そのルータを通過しようとするパケットの良否を判断するものである。
【０００８】
【特許文献１】
特開２００１−３６５６１号公報
【特許文献２】
特開２００１−３２６６９６号公報
【０００９】
【発明が解決しようとする課題】
しかしながら、従来のネットワークシステムでは、次のような課題があった。
第１の課題は、ファイヤウォール５２が外部ネットワークからの不正な通信を対象にしているため、ネットワークシステム５に属する情報装置の何れかから他の情報装置への不正な通信には対処できないということである。
第２の課題は、ファイヤウォールに各端末の通信が集まるため負荷が集中し、ネットワークの通信性能を落とす原因になってしまうということである。
【００１０】
また、上述した特許文献１のものは、ファイヤウォールが、端末の持つＩＰアドレスをパケットの判断基準としてセキュリティを向上させる好適なものであるが、パケットの内容まで判断の基準に用いうるものではない。このため、認証済みのＩＰアドレスを持つ端末機同士の通信については制限を加えることがないものであった。
また、上記のパケットの判断をルータが行うものであるため、そのルータに通信の負荷が集中してしまうものであった。
【００１１】
また、上述した特許文献２のものは、ＩＰアドレスを基準にパケットの良否を判断してセキュリティを向上させる好適なものであるが、パケットの内容まで判断の基準に用いうるものではないため、上述した特許文献１と同様に、認証済みのＩＰアドレスを持つ端末機同士の通信については制限を加えることがないものであった。
また、上記のパケットの判断をルータが行うものであるため、そのルータに通信の負荷が集中してしまうものであった。
【００１２】
本発明はこのような状況に鑑みてなされたもので、以下の目的を有する。
第１の目的は、ネットワークシステムに属する情報装置の何れかから他の情報装置への不正な通信など、認証済みの端末機同士の通信に対しても、その不正な通信への制限を可能とするネットワークシステム、アクセス制限方法、及びアクセス制限プログラムを提供することである。
【００１３】
第２の目的は、上記の不正な通信への制限を、各端末の通信による負荷を集中させてネットワークの通信性能を落としてしまうことなく実現できるネットワークシステム、アクセス制限方法、及びアクセス制限プログラムを提供することである。
【００１４】
【課題を解決するための手段】
上記課題を解決するために、本発明は以下の特徴を有する。
請求項１記載の発明は、外部のネットワークに接続されたネットワークシステムであって、複数の情報装置と、情報装置を外部のネットワークに接続させるルータと、１つのルータにより複数の情報装置それぞれを外部のネットワークに接続させることができるよう該複数の情報装置を該１つのルータに接続させるスイッチ手段と、情報装置それぞれについて、当該情報装置における予め許可された通信以外の通信を当該情報装置からスイッチ手段への送受信パケットの内容を用いて制限する制限手段と、を備えたことを特徴とする。
【００１５】
請求項２記載の発明は、上記した制限手段による送受信パケットの内容を用いた制限が、接続された情報装置による通信の通信手順を認識して該通信が通常の通信手順でない場合に許可しない方法を含むことを特徴とする。
【００１６】
請求項３記載の発明は、上記した制限手段が、各情報装置に対して、情報装置と、当該情報装置をルータに接続させるスイッチ手段との間に配設されて、当該スイッチ手段と当該情報装置との間でやりとりされる送受信パケットの全てを経由させることを特徴とする。
【００１７】
請求項４記載の発明は、上記した情報装置が、サーバと端末装置とを含み、上記した制限手段が、サーバをスイッチ手段に接続させるサーバ用制限手段と、端末装置をスイッチ手段に接続させる端末用制限手段とを含み、サーバ用制限手段は、スイッチ手段に接続させるサーバが端末装置にサービスを提供可能であるように端末用制限手段とは異なる設定を備えたことを特徴とする。
【００１８】
請求項５記載の発明は、上記した情報装置が、制限手段それぞれの設定を集中的に管理する設定管理装置を含み、上記した制限手段が、設定管理装置をスイッチ手段に接続させる設定管理用制限手段を含むことを特徴とする。
【００１９】
請求項６記載の発明は、外部のネットワークに接続され、複数の情報装置と、情報装置を外部のネットワークに接続させるルータと、１つのルータにより複数の情報装置それぞれを外部のネットワークに接続させることができるよう該複数の情報装置を該１つのルータに接続させるスイッチ手段と、を備えたネットワークシステムにおけるアクセス制限方法であって、情報装置それぞれとスイッチ手段との間に各情報装置に対して配設された制限手段が、当該制限手段が接続された情報装置による送受信パケットを受ける受信工程と、該送受信パケットが予め許可された通信によるものか否かを該送受信パケットの内容を用いて判別する判別工程と、判別工程により該送受信パケットが予め許可された通信によるものでないと判定された場合、当該送受信パケットの通過を拒否する通信制限工程と、を備えたことを特徴とする。
【００２０】
請求項７記載の発明は、上記の制限手段それぞれの設定を集中的に管理する設定管理手段が、制限手段の設定を変更する設定管理工程を備えたことを特徴とする。
【００２１】
請求項８記載の発明は、外部のネットワークに接続され、複数の情報装置と、情報装置を外部のネットワークに接続させるルータと、１つのルータにより複数の情報装置それぞれを外部のネットワークに接続させることができるよう該複数の情報装置を該１つのルータに接続させるスイッチ手段と、を備えたネットワークシステムにおけるアクセス制限プログラムであって、情報装置それぞれとスイッチ手段との間に各情報装置に対して配設された制限手段に、当該制限手段が接続された情報装置による送受信パケットを受ける受信処理と、該送受信パケットが予め許可された通信によるものか否かを該送受信パケットの内容を用いて判別する判別処理と、判別処理により該送受信パケットが予め許可された通信によるものでないと判定された場合、当該送受信パケットの通過を拒否する通信制限処理と、を実行させることを特徴とする。
【００２２】
請求項９記載の発明は、上記の制限手段それぞれの設定を集中的に管理する設定管理手段に、制限手段の設定を変更する設定管理処理を実行させることを特徴とする。
【００２３】
【発明の実施の形態】
次に、本発明に係るネットワークシステム、アクセス制限方法、及びアクセス制限プログラムを、図面を用いて詳細に説明する。
各実施形態としてのネットワークシステムは、一般的なＬＡＮ（Local Area Network）において不正な通信を遮断する役割をするファイヤウォールの設置方法や設定方法を工夫することで、セキュリティの向上を図るとともに、通信量を最小限にすることでネットワーク機器や回線の負担を減らすことができる好適なものを例示している。
【００２４】
本発明の第１の実施形態としてのネットワークシステム１は、図１に示すように、ルータ１１と、ネットワーク用ファイヤウォール１２と、スイッチ（スイッチ手段）１３と、端末用ファイヤウォール１４と、端末（クライアント端末）１５と、サーバ用ファイヤウォール１６と、サーバ１７とを備えてなる。
上記の端末１５（１５ａ，１５ｂ，・・・）は、各端末１台に対して１台配設された端末用ファイヤウォール（端末用制限手段）１４（１４ａ，１４ｂ，・・・）を介して、上記のスイッチ１３に接続される。また、サーバ１７は、サーバ用ファイヤウォール（サーバ用制限手段）１６を介してスイッチ１３に接続される。
【００２５】
ルータ１１は、内部ネットワーク（ローカルエリアネットワーク）としてのネットワークシステム１を、外部ネットワークに繋いでいる。すなわち、ルータ１１は、ネットワークシステム１に属する各情報装置（各端末１５及びサーバ１７）を外部ネットワークに接続可能とさせる機能を備える。
ネットワーク用ファイヤウォール１２は、外部ネットワークからネットワークシステム１への不正な通信を防ぐ機能を有する。この不正な通信とは、ネットワークの管理者が許可していない通信を指す。
【００２６】
スイッチ１３は、ネットワークシステム１における各ネットワーク装置（情報装置）を繋ぐ機能を有する。
すなわち、スイッチ１３は、１つのルータ１１により複数の情報装置それぞれを外部のネットワークに接続させることができるよう、このネットワークシステム１に属する各情報装置をルータ１１に接続させる機能を備える。このスイッチ１３は、例えばスイッチングハブなどにより実現される。
【００２７】
端末用ファイヤウォール１４（１４ａ，１４ｂ）は、本発明で提案する要部となるファイヤウォールであり、スイッチ１３と、ＬＡＮ（ネットワークシステム１）に属する端末１５（１５ａ，１５ｂ）との間に配設される。
すなわち、このネットワークシステム１に属する端末１５のそれぞれに対して、その端末１５の１台に対して１台の端末用ファイヤウォール１４が、当該端末用ファイヤウォールとセット（ペア）とされる１台の端末１５からスイッチ１３への送受信パケット（端末１５とスイッチ１３との間でやりとりされる送受信パケット）を全て経由させるよう、その端末１５の直近に接続されている。
【００２８】
サーバ１７は、ＬＡＮ（ネットワークシステム１）に属し、ＬＡＮ内の端末１５のそれぞれに各種のサービスを提供する機能を有する。
サーバ用ファイヤウォール１６は、上述した端末用ファイヤウォール１４と同様にスイッチ１３と、ＬＡＮ（ネットワークシステム１）に属するサーバ１７との間に配設される。
すなわち、このネットワークシステム１に属するサーバ１７の１台に対して１台のサーバ用ファイヤウォール１６が、当該サーバ用ファイヤウォールとセット（ペア）とされる１台のサーバ１７からスイッチ１３への送受信パケット（サーバ１７とスイッチ１３との間でやりとりされる送受信パケット）を全て経由させるよう、そのサーバ１７の直近に接続されている。
【００２９】
上述した端末用ファイヤウォール１４は、上述した従来のファイヤウォール５２と異なり、外部ネットワークからネットワークシステム１に属する端末への不正なアクセスと、ネットワークシステム１に属する端末からネットワークシステム１に属する端末への不正なアクセスと、ネットワークシステム１に属する端末からの不正なアクセスとを制限する機能を有する。
【００３０】
ここで、端末用ファイヤウォール１４による上記した不正なアクセスを制限する機能の具体的な実現方法について説明する。
従来のファイヤウォールにおけるアクセス制限の設定と異なる設定として、パケット通過の可否を判断する設定がある。この設定として、例えば、パケットの通過を許可するものと制限するものとに関する設定があるが、列挙すると以下のようになる。
まず、通信を制限するものは、予め登録されていない（未知の）端末から端末１５への通信と、予め登録されていない（未知の）アプリケーションから端末１５への通信と、端末１５から予め登録されていない（未知の）端末への通信と、端末１５から予め登録されていない（未知の）アプリケーションへの通信とである。
また、通信を許可するものは、予め登録されている（既知の）端末から端末１５への通信と、予め登録されている（既知の）アプリケーションから端末１５への通信と、端末１５から予め登録されている（既知の）端末への通信と、端末１５から予め登録されている（既知の）アプリケーションへの通信とである。
【００３１】
上記したパケット通過の可否を判断する設定により、その端末用ファイヤウォール１４を通過するパケットの内容を用いて（内容に基づいて）、当該端末用ファイヤウォールがパケットの通過／通過拒否をパケットごとに判別する。
この設定による判別（通信の制限）は、接続された端末１５による通信の通信手順を認識してその通信が通常の通信手順でない場合に許可しない方法などを用いてよく、例えばＴＣＰのポート番号を用いる方法など、ファイヤウォールとして一般に行われているフィルタリング方法を適用してもよい。
【００３２】
本実施形態としての端末用ファイヤウォール１４は、通信の制限を以上のように使用されるアプリケーションまで含めて設定して行うことで、ネットワークシステム１におけるセキュリティ上のリスクを高精度に軽減することができる。
【００３３】
上記の端末用ファイヤウォール１４は、例えば、上述した機能を備えた専用ハードウェアなどにより実現されてもよく、端末１５に実装されるプログラムにより実現されてもよい。
上記の専用ハードウェアを用いる場合、その専用ハードウェアが本発明に係る端末用ファイヤウォール１４としての機能しか備えない（他の機能を持たない）ため、その専用ハードウェアが不正なアクセスを試みるユーザからの攻撃対象となることを防止することができる。
【００３４】
次に、サーバ用ファイヤウォール１６による不正なアクセスを制限する機能の具体的な実現方法について説明する。
従来のファイヤウォールにおけるアクセス制限の設定と異なる設定として、パケット通過の可否を判断する設定がある。この設定として、例えば、パケットの通過を許可するものと制限するものとに関する設定があるが、列挙すると以下のようになる。
まず、通信を制限するものは、外部ネットワークからサーバ１７への通信と、予め登録されていない（未知の）端末からサーバ１７への通信と、予め登録されていない（未知の）サーバ上のアプリケーションの通信とである。
また、通信を許可するものは、予め登録されている（既知の）端末からサーバ１７への通信である。
【００３５】
上記したパケット通過の可否を判断する設定により、そのサーバ用ファイヤウォール１６を通過するパケットの内容を用いて（内容に基づいて）、当該サーバ用ファイヤウォールがパケットの通過／通過拒否をパケットごとに判別する。
この設定による判別（通信の制限）は、接続されたサーバ１７による通信の通信手順を認識してその通信が通常の通信手順でない場合に許可しない方法などを用いてよく、例えばＴＣＰのポート番号を用いる方法など、ファイヤウォールとして一般に行われているフィルタリング方法を適用してもよい。
【００３６】
本実施形態としてのサーバ用ファイヤウォール１６は、以上のように、サーバ１７が端末１５のそれぞれに各種サービスを提供可能であるよう上述した端末用ファイヤウォール１４とは異なる設定がなされている。
このように、サーバ用ファイヤウォール１６は、通信の制限を以上のように使用されるアプリケーションなども含めて設定して行うことで、ネットワークシステム１におけるセキュリティ上のリスクを高精度に軽減することができる。
【００３７】
上記のサーバ用ファイヤウォール１６は、例えば、上述した機能を備えた専用ハードウェアなどにより実現されてもよく、サーバ１７に実装されるプログラムにより実現されてもよい。
上記の専用ハードウェアを用いる場合、その専用ハードウェアが本発明に係るサーバ用ファイヤウォール１６としての機能しか備えない（他の機能を持たない）ため、その専用ハードウェアが不正なアクセスを試みるユーザからの攻撃対象となることを防止することができる。
【００３８】
本実施形態としてのネットワークシステム１は、以上のように構成されることにより、ローカルエリアネットワークにおける不正アクセスに対するセキュリティを、ローカルエリアネットワークの各端末からの攻撃にも対応して確保し、性能を落とす原因を分散したネットワークの構築方法を好適に実現する。
【００３９】
次に、本実施形態としてのネットワークシステム１の動作の概要について、図１を用いて説明する。
本発明を適用した図１のＬＡＮ（ネットワークシステム１）において、端末用ファイヤウォール１４ａは端末１５ａを、端末用ファイヤウォール１４ｂは端末１５ｂを、それぞれ保護すると共に、それらの端末１５からサーバ１７やネットワーク用ファイヤウォール１２への不正な通信をできなくしている。ここで言う不正な通信とは、ネットワークの管理者が許可してない通信のことを指す。
また、サーバ用ファイヤウォール１６は、サーバ１７を保護すると共に、そのサーバ１７から端末１５（１５ａ，１５ｂ，・・・）やネットワーク用ファイヤウォール１２への不正な通信をできなくしている。
【００４０】
このようにして、本実施形態としてのネットワークシステム１では、そのネットワークシステム１に属する情報装置（各端末１５及びサーバ１７）が不正な通信を受信することから保護すると共に、不正な通信を送信することをできなくしているので、このネットワークシステム１に属している端末１５からネットワークシステム１に属している端末１５やサーバ１７への不正な通信を防ぐことができる。このため、ネットワークのセキュリティにおけるリスクを高精度に軽減することができる。
【００４１】
また、各端末１５からの通信を必要最小限に限定すると共に、その限定をルータ１１を通すなど迂回した通信経路をとる必要なく、各情報装置の直近に配設されたそれぞれのファイヤウォールが行うため、このネットワークシステム１を流れる通信量を減少させることができ、通信性能を向上させることができる。
【００４２】
次に、本実施形態としてのネットワークシステム１の動作について、図１から図３を用いて詳細に説明する。
図２は、本実施形態としてのネットワークシステム１の動作時の例を示している。この図２に示す例として、端末１５ａから端末１５ｂに対して不正な通信Ａが行われた場合、従来のネットワークシステムではこの不正な通信Ａに対して無防備であった。
【００４３】
ここで本実施形態としてのネットワークシステム１では、上記の不正な通信Ａに対して、端末用ファイヤウォール１４ａが端末１５ａからの不正な通信Ａの送出を禁止すると共に、端末用ファイヤウォール１４ｂが端末１５ｂによる不正な通信Ａの受信を禁止する。
すなわち、端末用ファイヤウォール１４ａは、端末１５ａから不正な通信Ａとして送出されたパケットを受けると（ステップＳ１；Ｙｅｓ、及びステップＳ２；Ｎｏ）、その不正な通信Ａによるパケットの通過を拒否する（ステップＳ３）。
また、端末用ファイヤウォール１４ｂは、仮に端末１５ａからの不正な通信Ａとして送出されたパケットを受けたとしても（ステップＳ１；Ｙｅｓ、及びステップＳ２；Ｎｏ）、その不正な通信Ａによるパケットの通過を拒否する（ステップＳ３）。
【００４４】
上記の通信Ａが不正な通信であるか否かの判別は、上述した端末用ファイヤウォール１４の設定により、端末１５による送受信で通過するパケット（送受信パケット）の内容を上述のように用いて行われる。
この判別により、上記の通信Ａが不正な通信であると判定されると、上記のステップＳ３により通信が禁止される。また、上記の判別により、上記の通信Ａが予め許可された通信であると判定されると、経由しようとするパケット（送受信パケット）を通過させる（ステップＳ４）。
【００４５】
また、図２に示す例として、端末１５ａからサーバ１７に対して不正な通信Ｂが行われた場合、従来のネットワークシステムではこの不正な通信Ｂに対して無防備であった。
【００４６】
本実施形態としてのネットワークシステム１では、上記の不正な通信Ｂに対して、端末用ファイヤウォール１４ａが端末１５ａからの不正な通信Ｂの送出を禁止すると共に、サーバ用ファイヤウォール１６がサーバ１７による不正な通信Ｂの受信を禁止する。
すなわち、端末用ファイヤウォール１４ａは、端末１５ａから不正な通信Ｂとして送出されたパケットを受けると（ステップＳ１；Ｙｅｓ、及びステップＳ２；Ｎｏ）、その不正な通信Ｂによるパケットの通過を拒否する（ステップＳ３）。
また、サーバ用ファイヤウォール１６は、仮に端末１５ａからの不正な通信Ｂとして送出されたパケットを受けたとしても（ステップＳ１；Ｙｅｓ、及びステップＳ２；Ｎｏ）、その不正な通信Ｂによるパケットの通過を拒否する（ステップＳ３）。
【００４７】
上記の通信Ｂが不正な通信であるか否かの判別は、上述した端末用ファイヤウォール１４とサーバ用ファイヤウォール１６との設定により、端末１５やサーバ１７による送受信で通過するパケット（送受信パケット）の内容を上述のように用いて行われる。
この判別により、上記の通信Ｂが不正な通信であると判定されると、上記のステップＳ３により通信が禁止される。また、上記の判別により、上記の通信Ｂが予め許可された通信であると判定されると、経由しようとするパケット（送受信パケット）を通過させる（ステップＳ４）。
【００４８】
上述した不正な通信Ｂに対するアクセス制限の動作では、上述した不正な通信Ａに対するアクセス制限の動作と異なり、サーバ１７が各端末１５に対して各種サービスを提供するものであるため、サーバ用ファイヤウォール１６には、上述したようにサーバ１７が端末１５のそれぞれに各種サービスを提供可能であるよう端末用ファイヤウォール１４とは異なる設定がなされ、サーバ用ファイヤウォール１６がその設定により上述したアクセス制限の動作を行う。
【００４９】
以上のように、本実施形態としてのネットワークシステム１によれば、以下に記載するような効果を奏する。
第１の効果は、各情報装置における通信を必要なもの（ネットワークの管理者から許可されたもの）のみに制限しているので、ネットワークシステム１内の各端末１５間や、ネットワークシステム１内の各端末１５からネットワークシステム１内のサーバ１７への不正な通信を防ぐことができるようになることである。また、各情報装置の直近のファイヤウォールは、この不正な通信を判別するために通過しようとするパケットの内容を用いるため、通過しようとするパケットが不正な通信によるものか否かの判別を、使用されるアプリケーションなども含めて行うことができ、ネットワークシステム１におけるセキュリティ上のリスクを高精度に軽減することができる。
換言すると、このネットワークシステム１によれば、外部ネットワークからの不正な通信に対してだけでなく、ネットワークシステム１に属する情報装置の何れかから他の情報装置への不正な通信に対しても、充分なセキュリティを確保することができる。
【００５０】
第２の効果は、各情報装置からの通信を最小限にすることができるので、ルータ１１、ネットワーク用ファイヤウォール１２、スイッチ１３への負担を減らすことができることである。
すなわち、上記の不正な通信に対するセキュリティの確保を、各情報装置に対してその直近に配設されたファイヤウォールが行い、許可された通信以外の通信を制限するため、各情報装置からの通信を最小限にすると共に、その通信による負荷をルータ１１、ネットワーク用ファイヤウォール１２、スイッチ１３などに集中させてネットワークの通信性能を落としてしまうことがないようにすることができる。
【００５１】
次に、本発明の第２の実施形態としてのネットワークシステム２について、図４を参照して詳細に説明する。
この第２の実施形態は、上述した第１の実施形態に対して、各ファイヤウォールの設定管理についてさらに工夫したものである。すなわち、上述した第１の実施形態におけるサーバ１７に替えて設定管理装置２２を備えると共に、サーバ用ファイヤウォール１６に替えて設定管理装置用ファイヤウォール（設定管理用制限手段）２１としたものである。
上述した第１の実施形態と同様のものについては同じ符号とし、説明を省略する。また、設定がなされた各ファイヤウォールによるアクセス制限の動作は、上述した第１の実施形態と同様であり、説明を省略する。
【００５２】
設定管理装置２２は、上述したサーバとそのサーバで動作するソフトウェアにより実現され、ネットワークの管理者の操作により、ネットワークを介して各ファイヤウォール（端末用ファイヤウォール１４（１４ａ，１４ｂ，・・・）及び設定管理装置用ファイヤウォール２１）に設定変更の指示を出す機能を備える。
各ファイヤウォールは、設定管理装置からの指示を受け付けるように設定されている必要がある。すなわち、各ファイヤウォールは、設定管理装置２２からの指示により設定を変更する機能を備える。
【００５３】
従来のファイヤウォールは、外部のネットワークと内部のネットワークの境界に設置されており、数量も１台（もしくは２台）であることが多い。従って、設定管理装置による複数のファイヤウォールの集中管理という概念はなかった。
この第２の実施形態では、内部ネットワーク（ネットワークシステム２）に上述した第１の実施形態と同様に配設された端末用ファイヤウォール１４それぞれの設定を、設定管理装置２２が集中的に管理する。
このことにより、端末用ファイヤウォール１４それぞれの設定を動的に変更することができ、なおかつユーザが設定について知る必要をなくすことができる。
【００５４】
設定管理装置用ファイヤウォール２１の設定は、設定管理装置２２が上述した第１の実施形態におけるサーバ１７と同様の機能を兼ねるものである場合、上述したサーバ用ファイヤウォール１６と同様の設定を初期値として備えてもよい。
この場合にも、この設定管理装置用ファイヤウォール２１の設定は、設定管理装置２２からネットワークの管理者により変更など行われることとなる。
【００５５】
この第２の実施形態によれば、以下に記載するような動作例を実現できる。
第一の例として、緊急時のＬＡＮ内（ネットワークシステム内）端末の通信切断がある。これは、管理者がネットワークシステム内に不正な通信を発見した場合、通信元の端末を一時的にネットワークから切断したり、通信元が分からない場合は全ての端末を一時的に切断したりするものである。
この動作例を実施すると、不正な通信による被害が広まるのを防ぐことができる。
【００５６】
第二の例はサーバがネットワークシステム内の各端末に提供するサービス毎の通信制限がある。
この動作例によれば、各端末ごとに、サーバが提供するサービスを管理者が許可したり禁止したりできる。
【００５７】
【発明の効果】
以上のように、本発明のネットワークシステムは、スイッチ手段が、１つのルータにより複数の情報装置それぞれを外部のネットワークに接続させることができるよう該複数の情報装置を該１つのルータに接続させ、制限手段が、情報装置それぞれについて配設され、当該情報装置における予め許可された通信以外の通信を当該情報装置から上記スイッチ手段への送受信パケットの内容を用いて制限する。
このことにより、各情報装置における通信を、送受信パケットの内容を用いて、予め許可された通信のみに制限することができると共に、その制限を、情報装置それぞれについて配設された制限手段により行うことができる。
このため、上記の予め許可された通信のみへの制限を、送受信パケットの内容を用いることで、使用されるアプリケーションなども含めて設定することができるようになる。また、その制限を、情報装置それぞれについて配設された制限手段が行うため、通信による負荷をルータなど特定の部分に集中させることがなく、負荷の集中によりネットワークの通信性能を落としてしまうことがない。
以上により、ネットワークシステムに属する情報装置の何れかから他の情報装置への不正な通信など、認証済みの端末機同士の通信に対しても、その不正な通信への制限ができ、ネットワークシステムに属する情報装置同士での通信に対しても充分なセキュリティを確保することができると共に、通信による負荷を集中させることがないようにすることができる。
【００５８】
また、情報装置として、制限手段それぞれの設定を集中的に管理する設定管理装置を含み、制限手段には、その設定管理装置をスイッチ手段に接続させる設定管理用制限手段を含む。
このことにより、情報装置それぞれについて配設された上記の制限手段の設定を、設定管理装置だけで集中的に管理することができる。
このため、その設定管理装置により、不正な通信を発見した場合、通信元の端末を一時的にネットワークから切断したり、通信元が分からない場合は全ての端末を一時的に切断したりすることができる。また、サーバがネットワークシステム内の各端末に提供するサービス毎に、そのサービスを管理者が許可したり禁止したりすることができる。
【００５９】
また、本発明の各アクセス制限方法、及びアクセス制限プログラムによっても、上記の本発明の各ネットワークシステムの効果と同様の効果を得ることができる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態としてのネットワークシステム１の構成を示すブロック図である。
【図２】該ネットワークシステム１によるアクセス制限動作を説明するための図である。
【図３】該ネットワークシステム１における各ファイヤウォールの動作の概要を示すフローチャートである。
【図４】本発明の第２の実施形態としてのネットワークシステム２の構成を示すブロック図である。
【図５】従来のネットワークシステムの構成を示すブロック図である。
【符号の説明】
１１  ルータ
１２  ネットワーク用ファイヤウォール（ネットワーク用制限手段）
１３  スイッチ（スイッチ手段）
１４（１４ａ，１４ｂ）  端末用ファイヤウォール（端末用制限手段）
１５（１５ａ，１５ｂ）  端末（端末装置）
１６  サーバ用ファイヤウォール（サーバ用制限手段）
１７  サーバ
２１  設定管理装置用ファイヤウォール（設定管理用制限手段）
２２  設定管理装置
【図１】
2004207783.tif 000003
【図２】
2004207783.tif 000004
【図３】
2004207783.tif 000005
【図４】
2004207783.tif 000006
【図５】
2004207783.tif 000007