(57)【要約】【課題】ユーザネットワークに設けたファイアウォールにユーザとインターネットサービス提供者のセキュリティポリシを設定し、ユーザネットワークへの不正アクセスを防御し、インターネットサービス提供者ネットワークへの不正アクセスもユーザネットワークで防御し、不正アクセスのトラヒック増加を防止する。【解決手段】インターネットサービス提供者が設定するＩＳＰ優先度１、２で示すセキュリティポリシとユーザが設定するユーザ優先度１，２，３で示すセキュリティポリシとを区別する区切り情報をインターネットサービス提供者のセキュリティポリシの最初と最後およびユーザのセキュリティポリシの最初と最後のように各セキュリティポリシの前後に設定し、インターネットサービス提供者とユーザのセキュリティポリシをユーザネットワークのファイアウォールに共存設定する。【選択図】        図２
2004355285.tif 000002
【特許請求の範囲】
【請求項１】
ユーザのネットワークおよびインターネットサービス提供者のネットワークのセキュリティを確保するためのセキュリティポリシをユーザネットワークに設けられたファイアウォールに設定するセキュリティポリシ設定方法であって、
ユーザが設定するセキュリティポリシとインターネットサービス提供者が設定するセキュリティポリシを区別するための区切り情報を両セキュリティポリシの間または各セキュリティポリシの前後に設定する
ことを特徴とするセキュリティポリシ設定方法。
【請求項２】
インターネットサービス提供者管理端末においては、インターネットサービス提供者が作成したセキュリティポリシのハッシュ値をハッシュ関数により計算して保存し、
インターネットサービス提供者の秘密鍵を使用して前記ハッシュ値を暗号化し、
この暗号化したハッシュ値とインターネットサービス提供者が作成した前記セキュリティポリシをユーザネットワークに設けられたファイアウォールにインターネットサービス提供者管理端末から送信し、
ユーザ管理端末においては、ユーザが作成したセキュリティポリシのハッシュ値をハッシュ関数により計算して保存し、
ユーザの秘密鍵を使用して前記ハッシュ値を暗号化し、
この暗号化したハッシュ値とユーザが作成した前記セキュリティポリシをユーザネットワークに設けられたファイアウォールにユーザ管理端末から送信し、
ユーザネットワークのファイアウォールにおいては、インターネットサービス提供者の前記秘密鍵に対応する公開鍵を取得し、
この取得した公開鍵を用いて、前記インターネットサービス提供者管理端末から受信した暗号化ハッシュ値を復号してハッシュ値を取得し、
前記インターネットサービス提供者管理端末から受信したインターネットサービス提供者のセキュリティポリシのハッシュ値をハッシュ関数により計算し、
この計算したハッシュ値と前記復号により取得したハッシュ値とを比較し、
この比較の結果、両ハッシュ値が一致しない場合には、正当なインターネットサービス提供者からの真のセキュリティポリシでないと判定して、該セキュリティポリシを破棄し、両ハッシュ値が一致する場合には、正当なインターネットサービス提供者からの真のセキュリティポリシであると確認し、インターネットサービス提供者のセキュリティポリシとしてユーザネットワークのファイアウォールに設定し、
ユーザネットワークのファイアウォールにおいては、ユーザの前記秘密鍵に対応する公開鍵を取得し、
この取得した公開鍵を用いて、前記ユーザ管理端末から受信した前記暗号化ハッシュ値を復号してハッシュ値を取得し、
前記ユーザ管理端末から受信したユーザのセキュリティポリシのハッシュ値をハッシュ関数により計算し、
この計算したハッシュ値と前記復号により取得したハッシュ値とを比較し、
この比較の結果、両ハッシュ値が一致しない場合には、正当なユーザからの真のセキュリティポリシでないと判定して、該セキュリティポリシを破棄し、両ハッシュ値が一致する場合には、正当なユーザからの真のセキュリティポリシであると確認し、ユーザのセキュリティポリシとしてユーザネットワークのファイアウォールに設定する
ことを特徴とする請求項１記載のセキュリティポリシ設定方法。
【請求項３】
インターネットサービス提供者管理端末において、ユーザネットワークのファイアウォールからインターネットサービス提供者のセキュリティポリシを受信し、
この受信したセキュリティポリシのハッシュ値をハッシュ関数により計算し、インターネットサービス提供者管理端末において前記保存したハッシュ値と比較し、
この比較の結果、両ハッシュ値が一致しない場合には、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシは改竄されていると判定し、両ハッシュ値が一致する場合には、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシが改竄されていないことを確認し、
ユーザ管理端末において、ユーザネットワークのファイアウォールからユーザのセキュリティポリシを受信し、
この受信したセキュリティポリシのハッシュ値をハッシュ関数により計算し、ユーザ管理端末において前記保存したハッシュ値と比較し、
この比較の結果、両ハッシュ値が一致しない場合には、ユーザネットワークのファイアウォールに設定されているユーザのセキュリティポリシは改竄されていると判定し、両ハッシュ値が一致する場合には、ユーザネットワークのファイアウォールに設定されているユーザのセキュリティポリシが改竄されていないことを確認する
ことを特徴とする請求項２記載のセキュリティポリシ設定方法。
【請求項４】
ユーザのネットワークおよびインターネットサービス提供者のネットワークのセキュリティを確保するためのセキュリティポリシをユーザネットワークに設けられたファイアウォールに設定するセキュリティポリシ設定装置であって、
前記ユーザネットワークのファイアウォールに設けられ、ユーザが設定するユーザのセキュリティポリシと、インターネットサービス提供者が設定するインターネットサービス提供者のセキュリティポリシと、前記ユーザのセキュリティポリシおよび前記インターネットサービス提供者のセキュリティポリシを区別するために両セキュリティポリシの間または各セキュリティポリシの前後に設定される区切り情報とを記憶する記憶手段
を有することを特徴とするセキュリティポリシ設定装置。
【請求項５】
前記インターネットサービス提供者ネットワークに設けられ、インターネットサービス提供者により操作されるインターネットサービス提供者管理端末は、
インターネットサービス提供者が作成したセキュリティポリシのハッシュ値をハッシュ関数により計算して保存する計算保存手段と、
インターネットサービス提供者の秘密鍵を使用して前記ハッシュ値を暗号化する暗号化手段と、
この暗号化したハッシュ値とインターネットサービス提供者が作成した前記セキュリティポリシをユーザネットワークに設けられたファイアウォールにインターネットサービス提供者管理端末から送信する送信手段とを有し、
ユーザネットワークに設けられ、ユーザによって操作されるユーザ管理端末は、
ユーザが作成したセキュリティポリシのハッシュ値をハッシュ関数により計算して保存する計算保存手段と、
ユーザの秘密鍵を使用して前記ハッシュ値を暗号化する暗号化手段と、
この暗号化したハッシュ値とユーザが作成した前記セキュリティポリシをユーザネットワークに設けられたファイアウォールにユーザ管理端末から送信する送信手段とを有し、
ユーザネットワークに設けられたファイアウォールは、
インターネットサービス提供者の前記秘密鍵に対応する公開鍵を取得し、この公開鍵を用いて、前記インターネットサービス提供者管理端末から受信した暗号化ハッシュ値を復号してハッシュ値を取得するインターネットサービス提供者側復号手段と、
前記インターネットサービス提供者管理端末から受信したインターネットサービス提供者のセキュリティポリシのハッシュ値をハッシュ関数により計算するインターネットサービス提供者側ハッシュ値計算手段と、
この計算したハッシュ値と前記復号により取得したハッシュ値とを比較し、この比較の結果、両ハッシュ値が一致しない場合には、正当なインターネットサービス提供者からの真のセキュリティポリシでないと判定して、該セキュリティポリシを破棄し、両ハッシュ値が一致する場合には、正当なインターネットサービス提供者からの真のセキュリティポリシであると確認し、インターネットサービス提供者のセキュリティポリシとしてユーザネットワークのファイアウォールに設定すべくユーザネットワークのファイアウォールに設けられた前記記憶手段に記憶するインターネットサービス提供者側比較手段と、
ユーザの前記秘密鍵に対応する公開鍵を取得し、この公開鍵を用いて、前記ユーザ管理端末から受信した前記暗号化ハッシュ値を復号してハッシュ値を取得するユーザ側復号手段と、
前記ユーザ管理端末から受信したユーザのセキュリティポリシのハッシュ値をハッシュ関数により計算するユーザ側ハッシュ値計算手段と、
この計算したハッシュ値と前記復号により取得したハッシュ値とを比較し、この比較の結果、両ハッシュ値が一致しない場合には、正当なユーザからの真のセキュリティポリシでないと判定して、該セキュリティポリシを破棄し、両ハッシュ値が一致する場合には、正当なユーザからの真のセキュリティポリシであると確認し、ユーザのセキュリティポリシとしてユーザネットワークのファイアウォールに設定すべくユーザネットワークのファイアウォールに設けられた前記記憶手段に記憶するユーザ側比較手段とを有する
ことを特徴とする請求項４記載のセキュリティポリシ設定装置。
【請求項６】
前記インターネットサービス提供者管理端末は、
ユーザネットワークのファイアウォールからインターネットサービス提供者のセキュリティポリシを受信する受信手段と、
この受信したセキュリティポリシのハッシュ値をハッシュ関数により計算するハッシュ値計算手段と、
この計算したハッシュ値をインターネットサービス提供者管理端末において前記保存したハッシュ値と比較し、この比較の結果、両ハッシュ値が一致しない場合には、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシは改竄されていると判定し、両ハッシュ値が一致する場合には、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシが改竄されていないことを確認する比較確認手段とを有し、
前記ユーザ管理端末は、
ユーザネットワークのファイアウォールからユーザのセキュリティポリシを受信する受信手段と、
この受信したセキュリティポリシのハッシュ値をハッシュ関数により計算するハッシュ値計算手段と、
この計算したハッシュ値をユーザ管理端末において前記保存したハッシュ値と比較し、この比較の結果、両ハッシュ値が一致しない場合には、ユーザネットワークのファイアウォールに設定されているユーザのセキュリティポリシは改竄されていると判定し、両ハッシュ値が一致する場合には、ユーザネットワークのファイアウォールに設定されているユーザのセキュリティポリシが改竄されていないことを確認する比較確認手段とを有する
ことを特徴とする請求項５記載のセキュリティポリシ設定装置。
【請求項７】
請求項１乃至３のいずれか１項に記載のセキュリティポリシ設定方法をコンピュータに実行させることを特徴とするコンピュータ実行可能なセキュリティポリシ設定方法プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、コンピュータネットワークを不正アクセスから保護するネットワークセキュリティ装置であるファイアウォールにセキュリティポリシを設定するセキュリティポリシ設定方法、装置およびプログラムに関し、更に詳しくは、ユーザのネットワークおよびインターネットサービス提供者のネットワークのセキュリティを確保するために両ネットワークへの不正アクセスを規制するための動作規則であるセキュリティポリシをユーザネットワークに設けられたファイアウォールに設定するセキュリティポリシ設定方法、装置およびプログラムに関する。
【０００２】
【従来の技術】
近年、ブロッドバンド化が一般に広まり、コンピュータを常時インターネットに接続するユーザが急速に増加している。一方、インターネットに接続したコンピュータに対する不正アクセスも増加しており、ユーザネットワークへの不正アクセスを防御する手段としてファイアウォールが普及している。
【０００３】
ファイアウォールは、ユーザネットワークとインターネットとの接続点に設置しユーザが望まないパケットを不正アクセスとして破棄する。このファイアウォールは、ユーザネットワークに設置する場合とインターネットサービス提供者のネットワークに設置する場合とがある。なお、ユーザネットワークに設置するブロードバンドルータの高性能化および低価格化によりユーザネットワークに設置されるブロードバンドルータにファイアウォール機能を持たせるものが増えている。
【０００４】
図１１は、符号１１で示すようにユーザネットワーク１０にファイアウォールを設置する場合のインターネット接続構成を示す図であるが、この図ではファイアウォール１１はブロードバンドルータに設けられている。同図に示すように、ユーザネットワーク１０のクライアント１５はファイアウォール１１からルータ５１を介してインターネットサービス提供者ネットワーク５０およびインターネット３に接続され、インターネットサービス提供者ネットワーク５０内ではルータ５１からファイアウォール５３を介してサーバ５５に接続され、またインターネット３内ではファイアウォール３１を介してサーバ３３に接続される。
【０００５】
図１２は、符号１４で示すようにインターネットサービス提供者のネットワーク５０ａにファイアウォールを設置する場合のインターネット接続構成を示す図である。同図に示すように、ユーザネットワーク１０ａのクライアント１５はブロードバンドルータ１２からインターネットサービス提供者ネットワーク５０ａに設けたファイアウォール１４からルータ５１を介してインターネットサービス提供者ネットワーク５０ａおよびインターネット３に接続され、インターネットサービス提供者ネットワーク５０ａ内ではルータ５１からファイアウォール５３を介してサーバ５５に接続され、またインターネット３内ではファイアウォール３１を介してサーバ３３に接続される。
【０００６】
図１１に示すように、ファイアウォール１１をユーザネットワーク１０に設置した場合、ユーザがファイアウォール１１のセキュリティポリシを設定するが、ユーザには高度なネットワークセキュリティの知識が必要とされる。
【０００７】
一方、図１２に示すように、ファイアウォール１４をインターネットサービス提供者ネットワーク５０ａに設置した場合、ユーザのネットワーク構成の変更や必要な通信の変更に合わせて設定変更するためには、ユーザはファイアウォール１４のセキュリティポリシの変更をインターネットサービス提供者に依頼する必要があり、柔軟性や迅速性に欠ける。なお、この方式のサービスとしては、ＮＴＴコミュニケーションズによるＳｅｃｕｒｅ  ＯＣＮ  ＡＤＳＬがある（例えば、非特許文献１参照）。
【０００８】
近年、インターネットサービス提供者ネットワークに設置したサーバによりインターネットサービス提供者がメールサービス、ネットワークニュースサービス、動画配信サービスなどを行うことも増加しているが、これらのサービスをユーザからの不正アクセスから防御する方法として、インターネットサービス提供者ネットワーク内に設けたファイアウォールにセキュリティポリシをインターネットサービス提供者が設定することが一般的である。
【０００９】
【非特許文献１】
“ＦＷ／ＩＳＤサービス仕様”、［ｏｎｌｉｎｅ］、２００３／５／１６、［２００３／５／１６検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｃｎ．ｎｅ．ｊｐ／ｓｅｃｕｒｅｏｃｎ／ａｃｃａ  ｓｐｅｃ  ０２．ｈｔｍｌ＃ａ０６＞
【００１０】
【発明が解決しようとする課題】
ユーザからの不正アクセスからインターネットサービス提供者のサーバを防御するために、不正アクセスの発信元に最も近いファイアウォールで不正アクセスのパケットを破棄することにより不正アクセスによるネットワークのトラヒック増加を防ぐことができる。従って、ユーザネットワークのファイアウォールによりインターネットサービス提供者によるサービスへの不正アクセスを防御するセキュリティポリシを実施することが望まれているが、ユーザネットワークのファイアウォールのセキュリティポリシはユーザにより管理されるため、ユーザとインターネットサービス提供者の両方のセキュリティポリシを設定することが困難であり、インターネットサービス提供者ネットワークのファイアウォールにおいて、インターネットサービス提供者のセキュリティポリシを設定している。ユーザネットワークに設置されたファイアウォールにおいて、ユーザのセキュリティポリシとインターネットサービス提供者のセキュリティポリシを同時に設定することが望まれている。
【００１１】
本発明は、上記に鑑みてなされたもので、その目的とするところは、ユーザネットワークに設けたファイアウォールにユーザとインターネットサービス提供者の両方のセキュリティポリシを共存させて設定し、ユーザネットワークへの不正アクセスを防御しつつインターネットサービス提供者ネットワークへの不正アクセスもユーザネットワークで防御し、不正アクセスのトラヒック増加を防止し得るセキュリティポリシ設定方法、装置およびプログラムを提供することにある。
【００１２】
【課題を解決するための手段】
上記目的を達成するため、請求項１記載の本発明は、ユーザのネットワークおよびインターネットサービス提供者のネットワークのセキュリティを確保するためのセキュリティポリシをユーザネットワークに設けられたファイアウォールに設定するセキュリティポリシ設定方法であって、ユーザが設定するセキュリティポリシとインターネットサービス提供者が設定するセキュリティポリシを区別するための区切り情報を両セキュリティポリシの間または各セキュリティポリシの前後に設定することを要旨とする。
【００１３】
請求項１記載の本発明にあっては、ユーザが設定するセキュリティポリシとインターネットサービス提供者が設定するセキュリティポリシを区別するための区切り情報を両セキュリティポリシの間または各セキュリティポリシの前後に設定するため、ユーザとインターネットサービス提供者の両方のセキュリティポリシをユーザネットワークのファイアウォールに共存させて設定でき、これによりユーザネットワークへの不正アクセスを防御しつつインターネットサービス提供者ネットワークへの不正アクセスをユーザネットワークで防御でき、不正アクセスによるネットワークのトラヒック増加を防止することができる。
【００１４】
また、請求項２記載の本発明は、請求項１記載の発明において、インターネットサービス提供者管理端末においては、インターネットサービス提供者が作成したセキュリティポリシのハッシュ値をハッシュ関数により計算して保存し、インターネットサービス提供者の秘密鍵を使用して前記ハッシュ値を暗号化し、この暗号化したハッシュ値とインターネットサービス提供者が作成した前記セキュリティポリシをユーザネットワークに設けられたファイアウォールにインターネットサービス提供者管理端末から送信し、ユーザ管理端末においては、ユーザが作成したセキュリティポリシのハッシュ値をハッシュ関数により計算して保存し、ユーザの秘密鍵を使用して前記ハッシュ値を暗号化し、この暗号化したハッシュ値とユーザが作成した前記セキュリティポリシをユーザネットワークに設けられたファイアウォールにユーザ管理端末から送信し、ユーザネットワークのファイアウォールにおいては、インターネットサービス提供者の前記秘密鍵に対応する公開鍵を取得し、この取得した公開鍵を用いて、前記インターネットサービス提供者管理端末から受信した暗号化ハッシュ値を復号してハッシュ値を取得し、前記インターネットサービス提供者管理端末から受信したインターネットサービス提供者のセキュリティポリシのハッシュ値をハッシュ関数により計算し、この計算したハッシュ値と前記復号により取得したハッシュ値とを比較し、この比較の結果、両ハッシュ値が一致しない場合には、正当なインターネットサービス提供者からの真のセキュリティポリシでないと判定して、該セキュリティポリシを破棄し、両ハッシュ値が一致する場合には、正当なインターネットサービス提供者からの真のセキュリティポリシであると確認し、インターネットサービス提供者のセキュリティポリシとしてユーザネットワークのファイアウォールに設定し、ユーザネットワークのファイアウォールにおいては、ユーザの前記秘密鍵に対応する公開鍵を取得し、この取得した公開鍵を用いて、前記ユーザ管理端末から受信した前記暗号化ハッシュ値を復号してハッシュ値を取得し、前記ユーザ管理端末から受信したユーザのセキュリティポリシのハッシュ値をハッシュ関数により計算し、この計算したハッシュ値と前記復号により取得したハッシュ値とを比較し、この比較の結果、両ハッシュ値が一致しない場合には、正当なユーザからの真のセキュリティポリシでないと判定して、該セキュリティポリシを破棄し、両ハッシュ値が一致する場合には、正当なユーザからの真のセキュリティポリシであると確認し、ユーザのセキュリティポリシとしてユーザネットワークのファイアウォールに設定することを要旨とする。
【００１５】
請求項２記載の本発明にあっては、インターネットサービス提供者のセキュリティポリシのハッシュ値を計算して保存し、インターネットサービス提供者の秘密鍵を使用して前記ハッシュ値を暗号化し、この暗号化ハッシュ値とインターネットサービス提供者のセキュリティポリシをユーザネットワークのファイアウォールに送信し、ユーザのセキュリティポリシのハッシュ値を計算して保存し、ユーザの秘密鍵を使用して前記ハッシュ値を暗号化し、この暗号化ハッシュ値とユーザのセキュリティポリシをユーザネットワークのファイアウォールに送信し、ユーザネットワークのファイアウォールではインターネットサービス提供者の公開鍵で暗号化ハッシュ値を復号してハッシュ値を取得し、受信したインターネットサービス提供者のセキュリティポリシのハッシュ値を計算し、両ハッシュ値を比較して、正当なインターネットサービス提供者からの真のセキュリティポリシであると確認すると、ユーザネットワークのファイアウォールに設定するとともに、またユーザの公開鍵で暗号化ハッシュ値を復号してハッシュ値を取得し、受信したユーザのセキュリティポリシのハッシュ値を計算し、両ハッシュ値を比較して、正当なユーザからの真のセキュリティポリシであると確認すると、ユーザネットワークのファイアウォールに設定するため、ユーザネットワークのファイアウォールに設定されるインターネットサービス提供者およびユーザのセキュリティポリシがそれぞれ正当なユーザおよびインターネットサービス提供者によって作成した真のセキュリティポリシであるか否かを適確に確認することができる。
【００１６】
更に、請求項３記載の本発明は、請求項２記載の発明において、インターネットサービス提供者管理端末において、ユーザネットワークのファイアウォールからインターネットサービス提供者のセキュリティポリシを受信し、この受信したセキュリティポリシのハッシュ値をハッシュ関数により計算し、インターネットサービス提供者管理端末において前記保存したハッシュ値と比較し、この比較の結果、両ハッシュ値が一致しない場合には、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシは改竄されていると判定し、両ハッシュ値が一致する場合には、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシが改竄されていないことを確認し、ユーザ管理端末において、ユーザネットワークのファイアウォールからユーザのセキュリティポリシを受信し、この受信したセキュリティポリシのハッシュ値をハッシュ関数により計算し、ユーザ管理端末において前記保存したハッシュ値と比較し、この比較の結果、両ハッシュ値が一致しない場合には、ユーザネットワークのファイアウォールに設定されているユーザのセキュリティポリシは改竄されていると判定し、両ハッシュ値が一致する場合には、ユーザネットワークのファイアウォールに設定されているユーザのセキュリティポリシが改竄されていないことを確認することを要旨とする。
【００１７】
請求項３記載の本発明にあっては、インターネットサービス提供者管理端末でユーザネットワークのファイアウォールからインターネットサービス提供者のセキュリティポリシを受信し、このセキュリティポリシのハッシュ値を計算し、保存したハッシュ値と比較し、この比較の結果によりユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシは改竄されているか否かを確認し、ユーザ管理端末でユーザネットワークのファイアウォールからユーザのセキュリティポリシを受信し、このセキュリティポリシのハッシュ値を計算し、保存したハッシュ値と比較し、この比較の結果によりユーザネットワークのファイアウォールに設定されているユーザのセキュリティポリシは改竄されているか否かを確認するため、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者およびユーザのセキュリティポリシが改竄されているか否かをインターネットサービス提供者管理端末およびユーザ管理端末からそれぞれ確認することができる。
【００１８】
請求項４記載の本発明は、ユーザのネットワークおよびインターネットサービス提供者のネットワークのセキュリティを確保するためのセキュリティポリシをユーザネットワークに設けられたファイアウォールに設定するセキュリティポリシ設定装置であって、前記ユーザネットワークのファイアウォールに設けられ、ユーザが設定するユーザのセキュリティポリシと、インターネットサービス提供者が設定するインターネットサービス提供者のセキュリティポリシと、前記ユーザのセキュリティポリシおよび前記インターネットサービス提供者のセキュリティポリシを区別するために両セキュリティポリシの間または各セキュリティポリシの前後に設定される区切り情報とを記憶する記憶手段を有することを要旨とする。
【００１９】
請求項４記載の本発明にあっては、ユーザが設定するセキュリティポリシとインターネットサービス提供者が設定するセキュリティポリシを区別するための区切り情報を両セキュリティポリシの間または各セキュリティポリシの前後に設定するため、ユーザとインターネットサービス提供者の両方のセキュリティポリシをユーザネットワークのファイアウォールに共存させて設定でき、これによりユーザネットワークへの不正アクセスを防御しつつインターネットサービス提供者ネットワークへの不正アクセスをユーザネットワークで防御でき、不正アクセスによるネットワークのトラヒック増加を防止することができる。
【００２０】
また、請求項５記載の本発明は、請求項４記載の発明において、前記インターネットサービス提供者ネットワークに設けられ、インターネットサービス提供者により操作されるインターネットサービス提供者管理端末が、インターネットサービス提供者が作成したセキュリティポリシのハッシュ値をハッシュ関数により計算して保存する計算保存手段と、インターネットサービス提供者の秘密鍵を使用して前記ハッシュ値を暗号化する暗号化手段と、この暗号化したハッシュ値とインターネットサービス提供者が作成した前記セキュリティポリシをユーザネットワークに設けられたファイアウォールにインターネットサービス提供者管理端末から送信する送信手段とを有し、ユーザネットワークに設けられ、ユーザによって操作されるユーザ管理端末が、ユーザが作成したセキュリティポリシのハッシュ値をハッシュ関数により計算して保存する計算保存手段と、ユーザの秘密鍵を使用して前記ハッシュ値を暗号化する暗号化手段と、この暗号化したハッシュ値とユーザが作成した前記セキュリティポリシをユーザネットワークに設けられたファイアウォールにユーザ管理端末から送信する送信手段とを有し、ユーザネットワークに設けられたファイアウォールが、インターネットサービス提供者の前記秘密鍵に対応する公開鍵を取得し、この公開鍵を用いて、前記インターネットサービス提供者管理端末から受信した暗号化ハッシュ値を復号してハッシュ値を取得するインターネットサービス提供者側復号手段と、前記インターネットサービス提供者管理端末から受信したインターネットサービス提供者のセキュリティポリシのハッシュ値をハッシュ関数により計算するインターネットサービス提供者側ハッシュ値計算手段と、この計算したハッシュ値と前記復号により取得したハッシュ値とを比較し、この比較の結果、両ハッシュ値が一致しない場合には、正当なインターネットサービス提供者からの真のセキュリティポリシでないと判定して、該セキュリティポリシを破棄し、両ハッシュ値が一致する場合には、正当なインターネットサービス提供者からの真のセキュリティポリシであると確認し、インターネットサービス提供者のセキュリティポリシとしてユーザネットワークのファイアウォールに設定すべくユーザネットワークのファイアウォールに設けられた前記記憶手段に記憶するインターネットサービス提供者側比較手段と、ユーザの前記秘密鍵に対応する公開鍵を取得し、この公開鍵を用いて、前記ユーザ管理端末から受信した前記暗号化ハッシュ値を復号してハッシュ値を取得するユーザ側復号手段と、前記ユーザ管理端末から受信したユーザのセキュリティポリシのハッシュ値をハッシュ関数により計算するユーザ側ハッシュ値計算手段と、この計算したハッシュ値と前記復号により取得したハッシュ値とを比較し、この比較の結果、両ハッシュ値が一致しない場合には、正当なユーザからの真のセキュリティポリシでないと判定して、該セキュリティポリシを破棄し、両ハッシュ値が一致する場合には、正当なユーザからの真のセキュリティポリシであると確認し、ユーザのセキュリティポリシとしてユーザネットワークのファイアウォールに設定すべくユーザネットワークのファイアウォールに設けられた前記記憶手段に記憶するユーザ側比較手段とを有することを要旨とする。
【００２１】
請求項５記載の本発明にあっては、インターネットサービス提供者管理端末によりインターネットサービス提供者のセキュリティポリシのハッシュ値を計算して保存し、インターネットサービス提供者の秘密鍵を使用して前記ハッシュ値を暗号化し、この暗号化ハッシュ値とインターネットサービス提供者のセキュリティポリシをユーザネットワークのファイアウォールに送信し、ユーザ管理端末によりユーザのセキュリティポリシのハッシュ値を計算して保存し、ユーザの秘密鍵を使用して前記ハッシュ値を暗号化し、この暗号化ハッシュ値とユーザのセキュリティポリシをユーザネットワークのファイアウォールに送信し、ユーザネットワークのファイアウォールではインターネットサービス提供者の公開鍵で暗号化ハッシュ値を復号してハッシュ値を取得し、受信したインターネットサービス提供者のセキュリティポリシのハッシュ値を計算し、両ハッシュ値を比較して、正当なインターネットサービス提供者からの真のセキュリティポリシであると確認すると、ユーザネットワークのファイアウォールに設定するとともに、またユーザの公開鍵で暗号化ハッシュ値を復号してハッシュ値を取得し、受信したユーザのセキュリティポリシのハッシュ値を計算し、両ハッシュ値を比較して、正当なユーザからの真のセキュリティポリシであると確認すると、ユーザネットワークのファイアウォールに設定するため、ユーザネットワークのファイアウォールに設定されるインターネットサービス提供者およびユーザのセキュリティポリシがそれぞれ正当なユーザおよびインターネットサービス提供者によって作成した真のセキュリティポリシであるか否かを適確に確認することができる。
【００２２】
更に、請求項６記載の本発明は、請求項５記載の発明において、前記インターネットサービス提供者管理端末が、ユーザネットワークのファイアウォールからインターネットサービス提供者のセキュリティポリシを受信する受信手段と、この受信したセキュリティポリシのハッシュ値をハッシュ関数により計算するハッシュ値計算手段と、この計算したハッシュ値をインターネットサービス提供者管理端末において前記保存したハッシュ値と比較し、この比較の結果、両ハッシュ値が一致しない場合には、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシは改竄されていると判定し、両ハッシュ値が一致する場合には、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシが改竄されていないことを確認する比較確認手段とを有し、前記ユーザ管理端末が、ユーザネットワークのファイアウォールからユーザのセキュリティポリシを受信する受信手段と、この受信したセキュリティポリシのハッシュ値をハッシュ関数により計算するハッシュ値計算手段と、この計算したハッシュ値をユーザ管理端末において前記保存したハッシュ値と比較し、この比較の結果、両ハッシュ値が一致しない場合には、ユーザネットワークのファイアウォールに設定されているユーザのセキュリティポリシは改竄されていると判定し、両ハッシュ値が一致する場合には、ユーザネットワークのファイアウォールに設定されているユーザのセキュリティポリシが改竄されていないことを確認する比較確認手段とを有することを要旨とする。
【００２３】
請求項６記載の本発明にあっては、インターネットサービス提供者管理端末でユーザネットワークのファイアウォールからインターネットサービス提供者のセキュリティポリシを受信し、このセキュリティポリシのハッシュ値を計算し、保存したハッシュ値と比較し、この比較の結果によりユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシは改竄されているか否かを確認し、ユーザ管理端末でユーザネットワークのファイアウォールからユーザのセキュリティポリシを受信し、このセキュリティポリシのハッシュ値を計算し、保存したハッシュ値と比較し、この比較の結果によりユーザネットワークのファイアウォールに設定されているユーザのセキュリティポリシは改竄されているか否かを確認するため、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者およびユーザのセキュリティポリシが改竄されているか否かをインターネットサービス提供者管理端末およびユーザ管理端末からそれぞれ確認することができる。
【００２４】
請求項７記載の本発明は、請求項１乃至３のいずれか１項に記載のセキュリティポリシ設定方法をコンピュータ実行可能なセキュリティポリシ設定プログラムとして記録媒体に記録しているため、該記録媒体を用いて、その流通性を高めることができる。
【００２５】
【発明の実施の形態】
以下、図面を用いて本発明の実施の形態を説明する。図１は、本発明の一実施形態に係わるセキュリティポリシ設定方法を実施するインターネット接続構成を示す図である。
【００２６】
同図に示すように、ユーザネットワーク１はインターネットサービス提供者ネットワーク５に設けられたルータ５１を介してインターネットサービス提供者ネットワーク５およびインターネット３に接続されている。また、ユーザネットワーク１に設けられたクライアント１５をインターネット３からの不正アクセスから防御するためにユーザネットワーク１においてブロードバンドルータにファイアウォール１１が設けられている。更に、インターネットサービス提供者ネットワーク５に設けられたサーバ５５をインターネット３やユーザネットワーク１からの不正アクセスから防御するためにインターネットサービス提供者ネットワーク５にファイアウォール５３が設けられている。
【００２７】
図１に示す実施形態においては、ユーザネットワーク１においてユーザ管理端末１３がファイアウォール１１に接続され、インターネットサービス提供者ネットワーク５においてはインターネットサービス提供者管理端末５７がファイアウォール５３に接続されて設けられているが、ユーザ管理端末１３によりユーザのセキュリティポリシをユーザネットワーク１のファイアウォール１１に設定するとともに、またインターネットサービス提供者管理端末５７によりインターネットサービス提供者のセキュリティポリシをユーザネットワーク１のファイアウォール１１に設定し、これによりユーザネットワーク１への不正アクセスを防御するとともにインターネットサービス提供者ネットワーク５への不正アクセスもユーザネットワーク１で防御して、不正アクセスのトラヒックの増加を防止している。なお、図１においては、認証局（ＣＡ）６１がインターネットサービス提供者ネットワーク５のルータ５１に接続されて設けられている。
【００２８】
上述したように、ユーザネットワーク１のファイアウォール１１に設定されるセキュリティポリシは、ユーザネットワーク１のファイアウォール１１に設けられている図示しないセキュリティポリシ記憶部に図２に示すように記憶される。
【００２９】
このセキュリティポリシは、ユーザネットワーク１およびインターネットサービス提供者ネットワーク５のセキュリティを確保するためにユーザネットワーク１およびインターネットサービス提供者ネットワーク５への不正アクセスを規制するための複数の動作規則から構成されている。本実施形態では、ユーザネットワーク１とインターネットサービス提供者ネットワーク５の両ネットワークへの不正アクセスを規制するためにユーザのセキュリティポリシとインターネットサービス提供者のセキュリティポリシの両方のセキュリティポリシをユーザネットワーク１のファイアウォール１１に一緒に共存させて記憶するため、両セキュリティポリシを明確に区別するための区切り情報を使用し、この区切り情報によりユーザのセキュリティポリシとインターネットサービス提供者のセキュリティポリシとを区分けしている。
【００３０】
図２に示すように、ユーザネットワーク１のファイアウォール１１に設定されるセキュリティポリシは、優先度／区切り、内容／条件、動作からなる項目で示される内容を有する複数の動作規則または区切り情報を定義した複数の行から構成され、各行が動作規則であるか区切り情報であるかは優先度／区切りの項目の内容で示されている。
【００３１】
図２において、２０１で示す第１行は、区切り情報を示し、その内容／条件は「インターネットサービス提供者開始」と記載されているようにインターネットサービス提供者のセキュリティポリシの開始を示す行であり、この行の次の行からインターネットサービス提供者のセキュリティポリシが記憶されていることを示している。
【００３２】
２０２で示す第２行は、「ＩＳＰ優先度１」と記載されているようにインターネットサービス提供者（ＩＳＰ）の優先度１の動作規則であることを示し、この動作規則の内容／条件は、「ユーザネットワークからサーバへ」と記載されているように「ユーザネットワーク１からインターネットサービス提供者ネットワーク５のサーバ５５へのアクセス」という動作規制の対象内容を示し、この対象内容の「ユーザネットワーク１からインターネットサービス提供者ネットワーク５のサーバ５５へのアクセス」は動作の項目で示すように「通過」するとなっているように、この第２行の動作規則は、ユーザネットワーク１からインターネットサービス提供者ネットワーク５のサーバ５５へのパケットのアクセスを通過するというものである。
【００３３】
２０３で示す第３行は、同様にして、インターネットサービス提供者の優先度２の動作規則であり、その内容はインターネットサービス提供者管理端末５７からユーザネットワーク１のファイアウォール１１へのパケットのアクセスを通過するというものである。
【００３４】
２０４で示す第４行は、区切り情報であり、インターネットサービス提供者のセキュリティポリシの終了を示す行であり、この行の前の行までがインターネットサービス提供者のセキュリティポリシであることを示している。
【００３５】
２０５で示す第５行は、区切り情報であり、ユーザのセキュリティポリシの開始を示す行であり、この行の次の行からユーザのセキュリティポリシが記憶されていることを示している。
【００３６】
２０６で示す第６行は、「ユーザ優先度１」と記載されているようにユーザの優先度１の動作規則であることを示し、この動作規則の内容／条件および動作は、クライアント１５からインターネット３へパケットのアクセスを通過するというものである。
【００３７】
２０７で示す第７行は、「ユーザ優先度２」と記載されているようにユーザの優先度２の動作規則であることを示し、この動作規則の内容／条件および動作は、クライアント１５からインターネットサービス提供者ネットワーク５のサーバ５５へパケットのアクセスを通過するというものである。
【００３８】
２０８で示す第８行は、「ユーザ優先度３」と記載されているようにユーザの優先度３の動作規則であることを示し、この動作規則の内容／条件および動作は、ユーザ管理端末１３からユーザネットワーク１のファイアウォール１１へパケットのアクセスを通過するというものである。
【００３９】
２０９で示す第９行は、区切り情報であり、ユーザのセキュリティポリシの終了を示す行であり、この行の前の行までがユーザ提供者のセキュリティポリシであることを示している。また、２１０で示す最後の第１０行は、デフォルトであり、最も優先度の低い動作規則として、アクセスするすべてのパケットを破棄するという動作規則を示している。
【００４０】
なお、図２に示すセキュリティポリシを構成する各動作規則は、ＩＳＰ優先度１、ＩＳＰ優先度２、ユーザ優先度１、ユーザ優先度２で示すように、図２の表において上方に定義されている動作規則ほど、優先度が高く、下方に定義されているものほど、優先度が低いように設定されている。そして、ユーザネットワーク１のファイアウォール１１においては、このように設定されたセキュリティポリシに基づいて各アクセスに対する規制を判断するに当っては、各アクセスの内容を図２に示すセキュリティポリシの上方の優先度の高い動作規則から順番に照合して、各アクセスに対する規制または通過を判断するようになっている。また、図２に示すセキュリティポリシでは、インターネットサービス提供者のセキュリティポリシがユーザのセキュリティポリシよりも上方に記載されている優先度が高く設定されているが、これはインターネットサービス提供者とユーザが事前に協議して決めた場合を示しているものである。
【００４１】
なお、図２に示すようにユーザネットワーク１のファイアウォール１１に設定されるインターネットサービス提供者およびユーザのセキュリティポリシは、初期状態では、図９に示すように、ＩＳＰ優先度２およびユーザ優先度２、ユーザ優先度３がなく、ＩＳＰ優先度１は、条件が「インターネットサービス提供者管理端末からユーザネットワークのファイアウォールへ」となり、またユーザ優先度１は、条件が「ユーザ管理端末からユーザネットワークのファイアウォールへ」となっている。
【００４２】
次に、図３に示すフローチャートを参照して、インターネットサービス提供者がインターネットサービス提供者管理端末５７を使用してインターネットサービス提供者のセキュリティポリシを作成し、このセキュリティポリシをユーザネットワーク１のファイアウォール１１に送信する処理について説明する。なお、以降の説明においては、図２の第２行および第３行で規定する動作規則からなるインターネットサービス提供者のセキュリティポリシをセキュリティポリシＡと記載し、第６行から第８行で規定する動作規則からなるユーザのセキュリティポリシをセキュリティポリシＢと記載する。
【００４３】
図３において、インターネットサービス提供者は、ユーザネットワーク１のファイアウォール１１に設定する自身のセキュリティポリシＡを作成し（ステップＳ１１）、この作成したセキュリティポリシＡのハッシュ値ｈ（Ａ）をインターネットサービス提供者管理端末５７においてハッシュ関数ｈにより計算して保存する（ステップＳ１３）。それから、インターネットサービス提供者は、インターネットサービス提供者自身の秘密鍵Ｋｐｒｉを使用して、前記ハッシュ値ｈ（Ａ）をインターネットサービス提供者管理端末５７で暗号化し、暗号化ハッシュ値Ｘ（Ａ）を計算する（ステップＳ１５）。
【００４４】
次に、インターネットサービス提供者は、前記暗号化したハッシュ値Ｘ（Ａ）とインターネットサービス提供者が作成した前記セキュリティポリシＡをインターネットサービス提供者管理端末５７からユーザネットワーク１に設けられたファイアウォール１１に送信する（ステップＳ１７）。この結果、ユーザネットワーク１のファイアウォール１１は、暗号化ハッシュ値Ｘ（Ａ）とインターネットサービス提供者のセキュリティポリシＡを受け取る。
【００４５】
次に、図４に示すフローチャートを参照して、ユーザがユーザ管理端末１３を使用してユーザのセキュリティポリシＢを作成し、このセキュリティポリシＢをユーザネットワーク１のファイアウォール１１に送信する処理について説明する。
【００４６】
図４において、ユーザは、ユーザネットワーク１のファイアウォール１１に設定するセキュリティポリシＢを作成し（ステップＳ２１）、この作成したセキュリティポリシＢのハッシュ値ｈ（Ｂ）をユーザ管理端末１３においてハッシュ関数ｈにより計算して保存する（ステップＳ２３）。それから、ユーザは、ユーザ自身の秘密鍵Ｋ’ｐｒｉを使用して、前記ハッシュ値ｈ（Ｂ）をユーザ管理端末１３で暗号化し、暗号化ハッシュ値Ｘ’（Ｂ）を計算する（ステップＳ２５）。
【００４７】
次に、ユーザは、前記暗号化したハッシュ値Ｘ’（Ｂ）とユーザが作成した前記セキュリティポリシＢをユーザ管理端末１３からユーザネットワーク１のファイアウォール１１に送信する（ステップＳ２７）。この結果、ユーザネットワーク１のファイアウォール１１は、暗号化ハッシュ値Ｘ’（Ｂ）とユーザのセキュリティポリシＢを受け取る。
【００４８】
次に、図５に示すファイアウォール１１の構成および図６に示すフローチャートを参照して、ユーザネットワーク１のファイアウォール１１がインターネットサービス提供者管理端末５７から受け取ったセキュリティポリシＡを設定する処理について説明する。
【００４９】
図５および図６において、ユーザネットワーク１のファイアウォール１１は、図３のステップＳ１７で説明したようにインターネットサービス提供者管理端末５７から送信された暗号化ハッシュ値Ｘ（Ａ）とインターネットサービス提供者の作成したセキュリティポリシＡを受信すると、インターネットサービス提供者の秘密鍵Ｋｐｒｉに対応する公開鍵Ｋｐｕｂを認証局（ＣＡ）６１から取得し、この公開鍵Ｋｐｕｂを使用して前記暗号化ハッシュ値Ｘ（Ａ）を復号部２１で復号し、ハッシュ値ｈ（Ａ）を得る（ステップＳ３１）。
【００５０】
また、ファイアウォール１１は、インターネットサービス提供者管理端末５７から受け取ったセキュリティポリシＡのハッシュ値ｈ（Ａ）をハッシュ関数によりハッシュ値計算部２３で計算し、この計算したハッシュ値ｈ（Ａ）と前記復号部２１で復号したハッシュ値ｈ（Ａ）とを比較部２５で比較し、この比較の結果、両ハッシュ値が異なる場合には、正当なインターネットサービス提供者からの真のセキュリティポリシＡでないと判定して、該セキュリティポリシＡを破棄するが、両ハッシュ値が同じである場合には、正当なインターネットサービス提供者からの真のセキュリティポリシＡであると判定して、該セキュリティポリシＡをインターネットサービス提供者のセキュリティポリシＡとしてファイアウォール１１のセキュリティポリシ記憶部２７に記憶設定する（ステップＳ３３）。
【００５１】
次に、図７に示すフローチャートを参照して、ユーザネットワーク１のファイアウォール１１がユーザ管理端末１３から受け取ったセキュリティポリシＢを設定する処理について説明する。
【００５２】
図７において、ユーザネットワーク１のファイアウォール１１は、図４のステップＳ２７で説明したようにユーザ管理端末１３から送られた暗号化ハッシュ値Ｘ’（Ｂ）とユーザの作成したセキュリティポリシＢを受け取ると、ユーザの秘密鍵Ｋ’ｐｒｉに対応する公開鍵Ｋ’ｐｕｂを認証局（ＣＡ）６１から取得し、この公開鍵Ｋ’ｐｕｂを使用して前記暗号化ハッシュ値Ｘ’（Ｂ）を復号し、ハッシュ値ｈ（Ｂ）を得る（ステップＳ４１）。
【００５３】
また、ファイアウォール１１は、ユーザ管理端末１３から受け取ったセキュリティポリシＢのハッシュ値ｈ（Ｂ）をハッシュ関数により計算し、この計算したハッシュ値ｈ（Ｂ）と前記復号したハッシュ値ｈ（Ｂ）とを比較し、この比較の結果、両ハッシュ値が異なる場合には、正当なユーザからの真のセキュリティポリシＢでないと判定して、該セキュリティポリシＢを破棄するが、両ハッシュ値が同じである場合には、正当なユーザからの真のセキュリティポリシＢであると判定して、該セキュリティポリシＢをユーザのセキュリティポリシＢとしてファイアウォール１１のセキュリティポリシ記憶部２７に記憶設定する（ステップＳ４３）。
【００５４】
次に、図８に示すインターネットサービス提供者管理端末５７の構成を参照して、インターネットサービス提供者がインターネットサービス提供者管理端末５７を使用して、ユーザネットワーク１のファイアウォール１１に設定されているインターネットサービス提供者のセキュリティポリシＡが改竄されているか否かを確認する処理について説明する。
【００５５】
インターネットサービス提供者は、インターネットサービス提供者管理端末５７によりユーザネットワーク１のファイアウォール１１からセキュリティポリシ記憶部２７に記憶されているインターネットサービス提供者用のセキュリティポリシＡを受信し、この受信したセキュリティポリシＡのハッシュ値ｈ（Ａ）をハッシュ関数によりハッシュ値計算部４３で計算し、この計算したハッシュ値ｈ（Ａ）を前記保存したハッシュ値ｈ（Ａ）と比較し、すなわち前述したステップＳ１３で保存したハッシュ値ｈ（Ａ）をハッシュ値記憶部４１から読み出して、比較部４５で比較する。
【００５６】
この比較の結果、両ハッシュ値が一致しない場合には、ユーザネットワーク１のファイアウォール１１に設定されているインターネットサービス提供者のセキュリティポリシＡは改竄されていると判定し、両ハッシュ値が一致する場合には、ファイアウォール１１に設定されているインターネットサービス提供者用のセキュリティポリシＡは改竄されていないことを確認する。
【００５７】
次に、ユーザがユーザ管理端末１３を使用して、ユーザネットワーク１のファイアウォール１１に設定されているユーザのセキュリティポリシＢが改竄されているか否かを確認する処理について説明する。
【００５８】
ユーザは、ユーザ管理端末１３によりユーザネットワーク１のファイアウォール１１からセキュリティポリシ記憶部に記憶されているユーザのセキュリティポリシＢを受信し、この受信したセキュリティポリシＢのハッシュ値ｈ（Ｂ）をハッシュ関数ｈにより計算し、この計算したハッシュ値ｈ（Ｂ）を前記保存したハッシュ値ｈ（Ｂ）と比較し、すなわち前述したステップＳ２３で保存したハッシュ値ｈ（Ｂ）と比較する。
【００５９】
この比較の結果、両ハッシュ値が一致しない場合には、ファイアウォール１１に設定されているユーザのセキュリティポリシＢが改竄されていると判定し、両ハッシュ値が一致する場合には、ファイアウォール１１に設定されているユーザのセキュリティポリシＢは改竄されていないことを確認する。
【００６０】
上記実施形態では、インターネットサービス提供者およびユーザのセキュリティポリシは、図２に示した前記実施形態のように、また一般的には図１０（ａ）に示すように、インターネットサービス提供者のセキュリティポリシの前後およびユーザのセキュリティポリシの前後に区切り情報が設けられているが、本発明は、これに限定されるものでなく、図１０（ｂ）に示すように、インターネットサービス提供者のセキュリティポリシとユーザのセキュリティポリシとの間にのみ区切り情報を設けて、この区切り情報により「ここまでインターネットサービス提供者」と定義し、この区切り情報よりの上はインターネットサービス提供者のセキュリティポリシであり、下はユーザのセキュリティポリシであるとしてもよいものである。
【００６１】
なお、上記実施形態のセキュリティポリシ設定方法の処理手順をプログラムとして例えばＣＤやＦＤなどの記録媒体に記録して、この記録媒体をコンピュータシステムに組み込んだり、または記録媒体に記録されたプログラムを通信回線を介してコンピュータシステムにダウンロードしたり、または記録媒体からインストールし、該プログラムでコンピュータシステムを作動させることにより、セキュリティポリシ設定方法を実施するセキュリティポリシ設定方法として機能させることができることは勿論であり、このような記録媒体を用いることにより、その流通性を高めることができるものである。
【００６２】
【発明の効果】
以上説明したように、本発明によれば、ユーザが設定するセキュリティポリシとインターネットサービス提供者が設定するセキュリティポリシを区別するための区切り情報を両セキュリティポリシの間または各セキュリティポリシの前後に設定するので、ユーザとインターネットサービス提供者の両方のセキュリティポリシをユーザネットワークのファイアウォールに共存させて設定でき、これによりユーザネットワークへの不正アクセスを防御しつつインターネットサービス提供者ネットワークへの不正アクセスをユーザネットワークで防御でき、不正アクセスによるネットワークのトラヒック増加を防止することができる。
【００６３】
また、本発明によれば、ユーザネットワークのファイアウォールにおいてインターネットサービス提供者とユーザからセキュリティポリシとともに受信した暗号化ハッシュ値を復号し、前記受信したセキュリティポリシのハッシュ値と比較するので、この比較結果によりユーザネットワークのファイアウォールに設定されるインターネットサービス提供者およびユーザのセキュリティポリシがそれぞれ正当なユーザおよびインターネットサービス提供者によって作成した真のセキュリティポリシであるか否かを適確に確認することができる。
【００６４】
更に、本発明によれば、ユーザネットワークのファイアウォールに設定されたセキュリティポリシについてインターネットサービス提供者およびユーザはそのハッシュ値と先に保存したセキュリティポリシのハッシュ値と比較するので、その比較結果によりユーザネットワークのファイアウォールに設定されているインターネットサービス提供者およびユーザのセキュリティポリシが改竄されているか否かをインターネットサービス提供者管理端末およびユーザ管理端末からそれぞれ簡単かつ適確に確認することができる。
【００６５】
本発明によれば、セキュリティポリシ設定方法をセキュリティポリシ設定プログラムとして例えば記録媒体などに記録してコンピュータに実行させるので、該記録媒体を用いて、その流通性を高めることができる。
【図面の簡単な説明】
【図１】本発明の一実施形態に係わるセキュリティポリシ設定方法を実施するインターネット接続構成を示す図である。
【図２】図１に示す実施形態のセキュリティポリシ設定方法で設定されるセキュリティポリシを示す図である。
【図３】図１に示す実施形態において、インターネットサービス提供者がインターネットサービス提供者管理端末を使用してインターネットサービス提供者のセキュリティポリシを作成し、このセキュリティポリシをユーザネットワークのファイアウォールに送信する処理を示すフローチャートである。
【図４】図１に示す実施形態において、ユーザがユーザ管理端末を使用してユーザのセキュリティポリシを作成し、このセキュリティポリシをユーザネットワークのファイアウォールに送信する処理を示すフローチャートである。
【図５】図１に示す実施形態において、ユーザネットワークのファイアウォールがインターネットサービス提供者管理端末から受け取ったセキュリティポリシを設定する場合のユーザネットワークのファイアウォールの構成を示すブロック図である。
【図６】図１に示す実施形態において、ユーザネットワークのファイアウォールがインターネットサービス提供者管理端末から受け取ったセキュリティポリシを設定記憶する処理を示すフローチャートである。
【図７】図１に示す実施形態において、ユーザネットワークのファイアウォールがユーザ管理端末から受け取ったセキュリティポリシを設定記憶する処理を示すフローチャートである。
【図８】図１の実施形態において、インターネットサービス提供者がインターネットサービス提供者管理端末を使用して、ユーザネットワークのファイアウォールに設定されているインターネットサービス提供者のセキュリティポリシが改竄されているか否かを確認する場合のインターネットサービス提供者管理端末の構成を示すブロック図である。
【図９】図１に示す実施形態のセキュリティポリシ設定方法で設定されるセキュリティポリシの初期状態を示す図である。である。
【図１０】インターネットサービス提供者とユーザのセキュリティポリシを区切り情報で区別して設定する別の方法を示す図である。
【図１１】ユーザネットワークにファイアウォールを設ける場合の従来のインターネット接続構成を示す図である。
【図１２】インターネットサービス提供者ネットワークにファイアウォールを設ける場合の従来のインターネット接続構成を示す図である。
【符号の説明】
１  ユーザネットワーク
３  インターネット
５  インターネットサービス提供者ネットワーク
１１  ファイアウォール
１３  ユーザ管理端末
１５  クライアント
２１  復号部
２３，４３  ハッシュ値計算部
２５，４５  比較部
２７  セキュリティポリシ記憶部
３３  サーバ
４１  ハッシュ値記憶部
５１  ルータ
５３  ファイアウォール
５５  サーバ
５７  インターネットサービス提供者管理端末
６１  認証局（ＣＡ）
【図１】
2004355285.tif 000003
【図２】
2004355285.tif 000004
【図３】
2004355285.tif 000005
【図４】
2004355285.tif 000006
【図５】
2004355285.tif 000007
【図６】
2004355285.tif 000008
【図７】
2004355285.tif 000009
【図８】
2004355285.tif 000010
【図９】
2004355285.tif 000011
【図１０】
2004355285.tif 000012
【図１１】
2004355285.tif 000013
【図１２】
2004355285.tif 000014