(57)【特許請求の範囲】
【請求項１】
広域網または異なる複数の所定の閉域網各々と別の閉域網を介して接続されており、前記広域網または前記所定の閉域網へ送信されるパケットおよび／または前記広域網または前記所定の閉域網から送信されるパケットをフィルタリングするパケットフィルタリング装置であって、
前記パケットを当該パケットの種別に応じてフィルタリングする複数のフィルタ手段と、
前記広域網または前記所定の閉域網各々に接続された複数の端末装置各々に送信されるパケットおよび／または前記複数の端末装置各々から送信されるパケットを、前記広域網または前記所定の閉域網各々と接続される前記別の閉域網を介して受信するパケット受信手段と、
前記パケット受信手段により受信したパケットを当該パケットの種別に応じて前記複数のフィルタ手段へ振分けるパケット振分手段と、
前記複数のフィルタ手段によりフィルタリングされたパケットを送信先に配送するパケット配送手段と、
前記所定の閉域網に接続されている複数の端末装置ごとに、前記広域網で使用されるアドレス情報であって当該パケットフィルタリング装置に設定されているグローバルアドレス情報と前記所定の閉域網で使用されるアドレス情報であるプライベートアドレス情報とを対応付けて記憶するアドレス情報記憶手段を備え、
前記パケット配送手段は、前記パケット受信手段によって、前記所定の閉域網に接続される端末装置宛のパケットが前記広域網を介して受信された場合、前記アドレス情報記憶手段を参照して当該パケットの送信先をグローバルアドレス情報からプライベートアドレス情報に付け替えて前記送信先が接続される前記別の閉域網を介して配送し、前記所定の閉域網に接続される端末装置宛のパケットが前記別の閉域網を介して受信された場合、前記アドレス情報記憶手段を参照して当該パケットの送信元をプライベートアドレス情報からグローバルアドレス情報に付け替えるとともに、当該パケットの送信先をグローバルアドレス情報からプライベートアドレス情報に付け替えて前記送信先が接続される前記別の閉域網を介して配送し、前記広域網に接続される端末装置宛のパケットが前記別の閉域網を介して受信された場合、前記アドレス情報記憶手段を参照して当該パケットの送信元をプライベートアドレス情報からグローバルアドレス情報に付け替えて前記広域網を介して配送する
ことを特徴とするパケットフィルタリング装置。
【請求項２】
前記パケット配送手段は、セキュアな伝送路を介して前記端末装置に前記パケットを配送することを特徴とする請求項１に記載のパケットフィルタリング装置。
【請求項３】
前記パケット受信手段は、セキュアな伝送路を介して前記端末装置から前記パケットを受信することを特徴とする請求項１または２に記載のパケットフィルタリング装置。
【請求項４】
前記パケット振分手段は、前記パケット受信手段により受信したパケットを処理するアプリケーションの種別に応じて振分けることを特徴とする請求項１〜３のいずれか一つに記載のパケットフィルタリング装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、パケットフィルタリングを行うパケットフィルタリング装置およびパケットフィルタリングプログラムに関するものである。
【背景技術】
【０００２】
従来より、インターネットアプリケーションの機能の１つとして、オープンネットワーク上で不特定多数の端末と通信することがあるため、当該アプリケーションを実装する端末に対してセキュリティを確保するための対策が行われてきた。
【０００３】
このようなセキュリティを確保する対策として、閉域網などの内部ネットワーク（例えば、企業内ＬＡＮなど）と広域網などの外部ネットワーク（例えば、公衆網やインターネットなど）との間に通信回線を物理的に制御する装置（例えば、非特許文献１を参照）を設けて、外部ネットワークから内部ネットワークに対して、または、内部ネットワークから外部ネットワークに対して不正アクセス、コンピュータウイルス、ＤｏＳ（Ｄｅｎｉａｌ  ｏｆ  Ｓｅｒｖｉｃｅ）攻撃などがあった場合に、通信回線を物理的に切断制御することで、内部ネットワークを保護するものがある。また、広域網を提供するＩＳＰ業者（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）側で、提供している広域網を構成するルータなどの各所に通信回線を物理的に制御する装置を広域に万遍なく配備する形態も知られている。
【０００４】
【非特許文献１】“ステートフル・インスペクション技術”、［online］、［平成１７年９月２８日検索］、インターネット＜http://www.checkpoint.co.jp/products/download/Stateful_Inspection.pdf＞
【発明の開示】
【発明が解決しようとする課題】
【０００５】
ところで、上記した従来の技術では、広域網を利用する企業や広域網を提供するＩＳＰ業者は、閉域網と広域網との接続ポイント毎にセキュリティ対策を行う装置を配備する必要があるので、冗長な設備投資および運用コストの増加という問題点があった。
【０００６】
また、広域網を利用する企業のセキュリティ対策は、その企業に依存しているので、セキュリティの認識違いによるセキュリティ対策の不統一やセキュリティ情報の更新漏れによる被害の増加という問題点があった。
【０００７】
そこで、この発明は、上述した従来技術の課題を解決するためになされたものであり、ＩＳＰ業者と企業との両者に対して、セキュリティ対策の冗長な設備投資および運用コストの増加を防止することが可能であるとともに、セキュリティ対策の不統一およびセキュリティ情報の更新漏れを防止することが可能であるパケットフィルタリング装置を提供することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するため、本発明は、広域網または異なる複数の所定の閉域網各々と別の閉域網を介して接続されており、前記広域網または前記所定の閉域網へ送信されるパケットおよび／または前記広域網または前記所定の閉域網から送信されるパケットをフィルタリングするパケットフィルタリング装置であって、前記パケットを当該パケットの種別に応じてフィルタリングする複数のフィルタ手段と、前記広域網または前記所定の閉域網各々に接続された複数の端末装置各々に送信されるパケットおよび／または前記複数の端末装置各々から送信されるパケットを、前記広域網または前記所定の閉域網各々と接続される前記別の閉域網を介して受信するパケット受信手段と、前記パケット受信手段により受信したパケットを当該パケットの種別に応じて前記複数のフィルタ手段へ振分けるパケット振分手段と、前記複数のフィルタ手段によりフィルタリングされたパケットを送信先に配送するパケット配送手段と、前記所定の閉域網に接続されている複数の端末装置ごとに、前記広域網で使用されるアドレス情報であって当該パケットフィルタリング装置に設定されているグローバルアドレス情報と前記所定の閉域網で使用されるアドレス情報であるプライベートアドレス情報とを対応付けて記憶するアドレス情報記憶手段を備え、前記パケット配送手段は、前記パケット受信手段によって、前記所定の閉域網に接続される端末装置宛のパケットが前記広域網を介して受信された場合、前記アドレス情報記憶手段を参照して当該パケットの送信先をグローバルアドレス情報からプライベートアドレス情報に付け替えて前記送信先が接続される前記別の閉域網を介して配送し、前記所定の閉域網に接続される端末装置宛のパケットが前記別の閉域網を介して受信された場合、前記アドレス情報記憶手段を参照して当該パケットの送信元をプライベートアドレス情報からグローバルアドレス情報に付け替えるとともに、当該パケットの送信先をグローバルアドレス情報からプライベートアドレス情報に付け替えて前記送信先が接続される前記別の閉域網を介して配送し、前記広域網に接続される端末装置宛のパケットが前記別の閉域網を介して受信された場合、前記アドレス情報記憶手段を参照して当該パケットの送信元をプライベートアドレス情報からグローバルアドレス情報に付け替えて前記広域網を介して配送することを特徴とする。
【０００９】
また、本発明は、上記の発明において、前記パケット配送手段は、セキュアな伝送路を介して前記端末装置に前記パケットを配送することを特徴とする。
【００１１】
また、本発明は、上記の発明において、前記パケット受信手段は、セキュアな伝送路を介して前記端末装置から前記パケットを受信することを特徴とする。
【００１３】
また、本発明は、上記の発明において、前記パケット振分手段は、前記パケット受信手段により受信したパケットを処理するアプリケーションの種別に応じて振分けることを特徴とする。
【発明の効果】
【００１７】
本発明によれば、広域網上（例えば、公衆網、インターネットなど）またはそれと接続される閉域網でパケットを受信してフィルタリングを行い、送信先に配送されるので、広域網と閉域網との接続ポイント毎にセキュリティ対策を行う必要がなく、広域網を提供するＩＳＰ業者と広域網を利用する企業との両者に対して、セキュリティ対策の冗長な設備投資および運用コストの増加を防止することができるとともに、広域網を利用する企業ごとに異なるセキュリティ対策を行う必要がなく、セキュリティ対策の不統一およびセキュリティ情報の更新漏れを防止することが可能である。
【００１８】
また、本発明によれば、セキュアな伝送路を介して端末装置にパケットを配送するので、フィルタリングされたパケットは、盗聴などの危険にさらされることなく、送信先に安全に配送することが可能である。
【００１９】
また、本発明によれば、端末装置に対応したアドレス情報をパケット受信手段により受信したパケットに付け替えて配送するので、本来の送信先である端末装置に正しく配送することが可能であるとともに、送信先が返信可能な送信元アドレスに付け替えられたパケットを受信することが可能である。
【００２０】
また、本発明によれば、セキュアな伝送路を介して端末装置からのパケットを受信するので、盗聴などの危険にさらされることなく、送信元の端末装置から安全にパケットを受信することが可能である。
【００２１】
また、本発明によれば、パケット受信手段により受信したパケットを当該パケットの種別に応じて複数のフィルタに振分けてフィルタリングを行うので、複数のセキュリティ機能を１つのポイントに集約して配備でき、例えば、不正アクセス、コンピュータウイルス、Ｄｏｓ攻撃など様々なセキュリティ対策を行うことができ、セキュリティ対策の冗長な設備投資および運用コストの増加を防止することが可能である。
【００２２】
また、本発明によれば、パケット受信手段により受信したパケットをアプリケーションの種別により振分けてフィルタリングを行うので、例えば、ＨＴＴＰやＭＡＩＬなど様々なアプリケーションに対応したセキュリティ対策を行うことができ、セキュリティ対策の冗長な設備投資および運用コストの増加を防止することが可能である。
【００２３】
また、本発明によれば、パケット受信手段により受信したパケットを端末装置、広域網または閉域網の契約状況に応じて振分けてフィルタリングを行うので、契約者に必要なセキュリティ対策のみを行うことができ、冗長な設備投資および運用コストの増加を防止することが可能である。
【００２４】
また、本発明によれば、パケット受信手段により受信したパケットを複数のフィルタ手段の負荷状況に応じて振分けてフィルタリングを行うので、例えば、負荷が少ないフィルタに優先して振分けるなどを行うことができ、フィルタリングによるパケットの遅延を防止することが可能である。
【発明を実施するための最良の形態】
【００２５】
以下に添付図面を参照して、この発明に係るパケットフィルタリング装置の実施例（実施例１〜２）を詳細に説明する。
【実施例１】
【００２６】
以下の実施例１では、本発明に係るパケットフィルタリング装置の概要および特徴、パケットフィルタリング装置の構成および処理の流れ、実施例１による効果等を順に説明する。
【００２７】
［パケットフィルタリング装置の概要および特徴］
まず最初に、図１を用いて、本実施例に係パケットフィルタリング装置の概要および特徴を説明する。図１は、本実施例に係るパケットフィルタリング装置を含むシステムの全体構成を示すシステム構成図である。
【００２８】
このパケットフィルタリング装置は、パケットをフィルタリングしてセキュリティ対策を行うことを概要とするものであり、セキュリティ対策の冗長な設備投資および運用コストの増加を防止することができる点と、セキュリティ対策の不統一およびセキュリティ情報の更新漏れを防止することができる点とに主たる特徴がある。
【００２９】
同図に示すように、パケットフィルタリング装置１１と、Ａ企業内ＬＡＮ１２と、Ｂ企業内ＬＡＮ１３と、Ｃ企業内ＬＡＮ１４と、Ｄ企業内ＬＡＮ１５とは、広域網１０（公衆網やインターネット網などによって形成される通信網）を介して接続される。そして、Ａ企業内ＬＡＮ１２およびＢ企業内ＬＡＮ１３は、パケットフィルタリング装置１１が提供するセキュリティ対策サービスの契約下にある。
【００３０】
そして、それぞれの企業内ＬＡＮには端末装置が接続され、端末装置にはＬＡＮ内だけで通用するプライベートアドレス（以下、ＰＩＰと言う）が設定されている。具体的には、Ａ企業内ＬＡＮ１２にはＰＩＰ（１０．１．１．１）が設定された端末装置Ａ１２ａが接続されており、Ｂ企業内ＬＡＮ１３にはＰＩＰ（１０．２．２．２）が設定された端末装置１３ａが設定されており、Ｃ企業内ＬＡＮ１４にはＰＩＰ（１０．３．３．３）が設定された端末装置１４ａが接続されており、Ｄ企業内ＬＡＮにはＰＩＰ（１０．４．４．４）が設定された端末装置１５ａが接続されている。
【００３１】
また、パケットフィルタリング装置１１には、契約下にある企業内ＬＡＮに接続されている端末装置Ａ１２ａおよび端末装置Ｂ１３ａが、広域網１０上での通信を可能にするために一意に割り当てられたグローバルＩＰアドレス（以下、ＧＩＰと言う）である１．１．１．１および２．２．２．２が設定されている。また、パケットフィルタリング装置１１は、契約下にある端末装置のＰＩＰ（１０．１．１．１および１０．２．２．２）とＧＩＰ（１．１．１．１および２．２．２．２）とを関連付けたＧＩＰ・ＰＩＰ情報１９を記憶している。
【００３２】
そして、パケットフィルタリング装置１１と、契約下にあるＡ企業内ＬＡＮ１２およびＢ企業内ＬＡＮ１３とは、それぞれ仮想的なＬＡＮで接続されており、契約下にある企業内ＬＡＮに接続された端末装置に対する広域網１０との入出力トラフィックが、パケットフィルタリング装置１１を経由するように構成されている。
【００３３】
このようなシステム構成の元、パケットフィルタリング装置１１は、契約下にある端末装置に送信されるパケットおよび／または契約下にある端末装置から送信されるパケットを広域網で受信し、受信したパケットをフィルタリングした後、当該パケットを送信先に配送する。
【００３４】
例えば、契約下にない端末装置Ｄ１５ａから契約下にある端末装置Ａ１２ａ（１．１．１．１）に向けてパケットが送信された場合、当該パケットは、端末装置Ａ１２ａの広域網１０におけるＧＩＰ（１．１．１．１）に対してパケットが送信されて、広域網１０では実際にＧＩＰ（１．１．１．１）が設定されているパケットフィルタリング装置１１により受信される。そして、パケットフィルタリング装置１１は、受信したパケットをフィルタリングし、フィルタリングされたパケットの送信先をＧＩＰ（１．１．１．１）に対応する仮想的ＬＡＮ接続での送信先ＰＩＰ（１０．１．１．１）に付け替えて、仮想的なＬＡＮ接続を通して送信先である端末装置Ａ１２ａに配送する。
【００３５】
また、契約下にある端末装置Ａ１２ａ（１０．１．１．１）から契約下にある端末装置Ｂ１３ａ（２．２．２．２）に向けてパケットが送信された場合、当該パケットは仮想的なＬＡＮ接続を介して広域網１０へ出るためのゲートウエイに向かう過程でパケットフィルタリング装置１１を通過する（レイヤ２では受信されるが、レイヤ３では通過する）。その際、パケットフィルタリング装置１１は、パケットをフィルタリングし、フィルタリングされたパケットの送信元であるＰＩＰ（１０．１．１．１）に対応したＧＩＰ（１．１．１．１）に送信元を付け替えて、広域網１０経由で端末装置Ｂ１３ａに配送する。当該パケットは、広域網１０では実際にＧＩＰ（２．２．２．２）が設定されているパケットフィルタリング装置１１により受信される。そして、パケットフィルタリング装置１１は、受信したパケットをフィルタリングし、フィルタリングされたパケットの送信先をＧＩＰ（２．２．２．２）に対応する仮想的ＬＡＮ接続での送信先ＰＩＰ（１０．２．２．２）に付け替えて、仮想的なＬＡＮ接続を通してパケットを端末装置Ｂ１３ａに配送する。
【００３６】
また、契約下にある端末装置Ａ１２ａ（１０．１．１．１）から契約下にない端末装置Ｃ１４ａ（３．３．３．３）に向けてパケットが送信された場合、当該パケットは仮想的なＬＡＮ接続を介して広域網１０へ出るためのゲートウエイに向かう過程でパケットフィルタリング装置１１を通過する（レイヤ２では受信されるが、レイヤ３では通過する）。その際、パケットフィルタリング装置１１は、パケットをフィルタリングし、フィルタリングされたパケットの送信元であるＰＩＰ（１０．１．１．１）に対応したＧＩＰ（１．１．１．１）に送信元を付け替えて、広域網１０経由で端末装置Ｃ１４ａ（３．３．３．３）に配送する。
【００３７】
なお、契約下にない端末装置Ｃ１２ａから契約下にない端末装置Ｄ１５ａ（４．４．４．４）に向けてパケットが送信された場合、当該パケットは、パケットフィルタリング装置１１を経由することなく、ＧＩＰ（４．４．４．４）が割り当てられている端末装置Ｄ１５ａが受信する（レイヤ３だけでなく、レイヤ２においても受信する）。
【００３８】
［パケットフィルタリング装置の構成］
次に、図２を用いて、パケットフィルタリング装置の構成を説明する。図２は、パケットフィルタリング装置の構成を示すブロック図である。同図に示すように、このパケットフィルタリング装置２０は、パケット受信部２１と、フィルタリング部２２と、パケット配送部２３とから構成される。
【００３９】
このうち、パケット受信部２１は、パケットを受信する手段である。具体的には、契約下にある企業内ＬＡＮに接続されている端末装置（例えば、端末装置Ａ１２ａおよび端末装置Ｂ１３ａ）のＧＩＰを送信先とするパケットを広域網１０から受信する。また、契約下にある端末装置のＰＩＰから広域網であるＧＩＰ宛に送信されるパケットを仮想的なＬＡＮ接続経由で受信する。
【００４０】
例えば、契約下にある端末装置Ａ１２ａが広域網１０を利用してパケットを受信する場合、端末装置Ａ１２ａには、ＰＩＰ（１０．１．１．１）が設定されており、パケットフィルタリング装置１１には、ＧＩＰ（１．１．１．１）が設定されている。そのため、ＧＩＰ（１．１．１．１）を送信先とするパケットは、パケットフィルタリング装置１１により受信される。また、端末装置Ｂ１３ａについても同様である。なお、パケット受信部２１は、特許請求の範囲に記載の「パケット受信手段」に対応する。
【００４１】
フィルタリング部２２は、受信したパケットをフィルタリングする手段である。具体的には、パケット振分部２２ａと、ＵＲＬフィルタ２２ｂと、ＡｎｔｉＶｉｒｕｓフィルタ２２ｃと、ＳＰＡＭフィルタ２２ｄとから構成される。なお、フィルタリング部２２は、特許請求の範囲に記載の「フィルタリング手段」に対応し、また、パケット振分部２２ａは、同じく「パケット振分手段」に対応し、ＵＲＬフィルタ２２ｂからＳＰＡＭフィルタ２２ｄは、同じく「複数のフィルタ手段」に対応する。
【００４２】
このうち、パケット振分部２２ａは、受信したパケットを種別に応じて複数のフィルタへ振分ける手段であり、具体的には、受信したパケットの送信先のアプリケーション種別を表すポート番号と送信元ＩＰアドレスまたは送信先ＩＰアドレスとにより複数のフィルタへ振分ける。例えば、図３に示すように、送信先のポート番号がＨＴＴＰ（ＨｉｐｅｒＴｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）の場合、ＵＲＬフィルタ２２ｂへ振分けを行い、また、送信先のポート番号がＳＭＴＰ（Ｓｉｍｐｌｅ  Ｍａｉｌ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）かつ送信先ＩＰアドレスが１．１．１．１の場合、ＡｎｔｉＶｉｒｕｓフィルタ２２ｃに振分ける。
【００４３】
また、いずれかのフィルタへ振分けられたパケットは、フィルタリング後、再びパケット振分部２２ａに戻ってくる。そして、パケット振分部２２ａは、次にフィルタリングを行う必要がある場合は次のフィルタへ振分けを行い、必要がない場合はパケット配送部２３へパケットを転送する。具体的には、送信先のポート番号がＳＭＴＰ（Ｓｉｍｐｌｅ  Ｍａｉｌ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）かつ送信元ＩＰアドレスが１０．２．２．２の場合、まず、ＡｎｔｉＶｉｒｕｓフィルタ２２ｃへ振分けを行い、フィルタリング後に再びパケット振分部２２ａに戻り、次に、ＳＰＡＭフィルタ２２ｄへ振分ける。
【００４４】
ＵＲＬフィルタ２２ｂは、ＵＲＬによりフィルタリングする手段であり、具体的には、閲覧禁止ＵＲＬなどのフィルタリングを行う。例えば、出所不明のＵＲＬやフリーメールなどを使用禁止としておいた場合、当該ＵＲＬにアクセスを試みてもアクセスできないようにフィルタリングを行う。
【００４５】
ＡｎｔｉＶｉｒｕｓフィルタ２２ｃは、コンピュータウイルスをフィルタリングする手段であり、具体的には、ウイルス検出アプリケーションを備えており、受信したパケットにコンピュータウイルスが忍び込んでないかをフィルタリングする。
【００４６】
ＳＰＡＭフィルタ２２ｄは、スパムメールをフィルタリングする手段であり、具体的には、同じ内容を大量に配信するスパムメールの構成を含むパケットをフィルタリングする。
【００４７】
パケット配送部２３は、フィルタリングしたパケットを本来の送信先へ配送する手段である。具体的には、送信先がＧＩＰ（１．１．１．１または２．２．２．２）である広域網経由で受信したパケットについては、送信先のＧＩＰ（１．１．１．１または２．２．２．２）に対応するＰＩＰ（１０．１．１．１または１０．２．２．２）に付け替えて、仮想的なＬＡＮ接続経由でパケットを配送する。また、送信元がＰＩＰ（１０．１．１．１または１０．２．２．２）である仮想的なＬＡＮ経由で受信したパケットについては、送信元のＰＩＰ（１０．１．１．１または１０．２．２．２）に対応するＧＩＰ（１．１．１．１または２．２．２．２）に付け替えて広域網１０に向けて配送する（図４参照）。さらに、パケット配送部２３は、記憶部を備え、ＧＩＰとＰＩＰとの付け替えを実現するためのＧＩＰ・ＰＩＰ情報１９を記憶している。
【００４８】
［パケットフィルタリング装置による処理］
次に、図５を用いて、パケットフィルタリング装置による処理を説明する。図５は、パケットフィルタリング処理の流れを示すフローチャートである。
【００４９】
先ず、パケット受信部２１がパケットを受信すると（ステップＳ５０１肯定）、パケット振分部２２ａは、パケットの種別に応じて複数のフィルタ部のいずれかへ振分ける（ステップＳ５０２）。例えば、受信したパケットの送信先のアプリケーション種別がＨＴＴＰであった場合、ＵＲＬフィルタ２２ｂへ振分ける。
【００５０】
続いて、複数のフィルタリングのいずれかは、受信したパケットのアプリケーション種別に応じてパケットをフィルタリングする（ステップＳ５０３）。例えば、ＵＲＬフィルタ２２ｂは、閲覧禁止ＵＲＬなどのフィルタリングを行う。
【００５１】
そして、パケット配送部２３は、受信したパケットに送信元のアドレス情報を付して送信先へ配送する。例えば、送信元が契約下にある端末装置Ａ１２ａである場合、記憶しているＧＩＰ・ＰＩＰ情報１９に基づいて、ＰＩＰにＧＩＰを付して配送する。
【００５２】
［実施例１の効果］
上述してきたように、実施例１によれば、契約下にある端末装置（例えば、Ａ企業内ＬＡＮに接続された端末装置Ａ１２ａ）を送信先とするパケットを広域網で受信し、受信したパケットをフィルタリングし、フィルタリングされたパケットを端末装置に配送するので、広域網と閉域網との接続ポイント毎にセキュリティ対策を行う必要がなく、広域網を提供するＩＳＰ業者と広域網を利用する企業との両者に対して、セキュリティ対策の冗長な設備投資および運用コストの増加を防止することができるとともに、広域網を利用する企業ごとに異なるセキュリティ対策を行う必要がなく、セキュリティ対策の不統一およびセキュリティ情報の更新漏れを防止することが可能である。
【００５３】
また、実施例１によれば、契約下にある端末装置に対応したアドレス情報を受信したパケットに付け替えて配送するので、本来の送信先である端末装置に正しく配送することが可能であるとともに、送信先が返信可能な送信元アドレスに付け替えられたパケットを受信することが可能である。
【００５４】
また、実施例１によれば、パケットフィルタリング装置は、受信したパケットを当該パ
ケットの種別に応じてフィルタリングする複数のフィルタを備えており、受信したパケッ
トを当該パケットの種別に応じて複数のフィルタのいずれかへ振分けるので、複数のセキ
ュリティ機能を１つのポイントに集約して配備でき、例えば、不正アクセス、コンピュー
タウイルス、Ｄｏｓ攻撃など様々なセキュリティ対策をフィルタごとに行うことができ、
セキュリティ対策の冗長な設備投資および運用コストの増加を防止することが可能である
。
【００５５】
また、実施例１によれば、受信したパケットを処理するアプリケーションの種別に応じ
て振分けるので、例えば、ＨＴＴＰやＭＡＩＬなど様々なアプリケーションに対応したセ
キュリティ対策を行うことができ、セキュリティ対策の冗長な設備投資および運用コスト
の増加を防止することが可能である。
【実施例２】
【００５６】
さて、これまで実施例１に係るパケットフィルタリング装置について説明してきたが、本発明は上記した実施例以外にも、種々の異なる形態にて実施されてよいものである。そこで、以下では実施例２として、種々の異なる形態について説明する。
【００５７】
また、上記した実施例１において、図１では、便宜上、契約下にある２つの企業内ＬＡＮと、契約下にない２つの企業内ＬＡＮとのパケット送受信について説明したが、本発明はこれに限定されるものではなく、契約下にある企業内ＬＡＮを増減させてもよく、契約下にない企業内ＬＡＮは、Ｃ企業内ＬＡＮ１４やＤ企業内ＬＡＮ１５などと同様に広域網１０に接続される。
【００５８】
また、上記した実施例１において、パケットフィルタリング装置が提供するセキュリティ対策サービスを契約しているのは企業内ＬＡＮであるとして説明したが、本発明はこれに限定されるものではなく、端末装置を個別に契約してもよい。この場合には、契約下にある端末装置とパケットフィルタリング装置とを仮想的なＬＡＮで接続する。
【００５９】
また、上記した実施例１において、パケットフィルタリング装置１１と、契約下にある閉域網に接続された端末装置（例えば、Ａ企業内ＬＡＮ１２に接続された端末装置Ａ１２ａ）とのパケット送受信について説明してきたが、本発明はこれに限定されるものではなく、例えば、契約下にある広域網１０に直接接続された端末装置とのパケット送受信について、パケットフィルタリングを行ってもよい。
【００６０】
また、上記した実施例１において、パケットフィルタリング装置を広域網に設置する場合を説明したが、本発明はこれに限定されるものではなく、図６に示したように広域網に接続されるデータセンタなど（例えば、ＬＡＮ６０など）にパケットフィルタリング装置１１を設置するようにしてもよい。
【００６１】
また、上記した実施例１において、パケットフィルタリング装置１１のパケット受信部２１と、契約下にあるＡ企業内ＬＡＮ１２およびＢ企業内ＬＡＮ１３とをセキュアな回線（例えば、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）、ＴＬＳ（Ｔｒａｃｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）またはＳＳＬ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔｓ  Ｌａｙｅｒ）などのセキュリティプロトコルによって実現されるＶＰＮ（Ｖｉｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）や専用線など）で接続してもよい。これにより、セキュアな伝送路を介して端末装置からのパケットを受信するので、フィルタリング後に不正な情報を付加されることがなく、送信元の端末装置から安全にパケットを受信することが可能である。
【００６２】
また、上記した実施例１において、パケットフィルタリング装置１１のパケット配送部２３と、契約下にあるＡ企業内ＬＡＮ１２およびＢ企業内ＬＡＮ１３とをセキュアな回線（例えば、ＶＰＮや専用線など）で接続してもよい。これにより、セキュアな伝送路を介して端末装置にパケットを配送するので、フィルタリングされたパケットは、盗聴などの危険にさらされることなく、送信先の端末装置に安全に配送することが可能である。
【００６３】
また、上記した実施例１において、パケットフィルタリング装置におけるフィルタは、便宜上、３種類の場合について説明したが、本発明はこれに限定されるものではなく、用途に応じてフィルタの種類または数を増減させてもよい。
【００６４】
また、上記した実施例１において、パケット振分部２２ａは、受信したパケットの送信先のアプリケーション種別を表すポート番号と送信元ＩＰアドレスまたは送信先ＩＰアドレスとより複数のフィルタへ振分けを行う場合を説明したが、本発明はこれに限定されるものではなく、例えば、端末装置、広域網と閉域網との契約状況に応じて振分けてもよい。具体的には、Ａ社とはＵＲＬフィルタリングとＡｎｔｉＶｉｒｕｓフィルタリングを契約し、Ｂ社とはＡｎｔｉＶｉｒｕｓフィルタリングのみを契約した場合、Ｂ社を送信元および送信先とするパケットをＵＲＬフィルタには振分けないとする。
【００６５】
また、上記した実施例１において、パケット振分部２２ａは、受信したパケットの送信先のアプリケーション種別を表すポート番号と送信元ＩＰアドレスまたは送信先ＩＰアドレスより複数のフィルタへ振分けを行う場合を説明したが、本発明はこれに限定されるものではなく、例えば、複数のフィルタ部の負荷状況に応じて振分けてもよい。具体的には、ＡｎｔｉＶｉｒｕｓフィルタを複数用意しておき、一番負荷が小さいフィルタに優先して振分ける。
【００６６】
また、上記した実施例１において、パケットの送信先のアプリケーション種別を表すポート番号を識別して各フィルタへ振分けを行う場合を説明したが、本発明はこれに限定されるものではなく、パケットのペイロード（パケットのヘッダを除いたデータ部分）などパケットに含まれる他の情報によって、アプリケーション種別を識別してもよい。
【００６７】
また、上記した実施例１において、図４に示したＧＩＰ・ＰＩＰ情報は、ＩＰアドレスに対応した情報であるが、本発明はこれに限定されるものではなく、例えば、複数のネットワークサブネットに分割したネットワークアドレスを用いてもよい。
【００６８】
また、上記した実施例１において、ＩＳＰ業者１社がパケットフィルタリング装置を集約して提供する場合を説明したが、本発明はこれに限定されるものではなく、各フィルタごとに専門性の異なるＩＳＰ業者が提供するようにしてもよい。
【００６９】
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に、広域網または広域網と接続する閉域網内に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【００７０】
なお、上記の実施例では、本発明を実現するパケットフィルタリング装置を機能面から説明したが、パケットフィルタリング装置の各機能はパーソナルコンピュータやワークステーションなどのコンピュータにプログラムを実行させることによって実現することもできる。すなわち、上記の実施例で説明した各種の処理手順は、あらかじめ用意されたプログラムをコンピュータ上で実行することによって実現することができる。そして、これらのプログラムは、インターネットなどのネットワークを介して配布することができる。さらに、これらのプログラムは、ハードディスク、フレキシブルディスク（ＦＤ）、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤなどのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することもできる。つまり、例を挙げれば、実施例に示したようなパケットフィルタリング装置や複数のフィルタを格納したＣＤ−ＲＯＭ（装置ごとに別個のＣＤ−ＲＯＭであってもよい）を配布し、このＣＤ−ＲＯＭに格納されたプログラムを各コンピュータが読み出して実行するようにしてもよい。
【産業上の利用可能性】
【００７１】
以上のように、本発明に係るパケットフィルタリング装置は、パケットをフィルタリングするのに有用であり、特に、ＩＳＰ業者と企業との両者に対して、セキュリティ対策の冗長な設備投資および運用コストの増加を防止することが可能であるとともに、セキュリティ対策の不統一およびセキュリティ情報の更新漏れを防止することに適する。
【図面の簡単な説明】
【００７２】
【図１】システムの全体構成を示すシステム構成図である。
【図２】パケットフィルタリング装置の構成を示すブロック図である。
【図３】振分けるフィルタを示す経路図である。
【図４】ＧＩＰ・ＰＩＰ情報を示す図である。
【図５】パケットフィルタリング処理の流れを示すフローチャートである。
【図６】ＬＡＮ内にパケットフィルタリング装置を設置した場合の図である。
【符号の説明】
【００７３】
１０  広域網
１１  パケットフィルタリング装置
１２  Ａ企業内ＬＡＮ
１２ａ  端末装置Ａ
１３  Ｂ企業内ＬＡＮ
１３ａ  端末装置Ｂ
１４  Ｃ企業内ＬＡＮ
１４ａ  端末装置Ｃ
１５  Ｄ企業内ＬＡＮ
１５ａ  端末装置Ｄ
１６  パケットフィルタリング装置とＡ企業内ＬＡＮを接続する仮想的なＬＡＮ
１７  パケットフィルタリング装置とＢ企業内ＬＡＮを接続する仮想的なＬＡＮ
１８  パケットフィルタリング装置と広域網を接続する回線
１９  ＧＩＰ・ＰＩＰ情報
２０  パケットフィルタリング装置
２１  パケット受信部
２２  フィルタリング部
２２ａ  パケット振分部
２２ｂ  ＵＲＬフィルタ
２２ｃ  ＡｎｔｉＶｉｒｕｓフィルタ
２２ｄ  ＳＰＡＭフィルタ
２３  パケット配送部
６０  ＬＡＮ
【図１】
0004732858.tif 000002
【図２】
0004732858.tif 000003
【図３】
0004732858.tif 000004
【図４】
0004732858.tif 000005
【図５】
0004732858.tif 000006
【図６】
0004732858.tif 000007