(57)【要約】【課題】各通信装置の要求に基づいた通信転送ポリシーを通信制御装置に反映させることのできる通信装置を提供すること。【解決手段】通信部１５は、通信相手装置との間で通信を行うためのものである。通信転送ポリシーデータベース部１２には、通信相手装置との間の通信を通信転送ポリシーに従って制御する通信制御装置に対して、従わせるべき通信転送ポリシーを記憶する。通信転送ポリシー通知部１４は、所定のタイミングで、通信転送ポリシーデータベース部１２に記憶された通信転送ポリシーのうち、そのタイミングでの用途に応じたものを、通信制御装置に通知する。【選択図】      図２
2005217828.tif 000002
【特許請求の範囲】
【請求項１】
通信相手装置との間で通信を行うための通信手段と、
前記通信相手装置との間の通信を制御規則に従って制御する通信制御装置に対して、従わせるべき制御規則を記憶する記憶手段と、
前記記憶手段に記憶された制御規則を前記通信制御装置に通知する通知手段とを備えたことを特徴とする通信装置。
【請求項２】
前記制御規則は、前記通信に係るパケットの前記通信制御装置による中継を許可又は不許可すべき場合に、当該パケットが含むべき情報又は当該パケットが持つべき特性を規定したものであることを特徴とする請求項１に記載の通信装置。
【請求項３】
前記制御規則は、前記通信に係るパケットの中継にあたって使用を許可すべき通信帯域の上限値を規定したものであることを特徴とする請求項１に記載の通信装置。
【請求項４】
前記制御規則は、前記通信相手装置から前記通信装置への方向の通信のみに適用すべきか、若しくは前記通信装置から前記通信相手装置への方向の通信のみに適用すべきか、又は前記通信相手装置から前記通信装置への方向の通信と前記通信装置から前記通信相手装置への方向の通信の双方に適用すべきかを指示する情報を含むものであることを特徴とする請求項１に記載の通信装置。
【請求項５】
前記通知手段は、前記制御規則を、前記通信装置の起動時に前記通信制御装置へ通知することを特徴とする請求項１に記載の通信装置。
【請求項６】
前記記憶手段は、前記通信装置の起動時に前記通信制御装置へ通知すべき第１制御規則を記憶するとともに、特定の通信サービスの起動時に前記通信制御装置へ通知すべき当該特定の通信サービスに固有の第２制御規則を記憶し、
前記通知手段は、前記通信装置の起動時に、前記第１制御規則を前記通信制御装置へ通知した後、前記特定の通信サービスが起動するごとに、前記第２制御規則を前記通信制御装置へ通知することを特徴とする請求項１に記載の通信装置。
【請求項７】
前記特定の通信サービスに係る前記第２制御規則は、当該特定の通信サービスの実施に必要なパケットの中継のみを許可する制御規則を含むものであることを特徴とする請求項６に記載の通信装置。
【請求項８】
前記通知手段は、前記制御規則にその有効期限情報を付加して前記通信制御装置へ通知することを特徴とする請求項１に記載の通信装置。
【請求項９】
前記記憶手段は、複数の制御規則を記憶し、
前記通知手段は、前記通信制御装置に対して前記制御にあたって従わせるべき制御規則を新規登録又は更新登録させるべき場合に、当該制御規則を含む登録指示を通知し、前記通信制御装置が前記制御にあたって従っている制御規則を削除させるべき場合に、削除指示を通知することを特徴とする請求項１に記載の通信装置。
【請求項１０】
前記通信装置は、第１のネットワークに接続され、第１のネットワーク及び第２のネットワークの双方に接続された前記通信制御装置を介して、第２のネットワークに接続された前記通信相手装置との間で通信を行うものであることを特徴とする請求項１に記載の通信装置。
【請求項１１】
前記第２のネットワークは、インターネットであり、
前記制御規則は、前記通信に係るパケットの前記通信制御装置による中継を許可又は不許可すべき場合における、当該パケットに係るインターネット上でのサービス停止攻撃の種を指定するものであることを特徴とする請求項１に記載の通信装置。
【請求項１２】
第１の装置と第２の装置との間の通信を中継する中継手段と、
前記第１の装置から、前記通信を制御するにあたって従うべき制御規則の通知を受け付ける受付手段と、
前記受付手段により受け付けた前記制御規則を、前記第１の装置を識別する情報に対応付けて記憶する記憶手段と、
前記中継手段が前記第１の装置に係る通信を中継するにあたって、前記記憶手段に当該第１の装置を識別する情報に対応付けて記憶されている制御規則に従って当該通信を制御する通信制御手段とを備えたことを特徴とする通信制御装置。
【請求項１３】
前記制御規則は、前記通信に係るパケットの前記通信制御装置による中継を許可又は不許可すべき場合に、当該パケットが含むべき情報又は当該パケットが持つべき特性を規定したものであることを特徴とする請求項１２に記載の通信装置。
【請求項１４】
前記制御規則は、前記パケットが含むべき複数のＩＰバージョン６拡張ヘッダの種及びその順序を規定したもの、前記パケットが含むべき複数のＩＰバージョン６オプションヘッダの種及びその順序を規定したもの、前記パケットが含むべきＩＰｓｅｃプロトコルにおけるセキュリティ・パラメータ・インデックスを規定したもの、前記パケットがＩＰｓｅｃプロトコルにおけるトランスポートモード又はトンネルモードのいずれに係るものであるかを規定したもの、前記パケットにつき使用されるＩＰｓｅｃプロトコルにおける暗号アルゴリズム及び又は認証アルゴリズムを規定したもの、又は前記パケットのパケット長の上限値を規定したものであることを特徴とする請求項１３に記載の通信装置。
【請求項１５】
前記制御規則は、前記通信に係るパケットの中継にあたって使用を許可すべき通信帯域の上限値を規定したものであることを特徴とする請求項１２に記載の通信装置。
【請求項１６】
前記中継手段は、第１のネットワークに接続された第１の装置と、第２のネットワークに接続された第２の装置との間の通信を中継するものであることを特徴とする請求項１２に記載の通信装置。
【請求項１７】
前記第２のネットワークは、インターネットであり、
前記制御規則は、前記通信に係るパケットの前記通信制御装置による中継を許可又は不許可すべき場合における、当該パケットに係るインターネット上でのサービス停止攻撃の種を指定するものであることを特徴とする請求項１６に記載の通信装置。
【請求項１８】
通信装置と通信制御装置とを含む通信システムにおいて、
前記通信装置は、
前記通信制御装置とは異なる通信相手装置との間で通信を行うための通信手段と、
前記通信制御装置に従わせるべき制御規則を記憶する第１の記憶手段と、
前記第１の記憶手段に記憶された制御規則を前記通信制御装置に通知する通知手段とを備え、
前記通信制御装置は、
前記通信装置と前記通信相手装置との間の通信を中継する中継手段と、
前記通信装置から前記制御規則の通知を受け付ける受付手段と、
前記受付手段により受け付けた前記制御規則を、前記通信装置を識別する情報に対応付けて記憶する第２の記憶手段と、
前記中継手段が前記通信装置に係る通信を中継するにあたって、前記第２の記憶手段に当該通信装置を識別する情報に対応付けて記憶されている制御規則に従って当該通信を制御する通信制御手段とを備えたことを特徴とする通信システム。
【請求項１９】
通信装置としてコンピュータを機能させるためのプログラムにおいて、
前記プログラムは、
通信相手装置との間で通信を行うための通信手段と、
前記通信相手装置との間の通信を制御規則に従って制御する通信制御装置に対して、従わせるべき制御規則を記憶する記憶手段と、
前記記憶手段に記憶された制御規則を前記通信制御装置に通知する通知手段とをコンピュータに機能させるものであることを特徴とするプログラム。
【請求項２０】
通信制御装置としてコンピュータを機能させるためのプログラムにおいて、
前記プログラムは、
第１の装置と第２の装置との間の通信を中継する中継手段と、
前記第１の装置から、前記通信を制御するにあたって従うべき制御規則の通知を受け付ける受付手段と、
前記受付手段により受け付けた前記制御規則を、前記第１の装置を識別する情報に対応付けて記憶する記憶手段と、
前記中継手段が前記第１の装置に係る通信を中継するにあたって、前記記憶手段に当該第１の装置を識別する情報に対応付けて記憶されている制御規則に従って当該通信を制御する通信制御手段とをコンピュータに機能させるものであることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信相手装置との間で通信を行う通信装置、装置間の通信を制御する通信制御装置、それらを含む通信システム及びそれらのプログラムに関する。
【背景技術】
【０００２】
次世代技術であるＩＰｖ６の導入により、インターネット（Ｉｎｔｅｒｎｅｔ）の通信形態はｅｎｄ−ｔｏ−ｅｎｄ通信に移行し、各通信路におけるセキュリティ保証の実現が現実味をおびてきている。
【０００３】
通信路におけるセキュリティ保証を実現する一手法として、ファイアウォールがある（例えば、非特許文献１参照）。ファイアウォールは、通信経路上のルータの通信転送ポリシーを管理し、通信転送ポリシーに適合しない通信を遮断する機能であり、ファイアウォールに管理されたネットワークに接続する通信装置群を、不適切な通信やインターネット上のサービス停止攻撃(DoS: Denial of Service)などから守ることができる。
【０００４】
ここで、ファイアウォールに管理されたネットワークに接続する通信装置群の各々の通信の特徴に基づいた通信転送ポリシーを設定することで、各々の通信装置群に対してより粒度の高い強固な通信遮断機能を提供できると考えられる。
【０００５】
しかし、一般的に、通信装置の通信の特徴を把握している通信装置の開発ベンダとファイアウォール機能を搭載した通信装置の開発ベンダとは異なるため、ファイアウォール機能を搭載した通信装置に登録する通信転送ポリシーは、管理者が通信装置の通信の特徴を把握し、通信転送ポリシーを考案し、設定する必要があり、通信装置群の数に応じて管理者負担が大きくなるという問題が予測できる。また、管理者は、機器マニュアル等に掲載されないベンダが機密とする通信特徴に基づいた通信転送ポリシーは把握できないため、通信転送ポリシーの粒度が低下する問題が予測できる。
【非特許文献１】IETF Internet Drafts Firewalling Considerations for IPv6、２００３年１０月、インターネット＜平成１６年１月２６日検索＞、＜URL: ftp://ftp.kame.net/pub/internet-drafts/draft-savola-v6ops-firewalling-02.txt＞
【発明の開示】
【発明が解決しようとする課題】
【０００６】
前述したように、ある家庭のＩｎｔｅｒｎｅｔ環境に存在する多種多様な通信装置群の通信転送ポリシーを集約管理する通信装置において、設定を動的に更新するにあたり、各々の通信装置群の多種多様な要求に対応することは困難化する問題があった。
【０００７】
本発明は、上記事情を考慮してなされたもので、各通信装置の要求に基づいた通信転送ポリシーを通信制御装置に反映させることのできる通信装置、通信制御装置、通信システム及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明に係る通信装置は、通信相手装置との間で通信を行うための通信手段と、前記通信相手装置との間の通信を制御規則に従って制御する通信制御装置に対して、従わせるべき制御規則を記憶する記憶手段と、前記記憶手段に記憶された制御規則を前記通信制御装置に通知する通知手段とを備えたことを特徴とする。
【０００９】
本発明に係る通信制御装置は、第１の装置と第２の装置との間の通信を中継する中継手段と、前記第１の装置から、前記通信を制御するにあたって従うべき制御規則の通知を受け付ける受付手段と、前記受付手段により受け付けた前記制御規則を、前記第１の装置を識別する情報に対応付けて記憶する記憶手段と、前記中継手段が前記第１の装置に係る通信を中継するにあたって、前記記憶手段に当該第１の装置を識別する情報に対応付けて記憶されている制御規則に従って当該通信を制御する通信制御手段とを備えたことを特徴とする。
【００１０】
なお、装置に係る本発明は方法に係る発明としても成立し、方法に係る本発明は装置に係る発明としても成立する。  
また、装置または方法に係る本発明は、コンピュータに当該発明に相当する手順を実行させるための（あるいはコンピュータを当該発明に相当する手段として機能させるための、あるいはコンピュータに当該発明に相当する機能を実現させるための）プログラムとしても成立し、該プログラムを記録したコンピュータ読み取り可能な記録媒体としても成立する。
【発明の効果】
【００１１】
本発明によれば、各通信装置の要求に基づいた通信転送ポリシーを通信制御装置に反映させることができる。
【発明を実施するための最良の形態】
【００１２】
以下、図面を参照しながら本発明の実施形態について説明する。
【００１３】
図１に、本発明の一実施形態に係る通信システムのネットワーク構成例を示す。
【００１４】
図１に示す通り、本ネットワークは、第１のネットワーク側に接続された通信装置１と、第１及び第２のネットワークの双方に接続された通信制御装置２と、第２のネットワーク側に接続された（通信機能を有する）他の装置３とを含む。
【００１５】
図１では、１台の通信装置１のみ示しているが、通信装置１は第１のネットワーク上に複数台存在して構わない。同様に、図１では、第２のネットワーク上に装置３が複数台存在して構わない。
【００１６】
第１のネットワークは、例えば企業内ＬＡＮ又は家庭内ＬＡＮであり、第２のネットワークは、例えば企業内ＬＡＮ又は家庭内ＬＡＮの外部のネットワーク（代表例としてはインターネット）である。
【００１７】
第１のネットワーク側に接続された通信装置１は、第１のネットワーク上に存在するファイアウォール機能を搭載した通信制御装置２を介して、第２のネットワーク上の通信相手装置となる装置３との間で通信を行う。通信装置１は、ＰＣであってもよいし、情報家電機器であってもよいし、その他の情報処理機器等であってもよい。
【００１８】
通信制御装置２は、いわゆるファイアウォール機能を搭載したものであり、第１のネットワーク上の各通信装置１から通知される通信転送ポリシーを集約管理する。例えば、通知された通信転送ポリシーを、それを通知した通信装置１を識別する情報に対応付けて記憶・管理する。
【００１９】
通信相手装置３は、どのような構成であっても構わない。
【００２０】
図２に、本発明の一実施形態に係る通信装置の構成例を示す。
【００２１】
図２に示す通り、本通信装置１は、サービス管理部１１、通信転送ポリシーデータベース部１２、通信転送ポリシー検索部１３、通信転送ポリシー通知部１４、通信部１５を備えている。
【００２２】
通信部１５は、第１のネットワーク上に存在する通信制御装置２を介して、第２のネットワーク上の通信相手装置３との間で通信を行う。
【００２３】
サービス管理部１１は、通信相手装置３との通信において提供する通信サービスを管理する。
【００２４】
通信転送ポリシーデータベース部１２は、通信転送ポリシー群（１又は複数の通信転送ポリシー）を記憶・管理する。
【００２５】
例えば、通信転送ポリシーデータベース部１２は、通信転送ポリシーを、その用途を示す情報に対応付けて記憶・管理する。その際に、例えば、通信転送ポリシーデータベース部１２には、当該通信装置１の起動時に通知する起動時用通信転送ポリシーと、特定の通信サービスの開始時に通知する特定通信サービス用通信転送ポリシーを記憶・管理するようにしてもよい（この場合、記憶する特定通信サービス用通信転送ポリシーは、０でも１でも２以上のいずれでもよい）。
【００２６】
通信転送ポリシー検索部１３は、通信制御装置２へ通知すべき通信転送ポリシーを、そのときの用途に応じて通信転送ポリシーデータベース部１２から検索する。本具体例では、サービス管理部１１が当該通信装置１の起動を検知した場合には、起動時用の通信転送ポリシーを検索し、第１の通信サービス（例えば、ＨＴＴＰサービス）の開始を検知した場合には、第１の通信サービス用の通信転送ポリシーを検索し、…、第ｎの通信サービス（例えば、ＦＰＴサービス）の開始を検知した場合には、第ｎの通信サービス用の通信転送ポリシーをから検索する。
【００２７】
通信転送ポリシー通知部１４は、通信転送ポリシー検索部１３にて検索した通信転送ポリシーを、第１のネットワークを介して通信制御装置１２に通知する。
【００２８】
なお、サービス管理部１１、通信転送ポリシーデータベース部１２、通信転送ポリシー検索部１３、通信転送ポリシー通知部１４及び通信部１５の全部又は一部は、ハードウエアとして構成されてもよいし、通信装置１上で実行されるソフトウエアとして機能を提供するようにしてもよい。後者の場合、例えば、ＵＮＩＸ(TM)系ＯＳでは、デーモンと呼ばれるソフトウエアとして実現してもよい。
【００２９】
図３に、本発明の一実施形態に係る通信転送ポリシーを集約管理するファイアウォール機能を具備した通信制御装置の構成例を示す。
【００３０】
図３に示す通り、本通信制御装置１は、通信転送ポリシー受信部２１、通信転送ポリシーデータベース部２２、通信転送ポリシー制御部２３、ファイアウォール(Firewall)機能部２４、中継部２５を備えている。
【００３１】
中継部２５は、第１のネットワーク上の通信装置１と、第２のネットワーク上の（該通信装置１の通信相手となる）通信相手装置３との間の通信をする。中継とは、例えば、該通信がパケットの転送により行われるものである場合に、該通信装置１から第１のネットワークを介して受信したパケットを、第２のネットワークを介して該通信相手装置３へ中継乃至は転送し、或いはその逆に該通信相手装置３から第２のネットワークを介して受信したパケットを、第１のネットワークを介して該通信装置１へ中継乃至は転送することである。
【００３２】
通信転送ポリシー受信部２１は、通信装置１（通信転送ポリシー通知部１４参照）から、第１のネットワークを介して、通信転送ポリシーを受信する。
【００３３】
通信転送ポリシーデータベース部２２は、複数の通信装置１の通信転送ポリシーを集約管理する。例えば、通知された通信転送ポリシーを、それを通知した通信装置１を識別する情報に対応付けて記憶・管理する。
【００３４】
通信転送ポリシー制御部２３は、通信転送ポリシー受信部２１が通信装置１から受信した通信転送ポリシーを、通信転送ポリシーデータベース部２２へ、新規登録（当該通信装置１につき通信転送ポリシーが記憶されていない場合）、又は更新登録（当該通信装置１につき通信転送ポリシーが記憶されている場合）する。
【００３５】
ファイアウォール機能部２４は、中継部２５が、第１のネットワーク上の通信装置１と、第２のネットワーク上の通信相手装置３との間の通信を中継するにあたって、通信転送ポリシーデータベース部２２の各通信装置１に対応して記憶している通信転送ポリシーのうち、当該通信に係る通信装置１に対応して記憶しているものに従って、当該通信の制御を行う（いわゆるファイアウォール機能を実現する）。この制御は、例えば、該通信がパケットの転送により行われるものである場合において、該通信に係るパケットを受信した際に、該パケットの転送を許可すべきか或いは不許可にすべきかを、当該通信転送ポリシーに従って決定し、転送を許可すべきと決定したならば、中継部２５に該パケットを転送させ、転送を不許可とすべきと決定したならば、中継部２５に該パケットを廃棄させる制御、該パケットの転送の履歴を記録すべきか否か、当該通信転送ポリシーに従って決定し、履歴を記録すべきと決定したならば、履歴を記録する制御など、種々のものが適用可能である。
【００３６】
なお、通信転送ポリシーは、前記第２のネットワーク上の通信相手装置３から第１のネットワーク上の通信装置１への方向の通信のみに適用すべき第１の種類のものと、第１のネットワーク上の通信装置１から第２のネットワーク上の通信相手装置３への方向の通信のみに適用すべき第２の種類のものと、これら双方の方向の通信に等しく適用すべき第３の種類の３つに分けて適宜使用することができる。この場合、ある通信転送ポリシーが、第１〜第３のいずれの種類であるかを識別する方法には、例えば、各通信転送ポリシーに、それが第１〜第３のいずれの種類であるかを識別する情報が付加されているようにすればよい。この場合、例えば、ある通信装置１について第１の種類の通信転送ポリシーのみが通信制御装置３に記憶されている場合には、通信制御装置３が第２のネットワーク上の装置３から第１のネットワーク上の通信装置１へパケットを受信したときにのみ、通信制御を行うことになる。
【００３７】
なお、通信転送ポリシー受信部２１、通信転送ポリシーデータベース部２２、通信転送ポリシー制御部２３、ファイアウォール機能部２４及び中継部２５の全部又は一部は、ハードウエアとして構成されてもよいし、通信制御装置２上で実行されるソフトウエアとして機能を提供するようにしてもよい。後者の場合、例えば、ＵＮＩＸ(TM)系ＯＳでは、デーモンと呼ばれるソフトウエアとして実現してもよい。
【００３８】
ここで、通信転送ポリシーについて説明する。
【００３９】
通信転送ポリシーとしては、種々のものが定義可能である。例えば、通信制御装置３が受信したパケットの中継の許可（又は不許可）等の特定の決定をすべきパケットが含むべき情報を規定したもの、特定の決定をすべきパケットが持つべき特性を規定したもの、使用を許可すべき通信帯域の上限値を規定したものなど、種々のものがある。また、通信転送ポリシーは、複数の通信転送ポリシーのリストを含むものであってもよい。
【００４０】
以下、中継の許可／不許可に関するものを例にとって通信転送ポリシーの具体例を列挙する（もちろん、以下のものは中継の許可／不許可以外の判断のためめも使用可能である）。
【００４１】
・中継を許可すべきパケットに係る「ＴＣＰ／ＩＰモデルに関するトランスポート層プロトコル」を指定する  
・中継を許可すべきパケットに係る「ＴＣＰ／ＩＰモデルに関するポート番号」を指定する  
・中継を許可すべきパケットに含まれるべき「１又は複数のＩＰバージョン６拡張ヘッダ(IP version 6 Extension header)の種」を指定する  
・中継を許可すべきパケットに含まれるべき「複数のＩＰバージョン６拡張ヘッダ(IP version 6 Extension header)の種及びその順序」を指定する通信転送ポリシー  
・中継を許可すべきパケットに含まれるべき「１又は複数のＩＰバージョン６オプションヘッダ(IP version 6 Options header)の種」を指定する  
・中継を許可すべきパケットに含まれるべき「複数のＩＰバージョン６オプションヘッダ(IP version 6 Options header)の種及びその順序」を指定する  
・中継を許可すべきパケットに係る「ＩＰｓｅｃプロトコルにおけるセキュリティ・パラメータ・インデックス(Security Parameter Index)」を指定する  
・中継を許可すべきパケットに係る「ＩＰｓｅｃプロトコルにおけるモードがトランスポートモードか又はトンネルモードかの別」を指定する  
・中継を許可すべきパケットに係る「ＩＰｓｅｃプロトコルにおける暗号アルゴリズム及び又は認証アルゴリズム」を指定する  
・第２のネットワークがインターネットである場合に、中継を許可すべきパケットに係る「インターネット上でのサービス停止攻撃(DoS: Denial of Service)の種」を指定する  
・中継を許可すべきパケットに係る「宛先ＩＰアドレス及び又は送信元ＩＰアドレス」を指定する  
・中継を許可すべきパケットに係る「パケット長の上限値」を指定する
また、上記の他に、制御対象となる通信に使用される通信帯域の上限値を指定するものなども可能である。
【００４２】
以下、図１〜図３を参照しながら本実施形態の動作手順について説明する。ここでは、図２の通信装置１を通信装置Ｃ、図３の通信制御装置２を通信制御装置Ｆ、通信相手装置３を通信相手装置Ｃとも呼ぶものとする。
【００４３】
ここでは、通信装置Ｓが、通信相手装置Ｃに対してＨＴＴＰサービスの提供後にＦＴＰ通信を開始するものである場合を例にとって説明する。また、通信装置Ｓは、起動時に図４に例示する起動自用通信転送ポリシーを通信制御装置Ｆに通知し、ＨＴＴＰサービスの開始時に図５に例示するＨＴＴＰサービス用通信転送ポリシーを通信制御装置Ｆに通知し、ＦＴＰの開始時に図６に例示するＦＴＰサービス用通信転送ポリシーを通信制御装置Ｆに通知するものとする。なお、本例では、各通信転送ポリシーを別々のテーブルとして管理しているが、全通信転送ポリシーを一体化して管理してもよい。
【００４４】
通信制御装置Ｆは、前述のように通信装置Ｓから通知される通信転送ポリシーを受信し、これに依ってファイアウォール機能を動的に更新する機能を有する。
【００４５】
なお、ここでは、通信装置Ｓと通信制御装置Ｆとの間で、通信装置Ｓから通信制御装置Ｆに通知する通信転送ポリシーをファイアウォール機能に反映することを考える。説明の都合上、通信装置Ｓと通信制御装置Ｆとの間で通信転送ポリシーをファイアウォール機能に反映するための手順を例に説明するが、これは、一般的なＴＣＰ／ＩＰ通信におけるファイアウォール設定においても適用できる。
【００４６】
図７に、本実施形態の通信装置１の処理手順の一例を示す。
【００４７】
また、図８に、本実施形態の通信制御装置２の処理手順の一例を示す。
【００４８】
まず、通信装置Ｓは、通信装置Ｓの開発ベンダが出荷時に、通信装置Ｓの起動時に必要な通信内容に限定する起動時用通信転送ポリシー（図４）、ＨＴＴＰサービスに基づく通信内容に限定するＨＴＴＰサービス用通信転送ポリシー（図５）、ＦＴＰサービスに基づく通信内容に限定するＦＴＰサービス用通信転送ポリシー（図６）を、通信装置Ｓの通信転送ポリシーデータベース１２に記憶する。
【００４９】
次に、通信装置Ｓにおいて、サービス管理部１１は、通信装置Ｓの起動を検知する（ステップＳ１）。
【００５０】
なお、通信装置Ｓの起動を検知する代わりに、通信装置Ｓの起動時に、起動時用通信転送ポリシーを通信制御装置３に通知するための転送プログラムを立ち上げてるようにしてもよい。また、起動時に、起動した旨をサービス管理部１１に通知するためのプログラムを立ち上げてるようにしてもよい。
【００５１】
次に、通信装置Ｓにおいて、通信転送ポリシー検索部１３は、起動時用転送ポリシー（図４）を、通信転送ポリシーデータベース１２から検索する（ステップＳ２）。
【００５２】
次に、通信装置Ｓにおいて、通信転送ポリシー通知部１４は、検索した起動時用通信転送ポリシーを、通信制御装置Ｆに対して通知する（ステップＳ３）。
【００５３】
次に、通信制御装置Ｆにおいて、通信転送ポリシー受信部２１は、通信装置Ｓが通知した起動時用通信転送ポリシーを受信する（ステップＳ１１）。
【００５４】
次に、通信制御装置Ｆにおいて、通信転送ポリシー制御部２３は、受信した起動時用通信転送ポリシーを通信転送ポリシーデータベース２２に対して登録する（ここでは、新規登録とする）（ステップＳ１２）。
【００５５】
次に、通信装置Ｆにおいてファイアウォール機能部２４は、登録された起動時用通信転送ポリシーを反映したファイアウォール機能を実施する（ステップＳ１３）。
【００５６】
次に、通信装置Ｓにおいて、サービス管理部１１は、通信装置ＳがＨＴＴＰサービスの提供を開始することを検知する（ステップＳ１）。
【００５７】
なお、各サービスの開始の検知については、例えば、サービスの開始を常時監視する（例えば、ＯＳレベルでピックアップする）ようにしてもよい。また、各サービスの開始を検知する代わりに、各サービスの開始時に、当該サービス用通信転送ポリシーを通信制御装置３に通知するための処理を実行するか、サービスを開始した旨をサービス管理部１１に通知する処理を実行するようにしてもよい。
【００５８】
以上より、通信装置Ｆにおいて、通信装置Ｓの起動時に必要な通信内容に限定するファイアウォール機能を提供できる。その結果、起動時においても、通信装置Ｆにおいて、図４の通信転送ポリシーに適合しない通信を遮断し、通信装置Ｓを不適切な通信やインターネット上のサービス停止攻撃(DoS: Denial of Service)から守ることができる。また、このとき、通信装置Ｓの開発ベンダの知見に基づく粒度の高い通信転送ポリシーが反映されるため、質の高いセキュリティ保証を実現できる。
【００５９】
次に、通信装置Ｓにおいて、通信転送ポリシー検索部１３は、ＨＴＴＰサービス用通信転送ポリシー（図５）を、通信転送ポリシーデータベース１２から検索する（ステップＳ２）。
【００６０】
次に、通信装置Ｓにおいて、通信転送ポリシー通知部１４は、検索したＨＴＴＰサービス用通信転送ポリシーを、通信制御装置Ｆに対して通知する（ステップＳ３）（図９参照）。
【００６１】
次に、通信制御装置Ｆにおいて、通信転送ポリシー受信部２１は、通信装置Ｓが通知したＨＴＴＰサービス用通信転送ポリシーを受信する（ステップＳ１１）。
【００６２】
次に、通信制御装置Ｆにおいて、通信転送ポリシー制御部２３は、受信したＨＴＴＰサービス用通信転送ポリシーを通信転送ポリシーデータベース２２に対して更新登録する（ステップＳ１２）（図１０参照）。
【００６３】
次に、通信装置Ｆにおいてファイアウォール機能部２４は、登録されたＨＴＴＰサービス用通信転送ポリシーを反映したファイアウォール機能を実施する（ステップＳ１３）。
【００６４】
以上より、通信装置Ｆにおいて、通信装置Ｓが提供するＨＴＴＰサービスに基づく通信内容に限定するファイアウォール機能を提供できる。その結果、通信装置Ｆにおいて、図５の通信転送ポリシーに適合しない通信を遮断し、通信装置Ｓを不適切な通信やインターネット上のサービス停止攻撃(DoS: Denial of Service)から守ることができる。また、このとき、通信装置Ｓの開発ベンダの知見に基づく粒度の高い通信転送ポリシーが反映されるため、質の高いセキュリティ保証を実現できる。
【００６５】
次に、通信装置Ｓにおいて、サービス管理部１１は、通信装置ＳがＨＴＴＰサービスを終了し、ＦＴＰサービスの提供を開始することを検知する（ステップＳ１）。
【００６６】
次に、通信装置Ｓにおいて、通信転送ポリシー検索部１３は、ＦＴＰサービス用通信転送ポリシー（図６）を、通信転送ポリシーデータベース１２から検索する（ステップＳ２）。
【００６７】
次に、通信装置Ｓにおいて、通信転送ポリシー通知部１４は、検索したＦＴＰサービス用通信転送ポリシーを、通信装置Ｆに対して通知する（ステップＳ３）（図１１参照）。
【００６８】
次に、通信装置Ｆにおいて、通信転送ポリシー受信部２１は、通信装置Ｓが通知したＦＴＰサービス用通信転送ポリシーを受信する（ステップＳ１１）。
【００６９】
次に、通信装置Ｆにおいて、通信転送ポリシー制御部２３は、受信したＦＴＰサービス用通信転送ポリシーを通信転送ポリシーデータベース２２に対して更新登録する（ステップＳ１２）（図１２参照）。
【００７０】
次に、通信装置Ｆにおいてファイアウォール機能部２４は、更新されたＦＴＰサービス用通信転送ポリシーを反映したファイアウォール機能を実施する（ステップＳ１３）。
【００７１】
この結果、ＨＴＴＰサービスの場合に説明したものと同様の効果が得られる。
【００７２】
以上より、通信装置Ｆにおいて、通信装置Ｓが提供するサービスに基づく時事変化する通信内容に対応して、通信転送ポリシーを動的に更新するファイアウォール機能を提供できる。
【００７３】
なお、上記の例では、通信装置１は、起動時と、各サービスの開始時に、通信転送ポリシーを通信制御装置３に通知したが、起動時のみに、通信転送ポリシーを通信制御装置３に通知する構成も可能である。逆に、各サービスの開始時のみに、通信転送ポリシーを通信制御装置３に通知する構成も可能である。また、その他のタイミングで、通信転送ポリシーを通信制御装置３に通知する構成も可能である。
【００７４】
また、通信装置１から通信制御装置３へ通信転送ポリシーを通知する際に、該通信転送ポリシーをに有効期限情報（ライフタイム）を通知するようにしてもよい。また、通信装置１から通信制御装置３へ、通信転送ポリシーを新規登録又は更新登録させるべき場合に、当該通信転送ポリシーを含む登録指示を通知し、通信転送ポリシーを削除させるべき場合に、削除指示を通知するようにしてもよい。また、それらを併用してもよい。
【００７５】
なお、以上の各機能は、ソフトウェアとして記述し適当な機構をもったコンピュータに処理させても実現可能である。  
また、本実施形態は、コンピュータに所定の手順を実行させるための、あるいはコンピュータを所定の手段として機能させるための、あるいはコンピュータに所定の機能を実現させるためのプログラムとして実施することもできる。加えて該プログラムを記録したコンピュータ読取り可能な記録媒体として実施することもできる。
【００７６】
なお、本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【図面の簡単な説明】
【００７７】
【図１】本発明の一実施形態に係る通信システムのネットワーク構成例を示す図
【図２】同実施形態に係る通信装置の構成例を示す図
【図３】同実施形態に係る通信制御装置の構成例を示す図
【図４】通信転送ポリシーの一例を示す図
【図５】通信転送ポリシーの他の例を示す図
【図６】通信転送ポリシーのさらに他の例を示す図
【図７】同実施形態の動作について説明するための図
【図８】同実施形態の動作について説明するための図
【図９】同実施形態の動作について説明するための図
【図１０】同実施形態の動作について説明するための図
【図１１】同実施形態の動作について説明するための図
【図１２】同実施形態の動作について説明するための図
【符号の説明】
【００７８】
１…通信装置、２…通信制御装置、３…通信相手装置、１１…サービス管理部、１２…通信転送ポリシーデータベース部、１３…通信転送ポリシー検索部、１４…通信転送ポリシー通知部、１５…通信部、２１…通信転送ポリシー受信部、２２…通信転送ポリシーデータベース部、２３…通信転送ポリシー制御部、２４…ファイアウォール機能部、２５…中継部
【図１】
2005217828.tif 000003
【図２】
2005217828.tif 000004
【図３】
2005217828.tif 000005
【図４】
2005217828.tif 000006
【図５】
2005217828.tif 000007
【図６】
2005217828.tif 000008
【図７】
2005217828.tif 000009
【図８】
2005217828.tif 000010
【図９】
2005217828.tif 000011
【図１０】
2005217828.tif 000012
【図１１】
2005217828.tif 000013
【図１２】
2005217828.tif 000014