(57)【要約】      （修正有）【課題】ネットワークセキュリティの運用が容易で、不正アクセスの発生を抑制する。【解決手段】不正アクセス防止機能装置１０は、ＯＳやＷｅｂブラウザがデータを送信すると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定し、送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録する。送信リスト１２０に記憶されていれば、送信データに対応して登録された送信ＩＰリストに登録された、送信ＩＰアドレスリストに合致する受信ＩＰアドレスを受信許可に設定し、それ以外の受信ＩＰアドレスからのバケット受信を拒否する、制御を行うセキュリティ監視手段（セキュリティ監視部１１３）を、備える。【選択図】図１
2017220819.tif 000002
【特許請求の範囲】
【請求項１】
ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、少なくとも、送信リストが割り当てられ記憶された記憶部と、処理部と、を備えたファイヤーウォール装置であって、
前記処理部は、
Ｗｅｂブラウザがデータを送信すると、前記記憶部を参照し、前記送信リストに送信データと同じデータが記憶されているか否かを判定し、
前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、
前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否するセキュリティ監視手段、
を備えることを特徴とするファイヤーウォール装置。
【請求項２】
前記セキュリティ監視手段は、
Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、前記ポートに第１のアクセスサイトのＩＰアドレスを割り当て、前記第１のアクセスサイトからのパケットの受信を許可し、続いて同じポートから第２のアクセスサイトにアクセスする場合、前記第１のアクセスサイトからのパケット受信を拒否し、前記第２のアクセスサイトのＩＰアドレスを割り当て、前記第２のアクセスサイトからのパケットの受信を許可するように前記送信リストを更新することを特徴とする請求項１に記載のファイヤーウォール装置。
【請求項３】
前記セキュリティ監視手段は、
前記Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、事前の設定入力を取り込んで前記複数のＩＰアドレスを登録することを特徴とする請求項１又は２に記載のファイヤーウォール装置。
【請求項４】
複数のＷｅｂサーバと、
前記ＷｅｂサーバとはＩＰネットワークを介して接続され、
Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否する、前記Ｗｅｂブラウザを有するファイヤーウォール装置と、
を備えたことを特徴とするファイヤーウォールシステム。
【請求項５】
複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、Ｗｅｂブラウザを有するファイヤーウォール装置と、を含むファイヤーウォールシステムにおけるネットワークセキュリティ監視方法であって、
前記ファイヤーウォール装置は、
前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップと、
前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録するステップと、
前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否するステップと、
を有することを特徴とするネットワークセキュリティ監視方法。
【請求項６】
ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、Ｗｅｂブラウザを有するファイヤーウォール装置のプログラムであって、
前記ファイヤーウォール装置のコンピュータに、
前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定する処理と、
前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録する処理と、
前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否する処理と、
を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ファイヤーウォール装置、同システム、ネットワークセキュリティ監視方法、及びプログラムに関する。
【背景技術】
【０００２】
ネットワークセキュリティを確保する技術として、従来、ファイヤーウォールが知られている。ファイヤーウォールとは、インターネット等、外部ネットワークと企業内ＬＡＮ（Local  Area  Network）等の内部ネットワークとの間に設けられ、予め決められたフィルタリングルール等に基づき通信パケットの通過を許可するか否かを制御することにより、外部ネットワークから内部ネットワークへの不正侵入を阻止する技術である。
【０００３】
ファイヤーウォールの実装技術は、例えば、以下に列挙する特許文献１，２，３のように、従来から多数特許出願されており、ソフトウエアとして実装されるもの、あるいは機器として実装されるものがある。また、プロバイダが、自社の接続サービスを利用しているユーザを対象にファイヤーウォールをサービス提供している場合もある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１１−１０８０６１号公報
【特許文献２】特開２００３−１５０５４３号公報
【特許文献３】特許第４５７１９３７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、フィルタリングルールは管理者が予め設定する必要があるが、その設定作業は、ネットワーク技術についてのスキルを要し、このため、一般のユーザでは困難で、また、スキルを有する技術者にとっても煩雑な作業を要し、したがって、運用面での課題があった。
【０００６】
一方、ファイヤーウォールは、不正アクセス防止か、意図しないソフトウエアが勝手に通信をしないように通信許可ソフトウエア以外の通信を拒否することを目的とするが、これらすべてを完全に防止することは現実的に不可能である。このため、ネットワークセキュリティの運用が容易で、かつ不正アクセスの発生を抑制するツールの出現が望まれていた。
【０００７】
本発明は上記した課題を解決するためになされたものであり、ネットワークセキュリティの運用が容易で、かつ不正アクセスの発生を抑制する、ファイヤーウォール装置、同システム、ネットワークセキュリティ監視方法、及びプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記した課題を解決するために、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、少なくとも、送信リストが割り当てられ記憶された記憶部と、処理部と、を備えたファイヤーウォール装置であって、前記処理部は、Ｗｅｂブラウザがデータを送信すると、前記記憶部を参照し、前記送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否するセキュリティ監視手段、を備えることを特徴とする。
【０００９】
本発明において、前記セキュリティ監視手段は、Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、前記ポートに第１のアクセスサイトのＩＰアドレスを割り当て、前記第１のアクセスサイトからのパケットの受信を許可し、続いて同じポートから第２のアクセスサイトにアクセスする場合、前記第１のアクセスサイトからのパケット受信を拒否し、前記第２のアクセスサイトのＩＰアドレスを割り当て、前記第２のアクセスサイトからのパケットの受信を許可するように前記送信リストを更新することを特徴とする。
【００１０】
本発明において、前記セキュリティ監視手段は、前記Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、事前の設定入力を取り込んで前記複数のＩＰアドレスを登録することを特徴とする。
【００１１】
また、本発明のファイヤーウォールシステムは、複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否する、前記Ｗｅｂブラウザを有するファイヤーウォール装置と、を備えたことを特徴とする。
【００１２】
また、本発明は、複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、Ｗｅｂブラウザを有するファイヤーウォール装置と、を含むファイヤーウォールシステムにおけるネットワークセキュリティ監視方法であって、前記ファイヤーウォール装置は、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップと、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録するステップと、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否するステップと、を有することを特徴とする。
【００１３】
また、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、Ｗｅｂブラウザを有するファイヤーウォール装置のプログラムであって、前記ファイヤーウォール装置のコンピュータに、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定する処理と、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録する処理と、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否する処理と、を実行させることを特徴とする。
【発明の効果】
【００１４】
本発明によれば、ネットワークセキュリティの運用が容易で、不正アクセスの発生を抑制する、ファイヤーウォール装置、同システム、ネットワークセキュリティ監視方法、及びプログラムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の実施の形態に係るファイヤーウォールシステム、及び装置の構成を示すブロック図である。
【図２】本発明の実施の形態に係るファイヤーウォール装置が有する送信リストのデータ構造の一例を示す図である。
【図３】本発明の実施の形態に係るファイヤーウォール装置の処理動作を示すフローチャートである。
【発明を実施するための形態】
【００１６】
（実施形態の構成）
以下、本発明の実施の形態（以下、本実施形態という）に係るファイヤーウォールシステムについて図面を参照しながら詳細に説明する。なお、実施形態の説明の全体を通して同じ要素には同じ番号又は符号を付している。
【００１７】
図１に示すように、本実施形態に係るファイヤーウォールシステムは、Ｗｅｂ（World  Wide  Web）サイトが管理運営する複数のＷｅｂサーバ２０と、Ｗｅｂサーバ２０とはＩＰネットワーク３０（Internet  Protocol）経由で接続される、ＰＣ（Personal  Computer）等のクライアントコンピュータに実装されるファイヤーウォール装置１０で構成される。ファイヤーウォール装置１０は、ＴＣＰ／ＩＰ（Transmission  Control  Protocol／Internet  Protocol）を用いてアクセスされるＩＰネットワーク３０のセキュリティを確保する。
【００１８】
ファイヤーウォール装置１０は、少なくとも、処理部１１と、記憶部１２とを含み、図示省略した、例えば、表示部と入力部とが一体形成されたタッチパネルを含んでもよい。
【００１９】
処理部１１には、例えば、マイクロプロセッサ（ファイヤーウォール装置１０のコンピュータ）が実装されており、マイクロプロセッサが、内蔵するか、あるいは記憶部１２のプログラム領域（図示省略）に割り当てられ記憶された本実施形態に係るプログラムを逐次読み出し実行することにより、（１）Ｗｅｂブラウザがデータを送信すると、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する処理と、（２）送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録する処理と、（３）送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのパケット受信を拒否する処理と、を実行する。
【００２０】
このため、処理部１１は、Ｗｅｂブラウザ起動部１１１と、パケット送受信部１１２と、セキュリティ監視部１１３（セキュリティ監視手段）と、ゲート開閉部１１４，１１５とをプログラム実行手段として含む。
【００２１】
Ｗｅｂブラウザ起動部１１１は、ユーザが、本実施形態に係るファイヤーウォール装置１０にインストールされた、Ｗｅｂブラウザの一つである、例えば、ＩＥ（登録商標：インターネットエクスプローラ）を起動して、ユーザによるＷｅｂサーバ２０のＩＰアドレスの設定入力を取り込み、セキュリティ監視部１１３へ引き渡す機能を有する。なお、Ｗｅｂブラウザとして、ＩＥの他に、Ｓｌｅｉｐｎｉｒ（登録商標），Ｆｉｒｅｆｏｘ（登録商標），Ｏｐｅｒａ（登録商標），Ｃｈｒｏｍｅ（登録商標），Ｓａｆａｒｉ（登録商標），Ｌｕｎａｓｃａｐｅ（登録商標）を用いてもよい。
【００２２】
パケット送受信部１１２は、セキュリティ監視部１１３によりアクセスが許可されたＷｅｂサーバ２０との間でパケットを交換する機能を有する。
【００２３】
セキュリティ監視部１１３は、Ｗｅｂブラウザ起動部１１１により起動されるＷｅｂブラウザによるＵＲＬ（Uniform  Resource  Locator）等の送信データが出力されると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する。そして、送信リスト１２０に送信データが記憶されていなければ、送信データを送信リスト１２０に新たに登録するとともに、Ｗｅｂサーバ２０から最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録する。また、送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのパケット受信を拒否する処セキュリティ監視機能を有する。
【００２４】
セキュリティ監視部１１３は、例えば、ＤＮＳ（Domain  Name  System）ラウンドロビンのように、Ｗｅｂサーバ２０の負荷分散のために、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられている場合、ユーザによる事前の設定入力を取り込んでその複数のＩＰアドレスを登録してもよい。
【００２５】
セキュリティ監視部１１３は、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスを割り当てる場合、そのポートに第１のアクセスサイトのＩＰアドレスを割り当てて第１のアクセスサイトからのパケットの受信を許可し、続いて同じポートから第２のアクセスサイトにアクセスする場合、第１のアクセスサイトからのパケット受信を拒否し、第２のアクセスサイトのＩＰアドレスを割り当てて第２のアクセスサイトからのパケットの受信を許可するように送信リスト１２０を更新してもよい。
【００２６】
なお、ゲート開閉部１１４は、セキュリティ監視部１１３の制御により、送信リスト１２０へのＩＰアドレスの登録を許可し、あるいは禁止する機能を有し、ゲート開閉部１１５は、セキュリティ監視部１１３の制御により、Ｗｅｂサーバ２０との間のパケットの送受信を許可し、あるいは禁止する機能を有する。なお、ゲート開閉部１１５の出力は、例えば、図示省略したタッチパネルに供給され、タッチパネルに、Ｗｅｂページが表示され、あるいはタッチパネルから入力を取り込むことができる。
【００２７】
記憶部１２には、半導体記憶素子、あるいは磁気や光記憶素子が実装されており、プログラム領域と作業領域とが割り当てられている。プログラム領域には本実施形態のプログラムが、作業領域には、送信リスト１２０が割り当てられ記憶される。
【００２８】
図２に送信リスト１２０のデータ構造の一例が示されているように、ユーザのアクセス履歴である送信リストと、送信リストに対応するＩＰアドレスリスト＃１、＃２がデータ項目として対で割り当てられ記憶されている。ＩＰアドレスリスト＃１は、Ｗｅｂサーバ２０から送信されるＷｅｂサーバ２０のＩＰアドレスであり、ＩＰアドレスリスト＃２は、ポートに複数のＩＰアドレスが割り当てられている場合に拒否されている他方のＩＰアドレスである。なお、送信リスト中、＊＊＊＊は、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられているアクセスサイト、△△△△は、一つのＩＰアドレスが割り当てられているアクセスサイトを示す。
【００２９】
（実施形態の動作）
以下、図３のフローチャートを参照しながら、図１，図２に示す本実施形態に係るファイヤーウォール装置１０の処理動作について詳細に説明する。
【００３０】
まず、ユーザがファイヤーウォール装置１０によるＷｅｂブラウザの起動操作を実行する。これを受けてファイヤーウォール装置１０は、Ｗｅｂブラウザ起動部１１１が、選択操作されたＷｅｂブラウザを有効化（起動）する（ステップＳ１０１）、続いてユーザによるＷｅｂサイトへのアクセスのための設定によるデータの送信を待つ（ステップＳ１０２）。
【００３１】
ここで、データが送信されると（ステップＳ１０２“ＹＥＳ”）、セキュリティ監視部１１３は、記憶部１２を参照して送信リスト１２０に、同じデータが記憶されているか否かを判定する（ステップＳ１０３）。ここで、送信リスト１２０に、同じデータが記憶されていなければ（ステップＳ１０３“ＮＯ”）、セキュリティ監視部１１３は、ゲート開閉部１１５を開制御し、送信リスト１２０にその送信データを新たに記憶する制御を行う（ステップＳ１０４）。続いて、セキュリティ監視部１１３は、そして、データ送信後、Ｗｅｂサーバ２０から最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録し（ステップＳ１０５）、ステップＳ１０３の処理に戻る。
【００３２】
一方、送信リスト１２０に、送信データと同じデータが記憶されていれば（ステップＳ１０３“ＹＥＳ”）、セキュリティ監視部１１３は、送信リスト１２０の送信データに対応する受信許可ＩＰアドレスの受信許可設定を行う。そしてい、ゲート開閉部１１５を閉制御して、パケット送受信部１１２による、既に受信が許可されているＩＰアドレスに基づくＷｅｂサーバ２０からのパケットの受信を拒否する制御を行い（ステップＳ１０６）、ステップＳ１０２の処理に戻る。したがって、ユーザ自身がアクセスした以外の不正アクセスを全て削除することが可能になる。
【００３３】
なお、図３のフローチャートには図示省略したが、ＤＮＳラウンドロビンのように、Ｗｅｂサーバ２０の負荷分散のために、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられている場合、ユーザによる事前の設定入力（手動）を取り込んで複数のＩＰアドレスを登録する必要がある。
【００３４】
セキュリティ監視部１１３は、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスを割り当てる場合、そのポートに第１のサイトのＩＰアドレスを割り当てて第１のサイトからのパケットの受信を許可し、続いて同じポートから第２のサイトにアクセスする場合、第１のサイトからのパケット受信を拒否し、第２のサイトのＩＰアドレスを割り当てて第２のサイトからのパケットの受信を許可するように送信リスト１２０を更新してもよい。このように制御することで、受信を許可するＩＰアドレスが１個であることを維持することができ、複数ある場合に比べて不正アクセスを抑制することができる。
【００３５】
（実施形態の効果）
以上説明のように本実施形態に係るファイヤーウォール装置１０（ファイヤーウォールシステム）によれば、Ｗｅｂブラウザがデータを送信すると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定し、送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録し、送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのパケット受信を拒否するセキュリティ監視手段（処理部１１）により、自身がアクセスした以外の不正アクセスを自動で削除することができるため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができる。
【００３６】
なお、Ｗｅｂサーバ２０によっては、一つのポートに複数のＩＰアドレスが割り当てられている場合もあり、この場合、ユーザによる事前の設定入力（手動）により複数のＩＰアドレスを登録することで、上記と同じ効果が得られる。
【００３７】
また、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスを割り当てる場合、そのポートに第１のサイトのＩＰアドレスを割り当てて第１のサイトからのパケットの受信を許可し、続いて同じポートから第２のサイトにアクセスする場合、第１のサイトからのパケット受信を拒否し、第２のサイトのＩＰアドレスを割り当てて第２のサイトからのパケットの受信を許可するように送信リスト１２０を更新することで、受信を許可するＩＰアドレスが１個であることを維持することができ、複数ある場合に比べて不正アクセスを抑制することができる。
【００３８】
また、本発明のネットワークセキュリティ監視方法は、例えば、図１に示すように、複数のＷｅｂサーバ２０と、Ｗｅｂサーバ２０とはＩＰネットワーク３０を介して接続されるファイヤーウォール装置１０と、を含むファイヤーウォールシステムにおけるネットワークセキュリティ監視方法である。そして、その方法は、例えば、図３に示すように、Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップ（Ｓ１０１，Ｓ１０２）と、送信リスト１２０に記憶されていなければ（Ｓ１０２“ＮＯ”）、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録するステップ（Ｓ１０４，Ｓ１０５）と、送信リスト１２０に記憶されていれば（Ｓ１１２“ＹＥＳ”）、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのパケット受信を拒否するステップ（Ｓ１０６）と、を有する。
【００３９】
本実施形態に係るネットワークセキュリティ監視方法によれば、自身がアクセスした以外の不正アクセスを自動で削除することができるため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制するファイヤーウォールを構築することができる。
【００４０】
なお、本実施形態に係るプログラムは、例えば、図１に示すように、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワーク３０のセキュリティを確保する、Ｗｅｂブラウザを有するファイヤーウォール装置１０のプログラムである。そしてそのプログラムは、コンピュータ（処理部１１）に、上記した本実施形態に係るネットワークセキュリティ監視方法における各ステップと同様の処理を実行させるものであり、重複を回避する意味で各処理の説明を省略する。
【００４１】
本実施形態に係るプログラムによれば、ファイヤーウォール装置１０の処理部１１が、上記した本実施形態に係るプログラムを読み出し実行することにより、自身がアクセスした以外の不正アクセスを自動で削除することができ、このため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができるファイヤーウォールを構築できる。
【００４２】
以上、実施形態を用いて本発明を説明したが、本発明の技術的範囲は上記実施形態に記載の範囲には限定されないことは言うまでもない。上記実施形態に、多様な変更又は改良を加えることが可能であることが当業者に明らかである。またその様な変更又は改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。
【符号の説明】
【００４３】
１０            ファイヤーウォール装置
２０            Ｗｅｂサーバ
３０            ＩＰネットワーク
１１            処理部
１２            記憶部
１１１          Ｗｅｂブラウザ起動部
１１２          パケット送受信部
１１３          セキュリティ監視部
１１４，１１５  ゲート開閉部
１２０          送信リスト
【図１】
2017220819.tif 000003
【図２】
2017220819.tif 000004
【図３】
2017220819.tif 000005
【手続補正書】
【提出日】平成29年2月27日(2017.2.27)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正アクセス防止機能装置、同システム、ネットワークセキュリティ監視方法、及び不正アクセス防止プログラムに関する。
【背景技術】
【０００２】
ネットワークセキュリティを確保する技術として、従来、不正アクセス防止機能装置が知られている。不正アクセス防止機能装置とは、インターネット等、外部ネットワークと企業内ＬＡＮ（Local  Area  Network）等の内部ネットワークとの間に設けられ、予め決められたフィルタリングルール等に基づき通信パケットの通過を許可するか否かを制御することにより、外部ネットワークから内部ネットワークへの不正侵入を阻止する技術である。
【０００３】
不正アクセス防止機能装置の実装技術は、例えば、以下に列挙する特許文献１，２，３のように、従来から多数特許出願されており、ソフトウエアとして実装されるもの、あるいは機器として実装されるものがある。また、プロバイダが、自社の接続サービスを利用しているユーザを対象に不正アクセス防止機能装置をサービス提供している場合もある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１１−１０８０６１号公報
【特許文献２】特開２００３−１５０５４３号公報
【特許文献３】特許第４５７１９３７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
ところで、フィルタリングルールは管理者が予め設定する必要があるが、その設定作業は、ネットワーク技術についてのスキルを要し、このため、一般のユーザでは困難で、また、スキルを有する技術者にとっても煩雑な作業を要し、したがって、運用面での課題があった。
【０００６】
一方、不正アクセス防止機能装置は、不正アクセス防止し、意図しないソフトウエアが勝手に通信をしないように通信許可ソフトウエア以外の通信を拒否することを目的とするが、これらすべてを完全に防止することは現実的に不可能である。このため、ネットワークセキュリティの運用が容易で、かつ不正アクセスの発生を抑制するツールの出現が望まれていた。
【０００７】
本発明は上記した課題を解決するためになされたものであり、ネットワークセキュリティの運用が容易で、かつ不正アクセスの発生を抑制する、不正アクセス防止機能装置、同システム、ネットワークセキュリティ監視方法、及び不正アクセス防止プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記した課題を解決するために、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、少なくとも、送信リストが割り当てられ記憶された記憶部と、処理部と、を備えた不正アクセス防止機能装置であって、前記処理部は、Ｗｅｂブラウザがデータを送信すると、前記記憶部を参照し、前記送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否するセキュリティ監視手段、を備えることを特徴とする。
【０００９】
本発明において、前記セキュリティ監視手段は、Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、前記ポートに第１のアクセスサイトのＩＰアドレスを割り当て、前記第１のアクセスサイトからのパケットの受信を許可し、続いて同じポートから第２のアクセスサイトにアクセスする場合、前記第１のアクセスサイトからのパケット受信を拒否し、前記第２のアクセスサイトのＩＰアドレスを割り当て、前記第２のアクセスサイトからのパケットの受信を許可するように前記送信リストを更新することを特徴とする。
【００１０】
本発明において、前記セキュリティ監視手段は、前記Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、事前の設定入力を取り込んで前記複数のＩＰアドレスを登録することを特徴とする。
【００１１】
また、本発明の不正アクセス防止機能システムは、複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否する、前記Ｗｅｂブラウザを有する不正アクセス防止機能装置と、を備えたことを特徴とする。
【００１２】
また、本発明は、複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、Ｗｅｂブラウザを有する不正アクセス防止機能装置と、を含む不正アクセス防止機能システムにおけるネットワークセキュリティ監視方法であって、前記不正アクセス防止機能装置は、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップと、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録するステップと、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否するステップと、を有することを特徴とする。
【００１３】
また、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、Ｗｅｂブラウザを有する不正アクセス防止機能装置のプログラムであって、前記不正アクセス防止機能装置のコンピュータに、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定する処理と、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録する処理と、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否する処理と、を実行させることを特徴とする。
【発明の効果】
【００１４】
本発明によれば、ネットワークセキュリティの運用が容易で、不正アクセスの発生を抑制する、不正アクセス防止機能装置、同システム、ネットワークセキュリティ監視方法、及び不正アクセス防止プログラムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の実施の形態に係る不正アクセス防止機能システム、及び装置の構成を示すブロック図である。
【図２】本発明の実施の形態に係る不正アクセス防止機能装置が有する送信リストのデータ構造の一例を示す図である。
【図３】本発明の実施の形態に係る不正アクセス防止機能装置の処理動作を示すフローチャートである。
【発明を実施するための形態】
【００１６】
（実施形態の構成）
以下、本発明の実施の形態（以下、本実施形態という）に係る不正アクセス防止機能システムについて図面を参照しながら詳細に説明する。なお、実施形態の説明の全体を通して同じ要素には同じ番号又は符号を付している。
【００１７】
図１に示すように、本実施形態に係る不正アクセス防止機能システムは、Ｗｅｂ（World  Wide  Web）サイトが管理運営する複数のＷｅｂサーバ２０と、Ｗｅｂサーバ２０とはＩＰネットワーク３０（Internet  Protocol）経由で接続される、ＰＣ（Personal  Computer）等のクライアントコンピュータに実装される不正アクセス防止機能装置１０で構成される。不正アクセス防止機能装置１０は、ＴＣＰ／ＩＰ（Transmission  Control  Protocol／Internet  Protocol）を用いてアクセスされるＩＰネットワーク３０のセキュリティを確保する。
【００１８】
不正アクセス防止機能装置１０は、少なくとも、処理部１１と、記憶部１２とを含み、図示省略した、例えば、表示部と入力部とが一体形成されたタッチパネルを含んでもよい。
【００１９】
処理部１１には、例えば、マイクロプロセッサ（不正アクセス防止機能装置１０のコンピュータ）が実装されており、マイクロプロセッサが、内蔵するか、あるいは記憶部１２のプログラム領域（図示省略）に割り当てられ記憶された本実施形態に係るプログラムを逐次読み出し実行することにより、（１）Ｗｅｂブラウザがデータを送信すると、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する処理と、（２）送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録する処理と、（３）送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのバケット受信を拒否する処理と、を実行する。
【００２０】
このため、処理部１１は、Ｗｅｂブラウザ起動部１１１と、パケット送受信部１１２と、セキュリティ監視部１１３（セキュリティ監視手段）と、ゲート開閉部１１４，１１５とをプログラム実行手段として含む。
【００２１】
Ｗｅｂブラウザ起動部１１１は、ユーザが、本実施形態に係る不正アクセス防止機能装置１０にインストールされた、Ｗｅｂブラウザの一つである、例えば、ＩＥ（登録商標：インターネットエクスプローラ）を起動して、ユーザによるＷｅｂサーバ２０のＩＰアドレスの設定入力を取り込み、セキュリティ監視部１１３へ引き渡す機能を有する。なお、Ｗｅｂブラウザとして、ＩＥの他に、Ｓｌｅｉｐｎｉｒ（登録商標），Ｆｉｒｅｆｏｘ（登録商標），Ｏｐｅｒａ（登録商標），Ｃｈｒｏｍｅ（登録商標），Ｓａｆａｒｉ（登録商標），Ｌｕｎａｓｃａｐｅ（登録商標）を用いてもよい。
【００２２】
パケット送受信部１１２は、セキュリティ監視部１１３によりアクセスが許可されたＷｅｂサーバ２０との間でパケットを交換する機能を有する。
【００２３】
セキュリティ監視部１１３は、Ｗｅｂブラウザ起動部１１１により起動されるＷｅｂブラウザによるＵＲＬ（Uniform  Resource  Locator）等の送信データが出力されると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する。そして、送信リスト１２０に送信データが記憶されていなければ、送信データを送信リスト１２０に新たに登録するとともに、Ｗｅｂサーバ２０から最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録する。また、送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのバケット受信を拒否する処セキュリティ監視機能を有する。
【００２４】
セキュリティ監視部１１３は、例えば、ＤＮＳ（Domain  Name  System）ラウンドロビンのように、Ｗｅｂサーバ２０の負荷分散のために、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられている場合、ユーザによる事前の設定入力を取り込んでその複数のＩＰアドレスを登録してもよい。
【００２５】
セキュリティ監視部１１３は、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスを割り当てる場合、そのポートに第１のアクセスサイトのＩＰアドレスを割り当てて第１のアクセスサイトからのパケットの受信を許可し、続いて同じポートから第２のアクセスサイトにアクセスする場合、第１のアクセスサイトからのパケット受信を拒否し、第２のアクセスサイトのＩＰアドレスを割り当てて第２のアクセスサイトからのパケットの受信を許可するように送信リスト１２０を更新してもよい。
【００２６】
なお、ゲート開閉部１１４は、セキュリティ監視部１１３の制御により、送信リスト１２０へのＩＰアドレスの登録を許可し、あるいは禁止する機能を有し、ゲート開閉部１１５は、セキュリティ監視部１１３の制御により、Ｗｅｂサーバ２０との間のパケットの送受信を許可し、あるいは禁止する機能を有する。なお、ゲート開閉部１１５の出力は、例えば、図示省略したタッチパネルに供給され、タッチパネルに、Ｗｅｂページが表示され、あるいはタッチパネルから入力を取り込むことができる。  
【００２７】
記憶部１２には、半導体記憶素子、あるいは磁気や光記憶素子が実装されており、プログラム領域と作業領域とが割り当てられている。プログラム領域には本実施形態のプログラムが、作業領域には、送信リスト１２０が割り当てられ記憶される。
【００２８】
図２に送信リスト１２０のデータ構造の一例が示されているように、ユーザのアクセス履歴である送信リストと、送信リストに対応するＩＰアドレスリスト＃１、＃２がデータ項目として対で割り当てられ記憶されている。ＩＰアドレスリスト＃１は、Ｗｅｂサーバ２０から送信されるＷｅｂサーバ２０のＩＰアドレスであり、ＩＰアドレスリスト＃２は、ポートに複数のＩＰアドレスが割り当てられている場合に拒否されている他方のＩＰアドレスである。なお、送信リスト中、＊＊＊＊は、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられているアクセスサイト、△△△△は、一つのＩＰアドレスが割り当てられているアクセスサイトを示す。
【００２９】
（実施形態の動作）
以下、図３のフローチャートを参照しながら、図１，図２に示す本実施形態に係る不正アクセス防止機能装置１０の処理動作について詳細に説明する。
【００３０】
まず、ユーザが不正アクセス防止機能装置１０によるＷｅｂブラウザの起動操作を実行する。これを受けて不正アクセス防止機能装置１０は、Ｗｅｂブラウザ起動部１１１が、選択操作されたＷｅｂブラウザを有効化（起動）する（ステップＳ１０１）、続いてユーザによるＷｅｂサイトへのアクセスのための設定によるデータの送信を待つ（ステップＳ１０２）。
【００３１】
ここで、データが送信されると（ステップＳ１０２“ＹＥＳ”）、セキュリティ監視部１１３は、記憶部１２を参照して送信リスト１２０に、同じデータが記憶されているか否かを判定する（ステップＳ１０３）。ここで、送信リスト１２０に、同じデータが記憶されていなければ（ステップＳ１０３“ＮＯ”）、セキュリティ監視部１１３は、ゲート開閉部１１５を開制御し、送信リスト１２０にその送信データを新たに記憶する制御を行う（ステップＳ１０４）。続いて、セキュリティ監視部１１３は、そして、データ送信後、Ｗｅｂサーバ２０から最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録し（ステップＳ１０５）、ステップＳ１０３の処理に戻る。
【００３２】
一方、送信リスト１２０に、送信データと同じデータが記憶されていれば（ステップＳ１０３“ＹＥＳ”）、セキュリティ監視部１１３は、送信リスト１２０の送信データに対応する受信許可ＩＰアドレスの受信許可設定を行う。そして、ゲート開閉部１１５を閉制御して、パケット送受信部１１２による、既に受信が許可されているＩＰアドレスに基づくＷｅｂサーバ２０からのパケットの受信を拒否する制御を行い（ステップＳ１０６）、ステップＳ１０２の処理に戻る。したがって、ユーザ自身がアクセスした以外の不正アクセスを全て削除することが可能になる。
【００３３】
なお、図３のフローチャートには図示省略したが、ＤＮＳラウンドロビンのように、Ｗｅｂサーバ２０の負荷分散のために、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられている場合、ユーザによる事前の設定入力（手動）を取り込んで複数のＩＰアドレスを登録する必要がある。
【００３４】
セキュリティ監視部１１３は、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスを割り当てる場合、そのポートに第１のサイトのＩＰアドレスを割り当てて第１のサイトからのパケットの受信を許可し、続いて同じポートから第２のサイトにアクセスする場合、第１のサイトからのパケット受信を拒否し、第２のサイトのＩＰアドレスを割り当てて第２のサイトからのパケットの受信を許可するように送信リスト１２０を更新してもよい。このように制御することで、受信を許可するＩＰアドレスが１個であることを維持することができ、複数ある場合に比べて不正アクセスを抑制することができる。
【００３５】
（実施形態の効果）
以上説明のように本実施形態に係る不正アクセス防止機能装置１０（不正アクセス防止機能システム）によれば、Ｗｅｂブラウザがデータを送信すると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定し、送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録し、送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのバケット受信を拒否するセキュリティ監視手段（処理部１１）により、自身がアクセスした以外の不正アクセスを自動で削除することができるため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができる。
【００３６】
なお、Ｗｅｂサーバ２０によっては、一つのポートに複数のＩＰアドレスが割り当てられている場合もあり、この場合、ユーザによる事前の設定入力（手動）により複数のＩＰアドレスを登録することで、上記と同じ効果が得られる。
【００３７】
また、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスを割り当てる場合、そのポートに第１のサイトのＩＰアドレスを割り当てて第１のサイトからのパケットの受信を許可し、続いて同じポートから第２のサイトにアクセスする場合、第１のサイトからのパケット受信を拒否し、第２のサイトのＩＰアドレスを割り当てて第２のサイトからのパケットの受信を許可するように送信リスト１２０を更新することで、受信を許可するＩＰアドレスが１個であることを維持することができ、複数ある場合に比べて不正アクセスを抑制することができる。
【００３８】
また、本発明のネットワークセキュリティ監視方法は、例えば、図１に示すように、複数のＷｅｂサーバ２０と、Ｗｅｂサーバ２０とはＩＰネットワーク３０を介して接続される不正アクセス防止機能装置１０と、を含む不正アクセス防止機能システムにおけるネットワークセキュリティ監視方法である。そして、その方法は、例えば、図３に示すように、Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップ（Ｓ１０１，Ｓ１０２）と、送信リスト１２０に記憶されていなければ（Ｓ１０２“ＮＯ”）、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録するステップ（Ｓ１０４，Ｓ１０５）と、送信リスト１２０に記憶されていれば（Ｓ１１２“ＹＥＳ”）、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのバケット受信を拒否するステップ（Ｓ１０６）と、を有する。
【００３９】
本実施形態に係るネットワークセキュリティ監視方法によれば、自身がアクセスした以外の不正アクセスを自動で削除することができるため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制する不正アクセス防止機能装置を構築することができる。
【００４０】
なお、本実施形態に係るプログラムは、例えば、図１に示すように、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワーク３０のセキュリティを確保する、Ｗｅｂブラウザを有する不正アクセス防止機能装置１０のプログラムである。そしてそのプログラムは、コンピュータ（処理部１１）に、上記した本実施形態に係るネットワークセキュリティ監視方法における各ステップと同様の処理を実行させるものであり、重複を回避する意味で各処理の説明を省略する。
【００４１】
本実施形態に係るプログラムによれば、不正アクセス防止機能装置１０の処理部１１が、上記した本実施形態に係るプログラムを読み出し実行することにより、自身がアクセスした以外の不正アクセスを自動で削除することができ、このため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができる不正アクセス防止機能装置を構築できる。
【００４２】
以上、実施形態を用いて本発明を説明したが、本発明の技術的範囲は上記実施形態に記載の範囲には限定されないことは言うまでもない。上記実施形態に、多様な変更又は改良を加えることが可能であることが当業者に明らかである。またその様な変更又は改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。
【符号の説明】
【００４３】
１０            不正アクセス防止機能装置
２０            Ｗｅｂサーバ
３０            ＩＰネットワーク
１１            処理部
１２            記憶部
１１１          Ｗｅｂブラウザ起動部
１１２          パケット送受信部
１１３          セキュリティ監視部
１１４，１１５  ゲート開閉部
１２０          送信リスト
【手続補正２】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、少なくとも、送信リストが割り当てられ記憶された記憶部と、処理部と、を備えた不正アクセス防止機能装置であって、
前記処理部は、
Ｗｅｂブラウザがデータを送信すると、前記記憶部を参照し、前記送信リストに送信データと同じデータが記憶されているか否かを判定し、
前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、
前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否するセキュリティ監視手段、
を備えることを特徴とする不正アクセス防止機能装置。
【請求項２】
前記セキュリティ監視手段は、
Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、前記ポートに第１のアクセスサイトのＩＰアドレスを割り当て、前記第１のアクセスサイトからのパケットの受信を許可し、続いて同じポートから第２のアクセスサイトにアクセスする場合、前記第１のアクセスサイトからのパケット受信を拒否し、前記第２のアクセスサイトのＩＰアドレスを割り当て、前記第２のアクセスサイトからのパケットの受信を許可するように前記送信リストを更新することを特徴とする請求項１に記載の不正アクセス防止機能装置。
【請求項３】
前記セキュリティ監視手段は、
前記Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、事前の設定入力を取り込んで前記複数のＩＰアドレスを登録することを特徴とする請求項１又は２に記載の不正アクセス防止機能装置。
【請求項４】
複数のＷｅｂサーバと、
前記ＷｅｂサーバとはＩＰネットワークを介して接続され、
Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否する、前記Ｗｅｂブラウザを有する不正アクセス防止機能装置と、
を備えたことを特徴とする不正アクセス防止機能システム。
【請求項５】
複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、Ｗｅｂブラウザを有する不正アクセス防止機能装置と、を含む不正アクセス防止機能システムにおけるネットワークセキュリティ監視方法であって、
前記不正アクセス防止機能装置は、
前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップと、
前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録するステップと、
前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否するステップと、
を有することを特徴とするネットワークセキュリティ監視方法。
【請求項６】
ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、Ｗｅｂブラウザを有する不正アクセス防止機能装置のプログラムであって、
前記不正アクセス防止機能装置のコンピュータに、
前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定する処理と、
前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録する処理と、
前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否する処理と、
を実行させる不正アクセス防止プログラム。
【手続補正３】
【補正対象書類名】図面
【補正対象項目名】全図
【補正方法】変更
【補正の内容】
【図１】
2017220819.tif 000006
【図２】
2017220819.tif 000007
【図３】
2017220819.tif 000008
【手続補正書】
【提出日】平成29年7月20日(2017.7.20)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、少なくとも、送信ＩＰリストが割り当てられ記憶された記憶部と、処理部とを備えた不正アクセス防止機能装置であって、
前記処理部は、
ＯＳやＷｅｂブラウザがデータを送信すると、前記記憶部を参照し、前記送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定し、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録し、
前記送信ＩＰリストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する、
制御を行うセキュリティ監視手段を備える、ことを特徴とする不正アクセス防止機能装置。
【請求項２】
前記セキュリティ監視手段は、
Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、前記ポートに第１のアクセスサイトのＩＰアドレスを割り当て、前記第１のアクセスサイトからのバケットの受信を許可し、
続いて同じポートから第２のアクセスサイトにアクセスする場合、前記第１のアクセスサイトからのバケット受信を拒否し、前記第２のアクセスサイトのＩＰアドレスを割り当て、前記第２のアクセスサイトからのバケットの受信を許可するように前記送信リストを更新する、
ことを特徴とする請求項１に記載の不正アクセス防止機能装置。
【請求項３】
前記セキュリティ監視手段は、
前記Ｗｅｂサーバの前記一つのポートに前記複数のＩＰアドレスを割り当てる場合、事前の設定入力を取り込んで前記複数のＩＰアドレスを登録する、
ことを特徴とする請求項２に記載の不正アクセス防止機能装置。
【請求項４】
複数のＷｅｂサーバと、
前記ＷｅｂサーバとはＩＰネットワークを介して接続され、
ＯＳやＷｅｂブラウザがデータを送信すると、記憶部を参照し、送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定し、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録し、
前記送信ＩＰリストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する、
制御を行うセキュリティ監視手段を具備した、
不正アクセス防止機能装置を備える、ことを特徴とする不正アクセス防止機能システム。
【請求項５】
複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、Ｗｅｂブラウザを有する不正アクセス防止機能装置と、を含む不正アクセス防止機能システムにおけるネットワークセキュリティ監視方法であって、
前記不正アクセス防止機能装置は、
ＯＳや前記Ｗｅｂブラウザがデータを送信すると、送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定するステップと、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録するステップと、
前記送信ＩＰリストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否するステップを、
実行するセキュリティ監視手段を備える、ことを特徴とするネットワークセキュリティ監視方法。
【請求項６】
ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、Ｗｅｂブラウザを有する不正アクセス防止機能装置のプログラムであって、
前記不正アクセス防止機能装置のコンピュータに、
ＯＳや前記Ｗｅｂブラウザがデータを送信すると、送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定する処理と、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録する処理と、
前記送信ＩＰリストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する処理を、
制御するセキュリティ監視手段を備える、プログラム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０００８
【補正方法】変更
【補正の内容】
【０００８】
上記した課題を解決するために、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、少なくとも、送信ＩＰリストが割り当てられ記憶された記憶部と、処理部と、を備えた不正アクセス防止機能装置であって、
前記処理部は、
ＯＳやＷｅｂブラウザがデータを送信すると、前記記憶部を参照し、前記送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定し、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録し、
前記送信ＩＰリストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する、
制御を行うセキュリティ監視手段を備える、ことを特徴とする。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００１１
【補正方法】変更
【補正の内容】
【００１１】
また、本発明の不正アクセス防止機能システムは、複数のＷｅｂサーバと、
前記ＷｅｂサーバとはＩＰネットワークを介して接続され、
ＯＳやＷｅｂブラウザがデータを送信すると、記憶部を参照し、送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定し、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録し、
前記送信リストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する、
制御を行うセキュリティ監視手段を具備した、不正アクセス防止機能装置とを備える、ことを特徴とする。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００１２
【補正方法】変更
【補正の内容】
【００１２】
また、本発明は、
複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、Ｗｅｂブラウザを有する不正アクセス防止機能装置と、を含む不正アクセス防止機能システムにおけるネットワークセキュリティ監視方法であって、
前記不正アクセス防止機能装置は、
ＯＳや前記Ｗｅｂブラウザがデータを送信すると、送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定するステップと、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録するステップと、
前記送信ＩＰリストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否するステップを、
実行するセキュリティ監視手段を備える、ことを特徴とする。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１３
【補正方法】変更
【補正の内容】
【００１３】
また、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、Ｗｅｂブラウザを有する不正アクセス防止機能装置のプログラムであって、
前記不正アクセス防止機能装置のコンピュータに、
ＯＳや前記Ｗｅｂブラウザがデータを送信すると、送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定する処理と、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録する処理と、
前記送信ＩＰリストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する処理を、
制御するセキュリティ監視手段を備える、ことを特徴とする。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００１５
【補正方法】変更
【補正の内容】
【００１５】
【図１】本発明の実施の形態に係る不正アクセス防止機能システム、及び装置の構成を示すブロック図である。
【図２】本発明の実施の形態に係る不正アクセス防止機能装置が有する送信リストのデータ構造の一例を示す図である。
【図３】本発明の実施の形態に係る不正アクセス防止機能装置の処理動作を示すフローチャートである。
【図４】本発明の実施の形態に係る不正アクセス防止機能装置の動作を説明する図である。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００１９
【補正方法】変更
【補正の内容】
【００１９】
処理部１１には、例えば、マイクロプロセッサ（不正アクセス防止機能装置１０のコンピュータ）が実装されており、マイクロプロセッサが、内蔵するか、あるいは記憶部１２のプログラム領域（図示省略）に割り当てられ記憶された本実施形態に係るプログラムを逐次読み出し実行することにより、（１）ＯＳやＷｅｂブラウザがデータを送信すると、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する処理と、（２）送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録する処理と、（３）送信リスト１２０に記憶されていれば、前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、それ以外の受信ＩＰアドレスからのバケット受信を拒否する制御を行う、セキュリティ監視手段を備える。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００２３
【補正方法】変更
【補正の内容】
【００２３】
セキュリティ監視部１１３は、Ｗｅｂブラウザ起動部１１１により起動されるＷｅｂブラウザによるＵＲＬ（Uniform  Resource  Locator）等の送信データが出力されると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する。そして、送信リスト１２０に送信データが記憶されていなければ、送信データを送信リスト１２０に新たに登録する
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００３０
【補正方法】変更
【補正の内容】
【００３０】
まず、ユーザが不正アクセス防止機能装置１０によるＷｅｂブラウザの起動操作を実行する。これを受けて不正アクセス防止機能装置１０は、ＯＳやＷｅｂブラウザ起動部１１１が選択操作され、Ｗｅｂブラウザを有効化（起動）する（ステップＳ２０１）。続いてユーザによるＷｅｂサイトへのアクセスのための設定によるデータの送信を待つ（ステップＳ２０２）。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】００３１
【補正方法】変更
【補正の内容】
【００３１】
ここで、データが送信されると（ステップＳ２０２“ＮＯ”）、セキュリティ監視部１１３は、記憶部１２を参照して送信ＩＰリスト１２０に、同じデータが記憶されているか否かを判定し（ステップＳ２０２）、
送信リスト１２０に、同じデータが記憶されていなければ（ステップＳ２０３）、セキュリティ監視部１１３は、ゲート開閉部１１５を開制御し、送信リスト１２０にその送信データを新たに記憶する制御を行う（ステップＳ２０３）。続いて、ステップＳ２０２の処理に戻る。
【手続補正１１】
【補正対象書類名】明細書
【補正対象項目名】００３２
【補正方法】変更
【補正の内容】
【００３２】
一方、受信あり（Ｓ２０２，ＹＥＳ）により、送信リスト１２０に、送信データに対応する送信ＩＰリストに登録された送信ＩＰアドレスリストに一致する受信ＩＰアドレスのデータを、受信許可に設定される。すなわち、セキュリティ監視部１１３は、送信リスト１２０の送信ＩＰアドレスリストのデータに合致する受信ＩＰアドレスのデータを、受信許可に設定する(Ｓ２０４の、「送信ＩＰアドレスリストと一致すれば許可」に対応)。
そして、送信データに対応した送信ＩＰリストに登録された送信ＩＰアドレスリストに、合致しない他の受信ＩＰアドレスに基づく、Ｗｅｂサーバ２０からのバケット受信は拒否する(Ｓ２０４の、「それ以外は拒否」に対応)。
したがって、Ｓ２０２，ＹＥＳで「受信あり」となり、
送信データに対応して登録された送信ＩＰリストに登録された、送信ＩＰアドレスリストに合致する受信ＩＰアドレスの到達に対して、Ｓ２０４で「受信許可に設定」される、
換言すれば、Ｓ２０２，ＹＥＳで「受信あり」の後、Ｓ２０４で「受信許可に設定」されて、「受信」がなされる。
なお、Ｓ２０４の後、Ｓ２０２に戻る。
また、ユーザ自身は、「受信を拒否」(請求項１における、「それ以外の受信ＩＰアドレスからのバケット受信を拒否する」)の場合、不正アクセスである「受信ＩＰアドレス」を削除することが可能になる。
【手続補正１２】
【補正対象書類名】明細書
【補正対象項目名】００３３
【補正方法】変更
【補正の内容】
【００３３】
本願請求項に係る発明は、ＴＣＰ／ＩＰにおいてＡＣＫ等のフィードバックの受信は、必要に応じて行われており，本願発明は、ＴＣＰ／ＩＰで動作しております。そのことを、図４を参照して、説明いたします。 
(下記(２)の「ＡＣＫ(確立要求の確認応答)」などに、注目願います。)。
図４におきまして、
(１)ユーザー(Ａ)から、ユーザー(Ａ)のＷｅｂアドレスを、Ｗｅｂアドレス管理会社(Ｂ)のＩＰアドレスに送り〈１例として、コネクション確立要求のため〉、
(２)Ｗｅｂアドレス管理会社(Ｂ)から、ユーザー(Ａ)のＷｅｂアドレスにアクセスするＩＰアドレスを受信する〈  (１)のコネクション確立要求に対し、例えばＡＣＫ(確立要求の確認応答)で応答がなされる〉。
(３)次に、ユーザー(Ａ)は、目的のＷｅｂサイトにアクセスし、
(４)該目的のＷｅｂサイトを表示するためのＩＰアドレスを、該目的のＷｅｂサイトから受信する。
(５)さらに、ユーザー(Ａ)は、 該Ｗｅｂサイトを表示するためのＩＰアドレスにアクセスし、
(６)当該Ｗｅｂサイトを受信し表示する〈コネクション確立〉。
(７)ユーザー（Ａ）は、送信ＩＰリストにないＩＰアドレスからの受信は、拒否する。
上述のように、本願請求項に係る発明は、ＴＣＰ／ＩＰにおいてＡＣＫ等のフィードバックの受信は、必要に応じて行われており、本願発明は、ＴＣＰ／ＩＰで動作しています。
このように、本件発明は、前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、それ以外は受信ＩＰアドレスからのバケット受信を拒否しており、不正アクセスの発生を抑制しています。
なお、図３のフローチャートには図示を省略しましたが、ＤＮＳラウンドロビンのように、Ｗｅｂサーバ２０の負荷分散のために、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられている場合、ユーザによる事前の設定入力（手動）を取り込んで複数のＩＰアドレスを登録する必要があります。
【手続補正１３】
【補正対象書類名】明細書
【補正対象項目名】００３５
【補正方法】変更
【補正の内容】
【００３５】
（実施形態の効果）
以上説明のように、本実施形態に係る不正アクセス防止機能装置１０（不正アクセス防止機能システム）によれば、ＯＳやＷｅｂブラウザがデータを送信すると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定し、送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録する。
送信ＩＰリスト１２０に記憶されていれば、送信データに対応して送信ＩＰアドレスリスト登録された、受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する、制御を行うセキュリティ監視手段を備え、
自身がアクセスした以外の不正アクセス (送信ＩＰアドレスリストに合致しない受信ＩＰアドレスからのバケット受信) を削除することができるため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができる。
【手続補正１４】
【補正対象書類名】明細書
【補正対象項目名】００３８
【補正方法】変更
【補正の内容】
【００３８】
また、本発明のネットワークセキュリティ監視方法は、例えば、図１に示すように、複数のＷｅｂサーバ２０と、Ｗｅｂサーバ２０とはＩＰネットワーク３０を介して接続される不正アクセス防止機能装置１０と、を含む不正アクセス防止機能システムにおけるネットワークセキュリティ監視方法である。そして、その方法は、例えば、図３に示すように、ＯＳやＷｅｂブラウザがデータを送信すると、送信ＩＰリスト１２０に送信データと同じデータが記憶されているか否かを判定するステップ（Ｓ２０２）と、送信ＩＰリスト１２０に記憶されていなければ（Ｓ２０３）、送信データを送信リスト１２０に登録する。
送信リスト１２０に記憶されていれば（Ｓ２０２“ＹＥＳ”）、送信データに対応して登録された受信ＩＰアドレスを受信許可に設定し、
また、それ以外の受信ＩＰアドレス(送信ＩＰアドレスリストに合致しない受信ＩＰアドレス)からのバケット受信を、拒否する。
【手続補正１５】
【補正対象書類名】明細書
【補正対象項目名】００３９
【補正方法】変更
【補正の内容】
【００３９】
本実施形態に係るネットワークセキュリティ監視方法によれば、ユーザ自身が、送信データに応じて登録された送信ＩＰリストに合致しない不正アクセスの受信アドレスを削除することを可能にする。このため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制するファイヤーウォールを構築することができる。
【手続補正１６】
【補正対象書類名】明細書
【補正対象項目名】００４１
【補正方法】変更
【補正の内容】
【００４１】
本実施形態に係るプログラムによれば、不正アクセス防止機能装置１０の処理部１１が、上記した本実施形態に係るプログラムを読み出し実行しており、送信データに対応して登録された送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに合致しない受信ＩＰアドレスを、受信拒否に設定するので、
自身がアクセスした以外の不正アクセスを自動で削除することを可能とし、このため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができるファイヤーウォールを構築できる。
【手続補正１７】
【補正対象書類名】図面
【補正対象項目名】図３
【補正方法】変更
【補正の内容】
【図３】
2017220819.tif 000009
【手続補正１８】
【補正対象書類名】図面
【補正対象項目名】図４
【補正方法】追加
【補正の内容】
【図４】
2017220819.tif 000010