(57)【要約】【課題】ネットワークドメインに属するパケット通信端末に対して、同時多発的な攻撃を受けた場合に、パケット通信端末の処理負荷を抑制することができ、保守センタサーバへの拒否パケット情報のトラフィック集中を防ぐことができる通信端末装置、ファイアウォールシステム及びファイアウォール方法を提供すること。【解決手段】最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）が、パケットフィルタ部１３０のログ情報を統計処理により解析してフィルタリング情報３００を生成し、生成したフィルタリング情報３００をネットワークに接続された保守センタサーバ２００、他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）に配信する。【選択図】図１
2009048574.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続された通信端末装置であって、
パケットを受信する受信手段と、
受信したパケットの拒否パケット情報を統計処理により解析し、該解析結果を基にフィルタリング情報を生成するログ情報解析手段と、
前記ネットワークに接続された保守センタサーバ、及び／又は自己と同一ネットワークドメインに属する他の通信端末装置に対して、前記フィルタリング情報を配信する配信手段と
を備える通信端末装置。
【請求項２】
前記ログ情報解析手段は、破棄された破棄情報を統計処理した統計ログ情報を基に、不正及び不要パケットのフィルタリング情報を生成する請求項１記載の通信端末装置。
【請求項３】
前記配信手段は、前記他の通信端末装置のブロードキャストアドレス又はマルチキャストアドレスに前記フィルタリング情報を配信する請求項１記載の通信端末装置。
【請求項４】
認証コードを作成する認証手段を備え、
前記配信手段は、前記フィルタリング情報に前記認証コードを付加して配信する請求項１記載の通信端末装置。
【請求項５】
ネットワークに接続された通信端末装置であって、
攻撃を受けた通信端末装置が配信したフィルタリング情報を受信する受信手段と、
受信した前記フィルタリング情報に基づいて、受信パケットのフィルタリングを行うパケットフィルタ手段と
を備える通信端末装置。
【請求項６】
前記受信手段は、最初に攻撃を受けた通信端末装置が配信したフィルタリング情報、及び／又は前記ネットワークに接続された保守センタサーバから配信されるフィルタリング情報を受信する請求項１記載の通信端末装置。
【請求項７】
前記受信手段は、前記フィルタリング情報に付加された認証コードを基に認証処理を行い、
前記パケットフィルタ手段は、認証許可された前記フィルタリング情報に基づいて、パケットのフィルタリングを行う請求項１記載の通信端末装置。
【請求項８】
保守センタサーバと、ネットワークドメインに属する複数の通信端末装置とがネットワークを介して接続されたファイアウォールシステムであって、
前記通信端末装置は、請求項１乃至請求項７のいずれかに記載の通信端末装置であるファイアウォールシステム。
【請求項９】
保守センタサーバと、ネットワークドメインに属する複数の通信端末装置とがネットワークを介して接続されたファイアウォールシステムであって、
前記保守センタサーバは、攻撃を受けた通信端末装置が配信したフィルタリング情報を時刻データと共に管理し、前記攻撃を受けた通信端末装置と同一のネットワークドメインに属する他の通信端末装置に対して、前記フィルタリング情報に認証コードを付加して配信する請求項８記載の通信端末装置であるファイアウォールシステム。
【請求項１０】
保守センタサーバと、ネットワークドメインに属する複数の通信端末装置とがネットワークを介して接続されたネットワークシステムのファイアウォール方法であって、
最初に攻撃を受けた通信端末装置側では、攻撃パケットを受信するステップと、
受信したパケットの拒否パケット情報を統計処理により解析するステップと、
前記解析結果を基にフィルタリング情報を生成するステップと、
前記ネットワークに接続された保守センタサーバ、及び／又は自己と同一ネットワークドメインに属する他の通信端末装置に対して、前記フィルタリング情報を配信するステップとを実行し、
前記他の通信端末装置側では、
前記最初に攻撃を受けた通信端末装置が配信したフィルタリング情報を受信するステップと、
受信した前記フィルタリング情報に基づいて、受信パケットのフィルタリングを行うステップと
を実行するファイアウォール方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、パケット通信機能を有する通信端末装置、ファイアウォールシステム及びファイアウォール方法に関する。
【背景技術】
【０００２】
ネットワークセキュリティを確保するための技術として、ファイアウォール（firewall）がある。ファイアウォールは、インターネットなどの外部ネットワークを通じて第三者が侵入し、データやプログラムの盗み見・改ざん・破壊などが行なわれることのないように、外部との境界を流れるデータを監視し、不正なアクセスを検出・遮断する。
【０００３】
パケットフィルタリング型のファイアウォールは、予め決められたフィルタリングルールに従って、パケット毎に、外部ネットワークから内部ネットワークへの通過を許可するか否かの制御を行う。通常、フィルタリングルールでは、送信元ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、宛先ポート番号、プロトコルの種類等によってフィルタリングの対象にするパケットが特定され、当該パケットに対する処置（通過、拒否等）が指定される。
【０００４】
パケット通信機能を有する通信端末に対して攻撃パケット（大量のトラフィックを送り込んだり、不正データで相手の端末などを麻痺させるパケットデータなど）が送られた場合、ファイアウォール装置は、パケットフィルタ機能により不要なパケットデータを破棄するフィルタリング処理を行う。このフィルタリング条件は、管理者が予め設定する必要があるが、その設定作業には、ある程度のネットワーク等に関する知識が必要となり、一般ユーザには困難であった。
【０００５】
特許文献１には、フィルタリングの結果、破棄された破棄パケット情報を定期的に保守センタサーバに配信することで、保守センタサーバにて破棄パケット情報を集計して統計処理する。各装置は、保守センタサーバから送られてきたフィルタリング情報に基づいて、自己のフィルタリングルール等を更新するパケットフィルタリング型のファイアウォールシステムが記載されている。
【０００６】
特許文献２には、パケット通信端末のメール機能を利用して、保守センタサーバよりメールにフィルタリング情報を添付して端末に配信することにより、ネットワークの専門知識に乏しい一般ユーザであっても、プロファイル情報に基づいてネットワーク中継装置のパケットフィルタリング条件設定を容易に実現できるプロファイル配信方法が記載されている。
【特許文献１】特開２００３−２７３９３６号公報
【特許文献２】特開２００２−２８１０９３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
近年ネットワークによる攻撃はＤｏＳ（Denial of Services）攻撃やＩＰ（Internet Protocol）偽装などますます巧妙化、悪質化してきている。ＤｏＳ攻撃は、相手のコンピュータやルータなどに不正なデータを送信して使用不能に陥らせたり、トラフィックを増大させて相手のネットワークを麻痺させるサービス拒否攻撃である。また、ＩＰ偽装は、発信元ＩＰアドレスを偽装したパケットを相手サーバに送り付ける行為である。
【０００８】
しかしながら、このような従来のファイアウォールシステムにあっては、ネットワークドメインに属する複数の端末に対して同時多発的に発生する攻撃を受けた場合、保守センタサーバにトラフィックが集中することや、パケット通信端末の処理負荷が増加してしまう課題がある。具体的には、以下の課題がある。
【０００９】
（１）各ファイアウォール装置から送られてきた拒否パケット情報を保守センタサーバで集計し統計処理した後、フィルタリング情報を配信する。例えば、保守センタサーバは、随時又は定期的に一日一回フィルタリング情報を配信する。この方式では、あるネットワークドメインに属する複数の端末に対して、同時多発的に攻撃が発生した場合、保守センタサーバに拒否パケット情報のトラフィックが集中する可能性がある。
【００１０】
（２）上記に加えて、パケット通信端末側の頻繁な拒否パケット情報の送信処理による処理負荷を軽減するために端末側である程度拒否パケット情報を蓄積してから送信する場合には、保守センタサーバで拒否パケット情報を受信して他の端末にフィルタリング情報がいきわたるまでに遅延が生じる。この間に悪質な攻撃を受ける可能性がありセキュリティの脆弱性が生じる。
【００１１】
本発明はかかる点に鑑みてなされたものであり、ネットワークドメインに属するパケット通信端末に対して、同時多発的な攻撃を受けた場合に、パケット通信端末の処理負荷を抑制することができ、保守センタサーバへの拒否パケット情報のトラフィック集中を防ぐことができる通信端末装置、ファイアウォールシステム及びファイアウォール方法を提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明の通信端末装置は、ネットワークに接続された通信端末装置であって、パケットを受信する受信手段と、受信したパケットの拒否パケット情報を統計処理により解析し、該解析結果を基にフィルタリング情報を生成するログ情報解析手段と、前記ネットワークに接続された保守センタサーバ、及び／又は自己と同一ネットワークドメインに属する他の通信端末装置に対して、前記フィルタリング情報を配信する配信手段とを備える構成を採る。
【００１３】
本発明の通信端末装置は、ネットワークに接続された通信端末装置であって、攻撃を受けた通信端末装置が配信したフィルタリング情報を受信する受信手段と、受信した前記フィルタリング情報に基づいて、受信パケットのフィルタリングを行うパケットフィルタ手段とを備える構成を採る。
【００１４】
本発明のファイアウォールシステムは、保守センタサーバと、ネットワークドメインに属する複数の通信端末装置とがネットワークを介して接続されたファイアウォールシステムであって、前記通信端末装置は、上記いずれかに記載の通信端末装置である。
【００１５】
本発明のファイアウォール方法は、保守センタサーバと、ネットワークドメインに属する複数の通信端末装置とがネットワークを介して接続されたネットワークシステムのファイアウォール方法であって、最初に攻撃を受けた通信端末装置側では、攻撃パケットを受信するステップと、受信したパケットの拒否パケット情報を統計処理により解析するステップと、前記解析結果を基にフィルタリング情報を生成するステップと、前記ネットワークに接続された保守センタサーバ、及び／又は自己と同一ネットワークドメインに属する他の通信端末装置に対して、前記フィルタリング情報を配信するステップとを実行し、前記他の通信端末装置側では、前記最初に攻撃を受けた通信端末装置が配信したフィルタリング情報を受信するステップと、受信した前記フィルタリング情報に基づいて、受信パケットのフィルタリングを行うステップとを実行する。
【発明の効果】
【００１６】
本発明によれば、最初に攻撃を受けたパケット通信端末がフィルタリング情報を生成し、生成したフィルタリング情報をネットワークに接続された保守センタサーバ、及び／又は他のパケット通信端末に配信することにより、ネットワークドメインに属するパケット通信端末に対して、同時多発的な攻撃を受けた場合でも、パケット通信端末側の頻繁な拒否パケット情報の送信処理による処理負荷増大を防止することができ、パケット通信端末の処理負荷を抑制することができる。
【００１７】
また、保守センタサーバに拒否パケット情報のトラフィックが集中することがない。
【００１８】
さらに、攻撃を受けたパケット通信端末側及び保守センタサーバ側でフィルタリング情報に認証コードを付加して送信し、他のパケット通信端末側では認証コードによる認証処理を行った上で受信することによりフィルタリング情報を悪用した攻撃も防止することができる。
【発明を実施するための最良の形態】
【００１９】
以下、本発明の実施の形態について図面を参照して詳細に説明する。
【００２０】
（実施の形態１）
図１は、本発明の実施の形態１に係るパケット通信機能を有する通信端末装置及びファイアウォールシステムの構成を示す図である。本実施の形態は、保守センタサーバと、ネットワークドメインに属する複数の通信端末装置とがネットワークを介して接続されたファイアウォールシステムに適用した例である。
【００２１】
図１において、ファイアウォールシステムは、パケット通信機能を有する複数の通信端末装置１００ａ〜１００ｅと、保守センタサーバ２００と、ドメインサーバ２１０と、宅内の通信端末装置１００ａ，１００ｂとネットワーク接続するネットワーク中継装置であるルータ２２０と、通信端末装置１００ｃ〜１００ｅとＷＬＡＮ接続するためのアクセスポイントＡＰ（Access Point）２３０と、ネットワーク機器をインターネット１に接続するインターネットサービスプロバイダ（ＩＳＰ：Internet Services Provider）２４０，２５０とを備える。また、インターネットサービスプロバイダ（ＩＳＰ）２５０には、攻撃者Ａの通信端末装置２６０が接続される。
【００２２】
通信端末装置１００ａ〜１００ｅは、ネットワークドメインに属する複数のパケット通信端末である。通信端末装置１００ａ〜１００ｅのうち、通信端末装置１００ａ，１００ｂは、ネットワークに接続している宅内のパケット通信端末、通信端末装置１００ｃ〜１００ｅは、ネットワークに接続している宅外のパケット通信端末である。
【００２３】
ここで、通信端末装置１００ａは、攻撃者Ａからの攻撃パケット２６０により最初に攻撃されたパケット通信端末、また通信端末装置１００ｂ〜１００ｅは、攻撃を受けたパケット通信端末（通信端末装置１００ａ）が生成するフィルタリング情報３００を受け取るパケット通信端末である。図１中、破線矢印は攻撃パケット２６０の流れを、実線矢印は攻撃を受けたパケット通信端末（通信端末装置１００ａ）からのフィルタリング情報３００の流れを示す。
【００２４】
パケット通信機能を有する通信端末装置１００ａ〜１００ｅは、どのような通信端末でもよい。図１では、通信端末装置１００ａ，１００ｃは、携帯ノート型パソコン，ＰＤＡ（Personal Digital Assistants）などの携帯情報端末、通信端末装置１００ｂ，１００ｃ，１００ｅは、携帯電話機／ＰＨＳ（Personal Handy-Phone System）などの携帯端末である。また、通信端末装置１００ａ〜１００ｅは、キャリア以外のローカルネットワークにアクセスできるシステムとしてＷＬＡＮやBluetooth、ＵＷＢ（Ultra Wideband）を備えていてもよい。
【００２５】
最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）は、攻撃パケット２６０を受信した際に、パケットフィルタ部１３０（図２で後述する）にて破棄された破棄情報である統計ログ情報を基に不正・不要パケットのフィルタリング情報３００を生成し、生成したフィルタリング情報３００を保守センタサーバ２００とブロードキャストアドレスやマルチキャストアドレスに配信する。なお、後述する実施の形態２では、通信端末装置１００ａは、生成したフィルタリング情報３００に認証コードを付加して送信する。
【００２６】
他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）は、攻撃を受けてフィルタリング情報３００を生成配信したパケット通信端末（通信端末装置１００ａ）からのフィルタリング情報３００を直接受信するか、保守センタサーバ２００から送信されたフィルタリング情報３００を受信し、パケットフィルタ部１３０（図２で後述する）に受信パケットのフィルタリングの設定を行う。なお、後述する実施の形態２では、通信端末装置１００ｂ〜１００ｅは、フィルタリング情報３００に付加された認証コードによる認証処理を行った上で受信しパケットフィルタ部１３０（図２で後述する）にフィルタリングの設定を行う。
【００２７】
保守センタサーバ２００は、最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）が生成するフィルタリング情報３００及び解析条件情報を管理し、他のネットワークドメインに接続しているパケット通信端末（通信端末装置１００ｂ〜１００ｅ）にフィルタリング情報３００を認証コード付で配信する。なお、後述する実施の形態２では、保守センタサーバ２００は、攻撃を受けたパケット通信端末（通信端末装置１００ａ）より配信されたフィルタリング情報３００に認証コードを付加して送信する。ここでは、保守センタサーバ２００は、攻撃を受けたパケット通信端末（通信端末装置１００ａ）より配信されたフィルタリング情報３００を時刻データと共に管理し、さらに付帯情報（受信時刻、攻撃を受けた時刻、フィルタリング情報の送信元、解析条件等）を付加して配信する。
【００２８】
ＩＳＰ２４０，２５０は、ＷＥＢサーバからなり、インターネット１に接続されている他のＷＥＢサーバである保守センタサーバ２００及びドメインサーバ２１０と共に、ＷＷＷ（World Wide Web）を構築している。
【００２９】
図２は、パケット通信機能を有する通信端末装置１００ａ〜１００ｅの内部構成を示すブロック図である。本実施の形態では、通信端末装置１００ａ内部構成を代表して説明する。
【００３０】
図２において、通信端末装置１００ａは、ＣＰＵ１１０、パケット通信処理部１２０、パケットフィルタ部１３０、記憶部１４０、表示部１５０、操作部１６０、及び電源部１７０を備えて構成される。
【００３１】
ＣＰＵ１１０は、装置全体の制御を行う制御部であり、制御プログラム、演算に使用するデータを記憶した記憶部１４０を用いて通信端末装置１００ａの通信制御を実行する。ＣＰＵ１１０は、パケットフィルタ部１３０により破棄された破棄情報を統計処理した統計ログ情報（特に拒否パケット情報）を基に、不正及び不要パケットのフィルタリング情報を生成するログ情報解析部１１１と、ログ情報解析部１１１に対して統計処理する際の条件を設定する解析条件設定部１１２とを有する。ログ情報解析部１１１は、受信したパケットの拒否パケット情報を統計処理により解析し、該解析結果を基にフィルタリング情報３００を生成するログ情報解析手段としての機能を有する。
【００３２】
ＣＰＵ１１０は、自機が最初に攻撃を受けたパケット通信端末である場合、パケット通信処理部１２０を介して保守センタサーバ２００とブロードキャストアドレス及びマルチキャストアドレスに、認証コードを付加したフィルタリング情報３００及び解析条件情報を送信する制御を行う。また、ＣＰＵ１１０は、自己が他のパケット通信端末である場合、パケット通信処理部１２０を介して、攻撃を受けてフィルタリング情報３００を生成配信したパケット通信端末からのフィルタリング情報３００と保守センタサーバ２００より配信されるフィルタリング情報３００及び解析条件情報を受信してパケットフィルタ部１３０に反映させる制御を行う。なお、後述する実施の形態２では、ＣＰＵ１１０は、フィルタリング情報３００及び解析条件情報を、認証コードによる認証処理を行った上で受信してパケットフィルタ部１３０に反映させる。
【００３３】
パケット通信処理部１２０は、パケットの送受信を処理する。パケット通信処理部１２０は、自己が最初に攻撃を受けたパケット通信端末である場合、パケットを受信する受信手段としての機能を有するとともに、ネットワークに接続された保守センタサーバ２００、及び自己と同一ネットワークドメインに属する他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）に対して、フィルタリング情報３００を配信する配信手段としての機能を有する。また、パケット通信処理部１２０は、他のパケット通信端末である場合、攻撃を受けたパケット通信端末が配信したフィルタリング情報を受信する受信手段としての機能を有する。
【００３４】
パケットフィルタ部１３０は、フィルタリング条件に基づいて、受信したパケットをフィルタリングする。
【００３５】
記憶部１４０は、制御プログラムや固定データ等を記憶するＲＯＭ、制御情報等を一時的に記憶するとともに作業用記憶領域として使用するＲＡＭ、電気的に書換可能な不揮発性メモリであるＥＥＰＲＯＭ（electrically erasable programmable ROM）などから構成される。
【００３６】
表示部１５０は、文字情報や画像情報をカラー表示するＬＣＤ表示部である。
【００３７】
操作部１６０は、ユーザ操作によるデータを入力するキーボード、マウスなどのポインティングデバイスである。
【００３８】
以下、上述のように構成されたファイアウォールシステムの動作を説明する。
【００３９】
前記図１は、ネットワークドメインに属する複数の端末に対して同時多発的に発生する攻撃を受けた場合のシステム構成図であり、悪意を持った攻撃者Ａから攻撃パケット２６０を送信されたあるネットワークドメインに属するパケット通信端末（通信端末装置１００ａ〜１００ｅ）の状況を示している。
【００４０】
上記パケット通信端末が攻撃を受けた際にどのようにフィルタリングされ、フィルタリング情報が配信されるのかについて説明する。
【００４１】
（１）パケット通信端末（通信端末装置１００ａ〜１００ｅ）は、パケットフィルタ部１３０のログ情報を解析するログ情報解析部１１１と、ログ情報解析部１１１に対して統計処理する際の条件を設定する解析条件設定部１１２とを有する。本実施の形態では、ログ情報解析部１１１及び解析条件設定部１１２は、ＣＰＵ１１０に設けているがパケット通信端末側であればどこに設置されていてもよい。また、図２は通信端末装置１００ａの内部構成を代表したものであり、他の通信端末装置１００ｂ〜１００ｅも同様の内部構成を持つ。
【００４２】
（２）図１ａに示すように、悪意を持った攻撃者Ａから、ネットワークドメインに属するパケット通信端末（通信端末装置１００ａ〜１００ｅ）に対する同時多発的な攻撃を受ける。最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）のログ情報解析部１１１が、パケットフィルタ部１３０のログ情報を解析して、解析結果から拒否パケット情報を見つけるとネットワークドメインに属するパケット通信端末に対する攻撃と判断する。ログ情報解析部１１１は、統計処理によりフィルタリング情報３００を生成する。
【００４３】
（３）最初に攻撃を検知したパケット通信端末（通信端末装置１００ａ）が、生成したフィルタリング情報３００を保守センタサーバ２００と他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）にブロードキャスト、マルチキャストで配信する（図１ｂ参照）。詳細には、最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）は、パケット通信処理部１２０を介してフィルタリング情報３００や解析条件情報を、保守センタサーバ２００とブロードキャストアドレスやマルチキャストアドレスに認証コード付で送信する。すなわち、最初に攻撃を検知したパケット通信端末（通信端末装置１００ａ）は、ログ情報解析部１１１から得られるフィルタリング情報３００を、ブロードキャストアドレス、マルチキャストアドレスにより、保守センタサーバ２００に配信することにより、ネットワークドメインに属する他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）に配信する。
【００４４】
（４）保守センタサーバ２００は、パケット通信端末（通信端末装置１００ａ）から送信され、受信したフィルタリング情報３００と解析条件情報を管理して他のネットワークドメインに接続している端末にフィルタリング情報を認証コード付で配信する。
【００４５】
（５）他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）は、最初に攻撃を受けてフィルタリング情報３００を生成配信したパケット通信端末（通信端末装置１００ａ）からのフィルタリング情報３００と保守センタサーバ２００より配信されるフィルタリング情報３００を認証コードが付加されている場合には認証コードによる認証処理を行った上で受信してパケットフィルタ部１３０に反映させる。
【００４６】
次に、ファイアウォールシステムの動作シーケンスについて説明する。
【００４７】
図３は、最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）のフィルタリング情報３００の配信処理を示すフローチャートである。本フローは、通信端末装置１００ａのＣＰＵ１１０により実行される。
【００４８】
ステップＳ１では、パケット通信を使用するアプリケーションソフトウェアが、フィルタリングの条件と解析条件をパケットフィルタ部１３０と解析条件設定部１１２に対して設定情報を渡す。パケットフィルタ部１３０は、渡されたフィルタリング条件をフィルタリングルールに追加し、解析条件設定部１１２はログ解析条件を設定する。
【００４９】
ステップＳ２では、ＶｏＩＰ（Voice over Internet Protocol）やブラウザ等のアプリケーションソフトウェアがパケット通信を開始する。
【００５０】
ステップＳ３では、パケットフィルタ部１３０は破棄すべきパケットか否かを判定する。パケットフィルタ部１３０は、受信パケットを捕捉して、フィルタリングルールに照らし合わせて、破棄すべきパケットか透過すべきパケットかを判定する。
【００５１】
受信パケットが破棄パケットであった場合、ステップＳ４で受信したパケットは破棄し、どのような条件で破棄されたかについて破棄パケットの情報をログ情報として保存する。
【００５２】
ステップＳ５では、ログ情報解析部１１１は保存されたログ情報について、解析条件設定部１１２により設定された解析条件を基に統計処理を行う。例えば、ログ情報解析部１１１は、単位時間当たりの同一の送信元アドレスからのパケット破棄頻度などの統計処理を行う。
【００５３】
ステップＳ６では、ログ情報解析部１１１は統計処理の結果、所定の解析条件と一致したか否かを判別する。例えば、ログ情報解析部１１１は、自身のアドレス宛以外のパケットで、送信元が同一アドレスのパケットがある単位時間内に５回以上受信したという条件を判別する。
【００５４】
統計処理の結果が所定の解析条件と一致した場合、ステップＳ７でパケット通信処理部１２０はフィルタリング情報３００と解析条件情報をブロードキャストアドレス、マルチキャストアドレス、及び保守センタサーバ２００に配信して上記ステップＳ２に戻る。統計処理の結果が所定の解析条件と一致しない場合、パケットフィルタ部１３０は攻撃パケットを受信していないと判断してそのまま上記ステップＳ２に戻る。
【００５５】
一方、上記ステップＳ３で受信パケットが破棄パケットでない場合、パケットフィルタ部１３０は受信パケットが透過であると判断してステップＳ８でパケット通信処理部１２０はパケットを受け入れ受信し、所望の処理をする。
【００５６】
ステップＳ９でパケット通信処理部１２０はアプリケーションソフトウェアによるパケット受信処理が完了か否かを判別する。アプリケーシアプリケーションソフトウェアによるパケット受信処理が終了である場合、終了処理を実施する。パケット受信処理が終了でない場合、上記ステップＳ２に戻りパケット通信処理部１２０は引き続きパケットを受信する。
【００５７】
図４は、他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）のフィルタリング情報３００の受信処理を示すフローチャートである。本フローは、通信端末装置１００ｂ〜１００ｅのＣＰＵ１１０により実行される。
【００５８】
ステップＳ１１では、最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）と同一ネットワークドメインに属する他のパケット通信端末（宅内の通信端末装置１００ｂ及び宅外の通信端末装置１００c〜１００ｅ）のパケット通信処理部１２０がパケットを受信する。
【００５９】
ステップＳ１２では、他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）のパケットフィルタ部１３０は受信したパケットがフィルタリング情報３００であるか否かを判定する。
【００６０】
受信したパケットがフィルタリング情報３００である場合、ステップＳ１３でパケットフィルタ部１３０は受信したバケットのパケットデータのペイロードからフィルタリング情報３００を抽出してフィルタリングルールとして追加して上記ステップＳ１１に戻る。
【００６１】
受信パケットがフィルタリング情報でない場合、ステップＳ１４でパケット通信処理部１２０はフィルタリング情報３００以外のデータとして処理してステップＳ１５に進む。
【００６２】
ステップＳ１５では、パケット通信処理部１２０は受信処理が終了か否かを判別する。パケット受信処理が終了である場合、終了処理を実施する。パケット受信処理が終了でない場合、ステップＳ１１に戻って引き続き受信を行う。
【００６３】
図５は、保守センタサーバ２００の処理を示すフローチャートである。本フローは、保守センタサーバ２００の図示しないＣＰＵにより実行される。
【００６４】
ステップＳ２１では、保守センタサーバ２００は最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）から発信されたフィルタリング情報３００を受信する。
【００６５】
ステップＳ２２では、保守センタサーバ２００は受信したフィルタリング情報３００と付帯情報（受信時刻、攻撃を受けた時刻、フィルタリング情報の送信元、解析条件等）をデータベース化して保存し、データベースにより管理する。
【００６６】
ステップＳ２３では、保守センタサーバ２００は管理しているフィルタリング情報について、他のネットワークドメインにも配信すべきか否かを判定する。
【００６７】
他のネットワークドメインに配信すべきと判定した場合、ステップＳ２４で保守センタサーバ２００は管理しているフィルタリング情報を他のネットワークドメインにも配信し、配信記録を保存して次の処理に進む。他のネットワークドメインに配信する必要がないと判定した場合には本フローを終了して次の処理に進む。
【００６８】
以上詳細に説明したように、本実施の形態によれば、最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）が、パケットフィルタ部１３０のログ情報を統計処理により解析してフィルタリング情報３００を生成し、生成したフィルタリング情報３００をネットワークに接続された保守センタサーバ２００、他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）に配信することにより、フィルタリング情報３００が配信される起点が従来例とは異なるため、ネットワークドメインに属するパケット通信端末に対して、同時多発的な攻撃を受けた場合でも、パケット通信端末側の頻繁な拒否パケット情報の送信処理による処理負荷増大を防止することができ、パケット通信端末の処理負荷を抑制することができる。
【００６９】
また、同様の理由により保守センタサーバに拒否パケット情報のトラフィックが集中することがない。
【００７０】
すなわち、ネットワークドメインに属する複数の端末に対する同時多発的に攻撃が発生した場合の保守センタサーバへの拒否パケット情報のトラフィック集中を回避することができる。また、パケット通信端末側の頻繁な拒否パケット情報の送信処理による処理負荷を軽減することができる。
【００７１】
以上の効果を、従来例との対比により詳細に説明する。
【００７２】
特許文献１記載のファイアウォールシステムは、保守センタサーバがフィルタリング情報を生成して各装置に配信し、各装置は、保守センタサーバから送られてきたフィルタリング情報に基づいて、自己のフィルタリングルール等を更新する。これに対して、本実施の形態では、攻撃を受けたパケット通信端末が、統計処理によりログ情報を解析してフィルタリング情報を生成し、ブロードキャストアドレス及びマルチキャストアドレスで配信することで、パケット通信端末の処理負荷の抑制と保守センタサーバに対するトラフィックの集中の回避を目的とすることにある。本実施の形態は、あくまであるネットワークドメインに属する複数のパケット通信端末に対して、悪意を持った者から同時多発的な攻撃パケットによる攻撃を受けたことによる対策を主眼としている。一方、特許文献１記載の装置は、フィルタリング条件の設定を簡略化する目的の提案である。したがって、本実施の形態のように、あるネットワークドメインに属する複数のパケット通信端末に対して、悪意を持った者から同時多発的な攻撃パケットによる攻撃を受けた場合に対して、パケット通信端末の処理負荷を抑制及び保守センタサーバへのトラフィックの集中を回避する効果を有しない。
【００７３】
また、特許文献２記載のプロファイル配信方法は、パケット通信端末のメール機能を利用して、保守センタサーバよりメールにフィルタリング情報を添付して端末に配信することでフィルタリング設定の簡略化を狙いとするものである。本実施の形態のように、パケットフィルタの拒否パケット情報を基にしたフィルタリング情報の配信により他のパケット通信端末を攻撃パケットから保護する内容ではない。また、特許文献２記載のプロファイル配信方法は、メール機能をプロファイルの配信手段としている。したがって、本実施の形態のように、あるネットワークドメインに属する複数のパケット通信端末に対して、悪意を持った者から同時多発的な攻撃パケットによる攻撃を受けた場合に対して、パケット通信端末の処理負荷を抑制及び保守センタサーバへのトラフィックの集中を回避する効果は期待できない。
【００７４】
（実施の形態２）
実施の形態２は、フィルタリング情報に認証コードを付加する例である。
【００７５】
実施の形態２に係るファイアウォールシステムのハード的構成は、図１及び図２と同一であるため説明を省略する。
【００７６】
図６は、本発明の実施の形態２に係る通信端末装置の最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）のフィルタリング情報３００の配信処理を示すフローチャートである。本フローは、通信端末装置１００ａのＣＰＵ１１０により実行される。図３に示すフローと同一処理を行うステップには同一ステップ番号を付して説明を省略する。
【００７７】
上記ステップＳ６で統計処理の結果が所定の解析条件と一致した場合、ステップＳ３１でパケット通信処理部１２０はフィルタリング情報３００に認証コードを付加する。
【００７８】
ステップＳ３２では、パケット通信処理部１２０は認証コードを付加したフィルタリング情報３００と解析条件情報をブロードキャストアドレス、マルチキャストアドレス、及び保守センタサーバ２００に配信して上記ステップＳ２に戻る。
【００７９】
図７は、他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）のフィルタリング情報３００の受信処理を示すフローチャートである。本フローは、通信端末装置１００ｂ〜１００ｅのＣＰＵ１１０により実行される。図４に示すフローと同一処理を行うステップには同一ステップ番号を付して説明を省略する。
【００８０】
上記ステップＳ１２で受信したバケットがフィルタリング情報３００である場合、ステップＳ４１でパケット通信処理部１２０は最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）から発信された認証コードが付加されたフィルタリング情報３００を受信し、認証コードによる認証処理を実施する。
【００８１】
ステップＳ４２では、パケット通信処理部１２０は認証処理の結果、許可か否かを判定する。認証による許可判定の場合、ステップＳ１３に進み、不許可の場合は上記ステップＳ１１に戻り他のパケットの受信処理に移行する。
【００８２】
ステップＳ１３では、パケットフィルタ部１３０は受信したパケットのパケットデータのペイロードからフィルタリング情報３００を抽出してフィルタリングルールとして追加して上記ステップＳ１１に戻る。
【００８３】
図８は、保守センタサーバ２００の処理を示すフローチャートである。本フローは、保守センタサーバ２００の図示しないＣＰＵにより実行される。図５に示すフローと同一処理を行うステップには同一ステップ番号を付して説明を省略する。
【００８４】
ステップＳ５１では、保守センタサーバ２００は最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）から発信されたフィルタリング情報３００を認証コード付で受信する。
【００８５】
ステップＳ５２では、保守センタサーバ２００は最初に攻撃を受けたパケット通信端末（通信端末装置１００ａ）から発信された認証コードが付加されたフィルタリング情報３００を受信し、認証コードによる認証処理を実施する。
【００８６】
ステップＳ５３では、保守センタサーバ２００は認証処理の結果、許可か否かを判定する。認証による許可判定の場合、ステップＳ２２に進み、不許可の場合は上記ステップＳ５１に戻り他のパケットの受信処理に移行する。
【００８７】
ステップＳ２２では、保守センタサーバ２００は受信したフィルタリング情報３００と付帯情報（受信時刻、攻撃を受けた時刻、フィルタリング情報の送信元、解析条件等）をデータベース化して保存し、データベースにより管理する。認証による許可でない場合は、フィルタリング情報は破棄され、他のパケットの受信処理に移行する。
【００８８】
ステップＳ２３では、保守センタサーバ２００は管理しているフィルタリング情報について、他のネットワークドメインにも配信すべきか否かを判定する。
【００８９】
他のネットワークドメインに配信すべきと判定した場合、ステップＳ５４でフィルタリング情報３００に認証コードを付加する。
【００９０】
ステップＳ５５では、保守センタサーバ２００は認証コードを付加したフィルタリング情報を他のネットワークドメインにも配信し、配信記録を保存して次の処理に進む。他のネットワークドメインに配信する必要がないと判定した場合には本フローを終了して次の処理に進む。
【００９１】
このように、本実施の形態によれば、攻撃を受けたパケット通信端末（通信端末装置１００ａ）及び／又は保守センタサーバ２００は、フィルタリング情報に認証コードを付加して配信し、他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）は認証コードによる認証処理を行った上で受信したフィルタリング情報をパケットフィルタ部１３０に設定するので、他のパケット通信端末側では認証コードによる認証処理を行った上で受信することによりフィルタリング情報を悪用した攻撃も防止することができる。
【００９２】
以上の説明は本発明の好適な実施の形態の例証であり、本発明の範囲はこれに限定されることはない。例えば、最初に攻撃を受けたパケット通信端末を、宅内の通信端末装置１００ａとしているが、これは説明の便宜上であり、他のパケット通信端末（通信端末装置１００ｂ〜１００ｅ）であってもよい。また、自機が、最初に攻撃を受けたパケット通信端末であるか否かの判断を制御シーケンスに加えてもよい。具体的には、適正なフィルタリング情報を受信したパケット通信端末は、上述したフィルタリング情報配信処理をスキップするかフィルタリング情報の配信を停止すればよい。一般には、悪意の攻撃者Ａから攻撃を受けた複数のパケット通信端末のうち、処理機能の高いＰＣ等の情報処理装置が最初に攻撃を受けたパケット通信端末となることが想定される。また、別の観点から、常時接続の頻度が高いと考えられる有線ＬＡＮの端末が最初に攻撃を受けたパケット通信端末となることが想定される。
【００９３】
また、本実施の形態ではパケット通信端末、ファイアウォールシステム及びファイアウォール方法という名称を用いたが、これは説明の便宜上であり、ファイアウォール装置、ネットワークシステム、フィルタリング情報配信方法等であってもよいことは勿論である。
【００９４】
さらに、上記通信端末装置、ファイアウォールシステムを構成する各部、例えばＤＢの種類、その数及び接続方法などはどのようなものでもよい。
【００９５】
以上説明したファイアウォール方法は、このファイアウォール方法を機能させるためのプログラムでも実現される。このプログラムはコンピュータで読み取り可能な記録媒体に格納されている。
【産業上の利用可能性】
【００９６】
本発明に係る通信端末装置、ファイアウォールシステム及びファイアウォール方法は、保守センタサーバと、複数の通信端末装置とが、ネットワークを介して接続されたファイアウォールシステムに有用である。パケットフィルタリング型のファイアウォールシステムに幅広く適用することができる。また、ノート型パーソナルコンピュータ、ＰＤＡ等の無線通信機能をもつ携帯の容易な電子機器に広く適用することができる。
【図面の簡単な説明】
【００９７】
【図１】本発明の実施の形態１に係る通信端末装置及びファイアウォールシステムの構成を示す図
【図２】本実施の形態に係る通信端末装置の内部構成を示すブロック図
【図３】本実施の形態に係る通信端末装置のフィルタリング情報の配信処理を示すフロー図
【図４】本実施の形態に係る通信端末装置の他の通信端末装置のフィルタリング情報の受信処理を示すフロー図
【図５】本実施の形態に係る通信端末装置の保守センタサーバの処理を示すフロー図
【図６】本発明の実施の形態２に係る通信端末装置のフィルタリング情報の配信処理を示すフロー図
【図７】本実施の形態に係る通信端末装置の他の通信端末装置のフィルタリング情報の受信処理を示すフロー図
【図８】本実施の形態に係る通信端末装置の保守センタサーバの処理を示すフロー図
【符号の説明】
【００９８】
１００ａ〜１００ｅ  通信端末装置
１１０  ＣＰＵ
１２０  パケット通信処理部
１３０  パケットフィルタ部
１４０  記憶部
１５０  表示部
１６０  操作部
１７０  電源部
２００  保守センタサーバ
２１０  ドメインサーバ
２２０  ルータ
２３０  アクセスポイントＡＰ
２４０，２５０  インターネットサービスプロバイダ（ＩＳＰ）
２６０  攻撃者Ａの通信端末装置
３００  フィルタリング情報
【図１】
2009048574.tif 000003
【図２】
2009048574.tif 000004
【図３】
2009048574.tif 000005
【図４】
2009048574.tif 000006
【図５】
2009048574.tif 000007
【図６】
2009048574.tif 000008
【図７】
2009048574.tif 000009
【図８】
2009048574.tif 000010