JP2003273936A - ファイアウォールシステム - Google Patents

Abstract

(57)【要約】 【課題】 運用するのが容易なパケットフィルタリング
型のファイアウォールシステムを提供する。 【解決手段】 各ファイアウォール装置102は、所定の
フィルタリングルールに従ってパケットフィルタリング
を行い、更に、現在のフィルタリングルールでは通過可
能なパケットを監視し、当該パケットを拒否すべきと判
定した場合は、当該パケットのヘッダ部から送信元ＩＰ
アドレスを抽出し、抽出した情報に基づいてフィルタリ
ングルールの更新を行う。更に、その送信元ＩＰアドレ
ス等を記録しておき、定期的に保守センターサーバー10
1に送信する。サーバー101は、各装置102から送られて
くる情報を定期的に統計処理し、複数の装置102で共有
すべきと判断される拒否ＩＰアドレス等を、各装置102
へ送信する。各装置102は、サーバー101から送られてき
た情報に基づいて、自己のフィルタリングルール等を更
新する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、外部ネットワーク
と内部ネットワークの間で、パケットフィルタリングを
行うファイアウォールシステムに関する。

【０００２】

【従来の技術】従来から、ネットワークセキュリティを
確保するための技術として、ファイアウォールが知られ
ている。ファイアウォールとは、インターネット等の外
部ネットワークと、企業内ＬＡＮ等の内部ネットワーク
との間に置かれ、予め決められた基準に基づいて、各デ
ータについて通信を許可するか否かを制御することによ
り、外部ネットワークから内部ネットワークへの侵入等
を阻止するための技術である。

【０００３】このようなファイアウォールには、様々な
方式のものがあるが、そのうちの一つに、パケットフィ
ルタリング型のファイアウォールがある。パケットフィ
ルタリング型のファイアウォールは、パケット毎に、外
部ネットワークから内部ネットワークへの（又は、内部
ネットワークから外部ネットワークへの）通過を許可す
るか否かの制御を行うものであり、このような制御は、
予め決められたフィルタリングルールに従って行われ
る。

【０００４】通常、フィルタリングルールでは、送信元
ＩＰアドレス、宛先ＩＰアドレス、送信元ポート番号、
宛先ポート番号、プロトコルの種類等によってフィルタ
リングの対象にするパケットが特定され、当該パケット
に対する処置（通過、拒否等）が指定される。

【０００５】

【発明が解決しようとする課題】このようなフィルタリ
ングルールは、管理者が予め設定する必要があるが、そ
の設定作業には、ある程度のネットワーク等に関する知
識が必要となり、一般ユーザには困難であった。また、
そのような知識を有する者にとっても煩雑であった。

【０００６】本発明の目的は、運用するのが容易なパケ
ットフィルタリング型のファイアウォールシステムを提
供することにある。

【０００７】

【課題を解決するための手段】本発明に係るファイアウ
ォールシステムは、保守センターサーバーと、複数のフ
ァイアウォール装置とが、ネットワークを介して接続さ
れたファイアウォールシステムである。

【０００８】そして、第一のファイアウォールシステム
においては、各ファイアウォール装置は、自己が保持す
るフィルタリングルールに基づいて、パケットのフィル
タリングを行うとともに、自己が受信したパケットに基
づいて、当該パケットを拒否すべきか否かを判定し、拒
否すべきと判定した場合は、当該パケットを拒否できる
ように、前記フィルタリングルールを更新し、また、拒
否すべきと判定したパケットに関する拒否パケット情報
を保守センターサーバーへ送信する。保守センターサー
バーは、各ファイアウォール装置から送られてくる拒否
パケット情報を統計処理して、複数のファイアウォール
装置で共有すべき拒否パケット識別情報を決定し、複数
のファイアウォール装置で共有すべき拒否パケット識別
情報を、各ファイアウォール装置に送信する。そして、
各ファイアウォール装置は、保守センターサーバーから
送られてきた拒否パケット識別情報に基づいて、フィル
タリングルールを更新する。

【０００９】また、第二のファイアウォールシステムに
おいては、各ファイアウォール装置は、自己の動作モー
ド情報を保守センターサーバーへ送信する。保守センタ
ーサーバーは、各ファイアウォール装置から送られてき
た動作モード情報に合致する拒否パケット識別情報を、
各ファイアウォール装置に送信する。そして、各ファイ
アウォール装置は、保守センターサーバーから送られて
きた拒否パケット識別情報に基づいて、フィルタリング
ルールを生成し、当該フィルタリングルールに基づい
て、パケットのフィルタリングを行う。

【００１０】本発明に係るファイアウォール装置は、フ
ィルタリングルールに基づいて、パケットの通過を許可
するか否かを制御するパケットフィルタリング部と、パ
ケットを捕捉し、捕捉したパケットから必要な情報を抽
出するパケット捕捉部と、前記パケット捕捉部が抽出し
た情報に基づいて、捕捉したパケットが拒否すべきパケ
ットであるか否かを判定し、拒否すべきパケットである
と判定した場合、当該パケットから、フィルタリングル
ールを生成するのに必要な情報を抽出する判定部と、当
該判定部が抽出した情報に基づいて、前記フィルタリン
グルールを更新するルール更新部とを備えたことを特徴
とする。

【００１１】この場合において、前記判定部は、パケッ
トのデータに、予め決められた文字列が含まれているか
否かによって、拒否すべきパケットであるか否かを判定
するようにしてもよい。また、所定の時間内に、同一の
送信元から所定数以上のメール・パケットを受信したか
否か、及び、当該パケットが転送メールに関連するパケ
ットであるか否かによって、拒否すべきパケットである
か否かを判定するようにしてもよい。また、所定の時間
内に、同一の送信元から所定の複数のポートに対するア
クセスがあったか否かによって、拒否すべきパケットで
あるか否かを判定するようにしてもよい。

【００１２】また、前記ルール更新部は、フィルタリン
グルールを更新した場合、当該フィルタリングルールを
更新するのに必要な情報と、更新を行った原因と、更新
を行った時刻を記録するようにしてもよく、そして、前
記ファイアウォール装置が、当該記録を、外部ネットワ
ークを介して、保守センターサーバーへ送信するデータ
送信部を更に備えるようにしてもよい。

【００１３】また、前記ルール更新部は、フィルタリン
グルールを追加した場合、追加を行った時刻を記録して
おき、その時刻から所定の時間が経過した後、追加した
フィルタリングルールを削除するようにしてもよい。

【００１４】また、前記ファイアウォール装置が、保守
センターサーバーから送られてくる拒否パケット識別情
報を受信するデータ受信部を更に備え、前記ルール更新
部が、前記拒否パケット識別情報に基づいて、前記フィ
ルタリングルールを更新するようにしてもよい。

【００１５】また、前記判定部が、パケットのデータ
に、予め決められた文字列が含まれているか否かによっ
て、拒否すべきパケットであるか否かを判定する場合
は、ファイアウォール装置が、保守センターサーバーか
ら送られてくる拒否パケット識別情報を受信するデータ
受信部を更に備え、前記ルール更新部は、前記拒否パケ
ット識別情報に基づいて、前記フィルタリングルールを
更新し、前記判定部は、前記拒否パケット識別情報に含
まれる拒否文字列に基づいて、拒否すべきパケットであ
るか否かを判定するようにしてもよい。

【００１６】本発明に係るパケットフィルタリングのた
めのフィルタリングルールを生成するプログラムは、コ
ンピュータを、パケットを捕捉し、捕捉したパケットか
ら必要な情報を抽出するパケット捕捉手段、前記パケッ
ト捕捉手段が抽出した情報に基づいて、捕捉したパケッ
トが拒否すべきパケットであるか否かを判定し、拒否す
べきパケットであると判定した場合、当該パケットから
フィルタリングルールを生成するのに必要な情報を抽出
する判定手段、及び、当該判定手段が抽出した情報に基
づいて、前記フィルタリングルールを生成するフィルタ
リングルール生成手段として機能させるためのプログラ
ムである。

【００１７】本発明に係る保守センターサーバーは、フ
ァイアウォール装置から送られてくる拒否パケット情報
を受信するデータ受信部と、受信した拒否パケット情報
を記録する記録部と、記録された拒否パケット情報の統
計処理を行う統計処理部と、前記統計処理された情報か
ら生成される拒否パケット識別情報を格納するデータベ
ースと、前記データベースに格納された拒否パケット識
別情報を、ファイアウォール装置に送信するデータ送信
部とを備えたことを特徴とする。

【００１８】この場合において、前記ファイアウォール
装置から送られてくる情報には、当該ファイアウォール
装置の動作モード情報が含まれるようにしてもよく、そ
して、前記保守センターサーバーが、当該動作モード情
報に基づいて、前記データベースに格納された拒否パケ
ット識別情報を選択し、データ送信部に渡す選択部を更
に備えるようにしてもよい。

【００１９】

【発明の実施の形態】以下、本発明の実施の形態につい
て、図面を参照しつつ詳細に説明する。

【００２０】図１は、本発明によるファイアウォールシ
ステムの全体構成を示す図である。

【００２１】同図に示すように、本システムは、保守セ
ンターサーバー１０１と、複数のファイアウォール装置
１０２（１０２ａ〜１０２ｃ）と、複数の制御用端末装
置１０３（１０３ａ〜１０３ｃ）とを備える。

【００２２】保守センターサーバー１０１及びファイア
ウォール装置１０２は、共に、インターネット１０４に
接続されている。また、各ファイアウォール装置１０２
は、それぞれ、内部ネットワーク１０５（１０５ａ〜１
０５ｃ）に接続されている。

【００２３】更に、各ファイアウォール装置１０２は、
シリアルケーブルを介して、各制御用端末装置１０３と
接続されている。制御用端末装置１０３は、ファイアウ
ォール装置１０２の各種設定を行ったり、ファイアウォ
ール装置１０２の状態を確認したりするためのものであ
る。

【００２４】各ファイアウォール装置１０２は、外部ネ
ットワークであるインターネット１０４と内部ネットワ
ーク１０５との間で、パケットフィルタリングを行う。
各ファイアウォール装置１０２は、予め決められたフィ
ルタリングルールに従って、パケットフィルタリングを
行うが、更に、現在のフィルタリングルールでは通過可
能なパケットを監視し、当該パケットを通過させるのが
望ましいか否かを判断する。そして、通過させるのが望
ましくないと判定した場合は、当該パケットから、フィ
ルタリングルールを生成するのに必要な情報（例えば、
送信元ＩＰアドレス）を抽出し、抽出した情報に基づい
て、当該パケットを拒否（遮断）できるようにフィルタ
リングルールの更新を行う。

【００２５】フィルタリングルールを生成するのに必要
な情報としては、送信元ＩＰアドレス（又は、ドメイン
名）、送信元ポート番号、宛先ＩＰアドレス（又は、ド
メイン名）、宛先ポート番号、プロトコル種類等がある
が、以下では簡単のため、送信元ＩＰアドレスで、フィ
ルタリングルールを生成するのに必要な情報を代表させ
る。

【００２６】本実施形態においては、各ファイアウォー
ル装置１０２は、現在は通過可能なパケットに対して、
３種類の判定を行う。

【００２７】まず、第一に、各ファイアウォール装置１
０２は、パケットのデータ（アプリケーション層のデー
タ）に、予め決められた文字列（拒否文字列）が含まれ
るか否かを判定する。そして、拒否文字列を含むパケッ
トは、拒否すべきパケットであると判定する。

【００２８】このような判定を行うことにより、例え
ば、教育機関のＬＡＮ環境において、児童の目に触れさ
せたくない文字列（猥褻な言葉や差別用語等）を含むＨ
ＴＭＬファイル等が児童が使う端末装置に表示されるの
を防ぐことが可能になる。

【００２９】第二に、各ファイアウォール装置１０２
は、パケットが、スパムメールに関連するパケットであ
るか否かを判定する。スパムメールとは、不特定多数の
ユーザーに、一方的に送りつけられる宣伝メール等の電
子メールのことをいい、多くの場合、電子メールの不正
中継が利用される。このようなスパムメールに関連する
パケットについては、拒否することが望ましいので、各
ファイアウォール装置１０２は、パケットが、スパムメ
ールに関連するパケットであるか否かを判定する。スパ
ムメールに関連するパケットであるか否かを判定する処
理の詳細については後述する。

【００３０】第三に、各ファイアウォール装置１０２
は、パケットが、ポートスキャンに関連するパケットで
あるか否かを判定する。一般に、インターネットで利用
される多くのサービスは、ＴＣＰ又はＵＤＰのサービス
として、サーバー上で稼働しており、ＴＣＰやＵＤＰに
はポート番号と呼ばれるサービス識別子が存在する。ポ
ートスキャンとは、例えば、１番ポートから順番に接続
を試みることで、スキャン対象のサーバーで稼働してい
るサービスが何なのかを調べるものである。このような
ポートスキャンに関連するパケットについても、拒否す
ることが望ましいので、各ファイアウォール装置１０２
は、パケットが、ポートスキャンに関連するパケットで
あるか否かを判定する。ポートスキャンに関連するパケ
ットであるか否かを判定する処理の詳細については後述
する。

【００３１】各ファイアウォール装置１０２は、以上の
ような判定の結果、拒否すべきパケットと判定した場合
は、当該パケットの送信元ＩＰアドレスを抽出して、抽
出した送信元ＩＰアドレスに基づいて、当該送信元ＩＰ
アドレスからのパケットを拒否できるようにフィルタリ
ングルールを更新する。更に、その際、その送信元ＩＰ
アドレス、更新原因（拒否文字列検出／スパムメール検
出／ポートスキャン検出）、更新時刻等を記録してお
き、当該記録（拒否パケット情報）を定期的に、保守セ
ンターサーバー１０１に送信する。

【００３２】保守センターサーバー１０１は、各ファイ
アウォール装置１０２から送られてくる情報を記録し、
記録した情報を定期的に統計処理する。そして、統計処
理の結果、複数のファイアウォール装置１０２で共有す
べきと判断される拒否パケット識別情報（例えば、拒否
すべき送信元ＩＰアドレス）を、各ファイアウォール装
置１０２へ送信する。

【００３３】各ファイアウォール装置１０２は、保守セ
ンターサーバー１０１から送られてくる拒否パケット識
別情報を受け取ると、当該情報に基づいて、自己のフィ
ルタリングルール等を更新する。

【００３４】本ファイアウォールシステムでは、このよ
うな動作を行うので、各ファイアウォール装置１０２
は、現在のフィルタリングルールでは対処できないパケ
ットについても、ある程度、自律的に防御をすることが
可能になる。また、あるファイアウォール装置１０２ａ
において、拒否すべきパケットの送信元と判定された送
信元ＩＰアドレスが、他のファイアウォール装置１０２
ｂ、１０２ｃでも共用されることとなり、他のファイア
ウォール装置１０２ｂ、１０２ｃでは、自分で検出しな
くても、望ましくないパケットを拒否するようにフィル
タリングルールを更新することができ、望ましくないパ
ケットの通過を未然に防ぐことが可能となる。

【００３５】また、各ファイアウォール装置１０２は、
自己の動作モード情報の一つとして、カテゴリと呼ばれ
る情報を有している。カテゴリは、制御用端末装置１０
３を使って、管理者が設定（変更）することができる。

【００３６】カテゴリは、例えば、ファイアウォール装
置１０２が接続される内部ネットワーク１０５の種類
（例えば、「教育機関」、「企業」、「個人」）や、セ
キュリティレベル（例えば、「高」、「中」、「低」）
等に対応して予め定められる識別子（例えば、００００
〜９９９９のいずれか）である。

【００３７】更に、各ファイアウォール装置１０２は、
自己の動作モード情報として、「スパムメールをチェッ
クするか否か」、「ポートスキャンをチェックするか否
か」の情報を有しており、これらも、制御用端末装置１
０３を使って、設定（変更）することができる。

【００３８】各ファイアウォール装置１０２は、これら
の動作モード情報が設定あるいは変更されると、当該動
作モード情報を保守センターサーバー１０１へ送信す
る。なお、このとき、前述した拒否パケット情報等が存
在すれば、これも同時に送信される。

【００３９】保守センターサーバー１０１は、各ファイ
アウォール装置１０２から送られてくる動作モード情報
を受け取ると、送られてきた動作モード情報に基づい
て、当該動作モードに応じた拒否パケット識別情報（本
実施形態においては、拒否文字列及び拒否送信元ＩＰア
ドレス）を選択し、各ファイアウォール装置１０２に送
り返す。

【００４０】各ファイアウォール装置１０２は、保守セ
ンターサーバー１０１から送られてきた拒否パケット識
別情報に基づいて、フィルタリングルールを生成し、ま
た、拒否文字列の判定を行う。

【００４１】本ファイアウォールシステムでは、このよ
うな動作を行うので、所望の動作モードを選択するだけ
で、自己のファイアウォール装置１０２に対して、適切
なフィルタリングルール及び拒否文字列を自動的に設定
することができ、各ファイアウォール装置１０２の管理
者の負担が軽減される。

【００４２】次に、以上のような動作を行う本ファイア
ウォールシステムを構成する各構成要素の詳細について
説明する。

【００４３】まず、ファイアウォール装置１０２の詳細
について説明する。

【００４４】図２は、ファイアウォール装置１０２のハ
ードウェア構成例を示す図である。同図に示すように、
ファイアウォール装置１０２は、ＣＰＵ２０１と、メイ
ンメモリ２０２と、ＲＯＭ２０３と、ＰＣカードインタ
フェース部２０４と、シリアルインタフェース部２０５
と、ネットワークインタフェース部２０６，２０７とを
備える。

【００４５】ＣＰＵ２０１、メインメモリ２０２、ＲＯ
Ｍ２０３、ＰＣカードインタフェース部２０４、シリア
ルインタフェース部２０５、ネットワークインタフェー
ス部２０６，２０７は、それぞれ、バス２０８に接続さ
れている。また、ＰＣカードインタフェース部２０４に
は、フラッシュＡＴＡカード２０９が接続される。シリ
アルインタフェース部２０５は、制御用端末装置１０３
に接続され、ネットワークインタフェース部２０６は、
外部ネットワーク（インターネット１０４）に接続さ
れ、ネットワークインタフェース部２０７は、内部ネッ
トワーク１０５に接続される。

【００４６】ＣＰＵ２０１は、ファイアウォール装置１
０２が行う各種処理を実行・制御する中央処理装置であ
る。メインメモリ２０２は、ＣＰＵ２０１が利用する各
種プログラムやデータを格納する主記憶装置である。Ｒ
ＯＭ２０３は、ＣＰＵ２０１が利用するＢＩＯＳ等を格
納する記憶装置である。

【００４７】ＰＣカードインタフェース部２０４は、フ
ラッシュＡＴＡカード２０９とバス２０８との間のデー
タのやり取りを制御するものである。シリアルインタフ
ェース部２０５は、制御用端末装置１０３と、バス２０
８と間のデータのやり取りを制御するものである。ネッ
トワークインタフェース部２０６は、外部ネットワーク
とバス２０８との間のデータのやり取りを制御するもの
である。ネットワークインタフェース部２０７は、内部
ネットワークとバス２０８との間のデータのやり取りを
制御するものである。

【００４８】フラッシュＡＴＡカード２０９は、ＣＰＵ
２０１が利用するオペレーティングシステム（ＯＳ）そ
の他の各種プログラムやデータが記録された記録媒体で
ある。なお、本実施形態においては、フラッシュＡＴＡ
カードの全記憶領域は、セクタ単位で暗号化が行われて
いる。すなわち、ファイアウォール装置１０２のＯＳ又
はＢＩＯＳが、フラッシュＡＴＡカード２０９に対し
て、セクタ単位で読み書きを行う際、セクタデータに関
して所定の復号／符号化を行う。このような処理を行う
ことにより、例えば、ファイアウォール装置１０２を、
ＡＴ互換機等の一般的なパーソナルコンピュータ（Ｐ
Ｃ）をベースに実現した場合であっても、フラッシュＡ
ＴＡカード２０９に記録された情報が、他の同種のＰＣ
等で読み出されることを防止することが可能になる。

【００４９】図３は、ファイアウォール装置１０２のソ
フトウェア構成例を示す図である。同図に示すように、
ファイアウォール装置１０２は、パケットフィルタリン
グ部３０１と、バケット捕捉部３０２と、判定部３０３
〜３０５と、フィルタリングルール制御部３０６と、デ
ータ送信部３０７と、データ受信部３０８とを備える。
各部３０１〜３０８は、基本的に、ＣＰＵ２０１が、メ
インメモリ２０２にロードされたプログラムを実行する
ことで実現される。

【００５０】パケットフィルタリング部３０１は、ＴＣ
Ｐ／ＩＰプロトコルにおけるＩＰパケットを受け取り、
パケットのヘッダの内容に応じて、受け取ったパケット
を通過させるか否かの制御を行うものである。パケット
フィルタリング部３０１は、フィルタリングルールを保
持し、このフィルタリングルールに従って、受け取った
パケットを通過させるか否かを判断する。

【００５１】フィルタリングルール制御部３０６は、パ
ケットフィルタリング部３０１が保持するフィルタリン
グルールに新たなルールを追加したり、フィルタリング
ルールからあるルールを削除したりして、フィルタリン
グルールの制御を行う。

【００５２】パケット捕捉部３０２は、パケットフィル
タリング部３０１を通過したパケットを捕捉し、当該パ
ケットの解析を行い、必要なデータを抽出して判定部３
０３〜３０５に渡す。パケット捕捉部３０２は、また、
捕捉したパケットに関する記録を残すため、捕捉パケッ
ト記録テーブルを保持している。

【００５３】図４は、捕捉パケット記録テーブルの構成
例を示す図である。

【００５４】同図に示すように、捕捉パケット記録テー
ブルは、「送信元」フィールド４０１と、「宛先」フィ
ールド４０２と、「プロトコル」フィールド４０３と、
「受信時刻」フィールド４０４とを備えている。

【００５５】「送信元」フィールド４０１には、パケッ
トの送信元のＩＰアドレス（及び、必要に応じてポート
番号）が格納される。「宛先」フィールド４０２には、
パケットの宛先のＩＰアドレス（及び、必要に応じてポ
ート番号）が格納される。「プロトコル」フィールド４
０３には、パケットのプロトコル種別を示す情報が格納
される。「受信時刻」フィールド４０４には、パケット
を受信した時刻が格納される。

【００５６】パケット捕捉部３０２は、捕捉したパケッ
トのヘッダ部を順次解析し、当該パケットがどのような
種類のパケットかを判別する。そして、アプリケーショ
ン層のデータ（例えば、ＨＴＭＬファイルの内容）を含
むパケットについては、そのデータ部分を、ＴＣＰ／Ｉ
Ｐヘッダと共に、判定部３０３に送る。また、電子メー
ルに関連するパケットについては、そのメールヘッダを
抽出し、ＴＣＰ／ＩＰヘッダと共に、判定部３０４に送
る。また、ポートに対してアクセスを行うパケットにつ
いては、ＴＣＰ／ＩＰヘッダを判定部３０５に送る。各
判定部３０３〜３０５は、パケット捕捉部３０２から渡
された情報に基づいて、捕捉したパケットが拒否すべき
パケットであるか否かを判定する。

【００５７】次に、捕捉したパケットが拒否すべきパケ
ットであるか否かを判定する判定部３０３〜３０５につ
いて説明する。本実施形態においては、３種類の判定部
３０３〜３０５が設けられている。

【００５８】まず、判定部３０３について説明する。

【００５９】判定部３０３は、パケットに含まれるアプ
リケーション層レベルのデータに、予め設定された文字
列が含まれているか否かによって、当該パケットが拒否
すべきパケットであるか否かを判定する。そのため、判
定部３０３は、拒否すべき文字列のリスト（拒否文字列
リスト）を保持している。

【００６０】この拒否文字列リストは、ファイアウォー
ル装置１０２の運用開始時に、管理者によって設定され
たカテゴリに対応するものが、保守センターサーバー１
０１からダウンロードされる。なお、運用開始時の拒否
文字列リストについては、予めフラッシュＡＴＡカード
２０９に格納しておき、それを利用するようにしてもよ
い。

【００６１】また、拒否文字列リストには、各ファイア
ウォール装置１０２を導入したサイト毎に、管理者が所
望の文字列を追加等することもできる。そして、この拒
否文字列リストは、定期的に（例えば、３日に一回）、
他の情報と共に、保守センターサーバー１０１に送られ
る。更に、拒否文字列リストは、カテゴリ等、各ファイ
アウォール装置１０２の動作モード情報が変更された場
合も、他の情報と共に、保守センターサーバー１０１に
送られる。

【００６２】図５は、判定部３０３の判定処理の流れを
示すフローチャートである。

【００６３】同図に示すように、判定部３０３は、ま
ず、パケット捕捉部３０２から渡されるＴＣＰ／ＩＰパ
ケットのデータに、拒否文字列リスト内の拒否文字列が
存在するか否かを順次、判定する（Ｓ５０１）。

【００６４】その結果、拒否文字列が含まれていなかっ
た場合は（Ｓ５０１：ＮＯ）、そのまま処理を終了す
る。

【００６５】一方、拒否文字列が含まれていた場合は
（Ｓ５０１：ＹＥＳ）、当該パケットを拒否すべきパケ
ットと判定し、当該パケットのヘッダ部から、送信元の
ＩＰアドレスを抽出する（Ｓ５０２）。そして、判定部
３０３は、抽出した送信元ＩＰアドレスと、当該パケッ
トに含まれていた拒否文字列と、判定部３０３を表す識
別子を、フィルタリングルール制御部３０６に渡して
（Ｓ５０３）、処理を終了する。

【００６６】以上のようにして、判定部３０３における
判定処理が行われる。

【００６７】次に、判定部３０４について説明する。

【００６８】判定部３０４は、捕捉したパケットがスパ
ムメールに関連するパケットであるか否かを判定する。
具体的には、判定部３０４は、パケット捕捉部３０２か
ら順次渡されるメールヘッダ及びＴＣＰ／ＩＰヘッダを
記録しておき、同一の送信元から、所定時間内に、所定
数以上のメール・パケットを受信した場合であって、当
該メールが転送メールである場合、当該メール・パケッ
トがスパムメールに関連するパケットであると判定す
る。

【００６９】図６は、判定部３０４の判定処理の流れを
示すフローチャートである。

【００７０】同図に示すように、判定部３０４は、ま
ず、パケット捕捉部３０２から渡されるＴＣＰ／ＩＰヘ
ッダに基づいて、同一の送信元から、所定時間内に、所
定数以上のメール・パケットを受信しているか否かを判
定する（Ｓ６０１）。

【００７１】その結果、同一の送信元から、所定時間内
に、所定数以上のメール・パケットを受信していない場
合は（Ｓ６０１：ＮＯ）、そのまま処理を終了する。

【００７２】一方、同一の送信元から、所定時間内に、
所定数以上のメール・パケットを受信していた場合は
（Ｓ６０１：ＹＥＳ）、次に、メールヘッダに基づい
て、当該メールが転送メールであるか否かを判定する
（Ｓ６０２）。メールが転送メールであるか否かは、例
えば、メールヘッダに「Received:」行が所定数以上含
まれているか否かで判定する。

【００７３】その結果、転送メールでなかった場合は
（Ｓ６０２：ＮＯ）、そのまま処理を終了する。

【００７４】一方、転送メールである場合は（Ｓ６０
２：ＹＥＳ）、捕捉したパケットを拒否すべきパケット
と判定し、当該パケットのヘッダ部から、送信元のＩＰ
アドレスを抽出する（Ｓ６０３）。そして、判定部３０
４は、抽出した送信元ＩＰアドレスと、判定部３０４を
表す識別子を、フィルタリングルール制御部３０６に渡
して（Ｓ６０４）、処理を終了する。

【００７５】以上のようにして、判定部３０４における
判定処理が行われる。

【００７６】次に、判定部３０５について説明する。

【００７７】判定部３０５は、捕捉したパケットがポー
トスキャンに関連するパケットであるか否かを判定す
る。具体的には、判定部３０５は、通常は使われること
がないポート番号のリスト（拒否ポート番号リスト）を
保持しており、更に、パケット捕捉部３０２から順次渡
されるＴＣＰ／ＩＰヘッダを記録しておき、同一の送信
元から、拒否ポート番号リストに含まれる複数（所定数
以上）のポートに対するアクセスが、所定の時間内にあ
った場合、ポートスキャンに関連するパケットであると
判定する。

【００７８】図７は、判定部３０５の判定処理の流れを
示すフローチャートである。

【００７９】同図に示すように、パケット捕捉部３０２
からＴＣＰ／ＩＰヘッダを受け取ると、判定部３０５
は、まず、当該パケットが、ポートスキャンに関連する
パケットであるか否かを判定する（Ｓ７０１）。

【００８０】その結果、ポートスキャンに関連するパケ
ットでないと判定した場合は（Ｓ７０１：ＮＯ）、その
まま処理を終了する。

【００８１】一方、ポートスキャンに関連するパケット
であると判定した場合は（Ｓ７０１：ＹＥＳ）、当該パ
ケットのヘッダ部から、送信元のＩＰアドレスを抽出す
る（Ｓ７０２）。そして、判定部３０５は、抽出した送
信元ＩＰアドレスと、判定部３０５を表す識別子をフィ
ルタリングルール制御部３０６に渡して（Ｓ７０３）、
処理を終了する。

【００８２】以上のようにして、判定部３０５における
判定処理が行われる。

【００８３】各判定部３０３〜３０５から拒否すべき送
信元ＩＰアドレス等が渡されると、フィルタリングルー
ル制御部３０６は、当該送信元ＩＰアドレスからのパケ
ットを拒否できるように、パケットフィルタリング部３
０１が保持するフィルタリングルールを更新する。

【００８４】また、フィルタリングルール制御部３０６
は、保守センターサーバー１０１へ送るため、各判定部
３０３〜３０５から渡される情報（拒否すべき送信元Ｉ
Ｐアドレス等）を順次記録しておく。

【００８５】本実施形態においては、フィルタリングル
ール制御部３０６が追加するフィルタリングルールにつ
いて、一時的なものとするか、永久的なものとするかが
設定可能である。例えば、スパムメールやポートスキャ
ンについては、一時的に、その送信元からのパケットを
拒否するだけで足りる場合があり、一度の不正アクセス
等で、永久的に、その送信元からのパケットを拒否する
ようにすると、不都合な場合がある。

【００８６】このような場合に対応できるようにするた
め、本実施形態では、各判定部３０３〜３０５毎に、各
判定部３０３〜３０５が拒否すべきと判定した送信元Ｉ
Ｐアドレスからのパケットを、一時的に拒否するか、永
久的に拒否するかを設定できる。そして、一時的拒否に
設定された判定部から、拒否ＩＰアドレス等が通知され
ると、当該拒否ＩＰアドレスに基づいて、フィルタリン
グルールを追加した時刻を、当該拒否ＩＰアドレスに対
応させて記録しておき、追加後、予め決められた時間が
経過したら、当該フィルタリングルールを削除する。こ
のような構成とすることで、例えば、基本的には通信を
確保したい送信元から、一時的にスパムメールやポート
スキャン等があった場合に、当該送信元からのパケット
を一時的に拒否して、必要な防御を達成しつつ、基本的
には通信を確保したい送信元からのパケットを永久的に
拒否する不都合を避けることが可能になる。

【００８７】なお、フィルタリングルール制御部３０６
は、フィルタリングルールを削除した時刻も、拒否ＩＰ
アドレスに対応させて記録しておく。このようにフィル
タリングルールを削除した時刻も記録しておくことによ
り、頻繁に追加・削除が繰り返される場合には、一時的
な拒否とされていたものを、永久的な拒否に自動的に変
更するように制御することも可能となる。

【００８８】最後に、データ送信部３０７及びデータ受
信部３０８について説明する。

【００８９】データ送信部３０７は、必要な情報を保守
センターサーバー１０１へ送信するためのものである。
保守センターサーバー１０１へ送信される情報として
は、フィルタリングルール制御部３０６に保持されてい
る拒否ＩＰアドレス、拒否文字列、フィルタリングルー
ル追加時刻及びフィルタリングルール削除時刻等や、判
定部３０３が保持する拒否文字列リストや、ファイアウ
ォール装置１０２の動作モード情報等がある。

【００９０】データ受信部３０８は、保守センターサー
バー１０１から送信されてくる拒否パケット識別情報
（拒否文字列及び拒否ＩＰアドレス）を受信し、拒否文
字列を判定部３０３に渡し、拒否ＩＰアドレスをフィル
タリングルール制御部３０６に渡す。

【００９１】ファイアウォール装置１０２は、以上のよ
うな構成を有しているので、望まないパケットを検出し
た場合に、自動的にフィルタリングルールを更新するこ
とで必要な防御を自律的に達成すること、及び、保守セ
ンターサーバー１０１との間で必要なデータのやり取り
を行うこと等が可能となる。

【００９２】次に、保守センターサーバー１０１の詳細
について説明する。

【００９３】図８は、保守センターサーバー１０１のハ
ードウェア構成例を示す図である。同図に示すように、
保守センターサーバー１０１は、ＣＰＵ８０１と、メイ
ンメモリ８０２と、ハードディスクインタフェース部８
１０と、ハードディスク装置８１１と、ネットワークイ
ンタフェース部８０６とを備える。

【００９４】ＣＰＵ８０１、メインメモリ８０２、ハー
ドディスクインタフェース部８１０、ネットワークイン
タフェース部８０６は、それぞれ、バス８０８に接続さ
れている。また、ハードディスクインタフェース部８１
０には、ハードディスク装置８１１が接続されている。
ネットワークインタフェース部８０６は、外部ネットワ
ーク（インターネット１０４）に接続される。

【００９５】ＣＰＵ８０１は、保守センターサーバー１
０１が行う各種処理を実行・制御する中央処理装置であ
る。メインメモリ８０２は、ＣＰＵ８０１が利用する各
種プログラムやデータを格納する主記憶装置である。ハ
ードディスク装置８１１は、ＣＰＵ８０１が利用するＯ
Ｓその他の各種プログラムやデータを格納する補助記録
装置である。

【００９６】ハードディスクインタフェース部８１０
は、ハードディスク装置８１１とバス８０８との間のデ
ータのやり取りを制御するものである。ネットワークイ
ンタフェース部８０６は、外部ネットワークとバス８０
８との間のデータのやり取りを制御するものである。

【００９７】図９は、保守センターサーバー１０１のソ
フトウェア構成例を示す図である。

【００９８】同図に示すように、保守センターサーバー
１０１は、データ受信部９０１と、記録部９０２と、統
計処理部９０３と、拒否パケット識別情報データベース
９０４と、送信データ選択部９０５と、データ送信部９
０６とを備える。各部９０１〜９０６は、基本的に、Ｃ
ＰＵ８０１が、メインメモリ８０２にロードされたプロ
グラムを実行することで実現される。

【００９９】データ受信部９０１は、各ファイアウォー
ル装置１０２から送られてくる情報を受信する。各ファ
イアウォール装置１０２から送られてくる情報には、各
ファイアウォール装置１０２の現在の動作モード情報
と、各ファイアウォール装置１０２で拒否すべきと判定
したパケットに関する拒否パケット情報（フィルタリン
グルール制御部３０６が保持する情報）、各ファイアウ
ォール装置１０２が現在使用している拒否文字列リスト
（判定部３０３が保持）等が含まれる。

【０１００】各ファイアウォール装置１０２から送られ
てきた拒否パケット情報は、記録部９０２に記録され
る。記録部９０２には、複数のファイアウォール装置１
０２から送られてくる拒否パケット情報が順次記録され
る。統計処理部９０３は、記録部９０２に記録された拒
否パケット情報を定期的に（例えば、一日一回）統計処
理して、複数のファイアウォール装置１０２で共有すべ
き拒否パケット識別情報を決定し、拒否パケット識別情
報データベース９０４に格納する。

【０１０１】図１０は、拒否パケット識別情報データベ
ース９０４の構成例を示す図である。

【０１０２】同図に示すように、本データベース９０４
は、「カテゴリ」フィールド１００１と、「データ種」
フィールド１００２と、「データ」フィールド１００３
と、「原因」フィールド１００４とを備える。

【０１０３】「カテゴリ」フィールド１００１には、カ
テゴリを識別する識別子（例えば、００００〜９９９９
のいずれか）が格納される。

【０１０４】「データ種」フィールド１００２には、
「データ」フィールド１００３に格納されているデータ
の種類を示す情報が格納される。具体的には、「拒否文
字列」であるか、「拒否ＩＰアドレス」であるかを示す
情報が格納される。

【０１０５】「データ」フィールド１００３には、「デ
ータ種」フィールド１００２に示されたデータの種類に
対応して、拒否文字列又は拒否ＩＰアドレスが格納され
る。

【０１０６】「原因」フィールド１００４には、「デー
タ」フィールドに格納されているＩＰアドレスが、いか
なる原因で拒否すべきＩＰアドレスとされているのかを
示す情報が格納される。具体的には、「スパムメール」
に関連するものとして拒否すべきとされているのか、
「ポートスキャン」に関連するものとして拒否すべきと
されているのか等を示す情報が格納される。

【０１０７】送信データ選択部９０５は、「カテゴリ」
フィールド１００１と「原因」フィールド１００４を使
って、各ファイアウォール装置１０２から送られてきた
動作モード情報に合致する拒否パケット識別情報を、拒
否パケット識別情報データベース９０４から読み出す。
そして、必要に応じて、読み出した拒否パケット識別情
報と、各ファイアウォール装置１０２から送られてきた
拒否パケット情報及び拒否文字列リストとを比較し、両
者の差、すなわち、各ファイアウォール装置１０２が有
していない拒否パケット識別情報を選択して、データ送
信部９０６へ渡す。

【０１０８】データ送信部９０６は、送信データ選択部
９０５から渡された拒否パケット識別情報を、データ受
信部９０１から渡される送信元情報（送信元ＩＰアドレ
ス等）を使って、今回、拒否パケット情報等を送ってき
たファイアウォール装置１０２へ返信する。

【０１０９】なお、保守センターサーバー１０１は、拒
否パケット識別情報データベース９０４の「データ」フ
ィールド１００３に含まれているＩＰアドレスを有する
ホストが稼働（存在）しているか否かを、定期的に調べ
て、稼働（存在）していないと判断された場合は、拒否
パケット識別情報データベース９０４から適宜削除する
等、拒否パケット識別情報データベース９０４のメイン
テナンスも行う。

【０１１０】保守センターサーバー１０１は、以上のよ
うな構成を有しているので、各ファイアウォール装置１
０２との間で必要なデータのやり取りを行うこと等が可
能となる。

【０１１１】

【発明の効果】以上詳細に説明したように、本発明によ
れば、運用するのが容易なパケットフィルタリング型の
ファイアウォールシステムを提供することができる。

【図面の簡単な説明】

【図１】 本発明によるファイアウォールシステムの全
体構成を示す図である。

【図２】 ファイアウォール装置１０２のハードウェア
構成例を示す図である。

【図３】 ファイアウォール装置１０２のソフトウェア
構成例を示す図である。

【図４】 捕捉パケット記録テーブルの構成例を示す図
である。

【図５】 判定部３０３の判定処理の流れを示すフロー
チャートである。

【図６】 判定部３０４の判定処理の流れを示すフロー
チャートである。

【図７】 判定部３０５の判定処理の流れを示すフロー
チャートである。

【図８】 保守センターサーバー１０１のハードウェア
構成例を示す図である。

【図９】 保守センターサーバー１０１のソフトウェア
構成例を示す図である。

【図１０】 拒否パケット識別情報データベース９０４
の構成例を示す図である。

【符号の説明】 １０１ 保守センターサーバー １０２ａ〜１０２ｃ ファイアウォール装置 １０３ａ〜１０３ｃ 制御用端末装置 １０４ インターネット １０５ａ〜１０５ｃ 内部ネットワーク ２０１ ＣＰＵ ２０２ メインメモリ ２０３ ＲＯＭ ２０４ ＰＣカードインタフェース部 ２０５ シリアルインタフェース部 ２０６，２０７ ネットワークインタフェース部 ２０８ バス ２０９ フラッシュＡＴＡカード ３０１ パケットフィルタリング部 ３０２ バケット捕捉部 ３０３〜３０５ 判定部 ３０６ フィルタリングルール制御部 ３０７ データ送信部 ３０８ データ受信部 ８０１ ＣＰＵ ８０２ メインメモリ ８０６ ネットワークインタフェース部 ８０８ バス ８１０ ハードディスクインタフェース部 ８１１ ハードディスク装置 ９０１ データ受信部 ９０２ 記録部 ９０３ 統計処理部 ９０４ 拒否パケット識別情報データベース ９０５ 送信データ選択部 ９０６ データ送信部

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B089 GA04 GA11 JB16 KA17 KB13 MC08 5K030 GA15 HA08 HD08 JA10 KX24 LC14 LC15 MC07

Claims (13)

【特許請求の範囲】
1. 【請求項１】 保守センターサーバーと、複数のファイ
   アウォール装置とが、ネットワークを介して接続された
   ファイアウォールシステムであって、 各ファイアウォール装置は、 自己が保持するフィルタリングルールに基づいて、パケ
   ットのフィルタリングを行うとともに、自己が受信した
   パケットに基づいて、当該パケットを拒否すべきか否か
   を判定し、拒否すべきと判定した場合は、当該パケット
   を拒否できるように、前記フィルタリングルールを更新
   し、 また、拒否すべきと判定したパケットに関する拒否パケ
   ット情報を保守センターサーバーへ送信し、 保守センターサーバーは、 各ファイアウォール装置から送られてくる拒否パケット
   情報を統計処理して、複数のファイアウォール装置で共
   有すべき拒否パケット識別情報を決定し、 複数のファイアウォール装置で共有すべき拒否パケット
   識別情報を、各ファイアウォール装置に送信し、 各ファイアウォール装置は、保守センターサーバーから
   送られてきた拒否パケット識別情報に基づいて、フィル
   タリングルールを更新することを特徴とするファイアウ
   ォールシステム。
2. 【請求項２】 保守センターサーバーと、複数のファイ
   アウォール装置とが、ネットワークを介して接続された
   ファイアウォールシステムであって、 各ファイアウォール装置は、自己の動作モード情報を保
   守センターサーバーへ送信し、 保守センターサーバーは、各ファイアウォール装置から
   送られてきた動作モード情報に合致する拒否パケット識
   別情報を、各ファイアウォール装置に送信し、 各ファイアウォール装置は、保守センターサーバーから
   送られてきた拒否パケット識別情報に基づいて、フィル
   タリングルールを生成し、当該フィルタリングルールに
   基づいて、パケットのフィルタリングを行うことを特徴
   とするファイアウォールシステム。
3. 【請求項３】 フィルタリングルールに基づいて、パケ
   ットの通過を許可するか否かを制御するパケットフィル
   タリング部と、パケットを捕捉し、捕捉したパケットか
   ら必要な情報を抽出するパケット捕捉部と、 前記パケット捕捉部が抽出した情報に基づいて、捕捉し
   たパケットが拒否すべきパケットであるか否かを判定
   し、拒否すべきパケットであると判定した場合、当該パ
   ケットから、フィルタリングルールを生成するのに必要
   な情報を抽出する判定部と、 当該判定部が抽出した情報に基づいて、前記フィルタリ
   ングルールを更新するルール更新部とを備えたことを特
   徴とするファイアウォール装置。
4. 【請求項４】 前記判定部は、 パケットのデータに、予め決められた文字列が含まれて
   いるか否かによって、拒否すべきパケットであるか否か
   を判定することを特徴とする請求項３に記載のファイア
   ウォール装置。
5. 【請求項５】 前記判定部は、 所定の時間内に、同一の送信元から所定数以上のメール
   ・パケットを受信したか否か、及び、当該パケットが転
   送メールに関連するパケットであるか否かによって、拒
   否すべきパケットであるか否かを判定することを特徴と
   する請求項３に記載のファイアウォール装置。
6. 【請求項６】 前記判定部は、 所定の時間内に、同一の送信元から所定の複数のポート
   に対するアクセスがあったか否かによって、拒否すべき
   パケットであるか否かを判定することを特徴とする請求
   項３に記載のファイアウォール装置。
7. 【請求項７】 前記ルール更新部は、フィルタリングル
   ールを更新した場合、当該フィルタリングルールを更新
   するのに必要な情報と、更新を行った原因と、更新を行
   った時刻を記録し、 当該記録を、外部ネットワークを介して、保守センター
   サーバーへ送信するデータ送信部を更に備えることを特
   徴とする請求項３〜６のいずれか一項に記載のファイア
   ウォール装置。
8. 【請求項８】 前記ルール更新部は、フィルタリングル
   ールを追加した場合、追加を行った時刻を記録してお
   き、その時刻から所定の時間が経過した後、追加したフ
   ィルタリングルールを削除することを特徴とする請求項
   ３〜６のいずれか一項に記載のファイアウォール装置。
9. 【請求項９】 保守センターサーバーから送られてくる
   拒否パケット識別情報を受信するデータ受信部を更に備
   え、 前記ルール更新部は、前記拒否パケット識別情報に基づ
   いて、前記フィルタリングルールを更新することを特徴
   とする請求項３〜８のいずれか一項に記載のファイアウ
   ォール装置。
10. 【請求項１０】 保守センターサーバーから送られてく
    る拒否パケット識別情報を受信するデータ受信部を更に
    備え、 前記ルール更新部は、前記拒否パケット識別情報に基づ
    いて、前記フィルタリングルールを更新し、 前記判定部は、前記拒否パケット識別情報に含まれる拒
    否文字列に基づいて、拒否すべきパケットであるか否か
    を判定することを特徴とする請求項４に記載のファイア
    ウォール装置。
11. 【請求項１１】 パケットフィルタリングのためのフィ
    ルタリングルールを生成するプログラムであって、コン
    ピュータをパケットを捕捉し、捕捉したパケットから必
    要な情報を抽出するパケット捕捉手段、 前記パケット捕捉手段が抽出した情報に基づいて、捕捉
    したパケットが拒否すべきパケットであるか否かを判定
    し、拒否すべきパケットであると判定した場合、当該パ
    ケットからフィルタリングルールを生成するのに必要な
    情報を抽出する判定手段、及び当該判定手段が抽出した
    情報に基づいて、前記フィルタリングルールを生成する
    フィルタリングルール生成手段として機能させるための
    プログラム。
12. 【請求項１２】 ファイアウォール装置から送られてく
    る拒否パケット情報を受信するデータ受信部と、 受信した拒否パケット情報を記録する記録部と、 記録された拒否パケット情報の統計処理を行う統計処理
    部と、 前記統計処理された情報から生成される拒否パケット識
    別情報を格納するデータベースと、 前記データベースに格納された拒否パケット識別情報
    を、ファイアウォール装置に送信するデータ送信部とを
    備えたことを特徴とする保守センターサーバー。
13. 【請求項１３】 前記ファイアウォール装置から送られ
    てくる情報には、当該ファイアウォール装置の動作モー
    ド情報が含まれ、 当該動作モード情報に基づいて、前記データベースに格
    納された拒否パケット識別情報を選択し、データ送信部
    に渡す選択部を更に備えることを特徴とする請求項１２
    に記載の保守センターサーバー。