JP2017220819A

JP2017220819A - Unauthorized access prevention function device and system, network security monitoring method and unauthorized access prevention program

Info

Publication number: JP2017220819A
Application number: JP2016114503A
Authority: JP
Inventors: 良作松村; Ryosaku Matsumura
Original assignee: Individual
Current assignee: Individual
Priority date: 2016-06-08
Filing date: 2016-06-08
Publication date: 2017-12-14

Abstract

PROBLEM TO BE SOLVED: To achieve easy application of network security and suppression of the generation of an unauthorized access.SOLUTION: An unauthorized access prevention function apparatus 10 includes security monitoring means (a security monitoring part 113) that refers to a storage part 12 when an OS and a web browser transmits data, determines whether or not the same data as transmission data has been stored in a transmission list 120 and controls, if having not been stored in the transmission list 120, to register the transmission data in the transmission list 120 and if having been stored in the transmission list 120, to set a reception IP address which is registered in a transmission IP list registered correspondingly to the transmission data and meets the transmission IP address list to reception permission and to deny packet reception from any other reception IP address.SELECTED DRAWING: Figure 1

Description

本発明は、ファイヤーウォール装置、同システム、ネットワークセキュリティ監視方法、及びプログラムに関する。 The present invention relates to a firewall apparatus, the same system, a network security monitoring method, and a program.

ネットワークセキュリティを確保する技術として、従来、ファイヤーウォールが知られている。ファイヤーウォールとは、インターネット等、外部ネットワークと企業内ＬＡＮ（Local Area Network）等の内部ネットワークとの間に設けられ、予め決められたフィルタリングルール等に基づき通信パケットの通過を許可するか否かを制御することにより、外部ネットワークから内部ネットワークへの不正侵入を阻止する技術である。 Conventionally, a firewall is known as a technique for ensuring network security. A firewall is provided between an external network such as the Internet and an internal network such as a corporate local area network (LAN), and determines whether or not to allow communication packets to pass based on a predetermined filtering rule. It is a technology that prevents unauthorized intrusion from an external network to an internal network by controlling.

ファイヤーウォールの実装技術は、例えば、以下に列挙する特許文献１，２，３のように、従来から多数特許出願されており、ソフトウエアとして実装されるもの、あるいは機器として実装されるものがある。また、プロバイダが、自社の接続サービスを利用しているユーザを対象にファイヤーウォールをサービス提供している場合もある。 For example, Patent Documents 1, 2, and 3 listed below have been applied for many firewall mounting technologies, and there are those that are implemented as software or those that are implemented as equipment. . In addition, a provider may provide a firewall service for users who use their connection service.

特開２０１１−１０８０６１号公報JP 2011-108061 A 特開２００３−１５０５４３号公報JP 2003-150543 A 特許第４５７１９３７号公報Japanese Patent No. 4571937

ところで、フィルタリングルールは管理者が予め設定する必要があるが、その設定作業は、ネットワーク技術についてのスキルを要し、このため、一般のユーザでは困難で、また、スキルを有する技術者にとっても煩雑な作業を要し、したがって、運用面での課題があった。 By the way, the filtering rules need to be set in advance by the administrator. However, the setting work requires network technology skills, which is difficult for general users, and is also complicated for engineers having skills. Therefore, there was an operational problem.

一方、ファイヤーウォールは、不正アクセス防止か、意図しないソフトウエアが勝手に通信をしないように通信許可ソフトウエア以外の通信を拒否することを目的とするが、これらすべてを完全に防止することは現実的に不可能である。このため、ネットワークセキュリティの運用が容易で、かつ不正アクセスの発生を抑制するツールの出現が望まれていた。 On the other hand, the purpose of the firewall is to prevent unauthorized access, or to refuse communication other than the communication permission software so that unintended software does not communicate without permission. Is impossible. For this reason, there has been a demand for the emergence of a tool that can easily operate network security and suppress the occurrence of unauthorized access.

本発明は上記した課題を解決するためになされたものであり、ネットワークセキュリティの運用が容易で、かつ不正アクセスの発生を抑制する、ファイヤーウォール装置、同システム、ネットワークセキュリティ監視方法、及びプログラムを提供することを目的とする。 The present invention has been made to solve the above-described problems, and provides a firewall apparatus, the same system, a network security monitoring method, and a program that can easily operate network security and suppress the occurrence of unauthorized access. The purpose is to do.

上記した課題を解決するために、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、少なくとも、送信リストが割り当てられ記憶された記憶部と、処理部と、を備えたファイヤーウォール装置であって、前記処理部は、Ｗｅｂブラウザがデータを送信すると、前記記憶部を参照し、前記送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否するセキュリティ監視手段、を備えることを特徴とする。 In order to solve the above-described problems, the present invention includes at least a storage unit to which a transmission list is allocated and stored, and a processing unit to ensure the security of an IP network accessed using TCP / IP. When the Web browser transmits data, the processing unit refers to the storage unit, determines whether the same data as the transmission data is stored in the transmission list, and transmits the transmission. If not stored in the list, the transmission data is registered in the transmission list, and after transmitting the data, the first received IP address is registered as a reception permitted IP address corresponding to the transmission data, and the transmission list The reception-permitted IP address registered corresponding to the transmission data is set to be receivable, Deny security monitoring means packets received from the reception permission IP address of Rokuzumi, characterized in that it comprises a.

本発明において、前記セキュリティ監視手段は、Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、前記ポートに第１のアクセスサイトのＩＰアドレスを割り当て、前記第１のアクセスサイトからのパケットの受信を許可し、続いて同じポートから第２のアクセスサイトにアクセスする場合、前記第１のアクセスサイトからのパケット受信を拒否し、前記第２のアクセスサイトのＩＰアドレスを割り当て、前記第２のアクセスサイトからのパケットの受信を許可するように前記送信リストを更新することを特徴とする。 In the present invention, when the security monitoring means assigns a plurality of IP addresses to one port of the Web server, the security monitoring means assigns the IP address of the first access site to the port, and receives packets from the first access site. When the second access site is subsequently accessed from the same port, packet reception from the first access site is refused, the IP address of the second access site is assigned, and the second access site is assigned. The transmission list is updated to allow reception of packets from the site.

本発明において、前記セキュリティ監視手段は、前記Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、事前の設定入力を取り込んで前記複数のＩＰアドレスを登録することを特徴とする。 In the present invention, the security monitoring unit is characterized in that when a plurality of IP addresses are assigned to one port of the Web server, the plurality of IP addresses are registered by taking a setting input in advance.

また、本発明のファイヤーウォールシステムは、複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否する、前記Ｗｅｂブラウザを有するファイヤーウォール装置と、を備えたことを特徴とする。 In the firewall system of the present invention, a plurality of Web servers are connected to the Web server via an IP network, and when the Web browser transmits data, the same data as the transmission data is stored in the transmission list. If it is not stored in the transmission list, the transmission data is registered in the transmission list, and after transmitting the data, the first received IP address is permitted to be received corresponding to the transmission data. If registered as an IP address and stored in the transmission list, the reception-permitted IP address registered corresponding to the transmission data is set to be receivable, and a packet is received from the registered reception-permitted IP address. And a firewall device having the Web browser, That.

また、本発明は、複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、Ｗｅｂブラウザを有するファイヤーウォール装置と、を含むファイヤーウォールシステムにおけるネットワークセキュリティ監視方法であって、前記ファイヤーウォール装置は、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップと、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録するステップと、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否するステップと、を有することを特徴とする。 The present invention is also a network security monitoring method in a firewall system, comprising: a plurality of Web servers; and a firewall device connected to the Web server via an IP network and having a Web browser, The wall device determines whether or not the same data as the transmission data is stored in the transmission list when the Web browser transmits the data, and if not, stores the transmission data in the transmission list. Registering in the list, and after transmitting the data, registering the first received IP address as a reception-permitted IP address corresponding to the transmission data, and corresponding to the transmission data if stored in the transmission list The reception-permitted IP address registered as It was set to Ready, characterized by having a a step of denying packets received from a registered the reception permission IP address.

また、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、Ｗｅｂブラウザを有するファイヤーウォール装置のプログラムであって、前記ファイヤーウォール装置のコンピュータに、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定する処理と、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録する処理と、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否する処理と、を実行させることを特徴とする。 The present invention is also a firewall device program having a Web browser for ensuring the security of an IP network accessed using TCP / IP, wherein the Web browser stores data in a computer of the firewall device. When transmitting, processing for determining whether or not the same data as the transmission data is stored in the transmission list, and if not stored in the transmission list, register the transmission data in the transmission list and transmit the data Thereafter, processing for registering the first received IP address as a reception-permitted IP address corresponding to the transmission data, and the reception-permitted IP address registered corresponding to the transmission data if stored in the transmission list From the registered IP address for which reception is permitted. Characterized in that to execute a reject process the packet reception, the.

本発明によれば、ネットワークセキュリティの運用が容易で、不正アクセスの発生を抑制する、ファイヤーウォール装置、同システム、ネットワークセキュリティ監視方法、及びプログラムを提供することができる。 According to the present invention, it is possible to provide a firewall device, the same system, a network security monitoring method, and a program that can easily operate network security and suppress the occurrence of unauthorized access.

本発明の実施の形態に係るファイヤーウォールシステム、及び装置の構成を示すブロック図である。It is a block diagram which shows the structure of the firewall system which concerns on embodiment of this invention, and an apparatus. 本発明の実施の形態に係るファイヤーウォール装置が有する送信リストのデータ構造の一例を示す図である。It is a figure which shows an example of the data structure of the transmission list | wrist which the firewall apparatus which concerns on embodiment of this invention has. 本発明の実施の形態に係るファイヤーウォール装置の処理動作を示すフローチャートである。It is a flowchart which shows the processing operation of the firewall apparatus which concerns on embodiment of this invention.

（実施形態の構成）
以下、本発明の実施の形態（以下、本実施形態という）に係るファイヤーウォールシステムについて図面を参照しながら詳細に説明する。なお、実施形態の説明の全体を通して同じ要素には同じ番号又は符号を付している。 (Configuration of the embodiment)
Hereinafter, a firewall system according to an embodiment of the present invention (hereinafter referred to as the present embodiment) will be described in detail with reference to the drawings. In addition, the same number or code | symbol is attached | subjected to the same element through the whole description of embodiment.

図１に示すように、本実施形態に係るファイヤーウォールシステムは、Ｗｅｂ（World Wide Web）サイトが管理運営する複数のＷｅｂサーバ２０と、Ｗｅｂサーバ２０とはＩＰネットワーク３０（Internet Protocol）経由で接続される、ＰＣ（Personal Computer）等のクライアントコンピュータに実装されるファイヤーウォール装置１０で構成される。ファイヤーウォール装置１０は、ＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）を用いてアクセスされるＩＰネットワーク３０のセキュリティを確保する。 As shown in FIG. 1, the firewall system according to the present embodiment is connected to a plurality of Web servers 20 managed and operated by a Web (World Wide Web) site via an IP network 30 (Internet Protocol). The firewall apparatus 10 is mounted on a client computer such as a PC (Personal Computer). The firewall apparatus 10 ensures the security of the IP network 30 accessed using TCP / IP (Transmission Control Protocol / Internet Protocol).

ファイヤーウォール装置１０は、少なくとも、処理部１１と、記憶部１２とを含み、図示省略した、例えば、表示部と入力部とが一体形成されたタッチパネルを含んでもよい。 The firewall apparatus 10 includes at least a processing unit 11 and a storage unit 12, and may include a touch panel (not shown), for example, a display unit and an input unit that are integrally formed.

処理部１１には、例えば、マイクロプロセッサ（ファイヤーウォール装置１０のコンピュータ）が実装されており、マイクロプロセッサが、内蔵するか、あるいは記憶部１２のプログラム領域（図示省略）に割り当てられ記憶された本実施形態に係るプログラムを逐次読み出し実行することにより、（１）Ｗｅｂブラウザがデータを送信すると、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する処理と、（２）送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録する処理と、（３）送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのパケット受信を拒否する処理と、を実行する。 For example, a microprocessor (computer of the firewall device 10) is mounted in the processing unit 11, and the microprocessor is built in or is stored in a program area (not shown) stored in the storage unit 12. By sequentially reading and executing the program according to the embodiment, (1) when the Web browser transmits data, a process for determining whether or not the same data as the transmission data is stored in the transmission list 120, and (2) transmission If not stored in the list 120, the transmission data is registered in the transmission list 120, and after transmitting the data, the first received IP address is registered as a reception-permitted IP address corresponding to the transmission data; (3) If stored in the transmission list 120, the reception registered corresponding to the transmission data Set the variable IP address to Ready, it executes the process denies the packet received from the registered receive enable IP address, the.

このため、処理部１１は、Ｗｅｂブラウザ起動部１１１と、パケット送受信部１１２と、セキュリティ監視部１１３（セキュリティ監視手段）と、ゲート開閉部１１４，１１５とをプログラム実行手段として含む。 Therefore, the processing unit 11 includes a Web browser activation unit 111, a packet transmission / reception unit 112, a security monitoring unit 113 (security monitoring unit), and gate opening / closing units 114 and 115 as program execution units.

Ｗｅｂブラウザ起動部１１１は、ユーザが、本実施形態に係るファイヤーウォール装置１０にインストールされた、Ｗｅｂブラウザの一つである、例えば、ＩＥ（登録商標：インターネットエクスプローラ）を起動して、ユーザによるＷｅｂサーバ２０のＩＰアドレスの設定入力を取り込み、セキュリティ監視部１１３へ引き渡す機能を有する。なお、Ｗｅｂブラウザとして、ＩＥの他に、Ｓｌｅｉｐｎｉｒ（登録商標），Ｆｉｒｅｆｏｘ（登録商標），Ｏｐｅｒａ（登録商標），Ｃｈｒｏｍｅ（登録商標），Ｓａｆａｒｉ（登録商標），Ｌｕｎａｓｃａｐｅ（登録商標）を用いてもよい。 The web browser activation unit 111 activates, for example, IE (registered trademark: Internet Explorer), which is one of the web browsers installed in the firewall device 10 according to the present embodiment, and allows the user to perform web operations. The server 20 has a function of taking in the setting input of the IP address of the server 20 and transferring it to the security monitoring unit 113. In addition to IE, Sleepipir (registered trademark), Firefox (registered trademark), Opera (registered trademark), Chrome (registered trademark), Safari (registered trademark), and Lunascape (registered trademark) may be used as the Web browser. Good.

パケット送受信部１１２は、セキュリティ監視部１１３によりアクセスが許可されたＷｅｂサーバ２０との間でパケットを交換する機能を有する。 The packet transmission / reception unit 112 has a function of exchanging packets with the Web server 20 permitted to be accessed by the security monitoring unit 113.

セキュリティ監視部１１３は、Ｗｅｂブラウザ起動部１１１により起動されるＷｅｂブラウザによるＵＲＬ（Uniform Resource Locator）等の送信データが出力されると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する。そして、送信リスト１２０に送信データが記憶されていなければ、送信データを送信リスト１２０に新たに登録するとともに、Ｗｅｂサーバ２０から最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録する。また、送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのパケット受信を拒否する処セキュリティ監視機能を有する。 When the transmission data such as URL (Uniform Resource Locator) by the web browser activated by the web browser activation unit 111 is output, the security monitoring unit 113 refers to the storage unit 12 and stores the same data as the transmission data in the transmission list 120. Whether or not is stored is determined. If no transmission data is stored in the transmission list 120, the transmission data is newly registered in the transmission list 120, and the IP address first received from the Web server 20 is registered as a reception permission IP address corresponding to the transmission data. To do. In addition, if stored in the transmission list 120, a security monitoring function for setting a reception-permitted IP address registered corresponding to transmission data to be receivable and rejecting reception of a packet from the registered reception-permitted IP address Have

セキュリティ監視部１１３は、例えば、ＤＮＳ（Domain Name System）ラウンドロビンのように、Ｗｅｂサーバ２０の負荷分散のために、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられている場合、ユーザによる事前の設定入力を取り込んでその複数のＩＰアドレスを登録してもよい。 The security monitoring unit 113, for example, when a plurality of IP addresses are assigned to one port of the Web server 20 for load distribution of the Web server 20, such as DNS (Domain Name System) round robin, The plurality of IP addresses may be registered by taking in the setting input in advance.

セキュリティ監視部１１３は、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスを割り当てる場合、そのポートに第１のアクセスサイトのＩＰアドレスを割り当てて第１のアクセスサイトからのパケットの受信を許可し、続いて同じポートから第２のアクセスサイトにアクセスする場合、第１のアクセスサイトからのパケット受信を拒否し、第２のアクセスサイトのＩＰアドレスを割り当てて第２のアクセスサイトからのパケットの受信を許可するように送信リスト１２０を更新してもよい。 When the security monitoring unit 113 assigns a plurality of IP addresses to one port of the Web server 20, the security monitoring unit 113 assigns the IP address of the first access site to the port and permits the reception of packets from the first access site, Subsequently, when accessing the second access site from the same port, the reception of the packet from the first access site is rejected, and the IP address of the second access site is assigned to receive the packet from the second access site. The transmission list 120 may be updated to allow it.

なお、ゲート開閉部１１４は、セキュリティ監視部１１３の制御により、送信リスト１２０へのＩＰアドレスの登録を許可し、あるいは禁止する機能を有し、ゲート開閉部１１５は、セキュリティ監視部１１３の制御により、Ｗｅｂサーバ２０との間のパケットの送受信を許可し、あるいは禁止する機能を有する。なお、ゲート開閉部１１５の出力は、例えば、図示省略したタッチパネルに供給され、タッチパネルに、Ｗｅｂページが表示され、あるいはタッチパネルから入力を取り込むことができる。 The gate opening / closing unit 114 has a function of permitting or prohibiting registration of IP addresses in the transmission list 120 under the control of the security monitoring unit 113, and the gate opening / closing unit 115 is controlled under the control of the security monitoring unit 113. , Has a function of permitting or prohibiting transmission / reception of packets to / from the Web server 20. The output of the gate opening / closing unit 115 is supplied to, for example, a touch panel (not shown), a web page is displayed on the touch panel, or input can be taken in from the touch panel.

記憶部１２には、半導体記憶素子、あるいは磁気や光記憶素子が実装されており、プログラム領域と作業領域とが割り当てられている。プログラム領域には本実施形態のプログラムが、作業領域には、送信リスト１２０が割り当てられ記憶される。 The storage unit 12 is mounted with a semiconductor storage element, or a magnetic or optical storage element, and a program area and a work area are allocated. The program of this embodiment is assigned to the program area, and the transmission list 120 is assigned to the work area and stored.

図２に送信リスト１２０のデータ構造の一例が示されているように、ユーザのアクセス履歴である送信リストと、送信リストに対応するＩＰアドレスリスト＃１、＃２がデータ項目として対で割り当てられ記憶されている。ＩＰアドレスリスト＃１は、Ｗｅｂサーバ２０から送信されるＷｅｂサーバ２０のＩＰアドレスであり、ＩＰアドレスリスト＃２は、ポートに複数のＩＰアドレスが割り当てられている場合に拒否されている他方のＩＰアドレスである。なお、送信リスト中、＊＊＊＊は、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられているアクセスサイト、△△△△は、一つのＩＰアドレスが割り当てられているアクセスサイトを示す。 As shown in FIG. 2 as an example of the data structure of the transmission list 120, a transmission list which is a user access history and IP address lists # 1 and # 2 corresponding to the transmission list are assigned as data items in pairs. It is remembered. The IP address list # 1 is the IP address of the Web server 20 transmitted from the Web server 20, and the IP address list # 2 is the other IP that is rejected when a plurality of IP addresses are assigned to the port. Address. In the transmission list, *** indicates an access site to which a plurality of IP addresses are assigned to one port of the Web server 20, and △△△△ indicates an access site to which one IP address is assigned. Show.

（実施形態の動作）
以下、図３のフローチャートを参照しながら、図１，図２に示す本実施形態に係るファイヤーウォール装置１０の処理動作について詳細に説明する。 (Operation of the embodiment)
The processing operation of the firewall device 10 according to the present embodiment shown in FIGS. 1 and 2 will be described in detail below with reference to the flowchart of FIG.

まず、ユーザがファイヤーウォール装置１０によるＷｅｂブラウザの起動操作を実行する。これを受けてファイヤーウォール装置１０は、Ｗｅｂブラウザ起動部１１１が、選択操作されたＷｅｂブラウザを有効化（起動）する（ステップＳ１０１）、続いてユーザによるＷｅｂサイトへのアクセスのための設定によるデータの送信を待つ（ステップＳ１０２）。 First, the user executes a Web browser activation operation by the firewall device 10. In response to this, in the firewall apparatus 10, the Web browser activation unit 111 validates (activates) the selected Web browser (Step S <b> 101), and subsequently data according to settings for accessing the Web site by the user. (Step S102).

ここで、データが送信されると（ステップＳ１０２“ＹＥＳ”）、セキュリティ監視部１１３は、記憶部１２を参照して送信リスト１２０に、同じデータが記憶されているか否かを判定する（ステップＳ１０３）。ここで、送信リスト１２０に、同じデータが記憶されていなければ（ステップＳ１０３“ＮＯ”）、セキュリティ監視部１１３は、ゲート開閉部１１５を開制御し、送信リスト１２０にその送信データを新たに記憶する制御を行う（ステップＳ１０４）。続いて、セキュリティ監視部１１３は、そして、データ送信後、Ｗｅｂサーバ２０から最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録し（ステップＳ１０５）、ステップＳ１０３の処理に戻る。 When data is transmitted (step S102 “YES”), the security monitoring unit 113 refers to the storage unit 12 and determines whether or not the same data is stored in the transmission list 120 (step S103). ). If the same data is not stored in the transmission list 120 (step S103 “NO”), the security monitoring unit 113 opens the gate opening / closing unit 115 and newly stores the transmission data in the transmission list 120. Control is performed (step S104). Subsequently, after data transmission, the security monitoring unit 113 registers the IP address first received from the Web server 20 as a reception-permitted IP address corresponding to the transmission data (step S105), and returns to the process of step S103.

一方、送信リスト１２０に、送信データと同じデータが記憶されていれば（ステップＳ１０３“ＹＥＳ”）、セキュリティ監視部１１３は、送信リスト１２０の送信データに対応する受信許可ＩＰアドレスの受信許可設定を行う。そしてい、ゲート開閉部１１５を閉制御して、パケット送受信部１１２による、既に受信が許可されているＩＰアドレスに基づくＷｅｂサーバ２０からのパケットの受信を拒否する制御を行い（ステップＳ１０６）、ステップＳ１０２の処理に戻る。したがって、ユーザ自身がアクセスした以外の不正アクセスを全て削除することが可能になる。 On the other hand, if the same data as the transmission data is stored in the transmission list 120 (step S103 “YES”), the security monitoring unit 113 sets the reception permission setting of the reception permission IP address corresponding to the transmission data of the transmission list 120. Do. Then, the gate opening / closing unit 115 is controlled to be closed, and the packet transmitting / receiving unit 112 performs control to reject the reception of the packet from the Web server 20 based on the IP address already permitted to be received (step S106). The process returns to S102. Therefore, it is possible to delete all unauthorized accesses other than those accessed by the user.

なお、図３のフローチャートには図示省略したが、ＤＮＳラウンドロビンのように、Ｗｅｂサーバ２０の負荷分散のために、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられている場合、ユーザによる事前の設定入力（手動）を取り込んで複数のＩＰアドレスを登録する必要がある。 Although not shown in the flowchart of FIG. 3, when multiple IP addresses are assigned to one port of the Web server 20 for load distribution of the Web server 20 as in DNS round robin, the user It is necessary to register a plurality of IP addresses by taking in advance setting input (manual).

セキュリティ監視部１１３は、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスを割り当てる場合、そのポートに第１のサイトのＩＰアドレスを割り当てて第１のサイトからのパケットの受信を許可し、続いて同じポートから第２のサイトにアクセスする場合、第１のサイトからのパケット受信を拒否し、第２のサイトのＩＰアドレスを割り当てて第２のサイトからのパケットの受信を許可するように送信リスト１２０を更新してもよい。このように制御することで、受信を許可するＩＰアドレスが１個であることを維持することができ、複数ある場合に比べて不正アクセスを抑制することができる。 When the security monitoring unit 113 assigns a plurality of IP addresses to one port of the Web server 20, the security monitoring unit 113 assigns the IP address of the first site to the port, and permits the reception of packets from the first site. When accessing the second site from the same port, the transmission list is configured to reject the reception of the packet from the first site, assign the IP address of the second site, and permit the reception of the packet from the second site. 120 may be updated. By controlling in this way, it is possible to maintain that the number of IP addresses permitted to be received is one, and it is possible to suppress unauthorized access compared to the case where there are a plurality of IP addresses.

（実施形態の効果）
以上説明のように本実施形態に係るファイヤーウォール装置１０（ファイヤーウォールシステム）によれば、Ｗｅｂブラウザがデータを送信すると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定し、送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録し、送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのパケット受信を拒否するセキュリティ監視手段（処理部１１）により、自身がアクセスした以外の不正アクセスを自動で削除することができるため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができる。 (Effect of embodiment)
As described above, according to the firewall device 10 (firewall system) according to the present embodiment, when the Web browser transmits data, the storage unit 12 is referred to, and the same data as the transmission data is stored in the transmission list 120. If it is not stored in the transmission list 120, the transmission data is registered in the transmission list 120, and after the data is transmitted, the first received IP address is a reception permitted IP address corresponding to the transmission data. Security registration that is registered as, and stored in the transmission list 120, the reception-permitted IP address registered corresponding to the transmission data is set to be receivable, and packet reception from the registered reception-permitted IP address is rejected. By means (processing unit 11), unauthorized access other than that accessed by itself is automatically deleted. It is possible, without requiring easy operation of the network security skills, and it is possible to suppress the occurrence of the unauthorized access.

なお、Ｗｅｂサーバ２０によっては、一つのポートに複数のＩＰアドレスが割り当てられている場合もあり、この場合、ユーザによる事前の設定入力（手動）により複数のＩＰアドレスを登録することで、上記と同じ効果が得られる。 Depending on the Web server 20, a plurality of IP addresses may be assigned to one port. In this case, by registering a plurality of IP addresses by a prior setting input (manual) by the user, The same effect can be obtained.

また、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスを割り当てる場合、そのポートに第１のサイトのＩＰアドレスを割り当てて第１のサイトからのパケットの受信を許可し、続いて同じポートから第２のサイトにアクセスする場合、第１のサイトからのパケット受信を拒否し、第２のサイトのＩＰアドレスを割り当てて第２のサイトからのパケットの受信を許可するように送信リスト１２０を更新することで、受信を許可するＩＰアドレスが１個であることを維持することができ、複数ある場合に比べて不正アクセスを抑制することができる。 In addition, when assigning a plurality of IP addresses to one port of the Web server 20, the IP address of the first site is assigned to the port, and the reception of packets from the first site is permitted, and then the second port is assigned from the same port. When accessing the second site, the transmission list 120 is updated so as to reject the reception of the packet from the first site, assign the IP address of the second site, and permit the reception of the packet from the second site. Thus, it is possible to maintain that the number of IP addresses permitted to be received is one, and it is possible to suppress unauthorized access compared to the case where there are a plurality of IP addresses.

また、本発明のネットワークセキュリティ監視方法は、例えば、図１に示すように、複数のＷｅｂサーバ２０と、Ｗｅｂサーバ２０とはＩＰネットワーク３０を介して接続されるファイヤーウォール装置１０と、を含むファイヤーウォールシステムにおけるネットワークセキュリティ監視方法である。そして、その方法は、例えば、図３に示すように、Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップ（Ｓ１０１，Ｓ１０２）と、送信リスト１２０に記憶されていなければ（Ｓ１０２“ＮＯ”）、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録するステップ（Ｓ１０４，Ｓ１０５）と、送信リスト１２０に記憶されていれば（Ｓ１１２“ＹＥＳ”）、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのパケット受信を拒否するステップ（Ｓ１０６）と、を有する。 Further, the network security monitoring method of the present invention includes, for example, a firewall including a plurality of Web servers 20 and a firewall device 10 connected to the Web servers 20 via an IP network 30 as shown in FIG. This is a network security monitoring method in a wall system. Then, for example, as shown in FIG. 3, when the Web browser transmits data, the method determines whether or not the same data as the transmission data is stored in the transmission list (S101, S102), and transmission If it is not stored in the list 120 (S102 “NO”), the transmission data is registered in the transmission list 120, and after the data is transmitted, the first received IP address is registered as a reception permitted IP address corresponding to the transmission data. If it is stored in step (S104, S105) and transmission list 120 (S112 “YES”), the reception-permitted IP address registered corresponding to the transmission data is set to be receivable, and the registered reception-permitted IP And (S106) rejecting packet reception from the address.

本実施形態に係るネットワークセキュリティ監視方法によれば、自身がアクセスした以外の不正アクセスを自動で削除することができるため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制するファイヤーウォールを構築することができる。 According to the network security monitoring method according to the present embodiment, since unauthorized access other than that accessed by itself can be automatically deleted, operation of network security is easy, without requiring skills, and occurrence of unauthorized access. Can be constructed.

なお、本実施形態に係るプログラムは、例えば、図１に示すように、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワーク３０のセキュリティを確保する、Ｗｅｂブラウザを有するファイヤーウォール装置１０のプログラムである。そしてそのプログラムは、コンピュータ（処理部１１）に、上記した本実施形態に係るネットワークセキュリティ監視方法における各ステップと同様の処理を実行させるものであり、重複を回避する意味で各処理の説明を省略する。 Note that the program according to the present embodiment is, for example, a program for the firewall apparatus 10 having a Web browser that ensures the security of the IP network 30 accessed using TCP / IP, as shown in FIG. The program causes the computer (processing unit 11) to execute the same process as each step in the above-described network security monitoring method according to the present embodiment, and the description of each process is omitted to avoid duplication. To do.

本実施形態に係るプログラムによれば、ファイヤーウォール装置１０の処理部１１が、上記した本実施形態に係るプログラムを読み出し実行することにより、自身がアクセスした以外の不正アクセスを自動で削除することができ、このため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができるファイヤーウォールを構築できる。 According to the program according to the present embodiment, the processing unit 11 of the firewall apparatus 10 can automatically delete unauthorized access other than that accessed by itself by reading and executing the program according to the present embodiment. Therefore, it is possible to construct a firewall that can easily operate network security, does not require skills, and can suppress the occurrence of unauthorized access.

以上、実施形態を用いて本発明を説明したが、本発明の技術的範囲は上記実施形態に記載の範囲には限定されないことは言うまでもない。上記実施形態に、多様な変更又は改良を加えることが可能であることが当業者に明らかである。またその様な変更又は改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。 As mentioned above, although this invention was demonstrated using embodiment, it cannot be overemphasized that the technical scope of this invention is not limited to the range as described in the said embodiment. It will be apparent to those skilled in the art that various modifications or improvements can be added to the above embodiment. Further, it is apparent from the scope of the claims that the embodiments added with such changes or improvements can be included in the technical scope of the present invention.

１０ファイヤーウォール装置
２０Ｗｅｂサーバ
３０ＩＰネットワーク
１１処理部
１２記憶部
１１１Ｗｅｂブラウザ起動部
１１２パケット送受信部
１１３セキュリティ監視部
１１４，１１５ゲート開閉部
１２０送信リスト DESCRIPTION OF SYMBOLS 10 Firewall apparatus 20 Web server 30 IP network 11 Processing part 12 Storage part 111 Web browser starting part 112 Packet transmission / reception part 113 Security monitoring part 114,115 Gate opening / closing part 120 Transmission list

本発明は、不正アクセス防止機能装置、同システム、ネットワークセキュリティ監視方法、及び不正アクセス防止プログラムに関する。 The present invention relates to an unauthorized access prevention function device , the same system, a network security monitoring method, and an unauthorized access prevention program .

ネットワークセキュリティを確保する技術として、従来、不正アクセス防止機能装置が知られている。不正アクセス防止機能装置とは、インターネット等、外部ネットワークと企業内ＬＡＮ（Local Area Network）等の内部ネットワークとの間に設けられ、予め決められたフィルタリングルール等に基づき通信パケットの通過を許可するか否かを制御することにより、外部ネットワークから内部ネットワークへの不正侵入を阻止する技術である。 Conventionally, an unauthorized access prevention function device is known as a technique for ensuring network security. An unauthorized access prevention function device is provided between an external network such as the Internet and an internal network such as an in-house LAN (Local Area Network), and permits passage of communication packets based on a predetermined filtering rule or the like. This is a technology for preventing unauthorized entry from an external network into an internal network by controlling whether or not.

不正アクセス防止機能装置の実装技術は、例えば、以下に列挙する特許文献１，２，３のように、従来から多数特許出願されており、ソフトウエアとして実装されるもの、あるいは機器として実装されるものがある。また、プロバイダが、自社の接続サービスを利用しているユーザを対象に不正アクセス防止機能装置をサービス提供している場合もある。 For example, Patent Documents 1, 2, and 3 listed below have been filed as a technology for mounting unauthorized access prevention function devices , and have been applied as software or devices. There is something. In some cases, the provider provides an unauthorized access prevention function device for a user who uses his / her connection service.

一方、不正アクセス防止機能装置は、不正アクセス防止し、意図しないソフトウエアが勝手に通信をしないように通信許可ソフトウエア以外の通信を拒否することを目的とするが、これらすべてを完全に防止することは現実的に不可能である。このため、ネットワークセキュリティの運用が容易で、かつ不正アクセスの発生を抑制するツールの出現が望まれていた。 On the other hand, the unauthorized access prevention function device aims to prevent unauthorized access and to refuse communication other than communication permission software so that unintended software does not communicate without permission. It is practically impossible. For this reason, there has been a demand for the emergence of a tool that can easily operate network security and suppress the occurrence of unauthorized access.

本発明は上記した課題を解決するためになされたものであり、ネットワークセキュリティの運用が容易で、かつ不正アクセスの発生を抑制する、不正アクセス防止機能装置、同システム、ネットワークセキュリティ監視方法、及び不正アクセス防止プログラムを提供することを目的とする。 The present invention has been made in order to solve the above-described problems, and it is easy to operate the network security and suppress the occurrence of unauthorized access . The unauthorized access prevention functional device , the system, the network security monitoring method, and the unauthorized The purpose is to provide an access prevention program .

上記した課題を解決するために、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、少なくとも、送信リストが割り当てられ記憶された記憶部と、処理部と、を備えた不正アクセス防止機能装置であって、前記処理部は、Ｗｅｂブラウザがデータを送信すると、前記記憶部を参照し、前記送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否するセキュリティ監視手段、を備えることを特徴とする。 In order to solve the above-described problems, the present invention includes at least a storage unit to which a transmission list is allocated and stored, and a processing unit to ensure the security of an IP network accessed using TCP / IP. and a trusted function device, wherein the processing unit, the Web browser sends the data, by referring to the storage unit, the same data as transmission data to the transmission list is determined whether stored, If not stored in the transmission list, the transmission data is registered in the transmission list, and after transmitting the data, the first received IP address is registered as a reception permitted IP address corresponding to the transmission data, If it is stored in the transmission list, the reception-permitted IP address registered corresponding to the transmission data is set to be receivable. Deny security monitoring means buckets received from registered the reception permission IP address, characterized in that it comprises a.

また、本発明の不正アクセス防止機能システムは、複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否する、前記Ｗｅｂブラウザを有する不正アクセス防止機能装置と、を備えたことを特徴とする。 In the unauthorized access prevention function system of the present invention, a plurality of Web servers are connected to the Web server via an IP network, and when the Web browser transmits data, the same data as the transmission data is stored in the transmission list. If it is not stored in the transmission list, the transmission data is registered in the transmission list, and after transmitting the data, the first received IP address corresponds to the transmission data. If it is registered as a reception-permitted IP address and is stored in the transmission list, the reception-permitted IP address registered corresponding to the transmission data is set to be receivable, and from the registered reception-permitted IP address refuse bucket receiving, by comprising a trusted function device having the Web browser Patent To.

また、本発明は、複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、Ｗｅｂブラウザを有する不正アクセス防止機能装置と、を含む不正アクセス防止機能システムにおけるネットワークセキュリティ監視方法であって、前記不正アクセス防止機能装置は、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップと、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録するステップと、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否するステップと、を有することを特徴とする。 The present invention is also a network security monitoring method in an unauthorized access prevention function system including a plurality of web servers, and the unauthorized access prevention function device having a web browser connected to the web server via an IP network. When the Web browser transmits data, the unauthorized access prevention function device determines whether or not the same data as the transmission data is stored in the transmission list, and if not stored in the transmission list, Registering the transmission data in the transmission list, registering the IP address received first after transmission of the data as a reception-permitted IP address corresponding to the transmission data, and if stored in the transmission list The reception-permitted IP registered corresponding to the transmission data Set dress receivable, characterized by having a a step of denying bucket receiving from registered the reception permission IP address.

また、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、Ｗｅｂブラウザを有する不正アクセス防止機能装置のプログラムであって、前記不正アクセス防止機能装置のコンピュータに、前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定する処理と、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録する処理と、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのバケット受信を拒否する処理と、を実行させることを特徴とする。 The present invention also relates to a program for an unauthorized access prevention functional device having a web browser, which secures the security of an IP network accessed using TCP / IP, the computer of the unauthorized access prevention functional device having the web When the browser transmits data, the process of determining whether or not the same data as the transmission data is stored in the transmission list, and if not stored in the transmission list, the transmission data is registered in the transmission list, After transmitting the data, the process of registering the first received IP address as a reception-permitted IP address corresponding to the transmission data, and if stored in the transmission list, the registered IP address corresponding to the transmission data The reception-permitted IP address that has been registered with the reception-permitted IP address set to be receivable Characterized in that to execute a reject handling bucket reception of al, a.

本発明によれば、ネットワークセキュリティの運用が容易で、不正アクセスの発生を抑制する、不正アクセス防止機能装置、同システム、ネットワークセキュリティ監視方法、及び不正アクセス防止プログラムを提供することができる。 According to the present invention, it is possible to provide an unauthorized access prevention functional device , the same system, a network security monitoring method, and an unauthorized access prevention program that can easily operate network security and suppress the occurrence of unauthorized access .

本発明の実施の形態に係る不正アクセス防止機能システム、及び装置の構成を示すブロック図である。It is a block diagram which shows the structure of the unauthorized access prevention functional system which concerns on embodiment of this invention, and an apparatus. 本発明の実施の形態に係る不正アクセス防止機能装置が有する送信リストのデータ構造の一例を示す図である。It is a figure which shows an example of the data structure of the transmission list which the unauthorized access prevention functional apparatus which concerns on embodiment of this invention has. 本発明の実施の形態に係る不正アクセス防止機能装置の処理動作を示すフローチャートである。It is a flowchart which shows the processing operation of the unauthorized access prevention functional apparatus which concerns on embodiment of this invention.

（実施形態の構成）
以下、本発明の実施の形態（以下、本実施形態という）に係る不正アクセス防止機能システムについて図面を参照しながら詳細に説明する。なお、実施形態の説明の全体を通して同じ要素には同じ番号又は符号を付している。 (Configuration of the embodiment)
Hereinafter, an unauthorized access prevention function system according to an embodiment of the present invention (hereinafter referred to as the present embodiment) will be described in detail with reference to the drawings. In addition, the same number or code | symbol is attached | subjected to the same element through the whole description of embodiment.

図１に示すように、本実施形態に係る不正アクセス防止機能システムは、Ｗｅｂ（World Wide Web）サイトが管理運営する複数のＷｅｂサーバ２０と、Ｗｅｂサーバ２０とはＩＰネットワーク３０（Internet Protocol）経由で接続される、ＰＣ（Personal Computer）等のクライアントコンピュータに実装される不正アクセス防止機能装置１０で構成される。不正アクセス防止機能装置１０は、ＴＣＰ／ＩＰ（Transmission Control Protocol／Internet Protocol）を用いてアクセスされるＩＰネットワーク３０のセキュリティを確保する。 As shown in FIG. 1, the unauthorized access prevention function system according to this embodiment includes a plurality of Web servers 20 managed and operated by a Web (World Wide Web) site, and the Web server 20 is connected via an IP network 30 (Internet Protocol). The unauthorized access prevention function device 10 is mounted on a client computer such as a PC (Personal Computer) connected by the. The unauthorized access prevention function device 10 ensures the security of the IP network 30 accessed using TCP / IP (Transmission Control Protocol / Internet Protocol).

不正アクセス防止機能装置１０は、少なくとも、処理部１１と、記憶部１２とを含み、図示省略した、例えば、表示部と入力部とが一体形成されたタッチパネルを含んでもよい。 The unauthorized access preventing functional device 10 includes at least a processing unit 11 and a storage unit 12 and may include a touch panel (not shown), for example, a display unit and an input unit that are integrally formed.

処理部１１には、例えば、マイクロプロセッサ（不正アクセス防止機能装置１０のコンピュータ）が実装されており、マイクロプロセッサが、内蔵するか、あるいは記憶部１２のプログラム領域（図示省略）に割り当てられ記憶された本実施形態に係るプログラムを逐次読み出し実行することにより、（１）Ｗｅｂブラウザがデータを送信すると、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する処理と、（２）送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録する処理と、（３）送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのバケット受信を拒否する処理と、を実行する。 For example, a microprocessor (computer of the unauthorized access prevention function device 10) is mounted in the processing unit 11, and the microprocessor is built in or assigned to and stored in a program area (not shown) of the storage unit 12. By sequentially reading and executing the program according to the present embodiment, (1) when the Web browser transmits data, a process for determining whether or not the same data as the transmission data is stored in the transmission list 120; If the data is not stored in the transmission list 120, the transmission data is registered in the transmission list 120, and after the data is transmitted, the first received IP address is registered as a reception permitted IP address corresponding to the transmission data. 3) If it is stored in the transmission list 120, the reception registered corresponding to the transmission data is performed. Set the permission IP address to Ready, to execution and refuse processing the bucket reception from the registered reception permission IP address, the.

Ｗｅｂブラウザ起動部１１１は、ユーザが、本実施形態に係る不正アクセス防止機能装置１０にインストールされた、Ｗｅｂブラウザの一つである、例えば、ＩＥ（登録商標：インターネットエクスプローラ）を起動して、ユーザによるＷｅｂサーバ２０のＩＰアドレスの設定入力を取り込み、セキュリティ監視部１１３へ引き渡す機能を有する。なお、Ｗｅｂブラウザとして、ＩＥの他に、Ｓｌｅｉｐｎｉｒ（登録商標），Ｆｉｒｅｆｏｘ（登録商標），Ｏｐｅｒａ（登録商標），Ｃｈｒｏｍｅ（登録商標），Ｓａｆａｒｉ（登録商標），Ｌｕｎａｓｃａｐｅ（登録商標）を用いてもよい。 The web browser activation unit 111 activates, for example, IE (registered trademark: Internet Explorer), which is one of the web browsers installed in the unauthorized access prevention function device 10 according to the present embodiment. Has a function of taking in the setting input of the IP address of the Web server 20 and delivering it to the security monitoring unit 113. In addition to IE, Sleepipir (registered trademark), Firefox (registered trademark), Opera (registered trademark), Chrome (registered trademark), Safari (registered trademark), and Lunascape (registered trademark) may be used as the Web browser. Good.

セキュリティ監視部１１３は、Ｗｅｂブラウザ起動部１１１により起動されるＷｅｂブラウザによるＵＲＬ（Uniform Resource Locator）等の送信データが出力されると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する。そして、送信リスト１２０に送信データが記憶されていなければ、送信データを送信リスト１２０に新たに登録するとともに、Ｗｅｂサーバ２０から最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録する。また、送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのバケット受信を拒否する処セキュリティ監視機能を有する。 When the transmission data such as URL (Uniform Resource Locator) by the web browser activated by the web browser activation unit 111 is output, the security monitoring unit 113 refers to the storage unit 12 and stores the same data as the transmission data in the transmission list 120. Whether or not is stored is determined. If no transmission data is stored in the transmission list 120, the transmission data is newly registered in the transmission list 120, and the IP address first received from the Web server 20 is registered as a reception permission IP address corresponding to the transmission data. To do. Further, if stored in the transmission list 120, the security monitoring function for setting the reception permission IP address registered corresponding to the transmission data to be receivable and rejecting the bucket reception from the registered reception permission IP address. Have

（実施形態の動作）
以下、図３のフローチャートを参照しながら、図１，図２に示す本実施形態に係る不正アクセス防止機能装置１０の処理動作について詳細に説明する。 (Operation of the embodiment)
The processing operation of the unauthorized access prevention functional device 10 according to the present embodiment shown in FIGS. 1 and 2 will be described in detail below with reference to the flowchart of FIG.

まず、ユーザが不正アクセス防止機能装置１０によるＷｅｂブラウザの起動操作を実行する。これを受けて不正アクセス防止機能装置１０は、Ｗｅｂブラウザ起動部１１１が、選択操作されたＷｅｂブラウザを有効化（起動）する（ステップＳ１０１）、続いてユーザによるＷｅｂサイトへのアクセスのための設定によるデータの送信を待つ（ステップＳ１０２）。 First, the user executes a web browser activation operation by the unauthorized access prevention function device 10. In response to this, in the unauthorized access preventing functional device 10, the Web browser activation unit 111 validates (activates) the Web browser that has been selected and operated (step S101), and then the setting for accessing the Web site by the user is performed. Waits for transmission of data (step S102).

一方、送信リスト１２０に、送信データと同じデータが記憶されていれば（ステップＳ１０３“ＹＥＳ”）、セキュリティ監視部１１３は、送信リスト１２０の送信データに対応する受信許可ＩＰアドレスの受信許可設定を行う。そして、ゲート開閉部１１５を閉制御して、パケット送受信部１１２による、既に受信が許可されているＩＰアドレスに基づくＷｅｂサーバ２０からのパケットの受信を拒否する制御を行い（ステップＳ１０６）、ステップＳ１０２の処理に戻る。したがって、ユーザ自身がアクセスした以外の不正アクセスを全て削除することが可能になる。 On the other hand, if the same data as the transmission data is stored in the transmission list 120 (step S103 “YES”), the security monitoring unit 113 sets the reception permission setting of the reception permission IP address corresponding to the transmission data of the transmission list 120. Do. Then, the gate opening / closing unit 115 is controlled to be closed so that the packet transmission / reception unit 112 rejects reception of the packet from the Web server 20 based on the IP address already permitted to be received (step S106). Return to the process. Therefore, it is possible to delete all unauthorized accesses other than those accessed by the user.

（実施形態の効果）
以上説明のように本実施形態に係る不正アクセス防止機能装置１０（不正アクセス防止機能システム）によれば、Ｗｅｂブラウザがデータを送信すると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定し、送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録し、送信リスト１２０に記憶されていれば、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのバケット受信を拒否するセキュリティ監視手段（処理部１１）により、自身がアクセスした以外の不正アクセスを自動で削除することができるため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができる。 (Effect of embodiment)
As described above, according to the unauthorized access prevention function device 10 ( unauthorized access prevention function system ) according to the present embodiment, when the Web browser transmits data, the storage unit 12 is referred to and the transmission list 120 is the same as the transmission data. It is determined whether or not the data is stored. If the data is not stored in the transmission list 120, the transmission data is registered in the transmission list 120, and the first received IP address corresponding to the transmission data is transmitted after the data is transmitted. If it is registered as a reception-permitted IP address and is stored in the transmission list 120, the reception-permitted IP address registered corresponding to the transmission data is set to be receivable, and bucket reception from the registered reception-permitted IP address is performed. Unauthorized access other than that accessed by the security monitoring means (processing unit 11) is automatically deleted. It is possible to, without requiring easy operation of the network security skills, and it is possible to suppress the occurrence of the unauthorized access.

また、本発明のネットワークセキュリティ監視方法は、例えば、図１に示すように、複数のＷｅｂサーバ２０と、Ｗｅｂサーバ２０とはＩＰネットワーク３０を介して接続される不正アクセス防止機能装置１０と、を含む不正アクセス防止機能システムにおけるネットワークセキュリティ監視方法である。そして、その方法は、例えば、図３に示すように、Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップ（Ｓ１０１，Ｓ１０２）と、送信リスト１２０に記憶されていなければ（Ｓ１０２“ＮＯ”）、送信データを送信リスト１２０に登録するとともに、データを送信後、最初に受信したＩＰアドレスを送信データに対応する受信許可ＩＰアドレスとして登録するステップ（Ｓ１０４，Ｓ１０５）と、送信リスト１２０に記憶されていれば（Ｓ１１２“ＹＥＳ”）、送信データに対応して登録された受信許可ＩＰアドレスを受信可に設定し、登録済みの受信許可ＩＰアドレスからのバケット受信を拒否するステップ（Ｓ１０６）と、を有する。 The network security monitoring method of the present invention includes, for example, a plurality of Web servers 20 and an unauthorized access prevention function device 10 connected to the Web server 20 via an IP network 30 as shown in FIG. A network security monitoring method in an unauthorized access prevention function system . Then, for example, as shown in FIG. 3, when the Web browser transmits data, the method determines whether or not the same data as the transmission data is stored in the transmission list (S101, S102), and transmission If it is not stored in the list 120 (S102 “NO”), the transmission data is registered in the transmission list 120, and after the data is transmitted, the first received IP address is registered as a reception permitted IP address corresponding to the transmission data. If it is stored in step (S104, S105) and transmission list 120 (S112 “YES”), the reception-permitted IP address registered corresponding to the transmission data is set to be receivable, and the registered reception-permitted IP And (S106) rejecting bucket reception from the address.

本実施形態に係るネットワークセキュリティ監視方法によれば、自身がアクセスした以外の不正アクセスを自動で削除することができるため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制する不正アクセス防止機能装置を構築することができる。 According to the network security monitoring method according to the present embodiment, since unauthorized access other than that accessed by itself can be automatically deleted, operation of network security is easy, without requiring skills, and occurrence of unauthorized access. It is possible to construct an unauthorized access prevention function device that suppresses

なお、本実施形態に係るプログラムは、例えば、図１に示すように、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワーク３０のセキュリティを確保する、Ｗｅｂブラウザを有する不正アクセス防止機能装置１０のプログラムである。そしてそのプログラムは、コンピュータ（処理部１１）に、上記した本実施形態に係るネットワークセキュリティ監視方法における各ステップと同様の処理を実行させるものであり、重複を回避する意味で各処理の説明を省略する。 Note that the program according to the present embodiment is, for example, a program of the unauthorized access prevention function device 10 having a Web browser that secures the security of the IP network 30 accessed using TCP / IP, as shown in FIG. is there. The program causes the computer (processing unit 11) to execute the same process as each step in the above-described network security monitoring method according to the present embodiment, and the description of each process is omitted to avoid duplication. To do.

本実施形態に係るプログラムによれば、不正アクセス防止機能装置１０の処理部１１が、上記した本実施形態に係るプログラムを読み出し実行することにより、自身がアクセスした以外の不正アクセスを自動で削除することができ、このため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができる不正アクセス防止機能装置を構築できる。 According to the program according to the present embodiment, the processing unit 11 of the unauthorized access prevention functional device 10 automatically deletes unauthorized access other than that accessed by the processing unit 11 by reading and executing the program according to the present embodiment. Therefore, it is possible to construct an unauthorized access prevention functional device that can easily operate network security, does not require skills, and can suppress the occurrence of unauthorized access .

１０不正アクセス防止機能装置
２０Ｗｅｂサーバ
３０ＩＰネットワーク
１１処理部
１２記憶部
１１１Ｗｅｂブラウザ起動部
１１２パケット送受信部
１１３セキュリティ監視部
１１４，１１５ゲート開閉部
１２０送信リスト DESCRIPTION OF SYMBOLS 10 Unauthorized access prevention function apparatus 20 Web server 30 IP network 11 Processing part 12 Storage part 111 Web browser starting part 112 Packet transmission / reception part 113 Security monitoring part 114,115 Gate opening / closing part 120 Transmission list

上記した課題を解決するために、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、少なくとも、送信ＩＰリストが割り当てられ記憶された記憶部と、処理部と、を備えた不正アクセス防止機能装置であって、
前記処理部は、
ＯＳやＷｅｂブラウザがデータを送信すると、前記記憶部を参照し、前記送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定し、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録し、
前記送信ＩＰリストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する、
制御を行うセキュリティ監視手段を備える、ことを特徴とする。 In order to solve the above-described problems, the present invention secures security of an IP network accessed using TCP / IP, and includes at least a storage unit to which a transmission IP list is assigned and stored, and a processing unit. An unauthorized access prevention function device comprising:
The processor is
When the OS or Web browser transmits data, the storage unit is referred to determine whether the same data as the transmission data is stored in the transmission IP list,
If the same data as the transmission data is not stored in the transmission IP list, the transmission data is registered in the transmission IP list,
If it is stored in the transmission IP list,
Said registered corresponding to the transmission data is registered in the transmission IP list, it sets the received IP address that matches the transmitted IP address list to receive authorization,
Reject bucket reception from other receiving IP addresses,
Security monitoring means for performing control is provided.

また、本発明の不正アクセス防止機能システムは、複数のＷｅｂサーバと、
前記ＷｅｂサーバとはＩＰネットワークを介して接続され、
ＯＳやＷｅｂブラウザがデータを送信すると、記憶部を参照し、送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定し、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録し、
前記送信リストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する、
制御を行うセキュリティ監視手段を具備した、不正アクセス防止機能装置とを備える、ことを特徴とする。 The unauthorized access prevention function system of the present invention includes a plurality of Web servers,
Connected to the web server via an IP network;
When the OS or Web browser transmits data, the storage unit is referred to determine whether the same data as the transmission data is stored in the transmission IP list,
If the same data as the transmission data is not stored in the transmission IP list, the transmission data is registered in the transmission IP list,
If it is stored in the transmission list,
Said registered corresponding to the transmission data is registered in the transmission IP list, it sets the received IP address that matches the transmitted IP address list to receive authorization,
Reject bucket reception from other receiving IP addresses,
And an unauthorized access prevention function device provided with security monitoring means for performing control .

また、本発明は、
複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、Ｗｅｂブラウザを有する不正アクセス防止機能装置と、を含む不正アクセス防止機能システムにおけるネットワークセキュリティ監視方法であって、
前記不正アクセス防止機能装置は、
ＯＳや前記Ｗｅｂブラウザがデータを送信すると、送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定するステップと、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録するステップと、
前記送信ＩＰリストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否するステップを、
実行するセキュリティ監視手段を備える、ことを特徴とする。 The present invention also provides:
A network security monitoring method in an unauthorized access prevention functional system including a plurality of web servers and an unauthorized access prevention functional device connected to the web server via an IP network and having a web browser,
The unauthorized access prevention functional device is:
Determining whether the same data as the transmission data is stored in the transmission IP list when the OS or the Web browser transmits the data;
If the same data as the transmission data is not stored in the transmission IP list, and registering the transmission data to the transmission IP list,
If it is stored in the transmission IP list,
A reception IP address that matches the transmission IP address list registered in the transmission IP list registered corresponding to the transmission data is set to reception permission;
The step of rejecting bucket reception from other receiving IP addresses,
Security monitoring means to be executed is provided .

また、本発明は、ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、Ｗｅｂブラウザを有する不正アクセス防止機能装置のプログラムであって、
前記不正アクセス防止機能装置のコンピュータに、
ＯＳや前記Ｗｅｂブラウザがデータを送信すると、送信ＩＰリストに送信データと同じデータが記憶されているか否かを判定する処理と、
前記送信データと同じデータが前記送信ＩＰリストに記憶されていなければ、前記送信データを前記送信ＩＰリストに登録する処理と、
前記送信ＩＰリストに記憶されていれば、
前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する処理を、
制御するセキュリティ監視手段を備える、ことを特徴とする。 In addition, the present invention is a program for an unauthorized access prevention functional device having a Web browser for ensuring the security of an IP network accessed using TCP / IP.
In the computer of the unauthorized access prevention function device,
When the OS or the Web browser transmits data, a process for determining whether or not the same data as the transmission data is stored in the transmission IP list;
If the same data as the transmission data is not stored in the transmission IP list, the process of registering the transmission data to the transmission IP list,
If it is stored in the transmission IP list,
Said registered corresponding to the transmission data is registered in the transmission IP list, it sets the received IP address that matches the transmitted IP address list to receive authorization,
Processing to reject bucket reception from other receiving IP addresses,
Security monitoring means for controlling is provided .

本発明の実施の形態に係る不正アクセス防止機能システム、及び装置の構成を示すブロック図である。It is a block diagram which shows the structure of the unauthorized access prevention functional system which concerns on embodiment of this invention, and an apparatus. 本発明の実施の形態に係る不正アクセス防止機能装置が有する送信リストのデータ構造の一例を示す図である。It is a figure which shows an example of the data structure of the transmission list which the unauthorized access prevention functional apparatus which concerns on embodiment of this invention has. 本発明の実施の形態に係る不正アクセス防止機能装置の処理動作を示すフローチャートである。It is a flowchart which shows the processing operation of the unauthorized access prevention functional apparatus which concerns on embodiment of this invention. 本発明の実施の形態に係る不正アクセス防止機能装置の動作を説明する図である。It is a figure explaining operation | movement of the unauthorized access prevention functional apparatus which concerns on embodiment of this invention.

処理部１１には、例えば、マイクロプロセッサ（不正アクセス防止機能装置１０のコンピュータ）が実装されており、マイクロプロセッサが、内蔵するか、あるいは記憶部１２のプログラム領域（図示省略）に割り当てられ記憶された本実施形態に係るプログラムを逐次読み出し実行することにより、（１）ＯＳやＷｅｂブラウザがデータを送信すると、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する処理と、（２）送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録する処理と、（３）送信リスト１２０に記憶されていれば、前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、それ以外の受信ＩＰアドレスからのバケット受信を拒否する制御を行う、セキュリティ監視手段を備える。 For example, a microprocessor (computer of the unauthorized access prevention function device 10) is mounted in the processing unit 11, and the microprocessor is built in or assigned to and stored in a program area (not shown) of the storage unit 12. By sequentially reading and executing the program according to the present embodiment, (1) when the OS or Web browser transmits data, a process for determining whether or not the same data as the transmission data is stored in the transmission list 120; (2) If not stored in the transmission list 120, processing for registering transmission data in the transmission list 120, and (3) if stored in the transmission list 120, the transmission registered corresponding to the transmission data registered in the IP list, set the reception allow incoming IP address that matches the transmitted IP address list Performs control refuse bucket received from the other received IP address comprises security monitoring means.

セキュリティ監視部１１３は、Ｗｅｂブラウザ起動部１１１により起動されるＷｅｂブラウザによるＵＲＬ（Uniform Resource Locator）等の送信データが出力されると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定する。そして、送信リスト１２０に送信データが記憶されていなければ、送信データを送信リスト１２０に新たに登録する When the transmission data such as URL (Uniform Resource Locator) by the web browser activated by the web browser activation unit 111 is output, the security monitoring unit 113 refers to the storage unit 12 and stores the same data as the transmission data in the transmission list 120. Whether or not is stored is determined. If the transmission data is not stored in the transmission list 120, the transmission data is newly registered in the transmission list 120.

まず、ユーザが不正アクセス防止機能装置１０によるＷｅｂブラウザの起動操作を実行する。これを受けて不正アクセス防止機能装置１０は、ＯＳやＷｅｂブラウザ起動部１１１が選択操作され、Ｗｅｂブラウザを有効化（起動）する（ステップＳ２０１）。続いてユーザによるＷｅｂサイトへのアクセスのための設定によるデータの送信を待つ（ステップＳ２０２）。 First, the user executes a web browser activation operation by the unauthorized access prevention function device 10. In response to this, the unauthorized access prevention functional device 10 selects and operates the OS and the Web browser activation unit 111 to activate (activate) the Web browser (step S201). Then, it waits for the data transmission by the setting for access to the Web site by the user (step S202).

ここで、データが送信されると（ステップＳ２０２“ＮＯ”）、セキュリティ監視部１１３は、記憶部１２を参照して送信ＩＰリスト１２０に、同じデータが記憶されているか否かを判定し（ステップＳ２０２）、
送信リスト１２０に、同じデータが記憶されていなければ（ステップＳ２０３）、セキュリティ監視部１１３は、ゲート開閉部１１５を開制御し、送信リスト１２０にその送信データを新たに記憶する制御を行う（ステップＳ２０３）。続いて、ステップＳ２０２の処理に戻る。 When the data is transmitted (step S202 “NO”), the security monitoring unit 113 refers to the storage unit 12 and determines whether or not the same data is stored in the transmission IP list 120 (step S202). S202),
If the same data is not stored in the transmission list 120 (step S203), the security monitoring unit 113 controls to open the gate opening / closing unit 115 and newly stores the transmission data in the transmission list 120 (step S203). S203). Subsequently, the process returns to step S202.

一方、受信あり（Ｓ２０２，ＹＥＳ）により、送信リスト１２０に、送信データに対応する送信ＩＰリストに登録された送信ＩＰアドレスリストに一致する受信ＩＰアドレスのデータを、受信許可に設定される。すなわち、セキュリティ監視部１１３は、送信リスト１２０の送信ＩＰアドレスリストのデータに合致する受信ＩＰアドレスのデータを、受信許可に設定する(Ｓ２０４の、「送信ＩＰアドレスリストと一致すれば許可」に対応)。
そして、送信データに対応した送信ＩＰリストに登録された送信ＩＰアドレスリストに、合致しない他の受信ＩＰアドレスに基づく、Ｗｅｂサーバ２０からのバケット受信は拒否する(Ｓ２０４の、「それ以外は拒否」に対応)。
したがって、Ｓ２０２，ＹＥＳで「受信あり」となり、
送信データに対応して登録された送信ＩＰリストに登録された、送信ＩＰアドレスリストに合致する受信ＩＰアドレスの到達に対して、Ｓ２０４で「受信許可に設定」される、
換言すれば、Ｓ２０２，ＹＥＳで「受信あり」の後、Ｓ２０４で「受信許可に設定」されて、「受信」がなされる。

なお、Ｓ２０４の後、Ｓ２０２に戻る。
また、ユーザ自身は、「受信を拒否」(請求項１における、「それ以外の受信ＩＰアドレスからのバケット受信を拒否する」)の場合、不正アクセスである「受信ＩＰアドレス」を削除することが可能になる。 On the other hand, when there is reception (S202, YES), reception permission is set in the transmission list 120 for data of the reception IP address that matches the transmission IP address list registered in the transmission IP list corresponding to the transmission data. That is, the security monitoring unit 113 sets the reception IP address data that matches the data in the transmission IP address list of the transmission list 120 to reception permission (corresponding to “permit if it matches the transmission IP address list” in S204). )
Then, bucket reception from the Web server 20 based on other received IP addresses that do not match the transmitted IP address list registered in the transmitted IP list corresponding to the transmitted data is rejected ( “ Reject other” in S204). Corresponding) .
Therefore, “Yes” is received at S202, YES,
In response to the arrival of the reception IP address that matches the transmission IP address list registered in the transmission IP list registered corresponding to the transmission data, “set to reception permission” in S204.
In other words, after “Yes” is received in S202, YES, “Reception permitted” is set in S204, and “Reception” is performed .

After S204, the process returns to S202.
Further, in the case of “reject reception” (“reject bucket reception from other reception IP addresses” in claim 1), the user himself / herself may delete “reception IP address” which is unauthorized access. It becomes possible.

本願請求項に係る発明は、ＴＣＰ／ＩＰにおいてＡＣＫ等のフィードバックの受信は、必要に応じて行われており，本願発明は、ＴＣＰ／ＩＰで動作しております。そのことを、図４を参照して、説明いたします。
(下記(２)の「ＡＣＫ(確立要求の確認応答)」などに、注目願います。)。

図４におきまして、
(１)ユーザー(Ａ)から、ユーザー(Ａ)のＷｅｂアドレスを、Ｗｅｂアドレス管理会社(Ｂ)のＩＰアドレスに送り〈１例として、コネクション確立要求のため〉、
(２)Ｗｅｂアドレス管理会社(Ｂ)から、ユーザー(Ａ)のＷｅｂアドレスにアクセスするＩＰアドレスを受信する〈 (１)のコネクション確立要求に対し、例えばＡＣＫ(確立要求の確認応答)で応答がなされる〉。
(３)次に、ユーザー(Ａ)は、目的のＷｅｂサイトにアクセスし、
(４)該目的のＷｅｂサイトを表示するためのＩＰアドレスを、該目的のＷｅｂサイトから受信する。
(５)さらに、ユーザー(Ａ)は、該Ｗｅｂサイトを表示するためのＩＰアドレスにアクセスし、
(６)当該Ｗｅｂサイトを受信し表示する〈コネクション確立〉。
(７)ユーザー（Ａ）は、送信ＩＰリストにないＩＰアドレスからの受信は、拒否する。

上述のように、本願請求項に係る発明は、ＴＣＰ／ＩＰにおいてＡＣＫ等のフィードバックの受信は、必要に応じて行われており、本願発明は、ＴＣＰ／ＩＰで動作しています。
このように、本件発明は、前記送信データに対応して登録された前記送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに一致する受信ＩＰアドレスを受信許可に設定し、それ以外は受信ＩＰアドレスからのバケット受信を拒否しており、不正アクセスの発生を抑制しています。

なお、図３のフローチャートには図示を省略しましたが、ＤＮＳラウンドロビンのように、Ｗｅｂサーバ２０の負荷分散のために、Ｗｅｂサーバ２０の一つのポートに複数のＩＰアドレスが割り当てられている場合、ユーザによる事前の設定入力（手動）を取り込んで複数のＩＰアドレスを登録する必要があります。 In the claimed invention, the receipt of feedback such as ACK is performed as necessary in TCP / IP, and the present invention operates in TCP / IP. This will be explained with reference to FIG.
(Please pay attention to "ACK (establishment request confirmation response)" in (2) below.)

In FIG.
(1) User (A) sends the Web address of user (A) to the IP address of Web address management company (B) <For example, for connection establishment request>
(2) Receive an IP address for accessing the Web address of user (A) from Web address management company (B) <In response to the connection establishment request in (1), for example, an ACK (confirmation request confirmation response) Made>.
(3) Next, the user (A) accesses the target website,
(4) An IP address for displaying the target website is received from the target website.
(5) Furthermore, the user (A) accesses the IP address for displaying the website,
(6) Receive and display the Web site <establish connection>.
(7) The user (A) refuses reception from an IP address not in the transmission IP list.

As described above, in the claimed invention, reception of feedback such as ACK is performed as necessary in TCP / IP, and the present invention operates in TCP / IP.
Thus, the present invention sets the reception IP address that matches the transmission IP address list registered in the transmission IP list registered corresponding to the transmission data to reception permission, and otherwise receives IP. The bucket reception from the address is rejected, and unauthorized access is suppressed.

Although not shown in the flowchart of FIG. 3, when a plurality of IP addresses are assigned to one port of the Web server 20 for load distribution of the Web server 20 as in DNS round robin. , It is necessary to register multiple IP addresses by taking in advance setting input (manual) by the user.

（実施形態の効果）
以上説明のように、本実施形態に係る不正アクセス防止機能装置１０（不正アクセス防止機能システム）によれば、ＯＳやＷｅｂブラウザがデータを送信すると、記憶部１２を参照し、送信リスト１２０に送信データと同じデータが記憶されているか否かを判定し、送信リスト１２０に記憶されていなければ、送信データを送信リスト１２０に登録する。
送信ＩＰリスト１２０に記憶されていれば、送信データに対応して送信ＩＰアドレスリスト登録された、受信ＩＰアドレスを受信許可に設定し、
それ以外の受信ＩＰアドレスからのバケット受信を拒否する、制御を行うセキュリティ監視手段を備え、
自身がアクセスした以外の不正アクセス (送信ＩＰアドレスリストに合致しない受信ＩＰアドレスからのバケット受信) を削除することができるため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができる。 (Effect of embodiment)
As described above, according to the unauthorized access prevention function device 10 ( unauthorized access prevention function system) according to the present embodiment, when the OS or Web browser transmits data, the storage unit 12 is referred to and transmitted to the transmission list 120. It is determined whether the same data as the data is stored. If the data is not stored in the transmission list 120, the transmission data is registered in the transmission list 120.
If it is stored in the transmission IP list 120, the reception IP address registered in the transmission IP address list corresponding to the transmission data is set to reception permission ,
Refuse bucket received from the other received IP address, and secure monitoring means for controlling,
It is possible to delete unauthorized access (bucket reception from a received IP address that does not match the transmitted IP address list) other than the one accessed by itself, so network security is easy to operate, requires no skill, and allows unauthorized access. Occurrence can be suppressed.

また、本発明のネットワークセキュリティ監視方法は、例えば、図１に示すように、複数のＷｅｂサーバ２０と、Ｗｅｂサーバ２０とはＩＰネットワーク３０を介して接続される不正アクセス防止機能装置１０と、を含む不正アクセス防止機能システムにおけるネットワークセキュリティ監視方法である。そして、その方法は、例えば、図３に示すように、ＯＳやＷｅｂブラウザがデータを送信すると、送信ＩＰリスト１２０に送信データと同じデータが記憶されているか否かを判定するステップ（Ｓ２０２）と、送信ＩＰリスト１２０に記憶されていなければ（Ｓ２０３）、送信データを送信リスト１２０に登録する。
送信リスト１２０に記憶されていれば（Ｓ２０２“ＹＥＳ”）、送信データに対応して登録された受信ＩＰアドレスを受信許可に設定し、
また、それ以外の受信ＩＰアドレス(送信ＩＰアドレスリストに合致しない受信ＩＰアドレス)からのバケット受信を、拒否する。 The network security monitoring method of the present invention includes, for example, a plurality of Web servers 20 and an unauthorized access prevention function device 10 connected to the Web server 20 via an IP network 30 as shown in FIG. A network security monitoring method in an unauthorized access prevention function system. Then, for example, as shown in FIG. 3, when the OS or Web browser transmits data, the method determines whether or not the same data as the transmission data is stored in the transmission IP list 120 (S202). If not stored in the transmission IP list 120 (S203), the transmission data is registered in the transmission list 120.
If stored in the transmission list 120 (S202 “YES”), the reception IP address registered corresponding to the transmission data is set to reception permission ,
Further, the bucket receiving from the other received IP address (receiver IP addresses that do not match the transmitted IP address list), reject.

本実施形態に係るネットワークセキュリティ監視方法によれば、ユーザ自身が、送信データに応じて登録された送信ＩＰリストに合致しない不正アクセスの受信アドレスを削除することを可能にする。このため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制するファイヤーウォールを構築することができる。 According to the network security monitoring method according to the present embodiment, the user himself / herself can delete the reception address of unauthorized access that does not match the transmission IP list registered according to the transmission data. Therefore, it is possible to construct a firewall that can easily operate network security, does not require skills, and suppresses the occurrence of unauthorized access.

本実施形態に係るプログラムによれば、不正アクセス防止機能装置１０の処理部１１が、上記した本実施形態に係るプログラムを読み出し実行しており、送信データに対応して登録された送信ＩＰリストに登録された、前記送信ＩＰアドレスリストに合致しない受信ＩＰアドレスを、受信拒否に設定するので、
自身がアクセスした以外の不正アクセスを自動で削除することを可能とし、このため、ネットワークセキュリティの運用が容易でスキルを要することなく、かつ、不正アクセスの発生を抑制することができるファイヤーウォールを構築できる。 According to the program according to the present embodiment, the processing unit 11 of the unauthorized access preventing functional device 10 reads and executes the program according to the above-described embodiment, and the transmission IP list registered corresponding to the transmission data is added. Since the registered reception IP address that does not match the transmission IP address list is set to reception rejection ,
It is possible to automatically delete unauthorized access other than that accessed by itself, and for this reason, it is easy to operate network security, without requiring skills, and building a firewall that can suppress the occurrence of unauthorized access it can.

Claims

ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、少なくとも、送信リストが割り当てられ記憶された記憶部と、処理部と、を備えたファイヤーウォール装置であって、
前記処理部は、
Ｗｅｂブラウザがデータを送信すると、前記記憶部を参照し、前記送信リストに送信データと同じデータが記憶されているか否かを判定し、
前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、
前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否するセキュリティ監視手段、
を備えることを特徴とするファイヤーウォール装置。 A firewall apparatus comprising: a storage unit that secures security of an IP network accessed using TCP / IP, and at least a storage unit to which a transmission list is assigned and stored; and a processing unit,
The processor is
When the Web browser transmits data, the storage unit is referred to, and it is determined whether or not the same data as the transmission data is stored in the transmission list,
If not stored in the transmission list, the transmission data is registered in the transmission list, and after transmitting the data, the first received IP address is registered as a reception permitted IP address corresponding to the transmission data,
Security monitoring means for setting the reception-permitted IP address registered corresponding to the transmission data to be receivable if it is stored in the transmission list and rejecting reception of a packet from the registered reception-permitted IP address ,
A firewall apparatus comprising:

前記セキュリティ監視手段は、
Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、前記ポートに第１のアクセスサイトのＩＰアドレスを割り当て、前記第１のアクセスサイトからのパケットの受信を許可し、続いて同じポートから第２のアクセスサイトにアクセスする場合、前記第１のアクセスサイトからのパケット受信を拒否し、前記第２のアクセスサイトのＩＰアドレスを割り当て、前記第２のアクセスサイトからのパケットの受信を許可するように前記送信リストを更新することを特徴とする請求項１に記載のファイヤーウォール装置。 The security monitoring means includes
When assigning a plurality of IP addresses to one port of the Web server, the IP address of the first access site is assigned to the port, the reception of the packet from the first access site is permitted, and the When accessing the second access site, the reception of the packet from the first access site is refused, the IP address of the second access site is assigned, and the reception of the packet from the second access site is permitted. The firewall apparatus according to claim 1, wherein the transmission list is updated.

前記セキュリティ監視手段は、
前記Ｗｅｂサーバの一つのポートに複数のＩＰアドレスを割り当てる場合、事前の設定入力を取り込んで前記複数のＩＰアドレスを登録することを特徴とする請求項１又は２に記載のファイヤーウォール装置。 The security monitoring means includes
3. The firewall apparatus according to claim 1, wherein when a plurality of IP addresses are assigned to one port of the Web server, the plurality of IP addresses are registered by taking a setting input in advance.

複数のＷｅｂサーバと、
前記ＷｅｂサーバとはＩＰネットワークを介して接続され、
Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定し、前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録し、前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否する、前記Ｗｅｂブラウザを有するファイヤーウォール装置と、
を備えたことを特徴とするファイヤーウォールシステム。 A plurality of web servers;
Connected to the web server via an IP network;
When the Web browser transmits data, it is determined whether the same data as the transmission data is stored in the transmission list. If the data is not stored in the transmission list, the transmission data is registered in the transmission list, and After transmitting the data, the first received IP address is registered as a reception-permitted IP address corresponding to the transmission data, and if stored in the transmission list, the reception-permitted IP registered corresponding to the transmission data A firewall device having the Web browser, wherein the address is set to be receivable and packet reception from the registered reception-permitted IP address is rejected;
A firewall system characterized by comprising

複数のＷｅｂサーバと、前記ＷｅｂサーバとはＩＰネットワークを介して接続され、Ｗｅｂブラウザを有するファイヤーウォール装置と、を含むファイヤーウォールシステムにおけるネットワークセキュリティ監視方法であって、
前記ファイヤーウォール装置は、
前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定するステップと、
前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録するステップと、
前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否するステップと、
を有することを特徴とするネットワークセキュリティ監視方法。 A network security monitoring method in a firewall system, comprising: a plurality of Web servers; and a firewall device connected to the Web server via an IP network and having a Web browser,
The firewall device is
Determining whether the same data as the transmission data is stored in the transmission list when the Web browser transmits the data;
Registering the transmission data in the transmission list, if not stored in the transmission list, and registering the IP address received first as the reception-permitted IP address corresponding to the transmission data after transmitting the data; ,
If stored in the transmission list, setting the reception-permitted IP address registered corresponding to the transmission data to be receivable, and rejecting reception of a packet from the registered reception-permitted IP address;
A network security monitoring method characterized by comprising:

ＴＣＰ／ＩＰを用いてアクセスされるＩＰネットワークのセキュリティを確保する、Ｗｅｂブラウザを有するファイヤーウォール装置のプログラムであって、
前記ファイヤーウォール装置のコンピュータに、
前記Ｗｅｂブラウザがデータを送信すると、送信リストに送信データと同じデータが記憶されているか否かを判定する処理と、
前記送信リストに記憶されていなければ、前記送信データを前記送信リストに登録するとともに、前記データを送信後、最初に受信したＩＰアドレスを前記送信データに対応する受信許可ＩＰアドレスとして登録する処理と、
前記送信リストに記憶されていれば、前記送信データに対応して登録された前記受信許可ＩＰアドレスを受信可に設定し、登録済みの前記受信許可ＩＰアドレスからのパケット受信を拒否する処理と、
を実行させるプログラム。 A program for a firewall device having a Web browser for ensuring the security of an IP network accessed using TCP / IP,
In the computer of the firewall device,
A process of determining whether or not the same data as the transmission data is stored in the transmission list when the Web browser transmits the data;
A process of registering the transmission data in the transmission list, if not stored in the transmission list, and registering the first received IP address as a reception-permitted IP address corresponding to the transmission data after transmitting the data; ,
If stored in the transmission list, a process of setting the reception-permitted IP address registered corresponding to the transmission data to be receivable and rejecting reception of a packet from the registered reception-permitted IP address;
A program that executes