JP3961112B2 - パケット通信制御システム及びパケット通信制御装置 - Google Patents
パケット通信制御システム及びパケット通信制御装置 Download PDFInfo
- Publication number
- JP3961112B2 JP3961112B2 JP11346798A JP11346798A JP3961112B2 JP 3961112 B2 JP3961112 B2 JP 3961112B2 JP 11346798 A JP11346798 A JP 11346798A JP 11346798 A JP11346798 A JP 11346798A JP 3961112 B2 JP3961112 B2 JP 3961112B2
- Authority
- JP
- Japan
- Prior art keywords
- user
- network
- identification information
- access
- information
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
この発明は、ネットワークの各種リソースをユーザがアクセスする場合のアクセス許可不許可制御に好適なパケット通信制御システム及びパケット通信制御装置に関するものである。
【０００２】
【従来の技術】
近年、ネットワーク技術の発達とネットワーク構成機器の価格低下により、ネットワーク環境は規模的に拡大の一途を辿っている。しかしその一方で、ネットワーク環境を利用したコンピュータ資源への不正アクセス、破壊行為等の犯罪も増加しつつある。この種の犯罪から個人及び企業の資源を守るため、セキュリティーの向上が危急の課題となりつつある。またサービスの種類によっては特定のユーザにしかアクセスを許さないものや、子供の情操教育上好ましくないものを見せないようにするぺアレンタルコントロールなどの機能も実現が望まれるようになってきた。
【０００３】
ＴＣＰ／ＩＰプロトコルに準拠したパケットを、パケットの持つＩＰアドレスによって単純にフィルタリングする機構としては、既にいくつかの製品が知られており、これらを利用しているシステムも増加している。これらの製品を利用することで、サービスを提供するシステム及び外部ネットワークへのアクセスを制限し、システムが破壊されるのを防ぐことを可能にすると同時に、ＣＰＵ、メモリ、ディスク等のコンピュータ資源の不正使用を防ぐことが可能になる。
【０００４】
【発明が解決しようとする課題】
しかしこれらの製品は、システム及びネットワークを構成する機器が生成するパケットに含まれるＩＰアドレスが一意であること、それら構成機器のアクセス権限（範囲）が変化しないことを前提としている。このため、システムの構成は固定的なものになりがちとなり、構成機器や構成そのものが変更された場合には、システム管理者が多くの設定の変更を行う必要がある。また、この設定変更の間、システムは利用不可能となり、サービスを提供する側にとって大きな損失となる。
【０００５】
コンピュータが如何に普及した現在といえども、一台のコンピュータを一人のユーザが独占的に使用することは少なく、家庭内においても企業内においても一台のコンピュータを複数のユーザが利用しているケースが多い。また各ユーザはシステム及びネットワークに対して各々のアクセス権限を有している。このように多様なアクセス権限を有する複数ユーザによる一台のコンピュータの利用を認める場合、ユーザの利用するコンピユータ（以下、クライアントと称する）が送り出すパケットのシステム及びネットワークに対する通過可否は、時事刻々と変化する。
【０００６】
更にコンピュータの普及とネットワーク技術の進歩、それに伴うネットワーク機器の価格低下により、ネットワークに接続されるクライアントの数は増大し、ネットワークの規模は肥大化しつつある。このような状況において、ネットワーク上の構成機器の識別子であるＩＰアドレスが枯渇しつつある。この結果、今まで各構成機器に固定的に割り振られていたＩＰアドレスを動的に割り振るような環境も出現してきた。この環境下では、あるクライアントに割り当てられるＩＰアドレスは一意ではありえない。
【０００７】
現在市場に出回っているパケットフィルタリング製品では、以上のように複数のユーザによる一台のクライアントの利用、各ユーザの有するアクセス権限への対応、動的に割り振られるＩＰアドレス等に対応することは不可能である。またシステム及びネットワークの構成及び構成機器の変更を動的に反映させることも不可能である。
【０００８】
本発明は上述したような従来のネットワーク管理に関する問題点を解決せんとしてなされたもので、その目的は以下の課題を解決することのできるパケット通信制御システム及びパケット通信制御装置を提供することである。
（ａ）ユーザ毎に異なるアクセス権限に対応する。
（ｂ）同一クライアントから異なるユーザが利用することを許可する。
（ｃ）アクセス権限に応じたフィルタリング規則を生成する。
（ｄ）生成したフィルタリング規則により動的にフィルタリング処理を行う。
（ｅ）アクセス権限のないパケットのコンピュータ資源への不正アクセスを監視し、防止する。
（ｆ）不要となったフィルタリング規則を動的に削除する。
【０００９】
【課題を解決するための手段】
本発明の請求項１に記載のパケット通信制御システムは、各ユーザのネットワークにおけるアクセス範囲情報とユーザ識別情報が対応付けられた第１のテーブル、ユーザが用いている端末から取得したネットワークにおいて経路制御に用いられる経路制御アドレスとユーザ識別情報が対応付けられた第２のテーブルが記憶されたデータベースと、ユーザが用いている端末からユーザ識別情報を取得して、このユーザ識別情報に基づき前記データベースを参照して対応するアクセス範囲情報から前記ネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報を生成するフィルタリング規則生成手段と、ユーザから前記ネットワークに対するアクセス要求があると、このユーザが用いている端末から経路制御アドレス及びユーザ識別情報を取得して第２のテーブルにおける既登録の有無を判定し、既登録がない場合には、前記取得した経路制御アドレス及びユーザ識別情報を前記第２のテーブルに書き込むと共に、前記フィルタリング規則生成手段によるフィルタリング規則情報の生成を指示する制御手段と、前記フィルタリング規則生成手段により生成されたフィルタリング規則情報を用いてユーザが送出するパケットの通過可否を制御するフィルタリング処理手段とを具備することを特徴とする。これによって、ユーザ識別情報に基づき対応するアクセス範囲情報からネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報が生成され、このフィルタリング規則情報を用いて前記ユーザが送出するパケットの通過可否制御がなされる。これによって、同一の経路制御アドレスを用いた第２番目以降のユーザからの不正アクセスを防止することができる。
【００１１】
本発明の請求項２に記載のパケット通信制御システムでは、前記制御手段は、ユーザからネットワークに対するアクセス終了の通知があると、このユーザが用いている端末から経路制御アドレスを取得して前記第２のテーブルにおける該当の登録を抹消し、前記フィルタリング処理手段によるパケットの通過可否制御を終了させることを特徴とする。これにより、ユーザからネットワークに対するアクセス終了の通知があると、フィルタリング処理手段によるパケットの通過可否制御を終了させて復旧がなされる。
【００１２】
本発明の請求項３に記載のパケット通信制御システムでは、前記第１のテーブルには、更にユーザ識別情報に対応してパスワードが記憶されており、ユーザからネットワークに対するアクセス要求があると、このユーザから送出されるパスワード及びユーザ識別情報を取得して第１のテーブルにおける登録と比較してユーザ認証を行い、パスワードが一致した場合に、前記制御手段による処理へ移行させるユーザ認証手段を具備することを特徴とする。これにより、ユーザから送出されるパスワード及びユーザ識別情報を取得してユーザ認証がなされる。
【００１３】
本発明の請求項４に記載のパケット通信制御システムでは、不正なアクセス要求を記録する警告記録手段が備えられ、前記制御手段は、既登録ありを検出した場合には、ユーザに対して要求のエラー通知を返送すると共に、前記警告記録手段に記録すべき情報を送出することを特徴とする。これにより、同一の経路制御アドレスを用いた複数ユーザからの不正アクセスの場合に、ユーザに対して要求のエラー通知が返送され、また、前記警告記録手段に記録がなされる。
【００１４】
本発明の請求項５に記載のパケット通信制御システムでは、不正なアクセス要求を記録する警告記録手段が備えられ、前記ユーザ認証手段は、パスワードが一致しない場合には、ユーザに対して要求のエラー通知を返送すると共に、前記警告記録手段に記録すべき情報を送出することを特徴とする。これにより、不正なパスワードを用いたアクセスがあると、ユーザに対して要求のエラー通知が返送され、また、前記警告記録手段に記録がなされる。
【００１５】
本発明の請求項６に記載のパケット通信制御装置は、各ユーザのネットワークにおけるアクセス範囲情報とユーザ識別情報が対応付けられた第１のテーブル、ユーザが用いている端末から取得したネットワークにおいて経路制御に用いられる経路制御アドレスとユーザ識別情報が対応付けられた第２のテーブルが記憶されたデータベースと、ユーザが用いている端末からユーザ識別情報を取得して、このユーザ識別情報に基づき前記データベースを参照して対応するアクセス範囲情報から前記ネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報を生成するフィルタリング規則生成手段と、ユーザからネットワークに対するアクセス要求があると、このユーザが用いている端末から経路制御アドレス及びユーザ識別情報を取得して前記第２のテーブルにおける既登録の有無を判定し、既登録がない場合には、前記取得した経路制御アドレス及びユーザ識別情報を前記第２のテーブルに書き込むと共に、前記フィルタリング規則生成手段によるフィルタリング規則情報の生成を指示する制御手段とを具備し、前記フィルタリング規則生成手段により生成されたフィルタリング規則情報をユーザが用いている端末へ送出して、当該端末に前記ユーザが送出するパケットの通過可否を制御するフィルタリング処理手段を備えることを特徴とする。これによって、ユーザ識別情報に基づき対応するアクセス範囲情報からネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報が生成され、このフィルタリング規則情報をユーザの端末へ送出して、この端末においてユーザが送出するパケットの通過可否制御がなされる。これによって、同一の経路制御アドレスを用いた第２番目以降のユーザからの不正アクセスを防止することができる。
【００１７】
本発明の請求項７に記載のパケット通信制御装置では、制御手段は、ユーザからネットワークに対するアクセス終了の通知があると、このユーザが用いている端末から経路制御アドレスを取得して第２のテーブルにおける該当の登録を抹消すると共に、前記端末のフィルタリング処理手段によるパケットの通過可否制御を終了させることを特徴とする。これにより、ユーザからネットワークに対するアクセス終了の通知があると、フィルタリング処理手段によるパケットの通過可否制御を終了させて復旧がなされる。
【００１８】
【発明の実施の形態】
以下添付図面を参照して本発明の実施の形態に係るパケット通信制御システム及びパケット通信制御装置を説明する。この実施の形態では、ＴＣＰ／ＩＰプロトコルに準拠したパケット通信システムを例とする。図１には、パケット通信制御システムの構成図が示されている。このシステムには、パケット通信制御装置１と、コンピュータにより構成されるクライアント（端末）２とが備えられている。
【００１９】
パケット通信制御装置１は、ＣＰＵを有するワークステーションやオフィスコンピュータ等により構成され、キーボード入力装置やマウス等の入力機器とＣＲＴ表示装置等の出力機器により構成される入出力手段４を含むデータ処理部３が設けられている。データ処理部３には、更に、警告記録手段５、データ管理手段６が備えられている。
【００２０】
また、パケット通信制御装置１には、ユーザデータベース７が設けられている。ユーザデータベース７には、各ユーザのネットワークにおけるアクセス権限（範囲）情報とユーザ識別情報が対応付けられた図２に示すアクセス権限情報テーブル（第１のテーブル）７１、ユーザが用いている端末から取得したネットワークにおいて経路制御に用いられる経路制御アドレス（ＩＰアドレス）とユーザ識別情報（ユーザＩＤ）が対応付けられた図３に示すユーザアクセステーブル（第２のテーブル）７２が記憶されている。アクセス権限テーブル７１の記憶内容は、ユーザからの申し出に基づいてシステム管理者が入出力手段４から入力して、データ管理手段６がユーザデータベース７内に記憶する。
【００２１】
パケット通信制御装置１には、フィルタリング規則情報を生成するフィルタリング規則生成手段８、フィルタリング規則生成手段８の制御等を行う制御手段９、更に、パスワードに基づきユーザの認証を行うユーザ認証手段１０が備えられている。
【００２２】
一方、クライアント２には、通信を行う通信実行手段１１、パケット通信制御装置１により生成されたフィルタリング規則情報に基づき送出するパケットの通過可否を制御するフィルタリング処理手段１２が備えられている。
【００２３】
以上のパケット通信制御システムは、実際には例えば、図４に示されるような通信システムに適用される。つまり、クライアント２は、複数（１〜Ｎ）設けられており、ネットワーク２０−２を介してパケット通信制御装置１に接続されている。パケット通信制御装置１は、上記ネットワーク２０−２以外にネットワーク２０−１に接続されている。ネットワーク２０−１には、１または２以上のサーバ、１または２以上のデータベースが接続され、また、ルータ１５を介して１または２以上の外部ネットワークが接続されている。
【００２４】
以上のように構成されたシステムにおいて、各クライアント２が複数のユーザによって共用されており、パケット通信制御装置１のＣＰＵが図５に示されるフローチャートに対応するプログラムを実行して認証手段１０として機能する。つまり、各クライアント２においてユーザが、例えば、ユーザＩＤ「User1 」及びパスワード「f3j230jk」を入力すると、これを取り込む（Ｓ１）。
【００２５】
上記のユーザＩＤ及びパスワードの入力は、図６に示されるようなログイン画面において行われる。ユーザＩＤ及びパスワードの文字入力を行った後に、マウスを用いるなどして「LOGIN 」の部分を指示する。ユーザＩＤ及びパスワードを受け取ったパケット通信制御装置１のＣＰＵは、ユーザＩＤ「User1 」をキーとしてユーザデータベース７内のアクセス権限テーブル７１のサーチを行い（Ｓ２）、対応する登録がなされているか否か検出する（Ｓ３）。この例では、ユーザＩＤ「User1 」がアクセス権限テーブル７１に登録されているので、ステップＳ３においてＹＥＳへ分岐し、ユーザデータベース７内のアクセス権限テーブル７１の上記ユーザＩＤ「User1 」に対応して登録されているパスワードを取得し（Ｓ４）、これと上記でクライアント２から送られてきたパスワードを比較して、（Ｓ５）パスワードが正しいか否かを検出する（Ｓ６）。ここでは、両方のパスワードが「f3j230jk」であり、一致するので、ステップ６においてＹＥＳへ分岐して認証成功となり、次の処理へと進む。一方、ユーザＩＤが正しくなかった場合、またはパスワードが正しくなかった場合には、警告記録が実行される（Ｓ７）。警告記録では、図１の認証手段１０が警告記録手段５に対し、例えば、日時、クライアントの識別情報、使用されたユーザＩＤ、パスワード等が渡され、これらはログ形式で記憶され、例えば、入出力手段４を構成するＣＲＴ表示装置に警告表示を行ったり、図示せぬ他の監視端末にメールを送るなどの処理行う。また、パケット通信制御装置１のＣＰＵは、クライアント２へ要求エラーの通知を返送し、クライアント２のＣＲＴ表示装置にエラー表示が行われる。
【００２６】
ユーザ認証が成功すると、パケット通信制御装置１のＣＰＵは、図７に示されるフローチャートに対応するプログラムを実行して制御手段９として機能する。即ち、ユーザ認証に次いで、ＣＰＵはクライアント２のＩＰアドレスを取得する（Ｓ１１）。このＩＰアドレス取得は、例えば、ソケット（socket）を用いることにより実現されている。ＩＰアドレスを取得すると、ＣＰＵはユーザデータベース７内のユーザアクセステーブル７２をサーチし、当該ＩＰアドレスが既登録であるか否かを検出する（Ｓ１２）。既登録でなければ、ユーザＩＤと当該ＩＰアドレスをペアにして図３に示されるようにユーザアクセステーブル７２に登録する。一方、取得したＩＰアドレスがユーザアクセステーブル７２に既登録である場合には、不正ログインとして警告記録が実行される（Ｓ１４）。この処理は、図５におけるステップＳ７において説明した処理と基本的に同一である。また、パケット通信制御装置１のＣＰＵは、クライアント２へログインエラーの通知を返送し、クライアント２のＣＲＴ表示装置にエラー表示が行われる。
【００２７】
パケット通信制御装置１の例えば主メモリには、図８に示されるようなフィルタリング規則情報作成用のデータテーブルが用意されている。つまり、アクセス対象に対応して、そのＩＰアドレス、フィルタリング規則例が記憶されている。フィルタリング規則例の「ｘｘｘｘ・・・」の部分に、クライアント２のＩＰアドレスをセットすることによりフィルタリング規則を作成することができる。
【００２８】
パケット通信制御装置１のＣＰＵが図８に示されるフローチャートに対応するプログラムを実行してフィルタリング規則生成手段８として機能する。即ち、図７の登録が終了すると、アクセス権限テーブル７１のユーザＩＤ「User1 」に対応して記憶されているアクセス権限情報の取得を行う（Ｓ１５）。ここでは、アクセス権限として、「サーバ＃１、データベース」をアクセスできることを示す情報が取得される。次に、ＣＰＵ２はＩＰアドレスを取得し（Ｓ１６）、アクセス権限に応じたフィルタリング規則情報の生成を行い（Ｓ１７）、規則生成を終了する。
【００２９】
上記において、図９のフローチャート右に示されるように、アクセス権限情報として「サーバ＃１」（ＩＰアドレス＝133.145.121.101 ）が得られ、クライアント２のＩＰアドレスとして（ＩＰアドレス＝133.113.194.121 ）が取得されると、図８のデータテーブルからフィルタリング規則例（pass xxx.xxx.xxx.xxx to 133.145.121.101 ）から、サーバ＃１に対するフィルタリング規則（pass 133.113.194.121 to 133.145.121.101 ）が生成される。このフィルタリング規則は、クライアント２からサーバ＃１に対するアクセスが許容されていることを示す。ここでは示さないが、アクセス権限に基づきクライアント２からデータベースに対するアクセスが許容されていることを示すフィルタリング規則情報も同様に生成される。
【００３０】
なお、この実施の形態では、許容する内容をフィルタリング規則情報として示したが、これ以外の資源に対するアクセスは禁止されている。また、禁止する内容をフィルタリング規則情報としても良い。例えば、クライアント２からサーバ＃２に対するアクセスが禁止されていることを示すフィルタリング規則情報を生成し、これ以外は許可されていることとする。
【００３１】
上記のようにして生成されたフィルタリング規則情報は、クライアント２に送られフィルタリング処理手段１２がこれを用いて処理を行う。即ち、クライアント２のＣＰＵは、図１０に示すフローチャートによりフィルタリング処理手段１２として機能する。即ち、クライアント２において通信実行手段１１から送信するパケットが発生するのを待ち（Ｓ２１）、パケットが到来すると、このパケットの宛先ＩＰアドレスを抽出する（Ｓ２２）。この宛先ＩＰアドレスをキーとしてフィルタリング規則情報のリストをサーチし（Ｓ２３）、フィルタリング規則情報のリストに該当するＩＰアドレスを宛先として含むものがあるか否かを検出する（Ｓ２４）。ここで、該当の規則があれば、パケットのアクセス先が規則にマッチしているか否かを判定し（Ｓ２５）、規則にマッチしている時には、パケットを通過させる（Ｓ２６）。
【００３２】
更に、ステップＳ２４において該当する規則が検出されなかった場合、または、ステップＳ２５において規則にマッチしていないことが検出された場合には、警告記録が実行される（Ｓ２７）。警告記録では、図１のフィルタリング処理手段１２が制御手段９を介して警告記録手段５に対し、例えば、日時、クライアントの識別情報（ＩＰアドレス）、宛先アドレス等が渡され、これらはログ形式で記憶され、例えば、入出力手段４を構成するＣＲＴ表示装置に警告表示を行ったり、図示せぬ他の監視端末にメールを送るなどの処理行う。また、クライアント２では、パケットが廃棄され、ステップＳ２１へ戻り処理が行われる。
【００３３】
以上のようにして、ログインから必要なデータ（パケット）の送信の処理が行われ、ログアウトとなる。すると、パケット通信制御装置１のＣＰＵは、図１１のフローチャートにより制御手段９としてフィルタリング規則情報の削除処理を行う。即ち、ログアウトによりログインの場合と同様に通知を受けてログアウトを検出し（Ｓ３１）、ログインの場合と同様に、例えば、ソケット（socket）を用いて当該ユーザが用いているクライアント２からＩＰアドレスを取得する（Ｓ３２）。そして、このＩＰアドレスをキーとしてクライアント２のフィルタリング規則情報リストから当該ＩＰアドレスに係る規則情報を削除し（Ｓ３３）、ユーザデータベース７内のユーザアクセステーブル７２をサーチし、当該ＩＰアドレスに係る登録を削除する（Ｓ３４）。
【００３４】
上記実施の形態のシステムによりコンピュータ資源の有効利用（独占の禁止）を図ることができる。つまり、従来、ネットワーク管理手法ではクライアントに対するアクセス規則が固定的に割り当てられていたため、クライアントのＩＰアドレスは固定的に与えられていた。しかし本実施の形態によれば、アクセス規則が動的に生成し、適用し、削除するため、クライアントのＩＰアドレスも動的に割り当てることが可能となる。これにより複数のクライアントによるコンピュータ資源の共有利用が可能となる。
【００３５】
また、セキュリティーの強化を図ることが可能である。つまり、現代のコンピュータシステムにおいてもっとも恐ろしいのがシステムの不正使用及び不法侵入である。本実施の形態により、少なくとも登録ユーザ以外の利用を締め出すことができる。また登録ユーザに関しても、ＴＣＰ／ＩＰプロトコルに準じたプロトコルを利用する限り、資源の不正使用を防ぐことができる。
【００３６】
更に、システムの多様性を実現することができる。即ち、本実施の形態によれば、クライアントのＩＰアドレスを動的に割り当てることが可能になることは前述したが、これによりシステムの多様性を実現できる。従来のように固定的にＩＰアドレスを割り当てる必要がないため、システム構成の変更、ユーザの使用するクライアントマシンの変更、新たなサービスの追加など多様なシステムの実現を可能にする。
【００３７】
更に、ぺアレンタルコントロールの実現を図ることができる。即ち、近年話題となりつつあるぺアレンタルコントロールも、本実施の形態を応用して実現可能である。これはユーザ毎にアクセスコントロールを行つているからである。この機能の実現により、より社会性の高いシステムを構築することが可能となり、より多くの顧客を確保することを可能にする。
【００３８】
なお、上記の実施の形態では、クライアントにフィルタリング処理手段を設けたが、他の実施の形態では、図４から明らかなように、クライアントからのパケットが全てパケット通信制御装置を通過するように構成し、パケット通信制御装置にフィルタリング処理手段を設ける。このように構成すると、上記実施の形態における効果と同様の効果を奏し、また、クライアントに変更を加えることなく、上記効果を得ることができる。
【００３９】
【発明の効果】
以上説明したように請求項１に記載のパケット通信制御システムによれば、ユーザ識別情報に基づき対応するアクセス範囲情報からネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報が生成され、このフィルタリング規則情報を用いて前記ユーザが送出するパケットの通過可否制御がなされるので、ユーザ毎にアクセス範囲を限定でき、適切なアクセスがなされることを保証する。また、ユーザが用いている端末から経路制御アドレス及びユーザ識別情報を取得して第２のテーブルにおける既登録の有無を判定し、既登録がない場合にフィルタリング規則情報の生成を行うので、同一の経路制御アドレスを用いた第２番目以降のユーザからの不正アクセスを防止することができる。
【００４１】
以上説明したように請求項２に記載のパケット通信制御システムによれば、ユーザからネットワークに対するアクセス終了の通知があると、フィルタリング処理手段によるパケットの通過可否制御を終了させて復旧がなされるので、無用となった規則による処理を適切に終了させることができる。
【００４２】
以上説明したように請求項３に記載のパケット通信制御システムによれば、ユーザから送出されるパスワード及びユーザ識別情報を取得してユーザ認証がなされるので、不正なアクセスを禁止できる。
【００４３】
以上説明したように請求項４に記載のパケット通信制御システムによれば、同一の経路制御アドレスを用いた複数ユーザからの不正アクセスの場合に、ユーザに対して要求のエラー通知が返送され、また、前記警告記録手段に記録がなされるので、不正アクセスが生じた原因等を追及することができる。
【００４４】
以上説明したように請求項５に記載のパケット通信制御システムによれば、不正なパスワードを用いたアクセスがあると、ユーザに対して要求のエラー通知が返送され、また、前記警告記録手段に記録がなされるので、不正なパスワードを用いたアクセスの原因等を追及することができる。
【００４５】
以上説明したように請求項６に記載のパケット通信制御装置によれば、ユーザ識別情報に基づき対応するアクセス範囲情報からネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報が生成され、このフィルタリング規則情報を用いて前記ユーザが送出するパケットの通過可否制御がなされるので、ユーザ毎にアクセス範囲を限定でき、適切なアクセスがなされることを保証する。また、ユーザが用いている端末から経路制御アドレス及びユーザ識別情報を取得して第２のテーブルにおける既登録の有無を判定し、既登録がない場合にフィルタリング規則情報の生成を行うので、同一の経路制御アドレスを用いた第２番目以降のユーザからの不正アクセスを防止することができる。
【００４７】
以上説明したように請求項７に記載のパケット通信制御装置によれば、ユーザからネットワークに対するアクセス終了の通知があると、フィルタリング処理手段によるパケットの通過可否制御を終了させて復旧がなされるので、無用となった規則による処理を適切に終了させることができる。
【図面の簡単な説明】
【図１】本発明の実施の形態に係るパケット通信システムの構成図。
【図２】本発明の実施の形態に係るパケット通信システムに備えられるアクセス権限テーブルの内容を示す図。
【図３】本発明の実施の形態に係るパケット通信システムに備えられるユーザアクセステーブルの内容を示す図。
【図４】本発明の実施の形態に係るパケット通信システムの具体例の構成図。
【図５】本発明の実施の形態に係るパケット通信システムのユーザ認証動作を説明するためのフローチャート。
【図６】本発明の実施の形態に係るパケット通信システムのクライアントにおけるログイン画面を示す図。
【図７】本発明の実施の形態に係るパケット通信システムのユーザアクセステーブルへの登録動作を説明するためのフローチャート。
【図８】フィルタリング規則作成のためのデータテーブルの内容を示す図。
【図９】本発明の実施の形態に係るパケット通信システムのフィルタリング規則生成動作を説明するためのフローチャート。
【図１０】本発明の実施の形態に係るパケット通信システムのフィルタリング動作を説明するためのフローチャート。
【図１１】本発明の実施の形態に係るパケット通信システムのログアウト時の動作を説明するためのフローチャート。
【符号の説明】
１ パケット通信制御装置 ２ クライアント
３ データ処理部 ４ 入出力手段
５ 警告記録手段 ６ データ管理手段
７ ユーザデータベース ８ フィルタリング規則生成手段
９ 制御手段 １０ ユーザ認証手段
１１ 通信実行手段 １１ フィルタリング処理手段
２０ ネットワーク
【発明の属する技術分野】
この発明は、ネットワークの各種リソースをユーザがアクセスする場合のアクセス許可不許可制御に好適なパケット通信制御システム及びパケット通信制御装置に関するものである。
【０００２】
【従来の技術】
近年、ネットワーク技術の発達とネットワーク構成機器の価格低下により、ネットワーク環境は規模的に拡大の一途を辿っている。しかしその一方で、ネットワーク環境を利用したコンピュータ資源への不正アクセス、破壊行為等の犯罪も増加しつつある。この種の犯罪から個人及び企業の資源を守るため、セキュリティーの向上が危急の課題となりつつある。またサービスの種類によっては特定のユーザにしかアクセスを許さないものや、子供の情操教育上好ましくないものを見せないようにするぺアレンタルコントロールなどの機能も実現が望まれるようになってきた。
【０００３】
ＴＣＰ／ＩＰプロトコルに準拠したパケットを、パケットの持つＩＰアドレスによって単純にフィルタリングする機構としては、既にいくつかの製品が知られており、これらを利用しているシステムも増加している。これらの製品を利用することで、サービスを提供するシステム及び外部ネットワークへのアクセスを制限し、システムが破壊されるのを防ぐことを可能にすると同時に、ＣＰＵ、メモリ、ディスク等のコンピュータ資源の不正使用を防ぐことが可能になる。
【０００４】
【発明が解決しようとする課題】
しかしこれらの製品は、システム及びネットワークを構成する機器が生成するパケットに含まれるＩＰアドレスが一意であること、それら構成機器のアクセス権限（範囲）が変化しないことを前提としている。このため、システムの構成は固定的なものになりがちとなり、構成機器や構成そのものが変更された場合には、システム管理者が多くの設定の変更を行う必要がある。また、この設定変更の間、システムは利用不可能となり、サービスを提供する側にとって大きな損失となる。
【０００５】
コンピュータが如何に普及した現在といえども、一台のコンピュータを一人のユーザが独占的に使用することは少なく、家庭内においても企業内においても一台のコンピュータを複数のユーザが利用しているケースが多い。また各ユーザはシステム及びネットワークに対して各々のアクセス権限を有している。このように多様なアクセス権限を有する複数ユーザによる一台のコンピュータの利用を認める場合、ユーザの利用するコンピユータ（以下、クライアントと称する）が送り出すパケットのシステム及びネットワークに対する通過可否は、時事刻々と変化する。
【０００６】
更にコンピュータの普及とネットワーク技術の進歩、それに伴うネットワーク機器の価格低下により、ネットワークに接続されるクライアントの数は増大し、ネットワークの規模は肥大化しつつある。このような状況において、ネットワーク上の構成機器の識別子であるＩＰアドレスが枯渇しつつある。この結果、今まで各構成機器に固定的に割り振られていたＩＰアドレスを動的に割り振るような環境も出現してきた。この環境下では、あるクライアントに割り当てられるＩＰアドレスは一意ではありえない。
【０００７】
現在市場に出回っているパケットフィルタリング製品では、以上のように複数のユーザによる一台のクライアントの利用、各ユーザの有するアクセス権限への対応、動的に割り振られるＩＰアドレス等に対応することは不可能である。またシステム及びネットワークの構成及び構成機器の変更を動的に反映させることも不可能である。
【０００８】
本発明は上述したような従来のネットワーク管理に関する問題点を解決せんとしてなされたもので、その目的は以下の課題を解決することのできるパケット通信制御システム及びパケット通信制御装置を提供することである。
（ａ）ユーザ毎に異なるアクセス権限に対応する。
（ｂ）同一クライアントから異なるユーザが利用することを許可する。
（ｃ）アクセス権限に応じたフィルタリング規則を生成する。
（ｄ）生成したフィルタリング規則により動的にフィルタリング処理を行う。
（ｅ）アクセス権限のないパケットのコンピュータ資源への不正アクセスを監視し、防止する。
（ｆ）不要となったフィルタリング規則を動的に削除する。
【０００９】
【課題を解決するための手段】
本発明の請求項１に記載のパケット通信制御システムは、各ユーザのネットワークにおけるアクセス範囲情報とユーザ識別情報が対応付けられた第１のテーブル、ユーザが用いている端末から取得したネットワークにおいて経路制御に用いられる経路制御アドレスとユーザ識別情報が対応付けられた第２のテーブルが記憶されたデータベースと、ユーザが用いている端末からユーザ識別情報を取得して、このユーザ識別情報に基づき前記データベースを参照して対応するアクセス範囲情報から前記ネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報を生成するフィルタリング規則生成手段と、ユーザから前記ネットワークに対するアクセス要求があると、このユーザが用いている端末から経路制御アドレス及びユーザ識別情報を取得して第２のテーブルにおける既登録の有無を判定し、既登録がない場合には、前記取得した経路制御アドレス及びユーザ識別情報を前記第２のテーブルに書き込むと共に、前記フィルタリング規則生成手段によるフィルタリング規則情報の生成を指示する制御手段と、前記フィルタリング規則生成手段により生成されたフィルタリング規則情報を用いてユーザが送出するパケットの通過可否を制御するフィルタリング処理手段とを具備することを特徴とする。これによって、ユーザ識別情報に基づき対応するアクセス範囲情報からネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報が生成され、このフィルタリング規則情報を用いて前記ユーザが送出するパケットの通過可否制御がなされる。これによって、同一の経路制御アドレスを用いた第２番目以降のユーザからの不正アクセスを防止することができる。
【００１１】
本発明の請求項２に記載のパケット通信制御システムでは、前記制御手段は、ユーザからネットワークに対するアクセス終了の通知があると、このユーザが用いている端末から経路制御アドレスを取得して前記第２のテーブルにおける該当の登録を抹消し、前記フィルタリング処理手段によるパケットの通過可否制御を終了させることを特徴とする。これにより、ユーザからネットワークに対するアクセス終了の通知があると、フィルタリング処理手段によるパケットの通過可否制御を終了させて復旧がなされる。
【００１２】
本発明の請求項３に記載のパケット通信制御システムでは、前記第１のテーブルには、更にユーザ識別情報に対応してパスワードが記憶されており、ユーザからネットワークに対するアクセス要求があると、このユーザから送出されるパスワード及びユーザ識別情報を取得して第１のテーブルにおける登録と比較してユーザ認証を行い、パスワードが一致した場合に、前記制御手段による処理へ移行させるユーザ認証手段を具備することを特徴とする。これにより、ユーザから送出されるパスワード及びユーザ識別情報を取得してユーザ認証がなされる。
【００１３】
本発明の請求項４に記載のパケット通信制御システムでは、不正なアクセス要求を記録する警告記録手段が備えられ、前記制御手段は、既登録ありを検出した場合には、ユーザに対して要求のエラー通知を返送すると共に、前記警告記録手段に記録すべき情報を送出することを特徴とする。これにより、同一の経路制御アドレスを用いた複数ユーザからの不正アクセスの場合に、ユーザに対して要求のエラー通知が返送され、また、前記警告記録手段に記録がなされる。
【００１４】
本発明の請求項５に記載のパケット通信制御システムでは、不正なアクセス要求を記録する警告記録手段が備えられ、前記ユーザ認証手段は、パスワードが一致しない場合には、ユーザに対して要求のエラー通知を返送すると共に、前記警告記録手段に記録すべき情報を送出することを特徴とする。これにより、不正なパスワードを用いたアクセスがあると、ユーザに対して要求のエラー通知が返送され、また、前記警告記録手段に記録がなされる。
【００１５】
本発明の請求項６に記載のパケット通信制御装置は、各ユーザのネットワークにおけるアクセス範囲情報とユーザ識別情報が対応付けられた第１のテーブル、ユーザが用いている端末から取得したネットワークにおいて経路制御に用いられる経路制御アドレスとユーザ識別情報が対応付けられた第２のテーブルが記憶されたデータベースと、ユーザが用いている端末からユーザ識別情報を取得して、このユーザ識別情報に基づき前記データベースを参照して対応するアクセス範囲情報から前記ネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報を生成するフィルタリング規則生成手段と、ユーザからネットワークに対するアクセス要求があると、このユーザが用いている端末から経路制御アドレス及びユーザ識別情報を取得して前記第２のテーブルにおける既登録の有無を判定し、既登録がない場合には、前記取得した経路制御アドレス及びユーザ識別情報を前記第２のテーブルに書き込むと共に、前記フィルタリング規則生成手段によるフィルタリング規則情報の生成を指示する制御手段とを具備し、前記フィルタリング規則生成手段により生成されたフィルタリング規則情報をユーザが用いている端末へ送出して、当該端末に前記ユーザが送出するパケットの通過可否を制御するフィルタリング処理手段を備えることを特徴とする。これによって、ユーザ識別情報に基づき対応するアクセス範囲情報からネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報が生成され、このフィルタリング規則情報をユーザの端末へ送出して、この端末においてユーザが送出するパケットの通過可否制御がなされる。これによって、同一の経路制御アドレスを用いた第２番目以降のユーザからの不正アクセスを防止することができる。
【００１７】
本発明の請求項７に記載のパケット通信制御装置では、制御手段は、ユーザからネットワークに対するアクセス終了の通知があると、このユーザが用いている端末から経路制御アドレスを取得して第２のテーブルにおける該当の登録を抹消すると共に、前記端末のフィルタリング処理手段によるパケットの通過可否制御を終了させることを特徴とする。これにより、ユーザからネットワークに対するアクセス終了の通知があると、フィルタリング処理手段によるパケットの通過可否制御を終了させて復旧がなされる。
【００１８】
【発明の実施の形態】
以下添付図面を参照して本発明の実施の形態に係るパケット通信制御システム及びパケット通信制御装置を説明する。この実施の形態では、ＴＣＰ／ＩＰプロトコルに準拠したパケット通信システムを例とする。図１には、パケット通信制御システムの構成図が示されている。このシステムには、パケット通信制御装置１と、コンピュータにより構成されるクライアント（端末）２とが備えられている。
【００１９】
パケット通信制御装置１は、ＣＰＵを有するワークステーションやオフィスコンピュータ等により構成され、キーボード入力装置やマウス等の入力機器とＣＲＴ表示装置等の出力機器により構成される入出力手段４を含むデータ処理部３が設けられている。データ処理部３には、更に、警告記録手段５、データ管理手段６が備えられている。
【００２０】
また、パケット通信制御装置１には、ユーザデータベース７が設けられている。ユーザデータベース７には、各ユーザのネットワークにおけるアクセス権限（範囲）情報とユーザ識別情報が対応付けられた図２に示すアクセス権限情報テーブル（第１のテーブル）７１、ユーザが用いている端末から取得したネットワークにおいて経路制御に用いられる経路制御アドレス（ＩＰアドレス）とユーザ識別情報（ユーザＩＤ）が対応付けられた図３に示すユーザアクセステーブル（第２のテーブル）７２が記憶されている。アクセス権限テーブル７１の記憶内容は、ユーザからの申し出に基づいてシステム管理者が入出力手段４から入力して、データ管理手段６がユーザデータベース７内に記憶する。
【００２１】
パケット通信制御装置１には、フィルタリング規則情報を生成するフィルタリング規則生成手段８、フィルタリング規則生成手段８の制御等を行う制御手段９、更に、パスワードに基づきユーザの認証を行うユーザ認証手段１０が備えられている。
【００２２】
一方、クライアント２には、通信を行う通信実行手段１１、パケット通信制御装置１により生成されたフィルタリング規則情報に基づき送出するパケットの通過可否を制御するフィルタリング処理手段１２が備えられている。
【００２３】
以上のパケット通信制御システムは、実際には例えば、図４に示されるような通信システムに適用される。つまり、クライアント２は、複数（１〜Ｎ）設けられており、ネットワーク２０−２を介してパケット通信制御装置１に接続されている。パケット通信制御装置１は、上記ネットワーク２０−２以外にネットワーク２０−１に接続されている。ネットワーク２０−１には、１または２以上のサーバ、１または２以上のデータベースが接続され、また、ルータ１５を介して１または２以上の外部ネットワークが接続されている。
【００２４】
以上のように構成されたシステムにおいて、各クライアント２が複数のユーザによって共用されており、パケット通信制御装置１のＣＰＵが図５に示されるフローチャートに対応するプログラムを実行して認証手段１０として機能する。つまり、各クライアント２においてユーザが、例えば、ユーザＩＤ「User1 」及びパスワード「f3j230jk」を入力すると、これを取り込む（Ｓ１）。
【００２５】
上記のユーザＩＤ及びパスワードの入力は、図６に示されるようなログイン画面において行われる。ユーザＩＤ及びパスワードの文字入力を行った後に、マウスを用いるなどして「LOGIN 」の部分を指示する。ユーザＩＤ及びパスワードを受け取ったパケット通信制御装置１のＣＰＵは、ユーザＩＤ「User1 」をキーとしてユーザデータベース７内のアクセス権限テーブル７１のサーチを行い（Ｓ２）、対応する登録がなされているか否か検出する（Ｓ３）。この例では、ユーザＩＤ「User1 」がアクセス権限テーブル７１に登録されているので、ステップＳ３においてＹＥＳへ分岐し、ユーザデータベース７内のアクセス権限テーブル７１の上記ユーザＩＤ「User1 」に対応して登録されているパスワードを取得し（Ｓ４）、これと上記でクライアント２から送られてきたパスワードを比較して、（Ｓ５）パスワードが正しいか否かを検出する（Ｓ６）。ここでは、両方のパスワードが「f3j230jk」であり、一致するので、ステップ６においてＹＥＳへ分岐して認証成功となり、次の処理へと進む。一方、ユーザＩＤが正しくなかった場合、またはパスワードが正しくなかった場合には、警告記録が実行される（Ｓ７）。警告記録では、図１の認証手段１０が警告記録手段５に対し、例えば、日時、クライアントの識別情報、使用されたユーザＩＤ、パスワード等が渡され、これらはログ形式で記憶され、例えば、入出力手段４を構成するＣＲＴ表示装置に警告表示を行ったり、図示せぬ他の監視端末にメールを送るなどの処理行う。また、パケット通信制御装置１のＣＰＵは、クライアント２へ要求エラーの通知を返送し、クライアント２のＣＲＴ表示装置にエラー表示が行われる。
【００２６】
ユーザ認証が成功すると、パケット通信制御装置１のＣＰＵは、図７に示されるフローチャートに対応するプログラムを実行して制御手段９として機能する。即ち、ユーザ認証に次いで、ＣＰＵはクライアント２のＩＰアドレスを取得する（Ｓ１１）。このＩＰアドレス取得は、例えば、ソケット（socket）を用いることにより実現されている。ＩＰアドレスを取得すると、ＣＰＵはユーザデータベース７内のユーザアクセステーブル７２をサーチし、当該ＩＰアドレスが既登録であるか否かを検出する（Ｓ１２）。既登録でなければ、ユーザＩＤと当該ＩＰアドレスをペアにして図３に示されるようにユーザアクセステーブル７２に登録する。一方、取得したＩＰアドレスがユーザアクセステーブル７２に既登録である場合には、不正ログインとして警告記録が実行される（Ｓ１４）。この処理は、図５におけるステップＳ７において説明した処理と基本的に同一である。また、パケット通信制御装置１のＣＰＵは、クライアント２へログインエラーの通知を返送し、クライアント２のＣＲＴ表示装置にエラー表示が行われる。
【００２７】
パケット通信制御装置１の例えば主メモリには、図８に示されるようなフィルタリング規則情報作成用のデータテーブルが用意されている。つまり、アクセス対象に対応して、そのＩＰアドレス、フィルタリング規則例が記憶されている。フィルタリング規則例の「ｘｘｘｘ・・・」の部分に、クライアント２のＩＰアドレスをセットすることによりフィルタリング規則を作成することができる。
【００２８】
パケット通信制御装置１のＣＰＵが図８に示されるフローチャートに対応するプログラムを実行してフィルタリング規則生成手段８として機能する。即ち、図７の登録が終了すると、アクセス権限テーブル７１のユーザＩＤ「User1 」に対応して記憶されているアクセス権限情報の取得を行う（Ｓ１５）。ここでは、アクセス権限として、「サーバ＃１、データベース」をアクセスできることを示す情報が取得される。次に、ＣＰＵ２はＩＰアドレスを取得し（Ｓ１６）、アクセス権限に応じたフィルタリング規則情報の生成を行い（Ｓ１７）、規則生成を終了する。
【００２９】
上記において、図９のフローチャート右に示されるように、アクセス権限情報として「サーバ＃１」（ＩＰアドレス＝133.145.121.101 ）が得られ、クライアント２のＩＰアドレスとして（ＩＰアドレス＝133.113.194.121 ）が取得されると、図８のデータテーブルからフィルタリング規則例（pass xxx.xxx.xxx.xxx to 133.145.121.101 ）から、サーバ＃１に対するフィルタリング規則（pass 133.113.194.121 to 133.145.121.101 ）が生成される。このフィルタリング規則は、クライアント２からサーバ＃１に対するアクセスが許容されていることを示す。ここでは示さないが、アクセス権限に基づきクライアント２からデータベースに対するアクセスが許容されていることを示すフィルタリング規則情報も同様に生成される。
【００３０】
なお、この実施の形態では、許容する内容をフィルタリング規則情報として示したが、これ以外の資源に対するアクセスは禁止されている。また、禁止する内容をフィルタリング規則情報としても良い。例えば、クライアント２からサーバ＃２に対するアクセスが禁止されていることを示すフィルタリング規則情報を生成し、これ以外は許可されていることとする。
【００３１】
上記のようにして生成されたフィルタリング規則情報は、クライアント２に送られフィルタリング処理手段１２がこれを用いて処理を行う。即ち、クライアント２のＣＰＵは、図１０に示すフローチャートによりフィルタリング処理手段１２として機能する。即ち、クライアント２において通信実行手段１１から送信するパケットが発生するのを待ち（Ｓ２１）、パケットが到来すると、このパケットの宛先ＩＰアドレスを抽出する（Ｓ２２）。この宛先ＩＰアドレスをキーとしてフィルタリング規則情報のリストをサーチし（Ｓ２３）、フィルタリング規則情報のリストに該当するＩＰアドレスを宛先として含むものがあるか否かを検出する（Ｓ２４）。ここで、該当の規則があれば、パケットのアクセス先が規則にマッチしているか否かを判定し（Ｓ２５）、規則にマッチしている時には、パケットを通過させる（Ｓ２６）。
【００３２】
更に、ステップＳ２４において該当する規則が検出されなかった場合、または、ステップＳ２５において規則にマッチしていないことが検出された場合には、警告記録が実行される（Ｓ２７）。警告記録では、図１のフィルタリング処理手段１２が制御手段９を介して警告記録手段５に対し、例えば、日時、クライアントの識別情報（ＩＰアドレス）、宛先アドレス等が渡され、これらはログ形式で記憶され、例えば、入出力手段４を構成するＣＲＴ表示装置に警告表示を行ったり、図示せぬ他の監視端末にメールを送るなどの処理行う。また、クライアント２では、パケットが廃棄され、ステップＳ２１へ戻り処理が行われる。
【００３３】
以上のようにして、ログインから必要なデータ（パケット）の送信の処理が行われ、ログアウトとなる。すると、パケット通信制御装置１のＣＰＵは、図１１のフローチャートにより制御手段９としてフィルタリング規則情報の削除処理を行う。即ち、ログアウトによりログインの場合と同様に通知を受けてログアウトを検出し（Ｓ３１）、ログインの場合と同様に、例えば、ソケット（socket）を用いて当該ユーザが用いているクライアント２からＩＰアドレスを取得する（Ｓ３２）。そして、このＩＰアドレスをキーとしてクライアント２のフィルタリング規則情報リストから当該ＩＰアドレスに係る規則情報を削除し（Ｓ３３）、ユーザデータベース７内のユーザアクセステーブル７２をサーチし、当該ＩＰアドレスに係る登録を削除する（Ｓ３４）。
【００３４】
上記実施の形態のシステムによりコンピュータ資源の有効利用（独占の禁止）を図ることができる。つまり、従来、ネットワーク管理手法ではクライアントに対するアクセス規則が固定的に割り当てられていたため、クライアントのＩＰアドレスは固定的に与えられていた。しかし本実施の形態によれば、アクセス規則が動的に生成し、適用し、削除するため、クライアントのＩＰアドレスも動的に割り当てることが可能となる。これにより複数のクライアントによるコンピュータ資源の共有利用が可能となる。
【００３５】
また、セキュリティーの強化を図ることが可能である。つまり、現代のコンピュータシステムにおいてもっとも恐ろしいのがシステムの不正使用及び不法侵入である。本実施の形態により、少なくとも登録ユーザ以外の利用を締め出すことができる。また登録ユーザに関しても、ＴＣＰ／ＩＰプロトコルに準じたプロトコルを利用する限り、資源の不正使用を防ぐことができる。
【００３６】
更に、システムの多様性を実現することができる。即ち、本実施の形態によれば、クライアントのＩＰアドレスを動的に割り当てることが可能になることは前述したが、これによりシステムの多様性を実現できる。従来のように固定的にＩＰアドレスを割り当てる必要がないため、システム構成の変更、ユーザの使用するクライアントマシンの変更、新たなサービスの追加など多様なシステムの実現を可能にする。
【００３７】
更に、ぺアレンタルコントロールの実現を図ることができる。即ち、近年話題となりつつあるぺアレンタルコントロールも、本実施の形態を応用して実現可能である。これはユーザ毎にアクセスコントロールを行つているからである。この機能の実現により、より社会性の高いシステムを構築することが可能となり、より多くの顧客を確保することを可能にする。
【００３８】
なお、上記の実施の形態では、クライアントにフィルタリング処理手段を設けたが、他の実施の形態では、図４から明らかなように、クライアントからのパケットが全てパケット通信制御装置を通過するように構成し、パケット通信制御装置にフィルタリング処理手段を設ける。このように構成すると、上記実施の形態における効果と同様の効果を奏し、また、クライアントに変更を加えることなく、上記効果を得ることができる。
【００３９】
【発明の効果】
以上説明したように請求項１に記載のパケット通信制御システムによれば、ユーザ識別情報に基づき対応するアクセス範囲情報からネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報が生成され、このフィルタリング規則情報を用いて前記ユーザが送出するパケットの通過可否制御がなされるので、ユーザ毎にアクセス範囲を限定でき、適切なアクセスがなされることを保証する。また、ユーザが用いている端末から経路制御アドレス及びユーザ識別情報を取得して第２のテーブルにおける既登録の有無を判定し、既登録がない場合にフィルタリング規則情報の生成を行うので、同一の経路制御アドレスを用いた第２番目以降のユーザからの不正アクセスを防止することができる。
【００４１】
以上説明したように請求項２に記載のパケット通信制御システムによれば、ユーザからネットワークに対するアクセス終了の通知があると、フィルタリング処理手段によるパケットの通過可否制御を終了させて復旧がなされるので、無用となった規則による処理を適切に終了させることができる。
【００４２】
以上説明したように請求項３に記載のパケット通信制御システムによれば、ユーザから送出されるパスワード及びユーザ識別情報を取得してユーザ認証がなされるので、不正なアクセスを禁止できる。
【００４３】
以上説明したように請求項４に記載のパケット通信制御システムによれば、同一の経路制御アドレスを用いた複数ユーザからの不正アクセスの場合に、ユーザに対して要求のエラー通知が返送され、また、前記警告記録手段に記録がなされるので、不正アクセスが生じた原因等を追及することができる。
【００４４】
以上説明したように請求項５に記載のパケット通信制御システムによれば、不正なパスワードを用いたアクセスがあると、ユーザに対して要求のエラー通知が返送され、また、前記警告記録手段に記録がなされるので、不正なパスワードを用いたアクセスの原因等を追及することができる。
【００４５】
以上説明したように請求項６に記載のパケット通信制御装置によれば、ユーザ識別情報に基づき対応するアクセス範囲情報からネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報が生成され、このフィルタリング規則情報を用いて前記ユーザが送出するパケットの通過可否制御がなされるので、ユーザ毎にアクセス範囲を限定でき、適切なアクセスがなされることを保証する。また、ユーザが用いている端末から経路制御アドレス及びユーザ識別情報を取得して第２のテーブルにおける既登録の有無を判定し、既登録がない場合にフィルタリング規則情報の生成を行うので、同一の経路制御アドレスを用いた第２番目以降のユーザからの不正アクセスを防止することができる。
【００４７】
以上説明したように請求項７に記載のパケット通信制御装置によれば、ユーザからネットワークに対するアクセス終了の通知があると、フィルタリング処理手段によるパケットの通過可否制御を終了させて復旧がなされるので、無用となった規則による処理を適切に終了させることができる。
【図面の簡単な説明】
【図１】本発明の実施の形態に係るパケット通信システムの構成図。
【図２】本発明の実施の形態に係るパケット通信システムに備えられるアクセス権限テーブルの内容を示す図。
【図３】本発明の実施の形態に係るパケット通信システムに備えられるユーザアクセステーブルの内容を示す図。
【図４】本発明の実施の形態に係るパケット通信システムの具体例の構成図。
【図５】本発明の実施の形態に係るパケット通信システムのユーザ認証動作を説明するためのフローチャート。
【図６】本発明の実施の形態に係るパケット通信システムのクライアントにおけるログイン画面を示す図。
【図７】本発明の実施の形態に係るパケット通信システムのユーザアクセステーブルへの登録動作を説明するためのフローチャート。
【図８】フィルタリング規則作成のためのデータテーブルの内容を示す図。
【図９】本発明の実施の形態に係るパケット通信システムのフィルタリング規則生成動作を説明するためのフローチャート。
【図１０】本発明の実施の形態に係るパケット通信システムのフィルタリング動作を説明するためのフローチャート。
【図１１】本発明の実施の形態に係るパケット通信システムのログアウト時の動作を説明するためのフローチャート。
【符号の説明】
１ パケット通信制御装置 ２ クライアント
３ データ処理部 ４ 入出力手段
５ 警告記録手段 ６ データ管理手段
７ ユーザデータベース ８ フィルタリング規則生成手段
９ 制御手段 １０ ユーザ認証手段
１１ 通信実行手段 １１ フィルタリング処理手段
２０ ネットワーク
Claims (7)
- 各ユーザのネットワークにおけるアクセス範囲情報とユーザ識別情報が対応付けられた第１のテーブル、ユーザが用いている端末から取得したネットワークにおいて経路制御に用いられる経路制御アドレスとユーザ識別情報が対応付けられた第２のテーブルが記憶されたデータベースと、
ユーザが用いている端末からユーザ識別情報を取得して、このユーザ識別情報に基づき前記データベースを参照して対応するアクセス範囲情報から前記ネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報を生成するフィルタリング規則生成手段と、
ユーザから前記ネットワークに対するアクセス要求があると、このユーザが用いている端末から経路制御アドレス及びユーザ識別情報を取得して第２のテーブルにおける既登録の有無を判定し、既登録がない場合には、前記取得した経路制御アドレス及びユーザ識別情報を前記第２のテーブルに書き込むと共に、前記フィルタリング規則生成手段によるフィルタリング規則情報の生成を指示する制御手段と、
前記フィルタリング規則生成手段により生成されたフィルタリング規則情報を用いてユーザが送出するパケットの通過可否を制御するフィルタリング処理手段と
を具備することを特徴とするパケット通信制御システム。 - 前記制御手段は、ユーザからネットワークに対するアクセス終了の通知があると、このユーザが用いている端末から経路制御アドレスを取得して前記第２のテーブルにおける該当の登録を抹消し、前記フィルタリング処理手段によるパケットの通過可否制御を終了させることを特徴とする請求項１に記載のパケット通信制御システム。
- 前記第１のテーブルには、更にユーザ識別情報に対応してパスワードが記憶されており、
ユーザからネットワークに対するアクセス要求があると、このユーザから送出されるパスワード及びユーザ識別情報を取得して第１のテーブルにおける登録と比較してユーザ認証を行い、パスワードが一致した場合に、前記制御手段による処理へ移行させるユーザ認証手段を
具備することを特徴とする請求項１または２に記載のパケット通信制御システム。 - 不正なアクセス要求を記録する警告記録手段が備えられ、
前記制御手段は、既登録ありを検出した場合には、ユーザに対して要求のエラー通知を返送すると共に、前記警告記録手段に記録すべき情報を送出することを特徴とする請求項１または２に記載のパケット通信制御システム。 - 不正なアクセス要求を記録する警告記録手段が備えられ、
前記ユーザ認証手段は、パスワードが一致しない場合には、ユーザに対して要求のエラー通知を返送すると共に、前記警告記録手段に記録すべき情報を送出することを特徴とする請求項３に記載のパケット通信制御システム。 - 各ユーザのネットワークにおけるアクセス範囲情報とユーザ識別情報が対応付けられた第１のテーブル、ユーザが用いている端末から取得したネットワークにおいて経路制御に用いられる経路制御アドレスとユーザ識別情報が対応付けられた第２のテーブルが記憶されたデータベースと、
ユーザが用いている端末からユーザ識別情報を取得して、このユーザ識別情報に基づき前記データベースを参照して対応するアクセス範囲情報から前記ネットワークに対して送出するパケットの通過可否を制御するためのフィルタリング規則情報を生成するフィルタリング規則生成手段と、
ユーザからネットワークに対するアクセス要求があると、このユーザが用いている端末から経路制御アドレス及びユーザ識別情報を取得して前記第２のテーブルにおける既登録の有無を判定し、既登録がない場合には、前記取得した経路制御アドレス及びユーザ識別情報を前記第２のテーブルに書き込むと共に、前記フィルタリング規則生成手段によるフィルタリング規則情報の生成を指示する制御手段とを具備し、
前記フィルタリング規則生成手段により生成されたフィルタリング規則情報をユーザ が用いている端末へ送出して、当該端末に前記ユーザが送出するパケットの通過可否を制御するフィルタリング処理手段を備えることを特徴とするパケット通信制御装置。 - 前記制御手段は、ユーザから前記ネットワークに対するアクセス終了の通知があると、このユーザが用いている端末から経路制御アドレスを取得して前記第２のテーブルにおける該当の登録を抹消すると共に、前記端末の前記フィルタリング処理手段によるパケットの通過可否制御を終了させることを特徴とする請求項６に記載のパケット通信制御装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP11346798A JP3961112B2 (ja) | 1998-04-23 | 1998-04-23 | パケット通信制御システム及びパケット通信制御装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP11346798A JP3961112B2 (ja) | 1998-04-23 | 1998-04-23 | パケット通信制御システム及びパケット通信制御装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH11308272A JPH11308272A (ja) | 1999-11-05 |
| JP3961112B2 true JP3961112B2 (ja) | 2007-08-22 |
Family
ID=14612997
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP11346798A Expired - Fee Related JP3961112B2 (ja) | 1998-04-23 | 1998-04-23 | パケット通信制御システム及びパケット通信制御装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3961112B2 (ja) |
Families Citing this family (15)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20030009887A (ko) * | 2001-07-24 | 2003-02-05 | 주식회사 케이티 | 서비스거부 공격 차단시스템 및 방법 |
| US7209962B2 (en) | 2001-07-30 | 2007-04-24 | International Business Machines Corporation | System and method for IP packet filtering based on non-IP packet traffic attributes |
| KR100441409B1 (ko) * | 2001-11-12 | 2004-07-23 | 주식회사 안철수연구소 | 바이러스 탐지 엔진을 갖는 침입 탐지 시스템 |
| KR100427179B1 (ko) * | 2001-11-22 | 2004-04-14 | 한국전자통신연구원 | 패킷 필터링을 이용한 아이에스피 보더 라우터의 공격자차단 방법 및 그 시스템 |
| KR100578503B1 (ko) * | 2001-12-13 | 2006-05-12 | 주식회사 이글루시큐리티 | 위험도 추론 침입탐지시스템 |
| KR100467746B1 (ko) * | 2002-03-26 | 2005-01-24 | 한정보통신 주식회사 | 주소 분할에 의한 다중필드 분류시스템 |
| KR20050063477A (ko) * | 2003-12-22 | 2005-06-28 | 백남균 | 네트워크 정보에 대한 보안 시스템 및 그 방법 |
| JP2007005847A (ja) * | 2005-06-21 | 2007-01-11 | Alaxala Networks Corp | ネットワークにおけるデータ伝送制御 |
| US20090178110A1 (en) * | 2006-03-03 | 2009-07-09 | Nec Corporation | Communication Control Device, Communication Control System, Communication Control Method, and Communication Control Program |
| US8316430B2 (en) * | 2006-10-06 | 2012-11-20 | Ricoh Company, Ltd. | Preventing network traffic blocking during port-based authentication |
| JP5223376B2 (ja) * | 2008-02-29 | 2013-06-26 | 日本電気株式会社 | リモートアクセスシステム、方法及びプログラム |
| JP4874386B2 (ja) * | 2009-12-25 | 2012-02-15 | キヤノンＩｔソリューションズ株式会社 | 情報処理装置、情報処理方法、及びコンピュータプログラム |
| JP4874385B2 (ja) * | 2009-12-25 | 2012-02-15 | キヤノンＩｔソリューションズ株式会社 | 情報処理装置、情報処理方法、及びコンピュータプログラム |
| JP4879364B2 (ja) * | 2011-06-27 | 2012-02-22 | キヤノンＩｔソリューションズ株式会社 | 情報処理装置、情報処理方法、及びコンピュータプログラム |
| JP2017130963A (ja) * | 2017-03-15 | 2017-07-27 | アラクサラネットワークス株式会社 | ネットワーク装置、及び、通信方法 |
-
1998
- 1998-04-23 JP JP11346798A patent/JP3961112B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JPH11308272A (ja) | 1999-11-05 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4891299B2 (ja) | Ｉｐアドレスを用いるユーザ認証システム及びその方法 | |
| JP4186987B2 (ja) | データベースアクセス制御方法、データベースアクセス制御装置、データベースアクセス制御のためのプログラム、および該プログラムを記録した記録媒体 | |
| EP2156402B1 (en) | Integrating security by obscurity with access control lists | |
| US8312522B2 (en) | Monitoring network traffic by using a monitor device | |
| JP5797060B2 (ja) | アクセス管理方法およびアクセス管理装置 | |
| JP3961112B2 (ja) | パケット通信制御システム及びパケット通信制御装置 | |
| US8024779B2 (en) | Verifying user authentication | |
| US8191131B2 (en) | Obscuring authentication data of remote user | |
| WO2011089788A1 (ja) | 機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム | |
| CN113010911A (zh) | 一种数据访问控制方法、装置及计算机可读存储介质 | |
| WO2006072994A1 (ja) | ネットワークカメラへのログイン認証システム | |
| US20100031317A1 (en) | Secure access | |
| JP2005234729A (ja) | 不正アクセス防御システム及びその方法 | |
| JP2002189646A (ja) | 中継装置 | |
| US9325679B2 (en) | Method and apparatus for communicating information between devices | |
| JP4356693B2 (ja) | メッセージ配信装置及びその方法並びにシステム及びプログラム | |
| JP4675921B2 (ja) | 情報処理システム及びコンピュータプログラム | |
| JP2010187223A (ja) | 認証サーバ | |
| JP2000172645A (ja) | サーバコンピュータ及びサーバコンピュータにおける認証情報管理方法 | |
| JP2008046875A (ja) | 通信フィルタリングシステムおよび方法 | |
| JP5912159B2 (ja) | アクセス管理方法およびアクセス管理装置 | |
| JP2016139434A (ja) | アクセス管理方法およびアクセス管理装置 | |
| JP2006252016A (ja) | ユーザ認証システム、ユーザ認証サーバ、およびユーザ認証プログラム | |
| JP4561691B2 (ja) | 通信方法、情報処理装置、およびコンピュータプログラム | |
| US20030200488A1 (en) | Method and network for containing the spread of damage from a network element subject to compromise |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20050411 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20070115 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070123 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070326 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20070515 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20070516 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100525 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110525 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110525 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120525 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120525 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130525 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |