JPH11167538A - ファイアウォールサービス提供方法 - Google Patents
ファイアウォールサービス提供方法Info
- Publication number
- JPH11167538A JPH11167538A JP10252829A JP25282998A JPH11167538A JP H11167538 A JPH11167538 A JP H11167538A JP 10252829 A JP10252829 A JP 10252829A JP 25282998 A JP25282998 A JP 25282998A JP H11167538 A JPH11167538 A JP H11167538A
- Authority
- JP
- Japan
- Prior art keywords
- rule
- dynamic
- firewall
- packet
- computer system
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0263—Rule management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/40—Network security protocols
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Business, Economics & Management (AREA)
- General Business, Economics & Management (AREA)
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
(57)【要約】
【課題】 コンピュータネットワークファイアウォール
において、与えられたルールセット全体をリロードする
ことを要求せずに、ネットワークにおいて起こるイベン
トに基づいてルールセットを修正することを可能にす
る。 【解決手段】 コンピュータネットワークファイアウォ
ールは、パケットを処理するためのアクセスルールのセ
ットに追加された動的ルールを利用する。動的ルールの
例としては、単一のセッションに対してのみ用いられる
「ワンタイム」ルール、指定された期間に対してのみ用
いられる時限ルール、および、ある条件が満たされたと
きにのみ用いられるしきい値ルールがある。他のタイプ
の動的ルールとしては、ホストグループを定義するルー
ルがある。この動的ルールによれば、アクセスルールセ
ットの他の事項を変更せずに、ホストを追加あるいは削
除するようにホストグループを変更することができる。
において、与えられたルールセット全体をリロードする
ことを要求せずに、ネットワークにおいて起こるイベン
トに基づいてルールセットを修正することを可能にす
る。 【解決手段】 コンピュータネットワークファイアウォ
ールは、パケットを処理するためのアクセスルールのセ
ットに追加された動的ルールを利用する。動的ルールの
例としては、単一のセッションに対してのみ用いられる
「ワンタイム」ルール、指定された期間に対してのみ用
いられる時限ルール、および、ある条件が満たされたと
きにのみ用いられるしきい値ルールがある。他のタイプ
の動的ルールとしては、ホストグループを定義するルー
ルがある。この動的ルールによれば、アクセスルールセ
ットの他の事項を変更せずに、ホストを追加あるいは削
除するようにホストグループを変更することができる。
Description
【０００１】
【発明の属する技術分野】本発明は、コンピュータネッ
トワークにおける権限のないアクセスの防止に関し、特
に、コンピュータネットワーク内のファイアウォール保
護に関する。
トワークにおける権限のないアクセスの防止に関し、特
に、コンピュータネットワーク内のファイアウォール保
護に関する。
【０００２】
【従来の技術】コンピュータネットワークでは、情報
は、通常、パケットの形で伝送される。あるサイトにあ
る情報は、そのサイトまたは別のサイトのコマンドで、
別のサイトからアクセスされ、あるいは、別のサイトへ
送信される。従って、例えば情報が財産である場合、権
限のないアクセスに対する保護の必要がある。このため
に、ファイアウォールとして知られるワークプロセッサ
コンポーネントで実行される、パケットフィルタリング
という技術が開発され市販されている。ファイアウォー
ルでは、パケットは検査されフィルタリングされる。す
なわち、あらかじめ定義されたアクセスルールのセット
に従っているかどうかに応じて、パケットは、通過し、
あるいは、廃棄される。通常、このルールセットは表形
式で表される。
は、通常、パケットの形で伝送される。あるサイトにあ
る情報は、そのサイトまたは別のサイトのコマンドで、
別のサイトからアクセスされ、あるいは、別のサイトへ
送信される。従って、例えば情報が財産である場合、権
限のないアクセスに対する保護の必要がある。このため
に、ファイアウォールとして知られるワークプロセッサ
コンポーネントで実行される、パケットフィルタリング
という技術が開発され市販されている。ファイアウォー
ルでは、パケットは検査されフィルタリングされる。す
なわち、あらかじめ定義されたアクセスルールのセット
に従っているかどうかに応じて、パケットは、通過し、
あるいは、廃棄される。通常、このルールセットは表形
式で表される。
【０００３】一般に、ファイアウォールアドミニストレ
ータは、ファイアウォールの一方の側から他方の側へ
は、同意された広範なアクセスを許容するが、アクティ
ブなネットワークセッションの一部ではない逆向きの伝
送は遮断する。例えば、会社の「内部」の従業員はファ
イアウォールを通じてインターネットのような「外部」
のネットワークに無制限にアクセスすることができる
が、インターネットからのアクセスは、特別に権限を与
えられていなければ遮断される。このような、会社とイ
ンターネットの境界にあるファイアウォールに加えて、
ファイアウォールは、ネットワークドメイン間にも置か
れることがあり、また、ドメイン内でも、サブドメイン
を保護するために用いられることがある。それぞれの場
合において、異なるセキュリティポリシーが関係してい
る。
ータは、ファイアウォールの一方の側から他方の側へ
は、同意された広範なアクセスを許容するが、アクティ
ブなネットワークセッションの一部ではない逆向きの伝
送は遮断する。例えば、会社の「内部」の従業員はファ
イアウォールを通じてインターネットのような「外部」
のネットワークに無制限にアクセスすることができる
が、インターネットからのアクセスは、特別に権限を与
えられていなければ遮断される。このような、会社とイ
ンターネットの境界にあるファイアウォールに加えて、
ファイアウォールは、ネットワークドメイン間にも置か
れることがあり、また、ドメイン内でも、サブドメイン
を保護するために用いられることがある。それぞれの場
合において、異なるセキュリティポリシーが関係してい
る。
【０００４】いくつかの複雑なネットワークプロトコル
では、外部からユーザへ戻る別個の追加のネットワーク
セッションが必要とされる。そのような複雑なプロトコ
ルの１つは、RealAudioという商品名で知られているサ
ービスによって用いられている。特別の処置がなけれ
ば、この別個のセッションに対する要求はファイアウォ
ールによって遮断されてしまう。
では、外部からユーザへ戻る別個の追加のネットワーク
セッションが必要とされる。そのような複雑なプロトコ
ルの１つは、RealAudioという商品名で知られているサ
ービスによって用いられている。特別の処置がなけれ
ば、この別個のセッションに対する要求はファイアウォ
ールによって遮断されてしまう。
【０００５】このような複雑なプロトコルに対して、ユ
ーザの代わりにファイアウォールプロセッサ上で並行し
て走る別個の「プロキシ」プロセスが開発されている。
プロキシプロセスは、別の特殊目的アプリケーション、
例えば、認証、メール処理、およびウィルススキャンの
ようなサービスを実行するためにも、開発されている。
ーザの代わりにファイアウォールプロセッサ上で並行し
て走る別個の「プロキシ」プロセスが開発されている。
プロキシプロセスは、別の特殊目的アプリケーション、
例えば、認証、メール処理、およびウィルススキャンの
ようなサービスを実行するためにも、開発されている。
【０００６】
【発明が解決しようとする課題】ファイアウォールプロ
セッサが並行プロセスをサポートする容量には限界があ
るので、並行して走らせることができるセッションの数
を最大にするためには、ファイアウォール上のプロキシ
プロセスに対する需要を最小にすることが好ましい。さ
らに、このような最小化は、全伝送レートに関しても、
好ましい。その理由は、入力データが別々のプロセスを
通ると伝送が遅くなるためである。
セッサが並行プロセスをサポートする容量には限界があ
るので、並行して走らせることができるセッションの数
を最大にするためには、ファイアウォール上のプロキシ
プロセスに対する需要を最小にすることが好ましい。さ
らに、このような最小化は、全伝送レートに関しても、
好ましい。その理由は、入力データが別々のプロセスを
通ると伝送が遅くなるためである。
【０００７】
【課題を解決するための手段】本発明は、処理効率を改
善し、セキュリティを改善し、アクセスルール自由度を
増大させ、複雑なプロトコルを扱うファイアウォールの
能力を高めるように、コンピュータネットワークのファ
イアウォールを実現する技術を提供する。本発明の第１
の特徴によれば、コンピュータネットワークファイアウ
ォールは、与えられたパケットに対していくつかの別個
のアクセスルールセットのうちのいずれかを適用するこ
とによって、（ａ）複数のセキュリティポリシー、
（ｂ）複数のユーザ、または、（ｃ）複数のセキュリテ
ィポリシーおよび複数のユーザの両方をサポートするこ
とができる。パケットに対して適用されるルールセット
は、入出力ネットワークインタフェースや、ネットワー
クのソースおよびデスティネーションのアドレスのよう
な情報に基づいて決定される。
善し、セキュリティを改善し、アクセスルール自由度を
増大させ、複雑なプロトコルを扱うファイアウォールの
能力を高めるように、コンピュータネットワークのファ
イアウォールを実現する技術を提供する。本発明の第１
の特徴によれば、コンピュータネットワークファイアウ
ォールは、与えられたパケットに対していくつかの別個
のアクセスルールセットのうちのいずれかを適用するこ
とによって、（ａ）複数のセキュリティポリシー、
（ｂ）複数のユーザ、または、（ｃ）複数のセキュリテ
ィポリシーおよび複数のユーザの両方をサポートするこ
とができる。パケットに対して適用されるルールセット
は、入出力ネットワークインタフェースや、ネットワー
クのソースおよびデスティネーションのアドレスのよう
な情報に基づいて決定される。
【０００８】本発明の第２の特徴によれば、コンピュー
タネットワークファイアウォールは、パケットに適用さ
れるルール処理の結果を記憶することによって性能を改
善する「状態付き」パケットフィルタリングを利用する
ように構成される。状態付きパケットフィルタリング
は、パケットに対するルール処理結果をキャッシュし、
キャッシュされた結果を利用して後続の同種のパケット
に対するルール処理を迂回することによって実現され
る。例えば、あるネットワークセッションの特定のパケ
ットにルールセットを適用した結果をキャッシュし、同
じネットワークセッションからの後続のパケットがファ
イアウォールに到着したときに、キャッシュされている
前のパケットからの結果を、その後続パケットに対して
用いる。これにより、それぞれの入力パケットにそのル
ールセットを適用する必要がなくなる。
タネットワークファイアウォールは、パケットに適用さ
れるルール処理の結果を記憶することによって性能を改
善する「状態付き」パケットフィルタリングを利用する
ように構成される。状態付きパケットフィルタリング
は、パケットに対するルール処理結果をキャッシュし、
キャッシュされた結果を利用して後続の同種のパケット
に対するルール処理を迂回することによって実現され
る。例えば、あるネットワークセッションの特定のパケ
ットにルールセットを適用した結果をキャッシュし、同
じネットワークセッションからの後続のパケットがファ
イアウォールに到着したときに、キャッシュされている
前のパケットからの結果を、その後続パケットに対して
用いる。これにより、それぞれの入力パケットにそのル
ールセットを適用する必要がなくなる。
【０００９】本発明の第３の特徴によれば、コンピュー
タネットワークファイアウォールは、ソースホストアド
レス、デスティネーションホストアドレス、およびサー
ビスタイプのようなセッションデータ項目に基づいて設
定することが可能な依存関係マスクを用いて、ネットワ
ークセッションを認証あるいは阻止する。依存関係マス
クを用いて、ファイアウォールによって処理されている
アクティブセッションのキャッシュに問合せをすること
が可能であり、それにより、問合せを満たすセッション
の数を識別することができる。この問合せを、アクセス
ルールに対応させ、特定のルールのセッションが、その
問合せに適合する数に依存するようにすることが可能で
ある。
タネットワークファイアウォールは、ソースホストアド
レス、デスティネーションホストアドレス、およびサー
ビスタイプのようなセッションデータ項目に基づいて設
定することが可能な依存関係マスクを用いて、ネットワ
ークセッションを認証あるいは阻止する。依存関係マス
クを用いて、ファイアウォールによって処理されている
アクティブセッションのキャッシュに問合せをすること
が可能であり、それにより、問合せを満たすセッション
の数を識別することができる。この問合せを、アクセス
ルールに対応させ、特定のルールのセッションが、その
問合せに適合する数に依存するようにすることが可能で
ある。
【００１０】本発明の第４の特徴によれば、コンピュー
タネットワークファイアウォールは、パケットを処理す
るためのアクセスルールのセットに追加された動的ルー
ルを利用することが可能である。動的ルールによれば、
与えられたルールセットは、ルールセット全体をリロー
ドすることを要求せずに、ネットワークにおいて起こる
イベントに基づいて修正される。動的ルールの例として
は、単一のセッションに対してのみ用いられる「ワンタ
イム」ルール、指定された期間に対してのみ用いられる
時限ルール、および、ある条件が満たされたときにのみ
用いられるしきい値ルールがある。他のタイプの動的ル
ールとしては、ホストグループを定義するルールがあ
る。この動的ルールによれば、アクセスルールセットの
他の事項を変更せずに、ホストを追加あるいは削除する
ようにホストグループを変更することができる。
タネットワークファイアウォールは、パケットを処理す
るためのアクセスルールのセットに追加された動的ルー
ルを利用することが可能である。動的ルールによれば、
与えられたルールセットは、ルールセット全体をリロー
ドすることを要求せずに、ネットワークにおいて起こる
イベントに基づいて修正される。動的ルールの例として
は、単一のセッションに対してのみ用いられる「ワンタ
イム」ルール、指定された期間に対してのみ用いられる
時限ルール、および、ある条件が満たされたときにのみ
用いられるしきい値ルールがある。他のタイプの動的ル
ールとしては、ホストグループを定義するルールがあ
る。この動的ルールによれば、アクセスルールセットの
他の事項を変更せずに、ホストを追加あるいは削除する
ようにホストグループを変更することができる。
【００１１】本発明の第５の特徴によれば、アプリケー
ションプロキシのファイアウォールの負担を軽減するよ
うに、処理のための別のサーバにネットワークセッショ
ンをリダイレクトするようコンピュータネットワークフ
ァイアウォールに対して指令することができる。この別
サーバは、リダイレクトされたネットワークセッション
を処理した後、そのセッションを、ファイアウォールを
通じて、もとの意図されたデスティネーションへ渡す。
ションプロキシのファイアウォールの負担を軽減するよ
うに、処理のための別のサーバにネットワークセッショ
ンをリダイレクトするようコンピュータネットワークフ
ァイアウォールに対して指令することができる。この別
サーバは、リダイレクトされたネットワークセッション
を処理した後、そのセッションを、ファイアウォールを
通じて、もとの意図されたデスティネーションへ渡す。
【００１２】本発明のコンピュータネットワークファイ
アウォールにより、広範囲の重要なアプリケーションで
のファイアウォール処理が可能となる。例えば、本発明
は、ダイヤルアップアクセスゲートウェイに実装可能で
ある。本発明の別の実施例では、ファイアウォールの第
１部分がネットワークに存在し、ファイアウォールの第
２部分がセットトップボックス、コンピュータあるいは
その他の、家庭または会社にあるユーザ端末にあるとい
うように分散的にも実装可能である。後者の実施例によ
れば、本発明のファイアウォール技術は、例えば、家庭
においてインターネットとビデオアクセスの親による制
御を提供することが可能である。
アウォールにより、広範囲の重要なアプリケーションで
のファイアウォール処理が可能となる。例えば、本発明
は、ダイヤルアップアクセスゲートウェイに実装可能で
ある。本発明の別の実施例では、ファイアウォールの第
１部分がネットワークに存在し、ファイアウォールの第
２部分がセットトップボックス、コンピュータあるいは
その他の、家庭または会社にあるユーザ端末にあるとい
うように分散的にも実装可能である。後者の実施例によ
れば、本発明のファイアウォール技術は、例えば、家庭
においてインターネットとビデオアクセスの親による制
御を提供することが可能である。
【００１３】
【発明の実施の形態】ファイアウォールにおいて、例え
ば、別個のローカルエリアネットワーク（ＬＡＮ）間あ
るいはＬＡＮのサブネット間でのデータの流れを制御す
る好ましい技術が実現される。以下で、本発明の実施例
は、プロセスに関して説明する。このようなプロセスの
効率的なプロトタイプは、汎用ＰＣハードウェア上に実
装するためにプログラミング言語Ｃを用いて、コンピュ
ータシステムソフトウェアとして実現されている。専用
のファームウェアあるいはハードウェアのコンピュータ
システム実装により、さらに効率を向上させることも可
能である。
ば、別個のローカルエリアネットワーク（ＬＡＮ）間あ
るいはＬＡＮのサブネット間でのデータの流れを制御す
る好ましい技術が実現される。以下で、本発明の実施例
は、プロセスに関して説明する。このようなプロセスの
効率的なプロトタイプは、汎用ＰＣハードウェア上に実
装するためにプログラミング言語Ｃを用いて、コンピュ
ータシステムソフトウェアとして実現されている。専用
のファームウェアあるいはハードウェアのコンピュータ
システム実装により、さらに効率を向上させることも可
能である。
【００１４】１．複数のセキュリティドメインのサポー
ト 複数のセキュリティドメインをサポートする能力によ
り、単一のファイアウォールが、それぞれ別々のセキュ
リティポリシーを有する複数のユーザをサポートするこ
とが可能となる。また、相異なるセキュリティポリシー
をサブサイト間の通信に適用することができるため、こ
のような能力は、サイト内でも使用可能である。それぞ
れの構成を図１および図２に例示する。
ト 複数のセキュリティドメインをサポートする能力によ
り、単一のファイアウォールが、それぞれ別々のセキュ
リティポリシーを有する複数のユーザをサポートするこ
とが可能となる。また、相異なるセキュリティポリシー
をサブサイト間の通信に適用することができるため、こ
のような能力は、サイト内でも使用可能である。それぞ
れの構成を図１および図２に例示する。
【００１５】図１に、インターネット１０５への接続に
ファイアウォールを有する４つのユーザサイト１０１〜
１０４（例として、会社Ａ〜Ｄ）を示す。このような保
護は、ファイアウォール設備によって提供される。ファ
イアウォール設備は、ここではＬＡＮ１１０の形態であ
り、ファイアウォールプロセッサ１１１、１１３および
１１４、アドミニストレータプロセッサ１１５、ルータ
１１６ならびにウェブサーバ１１７を有する。ファイア
ウォールプロセッサ１１３および１１４はそれぞれ単一
のサイト（すなわち、それぞれサイト１０３および１０
４）専用である。ファイアウォールプロセッサ１１１
は、２つのサイト１０１および１０２にサービスするよ
うに設定される。ファイアウォールプロセッサ１１１
は、２つのサイトそれぞれとインターネット１０５との
間、および、２つのサイト間の通信に、別々のファイア
ウォールポリシーを実装する。ファイアウォールプロセ
ッサ１１１の好ましい動作のためのプロセスについて、
複数のファイアウォールポリシーのうちからの適切な選
択を含めて、図５および図６を参照して後述する。
ファイアウォールを有する４つのユーザサイト１０１〜
１０４（例として、会社Ａ〜Ｄ）を示す。このような保
護は、ファイアウォール設備によって提供される。ファ
イアウォール設備は、ここではＬＡＮ１１０の形態であ
り、ファイアウォールプロセッサ１１１、１１３および
１１４、アドミニストレータプロセッサ１１５、ルータ
１１６ならびにウェブサーバ１１７を有する。ファイア
ウォールプロセッサ１１３および１１４はそれぞれ単一
のサイト（すなわち、それぞれサイト１０３および１０
４）専用である。ファイアウォールプロセッサ１１１
は、２つのサイト１０１および１０２にサービスするよ
うに設定される。ファイアウォールプロセッサ１１１
は、２つのサイトそれぞれとインターネット１０５との
間、および、２つのサイト間の通信に、別々のファイア
ウォールポリシーを実装する。ファイアウォールプロセ
ッサ１１１の好ましい動作のためのプロセスについて、
複数のファイアウォールポリシーのうちからの適切な選
択を含めて、図５および図６を参照して後述する。
【００１６】図２に、ファイアウォールプロセッサ２１
１を通じてインターネット１０５に接続されたユーザサ
イト２０１を示す。アドミニストレータプロセッサ２１
５およびルータ２１６は、ファイアウォールプロセッサ
２１１に接続される。ルータ２１６は、ユーザサイト２
０１の内部にある別のファイアウォールプロセッサ２１
２および２１３に接続される。ファイアウォールプロセ
ッサ２１２は、単一のサブサイト２２３（例として人事
（ＨＲ））を保護する。ファイアウォール２１３は、２
つのサブサイト（例として、給与（Ｐ）および支払
（Ｄ））を、サイト２０１の残りの部分に対して、およ
び、サブサイト２２１と２２２の間の通信に関して、保
護するように設定される。これは、ファイアウォールプ
ロセッサ２１３において、図５および図６で例示される
プロセスを用いることによって達成される。
１を通じてインターネット１０５に接続されたユーザサ
イト２０１を示す。アドミニストレータプロセッサ２１
５およびルータ２１６は、ファイアウォールプロセッサ
２１１に接続される。ルータ２１６は、ユーザサイト２
０１の内部にある別のファイアウォールプロセッサ２１
２および２１３に接続される。ファイアウォールプロセ
ッサ２１２は、単一のサブサイト２２３（例として人事
（ＨＲ））を保護する。ファイアウォール２１３は、２
つのサブサイト（例として、給与（Ｐ）および支払
（Ｄ））を、サイト２０１の残りの部分に対して、およ
び、サブサイト２２１と２２２の間の通信に関して、保
護するように設定される。これは、ファイアウォールプ
ロセッサ２１３において、図５および図６で例示される
プロセスを用いることによって達成される。
【００１７】セキュリティポリシーは、アクセスルール
のセットによって表現される。アクセスルールのセット
は、表（テーブル）形式で表され、ファイアウォールア
ドミニストレータによってファイアウォールにロードさ
れる。図３に示すように、このようなテーブルは、ルー
ル番号、ソースおよびデスティネーションのホストの名
称、パケットで要求されることが可能な特殊サービスの
名称、および、パケットに対してなされるアクションの
指定を含むカテゴリに対して与えられる。特殊サービス
には、例えば、プロキシサービス、ネットワークアドレ
ス翻訳、および、暗号化が含まれる。図３では、「ソー
スホスト」、「デスティネーションホスト」および「サ
ービス」というカテゴリは、パケットに対して指定され
たアクションがなされるために、そのパケットに含まれ
るデータが満たさなければならない条件を課している。
他の条件を含めることも可能であり、そのような条件
は、必ずしも、パケットに含まれるデータに関係する必
要はない。例えば、ルールの適用は、日時に関して条件
づけられることも可能である。
のセットによって表現される。アクセスルールのセット
は、表（テーブル）形式で表され、ファイアウォールア
ドミニストレータによってファイアウォールにロードさ
れる。図３に示すように、このようなテーブルは、ルー
ル番号、ソースおよびデスティネーションのホストの名
称、パケットで要求されることが可能な特殊サービスの
名称、および、パケットに対してなされるアクションの
指定を含むカテゴリに対して与えられる。特殊サービス
には、例えば、プロキシサービス、ネットワークアドレ
ス翻訳、および、暗号化が含まれる。図３では、「ソー
スホスト」、「デスティネーションホスト」および「サ
ービス」というカテゴリは、パケットに対して指定され
たアクションがなされるために、そのパケットに含まれ
るデータが満たさなければならない条件を課している。
他の条件を含めることも可能であり、そのような条件
は、必ずしも、パケットに含まれるデータに関係する必
要はない。例えば、ルールの適用は、日時に関して条件
づけられることも可能である。
【００１８】あるルールにおいて、ルールテーブルに与
えられたカテゴリが無関係である場合、対応するテーブ
ルエントリは「ワイルドカード」とマークされる。これ
は、任意のカテゴリあるいはカテゴリの組合せに適用可
能である。図３などでは、ワイルドカードエントリにア
ステリスク（＊）を用いている。「ＦＴＰ」はファイル
転送プロトコル(file transfer protocol)を表す。
えられたカテゴリが無関係である場合、対応するテーブ
ルエントリは「ワイルドカード」とマークされる。これ
は、任意のカテゴリあるいはカテゴリの組合せに適用可
能である。図３などでは、ワイルドカードエントリにア
ステリスク（＊）を用いている。「ＦＴＰ」はファイル
転送プロトコル(file transfer protocol)を表す。
【００１９】パケットに対するルール処理において、パ
ケットによって満たされるルールが見つかるまで（また
は、ルールテーブルの最後まで。その場合、そのパケッ
トは廃棄される。）、ルールは順に適用される。ルール
を満たすパケットに対して、そのルールに含まれる各条
件が満たされなければならない。例えば、図３におい
て、ソースホストＡからデスティネーションホストＤへ
の、メールを表すパケットは、ルール２０により廃棄さ
れる。以下は、本発明による例示的なルールセットカテ
ゴリのさらに詳細なリストである。最初の５個のカテゴ
リ名は、図３のカテゴリに対応する。
ケットによって満たされるルールが見つかるまで（また
は、ルールテーブルの最後まで。その場合、そのパケッ
トは廃棄される。）、ルールは順に適用される。ルール
を満たすパケットに対して、そのルールに含まれる各条
件が満たされなければならない。例えば、図３におい
て、ソースホストＡからデスティネーションホストＤへ
の、メールを表すパケットは、ルール２０により廃棄さ
れる。以下は、本発明による例示的なルールセットカテ
ゴリのさらに詳細なリストである。最初の５個のカテゴ
リ名は、図３のカテゴリに対応する。
【００２０】カテゴリ名：ルール番号 説明：ドメイン内のルールの番号。ルール番号は、一意
的である必要はないが、一般に、単一のサービス（例え
ばＦＴＰ）を表すべきである。
的である必要はないが、一般に、単一のサービス（例え
ばＦＴＰ）を表すべきである。
【００２１】カテゴリ名：ソースホスト 説明：ソースホストグループの識別子またはＩＰアドレ
ス。
ス。
【００２２】カテゴリ名：デスティネーションホスト 説明：デスティネーションホストグループの識別子また
はＩＰアドレス。
はＩＰアドレス。
【００２３】カテゴリ名：サービス 説明：サービスのグループまたはプロトコル／デスティ
ネーションポート／ソースポート。
ネーションポート／ソースポート。
【００２４】カテゴリ名：アクション 説明：ルールアクション、例えば、「通過」、「廃棄」
または「プロキシ」。
または「プロキシ」。
【００２５】カテゴリ名：廃棄通知 説明：ＹＥＳの場合、アクションが「廃棄」であれば、
インターネット制御メッセージプロトコル（ＩＣＭＰ）
メッセージが送出される。
インターネット制御メッセージプロトコル（ＩＣＭＰ）
メッセージが送出される。
【００２６】カテゴリ名：キャッシュタイムアウト 説明：セッションエントリがキャッシュから除去される
までのアクティビティなしの秒数。
までのアクティビティなしの秒数。
【００２７】カテゴリ名：リセットセッション 説明：ＹＥＳの場合、ＴＣＰセッションに対して、キャ
ッシュタイムアウト時にコネクションの両端にＴＣＰリ
セットを送る。
ッシュタイムアウト時にコネクションの両端にＴＣＰリ
セットを送る。
【００２８】カテゴリ名：ルールタイムアウト 説明：ルールがルールリストから除去されるまでのアク
ティビティなしの秒数。
ティビティなしの秒数。
【００２９】カテゴリ名：開始期間 説明：ルールに対する開始アクティブ期間。
【００３０】カテゴリ名：終了期間 説明：ルールに対する終了アクティブ期間。
【００３１】カテゴリ名：期間終了時セッション消去 説明：ＹＥＳの場合、このルールによって許可されたセ
ッションは期間終了時に消去(kill)される。
ッションは期間終了時に消去(kill)される。
【００３２】カテゴリ名：依存関係マスク 説明：依存関係マスク名。
【００３３】カテゴリ名：入力インタフェース 説明：受信時に一致すべきインタフェース名。
【００３４】カテゴリ名：出力インタフェース 説明：パケットが送信されるインタフェース名。
【００３５】カテゴリ名：監査セッション 説明：監査記録生成。ＹＥＳの場合、セッションの開始
時および終了時に監査記録が生成される。
時および終了時に監査記録が生成される。
【００３６】カテゴリ名：アラームコード 説明：ルールを特定のアラームに結び付けるために用い
られるアラームコード値。
られるアラームコード値。
【００３７】カテゴリ名：ソースホストマップグループ 説明：ＩＰアドレス、または、マップ先のホストＩＰア
ドレスを含むホストグループ。
ドレスを含むホストグループ。
【００３８】カテゴリ名：ソースホストマップタイプ 説明：実行されるマッピングのタイプ（例えば、「プー
ル」あるいは「直接」）。
ル」あるいは「直接」）。
【００３９】カテゴリ名：デスティネーションホストマ
ップグループ 説明：ＩＰアドレス、または、マップ先のホストＩＰア
ドレスを含むホストグループ。
ップグループ 説明：ＩＰアドレス、または、マップ先のホストＩＰア
ドレスを含むホストグループ。
【００４０】カテゴリ名：デスティネーションホストマ
ップタイプ 説明：実行されるマッピングのタイプ（例えば、「プー
ル」あるいは「直接」）。
ップタイプ 説明：実行されるマッピングのタイプ（例えば、「プー
ル」あるいは「直接」）。
【００４１】カテゴリ名：サービスマップグループ 説明：マップ先のデスティネーションポート番号または
デスティネーションポートを含むサービスグループ。参
照されるサービスグループ内のプロトコルおよびソース
ポートは無視される。
デスティネーションポートを含むサービスグループ。参
照されるサービスグループ内のプロトコルおよびソース
ポートは無視される。
【００４２】カテゴリ名：サービスマップタイプ 説明：実行されるマッピングのタイプ（例えば、「プー
ル」あるいは「直接」）。
ル」あるいは「直接」）。
【００４３】カテゴリ名：最大使用総数 説明：このルールが使用されることが可能な最大回数。
この限界に達するとルールは除去される。
この限界に達するとルールは除去される。
【００４４】カテゴリ名：最大使用並行数 説明：与えられた時刻にアクティブであることが可能
な、このルールによって許可されるセッションの最大
数。この数が、指定された値を下回るまで、ルールはイ
ナクティブである。
な、このルールによって許可されるセッションの最大
数。この数が、指定された値を下回るまで、ルールはイ
ナクティブである。
【００４５】カテゴリ名：コピー先アドレス 説明：パケットのコピーが送られるアプリケーションの
アドレス。セッションキャプチャに用いられる。
アドレス。セッションキャプチャに用いられる。
【００４６】カテゴリ名：トンネルデスティネーション 説明：トンネルを設定し、それをこのデスティネーショ
ンアドレスおよびプロトコルに送る。新しいＩＰヘッダ
がパケットに追加される。
ンアドレスおよびプロトコルに送る。新しいＩＰヘッダ
がパケットに追加される。
【００４７】カテゴリ名：トンネル条件 説明：トンネリングが必要となるときを示す。ＮＵＬＬ
の場合、チェックは不要である。ＩＮの場合、入力セッ
ションはトンネリングされていなければならない。ＯＵ
Ｔの場合、パケットをトンネリングするアクションを開
始する。ＢＯＴＨの場合、両方を行う。
の場合、チェックは不要である。ＩＮの場合、入力セッ
ションはトンネリングされていなければならない。ＯＵ
Ｔの場合、パケットをトンネリングするアクションを開
始する。ＢＯＴＨの場合、両方を行う。
【００４８】カテゴリ名：ＩＰＳＥＣ条件 説明：ＩＰセキュリティ（ＩＰＳＥＣ(IP Security)）
処理が必要となるときを示す。ＮＵＬＬの場合、チェッ
クは不要である。ＩＮの場合、入力セッションはＩＰＳ
ＥＣを用いて保護されていなければならない。ＯＵＴの
場合、ＩＰＳＥＣ保護を追加するアクションを開始す
る。ＢＯＴＨの場合、両方を行う。
処理が必要となるときを示す。ＮＵＬＬの場合、チェッ
クは不要である。ＩＮの場合、入力セッションはＩＰＳ
ＥＣを用いて保護されていなければならない。ＯＵＴの
場合、ＩＰＳＥＣ保護を追加するアクションを開始す
る。ＢＯＴＨの場合、両方を行う。
【００４９】カテゴリ名：シーケンス番号ランダム化 説明：ＴＣＰシーケンス番号をランダム化するオプショ
ン。デフォルトはＮＯである。
ン。デフォルトはＮＯである。
【００５０】カテゴリ名：Syn Storm保護 説明：Syn Storm攻撃からの保護を提供する。デフォル
トはＮＯである。
トはＮＯである。
【００５１】カテゴリ名：復帰チャネル許可 説明：ＹＥＳの場合、初期パケットは同じアクションで
キャッシュに順チャネルおよび逆チャネルを生成する。
デフォルトはＹＥＳである。
キャッシュに順チャネルおよび逆チャネルを生成する。
デフォルトはＹＥＳである。
【００５２】２．状態付きパケットフィルタリング 本発明によるコンピュータネットワークファイアウォー
ルは、「状態付き」パケットフィルタリングを利用する
ように設定することができる。状態付きパケットフィル
タリングは、パケットに適用されたルール処理の結果を
キャッシュに記憶することによって性能を改善する。状
態付きパケットフィルタリングは、受信パケットに対す
るルール処理結果をキャッシュし、その後、キャッシュ
された結果を利用して、同様のパケットに対するルール
処理を迂回することにより実現される。例えば、与えら
れたネットワークセッションのパケットにルールセット
を適用した結果をキャッシュし、同じネットワークセッ
ションからの後続のパケットがファイアウォールに到着
したときに、前のパケットからのキャッシュされた結果
をその後続パケットに対して使用するようにする。これ
によって、入力パケットのそれぞれにルールセットを適
用する必要がなくなることにより、従来のファイアウォ
ールに比べて大幅な性能向上が実現する。
ルは、「状態付き」パケットフィルタリングを利用する
ように設定することができる。状態付きパケットフィル
タリングは、パケットに適用されたルール処理の結果を
キャッシュに記憶することによって性能を改善する。状
態付きパケットフィルタリングは、受信パケットに対す
るルール処理結果をキャッシュし、その後、キャッシュ
された結果を利用して、同様のパケットに対するルール
処理を迂回することにより実現される。例えば、与えら
れたネットワークセッションのパケットにルールセット
を適用した結果をキャッシュし、同じネットワークセッ
ションからの後続のパケットがファイアウォールに到着
したときに、前のパケットからのキャッシュされた結果
をその後続パケットに対して使用するようにする。これ
によって、入力パケットのそれぞれにルールセットを適
用する必要がなくなることにより、従来のファイアウォ
ールに比べて大幅な性能向上が実現する。
【００５３】キャッシュエントリの数はルールの数の何
倍にもなり得るため、キャッシュの効率的使用は、（例
えばハッシュテーブルを用いた）索引付けを必要とする
ことがある。図４に示すように、キャッシュは「セッシ
ョンキー」、ハードウェアアドレス情報、インタフェー
ス情報、適用可能なルールの数、アラームコード、統計
情報、および適用可能なアクションを含むことが可能で
ある。セッションキーは、パケット内で送信されるデー
タに付加された少なくとも１つのヘッダ項目を含み、実
施例では、（ｉ）インターネットプロトコル（ＩＰ）ソ
ースアドレス、（ｉｉ）ＩＰデスティネーションアドレ
ス、（ｉｉｉ）次のレベルのプロトコル（例えば、伝送
制御プロトコル（ＴＣＰ）またはユーザデータグラムプ
ロトコル（ＵＤＰ））、（ｉｖ）プロトコルに関連づけ
られたソースポート、および（ｖ）プロトコルに関連づ
けられたデスティネーションポート、を含む。図４で
は、セッションキーに対して、項目（ｉ）および（ｉ
ｉ）は個別に示されている。項目（ｉｉｉ）〜（ｖ）
は、略して「ＴＥＬＮＥＴ」および「ＭＡＩＬ」で表さ
れている。
倍にもなり得るため、キャッシュの効率的使用は、（例
えばハッシュテーブルを用いた）索引付けを必要とする
ことがある。図４に示すように、キャッシュは「セッシ
ョンキー」、ハードウェアアドレス情報、インタフェー
ス情報、適用可能なルールの数、アラームコード、統計
情報、および適用可能なアクションを含むことが可能で
ある。セッションキーは、パケット内で送信されるデー
タに付加された少なくとも１つのヘッダ項目を含み、実
施例では、（ｉ）インターネットプロトコル（ＩＰ）ソ
ースアドレス、（ｉｉ）ＩＰデスティネーションアドレ
ス、（ｉｉｉ）次のレベルのプロトコル（例えば、伝送
制御プロトコル（ＴＣＰ）またはユーザデータグラムプ
ロトコル（ＵＤＰ））、（ｉｖ）プロトコルに関連づけ
られたソースポート、および（ｖ）プロトコルに関連づ
けられたデスティネーションポート、を含む。図４で
は、セッションキーに対して、項目（ｉ）および（ｉ
ｉ）は個別に示されている。項目（ｉｉｉ）〜（ｖ）
は、略して「ＴＥＬＮＥＴ」および「ＭＡＩＬ」で表さ
れている。
【００５４】ファイアウォールでは、ここで「ドメイン
サポートエンジン（ＤＳＥ(domainsupport engine)）と
呼ぶ判断モジュール（エンジン）が、新しいネットワー
クセッションに対していずれのセキュリティポリシーを
使用すべきかを判断する。新しいセッションはそれぞ
れ、ソースドメインおよびデスティネーションドメイン
のセキュリティポリシーによって承認されなければなら
ない。インターネットへ向かうコネクションでは、単一
のドメインの検査のみが実行される可能性が高い。ＤＳ
Ｅは、入力または出力ネットワークインタフェースと、
各パケットのソースまたはデスティネーションネットワ
ークアドレスに基づいて、ドメイン選択を行う。ソース
またはデスティネーションのアドレスをパケットに含め
ることにより、複数のユーザが、単一のネットワークイ
ンタフェースによってサポートされることが可能とな
る。入力または出力ネットワークインタフェースは、ネ
ットワークインタフェースカード（ＮＩＣ）（例えばイ
ンテル社(Intel Corporation)から市販されているIntel
EtherExpress Pro 100Bカード）の形態のものが可能で
ある。
サポートエンジン（ＤＳＥ(domainsupport engine)）と
呼ぶ判断モジュール（エンジン）が、新しいネットワー
クセッションに対していずれのセキュリティポリシーを
使用すべきかを判断する。新しいセッションはそれぞ
れ、ソースドメインおよびデスティネーションドメイン
のセキュリティポリシーによって承認されなければなら
ない。インターネットへ向かうコネクションでは、単一
のドメインの検査のみが実行される可能性が高い。ＤＳ
Ｅは、入力または出力ネットワークインタフェースと、
各パケットのソースまたはデスティネーションネットワ
ークアドレスに基づいて、ドメイン選択を行う。ソース
またはデスティネーションのアドレスをパケットに含め
ることにより、複数のユーザが、単一のネットワークイ
ンタフェースによってサポートされることが可能とな
る。入力または出力ネットワークインタフェースは、ネ
ットワークインタフェースカード（ＮＩＣ）（例えばイ
ンテル社(Intel Corporation)から市販されているIntel
EtherExpress Pro 100Bカード）の形態のものが可能で
ある。
【００５５】図５および図６は、複数のドメインをサポ
ートするファイアウォールによるパケット処理の全体流
れ図である。このような処理は、パケットが行くドメイ
ンを判断し、適用可能なルールを検査してパケットが通
ってもよいかどうかを確認し、特殊処理が必要稼働かを
判断することを含む。ファイアウォールでは、各ドメイ
ンには１つ以上のネットワークインタフェースが関係づ
けられる。複数のドメインをサポートするインタフェー
スは、ＩＰアドレスレンジを用いて、パケットを区別す
るように分離される。以下のステップが含まれる。
ートするファイアウォールによるパケット処理の全体流
れ図である。このような処理は、パケットが行くドメイ
ンを判断し、適用可能なルールを検査してパケットが通
ってもよいかどうかを確認し、特殊処理が必要稼働かを
判断することを含む。ファイアウォールでは、各ドメイ
ンには１つ以上のネットワークインタフェースが関係づ
けられる。複数のドメインをサポートするインタフェー
スは、ＩＰアドレスレンジを用いて、パケットを区別す
るように分離される。以下のステップが含まれる。
【００５６】５０１：ＩＰパケットがインタフェースで
ファイアウォールにより受信される。
ファイアウォールにより受信される。
【００５７】５０２：パケットのＩＰヘッダからセッシ
ョンキーが取得される。
ョンキーが取得される。
【００５８】５０３：いずれのインタフェースがパケッ
トを受信したか、および、受信パケットのソースＩＰア
ドレスに基づいて、ソースドメインが、図７および図８
に関して別に後述するように判定される。ドメインが見
つからない場合、プロセスはステップ５０５に飛ぶ。
トを受信したか、および、受信パケットのソースＩＰア
ドレスに基づいて、ソースドメインが、図７および図８
に関して別に後述するように判定される。ドメインが見
つからない場合、プロセスはステップ５０５に飛ぶ。
【００５９】５０４：ステップ５０２からのセッション
キーを用いて、ソースドメインのキャッシュでの一致を
探索する。キャッシュ内に一致があり、アクションが
「廃棄」の場合、パケットは廃棄され、プロセスはステ
ップ５０１に戻る。キャッシュ内に一致がない場合、ソ
ースドメインのルールセットで一致を探索する。ルール
で一致があり、アクションが「廃棄」でない場合、プロ
セスはステップ５０５に進む。ルールで一致があり、ア
クションが「廃棄」の場合、対応するエントリがキャッ
シュに含められ、パケットは廃棄され、プロセスはステ
ップ５０１に戻る。ルールで一致がない場合、パケット
は廃棄され、プロセスはステップ５０１に戻る。
キーを用いて、ソースドメインのキャッシュでの一致を
探索する。キャッシュ内に一致があり、アクションが
「廃棄」の場合、パケットは廃棄され、プロセスはステ
ップ５０１に戻る。キャッシュ内に一致がない場合、ソ
ースドメインのルールセットで一致を探索する。ルール
で一致があり、アクションが「廃棄」でない場合、プロ
セスはステップ５０５に進む。ルールで一致があり、ア
クションが「廃棄」の場合、対応するエントリがキャッ
シュに含められ、パケットは廃棄され、プロセスはステ
ップ５０１に戻る。ルールで一致がない場合、パケット
は廃棄され、プロセスはステップ５０１に戻る。
【００６０】５０５：パケットのローカルエリアネット
ワーク（ＬＡＮ）アドレスを用いて、しかも、ソースド
メインルールがデスティネーションインタフェースを指
定している場合には、そのデスティネーションインタフ
ェースおよびルーティングテーブルを用いて、デスティ
ネーションインタフェースが決定される。
ワーク（ＬＡＮ）アドレスを用いて、しかも、ソースド
メインルールがデスティネーションインタフェースを指
定している場合には、そのデスティネーションインタフ
ェースおよびルーティングテーブルを用いて、デスティ
ネーションインタフェースが決定される。
【００６１】５０６：デスティネーションインタフェー
スおよびパケットのデスティネーションアドレスを用い
て、デスティネーションドメインが決定される。デステ
ィネーションドメインが見つからない場合、または、デ
スティネーションドメインが直前に検査したドメインと
一致する場合、プロセスはステップ５０８に進む。
スおよびパケットのデスティネーションアドレスを用い
て、デスティネーションドメインが決定される。デステ
ィネーションドメインが見つからない場合、または、デ
スティネーションドメインが直前に検査したドメインと
一致する場合、プロセスはステップ５０８に進む。
【００６２】５０７：ソースドメインに関してステップ
５０４で用いられるのと同様にして、デスティネーショ
ンドメインに関して、キャッシュルックアップと、必要
であればルールセットルックアップを行う。
５０４で用いられるのと同様にして、デスティネーショ
ンドメインに関して、キャッシュルックアップと、必要
であればルールセットルックアップを行う。
【００６３】５０８：パケットに適用されるルールがア
ドレス変更（例えば、プロキシへの）を要求する場合、
あるいは、あるパケットを別のパケット内に挿入するこ
と（「トンネルオプション」）を要求する場合、プロセ
スは、変更されたデスティネーションに基づく処理のた
めにステップ５０５に戻る。
ドレス変更（例えば、プロキシへの）を要求する場合、
あるいは、あるパケットを別のパケット内に挿入するこ
と（「トンネルオプション」）を要求する場合、プロセ
スは、変更されたデスティネーションに基づく処理のた
めにステップ５０５に戻る。
【００６４】５０９：パケットがいずれのドメインに関
しても処理されなかった場合、ファイアウォール所有者
はいずれのアクセスルールにも従わないインタフェース
間の通信をサポートすることには関心がないので、その
パケットは廃棄可能である。
しても処理されなかった場合、ファイアウォール所有者
はいずれのアクセスルールにも従わないインタフェース
間の通信をサポートすることには関心がないので、その
パケットは廃棄可能である。
【００６５】５１０：すべてのアクションの結果が「通
過」であった場合、パケットは適当なネットワークイン
タフェースへ送出される。
過」であった場合、パケットは適当なネットワークイン
タフェースへ送出される。
【００６６】各ネットワークインタフェースからドメイ
ンへの簡便なリンクのために、ドメインテーブルが用い
られる。インタフェースが複数のドメインによって共有
されている場合、アドレスレンジが含められる。これは
図７に例示されている。図７には、重複のないアドレス
レンジが示されている。
ンへの簡便なリンクのために、ドメインテーブルが用い
られる。インタフェースが複数のドメインによって共有
されている場合、アドレスレンジが含められる。これは
図７に例示されている。図７には、重複のないアドレス
レンジが示されている。
【００６７】図８に、上記のステップ５０３および５０
６で実行されるようなドメインテーブル処理を例示す
る。これには以下のステップが含まれる。
６で実行されるようなドメインテーブル処理を例示す
る。これには以下のステップが含まれる。
【００６８】７０１：ドメインテーブルでインタフェー
ス名が一致するものを探索する。
ス名が一致するものを探索する。
【００６９】７０２：一致するテーブルエントリが見つ
かった場合、しかも、ＩＰアドレスレンジが一致するテ
ーブルエントリにある場合、パケットアドレスがそのレ
ンジ内にあるかどうかを検査する。レンジ内にある場
合、指定されたドメインが選択される。レンジ内にない
場合、次のテーブルから探索を継続する。
かった場合、しかも、ＩＰアドレスレンジが一致するテ
ーブルエントリにある場合、パケットアドレスがそのレ
ンジ内にあるかどうかを検査する。レンジ内にある場
合、指定されたドメインが選択される。レンジ内にない
場合、次のテーブルから探索を継続する。
【００７０】７０３：一致するものがないままテーブル
の終端に到達した場合、何のアクションもとらない。
の終端に到達した場合、何のアクションもとらない。
【００７１】３．依存関係マスク 例えばRealAudioによって用いられるプロトコルのよう
な、外部からユーザに戻る別個の追加のネットワークセ
ッションを要求するタイプのプロトコルの場合、ルール
は、ユーザに戻るコネクションを許可する条件あるいは
マスクを含むことが可能である。ただしそれは、並行し
てアクティブである正当な順方向のコネクション（すな
わち、ソースとデスティネーションのアドレスを入れ替
えたコネクション）がある場合に限る。その結果、ファ
イアウォール上に別個のあるいはプロキシのアプリケー
ションが不要となる。
な、外部からユーザに戻る別個の追加のネットワークセ
ッションを要求するタイプのプロトコルの場合、ルール
は、ユーザに戻るコネクションを許可する条件あるいは
マスクを含むことが可能である。ただしそれは、並行し
てアクティブである正当な順方向のコネクション（すな
わち、ソースとデスティネーションのアドレスを入れ替
えたコネクション）がある場合に限る。その結果、ファ
イアウォール上に別個のあるいはプロキシのアプリケー
ションが不要となる。
【００７２】本発明による依存関係マスクは、セッショ
ンキャッシュに向けられた問合せを定義することができ
る。マスクで定義されるすべてのフィールドを、キャッ
シュ内の対応するフィールドと比較することによって、
一致の有無が判定される。マスク内の空フィールドは比
較に用いられない。
ンキャッシュに向けられた問合せを定義することができ
る。マスクで定義されるすべてのフィールドを、キャッ
シュ内の対応するフィールドと比較することによって、
一致の有無が判定される。マスク内の空フィールドは比
較に用いられない。
【００７３】依存関係マスクは、（ａ）パケット内の情
報、（ｂ）そのパケットのソースインタフェース、およ
び（ｃ）そのパケットが通過するために満たさなければ
ならない１つまたはいくつかの依存条件、を用いて、ネ
ットワークセッションの最初のパケットに対するルール
で定義することが可能である。このような最初のパケッ
トがファイアウォールによって処理されると、対応する
エントリがキャッシュに作られる。
報、（ｂ）そのパケットのソースインタフェース、およ
び（ｃ）そのパケットが通過するために満たさなければ
ならない１つまたはいくつかの依存条件、を用いて、ネ
ットワークセッションの最初のパケットに対するルール
で定義することが可能である。このような最初のパケッ
トがファイアウォールによって処理されると、対応する
エントリがキャッシュに作られる。
【００７４】図９に、図３のものと同様のフォーマット
で、依存関係マスク（「ヒットカウント」）を有するル
ールを示す。以下のような特殊な記号が、いくつかのホ
スト名にある。（ｉ）「ドット」記号（．）は、対応す
るカテゴリのパケットデータを含めることを要求し、
（ｉｉ）キャレット記号（＾）は、代わりに異なるカテ
ゴリからのパケットデータを含めることを要求する。
「ヒットカウント」は、指定されたアクションがとられ
るためにキャッシュ内に見つからなければならない一致
の数を示す。例えば、「ＲＥＡＬＡＵＤＩＯ」という名
前の依存関係マスクでは、１個の必須のＴＣＰセッショ
ンがアクティブである限り、ＵＤＰパケットを通過させ
るためにはカウント１が用いられる。依存関係マスク
「ＴＥＬＮＥＴ」では、リソースの過負荷を防ぐために
パケットを廃棄するように、カウント１０が用いられ
る。
で、依存関係マスク（「ヒットカウント」）を有するル
ールを示す。以下のような特殊な記号が、いくつかのホ
スト名にある。（ｉ）「ドット」記号（．）は、対応す
るカテゴリのパケットデータを含めることを要求し、
（ｉｉ）キャレット記号（＾）は、代わりに異なるカテ
ゴリからのパケットデータを含めることを要求する。
「ヒットカウント」は、指定されたアクションがとられ
るためにキャッシュ内に見つからなければならない一致
の数を示す。例えば、「ＲＥＡＬＡＵＤＩＯ」という名
前の依存関係マスクでは、１個の必須のＴＣＰセッショ
ンがアクティブである限り、ＵＤＰパケットを通過させ
るためにはカウント１が用いられる。依存関係マスク
「ＴＥＬＮＥＴ」では、リソースの過負荷を防ぐために
パケットを廃棄するように、カウント１０が用いられ
る。
【００７５】図１０に依存関係マスク処理を例示する。
これは以下のステップを含む。
これは以下のステップを含む。
【００７６】９０１：パケットを取得し、セッションキ
ーを抽出する。
ーを抽出する。
【００７７】９０２：プロセスはルールセットエントリ
を順に処理する。与えられたルールで一致が見つからな
い場合、プロセスはセット内の次のルールに進む。ルー
ルセットの終端まで一致が見つからない場合、パケット
は廃棄される。一致が見つかり、依存関係マスクフィー
ルドが空の場合、プロセスはステップ９０５に飛ぶ。
を順に処理する。与えられたルールで一致が見つからな
い場合、プロセスはセット内の次のルールに進む。ルー
ルセットの終端まで一致が見つからない場合、パケット
は廃棄される。一致が見つかり、依存関係マスクフィー
ルドが空の場合、プロセスはステップ９０５に飛ぶ。
【００７８】９０３：パケットおよびインタフェース情
報が、キャッシュ探索構造体（例えば、問合せ）の形成
に含められる。依存関係マスクにおいてユーザ認証フラ
グがセットされている場合、キャッシュ探索構造体にお
ける対応するフラグがセットされる。このステップは、
ルールの問合せ部分を定義している。
報が、キャッシュ探索構造体（例えば、問合せ）の形成
に含められる。依存関係マスクにおいてユーザ認証フラ
グがセットされている場合、キャッシュ探索構造体にお
ける対応するフラグがセットされる。このステップは、
ルールの問合せ部分を定義している。
【００７９】９０４：キャッシュで、キャッシュ探索構
造体と一致するものを探索し、一致のカウントを積算す
る。このステップは、ルールの問合せ部分を処理してい
る。
造体と一致するものを探索し、一致のカウントを積算す
る。このステップは、ルールの問合せ部分を処理してい
る。
【００８０】９０５：積算カウントがヒットカウント以
上である場合、ルールは選択され、そのルールに対応す
るアクションが実行される。このようなアクションは、
通過、廃棄あるいはプロキシを含むことが可能である。
また、対応するエントリがキャッシュに作られる。キャ
ッシュにおいて一致が見つからない場合、または、キャ
ッシュに見つかったエントリが「ヒットカウント」より
少ない場合、プロセスはステップ９０２に戻り、次のル
ールに進む。このステップは、問合せの結果に基づいて
ルールのアクション部分を処理している。
上である場合、ルールは選択され、そのルールに対応す
るアクションが実行される。このようなアクションは、
通過、廃棄あるいはプロキシを含むことが可能である。
また、対応するエントリがキャッシュに作られる。キャ
ッシュにおいて一致が見つからない場合、または、キャ
ッシュに見つかったエントリが「ヒットカウント」より
少ない場合、プロセスはステップ９０２に戻り、次のル
ールに進む。このステップは、問合せの結果に基づいて
ルールのアクション部分を処理している。
【００８１】上記の依存関係マスク処理を含むルール処
理は、ネットワークセッションの最初のパケットに対し
てのみ実行される。他のすべてのパケットのアクション
は、最初のパケットの処理後にセッションキャッシュに
保存されているので、他のすべてのパケットは、このル
ール探索機能を迂回する。
理は、ネットワークセッションの最初のパケットに対し
てのみ実行される。他のすべてのパケットのアクション
は、最初のパケットの処理後にセッションキャッシュに
保存されているので、他のすべてのパケットは、このル
ール探索機能を迂回する。
【００８２】４．動的ルール 動的ルールは、例えばルール処理エンジンによって、ア
クセスルールとともに処理するために、必要が生ずるの
に応じてアクセスルールとともに含められるルールであ
る。動的ルールは、例えば、特定のソースおよびデステ
ィネーションのポート番号のような、固有の現在の情報
を含むことが可能である。動的ルールは、信頼されたパ
ーティ、例えば、信頼されたアプリケーション、リモー
トプロキシあるいはファイアウォールアドミニストレー
タによって、特定のネットワークセッションに権限を与
えるためにいつでもロードされることが可能である。動
的ルールは、単一セッション用に設定されることも可能
であり、あるいは、その使用は期限付きとすることも可
能である。動的ルールによれば、ルールセット全体をリ
ロードすることを要求することなく、与えられたルール
セットを、ネットワークで起こるイベントに基づいて修
正することが可能となる。
クセスルールとともに処理するために、必要が生ずるの
に応じてアクセスルールとともに含められるルールであ
る。動的ルールは、例えば、特定のソースおよびデステ
ィネーションのポート番号のような、固有の現在の情報
を含むことが可能である。動的ルールは、信頼されたパ
ーティ、例えば、信頼されたアプリケーション、リモー
トプロキシあるいはファイアウォールアドミニストレー
タによって、特定のネットワークセッションに権限を与
えるためにいつでもロードされることが可能である。動
的ルールは、単一セッション用に設定されることも可能
であり、あるいは、その使用は期限付きとすることも可
能である。動的ルールによれば、ルールセット全体をリ
ロードすることを要求することなく、与えられたルール
セットを、ネットワークで起こるイベントに基づいて修
正することが可能となる。
【００８３】動的ルールの例としては、単一のセッショ
ンに対してのみ用いられる「ワンタイム」ルール、指定
された期間に対してのみ用いられる時限ルール、およ
び、ある条件が満たされたときにのみ用いられるしきい
値ルールがある。他のタイプの動的ルールとしては、ホ
ストグループを定義するルールがある。この動的ルール
によれば、アクセスルールセットの他の事項を変更せず
に、ホストを追加あるいは削除するようにホストグルー
プを変更することができる。他の動的ルールとしては、
ある特定のタイプの処理アプリケーションにおけるルー
ルセットアップを容易にするために用いられるものがあ
る。例えば、ＦＴＰプロキシアプリケーションは、動的
ルールを用いて、データ要求に応じてＦＴＰデータチャ
ネルの確立の権限を与えることが可能である。この例に
おける動的ルールは、一般に、ＦＴＰ制御セッションを
通じてデータ要求がなされるまではロードされず、ま
た、１回の使用に限定され、制限された期間の間のみア
クティブとされる。従って、ルールセットは、すべての
要求とともに用いられる別個のデータチャネルルールを
含む必要がない。その結果、ルール仕様およびルール処
理が単純化されるとともに、セキュリティが改善され
る。
ンに対してのみ用いられる「ワンタイム」ルール、指定
された期間に対してのみ用いられる時限ルール、およ
び、ある条件が満たされたときにのみ用いられるしきい
値ルールがある。他のタイプの動的ルールとしては、ホ
ストグループを定義するルールがある。この動的ルール
によれば、アクセスルールセットの他の事項を変更せず
に、ホストを追加あるいは削除するようにホストグルー
プを変更することができる。他の動的ルールとしては、
ある特定のタイプの処理アプリケーションにおけるルー
ルセットアップを容易にするために用いられるものがあ
る。例えば、ＦＴＰプロキシアプリケーションは、動的
ルールを用いて、データ要求に応じてＦＴＰデータチャ
ネルの確立の権限を与えることが可能である。この例に
おける動的ルールは、一般に、ＦＴＰ制御セッションを
通じてデータ要求がなされるまではロードされず、ま
た、１回の使用に限定され、制限された期間の間のみア
クティブとされる。従って、ルールセットは、すべての
要求とともに用いられる別個のデータチャネルルールを
含む必要がない。その結果、ルール仕様およびルール処
理が単純化されるとともに、セキュリティが改善され
る。
【００８４】５．プロキシ反射 本発明によるプロキシ反射とは、ネットワークセッショ
ンを、処理のために他の「リモート」プロキシサーバに
リダイレクトした後、ファイアウォールを通じて目的の
デスティネーションへ渡すものである。新しいセッショ
ンがファイアウォールに入ると、プロキシサーバによる
サービスが要求されているかどうかが判定される。プロ
キシサーバによるサービスが要求されている場合、ファ
イアウォールは、パケット内のデスティネーションアド
レスを、プロキシアプリケーションのホストアドレスで
置き換える。必要であれば、ファイアウォールは、サー
ビスポートも変更することが可能である。プロキシアプ
リケーションは、そのセッションを受け取ると、デステ
ィネーションへのコネクションの権限が与えられている
かどうかを判定するために、ファイアウォールに対し
て、そのセッションのもとのデスティネーションアドレ
スを要求する。その後、プロキシが、自己のＩＰアドレ
スを用いてそのデスティネーションへのコネクションを
形成する場合、ファイアウォールによって提供されるサ
ービスを「単一反射」あるいは「一方向反射」という。
ンを、処理のために他の「リモート」プロキシサーバに
リダイレクトした後、ファイアウォールを通じて目的の
デスティネーションへ渡すものである。新しいセッショ
ンがファイアウォールに入ると、プロキシサーバによる
サービスが要求されているかどうかが判定される。プロ
キシサーバによるサービスが要求されている場合、ファ
イアウォールは、パケット内のデスティネーションアド
レスを、プロキシアプリケーションのホストアドレスで
置き換える。必要であれば、ファイアウォールは、サー
ビスポートも変更することが可能である。プロキシアプ
リケーションは、そのセッションを受け取ると、デステ
ィネーションへのコネクションの権限が与えられている
かどうかを判定するために、ファイアウォールに対し
て、そのセッションのもとのデスティネーションアドレ
スを要求する。その後、プロキシが、自己のＩＰアドレ
スを用いてそのデスティネーションへのコネクションを
形成する場合、ファイアウォールによって提供されるサ
ービスを「単一反射」あるいは「一方向反射」という。
【００８５】ユーザおよびプロキシアプリケーションに
よっては、デスティネーションにおいてコネクションが
リモートシステムではなくもとのソースから来ているよ
うに見えなければならない場合がある。これは、例え
ば、ソースＩＰアドレスを検査して、要求されたサービ
スに対してサインアップしたユーザに一致するかどうか
を確認するサービスの場合に当てはまる。この能力は、
「二重反射」（あるいは「双方向反射」）によって提供
される。この場合、出コネクションのソースアドレスは
リモートプロキシからもとのユーザのソースアドレスに
変更される（戻される）。この変更は、各パケットがプ
ロキシから受信されてデスティネーションへ送られると
きに、ファイアウォールで行われる。
よっては、デスティネーションにおいてコネクションが
リモートシステムではなくもとのソースから来ているよ
うに見えなければならない場合がある。これは、例え
ば、ソースＩＰアドレスを検査して、要求されたサービ
スに対してサインアップしたユーザに一致するかどうか
を確認するサービスの場合に当てはまる。この能力は、
「二重反射」（あるいは「双方向反射」）によって提供
される。この場合、出コネクションのソースアドレスは
リモートプロキシからもとのユーザのソースアドレスに
変更される（戻される）。この変更は、各パケットがプ
ロキシから受信されてデスティネーションへ送られると
きに、ファイアウォールで行われる。
【００８６】二重反射能力を提供するため、プロキシア
プリケーションは、ファイアウォールに対して、もとの
入ネットワークセッションの詳細を要求する。ファイア
ウォールは、出コネクションで用いるポート番号を返
す。このポート番号は固有のものであり、これによりフ
ァイアウォールは、ソースアドレスを正しいユーザソー
スアドレスにマッピングすることができるように、正し
い出コネクションを識別することができる。その結果、
プロキシアプリケーションは両方のパーティには見えな
い。
プリケーションは、ファイアウォールに対して、もとの
入ネットワークセッションの詳細を要求する。ファイア
ウォールは、出コネクションで用いるポート番号を返
す。このポート番号は固有のものであり、これによりフ
ァイアウォールは、ソースアドレスを正しいユーザソー
スアドレスにマッピングすることができるように、正し
い出コネクションを識別することができる。その結果、
プロキシアプリケーションは両方のパーティには見えな
い。
【００８７】プロキシ反射を実現する際に、図１１およ
び図１２を参照して以下で説明する実施例のように、動
的ルールを用いることが可能である。
び図１２を参照して以下で説明する実施例のように、動
的ルールを用いることが可能である。
【００８８】図１１に、プロキシ反射処理を例示する。
これは、ファイアウォールにおける以下のステップを含
む。
これは、ファイアウォールにおける以下のステップを含
む。
【００８９】１００１：パケットがファイアウォールに
よって受信される。
よって受信される。
【００９０】１００２：適当なセッションキャッシュを
調べることによって、あるいは、キャッシュ内に見つか
らなければ、適当なルールセットを調べることによっ
て、パケットに関係づけられたアクションが判定され
る。アクションが「通過」または「プロキシ」である場
合、パケット処理は継続される。アクションが「廃棄」
である場合、パケットは廃棄される。
調べることによって、あるいは、キャッシュ内に見つか
らなければ、適当なルールセットを調べることによっ
て、パケットに関係づけられたアクションが判定され
る。アクションが「通過」または「プロキシ」である場
合、パケット処理は継続される。アクションが「廃棄」
である場合、パケットは廃棄される。
【００９１】１００３：アクションが、ファイアウォー
ル上でローカルにサポートされるプロキシアプリケーシ
ョンを示している場合、パケットは、プロトコルスタッ
クを通じて、待機中のプロキシアプリケーションへ送ら
れる。
ル上でローカルにサポートされるプロキシアプリケーシ
ョンを示している場合、パケットは、プロトコルスタッ
クを通じて、待機中のプロキシアプリケーションへ送ら
れる。
【００９２】１００４：アクションがリモートプロキシ
を示している場合、パケットのデスティネーションアド
レスがリモートプロキシのアドレスで置き換えられる。
設定により、デスティネーションポートを変更すること
も可能である。もとのパケットヘッダデータが、変更さ
れた値とともにセッションキャッシュに記録される。
を示している場合、パケットのデスティネーションアド
レスがリモートプロキシのアドレスで置き換えられる。
設定により、デスティネーションポートを変更すること
も可能である。もとのパケットヘッダデータが、変更さ
れた値とともにセッションキャッシュに記録される。
【００９３】１００５：パケットはリモートプロキシサ
ーバへ転送される。
ーバへ転送される。
【００９４】図１２に、リモートプロキシにおける、ス
テップ１００５に続く処理を例示する。これは以下のス
テップを含む。
テップ１００５に続く処理を例示する。これは以下のス
テップを含む。
【００９５】１００６：パケットはリモートプロキシサ
ーバアプリケーションで受信される。
ーバアプリケーションで受信される。
【００９６】１００７：リモートプロキシは、ファイア
ウォールに対して、パケットのもとのセッションキーを
要求する。
ウォールに対して、パケットのもとのセッションキーを
要求する。
【００９７】１００８：リモートプロキシアプリケーシ
ョンは、もとのセッションキーを用いて自己の機能（例
えば、自己のセキュリティモデルに基づいてコネクショ
ンを廃棄する、要求されたサービスを実行する、あるい
は、ユーザに代わってもとのデスティネーションアドレ
スと通信する）を実行する。リモートプロキシが単一反
射を用いている場合、プロセスはステップ１０１１に飛
ぶ。
ョンは、もとのセッションキーを用いて自己の機能（例
えば、自己のセキュリティモデルに基づいてコネクショ
ンを廃棄する、要求されたサービスを実行する、あるい
は、ユーザに代わってもとのデスティネーションアドレ
スと通信する）を実行する。リモートプロキシが単一反
射を用いている場合、プロセスはステップ１０１１に飛
ぶ。
【００９８】１００９：リモートプロキシアプリケーシ
ョンは、暗号化されたチャネルを通じて、ファイアウォ
ールに対して二重反射能力を要求する。
ョンは、暗号化されたチャネルを通じて、ファイアウォ
ールに対して二重反射能力を要求する。
【００９９】１０１０：ファイアウォールは、サーバか
らのコネクションの固有性を保証する新しいデスティネ
ーションポート番号を決定する。ファイアウォールはこ
の新しいポート番号およびもとのセッションキーをプロ
キシアプリケーションに返す。
らのコネクションの固有性を保証する新しいデスティネ
ーションポート番号を決定する。ファイアウォールはこ
の新しいポート番号およびもとのセッションキーをプロ
キシアプリケーションに返す。
【０１００】１０１１：リモートプロキシアプリケーシ
ョンは、ファイアウォールに対して、自己からもとのデ
スティネーションへのコネクションに対する許可を要求
する。
ョンは、ファイアウォールに対して、自己からもとのデ
スティネーションへのコネクションに対する許可を要求
する。
【０１０１】１０１２：ファイアウォールは、動的ルー
ルをロードしてこのアクションを実行する。
ルをロードしてこのアクションを実行する。
【０１０２】１０１３：リモートプロキシは、パケット
をファイアウォールに送る。ステップ１０１２でロード
された動的ルールに基づいて、ファイアウォールはパケ
ットをもとのデスティネーションへ転送する。二重反射
の場合、プロキシは、ステップ１０１０でファイアウォ
ールによって決定されたデスティネーションポートを使
用し、パケットがファイアウォール通過するときに、Ｉ
Ｐヘッダ値はもとの値に戻される。
をファイアウォールに送る。ステップ１０１２でロード
された動的ルールに基づいて、ファイアウォールはパケ
ットをもとのデスティネーションへ転送する。二重反射
の場合、プロキシは、ステップ１０１０でファイアウォ
ールによって決定されたデスティネーションポートを使
用し、パケットがファイアウォール通過するときに、Ｉ
Ｐヘッダ値はもとの値に戻される。
【０１０３】同じセッションに関係づけられた後続のす
べてのパケットは、ステップ１００７および１００９〜
１０１２を飛ばすことが可能であることを除いては、同
様に処理される。これは、セッションが生きている間、
同じ動的ルールが適用されるからである。
べてのパケットは、ステップ１００７および１００９〜
１０１２を飛ばすことが可能であることを除いては、同
様に処理される。これは、セッションが生きている間、
同じ動的ルールが適用されるからである。
【０１０４】本発明は、広範囲のアプリケーションで実
施することができる。例えば、本発明は、ダイヤルアッ
プアクセスゲートウェイにおけるファイアウォール性能
を改善するために使用可能である。本発明の別の実施例
では、ファイアウォールの第１部分がネットワークに存
在し、ファイアウォールの第２部分がセットトップボッ
クス、コンピュータあるいはその他の、家庭または会社
にあるユーザ端末にあるというように分散的にも実装可
能である。後者の実施例によれば、本発明のファイアウ
ォール技術は、例えば、家庭においてインターネットと
ビデオアクセスの親による制御を提供することが可能で
ある。
施することができる。例えば、本発明は、ダイヤルアッ
プアクセスゲートウェイにおけるファイアウォール性能
を改善するために使用可能である。本発明の別の実施例
では、ファイアウォールの第１部分がネットワークに存
在し、ファイアウォールの第２部分がセットトップボッ
クス、コンピュータあるいはその他の、家庭または会社
にあるユーザ端末にあるというように分散的にも実装可
能である。後者の実施例によれば、本発明のファイアウ
ォール技術は、例えば、家庭においてインターネットと
ビデオアクセスの親による制御を提供することが可能で
ある。
【０１０５】
【発明の効果】以上述べたごとく、本発明によれば、コ
ンピュータネットワークファイアウォールは、パケット
を処理するためのアクセスルールのセットに追加された
動的ルールを利用することが可能である。動的ルールに
よれば、与えられたルールセットは、ルールセット全体
をリロードすることを要求せずに、ネットワークにおい
て起こるイベントに基づいて修正される。動的ルールの
例としては、単一のセッションに対してのみ用いられる
「ワンタイム」ルール、指定された期間に対してのみ用
いられる時限ルール、および、ある条件が満たされたと
きにのみ用いられるしきい値ルールがある。他のタイプ
の動的ルールとしては、ホストグループを定義するルー
ルがある。この動的ルールによれば、アクセスルールセ
ットの他の事項を変更せずに、ホストを追加あるいは削
除するようにホストグループを変更することができる。
ンピュータネットワークファイアウォールは、パケット
を処理するためのアクセスルールのセットに追加された
動的ルールを利用することが可能である。動的ルールに
よれば、与えられたルールセットは、ルールセット全体
をリロードすることを要求せずに、ネットワークにおい
て起こるイベントに基づいて修正される。動的ルールの
例としては、単一のセッションに対してのみ用いられる
「ワンタイム」ルール、指定された期間に対してのみ用
いられる時限ルール、および、ある条件が満たされたと
きにのみ用いられるしきい値ルールがある。他のタイプ
の動的ルールとしては、ホストグループを定義するルー
ルがある。この動的ルールによれば、アクセスルールセ
ットの他の事項を変更せずに、ホストを追加あるいは削
除するようにホストグループを変更することができる。
【図１】ユーザサイトに対するファイアウォール保護を
提供するローカルエリアネットワークを通じてインター
ネットに接続されたいくつかのユーザサイトあるいはド
メインの図である。
提供するローカルエリアネットワークを通じてインター
ネットに接続されたいくつかのユーザサイトあるいはド
メインの図である。
【図２】インターネットに接続され内部ファイアウォー
ルを有するユーザサイトの図である。
ルを有するユーザサイトの図である。
【図３】ルールテーブルを例示する図である。
【図４】キャッシュを例示する図である。
【図５】複数のドメインに対するファイアウォール処理
の全体流れ図である。
の全体流れ図である。
【図６】複数のドメインに対するファイアウォール処理
の全体流れ図である。
の全体流れ図である。
【図７】ドメインテーブルを例示する図である。
【図８】複数のドメインに対するファイアウォール処理
の一部の流れ図である。
の一部の流れ図である。
【図９】依存関係マスクを例示する図である。
【図１０】依存関係マスク処理の流れ図である。
【図１１】ファイアウォールにおけるプロキシ反射処理
の流れ図である。
の流れ図である。
【図１２】リモートプロキシにおけるプロキシ反射処理
の流れ図である。
の流れ図である。
１０１ ユーザサイト １０２ ユーザサイト １０３ ユーザサイト １０４ ユーザサイト １０５ インターネット １１０ ＬＡＮ １１１ ファイアウォールプロセッサ １１３ ファイアウォールプロセッサ １１４ ファイアウォールプロセッサ １１５ アドミニストレータプロセッサ １１６ ルータ １１７ ウェブサーバ ２０１ ユーザサイト ２１１ ファイアウォールプロセッサ ２１２ ファイアウォールプロセッサ ２１３ ファイアウォールプロセッサ ２１５ アドミニストレータプロセッサ ２１６ ルータ ２２１ サブサイト ２２２ サブサイト ２２３ サブサイト
───────────────────────────────────────────────────── フロントページの続き (71)出願人 596077259 600 Ｍｏｕｎｔａｉｎ Ａｖｅｎｕｅ, Ｍｕｒｒａｙ Ｈｉｌｌ， Ｎｅｗ Ｊｅ ｒｓｅｙ 07974−0636Ｕ．Ｓ．Ａ. (72)発明者 デヴィッド エル．マジェット アメリカ合衆国，07924 ニュージャージ ー，バーナーズヴィル，マレンズ レイン 73 (72)発明者 ロナルド エル．シャープ アメリカ合衆国，07830 ニュージャージ ー，キャリフォン，ギャリー レイン，レ イルロード２ ボックス 245
Claims (39)
- 【請求項１】 コンピュータネットワークでファイアウ
ォールサービスを提供する方法において、該方法は、 初期ルールセットをロードするステップと、 前記初期ルールセットを消去することなくルールセット
を修正する修正ステップとからなることを特徴とするフ
ァイアウォールサービス提供方法。 - 【請求項２】 前記ファイアウォールサービスはファイ
アウォールによって提供され、 前記修正ステップは、前記修正ステップが実行されると
きに前記ファイアウォールを通って存在するすべてのコ
ネクションを失うことなく実行されることを特徴とする
請求項１に記載の方法。 - 【請求項３】 前記ファイアウォールサービスはファイ
アウォールによって提供され、 前記修正ステップは、前記修正ステップが実行されると
きに前記ファイアウォールを通って存在するコネクショ
ンの大部分を失うことなく実行されることを特徴とする
請求項１に記載の方法。 - 【請求項４】 前記ファイアウォールサービスはファイ
アウォールによって提供され、 前記ファイアウォールは、キャッシュを用いて、前記フ
ァイアウォールを通るパケットを処理し、 前記キャッシュの内容は前記修正ステップによって不変
のままであることを特徴とする請求項１に記載の方法。 - 【請求項５】 前記ファイアウォールサービスは、ファ
イアウォールサービスを行う複数のドメインによって提
供され、 前記修正ステップは、前記複数のドメインのうちの１つ
のドメインに関係づけられたルールセットを修正し、他
のドメインは、前記修正ステップが実行されるときに前
記ファイアウォールを通って存在するすべてのコネクシ
ョンを失うことなく動作を継続することを特徴とする請
求項１に記載の方法。 - 【請求項６】 前記ファイアウォールサービスは、ファ
イアウォールサービスを行う複数のドメインによって提
供され、 前記修正ステップは、前記複数のドメインのうちの１つ
のドメインに関係づけられたルールセットを修正し、他
のドメインは、前記修正ステップが実行されるときに前
記ファイアウォールを通って存在するコネクションの大
部分を失うことなく動作を継続することを特徴とする請
求項１に記載の方法。 - 【請求項７】 コンピュータネットワークでファイアウ
ォールサービスを提供する方法において、該方法は、 指定された条件下でルールセットの作用を変更するよう
に作用する少なくとも１つのルールをアクセスルールセ
ット内に含めることによって拡張ルールセットを形成す
るステップと、 前記拡張ルールセットを用いてパケットを検証するステ
ップとからなることを特徴とするファイアウォールサー
ビス提供方法。 - 【請求項８】 前記少なくとも１つのルールは動的ルー
ルであることを特徴とする請求項７に記載の方法。 - 【請求項９】 前記動的ルールは、パケットが伝送のた
めに満たさなければならない時間条件を含むことを特徴
とする請求項８に記載の方法。 - 【請求項１０】 前記動的ルールは、寿命が指定されて
いる場合に、該寿命の終了時に削除されることを特徴と
する請求項８に記載の方法。 - 【請求項１１】 前記動的ルールは、単一のネットワー
クセッションに対して作用することを特徴とする請求項
８に記載の方法。 - 【請求項１２】 前記動的ルールは、リモートプロキシ
からデスティネーションまでのコネクションに関する情
報を含むことを特徴とする請求項８に記載の方法。 - 【請求項１３】 前記動的ルールは、ファイル転送プロ
トコルＦＴＰにおいて、データ要求に応答してＦＴＰデ
ータチャネルを確立すべきかどうかを判定するためにプ
ロキシによって適用されることを特徴とする請求項８に
記載の方法。 - 【請求項１４】 前記動的ルールは、しきい値条件を指
定し、 前記動的ルールは、前記しきい値条件が満たされるとき
にのみ使用されることを特徴とする請求項８に記載の方
法。 - 【請求項１５】 前記動的ルールは、該動的ルールによ
って参照される少なくとも１つのデータセットに関係づ
けられ、該データセット内のデータは、ルール自体を変
更することなく該ルールの作用を変更するように変更可
能であることを特徴とする請求項８に記載の方法。 - 【請求項１６】 前記データセットはホストグループを
定義し、該ホストグループは、前記アクセスルールセッ
トの他の部分を変更することなく、複数のホストを追加
または削除するように修正されることが可能であること
を特徴とする請求項１５に記載の方法。 - 【請求項１７】 コンピュータネットワークでファイア
ウォールサービスを提供するコンピュータシステムにお
いて、 アクセスルールセットを記憶するメモリと、 前記メモリに接続されたプロセッサとからなり、該プロ
セッサは、 （ｉ）指定された条件下でルールセットの作用を変更す
るように作用する少なくとも１つのルールをアクセスル
ールセット内に含めることによって拡張ルールセットを
形成し、 （ｉｉ）前記拡張ルールセットを用いてパケットを検証
することを特徴とするコンピュータシステム。 - 【請求項１８】 前記少なくとも１つのルールは動的ル
ールであることを特徴とする請求項１７に記載のコンピ
ュータシステム。 - 【請求項１９】 前記動的ルールは、パケットが伝送の
ために満たさなければならない時間条件を含むことを特
徴とする請求項１８に記載のコンピュータシステム。 - 【請求項２０】 前記動的ルールは、寿命が指定されて
いる場合に、該寿命の終了時に削除されることを特徴と
する請求項１８に記載のコンピュータシステム。 - 【請求項２１】 前記動的ルールは、単一のネットワー
クセッションに対して作用することを特徴とする請求項
１８に記載のコンピュータシステム。 - 【請求項２２】 前記動的ルールは、リモートプロキシ
からデスティネーションまでのコネクションに関する情
報を含むことを特徴とする請求項１８に記載のコンピュ
ータシステム。 - 【請求項２３】 前記動的ルールは、ファイル転送プロ
トコルＦＴＰにおいて、データ要求に応答してＦＴＰデ
ータチャネルを確立すべきかどうかを判定するためにプ
ロキシによって適用されることを特徴とする請求項１８
に記載のコンピュータシステム。 - 【請求項２４】 前記動的ルールは、しきい値条件を指
定し、 前記動的ルールは、前記しきい値条件が満たされるとき
にのみ使用されることを特徴とする請求項１８に記載の
コンピュータシステム。 - 【請求項２５】 前記動的ルールは、該動的ルールによ
って参照される少なくとも１つのデータセットに関係づ
けられ、該データセット内のデータは、ルール自体を変
更することなく該ルールの作用を変更するように変更可
能であることを特徴とする請求項１８に記載のコンピュ
ータシステム。 - 【請求項２６】 前記データセットはホストグループを
定義し、該ホストグループは、前記アクセスルールセッ
トの他の部分を変更することなく、複数のホストを追加
または削除するように修正されることが可能であること
を特徴とする請求項２５に記載のコンピュータシステ
ム。 - 【請求項２７】 コンピュータネットワークでファイア
ウォールサービスを提供するコンピュータシステムにお
いて、該コンピュータシステムは、 指定された条件下でルールセットの作用を変更するよう
に作用する少なくとも１つのルールをアクセスルールセ
ット内に含めることによって拡張ルールセットを形成す
る手段と、 前記拡張ルールセットを用いてパケットを検証する手段
とからなることを特徴とするコンピュータシステム。 - 【請求項２８】 前記少なくとも１つのルールは動的ル
ールであることを特徴とする請求項２７に記載のコンピ
ュータシステム。 - 【請求項２９】 コンピュータネットワークにおけるパ
ケット検証を行うコンピュータシステムのアクセスルー
ルとともに含められる動的ルールにおいて、 前記動的ルールは、前記アクセスルールと同様のフォー
マットを有し、 前記動的ルールは、前記アクセスルールよりも短い期間
だけ有効であることを特徴とする動的ルール。 - 【請求項３０】 前記動的ルールは、パケットが伝送の
ために満たさなければならない時間条件を含むことを特
徴とする請求項２９に記載の動的ルール。 - 【請求項３１】 前記動的ルールは、寿命が指定されて
いる場合に、該寿命の終了時に削除されることを特徴と
する請求項２９に記載の動的ルール。 - 【請求項３２】 前記動的ルールは、単一のネットワー
クセッションに対して作用することを特徴とする請求項
２９に記載の動的ルール。 - 【請求項３３】 前記動的ルールは、リモートプロキシ
からデスティネーションまでのコネクションに関する情
報を含むことを特徴とする請求項２９に記載の動的ルー
ル。 - 【請求項３４】 前記動的ルールは、ファイル転送プロ
トコルＦＴＰにおいて、データ要求に応答してＦＴＰデ
ータチャネルを確立すべきかどうかを判定するためにプ
ロキシによって適用されることを特徴とする請求項２９
に記載の動的ルール。 - 【請求項３５】 前記動的ルールは、しきい値条件を指
定し、 前記動的ルールは、前記しきい値条件が満たされるとき
にのみ使用されることを特徴とする請求項２９に記載の
動的ルール。 - 【請求項３６】 前記動的ルールは、該動的ルールによ
って参照される少なくとも１つのデータセットに関係づ
けられ、該データセット内のデータは、ルール自体を変
更することなく該ルールの作用を変更するように変更可
能であることを特徴とする請求項２９に記載の動的ルー
ル。 - 【請求項３７】 前記データセットはホストグループを
定義し、該ホストグループは、前記アクセスルールセッ
トの他の部分を変更することなく、複数のホストを追加
または削除するように修正されることが可能であること
を特徴とする請求項３６に記載の動的ルール。 - 【請求項３８】 コンピュータネットワークでファイア
ウォールサービスを提供する方法において、該方法は、 アクセスルールセットを定義するステップと、 前記アクセスルールセットを用いてパケットを検証する
ステップとからなり、 少なくとも１つのルールは、該ルールによって参照され
る少なくとも１つのデータセットに関係づけられ、該デ
ータセット内のデータは、ルール自体を変更することな
く該ルールの作用を変更するように変更可能であること
を特徴とするファイアウォールサービス提供方法。 - 【請求項３９】 前記データセットはホストグループを
定義し、該ホストグループは、前記アクセスルールセッ
トの他の部分を変更することなく、複数のホストを追加
または削除するように修正されることが可能であること
を特徴とする請求項３８に記載の方法。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US08/928796 | 1997-09-12 | ||
| US08/928,796 US6154775A (en) | 1997-09-12 | 1997-09-12 | Methods and apparatus for a computer network firewall with dynamic rule processing with the ability to dynamically alter the operations of rules |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH11167538A true JPH11167538A (ja) | 1999-06-22 |
| JP3443529B2 JP3443529B2 (ja) | 2003-09-02 |
Family
ID=25456777
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP25282998A Expired - Lifetime JP3443529B2 (ja) | 1997-09-12 | 1998-09-07 | ファイアウォールサービスを提供する方法と、ファイアウォールサービスを提供するコンピュータシステム |
Country Status (3)
| Country | Link |
|---|---|
| US (1) | US6154775A (ja) |
| EP (1) | EP0910197A3 (ja) |
| JP (1) | JP3443529B2 (ja) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001060968A (ja) * | 1999-08-23 | 2001-03-06 | Maspro Denkoh Corp | ケーブルモデムシステム |
| US7092527B2 (en) | 2002-04-18 | 2006-08-15 | International Business Machines Corporation | Method, system and program product for managing a size of a key management block during content distribution |
| JP2015518296A (ja) * | 2012-03-09 | 2015-06-25 | アルカテル−ルーセント | Ｄｎｓデータを使用してｉｐフローに関連するアプリケーションを特定する方法および装置 |
Families Citing this family (180)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US6791947B2 (en) | 1996-12-16 | 2004-09-14 | Juniper Networks | In-line packet processing |
| DE69838095T2 (de) | 1997-03-12 | 2008-04-03 | Nomadix, Inc., Westlake Village | Nomadic Translator |
| US7143438B1 (en) * | 1997-09-12 | 2006-11-28 | Lucent Technologies Inc. | Methods and apparatus for a computer network firewall with multiple domain support |
| US6233618B1 (en) * | 1998-03-31 | 2001-05-15 | Content Advisor, Inc. | Access control of networked data |
| US6779118B1 (en) | 1998-05-04 | 2004-08-17 | Auriq Systems, Inc. | User specific automatic data redirection system |
| JPH11338798A (ja) * | 1998-05-27 | 1999-12-10 | Ntt Communication Ware Kk | ネットワークシステムおよびプログラムを記録したコンピュータ読み取り可能な記録媒体 |
| US6876653B2 (en) * | 1998-07-08 | 2005-04-05 | Broadcom Corporation | Fast flexible filter processor based architecture for a network device |
| CA2287813C (en) * | 1998-10-22 | 2005-03-29 | At&T Corp. | System and method for network load balancing |
| CA2287258C (en) * | 1998-10-22 | 2004-08-10 | At&T Corp. | System and method for demand-driven loading of rules in a firewall |
| US6466976B1 (en) * | 1998-12-03 | 2002-10-15 | Nortel Networks Limited | System and method for providing desired service policies to subscribers accessing the internet |
| US8266266B2 (en) | 1998-12-08 | 2012-09-11 | Nomadix, Inc. | Systems and methods for providing dynamic network authorization, authentication and accounting |
| US8713641B1 (en) | 1998-12-08 | 2014-04-29 | Nomadix, Inc. | Systems and methods for authorizing, authenticating and accounting users having transparent computer access to a network using a gateway device |
| US7194554B1 (en) | 1998-12-08 | 2007-03-20 | Nomadix, Inc. | Systems and methods for providing dynamic network authorization authentication and accounting |
| US6687353B1 (en) | 1998-12-11 | 2004-02-03 | Securelogix Corporation | System and method for bringing an in-line device on-line and assuming control of calls |
| US6249575B1 (en) | 1998-12-11 | 2001-06-19 | Securelogix Corporation | Telephony security system |
| US6226372B1 (en) * | 1998-12-11 | 2001-05-01 | Securelogix Corporation | Tightly integrated cooperative telecommunications firewall and scanner with distributed capabilities |
| US6760420B2 (en) * | 2000-06-14 | 2004-07-06 | Securelogix Corporation | Telephony security system |
| US7133511B2 (en) * | 1998-12-11 | 2006-11-07 | Securelogix Corporation | Telephony security system |
| CA2296989C (en) * | 1999-01-29 | 2005-10-25 | Lucent Technologies Inc. | A method and apparatus for managing a firewall |
| US6701432B1 (en) * | 1999-04-01 | 2004-03-02 | Netscreen Technologies, Inc. | Firewall including local bus |
| US6754832B1 (en) * | 1999-08-12 | 2004-06-22 | International Business Machines Corporation | Security rule database searching in a network security environment |
| US6505192B1 (en) * | 1999-08-12 | 2003-01-07 | International Business Machines Corporation | Security rule processing for connectionless protocols |
| US6715081B1 (en) * | 1999-08-12 | 2004-03-30 | International Business Machines Corporation | Security rule database searching in a network security environment |
| US6347376B1 (en) * | 1999-08-12 | 2002-02-12 | International Business Machines Corp. | Security rule database searching in a network security environment |
| US6751677B1 (en) * | 1999-08-24 | 2004-06-15 | Hewlett-Packard Development Company, L.P. | Method and apparatus for allowing a secure and transparent communication between a user device and servers of a data access network system via a firewall and a gateway |
| NO995081D0 (no) * | 1999-10-18 | 1999-10-18 | Ericsson Telefon Ab L M | Anordning for H.323 proxy |
| US6792463B1 (en) * | 1999-10-21 | 2004-09-14 | International Business Machines Corporation | System, method and program product for providing invisibility to a proxy-server |
| WO2001031861A1 (en) | 1999-10-22 | 2001-05-03 | Nomadix, Inc. | Systems and methods for dynamic bandwidth management on a per subscriber basis in a communications network |
| WO2001031885A2 (en) | 1999-10-22 | 2001-05-03 | Nomadix, Inc. | Gateway device having an xml interface and associated method |
| US6738901B1 (en) | 1999-12-15 | 2004-05-18 | 3M Innovative Properties Company | Smart card controlled internet access |
| US6779120B1 (en) * | 2000-01-07 | 2004-08-17 | Securify, Inc. | Declarative language for specifying a security policy |
| US7143439B2 (en) * | 2000-01-07 | 2006-11-28 | Security, Inc. | Efficient evaluation of rules |
| US8074256B2 (en) * | 2000-01-07 | 2011-12-06 | Mcafee, Inc. | Pdstudio design system and method |
| US7908652B1 (en) | 2001-12-21 | 2011-03-15 | Trapware Corporation | Detection of observers and countermeasures against observers |
| US8176551B1 (en) * | 2000-01-27 | 2012-05-08 | Trapware Corporation | Detection of observer programs and countermeasures against observer programs |
| US6675223B1 (en) * | 2000-04-10 | 2004-01-06 | International Business Machines Corporation | Method and apparatus for processing frames using static and dynamic classifiers |
| GB0008952D0 (en) | 2000-04-12 | 2000-05-31 | Mitel Corp | Dynamic rule sets for generated logs |
| US6931437B2 (en) * | 2000-04-27 | 2005-08-16 | Nippon Telegraph And Telephone Corporation | Concentrated system for controlling network interconnections |
| US6914905B1 (en) | 2000-06-16 | 2005-07-05 | Extreme Networks, Inc. | Method and system for VLAN aggregation |
| US6950947B1 (en) | 2000-06-20 | 2005-09-27 | Networks Associates Technology, Inc. | System for sharing network state to enhance network throughput |
| US7031267B2 (en) * | 2000-12-21 | 2006-04-18 | 802 Systems Llc | PLD-based packet filtering methods with PLD configuration data update of filtering rules |
| US7120931B1 (en) * | 2000-08-31 | 2006-10-10 | Cisco Technology, Inc. | System and method for generating filters based on analyzed flow data |
| GB0022485D0 (en) * | 2000-09-13 | 2000-11-01 | Apl Financial Services Oversea | Monitoring network activity |
| US6826698B1 (en) * | 2000-09-15 | 2004-11-30 | Networks Associates Technology, Inc. | System, method and computer program product for rule based network security policies |
| US7227862B2 (en) * | 2000-09-20 | 2007-06-05 | Broadcom Corporation | Network switch having port blocking capability |
| US8150013B2 (en) * | 2000-11-10 | 2012-04-03 | Securelogix Corporation | Telephony security system |
| US6874030B1 (en) * | 2000-11-13 | 2005-03-29 | Cisco Technology, Inc. | PPP domain name and L2TP tunnel selection configuration override |
| US7325058B1 (en) | 2000-11-13 | 2008-01-29 | Cisco Technology, Inc. | Method and system for controlling subscriber access in a network capable of establishing connections with a plurality of domain sites |
| US20020078382A1 (en) * | 2000-11-29 | 2002-06-20 | Ali Sheikh | Scalable system for monitoring network system and components and methodology therefore |
| US7333505B2 (en) * | 2000-12-18 | 2008-02-19 | Nortel Networks Limited | Transaction management for interworking between disparate networks |
| US6912592B2 (en) * | 2001-01-05 | 2005-06-28 | Extreme Networks, Inc. | Method and system of aggregate multiple VLANs in a metropolitan area network |
| FI20010267A0 (fi) | 2001-02-13 | 2001-02-13 | Stonesoft Oy | Tietoturvagatewayn tilatietojen synkronointi |
| US7139276B1 (en) | 2001-02-27 | 2006-11-21 | Cisco Technology, Inc. | Load sharing between L2TP tunnels |
| US7284267B1 (en) | 2001-03-08 | 2007-10-16 | Mcafee, Inc. | Automatically configuring a computer firewall based on network connection |
| US7023879B1 (en) | 2001-03-09 | 2006-04-04 | Cisco Technology, Inc. | Dynamic multi-hop ingress to egress L2TP tunnel mapping |
| US7095716B1 (en) | 2001-03-30 | 2006-08-22 | Juniper Networks, Inc. | Internet security device and method |
| US7093280B2 (en) * | 2001-03-30 | 2006-08-15 | Juniper Networks, Inc. | Internet security system |
| US7339947B2 (en) * | 2001-04-18 | 2008-03-04 | Skypilot Networks, Inc. | Network channel access protocol—frame execution |
| US6816455B2 (en) * | 2001-05-09 | 2004-11-09 | Telecom Italia S.P.A. | Dynamic packet filter utilizing session tracking |
| US20020198994A1 (en) * | 2001-05-15 | 2002-12-26 | Charles Patton | Method and system for enabling and controlling communication topology, access to resources, and document flow in a distributed networking environment |
| US7069330B1 (en) * | 2001-07-05 | 2006-06-27 | Mcafee, Inc. | Control of interaction between client computer applications and network resources |
| WO2003010946A1 (en) * | 2001-07-23 | 2003-02-06 | Securelogix Corporation | Encapsulation, compression and encryption of pcm data |
| US20030187977A1 (en) * | 2001-07-24 | 2003-10-02 | At&T Corp. | System and method for monitoring a network |
| US7165100B2 (en) * | 2001-07-24 | 2007-01-16 | At&T Corp. | Method and apparatus for packet analysis in a network |
| US20030037141A1 (en) * | 2001-08-16 | 2003-02-20 | Gary Milo | Heuristic profiler software features |
| US7302700B2 (en) | 2001-09-28 | 2007-11-27 | Juniper Networks, Inc. | Method and apparatus for implementing a layer 3/layer 7 firewall in an L2 device |
| US7370353B2 (en) * | 2001-11-05 | 2008-05-06 | Cisco Technology, Inc. | System and method for managing dynamic network sessions |
| US20030093689A1 (en) * | 2001-11-15 | 2003-05-15 | Aladdin Knowledge Systems Ltd. | Security router |
| US7953087B1 (en) * | 2001-12-28 | 2011-05-31 | The Directv Group, Inc. | Content filtering using static source routes |
| US8209756B1 (en) | 2002-02-08 | 2012-06-26 | Juniper Networks, Inc. | Compound attack detection in a computer network |
| US8370936B2 (en) | 2002-02-08 | 2013-02-05 | Juniper Networks, Inc. | Multi-method gateway-based network security systems and methods |
| US7734752B2 (en) | 2002-02-08 | 2010-06-08 | Juniper Networks, Inc. | Intelligent integrated network security device for high-availability applications |
| US7650634B2 (en) | 2002-02-08 | 2010-01-19 | Juniper Networks, Inc. | Intelligent integrated network security device |
| US7719980B2 (en) * | 2002-02-19 | 2010-05-18 | Broadcom Corporation | Method and apparatus for flexible frame processing and classification engine |
| US7185365B2 (en) * | 2002-03-27 | 2007-02-27 | Intel Corporation | Security enabled network access control |
| US20030212901A1 (en) * | 2002-05-13 | 2003-11-13 | Manav Mishra | Security enabled network flow control |
| US20040153574A1 (en) * | 2002-05-13 | 2004-08-05 | Sandia National Laboratories | Method and apparatus for specifying communication indication matching and/or responses |
| US20040162994A1 (en) * | 2002-05-13 | 2004-08-19 | Sandia National Laboratories | Method and apparatus for configurable communication network defenses |
| US6800321B1 (en) | 2002-05-29 | 2004-10-05 | The Regents Of The University Of California | Reduced AC losses in HTS coated conductors |
| US7657616B1 (en) | 2002-06-10 | 2010-02-02 | Quest Software, Inc. | Automatic discovery of users associated with screen names |
| US7428590B2 (en) * | 2002-06-10 | 2008-09-23 | Akonix Systems, Inc. | Systems and methods for reflecting messages associated with a target protocol within a network |
| CA2488731A1 (en) * | 2002-06-10 | 2003-12-18 | Akonix Systems, Inc. | Systems and methods for a protocol gateway |
| US20080196099A1 (en) * | 2002-06-10 | 2008-08-14 | Akonix Systems, Inc. | Systems and methods for detecting and blocking malicious content in instant messages |
| US7818565B2 (en) | 2002-06-10 | 2010-10-19 | Quest Software, Inc. | Systems and methods for implementing protocol enforcement rules |
| US7774832B2 (en) * | 2002-06-10 | 2010-08-10 | Quest Software, Inc. | Systems and methods for implementing protocol enforcement rules |
| US7707401B2 (en) * | 2002-06-10 | 2010-04-27 | Quest Software, Inc. | Systems and methods for a protocol gateway |
| US6983323B2 (en) * | 2002-08-12 | 2006-01-03 | Tippingpoint Technologies, Inc. | Multi-level packet screening with dynamically selected filtering criteria |
| FI20021802A (fi) * | 2002-10-09 | 2004-04-10 | Tycho Technologies Oy | Hajautetun palomuurin hallinta |
| US7490348B1 (en) | 2003-03-17 | 2009-02-10 | Harris Technology, Llc | Wireless network having multiple communication allowances |
| US20050021683A1 (en) * | 2003-03-27 | 2005-01-27 | Chris Newton | Method and apparatus for correlating network activity through visualizing network data |
| US7325002B2 (en) | 2003-04-04 | 2008-01-29 | Juniper Networks, Inc. | Detection of network security breaches based on analysis of network record logs |
| US7308711B2 (en) * | 2003-06-06 | 2007-12-11 | Microsoft Corporation | Method and framework for integrating a plurality of network policies |
| US7926113B1 (en) | 2003-06-09 | 2011-04-12 | Tenable Network Security, Inc. | System and method for managing network vulnerability analysis systems |
| US7359983B1 (en) * | 2003-06-24 | 2008-04-15 | Nvidia Corporation | Fragment processing utilizing cross-linked tables |
| US20050018693A1 (en) * | 2003-06-27 | 2005-01-27 | Broadcom Corporation | Fast filtering processor for a highly integrated network device |
| US20060288101A1 (en) * | 2003-08-19 | 2006-12-21 | Key Systems, Inc. | Multipurpose Interface and Control System |
| US20050050060A1 (en) * | 2003-08-27 | 2005-03-03 | Gerard Damm | Data structure for range-specified algorithms |
| US7792963B2 (en) * | 2003-09-04 | 2010-09-07 | Time Warner Cable, Inc. | Method to block unauthorized network traffic in a cable data network |
| US7853996B1 (en) | 2003-10-03 | 2010-12-14 | Verizon Services Corp. | Methodology, measurements and analysis of performance and scalability of stateful border gateways |
| US7886350B2 (en) | 2003-10-03 | 2011-02-08 | Verizon Services Corp. | Methodology for measurements and analysis of protocol conformance, performance and scalability of stateful border gateways |
| US7886348B2 (en) | 2003-10-03 | 2011-02-08 | Verizon Services Corp. | Security management system for monitoring firewall operation |
| US7421734B2 (en) * | 2003-10-03 | 2008-09-02 | Verizon Services Corp. | Network firewall test methods and apparatus |
| US7787471B2 (en) * | 2003-11-10 | 2010-08-31 | Broadcom Corporation | Field processor for a network device |
| US20050131835A1 (en) * | 2003-12-12 | 2005-06-16 | Howell James A.Jr. | System for pre-trusting of applications for firewall implementations |
| FR2865337B1 (fr) * | 2004-01-15 | 2006-05-05 | Thomson Licensing Sa | Systeme et procede de securite pour coupe-feu et produit associe |
| US20050229246A1 (en) * | 2004-03-31 | 2005-10-13 | Priya Rajagopal | Programmable context aware firewall with integrated intrusion detection system |
| US20050240758A1 (en) * | 2004-03-31 | 2005-10-27 | Lord Christopher J | Controlling devices on an internal network from an external network |
| US7761918B2 (en) * | 2004-04-13 | 2010-07-20 | Tenable Network Security, Inc. | System and method for scanning a network |
| CA2467603A1 (en) | 2004-05-18 | 2005-11-18 | Ibm Canada Limited - Ibm Canada Limitee | Visualization firewall rules in an auto provisioning environment |
| US8051207B2 (en) * | 2004-06-25 | 2011-11-01 | Citrix Systems, Inc. | Inferring server state in s stateless communication protocol |
| US7475424B2 (en) * | 2004-09-02 | 2009-01-06 | International Business Machines Corporation | System and method for on-demand dynamic control of security policies/rules by a client computing device |
| US20060059558A1 (en) * | 2004-09-15 | 2006-03-16 | John Selep | Proactive containment of network security attacks |
| JPWO2006049072A1 (ja) * | 2004-11-04 | 2008-05-29 | 日本電気株式会社 | ファイアウォール検査システムおよびファイアウォール情報抽出システム |
| US7937755B1 (en) * | 2005-01-27 | 2011-05-03 | Juniper Networks, Inc. | Identification of network policy violations |
| US7797411B1 (en) | 2005-02-02 | 2010-09-14 | Juniper Networks, Inc. | Detection and prevention of encapsulated network attacks using an intermediate device |
| US20060190998A1 (en) * | 2005-02-17 | 2006-08-24 | At&T Corp | Determining firewall rules for reverse firewalls |
| US20060203824A1 (en) * | 2005-02-18 | 2006-09-14 | Song-Huo Yu | Passing values through a memory management unit of a network device |
| US20060187948A1 (en) * | 2005-02-18 | 2006-08-24 | Broadcom Corporation | Layer two and layer three virtual private network support in a network device |
| US20060187923A1 (en) * | 2005-02-18 | 2006-08-24 | Broadcom Corporation | Dynamic filter processor key generation based on packet type |
| US20060187832A1 (en) * | 2005-02-18 | 2006-08-24 | Broadcom Corporation | Filter based range check in a network device |
| US20060187936A1 (en) * | 2005-02-18 | 2006-08-24 | Broadcom Corporation | Table searching techniques in a network device |
| US20060187919A1 (en) * | 2005-02-18 | 2006-08-24 | Broadcom Corporation | Two stage parser for a network |
| US20060187924A1 (en) * | 2005-02-18 | 2006-08-24 | Broadcom Corporation | Ingress handling of data in a network device |
| US7665128B2 (en) * | 2005-04-08 | 2010-02-16 | At&T Corp. | Method and apparatus for reducing firewall rules |
| US8161554B2 (en) * | 2005-04-26 | 2012-04-17 | Cisco Technology, Inc. | System and method for detection and mitigation of network worms |
| US8984636B2 (en) | 2005-07-29 | 2015-03-17 | Bit9, Inc. | Content extractor and analysis system |
| US7895651B2 (en) | 2005-07-29 | 2011-02-22 | Bit 9, Inc. | Content tracking in a network security system |
| US8272058B2 (en) | 2005-07-29 | 2012-09-18 | Bit 9, Inc. | Centralized timed analysis in a network security system |
| US7746862B1 (en) | 2005-08-02 | 2010-06-29 | Juniper Networks, Inc. | Packet processing in a multiple processor system |
| US8364949B1 (en) * | 2005-11-01 | 2013-01-29 | Juniper Networks, Inc. | Authentication for TCP-based routing and management protocols |
| US7756981B2 (en) * | 2005-11-03 | 2010-07-13 | Quest Software, Inc. | Systems and methods for remote rogue protocol enforcement |
| US8027251B2 (en) | 2005-11-08 | 2011-09-27 | Verizon Services Corp. | Systems and methods for implementing protocol-aware network firewall |
| US9374342B2 (en) | 2005-11-08 | 2016-06-21 | Verizon Patent And Licensing Inc. | System and method for testing network firewall using fine granularity measurements |
| US7869411B2 (en) * | 2005-11-21 | 2011-01-11 | Broadcom Corporation | Compact packet operation device and method |
| US8170021B2 (en) * | 2006-01-06 | 2012-05-01 | Microsoft Corporation | Selectively enabled quality of service policy |
| US7793094B2 (en) * | 2006-04-18 | 2010-09-07 | Cisco Technology, Inc. | HTTP cookie protection by a network security device |
| US8122492B2 (en) * | 2006-04-21 | 2012-02-21 | Microsoft Corporation | Integration of social network information and network firewalls |
| US8079073B2 (en) * | 2006-05-05 | 2011-12-13 | Microsoft Corporation | Distributed firewall implementation and control |
| US8176157B2 (en) * | 2006-05-18 | 2012-05-08 | Microsoft Corporation | Exceptions grouping |
| US8353020B2 (en) * | 2006-06-14 | 2013-01-08 | Microsoft Corporation | Transparently extensible firewall cluster |
| US7603333B2 (en) * | 2006-06-14 | 2009-10-13 | Microsoft Corporation | Delayed policy evaluation |
| US7886351B2 (en) * | 2006-06-19 | 2011-02-08 | Microsoft Corporation | Network aware firewall |
| US7966655B2 (en) * | 2006-06-30 | 2011-06-21 | At&T Intellectual Property Ii, L.P. | Method and apparatus for optimizing a firewall |
| CN103595803A (zh) | 2006-09-29 | 2014-02-19 | 诺玛迪克斯公司 | 内容注入***和方法 |
| US8099774B2 (en) * | 2006-10-30 | 2012-01-17 | Microsoft Corporation | Dynamic updating of firewall parameters |
| US9473529B2 (en) | 2006-11-08 | 2016-10-18 | Verizon Patent And Licensing Inc. | Prevention of denial of service (DoS) attacks on session initiation protocol (SIP)-based systems using method vulnerability filtering |
| US8966619B2 (en) * | 2006-11-08 | 2015-02-24 | Verizon Patent And Licensing Inc. | Prevention of denial of service (DoS) attacks on session initiation protocol (SIP)-based systems using return routability check filtering |
| US8484733B2 (en) | 2006-11-28 | 2013-07-09 | Cisco Technology, Inc. | Messaging security device |
| CA2714549A1 (en) * | 2007-02-09 | 2008-08-14 | Smobile Systems, Inc. | Off-line mms malware scanning system and method |
| US7953895B1 (en) | 2007-03-07 | 2011-05-31 | Juniper Networks, Inc. | Application identification |
| US8392981B2 (en) * | 2007-05-09 | 2013-03-05 | Microsoft Corporation | Software firewall control |
| US8522344B2 (en) * | 2007-06-29 | 2013-08-27 | Verizon Patent And Licensing Inc. | Theft of service architectural integrity validation tools for session initiation protocol (SIP)-based systems |
| US8302186B2 (en) * | 2007-06-29 | 2012-10-30 | Verizon Patent And Licensing Inc. | System and method for testing network firewall for denial-of-service (DOS) detection and prevention in signaling channel |
| JP2009111437A (ja) * | 2007-10-26 | 2009-05-21 | Hitachi Ltd | ネットワークシステム |
| EP2237515B1 (en) * | 2009-04-01 | 2011-12-07 | Nokia Siemens Networks OY | Method and device for reordering filters |
| US20110030037A1 (en) | 2009-07-07 | 2011-02-03 | Vadim Olshansky | Zone migration in network access |
| US8438270B2 (en) | 2010-01-26 | 2013-05-07 | Tenable Network Security, Inc. | System and method for correlating network identities and addresses |
| US8302198B2 (en) | 2010-01-28 | 2012-10-30 | Tenable Network Security, Inc. | System and method for enabling remote registry service security audits |
| US8707440B2 (en) * | 2010-03-22 | 2014-04-22 | Tenable Network Security, Inc. | System and method for passively identifying encrypted and interactive network sessions |
| US8549650B2 (en) | 2010-05-06 | 2013-10-01 | Tenable Network Security, Inc. | System and method for three-dimensional visualization of vulnerability and asset data |
| CN102255909B (zh) * | 2011-07-11 | 2014-07-02 | 北京星网锐捷网络技术有限公司 | 监控会话流的方法及装置 |
| US9367707B2 (en) | 2012-02-23 | 2016-06-14 | Tenable Network Security, Inc. | System and method for using file hashes to track data leakage and document propagation in a network |
| US9043920B2 (en) | 2012-06-27 | 2015-05-26 | Tenable Network Security, Inc. | System and method for identifying exploitable weak points in a network |
| US9088606B2 (en) | 2012-07-05 | 2015-07-21 | Tenable Network Security, Inc. | System and method for strategic anti-malware monitoring |
| US9467464B2 (en) | 2013-03-15 | 2016-10-11 | Tenable Network Security, Inc. | System and method for correlating log data to discover network vulnerabilities and assets |
| US20140379915A1 (en) * | 2013-06-19 | 2014-12-25 | Cisco Technology, Inc. | Cloud based dynamic access control list management architecture |
| US9215214B2 (en) | 2014-02-20 | 2015-12-15 | Nicira, Inc. | Provisioning firewall rules on a firewall enforcing device |
| US10110561B2 (en) * | 2014-11-26 | 2018-10-23 | Rockwell Automation Technologies, Inc. | Firewall with application packet classifer |
| US9806948B2 (en) | 2015-06-30 | 2017-10-31 | Nicira, Inc. | Providing firewall rules for workload spread across multiple data centers |
| US9900285B2 (en) * | 2015-08-10 | 2018-02-20 | International Business Machines Corporation | Passport-controlled firewall |
| US10348685B2 (en) | 2016-04-29 | 2019-07-09 | Nicira, Inc. | Priority allocation for distributed service rules |
| US10135727B2 (en) | 2016-04-29 | 2018-11-20 | Nicira, Inc. | Address grouping for distributed service rules |
| US10944722B2 (en) | 2016-05-01 | 2021-03-09 | Nicira, Inc. | Using activities to manage multi-tenant firewall configuration |
| US11171920B2 (en) | 2016-05-01 | 2021-11-09 | Nicira, Inc. | Publication of firewall configuration |
| US11258761B2 (en) | 2016-06-29 | 2022-02-22 | Nicira, Inc. | Self-service firewall configuration |
| US11082400B2 (en) | 2016-06-29 | 2021-08-03 | Nicira, Inc. | Firewall configuration versioning |
| US10686760B2 (en) * | 2018-02-15 | 2020-06-16 | Wipro Limited | Method and system for generating dynamic rules for computer network firewall |
| US11310202B2 (en) | 2019-03-13 | 2022-04-19 | Vmware, Inc. | Sharing of firewall rules among multiple workloads in a hypervisor |
| DE102019106543A1 (de) | 2019-03-14 | 2020-09-17 | Anapur Ag | Verfahren und Kommunikationssteuersystem zur Steuerung von Kommunikation in einem Kommunikationsnetzwerk |
| US11349875B2 (en) | 2019-08-21 | 2022-05-31 | International Business Machines Corporation | Dynamic balancing of security rules execution in a database protection system |
Family Cites Families (16)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5006985A (en) * | 1988-07-15 | 1991-04-09 | Kinetic Software, Inc. | Computer system for minimizing body dysfunctions induced by jet travel or shift work |
| GB8927623D0 (en) * | 1989-12-06 | 1990-02-07 | Bicc Plc | Repeaters for secure local area networks |
| US5481647A (en) * | 1991-03-22 | 1996-01-02 | Raff Enterprises, Inc. | User adaptable expert system |
| WO1994019741A2 (en) * | 1993-02-25 | 1994-09-01 | Reticular Systems, Inc. | Real-time rule based processing system |
| US5835726A (en) * | 1993-12-15 | 1998-11-10 | Check Point Software Technologies Ltd. | System for securing the flow of and selectively modifying packets in a computer network |
| WO1997000471A2 (en) * | 1993-12-15 | 1997-01-03 | Check Point Software Technologies Ltd. | A system for securing the flow of and selectively modifying packets in a computer network |
| US5696702A (en) * | 1995-04-17 | 1997-12-09 | Skinner; Gary R. | Time and work tracker |
| US5802320A (en) * | 1995-05-18 | 1998-09-01 | Sun Microsystems, Inc. | System for packet filtering of data packets at a computer network interface |
| US5751971A (en) * | 1995-07-12 | 1998-05-12 | Cabletron Systems, Inc. | Internet protocol (IP) work group routing |
| US5774670A (en) * | 1995-10-06 | 1998-06-30 | Netscape Communications Corporation | Persistent client state in a hypertext transfer protocol based client-server system |
| US5898830A (en) * | 1996-10-17 | 1999-04-27 | Network Engineering Software | Firewall providing enhanced network security and user transparency |
| US5826014A (en) * | 1996-02-06 | 1998-10-20 | Network Engineering Software | Firewall system for protecting network elements connected to a public network |
| US5761683A (en) * | 1996-02-13 | 1998-06-02 | Microtouch Systems, Inc. | Techniques for changing the behavior of a link in a hypertext document |
| US5842040A (en) * | 1996-06-18 | 1998-11-24 | Storage Technology Corporation | Policy caching method and apparatus for use in a communication device based on contents of one data unit in a subset of related data units |
| US5848233A (en) * | 1996-12-09 | 1998-12-08 | Sun Microsystems, Inc. | Method and apparatus for dynamic packet filter assignment |
| US6173364B1 (en) * | 1997-01-15 | 2001-01-09 | At&T Corp. | Session cache and rule caching method for a dynamic filter |
-
1997
- 1997-09-12 US US08/928,796 patent/US6154775A/en not_active Expired - Lifetime
-
1998
- 1998-09-01 EP EP98306992A patent/EP0910197A3/en not_active Withdrawn
- 1998-09-07 JP JP25282998A patent/JP3443529B2/ja not_active Expired - Lifetime
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2001060968A (ja) * | 1999-08-23 | 2001-03-06 | Maspro Denkoh Corp | ケーブルモデムシステム |
| US7092527B2 (en) | 2002-04-18 | 2006-08-15 | International Business Machines Corporation | Method, system and program product for managing a size of a key management block during content distribution |
| JP2015518296A (ja) * | 2012-03-09 | 2015-06-25 | アルカテル−ルーセント | Ｄｎｓデータを使用してｉｐフローに関連するアプリケーションを特定する方法および装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3443529B2 (ja) | 2003-09-02 |
| EP0910197A2 (en) | 1999-04-21 |
| US6154775A (en) | 2000-11-28 |
| EP0910197A3 (en) | 2003-08-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3298832B2 (ja) | ファイアウォールサービス提供方法 | |
| JP3443529B2 (ja) | ファイアウォールサービスを提供する方法と、ファイアウォールサービスを提供するコンピュータシステム | |
| JP3464610B2 (ja) | パケット検証方法 | |
| JP3492920B2 (ja) | パケット検証方法 | |
| JP3459183B2 (ja) | パケット検証方法 | |
| US7428590B2 (en) | Systems and methods for reflecting messages associated with a target protocol within a network | |
| US9100364B2 (en) | Intelligent integrated network security device | |
| US7664822B2 (en) | Systems and methods for authentication of target protocol screen names | |
| US7735116B1 (en) | System and method for unified threat management with a relational rules methodology | |
| US7707401B2 (en) | Systems and methods for a protocol gateway | |
| US7818565B2 (en) | Systems and methods for implementing protocol enforcement rules | |
| WO2019179375A1 (zh) | 一种防御网络攻击的方法及装置 | |
| US20070124577A1 (en) | Systems and methods for implementing protocol enforcement rules | |
| CN101719899A (zh) | 用于网络安全装置的具有端口限制的动态访问控制策略 | |
| Mohammed et al. | Honeypots and Routers: Collecting internet attacks | |
| McGann | IPv6 packet filtering |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090620 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100620 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100620 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110620 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110620 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120620 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120620 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130620 Year of fee payment: 10 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
| EXPY | Cancellation because of completion of term |