WO2006041080A1 - ファイアウォールシステム及びファイアウォール制御方法 - Google Patents

ファイアウォールシステム及びファイアウォール制御方法 Download PDF

Info

Publication number
WO2006041080A1
WO2006041080A1 PCT/JP2005/018774 JP2005018774W WO2006041080A1 WO 2006041080 A1 WO2006041080 A1 WO 2006041080A1 JP 2005018774 W JP2005018774 W JP 2005018774W WO 2006041080 A1 WO2006041080 A1 WO 2006041080A1
Authority
WO
WIPO (PCT)
Prior art keywords
address
terminal
information
communication
call control
Prior art date
Application number
PCT/JP2005/018774
Other languages
English (en)
French (fr)
Inventor
Eiichi Muramoto
Takahiro Yoneda
Original Assignee
Matsushita Electric Industrial Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co., Ltd. filed Critical Matsushita Electric Industrial Co., Ltd.
Priority to CN2005800346441A priority Critical patent/CN101040497B/zh
Priority to US11/575,310 priority patent/US7950053B2/en
Publication of WO2006041080A1 publication Critical patent/WO2006041080A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL

Definitions

  • the present invention relates to a firewall system and a firewall control method for dynamically controlling a firewall in a network in which communication by a mopile network such as mopile IP is operated.
  • a firewall is generally composed of an unauthorized access detection device and a packet filtering device. Unauthorized access detection devices can be attacked by external networks.
  • a packet filtering device is a device that allows only packets used for necessary communication to pass among communication performed between an internal network and an external network, and does not allow other packets to pass.
  • the unauthorized access detection device detects attacks and unauthorized access performed by attackers by monitoring a series of packet flows. There are two main methods for detecting this attack and unauthorized access.
  • the latter is a technique that can be expected to increase the accuracy of detecting unauthorized access because it can detect operations other than normal access.
  • the former method is often limited to a limited target. For example, by sending packets to multiple ports of a specific internal terminal, the port scan to be investigated from the external network side as to whether the service is running on that port is detected as a sign of unauthorized access and notified. Has been in operation.
  • this method has a drawback in that it is difficult to detect a new attack method because it is necessary to register information on the sign of unauthorized access in the unauthorized access detection system for each unauthorized access method.
  • the external network capability also receives communication data, and when the communication data is normal, the communication relay control unit that transfers it to the server and the communication data conditions that contribute to the provision of the service intended by the server are As the feature information of the communication data, the normal access information storage unit storing one type or a plurality of types, and the feature information is read from the normal access information storage unit and compared with the communication data received by the communication relay control unit.
  • An unauthorized access blocking system comprising: a normal access identifying unit that determines that only communication data that satisfies all information is normal (see Patent Document 1).
  • a protocol specification and Z or access policy for accepting access made by an external force through a communication network as normal access are determined for each target communication system or communication system group, and communication is performed.
  • the transmission information distributed through the network captures transmission information addressed to the communication system or communication system group, and the transmission information that does not conform to the central protocol specifications and Z or access policy of the captured transmission information is likely to be unauthorized access.
  • a method for determining the access type in a communication network including the process of specifying as a piece of transmission information (see Patent Document 2).
  • the packet filtering device allows communication packets performed on the internal network and external network to pass if they comply with a predetermined rule, and does not pass if they do not comply with the rule.
  • This rule is, for example, “Allow access from a specific host” and “Allow http (HyperText Transfer Protocol) access from internal network to external network” and “ When ftp (File Transfer Protocol) to the network is activated, ftp access to a specific port from the external network to the internal network is permitted.
  • the packet filtering device prevents attacks and unauthorized access from the external network to the internal network by passing only packets that conform to these rules and not passing other packets.
  • the unit for controlling the passage of packets is mainly a unit of an IP address unit, an IP address, and a port number.
  • Control in units of IP addresses can be realized by a rule that allows all packets transmitted and received between a specific terminal of the external network and a specific terminal of the internal network to pass. Specifically, if the IP address of a PC connected to an external network using dial-up or hotspot is 202.123.12.1, and the IP address of the e-mail server on the internal network is 202.32.
  • a rule that permits a packet for communication to can be described as "Allow 202.123.12.1 202.32.21.1". In this rule, Allow is allowed to pass, 202.123.12.1 is the source IP address, and 202.32.21.1 is the destination IP address.
  • the packet filtering device passes all packets that meet this rule. Control that passes or does not pass packets specified by a pair of source IP address and destination IP address is called IP address unit control.
  • the control of the unit of IP address and port number is set so that data transmitted from a specific port of a specific terminal on the external network is sent to a specific port on which a specific terminal application on the internal network is listening.
  • This can be achieved with rules that allow passage.
  • the IP address of the IP phone terminal on the external network is 202.123.12.2
  • the application that sends voice data is started on this terminal
  • the port number is 12345
  • the IP address of the IP phone terminal on the internal network is 202.32 .21.2
  • 23456 is the port number where the application that receives audio data on this terminal is running.
  • the rule for allowing the voice data to pass can be described as “Allow 202.123.12.2 12345 202.32.21.2 2345 6”.
  • Allow indicates that permission is allowed.
  • 202.123.12.2, 1 2345, 202.32.21.2, and 23456 are the source IP address, source port number, and destination, respectively. Indicates IP address and destination port number.
  • the packet filtering device passes all packets that meet this rule. In this way, the control for passing or not passing the packet specified by the combination of the source IP address, source port number, destination IP address, and destination port number is controlled for each unit of the IP address and port number. This is called control.
  • IP address unit control In a packet filtering device, if IP address unit control is performed, all services (application
  • the packet filter A device located in the middle of the network such as a device, could not easily obtain information on a pair of IP address and port number.
  • SIP Session Initiation Protocol
  • a control message format for adjusting the IP address and port number, codec (CODEC) type, bandwidth, etc. used for delivery of specific media between two or more terminals that establish communication. And the sequence is defined.
  • CODEC codec
  • this SIP operation there is a method of installing a call control relay server that relays all call control sequences transmitted and received by terminals belonging to a specific organization.
  • FIG. 21 shows a call control sequence (INVITE sequence) for establishing communication using an internal terminal installed in an internal network, an external terminal installed in an external network, and a force call control relay server. It is a thing. Added to the control message in the figure! IN INVITE, TRYING, RINGING, OK, and ACK are control messages defined in SIP. Represents. By exchanging these control messages, information such as IP address and port number, media type, CODEC, bandwidth, etc. used in established communication can be adjusted between terminals, and communication can be established between terminals. It becomes possible.
  • the source IP address and source port number, or the destination IP address and destination port number can be set. determine.
  • This description method is a description method standardized by the IETF, an organization that standardizes Internet-related protocols as SDP (Session Description Protocol).
  • the m line indicates information about the media. Audio is the media type, 49170 is the port number, and RTP / AVP 0 is the transport and payload format.
  • the line c indicates the information to be connected. IN is the Internet, IP4 is IPv4, and 224.2.17.12 is the IP address used for connection.
  • the call control relay server when the call control relay server receives ACK, it can know the information of the source IP address, the destination IP address and the destination port number.
  • the call control relay server can control the packet filtering device by using information including a combination of the source IP address, the destination IP address, and the destination port number.
  • This method is called a packet filtering device control method using a call control relay server.
  • this method cannot be used in the mono IP environment described below.
  • Mopile IP is a technology that enables established communications to continue without being disconnected in situations where the IP address changes due to disconnection or reconnection of movement or network power.
  • the mopile IP is standardized by the IETF, and the details of the protocol are defined in RFC3775 (IPv6) and RFC3344 (IPv4).
  • FIG. 22 illustrates the operation of mopile IP.
  • a mobile terminal also called a mobile node (MN) 201
  • a home agent HA (Home Agent)
  • a home agent 202 which is a server that performs mobility management
  • the Home network 205 external terminal (also known as CN (Correspondent Node)) 203
  • external network 204 specific network connected to external network (destination network) 206
  • firewall with packet filtering device etc.
  • the mobile terminal 201 has an IP address on the home network 205, for example, 2001: 300: c01 ::
  • 2/64 is assigned, and this address is called the home address.
  • the mobile terminal 201 With the mobile terminal 201 connected to the home network 205, communication with the external terminal 203 is established. It is assumed that the mobile terminal 201 moves to a specific network (destination network) 206 with this communication established. Assume that the IP address assigned when the mobile terminal 201 moves to a specific network (destination network) 206 is, for example, 2001: 300: c01: beef :: 2/64. This address is called a care-of address of the mobile terminal 201.
  • the packet addressed to the mobile terminal 201 is transmitted toward the home address.
  • a packet transmitted to the home address is delivered to the home network 205 via the external network 204.
  • the packet delivered to the home network 205 is received by the home agent 202.
  • the home agent 202 delivers the packet to the mobile terminal 201 by delivering the received packet to the care-of address of the mobile terminal 201.
  • the packet from the mobile terminal 201 to the external terminal 203 is delivered in this reverse order (mobile terminal 201 ⁇ home agent 202 ⁇ external terminal 203).
  • the packet addressed to the mobile terminal 201 is directly delivered to the care-of address. In this way, it was delivered to the mobile terminal 201 Packets are delivered to a specific application. That is, communication established by the mobile terminal 201 with the external terminal 203 before moving can be continuously performed even after the mobile terminal 201 moves.
  • FIG. 23 illustrates the configuration of this conventional method.
  • a first mobile terminal 301 a second mobile terminal 302, a home agent 303, a firewall management host 304, a packet filtering device 305, an external network (Internet) 30 6, an ISP (Internet service provider) 307, Has ISP 307 certification sano 308.
  • Internet Internet
  • ISP Internet service provider
  • the first mobile terminal 301 is taken out to the external network and connected from the first mobile terminal 301 to the second mobile terminal 302 of the internal network.
  • the first mobile terminal 301 is connected to an external network via a specific ISP 307 by dial-up or the like.
  • the authentication server 308 of the ISP 307 sends user information to the first mobile terminal 301
  • the first mobile terminal 301 sends the user information to the firewall management host 304.
  • the firewall management host 304 changes the setting of the packet filtering device 305 on the firewall so that communication between the first mobile terminal 301 and the home agent 303 is possible.
  • the first mobile terminal 301 can communicate with the second mobile terminal 302 via the home agent 303. That is, the control of the dynamic packet filtering device 305 is realized in a situation where the mopile IP is operated.
  • Patent Document 1 JP 2004-38557 A
  • Patent Document 2 Japanese Patent Laid-Open No. 2001-313640
  • Patent Document 3 Japanese Patent Laid-Open No. 2003-229893
  • Patent Document 4 Japanese Unexamined Patent Publication No. 2003-229915
  • Patent Document 5 Japanese Patent Laid-Open No. 10-70576
  • the conventional method can be applied only when the first mobile terminal 301 is taken out, and there is no framework for establishing communication from an external terminal on an external network. In other words, there is no mechanism for establishing legitimate communications approved by the network administrator of the internal network.
  • the present invention has been made in view of the above circumstances, and even when communication by a mopile network is operated !, packet filtering is performed in units of addresses and port numbers. Narrower range, allowing only the communication within the range to be transmitted, and the mobile terminal power of the internal network Not only when moving to the external network, but also other terminal power connected to the external network.
  • An object is to provide a firewall system and a firewall control method that can be established.
  • the present invention monitors the packet sequence of communication specified by the media type, and detects V ⁇ unauthorized access that does not conform to normal access based on the normal access determination condition defined for each media type. Thus, it is practically possible to detect unknown attacks. It is an object to provide a firewall system and a firewall control method. Means for solving the problem
  • the firewall system of the present invention is a firewall system that controls communication between an external network and an internal network, and is a call for establishing communication between the external network or terminals connected to the internal network. Obtained from the call control relay unit that relays the control sequence, the address correspondence information management unit that manages the new / old correspondence relationship of the address of the terminal changed by the movement of the terminal or reconnection to the network, and the call control relay unit Based on the information on the address and port number of the terminal used in the communication and the information on the correspondence between the new and old addresses obtained by the address correspondence information management section, the packet that is allowed to pass between the internal network and the external network. Set a pair of address and port number as filtering condition And a packet filtering unit that allows a packet specified based on a filtering condition including a set of the address and the port number to pass therethrough.
  • the call control relay unit includes a relay unit information holding unit that holds information of another reliable call control relay unit,
  • the filtering control unit obtains address and port number information in communication between terminals established via the other call control relay unit, and sets filtering conditions based on the combination of the address and port number. It shall be.
  • the firewall system described above When at least one of the terminal on the internal network or the terminal on the external network moves and the address information obtained from the call control relay unit or the address correspondence information management unit is changed, Filtering conditions based on the latest address and port number pair shall be set.
  • a normal access determination condition storage unit that stores normal access determination conditions defined for each media type of the communication, and the call control relay unit Information on the terminal address, port number, and media type used for the obtained communication, information on the address correspondence information management section, information on the correspondence between the new and old addresses obtained, and the normal access judgment condition storage section obtained normal
  • an unauthorized access detection unit that detects an unauthorized access when a passing packet does not conform to the normal access determination condition based on the access determination condition.
  • the unauthorized access detection unit moves at least one of a terminal on an internal network or a terminal on an external network, and the call control When the address information obtained from the relay unit or the address correspondence information management unit is changed, the normal access determination condition is determined based on the latest address information.
  • a packet filtering device in the firewall system described above, wherein the call control relay unit obtains the terminal address used for communication. Address and port number information, and the address correspondence information management section. Based on the information on the correspondence between new and old addresses, the address and port can be filtered as filtering conditions for packets that are allowed to pass between the internal network and the external network.
  • a filtering control unit that sets a set of numbers and a packet filtering unit that passes a packet specified based on a filtering condition including a set of the address and the port number is provided.
  • the packet filtering device of the present invention is a packet filtering device of a firewall system that controls communication between an external network and an internal network, and is a communication between terminals connected to the external network or the internal network.
  • Terminal information and port number information used for communication obtained from a call control relay unit that relays a call control sequence for establishing communication, and a terminal that is changed by moving the terminal or reconnecting to the network
  • Address correspondence information that manages the new and old correspondence relationship of the address of the address
  • the address and the filtering condition for packets that are allowed to pass between the internal network and the external network A filter that sets a pair with a port number A control unit, in which and a hurtofu Irutaringu portion for passing the packets is specified based on the filtering condition including a set of the address and port number.
  • a normal access determination condition storage unit for storing a normal access determination condition defined for each media type of the communication, which is an unauthorized access detection apparatus in the firewall system described above.
  • Information on the terminal address, port number, and media type used for communication obtained from the call control relay unit, information on the correspondence between new and old addresses obtained from the address correspondence information management unit, and the normal access determination Based on the normal access judgment condition obtained from the condition storage unit, if the passed packet does not meet the normal access judgment condition, the illegal cache is detected as unauthorized access.
  • a process detection unit is provided with a process detection unit.
  • the unauthorized access detection device of the present invention is an unauthorized access detection device of a firewall system that controls communication between an external network and an internal network, and is a normal access determination condition defined for each media type of the communication.
  • a terminal used for communication that can also obtain a call control relay unit that relays a call control sequence for establishing communication between a normal access determination condition storage unit that stores the communication and a terminal connected to the external network or the internal network Address and port number and media type information, and address correspondence information management unit that manages the correspondence relationship between the old and new address of the terminal that is changed by moving the terminal or reconnecting to the network. Relationship information and normal obtained from the normal access judgment condition storage Based on the access determination condition, Do adapted to packets that pass through the normal access determination condition, case in which and a fraudulent access detection unit for detecting as the unauthorized access.
  • the communication packet of a specific media type established by the call control sequence is monitored, and unauthorized access that does not conform to normal access based on the normal access judgment condition defined for each communication media type. Can be detected.
  • the firewall control method of the present invention is a firewall control method for controlling communication between an external network and an internal network, and establishes communication between the external network or terminals connected to the internal network.
  • a terminal that acquires information on the address and port number of a terminal used for communication from a call control relay unit that relays the call control sequence of the terminal, and a terminal that is changed by moving the terminal or reconnecting to the network From the address correspondence information management section that manages the old / old correspondence relationship of the address, the address address / port number information of the terminal used for the communication, and the old / new correspondence of the address.
  • the path that is allowed to pass between the internal network and the external network And a step of setting a pair of an address and a port number as packet filtering conditions, and a step of passing a packet specified based on the filtering condition including the pair of the address and port number.
  • the address and port number of the terminal used for the communication obtained by the call control relay section It is possible to control packet filtering by specifying a pair of address and port number based on the information on the issue and the information on the correspondence between the old and new addresses obtained by the address correspondence information management unit.
  • the firewall control method of the present invention is a firewall control method for controlling communication between an external network and an internal network, in order to establish communication between the external network or terminals connected to the internal network. It is changed by the step of acquiring the address, port number, and media type information of the terminal used for communication from the call control relay unit that relays the call control sequence, and the movement of the terminal or reconnection to the network A step of obtaining information on the address correspondence between the old and new addresses from the address correspondence information management unit that manages the correspondence between the old and new addresses of the terminal, information on the address, port number, and media type of the terminal used for the communication; Information on the correspondence between new and old addresses and the communication media type. Based on the normal access determination condition are stored in a normal access determination condition storage unit and, when a packet passes is incompatible with the normal access determination condition is to have the steps of detecting the unauthorized access.
  • the communication packet of a specific media type established by the call control sequence is monitored, and the unauthorized access that does not conform to the normal access based on the normal access judgment condition defined for each communication media type. Can be detected.
  • ⁇ 1 A diagram showing the configuration of the firewall system according to the first embodiment of the present invention.
  • ⁇ 2 A diagram showing a call control sequence in the first embodiment of the present invention.
  • FIG.3 A diagram showing an example of the configuration of a table showing the correspondence between new and old IP addresses
  • FIG. 4 A diagram showing a filtering process sequence in the first embodiment of the present invention.
  • ⁇ 5 A diagram showing a first operation example of the firewall system according to the first embodiment.
  • ⁇ 6 According to the first embodiment.
  • Fig. 7 shows a second operational example of the firewall system.
  • Fig. 8 shows the configuration of the firewall system according to the second embodiment of the present invention.
  • Fig. 8 shows the call control sequence in the second embodiment of the present invention.
  • FIG. 9 is a diagram showing a sequence of unauthorized access monitoring control in the second embodiment of the present invention.
  • FIG. 10 is a flowchart showing the procedure of unauthorized access monitoring processing in the second embodiment of the present invention.
  • FIG. 12 A diagram showing an operation example of the firewall system according to the second embodiment.
  • ⁇ 13 A diagram showing a functional configuration example of the firewall in the operation example of the second embodiment.
  • FIG. 14 is a diagram showing a configuration example of a normal access sign holding table
  • FIG. 15 A diagram showing a configuration of a firewall system according to the third embodiment of the present invention.
  • FIG. 16 is a diagram showing a block configuration of main parts of a firewall system according to a third embodiment of the present invention.
  • ⁇ 17 Diagram showing an example of call control when a conference by group communication is performed between a plurality of terminals.
  • ⁇ 18 Diagram showing an example of a sequence at the time of conference participation in the third embodiment of the present invention.
  • FIG. 19 A diagram showing a configuration of a firewall system in a fourth embodiment of the present invention.
  • ⁇ 20 A diagram showing a configuration of a firewall system in a fifth embodiment of the present invention.
  • FIG. 21 shows a call control sequence using a call control relay server.
  • FIG. 1 is a diagram showing a configuration of a firewall system according to the first embodiment of the present invention.
  • the first embodiment shows a configuration for dynamically controlling a packet filtering device in a network in which data communication based on mopile IP is operated as a monophonic network.
  • a call control relay server 11, a home agent (HA) 12, and an address management server 13 are connected to an external network 10 such as the Internet outside the network of a company or the like.
  • the external terminal 14 is connected to the external network 10.
  • the internal terminal 15 is connected to an internal network 16 provided in a company or the like, and a firewall 17 is installed between the internal network 16 and the external network 10.
  • FIG. 2 is a diagram showing a call control sequence in the first embodiment of the present invention.
  • FIG. 2 shows a call control sequence (INVITE sequence) for establishing communication using the internal terminal 15 in the internal network 16 and the external terminal 14 in the external network 10 using the call control relay server 11. .
  • the IN VITE, TRYING, RINGING, OK, and ACK attached to the control message in the figure represent the control messages defined in SIP.
  • information such as the IP address and port number, media type, codec (CODEC), and bandwidth used in the established communication is adjusted between terminals, and communication is established between terminals. It becomes possible.
  • the address management response unit 13a of the address management server 13 searches for the address of the external terminal 14 registered in the address holding unit 13b, and performs call control for a message that returns the address of the external terminal 14 It is sent to the relay server 11 (S4).
  • the call control relay unit 1 la of the call control relay server 11 sends an INVITE message requesting connection to the call control processing unit 14a of the external terminal 14 (S5).
  • the call control processing unit 14a of the external terminal 14 returns a RINGING message (S6). This RINGING message is sent to the call control processing unit 15a of the internal terminal 15 via the call control relay unit 1la of the call control relay server 11 (S7).
  • the call control processing unit 14a of the external terminal 14 sends an OK message (S8).
  • This OK message is sent to the call control processing unit 15a of the internal terminal 15 via the call control relay unit 11a of the call control relay server 11 (S9).
  • the call control processing unit 15a of the internal terminal 15 sends an ACK message in response to the OK message (S10).
  • This ACK message is sent to the call control processing unit 14a of the external terminal 14 via the call control relay unit 11a of the call control relay server 11 (Sl l).
  • the call control relay unit 11 a of the call control relay server 11 receives the ACK message from the call control processing unit 15 a of the internal terminal 15 (S 10), the internal terminal Because the address (IP address) and port number information used for communication between 15 and the external terminal 14 are fixed, the IP address and port number pair information used for communication is temporarily stored in the address' port management unit l ib Let Then, the filtering control request unit 11c of the call control relay server 11 supplies a filtering control request message including pair information of the IP address and port number used for communication to the home agent 12 (S21). This activates the filtering control process.
  • the home agent 12 has an IP address correspondence information management unit 12a, and the IP address correspondence information management unit 12a moves the external terminal 14 or reconnects to the network. It manages the old and new correspondence of the IP address to be changed.
  • Figure 3 shows an example of the table structure that shows the new and old IP address correspondence.
  • the home address column 12a 1 is an item for holding the home address of the terminal of the internal network.
  • the care-of address column 12a2 is an item for holding the current care-of address of the same terminal.
  • the filtering control instruction unit 12b specifies a pair of the latest IP address and the port number with the care-of address as the latest IP address. Then, the latest IP address / port number pair information is sent to the firewall 17. If the search is not successful, the filtering control instruction unit 12b sends the pair information of the IP address and port number included in the filtering control request message to the firewall 17.
  • the packet transmission / reception management unit 17a of the firewall 17 receives the set information of the latest IP address and the port number, the packet transmission / reception management unit 17a supplies the set information to the filtering control unit 17b.
  • the filtering control unit 17b controls the packet forwarding operation (packet filtering operation) of the packet forwarding unit (filtering unit) 17c so as to pass the IP packet specified by the pair information of the latest IP address and port number. To do.
  • FIG. 4 is a diagram showing a filtering process sequence according to the first embodiment of the present invention.
  • the filtering control request unit 11c of the call control relay server 11 sends a filtering request including the pair information of the IP address and port number used for communication to the filtering control instruction unit 12b of the home agent 12 (S51).
  • the filtering control instruction unit 12b confirms that the IP address is the latest, and sends a filtering request including the latest IP address and port number pair information to the filtering control unit 17b of the firewall 17 (S52).
  • the filtering control unit 17b retains the filtering information that also has the information power of the latest IP address and port number, performs a consistency check, and sends a filtering setting instruction to the packet forwarding unit (filtering unit) 17c (S53).
  • the packet transfer unit (filtering unit) 17c indicates that the filtering condition has been set.
  • An answer message is returned (S54). This response message is sent to the filtering control request unit 11c via the filtering control unit 17b and the filtering control instruction unit 12b (S55, S56).
  • FIG. 5 is a diagram showing a first operation example of the firewall system according to the first embodiment.
  • the firewall system of the first operation example includes an internal terminal 401, an external terminal 402 that is a mobile terminal (MN), a call control relay server 403 having a function of a call control relay unit, and a home agent having a function of an address correspondence information management unit. (HA) 404, a firewall 405 including a packet filtering device 400, an external network 406 such as the Internet, an internal network 407 provided in a company, etc., and a router 408.
  • the call control relay sano 03 and the home agent 404 are installed in a DMZ (demilitarized zone) in the internal network 407 and are accessible from the external network 406.
  • the internal terminal 401 connected to the internal network 407 can access the external network 406 via the firewall 405 and the router 408! /.
  • the internal terminal 401 exchanges a call control sequence via the call control relay server 403 in order to establish communication with the external terminal 402.
  • the external terminal 402 is a mobile terminal (MN) and has moved to the external network 406 and has acquired a care-of address.
  • MN mobile terminal
  • the call control relay server 403 determines the IP address and port number of the internal terminal 401 and the IP address of the external terminal 402, which are determined in the sequence of call control shown in FIG. And call information of the destination port number is notified to the home agent 404.
  • the IP address and port number of the internal terminal 401 and the call information of the IP address and port number of the external terminal 402 acquired by the home agent 404 from the call control relay sano 03 are 2001: 300: c01: l :: l, 12345, 2001: 300: c01: l :: 2, 23456.
  • the home agent 404 has the care-of address of the external terminal 402 of 2001: 300: beaf :: 2 based on the nodding update information (BU message) notified from the external terminal 402 to the home agent 404. Information is being acquired. As a result, the home address and care-of address of the external terminal 402 are held in association with each other, and it is understood that the latest address of the external terminal 402 is the care-of address. [0075]
  • the home agent 404 notifies the firewall 405 including the packet filtering device 400 of information used for communication between the internal terminal 401 and the external terminal 402.
  • the packet filtering device 400 sets the filtering condition based on the acquired information of the combination of the IP address and the port number, and uses the combination of the IP address and the port number so that the IP packet used for the communication can be transmitted. Control the passage of packets.
  • the packet filtering device 400 uses (2001: 300: c01: l :: l, 12345) and (2001: 300: beaf :) based on the information from the home agent 404. : 2, 23456).
  • filter l (Allow 2001: 300x01: 1 :: 1 * 2001: 300: beaf :: 2 23456) and filter 2 (Allow 001: 300: beaf :: 2 * 2001: 300x0 1: 1 :: 1 12345) can be set by setting two filters.
  • * in the source port number is a symbol that means all port numbers.
  • the packet of communication with 2001: 300: beaf :: 2 should be transmitted instead of 2001: 300: c01: l :: 2.
  • the packet filtering device 400 is controlled.
  • the home agent 404 can communicate between the new care-of address of the external terminal 402 and the internal terminal 401.
  • the packet filtering device 400 is controlled so that communication with the terminal 401 is not possible.
  • the home agent 404 assumes that the care-of address of the external terminal 402 notified by the new BU message is 2001: 300: beaf :: 2 (2001: 300: c01: l :: l, 12345) And (2001: 300: beaf :: 2, 23456) are transparent, and (2001: 300: c01: l :: l, 12345) and (2001: 300: c01: l :: 2, The packet filtering device 400 is controlled so as to cut off communication with the terminal 23456).
  • the call control relay server 403 detects the end of communication between the internal terminal 401 and the external terminal 402, the internal terminal 401 or the external terminal 402 ends communication via the call control relay server 403.
  • the call control sequence is executed.
  • the call control relay sano 03 notifies the home agent 402 to that effect.
  • the home agent 402 controls the packet filtering device 400 so as to allow transmission of the internal terminal 401 and the external terminal 402 until then and block the IP packet.
  • the packet filtering apparatus 400 monitors the communication packet between the internal terminal 401 and the external terminal 402 and determines that the communication has ended, the internal packet 401 and the external terminal automatically It is also possible to control the packet filtering device 400 so as to allow transmission of the terminal 402 to establish communication and block the packet.
  • packet filtering can be dynamically controlled in units of IP address and port number in a situation where data communication using mopile IP is in operation. It becomes possible.
  • FIG. 6 is a diagram showing a second operation example of the firewall system according to the first embodiment.
  • the second operation example shows an example of data communication using mopile IP in the internal network.
  • 6 includes an internal home network 605, an internal destination network 606, and an external network 604 such as the Internet, and an external terminal (CN) 603 is connected to the external network 604.
  • the home network 605 and the movement destination network 606 are connected via routers 605R and 606R.
  • a packet filtering device 607 as a firewall is installed between each router 605R, 606R and the external network 604.
  • a mobile terminal (MN) 601, a home agent (HA) 602, and a call control relay server 608 are connected to the home network 605!
  • a connection between the mobile terminal on the home network 605 and the external terminal 603 on the external network 604 is established via the call control relay server 608. Further, the mobile terminal 601 moves to the destination network 606 while the filtering condition of the packet filtering device 607 is set via the home agent 602 and communication between the mobile terminal 601 and the external terminal 603 is performed. Assume that
  • the mobile terminal 601 acquires a destination address (care-of address) in the destination network 606 and notifies the home agent 602 of the destination address. Then, the home agent 602 supplies a filtering request including the latest IP address (that is, the care-of address) of the mobile terminal 601 to the packet filtering device 607, and between the mobile terminal 601 and the external terminal 603 in the destination network 606. Change the packet filtering conditions so that communication is possible. As a result, even when the mobile terminal 601 moves, the external terminal 603 Can continue to communicate with. That is, the filtering process sequence shown in FIG. 4 is executed with the address change notification sent from the mobile terminal 601 to the home agent 602 as a trigger.
  • the packet control device 607 is notified of the filtering information including the latest set of IP address and port number information from the call control relay server 608 via the home agent 602 and the router 605R. As a result, even when the mobile terminal 601 moves, communication with the external terminal 603 can be continued.
  • the packet filtering operation can be dynamically controlled in units of pairs of IP addresses and port numbers in a situation where data communication using mono IP is operated. It becomes possible. Further, the call control relay server 11 can establish communication from an external terminal approved by the network manager or the like, and can perform packet filtering of communication related to this terminal.
  • the call control relay server 11 holds information on other call control relay servers that are trusted by the network manager or the like.
  • the call control relay server 11 starts a call control sequence for establishing communication between the internal terminal and the external terminal, the call control relay server 11 performs the call control sequence only when it is via another reliable call control relay server. Mechanisms can be introduced.
  • an external resource expressed as URI Unified Resource Identifier
  • [email protected] A method of holding multiple host parts in the resource notation on the network, i.e., sip.acompany.co.jp part, a method of holding a list of host parts, and sip. *.
  • the call control relay server 11 and the home agent 12 There is an operation method in which both or one of them is installed in the external network 10 and an operation method in which it is installed in the internal network 16 of the company.
  • the communication between the call control relay server 11 and the home agent 12 and the communication between the home agent 12 and the firewall 17 including the packet filtering device are authenticated using TLS (Transport Level Security), IPSEC (IP security), etc.
  • TLS Transport Level Security
  • IPSEC IP security
  • both the call control relay server 11 and the home agent 12 can be installed in the external network 10 even in an operation method in which both the call control relay server 11 and the home agent 12 are installed in the internal network 16 of the company or the like. It becomes possible to operate in the same way as the installed operation method.
  • FIG. 7 is a diagram showing the configuration of a firewall system according to the second embodiment of the present invention.
  • the firewall system according to the second embodiment is obtained by adding an unauthorized access monitoring function to the firewall system according to the first embodiment shown in FIG.
  • the firewall 130 includes a normal access regulation database 131 serving as a normal access determination condition storage unit, an unauthorized access detection unit 132, a packet transfer unit 133, and an unauthorized access notification unit 134.
  • the call control relay server 110 includes an unauthorized access monitoring control request unit 111, a call control relay unit 11a, and an address' port management unit l ib.
  • the home agent (HA) 120 includes an unauthorized access monitoring control instruction unit 121 and an IP address correspondence information management unit 12a. Other configurations are the same as those of the first embodiment shown in FIG.
  • FIG. 8 is a diagram showing a call control sequence in the second embodiment. This is a partial modification of the call control sequence shown in Figure 2.
  • the second embodiment when an ACK message is supplied from the call control processing unit 15a of the internal terminal 15 to the call control relay unit 11a of the call control relay server 110 (S10), the IP address used for communication, Port number and media type information are confirmed.
  • the unauthorized access monitoring control request unit 111 of the call control relay server 110 supplies an unauthorized access monitoring control request message including IP address, port number, and media type information to the home agent 12 (S22). As a result, the unauthorized access monitoring control process is started.
  • Others are the same as in the first embodiment.
  • FIG. 9 is a diagram showing a sequence of unauthorized access monitoring control in the second embodiment.
  • the unauthorized access monitoring control request unit 111 of the call control relay server 110 sends an unauthorized access monitoring control request (IDS Ontrusion Detection System request) to the home agent.
  • IDS Ontrusion Detection System request an unauthorized access monitoring control request
  • Supply to 120 SI 11
  • the unauthorized access monitoring control instructing unit 121 of the home agent 120 checks whether the IP address is the latest one and checks the unauthorized access monitoring control request (IDS) including the latest IP address, port number, and media type information. Request) is supplied to the unauthorized access detection unit 132 (S112).
  • the unauthorized access detection unit 132 acquires the packet indication data of the normal access of the corresponding media in the normal access regulation database 131 and monitors whether there is no packet indication deviating from the normal access packet indication. If there is a packet sign that deviates, the occurrence of unauthorized access is notified to the administrator or the like via the unauthorized access notification unit 134, for example, by e-mail (S113).
  • FIG. 10 is a flowchart showing the procedure of unauthorized access monitoring processing in the second embodiment of the present invention.
  • the unauthorized access detection unit 132 obtains packet indication data of normal access of the corresponding media in the normal access regulation database 131 (step S 12 Do, and the unauthorized access detection unit 132 detects the packet captured by the packet transfer unit 133. (Step S122), and calculates the sign (signature) of the captured packet (Step S123) The unauthorized access detection unit 132 calculates the packet sign of the normal media packet and the sign of the captured packet of the corresponding media.
  • step S124 if it does not match the sign of the packet of normal access, the occurrence of unauthorized access is notified to the administrator or the like via the unauthorized access notification unit 134 (step S125), and the communication ends. Steps S2 and after are repeated.
  • FIG. 11 shows an example of a packet format for voice delivery.
  • a combination of one or more of the following conditions is used as a packet sign of normal access in this voice packet (G.711 format).
  • L The sequential number in the RTP header is increasing (or wrapping).
  • the timestamp value in the RTP header increases (or laps).
  • Payload length is constant (G .711 is 160 bytes).
  • the average arrival interval of the past N (for example, 20) packets is 20 ms (20 milliseconds).
  • FIG. 12 is a diagram illustrating an operation example of the firewall system according to the second embodiment.
  • the firewall system of this operation example is obtained by adding an unauthorized access monitoring function to the first operation example of the firewall system according to the first embodiment shown in FIG.
  • the firewall 700 includes the packet filtering device 400 and the unauthorized access monitoring device 701 shown in FIG.
  • some functions related to media type information acquisition have been added to Home Agent (HA) 404A and Call Control Relay Server 03A.
  • HA Home Agent
  • Call Control Relay Server 03A Other configurations are the same as those of the first operation example of the first embodiment shown in FIG.
  • the home agent 404A obtains a pair of IP address and port number used for communication and a media type from the call control relay server 403A, and determines the latest IP address based on the new and old correspondence relationship of the IP address.
  • the first item (2001: 300: c01 :: 1) is the source IP address
  • the second item (12345) is the source port number
  • the third item (20 01: 300: c01 :: 2 ) Is the destination IP address
  • the fourth item (23456) is the destination port number
  • SDP Session Description Protocol
  • the unauthorized access monitoring apparatus 701 changes the inspection operation according to the media type. Specifically, the character string indicating the media type of the IP address and port number pair and media type information described above is interpreted with the meaning specified in SDP. For example, when communication between terminals is an IP phone and G.711 is used as the voice coding method, it is detected as an illegal access when it does not conform to the conditions of voice delivery (G.711) packet, E-mail, instant messaging, IP Report using stories.
  • voice delivery G.711
  • FIG. 13 is a diagram illustrating a functional configuration example of the firewall in the operation example of the second embodiment.
  • the filtering and inspection control unit 702 in the firewall 700 Upon receiving notification of the media type, IP address, and port number from the home agent 404A, the filtering and inspection control unit 702 in the firewall 700 gives an inspection instruction to the packet inspection unit 703 having an illegal access detection function. Then, a filter setting instruction is given to the packet filtering unit 704.
  • a normal access pattern storage unit 705 having a function of storing a normal access determination condition holds a normal access sign (normal access determination condition) for each media type. Specifically, it is held in a normal access sign holding table as exemplified below.
  • FIG. 14 is a diagram illustrating a configuration example of a normal access indication holding table.
  • a media type column 705a is a key item that holds a media type.
  • the pointer field 705b to the symptom check function is an item for storing a normal access determination condition.
  • the media type column 705a stores the media type described in SDP.
  • a pointer to the function and an argument to be applied to the function are specified as information for starting a function (process) for checking the packet.
  • the packet inspection unit 703 obtains a function and an argument for inspecting the normal access indication holding table power packet of the normal access pattern storage unit 705 using the media type as a key, and processes the function and argument using the packet. By applying it every time, packets that deviate from the normal access sign of the media are monitored for each IP address and port.
  • An unauthorized access sign notification unit (unauthorized access notification means) 706 notifies the network administrator or the like of the occurrence of a packet that deviates from the normal access sign by using e-mail, instant message, IP phone, or the like.
  • the target communication media voice and video
  • the normal access pattern for each media type is created as described in the example of the packet format for voice delivery in Fig. 11. It's easy to do. For example, if audio and video conform to the RTP (ReaH: ime Transport Protocol) AVP format, inspection rules corresponding to that format can be created. For example, the consistency between the header data item and the packet length, etc. is maintained, so a normal access pattern using this property can be created.
  • RTP Real-ime Transport Protocol
  • inspection rules corresponding to that format can be created. For example, the consistency between the header data item and the packet length, etc. is maintained, so a normal access pattern using this property can be created.
  • the second embodiment described above based on the IP address, port number, and media type information obtained by the call control sequence, it conforms to the normal access judgment condition defined in advance for each media type. If it does not match, it can be detected as unauthorized access and notified to the network administrator.
  • FIG. 15 is a diagram showing a configuration of a firewall system according to the third embodiment of the present invention
  • FIG. 16 is a diagram showing a block configuration of a main part of the firewall system in the third embodiment.
  • a group communication control SIP server (MCU) 150 can be automatically added to an access control function in units of SIP call control relay servers (SIP sano).
  • an address management server 13, an external terminal 14, and a group communication control SIP sano (MCU) 150 are connected.
  • the call control relay server 140 and the home agent 12 are installed in a DMZ (demilitarized zone) in the internal network 16 and are accessible from the external network 10.
  • the internal terminal 15 connected to the internal network 16 can access the external network 10 through the firewall 17.
  • the call control relay server 140 includes a permitted SIP server list holding unit 141 having a function of holding information on a reliable SIP server as a permitted SIP server list.
  • the call control relay server 140 has a call control relay unit 142, an address' port management unit l lb, and a filtering control request unit 1 lc together with the permitted SIP server list holding unit 141.
  • the call control relay unit 142 interprets a call signal when performing group communication between a plurality of terminals such as holding a conference, and adds / deletes the group communication control SIP server 150 to / from the permitted SIP list.
  • the functions of the address / port management unit l ib, the filtering control request unit l lc, the home agent 12, and the firewall 17 of the call control relay server 140 are the same as those in the first embodiment shown in FIG.
  • FIG. 17 is a diagram showing an example of call control when a conference is performed by group communication between a plurality of terminals.
  • Figure 17 shows call control when terminal B-1 joins terminal B-1 while participating in a conference, and terminal B-1 joins terminal B-2 to the conference. .
  • call control relay server A140A, terminal B-1, and terminal B-2 accessed by terminal A-1
  • the call control relay server B140B to be accessed and the loop communication control SIP server 150 to control the group communication of this conference are used.
  • the communication indicated by the arrows indicated by the numbers “1”, “3”, and “5” represents a conference control signal related to control such as addition of media or addition of participants, for example, and the numbers “2” and “4”.
  • the communication indicated by the arrow indicates notification (invitation) of the URI of the conference.
  • the terminal A—l ([email protected]) force also notifies [email protected] as a URI via the call control relay server A140A, and this URI is transmitted to the terminal via the call control relay server B140B.
  • B-1 ([email protected]) is notified and terminal B-1 joins the conference.
  • this URI is notified from the terminal B-1 to the terminal B-2 ([email protected]), and the process in which the terminal B-2 participates is performed.
  • FIG. 18 is a diagram showing an example of a sequence at the time of conference participation in the third embodiment of the present invention.
  • the terminal A-1 is participating in the conference, and the communication control of the conference is performed between the terminal A-1, the call control relay server A140A, and the group communication control SIP server 150.
  • the call control relay server A140A sends the call control relay server A140A to the call control relay server B140B.
  • the REFER message is transferred (S172 2).
  • the call control relay server B140B sends a REFER message to the terminal B-1 (S173).
  • the terminal B-1 When the terminal B-1 receives the REFER message, the terminal B-1 returns an INVITE message indicating participation in the conference (S174).
  • the call control relay server B 140B power NVITE message When the call control relay server B 140B power NVITE message is received, it notifies the group communication control SIP server 150 (S175), and the group communication control SIP server 150 controls the communication of the conference with the terminal B-1. Is started. This allows terminal B-1 to participate in the conference.
  • the call control relay server B140B identifies the group communication control SIP server (MCU) from the conference URI and permits it.
  • the SIP server list holding unit 141 stores group communication control SIP server information as reliable SIP server information.
  • the added SIP server Obtained IP address, port number, media type Packet filtering and unauthorized access detection can be performed based on such information.
  • FIG. 19 is a diagram showing a configuration of a firewall system in the fourth exemplary embodiment of the present invention.
  • the fourth embodiment shows an example in which the call control relay home agent (HA) and the packet filtering device in the first embodiment are realized in one home router.
  • Home router 508 is connected to IPv6 external network 510A, IPv4 external network 510B, and internal network 509, and relays communication between terminals.
  • An internal terminal 501 is connected to the internal network 509, and an external terminal 502 is connected to the IPv6 external network 510A.
  • the home router 508 includes an IPv4 'IPv6 packet classifier 511, an IPv6 packet processing unit 512, an IPv4 packet processing unit 513, a NAT unit 514 that implements a NAT function, a DHCPS unit 515 that implements a DHCP server function, and the like.
  • the IPv6 packet processing unit 512 includes a call control relay server 503, a home agent 504, a firewall 500 having a packet filtering device 505 and an unauthorized access detection device 506, and a reliable call control relay server information holding unit 507.
  • the reliable call control relay server information holding unit 507 holds information of other call control relay servers trusted by the network administrator or the like. Then, when the call control relay server 503 starts a call control sequence for establishing communication between the internal terminal 501 and the external terminal 502, the call control relay server information holding unit 507 holds the call control The call control sequence is executed by accepting only the call control signal from the relay server. As a result, access control in the management unit (SIP management unit) of the call control relay server becomes possible. With this configuration, the packet filtering device 505 can be dynamically controlled in units of IP address and port number units in the situation where data communication using mopile IP is operated in the home router 508.
  • the call control relay server 503 acquires the media type used in the communication. . Then, using this media type, the unauthorized access detection device 506 corresponding to the media type is activated. In the unauthorized access detection device 506, data defining a normal access pattern for each media type. Tabas are ready for bullying.
  • the unauthorized access detection device 506 uses the media type information and the normal access information database acquired from the call control relay server 503 to connect between the external terminal 502 on the external network and the internal terminal 501 on the internal network 509. The packet sequence of communication performed in is monitored. In this monitoring, when a packet sequence deviating from normal access is detected, the unauthorized access detection device 506 notifies the network administrator or the like by e-mail or IP phone.
  • the unauthorized access detection device 506 can monitor the packet sequence and detect unauthorized access due to a deviation from normal access capability. Furthermore, since it is only necessary to define signs of normal access for each media type, it is easy to specify normal access. For example, audio and video used for communication between external terminals and internal terminals are delivered according to a pre-defined RTP payload format. Therefore, it is easy to specify normal access using information such as the packet length, sequence number, and time stamp in the payload format. Therefore, the unauthorized access detection device 506 that detects the departure from normal access can be practically operated.
  • the present embodiment is a mobile phone having a router function and a bridge function having the same configuration as the power obtained by applying the packet filtering device and the unauthorized access detection device control method of the present invention to the home router 508. It can also be applied to mobile terminals such as PDAs.
  • FIG. 20 is a diagram showing a configuration of a firewall system in the fifth exemplary embodiment of the present invention.
  • the fifth embodiment is an example in which the firewall system according to the present invention is applied to an IP mobile phone.
  • An address management server 13 and an external terminal 14 are connected to an external network 510 such as the Internet.
  • This external network 510 is a mobile communications carrier. It can be connected to the IP mobile phone 800 via the wireless network 520 or the wireless LAN network 530.
  • IP mobile phone 800 is connected to internal terminal 550 via PAN (Personal Area Network) network 540.
  • PAN Personal Area Network
  • the IP mobile phone 800 has a router function.
  • the RF unit 801, the wireless LAN—IF unit 802, the PAN—IN unit 803, the IPv4 'IPv6 packet classifier 804, the IPv4 packet processing unit 805, IP v6 A packet processing unit 806, a main signal processing unit 807, a call control processing unit 808, and the like are included.
  • the IPv6 packet processing unit 806 includes a firewall 816 including an IP address correspondence information management unit 811, a call control relay unit 812, an address' port management unit 813, a filtering control unit 814, a packet forwarding unit (filtering unit) 815, and the like. .
  • IP mobile phone 800 which is a mobile terminal
  • the filtering control unit 814 performs dynamic bucket filtering in units of IP address and port number pairs.
  • the IP mobile phone 800 can be controlled to receive only a call to the internal terminal 550 such as an IP phone in the PAN network 540 through the firewall 816. It is also possible to detect unauthorized access based on normal access determination conditions defined in advance for each media type using the media type information obtained from the call control relay unit 812.
  • the present invention performs packet filtering in units of address and port numbers in a situation where communication via a mopile network is in operation, and allows only a narrower range of communication to be transmitted. Not only when moving to an external network, it is also possible to establish communication from another terminal connected to the external network to a terminal on the internal network. In addition, by monitoring the communication packet sequence specified by the media type and detecting unauthorized access that does not conform to normal access based on the normal access judgment conditions defined for each media type, unknown attacks can be detected. This has the effect that it can be detected substantially. INDUSTRIAL APPLICABILITY The present invention is useful for a firewall system and a firewall control method that dynamically control a firewall in a network or the like in which data communication by mopile IP is operated.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

　モバイルネットワークによる通信が運用される状況において、パケットフィルタリングと不正アクセス検知を適切に実行可能にする。 　ホームエージェント４０４Ａは、呼制御中継サーバ４０３Ａの呼制御により得られるＩＰアドレス、ポート番号、メディアタイプを取得してファイアウォール７００に通知する。ファイアウォール７００のパケットフィルタリング装置４００は、ＩＰアドレスとポート番号の組で特定されるＩＰパケットを通過させるようにパケットフィルタリングを行う。また、不正アクセス監視装置７０１は、メディアタイプ毎に予め定義した正常アクセス判定条件の中から該当するメディアタイプの情報を取り出し、この正常アクセス判定条件に基づいてパケットを監視し、正常アクセスから逸脱するものを不正アクセスとして検知する。

Description

明 細 書
ファイアウォールシステム及びファイアウォール制御方法
技術分野
[0001] 本発明は、モパイル IP等のモパイルネットワークによる通信が運用されるネットヮー クにおいてファイアウォールを動的に制御するファイアウォールシステム及びファイア ウォール制御方法に関する。
背景技術
[0002] 企業、大学、家庭などでは、インターネット等の不特定多数の端末力 アクセス可 能なネットワークに接続する場合、内部のネットワークに対して、外部ネットワークから 行われる攻撃を防ぐ必要がある。このため、従来より、内部ネットワークと外部ネットヮ ークとの間にファイアウォールを設置することが行われている。
[0003] ファイアウォールは、一般に、不正アクセス検知装置とパケットフィルタリング装置と により構成される。不正アクセス検知装置は、外部ネットワーク力 攻撃が行われたり
、内部ネットワークと外部ネットワークとの間で不正アクセスの兆候が観測されたりした 場合に、ネットワークの管理者等に通知する装置である。
[0004] パケットフィルタリング装置は、内部ネットワークと外部ネットワークで行われる通信 のうち、必要な通信に用いられるパケットのみを通過させ、それ以外のパケットを通過 させない装置である。
[0005] (不正アクセス検知装置の手法）
不正アクセス検知装置は、攻撃者が行う攻撃や不正アクセスを、パケットの一連の 流れを監視することで検知する。この攻撃や不正アクセスを検知する手法は、次の 2 つに大別できる。
(1)監視するパケットシーケンスが不正アクセスの兆候を示すことを検知する。
(2)監視するパケットシーケンスが正常アクセスを逸脱することを検知する。
[0006] このうち後者は、正常アクセス以外の動作を検知できるので不正アクセスの検知の 精度を高くできることが期待される手法である。しかし、多種の通信が行われる環境 にお 、て正常アクセスを規定し、データベース化することが難 、と 、う事情がある。 [0007] このため、前者の方法を限られた対象に限定して運用されることが多い。例えば、 特定の内部の端末の複数のポートに対するパケットを送ることによって、そのポート上 でサービスが立ち上がっているかどうか外部ネットワーク側から調査するポートスキヤ ンを不正アクセスの兆候として検知して通知するという方法が運用されてきた。しかし 、この方法は、不正アクセスの兆候の情報を不正アクセスの手法毎に、不正アクセス 検知システムに登録する必要があるため、新たな攻撃方法を検知しづら 、と 、う欠点 がある。
[0008] なお、後者に属するものとして以下の技術が提案されている。
(2A)外部ネットワーク力も通信データを受信し、この通信データが正常である場合 にのみサーバに転送する通信中継制御部と、サーバが意図したサービスの提供に 寄与する通信データの条件を、正常な通信データの特徴情報として、一種類または 複数種類格納する正常アクセス情報格納部と、この正常アクセス情報格納部から特 徴情報を読み出して通信中継制御部が受信した通信データと比較し、これらの特徴 情報をすベて満たす通信データのみを正常であると判断する正常アクセス識別部と 、を備える不正アクセス遮断システム (特許文献 1参照)。
[0009] (2B)通信ネットワークを介して外部力 行われるアクセスを正常アクセスとして受容 するためのプロトコル仕様及び Z又はアクセスポリシーを、対象となる通信システム又 は通信システムグループ毎に定めておき、通信ネットワークを流通する伝送情報の中 力も通信システム又は通信システムグループ宛ての伝送情報を捕獲するとともに、捕 獲した伝送情報の中力 プロトコル仕様及び Z又はアクセスポリシーに適合しない伝 送情報を不正アクセスの蓋然性がある伝送情報として特定する過程を含む、通信ネ ットワークにおけるアクセス種別を判定する方法 (特許文献 2参照)。
[0010] (パケットフィルタリング装置の方式）
パケットフィルタリング装置は、内部ネットワークと外部ネットワークで行われる通信 のパケットが、あらかじめ定められたルールに従っている場合は通過させ、ルールに 従っていない場合は通過させないようにする。このルールは、例えば、「特定のホスト 力ものアクセスを許可する」と力 「内部ネットワークから外部ネットワークへの http (H yperText Transfer Protocol)アクセスを許可する」と力、「内部ネットワークから外部ネ ットワークへの ftp (File Transfer Protocol)が起動された場合、外部ネットワークから 内部ネットワークへの特定ポートへの ftpのアクセスを許可する」と!、つた内容を表す ルールである。パケットフィルタリング装置は、これらのルールに適合するパケットの みを通過させ、それ以外のパケットを通過させないという動作を行うことで、外部ネット ワークから内部ネットワークへの攻撃や不正アクセスを防御する。
[0011] パケットフィルタリング装置力 パケットの通過を制御する単位としては、主に、 IPァ ドレス単位と IPアドレスとポート番号の組の単位が用いられる。
[0012] IPアドレス単位の制御は、外部ネットワークの特定端末と内部ネットワークの特定端 末との間で送受されるすべてのパケットを通過させるルールで実現できる。具体的に は、外部ネットワークにダイヤルアップやホットスポットを用いて接続したパソコンの IP アドレスを 202.123.12.1、内部ネットワークの電子メールサーバの IPアドレスを 202.32. 21.1とした場合、このパソコン力 電子メールサーバへの通信のパケットを許可するル ールは、 "Allow 202.123.12.1 202.32.21.1",のように記述できる。このルールにおい て、 Allowは通過を許可することを、 202.123.12.1は送信元 IPアドレスを、 202.32.21.1 は宛先 IPアドレスを表す。パケットフィルタリング装置は、このルールに適合するパケ ットをすベて通過させる。このように送信元 IPアドレスと宛先 IPアドレスの組で特定さ れるパケットを通過させたり、通過させなかったりする制御を IPアドレス単位の制御と 呼ぶ。
[0013] IPアドレスとポート番号の組の単位の制御は、外部ネットワーク上の特定の端末の 特定ポートから送信されるデータが、内部ネットワーク上の特定の端末のアプリケー シヨンが待ち受けている特定ポートへ通過することを許可するルールで実現できる。 例えば、外部ネットワーク上の IP電話端末の IPアドレスを 202.123.12.2、この端末で 音声データを送信するアプリケーションが起動されて 、るポート番号を 12345とし、内 部ネットワークの IP電話端末の IPアドレスを 202.32.21.2、この端末で音声データを受 信するアプリケーションが起動されているポート番号を 23456とする。この場合、この音 声データの通過を許可するルールは、 "Allow 202.123.12.2 12345 202.32.21.2 2345 6"のように記述できる。このルールにおいて Allowは許可することを、 202.123.12.2、 1 2345、 202.32.21.2、 23456は、それぞれ、送信元 IPアドレス、送信元ポート番号、宛先 IPアドレス、宛先ポート番号を表す。パケットフィルタリング装置は、このルールに適合 するパケットをすベて通過させる。このように、送信元 IPアドレス、送信元ポート番号、 宛先 IPアドレス、宛先ポート番号の組で特定されるパケットを通過させたり、通過させ なかったりする制御を IPアドレスとポート番号の組の単位の制御と呼ぶ。
[0014] 外部ネットワークから内部ネットワークへ攻撃を行う場合、特定端末を乗っ取り、この 端末から内部ネットワークの端末への攻撃を行う手法などがよく用いられる。この場合
、パケットフィルタリング装置において、 IPアドレス単位の制御が行われていると、乗つ 取った特定端末から内部ネットワークの端末上のすべてのサービス (アプリケーション
)に対するアクセスが可能となるため、望ましくない。つまり、 IPアドレスとポート番号の 組の制御を行ったほうが、攻撃の範囲を小さくすることができるので、より望ましい。
[0015] しかしながら、送信元 IPアドレス、送信元ポート番号、宛先 IPアドレス、宛先ポート 番号の組は、通信が確立する時点で端末同士の間ではじめて明らかになる情報であ るため、パケットフィルタリグ装置のようにネットワークの中間に位置する装置が IPアド レスとポート番号の組の情報を容易に取得することはできな力つた。
[0016] このような不具合に対して、通信を確立するための呼制御を中継するサーバを用い て、これらの情報を取得する方法が知られている（例えば、特許文献 3及び特許文献 4参照)。以下に呼制御中継サーバにつ 1、て説明する。
[0017] (呼制御中 «Iサーバ）
特定の端末間で通信を確立する呼制御として、 SIP (Session Initiation Protocol)に よる通信制御がある。 SIPでは、通信を確立させたる 2台以上複数の端末間で、特定 のメディアの配送に用いる IPアドレスとポート番号や、コーデック（CODEC)種別、帯 域等の調整を行うための制御メッセージの書式とシーケンスが定義されている。この SIPの運用にお 、て、特定の組織に属する端末が送受する呼制御のシーケンスをす ベて中継する呼制御中継サーバを設置する方法がある。
[0018] 図 21は、内部ネットワークに設置された内部端末と外部ネットワークに設置された 外部端末と力 呼制御中継サーバを用いて通信を確立するための呼制御のシーケ ンス（INVITEシーケンス）を示したものである。図中の制御メッセージに付記されて！ヽ る INVITE, TRYING, RINGING, OK, ACKは、 SIPで定義されている制御メッセージ を表している。これらの制御メッセージを交換することで、確立する通信で用いる IPァ ドレスとポート番号や、メディアタイプ、 CODEC,帯域等の情報を端末間で調整し、端 末間で通信の確立をすることが可能となる。
[0019] 例えば、図 21のシーケンスで音声通信を確立する場合、制御メッセージに次のよう な情報を含めることで、送信元 IPアドレスと送信元ポート番号、あるいは宛先 IPァドレ スと宛先ポート番号を確定させる。
m= audio 49170 RTP/AVP 0
c = IN IP4 224.2.17.12
なお、この記述方式は、 SDP (Session Description Protocol)としてインターネット関 係のプロトコルを標準化する団体である IETFで標準化された記述方式である。 m = の行は、メディアに関する情報を示す。 Audioはメディアタイプ、 49170はポート番号、 RTP/AVP 0はトランスポートとペイロードの形式をしめす。 c =の行は、接続にする情 報を示す。 INはインターネット、 IP4は、 IPv4であること、 224.2.17.12は、接続に用いる I Pアドレスを示す。
[0020] 図 21において、呼制御中継サーバが ACKを受信した時点で、送信元 IPアドレス、 及び宛先 IPアドレスと宛先ポート番号の情報を知ることができる。
[0021] 呼制御中継サーバは、この送信元 IPアドレス、宛先 IPアドレス、宛先ポート番号を 組みとした情報を用いて、パケットフィルタリング装置を制御することができる。この方 法を、呼制御中継サーバを使ったパケットフィルタリング装置制御方法と呼ぶ。しかし 、この方法は、次に説明するモノ ィル IP環境で利用できないという事情があった。
[0022] (モパイル IP環境）
モパイル IPとは、移動もしくはネットワーク力も切断、再接続することにより IPアドレス が変化する状況にぉ 、て、ひとたび確立した通信を切断することなく継続させること を実現する技術である。モパイル IPは、 IETFで標準化が行われプロトコルの詳細は 、 RFC3775(IPv6)、 RFC3344(IPv4)で規定されている。
[0023] 図 22は、モパイル IPの動作を説明したものである。図 22の構成において、移動端 末（モパイル端末、 MN (Mobile Node)ともいう） 201、移動管理を行うサーバであるホ ームエージェント（HA(Home Agent)ともいう） 202、ホームエージェント 202が接続さ れるホームネットワーク 205、外部にある外部端末（CN(Correspondent Node)ともいう ) 203、外部ネットワーク 204、外部ネットワークに接続された特定のネットワーク (移 動先ネットワーク） 206、パケットフィルタリング装置等を備えたファイアウォール 207、 ルータ 208, 209を有する。
[0024] 移動端末 201には、ホームネットワーク 205上の IPアドレス、例えば 2001:300:c01::
2/64が付与されており、このアドレスをホームアドレスと呼ぶ。移動端末 201がホーム ネットワーク 205に接続した状態で、外部端末 203と通信を確立する。この通信を確 立した状態で、移動端末 201が特定ネットワーク (移動先ネットワーク） 206に移動す ることを想定する。移動端末 201が特定ネットワーク (移動先ネットワーク） 206に移動 した場合に付与される IPアドレスを例えば 2001:300:c01:beef::2/64とする。このアドレ スを移動端末 201の気付けアドレスと呼ぶ。移動端末 201と外部端末 203との間で 確立されていた通信を継続するためには、外部端末 203から 2001:300:c01::2 (ホー ムアドレス =旧気付けアドレス)宛に送信されるパケットを新たな気付けアドレス宛に 送信しなおす必要がある。モパイル IPでは、移動端末 201が移動し、新たな気付け アドレスを取得した場合、移動端末 201がホームエージェント 202及び外部端末 203 に IPアドレスの対応関係を通知する。この IPアドレスの対応関係、すなわち「移動端 末 201の気付けアドレスが 2001:300:c01::2から 2001:300:c01:beef::2に変更になった 」と 、う通知を BU (Binding Update)メッセージと呼ぶ。
[0025] 外部端末 203がモパイル IPに対応して ヽな 、場合、移動端末 201宛のパケットは ホームアドレスに向けて送信される。ホームアドレスに向けて送信されたパケットは外 部ネットワーク 204を経由してホームネットワーク 205まで届けられる。ホームネットヮ ーク 205に届けられたパケットは、ー且ホームエージェント 202が受信する。ホームェ ージェント 202は、ー且受信したパケットを、移動端末 201の気付けアドレスに配送す ることで移動端末 201までパケットを届ける。なお、移動端末 201から外部端末 203 へのパケットは、この逆順 (移動端末 201→ホームエージェント 202→外部端末 203) に届けられる。
[0026] 外部端末 203がモパイル IPに対応している場合、移動端末 201宛のパケットは直 接、気付けアドレスに対して配送される。このようにして、移動端末 201に届けられた パケットは、特定のアプリケーションに届けられる。つまり、移動端末 201が外部端末 203と移動前に確立した通信は、移動端末 201が移動した後にでも継続的に行うこ とがでさる。
[0027] し力し、このモパイル IPが運用されている状況では、移動端末 201の IPアドレス（気 付けアドレス）が変わってしまう。このため、パケットフィルタリング装置に移動端末 20 1が移動する前に設定されたルールは、移動端末 201が移動後には適用できなくな るという不具合があった。
[0028] 従来、この不具合に対して、移動端末 201が移動した場合に、移動端末 201からホ ームエージェント 202に送付される BUメッセージに含まれる情報を用いて、パケット フィルタリング装置を制御する方法があった (特許文献 5参照)。
[0029] 図 23は、この従来方式の構成を説明したものである。図 23の構成において、第一 の移動端末 301、第二の移動端末 302、ホームエージェント 303、ファイアウォール 管理ホスト 304、パケットフィルタリング装置 305、外部ネットワーク（インターネット） 30 6、 ISP (インターネットサービスプロバイダ） 307、 ISP307の認証サーノ 308を有す る。
[0030] ここでは、第一の移動端末 301を外部ネットワークに持ち出し、第一の移動端末 30 1から内部ネットワークの第二の移動端末 302に接続する状況を想定して 、る。第一 の移動端末 301をダイヤルアップ等で特定の ISP307経由で外部ネットワークに接 続する。この際、 ISP307の認証サーバ 308がユーザ情報を第一の移動端末 301に 送り、第一の移動端末 301はユーザ情報を、ファイアウォール管理ホスト 304に送付 する。ファイアウォール管理ホスト 304は、ユーザ情報が正当なものである場合、第一 の移動端末 301とホームエージェント 303間の通信が可能となるようにファイアウォー ル上のパケットフィルタリング装置 305の設定を変更する。この一連の動作を行うこと で、第一の移動端末 301がホームエージェント 303を経由して第二の移動端末 302 と通信することを可能とする。すなわち、モパイル IPが運用されている状況で、動的な パケットフィルタリング装置 305の制御を実現している。
[0031] 特許文献 1 :特開 2004— 38557号公報
特許文献 2 :特開 2001—313640号公報 特許文献 3：特開 2003 - 229893号公報
特許文献 4：特開 2003— 229915号公報
特許文献 5：特開平 10— 70576号公報
発明の開示
発明が解決しょうとする課題
[0032] しかしながら、図 23に示した従来方式においては、パケットフィルタリング装置 305 力 IPアドレスとポート番号の組でアクセス制限できないため、攻撃者は、第一の移 動端末 301を乗っ取った場合、ホームエージェント 303及び第二の移動端末 302の すべてのサービスへの攻撃が可能となるという問題があった。
[0033] また、従来方式を適用できるのは、第一の移動端末 301を持ち出した場合のみで あり、外部ネットワーク上の外部端末からの通信を開設する枠組みがない。つまり、内 部ネットワークのネットワーク管理者等が承認した正当な通信を開設する仕組みが提 供されていない。
[0034] また、従来方式でアクセスを許可した通信の不正アクセスを監視する場合、第一の 外部端末 301と第二の移動端末 302の間で様々な通信が行われる可能性があるた め、監視するパケットシーケンスが正常アクセスを逸脱することを検知する方式は利 用できず、監視するパケットシーケンスが不正アクセスの兆候を示すことを検知する 方式で監視せざるを得ない。このため、未知の攻撃を検知しづらいという問題があつ た。
[0035] 本発明は、上記事情に鑑みてなされたもので、モパイルネットワークによる通信が運 用されて!、る状況にお!、ても、アドレスとポート番号の組単位でパケットフィルタリング を行ってより狭 、範囲の通信のみを透過させること、および内部ネットワークの移動端 末力 外部のネットワークに移動したときのみならず、外部のネットワークに接続され た他の端末力 内部ネットワークの端末に通信を開設することが可能なファイアゥォ ールシステム及びファイアウォール制御方法を提供すること目的とする。
[0036] また、本発明は、メディアタイプで特定される通信のパケットシーケンスを監視し、メ ディアタイプ毎に定義した正常アクセス判定条件に基づいて正常アクセスに適合しな Vヽ不正アクセスを検知することで、未知の攻撃を検知することが実質的に可能なファ ィァウォールシステム及びファイアウォール制御方法を提供すること目的とする。 課題を解決するための手段
[0037] 本発明のファイアウォールシステムは、外部ネットワークと内部ネットワークとの間の 通信を制御するファイアウォールシステムであって、前記外部ネットワークまたは前記 内部ネットワークに接続される端末間の通信を確立するための呼制御シーケンスを 中継する呼制御中継部と、前記端末の移動またはネットワークへの再接続によって 変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部と、前 記呼制御中継部から得られる通信に用いる端末のアドレス及びポート番号の情報と 、前記アドレス対応情報管理部力 得られるアドレスの新旧対応関係の情報とに基 づき、内部ネットワークと外部ネットワークとの間で通過を許可するパケットのフィルタ リング条件として、アドレスとポート番号との組を設定するフィルタリング制御部と、前 記アドレスとポート番号との組を含むフィルタリング条件に基づいて特定されるバケツ トを通過させるパケットフィルタリング部とを備えるものである。
[0038] これにより、呼制御中継部力 得られる通信に用いる端末のアドレス及びポート番 号の情報と、アドレス対応情報管理部力 得られるアドレスの新旧対応関係の情報と に基づき、アドレスとポート番号との組を特定してパケットフィルタリングの制御を行う ことができる。したがって、モパイルネットワークによる通信が運用されている状況にお いても、アドレスとポート番号の組単位でパケットフィルタリングを行うことができ、ネット ワーク管理者等が承認した正当な通信のみを透過させることが可能となる。
[0039] また、本発明の一態様として、上記のファイアウォールシステムであって、前記呼制 御中継部は、他の信頼できる呼制御中継部の情報を保持する中継部情報保持部を 有し、前記フィルタリング制御部は、前記他の呼制御中継部を経由して確立される端 末間の通信におけるアドレス及びポート番号の情報を取得し、このアドレスとポート番 号との組によるフィルタリング条件を設定するものとする。
[0040] これにより、他の呼制御中継部を経由して確立される通信に対しても、信頼できる 呼制御中継部からの情報に基づ 、てアドレスとポート番号の組単位でパケットフィル タリングを行うことができる。
[0041] また、本発明の一態様として、上記のファイアウォールシステムであって、前記フィ ルタリング制御部は、内部ネットワーク上の端末または外部ネットワーク上の端末の少 なくとも一方が移動し、前記呼制御中継部または前記アドレス対応情報管理部から 得られるアドレスの情報が変更された場合は、最新のアドレスとポート番号との組によ るフィルタリング条件を設定するものとする。
[0042] これにより、端末が移動してアドレスが変更された場合でも、動的にアドレス情報の 対応付けを行 、、最新のアドレスに対応したアドレスとポート番号の組単位でパケット フィルタリングを動的に制御することが可能となる。
[0043] また、本発明の一態様として、上記のファイアウォールシステムであって、前記通信 のメディアタイプ毎に定義した正常アクセス判定条件を格納する正常アクセス判定条 件格納部と、前記呼制御中継部力 得られる通信に用いる端末のアドレス、ポート番 号、及びメディアタイプの情報と、前記アドレス対応情報管理部力 得られるアドレス の新旧対応関係の情報と、前記正常アクセス判定条件格納部力 得られる正常ァク セス判定条件とに基づき、通過するパケットが前記正常アクセス判定条件に適合しな い場合は不正アクセスとして検知する不正アクセス検知部とを備えるものである。
[0044] これにより、呼制御シーケンスによって確立された特定のメディアタイプの通信のパ ケットのみファイアウォールを通過させ、さらにこのパケットを監視し、通信のメディアタ イブ毎に定義した正常アクセス判定条件に基づいて正常アクセスに適合しない不正 アクセスを検知することが可能となる。
[0045] また、本発明の一態様として、上記のファイアウォールシステムであって、前記不正 アクセス検知部は、内部ネットワーク上の端末または外部ネットワーク上の端末の少 なくとも一方が移動し、前記呼制御中継部または前記アドレス対応情報管理部から 得られるアドレスの情報が変更された場合は、最新のアドレスの情報によって正常ァ クセス判定条件の判定を行うものとする。
[0046] これにより、端末が移動してアドレスが変更された場合でも、動的にアドレス情報の 対応付けを行 、、最新のアドレスに対応した正常アクセス判定条件に基づ 、て不正 アクセスを検知することが可能となる。
[0047] また、本発明の一態様として、上記のファイアウォールシステムにおけるパケットフィ ルタリング装置であって、前記呼制御中継部力 得られる、通信に用いる端末のアド レス及びポート番号の情報と、前記アドレス対応情報管理部力 得られるアドレスの 新旧対応関係の情報とに基づき、内部ネットワークと外部ネットワークとの間で通過を 許可するパケットのフィルタリング条件として、アドレスとポート番号との組を設定する フィルタリング制御部と、前記アドレスとポート番号との組を含むフィルタリング条件に 基づいて特定されるパケットを通過させるパケットフィルタリング部とを備えるものを提 供する。
[0048] 本発明のパケットフィルタリング装置は、外部ネットワークと内部ネットワークとの間の 通信を制御するファイアウォールシステムのパケットフィルタリング装置であって、前 記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確立す るための呼制御シーケンスを中継する呼制御中継部から得られる、通信に用いる端 末のアドレス及びポート番号の情報と、前記端末の移動またはネットワークへの再接 続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情報 管理部から得られるアドレスの新旧対応関係の情報とに基づき、内部ネットワークと 外部ネットワークとの間で通過を許可するパケットのフィルタリング条件として、ァドレ スとポート番号との組を設定するフィルタリング制御部と、前記アドレスとポート番号と の組を含むフィルタリング条件に基づいて特定されるパケットを通過させるパケットフ ィルタリング部とを備えるものである。
[0049] これにより、呼制御中継部力 得られる通信に用いる端末のアドレス及びポート番 号の情報と、アドレス対応情報管理部力 得られるアドレスの新旧対応関係の情報と に基づき、アドレスとポート番号との組を特定してパケットフィルタリングの制御を行う ことが可能となる。
[0050] また、本発明の一態様として、上記のファイアウォールシステムにおける不正ァクセ ス検知装置であって、前記通信のメディアタイプ毎に定義した正常アクセス判定条件 を格納する正常アクセス判定条件格納部と、前記呼制御中継部力 得られる、通信 に用いる端末のアドレス、ポート番号、及びメディアタイプの情報と、前記アドレス対 応情報管理部から得られるアドレスの新旧対応関係の情報と、前記正常アクセス判 定条件格納部から得られる正常アクセス判定条件とに基づき、通過するパケットが前 記正常アクセス判定条件に適合しない場合は不正アクセスとして検知する不正ァク セス検知部とを備えるものを提供する。
[0051] 本発明の不正アクセス検知装置は、外部ネットワークと内部ネットワークとの間の通 信を制御するファイアウォールシステムの不正アクセス検知装置であって、前記通信 のメディアタイプ毎に定義した正常アクセス判定条件を格納する正常アクセス判定条 件格納部と、前記外部ネットワークまたは前記内部ネットワークに接続される端末間 の通信を確立するための呼制御シーケンスを中継する呼制御中継部力も得られる、 通信に用いる端末のアドレス、ポート番号、及びメディアタイプの情報と、前記端末の 移動またはネットワークへの再接続によって変更される端末のアドレスの新旧対応関 係を管理するアドレス対応情報管理部から得られるアドレスの新旧対応関係の情報 と、前記正常アクセス判定条件格納部から得られる正常アクセス判定条件とに基づき 、通過するパケットが前記正常アクセス判定条件に適合しな 、場合は不正アクセスと して検知する不正アクセス検知部とを備えるものである。
[0052] これにより、呼制御シーケンスによって確立された特定のメディアタイプの通信のパ ケットを監視し、通信のメディアタイプ毎に定義した正常アクセス判定条件に基づ ヽ て正常アクセスに適合しない不正アクセスを検知することが可能となる。
[0053] 本発明のファイアウォール制御方法は、外部ネットワークと内部ネットワークとの間 の通信を制御するファイアウォール制御方法であって、前記外部ネットワークまたは 前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケン スを中継する呼制御中継部から、通信に用 、る端末のアドレス及びポート番号の情 報を取得するステップと、前記端末の移動またはネットワークへの再接続によって変 更される端末のアドレスの新旧対応関係を管理するアドレス対応情報管理部から、ァ ドレスの新旧対応関係の情報を取得するステップと、前記通信に用いる端末のァドレ ス及びポート番号の情報と、前記アドレスの新旧対応関係の情報とに基づき、内部ネ ットワークと外部ネットワークとの間で通過を許可するパケットのフィルタリング条件とし て、アドレスとポート番号との組を設定するステップと、前記アドレスとポート番号との 組を含むフィルタリング条件に基づいて特定されるパケットを通過させるステップとを 有するものである。
[0054] これにより、呼制御中継部力 得られる通信に用いる端末のアドレス及びポート番 号の情報と、アドレス対応情報管理部力 得られるアドレスの新旧対応関係の情報と に基づき、アドレスとポート番号との組を特定してパケットフィルタリングの制御を行う ことが可能となる。
[0055] 本発明のファイアウォール制御方法は、外部ネットワークと内部ネットワークとの間 の通信を制御するファイアウォール制御方法であって、前記外部ネットワークまたは 前記内部ネットワークに接続される端末間の通信を確立するための呼制御シーケン スを中継する呼制御中継部から、通信に用いる端末のアドレス、ポート番号、及びメ ディアタイプの情報を取得するステップと、前記端末の移動またはネットワークへの再 接続によって変更される端末のアドレスの新旧対応関係を管理するアドレス対応情 報管理部から、アドレスの新旧対応関係の情報を取得するステップと、前記通信に用 いる端末のアドレス、ポート番号、及びメディアタイプの情報と、前記アドレスの新旧 対応関係の情報と、前記通信のメディアタイプ毎に定義して正常アクセス判定条件 格納部に格納してある正常アクセス判定条件とに基づき、通過するパケットが前記正 常アクセス判定条件に適合しない場合は不正アクセスとして検知するステップとを有 するものである。
[0056] これにより、呼制御シーケンスによって確立された特定のメディアタイプの通信のパ ケットを監視し、通信のメディアタイプ毎に定義した正常アクセス判定条件に基づ ヽ て正常アクセスに適合しない不正アクセスを検知することが可能となる。
発明の効果
[0057] 本発明によれば、モパイルネットワークによる通信が運用されている状況においても 、アドレスとポート番号の組単位でパケットフィルタリングを行ってより狭 、範囲の通信 のみを透過させること、および内部ネットワークの移動端末力 外部のネットワークに 移動したときのみならず、外部のネットワークに接続された他の端末から内部ネットヮ ークの端末に通信を開設することが可能なファイアウォールシステム及びファイアゥォ ール制御方法を提供できる。また、メディアタイプで特定される通信のパケットシーケ ンスを監視し、メディアタイプ毎に定義した正常アクセス判定条件に基づ 、て正常ァ クセスに適合しな 、不正アクセスを検知することで、未知の攻撃を検知することが実 質的に可能なファイアウォールシステム及びファイアウォール制御方法を提供できる 図面の簡単な説明
圆 1]本発明の第 1の実施形態に係るファイアウォールシステムの構成を示す図 圆 2]本発明の第 1の実施形態における呼制御シーケンスを示す図
[図 3]IPアドレスの新旧対応関係を示すテーブルの構成例を示す図
[図 4]本発明の第 1の実施形態におけるフィルタリング処理のシーケンスを示す図 圆 5]第 1の実施形態に係るファイアウォールシステムの第 1運用例を示す図 圆 6]第 1の実施形態に係るファイアウォールシステムの第 2運用例を示す図 圆 7]本発明の第 2の実施形態に係るファイアウォールシステムの構成を示す図 圆 8]本発明の第 2の実施形態における呼制御のシーケンスを示す図
[図 9]本発明の第 2の実施形態における不正アクセス監視制御のシーケンスを示す 図
[図 10]本発明の第 2の実施形態における不正アクセス監視処理の手順を示すフロー チャート
[図 11]音声配送におけるパケット形式の一例を示す図
[図 12]第 2の実施形態に係るファイアウォールシステムの運用例を示す図 圆 13]第 2の実施形態の運用例におけるファイアウォールの機能構成例を示す図
[図 14]正常アクセス兆候保持テーブルの構成例を示す図
圆 15]本発明の第 3の実施形態に係るファイアウォールシステムの構成を示す図
[図 16]本発明の第 3の実施形態におけるファイアウォールシステムの要部のブロック 構成を示す図
圆 17]複数端末間でグループ通信による会議を行う際の呼制御の例を示す図 圆 18]本発明の第 3の実施形態における会議参加時のシーケンスの例を示す図
[図 19]本発明の第 4の実施形態におけるファイアウォールシステムの構成を示す図 圆 20]本発明の第 5の実施形態におけるファイアウォールシステムの構成を示す図
[図 21]呼制御中継サーバを用いた呼制御のシーケンスを示す図
[図 22]モパイル IPの動作を示す図
[図 23]従来のファイアウォールの構成例を示す図 符号の説明
10, 406, 604 外部ネットワーク
11, 110, 140, 403, 403A, 503, 608 呼制御中継サーノ
11a, 142, 812 呼制御中継部
11c フィルタリング制御要求部
12, 120, 404, 504, 602 ホームエージェント（HA)
12a, 811 IPアドレス対応情報管理部
12b フィルタリング制御指示部
13 アドレス管理サーバ
13a アドレス管理応答部
14, 402, 502, 603 外部端末（CN)
14a, 15a 呼制御処理部
15, 401, 501 内部端末
16, 407, 509 内部ネットワーク
17, 405, 130, 500, 700, 816 ファイアウォール
17b, 814 フィルタリング制御部
17c, 133, 815 パケット転送部（フィルタリング部）
111 不正アクセス監視制御要求部
121 不正アクセス監視制御指示部
131 正常アクセス規定データベース (正常アクセス判定条件格納部)
132 不正アクセス検知部
134 不正アクセス報知部
141 許可 SIPサーバリスト保持部
400, 505, 607 ノ ケットフィルタリング装置
506 不正アクセス検知装置
508 宅内ルータ
601 移動端末 (MN)
701 不正アクセス監視装置 702 フィルタリング及び検査制御部
703 パケット検査部
704 ノ ケッ卜フィルタリング部
705 正常アクセスパターン記憶部（正常アクセス判定条件格納部）
706 不正アクセス兆候通知部
800 IP携帯電話
発明を実施するための最良の形態
[0060] (第 1の実施形態）
[0061] 図 1は本発明の第 1の実施形態に係るファイアウォールシステムの構成を示す図で ある。第 1の実施形態は、モノィルネットワークとしてモパイル IPによるデータ通信が 運用されるネットワークにおいて、パケットフィルタリング装置を動的に制御する構成 を示したものである。図 1の構成において、企業等のネットワークの外部にあるインタ 一ネット等の外部ネットワーク 10上に、呼制御中継サーバ 11、ホームエージェント（H A) 12、アドレス管理サーバ 13が接続されている。外部端末 14は外部ネットワーク 10 に接続されて 、る。内部端末 15は企業等の内部に設けられる内部ネットワーク 16に 接続されており、この内部ネットワーク 16と外部ネットワーク 10との間にファイアウォー ル 17が設置されている。
[0062] 図 2は本発明の第 1の実施形態における呼制御シーケンスを示す図である。この図 2は、内部ネットワーク 16における内部端末 15と外部ネットワーク 10における外部端 末 14力 呼制御中継サーバ 11を用いて通信を確立するための呼制御のシーケンス (INVITEシーケンス）を示したものである。図中の制御メッセージに付記されて 、る IN VITE, TRYING, RINGING, OK, ACKは、 SIPで定義されている制御メッセージを表 している。これらの制御メッセージを交換することで、確立する通信で用いる IPァドレ スとポート番号や、メディアタイプ、コーデック (CODEC)、帯域等の情報を端末間で 調整し、端末間で通信の確立をすることが可能となる。
[0063] 内部端末 15の呼制御処理部 15aから呼制御中継サーバ 11に対して外部端末 14 宛ての INVITE (セッション確立要求)メッセージが出されると（S 1 )、呼制御中継部 11 aはセッション確立要求の受付を意味するメッセージを呼制御処理部 15aに返送する (S 2)。呼制御中継サーバ 11の呼制御中継部 1 laはアドレス管理サーバ 13に対して 外部端末 14のアドレスを問 、合せるメッセージを送る（S3)。
[0064] アドレス管理サーバ 13のアドレス管理応答部 13aは、アドレス保持部 13bに登録さ れて 、る外部端末 14のアドレスを検索して、外部端末 14のアドレスを返答するメッセ 一ジを呼制御中継サーバ 11に送る（S4)。呼制御中継サーバ 11の呼制御中継部 1 laは、外部端末 14の呼制御処理部 14aに対して接続を要求する INVITEメッセージ を送る（S5)。外部端末 14の呼制御処理部 14aは、 INVITEメッセージを受け取ると、 RINGINGメッセージを返す（S6)。この RINGINGメッセージは、呼制御中継サーバ 11 の呼制御中継部 1 laを介して内部端末 15の呼制御処理部 15aへ送られる（S7)。
[0065] 外部端末 14が応答すると、外部端末 14の呼制御処理部 14aは OKメッセージを送 る（S8)。この OKメッセージは呼制御中継サーバ 11の呼制御中継部 11aを介して内 部端末 15の呼制御処理部 15aへ送られる（S9)。内部端末 15の呼制御処理部 15a は、 OKメッセージに対して ACKメッセージを送る（S 10)。この ACKメッセージは呼制 御中継サーバ 11の呼制御中継部 11aを介して外部端末 14の呼制御処理部 14aへ 送られる（Sl l)。
[0066] この一連の呼制御シーケンスにおいて、呼制御中継サーバ 11の呼制御中継部 11 aは、内部端末 15の呼制御処理部 15aからの ACKメッセージを受け取った時点（S1 0)で、内部端末 15と外部端末 14との間の通信に用いるアドレス (IPアドレス）とポート 番号の情報が確定するので、通信に用いる IPアドレスとポート番号の組情報をァドレ ス'ポート管理部 l ibに一時記憶させる。そして、呼制御中継サーバ 11のフィルタリン グ制御要求部 11cは、通信に用いる IPアドレスとポート番号の組情報を含むフィルタ リング制御要求メッセージをホームエージェント 12に対して供給する（S21)。これに より、フィルタリング制御処理が起動される。
[0067] 図 1に示すように、ホームエージェント 12は、 IPアドレス対応情報管理部 12aを有し ており、この IPアドレス対応情報管理部 12aによって外部端末 14の移動またはネット ワークへの再接続によって変更される IPアドレスの新旧対応関係を管理している。図 3は IPアドレスの新旧対応関係を示すテーブルの構成例である。図 3において、ホー ムアドレス欄 12a 1は、内部ネットワークの端末のホームアドレスを保持する項目であ る。また、気付けアドレス欄 12a2は、同じ端末の現在の気付けアドレスを保持する項 目である。図 1のホームエージェント 12のフィルタリング制御指示部 12bは、通信に用 いる IPアドレスとポート番号の組情報を含むフィルタリング制御要求メッセージを受け 取ると、この IPアドレスをキーとしてホームアドレス欄 12alを検索して、検索が成功す る場合、気付けアドレス欄 12a2から現在の気付けアドレスを取得する。そして、フィル タリング制御指示部 12bは、この気付けアドレスを最新の IPアドレスとして最新の IPァ ドレスとポート番号との組を特定する。その後、この最新の IPアドレスとポート番号との 組情報をファイアウォール 17へ送る。検索が成功しない場合は、フィルタリング制御 指示部 12bはフィルタリング制御要求メッセージに含まれる IPアドレスとポート番号の 組情報をファイアウォール 17へ送る。
[0068] ファイアウォール 17のパケット送信受信管理部 17aは、前記最新の IPアドレスとポ 一ト番号との組情報を受信すると、この組情報をフィルタリング制御部 17bに供給す る。フィルタリング制御部 17bは、前記最新の IPアドレスとポート番号との組情報によ つて特定される IPパケットを通過させるようにパケット転送部（フィルタリング部） 17cの パケット転送動作 (パケットフィルタリング動作)を制御する。
[0069] これにより、内部端末 15の主信号処理部 15bと外部端末 14の主信号処理部 14bと の間で、主信号 (例えば音声や画像等のデータを含むパケット）の通信が可能となる
[0070] 図 4は本発明の第 1の実施形態におけるフィルタリング処理のシーケンスを示す図 である。呼制御中継サーバ 11のフィルタリング制御要求部 11cは、通信に用いる IP アドレスとポート番号の組情報を含むフィルタリング要求をホームエージェント 12のフ ィルタリング制御指示部 12bへ送る（S51)。フィルタリング制御指示部 12bは、 IPアド レスが最新のものである力確認し、最新の IPアドレスとポート番号の組情報を含むフ ィルタリング要求をファイアウォール 17のフィルタリング制御部 17bに送る（S52)。フ ィルタリング制御部 17bは、最新の IPアドレスとポート番号の組情報力もなるフィルタリ ング情報を保持し、整合チェックを行って、フィルタリング設定指示をパケット転送部（ フィルタリング部） 17c (S53)に送る。これにより、フィルタリング条件が設定される。パ ケット転送部（フィルタリング部） 17cは、フィルタリング条件が設定されたことを示す応 答メッセージを返す（S54)。この応答メッセージは、フィルタリング制御部 17b、フィル タリング制御指示部 12bを介してフィルタリング制御要求部 11cへ送られる (S55, S5 6)。
[0071] 図 5は第 1の実施形態に係るファイアウォールシステムの第 1運用例を示す図である 。この第 1運用例のファイアウォールシステムは、内部端末 401、移動端末 (MN)で ある外部端末 402、呼制御中継部の機能を有する呼制御中継サーバ 403、アドレス 対応情報管理部の機能を有するホームエージェント (HA) 404、パケットフィルタリン グ装置 400を含むファイアウォール 405、インターネット等の外部ネットワーク 406、企 業等に設けられる内部ネットワーク 407、ルータ 408を有する。呼制御中継サーノ 0 3及びホームエージェント 404は、内部ネットワーク 407における DMZ (非武装地帯） に設置されており、外部ネットワーク 406からアクセス可能である。内部ネットワーク 40 7に接続された内部端末 401は、ファイアウォール 405、ルータ 408を介して外部ネッ トワーク 406とアクセス可能となって!/、る。
[0072] ここでは、内部端末 401が外部端末 402と通信を確立するために、呼制御中継サ ーバ 403を介して呼制御のシーケンスを交換することを想定する。また、外部端末 40 2は、移動端末 (MN)であり、外部ネットワーク 406に移動し、気付けアドレスを取得 しているちのとする。
[0073] 図 5に示すように、呼制御中継サーバ 403は、図 2に示した一連の呼制御のシーケ ンスにおいて確定した、内部端末 401の IPアドレスとポート番号、及び外部端末 402 の IPアドレスと宛先ポート番号の呼情報をホームエージェント 404に通知する。ここで 、ホームエージェント 404が呼制御中継サーノ 03から取得した内部端末 401の IP アドレスとポート番号、及び外部端末 402の IPアドレスとポート番号の呼情報は、それ ぞれ、 2001:300:c01:l::l, 12345, 2001:300:c01:l::2, 23456とする。
[0074] 一方、ホームエージェント 404は、外部端末 402がホームエージェント 404宛てに 通知したノインディングアップデート情報 (BUメッセージ）により、外部端末 402の気 付けアドレスが 2001:300:beaf::2であるという情報を取得している。それにより、外部端 末 402のホームアドレスと気付けアドレスとを対応付けて保持するとともに、外部端末 402の最新のアドレスが気付けアドレスであることを把握している。 [0075] そして、ホームエージェント 404は、パケットフィルタリング装置 400を備えるファイア ウォール 405に対して内部端末 401と外部端末 402との通信に用いられる情報を通 知する。パケットフィルタリング装置 400では、取得した IPアドレスとポート番号との組 の情報に基づき、フィルタリング条件を設定し、前記通信に用いられる IPパケットが透 過できるように、 IPアドレスとポート番号との組によってパケットの通過を制御する。
[0076] すなわち、パケットフィルタリング装置 400は、ホームエージェント 404からの情報に 基づき、（IPアドレス，ポート番号）が（2001:300:c01:l::l, 12345)と（2001:300:beaf::2, 23456)との間のパケットを透過させる。具体的には、フィルタ l(Allow 2001:300x01:1 ::1 * 2001:300:beaf::2 23456)およびフィルタ 2 (Allow 001:300:beaf::2 * 2001:300x0 1: 1::1 12345)の 2つのフィルタを設定することで設定できる。なお、送信元ポート番号 の *は、全てのポート番号を意味する記号である。ここで、ホームエージェント 404が 外部端末 402の気付けアドレスを通知するので、 2001:300:c01:l::2ではなく 2001:300 ： beaf::2との間の通信のパケットを透過させるようにパケットフィルタリング装置 400を 制御していることになる。
[0077] つまり、ホームエージェント 404は、外部端末 402から新たな BUメッセージが到達 した場合、外部端末 402の新たな気付けアドレスと内部端末 401との間の通信が可 能となり、古い気付けアドレスと内部端末 401との間で通信ができないようにパケット フィルタリング装置 400を制御する。具体的には、ホームエージェント 404は、新たな BUメッセージにより通知された外部端末 402の気付けアドレスを 2001:300:beaf::2と すると、 (2001:300:c01:l::l, 12345)と ( 2001:300:beaf::2, 23456)との間の通信を透 過させ、 (2001:300:c01:l::l, 12345)と ( 2001:300:c01:l::2, 23456)との間の通信を 遮断するようにパケットフィルタリング装置 400を制御する。
[0078] また、呼制御中継サーバ 403が、内部端末 401と外部端末 402との間の通信の終 了を検知した場合、内部端末 401または外部端末 402は呼制御中継サーバ 403経 由で通信終了の呼制御のシーケンスを実行する。そして、呼制御中継サーノ 03が 、ホームエージェント 402にその旨を通知する。通信の終了の通知を受けたホームェ ージェント 402は、それまで内部端末 401と外部端末 402の通信を確立するために 透過させて、、た IPパケットを遮断するように、パケットフィルタリング装置 400を制御す る。
[0079] なお、パケットフィルタリング装置 400が内部端末 401と外部端末 402の通信のパ ケットを監視し、通信が終了していると判断する場合に、自動的に、それまで内部端 末 401と外部端末 402の通信を確立するために透過させて 、たパケットを遮断するよ うに、パケットフィルタリング装置 400を制御することも可能である。
[0080] この第 1運用例によれば、モパイル IPによるデータ通信が運用されている状況にお V、て、 IPアドレスとポート番号の組単位で動的にパケットフィルタリングの制御を行うこ とが可能となる。
[0081] 図 6は第 1の実施形態に係るファイアウォールシステムの第 2運用例を示す図である 。第 2運用例は、内部ネットワークにおいてモパイル IPによるデータ通信が運用され る例を示している。図 6の構成において、内部のホームネットワーク 605、内部の移動 先ネットワーク 606、インターネット等の外部ネットワーク 604を有し、外部ネットワーク 604には外部端末 (CN) 603が接続されて 、る。ホームネットワーク 605と移動先ネ ットワーク 606とは、各ルータ 605R, 606Rを介して接続されている。各ルータ 605R , 606Rと外部ネットワーク 604との間にはファイアウォールとしてのパケットフィルタリ ング装置 607が設置されている。ホームネットワーク 605には、移動端末（MN) 601、 ホームエージェント（HA) 602及び呼制御中継サーバ 608が接続されて!、る。
[0082] この構成において、呼制御中継サーバ 608を介してホームネットワーク 605上の移 動端末と外部ネットワーク 604上の外部端末 603との接続が確立される。さらに、ホ ームエージェント 602を介してパケットフィルタリング装置 607のフィルタリング条件が 設定され、移動端末 601と外部端末 603との間の通信がなされている状態で、移動 端末 601が移動先ネットワーク 606へ移動する場合を想定する。
[0083] 移動端末 601は、移動先ネットワーク 606で移動先アドレス (気付けアドレス）を取 得し、この移動先アドレスをホームエージェント 602に通知する。そして、ホームエー ジェント 602は、移動端末 601の最新の IPアドレス（すなわち気付けアドレス）を含む フィルタリング要求をパケットフィルタリング装置 607へ供給し、移動先ネットワーク 60 6の移動端末 601と外部端末 603との間の通信がなされるようにパケットフィルタリン グ条件を変更させる。これにより、移動端末 601が移動した場合でも、外部端末 603 との通信を継続することができる。つまり、移動端末 601から、ホームエージェント 60 2に対して送付されるアドレスの変更通知をトリガーとして、図 4に示したフィルタリング 処理のシーケンスが実行される。これにより、呼制御中継サーバ 608からホームエー ジェント 602、ルータ 605Rを介して最新の IPアドレスとポート番号の組情報からなる フィルタリング情報がパケットフィルタリング装置 607に通知される。この結果、移動端 末 601が移動した場合でも、外部端末 603との通信を継続することが可能となる。
[0084] この第 2運用例によれば、移動端末がホームネットワーク力 移動先ネットワークへ 移動した場合でも、外部端末との通信を継続でき、かつ IPアドレスとポート番号の組 単位でパケットフィルタリングを行うことができる。
[0085] 以上説明した第 1の実施形態によれば、モノ ィル IPによるデータ通信が運用されて いる状況において、 IPアドレスとポート番号の組単位で動的にパケットフィルタリング 動作を制御することが可能となる。また、呼制御中継サーバ 11によってネットワーク 管理者等が承認した外部の端末からの通信を開設し、この端末に関する通信のパケ ットフィルタリングを行うことが可能となる。
[0086] なお、呼制御中継サーバ 11において、ネットワーク管理者等が信頼する他の呼制 御中継サーバの情報を保持する。呼制御中継サーバ 11は、内部端末と外部端末の 通信の確立のための呼制御のシーケンスを開始する際に、信頼する他の呼制御中 継サーバ経由である場合のみ、呼制御のシーケンスを行う機構を導入することができ る。例えば、ネットワーク管理者等が信頼する他の呼制御中継サーバの情報を保持 する方法としては、 URI (Unified Resource Identifier)表記で、例えば、 [email protected] pany.co.jpと表現される外部ネットワーク上の資源表記のホスト部分、すなわち sip.aco mpany.co.jp部分を複数保持する方法や、ホスト部のリストを保持する方法や、ホスト 部分の表現に正規表現を適用した sip.*.co.jpといった記述で保持する方法、あるい はホスト部のみならず URIそのものを保持する方法が利用できる。このような機構を 導入することで、ネットワーク管理者等が信頼する他の呼制御中継サーバを経由して 確立された通信のみがパケットフィルタリング装置を通過するように制御することが可 能となる。
[0087] なお、第 1の実施形態において、呼制御中継サーバ 11、ホームエージェント 12の 双方もしくはいずれかを、外部ネットワーク 10に設置する運用方法と企業等の内部ネ ットワーク 16に設置する運用方法がある。前者は、呼制御中継サーバ 11とホームェ ージェント 12の通信、ホームエージェント 12とパケットフィルタリング装置を含むフアイ ァウォール 17との通信を TLS (Transport Level Security ) ,IPSEC (IP security)等を 用いた認証 ·喑号ィ匕で保護する方法を適用することで外部ネットワーク上の他の端末 による偽装攻撃を防止し、運用することが可能となる。これにより、呼制御中継サーバ 11、ホームエージェント 12の双方もしくはいずれかを、外部ネットワーク 10に設置す る運用方法でも、呼制御中継サーバ 11、ホームエージェント 12の双方を企業等の内 部ネットワーク 16に設置する運用方法と同等に運用することが可能となる。
[0088] (第 2の実施形態）
図 7は本発明の第 2の実施形態に係るファイアウォールシステムの構成を示す図で ある。第 2の実施形態に係るファイアウォールシステムは、図 1に示した第 1の実施形 態に係るファイアウォールシステムに不正アクセス監視機能を追加したものである。フ アイァウォール 130は、正常アクセス判定条件格納部としての正常アクセス規定デー タベース 131と、不正アクセス検知部 132と、パケット転送部 133と、不正アクセス報 知部 134とを有する。呼制御中継サーバ 110は、不正アクセス監視制御要求部 111 と、呼制御中継部 11aと、アドレス 'ポート管理部 l ibとを有する。ホームエージヱント（ HA) 120は、不正アクセス監視制御指示部 121と IPアドレス対応情報管理部 12aと を有する。その他の構成は図 1に示した第 1の実施形態と同様である。
[0089] 図 8は第 2の実施形態における呼制御のシーケンスを示す図である。これは、図 2 に示した呼制御シーケンスを一部変更したものである。第 2の実施形態では、内部端 末 15の呼制御処理部 15aから呼制御中継サーバ 110の呼制御中継部 11aに ACKメ ッセージが供給された時点（S 10)で、通信に用いる IPアドレス、ポート番号、メディア タイプの各情報が確定する。呼制御中継サーバ 110の不正アクセス監視制御要求 部 111は、 IPアドレス、ポート番号、メディアタイプの各情報を含む不正アクセス監視 制御要求メッセージをホームエージェント 12に対して供給する（S22)。これにより、 不正アクセス監視制御処理が起動される。その他は第 1の実施形態と同様である。
[0090] 図 9は第 2の実施形態における不正アクセス監視制御のシーケンスを示す図である 。呼制御中継サーバ 110の不正アクセス監視制御要求部 111は、通信に用いる IPァ ドレス、ポート番号、メディアタイプの各情報が確定すると、不正アクセス監視制御要 求（IDSOntrusion Detection System)要求）をホームエージェント 120に供給する（SI 11)。ホームエージェント 120の不正アクセス監視制御指示部 121は、 IPアドレスが 最新のものであるカゝ否かを確認し、最新の IPアドレス、ポート番号及びメディアタイプ の情報を含む不正アクセス監視制御要求 (IDS要求）を不正アクセス検知部 132に 供給する（S112)。不正アクセス検知部 132は、正常アクセス規定データベース 131 力も該当するメディアの正常アクセスのパケット兆候データを取得し、正常アクセスの パケット兆候を逸脱するパケット兆候がないことを監視する。そして、逸脱するパケット 兆候がある場合には、不正アクセス報知部 134を介して不正アクセスの発生を管理 者等に例えば電子メール等で通知する（S 113)。
[0091] 図 10は本発明の第 2の実施形態における不正アクセス監視処理の手順を示すフロ 一チャートである。不正アクセス検知部 132は、正常アクセス規定データベース 131 カも該当するメディアの正常アクセスのパケット兆候データを取得する (ステップ S 12 D oそして、不正アクセス検知部 132は、パケット転送部 133によりキヤプチヤーした パケットを取得し (ステップ S122)、キヤプチヤーしたパケットの兆候（シグネチヤ）を計 算する (ステップ S123)。不正アクセス検知部 132は、該当するメディアの正常ァクセ スのパケット兆候とキヤプチヤーしたパケットの兆候とを比較し (ステップ S124)、正常 アクセスのパケットの兆候と合致しない場合は、不正アクセス報知部 134を介して不 正アクセスの発生を管理者等に通知する (ステップ S125)。そして、通信が終了する までステップ S2以降の処理が繰り返される。
[0092] なおここで、図 11に示す形式をしたパケットを正常アクセスのパケットとして検査す る際の、上記のステップ S123, 124におけるシグネチヤの計算および比較方法 (処 理関数)の実現例を説明する。図 11は音声配送におけるパケット形式の一例を示す 図である。この音声パケット（G. 711形式）における正常アクセスのパケット兆候とし て、以下の一つ以上の条件の組み合わせを用いる。（l)RTPヘッダ中のシーケンシ ャル番号が増加している（またはラップランドしている）。（2)RTPヘッダ中のタイムス タンプ値が増加して 、る（またはラップランドして 、る)。（3)ペイロード長が一定長 (G . 711では 160バイト）である。（4)過去 N個（例えば 20個）のパケットの平均到着間 隔が 20ms (20ミリ秒)である。このような正常アクセスのパケット兆候との比較を行うこ とにより、不正アクセスを検知して管理者等に通知することができる。
[0093] 図 12は第 2の実施形態に係るファイアウォールシステムの運用例を示す図である。
この運用例のファイアウォールシステムは、図 5に示した第 1の実施形態に係るフアイ ァウォールシステムの第 1運用例に不正アクセス監視機能を追加したものである。フ アイァウォール 700は、図 5に示したパケットフィルタリング装置 400と、不正アクセス 監視装置 701とを備える。また、ホームエージェント (HA) 404Aと呼制御中継サー ノ 03Aにお 、て、メディアタイプの情報取得に関する一部機能が追加されて 、る。 その他の構成は図 5に示した第 1の実施形態の第 1運用例と同様である。
[0094] ホームエージェント 404Aは、呼制御中継サーバ 403Aから通信に用いる IPァドレ スとポート番号との組及びメディアタイプを取得し、 IPアドレスの新旧対応関係に基づ V、て最新の IPアドレスとポート番号との組及びメディアタイプを特定して、最新の IPァ ドレスとポート番号との組及びメディアタイプの情報をファイアウォール 700に供給す る。 IPアドレスとポート番号との糸且及びメディアタイプの情報は、例えば、 (2001:300x0 1::1 12345 2001:300:c01::2 23456 m=audio 0 RTP/AVP 0,a=rtpmap:0 PCMU/8000 )という空白区切りの形式で与えられる。この形式において第一の項目（2001:300:c01 ::1)は送信元 IPアドレス、第二の項目（12345)は送信元ポート番号、第三の項目（20 01:300:c01::2)は宛先 IPアドレス、第四の項目（23456)は宛先ポート番号、第五の項 目（m=audio 0 RTP/AVP 0,a=rtpmap:0 PCMU/8000)はメディアタイプを示す文字列 であり、前述した SDP (Session Description Protocol)で規定される行記述をカンマ (,） で接続したものである。
[0095] 不正アクセス監視装置 701は、通信のメディアタイプが特定されると、そのメディア タイプに応じて検査動作を変更する。具体的には、前述した IPアドレスとポート番号と の組及びメディアタイプの情報のメディアタイプを示す文字列を SDPで規定される意 味で解釈する。端末間の通信が例えば IP電話であり、音声符号ィ匕方式として G. 71 1を用いる場合は、音声配送 (G. 711)のパケットの条件に適合しないときは不正ァク セスとして検知し、ネットワーク管理者等に電子メールやインスタントメッセージや IP電 話等を用いて報告する。
[0096] 図 13は第 2の実施形態の運用例におけるファイアウォールの機能構成例を示す図 である。ファイアウォール 700内のフィルタリング及び検査制御部 702は、ホームエー ジェント 404Aからメディアタイプ、 IPアドレス、ポート番号の通知を受けると、不正ァク セス検知の機能を持つパケット検査部 703に検査指示を与えるとともに、パケットフィ ルタリング部 704にフィルタ設定指示を与える。正常アクセス判定条件を格納する機 能を持つ正常アクセスパターン記憶部 705には、各メディアタイプ毎の正常アクセス 兆候 (正常アクセス判定条件）が保持されている。具体的には、以下に例示するよう な正常アクセス兆候保持テーブルで保持される。
[0097] 図 14は正常アクセス兆候保持テーブルの構成例を示す図である。図 14において、 メディアタイプ欄 705aは、メディアタイプを保持するキー項目である。兆候検査関数 へのポインタ欄 705bは、正常アクセス判定条件を格納する項目である。メディアタイ プ欄 705aには、 SDPで記述されたメディアタイプが格納されている。兆候検査関数 へのポインタ欄 705bには、パケットを検査するための関数 (処理）を起動するための 情報として、関数へのポインタとその関数に適用する引数が指定されている。
[0098] パケット検査部 703は、メディアタイプをキーにして正常アクセスパターン記憶部 70 5の正常アクセス兆候保持テーブル力 パケットを検査するための関数と引数を取得 し、この関数及び引数による処理をパケット毎に適用することで、 IPアドレス、ポート 毎にメディアの正常アクセス兆候を逸脱するパケットを監視する。不正アクセス兆候 通知部（不正アクセス報知手段） 706は、正常アクセス兆候を逸脱するパケットの発 生をネットワーク管理者等に電子メールやインスタントメッセージや IP電話等を用いて 通知する。
[0099] 上記のように対象となる通信メディア（音声、動画）が決まっているので、図 11の音 声配送におけるパケット形式の例で説明したように、メディアタイプ毎の正常アクセス のパターンは作成しやすい。例えば、音声、動画が RTP (ReaH:ime Transport Proto col)の AVPフォーマットに従うものとすれば、そのフォーマットに対応した検査ルール を作成することができる。例えば、ヘッダのデータ項目とパケット長さ等の整合性は維 持されるため、この性質を利用した正常アクセスのパターンを作成できる。 [0100] 以上説明した第 2の実施形態によれば、呼制御シーケンスにより得られる IPァドレ ス、ポート番号、メディアタイプの情報に基づいて、メディアタイプ毎に予め定義した 正常アクセス判定条件に適合するかどうかを監視し、適合しな 、場合は不正アクセス として検知してネットワーク管理者等へ通知することができる。
[0101] (第 3の実施形態）
図 15は本発明の第 3の実施形態に係るファイアウォールシステムの構成を示す図、 図 16は第 3の実施形態におけるファイアウォールシステムの要部のブロック構成を示 す図である。第 3の実施形態は、 SIPによる呼制御中継サーバ（SIPサーノ ）単位で のアクセス制御機能にグループ通信制御 SIPサーバ（MCU) 150を自動追加できる ようにしたものである。
[0102] 外部ネットワーク 10には、アドレス管理サーバ 13、外部端末 14、グループ通信制 御 SIPサーノ （MCU) 150が接続されている。呼制御中継サーバ 140及びホームェ ージェント 12は、内部ネットワーク 16における DMZ (非武装地帯）に設置されており 、外部ネットワーク 10からアクセス可能である。内部ネットワーク 16に接続された内部 端末 15は、ファイアウォール 17を介して外部ネットワーク 10とアクセス可能となってい る。呼制御中継サーバ 140は、信頼できる SIPサーバの情報を許可 SIPサーノ リスト として保持する機能を持つ許可 SIPサーバリスト保持部 141を備えている。
[0103] 図 16に示すように、呼制御中継サーバ 140は、許可 SIPサーバリスト保持部 141と ともに、呼制御中継部 142、アドレス 'ポート管理部 l lb、フィルタリング制御要求部 1 lcを有する。呼制御中継部 142は、会議の開催など、複数端末間でグループ通信を 行う際の呼び出し信号を解釈して、グループ通信制御 SIPサーバ 150を許可 SIPサ ーノ リストに追加/削除する。なお、呼制御中継サーバ 140のアドレス.ポート管理 部 l ib及びフィルタリング制御要求部 l lc、ホームエージェント 12、ファイアウォール 17の機能は図 1に示した第 1の実施形態と同様である。
[0104] 図 17は複数端末間でグループ通信による会議を行う際の呼制御の例を示す図で ある。図 17では、端末 A—1がある会議に参カ卩中に端末 B—1を参加させ、さらに端 末 B—1が端末 B— 2をこの会議に参加させる場合の呼制御を示している。この場合、 端末 A - 1がアクセスする呼制御中継サーバ A140A、端末 B - 1及び端末 B— 2が アクセスする呼制御中継サーバ B140B、この会議のグループ通信を制御するダル ープ通信制御 SIPサーバ 150が用いられる。図 17において、数字「1」「3」「5」で示さ れる矢印の通信は、例えばメディアの追加や参加者の追加などの制御に関する会議 の制御信号を表し、数字「2」「4」で示される矢印の通信は、会議の URIの通知（招待 )を示す。この例では、端末 A— l ([email protected])力も呼制御中継サーバ A140Aを介し て URIとして [email protected]を通知し、この URIが呼制御中継サーバ B140Bを介 して端末 B— 1 ([email protected])に通知され端末 B— 1が会議に参加する。同様に、この U RIが端末 B— 1から端末 B— 2 ([email protected])に通知され、端末 B— 2が参加する処理 が行われる。
[0105] 図 18は本発明の第 3の実施形態における会議参加時のシーケンスの例を示す図 である。初めの状態では、端末 A—1が会議に参加しており、端末 A— 1、呼制御中 継サーバ A140A、グループ通信制御 SIPサーバ 150の間で会議の通信制御がなさ れているとする。端末 A—1から呼制御中継サーノ A140Aに対して端末 B—1宛て に会議の URIを通知する REFERメッセージが出されると（S171)、呼制御中継サー バ A140Aは呼制御中継サーバ B140Bに対して REFERメッセージを転送する（S17 2)。そして、呼制御中継サーバ B140Bは端末 B—1に対して REFERメッセージを送 信する（S173)。端末 B— 1は、 REFERメッセージを受け取ると、会議への参加表明を 示す INVITEメッセージを返す（S 174)。呼制御中継サーバ B 140B力 NVITEメッセ ージを受け取ると、グループ通信制御 SIPサーバ 150に通知を行い（S175)、グル ープ通信制御 SIPサーバ 150により端末 B— 1との間で会議の通信制御が開始され る。これにより、端末 B— 1が会議に参加可能となる。
[0106] 呼制御中継サーバ B140Bは、 REFERメッセージを受け取った時点（S172)または I NVITEメッセージを受け取った時点（S174)で、会議の URIからグループ通信制御 S IPサーバ（MCU)を特定し、許可 SIPサーノ リスト保持部 141に信頼できる SIPサー バの情報としてグループ通信制御 SIPサーバの情報を格納する。
[0107] 以上のように第 3の実施形態によれば、グループ通信による会議の通信を制御する グループ通信制御 SIPサーバの情報を信頼できる SIPサーバの情報として追加する ことで、この追加した SIPサーバ力 得られる IPアドレス、ポート番号、メディアタイプ 等の情報に基づいてパケットフィルタリングや不正アクセス検知を行うことができる。
[0108] (第 4の実施形態）
図 19は本発明の第 4の実施形態におけるファイアウォールシステムの構成を示す 図である。第 4の実施形態は、第 1の実施形態における呼制御中継サ一ノ^ホーム エージェント (HA)、パケットフィルタリング装置を 1台の宅内ルータにおいて実現した 例を示すものである。宅内ルータ 508は、 IPv6外部ネットワーク 510A、 IPv4外部ネ ットワーク 510B、内部ネットワーク 509に接続され、端末間の通信を中継する。内部 ネットワーク 509には内部端末 501が、 IPv6外部ネットワーク 510Aには外部端末 50 2がそれぞれ接続される。宅内ルータ 508は、 IPv4 'IPv6パケット分類器 511、 IPv6 パケット処理部 512、 IPv4パケット処理部 513、 NAT機能を実現する NAT部 514、 DHCPサーバ機能を実現する DHCPS部 515等を有する。 IPv6パケット処理部 512 には、呼制御中継サーバ 503、ホームエージェント 504、パケットフィルタリング装置 5 05及び不正アクセス検知装置 506を有するファイアウォール 500、信頼する呼制御 中継サーバ情報保持部 507が設けられる。
[0109] 信頼する呼制御中継サーバ情報保持部 507は、ネットワーク管理者等が信頼する 他の呼制御中継サーバの情報を保持する。そして、呼制御中継サーバ 503は、内部 端末 501と外部端末 502間の通信の確立のための呼制御のシーケンスを開始する 際に、信頼する呼制御中継サーバ情報保持部 507に保持された呼制御中継サーバ 力 の呼制御シグナルのみを受け付けることにより、呼制御のシーケンスを実行する 。これにより、呼制御中継サーバの管理単位 (SIP管理単位)でのアクセス制御が可 能となる。このような構成にすることで、宅内ルータ 508において、モパイル IPによる データ通信が運用されている状況において、 IPアドレスとポート番号の組単位で動 的にパケットフィルタリング装置 505を制御できる。
[0110] また、 IPv6外部ネットワーク 509上の外部端末 502から内部ネットワーク 509上の 内部端末 501に対して通信を確立するシーケンスにおいて、呼制御中継サーバ 503 は、その通信で用いられるメディアタイプを取得する。そして、このメディアタイプを用 V、てメディアタイプに応じた不正アクセス検知装置 506を起動する。不正アクセス検 知装置 506においては、メディアタイプ毎に正常アクセスのパターンを規定したデー タベースがあらカゝじめ準備されている。不正アクセス検知装置 506は、呼制御中継サ ーバ 503から取得したメディアタイプの情報と正常アクセス情報のデータベースを用 いて、外部ネットワーク上の外部端末 502と内部ネットワーク 509上の内部端末 501 との間で行われる通信のパケットシーケンスを監視する。この監視において、正常な アクセスを逸脱するパケットシーケンスを検知した場合、不正アクセス検知装置 506 は、ネットワーク管理者等に電子メールや IP電話などでその旨を通知する。
[0111] このように動作することで、不正アクセス検知装置 506においてパケットシーケンス を監視して正常アクセス力もの逸脱による不正アクセスを検知することが可能になる。 さらに、正常アクセスの兆候をメディアタイプ毎に定義すればよいので、正常アクセス を規定することが容易になる。例えば、外部端末と内部端末との間の通信で用いられ る音声や動画などの配送は、予め規定された RTPのペイロード形式にしたがって配 送される。このためペイロード形式のパケット長、シーケンス番号、タイムスタンプ等の 情報を用いて正常アクセスを規定することが容易に実現できる。したがって、正常ァ クセスを逸脱することを検知する不正アクセス検知装置 506が現実的に運用可能と なる。
[0112] なお、本実施形態は、宅内ルータ 508に本発明のパケットフィルタリング装置及び 不正アクセス検知装置の制御方法を適用したものである力 同様の構成をルータ機 能やブリッジ機能を備えた携帯電話や PDA等の移動端末にも適用することが可能で ある。
[0113] 以上のように第 4の実施形態によれば、宅内ルータ等において、 IPアドレスとポート 番号の組単位での動的なパケットフィルタリングや、メディアタイプ毎に予め定義した 正常アクセス判定条件に基づき容易かつ適切な不正アクセス検知を行うことができる
[0114] (第 5の実施形態）
図 20は本発明の第 5の実施形態におけるファイアウォールシステムの構成を示す 図である。第 5の実施形態は、本発明に係るファイアウォールシステムを IP携帯電話 に適用した例である。インターネット等の外部ネットワーク 510には、アドレス管理サ ーバ 13、外部端末 14が接続される。この外部ネットワーク 510は、移動体通信キヤリ ァ網 520または無線 LAN網 530を介して IP携帯電話 800と接続可能となっている。 また、 IP携帯電話 800は PAN (Personal Area Network)網 540を介して内部端末 55 0と接続される。
[0115] IP携帯電話 800は、ルータ機能を有するもので、 RF部 801、無線 LAN— IF部 80 2、 PAN— IN部 803、 IPv4 'IPv6パケット分類器 804、 IPv4パケット処理部 805、 IP v6パケット処理部 806、主信号処理部 807、呼制御処理部 808等を有する。 IPv6パ ケット処理部 806は、 IPアドレス対応情報管理部 811、呼制御中継部 812、アドレス' ポート管理部 813、フィルタリング制御部 814及びパケット転送部（フィルタリング部） 8 15等を備えるファイアウォール 816を有する。
[0116] このような構成によって、移動端末である IP携帯電話 800内部において、呼制御中 継部 812での呼制御シーケンスにより得られる IPアドレス、ポート番号、メディアタイ プの情報と IPアドレス対応情報管理部 811による端末移動時のアドレス情報とに基 づき、フィルタリング制御部 814で IPアドレスとポート番号の組単位での動的なバケツ トフィルタリングを行う。これにより、 IP携帯電話 800において、ファイアウォール 816 を介して例えば PAN網 540内部の IP電話等の内部端末 550に対する呼のみを受け るというような制御が可能である。また、呼制御中継部 812より得られるメディアタイプ の情報を用いて、メディアタイプ毎に予め定義した正常アクセス判定条件に基づく不 正アクセス検知を行うことも可能である。
[0117] 以上のように第 5の実施形態によれば、移動端末において、 IPアドレスとポート番号 の組単位での動的なパケットフィルタリングや、メディアタイプ毎に予め定義した正常 アクセス判定条件に基づき容易かつ適切な不正アクセス検知を行うことができる。
[0118] 上述したように、本実施形態の構成を企業等の内部ネットワークとインターネット等 の外部ネットワークとの間に設置するファイアウォールシステムに適用することで、モ パイル IPによるデータ通信が運用される状況においても有用なパケットフィルタリング 機能や不正アクセス検知機能を実現可能である。また、宅内等に設けられるルータ や、内部ネットワークを含み移動可能なルータ機能を有する携帯電話や PDA等の移 動端末などにも適用可能である。
[0119] 本発明を詳細にまた特定の実施態様を参照して説明したが、本発明の精神と範囲 を逸脱することなく様々な変更や修正を加えることができることは当業者にとって明ら かである。
本出願は、 2004年 10月 12日出願の日本特許出願 (特願 2004-297872)、 に基づくものであり、その内容はここに参照として取り込まれる。
産業上の利用可能性
本発明は、モパイルネットワークによる通信が運用されている状況においても、アド レスとポート番号の組単位でパケットフィルタリングを行ってより狭い範囲の通信のみ を透過させること、および内部ネットワークの移動端末力 外部のネットワークに移動 したときのみならず、外部のネットワークに接続された他の端末から内部ネットワーク の端末に通信を開設することが可能となる効果を有する。また、メディアタイプで特定 される通信のパケットシーケンスを監視し、メディアタイプ毎に定義した正常アクセス 判定条件に基づ 、て正常アクセスに適合しな 、不正アクセスを検知することで、未知 の攻撃を検知することが実質的に可能となる効果を有する。本発明は、モパイル IPに よるデータ通信が運用されるネットワーク等においてファイアウォールを動的に制御 するファイアウォールシステム及びファイアウォール制御方法等に有用である。

Claims

請求の範囲
[1] 外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォールシステ ムであって、
前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確 立するための呼制御シーケンスを中継する呼制御中継部と、
前記端末の移動またはネットワークへの再接続によって変更される端末のアドレス の新旧対応関係を管理するアドレス対応情報管理部と、
前記呼制御中継部力 得られる通信に用いる端末のアドレス及びポート番号の情 報と、前記アドレス対応情報管理部から得られるアドレスの新旧対応関係の情報とに 基づき、内部ネットワークと外部ネットワークとの間で通過を許可するパケットのフィル タリング条件として、アドレスとポート番号との組を設定するフィルタリング制御部と、 前記アドレスとポート番号との組を含むフィルタリング条件に基づいて特定されるパ ケットを通過させるパケットフィルタリング部と
を備えるファイアウォールシステム。
[2] 請求項 1記載のファイアウォールシステムであって、
前記呼制御中継部は、他の信頼できる呼制御中継部の情報を保持する中継部情 報保持部を有し、
前記フィルタリング制御部は、前記他の呼制御中継部を経由して確立される端末間 の通信におけるアドレス及びポート番号の情報を取得し、このアドレスとポート番号と の組によるフィルタリング条件を設定するファイアウォールシステム。
[3] 請求項 1記載のファイアウォールシステムであって、
前記フィルタリング制御部は、内部ネットワーク上の端末または外部ネットワーク上 の端末の少なくとも一方が移動し、前記呼制御中継部または前記アドレス対応情報 管理部から得られるアドレスの情報が変更された場合は、最新のアドレスとポート番 号との組によるフィルタリング条件を設定するファイアウォールシステム。
[4] 請求項 1記載のファイアウォールシステムであって、
前記通信のメディアタイプ毎に定義した正常アクセス判定条件を格納する正常ァク セス判定条件格納部と、 前記呼制御中継部力 得られる通信に用いる端末のアドレス、ポート番号、及びメ ディアタイプの情報と、前記アドレス対応情報管理部力 得られるアドレスの新旧対 応関係の情報と、前記正常アクセス判定条件格納部から得られる正常アクセス判定 条件とに基づき、通過するパケットが前記正常アクセス判定条件に適合しない場合 は不正アクセスとして検知する不正アクセス検知部と
を備えるファイアウォールシステム。
[5] 請求項 4記載のファイアウォールシステムであって、
前記不正アクセス検知部は、内部ネットワーク上の端末または外部ネットワーク上の 端末の少なくとも一方が移動し、前記呼制御中継部または前記アドレス対応情報管 理部から得られるアドレスの情報が変更された場合は、最新のアドレスの情報によつ て正常アクセス判定条件の判定を行うファイアウォールシステム。
[6] 請求項 1に記載のファイアウォールシステムにおけるパケットフィルタリング装置であ つて、
前記呼制御中継部力 得られる、通信に用いる端末のアドレス及びポート番号の情 報と、前記アドレス対応情報管理部から得られるアドレスの新旧対応関係の情報とに 基づき、内部ネットワークと外部ネットワークとの間で通過を許可するパケットのフィル タリング条件として、アドレスとポート番号との組を設定するフィルタリング制御部と、 前記アドレスとポート番号との組を含むフィルタリング条件に基づいて特定されるパ ケットを通過させるパケットフィルタリング部と
を備えるパケットフィルタリング装置。
[7] 請求項 1に記載のファイアウォールシステムにおける不正アクセス検知装置であつ て、
前記通信のメディアタイプ毎に定義した正常アクセス判定条件を格納する正常ァク セス判定条件格納部と、
前記呼制御中継部力 得られる、通信に用いる端末のアドレス、ポート番号、及び メディアタイプの情報と、前記アドレス対応情報管理部力 得られるアドレスの新旧対 応関係の情報と、前記正常アクセス判定条件格納部から得られる正常アクセス判定 条件とに基づき、通過するパケットが前記正常アクセス判定条件に適合しない場合 は不正アクセスとして検知する不正アクセス検知部と
を備える不正アクセス検知装置。
[8] 外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォール制御 方法であって、
前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確 立するための呼制御シーケンスを中継する呼制御中継部から、通信に用!、る端末の アドレス及びポート番号の情報を取得するステップと、
前記端末の移動またはネットワークへの再接続によって変更される端末のアドレス の新旧対応関係を管理するアドレス対応情報管理部から、アドレスの新旧対応関係 の情報を取得するステップと、
前記通信に用いる端末のアドレス及びポート番号の情報と、前記アドレスの新旧対 応関係の情報とに基づき、内部ネットワークと外部ネットワークとの間で通過を許可す るパケットのフィルタリング条件として、アドレスとポート番号との組を設定するステップ と、
前記アドレスとポート番号との組を含むフィルタリング条件に基づいて特定されるパ ケットを通過させるステップと
を有するファイアウォール制御方法。
[9] 外部ネットワークと内部ネットワークとの間の通信を制御するファイアウォール制御 方法であって、
前記外部ネットワークまたは前記内部ネットワークに接続される端末間の通信を確 立するための呼制御シーケンスを中継する呼制御中継部から、通信に用!、る端末の アドレス、ポート番号、及びメディアタイプの情報を取得するステップと、
前記端末の移動またはネットワークへの再接続によって変更される端末のアドレス の新旧対応関係を管理するアドレス対応情報管理部から、アドレスの新旧対応関係 の情報を取得するステップと、
前記通信に用いる端末のアドレス、ポート番号、及びメディアタイプの情報と、前記 アドレスの新旧対応関係の情報と、前記通信のメディアタイプ毎に定義して正常ァク セス判定条件格納部に格納してある正常アクセス判定条件とに基づき、通過するパ ケットが前記正常アクセス判定条件に適合しない場合は不正アクセスとして検知する ステップと
を有するファイアウォール制御方法。
PCT/JP2005/018774 2004-10-12 2005-10-12 ファイアウォールシステム及びファイアウォール制御方法 WO2006041080A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN2005800346441A CN101040497B (zh) 2004-10-12 2005-10-12 防火墙***和防火墙控制方法
US11/575,310 US7950053B2 (en) 2004-10-12 2005-10-12 Firewall system and firewall control method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004297872A JP4405360B2 (ja) 2004-10-12 2004-10-12 ファイアウォールシステム及びファイアウォール制御方法
JP2004-297872 2004-10-12

Publications (1)

Publication Number Publication Date
WO2006041080A1 true WO2006041080A1 (ja) 2006-04-20

Family

ID=36148368

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/018774 WO2006041080A1 (ja) 2004-10-12 2005-10-12 ファイアウォールシステム及びファイアウォール制御方法

Country Status (4)

Country Link
US (1) US7950053B2 (ja)
JP (1) JP4405360B2 (ja)
CN (1) CN101040497B (ja)
WO (1) WO2006041080A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011199883A (ja) * 2011-05-12 2011-10-06 Buffalo Inc 無線ｌａｎアクセスポイント装置、不正マネジメントフレーム検出方法
JP2013192160A (ja) * 2012-03-15 2013-09-26 Nippon Telegraph & Telephone West Corp 携帯端末在圏検知に基づくポート開閉制御方法
US11627040B1 (en) * 2021-08-18 2023-04-11 Juniper Networks, Inc. Processing unmodified configuration data with a network device application

Families Citing this family (35)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100563246C (zh) * 2005-11-30 2009-11-25 华为技术有限公司 一种基于ip的语音通信边界安全控制***及方法
JP4545085B2 (ja) * 2005-12-08 2010-09-15 富士通株式会社 ファイアウォール装置
JP4224084B2 (ja) 2006-06-26 2009-02-12 株式会社東芝 通信制御装置、通信制御方法および通信制御プログラム
WO2008023424A1 (fr) 2006-08-24 2008-02-28 Duaxes Corporation Système de gestion de communication et procédé de gestion de communication associé
WO2008023423A1 (fr) * 2006-08-24 2008-02-28 Duaxes Corporation Système de gestion de communication et procédé de gestion de communication associé
JP5035006B2 (ja) * 2007-07-25 2012-09-26 富士通株式会社 通信装置の制御方法及び通信装置
JP2009044230A (ja) * 2007-08-06 2009-02-26 Toshiba Corp 通信装置およびネットワーク接続管理プログラム
CN101662457A (zh) * 2008-08-28 2010-03-03 黄金富 一种设有网络数据过滤装置的笔记本型计算机
JP5055237B2 (ja) * 2008-09-30 2012-10-24 株式会社日立製作所 セキュア通信装置
CN101931635B (zh) * 2009-06-18 2014-05-28 北京搜狗科技发展有限公司 网络资源访问方法及代理装置
US8170182B2 (en) * 2009-08-19 2012-05-01 Avaya Inc. Enhanced call tracing
US8886773B2 (en) 2010-08-14 2014-11-11 The Nielsen Company (Us), Llc Systems, methods, and apparatus to monitor mobile internet activity
US8910259B2 (en) 2010-08-14 2014-12-09 The Nielsen Company (Us), Llc Systems, methods, and apparatus to monitor mobile internet activity
US9124920B2 (en) 2011-06-29 2015-09-01 The Nielson Company (Us), Llc Methods, apparatus, and articles of manufacture to identify media presentation devices
US8594617B2 (en) 2011-06-30 2013-11-26 The Nielsen Company (Us), Llc Systems, methods, and apparatus to monitor mobile internet activity
JP2013098676A (ja) * 2011-10-31 2013-05-20 Buffalo Inc 通信システム、通信方法及びコネクションサーバ
WO2013110341A1 (en) * 2012-01-27 2013-08-01 Nokia Siemens Networks Oy Session termination in a mobile packet core network
US8700019B2 (en) * 2012-08-27 2014-04-15 Avaya Inc. Method and apparatus for dynamic device pairing
US9301173B2 (en) 2013-03-15 2016-03-29 The Nielsen Company (Us), Llc Methods and apparatus to credit internet usage
US10356579B2 (en) 2013-03-15 2019-07-16 The Nielsen Company (Us), Llc Methods and apparatus to credit usage of mobile devices
US20160239230A1 (en) * 2013-08-28 2016-08-18 Hitachi, Ltd. Storage system and method for controlling storage system
US20150113588A1 (en) * 2013-10-22 2015-04-23 Cisco Technology, Inc. Firewall Limiting with Third-Party Traffic Classification
JP5962690B2 (ja) 2014-02-21 2016-08-03 コニカミノルタ株式会社 管理サーバー、接続支援方法および接続支援プログラム
JP6102845B2 (ja) * 2014-07-10 2017-03-29 コニカミノルタ株式会社 接続制御システム、管理サーバー、接続支援方法および接続支援プログラム
JP6507572B2 (ja) * 2014-10-31 2019-05-08 富士通株式会社 管理サーバの経路制御方法、および管理サーバ
US9762688B2 (en) 2014-10-31 2017-09-12 The Nielsen Company (Us), Llc Methods and apparatus to improve usage crediting in mobile devices
US11423420B2 (en) 2015-02-06 2022-08-23 The Nielsen Company (Us), Llc Methods and apparatus to credit media presentations for online media distributions
US10554683B1 (en) 2016-05-19 2020-02-04 Board Of Trustees Of The University Of Alabama, For And On Behalf Of The University Of Alabama In Huntsville Systems and methods for preventing remote attacks against transportation systems
JP6869203B2 (ja) * 2018-03-28 2021-05-12 ソフトバンク株式会社 監視システム
DE102019116510A1 (de) * 2019-06-18 2020-12-24 Beckhoff Automation Gmbh Netzwerkteilnehmer und Automatisierungsnetzwerk
JP7338272B2 (ja) * 2019-07-03 2023-09-05 富士フイルムビジネスイノベーション株式会社 情報処理装置及び情報処理プログラム
CN110912936B (zh) * 2019-12-20 2022-02-18 东软集团股份有限公司 媒体文件安全态势感知方法和防火墙
CN113612753A (zh) * 2021-07-27 2021-11-05 北京卫达信息技术有限公司 数据的远程引导***及方法
CN113596023A (zh) * 2021-07-27 2021-11-02 北京卫达信息技术有限公司 数据中继和远程引导设备
CN115277119B (zh) * 2022-07-12 2024-02-09 深圳市电子商务安全证书管理有限公司 内部网络的访问方法、装置、设备及存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000151677A (ja) * 1998-11-11 2000-05-30 Toshiba Corp 移動ｉｐシステムのアクセス認証装置及び記憶媒体
JP2004180155A (ja) * 2002-11-28 2004-06-24 Ntt Docomo Inc 通信制御装置、ファイアウォール装置、通信制御システム、及び、データ通信方法

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3662080B2 (ja) * 1996-08-29 2005-06-22 Ｋｄｄｉ株式会社 ファイアウォール動的制御方法
US6523696B1 (en) * 1996-10-15 2003-02-25 Kabushiki Kaisha Toshiba Communication control device for realizing uniform service providing environment
SE513828C2 (sv) * 1998-07-02 2000-11-13 Effnet Group Ab Brandväggsapparat och metod för att kontrollera nätverksdatapakettrafik mellan interna och externa nätverk
US6684329B1 (en) * 1999-07-13 2004-01-27 Networks Associates Technology, Inc. System and method for increasing the resiliency of firewall systems
JP2001313640A (ja) 2000-05-02 2001-11-09 Ntt Data Corp 通信ネットワークにおけるアクセス種別を判定する方法及びシステム、記録媒体
DE60139883D1 (de) * 2001-11-29 2009-10-22 Stonesoft Oy Kundenspezifische Firewall
JP2003229893A (ja) 2002-02-06 2003-08-15 Nippon Telegr & Teleph Corp <Ntt> 事業者ｉｐネットワークにおけるインターネット電話サービス提供方法、およびシステム
JP3790166B2 (ja) 2002-02-06 2006-06-28 日本電信電話株式会社 事業者ｉｐネットワークにおけるｉｐ電話サービス提供方法、およびシステム
JP2004038557A (ja) 2002-07-03 2004-02-05 Oki Electric Ind Co Ltd 不正アクセス遮断システム
GB0226289D0 (en) * 2002-11-11 2002-12-18 Orange Personal Comm Serv Ltd Telecommunications
US8286237B2 (en) * 2003-02-25 2012-10-09 Ibm International Group B.V. Method and apparatus to detect unauthorized information disclosure via content anomaly detection
US7453852B2 (en) * 2003-07-14 2008-11-18 Lucent Technologies Inc. Method and system for mobility across heterogeneous address spaces
US7668145B2 (en) * 2003-12-22 2010-02-23 Nokia Corporation Method to support mobile IP mobility in 3GPP networks with SIP established communications

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000151677A (ja) * 1998-11-11 2000-05-30 Toshiba Corp 移動ｉｐシステムのアクセス認証装置及び記憶媒体
JP2004180155A (ja) * 2002-11-28 2004-06-24 Ntt Docomo Inc 通信制御装置、ファイアウォール装置、通信制御システム、及び、データ通信方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
KURITA ET AL: "Session Layer Architecture ni okeru Flow Joho o Mochiita Tsushin Shigen Kanri Kiko. (Communication Resource Management Using.....)", THE INSTITUTE OF ELECTRONICS, INFORMATION AND COMMUNICATION ENGINEERS GIJUTSU KENKYU HOKOKU., vol. 105, no. 80, 18 May 2005 (2005-05-18), pages 31 - 36, XP002999209 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011199883A (ja) * 2011-05-12 2011-10-06 Buffalo Inc 無線ｌａｎアクセスポイント装置、不正マネジメントフレーム検出方法
JP2013192160A (ja) * 2012-03-15 2013-09-26 Nippon Telegraph & Telephone West Corp 携帯端末在圏検知に基づくポート開閉制御方法
US11627040B1 (en) * 2021-08-18 2023-04-11 Juniper Networks, Inc. Processing unmodified configuration data with a network device application

Also Published As

Publication number Publication date
CN101040497B (zh) 2010-05-12
US20070214501A1 (en) 2007-09-13
US7950053B2 (en) 2011-05-24
JP4405360B2 (ja) 2010-01-27
JP2006114991A (ja) 2006-04-27
CN101040497A (zh) 2007-09-19

Similar Documents

Publication Publication Date Title
JP4405360B2 (ja) ファイアウォールシステム及びファイアウォール制御方法
US9515995B2 (en) Method and apparatus for network address translation and firewall traversal
US7680120B2 (en) Connected communication terminal, connecting communication terminal, session management server and trigger server
JP5143125B2 (ja) ドメイン間情報通信のための認証方法、システム、およびその装置
EP1792468B1 (en) Connectivity over stateful firewalls
EP2991292B1 (en) Network collaborative defense method, device and system
US7519738B2 (en) Method for moving of flows in communication networks
KR20080032114A (ko) 이동 장치의 네트워크 어드레스 변경을 위한 방법 및 장치
US20070011731A1 (en) Method, system &amp; computer program product for discovering characteristics of middleboxes
WO2004114631A1 (en) System and method for dynamically creating pinholes in a firewall of a sip-based
JP3698698B2 (ja) Ｄｍｚを介したイントラネットおよび外部ネットワーク上の呼の確立
US20080126455A1 (en) Methods of protecting management frames exchanged between two wireless equipments, and of receiving and transmitting such frames, computer programs, and data media containing said computer programs
US8312530B2 (en) System and method for providing security in a network environment using accounting information
Ackermann et al. Vulnerabilities and Security Limitations of current IP Telephony Systems
JP2009258965A (ja) 認証システム、認証装置、通信設定装置および認証方法
KR100660123B1 (ko) Ｎａｔ 통과를 위한 브이.피.엔 서버 시스템 및 브이.피.엔클라이언트 단말기
EP3044929B1 (en) A mobile-device based proxy for browser-originated procedures
Zhang et al. A comparison of migration and multihoming support in IPv6 and XIA
US20060185009A1 (en) Communication apparatus and communication method
JP4893279B2 (ja) 通信装置および通信方法
JP2007281811A (ja) ゲートウェイ装置、情報共有システム及び情報共有方法
JP4381190B2 (ja) Ｄｍｚを介した外部ネットワークからイントラネット上のサーバへの端末識別の登録
JP4977646B2 (ja) サーバ装置および通信制御方法
Gopal et al. User plane firewall for 3G mobile network
EP2084885B1 (en) Address translation

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS KE KG KM KP KR KZ LC LK LR LS LT LU LV LY MA MD MG MK MN MW MX MZ NA NG NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): BW GH GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU LV MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 11575310

Country of ref document: US

Ref document number: 2007214501

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 200580034644.1

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE

WWP Wipo information: published in national office

Ref document number: 11575310

Country of ref document: US

122 Ep: pct application non-entry in european phase