アクセス制御装置、アクセス制御方法およびアクセス制御プログラム
【課題】 運用管理に依存することなく、未知の攻撃への対応も含め、十分に高いセキュリティ強度を実現する。
【解決手段】 第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部と、通用する通信プロトコルが第１の内部通信プロトコル群に制限された第１の内部通信路と、第１の内部通信路経由で受け取った第１の内部プロトコルデータ単位を、原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部とを備える。
【解決手段】 第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部と、通用する通信プロトコルが第１の内部通信プロトコル群に制限された第１の内部通信路と、第１の内部通信路経由で受け取った第１の内部プロトコルデータ単位を、原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部とを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はアクセス制御装置、アクセス制御方法およびアクセス制御プログラムに関し、例えば、不正侵入を防止するためのファイアウォール装置などに適用して好適なものである。
【背景技術】
【０００２】
従来、企業などの組織内に配置されたコンピュータをインターネット等の外部ネットワークに接続する場合、外部からの不正な侵入を防止するためにファイアウォールを配置して組織内のコンピュータシステムのセキュリティを保つことが多い。
【０００３】
ファイアウォールとは、インターネットなどの外部のネットワーク（ＷＡＮ）と組織や家庭内のネットワーク（ＬＡＮ）を接続するときなどのように、セキュリティポリシーの異なるネットワークを接続するときに、これらのネットワークの間に配置して、アクセスを制御するソフトウェア、あるいはハードウェアを指す。
【０００４】
ファイアウォールの方式は、パケットフィルタリング方式、アプリケーションゲートウェイ方式、ステートフルインスペクション方式に大別される。
【０００５】
パケットフィルタリング方式とは、パケットのＩＰヘッダやＴＣＰ（ＵＤＰ）ヘッダに含まれる情報を元にフィルタリングを行う方式である。ヘッダ情報のみをチェックするのでフィルタリング処理にともなう遅延時間が短く、性能的に優れている。
【０００６】
アプリケーションゲートウェイ方式は、プロキシ方式とも呼ばれ、パケットのデータ部分に含まれるアプリケーションプロトコルを解釈してフィルタリングを行う。この方式の場合、組織内のコンピュータと外部のコンピュータとの間は、直接ＴＣＰ／ＩＰ接続されるのではなく、プロキシによって中継されるので、セキュリティ強度的には優れている。
【０００７】
ステートフルインスペクション方式は、パケットフィルタリング方式と同様にネットワーク層やトランスポート層で動作するファイアウォールだが、パケットのデータ部分もチェックし、リクエストとレスポンスの整合性などを検査することによってフィルタリングを行うものである。一般に、ステートフルインスペクション方式は、アプリケーションゲートウェイ方式よりも高速に動作し、パケットフィルタリング方式よりもセキュリティ強度が高い。
【０００８】
図２に、前記アプリケーションゲートウエイ方式のファイアウォール１１を用いた通信システム９を示す。
【０００９】
図２において、Ｗｅｂブラウザ１０から外部のＷｅｂサーバ１３にアクセスする場合、ＴＣＰ／ＩＰのＨＴＴＰプロトコルを用いる。ファイアウォール１１では、内側（組織内）から外側（インターネット１２側）へのＨＴＴＰのアクセスを実現するプロキシ１１Ａを動作させる。組織内のＷｅｂブラウザ１０から組織外のＷｅｂサーバ１３へアクセスするとき、ファイアウォール１１のプロキシ１１ＡがＨＴＴＰプロトコルの中継を行い、Ｗｅｂブラウザ１０に所望のＷｅｂページを画面表示させることが可能である。
【００１０】
このプロキシ１１Ａでは、外側からのアクセスは受け付けないようにしてあるため、インターネット１２上のクラッカが操作するパソコン１４から前記組織の内部のコンピュータにアクセスしようとしても、遮断され、アクセスすることができない。また、ＨＴＴＰ以外のＴＣＰ／ＩＰ接続はルーティングしない設定になっているので、組織内への不正なアクセスは防止可能である。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
ところが、上述したファイアウォール１１にセキュリティホールが存在する場合、図３に示すように、当該セキュリティホールを突いたパソコン１４からの攻撃（Ｓ１０）により、ファイアウォール１１の管理者権限が奪取されてファイアウォール１１自体がクラッカに乗っ取られ（Ｓ１１）、当該ファイアウォール１１を踏み台にして組織（ＬＡＮ）の内部に配置されている各コンピュータに対する不正アクセスが実行される（Ｓ１２）ことが起こり得る。前記セキュリティホールを塞ぐための迅速なセキュリティパッチ（修正版プログラム）の適用など、適切な対応を迅速に実行すれば、ファイアウォール１１のセキュリティ強度を十分に高めることが可能であるが、そのような高いセキュリティ強度を維持しつづけることは、運用管理のための多大な手数を必要とし、必ずしも常に十分なセキュリティ強度を維持できるとは限らない。
【００１２】
また、セキュリティホールが発見され公開される前に、そのセキュリティホールを突いた攻撃が実行される可能性もあるが、このようなケースでは、運用管理にどれだけ多大な手数をかけても攻撃を防ぐことは難しい。
【００１３】
インターネット上やＬＡＮ内などで広く用いられるＴＣＰ／ＩＰプロトコルの分野では、多種多様なセキュリティ対策の技術の蓄積があるが、その一方で、それと同程度に、多種多様な不正アクセスのための攻撃技術の蓄積もあり、多くのクラッカがそのような攻撃技術を駆使して攻撃を試みる。このため、いったん、ファイアウォール１１が乗っ取られてしまうと、クラッカが駆使する攻撃技術によって組織の内部のコンピュータが多大な被害を被る可能性が高い。特に、前記組織が金融機関など、求められる信用レベルの高い組織である場合、不正アクセスによって個人情報の流出やサービス停止などの被害が発生すれば、大きな損失につながる。
【００１４】
したがって、未知の攻撃に耐えられ、運用管理にそれほど多大な手数をかけなくても、ファイアウォール自体のセキュリティ強度を十分に高くできることが求められる。
【課題を解決するための手段】
【００１５】
かかる課題を解決するために、第１の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報（例えば、宛先ポート番号）を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部（例えば、プロキシ部２３Ａ）と、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路と、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部とを備えたことを特徴とする。
【００１６】
また、第２の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部と、当該変換の前後または変換の過程で、前記原プロトコルデータ単位を用いた不正アクセスを検出し、検出結果を不正アクセス管理部に通知する不正アクセス検出部と、前記第１の変換処理部自体の動作、第１の変換処理部と前記第１の通信ネットワークのあいだの通信、第１の変換処理部と第１の内部通信路のあいだの通信のうち、少なくともいずれか１つを強制的に停止する強制停止を実行する機能を持つ制御機能部と、前記不正アクセス検出部から不正アクセスを検出した旨の通知を受けると、前記制御機能部に、前記強制停止を実行させる不正アクセス管理部とを備えたことを特徴とする。
【００１７】
さらに、第３の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御方法において、第１の変換処理部が、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換し、この変換によって得られた第１の内部プロトコルデータ単位を、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路に伝送させ、第２の変換処理部が、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出することを特徴とする。
【００１８】
さらにまた、第４の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されて機能するアクセス制御プログラムにおいて、コンピュータに、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理機能と、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路機能と、当該第１の内部通信路機能経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理機能とを実現させることを特徴とする。
【発明の効果】
【００１９】
本発明によれば、未知の攻撃に耐えられ、運用管理に依存することもなく、十分に高いセキュリティ強度を実現することができる。
【発明を実施するための最良の形態】
【００２０】
（Ａ）実施形態
以下、本発明にかかるアクセス制御装置、アクセス制御方法およびアクセス制御プログラムの実施形態について説明する。
【００２１】
（Ａ−１）第１の実施形態の構成
本実施形態にかかる通信システム２０の全体構成例を図１に示す。なお、当該通信システム２０中に、図示しないサーバ類（例えば、ＤＮＳサーバやＤＨＣＰサーバなど）が存在していてもよいことは当然である。
【００２２】
図１において、当該通信システム２０は、ネットワーク２１，２２と、ＦＷ用コンピュータ２３，２４と、Ｗｅｂサーバ２５，２７と、パソコン２６，２８と、アクセス制御用通信路２９とを備えている。
【００２３】
このうちネットワーク２１はＷＡＮなど、比較的セキュリティレベルの低い範囲を指し、ネットワーク２２はＬＡＮなど比較的セキュリティレベルの高い範囲を指す。具体的には、例えば、前記ネットワーク２１はインターネット、ネットワーク２２は金融機関などの組織の内部に構築されたＬＡＮであってよい。
【００２４】
ネットワーク２１上にはＷｅｂサーバ２５やパソコン２６などが存在する。パソコン２６を利用するユーザＵ２は、不正アクセスを試みるクラッカである。ネットワーク２２上にはＷｅｂサーバ２７やパソコン２８などが存在する。パソコン２８を利用するユーザＵ１は前記金融機関の社員などで、パソコン２８を利用してネットワーク２２内のＷｅｂサーバ２７やネットワーク２１上のＷｅｂサーバ２５などにアクセスする正当なユーザである。当該パソコン２８には、ＷｅｂブラウザＢＲ１が搭載されているものとする。
【００２５】
アクセス制御用通信路２９を介して接続された２台のＦＷ用コンピュータ２３、２４と当該アクセス制御用通信路２９によって、論理的に１つのファイアウォール（ＦＷ）装置３０が構成される。
【００２６】
ＦＷ用コンピュータ２３は、プロキシ部２３Ａと、ＮＩＣ（ネットワークインタフェースカード）部２３Ｂとを備え、ＦＷ用コンピュータ２４は、プロキシ部２４Ａと、ＮＩＣ部２４Ｂとを備えている。
【００２７】
ここで、ＮＩＣ部２３Ｂは、ＦＷ用コンピュータ２３をＴＣＰ／ＩＰプロトコルが通用するネットワーク２１に接続するためのインタフェースカードである。ＯＳＩ参照モデルの物理層、データリンク層の通信プロトコルが当該ＮＩＣ部２３Ｂによって処理されるものであってよい。そのほか、当該ＦＷ用コンピュータ２３内では、後述するＯＳなどが、ネットワーク層やトランスポート層の通信プロトコルを処理する機能を備えている。パケットフィルタリングなど従来のファイアウォールが持つ機能が、当該ＯＳに含まれていてもよい。
【００２８】
ネットワーク２１がインターネットであれば、当該ネットワーク層の通信プロトコルはＩＰプロトコルである。また、ネットワーク層がＩＰプロトコルである場合、データリンク層はＩＥＥＥ８０２．３（イーサネット（登録商標））などであることが多い。物理層には有線通信用、無線通信用の様々な通信プロトコルを使用可能である。
【００２９】
プロキシ部２３Ａは、代理応答の機能を持つソフトウエア（ゲートウエイプログラム）の本体で、Ｗｅｂサーバ２５に対しＷｅｂブラウザと同様なインタフェースを提供する。ＦＷ用コンピュータ２３内において、当該プロキシ部２３Ａはアプリケーションプログラムの１つであると見ることができ、ネットワーク２１側からネットワーク２２側へ届けられるパケットＰＫ１のうち、ＯＳＩ参照モデルにおけるトランスポート層の通信プロトコルである例えばＴＣＰやＵＤＰの宛先ポート番号として、当該プロキシ部２３Ａを指定する値を持つパケットのみがＦＷ用コンピュータ２３内でプロキシ部２３Ａに渡される。
【００３０】
パケットＰＫ１が宛先ポート番号としてその他の値を持つ場合、プロキシ部２３Ａを経由しないので、アクセス制御用通信路２９に到達しない。また、プロキシ部２３Ａにおける処理を経なければ、パケットＰＫ１はアクセス制御用通信路２９を正常に通過することはできない。
【００３１】
アクセス制御用通信路２９では、インターネット上で広く用いられるＴＣＰ／ＩＰとは異なる通信プロトコルのみが使用される。このような通信プロトコルとして専用の通信プロトコルを用意してもかまわないが、ここでは、限られた局面でのみ利用される一般的な通信プロトコルである局所一般通信プロトコル（物理層の例では、ＲＳ−２３２Ｃ、ＩＥＥＥ１３９４など）を用いるものとする。
【００３２】
上述したように、ＴＣＰ／ＩＰプロトコルの分野では、多種多様なセキュリティ対策の技術の蓄積がある一方で、それと同程度に、多種多様な不正アクセスのための攻撃技術の蓄積もあり、多くのクラッカがそのような攻撃技術を駆使して攻撃を試みることができるが、局所一般通信プロトコル等では、そのような攻撃技術そのものがほとんど存在しないか、存在したとしても広く知られてはいないため、クラッカによる攻撃を阻むことが可能である。
【００３３】
前記アクセス制御用通信路２９自体は伝送のための構成要素なので、ＯＳＩ参照モデルのトランスポート層以下の階層に属する通信プロトコルの処理を実行する。
【００３４】
このトランスポート層以下の階層に属する局所一般通信プロトコルに適合するように、トランスポート層より上位の階層であるプレゼンテーション層やアプリケーション層などの通信プロトコルを処理するのが、プロキシ部２３Ａ、２４Ａの役割である。プロキシ部２３Ａ、２４Ａの機能の詳細については後述する。
【００３５】
前記アクセス制御用通信路２９内に配置され、ＯＳＩ参照モデルの下位の階層の通信プロトコルを処理するプロトコル処理モジュール（図示せず）は上位の階層の通信プロトコルのトラフィックを透過的に通過させる性質を持つことが必要であるため、トランスポート層以下の下位の階層のセキュリティ強度をアクセス制御用通信路２９によって確保したとしても、プレゼンテーション層やアプリケーション層など上位の階層のセキュリティ強度はそれぞれ独立に、前記プロキシ部２３Ａ、２４Ａによって確保することが必要である。
【００３６】
結局、セキュリティ強度を高めるためには、最下位の物理層から最上位のアプリケーション層に及ぶすべての階層で、ＴＣＰ／ＩＰプロトコルとは異なる前記局所一般通信プロトコル等を用いることが望ましい。例えば、物理層やデータリンク層だけ前記局所一般通信プロトコルを使用したとしても、より上位のアプリケーション層などでＴＣＰ／ＩＰプロトコル（例えば、ＨＴＴＰプロトコル）をそのまま利用すれば、ＴＣＰ／ＩＰプロトコルの分野で広く知られた攻撃技術の使用を許してしまう可能性が高いからである。
【００３７】
「ＴＣＰ／ＩＰ」には狭義と広義があり、狭義では、ＴＣＰとＩＰを指すが、広義では、ＴＣＰやＩＰを含め、インターネット上で標準的に使用されるプロトコル全般を指す。したがって広義のＴＣＰ／ＩＰには、例えば、ＨＴＴＰ、ＳＭＴＰ、ＦＴＰなども含まれる。以下では、「ＴＣＰ／ＩＰ」の語はすべてこの広義のものとして用いる。
【００３８】
なお、ＯＳＩ参照モデルは、７つの階層からなるプロトコル体系であるため、ＯＳＩ参照モデルに忠実な実装を行うと、プロトコル処理モジュールを各階層ごとに１つずつ、合計７つ用意しなければならないが、必要に応じて、複数の階層を１つのプロトコル処理モジュールで処理するようにしてもかまわない。例えば、アプリケーション層、プレゼンテーション層、およびセッション層を１つのプロトコル処理モジュールによって処理するようにしてもよい。これは、周知のＴＣＰ／ＩＰプロトコル体系に合わせた構成であり、この場合、前記プロキシ部２３Ａは１つのプロトコル処理モジュールによって構成されることになる。
【００３９】
前記プロキシ部２３ＡはＷｅｂのためのＨＴＴＰプロトコルを処理するためのプロキシであるが、通常、プロキシ部は通信プロトコルごとに必要である。したがって、他の通信プロトコル（例えば、ＦＴＰなど）を処理する場合には、そのためのプロキシ部をＦＷ用コンピュータ２３に搭載する必要がある。必要に応じて、１つのプロキシ部で特定の複数の通信プロトコルを処理するようにしてもよい。いずれにしても、予め用意してあるプロキシ部（ここでは、２３Ａ）が対応できる特定の通信プロトコルしか処理することができないため、ネットワーク２２側の前記組織が必要とする通信プロトコルに対応するプロキシ部のみを用意するようにしておけば、その他の通信プロトコルを用いて不正アクセスが行われることを防止できる。
【００４０】
本実施形態のプロキシ部２３Ａの特徴は、宛先ポート番号として自身を指定する値を持つパケットＰＫ１を受信した場合、前記局所一般通信プロトコルに適合するプロトコルデータ単位（ＰＤＵ）である内部パケットＰＫ１１に変換（変換処理）した上で、前記アクセス制御用通信路２９に供給する点にある。
【００４１】
通信の内容が定型データのみである場合などには、変換処理の前または後、あるいは、この変換処理の過程で、予め定めたフォーマットに変換することにより、不正アクセスを許す可能性のあるデータの混入を排除することが好ましい。このフォーマットには、利用され得る攻撃技術に応じて様々なものがあり得るが、一例として、バッファオーバーフロー攻撃の対策の場合、１パケットの最大サイズ（例えば、ペイロード部の最大サイズ）を、バッファオーバーフロー現象を発生させることのできない所定値以下のものに制限することをもって当該フォーマットとしてもよい。起こり得る複数の攻撃に対応するため、同時に複数の条件に適合するように、当該フォーマットを定めてよいことは当然である。
【００４２】
前記アクセス制御用通信路２９を介してこの内部パケットＰＫ１１を受け取ったプロキシ部２４Ａは、当該内部パケットＰＫ１１を、ＴＣＰ／ＩＰプロトコルに適合したパケットＰＫ１に復元（復元処理）してＮＩＣ部２４Ｂからネットワーク２２へ送出する。
【００４３】
ここで、ＮＩＣ部２４Ｂは、ＦＷ用コンピュータ２４をＴＣＰ／ＩＰプロトコルが通用するネットワーク２２に接続するためのインタフェースカードである。
【００４４】
すなわち、本実施形態では、ＬＡＮであるネットワーク２２内でも、通常のＴＣＰ／ＩＰプロトコルが使用されることを前提としている。したがってネットワーク２２はＴＣＰ／ＩＰプロトコルが使用される点で前記ネットワーク２１と同じであるが、金融機関などの内部に構築されたネットワークであるため、インターネットなどに対応するネットワーク２１に比べ、高いセキュリティレベルを維持する必要がある。
【００４５】
なお、ネットワーク２２内のパソコン２８が、パケットＰＫ２を送信してネットワーク２１上のＷｅｂサーバ２５などにアクセスすることも許す場合、プロキシ部２４Ａで前記変換処理、プロキシ部２３Ａで前記復元処理を実行した上で、この復元処理によって得られたパケットＰＫ２をＮＩＣ部２３Ｂを介してネットワーク２１に送出する構成を取ることが望ましい。また、Ｗｅｂサーバ２７を外部に公開する場合などには、ネットワーク２１上の正当なユーザのパソコンからのリクエストメッセージ（パケット）に応じたレスポンスメッセージ（パケット）を、Ｗｅｂサーバ２７から送信する必要があるが、その場合には、Ｗｅｂサーバ２７が送信したパケットに対し、プロキシ部２４Ａによる前記変換処理と、プロキシ部２３Ａによる前記復元処理を実行することになる。
【００４６】
これにより、ネットワーク２２内のパソコン２８などから外部にあるネットワーク２１上のコンピュータを攻撃すること等によって、ネットワーク２２を持つ組織の社会的信用が失墜することを防止することができる。
【００４７】
ただし、別な方法で、ネットワーク２２内のセキュリティレベルを高く維持できる場合などには、ネットワーク２２からネットワーク２１へ向かう外向きのパケットの変換処理や復元処理は、ネットワーク２１からネットワーク２２へ向かう内向きのパケットの変換処理や復元処理に比べて、処理量の少ない簡易なものとしてもよい。これにより、変換処理や復元処理自体によるセキュリティ強度は低減するが、ＦＷ用コンピュータ２３，２４の処理能力にかかる負荷を軽減できる。
【００４８】
アクセス制御用通信路２９（に設けられるプロトコル処理モジュール）は、前記局所一般通信プロトコルに対応していないパケットＰＫ１が届いた場合、その処理を拒否するように構成しておくとよい。
【００４９】
なお、前記ＦＷ用コンピュータ２３と２４はそれぞれ別個のコンピュータであるから、それぞれ、ＣＰＵ（中央処理装置）、半導体メモリなどの主記憶装置、ハードディスク等の補助記憶装置などの図示しないハードウエア構成要素、セキュアＯＳ（セキュアオペレーティングシステム）、ミドルウエア、アプリケーションソフトウエア等のソフトウエア構成要素を備えていることは当然である。
【００５０】
以下、上記のような構成を有する本実施形態の動作について図４および図５を用いて説明する。
【００５１】
図４は、通常時にパケットの流れる経路を示している。ただし図４では、ＮＩＣ部２３Ｂ、２４Ｂや、ネットワーク２２など、いくつかの構成要素は省略している。
【００５２】
図５は、クラッカＵ２による攻撃が行われたときの動作を示す概略図で、Ｓ２０〜Ｓ２２の各ステップを備えている。
【００５３】
（Ａ−２）第１の実施形態の動作
図４に示すように、通常、前記ネットワーク２２内のパソコン２８に搭載されたＷｅｂブラウザＢＲ１を利用することによって、ユーザＵ１が外部のネットワーク２１上にあるＷｅｂサーバ２５へアクセスする場合、ＨＴＴＰリクエストメッセージを収容したパケットＰＫ２がＷｅｂブラウザＢＲ１を搭載したパソコン２８から送信され、このパケットＰＫ２は、前記ネットワーク２２上のルータ（図示せず）などを経由してＦＷ用コンピュータ２４に受信される。
【００５４】
ＨＴＴＰリクエストメッセージである以上、通常、そのパケットＰＫ２に含まれるＴＣＰヘッダ中の宛先ポート番号には、ＨＴＴＰのウエルノウンポート番号である８０番が、宛先ポート番号として記述されている。この８０番に基づいて、ＦＷ用コンピュータ２４は当該パケットＰＫ２の内容（ペイロード部）をプロキシ部２４Ａに供給し、当該プロキシ部２４Ａで前記変換処理を実行して、変換処理の結果を含むパケットＰＫ２１を生成する。当該パケットＰＫ２１は、前記パケットＰＫ１１に対応する。この変換処理の際に、上述した予め定めたフォーマットに変換するようにすれば、ユーザＵ１がネットワーク２１上のコンピュータを攻撃しようとしたり、パソコン２８がコンピュータウイルスに感染してネットワーク２１上のコンピュータを攻撃したりする場合であっても、その攻撃を阻止することが可能である。なお、必要ならば、セキュリティ性に配慮し、ＨＴＴＰのポート番号として前記８０番以外の値を用いてもよいことは当然である。
【００５５】
当該変換処理で生成されたパケットＰＫ２１は、アクセス制御用通信路２９を介してＦＷ用コンピュータ２４から２３へ伝送され、ＦＷ用コンピュータ２３内でプロキシ部２３Ａへ供給される。プロキシ部２３Ａでは、前記復元処理が実行されて、元のパケットＰＫ２が生成される。
【００５６】
このパケットＰＫ２はＦＷ用コンピュータ２３からネットワーク２１へ送出されると、ネットワーク２１上のルータ（図示せず）などに中継されて、Ｗｅｂサーバ２５に届けられる。
【００５７】
このパケットＰＫ２に収容されていたＨＴＴＰリクエストメッセージを受け取ると、前記Ｗｅｂサーバ２５は、対応するＨＴＴＰレスポンスメッセージを生成し、当該ＨＴＴＰレスポンスメッセージを収容したパケットＰＫ１をネットワーク２１に送出する。このあと、当該パケットＰＫ１は、ネットワーク２１上のルータなどに中継されてＦＷ用コンピュータ２３まで届けられる。
【００５８】
前記パケットＰＫ２をネットワーク２１に送出する時点で、ＦＷ用コンピュータ２３のＯＳなどが、当該パケットＰＫ２に含まれるＴＣＰヘッダ中の送信元ポート番号として、プロキシ部２３Ａを指定する番号を設定するので、Ｗｅｂサーバ２５から返送されてきた当該パケットＰＫ１をプロキシ部２３Ａに供給することができる。
【００５９】
パケットＰＫ１の内容を受け取ったプロキシ部２３Ａは、前記変換処理を実行し、変換処理の結果を含む前記パケットＰＫ１１を生成する。生成された当該パケットＰＫ１１は、前記アクセス制御用通信路２９を介してＦＷ用コンピュータ２４まで届けられ、ＦＷ用コンピュータ２４内でプロキシ部２４Ａに供給される。このパケットＰＫ１１の内容を受け取ったプロキシ部２４Ａでは、前記復号処理を実行し、復号処理の結果を含む前記パケットＰＫ１をネットワーク２２に送出することにより、パソコン２８まで届ける。
【００６０】
パソコン２８内では、当該パケットＰＫ１に含まれているＨＴＴＰレスポンスメッセージの内容に応じて、例えば、Ｗｅｂページの画面表示などを行う。
【００６１】
このようにＷｅｂブラウザＢＲ１とＷｅｂサーバ２５のあいだで、メッセージのやり取りが行われるたびに、そのメッセージを収容したパケットＰＫ２，ＰＫ１が、プロキシ部２４Ａによる変換処理や復元処理、およびプロキシ部２３Ａによる復元処理や変換処理を経て、前記アクセス制御用通信路２９を介した通信が実行される。
【００６２】
ここで、図５に示すように、ネットワーク２１上のクラッカＵ２がパソコン２６を利用して、セキュリティホールを突いた攻撃を行うため不正にパケット（これもＰＫ１とする）を送り付けることによって、ＦＷ用コンピュータ２３および２４の乗っ取りを試みるものとする（Ｓ２０）。
【００６３】
ＦＷ用コンピュータ２３の運用管理が適切に行われていて、新しく発見されたセキュリティホールなどが完全に塞がれている場合、このような攻撃が成功することはほとんどないが、少なくとも一時的に運用管理が適切に行えないケースや、全く新しい未知の攻撃が成されたケースなどでは、攻撃が成功し、ＦＷ用コンピュータ２３Ａの管理者権限が奪取され、乗っ取られることが起こり得る（Ｓ２１）。
【００６４】
しかしながら、本実施形態では、このようなケースでも、プロキシ部２３Ａによる変換処理とアクセス制御用通信路２９による前記局所一般通信プロトコルによる通信を経なければ、さらに内部のＦＷ用コンピュータ２４にアクセスすることができない。そして、プロキシ部２３Ａによる変換処理では、アプリケーション層からセッション層にあたるＴＣＰ／ＩＰプロトコルを用いた攻撃が阻止され、アクセス制御用通信路２９では、トランスポート層から物理層にあたる通信プロトコルを用いた攻撃が阻止される。
【００６５】
例えば、クラッカＵ２がパソコン２６を操作して所定値以上に長いペイロード部を持つＩＰパケットを送り付け、ＦＷ用コンピュータ２４Ａが搭載した前記主記憶装置の記憶領域内に予めバッファとして確保されている特定の領域をオーバーフローさせるバッファオーバーフロー現象を起こすことにより、ＦＷ用コンピュータ２４のサービス停止や乗っ取りを狙うバッファオーバーフロー攻撃を試みたとしても、プロキシ部２３Ａの変換処理で前記フォーマットへの変換が行われた結果、前記パケットＰＫ１１の１パケット当たりのペイロード部の最大サイズが所定値以下に制限されると、前記バッファオーバーフロー現象を起こすことができないため、バッファオーバーフロー攻撃は阻止される。
【００６６】
この場合、ＦＷ用コンピュータ２４の運用管理が適切に行われておらず、ＦＷ用コンピュータ２４にバッファオーバーフロー攻撃が可能なセキュリティホールが残っていたとしても、内部にあるＦＷ用コンピュータ２４は乗っ取ることができない。クラッカＵ２がＦＷ用コンピュータ２３を乗っ取ったとしても、アクセス制御用通信路２９では前記局所一般通信プロトコルしか通用しないので、クラッカＵ２がＦＷ用コンピュータ２４へのアクセス方法を知ることは容易ではないからである。また、ＦＷ用コンピュータ２４（プロキシ部２４Ａ）は、プロキシ部２３Ａで前記変換処理の際に獲得される特定のフォーマットのパケットしか受け取らないからである。
【００６７】
結局、クラッカＵ２は、ＦＷ用コンピュータ２３および２４によって構成される論理的なファイアウォール装置３０を越えて内部に侵入することはできない。したがって、前記ＷｅｂブラウザＢＲ１を搭載したパソコン２８，Ｗｅｂサーバ２７など、ネットワーク２２内に含まれる各種コンピュータは、クラッカＵ２からの攻撃を受けることがない。これにより、例えば、ネットワーク２２内のデータベース（図示せず）に蓄積された顧客などの個人情報がＦＷ用コンピュータ２４，２３経由でクラッカＵ２に盗まれることによって流出することを完全に防止できる。
【００６８】
また、クラッカＵ２がＦＷ用コンピュータ２３の機能を停止させれば、ネットワーク２２内のパソコン２８などから、ＦＷ用コンピュータ２４および２３を経由してネットワーク２１上のＷｅｂサーバ２５にアクセスすること等はできなくなるものの、ネットワーク２２内のコンピュータ（例えば、２８，２７など）を利用して、当該組織が顧客に提供しているサービスなどは支障無く継続することができるので、被害は小さい。
【００６９】
以上の点は、クラッカＵ２が、バッファオーバーフロー以外のＴＣＰ／ＩＰプロトコルの分野で用いられる攻撃技術を使用した場合でも同様である。
【００７０】
（Ａ−３）第１の実施形態の効果
本実施形態によれば、ファイアウォール装置（３０）において、運用管理に依存することなく、十分に高いセキュリティ強度を実現することができる。
【００７１】
（Ｂ）第２の実施形態
以下では、本実施形態が第１の実施形態と相違する点についてのみ説明する。
【００７２】
（Ｂ−１）第２の実施形態の構成および動作
本実施形態の通信システム４３の構成例を図６に示す。
【００７３】
図６において、図１と同じ符号を付与した各構成要素の機能は第１の実施形態と基本的に同じであるので、その詳しい説明は省略する。なお、ＦＷ用コンピュータ４１が備えるＮＩＣ部４１Ｂの機能は、前記ＮＩＣ部２４Ｂに対応している。
【００７４】
本実施形態の通信システム４３は、３台のＦＷ用コンピュータ２３，２４，４１を２つのアクセス制御用通信路２９，４２で直列に接続することによって構成されている。本実施形態ではこの３台のＦＷ用コンピュータ２３，２４，４１と２つのアクセス制御用通信路２９，４２によって、論理的に１つのファイアウォール装置４０が構成される。
【００７５】
図６を図１と対比すれば明らかなように、通信システム４３は、第１の実施形態におけるＦＷ用コンピュータ２４のＮＩＣ部２４Ｂを、アクセス制御用通信路４２およびＦＷ用コンピュータ４１で置き換えたものとみることもできる。
【００７６】
２つのアクセス制御用通信路２９，４２で用いられる局所一般通信プロトコルは、同じものにすることもできるが、セキュリティ強度を高めるには、異なるものとするほうが望ましい。なお、２つのアクセス制御用通信路２９，４２で用いられる局所一般通信プロトコルが同じものである場合には、プロキシ部２４Ａは変換処理や復元処理を行わず、単に、透過的な中継を行うだけであってもよい。
【００７７】
外向きのパケットＰＫ２の中継では、プロキシ部４１Ａが変換処理を行い、プロキシ部２４Ａが復元処理と変換処理を行い、プロキシ部２３Ａが復元処理を行うことになる。この場合、プロキシ部４１Ａが行う変換処理とプロキシ部２４Ａが行う復元処理は対応した処理であることが必要であり、プロキシ部２４Ａが行う変換処理とプロキシ部２３Ａが行う復元処理は対応した処理であることが必要である。
【００７８】
プロキシ部４１Ａが行う変換処理とプロキシ部２４Ａが行う変換処理は、同じ処理とすることもでき、異なる処理とすることもできるが、セキュリティ強度向上の観点では、異なる処理としたほうが有利である。
【００７９】
なお、内向きのパケットＰＫ１を中継するときには、プロキシ部２３Ａで変換処理、プロキシ部２４Ａで復元処理と変換処理、プロキシ部４１Ａで復元処理がそれぞれ行われることになるが、その他の点は、外向きのパケットＰＫ２を中継する場合と同様である。
【００８０】
本実施形態の場合、クラッカＵ２は、ＦＷ用コンピュータ２３から２４へ侵入し、さらに、ＦＷ用コンピュータ４１に侵入することに成功しなければ、ＦＷ用コンピュータ４１のＮＩＣ部４１Ｂに接続されている前記ネットワーク２２内のコンピュータ（例えば、２７，２８）を攻撃することができないので、セキュリティ強度は、第１の実施形態のファイアウォール装置３０よりも高いといえる。
【００８１】
（Ｂ−２）第２の実施形態の効果
本実施形態によれば、第１の実施形態の効果と同等な効果を得ることができる。
【００８２】
加えて、本実施形態では、ファイアウォール装置（４０）で、第１の実施形態よりも高いセキュリティ強度を実現することが可能である。
【００８３】
（Ｃ）第３の実施形態
以下では、本実施形態が第１、第２の実施形態と相違する点についてのみ説明する。
【００８４】
（Ｃ−１）第３の実施形態の構成および動作
本実施形態の通信システム６１の構成例を図８に示す。
【００８５】
図８において、図１と同じ符号を付与した各構成要素の機能は第１の実施形態と基本的に同じであるので、その詳しい説明は省略する。なお、図８上では、プロキシ部２３Ａと２４Ａが省略されているが、アクセス制御用通信路２９を有する以上、プロキシ部２３Ａ、２４Ａが存在することは当然である。
【００８６】
外側のＦＷ用コンピュータ２３は、パケットＰＫ１内のコンピュータウイルス（ワームやトロイの木馬なども含む）をリアルタイムで検出または駆除する機能を持つアンチウイルスエージェント部２３Ｆを備えている。
【００８７】
内側のＦＷ用コンピュータ２４は、当該アンチウイルスエージェント部２３Ｆを管理する機能を持つアンチウイルスマネージャ部２４Ｆを備えている。
【００８８】
アンチウイルスエージェント部２３Ｆが、外側のＦＷ用コンピュータ２３上でコンピュータウイルスを検出したものの駆除することができなかった場合に、その事実をアンチウイルスマネージャ部２４Ｆに通知（ウイルス検出通知）する。ウイルス検出通知は、アクセス制御用通信路２９を介して実行するようにしてもよいが、アクセス制御用通信路２９とは別個に、ウイルス検出通知のための伝送路を用意してある場合には、その伝送路を介して実行するとよい。
【００８９】
なお、必要に応じて、アンチウイルスエージェント部２３Ｆには駆除の機能を持たせず、コンピュータウイルスを検出した時点で直ちに前記ウイルス検出通知を行うようにしてもよい。
【００９０】
いずれにしても、このウイルス検出通知を受けた時点で、すでにコンピュータウイルスの感染動作など（感染範囲の拡大や他のコンピュータへのＤｏＳ攻撃なども含む）による悪影響が外側のＦＷ用コンピュータ２３内で発生している可能性があるため、当該ウイルス検出通知を受けると、アンチウイルスマネージャ部２４Ｆは直ちに、他コンピュータ制御部２４Ｇにその旨を通知（緊急通知）する。
【００９１】
この緊急通知を受け取ると、他コンピュータ制御部２４Ｇは、アクセス制御用通信路２９の動作を停止するとともに、制御路６３を介して制御装置６２にシャットダウン指示を供給してシャットダウンを指示する。制御路６３は、前記アクセス制御用通信路２９とは物理的に別個の伝送路である。前記ウイルス検出通知が届いた以上、アクセス制御用通信路２９なども、前記コンピュータウイルスの感染動作の影響によって正常に動作しない可能性があるため、アクセス制御用通信路２９とは別個に設けた制御路６３を用いてシャットダウンの指示を行う。制御路６３の物理的、論理的な構造としては様々なものを用いることができる可能性があるが、一例として、通常のシリアルケーブルを用いてもよい。
【００９２】
制御装置６２は、上述した外側のＦＷ用コンピュータ２３のＣＰＵまたは、当該ＣＰＵに対して最優先の割り込み要求を出すことのできる装置である。
【００９３】
いずれにしても、当該制御装置６２が前記他コンピュータ制御部２４Ｇからシャットダウン指示を受け取ると、直ちにＦＷ用コンピュータ２３をシャットダウンして、前記コンピュータウイルスの感染動作などを強制的に停止させ、感染動作などによる悪影響が及ぶ範囲や悪影響の程度を最小限度に制限する。このシャットダウンは、ＦＷ用コンピュータ２３に搭載されているＯＳ（オペレーティングシステム）が前記感染動作によって正常に動作しない状態になっていても、強制的に実行できることが必要である。
【００９４】
（Ｃ−２）第３の実施形態の効果
本実施形態によれば、第１の実施形態の効果と同等な効果を得ることができる。
【００９５】
加えて、本実施形態では、ウイルス検出通知が出されると、外側のＦＷ用コンピュータ（２３）を強制的にシャットダウンして、前記コンピュータウイルスの感染動作などを強制的に停止させ、感染動作などによる悪影響が及ぶ範囲や悪影響の程度を最小限度に制限できるため、セキュリティ強度が高まる。
【００９６】
（Ｄ）第４の実施形態
以下では、本実施形態が第１〜第３の実施形態と相違する点についてのみ説明する。
【００９７】
第１〜第３の実施形態のなかでは、第３の実施形態が最も本実施形態に近い。
【００９８】
（Ｄ−１）第４の実施形態の構成および動作
本実施形態の通信システム７１の構成例を図９に示す。
【００９９】
図９において、図８と同じ符号を付与した各構成要素の機能は第３の実施形態と基本的に同じであるので、その詳しい説明は省略する。
【０１００】
ネットワーク機器７２はパケットＰＫ１などを中継する中継装置で、具体的には、例えば、ルータやレイヤ２スイッチなどにあたる。ネットワーク２１上には多数のネットワーク機器が存在するが、当該ネットワーク機器７２は、これら多数のネットワーク機器のなかで最もＦＷ用コンピュータ２３に近い機器で、ＦＷ用コンピュータ２３は、当該ネットワーク機器７２を経由せずにネットワーク２１上のいずれのコンピュータとも通信することができない。
【０１０１】
本実施形態の制御装置６２は、第３の実施形態と異なり、当該ネットワーク機器７２のＣＰＵまたは、当該ＣＰＵに対して最優先の割り込み要求を出すことのできる装置である。
【０１０２】
したがって、本実施形態では、他コンピュータ制御部２４Ｇが前記シャットダウン指示を出すと、ＦＷ用コンピュータ２３ではなく、ネットワーク機器７２がシャットダウンされる。
【０１０３】
当該ネットワーク機器７２がシャットダウンされると、ＦＷ用コンピュータ２３は、ネットワーク２１上のいずれのコンピュータとも通信することができなくなるため、前記感染動作などの影響を受ける範囲は、ＦＷ用コンピュータ２３内に制限される。
【０１０４】
（Ｄ−２）第４の実施形態の効果
本実施形態によれば、異なる構成で、第３の実施形態の効果と同等な効果を得ることができる。
【０１０５】
（Ｅ）他の実施形態
上述したように、本発明では、最下位の物理層から最上位のアプリケーション層に及ぶすべての階層で、ＴＣＰ／ＩＰプロトコルとは異なる前記局所一般通信プロトコル等を用いることが望ましいが、必要ならば、一部の階層のみ、前記局所一般通信プロトコルを用いることも可能である。
【０１０６】
例えば、ＴＣＰ／ＩＰプロトコルの分野で広く知られた攻撃技術の使用のみを阻むことが目的ならば、物理層やデータリンク層などの下位の階層では、広く利用されるＩＥＥＥ８０２．３などをそのまま利用し、ネットワーク層やトランスポート層やそれ以上の上位の階層で、前記局所一般通信プロトコルや専用の通信プロトコルを用いる構成が有効である。
【０１０７】
また、物理層からトランスポート層までの階層でのみ前記局所一般通信プロトコル等を用い、セッション層以上の階層では、ＴＣＰ／ＩＰプロトコルをそのまま利用する構成を取っても、物理層からトランスポート層の通信プロトコルを利用した攻撃に対して、セキュリティ強度を高めることが可能なので、一定の効果が期待できる。
【０１０８】
なお、本発明は、ネットワークインタフェース部分にＩＰアドレスを設定しないステルス型のファイアウォールなどにも適用可能である。
【０１０９】
上記第１〜第４の実施形態で利用した各階層の通信プロトコルは他の通信プロトコルに置換できることは当然である。
【０１１０】
例えば、ＨＴＴＰプロトコルは、前記ＦＴＰのほか、ＳＭＴＰなどにも置換可能である。また、例えば、ＲＳ−２３２ＣやＩＥＥＥ１３９４などもその他の通信プロトコルに置換できる可能性がある。
【０１１１】
また、上記第３の実施形態では、外側のＦＷ用コンピュータ２３が持つ機能と、内側のＦＷ用コンピュータ２４が持つ機能を置き換えてもよい。
【０１１２】
さらに、上記第４の実施形態では、ネットワーク機器７２をシャットダウンしたが、例えば、ＮＩＣ部２３Ｂをシャットダウンすることによっても、同等な効果を得ることができる。
【０１１３】
また、上記第３の実施形態では、ＦＷ用コンピュータ２３自体をシャットダウンしたが、ＦＷ用コンピュータ２３の内部構成がそれを許すなら、プロキシ部２３Ａ、プロキシ部２３Ａとネットワーク２１のあいだの経路上のいずれかの機能、または、プロキシ部２３Ａとアクセス制御用通信路２９のあいだのいずれかの機能をシャットダウン（強制的な動作停止）するようにしてもよい。
【０１１４】
プロキシ部２３Ａや、プロキシ部２３Ａとアクセス制御用通信路２９のあいだのいずれかの機能の動作が停止されれば、少なくとも、感染動作などの影響が内側のＦＷ用コンピュータ２４やネットワーク２２の方向へ拡大することは防止できる。また、プロキシ部２３Ａとネットワーク２１のあいだの経路上のいずれかの機能の動作が強制的に停止されれば、感染動作などの影響が、ネットワーク２１側へ拡大することを防止できる可能性が高い。
【０１１５】
なお、上記第２の実施形態では、３台のＦＷ用コンピュータを直列に接続したが、４台以上のＦＷコンピュータを直列に接続してもよいことは当然である。
【０１１６】
さらに、上記第１〜第４の実施形態にかかわらず、本発明では、図７に示すような構成を取ることができる。
【０１１７】
図７において、図１と同じ符号を付与した各構成要素の機能は第１の実施形態と基本的に同じであるので、その詳しい説明は省略する。
【０１１８】
ただし図７に示すＦＷ用コンピュータ２３は、プロキシ部２３Ａと、ＮＩＣ部２３Ｂのほか、フィルタ部２３Ｃと、アンチウイルス部２３Ｄと、キャッシュ部２３Ｅとを備えている。同様に、図７に示すＦＷ用コンピュータ２４は、プロキシ部２４Ａと、ＮＩＣ部２４Ｂのほか、フィルタ部２４Ｃと、アンチウイルス部２４Ｄと、キャッシュ部２４Ｅとを備えている。
【０１１９】
フィルタ部２３Ｃはフィルタ部２４Ｃに対応し、アンチウイルス部２３Ｄはアンチウイルス部２４Ｄに対応し、キャッシュ部２３Ｅはキャッシュ部２４Ｅに対応する。ただしこれらの構成要素は、システムの形態や求められるセキュリティ強度などにより、いずれか一方のコンピュータ（例えば、２３）にのみ備えられていてもよいし、両方のコンピュータに備えられていてもよい。
【０１２０】
上述したようにプロキシ部２３Ａやアクセス制御用通信路２９は、バッファオーバーフローなどの攻撃技術に対して有効な対策となり得るが、必ずしもすべての攻撃技術に対する対策とはならない。例えば、プロキシ部２３Ａ、２４Ａが上述した変換処理や復元処理の機能だけを持つ場合、パケット（例えば、ＰＫ１）のペイロード部にコンピュータウイルス（ワームやトロイの木馬なども含む）やスパイウエアなどが含まれていても、それを検出すること等はできない可能性が高い。
【０１２１】
これに対し図７の構成では、アンチウイルスソフトに相当するアンチウイルス部２３Ｄ、２４Ｄによって、コンピュータウイルスやスパイウエアなどの検出や駆除を行うことでセキュリティ強度を高めることができる。
【０１２２】
また、アンチウイルス部２３Ｄ、２４Ｄだけでは検出できないクロスサイトスクリプティングやＳＱＬインジェクションなどの攻撃に対しては、フィルタ機能を持つフィルタ部２３Ｃ、２４Ｃで検出を行う。
【０１２３】
キャッシュ部２３Ｅ、２４Ｅは、Ｗｅｂページを構成する一部のファイル（画像ファイルなど）を一時的に蓄積し、前記パソコン２８などからそのファイルを求めるリクエストメッセージが届くと、キャッシュ部２３Ｅ、２４Ｅに蓄積してあるファイルを返す。当該リクエストメッセージを宛先のＷｅｂサーバ２５まで送る必要がないので、ユーザＵ１から見た場合、レスポンス性能が向上し、ＦＷ用コンピュータ２３，２４にとっては、処理能力にかかる負荷を軽減することが可能である。
【０１２４】
また、前記フィルタ部２３Ｃ、２４Ｃや、アンチウイルス部２３Ｄ、２４Ｄにおける処理のため、ＦＷ用コンピュータ２３，２４の処理能力が消費されてレスポンス性能の劣化などを招くおそれがある場合には、キャッシュ部２３Ｅ、２４Ｅに蓄積してあるファイル（フィルタ部２３Ｃ、２４Ｃや、アンチウイルス部２３Ｄ、２４Ｄによる処理が完了しているファイル）を再利用することで、処理能力を節約することができる。
【０１２５】
さらに、上記第１〜第４の実施形態などの特徴は、相互に矛盾しない限り、任意の組み合わせで複合することが可能である。
【０１２６】
以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することができ、ソフトウエア的に実現した機能のほとんど全てはハードウエア的に実現することが可能である。
【０１２７】
例えば、前記プロキシ部２３Ａ、２４Ａなどをハードウエアによって実現してもかまわない。また、このハードウエアは、ＦＷ用コンピュータ２３，２４の中にあってもよいし、ＦＷ用コンピュータ２３，２４にそれぞれ接続された別筐体の装置であってもよい。
【図面の簡単な説明】
【０１２８】
【図１】第１の実施形態にかかる通信システムの全体構成例を示す概略図である。
【図２】従来の通信システムの全体構成例を示す概略図である。
【図３】発明が解決しようとする課題を説明するための概略図である。
【図４】第１の実施形態の動作説明図である。
【図５】第１の実施形態の動作説明図である。
【図６】第２の実施形態にかかる通信システムの全体構成例を示す概略図である。
【図７】他の実施形態にかかる通信システムの構成例を示す概略図である。
【図８】第３の実施形態にかかる通信システムの構成例を示す概略図である。
【図９】第４の実施形態にかかる通信システムの構成例を示す概略図である。
【符号の説明】
【０１２９】
９，２０…通信システム、２１，２２…ネットワーク、２３，２４…ＦＷ用コンピュータ、２３Ａ、２４Ａ…プロキシ部、２３Ｂ、２４Ｂ…ＮＩＣ部、２５，２７…Ｗｅｂサーバ、２６，２８…パソコン、２９…アクセス制御用通信路、３０…ファイアウォール装置、ＰＫ１，ＰＫ２、ＰＫ１１…パケット。
【技術分野】
【０００１】
本発明はアクセス制御装置、アクセス制御方法およびアクセス制御プログラムに関し、例えば、不正侵入を防止するためのファイアウォール装置などに適用して好適なものである。
【背景技術】
【０００２】
従来、企業などの組織内に配置されたコンピュータをインターネット等の外部ネットワークに接続する場合、外部からの不正な侵入を防止するためにファイアウォールを配置して組織内のコンピュータシステムのセキュリティを保つことが多い。
【０００３】
ファイアウォールとは、インターネットなどの外部のネットワーク（ＷＡＮ）と組織や家庭内のネットワーク（ＬＡＮ）を接続するときなどのように、セキュリティポリシーの異なるネットワークを接続するときに、これらのネットワークの間に配置して、アクセスを制御するソフトウェア、あるいはハードウェアを指す。
【０００４】
ファイアウォールの方式は、パケットフィルタリング方式、アプリケーションゲートウェイ方式、ステートフルインスペクション方式に大別される。
【０００５】
パケットフィルタリング方式とは、パケットのＩＰヘッダやＴＣＰ（ＵＤＰ）ヘッダに含まれる情報を元にフィルタリングを行う方式である。ヘッダ情報のみをチェックするのでフィルタリング処理にともなう遅延時間が短く、性能的に優れている。
【０００６】
アプリケーションゲートウェイ方式は、プロキシ方式とも呼ばれ、パケットのデータ部分に含まれるアプリケーションプロトコルを解釈してフィルタリングを行う。この方式の場合、組織内のコンピュータと外部のコンピュータとの間は、直接ＴＣＰ／ＩＰ接続されるのではなく、プロキシによって中継されるので、セキュリティ強度的には優れている。
【０００７】
ステートフルインスペクション方式は、パケットフィルタリング方式と同様にネットワーク層やトランスポート層で動作するファイアウォールだが、パケットのデータ部分もチェックし、リクエストとレスポンスの整合性などを検査することによってフィルタリングを行うものである。一般に、ステートフルインスペクション方式は、アプリケーションゲートウェイ方式よりも高速に動作し、パケットフィルタリング方式よりもセキュリティ強度が高い。
【０００８】
図２に、前記アプリケーションゲートウエイ方式のファイアウォール１１を用いた通信システム９を示す。
【０００９】
図２において、Ｗｅｂブラウザ１０から外部のＷｅｂサーバ１３にアクセスする場合、ＴＣＰ／ＩＰのＨＴＴＰプロトコルを用いる。ファイアウォール１１では、内側（組織内）から外側（インターネット１２側）へのＨＴＴＰのアクセスを実現するプロキシ１１Ａを動作させる。組織内のＷｅｂブラウザ１０から組織外のＷｅｂサーバ１３へアクセスするとき、ファイアウォール１１のプロキシ１１ＡがＨＴＴＰプロトコルの中継を行い、Ｗｅｂブラウザ１０に所望のＷｅｂページを画面表示させることが可能である。
【００１０】
このプロキシ１１Ａでは、外側からのアクセスは受け付けないようにしてあるため、インターネット１２上のクラッカが操作するパソコン１４から前記組織の内部のコンピュータにアクセスしようとしても、遮断され、アクセスすることができない。また、ＨＴＴＰ以外のＴＣＰ／ＩＰ接続はルーティングしない設定になっているので、組織内への不正なアクセスは防止可能である。
【発明の開示】
【発明が解決しようとする課題】
【００１１】
ところが、上述したファイアウォール１１にセキュリティホールが存在する場合、図３に示すように、当該セキュリティホールを突いたパソコン１４からの攻撃（Ｓ１０）により、ファイアウォール１１の管理者権限が奪取されてファイアウォール１１自体がクラッカに乗っ取られ（Ｓ１１）、当該ファイアウォール１１を踏み台にして組織（ＬＡＮ）の内部に配置されている各コンピュータに対する不正アクセスが実行される（Ｓ１２）ことが起こり得る。前記セキュリティホールを塞ぐための迅速なセキュリティパッチ（修正版プログラム）の適用など、適切な対応を迅速に実行すれば、ファイアウォール１１のセキュリティ強度を十分に高めることが可能であるが、そのような高いセキュリティ強度を維持しつづけることは、運用管理のための多大な手数を必要とし、必ずしも常に十分なセキュリティ強度を維持できるとは限らない。
【００１２】
また、セキュリティホールが発見され公開される前に、そのセキュリティホールを突いた攻撃が実行される可能性もあるが、このようなケースでは、運用管理にどれだけ多大な手数をかけても攻撃を防ぐことは難しい。
【００１３】
インターネット上やＬＡＮ内などで広く用いられるＴＣＰ／ＩＰプロトコルの分野では、多種多様なセキュリティ対策の技術の蓄積があるが、その一方で、それと同程度に、多種多様な不正アクセスのための攻撃技術の蓄積もあり、多くのクラッカがそのような攻撃技術を駆使して攻撃を試みる。このため、いったん、ファイアウォール１１が乗っ取られてしまうと、クラッカが駆使する攻撃技術によって組織の内部のコンピュータが多大な被害を被る可能性が高い。特に、前記組織が金融機関など、求められる信用レベルの高い組織である場合、不正アクセスによって個人情報の流出やサービス停止などの被害が発生すれば、大きな損失につながる。
【００１４】
したがって、未知の攻撃に耐えられ、運用管理にそれほど多大な手数をかけなくても、ファイアウォール自体のセキュリティ強度を十分に高くできることが求められる。
【課題を解決するための手段】
【００１５】
かかる課題を解決するために、第１の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報（例えば、宛先ポート番号）を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部（例えば、プロキシ部２３Ａ）と、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路と、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部とを備えたことを特徴とする。
【００１６】
また、第２の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部と、当該変換の前後または変換の過程で、前記原プロトコルデータ単位を用いた不正アクセスを検出し、検出結果を不正アクセス管理部に通知する不正アクセス検出部と、前記第１の変換処理部自体の動作、第１の変換処理部と前記第１の通信ネットワークのあいだの通信、第１の変換処理部と第１の内部通信路のあいだの通信のうち、少なくともいずれか１つを強制的に停止する強制停止を実行する機能を持つ制御機能部と、前記不正アクセス検出部から不正アクセスを検出した旨の通知を受けると、前記制御機能部に、前記強制停止を実行させる不正アクセス管理部とを備えたことを特徴とする。
【００１７】
さらに、第３の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御方法において、第１の変換処理部が、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換し、この変換によって得られた第１の内部プロトコルデータ単位を、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路に伝送させ、第２の変換処理部が、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出することを特徴とする。
【００１８】
さらにまた、第４の本発明では、第１の通信ネットワークと第２の通信ネットワークのあいだに配置されて機能するアクセス制御プログラムにおいて、コンピュータに、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理機能と、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路機能と、当該第１の内部通信路機能経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理機能とを実現させることを特徴とする。
【発明の効果】
【００１９】
本発明によれば、未知の攻撃に耐えられ、運用管理に依存することもなく、十分に高いセキュリティ強度を実現することができる。
【発明を実施するための最良の形態】
【００２０】
（Ａ）実施形態
以下、本発明にかかるアクセス制御装置、アクセス制御方法およびアクセス制御プログラムの実施形態について説明する。
【００２１】
（Ａ−１）第１の実施形態の構成
本実施形態にかかる通信システム２０の全体構成例を図１に示す。なお、当該通信システム２０中に、図示しないサーバ類（例えば、ＤＮＳサーバやＤＨＣＰサーバなど）が存在していてもよいことは当然である。
【００２２】
図１において、当該通信システム２０は、ネットワーク２１，２２と、ＦＷ用コンピュータ２３，２４と、Ｗｅｂサーバ２５，２７と、パソコン２６，２８と、アクセス制御用通信路２９とを備えている。
【００２３】
このうちネットワーク２１はＷＡＮなど、比較的セキュリティレベルの低い範囲を指し、ネットワーク２２はＬＡＮなど比較的セキュリティレベルの高い範囲を指す。具体的には、例えば、前記ネットワーク２１はインターネット、ネットワーク２２は金融機関などの組織の内部に構築されたＬＡＮであってよい。
【００２４】
ネットワーク２１上にはＷｅｂサーバ２５やパソコン２６などが存在する。パソコン２６を利用するユーザＵ２は、不正アクセスを試みるクラッカである。ネットワーク２２上にはＷｅｂサーバ２７やパソコン２８などが存在する。パソコン２８を利用するユーザＵ１は前記金融機関の社員などで、パソコン２８を利用してネットワーク２２内のＷｅｂサーバ２７やネットワーク２１上のＷｅｂサーバ２５などにアクセスする正当なユーザである。当該パソコン２８には、ＷｅｂブラウザＢＲ１が搭載されているものとする。
【００２５】
アクセス制御用通信路２９を介して接続された２台のＦＷ用コンピュータ２３、２４と当該アクセス制御用通信路２９によって、論理的に１つのファイアウォール（ＦＷ）装置３０が構成される。
【００２６】
ＦＷ用コンピュータ２３は、プロキシ部２３Ａと、ＮＩＣ（ネットワークインタフェースカード）部２３Ｂとを備え、ＦＷ用コンピュータ２４は、プロキシ部２４Ａと、ＮＩＣ部２４Ｂとを備えている。
【００２７】
ここで、ＮＩＣ部２３Ｂは、ＦＷ用コンピュータ２３をＴＣＰ／ＩＰプロトコルが通用するネットワーク２１に接続するためのインタフェースカードである。ＯＳＩ参照モデルの物理層、データリンク層の通信プロトコルが当該ＮＩＣ部２３Ｂによって処理されるものであってよい。そのほか、当該ＦＷ用コンピュータ２３内では、後述するＯＳなどが、ネットワーク層やトランスポート層の通信プロトコルを処理する機能を備えている。パケットフィルタリングなど従来のファイアウォールが持つ機能が、当該ＯＳに含まれていてもよい。
【００２８】
ネットワーク２１がインターネットであれば、当該ネットワーク層の通信プロトコルはＩＰプロトコルである。また、ネットワーク層がＩＰプロトコルである場合、データリンク層はＩＥＥＥ８０２．３（イーサネット（登録商標））などであることが多い。物理層には有線通信用、無線通信用の様々な通信プロトコルを使用可能である。
【００２９】
プロキシ部２３Ａは、代理応答の機能を持つソフトウエア（ゲートウエイプログラム）の本体で、Ｗｅｂサーバ２５に対しＷｅｂブラウザと同様なインタフェースを提供する。ＦＷ用コンピュータ２３内において、当該プロキシ部２３Ａはアプリケーションプログラムの１つであると見ることができ、ネットワーク２１側からネットワーク２２側へ届けられるパケットＰＫ１のうち、ＯＳＩ参照モデルにおけるトランスポート層の通信プロトコルである例えばＴＣＰやＵＤＰの宛先ポート番号として、当該プロキシ部２３Ａを指定する値を持つパケットのみがＦＷ用コンピュータ２３内でプロキシ部２３Ａに渡される。
【００３０】
パケットＰＫ１が宛先ポート番号としてその他の値を持つ場合、プロキシ部２３Ａを経由しないので、アクセス制御用通信路２９に到達しない。また、プロキシ部２３Ａにおける処理を経なければ、パケットＰＫ１はアクセス制御用通信路２９を正常に通過することはできない。
【００３１】
アクセス制御用通信路２９では、インターネット上で広く用いられるＴＣＰ／ＩＰとは異なる通信プロトコルのみが使用される。このような通信プロトコルとして専用の通信プロトコルを用意してもかまわないが、ここでは、限られた局面でのみ利用される一般的な通信プロトコルである局所一般通信プロトコル（物理層の例では、ＲＳ−２３２Ｃ、ＩＥＥＥ１３９４など）を用いるものとする。
【００３２】
上述したように、ＴＣＰ／ＩＰプロトコルの分野では、多種多様なセキュリティ対策の技術の蓄積がある一方で、それと同程度に、多種多様な不正アクセスのための攻撃技術の蓄積もあり、多くのクラッカがそのような攻撃技術を駆使して攻撃を試みることができるが、局所一般通信プロトコル等では、そのような攻撃技術そのものがほとんど存在しないか、存在したとしても広く知られてはいないため、クラッカによる攻撃を阻むことが可能である。
【００３３】
前記アクセス制御用通信路２９自体は伝送のための構成要素なので、ＯＳＩ参照モデルのトランスポート層以下の階層に属する通信プロトコルの処理を実行する。
【００３４】
このトランスポート層以下の階層に属する局所一般通信プロトコルに適合するように、トランスポート層より上位の階層であるプレゼンテーション層やアプリケーション層などの通信プロトコルを処理するのが、プロキシ部２３Ａ、２４Ａの役割である。プロキシ部２３Ａ、２４Ａの機能の詳細については後述する。
【００３５】
前記アクセス制御用通信路２９内に配置され、ＯＳＩ参照モデルの下位の階層の通信プロトコルを処理するプロトコル処理モジュール（図示せず）は上位の階層の通信プロトコルのトラフィックを透過的に通過させる性質を持つことが必要であるため、トランスポート層以下の下位の階層のセキュリティ強度をアクセス制御用通信路２９によって確保したとしても、プレゼンテーション層やアプリケーション層など上位の階層のセキュリティ強度はそれぞれ独立に、前記プロキシ部２３Ａ、２４Ａによって確保することが必要である。
【００３６】
結局、セキュリティ強度を高めるためには、最下位の物理層から最上位のアプリケーション層に及ぶすべての階層で、ＴＣＰ／ＩＰプロトコルとは異なる前記局所一般通信プロトコル等を用いることが望ましい。例えば、物理層やデータリンク層だけ前記局所一般通信プロトコルを使用したとしても、より上位のアプリケーション層などでＴＣＰ／ＩＰプロトコル（例えば、ＨＴＴＰプロトコル）をそのまま利用すれば、ＴＣＰ／ＩＰプロトコルの分野で広く知られた攻撃技術の使用を許してしまう可能性が高いからである。
【００３７】
「ＴＣＰ／ＩＰ」には狭義と広義があり、狭義では、ＴＣＰとＩＰを指すが、広義では、ＴＣＰやＩＰを含め、インターネット上で標準的に使用されるプロトコル全般を指す。したがって広義のＴＣＰ／ＩＰには、例えば、ＨＴＴＰ、ＳＭＴＰ、ＦＴＰなども含まれる。以下では、「ＴＣＰ／ＩＰ」の語はすべてこの広義のものとして用いる。
【００３８】
なお、ＯＳＩ参照モデルは、７つの階層からなるプロトコル体系であるため、ＯＳＩ参照モデルに忠実な実装を行うと、プロトコル処理モジュールを各階層ごとに１つずつ、合計７つ用意しなければならないが、必要に応じて、複数の階層を１つのプロトコル処理モジュールで処理するようにしてもかまわない。例えば、アプリケーション層、プレゼンテーション層、およびセッション層を１つのプロトコル処理モジュールによって処理するようにしてもよい。これは、周知のＴＣＰ／ＩＰプロトコル体系に合わせた構成であり、この場合、前記プロキシ部２３Ａは１つのプロトコル処理モジュールによって構成されることになる。
【００３９】
前記プロキシ部２３ＡはＷｅｂのためのＨＴＴＰプロトコルを処理するためのプロキシであるが、通常、プロキシ部は通信プロトコルごとに必要である。したがって、他の通信プロトコル（例えば、ＦＴＰなど）を処理する場合には、そのためのプロキシ部をＦＷ用コンピュータ２３に搭載する必要がある。必要に応じて、１つのプロキシ部で特定の複数の通信プロトコルを処理するようにしてもよい。いずれにしても、予め用意してあるプロキシ部（ここでは、２３Ａ）が対応できる特定の通信プロトコルしか処理することができないため、ネットワーク２２側の前記組織が必要とする通信プロトコルに対応するプロキシ部のみを用意するようにしておけば、その他の通信プロトコルを用いて不正アクセスが行われることを防止できる。
【００４０】
本実施形態のプロキシ部２３Ａの特徴は、宛先ポート番号として自身を指定する値を持つパケットＰＫ１を受信した場合、前記局所一般通信プロトコルに適合するプロトコルデータ単位（ＰＤＵ）である内部パケットＰＫ１１に変換（変換処理）した上で、前記アクセス制御用通信路２９に供給する点にある。
【００４１】
通信の内容が定型データのみである場合などには、変換処理の前または後、あるいは、この変換処理の過程で、予め定めたフォーマットに変換することにより、不正アクセスを許す可能性のあるデータの混入を排除することが好ましい。このフォーマットには、利用され得る攻撃技術に応じて様々なものがあり得るが、一例として、バッファオーバーフロー攻撃の対策の場合、１パケットの最大サイズ（例えば、ペイロード部の最大サイズ）を、バッファオーバーフロー現象を発生させることのできない所定値以下のものに制限することをもって当該フォーマットとしてもよい。起こり得る複数の攻撃に対応するため、同時に複数の条件に適合するように、当該フォーマットを定めてよいことは当然である。
【００４２】
前記アクセス制御用通信路２９を介してこの内部パケットＰＫ１１を受け取ったプロキシ部２４Ａは、当該内部パケットＰＫ１１を、ＴＣＰ／ＩＰプロトコルに適合したパケットＰＫ１に復元（復元処理）してＮＩＣ部２４Ｂからネットワーク２２へ送出する。
【００４３】
ここで、ＮＩＣ部２４Ｂは、ＦＷ用コンピュータ２４をＴＣＰ／ＩＰプロトコルが通用するネットワーク２２に接続するためのインタフェースカードである。
【００４４】
すなわち、本実施形態では、ＬＡＮであるネットワーク２２内でも、通常のＴＣＰ／ＩＰプロトコルが使用されることを前提としている。したがってネットワーク２２はＴＣＰ／ＩＰプロトコルが使用される点で前記ネットワーク２１と同じであるが、金融機関などの内部に構築されたネットワークであるため、インターネットなどに対応するネットワーク２１に比べ、高いセキュリティレベルを維持する必要がある。
【００４５】
なお、ネットワーク２２内のパソコン２８が、パケットＰＫ２を送信してネットワーク２１上のＷｅｂサーバ２５などにアクセスすることも許す場合、プロキシ部２４Ａで前記変換処理、プロキシ部２３Ａで前記復元処理を実行した上で、この復元処理によって得られたパケットＰＫ２をＮＩＣ部２３Ｂを介してネットワーク２１に送出する構成を取ることが望ましい。また、Ｗｅｂサーバ２７を外部に公開する場合などには、ネットワーク２１上の正当なユーザのパソコンからのリクエストメッセージ（パケット）に応じたレスポンスメッセージ（パケット）を、Ｗｅｂサーバ２７から送信する必要があるが、その場合には、Ｗｅｂサーバ２７が送信したパケットに対し、プロキシ部２４Ａによる前記変換処理と、プロキシ部２３Ａによる前記復元処理を実行することになる。
【００４６】
これにより、ネットワーク２２内のパソコン２８などから外部にあるネットワーク２１上のコンピュータを攻撃すること等によって、ネットワーク２２を持つ組織の社会的信用が失墜することを防止することができる。
【００４７】
ただし、別な方法で、ネットワーク２２内のセキュリティレベルを高く維持できる場合などには、ネットワーク２２からネットワーク２１へ向かう外向きのパケットの変換処理や復元処理は、ネットワーク２１からネットワーク２２へ向かう内向きのパケットの変換処理や復元処理に比べて、処理量の少ない簡易なものとしてもよい。これにより、変換処理や復元処理自体によるセキュリティ強度は低減するが、ＦＷ用コンピュータ２３，２４の処理能力にかかる負荷を軽減できる。
【００４８】
アクセス制御用通信路２９（に設けられるプロトコル処理モジュール）は、前記局所一般通信プロトコルに対応していないパケットＰＫ１が届いた場合、その処理を拒否するように構成しておくとよい。
【００４９】
なお、前記ＦＷ用コンピュータ２３と２４はそれぞれ別個のコンピュータであるから、それぞれ、ＣＰＵ（中央処理装置）、半導体メモリなどの主記憶装置、ハードディスク等の補助記憶装置などの図示しないハードウエア構成要素、セキュアＯＳ（セキュアオペレーティングシステム）、ミドルウエア、アプリケーションソフトウエア等のソフトウエア構成要素を備えていることは当然である。
【００５０】
以下、上記のような構成を有する本実施形態の動作について図４および図５を用いて説明する。
【００５１】
図４は、通常時にパケットの流れる経路を示している。ただし図４では、ＮＩＣ部２３Ｂ、２４Ｂや、ネットワーク２２など、いくつかの構成要素は省略している。
【００５２】
図５は、クラッカＵ２による攻撃が行われたときの動作を示す概略図で、Ｓ２０〜Ｓ２２の各ステップを備えている。
【００５３】
（Ａ−２）第１の実施形態の動作
図４に示すように、通常、前記ネットワーク２２内のパソコン２８に搭載されたＷｅｂブラウザＢＲ１を利用することによって、ユーザＵ１が外部のネットワーク２１上にあるＷｅｂサーバ２５へアクセスする場合、ＨＴＴＰリクエストメッセージを収容したパケットＰＫ２がＷｅｂブラウザＢＲ１を搭載したパソコン２８から送信され、このパケットＰＫ２は、前記ネットワーク２２上のルータ（図示せず）などを経由してＦＷ用コンピュータ２４に受信される。
【００５４】
ＨＴＴＰリクエストメッセージである以上、通常、そのパケットＰＫ２に含まれるＴＣＰヘッダ中の宛先ポート番号には、ＨＴＴＰのウエルノウンポート番号である８０番が、宛先ポート番号として記述されている。この８０番に基づいて、ＦＷ用コンピュータ２４は当該パケットＰＫ２の内容（ペイロード部）をプロキシ部２４Ａに供給し、当該プロキシ部２４Ａで前記変換処理を実行して、変換処理の結果を含むパケットＰＫ２１を生成する。当該パケットＰＫ２１は、前記パケットＰＫ１１に対応する。この変換処理の際に、上述した予め定めたフォーマットに変換するようにすれば、ユーザＵ１がネットワーク２１上のコンピュータを攻撃しようとしたり、パソコン２８がコンピュータウイルスに感染してネットワーク２１上のコンピュータを攻撃したりする場合であっても、その攻撃を阻止することが可能である。なお、必要ならば、セキュリティ性に配慮し、ＨＴＴＰのポート番号として前記８０番以外の値を用いてもよいことは当然である。
【００５５】
当該変換処理で生成されたパケットＰＫ２１は、アクセス制御用通信路２９を介してＦＷ用コンピュータ２４から２３へ伝送され、ＦＷ用コンピュータ２３内でプロキシ部２３Ａへ供給される。プロキシ部２３Ａでは、前記復元処理が実行されて、元のパケットＰＫ２が生成される。
【００５６】
このパケットＰＫ２はＦＷ用コンピュータ２３からネットワーク２１へ送出されると、ネットワーク２１上のルータ（図示せず）などに中継されて、Ｗｅｂサーバ２５に届けられる。
【００５７】
このパケットＰＫ２に収容されていたＨＴＴＰリクエストメッセージを受け取ると、前記Ｗｅｂサーバ２５は、対応するＨＴＴＰレスポンスメッセージを生成し、当該ＨＴＴＰレスポンスメッセージを収容したパケットＰＫ１をネットワーク２１に送出する。このあと、当該パケットＰＫ１は、ネットワーク２１上のルータなどに中継されてＦＷ用コンピュータ２３まで届けられる。
【００５８】
前記パケットＰＫ２をネットワーク２１に送出する時点で、ＦＷ用コンピュータ２３のＯＳなどが、当該パケットＰＫ２に含まれるＴＣＰヘッダ中の送信元ポート番号として、プロキシ部２３Ａを指定する番号を設定するので、Ｗｅｂサーバ２５から返送されてきた当該パケットＰＫ１をプロキシ部２３Ａに供給することができる。
【００５９】
パケットＰＫ１の内容を受け取ったプロキシ部２３Ａは、前記変換処理を実行し、変換処理の結果を含む前記パケットＰＫ１１を生成する。生成された当該パケットＰＫ１１は、前記アクセス制御用通信路２９を介してＦＷ用コンピュータ２４まで届けられ、ＦＷ用コンピュータ２４内でプロキシ部２４Ａに供給される。このパケットＰＫ１１の内容を受け取ったプロキシ部２４Ａでは、前記復号処理を実行し、復号処理の結果を含む前記パケットＰＫ１をネットワーク２２に送出することにより、パソコン２８まで届ける。
【００６０】
パソコン２８内では、当該パケットＰＫ１に含まれているＨＴＴＰレスポンスメッセージの内容に応じて、例えば、Ｗｅｂページの画面表示などを行う。
【００６１】
このようにＷｅｂブラウザＢＲ１とＷｅｂサーバ２５のあいだで、メッセージのやり取りが行われるたびに、そのメッセージを収容したパケットＰＫ２，ＰＫ１が、プロキシ部２４Ａによる変換処理や復元処理、およびプロキシ部２３Ａによる復元処理や変換処理を経て、前記アクセス制御用通信路２９を介した通信が実行される。
【００６２】
ここで、図５に示すように、ネットワーク２１上のクラッカＵ２がパソコン２６を利用して、セキュリティホールを突いた攻撃を行うため不正にパケット（これもＰＫ１とする）を送り付けることによって、ＦＷ用コンピュータ２３および２４の乗っ取りを試みるものとする（Ｓ２０）。
【００６３】
ＦＷ用コンピュータ２３の運用管理が適切に行われていて、新しく発見されたセキュリティホールなどが完全に塞がれている場合、このような攻撃が成功することはほとんどないが、少なくとも一時的に運用管理が適切に行えないケースや、全く新しい未知の攻撃が成されたケースなどでは、攻撃が成功し、ＦＷ用コンピュータ２３Ａの管理者権限が奪取され、乗っ取られることが起こり得る（Ｓ２１）。
【００６４】
しかしながら、本実施形態では、このようなケースでも、プロキシ部２３Ａによる変換処理とアクセス制御用通信路２９による前記局所一般通信プロトコルによる通信を経なければ、さらに内部のＦＷ用コンピュータ２４にアクセスすることができない。そして、プロキシ部２３Ａによる変換処理では、アプリケーション層からセッション層にあたるＴＣＰ／ＩＰプロトコルを用いた攻撃が阻止され、アクセス制御用通信路２９では、トランスポート層から物理層にあたる通信プロトコルを用いた攻撃が阻止される。
【００６５】
例えば、クラッカＵ２がパソコン２６を操作して所定値以上に長いペイロード部を持つＩＰパケットを送り付け、ＦＷ用コンピュータ２４Ａが搭載した前記主記憶装置の記憶領域内に予めバッファとして確保されている特定の領域をオーバーフローさせるバッファオーバーフロー現象を起こすことにより、ＦＷ用コンピュータ２４のサービス停止や乗っ取りを狙うバッファオーバーフロー攻撃を試みたとしても、プロキシ部２３Ａの変換処理で前記フォーマットへの変換が行われた結果、前記パケットＰＫ１１の１パケット当たりのペイロード部の最大サイズが所定値以下に制限されると、前記バッファオーバーフロー現象を起こすことができないため、バッファオーバーフロー攻撃は阻止される。
【００６６】
この場合、ＦＷ用コンピュータ２４の運用管理が適切に行われておらず、ＦＷ用コンピュータ２４にバッファオーバーフロー攻撃が可能なセキュリティホールが残っていたとしても、内部にあるＦＷ用コンピュータ２４は乗っ取ることができない。クラッカＵ２がＦＷ用コンピュータ２３を乗っ取ったとしても、アクセス制御用通信路２９では前記局所一般通信プロトコルしか通用しないので、クラッカＵ２がＦＷ用コンピュータ２４へのアクセス方法を知ることは容易ではないからである。また、ＦＷ用コンピュータ２４（プロキシ部２４Ａ）は、プロキシ部２３Ａで前記変換処理の際に獲得される特定のフォーマットのパケットしか受け取らないからである。
【００６７】
結局、クラッカＵ２は、ＦＷ用コンピュータ２３および２４によって構成される論理的なファイアウォール装置３０を越えて内部に侵入することはできない。したがって、前記ＷｅｂブラウザＢＲ１を搭載したパソコン２８，Ｗｅｂサーバ２７など、ネットワーク２２内に含まれる各種コンピュータは、クラッカＵ２からの攻撃を受けることがない。これにより、例えば、ネットワーク２２内のデータベース（図示せず）に蓄積された顧客などの個人情報がＦＷ用コンピュータ２４，２３経由でクラッカＵ２に盗まれることによって流出することを完全に防止できる。
【００６８】
また、クラッカＵ２がＦＷ用コンピュータ２３の機能を停止させれば、ネットワーク２２内のパソコン２８などから、ＦＷ用コンピュータ２４および２３を経由してネットワーク２１上のＷｅｂサーバ２５にアクセスすること等はできなくなるものの、ネットワーク２２内のコンピュータ（例えば、２８，２７など）を利用して、当該組織が顧客に提供しているサービスなどは支障無く継続することができるので、被害は小さい。
【００６９】
以上の点は、クラッカＵ２が、バッファオーバーフロー以外のＴＣＰ／ＩＰプロトコルの分野で用いられる攻撃技術を使用した場合でも同様である。
【００７０】
（Ａ−３）第１の実施形態の効果
本実施形態によれば、ファイアウォール装置（３０）において、運用管理に依存することなく、十分に高いセキュリティ強度を実現することができる。
【００７１】
（Ｂ）第２の実施形態
以下では、本実施形態が第１の実施形態と相違する点についてのみ説明する。
【００７２】
（Ｂ−１）第２の実施形態の構成および動作
本実施形態の通信システム４３の構成例を図６に示す。
【００７３】
図６において、図１と同じ符号を付与した各構成要素の機能は第１の実施形態と基本的に同じであるので、その詳しい説明は省略する。なお、ＦＷ用コンピュータ４１が備えるＮＩＣ部４１Ｂの機能は、前記ＮＩＣ部２４Ｂに対応している。
【００７４】
本実施形態の通信システム４３は、３台のＦＷ用コンピュータ２３，２４，４１を２つのアクセス制御用通信路２９，４２で直列に接続することによって構成されている。本実施形態ではこの３台のＦＷ用コンピュータ２３，２４，４１と２つのアクセス制御用通信路２９，４２によって、論理的に１つのファイアウォール装置４０が構成される。
【００７５】
図６を図１と対比すれば明らかなように、通信システム４３は、第１の実施形態におけるＦＷ用コンピュータ２４のＮＩＣ部２４Ｂを、アクセス制御用通信路４２およびＦＷ用コンピュータ４１で置き換えたものとみることもできる。
【００７６】
２つのアクセス制御用通信路２９，４２で用いられる局所一般通信プロトコルは、同じものにすることもできるが、セキュリティ強度を高めるには、異なるものとするほうが望ましい。なお、２つのアクセス制御用通信路２９，４２で用いられる局所一般通信プロトコルが同じものである場合には、プロキシ部２４Ａは変換処理や復元処理を行わず、単に、透過的な中継を行うだけであってもよい。
【００７７】
外向きのパケットＰＫ２の中継では、プロキシ部４１Ａが変換処理を行い、プロキシ部２４Ａが復元処理と変換処理を行い、プロキシ部２３Ａが復元処理を行うことになる。この場合、プロキシ部４１Ａが行う変換処理とプロキシ部２４Ａが行う復元処理は対応した処理であることが必要であり、プロキシ部２４Ａが行う変換処理とプロキシ部２３Ａが行う復元処理は対応した処理であることが必要である。
【００７８】
プロキシ部４１Ａが行う変換処理とプロキシ部２４Ａが行う変換処理は、同じ処理とすることもでき、異なる処理とすることもできるが、セキュリティ強度向上の観点では、異なる処理としたほうが有利である。
【００７９】
なお、内向きのパケットＰＫ１を中継するときには、プロキシ部２３Ａで変換処理、プロキシ部２４Ａで復元処理と変換処理、プロキシ部４１Ａで復元処理がそれぞれ行われることになるが、その他の点は、外向きのパケットＰＫ２を中継する場合と同様である。
【００８０】
本実施形態の場合、クラッカＵ２は、ＦＷ用コンピュータ２３から２４へ侵入し、さらに、ＦＷ用コンピュータ４１に侵入することに成功しなければ、ＦＷ用コンピュータ４１のＮＩＣ部４１Ｂに接続されている前記ネットワーク２２内のコンピュータ（例えば、２７，２８）を攻撃することができないので、セキュリティ強度は、第１の実施形態のファイアウォール装置３０よりも高いといえる。
【００８１】
（Ｂ−２）第２の実施形態の効果
本実施形態によれば、第１の実施形態の効果と同等な効果を得ることができる。
【００８２】
加えて、本実施形態では、ファイアウォール装置（４０）で、第１の実施形態よりも高いセキュリティ強度を実現することが可能である。
【００８３】
（Ｃ）第３の実施形態
以下では、本実施形態が第１、第２の実施形態と相違する点についてのみ説明する。
【００８４】
（Ｃ−１）第３の実施形態の構成および動作
本実施形態の通信システム６１の構成例を図８に示す。
【００８５】
図８において、図１と同じ符号を付与した各構成要素の機能は第１の実施形態と基本的に同じであるので、その詳しい説明は省略する。なお、図８上では、プロキシ部２３Ａと２４Ａが省略されているが、アクセス制御用通信路２９を有する以上、プロキシ部２３Ａ、２４Ａが存在することは当然である。
【００８６】
外側のＦＷ用コンピュータ２３は、パケットＰＫ１内のコンピュータウイルス（ワームやトロイの木馬なども含む）をリアルタイムで検出または駆除する機能を持つアンチウイルスエージェント部２３Ｆを備えている。
【００８７】
内側のＦＷ用コンピュータ２４は、当該アンチウイルスエージェント部２３Ｆを管理する機能を持つアンチウイルスマネージャ部２４Ｆを備えている。
【００８８】
アンチウイルスエージェント部２３Ｆが、外側のＦＷ用コンピュータ２３上でコンピュータウイルスを検出したものの駆除することができなかった場合に、その事実をアンチウイルスマネージャ部２４Ｆに通知（ウイルス検出通知）する。ウイルス検出通知は、アクセス制御用通信路２９を介して実行するようにしてもよいが、アクセス制御用通信路２９とは別個に、ウイルス検出通知のための伝送路を用意してある場合には、その伝送路を介して実行するとよい。
【００８９】
なお、必要に応じて、アンチウイルスエージェント部２３Ｆには駆除の機能を持たせず、コンピュータウイルスを検出した時点で直ちに前記ウイルス検出通知を行うようにしてもよい。
【００９０】
いずれにしても、このウイルス検出通知を受けた時点で、すでにコンピュータウイルスの感染動作など（感染範囲の拡大や他のコンピュータへのＤｏＳ攻撃なども含む）による悪影響が外側のＦＷ用コンピュータ２３内で発生している可能性があるため、当該ウイルス検出通知を受けると、アンチウイルスマネージャ部２４Ｆは直ちに、他コンピュータ制御部２４Ｇにその旨を通知（緊急通知）する。
【００９１】
この緊急通知を受け取ると、他コンピュータ制御部２４Ｇは、アクセス制御用通信路２９の動作を停止するとともに、制御路６３を介して制御装置６２にシャットダウン指示を供給してシャットダウンを指示する。制御路６３は、前記アクセス制御用通信路２９とは物理的に別個の伝送路である。前記ウイルス検出通知が届いた以上、アクセス制御用通信路２９なども、前記コンピュータウイルスの感染動作の影響によって正常に動作しない可能性があるため、アクセス制御用通信路２９とは別個に設けた制御路６３を用いてシャットダウンの指示を行う。制御路６３の物理的、論理的な構造としては様々なものを用いることができる可能性があるが、一例として、通常のシリアルケーブルを用いてもよい。
【００９２】
制御装置６２は、上述した外側のＦＷ用コンピュータ２３のＣＰＵまたは、当該ＣＰＵに対して最優先の割り込み要求を出すことのできる装置である。
【００９３】
いずれにしても、当該制御装置６２が前記他コンピュータ制御部２４Ｇからシャットダウン指示を受け取ると、直ちにＦＷ用コンピュータ２３をシャットダウンして、前記コンピュータウイルスの感染動作などを強制的に停止させ、感染動作などによる悪影響が及ぶ範囲や悪影響の程度を最小限度に制限する。このシャットダウンは、ＦＷ用コンピュータ２３に搭載されているＯＳ（オペレーティングシステム）が前記感染動作によって正常に動作しない状態になっていても、強制的に実行できることが必要である。
【００９４】
（Ｃ−２）第３の実施形態の効果
本実施形態によれば、第１の実施形態の効果と同等な効果を得ることができる。
【００９５】
加えて、本実施形態では、ウイルス検出通知が出されると、外側のＦＷ用コンピュータ（２３）を強制的にシャットダウンして、前記コンピュータウイルスの感染動作などを強制的に停止させ、感染動作などによる悪影響が及ぶ範囲や悪影響の程度を最小限度に制限できるため、セキュリティ強度が高まる。
【００９６】
（Ｄ）第４の実施形態
以下では、本実施形態が第１〜第３の実施形態と相違する点についてのみ説明する。
【００９７】
第１〜第３の実施形態のなかでは、第３の実施形態が最も本実施形態に近い。
【００９８】
（Ｄ−１）第４の実施形態の構成および動作
本実施形態の通信システム７１の構成例を図９に示す。
【００９９】
図９において、図８と同じ符号を付与した各構成要素の機能は第３の実施形態と基本的に同じであるので、その詳しい説明は省略する。
【０１００】
ネットワーク機器７２はパケットＰＫ１などを中継する中継装置で、具体的には、例えば、ルータやレイヤ２スイッチなどにあたる。ネットワーク２１上には多数のネットワーク機器が存在するが、当該ネットワーク機器７２は、これら多数のネットワーク機器のなかで最もＦＷ用コンピュータ２３に近い機器で、ＦＷ用コンピュータ２３は、当該ネットワーク機器７２を経由せずにネットワーク２１上のいずれのコンピュータとも通信することができない。
【０１０１】
本実施形態の制御装置６２は、第３の実施形態と異なり、当該ネットワーク機器７２のＣＰＵまたは、当該ＣＰＵに対して最優先の割り込み要求を出すことのできる装置である。
【０１０２】
したがって、本実施形態では、他コンピュータ制御部２４Ｇが前記シャットダウン指示を出すと、ＦＷ用コンピュータ２３ではなく、ネットワーク機器７２がシャットダウンされる。
【０１０３】
当該ネットワーク機器７２がシャットダウンされると、ＦＷ用コンピュータ２３は、ネットワーク２１上のいずれのコンピュータとも通信することができなくなるため、前記感染動作などの影響を受ける範囲は、ＦＷ用コンピュータ２３内に制限される。
【０１０４】
（Ｄ−２）第４の実施形態の効果
本実施形態によれば、異なる構成で、第３の実施形態の効果と同等な効果を得ることができる。
【０１０５】
（Ｅ）他の実施形態
上述したように、本発明では、最下位の物理層から最上位のアプリケーション層に及ぶすべての階層で、ＴＣＰ／ＩＰプロトコルとは異なる前記局所一般通信プロトコル等を用いることが望ましいが、必要ならば、一部の階層のみ、前記局所一般通信プロトコルを用いることも可能である。
【０１０６】
例えば、ＴＣＰ／ＩＰプロトコルの分野で広く知られた攻撃技術の使用のみを阻むことが目的ならば、物理層やデータリンク層などの下位の階層では、広く利用されるＩＥＥＥ８０２．３などをそのまま利用し、ネットワーク層やトランスポート層やそれ以上の上位の階層で、前記局所一般通信プロトコルや専用の通信プロトコルを用いる構成が有効である。
【０１０７】
また、物理層からトランスポート層までの階層でのみ前記局所一般通信プロトコル等を用い、セッション層以上の階層では、ＴＣＰ／ＩＰプロトコルをそのまま利用する構成を取っても、物理層からトランスポート層の通信プロトコルを利用した攻撃に対して、セキュリティ強度を高めることが可能なので、一定の効果が期待できる。
【０１０８】
なお、本発明は、ネットワークインタフェース部分にＩＰアドレスを設定しないステルス型のファイアウォールなどにも適用可能である。
【０１０９】
上記第１〜第４の実施形態で利用した各階層の通信プロトコルは他の通信プロトコルに置換できることは当然である。
【０１１０】
例えば、ＨＴＴＰプロトコルは、前記ＦＴＰのほか、ＳＭＴＰなどにも置換可能である。また、例えば、ＲＳ−２３２ＣやＩＥＥＥ１３９４などもその他の通信プロトコルに置換できる可能性がある。
【０１１１】
また、上記第３の実施形態では、外側のＦＷ用コンピュータ２３が持つ機能と、内側のＦＷ用コンピュータ２４が持つ機能を置き換えてもよい。
【０１１２】
さらに、上記第４の実施形態では、ネットワーク機器７２をシャットダウンしたが、例えば、ＮＩＣ部２３Ｂをシャットダウンすることによっても、同等な効果を得ることができる。
【０１１３】
また、上記第３の実施形態では、ＦＷ用コンピュータ２３自体をシャットダウンしたが、ＦＷ用コンピュータ２３の内部構成がそれを許すなら、プロキシ部２３Ａ、プロキシ部２３Ａとネットワーク２１のあいだの経路上のいずれかの機能、または、プロキシ部２３Ａとアクセス制御用通信路２９のあいだのいずれかの機能をシャットダウン（強制的な動作停止）するようにしてもよい。
【０１１４】
プロキシ部２３Ａや、プロキシ部２３Ａとアクセス制御用通信路２９のあいだのいずれかの機能の動作が停止されれば、少なくとも、感染動作などの影響が内側のＦＷ用コンピュータ２４やネットワーク２２の方向へ拡大することは防止できる。また、プロキシ部２３Ａとネットワーク２１のあいだの経路上のいずれかの機能の動作が強制的に停止されれば、感染動作などの影響が、ネットワーク２１側へ拡大することを防止できる可能性が高い。
【０１１５】
なお、上記第２の実施形態では、３台のＦＷ用コンピュータを直列に接続したが、４台以上のＦＷコンピュータを直列に接続してもよいことは当然である。
【０１１６】
さらに、上記第１〜第４の実施形態にかかわらず、本発明では、図７に示すような構成を取ることができる。
【０１１７】
図７において、図１と同じ符号を付与した各構成要素の機能は第１の実施形態と基本的に同じであるので、その詳しい説明は省略する。
【０１１８】
ただし図７に示すＦＷ用コンピュータ２３は、プロキシ部２３Ａと、ＮＩＣ部２３Ｂのほか、フィルタ部２３Ｃと、アンチウイルス部２３Ｄと、キャッシュ部２３Ｅとを備えている。同様に、図７に示すＦＷ用コンピュータ２４は、プロキシ部２４Ａと、ＮＩＣ部２４Ｂのほか、フィルタ部２４Ｃと、アンチウイルス部２４Ｄと、キャッシュ部２４Ｅとを備えている。
【０１１９】
フィルタ部２３Ｃはフィルタ部２４Ｃに対応し、アンチウイルス部２３Ｄはアンチウイルス部２４Ｄに対応し、キャッシュ部２３Ｅはキャッシュ部２４Ｅに対応する。ただしこれらの構成要素は、システムの形態や求められるセキュリティ強度などにより、いずれか一方のコンピュータ（例えば、２３）にのみ備えられていてもよいし、両方のコンピュータに備えられていてもよい。
【０１２０】
上述したようにプロキシ部２３Ａやアクセス制御用通信路２９は、バッファオーバーフローなどの攻撃技術に対して有効な対策となり得るが、必ずしもすべての攻撃技術に対する対策とはならない。例えば、プロキシ部２３Ａ、２４Ａが上述した変換処理や復元処理の機能だけを持つ場合、パケット（例えば、ＰＫ１）のペイロード部にコンピュータウイルス（ワームやトロイの木馬なども含む）やスパイウエアなどが含まれていても、それを検出すること等はできない可能性が高い。
【０１２１】
これに対し図７の構成では、アンチウイルスソフトに相当するアンチウイルス部２３Ｄ、２４Ｄによって、コンピュータウイルスやスパイウエアなどの検出や駆除を行うことでセキュリティ強度を高めることができる。
【０１２２】
また、アンチウイルス部２３Ｄ、２４Ｄだけでは検出できないクロスサイトスクリプティングやＳＱＬインジェクションなどの攻撃に対しては、フィルタ機能を持つフィルタ部２３Ｃ、２４Ｃで検出を行う。
【０１２３】
キャッシュ部２３Ｅ、２４Ｅは、Ｗｅｂページを構成する一部のファイル（画像ファイルなど）を一時的に蓄積し、前記パソコン２８などからそのファイルを求めるリクエストメッセージが届くと、キャッシュ部２３Ｅ、２４Ｅに蓄積してあるファイルを返す。当該リクエストメッセージを宛先のＷｅｂサーバ２５まで送る必要がないので、ユーザＵ１から見た場合、レスポンス性能が向上し、ＦＷ用コンピュータ２３，２４にとっては、処理能力にかかる負荷を軽減することが可能である。
【０１２４】
また、前記フィルタ部２３Ｃ、２４Ｃや、アンチウイルス部２３Ｄ、２４Ｄにおける処理のため、ＦＷ用コンピュータ２３，２４の処理能力が消費されてレスポンス性能の劣化などを招くおそれがある場合には、キャッシュ部２３Ｅ、２４Ｅに蓄積してあるファイル（フィルタ部２３Ｃ、２４Ｃや、アンチウイルス部２３Ｄ、２４Ｄによる処理が完了しているファイル）を再利用することで、処理能力を節約することができる。
【０１２５】
さらに、上記第１〜第４の実施形態などの特徴は、相互に矛盾しない限り、任意の組み合わせで複合することが可能である。
【０１２６】
以上の説明でハードウエア的に実現した機能の大部分はソフトウエア的に実現することができ、ソフトウエア的に実現した機能のほとんど全てはハードウエア的に実現することが可能である。
【０１２７】
例えば、前記プロキシ部２３Ａ、２４Ａなどをハードウエアによって実現してもかまわない。また、このハードウエアは、ＦＷ用コンピュータ２３，２４の中にあってもよいし、ＦＷ用コンピュータ２３，２４にそれぞれ接続された別筐体の装置であってもよい。
【図面の簡単な説明】
【０１２８】
【図１】第１の実施形態にかかる通信システムの全体構成例を示す概略図である。
【図２】従来の通信システムの全体構成例を示す概略図である。
【図３】発明が解決しようとする課題を説明するための概略図である。
【図４】第１の実施形態の動作説明図である。
【図５】第１の実施形態の動作説明図である。
【図６】第２の実施形態にかかる通信システムの全体構成例を示す概略図である。
【図７】他の実施形態にかかる通信システムの構成例を示す概略図である。
【図８】第３の実施形態にかかる通信システムの構成例を示す概略図である。
【図９】第４の実施形態にかかる通信システムの構成例を示す概略図である。
【符号の説明】
【０１２９】
９，２０…通信システム、２１，２２…ネットワーク、２３，２４…ＦＷ用コンピュータ、２３Ａ、２４Ａ…プロキシ部、２３Ｂ、２４Ｂ…ＮＩＣ部、２５，２７…Ｗｅｂサーバ、２６，２８…パソコン、２９…アクセス制御用通信路、３０…ファイアウォール装置、ＰＫ１，ＰＫ２、ＰＫ１１…パケット。
【特許請求の範囲】
【請求項１】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、
前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部と、
通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路と、
当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部とを備えたことを特徴とするアクセス制御装置。
【請求項２】
請求項１のアクセス制御装置において、
前記第１の変換処理部は、
不正アクセスにつながる危険要素の混入を排除するため、前記第１の内部プロトコルデータ単位のフォーマットを、予め定めた形式の内部フォーマットに制限することを特徴とするアクセス制御装置。
【請求項３】
請求項１のアクセス制御装置において、
前記第２の通信ネットワークと第２の変換処理部の間に、通用する通信プロトコルが広義ＴＣＰ／ＩＰプロトコルおよび前記第１の内部通信プロトコル群と異なる第２の内部通信プロトコル群に制限された第２の内部通信路と、
第３の変換処理部とを備え、
前記第２の変換処理部が、前記第１の内部通信路経由で受け取った第１の内部プロトコルデータ単位を原プロトコルデータ単位に復元する替わりに、当該第２の内部通信プロトコル群に適合する第２の内部プロトコルデータ単位に変換する場合、前記第２の内部通信路経由で受け取った第２の内部プロトコルデータ単位を、前記第３の変換処理部が原プロトコルデータ単位に復元して、前記第２の通信ネットワークに送出することを特徴とするアクセス制御装置。
【請求項４】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、
前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部と、
当該変換の前後または変換の過程で、前記原プロトコルデータ単位を用いた不正アクセスを検出し、検出結果を不正アクセス管理部に通知する不正アクセス検出部と、
前記第１の変換処理部自体の動作、第１の変換処理部と前記第１の通信ネットワークのあいだの通信、第１の変換処理部と第１の内部通信路のあいだの通信のうち、少なくともいずれか１つを強制的に停止する強制停止を実行する機能を持つ制御機能部と、
前記不正アクセス検出部から不正アクセスを検出した旨の通知を受けると、前記制御機能部に、前記強制停止を実行させる不正アクセス管理部とを備えたことを特徴とするアクセス制御装置。
【請求項５】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御方法において、
第１の変換処理部が、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換し、
この変換によって得られた第１の内部プロトコルデータ単位を、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路に伝送させ、
第２の変換処理部が、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出することを特徴とするアクセス制御方法。
【請求項６】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されて機能するアクセス制御プログラムにおいて、コンピュータに、
前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理機能と、
通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路機能と、
当該第１の内部通信路機能経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理機能とを実現させることを特徴とするアクセス制御プログラム。
【請求項１】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、
前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部と、
通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路と、
当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理部とを備えたことを特徴とするアクセス制御装置。
【請求項２】
請求項１のアクセス制御装置において、
前記第１の変換処理部は、
不正アクセスにつながる危険要素の混入を排除するため、前記第１の内部プロトコルデータ単位のフォーマットを、予め定めた形式の内部フォーマットに制限することを特徴とするアクセス制御装置。
【請求項３】
請求項１のアクセス制御装置において、
前記第２の通信ネットワークと第２の変換処理部の間に、通用する通信プロトコルが広義ＴＣＰ／ＩＰプロトコルおよび前記第１の内部通信プロトコル群と異なる第２の内部通信プロトコル群に制限された第２の内部通信路と、
第３の変換処理部とを備え、
前記第２の変換処理部が、前記第１の内部通信路経由で受け取った第１の内部プロトコルデータ単位を原プロトコルデータ単位に復元する替わりに、当該第２の内部通信プロトコル群に適合する第２の内部プロトコルデータ単位に変換する場合、前記第２の内部通信路経由で受け取った第２の内部プロトコルデータ単位を、前記第３の変換処理部が原プロトコルデータ単位に復元して、前記第２の通信ネットワークに送出することを特徴とするアクセス制御装置。
【請求項４】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御装置において、
前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理部と、
当該変換の前後または変換の過程で、前記原プロトコルデータ単位を用いた不正アクセスを検出し、検出結果を不正アクセス管理部に通知する不正アクセス検出部と、
前記第１の変換処理部自体の動作、第１の変換処理部と前記第１の通信ネットワークのあいだの通信、第１の変換処理部と第１の内部通信路のあいだの通信のうち、少なくともいずれか１つを強制的に停止する強制停止を実行する機能を持つ制御機能部と、
前記不正アクセス検出部から不正アクセスを検出した旨の通知を受けると、前記制御機能部に、前記強制停止を実行させる不正アクセス管理部とを備えたことを特徴とするアクセス制御装置。
【請求項５】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されるアクセス制御方法において、
第１の変換処理部が、前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換し、
この変換によって得られた第１の内部プロトコルデータ単位を、通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路に伝送させ、
第２の変換処理部が、当該第１の内部通信路経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出することを特徴とするアクセス制御方法。
【請求項６】
第１の通信ネットワークと第２の通信ネットワークのあいだに配置されて機能するアクセス制御プログラムにおいて、コンピュータに、
前記第１の通信ネットワーク経由で到来した原プロトコルデータ単位のうち、自身を宛先として指定する宛先識別情報を有する原プロトコルデータ単位を処理して、広義ＴＣＰ／ＩＰプロトコル以外の第１の内部通信プロトコル群に適合する第１の内部プロトコルデータ単位に変換する第１の変換処理機能と、
通用する通信プロトコルが前記第１の内部通信プロトコル群に制限された第１の内部通信路機能と、
当該第１の内部通信路機能経由で受け取った前記第１の内部プロトコルデータ単位を、前記原プロトコルデータ単位に復元して第２の通信ネットワークへ送出する第２の変換処理機能とを実現させることを特徴とするアクセス制御プログラム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２００６−９４３７７（Ｐ２００６−９４３７７Ａ）
【公開日】平成１８年４月６日（２００６．４．６）
【国際特許分類】
【出願番号】特願２００４−２８０１８６（Ｐ２００４−２８０１８６）
【出願日】平成１６年９月２７日（２００４．９．２７）
【出願人】（００００００２９５）沖電気工業株式会社 (6,645)
【Ｆターム（参考）】
【公開日】平成１８年４月６日（２００６．４．６）
【国際特許分類】
【出願日】平成１６年９月２７日（２００４．９．２７）
【出願人】（００００００２９５）沖電気工業株式会社 (6,645)
【Ｆターム（参考）】
[ Back to top ]