JP3802004B2 - ファイアウォール検査システム、ファイアウォール検査方法、ファイアウォール検査用プログラム、及びファイアウォール検査用記録媒体 - Google Patents
ファイアウォール検査システム、ファイアウォール検査方法、ファイアウォール検査用プログラム、及びファイアウォール検査用記録媒体 Download PDFInfo
- Publication number
- JP3802004B2 JP3802004B2 JP2003114714A JP2003114714A JP3802004B2 JP 3802004 B2 JP3802004 B2 JP 3802004B2 JP 2003114714 A JP2003114714 A JP 2003114714A JP 2003114714 A JP2003114714 A JP 2003114714A JP 3802004 B2 JP3802004 B2 JP 3802004B2
- Authority
- JP
- Japan
- Prior art keywords
- inspection
- packet
- terminal
- data
- firewall
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Landscapes
- Computer And Data Communications (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、外部からの不正アクセスなどから内部ネットワークを守るファイアウォール装置におけるフィルタリングルールの検査を行う発明に関する。
【０００２】
【従来の技術】
近年、インターネット接続時のセキュリティを確保するにあたっては、外部ネットワークからのアクセスをフィルタリングするファイアウォール装置が正しく設定されていることが重要であり、これを検査する必要が生じている。従来のファイアウォール検査方法の一例が、下記文献に記載されている（非特許文献１参照）。
【０００３】
ファイアウォール装置におけるパケットの通過・非通過を制御しているフィルタリングルールに係る従来のフィルタリングルール検査方法は、図１２に示すようにファイアウォール装置３０２に検査端末３０１のＩＰアドレス、特定ポートとホスト（コンピュータ）３０３のＩＰアドレス、特定ポートに対してどのようなフィルタリングルールが設定されているかを確認する為に検査端末３０１が検査パケット３０４をホスト３０３のＩＰアドレスと特定のポートに向けて送出する。すると、ファイアウォール装置３０２で検査パケット３０４の通過を許可されていれば、検査パケット３０４はホスト３０３に到達する。そして、ホスト３０３が検査パケット３０４の宛先ポートでサービスを提供していれば、ホスト３０３が検査パケット３０４に対して応答パケット３０５を返すので、応答パケット３０５を受信した検査端末３０１は、応答パケット３０５の受信をもって、ファイアウォール装置３０２の検査端末３０１のＩＰアドレス、特定ポートとホスト３０３のＩＰアドレス、特定ポートに対してパケットを通過させるようなフィルタリングルールが設定されていると判断する。
【０００４】
【非特許文献１】
クラッキング防衛大全（翔泳社，２０００，ＩＳＢＮ４−８８１３５−８８１−２）の２８７頁〜２９０頁「ファイアウォールを通過するスキャン」
【０００５】
【発明が解決しようとする課題】
しかしながら、ファイアウォール装置３０２のフィルタリングルール検査において、検査パケットに対する応答パケットが得られなかった場合には、上記従来技術では、検査パケット３０４がファイアウォール装置３０２を通過しなかったのか、或いは、相手ホスト３０３が従来方法の想定しているような応答パケットを返す設定になっていなかったのかを判断することが出来ない。即ち、ファイアウォール装置３０２の反対側に接続されているホスト３０３が、必ずしも従来技術の方法が望ような応答パケットを返していないのか、ファイアウォール装置３０２のフィルタリングルールで通過が許可されていなかったのかを正確に判断できない。このため、ファイアウォール装置３０２のフィルタリングルールのうち、パケットを通過させない設定になっている部分の検査が正確に行えないという問題が生じていた。
【０００６】
本発明は上述した事情に鑑みてなされたもので、ファイアウォール装置のフィルタリングルールのうちパケットを通過させない設定になっている部分の検査を正確に行うことの出来る発明を公開することを目的とする。
【０００９】
【課題を解決するための手段】
上記目的を達成するため、本発明は、外部からの不正アクセスなどから内部ネットワークを守るファイアウォール装置の検査を行うためのファイアウォール検査システムにおいて、前記ネットワーク内で前記ファイアウォール装置を挟んで接続可能な第１の検査端末及び第２の検査端末と、当該第１及び第２の検査端末の動作を管理する管理装置とを有し、更に、前記管理装置は、前記第１及び第２の検査端末に対して、前記第１及び第２の検査端末が所定のアルゴリズムで動作するための検査シーケンスデータを送信するデータ送信手段を有し、前記第１の検査端末は、前記検査シーケンスデータを受信する第１のデータ受信手段と、前記第１のデータ受信手段で受信した検査シーケンスデータを記憶する第１のデータ記憶手段とを有し、前記第２の検査端末は、前記検査シーケンスデータを受信する第２のデータ受信手段と、前記第２のデータ受信手段で受信した検査シーケンスデータを記憶する第２のデータ記憶手段とを有し、前記第１の検査端末は、前記第１のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第２の検査端末に検査パケットを送信する検査パケット送信手段を有し、前記第２の検査端末は、前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記第１の検査端末から送信されてきた検査開始信号を受信したことを契機とした所定時間内に、前記検査パケットを受信するか否かを判断する検査パケット受信判断手段と、前記検査パケット受信判断手段によって判断した受信結果を記録する第２の受信結果記録手段と、前記第２の受信結果記録手段に記録した受信結果を第２の検査結果データとして前記管理装置に送信する第２の検査結果送信手段と、前記検査パケット受信判断手段によって前記検査パケットを受信したと判断した場合には、前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第１の検査端末に対し、前記検査パケットを受信したことを前記第１の検査端末に通知するための応答パケットを送信する応答パケット送信手段とを有し、前記第１の検査端末は、前記検査パケット送信手段によって検査パケットを送信したことを契機とした所定時間内に、前記応答パケットを受信するか否かを判断する応答パケット受信判断手段と、前記応答パケット受信判断手段によって判断した受信結果を記録する第１の受信結果記録手段と、前記第１の受信結果記録手段に記録した受信結果を第１の検査結果データとして前記管理装置に送信する第１の検査結果送信手段と、前記管理装置は、前記第１及び第２の検査端末から送られてきた第１及び第２の検査結果データに基づいて、検査結果の解析を行う解析手段を有することを特徴とするファイアウォール検査システムである。
【００１０】
また、本発明は、前記管理装置の解析手段は、前記第１の検査結果データが前記第１の検査端末によって所定時間内に応答パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記応答パケットの通過が阻まれたと解析し、前記第２の検査結果データが前記第２の検査端末によって所定時間内に検査パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記検査パケットの通過が阻まれたと解析することを特徴とする請求項１に記載のファイアウォール検査システムである。
【００１１】
また、本発明は、前記検査シーケンスデータは、第１の検査端末に送信させる検査パケットの種類と数を第２の検査端末に通知するためのデータであり、更に、前記第１の検査端末の検査パケット送信手段は、全てのＩＰアドレスを送信元とすると共に全てのＩＰアドレスを送信先として組み合わせた検査パケットを送信し、前記第２の検査端末の検査パケット受信手段は、全ての検査パケットを受信可能とすることを特徴とする請求項１又は２に記載のファイアウォール検査システムである。
【００１４】
また、本発明は、外部からの不正アクセスなどから内部ネットワークを守るファイアウォール装置の検査を行うためのファイアウォール検査方法において、前記ネットワーク内で前記ファイアウォール装置を挟んで接続可能な第１の検査端末及び第２の検査端末と、当該第１及び第２の検査端末の動作を管理する管理装置とを利用し、更に、前記第１の検査端末は、前記管理装置から送られてくる検査シーケンスデータを記憶する第１のデータ記憶手段と、前記第２の検査端末から送られたパケットの受信結果を記録する第１の受信結果記録手段とを有し、前記第２の検査端末は、前記管理装置から送られてくる検査シーケンスデータを記憶する第２のデータ記憶手段と、前記第１の検査端末から送られたパケットの受信結果を記録する第２の受信結果記録手段とを有した状態で、前記管理装置は、前記第１及び第２の検査端末に対して、前記第１及び第２の検査端末が所定のアルゴリズムで動作するための検査シーケンスデータを送信するデータ送信ステップを実行し、前記第１の検査端末は、前記検査シーケンスデータを受信する第１のデータ受信ステップと、前記第１のデータ受信ステップで受信した検査シーケンスデータを前記第１のデータ記憶手段に記憶するステップと実行し、前記第２の検査端末は、前記検査シーケンスデータを受信する第２のデータ受信ステップと、前記第２のデータ受信ステップで受信した検査シーケンスデータを前記第２のデータ記憶手段に記憶するステップとを実行し、前記第１の検査端末は、前記第１のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第２の検査端末に検査パケットを送信する検査パケット送信ステップを実行し、前記第２の検査端末は、前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記第１の検査端末から送信されてきた検査開始信号を受信したことを契機とした所定時間内に、前記検査パケットを受信するか否かを判断する検査パケット受信判断ステップと、前記検査パケット受信判断ステップによって判断した受信結果を第２の受信結果記録手段に記録するステップと、前記第２の受信結果記録手段に記録した受信結果を第２の検査結果データとして前記管理装置に送信する第２の検査結果送信ステップと、前記検査パケット受信判断ステップによって前記検査パケットを受信したと判断した場合には、前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第１の検査端末に対し、前記検査パケットを受信したことを前記第１の検査端末に通知するための応答パケットを送信する応答パケット送信ステップとを実行し、前記第１の検査端末は、前記検査パケット送信ステップによって検査パケットを送信したことを契機とした所定時間内に、前記応答パケットを受信するか否かを判断する応答パケット受信判断ステップと、前記応答パケット受信判断ステップによって判断した受信結果を前記第１の受信結果記録手段に記録するステップと、前記第１の受信結果記録手段に記録した受信結果を第１の検査結果データとして前記管理装置に送信する第１の検査結果送信ステップとを実行し、前記管理装置は、前記第１及び第２の検査端末から送られてきた第１及び第２の検査結果データに基づいて、検査結果の解析を行う解析ステップを実行することを特徴とするファイアウォール検査方法。
【００１５】
また、本発明は、前記管理装置の解析ステップは、前記第１の検査結果データが前記第１の検査端末によって所定時間内に応答パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記応答パケットの通過が阻まれたと解析し、前記第２の検査結果データが前記第２の検査端末によって所定時間内に検査パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記検査パケットの通過が阻まれたと解析することを特徴とする請求項４に記載のファイアウォール検査方法である。
【００１６】
また、本発明は、前記検査シーケンスデータは、第１の検査端末に送信させる検査パケットの種類と数を第２の検査端末に通知するためのデータであり、更に、前記第１の検査端末の検査パケット送信ステップは、全てのＩＰアドレスを送信元とすると共に全てのＩＰアドレスを送信先として組み合わせた検査パケットを送信し、前記第２の検査端末の検査パケット受信ステップは、全ての検査パケットを受信可能とすることを特徴とする請求項４又は５に記載のファイアウォール検査方法である。
【００１７】
また、本発明は、前記ファイアウォール検査方法で利用する装置及び検査端末に、請求項４乃至６のいずれかに記載の各ステップを実行させるためのファイアウォール検査用プログラムである。
【００１８】
ここで、本発明における「プログラム」とは、コンピュータによる処理に適した命令の順番付けられた列からなるものをいい、コンピュータのＨＤ(Hard Disk)、ＣＤ−ＲＷ等にインストールされているものや、ＣＤ−ＲＯＭ、ＤＶＤ、ＦＤ、半導体メモリ、コンピュータのＨＤＤ等の各種記録媒体に記録されているものや、インターネット等の外部ネットワークを介して配信されるものも含まれる。
【００１９】
また、本発明は、請求項７に記載のファイアウォール検査用プログラムを記録した、コンピュータ読み取り可能な記録媒体である。
【００２０】
ここで、本発明における「記録媒体」とは、上記コンピュータで上記ステップを実行させるためのプログラムの読み取りに使用することができればよく、情報を媒体の物理的特性を利用してどのように記録するか等の物理的な記録方法には依存しない。例えば、ＦＤ(Flexible Disk)、ＣＤ−ＲＯＭ（Ｒ，ＲＷ）(Compact Disc Read Only Memory(CD Recordable,CD Rewritable))、ＤＶＤ−ＲＯＭ（ＲＡＭ，Ｒ，ＲＷ）(Digital Versatile Disk Read Only Memory(DVD Random Access Memory,DVD Recordable,DVD Rewritable))、半導体メモリ、ＭＯ(Magneto Optical Disk)、ＭＤ(Mini Disk)、磁気テープ等が該当する。
【００２１】
【発明の実施の形態】
以下、図面を用いて、本発明の第１の実施形態について説明する。
【００２２】
図１は、本実施形態に係るファイアウォール検査システム１の全体構成図である。図１に示すように、各内部ネットワーク１００ａ，ｂ，ｃ（以下、これらの総称を示す場合は「内部ネットワーク１００」という）には、それぞれファイアウォール装置４３ａ，ｂ，ｃ（以下、これらの総称を示す場合は「ファイアウォール装置４３」という）を挟んで各内部ネットワーク１００内で、それぞれ検査端末Ａ４１ａ，ｂ，ｃ（以下、これらの総称を示す場合は「検査端末Ａ４１」という）と検査端末Ｂ４２ａ，ｂ，ｃ（以下、これらの総称を示す場合は「検査端末Ｂ４２」という）が接続されている。また、検査端末Ａ４１及び検査端末Ｂ４２に、本方法専用の管理用ネットワーク２００で接続された管理装置４０と、管理装置４０のユーザインタフェースを介して本方法の利用者がそれぞれ使用する管理端末４４ａ，ｂ，ｃ（以下、これらの総称を示す場合には「管理端末４４」という）によって構成されている。これらの管理端末４４ａ，ｂ，ｃは、それぞれファイアウォール装置４３ａ，ｂ，ｃの検査に使用される。尚、管理端末４４ａは、ファイアウォール装置４３ｂ，ｃの検査に使用される等、どの管理端末４４から、どのファイアウォール装置４３を管理してもよい。
【００２３】
図２は、図１に示すファイアウォール検査システム１におけるデータ等の流れを示した概略構成図である。また、図３は、図２中のファイアウォール装置４３のフィルタリングルールを示した図である。このようなルールをファイアウォール装置４３に設定している場合、発信元ＩＰアドレスが１９２．１６８．０．１、発信元ポートが任意（ａｎｙ）のポート、送信先ＩＰアドレスが１０．０．０．１、送信先ポート番号が８０のパケットはファイアウォール装置４３を通過することができ、発信元のＩＰアドレス、ポート番号、及び送信先ＩＰアドレスが全て任意（ａｎｙ）で、送信先ポート番号が１１０のパケットはファイアウォール装置４３を通過することができない。
【００２４】
この場合、検査端末Ａ４１は、１９２．１６８．０．０／２４のネットワークに接続され、検査端末Ｂ４２は、１０．０．０．０／８のネットワークに接続されている。このことは、検査端末Ａ４１，Ｂ４２が持つＩＰアドレスを制限するものではない。
【００２５】
また、管理端末４４は、利用者が管理装置４０に、図３に示すようなフィルタリングルール４５の入力を行うためのコンピュータである。管理装置４４は、管理装置４４から入力を受け付けたフィルタリングルール４５に基づいて、ファイアウォール装置の検査に必要な検査パケットの内容、検査パケットの数、検査パケットの送受信タイミング、及び、想定される検査パケットの通過・非通過の状態を分析し、図４に示すような検査シーケンスデータ４６を作成し、管理用ネットワーク２００を介して検査端末Ａ４１と検査端末Ｂ４２に渡すためのコンピュータである。本実施形態では、図４に示すように、検査シーケンスデータ４６として、送信元ＩＰアドレスが１９２．１６８．０．１、発信元ポート番号が任意、送信先ＩＰアドレスが１０．０．０．１、送信先ポート番号が１〜６５５３５を作成する。
【００２６】
また、検査シーケンスデータ４６を受け取った検査端末Ａ４１は、検査シーケンスデータ４６に従い、検査端末Ｂ４２に対して、検査パケット４７（発信元ＩＰアドレス：１９２．１６８．０．１、発信元ポート番号：仮にｘｘｘとする、送信先ＩＰアドレス：１０．０．０．１、送信先ポート番号：８０）を送信する一方、検査シーケンスデータ４６を受け取った検査端末Ｂ４２では、検査シーケンスデータ４６に従い、検査端末Ａ４１から送られて来るはずの検査パケット４７を、予め決められた所定時間待ち受ける。そして、図３に示すフィルタリングルール４５により、検査パケット４７はファイアウォール装置４３を通過し、所定時間内に検査端末Ｂ４２が検査パケット４７を受信出来れば、検査端末Ｂ４２では、受信した旨の受信結果を記録しておく。この受信結果は、第２の検査結果データ５０として管理端末４０に送信される。これにより、管理端末４０では、検査パケット４７が持っていたパラメータを持つパケットは、ファイアウォール装置４３の通過が許可されたと解析する。
【００２７】
次に、管理装置４０から検査シーケンスデータ４６を受け取った検査端末Ａ４１が、検査シーケンスデータ４６に従い、検査パケット４７（発信元アドレス：１９２．１６８．０．１発信元ポート番号：ｘｘｘ送信先アドレス：１０．０．０．１送信先ポート番号：１１０）を送出する。一方で検査端末Ｂ４２は、検査シーケンスデータ４６に従って、検査端末Ａ４１から送られてくるはずの検査パケット４７を決められた時間待ち受ける。図５のフィルタリングルールにより、検査パケット４７はファイアウォールを通過できない。その後、時間内に検査端末Ｂ４２が検査パケット４７を受信出来なかった場合には、検査端末Ｂ４２はファイアウォール装置４３によって検査パケット４７が通過を許可されずに遮断された（非通過）と判断し、その判断を記録する。
【００２８】
以上のようにして、検査端末Ａ４１が、図４に示されている検査シーケンスデータ４６のパケットを全て送出し終えると、管理装置４０は、管理端末４４に、発信元ＩＰアドレス：１９２．１６８．０．１、発信元ポート番号：ｘｘｘ、送信先アドレス：１０．０．０．１、送信先ポート番号：８０のパケットは、ファイアウォール装置４３を通過し、発信元ＩＰアドレス：１９２．１６８．０．１、発信元ポート番号：ｘｘｘ、送信先ＩＰアドレス：１０．０．０．１、送信先ポート番号：１１０のパケットは、ファイアウォール装置を通過しなかったという報告を管理端末４４に送信して、管理端末４４で、結果表示が行われる。また、管理装置４０は、利用者が入力したフィルタリングルール４５と実際に検査した結果が異なっている場合には、その点についても結果報告に含めて利用者に通知する。
【００２９】
尚、ファイアウォール装置４３における検査パケットの通過・非通過の解析は、検査端末Ｂ４２で行って、解析結果を管理装置に送信してもよい。
【００３０】
続いて、図５及び図６を用いて、本実施形態の動作について説明する。図５は、本実施形態に係るファイアウォール検査方法を示したシーケンス図である。また、図６は、本実施形態に係る装置及び端末での処理を示した処理フロー図である。
【００３１】
尚、下記ステップは、管理装置４０に記録されたプログラム(p0)、検査端末Ａに記録されたプログラム(p1)、検査端末Ｂに記録されたプログラム(p2)を実行することで、行うことができる。
【００３２】
まず、図６に示すように、利用者が管理端末４４の画面に表示されたＧＵＩ(Graphical User Interface)を使って、検査対象となるファイアウォール装置４３のフィルタリングルール４５（図３）を入力する（ステップＳ１）。これにより、図５に示すように、入力データが管理装置４０に送られる。
【００３３】
次に、管理装置４０は、フィルタリングルール４５に基づいて、検査シーケンスデータ４６（図４）を作成する。ここで作成される検査シーケンスデータ４５は、複数のシーケンスを含むものであるが、それぞれの検査パターンは１組のパケットに関するやり取りしか示されておらず、正常なＴＣＰ，ＩＣＭＰ，ＵＤＰのプロトコルシーケンスに沿ったものとなっている。
【００３４】
次に、図５及び図６に示すように、管理装置４０は、検査端末Ａ４１、検査端末Ｂ４２に、上記作成された検査シーケンスデータ４５を送信して、配布する（ステップＳ３）。
【００３５】
次に、図６に示すように、検査端末Ａ４１は、上記受信した検査シーケンスデータ４６を検査シーケンスデータ記憶部１６１に記憶すると共に、検査端末Ｂ４２と検査開始の同期を取るための検査開始信号を検査端末Ｂ４２に送信する（ステップＳ４）。この検査シーケンスデータ記憶部１６１は、検査端末Ａ４１内の不図示のＨＤ(Hard Disk)の一部領域に構築されている。同様に、検査端末Ｂ４２は、上記受信した検査シーケンスデータ４６を検査シーケンスデータ記憶部１６２に記憶する（ステップＳ５）。この検査シーケンスデータ記憶部１６２は、検査端末Ｂ４２内の不図示のＨＤの一部領域に構築されている。
【００３６】
次に、検査端末Ａ４１では、検査シーケンスデータ記憶部１６１に記憶した検査シーケンスデータ４６の内容（検査シーケンスデータ４６で示されている送信元ＩＰアドレス及び送信先ＩＰアドレスの指定）に従い、ファイアウォール装置４３を介して検査端末Ｂ４２に検査パケット４７を送信する（ステップＳ６）。
【００３７】
次に、検査端末Ｂ４２では、図５に示すように、検査シーケンスデータ記憶部１６２に記憶した検査シーケンスデータ４６の内容に従い、検査端末Ａ４１から送信されてきた検査開始信号を受信したことを契機とした所定時間内に、検査パケット４７を受信するか否かを判断する（ステップＳ７）。そして、検査パケット４７を所定時間内に受信したと判断した場合には（ＹＥＳ）、検査シーケンスデータで示されているＩＰアドレスを使って、検査パケット４７を受信したことを検査端末Ａ４１に通知するための応答パケットを、ファイアフォール装置４３を介して検査端末Ａ４１に送信する（ステップＳ８）。
【００３８】
一方、検査端末Ａ４１では、上記ステップＳ６によって検査パケット４７を送信したことを契機とした所定時間内に、上記応答パケット４８を受信するか否かを判断する（ステップＳ９）。そして、所定時間内に応答パケット４８を受信したと判断した場合には（ＹＥＳ）、その旨を示す受信結果を受信結果記録部１５１に記録し、その後、この受信結果を検査結果データ４９として管理装置４０に送信することで、受信結果を管理装置４０に通知する（ステップＳ１０）。また、上記ステップＳ９において、所定時間内に応答パケット４８を受信しなかったと判断した場合には（ＮＯ）、その旨を示す受信結果を受信結果記録部１５１に記録し、その後、この受信結果を検査結果データ４９として管理装置４０に送信することで、受信結果を管理装置４０に通知する（ステップＳ１１）。尚、受信結果記録部１５１は、検査端末Ａ４１内の不図示のＨＤの一部領域に構築されている。
【００３９】
一方、検査端末Ｂ４２では、上記ステップＳ８により、検査パケット４７を受信した場合には、その旨を示す受信結果を受信結果記録部１５２に記録し、その後、この受信結果を検査結果データ５０として管理装置４０に送信することで、受信結果を管理装置４０に通知する（ステップＳ１２）。また、上記ステップＳ７において、所定時間内に検査パケット４７を受信しなかったと判断した場合には（ＮＯ）、その旨を示す受信結果を受信結果記録部１５２に記録し、その後、この受信結果を検査結果データ５０として管理装置４０に送信することで、受信結果を管理装置４０に通知する（ステップＳ１３）。尚、受信結果記録部１５２は、検査端末Ｂ４２内の不図示のＨＤの一部領域に構築されている。
【００４０】
一方、検査端末Ａ４１では、上記ステップＳ１０，１１後に、検査シーケンスデータ記憶部１６１内をチェックして、まだ検査シーケンスデータが残っているか否かを判断する（ステップＳ１４）。そして、まだ残っていると判断した場合には（ＹＥＳ）、上記ステップＳ６へ進んで同じ処理を繰り返し、もう残っていないと判断した場合には（ＮＯ）、受信結果記録部１５１内にこれまで記録された受信結果を検査結果データ４９として、管理装置４０に送信する（ステップＳ１６）。
【００４１】
一方、検査端末Ｂ４２では、上記ステップＳ１２，１３後に、検査シーケンスデータ記憶部１６２内をチェックして、まだ検査シーケンスデータが残っているか否かを判断する（ステップＳ１５）。そして、まだ残っていると判断した場合には（ＹＥＳ）、上記ステップＳ７へ進んで同じ処理を繰り返し、もう残っていないと判断した場合には（ＮＯ）、受信結果記録部１５２内にこれまで記録された受信結果を検査結果データ５０として、管理装置４０に送信する（ステップＳ１７）。尚、上記ステップＳ６，Ｓ７へ進んで同じ処理を繰り返す場合には、図５に示すように、検査パケット４７’及び応答パケット４８’の送受信を再び行う。
【００４２】
次に、管理装置４０は、検査端末Ａ６１と検査端末Ｂ６３から受け取った、検査結果データ（ＩＰアドレス、ポート番号の組に対するパケットの通過状況等）４９，５０を精査し、特定のＩＰアドレス、ポート番号の組に対するファイアウォール装置４３のフィルタリングルールの設定が、利用者が入力したポリシ通りか否かを解析し、この結果報告データ５１を管理端末４４に送信して、管理端末４４で解析結果を表示する（ステップＳ１８）。これにより、例えば、検査結果データ５０が所定時間内に検査パケット４７を受信しなかった旨の受信結果である場合には、ファイアウォール装置４３によって検査パケット４７の通過が阻まれたと解析することができる。
【００４３】
以上説明したように本実施形態によれば、内部ネットワーク内で検査端末Ａ４１，Ｂ４２によってファイアウォール装置４３を挟むと共に、管理装置４０から、内部ネットワーク１００とは別の管理用ネットワーク２００を介して、検査端末Ａ４１，Ｂ４２に対して検査シーケンスデータ４６と検査結果データ４９，５０の送受信を行い、しかも、検査端末Ｂ４２で所定時間だけ検査パケット４７の到着を待っているため、ファイアウォール装置４３で検査パケット４７が阻止されたのか、或いは、検査端末Ｂ４２で検査パケット４７が阻止されたのかを認識することができる。これにより、ファイアウォール装置４３のフィルタリングルールのうちパケットを通過させない設定になっている部分の検査を正確に行うことができるという効果を奏する。
【００４４】
尚、本実施形態において、検査端末Ａ４１で、送信元ＩＰアドレスを任意のアドレスに設定し、送信元ＩＰアドレスを任意に設定して、任意の送信元ＩＰアドレスと任意の送信先ＩＰアドレスを組み合わせた検査パケットを送出することによって、全てのＩＰアドレスの組に対するファイアウォール装置４３のフィルタリングルールの検査を実施することができる。相手先のＩＰアドレスを実際に利用しているホストが、内部ネットワーク上に存在していない場合には、ＩＰの仕様によりａｒｐ(Address Resolution Protocol)アドレスの解決が出来ないためにパケットが送出されないという問題があるが、この方法を採用すれば、検査対象となっているＩＰアドレスが内部ネットワーク上で利用されているか否かを検査端末Ｂ４２が認識しており、利用されていないＩＰアドレスに関するファイアウォール装置４３のフィルタリングルールの検査を行う場合には、検査端末Ｂ４２のＩＰアドレスを検査対象の利用されていないＩＰアドレスに自動的に変更して検査を実施することにより、内部ネットワーク上で利用されていないアドレスに関するファイアウォール装置４３のフィルタリングルールの検査を行うことが可能である。
【００４５】
即ち、検査端末Ａ４１からファイアウォール装置４３を挟んで反対側に、特定のＩＰアドレスを使っているホストコンピュータが実在しない場合でも、全てのパケットを取得することができ、しかも、検査端末Ａ４１，Ｂ４２が検査シーケンスデータ４６を共有しているため、検査端末Ｂ４２では、検査端末Ａ４１から送られてくる検査パケットの種類と数を正確に知ることができる。このため、全てのＩＰアドレスの組の検査パケットによりファイアウォール装置４３で通過許可、非許可の検査を行うことができるという効果を奏する。
〔第２の実施形態〕
以下、図７乃至図１１を用いて、本発明の第２の実施形態について説明する。
【００４６】
尚、上記第１の実施形態と同一構成、同一処理、同一機能等については、同一の符号を付して、その説明を省略する。
【００４７】
本実施形態は、ステートフルファイアウォール装置にも使用することができる例を示したものである。そのため、まず、図７及び図８を用い、ステートフルファイアウォール装置について説明する。
【００４８】
図７に示すように、特定のパケット２０３が検査端末Ａから検査端末Ｂ宛に送信されたときに、ステートフルファイアウォール装置でパケット２０３の通過が拒否される場合であっても、図８に示すように、まず通過可能な特定のパケット２０１を送信し、その応答パケット２０２がステートフルファイアウォール装置を通過すると、ステートフルファイアウォール装置内部で自動的にパケット２０３を通過させるようにフィルタリングルールが変更される。ステートフルファイアウォール装置は、このような高度なフィルタリングルールを記述することが可能なファイアウォール装置である。
【００４９】
次に、図９乃至図１１を用いて、本実施形態の内容について説明する。
【００５０】
図９は、ファイアウォール検査システム１’におけるデータ等の流れを示した概略構成図である。
【００５１】
本実施形態は、検査シーケンスデータ４６’に、検査端末Ａ４１，Ｂ４２の計算機資源の許す限りのパケットのやり取りに関するデータを記述することによって、ステートフルファイアウォール装置４３’の検査も実施できるものである。
【００５２】
上記第１の実施形態では、検査端末Ａ４１，Ｂ４２間の１往復のパケットの通過した状態でのファイアウォールにおける検査パケットの通過、非通過だけでなく、図１０に示すように複数のパケットのやり取りに関して記述されているシーケンスを複数持つ検査シーケンスデータ４６’を用いることによって、単一若しくは多数のパケットが通過した後の状態でのステートフルファイアウォール装置４３’における検査パケット４７の通過、非通過に関する状態も正確に認識することができる。
【００５３】
続いて、図１１を用いて、本実施形態の動作について説明する。
【００５４】
まず、本実施実施形態におけるステップＳ２１〜Ｓ３３は、上記第１の実施形態におけるステップＳ１〜Ｓ１３とそれぞれ同じ処理を行う。但し、検査シーケンスデータ４６’が、利用者により入力されたステートフルファイアウォール装置４３’用のフィルタリングルール４５’に従って、図１０に示すような内容になっている。この検査シーケンスデータ４６’は、検査シーケンスデータを構成する複数のシーケンスの中に、更に、様々な検査パケットを送信するためのパケット情報が含まれている。
【００５５】
そして、検査端末Ａ４１では、ステップＳ３０，Ｓ３１の後に、検査シーケンスデータ記憶部１６１に記憶されている検査シーケンスデータ４６’を参照して、検査パケットが残っているか否かを判断する（ステップＳ３４）。この判断の結果、検査パケットが残っている場合には（ＮＯ）、ステップＳ２６に戻って処理を繰り返す。また、検査パケットが残っておらず、シーケンス中のパケットが全て処理し終わった場合には（ＹＥＳ）、ステップＳ３６に進む。
【００５６】
一方、検査端末Ｂ４２においても、ステップＳ３２，Ｓ３３の後に、検査シーケンスデータ記憶部１６２に記憶されている検査シーケンスデータ４６’を参照して、検査パケットが残っているか否かを判断する（ステップＳ３５）。この判断の結果、検査パケットが残っている場合には（ＮＯ）、ステップＳ２７に戻って処理を繰り返す。また、検査パケットが残っておらず、シーケンス中のパケットが全て処理し終わった場合には（ＹＥＳ）、ステップＳ３７に進む。
【００５７】
そして、その後のステップＳ３６〜Ｓ４０は、上記第１の実施形態におけるステップＳ１４〜Ｓ１８とそれぞれ同じ処理を行う。
【００５８】
以上説明したように本実施形態によれば、上記第１の実施形態の効果に加え、更に、図１０に示すように、検査シーケンスデータ４６’は、検査シーケンスデータを構成する複数のシーケンスの中に、更に、様々な検査パケットを送信するためのパケット情報が含まれているため、過去の通信状態を加味してパケットの通過の可否を決定するような高度なフィルタリングルールを持ったステートフルファイアウォール装置４３’の検査も行うことができるという効果を奏する。
【００５９】
尚、第１及び第２の実施形態では、図１に示すように、１つの管理装置４０によって一組の検査端末Ａ，Ｂを管理しているが、一組、二組、或いは、四組以上の検査端末Ａ，Ｂを管理してもよい。
【００６０】
また、第１及び第２の実施形態では、検査端末Ａ，Ｂの２台を一組としてが、これに限るものではなく、３台、或いは４台以上の検査端末を一組として、同じ内部ネットワーク１００内で、様々な検査を行うようにしてもよい。更に、第１及び第２の実施形態においては、ＴＣＰ，ＵＤＰ，ＩＣＭＰパケットにおける各種パラメータを任意の値に設定した検査パケットを送信してもよい。これにより、通常のやり取りでは生成されないパラメータを有したＴＣＰ，ＵＤＰ，ＩＣＭＰを検査パケットとして生成して、異常なパラメータを有したＴＣＰ，ＵＤＰ，ＩＣＭＰパケットがファイアウォール装置４３，４３’の通過を許可されるか否かを検査することが出来る。異常なパラメータとして設定できる項目例を表１に示している。
【００６１】
【表１】
また、上記プログラム(p0)、(p1)、(p2)が記録されたＣＤ−ＲＯＭ等の記録媒体を用いて、コンピュータ（管理装置、検査端末Ａ４１，Ｂ４２）に、それぞれプログラム(p0)、(p1)、(p2)を記録して使用してもよい。
【００６２】
【発明の効果】
以上説明したように本発明によれば、内部ネットワーク内で第１及び第２の検査端末によってファイアウォール装置を挟むと共に、管理装置から、内部ネットワークとは別の管理用ネットワークを介して、第１及び第２の検査端末に対して検査シーケンスデータと検査結果データの送受信を行い、しかも、第２の検査端末で所定時間だけ検査パケットの到着を待っているため、ファイアウォール装置で検査パケットが阻止されたのか、或いは、第２の検査端末で検査パケットが阻止されたのかを認識することができる。これにより、ファイアウォール装置のフィルタリングルールのうちパケットを通過させない設定になっている部分の検査を正確に行うことができるという効果を奏する。
【図面の簡単な説明】
【図１】本発明に係るファイアウォール検査システム１、１’の全体構成図。
【図２】第１の実施形態に係るファイアウォール検査システム１におけるデータ等の流れを示した概略構成図。
【図３】図２中のファイアウォール装置４３のフィルタリングルールを示した図。
【図４】第１の実施形態に係る検査シーケンスデータの内容を示した図。
【図５】第１の実施形態に係るファイアウォール検査方法を示したシーケンス図。
【図６】第１の実施形態に係る装置及び端末での処理を示した処理フロー図。
【図７】ステートフルファイアウォール装置の説明に使用する図。
【図８】ステートフルファイアウォール装置の説明に使用する図。
【図９】第２の実施形態に係るファイアウォール検査システム１におけるデータ等の流れを示した概略構成図。
【図１０】第２の実施形態に係る検査シーケンスデータの内容を示した図。
【図１１】第２の実施形態に係る装置及び端末での処理を示した処理フロー図。
【図１２】従来のファイアウォール検査システムにおけるデータ等の流れを示した概略構成図。
【符号の説明】
４０ 管理装置
４１ 検査端末Ａ
４２ 検査端末Ｂ
４３ ファイアウォール装置
４４ 管理端末
４５ フィルタリングルール
４６ 検査シーケンスデータ
４７ 検査パケット
４８ 応答パケット
４９ 検査結果データ
５０ 検査結果データ
５１ 結果報告
【発明の属する技術分野】
本発明は、外部からの不正アクセスなどから内部ネットワークを守るファイアウォール装置におけるフィルタリングルールの検査を行う発明に関する。
【０００２】
【従来の技術】
近年、インターネット接続時のセキュリティを確保するにあたっては、外部ネットワークからのアクセスをフィルタリングするファイアウォール装置が正しく設定されていることが重要であり、これを検査する必要が生じている。従来のファイアウォール検査方法の一例が、下記文献に記載されている（非特許文献１参照）。
【０００３】
ファイアウォール装置におけるパケットの通過・非通過を制御しているフィルタリングルールに係る従来のフィルタリングルール検査方法は、図１２に示すようにファイアウォール装置３０２に検査端末３０１のＩＰアドレス、特定ポートとホスト（コンピュータ）３０３のＩＰアドレス、特定ポートに対してどのようなフィルタリングルールが設定されているかを確認する為に検査端末３０１が検査パケット３０４をホスト３０３のＩＰアドレスと特定のポートに向けて送出する。すると、ファイアウォール装置３０２で検査パケット３０４の通過を許可されていれば、検査パケット３０４はホスト３０３に到達する。そして、ホスト３０３が検査パケット３０４の宛先ポートでサービスを提供していれば、ホスト３０３が検査パケット３０４に対して応答パケット３０５を返すので、応答パケット３０５を受信した検査端末３０１は、応答パケット３０５の受信をもって、ファイアウォール装置３０２の検査端末３０１のＩＰアドレス、特定ポートとホスト３０３のＩＰアドレス、特定ポートに対してパケットを通過させるようなフィルタリングルールが設定されていると判断する。
【０００４】
【非特許文献１】
クラッキング防衛大全（翔泳社，２０００，ＩＳＢＮ４−８８１３５−８８１−２）の２８７頁〜２９０頁「ファイアウォールを通過するスキャン」
【０００５】
【発明が解決しようとする課題】
しかしながら、ファイアウォール装置３０２のフィルタリングルール検査において、検査パケットに対する応答パケットが得られなかった場合には、上記従来技術では、検査パケット３０４がファイアウォール装置３０２を通過しなかったのか、或いは、相手ホスト３０３が従来方法の想定しているような応答パケットを返す設定になっていなかったのかを判断することが出来ない。即ち、ファイアウォール装置３０２の反対側に接続されているホスト３０３が、必ずしも従来技術の方法が望ような応答パケットを返していないのか、ファイアウォール装置３０２のフィルタリングルールで通過が許可されていなかったのかを正確に判断できない。このため、ファイアウォール装置３０２のフィルタリングルールのうち、パケットを通過させない設定になっている部分の検査が正確に行えないという問題が生じていた。
【０００６】
本発明は上述した事情に鑑みてなされたもので、ファイアウォール装置のフィルタリングルールのうちパケットを通過させない設定になっている部分の検査を正確に行うことの出来る発明を公開することを目的とする。
【０００９】
【課題を解決するための手段】
上記目的を達成するため、本発明は、外部からの不正アクセスなどから内部ネットワークを守るファイアウォール装置の検査を行うためのファイアウォール検査システムにおいて、前記ネットワーク内で前記ファイアウォール装置を挟んで接続可能な第１の検査端末及び第２の検査端末と、当該第１及び第２の検査端末の動作を管理する管理装置とを有し、更に、前記管理装置は、前記第１及び第２の検査端末に対して、前記第１及び第２の検査端末が所定のアルゴリズムで動作するための検査シーケンスデータを送信するデータ送信手段を有し、前記第１の検査端末は、前記検査シーケンスデータを受信する第１のデータ受信手段と、前記第１のデータ受信手段で受信した検査シーケンスデータを記憶する第１のデータ記憶手段とを有し、前記第２の検査端末は、前記検査シーケンスデータを受信する第２のデータ受信手段と、前記第２のデータ受信手段で受信した検査シーケンスデータを記憶する第２のデータ記憶手段とを有し、前記第１の検査端末は、前記第１のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第２の検査端末に検査パケットを送信する検査パケット送信手段を有し、前記第２の検査端末は、前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記第１の検査端末から送信されてきた検査開始信号を受信したことを契機とした所定時間内に、前記検査パケットを受信するか否かを判断する検査パケット受信判断手段と、前記検査パケット受信判断手段によって判断した受信結果を記録する第２の受信結果記録手段と、前記第２の受信結果記録手段に記録した受信結果を第２の検査結果データとして前記管理装置に送信する第２の検査結果送信手段と、前記検査パケット受信判断手段によって前記検査パケットを受信したと判断した場合には、前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第１の検査端末に対し、前記検査パケットを受信したことを前記第１の検査端末に通知するための応答パケットを送信する応答パケット送信手段とを有し、前記第１の検査端末は、前記検査パケット送信手段によって検査パケットを送信したことを契機とした所定時間内に、前記応答パケットを受信するか否かを判断する応答パケット受信判断手段と、前記応答パケット受信判断手段によって判断した受信結果を記録する第１の受信結果記録手段と、前記第１の受信結果記録手段に記録した受信結果を第１の検査結果データとして前記管理装置に送信する第１の検査結果送信手段と、前記管理装置は、前記第１及び第２の検査端末から送られてきた第１及び第２の検査結果データに基づいて、検査結果の解析を行う解析手段を有することを特徴とするファイアウォール検査システムである。
【００１０】
また、本発明は、前記管理装置の解析手段は、前記第１の検査結果データが前記第１の検査端末によって所定時間内に応答パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記応答パケットの通過が阻まれたと解析し、前記第２の検査結果データが前記第２の検査端末によって所定時間内に検査パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記検査パケットの通過が阻まれたと解析することを特徴とする請求項１に記載のファイアウォール検査システムである。
【００１１】
また、本発明は、前記検査シーケンスデータは、第１の検査端末に送信させる検査パケットの種類と数を第２の検査端末に通知するためのデータであり、更に、前記第１の検査端末の検査パケット送信手段は、全てのＩＰアドレスを送信元とすると共に全てのＩＰアドレスを送信先として組み合わせた検査パケットを送信し、前記第２の検査端末の検査パケット受信手段は、全ての検査パケットを受信可能とすることを特徴とする請求項１又は２に記載のファイアウォール検査システムである。
【００１４】
また、本発明は、外部からの不正アクセスなどから内部ネットワークを守るファイアウォール装置の検査を行うためのファイアウォール検査方法において、前記ネットワーク内で前記ファイアウォール装置を挟んで接続可能な第１の検査端末及び第２の検査端末と、当該第１及び第２の検査端末の動作を管理する管理装置とを利用し、更に、前記第１の検査端末は、前記管理装置から送られてくる検査シーケンスデータを記憶する第１のデータ記憶手段と、前記第２の検査端末から送られたパケットの受信結果を記録する第１の受信結果記録手段とを有し、前記第２の検査端末は、前記管理装置から送られてくる検査シーケンスデータを記憶する第２のデータ記憶手段と、前記第１の検査端末から送られたパケットの受信結果を記録する第２の受信結果記録手段とを有した状態で、前記管理装置は、前記第１及び第２の検査端末に対して、前記第１及び第２の検査端末が所定のアルゴリズムで動作するための検査シーケンスデータを送信するデータ送信ステップを実行し、前記第１の検査端末は、前記検査シーケンスデータを受信する第１のデータ受信ステップと、前記第１のデータ受信ステップで受信した検査シーケンスデータを前記第１のデータ記憶手段に記憶するステップと実行し、前記第２の検査端末は、前記検査シーケンスデータを受信する第２のデータ受信ステップと、前記第２のデータ受信ステップで受信した検査シーケンスデータを前記第２のデータ記憶手段に記憶するステップとを実行し、前記第１の検査端末は、前記第１のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第２の検査端末に検査パケットを送信する検査パケット送信ステップを実行し、前記第２の検査端末は、前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記第１の検査端末から送信されてきた検査開始信号を受信したことを契機とした所定時間内に、前記検査パケットを受信するか否かを判断する検査パケット受信判断ステップと、前記検査パケット受信判断ステップによって判断した受信結果を第２の受信結果記録手段に記録するステップと、前記第２の受信結果記録手段に記録した受信結果を第２の検査結果データとして前記管理装置に送信する第２の検査結果送信ステップと、前記検査パケット受信判断ステップによって前記検査パケットを受信したと判断した場合には、前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第１の検査端末に対し、前記検査パケットを受信したことを前記第１の検査端末に通知するための応答パケットを送信する応答パケット送信ステップとを実行し、前記第１の検査端末は、前記検査パケット送信ステップによって検査パケットを送信したことを契機とした所定時間内に、前記応答パケットを受信するか否かを判断する応答パケット受信判断ステップと、前記応答パケット受信判断ステップによって判断した受信結果を前記第１の受信結果記録手段に記録するステップと、前記第１の受信結果記録手段に記録した受信結果を第１の検査結果データとして前記管理装置に送信する第１の検査結果送信ステップとを実行し、前記管理装置は、前記第１及び第２の検査端末から送られてきた第１及び第２の検査結果データに基づいて、検査結果の解析を行う解析ステップを実行することを特徴とするファイアウォール検査方法。
【００１５】
また、本発明は、前記管理装置の解析ステップは、前記第１の検査結果データが前記第１の検査端末によって所定時間内に応答パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記応答パケットの通過が阻まれたと解析し、前記第２の検査結果データが前記第２の検査端末によって所定時間内に検査パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記検査パケットの通過が阻まれたと解析することを特徴とする請求項４に記載のファイアウォール検査方法である。
【００１６】
また、本発明は、前記検査シーケンスデータは、第１の検査端末に送信させる検査パケットの種類と数を第２の検査端末に通知するためのデータであり、更に、前記第１の検査端末の検査パケット送信ステップは、全てのＩＰアドレスを送信元とすると共に全てのＩＰアドレスを送信先として組み合わせた検査パケットを送信し、前記第２の検査端末の検査パケット受信ステップは、全ての検査パケットを受信可能とすることを特徴とする請求項４又は５に記載のファイアウォール検査方法である。
【００１７】
また、本発明は、前記ファイアウォール検査方法で利用する装置及び検査端末に、請求項４乃至６のいずれかに記載の各ステップを実行させるためのファイアウォール検査用プログラムである。
【００１８】
ここで、本発明における「プログラム」とは、コンピュータによる処理に適した命令の順番付けられた列からなるものをいい、コンピュータのＨＤ(Hard Disk)、ＣＤ−ＲＷ等にインストールされているものや、ＣＤ−ＲＯＭ、ＤＶＤ、ＦＤ、半導体メモリ、コンピュータのＨＤＤ等の各種記録媒体に記録されているものや、インターネット等の外部ネットワークを介して配信されるものも含まれる。
【００１９】
また、本発明は、請求項７に記載のファイアウォール検査用プログラムを記録した、コンピュータ読み取り可能な記録媒体である。
【００２０】
ここで、本発明における「記録媒体」とは、上記コンピュータで上記ステップを実行させるためのプログラムの読み取りに使用することができればよく、情報を媒体の物理的特性を利用してどのように記録するか等の物理的な記録方法には依存しない。例えば、ＦＤ(Flexible Disk)、ＣＤ−ＲＯＭ（Ｒ，ＲＷ）(Compact Disc Read Only Memory(CD Recordable,CD Rewritable))、ＤＶＤ−ＲＯＭ（ＲＡＭ，Ｒ，ＲＷ）(Digital Versatile Disk Read Only Memory(DVD Random Access Memory,DVD Recordable,DVD Rewritable))、半導体メモリ、ＭＯ(Magneto Optical Disk)、ＭＤ(Mini Disk)、磁気テープ等が該当する。
【００２１】
【発明の実施の形態】
以下、図面を用いて、本発明の第１の実施形態について説明する。
【００２２】
図１は、本実施形態に係るファイアウォール検査システム１の全体構成図である。図１に示すように、各内部ネットワーク１００ａ，ｂ，ｃ（以下、これらの総称を示す場合は「内部ネットワーク１００」という）には、それぞれファイアウォール装置４３ａ，ｂ，ｃ（以下、これらの総称を示す場合は「ファイアウォール装置４３」という）を挟んで各内部ネットワーク１００内で、それぞれ検査端末Ａ４１ａ，ｂ，ｃ（以下、これらの総称を示す場合は「検査端末Ａ４１」という）と検査端末Ｂ４２ａ，ｂ，ｃ（以下、これらの総称を示す場合は「検査端末Ｂ４２」という）が接続されている。また、検査端末Ａ４１及び検査端末Ｂ４２に、本方法専用の管理用ネットワーク２００で接続された管理装置４０と、管理装置４０のユーザインタフェースを介して本方法の利用者がそれぞれ使用する管理端末４４ａ，ｂ，ｃ（以下、これらの総称を示す場合には「管理端末４４」という）によって構成されている。これらの管理端末４４ａ，ｂ，ｃは、それぞれファイアウォール装置４３ａ，ｂ，ｃの検査に使用される。尚、管理端末４４ａは、ファイアウォール装置４３ｂ，ｃの検査に使用される等、どの管理端末４４から、どのファイアウォール装置４３を管理してもよい。
【００２３】
図２は、図１に示すファイアウォール検査システム１におけるデータ等の流れを示した概略構成図である。また、図３は、図２中のファイアウォール装置４３のフィルタリングルールを示した図である。このようなルールをファイアウォール装置４３に設定している場合、発信元ＩＰアドレスが１９２．１６８．０．１、発信元ポートが任意（ａｎｙ）のポート、送信先ＩＰアドレスが１０．０．０．１、送信先ポート番号が８０のパケットはファイアウォール装置４３を通過することができ、発信元のＩＰアドレス、ポート番号、及び送信先ＩＰアドレスが全て任意（ａｎｙ）で、送信先ポート番号が１１０のパケットはファイアウォール装置４３を通過することができない。
【００２４】
この場合、検査端末Ａ４１は、１９２．１６８．０．０／２４のネットワークに接続され、検査端末Ｂ４２は、１０．０．０．０／８のネットワークに接続されている。このことは、検査端末Ａ４１，Ｂ４２が持つＩＰアドレスを制限するものではない。
【００２５】
また、管理端末４４は、利用者が管理装置４０に、図３に示すようなフィルタリングルール４５の入力を行うためのコンピュータである。管理装置４４は、管理装置４４から入力を受け付けたフィルタリングルール４５に基づいて、ファイアウォール装置の検査に必要な検査パケットの内容、検査パケットの数、検査パケットの送受信タイミング、及び、想定される検査パケットの通過・非通過の状態を分析し、図４に示すような検査シーケンスデータ４６を作成し、管理用ネットワーク２００を介して検査端末Ａ４１と検査端末Ｂ４２に渡すためのコンピュータである。本実施形態では、図４に示すように、検査シーケンスデータ４６として、送信元ＩＰアドレスが１９２．１６８．０．１、発信元ポート番号が任意、送信先ＩＰアドレスが１０．０．０．１、送信先ポート番号が１〜６５５３５を作成する。
【００２６】
また、検査シーケンスデータ４６を受け取った検査端末Ａ４１は、検査シーケンスデータ４６に従い、検査端末Ｂ４２に対して、検査パケット４７（発信元ＩＰアドレス：１９２．１６８．０．１、発信元ポート番号：仮にｘｘｘとする、送信先ＩＰアドレス：１０．０．０．１、送信先ポート番号：８０）を送信する一方、検査シーケンスデータ４６を受け取った検査端末Ｂ４２では、検査シーケンスデータ４６に従い、検査端末Ａ４１から送られて来るはずの検査パケット４７を、予め決められた所定時間待ち受ける。そして、図３に示すフィルタリングルール４５により、検査パケット４７はファイアウォール装置４３を通過し、所定時間内に検査端末Ｂ４２が検査パケット４７を受信出来れば、検査端末Ｂ４２では、受信した旨の受信結果を記録しておく。この受信結果は、第２の検査結果データ５０として管理端末４０に送信される。これにより、管理端末４０では、検査パケット４７が持っていたパラメータを持つパケットは、ファイアウォール装置４３の通過が許可されたと解析する。
【００２７】
次に、管理装置４０から検査シーケンスデータ４６を受け取った検査端末Ａ４１が、検査シーケンスデータ４６に従い、検査パケット４７（発信元アドレス：１９２．１６８．０．１発信元ポート番号：ｘｘｘ送信先アドレス：１０．０．０．１送信先ポート番号：１１０）を送出する。一方で検査端末Ｂ４２は、検査シーケンスデータ４６に従って、検査端末Ａ４１から送られてくるはずの検査パケット４７を決められた時間待ち受ける。図５のフィルタリングルールにより、検査パケット４７はファイアウォールを通過できない。その後、時間内に検査端末Ｂ４２が検査パケット４７を受信出来なかった場合には、検査端末Ｂ４２はファイアウォール装置４３によって検査パケット４７が通過を許可されずに遮断された（非通過）と判断し、その判断を記録する。
【００２８】
以上のようにして、検査端末Ａ４１が、図４に示されている検査シーケンスデータ４６のパケットを全て送出し終えると、管理装置４０は、管理端末４４に、発信元ＩＰアドレス：１９２．１６８．０．１、発信元ポート番号：ｘｘｘ、送信先アドレス：１０．０．０．１、送信先ポート番号：８０のパケットは、ファイアウォール装置４３を通過し、発信元ＩＰアドレス：１９２．１６８．０．１、発信元ポート番号：ｘｘｘ、送信先ＩＰアドレス：１０．０．０．１、送信先ポート番号：１１０のパケットは、ファイアウォール装置を通過しなかったという報告を管理端末４４に送信して、管理端末４４で、結果表示が行われる。また、管理装置４０は、利用者が入力したフィルタリングルール４５と実際に検査した結果が異なっている場合には、その点についても結果報告に含めて利用者に通知する。
【００２９】
尚、ファイアウォール装置４３における検査パケットの通過・非通過の解析は、検査端末Ｂ４２で行って、解析結果を管理装置に送信してもよい。
【００３０】
続いて、図５及び図６を用いて、本実施形態の動作について説明する。図５は、本実施形態に係るファイアウォール検査方法を示したシーケンス図である。また、図６は、本実施形態に係る装置及び端末での処理を示した処理フロー図である。
【００３１】
尚、下記ステップは、管理装置４０に記録されたプログラム(p0)、検査端末Ａに記録されたプログラム(p1)、検査端末Ｂに記録されたプログラム(p2)を実行することで、行うことができる。
【００３２】
まず、図６に示すように、利用者が管理端末４４の画面に表示されたＧＵＩ(Graphical User Interface)を使って、検査対象となるファイアウォール装置４３のフィルタリングルール４５（図３）を入力する（ステップＳ１）。これにより、図５に示すように、入力データが管理装置４０に送られる。
【００３３】
次に、管理装置４０は、フィルタリングルール４５に基づいて、検査シーケンスデータ４６（図４）を作成する。ここで作成される検査シーケンスデータ４５は、複数のシーケンスを含むものであるが、それぞれの検査パターンは１組のパケットに関するやり取りしか示されておらず、正常なＴＣＰ，ＩＣＭＰ，ＵＤＰのプロトコルシーケンスに沿ったものとなっている。
【００３４】
次に、図５及び図６に示すように、管理装置４０は、検査端末Ａ４１、検査端末Ｂ４２に、上記作成された検査シーケンスデータ４５を送信して、配布する（ステップＳ３）。
【００３５】
次に、図６に示すように、検査端末Ａ４１は、上記受信した検査シーケンスデータ４６を検査シーケンスデータ記憶部１６１に記憶すると共に、検査端末Ｂ４２と検査開始の同期を取るための検査開始信号を検査端末Ｂ４２に送信する（ステップＳ４）。この検査シーケンスデータ記憶部１６１は、検査端末Ａ４１内の不図示のＨＤ(Hard Disk)の一部領域に構築されている。同様に、検査端末Ｂ４２は、上記受信した検査シーケンスデータ４６を検査シーケンスデータ記憶部１６２に記憶する（ステップＳ５）。この検査シーケンスデータ記憶部１６２は、検査端末Ｂ４２内の不図示のＨＤの一部領域に構築されている。
【００３６】
次に、検査端末Ａ４１では、検査シーケンスデータ記憶部１６１に記憶した検査シーケンスデータ４６の内容（検査シーケンスデータ４６で示されている送信元ＩＰアドレス及び送信先ＩＰアドレスの指定）に従い、ファイアウォール装置４３を介して検査端末Ｂ４２に検査パケット４７を送信する（ステップＳ６）。
【００３７】
次に、検査端末Ｂ４２では、図５に示すように、検査シーケンスデータ記憶部１６２に記憶した検査シーケンスデータ４６の内容に従い、検査端末Ａ４１から送信されてきた検査開始信号を受信したことを契機とした所定時間内に、検査パケット４７を受信するか否かを判断する（ステップＳ７）。そして、検査パケット４７を所定時間内に受信したと判断した場合には（ＹＥＳ）、検査シーケンスデータで示されているＩＰアドレスを使って、検査パケット４７を受信したことを検査端末Ａ４１に通知するための応答パケットを、ファイアフォール装置４３を介して検査端末Ａ４１に送信する（ステップＳ８）。
【００３８】
一方、検査端末Ａ４１では、上記ステップＳ６によって検査パケット４７を送信したことを契機とした所定時間内に、上記応答パケット４８を受信するか否かを判断する（ステップＳ９）。そして、所定時間内に応答パケット４８を受信したと判断した場合には（ＹＥＳ）、その旨を示す受信結果を受信結果記録部１５１に記録し、その後、この受信結果を検査結果データ４９として管理装置４０に送信することで、受信結果を管理装置４０に通知する（ステップＳ１０）。また、上記ステップＳ９において、所定時間内に応答パケット４８を受信しなかったと判断した場合には（ＮＯ）、その旨を示す受信結果を受信結果記録部１５１に記録し、その後、この受信結果を検査結果データ４９として管理装置４０に送信することで、受信結果を管理装置４０に通知する（ステップＳ１１）。尚、受信結果記録部１５１は、検査端末Ａ４１内の不図示のＨＤの一部領域に構築されている。
【００３９】
一方、検査端末Ｂ４２では、上記ステップＳ８により、検査パケット４７を受信した場合には、その旨を示す受信結果を受信結果記録部１５２に記録し、その後、この受信結果を検査結果データ５０として管理装置４０に送信することで、受信結果を管理装置４０に通知する（ステップＳ１２）。また、上記ステップＳ７において、所定時間内に検査パケット４７を受信しなかったと判断した場合には（ＮＯ）、その旨を示す受信結果を受信結果記録部１５２に記録し、その後、この受信結果を検査結果データ５０として管理装置４０に送信することで、受信結果を管理装置４０に通知する（ステップＳ１３）。尚、受信結果記録部１５２は、検査端末Ｂ４２内の不図示のＨＤの一部領域に構築されている。
【００４０】
一方、検査端末Ａ４１では、上記ステップＳ１０，１１後に、検査シーケンスデータ記憶部１６１内をチェックして、まだ検査シーケンスデータが残っているか否かを判断する（ステップＳ１４）。そして、まだ残っていると判断した場合には（ＹＥＳ）、上記ステップＳ６へ進んで同じ処理を繰り返し、もう残っていないと判断した場合には（ＮＯ）、受信結果記録部１５１内にこれまで記録された受信結果を検査結果データ４９として、管理装置４０に送信する（ステップＳ１６）。
【００４１】
一方、検査端末Ｂ４２では、上記ステップＳ１２，１３後に、検査シーケンスデータ記憶部１６２内をチェックして、まだ検査シーケンスデータが残っているか否かを判断する（ステップＳ１５）。そして、まだ残っていると判断した場合には（ＹＥＳ）、上記ステップＳ７へ進んで同じ処理を繰り返し、もう残っていないと判断した場合には（ＮＯ）、受信結果記録部１５２内にこれまで記録された受信結果を検査結果データ５０として、管理装置４０に送信する（ステップＳ１７）。尚、上記ステップＳ６，Ｓ７へ進んで同じ処理を繰り返す場合には、図５に示すように、検査パケット４７’及び応答パケット４８’の送受信を再び行う。
【００４２】
次に、管理装置４０は、検査端末Ａ６１と検査端末Ｂ６３から受け取った、検査結果データ（ＩＰアドレス、ポート番号の組に対するパケットの通過状況等）４９，５０を精査し、特定のＩＰアドレス、ポート番号の組に対するファイアウォール装置４３のフィルタリングルールの設定が、利用者が入力したポリシ通りか否かを解析し、この結果報告データ５１を管理端末４４に送信して、管理端末４４で解析結果を表示する（ステップＳ１８）。これにより、例えば、検査結果データ５０が所定時間内に検査パケット４７を受信しなかった旨の受信結果である場合には、ファイアウォール装置４３によって検査パケット４７の通過が阻まれたと解析することができる。
【００４３】
以上説明したように本実施形態によれば、内部ネットワーク内で検査端末Ａ４１，Ｂ４２によってファイアウォール装置４３を挟むと共に、管理装置４０から、内部ネットワーク１００とは別の管理用ネットワーク２００を介して、検査端末Ａ４１，Ｂ４２に対して検査シーケンスデータ４６と検査結果データ４９，５０の送受信を行い、しかも、検査端末Ｂ４２で所定時間だけ検査パケット４７の到着を待っているため、ファイアウォール装置４３で検査パケット４７が阻止されたのか、或いは、検査端末Ｂ４２で検査パケット４７が阻止されたのかを認識することができる。これにより、ファイアウォール装置４３のフィルタリングルールのうちパケットを通過させない設定になっている部分の検査を正確に行うことができるという効果を奏する。
【００４４】
尚、本実施形態において、検査端末Ａ４１で、送信元ＩＰアドレスを任意のアドレスに設定し、送信元ＩＰアドレスを任意に設定して、任意の送信元ＩＰアドレスと任意の送信先ＩＰアドレスを組み合わせた検査パケットを送出することによって、全てのＩＰアドレスの組に対するファイアウォール装置４３のフィルタリングルールの検査を実施することができる。相手先のＩＰアドレスを実際に利用しているホストが、内部ネットワーク上に存在していない場合には、ＩＰの仕様によりａｒｐ(Address Resolution Protocol)アドレスの解決が出来ないためにパケットが送出されないという問題があるが、この方法を採用すれば、検査対象となっているＩＰアドレスが内部ネットワーク上で利用されているか否かを検査端末Ｂ４２が認識しており、利用されていないＩＰアドレスに関するファイアウォール装置４３のフィルタリングルールの検査を行う場合には、検査端末Ｂ４２のＩＰアドレスを検査対象の利用されていないＩＰアドレスに自動的に変更して検査を実施することにより、内部ネットワーク上で利用されていないアドレスに関するファイアウォール装置４３のフィルタリングルールの検査を行うことが可能である。
【００４５】
即ち、検査端末Ａ４１からファイアウォール装置４３を挟んで反対側に、特定のＩＰアドレスを使っているホストコンピュータが実在しない場合でも、全てのパケットを取得することができ、しかも、検査端末Ａ４１，Ｂ４２が検査シーケンスデータ４６を共有しているため、検査端末Ｂ４２では、検査端末Ａ４１から送られてくる検査パケットの種類と数を正確に知ることができる。このため、全てのＩＰアドレスの組の検査パケットによりファイアウォール装置４３で通過許可、非許可の検査を行うことができるという効果を奏する。
〔第２の実施形態〕
以下、図７乃至図１１を用いて、本発明の第２の実施形態について説明する。
【００４６】
尚、上記第１の実施形態と同一構成、同一処理、同一機能等については、同一の符号を付して、その説明を省略する。
【００４７】
本実施形態は、ステートフルファイアウォール装置にも使用することができる例を示したものである。そのため、まず、図７及び図８を用い、ステートフルファイアウォール装置について説明する。
【００４８】
図７に示すように、特定のパケット２０３が検査端末Ａから検査端末Ｂ宛に送信されたときに、ステートフルファイアウォール装置でパケット２０３の通過が拒否される場合であっても、図８に示すように、まず通過可能な特定のパケット２０１を送信し、その応答パケット２０２がステートフルファイアウォール装置を通過すると、ステートフルファイアウォール装置内部で自動的にパケット２０３を通過させるようにフィルタリングルールが変更される。ステートフルファイアウォール装置は、このような高度なフィルタリングルールを記述することが可能なファイアウォール装置である。
【００４９】
次に、図９乃至図１１を用いて、本実施形態の内容について説明する。
【００５０】
図９は、ファイアウォール検査システム１’におけるデータ等の流れを示した概略構成図である。
【００５１】
本実施形態は、検査シーケンスデータ４６’に、検査端末Ａ４１，Ｂ４２の計算機資源の許す限りのパケットのやり取りに関するデータを記述することによって、ステートフルファイアウォール装置４３’の検査も実施できるものである。
【００５２】
上記第１の実施形態では、検査端末Ａ４１，Ｂ４２間の１往復のパケットの通過した状態でのファイアウォールにおける検査パケットの通過、非通過だけでなく、図１０に示すように複数のパケットのやり取りに関して記述されているシーケンスを複数持つ検査シーケンスデータ４６’を用いることによって、単一若しくは多数のパケットが通過した後の状態でのステートフルファイアウォール装置４３’における検査パケット４７の通過、非通過に関する状態も正確に認識することができる。
【００５３】
続いて、図１１を用いて、本実施形態の動作について説明する。
【００５４】
まず、本実施実施形態におけるステップＳ２１〜Ｓ３３は、上記第１の実施形態におけるステップＳ１〜Ｓ１３とそれぞれ同じ処理を行う。但し、検査シーケンスデータ４６’が、利用者により入力されたステートフルファイアウォール装置４３’用のフィルタリングルール４５’に従って、図１０に示すような内容になっている。この検査シーケンスデータ４６’は、検査シーケンスデータを構成する複数のシーケンスの中に、更に、様々な検査パケットを送信するためのパケット情報が含まれている。
【００５５】
そして、検査端末Ａ４１では、ステップＳ３０，Ｓ３１の後に、検査シーケンスデータ記憶部１６１に記憶されている検査シーケンスデータ４６’を参照して、検査パケットが残っているか否かを判断する（ステップＳ３４）。この判断の結果、検査パケットが残っている場合には（ＮＯ）、ステップＳ２６に戻って処理を繰り返す。また、検査パケットが残っておらず、シーケンス中のパケットが全て処理し終わった場合には（ＹＥＳ）、ステップＳ３６に進む。
【００５６】
一方、検査端末Ｂ４２においても、ステップＳ３２，Ｓ３３の後に、検査シーケンスデータ記憶部１６２に記憶されている検査シーケンスデータ４６’を参照して、検査パケットが残っているか否かを判断する（ステップＳ３５）。この判断の結果、検査パケットが残っている場合には（ＮＯ）、ステップＳ２７に戻って処理を繰り返す。また、検査パケットが残っておらず、シーケンス中のパケットが全て処理し終わった場合には（ＹＥＳ）、ステップＳ３７に進む。
【００５７】
そして、その後のステップＳ３６〜Ｓ４０は、上記第１の実施形態におけるステップＳ１４〜Ｓ１８とそれぞれ同じ処理を行う。
【００５８】
以上説明したように本実施形態によれば、上記第１の実施形態の効果に加え、更に、図１０に示すように、検査シーケンスデータ４６’は、検査シーケンスデータを構成する複数のシーケンスの中に、更に、様々な検査パケットを送信するためのパケット情報が含まれているため、過去の通信状態を加味してパケットの通過の可否を決定するような高度なフィルタリングルールを持ったステートフルファイアウォール装置４３’の検査も行うことができるという効果を奏する。
【００５９】
尚、第１及び第２の実施形態では、図１に示すように、１つの管理装置４０によって一組の検査端末Ａ，Ｂを管理しているが、一組、二組、或いは、四組以上の検査端末Ａ，Ｂを管理してもよい。
【００６０】
また、第１及び第２の実施形態では、検査端末Ａ，Ｂの２台を一組としてが、これに限るものではなく、３台、或いは４台以上の検査端末を一組として、同じ内部ネットワーク１００内で、様々な検査を行うようにしてもよい。更に、第１及び第２の実施形態においては、ＴＣＰ，ＵＤＰ，ＩＣＭＰパケットにおける各種パラメータを任意の値に設定した検査パケットを送信してもよい。これにより、通常のやり取りでは生成されないパラメータを有したＴＣＰ，ＵＤＰ，ＩＣＭＰを検査パケットとして生成して、異常なパラメータを有したＴＣＰ，ＵＤＰ，ＩＣＭＰパケットがファイアウォール装置４３，４３’の通過を許可されるか否かを検査することが出来る。異常なパラメータとして設定できる項目例を表１に示している。
【００６１】
【表１】
【００６２】
【発明の効果】
以上説明したように本発明によれば、内部ネットワーク内で第１及び第２の検査端末によってファイアウォール装置を挟むと共に、管理装置から、内部ネットワークとは別の管理用ネットワークを介して、第１及び第２の検査端末に対して検査シーケンスデータと検査結果データの送受信を行い、しかも、第２の検査端末で所定時間だけ検査パケットの到着を待っているため、ファイアウォール装置で検査パケットが阻止されたのか、或いは、第２の検査端末で検査パケットが阻止されたのかを認識することができる。これにより、ファイアウォール装置のフィルタリングルールのうちパケットを通過させない設定になっている部分の検査を正確に行うことができるという効果を奏する。
【図面の簡単な説明】
【図１】本発明に係るファイアウォール検査システム１、１’の全体構成図。
【図２】第１の実施形態に係るファイアウォール検査システム１におけるデータ等の流れを示した概略構成図。
【図３】図２中のファイアウォール装置４３のフィルタリングルールを示した図。
【図４】第１の実施形態に係る検査シーケンスデータの内容を示した図。
【図５】第１の実施形態に係るファイアウォール検査方法を示したシーケンス図。
【図６】第１の実施形態に係る装置及び端末での処理を示した処理フロー図。
【図７】ステートフルファイアウォール装置の説明に使用する図。
【図８】ステートフルファイアウォール装置の説明に使用する図。
【図９】第２の実施形態に係るファイアウォール検査システム１におけるデータ等の流れを示した概略構成図。
【図１０】第２の実施形態に係る検査シーケンスデータの内容を示した図。
【図１１】第２の実施形態に係る装置及び端末での処理を示した処理フロー図。
【図１２】従来のファイアウォール検査システムにおけるデータ等の流れを示した概略構成図。
【符号の説明】
４０ 管理装置
４１ 検査端末Ａ
４２ 検査端末Ｂ
４３ ファイアウォール装置
４４ 管理端末
４５ フィルタリングルール
４６ 検査シーケンスデータ
４７ 検査パケット
４８ 応答パケット
４９ 検査結果データ
５０ 検査結果データ
５１ 結果報告
Claims (8)
- 外部からの不正アクセスなどから内部ネットワークを守るファイアウォール装置の検査を行うためのファイアウォール検査システムにおいて、
前記ネットワーク内で前記ファイアウォール装置を挟んで接続可能な第１の検査端末及び第２の検査端末と、当該第１及び第２の検査端末の動作を管理する管理装置とを有し、更に、
前記管理装置は、
前記第１及び第２の検査端末に対して、前記第１及び第２の検査端末が所定のアルゴリズムで動作するための検査シーケンスデータを送信するデータ送信手段を有し、
前記第１の検査端末は、
前記検査シーケンスデータを受信する第１のデータ受信手段と、
前記第１のデータ受信手段で受信した検査シーケンスデータを記憶する第１のデータ記憶手段とを有し、
前記第２の検査端末は、
前記検査シーケンスデータを受信する第２のデータ受信手段と、
前記第２のデータ受信手段で受信した検査シーケンスデータを記憶する第２のデータ記憶手段とを有し、
前記第１の検査端末は、
前記第１のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第２の検査端末に検査パケットを送信する検査パケット送信手段を有し、
前記第２の検査端末は、
前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記第１の検査端末から送信されてきた検査開始信号を受信したことを契機とした所定時間内に、前記検査パケットを受信するか否かを判断する検査パケット受信判断手段と、
前記検査パケット受信判断手段によって判断した受信結果を記録する第２の受信結果記録手段と、
前記第２の受信結果記録手段に記録した受信結果を第２の検査結果データとして前記管理装置に送信する第２の検査結果送信手段と、
前記検査パケット受信判断手段によって前記検査パケットを受信したと判断した場合には、前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第１の検査端末に対し、前記検査パケットを受信したことを前記第１の検査端末に通知するための応答パケットを送信する応答パケット送信手段とを有し、
前記第１の検査端末は、
前記検査パケット送信手段によって検査パケットを送信したことを契機とした所定時間内に、前記応答パケットを受信するか否かを判断する応答パケット受信判断手段と、
前記応答パケット受信判断手段によって判断した受信結果を記録する第１の受信結果記録手段と、
前記第１の受信結果記録手段に記録した受信結果を第１の検査結果データとして前記管理装置に送信する第１の検査結果送信手段と、 前記管理装置は、
前記第１及び第２の検査端末から送られてきた第１及び第２の検査結果データに基づいて、検査結果の解析を行う解析手段を有する
ことを特徴とするファイアウォール検査システム。 - 前記管理装置の解析手段は、
前記第１の検査結果データが前記第１の検査端末によって所定時間内に応答パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記応答パケットの通過が阻まれたと解析し、
前記第２の検査結果データが前記第２の検査端末によって所定時間内に検査パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記検査パケットの通過が阻まれたと解析する
ことを特徴とする請求項１に記載のファイアウォール検査システム。 - 前記検査シーケンスデータは、第１の検査端末に送信させる検査パケットの種類と数を第２の検査端末に通知するためのデータであり、更に、
前記第１の検査端末の検査パケット送信手段は、全てのＩＰアドレスを送信元とすると共に全てのＩＰアドレスを送信先として組み合わせた検査パケットを送信し、
前記第２の検査端末の検査パケット受信手段は、全ての検査パケットを受信可能とする
ことを特徴とする請求項１又は２に記載のファイアウォール検査システム。 - 外部からの不正アクセスなどから内部ネットワークを守るファイアウォール装置の検査を行うためのファイアウォール検査方法において、
前記ネットワーク内で前記ファイアウォール装置を挟んで接続可能な第１の検査端末及び第２の検査端末と、当該第１及び第２の検査端末の動作を管理する管理装置とを利用し、更に、
前記第１の検査端末は、前記管理装置から送られてくる検査シーケンスデータを記憶する第１のデータ記憶手段と、前記第２の検査端末から送られたパケットの受信結果を記録する第１の受信結果記録手段とを有し、
前記第２の検査端末は、前記管理装置から送られてくる検査シーケンスデータを記憶する第２のデータ記憶手段と、前記第１の検査端末から送られたパケットの受信結果を記録する第２の受信結果記録手段とを有した状態で、
前記管理装置は、
前記第１及び第２の検査端末に対して、前記第１及び第２の検査端末が所定のアルゴリズムで動作するための検査シーケンスデータを送信するデータ送信ステップを実行し、
前記第１の検査端末は、
前記検査シーケンスデータを受信する第１のデータ受信ステップと、
前記第１のデータ受信ステップで受信した検査シーケンスデータを前記第１のデータ記憶手段に記憶するステップと実行し、
前記第２の検査端末は、
前記検査シーケンスデータを受信する第２のデータ受信ステップと、
前記第２のデータ受信ステップで受信した検査シーケンスデータを前記第２のデータ記憶手段に記憶するステップとを実行し、 前記第１の検査端末は、
前記第１のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第２の検査端末に検査パケットを送信する検査パケット送信ステップを実行し、
前記第２の検査端末は、
前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記第１の検査端末から送信されてきた検査開始信号を受信したことを契機とした所定時間内に、前記検査パケットを受信するか否かを判断する検査パケット受信判断ステップと、
前記検査パケット受信判断ステップによって判断した受信結果を第２の受信結果記録手段に記録するステップと、
前記第２の受信結果記録手段に記録した受信結果を第２の検査結果データとして前記管理装置に送信する第２の検査結果送信ステップと、
前記検査パケット受信判断ステップによって前記検査パケットを受信したと判断した場合には、前記第２のデータ記憶手段に記憶した検査シーケンスデータの内容に従い、前記ファイアウォール装置を介して前記第１の検査端末に対し、前記検査パケットを受信したことを前記第１の検査端末に通知するための応答パケットを送信する応答パケット送信ステップとを実行し、
前記第１の検査端末は、
前記検査パケット送信ステップによって検査パケットを送信したことを契機とした所定時間内に、前記応答パケットを受信するか否かを判断する応答パケット受信判断ステップと、
前記応答パケット受信判断ステップによって判断した受信結果を前記第１の受信結果記録手段に記録するステップと、
前記第１の受信結果記録手段に記録した受信結果を第１の検査結果データとして前記管理装置に送信する第１の検査結果送信ステップとを実行し、
前記管理装置は、
前記第１及び第２の検査端末から送られてきた第１及び第２の検査結果データに基づいて、検査結果の解析を行う解析ステップを実行する ことを特徴とするファイアウォール検査方法。 - 前記管理装置の解析ステップは、
前記第１の検査結果データが前記第１の検査端末によって所定時間内に応答パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記応答パケットの通過が阻まれたと解析し、
前記第２の検査結果データが前記第２の検査端末によって所定時間内に検査パケットを受信しなかった旨の受信結果である場合には、前記ファイアウォール装置によって前記検査パケットの通過が阻まれたと解析する
ことを特徴とする請求項４に記載のファイアウォール検査方法。 - 前記検査シーケンスデータは、第１の検査端末に送信させる検査パケットの種類と数を第２の検査端末に通知するためのデータであり、更に、
前記第１の検査端末の検査パケット送信ステップは、全てのＩＰアドレスを送信元とすると共に全てのＩＰアドレスを送信先として組み合わせた検査パケットを送信し、
前記第２の検査端末の検査パケット受信ステップは、全ての検査パケットを受信可能とする
ことを特徴とする請求項４又は５に記載のファイアウォール検査方法。 - 前記ファイアウォール検査方法で利用する装置及び検査端末に、請求項４乃至６のいずれかに記載の各ステップを実行させるためのファイアウォール検査用プログラム。
- 請求項７に記載のファイアウォール検査用プログラムを記録した、コンピュータ読み取り可能な記録媒体。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003114714A JP3802004B2 (ja) | 2003-04-18 | 2003-04-18 | ファイアウォール検査システム、ファイアウォール検査方法、ファイアウォール検査用プログラム、及びファイアウォール検査用記録媒体 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2003114714A JP3802004B2 (ja) | 2003-04-18 | 2003-04-18 | ファイアウォール検査システム、ファイアウォール検査方法、ファイアウォール検査用プログラム、及びファイアウォール検査用記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2004320644A JP2004320644A (ja) | 2004-11-11 |
| JP3802004B2 true JP3802004B2 (ja) | 2006-07-26 |
Family
ID=33474205
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2003114714A Expired - Lifetime JP3802004B2 (ja) | 2003-04-18 | 2003-04-18 | ファイアウォール検査システム、ファイアウォール検査方法、ファイアウォール検査用プログラム、及びファイアウォール検査用記録媒体 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3802004B2 (ja) |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114374569B (zh) * | 2022-03-22 | 2022-07-05 | 北京指掌易科技有限公司 | 一种报文的检测方法、装置、电子设备和存储介质 |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH10285165A (ja) * | 1997-03-31 | 1998-10-23 | Mitsubishi Electric Corp | ネットワーク試験システム |
| JP2000151602A (ja) * | 1998-11-18 | 2000-05-30 | Hitachi Ltd | ネットワーク設定検査システム |
| US7016980B1 (en) * | 2000-01-18 | 2006-03-21 | Lucent Technologies Inc. | Method and apparatus for analyzing one or more firewalls |
| US6473763B1 (en) * | 2000-03-31 | 2002-10-29 | International Business Machines Corporation | System, method and computer program for filtering multi-action rule set |
| JP3851164B2 (ja) * | 2001-12-28 | 2006-11-29 | 沖電気工業株式会社 | 装置間導通試験方法および装置 |
-
2003
- 2003-04-18 JP JP2003114714A patent/JP3802004B2/ja not_active Expired - Lifetime
Also Published As
| Publication number | Publication date |
|---|---|
| JP2004320644A (ja) | 2004-11-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US11588841B2 (en) | Generating malicious network traffic detection models using cloned network environments | |
| JP4658340B2 (ja) | ネットワークゲートウェイの解析方法及び装置 | |
| CN111585845B (zh) | 一种网卡节点性能的检测方法、装置、设备及可读介质 | |
| US9491052B2 (en) | Topology aware smart merge | |
| US11616793B2 (en) | System and method for device context and device security | |
| US20110138470A1 (en) | Automated testing for security vulnerabilities of devices | |
| EP3420700A1 (en) | Systems and methods for attack simulation on a production network | |
| CN106603507A (zh) | 一种自动化完成网络安全自检的方法及系统 | |
| CN109286511B (zh) | 数据处理的方法及装置 | |
| CN107809433A (zh) | 资产管理方法及装置 | |
| US10523549B1 (en) | Method and system for detecting and classifying networked devices | |
| CN115086208A (zh) | 一种网卡检测方法、装置及电子设备和存储介质 | |
| JP3802004B2 (ja) | ファイアウォール検査システム、ファイアウォール検査方法、ファイアウォール検査用プログラム、及びファイアウォール検査用記録媒体 | |
| EP4128666B1 (en) | Network traffic capture | |
| Wala et al. | “Off-Label” Use of DNS | |
| CN104468861B (zh) | 终端识别的方法、装置及系统 | |
| CN119210808A (zh) | 一种检测终端内网外联的方法、装置及相关设备 | |
| CN102457430B (zh) | 网络封包处理方法及路由设备 | |
| CN112019361A (zh) | 访问控制列表的迁移方法及装置，存储介质和电子设备 | |
| JP5994459B2 (ja) | 情報処理装置、通信制御方法及び通信制御プログラム | |
| CN112468356B (zh) | 路由器接口测试方法、装置、电子设备和存储介质 | |
| JP5655185B2 (ja) | マルウェア感染端末検知装置、マルウェア感染端末検知方法及びマルウェア感染端末検知プログラム | |
| CN114827086A (zh) | 一种探测ip发现方法、装置、设备及存储介质 | |
| CN115065613A (zh) | 一种基于防火墙配置的网络连通性分析系统及分析方法 | |
| CN115022217A (zh) | 一种网卡检测方法、装置及电子设备和存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20051102 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20051115 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20051220 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20060411 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20060426 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 3802004 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090512 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100512 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100512 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110512 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120512 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130512 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140512 Year of fee payment: 8 |
|
| S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
| R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
| EXPY | Cancellation because of completion of term |