JP4290198B2

JP4290198B2 - 信頼できるプロセスを許可する柔軟なネットワークセキュリティシステム及びネットワークセキュリティの方法

Info

Publication number: JP4290198B2
Application number: JP2006546833A
Authority: JP
Inventors: ドンヒョクリ
Original assignee: インカインターネットカンパニーリミテッド
Priority date: 2003-12-31
Filing date: 2004-12-27
Publication date: 2009-07-01
Anticipated expiration: 2024-12-27
Also published as: US20070226788A1; JP2007517305A; US8544078B2; US20190173842A1; KR20050083204A; US10218676B2; US10972432B2; KR100522138B1; US20130283366A1; WO2005064842A1

Description

本発明は、信頼できるプロセスを許可する柔軟なネットワークセキュリティシステム及びその方法に係り、より詳しくは、インターネット接続ファイアウォールに、通信が許可されたプログラムによって使用されるポートを自動で追加及び除去するようにして、専門家でないユーザであっても簡単にインターネット接続ファイアウォールの優れた機能を使用することができるようにする、ネットワークセキュリティシステム及びその方法に関するものである。

ファイアウォール（Ｆｉｒｅｗａｌｌ）は、ネットワークと外部との間の保護境界線のようなセキュリティシステムである。

図１は、マイクロソフト（Ｍｉｃｒｏｓｏｆｔ）社によりウィンドウズ（登録商標）ＸＰ（ＷｉｎｄｏｗｓＸＰ（登録商標））バージョンから基本的に提供されている、コンピュータとネットワークとを保護するためのインターネット接続ファイアウォール（ＩＣＦ：ＩｎｔｅｒｎｅｔＣｏｎｎｅｃｔｉｏｎＦｉｒｅｗａｌｌ）を示す図である。

このようなインターネット接続ファイアウォールは、ネットワークまたは小規模ネットワークとインターネットとの間に通信される情報の制限条件を設定するのに使用されるソフトウェアであって、インターネットに接続された単独のコンピュータのインターネットへの接続を保護する。

一方、従来のインターネット接続ファイアウォールは、ステートフル（Ｓｔａｔｅｆｕｌ）ファイアウォールである。ステートフルファイアウォールとは、対応する経路を通過する通信のすべてを監視し、処理される各メッセージの原本、対象アドレス及びポートを検査するファイアウォールである。

インターネット接続ファイアウォールは、外部へ送信されるトラフィック（アウトバウンドトラフィック）を許可し、外部から受信されるトラフィック（インバウンドトラフィック）を遮断することにより、インターネット接続ファイアウォール内のネットワークを外部から見えないようにする。このため、パーソナルコンピュータ（ＰＣ：ＰｅｒｓｏｎａｌＣｏｍｐｕｔｅｒ）ファイアウォールでは、この機能をステルス（Ｓｔｅａｌｔｈ）機能とも言う。

以下に、インターネット接続ファイアウォールの動作を簡略に説明する。

インターネット接続ファイアウォールは、望まないトラフィックが個人接続を通じて入力されないようにするために、インターネット接続ファイアウォールコンピュータから発信されたトラフィックを追跡し、通信テーブルを保存する。さらに、インターネットのすべてのインバウンドトラフィックはテーブルにある項目と比較される。テーブルに一致する項目が存在し、通信の発信元がユーザのコンピュータであることが証明された場合にのみ、インバウンドインターネットトラフィックは、ネットワークコンピュータに接続される。

これに対し、インターネット接続がファイアウォール許可リストで許可されないものであれば、インターネット接続ファイアウォールは接続を切断する。したがって、望まない通信を自動的に取り消すことで、ポートスキャニング（ＰｏｒｔＳｃａｎｎｉｎｇ）のような一般的なハッキングを遮断することができる。

このような例を調べるために、例えば、インターネット接続ファイアウォールコンピュータをリナックス（Ｌｉｎｕｘ）のｎｍａｐスキャニングツールでスキャンすると、インターネット接続ファイアウォールコンピュータは、どのようなスキャン動作に対しても応答しないため、ｎｍａｐは、すべてのスキャンに対してターゲットコンピュータがネットワーク上に存在しないと判断し、‘ＨｏｓｔＳｅｅｍｓＤｏｗｎ’というメッセージを出力する。このように、インターネット接続ファイアウォールは、望まない通信を自動的に取り消すことにより、ポートスキャニングのような一般的なハッキングを遮断する。

一方、ウェブサービスを提供するコンピュータにインターネット接続ファイアウォールが組み込まれた場合、このようなインターネット接続ファイアウォールがインバウンドトラフィックを遮断するため、インターネット接続は切断され、正常なウェブサービスを提供することができなくなる。この問題を解決するために、インターネット接続ファイアウォールは、サービスが使用する８０番ポートへのインバウンドトラフィックを許可することにより、正常なウェブサービスを提供できるようにしている。

このように、インターネット接続ファイアウォールは、サービスとプロトコルとを追加することで、正常なサービスを使用することができ、ＰＣファイアウォールでもこのような機能を提供する。

一方、以下にこのようなインターネット接続ファイアウォールにおける問題点を説明する。

ウェブサーバ、ＦＴＰ（ＦｉｌｅＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ）サーバ、テルネット（Ｔｅｌｎｅｔ）サーバ、Ｐ２Ｐ（ＰｅｅｒｔｏＰｅｅｒ）プログラム、リモートコントロールプログラム、メッセンジャープログラムなどの最近のインターネット使用ソフトウェアは、サービスを提供するサーバとして動作する。そして、このようにサーバとして動作するソフトウェアの数は急激に増加しており、多くの一般のユーザもこのようなソフトウェアを使用する傾向にある。

しかし、大部分のユーザは、上記のようなサーバとして動作するソフトウェアが正常に作動しなくなることを理由に、インターネット接続ファイアウォールまたはＰＣファイアウォールのステルス機能の使用を避けている。もちろん、図２のように、ウィンドウズ（登録商標）ＸＰでは、サーバとして動作するソフトウェアが使用するポート、プロトコル、インターネットプロトコル（ＩＰ：ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）などを追加することにより、対応するソフトウェアを正常に使用することができる。しかし、専門家でないユーザにとっては、サーバとして動作するポートを見つけることは難しいため、専門家でないユーザがこれらのソフトウェアを設定するのは難しい。

また、ソフトウェアのバージョンがアップグレードされる際に、サーバとして動作するポートが変更されることもあるため、正常なサービスが不意に中断されてしまうこともある。

このような様々な理由から、インターネット接続ファイアウォール及びＰＣファイアウォールのステルス機能は、ユーザから望まれている機能であるにもかかわらず、一般のユーザが使用することは難しいという問題点がある。

上記のような従来技術の問題点を解決するための本発明の目的は、通信の許可されたプログラムが使用するポートをインターネット接続ファイアウォールに自動的に追加または削除して、専門家でないユーザでも簡単にインターネット接続ファイアウォールの所望の機能を使用することが可能な、ネットワークセキュリティシステム及びその方法を提供することにある。

上記の目的を達成するために、本発明は、ネットワーク間で通信される情報の制限条件を設定することによって、ネットワークに接続されたコンピュータの当該ネックワーク接続を保護するファイアウォールを用いて信頼できるプロセスを許可するネットワークセキュリティシステムにおいて、ネットワーク通信プログラムを通じて使用されるサーバポート情報を抽出するポート監視部と；ファイアウォールによって通信が許可されるプログラムについての情報を抽出し、抽出された情報を登録する内部許可プログラム格納部と；ポート監視部が、内部許可プログラム格納部に登録されているプログラムを用いて、使用されるサーバポートについての情報を抽出した場合、抽出されたサーバポート情報を登録する内部許可ポート格納部と；インバウンドトラフィックのパケットの目的地であるポートが内部許可ポート格納部に登録されているか否かを判断し、登録されていないポートであれば当該パケットをファイアウォールに伝送し、登録されているポートであれば当該パケットが前記ファイアウォールを迂回するようにするファイアウォール柔軟化装置と；を含むことを特徴とする、ネットワークセキュリティシステムを提供する。

また、上記目的を達成するため、本発明は、ネットワーク間で通信される情報の制限条件を設定することで、ネットワークに接続されたコンピュータの当該ネックワーク接続を保護するファイアウォールを用いて、信頼できるプロセスを許可するネットワークセキュリティの方法において、ネットワーク通信プログラムを通じて使用されるサーバポート情報を抽出する第１段階と；ファイアウォールで通信が許可されるプログラムについての情報を抽出し、抽出された情報を内部許可プログラム格納部に登録する第２段階と；第１段階において、内部許可プログラム格納部に登録されているプログラムを用いて、使用するサーバポートについての情報を抽出した場合、抽出されたサーバポート情報を内部許可ポート格納部に登録する第３段階と；インバウンドトラフィックのパケットの目的地であるポートが内部許可ポート格納部に登録されているか否かを判断する第４段階と；第４段階での判断の結果、登録されていないポートであれば、当該パケットをファイアウォールに伝送する第５段階と；前記第４段階での判断の結果、登録されているポートであれば、当該パケットがファイアウォールを迂回するようにする第６段階と；を含むことを特徴とする、ネットワークセキュリティの方法を提供する。

また、上記目的を達成するため、本発明は、ネットワーク間で通信される情報の制限条件を設定することで、ネットワークに接続されたコンピュータの当該ネックワーク接続を保護するファイアウォールを用いて、信頼できるプロセスを許可するネットワークセキュリティの方法であって、ネットワーク通信プログラムを通じて使用されるサーバポート情報を抽出する第１段階と；ファイアウォールで通信が許可されるプログラムについての情報を抽出し、抽出された情報を内部許可プログラム格納部に登録する第２段階と；第１段階において、内部許可プログラム格納部に登録されているプログラムを用いて、使用するサーバポートについての情報を抽出した場合、抽出されたサーバポート情報を内部許可ポート格納部に登録する第３段階と；インバウンドトラフィックのパケットの目的地であるポートが内部許可ポート格納部に登録されているか否かを判断する第４段階と；第４段階での判断の結果、登録されていないポートであれば、当該パケットをファイアウォールに伝送する第５段階と；第４段階での判断の結果、登録されているポートであれば、当該パケットがファイアウォールを迂回するようにする第６段階と；を含むことを特徴とする、ネットワークセキュリティの方法を実行することができるコンピュータによって読取可能な記録媒体を提供する。

ＴＣＰ（ＴｒａｎｓｍｉｓｓｉｏｎＣｏｎｔｒｏｌＰｒｏｔｏｃｏｌ）を用いて通信する場合、望ましくは、上記第１段階は、ソケットがサーバとして動作するためにリスン（Ｌｉｓｔｅｎ）を実行する時、フッキング（Ｈｏｏｋｉｎｇ）を行うことでリスンポートを抽出する。

ＵＤＰ（ＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ）を用いて通信する場合、望ましくは、上記第１段階は、ソケットがパケットを受信するために関連する関数を呼び出す時、ユーザモード（ＵｓｅｒＭｏｄｅ）でフッキングを実行することで、サーバポートを抽出する。

以上説明したように本発明によれば、通信の許可されたプログラムが使用するポートをインターネット接続ファイアウォールに自動的に追加または削除することにより、専門家でないユーザでも簡単にインターネット接続ファイアウォールの優れた機能を使用することができる。

以下、添付図面を参照しながら、本発明の一実施例による信頼できるプロセスを許可する柔軟なネットワークセキュリティシステム及びその方法をより詳細に説明する。

まず、本発明の背景技術に関連する技術を簡略に説明する。

図３は、本発明に利用されるマイクロソフトウィンドウズ（登録商標）オペレーティングシステムのモード区分を示すブロック図である。

図３を参照すれば、マイクロソフト社が提供するウィンドウズ（登録商標）ＸＰでは、カーネルモード（ＫｅｒｎｅｌＭｏｄｅ）とユーザモード（ＵｓｅｒＭｏｄｅ）とが提供される。カーネルモードでは、オペレーティングシステムカーネルと各種のデバイスドライバ（ＤｅｖｉｃｅＤｒｉｖｅｒ）が実行され、ユーザモードでは、主にアプリケーション（Ａｐｐｌｉｃａｔｉｏｎ）が実行される。そして、カーネルモードで動作するプログラムはデバイスドライバの形態で存在する。

マイクロソフトウィンドウズ（登録商標）オペレーティングシステムでサポートされているカーネルモードネットワーク構造は、ウィンドウズ（登録商標）ソケット（Ｓｏｃｋｅｔ）のカーネル部分であるＡＦＤ（ａｆｄ．ｓｙｓ）、ＮＤＩＳ（ＮＤＩＳ：ＮｅｔｗｏｒｋＤｒｉｖｅｒＩｎｔｅｒｆａｃｅＳｐｅｃｉｆｉｃａｔｉｏｎ）及びＴＤＩ（ＴＤＩ：ＴｒａｎｓｐｏｒｔＤｒｉｖｅｒＩｎｔｅｒｆａｃｅ）を含む。

カーネルモードで最上位層に存在するａｆｄ．ｓｙｓは、ウィンドウズ（登録商標）ソケットにおいてユーザモードの最下位層に存在する動的リンクライブラリ（ＤＬＬ：ＤｙｎａｍｉｃＬｉｎｋＬｉｂｒａｒｙ）であるｍｓａｆｄ．ｄｌｌと通信し、下位層にあるＴＤＩとインタフェースを形成する。

ＴＤＩは、プロトコルスタック（Ｓｔａｃｋ）の上位に存在するカーネルモードインタフェースを定義する。ＮＤＩＳは、ネットワークインタフェースカードデバイスドライバ（ＮＩＣＤＤｓ：ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄＤｅｖｉｃｅＤｒｉｖｅｒｓ）のために、標準インタフェースを提供する。

以下、マイクロソフトウィンドウズ（登録商標）オペレーティングシステムのユーザモードにおけるファイアウォール構築方法を簡単に説明する。

フッキング（Ｈｏｏｋｉｎｇ）とは、フッキングしようとする関数のアドレスを格納し、元の関数のアドレスをユーザが作成した関数のアドレスで置き換え、これにより、ユーザが作成した関数を先に実行し、その後に元の関数を実行するという周知のプログラミング方法である。

（１）ＬＳＰ（ＷｉｎｓｏｃｋＬａｙｅｒｅｄＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒ）：この方法は、マイクロソフト社から提供されている方法であって、ＱＯＳ（ＱｕａｌｉｔｙＯｆＳｅｒｖｉｃｅ）、ＵＲＬフィルタリング及びデータストリーム（ＤａｔａＳｔｒｅａｍ）の暗号化に多く用いられる、マイクロソフトネットワーキング内のコンポーネントであるＳＰＩ（ＳｅｒｖｉｃｅＰｒｏｖｉｄｅｒＩｎｔｅｒｆａｃｅ）に基づくものである。

（２）ウィンドウズ（登録商標）２０００パケットフィルタリングインタフェース（Ｗｉｎｄｏｗｓ２０００ＰａｃｋｅｔＦｉｌｔｅｒｉｎｇＩｎｔｅｒｆａｃｅ）：ウィンドウズ（登録商標）２０００は、フィルタデスクリプタ（ＦｉｌｔｅｒＤｅｓｃｒｉｐｔｏｒ）をインストールして、ユーザモードのアプリケーションプログラムがＩＰアドレス及びポート情報を基に許可または遮断する方法を用いる。

（３）ＷｉｎｓｏｃｋＤｌｌ置換：この方法は、マイクロソフトウィンドウズ（登録商標）のＷｉｎｓｏｃｋＤＬＬをユーザが作成したＤＬＬで置き換えることにより、フィルタリングする方法に基づく。

（４）グローバル関数フッキング（ＧｌｏｂａｌＦｕｎｃｔｉｏｎＨｏｏｋｉｎｇ）：この方法は、Ｃｏｎｎｅｃｔ、Ｌｉｓｔｅｎ、Ｓｅｎｄ、Ｒｅｃｖ、Ｓｅｎｄｔｏ、およびＲｅｃｖｆｒｏｍのようなウィンドウズ（登録商標）のソケット関数、またはユーザモードのアプリケーションがカーネルモードのドライバと通信するために使用するＤｅｖｉｃｅＩｏＣｏｎｔｒｏｌ（）関数をフッキングする方法に基づく。

以下に、マイクロソフトウィンドウズ（登録商標）オペレーティングシステムのカーネルモードでファイアウォールを構築する方法を簡単に説明する。

（１）カーネルモードソケットフィルタ（ＫｅｒｎｅｌＭｏｄｅＳｏｃｋｅｔＦｉｌｔｅｒ）：この方式は、ユーザモードでウィンドウズ（登録商標）ソケットの最下位層のＤＬＬであるｍｓａｆｄ．ｄｌｌがカーネルモードウィンドウズ（登録商標）ソケットであるａｆｄ．ｓｙｓと通信するすべての入出力（Ｉ／Ｏ）をフッキングする方法に基づく。

（２）ＴＤＩフィルタドライバ：この方式は、ｔｃｐｉｐ．ｓｙｓドライバ（＼Ｄｅｖｉｃｅ＼ＲａｗＩｐ、＼Ｄｅｖｉｃｅ＼Ｕｄｐ、＼Ｄｅｖｉｃｅ＼Ｔｃｐ、＼Ｄｅｖｉｃｅ＼Ｉｐ、または＼Ｄｅｖｉｃｅ＼ＭＵＬＴＩＣＡＳＴなど）によって生成されたデバイスに、ＩｏＡｔｔａｃｋＤｅｖｉｃｅ（）ＡＰＩを適用して作成したフィルタドライバを利用する方法に基づく。または、ｔｃｐｉｐ．ｓｙｓのドライバオブジェクト（ＤｒｉｖｅｒＯｂｊｅｃｔ）にあるディスパッチテーブル（ＤｉｓｐａｔｃｈＴａｂｌｅ）を置き換えることによって、すべてのＩ／Ｏをフッキングする方法に基づく。

（３）ＮＤＩＳ中間ドライバ：マイクロソフト社からユーザに提供されている方法であって、ＴＣＰ／ＩＰのようなプロトコルドライバとＮＩＣドライバ間に挿入してファイアウォール、ＮＡＴ（ＮｅｔｗｏｒｋＡｄｄｒｅｓｓＴｒａｎｓｌａｔｉｏｎ）などを開発する方法である。

（４）ＮＤＩＳフッキングフィルタドライバ：ＮＤＩＳライブラリの関数をフッキングする方法であって、ＮｄｉｓＲｅｇｉｓｔｅｒＰｒｏｔｏｃｏｌ、ＮｄｉｓＤｅｒｅｇｉｓｔｅｒＰｒｏｔｏｃｏｌ、ＮｄｉｓＯｐｅｎＡｄａｐｔｅｒ、ＮｄｉｓＣｌｏｓｅＡｄａｐｔｅｒ及びＮｄｉｓＳｅｎｄのような関数をフッキングする方法、あるいはプロトコルドライバを登録するＮｄｉｓＲｅｇｉｓｔｅｒＰｒｏｔｏｃｏｌ関数を使用し、リターンされたＮｄｉｓＰｒｏｔｏｃｏｌＨａｎｄｌｅに基づいてＴＣＰ／ＩＰのような既存の登録されたプロトコルドライバリンクを見つけた後、ＮＤＩＳと通信するプロトコルドライバ及びＮＩＣドライバのＩ／Ｏをフッキングする方法に基づく。

本発明の実施形態にかかるインターネット接続ファイアウォールは、上述したカーネルモードソケットフィルタ、ＴＤＩフィルタドライバ、ＮＤＩＳ中間ドライバ、ＮＤＩＳフッキングフィルタドライバなどで実装されることができ、一般的にはＮＤＩＳ中間ドライバまたはＮＤＩＳフッキングフィルタドライバで実装される。

インターネット接続ファイアウォールは、インターネット接続ファイアウォールコンピュータを起点とするトラフィックを追跡することにより、ＩＰとポートのすべての通信テーブルを保存する。そして、インターネットのすべてのインバウンドトラフィックは、この通信テーブルに存在する項目と比較される。テーブルに一致する項目があり、従って、通信がユーザのコンピュータを起点とするものであることが証明される場合にだけ、インバウンドインターネットトラフィックは許可され、そうでない場合には遮断される。

このようなインバウンドトラフィックの許可は、フッキングされた元の関数のアドレスを呼び出すことにより行われる。これに対し、インバウンドトラフィックの遮断は、原関数を呼び出すことなく、原関数の呼び出しが成功または失敗したことを示す偽（ｆａｌｓｅ）のリターン値を伝送すること、あるいは、原関数を呼び出したが、関数の実行が正常になされないように誤った情報を提供することにより行われる。

前述したファイアウォールと関連する基本的な内容に基づいて、本発明で提示する信頼できるプロセスを許可する柔軟なネットワークセキュリティシステム及びその方法に対して説明する。

図４は、本発明の実施形態にかかるインターネット接続ファイアウォールの動作を簡略化したフローチャートであって、ポート監視部とインターネット接続ファイアウォールとをインストールし、許可プログラムリストを内部許可プログラム格納部に格納する過程を示すフローチャートである。

まず、ステップＳ４１０で、ポート監視部及びインターネット接続ファイアウォールをインストールする。

ＴＣＰの場合、ソケットがサーバとして動作するためにリスン（Ｌｉｓｔｅｎ）を実行する時、ポート監視部は、Ｗｉｎｓｏｃｋフッキングによってリスンポートを抽出する。さらに、ｍｓａｆｄ．ｄｌｌで対応する操作が実行されるとき、カーネルのソケット部分であるＡＦＤで対応する操作が実行されるとき、または、ＴＤＩのＴｄｉＳｅｔＥｖｅｎｔ（）を通じてＴＤＩ＿ＥＶＥＮＴ＿ＣＯＮＮＥＣＴが呼び出されるとき、ポート監視部はリスンポートを抽出する。

ユーザデータグラムプロトコル（ＵＤＰ：ＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ）の場合、ソケットがパケットを受信するためにｒｅｃｖｆｒｏｍを呼び出すと、ユーザモードでＷｉｎｓｏｃｋフッキングを通じてパケットを受信するためのサーバポートを抽出する。さらに、ＡＦＤでの続きの操作がカーネルモードに存在するとき、または、ＴＤＩで、これに対応するＴｄｉＳｅｔＥｖｅｍｔ（）を通じてＴＤＩ＿ＥＶＥＮＴ＿ＲＥＣＥＩＶＥ＿ＤＡＴＡＧＲＡＭが生成されるとき、パケットを受信するためのサーバポートを抽出する。

このようなポート監視部は、ユーザモードのＷｉｎｓｏｃｋフッキングによって、または、カーネルモードのカーネルモードソケットフィルタ、ＴＤＩフィルタドライバによってインストールされ、サーバポート情報、プロトコル情報（ＴＣＰ、ＵＤＰなど）及びＯＰＥＮ／ＣＬＯＳＥ情報を抽出する役割を果たす。

その後、インターネット接続ファイアウォールをインストールする。このようなインターネット接続ファイアウォールは、前述したように、カーネルモードソケットフィルタ、ＴＤＩフィルタドライバ、ＮＤＩＳ中間ドライバ、ウィンドウズ（登録商標）２０００フィルタフックドライバ、またはＮＤＩＳフッキングフィルタドライバ内に実装することができ、一般的には、ＮＤＩＳ中間ドライバまたはＮＤＩＳフッキングフィルタドライバに組み込まれる。

ついで、ステップＳ４２０で、許可プログラムリストを内部許可プログラム格納部に格納する。図５は、本発明の一実施形態にかかる柔軟なインターネット接続ファイアウォールで、通信許可プログラムリストを内部許可プログラム格納部に格納するために表示されるインタフェース画面を示す図である。

図５に示すように、インターネット接続ファイアウォールで許可するプログラムを選択すると、プログラム名、プログラムの全体パス及びプログラムの整合性確認のための当該プログラムファイルのＭＤ５（ＭＤ５：ＭｅｓｓａｇｅＤｉｇｅｓｔａｌｇｏｒｉｔｈｍ５）ハッシュ値を取得する。このようにして得られたプログラム名前、プログラム全体経路及びＭＤ５ハッシュ値を内部許可プログラム格納部に格納する。

内部許可プログラム格納部は、下の表１のような形式で格納され、プログラム名前、プログラム全体経路及びＭＤ５ハッシュ値の情報を含むファイルまたはデータベースの形式で格納される。

図６は、本発明で提示するインターネット接続ファイアウォール柔軟化装置を使用する全体ファイアウォールの動作を示すブロック図であって、以下、これを詳細に説明する。

インターネット使用プログラム６１０が、サーバとして動作するためにサーバポートをオープンすると、インターネット接続ファイアウォール柔軟化装置６２０は、当該サーバポートをオープンしたプログラムが内部許可プログラム格納部６５０に登録されているプログラムであるか否かを判断する。

当該プログラムが登録されていれば、インターネット接続ファイアウォール柔軟化装置６２０は、オープンされたサーバポートを内部許可ポート格納部６６０に登録する。

一方、外部からインバウンドトラフィックが伝送されたとき、インバウンドトラフィックは、ネットワークカード６４０を通過後、インターネット接続ファイアウォール６３０に到達する。インターネット接続ファイアウォール柔軟化装置６２０は、インバウンドトラフィックのパケットを検査して、目的地ポートが内部許可ポート格納部６６０に登録されているか否かを判断する。

判断の結果、当該ポートが登録されていなければ、パケットはインターネット接続ファイアウォール６３０に伝送され、インターネット接続ファイアウォールを経由する。ゆえに、このパケットはインターネット接続ファイアウォールの制限条件により許容または遮断される。しかし、当該ポートが登録されていれば、パケットをインターネット接続ファイアウォール６３０に渡さずインターネット接続ファイアウォール柔軟化装置６２０に迂回させるために、フッキングした原関数を呼び出す。

下記の表２は内部許可ポート格納部に登録されたポートを示す例である。

表２に表すように、内部許可ポート格納部は、プログラム全体パス、プロトコル及びポートについての情報を含み、メモリ上に配列または接続リストの形式で存在するか、あるいはファイルまたはデータベースの形式で存在する。

図７は、本発明の一実施形態にかかる柔軟なインターネット接続ファイアウォールの内部許可ポート格納部にサーバポートを格納または削除する過程を示すフローチャートである。以下、これを詳細に説明する。

まず、ステップＳ７０１で、サーバポート、ＯＰＥＮ／ＣＬＯＳＥ情報及びプロトコル（ＴＣＰ、ＵＤＰなど）情報をポート監視部から抽出した後、ステップＳ７０３で、ポート監視部は、サーバポートをオープンした現在のプログラムが内部許可プログラム格納部に登録されているプログラムであるか否かを判断する。

一方、ステップＳ７０３で、ネットワークを使用する現在のプロセスについての情報を得る方法は、ポート監視部でＰｓＧｅｔＣｕｒｒｅｎｔＰｒｏｃｅｓｓＩｄ（）関数を使用して現在のプロセスのＩＤ情報を抽出した後、このプロセスＩＤを通じて現在のプログラムの全体パスを取得する。このようにして取得したプログラムの全体パスを通じて当該プログラムのＭＤ５ハッシュ値を抽出し、このＭＤ５ハッシュ値とプログラム全体パスを用いて、現在のプログラムが内部許可プログラム格納部に存在するか否かを判断するものである。

ステップＳ７０３での判断の結果、現在のプログラムが登録されていなければ処理を終了し、登録されていれば、ステップＳ７０５で、抽出されたＯＰＥＮ／ＣＬＯＳＥ情報を使用してサーバポートがオープンされているか、もしくはクローズされているかを判断する。

ステップＳ７０５での判断の結果、オープンされたポートであれば、ステップＳ７０９で、プログラム全体パス、プロトコル及びサーバポートの情報を内部許可ポート格納部に登録した後、処理を終了する。

また、ステップＳ７０５での判断の結果、オープンされたポートでなければ、ステップＳ７０６及びステップＳ７０７で、プログラム全体パス、プロトコル及びサーバポートの情報と一致する内部許可ポート格納部の項目を検索して削除した後、処理を終了する。

図８は、本発明の一実施形態にかかるインターネット接続ファイアウォールの前のパケット処理過程を示すフローチャートである。以下、これを詳細に説明する。

まず、ステップＳ８０１で、インターネット接続ファイアウォールで処理される前にインバウンドトラフィックからパケットを抽出した後、ステップＳ８０３で、抽出されたパケットから、当該目的地（ローカル）ポートとプロトコル情報を抽出する。

そして、ステップＳ８０５で、抽出した目的地ポートとプロトコルの情報が内部許可ポート格納部に登録されているか否かを判断する。

ステップＳ８０５での判断の結果、情報が登録されていなければ、ステップＳ８０７で、当該パケットをインターネット接続ファイアウォールに伝送する。一方、情報が登録されていれば、目的地ポートは許可されなければならないポートであるので、ステップＳ８０９で、フッキングされた原関数を呼び出すことにより、インターネット接続ファイアウォールを迂回させる。

以上、好適な実施形態に基づいて本発明を説明したが、このような実施形態は本発明を制限するためのものではなく例示するためのものである。本発明が属する分野の当業者であれば、本発明の技術思想を逸脱せずに上記実施形態の多様な修正、追加及び代替に想到し得ることは明らかである。したがって、本発明の保護範囲は、添付する請求範囲のみによって限定されるもので、上記のような修正、追加及び代替をすべて含むものとして解釈されなければならない。

以上のように、本発明によれば、通信が許可されたプログラムによって使用されるポートが、インターネット接続ファイアウォールに自動で追加及び除去できるようにすることで、専門家ではないユーザであっても簡単にインターネット接続ファイアウォールの優れた機能を使用することができる。

マイクロソフト社がウィンドウズ（登録商標）ＸＰバージョンから基本的に提供する、コンピュータ及びネットワークを保護するためのインターネット接続ファイアウォールを示す図である。ウィンドウズ（登録商標）ＸＰでサーバとして動作するソフトウェアが使用するポート、プロトコル、ＩＰなどを追加するためのインタフェース画面を示す図である。本発明の実施形態において利用されるマイクロソフトウィンドウズ（登録商標）オペレーティングシステムのモード区分を示すブロック図である。本発明の実施形態にかかるインターネット接続ファイアウォールの動作を簡略化したフローチャートであって、ポート監視部とインターネット接続ファイアウォールのインストール及び内部許可プログラム格納部への許可プログラムリストの格納の過程を示すフローチャートである。本発明の一実施形態にかかる柔軟なインターネット接続ファイアウォールにおいて、通信許可プログラムリストを内部許可プログラム格納部に格納するために表示されるインタフェース画面を示す図である。本発明の実施形態にかかるインターネット接続ファイアウォール柔軟化装置を用いた全ファイアウォールの動作を示すブロック図である。本発明の一実施形態にかかる柔軟なインターネット接続ファイアウォールの内部許可ポート格納部にサーバポートを格納または削除する過程を示すフローチャートである。本発明の一実施形態にかかるインターネット接続ファイアウォールの前に実行されるパケット処理過程を示すフローチャートである。

Claims

ネットワーク間で通信される情報の制限条件を設定することによって、ネットワークに接続されたコンピュータの当該ネットワーク接続を保護するファイアウォールを用いて、信頼できるプロセスを許可するネットワークセキュリティシステムにおいて：
ネットワーク通信プログラムを通じて使用されるサーバポート情報を抽出するポート監視部と；
前記ネットワークセキュリティシステムによって通信が許可されるネットワーク通信プログラムについての情報を抽出し、抽出された情報を登録する内部許可プログラム格納部と；
前記ポート監視部が、前記内部許可プログラム格納部に登録されているネットワーク通信プログラムを通じて使用されるサーバポートについての情報を抽出した場合、前記抽出されたサーバポート情報を登録する内部許可ポート格納部と；
インバウンドトラフィックのパケットの目的地ポートが前記内部許可ポート格納部に登録されているか否かを判断し、登録されていないポートであれば前記インバウンドトラフィックのパケットを前記ファイアウォールに伝送し、登録されているポートであれば前記インバウンドトラフィックのパケットが前記ファイアウォールを迂回するようにすることによって、前記インバウンドトラフィックのパケットを直ちに前記目的地ポートを使用するネットワーク通信プログラムに伝送するファイアウォール柔軟化装置と；
を含むことを特徴とする、ネットワークセキュリティシステム。
前記内部許可プログラム格納部によって抽出され登録されるプログラム情報は、プログラム名、プログラムの全体パス及びＭＤ５ハッシュ値の情報を含むことを特徴とする、請求項１に記載のネットワークセキュリティシステム。
前記内部許可ポート格納部によって抽出され登録されるサーバポート情報は、プログラムの全体パス、プロトコル及びポートの情報を含むことを特徴とする、請求項１に記載のネットワークセキュリティシステム。
ネットワーク間で通信される情報の制限条件を設定することによって、ネットワークに接続されたコンピュータの当該ネックワーク接続を保護するファイアウォールを用いて、信頼できるプロセスを許可するネットワークセキュリティシステムのセキュリティの方法において：
前記ネットワークセキュリティステムが、ネットワーク通信プログラムを通じて使用されるサーバポートの情報を抽出する第１段階と；
前記ネットワークセキュリティステムが、通信が許可されるネットワーク通信プログラムについての情報を抽出し、抽出された情報を内部許可プログラム格納部に登録する第２段階と；
前記ネットワークセキュリティステムが、前記第１段階において、前記内部許可プログラム格納部に登録されているネットワーク通信プログラムを通じて使用されるサーバポートについての情報を抽出した場合、前記抽出されたサーバポート情報を内部許可ポート格納部に登録する第３段階と；
前記ネットワークセキュリティステムが、インバウンドトラフィックのパケットの目的地ポートが前記内部許可ポート格納部に登録されているか否かを判断する第４段階と；
前記ネットワークセキュリティステムが、前記第４段階での判断の結果、登録されていないポートであれば、前記インバウンドトラフィックのパケットを前記ファイアウォールに伝送する第５段階と；
前記ネットワークセキュリティステムが、前記第４段階での判断の結果、登録されているポートであれば、前記インバウンドトラフィックのパケットが前記ファイアウォールを迂回するようにすることによって、前記インバウンドトラフィックのパケットを直ちに前記目的地ポートを使用するネットワーク通信プログラムに伝送する第６段階と；
を含むことを特徴とする、ネットワークセキュリティの方法。
前記ネットワークセキュリティステムが、前記第２段階で抽出され登録されるプログラム情報は、プログラム名、プログラムの全体パス及びＭＤ５ハッシュ値の情報を含むことを特徴とする、請求項４に記載のネットワークセキュリティの方法。
前記ネットワークセキュリティステムが、前記第３段階で抽出され登録されるサーバポート情報は、プログラムの全体パス、プロトコル及びポートの情報を含むことを特徴とする、請求項４に記載のネットワークセキュリティの方法。
ネットワーク間で通信される情報の制限条件を設定することによって、ネットワークに接続されたコンピュータの当該ネックワーク接続を保護するネットワークファイアウォールを用いて、信頼できるプロセスを許可するネットワークセキュリティの方法を実行することができるコンピュータが読取可能な記録媒体であって、
ネットワーク通信プログラムを通じて使用されるサーバポートの情報を抽出する第１段階と；
前記ネットワークセキュリティシステムによって通信が許可されるネットワーク通信プログラムについての情報を抽出し、抽出された情報を内部許可プログラム格納部に登録する第２段階と；
前記第１段階において、前記内部許可プログラム格納部に登録されているネットワーク通信プログラムを通じて使用されるサーバポートについての情報を抽出した場合、前記抽出されたサーバポート情報を内部許可ポート格納部に登録する第３段階と；
インバウンドトラフィックのパケットの目的地ポートが前記内部許可ポート格納部に登録されているか否かを判断する第４段階と；
前記第４段階での判断の結果、登録されていないポートであれば、前記インバウンドトラフィックのパケットを前記ネットワークファイアウォールに伝送する第５段階と；
前記第４段階での判断の結果、登録されているポートであれば、前記インバウンドトラフィックのパケットが前記ファイアウォールを迂回するようにすることによって、前記インバウンドトラフィックのパケットを直ちに前記目的地ポートを使用するネットワーク通信プログラムに伝送する第６段階と；
を含むネットワークセキュリティの方法を実行することができるコンピュータが読取可能な記録媒体。