JP2004078860A

JP2004078860A - Data protection device and system

Info

Publication number: JP2004078860A
Application number: JP2002268506A
Authority: JP
Inventors: Tadashi Nishitani; 西谷　正; Yasuo Iida; 飯田　康夫
Original assignee: WESTERN TECHNOLOGY KK
Current assignee: WESTERN TECHNOLOGY KK
Priority date: 2002-09-13
Filing date: 2002-09-13
Publication date: 2004-03-11

Abstract

<P>PROBLEM TO BE SOLVED: To realize security corresponding to various situations by preventing unauthorized intervention/alternation by unit of file by controlling/managing access and commands by every separated and set region in a storage device by using comparatively simple hardware with versatility in a data protection device in a server. <P>SOLUTION: In the data protection device 2' which is installed to the server 11' having an interface to be linked with storage devices 2d, 2e and connection ports 3a, 3b with which an input device 13 for manager and a general user computer are connected via the Internet line 10, the device is provided with a file management part 8 having firmware and a management table which retrieves and manages a file in an accessed region by making the storage devices 2d, 2e to be separately managed in every region and performing control in every region under conditions provided according to access routes and kinds of commands. <P>COPYRIGHT: (C)2004,JPO

Description

【０００１】
【発明の属する技術分野】
本発明は、インターネットまたはイントラネットにおけるサーバにより公開されているホームページ等のデータに対する改ざん・破壊等のクラッキング、またはメール等の秘密情報に対する盗み見・不正入手等のハッキングを防止する、データ保護装置及び保護システムに関する。
尚、本発明において、管理者とは、ホームページ等を管理するプロバイダー等の業者及びホームページ等を公開する団体・官庁・法人・個人等を含み、一般利用者とは、インターネットを経由してアクセスする一般クライアント及び、企業等によるイントラネットにおけるサーバのデータ管理権限を有しない一般職員等を含む。
【０００２】
【従来の技術】
近年においては、インターネットが広く普及し、容易に世界中の情報にアクセスできる環境になった。そして、Ｗｅｂサーバにより公開されている各社のホームページ等は、広告または情報提供媒体として重要な位置を占めるようになっている。
しかし、最近、ホームページ等に不正アクセスしてそのデータを改ざん・破壊したり、不正入手等するハッカーやクラッカーが増加している。また、メール通信においても管理サーバに侵入され、他人にメールを盗み見されたり、勝手に書き換えられたりする場合もある。このようなハッカー等の行為はホームページを公開している企業等の情報管理体制や個人のプライバシーを脅かすものであり、データを改ざん・破壊された場合の回復に要する労力や費用も甚大となりやすく、また、イメージを傷つけられたことによる損害も多大なものとなる。
【０００３】
これに対し、ホームページの書き換え権限を持つ者を特定するＩＤやパスワードを設定したり、ファイアウオールを設けて不正侵入者の通信をフィルタリングしたりするなど、ソフトウエアによるプロテクト手段を用いてＷｅｂサーバ等のデータを保護しようとする技術が一般に普及している。
【０００４】
しかしながら、これらのソフトウエアを用いても、ハッカーやクラッカーはそのプロテクト機能を突破する手段を見つけ出せる場合が多く、新種のプロテクトソフトウエアーが開発されても、ハッカー等による被害は後を絶たなかった。即ち、ソフト的なプロテクトではサーバにおけるデータに対する１００％のセキュリティは期待することができなかった。
【０００５】
そこで、ハードウエアを用いてハッキング等からＷｅｂサーバのデータを保護しようとする技術が、特開２００２−１４０１７１号公報に提示されている。これは、ハードディスク（以下「ＨＤＤ」という）に対するヘッドをデータ書き込み及びデータ読み出し（以下「Ｒ／Ｗ」という）を行うヘッドと、データ読み出し専用（以下「ＲＯ」という）のヘッドの２つに分け、Ｒ／Ｗを行うヘッドは、専用接続ポートでホームページ等の管理者コンピュータに接続され、ＲＯヘッドはインターネット経由で他の接続ポートから一般利用者が接続可能な構成とした。
これにより、ハッカー等が不正にホームページ等のデータを改ざんしようとしても、ＲＯヘッドにしか到達することができないため、係るルートからはハッキングやクラッキングを行うことができない。また、メール管理においても、空き領域に書き込み専用（以下「ＷＯ」という）のヘッドにのみ接続可能とすることで、他人のメールを盗み見したり、改ざんすることができないようになっている。
【０００６】
上記のハードウエアは、管理者側と一般利用者側のコマンド及びデータルートが分離動作するため、システム的には１００％セキュリティが保証されるものである。しかし、使用するＨＤＤは２つのヘッドを設けた特殊ドライブ（２ＡＣＴＵＡＴＯＲ）となり、既存のサーバのＨＤＤと入れ替えまたは外付けするのも容易ではなく、かかるデータ保護システムを導入するのはコスト高となる。また、この様な特殊なＨＤＤは、新たな製造ラインが必要で安定した供給源を確保することも難しい。
【０００７】
一方、ハード手段でセキュリティを確保しようとする別の技術として、ＨＤＤへの書き込み権限を制限することで不正な改ざんからデータを守ろうとするハードウエア等も発売されている（セキュア・ディスク・プロテクション（登録商標））。
これらは、Ｗｅｂサーバに取り付けるハードウエアであって、ＨＤＤはパーテーション毎にＲＯ可能な領域と、Ｒ／Ｗ可能な領域とに分けられて、通常はＲＯの設定として、管理者がデータを書き換える場合にのみ、Ｒ／Ｗ可能な状態とすべく、ＨＤＤへの書き込み権限をハードウエア上の鍵やイントラネット上のＷｅｂブラウザ等を用いて切り替えられるようにしたものである。
【０００８】
この技術も前記技術と同様、管理者と一般利用者との操作が完全に分離されるが、２つに分離された接続ポート経由でも同一のポート経由でもよく、高度なセキュリティを確保できる技術である。これは、ＰＣＩボード等として組み込み可能である点で、特殊ドライブを用いる場合よりも汎用性が高いものである。
しかしながら、この製品においては管理者側がデータの書き換え・更新をしようとする場合、一般利用者側のコマンドや接続を一時中断しなければならないが、これによる待ち時間が一定時間以上過ぎると、システムのハングアップを惹起してシステムの信頼性を損なう恐れが生じたり、接続不能によるビジネスチャンスの逸失等の不都合を生じるという問題がある。
【０００９】
一方、管理者用の入力装置と一般利用者コンピュータからの接続ポートを分離することで、アクセス単位でサーバがＲ／Ｗ権限等を持つか否か判断するようにしてもよいが、同じ記憶装置を領域ごとに分けて制御する方式では、上記と同様に管理者がデータの更新等を行っている時は、一般利用者のアクセスと競合して、一般利用者のアクセスが中断されたり、ハングアップすることになる。
また、単にアクセスのルートによる制御では、管理者がコマンド（ファイル）の種類ごとに詳細なセキュリティ管理を行うこともできない。
【００１０】
【発明が解決しようとする課題】
本発明は、上記のような問題点を解決しようとするものであり、サーバにおけるＨＤＤ等のデータ保護装置及び保護システムにおいて、比較的簡易で汎用性のあるハードウエアを用いて、記憶装置ごと、または記憶装置において分割して設定された領域ごとにアクセス及びコマンドを制御・管理してファイル単位で不正介入・改ざんを防止できるようにして、様々な状況に対応したセキュリティを実現することを課題とするものである。
【００１１】
【課題を解決するための手段】
そこで、本発明は、少なくとも１つ以上の記憶装置に連結されるインターフェースと、管理者用入力装置及び一般利用者コンピュータが所定の回線を通じて接続される１または複数の接続ポートとを有するデータ保護装置において、前記記憶装置を領域ごとに分割管理可能であって、前記領域ごとにアクセスルート及びコマンドの種類により設けられた条件で制御して、アクセスのあった前記領域のファイルの検索及び管理を行う、ファームウエアを備えたファイル管理部を有する、サーバに取り付け可能なデータ保護装置とした。このような簡易で汎用性のあるハードウエアからなる装置により、記憶装置の領域ごとに条件を設定してコマンドファイルの種類による管理を行うことができるようになる。
【００１２】
また、前記ファームウエアが、ファイル単位でデータ処理を行うデータ保護装置とすることで、管理者用入力装置及び一般利用者コンピュータからの入力情報をファイル単位として処理して管理することができる。
そして、前記ファイル管理部に１または複数の管理テーブルを設ければ、上記の条件を容易に設定することができる。さらに、前記ファイル管理部が前記管理テーブルにより所定時間における読み込みファイル数を制限できるようにすれば、大量の情報がネット経由でＲｅａｄされたり、大量のコピーデータが流出することを防ぐことができる。
【００１３】
さらにまた、前記記憶装置ごと、または前記記憶装置及び前記記憶装置の領域ごとに、前記アクセスルート及びコマンドの種類の条件を、前記管理者用入力装置から設定できるようにすることで、管理者の必要とする管理条件を容易に実現することができる。
そして、前記データ保護装置を組み込んだサーバとして提供すれば、面倒な取り付け作業の手間を省くことができる。
【００１４】
加えて、前記データ保護装置を組み込んだサーバと、所定の回線と、前記所定の回線を経由して接続された前記管理者用入力装置及び一般利用者コンピュータからなり、前記データ保護装置に前記ファームウエアと管理テーブルからなるファイル管理部を備え、複数の記憶装置を領域ごとに分割可能であって、前記記憶装置ごと、または前記記憶装置の領域ごとに、アクセスルート及びコマンドの種類により設けられた条件で制御して、アクセスのあった前記領域のファイルの検索及び管理を行うことを特徴とするデータ保護システムとする。これにより、アクセスルートに加えコマンドの種類ごとに記憶装置の領域を分けて詳細な条件設定を行って、より実状に沿ったデータ管理システムとすることができる。
【００１５】
【発明の実施の形態】
次に、本発明における実施の形態について、図面を参照して詳細に説明する。
【００１６】
図１は、本発明に係るデータ保護システムの第１の好ましい実施の形態である、データ保護システム１を示す全体構成図である。
サーバ１１は、データ保護装置２が取り付けられており、接続ポート３ａにより管理者用入力装置１３に接続され、接続ポート３ｂを経由してインターネット１０等の公衆回線に接続され、所定のプロバイダー１２を経由して一般利用者コンピュータ１４に接続されている。
【００１７】
接続ポート３ａは、例えばＳＣＳＩ等のインターフェースからなり、データ保護装置２に設けられている。また、接続ポート３ｂはサーバ１１の本体に直接設けられており、これを経由して保存されたホームページ等のデータがインターネット１０を介して一般に公開されるようになっている。尚、インターネット１０は、例えば社内のイントラネットでも同様に実施することができる。
【００１８】
図２は、図１のデータ保護システム１のデータ保護装置２を取り付けたサーバ１１の構成を示すブロック図である。
データ保護装置２は、接続ポート３ａを有するコントローラ部２Ａと、コントローラ部２Ａに設けられたＩＤＥ等のインターフェースからなる６ａ、６ｂ、６ｃを介して連結された管理者用記憶装置２ａ、公開用記憶装置２ｂ、メール用記憶装置２ｃとからなっており、ＰＣＩ等のインターフェースからなる接続部５ａ，５ｂにより、サーバ１１のマザーボード４に接続されている。
【００１９】
コントローラ部２Ａは、例えばサーバの空いているスロットルに取り付け可能なボードであって、所定のＣＰＵ、ＲＡＭ、ＲＯＭを有したハードウエアからなる。そして、接続ポート３ａを介して管理者用入力装置１３と接続され、管理者による書き込み・更新コマンドにより、管理者用記憶装置２ａのデータを書き込み・更新する。尚、管理者用入力装置１３は、キーボードのみならず、所定の回線で接続されたコンピュータでもよい。
【００２０】
また、コントローラ部２Ａは、インターフェース５ａ，５ｂでサーバ本体のマザーボード４に接続され、マザーボード４のポート３ｂを経由して、公開用記憶装置２ｂに記憶されたホームページ等のデータを一般利用者コンピュータ１４に送出し、また、接続ポート３ｂとマザーボード４を経由して送信された一般利用者コンピュータ１４からの書き込みコマンドをメール用記憶装置２ｃに実行する。尚、メール用記憶装置２ｃに書き込まれたメールは、即座に例えばサーバ付属のＨＤＤ等の別の記憶装置４Ｂにコピーされ、保存されるようにするとよい。
【００２１】
そして、コントローラ部２Ａは、管理者により書き込み・更新されたホームページ等のデータを、所定時期に管理者用記憶装置２ａから公開用記憶装置２ｂにコピーするミラー機能を有する。係るコピーの時期は、一般利用者がそのホームページ等にアクセスしていない、空いている時間をコントローラ２Ａが選択して行うようにすれば、一般利用者のアクセスを中断することを防ぐことができる。また、一度に大量のデータをコピーするとこれに時間を要し、一般利用者のアクセスと競合した場合に、一般利用者を長時間待たせてしまい、ハングアップ等を招いてしまうので、データが大きい場合は１つのデータを適当な大きさに分割して、一回のコピー時間を短くすればよい。
【００２２】
尚、上記の記憶装置２ａ、２ｂ，２ｃは、１つのＨＤＤ等をパーテーションで分けるのではなく、それぞれ別個の記憶装置とする。これは、管理者からのコマンドと一般利用者からのコマンドが１つの入り口で競合して、一般利用者の接続がハングアップしたり、接続不能によるビジネスチャンスの逸失につながることを防止するためである。これらの記憶装置はサーバ本体の記憶装置を利用することも可能であるが、汎用タイプの外付け記憶装置等を利用すればよい。一方、複数の記憶装置をさらに複数の領域にパーテーションすることは、後述するようにセキュリティに多様性を与えるという意味で有用である。
【００２３】
次に、上記のシステムの動作をフローチャート図を用いて説明する。
【００２４】
先ず、図３を用いて一般利用者がサーバ１１に開示されたホームページを読み込む（Ｒｅａｄ）場合を説明する。
一般利用者は、一般利用者コンピュータ１４から所定の回線を経由して接続ポート３ｂからサーバ１１のマザーボード４を経て、データ保護装置２のコントローラ部２Ａに接続し、ホームページの読み込みコマンド（ＵＲＬの指定等）を送信する（ａ）。そしてコントローラ部２Ａは、公開用記憶装置２ｂに保存されたデータを送出する（ｂ）。
一方、一般利用者が係るホームページの内容を改ざん・破壊しようとする場合、どのようなデータ改ざん・破壊のコマンド（ｃ）を送信しても公開用記憶装置２ｂは読み出し専用（ＲＯ）であり、このルートからデータの改ざん・破壊を行うことは不可能である。
【００２５】
次に、管理者がホームページの内容を書き込み・更新（Ｗｒｉｔｅ）する場合を図４を用いて説明する。管理者が管理者用入力装置１３から書き込み・更新を行う場合、管理者は所定の回線を経由して接続ポート３ａから、マザーポート４を経由してサーバ１１に取り付けられたデータ記憶装置２のコントローラ部２Ａに書き込み・更新コマンド（ｄ）を送信し、コントローラ部２Ａは管理者用記記憶装置２ａの既存のデータに対し書き込み・更新を行う（ｅ）。
【００２６】
そして、コントローラ部２Ａは、公開用記憶装置２ｂに一般利用者がアクセスしている状態か否かを調べ（ｆ）、一般利用者がアクセスしていない状態が検出されると（ｇ）、前記管理者用記憶装置２ａに書き込み・更新されたデータを適当な大きさに分割して、公開用記憶装置２ｂにコピーする（ｈ）。尚、同様な手順（ｄ’，ｅ’，ｆ’）において、一般利用者がアクセスしている状態を検出すると（ｉ）、前記コピーは実行せず、アクセスしていない状態を検知してからコピーを行うことになる。そして、係る判断は分割されたデータ毎に行う。これにより、管理者のみがデータの書き込み・更新を実施できるとともに、公開用記憶装置２ｂのデータを書き込み・更新するのに認証手続きや、Ｒ／ＷとＲＯとの切り替え作業も不要となり、さらに一般利用者のハングアップや接続不能によるビジネスチャンス逸失の心配もなくなる。
【００２７】
次に、一般利用者が送信用メールの書き込みを行う場合を図５を用いて説明する。
一般利用者は、一般利用者コンピュータ１４から所定の回線を経由して接続ポート３ｂからサーバ１１のマザーボード４を経て、データ保護装置２のコントローラ部２Ａにメールの書き込みコマンド（ｊ）を送信する。コントローラ部２Ａはメール用記憶装置２ｃに保存されたデータの空き領域にメール書き込みコマンド（ｋ）を実行する。係るメールが書き込まれたら、コントローラ２Ａはメール用記憶装置２ｃのデータを記憶装置４Ｂ（サーバ付属のＨＤＤ）にコピーして保存する（ｌ）。　従って、一般利用者から、メール用記憶装置２ｃに書き込まれたメールを盗み見したり改ざんしたりするコマンド（ｍ）は実行不可能であり、記憶装置４Ｂにアクセスして（ｎ）、自己宛のメールを読み出す（ｏ）ことができるのみである。
【００２８】
次に、本発明の第２の好ましい実施の形態であるデータ保護システム１’におけるサーバ１１’に取り付けられたデータ保護装置２’について図を用いて説明する。
図６は、本実施の形態におけるサーバ１１’のブロック図である。基本的に図２のサーバ１１と構成は同様であるが、コントローラ部２Ｂが主として制御部７と、ファームウエアと所定の管理テーブルを有するファイル管理部８とからなる点でコントローラ部２Ａと異なる。
【００２９】
本実施の形態においては、管理者が管理者用入力装置１３から、データ保護装置２’の各記憶装置２ｄ，２ｅを複数のパーテーション（領域）に分けて、アクセス及びコマンドの種類ごとに条件を設定することができるようになっている。そして、係る条件は複数の管理テーブルで管理され、例えば、表１に示す管理テーブル１はＨＤＤの領域を分割指定し、分割した領域のアクセス条件を設定する。
また、表２に示す管理テーブル２は、記憶装置２ｄ，２ｅのデータに対し、一般利用者が使用するオペレーションシステム（ＯＳ）とファイルシステム（ＦＳ）について使用条件を設定して管理する。このように管理テーブルを２以上の複数にすれば、設定できる条件に多様性を与えることが容易となる。尚、各表のＨＯＳＴ２は一般利用者コンピュータを意味する。
【００３０】
また、記憶装置の領域ごとに、アクセスルート及びコマンドの種類により設けられた条件で制御して、アクセスのあった前記領域のファイルの検索及び管理を行うことを特徴とするデータ保護装置またはシステムとすることで、アクセスルートに加え、コマンドの種類ごとに記憶装置の領域を分けて詳細な条件設定を行って、より実状に沿ったデータ管理システムとすることができる。
【００３１】
【表１】

【００３２】
【表２】

【００３３】
そして、前記ファームウエアは前記管理テーブル２に登録されている各ファイルシステムに対するアロケーション（配分）テーブル、ディレクトリ構造に対応してＨＤＤをアクセスできる論理等が組み込まれている。
【００３４】
次に、本実施の形態における好ましい動作例を以下に説明する。尚、管理テーブル１は表３に、管理テーブル２は表４に示しているような条件設定がなされているものとする。
【表３】

【００３５】
【表４】

【００３６】
先ず、パーテーション１に対するＲｅａｄ要求は、パーテーション１が管理テーブル１でＲｅａｄ可となっているため全て容認する。
パーテーション１に対するＷｒｉｔｅ要求は、パーテーション１は管理テーブル１でＷｒｉｔｅ（更新・削除・追加）不可となっているため全て拒否し、一般利用者にはあたかもＷｒｉｔｅ実行したかのように見えるが、ＨＤＤにはＷｒｉｔｅしない。
【００３７】
次に、パーテーション２に対するＲｅａｄ要求は、パーテーション２が管理テーブル１でＲｅａｄ不可となっているため全て拒否し、ダミーデータを転送する。
一方、パーテーション２に対するファイル更新（Ｗｒｉｔｅ）要求は、ファイル更新動作がファイルＲｅａｄ〜利用者データ加工〜ファイルＷｒｉｔｅの手順となるため、ファイルＲｅａｄ段階で管理テーブル１が不可となっており、ダミーデータを送信する。（利用者は、ダミーデータを受け取ったため更新を中断すると考えられ、ファイルの更新が防止される）また、ファイルＷｒｉｔｅ段階では、万一更新データだとしても管理テーブル２のファイルシステム（ＦＳ）１のアロケーション情報に基づいてファイルを検索し、ＨＤＤの指定パーテーション領域の指定領域に既存のファイルがあればＲｅｎａｍｅ（名称変更）してＷｒｉｔｅ動作して終了する。
【００３８】
また、パーテーション２に対するファイル削除（Ｗｒｉｔｅ）要求は、ファイル削除がファイルアロケーション、ディレクトリ変更動作のため、管理テーブル２のファイルシステム（ＦＳ）１のアロケーション情報に基づき、ＨＤＤの領域を検索し、Ｗｒｉｔｅ動作が上記領域に該当すれば架空動作をして終了する。
そして、パーテーション２に対するファイル追加（Ｗｒｉｔｅ）要求は、ファイルＷｒｉｔｅ段階で管理テーブル２のファイルシステム（ＦＳ）１のアロケーション情報に基づき、ファイル検索を行い、ＨＤＤの指定パーテーション領域の指定領域に既存のファイルがあれば、Ｒｅｎａｍｅ（名称変更）してＷｒｉｔｅ動作して終了する。Ｗｒｉｔｅ要求が、ファイル検索の結果、空き領域に対する要求であれば要求通りＷｒｉｔｅ動作（ファイル追加）する。
【００３９】
尚、近々所謂住基ネットワークが実施されようとしているが、このようなネットワークが悪用されて、大量の個人情報がネット経由で一度にＲｅａｄされ、コピーデータが流出することにより大きな社会問題になると危惧されている。そこで、このような問題の発生を最小限に押さえるべく、ファイル管理部８に所定の管理テーブルを設け、単位時間に大量のファイルがＲｅａｄされないようにして前述のファイル管理機能によってファイル単位で管理することもできる。
【００４０】
例えば、表５に示すような管理テーブル３を設定して、使用条件として指定パーテーション領域に本管理機能を介在有／無を指定し、管理する単位時間を指定（秒単位等）するとともに、管理単位時間毎に何個までのファイルまでＲｅａｄを容認するか等を指定する。
そして、例えば係る個人情報サーバにイントラネットにより接続されている役所等の窓口端末から、単位時間に多人数の個人情報を閲覧する（例えば５分間に５人分等）ことはないと考えられるため、設定時間単位に設定ファイル個数（人数）以上Ｒｅａｄされたら、管理個数以降分はダミーデータを転送して終了すれば、大量データ流出等の不正は防止することができる。一方、正規に大量のデータが必要な場合は、管理者用入力装置（ＰＣ等）を使用すれば入手可能である。
【００４１】
【表５】

【００４２】
加えて、ＨＯＳＴ１（管理者用入力装置）アクセス条件において、ＬＯＧ　ＦＬＡＧ（ＯＮ／ＯＦＦ）の項目を設定してもよい。例えば、データ保護装置が前述のようなコピー（ミラー）機能を有する場合に、ＯＮにおいては、不正介入情報を管理者用ＨＤＤのＬＯＧ用割付領域に不正介入データ（ファイル名等）としてＬＯＧするようにして、管理者がこのデータを参照して不正介入を知るとともに、システムを遮断できるようにし（例えばＨＤＤのＲｅａｄ可能領域を不可能領域に変更する等）、ＯＦＦにおいては、ＬＯＧを行わないようにすれば、前述のセキュリティをより堅固にすることができる。
【００４３】
尚、本発明を実施するための最良の構成・方法等は、以上の記載で開示されているが、本発明はこれに限定されるものではない。
即ち、本発明は、主に特定の実施の形態に関して特に図示され、説明されているが、本発明の技術的思想及び目的の範囲から逸脱することなく、以上述べた実施の形態に対し、その構成等に当業者が様々な変形を加えることができるものである。
また、本発明において、記憶装置の種類を管理者用記憶装置、公開用記憶装置、メール用記憶装置等と表現しているが、これらは係る記憶装置に記憶させる主たる記憶データの種類を示しているにすぎず、これらをパーテーションに分けたり、他の記憶装置を追加する等して、他の種類のデータを記憶させることを排除するものではない。
【００４４】
【発明の効果】
上記のように、本発明であるデータ保護装置及びデータ保護システムにより、比較的簡易で汎用性のあるハードウエアを用いて、記憶装置ごと、または記憶装置において分割して設定された領域ごとにアクセス及びコマンドを制御・管理し、ファイル単位で不正介入・改ざんを防止できるようになり、様々な状況に対応したセキュリティを実現できるようになった。
【図面の簡単な説明】
【図１】本発明の実施の形態におけるデータ保護システムを示す全体構成図である。
【図２】図１のデータ保護システムにおけるサーバ部分を示すブロック図である。
【図３】本発明の実施の形態におけるデータ保護システムの動作例を示すフローチャート図である。
【図４】本発明の実施の形態におけるデータ保護システムの動作例を示すフローチャート図である。
【図５】本発明の実施の形態におけるデータ保護システムの動作例を示すフローチャート図である。
【図６】本発明の実施の形態におけるデータ保護システムにおけるサーバ部分を示すブロック図である。
【符号の説明】
１，１’　　データ保護システム、２，２’　　データ保護装置、２Ａ，２Ｂ　コントローラ部、２ａ　管理者用記憶装置、２ｂ　公開用記憶装置、２ｃ　メール用記憶装置、２ｄ，２ｅ　記憶装置、３ａ，３ｂ　接続ポート、４　マザーボード、７　制御部、８　ファイル管理部、１０　インターネット、１１，１１’　　サーバ、１２　プロバイダー、１３　管理者用入力装置、１４　一般利用者コンピュータ[0001]
TECHNICAL FIELD OF THE INVENTION
The present invention relates to a data protection device and a protection system for preventing cracking such as falsification or destruction of data of a homepage or the like published by a server on the Internet or an intranet, or hacking such as eavesdropping or unauthorized acquisition of secret information such as mail. About.
In the present invention, the administrator includes a provider such as a provider that manages a homepage and the like, an organization, a government agency, a corporation, an individual, etc. that publishes the homepage and the like, and a general user accesses via the Internet. Includes general clients and general employees who do not have the authority to manage data on servers on the intranet by companies or the like.
[0002]
[Prior art]
In recent years, the Internet has become widespread, and it has become an environment where information around the world can be easily accessed. In addition, the homepages and the like of the respective companies published by the Web server occupy an important position as an advertisement or an information providing medium.
However, recently, the number of hackers and crackers who illegally access a homepage or the like to falsify or destroy the data or obtain the data illegally is increasing. Also, in the mail communication, there is a case where the mail is invaded by the management server, and the mail is stolen by another person or rewritten without permission. Such hackers and other acts threaten the information management system and personal privacy of companies that have published their homepages, and the labor and cost required to recover data that has been tampered with or destroyed is likely to be enormous. Also, the damage caused by the damage to the image is enormous.
[0003]
On the other hand, using a software protection means such as a Web server or the like, such as setting an ID or password for specifying a person who has the authority to rewrite the home page, and providing a firewall to filter the communication of an unauthorized intruder. Technologies that seek to protect data are widespread.
[0004]
However, even if such software is used, hackers and crackers can often find a means to break through the protection function, and even if a new kind of protection software is developed, damages by hackers and the like have not stopped. That is, with software protection, 100% security for data in the server could not be expected.
[0005]
Therefore, a technique for protecting data of a Web server from hacking or the like using hardware is disclosed in Japanese Patent Application Laid-Open No. 2002-140171. This is divided into two types: a head for writing and reading data (hereinafter, referred to as "R / W") for a hard disk (hereinafter, referred to as "HDD") and a head for reading data only (hereinafter, referred to as "RO"). , R / W is connected to an administrator computer such as a homepage through a dedicated connection port, and the RO head is configured to be connectable to a general user from another connection port via the Internet.
Thus, even if a hacker or the like attempts to falsify data on a homepage or the like illegally, it can only reach the RO head, so that hacking or cracking cannot be performed from such a route. Also, in the mail management, by making it possible to connect only to the write-only (hereinafter referred to as "WO") head in the free space, it is impossible to see or alter the mail of another person.
[0006]
In the above hardware, since the command and data route of the administrator side and the general user side operate separately, 100% security is guaranteed systematically. However, the HDD to be used is a special drive (2ACTATOR) having two heads, and it is not easy to replace or externally attach to the HDD of the existing server, and it is costly to introduce such a data protection system. In addition, such a special HDD requires a new production line, and it is difficult to secure a stable supply source.
[0007]
On the other hand, as another technique for securing security by hardware means, hardware for protecting data from unauthorized tampering by restricting write authority to an HDD or the like has also been released (Secure Disk Protection ( Registered trademark)).
These are hardware to be attached to the Web server. The HDD is divided into an RO-capable area and an R / W-capable area for each partition. Usually, when the administrator rewrites data as an RO setting, Only in order to enable R / W, the authority to write to the HDD can be switched using a key on hardware or a Web browser on an intranet.
[0008]
In this technology as well, the operation between the administrator and the general user is completely separated, as in the above-mentioned technology. However, this technology can be performed via two separate connection ports or the same port, and is a technology that can ensure high security. is there. This is more versatile than the case of using a special drive in that it can be incorporated as a PCI board or the like.
However, in this product, when the administrator attempts to rewrite or update data, the command and connection of the general user must be temporarily suspended. There is a problem that a hang-up may be caused to impair the reliability of the system, or a problem such as a loss of a business opportunity due to an inability to connect may occur.
[0009]
On the other hand, by separating the input device for the administrator and the connection port from the general user computer, it may be determined whether or not the server has R / W authority or the like in units of access, but the same storage device may be used. In the method of controlling data separately for each area, when the administrator is updating data in the same way as described above, the access of the general user is interrupted or hangs in conflict with the access of the general user. Will be up.
Further, by simply controlling based on the access route, the administrator cannot perform detailed security management for each type of command (file).
[0010]
[Problems to be solved by the invention]
The present invention is intended to solve the above-described problems. In a data protection device and a protection system such as an HDD in a server, relatively simple and versatile hardware is used for each storage device. Another object of the present invention is to realize security corresponding to various situations by controlling and managing access and commands for each set area divided in a storage device so as to prevent unauthorized intervention and falsification in file units. Is what you do.
[0011]
[Means for Solving the Problems]
Therefore, the present invention provides a data protection device having an interface connected to at least one or more storage devices, and one or more connection ports to which an administrator input device and a general user computer are connected through a predetermined line. In the above, the storage device can be divided and managed for each area, and a search and management of a file in the accessed area are performed by controlling the conditions provided according to an access route and a command type for each area. And a data protection device that has a file management unit with firmware and can be attached to a server. With such a device composed of simple and versatile hardware, it becomes possible to set conditions for each area of the storage device and perform management based on the type of command file.
[0012]
In addition, since the firmware is a data protection device that performs data processing in file units, it is possible to process and manage input information from the administrator input device and general user computer in file units .
If one or more management tables are provided in the file management unit, the above conditions can be easily set. Further, if the file management unit can limit the number of read files in a predetermined time by the management table, it is possible to prevent a large amount of information from being read via a network and a large amount of copy data from flowing out.
[0013]
Furthermore, for each of the storage devices, or for each of the storage device and the area of the storage device, the condition of the access route and the type of the command can be set from the input device for the administrator, so that the Necessary management conditions can be easily realized.
If the server is provided as a server in which the data protection device is incorporated, troublesome installation work can be omitted.
[0014]
In addition, the data protection device comprises a server, a predetermined line, the administrator input device and a general user computer connected via the predetermined line, and the data protection device includes the firmware. A plurality of storage devices can be divided for each area, and each storage device or each area of the storage device is provided with an access route and a type of command. A data protection system is characterized in that a search and management of a file in the accessed area are performed under control of a condition. This makes it possible to divide the area of the storage device for each type of command in addition to the access route and perform detailed condition setting, thereby providing a data management system more in line with the actual situation.
[0015]
BEST MODE FOR CARRYING OUT THE INVENTION
Next, embodiments of the present invention will be described in detail with reference to the drawings.
[0016]
FIG. 1 is an overall configuration diagram showing a data protection system 1 which is a first preferred embodiment of a data protection system according to the present invention.
The server 11 has the data protection device 2 attached thereto, is connected to the administrator input device 13 via the connection port 3a, is connected to a public line such as the Internet 10 via the connection port 3b, and connects the predetermined provider 12 It is connected to the general user computer 14 via the terminal.
[0017]
The connection port 3a is made up of an interface such as SCSI, for example, and is provided in the data protection device 2. Further, the connection port 3b is provided directly on the main body of the server 11, and data such as a homepage stored via the connection port 3b is made public to the public via the Internet 10. It should be noted that the Internet 10 can also be implemented in a company intranet, for example.
[0018]
FIG. 2 is a block diagram showing a configuration of the server 11 to which the data protection device 2 of the data protection system 1 of FIG. 1 is attached.
The data protection device 2 includes a controller unit 2A having a connection port 3a, an administrator storage unit 2a connected via interfaces 6a, 6b, and 6c including interfaces such as an IDE provided in the controller unit 2A, and a public storage. It is composed of a device 2b and a mail storage device 2c, and is connected to the motherboard 4 of the server 11 by connecting sections 5a and 5b each having an interface such as PCI.
[0019]
The controller unit 2A is, for example, a board that can be attached to a vacant throttle of the server, and is composed of hardware having a predetermined CPU, RAM, and ROM. Then, it is connected to the administrator input device 13 via the connection port 3a, and writes / updates data in the administrator storage device 2a by a write / update command by the administrator. The administrator input device 13 may be not only a keyboard but also a computer connected via a predetermined line.
[0020]
The controller unit 2A is connected to the motherboard 4 of the server body via the interfaces 5a and 5b, and transmits data such as a homepage stored in the public storage device 2b to the general user computer 14 via the port 3b of the motherboard 4. The write command from the general user computer 14 transmitted via the connection port 3b and the motherboard 4 is executed in the mail storage device 2c. The mail written in the mail storage device 2c may be immediately copied and stored in another storage device 4B such as an HDD attached to the server, for example.
[0021]
The controller unit 2A has a mirror function of copying data such as a home page written and updated by the administrator from the administrator storage device 2a to the public storage device 2b at a predetermined time. If the controller 2A selects a vacant time when the general user does not access the homepage or the like during the copy time, the access of the general user can be prevented from being interrupted. . Also, copying a large amount of data at one time takes a long time, and if it conflicts with general user access, it will cause the general user to wait for a long time and cause a hang-up, etc. If it is large, one data may be divided into an appropriate size to shorten one copy time.
[0022]
The

storage devices

2a, 2b, and 2c are not separate HDDs or the like by partitions, but are separate storage devices. This is to prevent the command from the administrator and the command from the general user from conflicting at one entrance, resulting in the hang-up of the connection of the general user or the loss of business opportunity due to the inability to connect. is there. Although these storage devices can use the storage device of the server main body, a general-purpose external storage device or the like may be used. On the other hand, partitioning a plurality of storage devices into a plurality of areas is useful in that security is diversified as described later.
[0023]
Next, the operation of the above system will be described with reference to a flowchart.
[0024]
First, a case where a general user reads a homepage disclosed to the server 11 (Read) will be described with reference to FIG.
The general user connects to the controller unit 2A of the data protection device 2 from the general user computer 14 via the connection port 3b via the predetermined line via the motherboard 4 of the server 11, and reads a home page read command (URL specification). Etc.) (a). Then, the controller unit 2A sends out the data stored in the public storage device 2b (b).
On the other hand, when the general user attempts to falsify or destroy the contents of the homepage, the public storage device 2b is read-only (RO) regardless of what data falsification / destruction command (c) is transmitted, It is impossible to falsify or destroy data from this route.
[0025]
Next, a case in which the administrator writes and updates the contents of the homepage will be described with reference to FIG. When the administrator performs writing / updating from the input device 13 for the administrator, the administrator accesses the data storage device 2 attached to the server 11 via the connection port 3a via the predetermined line and the mother port 4. The write / update command (d) is transmitted to the controller unit 2A, and the controller unit 2A writes / updates the existing data in the administrator storage device 2a (e).
[0026]
Then, the controller unit 2A checks whether or not the general user is accessing the public storage device 2b (f), and when it is detected that the general user is not accessing the public storage device 2b (g), The data written and updated in the administrator storage device 2a is divided into appropriate sizes and copied to the public storage device 2b (h). In a similar procedure (d ', e', f '), if a state where a general user is accessing is detected (i), the copy is not executed, and after detecting a state where the general user is not accessing, Copy will be performed. The determination is made for each of the divided data. This allows only the administrator to write and update data, and eliminates the need for an authentication procedure and switching between R / W and RO for writing and updating data in the public storage device 2b. Users no longer have to worry about losing business opportunities due to hang-ups or connection failures.
[0027]
Next, a case where a general user writes a transmission mail will be described with reference to FIG.
The general user transmits a mail write command (j) from the general user computer 14 to the controller unit 2A of the data protection device 2 through the motherboard 4 of the server 11 from the connection port 3b via a predetermined line. The controller 2A executes a mail write command (k) in a free area of data stored in the mail storage device 2c. When the mail is written, the controller 2A copies the data in the mail storage device 2c to the storage device 4B (HDD attached to the server) and saves it (l). Therefore, the command (m) for sniffing or falsifying the mail written in the mail storage device 2c cannot be executed by a general user, and the user accesses the storage device 4B (n) to send the command to the self device (n). Only the mail can be read (o).
[0028]
Next, a data protection device 2 'attached to a server 11' in a data protection system 1 'according to a second preferred embodiment of the present invention will be described with reference to the drawings.
FIG. 6 is a block diagram of the server 11 'in the present embodiment. The configuration is basically the same as that of the server 11 in FIG. 2, but differs from the controller 2A in that the controller 2B mainly includes a controller 7 and a file manager 8 having firmware and a predetermined management table.
[0029]
In the present embodiment, the administrator divides each storage device 2d, 2e of the data protection device 2 'into a plurality of partitions (areas) from the administrator input device 13, and sets conditions for each type of access and command. It can be set. The conditions are managed by a plurality of management tables. For example, in the management table 1 shown in Table 1, the area of the HDD is designated to be divided, and the access condition of the divided area is set.
The management table 2 shown in Table 2 manages data in the storage devices 2d and 2e by setting use conditions for an operation system (OS) and a file system (FS) used by general users. If the number of management tables is two or more as described above, it is easy to provide a variety of conditions that can be set. Note that HOST2 in each table means a general user computer.
[0030]
A data protection device or system for controlling and controlling a condition of an access route and a command type for each area of a storage device to search and manage a file in the accessed area; By doing so, in addition to the access route, the area of the storage device is divided for each type of command, and detailed conditions are set, so that a data management system more in line with the actual situation can be provided.
[0031]
[Table 1]

[0032]
[Table 2]

[0033]
The firmware incorporates an allocation (distribution) table for each file system registered in the management table 2, a logic that can access the HDD corresponding to the directory structure, and the like.
[0034]
Next, a preferred operation example in the present embodiment will be described below. Here, it is assumed that the management table 1 has the condition settings as shown in Table 3 and the management table 2 has the condition settings as shown in Table 4.
[Table 3]

[0035]
[Table 4]

[0036]
First, a Read request to Partition 1 is all accepted because Partition 1 is Readable in Management Table 1.
All Write requests to Partition 1 are rejected because Write (update / delete / add) is not possible in Management Table 1, and it appears to the general user as if Write had been executed. Does not write.
[0037]
Next, since the Read request for Partition 2 is read-disabled in the management table 1 for Partition 2, all the requests are rejected and dummy data is transferred.
On the other hand, a file update (Write) request to the partition 2 is performed in a file read-to-user data processing-file write procedure because the file update operation is performed in the file read stage. Send. (It is considered that the update is interrupted because the user has received the dummy data, and the update of the file is prevented.) Also, at the file write stage, even if the update data is in the file system (FS) 1 of the management table 2, The file is searched based on the allocation information, and if there is an existing file in the designated area of the designated partition area of the HDD, Rename (rename) is performed, a write operation is performed, and the processing ends.
[0038]
In addition, a file deletion (Write) request to the partition 2 is performed by searching the HDD area based on the allocation information of the file system (FS) 1 in the management table 2 because the file deletion is a file allocation and directory change operation. If this corresponds to the above-mentioned area, a fictitious operation is performed and the process ends.
The file addition (Write) request to the partition 2 is performed at the file write stage based on the allocation information of the file system (FS) 1 in the management table 2 and the existing file is stored in the designated area of the designated partition area of the HDD. If there is, a Rename (name change) is performed, a Write operation is performed, and the processing ends. If the Write request is a request for a free area as a result of the file search, a Write operation (file addition) is performed as requested.
[0039]
It is to be noted that a so-called resident registry network is about to be implemented in the near future, but it is feared that such a network will be abused and a large amount of personal information will be read at once via the net, and copied data will be leaked, causing a serious social problem. Have been. Therefore, in order to minimize the occurrence of such a problem, a predetermined management table is provided in the file management unit 8, and a large number of files are not read in a unit time, and the files are managed in file units by the above-described file management function. You can also.
[0040]
For example, the management table 3 as shown in Table 5 is set, the presence / absence of this management function is specified in the specified partition area as the use condition, and the unit time to be managed is specified (in units of seconds, etc.). Specify up to how many files Read is allowed per unit time.
For example, since it is considered that there is no possibility of browsing personal information of a large number of people in a unit time (for example, for five people in five minutes) from a window terminal such as a government office connected to the personal information server via an intranet, If the number of read files is equal to or more than the number of set files (number of persons) in units of set time, dummy data is transferred after the number of managed files and the process is completed. On the other hand, if a large amount of data is required, it can be obtained by using an administrator input device (such as a PC).
[0041]
[Table 5]

[0042]
In addition, a LOG FLAG (ON / OFF) item may be set in the HOST1 (administrator input device) access condition. For example, when the data protection device has the above-described copy (mirror) function, when it is ON, the illegal intervention information is logged as unauthorized intervention data (file name or the like) in the LOG allocation area of the administrator HDD. Then, the administrator can refer to this data to know the unauthorized intervention and to shut down the system (for example, change the readable area of the HDD to an impossible area), and do not perform LOG when OFF. By doing so, the security described above can be further strengthened.
[0043]
The best configuration and method for carrying out the present invention have been disclosed in the above description, but the present invention is not limited to this.
That is, the present invention has been particularly shown and described mainly with respect to a specific embodiment. However, without departing from the scope of the technical idea and the purpose of the present invention, the present invention can be applied to the embodiment described above. Those skilled in the art can make various modifications to the configuration and the like.
Further, in the present invention, the types of storage devices are referred to as a storage device for an administrator, a storage device for public use, a storage device for mail, and the like, and these indicate the types of main storage data to be stored in the storage device. However, this does not preclude storing other types of data by dividing them into partitions or adding other storage devices.
[0044]
【The invention's effect】
As described above, with the data protection device and the data protection system according to the present invention, access can be performed for each storage device or for each region set separately in the storage device using relatively simple and versatile hardware. And control and management of commands and commands to prevent unauthorized intervention or tampering on a file-by-file basis, enabling security to be implemented in various situations.
[Brief description of the drawings]
FIG. 1 is an overall configuration diagram showing a data protection system according to an embodiment of the present invention.
FIG. 2 is a block diagram showing a server part in the data protection system of FIG. 1;
FIG. 3 is a flowchart illustrating an operation example of the data protection system according to the embodiment of the present invention.
FIG. 4 is a flowchart illustrating an operation example of the data protection system according to the embodiment of the present invention.
FIG. 5 is a flowchart illustrating an operation example of the data protection system according to the embodiment of the present invention.
FIG. 6 is a block diagram showing a server portion in the data protection system according to the embodiment of the present invention.
[Explanation of symbols]
1, 1 'data protection system, 2, 2' data protection device, 2A, 2B controller unit, 2a administrator storage device, 2b public storage device, 2c mail storage device, 2d, 2e storage device, 3a, 3b Connection port, 4 motherboard, 7 control unit, 8 file management unit, 10 Internet, 11, 11 'server, 12 provider, 13 administrator input device, 14 general user computer

Claims

A data protection device having an interface connected to at least one or more storage devices, and one or more connection ports to which an administrator input device and a general user computer are connected through a predetermined line. File management that can be divided and managed for each area, and has firmware that searches for and manages a file in the area that has been accessed by controlling under conditions provided by an access route and a command type for each area. A data protection device having a section and attachable to a server.

2. The data protection device according to claim 1, wherein the firmware performs data processing on a file basis.

3. The data protection device according to claim 1, wherein the file management unit has one or a plurality of management tables.

The data protection device according to claim 3, wherein the file management unit can limit the number of read files in a predetermined time by the management table.

The condition of the type of the access route and the command can be set for each of the storage devices or for each of the storage devices and the area of the storage device from the administrator input device. Data protection device.

A server incorporating the data protection device according to claim 1, 2, 3, 4, or 5.

7. The server according to claim 6, comprising a predetermined line, the administrator input device and a general user computer connected via the predetermined line, the data protection device including the file management unit, A file in the area which can be divided and managed for each area of the storage device and which is accessed under control provided by an access route and a command type for each storage device or each area of the storage device A data protection system for performing search and management of data.