JP3700671B2 - セキュリティ管理システム - Google Patents
セキュリティ管理システム Download PDFInfo
- Publication number
- JP3700671B2 JP3700671B2 JP2002107715A JP2002107715A JP3700671B2 JP 3700671 B2 JP3700671 B2 JP 3700671B2 JP 2002107715 A JP2002107715 A JP 2002107715A JP 2002107715 A JP2002107715 A JP 2002107715A JP 3700671 B2 JP3700671 B2 JP 3700671B2
- Authority
- JP
- Japan
- Prior art keywords
- service
- data
- communication
- security
- security management
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
- Small-Scale Networks (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、ネットワーク上に接続されたシステムの間で行う通信のセキュリティを管理するセキュリティ管理システムに関するものである。
【０００２】
【従来の技術】
インターネットを利用したリモート監視、リモート操作、リモートメンテ等のニーズが増えている。これに伴って、ネットワークへの不正侵入やウィルスの混入等、ネットワークセキュリティの心配が出ている。本社と工場、事業所間であれば、管理と責任は自社の範疇であるが、企業間たとえばセットメーカやプラントメーカ、装置メーカなどのベンダが客先（ユーザ）のシステムをリモートでサービスをするときは、高いセキュリティが要求される。
【０００３】
インターネットを使ったセキュリティの高い通信のやり方にはいくつかの手法があるが、通信相手が固定されている場合は、ＶＰＮ(Virtual Private Network)装置を使って暗号化通信する手法が、多く使われている。
【０００４】
図３は従来におけるＶＰＮ装置を用いたセキュリティ管理システムの構成図である。
図３で、インターネット１にはプロバイダ２を介してサービス提供者のシステム３と、サービス依頼者Ａ，Ｂのシステム４，５が接続されている。
サービス提供者のシステム３では、ルータ装置３１、ＶＰＮ装置３２を介してリモートサービス用コンピュータ３３がインターネット１に接続されている。
【０００５】
サービス依頼者Ａのシステム４では、ルータ装置４１、ＶＰＮ装置４２を介して監視対象４３，４４がインターネット１に接続されている。システム４内にはＬＡＮ４５，４６が敷設されている。
サービス依頼者Ｂのシステム５では、モデム５１、ＶＰＮ装置５２を介して監視対象５３がインターネット１に接続されている。
ここで、監視対象４４，５３は、例えばＰＬＣ（Programmable Logic Controller）である。また、監視対象４３は、例えばプロセス制御システムの操作監視ステーションである。
【０００６】
サービス提供者のシステム３は、サービス依頼者Ａ，Ｂのシステム４，５に対して監視対象を監視するリモートサービスを提供する。リモートサービスは、例えばサービス提供者のシステム３がサービス依頼者Ａ，Ｂのシステム４，５にある監視対象のプロセスデータを監視するサービスである。サービスを提供するときにシステム３とシステム４，５の間で通信を行う。
図３のシステムでは、サービス依頼者Ａ，Ｂのシステム４，５にある監視対象のプロセスデータはＶＰＮ装置により暗号化された後に、インターネット１を通じてサービス提供者のシステム３に送られ、サービス提供者のシステム３側のＶＰＮ装置により復号化することにより、途中の回線での不正アクセスやウイルスの混入を回避できる。
【０００７】
インターネット上のセキュリティはＶＰＮ装置によって確保されているが、リモートサービスの提供側、依頼側とも内部のネットワークがセキュアである前提でセキュリティが確保されている。したがって、企業内の事業所間の接続には、全体のセキュリティポリシーが統一され、その範疇でこのシステムはセキュアであると言える。
しかし、サービスの提供側、依頼側内部の不正アクセスやウイルスはＶＰＮ装置を通じて通信相手側に混入する危険がある。複数の依頼側と通信可能である提供側では、ある依頼側に入ったウィルスが提供側を経由して別の依頼側へ伝搬する可能性が多分にある。これは、ＶＰＮ装置があることが逆に災いして、各企業内で持っている不正アクセス検知機能を通過してしまう。
【０００８】
別企業のように組織体が別であるばあい、それぞれの内部のセキュリティポリシーやセキュリティレベルに差があるため、ＶＰＮ装置での直接の企業間接続は、多くの不安があり、実現できない。図３の例では、サービス依頼者Ａのシステム４は大企業のシステムでセキュリティレベルが高く、サービス依頼者Ｂのシステム５は中小企業のシステムでセキュリティレベルが低い。このため、サービス依頼者Ａのシステム４のセキュリティレベルをいくら高くしてもサービス依頼者Ｂのシステム５からウィルスが侵入することがある。
ウィルスはセキュリティレベルが一番低い箇所から侵入するので、サービス提供側（ベンダ側）とサービス依頼側（ユーザ側）とのセキュリティレベルが共に高くないと危険な状況になる。
あるユーザからの不正アクセスがベンダのシステムを経由して別のユーザに波及すると、ベンダ側の信頼を失墜する恐れがある。
【０００９】
【発明が解決しようとする課題】
本発明は上述した問題点を解決するためになされたものであり、送信元から送信先にデータを送るときに監視ステーションを経由させ、監視ステーションでセキュリティチェックをかけることによって、あるサービス依頼者のシステムに侵入したウィルスがサービス提供者のシステムを経由して別のサービス依頼者のシステムへ伝搬することを防ぎ、企業間でリモートサービス等を行うときに、一定レベルのセキュリティチェックをした通信を確保できるとともに、ウィルスの拡散を防止できるセキュリティ管理システムを実現することを目的とする。
【００１０】
【課題を解決するための手段】
本発明は次のとおりの構成になったセキュリティ管理システムである。
【００１１】
（１）ネットワーク上に接続されたサービス提供者のシステムとサービス依頼者のシステムの間で行う通信のセキュリティを管理するセキュリティ管理システムにおいて、
送信元のシステムから送信先のシステムへ送るデータを経由する監視ステーションを設け、前記送信元のシステムは暗号化したデータをネットワークに送出し、前記監視ステーションは、送信元のシステムから取り込んだデータを復号化し、復号化したデータにウィルスチェックをかけ、チェックの結果、問題がない場合は、データを再び暗号化してから送信先のステーションへ送ることを特徴とするセキュリティ管理システム。
【００１２】
（２）前記監視ステーションは、データのウィルスチェックの結果、異常が発見された場合は、このデータの通信を遮断することを特徴とする（１）記載のセキュリティ管理システム。
【００１３】
（３）前記監視ステーションは、ウィルスチェック結果の報告またはセキュリティに関する情報提供を定期的に行い、ウィルスチェックの結果、異常が発見された場合は、緊急連絡をすることを特徴とする（１）または（２）記載のセキュリティ管理システム。
【００１４】
（４）前記サービス提供者のシステムとサービス依頼者のシステムは、１：ＮまたはＮ：Ｎの通信を行うことを特徴とする（１）に記載のセキュリティ管理システム。
【００１５】
（５）前記監視ステーションは、サービス提供者のシステムが行うサービスを代行することを特徴とする（１）に記載のセキュリティ管理システム。
【００１６】
（６）前記監視ステーションは、サービス提供者のシステムがサービス依頼者のシステムに対して行う管理を請け負うことを特徴とする（１）に記載のセキュリティ管理システム。
【００１７】
（７）サービス提供者のシステムが行うサービスは、リモート監視、リモート運転、リモートメンテナンス、リモートエンジニアリングの少なくとも１つであることを特徴とする（１）に記載のセキュリティ管理システム。
【００１８】
（８）前記サービス提供者のシステムとサービス依頼者のシステムの間で行う通信は企業間通信であることを特徴とする（１）に記載のセキュリティ管理システム。
【００２１】
【発明の実施の形態】
以下図面を用いて本発明を詳しく説明する。
図１は本発明の一実施例を示す構成図である。図１で図３と同一のものは同一符号を付ける。
図１で、サービス提供者とサービス依頼者の間で行う通信は、監視ステーション６を経由する。監視ステーション６は、送信元のシステムから送られたデータを取り込んでセキュリティチェックをかける。チェックの結果、問題がない場合は、取り込んだデータを送信先のシステムへ送る。チェックの結果、異常が発見された場合は、このデータを送り出さない。監視ステーション６はリモートアクセスセンターとして機能する。
【００２２】
ルータ装置６１とＶＰＮ装置６２を介してネットワーク交換装置６３と監視装置６４がネットワーク１に接続されている。ＬＡＮ６５は、監視ステーション６内に敷設されていて、ネットワーク交換装置６３と監視装置６４が接続されている。ネットワーク交換装置６３はデータを取り込んだり、取り込んだデータを送出したりする装置である。監視装置６４は監視ステーション６に送られてきたデータにセキュリティチェックをかける。例えば、ネットワーク交換装置６３にデータを取り込んだときと、ネットワーク交換装置６３からデータを送出するときにそれぞれセキュリティチェックをかける。監視装置６４は不正アクセスやウィルスを監視する。
【００２３】
図２は監視ステーション６の構成ブロック図である。
図２で、通信手段６０１は監視ステーション６がネットワーク１を経由して通信するために設けられている。通信手段６０１はルータ装置６１に設けられている。
復号化手段６０２は監視ステーション６が取り込んだデータを復号化する。暗号化手段６０３は復号化したデータを暗号化する。復号化手段６０２と暗号化手段６０３はＶＰＮ装置６２に設けられている。
【００２４】
チェック手段６０４は復号化手段６０２で復号化したデータに不正アクセス及びウィルスのチェックをかける。チェックの結果、問題がない場合は、暗号化手段６０３へ送る。このデータは暗号化手段６０３で再び暗号化され、インターネット１へ送出される。
処理手段６０５は、セキュリティチェックの結果、異常が発見された場合は、このデータの通信を遮断する。非常に危ないウィルスが蔓延し、このウィルスに対するワクチンがすぐにできていないときは、直接ウィルスが侵入していなくても、通信を遮断する。また、処理手段６０５は、セキュリティチェック結果の報告またはセキュリティに関する情報提供を定期的に行ったり、セキュリティチェックの結果、異常が発見された場合は、緊急連絡をする。
チェック手段６０４と処理手段６０５は監視装置６４に設けられている。
【００２５】
図１及び図２のシステムの動作を説明する。
サービス提供側、依頼側とも通信はすべてリモートアクセスセンターとして機能する監視ステーション６を通じて行う。サービス依頼者Ａ，Ｂのシステム４，５からのデータは、ＶＰＮ装置４２，５２を通じて暗号化され、インターネット１を通じて監視ステーション６に送られる。監視ステーション６では、送られてきたデータをＶＰＮ装置６２で復号化する。この復号化されたデータに対して、監視装置６４が不正アクセスおよびウィルスのチェックをする。チェックの結果、異常がない場合は、再びＶＰＮ装置６２により暗号化してインターネット１を通じてサービス提供者のシステム３に送る。サービス提供者のシステム３では、ＶＰＮ装置３２により復号化する。逆方向の通信も同様である。監視装置６４のチェックで異常が発見された場合は、監視装置６４はそのデータの通信を遮断し、相手および他のサービス依頼者への波及を防ぐ。
通信を行うときに、データが監視ステーション６を経由してから送信先へ行くように通信フレームにアドレスが付けられている。
【００２６】
サービス提供側、サービス依頼側とも契約によってあらかじめ接続相手が決められ、ＩＰアドレスおよびＶＰＮ装置の設定で、固定化する。通信は全てが監視ステーション６へ一旦送られるが、サービス提供側、サービス依頼側から見ると、決められた相手のみの通信となり、インターネット上でありながら、プライベートな通信が可能である。同時に、これらの通信は監視ステーション６で一元化管理しているので、その通信状況を把握し、不正アクセスやウイルスチェックのみならず、監視ステーション６にて様々なサービスが可能となる。
【００２７】
インターネットを使ったプライベートな通信はＶＰＮ装置により実用化しているが、当事者同士のセキュアな通信になっている。この間に第３者（監視ステーション６）を入れることにより、特定のＮ：Ｎ通信がセキュアに行える。これと同時に、リモート監視、リモート運転、リモートメンテナンス、リモートエンジニアリング等の様々な付加サービスを提供できる。これらは、サービス提供側の事業（サービス提供者のシステム３が行うサービス）として実施可能となる。本発明は、このためのセキュアなインフラを提供するものである。
【００２８】
さらに、監視ステーション６がサービス提供者のシステム３が行うサービスの一部を代行してもよい。例えば、２４時間のセキュリティ監視の中で、夜間の所定時間帯の監視を監視ステーション６が代行してもよい。
また、監視ステーション６は、サービス提供者からの依頼で、サービス依頼者のシステム情報、データの保存、保管等の管理業務を請け負ってもよい。これらの管理業務はサービス提供者がサービス依頼者に対して行う業務である。
サービス提供者のシステムとサービス依頼者のシステムの間で行う通信は企業間通信（ＢｔｏＢ通信）である。
【００２９】
なお、サービス提供者のシステムとサービス依頼者のシステムで行う通信は、１：Ｎの通信でもＮ：Ｎの通信でもよい。
【００３０】
【発明の効果】
本発明によれば次の効果が得られる。
【００３１】
請求項１乃至請求項４記載の発明によれば次の効果が得られる。
ＶＰＮ装置を使ったセキュアな通信は、相互の内部がセキュアである前提で、セキュリティが保たれる。特に企業間の１：ＮやＮ：Ｎの通信では、それを確立し、維持することは困難である。どこかの脆弱性がセキュリティホールとなり、ＶＰＮ装置によって他に邪魔されることなく、通信相手へ不正アクセスやウイルスが侵入してしまう。
本発明では、サービス提供者のシステムとサービス依頼者のシステムが行う通信の間に、第３者としての監視ステーションを入れて、ここでセキュリティの監視、ウイルスの監視をする。これによって、サービス提供者のシステムとサービス依頼者の間で行う通信に対して一定レベルのセキュリティを確保することができる。また、サービス依頼者のシステムに侵入した不正アクセスやウイルスがサービス提供者のシステムを経由して、他のサービス依頼者のシステムへ拡散することを防止できる。
【００３２】
請求項５記載の発明では、サービス提供者のシステムとサービス依頼者のシステムの少なくとも一方が複数存在する場合でも、通信のセキュリティを一定レベルに保証できる。
【００３３】
請求項６及び請求項７記載の発明によれば、セキュリティに対するサービス提供者のシステムの負担を軽減するだけでなく、サービス提供者のシステムが行うサービスの負担も軽減できる。
【００３４】
請求項８記載の発明によれば、リモート監視、リモート運転、リモートメンテナンス、リモートエンジニアリングのサービスを提供するときの通信について、セキュリティを一定レベルに保証できる。
【００３５】
請求項９記載の発明によれば、企業間通信のセキュリティを一定レベルに保証できる。
【図面の簡単な説明】
【図１】本発明の一実施例を示す構成図である。
【図２】本発明の要部構成図である。
【図３】従来におけるセキュリティ管理システムの構成図である。
【符号の説明】
１ インターネット
３ サービス提供者のシステム
４，５ サービス依頼者のシステム
６ 監視ステーション
３２，４２，５２ ＶＰＮ装置
６４ 監視装置
【発明の属する技術分野】
本発明は、ネットワーク上に接続されたシステムの間で行う通信のセキュリティを管理するセキュリティ管理システムに関するものである。
【０００２】
【従来の技術】
インターネットを利用したリモート監視、リモート操作、リモートメンテ等のニーズが増えている。これに伴って、ネットワークへの不正侵入やウィルスの混入等、ネットワークセキュリティの心配が出ている。本社と工場、事業所間であれば、管理と責任は自社の範疇であるが、企業間たとえばセットメーカやプラントメーカ、装置メーカなどのベンダが客先（ユーザ）のシステムをリモートでサービスをするときは、高いセキュリティが要求される。
【０００３】
インターネットを使ったセキュリティの高い通信のやり方にはいくつかの手法があるが、通信相手が固定されている場合は、ＶＰＮ(Virtual Private Network)装置を使って暗号化通信する手法が、多く使われている。
【０００４】
図３は従来におけるＶＰＮ装置を用いたセキュリティ管理システムの構成図である。
図３で、インターネット１にはプロバイダ２を介してサービス提供者のシステム３と、サービス依頼者Ａ，Ｂのシステム４，５が接続されている。
サービス提供者のシステム３では、ルータ装置３１、ＶＰＮ装置３２を介してリモートサービス用コンピュータ３３がインターネット１に接続されている。
【０００５】
サービス依頼者Ａのシステム４では、ルータ装置４１、ＶＰＮ装置４２を介して監視対象４３，４４がインターネット１に接続されている。システム４内にはＬＡＮ４５，４６が敷設されている。
サービス依頼者Ｂのシステム５では、モデム５１、ＶＰＮ装置５２を介して監視対象５３がインターネット１に接続されている。
ここで、監視対象４４，５３は、例えばＰＬＣ（Programmable Logic Controller）である。また、監視対象４３は、例えばプロセス制御システムの操作監視ステーションである。
【０００６】
サービス提供者のシステム３は、サービス依頼者Ａ，Ｂのシステム４，５に対して監視対象を監視するリモートサービスを提供する。リモートサービスは、例えばサービス提供者のシステム３がサービス依頼者Ａ，Ｂのシステム４，５にある監視対象のプロセスデータを監視するサービスである。サービスを提供するときにシステム３とシステム４，５の間で通信を行う。
図３のシステムでは、サービス依頼者Ａ，Ｂのシステム４，５にある監視対象のプロセスデータはＶＰＮ装置により暗号化された後に、インターネット１を通じてサービス提供者のシステム３に送られ、サービス提供者のシステム３側のＶＰＮ装置により復号化することにより、途中の回線での不正アクセスやウイルスの混入を回避できる。
【０００７】
インターネット上のセキュリティはＶＰＮ装置によって確保されているが、リモートサービスの提供側、依頼側とも内部のネットワークがセキュアである前提でセキュリティが確保されている。したがって、企業内の事業所間の接続には、全体のセキュリティポリシーが統一され、その範疇でこのシステムはセキュアであると言える。
しかし、サービスの提供側、依頼側内部の不正アクセスやウイルスはＶＰＮ装置を通じて通信相手側に混入する危険がある。複数の依頼側と通信可能である提供側では、ある依頼側に入ったウィルスが提供側を経由して別の依頼側へ伝搬する可能性が多分にある。これは、ＶＰＮ装置があることが逆に災いして、各企業内で持っている不正アクセス検知機能を通過してしまう。
【０００８】
別企業のように組織体が別であるばあい、それぞれの内部のセキュリティポリシーやセキュリティレベルに差があるため、ＶＰＮ装置での直接の企業間接続は、多くの不安があり、実現できない。図３の例では、サービス依頼者Ａのシステム４は大企業のシステムでセキュリティレベルが高く、サービス依頼者Ｂのシステム５は中小企業のシステムでセキュリティレベルが低い。このため、サービス依頼者Ａのシステム４のセキュリティレベルをいくら高くしてもサービス依頼者Ｂのシステム５からウィルスが侵入することがある。
ウィルスはセキュリティレベルが一番低い箇所から侵入するので、サービス提供側（ベンダ側）とサービス依頼側（ユーザ側）とのセキュリティレベルが共に高くないと危険な状況になる。
あるユーザからの不正アクセスがベンダのシステムを経由して別のユーザに波及すると、ベンダ側の信頼を失墜する恐れがある。
【０００９】
【発明が解決しようとする課題】
本発明は上述した問題点を解決するためになされたものであり、送信元から送信先にデータを送るときに監視ステーションを経由させ、監視ステーションでセキュリティチェックをかけることによって、あるサービス依頼者のシステムに侵入したウィルスがサービス提供者のシステムを経由して別のサービス依頼者のシステムへ伝搬することを防ぎ、企業間でリモートサービス等を行うときに、一定レベルのセキュリティチェックをした通信を確保できるとともに、ウィルスの拡散を防止できるセキュリティ管理システムを実現することを目的とする。
【００１０】
【課題を解決するための手段】
本発明は次のとおりの構成になったセキュリティ管理システムである。
【００１１】
（１）ネットワーク上に接続されたサービス提供者のシステムとサービス依頼者のシステムの間で行う通信のセキュリティを管理するセキュリティ管理システムにおいて、
送信元のシステムから送信先のシステムへ送るデータを経由する監視ステーションを設け、前記送信元のシステムは暗号化したデータをネットワークに送出し、前記監視ステーションは、送信元のシステムから取り込んだデータを復号化し、復号化したデータにウィルスチェックをかけ、チェックの結果、問題がない場合は、データを再び暗号化してから送信先のステーションへ送ることを特徴とするセキュリティ管理システム。
【００１２】
（２）前記監視ステーションは、データのウィルスチェックの結果、異常が発見された場合は、このデータの通信を遮断することを特徴とする（１）記載のセキュリティ管理システム。
【００１３】
（３）前記監視ステーションは、ウィルスチェック結果の報告またはセキュリティに関する情報提供を定期的に行い、ウィルスチェックの結果、異常が発見された場合は、緊急連絡をすることを特徴とする（１）または（２）記載のセキュリティ管理システム。
【００１４】
（４）前記サービス提供者のシステムとサービス依頼者のシステムは、１：ＮまたはＮ：Ｎの通信を行うことを特徴とする（１）に記載のセキュリティ管理システム。
【００１５】
（５）前記監視ステーションは、サービス提供者のシステムが行うサービスを代行することを特徴とする（１）に記載のセキュリティ管理システム。
【００１６】
（６）前記監視ステーションは、サービス提供者のシステムがサービス依頼者のシステムに対して行う管理を請け負うことを特徴とする（１）に記載のセキュリティ管理システム。
【００１７】
（７）サービス提供者のシステムが行うサービスは、リモート監視、リモート運転、リモートメンテナンス、リモートエンジニアリングの少なくとも１つであることを特徴とする（１）に記載のセキュリティ管理システム。
【００１８】
（８）前記サービス提供者のシステムとサービス依頼者のシステムの間で行う通信は企業間通信であることを特徴とする（１）に記載のセキュリティ管理システム。
【００２１】
【発明の実施の形態】
以下図面を用いて本発明を詳しく説明する。
図１は本発明の一実施例を示す構成図である。図１で図３と同一のものは同一符号を付ける。
図１で、サービス提供者とサービス依頼者の間で行う通信は、監視ステーション６を経由する。監視ステーション６は、送信元のシステムから送られたデータを取り込んでセキュリティチェックをかける。チェックの結果、問題がない場合は、取り込んだデータを送信先のシステムへ送る。チェックの結果、異常が発見された場合は、このデータを送り出さない。監視ステーション６はリモートアクセスセンターとして機能する。
【００２２】
ルータ装置６１とＶＰＮ装置６２を介してネットワーク交換装置６３と監視装置６４がネットワーク１に接続されている。ＬＡＮ６５は、監視ステーション６内に敷設されていて、ネットワーク交換装置６３と監視装置６４が接続されている。ネットワーク交換装置６３はデータを取り込んだり、取り込んだデータを送出したりする装置である。監視装置６４は監視ステーション６に送られてきたデータにセキュリティチェックをかける。例えば、ネットワーク交換装置６３にデータを取り込んだときと、ネットワーク交換装置６３からデータを送出するときにそれぞれセキュリティチェックをかける。監視装置６４は不正アクセスやウィルスを監視する。
【００２３】
図２は監視ステーション６の構成ブロック図である。
図２で、通信手段６０１は監視ステーション６がネットワーク１を経由して通信するために設けられている。通信手段６０１はルータ装置６１に設けられている。
復号化手段６０２は監視ステーション６が取り込んだデータを復号化する。暗号化手段６０３は復号化したデータを暗号化する。復号化手段６０２と暗号化手段６０３はＶＰＮ装置６２に設けられている。
【００２４】
チェック手段６０４は復号化手段６０２で復号化したデータに不正アクセス及びウィルスのチェックをかける。チェックの結果、問題がない場合は、暗号化手段６０３へ送る。このデータは暗号化手段６０３で再び暗号化され、インターネット１へ送出される。
処理手段６０５は、セキュリティチェックの結果、異常が発見された場合は、このデータの通信を遮断する。非常に危ないウィルスが蔓延し、このウィルスに対するワクチンがすぐにできていないときは、直接ウィルスが侵入していなくても、通信を遮断する。また、処理手段６０５は、セキュリティチェック結果の報告またはセキュリティに関する情報提供を定期的に行ったり、セキュリティチェックの結果、異常が発見された場合は、緊急連絡をする。
チェック手段６０４と処理手段６０５は監視装置６４に設けられている。
【００２５】
図１及び図２のシステムの動作を説明する。
サービス提供側、依頼側とも通信はすべてリモートアクセスセンターとして機能する監視ステーション６を通じて行う。サービス依頼者Ａ，Ｂのシステム４，５からのデータは、ＶＰＮ装置４２，５２を通じて暗号化され、インターネット１を通じて監視ステーション６に送られる。監視ステーション６では、送られてきたデータをＶＰＮ装置６２で復号化する。この復号化されたデータに対して、監視装置６４が不正アクセスおよびウィルスのチェックをする。チェックの結果、異常がない場合は、再びＶＰＮ装置６２により暗号化してインターネット１を通じてサービス提供者のシステム３に送る。サービス提供者のシステム３では、ＶＰＮ装置３２により復号化する。逆方向の通信も同様である。監視装置６４のチェックで異常が発見された場合は、監視装置６４はそのデータの通信を遮断し、相手および他のサービス依頼者への波及を防ぐ。
通信を行うときに、データが監視ステーション６を経由してから送信先へ行くように通信フレームにアドレスが付けられている。
【００２６】
サービス提供側、サービス依頼側とも契約によってあらかじめ接続相手が決められ、ＩＰアドレスおよびＶＰＮ装置の設定で、固定化する。通信は全てが監視ステーション６へ一旦送られるが、サービス提供側、サービス依頼側から見ると、決められた相手のみの通信となり、インターネット上でありながら、プライベートな通信が可能である。同時に、これらの通信は監視ステーション６で一元化管理しているので、その通信状況を把握し、不正アクセスやウイルスチェックのみならず、監視ステーション６にて様々なサービスが可能となる。
【００２７】
インターネットを使ったプライベートな通信はＶＰＮ装置により実用化しているが、当事者同士のセキュアな通信になっている。この間に第３者（監視ステーション６）を入れることにより、特定のＮ：Ｎ通信がセキュアに行える。これと同時に、リモート監視、リモート運転、リモートメンテナンス、リモートエンジニアリング等の様々な付加サービスを提供できる。これらは、サービス提供側の事業（サービス提供者のシステム３が行うサービス）として実施可能となる。本発明は、このためのセキュアなインフラを提供するものである。
【００２８】
さらに、監視ステーション６がサービス提供者のシステム３が行うサービスの一部を代行してもよい。例えば、２４時間のセキュリティ監視の中で、夜間の所定時間帯の監視を監視ステーション６が代行してもよい。
また、監視ステーション６は、サービス提供者からの依頼で、サービス依頼者のシステム情報、データの保存、保管等の管理業務を請け負ってもよい。これらの管理業務はサービス提供者がサービス依頼者に対して行う業務である。
サービス提供者のシステムとサービス依頼者のシステムの間で行う通信は企業間通信（ＢｔｏＢ通信）である。
【００２９】
なお、サービス提供者のシステムとサービス依頼者のシステムで行う通信は、１：Ｎの通信でもＮ：Ｎの通信でもよい。
【００３０】
【発明の効果】
本発明によれば次の効果が得られる。
【００３１】
請求項１乃至請求項４記載の発明によれば次の効果が得られる。
ＶＰＮ装置を使ったセキュアな通信は、相互の内部がセキュアである前提で、セキュリティが保たれる。特に企業間の１：ＮやＮ：Ｎの通信では、それを確立し、維持することは困難である。どこかの脆弱性がセキュリティホールとなり、ＶＰＮ装置によって他に邪魔されることなく、通信相手へ不正アクセスやウイルスが侵入してしまう。
本発明では、サービス提供者のシステムとサービス依頼者のシステムが行う通信の間に、第３者としての監視ステーションを入れて、ここでセキュリティの監視、ウイルスの監視をする。これによって、サービス提供者のシステムとサービス依頼者の間で行う通信に対して一定レベルのセキュリティを確保することができる。また、サービス依頼者のシステムに侵入した不正アクセスやウイルスがサービス提供者のシステムを経由して、他のサービス依頼者のシステムへ拡散することを防止できる。
【００３２】
請求項５記載の発明では、サービス提供者のシステムとサービス依頼者のシステムの少なくとも一方が複数存在する場合でも、通信のセキュリティを一定レベルに保証できる。
【００３３】
請求項６及び請求項７記載の発明によれば、セキュリティに対するサービス提供者のシステムの負担を軽減するだけでなく、サービス提供者のシステムが行うサービスの負担も軽減できる。
【００３４】
請求項８記載の発明によれば、リモート監視、リモート運転、リモートメンテナンス、リモートエンジニアリングのサービスを提供するときの通信について、セキュリティを一定レベルに保証できる。
【００３５】
請求項９記載の発明によれば、企業間通信のセキュリティを一定レベルに保証できる。
【図面の簡単な説明】
【図１】本発明の一実施例を示す構成図である。
【図２】本発明の要部構成図である。
【図３】従来におけるセキュリティ管理システムの構成図である。
【符号の説明】
１ インターネット
３ サービス提供者のシステム
４，５ サービス依頼者のシステム
６ 監視ステーション
３２，４２，５２ ＶＰＮ装置
６４ 監視装置
Claims (8)
- ネットワーク上に接続されたサービス提供者のシステムとサービス依頼者のシステムの間で行う通信のセキュリティを管理するセキュリティ管理システムにおいて、
送信元のシステムから送信先のシステムへ送るデータを経由する監視ステーションを設け、前記送信元のシステムは暗号化したデータをネットワークに送出し、前記監視ステーションは、送信元のシステムから取り込んだデータを復号化し、復号化したデータにウィルスチェックをかけ、チェックの結果、問題がない場合は、データを再び暗号化してから送信先のステーションへ送ることを特徴とするセキュリティ管理システム。 - 前記監視ステーションは、データのウィルスチェックの結果、異常が発見された場合は、このデータの通信を遮断することを特徴とする請求項１記載のセキュリティ管理システム。
- 前記監視ステーションは、ウィルスチェック結果の報告またはセキュリティに関する情報提供を定期的に行い、ウィルスチェックの結果、異常が発見された場合は、緊急連絡をすることを特徴とする請求項１または請求項２記載のセキュリティ管理システム。
- 前記サービス提供者のシステムとサービス依頼者のシステムは、１：ＮまたはＮ：Ｎの通信を行うことを特徴とする請求項１に記載のセキュリティ管理システム。
- 前記監視ステーションは、サービス提供者のシステムが行うサービスを代行することを特徴とする請求項１に記載のセキュリティ管理システム。
- 前記監視ステーションは、サービス提供者のシステムがサービス依頼者のシステムに対して行う管理を請け負うことを特徴とする請求項１に記載のセキュリティ管理システム。
- サービス提供者のシステムが行うサービスは、リモート監視、リモート運転、リモートメンテナンス、リモートエンジニアリングの少なくとも１つであることを特徴とする請求項１に記載のセキュリティ管理システム。
- 前記サービス提供者のシステムとサービス依頼者のシステムの間で行う通信は企業間通信であることを特徴とする請求項１に記載のセキュリティ管理システム。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002107715A JP3700671B2 (ja) | 2002-04-10 | 2002-04-10 | セキュリティ管理システム |
| US10/387,374 US20030196082A1 (en) | 2002-04-10 | 2003-03-14 | Security management system |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002107715A JP3700671B2 (ja) | 2002-04-10 | 2002-04-10 | セキュリティ管理システム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2003304289A JP2003304289A (ja) | 2003-10-24 |
| JP3700671B2 true JP3700671B2 (ja) | 2005-09-28 |
Family
ID=28786477
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002107715A Expired - Fee Related JP3700671B2 (ja) | 2002-04-10 | 2002-04-10 | セキュリティ管理システム |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US20030196082A1 (ja) |
| JP (1) | JP3700671B2 (ja) |
Families Citing this family (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005210193A (ja) * | 2004-01-20 | 2005-08-04 | Matsushita Electric Works Ltd | 共通秘密鍵生成装置 |
| JP4351949B2 (ja) * | 2004-04-23 | 2009-10-28 | 三菱電機株式会社 | 不正侵入防止システム |
| JP4074266B2 (ja) | 2004-05-26 | 2008-04-09 | 株式会社東芝 | パケットフィルタリング装置、及びパケットフィルタリングプログラム |
| KR100951144B1 (ko) * | 2007-10-19 | 2010-04-07 | 한국정보보호진흥원 | 업무 모델 기반의 네트워크 취약점 점검 시스템 및 방법 |
| US8127350B2 (en) * | 2010-06-30 | 2012-02-28 | Juniper Networks, Inc. | Multi-service VPN network client for mobile device |
| US8549617B2 (en) | 2010-06-30 | 2013-10-01 | Juniper Networks, Inc. | Multi-service VPN network client for mobile device having integrated acceleration |
| US10142292B2 (en) | 2010-06-30 | 2018-11-27 | Pulse Secure Llc | Dual-mode multi-service VPN network client for mobile device |
| JP5986044B2 (ja) * | 2013-07-02 | 2016-09-06 | 日本電信電話株式会社 | ネットワークシステム、通信制御方法、通信制御装置、およびプログラム |
| US9917911B2 (en) * | 2013-09-18 | 2018-03-13 | Mivalife Mobile Technology, Inc. | Security system communications management |
Family Cites Families (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US5245656A (en) * | 1992-09-09 | 1993-09-14 | Bell Communications Research, Inc. | Security method for private information delivery and filtering in public networks |
| US6408336B1 (en) * | 1997-03-10 | 2002-06-18 | David S. Schneider | Distributed administration of access to information |
| US5996011A (en) * | 1997-03-25 | 1999-11-30 | Unified Research Laboratories, Inc. | System and method for filtering data received by a computer system |
| US6151675A (en) * | 1998-07-23 | 2000-11-21 | Tumbleweed Software Corporation | Method and apparatus for effecting secure document format conversion |
| US6385727B1 (en) * | 1998-09-25 | 2002-05-07 | Hughes Electronics Corporation | Apparatus for providing a secure processing environment |
| US20030191957A1 (en) * | 1999-02-19 | 2003-10-09 | Ari Hypponen | Distributed computer virus detection and scanning |
| US7055027B1 (en) * | 1999-03-22 | 2006-05-30 | Microsoft Corporation | System and method for trusted inspection of a data stream |
| WO2002003220A2 (en) * | 2000-07-05 | 2002-01-10 | Ernst & Young Llp | Method and apparatus for providing computer services |
| US20020162026A1 (en) * | 2001-02-06 | 2002-10-31 | Michael Neuman | Apparatus and method for providing secure network communication |
| US20020143850A1 (en) * | 2001-03-27 | 2002-10-03 | Germano Caronni | Method and apparatus for progressively processing data |
| US7107464B2 (en) * | 2001-07-10 | 2006-09-12 | Telecom Italia S.P.A. | Virtual private network mechanism incorporating security association processor |
| JP4904642B2 (ja) * | 2001-07-18 | 2012-03-28 | 富士通株式会社 | 注文者認証機能を有する電子商取引提供システム |
-
2002
- 2002-04-10 JP JP2002107715A patent/JP3700671B2/ja not_active Expired - Fee Related
-
2003
- 2003-03-14 US US10/387,374 patent/US20030196082A1/en not_active Abandoned
Also Published As
| Publication number | Publication date |
|---|---|
| US20030196082A1 (en) | 2003-10-16 |
| JP2003304289A (ja) | 2003-10-24 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN110996318B (zh) | 一种变电站智能巡检机器人安全通信接入系统 | |
| CN104081711B (zh) | 用于在不用局部可访问的私有密钥的情况下终止ssl连接的方法、装置和系统 | |
| US20080192930A1 (en) | Method and System for Securely Scanning Network Traffic | |
| US8656154B1 (en) | Cloud based service logout using cryptographic challenge response | |
| US20080072280A1 (en) | Method and system to control access to a secure asset via an electronic communications network | |
| CN111600845A (zh) | 一种物联网数据访问控制方法及系统 | |
| JP3700671B2 (ja) | セキュリティ管理システム | |
| Wang et al. | Session-based access control in information-centric networks: Design and analyses | |
| US7424736B2 (en) | Method for establishing directed circuits between parties with limited mutual trust | |
| Herscovitz | Secure virtual private networks: the future of data communications | |
| KR100498747B1 (ko) | 사내망의 통합 보안 시스템 | |
| JP4720576B2 (ja) | ネットワークセキュリィテイ管理システム、暗号化通信の遠隔監視方法及び通信端末。 | |
| CN114374543B (zh) | 网络安全防护方法、系统、装置、安全交换机及存储介质 | |
| CN114024767B (zh) | 密码定义网络安全体系构建方法、体系架构及数据转发方法 | |
| Seneviratne et al. | Integrated Corporate Network Service Architecture for Bring Your Own Device (BYOD) Policy | |
| Cisco | Configuring the Device-Specific Settings of Network Objects | |
| Cisco | Configuring the Device-Specific Settings of Network Objects | |
| Cisco | Configuring the Device-Specific Settings of Network Objects | |
| JPH1188436A (ja) | 情報提供システム | |
| Cisco | Configuring IPSec Network Security | |
| KR20180031435A (ko) | 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법 | |
| Michalski et al. | Secure ICCP integration considerations and recommendations | |
| Kennedy Amadasun et al. | A Secured Network Prototype for Enhanced Connectivity in Hospital Environment for Remote Patient Monitoring | |
| KR100412238B1 (ko) | 아이피섹 통신을 수행하는 인터넷 보안 플랫폼의 관리시스템 및 그 관리 방법 | |
| JP7433620B1 (ja) | 通信方法、通信装置及びコンピュータプログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20041213 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20041221 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050214 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20050315 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20050426 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20050603 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20050621 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20050704 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| A761 | Written withdrawal of application |
Free format text: JAPANESE INTERMEDIATE CODE: A761 Effective date: 20070227 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090722 Year of fee payment: 4 |
|
| LAPS | Cancellation because of no payment of annual fees |