WO2006095438A1 - アクセス制御方法、アクセス制御システムおよびパケット通信装置 - Google Patents

アクセス制御方法、アクセス制御システムおよびパケット通信装置 Download PDF

Info

Publication number
WO2006095438A1
WO2006095438A1 PCT/JP2005/004359 JP2005004359W WO2006095438A1 WO 2006095438 A1 WO2006095438 A1 WO 2006095438A1 JP 2005004359 W JP2005004359 W JP 2005004359W WO 2006095438 A1 WO2006095438 A1 WO 2006095438A1
Authority
WO
WIPO (PCT)
Prior art keywords
packet
user
access control
attribute information
communication device
Prior art date
Application number
PCT/JP2005/004359
Other languages
English (en)
French (fr)
Inventor
Daisuke Shinomiya
Hidekazu Baba
Yasuharu Ito
Original Assignee
Fujitsu Limited
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Limited filed Critical Fujitsu Limited
Priority to EP05720630.2A priority Critical patent/EP1858204A4/en
Priority to JP2007506969A priority patent/JP4630896B2/ja
Priority to PCT/JP2005/004359 priority patent/WO2006095438A1/ja
Priority to CN2005800490048A priority patent/CN101160839B/zh
Publication of WO2006095438A1 publication Critical patent/WO2006095438A1/ja
Priority to US11/836,992 priority patent/US7856016B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2854—Wide area networks, e.g. public data networks
    • H04L12/2856—Access arrangements, e.g. Internet access
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Definitions

  • Access control method access control system, and packet communication apparatus
  • the present invention relates to an access control method, an access control system, and a packet communication device.
  • the present invention relates to an access control method for packet communication, an access control system using the method, and a packet communication apparatus.
  • computers such as personal computers and network devices such as packet communication devices have become cheaper, more functional, and more advanced, and computer networks using computers and network devices (hereinafter simply referred to as networks). Is rapidly spreading.
  • measures in the OSI reference model at the second layer include filtering by MAC address and route control by partial LAN (VLAN).
  • VLAN virtual LAN
  • settings such as filtering by IP address are set in the packet communication device, and only the area permitted by the user (computer) is accessed. Access control.
  • Patent Documents 1 and 2 describe an example of access control based on filter settings.
  • Patent Document 1 JP-A-2004-62417
  • Patent Document 2 JP 2004-15530 A
  • FIG. 1 is a configuration diagram of an example of a network.
  • the network in Fig. 1 performs access control based on the filter settings of the packet communication device 1-4.
  • control is performed at the IP level, in the network shown in Fig. 1, as a filter setting for the IP address of the packet communication device 2, rules permitting communication between the PC 5 and the application server 6 and other PC and application servers Access control is performed by setting rules that restrict communication with 6.
  • the filter setting only needs to set the rule to either pass or block the packet, so the total power of m X n / 2 is set. There is a problem that it is difficult to separate whether it is a V-rail.
  • the rules between all the PCs 5, 7, 8 and application servers 6, 9 are set in the packet communication device 1-4.
  • the packet communication devices 1 to 4 set only the rules related to the PCs managed by the respective networks, and reduce the amount to be set.
  • PC8 moves to PC7
  • packet communication device 4 changes to PC8 set in packet communication device 3.
  • Related rules must be set. For this reason, there is a problem that the burden on the network administrator increases when the user moves frequently.
  • each packet communication device 1 when an application server 9 is added, each packet communication device 1
  • the present invention has been made in view of the above points, and an object thereof is to provide an access control method, an access control system, and a packet communication apparatus in which security and convenience coexist.
  • the present invention provides an access control method in a network including a plurality of packet communication devices, in which a packet communication device as a transmission source transmits user attribute information to a packet to be transmitted. And a second step in which the destination packet communication device performs access control based on the attribute information of the user assigned to the packet.
  • access control may be performed based on policy information set in advance and attribute information of the user.
  • the user attribute information given to the packet may be deleted.
  • application information of the packet is added to the packet to be transmitted in addition to the user attribute information
  • the user attribute information given to the packet and Access control may be performed based on a combination of the application information of the packets.
  • the pre-assigned user attribute information is deleted, and then the packet is It is good also as giving the attribute information of the user who transmits.
  • the first step gives the user attribute information when the packet to be transmitted is a packet to which the user attribute information is to be added, and the second step gives the received packet.
  • the access control may be performed based on the user attribute information given to the packet when the user attribute packet is to be given the user attribute information.
  • the present invention is an access control system configured to include a plurality of packet communication devices, a transmission source packet communication device that adds user attribute information to a packet to be transmitted, and the packet control device that is attached to the packet. And a destination packet communication apparatus that performs access control based on the attribute information of the user.
  • the present invention provides an attribute information adding means for adding user attribute information to a packet received from an end system, and the user attribute information added to a packet destined for the end system. And an access control means for performing access control based on this.
  • FIG. 1 is a configuration diagram of an example of a network.
  • FIG. 2 is a block diagram of an example of an access control system according to the present invention.
  • FIG. 3 is a sequence diagram showing an operation outline of the access control system according to the present invention.
  • FIG. 4 is a configuration diagram of an example of a table in which the packet communication apparatus holds user attribute values.
  • FIG. 5 is a block diagram showing an example of a security tag format.
  • FIG. 6 is a configuration diagram of an example of a table representing a security policy.
  • FIG. 7 is a block diagram of an embodiment of a packet communication device that implements a security agent function.
  • FIG. 8 is a block diagram of an embodiment of a packet communication device that implements a security judge function.
  • FIG. 10 is a configuration diagram of another example showing the format of the security tag.
  • a tag is generated based on user attributes (for example, information such as affiliation and job title) independent of the network configuration, and access control is performed using the tag.
  • Tags can also be generated based on user attribute information and packet application information.
  • the above tag is referred to as a security tag, and a security tag generated based on user attribute information and packet application information will be described as an example.
  • the processing for communicating from the PC 5 to the application server 6 is performed as follows.
  • the packet communication device 1 on the ingress side (source) identifies the application information of the packet received from the PC5, and adds a security tag generated based on the application information and the attribute information of the user operating the PC5 to the packet. Then send.
  • the packet communication device 2 on the egress side compares the policy information set in advance with the security tag attached to the received packet, and will be described later based on the comparison result. Determine whether access is possible or not. If it is determined that access is possible, the packet communication device 2 passes the packet. That is, the packet communication device 2 transmits the bucket to the application server 6. If it is determined that access is impossible, the packet communication device 2 discards the packet.
  • the access control of the present invention based on the filter setting of the packet communication device has a smaller number of settings than the conventional access control based on the filter setting of the packet communication device.
  • the number to be set is m X n as described above.
  • the maximum number to be set is m + n. This is because in the access control of the present invention by setting the filter of the packet communication device, it is necessary to set the attribute information of m users and the policy information of n devices.
  • the conventional access control based on the packet communication device filter settings allows a maximum of 10,000,000 settings. Is required.
  • a maximum of 11,000 settings is sufficient.
  • the user attribute information is set in an authentication server described later, it does not depend on the network configuration. For this reason, in the access control of the present invention based on the filter setting of the packet communication device, even if the user accesses from, for example, another office, the change or addition of the network configuration is not required to perform the filter setting again. Can respond flexibly.
  • Example 1
  • FIG. 2 is a configuration diagram of an example of an access control system according to the present invention.
  • the access control system of FIG. 2 has a configuration including packet communication apparatuses 11 and 12, an authentication server 13, a PC 15, an application server 16, and a communication network 17.
  • the packet communication devices 11 and 12 and the authentication server 13 are connected to a communication network 17.
  • the PC 15 is connected to the communication network 17 via the packet communication device 11.
  • the application server 16 is connected to the communication network 17 via the packet communication device 12 and connected.
  • the packet communication device 11 is, for example, an access switch hub or the like, and has a security agent function to be described later.
  • the packet communication device 12 is a load balancer that bundles multiple servers as an access switch, and has a security judge function to be described later.
  • the packet communication devices 11 and 12 are connected to end systems such as the PC 15 and the application server 16.
  • the authentication server 13 holds authentication information (for example, a list of user IDs and passwords) of users who use the access control system according to the present invention and user attribute information.
  • the authentication server 13 responds to the request from the packet communication device 11 with the authentication result and user attribute information.
  • the authentication server 13 is, for example, 3D with RADIUS (Remote Authentication Dial In User Service) Sano.
  • the security administrator 14 sets a security policy as policy information for each server such as the application server 16.
  • the security policy sets a combination of user attribute information and application information that are allowed access. Sekiyuri
  • the administrator 14 is responsible for setting authentication information and attribute information in the authentication server 13 for each user.
  • the application server 16 is an example of a server.
  • the PC 15 is an example of a device such as a computer operated by a user.
  • the communication network 17 is, for example, an IP-based network (such as an intranet) constructed by interconnecting routers. The user uses the PC 15 to perform specific application communication with the application server 16.
  • FIG. 3 is a sequence diagram showing an operation outline of the access control system according to the present invention.
  • the security administrator 14 sets a security policy for the packet communication device 12. For example, security administrator 14 states that “Web access packets pass when the attribute information value of the user (hereinafter simply referred to as attribute value) is 2 or more. For other application packets, the attribute value of the user is 4 or more. Set a security policy such that “Allow all other packets to be discarded.”
  • security clearance 15 is given according to the user's status and responsibility.
  • security clearance can be given as “5 for manager class, 4 for senior manager class, 3 for middle manager class, 2 for general employee class, 1 part-time job, 1 for outside visitors”.
  • the security administrator does not need to disclose the meaning of user attribute values, and can freely define the meaning of user attribute values.
  • the security clearance can be set for each department to which the user belongs, and may be given as "1 for sales, 2 for SE, 3 for development, 4 for personnel, 5 for accounting". it can .
  • the access control system according to the present invention allows the user belonging to the SE or development department to access the Web server and the user belonging to the sales department. It is possible to use such as not permitting access to the Web server.
  • User attribute values can be flexibly set according to the company's security policy.
  • step S 2 the security administrator 14 sets user authentication information (for example, user ID, password, etc.) and user attribute values in the authentication server 13. For example The security administrator 14 sets the user ID “12345678”, password “abcdefgh”, and user attribute value “3” as user authentication information.
  • Steps S1 and S2 constitute the preset phase.
  • the user connects the PC 15 to the packet communication device 11 and starts the authentication phase.
  • the authentication procedure performed in the authentication phase.
  • an authentication procedure using a user ID and password will be described as an example.
  • step S 3 the PC 15 transmits an authentication request packet including the user ID and password of the user to the packet communication device 11.
  • step S4 the packet communication device 11 transfers the authentication request packet received from the PC 15 to the authentication server 13.
  • the authentication server 13 performs authentication using the user ID and password included in the authentication request packet.
  • step S 5 when the authentication server 13 confirms that the user ID and the password correspond correctly, the authentication server 13 responds to the packet communication device 11 with the authentication OK and the user attribute value. For example, the authentication server 13 returns an authentication OK and a user attribute value “3” to the packet communication device 11. Note that the authentication server 13 returns an authentication NG to the packet communication device 11 if the user ID and password do not correspond correctly.
  • step S 6 the packet communication device 11 temporarily records the attribute value of the user and returns an authentication OK to the PC 15.
  • the packet communication device 11 holds the attribute value of the user while the authentication ⁇ K is valid. If there is a new authentication request with the same user power, the attribute value of the stored user is overwritten.
  • FIG. 4 is a configuration diagram of an example of a table in which the packet communication apparatus holds user attribute values.
  • the identifier for example, MAC address
  • the attribute value of the user are stored in association with each other.
  • steps S3—S6 constitutes an authentication phase.
  • the authentication phase if authentication is a positive result, there is no problem even if the authentication procedure changes as long as the correspondence between the authenticated user and the attribute value of the user is held in the packet communication device 11. There is no.
  • the communication phase is started after the authentication phase.
  • the Syn packet of the TCP procedure is sent from the PC 15 to the application server 16. If it is sent as the destination and the response is returned to the PC 15, communication is performed as it is. If no response is returned from the application server 16 to the PC 15, the communication is interrupted.
  • the packet communication device 11 When the packet communication device 11 relays a packet, the packet communication device 11 adds a security tag according to the present invention to the packet.
  • a security tag is set in the option field of the IP header.
  • an application identifier as packet application information and a user attribute value as user attribute information are set.
  • FIG. 5 is a configuration diagram of an example showing a security tag format.
  • the security tag is configured to include the application identifier and the user attribute value, and is set in the option field of the IP header.
  • the packet communication device 11 can set the application identifier by examining the packet. For example, by examining packet header information called a TCP port number, the packet communication device 11 can determine the packet application (email, Web access, file transfer, IP phone, etc.). In this embodiment, the force S for determining the packet application using the TCP port number, or other methods may be used. User attribute values temporarily recorded in the table in Fig. 4 during the authentication phase can be used.
  • the security tag is set in the option field of the IP header.
  • the packet to which the security tag is attached by the packet communication device 11 passes through the communication network 17 without any problem and arrives at the packet communication device 12.
  • the packet communication device 12 checks the security tag of the packet.
  • steps S7 and S8 represent an example in which the application is a file transfer
  • steps S9 to S12 represent an example in which the application is a web access.
  • step S7 the packet communication device 11 receives the file transfer communication request from the PC 15, and assigns a security tag including the application identifier indicating the file transfer and the user attribute value “3” to the packet.
  • step S 8 the packet communication device 11 transmits the packet with the security tag to the packet communication device 12.
  • the packet communication device 12 compares the contents of the security tag attached to the received packet with the security policy represented by the table in FIG. 6 set in the pre-setting phase.
  • FIG. 6 is a configuration diagram of an example of a table representing a security policy.
  • the security policy in Figure 6 is: “Web access packets are allowed to pass if the user attribute value is 2 or greater. Other application packets are allowed to pass if the user attribute value is greater than or equal. The content is “destroyed”.
  • the packet communication device 12 Based on the contents of the security tag attached to the received packet, the packet communication device 12 confirms that the received packet application is other than Web access (file transfer) and that the attribute value of the IJ user is 3. I understand. The packet communication device 12 discards the received packet because the attribute value of the user is permitted if it is an application other than the security policy Web access in Fig. 6 with a user attribute value of 4 or more.
  • step S9 the packet communication device 11 receives the Web access communication request from the PC 15, and assigns a security tag including the application identifier representing the Web access and the user attribute value “3” to the packet.
  • the packet communication device 11 receives the packet with the security tag. Transmit to packet communication device 12.
  • the packet communication device 12 compares the contents of the security tag attached to the received packet with the security policy represented by the table in FIG. 6 set in the pre-setting phase.
  • the packet communication device 12 From the contents of the security tag attached to the received packet, the packet communication device 12 knows that the application of the received packet is Web access and the attribute value of the user is 3. If the packet communication device 12 is an application for web access with the security policy power shown in Fig. 6, if the user attribute value is 2 or more, the packet is accepted.
  • the packet communication device 12 passes the file transfer packet, and the packet reaches the application server 16.
  • the application server 16 proceeds to step S12 and responds to the PC 15.
  • the PC 15 starts a data transfer phase.
  • FIG. 7 is a block diagram of an embodiment of a packet communication device that implements a security agent function.
  • the packet communication device 11 is an access switch for connecting the PC 15 or the like.
  • the packet communication device 11 includes a transmission path control unit 22, 23, a path control unit 24, an authentication confirmation unit 25, an authenticated user recording unit 26, an authentication execution unit 27, a tag control unit 28, tag information
  • the recording unit 29 is included.
  • the transmission path control unit 22 accommodates a communication path accessed by the PC 15.
  • the transmission path control unit 22 performs physical / electrical transmission path accommodation and communication control level communication procedures.
  • the transmission path control unit 22 corresponds to the LAN port of the access switch and its MAC control circuit.
  • the transmission path control unit 23 is used for both communication with the authentication server 13 and communication with the application server 16 as a destination that the user desires to connect to. There are a plurality of transmission path control units 22 and 23 depending on the number of transmission paths to be accommodated.
  • the route control unit 24 also determines the destination address information power to send the packet and selects the corresponding transmission line control unit 23. It fulfills the function of sending packets.
  • the route control unit 24 corresponds to a routing mechanism.
  • the transmission path control units 22 and 23 and the path control unit 24 are main functional blocks that constitute an access switch (a layer 3 switch that implements a noordinating function) of the existing technology.
  • the authentication confirmation unit 25 performs a function of determining a transmission source of a packet and determining whether or not the transmission source is an already authenticated user.
  • a transmission path identifier of the transmission path control unit 22 that received the packet
  • a physical address such as a MAC address
  • the authenticated user recording unit 26 records information necessary for determining whether or not the transmission source is an already authenticated user.
  • the authenticated user recording unit 26 stores a list of packet transmission source identification information of users who are authenticated.
  • the authentication execution unit 27 executes an authentication procedure with the authentication server 13 described above.
  • the authentication confirmation unit 25, the authenticated user recording unit 26, and the authentication execution unit 27 are the main functional block diagrams constituting the authentication function of the existing technology.
  • access authentication which is an existing technology.
  • an unauthenticated user transmits a packet from the PC 15 to the application server 16.
  • the packet is received by the transmission path control unit 22.
  • the transmission path control unit 22 transmits the received packet to the authentication confirmation unit 25.
  • the authentication confirmation unit 25 refers to the list stored in the authenticated user recording unit 26 using the packet transmission source identification information of the received packet as a key. However, since this user is not authenticated, it is not registered in the list. Therefore, the authentication confirmation unit 25 discards the packet. Therefore, an unauthenticated user cannot communicate with the application server 16.
  • the transmission path control unit 22 performs a different operation only when the received packet is an authentication procedure packet.
  • the authentication confirmation unit 25 transmits the packet to the authentication execution unit 27.
  • the authentication execution unit 27 executes the authentication procedure as follows, for example.
  • the authentication execution unit 27 places authentication information (for example, a user ID and a password) provided by a user in an inquiry packet, and places the inquiry packet in an authentication service. To server 13.
  • the inquiry packet reaches the authentication server 13 via the path control unit 24 and the transmission path control unit 23.
  • the authentication server 13 checks the user ID and password to confirm the validity of the user. If the authentication result indicates authentication ⁇ K, the authentication server 13 transmits the attribute value of the user to the packet communication device 11 in addition to the authentication result. As described above, the user attribute value is assigned to each user by the security administrator and set in the authentication server 13. If the authentication result indicates authentication NG, the authentication server 13 transmits the authentication result to the packet communication device 11.
  • the authentication result and the user attribute value reach the authentication execution unit 27 via the transmission path control unit 23 and the route control unit 24.
  • the authentication execution unit 27 registers the packet sender identification information of the user and the attribute value of the user in the list of the tag information recording unit 29 in association with each other.
  • the authentication execution unit 27 registers the user packet transmission source identification information in the authenticated user recording unit 26. Further, the authentication execution unit 27 transmits an authentication result indicating authentication ⁇ to the user. The authentication result indicating authentication ⁇ reaches the PC 15 via the authentication confirmation unit 25 and the transmission path control unit 22. With the above processing, access authentication is completed.
  • access authentication Various methods exist for access authentication, but methods other than those described above may be used.
  • access authentication the user's packet sender identification information is registered in the authenticated user recording unit 26 only when the authentication result indicates an authentication error.
  • the tag control unit 28 performs a function of inserting the above-described security tag into a packet passing therethrough.
  • the tag controller 28 also functions to determine packet applications (email, Web access, file transfer, IP phone, etc.). The function of determining the packet application can be realized as described above.
  • the tag information recording unit 29 stores a list in which the user packet transmission source identification information and the user attribute values are associated with each other.
  • the user transmits a packet from the PC 15 to the application server 16.
  • the packet reaches the authentication confirmation unit 25 via the transmission path control unit 22.
  • the authentication confirmation unit 25 refers to the list stored in the authenticated user recording unit 26 using the packet transmission source identification information of the received packet as a key. Since this user is registered in the list, the authentication confirmation unit 25 transmits the packet to the tag control unit 28.
  • the tag control unit 28 searches the list of the tag information recording unit 29 using the packet transmission source identification information of the received packet as a key.
  • the tag control unit 28 Since the tag control unit 28 also has a function of determining the packet application, it can create an application identifier itself.
  • the tag control unit 28 generates a security tag based on the user attribute value and the application identifier, and transmits the packet with the security tag to the route control unit 24.
  • the route control unit 24 performs normal route selection and sends the packet through the transmission route control unit 23.
  • the security tag is set in the option field of the IP header, the operation of the path control unit 24 and the transmission path control unit 23 is not affected. Therefore, the packet with the security tag is sent to the application server 16 without affecting the operations of the route control unit 24 and the transmission path control unit 23.
  • the tag control unit 28 deletes the security tag. Thereafter, the tag control unit 28 generates a security tag as described above, and reassigns the security tag to the packet.
  • the tag control unit 28 deletes the security tag and re-adds the created security tag, thereby adding a security tag. Can prevent counterfeiting.
  • FIG. 8 is a block diagram of an embodiment of a packet communication device that implements a security judgment function.
  • the packet communication device 12 is a router that accommodates the application server 16.
  • Switch or a server load balancer that accommodates a plurality of application servers 16 and distributes the load.
  • the packet communication device 12 includes transmission path control units 32 and 33, a server front processing unit 34, a tag confirmation unit 35, a policy input unit 36, a tag processing unit 37, and a policy recording unit 38. It is a configuration.
  • the transmission path control unit 32 accommodates a communication path that the PC 15 accesses from a remote location via the packet communication device 11 and the communication network 17 in which the security agent function is implemented.
  • the transmission path control unit 32 performs physical / electrical transmission path accommodation and transmission control level communication procedures.
  • the transmission path control unit 32 corresponds to a LAN port and its MAC control circuit.
  • the transmission path control unit 33 is the same as the transmission path control unit 32, but is used for communication with the application server 16 as a destination to which the user desires to connect. There are a plurality of transmission path control units 32 and 33 depending on the number of transmission paths to be accommodated. Note that the packet communication device 12 may be built in the abrasion server 16.
  • the transmission path control unit 33 is an internal bus connection interface or communication control software that performs an equivalent function.
  • the server front processing unit 34 functions as a packet communication device, for example, a function of distributing loads to a plurality of application servers.
  • the transmission path control units 32 and 33 and the server front processing unit 34 are main functional blocks constituting the packet communication apparatus of the existing technology.
  • the tag confirmation unit 35 performs a function of determining whether or not a security tag is attached to the packet.
  • the policy input unit 36 functions to set a security policy in the policy recording unit 38.
  • the policy input unit 36 may be provided as software that operates on an external general-purpose PC (not shown), which is not essential for the packet communication device 12. This is because the policy input unit 36 operates in the pre-setting phase and does not need to be connected to other functional blocks at high speed at all times.
  • connection relationship between the policy input unit 36 and the policy recording unit 38 is described by a dotted line and an arrow is attached to form a functional block for one-sided pre-configuration. I'll show you there.
  • the tag processing unit 37 confirms the security tag attached to the packet, and determines whether or not the packet can pass by checking the content of the security tag against the security policy.
  • the policy recording unit 38 records a security policy that is a condition to be satisfied by the contents of the security tag.
  • the policy input unit 36 that sets a security policy in the policy recording unit 38 provides a security administrator with an easy-to-understand interface, for example, a simple language for describing security policies.
  • the security administrator uses the interface provided by the policy input unit 36 to determine which server with which attribute value is allowed to communicate with which server, or a server without a security tag from the existing environment. It can be set in a form that is easy for humans to understand which special terminals are allowed to communicate with, and can be referred to or updated as appropriate.
  • the policy recording unit 38 is referred to by functional blocks such as the tag confirmation unit 35 and the tag processing unit 37, the policy recording unit 38 can be held in a format that can be mechanically processed at a higher speed (for example, a mask pattern). Good.
  • the packet transmitted from the PC 15 via the packet communication device 11 and the communication network 17 in which the security agent function is implemented is received by the transmission path control unit 32 and transmitted to the tag confirmation unit 35.
  • the tag confirmation unit 35 determines whether or not a security tag is attached to the packet. If the security tag is attached, the tag confirmation unit 35 transmits the packet to the tag processing unit 37. If no security tag has been assigned, the tag confirmation unit 35 discards the packet. [0102]
  • the tag processing unit 37 searches the policy recording unit 38 using the content of the security tag attached to the packet as a key. In this embodiment, the user attribute value and the application identifier are the keys.
  • the policy recording unit 38 is recorded in a format that can mechanically determine the condition that the user's attribute value should satisfy for each application.
  • the tag processing unit 37 discards the packet. If the condition is met, the tag processing unit 37 removes the security tag from the packet, and transmits the packet from which the security tag has been removed to the server front processing unit 34.
  • Subsequent processing is existing, and after processing such as load distribution by the server front processing unit 34, the packet is sent to the application server 16 via the transmission path control unit 33.
  • the security administrator can set a security policy for each server in advance, and only allow packets from users who satisfy the security policy to pass through. Ensure that the policy is not counterfeited.
  • the packet communication device 12 that implements the security judgment function can specify a special terminal that is allowed to communicate with the server without a security tag in the process of migrating from the existing environment. It is guaranteed that the server load balancing function will not be affected.
  • the access control system configured by the packet communication device 11 that implements the security agent function and the packet communication device 12 that implements the security judgment function, which user is associated with which server This ensures that the security administrator has full control over which applications can communicate.
  • Example 1 in the packet communication device 11 that implements the security agent function, the power S was assigned to all packets S, and the processing performance of the packet communication device 11 affects communication performance. was there. Therefore, in the second embodiment, a packet to be assigned a security tag is determined, and a security tag is assigned only to a packet to which a security tag is to be added.
  • the block diagram of the packet communication device 11 is the same as that in FIG.
  • the packet communication device 11 After confirming that the user has been authenticated, the packet communication device 11 determines whether or not the packet is to be assigned a security tag. When the packet communication device 11 determines that the packet is to be attached with a security tag, the packet communication device 11 assigns a security tag to the packet.
  • the packet communication device 11 can reduce the load by adding a session tag only to the Syn packet.
  • FIG. 9 is a block diagram of another embodiment of the packet communication device that implements the security judge function.
  • the packet communication device 12 in FIG. 9 includes a tag confirmation unit 35 and a server front processing unit 3.
  • the packet transmitted by the PC 15 via the packet communication device 11 and the communication network 17 in which the security agent function is implemented is received by the transmission path control unit 32 and transmitted to the tag confirmation unit 35.
  • the tag confirmation unit 35 determines whether or not the packet is to be assigned a security tag.
  • the tag confirmation unit 35 transmits the packet to the server front processing unit 34.
  • the tag confirmation unit 35 determines whether or not a security tag is attached. If the security tag is assigned, the tag confirmation unit 35 transmits the packet to the tag processing unit 37. If there is no security tag, the tag confirmation unit 35 discards the packet.
  • the subsequent processing is the same as the operation of the security judge function of the packet communication device 12 in FIG.
  • the security tag may have a configuration including an application identifier and a user attribute value.
  • FIG. 10 is a configuration diagram of another example showing the format of the security tag. As shown in Fig. 10, the security tag is configured to include the attribute value of the user and set in the option field of the IP header.
  • the application identifier can be determined by examining packet header information called a TCP port number, for example, and therefore does not necessarily need to be included in the security tag. In this case, the application identifier is determined by the packet communication device 12 that implements the security judge function.
  • the packet communication device 12 that implements the security judgment function determines the force that the security tag includes the application identifier, and the security tag includes the application identifier.
  • the application identifier can be determined by checking packet header information called TCP port number.
  • the number of rule settings which was conventionally m X n, is reduced to m + n, and changes to rule settings such as when moving or adding servers are simplified. it can. Furthermore, in the access control system according to the present invention, communication can be controlled for each detailed condition such as the state of the terminal used by the user and application information, and the security and convenience of the in-house network can coexist.
  • the access control system according to the present invention can be set without network expertise as in the prior art.
  • a personnel policy of a company that directly provides employee personal information to a department that operates an infrastructure can directly set a security policy.
  • the access control system according to the present invention does not depend on the network configuration, and does not require time and effort for setting due to a change in the network form or movement of a user location.
  • the access control system according to the present invention can be expected to be effective as a compatible technology even when non-IP networks such as ubiquitous networks become widespread in the future.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Small-Scale Networks (AREA)

Abstract

　セキュリティと利便性とを共存させたアクセス制御方法、アクセス制御システムおよびパケット通信装置を提供することを課題とし、送信元のパケット通信装置が送信するパケットに利用者の属性情報を付与する第１ステップと、宛先のパケット通信装置がパケットに付与されている利用者の属性情報に基づきアクセス制御を行なう第２ステップとを有することにより上記課題を解決する。

Description

明 細 書
アクセス制御方法、アクセス制御システムおよびパケット通信装置 技術分野
[0001] 本発明は、アクセス制御方法、アクセス制御システムおよびパケット通信装置に係り
、特にパケット通信のアクセス制御方法，その方法を利用するアクセス制御システム およびパケット通信装置に関する。
背景技術
[0002] 近年、パーソナルコンピュータ等のコンピュータやパケット通信装置等のネットヮー ク機器の低廉化，高機能化，高性能化が進み、コンピュータ及びネットワーク機器を 利用したコンピュータネットワーク（以下、単にネットワークと呼ぶ）は急速に普及して いる。
[0003] 企業では、ビジネスを円滑に進める為のツールとしてネットワークの重要度が増して おり、ネットワーク上で重要なデータのやり取りが行われることも多くなつている。この ため、企業ではファイアウォール等のセキュリティ装置を用いて不正アクセスやウイノレ ス等の攻撃からデータを守ってレ、る。
[0004] また、ネットワークでの対策としては、以下のものがある。例えば OSI参照モデルの 2層（データリンク層）での対策としては、 MACアドレスによるフィルタリングやパーチ ャル LAN (VLAN)による経路制御がある。また、 OSI参照モデルの 3層（ネットヮー ク層）での対策としては、 IPアドレスによるフィルタリング等の設定をパケット通信装置 に設定し、利用者（コンピュータ）に許可されたエリアのみアクセスさせるといったァク セス制御がある。特許文献 1及び 2にはフィルタ設定によるアクセス制御の一例が記 載されている。
特許文献 1 :特開 2004-62417号公報
特許文献 2：特開 2004-15530号公報
発明の開示
発明が解決しょうとする課題
[0005] パケット通信装置のフィルタ設定による従来のアクセス制御では、以下の問題があ つた。図 1は、ネットワークの一例の構成図である。図 1のネットワークはパケット通信 装置 1一 4のフィルタ設定によりアクセス制御を行っている。
[0006] 例えば利用者の操作するコンピュータ（以下、 PCという） 5からアプリケーションサー ノ 6への通信を許可し、他の PCからアプリケーションサーバ 6への通信を制限する場 合、図 1のネットワークではパケット通信装置 2にフィルタ設定が必要となる。
[0007] IPレベルで制御するのであれば、図 1のネットワークではパケット通信装置 2に IPァ ドレスのフィルタ設定として、 PC5とアプリケーションサーバ 6との通信を許可するルー ル及び他の PCとアプリケーションサーバ 6との通信を制限するルールを設定すること によりアクセス制御を行なう。
[0008] このようなフィルタ設定は、アクセスする利用者（PC)の数が m、アクセスされるサー バの数カ¾であると、特定のアクセス権を持つ利用者の集約が行えないような環境に ぉレ、てトータルで m X nのルールを設定する必要がある。特定のアクセス権を持つ利 用者の集約が行えないような環境とは、例えば利用者がネットワーク的にバラバラの アドレスを所有してレ、るような場合である。
[0009] 実際、フィルタ設定はパケットを通過させるか遮断するかのどちらかのルールのみを 設定すれば良いのでトータルで m X n/2の設定となる力 設定する数が少なくなる 反面、設定漏れ力 Vレールなのかが分力り難くなるといった問題がある。ここでは、全て の PC5, 7, 8及びアプリケーションサーバ 6， 9間のルールをパケット通信装置 1一 4 に設定することを前提としてレ、る。
[0010] また、パケット通信装置 1一 4はそれぞれ管理しているネットワーク配下の PCに関連 するルールのみを設定して、設定する量を減らすことも考えられる。し力 ながら、利 用者が単に別の事業所に PCを持って移動する場合など、 PC8が PC7へ移動するよ うな場合に、パケット通信装置 4はパケット通信装置 3に設定されている PC8に関連 するルールを設定しなければならない。この為、利用者が頻繁に移動するような場合 には、ネットワーク管理者の負担が増えてしまうという問題があった。
[0011] その他、アプリケーションサーバ 9が追加された場合には、各パケット通信装置 1一
4にルールを追加しなければならないという問題があった。追加されるアプリケーショ ンサーバの数が 1だったとしても、ネットワーク上のパケット通信装置力 Si台であれば i 台のパケット通信装置にルールを追加しなければならない。
[0012] フィルタ設定による従来のアクセス制御では、特に設定するルールが m X nと多いこ と、 PC8等が移動したときに各パケット通信装置 1一 4のルールを再設定する必要が あること、アプリケーションサーバ 9等のサーバが追加されたとき、各パケット通信装置 1一 4にルールを追カ卩する必要があることが問題であった。
[0013] 上記の問題は、フィルタ設定による従来のアクセス制御がネットワーク構成に依存し ていることに起因するものである。近年の無線 LANの普及を考慮すると、利用者の 移動を意識しなければならず、フィルタ設定による従来のアクセス制御ではネットヮー ク管理者に大きな負担を強いることになつてしまう。
[0014] 本発明は、上記の点に鑑みなされたもので、セキュリティと利便性とを共存させたァ クセス制御方法、アクセス制御システムおよびパケット通信装置を提供することを目的 とする。
課題を解決するための手段
[0015] 上記課題を解決するため、本発明は、複数のパケット通信装置を含む構成のネット ワークにおけるアクセス制御方法であって、送信元のパケット通信装置が、送信する パケットに利用者の属性情報を付与する第 1ステップと、宛先のパケット通信装置が、 前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行な う第 2ステップとを有することを特徴とする。
[0016] 前記第 2ステップは、事前に設定されているポリシー情報と前記利用者の属性情報 とに基づきアクセス制御を行なうことを特徴としてもよい。
[0017] 前記第 2ステップは、前記パケットに付与されている前記利用者の属性情報を削除 することを特徴としてもよい。
[0018] 前記第 1ステップは、送信するパケットに利用者の属性情報に加えて前記パケット のアプリケーション情報を付与し、前記第 2ステップは、前記パケットに付与されてい る前記利用者の属性情報および前記パケットのアプリケーション情報の組み合わせ に基づきアクセス制御を行なうことを特徴としてもよい。
[0019] 前記第 1ステップは、送信するパケットに利用者の属性情報が予め付与されている ときに、前記予め付与されている利用者の属性情報を消去したあと、前記パケットを 送信する利用者の属性情報を付与することを特徴としてもよい。
[0020] 前記第 1ステップは、送信するパケットが前記利用者の属性情報を付与すべきパケ ットであるときに前記利用者の属性情報を付与し、前記第 2ステップは、受信したパケ ットが前記利用者の属性情報を付与すべきパケットであるときに前記パケットに付与 されている前記利用者の属性情報に基づきアクセス制御を行なうことを特徴としても よい。
[0021] また、本発明は、複数のパケット通信装置を含む構成のアクセス制御システムであ つて、送信するパケットに利用者の属性情報を付与する送信元のパケット通信装置と 、前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行 なう宛先のパケット通信装置とを有することを特徴とする。
[0022] また、本発明は、エンドシステムから受信したパケットに利用者の属性情報を付与 する属性情報付与手段と、前記エンドシステムを宛先とするパケットに付与されてい る前記利用者の属性情報に基づきアクセス制御を行なうアクセス制御手段とを有す ることを特徴とする。
[0023] 本発明では、ネットワーク構成 (ネットワークトポロジ）に依存しない利用者の属性情 報をアクセス制御に利用することにより、ネットワーク構成の変更や追カ卩に基づくフィ ルタ設定の変更や追加を大幅に簡略化できる。また、ネットワーク構成に依存しない 利用者の属性情報をアクセス制御に利用することにより、本発明ではネットワークの 専門性が無くてもフィルタ設定を行なうことができる。
発明の効果
[0024] 本発明によれば、セキュリティと利便性とを共存させたアクセス制御方法、アクセス 制御システムおよびパケット通信装置を提供可能である。
図面の簡単な説明
[0025] [図 1]ネットワークの一例の構成図である。
[図 2]本発明によるアクセス制御システムの一例の構成図である。
[図 3]本発明によるアクセス制御システムの動作概要を表したシーケンス図である。
[図 4]パケット通信装置が利用者の属性値を保持するテーブルの一例の構成図であ る。 [図 5]セキュリティタグのフォーマットを表す一例の構成図である。
[図 6]セキュリティポリシーを表すテーブルの一例の構成図である。
園 7]セキュリティエージェント機能を実装するパケット通信装置の一実施例のブロッ ク図である。
園 8]セキュリティジャッジ機能を実装するパケット通信装置の一実施例のブロック図 である。
園 9]セキュリティジャッジ機能を実装するパケット通信装置の他の実施例のブロック 部である。
[図 10]セキュリティタグのフォーマットを表す他の例の構成図である。
符号の説明
1一 4， 11 , 12 パケット通信装置
5, 7, 8, 15 PC
6， 9, 16 アプリケーションサーバ
10, 17 通信路
13 認証サーバ
14 セキュリティ管理者
22, 23, 32, 33 伝送路制御部
24 経路制御部
25 認証確認部
26 認証済利用者記録部
27 認証実行部
28 タグ制御部
29 タグ情報記録部
34 サーバフロント処理部
35 タグ確認部
36 ポリシー入力部
37 タグ処理部
38 ポリシー記録部 発明を実施するための最良の形態
[0027] まず、本発明の理解を容易とする為に、本発明の原理について説明する。本発明 では、ネットワーク構成に依存しない利用者の属性 (例えば、所属や役職などの情報 )を元にタグを生成し、そのタグによってアクセス制御を行なう。なお、タグは利用者の 属性情報およびパケットのアプリケーション情報を元に生成することもできる。以下の 説明では、上記タグをセキュリティタグと呼び、利用者の属性情報およびパケットのァ プリケーシヨン情報を元に生成したセキュリティタグを例に説明する。
[0028] 例えば図 1において、 PC5からアプリケーションサーバ 6へ通信を行なう処理は以 下のように行われる。入口側（送信元）のパケット通信装置 1は、 PC5から受信したパ ケットのアプリケーション情報を識別し、そのアプリケーション情報および PC5を操作 する利用者の属性情報を元に生成したセキュリティタグをパケットに付与して送信す る。
[0029] 出口側 (宛先）のパケット通信装置 2は、予め設定されているポリシー情報と受信し たパケットに付与されているセキュリティタグとを比較し、その比較結果に基づいて後 述するようにアクセス可能又はアクセス不可を判定する。アクセス可能であると判定す れば、パケット通信装置 2はパケットを通過させる。即ち、パケット通信装置 2はバケツ トをアプリケーションサーバ 6へ送信する。アクセス不可であると判定すれば、パケット 通信装置 2はパケットを破棄する。
[0030] パケット通信装置のフィルタ設定による本発明のアクセス制御は、パケット通信装置 のフィルタ設定による従来のアクセス制御と比べて設定する数が少ない。例えばパケ ット通信装置のフィルタ設定による従来のアクセス制御では、前述したように設定する 数が m X nであった。一方、パケット通信装置のフィルタ設定による本発明のアクセス 制御では、設定する数が最大でも m+nとなる。これは、パケット通信装置のフィルタ 設定による本発明のアクセス制御では、 m人分の利用者の属性情報と n台分のポリシ 一情報とを設定すればょレ、為である。
[0031] 従業員が 10, 000人でサーバが 1, 000台の企業のネットワークを想定した場合、 パケット通信装置のフィルタ設定による従来のアクセス制御では、最大で 10, 000, 0 00通りの設定が必要になる。一方、パケット通信装置のフィルタ設定による本発明の アクセス制御では最大で 11 , 000通りの設定で済むことになる。
[0032] なお、パケット通信装置のフィルタ設定による従来のアクセス制御では、本願発明 のようにアプリケーション情報を利用しょうとすると、設定する数が更に増えることにな る。
[0033] 利用者の属性情報は、後述する認証サーバに設定される為、ネットワーク構成に依 存しない。この為、パケット通信装置のフィルタ設定による本発明のアクセス制御では 、利用者が例えば別の事務所からアクセスした場合であってもフィルタ設定を再度行 なう必要が無ぐネットワーク構成の変更や追加に柔軟に対応することができる。 実施例 1
[0034] 図 2は、本発明によるアクセス制御システムの一例の構成図である。図 2のアクセス 制御システムは、パケット通信装置 11， 12と、認証サーバ 13と、 PC15と、アプリケー シヨンサーバ 16と、通信網 17とを有する構成である。パケット通信装置 11 , 12及び 認証サーバ 13は、通信網 17に接続されている。 PC15は、パケット通信装置 1 1を介 して通信網 17に接続されている。また、アプリケーションサーバ 16はパケット通信装 置 12を介して通信網 17に接続されてレ、る。
[0035] パケット通信装置 11は、例えばアクセススィッチゃハブ等であり、後述するセキユリ ティエージェント機能を実装している。パケット通信装置 12は、アクセススィッチゃ複 数のサーバを束ねる負荷分散装置等であり、後述するセキュリティジャッジ機能を実 装している。また、パケット通信装置 11， 12は、 PC15,アプリケーションサーバ 16等 のエンドシステムに接続される。
[0036] 認証サーバ 13は、本発明によるアクセス制御システムを利用する利用者の認証情 報 (例えば、利用者 ID,パスワードのリストなど）と、利用者の属性情報とを保持してい る。認証サーバ 13は、パケット通信装置 11からの要求に対して認証結果や利用者の 属性情報を応答する。認証サーバ 13は、例えば RADIUS (Remote Authenticat ion Dial In User Service)サーノ等で 3D 。
[0037] セキュリティ管理者 14は、アプリケーションサーバ 16等のサーバ毎に、ポリシー情 報としてのセキュリティポリシーを設定する。セキュリティポリシーは、アクセスを許可す る利用者の属性情報とアプリケーション情報との組み合わせを設定している。セキユリ ティ管理者 14は、利用者毎に認証情報および属性情報を認証サーバ 13に設定する 責任者である。
[0038] アプリケーションサーバ 16は、サーバの一例である。 PC15は、利用者の操作する コンピュータ等の装置の一例である。通信網 17は例えばルータを相互接続して構築 した IPベースのネットワーク（イントラネットなど）である。利用者は PC 15を用いてァプ リケーシヨンサーバ 16に対し、特定アプリケーション通信を実施する。
[0039] 図 3は、本発明によるアクセス制御システムの動作概要を表したシーケンス図である 。ステップ S1に進み、セキュリティ管理者 14はパケット通信装置 12に対してセキユリ ティポリシーを設定する。例えばセキュリティ管理者 14は「Webアクセスのパケットは 利用者の属性情報の値（以下、単に属性値と呼ぶ）が 2以上で通過させる。それ以外 のアプリケーションのパケットは利用者の属性値が 4以上で通過させる。それ以外の パケットは、破棄する。」というようなセキュリティポリシーを設定する。
[0040] 本実施例では、利用者の地位や職責などに応じて 1一 5のセキュリティクリアランス を与えた場合を想定する。例えばセキュリティクリアランスは、「経営者クラスに 5、上 級管理職クラスに 4、中間管理職クラスに 3、一般従業員クラスに 2、アルバイト，社外 訪問者に 1」というように与えることができる。なお、本発明によるアクセス制御システム では、利用者の属性値は実際に何を意味しているのか問題にならない。言い換えれ ば、セキュリティ管理者は利用者の属性値の意味を公開する必要が無ぐ 自由に利 用者の属性値の意味を定義できる。
[0041] その他、セキュリティクリアランスは利用者の所属する部署毎に設定することも可能 で、「営業に 1 , SEに 2,開発に 3,人事に 4，経理に 5」というように与えることもできる 。セキュリティクリアランスを利用者の所属する部署毎に設定した場合、本発明による アクセス制御システムでは、 SE,開発部署に所属する利用者からの Webサーバへの アクセスを許可し、営業部署に所属する利用者からの Webサーバへのアクセスを許 可しないというような使い方も可能である。利用者の属性値は、企業のセキュリティポ リシ一に合わせて柔軟に設定できる。
[0042] ステップ S2に進み、セキュリティ管理者 14は認証サーバ 13に対して利用者の認証 情報 (例えば、利用者 ID,パスワードなど）と、利用者の属性値とを設定する。例えば セキュリティ管理者 14は、利用者の認証情報として利用者 ID「12345678」及びパス ワード「abcdefgh」、利用者の属性値「3」を設定する。ステップ S1及び S2は、事前 設定フェーズを構成する。
[0043] 図 3のシーケンス図では、事前設定フェーズのあと利用者が PC15をパケット通信 装置 11に接続し、認証フェーズを開始する。認証フェーズで行なう認証手順としては 、様々な手法が存在する。本実施例では、利用者 ID及びパスワードによる認証手順 を例に説明する。
[0044] ステップ S3に進み、 PC 15は利用者の利用者 ID及びパスワードを含む認証要求パ ケットをパケット通信装置 11に送信する。ステップ S4に進み、パケット通信装置 11は 、 PC15から受信した認証要求パケットを認証サーバ 13に転送する。認証サーバ 13 は、認証要求パケットに含まれる利用者 ID及びパスワードを利用して認証を行なう。
[0045] ステップ S5に進み、認証サーバ 13は利用者 ID及びパスワードが正しく対応してい ることを確認すると、認証 OK及び利用者の属性値をパケット通信装置 11に応答する 。例えば認証サーバ 13は、認証 OK及び利用者の属性値「3」をパケット通信装置 11 に応答する。なお、認証サーバ 13は利用者 ID及びパスワードが正しく対応していな ければ、認証 NGをパケット通信装置 11に応答する。
[0046] ステップ S6に進み、パケット通信装置 11は利用者の属性値を一時的に記録すると 共に、認証 OKを PC15に応答する。パケット通信装置 11は、認証〇Kが有効である 間、利用者の属性値を保持する。同じ利用者力 新たな認証要求があった場合、保 持されてレ、る利用者の属性値は上書きされる。
[0047] 図 4は、パケット通信装置が利用者の属性値を保持するテーブルの一例の構成図 である。図 4のテーブルでは、認証された利用者が操作する端末 (PC 15)の識別子（ 例えば、 MACアドレス）と利用者の属性値とが対応付けられて保持されている。
[0048] ステップ S3— S6の処理は認証フェーズを構成する。認証フェーズでは認証が肯定 的な結果であったとき、認証された利用者と利用者の属性値との対応関係がパケット 通信装置 11に保持されていればよぐ認証手順が変わったとしても問題はない。
[0049] 図 3のシーケンス図では、認証フェーズのあと通信フェーズが開始される。通信フエ ーズでは、 PC15から例えば TCP手順の Synパケットがアプリケーションサーバ 16を 宛先として送信され、その応答が PC15に帰ってくれば、そのまま通信が行われる。 なお、アプリケーションサーバ 16から PC15に応答が帰ってこなければ、通信は中断 される。
[0050] パケット通信装置 11は、パケットを中継するとき、そのパケットに本発明によるセキュ リティタグを付与する。本実施例では、 IPヘッダのオプションフィールドにセキュリティ タグを設定する。セキュリティタグの内容としては、パケットのアプリケーション情報とし てのアプリケーション識別子と、利用者の属性情報としての利用者の属性値とが設定 される。
[0051] 図 5は、セキュリティタグのフォーマットを表す一例の構成図である。図 5に示すよう に、セキュリティタグはアプリケーション識別子および利用者の属性値を含むように構 成され、 IPヘッダのオプションフィールドに設定される。
[0052] パケット通信装置 11は、パケットを検査することにより、アプリケーション識別子を設 定できる。例えば TCPポート番号と呼ばれるパケットヘッダ情報を検査することで、パ ケット通信装置 11はパケットのアプリケーション（メール， Webアクセス，ファイル転送 , IP電話など）を判定できる。本実施例では、 TCPポート番号を利用してパケットのァ プリケーシヨンを判定している力 S、他の方法を用いても良い。利用者の属性値は、認 証フェーズで図 4のテーブルに一時的に記録しておいたものを利用できる。
[0053] 本実施例では、セキュリティタグを IPヘッダのオプションフィールドに設定している。
したがって、パケット通信装置 11によりセキュリティタグが付与されたパケットは問題な く通信網 17を通過し、パケット通信装置 12に到着する。パケット通信装置 12は、パケ ットのセキュリティタグをチェックする。
[0054] 図 3のシーケンス図では、ステップ S7， S8にアプリケーションがファイル転送である 例を表し、ステップ S9— S12にアプリケーションが Webアクセスである例を表している
[0055] まず、アプリケーションがファイル転送である例を説明する。ステップ S7において、 パケット通信装置 11は PC15からファイル転送通信要求を受信し、ファイル転送を表 すアプリケーション識別子と利用者の属性値「3」とを含むセキュリティタグをパケットに 付与する。 [0056] ステップ S8に進み、パケット通信装置 11はセキュリティタグを付与したパケットをパ ケット通信装置 12に送信する。パケット通信装置 12は、受信したパケットに付与され ているセキュリティタグの内容と、事前設定フェーズで設定された図 6のテーブルで表 されるセキュリティポリシーとを比較する。
[0057] 図 6は、セキュリティポリシーを表すテーブルの一例の構成図である。図 6のセキユリ ティポリシーは「Webアクセスのパケットは利用者の属性値が 2以上で通過させる。そ れ以外のアプリケーションのパケットは利用者の属性値力 以上で通過させる。それ 以外のパケットは、破棄する。」という内容を表している。
[0058] パケット通信装置 12は、受信したパケットに付与されているセキュリティタグの内容 から、受信したパケットのアプリケーションが Webアクセス以外（ファイル転送）で、禾 IJ 用者の属性値が 3であることが分かる。パケット通信装置 12は図 6のセキュリティポリ シ一力 Webアクセス以外のアプリケーションであれば利用者の属性値が 4以上で許 可となっている為、受信したパケットを破棄する。
[0059] このように、パケット通信装置 12はファイル転送のパケットを破棄してしまうため、パ ケットがアプリケーションサーバ 16に到達し得ない。ステップ S7, S8の通信フェーズ は、何度リトライしても同様の結果となる。また、 PC15にはセキュリティタグを書き換え る手段が無い。したがって、ファイル転送によるアプリケーションサーバ 16へのァクセ スは決して成功しない。
[0060] PC15を操作する利用者（属性値が 3)がファイル転送によるアプリケーションサー ノ 16へのアクセスを成功させる為には、より地位を高める（例えば上級管理職に昇進 する）か、或いは所属部署を移動する（例えば、人事部に異動する）等の変化によつ て、より高度な利用者の属性値 (例えば 4)をセキュリティ管理者に設定してもらう必要 力 sある。
[0061] 次に、アプリケーションが Webアクセスである例を説明する。パケット通信装置 11は ステップ S9において PC15から Webアクセス通信要求を受信し、 Webアクセスを表 すアプリケーション識別子と利用者の属性値「3」とを含むセキュリティタグをパケットに 付与する。
[0062] ステップ S10に進み、パケット通信装置 11はセキュリティタグを付与したパケットを パケット通信装置 12に送信する。パケット通信装置 12は、受信したパケットに付与さ れているセキュリティタグの内容と、事前設定フェーズで設定された図 6のテーブルで 表されるセキュリティポリシーとを比較する。
[0063] パケット通信装置 12は、受信したパケットに付与されているセキュリティタグの内容 から、受信したパケットのアプリケーションが Webアクセスで、利用者の属性値が 3で あることが分かる。パケット通信装置 12は図 6のセキュリティポリシー力 Webアクセス のアプリケーションであれば利用者の属性値が 2以上で許可となってレ、る為、受信し たパケットを通過させる。
[0064] このように、パケット通信装置 12はファイル転送のパケットを通過させ、アプリケーシ ヨンサーバ 16にパケットが到達する。アプリケーションサーバ 16はステップ S 12に進 み、 PC15に対する応答を行なう。アプリケーションサーバ 16から応答が帰ってくると 、 PC 15はデータ転送フェーズを開始する。
[0065] したがって、本発明によるアクセス制御システムでは、同じ属性値を持つ利用者が 同一のサーバに対して通信を試みても、アプリケーションによってアクセスの許可又 は不可が異なる。
[0066] 図 7は、セキュリティエージェント機能を実装するパケット通信装置の一実施例のブ ロック図である。例えばパケット通信装置 11は PC15を接続するアクセススィッチ等で ある。パケット通信装置 11は、伝送路制御部 22, 23と、経路制御部 24と、認証確認 部 25と、認証済利用者記録部 26と、認証実行部 27と、タグ制御部 28と、タグ情報記 録部 29とを有する構成である。
[0067] 伝送路制御部 22は、 PC 15がアクセスしてくる通信路を収容する。伝送路制御部 2 2は、物理的/電気的な伝送路の収容および伝送制御レベルの通信手順の実行を 行なう。伝送路制御部 22は、アクセススィッチの LANポート及びその MAC制御回路 に相当する。
[0068] 伝送路制御部 23は、認証サーバ 13との通信、及び利用者が接続を希望する宛先 としてのアプリケーションサーバ 16との通信の両方に用いられる。伝送路制御部 22， 23は、収容する伝送路の数に応じて複数存在する。経路制御部 24は宛先のァドレ ス情報力もパケットを送出する方路を決定し、該当する伝送路制御部 23を選択して パケットを送出する機能を果たす。経路制御部 24は、ルーティング機構に相当する。 伝送路制御部 22， 23と経路制御部 24とは、既存技術のアクセススィッチ (ノレ一ティ ング機能を実装するレイヤ 3スィッチ）を構成する主な機能ブロックである。
[0069] 認証確認部 25は、パケットの送信元を判別し、その送信元が既に認証されている 利用者であるか否力を判定する機能を果たす。パケット送信元識別情報としては伝 送路 (パケットを受信した伝送路制御部 22の識別子）又は MACアドレス等の物理ァ ドレスを利用できる。
[0070] 認証済利用者記録部 26は、送信元が既に認証されている利用者であるか否かの 判定に必要な情報を記録している。認証済利用者記録部 26は、認証 OKの利用者 のパケット送信元識別情報のリストを格納している。認証実行部 27は、前述した認証 サーバ 13との間で認証手順を実行する。
[0071] 以上、認証確認部 25,認証済利用者記録部 26,認証実行部 27は、既存技術の 認証機能を構成する主な機能ブロック図である。ここでは、既存技術であるアクセス 認証について説明する。
[0072] 例えば認証されていない利用者は PC15からアプリケーションサーバ 16に向けて パケットを送信する。パケットは、伝送路制御部 22で受信される。伝送路制御部 22は 、受信したパケットを認証確認部 25に送信する。
[0073] 認証確認部 25は、受信したパケットのパケット送信元識別情報をキーとして認証済 利用者記録部 26に格納されているリストを参照する。し力 ながら、この利用者は認 証されていない為、リストに登録されていなレ、。そこで、認証確認部 25はパケットを破 棄する。したがって、認証されていない利用者はアプリケーションサーバ 16と通信で きない。
[0074] 伝送路制御部 22は、受信したパケットが認証手順のパケットであった場合のみ異な る動作を行なう。認証確認部 25は、認証手順のパケットを受信すると、そのパケットを 認証実行部 27に送信する。認証実行部 27は、認証手順を例えば以下のように実行 する。
[0075] まず、認証実行部 27は利用者から提供された認証情報 (例えば、利用者 ID及びパ スワード）を問い合わせ用のパケットに載せ、その問い合わせ用のパケットを認証サ ーバ 13に送信する。問い合わせ用のパケットは、経路制御部 24及び伝送路制御部 23を介して認証サーバ 13に到達する。
[0076] 認証サーバ 13は、利用者 ID及びパスワードをチェックし、利用者の正当性を確認 する。認証結果が認証〇Kを示していれば、認証サーバ 13は認証結果に加えて利 用者の属性値をパケット通信装置 11に送信する。利用者の属性値は、前述したよう にセキュリティ管理者が利用者毎に割り当て、認証サーバ 13に設定しておいたもの である。なお、認証結果が認証 NGを示していれば、認証サーバ 13は認証結果をパ ケット通信装置 11に送信する。
[0077] 認証結果，利用者の属性値は、伝送路制御部 23,経路制御部 24を介して認証実 行部 27に到達する。認証結果が認証 ΟΚを示している場合、認証実行部 27は利用 者のパケット送信元識別情報および利用者の属性値を関連付けてタグ情報記録部 2 9のリストに登録する。
[0078] また、認証実行部 27は利用者のパケット送信元識別情報を認証済利用者記録部 2 6に登録する。また、認証実行部 27は利用者に認証 ΟΚを示す認証結果を送信する 。認証 ΟΚを示す認証結果は、認証確認部 25,伝送路制御部 22を介して PC15に 到達する。以上の処理により、アクセス認証は完了する。
[0079] アクセス認証については、様々な手法が存在するが、前述した手法以外を利用して もよレ、。アクセス認証では、認証 ΟΚを示す認証結果のときだけ、利用者のパケット送 信元識別情報が認証済利用者記録部 26に登録される。
[0080] タグ制御部 28は、通過するパケットに前述したセキュリティタグを揷入する機能を果 たす。また、タグ制御部 28はパケットのアプリケーション（メール， Webアクセス，ファ ィル転送， IP電話など）を判定する機能を果たす。パケットのアプリケーションを判定 する機能は前述したように実現できる。本実施例ではセキュリティタグを IPヘッダのォ プシヨンフィールドに設定するため、経路制御部 24を含む他の機能ブロックの動作に 影響しない。タグ情報記録部 29は、前述したように利用者のパケット送信元識別情 報と利用者の属性値とが対応付けられたリストを格納している。
[0081] アクセス認証の完了後、利用者は PC15からアプリケーションサーバ 16に向けてパ ケットを送信する。パケットは、伝送路制御部 22を介して認証確認部 25に到達する。 [0082] 認証確認部 25は、受信したパケットのパケット送信元識別情報をキーとして認証済 利用者記録部 26に格納されているリストを参照する。この利用者はリストに登録され てレ、る為、認証確認部 25はパケットをタグ制御部 28に送信する。タグ制御部 28は、 受信したパケットのパケット送信元識別情報をキーにタグ情報記録部 29のリストを検 索する。
[0083] アクセス認証の完了後、タグ情報記録部 29のリストには利用者のパケット送信元識 別情報および利用者の属性値が関連付けられて登録されている為、利用者の属性 値が検索される。タグ制御部 28は、パケットのアプリケーションを判定する機能も有し ている為、アプリケーション識別子を自ら作成できる。
[0084] タグ制御部 28は、利用者の属性値およびアプリケーション識別子を元にセキユリテ イタグを生成し、そのセキュリティタグを付与したパケットを経路制御部 24に送信する 。経路制御部 24は、通常の経路選択を行い、伝送路制御部 23を介してパケットを送 出する。
[0085] なお、セキュリティタグは IPヘッダのオプションフィールドに設定される為、経路制御 部 24及び伝送路制御部 23の動作に影響を与えなレ、。したがって、セキュリティタグ を付与したパケットは経路制御部 24及び伝送路制御部 23の動作に影響を与えるこ となくアプリケーションサーバ 16に向けて送出される。
[0086] なお、タグ制御部 28は認証確認部 25から受信したパケットにセキュリティタグが付 与されていた場合、そのセキュリティタグを削除する。その後、タグ制御部 28は前述 したようにセキュリティタグを生成し、そのセキュリティタグをパケットに付与し直す。
[0087] タグ制御部 28は、認証確認部 25から受信したパケットにセキュリティタグが付与さ れていた場合に、そのセキュリティタグを削除し、作成したセキュリティタグを付与し直 すことにより、セキュリティタグの偽造を防止できる。
[0088] なお、セキュリティエージェント機能を実装するパケット通信装置 11では、認証され ていない利用者からのパケットが破棄され、認証された利用者からのパケットにセキュ リティタグが付与され、セキュリティタグが偽造されてレ、なレ、ことを保証する。
[0089] 図 8は、セキュリティジャッジ機能を実装するパケット通信装置の一実施例のブロッ ク図である。例えばパケット通信装置 12は、アプリケーションサーバ 16を収容するス イッチ、又は複数のアプリケーションサーバ 16を収容して負荷分散を行なうサーバ負 荷分散装置等である。
[0090] パケット通信装置 12は、伝送路制御部 32， 33と、サーバフロント処理部 34と、タグ 確認部 35と、ポリシー入力部 36と、タグ処理部 37と、ポリシー記録部 38とを有する構 成である。
[0091] 伝送路制御部 32は、 PC15がセキュリティエージェント機能を実装したパケット通信 装置 11，通信網 17を介して遠隔地よりアクセスしてくる通信路を収容する。伝送路制 御部 32は、物理的/電気的な伝送路の収容および伝送制御レベルの通信手順の 実行を行なう。伝送路制御部 32は、 LANポート及びその MAC制御回路に相当する
[0092] 伝送路制御部 33は、伝送路制御部 32と同様であるが、利用者が接続を希望する 宛先としてのアプリケーションサーバ 16との通信に用いられる。伝送路制御部 32, 3 3は、収容する伝送路の数に応じて複数存在する。なお、パケット通信装置 12はアブ リケーシヨンサーバ 16に内蔵されてもよい。
[0093] パケット通信装置 12がアプリケーションサーバ 16に内蔵されている場合、伝送路制 御部 33は内部バス接続インターフェースあるいは同等の機能を果たす通信制御ソフ トウエアとなる。サーバフロント処理部 34はパケット通信装置としての機能、例えば複 数のアプリケーションサーバに対して負荷分散を行なう機能を果たす。伝送路制御 部 32， 33と、サーバフロント処理部 34とは、既存技術のパケット通信装置を構成する 主な機能ブロックである。
[0094] タグ確認部 35は、パケットにセキュリティタグが付与されているか否かを判定する機 能を果たす。ポリシー入力部 36は、ポリシー記録部 38にセキュリティポリシーを設定 する機能を果たす。なお、ポリシー入力部 36はパケット通信装置 12にとつて必須で なぐ例えば外部の汎用 PC (図示せず）上で動作するソフトウェアとして提供されても よい。ポリシー入力部 36は、事前設定フェーズで動作する為、他の機能ブロックと高 速且つ常時接続されている必要がない為である。
[0095] 図 8のパケット通信装置 12では、ポリシー入力部 36とポリシー記録部 38との接続関 係を点線で記述し、かつ矢印を付けることで一方的な事前設定用の機能ブロックで あることを示してレ、る。
[0096] タグ処理部 37は、パケットに付与されているセキュリティタグを確認し、セキュリティ タグの内容をセキュリティポリシーに照らし合わせてパケットの通過の可否を判定する
。ポリシー記録部 38は、セキュリティタグの内容が満たすべき条件であるセキュリティ ポリシーが記録されている。
[0097] なお、ポリシー記録部 38にセキュリティポリシーを設定するポリシー入力部 36は、セ キユリティ管理者に対して分かり易レ、インターフェース、例えばセキュリティポリシー記 述用の簡易言語を提供する。セキュリティ管理者は、ポリシー入力部 36の提供するィ ンターフェースを用いて、どのような属性値を持つ利用者がどのサーバとの通信が許 可されるか、あるいは既存環境からセキュリティタグ無しにサーバとの通信が許可され る特別な端末がどれであるか等を人間が理解し易い形で設定でき、且つ適宜参照又 は更新できる。
[0098] 既存環境からセキュリティタグ無しにサーバとの通信が許可される特別な端末として は、物理的に保護された場所に設置してある等、暗黙に安全と見なすことのできる端 末を利用する。このように、例外的な端末を認めることは既存環境からの移行過程に おいて大切である。
[0099] ポリシー記録部 38は、タグ確認部 35やタグ処理部 37のような機能ブロックによって 参照されることから、より高速で機械的に処理できる形式 (例えばマスクパターンなど )で保持してもよい。
[0100] 次に、セキュリティジャッジ機能の動作を説明する。なお、以下の説明ではポリシー 入力部 36からポリシー記録部 38へのセキュリティポリシーの事前設定が既に完了し ているものとする。
[0101] PC15がセキュリティエージェント機能を実装したパケット通信装置 11，通信網 17を 介して送信してきたパケットは、伝送路制御部 32で受信され、タグ確認部 35に送信 される。タグ確認部 35は、パケットにセキュリティタグが付与されているか否かを判定 する。セキュリティタグが付与されていた場合、タグ確認部 35はタグ処理部 37にパケ ットを送信する。セキュリティタグが付与されていなかった場合、タグ確認部 35はパケ ットを破棄する。 [0102] タグ処理部 37は、パケットに付与されているセキュリティタグの内容をキーにポリシ 一記録部 38を検索する。本実施例では、利用者の属性値とアプリケーション識別子 とがキーとなる。ポリシー記録部 38は、アプリケーション毎に利用者の属性値が満た すべき条件が機械的に判定できる形式で記録されている。
[0103] 条件を満たさなレ、場合、タグ処理部 37はパケットを破棄する。条件を満たしてレ、る 場合、タグ処理部 37はパケットからセキュリティタグを除去し、セキュリティタグを除去 したパケットをサーバフロント処理部 34に送信する。
[0104] その後の処理は既存のものであり、サーバフロント処理部 34で負荷分散などの処 理を行ったあと、伝送路制御部 33を介してアプリケーションサーバ 16にパケットを送 出する。
[0105] なお、セキュリティジャッジ機能を実装するパケット通信装置 12では、事前にセキュ リティ管理者がサーバ毎にセキュリティポリシーを設定でき、そのセキュリティポリシー を満たす利用者からのパケットのみ通過を許可し、セキュリティポリシーが偽造されて いないことを保証する。
[0106] さらに、セキュリティジャッジ機能を実装するパケット通信装置 12では既存環境から の移行過程にぉレ、て、セキュリティタグ無しにサーバとの通信が許可される特別な端 末を指定でき、既存のサーバ負荷分散機能などに影響を与えないことが保証される
[0107] したがって、セキュリティエージェント機能を実装するパケット通信装置 11とセキユリ ティジャッジ機能を実装するパケット通信装置 12とにより構成される本発明によるァク セス制御システムでは、どの利用者が、どのサーバと、どのアプリケーションで通信で きるかをセキュリティ管理者が完全にコントロールできることが保証される。
[0108] また、本発明によるアクセス制御システムでは、たとえ悪意のある利用者であっても
、パケット通信装置 11， 12への不正アクセスおよび設定の改竄を行なうことなくアプリ ケーシヨンサーバ 16への不正アクセスが不可能であることが保証される。なお、パケ ット通信装置 11， 12への不正アクセスおよび設定の改竄は汎用〇Sが搭載された汎 用サーバへの不正アクセスに比べて極めて困難である。
[0109] また、本発明によるアクセス制御システムはネットワークに依存しない為、ネットヮー ク構成の変更に影響を受けないこと、及び既存のネットワーク機能やサーバのアプリ ケーシヨン動作に影響を与えないことが保証される。
実施例 2
[0110] 実施例 1では、セキュリティエージェント機能を実装するパケット通信装置 11におい て全てのパケットにセキュリティタグを付与していた力 S、パケット通信装置 11の処理能 力によって通信性能に影響を与える場合があった。そこで、実施例 2ではセキュリティ タグを付与すべきパケットを決めておき、セキュリティタグを付与すべきパケットのみに セキュリティタグを付与する。なお、パケット通信装置 11のブロック図は図 7と同様で あり、説明を省略する。
[0111] パケット通信装置 11は、利用者が認証済みであることを確認した上、セキュリティタ グを付与すべきパケットか否力を判定する。そして、パケット通信装置 11はセキユリテ イタグを付与すべきパケットであると判定すると、そのパケットにセキュリティタグを付与 する。
[0112] 例えば TCPZIP通信の場合、 PC15とアプリケーションサーバ 16とは Synパケット によりセッションの確立を行なう。そこで、パケット通信装置 11は Synパケットのみにセ ッシヨンタグを付与することで、負荷を軽減できる。
[0113] 図 9は、セキュリティジャッジ機能を実装するパケット通信装置の他の実施例のプロ ック部である。図 9のパケット通信装置 12は、タグ確認部 35とサーバフロント処理部 3
4とを接続する迂回路を設けた点が図 8のブロック図と異なる。
[0114] 次に、図 9のパケット通信装置 12のセキュリティジャッジ機能の動作を説明する。な お、以下の説明ではポリシー入力部 36からポリシー記録部 38へのセキュリティポリシ 一の事前設定が既に完了してレ、るものとする。
[0115] PC15がセキュリティエージェント機能を実装したパケット通信装置 11,通信網 17を 介して送信してきたパケットは、伝送路制御部 32で受信され、タグ確認部 35に送信 される。タグ確認部 35は、セキュリティタグを付与すべきパケットであるか否かを判定 する。
[0116] セキュリティタグを付与すべきパケットでなければ、タグ確認部 35はサーバフロント 処理部 34にパケットを送信する。一方、セキュリティタグを付与すべきパケットであれ ば、タグ確認部 35はセキュリティタグが付与されているか否かを判定する。セキユリテ ィタグが付与されていた場合、タグ確認部 35はタグ処理部 37にパケットを送信する。 セキュリティタグが付与されてレ、なかった場合、タグ確認部 35はパケットを破棄する。 以降の処理は、図 8のパケット通信装置 12のセキュリティジャッジ機能の動作と同様 であるため、説明を省略する。
[0117] なお、本実施例では図 5に示すように、セキュリティタグをアプリケーション識別子お よび利用者の属性値を含む構成としている力 他の構成であってもよい。
[0118] 図 10は、セキュリティタグのフォーマットを表す他の例の構成図である。図 10に示 すように、セキュリティタグは利用者の属性値を含むように構成され、 IPヘッダのォプ シヨンフィールドに設定される。
[0119] なお、アプリケーション識別子は、例えば TCPポート番号と呼ばれるパケットヘッダ 情報を検査することで判定できる為、必ずしもセキュリティタグに含ませる必要がない 。この場合、アプリケーション識別子はセキュリティジャッジ機能を実装したパケット通 信装置 12で判定される。
[0120] 図 5,図 10のセキュリティタグが混在するアクセス制御システムの場合、セキュリティ ジャッジ機能を実装したパケット通信装置 12は、セキュリティタグにアプリケーション 識別子が含まれる力を判定し、セキュリティタグにアプリケーション識別子が含まれて いないときに例えば TCPポート番号と呼ばれるパケットヘッダ情報を検查することで アプリケーション識別子を判定すればょレ、。
[0121] 本発明によるアクセス制御システムでは、従来、 m X nであったルールの設定数を m+nに減らし、移動時やサーバ追加時などのルールの設定の変更 Z追加の手間を 簡略化できる。さらに、本発明によるアクセス制御システムでは利用者の使用する端 末の状態やアプリケーションの情報など、細かい条件毎に通信をコントロールでき、 社内ネットワークのセキュリティと利便性とを共存させることができる。
[0122] 特に利用者の属性値を利用する為、本発明によるアクセス制御システムでは従来 のようにネットワークの専門性が無くても設定が可能である。例えば本発明によるァク セス制御システムでは従業員の個人情報を、インフラを運用する部門に提供すること なぐ企業の人事部が直接、セキュリティポリシーを設定できる。 また、本発明によるアクセス制御システムはネットワーク構成に依存せず、ネットヮー ク形態の変化や利用者の場所移動による設定の手間が生じない。更に、プロトコノレ に依存しない為、本発明によるアクセス制御システムは今後ュビキタスネットワークの ように非 IPのネットワークが普及してきた場合であっても、対応可能な技術として効果 が期待できる。

Claims

請求の範囲
[1] 複数のパケット通信装置を含む構成のネットワークにおけるアクセス制御方法であ つて、
送信元のパケット通信装置が、送信するパケットに利用者の属性情報を付与する第 1ステップと、
宛先のパケット通信装置またはパケットの受信装置であるエンドシステム内の通信 制御機構が、前記パケットに付与されてレ、る前記利用者の属性情報に基づきァクセ ス制御を行なう第 2ステップと
を有することを特徴とするアクセス制御方法。
[2] 前記第 2ステップは、事前に設定されているポリシー情報と前記利用者の属性情報 とに基づきアクセス制御を行なうことを特徴とする請求項 1記載のアクセス制御方法。
[3] 前記第 2ステップは、前記パケットに付与されている前記利用者の属性情報を削除 することを特徴とする請求項 1記載のアクセス制御方法。
[4] 前記第 1ステップは、送信するパケットに利用者の属性情報に加えて前記パケット のアプリケーション情報を付与し、
前記第 2ステップは、前記パケットに付与されている前記利用者の属性情報および 前記パケットのアプリケーション情報の組み合わせに基づきアクセス制御を行なうこと を特徴とする請求項 1記載のアクセス制御方法。
[5] 前記第 1ステップは、送信するパケットに利用者の属性情報が予め付与されている ときに、前記予め付与されている利用者の属性情報を消去したあと、前記パケットを 送信する利用者の属性情報を付与することを特徴とする請求項 1記載のアクセス制 御方法。
[6] 前記第 1ステップは、送信するパケットが前記利用者の属性情報を付与すべきパケ ットであるときに前記利用者の属性情報を付与し、
前記第 2ステップは、受信したパケットが前記利用者の属性情報を付与すべきパケ ットであるときに前記パケットに付与されている前記利用者の属性情報に基づきァク セス制御を行なうことを特徴とする請求項 1記載のアクセス制御方法。
[7] 複数のパケット通信装置を含む構成のアクセス制御システムであって、 送信するパケットに利用者の属性情報を付与する送信元のパケット通信装置と、 前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行 なう宛先のパケット通信装置と
を有することを特徴とするアクセス制御システム。
[8] エンドシステムから受信したパケットに利用者の属性情報を付与する属性情報付与 手段と、
前記エンドシステムを宛先とするパケットに付与されている前記利用者の属性情報 に基づきアクセス制御を行なうアクセス制御手段と
を有することを特徴とするパケット通信装置。
[9] 複数のパケット通信装置を含む構成のアクセス制御システムであって、
送信するパケットに利用者の属性情報を付与する送信元のパケット通信装置と、 前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行 なう宛先のエンドシステム内の通信制御機構と
を有することを特徴とするアクセス制御システム。
[10] エンドシステムから受信したパケットに利用者の属性情報を付与する属性情報付与 手段と、
自分を宛先とするパケットに付与されている前記利用者の属性情報に基づきァクセ ス制御を行なうアクセス制御手段を有する通信制御機構と
を具備することを特徴とするエンドシステム。
PCT/JP2005/004359 2005-03-11 2005-03-11 アクセス制御方法、アクセス制御システムおよびパケット通信装置 WO2006095438A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
EP05720630.2A EP1858204A4 (en) 2005-03-11 2005-03-11 ACCESS RULES, ACCESS RULES AND PACKAGE COMMUNICATION DEVICE
JP2007506969A JP4630896B2 (ja) 2005-03-11 2005-03-11 アクセス制御方法、アクセス制御システムおよびパケット通信装置
PCT/JP2005/004359 WO2006095438A1 (ja) 2005-03-11 2005-03-11 アクセス制御方法、アクセス制御システムおよびパケット通信装置
CN2005800490048A CN101160839B (zh) 2005-03-11 2005-03-11 接入控制方法、接入控制系统以及分组通信装置
US11/836,992 US7856016B2 (en) 2005-03-11 2007-08-10 Access control method, access control system, and packet communication apparatus

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2005/004359 WO2006095438A1 (ja) 2005-03-11 2005-03-11 アクセス制御方法、アクセス制御システムおよびパケット通信装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US11/836,992 Continuation US7856016B2 (en) 2005-03-11 2007-08-10 Access control method, access control system, and packet communication apparatus

Publications (1)

Publication Number Publication Date
WO2006095438A1 true WO2006095438A1 (ja) 2006-09-14

Family

ID=36953049

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/004359 WO2006095438A1 (ja) 2005-03-11 2005-03-11 アクセス制御方法、アクセス制御システムおよびパケット通信装置

Country Status (5)

Country Link
US (1) US7856016B2 (ja)
EP (1) EP1858204A4 (ja)
JP (1) JP4630896B2 (ja)
CN (1) CN101160839B (ja)
WO (1) WO2006095438A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011253352A (ja) * 2010-06-02 2011-12-15 Nippon Telegr & Teleph Corp <Ntt> 通信端末及びその電文処理方法
WO2015037682A1 (ja) * 2013-09-11 2015-03-19 フリービット株式会社 ネットワーク接続システム及びその方法
WO2015037684A1 (ja) * 2013-09-11 2015-03-19 フリービット株式会社 アプリケーション状態変化通知プログラム及びその方法
JP2016048890A (ja) * 2014-08-28 2016-04-07 ソフトバンク株式会社 通信制御装置、通信制御システム、通信制御方法、および通信制御プログラム

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8910241B2 (en) 2002-04-25 2014-12-09 Citrix Systems, Inc. Computer security system
US8516539B2 (en) 2007-11-09 2013-08-20 Citrix Systems, Inc System and method for inferring access policies from access event records
US8990910B2 (en) 2007-11-13 2015-03-24 Citrix Systems, Inc. System and method using globally unique identities
US9240945B2 (en) 2008-03-19 2016-01-19 Citrix Systems, Inc. Access, priority and bandwidth management based on application identity
US20090240801A1 (en) * 2008-03-22 2009-09-24 Jonathan Rhoads Computer data network filter
US8943575B2 (en) * 2008-04-30 2015-01-27 Citrix Systems, Inc. Method and system for policy simulation
US7933221B1 (en) * 2008-08-21 2011-04-26 Sprint Communications Company L.P. Regulating dataflow between a mobile device and a wireless telecommunications network
US8990573B2 (en) * 2008-11-10 2015-03-24 Citrix Systems, Inc. System and method for using variable security tag location in network communications
US8874748B2 (en) * 2010-06-04 2014-10-28 Broadcom Corporation Method and system for combining and/or blending multiple content from different sources in a broadband gateway
US20130111149A1 (en) * 2011-10-26 2013-05-02 Arteris SAS Integrated circuits with cache-coherency
WO2013143579A1 (en) * 2012-03-27 2013-10-03 Nokia Siemens Networks Oy Mapping selective dscp values to gtp-u
US9451056B2 (en) * 2012-06-29 2016-09-20 Avaya Inc. Method for mapping packets to network virtualization instances
DE102012110544B4 (de) * 2012-11-05 2014-12-31 OMS Software GMBH Verfahren und System zum Zugreifen auf Daten in einem verteilten Netzwerksystem
KR101534476B1 (ko) * 2013-10-29 2015-07-07 삼성에스디에스 주식회사 비인가 액세스 포인트 탐지 방법 및 장치
EP2903209B1 (de) * 2014-01-30 2018-11-14 Siemens Aktiengesellschaft Verfahren zur Aktualisierung von Nachrichtenfilterregeln einer Netzzugangskontrolleinheit eines industriellen Kommunikationsnetzes, Adressverwaltungseinheit und Konvertereinheit
CN103795735B (zh) * 2014-03-07 2017-11-07 深圳市迈科龙电子有限公司 安全设备、服务器及服务器信息安全实现方法
US10116553B1 (en) * 2015-10-15 2018-10-30 Cisco Technology, Inc. Application identifier in service function chain metadata

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0787122A (ja) * 1993-09-13 1995-03-31 Nissin Electric Co Ltd ルータ形式ネットワーク間接続装置
JP2003283549A (ja) * 2002-03-22 2003-10-03 Nippon Telegr & Teleph Corp <Ntt> コンテンツフィルタリング装置及び方法

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0746804B2 (ja) * 1985-09-25 1995-05-17 カシオ計算機株式会社 メールシステム
JP2003502757A (ja) * 1999-06-10 2003-01-21 アルカテル・インターネツトワーキング・インコーポレイテツド ポリシーベースのネットワークアーキテクチャ
US7069580B1 (en) * 2000-06-16 2006-06-27 Fisher-Rosemount Systems, Inc. Function-based process control verification and security in a process control system
CN1140978C (zh) * 2001-04-17 2004-03-03 陈常嘉 基于密码的接纳控制的实现方法
US7100207B1 (en) * 2001-06-14 2006-08-29 International Business Machines Corporation Method and system for providing access to computer resources that utilize distinct protocols for receiving security information and providing access based on received security information
US7388866B2 (en) * 2002-03-07 2008-06-17 Broadcom Corporation System and method for expediting upper layer protocol (ULP) connection negotiations
JP3791464B2 (ja) 2002-06-07 2006-06-28 ソニー株式会社 アクセス権限管理システム、中継サーバ、および方法、並びにコンピュータ・プログラム
JP2004062417A (ja) 2002-07-26 2004-02-26 Nippon Telegr & Teleph Corp <Ntt> 認証サーバ装置、サーバ装置、およびゲートウェイ装置
JP2004171212A (ja) * 2002-11-19 2004-06-17 Hitachi Ltd サービス実行方法及びサービス提供システム
JP3953963B2 (ja) * 2003-02-07 2007-08-08 日本電信電話株式会社 認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、および分散型認証アクセス制御システム
US20040177247A1 (en) * 2003-03-05 2004-09-09 Amir Peles Policy enforcement in dynamic networks

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH0787122A (ja) * 1993-09-13 1995-03-31 Nissin Electric Co Ltd ルータ形式ネットワーク間接続装置
JP2003283549A (ja) * 2002-03-22 2003-10-03 Nippon Telegr & Teleph Corp <Ntt> コンテンツフィルタリング装置及び方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP1858204A4 *

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2011253352A (ja) * 2010-06-02 2011-12-15 Nippon Telegr & Teleph Corp <Ntt> 通信端末及びその電文処理方法
WO2015037682A1 (ja) * 2013-09-11 2015-03-19 フリービット株式会社 ネットワーク接続システム及びその方法
WO2015037684A1 (ja) * 2013-09-11 2015-03-19 フリービット株式会社 アプリケーション状態変化通知プログラム及びその方法
JP6055105B2 (ja) * 2013-09-11 2016-12-27 フリービット株式会社 アプリケーション状態変化通知プログラム及びその方法
JP6055104B2 (ja) * 2013-09-11 2016-12-27 フリービット株式会社 ネットワーク接続システム及びその方法
JPWO2015037684A1 (ja) * 2013-09-11 2017-03-02 フリービット株式会社 アプリケーション状態変化通知プログラム及びその方法
JPWO2015037682A1 (ja) * 2013-09-11 2017-03-02 フリービット株式会社 ネットワーク接続システム及びその方法
US10165571B2 (en) 2013-09-11 2018-12-25 Freebit Co., Ltd. Application state change notification program and method therefor
US10499402B2 (en) 2013-09-11 2019-12-03 Freebit Co., Ltd. Application state change notification program and method therefor
US10721742B2 (en) 2013-09-11 2020-07-21 Freebit Co., Ltd. Application state change notification program and method therefor
JP2016048890A (ja) * 2014-08-28 2016-04-07 ソフトバンク株式会社 通信制御装置、通信制御システム、通信制御方法、および通信制御プログラム

Also Published As

Publication number Publication date
EP1858204A1 (en) 2007-11-21
JP4630896B2 (ja) 2011-02-09
EP1858204A4 (en) 2014-01-08
JPWO2006095438A1 (ja) 2008-08-14
CN101160839B (zh) 2013-01-16
US7856016B2 (en) 2010-12-21
US20070283014A1 (en) 2007-12-06
CN101160839A (zh) 2008-04-09

Similar Documents

Publication Publication Date Title
JP4630896B2 (ja) アクセス制御方法、アクセス制御システムおよびパケット通信装置
JP3262689B2 (ja) 遠隔操作システム
Ioannidis et al. Implementing a distributed firewall
JP4168052B2 (ja) 管理サーバ
EP1634175B1 (en) Multilayer access control security system
JP5062967B2 (ja) ネットワークアクセス制御方法、およびシステム
US6003084A (en) Secure network proxy for connecting entities
US7536715B2 (en) Distributed firewall system and method
US20030131263A1 (en) Methods and systems for firewalling virtual private networks
JP2008015786A (ja) アクセス制御システム及びアクセス制御サーバ
JP5239341B2 (ja) ゲートウェイ、中継方法及びプログラム
US20080052765A1 (en) Network system, authentication method, information processing apparatus and access processing method accompanied by outbound authentication
EP1241849B1 (en) Method of and apparatus for filtering access, and computer product
CN100438427C (zh) 网络控制方法和设备
US20060150243A1 (en) Management of network security domains
JP4636345B2 (ja) セキュリティポリシー制御システム、セキュリティポリシー制御方法、及びプログラム
JP5204054B2 (ja) ネットワーク管理システムおよび通信管理サーバ
JP4081041B2 (ja) ネットワークシステム
JP2013034096A (ja) アクセス制御システム、端末装置、中継装置及びアクセス制御方法
JP2012070225A (ja) ネットワーク中継装置及び転送制御システム
JP2002084326A (ja) 被サービス装置、センタ装置、及びサービス装置
JP6330814B2 (ja) 通信システム、制御指示装置、通信制御方法及びプログラム
WO2006001587A1 (en) Network management system and network management server of co-operating with authentication server
WO2001091418A2 (en) Distributed firewall system and method
JP3808663B2 (ja) 計算機ネットワークシステムおよびそのアクセス制御方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2007506969

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 11836992

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2005720630

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 200580049004.8

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE

NENP Non-entry into the national phase

Ref country code: RU

WWW Wipo information: withdrawn in national office

Country of ref document: RU

WWP Wipo information: published in national office

Ref document number: 2005720630

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 11836992

Country of ref document: US