JP2004062416A

JP2004062416A - 不正アクセス防止方法、セキュリティポリシーダウンロード方法、ｐｃ、およびポリシーサーバ

Info

Publication number: JP2004062416A
Application number: JP2002218319A
Authority: JP
Inventors: Junpei Watase; 渡瀬　順平; Takafumi Hamano; 濱野　貴文
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2002-07-26
Filing date: 2002-07-26
Publication date: 2004-02-26

Abstract

【課題】パーソナルファイルウォールに設定されるセキュリティポリシーをセキュリティ管理者または管理組織が一元的に管理する。
【解決手段】アプリケーション１４、１５が通信を行う。またはアプリケーション１４、１５が公衆通信網６経由で通信要求を受信した際、セキュリティポリシー１３ｃの有効期限が切れていた場合、秘匿通信経路を用いてポリシーサーバ２に最新のセキュリティポリシーの送信を要求する。ポリシーサーバ２は利用者を特定し、該利用者に対応するセキュリティポリシーをポリシー検索部２３にてポリシーデータベース２４から検索し、ポリシー送信部２２でＰＣ１に組み込まれたセキュアソケット１３へ送信する。
【選択図】　　　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、通信回線を介してコンピュータ間の通信を行うコンピュータ通信システムにおいて、セキュリティを確保し、安全な通信を可能とする不正アクセス防止方法に関するものである。
【０００２】
【従来の技術】
インターネットに接続される端末に対する部外者からの不正アクセスを防止する手段として、パーソナルコンピュータ（以下ＰＣ）に組み込んで使用するパーソナルファイアウォールが利用されている。従来のパーソナルファイアウォールは、ＰＣの利用者が個々に通信を許可または拒否するアプリケーション、プロトコル、ホスト、およびネットワークなどを設定することにより、部外者からＰＣへの不正なアクセスにより、ＰＣに保存されたデータが盗難、破壊、あるいは改竄されることを防止することが可能である。
【０００３】
【発明が解決しようとする課題】
しかしながら、従来のパーソナルファイアウォールは、複数の端末のセキュリティポリシー（通信を許可または拒否するアプリケーション、プロトコル、ホスト、およびネットワークなどの設定情報の集合）を一元的に管理することが不可能である。また、ある端末が不正アクセスを受けた場合、その兆候や事実を一元的に把握し、管理することが不可能である。
【０００４】
本発明の目的は、複数の端末に組み込まれたパーソナルファイアウォールに設定されるセキュリティポリシー（通信を許可または拒否するアプリケーション、プロトコル、ホスト、およびネットワークなどの設定情報の集合）をセキュリティ管理者または管理組織が一元的に設定、管理する不正アクセス防止方法を提供することにある。
【０００５】
本発明の他の目的はある端末が不正アクセスを受けた場合、その兆候や事実をセキュリティ管理者または管理組織が一元的に把握することを可能とする不正アクセス防止方法を提供することにある。
【０００６】
【課題を解決するための手段】
上記目的を達成するために、本発明の不正アクセス防止方法は、ＰＣが公衆通信網上あるいは企業内のサーバまたは端末と通信を行うに先立って、セキュリティ管理者または管理組織が運用するポリシーサーバから通信回線を経由して、パーソナルファイアウォールに設定されるセキュリティポリシーをダウンロードするものである。
【０００７】
本発明の実施態様では、以下の事項を１つまたは複数を含む。
【０００８】
セキュリティポリシーサーバとの通信にはＩＰＳｅｃを利用することによりセキュリティポリシーの通信路上での改竄を防止する。
【０００９】
セキュリティポリシーサーバでは、ＩＰＳｅｃの認証証明書を用いて、当該ユーザへ設定するセキュリティポリシーを特定する。
【００１０】
セキュリティポリシーサーバからダウンロードされるセキュリティポリシーに有効期限を設けることにより、ＰＣに常に最新の管理されたセキュリティポリシーを設定する。
【００１１】
セキュリティポリシーサーバからダウンロードされた有効な（有効期限の切れていない）セキュリティポリシーを保持している場合のみ、当該ＰＣにインターネット上、あるいは企業内のサーバや端末との通信を許容する。
【００１２】
ＰＣが部外者から不正アクセスを受けた場合に、その兆候や事実をセキュリティ管理者または管理組織が運用する管理サーバへ警報を通知する。
【００１３】
ＰＣに設定されるセキュリティポリシーは、当該ＰＣの入出力装置からの変更を不可能とし、セキュリティポリシーサーバからのみ変更可能とする。
【００１４】
【発明の実施の形態】
次に、本発明の実施の形態について図面を参照して説明する。
【００１５】
図１を参照すると、本発明の実施形態のポリシーベースファイアウォールシステムは、ＰＣ１とポリシーサーバ２と管理サーバ３とサーバ４と端末５と公衆通信網６で構成されている。
【００１６】
ＰＣ１は、部外者からの不正アクセスからの防御対象であり、ホットスポット、インターネットなどの公衆通信網６に接続されるパーソナルコンピュータである。
【００１７】
ポリシーサーバ２は、利用者毎のセキュリティポリシーを設定、管理し、利用者に応じて防御対象のＰＣ１にセキュリティポリシーを送信するセキュリティポリシーサーバである。
【００１８】
管理サーバ３は、防御対象のＰＣ１がセキュリティポリシーで許可されていない通信を試みた場合、または防御対象のＰＣ１がセキュリティポリシーで許可されていない通信要求を部外者のサーバ４または端末５から受信した場合に、送信する警報を受信し、表示する管理装置である。
【００１９】
サーバ４は、防御対象のＰＣ１と同一の公衆通信網６に接続され、防御対象のＰＣ１と機能的に通信可能な状態にある、部外者が管理、利用するサーバ装置である。
【００２０】
端末５は、防御対象のＰＣ１と同一の公衆通信網６に接続され、防御対象のＰＣ１と機能的に通信可能な状態にある、部外者が管理、利用する端末装置である。
【００２１】
公衆通信網６は、ホットスポットやインターネットなどの不特定多数のユーザが接続され、相互に通信可能な状態にある通信網である。
【００２２】
ＰＣ１は物理インタフェース部１１とＴＣＰ／ＩＰ処理部１２とセキュアソケット（Ｓｅｃｕｒｅ　Ｓｏｃｋｅｔ）１３とアプリケーション１４、１５を含む。
【００２３】
物理インタフェース部１１は、ＰＣ１が公衆通信網６と接続するためのインタフェース機能を提供する機能部である。
【００２４】
ＴＣＰ／ＩＰ処理部１２は、ＰＣ１がＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ　　Ｃｏｎｔｒｏｌ　Ｐｒｏｔｏｃｏｌ）、ＵＤＰ（Ｕｓｅｒ　Ｄａｔａｇｒｏｍ　Ｐｒｏｔｏｃｏｌ）等のインターネットプロトコル群で通信するためのプロトコル機能を提供する機能部である。
【００２５】
セキュアソケット１３は、ＰＣ１に組み込まれたプリケーション１４、１５がＰＣ１のＴＣＰ／ＩＰ処理部１２の機能を利用して、公衆通信網６に接続される他のサーバ４や端末５と通信するためのインタフェース機能を提供するとともに、ＰＣ１に対する部外者からの不正アクセスを防御する機能を提供する機能部であり、市販のオペレーティングシステム（ＯＳ）の初期状態で組み込まれているＳｏｃｋｅｔを置き換えて防御対象のＰＣ１に組み込まれるものである。
【００２６】
アプリケーション１４、１５は、ＰＣ１に組み込まれ、ワープロ、表計算、画像編集、データベースアクセス、プレゼンテーション、ゲーム、Ｗｅｂ閲覧、電子メールの送受信、財務会計、在庫管理、人事管理などの機能を提供するアプリケーションソフトウェアであり、公衆通信網６に接続される他のサーバ４や端末５に組み込まれたアプリケーションソフトと通信する機能を有するものである。
【００２７】
セキュアソケット１３はＩＰＳｅｃ／ＳＳＬ（Ｓｅｃｕｒｅ　Ｓｏｃｋｅｔ　Ｌａｙｅｒ）処理部１３ａとファイアウォール１３ｂとセキュリティポリシー１３ｃを含む。
【００２８】
ＩＰＳｅｃ／ＳＳＬ処理部１３ａは、ＰＣ１に組み込まれたセキュアソケット１３が、ポリシーサーバ２からセキュリティポリシー１３ｃをダウンロードする際に、認証用の利用者識別子、パスワード、およびポリシーサーバ２からダウンロードされるセキュリティポリシー１３ｃが盗難、破壊、改竄されることを防止するために安全な秘匿通信経路である暗号化トンネルを設定する機能を提供する機能部である。
【００２９】
セキュリティポリシー１３ｃは、防御対象のＰＣ１が通信することを許可または拒否するアプリケーション、プロトコル、ホスト、ネットワークに関する設定情報の集合であり、利用者毎に個別にに定義され、有効期限を有する。なお、全ての利用者のセキュリティポリシー１３ｃを同一に設定することも可能である。
【００３０】
ファイアウォール１３ｂは、ポリシーサーバ２からＰＣ１にダウンロードされたセキュリティポリシー１３ｃにしたがって、ＰＣ１に組み込まれたアプリケーション１４、１５からの通信要求を許可または拒否する機能、およびＰＣ１への部外者からの通信要求を許可または拒否する機能を提供する機能部である。また、通信要求が発生した時点でＰＣ１が、有効期限の切れていないセキュリティポリシーを保持していない場合は、ＩＰＳｅｃ／ＳＳＬ処理部１３ａの機能を用いて、ポリシーサーバ２に対して秘匿通信経路を設定し、ポリシーサーバ２から最新のセキュリティポリシー１３ｃをダウンロードする機能を提供する。また、セキュリティポリシー１３ｃで許可されていない、または拒否されている通信要求を検出した場合は、管理サーバ３に対し、当該事象の発生と通信要求の内容を含んだ警報を通知する機能を提供する。
【００３１】
ポリシーサーバ２はポリシー設定部２１とポリシー送信部２２とポリシー検索部２３とポリシーデータベース２４を含む。
【００３２】
ポリシー設定部２１は、ポリシーサーバ２に接続された入出力装置（不図示）や公衆通信網６経由で接続された管理サーバ３や他のポリシーサーバ２から利用者毎のセキュリティポリシー設定情報を受け付け、ポリシーデータベース２４内のセキュリティポリシー１３ｃを更新、削除する機能またはセキュリティポリシー１３ｃを新規作成、提供する機能部である。
【００３３】
ポリシー送信部２２は、ＰＣ１との間で秘匿通信経路を設定し、ＰＣ１から送信されたセキュリティポリシー受信要求を受け付け、要求に含まれる利用者識別情報をポリシー検索部２３に通知し、ポリシー検索部２３から通知された当該利用者に関するセキュリティポリシーを要求送信元のＰＣ１に送信する機能を提供する機能部である。
【００３４】
ポリシー検索部２３は、ポリシー送信部２２から受信した利用者識別情報に基づき、ポリシーデータベース２４を検索し、当該利用者のセキュリティポリシーを取り出し、ポリシー送信部２２へ通知する機能を提供する機能部である。
【００３５】
ポリシーデータベース２４は、利用者毎のセキュリティポリシー情報を格納し、ポリシー設定部２１から受け付けた設定情報にしたがって、セキュリティポリシーを新規作成、変更、削除し、ポリシー検索部２３から受信した検索要求に対して、該当するセキュリティポリシーを通知する機能を提供する機能部である。
【００３６】
管理サーバ３は警報受信部３１と警報表示部３２を含む。警報受信部３１は、ファイアウォール１３ｂから送信された警報を受信する機能部である。警報表示部３２は、警報受信部３１が受信した警報の内容を管理サーバ３に接続された出力装置（不図示）に表示する機能部である。
【００３７】
次に、本実施形態の動作を図２のフローチャートにより説明する。
【００３８】
防御対象のＰＣ１に、予めセキュアソケット１３を組み込み、ＯＳに標準で組み込まれているＳｏｃｋｅｔを無効化する（ステップ１０１）。通信を利用する全てのアプリケーションはセキュアソケット１３にバインドする。また、ポリシーサーバ２のポリシーデーターベース２４内に利用者毎、ＰＣの種別毎、利用者のロケーション毎のセキュリティポリシー２５を予め設定しておく（ステップ１１１）。セキュアソケット１３内のファイアウォール１３ｃは、初期状態では、指定されたポリシーサーバ２以外のいかなる端末、サーバとの通信を許可しない。
【００３９】
ＰＣ１に組み込まれたアプリケーション１４、１５が通信を行う（ステップ１０２）。またはＰＣ１に組み込まれたアプリケーション１４、１５に対して公衆通信網６経由で、他のサーバ４、端末５から通信要求を受信した際には、ファイアウォール１３ｂがセキュアソケット１３内に保持しているセキュリティポリシー１３ｃの有無および有効期限を確認し、有効期限の切れていないセキュリティポリシーを保持していない場合は、ポリシーサーバ２との間にＩＰＳｅｃまたはＳＳＬを用いて秘匿通信経路を設定し（ステップ１０４、１１２）、該秘匿通信経路を用いて、公衆通信網６を経由してポリシーサーバ２に対し、最新のセキュリティポリシーの送信を要求する（ステップ１０５）。
【００４０】
セキュリティポリシーの送信要求を受信したポリシーサーバ２は、ＰＣ１の入出力装置から入力された利用者識別子とパスワード、またはセキュアソケット１３に予め組み込まれている利用者識別情報、または秘匿通信経路を設定する際に使用する認証証明書を用いて利用者を特定し、ポリシー検索部２３にて、当該利用者に対応するセキュリティポリシーをポリシーデータベース２４から検索し（ステップ１１３）、ポリシー送信部２２から、要求を送信したＰＣ１に組み込まれたセキュアソケット１３へ最新のセキュリティポリシーを公衆通信網を経由して送信する（ステップ１１４）。送信するセキュリティポリシーには有効期限を設定しておく。また、ポリシーサーバ２は、ＰＣ１から送信されるセキュリティポリシーの要求パケットのヘッダ情報、ペイロード情報によりＰＣの種別、アプリケーションや利用者のロケーションを特定し利用者毎にＰＣ種別、アプリケーションやロケーションに応じたセキュリティポリシーを送付することが可能である。
【００４１】
有効なセキュリティポリシーを保持している、あるいはポリシーサーバ２から最新のセキュリティポリシーを入手したセキュアソケット１３は、セキュリティポリシー１３ｃを更新、格納し（ステップ１０６）、該セキュリティポリシーで許可された、あるいは拒否されていないアプリケーション、およびプロトコルでの通信、および該セキュリティポリシーで許可された、あるいは拒否されていないホスト、ネットワーク、ＵＲＬ（Ｕｎｉｆｏｒｍ　Ｒｅｓｏｕｒｃｅ　Ｌｏｃａｔｏｒ）との通信のみ許可する（ステップ１０８）。
【００４２】
また、セキュアソケット１３は、該セキュリティポリシーで許可されていない、あるいは拒否されているアプリケーション、プロトコルでの通信、および当該セキュリティポリシーで許可されていない、あるいは拒否されているホスト、ネットワーク、ＵＲＬとの通信は拒否する。また、ファイアウォール１３ｂが、セキュリティポリシー１３ｃで許可されていない、または拒否されているアプリケーション、プロトコルでの通信、またはセキュリティポリシーで許可されていない、または拒否されているホスト、ネットワーク、ＵＲＬとの通信を試みた場合、あるいは、公衆通信網６に接続される部外者のサーバ、端末から、セキュリティポリシーで許可されていない、または拒否されているアプリケーション、プロトコルでの通信要求、またはセキュリティポリシー２で許可されていない、または拒否されているホスト、ネットワークからの通信要求を検出した場合は、管理サーバ３に対して、該事象の発生とセキュリティポリシー２への違反内容を含む警報を通知する（ステップ１０９）。警報を通知された管理サーバ３は、警報受信部３１で警報を受信し（ステップ１２１）、警報表示部３２で警報に関する情報を出力装置（不図示）に表示するとともに履歴を外部記憶装置（不図示）へ記録する（ステップ１２２）。
【００４３】
本実施形態の変形例として次の事項が可能である。
【００４４】
ポリシーサーバ２からダウンロードされた有効期限の切れていないセキュリティポリシーを保持しない場合、ポリシーサーバ２以外のサーバ、端末と通信することを許可しない。
【００４５】
ポリシーサーバ２からダウンロードされた、有効期限の切れていないセキュリティポリシーを保持しないＰＣに組み込まれたアプリケーションが通信を行う際に、ポリシーサーバ２から有効なセキュリティポリシーを自動的にダウンロードする。
【００４６】
ポリシーサーバ２からダウンロードされたセキュリティポリシーの、ＰＣの入出力装置からの変更を不可能とする。
【００４７】
【発明の効果】
以上説明したように本発明によれば、複数の端末に組み込まれたパーソナルファイアウォールに設定されるセキュリティポリシー（通信を許可する、または拒否するアプリケーション、プロトコル、ホスト、およびネットワークなどの設定情報の集合）をセキュリティ管理者または管理組織が一元的に設定、管理すること、およびある端末が不正アクセスを受けた場合、その兆候や事実をセキュリティ管理者または管理組織が一元的に把握することが可能となる。
【図面の簡単な説明】
【図１】本発明の一実施形態のポリシーベースファイアウォールシステムのブロック図である。
【図２】図１の実施形態の動作を示すフローチャートである。
【符号の説明】
１　　ＰＣ
２　　ポリシーサーバ
３　　管理サーバ
４　　サーバ
５　　端末
６　　公衆通信網
１１　　物理インタフェース部
１２　　ＴＣＰ／ＩＰ処理部
１３　　セキュアソケット
１３ａ　　　　ＩＰＳｅｃ／ＳＳＬ処理部
１３ｂ　　　　ファイアウォール
１３ｃ　　　　セキュリティポリシー
１４、１５　　アプリケーション
２１　　ポリシー設定部
２２　　ポリシー送信部
２３　　ポリシー検索部
２４　　ポリシーデータベース
２５　　セキュリティポリシー
３１　　警報受信部
３２　　警報表示部

Claims

ＰＣに組み込まれ、該ＰＣが通信することを許可または拒否するアプリケーション、プロトコル、ホスト、およびネットワークを指定し、アクセス制御を行うことにより、部外者からＰＣへの不正なアクセスにより、ＰＣに保存されたデータを盗難、破壊、あるいは改竄されることを防止するパーソナルファイアウォールによる不正アクセス防止方法において、
該ＰＣが公衆通信網あるいは企業内のサーバまたは端末と通信を行うに先立って、セキュリティ管理者または管理組織が運用するポリシーサーバから通信回線を経由して、前記パーソナルファイアウォールに設定されるセキュリティポリシーをダウンロードすることを特徴とする不正アクセス防止方法。
前記ポリシーサーバとの間にＩＰＳｅｃを用いて秘匿通信経路を設定し、該秘匿通信経路を用いてセキュリティポリシーの送信を要求する、請求項１に記載の方法。
前記ポリシーサーバとの間にＳＳＬを用いて秘匿通信経路を設定し、該秘匿通信経路を用いてセキュリティポリシーの送信を要求する、請求項１に記載の方法。
前記セキュリティポリシーに有効期限を設け、前記ポリシーサーバからダウンロードされた有効期限の切れていないセキュリティポリシーを保持しない場合、ポリシーサーバ以外のサーバ、端末と通信することを許可しない、請求項１から３のいずれか１項に記載の方法。
前記ポリシーサーバからダウンロードされた、有効期限の切れていないセキュリティポリシーを保持しないＰＣに組み込まれたアプリケーションが通信を行う際に、前記ポリシーサーバから有効なセキュリティポリシーを自動的にダウンロードする、請求項４に記載の方法。
ＰＣがセキュリティポリシーで許可されていない通信を試みた場合、あるいは部外者からの不正アクセスと類推される通信要求、あるいは一連の通信要求を受け付けた場合に、当該事象の発生と内容を含む警報を遠隔に設置された管理サーバへ通知する、請求項１から５のいずれか１項に記載の方法。
前記ポリシーサーバからダウンロードされたセキュリティポリシーの、該ＰＣの入出力装置からの変更を不可能とする、請求項１から６のいずれか１項に記載の方法。
ＰＣが通信することを許可または拒否するアプリケーション、プロトコル、ホストおよびネットワークを指定し、アクセス制御を行うことにより、部外者から該ＰＣへの不正なアクセスにより、該ＰＣに保存されたデータが盗難、破壊、あるいは改竄されることを防止するパーソナルファイアウォールが組み込まれたＰＣに、セキュリティ管理者または組織が運用するポリシーサーバにおいて、ＰＣの入出力装置からＰＣの利用者が入力したユーザＩＤとパスワード、またはＰＣに組み込まれたパーソナルファイアウォールの保持する利用者識別情報、またはＰＣとポリシーサーバ間に設定される秘匿通信経路設定に用いる認証証明書を通信回線を経由して入手し、それらの識別情報を用いてＰＣの利用者を特定し、利用者毎に個別に設定されたセキュリティポリシーを前記ポリシーサーバから前記ＰＣにダウンロードすることを特徴とするセキュリティポリシーダウンロード方法。
ポリシーサーバからＰＣにセキュリティポリシーのダウンロードを行う際に、利用者認証を行い、また、認証の際にＰＣから前記ポリシーサーバに送信される認証要求パケットのヘッダ情報、あるいはペイロード情報により、ＰＣの種別、アプリケーション、利用者のロケーションの少なくとも１つを特定し、ＰＣの種別、アプリケーション、利用者のロケーションに応じて異なるセキュリティポリシーをポリシーサーバからＰＣにダウンロードする、請求項８に記載の方法。
公衆網に接続されるＰＣであって、
該ＰＣが前記公衆網と接続するためのインタフェース機能を提供する物理インタフェース部と、
該ＰＣがインターネットプロトコル群で通信するためのプロトコル機能を提供するＴＣＰ／ＩＰ処理部と、
アプリケーションと、
前記アプリケーションが前記ＴＣＰ／ＩＰ処理部の機能を利用して前記公衆通信網に接続されるサーバ、端末と通信するためのインタフェース機能を提供するとともに、該ＰＣに対する部外者からの不正アクセスを防止するセキュアソケットを有し、
該セキュアソケットは、ポリシーサーバからセキュリティポリシーをダウンロードする際に、認証用の利用者識別子、パスワード、および前記ポリシーサーバからダウンロードされるセキュリティポリシーが盗難、破壊、改竄されることを防止するための秘匿通信経路を設定するＩＰＤｅｃ／ＳＳＬ処理部と、前記ポリシーサーバから該ＰＣダウンロードされたセキュリティポリシーにしたがって、前記アプリケーションからの通信要求を許可または拒絶、および該ＰＣへの部外者からの通信要求を許可または拒絶するファイアウォールを含むＰＣ。
利用者毎のセキュリティポリシーを管理し、利用者に応じて防御対象のＰＣにセキュリティポリシーを送信するポリシーサーバであって、
利用者毎のセキュリティポリシー情報を格納しているポリシーデータベースと、
利用者識別情報に基づき、前記ポリシーデータベースを検索し、当該利用者のセキュリティポリシーを取り出すポリシー検索部と、
前記ＰＣとの間で秘匿通信経路を設定し、該ＰＣから送信されたセキュリティポリシー受信要求を受け付け、該要求に含まれる利用者識別情報を前記ポリシー検索部に通知し、前記ポリシー検索部から通知された当該利用者に関するセキュリティポリシーを要求送信元のＰＣに送信するポリシー送信部と、
該ポリシーサーバに接続された入出力装置からまたは通信網経由で利用者毎のセキュリティポリシー設定情報を受け付け、前記ポリシーデータベース内のセキュリティポリシーの更新、削除、セキュリティポリシーの新規作成を行うポリシー設定部を有するポリシーサーバ。