JP2005322964A - Ｖｐｎ通信システムおよびその運用方法 - Google Patents

Abstract

【課題】 ＶＰＮにより相互接続された個々のＬＡＮのセキュリティレベルの変動に対処する。
【解決手段】
インターネット１０に、ＶＰＮ用の接続手段１１０および２１０を介して、ＬＡＮ１００とＬＡＮ２００とを接続し、両者間での暗号通信により、ＶＰＮ通信路を形成する。評価部１２１により、ＬＡＮ１００のセキュリティレベルを示す評価値を作成させ、評価部２２１により、ＬＡＮ２００のセキュリティレベルを示す評価値を作成させる。作成した評価値は、送信部１２２，２２２により相手方へと送信する。接続制御部１２３，２２３は、それぞれ自己側の評価値と相手側の評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、接続手段１１０，２１０による通信機能を停止させる。その結果、両ＬＡＮのセキュリティレベルが大きく異なる事態が生じると、両者間のＶＰＮ通信は自動的に遮断される。
【選択図】 図１

Description

本発明は、ＶＰＮ通信システムおよびその運用方法に関し、特に、ＬＡＮのセキュリティレベルの変動に応じて、ＶＰＮ接続を制御する技術に関する。

自社専用回線（Private Network）を維持管理するコストを低減するため、近年、公衆通信網を利用して仮想の専用線を用いた通信環境を提供することができるＶＰＮ（Virtual Private Network）が注目を浴びている。特に、インターネットを利用したＶＰＮは、通信プロトコルとしてＴＣＰ／ＩＰを利用することができるため、複数のＬＡＮを専用線を介して接続する必要があるケースにおいて、盛んに導入されている。このインターネットを利用したＶＰＮの基幹技術は、暗号化および認証の技術であり、インターネットという公衆通信網を介したデータ伝送が行われているにもかかわらず、実用上、専用線を用いたデータ伝送と同等のセキュリティを確保することが可能になる。たとえば、下記の特許文献１には、ダイヤルアップ接続した端末装置に対してＶＰＮを利用したＩＰパケット通信を行うためのＶＰＮ通信システムが開示されている。
特開２００１−１６０８２８号公報

上述したように、ＶＰＮ通信システムを利用すれば、遠隔地にある複数のＬＡＮを、インターネットなどの公衆通信網を利用して相互接続することが可能になり、しかも専用線を用いた場合と同等のセキュリティが確保できる。たとえば、東京にあるＡ社のＬＡＮと大阪にあるＢ社のＬＡＮを接続するような場合、従来であれば、東京／大阪間に専用線を確保する必要があり、維持管理に多大なコストが必要になった。ところが、ＶＰＮ通信システムを導入すれば、東京／大阪間のデータ伝送はインターネットを利用して行うことができるようになるため、大幅なコストダウンが見込めることになる。

このため、最近では、ＶＰＮを利用することにより、同一企業内のＬＡＮ接続のみならず、別な企業間のＬＡＮ接続も積極的に行われるようになってきている。このように、ＶＰＮを利用して多数のＬＡＮが相互に接続されるようになってくると、個々のＬＡＮについてのセキュリティレベル（安全の度合い）を考慮して、ＶＰＮ通信システムを運用することが非常に重要になってくる。

一般に、ＬＡＮのセキュリティレベルは常に変動するものである。たとえば、ある特定のＯＳプログラムやアプリケーションプログラムについて、セキュリティホールと呼ばれているセキュリティ上の欠陥が発見された場合、通常、当該プログラムの供給元から、当該セキュリティホールに対処するための対策用プログラム（いわゆるセキュリティパッチ）がリリースされる。また、新種のコンピュータウイルスが発見された場合には、新たなウイルス対策用データがリリースされる。このようなリリースを受けて、ＬＡＮ内の各端末装置に施されているセキュリティ対策を、常に最新の状態に更新していれば、ＬＡＮ全体のセキュリティレベルは高い状態に維持されることになる。ところが、セキュリティ対策についての更新作業を怠れば、セキュリティレベルは低下せざるを得ない。また、不幸にして、ＬＡＮ内の端末装置がハッキングを受けてしまったような場合、当該ＬＡＮ全体のセキュリティレベルは極端に低下することになる。

したがって、ＶＰＮを利用して、多数のＬＡＮに対して接続する環境が整ったとしても、本来は、接続相手となるＬＡＮのセキュリティレベルに常に注意を払い、もしセキュリティレベルが低下したＬＡＮがあった場合には、当該ＬＡＮに対する接続を中止する処置を取る必要がある。しかしながら、そのような処置を取るためには、専用の管理者による監視作業を行う必要があるため、実際には、現在普及している一般的なＶＰＮ通信システムにおいては、セキュリティレベルの変動に対する対策は十分になされていないのが現状である。

そこで本発明は、接続された個々のＬＡＮについて、そのセキュリティレベルの変動に対する対策を自動的に施すことが可能なＶＰＮ通信システムを提供することを目的とする。

(1) 本発明の第１の態様は、公衆通信網としてのＷＡＮに複数のＬＡＮを接続し、これらＬＡＮ間に仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムにおいて、
第１のＬＡＮをＷＡＮに接続するための第１の接続手段と、
第２のＬＡＮをＷＡＮに接続するための第２の接続手段と、
第１の接続手段に接続された第１の管理手段と、
第２の接続手段に接続された第２の管理手段と、
を設け、
第１の接続手段および第２の接続手段には、それぞれ相手に対する認証を行う認証機能と、この認証機能により正しい認証結果が得られたときにＷＡＮを介して相互に所定の暗号通信を行う通信機能と、をもたせ、
第１の管理手段には、第１のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する評価部と、この評価部が作成した評価値と第２の管理手段から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、第１の接続手段による通信機能を停止させる接続制御部と、を設け、
第２の管理手段には、第２のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する評価部と、この評価部が作成した評価値を第１の管理手段へ送信する評価値送信部と、を設けるようにしたものである。

(2) 本発明の第２の態様は、公衆通信網としてのＷＡＮに複数のＬＡＮを接続し、これらＬＡＮ間に仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムにおいて、
第１のＬＡＮをＷＡＮに接続するための第１の接続手段と、
第２のＬＡＮをＷＡＮに接続するための第２の接続手段と、
第１の接続手段に接続された第１の管理手段と、
第２の接続手段に接続された第２の管理手段と、
を設け、
第１の接続手段および第２の接続手段には、それぞれ相手に対する認証を行う認証機能と、この認証機能により正しい認証結果が得られたときにＷＡＮを介して相互に所定の暗号通信を行う通信機能と、をもたせ、
第１の管理手段には、第１のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する第１の評価部と、第１の評価部が作成した評価値を第２の管理手段へ送信する第１の評価値送信部と、第１の評価部が作成した評価値と第２の管理手段から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、第１の接続手段による通信機能を停止させる第１の接続制御部と、を設け、
第２の管理手段には、第２のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する第２の評価部と、第２の評価部が作成した評価値を第１の管理手段へ送信する第２の評価値送信部と、第２の評価部が作成した評価値と第１の管理手段から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、第２の接続手段による通信機能を停止させる第２の接続制御部と、を設けるようにしたものである。

(3) 本発明の第３の態様は、公衆通信網としてのＷＡＮに複数のＬＡＮを接続し、これらＬＡＮ間に仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムにおいて、
第１のＬＡＮをＷＡＮに接続するための第１の接続手段と、
第２のＬＡＮをＷＡＮに接続するための第２の接続手段と、
ＷＡＮに接続された仲介手段と、
第１の接続手段に接続された第１の管理手段と、
第２の接続手段に接続された第２の管理手段と、
を設け、
第１の接続手段および第２の接続手段には、仲介手段による仲介機能を利用して、相互に所定の暗号通信を行う通信機能をもたせ、
第１の管理手段には、第１のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する第１の評価部と、第１の評価部が作成した評価値を仲介手段へ送信する第１の評価値送信部と、を設け、
第２の管理手段には、第２のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する第２の評価部と、第２の評価部が作成した評価値を仲介手段へ送信する第２の評価値送信部と、を設け、
仲介手段には、第１の接続手段および第２の接続手段に対する認証を行う認証部と、この認証部の機能により正しい認証結果が得られたときに、第１の接続手段と第２の接続手段との間の通信を仲介する通信仲介部と、第１の管理手段から送信されてきた評価値と、第２の管理手段から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、通信仲介部による仲介機能を停止させる仲介制御部と、を設けるようにしたものである。

(4) 本発明の第４の態様は、上述の第１〜第３の態様に係るＶＰＮ通信システムにおいて、
評価部に、ＬＡＮの通信状態を示す所定のパラメータについての初期値を記憶する初期値記憶部と、このパラメータの現在値を測定する現在値測定部と、パラメータの初期値と現在値との偏差に基づいてＬＡＮの現時点におけるセキュリティレベルを示す評価値を作成する評価値作成部と、を設けるようにしたものである。

(5) 本発明の第５の態様は、上述の第４の態様に係るＶＰＮ通信システムにおいて、
ＬＡＮの通信状態を示す所定のパラメータとして、当該ＬＡＮを流れるデータの種類ごとの量を示すパラメータを用いるようにしたものである。

(6) 本発明の第６の態様は、上述の第４の態様に係るＶＰＮ通信システムにおいて、
ＬＡＮの通信状態を示す所定のパラメータとして、当該ＬＡＮに接続された各端末装置のＴＣＰ／ＩＰ通信用ポートの開閉状態を示すパラメータ用いるようにしたものである。

(7) 本発明の第７の態様は、上述の第１〜第３の態様に係るＶＰＮ通信システムにおいて、
評価部に、ＬＡＮに接続された各端末装置に施されているセキュリティ対策の更新状態を確認する更新状態確認部と、現時点におけるセキュリティ対策の理想的な更新状態を記憶する理想状態記憶部と、更新状態確認部で確認された実際の更新状態と理想状態記憶部に記憶されている理想的な更新状態との偏差に基づいて当該ＬＡＮの現時点におけるセキュリティレベルを示す評価値を作成する評価値作成部と、を設けるようにしたものである。

(8) 本発明の第８の態様は、上述の第７の態様に係るＶＰＮ通信システムにおいて、
更新状態確認部が、ＬＡＮを流れるデータの内容を参照することにより、更新状態の確認を行うようにしたものである。

(9) 本発明の第９の態様は、上述の第７の態様に係るＶＰＮ通信システムにおいて、
更新状態確認部が、ＬＡＮに接続された各端末装置に対して、所定の確認用プログラムを実行し、その実行結果を参照することにより、更新状態の確認を行うようにしたものである。

(10) 本発明の第１０の態様は、上述の第１〜第９の態様に係るＶＰＮ通信システムにおける管理手段としてコンピュータを機能させるためのプログラムを用意し、このプログラムをコンピュータ読み取り可能な記録媒体に記録して配付できるようにしたものである。

(11) 本発明の第１１の態様は、公衆通信網としてのＷＡＮに第１のＬＡＮおよび第２のＬＡＮをそれぞれ接続し、これらＬＡＮ相互間に認証機能と暗号通信機能とをもたせることにより、仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムが存在する場合に、このＶＰＮ通信システムを運用する運用方法において、
第１のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する段階と、
第２のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する段階と、
第１のＬＡＮについて作成された評価値と第２のＬＡＮについて作成された評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、これらＬＡＮ相互間の通信機能を停止させる段階と、
を実行するようにしたものである。

(12) 本発明の第１２の態様は、公衆通信網としてのＷＡＮに、第１のＬＡＮと、第２のＬＡＮと、仲介手段と、をそれぞれ接続し、第１のＬＡＮおよび第２のＬＡＮに暗号通信機能をもたせ、仲介手段に、これらＬＡＮに対する認証および暗号通信の仲介を行う機能をもたせ、これらＬＡＮ間に仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムが存在する場合に、このＶＰＮ通信システムを運用する運用方法において、
第１のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する段階と、
第２のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する段階と、
第１のＬＡＮについて作成された評価値と第２のＬＡＮについて作成された評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、これらＬＡＮ間の暗号通信の仲介を中止する段階と、
を実行するようにしたものである。

本発明に係るＶＰＮ通信システムでは、個々のＬＡＮごとに、それぞれ自己のセキュリティレベルを示す評価値を所定期間ごとに求める機能を付加し、この評価値の差が所定の許容範囲を越えているＬＡＮ間については、相互の接続を中止するようにしたため、常に、セキュリティレベルの違いが一定範囲内の相手に対する接続のみが行われるようになり、セキュリティレベルの変動に対する対策を自動的に施すことが可能になる。

以下、本発明を図示する実施形態に基づいて説明する。

＜＜＜ §１．本発明に係るＶＰＮ通信システムの基本構成 ＞＞＞
図１は、本発明の基本的な実施形態に係るＶＰＮ通信システムの構成を示すブロック図である。このＶＰＮ通信システムは、公衆通信網としてのＷＡＮ１０に、第１のＬＡＮ１００および第２のＬＡＮ２００を接続し、これらＬＡＮ間に仮想の専用線ＶＰＮを用いた通信環境を提供する機能をもったシステムである。ここでは、説明の便宜上、ＷＡＮ１０として、インターネットを用いた例を説明するが、ＷＡＮ１０は必ずしもインターネットに限定されるものではない。

本実施形態に係るＶＰＮ通信システムは、図示のとおり、第１の接続手段１１０、第１の管理手段１２０、第２の接続手段２１０、第２の管理手段２２０によって構成されている。

ここで、第１の接続手段１１０は、第１のＬＡＮ１００をインターネット１０に接続するための手段であり、第２の接続手段２１０は、第２のＬＡＮ２００をインターネット１０に接続するための手段である。この第１の接続手段１１０および第２の接続手段２１０は、それぞれ相手に対する認証を行う認証機能と、この認証機能により正しい認証結果が得られたときにインターネット１０を介して相互に所定の暗号通信を行う通信機能と、を有しており、ＶＰＮ通信システムの根幹となる処理を行う構成要素である。

すなわち、第１の接続手段１１０は、インターネット１０を通じて、通信相手となる第２の接続手段２１０が正しい相手先であることを認証する認証処理を実行し、同様に、第２の接続手段２１０は、インターネット１０を通じて、通信相手となる第１の接続手段１１０が正しい相手先であることを認証する認証処理を実行する。こうして、両者間での相互認証が完了すると、インターネット１０を介して両者間で特有の暗号通信が行われ、第１のＬＡＮ１００と第２のＬＡＮ２００との間でＩＰパケットの送信が可能になる。送信対象となるＩＰパケットは、インターネット１０という公衆通信網を介して伝送されることになるが、暗号化されているため十分なセキュリティが確保される。したがって、第１のＬＡＮ１００と第２のＬＡＮ２００との間には、あたかも専用線を介したかのような情報伝送路、すなわち、図に破線で示す仮想の専用線ＶＰＮを介した情報伝送路が確保されることになる。

このような機能をもった第１の接続手段１１０および第２の接続手段２１０は、実際には、ルータ機能を備えたコンピュータによって実現され、ＶＰＮ通信システムを実現する上での基本的な構成要素となる。もっとも、この第１の接続手段１１０および第２の接続手段２１０は、一般的なＶＰＮ通信システムにおいて既に利用されている公知の構成要素であるため、ここでは、上述した認証処理の具体的な方法や暗号化通信の具体的な方法についての説明は省略する。

本発明の特徴は、第１の接続手段１１０および第２の接続手段２１０という公知の構成要素に、それぞれ第１の管理手段１２０および第２の管理手段２２０という新規な構成要素を付加し、各ＬＡＮのセキュリティレベルの変動に応じて、両ＬＡＮ間の接続状態の管理を行うようにした点にある。実際には、この第１の管理手段１２０および第２の管理手段２２０は、いわば接続管理エージェントとして機能するプログラムによって構成されることになる。

より具体的に説明すれば、本発明の特徴は、公衆通信網としてのＷＡＮ（図示の例ではインターネット１０）に、第１のＬＡＮ１００および第２のＬＡＮ２００をそれぞれ接続し、これらＬＡＮ相互間に認証機能と暗号通信機能とをもたせることにより、仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムが存在する場合に、このＶＰＮ通信システムを運用する運用方法に係るものである。そして、その基本的な運用方針は、第１のＬＡＮ１００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成するとともに、第２のＬＡＮ２００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成し、これらの評価値を相互に比較し、両者の差が所定の許容範囲を越えていた場合には、これらＬＡＮ相互間の通信機能を停止させることである。

第１の管理手段１２０は、第１の接続手段１１０に接続された手段であり、図示のとおり、第１の評価部１２１、第１の評価値送信部１２２、第１の接続制御部１２３なる構成要素を有している。ここで、第１の評価部１２１は、第１のＬＡＮ１００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する機能を果たし、第１の評価値送信部１２２は、第１の評価部１２１が作成した評価値を第２の管理手段２２０へ送信する機能を果たし、第１の接続制御部１２３は、第１の評価部１２１が作成した評価値と第２の管理手段２２０から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、第１の接続手段１１０による通信機能を停止させる機能を果たす。

同様に、第２の管理手段２２０は、第２の接続手段２１０に接続された手段であり、図示のとおり、第２の評価部２２１、第２の評価値送信部２２２、第２の接続制御部２２３なる構成要素を有している。ここで、第２の評価部２２１は、第２のＬＡＮ２００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する機能を果たし、第２の評価値送信部２２２は、第２の評価部２２１が作成した評価値を第１の管理手段１２０へ送信する機能を果たし、第２の接続制御部２２３は、第２の評価部２２１が作成した評価値と第１の管理手段１２０から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、第２の接続手段２１０による通信機能を停止させる機能を果たす。

なお、ここでは、説明の便宜上、第１の管理手段１２０および第２の管理手段２２０の構成を、それぞれ機能ブロックの集合として示してあるが、実際には、これら管理手段１２０，２２０は、コンピュータに所定のプログラムを組み込むことにより実現される構成要素である。前述したとおり、第１の接続手段１１０および第２の接続手段２１０は、ルータの機能をもったコンピュータによって構成されるので、実用上は、第１の接続手段１１０および第１の管理手段１２０は、同一のコンピュータによって構成することが可能であり、第２の接続手段２１０および第２の管理手段２２０も、同一のコンピュータによって構成することが可能である。

また、図では、便宜上、破線で示すとおり、第１の評価部１２１が第１のＬＡＮ１００のセキュリティレベルを直接評価するような説明がなされているが、実際には、第１の評価部１２１は、第１の接続手段１１０を介して第１のＬＡＮ１００へのアクセスを行い、セキュリティレベルの評価を行うことになる。第２の評価部２２１も同様に、第２の接続手段２１０を介して第２のＬＡＮ２００へのアクセスを行い、セキュリティレベルの評価を行うことになる。また、第１の評価値送信部１２２は、第１の接続手段１１０を介して第２の管理手段２２０側へ評価値の送信を行い、第２の評価値送信部２２２は、第２の接続手段２１０を介して第１の管理手段１２０側への評価値の送信を行うことになる。

各評価部１２１，２２１によるセキュリティレベルの具体的な評価方法については、後に、具体例を挙げて説明するが、各ＬＡＮのセキュリティレベルの評価値は、いずれも数値として得られることになるので、第１のＬＡＮ１００の評価値と第２のＬＡＮ２００の評価値とを数値として比較することができる。第１の接続制御部１２３および第２の接続制御部２２３は、この数値として得られた両評価値を比較し、両者の差が所定の許容範囲を越えていた場合には、第１の接続手段１１０または第２の接続手段２１０による通信機能を停止させる。したがって、両ＬＡＮ１００，２００の一方のセキュリティレベルが他方のセキュリティレベルよりも、所定の許容範囲を越えて低下した場合には、両ＬＡＮ１００，２００間の接続を解除する運用を行うことが可能になる。

ここでは具体的に、両ＬＡＮ１００，２００のセキュリティレベルの評価値が、このＶＰＮ通信システムの運用開始時点においては、いずれも開始値５０であり、所定の許容範囲が１０に設定されていた場合を考えよう。この場合、たとえば、何らかの原因で第２のＬＡＮ２００の評価値が４０に低下しても、評価値の差は許容範囲内なので、そのままの運用が続けられるが、第２のＬＡＮ２００の評価値が３９に低下すると、両ＬＡＮの接続は解除されてしまう。

具体的な動作としては、第２の評価部２２１により、第２のＬＡＮ２００の評価値３９が得られ、この評価値３９が第２の評価値送信部２２２によって送信されることになる。この評価値３９は、第２の接続手段２１０を介してインターネット１０内のＶＰＮへと送り出され、第１の接続手段１１０を介して第１の接続制御部１２３まで届けられる。一方、第１の評価部１２１により、第１のＬＡＮ１００の評価値５０が得られるので、第１の接続制御部１２３は、両ＬＡＮの評価値５０および３９を比較し、両者の差が許容範囲を越えていると判断し、第１の接続手段１１０の通信機能を停止させる制御を行うことになる。

ここで、各評価部１２１，２２１による評価値作成処理が所定期間ごとに繰り返し行われるようにしておき（たとえば、１分おき、１時間おき、１日おき、１週間おき、１か月おき、のように、個々のＶＰＮ通信システムごとに適当と思われる期間を設定しておけばよい）、いずれか一方でも評価値が新たに作成されるたびに、各制御部１２３，２２３による評価値の比較処理および接続制御処理が行われるようにすれば、両評価値の差が許容範囲を越えた時点で、両ＬＡＮの接続を解除することができる。

第１の接続制御部１２３および第２の接続制御部２２３による接続制御は、いわば消費電力が許容値を越えた場合のブレーカーによる給電制御と同様であり、評価値の差が許容範囲を越えた場合に、第１の接続手段１１０あるいは第２の接続手段２１０の通信路を強制的に遮断するような方式を採ればよい。このような両ＬＡＮの接続解除が生じると、第１のＬＡＮ１００側の端末装置と第２のＬＡＮ２００側の端末装置との間で、相互通信が行われていたとしても、当該通信が瞬時に遮断されることになる。これは、いわば給電ブレーカーが動作して停電状態になるのと同じである。

もっとも、両ＬＡＮの接続を瞬時に遮断してしまうと、両ＬＡＮを跨いで情報通信を行っていた利用者にとってみれば、突然、通信が途絶えてしまう状態になるので、利用者の立場からすれば好ましくない。そこで、必要であれば、各制御部１２３，２２３による通信の遮断制御が行われる前に、所定の猶予時間を設定しておき、利用者に警告を与えるようにしてもよい。たとえば、両ＬＡＮの通信を遮断する前に、「現在の通信は、セキュリティ上のトラブルにより、１０分後に強制的に切断されます。」のようなメッセージを各端末装置に表示させるようにしておけば、利用者は、この猶予時間内に、通信切断に備えるための必要な作業を行うことができる。

ただ、ＬＡＮのセキュリティレベルが急激に、かつ、大幅に低下したような場合には、ハッキングを受けているなどの原因も考えられるため、できるだけ速やかに通信を遮断した方が好ましい。そのような場合には、両評価値の差について、複数とおりの許容範囲を設定しておき、いずれの許容範囲を越えたかによって、それぞれ通信遮断までの猶予時間を異ならせるような設定を行うことも可能である。たとえば、第１の許容範囲１０を越えた場合には、通信遮断まで１０分間の猶予時間を設けるが、第２の許容範囲３０を越えた場合には、猶予時間を０として直ちに切断を行う、という設定にしておけばよい。このような設定を行えば、上述の例の場合、第２のＬＡＮ２００の評価値が運用開始時の５０から、３９〜２０の範囲内に低下したときには、１０分間の猶予時間をもって切断が行われるが、１９以下に低下したときには、瞬時切断が行われることになる。

なお、第１の接続制御部１２３や第２の接続制御部２２３は、あくまでも両ＬＡＮの評価値の差を所定の許容範囲と比較した結果に基づいて、通信機能の制御を行うことになるので、一方のＬＡＮの評価値が他方のＬＡＮの評価値よりも低下した場合には、通信の遮断が実行されるが、両ＬＡＮの評価値がともに低下した場合には、通信の遮断が実行されることはない。たとえば、上述の例において、第２のＬＡＮ２００の評価値が５０から３９に低下したとしても、同時期に、第１のＬＡＮ１００の評価値も５０から４０に低下していたとすれば、両者の差は許容範囲内に維持されているので、両ＬＡＮの通信接続はそのまま維持されることになる。これは、セキュリティレベルの絶対値の変動にかかわらず、相対的に同程度のセキュリティレベルをもったＬＡＮであれば、相互に接続しても、セキュリティ上の問題は生じないという考え方に基づくものである。

接続制御部１２３，２２３による接続制御の方法としては、次の３通りの方法が考えられる。第１の方法は、相手側のＬＡＮの評価値が自分側のＬＡＮの評価値よりも、許容範囲を越えて低い場合に、通信を遮断する制御を行う方法であり、第２の方法は、相手側のＬＡＮの評価値が自分側のＬＡＮの評価値よりも、許容範囲を越えて高い場合に、通信を遮断する制御を行う方法であり、第３の方法は、相手側のＬＡＮの評価値が自分側のＬＡＮの評価値よりも、許容範囲を越えて低くても高くても、通信を遮断する制御を行う方法である。本発明を実施する上では、この３通りの方法のいずれを採用してもかまわない。

上述の第１の方法は、セキュリティレベルの低い相手側のＬＡＮで発生するトラブルから、自己側のＬＡＮを保護する、という考え方に基づく方法である。この方法によれば、（自己側のＬＡＮの評価値−相手側のＬＡＮの評価値）＞（差の許容範囲（絶対値））なる式が満たされたときに、自己側の接続手段の通信機能を停止させる措置が取られることになる。たとえば、差の許容範囲＝１０に設定した場合、自己側のＬＡＮの評価値が５０を維持しているのに、相手側のＬＡＮの評価値が３９に低下したような場合は、上述の式が満たされることになるので、そのような相手との接続を解除して、自己側のＬＡＮを保護する運用が採られることになる。ところが、逆に、相手側のＬＡＮの評価値が５０を維持しているのに、自己側のＬＡＮの評価値が３９に低下したような場合は、上述の式は満たされないので、自己側の接続手段の通信機能はそのまま維持される。この場合、自己側のＬＡＮを保護するという見地からは、接続を解除する必要はないので、この第１の方法では、自己側の接続手段としては、そのまま接続を維持することになる。もっとも、この場合は、相手側の接続制御部の機能により、結果的に、接続は解除されてしまうことになる。

これに対して、上述の第２の方法は、自己側のＬＡＮのセキュリティレベルが低下した場合に、相手側のＬＡＮにトラブルが及ぶことを避ける、という考え方に基づく方法である。この方法によれば、（相手側のＬＡＮの評価値−自己側のＬＡＮの評価値）＞（差の許容範囲（絶対値））なる式が満たされたときに、自己側の接続手段の通信機能を停止させる措置が取られることになる。たとえば、差の許容範囲＝１０に設定した場合、相手側のＬＡＮの評価値が５０を維持しているのに、自己側のＬＡＮの評価値が３９に低下したような場合は、上述の式が満たされることになるので、そのような相手との接続を解除して、相手側のＬＡＮを保護する運用が採られることになる。ところが、逆に、自己側のＬＡＮの評価値が５０を維持しているのに、相手側のＬＡＮの評価値が３９に低下したような場合は、上述の式は満たされないので、自己側の接続手段の通信機能はそのまま維持される。この場合、相手側のＬＡＮを保護するという見地からは、接続を解除する必要はないので、この第２の方法では、自己側の接続手段としては、そのまま接続を維持することになる。もっとも、この場合は、相手側の接続制御部の機能により、結果的に、接続は解除されてしまうことになる。

一方、上述の第３の方法は、第１の方法と第２の方法との双方を採り入れた方法ということになる。この方法では、評価値の差の絶対値が、所定の許容範囲を越えているか否かが判断される。すなわち、（自己側のＬＡＮの評価値−相手側のＬＡＮの評価値）の絶対値＞（差の許容範囲（絶対値））なる式が満たされたときに、自己側の接続手段の通信機能を停止させる措置が取られることになる。たとえば、差の許容範囲＝１０に設定した場合、自己側のＬＡＮの評価値が５０を維持しているのに、相手側のＬＡＮの評価値が３９に低下したような場合や、逆に、相手側のＬＡＮの評価値が５０を維持しているのに、自己側のＬＡＮの評価値が３９に低下したような場合は、上述の式が満たされることになるので、そのような相手との接続を解除する処置が取られることになる。

もっとも、上述の第３の方法を採る場合は、第１のＬＡＮ１００側と第２のＬＡＮ２００側とで、同一の許容範囲が設定されている限り、一方のＬＡＮ側で接続解除の措置が取られた場合は、当然、他方のＬＡＮ側でも接続解除の措置が取られることになる。したがって、いずれか一方でのみ接続解除の措置が取られるような構成にしておけば足りる。別言すれば、図１に示されているすべての構成要素は必ずしも必要なくなる。たとえば、接続解除の措置を、第１のＬＡＮ１００側で行う場合であれば、図１に示す構成要素のうち、第１の評価値送信部１２２および第２の接続制御部２２３は設けるには及ばない。なぜなら、第２のＬＡＮ２００側では接続解除の措置を行う必要はないので、第２の接続制御部２２３による制御を行う必要がなく、その結果、第１の評価値送信部１２２により、第１の評価値を送信する必要もないためである。

結局、上述の第３の方法を採るのであれば、第１の管理手段１２０には、第１のＬＡＮ１００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する評価部１２１と、この評価部１２１が作成した評価値と第２の管理手段２２０から送信されてきた評価値とを比較し、両者の差（差の絶対値）が所定の許容範囲を越えていた場合には、第１の接続手段１１０による通信機能を停止させる接続制御部１２３と、を設けておけば足り、第２の管理手段２２０には、第２のＬＡＮ２００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する評価部２２１と、この評価部２２１が作成した評価値を第１の管理手段１２０へ送信する評価値送信部２２２と、を設けておけば足りることになる。

なお、第１のＬＡＮ１００側と第２のＬＡＮ２００側とで、異なる許容範囲を設定することも可能である。たとえば、上述の第１の方法を採ることとし、第１のＬＡＮ１００側では許容範囲を１０に設定し、第２のＬＡＮ２００側では許容範囲を２０に設定した場合を考えよう。この場合、第１のＬＡＮ１００の評価値が５０であるのに、第２のＬＡＮ２００の評価値が３９に低下すると、第１の接続制御部１２３により評価値の差が許容範囲１０を越えた旨の判断がなされるので、第１の接続手段１１０の通信機能を停止する措置が採られ、両ＬＡＮ間の接続は解除されることになる。ところが、逆に、第２のＬＡＮ２００の評価値が５０であるのに、第１のＬＡＮ１００の評価値が３９に低下しても、第２の接続制御部２２３は、評価値の差が許容範囲２０以内であるとの判断を行うので、両ＬＡＮ間の接続はそのまま維持されることになる。この場合、第１のＬＡＮ１００の評価値が２９以下に低下したときに、第２の接続制御部２２３により評価値の差が許容範囲２０を越えた旨の判断がなされ、両ＬＡＮ間の接続が解除されることになる。

このように、両ＬＡＮ間で異なる許容範囲を設定することは、重要度の異なる２つのＬＡＮを接続する場合に有効である。たとえば、第１のＬＡＮ１００の方が、第２のＬＡＮ２００よりも、より重要である場合には、上述の例のように、第１のＬＡＮ１００側の許容範囲を、第２のＬＡＮ２００側の許容範囲よりも狭く設定すればよい。

＜＜＜ §２．本発明の変形例に係るＶＰＮ通信システム ＞＞＞
以上、本発明を図１に示す基本的な実施形態に基づいて説明したが、ここでは、本発明の変形例に係る実施形態を述べておく。

(1) 仲介手段を介在させる実施形態
図２は、ＬＡＮ間に仲介手段を介在させた実施形態を示すブロック図である。この実施形態において、ＷＡＮ（インターネット）１０に、第１のＬＡＮ１００および第２のＬＡＮ２００を、それぞれ第１の接続手段１１０および第２の接続手段２１０を介して接続する点は、§１で述べた基本的実施形態と同様である。ただし、インターネット１０には、仲介手段９００が接続されており、両ＬＡＮ間の通信は、この仲介手段９００を仲介することにより行われる。また、第１の接続手段１１０には第１の管理手段１２０が接続され、第２の接続手段２１０には第２の管理手段２２０が接続されているが、ここに示す実施形態の場合、各管理手段１２０，２２０は、各接続手段１１０，２１０の通信機能を直接制御する役割を果たすものではなく、各ＬＡＮ１００，２００のセキュリティレベルを示す評価値を、仲介手段９００に報告する役割を果たすだけである。

この実施形態においても、第１のＬＡＮ１００および第２のＬＡＮ２００は、相互に暗号通信の機能を有しており、仲介手段９００を仲介した暗号通信により、両ＬＡＮ間に仮想の専用線を用いたＶＰＮ通信環境が提供されることになる。すなわち、第１の接続手段１１０および第２の接続手段２１０は、仲介手段９００による仲介機能を利用して、相互に所定の暗号通信を行う通信機能を有しており、仲介手段９００は、ＬＡＮ１００，２００に対する認証および暗号通信の仲介を行う機能を有していることになる。

この実施形態に係るＶＰＮ通信システムを運用する上での基本方針は次のとおりである。まず、第１のＬＡＮ１００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成させる。同様に、第２のＬＡＮ２００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成させる。そして、これら両評価値を比較し、両者の差が所定の許容範囲を越えていた場合には、仲介手段９００によるこれら両ＬＡＮ間に関する仲介処理を中止させるのである。

このような基本方針に基づく運用を行うために、図示のとおり、第１の管理手段１２０には、第１のＬＡＮ１００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する第１の評価部１２１と、この第１の評価部１２１が作成した評価値を仲介手段９００へ送信する第１の評価値送信部１２２とが設けられている。同様に、第２の管理手段２２０には、第２のＬＡＮ２００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する第２の評価部２２１と、この第２の評価部２２１が作成した評価値を仲介手段９００へ送信する第２の評価値送信部２２２とが設けられている。

一方、仲介手段９００には、図示のとおり、認証部９１０、通信仲介部９２０、仲介制御部９３０が設けられている。認証部９１０は、第１の接続手段１１０および第２の接続手段２１０に対する認証を行う機能を有しており、通信仲介部９２０は、この認証機能により正しい認証結果が得られたときに、第１の接続手段１１０と第２の接続手段２１０との間の通信を仲介する機能を有している。また、仲介制御部９３０は、各ＬＡＮのセキュリティレベルを示す評価値に基づいて、両ＬＡＮ間の通信を制御する重要な機能を果たす。すなわち、仲介制御部９３０は、第１の管理手段１２０から送信されてきた評価値と、第２の管理手段２２０から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、通信仲介部９２０による仲介機能を停止させる機能を有している。

結局、この図２に示す実施形態では、両ＬＡＮ間の通信を遮断するか否かの制御は、仲介手段９００によって行われることになり、各管理手段１２０，２２０は、各ＬＡＮ１００，２００のセキュリティレベルを示す評価値を、仲介手段９００に報告する役割を果たすだけである。

もちろん、仲介手段を介在させる実施形態であっても、図１に示す例のように、各管理手段１２０，２２０側に接続制御部１２３，２２３を設け、両ＬＡＮ間の通信を遮断するか否かの制御を、各管理手段１２０，２２０側に委ねるようにすることも可能である。この場合は、仲介手段は、インターネット１０上に形成される単なる仮想の専用線（ＶＰＮ通信線）の一部として機能するだけであり、本発明に係る技術思想の観点からは、§１で述べた基本的実施形態の範疇に入ることになる。

(2) 多数のＬＡＮを相互接続する変形例
これまで述べた実施形態は、第１のＬＡＮ１００と第２のＬＡＮ２００とを相互に接続するためのＶＰＮ通信システムに関するものであるが、本発明に係るＶＰＮ通信システムは、このような２つのＬＡＮ間の相互接続だけに利用されるものではなく、より多数のＬＡＮを相互に接続する際にも利用できるものである。

図３は、３つのＬＡＮを相互接続する実施形態に係るＶＰＮ通信システムの構成を示すブロック図である。この例では、図示のとおり、ＷＡＮ（インターネット）１０に、第１のＬＡＮ１００、第２のＬＡＮ２００、第３のＬＡＮ３００が、それぞれ第１の接続手段１１０、第２の接続手段２１０、第３の接続手段３１０を介して接続されている。また、これら各接続手段には、その接続状態を制御するために、それぞれ第１の管理手段１２０、第２の管理手段２２０、第３の管理手段３２０が接続されている。

このように、３つのＬＡＮ１００，２００，３００を相互に接続するためのＶＰＮ通信システムは、基本的には、前述した２つのＬＡＮを相互に接続する二者間の接続環境を繰り返し用いることにより構成すればよい。たとえば、図３に示す例の場合、基本的には、第１のＬＡＮ１００と第２のＬＡＮ２００との間の二者間接続、第１のＬＡＮ１００と第３のＬＡＮ３００との間の二者間接続、第２のＬＡＮ２００と第３のＬＡＮ３００との間の二者間接続、という３組の二者間接続を実現すればよいので、これまで述べた二者間接続の実施形態をそのまま利用することができる。

結局、相互接続すべきＬＡＮが多数存在する場合であっても、基本的には、２つのＬＡＮ間の１対１接続の集合形態となるので、本発明に係るＶＰＮ通信システムは、２つのＬＡＮ間の相互接続だけでなく、多数のＬＡＮを相互接続する実施形態にも適用することが可能である。

(3) ＶＰＮを含むＬＡＮを相互接続する変形例
これまで述べた実施形態は、いずれも２つ以上のＬＡＮを相互接続するためのＶＰＮ通信システムに関するものであったが、本発明は、ＶＰＮからなるＬＡＮを相互接続するためのＶＰＮ通信システムにも適用することが可能である。

たとえば、図１に示す実施形態は、第１のＬＡＮ１００と第２のＬＡＮ２００とを接続する例であるが、ここで第１のＬＡＮ１００としてＬＡＮの一部がＶＰＮからなるＬＡＮを用いたり、また第１のＬＡＮ１００としてＬＡＮの全部がＶＰＮからなるＬＡＮを用いたりしてもよい。同様に第２のＬＡＮ２００としてＬＡＮの一部がＶＰＮからなるＬＡＮを用いたり、また第２のＬＡＮ２００としてＬＡＮの全部がＶＰＮからなるＬＡＮを用いたりしてもよい。

また、図２に示す実施形態は、第１のＬＡＮ１００と第２のＬＡＮ２００とを仲介手段９００を介して接続する例であるが、ここでも、第１のＬＡＮ１００としてＬＡＮの一部がＶＰＮからなるＬＡＮを用いたり、また第１のＬＡＮ１００としてＬＡＮの全部がＶＰＮからなるＬＡＮを用いたりしてもよい。同様に第２のＬＡＮ２００としてＬＡＮの一部がＶＰＮからなるＬＡＮを用いたり、また第２のＬＡＮ２００としてＬＡＮの全部がＶＰＮからなるＬＡＮを用いたりしてもよい。

＜＜＜ §３．セキュリティレベルを示す評価値の作成方法 ＞＞＞
本発明に係るＶＰＮ通信システムでは、接続制御を各ＬＡＮのセキュリティレベルを示す評価値の比較に基づいて行うため、この評価値を作成する処理は非常に重要である。ここでは、この評価値を求めるための具体的なアプローチを２通り述べておく。

第１のアプローチは、ＬＡＮの通信状態を示す所定のパラメータを予め定めておき、このパラメータの値が変動した場合には、セキュリティレベルが低下したものと判断する、という考え方に基づくものである。図４は、この第１のアプローチに基づいて評価値を求める機能を有する第１の評価部１２１の構成を示すブロック図である。この第１の評価部１２１の役割は、第１のＬＡＮ１００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成することにある。第１のＬＡＮ１００には、実際には、多数の端末装置が接続されているが、図４では、説明の便宜上、３台の端末装置Ｔ１，Ｔ２，Ｔ３のみが接続されている状態が示されている。

図４に示す第１の評価部１２１は、初期値記憶部１２１Ａ、現在値測定部１２１Ｂ、評価値作成部１２１Ｃによって構成されている。ここで、初期値記憶部１２１Ａは、第１のＬＡＮ１００の通信状態を示す所定のパラメータについての初期値を記憶する機能を有する。実際には、このＶＰＮ通信システムの運用を開始した時点において、第１のＬＡＮ１００について、このパラメータの値を測定し、これを初期値として記憶させておくようにすればよい。一方、現在値測定部１２１Ｂは、このＶＰＮ通信システムの運用を開始した後、所定期間ごとに、上記パラメータの現在値を測定する機能を有する。また、評価値作成部１２１Ｃは、初期値記憶部１２１Ａに記憶されている初期値と現在値測定部１２１Ｂによって測定された現在値との偏差に基づいて、第１のＬＡＮ１００の現時点におけるセキュリティレベルを示す評価値を作成する機能を有する。より具体的に説明すれば、パラメータの初期値と現在値との偏差が小さければ小さいほど、高い評価値が生成され、偏差が大きければ大きいほど、低い評価値が生成されるアルゴリズムになっている。

このＶＰＮ通信システムの運用開始時には、当然ながら、現在値測定部１２１Ｂによって測定された現在値と、初期値記憶部１２１Ａに記憶されている初期値とは一致する。しかしながら、上記パラメータの現在値は、運用後、時々刻々と変化してゆく可能性があり、ここで述べる第１のアプローチでは、このパラメータ値の変化の程度を、セキュリティレベルの低下の度合いを示す指標として利用することになる。これは、ＬＡＮ内のセキュリティレベルが一定に維持されている限り、当該ＬＡＮの通信状態は定常状態を維持するであろうと推測され、当該ＬＡＮの通信状態を示すパラメータの値も一定値を維持し続けるであろうと推測されるためである。逆に言えば、このパラメータ値に変動が生じた場合には、ＬＡＮ内のセキュリティに何らかの異常が生じている可能性があり、当該ＬＡＮのセキュリティレベルが低下したと判断する材料を与えることになる。

この第１のアプローチにおいて、ＬＡＮの通信状態を示す具体的なパラメータとしては、たとえば、当該ＬＡＮを流れるデータの種類ごとの量を示すパラメータを用いることができる。ＴＣＰ／ＩＰに基づくパケット通信では、Ｗｅｂブラウザアプリケーション、電子メールアプリケーション、ファイル転送用アプリケーションなど、様々なアプリケーションプログラムによって様々な種類のＩＰパケットが作成され、ＬＡＮ上を流れることになる。そして、個々のＩＰパケットの内容を調べれば、当該ＩＰパケットを構成するデータが、どのアプリケーション用のデータであるのかを認識することが可能である。たとえば、あるＩＰパケットには、Ｗｅｂブラウザアプリケーション用のデータが含まれているとか、別なＩＰパケットには、電子メールアプリケーション用のデータが含まれているとか、個々のＩＰパケットごとに、データの種類を特定することが可能である。そこで、ＬＡＮを流れるデータの種類ごとの量（たとえば、パケット数の絶対値や相対値）を、当該ＬＡＮの通信状態を示すパラメータとして用いれば、そのようなパラメータは数値として取り扱うことができる。

ここでは、もう少し具体的な例を挙げて説明しよう。いま、所定の時間帯にＬＡＮ上を流れる全ＩＰパケットの内容を調べ、データの種類ごとの割合を求めたとすれば、たとえば、Ｗｅｂブラウザ用データが８５％、電子メール用データが０％、ファイル転送用データが１５％、というようなデータの種類別構成比が得られる。これは、当該ＬＡＮに接続されている多くの端末装置が、主としてＷｅｂブラウザアプリケーションを利用しており、従としてファイル転送用アプリケーションを利用していることを示している。そこで、この「８５％，０％，１５％」という構成比を、当該ＬＡＮの通信状態を示すパラメータの初期値として、初期値記憶部１２１Ａに記憶させておく。この場合、このＬＡＮに、構造上の大きな変更がなければ、通常、上記構成比は、ほぼ一定に維持されるものと考えられる。すなわち、図４に示す各端末装置Ｔ１〜Ｔ３は、主としてＷｅｂブラウザとして利用される端末装置であり、必要に応じてファイルのダウンロードを行う端末装置ということができる。

ところが、ある時点において、現在値測定部１２１Ｂによって、上記種類別構成比を示すパラメータを測定したところ、Ｗｅｂブラウザ用データが６０％、電子メール用データが３０％、ファイル転送用データが１０％、という結果が得られたとしよう。この結果は、電子メール用データの急激な増加を示すものであり、各端末装置Ｔ１〜Ｔ３が、主としてＷｅｂブラウザとして利用される端末装置であることを考慮すると、何らかの異常（たとえば、ハッカーによる攻撃）が生じているものと判断することができる。この場合、初期値記憶部１２１Ａに記憶されているパラメータの初期値が「８５％，０％，１５％」という構成比であるのに対し、現在値測定部１２１Ｂによって測定されたパラメータの現在値は「６０％，３０％，１０％」となるので、評価値作成部１２１Ｃは、パラメータの値に大きな偏差が生じていることを認識できる。このような場合、評価値作成部１２１Ｃは、本来の評価値から当該偏差に応じた所定値を減じることにより、新たな評価値を作成する処理を実行すればよい。評価値をどの程度減じるかは、ケースバイケースで設定する事項であるが、たとえば、初期値として記憶されている構成比において、最も割合の大きなデータ種についての％値の変動分をそのまま評価値の減少分として取り扱うようにすれば、上述の例の場合、「８５％−６０％＝２５％」となるので、本来よりも２５だけ低い評価値が得られることになる。

もちろん、上述の例の場合、ネットワーク管理者によって、各端末装置Ｔ１〜Ｔ３に電子メール用ソフトウエアがインストールされていたとすると、当然、当該ＬＡＮを流れるデータの種類の構成比は変動することになる。このように、ＬＡＮに、構造上の大きな変更が加えられた場合には、ネットワーク管理者が、その時点でのパラメータの測定値を、新たな初期値として初期値記憶部１２１Ａに記憶させる処理を行うようにすればよい。

なお、この第１のアプローチにおいて用いるパラメータは、上述のパラメータに限定されるものではなく、ＬＡＮの通信状態を示すことができるパラメータであれば、他のパラメータであってもかまわない。たとえば、当該ＬＡＮに接続された各端末装置のＴＣＰ／ＩＰ通信用ポートの開閉状態を示すパラメータ用いることも可能である。ＴＣＰ／ＩＰ通信では、ＬＡＮ上を流れる個々のＩＰパケットが、端末装置上で動作しているどのアプリケーション用のデータであるかを識別するために、ポート番号なるものが用いられる。たとえば、ポート番号「８０」は、ＷＷＷ上でのｈｔｔｐプロトコルに基づくデータ転送アプリケーション用に割り振られている番号であり、Ｗｅｂブラウザアプリケーションに対応したポート番号である。同様に、ポート番号「２５」は、ｓｍｔｐプロトコルに基づくデータ転送を行う電子メール送信用アプリケーションに対応しており、ポート番号「１１０」は、ｐｏｐ３プロトコルに基づくデータ転送を行う電子メール受信用アプリケーションに対応しており、ポート番号「２１」は、ｆｔｐプロトコルに基づくデータ転送を行うファイル転送用アプリケーションに対応している。

しかも、各端末装置に対するポートスキャンという既存の技術を用いれば、個々の端末装置ごとに、各ポート番号の開閉状態を調べることができる。図４には、各端末装置Ｔ１〜Ｔ３に対するポートスキャンを行うことにより、Ｔ１については、ポート番号８０，２１が開いており、Ｔ２およびＴ３については、ポート番号８０が開いている、という結果が得られた状態が示されている。結局、開いているポートは、８０番が３つ、２１番が１つ、ということになる。したがって、この各ポートの開閉状態をＬＡＮの通信状態を示すパラメータとして用いても、前述の手法と同様に所定の評価値を作成することが可能である。たとえば、パラメータの初期値においては、特定の番号のポートは１個も開いていなかったのに、現在値では、当該ポートが１００個も開いている、というパラメータ値の変動が生じた場合には、何らかの原因でセキュリティレベルが低下した可能性があるので、より低い評価値を作成するようにすればよい。

続いて、第２のアプローチについて説明しよう。この第２のアプローチは、ＬＡＮに接続された各端末装置に施されているセキュリティ対策の更新状態を確認する処理を行い、このセキュリティ対策の更新状態が理想的なお手本に近いか否かにより、セキュリティレベルの評価を行う、という考え方に基づくものである。別言すれば、ＬＡＮに対するメンテナンス作業が逐次行われているか否か、という観点からセキュリティレベルの評価を行うものである。

一般に、ＬＡＮを構成する各端末装置やネットワーク機器に組み込まれているプログラムには、セキュリティホールと呼ばれているセキュリティ上の欠陥が存在し、このセキュリティホールを完全に取り除くことは実用上極めて困難である。このようなセキュリティホールが発見された場合、通常、当該プログラムの供給元から、当該セキュリティホールに対処するための対策用プログラム（いわゆるセキュリティパッチ）がリリースされる。また、新種のコンピュータウイルスが発見された場合には、新たなウイルス対策用データがリリースされる。

ＬＡＮを管理するネットワーク管理者は、本来、このような新たなセキュリティ対策用プログラムやデータがリリースされた場合、これらを積極的に活用し、ＬＡＮ内のセキュリティ対策の環境を、常に最新の理想的な状態に更新しておくべきである。しかしながら、現実的には、ネットワーク管理者にすべてを要求することは困難であり、場合によっては、専門のネットワーク管理者がおかれていないＬＡＮも存在する。したがって、運用当初の初期段階では、十分なセキュリティレベルを維持していたＬＡＮであっても、その後、セキュリティ対策についての更新作業を怠ると、セキュリティレベルは徐々に低下せざるを得ない。ここで述べる第２のアプローチは、ＬＡＮについて施されたセキュリティ対策についての更新状態に基づいて、セキュリティレベルの評価を行うものである。

図５は、この第２のアプローチに基づいて評価値を求める機能を有する第１の評価部１２１の構成を示すブロック図である。この第１の評価部１２１の役割は、もちろん、第１のＬＡＮ１００の現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成することにある。ここに示す第１のＬＡＮ１００にも、説明の便宜上、３台の端末装置Ｔ１，Ｔ２，Ｔ３が接続されている状態が示されている。

図５に示す第１の評価部１２１は、理想状態記憶部１２１Ｄ、更新状態確認部１２１Ｅ、評価値作成部１２１Ｆによって構成されている。ここで、更新状態確認部１２１Ｅは、第１のＬＡＮ１００に接続された各端末装置Ｔ１〜Ｔ３に施されているセキュリティ対策の更新状態を確認する機能を有する。一方、理想状態記憶部１２１Ｄは、現時点におけるセキュリティ対策の理想的な更新状態を記憶する機能を有する。別言すれば、理想状態記憶部１２１Ｄには、セキュリティ対策の更新状態のお手本が記憶されていることになる。評価値作成部１２１Ｆは、更新状態確認部１２１Ｅで確認された実際の更新状態と理想状態記憶部１２１Ｄに記憶されている理想的な更新状態との偏差に基づいて、第１のＬＡＮ１００の現時点におけるセキュリティレベルを示す評価値を作成する機能を有する。より具体的に説明すれば、確認された実際の更新状態が、お手本となる理想的な更新状態に近ければ近いほど（すなわち、偏差が小さければ小さいほど）、高い評価値が生成され、逆に、お手本となる理想的な更新状態に遠ければ遠いほど（すなわち、偏差が大きければ大きいほど）、低い評価値が生成されるアルゴリズムになっている。

前述したとおり、新たなセキュリティホールが発見されたり、新種のコンピュータウイルスが発見されたりした場合には、逐次、これらに対処するための更新用プログラムや更新用データがリリースされることになるので、本発明に係るＶＰＮ通信システムを統括管理する者は、そのたびに、新たにリリースされた更新用プログラムや更新用データを、理想状態記憶部１２１Ｄに追加する作業（お手本自身の更新作業）を行う必要がある。なお、図５に示す例では、便宜上、理想状態記憶部１２１Ｄを第１の評価部１２１内の１構成要素として示してあるが、実用上は、インターネット１０上に理想状態を記憶するための専用サーバ装置を設置しておき、この専用サーバ装置を、多数の評価部についての共通の理想状態記憶部として利用するのが好ましい。

この第２のアプローチでは、更新状態確認部１２１Ｅは、第１のＬＡＮ１００に接続されている各端末装置Ｔ１〜Ｔ３について、現時点で施されているセキュリティ対策の更新状態を確認する処理を実行する必要がある。その具体的な方法の一例は、第１のＬＡＮ１００を流れるデータの内容を参照することにより、更新状態の確認を行う方法である。前述したとおり、ＴＣＰ／ＩＰに基づく通信では、ＬＡＮ上を多数のＩＰパケットが流れることになるが、このＩＰパケットの中には、各端末装置のセキュリティ対策に関する更新状態を示す情報が含まれていることが少なくない。そこで、所定の時間帯にＬＡＮ上を流れるＩＰパケットの内容を調査し、セキュリティ対策に関する更新状態を示す情報が含まれていたら、これを抽出すればよい。

たとえば、ＯＳプログラムは、通常、所定期間ごとにアップデートされ、ＯＳのバージョン番号が逐次更新されてゆく。図５に示す例では、端末装置Ｔ１，Ｔ３のＯＳはバージョン２．３であるが、端末装置Ｔ２のＯＳはバージョン２．４になっている。このＯＳのバージョンは、インストールされている端末装置のセキュリティ対策の更新状態を示す重要なパラメータのひとつであり、通常、バージョン番号が大きいほど、セキュリティレベルも高くなるのが一般的である。たとえば、図５に示す例において、現時点でリリースされている最新のＯＳが、バージョン２．４であったとすると、理想状態記憶部１２１Ｄには、ＯＳバージョンの理想的な更新状態は２．４であることが記憶されているので、端末装置Ｔ２のＯＳは、理想的な更新状態にあるが、端末装置Ｔ１，Ｔ３のＯＳは、理想的な状態よりも一段階低いレベルの更新状態にあることが確認できる。

もちろん、各端末装置について施されたセキュリティ対策の更新状態は、ＯＳプログラムのバージョンだけで示されるものではなく、アプリケーションプログラムのバージョンや、ウイルス定義ファイルのバージョンなどによっても示されるので、ＬＡＮ上を流れるＩＰパケットに対する調査は、アプリケーションプログラムのバージョンやウイルス定義ファイルのバージョンなどに関しても行うようにするのが好ましい。

このように、更新状態確認部１２１Ｅに、ＬＡＮ上を流れるＩＰパケットに対する調査を行わせれば、各端末装置に施されているセキュリティ対策の更新状態を確認することが可能であるが、別な方法として、更新状態確認部１２１Ｅによって、第１のＬＡＮ１００に接続された各端末装置Ｔ１〜Ｔ３に対して、所定の確認用プログラムを実行させるようにすれば、その実行結果を参照することにより、更新状態の確認を行うこともできる。この方法は、一般に、セキュリティスキャンと呼ばれている方法であり、各端末装置のセキュリティ状態を、外部から動的にスキャンする方法である。

たとえば、各端末装置Ｔ１〜Ｔ３に対して、ＯＳのバージョンを問い合わせるための確認用プログラムや、所定のアプリケーションのバージョンを問い合わせるための確認用プログラムなどを実行させれば、この問い合わせに対する応答として、これらのバージョン番号を認識することが可能になるので、理想状態記憶部１２１Ｄ内に記憶されている理想的なバージョン番号と比較することにより、所定の評価値を得ることができる。もちろん、一般的なセキュリティスキャンは、このような単純な問い合わせ作業だけでなく、より複雑な作業を行うことも可能である。たとえば、故意にセキュリティホールを攻撃するようなプログラムを実行させ、その実行結果を確認すれば、当該セキュリティホールに対する対策が施されているか否かを確認することが可能である。セキュリティホールの存在は、通常、ＣＥＲＴ勧告などで報告されることになるが、この勧告の日付と照らし合わせることにより、いつの時点まで正しいセキュリティ対策が施されていたかを認識することができる。この他、所定の確認用プログラムを実行した結果として得られる警告の数を計数することによっても、セキュリティ対策の更新状態を確認することが可能である。

なお、第１の評価部１２１は、第１のＬＡＮ１００全体についてのセキュリティレベルを示す評価値を作成する必要があるが、各端末装置Ｔ１〜Ｔ３についてのセキュリティレベルを何らかの方法で確認することができたら、これらを総合的に考慮して、ＬＡＮ全体の評価値を決定すればよい。具体的には、各端末装置のセキュリティレベルの平均値に基づいて最終的な評価値を決定してもよいし、最も低いセキュリティレベルに基づいて最終的な評価値を決定してもよい。

本発明の基本的な実施形態に係るＶＰＮ通信システムの構成を示すブロック図である。 ＬＡＮ間に仲介手段を介在させた本発明の変形例に係るＶＰＮ通信システムの構成を示すブロック図である。 ３つのＬＡＮを相互接続する実施形態に係るＶＰＮ通信システムの構成を示すブロック図である。 第１のアプローチに基づいて評価値を求める機能を有する第１の評価部１２１の構成を示すブロック図である。 第２のアプローチに基づいて評価値を求める機能を有する第１の評価部１２１の構成を示すブロック図である。

符号の説明

１０…ＷＡＮ（インターネット）
１００…第１のＬＡＮ
１１０…第１の接続手段
１２０…第１の管理手段
１２１…第１の評価部
１２１Ａ…初期値記憶部
１２１Ｂ…現在値測定部
１２１Ｃ…評価値作成部
１２１Ｄ…理想状態記憶部
１２１Ｅ…更新状態確認部
１２１Ｆ…評価値作成部
１２２…第１の評価値送信部
１２３…第１の接続制御部
２００…第２のＬＡＮ
２１０…第２の接続手段
２２０…第２の管理手段
２２１…第２の評価部
２２２…第２の評価値送信部
２２３…第２の接続制御部
３００…第３のＬＡＮ
３１０…第３の接続手段
３２０…第３の管理手段
９００…仲介手段
９１０…認証部
９２０…通信仲介部
９３０…仲介制御部
Ｔ１〜Ｔ３…端末装置

Claims (12)

1. 公衆通信網としてのＷＡＮに複数のＬＡＮを接続し、これらＬＡＮ間に仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムであって、
   第１のＬＡＮを前記ＷＡＮに接続するための第１の接続手段と、
   第２のＬＡＮを前記ＷＡＮに接続するための第２の接続手段と、
   前記第１の接続手段に接続された第１の管理手段と、
   前記第２の接続手段に接続された第２の管理手段と、
   を備え、
   前記第１の接続手段および前記第２の接続手段は、それぞれ相手に対する認証を行う認証機能と、この認証機能により正しい認証結果が得られたときに前記ＷＡＮを介して相互に所定の暗号通信を行う通信機能と、を有し、
   前記第１の管理手段は、前記第１のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する評価部と、この評価部が作成した評価値と前記第２の管理手段から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、前記第１の接続手段による通信機能を停止させる接続制御部と、を有し、
   前記第２の管理手段は、前記第２のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する評価部と、この評価部が作成した評価値を前記第１の管理手段へ送信する評価値送信部と、を有することを特徴とするＶＰＮ通信システム。
2. 公衆通信網としてのＷＡＮに複数のＬＡＮを接続し、これらＬＡＮ間に仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムであって、
   第１のＬＡＮを前記ＷＡＮに接続するための第１の接続手段と、
   第２のＬＡＮを前記ＷＡＮに接続するための第２の接続手段と、
   前記第１の接続手段に接続された第１の管理手段と、
   前記第２の接続手段に接続された第２の管理手段と、
   を備え、
   前記第１の接続手段および前記第２の接続手段は、それぞれ相手に対する認証を行う認証機能と、この認証機能により正しい認証結果が得られたときに前記ＷＡＮを介して相互に所定の暗号通信を行う通信機能と、を有し、
   前記第１の管理手段は、前記第１のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する第１の評価部と、前記第１の評価部が作成した評価値を前記第２の管理手段へ送信する第１の評価値送信部と、前記第１の評価部が作成した評価値と前記第２の管理手段から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、前記第１の接続手段による通信機能を停止させる第１の接続制御部と、を有し、
   前記第２の管理手段は、前記第２のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する第２の評価部と、前記第２の評価部が作成した評価値を前記第１の管理手段へ送信する第２の評価値送信部と、前記第２の評価部が作成した評価値と前記第１の管理手段から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、前記第２の接続手段による通信機能を停止させる第２の接続制御部と、を有することを特徴とするＶＰＮ通信システム。
3. 公衆通信網としてのＷＡＮに複数のＬＡＮを接続し、これらＬＡＮ間に仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムであって、
   第１のＬＡＮを前記ＷＡＮに接続するための第１の接続手段と、
   第２のＬＡＮを前記ＷＡＮに接続するための第２の接続手段と、
   前記ＷＡＮに接続された仲介手段と、
   前記第１の接続手段に接続された第１の管理手段と、
   前記第２の接続手段に接続された第２の管理手段と、
   を備え、
   前記第１の接続手段および前記第２の接続手段は、前記仲介手段による仲介機能を利用して、相互に所定の暗号通信を行う通信機能を有し、
   前記第１の管理手段は、前記第１のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する第１の評価部と、前記第１の評価部が作成した評価値を前記仲介手段へ送信する第１の評価値送信部と、を有し、
   前記第２の管理手段は、前記第２のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する第２の評価部と、前記第２の評価部が作成した評価値を前記仲介手段へ送信する第２の評価値送信部と、を有し、
   前記仲介手段は、前記第１の接続手段および前記第２の接続手段に対する認証を行う認証部と、この認証部の機能により正しい認証結果が得られたときに、前記第１の接続手段と前記第２の接続手段との間の通信を仲介する通信仲介部と、前記第１の管理手段から送信されてきた評価値と、前記第２の管理手段から送信されてきた評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、前記通信仲介部による仲介機能を停止させる仲介制御部と、を有することを特徴とするＶＰＮ通信システム。
4. 請求項１〜３のいずれかに記載のＶＰＮ通信システムにおいて、
   評価部が、ＬＡＮの通信状態を示す所定のパラメータについての初期値を記憶する初期値記憶部と、前記パラメータの現在値を測定する現在値測定部と、前記初期値と前記現在値との偏差に基づいて前記ＬＡＮの現時点におけるセキュリティレベルを示す評価値を作成する評価値作成部と、を有することを特徴とするＶＰＮ通信システム。
5. 請求項４に記載のＶＰＮ通信システムにおいて、
   ＬＡＮの通信状態を示す所定のパラメータとして、前記ＬＡＮを流れるデータの種類ごとの量を示すパラメータを用いることを特徴とするＶＰＮ通信システム。
6. 請求項４に記載のＶＰＮ通信システムにおいて、
   ＬＡＮの通信状態を示す所定のパラメータとして、前記ＬＡＮに接続された各端末装置のＴＣＰ／ＩＰ通信用ポートの開閉状態を示すパラメータ用いることを特徴とするＶＰＮ通信システム。
7. 請求項１〜３のいずれかに記載のＶＰＮ通信システムにおいて、
   評価部が、ＬＡＮに接続された各端末装置に施されているセキュリティ対策の更新状態を確認する更新状態確認部と、現時点におけるセキュリティ対策の理想的な更新状態を記憶する理想状態記憶部と、前記更新状態確認部で確認された実際の更新状態と前記理想状態記憶部に記憶されている理想的な更新状態との偏差に基づいて前記ＬＡＮの現時点におけるセキュリティレベルを示す評価値を作成する評価値作成部と、を有することを特徴とするＶＰＮ通信システム。
8. 請求項７に記載のＶＰＮ通信システムにおいて、
   更新状態確認部が、ＬＡＮを流れるデータの内容を参照することにより、更新状態の確認を行うことを特徴とするＶＰＮ通信システム。
9. 請求項７に記載のＶＰＮ通信システムにおいて、
   更新状態確認部が、ＬＡＮに接続された各端末装置に対して、所定の確認用プログラムを実行し、その実行結果を参照することにより、更新状態の確認を行うことを特徴とするＶＰＮ通信システム。
10. 請求項１〜９のいずれかに記載のＶＰＮ通信システムにおける管理手段としてコンピュータを機能させるためのプログラムもしくは当該プログラムを記録したコンピュータ読み取り可能な記録媒体。
11. 公衆通信網としてのＷＡＮに第１のＬＡＮおよび第２のＬＡＮをそれぞれ接続し、これらＬＡＮ相互間に認証機能と暗号通信機能とをもたせることにより、仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムが存在する場合に、このＶＰＮ通信システムを運用する運用方法であって、
    前記第１のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する段階と、
    前記第２のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する段階と、
    前記第１のＬＡＮについて作成された評価値と前記第２のＬＡＮについて作成された評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、これらＬＡＮ相互間の通信機能を停止させる段階と、
    を有することを特徴とするＶＰＮ通信システムの運用方法。
12. 公衆通信網としてのＷＡＮに、第１のＬＡＮと、第２のＬＡＮと、仲介手段と、をそれぞれ接続し、前記第１のＬＡＮおよび前記第２のＬＡＮに暗号通信機能をもたせ、前記仲介手段に、これらＬＡＮに対する認証および暗号通信の仲介を行う機能をもたせ、これらＬＡＮ間に仮想の専用線を用いた通信環境を提供するＶＰＮ通信システムが存在する場合に、このＶＰＮ通信システムを運用する運用方法であって、
    前記第１のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する段階と、
    前記第２のＬＡＮの現時点におけるセキュリティレベルを示す評価値を所定期間ごとに作成する段階と、
    前記第１のＬＡＮについて作成された評価値と前記第２のＬＡＮについて作成された評価値とを比較し、両者の差が所定の許容範囲を越えていた場合には、これらＬＡＮ間の暗号通信の仲介を中止する段階と、
    を有することを特徴とするＶＰＮ通信システムの運用方法。