JP2006217551A

JP2006217551A - セキュリティ装置

Info

Publication number: JP2006217551A
Application number: JP2005031123A
Authority: JP
Inventors: Hirotaka Ohira; 浩貴大平
Original assignee: Ricoh Co Ltd
Current assignee: Ricoh Co Ltd
Priority date: 2005-02-07
Filing date: 2005-02-07
Publication date: 2006-08-17

Abstract

【課題】セキュリティ対象であるホスト装置から不正にデータが流出するのを防止することができるセキュリティ装置を提供する。
【解決手段】複数のネットワークインターフェースを有し、複数のネットワークインターフェースにより複数の異なるネットワークに接続することができるセキュリティ装置であって、ネットワークの断線が検出された場合に、断線したネットワークとの接続を自動的に切断するようにした。
【選択図】図１

Description

本発明は、セキュリティ装置に係り、特にネットワーク上からデータが不正に流出するのを防止するのに好適なものである。

従来から、セキュリティアクセラレータと呼ばれるセキュリティ機能を高速化するハードウェアやソフトウェアにより構成されるセキュリティ装置を用いたネットワークシステムが提案されている。
図７は従来のセキュリティ装置を用いたネットワークシステムの概要を示した図である。
図７に示すセキュリティ装置１００は、２つのネットワークインターフェースを有し、一方のネットワークインターフェースが安全でないネットワーク１１０に接続され、他方のネットワークインターフェースが安全なネットワーク１２０に接続されている。
この場合、セキュリティ装置１００はネットワーク１１０が安全でないネットワークであること、及びネットワーク１２０が安全なネットワークであることを認識している。
ここで、セキュリティ装置１００に対して、或るホスト装置１２１から安全なネットワーク１２０を介してパケットが伝送されてくると、セキュリティ装置１００は受信したパケットの暗号化や送信者の認証情報の付加、若しくはその両方を行った後、安全でないネットワーク１１０に送信する。
即ち、セキュリティ装置１００は、安全なネットワーク１２０上にありセキュリティ維持機能のないホスト装置１２１から送信されたパケットにセキュリティ対策を施して、安全ではないネットワーク１１０に転送する機能を備えている。また、逆に安全はでないネットワーク１１０からホスト装置１２１に向けて送信されたセキュリティ対策済のパケットに対して暗号化処理が施されていれば解読を行い、認証情報が施されていれば認証処理を行う。そして、解読処理や認証処理が成功すれば、安全なネットワーク１２０上のホスト装置１２１に対してデータを転送するようにしている。
なお、このようなネットワークシステムにおいては、安全であることを前提にしたネットワーク１２０が長くなるほど低セキュリティのネットワークが拡張することになり、安全性に問題が生じる。すなわち、安全であることを前提としたネットワーク１２０はその長さを最小限にすることで安全性が高くなる。このため、従来からセキュリティ装置１００と、その対象となるホスト装置１２１とはできるだけ近くに配置するようにしていた。
例えば、セキュリティ装置１００とその対象であるホスト装置１２１とを直接接続したり、或いは図８に示すように許可された人物以外は入室できないような鍵のかかる室内１３０にセキュリティ装置１００とホスト装置１２１とを配置したりするようにしていた。
なお、先行文献としては例えば特許文献１がある。
特開２００２−８４３０６公報

しかしながら、上記図８のように構成した場合でも、ホスト装置の危険性を完全に排除することはできない。例えば許可されていない人物が図８に示したような鍵のかかる室内１３０に侵入した場合、あるいはそのような施設がそもそも構築できないような環境の場合において、図９（ａ）に示すようにセキュリティ装置１００とホスト装置１２１との間にある伝送線路を切断して、同図（ｂ）に示すように切断した箇所に中継器１３１（例えば、従来からダムＨＵＢと呼ばれている機器や、パケット監視装置のＰＯＤと呼ばれる機器など）を接続し、通信しているパケットのコピーを取得したり、外部から偽パケットを送信してセキュリティ装置１００やホスト装置１２１の通信に割り込ませるといったことがある。
そこで、本発明は、このような問題を解決するためになされたものであり、セキュリティの対象であるホスト装置から不正にデータが流出するのを防止することができるセキュリティ装置を提供することを目的とする。

上記目的を達成するため、請求項１に記載の発明は、複数のネットワークインターフェースを有し、前記複数のネットワークインターフェースにより複数の異なるネットワークに接続することができるセキュリティ装置であって、前記ネットワークの断線を検出する断線検出手段と、前記断線検出手段により断線が検出された場合に、断線したネットワークとの接続を自動的に切断する切断手段と、を備えたセキュリティ装置を特徴とする。
また請求項２に記載の発明は、前記複数のネットワークインターフェースの内、少なくとも一つのネットワークインターフェースは、イーサネット（登録商標）インターフェースである請求項１に記載のセキュリティ装置を特徴とする。
また請求項３に記載の発明は、前記断線検出手段は、前記ネットワークを介して接続されたホスト装置との間で一定時間毎に通信を行い、前記ホスト装置からの応答が所定時間以上無かった時に断線したと判断する請求項１に記載のセキュリティ装置を特徴とする。
また請求項４に記載の発明は、前記断線検出手段は、前記ネットワークを介して接続されたホスト装置との間で行われるトランスポート層のプロトコルを利用した通信が切断された時に断線したと判断する請求項１に記載のセキュリティ装置を特徴とする。
また請求項５に記載の発明は、前記切断手段は、前記ネットワークインターフェースへのパケットの送信を停止する送信停止手段と、所定の宛先に電子メールを送信するメール送信手段とを備える請求項１に記載のセキュリティ装置を特徴とする。

請求項１に記載の発明によれば、断線検出手段によりネットワークの断線を検出した場合に、切断手段によりネットワークとの接続を自動的に切断するようにしているので、例えばホスト装置との間にパケットタッピングツール等の不正装置が取り付けられた場合でもホスト装置のデータが流出するのを防止することができる。
請求項２に記載の発明によれば、断線検出手段において、イーサネットインターフェースの断線通知を利用することよって断線検出を確実に行うことができる。
請求項３に記載の発明によれば、断線検出手段において、ホスト装置との間で一定時間毎に通信を行い、ホスト装置からの応答が所定時間以上無かった場合に断線したと判断することで断線検出を確実に行うことができる。
請求項４に記載の発明によれば、断線検出手段において、ホスト装置との間で行われるトランスポート層のプロトコルを利用した通信が切断された場合に断線したと判断することで、断線検出を容易に行うことができる。
請求項５に記載の発明によれば、断線があった場合にパケットタッピングツールが接続された可能性があるため、通信を不許可にしたうえで、所定の宛先にメールを送信することで、例えば管理者等に通信に危険が発生したことを早期に知ることができるようになる。

以下、図面を参照ながら本発明のセキュリティ装置の実施形態について説明する。
図１は本発明の実施形態であるセキュリティ装置の主要な構成を示した図である。
この図１に示すセキュリティ装置１は、アプリケーション１１、ミドルウェア１２、オペレーティングシステム（ＯＳ）１３等のソフトウェアと、ネットワークインターフェース（以下、ネットワークＩ／Ｆ）としてイーサネットインターフェース（以下、「イーサネットＩ／Ｆ」と表記する）２と、それ以外のネットワークＩ／Ｆ５等のハードウェアにより構成されている。この場合、イーサネットＩ／Ｆ２はイーサネット３に接続され、ネットワークＩ／Ｆ５は図示していないイーサネット以外のネットワークに接続される。なお、本実施の形態では、二つのネットワークＩ／Ｆを備えるものとして説明するが、ネットワークＩ／Ｆはそれ以上でもよいことは言うまでもない。
このようにセキュリティ装置１は、イーサネットＩ／Ｆ２と、それ以外のネットワークＩ／Ｆ５を備え、これらのネットワークＩ／Ｆがそれぞれネットワークに対して接続される。
そして、或るホスト装置又は任意のホストから送られてきたパケットを一方のネットワークＩ／Ｆにより受信し、その受信したデータの暗号化したり、認証情報を付加したりする、あるいはその両方を行って他方のネットワークＩ／Ｆに送信する機構を備えている。
また、逆に或るホスト装置又は任意のホスト装置から送られてきたパケットを一方のネットワークＩ／Ｆにより受信し、そのデータに施された暗号化を解除したり、記載された認証情報に従って認証を行ったりする、あるいはその両方を行い、データを正常に解読や認証ができた場合は処理後のパケットを他方のネットワークＩ／Ｆに送信する機構を備えている。
そのうえで、本実施形態のセキュリティ装置１は、ネットワークＩ／Ｆが接続されたネットワークの断線を検出する断線検出手段と、断線検出手段により断線が検出された場合に、断線したネットワークとの接続を自動的に切断する切断手段とを備えるようにした。

具体的には、例えばネットワークがイーサネット３の場合、ネットワークが切断されるとリンクダウンである旨の通知がイーサネットＩ／Ｆ２を介してＯＳ１３に送られてくるので、これにより断線検出を行い、ＯＳ１３またはミドルウェア１２によりアプリケーション１１に格納されている切断対処プログラムを実行することにより、ネットワークとの接続を切断するようにしている。このようにセキュリティ装置１がイーサネットＩ／Ｆ２を備えている場合は、イーサネットＩ／Ｆ２の断線通知を利用することよってイーサネットの断線検出を確実に行うことができる。
また、例えば一定時間おきにセキュリティ対象であるホスト装置に対して返答を要求する通信を行い、返答が到着しなくなった場合に通信路が切断されたと認識する、即ち断線検出を行うようにしてもよい。
具体的には、セキュリティ装置１と、セキュリティ対象となるホスト装置４の両者がＩＰ（Internet Protocol）により通信する機能を有している場合、ＩＣＭＰ（Internet Control Message Protocol）echo、及びＩＣＭＰreplyの通信を利用することが考えられる。
ホスト装置４がＩＰに対応しているのであれば、ＩＣＭＰechoのパケットを受信できればＩＣＭＰreplyのパケットを送信する機能を持っている場合が多いので、このようなＩＣＭＰを利用して切断検知処理を行うようにする。

図２はＩＣＭＰを利用した切断検知処理シーケンスを示した図である。
この図２に示すように、セキュリティ装置１はＩＣＭＰechoのパケットを一定時間おきに送信し、ホスト装置４がそれに応じてＩＣＭＰreplyを送り返す。
したがって、ホスト装置４からセキュリティ装置１へＩＣＭＰreplyのパケットが所定の応答時間内に到着しなかった場合はネットワークが切断されたと判断できる。
図３は、上記したような切断検知のためにセキュリティ装置が実行する処理を示したフローチャートである。
この場合、セキュリティ装置１は、ＩＣＭＰechoのパケットをホスト装置４に送信した後（Ｓ１）、図示しないタイマをスタートする（Ｓ２）。次にＩＣＭＰreplyをホスト装置４から受信したかどうか判断し、受信したと判断した場合は（Ｓ３でＹ）、所定時間経過した時点で（Ｓ４）、タイマをリセットして（Ｓ５）、ステップＳ１に戻り処理を継続する。
一方、ステップＳ３において、ホスト装置４からＩＣＭＰreplyを受信していないと判断した場合（Ｓ３でＮ）、予め設定したＩＣＭＰreplyの応答到着予想時間を経過したかどうか判断し（Ｓ６）、経過したと判断したら（Ｓ６でＹ）、セキュリティ装置１とホスト装置４との間の伝送路が切断されたと判断して切断対処プログラムを実行する（Ｓ７）。一方、ステップＳ６において、応答到着予想時間を経過していないと判断した場合は（Ｓ６でＮ）、ステップＳ３に戻って処理を継続する。このように構成した場合もネットワークの断線を確実に検出することができる。
さらに、より簡易的な切断検知方法としてはセキュリティ装置１とホスト装置４がＴＣＰ／ＩＰに対応している場合、ＴＣＰセッションをセキュリティ装置１とホスト装置４の間で接続し、その接続状態によって断線検出を行うことも可能である。
図４はセキュリティ装置が実行する処理を示したフローチャートであり、この場合、セキュリティ装置１は、ホスト装置４との間でＴＣＰセッションを張った後（Ｓ１１）、定常状態であるかどうかの判別を行う（Ｓ１２）。そして、定常状態でないと判断した場合（Ｓ１２でＮ）、ＴＣＰセッションは切断された判断して切断対処プログラムを実行する（Ｓ１３）。このようにセキュリティ装置１とホスト装置４との間で行われるトランスポート層のプロトコルを利用して断線検出を行うようにすると容易に断線検出を行うことができる。

次に、セキュリティ装置１の切断対処プログラムにより実行される切断処理について説明する。
切断処理としては、先ず切断された際にホスト装置４への通信を停止することが考えられる。またこれに加えてセキュリティ装置から所定の宛先に対してメールを送信する機能を持たせることで通信に危険が発生したことを早期に知ることができるようになる。
図５はセキュリティ装置の機能ブロック図であり、セキュリティ装置は、ネットワークの断線を検出する断線検出部２１、断線検出部２１の検出結果に基づいて、ホスト装置４への通信を制限する通信制限部２２、断線検出部２１の検出結果に基づいて、メールアドレス記憶部２４に記憶されているメールアドレスに対してネットワークが断線したことを知らせる断線警報通信部２３とを備えることになる。
図６は、この場合にセキュリティ装置が実行する処理を示したフローチャートであり、セキュリティ装置１は、ホスト装置４への通信を制限した後（Ｓ２１）、メールアドレスが指示する宛先へメールを送信する（Ｓ２２）。

本発明の実施の形態としてのセキュリティ装置の主要な構成を示した図。ＩＣＭＰを利用した切断検知の処理シーケンスを示した図。セキュリティ装置が実行する処理を示したフローチャート。セキュリティ装置が実行する処理を示したフローチャート。セキュリティ装置の機能ブロック図。セキュリティ装置が実行する処理を示したフローチャート。従来のセキュリティ装置を用いたネットワークシステムの概要図。従来のセキュリティ装置を用いたネットワークシステムの概要図。従来のセキュリティ装置の欠点を説明する説明図。

符号の説明

１セキュリティ装置、２イーサネットＩ／Ｆ、３イーサネット、４ホスト装置、５ネットワークＩ／Ｆ、１１アプリケーション、１２ミドルウェア、１３ＯＳ、２１切断検出部、２２通信制限部、２３切断警報通信部、２４メールアドレス記憶部

Claims

複数のネットワークインターフェースを有し、前記複数のネットワークインターフェースにより複数の異なるネットワークに接続することができるセキュリティ装置であって、前記ネットワークの断線を検出する断線検出手段と、前記断線検出手段により断線が検出された場合に、断線したネットワークとの接続を自動的に切断する切断手段と、を備えたことを特徴とするセキュリティ装置。
前記複数のネットワークインターフェースの内、少なくとも一つのネットワークインターフェースは、イーサネット（登録商標）インターフェースであることを特徴とする請求項１に記載のセキュリティ装置。
前記断線検出手段は、前記ネットワークを介して接続されたホスト装置との間で一定時間毎に通信を行い、前記ホスト装置からの応答が所定時間以上無かった時に断線したと判断することを特徴とする請求項１に記載のセキュリティ装置。
前記断線検出手段は、前記ネットワークを介して接続されたホスト装置との間で行われるトランスポート層のプロトコルを利用した通信が切断された時に断線したと判断することを特徴とする請求項１に記載のセキュリティ装置。
前記切断手段は、前記ネットワークインターフェースへのパケットの送信を停止する送信停止手段と、所定の宛先に電子メールを送信するメール送信手段とを備えることを特徴とする請求項１に記載のセキュリティ装置。