JP2006295649A - セキュリティゲートウェイシステムとその方法およびプログラム - Google Patents

Abstract

【課題】 一方のネットワークからの不正な通信データがゲートウェイに侵入した場合であっても、当該通信データの他方のネットワークへの侵入を阻止する。
【解決手段】 非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２は、互いに独立したコンピュータにより実現され、標準プロトコル通信部２０，２５により、標準化され仕様が公開されている標準プロトコルを用いた非セキュアネットワーク１とセキュアネットワーク２に接続される。各サブゲートウェイ１１，１２の非標準プロトコル通信部２２，２３間では、仕様が公開されていない非標準プロトコルを用いてデータ授受を行い、非標準側と標準側の間におけるデータ授受は、アプリケーション層のみで行う。プロトコル変換部２１，２４は、中継許可設定テーブル３０，３１を参照して通信データの中継許可の確認を行い、中継許可がある場合にのみプロトコル変換を行う。
【選択図】 図１

Description

本発明は、標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するセキュリティゲートウェイシステムとその方法およびプログラムに関するものである。

ネットワーク通信技術の分野においては、デファクトスタンダードのインターネットプロトコルを用いて通信を行うことにより、メーカ独自の通信プロトコルを用いた独立ネットワーク／特定のグループに対するサービスから、インターネット全体へのサービス提供が可能となり、世界中の人々にサービスを提供できるようになっている。

このインターネットプロトコルは、開放型相互接続システム（Open Systems Interconnection）のひとつの例であり、その仕様が公開され、誰でも入手できるようになっている。そして、この公開された技術を用いて通信を行うハードウェアやソフトウェアをもとに、標準的なインターネット上のサービスが提供され、これらもまた誰でも入手し利用することができるようになっている。

このように標準化されて誰でもサービスを受ける手段を得ることができる状況は、企業活動などにあてはめた場合、通信の秘密性や、企業のコンピュータシステムの安全性を損なう危険につながるため、これらの危険を回避するためのセキュリティ方式も多数考案されて実用化されている。

一般的なセキュリティ機器では、開放型相互接続システムを実現するための階層化された通信レイヤに応じたセキュリティ方式が採用されている。

インターネットプロトコルでは、通信を行う計算機に割り振られた固有のＩＰアドレスとプロトコル番号、通信ポートなどが付加されたデータ（パケット）の送受信により通信が行われる。安全性を確保するために、許可されていない計算機からの通信の遮断（パケットフィルタリング）を行う手法が用いられる。

このパケットフィルタリングにおいては、ネットワーク間を接続する装置（ルータ）に、許可するＩＰアドレスやプロトコル番号や通信ポートなどを設定する。そして、ルータにより、許可設定されている情報に基づいてデータを通過させるかを決定することで、安全性の確保を行うものである。しかしながら、開放型相互接続システムの下位層に位置するデータリンク層やネットワーク層で実施するパケットフィルタリングは、複雑な条件の設定とコントロールができないことから安全性の強度が低いという欠点がある。

一方、ファイアウォールは、ネットワークの相互接続を行うルータよりさらに安全性の強度が高い装置である。ファイアウォールは、ＩＰフィルタリングによる安全性確保の欠点を解決するために、開放型相互接続システムのより上位層で安全性の確保を行う。

このファイアウォールとしては、例えば、トランスポート層などで安全性を確保するためのトランスポートレベルプロキシが存在するが、さらに上位層のための手法として、アプリケーション層などで安全性を確保するためのアプリケーションレベルプロキシが存在する。このアプリケーションプロキシは、アプリケーションゲートウェイとも呼ばれ、プロキシ機能の中で最も安全性が高くインテリジェントなファイアウォール機能である。

特開２０００−１７２５９７ 「イントラ＆インターネットセキュリティ」、杉本隆洋著、オーム社開発局、ISBN4-274-06162-0

しかしながら、ファイアウォールは、コンピュータとソフトウェアで構成される装置であることから、ソフトウェアの不適合や新たに発覚したセキュリティホールを突いてくる安全上の脅威については無防備である。このため、社会インフラなどの公共性が高い制御システムの安全性を確保するためには、未知の脅威についても遮断するための仕組みが必要不可欠である。

また、ファイアウォールなどのセキュリティ機器は、新たに発覚するセキュリティホールなどの対策のため日頃からの保守が必要不可欠である。一般的には、保守のためにセキュリティ機器のメーカが提供するソフトウェアのアップデートを行わなければならず、このアップデート自身も公共のネットワークであるインターネットを通じて行われる。つまり、セキュアなネットワーク内にある装置であるにも関わらず、最も安全性に欠けるネットワークに接続しなければならないという矛盾が生じる。

特許文献１では、外部ネットワークとの通信インターフェースにＬＡＮを用いてＴＣＰ／ＩＰでの通信を行い、内部のネットワークへはプロトコル変換サーバ機能を介してシリアル通信を実施する通信方法が開示されている。この特許文献１においてはまた、中継する過程で各種のフィルタリングによる安全性の確保が行われているが、不正な通信データが装置に一旦侵入してしまうと、標準的なプロトコルを用いているために、その先に存在する、安全性を確保しなければいけない装置に容易にアクセスできてしまうため、安全性や信頼性の点で不安が残っている。

本発明は、上述した課題を解決するために提案されたものであり、その目的は、標準化され仕様が公開されている標準プロトコルを利用する複数のネットワーク間を接続するゲートウェイにおいて、一方のネットワークからの不正な通信データがゲートウェイに侵入した場合であっても、当該通信データの他方のネットワークへの侵入を阻止し、セキュリティ上の安全性・信頼性の高いセキュリティゲートウェイシステムとその方法およびプログラムを提供することである。

本発明は、上記目的を達成するために、互いに独立したコンピュータにより実現される２つのサブゲートウェイを２つのネットワークにそれぞれ接続し、サブゲートウェイ間におけるデータ授受を非標準プロトコルにより行うと共に、サブゲートウェイ内における非標準側と標準側の間におけるデータ授受をアプリケーション層のみで行うことにより、一方のネットワークからの不正な通信データが一方のサブゲートウェイに侵入した場合に、当該通信データの他方のサブゲートウェイへの侵入を阻止できるようにしたものである。

本発明のセキュリティゲートウェイシステムは、標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するセキュリティゲートウェイシステムにおいて、互いに独立したコンピュータにより実現され、接続対象となる２つのネットワークにそれぞれ接続される２つのサブゲートウェイを有し、これらのサブゲートウェイが次のように構成されたことを特徴としている。

各サブゲートウェイは、標準プロトコルを用いて自サブゲートウェイに接続された側のネットワークと通信を行う標準プロトコル通信部と、仕様が公開されていない非標準プロトコルを用いて他サブゲートウェイと通信を行う非標準プロトコル通信部と、標準プロトコルと非標準プロトコルの間で通信データのプロトコル変換を行うプロトコル変換部と、通信データに対する中継許可の有無を確認するための中継許可設定情報を保存する中継許可設定情報記憶部を有する。

２つのサブゲートウェイは、非標準プロトコル通信部間で非標準プロトコルを用いてデータ授受を行うように構成される。各サブゲートウェイの非標準プロトコル通信部は、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層を実装し、かつ、第１層から第６層までの範囲については非公開の独自の通信層を実装した独自の通信部であり、自サブゲートウェイ内における前記標準プロトコル通信部との間のデータ授受が、第７層のアプリケーション層のみで行われ、第１層から第６層までの範囲についてはデータ授受できないように構成される。各サブゲートウェイのプロトコル変換部は、通信データのプロトコル変換を行う際に、中継許可設定情報を参照して当該通信データの中継許可の確認を行い、中継許可がある場合にのみ当該通信データのプロトコル変換を行うように構成される。

また、本発明のセキュリティゲートウェイ方法およびセキュリティゲートウェイプログラムは、上記システムの特徴を、方法の観点、およびプログラムの観点からそれぞれ把握したものである。

以上のような本発明によれば、互いに独立したコンピュータにより実現される２つのサブゲートウェイは物理的に完全に分離され、サブゲートウェイ間の通信は、仕様が公開されていない非標準プロトコルにより行われる。したがって、ネットワークからの不正な通信データが一方のサブゲートウェイに侵入した場合には、通信データのプロトコル変換を行う段階で中継許可設定情報を参照して当該通信データが不正であることを容易に確認して、当該通信データを破棄するなどの適切な処理を行うことにより、他方のサブゲートウェイへの不正な通信データの侵入を阻止することができる。

また、各サブゲートウェイ内における非標準側と標準側のプロトコル通信部間におけるデータ授受はアプリケーション層のみで行われ、プロトコル通信部の下位層は非標準側と標準側とで分離される。したがって、ネットワークからの不正な通信データが一方のサブゲートウェイの標準プロトコル通信部のセキュリティホールをついて侵入したような場合であっても、非標準プロトコル通信部側への侵入を阻止できるため、他方のネットワークへの不正な通信データの侵入を阻止することができる。

また、侵入した不正な通信データにより、一方のサブゲートウェイの中継許可設定情報が書き換えられてしまったような場合でも、サブゲートウェイ間の通信は、仕様が公開されていない非標準プロトコルで行われるため、当該不正な通信データは、他方のサブゲートウェイへ侵入して中継許可設定情報を書き換えることはできない。したがって、このような場合には、当該他方のサブゲートウェイ側で中継許可設定情報の不一致から異常を検出して当該不正な通信データを破棄するなどにより、他方のネットワークへの不正な通信データの侵入を確実に阻止することができる。

本発明によれば、一方のネットワークからの不正な通信データがゲートウェイに侵入した場合であっても、当該通信データの他方のネットワークへの侵入を阻止し、セキュリティ上の安全性・信頼性の高いセキュリティゲートウェイシステムとその方法およびプログラムを提供することができる。

以下には、本発明に係る実施形態について、図面を参照して説明する。ただし、ここで記載する実施形態は、本発明をなんら限定するものではなく、本発明の一態様を例示するものにすぎない。また、本発明は、典型的には、コンピュータをソフトウェアで制御することにより実現される。この場合のソフトウェアは、コンピュータのハードウェアを物理的に活用することで本発明の各計算機の機能および作用効果を実現するものであり、また、従来技術を適用可能な部分には好適な従来技術が適用される。さらに、本発明を実現するハードウェアやソフトウェアの具体的な種類や構成、ソフトウェアで処理する範囲などは自由に変更可能であり、例えば、本発明を実現するプログラムは本発明の一態様である。

［用語の説明］
以下には、本明細書中で使用している重要な用語のいくつかについて順次説明する。

「セキュアネットワーク」：
企業内などの特定のグループにサービスを提供するためのネットワークで、セキュリティを確保しなければならないネットワークである。
「非セキュアネットワーク」：
インターネットに代表される、不特定多数が接続し利用する広域ネットワークまたは公衆ネットワークである。

「標準プロトコル」：
国際標準化部（ＩＳＯ）やＩＥＥＥ、ＡＮＳＩ、ＩＴＵ、ＩＥＣ、ＪＩＳなどの標準化機関で制定された規格に基づく通信プロトコルであり、その仕様が公開されており誰でも入手可能な通信プロトコルである。
「非標準プロトコル」：
標準化機関で制定されておらず、その仕様が公開されていない通信プロトコルである。

「非セキュアネットワークゲートウェイ」：
非セキュアネットワークと標準プロトコルを用いて通信を実施し、独自ネットワークと非標準プロトコルを用いた通信を行い、非セキュアネットワークと独自ネットワークの双方向中継を行うサブゲートウェイである。
「セキュアネットワークゲートウェイ」：
セキュアネットワークと標準プロトコルを用いて通信を実施し、独自ネットワークと非標準プロトコルを用いた通信を行い、セキュアネットワークと独自ネットワークの双方向中継を行うサブゲートウェイである。

「中継許可設定テーブル」
中継が許可される通信データかの確認を行うための設定データが記憶されているテーブルである。非セキュアネットワークゲートウェイ、セキュアネットワークゲートウェイが各々に所有している。
「プロトコル変換」：
標準プロトコルと非標準プロトコルの間の変換を意味する。

［第１の実施形態］
［システム構成］
図１は、本発明を適用した第１の実施形態に係るセキュリティゲートウェイシステム（以下には、「システム」と適宜略称する）を示す構成図である。

この図１に示すように、本実施形態のセキュリティゲートウェイシステム１０は、標準プロトコルを用いた広域ネットワーク（非セキュアネットワーク）１に接続する非セキュアネットワークゲートウェイ１１と、標準プロトコルを用いた内部ネットワーク（セキュアネットワーク）２に接続するセキュアネットワークゲートウェイ１２、という２つのサブゲートウェイから構成されている。ここで、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２は、互いに独立したコンピュータにより実現されている。

非セキュアネットワークゲートウェイ１１は、標準プロトコル通信部２０、プロトコル変換部２１、非標準プロトコル通信部２２、および中継許可設定テーブル３０、から構成される。セキュアネットワークゲートウェイ１２は、非標準プロトコル通信部２３、プロトコル変換部２４、標準プロトコル通信部２５、および中継許可設定テーブル３１、から構成される。

以上のような各部の詳細は次の通りである。

標準プロトコルを用いた広域ネットワーク１は、公開された標準仕様の通信プロトコルを用いたネットワークであり、一般的に不特定多数が接続し利用できるインターネットなどのネットワークである。このため、悪意をもった参加者が接続し利用することも可能であり、セキュリティ上の安全性の低いネットワークである。前述したように、本明細書中では、このような安全性の低いネットワークを非セキュアネットワークと称する。

標準プロトコルを用いた内部ネットワーク２は、企業内など特定のグループにサービスすることを目的としたネットワークであり、セキュリティ上の安全性を確保して、標準プロトコルを用いた広域ネットワーク１からの侵入や攻撃に対して保護する必要性があるネットワークである。前述したように、本明細書中では、このような安全性の確保が要求されるネットワークをセキュアネットワークと称する。

本実施形態のセキュリティゲートウェイシステム１０は、以上のような安全性の低い非セキュアネットワーク１と安全性の確保が要求されるセキュアネットワーク２を、安全性を確保しながら接続するシステムである。この場合、非セキュアネットワーク１に接続するための通信、およびセキュアネットワーク２に接続するための通信は、いずれも、仕様が公開された標準プロトコルを用いて行われる。これに対して、セキュリティゲートウェイシステム１０における２つのサブゲートウェイ、すなわち、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２の間の通信は、仕様が公開されていない非標準プロトコルを用いて行われる。

非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２の各部２０〜２５は、以上のような、各ネットワーク１，２との標準プロトコルによる通信、およびこれらのサブゲートウェイ１１，１２間の非標準プロトコルによる通信を実現するために、次のような機能を有する。

非セキュアネットワークゲートウェイ１１において、標準プロトコル通信部２０は、標準プロトコルを用いて非セキュアネットワークゲートウェイ１１に接続された非セキュアネットワーク１と通信を行う機能を有し、非標準プロトコル通信部２２は、仕様が公開されていない非標準プロトコルを用いてセキュアネットワークゲートウェイ１２と通信を行う機能を有する。

セキュアネットワークゲートウェイ１２において、標準プロトコル通信部２５は、標準プロトコルを用いてセキュアネットワークゲートウェイ１２に接続されたセキュアネットワーク２と通信を行う機能を有し、非標準プロトコル通信部２３は、仕様が公開されていない非標準プロトコルを用いて非セキュアネットワークゲートウェイ１１と通信を行う機能を有する。

非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２において、各プロトコル変換部２１，２４は、標準プロトコルと非標準プロトコルの間でデータ変換を行う機能を有する。各プロトコル変換部２１，２４は、通信データのプロトコル変換を行う際に、中継許可設定テーブル３０，３１を参照して当該通信データの中継許可の確認を行い、中継許可がある場合にのみ当該通信データのプロトコル変換を行うように構成されている。

各中継許可設定テーブル３０，３１は、通信データに対する中継許可の有無を確認するための中継許可設定情報を保存する機能を有し、本発明における中継許可設定情報記憶部に相当する。中継許可設定情報としては、許可された発信元を示す発信元アドレスを含む発信元許可情報、および許可された行き先を示す行き先アドレスを含む行き先許可情報などが予め設定され、保存されている。

図２は、図１に示すセキュリティゲートウェイシステム１０の非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２における標準プロトコル通信部２０，２５と非標準プロトコル通信部２２，２３の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す概念図である。

この図２に示すように、標準プロトコル通信部２０，２５は、標準プロトコルによる通信を行うために、開放型相互接続システム（ＯＳＩ）における第１層〜第７層の通信層、すなわち、ハードウェア層１０１、データリンク層１０２、ネットワーク層１０３、トランスポート層１０４、セッション層１０５、プレゼンテーション層１０６、アプリケーション層１０７、を実装している。

これに対して、非標準プロトコル通信部２２，２３は、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層２０７を実装し、かつ、第１層から第６層までの範囲については非公開の独自の通信層として、独自ハードウェア層２０１と独自プロトコルスタック層２０２を実装した独自の構成を有する。非標準プロトコル通信部２２，２３は、このように、第１層から第６層までの範囲について、非公開の独自の構成を有することから、標準プロトコル通信部２０，２５との間のデータ授受が、第７層のアプリケーション層２０７のみで行われ、第１層から第６層までの範囲については、データ授受できないようになっている。さらに、非標準プロトコル通信部２２，２３には、標準プロトコル通信部２０，２５が一般的に搭載している各種の標準サービスを行うアプリケーション（ftp,telnetなど）は搭載されない。

また、図２に示すように、プロトコル変換部２１，２４は、非標準プロトコル通信部２２，２３のアプリケーション層２０７により実現可能であるが、非標準プロトコル通信部２２，２３から分離して独立に構成してもよい。

［システム動作］
図３は、以上のような第１の実施形態に係るセキュリティゲートウェイシステム１０の動作の概略を示すフローチャートである。

この図３に示すように、本実施形態に係るセキュリティゲートウェイシステム１０は、セキュリティゲートウェイ処理として、第１方向の中継処理（Ｓ１００）と第２方向の中継処理（Ｓ２００）という２方向の中継処理を行う。

ここで、第１方向の中継処理（Ｓ１００）は、標準プロトコルを用いた広域ネットワーク（非セキュアネットワーク）１から非標準プロトコルを用いた内部ネットワーク（セキュアネットワーク）２への中継処理である。また、第２方向の中継処理（Ｓ２００）は、非標準プロトコルを用いた内部ネットワーク（セキュアネットワーク）２から標準プロトコルを用いた広域ネットワーク（非セキュアネットワーク）１への中継処理である。

第１方向の中継処理（Ｓ１００）においては、標準プロトコルを用いた広域ネットワーク１からのデータ通信に応じて、まず、非セキュアネットワークゲートウェイ１１により、非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）を行う。すなわち、標準プロトコル通信部２０により標準プロトコルの通信データを受信して、プロトコル変換部２１により中継許可設定テーブル３０を確認した上で非標準プロトコルに変換し、非標準プロトコル通信部２２によりセキュアネットワークゲートウェイ１２に送信する処理を行う。この結果、非セキュアネットワークゲートウェイ１１からセキュアネットワークゲートウェイ１２への、非標準プロトコルを用いたデータ通信が行われる。

このような、非セキュアネットワークゲートウェイ１１からの非標準プロトコルを用いたデータ通信に応じて、セキュアネットワークゲートウェイ１２により、セキュアネットワークゲートウェイ送信処理（Ｓ１２０）を行う。すなわち、非標準プロトコル通信部２３により非標準プロトコルの通信データを受信して、プロトコル変換部２４により中継許可設定テーブル３１を確認した上で標準プロトコルに変換し、標準プロトコル通信部２５により標準プロトコルを用いた内部ネットワーク２に送信する処理を行う。この結果、セキュアネットワークゲートウェイ１２から標準プロトコルを用いた内部ネットワーク２への、標準プロトコルを用いたデータ通信が行われる。

また、第２方向の中継処理（Ｓ２００）は、標準プロトコルを用いた内部ネットワーク２からのデータ通信に応じて、まず、セキュアネットワークゲートウェイ１２により、セキュアネットワークゲートウェイ受信処理（Ｓ２１０）を行う。すなわち、標準プロトコル通信部２５により標準プロトコルの通信データを受信して、プロトコル変換部２４により中継許可設定テーブル３１を確認した上で非標準プロトコルに変換し、非標準プロトコル通信部２３により非セキュアネットワークゲートウェイ１１に送信する処理を行う。この結果、セキュアネットワークゲートウェイ１２から非セキュアネットワークゲートウェゥイ１１への、非標準プロトコルを用いたデータ通信が行われる。

このような、セキュアネットワークゲートウェイ１２からの非標準プロトコルを用いたデータ通信に応じて、非セキュアネットワークゲートウェイ１１により、非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）を行う。すなわち、非標準プロトコル通信部２２により非標準プロトコルの通信データを受信して、プロトコル変換部２１により中継許可設定テーブル３０を確認した上で標準プロトコルに変換し、標準プロトコル通信部２０により標準プロトコルを用いた広域ネットワーク１に送信する処理を行う。この結果、非セキュアネットワークゲートウェイ１１から標準プロトコルを用いた広域ネットワーク１への、標準プロトコルを用いたデータ通信が行われる。

なお、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２における上記のような各処理（Ｓ１１０、Ｓ１２０、Ｓ２１０、Ｓ２２０）において、プロトコル変換部２１，２４は、中継許可設定テーブル３０，３１を参照して、通信データの発信元や行き先が中継許可されていない場合には、当該通信データを破棄する。

［効果］
以上のような第１の実施形態に係るセキュリティゲートウェイシステムによれば、次のような効果が得られる。

まず、互いに独立したコンピュータにより実現される非セキュアネットワークゲートウェイとセキュアネットワークゲートウェイは物理的に完全に分離され、これらのサブゲートウェイ間の通信は、仕様が公開されていない非標準プロトコルにより行われる。したがって、非セキュアネットワークからの不正な通信データが非セキュアネットワークゲートウェイに侵入した場合には、通信データのプロトコル変換を行う段階で中継許可設定テーブルを参照して当該通信データが不正であることを容易に確認して、当該通信データを破棄するなどの適切な処理を行うことにより、セキュアネットワークゲートウェイへの不正な通信データの侵入を阻止することができる。これにより、セキュアネットワークの安全性を向上できる。

また、各サブゲートウェイ内における非標準プロトコル通信部については、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層を実装し、かつ、第１層から第６層までの範囲については非公開の独自の通信層と標準プロトコル通信部の下位層から分離しており、標準プロトコル通信部との間のデータ授受は第７層のアプリケーション層のみで行われる。そのため、一方の標準プロトコル通信部に侵入した不正な通信データが下位層から侵入することを阻止できる。

すなわち、一般的に、標準プロトコルを用いた場合、開放型相互接続システム（ＯＳＩ）の通信層は、自身のレイヤと同一のレイヤでデータの授受を行うことができる仕様となっている。このため、本実施形態と異なり、非セキュアネットワークに接続する通信部とセキュアネットワークに接続する通信部間を単純に標準プロトコルで接続した場合には、上位層への通信を迂回した下位層によるデータ中継が可能となってしまう。

これに対して、本実施形態においては、非セキュアネットワークに接続する標準プロトコル通信部と、セキュアネットワークに接続する標準プロトコル通信部の間のデータ通信を、開放型相互接続システム（ＯＳＩ）の第１層〜第６層までの範囲を仕様が公開されていない独自のものとして実装した非標準プロトコル通信部を介して行い、ＯＳＩの第１層〜第６層までの範囲で迂回した中継を行うことができないようにしている。このため、標準プロトコル通信部と非標準プロトコル通信部の間におけるデータ通信をＯＳＩの第7層のアプリケーション層のみにより行うことができる。

したがって、非セキュアネットワークからの不正な通信データが非セキュアネットワークゲートウェイの標準プロトコル通信部のセキュリティホールをついて侵入したような場合であっても、非標準プロトコル通信部側への侵入を阻止できるため、セキュアネットワークへの不正な通信データの侵入を阻止することができ、この点からも、セキュアネットワークの安全性を向上できる。

また、非セキュアネットワークから侵入した不正な通信データにより、非セキュアネットワークゲートウェイの中継許可設定テーブルが書き換えられてしまったような場合でも、サブゲートウェイ間の通信は、仕様が公開されていない非標準プロトコルで行われるため、当該不正な通信データは、セキュアネットワークゲートウェイへ侵入して中継許可設定テーブルを書き換えることはできない。したがって、このような場合には、当該セキュアネットワークゲートウェイ側で中継許可設定テーブルに保存された情報と当該不正な通信データに含まれる発信元や行き先の不一致から異常を検出して当該不正な通信データを破棄するなどにより、セキュアネットワークへの不正な通信データの侵入を阻止することができ、この点からも、セキュアネットワークの安全性を向上できる。

また、セキュアネットワークに接続されて各種のサービスを行っているサーバに対して、ＤｏＳ（Denial of Service attack）攻撃を受けた場合は、非セキュアネットワークゲートウェイ側がその影響を受けるが、非セキュアネットワークゲートウェイの非標準プロトコル通信部は、ＯＳＩの第七層に位置する、各種の標準サービスを行うアプリケーション（ftp,telnetなど）を搭載していない。そのため、ＤｏＳ攻撃のデータがセキュアネットゲートウェイ側へ中継されることはなく、セキュアネットワークのサーバへ攻撃が届くことはないため、サーバはサービスを継続して行うことができる。したがって、この点からも、セキュアネットワークの安全性を向上できる。

［セキュリティゲートウェイ処理の具体例］
以下には、上記のような第１の実施形態に係るセキュリティゲートウェイシステム１０による具体的なセキュリティゲートウェイ処理として、安全性を高めるための具体的なデータ処理手順の具体例について説明する。

図４〜図７は、図３に示す非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）、セキュアネットワークゲートウェイ送信処理（Ｓ１２０）、セキュアネットワークゲートウェイ受信処理（Ｓ２１０）、非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）、の処理手順の一例として、各サブゲートウェイ１１，１２でパケットデータの受信待ちを行うようにした処理手順をそれぞれ示すフローチャートである。

また、図８、図９は、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２の中継許可設定テーブル３０，３１に保存されるデータ構成の一例を示す図である。この例においては、中継許可設定テーブル３０，３１には、中継許可設定情報として、プロトコル番号、ポート番号、発信元アドレスを含む発信元許可情報と、ポート番号、行き先アドレスを含む行き先許可情報が保存されている。

なお、セキュリティゲートウェイシステム１０は、一般的に、複数の発信元や行き先を対象としたデータ中継を行うため、図８、図９に示すように、発信元許可情報や行き先許可情報においては、一般的に、複数の発信元アドレスや複数の行き先アドレスが設定される。

以下には、図４〜図７に示す各処理手順の詳細を、図８、図９に示すような中継許可設定テーブル３０，３１を用いた場合について、順次説明する。

図４に示すように、非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）において、非セキュアネットワークゲートウェイ１１の標準プロトコル通信部２０は、非セキュアネットワークゲートウェイ１１内の中継許可設定テーブル３０を参照し、発信元許可情報に従って、非セキュアネットワーク１からのパケットデータの受信待ちを行う（Ｓ１１１）。標準プロトコル通信部２０は、非セキュアネットワーク１からのパケットデータを受信すると（Ｓ１１２のＹＥＳ）、そのパケットデータをプロトコル変換部２１に受け渡す（Ｓ１１３）。

プロトコル変換部２１は、受け取ったパケットデータの発信元アドレスと、図８に示す中継許可設定テーブル３０の発信元許可情報の発信元アドレスとの照合を行い、一致する発信元アドレスがあるか否かを判定する（Ｓ１１４）。一致する発信元アドレスがない場合には（Ｓ１１４のＮＯ）、受け取ったパケットデータを破棄し（Ｓ１１５）、次のパケットデータの受信待ちを行うために、Ｓ１１０に戻る。

また、受け取ったパケットデータの発信元アドレスと一致する発信元アドレスが中継許可設定テーブル３０にある場合には（Ｓ１１４のＹＥＳ）、プロトコル変換部２１は、受け取ったパケットデータを、標準プロトコル形式から非標準プロトコル形式に変換して（Ｓ１１６）、変換後のパケットデータを非標準プロトコル通信部２２に受け渡す（Ｓ１１７）。

非標準プロトコル通信部２２は、図８に示す中継許可設定テーブル３０の行き先許可情報を参照して、行き先アドレスにセキュアネットワークゲートウェイ１２のアドレスが設定されている場合に、非標準プロトコルを用いた通信により、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３へパケットデータを送信する（Ｓ１１８）。

以上のような非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）により、非セキュアネットワーク１から標準プロトコル形式で非セキュアネットワークゲートウェイ１１が受け取ったパケットデータは、非標準プロトコル形式に変換されてセキュアネットワークゲートウェイ１２に受け渡される。

図５に示すように、セキュアネットワークゲートウェイ送信処理（Ｓ１２０）において、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３は、セキュアネットワークゲートウェイ１２内の中継許可設定テーブル３１を参照し、発信元許可情報に従って、非セキュアネットワークゲートウェイ１１からのパケットデータの受信待ちを行う（Ｓ１２１）。非標準プロトコル通信部２３は、非セキュアネットワークゲートウェイ１１の非標準プロトコル通信部２２からのパケットデータを受信すると（Ｓ１２２のＹＥＳ）、そのパケットデータをプロトコル変換部２４に受け渡す（Ｓ１２３）。

プロトコル変換部２４は、受け取ったパケットデータの発信元アドレスと、図９に示す中継許可設定テーブル３１の発信元許可情報の発信元アドレスとの照合を行い、一致する発信元アドレスがあるか否かを判定する（Ｓ１２４）。一致する発信元アドレスがない場合には（Ｓ１２４のＮＯ）、受け取ったパケットデータを破棄し（Ｓ１２５）、次のパケットデータの受信待ちを行うために、Ｓ１２０に戻る。

また、受け取ったパケットデータの発信元アドレスと一致する発信元アドレスが中継許可設定テーブル３１にある場合には（Ｓ１２４のＹＥＳ）、プロトコル変換部２４は、受け取ったパケットデータを、非標準プロトコル形式から標準プロトコル形式に変換して（Ｓ１２６）、変換後のパケットデータを標準プロトコル通信部２５に受け渡す（Ｓ１２７）。

標準プロトコル通信部２５は、図９に示す中継許可設定テーブル３１の行き先許可情報を参照して、行き先アドレスにセキュアネットワーク２内のアドレスが設定されている場合に、標準プロトコルを用いた通信により、セキュアネットワーク２の当該アドレスに対してパケットデータを送信する（Ｓ１２８）。

以上のようなセキュアネットワークゲートウェイ送信処理（Ｓ１２０）により、非セキュアネットワークゲートウェイ１１から非標準プロトコル形式でセキュアネットワークゲートウェイ１２が受け取ったパケットデータは、標準プロトコル形式に変換されてセキュアネットワーク２に送信される。

図６に示すように、セキュアネットワークゲートウェイ受信処理（Ｓ２１０）において、セキュアネットワークゲートウェイ１２の標準プロトコル通信部２５は、セキュアネットワークゲートウェイ１２内の中継許可設定テーブル３１を参照し、発信元許可情報に従って、セキュアネットワーク２からのパケットデータの受信待ちを行う（Ｓ２１１）。標準プロトコル通信部２５は、セキュアネットワーク２からのパケットデータを受信すると（Ｓ２１２のＹＥＳ）、そのパケットデータをプロトコル変換部２４に受け渡す（Ｓ２１３）。

プロトコル変換部２４は、受け取ったパケットデータの発信元アドレスと、図９に示す中継許可設定テーブル３１の発信元許可情報の発信元アドレスとの照合を行い、一致する発信元アドレスがあるか否かを判定する（Ｓ２１４）。一致する発信元アドレスがない場合には（Ｓ２１４のＮＯ）、受け取ったパケットデータを破棄し（Ｓ２１５）、次のパケットデータの受信待ちを行うために、Ｓ２１０に戻る。

また、受け取ったパケットデータの発信元アドレスと一致する発信元アドレスが中継許可設定テーブル３１にある場合には（Ｓ２１４のＹＥＳ）、プロトコル変換部２４は、受け取ったパケットデータを、標準プロトコル形式から非標準プロトコル形式に変換して（Ｓ２１６）、変換後のパケットデータを非標準プロトコル通信部２３に受け渡す（Ｓ２１７）。

非標準プロトコル通信部２３は、図９に示す中継許可設定テーブル３１の行き先許可情報を参照して、行き先アドレスに非セキュアネットワークゲートウェイ１１のアドレスが設定されている場合に、非標準プロトコルを用いた通信により、非セキュアネットワークゲートウェイ１１の非標準プロトコル通信部２２へパケットデータを送信する（Ｓ２１８）。

以上のようなセキュアネットワークゲートウェイ受信処理（Ｓ２１０）により、セキュアネットワーク２から標準プロトコル形式でセキュアネットワークゲートウェイ１２が受け取ったパケットデータは、非標準プロトコル形式に変換されて非セキュアネットワークゲートウェイ１１に受け渡される。

図７に示すように、非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）において、非セキュアネットワークゲートウェイ１１の非標準プロトコル通信部２２は、非セキュアネットワークゲートウェイ１１内の中継許可設定テーブル３０を参照し、発信元許可情報に従って、セキュアネットワークゲートウェイ１２からのパケットデータの受信待ちを行う（Ｓ２２１）。非標準プロトコル通信部２２は、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３からのパケットデータを受信すると（Ｓ２２２のＹＥＳ）、そのパケットデータをプロトコル変換部２１に受け渡す（Ｓ２２３）。

プロトコル変換部２１は、受け取ったパケットデータの発信元アドレスと、図８に示す中継許可設定テーブル３０の発信元許可情報の発信元アドレスとの照合を行い、一致する発信元アドレスがあるか否かを判定する（Ｓ２２４）。一致する発信元アドレスがない場合には（Ｓ２２４のＮＯ）、受け取ったパケットデータを破棄し（Ｓ２２５）、次のパケットデータの受信待ちを行うために、Ｓ２２０に戻る。

また、受け取ったパケットデータの発信元アドレスと一致する発信元アドレスが中継許可設定テーブル３０にある場合には（Ｓ２２４のＹＥＳ）、プロトコル変換部２１は、受け取ったパケットデータを、非標準プロトコル形式から標準プロトコル形式に変換して（Ｓ２２６）、変換後のパケットデータを標準プロトコル通信部２０に受け渡す（Ｓ２２７）。

標準プロトコル通信部２０は、図８に示す中継許可設定テーブル３０の行き先許可情報を参照して、行き先アドレスに非セキュアネットワーク１内のアドレスが設定されている場合に、標準プロトコルを用いた通信により、非セキュアネットワーク１の当該アドレスに対してパケットデータを送信する（Ｓ２２８）。

以上のような非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）により、セキュアネットワークゲートウェイ１２から非標準プロトコル形式で非セキュアネットワークゲートウェイ１１が受け取ったパケットデータは、標準プロトコル形式に変換されて非セキュアネットワーク１に送信される。

以上のような図４〜図７のセキュリティゲートウェイ処理によれば、第１の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２において、他方のサブゲートウェイからパケットデータを受信する際に、パケットデータの受信待ちを行い、パケットデータを受信する毎に当該パケットデータについて判定を行い、中継許可されているパケットデータのみを行き先のネットワークに中継することができる。

このような各サブゲートウェイでのパケットデータの処理は、他方のサブゲートウェイの通信機能とは分離・独立して行われ、結果的にネットワーク分離される方式となるため、ネットワーク間において、セキュリティ上で安全なデータ授受が実現できる。したがって、非セキュアネットワークに内在するセキュリティ上の脅威から、セキュアネットワークを保護することができ、セキュアネットワークの安全性を向上できる。

［第２の実施形態］
図１０は、本発明を適用した第２の実施形態に係るセキュリティゲートウェイシステムを示す構成図である。この図１０に示すように、本実施形態のセキュリティゲートウェイシステム１０は、第１の実施形態の構成に、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２の非標準プロトコル通信部２２，２３からアクセス可能な共有メモリ１３を追加したものである。そして、非標準プロトコル通信部２２，２３同士が直接通信を行うことなく、共有メモリ１３へのアクセスを介してデータ授受を行うように構成されている。

以上のような構成を有する本実施形態に係るセキュリティゲートウェイシステム１０の動作の概略は、図３に示した通りであるが、具体的なデータ処理手順は、図１１〜図１４に示すようになる。すなわち、図１１〜図１４は、共有メモリ１３を用いた本実施形態における非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）、セキュアネットワークゲートウェイ送信処理（Ｓ１２０）、セキュアネットワークゲートウェイ受信処理（Ｓ２１０）、非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）、の処理手順の一例をそれぞれ示すフローチャートである。

以下には、図１１〜図１４に示す各処理手順の詳細について、順次説明する。

図１１に示すように、本実施形態の非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）において、非セキュアネットワークゲートウェイ１１の標準プロトコル通信部２０によりパケットデータの受信待ちを行い、プロトコル変換部２１によりパケットデータの発信元について中継許可の確認を行い、その結果に応じてパケットデータを破棄するかまたは非標準プロトコル形式に変換して非標準プロトコル通信部２２に受け渡すまでの一連の処理（Ｓ１１１〜Ｓ１１７）は、図４に示した同一符号の一連の処理（Ｓ１１１〜Ｓ１１７）と同様である。

本実施形態の非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）においては、非標準プロトコル通信部２２が、受け取った非標準プロトコル形式のパケットデータを、セキュアネットワークゲートウェイ１２に送信せずに、共有メモリ１３に書き込む（Ｓ１１９）点で、図４に示した処理と異なる。すなわち、この処理（Ｓ１１９）において、非標準プロトコル通信部２２は、中継許可設定テーブル３０の行き先許可情報を参照して、共有メモリ１３における行き先に応じた対応領域に、パケットデータを書き込む。

図１２に示すように、本実施形態のセキュアネットワークゲートウェイ送信処理（Ｓ１２０）において、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３は、セキュアネットワークゲートウェイ１２内の中継許可設定テーブル３１を参照し、発信元許可情報に従って、共有メモリ１３における発信元に応じた対応領域を監視して、パケットデータの書き込みを監視し、パケットデータの書き込み待ちを行う（Ｓ１２９１）。非標準プロトコル通信部２３は、非セキュアネットワークゲートウェイ１１の非標準プロトコル通信部２２により共有メモリ１３にパケットデータの書き込みがなされたことを検出すると（Ｓ１２９２）、そのパケットデータをプロトコル変換部２４に受け渡す（Ｓ１２３）。

本実施形態のセキュアネットワークゲートウェイ送信処理（Ｓ１２０）において、プロトコル変換部２４によりパケットデータの発信元について中継許可の確認を行い、その結果に応じてパケットデータを破棄するかまたは標準プロトコル形式に変換して標準プロトコル通信部２５に受け渡すまでの一連の処理（Ｓ１２４〜Ｓ１２８）は、図５に示した同一符号の一連の処理（Ｓ１２４〜Ｓ１２８）と同様である。

図１３に示すように、本実施形態のセキュアネットワークゲートウェイ受信処理（Ｓ２１０）において、セキュアネットワークゲートウェイ１２の標準プロトコル通信部２５によりパケットデータの受信待ちを行い、プロトコル変換部２４によりパケットデータの発信元について中継許可の確認を行い、その結果に応じてパケットデータを破棄するかまたは非標準プロトコル形式に変換して非標準プロトコル通信部２３に受け渡すまでの一連の処理（Ｓ２１１〜Ｓ２１７）は、図６に示した同一符号の一連の処理（Ｓ２１１〜Ｓ２１７）と同様である。

本実施形態のセキュアネットワークゲートウェイ受信処理（Ｓ２１０）においては、非標準プロトコル通信部２３が、受け取った非標準プロトコル形式のパケットデータを、非セキュアネットワークゲートウェイ１１に送信せずに、共有メモリ１３に書き込む（Ｓ２１９）点で、図６に示した処理と異なる。すなわち、この処理（Ｓ２１９）において、非標準プロトコル通信部２３は、中継許可設定テーブル３１の行き先許可情報を参照して、共有メモリ１３における行き先に応じた対応領域に、パケットデータを書き込む。

図１４に示すように、本実施形態の非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）において、非セキュアネットワークゲートウェイ１１の非標準プロトコル通信部２２は、非セキュアネットワークゲートウェイ１１内の中継許可設定テーブル３０を参照し、発信元許可情報に従って、共有メモリ１３における発信元に応じた対応領域を監視して、パケットデータの書き込みを監視し、パケットデータの書き込み待ちを行う（Ｓ２２９１）。非標準プロトコル通信部２２は、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３により共有メモリ１３にパケットデータの書き込みがなされたことを検出すると（Ｓ２２９２）、そのパケットデータをプロトコル変換部２１に受け渡す（Ｓ２２３）。

本実施形態の非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）において、プロトコル変換部２１によりパケットデータの発信元について中継許可の確認を行い、その結果に応じてパケットデータを破棄するかまたは標準プロトコル形式に変換して標準プロトコル通信部２０に受け渡すまでの一連の処理（Ｓ２２４〜Ｓ２２８）は、図７に示した同一符号の一連の処理（Ｓ２２４〜Ｓ２２８）と同様である。

以上のような第２の実施形態に係るセキュリティゲートウェイシステムによれば、第１の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２において、サブゲートウェイ間では直接通信を行うことなく、共有メモリにそれぞれアクセスする形でパケットデータの授受を行うことから、サブゲートウェイ間における通信機能の接続関係が全く存在せず、結果的に完全にネットワーク分離される方式となるため、ネットワーク間において、セキュリティ上で安全なデータ授受が実現できる。したがって、非セキュアネットワークに内在するセキュリティ上の脅威から、セキュアネットワークを保護することができ、セキュアネットワークの安全性を向上できる。

［第３の実施形態］
図１５は、本発明を適用した第３の実施形態に係るセキュリティゲートウェイシステムを示す構成図である。この図１５に示すように、本実施形態のセキュリティゲートウェイシステム１０は、第２の実施形態の構成において、非セキュアネットワークゲートウェイ１１、セキュアネットワークゲートウェイ１２の中継許可設定テーブル３０，３１に、パケットデータの内容検査を行うための内容検査情報を追加したものである。

ここで、中継許可設定テーブル３０，３１は、インスペクション情報番号付中継許可設定テーブル３０１とインスペクション情報テーブル３０２から構成されている。図１６は、インスペクション情報番号付中継許可設定テーブル３０１のデータ構成例を示す図であり、図８、図９に示すような発信元許可情報と行き先許可情報に、インスペクション情報番号が追加されている。また、図１７は、図１６に示すインスペクション情報番号付中継許可設定テーブル３０１のインスペクション情報番号に対応したインスペクション情報を保存するインスペクション情報テーブル３０２のデータ構成例を示す図であり、インスペクション情報番号、条件、判断条件を含む情報が保存されている。

本実施形態において、プロトコル変換部２１，２４は、図１６に示すようなインスペクション情報番号付中継許可設定テーブル３０１を参照して発信元の確認を行う際に、インスペクション情報番号が設定されている場合は、さらに、図１７に示すようなインスペクション情報テーブルを参照して、パケットデータの内容検査を行い、その検査結果が不可である場合には、パケットデータを破棄する。

ここで、インスペクション情報によるパケットデータの検査としては、判断条件に記載されたＣＳＶ形式の複数の要素を個別にパケットデータと比較を行う。ＣＳＶ形式で指定された個別の要素のチェックは、一致している場合は「Ｔｒｕｅ」、不一致の場合は「Ｆａｌｓｅ」として扱う。

個別要素が複数ある場合は、条件が「ＡＮＤ」の場合は個別要素のチェック結果の論理積、「ＯＲ」の場合は論理和、「ＮＡＮＤ」の場合は否定論理積、「ＮＯＲ」の場合は否定論理和、で複合条件を作成する。条件が「ＵＳＲ」の場合は、独自に準備したインスペクションを行うアプリケーションを呼び出し、検査をした結果一致した場合は「Ｔｒｕｅ」、不一致の場合は「Ｆａｌｓｅ」を返却する。

インスペクション情報番号は、同一のものを複数設定することができ、図１７に示すインスペクション情報の行毎に判断した結果を、レコードの順番に判定し、行間の論理積条件に従って検査を行う。

プロトコル変換部２１，２４は、全検査結果が「Ｔｒｕｅ」の場合はパケットデータ中継を行い、「Ｆａｌｓｅ」の場合はパケットデータを破棄する。

以上のような第３の実施形態に係るセキュリティゲートウェイシステムによれば、第２の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、パケットデータの発信元や行き先の中継許可の確認だけでなく、パケットデータの内容まで検査することができる。一般的には、データ通信は、終端同士のデータ構造のルールに従ってデータの授受を行うため、このルールに則ったパケットデータとなっているかを検査することにより、不正なデータの授受を禁止することができ、安全性を向上することができる。

［第４の実施形態］
図１８は、本発明を適用した第４の実施形態に係るセキュリティゲートウェイシステムを示す構成図である。この図１８に示すように、本実施形態のセキュリティゲートウェイシステム１０は、第２の実施形態の構成において、セキュアネットワークゲートウェイ１２に、セキュリティ上の脅威の発生を示す警報を出力する警報出力部２６を追加したものである。また、非セキュアネットワークゲートウェイ１１のプロトコル変換部２１には、セキュアネットワークゲートウェイ１２に対してセキュリティ上の脅威が発生していることを通知する機能が追加されている。

このような本実施形態に係るセキュリティゲートウェイシステム１０において、非セキュアネットワークゲートウェイ１１のプロトコル変換部２１は、中継許可の確認の結果、パケットデータを破棄した場合に、セキュアネットワークゲートウェイ１２の警報出力部２６に対してセキュリティ上の脅威が発生していることを通知する。通知を受けたセキュアネットワークゲートウェイ１２の警報出力部２６は、セキュリティ上の脅威の発生を示す警報を、画面表示や光の点滅、警報音声などにより出力する。

以上のような第４の実施形態に係るセキュリティゲートウェイシステムによれば、第２の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、非セキュアネットワーク側で不正なパケットデータを破棄した場合に、セキュアネットワーク側にその情報を伝えて警報出力することにより、非セキュアネットワーク側でセキュリティ上の脅威が発生していることを、関係者に警報することができるため、関係者はセキュリティ上の対応処置を迅速に行うことができ、セキュアネットワークを健全に保つことができる。

［第５の実施形態］
図１９は、本発明を適用した第５の実施形態に係るセキュリティゲートウェイシステムを示す構成図である。この図１９に示すように、本実施形態のセキュリティゲートウェイシステム１０は、第４の実施形態の構成において、非セキュアネットワークゲートウェイ１１に、この非セキュアネットワークゲートウェイ１１を強制的に停止する停止部２７を追加したものである。また、セキュアネットワークゲートウェイ１２の警報出力部２６には、警報の出力時に、非セキュアネットワークゲートウェイ１１を強制的に停止させる停止指令を送信する機能が追加されている。

このような本実施形態に係るセキュリティゲートウェイシステム１０において、非セキュアネットワークゲートウェイ１１のプロトコル変換部２１からセキュアネットワークゲートウェイ１２の警報出力部２６に対してセキュリティ上の脅威の発生が通知され、通知を受けたセキュアネットワークゲートウェイ１２の警報出力部２６は、セキュリティ上の脅威の発生を示す警報を出力する点は、第４の実施形態と同様である。

本実施形態においては、セキュアネットワークゲートウェイ１２の警報出力部２６は、警報を出力すると同時に、非セキュアネットワークゲートウェイ１１の停止部２７に停止指令を送信する。停止指令を受信した非セキュアネットワークゲートウェイ１１の停止部２７は、非セキュアネットワークゲートウェイ１１を強制的に停止する。

以上のような第５の実施形態に係るセキュリティゲートウェイシステムによれば、第４の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、非セキュアネットワーク側で不正なパケットデータを破棄した場合に、セキュアネットワーク側にその情報を伝えて警報出力することにより、非セキュアネットワーク側でセキュリティ上の脅威が発生していることを、関係者に警報するだけでなく、非セキュアネットワークゲートウェイを直ちに停止させることができる。したがって、警報出力に対して、関係者が対応できない場合であっても、セキュリティ上の対応処置を自動的に行うことができるため、セキュアネットワークを健全に保つことができる。

［第６の実施形態］
図２０は、本発明を適用した第６の実施形態に係るセキュリティゲートウェイシステムを示す構成図である。この図２０に示すように、本実施形態のセキュリティゲートウェイシステム１０は、第２の実施形態の構成において、非セキュアネットワークゲートウェイ１１に、ファイアウォール部５０を追加したものである。

以上のような第６の実施形態に係るセキュリティゲートウェイシステムによれば、第２の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、非セキュアネットワークからの不正アクセスに対して、第１段の防御システムとしてファイアウォール部を動作させることができ、ファイアウォール部の防御が破られた場合や、新たなセキュリティホールが発覚した場合であっても、第２段の防御システムとして、セキュリティゲートウェイシステムの本質的なセキュアゲートウェイ機能を動作させることができる。すなわち、２つの異なる方式の防御システムを組み合わせたセキュリティシステムとなるため、セキュリティ上の安全性・信頼性をより向上できる。

また、図２１は、第６の実施形態の変形例として、外付けのファイアウォール部５０を組み合わせたセキュリティゲートウェイシステムを示す構成図である。この変形例において、第６の実施形態と同様の効果が得られることは明らかである。

［他の実施形態］
なお、本発明は、前述した実施形態や変形例に限定されるものではなく、本発明の範囲内で他にも多種多様な変形例が実施可能である。例えば、前記複数の実施形態やその変形例を適宜組み合わせることも可能である。

さらに、前記実施形態で示したセキュリティゲートウェイシステムとそれを構成するサブゲートウェイの構成や処理手順は、一例にすぎず、互いに独立したコンピュータにより実現される２つのサブゲートウェイを２つのネットワークにそれぞれ接続し、サブゲートウェイ間におけるデータ授受を非標準プロトコルにより行うと共に、サブゲートウェイ内における非標準側と標準側の間におけるデータ授受をアプリケーション層のみで行う限り、具体的な構成や処理手順は自由に変更可能である。

本発明を適用した第１の実施形態に係るセキュリティゲートウェイシステムを示す構成図。 第１の実施形態における標準プロトコル通信部と非標準プロトコル通信部の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す概念図。 第１の実施形態に係るセキュリティゲートウェイシステムの動作の概略を示すフローチャート。 図３に示す非セキュアネットワークゲートウェイ受信処理の処理手順の一例を示すフローチャート。 図３に示すセキュアネットワークゲートウェイ送信処理の処理手順の一例を示すフローチャート。 図３に示すセキュアネットワークゲートウェイ受信処理の処理手順の一例を示すフローチャート。 図３に示す非セキュアネットワークゲートウェイ送信処理の処理手順の一例を示すフローチャート。 第１の実施形態に係る非セキュアネットワークゲートウェイの中継許可設定テーブルに保存されるデータ構成例を示す図。 第１の実施形態に係るセキュアネットワークゲートウェイの中継許可設定テーブルに保存されるデータ構成例を示す図。 本発明を適用した第２の実施形態に係るセキュリティゲートウェイシステムを示す構成図。 第２の実施形態に係る非セキュアネットワークゲートウェイ受信処理の処理手順の一例を示すフローチャート。 第２の実施形態に係るセキュアネットワークゲートウェイ送信処理の処理手順の一例を示すフローチャート。 第２の実施形態に係るセキュアネットワークゲートウェイ受信処理の処理手順の一例を示すフローチャート。 第２の実施形態に係る非セキュアネットワークゲートウェイ送信処理の処理手順の一例を示すフローチャート。 本発明を適用した第３の実施形態に係るセキュリティゲートウェイシステムを示す構成図。 第３の実施形態に係るインスペクション情報番号付中継許可設定テーブルのデータ構成例を示す図。 第３の実施形態に係るインスペクション情報テーブルのデータ構成例を示す図。 本発明を適用した第４の実施形態に係るセキュリティゲートウェイシステムを示す構成図。 本発明を適用した第５の実施形態に係るセキュリティゲートウェイシステムを示す構成図。 本発明を適用した第６の実施形態に係るセキュリティゲートウェイシステムを示す構成図。 第６の実施形態に係るセキュリティゲートウェイシステムの変形例を示す構成図。

符号の説明

１…標準プロトコルを用いた広域ネットワーク（非セキュアネットワーク）
２…標準プロトコルを用いた内部ネットワーク（セキュアネットワーク）
１０…セキュリティゲートウェイシステム
１１…非セキュアネットワークゲートウェイ
１２…セキュアネットワークゲートウェイ
１３…共有メモリ
２０，２５…標準プロトコル通信部
２１，２４…プロトコル変換部
２２，２３…非標準プロトコル通信部
２６…警報出力部
２７…停止部
３０，３１…中継許可テーブル
５０…ファイアウォール部
１０１…ＯＳＩ規約第１層のハードウェア層
１０２…ＯＳＩ規約第２層のデータリンク層
１０３…ＯＳＩ規約第３層のネットワーク層
１０４…ＯＳＩ規約第４層のトランスポート層
１０５…ＯＳＩ規約第５層のセッション層
１０６…ＯＳＩ規約第６層のプレゼンテーション層
１０７…ＯＳＩ規約第７層のアプリケーション層
２０１…独自ハードウェア層
２０２…独自プロトコルスタック層
２０７…アプリケーション層

Claims (9)

1. 標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するセキュリティゲートウェイシステムにおいて、
   互いに独立したコンピュータにより実現され、接続対象となる２つのネットワークにそれぞれ接続される２つのサブゲートウェイを有し、
   前記各サブゲートウェイは、前記標準プロトコルを用いて自サブゲートウェイに接続された側の前記ネットワークと通信を行う標準プロトコル通信部と、仕様が公開されていない非標準プロトコルを用いて他サブゲートウェイと通信を行う非標準プロトコル通信部と、標準プロトコルと非標準プロトコルの間で通信データのプロトコル変換を行うプロトコル変換部と、通信データに対する中継許可の有無を確認するための中継許可設定情報を保存する中継許可設定情報記憶部を有し、
   前記２つのサブゲートウェイは、前記非標準プロトコル通信部間で前記非標準プロトコルを用いてデータ授受を行うように構成され、
   前記各サブゲートウェイの前記非標準プロトコル通信部は、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層を実装し、かつ、第１層から第６層までの範囲については非公開の独自の通信層を実装した独自の通信部であり、自サブゲートウェイ内における前記標準プロトコル通信部との間のデータ授受が、第７層のアプリケーション層のみで行われ、第１層から第６層までの範囲についてはデータ授受できないように構成され、
   前記各サブゲートウェイの前記プロトコル変換部は、通信データのプロトコル変換を行う際に、前記中継許可設定情報を参照して当該通信データの中継許可の確認を行い、中継許可がある場合にのみ当該通信データのプロトコル変換を行うように構成されている
   ことを特徴とするセキュリティゲートウェイシステム。
2. 前記各サブゲートウェイの前記標準プロトコル通信部は、自サブゲートウェイに接続された側の前記ネットワークからのパケットデータの受信待ちを行い、パケットデータを受信するごとに、当該パケットデータを自サブゲートウェイの前記プロトコル変換部に受け渡すように構成され、
   前記サブゲートウェイの前記非標準プロトコル通信部は、他サブゲートウェイからのパケットデータの受信待ちを行い、パケットデータを受信するごとに、当該パケットデータを自サブゲートウェイの前記プロトコル変換部に受け渡すように構成され、
   前記各サブゲートウェイの前記プロトコル変換部は、自サブゲートウェイの前記標準プロトコル通信部および前記非標準プロトコル通信部のいずれかからパケットデータを受取った場合に、前期中継許可設定情報を参照して当該パケットデータの中継許可の確認を行い、中継許可がないパケットデータである場合には、当該パケットデータを破棄するように構成されている
   ことを特徴とする請求項１に記載のセキュリティゲートウェイシステム。
3. 前記２つのサブゲートウェイは、前記非標準プロトコル通信部からアクセス可能な共有メモリを有しており、非標準プロトコル通信部同士が直接通信を行うことなく、当該共有メモリへのアクセスを介してデータ授受を行うように構成されている
   ことを特徴とする請求項１または請求項２に記載のセキュリティゲートウェイシステム。
4. 前記各サブゲートウェイの前記中継許可情報は、パケットデータの内容の可否を検査するためのパケット内容検査情報を含み、
   前記各サブゲートウェイの前記プロトコル変換部は、前記パケット内容検査情報を用いて、パケットデータの内容の可否を検査し、検査結果が不可である場合には、当該パケットデータを破棄するように構成されている
   ことを特徴とする請求項１乃至請求項３のいずれか１項に記載のセキュリティゲートウェイシステム。
5. 前記２つのサブゲートウェイが、不特定多数が接続する非セキュアネットワークと、セキュリティ上の安全性の確保が必要なセキュアネットワークにそれぞれ接続された非セキュアネットワークゲートウェイとセキュアネットワークゲートウェイである場合に、
   前記非セキュアネットワークゲートウェイは、前記中継許可設定情報を参照して当該通信データの中継許可の確認を行い、中継許可がない場合に、前記セキュアネットワークゲートウェイに対して、前セキュリティ上の脅威が発生していることを前記非標準プロトコルにより通知する通知部を有し、
   前記セキュアネットワークゲートウェイは、前記非セキュアネットワークゲートウェイから前記セキュリティ上の脅威の発生を示す通知を受けた場合に、このセキュリティ上の脅威の発生を示す警報を出力する警報出力部を有する
   ことを特徴とする請求項１乃至請求項４のいずれか１項に記載のセキュリティゲートウェイシステム。
6. 前記セキュアネットワークゲートウェイの前記警報出力部は、警報の出力時に、前記非セキュアネットワークゲートウェイを強制的に停止させる停止指令を前記非標準プロトコルにより送信するように構成されている
   前記非セキュアネットワークゲートウェイは、前記セキュアネットワークからの前記停止指令信号を受信した場合に、当該非セキュアネットワークゲートウェイを強制的に停止する停止部を有する
   ことを特徴とする請求項５に記載のセキュリティゲートウェイシステム。
7. 前記２つのサブゲートウェイが、不特定多数が接続する非セキュアネットワークと、セキュリティ上の安全性の確保が必要なセキュアネットワークにそれぞれ接続された非セキュアネットワークゲートウェイとセキュアネットワークゲートウェイである場合に、
   前記非セキュアネットワークゲートウェイの前記標準プロトコル通信部と前記非セキュアネットワークとの間に、ファイアウォール部を有する
   ことを特徴とする請求項１乃至請求項６のいずれか１項に記載のセキュリティゲートウェイシステム。
8. 標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するセキュリティゲートウェイ方法において、
   互いに独立したコンピュータにより実現され、接続対象となる２つのネットワークにそれぞれ接続される２つのサブゲートウェイとして、各サブゲートウェイが、前記標準プロトコルを用いて自サブゲートウェイに接続された側の前記ネットワークと通信を行う標準プロトコル通信部と、仕様が公開されていない非標準プロトコルを用いて他サブゲートウェイと通信を行う非標準プロトコル通信部と、標準プロトコルと非標準プロトコルの間で通信データのプロトコル変換を行うプロトコル変換部と、通信データに対する中継許可の有無を確認するための中継許可設定情報を保存する中継許可設定情報記憶部、を有する２つのサブゲートウェイを用いたセキュリティゲートウェイ方法であり、
   前記２つのサブゲートウェイの前記非標準プロトコル通信部間で前記非標準プロトコルによりデータ授受を行うゲートウェイ間通信処理と、
   前記各サブゲートウェイ内における前記非標準プロトコル通信部と前記標準プロトコル通信部との間のデータ授受を、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層のみで行い、第１層から第６層までの範囲についてはデータ授受を禁止するゲートウェイ内通信処理と、
   前記各サブゲートウェイの前記プロトコル変換部で通信データのプロトコル変換を行う際に、前記中継許可設定情報を参照して当該通信データの中継許可の確認を行い、中継許可がある場合にのみ当該通信データのプロトコル変換を行う中継許可確認・プロトコル変換処理
   を有することを特徴とするセキュリティゲートウェイ方法。
9. 標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するために、互いに独立したコンピュータにより、接続対象となる２つのネットワークにそれぞれ接続される２つのサブゲートウェイを実現するセキュリティゲートウェイプログラムにおいて、
   前記各サブゲートウェイが、前記標準プロトコルを用いて自サブゲートウェイに接続された側の前記ネットワークと通信を行う標準プロトコル通信部と、仕様が公開されていない非標準プロトコルを用いて他サブゲートウェイと通信を行う非標準プロトコル通信部と、標準プロトコルと非標準プロトコルの間で通信データのプロトコル変換を行うプロトコル変換部と、通信データに対する中継許可の有無を確認するための中継許可設定情報を保存する中継許可設定情報記憶部を有する場合に、
   前記２つのサブゲートウェイの前記非標準プロトコル通信部間で前記非標準プロトコルによりデータ授受を行うゲートウェイ間通信機能と、
   前記各サブゲートウェイ内における前記非標準プロトコル通信部と前記標準プロトコル通信部との間のデータ授受を、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層のみで行い、第１層から第６層までの範囲についてはデータ授受を禁止するゲートウェイ内通信機能と、
   前記各サブゲートウェイの前記プロトコル変換部で通信データのプロトコル変換を行う際に、前記中継許可設定情報を参照して当該通信データの中継許可の確認を行い、中継許可がある場合にのみ当該通信データのプロトコル変換を行う中継許可確認・プロトコル変換機能
   を前記コンピュータに実現させることを特徴とするセキュリティゲートウェイプログラム。

Images