JP2007150617A - ネットワーク装置 - Google Patents

Abstract

【課題】ツリー形のトポロジを採用するネットワークにおいても個々の端末毎に細かくセキュリティレベルを設定可能とする。
【解決手段】パケットに含まれる情報と当該パケットに適用すべきセキュリティレベルとの対応関係が不揮発性メモリからなる記憶部１３に記憶されている。一方の通信ポート１０₁（又は１０₂）にパケットを受信したとき、制御部１２が記憶部１３に記憶されている対応関係を参照して当該パケットに適応すべきセキュリティレベル（高又は中又は低）を決定し、その決定に基づいてパケット処理部１１が各セキュリティレベルに応じたパケット処理を実行するとともに処理後のパケットを他方の通信ポート１０₂（又は１０₁）へ転送若しくは破棄する。従って、ツリー形のトポロジを採用するネットワークにおいても個々の端末２ｎ毎に細かくセキュリティレベルを設定することが可能になる。
【選択図】図１

Description

本発明は、パケット通信を行う複数の端末と伝送路を介してそれぞれ接続され、一の端末から他の端末へ宛てたパケットに対してセキュリティに関する処理を実行するネットワーク装置に関するものである。

近年、インターネットの普及に伴ってウイルスやワームなどの不正なプログラムや、ＤｏＳ（Denial of Services：サービス距離攻撃）と呼ばれる不正なアクセスが急増しており、例えば、インターネットに接続されるパーソナルコンピュータには、ウイルスやワームなどの不正なプログラムを検出する機能（いわゆるウイルスチェック機能）などのセキュリティ機能が必須となっている。また、冷蔵庫やテレビ受像機などの機器にデータ伝送機能を付加して通信ケーブルのような伝送路に各機器を接続し、個々の機器間で伝送路を介したパケット交換を行ったり、あるいは伝送路に接続された外部の通信網（インターネットなど）から各機器を制御するといったことが行われている（例えば、特許文献１参照）。

ところで、コンピュータネットワークにおいては、利用者自らがパケットに対する処理（主にウイルスチェックなどのセキュリティに関する処理）の要否を判断して設定することが一般的に行われているが、上述のような機器を含むネットワークにおいては、パケットに対する処理機能を有する機器と有しない機器とが混在しており、パケット処理機能を有しない機器に代わってパケット処理を行うネットワーク装置が必要となる。

しかしながら、従来のネットワーク装置においてはパケット処理の要否やパケット処理の内容等を機器の種類（例えば、パケット処理機能を有する機器と有しない機器など）に応じて変更するように利用者が設定しなければならず、個々の機器の機能やネットワークに関する知識が必要となるために利用者に大きな負担を強いるという問題があった。

このような問題を解決するため、伝送路を介して通信ポートに接続された機器の種類を予め記憶しておき、通信ポート毎にパケットに対する処理の方式を自動的に変更すれば、伝送路を介して接続される機器の種類毎に利用者がパケット処理の方式を判断して設定する必要がなく、利用者に負担をかけずに機器の種類に応じたパケット処理を行うことができる。
特開２００１−３５０６７６号公報

しかしながら、ツリー形のトポロジを採用するネットワークにおいては、通信ポートにハブが接続されて複数の機器が分岐接続されている場合、上述のように通信ポート毎にパケットに対する処理の方式を自動的に変更する方法では個々の機器毎にパケット処理の方式を設定することができなかった。

本発明は上記事情に鑑みて為されたものであり、その目的は、ツリー形のトポロジを採用するネットワークにおいても個々の端末毎に細かくセキュリティレベルを設定することが可能なネットワーク装置を提供することにある。

請求項１の発明は、上記目的を達成するために、パケット通信を行う複数の端末と伝送路を介してそれぞれ接続され、一の端末から他の端末へ宛てたパケットに対してセキュリティに関する処理を実行するネットワーク装置であって、伝送路を介してパケットを送受信する送受信手段と、受信したパケットを分析し当該パケットに含まれる情報に基づいてセキュリティに関する処理の内容を決定する決定手段と、決定手段の決定に基づいて当該パケットに対しセキュリティに関する処理を実行する実行手段とを備えたことを特徴とする。

請求項２の発明は、請求項１の発明において、パケットに含まれる情報とセキュリティに関する処理内容との対応関係を記憶する記憶手段を備えたことを特徴とする。

請求項３の発明は、請求項１又は２の発明において、決定手段は、パケットに含まれる送信先並びに送信元の少なくとも一方のＭＡＣアドレスに基づいてセキュリティに関する処理の内容を決定することを特徴とする。

請求項４の発明は、請求項１又は２の発明において、決定手段は、パケットに含まれる送信先並びに送信元の少なくとも一方のＩＰアドレスに基づいてセキュリティに関する処理の内容を決定することを特徴とする。

請求項５の発明は、請求項１又は２の発明において、決定手段は、パケットの送受信に使用する通信プロトコルの種類に基づいてセキュリティに関する処理の内容を決定することを特徴とする。

請求項６の発明は、請求項１又は２の発明において、複数の端末がＵＰｎＰ（ユニバーサル・プラグ・アンド・プレイ）のデバイスであって、決定手段は、パケットに含まれるＵＰｎＰデバイス情報に基づいてセキュリティに関する処理の内容を決定することを特徴とする。

請求項７の発明は、請求項２の発明において、送受信手段によって外部から取得した前記対応関係を記憶手段に記憶することを特徴とする。

請求項８の発明は、請求項７の発明において、送受信手段により前記対応関係を定期的に外部から取得して記憶手段に記憶することを特徴とする。

請求項９の発明は、請求項７の発明において、記憶手段に記憶した前記対応関係に存在しない情報を含むパケットが送受信手段で受信された場合に送受信手段により外部から新たな対応関係を取得して記憶手段に記憶することを特徴とする。

請求項１０の発明は、請求項７の発明において、更新される毎に外部から強制的に送信されてくる前記対応関係を送受信手段により受信して記憶手段に記憶することを特徴とする。

請求項１の発明によれば、従来例のように伝送路毎（通信ポート毎）ではなく、伝送されるパケット毎にセキュリティに関する処理の内容を決定するので、ツリー形のトポロジを採用するネットワークにおいても個々の端末毎に細かくセキュリティレベルを設定することが可能になる。

請求項２の発明によれば、既存のネットワークへの導入が容易に行える。

請求項３の発明によれば、ＭＡＣアドレスに基づいてセキュリティに関する処理の内容を決定することで各端末毎に詳細にセキュリティレベルを設定することができる。

請求項４の発明によれば、ＩＰアドレスに基づいてセキュリティに関する処理の内容を決定することでサブネット単位で詳細にセキュリティレベルを設定することができる。

請求項５の発明によれば、各端末でパケット通信を行うアプリケーションを特定してセキュリティレベルを設定することができる。

請求項６の発明によれば、端末の種類や名称等の具体的な情報に基づいてセキュリティレベルを設定することができる。

請求項７の発明によれば、記憶手段に記憶する対応関係をリモートで更新することができて新規の端末に対するセキュリティレベルの設定が容易に行える。

請求項８の発明によれば、対応関係の更新を確実に行うことができる。

請求項９の発明によれば、必要に応じて対応関係が更新されるため、ネットワークにかかる負担が軽減できる。

請求項１０の発明によれば、常に最新の対応関係に基づいてセキュリティレベルを設定することができる。

本実施形態のネットワーク装置１は、図１に示すようにそれぞれに伝送路となる通信ケーブル（例えば、カテゴリー５ｅ又は６のＬＡＮケーブルなど）４を介してハブ３や端末２が接続される複数（図示例では２つ）の通信ポート１０₁，１０₂と、通信ポート１０₁，１０₂間で転送されるパケットに対してウイルスチェックやフィルタリング等のセキュリティに関する処理（以下、パケット処理と呼ぶ。）を実行するパケット処理部１１と、パケット処理部１１に対して実行すべきパケット処理の内容を指示する制御部１２と、後述するように各種の情報を記憶する記憶部１３とを備えている。通信ポート１０₁，１０₂は、通信ケーブル４の先端に設けられているＲＪ−４５のモジュラプラグ（図示せず）が挿抜自在に接続されるモジュラジャック（図示せず）を具備している。

パケット処理部１１は、パケット処理の内容に応じた３段階のセキュリティレベルを有している。セキュリティレベルとは、「階層的なセキュリティ区分とセキュリティ部類との組合せであって、あるオブジェクトの保護必要度、又はある個人のセキュリティ許容度を表すもの」（ＪＩＳ Ｘ ０００８参照）と定義され、例えば、セキュリティレベルが高いほどパケット処理の項目を増やすとか、あるいはパケット処理における転送可否の判断基準を厳しくするといった運用が行われる。

而して、パケットに含まれる情報と当該パケットに適用すべきセキュリティレベルとの対応関係が不揮発性メモリからなる記憶部１３に記憶されており、一方の通信ポート１０₁（又は１０₂）にパケットを受信したとき、制御部１２が記憶部１３に記憶されている対応関係を参照して当該パケットに適応すべきセキュリティレベル（高又は中又は低）を決定し、その決定に基づいてパケット処理部１１が各セキュリティレベルに応じたパケット処理を実行するとともに処理後のパケットを他方の通信ポート１０₂（又は１０₁）へ転送若しくは破棄する。つまり、本実施形態では通信ポート１０₁，１０₂並びにパケット処理部１１で送受信手段が構成され、制御部１２で決定手段が構成され、パケット処理部１１で実行手段が構成されている。

ここで、記憶部１３に記憶される対応関係には幾つかの種類がある。例えば、端末２ｎ（ｎ＝１，２，３）がそれぞれ異なる製造者（ベンダー）によって製造されたものである場合に各ベンダー毎にセキュリティレベルを設定することができる。つまり、端末２ｎには固有のＭＡＣ（Media Access Conrol：媒体アクセス制御）アドレスが付与されているが、このＭＡＣアドレスにはベンダーを識別するための識別番号（ベンダーコード）が含まれているので、当該ベンダーコードによってベンダーを識別することが可能である。仮に端末２₁，２₂，２₃がそれぞれＡ，Ｂ，Ｃの各ベンダーによって製造されたものであって、Ａの製品に対するセキュリティレベルを高、Ｂの製品に対するセキュリティレベルを中、Ｃの製品に対するセキュリティレベルを低と設定した対応関係を記憶部１３に記憶した場合、パケットに含まれる送信元又は送信先（あるいは両方）のＭＡＣアドレスに含まれるベンダーコードを制御部１２が取得し、記憶部１３に記憶した対応関係を参照して各ベンダーに対応したセキュリティレベルを決定するのである。この場合、本実施形態のネットワーク装置１はＯＳＩ基本参照モデルのデータリンク層（レイヤ２）のデータ（ＭＡＣアドレス）でパケットの転送処理を行っているから、所謂レイヤ２スイッチで構わない。

また、本実施形態のネットワーク装置１を含むネットワークがＩＰ（Internet Protocol：インターネットプロトコル）を利用したローカルエリアネットワーク（ＬＡＮ）であって、各端末２ｎにプライベートアドレス（ローカルアドレスともいう）が設定されている場合、例えば、使用される全てのプライベートアドレスを３つのグループに振り分け、それらのグループに高、中、低のセキュリティレベルを割り当て、その対応関係を記憶部１３に記憶してもよい。そして、パケットに含まれる送信元又は送信先（あるいは両方）のＩＰアドレス（プライベートアドレス）を制御部１２が取得し、記憶部１３に記憶した対応関係を参照して当該プライベートアドレスが属するグループに対応したセキュリティレベルを決定するのである。このようにＩＰアドレスに基づいてセキュリティレベルを決定すれば、サブネット単位で詳細にセキュリティレベルを設定することができる。この場合、本実施形態のネットワーク装置１はＯＳＩ基本参照モデルのネットワーク層（レイヤ３）のデータ（ＩＰアドレス）でセキュリティレベルを決定しており、パケットの転送処理はレイヤ３で行ってもレイヤ２で行っても構わない。

さらに、ＩＰを利用したＬＡＮでは、一般的にＯＳＩ基本参照モデルのトランスポート層（レイヤ４）のプロトコルとしてＴＣＰ（Transmission Control Protocol）が利用されるので、ＴＣＰにおけるポート番号に基づいてセキュリティレベルを決定することも可能である。つまり、端末２ｎに搭載されたアプリケーションプログラム（例えば、メールクライアントやＷｅｂブラウザなど）はそれぞれ特定のポート番号を使用してパケットを送受信するので、ポート番号に基づいてセキュリティレベルを決定すれば個々のアプリケーションプログラムに最適なセキュリティレベルを決定することができる。このように通信プロトコルの種類に応じてセキュリティレベルを決定すれば、各端末２ｎでパケット通信を行うアプリケーションを特定してセキュリティレベルを設定することができる。

ここで、本実施形態における端末２ｎがＵＰｎＰ（ユニバーサル・プラグ・アンド・プレイ）のデバイスに相当する機器（例えば、パーソナルコンピュータ、ネットワーク接続機能を有するカメラやＡＶ機器、設備機器など）であり、ＵＰｎＰのコントロールポイントの機能をネットワーク装置１の制御部１２に搭載している場合、ＵＰｎＰにおいてデバイスの検出を行うＳＳＤＰ（Simple Service Discovery Protocol）を利用すれば、制御部１２にて各端末２ｎの機器の種類が識別できる。したがって、機器の種類に応じて、例えばパーソナルコンピュータのセキュリティレベルを高、カメラのセキュリティレベルを低、設備機器のセキュリティレベルを中というように決めた対応関係を記憶部１３に記憶しておき、パケットの送信元又は送信先あるいはその両方の機器（端末２ｎ）の種類に応じて制御部１２がセキュリティレベルを決定することが可能である。

上述のように本実施形態のネットワーク装置１では、従来例のように伝送路毎（通信ポート１０₁，１０₂毎）ではなく、伝送されるパケット毎にセキュリティに関する処理の内容（セキュリティレベル）を決定するので、ツリー形のトポロジを採用するネットワークにおいても個々の端末２ｎ毎に細かくセキュリティレベルを設定することが可能になる。

ところで、本実施形態のネットワーク装置１が上述のようにレイヤ３やレイヤ４のスイッチとして構成されている場合、他のネットワーク（例えば、インターネット）と接続してパケットを転送することができる。そこで、セキュリティレベルの対応関係を示したデータ（以下、対応関係データと呼ぶ。）をインターネットに接続されたセンタサーバに保存しておき、ネットワーク装置１からセンタサーバ（図示せず）に定期的にアクセスし、センタサーバに保存されている対応関係データをインターネットを介して取得すれば、記憶部１３に記憶する対応関係をリモートで更新することができて新規の端末２ｎに対するセキュリティレベルの設定が容易に行える。しかも、制御部１２が定期的にセンタサーバから対応関係データを取得するため、対応関係の更新を確実に行うことができるという利点がある。あるいは、記憶部１３に記憶した対応関係に存在しない情報（ＩＰアドレスなど）を含むパケットが受信された場合に制御部１２がセンタサーバにアクセスして新たな対応関係データを取得して記憶部１３に記憶するようにすれば、必要に応じて対応関係が更新されるためにネットワークにかかる負担が軽減できる。さらに、センタサーバにおいて対応関係データが更新されたときにセンタサーバからネットワーク装置１に対して強制的に当該対応関係データを送信し、ネットワーク装置１の制御部１２でセンタサーバから送信されてきた前記対応関係データを記憶部１３に記憶するようにすれば、常に最新の対応関係に基づいてセキュリティレベルを設定することができる。なお、本発明に係るネットワーク装置１の例としては、ハブ３をカスケード接続する上位のハブ（集線装置）であってもよいし、また、ルータ装置や各種サーバ装置の一種として実現しても構わない。

ここで、エミット（ＥＭＩＴ（Embedded Micro Internetworking Technology）)と称する機器組み込み型ネットワーク技術（機器に簡単にミドルウェアを組み込んでネットワークに接続できる機能を備えるネットワーク技術、以降、ＥＭＩＴ技術と称する。）を用いることで、携帯電話、ＰＣ（Personal Computer）、ＰＤＡ（Personal Digital Assistant）、ＰＨＳ（Personal Handy phone System）等の外部端末（図示せず）から様々な設備機器（照明装置、空調装置、動力装置、センサ、電気錠、ウェブカメラ等、以降、ＥＭＩＴ端末と称する。）＜図示せず＞にアクセスして、ＥＭＩＴ端末を遠隔監視・制御することができる。

尚、ＥＭＩＴ端末は、マイコン搭載の組み込み機器であり、機器組み込み型のネット接続用ミドルウェアでありＥＭＩＴ技術を実現するＥＭＩＴソフトウェアが搭載されている。例えば、本実施形態における端末２ｎにＥＭＩＴソフトウェアを搭載し、ＥＭＩＴ端末として用いることができる。

本発明の実施形態を示すブロック図である。

符号の説明

１ ネットワーク装置
２₁〜２₃ 端末
４ 通信ケーブル
１０₁，１０₂ 通信ポート
１１ パケット処理部
１２ 制御部
１３ 記憶部

Claims (10)

1. パケット通信を行う複数の端末と伝送路を介してそれぞれ接続され、一の端末から他の端末へ宛てたパケットに対してセキュリティに関する処理を実行するネットワーク装置であって、
   伝送路を介してパケットを送受信する送受信手段と、受信したパケットを分析し当該パケットに含まれる情報に基づいてセキュリティに関する処理の内容を決定する決定手段と、決定手段の決定に基づいて当該パケットに対しセキュリティに関する処理を実行する実行手段とを備えたことを特徴とするネットワーク装置。
2. パケットに含まれる情報とセキュリティに関する処理内容との対応関係を記憶する記憶手段を備えたことを特徴とする請求項１記載のネットワーク装置。
3. 決定手段は、パケットに含まれる送信先並びに送信元の少なくとも一方のＭＡＣアドレスに基づいてセキュリティに関する処理の内容を決定することを特徴とする請求項１又は２記載のネットワーク装置。
4. 決定手段は、パケットに含まれる送信先並びに送信元の少なくとも一方のＩＰアドレスに基づいてセキュリティに関する処理の内容を決定することを特徴とする請求項１又は２記載のネットワーク装置。
5. 決定手段は、パケットの送受信に使用する通信プロトコルの種類に基づいてセキュリティに関する処理の内容を決定することを特徴とする請求項１又は２記載のネットワーク装置。
6. 複数の端末がＵＰｎＰ（ユニバーサル・プラグ・アンド・プレイ）のデバイスであって、
   決定手段は、パケットに含まれるＵＰｎＰデバイス情報に基づいてセキュリティに関する処理の内容を決定することを特徴とする請求項１又は２記載のネットワーク装置。
7. 送受信手段によって外部から取得した前記対応関係を記憶手段に記憶することを特徴とする請求項２記載のネットワーク装置。
8. 送受信手段により前記対応関係を定期的に外部から取得して記憶手段に記憶することを特徴とする請求項７記載のネットワーク装置。
9. 記憶手段に記憶した前記対応関係に存在しない情報を含むパケットが送受信手段で受信された場合に送受信手段により外部から新たな対応関係を取得して記憶手段に記憶することを特徴とする請求項７記載のネットワーク装置。
10. 更新される毎に外部から強制的に送信されてくる前記対応関係を送受信手段により受信して記憶手段に記憶することを特徴とする請求項７記載のネットワーク装置。

Images