JP2007300307A - セキュリティ通信装置、通信ネットワークシステムおよびプログラム - Google Patents

Abstract

【課題】ワーム等がローカルネットワークシステム全体に広がる危険性を軽減することができるとともに、広域ネットワークへのワーム等の拡散の危険性を軽減することができるセキュリティ通信装置を得る。
【解決手段】外側ポート１３と内側ポート１４との間のパケットの中継を実施する中継手段１５と、内部セグメントから外部セグメントに中継するパケットを中継手段１５から受け取り、当該パケットが攻撃パケットであるか否かを検出するパケット精査手段１６と、内部セグメントから外部セグメントに中継するパケットが攻撃パケットであることをパケット精査手段１６により検出した場合、警報の制御パケットを他のセキュリティ通信装置に対して送信する警報通信手段と、他のセキュリティ通信装置から警報の制御パケットを受信した場合、中継手段１５におけるパケットの中継を停止する中継停止手段と、を備える。
【選択図】 図３

Description

本発明は、セキュリティ通信装置、通信ネットワークシステムおよびプログラムに関するものである。

従来のセキュリティ通信装置は、広域ネットワークからの攻撃からローカルネットワークを守ることを目的としており、例えばファイアウォール等である。このようなセキュリティ通信装置は、ローカルネットワークをＤＭＺ（Demilitarized Zone）と呼ばれるローカルネットワークの外部に公開する装置を集めたセグメントとそれ以外とに分け、それぞれを分離することで、ＤＭＺにワーム等が侵入しても、それ以外のセグメントにワーム等が拡散するのを防止している（例えば、非特許文献１）。

郷間 佳市郎著「日経NETWORK 2004.5」日経ＢＰ社，2004年4月22日、P105〜109

ところで、前述したような従来のセキュリティ通信装置は、広域ネットワークの攻撃からローカルネットワークを守るものであるため、広域ネットワークとローカルネットワークの接続点において、ＤＭＺとその他のセグメントとに分離する必要がある。そのため、ローカルネットワークの物理的構成に制約が発生するという問題がある。

更に、これまでワーム等のローカルエリアネットワークへの侵入は、接続された広域ネットワークからの危険性が重要視されてきたが、近年のモバイル端末の普及に伴い、外部に持ち出されて感染したモバイル端末からの侵入が増加している。

しかしながら、モバイル端末は、一般にローカルネットワークの末端で使用されるものであるので、モバイル端末を接続するセグメントをＤＭＺとして予め広域ネットワークとの接続点で分離することは困難であるという問題点がある。

本発明は、上記に鑑みてなされたものであって、ワーム等がローカルネットワークシステム全体に広がる危険性を軽減することができるとともに、広域ネットワークへのワーム等の拡散の危険性を軽減することができるセキュリティ通信装置、通信ネットワークシステムおよびプログラムを得ることを目的とする。

上述した課題を解決し、目的を達成するために、本発明のセキュリティ通信装置は、外部セグメントに対してパケットを送受信する通信ポートである外側ポートと、内部セグメントに対してパケットを送受信する通信ポートである内側ポートと、前記外側ポートと前記内側ポートとの間の前記パケットの中継を実施する中継手段と、前記内部セグメントから前記外部セグメントに中継する前記パケットを前記中継手段から受け取り、当該パケットが攻撃パケットであるか否かを検出するパケット精査手段と、前記内部セグメントから前記外部セグメントに中継する前記パケットが前記攻撃パケットであることを前記パケット精査手段により検出した場合、警報の制御パケットを他のセキュリティ通信装置に対して送信する警報通信手段と、前記他のセキュリティ通信装置から前記警報の制御パケットを受信した場合、前記中継手段における前記パケットの中継を停止する中継停止手段と、を備えることを特徴とする。

この発明によれば、ローカルネットワークシステム内における物理的な位置に関係なく、セグメントをセキュリティ通信装置で効果的に分離することにより、ワーム等がローカルネットワークシステム全体に広がる危険性を軽減することができ、また、ローカルネットワークシステム内部にワーム等が侵入した場合は全ての中継を停止しているため、１つの異常が検出されると、以後、統計的に検出される異常パケットを取りこぼすことなくセキュリティ通信装置で廃棄するので、広域ネットワークへのワーム等の拡散の危険性を軽減することができる、という効果を奏する。

以下に、本発明にかかるセキュリティ通信装置、通信ネットワークシステムおよびプログラムの実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。

［第１の実施の形態］
本発明の第１の実施の形態を図１ないし図８に基づいて説明する。本実施の形態はセキュリティ通信装置としてパーソナルコンピュータを主体に構成されているファイアウォールを適用した例である。

図１は、本発明の第１の実施の形態にかかるセキュリティ通信装置を含むローカルネットワークシステム１の構成を示す模式図である。図１に示すように、本実施の形態のセキュリティ通信装置を含む通信ネットワークシステムであるローカルネットワークシステム１は、インターネットやイントラネット等の広域ネットワーク７０と通信するＰＣなどの端末６１〜６４や、広域ネットワーク７０および端末６１〜６４と通信する各種サーバ５１，５２を、それぞれ中継装置４１〜４４を介して接続した構成となっている。なお、中継装置４１〜４４は、パケットをレイヤ２またはレイヤ３で中継するものである。

加えて、図１に示すように、本実施の形態のローカルネットワークシステム１には、広域ネットワーク７０からの不正なアクセスによるデータ漏洩や改ざん、システムダウンなどを防ぐために広域ネットワーク７０に対するデータの出入り口である中継装置４１の上流側に設置される第１のセキュリティ通信装置であるセキュリティ通信装置２１と、セキュリティ通信装置２１の下流に位置して各種サーバ５１，５２が設置された重要セグメントのデータの出入り口である中継装置４２の上流側に設置される第２のセキュリティ通信装置セキュリティ通信装置２２とが備えられている。

なお、セキュリティ通信装置２１とセキュリティ通信装置２２との間は、ＩＰｓｅｃを利用したネットワークによって接続されており、その通信モードはトンネルモードである（以下、ＩＰｓｅｃトンネル３０と称する）。ＩＰｓｅｃは、暗号通信を行なうための規格であって、トンネルモードは、ＩＰパケット全体を暗号化するものである。このようにすることにより、送信元のセキュリティ通信装置でＩＰのヘッダを含めたＩＰパケット全体を暗号化してペイロード（送信データ）とした上で、新たにＩＰヘッダをつけて送信することになる。受信元のセキュリティ通信装置は、それを復号化し、宛先ホストに転送することになる。このように個々のセキュリティ通信装置で処理を行なうことで、パケットの最終の宛先ＩＰアドレスも隠蔽することができる。

ここで、セキュリティ通信装置２１，２２について詳述する。図２は、セキュリティ通信装置２１，２２のハードウェア構成を示すブロック図である。セキュリティ通信装置２１，２２は、一般にＳＧＷ（Secure GateWay：セキュア ゲートウェイ）と呼ばれているものであって、例えばパーソナルコンピュータやワークステーションを主体に構成されている。図２に示すように、このようなセキュリティ通信装置２１，２２は、コンピュータの主要部であって各部を集中的に制御するＣＰＵ（Central Processing Unit）２を備えている。このＣＰＵ２には、ＢＩＯＳなどを記憶した読出し専用メモリであるＲＯＭ（Read Only Memory）３と、各種データを書換え可能に記憶するＲＡＭ（Random Access Memory）４とがバス５で接続されている。

さらにバス５には、各種のプログラム等を格納するＨＤＤ（Hard Disk Drive）６と、配布されたプログラムであるコンピュータソフトウェアを読み取るための機構としてＣＤ（Compact Disc）−ＲＯＭ７を読み取るＣＤ−ＲＯＭドライブ８と、セキュリティ通信装置２１，２２とネットワーク９（例えば、広域ネットワーク７０）などとの通信を司る通信制御装置１０と、各種操作指示を行うキーボードやマウスなどの入力装置１１と、各種情報を表示するＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）などの表示装置１２とが図示しないＩ／Ｏを介して接続されている。

ＲＡＭ４は、各種データを書換え可能に記憶する性質を有していることから、ＣＰＵ２の作業エリアとして機能してバッファ等の役割を果たす。

図２に示すＣＤ−ＲＯＭ７は、この発明の記憶媒体を実施するものであり、ＯＳ（Operating System）や各種のプログラムが記憶されている。ＣＰＵ２は、ＣＤ−ＲＯＭ７に記憶されているプログラムをＣＤ−ＲＯＭドライブ８で読み取り、ＨＤＤ６にインストールする。

なお、記憶媒体としては、ＣＤ−ＲＯＭ７のみならず、ＤＶＤなどの各種の光ディスク、各種光磁気ディスク、フレキシブル・ディスクなどの各種磁気ディスク等、半導体メモリ等の各種方式のメディアを用いることができる。また、通信制御装置１０を介してインターネットなどの広域ネットワーク７０からプログラムをダウンロードし、ＨＤＤ６にインストールするようにしてもよい。この場合に、送信側のサーバでプログラムを記憶している記憶装置も、この発明の記憶媒体である。なお、プログラムは、所定のＯＳ（Operating System）上で動作するものであってもよいし、その場合に後述の各種処理の一部の実行をＯＳに肩代わりさせるものであってもよいし、所定のアプリケーションソフトやＯＳなどを構成する一群のプログラムファイルの一部として含まれているものであってもよい。

このシステム全体の動作を制御するＣＰＵ２は、このシステムの主記憶として使用されるＨＤＤ６上にロードされたプログラムに基づいて各種処理を実行する。

次に、セキュリティ通信装置２１，２２のＨＤＤ６にインストールされている各種のプログラムがＣＰＵ２に実行させる機能のうち、本実施の形態のセキュリティ通信装置２１，２２が備える特長的な機能について説明する。

図３は、セキュリティ通信装置２１，２２の機能構成を示すブロック図である。図３に示すように、セキュリティ通信装置２１，２２は、外部セグメントに対してパケットを送受信する通信ポートである外側ポート１３と、内部セグメントに対してパケットを送受信する通信ポートである内側ポート１４とを備えている。また、セキュリティ通信装置２１，２２は、セキュリティ通信プログラムに従うことにより、中継手段である中継部１５と、パケット精査手段であるパケット精査部１６と、パケット認証部１７と、制御部１８とを備えている。

中継部１５は、外側ポート１３または内側ポート１４で受信したパケットをパケット精査部１６に送信し、後述するパケット精査部１６での精査結果に異常ないと判断されたパケットを内側ポート１４または外側ポート１３に送信する中継機能を有するものである。

パケット精査部１６は、中継部１５から受け取ったパケットの内容を精査して異常があるか否かを確認し、精査結果を中継部１５に送信するパケット精査機能を有するものである。なお、パケットの精査は、単にパケットの内容のみで判断されるだけでなく、特定の特徴をもつパケットが規定値以上受信されたといった統計的な手法でも判断される。

パケット認証部１７は、セキュリティ通信装置自身宛のパケットの送信元アドレスの詐称があるか否かを確認して、異常がなければ後述する制御部１８に送信する制御パケット認証機能を有するものである。

制御部１８は、パケット認証部１７から渡されたパケットの内容に従って中継部１５の動作を制御する制御機能を有するものである。

ここで、セキュリティ通信装置２１，２２における通常状態のパケット処理の動作について説明する。図４はローカルネットワークシステム１における通常状態のパケットの流れを示す模式図、図５はセキュリティ通信装置２１，２２におけるパケットの流れを示す模式図である。図４に示すように、端末６１がサーバ５２宛のパケット８１を送信すると、中継装置４３および中継装置４１を経由して、セキュリティ装置２２に到達することになる。セキュリティ装置２２に到達したパケット８１は、図５に示すように、外側ポート１３から中継部１５を通って、パケット精査部１６に渡される。パケット８１を渡されたパケット精査部１６では、パケット８１の内容を精査して異常があるか否かを確認する。パケット精査部１６でパケット８１に異常ないと判断されると、パケット８１は再び中継部１５を通って内側ポート１４から中継装置４２を経由して、サーバ５２に送信される。なお、ここでは端末６１からサーバ５２宛のパケット８１について説明したが、端末６１から広域ネットワーク７０宛のパケット８２、端末６１から広域ネットワーク７０宛のパケット８２、について説明したが、サーバ５１から広域ネットワーク７０宛のパケット８３についても同様に中継される。

一方、図４に示すような広域ネットワーク７０からの攻撃パケットである異常パケット９１によるローカルネットワークシステム１に対する攻撃があった場合には、図５に示すように、異常パケット９１は、外側ポート１３から中継部１５を通って、パケット精査部１６に渡される。異常パケット９１を渡されたパケット精査部１６では、異常パケット９１の内容を精査して異常があるか否かを確認する。パケット精査部１６は、異常パケット９１に異常を検出し、異常パケット９１が外側ポート１３から受信されていることを確認すると、異常パケット９１を廃棄する。尚、異常については、受信した異常パケット９１の内容で判断される場合だけでなく、異常パケット９１が規定数受信されることによって統計的に判断される場合もある。これにより、広域ネットワーク７０からの不正なアクセスなどを防止することができる。

次に、外部に持ち出されてワームに感染した端末６１をローカルエリアネットワークに接続した場合について検討する。なお、ワームは、自分自身の力でネットワークを経由してコンピュータの間を移動し、他のコンピュータに感染していくコンピュータウイルスである。

ここで、図６はローカルエリアネットワークシステム１におけるワーム侵入時のパケットの流れを示す模式図、図７はセキュリティ通信装置２１におけるパケットの流れを示す模式図、図８はセキュリティ通信装置２２におけるパケットの流れを示す模式図である。図６に示すように、外部に持ち出されてワームに感染した端末６１がローカルネットワークシステム１に接続されると、端末６１が感染しているワームは次の感染先を見つけるための攻撃パケットである異常パケット９２〜９３の送信を多数の宛先に向かって開始する。

ところで、このような異常パケット９２〜９３は、宛先によりセキュリティ通信装置２１およびセキュリティ通信装置２２を通過することになる。ここで、セキュリティ通信装置２１，２２において受信される異常パケット９２〜９３の数はネットワーク構成により異なる。統計的に異常を検出しなければならないワーム等がローカルネットワークシステム１に侵入してからセキュリティ通信装置２１，２２が異常を検出するまでの時間は、異常パケット９２〜９３の受信数が多いほど短い。つまり、セキュリティ通信装置２１とセキュリティ通信装置２２では、異常を検出するタイミングにずれが生じる。ここでは、上流のセキュリティ通信装置２１が下流のセキュリティ通信装置２２より先に異常を検出する場合の動作について説明する。

図７に示すように、異常パケット９３を受信したセキュリティ通信装置２１では、まず、内側ポート１４で受信した異常パケット９３は、中継部１５を通ってパケット精査部１６に到達する。パケット精査部１６では、異常パケット９３の精査を実施する。このとき、パケットに異常があるか否かの確認は、受信した異常パケット９３の内容で判断される場合だけでなく、異常パケット９３が規定数受信されることによって統計的に判断される場合もある。パケット精査部１６で異常が検出されると、パケット精査部１６は異常パケット９３が内側ポート１４から受信されたことを確認し、異常パケット９３を廃棄すると共に、制御部１８に対してローカルネットワークシステム１へのワーム侵入を通知する内部信号である警告信号２０１を送信する。更に、パケット精査部１６は、異常検出以降においては、中継部１５から渡されるパケットは全て廃棄する。制御部１８は、パケット精査部１６からの警告信号２０１を受けて、上流のセキュリティ通信装置２１から下流のセキュリティ通信装置２２に対してワーム等の侵入を警告するとともに緊急モードへの移行を通知する制御パケット１０１をパケット認証部１７に送信依頼する。パケット認証部１７は、制御パケット１０１に認証のためのパケット変換、即ち、ＩＰｓｅｃパケットにカプセリング化して認証付制御パケット３０１として内側ポート１４から送信する。ここに、警報通信手段の機能が実行される。これにより、制御パケット１０１をＩＰｓｅｃでカプセリングしてセキュリティ通信装置２１が送信した制御パケットであることを認証可能にした制御パケットである認証付制御パケット３０１は、図６に示すＩＰｓｅｃトンネル３０を通って下流のセキュリティ通信装置２２に送信される。ここに、制御パケット認証手段の機能が実行される。

一方、ＩＰｓｅｃトンネル３０から制御パケット１０１を受信、即ち、図８に示すように認証付制御パケット３０１を外側ポート１３から受信した下流のセキュリティ通信装置２２は、認証付制御パケット３０１をパケット認証部１７に渡す。パケット認証部１７では、認証付制御パケット３０１の認証を実施し、送信元アドレスの詐称がないことを確認すると、制御パケット１０１に再変換、即ち、ＩＰｓｅｃパケットのデカプセリングを行い、その結果得られる制御パケット１０１を制御部１８に送信する。制御部１６は緊急モードへの移行を通知する制御パケット１０１を受け取ると、中継停止を指示する内部信号である中継停止指示信号２０２をパケット精査部１６に対して送信する。ここに、中継停止手段の機能が実行される。以後、パケット精査部１６では中継部１５から渡されるパケットを全て廃棄するようになり、結果として異常パケット９２も廃棄されることになる。

次に、下流のセキュリティ通信装置２２が上流のセキュリティ通信装置２１より先に異常を検出する場合の動作について説明する。この場合、下流のセキュリティ通信装置２２は、上流のセキュリティ通信装置２１が異常を検出するまで、セキュリティ通信装置２１が広域ネットワーク７０から異常パケット９１を受信した場合と同様の動作（図５参照）を実施する。そして、セキュリティ通信装置２１が異常を検出すると、以後、セキュリティ通信装置２１が先に異常を検出した場合と同様の動作を行う。

このように本実施の形態によれば、上流のセキュリティ通信装置２１は、下流セグメントでのウイルス汚染を検知すると、広域ネットワーク７０への全てのパケット出力を停止し、更に、ＩＰｓｅｃトンネル３０を使って、下流のセキュリティ通信装置２２に緊急モードへの移行を通知する制御パケットを送信する。下流のセキュリティ通信装置２２では、緊急モードへの移行を通知する制御パケットを受信すると、ＩＰｓｅｃトンネル３０がある側、つまり、上流からＩＰｓｅｃ以外で受信されるパケットは破棄し、ＩＰｓｅｃトンネル３０を通るパケットのみを制御パケットとして制御部１６に渡す。これにより、モバイル端末の接続等によりローカルネットワークシステム１の内部にワーム等が侵入した場合、広域ネットワーク７０との接続点に設置された上流のセキュリティ通信装置２１で異常を検出すると、ローカルネットワークシステム１内に設置されている下流のセキュリティ通信装置２２に警告を行って、中継パケット数が少ない位置に置かれている下流のセキュリティ通信装置２２が異常を検出できなくても攻撃パケットと疑われるパケットの受信を停止するようにしているので、ワーム等がローカルネットワークシステム１全体に広がる危険性を軽減できる。

また、広域ネットワーク７０からの攻撃では異常パケットを検出しても中継を継続するが、ローカルネットワークシステム１内部にワーム等が侵入した場合は全ての中継を停止しているため、１つの異常が検出されると、以後、統計的に検出される異常パケットを取りこぼすことなくセキュリティ通信装置２１，２２で廃棄するので、広域ネットワーク７０へのワームの拡散の危険性を軽減できる。

さらに、異常を先に検出したセキュリティ通信装置２１または２２が送信する警告はＩＰｓｅｃのパケットで送信元アドレスを認証しているので、悪意のある端末がセキュリティ通信装置２１または２２に不正な警告を送信してセキュリティ通信装置２１または２２の中継を停止する、なりすまし攻撃を回避できる。

なお、本実施の形態においては、ワーム等が生成する異常パケットとセキュリティ通信装置２１，２２間で通信される制御パケットを確実に区別するために、制御パケットの送信にＩＰｓｅｃトンネルを用いたが、パケットにタグと呼ばれるヘッダを付加してＶＬＡＮ(Virtual LAN)情報を格納するＶＬＡＮタグを用いても同様の効果を得ることができる。

［第２の実施の形態］
次に、本発明の第２の実施の形態を図９ないし図１１に基づいて説明する。なお、前述した第１の実施の形態と同じ部分は同じ符号で示し説明も省略する。

第１の実施の形態では、異常を検出した場合、ワーム等が侵入したセグメントからの全てのパケットを廃棄するようにしたが、本実施の形態は、ワーム等が侵入したセグメントから広域ネットワーク７０宛のパケットは廃棄し、正常なセグメントと広域ネットワーク７０が通信するパケットについてはＩＰｓｅｃトンネルを用いて通信可能とするものである。

ここで、図９は本発明の第２の実施の形態にかかるローカルエリアネットワークシステム１におけるワーム侵入時のパケットの流れを示す模式図、図１０はセキュリティ通信装置２１におけるパケットの流れを示す模式図、図１１はセキュリティ通信装置２２におけるパケットの流れを示す模式図である。なお、ワーム等が侵入していない場合の動作は、第１の実施の形態と全く同じであるので、端末６１がワーム等に感染したときの動作について説明する。

図９に示すように、外部に持ち出されてワームに感染した端末６１がローカルネットワークシステム１に接続されると、端末６１が感染しているワームは次の感染先を見つけるための攻撃パケットである異常パケット９２〜９３の送信を多数の宛先に向かって開始する。端末６１が異常パケット９２〜９３を送信開始してから、セキュリティ通信装置２１のパケット精査部１６が異常を検出するまでの動作は第１の実施の形態と全く同様である。

図１０に示すように、異常パケット９３を受信したセキュリティ通信装置２１では、まず、内側ポート１４で受信した異常パケット９３は、中継部１５を通ってパケット精査部１６に到達する。そして、パケット精査部１６で異常が検出されると、パケット精査部１６は異常パケット９３が内側ポート１４から受信されたことを確認し、異常パケット９３を廃棄すると共に、制御部１８に対してローカルネットワークシステム１へのワーム侵入を通知する内部信号である警告信号２０１を送信する。更に、パケット精査部１６は、図１０に示すように、異常検出以降においては、中継部１５から渡されるパケットのうち、外側ポート１３で受信されるサーバ５１と広域ネットワーク７０間で通信されるパケット８３は、パケット認証部１７に送信を依頼し、内側ポート１４で受信される端末６１から広域ネットワーク７０宛のパケット８２は廃棄する。パケット精査部１６からパケット８３の送信を依頼されたパケット認証部１７は、パケット８３を、セキュリティ通信装置２１が中継したことを認証可能なように変換、即ち、ＩＰｓｅｃパケットにカプセリング化して認証付データパケット３０２ａを作成し、内側ポート１４から送信する。ここに、認証中継手段の機能が実行される。これにより、パケット８３は、図９のＩＰｓｅｃトンネル３０を使って下流のセキュリティ通信装置２２に送信される。

また、警告信号２０１を受け取った制御部１８は、上流のセキュリティ通信装置２１から下流のセキュリティ通信装置２２に対してワーム等の侵入を警告するとともに緊急モードへの移行を通知する制御パケット１０１をパケット認証部１７に送信依頼する。パケット認証部１７は、制御パケット１０１に認証のためのパケット変換、即ち、ＩＰｓｅｃパケットにカプセリング化して認証付制御パケット３０１として内側ポート１４から送信する。ここに、認証中継手段の機能が実行される。これにより、制御パケット１０１は、図９のＩＰｓｅｃトンネル３０を使って下流のセキュリティ通信装置２２に送信される。

さらに、内側ポート１４で受信された認証付データパケット３０２ｂは、パケット認証部１７に渡される。パケット認証部１７では、認証付データパケット３０２ｂの認証を実施し、送信元アドレスの詐称がないことを確認すると、パケット８３に再変換、即ち、ＩＰｓｅｃパケットのデカプセリングを行い、その結果得られるパケット８３を中継部１５に送信依頼して外側ポート１３から送信する。これにより、パケット８３は図９のＩＰｓｅｃトンネル３０を使って下流のセキュリティ通信装置２２から送信され、広域ネットワーク７０に中継される。

一方、ＩＰｓｅｃトンネル３０から制御パケット１０１を受信、即ち、図１１に示すように認証付制御パケット３０１を外側ポート１３から受信した下流のセキュリティ通信装置２２は、認証付制御パケット３０１をパケット認証部１７に渡す。パケット認証部１７では、認証付制御パケット３０１の認証を実施し、送信元アドレスの詐称がないことを確認すると、制御パケット１０１に再変換、即ち、ＩＰｓｅｃパケットのデカプセリングを行い、その結果得られる制御パケット１０１を制御部１８に送信する。制御部１６は緊急モードへの移行を通知する制御パケット１０１を受け取ると、中継停止を指示する内部信号である中継停止指示信号２０２をパケット精査部１６に対して送信する。以後、パケット精査部１６では、中継部１５から渡されるパケットのうち、外側ポート１３から受信されたパケットを全て廃棄するようになり、結果として異常パケット９２も廃棄されることになる。また、パケット精査部１６では、中継部１５から渡されるパケットのうち、内側ポート１４から受信されたサーバ５１から送信されたパケット８３は、パケット認証部１７に送信依頼する。パケット認証部１７では、受け取ったパケット８３を、セキュリティ通信装置２２が中継したことを認証可能なように変換、即ち、ＩＰｓｅｃパケットにカプセリング化して認証付データパケット３０２ｂを作成し、外側ポート１３から送信する。ここに、認証中継手段の機能が実行される。これにより、パケット８３は図９のＩＰｓｅｃトンネル３０を使って上流のセキュリティ通信装置２１に送信される。

さらに、外側ポート１３で受信されたセキュリティ通信装置２１から送信された認証付データパケット３０２ａは、パケット認証部１７に渡される。パケット認証部１７では、認証付データパケット３０２ａの認証を実施し、送信元アドレスの詐称がないことを確認すると、パケット８３に再変換、即ち、ＩＰｓｅｃパケットのデカプセリングを行い、その結果得られるパケット８３を中継部１３に送信依頼して内側ポート１４から送信する。ここに、認証中継手段の機能が実行される。これにより、パケット８３は図９のＩＰｓｅｃトンネル３０を使って上流のセキュリティ通信装置２１に受信され、サーバ５１に中継される。

このように本実施の形態によれば、モバイル端末の接続等によりローカルネットワークシステム１の内部にワーム等が侵入した場合、広域ネットワーク７０との接続点に設置された上流のセキュリティ通信装置２１で異常を検出すると、ローカルネットワークシステム１内に設置されている下流のセキュリティ通信装置２２に警告を行って、中継パケット数が少ない位置に置かれている下流のセキュリティ通信装置２２が異常を検出できなくても攻撃パケットと疑われるパケットの受信を停止するようにしているので、ワーム等がローカルネットワークシステム１全体に広がる危険性を軽減できる。

また、広域ネットワーク７０からの攻撃では異常パケットを検出しても中継を継続するが、ローカルネットワークシステム１内部にワーム等が侵入した場合は、ワーム等に感染した端末とセキュリティ通信装置を介さずに直接通信可能であり、ワーム等に感染した疑いがある全ての端末と広域ネットワーク７０との中継を停止しているため、広域ネットワーク７０へのワームの拡散の危険性を軽減できる。

さらに、上流のセキュリティ通信装置２１と下流のセキュリティ通信装置２２の間のセグメントにワーム等が侵入した場合、ＩＰｓｅｃトンネル３０を用いて継続するので、ワーム等によるアドレス詐称で攻撃パケットが広域ネットワーク７０や下流のセキュリティ通信装置２２の内側のサーバ５１，５２に送信される心配がなく、通信を継続できるといった効果がある。

さらにまた、サーバ５１，５２と広域ネットワーク７０間の中継は、通常時にはＩＰｓｅｃトンネル３０を用いずに中継しているので、通常時にＩＰｓｅｃによる処理による中継遅延が発生しないといった効果がある。

また、セキュリティ通信装置２１が送信する警告はＩＰｓｅｃのパケットで送信元アドレスを認証しているので、悪意のある端末がセキュリティ通信装置に不正な警告を送信してセキュリティ通信装置の中継を停止する、なりすまし攻撃を回避できる。

なお、本実施の形態においては、ワーム等が生成する異常パケットとセキュリティ通信装置２１，２２間で通信される制御パケットおよび認証付データパケットを確実に区別するために、ＩＰｓｅｃトンネルを用いたが、パケットにタグと呼ばれるヘッダを付加してＶＬＡＮ(Virtual LAN)情報を格納するＶＬＡＮタグを用いても同様の効果を得ることができる。

なお、各実施の形態においては、セキュリティ通信装置２１，２２としてパーソナルコンピュータを主体に構成されているファイアウォールを適用した例について説明したが、これに限るものではなく、例えばファイアウォール機能を備えているブロードバンドルータやＬ２スイッチ、Ｌ３スイッチなどに適用することも可能である。

以上のように、本発明にかかるセキュリティ通信装置、通信ネットワークシステムおよびプログラムは、外部に持ち出されて感染したモバイル端末から侵入したワーム等のローカルネットワークシステム全体に広がる危険性の軽減、および、広域ネットワークへのワームの拡散の危険性の軽減に有用であり、特に、パーソナルコンピュータを主体に構成されているファイアウォールや、ファイアウォール機能を備えているブロードバンドルータやＬ２スイッチ、Ｌ３スイッチなどに適している。

本発明の第１の実施の形態にかかるセキュリティ通信装置を含むローカルネットワークシステムの構成を示す模式図である。 セキュリティ通信装置のハードウェア構成を示すブロック図である。 セキュリティ通信装置の機能構成を示すブロック図である。 ローカルネットワークシステムにおける通常状態のパケットの流れを示す模式図である。 セキュリティ通信装置におけるパケットの流れを示す模式図である。 ローカルエリアネットワークシステムにおけるワーム侵入時のパケットの流れを示す模式図である。 セキュリティ通信装置におけるパケットの流れを示す模式図である。 セキュリティ通信装置におけるパケットの流れを示す模式図である。 本発明の第２の実施の形態にかかるローカルエリアネットワークシステムにおけるワーム侵入時のパケットの流れを示す模式図である。 セキュリティ通信装置におけるパケットの流れを示す模式図である。 セキュリティ通信装置におけるパケットの流れを示す模式図である。

符号の説明

１ 通信ネットワークシステム
１３ 外側ポート
１４ 内側ポート
１５ 中継手段
１６ パケット精査手段
２１ セキュリティ通信装置、第１のセキュリティ通信装置
２２ セキュリティ通信装置、第２のセキュリティ通信装置
７０ 広域ネットワーク

Claims (14)

1. 外部セグメントに対してパケットを送受信する通信ポートである外側ポートと、
   内部セグメントに対してパケットを送受信する通信ポートである内側ポートと、
   前記外側ポートと前記内側ポートとの間の前記パケットの中継を実施する中継手段と、
   前記内部セグメントから前記外部セグメントに中継する前記パケットを前記中継手段から受け取り、当該パケットが攻撃パケットであるか否かを検出するパケット精査手段と、
   前記内部セグメントから前記外部セグメントに中継する前記パケットが前記攻撃パケットであることを前記パケット精査手段により検出した場合、警報の制御パケットを他のセキュリティ通信装置に対して送信する警報通信手段と、
   前記他のセキュリティ通信装置から前記警報の制御パケットを受信した場合、前記中継手段における前記パケットの中継を停止する中継停止手段と、
   を備えることを特徴とするセキュリティ通信装置。
2. 前記警報通信手段により送信される前記警報の制御パケットと前記攻撃パケットとを区別するため、前記警報の制御パケットの送信元アドレスを認証する制御パケット認証手段を備える、
   ことを特徴とする請求項１記載のセキュリティ通信装置。
3. 前記制御パケット認証手段は、暗号通信を行なうための規格であるＩＰｓｅｃの通信モードをトンネルモードとしたＩＰｓｅｃトンネルを用いる、
   ことを特徴とする請求項２記載のセキュリティ通信装置。
4. 前記制御パケット認証手段は、前記パケットにタグと呼ばれるヘッダを付加してＶＬＡＮ(Virtual LAN)情報を格納するＶＬＡＮタグを用いる、
   ことを特徴とする請求項２記載のセキュリティ通信装置。
5. 前記中継停止手段により前記中継手段における前記パケットの中継を停止した場合、前記警報の制御パケットが送信されたセグメントに対するパケットの送信元アドレスを前記制御パケット認証手段で認証可能な中継用の制御パケットに変換して送信するとともに、前記中継用の制御パケットを元のパケットに戻して中継する認証中継手段を更に備える、
   ことを特徴とする請求項１ないし４のいずれか一記載のセキュリティ通信装置。
6. 前記認証中継手段は、暗号通信を行なうための規格であるＩＰｓｅｃの通信モードをトンネルモードとしたＩＰｓｅｃトンネルを用いる、
   ことを特徴とする請求項５記載のセキュリティ通信装置。
7. 前記認証中継手段は、前記パケットにタグと呼ばれるヘッダを付加してＶＬＡＮ(Virtual LAN)情報を格納するＶＬＡＮタグを用いる、
   ことを特徴とする請求項５記載のセキュリティ通信装置。
8. 広域ネットワークへの接続点に設置される第１のセキュリティ通信装置と、この第１のセキュリティ通信装置の下流に設けられていて、セグメントの出入り口に設置される第２のセキュリティ通信装置と、を備えた通信ネットワークシステムにおいて、
   前記第１のセキュリティ通信装置と前記第２のセキュリティ通信装置との間で送受信されるパケットの送信者を保証するセキュリティ通信手段と、
   前記第１のセキュリティ通信装置が攻撃パケットを検出した場合、前記セキュリティ通信手段により前記第２のセキュリティ通信装置に対して警報の制御パケットを送信し、前記第２のセキュリティ通信装置に前記セグメントへの前記パケットの中継を停止させる中継停止手段と、
   を備えることを特徴とする通信ネットワークシステム。
9. 前記中継停止手段により前記第２のセキュリティ通信装置に前記セグメントへの前記パケットの中継を停止させた場合、前記第１のセキュリティ通信装置と前記第２のセキュリティ通信装置との間における前記パケットの送受信を前記セキュリティ通信手段を用いて行う変換中継手段を更に備える、
   ことを特徴とする請求項８記載の通信ネットワークシステム。
10. 前記セキュリティ通信手段は、暗号通信を行なうための規格であるＩＰｓｅｃの通信モードをトンネルモードとしたＩＰｓｅｃトンネルを用いる、
    ことを特徴とする請求項８または９記載の通信ネットワークシステム。
11. 前記セキュリティ通信手段は、前記パケットにタグと呼ばれるヘッダを付加してＶＬＡＮ(Virtual LAN)情報を格納するＶＬＡＮタグを用いる、
    ことを特徴とする請求項８または９記載の通信ネットワークシステム。
12. 外部セグメントに対してパケットを送受信する通信ポートである外側ポートと内部セグメントに対してパケットを送受信する通信ポートである内側ポートとの間の前記パケットの中継を実施する中継機能と、
    前記内部セグメントから前記外部セグメントに中継する前記パケットを前記中継機能から受け取り、当該パケットが攻撃パケットであるか否かを検出するパケット精査機能と、
    前記内部セグメントから前記外部セグメントに中継する前記パケットが前記攻撃パケットであることを前記パケット精査機能により検出した場合、警報の制御パケットを他のセキュリティ通信装置に対して送信する警報通信機能と、
    前記他のセキュリティ通信装置から前記警報の制御パケットを受信した場合、前記中継機能における前記パケットの中継を停止する中継停止機能と、
    をコンピュータに実行させることを特徴とするプログラム。
13. 前記警報通信機能により送信される前記警報の制御パケットと前記攻撃パケットとを区別するため、前記警報の制御パケットの送信元アドレスを認証する制御パケット認証機能をコンピュータに実行させる、
    ことを特徴とする請求項１２記載のプログラム。
14. 前記中継停止機能により前記中継機能における前記パケットの中継を停止した場合、前記警報の制御パケットが送信されたセグメントに対するパケットの送信元アドレスを前記制御パケット認証機能で認証可能な中継用の制御パケットに変換して送信するとともに、前記中継用の制御パケットを元のパケットに戻して中継する認証中継機能を更にコンピュータに実行させる、
    ことを特徴とする請求項１２または１３記載のプログラム。

Images