JP2008141352A - ネットワークセキュリティシステム - Google Patents

Abstract

【課題】 悪意のある不正端末を検出、隔離、修正可能なネットワークを提供するとともに、セキュリティレベルを維持することが可能なネットワークセキュリティシステムを提供することにある。
【解決手段】 端末とネットワーク間に挿入され、これら端末とネットワーク間のパケットを中継するとともに、ネットワーク管理サーバからの設定に基づき、ネットワーク上を流れるパケット情報の検出、およびネットワーク管理サーバへの通知、該当するパケットのフィルタリングを行う複数のセンサーと、複数のセンサーの各々に情報収集及び遮断のためのルールを設定し、複数のセンサーから収集した情報を基に情報漏洩や不正アクセスを検知し、該当するパケットを遮断するようセンサーに通知するネットワーク管理サーバと、このセンサーとネットワーク管理サーバ間はカプセル化されたパケットを利用する。
【選択図】 図１

Description

本発明は、コンピュータネットワークの利用においてネットワークセキュリティに違反した不正なクライアントが送受信するデータを、ネットワーク上でフィルタリングすることで、セキュリティレベルを維持させるためのネットワークセキュリティシステムに関する。

企業内等の内部ネットワークのセキュリティは、外部からの不正パケットを遮断するファイヤーウォールと、内部ネットワークに接続する場合には、端末の認証を行うことや、端末にセキュリティソフトのインストール、ウィルスチェックのためのパターンファイルの更新、端末のオペレーションシステム（ＯＳ）矢アプリケーションソフトのセキュリティホールの修正用アップデータの実施を行うことで、守ってきていた。

しかし、この仕組みでは、社内ネットワークに不正な端末（悪意のあるユーザによる）が直接、接続された場合、無防備である場合が多い。
そこで、不正端末それに対応するために、検疫システムと呼ばれる、不正端末検出、排除、修正を行うことが可能なものが登場してきている（特許文献１参照）。検疫システムの実現方法には、概ね以下の３つがある。

（１）ＩＥＥＥＥ８０２．１Ｘ等の端末認証システムとＶｉｒｔａｌ ＬＡＮに対応したネットワーク機器（ＬＡＮスイッチ）を、内部ネットワークに配備することで、端末がはじめて接続され、認証が完了するまでは、ある特定の検疫用ネットワークにしか接続できない方法があるが、これは全てのＬＡＮスイッチを本方式をサポートする装置にしなければならないという問題がある。

（２）ＤＨＣＰ認証システムと連動し、はじめて接続された端末には、検査用ネットワークアドレスを付与し、検査用ネットワークのみに接続できるようにしておくことで、不正端末の接続を防御するシステムがあるが、ＤＨＣＰを使用せず、最初から不正にネットワークアドレスを設定された端末を排除することはできない。

（３）内部ネットワークに接続する端末に、あらかじめ検疫用ソフトウェアをインストールしておき、検査用サーバとこのソフトウェアが連携して、検疫を行う方法があるが、本方法も検疫用ソフトウェアをインストールしていない端末を排除することは不可能である。

このように上記いずれの端末も、正規の手順やルールに則った検疫システムをパスした後、不正なアクセスを行うことを排除することはできない。
特開２００３−３７６０１号公報

このように上記いずれの端末も、正規の手順やルールに則った検疫システムをパスした後、不正なアクセスを行うことを排除することはできないという点で問題があった。

本願は、認証システムやＶｉｒｔｕａｌ ＬＡＮ機能を有していないＬＡＮスイッチのネットワークに対して、悪意のある不正端末を検出、隔離、修正可能なネットワークを提供するとともに、一旦検疫された不正ではないと判断された端末が、実際には何らかの不正なプログラムが実装され、不正アクセスを行っていた場合、そのアクセスを送受信パケットから判断して、再度隔離することでセキュリティレベルを維持することが可能なネットワークセキュリティシステムを提供することにある。

本発明の観点は、企業内ネットワークに複数が分散配置され、端末と前記ネットワーク間に挿入され、前記端末と前記ネットワーク間のパケットを中継するとともに、ネットワーク管理サーバからの設定に基づき、前記ネットワーク上を流れるパケット情報の検出、および前記ネットワーク管理サーバへの通知、該当するパケットのフィルタリングを行う複数のセンサーと、前記複数のセンサーの各々に情報収集及び遮断のためのルールを設定し、前記複数のセンサーから収集した情報を基に情報漏洩や不正アクセスを検知し、該当するパケットを遮断するよう前記センサーに通知するネットワーク管理サーバと、前記センサーと前記ネットワーク管理サーバ間は、カプセル化されたパケットを利用することを特徴とするネットワークセキュリティシステムである。

本発明によれば、認証システムやＶｉｒｔｕａｌ ＬＡＮ機能を有していないＬＡＮスイッチのネットワークに対して、悪意のある不正端末を検出、隔離、修正可能なネットワークを提供するとともに、一旦検疫された不正ではないと判断された端末が、実際には何らかの不正なプログラムが実装され、不正アクセスを行っていた場合、そのアクセスを送受信パケットから判断して、再度隔離することでセキュリティレベルを維持することが可能なネットワークセキュリティシステムを提供することが可能となる。

以下図面を参照して、本発明の実施の形態を説明する。
（システムの構成）
図１は、本発明の実施形態に関するシステム構成図である。
Ｉｎｔｅｒｎｅｔ（１）は、いわゆるインターネットである。
ＧＷ（１０）は、前記Ｉｎｔｅｒｎｅｔ（１）と、社内ネットワーク間にあって、ＩＰプロトコルのパケットの経路制御、アドレス変換、パケット転送機能等を有するネットワーク機器である。

ＦＷ（２０）は、上記ＧＷ（１０）と社内ネットワーク内の内部ネットワーク（４０）、ＳＶ１（３０）間にあって、Ｉｎｔｅｒｎｅｔ（１）から送られてくるパケットに対して、あらかじめ決められていルールルに則った検査を行い、不正なパケットに関してはそのパケットを廃棄することで、内部ネットワーク（４０）の保護を行うとともに、外部からアクセス可能なＳＶ１（３０）に対してのパケットに関しては、そのルールを適用しない公開ポートを持つネットワーク機器であり、一般的にファイヤーウォールと呼ばれている装置である。

ＳＶ１（３０）は、ＦＷ（２０）の公開ポートに接続され、社外に公開されているサーバであり、Ｗｅｂサーバやメールサーバなどである。
ＳＷ１（５０）は、内部ネットワーク（４０）に設置され、ＦＷ（２０）に接続されており、内部ネットワーク（４０）とＦＷ（２０）間のパケット転送を行うネットワーク機器である。

ＳＶ２（６０）は、ＳＷ１（５０）に接続され、社内から許可された端末からのみアクセス可能なサーバであり、社内ｗｅｂサーバや社内共有データベースサーバ、Ｉｎｔｅｒｎｅｔアクセスのためのアドレス変換を行う代理サーバ、クライアントＰＣ等のウィルス検出プログラムのパターンの更新等を管理するなどの機能を有するサーバである。複数台で構築される場合もある。

ＳＷ２（７０）（７０）、ＳＷ３（８０）は、内部ネットワーク（４０）に接続され、社内ネットワークに接続される端末（クライアントＰＣや部門サーバ、無線ＬＡＮアクセスポイントなど）をネットワークに接続し、転送機能を有するネットワーク機器である。ＩＥＥＥ８０２．１Ｑ等のＶｉｒｔｕａｌ ＬＡＮ機能や、認証機能を有している場合や有していない機器がある。

ＡＰ１（９０）、ＡＰ２（１００）は、ＳＷ２（７０）（７０）、ＳＷ３（８０）に接続され、無線ＬＡＮ端末（ＰＣ２（１１０）、ＰＣ４（１２０））との間で、無線ＬＡＮを媒体として通信制御を行うネットワーク機器で、一般的には無線ＬＡＮアクセスポイントと呼ばれる機器である。

ＳＶ３（１３０）、ＳＶ４（１４０）（１４０）は、ＳＷ２（７０）（７０）、ＳＷ３（８０）に接続され、社内の部門ごとに設置されるサーバであり、部門内の共有ファイルを蓄積したり、端末のネットワークアドレスの配布を行う機能を提供するコンピュータ機器である。

ＰＣ１（１５０）（１５０）、ＰＣ２（１１０）、ＰＣ３（１６０）、ＰＣ４（１２０）は、ＳＷ２（７０）（７０）、ＳＷ３（８０）、ＡＰ１（９０）、ＡＰ２（１００）に接続されるクライアント端末であり、一般的にはパーソナルコンピュータと呼ばれる機器である。

ＮＭＳ（１７０）（１７０）は、社内ネットワークの運用管理を行うネットワーク管理サーバであり、ネットワーク運用管理の規則が設定され、その内容を元に、社内ネットワークに分散配置されているネットワークセンサーであるＳＳ１（７０Ａ）（７０ａ）、ＳＳ２（７０ｂ）、ＳＳ３（７０ｃ）、ＳＳ４（８０ａ）、ＳＳ５（８０ｂ）、ＳＳ６（８０ｃ）に対して、監視方法やパケット廃棄等の設定を行うとともに、ネットワークセンサーＳＳ１（７０Ａ）（７０ａ）、ＳＳ２（７０ｂ）、ＳＳ３（７０ｃ）、ＳＳ４（８０ａ）、ＳＳ５（８０ｂ）、ＳＳ６（８０ｃ）からの情報を元に、セキュリティに関する脅威（不正アクセス）を検出するサーバである。

ＳＳ１（７０Ａ）（７０ａ）、ＳＳ２（７０ｂ）、ＳＳ３（７０ｃ）、ＳＳ４（８０ａ）、ＳＳ５（８０ｂ）、ＳＳ６（８０ｃ）は、端末と社内ネットワーク間に挿入され、通常はその間のパケットを転送するとともに、ＮＭＳ（１７０）（１７０）からの設定に基づき、該当する情報をＮＭＳ（１７０）（１７０）へ通知したり、該当するパケットの廃棄、中継の流量制御を行うネットワーク用のセンサー機器である。

（センサー機器のハードウェア構成）
図２は、本発明の実施形態に関するセンサー機器ＳＳ１（７０Ａ）（７０ａ）、ＳＳ２（７０ｂ）、ＳＳ３（７０ｃ）、ＳＳ４（８０ａ）、ＳＳ５（８０ｂ）、ＳＳ６（８０ｃ）のハードウェア構成図である。代表でＳＳ１（７０Ａ）（７０ａ）について詳細に説明する。

ＰＭＤ１（７０１）、ＰＭＤ２（７０２）は、ネットワーク物理媒体固有のインタフェースを行う部分であり、コネクタ、パルストランスや抵抗等から構成される。
ＰＨＹ１（７０３）、ＰＨＹ２（７０４）は、ネットワーク物理層を制御するインタフェースであり、電気信号からデジタル信号を抽出し、ＳＥＬ１（７０５）、ＬＥＬ２（７０６）を介して、ＭＡＣ１（７０７）、ＭＡＣ２（７０８）とＳＷ（７０９）に対してデジタルデータの入出力を行う回路である。

ＳＥＬ１（７０５）、ＬＥＬ２（７０６）は、ＰＨＹ１（７０３）、ＰＨＹ２（７０４）からのデジタルデータを、ＭＰ（７１０）からの設定に従いＳＷ（７０９）とＭＡＣ１（７０７）、ＭＡＣ２（７０８）のどちらかに中継する、また、ＳＷ（７０９）とＭＡＣ１（７０７）、ＳＷ（７０９）とＭＡＣ２（７０８）からのデジタルデータからＭＰ（７１０）からの設定に従い、ＰＨＹ１（７０３）、ＰＨＹ２（７０４）に中継する回路である。

ＭＡＣ１（７０７）、ＭＡＣ２（７０８）は、媒体アクセス制御を行う部分であり、ＭＰ（７１０）からのパケットをＳＥＬ１（７０５）、ＬＥＬ２（７０６）経由で、ＰＨＹ１（７０３）、ＰＨＹ２（７０４）に送信し、ＰＨＹ１（７０３）、ＰＨＹ２（７０４）からＳＥＬ１（７０５）、ＬＥＬ２（７０６）経由で受信したデジタル信号をパケット化しＭＰ（７１０）へ送信する回路である。

ＳＷ（７０９）は、ＰＨＹ１（７０３）、ＰＨＹ２（７０４）からＳＥＬ１（７０５）、ＬＥＬ２（７０６）経由で受信したデジタル信号をパケット化し、そのパケットを中継、遮断をあらかじめＭＰ（７１０）より設定されたルールに従い、中継、遮断を実行する回路である。

ＭＰ（７１０）は、ＲＯＭ内のプログラムに基づきＭＡＣ１（７０７）、ＭＡＣ２（７０８）との間のパケット送受信制御、ＳＷ（７０９）の送受信制御を行うマイクロプロセッサである。

ＮＶＲＡＭ（７２０）は、プログラムや設定情報を保持する不揮発性のメモリである。
ＲＡＭ（７３０）は、送受信するパケットのバッファやプログラム動作の作業エリア、送受信パケットから得られる情報の蓄積等を行う揮発性のメモリである。
ＰＳ（７４０）は、ＳＳ１（７０Ａ）（７０ａ）内部に電源を供給する電源回路である。なお、上記のハードウェア構成の内、ＰＳ（７４０）とＰＭＤ１（７０１）、ＰＭＤ２（７０２）の一部以外は、1個のＩＣに統合することも可能である。

（正常なＰＣがネットワークアクセスできるようになるまでの手順：検疫なし）
図３は、本発明の実施形態において検疫がない企業内ネットワークＰＣの接続手順である。検疫がない企業内ネットワークにＰＣを接続する手順は、
１．物理的に企業内ＬＡＮに接続する（Ｓ３１）。
２．ＤＨＣＰサーバに対して、ネットワークアドレスを要求する（Ｓ３２）。その際、ＰＣの物理アドレスや使用者の認証等が行われる場合もある。
３．ＤＨＣＰサーバがＰＣに対して、ネットワークアドレスを送付し、ＰＣはネットワークアドレスを獲得する（Ｓ３３）。
４．ネットワークアドレスを獲得したＰＣは、企業内ネットワークにアクセス可能となる（Ｓ３４）。
（正常なＰＣがネットワークアクセスできるようになるまでの手順：検疫あり）
図４は、本発明の実施形態において検疫ネットワークが行われる場合であり、上述の検疫がない場合と以下の手順が異なっている。
３．ＤＨＣＰサーバより暫定的なネットワークアドレスが付与される（Ｓ４３）。
４．検疫サーバへＰＣがアクセスし、サーバからＰＣ内の情報が、企業内ネットワークアクセスのセキュリティポリシーに合っているかどうかが検査され、もし、合っていなければ、治療が行われる（Ｓ４４）。
５．検査に合格したＰＣに対して、正しいネットワークアドレスが付与される（Ｓ４５）。
（悪意のＰＣがネットワークアクセスできるようになるまでの手順：検疫なし）
図５は、本発明の実施形態において検疫ネットワークがない企業内ネットワークに、悪意のある操作者がＰＣを企業内ネットワークに接続する場合の手順である。
この場合、ＤＨＣＰサーバへアクセスすることなく、静的にネットワークアドレスを付加することで、その他の認証システムが存在しない場合、企業内ネットワークへアクセス可能となる。

（悪意のＰＣがネットワークアクセスできるようになるまでの手順：検疫あり）
図６は、本発明の実施形態において検疫ネットワークを有する企業内ネットワークに対して接続する手順である。
検疫ネットワークを有する企業内ネットワークに対して、上述図５と同様な悪意のＰＣを企業内ネットワークに接続する場合、
２．ネットワークアドレスを静的に設定したＰＣを、検疫ネットワークにのみ接続できるよう、他のネットワークには接続できないよう、強制的に設定する（Ｓ６２）。検疫サーバでは、ＰＣの内部情報を検査し、問題があれば治療を行う。
３．検査に合格したＰＣに対しては、企業内ネットワークへのアクセスを許可するよう、ネットワーク側で設定変更を行う（Ｓ６３）。という手順が実行される。
（パケットフォーマット）
図７は、本発明の実施形態に関するＰＣ（１５０）、ＳＳ（７０ａ）、ＮＭＳ（１７０）（１７０）間のパケットフォーマットである。
本実施形態におけるパケットフォーマットは、ＳＡ（８１ａ）：送信元ネットワークアドレス、ＤＡ（８２ａ）:あて先ネットワークアドレス、Ｄａｔａ（８３ａ）とからなる。実際には、ネットワーク制御用のヘッダ、誤り検出のためのフィールド、メディアクセス制御層用のヘッダなどがあるが、ここでは説明を割愛する。

パケットフォーマットには２種あり、Ｆｏｒｍａｔ−Ａは、通常のパケットである。Ｆｏｒｍａｔ−Ｂは、ＰＣが企業内アクセスが許可されるまでのＳＳ（７０ａ）とＮＭＳ（１７０）（１７０）間のパケットフォーマットであり、オリジナルのパケット（Ｆｏｒｍａｔ−Ａ）に、ＯＳＡ（８１ｂ）、ＯＤＡ（８２ｂ）を付加した構成で、ＯＳＡ（８１ｂ）とＯＤＡ（８２ｂ）には、ＳＳ（７０ａ）とＮＭＳ（１７０）（１７０）のネットワークアドレスがセットされる。

なお、個々のパケットは以下の構成となっている。
（１）悪意のある端末ＰＣ（１５０）（アドレス［Ａ］）が、社内ネットワークＳＶＲ（１８０）（アドレス［Ｄ］）へアクセスしようとする場合のパケットフォーマットである。

（２）ＳＳ（７０ａ）は、（１）のパケットを受信後、その端末のメディアクセス制御層のアドレスとネットワークアドレスをＤａｔａ２（８３ｃ）に格納し、正当な端末であるかどうかをＮＭＳ（１７０）（１７０）へ問い合わせる。ＳＡ（８１ａ）はＳＳ（７０ａ）のネットワークアドレス［Ｂ］。ＤＡ（８２ａ）は、ＮＭＳ（１７０）（１７０）のネットワークアドレス［Ｃ］である。

（３）ＮＭＳ（１７０）（１７０）は、（２）の問い合わせに対して、ＰＣ（１５０）のアドレスを検査し、検疫済みかどうかをＤａｔａ３（８３ｄ）にセットし、ある決められた暗号化手順により、Ｄａｔａ３（８３ｄ）を暗号化し、ＳＡ（８１ａ）にＮＭＳ（１７０）（１７０）のネネットワークアドレス［Ｃ］、ＤＡ（８２ａ）にＳＳ（７０ａ）のネットワークアドレス［Ｂ］をセットしたパケットを送信する。

（４）ＮＭＳ（１７０）（１７０）がＰＣ（１５０）に対して、検疫を行うための情報問い合わせパケットである。ＯＳＡ（８１ｂ）部より後ろは全て暗号化され、ＳＡ（８１ａ）：ＮＭＳ（１７０）（１７０）［Ｃ］、ＤＡ（８２ａ）：ＳＳ（７０ａ）［Ｂ］のネットワークアドレスをセットする。

（５）（４）のパケットのＳＡ（８１ａ）、ＤＡ（８２ａ）を削除後、ＯＤＡ（８２ｂ）以降を復号化し、ＯＳＡ（８１ｂ）、ＯＤＡ（８２ｂ）をＳＡ（８１ａ）、ＤＡ（８２ａ）に入れたパケットである。

（６）（５）のパケットに対する応答であり、ＳＡ（８１ａ）はＰＣ（１５０）のネットワークアドレス［Ａ］、ＤＡ（８２ａ）はＮＭＳ（１７０）（１７０）のネットワークアドレス［Ｃ］である。

（７）（６）のパケットに対して、ＳＡ（８１ａ）：ＳＳ（７０ａ）のネットワークアドレス［Ｂ］、ＤＡ（８２ａ）：ＮＭＳ（１７０）（１７０）のネットワークアドレス［Ｃ］を付加したものである。（６）のパケットは暗号化されている。

（８）検疫が終了したことを示すパケットであり、ＳＡ（８１ａ）：ＮＭＳ（１７０）（１７０）のネットワークアドレス［Ｃ］、ＤＡ（８２ａ）：ＳＳ（７０ａ）のネットワークアドレス［Ｂ］を入れ、Ｄａｔａ１（８３ｂ）には、ＰＣ（１５０）のネットワークアドレス［Ａ］が、企業内ネットワークアクセス可能となったことを通知するデータが格納されている。Ｄａｔａ１（８３ｂ）は暗号化されている。

（９）ネットワークアクセス可能となったあとの、ＰＣ（１５０）がＳＶＲ（１８０）へアクセスし、その応答パケットである。ＳＡ（８１ａ）：ＳＶＲ（１８０）のネットワークアドレス［Ｄ］、ＤＡ（８２ａ）：ＰＣ（１５０）のネットワークアドレス［Ａ］である。ＳＳ（７０ａ）は、アドレスの付加等を行わず、中継を行う。

（企業内ネットワークアクセス許可後の異常検出・検出後のパケット中継処理決定手順）
図８は、本発明の実施形態に関する企業内ネットワークアクセス許可後の異常検出・検出後のパケット中継処理決定手順を示すフローチャートである。
（本発明の第１の実施形態）
本発明は、企業内のネットワークのセキュリティを向上させるためのもので、システム構成としては、図１に示すシステム構成を対象としている。
Ｉｎｔｅｒｎｅｔ（１）と企業内ネットワークの間のパケット送受信を行うゲートウェイ装置（ＧＷ（１０））と、Ｉｎｔｅｒｎｅｔ（１）からの不正アクセスを防御するためのＦＷ（２０）と、外部に公開されているサーバ（企業の公開ホームページが実装されているＷｅｂサーバやメールサーバなど）であるＳＶ１（３０）と、階層構造化されたスイッチネットワークを構成するＳＷ１（５０）、ＳＷ２（７０）（７０）、ＳＷ３（８０）と、企業内のネットワークに流れているパケットを検出、分析、排除を行うＳＳ１（７０Ａ）〜６（７０ａ〜７０ｃと８０ａ〜８０ｃ）、そのＳＳ１（７０Ａ）〜６（７０ａ〜７０ｃと８０ａ〜８０ｃ）に対して、管理や情報収集制御、中継動作制御等を行う管理サーバ(ＮＭＳ（１７０）（１７０）)、端末（ＰＣ１（１５０）（１５０）、ＰＣ２（１１０）、ＰＣ３（１６０）、ＰＣ４（１２０））、部門サーバ（ＳＶ３（１３０）、ＳＶ４（１４０）（１４０））、無線ＬＡＮのアクセスポイントであるＡＰ１（９０）、ＡＰ２（１００）などから構成されている。

ＳＳ１（７０Ａ）〜６（７０ａ〜７０ｃと８０ａ〜８０ｃ）は、ネットワークのインタフェースを最低２個有しており、ＰＣ１（１５０）（１５０）、ＰＣ３（１６０）とＳＷ１（５０）間や、ＡＰ１（９０）、ＡＰ２（１００）とＳＷ２（７０）（７０）、ＳＷ３（８０）間、ＳＶ３（１３０）、ＳＶ４（１４０）（１４０）とＳＷ２（７０）（７０）、ＳＷ３（８０）間等に配置する。ＰＣ１（１５０）〜４（１５０、１１０、１６０、１２０）が、企業内ネットワークやＩｎｔｅｒｎｅｔ（１）にアクセスする際には、このＳＳ１（７０Ａ）〜６（７０ａ〜７０ｃと８０ａ〜８０ｃ）を経由してアクセスするように、配置しておく。

ＳＳ１（７０Ａ）〜６（７０ａ〜７０ｃと８０ａ〜８０ｃ）は、性能によっては、ＳＷ１（５０）とＳＷ２（７０）（７０）の間においても良いし、また、ＳＷ２（７０）,3内にその機能を持たせても良い。

次に、ＳＳ１（７０Ａ）〜６（７０ａ〜７０ｃと８０ａ〜８０ｃ）内のパケット送受信の動作を、図２を元に説明する。
ＳＳ１（７０Ａ）〜６（７０ａ〜７０ｃと８０ａ〜８０ｃ）に向けて送信されたパケットは、ＰＭＤ１（７０１）、ＰＨＹ１（７０３）、ＳＥＬ１（７０５）を経由して、ＭＡＣ１（７０７）に受信される。ＭＡＣ１（７０７）で受信したパケットは、ＭＰ（７１０）の制御に基づいて、ＲＡＭ（７３０）に書き込まれる。ＮＶＲＡＭ（７２０）に書かれているプログラムに従い、その受信したパケットのアドレスやデータなどの各フィールドが検査される。検査結果、遮断・通過がＭＰ（７１０）により判断され、遮断と判断された場合には、ＲＡＭ（７３０）内のパケットバッファをリリースする。通過と判断された場合には、ＲＡＭ（７３０）内のパケットバッファを読み出し、ＭＡＣ２（７０８）へ送信要求をＭＰ（７１０）より行う。ＭＡＣ２（７０８）では、メディアクセスを行い、ＳＥＬ２（７０６）、ＰＨＹ２（７０４）、ＰＭＤ２（７０２）を経由して、パケットが送信される。

ＭＰ（７１０）が何らかの要因で動作できなくなった場合や、ＮＭＳ（１７０）（１７０）より検出のみを行い、パケット遮断は行わないという設定がされた場合には、ＳＥＬ１（７０５）、ＳＥＬ２（７０６）は、受信パケットはＭＡＣ１（７０７）、ＭＡＣ２（７０８）とＳＷ（７０９）両方に出力し、送信はＳＷ（７０９）からのみのパケットをＰＨＹ１（７０３）、ＰＨＹ２（７０４）へ転送するよう動作する。

低コスト化する場合には、ＳＥＬ１（７０５）、ＳＥＬ２（７０６）、Ｗ（７０９）を省いた構成も可能である。
企業内に、悪意を持ったユーザの端末（ここでは、ＰＣ１（１５０）（１５０））が、他部門のサーバ（ＳＶ４（１４０）（１４０））にアクセスしようとした場合に、どう防御するのかを、図３から図８を使って説明する。

企業内の内部ネットワークでは、接続される端末が正当なものかどうかを検出する手段として、ＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を使って行う場合が多い。あらかじめ、端末のメディアアクセス用のアドレス（一般的にはＭＡＣアドレスと呼ばれる）を登録しておき、そのアドレス以外の端末に対しては、ネットワークアドレス（一般的にはＩＰアドレス）を付与させないことで、内部ネットワークにアクセスさせない仕組みがある。

また、それに認証をあわせた仕組みを組み合わせることで、操作者自身の検査を行うことも可能である。しかし、この仕組みでは、悪意のユーザは、ＤＨＣＰによるアドレス獲得ではなく、静的にネットワークアドレスを設定してしまうと、ＳＷ１（５０）にＭＡＣアドレスのフィルタリング機能が無い限り、内部ネットワークアクセスを止めることができない（図５）。ＳＶ４（１４０）では、ＰＣ１（１５０）からのアクセスに対して、認証が必要となっていたとしても、何らかの手段によって、ユーザＩＤやパスワードを入手されてしまうと、アクセス可能となってしまう。

検疫システムを有しているネットワークにおいても、ＤＨＣＰの仕組みを利用した検知では、同様の問題が発生する。そこで、検疫システムに認証機能を有し、Ｖｉｒｔｕａｌ ＬＡＮにより、検疫されないＰＣには、内部ネットワークアクセスを禁止できるSWとすると、認証されない限り内部ネットワークにアクセスできず、Ｖｉｒｔｕａｌ ＬＡＮが正しく設定されていれば、他部門のＳＶＲに対してアクセスすることはできない。しかし、この仕組みを構築するためには、全ての企業内のＳＷにその機能をもたせる必要があり、現状のＳＷがその機能をササポートしていなかった場合、装置交換を行う必要がある。また、一旦、正しく認証されてしまうと、同一Ｖｉｒｔｕａｌ ＬＡＮグループ内には、自由にアクセス出来てしまう恐れがある。

本発明では、ＰＣ１（１５０）とＳＷ２（７０）間に、ＳＳ１（７０Ａ）（７０ａ）を挿入することで、これらの課題を解決できる。
ＰＣ１（１５０）が、内部ネットワークに物理的に接続を行う。その際、ネットワークアドレスは静的に設定（アドレス［Ａ］)されており、ＤＨＣＰの仕組みを利用しない不正な端末である。そのＰＣ１（１５０）が、他部門のサーバであるＳＶ４（１４０）(アドレス［Ｄ］)へアクセスするパケットを送信する。そのパケットは、図７の（１）の構成をとっていたとする。（１）パケットを受信したＳＳ１（７０Ａ）（７０ａ）は、そのメディアアクセス用アドレスと、［Ａ］のアドレスを取り出し、ＮＭＳ（１７０）に対して、（２）のパケットで問い合わせを行う。

ＮＭＳ（１７０）では、ＰＣ１（１５０）が登録されていた端末であるか否かを（３）のパケットでＳＳ１（７０Ａ）（７０ａ）に通知する。アドレスだけで不正かどうかは、分からない場合には、ＮＭＳ（１７０）は、（４）のパケットを使用して、ＰＣ１（１５０）の内部情報を読み出す。ＳＳ１（７０Ａ）（７０ａ）では、ＮＭＳ（１７０）からのパケットであることから、それを受信し、そのパケットフォーマットから、［Ｂ］［Ｃ］のヘッダを削除して、ＰＣ１（１５０）に（５）のパケットを送信する。

ＰＣ１（１５０）はそのパケットの応答を（６）のパケットでＮＭＳ（１７０）に送信する。ＳＳ１（７０Ａ）（７０ａ）では、（６）のパケットに、あて先［Ｃ］、送信元［Ｂ］のヘッダ情報を付加した（７）パケットを送信する。（４）から（７）を繰り返すことで、ＰＣ１（１５０）が正しい端末であるとなった後、ＮＭＳ（１７０）はＳＳ１（７０Ａ）に対して、ＰＣ１（１５０）の中継ルールを（８）のパケットで通知する。

その後、ＰＣ１（１５０）がＳＶ４（１４０）に対してアクセスし、その中継が許可されていれば、（１）のパケットはそのまま中継し、またその応答の（９）のパケットもそのまま中継する。中継ルールとして、ＰＣ１（１５０）からＳＶ４（１４０）へのアクセスは破棄となっていた場合には、（１）のパケットはＳＳ１（７０Ａ）（７０ａ）にて破棄する。

企業内ネットワークアクセス許可後の異常検出・検出後のパケット中継処理決定手順を図８を元に説明する。
１（Ｓ８１）：図７の（８）パケットを使って、ＮＭＳ（１７０）からＳＳ１（７０Ａ）（７０ａ）に対して、中継ルールの設定が行われる。中継ルールには、ファイヤーウォールと同様の、アドレスやプロトコル、流量、データの内容、それぞれの組み合わせによる遮断、通過ルールの設定方法以外に、アノーマリ方と呼ばれる、不正アクセスの通信パターンを指定する場合があり、いずれも、ＳＳ１（７０Ａ）（７０ａ）は対応可能である。中継、遮断ルールには、そのルールに該当するパケットを検出した際の、適応ルールも設定される。この適用ルールには、検出後、その送信元アドレスのパケットを全て破棄、該当パケットのみ破棄、該当パケットのみ中継、中継レートを抑制して中継、等があり、これらを組み合わせた適用ルールも設定できる。
また、中継ルールは、随時見直し、アップデートされる仕組みを有する。
２（Ｓ８２）：ＳＳ１（７０Ａ）（７０ａ）は、受信パケットをキャプチャし、指定された中継ルールとの比較を行う。
３（Ｓ８３）： 比較結果、中継ルールに違反したパケットを検出したかどうかを検証し、違反が発見されれば、４（Ｓ８４）のプロセスに進み、発見できなければ、２（Ｓ８２）の受信パケットの検査処理に戻る。

４（Ｓ８４）： 違反内容に基づいた適用ルールを読み出す。
５，６（Ｓ８５，Ｓ８６）：適用ルールが、遮断であった場合、中継処理を停止させる。
５，７（Ｓ８５，Ｓ８７）：適用ルールが、限定されたパターンのみ中継動作となっていた場合、そのルールを、中継処理に設定する。
８（Ｓ８８）： 不正検出したこと、その内容をＮＭＳ（１７０）へ送信する。
これによって、不正な動作を検出し、企業内ネットワークの内部からの不正アクセスを防止し、不正パケットの保存を行うことが可能となる。
ＳＳ１（７０Ａ）は、ＰＣ１（１５０）に対しては、送信元アドレスにＳＳ１（７０Ａ）自身のアドレスをセットしたパケットは送信しないことで、ＰＣ１（１５０）にその存在を検出できなくし、ＳＳ１（７０Ａ）に対する内部からの攻撃をできなくできる。

また、同様にＮＭＳ（１７０）からのパケットで、ＳＳ１（７０Ａ）宛のパケットは、単純なアドレス比較のみで破棄することで、外部からも見えなくすることができる。

また、ＮＭＳ（１７０）とＳＳ１（７０Ａ）間のパケットを、暗号化し、かつ、パケットデータのハッシュ値を持たせたパケットとすることで、ＳＳ１（７０Ａ）に対する中継動作ルール等の設定の盗聴や改竄から防ぐ仕組みを設けることができる。

ＳＳ１（７０Ａ）は、ＰＣ１（１５０）から受信するパケットの単位時間当たりのデータ量（Ｘ ｂｉｔ／ｓｅｃ）を監視している。また、ＳＳ１（７０Ａ）は、ＮＭＳ（１７０）より、単位時間当たりの最大データ量（Ｙ ｂｉｔ／ｓｅｃ）が設定されている。また、Ｘ＝＞Ｙとなった場合の、制御方法もＮＭＳ（１７０）からＳＳ１（７０Ａ）に設定されている。例えば、越えた部分（Ｘ−Ｙ）のパケットを破棄する、超えないように中継パケット送出時間の間隔を調整し、Ｙに抑える。ある一定時間、ＰＣ１（１５０）から受信したパケットの中継を停止させる。などが設定される。単位時間当たりの最大データ量は、複数の値が設定でき、Ｙ１ ｂｉｔ／ｓｅｃでは、越えた部分を破棄する、Ｙ２ ｂｉｔ／ｓｅｃの場合には、全ての受信パケットを破棄するといった設定も可能である。

ＰＣ１（１５０）が、不正プログラムがインストールされ、社内のサーバＳＶ２（６０）にＤｏＳ攻撃等の異常トラフィックのパケットを発行した場合、ＳＳ１（７０Ａ）では、受信データ量が、閾値Ｙ２を越えたことを検知し、ＳＳ１（７０Ａ）では、ＰＣ１（１５０）からの受信パケットを全て破棄する。これによって、ＰＣ１（１５０）からＳＶ２（６０）に対する大きなトラフィックを抑えることができ、ＳＶ２（６０）のサービス停止、他の正常なトラフィックの保護等が可能となる。

この仕組みにより、従来、ＶｏＩＰ技術を使ったＩＰ電話等遅延や帯域不足に敏感なトラフィックを保護するために、データ通信と異なるネットワークを構築していたが、同一ネットワークに接続できるようになる。

なお、大量のパケットが送られてきた場合、データ量の監視処理が、ＭＰ（７１０）の処理能力を超えてしまうと、ＭＰ（７１０）の動作が不能となる場合があるが、ＳＳ１（７０Ａ）内のSWによりデータ量の監視を行わせることで、ＭＰ（７１０）には処理能力は不要となり、ＳＳ１（７０Ａ）自体がサービス停止になることを防ぐことが可能である。

（他の実施形態）
センサーで実現する機能は、端末とＬＡＮスイッチ間のみではなく、ＬＡＮスイッチとＬＡＮスイッチ間に置くことも可能である。
また、スイッチ自身や、無線ＬＡＮのアクセスポイントに、ＳＳ１（７０ａ）の機能を実装することもできる。
ＮＭＳ（１７０）は、内部ネットワークのみならず、企業内ネットワークのセキュリティを管理、監視するサービスを提供する事業者に、NMSを置くことも可能である。
センサー自身は、小型化が可能であり、ＬＡＮケーブルの一部や中継コネクタとして実現可能である。
センサー経由されないアクセスに関しては、ＰＣとＳＷ間以外に、さらに、ＳＷとＳＷの間にも、センサーを配備し、初期のセンサーとＮＭＳ間のパケットを監視し、そのやり取りが行われていないまま、流れてきたパケットに関しては、中継しないようにすることで、防止することができる。

ＮＭＳでは、全てのセンサーの監視状況を収集し、不正アクセス（未知のウィルスや乗っ取り、ボットネト等に犯されたＰＣ）のパケットの流れ方を学習することで、過去に発生した不正アクセスに類似したパケットの流れを検知、排除できる仕組みをもつネットワークセキュリティを提供できる。

本発明の実施形態に関するシステム構成図。 本実施形態におけるセンサー機器のハードウェア構成図。 正常なＰＣがネットワークアクセスできるようになるまでの手順（検疫なし）。 正常なＰＣがネットワークアクセスできるようになるまでの手順（検疫あり）。 悪意のＰＣがネットワークアクセスできるようになるまでの手順（検疫なし）。 悪意のＰＣがネットワークアクセスできるようになるまでの手順（検疫あり）。 本発明の実施形態におけるパケットフォーマット。 本実施形態における企業内ネットワークアクセス許可後の異常検出・検出後のパケット中継処理決定手順を示すフローチャート。

符号の説明

１…インターネット網
１０…ゲートウェイ
２０…ＦＷ
３０，６０，１３０，１４０…サーバ
４０…内部ネットワーク
５０，７０，８０…ネットワーク機器
７９ａ，７０ｂ，７０ｃ，８０ａ，８０ｂ，８０ｃ…ネットワークセンサー
１１０，１２０，１５０，１６０…パーソナルコンピュータ
９０，１００…アクセスポイント
１７０…ネットワークマネージメントサーバ

Claims (5)

1. 企業内ネットワークに複数が分散配置され、端末と前記ネットワーク間に挿入され、前記端末と前記ネットワーク間のパケットを中継するとともに、ネットワーク管理サーバからの設定に基づき、前記ネットワーク上を流れるパケット情報の検出、および前記ネットワーク管理サーバへの通知、該当するパケットのフィルタリングを行う複数のセンサーと、
   前記複数のセンサーの各々に情報収集及び遮断のためのルールを設定し、前記複数のセンサーから収集した情報を基に情報漏洩や不正アクセスを検知し、該当するパケットを遮断するよう前記センサーに通知するネットワーク管理サーバと、
   前記センサーと前記ネットワーク管理サーバ間は、カプセル化されたパケットを利用する
   ことを特徴とするネットワークセキュリティシステム。
2. 前記ネットワーク管理サーバは、ＤＨＣＰサーバあるいは認証機器と連動し正規のクライアントのネットワークアドレスをリストアップするとともに、
   前記センサーは、下位ネットワークから受信したパケットのネットワークアドレスを前記ネットワーク管理サーバに通知し、
   前記ネットワーク管理サーバは、前記センサーから送られてきたネットワークアドレスが、先のリストに存在しない場合、ある決められたパケットのみ、元のパケットに、前記センサーのアドレスと前記ネットワーク管理サーバのアドレスを付加したカプセル化パケットを生成し、前記ネットワーク管理サーバへ送信するとともに、
   前記ネットワーク管理サーバは、前記センサーから送信された前記カプセル化パケットの元パケットの送信端末に対する内部のソフトウェア構成を確認し、この確認結果をもとにプログラムのアップデートを行う検疫システムを動作させる
   ことを特徴とする請求項１に記載のネットワークセキュリティシステム。
3. 前記センサー自身のネットワークアドレスは、前記ネットワーク管理サーバのみで管理し、
   前記センサーでは、自分宛のパケットの送信元アドレスが登録されているネットワーク管理サーバのアドレスと一致しなかった場合、前記パケットを破棄する
   ことを特徴とする請求項１に記載のネットワークセキュリティシステム。
4. 前記センサーと前記ネットワーク管理サーバ間の通信は、暗号化とともに、ハッシュによるパケット情報が設定される
   ことを特徴とする請求項１に記載のネットワークセキュリティシステム。
5. 前記センサーは、前記下位ネットワークからのパケット流量を監視し、あらかじめ前記ネットワーク管理サーバにて決められた流量を超えた場合、前記パケット転送間隔を前記あらかじめ決められた流量になるように制御する
   ことを特徴とする請求項２に記載のネットワークセキュリティシステム。

Images