JP2008271339A - セキュリティゲートウェイシステムとその方法およびプログラム - Google Patents

Abstract

【課題】一方のネットワークからの不正な通信データがゲートウェイに侵入した場合であっても、当該通信データの他方のネットワークへの侵入を阻止する。
【解決手段】非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２は、実計算機の物理的なハードウェア上に構成される仮想計算機としてそれぞれ実現され、標準プロトコル通信部２０，２５により、仕様が公開されている標準プロトコルを用いた非セキュアネットワーク１とセキュアネットワーク２に接続される。各サブゲートウェイ１１，１２の非標準プロトコル通信部２２，２３間では、仕様が公開されていない非標準プロトコルを用いてデータ授受を行い、非標準側と標準側の間におけるデータ授受は、アプリケーション層のみで行う。プロトコル変換部２１，２４は、中継許可設定テーブル３０，３１を参照して通信データの中継許可がある場合にのみプロトコル変換を行う。
【選択図】図２

Description

本発明は、標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するセキュリティゲートウェイシステムとその方法およびプログラムに関するものである。

ネットワーク通信技術の分野においては、デファクトスタンダードのインターネットプロトコル（ＩＰ）を用いて通信を行うことにより、メーカ独自の通信プロトコルを用いた独立ネットワーク／特定のグループに対するサービスから、インターネット全体へのサービス提供が可能となり、世界中の人々にサービスを提供できるようになっている（例えば、非特許文献１参照）。

このインターネットプロトコル（ＩＰ）は、開放型相互接続システム（Open Systems Interconnection）の１つの例であり、その仕様が公開され、誰でも入手できるようになっている。そして、この公開された技術を用いて通信を行うハードウェアやソフトウェアをもとに、標準的なインターネット上のサービスが提供され、これらもまた誰でも入手し利用することができるようになっている（例えば、非特許文献２、３参照）。

このように標準化されて誰でもサービスを受ける手段を得ることができる状況は、企業活動などにあてはめた場合、通信の秘密性や、企業のコンピュータシステムの安全性を損なうおそれがあるため、これらの問題を回避するためのセキュリティ方式も多数考案されて実用化されている。

一般的なセキュリティ装置では、開放型相互接続システムを実現するための階層化された通信レイヤに応じたセキュリティ方式が採用されている。

インターネットプロトコル（ＩＰ）では、通信を行う計算機に割り振られた固有のＩＰアドレスとプロトコル番号、通信ポートなどが付加されたデータ（パケット）の送受信により通信が行われる。安全性を確保するために、許可されていない計算機からの通信の遮断（パケットフィルタリング）を行う手法が用いられる。

このパケットフィルタリングにおいては、ネットワーク間を接続する装置（ルータ）に、許可するＩＰアドレスやプロトコル番号や通信ポートなどを設定する。そして、ルータにより、許可設定されている情報に基づいてデータを通過させるかを決定することで、安全性の確保を行うものである。しかしながら、開放型相互接続システムの下位層に位置するデータリンク層やネットワーク層で実施するパケットフィルタリングは、複雑な条件の設定とコントロールができないことから安全性の強度が低いという欠点がある。

一方、ファイアウォールは、ネットワークの相互接続を行うルータよりさらに安全性の強度が高い装置である。ファイアウォールは、ＩＰフィルタリングによる安全性確保の欠点を解決するために、開放型相互接続システムの通信層のさらに上位に位置する通信レイヤで安全性の確保を行う。

このファイアウォールとしては、例えば、トランスポート層などで安全性を確保するためのトランスポートレベルプロキシが存在するが、さらに上位層のための手法として、アプリケーション層などで安全性を確保するためのアプリケーションレベルプロキシが存在する。このアプリケーションプロキシは、アプリケーションゲートウェイとも呼ばれ、プロキシ機能の中で最も安全性が高くインテリジェントなファイアウォール機能である。

非特許文献４には、ネットワーク上の脅威（コンピュータ犯罪、プライバシー問題）などから企業データや個人情報を守るための適切な処置を行い適切な企業活動を遂行するための方法が示されている。その代表的なものが上記のようなファイアウォールである。

インターネットと接続する企業ネットワークの接続点にファイアウォールを設置して、ネットワークを通過するパケットのフィルタリングや提供すべきインターネットサービスに制約をかけることにより、外部の脅威から企業内ネットワークを守ることができる。

このファイアウォールもまたコンピュータで構成され、ソフトウェア（ファームウェアも含む）で処理され実現されている。

一般的に、ソフトウェアには不適合が内在しており、この不適合を悪用するセキュリティホールが発見されるとファイアウォールの機能が損なわれ、しいては企業内のネットワークの安全性が崩れてしまう。このため、定期的な保守などが必要になってくる（例えば、非特許文献５参照）。

また、ファイアウォールは、パケットのデータの通過を制限するだけであるため、外部からの不正な攻撃に対しての防御はできるが、外部からのアクセスを許可している場合に侵入を防止することは難しい。このため、ファイアウォールとは別に不正侵入の検知を行うシステムとして、不正侵入検知システム(Intrusion Detection System)が使われている。この不正侵入検知システムは、不正侵入の検知はできるが不正侵入を防御することはできないため、検知したときにファイアウォールを停止させるなどの組み合わせで構成するケースが多い（例えば、非特許文献６参照）。

特開２０００−１７２５９７ 「TCP/IPによるネットワーク構築Vol.1 原理・プロトコル・アーキテクチャ」、Douglas Comer 著、村井純・楠本博之訳、共立出版株式会社、ISBN4-320-02667-5 「TCP/IPプロトコル徹底解析」、Paul Simoneau著、都丸慶介訳、日経BP社、ISBN4-8222-8037-3 「マスタリングTCP/IP入門 第２版」、竹下隆史・村山公保・荒井透・苅田幸雄著、オーム社開発局、ISBN4-274-06257-0 「イントラ＆インターネットセキュリティ」、杉本隆洋著、オーム社開発局、ISBN4-274-06162-0 「セキュリティ・ホールとの新たな闘い」、仙石誠・八木玲子・高橋秀和著、ISSN0289-6508、日経BP社、日経バイト2004.7号 VOL254 侵入検知システムhttp://eazyfox.homelinux.org/Security/Security05.html サーバ仮想化技術導入に当たっての評価ポイント 松本 健 著 野村総合研究所http://www.nri.co.jp/opinion/g_souhatsu/pdf/gs20050104.pdf Intelの仮想化技術「Vanderpool Technology」とは 元麻布 春男 著 アイティメディア株式会社http://www.atmarkit.co.jp/fsys/kaisetsu/054vanderpool/vanderpool.html Linux World Expo/Tokyo 2005 - Linuxと最新サーバ仮想化技術 後藤 大地 著 MYCOMジャーナル 毎日コミュニケーションズ 仮想化テクノロジーの動向と未来著者：日本ヒューレット・パッカード 森田 宏 インプレス Think-IThttp://www.thinkit.co.jp/free/tech/29/3/1.html

しかしながら、ファイアウォールは、概して、１台のコンピュータと、このコンピュータを稼動させるための１つのオペレーティングシステムおよび１つのファイアウォールソフトウェアで構成される装置であることから、ソフトウェアの不適合や新たに発覚したセキュリティホールを突いてくる安全上の脅威については無防備である。このため、社会インフラなどの公共性が高い制御システムの安全性を確保するためには、未知の脅威についても遮断するための仕組みが必要不可欠である。

また、ファイアウォールなどのセキュリティ機器は、新たに発覚するセキュリティホールなどの対策のため日頃からの保守が必要不可欠である。一般的には、保守のためにセキュリティ機器のメーカが提供するソフトウェアのアップデートを行わなければならず、このアップデート自身も公共のネットワークであるインターネットを通じて行われる。つまり、セキュアなネットワーク内にある装置であるにも関わらず、最も安全性に欠けるネットワークに接続しなければならないという矛盾が生じる（例えば、非特許文献５参照）。

特許文献１では、外部ネットワークとの通信インターフェースにＬＡＮを用いてＴＣＰ／ＩＰでの通信を行い、内部のネットワークへはプロトコル変換サーバ機能を介してシリアル通信を実施する通信方法が開示されている。この特許文献１においてはまた、中継する過程で各種のフィルタリングによる安全性の確保が行われているが、不正な通信データが装置に一旦侵入してしまうと、標準的なプロトコルを用いているために、その先に存在する、安全性を確保しなければいけない装置に容易にアクセスできてしまうため、安全性や信頼性の点で不安が残っている。特に、非特許文献５で示されているような、新たに発覚するセキュリティホールなどの新たな脅威に対する有効な防御手段は確立されていない。

ネットワーク間を接続するセキュリティ装置には、以上のように、高い安全性や信頼性が求められるが、そのような高い安全性・信頼性を実現できたとしても、それと引き替えに構成が複雑化して高価な装置となることは望ましくない。

本発明は、上述した課題を解決するために提案されたものであり、その目的は、標準化され仕様が公開されている標準プロトコルを利用する複数のネットワーク間を接続するゲートウェイにおいて、一方のネットワークからの不正な通信データがゲートウェイに侵入した場合であっても、安価に実現可能な簡素な構成で当該通信データの他方のネットワークへの侵入を阻止可能とすることにより、セキュリティ上の安全性・信頼性が高く、しかも、経済性に優れたセキュリティゲートウェイシステムとその方法およびプログラムを提供することである。

本発明は、上記目的を達成するために、ハードウェアの仮想化を行う技術に着目して、実計算機の物理的なハードウェア上に仮想計算機としてそれぞれ実現される２つのサブゲートウェイを２つのネットワークにそれぞれ接続し、サブゲートウェイ間におけるデータ授受を非標準プロトコルにより行うと共に、サブゲートウェイ内における非標準側と標準側の間におけるデータ授受をアプリケーション層のみで行うことにより、一方のネットワークからの不正な通信データが一方のサブゲートウェイに侵入した場合に、当該通信データの他方のサブゲートウェイへの侵入を阻止できるようにしたものである。なお、ハードウェアの仮想化を行う技術としては、既存の各種の方式が採用可能である（例えば、非特許文献７〜１０参照）。

本発明のセキュリティゲートウェイシステムは、標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するセキュリティゲートウェイシステムにおいて、実計算機の物理的なハードウェア上に構成される仮想ハードウェアとその上で稼動する仮想ハードウェア用オペレーティングシステムで構成される仮想計算機としてそれぞれ実現され、接続対象となる２つのネットワークにそれぞれ接続される２つのサブゲートウェイを有し、これらのサブゲートウェイが次のように構成されたことを特徴としている。

各サブゲートウェイは、標準プロトコルを用いて自サブゲートウェイに接続された側のネットワークと通信を行う標準プロトコル通信部と、仕様が公開されていない非標準プロトコルを用いて他サブゲートウェイと通信を行う非標準プロトコル通信部と、標準プロトコルと非標準プロトコルの間で通信データのプロトコル変換を行うプロトコル変換部と、通信データに対する中継許可の有無を確認するための中継許可設定情報を保存する中継許可設定情報記憶部を有する。

２つのサブゲートウェイは、非標準プロトコル通信部間で非標準プロトコルを用いてデータ授受を行うように構成される。各サブゲートウェイの非標準プロトコル通信部は、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層を実装し、かつ、第１層から第６層までの範囲については非公開の独自の通信層を実装した独自の通信部であり、自サブゲートウェイ内における前記標準プロトコル通信部との間のデータ授受が、第７層のアプリケーション層のみで行われ、第１層から第６層までの範囲についてはデータ授受できないように構成される。各サブゲートウェイのプロトコル変換部は、通信データのプロトコル変換を行う際に、中継許可設定情報を参照して当該通信データの中継許可の確認を行い、中継許可がある場合にのみ当該通信データのプロトコル変換を行うように構成される。

また、本発明のセキュリティゲートウェイ方法およびセキュリティゲートウェイプログラムは、上記システムの特徴を、方法の観点、およびプログラムの観点からそれぞれ把握したものである。

以上のような本発明によれば、１台の実計算機の物理的なハードウェア上に仮想計算機としてそれぞれ構成された２つのサブゲートウェイは、２台の実計算機として構成した場合と同様に互いに分離・独立した計算機として動作し、サブゲートウェイ間の通信は、仕様が公開されていない非標準プロトコルにより行われる。したがって、ネットワークからの不正な通信データが一方のサブゲートウェイに侵入した場合には、通信データのプロトコル変換を行う段階で中継許可設定情報を参照して当該通信データが不正であることを容易に確認して、当該通信データを破棄するなどの適切な処理を行うことにより、他方のサブゲートウェイへの不正な通信データの侵入を阻止することができる。この場合、２つのサブゲートウェイを、１台の実計算機の物理的なハードウェア上に構成した２台の仮想計算機で実現することにより、２台の実計算機で実現した場合に比べて、システム全体の物理的なハードウェア構成を簡素化できる。

また、各サブゲートウェイ内における非標準側と標準側のプロトコル通信部間におけるデータ授受はアプリケーション層のみで行われ、プロトコル通信部の下位層は非標準側と標準側とで分離される。したがって、ネットワークからの不正な通信データが一方のサブゲートウェイの標準プロトコル通信部のセキュリティホールをついて侵入したような場合であっても、非標準プロトコル通信部側への侵入を阻止できるため、他方のネットワークへの不正な通信データの侵入を阻止することができる。

また、侵入した不正な通信データにより、一方のサブゲートウェイの中継許可設定情報が書き換えられてしまったような場合でも、サブゲートウェイ間の通信は、仕様が公開されていない非標準プロトコルで行われるため、当該不正な通信データは、他方のサブゲートウェイへ侵入して中継許可設定情報を書き換えることはできない。したがって、このような場合には、当該他方のサブゲートウェイ側で中継許可設定情報の不一致から異常を検出して当該不正な通信データを破棄するなどにより、他方のネットワークへの不正な通信データの侵入を確実に阻止することができる。

また、以上のように２つのサブゲートウェイ間で非標準プロトコルを用いて通信することによりセキュリティ上の安全性・信頼性を向上できる一方で、個々のサブゲートウェイとそれに接続されたネットワークとは標準プロトコルを用いて通信できる。そのため、正当なユーザは、専用のプロトコルや専用の言語に変換するなどの特別な操作を何等行うことなしに、一般的なネットワーク接続の場合と同様の手法により本発明のシステムで保護されたサーバを容易に利用可能であり、ユーザの操作性を損なうことはない。さらに、サブゲートウェイ間の通信機能は、専用かつ独自のトランスポート層ＡＰＩなどを利用することにより、容易に実現可能である。

本発明によれば、一方のネットワークからの不正な通信データがゲートウェイに侵入した場合であっても、安価に実現可能な簡素な構成で当該通信データの他方のネットワークへの侵入を阻止可能とすることにより、セキュリティ上の安全性・信頼性が高く、しかも、経済性に優れたセキュリティゲートウェイシステムとその方法およびプログラムを提供することができる。

以下には、本発明に係る実施形態について、図面を参照して説明する。ただし、ここで記載する実施形態は、本発明をなんら限定するものではなく、本発明の一態様を例示するものにすぎない。また、本発明は、典型的には、コンピュータをソフトウェアで制御することにより実現される。この場合のソフトウェアは、コンピュータのハードウェアを物理的に活用することで本発明の各計算機の機能および作用効果を実現するものであり、また、従来技術を適用可能な部分には好適な従来技術が適用される。さらに、本発明を実現するハードウェアやソフトウェアの具体的な種類や構成、ソフトウェアで処理する範囲などは自由に変更可能であり、例えば、本発明を実現するプログラムは本発明の一態様である。

［用語の説明］
以下には、本明細書中で使用している重要な用語のいくつかについて順次説明する。

「セキュアネットワーク」：
企業内などの特定のグループにサービスを提供するためのネットワークで、セキュリティを確保しなければならないネットワークである。
「非セキュアネットワーク」：
インターネットに代表される、不特定多数が接続し利用する広域ネットワークまたは公衆ネットワークである。

「標準プロトコル」：
国際標準化機構（ＩＳＯ）やＩＥＥＥ、ＡＮＳＩ、ＩＴＵ、ＩＥＣ、ＪＩＳなどの標準化機関で制定された規格に基づく通信プロトコルであり、その仕様が公開されており誰でも入手可能な通信プロトコルである。
「非標準プロトコル」：
標準化機関で制定されておらず、その仕様が公開されていない通信プロトコルである。

「非セキュアネットワークゲートウェイ」：
非セキュアネットワークと標準プロトコルを用いて通信を実施し、独自ネットワークと非標準プロトコルを用いた通信を行い、非セキュアネットワークと独自ネットワークの双方向中継を行うサブゲートウェイである。
「セキュアネットワークゲートウェイ」：
セキュアネットワークと標準プロトコルを用いて通信を実施し、独自ネットワークと非標準プロトコルを用いた通信を行い、セキュアネットワークと独自ネットワークの双方向中継を行うサブゲートウェイである。

「中継許可設定テーブル」
中継が許可される通信データか否かの確認を行うための設定データが記憶されているテーブルである。非セキュアネットワークゲートウェイ、セキュアネットワークゲートウェイが各々に所有している。
「プロトコル変換」：
標準プロトコルと非標準プロトコルの間の変換を意味する。

「不正侵入検知システム（不正アクセス監視システム）」：
ネットワークセキュリティの分野で使用されているＩＤＳ（Intrusion Detection System）と略称されるシステムであり、ネットワークを流れるパケットを監視して、不正アクセスと思われるパケットを発見したときに警報信号を出力・表示するとともに、当該通信記録を収集して保存する機能を有する。概して、不正侵入元（クラッカー）を追跡（トレース）する機能を有する。

［第１の実施形態］
［機能構成］
図１は、本発明を適用した第１の実施形態に係るセキュリティゲートウェイシステム（以下には、「システム」と適宜略称する）の機能構成を示す構成図である。

この図１に示すように、本実施形態のセキュリティゲートウェイシステム１０は、標準プロトコルを用いた広域ネットワーク（非セキュアネットワーク）１に接続する非セキュアネットワークゲートウェイ１１と、標準プロトコルを用いた内部ネットワーク（セキュアネットワーク）２に接続するセキュアネットワークゲートウェイ１２、という２つのサブゲートウェイから構成されている。ここで、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２は、１台の実計算機の物理的なハードウェア上に構成された各１台の仮想計算機としてそれぞれ実現されている。

非セキュアネットワークゲートウェイ１１は、標準プロトコル通信部２０、プロトコル変換部２１、非標準プロトコル通信部２２、および中継許可設定テーブル３０、から構成される。セキュアネットワークゲートウェイ１２は、非標準プロトコル通信部２３、プロトコル変換部２４、標準プロトコル通信部２５、および中継許可設定テーブル３１、から構成される。

以上のような各部の詳細は次の通りである。

標準プロトコルを用いた広域ネットワーク１は、公開された標準仕様の通信プロトコルを用いたネットワークであり、一般的に不特定多数が接続し利用できるインターネットなどのネットワークである。このため、悪意をもった参加者が接続し利用することも可能であり、セキュリティ上の安全性の低いネットワークである。前述したように、本明細書中では、このような安全性の低いネットワークを非セキュアネットワークと称する。

標準プロトコルを用いた内部ネットワーク２は、企業内など特定のグループにサービスすることを目的としたネットワークであり、セキュリティ上の安全性を確保して、標準プロトコルを用いた広域ネットワーク１からの侵入や攻撃に対して保護する必要性があるネットワークである。前述したように、本明細書中では、このような安全性の確保が要求されるネットワークをセキュアネットワークと称する。

本実施形態のセキュリティゲートウェイシステム１０は、以上のような安全性の低い非セキュアネットワーク１と安全性の確保が要求されるセキュアネットワーク２を、安全性を確保しながら接続するシステムである。この場合、非セキュアネットワーク１に接続するための通信、およびセキュアネットワーク２に接続するための通信は、いずれも、仕様が公開された標準プロトコルを用いて行われる。これに対して、セキュリティゲートウェイシステム１０における２つのサブゲートウェイ、すなわち、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２の間の通信は、仕様が公開されていない非標準プロトコルを用いて行われる。

非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２の各部２０〜２５は、以上のような、各ネットワーク１，２との標準プロトコルによる通信、およびこれらのサブゲートウェイ１１，１２間の非標準プロトコルによる通信を実現するために、次のような機能を有する。

非セキュアネットワークゲートウェイ１１において、標準プロトコル通信部２０は、標準プロトコルを用いて非セキュアネットワークゲートウェイ１１に接続された非セキュアネットワーク１と通信を行う機能を有し、非標準プロトコル通信部２２は、仕様が公開されていない非標準プロトコルを用いてセキュアネットワークゲートウェイ１２と通信を行う機能を有する。

セキュアネットワークゲートウェイ１２において、標準プロトコル通信部２５は、標準プロトコルを用いてセキュアネットワークゲートウェイ１２に接続されたセキュアネットワーク２と通信を行う機能を有し、非標準プロトコル通信部２３は、仕様が公開されていない非標準プロトコルを用いて非セキュアネットワークゲートウェイ１１と通信を行う機能を有する。

非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２において、各プロトコル変換部２１，２４は、標準プロトコルと非標準プロトコルの間でデータ変換を行う機能を有する。各プロトコル変換部２１，２４は、通信データのプロトコル変換を行う際に、中継許可設定テーブル３０，３１を参照して当該通信データの中継許可の確認を行い、中継許可がある場合にのみ当該通信データのプロトコル変換を行うように構成されている。

各中継許可設定テーブル３０，３１は、通信データに対する中継許可の有無を確認するための中継許可設定情報を保存する機能を有し、本発明における中継許可設定情報記憶部に相当する。中継許可設定情報としては、許可された発信元を示す発信元アドレスを含む発信元許可情報、および許可された行き先を示す行き先アドレスを含む行き先許可情報などが予め設定され、保存されている。

［コンピュータ資源構成］
図２は、図１に示すセキュリティゲートウェイシステム１０のコンピュータ資源構成を、ハードウェア資源およびオペレーティングシステム資源により示すと共に、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２における標準プロトコル通信部２０，２５と非標準プロトコル通信部２２，２３の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す構成図である。

図２に示すように、セキュリティゲートウェイシステム１０は、１台の実計算機のコンピュータハードウェアを構成する物理的なハードウェア４０と、この物理的なハードウェア４０を利用するためのオペレーティングシステム４１から構成されている。この場合、物理的なハードウェア４０には、ネットワークボードにより構成されてＩＰ通信を行うＬＡＮハードウェア１０１と独自の非ＩＰ通信を行う独自ハードウェア２０１が付加されている。なお、ＬＡＮハードウェア１０１は、標準プロトコル通信部２０，２５のハードウェア層を構成し、独自ハードウェア２０１は、非標準プロトコル通信部２２，２３のハードウェア層を構成する。

また、非セキュアネットワークゲートウェイ１１は、セキュリティゲートウェイシステム１０の実計算機の物理的なハードウェア４０上に構成される仮想ハードウェア５０とその上で稼動する仮想ハードウェア用オペレーティングシステム（ＯＳ）５１で構成される仮想計算機である。非セキュアネットワークゲートウェイ１１を構成するこの仮想計算機の内部に、標準プロトコル通信部２０、プロトコル変換部２１、非標準プロトコル通信部２２、および中継許可設定テーブル３０が構成される。

同様に、セキュアネットワークゲートウェイ１２もまた、セキュリティゲートウェイシステム１０の実計算機の物理的なハードウェア４０上に構成される仮想ハードウェア５０とその上で稼動する仮想ハードウェア用オペレーティングシステム（ＯＳ）５１で構成される仮想計算機である。セキュアネットワークゲートウェイ１２を構成するこの仮想計算機の内部に、非標準プロトコル通信部２３、プロトコル変換部２４、標準プロトコル通信部２５、および中継許可設定テーブル３１が構成される。

なお、このような仮想計算機を構成するための仮想化技術としては、非特許文献７〜１０に記載された技術を適用可能である。これらの既存の仮想化技術においては、いずれも、仮想化機構をもつマイクロプロセッサとその機能を利用するオペレーティングシステムを用いることにより、物理的な１台のコンピュータの内部に、複数の仮想化したコンピュータを構築可能である。

一方、図２に示すように、標準プロトコル通信部２０，２５は、標準プロトコルによる通信を行うために、開放型相互接続システム（ＯＳＩ）における第１層〜第７層の通信層、すなわち、ハードウェア層に位置するＬＡＮハードウェア１０１、データリンク層１０２、ネットワーク層１０３、トランスポート層１０４、セッション層１０５、プレゼンテーション層１０６、アプリケーション層１０７、を実装している。

非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２の標準プロトコル通信部２０，２５のネットワーク１，２への物理的な接続は、ハードウェア層に位置するＬＡＮハードウェア１０１を構成するネットワークボードにより行われる。仮想計算機として実現された非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２にとっては、これらの仮想計算機を構成する仮想ハードウェア５０および仮想ハードウェア用オペレーティングシステム（ＯＳ）５１により、ＬＡＮハードウェア１０１もまた、仮想化されたハードウェアとして動作することになる。

これに対して、非標準プロトコル通信部２２，２３は、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層２０７を実装し、かつ、第１層から第６層までの範囲については非公開の独自の通信層として、ハードウェア層に位置する独自ハードウェア２０１と独自プロトコルスタック層２０２を実装した独自の構成を有する。非標準プロトコル通信部２２，２３は、このように、第１層から第６層までの範囲について、非公開の独自の構成を有することから、標準プロトコル通信部２０，２５との間のデータ授受が、第７層のアプリケーション層２０７のみで行われ、第１層から第６層までの範囲については、データ授受できないようになっている。さらに、非標準プロトコル通信部２２，２３には、標準プロトコル通信部２０，２５が一般的に搭載している各種の標準サービスを行うアプリケーション（ftp,telnetなど）は搭載されない。

非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２の非標準プロトコル通信部２２，２３間の接続は、ハードウェア層に位置する独自ハードウェア２０１により行われる。仮想計算機として実現された非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２にとっては、これらの仮想計算機を構成する仮想ハードウェア５０および仮想ハードウェア用オペレーティングシステム（ＯＳ）５１により、独自ハードウェア２０１もまた、仮想化されたハードウェアとして動作することになる。

また、図２に示すように、プロトコル変換部２１，２４は、非標準プロトコル通信部２２，２３のアプリケーション層２０７により実現可能であるが、非標準プロトコル通信部２２，２３から分離して独立に構成してもよい。

［仮想計算機の分離・独立動作］
以上のような第１の実施形態に係るセキュリティゲートウェイシステム１０によれば、物理的なハードウェア４０上に仮想計算機としてそれぞれ構成される２つのサブゲートウェイ１１，１２は、２台の物理的なハードウェアにより構成した場合と同様に互いに分離・独立した計算機として動作する。以下には、このような仮想計算機の分離・独立動作について詳細に説明する。

まず、前述したように、本実施形態のセキュリティゲートウェイシステム１０は、このセキュリティゲートウェイシステム１０を構成する物理的なハードウェア４０とオペレーティングシステム４１から構成される。ハードウェア４０に付加されているハードウェアは、ＬＡＮ用のＬＡＮハードウェア１０１と独自通信を行う独自ハードウェア２０１である。

一般的に、物理的なコンピュータハードウェア上で実行するプログラムはアクセス権により保護されている。最も簡単な方式では、オペレーティングシステムが動作するモードの特権保護とアプリケーションが動作する一般保護の２レベルで保護される。さらに高度な方式としては、４層のリング保護方式が用いられている。

本実施形態においては、このようなリング保護方式を採用し、物理的なハードウェア４０上に搭載されるオペレーティングシステム４１をリング保護の最も特権レベルが高い動作モードとして、この物理的なハードウェア４０やそれに付加されたＬＡＮハードウェア１０１および独自ハードウェア２０１を管理する。

一方、オペレーティングシステム４１の上に構築される仮想ハードウェア５０はオペレーティングシステム４１により模擬される。この模擬された仮想ハードウェア５０上に搭載される仮想ハードウェア用オペレーティングシステム５１は、オペレーティングシステム４１に比べてリング保護の特権レベルが弱い保護で動作する。つまり、仮想ハードウェア５０上に構成される仮想計算機は、物理的なハードウェア４０に対しては、直接的なアクセス権が一切なく、物理的なハードウェア４０に対するアクセスは、必ずオペレーティングシステム４１を通して行われる。

本実施形態では、このような仮想ハードウェア５０を複数定義することにより、１つの物理的なハードウェア４０上に複数の互いに分離・独立した仮想計算機を構成することができる。構成された複数の仮想計算機は、互いに直接的なアクセスをすることができず、必ずオペレーティングシステム４１を介在してアクセスをすることになる。以上により、１台の実計算機の物理的なハードウェア４０上に仮想計算機としてそれぞれ構成された２つのサブゲートウェイ１１，１２は、２台の実計算機で構成した場合と同様に、それぞれ分離・独立した計算機として機能することになる。

［システム動作］
図３は、以上のような第１の実施形態に係るセキュリティゲートウェイシステム１０において、１台の実計算機の物理的なハードウェア４０上に仮想計算機としてそれぞれ構成された２つのサブゲートウェイ１１，１２の動作の概略を示すフローチャートである。

この図３に示すように、本実施形態に係るセキュリティゲートウェイシステム１０は、セキュリティゲートウェイ処理として、第１方向の中継処理（Ｓ１００）と第２方向の中継処理（Ｓ２００）という２方向の中継処理を行う。

ここで、第１方向の中継処理（Ｓ１００）は、標準プロトコルを用いた広域ネットワーク（非セキュアネットワーク）１から非標準プロトコルを用いた内部ネットワーク（セキュアネットワーク）２への中継処理である。また、第２方向の中継処理（Ｓ２００）は、非標準プロトコルを用いた内部ネットワーク（セキュアネットワーク）２から標準プロトコルを用いた広域ネットワーク（非セキュアネットワーク）１への中継処理である。

第１方向の中継処理（Ｓ１００）においては、標準プロトコルを用いた広域ネットワーク１からのデータ通信に応じて、まず、非セキュアネットワークゲートウェイ１１により、非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）を行う。すなわち、標準プロトコル通信部２０により標準プロトコルの通信データを受信して、プロトコル変換部２１により中継許可設定テーブル３０を確認した上で非標準プロトコルに変換し、非標準プロトコル通信部２２によりセキュアネットワークゲートウェイ１２に送信する処理を行う。この結果、非セキュアネットワークゲートウェイ１１からセキュアネットワークゲートウェイ１２への、非標準プロトコルを用いたデータ通信が行われる。

このような、非セキュアネットワークゲートウェイ１１からの非標準プロトコルを用いたデータ通信に応じて、セキュアネットワークゲートウェイ１２により、セキュアネットワークゲートウェイ送信処理（Ｓ１２０）を行う。すなわち、非標準プロトコル通信部２３により非標準プロトコルの通信データを受信して、プロトコル変換部２４により中継許可設定テーブル３１を確認した上で標準プロトコルに変換し、標準プロトコル通信部２５により標準プロトコルを用いた内部ネットワーク２に送信する処理を行う。この結果、セキュアネットワークゲートウェイ１２から標準プロトコルを用いた内部ネットワーク２への、標準プロトコルを用いたデータ通信が行われる。

また、第２方向の中継処理（Ｓ２００）は、標準プロトコルを用いた内部ネットワーク２からのデータ通信に応じて、まず、セキュアネットワークゲートウェイ１２により、セキュアネットワークゲートウェイ受信処理（Ｓ２１０）を行う。すなわち、標準プロトコル通信部２５により標準プロトコルの通信データを受信して、プロトコル変換部２４により中継許可設定テーブル３１を確認した上で非標準プロトコルに変換し、非標準プロトコル通信部２３により非セキュアネットワークゲートウェイ１１に送信する処理を行う。この結果、セキュアネットワークゲートウェイ１２から非セキュアネットワークゲートウェゥイ１１への、非標準プロトコルを用いたデータ通信が行われる。

このような、セキュアネットワークゲートウェイ１２からの非標準プロトコルを用いたデータ通信に応じて、非セキュアネットワークゲートウェイ１１により、非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）を行う。すなわち、非標準プロトコル通信部２２により非標準プロトコルの通信データを受信して、プロトコル変換部２１により中継許可設定テーブル３０を確認した上で標準プロトコルに変換し、標準プロトコル通信部２０により標準プロトコルを用いた広域ネットワーク１に送信する処理を行う。この結果、非セキュアネットワークゲートウェイ１１から標準プロトコルを用いた広域ネットワーク１への、標準プロトコルを用いたデータ通信が行われる。

なお、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２における上記のような各処理（Ｓ１１０、Ｓ１２０、Ｓ２１０、Ｓ２２０）において、プロトコル変換部２１，２４は、中継許可設定テーブル３０，３１を参照して、通信データの発信元や行き先が中継許可されていない場合には、当該通信データを破棄する。

［効果］
以上のような第１の実施形態に係るセキュリティゲートウェイシステムによれば、非セキュアネットワークからの不正な通信データがゲートウェイに侵入した場合であっても、安価に実現可能な簡素な構成で当該通信データのセキュアネットワークへの侵入を阻止可能とすることにより、セキュリティ上の安全性・信頼性が高く、しかも、経済性に優れたセキュリティゲートウェイシステムとその方法を提供することができる。以下には、この効果についてより詳細に説明する。

まず、１台の実計算機の物理的なハードウェア上に仮想計算機としてそれぞれ構成された非セキュアネットワークゲートウェイとセキュアネットワークゲートウェイは、２台の実計算機として構成した場合と同様に互いに分離・独立した計算機として動作し、これらのサブゲートウェイ間の通信は、仕様が公開されていない非標準プロトコルにより行われる。したがって、非セキュアネットワークからの不正な通信データが非セキュアネットワークゲートウェイに侵入した場合には、通信データのプロトコル変換を行う段階で中継許可設定テーブルを参照して当該通信データが不正であることを容易に確認して、当該通信データを破棄するなどの適切な処理を行うことにより、セキュアネットワークゲートウェイへの不正な通信データの侵入を阻止することができる。

これにより、セキュアネットワークの安全性を向上できるため、セキュリティ上の安全性・信頼性に優れたセキュリティゲートウェイシステムを実現できる。この場合、２つのサブゲートウェイを、１台の実計算機の物理的なハードウェア上に構成した２台の仮想計算機で実現することにより、２台の実計算機で実現した場合に比べて、システム全体の物理的なハードウェア構成を簡素化できるため、経済性に優れたセキュリティゲートウェイシステムを実現できる。

また、各サブゲートウェイ内における非標準プロトコル通信部については、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層を実装し、かつ、第１層から第６層までの範囲については非公開の独自の通信層と標準プロトコル通信部の下位層から分離しており、標準プロトコル通信部との間のデータ授受は第７層のアプリケーション層のみで行われる。そのため、一方の標準プロトコル通信部に侵入した不正な通信データが下位層から侵入することを阻止できる。

すなわち、一般的に、標準プロトコルを用いた場合、開放型相互接続システム（ＯＳＩ）の通信層は、自身のレイヤと同一のレイヤでデータの授受を行うことができる仕様となっている。このため、本実施形態と異なり、非セキュアネットワークに接続する通信部とセキュアネットワークに接続する通信部間を単純に標準プロトコルで接続した場合には、上位層への通信を迂回した下位層によるデータ中継が可能となってしまう。

これに対して、本実施形態においては、非セキュアネットワークに接続する標準プロトコル通信部と、セキュアネットワークに接続する標準プロトコル通信部の間のデータ通信を、開放型相互接続システム（ＯＳＩ）の第１層〜第６層までの範囲を仕様が公開されていない独自のものとして実装した非標準プロトコル通信部を介して行い、ＯＳＩの第１層〜第６層までの範囲で迂回した中継を行うことができないようにしている。このため、標準プロトコル通信部と非標準プロトコル通信部の間におけるデータ通信をＯＳＩの第7層のアプリケーション層のみにより行うことができる。

したがって、非セキュアネットワークからの不正な通信データが非セキュアネットワークゲートウェイの標準プロトコル通信部のセキュリティホールをついて侵入したような場合であっても、非標準プロトコル通信部側への侵入を阻止できるため、セキュアネットワークへの不正な通信データの侵入を阻止することができ、この点からも、セキュアネットワークの安全性を向上できる。

また、非セキュアネットワークから侵入した不正な通信データにより、非セキュアネットワークゲートウェイの中継許可設定テーブルが書き換えられてしまったような場合でも、サブゲートウェイ間の通信は、仕様が公開されていない非標準プロトコルで行われるため、当該不正な通信データは、セキュアネットワークゲートウェイへ侵入して中継許可設定テーブルを書き換えることはできない。したがって、このような場合には、当該セキュアネットワークゲートウェイ側で中継許可設定テーブルに保存された情報と当該不正な通信データに含まれる発信元や行き先の不一致から異常を検出して当該不正な通信データを破棄するなどにより、セキュアネットワークへの不正な通信データの侵入を阻止することができ、この点からも、セキュアネットワークの安全性を向上できる。

また、セキュアネットワークに接続されて各種のサービスを行っているサーバに対して、ＤｏＳ（Denial of Service attack）攻撃を受けた場合は、非セキュアネットワークゲートウェイ側がその影響を受けるが、非セキュアネットワークゲートウェイの非標準プロトコル通信部は、ＯＳＩの第七層に位置する、各種の標準サービスを行うアプリケーション（ftp,telnetなど）を搭載していない。そのため、ＤｏＳ攻撃のデータがセキュアネットゲートウェイ側へ中継されることはなく、セキュアネットワークのサーバへ攻撃が届くことはないため、サーバはサービスを継続して行うことができる。したがって、この点からも、セキュアネットワークの安全性を向上できる。

また、以上のように２つのサブゲートウェイ間で非標準プロトコルを用いて通信することによりセキュリティ上の安全性・信頼性を向上できる一方で、個々のサブゲートウェイとそれに接続されたネットワークとは標準プロトコルを用いて通信できる。そのため、正当なユーザは、専用のプロトコルや専用の言語に変換するなどの特別な操作を何等行うことなしに、一般的なネットワーク接続の場合と同様の手法（ftp, SQLなど）により本発明のシステムで保護されたサーバを容易に利用可能であり、ユーザの操作性を損なうことはない。さらに、サブゲートウェイ間の通信機能は、専用かつ独自のトランスポート層ＡＰＩなどを利用することにより、容易に実現可能である。

［セキュリティゲートウェイ処理の具体例］
以下には、上記のような第１の実施形態に係るセキュリティゲートウェイシステム１０による具体的なセキュリティゲートウェイ処理として、安全性を高めるための具体的なデータ処理手順の具体例について説明する。

図４〜図７は、図３に示す非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）、セキュアネットワークゲートウェイ送信処理（Ｓ１２０）、セキュアネットワークゲートウェイ受信処理（Ｓ２１０）、非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）、の処理手順の一例として、各サブゲートウェイ１１，１２でパケットデータの受信待ちを行うようにした処理手順をそれぞれ示すフローチャートである。

また、図８、図９は、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２の中継許可設定テーブル３０，３１に保存されるデータ構成の一例を示す図である。この例においては、中継許可設定テーブル３０，３１には、中継許可設定情報として、プロトコル番号、ポート番号、発信元アドレスを含む発信元許可情報と、ポート番号、行き先アドレスを含む行き先許可情報が保存されている。

なお、セキュリティゲートウェイシステム１０は、一般的に、複数の発信元や行き先を対象としたデータ中継を行うため、図８、図９に示すように、発信元許可情報や行き先許可情報においては、一般的に、複数の発信元アドレスや複数の行き先アドレスが設定される。

以下には、図４〜図７に示す各処理手順の詳細を、図８、図９に示すような中継許可設定テーブル３０，３１を用いた場合について、順次説明する。

図４に示すように、非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）において、非セキュアネットワークゲートウェイ１１の標準プロトコル通信部２０は、非セキュアネットワークゲートウェイ１１内の中継許可設定テーブル３０を参照し、発信元許可情報に従って、非セキュアネットワーク１からのパケットデータの受信待ちを行う（Ｓ１１１）。標準プロトコル通信部２０は、非セキュアネットワーク１からのパケットデータを受信すると（Ｓ１１２のＹＥＳ）、そのパケットデータをプロトコル変換部２１に受け渡す（Ｓ１１３）。

プロトコル変換部２１は、受け取ったパケットデータの発信元アドレスと、図８に示す中継許可設定テーブル３０の発信元許可情報の発信元アドレスとの照合を行い、一致する発信元アドレスがあるか否かを判定する（Ｓ１１４）。一致する発信元アドレスがない場合には（Ｓ１１４のＮＯ）、受け取ったパケットデータを破棄し（Ｓ１１５）、次のパケットデータの受信待ちを行うために、Ｓ１１０に戻る。

また、受け取ったパケットデータの発信元アドレスと一致する発信元アドレスが中継許可設定テーブル３０にある場合には（Ｓ１１４のＹＥＳ）、プロトコル変換部２１は、受け取ったパケットデータを、標準プロトコル形式から非標準プロトコル形式に変換して（Ｓ１１６）、変換後のパケットデータを非標準プロトコル通信部２２に受け渡す（Ｓ１１７）。

非標準プロトコル通信部２２は、図８に示す中継許可設定テーブル３０の行き先許可情報を参照して、行き先アドレスにセキュアネットワークゲートウェイ１２のアドレスが設定されている場合に、非標準プロトコルを用いた通信により、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３へパケットデータを送信する（Ｓ１１８）。

以上のような非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）により、非セキュアネットワーク１から標準プロトコル形式で非セキュアネットワークゲートウェイ１１が受け取ったパケットデータは、非標準プロトコル形式に変換されてセキュアネットワークゲートウェイ１２に受け渡される。

図５に示すように、セキュアネットワークゲートウェイ送信処理（Ｓ１２０）において、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３は、セキュアネットワークゲートウェイ１２内の中継許可設定テーブル３１を参照し、発信元許可情報に従って、非セキュアネットワークゲートウェイ１１からのパケットデータの受信待ちを行う（Ｓ１２１）。非標準プロトコル通信部２３は、非セキュアネットワークゲートウェイ１１の非標準プロトコル通信部２２からのパケットデータを受信すると（Ｓ１２２のＹＥＳ）、そのパケットデータをプロトコル変換部２４に受け渡す（Ｓ１２３）。

プロトコル変換部２４は、受け取ったパケットデータの発信元アドレスと、図９に示す中継許可設定テーブル３１の発信元許可情報の発信元アドレスとの照合を行い、一致する発信元アドレスがあるか否かを判定する（Ｓ１２４）。一致する発信元アドレスがない場合には（Ｓ１２４のＮＯ）、受け取ったパケットデータを破棄し（Ｓ１２５）、次のパケットデータの受信待ちを行うために、Ｓ１２０に戻る。

また、受け取ったパケットデータの発信元アドレスと一致する発信元アドレスが中継許可設定テーブル３１にある場合には（Ｓ１２４のＹＥＳ）、プロトコル変換部２４は、受け取ったパケットデータを、非標準プロトコル形式から標準プロトコル形式に変換して（Ｓ１２６）、変換後のパケットデータを標準プロトコル通信部２５に受け渡す（Ｓ１２７）。

標準プロトコル通信部２５は、図９に示す中継許可設定テーブル３１の行き先許可情報を参照して、行き先アドレスにセキュアネットワーク２内のアドレスが設定されている場合に、標準プロトコルを用いた通信により、セキュアネットワーク２の当該アドレスに対してパケットデータを送信する（Ｓ１２８）。

以上のようなセキュアネットワークゲートウェイ送信処理（Ｓ１２０）により、非セキュアネットワークゲートウェイ１１から非標準プロトコル形式でセキュアネットワークゲートウェイ１２が受け取ったパケットデータは、標準プロトコル形式に変換されてセキュアネットワーク２に送信される。

図６に示すように、セキュアネットワークゲートウェイ受信処理（Ｓ２１０）において、セキュアネットワークゲートウェイ１２の標準プロトコル通信部２５は、セキュアネットワークゲートウェイ１２内の中継許可設定テーブル３１を参照し、発信元許可情報に従って、セキュアネットワーク２からのパケットデータの受信待ちを行う（Ｓ２１１）。標準プロトコル通信部２５は、セキュアネットワーク２からのパケットデータを受信すると（Ｓ２１２のＹＥＳ）、そのパケットデータをプロトコル変換部２４に受け渡す（Ｓ２１３）。

プロトコル変換部２４は、受け取ったパケットデータの発信元アドレスと、図９に示す中継許可設定テーブル３１の発信元許可情報の発信元アドレスとの照合を行い、一致する発信元アドレスがあるか否かを判定する（Ｓ２１４）。一致する発信元アドレスがない場合には（Ｓ２１４のＮＯ）、受け取ったパケットデータを破棄し（Ｓ２１５）、次のパケットデータの受信待ちを行うために、Ｓ２１０に戻る。

また、受け取ったパケットデータの発信元アドレスと一致する発信元アドレスが中継許可設定テーブル３１にある場合には（Ｓ２１４のＹＥＳ）、プロトコル変換部２４は、受け取ったパケットデータを、標準プロトコル形式から非標準プロトコル形式に変換して（Ｓ２１６）、変換後のパケットデータを非標準プロトコル通信部２３に受け渡す（Ｓ２１７）。

非標準プロトコル通信部２３は、図９に示す中継許可設定テーブル３１の行き先許可情報を参照して、行き先アドレスに非セキュアネットワークゲートウェイ１１のアドレスが設定されている場合に、非標準プロトコルを用いた通信により、非セキュアネットワークゲートウェイ１１の非標準プロトコル通信部２２へパケットデータを送信する（Ｓ２１８）。

以上のようなセキュアネットワークゲートウェイ受信処理（Ｓ２１０）により、セキュアネットワーク２から標準プロトコル形式でセキュアネットワークゲートウェイ１２が受け取ったパケットデータは、非標準プロトコル形式に変換されて非セキュアネットワークゲートウェイ１１に受け渡される。

図７に示すように、非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）において、非セキュアネットワークゲートウェイ１１の非標準プロトコル通信部２２は、非セキュアネットワークゲートウェイ１１内の中継許可設定テーブル３０を参照し、発信元許可情報に従って、セキュアネットワークゲートウェイ１２からのパケットデータの受信待ちを行う（Ｓ２２１）。非標準プロトコル通信部２２は、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３からのパケットデータを受信すると（Ｓ２２２のＹＥＳ）、そのパケットデータをプロトコル変換部２１に受け渡す（Ｓ２２３）。

プロトコル変換部２１は、受け取ったパケットデータの発信元アドレスと、図８に示す中継許可設定テーブル３０の発信元許可情報の発信元アドレスとの照合を行い、一致する発信元アドレスがあるか否かを判定する（Ｓ２２４）。一致する発信元アドレスがない場合には（Ｓ２２４のＮＯ）、受け取ったパケットデータを破棄し（Ｓ２２５）、次のパケットデータの受信待ちを行うために、Ｓ２２０に戻る。

また、受け取ったパケットデータの発信元アドレスと一致する発信元アドレスが中継許可設定テーブル３０にある場合には（Ｓ２２４のＹＥＳ）、プロトコル変換部２１は、受け取ったパケットデータを、非標準プロトコル形式から標準プロトコル形式に変換して（Ｓ２２６）、変換後のパケットデータを標準プロトコル通信部２０に受け渡す（Ｓ２２７）。

標準プロトコル通信部２０は、図８に示す中継許可設定テーブル３０の行き先許可情報を参照して、行き先アドレスに非セキュアネットワーク１内のアドレスが設定されている場合に、標準プロトコルを用いた通信により、非セキュアネットワーク１の当該アドレスに対してパケットデータを送信する（Ｓ２２８）。

以上のような非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）により、セキュアネットワークゲートウェイ１２から非標準プロトコル形式で非セキュアネットワークゲートウェイ１１が受け取ったパケットデータは、標準プロトコル形式に変換されて非セキュアネットワーク１に送信される。

以上のような図４〜図７のセキュリティゲートウェイ処理によれば、第１の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２において、他方のサブゲートウェイからパケットデータを受信する際に、パケットデータの受信待ちを行い、パケットデータを受信する毎に当該パケットデータについて判定を行い、中継許可されているパケットデータのみを行き先のネットワークに中継することができる。

このような各サブゲートウェイでのパケットデータの処理は、１台の実計算機の物理的なハードウェア上に互いに分離・独立に構成されて各サブゲートウェイを実現する各仮想計算機でそれぞれ行われるが、各サブゲートウェイを各１台の実計算機でそれぞれ実現した場合と同様に、他方のサブゲートウェイの通信機能とは分離・独立して行われ、結果的にネットワーク分離される方式となる。そのため、ネットワーク間において、セキュリティ上で安全なデータ授受が実現できる。したがって、非セキュアネットワークに内在するセキュリティ上の脅威から、セキュアネットワークを保護することができ、セキュアネットワークの安全性を向上できる。

［第２の実施形態］
図１０は、本発明を適用した第２の実施形態に係るセキュリティゲートウェイシステムの機能構成を示す構成図である。この図１０に示すように、本実施形態のセキュリティゲートウェイシステム１０は、第１の実施形態の構成に、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２の非標準プロトコル通信部２２，２３からアクセス可能な共有メモリ１３を追加したものである。そして、非標準プロトコル通信部２２，２３同士が直接通信を行うことなく、共有メモリ１３へのアクセスを介してデータ授受を行うように構成されている。

図１１は、図１０に示すセキュリティゲートウェイシステム１０のコンピュータ資源構成を、ハードウェア資源およびオペレーティングシステム資源により示すと共に、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２における標準プロトコル通信部２０，２５と非標準プロトコル通信部２２，２３の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す構成図である。

この図１１に示すように、本実施形態のセキュリティゲートウェイシステム１０のコンピュータ資源構成は、第１の実施形態のコンピュータ資源構成（図２）に、実計算機の物理的なハードウェア４０から独立した外部メモリにより構成される共有メモリ１３を追加したものであり、他の構成は第１の実施形態と同様である。

以上のような構成を有する本実施形態に係るセキュリティゲートウェイシステム１０の動作の概略は、第１の実施形態と同様に、図３に示した通りであるが、本実施形態における具体的なデータ処理手順は、図１２〜図１５に示すようになる。すなわち、図１２〜図１５は、共有メモリ１３を用いた本実施形態における非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）、セキュアネットワークゲートウェイ送信処理（Ｓ１２０）、セキュアネットワークゲートウェイ受信処理（Ｓ２１０）、非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）、の処理手順の一例をそれぞれ示すフローチャートである。

以下には、図１２〜図１５に示す各処理手順の詳細について、順次説明する。

図１２に示すように、本実施形態の非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）において、非セキュアネットワークゲートウェイ１１の標準プロトコル通信部２０によりパケットデータの受信待ちを行い、プロトコル変換部２１によりパケットデータの発信元について中継許可の確認を行い、その結果に応じてパケットデータを破棄するかまたは非標準プロトコル形式に変換して非標準プロトコル通信部２２に受け渡すまでの一連の処理（Ｓ１１１〜Ｓ１１７）は、図４に示した同一符号の一連の処理（Ｓ１１１〜Ｓ１１７）と同様である。

本実施形態の非セキュアネットワークゲートウェイ受信処理（Ｓ１１０）においては、非標準プロトコル通信部２２が、受け取った非標準プロトコル形式のパケットデータを、セキュアネットワークゲートウェイ１２に送信せずに、共有メモリ１３に書き込む（Ｓ１１９）点で、図４に示した処理と異なる。すなわち、この処理（Ｓ１１９）において、非標準プロトコル通信部２２は、中継許可設定テーブル３０の行き先許可情報を参照して、共有メモリ１３における行き先に応じた対応領域に、パケットデータを書き込む。

図１３に示すように、本実施形態のセキュアネットワークゲートウェイ送信処理（Ｓ１２０）において、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３は、セキュアネットワークゲートウェイ１２内の中継許可設定テーブル３１を参照し、発信元許可情報に従って、共有メモリ１３における発信元に応じた対応領域を監視して、パケットデータの書き込みを監視し、パケットデータの書き込み待ちを行う（Ｓ１２９１）。非標準プロトコル通信部２３は、非セキュアネットワークゲートウェイ１１の非標準プロトコル通信部２２により共有メモリ１３にパケットデータの書き込みがなされたことを検出すると（Ｓ１２９２）、そのパケットデータをプロトコル変換部２４に受け渡す（Ｓ１２３）。

本実施形態のセキュアネットワークゲートウェイ送信処理（Ｓ１２０）において、プロトコル変換部２４によりパケットデータの発信元について中継許可の確認を行い、その結果に応じてパケットデータを破棄するかまたは標準プロトコル形式に変換して標準プロトコル通信部２５に受け渡すまでの一連の処理（Ｓ１２４〜Ｓ１２８）は、図５に示した同一符号の一連の処理（Ｓ１２４〜Ｓ１２８）と同様である。

図１４に示すように、本実施形態のセキュアネットワークゲートウェイ受信処理（Ｓ２１０）において、セキュアネットワークゲートウェイ１２の標準プロトコル通信部２５によりパケットデータの受信待ちを行い、プロトコル変換部２４によりパケットデータの発信元について中継許可の確認を行い、その結果に応じてパケットデータを破棄するかまたは非標準プロトコル形式に変換して非標準プロトコル通信部２３に受け渡すまでの一連の処理（Ｓ２１１〜Ｓ２１７）は、図６に示した同一符号の一連の処理（Ｓ２１１〜Ｓ２１７）と同様である。

本実施形態のセキュアネットワークゲートウェイ受信処理（Ｓ２１０）においては、非標準プロトコル通信部２３が、受け取った非標準プロトコル形式のパケットデータを、非セキュアネットワークゲートウェイ１１に送信せずに、共有メモリ１３に書き込む（Ｓ２１９）点で、図６に示した処理と異なる。すなわち、この処理（Ｓ２１９）において、非標準プロトコル通信部２３は、中継許可設定テーブル３１の行き先許可情報を参照して、共有メモリ１３における行き先に応じた対応領域に、パケットデータを書き込む。

図１５に示すように、本実施形態の非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）において、非セキュアネットワークゲートウェイ１１の非標準プロトコル通信部２２は、非セキュアネットワークゲートウェイ１１内の中継許可設定テーブル３０を参照し、発信元許可情報に従って、共有メモリ１３における発信元に応じた対応領域を監視して、パケットデータの書き込みを監視し、パケットデータの書き込み待ちを行う（Ｓ２２９１）。非標準プロトコル通信部２２は、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３により共有メモリ１３にパケットデータの書き込みがなされたことを検出すると（Ｓ２２９２）、そのパケットデータをプロトコル変換部２１に受け渡す（Ｓ２２３）。

本実施形態の非セキュアネットワークゲートウェイ送信処理（Ｓ２２０）において、プロトコル変換部２１によりパケットデータの発信元について中継許可の確認を行い、その結果に応じてパケットデータを破棄するかまたは標準プロトコル形式に変換して標準プロトコル通信部２０に受け渡すまでの一連の処理（Ｓ２２４〜Ｓ２２８）は、図７に示した同一符号の一連の処理（Ｓ２２４〜Ｓ２２８）と同様である。

以上のような第２の実施形態に係るセキュリティゲートウェイシステムによれば、第１の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２において、サブゲートウェイ間では直接通信を行うことなく、共有メモリにそれぞれアクセスする形でパケットデータの授受を行うことから、サブゲートウェイ間における通信機能の接続関係が全く存在せず、結果的に完全にネットワーク分離される方式となるため、ネットワーク間において、セキュリティ上で安全なデータ授受が実現できる。したがって、非セキュアネットワークに内在するセキュリティ上の脅威から、セキュアネットワークを保護することができ、セキュアネットワークの安全性を向上できる。

［第３の実施形態］
図１６は、本発明を適用した第３の実施形態に係るセキュリティゲートウェイシステムのコンピュータ資源構成を、ハードウェア資源およびオペレーティングシステム資源により示すと共に、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２における標準プロトコル通信部２０，２５と非標準プロトコル通信部２２，２３の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す構成図である。

この図１６に示すように、本実施形態のセキュリティゲートウェイシステム１０のコンピュータ資源構成は、第２の実施形態のコンピュータ資源構成（図１１）に、共有メモリ１３の構成のみを変更したものである。すなわち、本実施形態において、共有メモリ１３は、実計算機の物理的なハードウェア４０に元来含まれるメモリの記憶領域の一部を利用して実現されており、他の構成は第１の実施形態と同様である。そして、本実施形態のセキュリティゲートウェイシステム１０の機能構成は、第２の実施形態の機能構成（図１０）と同様である。

以上のような構成を有する本実施形態に係るセキュリティゲートウェイシステム１０の動作の概略は、第１、第２の実施形態と同様に、図３に示した通りであり、本実施形態における具体的なデータ処理手順は、第２の実施形態のデータ処理手順（図１２〜図１５）と同様である。

以上のような第３の実施形態に係るセキュリティゲートウェイシステムによれば、第１、第２の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、システムを構成する実計算機の物理的なハードウェアに元来含まれるメモリの記憶領域の一部を利用して共有メモリを実現しているため、第２の実施形態に比べて、独立した外部メモリを使用しない分だけ、システム全体の物理的なハードウェア構成をさらに簡素化できるため、経済性をさらに向上できる。

［第４の実施形態］
図１７は、本発明を適用した第４の実施形態に係るセキュリティゲートウェイシステムの機能構成を示す構成図である。この図１７に示すように、本実施形態のセキュリティゲートウェイシステム１０は、第３の実施形態の構成に、非セキュアネットワーク１からの不正侵入を検知する不正侵入検知システム１４を追加したものである。

この不正侵入検知システム１４は、非セキュアネットワーク１から非セキュアネットワークゲートウェイ１１に流入するパケットデータを監視して不正侵入の有無を判定する不正侵入監視・判定部６０と、不正侵入を検知した場合に警報信号を外部に出力する警報出力部６１から構成されている。そして、この不正侵入検知システム１４は、図１８に示すように、非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２と同様に、仮想計算機として実現されている。

ここで、図１８は、図１７に示すセキュリティゲートウェイシステム１０のコンピュータ資源構成を、ハードウェア資源およびオペレーティングシステム資源により示すと共に、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２における標準プロトコル通信部２０，２５と非標準プロトコル通信部２２，２３の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す構成図である。

この図１８に示すように、本実施形態のセキュリティゲートウェイシステム１０において、不正侵入検知システム１４は、セキュリティゲートウェイシステム１０の実計算機の物理的なハードウェア４０上に構成される仮想ハードウェア５０とその上で稼動する仮想ハードウェア用オペレーティングシステム（ＯＳ）５１で構成される仮想計算機である。不正侵入検知システム１４を構成するこの仮想計算機の内部に、標準プロトコル通信部２０、不正侵入監視・判定部６０および警報出力部６１が構成される。

なお、このような不正侵入検知システム１４を構成する仮想計算機は、非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２を構成する仮想計算機と同様に、前述したような既存の仮想化技術によって容易に実現可能である。そして、不正侵入検知システム１４の不正侵入監視・判定部６０および警報出力部６１は、不正侵入検知システムに関する既存の各種技術を利用して容易に実現可能である。

以上のような構成を有する本実施形態に係るセキュリティゲートウェイシステム１０の動作の概略は、第１〜第３の実施形態と同様に、図３に示した通りであり、本実施形態における具体的なデータ処理手順は、第２、第３の実施形態のデータ処理手順（図１２〜図１５）と同様である。本実施形態においては、これらの動作に加えて、不正侵入検知システム１４により、非セキュアネットワーク１からの不正侵入の監視が常時行われ、不正侵入検知時には警報信号が出力される。

すなわち、不正侵入検知システム１４の不正侵入監視・判定部６０は、非セキュアネットワーク１から非セキュアネットワークゲートウェイ１１に流入するパケットデータを常時監視して、不正侵入の有無を判定する。そして、不正侵入監視・判定部６０により不正侵入が検知された場合には、警報出力部６１により、不正侵入を示す警報信号が、予め設定された外部の出力先に出力される。ここで、警報信号の出力先として予め設定される出力先は、例えば、外部の表示装置や関係者の端末、コンピュータシステム等である。

以上のような第４の実施形態に係るセキュリティゲートウェイシステムによれば、第１〜第３の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、非セキュアネットワークから非セキュアネットワークゲートウェイに流入するパケットデータの内容まで常時監視することにより、非セキュアネットワークからの不正侵入があった場合には、それを確実に検知して関係者に通報できるため、関係者は、不正侵入の発生時に適切かつ迅速な対策を実施することが可能となる。

したがって、非セキュアネットワークに内在するセキュリティ上の脅威から、セキュアネットワークをより確実に保護することができ、セキュアネットワークの安全性をさらに向上できるため、セキュリティゲートウェイシステムの安全性・信頼性をさらに向上できる。しかも、不正侵入検知システムについても仮想計算機で実現することにより、実計算機で不正侵入検知システムを実現した場合に比べて、不正侵入検知を行うための専用ハードウェア等のコストが不要であることから、経済性に優れているという効果が得られる。

［第５の実施形態］
図１９は、本発明を適用した第５の実施形態に係るセキュリティゲートウェイシステムの機能構成を示す構成図である。この図１９に示すように、本実施形態のセキュリティゲートウェイシステム１０は、第４の実施形態の構成における不正侵入検知システム１４からの警報信号を、外部の出力先だけでなく、非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２の各非標準プロトコル通信部２２，２３に出力するようにしたものである。

図２０は、図１９に示すセキュリティゲートウェイシステム１０のコンピュータ資源構成を、ハードウェア資源およびオペレーティングシステム資源により示すと共に、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２における標準プロトコル通信部２０，２５と非標準プロトコル通信部２２，２３の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す構成図である。

この図２０に示すように、本実施形態において、不正侵入検知システム１４の警報出力部６１からの警報信号は、第４の実施形態と同様の外部の出力先に出力されるだけでなく、非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２の各非標準プロトコル通信部２２，２３の各アプリケーション層２０７にも出力される。なお、他の構成は第４の実施形態と同様である。

以上のような構成を有する本実施形態に係るセキュリティゲートウェイシステム１０において、不正侵入検知システム１４の不正侵入監視・判定部６０により、非セキュアネットワーク１からの不正侵入の監視が常時行われ、不正侵入検知時に警報出力部６１により警報信号が出力される点は、第４の実施形態と同様であるが、本実施形態においては、警報信号の出力先が異なる。

すなわち、本実施形態において、不正侵入検知時に、警報出力部６１からの警報信号は、外部の表示装置や関係者の端末、コンピュータシステム等の外部の出力先に加えて、非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２の各非標準プロトコル通信部２２，２３の各独自プロトコルスタック層２０２の上層である各アプリケーション層２０７に出力される。

各非標準プロトコル通信部２２，２３の各アプリケーション層２０７は、警報信号を受け取ると、非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２の間のデータ中継処理を直ちに中止する。すなわち、各非標準プロトコル通信部２２，２３の各アプリケーション層２０７からの共有メモリ１３へのアクセスを同時に中止することにより、共有メモリ１３を介したデータ中継処理を中止する。

以上のような第５の実施形態に係るセキュリティゲートウェイシステムによれば、第１〜第４の実施形態の効果に加えて、さらに、次のような効果が得られる。

すなわち、非セキュアネットワークからの不正侵入があった場合には、それを確実に検知してサブゲートウェイ間でのデータ中継処理を自動的に即時中止できる。したがって、不正侵入に対して関係者が即時に対応できない場合であっても、セキュリティ上の対応処置を自動的かつ確実に実施できるため、非セキュアネットワークに内在するセキュリティ上の脅威から、セキュアネットワークをより確実に保護することができ、セキュアネットワークの安全性をさらに向上できる。

なお、本実施形態の変形例として、警報出力部６１からの警報信号を、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２の両方に出力せず、セキュアネットワークゲートウェイ１２側の非標準プロトコル通信部２３のみに出力することも可能である。この場合には、警報信号を受け取った場合に、セキュアネットワークゲートウェイ１２の非標準プロトコル通信部２３による共有メモリ１３へのアクセスを中止することにより、結果的に、データ中継処理を中止できる。

また、別の変形例として、警報出力部６１からの警報信号を、外部に出力せず、非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２の各非標準プロトコル通信部２２，２３のみ、あるいは、セキュアネットワークゲートウェイ１２側の非標準プロトコル通信部２３のみに出力することも可能である。

［他の実施形態］
なお、本発明は、前述した実施形態や変形例に限定されるものではなく、本発明の範囲内で他にも多種多様な変形例が実施可能である。例えば、前記複数の実施形態やその変形例を適宜組み合わせることも可能である。

さらに、前記実施形態で示したセキュリティゲートウェイシステムとそれを構成するサブゲートウェイの構成や処理手順は、一例にすぎず、物理的なハードウェア上に構成される仮想計算機により実現される２つのサブゲートウェイを２つのネットワークにそれぞれ接続し、サブゲートウェイ間におけるデータ授受を非標準プロトコルにより行うと共に、サブゲートウェイ内における非標準側と標準側の間におけるデータ授受をアプリケーション層のみで行う限り、具体的な構成や処理手順は自由に変更可能である。

本発明を適用した第１の実施形態に係るセキュリティゲートウェイシステムの機能構成を示す構成図。 第１の実施形態のコンピュータ資源構成を、ハードウェア資源およびオペレーティングシステム資源により示すと共に、標準プロトコル通信部と非標準プロトコル通信部の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す概念図。 第１の実施形態に係るセキュリティゲートウェイシステムの動作の概略を示すフローチャート。 図３に示す非セキュアネットワークゲートウェイ受信処理の処理手順の一例を示すフローチャート。 図３に示すセキュアネットワークゲートウェイ送信処理の処理手順の一例を示すフローチャート。 図３に示すセキュアネットワークゲートウェイ受信処理の処理手順の一例を示すフローチャート。 図３に示す非セキュアネットワークゲートウェイ送信処理の処理手順の一例を示すフローチャート。 第１の実施形態に係る非セキュアネットワークゲートウェイの中継許可設定テーブルに保存されるデータ構成例を示す図。 第１の実施形態に係るセキュアネットワークゲートウェイの中継許可設定テーブルに保存されるデータ構成例を示す図。 本発明を適用した第２の実施形態に係るセキュリティゲートウェイシステムの機能構成を示す構成図。 第２の実施形態のコンピュータ資源構成を、ハードウェア資源およびオペレーティングシステム資源により示すと共に、標準プロトコル通信部と非標準プロトコル通信部の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す概念図。 第２の実施形態に係る非セキュアネットワークゲートウェイ受信処理の処理手順の一例を示すフローチャート。 第２の実施形態に係るセキュアネットワークゲートウェイ送信処理の処理手順の一例を示すフローチャート。 第２の実施形態に係るセキュアネットワークゲートウェイ受信処理の処理手順の一例を示すフローチャート。 第２の実施形態に係る非セキュアネットワークゲートウェイ送信処理の処理手順の一例を示すフローチャート。 本発明を適用した第３の実施形態に係るセキュリティゲートウェイシステムの機能構成を示す構成図。 本発明を適用した第４の実施形態に係るセキュリティゲートウェイシステムの機能構成を示す構成図。 第４の実施形態のコンピュータ資源構成を、ハードウェア資源およびオペレーティングシステム資源により示すと共に、標準プロトコル通信部と非標準プロトコル通信部の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す概念図。 本発明を適用した第５の実施形態に係るセキュリティゲートウェイシステムの機能構成を示す構成図。 第５の実施形態のコンピュータ資源構成を、ハードウェア資源およびオペレーティングシステム資源により示すと共に、標準プロトコル通信部と非標準プロトコル通信部の構成を、開放型相互接続システム（ＯＳＩ）の通信層の概念により示す概念図。

符号の説明

１…標準プロトコルを用いた広域ネットワーク（非セキュアネットワーク）
２…標準プロトコルを用いた内部ネットワーク（セキュアネットワーク）
１０…セキュリティゲートウェイシステム
１１…非セキュアネットワークゲートウェイ
１２…セキュアネットワークゲートウェイ
１３…共有メモリ
１４…不正侵入検知システム
２０，２５…標準プロトコル通信部
２１，２４…プロトコル変換部
２２，２３…非標準プロトコル通信部
３０，３１…中継許可テーブル
４０…物理的なハードウェア
４１…オペレーティングシステム
５０…仮想ハードウェア
５１…仮想ハードウェア用オペレーティングシステム
６０…不正侵入監視・判定部
６１…警報出力部
１０１…ＬＡＮハードウェア（ＯＳＩ規約第１層のハードウェア層）
１０２…ＯＳＩ規約第２層のデータリンク層
１０３…ＯＳＩ規約第３層のネットワーク層
１０４…ＯＳＩ規約第４層のトランスポート層
１０５…ＯＳＩ規約第５層のセッション層
１０６…ＯＳＩ規約第６層のプレゼンテーション層
１０７…ＯＳＩ規約第７層のアプリケーション層
２０１…独自ハードウェア層
２０２…独自プロトコルスタック層
２０７…アプリケーション層

Claims (10)

1. 標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するセキュリティゲートウェイシステムにおいて、
   実計算機の物理的なハードウェア上に構成される仮想ハードウェアとその上で稼動する仮想ハードウェア用オペレーティングシステムで構成される仮想計算機としてそれぞれ実現され、接続対象となる２つのネットワークにそれぞれ接続される２つのサブゲートウェイを有し、
   前記各サブゲートウェイは、前記標準プロトコルを用いて自サブゲートウェイに接続された側の前記ネットワークと通信を行う標準プロトコル通信部と、仕様が公開されていない非標準プロトコルを用いて他サブゲートウェイと通信を行う非標準プロトコル通信部と、標準プロトコルと非標準プロトコルの間で通信データのプロトコル変換を行うプロトコル変換部と、通信データに対する中継許可の有無を確認するための中継許可設定情報を保存する中継許可設定情報記憶部を有し、
   前記２つのサブゲートウェイは、前記非標準プロトコル通信部間で前記非標準プロトコルを用いてデータ授受を行うように構成され、
   前記各サブゲートウェイの前記非標準プロトコル通信部は、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層を実装し、かつ、第１層から第６層までの範囲については非公開の独自の通信層を実装した独自の通信部であり、自サブゲートウェイ内における前記標準プロトコル通信部との間のデータ授受が、第７層のアプリケーション層のみで行われ、第１層から第６層までの範囲についてはデータ授受できないように構成され、
   前記各サブゲートウェイの前記プロトコル変換部は、通信データのプロトコル変換を行う際に、前記中継許可設定情報を参照して当該通信データの中継許可の確認を行い、中継許可がある場合にのみ当該通信データのプロトコル変換を行うように構成されている
   ことを特徴とするセキュリティゲートウェイシステム。
2. 前記各サブゲートウェイの前記標準プロトコル通信部は、自サブゲートウェイに接続された側の前記ネットワークからのパケットデータの受信待ちを行い、パケットデータを受信するごとに、当該パケットデータを自サブゲートウェイの前記プロトコル変換部に受け渡すように構成され、
   前記サブゲートウェイの前記非標準プロトコル通信部は、他サブゲートウェイからのパケットデータの受信待ちを行い、パケットデータを受信するごとに、当該パケットデータを自サブゲートウェイの前記プロトコル変換部に受け渡すように構成され、
   前記各サブゲートウェイの前記プロトコル変換部は、自サブゲートウェイの前記標準プロトコル通信部および前記非標準プロトコル通信部のいずれかからパケットデータを受取った場合に、前期中継許可設定情報を参照して当該パケットデータの中継許可の確認を行い、中継許可がないパケットデータである場合には、当該パケットデータを破棄するように構成されている
   ことを特徴とする請求項１に記載のセキュリティゲートウェイシステム。
3. 前記２つのサブゲートウェイは、前記非標準プロトコル通信部からアクセス可能な共有メモリを有しており、非標準プロトコル通信部同士が直接通信を行うことなく、当該共有メモリへのアクセスを介してデータ授受を行うように構成されている
   ことを特徴とする請求項１または請求項２に記載のセキュリティゲートウェイシステム。
4. 前記共有メモリは、前記実計算機の物理的なハードウェアから独立した外部メモリである
   ことを特徴とする請求項３に記載のセキュリティゲートウェイシステム。
5. 前記共有メモリは、前記実計算機の物理的なハードウェア上に構成される仮想メモリである
   ことを特徴とする請求項３に記載のセキュリティゲートウェイシステム。
6. 前記２つのサブゲートウェイが、不特定多数が接続する非セキュアネットワークと、セキュリティ上の安全性の確保が必要なセキュアネットワークにそれぞれ接続された非セキュアネットワークゲートウェイとセキュアネットワークゲートウェイである場合に、
   前記非セキュアネットワークに接続されて非セキュアネットワークからの不正侵入を検知する不正侵入検知システムを有し、この不正侵入検知システムは、前記実計算機の物理的なハードウェア上に構成される仮想ハードウェアとその上で稼動する仮想ハードウェア用オペレーティングシステムで構成される仮想計算機として実現される
   ことを特徴とする請求項１乃至請求項５のいずれか１項に記載のセキュリティゲートウェイシステム。
7. 前記不正侵入検知システムは、前記非セキュアネットワークからの不正侵入を検知した場合に、この不正侵入の検知を示す信号を外部に出力するように構成されている
   ことを特徴とする請求項６に記載のセキュリティゲートウェイシステム。
8. 前記不正侵入検知システムは、前記非セキュアネットワークからの不正侵入を検知した場合に、この不正侵入の検知を示す信号を、前記各サブゲートウェイの前記独自の通信層上のアプリケーション層に送信して、当該不正侵入に係る通信データの中継処理を中止させるように構成されている
   ことを特徴とする請求項６に記載のセキュリティゲートウェイシステム。
9. 標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するセキュリティゲートウェイ方法において、
   実計算機の物理的なハードウェア上に構成される仮想ハードウェアとその上で稼動する仮想ハードウェア用オペレーティングシステムで構成される仮想計算機としてそれぞれ実現され、接続対象となる２つのネットワークにそれぞれ接続される２つのサブゲートウェイとして、各サブゲートウェイが、前記標準プロトコルを用いて自サブゲートウェイに接続された側の前記ネットワークと通信を行う標準プロトコル通信部と、仕様が公開されていない非標準プロトコルを用いて他サブゲートウェイと通信を行う非標準プロトコル通信部と、標準プロトコルと非標準プロトコルの間で通信データのプロトコル変換を行うプロトコル変換部と、通信データに対する中継許可の有無を確認するための中継許可設定情報を保存する中継許可設定情報記憶部、を有する２つのサブゲートウェイを用いたセキュリティゲートウェイ方法であり、
   前記２つのサブゲートウェイの前記非標準プロトコル通信部間で前記非標準プロトコルによりデータ授受を行うゲートウェイ間通信処理と、
   前記各サブゲートウェイ内における前記非標準プロトコル通信部と前記標準プロトコル通信部との間のデータ授受を、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層のみで行い、第１層から第６層までの範囲についてはデータ授受を禁止するゲートウェイ内通信処理と、
   前記各サブゲートウェイの前記プロトコル変換部で通信データのプロトコル変換を行う際に、前記中継許可設定情報を参照して当該通信データの中継許可の確認を行い、中継許可がある場合にのみ当該通信データのプロトコル変換を行う中継許可確認・プロトコル変換処理
   を有することを特徴とするセキュリティゲートウェイ方法。
10. 標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するために、接続対象となる２つのネットワークにそれぞれ接続される２つのサブゲートウェイを実現するセキュリティゲートウェイプログラムにおいて、
    前記各サブゲートウェイが、実計算機の物理的なハードウェア上に構成される仮想ハードウェアとその上で稼動する仮想ハードウェア用オペレーティングシステムで構成される仮想計算機としてそれぞれ実現され、かつ、各サブゲートウェイが、前記標準プロトコルを用いて自サブゲートウェイに接続された側の前記ネットワークと通信を行う標準プロトコル通信部と、仕様が公開されていない非標準プロトコルを用いて他サブゲートウェイと通信を行う非標準プロトコル通信部と、標準プロトコルと非標準プロトコルの間で通信データのプロトコル変換を行うプロトコル変換部と、通信データに対する中継許可の有無を確認するための中継許可設定情報を保存する中継許可設定情報記憶部を有する場合に、
    前記２つのサブゲートウェイの前記非標準プロトコル通信部間で前記非標準プロトコルによりデータ授受を行うゲートウェイ間通信機能と、
    前記各サブゲートウェイ内における前記非標準プロトコル通信部と前記標準プロトコル通信部との間のデータ授受を、開放型相互接続システム（ＯＳＩ）の第７層のアプリケーション層のみで行い、第１層から第６層までの範囲についてはデータ授受を禁止するゲートウェイ内通信機能と、
    前記各サブゲートウェイの前記プロトコル変換部で通信データのプロトコル変換を行う際に、前記中継許可設定情報を参照して当該通信データの中継許可の確認を行い、中継許可がある場合にのみ当該通信データのプロトコル変換を行う中継許可確認・プロトコル変換機能
    を前記コンピュータに実現させることを特徴とするセキュリティゲートウェイプログラム。

Images