JP2012169756A - 暗号化通信検査システム - Google Patents

Abstract

【課題】検査対象の通信毎に暗号化されているか否かを検査する。
【解決手段】暗号化通信検査システムは、ネットワーク上のパケットを受信し、受信したパケットから検査データを取得する検査データ取得手段と、検査データ取得手段が取得した検査データに対して、乱数検定方式を用いて乱数性を評価し、検査データに乱数性があると評価した場合に、検査データは暗号化通信であると判定する暗号化通信検査手段と、暗号化通信検査手段の検査結果を、検査結果表示画面に表示する検査結果表示手段とを備える。
【選択図】 図１

Description

本発明は、ネットワーク上の通信が暗号化されているか否かを検査する技術に関する。

インターネットをベースとしたコンピュータの利用形態として、クラウドコンピューティング（以下、クラウドと表記する。）と呼ばれるものがある。これはネットワーク上に存在するサーバが提供するサービスを、それらのサーバを意識することなしに利用する利用形態である。従来のコンピュータの利用は、コンピュータのハードウェア、ソフトウェア、データなどを、ユーザが保有・管理しているのに対して、クラウドではハードウェア、ソフトウェア、データなどを、サービスを提供するサーバを保有する事業者が保有・管理している。ユーザは、クラウドを利用することにより、コンピュータの購入費用の抑制や、データ管理の手間からの解放というメリットを得ることができる。

クラウドを利用したサービスの提供が進展し、国民生活や社会経済活動を支える基盤インフラとなりつつある。

しかし、クラウドでは、システムを構成する機器（サーバ、ネットワーク、ストレージなど）の構成がダイナミックに変化したり、クラウドの利用者自身がシステムの物理的な構成を把握できなかったりするなど、各機器の状況の把握が困難である。この点がクラウドの利用を躊躇したり、クラウドには、重要なデータを預けないようにしたりする要因の一つとなっている。

クラウドを利用するユーザが安心・安全にサービスの提供を受けるには、システムを構成する機器のセキュリティに関わる情報を収集・分析してリアルタイムに状況を把握する監視技術の確立が重要となる。

これらの動きを受けて、ネットワークの通信が暗号化されているか否かを検査しようとする試みがなされている。例えば、特許文献１では暗号化部と、復号化部と、乱数検定部を具備し、暗号化データの乱数性を検出することにより、暗号化データの安全性（暗号化されているか）を確認する装置に関する記述がある。また、特許文献２では、既に暗号化されたデータを送信する際に暗号化済を意味するデータ（フラグ）を添付することで、送受信するデータが暗号化されているかを検出する装置に関する記述がある。

特開２００３−１２４９２４号公報 特開２００７−３６８３４号公報

特許文献１においては、暗号化部で暗号化されたデータはすべて乱数検定部に入力されており、ネットワークを流れるパケットに適用すると、パケットヘッダ等の暗号化されていないデータ部分に関しても乱数検定を実行するので、乱数検定の精度が低下する。

特許文献２においては、データが暗号化されているか否かの判断に、フラグなどの補助データを必要とする。

そこで、ネットワーク上の通信トラフィックが、フラグなどの補助データを用いることなく、暗号化されているか否かを精度よく検査し、検査結果を表示するシステムが求められる。

開示する暗号化通信検査システムは、ネットワーク上のパケットを受信し、受信したパケットから検査対象の検査データを取得する検査データ取得手段と、取得した検査データに対して、乱数検定方式を用いて乱数性を評価し、検査データに乱数性があると評価した場合に、検査データを含むパケットによる通信は暗号化通信であると判定する暗号化通信検査手段と、検査結果を表示する検査結果表示手段とを備える。

望ましい他の様態は、検査データ取得手段は、予め定めた検査データ取得ポリシに基づいて検査データを取得する。

望ましいさらに他の様態は、暗号化通信検査手段は、少なくとも一つ以上の乱数検定結果に基づいた検査データの乱数レベルにより、検査データの乱数性を評価する。

望ましいさらに他の様態は、検査結果表示手段は、乱数レベルと検査結果表示ポリシに基づいて検査結果を表示する。

開示する暗号化通信検査システムによれば、ネットワークにおいて、予め定めた検査対象の通信毎に暗号化されているか否かを検査できる。

実施例１の暗号化通信検査システムを含むネットワーク構成例である。 検査データ取得装置の構成例である。 検査データ取得ポリシデータの一例である。 暗号化通信検査装置の構成例である。 検査結果表示装置の構成例である。 検査結果表示ポリシデータの一例である。 検査結果表示画面の一例である。 検査結果表示画面の一例である。 取得処理のフローチャートである。 検査処理のフローチャートである。 表示処理のフローチャートである。 暗号化通信検査システムを含むネットワーク構成の変形例である。 暗号化通信検査システムを含むネットワーク構成の変形例である。 実施例２の暗号化通信検査システムを含むネットワーク構成例である。 実施例２の対策実行装置の構成例である。 実施例２の対策実行ポリシデータの一例である。 実施例２の対策実行プログラムの処理フロー図である。 実施例３の暗号化通信検査システムを含むネットワーク構成例である。 実施例３の検査結果データの一例である。 実施例３の検査結果表示画面の一例である。 実施例３の検査結果表示画面の一例である。

ネットワークに流れるパケットのデータ部（パケットデータ、ペイロード部）が暗号化されている場合には、そのパケットデータは特徴のない乱数列のようにみえる。そこで、パケットデータに対して乱数検定を適用し、乱数性を評価することで、そのパケットによる通信は暗号化されているか否かを検査することができる。しかし、パケット全体（一つのパケットのヘッダ部およびペイロード部を含む全体）に対して乱数検定を適用しても、パケットのヘッダ部のような暗号化されていない部分などが乱数検定の対象に含まれているため、乱数検定の精度が落ちてしまう。

なお、本実施形態では、端末間の一連のパケットの送受信を通信と呼ぶ。

本実施形態では、乱数検定の対象の検査データを選択し、複数種類の乱数検定を適用することで、暗号化通信検査の精度を向上させる。実施例１ではこの点に着目し、検査データの取得、暗号化通信の検査、検査結果の表示について説明する。

実施例２では、検査結果に基づいたトラフィック制御について説明する。

過去の検査結果を参照するために、実施例３では、検査結果の記憶について説明する。

本実施例では、ネットワーク上の通信トラフィックの中から検査対象のデータを取得する検査データ取得装置と、取得したデータが暗号化されているか否かを検査する暗号化通信検査装置と、検査結果を表示する検査結果表示装置を有する暗号化通信検査システムの例を説明する。

図１に、本実施例における暗号化通信の検査を行う暗号化通信検査システムを含むネットワークの構成例を示す。図１に示すように、暗号化通信検査システムは、検査データ取得装置１０１と、暗号化通信検査装置１０２と、検査結果表示装置１０３とを含んで構成されている。

なお、以下では、通信トラフィックからの検査データ取得、検査データの暗号化通信検査、検査結果の表示を、上述した各装置で行なう前提で説明するが、例えば、ネットワークを流れる通信トラフィックに応じて、上述した暗号化通信検査を１つの装置で実行してもよい。まず、検査データ取得装置１０１について説明する。

検査データ取得装置１０１は、ネットワーク１０４に接続し、検査データ取得装置１０１を通過するパケットから検査データ取得ポリシに基づいた検査データの取得をおこない、通信路１０６に出力する。この検査データ取得ポリシの具体的な内容については、図３を用いて後述する。

ネットワーク１０４は、例えば、イントラネットやインターネットなどのネットワーク、あるいはこれらに接続するための通信網である。ネットワーク１０４には１台以上の端末が接続され、例えばウェブアクセスやファイル転送などの通信を行っている。なお、通信路１０５、通信路１０６、通信路１０７、通信路１０８は、例えば、バスやケーブルなどの情報伝達媒体である。

暗号化通信検査装置１０２は、通信路１０６を流れる検査データを受信し、受信した検査データの暗号化レベルを求め、その結果を検査結果として通信路１０７に送信する。

なお、暗号化通信検査装置１０２は、検査データ取得装置１０１が取得した検査データに対して、暗号化通信の検査を実行する。しかし、暗号化通信検査装置１０２が十分な性能を持った装置であるならば、検査データの取得も含めて、暗号化通信検査装置１０２がこれらの処理を実行しても良い。

検査結果表示装置１０３は、通信路１０７を流れる検査結果を受信し、受信した検査結果を画面に出力する。この検査結果画面の具体的な内容については、図７を用いて後述する。なお、検査結果表示装置１０３は、暗号化通信検査装置１０２が求めた検査結果に対して、検査結果の表示を実行する。しかし、検査結果表示装置１０３が十分な性能を持った装置であるならば、暗号化通信の検査も含めて、検査結果表示装置１０３がこれらの処理を実行しても良い。

図２に、検査対象のデータを取得する検査データ取得装置１０１の構成例を示す。検査データ取得装置１０１は、例えば、ルータ等のネットワーク機器であり、CPU（Central Processing Unit）２０４と、CPU２０４が処理を実行するために必要なデータを格納するためのメモリ２０６と、大量のデータを記憶する容量を持つハードディスクやフラッシュメモリなどの記憶装置２０５と、他装置と通信を行なうためのIF（インタフェース）２０１、IF２０２、IF２０３と、これらの各装置を接続する通信路（バス）２０７とを備えたコンピュータである。なお、他の図においてもIF（インタフェース）と呼ぶが、接続先に応じて通信インタフェース、入出力インタフェース、又は動作に応じて通信装置、受信装置、送信装置、入出力装置などと呼ぶこともある。

ＣＰＵ２０４は、メモリ２０６に格納された検査データ取得プログラム２０９を実行することにより検査データの取得を行なう。記憶装置２０５には、検査対象のデータを選択するための検査データ取得ポリシデータ２０８が格納されている。

上記の各プログラムやデータは、あらかじめメモリ２０６または記憶装置２０５に格納されていてもよいし、必要な時に、IF２０１、IF２０２、あるいはIF２０３を介して他の装置から、インストール（ロード）されてもよい。

図３は、検査データ取得ポリシデータ２０８の一例を示す図である。図３に示すように、検査データ取得ポリシデータ２０８は、取得ID３０１と、取得対象３０２と、取得プロトコル３０３と、取得レート３０４と、取得データ３０５と、取得サイズ３０６と、取得タイミング３０７とを含む。取得ＩＤ３０１は、検査データ取得ポリシを一意に識別できる情報(識別子)を表している。

取得対象３０２は、例えば、スイッチの特定ポートや、VLAN ID、特定の端末に対する通信などの取得対象のパケットを特定するデータを表している。取得対象プロトコル３０３は、取得対象３０２に該当するパケットをさらに絞り込むために利用する。具体的には、取得対象プロトコル３０３で指定されたプロトコルに従っているパケットを取得対象とする。取得対象プロトコル３０３が指定されていない場合は、すべてのプロトコルを取得対象とする。

取得レート３０４は、サンプリングされるパケットの割合を表す。取得対象のパケット数が多い場合は、取得対象レート３０４の調整を行う。たとえば、図３の取得ＩＤ３０１が「１」の場合は、取得対象３０２である「インタフェース１」を通過する10000パケットのうちの１パケットを取得対象のパケット数とする。取得データ３０５は、取得対象のデータを表す。例えば、取得データ３０５に「TCPペイロード」が指定されている場合には、取得したパケットのTCPペイロード部分を取得対象とする。また、図３には例示していないが、TCPペイロード１〜１００バイトが指定されている場合には、指定された範囲のデータを取得対象とする。取得サイズ３０６は、取得するデータのサイズを表し、取得タイミング３０７は取得を行うタイミングを表す。例えば、取得タイミング３０７が即時であり、取得対象データが取得サイズ３０６に指定されているデータサイズ以上であれば、取得したデータは即座に通信路１０６に検査データとして送信される。また、取得タイミング４０７が連結である場合には、取得サイズ４０６で指定されているデータサイズを超えるまで、後続のパケットのデータ部を連結したのちに、検査データとして通信路１０６に送信する。なお、後続のパケットのデータ部を連結する場合、取得サイズ４０６で指定されているデータサイズになるまで当該データはメモリ２０６あるいは、記憶装置２０５上に保管される。

このように取得データを詳細に指定することで、パケットヘッダ等の暗号化されていないデータ部分を除外することができ、暗号化通信検査装置１０２の検査結果の精度を向上させることが可能となる。

検査データ取得プログラム２０９は、CPU２０４により実行され、受信したパケットが、検査データ取得ポリシデータ２０５の取得対象３０２及び取得プロトコル３０３に該当するならば、対応する取得レート３０４、取得データ３０５、取得サイズ３０６、取得タイミング３０７に従って検査対象のデータを取得し、取得した検査対象のデータに少なくとも取得ID３０１を付加して、検査データとしてIF２１０を介して通信路１０６に送信する。通信路１０６に送信する検査データには、少なくとも取得ID３０１及び検査対象のデータを含んでいる。検査データ取得プログラム２０９の具体的な処理については図８を用いて後述する。

図４に、暗号化通信検査装置１０２の構成例を示す。暗号化通信検査装置１０２は、上述したように、暗号化通信の検査を行なうものであり、CPU４０３と、メモリ４０４と、他装置と通信を行なうためのIF４０１、IF４０２と、これらの各装置を接続する通信路４０５とを含んで構成されたコンピュータである。

ＣＰＵ４０３は、メモリ４０４に格納された暗号化通信検査プログラム４０６を実行することにより暗号化通信の検査を行なう。暗号化通信検査プログラム４０６は乱数検定管理プログラム４０７及び乱数レベル算出プログラム４０８から構成されている。乱数検定管理プログラム４０６は、少なくとも1種類以上の乱数検定プログラム４０９を含んでいる。乱数検定プログラム４０９は、データが乱数であるか否かを統計的手法を利用して判断するプログラムである。

上記の各プログラムは、あらかじめ、メモリ４０４に格納されていてもよいし、IF４０１あるいはIF４０２を介して他の装置から、インストール（ロード）されてもよい。

暗号化通信検査プログラム４０６は、CPU４０３により実行され、受信した検査データが暗号化されているか否かの検査を行ない、検査結果をIF402を介して通信路１０７に送信する。暗号化通信検査プログラム４０６の具体的な処理については図９を用いて後述する。なお、検査結果には少なくとも取得ID３０１及び乱数レベルの各情報を含んでいる。ここで、乱数レベルとは、真の乱数にどれだけ近いかの尺度を表している。例えば、乱数レベルが０〜１の値をとるとし、その値が小さいほど真の乱数に近いとすると、乱数レベルがある一定の閾値以下（例えば0.3以下）であれば、その検査データは暗号化されていると判断する。

図５に、検査結果表示装置１０３の構成例を示す。検査結果表示装置１０３は、上述したように、検査結果の表示を行なうものであり、CPU５０２と、メモリ５０５と、記憶装置５０４と、他装置と通信を行なうためのIF５０１と、キーボード、ディスプレイなどの入出力を行なうための入出力装置５０３と、これらの各装置を接続する通信路５０６とを含んで構成されたコンピュータである。

ＣＰＵ５０２は、メモリ５０５に格納された検査結果表示プログラム５０８を実行することにより検査結果の表示を行なう。記憶装置５０４には、検査結果を表示するための検査結果表示ポリシデータ５０７が格納されている。

上記の各プログラムは、あらかじめ、メモリ５０５または記憶装置５０４に格納されていてもよいし、入出力装置５０３からまたは、IF５０１を介して他の装置から、インストール（ロード）されてもよい。

図６は、検査結果表示ポリシデータ５０７の一例を示す図である。図６に示すように、検査結果表示ポリシデータ５０７は、表示ID６０１と、取得ID６０２と、乱数レベル６０３と、表示ルール６０４とを含む情報である。表示ID６０１は、検査結果表示ポリシを一意に識別できる情報(識別子)を表している。取得ID６０２とは、どの取得ポリシに従って取得されたのかを表しており、検査結果に含まれる、検査データ取得ポリシデータ２０８の取得ID３０１を格納する。取得ID６０２及び乱数レベル６０３に対応する各々のデータは暗号化通信検査装置１０２が送信する検査結果に含まれている。表示ルール６０４は、画面表示のルールを表している。表示ルール６０４は、乱数レベルに応じて設けた表示画面態様の数だけ存在する。乱数レベルが低い（暗号化通信の可能性が低い）ほど、警告を強調するために、多様な観点に立った表示画面態様を設けることが望ましい。表示ルール６０４には、検査結果として受信した乱数レベルに応じた画面表示のルールが記述されている。例えば、通信が遮断された検査対象場所において、通信が遮断された旨を表示（検査対象場所に×印を表示）したり、乱数レベルに応じて、検査対象場所を示す表示の線の太さあるいは、色などを変化させたり、あるサービス（検査対象場所）の暗号化レベルが低下していることを表示したりする。

検査結果プログラム５０８は、CPU５０２により実行され、受信した検査結果を画面に表示する。検査結果表示プログラム５０８の具体的な処理については図１０を用いて後述する。

図７Ａ及び図７Ｂに、検査結果表示画面の例を示す。例えば端末A（IP 192.168.1.1）、端末B（IP 192.168.1.2）、端末C（IP 192.168.1.3）がそれぞれPort 80番でサービスA,B,Cを提供しており、これらの端末がルータを介してインターネットに接続しているとする。ここで、表示ID６０１が「1」の検査結果表示画面は、図７Ａに示す検査結果表示画面７０１及び図７Ｂに示す検査結果表示画面７０２のようになる。検査結果表示画面７０１では、端末Aとルータ間の暗号化レベルが低いことを表している。検査結果表示画面７０２では、サービスAの暗号化レベルが低いことを表している。

続いて、検査データ取得装置１０１の検査データ取得プログラム２０９がパケットを受信し、検査データを送信する処理（以下、取得処理と呼ぶ。）について説明する。図８は、取得処理のフローチャートである。

図８に示すように、検査データの取得処理を実行する検査データ取得プログラム２０９は、CPU２０４により実行され、IF２０２または、IF２０３を介してパケットを受信し（ステップ８０１）、受信したパケットのヘッダ部を参照して、検査データ取得ポリシデータ２０８の取得対象３０２に該当するかを判定する（ステップ８０２）。検査データ取得プログラム２０９は、受信したパケットが取得対象３０２に該当する場合、さらに取得プロトコル３０３に該当するかを判定し、取得対象３０２及び取得プロトコル３０３（取得プロトコル３０３が指定されていない場合は、don’t care）の少なくとも一方に該当しない場合はステップ８０１に戻る。

検査データ取得プログラム２０９は、受信したパケットが取得対象３０２及び取得プロトコル３０３に該当する場合、取得レート３０４に指定された割合で検査対象データを選択する。ただし、受信したパケットが取得対象３０２に該当し、取得プロトコル３０３に何も指定されていない場合は、取得プロトコルの種別にかかわらず、受信したパケットのデータ部から取得レート３０４に指定された割合で検査対象データを選択する。パケット取得プログラム２０９は、取得データ３０５で指定されているデータ範囲を検査対象データとして選択する。パケット取得プログラム２０９は検査対象データとして選択したデータから、取得サイズ３０６及び取得タイミング３０７に基づいて検査データを取得する。具体的には、取得タイミング３０７が「即時」であり、かつ、検査対象データのサイズが取得サイズ３０６以上であれば、選択した検査対象データを検査データとして取得する。取得タイミング３０７が連結であり、かつ、取得データのサイズが取得サイズ３０６より小さければ、検査データが取得サイズ３０６以上になるまで後続パケットの検査対象データを連結する。

パケット取得プログラム２０９は、ステップ８０２によって取得した検査データを、IF２０１を介して通信路１０６に送信する（ステップ８０３）。なお、受信したパケットが検査データ取得ポリシデータ２０８に該当するかの判定は、取得ID３０１の順に実行し、該当する取得ID３０１が存在する場合にはそれ以降の取得ID３０１との比較は行わない。

ステップ８０１からステップ８０３までの検査データの取得処理の流れを、具体例を用いて説明する。例えば、宛先IPが192.168.1.1、宛先Portが80、TCPペイロード部分のサイズが2000bitのTCPパケットを受信した場合、検査データ取得プログラム２０９は当該パケットと検査データ取得ポリシデータ２０８の取得対象３０２との比較を行う。この場合、当該パケットは取得ID３０１「３」の取得対象３０２「宛先IP 192.168.1.1 宛先Port 80」に該当し、さらに当該パケットは検査データ取得ポリシ２０８の取得プロトコル３０３「６」に示されたプロトコル番号にも該当するので、取得レート３０４「1/1」に従って当該パケットを検査データの取得対象とする。次に検査データ取得プログラム２０８は、取得データ３０５「TCPペイロード」で指定された、当該パケットのTCPペイロード部分を取り出し、取得サイズ３０６「1000bit」及び取得タイミング３０７「連結」との比較を行う。当該パケットのTCPペイロード部分のサイズは2000bitであるので、データサイズが1000bit以上となり、検査データ取得ポリシデータ２０８の取得ID３０１「３」と、当該パケットのTCPペイロード部分とを、検査データとしてIF２０１を介して通信路１０６へと送信する。

続いて、暗号化通信検査装置１０２の暗号化通信検査プログラム４０６が、検査データを受信し、検査結果を送信する処理（以下、検査処理と呼ぶ。）について説明する。図９は、検査処理のフローチャートである。

図９に示すように、検査処理を実行する暗号化通信検査プログラム４０６は、CPU４０３により実行され、通信路１０６を流れる検査データをIF４０１を介して受信し（ステップ９０１）、受信した検査データを乱数検定管理プログラム４０７に送信する。乱数検定管理プログラム４０７は受信した検査データに対して、複数の乱数検定プログラム４０９を適用する（ステップ９０２）。

乱数検定プログラム４０９は、乱数性を評価する乱数検定方式が実装されている。例えば、乱数検定方式の一つとして、データのビット列の偏りを用いる方法がある。データが真にランダムであれば、データに含まれるビットが「０」の個数とビットが「１」の個数は等しいか、ほぼ等しくなる可能性が高い。そこで、（「０」の個数−「１」の個数）／（「０」と「１」の個数）の絶対値を求め、この値がある閾値（例えば0.2）より小さい場合は、乱数性があると判定する（環境に合わせて閾値を変えてもよい）。

なお、上記のランダム検定方法は一例であり、乱数検定プログラム４０９には、例えば「NIST Special Publication 800-22」で述べられている乱数検定や、その他の乱数検定を用いてもよい。乱数検定管理プログラム４０７は、これら複数種類の乱数検定プログラム４０９の検定結果を乱数レベル算出プログラム４０８に送信する。

乱数レベル算出プログラム４０８は、乱数検定管理プログラム４０９から乱数検定結果を受信すると、乱数レベルを算出し、暗号化通信検査プログラム４０６へ送信する（ステップ９０３）。乱数レベルの算出には予め定めた関数を利用する。例えば、複数種類の乱数検定プログラム４０９により得た各乱数検定結果の加重平均を用いてもよい。

暗号化通信検査プログラム４０６は、乱数レベル算出プログラム４０８から乱数レベルを受信すると、ステップ９０１で受信した検査データに含まれている取得ID３０１と、ステップ９０３で算出した乱数レベルとを、検査結果としてIF４０２を介して通信路１０６へ送信する（ステップ９０４）。

続いて、検査結果表示装置１０３の検査結果表示プログラム５０８が検査結果を受信し、検査結果を表示する処理（以下、表示処理と呼ぶ。）について説明する。図１０は、表示処理のフローチャートである。

図１０に示すように、表示処理を実行する検査結果表示プログラム５０８は、CPU５０２により実行され、通信路１０７を流れる検査結果をIF５０１を介して受信する（ステップ１００１）。受信した検査結果に含まれる取得ID及び乱数レベルが、検査結果表示ポリシデータ５０７の取得ID６０２及び乱数レベル６０３に該当するかを判定する（ステップ１００２）。該当する検査結果表示ポリシが存在する場合には、該当した表示ポリシの表示ルール６０４に従い、検査結果を入出力装置５０３に表示し（ステップ１００３）、ステップ１００１に戻る。なお、検査結果表示ポリシデータ５０７との比較は表示ID６０１の順に実行し、該当する表示ID６０１が存在する場合には、それ以降の表示ID６０１との比較は行わない。また、ステップ１００３の検査結果表示は、入出力装置５０３に検査結果を表示するように説明したが、例えば、ネットワークを介して他の装置の入出力装置に検査結果を表示してもよい。

ステップ１００１からステップ１００３までの表示処理の流れを、具体例を用いて説明する。例えば、検査結果表示プログラム５０８が、IF５０１を介して、取得IDが「３」、乱数レベルが「０．３」である検査結果を受信した場合、該当する表示ポリシは、表示ID６０１が「１」の「端末Aルータ間の暗号化レベル低を表示」及び「サービA、暗号化レベル低を表示」となる。

このように、ネットワークの通信が暗号化されているか否かを検査する暗号化通信検査システムに置いて、検査データ取得装置１０１が、ネットワーク上のパケットを受信し、検査データ取得プログラム２０９が、IF２０２あるいはIF２０３を介して受信したパケットから検査データ取得ポリシデータ２０８に従って検査データを取得し、取得した検査データをIF２０１を介して送信し、暗号化通信検査装置１０２は、IF４０１が、検査データ取得装置１０１から検査データを受信し、暗号化通信検査プログラム４０６が、IF４０１を介して受信した検査データに対して複数種類の乱数検定方式を用いて乱数性を検定し、検定結果から乱数レベルを算出し、IF４０２が、暗号化通信検査プログラム４０６が検査した結果を検査結果として送信し、検査結果表示装置１０３は、IF５０１が、暗号化通信検査装置１０２から検査結果を受信し、検査結果表示プログラム５０８が、IF５０１を介して受信した検査結果に従って表示ルールを選択し、検査結果を表示することで、検査対象の１パケット又は複数パケットによる一連の通信毎に暗号化されているか否かを検査し、ポリシに基づいた検査結果表示が可能となる。

本実施例は、換言すると、ネットワークを流れるパケットのヘッダ部に含まれる情報を参照して検査対象パケットを特定し、特定した検査対象パケットのペイロード部の乱数性を評価し、所定の閾値に満たない乱数性の検査対象パケットを暗号化されていないパケットとする暗号化通信検査システムである。

なお、本実施例の一部を変更して、次のように実施してもよい。検査データ取得プログラム２０９を変更し、メモリ２０６または記憶装置２０５に格納されているデータから検査データを取得する。これにより、メモリまたは記憶装置に格納されているデータが暗号化されているか否か検査することが可能となり、管理者が暗号化を行なうなどの対策を講じることができる。

また、図１１に示すように、検査データ取得装置１０１と同等の機能を持つ検査データ取得プログラム１１０２を検査対象端末１１０１にインストール（ロード）する。これにより、検査対象は検査対象端末１１０１に関する通信だけとなり、暗号化通信検査１０２に係る負荷を軽減することができる。

また、図１２に示すように、検査データ取得装置１０１と同等の機能を持つ検査データ取得端末１２０４を仮想化環境のハイパーバイザ１２０２上に構築する。これにより、ハイパーバイザ上の他の仮想端末１２０３の通信を検査することができる。

本実施例は、実施例１の暗号化通信検査システムを含み、さらに検査結果に応じた対策を実行する暗号化通信検査システムである。

図１３は、本実施例における暗号化通信検査システムを含むネットワーク構成図の例である。実施例１と同一の構成要素には同一の符号を付すことによってその説明を省略し、以下では、実施例１と異なる点を中心に説明する。

図１３に示すように、実施例２における暗号化通信検査システムは、既に説明した実施例１の暗号化通信検査システムと、対策実行装置１３０１と、トラフィック制御装置１３０２とを含んで構成される。

なお、以下では、トラフィック制御命令の送信およびトラフィックの制御を、上述した各装置で行なうように説明するが、例えば、ネットワークを流れる通信トラフィックに応じて、上述したトラフィック制御を１つの装置で行なうこととしてもよい。まず、対策実行装置１３０１について説明する。

図１４に、検査結果を受信し、トラフィック制御命令を送信する対策実行装置１３０１の構成例を示す。対策実行装置１３０１は、CPU１４０３と、メモリ１４０６と、記憶装置１４０５と、入出力装置１４０４と、IF１４０１、IF１４０２と、これらの各装置を接続する通信路１４０７とを備えたコンピュータである。

ＣＰＵ１４０３は、メモリ１４０６に格納された対策実行プログラム１４０９を実行することによりトラフィック制御命令の送信を行なう。記憶装置１４０５には、トラフィック制御のための対策実行ポリシデータ１４０８が格納されている。

上記の各プログラムやデータは、あらかじめメモリ１４０６または記憶装置１４０５に格納されていてもよいし、必要な時に、入出力装置１４０４または、IF１４０１あるいはIF１４０２を介して他の装置から、インストール（ロード）されてもよい。

図１５は、対策実行ポリシデータ１４０８の一例を示す図である。図１５に示すように、対策実行ポリシデータ１４０８は、対策ID１５０１と、取得ID１５０２と、乱数レベル１５０３と、対策ルール１５０４とを含む。対策ＩＤ１５０１は、対策実行ポリシを一意に識別できる情報(識別子)を表している。取得ID１５０２は、どの取得ポリシに従って取得されたのかを表しており、検査データ取得ポリシデータ２０８の取得ID３０１を格納する。取得ID１５０２及び乱数レベル１５０３は暗号化通信検査装置１０２が送信する検査結果に含まれている情報である。対策ルール１５０４は、トラフィック制御のルールを表している。トラフィック制御ルールとして、例えば、パケットの廃棄、単位時間当たりのパケット数であるトラフィック量を制限するための帯域の制限、パケットの宛先経路の変更などが挙げられる。

対策実行プログラム１４０９は、CPU１４０３により実行され、受信した検査結果と、対策実行ポリシデータとを比較し、トラフィック制御命令をIF１４０２を介して通信路１３０３に送信する。対策実行プログラム１４０９の具体的な処理については図１６を用いて後述する。

トラフィック制御装置１３０２は、トラフィック制御命令を受信し、トラフィック制御装置１３０２を通過するトラフィックの制御を行なう装置である。トラフィックの制御には、例えば、上述のパケットの廃棄、帯域の制限、宛先経路の変更などがある。トラフィック制御装置１３０３は、例えば、ルータ等の一般的なネットワーク機器で実現できるため、ここでは構成図を省略する。

続いて、対策実行装置１３０１の対策実行プログラム１４０９が検査結果を受信し、トラフィック制御命令を送信する処理（以下、制御処理と呼ぶ。）について説明する。図１６は、制御処理のフローチャートである。

図１６に示すように、制御処理を実行する対策実行プログラム１４０９は、CPU１４０３により実行され、通信路１０７を流れる検査結果をIF１４０１を介して受信し（ステップ１６０１）、受信した検査結果に含まれる取得ID及び乱数レベルが、対策実行ポリシデータ１４０８の取得ID１５０２及び乱数レベル１５０３に該当するかを判定する（ステップ１６０２）。該当する対策実行ポリシが存在する場合には当該対策実行ポリシの対策ルール１５０４に従い、対策ルールを制御命令として、IF１４０２を介して通信路１３０３に送信し、ステップ１６０１に戻る（ステップ１６０３）。なお、対策実行ポリシデータ１４０８との比較は対策ID１５０１の順に実行し、該当する対策ID１５０１が存在する場合には、それ以降の対策ID１５０１との比較は行わない。

ステップ１６０１からステップ１６０３までの制御処理の流れを、具体例を用いて説明する。例えば、対策実行プログラム１４０９が、IF１４０１を介して、取得IDが「３」、乱数レベルが「0.3」である検査結果を受信した場合、対策実行ポリシデータ１４０８の該当する対策実行ポリシは、対策ID１５０１が「３」の「トラフィック遮断」となる。

このように、実施例２によれば、対策実行装置１３０１は、IF１４０１が、暗号化通信検査装置１０２が送信した検査結果を受信し、対策実行プログラム１４０９が、IF１４０１を介して受信した検査結果から、対策実行ポリシに従い対策ルールを選択し、選択した対策ルールをトラフィック制御命令としてIF１４０１を介して送信し、トラフィック制御装置１３０３は、受信した制御命令に従い通信トラフィックを制御することで、検査対象の通信毎に暗号化されているか否かを検査し、ポリシに基づいたトラフィック制御が可能となる。

なお、本実施例の一部を変更して、次のように実施してもよい。対策実行ポリシデータ１４０８の対策ルール１５０４に、直接的にトラフィック制御せずに、間接的にトラフィック制御の実行を促す対策ルールを格納する。例えば、入出力装置１４０４に警告メッセージを表示する、管理者に警告メールを送信するなどである。これにより、管理者が迅速に対策を講じることができる。

本実施例は、実施例１の暗号化通信検査システムを含み、さらに検査結果を記憶する暗号化通信検査システムである。

図１７は、実施例３における暗号化通信検査システムを含むネットワーク構成図の例である。実施例１と同一の構成要素には同一の符号を付すことによってその説明を省略し、以下では、実施例１と異なる点を中心に説明する。

図１７に示すように、実施例３における暗号化通信検査システムは、既に説明した実施例１の暗号化通信検査システムと、検査結果記憶装置１７０１とを含んで構成される。

トラフィック記憶装置１７０１は、検査結果を受信し、受信した検査結果を記憶するための記憶装置を備えた装置である。例えば、一般的なコンピュータで実現できるため、ここでは構成図を省略する。

なお、以下では、検査結果を、検査結果記憶装置１７０１で記憶するように説明するが、例えば、検査結果の受信頻度に応じて、検査結果記憶装置１７０１を暗号化通信検知装置１０２、あるいは、検査結果表示装置１０３と併せて、１つの装置で構成してもよい。

図１８は、検査結果データの一例を示す図である。図１８に示すように、検査結果データは、日時１８０１と、取得ID１８０２と、乱数レベル１８０３とを含む。日時１８０１は、検査結果記憶装置１７０１が検査結果を受信した日時を表す。取得ID１８０２は、どの取得ポリシに従って取得されたのかを表しており、検査データに含まれる検査データ取得ポリシデータ２０８の取得ID３０１であり、検査結果に含まれている。取得ID１８０２は、乱数レベル１８０３と共に、暗号化通信検査装置１０２が送信する検査結果に含まれている。

図１９Ａ及び図１９Ｂは、検査結果表示装置１０３の検査結果表示プログラム５０８が、検査結果記憶装置１７０１の検査結果データを利用し、検査結果を表示した検査結果表示画面の例を示している。図１９Ａに示す検査結果表示画面１９０１はサービスAの乱数レベルがどのように変化したかを時間経過とともに表示してある。図１９Ｂに示す検査結果表示画面１９０２は過去のある時点のサービスの乱数レベルを表示してある。

なお、本実施例では上述したように、検査結果表示プログラム５０８がIF５０１を介して検査結果記憶装置１７０１に定期的あるいは、必要に応じに接続し、検査データを取得し、検査結果表示画面を表示する。

このように、本実施例によれば、検査結果装置１７０１は、暗号化通信検査装置１０２が送信した検査結果を受信し、受信した検査結果を記憶装置に記憶し、検査結果表示装置１０３は、検査結果記憶装置１７０１の検査結果を利用し、検査結果表示画面を表示することで、検査結果の時系列表示や、過去のある時点での検査結果の表示が可能となる。

以上説明した暗号化通信検査システムによれば、ネットワークにおいて、予め定めた検査対象の通信毎に暗号化されているか否かを検査できる。

本発明は、上記実施の形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施の形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施の形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施の形態にわたる構成要素を適宜組み合わせても良い。

１０１：検査データ取得装置、１０２：暗号化通信検査装置、１０３：検査結果表示装置、１０４：ネットワーク、２０８：検査データ取得ポリシデータ、２０９：検査データ取得プログラム、４０６：暗号化通信検査プログラム、５０７：検査結果表示ポリシデータ、５０８：検査結果表示プログラム、１３０１：対策実行装置、１４０８：対策実行ポリシデータ、１４０９：対策実行プログラム、１７０１：検査結果記憶装置。

Claims (7)

1. ネットワーク上のパケットによる通信が暗号化されているか否かを検査する暗号化通信検査システムであって、
   前記ネットワーク上の前記パケットを受信し、受信した前記パケットから検査データを取得する検査データ取得手段と、
   前記検査データ取得手段が取得した前記検査データに対して、乱数検定方式を用いて乱数性を評価し、前記検査データに乱数性があると評価した場合に、前記検査データを含む前記パケットによる前記通信は暗号化通信であると判定する暗号化通信検査手段と、
   前記暗号化通信検査手段の検査結果を、検査結果表示画面に表示する検査結果表示手段とを備えることを特徴とする暗号化通信検査システム。
2. 前記検査データ取得手段は、受信した前記パケットが、予め定めた通信対象と予め定めた通信プロトコルで前記通信を実行している場合に、予め定めたサンプリングレート、検査対象部分データ、取得サイズ、および、取得タイミングに従って、前記パケットから前記検査データを取得することを特徴とする請求項１記載の暗号化通信検査システム。
3. 前記検査データ取得手段は、前記検査データを特定する情報を前記検査データに付加して、前記暗号化通信検査手段に出力することを特徴とする請求項１記載の暗号化通信検査システム。
4. 前記暗号化通信検査手段は、少なくとも一つの前記乱数検定方式を用いて乱数性を検定し、少なくとも一つの前記乱数検定の結果から、前記乱数性を評価することを特徴とする請求項１〜３のいずれか１項に記載の暗号化通信検査システム。
5. 前記暗号化通信検査手段は、前記検査データを特定する情報と前記検査データの乱数レベルを表す情報とを含む検査結果を出力し、
   前記検査結果表示手段は、前記暗号化通信検査手段が出力した前記検査結果に基づいて検査結果を表示することを特徴とする請求項１〜４のいずれか１項に記載の暗号化通信検査システム。
6. 前記暗号化通信検査手段が出力した前記検査結果に基づいて、前記パケットによる前記通信のトラフィックを制御する制御命令を送信する対策実行手段をさらに備えることを特徴とする請求項５記載の暗号化通信検査システム。
7. 前記暗号化通信検査手段が出力した前記検査結果と、前記検査結果を受信した日時とを記憶する検査結果記憶手段をさらに備えることを特徴とする請求項５記載の暗号化通信検査システム。

Images