JP2021057717A - セキュリティ監視装置及びセキュリティ監視方法 - Google Patents

Abstract

【課題】 送受されるデータについて、送信側と受信側とでセキュリティチェックが二重に行われることを防止し、通信速度を悪化させることが無いようにする。【解決手段】 送信データチェック部１２７によりセキュリティチェックがされた送信データには、チェック済み情報付加部１３１によって所定のチェック済み情報が付加される。このチェック済み情報が付加された送信データは、制御部１０２の制御の下、通信Ｉ／Ｆ１０１及び接続端１０１Ｔを通じてネットワークに送出され、相手先に送信される。これにより、送信先においては、受信データ（受信した送信データ）に所定のチェック済み情報が付加されているか否かに応じて、セキュリティチェックを行うか否かを決めることが可能になる。【選択図】図２

Description

この発明は、例えば、インターネットなどを介して送受される種々のデータについてのセキュリティ（安全性）を監視する装置、当該装置で用いられるセキュリティを監視する方法に関する。

複数の異なるセキュリティ機能を１つのハードウェアに統合し、ネットワークに関するセキュリティ管理を集中的に行うようにする統合脅威管理（Unified Threat Management）装置が、企業等で利用されるようになってきている。統合脅威管理装置（以下、ＵＴＭ装置と記載する。）においては、コンピュータウィルスに感染することを防止するためのいわゆるウィルスチェックに関し、利用シーンに応じてセキュリティレベルを動的に変更可能にすることも行われている。具体的に、後に記す特許文献１には、ＵＴＭ装置に関し、アクセス先が提供するコンテンツのカテゴリ、当該コンテンツのファイルタイプなどに応じて、ウィルスの検知方式を動的に切り替える技術が開示されている。

特開２０１７−０９２７５５号公報

ＵＴＭ装置は、同じ会社の本社、支社、支店、あるいは、自社と取引先といった、離れた場所ごとであって、データの送受信を行う、いわゆる拠点ごとに設けられる場合も多い。この場合、送信側のＵＴＭ装置で送信データについてセキュリティチェックが行われ、受信側のＵＴＭ装置で受信データ（受信した送信データ）についてセキュリティチェックが行われる。つまり、ＵＴＭ装置同士で信頼関係が保たることが判断できないので、送信側と受信側とのそれぞれにおいて、送受される同じデータについてセキュリティチェックが行われ、結果として二重に同様のセキュリティチェックが行われることになる。

このように、送受信されるデータについて、送信側と受信側とでセキュリティチェックが行われる場合、セキュリティチェックにも時間がかかるため、データの送受信に時間がかかる要因になる場合があると考えられる。特に、送受するデータのデータ量が多い場合には、二重のセキュリティチェックのために、通信速度が遅くなる可能性があると考えられる。

以上のことに鑑み、送受されるデータについて、送信側と受信側とでセキュリティチェックが二重に行われることを防止し、通信速度を悪化させることが無いようにすることを目的とする。

上記課題を解決するため、請求項１に記載の発明のセキュリティ監視装置は、
広域ネットワークへの接続を可能にする第１の接続部と、
端末装置の自機への接続を可能にする第２の接続部と、
前記第２の接続部を通じて接続された端末装置からの要求に応じて、前記広域ネットワークを通じて送信する送信データに対してセキュリティチェックを行う送信時チェック手段と、
前記送信時チェック手段によりセキュリティチェックがされた前記送信データに対して、所定のチェック済み情報を付加する付加手段と
前記付加手段で前記チェック済み情報が付加された前記送信データを、前記第１の接続部を通じて前記広域ネットワークに送出し、相手先に送信するようにする送信処理手段と
を備えることを特徴とするセキュリティ監視装置。

請求項１に記載の発明のセキュリティ監視装置によれば、送信時チェック手段によりセキュリティチェックがされた送信データには、付加手段によって所定のチェック済み情報が付加されて、送信処理手段によって相手先に送信される。これにより、送信先においては、受信データ（受信した送信データ）に所定のチェック済み情報が付加されているか否かの識別を行い、この識別結果に応じて、受信データについてセキュリティチェックを行うか否かを決めることが可能になる。

この発明によれば、受信側において、受信データについてセキュリティチェックがされたものか否かを適切に判別することができる。これにより、受信側において、受信データについて、セキュリティチェックを行うか否かを適切に決めることができ、送受されるデータについて、送信側と受信側とでセキュリティチェックが二重に掛けられることを防止し、通信速度の悪化を防止できる。

実施の形態のＵＴＭ装置（セキュリティ監視装置）が用いられて構成されるセキュリティ監視システムの構成例を説明するための図である。 実施の形態のＵＴＭ装置の構成例を説明するためブロック図である。 ＴＣＰ／ＩＰパケットのヘッダ部分の構成を説明するための図である。 実施の形態のＵＴＭ装置で行われる送信時の処理を説明するためのフローチャートである。 実施の形態のＵＴＭ装置で行われる受信時の処理を説明するためのフローチャートである。

以下、図を参照しながら、この発明のセキュリティ監視装置、セキュリティ監視システムの一実施の形態について説明する。なお、以下においては、データの送信側と受信側とでＶＰＮ（Virtual Private Network）技術を用いることにより、データを送受信する場合を例にして説明する。ＶＰＮ技術は、例えば、企業において、本社や複数の支店などの拠点間を相互に接続し、各拠点間でセキュリティの高い通信を行う場合などに用いられる。ＶＰＮ技術は、カプセル化や暗号化などの技術を用い、インターネットなどのパブリックネットワーク上でもセキュアなポイント・ツー・ポイント接続を実現するものである。

［セキュリティ監視システムの構成例］
図１は、この発明によるセキュリティ監視装置、セキュリティ監視方法の一実施の形態が適用されたＵＴＭ装置が用いられて構成されたセキュリティ監視システムの構成例を説明するための図である。図１に示した例の場合には、説明を簡単にするため、ネットワーク４に対して、拠点Ａに設置されたＵＴＭ装置１Ａと、拠点Ｂに設置されたＵＴＭ装置１Ｂとが接続されている場合を示している。すなわち、ＵＴＭ装置１ＡとＵＴＭ装置１Ｂとは、例えば、同じ会社の本社と支社、あるいは、自社と取引先といった離れた場所ごとであって、データの送受信を行う拠点Ａと拠点Ｂとに設けられたものである。

ネットワーク４は、主にはインターネットであるが、ＵＴＭ装置１Ａ、１Ｂとインターネットまでを接続する公衆交換電話網やＬＡＮ（Local Area Network）などをも含むものである。なお、公衆交換電話網には、従来型の電話網の他、光回線電話網などを含む。

図１に示すように、ＵＴＭ装置１Ａに対しては、ＬＡＮ３Ａを介して１台以上のパーソナルコンピュータ、この例ではｎ台のパーソナルコンピュータ（図１ではＰＣと記載。）２Ａ（１）、２Ａ（２）、…、２Ａ（ｎ）が接続されている。同様に、ＵＴＭ装置１Ｂに対しては、ＬＡＮ３Ｂを介して１台以上のパーソナルコンピュータ、この例ではｎ台のパーソナルコンピュータ（図１ではＰＣと記載。）２Ｂ（１）、２Ｂ（２）、…、２Ｂ（ｎ）が接続されている。

例えば、拠点Ａに設置されたＰＣ２Ａ（１）と、拠点Ｂに設置されたＰＣ２Ｂ（１）との間では、インターネット電話サービスを用いたり、データ転送機能を用いたりして、音声データ、画像データ、テキストデータなどの送受信を行うことが可能である。このように、例えば、拠点Ａに設置されたＰＣ２Ａ（１）と拠点Ｂに設置されたＰＣ２Ｂ（１）との間で、データの送受信を行う場合には、従来は、送信側のＵＴＭ装置と受信側のＵＴＭ装置とで、同様にセキュリティチェックを行っていた。

しかし、この実施の形態においては、送信側のＵＴＭ装置で適切にセキュリティチェックがされた送信データについては、これが受信側で受信された場合に、受信側のＵＴＭ装置において重ねて同様のセキュリティチェックを行うことがないようにしている。すなわち、拠点Ａに設置されたＰＣ２Ａ（１）から拠点Ｂに設置されたＰＣ２Ｂ（１）に送信されるデータについては、送信側のＵＴＭ装置１Ａでセキュリティチェックがされたら、受信側のＵＴＭ装置１Ｂではセキュリティチェックを行わない。

同様に、拠点Ｂに設置されたＰＣ２Ｂ（１）から拠点Ａに設置されたＰＣ２Ａ（１）に送信されるデータについては、送信側のＵＴＭ装置１Ｂでセキュリティチェックがされたら、受信側のＵＴＭ装置１Ａではセキュリティチェックを行わない。このようにすることにより、セキュリティチェックを二重に行うことが無いようにし、セキュリティチェックのために、データの転送が遅延するなどといった不都合が生じないようにしている。

以下に、セキュリティチェックを行うＵＴＭ装置１Ａ、１Ｂの構成例について説明する。なお、ＵＴＭ装置１ＡとＵＴＭ装置１Ｂとは、同様に構成され、同様の機能を実現するものである。このため、以下においては特に区別して示す必要がある場合を除き、ＵＴＭ装置１ＡとＵＴＭ装置１Ｂとについては、拠点Ａ、Ｂを区別することなくＵＴＭ装置１と記載する。

また、ＰＣ２Ａ（１）、２Ａ（２）、…、２Ａ（ｎ）とＰＣ２Ｂ（１）、２Ｂ（２）、…、２Ｂ（ｎ）についても、同様に構成され、同様の機能を実現するものである。このため、以下においては特に区別して示す必要がある場合を除き、ＰＣ２Ａ（１）、２Ａ（２）、…、２Ａ（ｎ）と、ＰＣ２Ｂ（１）、２Ｂ（２）、…、２Ｂ（ｎ）とについては、拠点Ａ、Ｂを区別することなく、ＰＣ２（１）、２（２）、…、２（ｎ）と記載する。

また、ＬＡＮ３ＡとＬＡＮ３Ｂとは、同様に構成され、同様の機能を実現するものである。このため、以下においては特に区別して示す必要がある場合を除き、ＬＡＮ３ＡとＬＡＮ３Ｂとについては、拠点Ａ、Ｂを区別することなく、ＬＡＮ３と記載する。このように、拠点Ａに形成されたＬＡＮシステムと、拠点Ｂに形成されたＬＡＮシステムとは、同様に構成されるＵＴＭ装置とＰＣとがＬＡＮを通じて接続されて構成されたものである。すなわち、拠点Ａと拠点Ｂとにおいて、同様の機能を実現するＬＡＮシステムが構成されている。

［ＵＴＭ装置１の構成例］
図２は、ＵＴＭ装置１の構成例を説明するためのブロック図である。ＵＴＭ装置１は、ネットワーク４への接続端１０１Ｔと通信Ｉ／Ｆ（interface）１０１と制御部１０２を備える。通信Ｉ／Ｆ１０１は、ネットワーク４を通じて送信されてきたデータを自機において処理可能な形式のデータに変換して取り込み、制御部１０２に供給する処理を行う。また、通信Ｉ／Ｆ１０１は、制御部１０２からのデータを送信する形式のデータに変換し、ネットワーク４を通じて目的とする相手先に送信する処理を行う。ネットワーク４に接続された通信装置との通信は、接続端１０１Ｔ及び通信Ｉ／Ｆ１０１とを通じて行うことになる。

制御部１０２は、図示しないが、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、不揮発性メモリなどがバスを介して接続されて構成されたマイクロプロセッサである。制御部１０２は、ＵＴＭ装置１の各部を制御する機能を実現する。記憶装置１０３は、例えば、ＨＤＤ（hard disk drive）やＳＳＤ（Solid State Drive）といった、記録媒体とそのドライバとからなる装置部であり、種々のデータの記録媒体への記録、変更、削除を行う。記憶装置１０３は、必要となるデータやプログラムを記憶保持する他、種々の処理において生じる中間データを一時記憶する作業領域としても用いられる。

暗号化部１０４は、ＶＰＮ技術を用いてデータの送信を行うため、自機から送出するデータに対してカプセル化や暗号化を施す処理を行う。暗号解読部１０５は、ＶＰＮ技術を用いてデータの受信を行うため、自機が受信したデータに施されているカプセル化の解除や暗号化の解読の処理をして、自機において利用可能なデータに復元する処理を行う。また、ＵＴＭ装置１は、ＬＡＮＩ／Ｆ（interface）１０６及びＬＡＮ接続端１０６Ｔを備える。ＬＡＭ接続端１０６Ｔには、ＬＡＮ３を通じて、ＰＣ２（１）、２（２）、…２（ｎ）が接続される。ＵＴＭ装置１は、ＰＣ２（１）、２（２）、…、２（ｎ）のそれぞれとは、ＬＡＮＩ／Ｆ１０６及びＬＡＮ接続端１０６Ｔを通じて通信を行う。ＰＣ２（１）、２（２）、…、２（ｎ）のそれぞれは、ＵＴＭ装置１を介してネットワーク４に接続可能にされる。

なお、ＵＴＭ装置１においては、ＬＡＮ３を通じて自機にどのような端末が接続されているのかを、例えば、制御部１０２の不揮発性メモリや記憶装置１０３において管理している。具体的に、ＵＴＭ装置１においては、端末ＩＤとしてＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control address）アドレスなどの各端末を一意に特定可能な情報やポート番号などの情報が端末ごとに管理されている。

ＵＴＭ装置１は、セキュリティチェックを行う機能部として、Ｐ２Ｐ対策部１２１と、ＨＰ（Home Page）アクセス制御部１２２と、ウィルス対策部１２３と、メール対策部１２４と、ＩＰＳ／ＩＤＳ部１２５と、ファイアウォール部１２６とを備える。更に、ＵＴＭ装置１は、セキュリティチェックを行う機能部として、送信データチェック部１２７と、受信データチェック部１２８とを備える。

Ｐ２Ｐ対策部１２１は、セキュリティ対策を行っていない相手や悪意のある相手とのＰ２Ｐ接続を禁止する機能を実現する。なお、「Ｐ２Ｐ」とは、「Peer to Peer」を意味し、インターネットを介して対等なもの同士が直接に接続して通信を行うことを意味する。Ｐ２Ｐ対策部１２１の機能により、例えば画像などのファイル交換を問題のある相手との間において１対１で行うことを防止し、相手からのウィルス感染を防止するなどの機能を実現する。

ＨＰアクセス制御部１２２は、例えば、予め指定したホームページカテゴリを選択しておくことにより、当該カテゴリに該当するホームページへのアクセスを禁止する機能を実現する。例えば、違法薬物（麻薬等）、アダルト関連、ギャンブル関連といったカテゴリを指定しておくことにより、麻薬関連サイト、アダルトサイト、ギャンブルサイトといった不適切サイトへのＵＲＬフィルタリングが可能となる。

ウィルス対策部１２３は、Ｗｅｂページのレスポンスの検証（ウィルスチェック）を行う。具体的にウィルス対策部１２３は、Ｗｅｂページを閲覧するときの通信を監視し、閲覧しようとしている画像やダウンロードするファイルにウィルスが混入していないかを検証（チェック）する機能を実現する。

メール対策部１２４は、受信した電子メールに関し、不要な広告やウィルスが添付された電子メールをブロックする機能を実現する。ＩＰＳ／ＩＤＳ部１２５は、不適切な侵入を防止したり、不適切な侵入を通知したりする機能を実現する。ここで、ＩＰＳは、侵入防止システム（Intrusion Prevention System）の略称であり、ＩＤＳは、侵入検知システム（Intrusion Detection System）の略称である。ＩＰＳ／ＩＤＳ部１２５は、ワームやトロイの木馬といったいわゆるマルウェアによる攻撃に対して防御を行うことができる。ファイアウォール部１２６は、データ通信の状況や利用するソフトウェアなどにより、社内ネットワークにデータを供給するか否かを判断し、外部のネットワークからの攻撃や不正なアクセスから自システムを防御する機能を実現する。

送信データチェック部１２７は、インターネット電話サービスを用いたり、データ転送機能を用いたりして、音声データ、画像データ、テキストデータなどを自機から送信する場合に、送信データに対してウィルスチェックやその他の必要なチェックを行う。受信データチェック部１２８は、インターネット電話サービスを用いたり、データ転送機能を用いたりして、音声データ、画像データ、テキストデータなどを自機が受信した場合に、受信データに対してウィルスチェックやその他の必要なチェックを行う。

チェック済み情報付加部１３１は、送信データチェック部１２７においてセキュリティチェックがされたチェック済みの送信データに対して、所定のチェック済み情報を付加し、チェックサムを再計算するなどの処理を行って最終的な送信データを形成する。チェック済み情報付加部１３１で処理された送信データは、暗号化部１０４で暗号化等の処理がされた後、制御部１０２の制御の下、通信Ｉ／Ｆ１０１及び接続端１０１Ｔを通じてネットワーク４に送出される。これにより、当該送信データは、ネットワーク４を通じて、目的とする相手先に送信される。

一方、接続端１０１Ｔ及び通信Ｉ／Ｆ１０１を通じて受信したデータ（自機の配下のＰＣ宛ての受信データ）は、まず、暗号解読部１０５において、暗号解読等の処理がされた後、チェック済み情報識別部１３２に供給される。チェック済み情報識別部１３２は、これに供給された受信データに、所定のチェック済み情報が付加されているか否かの識別を行う。チェック済み情報識別部１３２において、所定のチェック済み情報が付加されていると識別された受信データについては、送信時と同様のセキュリティチェックを再度行う必要はない。

このため、制御部１０２は、チェック済み情報識別部１３２において、所定のチェック済みデータが付加されていると識別された受信データについては、セキュリティチェックを行うことなく受け付ける。制御部１０２は、受け付けた受信データを、ＬＡＮＩ／Ｆ１０６及びＬＡＮ接続端１０６Ｔを通じて、ＬＡＮ３に接続されたＰＣ２（１）等の相手先となる端末（ＰＣ）に供給する。

チェック済み情報識別部１３２において、所定のチェック済み情報が付加されていないと識別された受信データについては、送信時にセキュリティチェックがされていない可能性が高い。このため、当該受信データについては、制御部１０２の制御の下、受信データチェック部１２８に供給する。これにより、所定の受信済み情報が付加されていない受信データについては、受信データチェック部１２８において、適切に、受信データチェックを行うことが可能になる。

受信データチェック部１２８において、セキュリティチェックがなされ、問題がないとされた受信データは、制御部１０２により、ＬＡＮＩ／Ｆ１０６及びＬＡＮ接続端１０６Ｔを通じて、ＬＡＮ３に接続されたＰＣ２（１）等の相手先となる端末に供給される。なお、セキュリティチェックの結果、ウィルスが確認されるなど問題のある受信データについては、これを破棄する。

このように、ＵＴＭ装置１は、複数の異なるセキュリティ機能を１つのハードウェアに搭載しており、通信環境に生じる脅威に対して総合的に対処することができるようにしている。また、上述したように、自機から相手先に送信する送信データについては、セキュリティチェックを行うと共に、セキュリティチェック済みであることを示す所定のチェック済み情報を付加して送信することができる。これにより、送信先（相手先）において、チェック済み情報があることが識別（認識）できた受信データについては、セキュリティチェックを省略することができる。もちろん、相手先のＵＴＭ装置が自機と同様に、所定のチェック済み情報を付加することができるものである場合には、自機においても、チェック済み情報があることが識別（認識）できた受信データについては、セキュリティチェックを省略することができる。

［チェック済み情報の付加態様の具体例］
この実施の形態のセキュリティ監視システムにおいては、図１を用いて説明したように、主にインターネットであるネットワーク４を通じてデータが送信される。従って、データはＴＣＰ／ＩＰパケットとして送受される。このため、ＴＣＰ／ＩＰパケットのヘッダ部の空き領域に、所定のチェック済み情報を付加する。なお、ＴＣＰは「Transmission Control Protocol」の略称であり、ＩＰは「Internet Protocol」の略称である。図３は、ＴＣＰ／ＩＰパケットのヘッダ部分の構成を説明するための図である。図３に示すように、ＴＣＰ／ＩＰパケットは、０バイト目〜２３バイト目までの２４バイトがヘッダ部であり、２４バイト目以降がペイロード部（データ本体部）になっている。

図３に示すヘッダ部において、「送信元ポート番号」は送信元のポート番号であり、「宛先ポート番号」は、宛先（送信先）のポートの番号であり、「シーケンス番号」は送信したデータの順序を示すものである。また、「確認応答番号」は相手先から受信したシーケンス番号とデータサイズである。「データオフセット」は当該ヘッダ部の長さを示す値であり、「予約」は将来の拡張のために用意されているエリアである。「コントロールフラグ」は、「ＵＲＧ」、「ＡＣＫ」、「ＰＳＨ」、「ＲＳＴ」、「ＳＹＮ」、「ＦＩＮ」の６つのビットで構成されている。「ウィンドウサイズ」は受信側が一度に受信することが出来るデータ量を通知するために使用される。「チェックサム」は当該ヘッダ部とデータ部のエラーチェックを行うために使用される値が入る。「緊急ポインタ」はコントロールフラグの「ＵＲＧ」が「１」である場合に使用されるエリアである。

「オプション＋パディング部」において、「オプション」はＴＣＰ通信で性能を向上させるために使用される。「パディング」は当該ヘッダ部の長さを２４バイトにするため、最後の２バイトのフィールドを３２ビットの整数に調整するために使用される。この実施の形態において、チェック済み情報付加部１３１は、２０バイト目〜２３バイト目のオプション＋パディング部に、所定のチェック済み情報を付加する。所定のチェック済み情報は、例えば、「ＳＡＸＡ」といったＵＴＭ装置１の製造会社に由来する情報、「ＣＫＯＫ」といったチェック済み（Check OK）を意味する情報など、最大４バイトを使用して表現可能な情報を入力する。もちろん、ここで示したチェック済み情報は一例であり、予め決められる種々のチェック済み情報を用いることができる。

このように、ＴＣＰ／ＩＰパケットのヘッダ部の所定のエリア（フィールド）を用いることにより、送信対象のデータに影響を与えることなく、チェック済み情報を付加して、相手先に送信できる。相手先では、チェック済み情報が付加されている部分が予め決められていることにより、受信データ（受信した送信データ）の当該部分を確認することにより、チェック済み情報が付加されているか否かを確実に識別することが可能になる。

［ＵＴＭ１で行われる処理のまとめ］
上述した構成を有する実施の形態のＵＴＭ装置１で行われる処理について、フローチャートを参照しながらまとめる。上述したように、ＵＴＭ装置１では、Ｐ２Ｐ対策部１２１、ＨＰアクセス制御部１２２、ウィルス対策部１２３、メール対策部１２４、ＩＰＳ／ＩＤＳ部１２５、ファイアウォール部１２６が機能して、種々のセキュリティのための処理が行われる。これらの各部によって行われる処理の他に、ＵＴＭ装置１では、自機からデータを送信する場合には、送信データに対してセキュリティチェックを行い、また、自機がデータを受信した場合には、受信データに対してセキュリティチェックを行う構成を備える。しかし、この実施の形態のＵＴＭ装置１では、上述したように、送信側と受信側とで二重にセキュリティチェックを行わないようにしている点で特徴を有している。以下、ＵＴＭ装置１に行われる処理を、送信時と受信時とに分けて説明する。

＜ＵＴＭ装置１の送信時の処理＞
図４は、ＵＴＭ装置１で行われるデータの送信時の処理を説明するためのフローチャートである。ＬＡＮＩ／Ｆ１０６及びＬＡＮ接続端１０６Ｔを通じて接続された配下のＰＣ２（１）、…等からの送信データ（パケットデータ）は、制御部１０２の制御の下、送信データチェック部１２７に供給される。送信データチェック部１２７は、これに供給された送信データについて、ウィルスチェックやその他の必要なチェックを行う（ステップＳ１０１）。ステップＳ１０１のセキュリティチェックにより、ウィルスなどの送信先に影響を与える不都合が確認された送信データについては、送信しないようにされる。

ステップＳ１０１において、セキュリティチェックがされた送信データは、制御部１０２の制御の下、チェック済み情報付加部１３１に供給され、ここでチェック済み情報が付加される（ステップＳ１０２）。ステップＳ１０２の処理は、図３を用いて説明したように、送信データであるＴＣＰ／ＩＰパケットのヘッダ部のオプション＋パディング部に、所定のチェック済み情報を付加する処理である。この後、チェック済み情報付加部１３１では、チェックサムを再計算してヘッダ部のチェックサムエリアに付加し直す（ステップＳ１０３）。

ステップＳ１０３でチェックサムが再計算されて付加し直された送信データは、制御部１０２の制御の下、暗号化部１０４に供給され、ここでカプセル化処理や所定の方式の暗号化処理が施される（ステップＳ１０４）。ステップＳ１０４において、暗号化等の処理がされた送信データ（パケットデータ）は、制御部１０２の制御の下、通信Ｉ／Ｆ１０１及び接続端１０１Ｔを通じてネットワーク４に送出され（ステップＳ１０５）、目的とする相手先に対して送信される。

このように、ＵＴＭ装置１では、自機から送信する送信データ（パケットデータ）に対しては、セキュリティチェックを施し、所定のチェック済みデータを付加し、チェックサムを付け直し、暗号化等の処理を施して目的とする相手先に送信する。

＜ＵＴＭ装置１の受信時の処理＞
図５は、ＵＴＭ装置１で行われるデータの受信時の処理を説明するためのフローチャートである。ネットワーク４への接続端１０１Ｔ及び通信Ｉ／Ｆ１０１を通じて受信した自機の配下のＰＣ２（１）、…等への受信データは、制御部１０２の制御の下、まず、暗号解読部１０５に供給され、ここで暗号化の解読処理やカプセル化の解除処理がされる（ステップＳ２０１）。ステップＳ２０１で暗号解読等の処理がされた受信データは、制御部１０２の制御の下、チェック済み情報識別部１３２に供給される。

チェック済み情報識別部１３２は、これに供給された受信データ（パケットデータ）のヘッダ部のオプション＋パディング部の情報を確認し、所定のチェック済み情報が付加されているか否かを識別する（ステップＳ２０２）。ステップＳ２０２の識別結果は、制御部１０２に通知されるので、制御部１０２は、チェック済み情報が付加されているか否か（有るか否か）を判別する（ステップＳ２０３）。

ステップＳ２０３の判別処理において、チェック済み情報が有ると判別された場合には、当該受信データ（パケットデータ）は既にセキュリティチェック済みであることが確認できたので、制御部１０２は、これを受け付ける（ステップＳ２０４）。このステップＳ２０４の処理は、当該受信データを自機において処理対象とする処理である。制御部１０２は、ステップＳ２０４で受け付けた受信データを、ＬＡＮＩ／Ｆ１０６及びＬＡＮ接続端１０６Ｔを通じて、目的とする送信先であるＰＣ２（１）、…等に供給するように処理する。

ステップＳ２０３の判別処理において、チェック済み情報が無いと判別された場合には、受信データはセキュリティチェックがされていない可能性が高い。この場合には、制御部１０２は、当該受信データを受信データチェック部１２８に供給し、ウィルスチェックやその他の必要なチェックからなるセキュリティチェックを実施する（ステップＳ２０５）。この後、制御部１０２は、受信データチェック部１２８でセキュリティチェックがされた受信データを受け付ける（ステップＳ２０４）。上述もしたように、ステップＳ２０４の処理は、当該受信データを自機において処理対象とする処理である。制御部１０２は、ステップＳ２０４で受け付けた受信データを、ＬＡＮＩ／Ｆ１０６及びＬＡＮ接続端１０６Ｔを通じて、目的とする送信先であるＰＣ２（１）、…等に供給するように処理する。

このように、ＵＴＭ装置１では、自機が受信した受信データ（パケットデータ）については、所定のチェック済み情報が付加されているか否かを識別する。そして、所定のチェック済み情報が付加されていると識別できた時には、受信データに対してセキュリティチェックを実施することなく受け付けて処理対象とする。しかし、所定のチェック済み情報が付加されていることが識別できなかった時には、受信データに対してセキュリティチェックを実施した後に受け付けて処理対象とする。

これにより、受信データについてのセキュリティチェックは、送信側と受信側の双方で行われることを防止し、受信側でセキュリティチェックが行われることに起因して発生する通信速度が遅くなるという不都合を防止できる。すなわち、データの送受信を迅速に行うことができる。もちろん、セキュリティチェックがされていない可能性の高い受信データについては、受信データチェック部１２８によりセキュリティチェックを行うことができるので、データ通信に関し安全性が阻害されることもない。

［実施の形態の効果］
上述した実施の形態のＵＴＭ装置によれば、送信データにセキュリティチェックを行った場合には、当該送データに対して所定のチェック済み情報を付加することができる。また、受信時には、受信データ（受信した送信データ）に所定のチェック済み情報が付加されているか否かを認識し、付加されていることが認識できた場合には、受信データに対するセキュリティチェックを省略することができる。すなわち、送受信されるデータに変更を伴わない静的な対応ではなく、送受されるデータにチェック済み情報を付加して、セキュリティチェックの必要性を識別する動的な対応を取る構成になっている。

これにより、送信側と受信側との双方で、同様のセキュリティチェックが行われることを防止することが確実にできる。従って、受信側において、受信データに対するセキュリティチェックが行われることに起因して発生する受信データの受付遅延の発生を防止することができ、通信速度の悪化を防止し、適切かつ迅速にデータの送受信を行うことができる。

特に、ＶＰＮ技術を用いて通信を行う場合、あるいは、インターネット電話サービスを用いたり、データ転送機能を用いたりして、音声データ、画像データ、テキストデータなどといったデータを大量に送受する場合において、この発明の効果は大きい。

また、所定のチェック済み情報が付加された送信データについては、チェックサムも再計算されて付け直されるので、データの信頼度のチェックに影響を与えることもない。また、所定のチェック済み情報が付加された送信データについては、暗号化されて送信されるので、当該所定のチェック済み情報を悪意で付加したり、削除したりするといったことも防止できる。

［変形例］
なお、上述した実施の形態においては、ＵＴＭ装置１ＡとＵＴＭ装置１Ｂとの間では、ＶＰＮ技術を用いての送受信を行うものとして説明した。しかし、これに限るものではない。ＶＰＮ技術を用いることなくデータの送受信を行う場合にもこの発明を適用できる。ＶＰＮ技術を用いない場合には、送受するデータのカプセル化や暗号化の必要ない。このため、送信側においては、図４に示したステップＳ１０４の処理を省略できる。また、受信側においては、ステップＳ２０１の処理を省略できる。このように暗号化等及び暗号解読等の処理が行われない場合でも、送受されるデータにはチェックサム等の信頼性を確保するための対応はとられているので、暗号化等をせずにデータの送受を行う場合にも、この発明は有効である。

また、上述した実施の形態においては、この発明によるセキュリティ監視装置を、ＵＴＭ装置に適用した場合を例にして説明したが、これに限るものではない。インターネットを含む広域ネットワークと会社などに形成されるＬＡＮとの間に設けられる、例えばルータなどの種々のネットワーク機器に、この発明によるセキュリティ監視装置を適用することができる。

また、上述した実施の形態では、ＴＣＰ／ＩＰパケットのヘッダ部に、所定のチェック済み情報を付加するものとして説明したが、これに限るものではない。種々のプロトコルが用いられて送受される送信データのヘッダ部やフッター部などの、送信対象の実データに対して影響を及ぼすことのない領域に、所定のチェック済み情報を付加することができる。

また、チェック済み情報が付加されていても、例えば、ＴＣＰ／ＩＰパケットに送信元の装置のバージョン情報が付加されている場合には、バージョン情報が古い場合には、受信データに対してセキュリティチェックを行うといった対応を取ることも可能である。すなわち、チェック済み情報の付加の有無と送信元の装置のバージョンとの両方を考慮して、受信側において受信データについてセキュリティチェックを行うか否かを判別するようにしてもよい。

［その他］
上述した実施の形態の説明からも分かるように、請求項の第１の接続部の機能は、ネットワーク４への接続端１０１Ｔ及び通信Ｉ／Ｆ１０１が実現し、第２の接続部の機能はＬＡＮＩ／Ｆ１０６及びＬＡＮ接続端１０６Ｔが実現する。また、請求項の送信時チェック手段の機能は、送信データチェック部１２７が実現し、請求項の付加手段の機能は、チェック済み情報付加部１３１が実現している。また、請求項の送信処理手段は、制御部１０２と通信Ｉ／Ｆ１０１が協働して実現している。

また、請求項の受信処理手段の機能は、制御部１０２と通信Ｉ／Ｆ１０１とが協働して実現し、請求項の識別手段の機能は、チェック済み情報識別部１３２が実現している。また、請求項の受信時チェック制御手段の機能は、制御部１０２が実現している。

また、図４、図５のフローチャートを用いて説明した方法が、この発明によるセキュリティチェック方法の一実施の形態が適用されたものである。また、図４、図５のフローチャートの処理を実行するプログラムを形成し、これをＵＴＭ装置などのネットワーク機器に搭載して実行可能にすることによって、この発明のセキュリティ監視装置を実現できる。

また、送信データチェック部１２７、受信データチェック部１２８、チェック済み情報付加部１３１、チェック済み情報識別部１３２の各部の機能は、例えば、ＵＴＭ装置１の制御部１０２において実行されるプログラムによって実現できる。すなわち、送信データチェック部１２７、受信データチェック部１２８、チェック済み情報付加部１３１、チェック済み情報識別部１３２の各部の機能は、プログラムにより、制御部１０２の機能として実現することもできる。

１、１Ａ、１Ｂ…ＵＴＭ装置、１０１Ｔ…ネットワーク４への接続端、１０１…通信Ｉ／Ｆ、１０２…制御部、１０３…記憶装置、１０４…暗号化部、１０５…暗号解読部、１０６…ＬＡＮＩ／Ｆ、１０６Ｔ…ＬＡＮ接続端、１２１…Ｐ２Ｐ対策部、１２２…ＨＰアクセス制御部、１２３…ウィルス対策部、１２４…メール対策部、１２５…ＩＰＳ／ＩＤＳ部、１２６…ファイアウォール部、１２７…送信データチェック部、１２８…受信データチェック部、１３１…チェック済み情報付加部、１３２…チェック済み情報識別部、２、２Ａ（１）〜２Ａ（ｎ）、２Ｂ（１）〜２Ｂ（ｎ）…ＰＣ、３、３Ａ、３Ｂ…ＬＡＮ

Claims (6)

1. 広域ネットワークへの接続を可能にする第１の接続部と、
   端末装置の自機への接続を可能にする第２の接続部と、
   前記第２の接続部を通じて接続された端末装置からの要求に応じて、前記広域ネットワークを通じて送信する送信データに対してセキュリティチェックを行う送信時チェック手段と、
   前記送信時チェック手段によりセキュリティチェックがされた前記送信データに対して、所定のチェック済み情報を付加する付加手段と
   前記付加手段で前記チェック済み情報が付加された前記送信データを、前記第１の接続部を通じて前記広域ネットワークに送出し、相手先に送信するようにする送信処理手段と
   を備えることを特徴とするセキュリティ監視装置。
2. 請求項１に記載のセキュリティ監視装置であって、
   前記第２に接続部を通じて接続された前記端末装置宛ての送信データを、前記第１の接続部を通じて受信するようにする受信処理手段と、
   前記受信処理手段を通じて受信した受信データに、所定の前記チェック済み情報が付加されているか否かを識別する識別手段と、
   前記識別手段により前記チェック済み情報が付加されていると識別された場合に、前記受信データに対してセキュリティチェックを行わないように制御する受信時チェック制御手段と
   を備えることを特徴とするセキュリティ監視装置。
3. 広域ネットワークへの接続を可能にする第１の接続部と、
   端末装置の自機への接続を可能にする第２の接続部と、
   前記第２の接続部を通じて接続された端末装置からの要求に応じて、前記広域ネットワークを通じて送信する送信データに対してセキュリティチェックを行う送信時チェック手段と、
   前記送信時チェック手段によりセキュリティチェックがされた前記送信データに対して、所定のチェック済み情報を付加する付加手段と
   前記付加手段で前記チェック済み情報が付加された前記送信データを、前記第１の接続部を通じて前記広域ネットワークに送出し、相手先に送信するようにする送信処理手段と、
   前記第２に接続部を通じて接続された前記端末装置宛ての送信データを、前記第１の接続部を通じて受信するようにする受信処理手段と、
   前記受信処理手段を通じて受信した受信データに、所定の前記チェック済み情報が付加されているか否かを識別する識別手段と、
   前記識別手段により前記チェック済み情報が付加されていると識別された場合に、前記受信データに対してセキュリティチェックを行わないように制御する受信時チェック制御手段と
   を備えることを特徴とするセキュリティ監視装置。
4. 広域ネットワークへの接続を可能にする第１の接続部と、端末装置の自機への接続を可能にする第２の接続部とを備えるセキュリティ監視装置で用いられるセキュリティ監視方法であって、
   送信時チェック手段が、前記第２の接続部を通じて接続された端末装置からの要求に応じて、前記広域ネットワークを通じて送信する送信データに対してセキュリティチェックを行う送信時チェック工程と、
   付加手段が、前記送信時チェックにおいてセキュリティチェックがされた前記送信データに対して、所定のチェック済み情報を付加する付加工程と
   送信処理手段が、前記付加工程において前記チェック済み情報を付加した前記送信データを、前記第１の接続部を通じて前記広域ネットワークに送出し、相手先に送信するようにする送信処理工程と
   を有することを特徴とするセキュリティ監視方法。
5. 請求項４に記載のセキュリティ監視方法であって、
   受信処理手段が、前記第２に接続部を通じて接続された前記端末装置宛ての送信データを、前記第１の接続部を通じて受信するようにする受信処理工程と、
   識別手段が、前記受信処理工程において受信した受信データに、所定の前記チェック済み情報が付加されているか否かを識別する識別工程と、
   前記識別工程において前記チェック済み情報が付加されていないと識別された場合に、受信時チェック手段が前記受信データに対してセキュリティチェックを行う受信時チェック工程と
   を有することを特徴とするセキュリティ監視方法。
6. 広域ネットワークへの接続を可能にする第１の接続部と、端末装置の自機への接続を可能にする第２の接続部とを備えるセキュリティ監視装置で用いられるセキュリティ監視方法であって、
   前記第２の接続部を通じて接続された端末装置からの要求に応じて、送信時チェック手段が、前記広域ネットワークを通じて送信する送信データに対してセキュリティチェックを行う送信時チェック工程と、
   付加手段が、前記送信時チェック工程においてセキュリティチェックがされた前記送信データに対して、所定のチェック済み情報を付加する付加工程と
   送信処理手段が、前記付加工程において前記チェック済み情報が付加された前記送信データを、前記第１の接続部を通じて前記広域ネットワークに送出し、相手先に送信するようにする送信処理工程と、
   受信処理手段が、前記第２に接続部を通じて接続された前記端末装置宛ての送信データを、前記第１の接続部を通じて受信するようにする受信処理工程と、
   識別手段が、前記受信処理工程を通じて受信した受信データに、所定の前記チェック済み情報が付加されているか否かを識別する識別工程と、
   前記識別工程において前記チェック済み情報が付加されていると識別された場合に、受信時チェック制御手段が、前記受信データに対してセキュリティチェックを行わないように制御する受信時チェック制御工程と
   を有することを特徴とするセキュリティ監視方法。

Images