JP3420002B2 - 通信監査装置及び通信監査方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワークに接
続された端末間で情報を暗号化して送受信する暗号通信
システムに関する。

【０００２】

【従来の技術】近年では、ネットワークに接続されたワ
ークステーションやパーソナルコンピュータなどの端末
間で文書・画像・音声などの情報を電子化して送受信す
る通信システムが広く普及している。

【０００３】このような通信システムにおいて、情報の
受け渡しにあたっては（特に外部のネットワークを介し
た情報の受け渡しにあたっては）、情報の秘匿性を確保
するために、送信側で情報を暗号化し、受信側で暗号化
された情報を復号する暗号通信を用いることが多い。す
なわち、情報を暗号化してネットワークへ送信すること
で、送信者が宛先として指定した相手以外のネットワー
ク利用者にはその情報を閲覧等することができなくな
り、情報の秘匿性を保つことができる。

【０００４】しかしながら、ある一纏まりのネットワー
ク（例えば社内ネット）からその外部へ送り出される情
報について、その情報が例えば企業秘密に関わる情報で
あるか否かなどについて監視しようしても、その送り出
されようとする情報を逐一復号する必要があり、監視が
困難であった。

【０００５】

【発明が解決しようとする課題】以上のように従来は、
ネットワークを用いて暗号化された情報の受け渡しを行
う通信システムにおいて、ある一纏まりのネットワーク
からその外部へ送り出される情報の内容を監視すること
が困難であった。

【０００６】本発明は、上記事情を考慮してなされたも
ので、ネットワークを用いて暗号化された情報の受け渡
しを行う通信システムにおいて、ある一纏まりのネット
ワークからその外部へ送り出される情報の内容の監視を
効率的かつ効果的に行うことのできる暗号通信システム
を提供することを目的とする。

【０００７】

【課題を解決するための手段】本発明（請求項１）は、
管理対象となる内部ネットワークに属する端末から外部
ネットワークを介して接続された端末に送信される暗号
化された情報（例えば、文書、画像、音声など）を監視
する通信監査装置において、前記内部ネットワークに属
する端末から前記外部ネットワークを介して接続された
端末へ向けて送り送信される情報について、送信元と送
信先の組をキーとして送信履歴を収集する手段と、収集
された前記送信履歴から得られる所定の統計量が予め定
められた所定の条件を満たすものとなった（例えば、総
転送回数がしきい値を越えるものとなった）送信元と送
信先の組を持つ情報が送信されようとする場合、該情報
を該送信先に転送せずに、予め定められた特定の宛先に
転送する手段とを備えたことを特徴とする。

【０００８】これによって、前記情報の転送を受けた前
記特定の宛先の端末を操作可能な監査人は、送信元ユー
ザ（または送信元ユーザと送信先ユーザの組）により特
定される復号鍵を用いて該情報を復号して内容を監査す
ることができる。

【０００９】また、監査後、その内容に問題がないと判
断された場合には、該特定の端末から情報をあらためて
送信先に向けて送り出すようにしても良い。あるいは、
通信監査装置内に該パケットを識別子を付して保持して
おき、該特定の端末から通信監査装置にパケットの識別
子を指定して該パケットをその本来の送信先に向けて送
り出すよう指示を出すようにしても良い。あるいは、該
情報の送信元に該情報を再度その本来の送信先に向けて
送り出すよう指示を出すようにしても良い。

【００１０】ここで、前記所定の条件を適宜設定するこ
とにより、監査対象を絞った効率的かつ効果的な監査を
行うことができる。例えば、所定の条件を総転送回数の
しきい値とすることにより、転送回数が際だって多い特
定の送信元と送信先の組を持つ情報についてのみ監査対
象とすることができる。

【００１１】好ましくは、前記外部ネットワークを介し
て接続された端末を送信先とする情報を復号して内容を
監査する場合がある旨の警告文を、所定のタイミングで
（例えば該端末を立ち上げる際に）前記内部ネットワー
クに属する端末に表示させる手段を備えても良い。

【００１２】これによって、該端末のユーザに警告を与
え、例えば外部に企業秘密に関わる情報を漏洩するよう
な不正を未然に防止する効果を得ることができる。好ま
しくは、前記転送する手段により前記情報が前記特定の
宛先に転送される場合に、該情報を該送信先に転送せず
に復号して内容を監査する旨のメッセージを、該情報を
発した送信元の端末に送信する手段を備えても良い。

【００１３】これによって、該端末のユーザは、情報が
送信先に転送されなかった理由が、ネットワーク上の通
信エラーなどによるものではなく、監査によるものであ
ることを知ることができる。

【００１４】本発明（請求項４）は、管理対象となる内
部ネットワークに属する端末から外部ネットワークを介
して接続された端末に送信される暗号化された情報を監
視する通信監査方法において、前記内部ネットワークに
属する端末から前記外部ネットワークを介して接続され
た端末へ向けて送り送信される情報について、送信元と
送信先の組をキーとして送信履歴を収集し、収集された
前記送信履歴から得られる所定の統計量が予め定められ
た所定の条件を満たすものとなった送信元と送信先の組
を持つ情報が送信されようとする場合、該情報を該送信
先に転送せずに、予め定められた特定の宛先に転送する
ことを特徴とする。

【００１５】好ましくは、前記外部ネットワークを介し
て接続された端末を送信先とする情報を復号して内容を
監査する場合がある旨の警告文を、所定のタイミングで
前記内部ネットワークに属する端末に表示させるように
しても良い。

【００１６】好ましくは、前記転送する手段により前記
情報が前記特定の宛先に転送される場合に、該情報を該
送信先に転送せずに復号して内容を監査する旨のメッセ
ージを、該情報を発した送信元の端末に送信するように
しても良い。なお、上記の発明は、相当する手順あるい
は手段をコンピュータに実行させるためのプログラムを
記録した機械読取り可能な媒体としても成立する。

【００１７】

【発明の実施の形態】以下、図面を参照しながら発明の
実施の形態を説明する。図１は、本発明の一実施形態に
係る暗号通信システムを示す概念図である。図１におい
て、内部ネットワーク１１は、社内ネットワーク（企業
内ネットワーク）などのローカルエリアネットワークで
あり、例えば会社の各部署や工場、営業所などに設置さ
れた各端末を結んでいる。なお、内部ネットワーク１１
は、社内ネットワークに限らず、所定の組織単位あるい
は管理単位のネットワークであれば良い。

【００１８】外部ネットワーク１２は、内部ネットワー
ク１１からみた外部のネットワークである。内部ネット
ワークを社内ネットワークとすると、外部ネットワーク
は社外ネットワークに相当する。外部ネットワーク１２
の一例としては、世界中に張り巡らされているインター
ネットが代表的である。

【００１９】情報監査装置１３は、内部ネットワーク１
１に属する端末を管理対象とし、内部ネットワーク１１
に属する端末から社外ネットワーク１２に送り出される
情報を監視する。本実施形態では、情報をパケット単位
で監視するものとする。すなわち、情報監査装置１３
は、パケット内に書き込まれた送信元と送信先の情報を
もとに、該パケットが内部のどのユーザを送信元とし外
部のどのユーザを送信先として送り出されたかを監視
し、その統計情報を収集する。そして、この統計情報を
もとにパケットの監査を行う。

【００２０】図２に、本実施形態で転送対象となるパケ
ットの一例としてＴＣＰ／ＩＰパケットの構造を示す。
図２に示すように、パケットには、少なくとも、送信元
のアドレス２１、送信先のアドレス２２、プロトコルの
種類（ポート番号）２３、データの内容２４が含まれる
ものとする。

【００２１】なお、本実施形態では、パケット内に送信
元となるユーザ（内部のユーザ）を特定可能なデータが
含まれているものとする。例えば、送信元のアドレス２
１で内部のユーザを特定可能とする。

【００２２】本実施形態では、内部のユーザは秘密鍵暗
号を用いて情報（図２ではデータの内容２４）を暗号化
し通信を行うものとする。内部のユーザの使用する秘密
鍵は、ユーザをキーとしてあるいはユーザとその送信相
手の組をキーとして、内部ネットワーク１１内で管理さ
れているものとする。秘密鍵暗号については、池野、小
山共著「現代暗号理論」電子情報通信学会編や、岡本著
「暗号理論入門」共立出版株式会社等に詳しいので、こ
こでの説明は省略する。

【００２３】次に、通信監査装置２０の機能について説
明する。通信監査装置２０は、内部のユーザから外部へ
の送信の状況を、パケットの送信元アドレス２１と送信
先アドレス２２を参照して統計的処理により把握する。
そして、所定の統計量が予め定められた所定の条件を満
たすものになると（例えば転送パケットの累計数がしき
い値以上になると）、パケットをその本来の送信先へは
転送せずに、パケット内の暗号化された情報を復号しそ
の内容の監査を行うために該パケットを監査人（すなわ
ち、内部の特定のユーザ）宛てに転送する。

【００２４】以下、具体例として発信された電子メール
を監査する場合について説明する。図３に、通信監査装
置２０による監査の概要を示す。図３において、ユーザ
Ａを監査人、ユーザＢを内部のユーザ（例えば社員）と
し、ユーザＣとユーザＤが外部のユーザ（例えば社外の
ユーザ）であるとする。

【００２５】通信監査装置２０は、内部のユーザＢから
外部のユーザＣ宛てあるいはユーザＤ宛てのパケットを
受け取ると、パケット内に記述されている送信元アドレ
スと送信先アドレスを調べ、送信元と送信先の組ごとに
パケット量を累計して行く。

【００２６】図３では、ユーザＢの通信記録として、Ｃ
宛てにｘ回、Ｄ宛てにｙ回、パケット転送が行われた状
態が示されている。ここで、例えば、上記所定の条件を
「今受け取ったパケットをその宛先に転送すると通信回
数がｘ（ここでｘ＞ｙとする）回を越える」条件である
とする。この場合、図３の状態でユーザＢからＤ宛てに
パケットが送信されると、該パケットはこの条件を満た
さないので、通信監査装置２０はＤ宛てにパケットを送
り出す（Ｄ宛ての通信回数はｙ＋１となる）。一方、図
３の状態でユーザＢからＣ宛てに送信されたパケットが
通信監査装置２０に入力されると、Ｃ宛ての通信回数は
ｘ＋１にカウントアップされ、この結果、該パケットは
上記条件を満たすことになるので、通信監査装置２０
は、該パケットをＣ宛てには転送せずに、監査人Ａの端
末宛てに転送する。

【００２７】このようにして上記パケットを転送された
監査人Ａは、送信元アドレス（または送信元アドレスと
送信先アドレスの組）により特定される秘密鍵を用いて
該パケット内の暗号化データを復号して内容を監査する
ことができる。なお、該秘密鍵は、監査人Ａの端末ある
いはこれに直接接続されたサーバあるいは内部ネットワ
ーク１１内の他のサーバ装置で管理し、監査人Ａの端末
にて入手可能であるものとする。

【００２８】また、監査後、その内容に問題がないと判
断された場合には、該監査人Ａの端末からパケットをあ
らためて本来の送信先に向けて送り出すようにしても良
い。あるいは、通信監査装置２０内にて該パケットを識
別子を付して保持しておき、該監査人Ａの端末から通信
監査装置２０にパケットの識別子を指定して該パケット
をその本来の送信先に向けて送り出すよう指示を出すよ
うにしても良い。あるいは、該パケットの送信元に該パ
ケットを再度その本来の送信先に向けて送り出すよう指
示を出すようにしても良い。

【００２９】ここで、前記所定の条件を適宜設定するこ
とにより、監査対象を絞った効率的かつ効果的な監査を
行うことができる。例えば、所定の条件を総転送回数の
しきい値とすることにより、転送回数が際だって多い特
定の送信元と送信先の組を持つ情報についてのみ監査対
象とすることができる。

【００３０】次に、図４に、通信監査装置２０の内部構
成の一例を示す。また、図５に、通信監査装置２０の処
理の流れの一例を示す。通信監査装置２０は、パケット
解析部４３、送信ログ取得部４５、送信パケット統計処
理部４６、監査条件判定部４７、メール発信部４８を備
えている。

【００３１】図４において、４１はユーザＢからの暗号
メールを示し、４２は送信されるパケットに含まれる情
報の概略を示している。まず、暗号メールを受信する
と、パケット解析部４３でパケット内に記述された該パ
ケットの送信元と送信先を検出する（ステップＳ１
１）。また、必要に応じて、プロトコルの種類、データ
量など、他の情報も検出する。

【００３２】次に、送信ログ取得部４５は、パケットの
送信元と送信先の組ごとにログを取る。ログの内容は、
例えば、日時、送信元、送信先、プロトコルの種類など
からなる。あるいは、データ量などを付加しても良い。

【００３３】次に、送信パケット統計処理部４６は、送
信ログ取得部４５からの情報をもとに、パケット毎に統
計処理を行う（ステップＳ１２）。ここでは、送信元と
送信先の組ごとにパケット数を計数するものとする。な
お、送信元と送信先とプロトコルの種類の組ごとに統計
処理を行っても良いし、特定の種類のプロトコルについ
てのみ、送信元と送信先の組ごとにパケット数の計数す
るようにしても良いし、その他、種々の統計処理の方法
が考えられる。

【００３４】なお、送信ログ取得部４５を設けない構成
も考えられる。この場合、パケット解析部４３から直
接、送信パケット統計処理部４６に、必要なデータを与
える。次に、監査条件判定部４７は、パケット毎に行っ
た統計処理により得られる所定の統計量が、予め定めた
条件を満たすか否か判定する（ステップＳ１３）。

【００３５】ここでは、一例として、所定の統計量を送
信回数ｎとし、予め定めた条件を「送信回数ｎがしきい
値Ｎ以上であること」とする。この場合、監査条件判定
部４７は、暗号メールを監査するか否かを決定するため
のしきい値Ｎと送信回数ｎを比較する。

【００３６】上記条件が満たされない場合（本具体例で
はＮ＞ｎである場合）には（ステップＳ１４）、監査す
べき条件が満たされないので、該電子メールを本来の送
信先に向けて外部ネットワーク１２に送り出す（ステッ
プＳ１５）。

【００３７】一方、上記条件が満たされる場合（本具体
例ではＮ≦ｎである場合）には（ステップＳ１４）、監
査すべき条件が満たされるので、メール発信部４８は、
このメールを監査人Ａに発信する（ステップＳ１６）。

【００３８】なお、通信監査装置２０内では、パケット
を送信するまでバッファに蓄積しておいても良いし、パ
ケット解析部４３、送信ログ取得部４５、送信パケット
統計処理部４６、監査条件判定部４７、メール発信部４
８の各部分でリレーして言っても良い。

【００３９】以下、具体例を用いて通信監査装置２０の
動作例を説明する。今、図３のユーザＢが暗号メールを
ユーザＣ宛てに送信したとする。ユーザＢが発信した暗
号メールは、パケットとして図４中の４２に示すように
発信元および発信先がヘッダとして付加される。

【００４０】このパケットを受け取った通信監査装置２
０では、パケット解析部４３により該パケットがユーザ
Ｂからのパケットであることと、該パケットがユーザＣ
へ発信されていることなどを検出し、その結果を送信ロ
グ取得部４５へ送る。

【００４１】送信ログ取得部４５は、送信元と送信先と
を組にして、パケット送信のログを記録しておく。本具
体例では、ユーザＢがパケットをユーザＣに送信したロ
グを記録しておく。

【００４２】この結果を、送信パケット統計処理部４６
へ送り、ある特定のパケット、例えば現在送信されてい
るパケットのこれまでの個数をカウントする。この結果
を、ｎとする。

【００４３】このｎを監査条件判定部４７へ送り、ある
しきい値Ｎと比較する。このしきい値は、監査人Ａが予
め設定した値である。このとき、ｎがしきい値Ｎ未満で
ある場合は、該パケットをユーザＣに向けて外部ネット
ワーク１２に送り出す。

【００４４】一方、ｎがしきい値Ｎ以上となった場合
は、メール発信部４８にて、ユーザＢが送信した暗号メ
ールを監査人Ａへ送信する。なお、同時に、ユーザＢか
らユーザＣへのパケットの量がしきい値Ｎ以上となった
ことをメールにて知らせるようにしても良い。

【００４５】この結果、監査人Ａは、ユーザＢから出さ
れたユーザＣ宛ての暗号メールを、所定の鍵で復号し内
容を監査することができる。また、メール発信部４８
は、ある特定の内容を持つパケット、例えば使用されて
いないポート番号を付加したパケットをユーザＢのホス
トマシンへ送信する。ユーザＢのホストマシンは、警告
メッセージ発信部４９でこの特定のパケットを受け取
り、警告メッセージをユーザＢが使用しているマシンの
ディスプレイ上に、例えば、「これより暗号化されたメ
ールの監査を行います」というメッセージとして表示す
るようにしても良い。この警告メッセージは、現在使わ
れているファイアウォールの警告システムと同様に、各
ホストマシンにソフトウェアで実現可能である。

【００４６】なお、以上では、所定の統計量としてパケ
ット数、所定の条件として「パケット数がしきい値以上
になること」を一例として示したが、これに限定される
ものではない。

【００４７】例えば、監査対象とする送信元の範囲、あ
るいは送信先の範囲、あるいは送信元と送信先の組の範
囲を限定しても良い。また、上記所定の条件あるいは所
定の統計量および所定の条件を、送信元、あるいは送信
先、あるいは送信元と送信先の組ごとに設定しても良
い。

【００４８】また、上記所定の統計量を一定期間毎に求
めても良い。例えば、転送パケット数を月初めにクリア
し、当該月における転送パケット数としきい値を比較す
るようにしても良いし、その日から過去一定期間の間の
転送パケット数で比較するようにしても良い。

【００４９】その他、種々変形して実施可能である。な
お、以上では、監査するパケットを監査人に転送してい
たが、その代わりに、パケットは監査人に転送せずに、
監査人にメッセージのみ転送するようにしても良い。こ
の場合にも、監査人は、通信監査装置内に保持されてい
るパケットを監査することができる。

【００５０】ところで、内部のユーザが、自分のホスト
マシンを立ち上げ、マシンにログインをすると、画面上
に、例えば「本システムを使用して外部へ情報を暗号化
して送信する場合、復号して情報の内容を監査すること
があります。」というメッセージを表示させるようにし
ても良い。

【００５１】これによって、該端末のユーザに警告を与
え、例えば外部に企業秘密に関わる情報を漏洩するよう
な不正を心理的に抑え未然に防止する効果を得ることが
できる。本発明は、上述した実施の形態に限定されるも
のではなく、その技術的範囲において種々変形して実施
することができる。

【００５２】

【発明の効果】本発明によれば、ネットワークを用いて
暗号化された情報の受け渡しを行う通信システムにおい
て、送信履歴をもとにして一定の条件を成立させる情報
を監査対象として選択することで、内部ネットワークか
らその外部へ送り出される情報の内容の監視を効率的か
つ効果的に行うことができる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る暗号通信システムの
概念を示す図

【図２】同実施形態におけるパケットの構造の一例を示
す図

【図３】同実施形態の通信監査装置の動作を説明するた
めの図

【図４】同実施形態の通信監査装置の内部構成の一例を
示す図

【図５】同実施形態の通信監査装置の処理の流れの一例
を示すフローチャート

【符号の説明】

１１…社外ネットワーク １２…社内ネットワーク １３…通信監査装置 ３５…通信監査装置 ４３…パケット解析部 ４５…送信ログ取得部 ４６…送信パケット統計処理部 ４７…監査条件判定部 ４８…メール発信部 ４９…警告メッセージ表示部

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁷ 識別記号 ＦＩ Ｈ０４Ｌ 29/14 Ｈ０４Ｌ 13/00 ３１３ (72)発明者 川村 信一 神奈川県川崎市幸区小向東芝町１番地 株式会社東芝研究開発センター内 (72)発明者 遠藤 直樹 神奈川県川崎市幸区小向東芝町１番地 株式会社東芝研究開発センター内 (56)参考文献 特開 平７−99507（ＪＰ，Ａ) 特開 平６−152699（ＪＰ，Ａ) 特開 昭59−66243（ＪＰ，Ａ) 特開 昭55−154854（ＪＰ，Ａ) 高井 茂，Ｓｕｎ Ｍｉｃｒｏｓｙｓ ｔｅｍｓ Ｎｅｔｒａインターネットサ ーバーを導入する，ｎｅｔ ＰＣ，株式 会社アスキー，1996年 ９月 １日，第 １巻第５号，ｐｐ．128−135 近藤 麻里子，ネットワーク内部セキ ュリティ管理に関する検討，信学技報Ｓ ＳＥ95−89，1995年 ９月29日 碩 耕一，ネットワークセキュリティ とファイアウォール，信学技報 ＣＳ94 −80，1994年 ８月 ２日 (58)調査した分野(Int.Cl.⁷，ＤＢ名) H04L 12/66 H04L 12/56 H04L 12/46 H04L 29/14 G06F 13/00

Claims (4)

(57)【特許請求の範囲】
1. 【請求項１】管理対象となる内部ネットワークに属する
   端末から外部ネットワークを介して接続された端末に送
   信される暗号化された情報を監視する通信監査装置にお
   いて、 前記内部ネットワークに属する端末から前記外部ネット
   ワークを介して接続された端末へ向けて送り送信される
   情報について、送信元と送信先の組をキーとして送信履
   歴を収集する手段と、 収集された前記送信履歴から得られる所定の統計量が予
   め定められた所定の条件を満たすものとなった送信元と
   送信先の組を持つ情報が送信されようとする場合、該情
   報を該送信先に転送せずに、予め定められた特定の宛先
   に転送する手段とを備えたことを特徴とする通信監査装
   置。
2. 【請求項２】前記外部ネットワークを介して接続された
   端末を送信先とする情報を復号して内容を監査する場合
   がある旨の警告文を、所定のタイミングで前記内部ネッ
   トワークに属する端末に表示させる手段を備えたことを
   特徴とする請求項１に記載の通信監査装置。
3. 【請求項３】前記転送する手段により前記情報が前記特
   定の宛先に転送される場合に、該情報を該送信先に転送
   せずに復号して内容を監査する旨のメッセージを、該情
   報を発した送信元の端末に送信する手段を備えたことを
   特徴とする請求項１に記載の通信監査装置。
4. 【請求項４】管理対象となる内部ネットワークに属する
   端末から外部ネットワークを介して接続された端末に送
   信される暗号化された情報を監視する通信監査方法にお
   いて、 前記内部ネットワークに属する端末から前記外部ネット
   ワークを介して接続された端末へ向けて送り送信される
   情報について、送信元と送信先の組をキーとして送信履
   歴を収集し、 収集された前記送信履歴から得られる所定の統計量が予
   め定められた所定の条件を満たすものとなった送信元と
   送信先の組を持つ情報が送信されようとする場合、該情
   報を該送信先に転送せずに、予め定められた特定の宛先
   に転送することを特徴とする通信監査方法。