JP4260658B2

JP4260658B2 - Ｖｐｎ装置および不正検知システム

Info

Publication number: JP4260658B2
Application number: JP2004071196A
Authority: JP
Inventors: 歩沼倉
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2004-03-12
Filing date: 2004-03-12
Publication date: 2009-04-30
Anticipated expiration: 2024-03-12
Also published as: JP2005260709A

Description

この発明は、ＩＰｓｅｃ（IP Security）技術により構成された仮想私設ネットワーク（Virtual Private Network，以下、ＶＰＮという）で不正侵入検知を行うＶＰＮ装置と、公衆ネットワークや共有ネットワークなどの広域ネットワークにおいて不正パケットを検知するために適用される侵入検知装置（Intrusion Detection System，ＩＤＳ装置ともいう）装置または侵入検知防御装置（Intrusion Detection Protection，ＩＤＰ装置ともいう）をＶＰＮに適用した不正検知システムに関するものであり、特に、パケットが暗号化されてＩＰｓｅｃトンネリングする際のパケットの不正検知を行うＶＰＮ装置と、暗号化パケットが通過する位置に設置され、暗号化パケットの不正検知を行うＩＤＳ装置またはＩＤＰ装置を備える不正検知システムに関するものである。

ＩＤＳ装置やＩＤＰ装置に代表される不正検知技術は、不正なパケットであるか否かの分析をパケット内のデータに基づいて実施しており、シグネチャー処理やログ解析処理などのさまざまな分析処理を用いて不正なパケットを検出し、悪意のあるユーザからの不正パケットを排除するものである。一方で、パケットを暗号化して公衆ネットワークなどを仮想的な専用線として使用するＶＰＮを構築するサービスが提供されている。

ところで、従来のＩＤＳ装置またはＩＤＰ装置（以下、これらの装置をまとめて不正検知装置という）では、分析処理はパケット内のデータに基づいているため、ＶＰＮ環境のようにパケットが暗号化され、トンネリングされるような場合では、全く分析処理ができなかった（たとえば、非特許文献１参照）。

また、たとえば外部ネットワークに接続された社内ネットワークを有する企業において、社内からの悪意のある不正アクセスが無いわけではなく、また悪意がなくともウィルスに感染したパーソナルコンピュータを社内ネットワークに接続してしまう場合も少なくはない。この社内ネットワークが外部の他のネットワークとＶＰＮで結ばれているような環境下でネットワーク型不正検知装置を利用したい場合は、暗号化されたパケットが復号後に通過するネットワーク上にネットワーク型不正検知装置を設置する必要がある。

丸山龍一郎，"［特集］不正浸入対策最前線（後編）〜侵入検知システムでのトータルセキュリティの構築〜"，[online]，２００１年９月１５日，２００３年１１月１８日，インターネット＜URL:http://www.atmarkit.co.jp/fsecurity/special/07ids/ids01c.html＞

しかしながら、上記のように外部のネットワークとＶＰＮで接続されたローカルなネットワーク環境下で、暗号化パケットの復号後に通過するローカルなネットワーク上に不正検知装置を配置して不正を検知したとしても、送信元の情報として送信元ＩＰ（Internet Protocol）アドレスのみしかわからないという問題点があった。また、パケットの復号後に不正を検知してパケットを廃棄したとしても、そこまで流れてきているトラヒックはそのまま公衆ネットワークなどの外部ネットワークを介し、ローカルなネットワークの入り口まで通過している。そのため、不正パケットによるネットワークにかかる負荷を削減できないという問題点もあった。

この発明は、上記に鑑みてなされたもので、ＩＰｓｅｃによるＶＰＮサービスを利用しているユーザの暗号化パケットに対しても、悪意あるユーザの不正パケットを検出し、排除することができるＶＰＮ装置を得ることを目的としている。また、ＶＰＮ装置と連携して動作することで、ＶＰＮの暗号化されたトラヒックが通過する公衆ネットワーク上においても不正を検知できる不正検知装置を備える不正検知システムを得ることも目的としている。

上記目的を達成するため、この発明にかかるＶＰＮ装置は、広域ネットワークに接続される複数のプライベートネットワーク間で通信されるデータを暗号化して前記広域ネットワーク内に仮想的な専用線を構築して通信を行うために、前記広域ネットワークと前記プライベートネットワークとの間に配置され、他のＶＰＮ装置との間で確立される仮想的な論理経路で暗号化通信を行うための暗号化／復号化情報を含む暗号情報を格納する暗号情報格納手段と、前記プライベートネットワークから受信した平文パケットを、前記暗号情報を用いて暗号化パケットに変換して前記広域ネットワークに送信する暗号化処理手段と、前記広域ネットワークから受信した暗号化パケットを、前記暗号情報を用いて復号して平文パケットに変換して前記プライベートネットワークに送信する復号処理手段と、を備えるＶＰＮ装置において、前記復号処理手段によって復号された前記平文パケットが不正パケットか否かを判定し、不正パケットである場合にその不正パケットの送信に使用される仮想的な論理経路を特定する不正検出情報を含む制御パケットを送信元である前記他のＶＰＮ装置に送信する不正検知処理手段を備え、前記暗号化処理手段は、前記制御パケットを受信した場合に該制御パケットに含まれる不正検出情報に対応する仮想的な論理経路による送信処理を制御する送信処理制御機能を備えることを特徴とする。

この発明によれば、ＶＰＮ装置内で不正アクセスを検知することができるため、送信元ＩＰアドレスのみではなく、ＩＰｓｅｃ機能で実現されるＳＡ単位での不正を検知することができるという効果を有する。また、ＶＰＮ通信を行っている対向のＶＰＮ装置と連携することで、ＳＡ単位でのトラヒック制御が可能になるという効果を有する。

以下に添付図面を参照して、この発明にかかるＶＰＮ装置および不正検知システムの好適な実施の形態を詳細に説明する。

実施の形態１．
図１は、この発明にかかるＶＰＮ装置が適用されるネットワークシステムの構成を示す概略図である。この発明にかかるＶＰＮ装置が適用されるネットワークシステムは、端末装置１１を有するユーザネットワーク１０と、端末装置２１を有するユーザネットワーク２０と、公衆ネットワーク３０とが接続された構成を有する。ユーザネットワーク１０，２０と公衆ネットワーク３０との境界には、ＶＰＮを用いて通信を行うＶＰＮ装置１２，２２がそれぞれ設けられている。ユーザネットワーク１０，２０内の端末装置１１，２１は、公衆ネットワーク３０上においてＶＰＮ装置１２とＶＰＮ装置２２とを接続するＶＰＮトンネル３１を介して通信を行う。

ユーザネットワーク１０，２０は、たとえばイーサネット（登録商標）、ＩＥＥＥ（Institute of Electrical and Electronics Engineers）８０２．３／８０２．２標準、ＩＥＥ８０２．３／ＳＮＡＰ（SubNetwork Access Protocol）、イーサネット（登録商標）（ＰＡＤつき）、ＳＤＨ（Synchronuos Digital Hierarchy）／ＳＯＮＥＴ（Synchronous Optical NETwork）（ＰＰＰ（Point to Point Protocol））、フレームリレー、ＦＤＤＩ（Fiber-Distributed Data Interface）、ＡＴＭ（Asynchronous Transfer Mode）などで構成されるネットワークである。ユーザネットワーク１０，２０は、自ネットワークにおいて各ノード装置が通信可能であるとともに、ＶＰＮ装置１２，２２を用いて公衆ネットワーク３０をＶＰＮサービスとして利用することで、ユーザネットワーク１０内の各ノード装置と、ユーザネットワーク２０内の各ノード装置とが通信可能となる。

公衆ネットワーク３０は、ユーザネットワーク１０，２０以外にも複数のユーザネットワークを収容しており、ＶＰＮ装置１２，２２によりユーザネットワーク１０，２０間のトラヒックを暗号化して、他のユーザネットワークから隔離している。図１においては、ＶＰＮ装置１２からＶＰＮ装置２２に公衆ネットワーク３０内で通信可能なＩＰｓｅｃによる暗号化パケットを転送する、ＶＰＮトンネル３１のみを示している。なお、この公衆ネットワーク３０は、公衆ネットワークや共有ネットワークなどを含む広域ネットワークを意味しているものとする。

ＶＰＮ装置１２，２２は、ユーザネットワーク１０，２０内の端末装置１１，２１が他のユーザネットワークの端末装置との間で暗号化通信を行うとともに、ＶＰＮを介して送信されるＩＰパケット（以下、単にパケットという）の不正を検知するための装置であり、暗号化通信を行う必要のあるユーザネットワーク１０，２０に設置される。図２は、この発明にかかるＶＰＮ装置の構成を模式的に示すブロック図である。このＶＰＮ装置１２，２２は、受信処理部５１、認証処理部５２、暗号情報格納部５３、暗号化処理部５４、復号処理部５５、不正検知処理部５６、送信処理部５７および制御部５８を備えて構成される。

受信処理部５１は、入力ポートから入力されたパケットを受信し、受信したパケットの種類を判別して、認証処理部５２、復号処理部５５、暗号化処理部５４のいずれかにそのパケットを渡す機能を有する。たとえば、ユーザネットワーク１０，２０側から受信した平文のパケットは暗号化処理部５４へ渡し、他のＶＰＮ装置からの平文の認証パケットまたは不正検知通知の制御パケットは認証処理部５２へ渡し、ＶＰＮトンネル３１からの暗号化パケットは復号処理部５５に渡す。

認証処理部５２は、他のＶＰＮ装置と認証パケットによる交渉を行い、仮想的な通信経路であるＳＡ（Security Association）に対応したＶＰＮトンネルで使用される暗号情報を取得して、暗号情報格納部に格納する機能を有する。また、他のＶＰＮ装置からの不正検知通知の制御パケットを受信した場合には、暗号化処理部５４に対して該当するＳＡの通信を停止するよう通知する機能も有する。

暗号情報格納部５３は、認証処理部５２によって取得された暗号情報を格納する。この暗号情報は暗号化／復号化処理に必要な暗号化情報や復号化情報を含み、ＳＡごとに格納される。この暗号情報格納部５３に格納される暗号情報は、復号処理部５５による復号処理時や暗号化処理部５４による暗号化処理時に呼び出されて利用される。

暗号化処理部５４は、ユーザネットワーク側から受信した平文のパケットを、暗号情報格納部５３を参照して送信先の端末装置が属するユーザネットワークのＶＰＮ装置との間のＳＡに対応する暗号化情報に基づいて暗号化処理を行う機能を有する。暗号化された暗号化パケットは送信処理部５７に出力される。図３は、ユーザネットワークから受信する通常のパケット（平文パケット）のフレーム構成の一例を示す図である。通常のパケットは、データを格納するペイロード部分と、ペイロード部分を送信する宛て先や送信元などの情報を含むＩＰヘッダと、から構成される。また、図４は、公衆ネットワーク側から受信するデータパケットであるＩＰｓｅｃでカプセル化された暗号化パケットのフレーム構成の一例を示す図である。暗号化パケットは、暗号化された元のパケットと、元のパケットを暗号化する際に付されるＩＰｓｅｃヘッダと、そしてＩＰｓｅｃヘッダと暗号化された元のパケットを図３のペイロードとしてこのペイロードを送信するためのＩＰヘッダと、から構成される。ＩＰｓｅｃヘッダは、元のパケットを暗号化するセキュリティプロトコルを示すものであり、用いるプロトコルの種類によってその内容が異なる。暗号化処理部５４では、図３に示される通常のパケットを、図４に示される暗号化パケットへと変換する。また、暗号化処理部５４では、認証処理部５２からのＳＡの通信の停止の指示を受けると、該当するＳＡを利用した暗号化パケットの送出を停止する機能も有する。

復号処理部５５は、他のＶＰＮ装置から受信した暗号化パケットを、暗号情報格納部５３を参照して受信したＳＡに対応する復号化情報に基づいて復号処理する機能を有する。復号処理されたパケットは不正検知処理部５６に出力される。復号処理部５５では、図４に示される暗号化パケットを、図３に示される通常のパケットへと変換する。

不正検知処理部５６は、復号処理部５５によって復号処理されたパケットのデータやログ情報を分析し、受信したデータパケットが不正なパケットか正常なパケットかを判断する機能を有する。受信したパケットが正常なパケットの場合には、そのパケットは送信処理部５７へ出力される。また、受信したパケットが不正なパケットの場合には、そのパケットを廃棄するとともに、その不正なパケットの送信元のＶＰＮ装置に対して不正を検出したことを通知する制御パケットを作成して、送信処理部５７へ出力する。図５は、不正検知通知の制御パケットのフレーム構成の一例を示す図である。この図に示されるように、不正検知通知の制御パケットは、不正なパケットの送信元ＩＰアドレスと宛て先ＩＰアドレスを含む不正パケット情報とその不正パケットに関する暗号化情報と復号化情報の組合せからなるアクセスリスト情報を含む不正検出情報と、ＩＰヘッダから構成される。ここで、アクセスリスト情報は、不正なパケットの送信元ＩＰアドレスと宛て先ＩＰアドレスとともに、不正なパケットが送信されるＳＡ情報を特定するものである。また、ＩＰヘッダには、不正なパケットを送信した端末装置が存在するユーザネットワークを収容するＶＰＮ装置を宛て先とするＩＰアドレスと、自ＶＰＮ装置を送信元とするＩＰアドレスが格納される。

送信処理部５７は、認証処理部５２からの認証パケットや復号処理部５５で復号処理された正常なパケット、暗号化処理部５４で暗号化された暗号化パケットをそれぞれの宛て先に送信する機能を有する。また、制御部５８は、以上の各処理部による処理を制御する。

なお、上記の暗号化処理部５４と復号処理部５５によって行われる暗号化／復号化の方式については任意の方式のものを用いることができる。また、不正検知処理部５６によって行われる不正を検知する方式も任意の方式のもの、たとえば従来の不正検知装置で使用されている方式のものを用いることができる。

つぎに、このような構成を有するＶＰＮ装置の動作処理の手順について図６〜図７のフローチャートを参照しながら説明する。ここでは、図１のユーザネットワーク１０の端末装置１１からユーザネットワーク２０の端末装置２１に対してパケットを送信する場合を例に挙げて、ユーザネットワーク１０，２０のそれぞれに接続されるＶＰＮ装置１２，２２の動作について説明する。

まず、ユーザネットワーク１０内の端末装置１１は、端末装置２１宛てのパケットをユーザネットワーク１０上に送信する（ステップＳ１１）。ここでは、宛先ＩＰアドレスには、送信先である端末装置２１のＩＰアドレスが設定され、送信元ＩＰアドレスには、パケットを送信する端末装置１１のＩＰアドレスが設定されるものとする。また、このとき端末装置１１から送出される送信パケットの構成は図３に示されるものとなる。

ＶＰＮ装置１２の受信処理部５１は、ユーザネットワーク１０を介して端末装置１１が送信したパケットを受信する（ステップＳ１２）。受信処理部５１は、受信したパケットのＩＰヘッダに含まれる情報から、ユーザネットワーク１０からの平文のユーザパケットであるのか、公衆ネットワーク３０からの暗号化パケットであるのかを判断し、暗号化パケットであれば復号処理部５５に、ユーザパケットであれば暗号化処理部５４に送信する。ここでは、ユーザネットワーク１０からのユーザパケットであるので、暗号化処理部５４へ送信する。

ＶＰＮ装置１２の暗号化処理部５４は、受信したパケットのＩＰヘッダに含まれる情報からＳＡを識別して、当該ＳＡに対応する暗号情報格納部５３に格納される暗号情報を用いて、パケットの暗号化を行い（ステップＳ１３）、送信処理部５７へ送信する。このとき暗号化処理部５４によって暗号化された送信パケットの構成は図４に示されるものとなる。

ＶＰＮ装置１２の送信処理部５７は暗号化パケット内のＩＰヘッダに存在する宛て先ＩＰアドレスを参照し、対応する宛て先に向けて送信する（ステップＳ１４）。ここでは、暗号化パケットのＩＰヘッダ内の宛て先ＩＰアドレスはＶＰＮ装置２２となる。

ＶＰＮ装置２２の受信処理部５１は、公衆ネットワーク３０上に形成されたＶＰＮトンネル３１から、ＶＰＮ装置１２からの暗号化パケットを受信する（ステップＳ１５）。受信処理部５１は、受信したパケットのＩＰヘッダに含まれる情報から、公衆ネットワーク３０側から受信した暗号化パケットであることを判断し、復号処理部５５へ渡す。

復号処理部５５では、受信した暗号化パケットのＩＰヘッダに含まれる情報から、ＶＰＮ装置１２のどのＳＡに所属する端末からのパケットなのかを判断し、暗号情報格納部５３に保持されている当該ＳＡに対応する復号化情報を利用して、暗号化パケットを復号する（ステップＳ１６）。そして、復号した平文のパケットを、ＳＡを示す情報と共に不正検知処理部５６へ送信する。

不正検知処理部５６は、受信した復号化後の生データの内容を分析して、不正アクセスのパケットか否かを判定する（ステップＳ１７）。判定の結果、安全なパケットである、すなわち不正アクセスのパケットでない場合（ステップＳ１７でＮｏの場合）には、送信処理部５７へ復号化後の平文のパケットを送信する。そして、送信処理部５７は、受信したパケットの宛て先情報に従って、宛て先の端末装置へ送信する（ステップＳ１９）。この場合には、宛て先ＩＰアドレスが端末装置２１のアドレスなので、ユーザネットワーク２０へ送信する。以上で、ユーザネットワーク１０内の端末装置１１から送信される情報に不正アクセスのパケットがない場合のＶＰＮ装置２２による処理が終了する。

一方、ステップＳ１７での不正アクセスのパケットか否かの判定の結果、不正アクセスのパケットであると判定した場合（ステップＳ１７でＹｅｓの場合）には、不正検知処理部５６は、そのパケットを廃棄する（ステップＳ２０）とともに、送信元のＶＰＮ装置１２に、受信したパケットの送信元の端末装置１１が不正アクセスを行う端末装置であることを示す不正検知のための制御パケットを作成し、送信処理部５７から公衆ネットワークに対して送信する（ステップＳ２１）。このときＶＰＮ装置２２によって送信される不正検知通知のための制御パケットの構成は図５に示されるものとなる。

ＶＰＮ装置１２の受信処理部５１は、公衆ネットワーク３０側から不正検知通知の制御パケットを受信すると（ステップＳ２２）、暗号化処理部５４へ通知する。暗号化処理部５４は、制御パケット内の不正検出情報のアクセスリストに従って、対応するＳＡの送信処理を停止し（ステップＳ２３）、ユーザネットワーク１０内の端末装置１１から送信される情報に不正アクセスのパケットがある場合のＶＰＮ装置１２，２２による処理が終了する。

このようにして、公衆ネットワーク３０を介したＶＰＮトンネリングサービスを利用して、端末装置１１から端末装置２１への通信が行なわれる際に、ＶＰＮ装置２２が不正を検出した送信元端末装置が所属するＶＰＮ装置１２からＶＰＮ装置２２へのＳＡを利用した通信を停止することができる。その結果、不正アクセスパケットが存在する場合でも、その不正アクセスを検知して、不正アクセスを未然に防ぐことができる。なお、上記の説明では、端末装置１１から端末装置２１へのＶＰＮトンネリングサービスを利用した通信の場合を例に挙げて説明したが、端末装置２１から端末装置１１へのＶＰＮトンネリングサービス通信の場合は、ＶＰＮ装置２２が上述したＶＰＮ装置１２の動作を行い、ＶＰＮ装置１２が上述したＶＰＮ装置２２の動作を行なうこととなり、基本的な動作処理の手順が同じであるので、その説明は省略する。

なお、上述した説明では、不正アクセスパケットを検知した暗号化処理部５４はＳＡ単位で暗号化パケットの送信を制御しているが、送信元ＩＰアドレス単位に制御を行ってもよい。

また、ＶＰＮトンネリングサービスでは、ＶＰＮ装置１２，２２間であらかじめ、認証処理部５２によって暗号情報の交渉を行う。たとえば、図１のネットワークシステム構成の場合、ＶＰＮ装置１２，２２のそれぞれの認証処理部５２の間で交渉のための認証パケットがやり取りされ、各ＳＡに対応する暗号情報が交渉される。しかしながら、このときＶＰＮ以外のネットワークに所属する悪意のあるユーザから、交渉用の認証パケットを利用して、ＶＰＮ装置１２，２２が攻撃される虞がある。そこで、上述したＶＰＮ装置１２，２２において、ＶＰＮの外部から攻撃された場合に対応したＶＰＮ装置１２，２２の処理の流れについて説明する。

図２に示される構成を有するＶＰＮ装置１２，２２の場合、不正検知処理部５６は、認証パケットを受信処理部５１から受け、その不正検知処理を行った後に認証処理部５２に渡すように構成すればよい。つまり、受信処理部５１は、暗号化のための交渉時に使用される認証パケットを受信した場合には、その認証パケットを不正検知処理部５６に渡し、不正検知処理部５６は、受信した認証パケットの不正検知を行い、不正アクセスパケットでない正常の認証パケットの場合には認証処理部５２にその認証パケットを渡し、不正アクセスパケットである場合には認証処理部５２に渡さずに廃棄するようにすればよい。これにより、復号後のパケットで不正を検出した場合に、該当するＳＡの通信が停止される。

また、他の例として、不正検知処理部５６は、認証パケットを受信処理部５１からの受信パケットと、復号処理部５５によって復号処理されたパケットについて、不正検知処理を行うように構成してもよい。つまり、受信処理部５１は、受信した認証パケットを不正検知処理部５６に渡し、不正検知処理部５６は、受信した認証パケットの不正検知を行い、不正アクセスパケットでない正常の認証パケットの場合には認証処理部５２にその認証パケットを渡し、不正アクセスパケットである場合には認証処理部５２に渡さずに廃棄する。また、不正検知処理部５６は、認証処理部５２から復号処理部５５に渡され、復号処理部５５で復号された平文のパケットの不正検知処理を行い、不正アクセスパケットでない正常の認証パケットの場合には送信処理部５７にその認証パケットを渡し、不正アクセスパケットである場合には送信処理部５７に渡さずに廃棄する。これにより、復号後のパケットで不正を検出した場合に、該当するＳＡの通信が停止される。

以上説明したように、不正検知処理部５６が不正検知処理を行うタイミングを調整することによって、たとえば、ユーザネットワーク１０の端末装置１１から、送信元アドレスをＶＰＮ装置１２としてＶＰＮ装置２２に対して攻撃が行われた場合に、ＶＰＮ装置２２内の不正検知処理部５６でその不正を検知することで、認証処理を行わず、ＶＰＮ装置のＣＰＵ（Central Processing Unit）の負荷を高めるような攻撃を回避することができる。

この実施の形態１によれば、ユーザネットワーク１０，２０に属する端末装置１１，２１がＶＰＮを利用した通信を行う際に、ユーザネットワーク１０，２０が公衆ネットワーク３０と接続する位置に不正検知を行う機能を備えるＶＰＮ装置１２，２２を備え、暗号化されたパケットに対して復号化後に不正検知処理を行い、対向側のＶＰＮ装置と連携して動作を行うので、ＶＰＮの利用者内に悪意のあるユーザが存在した場合でも、不正アクセスを行った送信元ＩＰアドレスだけでなく、ＩＰｓｅｃ機能で実現されるＳＡ単位での不正を検知することができるとともに、ＳＡ毎や送信元ＩＰアドレス単位に制御を行うことができる。また、管理サーバを経由したトラヒック制御ではないため、不正なアクセスに対して迅速に対応することができる。また、暗号化のための交渉時に使用されるパケットを利用した攻撃の不正検知を行うことができ、そのパケットが不正アクセスパケットである場合にはそのパケットを用いた認証処理を行うことなく、ＶＰＮ装置１２，２２を未然に攻撃から守ることができる。

実施の形態２．
図８は、この発明にかかるＶＰＮ装置の実施の形態２の構成を模式的に示すブロック図である。このＶＰＮ装置１２，２２は、実施の形態１の図２の暗号化処理部５４が、平文パケットの暗号化処理を行うとともに、不正検知のための制御パケットを受信した場合に、不正アクセスパケットの送信元に対応するＳＡの帯域を制御する機能を有する暗号化処理・帯域制御部５４ａに置き換わった構成を有する。この暗号化処理・帯域制御部５４ａによって、不正アクセスパケットを送信するＳＡからの送信トラヒックが抑制される。なお、不正アクセスパケットを送信するＳＡの帯域をどのくらい制御するかは任意に定めることができる。

この実施の形態２によるＶＰＮ装置１２，２２の動作処理の手順は、実施の形態１の図６〜図７で説明した手順のステップＳ２３において、対応するＳＡの帯域を抑制する点を除いて同様であるので、その説明を省略する。

図８に示される構成を有するＶＰＮ装置１２，２２の場合にも、上記の実施の形態１の場合と同様に、不正検知処理部５６は、認証パケットを受信処理部５１からの受信パケットと、復号処理部５５によって復号処理されたパケットについて、不正検知処理を行うように構成すればよい。これにより、復号したパケットが不正である場合に、その不正パケットが検知され、暗号化処理・帯域制御部５４ａによって、該当するＳＡの通信トラヒックが絞られる。

以上説明したように、不正検知処理部５６が不正検知処理を行うタイミングを調整することによって、たとえば、ユーザネットワーク１０の端末装置１１から、送信元アドレスをＶＰＮ装置１２としてＶＰＮ装置２２に対して攻撃が行われた場合に、ＶＰＮ装置２２内の不正検知処理部５６でその不正を検知することで、認証処理を行わず、ＶＰＮ装置のＣＰＵの負荷を高めるような攻撃を回避することができる。

この実施の形態２によれば、ＶＰＮ装置１２，２２に帯域制御機能を持たせるように構成したので、不正なパケットを送信するＳＡからの送信トラヒックを抑制し、不正アクセスによる処理の影響を抑えることができるという効果を有する。また、暗号化のための交渉時に使用されるパケットを利用した攻撃の不正検知を行うことができ、そのパケットが不正アクセスパケットである場合にはそのパケットを用いた認証処理を行うことなく、ＶＰＮ装置１２，２２を未然に攻撃から守ることができる。

実施の形態３．
実施の形態２では、不正アクセスパケットを送信するＳＡの帯域を抑制する場合を例に挙げたが、実施の形態１のように不正アクセスパケットを送信するＳＡによる通信を停止させるか、その帯域を絞るかを選択できるように構成してもよい。図９は、この発明にかかるＶＰＮ装置の実施の形態３の構成を模式的に示すブロック図である。このＶＰＮ装置１２，２２は、図８の暗号化処理・帯域制御部５４ａが、平文パケットの暗号化処理を行うとともに、不正検知のための制御パケットを受信した場合に、ＶＰＮ装置１２，２２が保持するＳＡの情報とユーザネットワークの規模などの情報に基づいて、その不正アクセスパケットを送信するＳＡの通信を停止するか、帯域を絞るかを選択して実行する機能を有する暗号化処理・送信制御部５４ｂに置き換わった構成を有する。この暗号化処理・送信制御部５４ｂによって、たとえば、不正アクセスパケットが規模の小さいユーザネットワークに属する端末装置からのものである場合には、対応するＳＡの通信が停止され、逆に、不正アクセスパケットが規模の大きいユーザネットワークに属する端末装置からのものである場合には、対応するＳＡの帯域が抑制される。

この図９に示されるＶＰＮ装置１２，２２の動作処理の手順も、上述した実施の形態１の図６〜図７での動作処理や上述した実施の形態２のＶＰＮ装置１２，２２の動作処理と同様であるので、その説明を省略する。

図９に示されるＶＰＮ装置１２，２２の場合にも、上記の実施の形態１の場合と同様に、不正検知処理部５６は、認証パケットを受信処理部５１からの受信パケットと、復号処理部５５によって復号処理されたパケットについて、不正検知処理を行うように構成すればよい。これにより、復号したパケットが不正である場合に、その不正パケットが検知され、暗号化処理・送信制御部５４ｂによって、該当するＳＡが所属するユーザネットワークの規模に応じて該当するＳＡの通信が停止され、またはトラヒックが絞られる。

このように、不正検知処理部５６が不正検知処理を行うタイミングを調整することによって、たとえば、ユーザネットワーク１０の端末装置１１から、送信元アドレスをＶＰＮ装置１２としてＶＰＮ装置２２に対して攻撃が行われた場合に、ＶＰＮ装置２２内の不正検知処理部５６でその不正を検知することで、認証処理を行わず、ＶＰＮ装置のＣＰＵの負荷を高めるような攻撃を回避することができる。

この実施の形態３によれば、不正アクセスパケットを送信するＳＡの通信を停止するか、帯域を抑制するかの切り替えを行うことができるので、ＳＡの情報やユーザネットワークの規模などの情報に基づいて不正アクセスパケットの送信が検出されたＳＡに対する処置を任意に行うことができるという効果も有する。また、暗号化のための交渉時に使用されるパケットを利用した攻撃の不正検知を行うことができ、そのパケットが不正アクセスパケットである場合にはそのパケットを用いた認証処理を行うことなく、ＶＰＮ装置１２，２２を未然に攻撃から守ることができる。

実施の形態４．
つぎに、実施の形態１〜３のＶＰＮ装置と、公衆ネットワーク内にこの発明による不正検知装置が配置された不正検知システムの実施の形態について説明する。

図１０は、この発明にかかる不正検知システムの実施の形態４の構成の一例を概略的に示す図である。この不正検知システムは、実施の形態１の図１の公衆ネットワーク３０に形成されるＶＰＮトンネル３１内に不正検知装置３２を備える構成を有している。

ＶＰＮ装置１２，２２は、実施の形態１〜３で説明したＶＰＮ装置１２，２２の不正検知処理部５６が、不正検知のための制御パケットに、復号化処理や暗号化処理に必要な暗号方式や暗号キーを含む暗号情報も含めて送信する点が異なる以外は、実施の形態１〜３で説明したＶＰＮ装置と同様であるので、その詳細な説明を省略する。

図１１は、この実施の形態３のＶＰＮ装置によって送信される、不正検知を通知するための制御パケットの構成の一例を模式的に示す図である。この制御パケットは、実施の形態１の図５の制御パケットにおいて、不正アクセスパケットを送信しているＳＡで使用される暗号方式やその暗号キーを含む暗号情報をさらに有する構成となっている。この暗号情報には、暗号化パケットを復号処理する際に利用される復号処理プログラムや、復号処理された平文パケットを暗号処理する際に利用される暗号化処理プログラムを含むものでもよい。

図１２は、この発明にかかる不正検知システムで使用される不正検知装置の概略構成を模式的に示すブロック図である。不正検知装置３２は、公衆ネットワーク３０に接続されるＶＰＮ装置１２，２２から送信される不正検知通知のための制御パケットを通過する位置に配置され、受信処理部７１、暗号情報格納部７２、パケット格納部７３、復号処理部７４、不正検知処理部７５、送信処理部７６および制御部７７を備えて構成される。

受信処理部７１は、入力ポートから入力されたパケットを受信し、受信したパケットがＶＰＮ装置１２，２２から不正検知通知のための制御パケットである場合には、その制御パケットに含まれる不正検出情報と暗号情報とを暗号情報格納部７２に格納する機能を有する。また、通過するパケットが、暗号情報格納部７２中のＳＡに該当する場合には、そのパケットを復号処理部７４へと渡すとともに、パケット格納部７３へと蓄積する機能を有する。通過するパケットが、暗号情報格納部７２中のＳＡに該当しない場合には、そのまま送信処理部７６へと渡す。

暗号情報格納部７２は、ＶＰＮ装置１２，２２からの不正検知通知のための制御パケットに含まれる不正検出情報と暗号情報を格納する。不正検出情報は、不正アクセスパケットが送信されるＳＡに関する情報であり、送信元ＩＰアドレス、宛て先ＩＰアドレス、アクセスリスト情報などを含んで構成される。暗号情報には、そのＳＡで使用される暗号方式や暗号キーまたは不正アクセスパケットを復号処理するための復号化プログラムが含まれる。この暗号化情報はＳＡごとに格納され、復号処理部７４による復号処理時に呼び出されて利用される。パケット格納部７３は、受信処理部７１から渡される暗号情報格納部７２中のＳＡに該当する暗号化パケットを一時的に保持する。

復号処理部７４は、ＶＰＮ装置１２，２２からの暗号化パケットのうち暗号情報格納部７２に保持されているＳＡに該当する暗号化パケットを受けると、その暗号化パケットの複製を作成し、暗号情報格納部７２から該当するＳＡの暗号情報を抽出し、その中の復号化情報を用いて復号処理する機能を有する。復号処理した平文のパケットは、不正検知処理部７５へ渡される。

不正検知処理部７５は、復号処理部７４によって復号処理された生パケットデータについて、パケットのデータやログ情報を分析し、不正なパケットか正常なパケットかを判定し、その結果を送信処理部７６に出力する機能を有する。

送信処理部７６は、不正検知処理部７５による判定結果を用いて、パケット格納部７３に格納されるパケットの送信または廃棄を行う。具体的には、安全なパケットである通知を受けた場合には、パケット格納部７３に蓄積していた対応する暗号化パケットを送信し、不正なパケットである通知を受けた場合には、パケット格納部７３に蓄積していた対応する暗号化パケットを廃棄する処理を行う。また、制御部７７は、これらの処理部の制御を行う。

なお、この実施の形態４においても、ＶＰＮ装置１２，２２や不正検知装置３２における暗号化方式や不正検知方式については限定されるものではなく、任意の方式を使用することができる。また、不正検知装置３２の復号処理部７４では、受信処理部７１で受信したパケットを複製したものを復号化して不正検知処理部７５に渡すようにしているが、受信処理部７１で受信したパケットをそのまま復号化して不正検知処理部７５に渡し、不正検知処理部７５で正常（安全）なパケットであると判定された場合には、暗号情報格納部７２に格納される暗号化情報または暗号化処理プログラムを用いて暗号化処理を行って後に送信処理部７６から送信するようにしてもよい。

つぎに、この実施の形態４における不正検知装置の動作処理の手順について図１３のフローチャートを参照しながら説明する。不正検知装置３２の受信処理部７１は、ＶＰＮ装置１２，２２からパケットを受信すると、そのパケットが不正検知通知のための制御パケットか暗号化パケットかの判定を行う（ステップＳ４１）。受信したパケットが制御パケットである場合（ステップＳ４１でＹｅｓ（制御パケット）の場合）には、受信処理部７１は、制御パケットに含まれる不正検出情報と暗号情報を抽出し、暗号情報格納部７２に格納する（ステップＳ４２）。そして、送信処理部は、制御パケットのヘッダ情報に基づいて制御パケットを転送し（ステップＳ４３）、処理が終了する。

一方、ステップＳ４１で受信したパケットが暗号化パケットである場合（ステップＳ４１でＮｏ（暗号化パケット）の場合）には、受信処理部７１は、そのパケットが暗号情報格納部７２に格納されたＳＡに該当するか否かを判定する（ステップＳ５０）。判定の結果、受信したパケットが暗号情報格納部７２に格納されたＳＡで送信された場合（ステップＳ５０でＹｅｓの場合）には、受信処理部７１は、その暗号化パケットをパケット格納部７３に格納し（ステップＳ５１）、また暗号化パケットを複製したものを復号処理部７４へ渡す。復号処理部７４は、受信した暗号化パケットをそのＳＡに対応する暗号情報の復号化情報を用いて復号化し（ステップＳ５２）、復号化した平文のパケットを不正検知処理部７５へと渡す。不正検知処理部７５は、平文のパケットを分析し、不正なパケットであるか否かを判定する（ステップＳ５３）。不正なパケットである場合（ステップＳ５３でＹｅｓの場合）には、その判定結果を送信処理部７６へと通知し、送信処理部７６はパケット格納部７３内の対応する暗号化パケットを廃棄して（ステップＳ５４）、処理を終了する。また、不正パケットでない場合（ステップＳ５３でＮｏの場合）には、その判定結果を送信処理部７６へと通知し、送信処理部７６はパケット格納部７３内の対応する暗号化パケットをその宛て先へと送信して（ステップＳ５５）、処理を終了する。

また、ステップＳ５０において、暗号情報格納部７２に格納されるＳＡに該当しない場合には、そのまま送信処理部７６へ送信し、送信処理部７６はそのまま暗号化パケットをその宛て先へと送信し（ステップＳ６０）、処理を終了する。

この不正検知システムによれば、ＶＰＮトンネル中で送信される暗号化パケットに対して復号化した後に不正検知処理を行うので、公衆ネットワーク３０内での暗号化パケットの不正検知を行うことができ、公衆ネットワーク３０内での不正パケットの負荷を低減することができるという効果を有する。

実施の形態５．
図１４は、この発明にかかる不正検知システムに使用される不正検知装置の実施の形態５の概略構成を模式的に示すブロック図である。この不正検知装置３２は、実施の形態４の図１２において、不正検知のための制御パケットを受信した場合に、不正アクセスパケットの送信元に対応するＳＡの帯域を制御する機能を有する帯域制御部７８をさらに備える構成を有する。この帯域制御部７８によって、不正アクセスパケットを送信するＳＡからの送信トラヒックが抑制される。なお、不正アクセスパケットを送信するＳＡの帯域をどのくらい制御するかは任意に定めることができる。

この実施の形態５による不正検知装置３２の動作処理の手順は、実施の形態４の図１３で説明した手順のステップＳ５４において、帯域制御部７８が対応するＳＡの帯域を抑制する点を除いて同様であるので、その説明を省略する。

この実施の形態５によれば、不正検知装置に帯域制御機能を持たせるように構成したので、不正ＳＡからの送信トラヒックを抑制し、不正アクセスによる処理の影響を抑えることができるという効果を有する。

以上のように、この発明にかかるＶＰＮ装置は、ユーザネットワーク間をＶＰＮで結んで暗号化通信を行うシステムにおいて、ユーザネットワーク内からのＶＰＮを利用した不正アクセスの検出に有用である。

この発明によるＶＰＮ装置が適用されるネットワークシステムの構成を示す概略図である。この発明によるＶＰＮ装置の構成を模式的に示すブロック図である。ユーザネットワークから受信する通常のＩＰパケットのフレーム構成を模式的に示す図である。公衆ネットワーク側から受信するデータパケットであるＩＰｓｅｃでカプセル化された暗号化パケットのフレーム構成の一例を示す図である。不正検知通知の制御パケットのフレーム構成の一例を示す図である。ＶＰＮ装置の動作処理の手順を示すフローチャートである（その１）。ＶＰＮ装置の動作処理の手順を示すフローチャートである（その１）。この発明によるＶＰＮ装置の実施の形態２の構成を模式的に示すブロック図である。この発明によるＶＰＮ装置の実施の形態３の構成を模式的に示すブロック図である。この発明による不正検知システムの実施の形態４の構成の一例を概略的に示す図である。不正検知を通知するための制御パケットの構成の一例を模式的に示す図である。この発明による不正検知システムで使用される不正検知装置の概略構成を模式的に示すブロック図である。不正検知装置の動作処理の手順を示すフローチャートである。この発明による不正検知システムに使用される不正検知装置の実施の形態５の概略構成を模式的に示すブロック図である。

符号の説明

１０，２０ユーザネットワーク
１１，２１端末装置
１２，２２ＶＰＮ装置
３０公衆ネットワーク
３２不正検知装置
５１受信処理部
５２認証処理部
５３暗号化情報保持部
５４暗号化処理部
５４ａ暗号化処理・帯域制御部
５４ｂ暗号化処理・送信制御部
５５復号処理部
５６不正検知処理部
５７送信処理部
５８制御部
７１受信処理部
７２暗号化情報格納部
７３パケット格納部
７４復号処理部
７５不正検知処理部
７６送信処理部
７７制御部
７８帯域制御部

Claims

広域ネットワークに接続される複数のプライベートネットワーク間で通信されるデータを暗号化して前記広域ネットワーク内に仮想的な専用線を構築して通信を行うために、前記広域ネットワークと前記プライベートネットワークとの間に配置され、
他のＶＰＮ装置との間で確立される仮想的な論理経路で暗号化通信を行うための暗号化／復号化情報を含む暗号情報を格納する暗号情報格納手段と、
前記プライベートネットワークから受信した平文パケットを、前記暗号情報を用いて暗号化パケットに変換して前記広域ネットワークに送信する暗号化処理手段と、
前記広域ネットワークから受信した暗号化パケットを、前記暗号情報を用いて復号して平文パケットに変換して前記プライベートネットワークに送信する復号処理手段と、
を備えるＶＰＮ装置において、
前記復号処理手段によって復号された前記平文パケットが不正パケットか否かを判定し、不正パケットである場合にその不正パケットの送信に使用される仮想的な論理経路を特定する不正検出情報を含む制御パケットを送信元である前記他のＶＰＮ装置に送信する不正検知処理手段を備え、
前記暗号化処理手段は、前記制御パケットを受信した場合に該制御パケットに含まれる不正検出情報に対応する仮想的な論理経路による送信処理を制御する送信処理制御機能を備えることを特徴とするＶＰＮ装置。
前記暗号化処理手段の前記送信制御機能は、前記制御パケットを受信した場合に該制御パケットに含まれる不正検出情報に対応する仮想的な論理経路による送信処理を停止することを特徴とする請求項１に記載のＶＰＮ装置。
前記暗号化処理手段の送信制御機能は、前記制御パケットを受信した場合に該制御パケットに含まれる不正検出情報に対応する仮想的な論理経路の帯域を制限することを特徴とする請求項１に記載のＶＰＮ装置。
前記暗号化処理手段の送信制御機能は、前記制御パケットを受信した場合に、該制御パケットに含まれる不正検出情報に対応する仮想的な論理経路に接続されるプライベートネットワーク規模に応じて、前記仮想的な論理経路による送信処理の停止または帯域の制限のいずれかの処理を実行することを特徴とする請求項１に記載のＶＰＮ装置。
他のＶＰＮ装置との間で暗号化通信を行うための交渉に使用される認証パケットを用いて、前記他のＶＰＮ装置との間で認証処理を行う認証処理手段をさらに備え、
前記不正検知処理手段は、前記他のＶＰＮ装置から受信する認証パケットが不正パケットか否かを判定する機能をさらに備えることを特徴とする請求項１〜４のいずれか１つに記載のＶＰＮ装置。
広域ネットワークに接続される複数のプライベートネットワーク間で通信されるデータを暗号化して前記広域ネットワーク内に仮想的な専用線を構築して通信を行うために前記広域ネットワークと前記プライベートネットワークとの間に配置され、他のＶＰＮ装置との間で確立される仮想的な論理経路で暗号化通信を行うための暗号化／復号化情報を含む暗号情報を格納する暗号情報格納手段と、前記プライベートネットワークから受信した平文パケットを、前記暗号情報を用いて暗号化パケットに変換して前記広域ネットワークに送信する暗号化処理手段と、前記広域ネットワークから受信した暗号化パケットを、前記暗号情報を用いて復号して平文パケットに変換して前記プライベートネットワークに送信する復号処理手段と、を備えるＶＰＮ装置と、
複数の前記ＶＰＮ装置によって構成される仮想的な論理経路上に配置される不正検知装置と、
を備える不正検知システムであって、
前記ＶＰＮ装置は、
前記復号処理手段によって復号された前記平文パケットが不正パケットか否かを判定し、不正パケットである場合にその不正パケットの送信に使用される仮想的な論理経路を特定する不正検出情報と、前記仮想的な論理経路に対応する暗号情報と、を含む制御パケットを送信元である前記他のＶＰＮ装置に送信する不正検知処理手段を備え、
前記暗号化処理手段は、前記制御パケットを受信した場合に該制御パケットに含まれる不正検出情報に対応する仮想的な論理経路による送信処理を制御する送信処理制御機能を備え、
前記不正検知装置は、
前記制御パケットに含まれる前記不正検出情報と前記暗号情報を格納する暗号情報格納手段と、
前記不正検出情報に対応する仮想的な論理経路から暗号化パケットを受信すると、前記不正検出情報に対応する前記暗号情報を用いて前記暗号化パケットを復号して平文パケットに変換する復号処理手段と、
前記平文パケットが不正パケットか否かを判定し、不正パケットである場合にそのパケットを廃棄する不正検知処理手段と、
を備えることを特徴とする不正検知システム。
前記不正検知装置の復号処理手段は、前記暗号化パケットを複製した暗号化パケットに対して復号処理を行うことを特徴とする請求項６に記載の不正検知システム。
前記不正検知装置は、前記不正検知処理手段によって前記平文パケットが不正パケットでないと判定された場合に、前記暗号情報を用いて前記平文パケットを暗号化して、前記仮想的な論理経路に送出する暗号化処理手段をさらに備えることを特徴とする請求項６に記載の不正検知システム。
前記不正検知装置は、前記不正検知処理手段によって前記平文パケットが不正パケットであると判定された場合に、前記不正検出情報に対応する仮想的な論理経路の帯域を制限する帯域制御手段をさらに備えることを特徴とする請求項６〜８のいずれか１つに記載の不正検知システム。
前記暗号情報は、前記暗号化パケットの復号処理に利用する復号処理プログラムであることを特徴とする請求項６〜９のいずれか１つに記載の不正検知システム。
前記ＶＰＮ装置の暗号化処理手段の前記送信制御機能は、前記制御パケットを受信した場合に該制御パケットに含まれる不正検出情報に対応する仮想的な論理経路による送信処理を停止することを特徴とする請求項６〜１０のいずれか１つに記載の不正検知システム。
前記ＶＰＮ装置の暗号化処理手段の送信制御機能は、前記制御パケットを受信した場合に該制御パケットに含まれる不正検出情報に対応する仮想的な論理経路の帯域を制限することを特徴とする請求項６〜１０のいずれか１つに記載の不正検知システム。
前記ＶＰＮ装置の暗号化処理手段の送信制御機能は、前記制御パケットを受信した場合に、該制御パケットに含まれる不正検出情報に対応する仮想的な論理経路に接続されるプライベートネットワークの規模に応じて、前記仮想的な論理経路による送信処理の停止または帯域の制限のいずれかの処理を実行することを特徴とする請求項６〜１０のいずれか１つに記載の不正検知システム。
前記ＶＰＮ装置は、
他のＶＰＮ装置との間で暗号化通信を行うための交渉に使用される認証パケットを用いて、前記他のＶＰＮ装置との間で認証処理を行う認証処理手段をさらに備え、
前記不正検知処理手段は、前記他のＶＰＮ装置から受信する認証パケットが不正パケットか否かを判定する機能をさらに備えることを特徴とする請求項６〜１３のいずれか１つに記載の不正検知システム。