JP4571159B2

JP4571159B2 - Network security protection equipment

Info

Publication number: JP4571159B2
Application number: JP2007040790A
Authority: JP
Inventors: 雅昭有本; 啓文甲斐
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2007-02-21
Filing date: 2007-02-21
Publication date: 2010-10-27
Anticipated expiration: 2027-02-21
Also published as: JP2008205916A

Description

本発明は、インターネットプロトコル（以下、「ＩＰプロトコル」という）を用いたネットワーク間の通信において、セキュリティ保護を確保するためのネットワークのセキュリティ保護装置に関するものである。 The present invention relates to a network security protection device for ensuring security protection in communication between networks using the Internet protocol (hereinafter referred to as “IP protocol”).

従来のネットワークのセキュリティ保護装置は、ネットワーク間のプロトコルの変換を行うことにより、ネットワーク上のセキュリティを確保している（例えば、特許文献１参照）。 A conventional network security protection device secures network security by converting a protocol between networks (for example, see Patent Document 1).

特許第３００９７３７号公報Japanese Patent No. 3009737

しかしながら、上記特許文献１に代表される従来のセキュリティ保護装置では、単にデータの中継や監視といった機能しか有していないため、送信先のネットワークに障害が発生してデータの送信に失敗したときは、送信データは送信先計算機に到達しない。このような場合には、当該データの送信元となる計算機は、送信先のネットワークの復旧を待って、再び当該データを送信するという負担を強いられるという問題があった。 However, since the conventional security protection device represented by the above-mentioned Patent Document 1 has only a function of data relay and monitoring, when the transmission destination network fails and data transmission fails. The transmission data does not reach the destination computer. In such a case, there is a problem in that the computer that is the transmission source of the data is forced to bear the burden of transmitting the data again after the network of the transmission destination is restored.

本発明は、上記に鑑みてなされたものであって、送信データや再送データを外部ネットワークから論理的に遮断された安全な領域に保管することで所要のセキュリティを確保しつつ、送信元となる計算機の処理軽減を可能とするネットワークのセキュリティ保護装置を提供することを目的とする。 The present invention has been made in view of the above, and becomes a transmission source while ensuring required security by storing transmission data and retransmission data in a safe area logically cut off from an external network. An object of the present invention is to provide a network security protection device that can reduce processing of a computer.

上述した課題を解決し、目的を達成するため、本発明にかかるネットワークのセキュリティ保護装置は、セキュリティが確保された第１のネットワークとセキュリティが確保されていない第２のネットワークとの間に接続され、前記第１のネットワークおよび前記第２のネットワークから受信したインターネットプロトコルのデータを非インターネットプロトコルのデータに変換することで、前記第１のネットワーク側のセキュリティを確保するネットワークのセキュリティ保護装置において、前記第１のネットワークに接続され、前記第１のネットワークの計算機からの送信データを前記第２のネットワークの計算機に対して送信するときは、当該送信データの通信プロトコルをインターネットプロトコルから非インターネットプロトコルへ変換し、前記第２のネットワークの計算機からの送信データを前記第１のネットワークの計算機に対して送信するときは、当該送信データの通信プロトコルを非インターネットプロトコルからインターネットプロトコルへ変換する第１の通信処理部と、前記第２のネットワークに接続され、前記第１のネットワークの計算機からの送信データを前記第２のネットワークの計算機に対して送信するときは、当該送信データの通信プロトコルを非インターネットプロトコルからインターネットプロトコルへ変換し、前記第２のネットワークの計算機からの送信データを前記第１のネットワークの計算機に対して送信するときは、当該送信データの通信プロトコルをインターネットプロトコルから非インターネットプロトコルへ変換する第２の通信処理部と、前記第１の通信処理部と前記第２の通信処理部との間に接続される通信路と、前記第１の通信処理部に接続され、前記第１のネットワークの計算機と前記第２のネットワークの計算機との間で送受される通信データ一部または全てを受領する記憶装置と、を備えたことを特徴とする。 To solve the above problems and achieve an object, security devices such a network in the present invention, the first network and security in which security is ensured is connected between the second network without being secured Tei In the network security protection device for ensuring the security on the first network side by converting the Internet protocol data received from the first network and the second network into non-Internet protocol data, When transmitting transmission data from the computer of the first network connected to the first network to the computer of the second network, the communication protocol of the transmission data is changed from the Internet protocol to the non-Internet protocol. When the transmission data from the computer of the second network is converted and transmitted to the computer of the first network, the first communication for converting the communication protocol of the transmission data from the non-Internet protocol to the Internet protocol When transmitting transmission data from the computer of the first network connected to the processing unit and the second network to the computer of the second network, the communication protocol of the transmission data is a non-Internet protocol. When the transmission data from the computer of the second network is transmitted to the computer of the first network, the communication protocol of the transmission data is converted from the Internet protocol to the non-Internet protocol. Second passage A processing unit, a communication path connected between the first communication processing unit and the second communication processing unit, a computer connected to the first communication processing unit, the computer of the first network, and the And a storage device for receiving a part or all of communication data transmitted to and received from a computer of the second network.

本発明によれば、セキュリティが確保されたネットワークの計算機とセキュリティが確保されていない外部ネットワークの計算機との間で所要のデータ通信行う場合に、セキュリティが確保されていない外部ネットワークの計算機への送信データあるいは再送データを受領して、セキュリティが確保されたネットワーク側の記憶装置に保管するようにしているので、所要のセキュリティを確保することができるという効果が得られる。また、セキュリティが確保された第１のネットワークの送信元計算機からセキュリティが確保されない第２のネットワークの送信先計算機へデータの送信が不可能になったときは、第２のネットワークからセキュリティが確保された記憶装置に保管したデータを送信が可能になったときに記憶装置から取得し、送信元計算機に代わって送信先計算機へ送信するようにしているので、送信元計算機の処理を軽減することができるという効果が得られる。 According to the present invention, when required data communication is performed between a computer in a secure network and a computer in an external network that is not secured, transmission to a computer in an external network that is not secured. Since data or retransmission data is received and stored in a storage device on the network side where security is ensured, an effect that required security can be ensured can be obtained. In addition, when it becomes impossible to transmit data from the transmission source computer of the first network where security is ensured to the transmission destination computer of the second network where security is not ensured, security is secured from the second network. The data stored in the storage device is acquired from the storage device when transmission becomes possible, and is sent to the transmission destination computer on behalf of the transmission source computer, reducing the processing of the transmission source computer. The effect that it can be obtained.

以下に、本発明にかかるネットワークのセキュリティ保護装置の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。 Embodiments of a network security protection apparatus according to the present invention will be described below in detail with reference to the drawings. Note that the present invention is not limited to the embodiments.

実施の形態１．
図１は、本発明の実施の形態１にかかるネットワークのセキュリティ保護装置の概略構成図を示す図である。図１に示すように、ネットワークのセキュリティ保護装置（以下「セキュリティ保護装置」という）１００は、ネットワーク１とネットワーク２との間に接続され、ネットワーク１とネットワーク２との間のデータ通信のセキュリティを確保するものである。ネットワーク１には、データの送信元の一つとして送信元計算機４１が接続され、ネットワーク２には、データの送信先の一つとして送信先計算機４２が接続されている。ここで、ネットワーク１は、セキュリティ保護対象の私設ネットワークであってセキュリティに関して安全が保障されており、ネットワーク２についてはセキュリティに関して安全が保障されていない外部のネットワークである。 Embodiment 1 FIG.
FIG. 1 is a diagram illustrating a schematic configuration diagram of a network security protection device according to a first embodiment of the present invention. As shown in FIG. 1, a network security protection device (hereinafter referred to as “security protection device”) 100 is connected between a network 1 and a network 2 and secures data communication between the network 1 and the network 2. It is to secure. A transmission source computer 41 is connected to the network 1 as one of data transmission sources, and a transmission destination computer 42 is connected to the network 2 as one of data transmission destinations. Here, the network 1 is a private network subject to security protection, and security is secured with respect to security, and the network 2 is an external network that is not secured with respect to security.

セキュリティ保護装置１００は、ネットワーク１に接続され所要のデータ通信を行うための機能部としてマザーボード上に構成された通信処理部１１と、ネットワーク２に接続され所要のデータ通信を行うための機能部として、通信処理部１１とは異なるマザーボード上に構成された通信処理部１２と、通信処理部１１と通信処理部１２との間の通信を行うための通信路３００と、通信処理部１１に接続され当該データを格納する記憶装置５１と、を備えている。なお、図１の構成では、通信処理部１１と通信処理部１２とは異なるマザーボード上に構成するようにしているが、同一のマザーボード上に構成するようにしてもよい。 The security protection device 100 includes a communication processing unit 11 configured on a motherboard as a functional unit connected to the network 1 and performing required data communication, and a functional unit connected to the network 2 and performing required data communication. The communication processing unit 12 is configured on a different mother board from the communication processing unit 11, the communication path 300 for performing communication between the communication processing unit 11 and the communication processing unit 12, and the communication processing unit 11. And a storage device 51 for storing the data. In the configuration of FIG. 1, the communication processing unit 11 and the communication processing unit 12 are configured on different motherboards, but may be configured on the same motherboard.

通信処理部１１は、ネットワーク１に接続される送信元計算機４１とデータを送受信するための接続部２１と、ネットワーク１に接続される送信元計算機４１からのデータを受信したときには、ＩＰプロトコルから非ＩＰのプロトコル（以下「非ＩＰプロトコル」という）への変換を行い、通信処理部１２からのデータを受信したときには非ＩＰプロトコルからＩＰプロトコルへのプロトコル変換を行う接続部３１と、送信元計算機４１と送信先計算機４２との間の通信を中継するとともに、通信障害等で送信元計算機４１から送信先計算機４２へデータの送信が不可能なときに当該データを記憶装置５１に格納し、通信障害等が回復したときに送信元計算機４１に代わって、当該データを記憶装置５１から取得して送信先計算機４２へ送信するための再送制御機能を有する通信制御部３３と、を備えている。なお、接続部２１とネットワーク１との間の接続は任意であり、例えばＬＡＮケーブルを用いて接続することができる。 When the communication processing unit 11 receives data from the connection unit 21 for transmitting / receiving data to / from the transmission source computer 41 connected to the network 1 and the transmission source computer 41 connected to the network 1, the communication processing unit 11 does not use the IP protocol. A connection unit 31 that performs conversion to an IP protocol (hereinafter referred to as “non-IP protocol”) and performs protocol conversion from the non-IP protocol to the IP protocol when data is received from the communication processing unit 12, and a transmission source computer 41 And when the data cannot be transmitted from the transmission source computer 41 to the transmission destination computer 42 due to a communication failure or the like, the data is stored in the storage device 51, and the communication failure When the data is recovered, the data is acquired from the storage device 51 and transmitted to the transmission destination computer 42 instead of the transmission source computer 41. It includes a communication control unit 33 with order of retransmission control function, a. In addition, the connection between the connection unit 21 and the network 1 is arbitrary, and can be connected using, for example, a LAN cable.

通信処理部１２は、ネットワーク２に接続される送信先計算機４２とデータを送受信するための接続部２２と、通信処理部１１からのデータを受信したときには、非ＩＰプロトコルからＩＰのプロトコルへの変換を行い、ネットワーク２に接続される送信先計算機４２からのデータを受信したときには、ＩＰプロトコルから非ＩＰプロトコルへの変換を行う接続部３２と、を備えている。なお、接続部２２とネットワーク２との間の接続も任意であり、例えばＬＡＮケーブルを用いて接続することができる。 When the communication processing unit 12 receives the data from the communication processing unit 11 and the connection unit 22 for transmitting / receiving data to / from the transmission destination computer 42 connected to the network 2, the communication processing unit 12 converts from the non-IP protocol to the IP protocol. And a connection unit 32 that performs conversion from the IP protocol to the non-IP protocol when receiving data from the transmission destination computer 42 connected to the network 2. In addition, the connection between the connection unit 22 and the network 2 is arbitrary, and can be connected using, for example, a LAN cable.

通信路３００は、通信処理部１１と通信処理部１２とを接続する通信媒体であり、例えば、パラレル通信の場合にはパラレルケーブルが選択され、シリアル通信の場合にはシリアルケーブルが選択される。 The communication path 300 is a communication medium that connects the communication processing unit 11 and the communication processing unit 12. For example, a parallel cable is selected for parallel communication, and a serial cable is selected for serial communication.

つぎに、セキュリティ保護装置１００の動作について説明する。まず、ネットワーク１に接続される送信元計算機４１から、セキュリティ保護装置を介してネットワーク２に接続される送信先計算機４２に対してデータが送信される場合の動作を説明する。送信元計算機４１から送信されたデータは、ネットワーク１から通信処理部１１の接続部２１を介してセキュリティ保護装置１００に入力される。 Next, the operation of the security protection device 100 will be described. First, an operation when data is transmitted from the transmission source computer 41 connected to the network 1 to the transmission destination computer 42 connected to the network 2 via the security protection device will be described. Data transmitted from the transmission source computer 41 is input from the network 1 to the security protection device 100 via the connection unit 21 of the communication processing unit 11.

セキュリティ保護装置１００に入力されたデータは、通信処理部１１の接続部３１によって、ＩＰプロトコルに基づく通信データから、例えばＳＣＳＩ(Small Computer System Interface)のような非ＩＰプロトコルに基づく通信データへと変換され、通信路３００を介して、通信処理部１２の接続部３２へ送信される。つぎに、接続部３２において、通信処理部１１から伝達されたＳＣＳＩに基づく通信データは、ＩＰプロトコルに基づく通信データへと変換され、接続部２２を介してネットワーク２に伝達され、送信先計算機４２に送信される。 Data input to the security protection device 100 is converted by the connection unit 31 of the communication processing unit 11 from communication data based on the IP protocol to communication data based on a non-IP protocol such as SCSI (Small Computer System Interface). Then, the data is transmitted to the connection unit 32 of the communication processing unit 12 via the communication path 300. Next, in the connection unit 32, communication data based on the SCSI transmitted from the communication processing unit 11 is converted into communication data based on the IP protocol, transmitted to the network 2 via the connection unit 22, and transmitted to the destination computer 42. Sent to.

なお、上記では、非ＩＰプロトコルとしてＳＣＳＩを一例として説明したが、ＳＣＳＩ以外の他のパラレル通信方式に基づく通信プロトコル、ＲＳ２３２Ｃのようなシリアル通信方式に基づく通信プロトコルを採用してもよく、ネットワーク２からネットワーク１への不正アクセスを防止することができる。 In the above description, SCSI has been described as an example of the non-IP protocol. However, a communication protocol based on a parallel communication method other than SCSI, or a communication protocol based on a serial communication method such as RS232C may be adopted. Unauthorized access to the network 1 can be prevented.

また、上記の逆方向の通信については、上記の通信の逆の手順で行われる。すなわち、ネットワーク２に接続される計算機４２から送信されたデータは、接続部２２を介してセキュリティ保護装置１００に入力される。つぎに、セキュリティ保護装置１００に入力されたデータは、接続部３２によって、ＩＰプロトコルに基づく通信データから、非ＩＰ通信プロトコルに基づく通信データに変換され、通信路３００を介して、接続部３１へ送信される。そして、接続部３１において、非ＩＰプロトコルからＩＰプロトコルへの変換が行われ、接続部２１を介して、ネットワーク１に接続される送信元計算機４１に送信される。 Further, the communication in the reverse direction is performed in the reverse procedure of the communication. That is, data transmitted from the computer 42 connected to the network 2 is input to the security protection device 100 via the connection unit 22. Next, the data input to the security protection device 100 is converted from communication data based on the IP protocol to communication data based on the non-IP communication protocol by the connection unit 32, and is transmitted to the connection unit 31 via the communication path 300. Sent. Then, the connection unit 31 performs conversion from the non-IP protocol to the IP protocol and transmits the converted data to the transmission source computer 41 connected to the network 1 via the connection unit 21.

図２は、実施の形態１にかかるセキュリティ保護装置の動作を示す図であり、送信先計算機４２の障害若しくはネットワーク２の障害、またはその他の原因により、送信元計算機４１から送信先計算機４２に対してデータを送信することができない場合を示している。なお、同図中に示した矢印１０１、１０２、１０３は、通信データの流れを示している。 FIG. 2 is a diagram illustrating the operation of the security protection device according to the first embodiment. The transmission source computer 41 to the transmission destination computer 42 is caused by a failure of the transmission destination computer 42, a failure of the network 2, or other causes. This indicates a case where data cannot be transmitted. Note that arrows 101, 102, and 103 shown in the figure indicate the flow of communication data.

図２において、矢印１０１で示すように、送信先計算機４２からは直接、送信データが送信先計算機４２に到達していない。このような場合に対処するために、矢印１０２で示すように、通信制御部３３は、送信に伴って予め送信元計算機４１から送信先計算機４２へ送信された当該データを記憶装置５１に格納しておく。 In FIG. 2, as indicated by the arrow 101, the transmission data does not reach the transmission destination computer 42 directly from the transmission destination computer 42. In order to deal with such a case, as indicated by an arrow 102, the communication control unit 33 stores the data transmitted from the transmission source computer 41 to the transmission destination computer 42 in advance in the storage device 51 in association with the transmission. Keep it.

そして、上記障害等が除去されて送信先計算機４２へ当該データの送信が可能になったとき、矢印１０３で示すように、通信制御部３３は、送信できなかったデータを記憶装置５１から取得し、送信先計算機４２に再送信する。送信できなかった場合の判断は、例えば、あるデータを送信したときに、送信先計算機４２から、当該データを受信したことを示す受信通知を所定の時間内に通信制御部３３が受信できなかった場合は、通信制御部３３は当該データの送信が失敗したことを判断することができる。 Then, when the failure is removed and the data can be transmitted to the transmission destination computer 42, the communication control unit 33 acquires the data that could not be transmitted from the storage device 51 as indicated by the arrow 103. And re-send to the destination computer 42. For example, when a certain data is transmitted, the communication control unit 33 cannot receive a reception notification indicating that the data has been received from the transmission destination computer 42 within a predetermined time. In this case, the communication control unit 33 can determine that the transmission of the data has failed.

このようにして、セキュリティ保護装置１００は、データの送信中に通信障害等で通信が中断されたとき、データを記憶装置５１に保管しておくことにより、通信制御部３３によって送信が中断された部分から自動的にデータの再送信を行うことが可能となり、送信元計算機４１がデータを再送する手間を省くことができる。また、通信処理部１１と通信処理部１２との間の通信プロトコルが非ＩＰであるため、外部の侵入者はネットワーク２から通信処理部１２にアクセスすることはできても、通信処理部１１にアクセスすることはできない。その結果、通信処理部１１に接続された記憶装置５１はネットワーク２から遮断された状態にあるため、当該記憶装置５１に保管されたデータがネットワーク２から不正にアクセスされることはない。 In this way, when the communication is interrupted due to a communication failure or the like during the transmission of data, the security protection device 100 stores the data in the storage device 51 so that the transmission is interrupted by the communication control unit 33. Data can be automatically retransmitted from the portion, and the trouble of the transmission source computer 41 retransmitting the data can be saved. Further, since the communication protocol between the communication processing unit 11 and the communication processing unit 12 is non-IP, an external intruder can access the communication processing unit 12 from the network 2, but the communication processing unit 11 It cannot be accessed. As a result, since the storage device 51 connected to the communication processing unit 11 is disconnected from the network 2, data stored in the storage device 51 is not illegally accessed from the network 2.

以上説明したように、この実施の形態のセキュリティ保護装置によれば、セキュリティが確保されたネットワークの計算機からセキュリティが確保されていない外部ネットワークの計算機にデータを送信する場合であって、送信先のネットワークに障害が発生して当該データの送信が不可能になったときに、当該データを外部ネットワークからセキュリティが確保された安全な領域に格納し、送信が可能になったときに格納された当該データを外部ネットワークの計算機へ送信するようにしているので、当該データのセキュリティを確保することが可能になるとともに、当該データの送信元となる計算機の処理を軽減することが可能になるという効果が得られる。 As described above, according to the security protection device of this embodiment, when data is transmitted from a computer in a secured network to a computer in an external network that is not secured, When a network failure occurs and the transmission of the data becomes impossible, the data is stored in a secure area where security is secured from the external network, and the data stored when the transmission is enabled Since the data is transmitted to the computer of the external network, it is possible to ensure the security of the data and to reduce the processing of the computer that is the transmission source of the data. can get.

なお、この実施の形態では、送信元計算機４１からの通信データが一の送信先計算機４２に対して送信される場合について説明したが、一の送信先計算機に限定されるものではなく、複数の送信先計算機に送信される場合であっても構わないことは勿論である。 In this embodiment, the case where communication data from the transmission source computer 41 is transmitted to one transmission destination computer 42 has been described. However, the present invention is not limited to one transmission destination computer, Of course, it may be a case where it is transmitted to the transmission destination computer.

実施の形態２．
図３は、実施の形態２にかかるセキュリティ保護装置の動作を示す図であり、矢印２０１、２０２はデータの流れを示している。また、実施の形態２にかかるセキュリティ保護装置１００の構成は、実施の形態１の再送制御機能を有する通信制御部３３が、実施の形態２では指定時刻送信機能を有する通信制御部３４に代わる点を除いて同一または同等である。なお、実施の形態２におけるネットワーク１とネットワーク２との間の通信方法は、実施の形態１と同様であるため、ここでは、通信制御部３４の役割を中心とした実施の形態２にかかるセキュリティ保護装置１００の動作の説明をする。 Embodiment 2. FIG.
FIG. 3 is a diagram illustrating the operation of the security protection device according to the second embodiment, and arrows 201 and 202 indicate the flow of data. The configuration of the security protection device 100 according to the second embodiment is such that the communication control unit 33 having the retransmission control function of the first embodiment replaces the communication control unit 34 having the designated time transmission function in the second embodiment. Except for the same or equivalent. Since the communication method between the network 1 and the network 2 in the second embodiment is the same as that in the first embodiment, the security according to the second embodiment centering on the role of the communication control unit 34 is used here. The operation of the protection device 100 will be described.

通信制御部３４は、所定の指定時刻になると送信元計算機４１に代わってデータを送信先計算機４２へ送信する機能を有する構成部である。ここで、送信元計算機４１から送信先計算機４２へ大量のデータを送信する場合を考える。 The communication control unit 34 is a component having a function of transmitting data to the transmission destination computer 42 instead of the transmission source computer 41 at a predetermined designated time. Here, a case where a large amount of data is transmitted from the transmission source computer 41 to the transmission destination computer 42 is considered.

通信制御部３４は、矢印２０１に示すように、予め送信するデータを送信元計算機４１から受信し、記憶装置５１に格納しておく。このとき、送信元計算機４１は、記憶装置５１に格納されたデータの送信先計算機４２への送信開始時刻を通信制御部３４に設定する。送信開始時刻が設定された通信制御部３４は、設定された時刻になると、矢印２０２に示すように、当該データを記憶装置５１から取得し、送信先計算機４２へ送信する。 As indicated by an arrow 201, the communication control unit 34 receives data to be transmitted in advance from the transmission source computer 41 and stores it in the storage device 51. At this time, the transmission source computer 41 sets a transmission start time of data stored in the storage device 51 to the transmission destination computer 42 in the communication control unit 34. When the transmission start time is set, the communication control unit 34 acquires the data from the storage device 51 and transmits the data to the transmission destination computer 42 as indicated by an arrow 202.

このように、実施の形態２のネットワークのセキュリティ保護装置１００によれば、送信先計算機４２が受信可能な時間帯に合わせてデータを送信することが可能になる。例えば、大量のデータを送信する場合、就業時間外の夜間などに送信開始時刻を通信制御部３４に設定しておくことにより、翌日の就業開始時間までにデータの送信を完了させておくことが可能になる。また、実施の形態１と同様に、記憶装置５１は外部のネットワーク２から遮断された状態にあるため、不正アクセスを受けることはない。 As described above, according to the network security protection device 100 of the second embodiment, it is possible to transmit data in accordance with a time zone in which the transmission destination computer 42 can receive. For example, when a large amount of data is to be transmitted, the transmission start time is set in the communication control unit 34 at night outside the working hours, so that the data transmission can be completed by the working start time of the next day. It becomes possible. Similarly to the first embodiment, since the storage device 51 is disconnected from the external network 2, it does not receive unauthorized access.

以上説明したように、この実施の形態のセキュリティ保護装置によれば、送信すべきデータを外部ネットワークからセキュリティが確保された安全な領域に格納し、予め指定された時刻に当該データを外部ネットワークの計算機へ送信するようにしているので、当該データを長時間保存している場合であっても所要のセキュリティを確保することが可能になるとともに、当該データの送信元となる計算機の処理を軽減することが可能になるという効果が得られる。 As described above, according to the security protection device of this embodiment, data to be transmitted is stored in a safe area in which security is ensured from the external network, and the data is stored in the external network at a predetermined time. Since the data is sent to the computer, the required security can be ensured even when the data is stored for a long time, and the processing of the computer that is the source of the data is reduced. The effect that it becomes possible is acquired.

実施の形態３．
図４は、実施の形態３にかかるセキュリティ保護装置の動作を示す図であり、矢印３０１、３０２、３０３はデータの流れを示している。また、実施の形態３にかかるセキュリティ保護装置１００の構成は、実施の形態１の再送制御機能を有する通信制御部３３が、実施の形態３では、要求応答型の通信制御機能を有する通信制御部３５に代わる点を除いて同一または同等である。なお、実施の形態３におけるネットワーク１とネットワーク２との間の通信方法は、実施の形態１と同様であるため、ここでは、通信制御部３５の役割を中心とした実施の形態３にかかるセキュリティ保護装置１００の動作の説明をする。 Embodiment 3 FIG.
FIG. 4 is a diagram illustrating the operation of the security protection device according to the third embodiment, and arrows 301, 302, and 303 indicate the flow of data. The configuration of the security protection device 100 according to the third embodiment is such that the communication control unit 33 having the retransmission control function of the first embodiment is different from the communication control unit having the request response type communication control function in the third embodiment. Except for the point of replacing 35, it is the same or equivalent. Since the communication method between the network 1 and the network 2 in the third embodiment is the same as that in the first embodiment, here, the security according to the third embodiment centering on the role of the communication control unit 35 is used. The operation of the protection device 100 will be described.

通信制御部３５は、送信先計算機４２の要求に応じ、記憶装置５１からのデータを取得して要求元の計算機にデータを送信する機能を有する構成部である。ここで、送信先計算機４２から同一データの送信が要求される場合を考える。 The communication control unit 35 is a configuration unit having a function of acquiring data from the storage device 51 and transmitting data to the requesting computer in response to a request from the transmission destination computer 42. Here, a case is considered in which transmission of the same data is requested from the transmission destination computer 42.

通信制御部３５は、矢印３０１に示すように、送信先計算機４２へ送信したデータを送信元計算機４１から受信し、所定の期間、記憶装置５１に格納しておく。期間の設定は、送信元計算機４１により通信制御部３６に設定される。そして、矢印３０２に示すように、所定の期間内に送信先計算機４２から当該データと同一データの送信が要求された場合、通信制御部３５は、矢印３０３に示すように、当該データを記憶装置５１から取得し、送信先計算機４２へ送信する。 The communication control unit 35 receives the data transmitted to the transmission destination computer 42 from the transmission source computer 41 as shown by the arrow 301 and stores it in the storage device 51 for a predetermined period. The setting of the period is set in the communication control unit 36 by the transmission source computer 41. If the transmission destination computer 42 requests transmission of the same data as the data within a predetermined period as indicated by the arrow 302, the communication control unit 35 stores the data as indicated by the arrow 303 in the storage device. 51 is acquired and transmitted to the destination computer 42.

このように、実施の形態３のネットワークのセキュリティ保護装置１００によれば、記憶装置５１を、データを一時保管するキャッシュメモリとして用いることができ、通信制御部３５により、送信先計算機４２から同一データが頻繁に要求される状況において、当該データの送信をすばやく行うことが可能になる。また、送信元計算機４１は、送信要求された当該データを直接送信する手間を省くことが可能になる。また、実施の形態１と同様に、記憶装置５１は外部のネットワーク２から遮断された状態にあり、不正アクセスを受けることはない。 As described above, according to the network security protection device 100 of the third embodiment, the storage device 51 can be used as a cache memory for temporarily storing data, and the communication control unit 35 uses the same data from the transmission destination computer 42. Can be transmitted quickly in a situation where the data is frequently requested. Further, the transmission source computer 41 can save the trouble of directly transmitting the data requested to be transmitted. As in the first embodiment, the storage device 51 is disconnected from the external network 2 and does not receive unauthorized access.

以上説明したように、この実施の形態のセキュリティ保護装置によれば、送信すべきデータを外部ネットワークからセキュリティが確保された安全な領域に所定期間格納し、送信先計算機からの要求に応じて格納データの送信を行うようにしているので、当該データのセキュリティを確保することが可能になり、また、当該データの送信元となる計算機の処理を軽減することが可能になるととともに、送信データの再送を行う場合に当該データの再送を迅速に行うことが可能になるという効果が得られる。 As described above, according to the security protection device of this embodiment, data to be transmitted is stored in a safe area where security is ensured from an external network for a predetermined period, and stored in response to a request from a destination computer. Since data transmission is performed, it is possible to ensure the security of the data, reduce the processing of the computer that is the transmission source of the data, and retransmit the transmission data. In this case, it is possible to retransmit the data quickly.

実施の形態４．
図５は、実施の形態４にかかるセキュリティ保護装置の動作を示す図であり、矢印４０１、４０２、４０３はデータの流れを示している。また、実施の形態４にかかるセキュリティ保護装置１００の構成は、実施の形態１の再送制御機能を有する通信制御部３３が、実施の形態４では中継制御機能を有する通信制御部３６に代わる点を除いて同一または同等である。なお、実施の形態４におけるネットワーク１とネットワーク２との間の通信方法は、実施の形態１と同様であるため、ここでは、通信制御部３６の役割を中心として実施の形態４にかかるセキュリティ保護装置１００の動作の説明をする。 Embodiment 4 FIG.
FIG. 5 is a diagram illustrating the operation of the security protection device according to the fourth embodiment, and arrows 401, 402, and 403 indicate the flow of data. The configuration of the security protection device 100 according to the fourth embodiment is that the communication control unit 33 having the retransmission control function of the first embodiment replaces the communication control unit 36 having the relay control function in the fourth embodiment. Except for the same or equivalent. Since the communication method between the network 1 and the network 2 in the fourth embodiment is the same as that in the first embodiment, the security protection according to the fourth embodiment is mainly focused on the role of the communication control unit 36 here. The operation of the apparatus 100 will be described.

通信制御部３６は、送信元計算機から送信先計算機に送信されるデータの流れを自身が中継し、送信元計算機４１に代わってデータの送信制御、再送制御等を送信元計算機４１に代わって行う中継制御機能を有する構成部である。ここでは、送信元計算機４１からのデータを複数の送信先計算機４２、４３に送信する場合を考える。 The communication control unit 36 relays the flow of data transmitted from the transmission source computer to the transmission destination computer, and performs transmission control, retransmission control, etc. on behalf of the transmission source computer 41 on behalf of the transmission source computer 41. It is a component having a relay control function. Here, a case is considered where data from the transmission source computer 41 is transmitted to a plurality of transmission destination computers 42 and 43.

通信制御部３６は、矢印４０１に示すように、送信先計算機４２、４３への送信データを送信元計算機４１から受信し、記憶装置５１に格納する。このとき、送信元計算機４１により、データの送信先として送信先計算機４２、４３が通信制御部３６に設定される。そして、通信制御部３６は、矢印４０２、４０３に示すように、データを記憶装置５１から取得して複数の送信先計算機４２、４３へ送信する。データの送信先の情報は、通信制御部３６に設定されているので、通信制御部３６は、記憶装置５１から取得したデータを送信先計算機４２、４３に同時に送信することが可能になる。 The communication control unit 36 receives the transmission data to the transmission destination computers 42 and 43 from the transmission source computer 41 and stores it in the storage device 51 as indicated by the arrow 401. At this time, the transmission source computer 41 sets the transmission destination computers 42 and 43 in the communication control unit 36 as data transmission destinations. Then, the communication control unit 36 acquires data from the storage device 51 and transmits the data to the plurality of transmission destination computers 42 and 43 as indicated by arrows 402 and 403. Since the data transmission destination information is set in the communication control unit 36, the communication control unit 36 can simultaneously transmit the data acquired from the storage device 51 to the transmission destination computers 42 and 43.

このように、実施の形態４のネットワークのセキュリティ保護装置１００によれば、一度の送信処理で複数の計算機に送信処理を行うことが可能になり、送信元計算機４１が送信先計算機毎に送信処理を行う手間を省くことが可能になる。また、実施の形態１と同様に、記憶装置５１は外部のネットワーク２から遮断された状態にあり、不正アクセスを受けることはない。 As described above, according to the network security protection apparatus 100 of the fourth embodiment, it is possible to perform transmission processing to a plurality of computers by one transmission processing, and the transmission source computer 41 performs transmission processing for each transmission destination computer. Can be saved. As in the first embodiment, the storage device 51 is disconnected from the external network 2 and does not receive unauthorized access.

以上説明したように、この実施の形態のセキュリティ保護装置によれば、送信すべきデータを外部ネットワークからセキュリティが確保された安全な領域に一旦格納するとともに、送信先計算機に対するその後の通信制御処理をセキュリティ保護装置が行うようにしているので、送信先計算機に送信すべき送信データのセキュリティを確保することが可能になるとともに、特に、送信先計算機の数が複数の場合において、送信元となる計算機の処理を大幅に軽減することが可能になるという効果が得られる。 As described above, according to the security protection device of this embodiment, data to be transmitted is temporarily stored from an external network in a secure area in which security is ensured, and the subsequent communication control process for the destination computer is performed. Since the security protection device is used, it is possible to ensure the security of the transmission data to be transmitted to the transmission destination computer, and in particular, when there are a plurality of transmission destination computers, the transmission source computer The effect that it becomes possible to greatly reduce the process is obtained.

なお、この実施の形態では、送信元計算機からの通信データが複数の送信先計算機に対して送信される場合について説明したが、一の送信先計算機に送信される場合を排除するものではないことは勿論である。 In this embodiment, the case where the communication data from the transmission source computer is transmitted to a plurality of transmission destination computers has been described. However, the case where the communication data is transmitted to one transmission destination computer is not excluded. Of course.

また、この実施の形態のセキュリティ保護装置は、上述した実施の形態２にかかるセキュリティ保護装置において、データの送信開始時刻を指定しない場合に相当するものであるため、実施の形態２のセキュリティ保護装置に容易に実装することができる。 The security protection device according to this embodiment corresponds to the case where the data transmission start time is not designated in the security protection device according to the second embodiment described above, and thus the security protection device according to the second embodiment. Can be easily implemented.

実施の形態５．
図６は、実施の形態５にかかるセキュリティ保護装置の動作を示す図であり、矢印５０１、５０２はデータの流れを示している。また、実施の形態５にかかるセキュリティ保護装置１００の構成は、実施の形態１の再送制御機能を有する通信制御部３３が、実施の形態５では、通信履歴取得機能を有する通信制御部３７に代わる点を除いて同一または同等である。なお、実施の形態５におけるネットワーク１とネットワーク２との間の通信方法は、実施の形態１と同様であるため、ここでは、通信制御部３７の役割を中心とした実施の形態５にかかるセキュリティ保護装置１００の動作の説明をする。 Embodiment 5 FIG.
FIG. 6 is a diagram illustrating the operation of the security protection apparatus according to the fifth embodiment, and arrows 501 and 502 indicate the flow of data. In the configuration of the security protection device 100 according to the fifth embodiment, the communication control unit 33 having the retransmission control function of the first embodiment replaces the communication control unit 37 having the communication history acquisition function in the fifth embodiment. Except for the same, they are the same or equivalent. Since the communication method between the network 1 and the network 2 in the fifth embodiment is the same as that in the first embodiment, here, the security according to the fifth embodiment centering on the role of the communication control unit 37 is used. The operation of the protection device 100 will be described.

通信制御部３７は、データの送受信に伴い生成される、送信元計算機４１からのデータの送信状況を示す送信情報および送信先計算機４２からのデータの受信状況を示す受信情報をそれぞれ取得して記憶装置５１に格納する機能を有する構成部である。 The communication control unit 37 acquires and stores transmission information indicating transmission status of data from the transmission source computer 41 and reception information indicating reception status of data from the transmission destination computer 42, which are generated when data is transmitted and received. It is a component having a function of storing in the device 51.

送信情報は、矢印５０１に示すように、送信元計算機４１から送信先計算機４２へデータを送信したときに送信元計算機４１で生成され、送信先計算機４２へ送信される。送信情報には、送信先、送信時刻、送信結果およびデータ内容が含まれる。 The transmission information is generated by the transmission source computer 41 and transmitted to the transmission destination computer 42 when data is transmitted from the transmission source computer 41 to the transmission destination computer 42 as indicated by an arrow 501. The transmission information includes a transmission destination, a transmission time, a transmission result, and data contents.

受信情報は、矢印５０２に示すように、送信元計算機４１から送信先計算機４２でデータを受信したときに送信先計算機４２で生成され、送信元計算機４１へ送信される。受信情報には、送信先、受信時刻、送信元情報、送信経路およびデータ内容が含まれる。 The reception information is generated by the transmission destination computer 42 and transmitted to the transmission source computer 41 when data is received by the transmission destination computer 42 from the transmission source computer 41 as indicated by an arrow 502. The reception information includes a transmission destination, a reception time, transmission source information, a transmission route, and data contents.

通信制御部３７は、このようにして生成された送信情報および受信情報を記憶装置５１に格納する。送信情報および受信情報は、送信に失敗したときや、通信障害が発生した場合に、通信障害の原因を特定して復旧に役立てることが可能になる。例えば、送信情報とそれに対応した受信情報を比べて当該データが正しく送信されたか否かを判断することが可能になる。 The communication control unit 37 stores the transmission information and reception information generated in this way in the storage device 51. The transmission information and the reception information can be used for recovery by identifying the cause of the communication failure when transmission fails or when a communication failure occurs. For example, it is possible to determine whether or not the data is correctly transmitted by comparing the transmission information with the reception information corresponding to the transmission information.

このように、実施の形態５のネットワークのセキュリティ保護装置１００によれば、通信制御部３７により、送信情報および受信情報を記憶装置５１に管理し、通信障害が発生したときに、その原因の特定と復旧に役立てることが可能になり、送信元計算機４１で当該情報を管理する手間が省ける。また、実施の形態１と同様に、記憶装置５１は外部のネットワーク２から遮断された状態にあり、不正アクセスを受けることはない。 As described above, according to the network security protection device 100 of the fifth embodiment, the communication control unit 37 manages the transmission information and the reception information in the storage device 51, and when a communication failure occurs, the cause is identified. Thus, it is possible to make use for recovery, and it is possible to save the trouble of managing the information by the transmission source computer 41. As in the first embodiment, the storage device 51 is disconnected from the external network 2 and does not receive unauthorized access.

以上説明したように、この実施の形態のセキュリティ保護装置によれば、セキュリティが確保されたネットワークの計算機からセキュリティが確保されていない外部ネットワークの計算機にデータを送信する場合に、送信元計算機からのデータの送信状況を示す送信情報および送信先計算機からのデータの受信状況を示す受信情報をそれぞれ取得し、取得した情報を外部ネットワークからセキュリティが確保された安全な領域に格納するようにしているので、例えば通信障害が発生したときに、その原因の特定と復旧を迅速に行うことができるという効果が得られる。また、送信データそのものではなく、送信状況を示す送信情報および受信状況を示す受信情報のみを保存すればよいので、記憶装置の格納容量の節約が可能であるという効果が得られる。 As described above, according to the security protection device of this embodiment, when data is transmitted from a computer in a secured network to a computer in an external network that is not secured, the data from the transmission source computer is transmitted. Since the transmission information indicating the data transmission status and the reception information indicating the data reception status from the destination computer are acquired, and the acquired information is stored in a secure area where security is secured from the external network. For example, when a communication failure occurs, the cause can be identified and recovered quickly. Further, since it is only necessary to save the transmission information indicating the transmission status and the reception information indicating the reception status, not the transmission data itself, an effect that the storage capacity of the storage device can be saved is obtained.

以上のように、本発明にかかるネットワークのセキュリティ保護装置は、セキュリティが確保された私的ネットワークとセキュリティが確保されない外部ネットワークとの間でデータ送信を行う場合のセキュリティ確保に有用である。 As described above, the network security protection device according to the present invention is useful for ensuring security when data is transmitted between a private network where security is ensured and an external network where security is not ensured.

本発明の実施の形態１にかかるセキュリティ保護装置の概略構成を示す図である。It is a figure which shows schematic structure of the security protection apparatus concerning Embodiment 1 of this invention. 実施の形態１にかかるセキュリティ保護装置の動作を示す図である。It is a figure which shows operation | movement of the security protection apparatus concerning Embodiment 1. FIG. 実施の形態２にかかるセキュリティ保護装置の動作を示す図である。It is a figure which shows operation | movement of the security protection apparatus concerning Embodiment 2. FIG. 実施の形態３にかかるセキュリティ保護装置の動作を示す図である。It is a figure which shows operation | movement of the security protection apparatus concerning Embodiment 3. FIG. 実施の形態４にかかるセキュリティ保護装置の動作を示す図である。It is a figure which shows operation | movement of the security protection apparatus concerning Embodiment 4. FIG. 実施の形態５にかかるセキュリティ保護装置の動作を示す図である。It is a figure which shows operation | movement of the security protection apparatus concerning Embodiment 5. FIG.

Explanation of symbols

１，２ネットワーク
１１，１２通信処理部
２１，２２，３１，３２，接続部
３３，３４，３５，３６，３７通信制御部
４１送信元計算機
４２，４３送信先計算機
５１記憶装置
１００セキュリティ保護装置
３００通信路 1, 2 Network 11, 12 Communication processing unit 21, 22, 31, 32, Connection unit 33, 34, 35, 36, 37 Communication control unit 41 Source computer 42, 43 Destination computer 51 Storage device 100 Security protection device 300 Communication path

Claims

An Internet protocol data received from the first network and the second network is connected between the first network in which security is ensured and the second network in which security is not ensured. In a network security protection device that secures security on the first network side by converting to data,
When transmitting transmission data from the computer of the first network connected to the first network to the computer of the second network, the communication protocol of the transmission data is changed from the Internet protocol to the non-Internet protocol. When the transmission data from the computer of the second network is converted and transmitted to the computer of the first network, the first communication for converting the communication protocol of the transmission data from the non-Internet protocol to the Internet protocol A processing unit;
When transmitting transmission data from the computer of the first network connected to the second network to the computer of the second network, the communication protocol of the transmission data is changed from a non-Internet protocol to an Internet protocol. When the transmission data from the computer of the second network is converted and transmitted to the computer of the first network, the second communication for converting the communication protocol of the transmission data from the Internet protocol to the non-Internet protocol A processing unit;
A communication path connected between the first communication processing unit and the second communication processing unit;
A storage device connected to the first communication processing unit and receiving a part or all of communication data transmitted and received between the computer of the first network and the computer of the second network;
With
The first communication processing unit, when the computer of the first network which can not be sending data to the computer of the second network, and stores the data in the storage device, the storage device Retransmitting means for retransmitting the data stored in the computer to the second network computer ,
The retransmission means, when the data transmission to the computer of the second network has become possible to obtain data to be transmitted to the computer of the second network from the previous term memory devices, the acquired data the first network computer security apparatus of the second network to Rene Ttowaku and wherein the Turkey be transmitted to the computer on behalf of.

An Internet protocol data received from the first network and the second network is connected between the first network in which security is ensured and the second network in which security is not ensured. In a network security protection device that secures security on the first network side by converting to data,
When transmitting transmission data from the computer of the first network connected to the first network to the computer of the second network, the communication protocol of the transmission data is changed from the Internet protocol to the non-Internet protocol. When the transmission data from the computer of the second network is converted and transmitted to the computer of the first network, the first communication for converting the communication protocol of the transmission data from the non-Internet protocol to the Internet protocol A processing unit;
When transmitting transmission data from the computer of the first network connected to the second network to the computer of the second network, the communication protocol of the transmission data is changed from a non-Internet protocol to an Internet protocol. When the transmission data from the computer of the second network is converted and transmitted to the computer of the first network, the second communication for converting the communication protocol of the transmission data from the Internet protocol to the non-Internet protocol A processing unit;
A communication path connected between the first communication processing unit and the second communication processing unit;
A storage device connected to the first communication processing unit for receiving and storing all communication data transmitted and received between the computer of the first network and the computer of the second network;
With
The first communication processing unit, when said transmission request of the transmission data to the computer of the first network which is the source from the second network computer is made, the computer performing the transmission request acquires data to be transmitted from the storage device, the acquired the data first feature and Turkey be transmitted on behalf of the network computer to the computer performing the transmission request and be Rene Ttowaku security Protective device.