JP4720576B2 - Network security management system, encrypted communication remote monitoring method and communication terminal. - Google Patents

Network security management system, encrypted communication remote monitoring method and communication terminal. Download PDF

Info

Publication number
JP4720576B2
JP4720576B2 JP2006089773A JP2006089773A JP4720576B2 JP 4720576 B2 JP4720576 B2 JP 4720576B2 JP 2006089773 A JP2006089773 A JP 2006089773A JP 2006089773 A JP2006089773 A JP 2006089773A JP 4720576 B2 JP4720576 B2 JP 4720576B2
Authority
JP
Japan
Prior art keywords
communication
communication terminal
encrypted
management server
security management
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
JP2006089773A
Other languages
Japanese (ja)
Other versions
JP2007267064A (en
Inventor
陽一 月岡
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2006089773A priority Critical patent/JP4720576B2/en
Publication of JP2007267064A publication Critical patent/JP2007267064A/en
Application granted granted Critical
Publication of JP4720576B2 publication Critical patent/JP4720576B2/en
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Description

本発明は、データを暗号化して通信端末間で直接通信を実現するシステム、方法に関する。特に各々の通信端末のアプリケーション間における通信につき、組織が運用するネットワークの管理者もしくは責任者のセキュリティポリシーに基づき、暗号化通信の実行を制御することが可能なネットワークセキュリティ管理システム、暗号化通信の遠隔監視方法及び通信端末に関する。   The present invention relates to a system and method for realizing direct communication between communication terminals by encrypting data. In particular, for communication between applications of each communication terminal, a network security management system that can control the execution of encrypted communication based on the security policy of the administrator or responsible person of the network operated by the organization, The present invention relates to a remote monitoring method and a communication terminal.

近年、ＩＰネットワーク関連技術の進歩に伴い、世界中のあらゆる通信端末がオープン環境を前提としたインターネットを通して低コストで自由に情報をやり取りすることができる環境が構築されている。その一方で、通信内容の盗聴や改竄などのセキュリティ的脅威があり、その対策の一つとして、暗号化通信の適用が急速に普及しつつある。   2. Description of the Related Art In recent years, with the advancement of IP network-related technology, an environment has been constructed in which all communication terminals around the world can freely exchange information at low cost through the Internet based on an open environment. On the other hand, there are security threats such as wiretapping and tampering of communication contents, and application of encrypted communication is rapidly spreading as one of the countermeasures.

暗号化通信においては、暗号強度と処理性能を向上する為に、暗号方式の最適化や暗号鍵長を大きくするなどの改善がなされている。このような暗号化通信の適用形態として、利便性と安全性を向上するために、様々な暗号化通信方式が普及している。例えばＩＰ−ＶＰＮにおいては、地理的に複数の離れた拠点を有する組織のネットワークを、インターネットを通して接続するに当たり、その組織の拠点毎のインターネット接続用ゲートウェイ部分にＩＰ−ＶＰＮ用の暗号化装置を設置している。これにより、インターネット区間の通信は全てＩＰ−Ｓｅｃなどを用いて暗号化されたＩＰパケットが転送される。その結果、複数の拠点がインターネットを通してあたかも専用線で接続されたかのように、便利で安全なネットワーク基盤を構築することが可能になる。   In encrypted communication, in order to improve encryption strength and processing performance, improvements such as optimization of the encryption method and increase of the encryption key length have been made. As an application mode of such encrypted communication, various encrypted communication methods are widely used in order to improve convenience and safety. For example, in IP-VPN, when connecting a network of an organization having a plurality of geographically separated bases through the Internet, an encryption device for IP-VPN is installed in the Internet connection gateway part for each base of the organization. is doing. As a result, IP packets encrypted using IP-Sec or the like are transferred for all communications in the Internet section. As a result, it is possible to construct a convenient and safe network infrastructure as if multiple bases were connected via a dedicated line through the Internet.

更に、通信端末自体の性能が高度化するのに伴い、暗号化通信の適用範囲はゲートウェイ装置同士から、通信端末−ゲートウェイ間、更には通信端末−通信端末間へと拡大する傾向にある。通信端末同士が直接暗号化通信を行なうと、通信端末からネットワークに送出する情報が既に暗号化されているため、通信端末のユーザにとってはセキュリティが向上する。   Furthermore, as the performance of the communication terminal itself increases, the application range of encrypted communication tends to expand from the gateway devices to between the communication terminal and the gateway, and further between the communication terminal and the communication terminal. When the communication terminals directly perform encrypted communication, the information transmitted from the communication terminal to the network is already encrypted, so that security is improved for the user of the communication terminal.

さらに、各通信端末のアプリケーション毎に特定の通信端末と暗号化通信を許可するか否かを制御可能なセキュリティ管理機能を有するネットワークシステムが普及しつつある。これは、組織のネットワーク管理者が運用するセキュリティ管理サーバと、そのセキュリティ管理サーバが直接制御可能で各ユーザには制御不能な各通信端末に常駐するセキュリティ管理クライアントプログラムで構成される。ユーザが通信端末を用いて他の通信端末や通信装置との間で、特定もしくは任意のアプリケーションによる通信を開始する場合、その通信端末に常駐するセキュリティ管理クライアントプログラムは、セキュリティ管理サーバに対してその暗号化通信が許可されるものか否かを確認し、許可されない場合はその暗号化通信を強制的に停止させる。これにより、組織のネットワーク管理者のセキュリティポリシーに基づく各通信端末間の暗号化通信を実現することが可能となる。   Furthermore, network systems having a security management function capable of controlling whether to allow encrypted communication with a specific communication terminal for each application of each communication terminal are becoming widespread. This is composed of a security management server operated by the network administrator of the organization and a security management client program that resides in each communication terminal that can be directly controlled by the security management server and cannot be controlled by each user. When a user uses a communication terminal to start communication with a specific or arbitrary application with another communication terminal or communication device, the security management client program resident in the communication terminal It is confirmed whether or not the encrypted communication is permitted. If the encrypted communication is not permitted, the encrypted communication is forcibly stopped. This makes it possible to realize encrypted communication between the communication terminals based on the security policy of the network administrator of the organization.

特許文献１には任意の通信端末同士が暗号化通信を実施するにあたり、管理サーバや検証サーバが任意の通信端末と連携することにより、端末同士が個別に認証処理や鍵の共有を実施しなくても良い暗号化通信方式が記載されている。例えば、通信端末がN台の相手と通信する可能性がある場合、各々の通信端末が個別に互いを認証するのは効率的ではない。特許文献１によれば、各通信端末は、検証サーバと連携した管理サーバとのみ認証を実施すれば、N種類の通信相手に対する正当性の確認を管理サーバが代行し、通信端末同士の本人正当性を確認可能となる。このように各通信端末と管理サーバが通信するに当たっても、始めに通信端末と管理サーバが相互に公開鍵証明書を交わすことにより互いに相手を認証した上で共有鍵を生成し、暗号化通信を確立する。また管理サーバによって、各通信端末間の通信を一元的に許可又は禁止することが可能となる。   In Patent Document 1, when an arbitrary communication terminal performs encrypted communication, the management server and the verification server cooperate with the arbitrary communication terminal so that the terminals do not individually perform authentication processing and key sharing. An encryption communication method that may be used is described. For example, when there is a possibility that a communication terminal communicates with N counterparts, it is not efficient for each communication terminal to authenticate each other individually. According to Patent Document 1, if each communication terminal performs authentication only with a management server that cooperates with the verification server, the management server acts as a proxy for confirming the validity of N types of communication partners. It becomes possible to confirm the sex. Thus, even when each communication terminal communicates with the management server, first, the communication terminal and the management server mutually exchange public key certificates to mutually authenticate each other, generate a shared key, and perform encrypted communication. Establish. The management server can permit or prohibit communication between the communication terminals in a unified manner.

特開２００５−３０３４８５号公報JP 2005-303485 A

上記セキュリティ管理機能を有するネットワークシステムにより、端末やアプリケーションレベルでの暗号化通信制御が可能となる。しかし組織のネットワーク管理者は、ユーザ端末とそれに対応するアプリケーション、及びその通信相手に基づいて、暗号化通信を許可するか否かの制御は可能であるものの、各ユーザ端末が直接暗号化通信を行なうことによってその通信内容を監視できなくなるため、組織に属するユーザが不正にアプリケーションを利用したり機密情報を外部に漏らしたりする脅威を発見することが困難となる。つまり、悪意のユーザによる不正な情報のやり取りや、ポート番号などを偽って実質的には許可されないアプリケーションによる不正通信が行なわれることが起こりえる。従って、これらの問題に対して、より完全な通信内容の保護を実現し、セキュリティを向上することが重要な課題になる。   The network system having the security management function enables encrypted communication control at the terminal or application level. However, the network administrator of the organization can control whether or not to allow encrypted communication based on the user terminal, the corresponding application, and its communication partner, but each user terminal directly performs encrypted communication. By doing so, it becomes impossible to monitor the communication contents, and it becomes difficult for users belonging to the organization to find threats that illegally use applications or leak confidential information to the outside. In other words, it is possible that unauthorized information is exchanged by a malicious user or unauthorized communication is performed by an application that is not substantially permitted by forging a port number. Therefore, for these problems, it is important to realize more complete communication content protection and improve security.

その根本的な原因は、基本的に通信端末間の通信については、セキュリティ管理サーバなどプロキシ的存在のセキュリティ監視装置を経由せずに直接通信することを前提としていることにある。あらゆる暗号化通信について、セキュリティ監視装置を経由するようにして、合わせてそれを復号化するために必要な情報である暗号方式、暗号鍵などを、セキュリティ監視装置に転送することにより、暗号化通信情報を復号化して通信内容を確認することによりネットワークセキュリティ管理を向上させることは可能である。しかし、係る方法によると、ネットワークシステムの規模が大きくなった場合、セキュリティ監視装置に集中する通信処理や復号化処理に要する負荷が極めて大きくなってしまい、実用的なセキュリティ管理されたネットワークシステムを構築することはできない。   The fundamental cause is that communication between communication terminals is basically based on the premise that communication is performed directly without going through a security monitoring device such as a security management server. Encrypted communication by transferring encryption methods, encryption keys, etc., which are necessary information for decrypting all encrypted communication via the security monitoring device, to the security monitoring device. It is possible to improve network security management by decrypting information and confirming communication contents. However, according to this method, when the scale of the network system increases, the load required for communication processing and decryption processing concentrated on the security monitoring device becomes extremely large, and a practical security-managed network system is constructed. I can't do it.

上記課題を達成するため、本発明は、任意の通信端末間での暗号化通信について直接的な走査（フィルタリング）機能を有するセキュリティ監視装置を提案する。すなわち、セキュリティ管理サーバ、又はそれ相当の装置にセキュリティ監視機能を有するセキュリティ監視装置を設置し、セキュリティ監視装置と各通信端末の間ではそれぞれ個別に暗号化通信路を形成する。上記セキュリティ管理サーバにおいて、通信端末同士で直接暗号化通信する情報の内容を監視する必要があると判断した場合、送信側、受信側の一方、又は両方の通信端末から上記セキュリティ監視装置に対して、通信端末間の暗号化通信を平文化した通信情報を、セキュリティ監視装置と各通信端末の間で形成した暗号化通信路を通して転送する。そして、セキュリティ管理サーバが転送された通信情報の内容を検証・確認することで不正な通信を発見し、対処する。   In order to achieve the above object, the present invention proposes a security monitoring device having a direct scanning (filtering) function for encrypted communication between arbitrary communication terminals. That is, a security monitoring device having a security monitoring function is installed in a security management server or an equivalent device, and an encrypted communication path is individually formed between the security monitoring device and each communication terminal. In the security management server, when it is determined that it is necessary to monitor the content of information that is directly encrypted and communicated between communication terminals, one or both communication terminals on the transmission side, the reception side, and the security monitoring device Then, communication information obtained by normalizing encrypted communication between communication terminals is transferred through an encrypted communication path formed between the security monitoring apparatus and each communication terminal. Then, the security management server finds and deals with unauthorized communication by verifying and confirming the content of the transferred communication information.

本発明の実施例について図面をもとに説明する。図１は、本発明が適用される典型的なネットワークセキュリティ管理システムの概念ブロック図である。図１において、インターネット等の公開ネットワーク１０００には、セキュリティ管理サーバ１０、複数の通信端末２０、３０が接続されている。セキュリティ管理サーバ１０は、組織などが管理する一定範囲の通信端末のセキュリティを管理する役割を持っている。   Embodiments of the present invention will be described with reference to the drawings. FIG. 1 is a conceptual block diagram of a typical network security management system to which the present invention is applied. In FIG. 1, a security management server 10 and a plurality of communication terminals 20 and 30 are connected to a public network 1000 such as the Internet. The security management server 10 has a role of managing the security of a certain range of communication terminals managed by an organization or the like.

本実施例では、セキュリティ管理サーバ１０の管理により直接暗号化通信を実行する通信端末の具体例として、通信端末２０と通信端末３０を示している。それぞれの通信端末には、暗号化通信処理部３１が実装されている。この暗号化通信処理部３１は、例えばセキュリティ管理用のクライアントプログラムとして通信端末２０上で実行され、通信端末のユーザにはこのプログラムを直接操作することができない。セキュリティ管理サーバ１０は、これら通信端末上の暗号化通信処理部３１とそれぞれ暗号化通信路SA５１、SB５２を形成し、意図されたセキュリティポリシーに基づいて暗号化通信を実行し、又は禁止するといった制御情報を送受信する。   In this embodiment, a communication terminal 20 and a communication terminal 30 are shown as specific examples of communication terminals that directly perform encrypted communication under the management of the security management server 10. Each communication terminal is provided with an encrypted communication processing unit 31. The encrypted communication processing unit 31 is executed on the communication terminal 20 as a client program for security management, for example, and the user of the communication terminal cannot directly operate this program. The security management server 10 forms encrypted communication paths SA51 and SB52 with the encrypted communication processing unit 31 on these communication terminals, and executes or prohibits encrypted communication based on the intended security policy. Send and receive information.

図１のサーバや通信端末、セキュリティ監視装置のハードウェア構成例を図２に示す。この例で各機器はCPU１００１と、RAM等のメモリ１００２と、ハードディスクや記録可能な光ディスク等の外部記憶装置１００５と、キーボードやマウス等の入力装置１００６と、モニタやプリンタ等の出力装置１００７と、これら装置を接続するためのI/Oインタフェースである外部出力インタフェース１００４と、インターネットやLAN等のネットワークを介して他装置と通信を行なうためのネットワークインタフェース１００３と、これらCPUやメモリ間でデータの送受信を行なう内部バス等のインタフェース１００８とを備える。本実施例に記載された様々な機能の実施形態として、CPU１００１がメモリ１００２にロードされた所定のプログラムを実行することで当該機能を実現することが想定される。これら各機能を実行するプログラムは、あらかじめ、メモリ１００２または外部記憶装置１００５に格納されていても良い。また、各機能を必要に応じてハードウェアによりそれぞれ実装しても良い。なお通信端末２０と３０は、図２に示された構成に限られず、例えばルータやPC、携帯電話、PDA、情報家電等の、ネットワークと接続することの出来るネットワークインタフェースを備えた機器であっても良い。   FIG. 2 shows a hardware configuration example of the server, communication terminal, and security monitoring device of FIG. In this example, each device includes a CPU 1001, a memory 1002 such as a RAM, an external storage device 1005 such as a hard disk and a recordable optical disc, an input device 1006 such as a keyboard and a mouse, an output device 1007 such as a monitor and a printer, The external output interface 1004 that is an I / O interface for connecting these devices, the network interface 1003 for communicating with other devices via a network such as the Internet or LAN, and data transmission / reception between these CPUs and memories And an interface 1008 such as an internal bus. As an embodiment of various functions described in this embodiment, it is assumed that the CPU 1001 realizes the functions by executing a predetermined program loaded in the memory 1002. Programs for executing these functions may be stored in the memory 1002 or the external storage device 1005 in advance. Each function may be implemented by hardware as necessary. The communication terminals 20 and 30 are not limited to the configuration shown in FIG. 2, and are devices equipped with a network interface that can be connected to a network, such as a router, a PC, a mobile phone, a PDA, and an information appliance. Also good.

通信端末２０と通信端末３０の間で暗号化通信を開始する手順を簡単に説明する。詳細な手順は特許文献１に記載されている。まず、通信端末２０はセキュリティ管理サーバ１０と公開鍵証明書等を交換するなどして、セキュリティ管理サーバ１０との間で相互に認証を行なう。この処理によって、通信端末２０とセキュリティ管理サーバ１０は、暗号化通信路SA５１で用いる鍵を共有する。同様の処理を、通信端末３０とセキュリティ管理サーバ１０の間でも行なう。この処理によって、通信端末３０とセキュリティ管理サーバ１０は、暗号化通信路SB５２で用いる鍵を共有する。   A procedure for starting encrypted communication between the communication terminal 20 and the communication terminal 30 will be briefly described. A detailed procedure is described in Patent Document 1. First, the communication terminal 20 mutually authenticates with the security management server 10 by exchanging a public key certificate or the like with the security management server 10. Through this process, the communication terminal 20 and the security management server 10 share the key used in the encrypted communication path SA51. Similar processing is performed between the communication terminal 30 and the security management server 10. Through this process, the communication terminal 30 and the security management server 10 share the key used in the encrypted communication path SB52.

次に通信端末２０は共有した鍵を用いてセキュリティ管理サーバ１０との間に暗号化通信路SA５１を形成し、通信端末３０等の他の通信端末との間の暗号化通信のための設定情報をセキュリティ管理サーバ１０に登録する。この設定情報とは例えば通信データの暗号化に用いる暗号化アルゴリズムの種類、鍵の長さ、通信データの改ざん検知に用いるハッシュ関数の種類等複数の項目からなり、通信端末２０はそれぞれの項目について複数種類の設定をセキュリティ管理サーバ１０に登録することができる。同様に通信端末３０も暗号化通信路SB５２を介して、他の通信端末との間の暗号化通信のための設定情報をセキュリティ管理サーバ１０に登録する。   Next, the communication terminal 20 forms an encrypted communication path SA51 with the security management server 10 using the shared key, and setting information for encrypted communication with other communication terminals such as the communication terminal 30. Is registered in the security management server 10. The setting information includes, for example, a plurality of items such as the type of encryption algorithm used for encrypting communication data, the key length, and the type of hash function used for detecting tampering of communication data. Multiple types of settings can be registered in the security management server 10. Similarly, the communication terminal 30 also registers setting information for encrypted communication with other communication terminals in the security management server 10 via the encrypted communication path SB52.

そして通信端末２０は暗号化通信路SA５１を介して、セキュリティ管理サーバ１０に通信端末３０への接続要求メッセージを送信する。セキュリティ管理サーバ１０は通信端末２０と通信端末３０が登録した設定情報から、これら両通信端末に適した暗号化通信路を設定するための設定情報を選択する。これは、両通信端末の能力差等の理由で使用可能な暗号化通信技術に差がある場合であっても、両通信端末に複数の条件を提示させ、その中から重複部分を見つけて暗号化通信を実現するための処理である。   Then, the communication terminal 20 transmits a connection request message to the communication terminal 30 to the security management server 10 via the encrypted communication path SA51. From the setting information registered by the communication terminal 20 and the communication terminal 30, the security management server 10 selects setting information for setting an encrypted communication channel suitable for both communication terminals. This is because even if there is a difference in the encryption communication technology that can be used due to a difference in the capabilities of both communication terminals, etc., both communication terminals are presented with multiple conditions, and an overlapping portion is found from among them and encryption is performed. This is a process for realizing a simplified communication.

セキュリティ管理サーバ１０は両通信端末が使用可能な設定情報を見つけると、接続を要求されている通信端末３０との間で暗号化通信路SB５２を形成する。そしてセキュリティ管理サーバ１０は暗号化通信路SB５２を介して、通信端末３０に通信端末２０からの接続要求メッセージを送信する。通信端末３０は接続要求に対する応答を、セキュリティ管理サーバ１０を介して通信端末２０へ送信する。   When the security management server 10 finds setting information usable by both communication terminals, the security management server 10 forms an encrypted communication path SB52 with the communication terminal 30 that is requested to be connected. Then, the security management server 10 transmits a connection request message from the communication terminal 20 to the communication terminal 30 via the encrypted communication path SB52. The communication terminal 30 transmits a response to the connection request to the communication terminal 20 via the security management server 10.

通信端末３０が通信端末２０からの接続を容認した場合、セキュリティ管理サーバ１０は選択した設定情報に従って通信端末２０と通信端末３０の間の暗号化通信用の鍵を生成する。そしてセキュリティ管理サーバ１０は暗号化通信路SA５１を介して通信端末２０に、暗号化通信路B５２を介して通信端末３０に、生成した鍵および選択した設定情報を送信する。   When the communication terminal 30 accepts the connection from the communication terminal 20, the security management server 10 generates a key for encrypted communication between the communication terminal 20 and the communication terminal 30 according to the selected setting information. The security management server 10 transmits the generated key and the selected setting information to the communication terminal 20 via the encrypted communication path SA51 and to the communication terminal 30 via the encrypted communication path B52.

セキュリティ管理サーバ１０から鍵を受信した通信端末２０、３０は、当該鍵および一致した設定情報を用いて両者の間に暗号化通信路AB５３を形成し、暗号化通信を行なう。   The communication terminals 20 and 30 that have received the key from the security management server 10 form an encrypted communication path AB53 between the two using the key and the matching setting information, and perform encrypted communication.

上述の処理のうち通信端末２０や３０で行なわれるものは、暗号化通信処理部３１により実行される。暗号化通信処理部３１は前述のように、基本的に通信端末２０、３０のユーザが直接操作できないようになっている。もしユーザによってセキュリティ管理クライアントプログラムに対し何らかの不正操作が行なわれた場合には、その旨がセキュリティ管理サーバ１０に速やかに通知される。   Among the processes described above, the processes performed by the communication terminals 20 and 30 are executed by the encrypted communication processing unit 31. As described above, the encrypted communication processing unit 31 is basically configured so that the user of the communication terminals 20 and 30 cannot directly operate. If any unauthorized operation is performed on the security management client program by the user, the security management server 10 is notified immediately.

以上のようなネットワークセキュリティ管理システムにおいて、セキュリティ監視装置４０を新しく導入する。このセキュリティ監視装置４０は、物理的にはセキュリティ管理サーバ１０と同一のサーバに実装されても良い。通信端末２０、３０からセキュリティ監視装置４０に向けて特定の通信情報をセキュアに転送できるようにする為、それぞれにおいて暗号化通信路XA５４、XB５５を形成する。これによって、ネットワーク管理者などの指示に基づいて通信端末２０と通信端末３０間の暗号化通信を監視する場合は、これら暗号化通信路XA５４、XB５５を利用して被疑対象の通信端末２０、３０における通信内容をセキュリティ監視装置４０に転送する。   In the network security management system as described above, a security monitoring device 40 is newly introduced. This security monitoring device 40 may be physically mounted on the same server as the security management server 10. In order to allow specific communication information to be securely transferred from the communication terminals 20 and 30 to the security monitoring device 40, encrypted communication paths XA54 and XB55 are formed respectively. Thus, when monitoring the encrypted communication between the communication terminal 20 and the communication terminal 30 based on an instruction from the network administrator or the like, the communication terminals 20 and 30 to be suspected using these encrypted communication paths XA54 and XB55. The communication content in is transferred to the security monitoring device 40.

図３は、通信端末２０、３０の機能ブロック図の一例である。この図には本発明に関連する部分のみが記載されている。アプリケーション実行部３１４はユーザに必要とするアプリケーション機能を提供するものであり、ユーザが直接操作することができる。このアプリケーション実行部３１４は、例えばCPUで実行されるアプリケーションプログラムである。暗号化通信処理部３１は、セキュリティ管理サーバ１０の管理に従い、暗号化通信を行なう機能部である。この暗号化通信処理部３１は、例えば通信端末２０、３０のCPUで実行されるセキュリティ管理用のクライアントプログラムである。   FIG. 3 is an example of a functional block diagram of the communication terminals 20 and 30. In this figure, only the parts relevant to the present invention are described. The application execution unit 314 provides application functions necessary for the user, and can be directly operated by the user. The application execution unit 314 is an application program executed by the CPU, for example. The encrypted communication processing unit 31 is a functional unit that performs encrypted communication in accordance with the management of the security management server 10. The encrypted communication processing unit 31 is a client program for security management executed by the CPU of the communication terminals 20 and 30, for example.

セキュリティ管理制御部３１１は、暗号化通信処理部３１全体の機能を制御する。セキュリティ管理制御部３１１は、セキュリティ管理サーバ１０と制御メッセージをやり取りし、またセキュリティ管理サーバ１０や他の通信端末との間の暗号化通信の実行を制御する。復号処理部３１２は、セキュリティ管理サーバ３１３より暗号化通信を許可された他の通信端末から受信した情報を、セキュリティ管理制御部３１１からの指示に従い復号する。暗号化処理部３１３は、セキュリティ管理サーバ１０の許可を得て他の通信端末の暗号化通信を行なう場合に、当該通信端末へ送信する情報をセキュリティ管理制御部３１１からの指示に従い暗号化する。   The security management control unit 311 controls the functions of the encrypted communication processing unit 31 as a whole. The security management control unit 311 exchanges control messages with the security management server 10 and controls the execution of encrypted communication with the security management server 10 and other communication terminals. The decryption processing unit 312 decrypts information received from another communication terminal permitted to perform encrypted communication from the security management server 313 in accordance with an instruction from the security management control unit 311. The encryption processing unit 313 encrypts information to be transmitted to the communication terminal in accordance with an instruction from the security management control unit 311 when performing encrypted communication of another communication terminal with the permission of the security management server 10.

このようにセキュリティ管理部３１１は、セキュリティ管理サーバ１０から受信した鍵や設定情報に従い、復号処理部３１２や暗号化処理部３１３を制御して他端末との間の暗号化通信を制御する。なお、セキュリティ管理サーバ１０との間の通信に必要な暗号化や復号処理については、これら暗号化処理部３１３や復号処理部３１２がセキュリティ管理部３１１の指示に従い実行しても良い。又は、セキュリティ管理制御部３１１が直接処理をしても良い。   As described above, the security management unit 311 controls the encryption communication with other terminals by controlling the decryption processing unit 312 and the encryption processing unit 313 according to the key and setting information received from the security management server 10. Note that the encryption processing unit 313 and the decryption processing unit 312 may execute the encryption and decryption processing necessary for communication with the security management server 10 in accordance with instructions from the security management unit 311. Alternatively, the security management control unit 311 may perform processing directly.

暗号化通信転送部３１５は、セキュリティ管理制御部３１１からの指示に従い他の通信端末へ送信する平文の情報を受け取り、当該情報を暗号化してセキュリティ管理サーバ１０へ送信する。暗号化通信転送部３１５は、暗号化すべき平文の情報を、暗号化処理部３１３から受信しても良く、又はアプリケーション実行部３１４が当該情報をいずれかのバッファやメモリに格納している場合は、当該バッファやメモリから直接取得しても良い。つまり、セキュリティ管理制御部３１１は、被疑対象の暗号化通信について平文の状態の通信内容情報（平文通信情報）が暗号化通信転送部３１３に転送されるように制御する。なお、役割の違いから暗号化処理部３１３と暗号化通信転送処理部３１５を別の機能ブロックとして説明しているが、実装上はこれら機能部が同一のものであっても良い。   The encrypted communication transfer unit 315 receives plaintext information to be transmitted to another communication terminal in accordance with an instruction from the security management control unit 311, encrypts the information, and transmits the encrypted information to the security management server 10. The encrypted communication transfer unit 315 may receive plaintext information to be encrypted from the encryption processing unit 313, or when the application execution unit 314 stores the information in any buffer or memory. The data may be acquired directly from the buffer or memory. That is, the security management control unit 311 performs control so that communication content information in a plaintext state (plaintext communication information) is transferred to the encrypted communication transfer unit 313 for the suspicious encrypted communication. Although the encryption processing unit 313 and the encrypted communication transfer processing unit 315 have been described as separate functional blocks due to the difference in roles, these functional units may be the same for implementation.

図４は、セキュリティ監視装置４０の機能ブロック図である。暗号化通信処理部４１の復号処理部、セキュリティ管理制御部、暗号化処理部については通信端末２０、３０の暗号化通信処理部３１と同等の機能を有する。つまり暗号化通信処理部４１は、セキュリティ管理サーバ１０の指示に従い、セキュリティ管理サーバ１０や通信端末１０、２０と暗号化通信を行なう。このように通信端末２０、３０の暗号化通信処理部３１をほぼそのまま流用してセキュリティ監視装置４０の暗号化通信処理部４１とすることができるため、通信端末として使用しているコンピュータの一台をセキュリティ監視装置４０として容易に転用することが可能となる。通信内容監視部４２は、通信端末２０、３０から転送されてくる、通信端末間で送受信されるデータ内容である通信情報の内容を検証するための機能を提供する。転送通信情報記憶部４３は、転送された通信情報を通信内容監視部の指示に従い記憶しておくための記憶装置である。   FIG. 4 is a functional block diagram of the security monitoring device 40. The decryption processing unit, security management control unit, and encryption processing unit of the encrypted communication processing unit 41 have the same functions as the encrypted communication processing unit 31 of the communication terminals 20 and 30. That is, the encrypted communication processing unit 41 performs encrypted communication with the security management server 10 and the communication terminals 10 and 20 in accordance with instructions from the security management server 10. As described above, the encrypted communication processing unit 31 of the communication terminals 20 and 30 can be used almost as it is to obtain the encrypted communication processing unit 41 of the security monitoring device 40. Therefore, one computer used as the communication terminal Can be easily diverted as the security monitoring device 40. The communication content monitoring unit 42 provides a function for verifying the content of communication information transferred from the communication terminals 20 and 30 and transmitted and received between the communication terminals. The transfer communication information storage unit 43 is a storage device for storing the transferred communication information in accordance with instructions from the communication content monitoring unit.

通信情報の検証は、暗号化通信を行なうアプリケーションによって様々な方策をとる必要がある。例えば通信情報がテキストファイルであれば、通信内容監視部４２が当該テキストファイルにパターンマッチング処理を施すなどして、必要な部分を出力装置１００７にテキスト表示する等の処理が考えられる。これによりネットワーク管理者６０は、そのテキストデータが不正であるかどうかを確認することができる。   For verification of communication information, various measures need to be taken depending on an application that performs encrypted communication. For example, if the communication information is a text file, the communication content monitoring unit 42 may perform a pattern matching process on the text file to display a necessary part on the output device 1007 as text. As a result, the network manager 60 can confirm whether the text data is invalid.

図５は、セキュリティ管理サーバ１０の機能ブロック図である。制御部１１は、本実施例のセキュリティ監視システム全体を統括する。認証処理部１７は、通信端末２０、３０やセキュリティ監視装置４０の認証処理を行なう。設定情報処理部１６は、通信端末２０、３０やセキュリティ監視装置４０から送信される設定情報をデータベース１２に記憶し、それら設定情報のマッチングを行なう等の処理をする。鍵生成部１５は、設定情報処理部１６の選択した設定情報を用いて通信端末間の暗号化通信のための鍵を生成する。   FIG. 5 is a functional block diagram of the security management server 10. The control unit 11 controls the entire security monitoring system of this embodiment. The authentication processing unit 17 performs authentication processing for the communication terminals 20 and 30 and the security monitoring device 40. The setting information processing unit 16 stores setting information transmitted from the communication terminals 20 and 30 and the security monitoring device 40 in the database 12 and performs processing such as matching the setting information. The key generation unit 15 uses the setting information selected by the setting information processing unit 16 to generate a key for encrypted communication between communication terminals.

監視処理部１００は、セキュリティ監視装置４０からの要求に応じて、通信端末２０や３０へ、通信情報を転送するよう要求する転送要求メッセージを送信する。また、監視処理部１００は、セキュリティ監視装置４０からの要求に応じて、通信端末２０、３０に、それら通信端末間における暗号化通信の停止を命じる通信停止メッセージを送信する。この通信停止メッセージを受信した通信端末２０、３０では、セキュリティ管理制御部３１１が暗号化処理部３１３に暗号化処理の停止を指示し、相手通信端末への情報の送信を停止する。または、セキュリティ管理制御部３１１は、図３には図示されていないネットワークインタフェースにデータの送信を停止するよう指示してもよい。このように、通信停止メッセージを受けた通信端末２０、３０の内部では、相手通信端末へのデータの送信を停止する処理が行なわれる。   In response to a request from the security monitoring device 40, the monitoring processing unit 100 transmits a transfer request message requesting the communication terminals 20 and 30 to transfer communication information. Also, in response to a request from the security monitoring device 40, the monitoring processing unit 100 transmits a communication stop message that instructs the communication terminals 20 and 30 to stop encrypted communication between the communication terminals. In the communication terminals 20 and 30 that have received this communication stop message, the security management control unit 311 instructs the encryption processing unit 313 to stop the encryption process, and stops the transmission of information to the partner communication terminal. Alternatively, the security management control unit 311 may instruct a network interface not shown in FIG. 3 to stop data transmission. Thus, in the communication terminals 20 and 30 that have received the communication stop message, processing for stopping data transmission to the partner communication terminal is performed.

図６は、セキュリティ管理サーバ１０が保持する通信元２００から通信先２１０への通信端末２０１間の通信を管理するアクセスポリシーの一例を示す。セキュリティ管理サーバ１０は、各通信端末やセキュリティ監視装置間の暗号化通信を、暗号化通信アクセス管理データベース１２に保持する通信端末間のアクセスポリシーにより管理する。図６の例の場合セキュリティ管理サーバ１０は、通信端末Aが通信先の通信端末Bに対して発信する通信については、ｈｔｔｐ、ｓｍｔｐ、ｐｏｐ、ｆｔｐ、ｔｅｌｎｅｔという通信種別２０２に関して許容している。同様にしてセキュリティ管理サーバ１０は、通信端末Cが通信端末Zに対して発信する通信については、全ての通信種別について許容していない。セキュリティ管理サーバ１０は、このような各通信端末同士のアクセスポリシーを動的に管理することにより、セキュリティ監視装置４０による、アクセスポリシー変更要求、つまり特定の通信端末間の暗号化通信を停止する要求を受け入れる。   FIG. 6 shows an example of an access policy for managing communication between the communication terminals 201 from the communication source 200 to the communication destination 210 held by the security management server 10. The security management server 10 manages the encrypted communication between the communication terminals and the security monitoring device based on the access policy between the communication terminals held in the encrypted communication access management database 12. In the case of the example in FIG. 6, the security management server 10 allows the communication transmitted from the communication terminal A to the communication terminal B that is the communication destination with respect to the communication type 202 of http, smtp, pop, ftp, telnet. Similarly, the security management server 10 does not allow all communication types for communication that the communication terminal C sends to the communication terminal Z. The security management server 10 dynamically manages the access policy between the respective communication terminals, thereby requesting the security monitoring device 40 to change the access policy, that is, a request to stop the encrypted communication between specific communication terminals. Accept.

例えばセキュリティ監視装置４０が、通信端末Aから通信端末Bへのｆｔｐによる通信を停止するよう要求した場合、セキュリティ管理サーバ１０は、アクセスポリシーの当該個所を「◎」から「×」や「＊」に変更して、通信端末Aに通信停止指示メッセージを送信する。尚、「○」印は通常に通信を許可、「×」印は通信を禁止していることを示す。また、「◎」印は通信を許可しながらセキュリティ監視装置にもその通信を転送して監視することを示し、「＊」印は通信を禁止しつつ送信しようとした送信情報をセキュリティ監視装置には転送して監視することを示すものであり、これらは本発明で新たに規定した管理分類である。   For example, when the security monitoring device 40 requests to stop communication by ftp from the communication terminal A to the communication terminal B, the security management server 10 changes the location of the access policy from “◎” to “×” or “*”. The communication stop instruction message is transmitted to the communication terminal A. Note that “O” indicates that communication is normally permitted, and “X” indicates that communication is prohibited. In addition, “◎” indicates that the communication is transferred to the security monitoring apparatus while monitoring is permitted, and “*” indicates that the transmission information to be transmitted while prohibiting the communication is transmitted to the security monitoring apparatus. Indicates transfer and monitoring, and these are management classifications newly defined in the present invention.

以上のように、通信元端末と通信先端末との通信種別毎のアクセスポリシーについて動的にリアルタイムでマトリクスとして管理することにより、セキュリティ管理サーバ１０は、任意の通信端末間のアクセスを管理が可能となる。なお、通信端末の通信情報をセキュリティ監視装置４０にて監視する必要があるため、基本的にセキュリティ管理サーバ１０は、図６に示されているとおり、セキュリティ監視装置４０とあらゆる通信端末の間の通信を許容するようにアクセス管理する。   As described above, the security management server 10 can manage access between arbitrary communication terminals by dynamically managing the access policy for each communication type between the communication source terminal and the communication destination terminal in real time as a matrix. It becomes. In addition, since it is necessary to monitor the communication information of a communication terminal with the security monitoring apparatus 40, the security management server 10 is basically between the security monitoring apparatus 40 and every communication terminal as shown in FIG. Manage access to allow communication.

図７は、ネットワーク管理者６０が特定の通信端末間の暗号化通信について、本発明を適用する場合の典型的な処理の流れをシーケンス図として示したものである。基本的に通信端末２０と通信端末３０とは同等のものであるため、ここでは簡略化のため通信端末３０のみに絞って説明する。   FIG. 7 is a sequence diagram showing a typical process flow when the network manager 60 applies the present invention to encrypted communication between specific communication terminals. Since the communication terminal 20 and the communication terminal 30 are basically equivalent, only the communication terminal 30 will be described here for simplification.

ネットワーク管理者６０が、例えば通信端末３０の暗号化通信が不審であると判断したとき（９１）、セキュリティ監視装置４０に対して暗号化通信監視指示を行なう（７１）。この監視指示には例えば、監視対象とする通信端末や当該通信端末上で暗号化通信を行なっているアプリケーションを特定する情報が含まれている。これら情報としては例えば通信端末のIPアドレス等のネットワークアドレスや、ＳＩＰ−ＵＲＩ、アプリケーションに割り当てられたポート番号等の、監視対象となる通信端末や当該通信端末上で実行されている通信を一意に特定できる識別情報を利用することが考えられる。また、セキュリティ管理サーバにて各通信端末間のコネクションに識別情報を割り当てて管理している場合には、当該コネクションごとの識別情報によって監視すべき通信を特定しても良い。   For example, when the network manager 60 determines that the encrypted communication of the communication terminal 30 is suspicious (91), the network manager 60 issues an encrypted communication monitoring instruction to the security monitoring device 40 (71). This monitoring instruction includes, for example, information for specifying a communication terminal to be monitored and an application performing encrypted communication on the communication terminal. As these information, for example, a network terminal such as an IP address of a communication terminal, a SIP-URI, a port number assigned to an application, and the like, a communication terminal to be monitored and a communication executed on the communication terminal are uniquely identified. It is conceivable to use identification information that can be identified. In addition, when the security management server manages by assigning identification information to the connection between each communication terminal, the communication to be monitored may be specified by the identification information for each connection.

ネットワーク管理者６０は、セキュリティ監視装置４０の出力装置１００７に表示される、過去の通信履歴を始めとした諸情報を見ながら、入力装置１００６により監視指示を行なう。なお、セキュリティ監視装置が不正な通信を行なっている可能性のある通信端末を自動的に判別し、監視指示を発行するようにしてもよい。監視指示を受けたセキュリティ監視装置４０の通信内容監視部４２は、セキュリティ管理サーバ１０に対して暗号化通信転送要求メッセージを送信する（７２）。この転送要求メッセージにも同様に、通信端末やアプリケーション、コネクション等を特定する情報が含まれている。   The network administrator 60 issues a monitoring instruction from the input device 1006 while viewing various information such as past communication history displayed on the output device 1007 of the security monitoring device 40. Note that the security monitoring device may automatically determine a communication terminal that may be performing unauthorized communication and issue a monitoring instruction. Upon receiving the monitoring instruction, the communication content monitoring unit 42 of the security monitoring device 40 transmits an encrypted communication transfer request message to the security management server 10 (72). Similarly, the transfer request message includes information for specifying a communication terminal, an application, a connection, and the like.

このメッセージを受信したセキュリティ管理サーバ１０の制御部１１は、暗号化通信アクセス管理データベース１２で管理しているアクセスポリシーの変更（９２）を実施した後、セキュリティ監視装置４０と通信端末３０間の暗号化通信路ＸＢ５５で使用する鍵を生成し、セキュリティ監視装置４０、通信端末３０それぞれに当該鍵を配布する。アクセスポリシーであらゆる通信端末からセキュリティ監視装置４０への通信は全て許可するように設定されているので、通信情報を監視するこの場合、セキュリティ管理サーバ１０はセキュリティ監視装置４０の要求に応じて、通信端末３０に問いあわせることなく暗号化通信路ＸＢ５５を形成するようにしても良い。   Upon receiving this message, the control unit 11 of the security management server 10 changes the access policy (92) managed by the encrypted communication access management database 12, and then encrypts the security between the security monitoring device 40 and the communication terminal 30. A key used in the communication channel XB55 is generated, and the key is distributed to each of the security monitoring device 40 and the communication terminal 30. Since all the communication from any communication terminal to the security monitoring device 40 is set to be permitted by the access policy, the security management server 10 performs communication according to the request of the security monitoring device 40 in this case for monitoring communication information. The encrypted communication path XB55 may be formed without inquiring of the terminal 30.

このとき通信端末３０の暗号化通信処理部３１は、セキュリティ監視装置４０との暗号化通信であることを了承して暗号化通信に応じ、通信端末３０のユーザはその暗号化通信に関知しない。セキュリティ監視装置４０の暗号化通信処理部４１を、通信端末の暗号化通信処理部３１と同等のものとすれば、セキュリティ管理サーバは、あたかもセキュリティ監視装置４０が通常の通信端末と同等であるように暗号化通信路XA５４を構築することができるため、セキュリティ管理サーバに対する改変を少なくすることができる。   At this time, the encrypted communication processing unit 31 of the communication terminal 30 acknowledges the encrypted communication with the security monitoring device 40 and responds to the encrypted communication, and the user of the communication terminal 30 does not know about the encrypted communication. If the encrypted communication processing unit 41 of the security monitoring device 40 is equivalent to the encrypted communication processing unit 31 of the communication terminal, the security management server is as if the security monitoring device 40 is equivalent to a normal communication terminal. In addition, since the encrypted communication path XA54 can be constructed, modification to the security management server can be reduced.

セキュリティ管理サーバ１０の監視処理部１００は、通信端末３０の暗号化通信処理部３１に対し、暗号化通信転送指示メッセージを送信する（７３）。この転送指示メッセージにも同様に、通信端末やアプリケーション、コネクション等を特定する情報が含まれている。なお、この暗号化通信転送指示メッセージは、暗号化通信路SB５５を形成するための鍵の配布と同時に送信しても良い。   The monitoring processing unit 100 of the security management server 10 transmits an encrypted communication transfer instruction message to the encrypted communication processing unit 31 of the communication terminal 30 (73). Similarly, the transfer instruction message includes information for specifying a communication terminal, an application, a connection, and the like. The encrypted communication transfer instruction message may be transmitted simultaneously with the distribution of the key for forming the encrypted communication path SB55.

通信端末３０の暗号化通信処理部３１は、この指示メッセージに従い、指示された暗号化通信をセキュリティ監視装置へ転送するモードに切替わり（９３）、暗号化通信路ＡＢ５３を介して通信端末２０へ送信する情報を、暗号化通信転送部３１５により暗号化し、暗号化通信路ＸＢ５５を介してセキュリティ監視装置４０へ送信する（７４）。このように暗号化通信路ＸＢ５５を介して通信情報を送信することで、被疑対象の通信情報についてはセキュリティを確保した上で転送することが可能となる。   The encrypted communication processing unit 31 of the communication terminal 30 switches to the mode for transferring the instructed encrypted communication to the security monitoring device in accordance with this instruction message (93), and communicates to the communication terminal 20 via the encrypted communication path AB53. The information to be transmitted is encrypted by the encrypted communication transfer unit 315 and transmitted to the security monitoring device 40 via the encrypted communication path XB55 (74). By transmitting the communication information through the encrypted communication path XB55 as described above, it is possible to transfer the suspected communication information while ensuring security.

通信端末３０から、通信端末２０との間の通信情報を受信したセキュリティ監視装置４０では、復号処理部３１２が当該暗号化された通信情報を復号して、通信内容監視部４２に渡す。通信内容監視部４２は、暗号化通信情報（平文通信情報、暗号化方式、暗号鍵等）をそのまま、又は適宜編集した上で出力装置１００７に表示する（７５）。ネットワーク管理者６０は、その通信情報の内容を確認し、当該通信端末間の暗号化通信が不正であるか否か判断する。なお、この判断はセキュリティ監視装置４０に通信内容の判別機能を実装して、人手を介さずに自動的に行なっても良い。   In the security monitoring device 40 that has received the communication information with the communication terminal 20 from the communication terminal 30, the decryption processing unit 312 decrypts the encrypted communication information and passes it to the communication content monitoring unit 42. The communication content monitoring unit 42 displays the encrypted communication information (plaintext communication information, encryption method, encryption key, etc.) on the output device 1007 as it is or after appropriately editing (75). The network manager 60 confirms the content of the communication information and determines whether or not the encrypted communication between the communication terminals is illegal. Note that this determination may be automatically performed without manual intervention by installing a communication content determination function in the security monitoring device 40.

セキュリティ監視装置４０は、通信端末３０の暗号化通信処理部３１から転送されてくる通信内容の全て又は必要な一部を、転送通信情報記憶部４３に保存しておく。これにより、後からネットワーク管理者６０が通信内容を確認し、また通信来歴の証拠ログとして活用することができる。   The security monitoring device 40 stores all or a necessary part of the communication contents transferred from the encrypted communication processing unit 31 of the communication terminal 30 in the transfer communication information storage unit 43. As a result, the network manager 60 can confirm the communication contents later and can be used as an evidence log of communication history.

ネットワーク管理者６０は当該通信内容が不正であると判断したとき（９４）、入力装置１００６を介してセキュリティ監視装置４０に対し、当該通信を停止するよう指示する（８１）。この指示には、どの通信端末間の通信を停止するのかを特定しうる情報が含まれる。セキュリティ監視装置４０の通信内容監視部４２は当該指示を受けて、セキュリティ管理サーバに１０対し通信停止要求メッセージを送信する（８２）。   When the network manager 60 determines that the communication content is illegal (94), it instructs the security monitoring device 40 to stop the communication via the input device 1006 (81). This instruction includes information that can specify which communication terminal communication is to be stopped. Upon receiving the instruction, the communication content monitoring unit 42 of the security monitoring device 40 transmits a communication stop request message to the security management server 10 (82).

セキュリティ管理サーバ１０の監視処理部１００は、通信停止要求メッセージを受信すると、停止を要求されている通信を当該メッセージから特定する。そして監視処理部１００は、特定した通信につき、暗号化通信アクセス管理データベース１２で管理している該当するアクセスポリシーを、通信許可から通信不許可に変更する（９５）。そして監視処理部１００は当該通信を停止するため、通信端末３０の暗号化通信処理部３１に通信停止指示メッセージを送信する（８３）。この通信停止指示メッセージを受けた通信端末３０の暗号化通信処理部３１は、当該メッセージで特定される暗号化通信を停止する（９６）。これにより、ネットワーク管理者６０は、不正と判断する暗号化通信を強制的に中止させることができる。   When receiving the communication stop request message, the monitoring processing unit 100 of the security management server 10 identifies the communication requested to be stopped from the message. Then, the monitoring processing unit 100 changes the corresponding access policy managed in the encrypted communication access management database 12 from the communication permission to the communication disapproval for the specified communication (95). Then, the monitoring processing unit 100 transmits a communication stop instruction message to the encrypted communication processing unit 31 of the communication terminal 30 in order to stop the communication (83). Upon receiving this communication stop instruction message, the encrypted communication processing unit 31 of the communication terminal 30 stops the encrypted communication specified by the message (96). Thereby, the network administrator 60 can forcibly stop the encrypted communication determined to be illegal.

この時、単純に暗号化通信を停止させてしまうと、ネットワーク管理者６０は、それ以降に端末ユーザがどのような情報を転送しようとしていたかを確認することができない。そこで、暗号化通信処理部３１は、アプリケーション実行部３１４からのデータを受信し続け、当該データを相手の通信端末へは送信せず、暗号化通信転送部３１５を介してセキュリティ監視装置４０には送信し続けるようにしても良い（８４、８５）。   At this time, if the encrypted communication is simply stopped, the network manager 60 cannot confirm what information the terminal user has been trying to transfer thereafter. Therefore, the encrypted communication processing unit 31 continues to receive data from the application execution unit 314, does not transmit the data to the other communication terminal, and passes through the encrypted communication transfer unit 315 to the security monitoring device 40. Transmission may be continued (84, 85).

このため、セキュリティ管理サーバ１０上でのアクセス管理として、通信は停止するが通信内容の監視を続ける新しい管理分類を導入する。図６に示すアクセスポリシーの＊で表わされる管理分類であり、この新しい管理分類にあてはまる通信端末間の通信については、セキュリティ管理制御部３１１が通信端末の本来の通信相手となる端末への暗号化通信は停止しつつ、暗号化通信転送部３１３がアプリケーション実行部３１４により作成された通信情報をセキュリティ監視装置４０へ転送し続ける。これによりネットワーク管理者６０は、被疑対象の送信側通信端末のユーザが、どのような情報を転送しようとしていたかについて通信相手に情報を転送することなく確認することができる。このような措置は、被疑対象の通信がTCP通信である場合は不可能であるが、UDP通信のようなプロトコル・レベルで送受信するデータの到達を確認しない通信であれば、少なくとも一定量のデータについては監視が可能である。   For this reason, a new management classification is introduced as access management on the security management server 10, which stops communication but continues to monitor communication contents. In the management classification represented by * in the access policy shown in FIG. 6, for communication between communication terminals that fall under this new management classification, the security management control unit 311 encrypts the communication terminal to the original communication partner. While the communication is stopped, the encrypted communication transfer unit 313 continues to transfer the communication information created by the application execution unit 314 to the security monitoring device 40. As a result, the network manager 60 can confirm what information the user of the suspected transmission side communication terminal is trying to transfer without transferring the information to the communication partner. Such measures are not possible if the communication to be suspected is TCP communication, but at least a certain amount of data if communication that does not confirm the arrival of data to be transmitted and received at the protocol level, such as UDP communication. Can be monitored.

図７に示す実施例では、セキュリティ監視装置４０は通信端末３０からの通信情報のみ受信したが、同時に通信端末２０からも通信情報を受信しても良い。   In the embodiment shown in FIG. 7, the security monitoring device 40 receives only communication information from the communication terminal 30, but may also receive communication information from the communication terminal 20 at the same time.

以上の処理におけるネットワーク管理者に関係する手続きは、適宜自動化することにより、セキュリティ監視装置の通信処理や復号化処理に要する負荷の制限の範囲内で、網羅的に通信内容の監視を実行することができるようになる。   The procedures related to the network administrator in the above processing should be automatically automated to comprehensively monitor the communication contents within the limits of the load required for the communication processing and decryption processing of the security monitoring device. Will be able to.

上述の実施例で説明したシステムでは、特許文献１に示されている通信方式を前提とした。即ち、実施例におけるセキュリティ管理サーバ１０は、特許文献１の管理サーバに相当する。またこの実施例では、新規にセキュリティ監視装置４０を設置した。セキュリティ監視装置４０は、管理者権限を有する特殊な通信装置の一つの位置付けであり、任意の通信端末からセキュリティ監視装置４０への通信は、管理サーバ１０によって必ず許可されるものである。これによって本実施例では、特許文献１で示される暗号化通信方式の概念を最大限に生かしつつ、任意の通信端末の暗号化通信を動的に制御し、必要に応じてセキュリティ監視装置４０へ、その暗号化通信の内容を転送することを実現した。なお、セキュリティ管理サーバ１０にセキュリティ監視装置４０の機能を含めて一台の装置としてもよい。   The system described in the above embodiment is based on the communication method disclosed in Patent Document 1. That is, the security management server 10 in the embodiment corresponds to the management server of Patent Document 1. In this embodiment, a security monitoring device 40 is newly installed. The security monitoring device 40 is one of special communication devices having administrator authority, and communication from any communication terminal to the security monitoring device 40 is always permitted by the management server 10. As a result, in this embodiment, while making full use of the concept of the encrypted communication method disclosed in Patent Document 1, the encrypted communication of an arbitrary communication terminal is dynamically controlled, and the security monitoring device 40 is transmitted as necessary. , Realized the transfer of the contents of the encrypted communication. The security management server 10 may include a function of the security monitoring device 40 and may be a single device.

組織が管理するネットワークにおいて、セキュリティレベルの向上と利便性の向上はトレードオフの関係にある。如何にして両者を高いレベルで両立させるかが、今後、組織が管理するネットワークにおける一般的な課題といえる。本発明が前提とするネットワークセキュリティ管理システム、及び本発明を適用することにより、実効的にはセキュリティレベルの向上と利便性の向上を高いレベルで実現することが可能になる。本発明によって、ネットワークセキュリティ管理向上と、セキュリティ監視装置に集中する通信処理や復号化処理に要する負荷増大、のトレードオフの関係を実効的に解消することができる。   In a network managed by an organization, improvement in security level and improvement in convenience are in a trade-off relationship. How to make both compatible at a high level can be said to be a general problem in networks managed by organizations in the future. By applying the network security management system assumed by the present invention and the present invention, it is possible to effectively improve the security level and the convenience at a high level. According to the present invention, it is possible to effectively eliminate the trade-off between network security management improvement and load increase required for communication processing and decryption processing concentrated on the security monitoring apparatus.

本発明によれば、ネットワーク管理者が必要と判断する暗号化通信の内容を監視できるようになるため、特定ユーザに容疑が発生したときの追跡調査が容易になる他、組織内の全ユーザに対する不正利用抑止効果が期待できる。その結果、任意の通信端末間での暗号化通信について直接的な走査（フィルタリング）機能を実施することによるネットワークセキュリティ管理向上と、セキュリティ管理サーバなどに集中する通信処理や復号化処理に要する負荷増大、のトレードオフの関係を実効的に解消することが可能になる。   According to the present invention, since it becomes possible to monitor the contents of encrypted communication that the network administrator determines to be necessary, it is easy to follow up when a specific user is suspected, and to all users in the organization. Expected to prevent unauthorized use. As a result, network security management is improved by implementing a direct scanning (filtering) function for encrypted communication between arbitrary communication terminals, and the load required for communication processing and decryption processing concentrated on the security management server, etc. It is possible to effectively eliminate the trade-off relationship.

本発明の実施例を示すネットワークセキュリティ管理システムの全体概要図である。1 is an overall schematic diagram of a network security management system showing an embodiment of the present invention. 本発明における通信端末やサーバのハードウェア構成の一実施例を示す図である。It is a figure which shows one Example of the hardware constitutions of the communication terminal in this invention, or a server. 本発明における通信端末の機能ブロックの一実施例を示す図である。It is a figure which shows one Example of the functional block of the communication terminal in this invention. 本発明におけるセキュリティ監視装置の機能ブロックの一実施例を示す図である。It is a figure which shows one Example of the functional block of the security monitoring apparatus in this invention. 本発明におけるセキュリティ管理サーバの機能ブロックの一実施例を示す図である。It is a figure which shows one Example of the functional block of the security management server in this invention. 本発明におけるアクセスポリシーの一実施例を示す図である。It is a figure which shows one Example of the access policy in this invention. 本発明における装置間のシーケンスの一実施例を示す図である。It is a figure which shows one Example of the sequence between the apparatuses in this invention.

符号の説明Explanation of symbols

１０・・・セキュリティ管理サーバ
１１・・・制御部
１２・・・暗号化通信アクセス管理データベース（アクセスポリシー）
１００・・・監視処理部
３１・・・暗号化通信処理部（セキュリティ管理クライアントプログラム）
３１１・・・セキュリティ管理制御部
３１５・・・暗号化通信転送部
４０・・・セキュリティ監視装置
４１・・・暗号化通信処理部
４２・・・通信内容監視部
４３・・・転送通信情報記憶部
10: Security management server 11: Control unit 12: Encrypted communication access management database (access policy)
100: Monitoring processing unit 31: Encrypted communication processing unit (security management client program)
311: Security management control unit 315: Encrypted communication transfer unit 40 ... Security monitoring device 41 ... Encrypted communication processing unit 42 ... Communication content monitoring unit 43 ... Transfer communication information storage unit

Claims (3)

第１の通信端末と、第２の通信端末と、
前記第１および第２の通信端末を認証し、前記第１および第２の通信端末それぞれとの間で暗号化通信路を形成し、前記第１又は第２の通信端末から他方の通信端末への接続要求メッセージを受信すると、前記第１および第２の通信端末間の暗号化通信に使用する第１の鍵を生成し、当該鍵を前記第１および第２の通信端末に送信する管理サーバとを有し、
前記第１の鍵を用いて前記第１の通信端末と前記第２の通信端末との間で第１の暗号化通信路を形成し、当該端末間で前記第１の暗号化通信路を介して直接暗号化通信を行なうセキュリティ管理システムにおいて、
前記管理サーバとの間で認証を行ない、前記管理サーバとの間に第２の暗号化通信路を形成する監視装置を有し、
前記監視装置は、前記第１の通信端末が前記第２の通信端末へ送信する通信情報の転送を要求する転送要求メッセージを、前記第２の暗号化通信路を介して前記管理サーバに送信し、
前記転送要求メッセージを受信した前記管理サーバは、前記監視装置と前記第１の通信端末間の暗号化通信に用いる第２の鍵を生成し、当該第２の鍵を前記監視装置と前記第１の通信端末に送信し、前記第２の通信端末へ送信する通信情報を前記第２の鍵により暗号化して前記監視装置へ送信するよう前記第１の通信端末に指示し、
前記第１の通信端末と前記監視装置は、前記第２の鍵を用いて第３の暗号化通信路を形成し、前記第１の通信端末は、前記第２の通信端末へ送信する通信情報を、前記第３の暗号化通信路を介して前記監視装置に送信し、
前記監視装置は前記第１の通信端末から受信した通信情報を復号し、
さらに、前記監視装置は、前記第１の通信端末から前記第２の通信端末への前記第１の暗号化通信路を介したデータの送信を止めさせる通信停止メッセージを、前記第２の暗号化通信路を介して前記管理サーバに送信することを特徴とするセキュリティ管理システム。 A first communication terminal, a second communication terminal,
The first and second communication terminals are authenticated, an encrypted communication path is formed with each of the first and second communication terminals, and the other communication terminal is transferred from the first or second communication terminal. Management server that generates a first key used for encrypted communication between the first and second communication terminals and transmits the key to the first and second communication terminals upon receiving the connection request message And
A first encrypted communication path is formed between the first communication terminal and the second communication terminal using the first key, and the first encrypted communication path is connected between the terminals. In a security management system that performs direct encrypted communication,
A monitoring device that performs authentication with the management server and forms a second encrypted communication path with the management server;
The monitoring apparatus transmits a transfer request message requesting transfer of communication information transmitted from the first communication terminal to the second communication terminal to the management server via the second encrypted communication path. ,
The management server that has received the transfer request message generates a second key used for encrypted communication between the monitoring device and the first communication terminal, and uses the second key as the monitoring device and the first key. Instructing the first communication terminal to encrypt the communication information to be transmitted to the second communication terminal with the second key and transmitting it to the monitoring device,
The first communication terminal and the monitoring device form a third encrypted communication path using the second key, and the first communication terminal transmits communication information to the second communication terminal. To the monitoring device via the third encrypted communication path,
The monitoring device decodes communication information received from the first communication terminal ;
Further, the monitoring device transmits a communication stop message for stopping transmission of data from the first communication terminal to the second communication terminal via the first encrypted communication path, using the second encryption terminal. A security management system for transmitting to the management server via a communication path. 請求項１に記載のセキュリティ管理システムにおいて、
前記管理サーバは、前記通信停止メッセージを受信すると、前記第１の通信端末との間に形成した暗号化通信路を介して、前記第２の通信端末への前記第１の暗号化通信路を介したデータの送信を止めるよう前記第１の通信端末に指示し、
前記通信端末は、前記管理サーバからのデータの送信停止の指示に応じて、前記第２の通信端末への前記第１の暗号化通信路を介したデータの送信を停止することを特徴とするセキュリティ管理システム。 The security management system according to claim 1 ,
When the management server receives the communication stop message, the management server establishes the first encrypted communication path to the second communication terminal via the encrypted communication path formed with the first communication terminal. Instructing the first communication terminal to stop data transmission via
The communication terminal stops data transmission via the first encrypted communication path to the second communication terminal in response to an instruction to stop data transmission from the management server. Security management system. 請求項２に記載のセキュリティ管理システムにおいて、
前記第１の通信端末は、前記通信停止メッセージに応じて前記第２の通信端末へのデータの送信を止めた後も、前記第１の通信端末が前記第２の通信端末へ送信しようとしたデータを、前記第３の暗号化通信路を介して前記監視措置へ転送し続けることを特徴とするセキュリティ管理システム。 In the security management system according to claim 2 ,
The first communication terminal tries to transmit to the second communication terminal even after stopping transmission of data to the second communication terminal in response to the communication stop message. A security management system, wherein data is continuously transferred to the monitoring measure via the third encrypted communication path.
JP2006089773A 2006-03-29 2006-03-29 Network security management system, encrypted communication remote monitoring method and communication terminal. Expired - Fee Related JP4720576B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2006089773A JP4720576B2 (en) 2006-03-29 2006-03-29 Network security management system, encrypted communication remote monitoring method and communication terminal.

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2006089773A JP4720576B2 (en) 2006-03-29 2006-03-29 Network security management system, encrypted communication remote monitoring method and communication terminal.

Publications (2)

Publication Number Publication Date
JP2007267064A JP2007267064A (en) 2007-10-11
JP4720576B2 true JP4720576B2 (en) 2011-07-13

Family

ID=38639604

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2006089773A Expired - Fee Related JP4720576B2 (en) 2006-03-29 2006-03-29 Network security management system, encrypted communication remote monitoring method and communication terminal.

Country Status (1)

Country Link
JP (1) JP4720576B2 (en)

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016158157A (en) 2015-02-25 2016-09-01 富士通株式会社 Call controller, call control method, and call control system
KR102507113B1 (en) 2015-07-06 2023-03-07 삼성전자주식회사 Method, Appratus and System of Monitoring Supporting for Encrypted Communication Session
JP2017220890A (en) * 2016-06-10 2017-12-14 システムプラザ株式会社 Encryption communication system and encryption communication method
JP7273759B2 (en) * 2020-03-19 2023-05-15 株式会社東芝 Communication device, communication method, information processing system and program

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH1093557A (en) * 1996-09-13 1998-04-10 Toshiba Corp Communication monitor device and communication monitor method
JP2002051036A (en) * 2000-08-01 2002-02-15 Advanced Mobile Telecommunications Security Technology Research Lab Co Ltd Key escrow system
JP2004104280A (en) * 2002-09-06 2004-04-02 Yamatake Corp Interface apparatus for encrypted network supervision
JP2005303485A (en) * 2004-04-08 2005-10-27 Hitachi Ltd Key distribution method and system for encryption communication
JP2006032997A (en) * 2004-07-12 2006-02-02 Hitachi Ltd Network system, data relaying apparatus, session monitor system, and packet monitor relaying apparatus

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH1093557A (en) * 1996-09-13 1998-04-10 Toshiba Corp Communication monitor device and communication monitor method
JP2002051036A (en) * 2000-08-01 2002-02-15 Advanced Mobile Telecommunications Security Technology Research Lab Co Ltd Key escrow system
JP2004104280A (en) * 2002-09-06 2004-04-02 Yamatake Corp Interface apparatus for encrypted network supervision
JP2005303485A (en) * 2004-04-08 2005-10-27 Hitachi Ltd Key distribution method and system for encryption communication
JP2006032997A (en) * 2004-07-12 2006-02-02 Hitachi Ltd Network system, data relaying apparatus, session monitor system, and packet monitor relaying apparatus

Also Published As

Publication number Publication date
JP2007267064A (en) 2007-10-11

Similar Documents

Publication Publication Date Title
US9654453B2 (en) Symmetric key distribution framework for the Internet
US11736304B2 (en) Secure authentication of remote equipment
US20090199009A1 (en) Systems, methods and computer program products for authorising ad-hoc access
US20080052509A1 (en) Trusted intermediary for network data processing
CN102970299A (en) File safe protection system and method thereof
JP4492248B2 (en) Network system, internal server, terminal device, program, and packet relay method
US9444807B2 (en) Secure non-geospatially derived device presence information
Chien et al. A MQTT-API-compatible IoT security-enhanced platform
Fotiou et al. Access control for the internet of things
CN105429962B (en) A kind of general go-between service construction method and system towards encryption data
KR101992976B1 (en) A remote access system using the SSH protocol and managing SSH authentication key securely
CN102811225A (en) Method and switch for security socket layer (SSL) intermediate agent to access web resource
Yerlikaya et al. Authentication and authorization mechanism on message queue telemetry transport protocol
KR101896449B1 (en) A access control system for security audit and control of server remote access session using encryption communication protocol
JP4720576B2 (en) Network security management system, encrypted communication remote monitoring method and communication terminal.
JP2011035535A (en) Communication cutoff device, server device, method, and program
CN107493294A (en) A kind of secure accessing and management control method of the OCF equipment based on rivest, shamir, adelman
CN201252570Y (en) Security gateway client end device
Manzoor Securing device connectivity in the industrial internet of things (iot)
JP4775154B2 (en) COMMUNICATION SYSTEM, TERMINAL DEVICE, PROGRAM, AND COMMUNICATION METHOD
Liu et al. Building generic scalable middlebox services over encrypted protocols
JP2006041726A (en) Shared key replacing system, shared key replacing method and method program
Baugher et al. Home-network threats and access controls
JP2009104509A (en) Terminal authentication system and terminal authentication method
JP7433620B1 (en) Communication method, communication device and computer program

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20080408

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20101213

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20101221

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110218

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20110308

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20110321

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140415

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20140415

Year of fee payment: 3

LAPS Cancellation because of no payment of annual fees