JPH06237249A - ネットワーク管理のセキュリティシステム - Google Patents

Abstract

(57)【要約】 【目的】 ネットワーク管理を行うためのデータ通信に
対する第３者による妨害を確実に防止する。 【構成】 ネットワーク管理システム１０から通信回線
１２を介して下位の管理対象１４や上位のネットワーク
統合管理システム２０との間でデータ通信を行う際、鍵
管理テーブル１６に格納されている、ネットワーク管理
システム１０と該当管理対象１４との間の通信に使用す
る鍵を、両者間のデータ通信の回数をカウントアップ
し、その回数が所定の基準回数（保存期間）に達した時
点で、その鍵を新たに更新する。その際、該当管理対象
に対する鍵の更新は、管理システムで新たなる鍵を旧い
鍵で暗号化し、それをデータ通信として管理対象に伝送
して行う。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、ネットワーク管理のセ
キュリティシステム、特に第１種及び第２種電気通信事
業者等が運営する広域且つ大規模なネットワーク等を管
理するネットワーク管理システムに適用して好適な、ネ
ットワーク管理のセキュリティシステムに関する。

【０００２】

【従来の技術】ネットワークを構成する各種装置を管理
対象とするネットワーク管理システム、又は、広域且つ
大規模なネットワークを管理するのに、そのネットワー
ク構成要素を地理的又は論理的に分割して、その区分内
の構成要素だけを管理するネットワーク管理システム
と、それら複数のネットワーク管理システムを統合管理
するネットワーク管理システムが知られている。このネ
ットワーク管理システムが管理対象とする各種装置とし
ては、交換機、伝送装置、多重化装置、中継装置、分岐
装置等がある。

【０００３】上記ネットワーク管理システムは、上記各
種管理対象についての論理的、物理的な構成状態の制
御、スループットや履歴情報を含む誤り率の制御・解
析、異常動作の検出・切り離し制御、管理対象の使用に
関するデータの収集や処理、管理対象に対するアクセス
の制御等を１つの処理装置で集中的に処理する機能を有
している。

【０００４】上記ネットワーク管理システムでは、該シ
ステムと管理対象との間で行われる管理処理に必要な管
理情報や命令に関するデータ通信に、第三者が侵入して
データの盗聴や改ざんを行い、管理対象の正常な動作を
妨害することがある。

【０００５】

【発明が解決しようとする課題】しかしながら、従来の
ネットワーク管理システムとしては、ネットワークを構
成する管理対象へのアクセスを制御するだけで、ネット
ワーク管理を行うためのデータ通信に対する妨害からネ
ットワークを防御する技術はほとんど考えられていなか
った。

【０００６】その理由は、広域ネットワークを集中的に
管理するシステムがまだ十分に実用段階まで到っていな
かったこと、ネットワーク管理用データ通信に対する妨
害への認識が少なかったこと、通信データの暗号化に関
る鍵の管理が非常に困難だったことにある。

【０００７】本発明は、前記従来の問題点を解決するべ
くなされたもので、ほぼ実用段階に入った広域ネットワ
ークの集中管理システムを運用する上で新たな問題とな
っている、ネットワーク管理用データ通信に対する第３
者の侵入による管理情報や命令情報の盗聴や改ざんから
通信データを防御するために、通信データを暗号化する
際に必要となる鍵を容易に管理することができる、ネッ
トワーク管理のセキュリティシステムを提供することを
課題とする。

【０００８】

【課題を解決するための手段】本発明は、ネットワーク
を構成する各装置を管理対象として、ネットワーク管理
システムで管理するネットワーク管理のセキュリティシ
ステムにおいて、ネットワーク管理システム側に、各管
理対象との通信に使用する鍵を格納する鍵管理手段と、
新たな鍵を生成する手段と、管理対象毎に通信データを
鍵で暗号化して伝送する手段と、暗号化された通信デー
タを鍵により復元する手段と、復元された通信データが
正当であることを認証する手段とを備えると共に、各管
理対象毎に、新たな鍵に更新する手段と、暗号化された
通信データを鍵により復元する手段と、復元された通信
データが正当であることを認証する手段とを備えた構成
とすることにより、前記課題を達成したものである。

【０００９】本発明は、前記ネットワーク管理のセキュ
リティシステムにおいて、鍵を、各管理対象毎に定期的
に更新する手段を備えたことにより、前記課題を一層確
実に達成したものである。

【００１０】本発明は、又、大規模ネットワークを構成
する複数のネットワーク管理システムを管理対象とし
て、ネットワーク統合管理システムで管理するネットワ
ーク管理のセキュリティシステムにおいて、ネットワー
ク統合管理システム側に、各ネットワーク管理システム
との通信に使用する鍵を格納する鍵管理手段と、新たな
鍵を生成する手段と、ネットワーク管理システム毎に通
信データを鍵で暗号化して伝送する手段と、暗号化され
た通信データを鍵により復元する手段と、復元された通
信データが正当であることを認識する手段とを備え、各
ネットワーク管理システム毎に、新たな鍵に更新する手
段と、暗号化された通信データを鍵により復元する手段
と、復元された通信データが正当であることを認識する
手段とを備えると共に、鍵を各ネットワーク管理システ
ム毎に定期的に更新する手段を備えたことにより、同様
に前記課題を達成したものである。

【００１１】

【作用】本発明においては、ネットワーク管理システム
やネットワーク統合管理システム側に、各管理対象（ネ
ットワーク統合管理システムの場合にはネットワーク管
理システム）との通信に使用する鍵を格納する鍵管理手
段と、新たな鍵を生成する手段と、通信データを鍵で暗
号化して伝送する手段と、暗号化された通信データを鍵
により復元する手段と、復元された通信データが正当で
あることを認証する手段とを備えると共に、各管理対象
毎に、新たな鍵に更新する手段と、暗号化された通信デ
ータを鍵により復元する手段と、復元された通信データ
が正当であることを認証する手段とを備えたので、ネッ
トワーク管理システムやネットワーク統合管理システム
では、例えば予め定めた通信回数毎に新たな鍵を生成
し、格納すると共に、それを通信データとして暗号化し
て該当する管理対象に伝送することにより、該当管理対
象では、そのデータを旧い鍵で復元し、それを新たな鍵
として更新することが可能となるため、通信データを鍵
で暗号化して伝送する通信を、ネットワーク管理システ
ムやネットワーク統合管理システムと管理対象との間で
繰り返しながら、データの暗号化・復元に使用する鍵の
更新を定期的に行うことが可能となる。

【００１２】このように、本発明では、鍵の管理及び更
新を、ネットワーク管理システムと該当管理対象との間
のデータ通信そのものを利用して行うので、管理用デー
タ通信を、簡単にしかも確実に第３者による妨害から防
ぐことが可能となる。

【００１３】この鍵の管理・更新に使用するデータ通信
としては、管理システムの要求命令に対して管理対象が
行う管理情報の送信、管理システムが管理対象に対して
行う管理データの送信や動作指示命令の送信、管理対象
から管理システムに通知する異常状態の送信等がある。

【００１４】

【実施例】以下、図面を参照して、本発明の実施例を詳
細に説明する。

【００１５】図１は、ネットワーク管理システムと、下
位の管理対象の間に本発明を適用した、本発明に係る第
１実施例のネットワーク管理のセキュリティシステムに
より管理する、モデル化したネットワークを示す線図で
ある。

【００１６】図中、符号１０は、ネットワーク管理シス
テムであり、該当ネットワーク管理システム１０により
ネットワーク１２を介して接続されている管理対象１４
（図では、０１、０２の識別番号で２つだけ示してあ
る）が管理されるようになっている。

【００１７】上記管理対象１４としては、前述した如
く、ネットワークを構成する交換機、伝送装置、多重化
装置、中継装置、分岐装置等がある。

【００１８】本実施例では、上記ネットワーク管理シス
テム１０に鍵管理テーブル１６が組み込まれており、こ
の鍵管理テーブル１６では、図２に示すように、管理対
象毎の鍵、鍵の保存期間、及び管理対象との通信回数が
格納されている。

【００１９】上記ネットワーク管理システム１０は、新
たな鍵を生成し、格納すると共に、それを通信データ
（新たな鍵を含む）を暗号化して該当する管理対象に伝
送する機能と、各管理対象から伝送されてくる暗号化さ
れた通信データを鍵により復元し、その復元された通信
データが正当であることを認証する機能をも有してい
る。

【００２０】又、各管理対象は、旧い鍵をネットワーク
管理システム１０から伝送される新たな鍵に更新すると
共に、通信データ（新たな鍵を含む）を鍵により復元
し、復元された通信データが正当であることを認証する
機能と、ネットワーク管理システムに対して通信データ
を暗号化して伝送する機能とを有している。

【００２１】次に、本実施例の作用を、図３、図４のフ
ローチャートを用いて説明する。

【００２２】図３は、ネットワーク管理システム側で実
行される処理手順を示したフローチャートであり、図４
は、管理対象側で実行される処理手順を示したフローチ
ャートである。なお、これらフローチャートでは、理解
し易いようにネットワーク管理システムでは３００番
代、管理対象では４００番代の番号で処理ステップをそ
れぞれ示した。

【００２３】上記ネットワーク管理システム１０と管理
対象１４との間でデータ通信が発生すると、ネットワー
ク管理システム１０では、鍵管理テーブル１６の該当す
る管理対象について通信回数をカウントアップする（ス
テップ３０１）。

【００２４】次いで、カウントアップした通信回数と、
該当管理対象の通信回数として設定されている保存期間
とを比較し（ステップ３０２）、両者が等しくなったな
らば鍵の更新を行う。この鍵の更新は、まず、通信回数
をゼロクリアし（ステップ３０３）、次いで新しい鍵を
生成し（ステップ３０４）、それを暗号化して該当管理
対象に通信データとして送信する（ステップ３０５、３
０６）。

【００２５】上記の如く、ネットワーク管理システム１
０から暗号化された新しい鍵が該当管理対象に送信され
ると、ここでは図４のフローチャートに示すように、ス
テップ４０１で通信タイプが鍵更新側に切替わり、鍵更
新に関するデータを受信し（ステップ４０７）、それま
で使用していた旧い鍵により新しい鍵に関するデータを
復元し（ステップ４０８）、正当なデータか否かを判定
すると共に、正常である場合には認証してそれを新しい
鍵として更新する（ステップ４０９、４１０）。

【００２６】又、ネットワーク管理システム１０側で
は、前記ステップ３０６で、該当管理対象に対して新し
い鍵のデータを送信した後、鍵管理テーブル１６に格納
されている該当管理対象の旧い鍵を、新たに生成した新
しい鍵に更新し、設定し直す（ステップ３０７）。

【００２７】以上のように、ネットワーク管理システム
１０の鍵管理テーブル１６に格納されている該当管理対
象の鍵と、該当管理対象における鍵とを新しく設定し直
した後、ステップ３０８で通信タイプが送信になってい
る場合には、任意の通信データを、更新後の該当管理対
象の鍵により暗号化し（ステップ３０９）、該当管理対
象に送信する（ステップ３１０）。

【００２８】前記ステップ３１０でネットワーク管理シ
ステム１０側から暗号化された通信データが送信される
と、該当管理対象では、ステップ４０１で通信タイプが
受信側に切替わり、そのデータを受信して（ステップ４
０４）、該当管理対象自身で保存している鍵によりデー
タの復元を行い（ステップ４０５）、正当なデータであ
るか否かを判定し、正しい場合にはそれを認証する（ス
テップ４０６）。

【００２９】一方、該当管理対象から通信データの送信
を行う場合は、ステップ４０１で通信タイプが送信側に
切替わり、該当管理対象自体で保存している鍵によりデ
ータの暗号化を行い（ステップ４０２）、暗号化された
データをネットワーク管理システム１０へ送信する（ス
テップ４０３）。

【００３０】上記ステップ４０３で、管理対象側からネ
ットワーク管理システム１０に暗号化された上記データ
が送信されると、該システム１０側ではステップ３０８
で通信タイプが受信側に切替わり、該当データを受信す
る（ステップ３１１）。このデータを受信すると、鍵管
理テーブル１６の該当管理対象の鍵により暗号化されて
いる上記データの復元を行い（ステップ３１２）、正当
なデータか否かを判定し、正しい場合にはそれを認証す
る（ステップ３１３）。

【００３１】以上の処理手順に従って、ネットワーク管
理システム１０と管理対象１４との間で通信データの送
受信を繰り返すことにより、予め設定されている各管理
対象毎の保存期間（通信回数）に応じて、各管理対象と
の間の通信に使用する鍵が定期的に更新されるため、簡
単にしかも確実に暗号化のための鍵の管理を行うことが
可能となる。

【００３２】又、図５は、ネットワーク管理システム
と、上位のネットワーク統合管理システムの間に本発明
を適用した、本発明に係る第２実施例のネットワーク統
合管理のセキュリティシステムにより管理する、モデル
化したネットワークを示す線図である。

【００３３】図５中、符号２０は、ネットワーク統合管
理システムであり、該当するネットワーク統合管理シス
テム２０により、ネットワーク１８を介して接続されて
いるネットワーク管理システム１０Ａ及び１０Ｂ等（図
では、ネットワーク管理システムＡ、ネットワーク管理
システムＢの名称で２つだけ示してある）が統合管理さ
れるようになっている。

【００３４】第２実施例では、上記ネットワーク統合管
理システム２０に鍵管理テーブル１６が組み込まれてお
り、第１実施例と同じように、この鍵管理テーブル１６
では、図２に示すように、ネットワーク管理システム毎
の鍵、鍵の保存期間、及びネットワーク管理システムと
の通信回数が格納されている。

【００３５】上記ネットワーク統合管理システム２０
は、新たな鍵を生成し、格納すると共に、それを通信デ
ータ（新たな鍵を含む）を暗号化して該当するネットワ
ーク管理システムに伝送する機能と各ネットワーク管理
システムから伝送されてくる暗号化された通信データが
正当であることを認証する機能をも有している。

【００３６】又、各ネットワーク管理システムは、旧い
鍵をネットワーク統合管理システム２０から伝送される
新たな鍵に更新すると共に通信データ（新たな鍵を含
む）を鍵により復元し、復元された通信データが正当で
あることを認証する機能と、ネットワーク統合管理シス
テム２０に対して通信データを暗号化して伝送する機能
とを有している。

【００３７】又、第２実施例の作用は、第１実施例と同
様であり、図３、図４のフローチャートによって表さ
れ、ネットワーク統合管理システム２０とネットワーク
管理システム１０との間で通信データの送受信を繰返す
ことにより、予め設定されている各ネットワーク管理シ
ステムの保存期間（通信回数）に応じて、各ネットワー
ク管理システムとの間の通信に使用する鍵が定期的に更
新されるため、簡単にしかも確実に暗号化のための鍵の
管理を行うことが可能となる。

【００３８】以上詳述した本実施例によれば、ネットワ
ーク管理システム１０と管理対象１４との間のあるい
は、ネットワーク統合管理システム２０とネットワーク
管理システム１０Ａ、１０Ｂとの間の通信に使用する暗
号用の鍵を定期的に更新することができるため、簡単で
はあるが確実に鍵の管理が行えるようになり、結果とし
てネットワークの管理のセキュリティを向上することが
できる。なお、鍵管理テーブルにおける鍵の保存期間の
設定は、該当管理対象へのアクセス頻度や、ネットワー
ク運営上の重要性から適正な値を設定することにより、
適切な通信負荷及びセキュリティを維持することができ
る。

【００３９】以上、本発明について具体的に説明した
が、本発明は、前記実施例に示したものに限られるもの
でなく、その要旨を逸脱しない範囲で種々変更可能であ
る。

【００４０】例えば、前記実施例では、鍵の更新を、予
め各管理対象毎に設定されている通信回数に基づいて行
う場合を示したが、これに限られるものでなく、保存期
間を時間で設定してもよい。

【００４１】

【発明の効果】以上説明した通り、本発明によれば、ネ
ットワーク管理システムにおいて、管理用データ通信に
対する第３者の侵入による管理情報や命令情報の盗聴や
改ざんから通信データを防御するために、通信データを
暗号化する際に必要となる鍵を容易に管理することがで
きる。

【図面の簡単な説明】

【図１】本発明に係る第１実施例のネットワーク管理の
セキュリティシステムをモデル化して示す説明図

【図２】上記セキュリティシステムが備える鍵管理テー
ブルを概念的に示す図表

【図３】ネットワーク管理システム側で実行される処理
手順を示すフローチャート

【図４】管理対象側で実行される処理手順を示すフロー
チャート

【図５】本発明に係る第２実施例のネットワーク統合管
理のセキュリティシステムをモデル化して示す説明図

【符号の説明】

１０…ネットワーク管理システム １２、１８…ネットワーク １４…管理対象 １６…鍵管理テーブル ２０…ネットワーク統合管理システム

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁵ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 12/24 12/26 8732−5Ｋ Ｈ０４Ｌ 11/08

Claims (3)

【特許請求の範囲】
1. 【請求項１】ネットワークを構成する装置を管理対象と
   して、ネットワーク管理システムで管理するネットワー
   ク管理のセキュリティシステムにおいて、 ネットワーク管理システム側に、各管理対象との通信に
   使用する鍵を格納する鍵管理手段と、新たな鍵を生成す
   る手段と、管理対象毎に通信データを鍵で暗号化して伝
   送する手段と、暗号化された通信データを鍵により復元
   する手段と、復元された通信データが正当であることを
   認証する手段とを備えると共に、 各管理対象毎に、新たな鍵に更新する手段と、暗号化さ
   れた通信データを鍵により復元する手段と、復元された
   通信データが正当であることを認証する手段とを備えて
   いることを特徴とするネットワーク管理のセキュリティ
   システム。
2. 【請求項２】請求項１において、 鍵を、各管理対象毎に定期的に更新する手段を備えてい
   ることを特徴とするネットワーク管理のセキュリティシ
   ステム。
3. 【請求項３】大規模ネットワークを構成する複数のネッ
   トワーク管理システムを管理対象として、ネットワーク
   統合管理システムで管理するネットワーク管理のセキュ
   リティシステムにおいて、 ネットワーク統合管理システム側に、各ネットワーク管
   理システムとの通信に使用する鍵を格納する鍵管理手段
   と、新たな鍵を生成する手段と、ネットワーク管理シス
   テム毎に通信データを鍵で暗号化して伝送する手段と、
   暗号化された通信データを鍵により復元する手段と、復
   元された通信データが正当であることを認識する手段と
   を備え、 各ネットワーク管理システム毎に、新たな鍵に更新する
   手段と、暗号化された通信データを鍵により復元する手
   段と、復元された通信データが正当であることを認識す
   る手段とを備えると共に、 鍵を各ネットワーク管理システム毎に定期的に更新する
   手段を備えていることを特徴とするネットワーク管理の
   セキュリティシステム。