JPWO2006095438A1 - アクセス制御方法、アクセス制御システムおよびパケット通信装置 - Google Patents

Abstract

セキュリティと利便性とを共存させたアクセス制御方法、アクセス制御システムおよびパケット通信装置を提供することを課題とし、送信元のパケット通信装置が送信するパケットに利用者の属性情報を付与する第１ステップと、宛先のパケット通信装置がパケットに付与されている利用者の属性情報に基づきアクセス制御を行なう第２ステップとを有することにより上記課題を解決する。

Description

本発明は、アクセス制御方法、アクセス制御システムおよびパケット通信装置に係り、特にパケット通信のアクセス制御方法，その方法を利用するアクセス制御システムおよびパケット通信装置に関する。

近年、パーソナルコンピュータ等のコンピュータやパケット通信装置等のネットワーク機器の低廉化，高機能化，高性能化が進み、コンピュータ及びネットワーク機器を利用したコンピュータネットワーク（以下、単にネットワークと呼ぶ）は急速に普及している。

企業では、ビジネスを円滑に進める為のツールとしてネットワークの重要度が増しており、ネットワーク上で重要なデータのやり取りが行われることも多くなっている。このため、企業ではファイアウォール等のセキュリティ装置を用いて不正アクセスやウィルス等の攻撃からデータを守っている。

また、ネットワークでの対策としては、以下のものがある。例えばＯＳＩ参照モデルの２層（データリンク層）での対策としては、ＭＡＣアドレスによるフィルタリングやバーチャルＬＡＮ（ＶＬＡＮ）による経路制御がある。また、ＯＳＩ参照モデルの３層（ネットワーク層）での対策としては、ＩＰアドレスによるフィルタリング等の設定をパケット通信装置に設定し、利用者（コンピュータ）に許可されたエリアのみアクセスさせるといったアクセス制御がある。特許文献１及び２にはフィルタ設定によるアクセス制御の一例が記載されている。
特開２００４−６２４１７号公報 特開２００４−１５５３０号公報

パケット通信装置のフィルタ設定による従来のアクセス制御では、以下の問題があった。図１は、ネットワークの一例の構成図である。図１のネットワークはパケット通信装置１〜４のフィルタ設定によりアクセス制御を行っている。

例えば利用者の操作するコンピュータ（以下、ＰＣという）５からアプリケーションサーバ６への通信を許可し、他のＰＣからアプリケーションサーバ６への通信を制限する場合、図１のネットワークではパケット通信装置２にフィルタ設定が必要となる。

ＩＰレベルで制御するのであれば、図１のネットワークではパケット通信装置２にＩＰアドレスのフィルタ設定として、ＰＣ５とアプリケーションサーバ６との通信を許可するルール及び他のＰＣとアプリケーションサーバ６との通信を制限するルールを設定することによりアクセス制御を行なう。

このようなフィルタ設定は、アクセスする利用者（ＰＣ）の数がｍ、アクセスされるサーバの数がｎであると、特定のアクセス権を持つ利用者の集約が行えないような環境においてトータルでｍ×ｎのルールを設定する必要がある。特定のアクセス権を持つ利用者の集約が行えないような環境とは、例えば利用者がネットワーク的にバラバラのアドレスを所有しているような場合である。

実際、フィルタ設定はパケットを通過させるか遮断するかのどちらかのルールのみを設定すれば良いのでトータルでｍ×ｎ／２の設定となるが、設定する数が少なくなる反面、設定漏れかルールなのかが分かり難くなるといった問題がある。ここでは、全てのＰＣ５，７，８及びアプリケーションサーバ６，９間のルールをパケット通信装置１〜４に設定することを前提としている。

また、パケット通信装置１〜４はそれぞれ管理しているネットワーク配下のＰＣに関連するルールのみを設定して、設定する量を減らすことも考えられる。しかしながら、利用者が単に別の事業所にＰＣを持って移動する場合など、ＰＣ８がＰＣ７へ移動するような場合に、パケット通信装置４はパケット通信装置３に設定されているＰＣ８に関連するルールを設定しなければならない。この為、利用者が頻繁に移動するような場合には、ネットワーク管理者の負担が増えてしまうという問題があった。

その他、アプリケーションサーバ９が追加された場合には、各パケット通信装置１〜４にルールを追加しなければならないという問題があった。追加されるアプリケーションサーバの数が１だったとしても、ネットワーク上のパケット通信装置がｉ台であればｉ台のパケット通信装置にルールを追加しなければならない。

フィルタ設定による従来のアクセス制御では、特に設定するルールがｍ×ｎと多いこと、ＰＣ８等が移動したときに各パケット通信装置１〜４のルールを再設定する必要があること、アプリケーションサーバ９等のサーバが追加されたとき、各パケット通信装置１〜４にルールを追加する必要があることが問題であった。

上記の問題は、フィルタ設定による従来のアクセス制御がネットワーク構成に依存していることに起因するものである。近年の無線ＬＡＮの普及を考慮すると、利用者の移動を意識しなければならず、フィルタ設定による従来のアクセス制御ではネットワーク管理者に大きな負担を強いることになってしまう。

本発明は、上記の点に鑑みなされたもので、セキュリティと利便性とを共存させたアクセス制御方法、アクセス制御システムおよびパケット通信装置を提供することを目的とする。

上記課題を解決するため、本発明は、複数のパケット通信装置を含む構成のネットワークにおけるアクセス制御方法であって、送信元のパケット通信装置が、送信するパケットに利用者の属性情報を付与する第１ステップと、宛先のパケット通信装置が、前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行なう第２ステップとを有することを特徴とする。

前記第２ステップは、事前に設定されているポリシー情報と前記利用者の属性情報とに基づきアクセス制御を行なうことを特徴としてもよい。

前記第２ステップは、前記パケットに付与されている前記利用者の属性情報を削除することを特徴としてもよい。

前記第１ステップは、送信するパケットに利用者の属性情報に加えて前記パケットのアプリケーション情報を付与し、前記第２ステップは、前記パケットに付与されている前記利用者の属性情報および前記パケットのアプリケーション情報の組み合わせに基づきアクセス制御を行なうことを特徴としてもよい。

前記第１ステップは、送信するパケットに利用者の属性情報が予め付与されているときに、前記予め付与されている利用者の属性情報を消去したあと、前記パケットを送信する利用者の属性情報を付与することを特徴としてもよい。

前記第１ステップは、送信するパケットが前記利用者の属性情報を付与すべきパケットであるときに前記利用者の属性情報を付与し、前記第２ステップは、受信したパケットが前記利用者の属性情報を付与すべきパケットであるときに前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行なうことを特徴としてもよい。

また、本発明は、複数のパケット通信装置を含む構成のアクセス制御システムであって、送信するパケットに利用者の属性情報を付与する送信元のパケット通信装置と、前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行なう宛先のパケット通信装置とを有することを特徴とする。

また、本発明は、エンドシステムから受信したパケットに利用者の属性情報を付与する属性情報付与手段と、前記エンドシステムを宛先とするパケットに付与されている前記利用者の属性情報に基づきアクセス制御を行なうアクセス制御手段とを有することを特徴とする。

本発明では、ネットワーク構成（ネットワークトポロジ）に依存しない利用者の属性情報をアクセス制御に利用することにより、ネットワーク構成の変更や追加に基づくフィルタ設定の変更や追加を大幅に簡略化できる。また、ネットワーク構成に依存しない利用者の属性情報をアクセス制御に利用することにより、本発明ではネットワークの専門性が無くてもフィルタ設定を行なうことができる。

本発明によれば、セキュリティと利便性とを共存させたアクセス制御方法、アクセス制御システムおよびパケット通信装置を提供可能である。

ネットワークの一例の構成図である。 本発明によるアクセス制御システムの一例の構成図である。 本発明によるアクセス制御システムの動作概要を表したシーケンス図である。 パケット通信装置が利用者の属性値を保持するテーブルの一例の構成図である。 セキュリティタグのフォーマットを表す一例の構成図である。 セキュリティポリシーを表すテーブルの一例の構成図である。 セキュリティエージェント機能を実装するパケット通信装置の一実施例のブロック図である。 セキュリティジャッジ機能を実装するパケット通信装置の一実施例のブロック図である。 セキュリティジャッジ機能を実装するパケット通信装置の他の実施例のブロック部である。 セキュリティタグのフォーマットを表す他の例の構成図である。

符号の説明

１〜４，１１，１２ パケット通信装置
５，７，８，１５ ＰＣ
６，９，１６ アプリケーションサーバ
１０，１７ 通信路
１３ 認証サーバ
１４ セキュリティ管理者
２２，２３，３２，３３ 伝送路制御部
２４ 経路制御部
２５ 認証確認部
２６ 認証済利用者記録部
２７ 認証実行部
２８ タグ制御部
２９ タグ情報記録部
３４ サーバフロント処理部
３５ タグ確認部
３６ ポリシー入力部
３７ タグ処理部
３８ ポリシー記録部

まず、本発明の理解を容易とする為に、本発明の原理について説明する。本発明では、ネットワーク構成に依存しない利用者の属性（例えば、所属や役職などの情報）を元にタグを生成し、そのタグによってアクセス制御を行なう。なお、タグは利用者の属性情報およびパケットのアプリケーション情報を元に生成することもできる。以下の説明では、上記タグをセキュリティタグと呼び、利用者の属性情報およびパケットのアプリケーション情報を元に生成したセキュリティタグを例に説明する。

例えば図１において、ＰＣ５からアプリケーションサーバ６へ通信を行なう処理は以下のように行われる。入口側（送信元）のパケット通信装置１は、ＰＣ５から受信したパケットのアプリケーション情報を識別し、そのアプリケーション情報およびＰＣ５を操作する利用者の属性情報を元に生成したセキュリティタグをパケットに付与して送信する。

出口側（宛先）のパケット通信装置２は、予め設定されているポリシー情報と受信したパケットに付与されているセキュリティタグとを比較し、その比較結果に基づいて後述するようにアクセス可能又はアクセス不可を判定する。アクセス可能であると判定すれば、パケット通信装置２はパケットを通過させる。即ち、パケット通信装置２はパケットをアプリケーションサーバ６へ送信する。アクセス不可であると判定すれば、パケット通信装置２はパケットを破棄する。

パケット通信装置のフィルタ設定による本発明のアクセス制御は、パケット通信装置のフィルタ設定による従来のアクセス制御と比べて設定する数が少ない。例えばパケット通信装置のフィルタ設定による従来のアクセス制御では、前述したように設定する数がｍ×ｎであった。一方、パケット通信装置のフィルタ設定による本発明のアクセス制御では、設定する数が最大でもｍ＋ｎとなる。これは、パケット通信装置のフィルタ設定による本発明のアクセス制御では、ｍ人分の利用者の属性情報とｎ台分のポリシー情報とを設定すればよい為である。

従業員が１０，０００人でサーバが１，０００台の企業のネットワークを想定した場合、パケット通信装置のフィルタ設定による従来のアクセス制御では、最大で１０，０００，０００通りの設定が必要になる。一方、パケット通信装置のフィルタ設定による本発明のアクセス制御では最大で１１，０００通りの設定で済むことになる。

なお、パケット通信装置のフィルタ設定による従来のアクセス制御では、本願発明のようにアプリケーション情報を利用しようとすると、設定する数が更に増えることになる。

利用者の属性情報は、後述する認証サーバに設定される為、ネットワーク構成に依存しない。この為、パケット通信装置のフィルタ設定による本発明のアクセス制御では、利用者が例えば別の事務所からアクセスした場合であってもフィルタ設定を再度行なう必要が無く、ネットワーク構成の変更や追加に柔軟に対応することができる。

図２は、本発明によるアクセス制御システムの一例の構成図である。図２のアクセス制御システムは、パケット通信装置１１，１２と、認証サーバ１３と、ＰＣ１５と、アプリケーションサーバ１６と、通信網１７とを有する構成である。パケット通信装置１１，１２及び認証サーバ１３は、通信網１７に接続されている。ＰＣ１５は、パケット通信装置１１を介して通信網１７に接続されている。また、アプリケーションサーバ１６はパケット通信装置１２を介して通信網１７に接続されている。

パケット通信装置１１は、例えばアクセススイッチやハブ等であり、後述するセキュリティエージェント機能を実装している。パケット通信装置１２は、アクセススイッチや複数のサーバを束ねる負荷分散装置等であり、後述するセキュリティジャッジ機能を実装している。また、パケット通信装置１１，１２は、ＰＣ１５，アプリケーションサーバ１６等のエンドシステムに接続される。

認証サーバ１３は、本発明によるアクセス制御システムを利用する利用者の認証情報（例えば、利用者ＩＤ，パスワードのリストなど）と、利用者の属性情報とを保持している。認証サーバ１３は、パケット通信装置１１からの要求に対して認証結果や利用者の属性情報を応答する。認証サーバ１３は、例えばＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバ等である。

セキュリティ管理者１４は、アプリケーションサーバ１６等のサーバ毎に、ポリシー情報としてのセキュリティポリシーを設定する。セキュリティポリシーは、アクセスを許可する利用者の属性情報とアプリケーション情報との組み合わせを設定している。セキュリティ管理者１４は、利用者毎に認証情報および属性情報を認証サーバ１３に設定する責任者である。

アプリケーションサーバ１６は、サーバの一例である。ＰＣ１５は、利用者の操作するコンピュータ等の装置の一例である。通信網１７は例えばルータを相互接続して構築したＩＰベースのネットワーク（イントラネットなど）である。利用者はＰＣ１５を用いてアプリケーションサーバ１６に対し、特定アプリケーション通信を実施する。

図３は、本発明によるアクセス制御システムの動作概要を表したシーケンス図である。ステップＳ１に進み、セキュリティ管理者１４はパケット通信装置１２に対してセキュリティポリシーを設定する。例えばセキュリティ管理者１４は「Ｗｅｂアクセスのパケットは利用者の属性情報の値（以下、単に属性値と呼ぶ）が２以上で通過させる。それ以外のアプリケーションのパケットは利用者の属性値が４以上で通過させる。それ以外のパケットは、破棄する。」というようなセキュリティポリシーを設定する。

本実施例では、利用者の地位や職責などに応じて１〜５のセキュリティクリアランスを与えた場合を想定する。例えばセキュリティクリアランスは、「経営者クラスに５、上級管理職クラスに４、中間管理職クラスに３、一般従業員クラスに２、アルバイト，社外訪問者に１」というように与えることができる。なお、本発明によるアクセス制御システムでは、利用者の属性値は実際に何を意味しているのか問題にならない。言い換えれば、セキュリティ管理者は利用者の属性値の意味を公開する必要が無く、自由に利用者の属性値の意味を定義できる。

その他、セキュリティクリアランスは利用者の所属する部署毎に設定することも可能で、「営業に１，ＳＥに２，開発に３，人事に４，経理に５」というように与えることもできる。セキュリティクリアランスを利用者の所属する部署毎に設定した場合、本発明によるアクセス制御システムでは、ＳＥ，開発部署に所属する利用者からのＷｅｂサーバへのアクセスを許可し、営業部署に所属する利用者からのＷｅｂサーバへのアクセスを許可しないというような使い方も可能である。利用者の属性値は、企業のセキュリティポリシーに合わせて柔軟に設定できる。

ステップＳ２に進み、セキュリティ管理者１４は認証サーバ１３に対して利用者の認証情報（例えば、利用者ＩＤ，パスワードなど）と、利用者の属性値とを設定する。例えばセキュリティ管理者１４は、利用者の認証情報として利用者ＩＤ「１２３４５６７８」及びパスワード「ａｂｃｄｅｆｇｈ」、利用者の属性値「３」を設定する。ステップＳ１及びＳ２は、事前設定フェーズを構成する。

図３のシーケンス図では、事前設定フェーズのあと利用者がＰＣ１５をパケット通信装置１１に接続し、認証フェーズを開始する。認証フェーズで行なう認証手順としては、様々な手法が存在する。本実施例では、利用者ＩＤ及びパスワードによる認証手順を例に説明する。

ステップＳ３に進み、ＰＣ１５は利用者の利用者ＩＤ及びパスワードを含む認証要求パケットをパケット通信装置１１に送信する。ステップＳ４に進み、パケット通信装置１１は、ＰＣ１５から受信した認証要求パケットを認証サーバ１３に転送する。認証サーバ１３は、認証要求パケットに含まれる利用者ＩＤ及びパスワードを利用して認証を行なう。

ステップＳ５に進み、認証サーバ１３は利用者ＩＤ及びパスワードが正しく対応していることを確認すると、認証ＯＫ及び利用者の属性値をパケット通信装置１１に応答する。例えば認証サーバ１３は、認証ＯＫ及び利用者の属性値「３」をパケット通信装置１１に応答する。なお、認証サーバ１３は利用者ＩＤ及びパスワードが正しく対応していなければ、認証ＮＧをパケット通信装置１１に応答する。

ステップＳ６に進み、パケット通信装置１１は利用者の属性値を一時的に記録すると共に、認証ＯＫをＰＣ１５に応答する。パケット通信装置１１は、認証ＯＫが有効である間、利用者の属性値を保持する。同じ利用者から新たな認証要求があった場合、保持されている利用者の属性値は上書きされる。

図４は、パケット通信装置が利用者の属性値を保持するテーブルの一例の構成図である。図４のテーブルでは、認証された利用者が操作する端末（ＰＣ１５）の識別子（例えば、ＭＡＣアドレス）と利用者の属性値とが対応付けられて保持されている。

ステップＳ３〜Ｓ６の処理は認証フェーズを構成する。認証フェーズでは認証が肯定的な結果であったとき、認証された利用者と利用者の属性値との対応関係がパケット通信装置１１に保持されていればよく、認証手順が変わったとしても問題はない。

図３のシーケンス図では、認証フェーズのあと通信フェーズが開始される。通信フェーズでは、ＰＣ１５から例えばＴＣＰ手順のＳｙｎパケットがアプリケーションサーバ１６を宛先として送信され、その応答がＰＣ１５に帰ってくれば、そのまま通信が行われる。なお、アプリケーションサーバ１６からＰＣ１５に応答が帰ってこなければ、通信は中断される。

パケット通信装置１１は、パケットを中継するとき、そのパケットに本発明によるセキュリティタグを付与する。本実施例では、ＩＰヘッダのオプションフィールドにセキュリティタグを設定する。セキュリティタグの内容としては、パケットのアプリケーション情報としてのアプリケーション識別子と、利用者の属性情報としての利用者の属性値とが設定される。

図５は、セキュリティタグのフォーマットを表す一例の構成図である。図５に示すように、セキュリティタグはアプリケーション識別子および利用者の属性値を含むように構成され、ＩＰヘッダのオプションフィールドに設定される。

パケット通信装置１１は、パケットを検査することにより、アプリケーション識別子を設定できる。例えばＴＣＰポート番号と呼ばれるパケットヘッダ情報を検査することで、パケット通信装置１１はパケットのアプリケーション（メール，Ｗｅｂアクセス，ファイル転送，ＩＰ電話など）を判定できる。本実施例では、ＴＣＰポート番号を利用してパケットのアプリケーションを判定しているが、他の方法を用いても良い。利用者の属性値は、認証フェーズで図４のテーブルに一時的に記録しておいたものを利用できる。

本実施例では、セキュリティタグをＩＰヘッダのオプションフィールドに設定している。したがって、パケット通信装置１１によりセキュリティタグが付与されたパケットは問題なく通信網１７を通過し、パケット通信装置１２に到着する。パケット通信装置１２は、パケットのセキュリティタグをチェックする。

図３のシーケンス図では、ステップＳ７，Ｓ８にアプリケーションがファイル転送である例を表し、ステップＳ９〜Ｓ１２にアプリケーションがＷｅｂアクセスである例を表している。

まず、アプリケーションがファイル転送である例を説明する。ステップＳ７において、パケット通信装置１１はＰＣ１５からファイル転送通信要求を受信し、ファイル転送を表すアプリケーション識別子と利用者の属性値「３」とを含むセキュリティタグをパケットに付与する。

ステップＳ８に進み、パケット通信装置１１はセキュリティタグを付与したパケットをパケット通信装置１２に送信する。パケット通信装置１２は、受信したパケットに付与されているセキュリティタグの内容と、事前設定フェーズで設定された図６のテーブルで表されるセキュリティポリシーとを比較する。

図６は、セキュリティポリシーを表すテーブルの一例の構成図である。図６のセキュリティポリシーは「Ｗｅｂアクセスのパケットは利用者の属性値が２以上で通過させる。それ以外のアプリケーションのパケットは利用者の属性値が４以上で通過させる。それ以外のパケットは、破棄する。」という内容を表している。

パケット通信装置１２は、受信したパケットに付与されているセキュリティタグの内容から、受信したパケットのアプリケーションがＷｅｂアクセス以外（ファイル転送）で、利用者の属性値が３であることが分かる。パケット通信装置１２は図６のセキュリティポリシーが、Ｗｅｂアクセス以外のアプリケーションであれば利用者の属性値が４以上で許可となっている為、受信したパケットを破棄する。

このように、パケット通信装置１２はファイル転送のパケットを破棄してしまうため、パケットがアプリケーションサーバ１６に到達し得ない。ステップＳ７，Ｓ８の通信フェーズは、何度リトライしても同様の結果となる。また、ＰＣ１５にはセキュリティタグを書き換える手段が無い。したがって、ファイル転送によるアプリケーションサーバ１６へのアクセスは決して成功しない。

ＰＣ１５を操作する利用者（属性値が３）がファイル転送によるアプリケーションサーバ１６へのアクセスを成功させる為には、より地位を高める（例えば上級管理職に昇進する）か、或いは所属部署を移動する（例えば、人事部に異動する）等の変化によって、より高度な利用者の属性値（例えば４）をセキュリティ管理者に設定してもらう必要がある。

次に、アプリケーションがＷｅｂアクセスである例を説明する。パケット通信装置１１はステップＳ９においてＰＣ１５からＷｅｂアクセス通信要求を受信し、Ｗｅｂアクセスを表すアプリケーション識別子と利用者の属性値「３」とを含むセキュリティタグをパケットに付与する。

ステップＳ１０に進み、パケット通信装置１１はセキュリティタグを付与したパケットをパケット通信装置１２に送信する。パケット通信装置１２は、受信したパケットに付与されているセキュリティタグの内容と、事前設定フェーズで設定された図６のテーブルで表されるセキュリティポリシーとを比較する。

パケット通信装置１２は、受信したパケットに付与されているセキュリティタグの内容から、受信したパケットのアプリケーションがＷｅｂアクセスで、利用者の属性値が３であることが分かる。パケット通信装置１２は図６のセキュリティポリシーが、Ｗｅｂアクセスのアプリケーションであれば利用者の属性値が２以上で許可となっている為、受信したパケットを通過させる。

このように、パケット通信装置１２はファイル転送のパケットを通過させ、アプリケーションサーバ１６にパケットが到達する。アプリケーションサーバ１６はステップＳ１２に進み、ＰＣ１５に対する応答を行なう。アプリケーションサーバ１６から応答が帰ってくると、ＰＣ１５はデータ転送フェーズを開始する。

したがって、本発明によるアクセス制御システムでは、同じ属性値を持つ利用者が同一のサーバに対して通信を試みても、アプリケーションによってアクセスの許可又は不可が異なる。

図７は、セキュリティエージェント機能を実装するパケット通信装置の一実施例のブロック図である。例えばパケット通信装置１１はＰＣ１５を接続するアクセススイッチ等である。パケット通信装置１１は、伝送路制御部２２，２３と、経路制御部２４と、認証確認部２５と、認証済利用者記録部２６と、認証実行部２７と、タグ制御部２８と、タグ情報記録部２９とを有する構成である。

伝送路制御部２２は、ＰＣ１５がアクセスしてくる通信路を収容する。伝送路制御部２２は、物理的／電気的な伝送路の収容および伝送制御レベルの通信手順の実行を行なう。伝送路制御部２２は、アクセススイッチのＬＡＮポート及びそのＭＡＣ制御回路に相当する。

伝送路制御部２３は、認証サーバ１３との通信、及び利用者が接続を希望する宛先としてのアプリケーションサーバ１６との通信の両方に用いられる。伝送路制御部２２，２３は、収容する伝送路の数に応じて複数存在する。経路制御部２４は宛先のアドレス情報からパケットを送出する方路を決定し、該当する伝送路制御部２３を選択してパケットを送出する機能を果たす。経路制御部２４は、ルーティング機構に相当する。伝送路制御部２２，２３と経路制御部２４とは、既存技術のアクセススイッチ（ルーティング機能を実装するレイヤ３スイッチ）を構成する主な機能ブロックである。

認証確認部２５は、パケットの送信元を判別し、その送信元が既に認証されている利用者であるか否かを判定する機能を果たす。パケット送信元識別情報としては伝送路（パケットを受信した伝送路制御部２２の識別子）又はＭＡＣアドレス等の物理アドレスを利用できる。

認証済利用者記録部２６は、送信元が既に認証されている利用者であるか否かの判定に必要な情報を記録している。認証済利用者記録部２６は、認証ＯＫの利用者のパケット送信元識別情報のリストを格納している。認証実行部２７は、前述した認証サーバ１３との間で認証手順を実行する。

以上、認証確認部２５，認証済利用者記録部２６，認証実行部２７は、既存技術の認証機能を構成する主な機能ブロック図である。ここでは、既存技術であるアクセス認証について説明する。

例えば認証されていない利用者はＰＣ１５からアプリケーションサーバ１６に向けてパケットを送信する。パケットは、伝送路制御部２２で受信される。伝送路制御部２２は、受信したパケットを認証確認部２５に送信する。

認証確認部２５は、受信したパケットのパケット送信元識別情報をキーとして認証済利用者記録部２６に格納されているリストを参照する。しかしながら、この利用者は認証されていない為、リストに登録されていない。そこで、認証確認部２５はパケットを破棄する。したがって、認証されていない利用者はアプリケーションサーバ１６と通信できない。

伝送路制御部２２は、受信したパケットが認証手順のパケットであった場合のみ異なる動作を行なう。認証確認部２５は、認証手順のパケットを受信すると、そのパケットを認証実行部２７に送信する。認証実行部２７は、認証手順を例えば以下のように実行する。

まず、認証実行部２７は利用者から提供された認証情報（例えば、利用者ＩＤ及びパスワード）を問い合わせ用のパケットに載せ、その問い合わせ用のパケットを認証サーバ１３に送信する。問い合わせ用のパケットは、経路制御部２４及び伝送路制御部２３を介して認証サーバ１３に到達する。

認証サーバ１３は、利用者ＩＤ及びパスワードをチェックし、利用者の正当性を確認する。認証結果が認証ＯＫを示していれば、認証サーバ１３は認証結果に加えて利用者の属性値をパケット通信装置１１に送信する。利用者の属性値は、前述したようにセキュリティ管理者が利用者毎に割り当て、認証サーバ１３に設定しておいたものである。なお、認証結果が認証ＮＧを示していれば、認証サーバ１３は認証結果をパケット通信装置１１に送信する。

認証結果，利用者の属性値は、伝送路制御部２３，経路制御部２４を介して認証実行部２７に到達する。認証結果が認証ＯＫを示している場合、認証実行部２７は利用者のパケット送信元識別情報および利用者の属性値を関連付けてタグ情報記録部２９のリストに登録する。

また、認証実行部２７は利用者のパケット送信元識別情報を認証済利用者記録部２６に登録する。また、認証実行部２７は利用者に認証ＯＫを示す認証結果を送信する。認証ＯＫを示す認証結果は、認証確認部２５，伝送路制御部２２を介してＰＣ１５に到達する。以上の処理により、アクセス認証は完了する。

アクセス認証については、様々な手法が存在するが、前述した手法以外を利用してもよい。アクセス認証では、認証ＯＫを示す認証結果のときだけ、利用者のパケット送信元識別情報が認証済利用者記録部２６に登録される。

タグ制御部２８は、通過するパケットに前述したセキュリティタグを挿入する機能を果たす。また、タグ制御部２８はパケットのアプリケーション（メール，Ｗｅｂアクセス，ファイル転送，ＩＰ電話など）を判定する機能を果たす。パケットのアプリケーションを判定する機能は前述したように実現できる。本実施例ではセキュリティタグをＩＰヘッダのオプションフィールドに設定するため、経路制御部２４を含む他の機能ブロックの動作に影響しない。タグ情報記録部２９は、前述したように利用者のパケット送信元識別情報と利用者の属性値とが対応付けられたリストを格納している。

アクセス認証の完了後、利用者はＰＣ１５からアプリケーションサーバ１６に向けてパケットを送信する。パケットは、伝送路制御部２２を介して認証確認部２５に到達する。

認証確認部２５は、受信したパケットのパケット送信元識別情報をキーとして認証済利用者記録部２６に格納されているリストを参照する。この利用者はリストに登録されている為、認証確認部２５はパケットをタグ制御部２８に送信する。タグ制御部２８は、受信したパケットのパケット送信元識別情報をキーにタグ情報記録部２９のリストを検索する。

アクセス認証の完了後、タグ情報記録部２９のリストには利用者のパケット送信元識別情報および利用者の属性値が関連付けられて登録されている為、利用者の属性値が検索される。タグ制御部２８は、パケットのアプリケーションを判定する機能も有している為、アプリケーション識別子を自ら作成できる。

タグ制御部２８は、利用者の属性値およびアプリケーション識別子を元にセキュリティタグを生成し、そのセキュリティタグを付与したパケットを経路制御部２４に送信する。経路制御部２４は、通常の経路選択を行い、伝送路制御部２３を介してパケットを送出する。

なお、セキュリティタグはＩＰヘッダのオプションフィールドに設定される為、経路制御部２４及び伝送路制御部２３の動作に影響を与えない。したがって、セキュリティタグを付与したパケットは経路制御部２４及び伝送路制御部２３の動作に影響を与えることなくアプリケーションサーバ１６に向けて送出される。

なお、タグ制御部２８は認証確認部２５から受信したパケットにセキュリティタグが付与されていた場合、そのセキュリティタグを削除する。その後、タグ制御部２８は前述したようにセキュリティタグを生成し、そのセキュリティタグをパケットに付与し直す。

タグ制御部２８は、認証確認部２５から受信したパケットにセキュリティタグが付与されていた場合に、そのセキュリティタグを削除し、作成したセキュリティタグを付与し直すことにより、セキュリティタグの偽造を防止できる。

なお、セキュリティエージェント機能を実装するパケット通信装置１１では、認証されていない利用者からのパケットが破棄され、認証された利用者からのパケットにセキュリティタグが付与され、セキュリティタグが偽造されていないことを保証する。

図８は、セキュリティジャッジ機能を実装するパケット通信装置の一実施例のブロック図である。例えばパケット通信装置１２は、アプリケーションサーバ１６を収容するスイッチ、又は複数のアプリケーションサーバ１６を収容して負荷分散を行なうサーバ負荷分散装置等である。

パケット通信装置１２は、伝送路制御部３２，３３と、サーバフロント処理部３４と、タグ確認部３５と、ポリシー入力部３６と、タグ処理部３７と、ポリシー記録部３８とを有する構成である。

伝送路制御部３２は、ＰＣ１５がセキュリティエージェント機能を実装したパケット通信装置１１，通信網１７を介して遠隔地よりアクセスしてくる通信路を収容する。伝送路制御部３２は、物理的／電気的な伝送路の収容および伝送制御レベルの通信手順の実行を行なう。伝送路制御部３２は、ＬＡＮポート及びそのＭＡＣ制御回路に相当する。

伝送路制御部３３は、伝送路制御部３２と同様であるが、利用者が接続を希望する宛先としてのアプリケーションサーバ１６との通信に用いられる。伝送路制御部３２，３３は、収容する伝送路の数に応じて複数存在する。なお、パケット通信装置１２はアプリケーションサーバ１６に内蔵されてもよい。

パケット通信装置１２がアプリケーションサーバ１６に内蔵されている場合、伝送路制御部３３は内部バス接続インターフェースあるいは同等の機能を果たす通信制御ソフトウェアとなる。サーバフロント処理部３４はパケット通信装置としての機能、例えば複数のアプリケーションサーバに対して負荷分散を行なう機能を果たす。伝送路制御部３２，３３と、サーバフロント処理部３４とは、既存技術のパケット通信装置を構成する主な機能ブロックである。

タグ確認部３５は、パケットにセキュリティタグが付与されているか否かを判定する機能を果たす。ポリシー入力部３６は、ポリシー記録部３８にセキュリティポリシーを設定する機能を果たす。なお、ポリシー入力部３６はパケット通信装置１２にとって必須でなく、例えば外部の汎用ＰＣ（図示せず）上で動作するソフトウェアとして提供されてもよい。ポリシー入力部３６は、事前設定フェーズで動作する為、他の機能ブロックと高速且つ常時接続されている必要がない為である。

図８のパケット通信装置１２では、ポリシー入力部３６とポリシー記録部３８との接続関係を点線で記述し、かつ矢印を付けることで一方的な事前設定用の機能ブロックであることを示している。

タグ処理部３７は、パケットに付与されているセキュリティタグを確認し、セキュリティタグの内容をセキュリティポリシーに照らし合わせてパケットの通過の可否を判定する。ポリシー記録部３８は、セキュリティタグの内容が満たすべき条件であるセキュリティポリシーが記録されている。

なお、ポリシー記録部３８にセキュリティポリシーを設定するポリシー入力部３６は、セキュリティ管理者に対して分かり易いインターフェース、例えばセキュリティポリシー記述用の簡易言語を提供する。セキュリティ管理者は、ポリシー入力部３６の提供するインターフェースを用いて、どのような属性値を持つ利用者がどのサーバとの通信が許可されるか、あるいは既存環境からセキュリティタグ無しにサーバとの通信が許可される特別な端末がどれであるか等を人間が理解し易い形で設定でき、且つ適宜参照又は更新できる。

既存環境からセキュリティタグ無しにサーバとの通信が許可される特別な端末としては、物理的に保護された場所に設置してある等、暗黙に安全と見なすことのできる端末を利用する。このように、例外的な端末を認めることは既存環境からの移行過程において大切である。

ポリシー記録部３８は、タグ確認部３５やタグ処理部３７のような機能ブロックによって参照されることから、より高速で機械的に処理できる形式（例えばマスクパターンなど）で保持してもよい。

次に、セキュリティジャッジ機能の動作を説明する。なお、以下の説明ではポリシー入力部３６からポリシー記録部３８へのセキュリティポリシーの事前設定が既に完了しているものとする。

ＰＣ１５がセキュリティエージェント機能を実装したパケット通信装置１１，通信網１７を介して送信してきたパケットは、伝送路制御部３２で受信され、タグ確認部３５に送信される。タグ確認部３５は、パケットにセキュリティタグが付与されているか否かを判定する。セキュリティタグが付与されていた場合、タグ確認部３５はタグ処理部３７にパケットを送信する。セキュリティタグが付与されていなかった場合、タグ確認部３５はパケットを破棄する。

タグ処理部３７は、パケットに付与されているセキュリティタグの内容をキーにポリシー記録部３８を検索する。本実施例では、利用者の属性値とアプリケーション識別子とがキーとなる。ポリシー記録部３８は、アプリケーション毎に利用者の属性値が満たすべき条件が機械的に判定できる形式で記録されている。

条件を満たさない場合、タグ処理部３７はパケットを破棄する。条件を満たしている場合、タグ処理部３７はパケットからセキュリティタグを除去し、セキュリティタグを除去したパケットをサーバフロント処理部３４に送信する。

その後の処理は既存のものであり、サーバフロント処理部３４で負荷分散などの処理を行ったあと、伝送路制御部３３を介してアプリケーションサーバ１６にパケットを送出する。

なお、セキュリティジャッジ機能を実装するパケット通信装置１２では、事前にセキュリティ管理者がサーバ毎にセキュリティポリシーを設定でき、そのセキュリティポリシーを満たす利用者からのパケットのみ通過を許可し、セキュリティポリシーが偽造されていないことを保証する。

さらに、セキュリティジャッジ機能を実装するパケット通信装置１２では既存環境からの移行過程において、セキュリティタグ無しにサーバとの通信が許可される特別な端末を指定でき、既存のサーバ負荷分散機能などに影響を与えないことが保証される。

したがって、セキュリティエージェント機能を実装するパケット通信装置１１とセキュリティジャッジ機能を実装するパケット通信装置１２とにより構成される本発明によるアクセス制御システムでは、どの利用者が、どのサーバと、どのアプリケーションで通信できるかをセキュリティ管理者が完全にコントロールできることが保証される。

また、本発明によるアクセス制御システムでは、たとえ悪意のある利用者であっても、パケット通信装置１１，１２への不正アクセスおよび設定の改竄を行なうことなくアプリケーションサーバ１６への不正アクセスが不可能であることが保証される。なお、パケット通信装置１１，１２への不正アクセスおよび設定の改竄は汎用ＯＳが搭載された汎用サーバへの不正アクセスに比べて極めて困難である。

また、本発明によるアクセス制御システムはネットワークに依存しない為、ネットワーク構成の変更に影響を受けないこと、及び既存のネットワーク機能やサーバのアプリケーション動作に影響を与えないことが保証される。

実施例１では、セキュリティエージェント機能を実装するパケット通信装置１１において全てのパケットにセキュリティタグを付与していたが、パケット通信装置１１の処理能力によって通信性能に影響を与える場合があった。そこで、実施例２ではセキュリティタグを付与すべきパケットを決めておき、セキュリティタグを付与すべきパケットのみにセキュリティタグを付与する。なお、パケット通信装置１１のブロック図は図７と同様であり、説明を省略する。

パケット通信装置１１は、利用者が認証済みであることを確認した上、セキュリティタグを付与すべきパケットか否かを判定する。そして、パケット通信装置１１はセキュリティタグを付与すべきパケットであると判定すると、そのパケットにセキュリティタグを付与する。

例えばＴＣＰ／ＩＰ通信の場合、ＰＣ１５とアプリケーションサーバ１６とはＳｙｎパケットによりセッションの確立を行なう。そこで、パケット通信装置１１はＳｙｎパケットのみにセッションタグを付与することで、負荷を軽減できる。

図９は、セキュリティジャッジ機能を実装するパケット通信装置の他の実施例のブロック部である。図９のパケット通信装置１２は、タグ確認部３５とサーバフロント処理部３４とを接続する迂回路を設けた点が図８のブロック図と異なる。

次に、図９のパケット通信装置１２のセキュリティジャッジ機能の動作を説明する。なお、以下の説明ではポリシー入力部３６からポリシー記録部３８へのセキュリティポリシーの事前設定が既に完了しているものとする。

ＰＣ１５がセキュリティエージェント機能を実装したパケット通信装置１１，通信網１７を介して送信してきたパケットは、伝送路制御部３２で受信され、タグ確認部３５に送信される。タグ確認部３５は、セキュリティタグを付与すべきパケットであるか否かを判定する。

セキュリティタグを付与すべきパケットでなければ、タグ確認部３５はサーバフロント処理部３４にパケットを送信する。一方、セキュリティタグを付与すべきパケットであれば、タグ確認部３５はセキュリティタグが付与されているか否かを判定する。セキュリティタグが付与されていた場合、タグ確認部３５はタグ処理部３７にパケットを送信する。セキュリティタグが付与されていなかった場合、タグ確認部３５はパケットを破棄する。以降の処理は、図８のパケット通信装置１２のセキュリティジャッジ機能の動作と同様であるため、説明を省略する。

なお、本実施例では図５に示すように、セキュリティタグをアプリケーション識別子および利用者の属性値を含む構成としているが、他の構成であってもよい。

図１０は、セキュリティタグのフォーマットを表す他の例の構成図である。図１０に示すように、セキュリティタグは利用者の属性値を含むように構成され、ＩＰヘッダのオプションフィールドに設定される。

なお、アプリケーション識別子は、例えばＴＣＰポート番号と呼ばれるパケットヘッダ情報を検査することで判定できる為、必ずしもセキュリティタグに含ませる必要がない。この場合、アプリケーション識別子はセキュリティジャッジ機能を実装したパケット通信装置１２で判定される。

図５，図１０のセキュリティタグが混在するアクセス制御システムの場合、セキュリティジャッジ機能を実装したパケット通信装置１２は、セキュリティタグにアプリケーション識別子が含まれるかを判定し、セキュリティタグにアプリケーション識別子が含まれていないときに例えばＴＣＰポート番号と呼ばれるパケットヘッダ情報を検査することでアプリケーション識別子を判定すればよい。

本発明によるアクセス制御システムでは、従来、ｍ×ｎであったルールの設定数をｍ＋ｎに減らし、移動時やサーバ追加時などのルールの設定の変更／追加の手間を簡略化できる。さらに、本発明によるアクセス制御システムでは利用者の使用する端末の状態やアプリケーションの情報など、細かい条件毎に通信をコントロールでき、社内ネットワークのセキュリティと利便性とを共存させることができる。

特に利用者の属性値を利用する為、本発明によるアクセス制御システムでは従来のようにネットワークの専門性が無くても設定が可能である。例えば本発明によるアクセス制御システムでは従業員の個人情報を、インフラを運用する部門に提供することなく、企業の人事部が直接、セキュリティポリシーを設定できる。

また、本発明によるアクセス制御システムはネットワーク構成に依存せず、ネットワーク形態の変化や利用者の場所移動による設定の手間が生じない。更に、プロトコルに依存しない為、本発明によるアクセス制御システムは今後ユビキタスネットワークのように非ＩＰのネットワークが普及してきた場合であっても、対応可能な技術として効果が期待できる。

Claims (10)

1. 複数のパケット通信装置を含む構成のネットワークにおけるアクセス制御方法であって、
   送信元のパケット通信装置が、送信するパケットに利用者の属性情報を付与する第１ステップと、
   宛先のパケット通信装置またはパケットの受信装置であるエンドシステム内の通信制御機構が、前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行なう第２ステップと
   を有することを特徴とするアクセス制御方法。
2. 前記第２ステップは、事前に設定されているポリシー情報と前記利用者の属性情報とに基づきアクセス制御を行なうことを特徴とする請求項１記載のアクセス制御方法。
3. 前記第２ステップは、前記パケットに付与されている前記利用者の属性情報を削除することを特徴とする請求項１記載のアクセス制御方法。
4. 前記第１ステップは、送信するパケットに利用者の属性情報に加えて前記パケットのアプリケーション情報を付与し、
   前記第２ステップは、前記パケットに付与されている前記利用者の属性情報および前記パケットのアプリケーション情報の組み合わせに基づきアクセス制御を行なうことを特徴とする請求項１記載のアクセス制御方法。
5. 前記第１ステップは、送信するパケットに利用者の属性情報が予め付与されているときに、前記予め付与されている利用者の属性情報を消去したあと、前記パケットを送信する利用者の属性情報を付与することを特徴とする請求項１記載のアクセス制御方法。
6. 前記第１ステップは、送信するパケットが前記利用者の属性情報を付与すべきパケットであるときに前記利用者の属性情報を付与し、
   前記第２ステップは、受信したパケットが前記利用者の属性情報を付与すべきパケットであるときに前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行なうことを特徴とする請求項１記載のアクセス制御方法。
7. 複数のパケット通信装置を含む構成のアクセス制御システムであって、
   送信するパケットに利用者の属性情報を付与する送信元のパケット通信装置と、
   前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行なう宛先のパケット通信装置と
   を有することを特徴とするアクセス制御システム。
8. エンドシステムから受信したパケットに利用者の属性情報を付与する属性情報付与手段と、
   前記エンドシステムを宛先とするパケットに付与されている前記利用者の属性情報に基づきアクセス制御を行なうアクセス制御手段と
   を有することを特徴とするパケット通信装置。
9. 複数のパケット通信装置を含む構成のアクセス制御システムであって、
   送信するパケットに利用者の属性情報を付与する送信元のパケット通信装置と、
   前記パケットに付与されている前記利用者の属性情報に基づきアクセス制御を行なう宛先のエンドシステム内の通信制御機構と
   を有することを特徴とするアクセス制御システム。
10. エンドシステムから受信したパケットに利用者の属性情報を付与する属性情報付与手段と、
    自分を宛先とするパケットに付与されている前記利用者の属性情報に基づきアクセス制御を行なうアクセス制御手段を有する通信制御機構と
    を具備することを特徴とするエンドシステム。

Images