WO2005091581A1 - セキュリティゲートウェイ装置 - Google Patents

セキュリティゲートウェイ装置 Download PDF

Info

Publication number
WO2005091581A1
WO2005091581A1 PCT/JP2005/000714 JP2005000714W WO2005091581A1 WO 2005091581 A1 WO2005091581 A1 WO 2005091581A1 JP 2005000714 W JP2005000714 W JP 2005000714W WO 2005091581 A1 WO2005091581 A1 WO 2005091581A1
Authority
WO
WIPO (PCT)
Prior art keywords
data
encryption
network
encrypted
processing unit
Prior art date
Application number
PCT/JP2005/000714
Other languages
English (en)
French (fr)
Inventor
Makoto Izawa
Hiromitsu Narita
Akira Okamoto
Original Assignee
Niigata Seimitsu Co., Ltd.
Micro Research Laboratory, Inc.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Niigata Seimitsu Co., Ltd., Micro Research Laboratory, Inc. filed Critical Niigata Seimitsu Co., Ltd.
Priority to JP2006511131A priority Critical patent/JPWO2005091581A1/ja
Publication of WO2005091581A1 publication Critical patent/WO2005091581A1/ja

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Definitions

  • the present invention relates to a security gateway device, and in particular, enables a security filtering process to be performed even on encrypted data.
  • firewall intrusion prevention software In order to deal with these problems, a file, an intrusion prevention software, an antivirus software, and an alphanumeric software are often installed on the base network.
  • firewall intrusion prevention software In general, firewall intrusion prevention software generally uses a single server to access the network.
  • the dedicated software is used to prevent unauthorized third parties from gaining unauthorized access to the base network by operating a dedicated software.
  • the sender and destination IP address are checked in the header of the packet that is sent to determine whether or not communication is possible.
  • Antivirus software is software that detects and removes computer viruses that are sent from outside and are lurking all night long.
  • Patent Document 1 Japanese Patent Application Laid-Open No. Hei 5-1 4 3 6 11
  • Patent Document 2 Japanese Patent Application Laid-Open No. 2000-35031
  • Patent Document 1 j 2 employs a mechanism for executing an encrypted program while decrypting it, so that an unencrypted virus program can invade or a virus program encrypted with a different key can be used. If a ram breaks in, it converts it into random data by decryption. The As a result, for example, if the user tries to execute the executable file attached to the e-mail by mistake, the port A can be prevented from being infected because it cannot be executed. When data containing an unconverted macro virus has invaded ⁇ , it is converted to meaningless data that cannot be recognized by the application by decryption, and rejected as abnormal data. It is possible to prevent virus infection.
  • Content filtering software is a software that permits only the reception of a specific message according to the type and contents of the data sent from outside. ⁇ Say air. For example, by registering a specific word ⁇ , it is possible to exclude the reception of spam mails containing the word, such as cL *, a specific file name, ⁇ RL, etc. By doing so, it is possible to prevent sexual or violent sites from being viewed on the Internet.
  • encryption devices are installed in the gateway area of each base. Is done.
  • the data decrypted and entered into the base network is distributed to terminals in the network after various filtering processes such as virus detection.
  • the terminal inside the base is also used to perform encryption inside the base.
  • encryption software is introduced to a gateway, the encrypted data sent from the end of a certain base is further encrypted in the gateway X part and transmitted to the gateway device of the partner base.
  • the encryption between the sites is decrypted by the encryption device in the gateway, but the encryption inside the site is not decrypted, so even if it is attempted to perform filter processing such as virus detection, it can be executed. No.
  • the present invention has been made to solve such a problem, and the contents of the received data are irrespective of whether the data is encrypted or non-encrypted within the base network.
  • Anti-Virus or The purpose is to enable functions such as content filters to work effectively.
  • a security gateway device determines whether input data is encrypted or not. If the data is encrypted, the input data is decrypted and supplied to the filter processing unit. If the data is not encrypted, the input data is not decrypted and supplied to the upper filter processing unit. The validity of encryption is determined based on the address information of the destination and the destination address, and if encryption is applied, the data output from the filter processing unit is encrypted and transferred to the destination terminal. However, when encryption is not to be applied, there is provided encryption processing means for transferring the data output from the filter processing unit to the destination terminal without encrypting the data.
  • the filter processing unit requires encryption. If the destination terminal in the base network has a signal processing function, the data that has passed through the full-length processing unit will be encrypted and transferred. It will be. As a result, it is possible to appropriately perform file processing such as virus detection and unnecessary content detection while protecting the inside of the base network from information leaks by using encryption. In addition, even when it is necessary to perform data communication in plain text without performing encryption within the base network, it is possible to appropriately perform filter processing such as quiz detection and unnecessary content detection.
  • FIG. 1 shows a VPN network implementing the security gateway device of the present invention.
  • FIG. 1 is a block diagram illustrating a configuration example of a network.
  • FIG. 1 is a block diagram showing a configuration example of a VPN (Virtual Private Network) network in which the security gateway device of the present invention is implemented.
  • VPN Virtual Private Network
  • a plurality of personal computers 101A-, ... to 101A- m are connected to each other via a LAN (Local Area Network), etc.
  • 100 B is a virtual private line (VPN tunnel) of the Internet 200 B Connected via 0a.
  • a PC 101A-101A with encryption software installed can encrypt the data in its own device and send it over the Internet 200. In addition, it is possible to decrypt the encrypted data sent via the Internet 200 and use it in the own device. It is so-called End-to-End type cryptographic communication.
  • the personal computer 10IB-101B- 2 has encryption software installed.
  • the personal computer 101 Bn is assumed to have no encryption software installed.
  • PC 1 0 1 B, 1 0 1 B _ 2 to the encryption software Bok is introduced, it is possible to transmit data in the own device by encrypted on inter one net 2 0 0. It was also sent via the Internet 200 It is possible to decrypt the encrypted data and use it in its own device. This is so-called End-to-End type cryptographic communication.
  • the personal computer 1 these cryptographic soft is introduced 0 1 0 1 A- 2, 1 0 1 B 1 0 1 B- 2 always performs encrypted communication between those cryptographic soft is introduced That doesn't mean you can only trust.
  • VPN router 102 A near the entrance and exit of base A network V network 100 A, and VPN router 102 near the entrance and exit of base B network 100 B
  • the VPN router 102 A of the base A network 10 OA is sent from the personal computer 101 A—! To 10 lA— m of the base A network 100 A. It encrypts the data and sends it to VPN tunnel 200a, and decrypts the encrypted data sent via VPN tunnel 200a and sends it to PC 101A —, ⁇ 101 A— Transfer to n .
  • VPN router 102B of the base network 100B is also connected to the VPN router 102B of the base network 100B.
  • the encrypted data sent via the VPN tunnel 200a is decrypted and transferred to the PCs 101B to 101B_trust.
  • the VPN The router 102A further encrypts the data, and the double-encrypted data is transmitted to the VPN tunnel 200a.
  • the encryption of the VPN router 102A is decrypted by the VPN router 102B of the base network 100B, and transferred to, for example, the computer 101B. No., "Sonkon 101B decrypts the encryption applied in Nokonkon 101A to obtain usable data.
  • VPN clients 300 other than sites A and B can also connect to VPN tunnel 200a.
  • the VPN client 300 incorporates software for performing communication using the VPN tunnel 200a, and is configured by, for example, a notebook personal computer that can be used on the go.
  • the data is encrypted by the VPN client function at the VPN client 300.
  • the data is transmitted to the base B network 100 B via the VPN tunnel 200 a.
  • the VPN is transmitted via the VPN network 102 B of the base B network 100 B.
  • cipher is decoded, the data became plain text is transferred to the personal computer 1 0 1 B_ n.
  • a firewall 103 and a filtering unit 104 are installed in the base B network 101 B.
  • the firewall 103 judges whether communication is possible by looking at the IP addresses of the source and destination described in the header of the bucket sent via the VPN tunnel 200a. This prevents unauthorized third parties who do not have access rights from illegally entering the base network 100B.
  • an intrusion prevention software that performs processing such as intrusion detection and protection tracking may be used.
  • the firewall 103 and the intrusion prevention software determine whether communication is possible with reference to the information described in the header of the packet. Only the contents of the packet are encrypted, and the header is not encrypted, so these functions can be performed without decrypting the data. Therefore, a firewall 103 is installed at the location closest to the gateway of the base B network 100B (the location closer to the gateway than the VPN router 102B that performs decryption). It's preferable to have a rogue shirt
  • the filter processing unit 104 performs processing such as anti-virus and content filtering.
  • the antivirus finds and removes the virus that hides in the data sent from outside via the VPN tunnel 200a. For example, a virus detection panel prepared in advance is compared with a received file to detect a virus, and the virus infected with the virus is repaired or the virus is removed.
  • the content filter permits only specific data reception according to the type and contents of the data transmitted from outside via the VPN tunnel 200a. By registering words and phrases, reception of spam mails containing those words is excluded. Also, certain Fai By registering the URL, etc., ⁇ to prevent browsing sexual or powerful sites on the Internet V
  • the filter processing unit 104 that performs these anti-virus / contents processing detects the virus / unnecessary contents by looking at the contents of the transmitted data. Therefore, if the contents of the evening are encrypted,
  • the security gateway device 10 is used.
  • the security device 105 has, as its functional configuration, a first symbol / decryption processing unit 105a and a second encryption / z decryption processing unit 105b.
  • PN router 1 0 2 B Determines whether or not the input data is decoded. If the input data is decoded, decodes the input data and filters it. If it is not encrypted, it is supplied to the filter processing unit 104 without decrypting the input data. Whether or not the data is encrypted is determined by referring to the information indicating whether or not the data is encrypted in the header of the input packet.
  • the second encryption / decryption processing unit 105b determines whether or not the encryption is appropriate based on the combination of the source / destination indicated by the IP address of the header. Then, if encryption is to be applied, the data output from the filter processor 104 is encrypted and transferred to the destination personal computer. If encryption is not to be applied, the filter processor 104 is used. The output data is transmitted to the destination PC without encryption.
  • the second encryption / decryption processing unit 105 b When data is transmitted from the base B network 100 B to the base A network 100 OA, the second encryption / decryption processing unit 105 b The data input from either the personal computer 101B- or 101B__ is encrypted. If the data is encrypted, the input data is decrypted and supplied to the unit 104. On the other hand, if the data is not encrypted, the data is directly supplied to the filter processing unit 104 without being input.
  • the first encryption / decryption processing unit 105a determines the suitability of the symbol by the combination of the source and the destination indicated by the IP address of the header. Then, when the encryption should be applied, the data output from the 4 processing unit 104 is encrypted and converted to a VPN router 0, and when the encryption is not to be applied, the filtering is performed. Processing unit 10 0 VPN router 10 2 B is performed without encrypting the output data without encryption. ⁇ fevert Z
  • the information may be registered in advance in the second encryption processing unit 05b, or each time communication is performed, the first encryption / decryption processing unit 105a and the second encryption processing unit 0b may be used. 5b may ask the source / destination source for the source / destination source. ⁇ For encryption: No, for example, whether the source computer and the destination PAN-K encryption software have been inserted; It is possible to set according to the conditions such as whether or not to darken the software due to the relationship between the first descent / destination
  • a manager terminal 110 for making various information settings is connected. Manager ⁇ 1 1 0's, station B network Bokuwa - click 1 0 0 Each parentheses emissions 1 0 1 B Beta,, with respect to 1 0 1 B 2, cryptographic soft provided is ... ', Various information related to encryption communication, for example, whether encryption / decryption processing is performed, whether communication is possible such as discarding packets with a certain terminal, encryption, encryption Download and set information such as the encryption level, encryption time zone, password, and key.
  • the main terminal is connected to the base A network.
  • manager terminal 110 is a secure U
  • the security gate tweaking device 105 also downloads various information related to cryptographic communication to the PC 5 and sets it in the middle of the process. Therefore, it is necessary to set information such as an encryption policy and an encryption key that allow this to occur.a Also, the first encryption / Decryption processing unit 105a and second encryption / decryption processing unit 1
  • this processing is also performed by this manager terminal 110.
  • the data to be transmitted is encrypted by the encryption software of the personal computer 101A and sent to the VPN router 102A. Then, the data is further encrypted by the VPN router 102A, and the double-encrypted data is transmitted to the VPN tunnel 200a.
  • VPN tunnel 2 0 0 When the data is sent to the base B network 100B via a, the unauthorized intrusion is detected by the firewall 103, and the data that passes through this is sent to the VPN router 102B. Will be transferred.
  • VPN router 102B the VPN router 102A implemented
  • the symbol of VPN is decrypted, and the decrypted data is transferred to the security gateway device 105.
  • the first encryption / decryption processing unit 105a of the security gateway device 105 determines whether the data input from the VPN router 102B is encrypted. here,
  • the VPN is decrypted by the VPN router 102B
  • the VPN is encrypted because the encryption inside the site, which has been implemented by the encryption software of the computer 101A, still exists.
  • the first encryption Z decryption processing unit 105a decrypts the encryption by decryption, converts the data into plaintext, and supplies the data to the filter processing unit 104.
  • the filter processing unit 104 detects the virus and the unnecessary content by looking at the contents of the plain text data, and executes processing such as data discard if necessary.
  • the data that has passed through the filter processing unit 104 is sent to the second encryption / decryption processing unit 105 b of the security gateway device 105.
  • the second encryption / decryption processing unit 105b determines whether or not encryption software is installed in the data transmission destination computer 101B. Here, it is determined that the encryption software is installed in the computer 101B, and the data output from the filter processing unit 104 is encrypted and transferred to the personal computer 101B.
  • the data is encrypted using the encryption software of the personal computer 101A and transmitted, so that the data is leaked using the encryption inside the base A network 10OA.
  • the data is encrypted by the second encryption / decryption processing unit 105b of the security gateway device 105. Since it is sent to the Sokon 1 0 1 B, base B network 10 0
  • Data can be protected from information leakage etc. by using encryption even inside 0B.
  • the first encryption / decryption processing unit 105 of the security gateway device 105 performs the data communication using the symbol even at the bases A and B at End-t—End. Since the data which is temporarily decrypted by a and converted into plain text is supplied to the filter processing unit 104, filtering such as anti-virus and content filtering can be effectively performed. As a result, it is possible to construct a secure network environment that reliably prevents information leakage, etc., due to encryption at all times, and prevents virus infection and unnecessary content reception by filtering. it can. Although not shown in the figure, even in an environment where a wireless network is built inside the base, the wireless network can be used safely.
  • the transmission target text is encrypted by the VPN client 300's VPN software and transmitted to the VPN tunnel 200a.
  • VPN rules-In the evening 102B VPN clients 300
  • the encrypted VPN is decrypted and the decrypted data is transferred to the security gateway device 105.
  • the VPN router 110 2 In the first encryption / decryption processing unit 105 a of the security gateway device 105, the VPN router 110 2
  • the first encryption / decryption processing unit 105a supplies the input data to the filter processing unit 104 as it is.
  • the filter processing unit 104 detects the virus and unnecessary content by looking at the contents of the plain text data, and executes processing such as data discarding if necessary.
  • the data that has passed through the filter processing unit 104 is sent to the second encryption / decryption processing unit 105 b of the security gate device 105.
  • the second encryption / decryption processing unit 105b determines whether encryption software is installed in the data transmission destination computer 101B. In this, it is determined that the PC 1 0 1 B not introduced cryptographic software Bok, the output from the filter processing unit 1 0 4 data without encryption Basoko down 1 0 1 B - transferring the n
  • the VPN client 300 and the personal computer 10IB-frieddo not have encryption software for the inside of the base, so the VPN tunnel
  • the first encryption Z decryption processing unit 105 a of the security gateway device 105 performs data encryption. If it is not, it has a mechanism to supply it to the filter processor 104 without decoding it, so that it is possible to effectively perform filter processing such as antivirus and content filter. In other words, when performing data communication between terminals that do not have encryption software,
  • the filter processing unit 10 can be configured to completely shut down the 100 liters / unnecessary contents so as not to enter the inside of the occupied network 100 B.
  • the filtering is performed in accordance with the contents of the received data.
  • Functions such as anti-virus and content filters that perform processing can be activated effectively.
  • filter processing such as virus detection and unnecessary content detection
  • protecting the inside and outside of the base network from information leakage and the like by using encryption even if data communication needs to be performed in the clear in the base network without encryption, it is possible to appropriately perform filter processing such as virus detection and unnecessary content detection.
  • the security gateway device 105 is the
  • the security gateway device also integrates the function of the filter processing unit 104.
  • 105 may be configured. By doing so, the first symbol / decryption processing unit 105 a and the filter processing unit 104, the second encryption / decryption processing unit 105 b and the filter processing unit 1
  • the function of the firewall 103 may be incorporated into the security gateway 105.
  • the VPN tunnel is placed on the Internet 200.
  • the present invention is not limited to this.
  • a network that uses a non-sign on the Internet 200 (for example, an end-to-end-type sign communication network that uses a cryptographic software installed on a personal computer in the base network) ) can be similarly applied.
  • the first encryption / decryption processing unit 105 a and the second encryption / decryption processing unit of the security gateway device 105 depend on whether encrypted communication or non-encrypted communication is performed between terminals in the base.
  • the unit 105b determines whether to perform the decoding process.
  • the filter processing unit 104 and the security gateway device 105 are provided downstream of the VPN router 102 B, but the VPN router 102 B It may be provided on the front stage side.
  • the file processing unit 104 and the security Gateway equipment If 105 and 105 are set before the VPN router 102B, the secure U-Ticket gateway device 105 will be connected to the VPN and the encryption that was applied by the computer and the VPN server. Provide a function to decrypt both of the given symbols.
  • the security gateway device 105 is connected to a personal computer. ⁇ symbol or
  • a function to decrypt either one of the encryptions applied in the VPN mode is provided.
  • the manager terminal is connected to the base A network 10.
  • each of the 0 A and the base B network-100 B is provided.
  • one manager may not be provided on the Internet 200.
  • the functions of the first cryptographic Z decryption processing unit 105 a and the second cryptographic Z decryption processing unit 105 b of the security gateway device 105 of the present embodiment are the same as those of the Hard X configuration. It can be realized by any of DSP, software, and software. For example, ⁇ realized by soft-to-air ⁇
  • the security U-tive device 105 of the present embodiment is actually configured with CPU or MPU, RAM, R ⁇ M, etc.
  • the terminals 101A1101A_101B- which exist inside the base network 100A, 100B,, to 101A- n And the base network 100 A and 100 B, the VPN clients 300 outside the network are all PCs, but these terminals are not necessarily PCs. No need
  • the present invention is useful for a gateway device installed in a base network including a configuration for performing a process related to security such as data encryption and a filter process.

Abstract

ＶＰＮルータ１０２Ｂから入力されるデータが暗号化されているか否かを判定し、暗号化されている場合にはその入力データを復号してフィルタ処理部１０４に供給し、暗号化されていない場合にはその入力データを復号せずにフィルタ処理部１０４に供給する第１の暗号／復号処理部１０５ａを備えたセキュリティゲートウェイ装置１０５を設け、拠点Ｂネットワーク１００Ｂの内部でデータを暗号化して通信するか平文のままで通信するかによらず、フィルタ処理部１０４には必ず平文のデータを供給することにより、拠点Ｂネットワーク１００Ｂの内部を暗号の利用により情報漏洩等から保護しつつも、ウイルス検出や不要コンテンツ検出なども適切に行うことができるようにする。

Description

セキュ リティゲートウェイ装置
技術分野
本 明はセキュリティゲー卜ゥエイ装置に関し、 特に、 暗号化さ つ—夕に対してもセキュリティ用のフィルタ処理を実行可能にする 明
の装 に関するものである
糸田 1 背景技術 書 パ '—ソナルコンピュータ （パソコン） をス夕ンドアロンで用いる場合 は、 ソ 3ン内部の情報が盗み出された Ό 、 改ざんされたり、 破壊され たりする危険性は少ない。 しかし、 パソ ンをィンターネッ ト等のネッ 卜ヮ クに接続すると、 やり取りされる情報は多く のネッ トヮ一クをル 一ティ ングされていく ことから、 その途中において盗聴ゃ改ざん等の行 われる危険性がー気に増大する。
の問題を解決するための仕組みの 1 として 、 情報の暗号化がある
。 すなわち 、 送信側のパソコンで情報を喑号化して相手に送り 、 受信側 のパソコンでこれを復号化して利用する のようにすれば、 ネッ 卜ヮ 一クの途中で情報が盗聴されたとしても 、 情報が喑号化されているため に、 情報自体が見られる可能性が少なくなる た、 改ざんのリスクも 低減される また 、 ィ ンターネッ 卜等のネッ トヮーク上では 、 グループネッ 卜ヮ一 ク （拠点ネッ トワーク） への第三者の不正侵入、 拠点ネッ トヮ —クに接 続されているパソコンやサーバ等に侵入してデータ破壊や大量メール送 信などの悪意をもった処理を実行するウィルスといった問題ある。 さら 1
に、 ィ ン夕ーネッ 卜を使えば様 なサィ 卜にァクセスして自由に情報を 取得できることから、 業務上または教育上などの理由から好まし <ない πンテンソを取得するためのァクセスが簡単にできてしまうという問題 もある
れらの問題に対応するために 、 拠点ネッ トヮ一ク上にはファィァゥ ォ―ル 、 不正侵入防御ソフ 卜、 ァンチウィルスソフ 卜 αンテンッフィ ル夕ソフ 卜などを設置することが多い 。 フアイァゥォ ―ルゃ不正侵入防 御ソフ 卜は 、 一般的には 1台のサ を拠点ネッ 卜ヮ ―クの出入 Ρ (ゲ
―卜ゥェィ部分） に用い、 で専用のソフ トゥェァを動作させること によ て、 アクセス権を持たない第三者が拠点ネッ 卜ヮ一ク内に不正に 侵入するのを防ぐものである a体的には、 送られて < るパケッ のへ ッダに されている达信元と送信先の I Pァ レスを見て 信の可否 を判断する
また 、 ァンチウィルスソフ 卜は 、 外部から送られて < るデ一夕中に潜 んでいるコンピ 夕ウイルスを発見し、 除去するソフ トウエアを言う
。 多くのアンチウィルスソフ 卜は、 あらかじめ用意されたウィルス検知 パターンと受信ファイルとを比較してウィルスを検出し、 ウィルスに感 染したフアイルを修復したりウィルスを除去したりする。 暗号を利用し てウィルスへの感染を防止するようにした技術も提案されている （例え ば、 特許文献 1 2参照 )
特許文献 1 ： 特開平 5 - 1 4 3 6 1 1号公報
特許文献 2 ： 特開 2 0 0 2 - 3 5 1 6 8 6号公報
特許文献 1 j 2 に記載の技術では 暗号化されたプログラムを復号し ながら実行する仕組みとすることにより、 暗号化されていないウィルス プログラムが侵入した場合や、 異なる鍵で喑号化されたウィルスプログ ラムが侵入した場合に、 れを復号によってでたらめなデータに変換す る。 これにより、 例えば電子メールに添付された実行形式ファィルのゥ ィルスをユーザが誤って実行しようとした ■t县 A口 も、 実行不能としてゥ ィルスへの感染を防止することができる o また、 暗号化されていないマ クロウィルスを含むデ一夕が侵入した場 □に、 復号によつてァプリケ ― ショ ンが認識できない無意味なデータに変換し、 異常デー夕と して 棄却することにより、 マクロウィルスへの感染を防止することがでぎる また、 コンテンツフィルタソフ トは 、 外部から送られて <るデ一夕の 種類や内容などに応じて、 特定のう 夕の受信のみを許可するソフ 卜ゥ エアを言う。 例えば 、 特定の語句を登録しておく ことによ Ό 、 その語句 が含まれるスパムメ —ルの受信を排除することが可能である cL*た、 特 定のファイル名や υ R Lなどを登録しておく ことによ Ό 、 ィン夕一ネッ ト上で性的または暴力的なサイ 卜を閲覧できないようにすることも可能 である。
しかしながら、 一般的なアンチウイルスソフ 卜やコンテンッフィル夕 ソフ トは、 送信されてく るデータの内容を見てゥィルスや不要コンテン ッを検知する仕組みとなっている 。 したがつて 、 Τ ―夕の内容が暗号化 されていると、 ウイルスや不要コンテンッであるか否かを全く判断する ことができず、 アンチウィルスやコンテンッフィル夕の実効性が全くな くなつてしまう という問題があ た。 この問題についても Ό少し詳し < 説明する。
一般に、 インタ一ネッ 卜を使つた拠点間ネッ 卜ヮ一クでは 、 拠点間の インターネッ ト上での情報漏洩を防ぐために、 各拠ハ占、ヽのゲ一卜ゥエイ部 分に暗号装置が導入される。 また 、 拠点ネッ 卜ヮ一ク内に復号されて入 つたデータは、 ウイルス検出などの各種フィルタ処理を経て 、 拠ハ占、ヽネつ、 ヅ 卜ワーク内の各端末に配信される しかし 拠点間ネッ ワーク (インターネッ ト等） を流れるテ一夕が ゲートゥェィ部分の暗号装置によつて暗号化されているようなネッ 卜ヮ ク環境において 拠点内部の暗号化も行うために拠点内部の端末に暗 号ソフ トを導入した場合には、 或る拠点内の 末から暗号化されて送ら れたデ一夕はゲー 卜ク Xィ部分で更に暗号化されて相手側拠点のゲー ウェイ装置に到達する この場合、 ゲ一卜ヴェィ部分の暗号装置によ て拠点間の暗号は解除されるが 、 拠点内部の暗号は解除されないため ウィルス検出などのフィルタ処理を行おう としても実行することがでさ ない。
一方 、 特許文献 1 2 に記載の技術によれば、 受信データに対して fe 号処理を行う とによつてウィルスをでたらめなデ一夕に変換して無効 化するので 、 テ ―夕の内容は見ずに済む。 しかしながら、 この特許文献
1 2 に pd載の技術を適用する場合は、 ウィルスでない正規なデー夕は 必ず暗号化して送信しなければならないことになる。 ところが、 外部と データ交換をする ■ 八口には、 暗号化されていないつ 夕を処理すること が必要な場 Π もあ o、 その場合には受信デ一夕の復号処理を中止せざる を得ない。 そして 、 復号処理を中止している際には、 ウィルスの感染を 防止できな <な てしまうという問題があつに。 また 、 暗号鍵が盗まれ てウイルスを含むデ一タが正しく暗号化されて送信されると、 復号処理 によつて元のヴィルスが復元されることとなり、 ヴィルスの感染を防ぐ ことができないとレ Ό問題もあった。 発明の開示
本発明は、 このような問題を解決するために成されたものであり、 拠 点ネッ トワークの内部でデー夕を暗号通信するか非暗号通信するかによ らず 、 受信デー夕の内容に応じてフィルタ処理を行うアンチヴィルスや コンテンツフィルタなどの機能を有効に働かせることができるようにす ることを目的とする。
上記した課題を解決するために、 本発明のセキュリティゲ ウェイ 装置は、 入力されるデータが暗号化されているか否かを判定
Figure imgf000007_0001
暗号化 されている場合にはその入力データを復号してフィルタ処理部 供給し 、 暗号化されていない場合にはその入力了一夕を復号せずに上 フィル 夕処理部に供給する復号処理手段と、 兀端未あよび送信先 末のァ ドレス情報に基づいて暗号の適否を判 、 暗号を適用すベ 合には 上記フィルタ処理部より出力されたデ を暗号化して上記 信先端末 に転送し、 暗号を適用すべきでない場 は上記フィルタ処 部より出 力されたデータを暗号化せずに上記送信先端末に転送する暗号処理手段 とを備 る。
上記のように構成した本発明によれば、 拠点ネッ トヮークの内部でデ 一夕を暗号化して通信するか平文のままで通信するかによらず、 フィル タ処 部には必 暗号化されていない平文のデータが供給されることと なる また、 フ ル夕処理部を通過したデータは、 拠点ネッ 卜ヮーク内 の送 先端末が 号処理機能を有している場合には暗号化されて転送さ れる ととなる。 これにより、 拠点ネッ トワークの内部を暗号の利用に より 報漏洩等から保護しつつも、 ウィルス検出や不要コンテンッ検出 などのフィル夕処理を適切に行う ことが可能となる。 また 、 拠点ネッ 卜 ヮ一ク内で暗号化を行わずに平文でデータ通信を行う必要がある場合に も、 クイルス検出や不要コンテンツ検出などのフィルタ処理を適切に行 Ό ことが可能となる。 図面の簡単な説明
図 1 は、 本発明のセキュリティゲートウェイ装置を実施した V P Nネ ッ トワークの構成例を示すブロック図である 発明を実施するための最良の形態
以下、 本発明の一実施形態を図面に基づいて説明する。 図 1 は、 本発 明のセキュリティゲー トウェイ装置を実施した V P N (Virtual Private Network) ネッ トワークの構成例を示すブロック図である。
図 1 に示す V P Nネッ トワークにおいては、 複数のパソコン 1 0 1 A— , 〜 1 0 1 A—mが L AN (Local Area Network) 等により接続された拠点 Aネッ トワーク 1 0 O Aと、 複数のパソコン 1 0 1 B-,〜 1 0 I B—„がし A N等により接続された拠点 Bネッ トワーク 1 0 0 Bとが、 インタ一ネ ッ ト 2 0 0の仮想専用線 （V P N トンネル） 2 0 0 aを介して接続され ている。
拠点 Aネッ トワーク 1 0 0 A内にある複数のパソコン 1 0 1 A―,〜 1 0 1 A mのうち、 例えばパソコン 1 0 1 A ， 1 0 1 A 2は喑号ソフ トが導 入され、 パソコン 1 0 1 A は喑号ソフ トが導入されていないものとす る。 暗号ソフ トが導入されているパソコン 1 0 1 A-い 1 0 1 A は、 自 機器内のデータを暗号化してインターネッ ト 2 0 0上に送信することが 可能である。 また、 イ ンターネッ ト 2 0 0 を介して送られてきた暗号化 済みのデータを復号化して自機器内で利用することが可能である。 いわ ゆる E n d— t o E n d型の暗号通信である。
また、 拠点 Bネッ トワーク 1 0 0 B内にある複数のパソコン 1 0 1 B 〜 1 0 1 B— nのうち、 例えばパソコン 1 0 I B—い 1 0 1 B— 2は暗号ソフ トが導入され、 パソコン 1 0 1 B nは暗号ソフ トが導入されていないも のとする。 暗号ソフ 卜が導入されているパソコン 1 0 1 B ， 1 0 1 B _2 は、 自機器内のデータを暗号化してインタ一ネッ ト 2 0 0上に送信する ことが可能である。 また、 インターネッ ト 2 0 0 を介して送られてきた 暗号化済みのデータを復号化して自機器内で利用することが可能である 。 いわゆる E n d— t o— E n d型の暗号通信である。
なお、 これらの暗号ソフ トが導入されているパソコン 1 0 1 0 1 A— 2， 1 0 1 B 1 0 1 B— 2は、 常に暗号通信を行い、 暗号ソフ トが 導入されているもの同士でしか 信ができないという訳ではない。
相手ごとに 、 喑号通信をするか否かの設定をすることが可能である 。 例 えば、 暗号ソフ トが導入されているパソ Πン 1 0 1 に関して、 暗号 ソフ トが導入されていないパソ ン 1 0 1 B _„との間では暗号をク リァ にするといつた設定をすると、 パソコン 1 0 1 とノ、。ソコン 1 0 1 B . との間でも通信を行う ことが可 である
拠点 Aネ V ヮ一ク 1 0 0 Aの出入口付近には V P Nルータ 1 0 2 A が、 拠点 Bネッ トヮ ク 1 0 0 Bの出入口付近には V P Nルータ 1 0 2
Bが設けられており 当該 V P Nルー夕 1 0 2 A, 1 0 2 Bにてデ一タ の暗号化 Z復号化処理を行うしとにより、 拠点 A， B間の V P N トンネ ル 2 0 0 aにおいてテ一夕を暗号通信する。 いわゆる S i t e — t o —
S i t e型の暗号通信である
すなわち、 拠点 Aネ V 卜 一ク 1 0 O Aの V P Nルータ 1 0 2 Aは、 拠点 Aネッ 卜ワーク 1 0 0 Aのパソコン 1 0 1 A— !〜 1 0 l A—mから送ら れてきたデータを暗号化して V P N トンネル 2 0 0 aに送信するととも に、 V P N トンネル 2 0 0 aを介して送られてきた暗号化済みのデータ を復号化してパソコン 1 0 1 A — ,〜 1 0 1 A—nに転送する。
また、 拠点 Bネッ hヮ一ク 1 0 0 Bの V P Nルータ 1 0 2 Bは、 拠点
Bネッ トワーク 1 0 0 Bのパソコン 1 0 1 B 〜 1 0 I B -nから送られて きたデータを暗号化して V P N トンネル 2 0 0 aに送信するとともに、
V P N トンネル 2 0 0 aを介して送られてきた暗号化済みのデータを復 号化してパソコン 1 0 1 B 〜 1 0 1 B_„に転送する。 このような構成により、 例えば拠点 Aネッ トワーク 1 0 0 Aのパソコ ン 1 0 1 A_,にて喑号化されたデ一夕が V P Nルータ 1 0 2 Aに入力さ れたときは、 当該 V P Nルータ 1 0 2 Aにて更に暗号化が施され、 二重 に暗号化されたデータが V P N トンネル 2 0 0 aに送信されることにな る。 そして、 拠点 Bネッ トワーク 1 0 0 Bの V P Nルータ 1 0 2 Bによ つて V P Nルータ 1 0 2 Aの暗号が復号化され、 例えばパソ コ ン 1 0 1 B に転送される。 ノ、"ソコン 1 0 1 B では、 ノ ソコン 1 0 1 A にて施 された暗号が復号化され、 利用可能なデータを得る。
V P N トンネル 2 0 0 aには、 拠点 A， B以外の V P Nクライアン ト 3 0 0 も接続が可能である。 V P Nクライアント 3 0 0 は、 V P N トン ネル 2 0 0 aを利用して通信を行うためのソフ トウエアが導入されたも のであり、 例えば外出先で使用可能なノー トパソコン等により構成され る。 この V P Nクライアン 卜 3 0 0には、 パソコン 1 0 1 A_い 1 0 1 A_2, 1 0 1 B-1 , 1 0 I B— 2と同様の暗号ソフ トは導入されておらず、 例えば暗号ソフ 卜が導入されていないパソコン 1 0 1 A -m, 1 0 1 B nと の間で通信が可能である。 なお、 暗号ソフ トが導入されているパソコン 1 0 1 A—い 1 0 1 A—2 , 1 0 1 B-い 1 0 1 B_2であっても、 V P Nク ライアン 卜 3 0 0 との関係で暗号をク リアにする設定がされていれば、 そのパソコンとの間では通信を行う ことが可能である。
例えば、 V P Nクライアント 3 0 0から拠点 Bネッ 卜ワーク 1 0 0 B 内のパソコン 1 0 1 B_„にデータを送信する場合、 V P Nクライアン 卜 3 0 0 にて V P Nソフ 卜の機能によって暗号化されたデータが V P N 卜 ンネル 2 0 0 aを介して拠点 Bネッ トワーク 1 0 0 Bに向けて送信され る。 そして、 拠点 Bネッ トワーク 1 0 0 Bの V P Nル一夕 1 0 2 Bによ つて V P Nの暗号が復号化され、 平文となったデータがパソコン 1 0 1 B_nに転送される。 いわゆるリモートアクセス型の暗号通信である。 拠点 Bネッ 卜ワーク 1 0 1 Bの中には、 ファイアウォール 1 0 3およ びフィルタ処理部 1 0 4が設置されている。 ファイアゥォ—ル 1 0 3は 、 V P N 卜ンネル 2 0 0 aを介して送られてく るバケツ トのヘッダに記 述されている送信元と送信先の I Pァ ドレスを見て通信の可否を判断し 、 アクセス権を持たない第三者が拠点 Bネッ トワーク 1 0 0 Bの内部に 不正に侵入するのを防ぐ。 ファイアウォール 1 0 3の代わりに、 または ファイアウォール 1 0 3 と共に、 不正侵入の検出 保護ノ追跡などの処 理を行う不正侵入防御ソフ トを利用しても良い。
上述のように、 ファイアウォール 1 0 3や不正侵入防御ソフ 卜は、 ノ\° ケッ トのヘッダに記述されている情報を参照して通信の可否を判断する 。 暗号化されているのはパケッ 卜の中身だけで、 へッ夕は暗号化されて いないので、 これらの機能はデータを復号化しなくても実行することが 可能である。 そこで、 拠点 Bネッ トワーク 1 0 0 Bの出入口に一番近い 場所 (復号化を行つ V P Nルータ 1 0 2 Bより も出入口に近い場所） に ファィァウォール 1 0 3 を設置し、 ここで第三者の不正侵人 シャツ 卜 ァヴ するのが好ましい
フィルタ処理部 1 0 4は、 アンチウィルス、 コンテンッフィル夕など の処理を行う ものである 。 アンチウィルスは、 V P N トンネル 2 0 0 a を介して外部から送られてく るデータ中に潜んでいるコンビュ一夕ウイ ルスを発見し、 除去する 。 例えば、 あらかじめ用意されたウイルス検知 パ夕 ―ンと受信ファィルとを比較してウィルスを検出し、 ウイルスに感 染したフアイノレを修復したりウィルスを除去したりする。
また 、 コンテンッフィルタは、 V P N トンネル 2 0 0 aを介して外部 から送られてくる了一夕の種類や内容などに応じて、 特定のデ一夕の受 信のみを許可する 例えば、 特定の語句を登録しておく ことにより、 そ の語句が含まれるスパムメールの受信を排除する。 また、 特定のフアイ ル名ゃ U R Lなどを登録してお < ことにより、 ィンターネ V ト上で性的 または 力的なサイ トを閲覧でさないよ Όにする
これらのアンチウイルスゃコンテンッフィル夕の処理を行うフィルタ 処理部 1 0 4は、 送信されてくるデ一夕の内容を見てウイルスゃ不要コ ンテンッを検知する。 したがつて 、 つ—夕の内容が暗号化されていると
、 ァンチウィルスゃコンテンッフィルタの機能を実効あらしめることが できない 。 そこで、 本実施形態ではセキュリティゲ一 卜ゥェィ装置 1 0
5 を設置している。 このセキュ Uティゲ一卜ゥェィ装置 1 0 5 は 、 その 機能構成として、 第 1 の喑号/復号処理部 1 0 5 a と第 2の暗号 z復号 処理部 1 0 5 b とを備えている。
拠点 A不ッ 卜ワーク 1 0 0 Aから拠点 Bネッ ト 7一ク 1 0 0 Bに対し てデータが送られてきた «□ゝ 第 1 の暗号 Z復号処理部 1 0 5 aは、 V
P Nルー夕 1 0 2 Bよ Ό入力されるデー夕が喑号化されているか否かを 判定し、 喑号化されている場合にはその入力デ一夕を復号してフィルタ 処理部 1 0 4に供給し 、 暗号化されていない場合にはその入カデ一夕を 復号せずにそのままフィル夕処理部 1 0 4に供給する。 暗号化されてい るか否かは 、 入力されるパケッ のへッダに暗号化の有無を示す情報が 含まれているので、 これを参照することによって判断する。
同様のケースで、 第 2の暗号/復号処理部 1 0 5 bは、 ヘッダの I P ア ドレスによって示される送信元/送信先の組み合わせによって暗号の 適否を判定する。 そして、 暗号を適用すべき場合には、 フィルタ処理部 1 0 4より出力されたデータを暗号化して送信先のパソコンに転送し、 暗号を適用すべきでない場合には、 フィルタ処理部 1 0 4より出力され たデータを暗号化せずにそのまま送信先のパソコンに転送する。
一方、 拠点 Bネッ トワーク 1 0 0 Bから拠点 Aネッ 卜ワーク 1 0 O A に対してデータを送信する場合、 第 2の暗号ノ復号処理部 1 0 5 bは、 パソコン 1 0 1 B— , 1 0 1 B _„の何れかより入力されるデータが暗号化 し、 暗号化されている場合にはその入力デー夕 を復号してフ 部 1 0 4に供給し 、 暗号化されていない場合に はその入力デ せずにそのままフィルタ処理部 1 0 4に供給す る。
同様のケースで、 第 1 の暗号/復号処理部 1 0 5 aは へッダの I P ア ドレス よつて示される送信元 Z送信先の組み合わせ よつて喑号の 適否を判定する。 そして、 暗号を適用すベき場合には、 4ル夕処理部 1 0 4より出力されたデータを暗号化して V P Nル ―タ 0 転达 し、 暗号を適用すべきでない場合には、 フィル夕処理部 1 0 出力 されたデー夕を暗号化せずにそのまま V P Nルータ 1 0 2 B する 达 fe兀 Z 信先の組み合わせによる暗号の適否については 1 の喑 号 Z復号処 部 1 0 5 aおよび第 2 の暗 処 部 0 5 bにあら かじめ情報 して登録しておいても いし、 通信を行う都度 , 第 1 の暗 号/復号処 部 1 0 5 aおよび第 2 の暗 処理部 0 5 bが送信 元/ 信先 ソ 3ンに問い合わせ 行つよつ しても良い , 暗号の： 否は、 例え 送信元のパソコンと 先のパ ン K 暗号ソフ 卜が; 入されてい か否か 运 1目兀 /送信先の関係で ソフ に る暗 化 を ί うか否かなどの条件に応じて設定することが可能である
拠点 Βネッ 卜ヮ ク 1 0 0 Bの L A Nには、 暗号化 Z復号化に する
、
種々の情報設定を行うためのマネー ャ 末 1 1 0が接続されて る。 のマネ ジャ顺术 1 1 0は 、 拠点 Bネッ 卜ヮ ―ク 1 0 0 Bの各 ソコ ン 1 0 1 Β―, , 1 0 1 B 2， · · ' が備える暗号ソフ トに対して、 暗号通 信に関する種々の情報、 例えば、 暗号/復号処理の有無、 ある端末こめ る端末との間ではパケッ トを破棄するなどといった通信の可否、 暗号化 のレベル、 暗号化を行う時間帯、 暗 ポ U シ 、 喑号鍵などの情報をダ ゥンロー して設定する。
なお、 図不はしていないが、 拠点 Aネッ 卜 •7一ク 1 0 0 Aの L A Nに もマネーンャ卿末が接続されている の図示しないマネ一ジャ端末は
、 拠点 Aネッ 卜ワーク 1 0 0 Aの各 ソコン 1 0 1 A 1 0 1 A
. . が備える暗号ソフ 卜に対して、 暗号通信に関する種々の情報を設定 する。 拠占 Aネッ トワーク 1 0 0 A内の図示しないマネーンャ端末と、 拠点 Bネッ 卜ヮーク 1 0 0 B内のマネ一ンャ 末 1 1 0 は、 互いにデ一 夕通信をして必要な情報の設定を行う
また、 マネージャ端末 1 1 0は、 セキュ Uティゲ ―卜ウェイ装置 1 0
5 に対して暗号通信に関する種々の情報をダゥン ―ドして設定する処 理も行う セキユ リティゲー トゥェィ装 1 0 5では、 あるパソコンに 向けて送られたデータの暗号化をその途中で 旦解除してしまう仕組み なので、 そのことを許す暗号ポリ シ ―や暗号鍵などを情報として設定し ておく必要があ •a また、 送 lb元ノ送信先の組み合わせによる暗号の適 否を第 1 の暗号 /復号処理部 1 0 5 a よび第 2 の暗号 /復号処理部 1
0 5 bにめらかじめ設定しておく場 □には 、 その処理もこのマネージャ 端末 1 1 0が行う 。
次に、 上記のよう に構成した V P Nネッ フ一クにおけるデータ通信 の動作に Όいて説明する。 第 1 の例として 、 拠占 Aネッ 卜ワーク 1 0 0
Aのパソ ン 1 0 1 A から拠.点 Bネッ 卜 7 ク 1 0 0 Bのパソコン 1
0 1 8 -,に対して、 データを暗号化して送信する場合について考える。 この場合、 まず、 パソコン 1 0 1 A の暗号ソフ トによって送信対象 のデータが暗号化され、 V P Nルータ 1 0 2 Aに送られる。 そして、 V P Nルータ 1 0 2 Aによって更に暗号化が施され、 二重に暗号化された データが V P N トンネル 2 0 0 aに送信される。 V P N トンネル 2 0 0 aを介して拠点 Bネッ トワーク 1 0 0 Bにデ一夕が送られると、 フアイ ァウォール 1 0 3 によって不正侵入の検知が行われ、 ここを通過したデ 一夕は V P Nルータ 1 0 2 Bに転送される。
V P Nルータ 1 0 2 Bでは、 V P Nルータ 1 0 2 Aによって施された
V P Nの喑号が復号化され、 当該復号化済みのデータがセキュリティゲ 一トウエイ装置 1 0 5に転送される。 セキュリティゲートウェイ装置 1 0 5 の第 1 の暗号/復号処理部 1 0 5 aでは、 V P Nルータ 1 0 2 Bよ り入力されたデータが暗号化されているか否かを判定する。 ここでは、
V P Nルータ 1 0 2 Bによって V P Nの暗号は解かれているが、 ノ \°ソコ ン 1 0 1 A の暗号ソフ トによ り施された拠点内部の暗号がまだ存在す るので、 暗号化されていると判断する。 この場合、 第 1 の暗号 Z復号処 理部 1 0 5 aは、 その暗号を復号化により解除して、 データを平文にし てフィルタ処理部 1 0 4に供給する。
フィル夕処理部 1 0 4では、 平文となったデータの内容を見てウィル スの検出や不要コンテンツの検出を行い、 必要であればデータ破棄など の処理を実行する。 このフィルタ処理部 1 0 4を通過したデ一夕は、 セ キユリティゲー トウェイ装置 1 0 5の第 2の暗号/復号処理部 1 0 5 b に送られる。 第 2の暗号/復号処理部 1 0 5 bでは、 データ送信先のパ ソコン 1 0 1 B に暗号ソフ トが導入されているか否かを判定する。 こ こでは、 ノ°ソコン 1 0 1 B には暗号ソフ トが導入されていると判断し 、 フィルタ処理部 1 0 4より出力されたデータを暗号化してパソコン 1 0 1 B に転送する。
以上の動作によれば、 パソコン 1 0 1 A の暗号ソフ トによってデ一 夕を暗号化して送信することにより、 拠点 Aネッ トワーク 1 0 O Aの内 部で暗号を利用してデータを情報漏洩等から保護することができる。 ま た、 イ ンタ一ネッ ト 2 0 0上では V P Nルー夕 1 0 2 A, 1 0 2 Bを利 用して V P N 卜ンネル 2 0 0 a を構築し、 更に V P Nの暗号をかけるの で、 イ ン夕一ネッ 卜 2 0 0上でもデータを安全に送信することができる
。 さ らに 、 拠点 Bネッ 卜ヮ ―ク 1 0 0 Bの内部では 、 セキユリティゲ一 卜ウェイ装置 1 0 5の第 2の暗号 復号処理部 1 0 5 bによってデータ を暗号化してハ。ソコン 1 0 1 B一,に送るので 、 拠点 Bネッ 卜ワーク 1 0
0 Bの内部でも暗号を利用してデータを情報漏洩等から保護することが できる。
このよ Όに E n d - t — E n dで拠点 A , Bの内部でも喑号を利用 したデー夕通信を行いつつも、 セキュリティゲートウェイ装置 1 0 5 の 第 1 の暗号 /復号処理部 1 0 5 aによって暗号を一時的に解いて平文と したデ一夕をフィルタ処理部 1 0 4に供給するので、 アンチウィルスや コンテンヅフィル夕などのフィルタ処理も有効に行う ことができる。 こ れにより 、 丁一夕の暗号化による情報漏洩等の防止と、 フィルタ処理に よるウイルス感染ゃ不要コンテンツ受信の防止とを確実に両立したセキ ユアなネッ 卜 7一ク環境を構築することができる。 図には示していない が、 拠点内部に無線ネッ トワークが構築されているような環境において も、 無線ネソ 卜ワークを安心して使用することができる。
次に、 第 2の動作例を説明する。 第 2の動作例では、 拠点 A , Bの外 部にある V P Nクライアント 3 0 0から拠点 Bネッ トワーク 1 0 0 Bの パソコン 1 0 1 B に対してデータを送信する場合について考える。
この場 、 まず、 V P Nクライアン 卜 3 0 0の V P Nソフ トによって 送信対象のテ ―夕が暗号化され、 V P N トンネル 2 0 0 aに送信される
。 V P N 卜ンネル 2 0 0 aを介して拠点 Bネッ トワーク 1 0 0 Bにデー 夕が送られると 、 フアイァウォール 1 0 3 によって不正侵入の検知が行 われ、 こしを通過したデ —夕は V P Nルータ 1 0 2 Bに転送される。
V P Nル ―夕 1 0 2 Bでは、 V P Nクライアント 3 0 0 によって施さ れた V P Nの暗号が復号化され、 当該復号化済みのデータがセキユリテ ィゲートウエイ装置 1 0 5 に転送される。 セキュリティゲートウェイ装 置 1 0 5の第 1 の暗号 /復号処理部 1 0 5 aでは、 V P Nル一タ 1 0 2
Bより入力されたデ一夕が暗号化されているか否かを判定する。 ここで は 、 全ての暗号が解かれているので、 暗号化されていないと判断する。 の場合、 第 1 の暗号 /復号処理部 1 0 5 aは、 入力されたデータをそ のままフィルタ処理部 1 0 4に供給する。
フィルタ処理部 1 0 4では、 平文となったデータの内容を見てウィル スの検出や不要コンテンッの検出を行い、 必要であればデータ破棄など の処理を実行する。 このフィルタ処理部 1 0 4を通過したデータは、 セ キュリティゲートゥェィ装置 1 0 5の第 2の暗号/復号処理部 1 0 5 b に送られる。 第 2 の暗号 /復号処理部 1 0 5 bでは、 データ送信先のパ ソコン 1 0 1 B に暗号ソフ トが導入されているか否かを判定する。 こ では 、 パソコン 1 0 1 B には暗号ソフ 卜が導入されていないと判断 し 、 フィルタ処理部 1 0 4より出力されたデータを暗号化せずにバソコ ン 1 0 1 B -nに転送する
以上の動作によれば V P Nクライアン ト 3 0 0やパソコン 1 0 I B—„ には拠点内部用の暗号ソフ トが導入されていないので、 V P N トンネル
2 0 0 aを用いたリモ アクセス型の暗号通信を利用するだけである しかし、 セキユ リティゲ トウエイ装置 1 0 5の第 1 の暗号 Z復号処 理部 1 0 5 aは、 デ一タが暗号化されていなければ復号化せずにそのま まフィル夕処理部 1 0 4に供給する仕組みを持っているので、 アンチウ ルスやコンテンツフィル夕などのフィルタ処理も有効に行う ことがで さる。 つまり、 暗号ソフ を持たない端末間でデータ通信を行う ときで
、 丁一夕の暗号化による情報漏洩等の防止と、 フィルタ処理によるゥ ィルス感染や不要コンテンッ受信の防止とを確実に両立させることがで きる。 この点は、 ウィルスに感染していない正規のデータが必ず暗号化 された状態でなければフィル夕処理を行う ことができない上述の特許文 献 1 , 2 と大きく異なる部分である。
なお、 上述の特許文献 2では、 暗号鍵が盗まれるなどしてウイルスが 正規に暗号化されて送信された場合には当該ウィルスがネッ トヮーク内 に侵入してしまう不都合を考慮して、 マクロの実行時にウィルス検出を 行う例が記載されている。 しかし、 この特許文献 2 に記載の技術によれ ば、 ウィルスは拠点ネッ トワーク内に侵入してしまい、 その後でマクロ を実行するときでなければウィルス検知ができないので、 ウイルス感染 の危険度が高い。 特に、 最近では、 ユーザが明示的にマクロ実行を指示 しなくても 例え 電子メ ルを受信したり W 卜を閲覧したり するだけで白動的 プログラムが起動するヴィ 在する。 したが つて、 本実施形態 よ 5にフィル夕処理部 1 0 ルスゃ不要コン テンッを 全にシ ッ 卜ァゥ 卜して拠占 Bネッ 1 0 0 Bの内部 に侵入で ない にする とにより セキュ 安全性を高いも のとする とがでさる
以上詳し <説明したように 、 本実施形態によれば、 拠点不ッ トヮ一ク の内部でデー夕を暗号通信するか非暗号通信するかによらず、 受信デー 夕の内容に応じてフィルタ処理を行うアンチウィルスやコンテンッフィ ルタなどの機能を有効に働かせることができる。 これ より、 拠点ネッ 卜ヮ ―クの内外を暗号の利用により情報漏洩等から保護しつつも ウイ ルス検出ゃ不要コンテンッ検出などのフィルタ処理を適切に行う とが 可能となる。 また、 拠点ネッ 卜ヮーク内で暗号化を行わずに平文でデー 夕通信を行う必要がある塲合にも、 ウィルス検出や不要コンテンッ検出 などのフィルタ処理を適切に行う ことが可能となる。
なお、 上記実施形態では、 拠点 Bネッ トワーク 1 0 0 Bの内部にのみ フアイァゥォ—ル 1 0 3、 フィルタ処理部 1 0 4、 セキュ Uティゲー ト クエイ 置 1 0 5 を設ける例について説明したが 、 拠点 Aネッ 卜ワーク
1 0 0 Aにも同様の構成を設けても良いことは言うまでもない。
また 、 上記実施形態では、 セキュリティゲ一卜ウェイ装置 1 0 5 は第
1 の暗号 Z復号処理部 1 0 5 aおよび第 2の暗号 /復号処理部 1 0 5 b の機能のみを備える例について説明したが 、 フィルタ処理部 1 0 4の機 能も一体としてセキュリティゲートウェイ装置 1 0 5 を構成するように しても良い。 このようにすれば、 第 1 の喑号 /復号処理部 1 0 5 a とフ ィルタ処理部 1 0 4 との間、 第 2 の暗号/復号処理部 1 0 5 b とフィ ル タ処理部 1 0 4 との間で情報が盗まれて漏洩する危険を抑止することが でさる さ らに、 ファィァウォール 1 0 3の機能をセキュ Uティゲー ト ヴエイ 置 1 0 5 の内部に取り込んでも良い
また 、 上記実施形態では、 インターネッ 卜 2 0 0上に V P N 卜ンネル
2 0 0 aを構築した V P Nネッ 卜ワークの例について説明したが 、 これ に限定されない。 例えば 、 イ ンターネッ ト 2 0 0上を非喑号で行うネッ トワーク （例えば、 拠点ネッ トワーク内のパソコンに暗号ソフ トを導入 して行う E n d— t o— E n d型の喑号通信ネッ 卜ワーク） にも同様に 適用することが可能である。 この場合は、 拠点内の端末間で暗号通信を するか非暗号通信をするかによって、 セキュリティゲー トウエイ装置 1 0 5 の第 1 の暗号/復号処理部 1 0 5 aや第 2の暗号 復号処理部 1 0 5 bにおいて復号処理を行うか否かが決定されることとなる。
また、 上記実施形態では、 V P Nル一タ 1 0 2 Bより も後段側にフィ ルタ処理部 1 0 4 とセキュリティゲー トウェイ装置 1 0 5 とを設ける例 について説明したが、 V P Nルータ 1 0 2 Bより も前段側に設けても良 い。 パソコン内の暗号ソフ トと V P Nルータとで暗号を二重にかけて通 信するネッ トワーク環境において、 フィル夕処理部 1 0 4 とセキユリテ ィゲー トウェイ装
Figure imgf000020_0001
1 0 5 とを V P Nル―夕 1 0 2 Bよ り も前段側に設 ける場合、 セキュ Uティゲ ―卜ウェイ装置 1 0 5 には 、 ノ、 °ソコンでかけ られた暗号と V P Nル一夕でかけられた喑号の双方を復号化するための 機能を持たせる。 また 、 パソ 3 ン内の暗号ソフ 卜か V P Nルータの何れ か一方のみで暗号をかけて通 1§する不ッ ヮ一ク環境の場合は、 セキュ リティゲートゥェィ装置 1 0 5 には、 パソコンでかけられた喑号または
V P Nル一夕でかけられた暗号の何れか一方を復号化するための機能を 持たせる。
また、 上記実施形態では 、 マネ一ジャ端末を拠点 Aネッ トヮ一ク 1 0
0 Aおよび拠点 Bネッ 卜ヮ ―ク 1 0 0 Bのそれぞれに設ける例について 説明したが、 イ ン夕一ネッ 卜 2 0 0上に 1つのマネーンャ 未を設ける ようにしても良い
また、 本実施形態のセキュリティゲ一 ゥェィ装置 1 0 5が持つ第 1 の暗号 Z復号処理部 1 0 5 aおよび第 2 の暗号 Z復号処理部 1 0 5 b の 機能は、 ハー ドゥ Xァ構成 、 D S P、 ソフ 卜ウェアの何れによつても実 現することが可能である。 例えばソフ トゥエアによつて実現する α ヽ 本実施形態のセキュ Uティゲ一 卜ヴエイ装置 1 0 5 は 、 実際には C P U あるいは M P U、 R A M、 R〇 Mなどを備えて構成され、 R A Mや R O
Mに記憶されたプ Pグラムが動作することによって実現できる。
また、 上記実施形 では 、 拠点ネッ トフーク 1 0 0 A , 1 0 0 Bの内 部に存在する端末 1 0 1 A 1 0 1 A _ 1 0 1 B— , 〜 1 0 1 A -nあよ び拠点ネッ トヮーク 1 0 0 A , 1 0 0 Bの外部に存在する V P Nクライ アン ト 3 0 0が全てパソ nンである例に Όいて説明したが、 これらの端 末は必ずしもパソ ンである必要はない
その他、 上記実施形態は、 何れも本発明を実施するにあたっての具体 化の一例を示したものに過ぎず、 これによつて本発明の技術的範囲が限 定的に解釈されてはならないものである。 すなわち、 本発明はその精 、 またはその主要な特徴から逸脱することなく、 様々な形で実施する とができる。 産業上の利用可能性
本発明は、 データの暗号化やフィルタ処理などのセキュリティ に関す る処理を行う構成を含んだ拠点ネッ トワークに設置するゲートウェイ装 置に有用である。

Claims

請 求 の 範 囲
1 . 入力されるデータが暗号化されているか否かを判定し、 暗号化され ている場合にはその入力データを復号してフィルタ処理部に供給し、 暗 号化されていない場合にはその入力データを復号せずに上記フィルタ処 理部に供給する復号処理手段と、
送信元端末および送信先端末のア ドレス情報に基づいて暗号の適否を 判定し、 暗号を適用すべき場合には上記フィルタ処理部より出力された データを暗号化して上記送信先端末に転送し、 暗号を適用すべきでない 場合には上記フィルタ処理部より出力されたデータを暗号化せずに上記 送信先端末に転送する暗号処理手段とを備えたことを特徴とするセキュ リティゲー トウェイ装匱。
PCT/JP2005/000714 2004-03-22 2005-01-14 セキュリティゲートウェイ装置 WO2005091581A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2006511131A JPWO2005091581A1 (ja) 2004-03-22 2005-01-14 セキュリティゲートウェイ装置

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004-081776 2004-03-22
JP2004081776 2004-03-22

Publications (1)

Publication Number Publication Date
WO2005091581A1 true WO2005091581A1 (ja) 2005-09-29

Family

ID=34994062

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/000714 WO2005091581A1 (ja) 2004-03-22 2005-01-14 セキュリティゲートウェイ装置

Country Status (3)

Country Link
JP (1) JPWO2005091581A1 (ja)
TW (1) TW200534657A (ja)
WO (1) WO2005091581A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012085148A (ja) * 2010-10-13 2012-04-26 Nec Corp データ保護システム、ユーザ端末、及びサーバ
JPWO2012173234A1 (ja) * 2011-06-17 2015-02-23 日本電気株式会社 通信制御装置、通信制御方法およびプログラム
JP2020184751A (ja) * 2019-04-26 2020-11-12 株式会社安川電機 通信システム、通信方法、及びプログラム
US11277388B2 (en) 2019-04-26 2022-03-15 Kabushiki Kaisha Yaskawa Denki Communication system, communication method, and information storage medium

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001518724A (ja) * 1997-07-24 2001-10-16 ワールドトーク・コーポレイション 格納された鍵による暗号化／暗号解読を用いた電子メール用ファイアウォール

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001518724A (ja) * 1997-07-24 2001-10-16 ワールドトーク・コーポレイション 格納された鍵による暗号化／暗号解読を用いた電子メール用ファイアウォール

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2012085148A (ja) * 2010-10-13 2012-04-26 Nec Corp データ保護システム、ユーザ端末、及びサーバ
JPWO2012173234A1 (ja) * 2011-06-17 2015-02-23 日本電気株式会社 通信制御装置、通信制御方法およびプログラム
JP2020184751A (ja) * 2019-04-26 2020-11-12 株式会社安川電機 通信システム、通信方法、及びプログラム
US11277388B2 (en) 2019-04-26 2022-03-15 Kabushiki Kaisha Yaskawa Denki Communication system, communication method, and information storage medium

Also Published As

Publication number Publication date
TW200534657A (en) 2005-10-16
JPWO2005091581A1 (ja) 2008-02-07

Similar Documents

Publication Publication Date Title
Ylonen et al. The secure shell (SSH) protocol architecture
Venter et al. A taxonomy for information security technologies
JP4459703B2 (ja) キーボードまたは関連デバイスとの機密保護機能のある通信
KR200425873Y1 (ko) 유해정보 탐지 및 방지 기능을 구비한 가상사설망 장치
US8843750B1 (en) Monitoring content transmitted through secured communication channels
CN109428867B (zh) 一种报文加解密方法、网路设备及系统
Iqbal et al. Security issues in software defined networking (SDN): risks, challenges and potential solutions
US20100195825A1 (en) Keystroke encryption system
JPH09214556A (ja) パケット転送方法、パケット処理装置、パケット暗号化方法、パケット復号化方法及びパケット暗号処理方法
Bulbul et al. Wireless network security: comparison of wep (wired equivalent privacy) mechanism, wpa (wi-fi protected access) and rsn (robust security network) security protocols
Ylonen RFC 4251: The secure shell (SSH) protocol architecture
Igoe et al. AES Galois counter mode for the secure shell transport layer protocol
JP2001203761A (ja) 中継装置、および同装置を備えたネットワークシステム
WO2005091581A1 (ja) セキュリティゲートウェイ装置
JPH10164049A (ja) データ送信方法、データ送信装置、プログラム記録伝送媒体、データ受信方法、データ受信装置、データ送受信方法及びデータ送受信装置
Sridevi A survey on network security
Navaz et al. Security Aspects of Mobile IP
KR101784240B1 (ko) 넌어드레스 네트워크 장비를 이용한 통신 보안 시스템 및 방법
US20080059788A1 (en) Secure electronic communications pathway
KR101628094B1 (ko) 보안 장비 및 그것의 접근 허용 방법
Mohamed et al. Introduction to Cyber Security
Ganapathy Virtual Dispersive Network in the Prevention of Third Party Interception: A Way of Dealing with Cyber Threat
JP4757088B2 (ja) 中継装置
Sadiku et al. Network Security
Kotzanikolaou et al. Computer network security: Basic background and current issues

Legal Events

Date Code Title Description
AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2006511131

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

WWW Wipo information: withdrawn in national office

Country of ref document: DE

122 Ep: pct application non-entry in european phase