WO2017030186A1 - セキュリティシステム、通信制御方法 - Google Patents

セキュリティシステム、通信制御方法 Download PDF

Info

Publication number
WO2017030186A1
WO2017030186A1 PCT/JP2016/074219 JP2016074219W WO2017030186A1 WO 2017030186 A1 WO2017030186 A1 WO 2017030186A1 JP 2016074219 W JP2016074219 W JP 2016074219W WO 2017030186 A1 WO2017030186 A1 WO 2017030186A1
Authority
WO
WIPO (PCT)
Prior art keywords
gateway device
communication
specific protocol
network
transmission data
Prior art date
Application number
PCT/JP2016/074219
Other languages
English (en)
French (fr)
Inventor
博康 石垣
リサ バッチスミス
Original Assignee
三菱日立パワーシステムズ株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 三菱日立パワーシステムズ株式会社 filed Critical 三菱日立パワーシステムズ株式会社
Priority to JP2017535570A priority Critical patent/JP6518771B2/ja
Priority to EP16837175.5A priority patent/EP3288223A4/en
Priority to CN201680043867.2A priority patent/CN107852359B/zh
Priority to KR1020177036961A priority patent/KR102075228B1/ko
Publication of WO2017030186A1 publication Critical patent/WO2017030186A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies

Definitions

  • the present disclosure relates to a security system and a communication control method for mutually connecting an internal network and an external network and protecting the internal network.
  • remote monitoring and remote control via the Internet are realized by connecting the control network (control system network) of critical infrastructure (power generation, chemicals, water, oil, gas, etc.) to the Internet. .
  • critical infrastructure power generation, chemicals, water, oil, gas, etc.
  • services such as remote monitoring and remote operation of the control network are realized relatively easily and inexpensively based on IP communication.
  • IP communication In order to expand such a service business, it is important to connect the control network to the Internet or the cloud.
  • the demand for cyber security for such important infrastructure (industrial assets) is becoming increasingly severe.
  • NERC North American Electric has set cyber security standards for power systems such as power plants.
  • CIP Cosmetic Infrastructure Protection
  • security standards to be implemented in executing critical infrastructure business are defined. For this reason, there is an urgent need for the development of infrastructure and systems that realize both the provision of services via the Internet and the protection of control networks from cyber attacks at low cost.
  • a firewall is widely known as a technique for protecting an internal network such as a control network from a cyber attack (for example, Patent Documents 1 and 2).
  • a firewall protects the internal network from cyber attacks by being installed at the boundary between the internal network to be protected and an external network such as the Internet.
  • a local network internal network
  • the Internet are connected via a firewall. Communication that is input from the Internet side to the local network side is absolutely rejected by the firewall.
  • the port of the firewall is dynamically opened and communication is permitted. In this way, communication between the internal network and the external network is made possible while protecting the internal network from external attacks.
  • routers are installed between the Internet and a public subnet, and between a public subnet and a private internal subnet, and packets passing through these routers are filtered.
  • a router installed between a public subnet and a private internal subnet connects computers in the public subnet and computers in the private internal subnet to each other by IEEE1394.
  • the router filters packets according to the IEEE 1394 transmission source ID and whether the packet is necessary for remote control based on frame buffer transfer between a computer in the public subnet and a computer in the private internal subnet.
  • the computer in the private internal subnet receives data by polling the computer in the public subnet with a read transaction at regular intervals, and transmits the data by a write transaction.
  • a data diode in which data is only allowed to flow in one direction on the gateway communication path.
  • This data diode completely prevents the flow of data in the opposite direction to the permitted direction, thereby making it possible to prevent cyber attacks such as virus attacks and hacking from the outside.
  • computers are connected by such data diodes, and the computers are connected by another general-purpose communication path. By confirming the delivery of transmission data sent via the data diode via another general-purpose communication path, the security of data transmission is ensured while ensuring the reliability of data transmission. .
  • Patent Documents 1 and 3 communication end devices are connected by a general technique based on TCP / UDP / IP communication. For this reason, it is logically difficult to completely avoid the influence on the control network when there is some vulnerability in the operating system or the communication device.
  • Patent Document 2 communication between an external computer on the Internet side and a computer in a private internal subnet is performed by connecting a computer in a private internal subnet and a computer in the public subnet through IEEE1394. Terminated by the calculator.
  • At least one embodiment of the present invention is a security system that enables two-way communication between an internal network and an external network while firmly protecting an internal network such as a control network from cyber attacks.
  • An object of the present invention is to provide a communication control method.
  • a security system includes: A first gateway device configured to be connected to an external network; A second gateway device connected to an internal network and configured to be connected to the first gateway device; A bidirectional communication line for connecting the first gateway device and the second gateway device so that bidirectional communication is possible,
  • the first gateway device includes a first proxy unit configured to process a specific protocol that is a protocol of a specific application layer,
  • the second gateway device includes a second proxy unit configured to process the specific protocol;
  • the inbound transmission data is configured not to be transmitted to the second gateway device.
  • the second proxy unit receives communication information of the specific protocol from the first proxy unit via the bidirectional communication line, the second proxy unit determines a communication destination address in the internal network from the communication information of the specific protocol. The communication information of the specific protocol is transmitted to the destination address.
  • inbound communication from the external network to the internal network is transmitted (relayed) from the first gateway device to the second gateway device when the communication is for communication information of a specific protocol.
  • the first gateway device receives the communication information of the specific protocol carried by the inbound transmission data at the first proxy unit, and transmits (relays) the information to the second gateway device. That is, the communication information of this specific protocol is communication data generated by the transmitting end device in order to exchange messages (such as control commands) with the receiving end device. Further, the first gateway device terminates the network layer protocol (for example, IP) of the external network, and then retransmits communication information of the specific protocol toward the internal network.
  • IP network layer protocol
  • the transmission end device of the external network and the reception end device of the internal network are logically divided, and the communication subject capable of relaying the logically divided network is designated as a specific protocol.
  • the communication subject capable of relaying the logically divided network is designated as a specific protocol.
  • the second proxy unit of the second gateway device acquires the destination address (for example, the destination IP address) of the receiving end device of the internal network based on the communication information of the specific protocol received from the first gateway device.
  • communication information of a specific protocol can be transmitted to the receiving end device.
  • the communication other than the specific protocol cannot acquire the destination address of the receiving end device, and is not transmitted (relayed) to the receiving end device of the internal network.
  • protection of the internal network can be strengthened by the second gateway device.
  • the security system protects the internal network with the two-stage structure of the first gateway device and the second gateway device, and the internal network can be strongly protected by the security system.
  • communication control by the first gateway device (first proxy unit) and the second gateway device (second proxy unit) is performed by communication processing (IP packetization or a specific communication interface) of the transmitting end device and the receiving end device. Adopting etc.) can be established, and a secure (safe) and highly flexible communication path can be constructed.
  • a unidirectional communication line that connects the first gateway device and the second gateway device so that unidirectional communication from the second gateway device toward the first gateway device is possible;
  • the second gateway device receives out-band transmission data from the internal network to the external network, the out-band transmission data does not pass through the bidirectional communication line but passes through the one-way communication line.
  • the outbound communication is configured to always pass through the one-way communication line.
  • the unidirectional communication line like a data diode, reliably blocks attacks and unauthorized intrusions from the external network, while transmitting from the transmitting end device on the internal network to the receiving end device (destination) on the external network. You can send driving information.
  • the one-way communication line is an optical fiber cable that connects a transmission physical port of the second gateway device and a reception physical port of the first gateway device. According to the configuration of (3) above, the one-way communication line from the second gateway device to the first gateway device can be easily mounted. Further, since communication is performed using an optical fiber cable, a large amount of data can be transmitted at high speed. For example, when the internal network is a control network, operation information such as a plant is sent to the outside of the internal network. In such a case, high-speed communication can be performed.
  • the bidirectional communication line is configured to perform communication using a protocol that cannot be routed.
  • the first gateway device and the second gateway device are connected by a non-routable protocol such as serial communication. That is, inbound communication from the external network is once converted into serial communication. For this reason, when the internal network and the external network are IP networks, inbound communication from the external network is not directly routed to the internal network via the security system 1, and a secure communication path can be constructed. it can.
  • the external network and the internal network are IP networks.
  • an IP network is formed by the internal network and the external network, and this IP network is logically separated by the first gateway device and the second gateway device. For this reason, IP communication from an external network such as the Internet is blocked from the internal network except for communications of a specific protocol, and the internal network can be protected from cyber attacks from the Internet based on IP.
  • the first gateway device identifies communication information of the specific protocol by a port number.
  • communication of a specific protocol can be easily identified by the UDP or TCP port number.
  • the second gateway device uses the one-way communication line to transmit the outbound transmission data to the first gateway device. Send to.
  • UDP / IP is connectionless communication, and data can be sent without confirmation of delivery from the destination device of the external network. Therefore, one-way communication using the one-way communication line can be easily performed from the transmission source device of the internal network to the destination device of the external network.
  • the specific protocol is a proprietary protocol that is not standardized.
  • only the first gateway device and the second gateway device which are devices capable of interpreting the specific protocol that is the unique protocol, transmit the transmission data of the unique protocol (specific protocol) received from the external network. It is configured to be able to relay to the destination of the internal network. Therefore, standard application layer protocol transmission data cannot be sent from the external network to the internal network, and the defense against cyber attacks can be enhanced.
  • the bidirectional communication line is serial communication including RS-232C.
  • transmission / reception of communication information of a specific protocol between the first gateway device and the second gateway device can be performed by a simple method using a standard interface.
  • the internal network is a control network
  • communication data such as a control request for a control network communicated from a remote PC (transmitting end device) connected to the external network side has a small capacity. It is also possible to provide an appropriate communication speed for such communication.
  • the first gateway device is connected to the external network via a first firewall;
  • the second gateway device is connected to the internal network via a second firewall.
  • the first firewall and the second firewall can block a cyber attack from the external network to the internal network while permitting predetermined communication defined in advance. It can protect more firmly.
  • the processing load on the first gateway device and the second gateway device can be reduced.
  • a communication control method includes: A first gateway device configured to be connected to an external network; A second gateway device connected to an internal network and configured to be connected to the first gateway device; A communication control method executed by a security system comprising: a bidirectional communication line that interconnects the first gateway device and the second gateway device, An inbound data receiving step in which the first gateway device receives inbound transmission data from the external network to the internal network; The first gateway device confirms an application layer protocol of the inbound transmission data. When the application layer protocol is a specific protocol, the inbound transmission data is sent to the second gateway device in the bidirectional direction.
  • a first inbound communication processing step configured to transmit using a communication line and not to transmit the inbound transmission data to the second gateway device in a case other than the communication information of the specific protocol;
  • the inbound transmission data received by the second gateway device from the first gateway device is communication information of the specific protocol, a destination address of communication in the internal network based on the information of the specific protocol
  • a second inbound communication processing step of transmitting the inbound transmission data to the destination address.
  • the security system further includes a one-way communication line that connects the first gateway device and the second gateway device so that one-way communication from the second gateway device to the first gateway device is possible,
  • the second gateway device receives out-band transmission data from the internal network to the external network, the out-band transmission data does not pass through the bidirectional communication line but passes through the one-way communication line.
  • the same effect as in (2) can be obtained.
  • the one-way communication line is an optical fiber cable that connects a transmission physical port of the second gateway device and a reception physical port of the first gateway device. According to the configuration of (13), the same effect as in (3) can be obtained.
  • the bidirectional communication line is configured to perform communication using a protocol that cannot be routed. According to the configuration of (14), the same effect as in (4) can be obtained.
  • the external network and the internal network are IP networks. According to the configuration of (15), the same effect as in (5) can be obtained.
  • the first gateway device identifies communication information of the specific protocol by a port number. According to the configuration of (16), the same effect as in (6) can be obtained.
  • outbound communication processing step when the outbound transmission data received from the internal network is UDP / IP communication, outbound communication filtering that permits transmission of the outbound transmission data using the one-way communication line is performed. Has steps. According to the configuration of the above (17), the same effect as the above (7) can be obtained.
  • the specific protocol is a proprietary protocol that is not standardized. According to the configuration of (18), the same effect as in (8) can be obtained.
  • the bidirectional communication line is serial communication including RS-232C. According to the configuration of (19), the same effect as in (9) can be obtained.
  • the first gateway device is connected to the external network via a first firewall;
  • the second gateway device is connected to the internal network via a second firewall. According to the configuration of (20), the same effect as in (10) can be obtained.
  • a security system and a communication control method that enable bidirectional communication between an internal network and an external network while firmly protecting an internal network such as a control network from cyber attacks. Provided.
  • FIG. 1 is a diagram schematically showing a configuration of an entire network including a security system according to an embodiment of the present invention. It is a figure showing roughly the composition of the security system concerning one embodiment of the present invention. It is a figure which shows the protocol stack of the in-band communication transmitted through the network which concerns on one Embodiment of this invention. It is a figure which shows the protocol stack of the out-band communication transmitted through the network which concerns on one Embodiment of this invention. It is a figure which shows the communication control flow of the in-band communication of the security system which concerns on one Embodiment of this invention. It is a figure which shows the communication control flow of the out-band communication of the security system which concerns on one Embodiment of this invention.
  • FIG. 1 is a diagram schematically showing a configuration of an entire network including a security system 1 according to an embodiment of the present invention.
  • FIG. 2 is a diagram schematically showing the configuration of the security system 1 according to an embodiment of the present invention.
  • This security system 1 enables end-to-end (E2E) communication between a communication device on an internal network and a communication device on an external network, while protecting the internal network from cyber attacks via the external network ( Device).
  • the internal network is a control network 6 such as a power plant
  • the external network is the Internet 5 and the like, and services such as remote monitoring and remote control of communication devices of the internal network via the external network are provided.
  • the security system 1 blocks the unauthorized unauthorized communication such as a cyber attack while permitting necessary communication related to the above service at the entrance (boundary) of the internal network.
  • the security system 1 includes a first gateway device 2 and a second gateway device 3, which are devices for connecting different networks, as shown in FIGS.
  • the two-way communication line 41 and the one-way communication line 42 which mutually connect the 1 gateway apparatus 2 and the 2nd gateway apparatus are provided.
  • the first gateway device 2 is configured to be connected to an external network
  • the second gateway device 3 is configured to be connected to an internal network to be protected.
  • the internal network is a network protected by the security system 1
  • the external network is another network outside the internal network that is communicably connected to the internal network to be protected.
  • the internal network is a control network 6 as described below
  • the external network is the Internet 5 or a base network 7 (described later).
  • the control network 6 is a local area network (LAN) constructed by Ethernet (registered trademark) in FIGS.
  • the control network 6 is a power plant control network.
  • the control network 6 is a process station (MPS) serving as a controller for controlling the plant and an apparatus for controlling on-site manufacturing equipment.
  • a controller 63 such as a CPU module (CPS) that is a local controller for performing input / output and various arithmetic processing, and a terminal that collects and stores data from the controller 63 and serves as an interface with the outside
  • An accessory station 64 (ACS64), an operator station 65 (OPS65) serving as a monitoring / operating device such as the control device 63 are connected.
  • Different private IP addresses are assigned to these devices (the control device 63, ACS 64, OPS 65, etc.) and the second gateway device 3, respectively, and IP communication on the LAN is possible.
  • the base network 7 is a network connected to the Internet 5 via the firewall 74 in FIGS. 1 and 2, and constitutes a part of the external network together with the Internet 5.
  • the base network 7 includes an operator station 72 (OPS 72) serving as a device for monitoring and operating the control device 63, various devices such as a remote monitoring server and a tablet terminal (hereinafter referred to as a remote PC as appropriate). It is a connected internal network.
  • the base network 7 is also a local area network (LAN) constructed with Ethernet (registered trademark), and by assigning different private IP addresses to each device (such as a remote PC) connected to the base network 7, IP communication on the LAN is possible.
  • LAN local area network
  • the control network 6 (internal network) and the base network 7 are connected via a VPN (Virtual Private Network) built on the Internet 5.
  • a VPN device 75 (for example, a VPN-compatible router) inside the firewall 74 of the base network 7 and a VPN inside the first firewall 14 a installed at the boundary between the first gateway device 2 and the Internet 5.
  • a VPN is constructed with the device 15, and a virtual tunnel (VPN tunnel 55) is constructed on the Internet 5.
  • the E2E communication is performed between the control device 63 of the control network 6 and the remote PC through the VPN connection described above and the connection between the first gateway device 2 and the second gateway device 3 described below.
  • remote monitoring, remote control, and the like of the control device 63 connected to the control network 6 are performed using various devices such as the OPS 72 connected to the base network 7 as remote PCs.
  • the connection between the first gateway device 2 and the second gateway device 3 is performed by two communication lines 4, which are a bidirectional communication line 41 and a unidirectional communication line 42 described below.
  • the bidirectional communication line 41 is a communication line 4 that connects the first gateway device 2 and the second gateway device 3 so that bidirectional communication is possible.
  • the bidirectional communication line 41 is a communication line 4 in which serial communication such as RS232C is performed, and the first gateway device 2 and the second gateway device 3 are bidirectional communication lines. 41 to connect one to one.
  • the destination of communication via the bidirectional communication line 41 is the directly connected counterpart device, and the communication data sent from the first gateway device 2 via the bidirectional communication line 41 is the second gateway device 3. It is not automatically transferred to other devices.
  • communication data sent from the second gateway device 3 via the bidirectional communication line 41 is not automatically transferred to devices other than the first gateway device 2.
  • the communication via the bidirectional communication line 41 is configured to be performed by a protocol that cannot be routed (protocol that cannot be routed).
  • protocol that cannot be routed protocol that cannot be routed
  • the external communication interface (external communication IF 23d) of the first gateway device 2 and the external communication IF 33d of the second gateway device 3 are connected by an RS232C cable.
  • the bi-directional communication line 41 is a line mainly for transmitting a control command (communication information of a specific protocol described later) and the like from the remote PC (OPS 72) to the control device 63 of the control network 6.
  • the communication amount of such a control command is relatively small, and it is possible to provide an appropriate communication speed while providing a restriction based on the communication amount by using a relatively low-speed communication line 4 such as RS232C.
  • communication via the bidirectional communication line 41 is controlled by the first proxy unit 21 of the first gateway device 2 and the second proxy unit 31 of the second gateway device 3, thereby controlling the communication.
  • the network 6 (internal network) is protected.
  • the one-way communication line 42 allows the first gateway device 2 and the second gateway device 3 to be one-way from the second gateway device 3 to the first gateway device 2. It is the communication line 4 connected so that communication is possible.
  • the one-way communication line 42 connects, for example, a transmission physical port of the external communication IF 33s (for example, NIC: Network Interface Card) included in the second gateway device 3 and a reception physical port of the external communication IF 23s included in the first gateway device 2.
  • one-way communication may be realized by not connecting the transmission physical port of the external communication IF 23s of the first gateway device 2 and the reception physical port of the external communication IF 33s of the second gateway device 3. Specifically, in FIGS.
  • the one-way communication line 42 is connected to the transmission physical port (Tx port) of the external communication IF 33 d of the second gateway device 3 and the first gateway device 2.
  • the reception physical port (Rx port) of the external communication IF 23d is connected by an optical fiber cable, and the transmission physical port (Tx port) of the external communication IF 23d of the first gateway device 2 and the reception physical of the external communication IF 33d of the second gateway device 3 are connected.
  • the port (Rx port) is formed by not connecting with an optical fiber cable or the like. In this way, the communication line 4 for one-way communication is configured by physically forming the one-way communication line 4.
  • the one-way communication line 42 is mainly a communication line 4 for sending a large amount of data such as plant operation data from the inside of the control network 6 to a remote PC such as an external OPS 72 or various servers.
  • a remote PC such as an external OPS 72 or various servers.
  • the communication from the external network is configured so as not to reach the control network 6 via the one-way communication line 42, thereby protecting the control network 6 (internal network).
  • the first gateway device 2 and the second gateway device 3 control communication via the communication line 4 (two-way communication line 41 and one-way communication line 42) connecting the two devices.
  • the internal network is protected.
  • the first gateway device 2 includes a first proxy unit 21 configured to process a specific protocol that is a specific application layer protocol, and the second gateway device 3.
  • Has a second proxy unit 31 configured to process this specific protocol.
  • the first proxy unit 21 and the second proxy unit 31 perform transmission processing and reception processing (described later) on communication data via the bidirectional communication line 41 and the one-way communication line 42 as described below.
  • the communication control of the communication that is going to pass is performed by performing the transmission / reception process.
  • the specific protocol is a protocol for exchanging information between the communication device (control device 63, ACS 64, etc.) of the control network 6 and the communication device (remote PC) of the external network.
  • communication information of a specific protocol is E2E communication data exchanged between a receiving end device such as the control device 63 and a transmitting end device such as a remote PC (message format control command, monitoring data request, etc.). And generated by the transmitting end device.
  • the remote PC for example, OPS 72
  • the control device 63 of the control network 6 and the ACS 64 have a dedicated application (for example, generation, interpretation, and execution of control commands) of the communication information of the specific protocol (for example, generation, interpretation, execution, etc.).
  • the dedicated application process operates on the OS (Operating System) of each device, and performs inter-process communication between devices using a specific protocol, so that the content of the communication information of the specific protocol is met. Control (for example, setting change of the control device 63) is performed.
  • OS Operating System
  • Control for example, setting change of the control device 63
  • the communication information of a specific protocol has a specific protocol format. For example, you may have a header part (control part) and a data part. Further, this format may include destination address information for identifying the receiving end device (destination), and is used by at least the second proxy unit 31 as described later. Then, when the socket API is called by the dedicated program of the transmitting end device, a UDP / IP packet including communication information of a specific protocol is generated and transmitted on the network. At this time, communication information of a specific protocol may be compressed and encrypted by a dedicated program, and such communication data is converted into an IP packet, thereby improving the resistance to wiretapping and alteration of the data.
  • communication transmitted from the dedicated program of the transmitting end device is monitored by the dedicated program of the receiving end device, so that messages are exchanged through decompression and decoding of the communication data.
  • the dedicated program may perform communication by generating a TCP / IP packet.
  • the specific protocol is an original protocol that is not standardized, and its specification is not open to the public. That is, only the first gateway device 2 and the second gateway device 3 that are devices capable of interpreting a specific protocol that is a unique protocol direct transmission data of the unique protocol (specific protocol) received from the external network to the destination of the internal network. So that transmission (relay) is possible. Therefore, standard application layer protocol transmission data cannot be sent from the external network to the internal network, and the defense against cyber attacks can be enhanced.
  • the first proxy unit 21 and the second proxy unit 31 process communication information of such a specific protocol (proprietary protocol).
  • These proxy units are processes of application software operating on the OS of the platform of the first gateway device 2 and the second gateway device 3, as shown in FIG. Or a thread. That is, the first gateway device 2 and the second gateway device 3 include a processor (CPU) and a memory.
  • a program software that functions as a proxy unit operates while utilizing functions of a platform such as an OS by being expanded (loaded) in the main memory.
  • the proxy unit is configured to process a specific protocol by executing a program instruction using a processor.
  • the proxy unit is configured to perform communication with the outside of the apparatus by using a communication function (OS, external communication IF, etc.) of the platform by executing a program instruction using a processor.
  • OS communication function
  • IF external communication IF
  • the proxy unit may operate on various platforms such as a DOS system, a Unix system, a Linux (registered trademark) system, and a Windows system.
  • the first gateway device 2 or the second gateway device 3 transmits the transmission data.
  • the proxy unit (the first proxy unit 21 or the second proxy unit 31) monitors reception of communication data to be processed, and the received transmission data is transmitted to the communication processing unit of the gateway device platform. It is received by the proxy unit through processing by the OS (external communication IF (23, 33), etc.). At this time, the proxy unit may be configured to receive only communication information of a specific protocol to be processed.
  • the proxy unit receives communication data of all transmission data received by the gateway device, identifies communication information of a specific protocol, and continuously executes transmission / reception processing (described later) for the target one. For other communication data, the processing may be terminated (for example, discarded).
  • Whether or not the communication data is communication information of a specific protocol may be determined based on a port number (UDP port number or TCP port number) included in the IP packet. In the embodiment of FIGS. 1 and 2, this determination is made by the port number. According to this configuration, communication of a specific protocol can be easily identified by the port number. In this way, the proxy unit acquires communication information of a specific protocol. When communication information of a specific protocol is divided into a plurality of IP packets and transmitted on the network (internal network or external network), the specific protocol is obtained by receiving and assembling all the divided IP packets. Is acquired by the proxy unit.
  • a port number UDP port number or TCP port number
  • FIGS. 1 and 2 correspond to FIGS. 1 and 2, and an end-point between a remote PC (for example, OPS 72 or server) and the control device 63 (FIG. 3) or ACS 64 (FIG. 4) of the control network 6 is shown.
  • a remote PC for example, OPS 72 or server
  • the control device 63 FIG. 3
  • ACS 64 FIG. 4
  • a case where two-end (E2E) communication is performed is described as an example.
  • inbound communication is communication in the direction from the external network to the internal network.
  • outbound communication is communication in a direction from the internal network to the external network.
  • Each end device can know the destination address (IP address) on the network of the end device serving as the destination at the time of communication, and can set it as the destination IP address at the time of IP communication.
  • IP address IP address
  • inbound communication corresponds to data communication performed using an external network communication device as a transmission source (transmission side end device) and an internal network communication device as a destination (reception side end device).
  • the first gateway device 2 receives inbound transmission data from the external network to the internal network
  • the first proxy unit 21 determines that the inbound transmission data is of a specific protocol when the inbound transmission data is of a specific protocol.
  • the communication information of the specific protocol is transmitted to the second gateway device through the bidirectional communication line.
  • the first proxy unit 21 is configured not to transmit inbound transmission data to the second gateway device when the inbound transmission data received by the first gateway device 2 is not the communication information of the specific protocol.
  • FIG. 3 is a diagram illustrating a protocol stack of in-band transmission data transmitted over a network according to an embodiment of the present invention.
  • an IP packet in which communication information of a specific protocol (unique protocol) is set in the data part is transmitted from the remote PC (OPS 72 in the example of FIG. 3).
  • the IP packet from the remote PC is transmitted through the base network 7 by an Ethernet (registered trademark) frame, and then reaches the first gateway device 2 through the VPN tunnel 55 of the Internet 5.
  • the data is received by the gateway device 2 via the external communication IF 23o.
  • the first proxy unit 21 When the first proxy unit 21 receives communication information of a specific protocol, the first proxy unit 21 performs reception processing.
  • the reception processing by the first proxy unit 21 may include obtaining a destination address (address of the receiving end device) of the received communication information of the specific protocol. Based on the received destination address, it can be seen that the communication is not addressed to itself, for example, the control network 6 ahead of the bidirectional communication line 41 is devoted to the receiving end device. It can be performed. There are various methods for obtaining the destination address as described below.
  • the second proxy unit 31 is the same in that it acquires the destination address of the receiving end device from the communication information of the specific protocol received from the first proxy unit 21.
  • the first proxy unit 21 uses a destination address of a specific protocol without using a destination address (a destination IP address of an IP packet) of transmission data transmitted by a remote PC (OPS 72). Obtained from communication information. That is, the communication information of the specific protocol has a destination address field for storing the destination address, and the destination address of the receiving end device is preset on the remote PC side. Then, the first proxy unit 21 acquires the destination address by searching the destination address field.
  • the destination IP address may be directly stored in the destination address field, or the DNS (Domain Name System) inside or outside the gateway device from the address information (such as URL) stored in the destination address field.
  • the destination IP address may be obtained using the above.
  • the destination address field may exist at a fixed position on the format of communication information of a specific protocol, or may exist at an arbitrary position depending on tag information or the like. According to the above configuration, it is difficult for the first proxy unit 21 to know the destination from communication information other than the specific protocol, and other than inbound communication according to the specification of the specific protocol passes through the first gateway device 2. Can be prevented.
  • the first proxy unit 21 transmits the destination address of the transmission data (the destination IP address of the IP packet) transmitted by the remote PC (OPS 72) when the communication information of the specific protocol is delivered from the OS. Get by receiving at the same time.
  • the destination address information may not be included in the communication information of the specific protocol immediately after being generated by the remote PC.
  • the transmission process of the first proxy unit 21 is configured to transmit the acquired destination address together with the communication information of the specific protocol to the second proxy unit 31 via the bidirectional communication line 41.
  • the destination address is added to the communication information of the specific protocol by a method determined between the first proxy unit 21 and the second proxy unit 31 such as adding the destination address to the destination address field of the communication information of the specific protocol. It may be added. According to said structure, it can prevent that except the inbound communication according to the specification of a specific protocol pass the 1st gateway apparatus 2.
  • the reception process may include decompressing and decrypting communication information of a specific protocol that has been compressed or encrypted on the remote PC side.
  • the first proxy unit 21 may acquire the communication information of the correct specific protocol by decompression or decryption and transmit it to the second proxy unit 31.
  • the first proxy unit 21 executes a transmission process of communication information of a specific protocol after the reception process as described above. Specifically, as shown in FIG. 3, the first proxy unit 21 transmits communication information of a specific protocol to the second gateway device 3 by serial communication (one-to-one connection) via the bidirectional communication line 41. To do. Specifically, it recognizes that the receiving end device exists in the control network 6 based on the acquired destination address, and transmits communication information of a specific protocol to the second proxy unit 31 via the bidirectional communication line 41. .
  • This transmission process may include compression and encryption of communication information of a specific protocol.
  • the first proxy unit 21 of the first gateway device 2 sequentially transmits communication data via a serial port (COM port) of RS232C.
  • the second proxy unit 31 of the second gateway device 3 sequentially receives communication data via the RS232C serial port (COM port), and performs transmission / reception processing described below.
  • the transmission / reception processing by the first proxy unit 21 is not limited to the above.
  • the first proxy unit 21 may be based on the assumption that the receiving end device exists in the control network 6 ahead of the bidirectional communication line 41. That is, the first proxy unit 21 does not have to acquire the destination address by the reception process, and always performs the transmission process by recognizing that the received communication information of the specific protocol is addressed to the control network 6. In this case, it is necessary that the communication information of the specific protocol immediately after being generated by the remote PC includes destination address information. Even in such a configuration, communication data that can pass through the first gateway device 2 can be limited to communication information of a specific protocol, and other communication data can be prevented from entering the internal network. can do.
  • the second proxy unit 31 when the second proxy unit 31 receives the communication data transmitted from the first proxy unit 21 as described above, the second proxy unit 31 performs reception processing. Specifically, when the second proxy unit 31 receives communication information of a specific protocol from the first proxy unit 21 via the bidirectional communication line 41, the second proxy unit 31 sets the destination address of communication in the internal network to the specific protocol. The communication information is acquired from the communication information, and the communication information of the specific protocol is transmitted to the destination address. That is, the first proxy unit 21 and the second proxy unit 31 are connected on a one-to-one basis. In such communication, information indicating a destination address several hops away, such as an IP packet, is not necessary. Not really.
  • the IP communication from the external network is once terminated by the first gateway device 2, and simply replacing the IP communication with serial communication such as RS232C does not require the destination IP address of the terminated IP communication.
  • the second proxy unit 31 of the communication destination cannot normally obtain the destination address of the receiving end device. Therefore, the second proxy unit 31 acquires address information from the communication information sent by the first proxy unit 21.
  • the communication information of the specific protocol has a destination address field for storing the destination address, and the destination address may be acquired by searching the destination address field.
  • the destination address information is sent from the first proxy unit 21 by being added to the communication data (message) of the communication information of the specific protocol generated by the remote PC. Is also included.
  • the second proxy unit 31 executes transmission processing after the above reception processing. Specifically, the communication information of the specific protocol is transmitted to the receiving end device using the destination address acquired by the reception process as the communication destination address (IP packet destination IP address).
  • IP packet destination IP address IP packet destination IP address
  • a UDP / IP packet including communication information of a specific protocol is generated by calling the socket API by specifying the destination address acquired by the reception process in the destination IP address field. Is transmitted from the external communication IF 33 i to the control network 6. This IP packet is placed on an Ethernet (registered trademark) frame, routed in the control network 6 and received by the receiving end device (destination). In this way, the receiving end device (destination) can receive communication data from the remote PC.
  • the reception process by the second proxy unit 31 may include decompression and decryption of communication information of a specific protocol, and the transmission process may include compression and encryption of communication information of a specific protocol. good.
  • the out-band communication corresponds to data communication performed using a communication device of the internal network as a transmission source (transmission side end device) and a communication device of the external network as a destination (reception side end device).
  • the security system 1 uses the one-way communication line that connects the first gateway device 2 and the second gateway device 3 so that one-way communication from the second gateway device 3 to the first gateway device 2 is possible.
  • the out-band transmission data received by the second gateway device 3 is transmitted to the first gateway device 2 via the one-way communication line 42 without passing through the two-way communication line 41.
  • out-band transmission is performed via the one-way communication line 42.
  • Inbound transmission is via the bidirectional communication line 41. That is, the outbound communication is configured to always pass through the one-way communication line 42.
  • the one-way communication line 42 reliably blocks an attack or unauthorized intrusion from the external network, such as a data diode, while transmitting from the transmission side end device of the internal network to the reception side end device (destination) of the external network. Plant operation information can be sent.
  • FIG. 4 is a diagram illustrating a protocol stack of out-band transmission data transmitted through a network according to an embodiment of the present invention.
  • an IP packet in which communication information of a specific protocol (unique protocol) is set in the data part is transmitted from the ACS 54 of the control network 6.
  • the IP packet from the ACS is transmitted through the control network 6 by an Ethernet (registered trademark) frame, and is received by the second gateway device 3 via the external communication IF 33 i.
  • the 2nd proxy part 31 will perform the reception process and the transmission process after a reception process, if the communication information of the specific protocol by outband communication is received.
  • the first proxy unit 21 also performs reception processing and transmission processing for out-band communication received from the second proxy unit 31 via the bidirectional communication line 41. As described below, there are various methods for transmission / reception processing for such out-band communication.
  • the second proxy unit 31 may transmit the destination address ((destination address) of the transmission data (IP packet) regardless of the type of the application layer protocol of the transmission data (IP packet) of the received outbound communication).
  • the transmission data is configured to be transferred (transmitted) based on the destination IP address of the IP packet.
  • the first proxy unit 21 also transmits an IP packet to the destination end apparatus based on the outbound transmission data received from the second gateway apparatus 3 based on the destination address. That is, the second proxy unit 31 and the first proxy unit 21 process only up to the IP layer for outbound communication. Thereby, the processing load of the gateway device can be reduced.
  • the communication via the one-way communication line 42 in the control network 6 has a large amount of communication such as plant operation data. For this reason, an appropriate communication speed can be obtained by simplifying the transmission / reception processing by the second proxy unit 31 and the first proxy unit 21. Even if it is simplified in this way, since the out-band communication via the one-way communication line 42 is limited to one-way communication, cyber attacks from the external network via the one-way communication line 42 are blocked. That is no different.
  • the first proxy unit for inbound communication described above, except that the reception processing and transmission processing for outbound communication by the second proxy unit 31 are IP communication via the one-way communication line 42.
  • the reception process 21 and the transmission process 21 may be the same.
  • the reception process and the transmission process for the out-band communication by the first proxy unit 21 are also received by the second proxy unit 31 for the inbound communication described above except that the IP communication is performed via the one-way communication line 42.
  • the process and the transmission process are the same.
  • the outbound communication via the security system 1 can be restrict
  • outbound communication via the security system 1 may be limited to UDP / IP communication. That is, in some embodiments, when the outbound transmission data received from the internal network is UDP / IP communication, the second gateway device 3 uses the one-way communication line 42 to transmit the outbound transmission data. Is transmitted (relayed) to the first gateway device 2.
  • UDP / IP is a connectionless communication, and is a protocol that can send data without confirmation of delivery from a destination device of an external network. Therefore, one-way communication using the one-way communication line can be easily performed from the transmission source device of the internal network to the destination device of the external network.
  • the second gateway device 3 may be configured to relay only UDP / IP packets carrying communication information of the specific protocol. As a result, the second gateway device 3 processes only the permitted communication and discards other packets, thereby reducing the load of the transfer process.
  • the filtering may be performed by the second proxy unit 31 or may be performed by another program function (filtering unit).
  • the filtering unit may transfer communication data to the second proxy unit 31 after filtering.
  • the UDP / IP packet may be subjected to packet filtering by a port number, or may be determined based on a predetermined list.
  • FIG. 5 is a diagram showing a communication control flow of in-band communication by the security system 1 according to an embodiment of the present invention.
  • FIG. 6 is a diagram showing a communication control flow of out-band communication by the security system 1 according to an embodiment of the present invention.
  • the processor included in the first gateway device 2 or the second gateway device 3 is a command from the proxy unit (the first proxy unit 21 or the second proxy unit 31). It is done by executing.
  • the first gateway device 2 monitors reception of an inbound IP packet (transmission data) from the external network side.
  • the communication processing unit and the first proxy unit 21 of the first gateway device 2 process the IP packet.
  • it is confirmed by the port number whether the IP packet is a communication of a specific protocol (unique protocol). If the IP packet is not a communication of a specific protocol, the communication control is terminated. For example, the communication control may be terminated by discarding the confirmed received IP packet.
  • the first proxy unit 21 performs the above-described transmission / reception processing on the communication information of the specific protocol. To do.
  • step S54 when the first proxy unit 21 transmits communication information of a specific protocol to the second proxy unit 31 of the second gateway device 3 via the bidirectional communication line 41, in step S55, the second proxy unit 31 Communication information of a specific protocol is received via the bidirectional communication line 41.
  • the second proxy unit 31 that has received this analyzes the communication information of the specific protocol in order to obtain the destination address (IP address of the receiving end device) in step S56.
  • step S57 when the destination address is acquired from the communication information of the specific protocol, the second proxy unit 31 transmits the communication information of the specific protocol to the destination address by IP communication. Conversely, if the destination address cannot be obtained from the communication information of the specific protocol in step S58, the communication control is terminated.
  • FIG. 6 shows a communication control flow of the embodiment in which the second gateway apparatus 3 (second proxy unit 31) transfers the received IP packet regardless of the protocol type of the application layer.
  • the second gateway device 3 (second proxy unit 31) monitors reception of outbound transmission data (packets) from the internal network side.
  • the communication processing unit and the second proxy unit 31 of the platform of the second gateway device 3 process the IP packet.
  • the destination of the received IP packet is confirmed. If the destination of the received IP packet is on the external network side, the communication control unit of the second gateway device 3 sends the IP packet to the first gateway device 2 via the one-way communication line 42 in step S63. Send.
  • the communication control is terminated after processing the IP packet in step S67.
  • the process in step S67 is performed by itself.
  • the IP packet is sent to the destination in the internal network. It may include sending.
  • step S64 the first gateway device 2 receives the IP packet from the second gateway device 3 via the one-way communication line.
  • step S65 the destination of the received IP packet is confirmed. If the destination address indicates the external network side, in step S66, the first gateway device 2 (first proxy unit 21) transmits an IP packet to the external network toward the destination address. Conversely, if the destination address does not indicate the external network side in step S65, the received IP packet is processed in step S67. In this step S67, for example, the IP packet addressed to itself may be processed by itself, and otherwise, for example, the IP packet may be discarded.
  • inbound communication from the external network to the internal network is transmitted (relayed) from the first gateway device 2 to the second gateway device 3 when the communication is for communication information of a specific protocol.
  • the first gateway device 2 receives communication information of a specific protocol carried by inbound transmission data by the first proxy unit 21 and then transmits (relays) it to the second gateway device 3. That is, the communication information of this specific protocol is communication data generated by the transmitting end device in order to exchange messages (such as control commands) with the receiving end device.
  • the first gateway device 2 terminates the network layer protocol (for example, IP) of the external network, and then retransmits the communication information of the specific protocol toward the internal network.
  • IP network layer protocol
  • the transmission end device of the external network and the reception end device of the internal network are logically divided, and the communication subject capable of relaying the logically divided network is designated as a specific protocol.
  • the communication subject capable of relaying the logically divided network is designated as a specific protocol.
  • the second proxy unit 31 of the second gateway device 3 determines the destination address (for example, the destination IP address) of the receiving end device of the internal network based on the communication information of the specific protocol received from the first gateway device 2. By acquiring, communication information of a specific protocol can be transmitted to the receiving end device. In other words, the communication other than the specific protocol cannot acquire the destination address of the receiving end device, and is not transmitted (relayed) to the receiving end device of the internal network (control network 6). For this reason, the second gateway device 3 can strengthen the protection of the internal network.
  • the security system 1 protects the internal network with the two-stage structure of the first gateway device 2 and the second gateway device 3, and the security system 1 can firmly protect the internal network.
  • the above-described communication control by the first gateway device 2 (first proxy unit 21) and the second gateway device 3 (second proxy unit 31) is performed by communication processing (IP packetization) of the transmission-side end device and the reception-side end device. And the adoption of a specific communication interface, etc.), and a secure and flexible communication path can be constructed.
  • IP network is formed by the internal network and the external network, and this IP network is logically separated by the first gateway device and the second gateway device. For this reason, IP communication from external networks such as the Internet is blocked from the internal network except for communications of specific protocols (proprietary protocols), and the internal network must be protected from cyber attacks from the Internet based on IP. Can do.
  • the first gateway device 2 is connected to an external network via the first firewall 14a, and the second gateway device 3 is connected via the second firewall 14b.
  • a first firewall 14 a is installed between the first gateway device 2 and the Internet 5
  • a second firewall 14 b is installed between the second gateway device 3 and the control network 6. is set up. Then, by filtering packets with these firewalls, only predetermined communication defined in advance is permitted. Filtering of these communications (IP packets) is performed based on a list (access list) that defines filter conditions. For example, as one item of the filter condition, a condition of permitting passage of the above-described specific protocol (unique protocol) may be included.
  • a condition of permitting passage may be included.
  • the filtering by the 1st gateway apparatus 2 or the above-mentioned 2nd gateway apparatus 3 can be abbreviate
  • the first firewall 14a and the second firewall 14b can block a cyber attack from the external network to the internal network while permitting predetermined communication defined in advance. It can be strongly protected. In addition, the processing load on the first gateway device and the second gateway device can be reduced.
  • the present invention is not limited to the above-described embodiments, and includes forms obtained by modifying the above-described embodiments and forms obtained by appropriately combining these forms.
  • the remote PC such as OPS 72
  • the remote PC may not be connected to the base network 7.
  • a VPN connection may be established between the remote PC and the first firewall 14a by the remote access VPN technology.
  • a global IP address may be given to a remote PC or the like.
  • the remote PC may transmit a packet having the first gateway device 2 as the destination end device.
  • the first gateway device 2 and the second gateway device 3 determine the transfer destination (such as the control device 63 of the control network 6) based on the destination address included in the communication information of the specific protocol. .
  • the bidirectional communication line 41 and the unidirectional communication line 42 are wired, but in some other embodiments, at least one of the communication lines 4 may be configured wirelessly.
  • the bidirectional communication line 41 is configured by RS232C.
  • the present invention is not limited to this, and the bidirectional communication line 41 is a communication standard that allows one-to-one connection. Other standard communication standards (protocols) may be adopted.
  • the one-way communication by the one-way communication line 42 is formed by connecting physical ports.
  • wiring such as a LAN cable may be changed. For example, the communication wiring from the first gateway device 2 to the second gateway device 3 may be removed or insulated.
  • one-way communication line 42 is physically one-way communication
  • one-way communication may be realized logically (communication layer L2 or higher).
  • Direction communication may be realized.
  • one-way communication may be realized physically and logically.
  • TCP / IP communication are described as UDP / IP communication, but in some other embodiments, TCP / IP communication may be used.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

セキュリティシステムは、外部ネットワークに接続されるよう構成される第１ゲートウェイ装置と、内部ネットワークに接続されると共に、前記第１ゲートウェイ装置に接続されるよう構成される第２ゲートウェイ装置と、前記第１ゲートウェイ装置と前記第２ゲートウェイ装置とを双方向通信が可能に接続する双方向通信ラインと、を備え、前記第１ゲートウェイ装置の第１プロキシ部は、前記インバウンドの伝送データが特定プロトコルのものである場合には、前記インバウンドの伝送データによって運ばれる特定プロトコルの通信情報を受信した後に、前記特定プロトコルの通信情報を前記双方向通信ラインにより前記第２ゲートウェイ装置に送信し、前記第２ゲートウェイ装置の第２プロキシ部は前記双方向通信ラインを介して前記第１プロキシ部から前記特定プロトコルの通信情報を受信した場合には、前記内部ネットワークにおける通信の宛先アドレスを前記特定プロトコルの通信情報から取得し、前記宛先アドレスに対して前記特定プロトコルの通信情報を送信するよう構成される。

Description

セキュリティシステム、通信制御方法
　本開示は、内部ネットワークと外部ネットワークとを相互に接続すると共に、内部ネットワークを保護するセキュリティシステム、通信制御方法に関する。
　現在、重要インフラ（発電、化学薬品、水、石油、ガス等のなど）の制御ネットワーク（制御システムネットワーク）をインターネットに接続することで、インターネットを介した遠隔監視、遠隔操作などが実現されている。これによって、制御ネットワークの遠隔監視や遠隔操作などのサービスが、ＩＰ通信を基盤として比較的容易に安価に実現されている。また、このようなサービスビジネスを拡大するためには、制御ネットワークをインターネットやクラウドに接続することは必須と言えるほど重要となっている。その一方で、このような重要インフラ（産業資産）に対するサイバーセキュリティへの要求は日増しに厳しくなっている。例えば、北米では、発電プラントなど電力システムに対するサイバーセキュリティ基準を定めたＮＥＲＣ　ＣＩＰ要求（ＮＥＲＣ：Ｎｏｒｔｈ　Ａｍｅｒｉｃａｎ　Ｅｌｅｃｔｒｉｃ
Ｒｅｌｉａｂｉｌｉｔｙ　Ｃｏｕｎｃｉｌ、ＣＩＰ：Ｃｒｉｔｉｃａｌ　Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ　Ｐｒｏｔｅｃｔｉｏｎ）が規定されており、重要インフラ事業を遂行する上で実施すべきセキュリティ規準が定義されている。このため、インターネットを介したサービスの提供とサイバー攻撃からの制御ネットワークの保護という双方の要求を低コストに実現するインフラやシステムの開発が緊急に必要とされている。
　ところで、制御ネットワークのような内部ネットワークをサイバー攻撃から保護する技術としてファイアウォールが広く知られている（例えば、特許文献１～２）。ファイアウォールは、保護対象となる内部ネットワークとインターネットのような外部ネットワークとの境界に設置されることで、内部ネットワークをサイバー攻撃から保護する。例えば、特許文献１では、ローカルネットワーク（内部ネットワーク）とインターネットとがファイアウォールを介して接続されている。そして、インターネット側からローカルネットワーク側へ入力する通信はファイアウォールによって絶対的に拒否されている。その一方で、ローカルネットワーク内のエージェントから、インターネットを介して接続された第２のローカルネットワーク内のコンソールへの通信時には、ファイアウォールのポートがダイナミックに開けられ、通信が許可されている。このようにして、外部からの攻撃から内部ネットワークを保護しつつ、内部ネットワークと外部ネットワークとの間の通信を可能としている。
　また、特許文献２でも、インターネットと公開サブネットとの間、および、公開サブネットと非公開内部サブネットとの間のそれぞれにルータが設置されており、これらのルータによって通過するパケットがフィルタリングされている。例えば、公開サブネットと非公開内部サブネットとの間に設置されるルータは、公開サブネット内の計算機と非公開内部サブネットの計算機とをＩＥＥＥ１３９４によって相互に接続している。そして、このルータは、ＩＥＥＥ１３９４の送信元ＩＤや、公開サブネット内の計算機と非公開内部サブネットの計算機との間のフレームバッファ転送に基づく遠隔操作に必要なパケットか否かによって、パケットのフィルタリングを行っている。また、非公開内部サブネットの計算機は、公開サブネットの計算機を一定間隔でリードトランザクションによりポーリングすることでデータを受信し、ライトトランザクションによりデータを送信している。これによって、公開サブネットの計算機から不正な大量のデータ送信があったとしても、データ転送量をチェックすることで、異常な転送を検出可能であると共に、その影響が直ちに非公開内部サブネットの計算機に発生することがないとされている。
　一方、セキュリティ対策を目的として、ゲートウェイの通信路を完全に片方向しかデータが流れないようにしたデータダイオードと呼ばれる装置も知られている。このデータダイオードによって、許可された方向と逆方向のデータの流れが完全に阻止されることにより、外部からのウイルス攻撃やハッキングなどのサイバー攻撃を防御可能とされている。例えば、特許文献３では、このようなデータダイオードで計算機間を接続すると共に、計算機間を別の汎用通信路で接続している。そして、データダイオードを介して送られた送信データの送達確認を別の汎用通信路を介して行うことにより、データダイオードを使ったセキュリティ対策を実現しつつ、データ送信の信頼性を確保している。
特開２００１－３２５１６３号公報 特開２０００－３５４０５６号公報 特開２０１４－１４００９６号公報
　しかしながら、特許文献１、３では、ＴＣＰ／ＵＤＰ／ＩＰ通信をベースとした一般的な技術によって通信のエンド装置間が接続されている。このため、オペレーティングシステムや通信機器等に何らかの脆弱性があった場合に、制御ネットワークへの影響を完全に回避することは論理的に困難となる。
　また、特許文献２では、非公開内部サブネット内の計算機と公開サブネットの計算機とをＩＥＥＥ１３９４によって接続することで、インターネット側の外部計算機と非公開内部サブネットの計算機との間の通信は、公開サブネットの計算機によって終端されている。
　上述の事情に鑑みて、本発明の少なくとも一実施形態は、制御ネットワークなどの内部ネットワークをサイバー攻撃から強固に保護しつつ、内部ネットワークと外部ネットワークとの間の双方向通信を可能とするセキュリティシステム、通信制御方法を提供することを目的とする。
（１）本発明の少なくとも一実施形態に係るセキュリティシステムは、
　外部ネットワークに接続されるよう構成される第１ゲートウェイ装置と、
　内部ネットワークに接続されると共に、前記第１ゲートウェイ装置に接続されるよう構成される第２ゲートウェイ装置と、
　前記第１ゲートウェイ装置と前記第２ゲートウェイ装置とを双方向通信が可能に接続する双方向通信ラインと、を備え、
　前記第１ゲートウェイ装置は、特定のアプリケーションレイヤのプロトコルである特定プロトコルを処理するよう構成される第１プロキシ部を有し、
　前記第２ゲートウェイ装置は、前記特定プロトコルを処理するよう構成される第２プロキシ部を有し、
　前記第１ゲートウェイ装置が前記外部ネットワークから前記内部ネットワークへ向けたインバウンドの伝送データを受信すると、前記第１プロキシ部は、前記インバウンドの伝送データが特定プロトコルのものである場合には、前記インバウンドの伝送データによって運ばれる特定プロトコルの通信情報を受信した後に、前記特定プロトコルの通信情報を前記双方向通信ラインにより前記第２ゲートウェイ装置に送信し、前記インバウンドの伝送データが前記特定プロトコルの通信情報のものではない場合には前記インバウンドの伝送データを前記第２ゲートウェイ装置へ送信しないよう構成され、
　前記第２プロキシ部は、前記双方向通信ラインを介して前記第１プロキシ部から前記特定プロトコルの通信情報を受信した場合には、前記内部ネットワークにおける通信の宛先アドレスを前記特定プロトコルの通信情報から取得し、前記宛先アドレスに対して前記特定プロトコルの通信情報を送信するよう構成される。
　上記（１）の構成によれば、外部ネットワークから内部ネットワークへ向けたインバウンド通信は、特定プロトコルの通信情報のための通信である場合には、第１ゲートウェイ装置から第２ゲートウェイ装置へ送信（中継）される。この際、第１ゲートウェイ装置は、インバウンドの伝送データによって運ばれる特定プロトコルの通信情報を第１プロキシ部で受信した上で、第２ゲートウェイ装置へ送信（中継）する。すなわち、この特定プロトコルの通信情報は、受信側エンド装置とメッセージ（制御コマンドなど）を交換するために送信側エンド装置が生成した通信データである。また、第１ゲートウェイ装置は、外部ネットワークのネットワークレイヤプロトコル（例えば、ＩＰ）を終端した後に、内部ネットワークに向けて特定プロトコルの通信情報を送信しなおす。このように、外部ネットワークの送信側エンド装置と内部ネットワークの受信側エンド装置との間を論理的に分断すると共に、この論理的に分断されたネットワークを中継可能な通信の主体を、特定プロトコルを処理可能な第１プロキシ部および第２プロキシ部に制限することで、特定プロトコル以外の通信は内部に侵入できない。このため、外部ネットワークから内部ネットワークへの攻撃や不正侵入といった不正アクセスを遮断することができ、内部ネットワークを保護することができる。
　また、第２ゲートウェイ装置の第２プロキシ部は、第１ゲートウェイ装置から受信した特定プロトコルの通信情報に基づいて内部ネットワークの受信側エンド装置の宛先アドレス（例えば、宛先ＩＰアドレスなど）を取得することで、受信側エンド装置に特定プロトコルの通信情報を送信することができる。つまり、特定プロトコル以外の通信は、受信側エンド装置の宛先アドレスが取得できず、内部ネットワークの受信側エンド装置に送信（中継）されない。このため、第２ゲートウェイ装置によって、内部ネットワークの保護を強固にすることができる。このように、セキュリティシステムは、第１ゲートウェイ装置と第２ゲートウェイ装置の二段構えで内部ネットワークを保護しており、セキュリティシステムによって内部ネットワークを強固に保護することができる。また、第１ゲートウェイ装置（第１プロキシ部）および第２ゲートウェイ装置（第２プロキシ部）による通信制御は、送信側エンド装置および受信側エンド装置の通信処理（ＩＰパケット化や特定の通信インタフェースの採用など）に影響を与えることがなく、セキュア（安全）かつ自由度の高い通信経路を構築することができる。
（２）幾つかの実施形態では、上記（１）の構成において、
　前記第１ゲートウェイ装置と前記第２ゲートウェイ装置とを、前記第２ゲートウェイ装置から前記第１ゲートウェイ装置に向けた片方向通信が可能に接続する片方向通信ラインを、さらに備え、
　前記第２ゲートウェイ装置が前記内部ネットワークから前記外部ネットワークへ向けたアウトバンド伝送データを受信すると、前記アウトバンド伝送データは、前記双方向通信ラインを経由することなく、前記片方向通信ラインを経由して前記第１ゲートウェイ装置へ送信される。
　上記（２）の構成によれば、アウトバウンド通信は片方向通信ラインを必ず経由するように構成される。このため、片方向通信ラインによって、データダイオードのように、外部ネットワークからの攻撃や不正侵入を確実に遮断しながら、内部ネットワークの送信側エンド装置から外部ネットワークの受信側エンド装置（宛先）にプラントの運転情報などを送ることができる。
（３）幾つかの実施形態では、上記（２）の構成において、
　前記片方向通信ラインは、前記第２ゲートウェイ装置の送信物理ポートと前記第１ゲートウェイ装置の受信物理ポートとを接続する光ファイバケーブルである。
　上記（３）の構成によれば、第２ゲートウェイ装置から第１ゲートウェイ装置への片方向通信ラインを容易に実装することができる。また、光ファイバケーブルにより通信を行うため、大量のデータを高速に通信することができる。例えば、内部ネットワークが制御ネットワークの場合には、プラントなどの運転情報を内部ネットワークの外部に送ることになるが、このような場合に高速通信を行うことができる。
（４）幾つかの実施形態では、上記（２）～（３）の構成において、
　前記双方向通信ラインでは、ルーティングが不可能なプロトコルによる通信が行われるよう構成される。
　上記（４）の構成によれば、シリアル通信などのルーティング不可能なプロトコルによって、第１ゲートウェイ装置と第２ゲートウェイ装置とが接続される。つまり、外部ネットワークからのインバウンド通信は、一旦シリアル通信に変換されることになる。このため、内部ネットワークおよび外部ネットワークがＩＰネットワークである場合など、外部ネットワークからのインバウンド通信がそのままセキュリティシステム１を経由して内部ネットワークにルーティングされることはなく、セキュアな通信経路を構築することができる。
（５）幾つかの実施形態では、上記（２）～（４）の構成において、
　前記外部ネットワークおよび前記内部ネットワークはＩＰネットワークである。
　上記（５）の構成によれば、内部ネットワークと外部ネットワークとによってＩＰネットワークが形成されており、このＩＰネットワークは、第１ゲートウェイ装置および第２ゲートウェイ装置によって論理的に分離される。このため、インターネットなどの外部ネットワークからのＩＰ通信は、特定プロトコルの通信以外は内部ネットワークから遮断されており、ＩＰを基盤とするインターネットなどからのサイバー攻撃から内部ネットワークを保護することができる。
（６）幾つかの実施形態では、上記（５）の構成において、
　前記第１ゲートウェイ装置は、前記特定プロトコルの通信情報をポート番号により識別する。
　上記（６）の構成によれば、ＵＤＰやＴＣＰのポート番号によって、特定プロトコルの通信を容易に識別することができる。
（７）幾つかの実施形態では、上記（６）の構成において、
　前記第２ゲートウェイ装置は、前記内部ネットワークから受信した前記アウトバウンドの伝送データがＵＤＰ／ＩＰ通信である場合には、前記片方向通信ラインを使用して、前記アウトバウンドの伝送データを前記第１ゲートウェイ装置に送信する。
　上記（７）の構成によれば、ＵＤＰ／ＩＰはコネクションレス型の通信であり、外部ネットワークの宛先装置からの送達確認なしにデータを送ることができる。このため、内部ネットワークの送信元装置から外部ネットワークの宛先装置に対して、片方向通信ラインを使用した片方向通信を容易に行うことができる。
（８）幾つかの実施形態では、上記（１）～（７）の構成において、
　前記特定プロトコルは、標準化されていない独自プロトコルである。
　上記（８）の構成によれば、独自プロトコルである特定プロトコルを解釈可能な装置である第１ゲートウェイ装置および第２ゲートウェイ装置のみが、外部ネットワークから受信した独自プロトコル（特定プロトコル）の伝送データを内部ネットワークの宛先に向けて中継可能に構成される。このため、外部ネットワークから内部ネットワークへ標準化されたアプリケーションレイヤのプロトコルの伝送データを送ることはできず、サイバー攻撃に対する防御力を増強することができる。
（９）幾つかの実施形態では、上記（１）～（８）の構成において、
　前記双方向通信ラインは、ＲＳ－２３２Ｃを含むシリアル通信である。
　上記（９）の構成によれば、第１ゲートウェイ装置と第２ゲートウェイ装置の間の特定プロトコルの通信情報の送受信を、標準のインタフェースを用いた簡易な方法により行うことができる。また、内部ネットワークが制御ネットワークの場合である場合には、外部ネットワーク側に接続されるリモートＰＣ（送信側エンド装置）から通信される制御ネットワークの制御要求などの通信データは小容量であり、このような通信に対して適切な通信速度を提供することもできる。
（１０）幾つかの実施形態では、上記（１）～（９）の構成において、
　前記第１ゲートウェイ装置は、第１ファイアウォールを介して前記外部ネットワークに接続され、
　前記第２ゲートウェイ装置は、第２ファイアウォールを介して前記内部ネットワークに接続される。
　上記（１０）の構成によれば、第１ファイアウォールおよび第２ファイアウォールによって、予め定義された所定の通信を許可しつつ、外部ネットワークから内部ネットワークへのサイバー攻撃を遮断することができ、内部ネットワークをより強固に保護することができる。また、第１ゲートウェイ装置および第２ゲートウェイ装置の処理負荷の軽減を図ることもできる。
（１１）本発明の少なくとも一実施形態に係る通信制御方法は、
　外部ネットワークに接続されるよう構成される第１ゲートウェイ装置と、
　内部ネットワークに接続されると共に、前記第１ゲートウェイ装置に接続されるよう構成される第２ゲートウェイ装置と、
　前記第１ゲートウェイ装置と前記第２ゲートウェイ装置とを相互に接続する双方向通信ラインと、を備えるセキュリティシステムによって実行される通信制御方法であって、
　前記第１ゲートウェイ装置が、前記外部ネットワークから前記内部ネットワークへ向けたインバウンドの伝送データを受信するインバウントデータ受信ステップと、
　前記第１ゲートウェイ装置が、前記インバウンドの伝送データのアプリケーションレイヤのプロトコルを確認し、前記アプリケーションレイヤのプロトコルが特定プロトコルである場合には、前記インバウンドの伝送データを前記第２ゲートウェイ装置に前記双方向通信ラインを使用して送信し、前記特定プロトコルの通信情報以外の場合には前記インバウンドの伝送データを前記第２ゲートウェイ装置へ送信しないよう構成される第１インバウンド通信処理ステップと、
　前記第２ゲートウェイ装置が、前記第１ゲートウェイ装置から受信した前記インバウンドの伝送データが前記特定プロトコルの通信情報である場合には、前記特定プロトコルの情報に基づいて、前記内部ネットワークにおける通信の宛先アドレスを取得し、前記宛先アドレスに対して前記インバウンドの伝送データを送信する第２インバウンド通信処理ステップと、を有する。
　上記（１１）の構成によれば、上記（１）と同様の効果を得ることができる。
（１２）幾つかの実施形態では、上記（１１）の構成において、
　前記セキュリティシステムは、前記第１ゲートウェイ装置と前記第２ゲートウェイ装置とを、前記第２ゲートウェイ装置から前記第１ゲートウェイ装置に向けた片方向通信が可能に接続する片方向通信ラインを、さらに備え、
　前記第２ゲートウェイ装置が前記内部ネットワークから前記外部ネットワークへ向けたアウトバンド伝送データを受信すると、前記アウトバンド伝送データは、前記双方向通信ラインを経由することなく、前記片方向通信ラインを経由して前記第１ゲートウェイ装置へ送信されるアウトバウンド通信処理ステップを、さらに有する。
　上記（１２）の構成によれば、上記（２）と同様の効果を得ることができる。
（１３）幾つかの実施形態では、上記（１２）の構成において、
　前記片方向通信ラインは、前記第２ゲートウェイ装置の送信物理ポートと前記第１ゲートウェイ装置の受信物理ポートとを接続する光ファイバケーブルである。
　上記（１３）の構成によれば、上記（３）と同様の効果を得ることができる。
（１４）幾つかの実施形態では、上記（１２）～（１３）の構成において、
　前記双方向通信ラインでは、ルーティングが不可能なプロトコルによる通信が行われるよう構成される。
　上記（１４）の構成によれば、上記（４）と同様の効果を得ることができる。
（１５）幾つかの実施形態では、上記（１２）～（１４）の構成において、
　前記外部ネットワークおよび前記内部ネットワークはＩＰネットワークである。
　上記（１５）の構成によれば、上記（５）と同様の効果を得ることができる。
（１６）幾つかの実施形態では、上記（１５）の構成において、
　前記第１ゲートウェイ装置は、前記特定プロトコルの通信情報をポート番号により識別する。
　上記（１６）の構成によれば、上記（６）と同様の効果を得ることができる。
（１７）幾つかの実施形態では、上記（１６）の構成において、
　前記アウトバウンド通信処理ステップは、前記内部ネットワークから受信した前記アウトバウンドの伝送データがＵＤＰ／ＩＰ通信である場合には、前記片方向通信ラインを使用した前記アウトバウンドの伝送データの送信を許可するアウトバウンド通信フィルタリングステップを有する。
　上記（１７）の構成によれば、上記（７）と同様の効果を得ることができる。
（１８）幾つかの実施形態では、上記（１１）～（１７）の構成において、
　前記特定プロトコルは、標準化されていない独自プロトコルである。
　上記（１８）の構成によれば、上記（８）と同様の効果を得ることができる。
（１９）幾つかの実施形態では、上記（１１）～（１８）の構成において、
　前記双方向通信ラインは、ＲＳ－２３２Ｃを含むシリアル通信である。
　上記（１９）の構成によれば、上記（９）と同様の効果を得ることができる。
（２０）幾つかの実施形態では、上記（１１）～（１９）の構成において、
　前記第１ゲートウェイ装置は、第１ファイアウォールを介して前記外部ネットワークに接続され、
　前記第２ゲートウェイ装置は、第２ファイアウォールを介して前記内部ネットワークに接続される。
　上記（２０）の構成によれば、上記（１０）と同様の効果を得ることができる。
　本発明の少なくとも一実施形態によれば、制御ネットワークなどの内部ネットワークをサイバー攻撃から強固に保護しつつ、内部ネットワークと外部ネットワークとの間の双方向通信を可能とするセキュリティシステム、通信制御方法が提供される。
本発明の一実施形態に係るセキュリティシステムを含むネットワーク全体の構成を概略的に示す図である。 本発明の一実施形態に係るセキュリティシステムの構成を概略的に示す図である。 本発明の一実施形態に係るネットワークを伝送されるインバンド通信のプロトコルスタックを示す図である。 本発明の一実施形態に係るネットワークを伝送されるアウトバンド通信のプロトコルスタックを示す図である。 本発明の一実施形態に係るセキュリティシステムのインバンド通信の通信制御フローを示す図である。 本発明の一実施形態に係るセキュリティシステムのアウトバンド通信の通信制御フローを示す図である。
　以下、添付図面を参照して本発明の幾つかの実施形態について説明する。ただし、一の構成要素を「備える」、「具える」、「具備する」、「含む」、又は、「有する」という表現は、他の構成要素の存在を除外する排他的な表現ではない。
　図１は、本発明の一実施形態に係るセキュリティシステム１を含むネットワーク全体の構成を概略的に示す図である。また、図２は、本発明の一実施形態に係るセキュリティシステム１の構成を概略的に示す図である。このセキュリティシステム１は、内部ネットワークの通信装置と外部ネットワークの通信装置との間のエンドツーエンド（Ｅ２Ｅ）の通信を可能としつつ、外部ネットワークを介したサイバー攻撃などから内部ネットワークを保護するもの（装置）である。後述するように、例えば、内部ネットワークは発電プラントなどの制御ネットワーク６であり、外部ネットワークはインターネット５などであり、外部ネットワークを介した内部ネットワークの通信装置の遠隔監視や遠隔操作などのサービスが提供されている。そして、セキュリティシステム１は、内部ネットワークの入口（境界）において、上記のサービスに関連するような必要な通信を許可しつつ、サイバー攻撃などの不正な許可されていない通信を遮断する。
　このような通信制御を実現するために、セキュリティシステム１は、図１～図２に示されるように、異なるネットワーク間を接続する装置である第１ゲートウェイ装置２および第２ゲートウェイ装置３と、第１ゲートウェイ装置２と第２ゲートウェイ装置とを相互に接続する双方向通信ライン４１および片方向通信ライン４２と、を備える。また、第１ゲートウェイ装置２は外部ネットワークに接続されるよう構成され、第２ゲートウェイ装置３は、保護対象となる内部ネットワークに接続されるよう構成される。上述の通り、内部ネットワークはセキュリティシステム１によって保護されるネットワークであり、外部ネットワークは、保護対象となる内部ネットワークと通信可能に接続された内部ネットワークの外部にある他のネットワークである。図１～図２に例示される実施形態では、内部ネットワークは、下記に説明するような制御ネットワーク６であり、外部ネットワークはインターネット５や拠点ネットワーク７（後述）となっている。
　この制御ネットワーク６は、図１～図２では、イーサネット（登録商標）で構築されたローカルエリアネットワーク（ＬＡＮ）となっている。また、制御ネットワーク６は発電プラントの制御ネットワークであり、制御ネットワーク６には、図示されるように、プラントの制御を行うコントローラとなるプロセスステーション（ＭＰＳ）や、現場の製造機器の制御を行う装置との入出力や各種演算処理を行うためのローカルコントローラであるＣＰＵモジュール（ＣＰＳ）などの制御装置６３や、制御装置６３などからのデータ収集、保存などを行うと共に外部とのインタフェースとなる端末であるアクセサリーステーション６４（ＡＣＳ６４）、制御装置６３等の監視・操作用の機器となるオペレータステーション６５（ＯＰＳ６５）などが接続されている。そして、これらの各装置（制御装置６３やＡＣＳ６４、ＯＰＳ６５など）や第２ゲートウェイ装置３には相互に異なるプライベートＩＰアドレスがそれぞれ割り当てられており、ＬＡＮ上でのＩＰ通信が可能となっている。
　拠点ネットワーク７は、図１～図２では、ファイアウォール７４を介してインターネット５に接続されたネットワークであり、インターネット５と共に外部ネットワークの一部を構成している。また、拠点ネットワーク７は、上記の制御装置６３の監視・操作用の機器となるオペレータステーション７２（ＯＰＳ７２）や、遠隔監視用のサーバ、タブレット端末などの各種装置（以下、適宜、リモートＰＣ）が接続される社内ネットワークである。拠点ネットワーク７も、イーサネット（登録商標）で構築されたローカルエリアネットワーク（ＬＡＮ）であり、拠点ネットワーク７に接続される各装置（リモートＰＣなど）に相互に異なるプライベートＩＰアドレスが割り当てられることで、ＬＡＮ上でのＩＰ通信が可能となっている。
　また、図１～図２に例示される実施形態では、制御ネットワーク６（内部ネットワーク）と拠点ネットワーク７とは、インターネット５に構築されたＶＰＮ（Ｖｉｒｔｕａｌ　Ｐｒｉｖａｔｅ　Ｎｅｔｗｏｒｋ）を介して接続されている。具体的には、拠点ネットワーク７のファイアウォール７４の内側のＶＰＮ装置７５（例えば、ＶＰＮ対応ルータなど）と、第１ゲートウェイ装置２とインターネット５との境界に設置された第１ファイアウォール１４ａの内側のＶＰＮ装置１５との間でＶＰＮが構築されており、インターネット５上に仮想的なトンネル（ＶＰＮトンネル５５）が構築されている。
　そして、上述のＶＰＮ接続と、下記に説明する第１ゲートウェイ装置２と第２ゲートウェイ装置３と間の接続とを介して、制御ネットワーク６の制御装置６３とリモートＰＣとの間でＥ２Ｅの通信が確立される。つまり、拠点ネットワーク７に接続された上記のＯＰＳ７２などの各種装置をリモートＰＣとして、制御ネットワーク６に接続された制御装置６３などの遠隔監視、遠隔制御などが行われる。この第１ゲートウェイ装置２と第２ゲートウェイ装置３との間の接続は、下記に説明する双方向通信ライン４１および片方向通信ライン４２の２つの通信ライン４によってそれぞれ行われる。
　双方向通信ライン４１は、図１～図２に示されるように、第１ゲートウェイ装置２と第２ゲートウェイ装置３とを双方向通信が可能に接続する通信ライン４である。図１～図２に例示される実施形態では、双方向通信ライン４１はＲＳ２３２Ｃなどのシリアル通信が行われる通信ライン４であり、第１ゲートウェイ装置２と第２ゲートウェイ装置３とが双方向通信ライン４１によって一対一に接続される。つまり、双方向通信ライン４１を介した通信の宛先は直接接続された相手側の装置であり、第１ゲートウェイ装置２から双方向通信ライン４１を介して送られる通信データは、第２ゲートウェイ装置３以外の装置に自動的に転送されることはない。同様に、第２ゲートウェイ装置３から双方向通信ライン４１を介して送られる通信データは、第１ゲートウェイ装置２以外の装置に自動的に転送されることはない。このように、双方向通信ライン４１を介した通信は、ルーティングがされないプロトコル（ルーティング不可能なプロトコル）で行われるよう構成されている。図２では、第１ゲートウェイ装置２の外部通信インタフェース（外部通信ＩＦ２３ｄ）と第２ゲートウェイ装置３の外部通信ＩＦ３３ｄとがＲＳ２３２Ｃケーブルで接続されている。
　この双方向通信ライン４１は、主に、リモートＰＣ（ＯＰＳ７２）から制御ネットワーク６の制御装置６３に対して制御コマンド（後述する特定プロトコルの通信情報）などを送信するための回線である。このような制御コマンドの通信量は比較的小さく、ＲＳ２３２Ｃのような比較的低速な通信ライン４によって、通信量による制限を設けながら、適切な通信速度を提供することが可能となっている。後述するように、双方向通信ライン４１を経由した通信は、第１ゲートウェイ装置２の第１プロキシ部２１と第２ゲートウェイ装置３の第２プロキシ部３１とによって制御されており、これによって、制御ネットワーク６（内部ネットワーク）の保護を図っている。
　一方、片方向通信ライン４２は、図１～図２に示されるように、第１ゲートウェイ装置２と第２ゲートウェイ装置３とを、第２ゲートウェイ装置３から第１ゲートウェイ装置２に向けた片方向通信が可能に接続する通信ライン４である。この片方向通信ライン４２は、例えば、第２ゲートウェイ装置３の有する外部通信ＩＦ３３ｓ（例えば、ＮＩＣ：Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄ）の送信物理ポートと第１ゲートウェイ装置２の有する外部通信ＩＦ２３ｓの受信物理ポートを接続すると共に、第１ゲートウェイ装置２の外部通信ＩＦ２３ｓの送信物理ポートと第２ゲートウェイ装置３の外部通信ＩＦ３３ｓの受信物理ポートを接続しないことで、片方向通信を実現しても良い。具体的には、図１～２では、図２に示されるように、片方向通信ライン４２は、第２ゲートウェイ装置３の外部通信ＩＦ３３ｄの送信物理ポート（Ｔｘポート）と第１ゲートウェイ装置２の外部通信ＩＦ２３ｄの受信物理ポート（Ｒｘポート）を光ファイバケーブルによって接続すると共に、第１ゲートウェイ装置２の外部通信ＩＦ２３ｄの送信物理ポート（Ｔｘポート）と第２ゲートウェイ装置３の外部通信ＩＦ３３ｄの受信物理ポート（Ｒｘポート）を光ファイバケーブルなどで接続していないことで形成されている。このように、一方向の通信ライン４を物理的に形成することで、片方向通信の通信ライン４を構成している。
　この片方向通信ライン４２は、主に、プラントの運転データなどの大量のデータを制御ネットワーク６の内部から外部のＯＰＳ７２や各種サーバなどのリモートＰＣに送るための通信ライン４であり、光ファイバケーブルで構成することで、高速通信を提供することが可能となっている。このように、外部ネットワークからの通信は、片方向通信ライン４２を経由して制御ネットワーク６に到達することができないように構成することで、制御ネットワーク６（内部ネットワーク）の保護を図っている。
　上述したようなネットワークの全体構成において、第１ゲートウェイ装置２および第２ゲートウェイ装置３は、両装置を接続する通信ライン４（双方向通信ライン４１と片方向通信ライン４２）を経由した通信を制御することで、内部ネットワークの保護を図っている。詳述すると、図２に示されるように、第１ゲートウェイ装置２は、特定のアプリケーションレイヤのプロトコルである特定プロトコルを処理するよう構成される第１プロキシ部２１を有し、第２ゲートウェイ装置３は、この特定プロトコルを処理するよう構成される第２プロキシ部３１を有する。そして、第１プロキシ部２１および第２プロキシ部３１は、下記に説明するように、双方向通信ライン４１およびと片方向通信ライン４２を介した通信データに対して後述する送信処理および受信処理（送受信処理）を行うことで通過しようとする通信の通信制御を行う。
　ここで、特定プロトコルは、制御ネットワーク６の通信装置（制御装置６３、ＡＣＳ６４など）と外部ネットワークの通信装置（リモートＰＣ）との間で情報を交換するためのプロトコルであり、特定プロトコルの通信情報が交換される。つまり、特定プロトコルの通信情報は、制御装置６３などの受信側エンド装置とリモートＰＣなどの送信側エンド装置との間で交換されるＥ２Ｅの通信データ（メッセージ形式の制御コマンドや監視データ要求など）であり、送信側エンド装置が生成したものである。すなわち、リモートＰＣ（例えば、ＯＰＳ７２）や制御ネットワーク６の制御装置６３やＡＣＳ６４は、上記の特定プロトコルの通信情報の処理（例えば、制御コマンドの生成、解釈、実行など）を行うための専用アプリケーション（専用プログラム）を備えている。そして、この専用アプリケーションのプロセスは、それぞれの装置のＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）上で動作しており、特定プロトコルによって装置間でのプロセス間通信を行うことで、特定プロトコルの通信情報の内容に応じた制御（例えば、制御装置６３の設定変更など）がなされる。
　また、特定プロトコルの通信情報は、特定プロトコルのフォーマットを有している。例えば、ヘッダ部（制御部）とデータ部とを有しても良い。また、このフォーマットには、受信側エンド装置（宛先）を識別するための宛先アドレス情報が含まれても良く、後述するように少なくとも第２プロキシ部３１によって利用される。そして、送信側エンド装置の専用プログラムによってソケットＡＰＩがコールされることで、特定プロトコルの通信情報を含むＵＤＰ／ＩＰパケットが生成されて、ネットワーク上に送信される。この際、専用プログラムによって、特定プロトコルの通信情報は圧縮、暗号化されても良く、このような通信データがＩＰパケット化されることで、データの盗聴、改ざんに対する耐力を向上させることができる。また、送信側エンド装置の専用プログラムから送信される通信は受信側エンド装置の専用プログラムによって監視されることで、通信データに対する解凍、復号化を通してメッセージの交換がなされる。なお、専用プログラムは、ＴＣＰ／ＩＰパケットを生成して通信を行っても良い。
　図１～図２に例示される実施形態では、特定プロトコルは、標準化されていない独自プロトコルであり、その仕様は一般に公開されているものではない。つまり、独自プロトコルである特定プロトコルを解釈可能な装置である第１ゲートウェイ装置２および第２ゲートウェイ装置３のみが、外部ネットワークから受信した独自プロトコル（特定プロトコル）の伝送データを内部ネットワークの宛先に向けて送信（中継）可能に構成される。このため、外部ネットワークから内部ネットワークへ標準化されたアプリケーションレイヤのプロトコルの伝送データを送ることはできず、サイバー攻撃に対する防御力を増強することができる。
　このような特定プロトコル（独自プロトコル）の通信情報を第１プロキシ部２１および第２プロキシ部３１（プロキシ部）は処理する。これらのプロキシ部（第１プロキシ部２１および第２プロキシ部３１）は、図２に示されるように、第１ゲートウェイ装置２および第２ゲートウェイ装置３のプラットフォームのＯＳ上で動作するアプリケーションソフトウェアのプロセスやスレッドである。つまり、第１ゲートウェイ装置２および第２ゲートウェイ装置３は、プロセッサ（ＣＰＵ）やメモリを備えている。そして、プロキシ部として機能するプログラム（ソフトウェア）は、メインメモリに展開（ロード）されることでＯＳなどのプラットフォームの機能を利用しながら動作する。具体的には、プロキシ部は、プロセッサを用いてプログラムの命令を実行することで、特定プロトコルを処理するよう構成されている。また、プロキシ部は、プロセッサを用いてプログラムの命令を実行することで、プラットフォームの通信機能（ＯＳや外部通信ＩＦなど）を利用して、装置の外部との通信を行うよう構成されている。なお、プロキシ部は、ＤＯＳ系、Ｕｎｉｘ系、Ｌｉｎｕｘ（登録商標）系、Ｗｉｎｄｏｗｓ系などの様々なプラットフォーム上で動作しても良い。
　そして、ゲートウェイ装置（第１ゲートウェイ装置２や第２ゲートウェイ装置３）の外部通信ＩＦ（２３、３３）に伝送データが到達することで、第１ゲートウェイ装置２や第２ゲートウェイ装置３は伝送データを受信する。また、ゲートウェイ装置では、プロキシ部（第１プロキシ部２１や第２プロキシ部３１）が処理対象となる通信データの受信を監視しており、受信した伝送データは、ゲートウェイ装置のプラットフォームの通信処理部（ＯＳや外部通信ＩＦ（２３、３３）など）による処理を通して、プロキシ部に受信される。この際、プロキシ部は、処理対象となる特定プロトコルの通信情報のみ受信するように構成されても良い。あるいは、プロキシ部は、ゲートウェイ装置によって受信される全ての伝送データの通信データを受信した上で、特定プロトコルの通信情報を識別し、対象であるものについて送受信処理（後述）を継続して実行し、それ以外の通信データに対しては処理を終了（例えば廃棄）するよう構成しても良い。
　通信データが特定プロトコルの通信情報であるか否かの判断は、ＩＰパケットに含まれるポート番号（ＵＤＰポート番号あるいはＴＣＰポート番号）により行われても良い。図１～図２の実施形態では、この判断はポート番号によって行われている。この構成によれば、ポート番号によって特定プロトコルの通信を容易に識別することができる。このようにして、プロキシ部は特定プロトコルの通信情報を取得する。なお、特定プロトコルの通信情報が複数のＩＰパケットに分割されてネットワーク上（内部ネットワークや外部ネットワーク）を伝送されている場合には、分割されたＩＰパケットを全て受信して組み立てることで、特定プロトコルの通信情報がプロキシ部によって取得されることになる。
　以下、図３～図４を用いて、第１ゲートウェイ装置２および第２ゲートウェイ装置３による通信制御（送受信処理）を、インバウンドの通信とアウトバウンドの通信とに分けて順に説明する。これらの図は、図１～図２に対応するものであり、リモートＰＣ（例えば、ＯＰＳ７２やサーバ）と制御ネットワーク６の制御装置６３（図３）やＡＣＳ６４（図４）との間で、エンドツーエンド（Ｅ２Ｅ）の通信が行われる場合を例として記載されている。ここで、インバウンド通信は、外部ネットワークから内部ネットワークに向けた方向の通信である。また、アウトバウンド通信は、内部ネットワークから外部ネットワークへ向けた方向の通信である。また、各エンド装置は、宛先となるエンド装置のネットワーク上の宛先アドレス（ＩＰアドレス）を通信時に知ることができ、ＩＰ通信の際の宛先ＩＰアドレスとして設定することができるものとする。
　インバウンドの通信は、図３に示されるように、外部ネットワークの通信装置を送信元（送信側エンド装置）、内部ネットワークの通信装置を宛先（受信側エンド装置）として行われるデータ通信に対応する。そして、第１ゲートウェイ装置２が、外部ネットワークから内部ネットワークへ向けたインバウンドの伝送データを受信すると、第１プロキシ部２１は、インバウンドの伝送データが特定プロトコルのものである場合には、前記インバウンドの伝送データによって運ばれる特定プロトコルの通信情報を受信した後に、前記特定プロトコルの通信情報を前記双方向通信ラインにより前記第２ゲートウェイ装置に送信するよう構成される。逆に、第１プロキシ部２１は、第１ゲートウェイ装置２が受信したインバウンドの伝送データが特定プロトコルの通信情報のものではない場合にはインバウンドの伝送データを第２ゲートウェイ装置へ送信しないよう構成される。
　詳述すると、図３は、本発明の一実施形態に係るネットワークを伝送されるインバンドの伝送データのプロトコルスタックを示す図である。図３では、リモートＰＣ（図３の例示ではＯＰＳ７２）からは、特定プロトコル（独自プロトコル）の通信情報がデータ部にセットされたＩＰパケットが送信される。図３の例示では、リモートＰＣからのＩＰパケットは、拠点ネットワーク７をイーサネット（登録商標）フレームによって伝送された後、インターネット５のＶＰＮトンネル５５を通って第１ゲートウェイ装置２に到達し、第１ゲートウェイ装置２に外部通信ＩＦ２３ｏを介して受信される。
　第１プロキシ部２１は、特定プロトコルの通信情報を受信すると受信処理を行う。この第１プロキシ部２１による受信処理は、受信した特定プロトコルの通信情報の宛先アドレス（受信側エンド装置のアドレス）を取得することが含まれても良い。この受信した宛先アドレスに基づいて、通信が例えば自身宛てではなく、双方向通信ライン４１の先の制御ネットワーク６に受信側エンド装置充てであることが分かるので、双方向通信ライン４１を介した通信を行うことができる。この宛先アドレスの取得方法には、下記に説明するように様々な方法がある。なお、後述するように、第２プロキシ部３１は、第１プロキシ部２１から受信する特定プロトコルの通信情報から、受信側エンド装置の宛先アドレスを取得する点は同じとなる。
　例えば、幾つかの実施形態では、第１プロキシ部２１は、リモートＰＣ（ＯＰＳ７２）が送信した伝送データの宛先アドレス（ＩＰパケットの宛先ＩＰアドレス）を使用することなく、宛先アドレスを、特定プロトコルの通信情報から取得している。すなわち、特定プロトコルの通信情報には宛先アドレスを格納する宛先アドレスフィールドがあり、受信側エンド装置の宛先アドレスがリモートＰＣ側で予めセットされている。そして、第１プロキシ部２１は、この宛先アドレスフィールドを検索することで宛先アドレスを取得している。例えば、宛先アドレスフィールドには宛先ＩＰアドレスが直接的に格納されていても良いし、宛先アドレスフィールドに格納されたアドレス情報（ＵＲＬなど）から、ゲートウェイ装置の内部あるいは外部のＤＮＳ（Ｄｏｍａｉｎ　Ｎａｍｅ　Ｓｙｓｔｅｍ）などを利用して宛先ＩＰアドレスを取得するよう構成しても良い。また、宛先アドレスフィールドは、特定プロトコルの通信情報のフォーマット上の固定位置に存在しても良いし、タグ情報などにより任意の位置に存在しても良い。上記の構成によれば、第１プロキシ部２１は、特定プロトコル以外の通信情報から宛先を知ることは困難であり、特定プロトコルの仕様に沿ったインバウンドの通信以外が第１ゲートウェイ装置２を通過するのを防止することができる。
　他の幾つかの実施形態では、第１プロキシ部２１は、特定プロトコルの通信情報をＯＳから引き渡される際に、リモートＰＣ（ＯＰＳ７２）が送信した伝送データの宛先アドレス（ＩＰパケットの宛先ＩＰアドレス）を同時に受け取ることで取得する。この場合には、リモートＰＣが生成した直後の特定プロトコルの通信情報には宛先アドレスの情報は含まれていなくても良い。なお、この場合には、第１プロキシ部２１の送信処理は、この取得した宛先アドレスを特定プロトコルの通信情報と共に、双方向通信ライン４１を介して第２プロキシ部３１に送信するよう構成される。例えば、特定プロトコルの通信情報の宛先アドレスフィールドなどに宛先アドレスを付加するなど、第１プロキシ部２１および第２プロキシ部３１との間で決められた方法により、特定プロトコルの通信情報に宛先アドレスを付加しても良い。上記の構成によれば、特定プロトコルの仕様に沿ったインバウンドの通信以外が第１ゲートウェイ装置２を通過するのを防止することができる。
　なお、上記のいずれの実施形態においても、受信処理には、リモートＰＣ側で圧縮や暗号化がなされた特定プロトコルの通信情報を解凍、復号化することが含まれても良い。この場合には、第１プロキシ部２１は、解凍や復号化によって正しい特定プロトコルの通信情報を取得することが、第２プロキシ部３１へ送信することの前提としても良い。
　また、第１プロキシ部２１は、上述のような受信処理の後に、特定プロトコルの通信情報の送信処理を実行する。具体的には、図３に示されるように、第１プロキシ部２１は、双方向通信ライン４１を介してシリアル通信（１対１接続）により特定プロトコルの通信情報を第２ゲートウェイ装置３に送信する。具体的には、取得された宛先アドレスに基づいて制御ネットワーク６に受信側エンド装置が存在することを認識し、双方向通信ライン４１経由で第２プロキシ部３１に特定プロトコルの通信情報を送信する。この送信処理には、特定プロトコルの通信情報の圧縮や暗号化が含まれても良い。図１～図３に例示される実施形態では、第１ゲートウェイ装置２の第１プロキシ部２１は、ＲＳ２３２Ｃのシリアルポート（ＣＯＭポート）を介して順次通信データを送信している。また、第２ゲートウェイ装置３の第２プロキシ部３１は、ＲＳ２３２Ｃのシリアルポート（ＣＯＭポート）を介して順次通信データを受け取り、下記に説明する送受信処理を行う。
　なお、第１プロキシ部２１による送受信処理は上記に限定されない。他の幾つかの実施形態では、第１プロキシ部２１は、受信側エンド装置が双方向通信ライン４１の先の制御ネットワーク６に存在することを前提としても良い。つまり、第１プロキシ部２１は、受信処理によって宛先アドレスを取得しなくても良く、受信した特定プロトコルの通信情報は常に制御ネットワーク６宛てと認識して送信処理を行う。この場合には、リモートＰＣが生成した直後の特定プロトコルの通信情報には宛先アドレスの情報が含まれている必要がある。このような構成であっても、第１ゲートウェイ装置２を通過することが可能な通信データを特定プロトコルの通信情報に限定することができ、それ以外の通信データが内部ネットワークに侵入するのを阻止することができる。
　一方、第２プロキシ部３１は、上述のように第１プロキシ部２１から送信された通信データを受信すると、受信処理を行う。具体的には、第２プロキシ部３１は、双方向通信ライン４１を介して第１プロキシ部２１から特定プロトコルの通信情報を受信した場合には、内部ネットワークにおける通信の宛先アドレスを前記特定プロトコルの通信情報から取得し、前記宛先アドレスに対して前記特定プロトコルの通信情報を送信するよう構成される。すなわち、第１プロキシ部２１と第２プロキシ部３１とは１対１に接続されており、このような通信では、ＩＰパケットのような数ホップ先の宛先アドレスを示す情報は不要であり、標準的にはない。言い換えると、第１ゲートウェイ装置２によって外部ネットワークからのＩＰ通信は一旦終端されており、ＲＳ２３２Ｃなどのシリアル通信にＩＰ通信を単に置き換えるだけでは、終端されたＩＰ通信の宛先ＩＰアドレスは不要のため、通信先の第２プロキシ部３１は受信側エンド装置の宛先アドレスを通常は得られない。そこで、第２プロキシ部３１は、第１プロキシ部２１によって送られた通信情報からアドレス情報を取得する。例えば、上述のように、特定プロトコルの通信情報には宛先アドレスを格納する宛先アドレスフィールドがあり、この宛先アドレスフィールドを検索することで宛先アドレスを取得しても良い。特定プロトコルの通信情報から宛先アドレスを取得することには、リモートＰＣによって生成された特定プロトコルの通信情報の通信データ（メッセージ）に付加されることで、宛先アドレス情報が第１プロキシ部２１から送られることも含まれる。
　また、第２プロキシ部３１は、上記の受信処理の後に、送信処理を実行する。具体的には、受信処理によって取得した宛先アドレスを通信の宛先アドレス（ＩＰパケットの宛先ＩＰアドレス）として、特定プロトコルの通信情報を受信側エンド装置に送信する。図３に例示される実施形態では、受信処理によって取得された宛先アドレスを宛先ＩＰアドレスフィールドに指定してソケットＡＰＩをコールすることで、特定プロトコルの通信情報を含むＵＤＰ／ＩＰパケットが生成されて、外部通信ＩＦ３３ｉから制御ネットワーク６上に送信される。このＩＰパケットは、イーサネット（登録商標）フレームに乗せられて制御ネットワーク６内をルーティングされて、受信側エンド装置（宛先）に受信される。このようにして、受信側エンド装置（宛先）は、リモートＰＣからの通信データを受信することができる。なお、第２プロキシ部３１による受信処理には、特定プロトコルの通信情報を解凍、復号化が含まれても良く、送信処理には、特定プロトコルの通信情報の圧縮や暗号化が含まれても良い。
　続いて、アウトバンドの通信に対する通信制御について説明する。
　アウトバンドの通信は、図４に示されるように、内部ネットワークの通信装置を送信元（送信側エンド装置）、外部ネットワークの通信装置を宛先（受信側エンド装置）として行われるデータ通信に対応する。上述の通り、セキュリティシステム１は、第１ゲートウェイ装置２と第２ゲートウェイ装置３とを、第２ゲートウェイ装置３から第１ゲートウェイ装置２に向けた片方向通信が可能に接続する片方向通信ラインを備えており、第２ゲートウェイ装置３が受信するアウトバンドの伝送データは、双方向通信ライン４１を経由することなく、片方向通信ライン４２を経由して第１ゲートウェイ装置２へ送信される。例えば、特定プロトコル（独自プロトコル）が、ＨＴＴＰ通信のようなリクエストと、リクエストに対するレスポンスとがセットで行われるような仕様となっている場合でも、アウトバンドの送信は片方向通信ライン４２を経由し、インバウンドの送信は双方向通信ライン４１を経由する。すなわち、アウトバウンド通信は片方向通信ライン４２を必ず経由するように構成される。このため、片方向通信ライン４２によって、データダイオードのように、外部ネットワークからの攻撃や不正侵入を確実に遮断しながら、内部ネットワークの送信側エンド装置から外部ネットワークの受信側エンド装置（宛先）にプラントの運転情報などを送ることができる。
　詳述すると、図４は、本発明の一実施形態に係るネットワークを伝送されるアウトバンドの伝送データのプロトコルスタックを示す図である。図４では、制御ネットワーク６のＡＣＳ５４からは、特定プロトコル（独自プロトコル）の通信情報がデータ部にセットされたＩＰパケットが送信される。図４の例示では、ＡＣＳからのＩＰパケットはイーサネット（登録商標）フレームによって制御ネットワーク６を伝送されて、第２ゲートウェイ装置３に外部通信ＩＦ３３ｉを介して受信される。
　そして、第２プロキシ部３１は、アウトバンド通信による特定プロトコルの通信情報を受信すると、受信処理、および、受信処理の後の送信処理を行う。他方、第１プロキシ部２１も、第２プロキシ部３１から双方向通信ライン４１を介して受信するアウトバンド通信に対して、受信処理および送信処理を行う。このようなアウトバンド通信に対する送受信処理は、下記に説明するように様々な方法がある。
　幾つかの実施形態では、図４に示されるように、第２プロキシ部３１は、受信したアウトバウンド通信の伝送データ（ＩＰパケット）のアプリケーションレイヤのプロトコルの種類にかかわらず、伝送データの宛先アドレス（ＩＰパケットの宛先ＩＰアドレス）に基づいて伝送データを転送（送信）するように構成される。この場合には、第１プロキシ部２１も、第２ゲートウェイ装置３から受信したアウトバウンドの伝送データを宛先アドレスに基づいて、宛先エンド装置に向けてＩＰパケットを送信する。すなわち、第２プロキシ部３１および第１プロキシ部２１は、アウトバウンドの通信に対してＩＰレイヤまでしか処理しない。これによって、ゲートウェイ装置の処理負荷を低減することができる。また、制御ネットワーク６における片方向通信ライン４２を介した通信は、プラントの運転データなど通信量が多い。このため、第２プロキシ部３１及び第１プロキシ部２１による送受信処理を簡略化することで、適切な通信速度を得ることができる。また、このように簡略化したとしても、片方向通信ライン４２を介したアウトバンドの通信は片方向通信に限られるので、片方向通信ライン４２を介した外部ネットワークからのサイバー攻撃は遮断されることに変わりはない。
　他の幾つかの実施形態では、第２プロキシ部３１によるアウトバウンド通信に対する受信処理と送信処理は、片方向通信ライン４２経由でＩＰ通信すること以外は、上記に説明したインバウンド通信に対する第１プロキシ部２１の受信処理と送信処理とそれぞれ同様であっても良い。この場合には、第１プロキシ部２１によるアウトバンド通信に対する受信処理および送信処理も、片方向通信ライン４２経由でＩＰ通信すること以外は、上記に説明したインバウンド通信に対する第２プロキシ部３１の受信処理と送信処理とそれぞれ同様となる。上記の構成によれば、セキュリティシステム１を経由したアウトバウンドの通信を特定プロトコルの通信に制限することができ、内部ネットワークからの情報漏えいの防止を図ることができる。
　また、幾つかの実施形態では、図４に示されるように、セキュリティシステム１を介したアウトバウンドの通信をＵＤＰ／ＩＰ通信に限定しても良い。すなわち、幾つかの実施形態では、第２ゲートウェイ装置３は、内部ネットワークから受信したアウトバウンドの伝送データがＵＤＰ／ＩＰ通信である場合には、片方向通信ライン４２を使用して、アウトバウンドの伝送データを第１ゲートウェイ装置２に送信（中継）する。ＵＤＰ／ＩＰはコネクションレス型の通信であり、外部ネットワークの宛先装置からの送達確認なしにデータを送ることができるプロトコルである。このため、内部ネットワークの送信元装置から外部ネットワークの宛先装置に対して、片方向通信ラインを使用した片方向通信を容易に行うことができる。他の幾つかの実施形態では、第２ゲートウェイ装置３は、上記の特定プロトコルの通信情報を運ぶＵＤＰ／ＩＰパケットのみ、中継するように構成しても良い。これによって、第２ゲートウェイ装置３は許可された通信のみを処理し、それ以外のパケットを廃棄などすることで、転送処理の負荷を軽減することができる。これらのフィルタリングは、第２プロキシ部３１が行っても良いし、他のプログラム機能（フィルタリング部）が行っても良く、フィルタリング部はフィルタリング後に第２プロキシ部３１に通信データを転送しても良い。また、ＵＤＰ／ＩＰパケットは、ポート番号でパケットフィルタリングされても良く、予め定められたリストに基づいて判断しても良い。
　次に、第１ゲートウェイ装置２および第２ゲートウェイ装置３による通信制御方法を、図５～図６を用いて具体的に説明する。図５は、本発明の一実施形態に係るセキュリティシステム１によるインバンド通信の通信制御フローを示す図である。また、図６は、本発明の一実施形態に係るセキュリティシステム１によるアウトバンド通信の通信制御フローを示す図である。これらの図は、図１～図４に対応したものであり、第１ゲートウェイ装置２や第２ゲートウェイ装置３の備えるプロセッサがプロキシ部（第１プロキシ部２１、第２プロキシ部３１）からの命令を実行することで行われる。
　図５について説明すると、ステップＳ５０において、第１ゲートウェイ装置２は、外部ネットワーク側からのインバウンドのＩＰパケット（伝送データ）の受信を監視している。ステップＳ５１においてＩＰパケットを受信すると、第１ゲートウェイ装置２の通信処理部や第１プロキシ部２１はＩＰパケットの処理を行う。具体的には、ステップＳ５２おいて、ＩＰパケットが特定プロトコル（独自プロトコル）による通信ものであるかをポート番号で確認し、特定プロトコルの通信のものではない場合には、通信制御を終了する。例えば、確認した受信ＩＰパケットを廃棄することで通信制御を終了しても良い。また、ステップＳ５２において、受信したＩＰパケットが特定プロトコル（独自プロトコル）のものである場合には、ステップＳ５３において、第１プロキシ部２１は、特定プロトコルの通信情報に対して上述した送受信処理を実行する。
　ステップＳ５４において、第１プロキシ部２１は、双方向通信ライン４１を経由で特定プロトコルの通信情報を第２ゲートウェイ装置３の第２プロキシ部３１へ送信すると、ステップＳ５５において、第２プロキシ部３１は双方向通信ライン４１を介して特定プロトコルの通信情報を受信する。これを受信した第２プロキシ部３１は、ステップＳ５６において、宛先アドレス（受信側エンド装置のＩＰアドレス）を取得するために、特定プロトコルの通信情報を解析する。そして、ステップＳ５７において、特定プロトコルの通信情報から宛先アドレスを取得した場合には、第２プロキシ部３１は、宛先アドレスに対して特定プロトコルの通信情報をＩＰ通信により送信する。逆に、ステップＳ５８において、特定プロトコルの通信情報から宛先アドレスを取得できない場合には、通信制御を終了する。
　図６について説明すると、図６は、第２ゲートウェイ装置３（第２プロキシ部３１）がアプリケーションレイヤのプロトコルの種類にかかわらず受信したＩＰパケットを転送する実施形態の通信制御フローを示している。図６のステップＳ６０において、第２ゲートウェイ装置３（第２プロキシ部３１）は、内部ネットワーク側からのアウトバウンドの伝送データ（パケット）の受信を監視している。ステップＳ６１においてＩＰパケットを受信すると、第２ゲートウェイ装置３のプラットフォームの通信処理部や第２プロキシ部３１はＩＰパケットの処理を行う。具体的には、ステップＳ６２おいて、受信ＩＰパケットの宛先を確認する。そして、受信ＩＰパケットの宛先が外部ネットワーク側である場合には、ステップＳ６３において、第２ゲートウェイ装置３の通信制御部は、片方向通信ライン４２を介して、第１ゲートウェイ装置２にＩＰパケットを送信する。逆に、ステップＳ６２において、受信ＩＰパケットの宛先は外部ネットワーク側でない場合には、ステップＳ６７においてＩＰパケットに対して処理を行った後に、通信制御を終了する。このステップＳ６７での処理は、例えば、自身宛てのＩＰパケットの場合には自身で処理し、宛先ＩＰアドレスが内部ネットワーク内の装置を示す場合には、ＩＰパケットを内部ネットワーク内の宛先に対して送信することを含んでも良い。
　ステップＳ６４において、第１ゲートウェイ装置２は、片方向通信ライン４２を介して、第２ゲートウェイ装置３からＩＰパケットを受信する。そして、ステップＳ６５において、受信ＩＰパケットの宛先を確認する。そして、宛先アドレスが外部ネットワーク側を示す場合には、ステップＳ６６において、第１ゲートウェイ装置２（第１プロキシ部２１）は、宛先アドレスに向けて外部ネットワークにＩＰパケットを送信する。逆に、ステップＳ６５において、宛先アドレスが外部ネットワーク側を示していない場合には、ステップＳ６７において受信ＩＰパケットを処理する。このステップＳ６７では、例えば、自身宛てのＩＰパケットの場合には自身で処理し、それ以外には、例えばＩＰパケットを廃棄しても良い。
　上記の構成によれば、外部ネットワークから内部ネットワークへ向けたインバウンド通信は、特定プロトコルの通信情報のための通信である場合には、第１ゲートウェイ装置２から第２ゲートウェイ装置３へ送信（中継）される。この際、第１ゲートウェイ装置２は、インバウンドの伝送データによって運ばれる特定プロトコルの通信情報を第１プロキシ部２１で受信した上で、第２ゲートウェイ装置３へ送信（中継）する。すなわち、この特定プロトコルの通信情報は、受信側エンド装置とメッセージ（制御コマンドなど）を交換するために送信側エンド装置が生成した通信データである。また、第１ゲートウェイ装置２は、外部ネットワークのネットワークレイヤプロトコル（例えば、ＩＰ）を終端した後に、内部ネットワークに向けて特定プロトコルの通信情報を送信しなおす。このように、外部ネットワークの送信側エンド装置と内部ネットワークの受信側エンド装置との間を論理的に分断すると共に、この論理的に分断されたネットワークを中継可能な通信の主体を、特定プロトコルを処理可能な第１プロキシ部２１および第２プロキシ部３１に制限することで、特定プロトコル以外の通信は内部に侵入できない。このため、外部ネットワークから内部ネットワークへの攻撃や不正侵入といった不正アクセスを遮断することができ、内部ネットワークを保護することができる。
　また、第２ゲートウェイ装置３の第２プロキシ部３１は、第１ゲートウェイ装置２から受信した特定プロトコルの通信情報に基づいて内部ネットワークの受信側エンド装置の宛先アドレス（例えば、宛先ＩＰアドレスなど）を取得することで、受信側エンド装置に特定プロトコルの通信情報を送信することができる。つまり、特定プロトコル以外の通信は、受信側エンド装置の宛先アドレスが取得できず、内部ネットワーク（制御ネットワーク６）の受信側エンド装置に送信（中継）されない。このため、第２ゲートウェイ装置３によって、内部ネットワークの保護を強固にすることができる。このように、セキュリティシステム１は、第１ゲートウェイ装置２と第２ゲートウェイ装置３の二段構えで内部ネットワークを保護しており、セキュリティシステム１によって内部ネットワークを強固に保護することができる。また、第１ゲートウェイ装置２（第１プロキシ部２１）および第２ゲートウェイ装置３（第２プロキシ部３１）による上述の通信制御は、送信側エンド装置および受信側エンド装置の通信処理（ＩＰパケット化や特定の通信インタフェースの採用など）に影響を与えることがなく、セキュアかつ自由度の高い通信経路を構築することができる。
　さらに、内部ネットワークと外部ネットワークとによってＩＰネットワークが形成されており、このＩＰネットワークは、第１ゲートウェイ装置および第２ゲートウェイ装置によって論理的に分離される。このため、インターネットなどの外部ネットワークからのＩＰ通信は、特定プロトコル（独自プロトコル）の通信以外は内部ネットワークから遮断されており、ＩＰを基盤とするインターネットなどからのサイバー攻撃から内部ネットワークを保護することができる。
　また、幾つかの実施形態では、図１に示されるように、第１ゲートウェイ装置２は、第１ファイアウォール１４ａを介して外部ネットワークに接続され、第２ゲートウェイ装置３は、第２ファイアウォール１４ｂを介して内部ネットワークに接続される。図１に例示される実施形態では、第１ゲートウェイ装置２とインターネット５との間に第１ファイアウォール１４ａが設置されており、第２ゲートウェイ装置３と制御ネットワーク６との間に第２ファイアウォール１４ｂが設置されている。そして、これらのファイアウォールによってパケットのフィルタリングを行うことで、予め定義された所定の通信のみ許可するようにしている。これらの通信（ＩＰパケット）のフィルタリングは、フィルタ条件を定義するリスト（アクセスリスト）に基づいて行われる。例えば、フィルタ条件の一項目として、上述の特定プロトコル（独自プロトコル）の通過を許可するという条件を有しても良い。また、ＵＤＰ通信の場合には通過を許可するという条件を有しても良い。このように第１ファイアウォール１４ａや第２ファイアウォール１４ｂによってフィルタリングする場合には、第１ゲートウェイ装置２や上述の第２ゲートウェイ装置３でのフィルタリングは省略することができる。
　上記の構成によれば、第１ファイアウォール１４ａおよび第２ファイアウォール１４ｂによって、予め定義された所定の通信を許可しつつ、外部ネットワークから内部ネットワークへのサイバー攻撃を遮断することができ、内部ネットワークをより強固に保護することができる。また、第１ゲートウェイ装置および第２ゲートウェイ装置の処理負荷の軽減を図ることもできる。
　本発明は上述した実施形態に限定されることはなく、上述した実施形態に変形を加えた形態や、これらの形態を適宜組み合わせた形態も含む。
　例えば、図１に示される実施形態ではリモートＰＣ（ＯＰＳ７２など）は拠点ネットワーク７に接続されているが、他の幾つかの実施形態では、リモートＰＣは拠点ネットワーク７に接続されていなくても良く、リモートアクセスＶＰＮ技術によって、リモートＰＣと第１ファイアウォール１４ａとの間でＶＰＮ接続が構築されても良い。また、リモートＰＣなどにグローバルＩＰアドレスが付与されていても良い。
　また、リモートＰＣは、第１ゲートウェイ装置２を宛先エンド装置としたパケットを送信しても良い。この場合には、第１ゲートウェイ装置２および第２ゲートウェイ装置３は、特定プロトコルの通信情報に含まれる宛先アドレスに基づいて、転送先（制御ネットワーク６の制御装置６３など）を判断することになる。
　図１に示される実施形態では、双方向通信ライン４１や片方向通信ライン４２は有線であるが、他の幾つかの実施形態では少なくとも一方の通信ライン４が無線によって構成されても良い。図１に示される実施形態では、双方向通信ライン４１はＲＳ２３２Ｃで構成されているが、これに限定されず、双方向通信ライン４１は、１対１接続を可能とする通信規格であれば、他の標準的な通信規格（プロトコル）を採用しても良い。また、図１に示される実施形態では、片方向通信ライン４２による片方向通信は物理ポートの接続によって形成されているが、これには限定されず、ＬＡＮケーブルなどの配線を変更しても良く、例えば、第１ゲートウェイ装置２から第２ゲートウェイ装置３への通信配線を取り除いたり、絶縁するなどしても良い。この場合も、物理ポート間を接続することに含まれるとする。また、片方向通信ライン４２は物理的に通信を片方向としているが、他の幾つかの実施形態では、論理的（通信レイヤＬ２以上）に片方向通信を実現しても良く、ソフトウェアによって片方向通信を実現しても良い。あるいは、物理的および論理的に片方向通信を実現しても良い。
　図３～図４に示される実施形態ではＵＤＰ／ＩＰ通信として記載されているが、他の幾つかの実施形態では、ＴＣＰ／ＩＰ通信であっても良い。
１　　　セキュリティシステム
１４ａ　第１ファイアウォール
１４ｂ　第２ファイアウォール
１５　　ＶＰＮ装置
２　　　第１ゲートウェイ装置
２１　　第１プロキシ部
２３　　外部通信インタフェース
２３ｄ　外部通信ＩＦ
２３ｓ　外部通信ＩＦ
２３ｏ　外部通信ＩＦ
３　　　第２ゲートウェイ装置
３１　　第２プロキシ部
３３　　外部通信インタフェース
３３ｄ　外部通信ＩＦ
３３ｓ　外部通信ＩＦ
３３ｏ　外部通信ＩＦ
４　　　通信ライン
４１　　双方向通信ライン
４２　　片方向通信ライン
５　　　インターネット（外部ネットワーク）
５５　　ＶＰＮトンネル
６　　　制御ネットワーク（内部ネットワーク）
６３　　制御装置
６４　　アクセサリーステーション（ＡＣＳ）
６５　　オペレータステーション（ＯＰＳ）
７　　　拠点ネットワーク（外部ネットワーク）
７２　　オペレータステーション（ＯＰＳ）
７４　　ファイアウォール
７５　　ＶＰＮ装置

Claims (20)

  1. 　外部ネットワークに接続されるよう構成される第１ゲートウェイ装置と、
    　内部ネットワークに接続されると共に、前記第１ゲートウェイ装置に接続されるよう構成される第２ゲートウェイ装置と、
    　前記第１ゲートウェイ装置と前記第２ゲートウェイ装置とを双方向通信が可能に接続する双方向通信ラインと、を備え、
    　前記第１ゲートウェイ装置は、特定のアプリケーションレイヤのプロトコルである特定プロトコルを処理するよう構成される第１プロキシ部を有し、
    　前記第２ゲートウェイ装置は、前記特定プロトコルを処理するよう構成される第２プロキシ部を有し、
    　前記第１ゲートウェイ装置が前記外部ネットワークから前記内部ネットワークへ向けたインバウンドの伝送データを受信すると、前記第１プロキシ部は、前記インバウンドの伝送データが特定プロトコルのものである場合には、前記インバウンドの伝送データによって運ばれる特定プロトコルの通信情報を受信した後に、前記特定プロトコルの通信情報を前記双方向通信ラインにより前記第２ゲートウェイ装置に送信し、前記インバウンドの伝送データが前記特定プロトコルの通信情報のものではない場合には前記インバウンドの伝送データを前記第２ゲートウェイ装置へ送信しないよう構成され、
    　前記第２プロキシ部は、前記双方向通信ラインを介して前記第１プロキシ部から前記特定プロトコルの通信情報を受信した場合には、前記内部ネットワークにおける通信の宛先アドレスを前記特定プロトコルの通信情報から取得し、前記宛先アドレスに対して前記特定プロトコルの通信情報を送信するよう構成されることを特徴とするセキュリティシステム。
  2. 　前記第１ゲートウェイ装置と前記第２ゲートウェイ装置とを、前記第２ゲートウェイ装置から前記第１ゲートウェイ装置に向けた片方向通信が可能に接続する片方向通信ラインを、さらに備え、
    　前記第２ゲートウェイ装置が前記内部ネットワークから前記外部ネットワークへ向けたアウトバンド伝送データを受信すると、前記アウトバンド伝送データは、前記双方向通信ラインを経由することなく、前記片方向通信ラインを経由して前記第１ゲートウェイ装置へ送信されることを特徴とする請求項１に記載のセキュリティシステム。
  3. 　前記片方向通信ラインは、前記第２ゲートウェイ装置の送信物理ポートと前記第１ゲートウェイ装置の受信物理ポートとを接続する光ファイバケーブルであることを特徴とする請求項２に記載のセキュリティシステム。
  4. 　前記双方向通信ラインでは、ルーティングが不可能なプロトコルによる通信が行われるよう構成されることを特徴とする請求項２または３に記載のセキュリティシステム。
  5. 　前記外部ネットワークおよび前記内部ネットワークはＩＰネットワークであることを特徴とする請求項２～４のいずれか１項に記載のセキュリティシステム。
  6. 　前記第１ゲートウェイ装置は、前記特定プロトコルの通信情報をポート番号により識別することを特徴とする請求項５に記載のセキュリティシステム。
  7. 　前記第２ゲートウェイ装置は、前記内部ネットワークから受信した前記アウトバウンドの伝送データがＵＤＰ／ＩＰ通信である場合には、前記片方向通信ラインを使用して、前記アウトバウンドの伝送データを前記第１ゲートウェイ装置に送信することを特徴とする請求項６に記載のセキュリティシステム。
  8. 　前記特定プロトコルは、標準化されていない独自プロトコルであることを特徴とする請求項１～７のいずれか１項に記載のセキュリティシステム。
  9. 　前記双方向通信ラインは、ＲＳ－２３２Ｃを含むシリアル通信であることを特徴とする請求項１～８のいずれか１項に記載のセキュリティシステム。
  10. 　前記第１ゲートウェイ装置は、第１ファイアウォールを介して前記外部ネットワークに接続され、
    　前記第２ゲートウェイ装置は、第２ファイアウォールを介して前記内部ネットワークに接続されることを特徴とする請求項１～９のいずれか１項に記載のセキュリティシステム。
  11. 　外部ネットワークに接続されるよう構成される第１ゲートウェイ装置と、
    　内部ネットワークに接続されると共に、前記第１ゲートウェイ装置に接続されるよう構成される第２ゲートウェイ装置と、
    　前記第１ゲートウェイ装置と前記第２ゲートウェイ装置とを相互に接続する双方向通信ラインと、を備えるセキュリティシステムによって実行される通信制御方法であって、
    　前記第１ゲートウェイ装置が、前記外部ネットワークから前記内部ネットワークへ向けたインバウンドの伝送データを受信するインバウントデータ受信ステップと、
    　前記第１ゲートウェイ装置が、前記インバウンドの伝送データのアプリケーションレイヤのプロトコルを確認し、前記アプリケーションレイヤのプロトコルが特定プロトコルである場合には、前記インバウンドの伝送データを前記第２ゲートウェイ装置に前記双方向通信ラインを使用して送信し、前記特定プロトコルの通信情報以外の場合には前記インバウンドの伝送データを前記第２ゲートウェイ装置へ送信しないよう構成される第１インバウンド通信処理ステップと、
    　前記第２ゲートウェイ装置が、前記第１ゲートウェイ装置から受信した前記インバウンドの伝送データが前記特定プロトコルの通信情報である場合には、前記特定プロトコルの情報に基づいて、前記内部ネットワークにおける通信の宛先アドレスを取得し、前記宛先アドレスに対して前記インバウンドの伝送データを送信する第２インバウンド通信処理ステップと、を有することを特徴とする通信制御方法。
  12. 　前記セキュリティシステムは、前記第１ゲートウェイ装置と前記第２ゲートウェイ装置とを、前記第２ゲートウェイ装置から前記第１ゲートウェイ装置に向けた片方向通信が可能に接続する片方向通信ラインを、さらに備え、
    　前記第２ゲートウェイ装置が前記内部ネットワークから前記外部ネットワークへ向けたアウトバンド伝送データを受信すると、前記アウトバンド伝送データは、前記双方向通信ラインを経由することなく、前記片方向通信ラインを経由して前記第１ゲートウェイ装置へ送信されるアウトバウンド通信処理ステップを、さらに有することを特徴とする請求項１１に記載の通信制御方法。
  13. 　前記片方向通信ラインは、前記第２ゲートウェイ装置の送信物理ポートと前記第１ゲートウェイ装置の受信物理ポートとを接続する光ファイバケーブルであることを特徴とする請求項１２に記載の通信制御方法。
  14. 　前記双方向通信ラインでは、ルーティングが不可能なプロトコルによる通信が行われるよう構成されることを特徴とする請求項１２または１３に記載の通信制御方法。
  15. 　前記外部ネットワークおよび前記内部ネットワークはＩＰネットワークであることを特徴とする請求項１２～１４のいずれか１項に記載の通信制御方法。
  16. 　前記第１ゲートウェイ装置は、前記特定プロトコルの通信情報をポート番号により識別することを特徴とする請求項１５に記載の通信制御方法。
  17. 　前記アウトバウンド通信処理ステップは、前記内部ネットワークから受信した前記アウトバウンドの伝送データがＵＤＰ／ＩＰ通信である場合には、前記片方向通信ラインを使用した前記アウトバウンドの伝送データの送信を許可するアウトバウンド通信フィルタリングステップを有することを特徴とする請求項１６に記載の通信制御方法。
  18. 　前記特定プロトコルは、標準化されていない独自プロトコルであることを特徴とする請求項１１～１７のいずれか１項に記載の通信制御方法。
  19. 　前記双方向通信ラインは、ＲＳ－２３２Ｃを含むシリアル通信であることを特徴とする請求項１１～１８のいずれか１項に記載の通信制御方法。
  20. 　前記第１ゲートウェイ装置は、第１ファイアウォールを介して前記外部ネットワークに接続され、
    　前記第２ゲートウェイ装置は、第２ファイアウォールを介して前記内部ネットワークに接続されることを特徴とする請求項１１～１９のいずれか１項に記載の通信制御方法。
PCT/JP2016/074219 2015-08-20 2016-08-19 セキュリティシステム、通信制御方法 WO2017030186A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
JP2017535570A JP6518771B2 (ja) 2015-08-20 2016-08-19 セキュリティシステム、通信制御方法
EP16837175.5A EP3288223A4 (en) 2015-08-20 2016-08-19 Security system and communication control method
CN201680043867.2A CN107852359B (zh) 2015-08-20 2016-08-19 安全系统、通信控制方法
KR1020177036961A KR102075228B1 (ko) 2015-08-20 2016-08-19 시큐리티 시스템 및 통신 제어 방법

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US14/831,077 2015-08-20
US14/831,077 US10021072B2 (en) 2015-08-20 2015-08-20 Security system and communication control method

Publications (1)

Publication Number Publication Date
WO2017030186A1 true WO2017030186A1 (ja) 2017-02-23

Family

ID=58050879

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/074219 WO2017030186A1 (ja) 2015-08-20 2016-08-19 セキュリティシステム、通信制御方法

Country Status (6)

Country Link
US (1) US10021072B2 (ja)
EP (1) EP3288223A4 (ja)
JP (1) JP6518771B2 (ja)
KR (1) KR102075228B1 (ja)
CN (1) CN107852359B (ja)
WO (1) WO2017030186A1 (ja)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018098773A (ja) * 2016-10-24 2018-06-21 フィッシャー−ローズマウント システムズ，インコーポレイテッド セキュリティ保護されたプロセス制御通信
US11240201B2 (en) 2016-10-24 2022-02-01 Fisher-Rosemount Systems, Inc. Publishing data across a data diode for secured process control communications
US11336729B2 (en) 2018-11-12 2022-05-17 Mitsubishi Heavy Industries, Ltd. Edge device, connection establishment system, connection establishment method, and non-transitory computer-readable medium
US11389652B2 (en) 2016-04-29 2022-07-19 Lifelens Technologies, Llc Monitoring and management of physiologic parameters of a subject
JP7335124B2 (ja) 2019-10-08 2023-08-29 株式会社チノー データ変換装置

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3402132B1 (en) * 2016-01-08 2020-06-03 Control System Laboratory Ltd. Data diode device with specific packet relay function
US10270745B2 (en) * 2016-10-24 2019-04-23 Fisher-Rosemount Systems, Inc. Securely transporting data across a data diode for secured process control communications
US10619760B2 (en) 2016-10-24 2020-04-14 Fisher Controls International Llc Time-series analytics for control valve health assessment
US10877465B2 (en) * 2016-10-24 2020-12-29 Fisher-Rosemount Systems, Inc. Process device condition and performance monitoring
KR102008951B1 (ko) * 2017-06-01 2019-08-08 한국전자통신연구원 단방향 통신을 이용하여 양방향 통신을 지원하는 장치 및 그 방법
JP7172108B2 (ja) * 2018-04-13 2022-11-16 ブラザー工業株式会社 プログラム及び通信システム
IL268485B (en) * 2018-08-13 2022-04-01 Waterfall Security Solutions Ltd Automatic security response using one-way links
JP2022539154A (ja) * 2019-06-28 2022-09-07 シーラス コーポレイション 生物学的流体処理デバイスを実装するためのシステム及び方法
CN110609533A (zh) * 2019-10-31 2019-12-24 四川德胜集团钒钛有限公司 一种scada数据采集系统的安全架构
CN113992337B (zh) * 2020-07-09 2024-01-26 台众计算机股份有限公司 多信息安全软件的信息安全管理系统
US11621986B2 (en) * 2021-06-29 2023-04-04 Western Digital Technologies, Inc. Peer-to-peer media streaming from an edge data storage device to a browser
KR102627397B1 (ko) * 2021-12-28 2024-01-19 주식회사 어썸블리 동적 포트를 이용한 역방향 네트워크 접속 시스템

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006099590A (ja) * 2004-09-30 2006-04-13 Oki Electric Ind Co Ltd アクセス制御装置、アクセス制御方法およびアクセス制御プログラム
JP2011151606A (ja) * 2010-01-21 2011-08-04 Oki Networks Co Ltd トランスレータ装置、アドレス体系変換方法、アドレス体系変換プログラム及び名前解決サーバ
JP2012523170A (ja) * 2009-04-01 2012-09-27 レイセオン カンパニー データダイオードシステム
US20130152206A1 (en) * 2011-12-07 2013-06-13 Owl Computing Technologies, Inc. Method and apparatus for preventing unauthorized access to information stored in a non-volatile memory
JP2014140096A (ja) * 2013-01-21 2014-07-31 Mitsubishi Electric Corp 通信システム

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3808663B2 (ja) 1999-06-10 2006-08-16 株式会社東芝 計算機ネットワークシステムおよびそのアクセス制御方法
WO2001071496A1 (en) 2000-03-16 2001-09-27 Mynetlab Communications International, Inc. System for data transfer in a secured network environment
US20020186683A1 (en) * 2001-04-02 2002-12-12 Alan Buck Firewall gateway for voice over internet telephony communications
US7320027B1 (en) * 2001-05-14 2008-01-15 At&T Corp. System having generalized client-server computing
JP4575219B2 (ja) * 2005-04-12 2010-11-04 株式会社東芝 セキュリティゲートウェイシステムとその方法およびプログラム
US9231904B2 (en) * 2006-09-25 2016-01-05 Weaved, Inc. Deploying and managing networked devices
CN101026591B (zh) * 2007-04-13 2010-11-03 杭州华三通信技术有限公司 一种网段地址重叠的用户互访方法及路由转发设备
US8566922B2 (en) * 2011-05-25 2013-10-22 Barry W. Hargis System for isolating a secured data communication network
JP5880195B2 (ja) 2012-03-24 2016-03-08 日本電気株式会社 情報処理システム、情報処理方法、情報処理装置およびその制御方法と制御プログラム
WO2013188835A2 (en) * 2012-06-15 2013-12-19 Yoics, Inc. Networking systems
EP2868031B1 (en) * 2012-06-28 2019-04-17 OLogN Technologies AG Secure key storage systems, methods and apparatuses
US8898227B1 (en) 2013-05-10 2014-11-25 Owl Computing Technologies, Inc. NFS storage via multiple one-way data links
US9288238B2 (en) * 2013-10-25 2016-03-15 At&T Intellectual Property I, Lp Optimizing call bearer path using session initiation protocol proxy

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2006099590A (ja) * 2004-09-30 2006-04-13 Oki Electric Ind Co Ltd アクセス制御装置、アクセス制御方法およびアクセス制御プログラム
JP2012523170A (ja) * 2009-04-01 2012-09-27 レイセオン カンパニー データダイオードシステム
JP2011151606A (ja) * 2010-01-21 2011-08-04 Oki Networks Co Ltd トランスレータ装置、アドレス体系変換方法、アドレス体系変換プログラム及び名前解決サーバ
US20130152206A1 (en) * 2011-12-07 2013-06-13 Owl Computing Technologies, Inc. Method and apparatus for preventing unauthorized access to information stored in a non-volatile memory
JP2014140096A (ja) * 2013-01-21 2014-07-31 Mitsubishi Electric Corp 通信システム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
See also references of EP3288223A4 *
TADASHI YAMAMOTO ET AL., OKI TECHNICAL REVIEW, vol. 71, no. 4, 1 October 2004 (2004-10-01), pages 58 - 61, XP003005812 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11389652B2 (en) 2016-04-29 2022-07-19 Lifelens Technologies, Llc Monitoring and management of physiologic parameters of a subject
JP2018098773A (ja) * 2016-10-24 2018-06-21 フィッシャー−ローズマウント システムズ，インコーポレイテッド セキュリティ保護されたプロセス制御通信
JP7007155B2 (ja) 2016-10-24 2022-01-24 フィッシャー－ローズマウント システムズ，インコーポレイテッド セキュリティ保護されたプロセス制御通信
US11240201B2 (en) 2016-10-24 2022-02-01 Fisher-Rosemount Systems, Inc. Publishing data across a data diode for secured process control communications
US11700232B2 (en) 2016-10-24 2023-07-11 Fisher-Rosemount Systems, Inc. Publishing data across a data diode for secured process control communications
US11336729B2 (en) 2018-11-12 2022-05-17 Mitsubishi Heavy Industries, Ltd. Edge device, connection establishment system, connection establishment method, and non-transitory computer-readable medium
JP7335124B2 (ja) 2019-10-08 2023-08-29 株式会社チノー データ変換装置

Also Published As

Publication number Publication date
CN107852359B (zh) 2020-10-23
US10021072B2 (en) 2018-07-10
EP3288223A1 (en) 2018-02-28
CN107852359A (zh) 2018-03-27
KR102075228B1 (ko) 2020-02-07
KR20180011246A (ko) 2018-01-31
JP6518771B2 (ja) 2019-05-22
JPWO2017030186A1 (ja) 2018-03-08
EP3288223A4 (en) 2018-05-30
US20170054687A1 (en) 2017-02-23

Similar Documents

Publication Publication Date Title
JP6518771B2 (ja) セキュリティシステム、通信制御方法
EP3832978B1 (en) Rule-based network-threat detection for encrypted communications
EP1255395B1 (en) External access to protected device on private network
US8266267B1 (en) Detection and prevention of encapsulated network attacks using an intermediate device
US8811397B2 (en) System and method for data communication between a user terminal and a gateway via a network node
US20020083344A1 (en) Integrated intelligent inter/intra networking device
CN112805977A (zh) 公用互联网上的应用传输控制协议隧道
WO2010087326A1 (ja) Ｔｃｐ通信方式
JPWO2006120751A1 (ja) 発着呼を可能とするピア・ツー・ピア通信方法及びシステム
WO2011071190A2 (en) Networking method of communication apparatus, communication apparatus and storage medium
EP3673676A1 (en) Hardware-enforced one-way information flow control device
JP2008306610A (ja) 不正侵入・不正ソフトウェア調査システム、および通信振分装置
JP5625394B2 (ja) ネットワークセキュリティシステムおよび方法
US11588798B1 (en) Protocol free encrypting device
JP5655848B2 (ja) Ｔｃｐ通信方式
JP7028543B2 (ja) 通信システム
JP7114769B2 (ja) 通信システム
US20230030504A1 (en) Transmission device for transmitting data
JP2007150879A (ja) 端末装置および情報通信システム
EP2940944B1 (en) Method and device for processing packet in trill network
JP2014023136A (ja) ゲートウェイ装置、ゲートウェイシステムおよび計算機システム
JP2017188763A (ja) ネットワーク疎通確認システムおよびネットワーク疎通確認方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16837175

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2017535570

Country of ref document: JP

Kind code of ref document: A

ENP Entry into the national phase

Ref document number: 20177036961

Country of ref document: KR

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE