(57)【要約】  本発明は、中継装置を経由した第１の装置から第２の装置へのアクセスにおいて、アクセス制御を行うと同時に、アクセス制御以外の付帯制御を実施可能とする。第１の装置と第１の装置に複数の中継装置を介して接続された第２の装置との間の通信を制御する通信制御装置は、第１の装置から第２の装置へのアクセス制御およびアクセス制御以外の付帯制御を含む制御ポリシと、第１の装置、第２の装置および複数の中継装置の間のネットワーク構成に関するネットワーク構成情報とを参照し、制御ポリシに適合するように、複数の中継装置のうちの少なくともいずれかの中継装置を経由した第１の装置から第２の装置への通信経路を生成する通信経路生成部と、複数の中継装置のうちの通信経路上の中継装置に対して、制御ポリシに含まれるアクセス制御および付帯制御を行うように指示する通信経路制御部と、を備える。
2012173234.tif 000002
【特許請求の範囲】
【請求項１】
第１の装置と該第１の装置に複数の中継装置を介して接続された第２の装置との間の通信を制御する通信制御装置であって、
前記第１の装置から前記第２の装置へのアクセス制御および該アクセス制御以外の付帯制御を含む制御ポリシと、前記第１の装置、前記第２の装置および前記複数の中継装置の間のネットワーク構成に関するネットワーク構成情報とを参照し、該制御ポリシに適合するように、前記第１の装置から前記第２の装置への通信経路であって前記複数の中継装置のうちの少なくともいずれかの中継装置を経由した通信経路を生成する通信経路生成部と、
前記複数の中継装置のうちの前記通信経路上の中継装置に対して、前記制御ポリシに含まれる前記アクセス制御および前記付帯制御を行うように指示する通信経路制御部と、を備える、通信制御装置。
【請求項２】
前記制御ポリシは、実行順序に関する制約が課された複数の付帯制御を含み、
前記通信経路生成部は、前記制約を満たすように前記通信経路を生成する、請求項１に記載の通信制御装置。
【請求項３】
前記制御ポリシは、第１の付帯制御と該第１の付帯制御の後に実行すべき第２の付帯制御とを含み、
前記複数の中継装置は、前記第１の付帯制御を実施する第１の中継装置と前記第２の付帯制御を実施する第２の中継装置とを含み、
前記通信経路生成部は、前記第１の中継装置を経由した後に前記第２の中継装置を経由するように、前記通信経路を生成する、請求項２に記載の通信制御装置。
【請求項４】
前記通信経路生成部は、複数の通信経路が前記制御ポリシに適合する場合には、該複数の通信経路のうちの経路長が最短の通信経路を選択する、請求項１ないし３のいずれか１項に記載の通信制御装置。
【請求項５】
前記通信経路生成部は、複数の通信経路が前記制御ポリシに適合する場合には、該複数の通信経路のうちの経路上の最小帯域幅が最大の通信経路を選択する、請求項１ないし３のいずれか１項に記載の通信制御装置。
【請求項６】
前記制御ポリシに含まれる付帯制御は、通信データの検査、通信データの記録、通信データの暗号化、および、通信データの復号化のうちの少なくともいずれかを含む、請求項１ないし５のいずれか１項に記載の通信制御装置。
【請求項７】
請求項１ないし６のいずれか１項に記載の通信制御装置と、
前記通信制御装置によって制御される前記複数の中継装置と、を備える、通信システム。
【請求項８】
第１の装置と該第１の装置に複数の中継装置を介して接続された第２の装置との間の通信を制御する通信制御装置が、該第１の装置から該第２の装置へのアクセス制御および該アクセス制御以外の付帯制御を含む制御ポリシと、該第１の装置、該第２の装置および該複数の中継装置の間のネットワーク構成に関するネットワーク構成情報とを参照する工程と、
前記制御ポリシに適合するように、前記第１の装置から前記第２の装置への通信経路であって前記複数の中継装置のうちの少なくともいずれかの中継装置を経由した通信経路を生成する工程と、
前記複数の中継装置のうちの前記通信経路上の中継装置に対して、前記制御ポリシに含まれる前記アクセス制御および前記付帯制御を行うように指示する工程と、を含む、通信制御方法。
【請求項９】
前記制御ポリシは、実行順序に関する制約が課された複数の付帯制御を含み、
前記通信経路生成工程において、前記制約を満たすように前記通信経路を生成する、請求項８に記載の通信制御方法。
【請求項１０】
前記制御ポリシは、第１の付帯制御と該第１の付帯制御の後に実行すべき第２の付帯制御とを含み、
前記複数の中継装置は、前記第１の付帯制御を実施する第１の中継装置と前記第２の付帯制御を実施する第２の中継装置とを含み、
前記通信経路生成工程において、前記第１の中継装置を経由した後に前記第２の中継装置を経由するように、前記通信経路を生成する、請求項９に記載の通信制御方法。
【請求項１１】
前記通信経路生成工程において、前記制御ポリシに適合する複数の通信経路のうちの経路長が最短の通信経路を選択する、請求項８ないし１０のいずれか１項に記載の通信制御方法。
【請求項１２】
前記通信経路生成工程において、前記制御ポリシに適合する複数の通信経路のうちの経路上の最小帯域幅が最大の通信経路を選択する、請求項８ないし１０のいずれか１項に記載の通信制御方法。
【請求項１３】
前記制御ポリシに含まれる付帯制御は、通信データの検査、通信データの記録、通信データの暗号化、および、通信データの復号化のうちの少なくともいずれかを含む、請求項８ないし１２のいずれか１項に記載の通信制御方法。
【請求項１４】
第１の装置から該第１の装置に複数の中継装置を介して接続された第２の装置へのアクセス制御および該アクセス制御以外の付帯制御を含む制御ポリシを格納した制御ポリシＤＢと、該第１の装置、該第２の装置および該複数の中継装置の間のネットワーク構成に関するネットワーク構成情報を格納したネットワーク構成ＤＢとを参照する処理と、
前記制御ポリシに適合するように、前記第１の装置から前記第２の装置への通信経路であって前記複数の中継装置のうちの少なくともいずれかの中継装置を経由した通信経路を生成する処理と、
前記複数の中継装置のうちの前記通信経路上の中継装置に対して、前記制御ポリシに含まれる前記アクセス制御および前記付帯制御を行うように指示する処理と、をコンピュータに実行させる、プログラム。
【請求項１５】
前記制御ポリシは、実行順序に関する制約が課された複数の付帯制御を含み、
前記通信経路生成処理において、前記制約を満たすように前記通信経路を生成する、請求項１４に記載のプログラム。
【請求項１６】
前記制御ポリシは、第１の付帯制御と該第１の付帯制御の後に実行すべき第２の付帯制御とを含み、
前記複数の中継装置は、前記第１の付帯制御を実施する第１の中継装置と前記第２の付帯制御を実施する第２の中継装置とを含み、
前記通信経路生成処理において、前記第１の中継装置を経由した後に前記第２の中継装置を経由するように、前記通信経路を生成する、請求項１５に記載のプログラム。
【請求項１７】
前記通信経路生成処理において、前記制御ポリシに適合する複数の通信経路のうちの経路長が最短の通信経路を選択する、請求項１４ないし１６のいずれか１項に記載のプログラム。
【請求項１８】
前記通信経路生成処理において、前記制御ポリシに適合する複数の通信経路のうちの経路上の最小帯域幅が最大の通信経路を選択する、請求項１４ないし１６のいずれか１項に記載のプログラム。
【請求項１９】
前記制御ポリシに含まれる付帯制御は、通信データの検査、通信データの記録、通信データの暗号化、および、通信データの復号化のうちの少なくともいずれかを含む、請求項１４ないし１８のいずれか１項に記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願についての記載）
本発明は、日本国特許出願：特願２０１１−１３４９９５号（２０１１年６月１７日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。【０００２】
本発明は、通信制御装置、通信制御方法およびプログラムに関し、特に、ユーザ属性情報およびサービス情報に基づく抽象的なアクセス制御情報を記述可能とし、当該アクセス制御情報に基づいて、任意のネットワークスイッチにおけるネットワーク通信可否の制御、通信内容の監視、変換等を実施可能とする通信制御装置、通信制御方法およびプログラムに関する。
【背景技術】
【０００３】
ネットワークアクセス制御システムの一例が、特許文献１に記載されている。図１０に示すように、特許文献１に記載されたネットワークアクセス制御システムは、ファイアウォール・サーバ装置３０１と、ディレクトリ・サーバ装置３０２と、を含むネットワーク通信システムである。【０００４】
ここで、ファイアウォール・サーバ装置３０１は、図１１に示すように、通信経路を制御するデータ中継制御プログラム４１２と、当該サーバ装置における通信経路情報を格納する中継経路テーブル４１４と、ディレクトリ・サーバ装置３０２を介して複数のファイアウォール・サーバ装置で通信経路情報を共有・同期するためのディレクトリ情報同期プログラム４１３とを有する。【０００５】
特許文献１に記載されたネットワーク通信システムでは、同文献の段落［００２８］に記載されているとおり、所定のディレクトリ・サーバ装置３０２に格納された通信経路情報（図１２参照）にしたがって、ネットワーク内に分散配置されたファイアウォール・サーバ装置３０１のそれぞれが通信経路を制御する。【０００６】
また、同文献の段落［００２６］に記載されているように、ディレクトリ・サーバ装置３０２には、「どのユーザがどのネットワークドメインにアクセス可能か」といったアクセス権限を通信経路情報の属性として設定できるようになっている。特許文献１に記載されたネットワークアクセス制御システムは、これらのアクセス権限および通信経路情報を参照しつつ、ユーザごとに異なる通信経路を決定・制御する。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開平１０−１５４１１８号公報（図１、図２、図５、段落［００２６］、［００２８］）
【発明の概要】
【発明が解決しようとする課題】
【０００８】
以下の分析は、本発明者によってなされたものである。【０００９】
近年のネットワークアクセス制御においては、アクセス可否の制御のみならず、通信データ（ペイロード）の検査、通信記録の保管等の付帯制御を実施することが求められている。【００１０】
特許文献１に記載されたネットワークアクセス制御システムでは、ファイアウォール・サーバ装置によるアクセス制御方法およびファイアウォール・サーバ装置間の通信経路の制御方法が記載されている。しかし、特許文献１に記載されたシステムにおいては、ペイロード検査、通信記録の保管等の付帯制御を実施することが困難であるという問題がある。【００１１】
上記のような付帯制御を実施するためには、特別なネットワーク中継装置（アプリケーション・ファイアウォール装置、ネットワークロガー装置等）が必要となり、各ネットワーク中継装置で行われる処理に特有のルールを設定・制御することが必要とされる。しかし、特許文献１に記載されたネットワーク構成情報（ディレクトリデータベース）においては、アクセス権限およびファイアウォール・サーバ装置の経路情報以外の設定方法が記載されていない。【００１２】
上記の問題を解決するには、少なくとも以下の手段（１）ないし（３）が必要とされる。
（１）中継装置の種類または装置ごとに異なるルールを格納する手段
（２）対応する中継装置に対応するルールを適切に設定する手段
（３）ユーザ（またはユーザ端末）・通信先サーバ（または通信先ドメイン）に応じて指定される付帯制御を実施するように、中継装置が配置された通信経路を生成する手段【００１３】
これらの手段のうちの手段（１）、（２）については、特許文献１に記載されたネットワーク通信システムにおいて、当該ネットワーク構成情報におけるオブジェクト属性と呼ばれる設定情報の格納領域を拡張して、中継装置の種類または中継装置固有の設定情報を格納し、対応する装置に設定する方法が考えられる。【００１４】
しかしながら、手段（３）について、特許文献１に記載されたシステムでは、ＩＰ（Internet Protocol）パケットのペイロード検査ルール、通信記録の保管等に関する付帯制御の概念を有しておらず、付帯制御を実施するように通信経路を生成する手段についても記載されていない。【００１５】
したがって、ユーザ（またはユーザ端末）・通信先サーバ（または通信先ドメイン）の組み合わせにより通信を制御するネットワークアクセス制御システムにおいて、ＩＰパケットのペイロード検査ルール、通信記録の保管等に関する付帯制御を実現可能とすることが望まれる。また、付帯制御を実施するようにネットワーク中継装置を選択するとともに、通信経路を自動的に生成することが望ましい。【００１６】
そこで、中継装置を経由した第１の装置から第２の装置へのアクセスにおいて、アクセス制御を行うと同時に、アクセス制御以外の付帯制御を実施可能とすることが課題となる。本発明の目的は、かかる課題を解決する通信制御装置、通信制御方法およびプログラムを提供することにある。
【課題を解決するための手段】
【００１７】
本発明の第１の視点に係る通信制御装置は、
第１の装置と該第１の装置に複数の中継装置を介して接続された第２の装置との間の通信を制御する通信制御装置であって、
前記第１の装置から前記第２の装置へのアクセス制御および該アクセス制御以外の付帯制御を含む制御ポリシと、前記第１の装置、前記第２の装置および前記複数の中継装置の間のネットワーク構成に関するネットワーク構成情報とを参照し、該制御ポリシに適合するように、前記第１の装置から前記第２の装置への通信経路であって前記複数の中継装置のうちの少なくともいずれかの中継装置を経由した通信経路を生成する通信経路生成部と、
前記複数の中継装置のうちの前記通信経路上の中継装置に対して、前記制御ポリシに含まれる前記アクセス制御および前記付帯制御を行うように指示する通信経路制御部と、を備える。【００１８】
本発明の第２の視点に係る通信制御方法は、
第１の装置と該第１の装置に複数の中継装置を介して接続された第２の装置との間の通信を制御する通信制御装置が、該第１の装置から該第２の装置へのアクセス制御および該アクセス制御以外の付帯制御を含む制御ポリシと、該第１の装置、該第２の装置および該複数の中継装置の間のネットワーク構成に関するネットワーク構成情報とを参照する工程と、
前記制御ポリシに適合するように、前記第１の装置から前記第２の装置への通信経路であって前記複数の中継装置のうちの少なくともいずれかの中継装置を経由した通信経路を生成する工程と、
前記複数の中継装置のうちの前記通信経路上の中継装置に対して、前記制御ポリシに含まれる前記アクセス制御および前記付帯制御を行うように指示する工程と、を含む。【００１９】
本発明の第３の視点に係るプログラムは、
第１の装置から該第１の装置に複数の中継装置を介して接続された第２の装置へのアクセス制御および該アクセス制御以外の付帯制御を含む制御ポリシを格納した制御ポリシＤＢと、該第１の装置、該第２の装置および該複数の中継装置の間のネットワーク構成に関するネットワーク構成情報を格納したネットワーク構成ＤＢとを参照する処理と、
前記制御ポリシに適合するように、前記第１の装置から前記第２の装置への通信経路であって前記複数の中継装置のうちの少なくともいずれかの中継装置を経由した通信経路を生成する処理と、
前記複数の中継装置のうちの前記通信経路上の中継装置に対して、前記制御ポリシに含まれる前記アクセス制御および前記付帯制御を行うように指示する処理と、をコンピュータに実行させる。【００２０】
なお、プログラムは、非トランジエント（non-transient）なコンピュータ読み取り可能な記録媒体に記録されていてもよい。
【発明の効果】
【００２１】
本発明に係る通信制御装置、通信制御方法およびプログラムによると、中継装置を経由した第１の装置から第２の装置へのアクセスにおいて、アクセス制御を行うと同時に、アクセス制御以外の付帯制御を実施することが可能となる。
【図面の簡単な説明】
【００２２】
【図１】一実施形態に係る通信制御装置を備えたネットワークアクセス制御システム（通信システム）の構成を一例として示すブロック図である。
【図２】一実施形態に係る通信制御装置の動作を一例として示すフローチャートである。
【図３】一実施形態に係る通信制御装置のポリシ編集部による制御ポリシ編集動作を一例として示す図である。
【図４】一実施形態に係る通信制御装置の制御ポリシＤＢにおける制御ポリシの格納形式を一例として示す図である。
【図５】一実施形態に係る通信制御装置の通信経路生成部の詳細な動作を一例として示すフローチャートである。
【図６】一実施形態における制御ポリシの配付スケジュール編集画面を一例として示す図である。
【図７】一実施形態に係る通信制御装置のネットワーク構成ＤＢに格納されたネットワーク構成グラフを一例として示す図である。
【図８】一実施形態における通信経路情報を一例として示す図である。
【図９】一実施形態に係る通信制御装置の付帯制御制約ＤＢにおけるデータ構造を一例として示す図である。
【図１０】特許文献１に記載されたネットワークアクセス制御システムの全体の構成を示すブロック図である。
【図１１】特許文献１に記載されたネットワークアクセス制御システムの構成を示すブロック図である。
【図１２】特許文献１に記載されたネットワークアクセス制御システムの通信経路情報の一例を示す図である。
【発明を実施するための形態】
【００２３】
はじめに、本発明の概要について説明する。なお、この概要に付記する図面参照符号は、専ら理解を助けるための例示であり、本発明を図示の態様に限定することを意図するものではない。
【００２４】
図１を参照すると、本発明の通信制御装置（１０）は、第１の装置（例えばユーザ端末１）と、第１の装置に複数の中継装置（例えばネットワーク中継装置２Ａ〜２Ｃ）を介して接続された第２の装置（例えばサーバ装置３）との間の通信を制御する通信制御装置であって、第１の装置から第２の装置へのアクセス制御およびアクセス制御以外の付帯制御を含む制御ポリシ（図３参照）と、第１の装置、第２の装置および複数の中継装置の間のネットワーク構成に関するネットワーク構成情報とを参照し、制御ポリシに適合するように、第１の装置から第２の装置への通信経路であって複数の中継装置のうちの少なくともいずれかの中継装置を経由した通信経路を生成する通信経路生成部（４０３）と、複数の中継装置のうちの前記通信経路上の中継装置に対して、制御ポリシに含まれるアクセス制御および付帯制御を行うように指示する通信経路制御部（４０４）と、を備える。
【００２５】
図９を参照すると、制御ポリシは、実行順序に関する制約が課された複数の付帯制御を含み、通信経路生成部（４０３）は、制約を満たすように通信経路を生成するようにしてもよい。すなわち、制御ポリシは、第１の付帯制御（例えば通信データの復号化）と第１の付帯制御の後に実行すべき第２の付帯制御（通信データの記録）とを含み、複数の中継装置は、第１の付帯制御を実施する第１の中継装置と第２の付帯制御を実施する第２の中継装置とを含み、通信経路生成部（４０３）は、第１の中継装置を経由した後に第２の中継装置を経由するように、通信経路を生成するようにしてもよい。
【００２６】
また、通信経路生成部（４０３）は、複数の通信経路が制御ポリシに適合する場合には、複数の通信経路のうちの経路長が最短の通信経路を選択するようにしてもよい。さらに、通信経路生成部（４０３）は、複数の通信経路が制御ポリシに適合する場合には、複数の通信経路のうちの経路上の最小帯域幅が最大の通信経路を選択するようにしてもよい。
【００２７】
図３および図９を参照すると、制御ポリシに含まれる付帯制御は、通信データの検査、通信データの記録、通信データの暗号化、および、通信データの復号化のうちの少なくともいずれかを含んでいてもよい。
【００２８】
本発明に係る通信制御装置（１０）によると、ユーザ（またはユーザ端末）・通信先サーバ（または通信先ドメイン）の組み合わせにより通信を制御するネットワークアクセス制御システムにおいて、ＩＰパケットのペイロード検査ルール、通信記録の保管等に関する付帯制御を記述可能とし、付帯制御を実施するようにネットワーク中継装置を選択するとともに、通信経路を自動的に生成することが可能となる。すなわち、本発明によると、アクセス可否の制御に加えて、通信データに対するウィルス検査、暗号化、ログ記録等のより高度なセキュリティ制御を自動的に実施することが可能となる。
【００２９】
その理由は、通信経路生成部は、パケットヘッダの検査だけで判別可能なアクセス可否の制御に関するアクセス制御に加えて、ペイロードの検査・処理を要するウィルス検査、暗号化、ログ記録等に関する付帯制御も同時に実施するように、ファイアウォール装置、ウィルス検査装置、暗号化装置、ログ記録装置等のネットワーク中継装置を含む通信経路情報を生成および設定するからである。
【００３０】
本発明において、下記の形態が可能である。
【００３１】
［形態１］
上記第１の視点に係る通信制御装置のとおりである。
【００３２】
［形態２］
前記制御ポリシは、実行順序に関する制約が課された複数の付帯制御を含み、
前記通信経路生成部は、前記制約を満たすように前記通信経路を生成するようにしてもよい。
【００３３】
［形態３］
前記制御ポリシは、第１の付帯制御と該第１の付帯制御の後に実行すべき第２の付帯制御とを含み、
前記複数の中継装置は、前記第１の付帯制御を実施する第１の中継装置と前記第２の付帯制御を実施する第２の中継装置とを含み、
前記通信経路生成部は、前記第１の中継装置を経由した後に前記第２の中継装置を経由するように、前記通信経路を生成するようにしてもよい。
【００３４】
［形態４］
前記通信経路生成部は、複数の通信経路が前記制御ポリシに適合する場合には、該複数の通信経路のうちの経路長が最短の通信経路を選択するようにしてもよい。
【００３５】
［形態５］
前記通信経路生成部は、複数の通信経路が前記制御ポリシに適合する場合には、該複数の通信経路のうちの経路上の最小帯域幅が最大の通信経路を選択するようにしてもよい。
【００３６】
［形態６］
前記制御ポリシに含まれる付帯制御は、通信データの検査、通信データの記録、通信データの暗号化、および、通信データの復号化のうちの少なくともいずれかを含んでいてもよい。
【００３７】
［形態７］
前記通信制御装置と、
前記通信制御装置によって制御される前記複数の中継装置と、を備える、通信システムが提供される。
【００３８】
［形態８］
上記第２の視点に係る通信制御方法のとおりである。
【００３９】
［形態９］
上記通信制御方法において、
前記制御ポリシは、実行順序に関する制約が課された複数の付帯制御を含み、
前記通信経路生成工程において、前記制約を満たすように前記通信経路を生成するようにしてもよい。
【００４０】
［形態１０］
上記通信制御方法において、
前記制御ポリシは、第１の付帯制御と該第１の付帯制御の後に実行すべき第２の付帯制御とを含み、
前記複数の中継装置は、前記第１の付帯制御を実施する第１の中継装置と前記第２の付帯制御を実施する第２の中継装置とを含み、
前記通信経路生成工程において、前記第１の中継装置を経由した後に前記第２の中継装置を経由するように、前記通信経路を生成するようにしてもよい。
【００４１】
［形態１１］
前記通信経路生成工程において、前記制御ポリシに適合する複数の通信経路のうちの経路長が最短の通信経路を選択するようにしてもよい。
【００４２】
［形態１２］
前記通信経路生成工程において、前記制御ポリシに適合する複数の通信経路のうちの経路上の最小帯域幅が最大の通信経路を選択するようにしてもよい。
【００４３】
［形態１３］
上記通信制御方法において、
前記制御ポリシに含まれる付帯制御は、通信データの検査、通信データの記録、通信データの暗号化、および、通信データの復号化のうちの少なくともいずれかを含んでいてもよい。
【００４４】
［形態１４］
上記第３の視点に係るプログラムのとおりである。
【００４５】
［形態１５］
上記プログラムにおいて、
前記制御ポリシは、実行順序に関する制約が課された複数の付帯制御を含み、
前記通信経路生成処理において、前記制約を満たすように前記通信経路を生成するようにしてもよい。
【００４６】
［形態１６］
上記プログラムにおいて、
前記制御ポリシは、第１の付帯制御と該第１の付帯制御の後に実行すべき第２の付帯制御とを含み、
前記複数の中継装置は、前記第１の付帯制御を実施する第１の中継装置と前記第２の付帯制御を実施する第２の中継装置とを含み、
前記通信経路生成処理において、前記第１の中継装置を経由した後に前記第２の中継装置を経由するように、前記通信経路を生成するようにしてもよい。
【００４７】
［形態１７］
前記通信経路生成処理において、前記制御ポリシに適合する複数の通信経路のうちの経路長が最短の通信経路を選択するようにしてもよい。
【００４８】
［形態１８］
前記通信経路生成処理において、前記制御ポリシに適合する複数の通信経路のうちの経路上の最小帯域幅が最大の通信経路を選択するようにしてもよい。
【００４９】
［形態１９］
上記プログラムにおいて、
前記制御ポリシに含まれる付帯制御は、通信データの検査、通信データの記録、通信データの暗号化、および、通信データの復号化のうちの少なくともいずれかを含んでいてもよい。
【００５０】
（実施形態）
次に、一実施形態に係る通信制御装置について、図面を参照して詳細に説明する。図１は、本実施形態の通信制御装置を備えたネットワークアクセス制御システム（通信システム）の構成を一例として示すブロック図である。
【００５１】
図１を参照すると、ネットワークアクセス制御システムは、通信制御装置１０、ユーザ端末１、ネットワーク中継装置２Ａ〜２Ｃ、および、サーバ装置３を備えている。また、通信制御装置１０は、ポリシ編集部４０１、制御ポリシＤＢ（Database）４０２、通信経路生成部４０３、ネットワーク構成ＤＢ４０３２、付帯制御制約ＤＢ４０３１、および、通信経路制御部４０４を備えている。
【００５２】
図１を参照すると、ネットワークアクセス制御システムは、ユーザ端末１、ネットワーク中継装置２、および、サーバ装置３等の複数のネットワークノードを有する。
【００５３】
ポリシ編集部４０１は、アクセス主体、アクセス対象およびアクセス種別を含むアクセス制御に加えて、通信データ（ペイロード）の検査や通信ログの記録等を指示する付帯制御が記述された制御ポリシを出力する。制御ポリシＤＢ４０２は、ポリシ編集部４０１から出力された制御ポリシを格納する。
【００５４】
ネットワーク構成ＤＢ４０３２は、上記の複数のネットワークノードの物理的構成、および、現在の経路情報等を含む論理的構成を保持する。一方、付帯制御制約ＤＢ４０３１は、付帯制御の実施順序に課された制約を付帯制御制約として保持する。
【００５５】
通信経路生成部４０３は、制御ポリシＤＢ４０２に格納された制御ポリシ、ネットワーク構成ＤＢ４０３２、および、付帯制御制約ＤＢ４０３１を参照して、当該制御ポリシに適合する通信経路情報を生成する。通信経路制御部４０４は、通信経路生成部４０３により生成された通信経路情報に基づいて、上記の複数のネットワークノードに対して経路変更を指示する。
【００５６】
また、通信経路生成部４０３は、上記のアクセス制御とネットワーク構成ＤＢ４０３２を参照して、アクセス主体からアクセス対象に至る通信経路の候補を抽出し、複数の候補が抽出された場合には、複数の候補の中から付帯制御および付帯制御制約を満たす１つの通信経路を選択し、選択した通信経路を通信経路情報として通信経路制御部４０４に出力するようにしてもよい。通信経路制御部４０４は、通信経路制御部４０３から出力された通信経路情報に基づいて、制御ポリシに合致する通信経路を複数のネットワーク中継装置に設定する。
【００５７】
図２は、本実施形態の通信制御装置１０の動作を一例として示すフローチャートである。図２のフローチャートを参照して、通信制御装置１０の動作について詳細に説明する。
【００５８】
まず、ポリシ編集部４０１において、アクセス制御システムの利用者であるセキュリティ管理者が、ユーザのユーザ端末１とサーバ装置３との組み合わせに関する制御ポリシを入力する（ステップＳ１）。
【００５９】
図３は、ポリシ編集部４０１による制御ポリシ編集動作の具体例を示す図である。図３に例示するようなＧＵＩ（Graphical User Interface）を介して、制御ポリシとして、アクセス主体、アクセス対象およびアクセス種別を含むアクセス制御に加えて、付帯制御を指定することができる。図３に例示するように、暗号化、通信ログ記録等の付帯制御であって、ネットワーク中継装置２Ａ〜２Ｃにおいて利用可能、かつ、アクセス制御に合致する通信データに対して実施すべき付帯制御を選択および指定する。
【００６０】
入力された制御ポリシは、制御ポリシＤＢ４０２に格納される（ステップＳ２）。制御ポリシＤＢ４０２における制御ポリシの格納形式は、ＸＡＣＭＬ（eXtensible Access Control Markup Language）等の任意の形式でよい。
【００６１】
図４は、制御ポリシＤＢ４０２における制御ポリシの格納形式を一例として示す図である。図４に示すように、制御ポリシの格納形式は、アクセス主体・アクセス対象・アクセス種別を含むアクセス制御と、当該アクセス制御に複数の付帯制御を紐付けることができる形式とすることが好ましい。なぜなら、１つのアクセス制御に対して複数の付帯制御が指定される可能性がある上、付帯制御はアクセス制御と比較してネットワーク中継装置２Ａ〜２Ｃの入れ替えや増設等に応じて変更される頻度が高いからである。
【００６２】
次に、通信経路生成部４０３は、制御ポリシＤＢ４０２に格納された制御ポリシを読み込み、付帯制御制約ＤＢ４０３１およびネットワーク構成ＤＢ４０３２を参照して、通信経路情報を生成する（ステップＳ３）。
【００６３】
図５は、通信経路生成部４０３による通信経路情報の生成手順を一例として示すフローチャートである。図５を参照すると、通信経路生成部４０３は、制御ポリシＤＢ４０２に格納されている制御ポリシを読み込む（ステップＳ３１）。読み込み対象のポリシを選択するには、バッチスクリプト、コマンドライン等の任意の方法を用いることができる。
【００６４】
図６は、制御ポリシの配付スケジュール編集画面を一例として示す図である。図６に示すような配付スケジュール設定ＧＵＩにより、時刻に応じてポリシを自動的に読み込ませる方法を採用してもよい。
【００６５】
次に、通信経路生成部４０３は、ネットワーク構成ＤＢ４０３２を参照して、当該制御ポリシのアクセス制御に指定されたアクセス元のユーザ端末１からアクセス対象のサーバ装置３へのアクセスが可能な通信経路をすべて探索して、通信経路候補を抽出する（ステップＳ３２）。ここで、ネットワーク構成ＤＢ４０３２には、制御対象であるすべてのユーザ端末１、ネットワーク中継装置２Ａ〜２Ｃ、および、サーバ装置３の物理的または論理的なネットワーク構成がグラフ（以下「ネットワーク構成グラフ」という。）の形式で格納されている。
【００６６】
図７は、ネットワーク構成ＤＢ４０３２に格納されたネットワーク構成グラフを一例として示す図である。図７を参照すると、経理部ユーザドメイン、経理Ｗｅｂおよび全社共通グループウェアに設けられた、ユーザ端末１Ａ〜１Ｃ、ネットワーク中継装置であるＨＴＴＰ（Hypertext Transfer Protocol）プロキシ２Ｄ、ＳＳＬ（Secure Socket Layer）装置２Ｅ、パケットログ装置２Ｆ、ＵＲＬ（Uniform Resource Locator）フィルタ装置２Ｇ、ファイアウォール装置２Ｈ、および、サーバ装置３Ａ〜３Ｃのネットワーク構成が示されている。
【００６７】
通信経路生成部４０３は、当該ネットワーク構成グラフを走査して、始点であるユーザ端末１と、終点であるサーバ装置３を含む部分グラフを抽出し、当該部分グラフを通信経路候補として抽出する。
【００６８】
次に、通信経路生成部４０３は、付帯制御制約ＤＢ４０３１および上記制御ポリシで指定された付帯制御を参照して、通信経路候補の中から付帯制御を実施可能な通信経路を選択する（ステップＳ３３）。
【００６９】
図８は、通信経路情報を一例として示す図である。図８を参照すると、通信経路情報は、ネットワーク中継装置の識別子（中継装置識別子）ごとに、アクセス制御に対応するアクセス元ドメイン、アクセス対象ドメインおよびプロトコル（アクセス種別）の組と、当該ネットワーク中継装置に対応した付帯制御を実施するためのコマンドと、当該ネットワーク中継装置の次の転送先に相当するネットワーク中継装置の識別子とを含む。なお、中継装置識別子は、後述するように、通信経路制御部４０４からネットワーク中継装置へ通信経路情報を配付するために用いられる識別子である。通信経路制御部４０４と各ネットワーク中継装置とを含む管理ネットワークが構築されている場合には、中継装置識別子として、例えば、当該管理ネットワーク上のネットワーク中継装置のＩＰアドレスを用いることができる。
【００７０】
付帯制御制約ＤＢ４０３１は、付帯制御の実施順序の制約に関する情報を保持している。制御ポリシにおいて、付帯制御として、例えば、ＳＳＬ（Secure Socket Layer）装置等で実施される「通信データ復号化」と、パケットログ装置等で実施される「通信データ記録」とが指定されていた場合には、一般に、通信データ復号化をパケットログ記録よりも先に実施する必要がある。なぜなら、通信データ記録を先に実施した場合には、パケットログとして暗号化された通信データが記録され、有用なログが得られないからである。そこで、付帯制御制約ＤＢ４０３１は、一例として、個々の付帯制御の順序関係を示す有向グラフを保持する。
【００７１】
図９は、付帯制御制約ＤＢ４０３１におけるデータ構造を一例として示す図である。通信経路生成部４０３は、当該有向グラフを走査して、指定された付帯制御を実施可能な順序に整列する。なお、図９に例示したように、一部の付帯制御の間には、順序関係が定義されていなくてもよい。すなわち、付帯制御制約は、半順序関係であってもよい。
【００７２】
通信制御生成部４０３は、通信経路候補を含む部分グラフをさらに走査して、整列された付帯制御に対応した順序でネットワーク中継装置２を含む経路を特定する。なお、複数の経路が同条件に合致する場合に、さらに経路を絞り込む方法として様々な方法を用いることができる。一例として、経路長が最も短い経路を選択して、通信性能の向上を図るようにしてもよい。また、上記のネットワーク構成グラフに経路の帯域幅情報が付与されている場合には、経路上の最小の帯域幅が最大となる経路を選択して、エンドツーエンドの帯域幅を保証するようにしてもよい。
【００７３】
次に、通信経路生成部４０３は、生成した通信経路情報を通信経路制御部４０４に出力する（ステップＳ３４）。
【００７４】
通信経路制御部４０４は、通信経路生成部４０３から通信経路情報を受けると、通信経路情報に含まれるネットワーク中継装置２の設定情報を各ネットワーク中継装置２に配付および設定する（図２のステップＳ４）。
【００７５】
次に、本実施形態に係る通信制御装置１０によってもたらされる効果について説明する。通信経路生成部４０３は、付帯制御を含む制御ポリシを、付帯制御を実施するネットワーク中継ノード２を含む通信経路情報に変換し、ネットワーク中継ノード２に配付および設定することで、制御ポリシで指定されたアクセス元およびアクセス対象の組に応じて、通信データの暗号化、ログ記録等を実施することができる。
【００７６】
本発明は、一例として、データセンタや企業イントラネット等のネットワークシステムにおける情報セキュリティ対策の一環として、通信データの暗号化、検査、ログ記録等の用途に適用することができる。
【００７７】
なお、上記の特許文献等の先行技術文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素（各請求項の各要素、各実施形態の各要素、各図面の各要素等を含む）の多様な組み合わせないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。
【符号の説明】
【００７８】
１、１Ａ〜１Ｃ    ユーザ端末
２Ａ〜２Ｃ    ネットワーク中継装置
２Ｄ    ＨＴＴＰプロキシ
２Ｅ    ＳＳＬ装置
２Ｆ    パケットログ装置
２Ｇ    ＵＲＬフィルタ装置
２Ｈ    ファイアウォール装置
３、３Ａ〜３Ｃ    サーバ装置
１０    通信制御装置
３０１    ファイアウォール・サーバ装置
３０２    ディレクトリ・サーバ装置
４０１    ポリシ編集部
４０２    制御ポリシＤＢ
４０３    通信経路生成部
４０４    通信経路制御部
４１２    データ中継制御プログラム
４１３    ディレクトリ情報同期プログラム
４１４    中継経路テーブル
４０３１    付帯制御制約ＤＢ
４０３２    ネットワーク構成ＤＢ
【図１】
2012173234.tif 000003
【図２】
2012173234.tif 000004
【図３】
2012173234.tif 000005
【図４】
2012173234.tif 000006
【図５】
2012173234.tif 000007
【図６】
2012173234.tif 000008
【図７】
2012173234.tif 000009
【図８】
2012173234.tif 000010
【図９】
2012173234.tif 000011
【図１０】
2012173234.tif 000012
【図１２】
2012173234.tif 000013
【図１１】
2012173234.tif 000014
【国際調査報告】
2012173234.tif 000015
2012173234.tif 000016
2012173234.tif 000017
2012173234.tif 000018