(57)【要約】【課題】  大量のデータが送りつけられる内部ネットワークへの攻撃に対して有効な通信路のデータ量監視制御システムを提供する。【解決手段】  内部ネットワークと外部ネットワークとの間を転送されるデータ量を計測し、スイッチ制御ユニットに対してスイッチ動作の指示信号を出力する診断検査用中継器と、前記スイッチ制御ユニットの指示信号によって、内部ネットワークと外部ネットワークとの間のスイッチを排他制御するようにした。【選択図】図１
2006128954.tif 000002
【特許請求の範囲】
【請求項１】
外部ネットワークと内部ネットワークとの間に介在される通信路のデータ量監視制御装置であって、
外部ネットワークに接続され、パケットデータを一時格納するバッファを有する外部側中継器と、
内部ネットワークに接続され、パケットデータを一時格納するバッファを有する内部側中継器と、
転送されるデータ量を計測し、スイッチ制御ユニットに対してスイッチ動作の指示信号を出力する診断検査用中継器と、
前記スイッチ制御ユニットの指示信号によって、前記内部側中継器と診断検査用中継器との接続／開放、および前記診断検査用中継器と外部側中継器との開放／接続を排他的に行う第１のスイッチと、
同じく前記スイッチ制御ユニットの指示信号によって、前記診断検査用中継器と前記内部側中継器との開放／接続、および前記外部側中継器と前記診断検査用中継器との接続／開放を排他的に行う第２のスイッチとからなる通信路のデータ量監視制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおけるセキュリティ、特に大量のデータが外部ネットワークから内部ネットワークに送りつけられる異常なデータや大量なデータに対して有効なセキュリティ技術に関する。
【背景技術】
【０００２】
ネットワークを介して進入するウィルスから内部システムを保護する先行技術として、特開平１０−２０７８３９号（特許文献１）が知られている。
かかる先行技術では、通信回線を介して得られたデータからなるファイルを読み書きできるメモリ内に格納し、このメモリに格納したファイル内にウィルスが存在する時又はその可能性があると判断したときに、ファイルを格納しているメモリの電源をオフするようにすると共に、メモリのデータ入力側および出力側にスイッチを設けて、このスイッチが同時にオンにならないようにしている。
【特許文献１】特開平１０−２０７８３９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
前記先行技術では、入力側スイッチがオンでかつ出力側スイッチがオフのときにデータを取り込む。そして、入力側スイッチをオフにして、ウィルス検査を行った後に、出力側スイッチをオンにしてデータ転送を行っていた。
【０００４】
このように、スイッチ操作が煩雑になるために、それぞれの状態で異常動作が発生すると、その異常動作への対策を講じなければならず、セキュリティがそれだけ低下してしまう。具体的には、たとえば両スイッチが共にオフ状態となったときに動作が停止してしまった場合には、かかるセキュリティ装置が外部ネットワークと内部ネットワークとの間に介在されていることを鑑みれば、アクセス先の応答が無くなってネットワーク自体が麻痺した状態を解消する手段を失ってしまう可能性があった。
【０００５】
さらに、前記先行技術はウィルスに対してのセキュリティのみに着目されたものであるため、 DoS 攻撃等の大量のデータが内部ネットワークに対して送りつけられるような場
面は想定していないため、データそのものが異常でない限りはセキュリティ装置を通過してしまう可能性があった。
【０００６】
より具体的に説明すると、ただ単に DoS 攻撃を受け，内部ネットワークのホスト端末
がダウンしてしまうだけなら，速やかにホスト端末を再起動すれば，サービスは継続運用できるし，トラフィックを麻痺させているなら，別の回線に切り替えることで円滑なサービスを提供できる。
【０００７】
しかし、このホスト端末のシステムダウンによる再起動が危険性を増大させている可能性を無視することはできない。
たとえば、このホスト端末のシステムダウンがハッカーがターゲットホストに侵入するために仕組まれたシステムダウン攻撃であることを否定できない。
【０００８】
つまり、多数の踏み台（第三者の端末を経由）を利用し 内部ネットワークに対するDoS
攻撃を仕掛け，セキュリティホールを悪用しバッファオーバーランによって，再起動す
るときにルート権限で侵入できるアカウントを作成する（バックドアを仕掛ける）。その後にバッファオーバーフローでシステムダウンさせられると，再起動するしか復旧の手が
無い。これに対して通常のシステム管理者では、ネットワークを接続したままの状態で再起動を行うことになる。そのときに、前述のように、ホスト端末に対してルート権限で侵入できるアカウントが生成されているために、このアカウントを用いて外部からホスト端末への進入が可能となるわけである。
【０００９】
そのため、そのホスト端末が，大事なデータを保有しているファイルサーバである場合には、情報漏えいは，覚悟しなければいけないことになる。
このようなことを考えると，いかにシステムダウンさせられることが危険か容易に理解できる。
【００１０】
本発明は、このような点に鑑みてなされたものであり、大量のデータが送りつけられる内部ネットワークへの攻撃に対してきわめて有効な通信路のデータ量監視制御システムを提供することを技術的課題とする。
【課題を解決するための手段】
【００１１】
前記課題を解決するために、本発明では、以下の手段を採用した。
すなわち、本発明は、外部ネットワークと内部ネットワークとの間に介在される通信路のデータ量監視制御装置であって、外部ネットワークに接続され、パケットデータを一時格納するバッファを有する外部側中継器と、内部ネットワークに接続され、パケットデータを一時格納するバッファを有する内部側中継器と、転送されるデータ量を計測し、スイッチ制御ユニットに対してスイッチ動作の指示信号を出力する診断検査用中継器と、
前記スイッチ制御ユニットの指示信号によって、前記内部側中継器と診断検査用中継器との接続／開放、および前記診断検査用中継器と外部側中継器との開放／接続を排他的に行う第１のスイッチと、同じく前記スイッチ制御ユニットの指示信号によって、前記診断検査用中継器と前記内部側中継器との開放／接続、および前記外部側中継器と前記診断検査用中継器との接続／開放を排他的に行う第２のスイッチとからなる通信路のデータ量監視制御システムとしたものである。
【発明の効果】
【００１２】
本発明によれば、内部ネットワークに対して大量のデータを送りつける攻撃に対してきわめて有効なセキュリティシステムを構築することができる。
【発明を実施するための最良の形態】
【００１３】
次に、本システムを図を用いて説明する。
本スイッチシステムは、図１の概念図に示すように、内部側中継器と、制御用中継器と、外部側中継器とを有している。
【００１４】
そして、内部側中継器と制御用中継器の間の内外方向通信路上にはスイッチ(1)が、制
御用中継器と外部側中継器との間にはスイッチ(2)がそれぞれ設けられている。
また、制御用中継器と内部側中継器の外内方向通信路上にはスイッチ(3)が、外部側中
継器と制御用中継器との間にはスイッチ(4)がそれぞれ設けられている。
【００１５】
図２は、制御用中継器の内部構成を模式的に示したものである。
制御用中継器は、同図に示すように、診断検査ユニットを備えた診断検査用中継器と、スイッチ制御ユニットとスイッチ機構ユニットとを備えたスイッチングユニットとで構成されている。
【００１６】
本実施形態では、３中継器排他接続方式として、診断検査用中継器を中心にスイッチングユニット内のスイッチ機構を制御して、外部ネットワークと内部ネットワークの通信路を排他接続させて、どちらか一方が繋がって，他方は繋がっていない状態を常に保持する
ことによって，内部に侵入を許さない，あるいは，外部に情報を漏らさない仕組みとなっている。
【００１７】
診断検査ユニットは、ブレーカー方式して，パケット量を診断検査の基準対象とする。
たとえば、内部ネットワークに接続されているホスト端末のリソースを失なわさせるようなパケットが大量に進入してきた場合、ホスト端末のリソースを損ねる可能性が認められる秒単位あたりのパケット量（ブレークポイントと呼ぶ）を適時，判断基準値として設定し、そのブレークポイントを超えるパケットが一定時間内に持続された場合，診断検査ユニットは、スイッチ制御ユニットを介してスイッチ機構ユニットに対してスイッチ切り替えを停止させる信号を出力して、内部ネットワーク−外部ネットワーク間の通信を切断する。
【００１８】
また、セキュリティホールを突いて特定の論理通信路に対し，過剰な量の通信が発生した場合，その特定論理通信路の通常平均通信量を判断基準とし，差分を見て許容量を超えたとき，診断検査ユニットは、スイッチ制御ユニットを介してスイッチ機構ユニットに対してスイッチ切り替えを停止させる信号を出力して、内部ネットワーク−外部ネットワーク間の通信を切断する。
【００１９】
図３は、本システムのハードウエア構成を概略的に示した図、図４は、さらに詳細な説明図である。
図４において、SRAMは内部側中継器と外部側中継器とに設けられており、内部側中継器内のSRAMINおよび外部側中継器内のSRAM＿OUTにはそれぞれ内向用領域および外向用領域
が設けられている。内向用領域はNICからのデータを受け取るための記憶領域で、外向用
領域はNICに対して送り出すデータを記憶する領域として機能している。
【００２０】
概念的には、これらの記憶領域とNICとが、それぞれ一方通行の道で結ばれていると考
えればよい。
シーソーＳＷ部は、それぞれシーソーとして動作するＳＷ1,ＳＷ2により構成される。
ここで、シーソーというのは動作を分かり易くするための表現であって、正確には排他制御を意味する。ここで、排他制御とは、一方がオンのときには必ず他方がオフになるような関係の制御を意味するものである。
【００２１】
図４に示すように、ＳＷ1にはＳＷ1-1,ＳＷ1-2が、またＳＷ2にはＳＷ2-1,2-2が両端にそれぞれ設けられており、ＳＷ1-1は内部ネットワークのNIC＿INからPCIブリッジのSDRAM＿INの通信路を、ＳＷ1-2はPCIブリッジのSDRAM＿OUTからNIC＿OUTの通信路をそれぞれ接続／開放または開放／接続するようになっている。このＳＷ1-1とＳＷ1-2は排他制御の関係にあり、ＳＷ1-1が通信路を接続しているときにはＳＷ1-2は開放状態となっており、ＳＷ１−１が通信路を開放しているときにはＳＷ1-2は接続状態となっている。
【００２２】
一方、ＳＷ2-1はNIC＿INからPCIブリッジのSDRAM＿INの通信路を、ＳＷ2-2はPCIブリッジのSDRAM＿OUTからNIC＿OUTの通信路をそれぞれ接続／開放または開放／接続するようになっている。そしてこのＳＷ2-1とＳＷ2-2も排他制御の関係にあり、ＳＷ2-1が通信路を
接続しているときにはＳＷ2-2は開放状態となっており、ＳＷ2-1が通信路を開放しているときにはＳＷ2-2は接続状態となっている。
【００２３】
ところでＳＷ1,ＳＷ2は、図４に示す状態、すなわちＳＷ1ではＳＷ1-1がオン、ＳＷ2ではＳＷ2-2がオンの状態がそれぞれデフォルト状態になっている。しかしこれが、あるタ
イミング(タイミングについては後で説明する)でシーソー動作することになる。たとえばＳＷ1は、この動作タイミングに合わせて逆の状態(ＳＷ1-1がオフ、ＳＷ1-2がオンの状態)に切り替わり、またデフォルト状態に戻る。ＳＷ2も同様に、ある動作タイミングに合わ
せてシーソー動作する。なお、当然ながらＳＷ1,ＳＷ2は互いに独立に動作するようにな
っている。
【００２４】
次に、データの流れについて説明する。ここで、図の(1)から(9)までの丸付き数字は、NIC＿INに入力したデータ(フレームデータ)がNIC＿OUTに出力されるまでの伝送過程を段
階的に示すものである。以下、この番号に沿って説明する。
(1)NIC＿INに接続されたネットワーク(たとえばLAN)からデータが入力する。ここで、入
力データはNIC＿INのバッファ(図示せず)に一度格納される。
(2)前記データは、PCIバスを経てSRAM＿INの内向用領域に格納される。
(3)前記データは、ＳＷ1-1からPCIバスを通り、PCIバスブリッジ用のワークメモリ(SDRAM＿IN)に一旦格納される。ここではＳＷ1がデフォルト状態になっているので、SRAM＿INを出たデータはそのままSDRAM＿INに到達する。
(4)次にSDRAM＿INから出力されたデータは、ローカルバスを経由してメインメモリに格納される。CPUはここに格納されたデータを監視し、パケット流量などを検出する。
(5)メインメモリから送出されたデータは、ローカルバスを経由してSDRAM＿OUTに格納さ
れる。
(6)SDRAM＿OUTから送出されたデータは、PCIバスを通り、ＳＷ1-2を経てSRAM＿OUTの外向用領域に格納される。ここで図５は上記(6)でのデータの流れを示す説明図である。同図
に示すように、SDRAM＿OUTからデータが出力されるタイミングに合わせて、それまでデフォルト状態にあったＳＷ1が逆の状態に切り替わり、ＳＷ1-2がオン状態となる。これにより、上記データはそのままSRAM＿OUTに到達することが可能になる。その後データがSRAM
＿OUTに到達すると、上記で切り替わったＳＷ1が再びデフォルトに戻り、ＳＷ1-2はオフ
になる。
(7)データがPCIバスを通ってNIC＿OUTに到達し、(1)と同様にNIC＿OUTのバッファに一度
格納される。ただし、送信側ではデータをフルにバッファしない。ここで用意されるバッファは、たとえば、128バイトのFIFO(First In Frist Out)メモリで構成されている。
(8)次にデータは、NIC＿OUTに接続されたネットワーク(たとえばWAN)に出力される。以上のようにして、NIC＿INに入力したデータがＳＷ1の排他動作によりNIC＿OUTに出力される。なお、上記と逆の流れの場合は、ＳＷ2が排他動作する。
【００２５】
図６〜図２２は、本実施形態によるパケットデータの動きとスイッチＳＷ１，ＳＷ２の動作を段階的に示したものである。
まず、内部ネットワークより上りパケットデータがNIC＿INに到達し、NIC＿INより接続状態となっているＳＷ１のＳＷ1-1を通過してＳＷサーバ（診断検査用中継器）に到達す
る（図６〜図１０）。このとき、ＳＷサーバは上りパケットデータを検証し、検証結果がＯＫであればスイッチ制御ユニットに対して、スイッチ機構ユニットに対してＳＷ１のＳＷ1-1を開放し、ＳＷ1-2を接続状態とするような切り替え信号を出力する（図１２）。そして、切り替えられて接続状態となったＳＷ１のＳＷ1-2を経由して上りパケットデータ
は、NIC＿OUTを経て外部ネットワークに送出される（図１３〜１７）。
これと並行して、外部ネットワークから下りパケットデータがNIC＿OUTを経由して接続状態のＳＷ2-2を経由してＳＷサーバ（診断検査用中継器）に到達する（図８〜図１１）
。
【００２６】
そして、ＳＷサーバは、下りパケットデータを検証して、検証結果がＯＫであればスイッチ制御ユニットに対して、スイッチ機構ユニットに対してＳＷ２のＳＷ2-2を開放し、
ＳＷ2-1を接続状態とするような切り替え信号を出力する（図１４〜１７）。そして、切
り替えられて接続状態となったＳＷ2-1を経由して下りパケットデータは、NIC＿INを経て内部ネットワークに送出される（図１８〜２２）。なお、図１６に示したタイミングでＳＷ１が、図２１に示したタイミングでＳＷ２がそれぞれ元の状態に切り替わる。
【００２７】
このように、本実施形態では、通信路に介在させ、一方側の通信路との接続と、他方の通信路との接続とを排他的に選択する通信路のスイッチ接続制御装置とすることにより、目的別に分散した端末およびシステムに、３中継器排他接続方式のスイッチング技術を用い異常なデータや大量なデータの通信を防ぐセキュリティシステムを実現することができる。そしてこのように３中継器排他接続方式のスイッチング技術により、物理的に外部ネットワークと内部ネットワークとを目的に応じたアクセス要求の制御信号によって切り離すため、不正行為から確実にデータや端末を守ることが可能となる。
【産業上の利用可能性】
【００２８】
本発明は、通信路を介して大量なデータが送りつけられるネットワーク攻撃に対するセキュリティ技術に利用することができる。
【図面の簡単な説明】
【００２９】
【図１】本発明のデータ量監視制御システムの概略図
【図２】本発明のデータ量監視制御システムの動作概念を示す説明図
【図３】実施形態のデータ監視制御システムのシステム構成図
【図４】実施形態のデータ監視制御システムの詳細なハードウエア構成図
【図５】実施形態のスイッチの動作概念を示す説明図
【図６】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（１）
【図７】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（２）
【図８】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（３）
【図９】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（４）
【図１０】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（５）
【図１１】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（６）
【図１２】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（７）
【図１３】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（８）
【図１４】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（９）
【図１５】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（１０）
【図１６】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（１１）
【図１７】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（１２）
【図１８】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（１３）
【図１９】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（１４）
【図２０】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（１５）
【図２１】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（１６）
【図２２】実施形態のパケットデータとスイッチの動作手順を段階的に示す図（１７）
【図１】
2006128954.tif 000003
【図２】
2006128954.tif 000004
【図３】
2006128954.tif 000005
【図４】
2006128954.tif 000006
【図５】
2006128954.tif 000007
【図６】
2006128954.tif 000008
【図７】
2006128954.tif 000009
【図８】
2006128954.tif 000010
【図９】
2006128954.tif 000011
【図１０】
2006128954.tif 000012
【図１１】
2006128954.tif 000013
【図１２】
2006128954.tif 000014
【図１３】
2006128954.tif 000015
【図１４】
2006128954.tif 000016
【図１５】
2006128954.tif 000017
【図１６】
2006128954.tif 000018
【図１７】
2006128954.tif 000019
【図１８】
2006128954.tif 000020
【図１９】
2006128954.tif 000021
【図２０】
2006128954.tif 000022
【図２１】
2006128954.tif 000023
【図２２】
2006128954.tif 000024