(57)【要約】      （修正有）【課題】暗号化された通信において、すべての暗号化された通信の検査を行う構成と比較して、検査に係る負荷が低い通信制御装置及びプログラムを提供する。【解決手段】通信システムにおいて、通信制御装置３は、通信元２の通信履歴を取得する取得手段と、取得された前記通信履歴情報に基づいて、通信元２と通信先４との間の暗号化された通信データを復号して検査するか否かを制御する制御手段とを備える。制御手段は、通信元２の通信履歴から通信元２の危険度を算出し、算出された危険度が閾値以上の場合に、通信元２と通信先４との暗号化された通信データを復号して検査するよう制御する。【選択図】図１
2019057058.tif 000002
【特許請求の範囲】
【請求項１】
通信元の通信履歴を取得する取得手段と、
取得された前記通信履歴に基づいて、前記通信元と通信先との間の暗号化された通信データを復号して検査するか否かを制御する制御手段と、
を備えた通信制御装置。
【請求項２】
前記制御手段は、前記通信元の通信履歴から前記通信元の危険度を算出し、前記算出された危険度が閾値以上の場合に、前記通信元と前記通信先との暗号化された通信データを復号して検査するよう制御する、
請求項１に記載の通信制御装置。
【請求項３】
前記制御手段は、前記通信元の危険度と前記通信先の危険度とから求められた総合的な危険度が閾値以上の場合に、前記暗号化された通信を検査するよう制御する、
請求項２に記載の通信制御装置。
【請求項４】
前記通信履歴は、暗号化されていない通信を含む、
請求項１から３のいずれか１項に記載の通信制御装置。
【請求項５】
前記通信元の危険度は、不適切なプログラムの検知数から求められる、
請求項２から４のいずれか１項に記載の通信制御装置。
【請求項６】
前記通信元の危険度は、通信数に対する前記不適切なプログラムの検知数から求められる、
請求項５に記載の通信制御装置。
【請求項７】
前記通信元の危険度は、危険なサイトへのアクセス数及び不適切なプログラムの検知数に基づいて求められる、
請求項２から４のいずれか１項に記載の通信制御装置。
【請求項８】
前記通信元の危険度は、不適切なプログラムの検知数及び通信量の増加率に基づいて求められる、
請求項２から４のいずれか１項に記載の通信制御装置。
【請求項９】
前記通信元の危険度は、使用するメーラ、又は使用するＯＳに基づいて求められる、
請求項２から８のいずれか１項に記載の通信制御装置。
【請求項１０】
前記通信先の危険度は、前記通信先を示す情報としてウェブページのＵＲＬ又はメールアドレスのドメイン名に基づいて求められる、
請求項２から９のいずれか１項に記載の通信制御装置。
【請求項１１】
コンピュータを、
通信元の通信履歴を取得する取得手段と、
取得された前記通信履歴に基づいて、前記通信元と通信先との間の暗号化された通信データを復号して検査するか否かを制御する制御手段、
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信制御装置及びプログラムに関する。
【背景技術】
【０００２】
近年、通信情報が暗号化されている場合においても、通過制御装置が有するアプリケーションゲートウェイ手段を適用可能とする暗号通信の通過制御方法が提案されている。この方法によると、暗号化された通信をいったんゲートウェイ等で復号化し、検査を行ったあと再度暗号化してデータを送信する。
【０００３】
例えば、特許文献１に記載された暗号通信の通過制御方法は、アプリケーションゲートウェイ手段を介して通信するサーバ装置とクライアント装置と代理応答装置とが通信経路で接続されたシステムにおける暗号通信の通過制御方法であって、該クライアント装置と該代理応答装置とが秘密鍵と公開鍵を用いて暗号用鍵を交換する段階と、該クライアント装置からの該暗号用鍵を用いて暗号化された通信情報を該代理応答装置が該暗号用鍵を用いて復号化し、該アプリケーションゲートウェイ手段で通過制御を行い該サーバ装置に送る段階とを有することを特徴とする。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０００−３１２２０３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
暗号化されている通信を検査するとき、すべての通信を復号すると処理量が多くなる。
【０００６】
本発明の課題は、すべての暗号化された通信の検査を行う構成と比較して、検査に係る負荷が低い通信制御装置及びプログラムを提供することにある。
【課題を解決するための手段】
【０００７】
［１］通信元の通信履歴を取得する取得手段と、
取得された前記通信履歴に基づいて、前記通信元と通信先との間の暗号化された通信データを復号して検査するか否かを制御する制御手段と、を備えた通信制御装置。
［２］前記制御手段は、前記通信元の通信履歴から前記通信元の危険度を算出し、前記算出された危険度が閾値以上の場合に、前記通信元と前記通信先との暗号化された通信データを復号して検査するよう制御する、前記［１］に記載の通信制御装置。
［３］前記制御手段は、前記通信元の危険度と前記通信先の危険度とから求められた総合的な危険度が閾値以上の場合に、前記暗号化された通信を検査するよう制御する、前記［２］に記載の通信制御装置。
［４］前記通信履歴は、暗号化されていない通信を含む、前記［１］から［３］のいずれかに記載の通信制御装置。
［５］前記通信元の危険度は、不適切なプログラムの検知数から求められる、前記［２］から［４］のいずれかに記載の通信制御装置。
［６］前記通信元の危険度は、通信数に対する前記不適切なプログラムの検知数から求められる、前記［５］に記載の通信制御装置。
［７］前記通信元の危険度は、危険なサイトへのアクセス数及び不適切なプログラムの検知数に基づいて求められる、前記［２］から［４］のいずれかに記載の通信制御装置。
［８］前記通信元の危険度は、不適切なプログラムの検知数及び通信量の増加率に基づいて求められる、前記［２］から［４］のいずれかに記載の通信制御装置。
［９］前記通信元の危険度は、使用するメーラ、又は使用するＯＳに基づいて求められる、前記［２］から［８］のいずれかに記載の通信制御装置。
［１０］前記通信先の危険度は、前記通信先を示す情報としてウェブページのＵＲＬ又はメールアドレスのドメイン名に基づいて求められる、前記［２］から［９］のいずれかに記載の通信制御装置。
［１１］コンピュータを、通信元の通信履歴を取得する取得手段と、
取得された前記通信履歴に基づいて、前記通信元と通信先との間の暗号化された通信データを復号して検査するか否かを制御する制御手段、
として機能させるためのプログラム。
【発明の効果】
【０００８】
請求項１、２、１１に係る発明によれば、暗号化された通信のうちの必要な一部の通信を検査することが可能になる。
請求項３に係る発明によれば、通信先の危険度のみよりも検査すべき通信を絞ることができる。
請求項４に係る発明によれば、暗号化されていない通信の履歴からユーザの傾向が分かり、ユーザの傾向によっては、通信の検査を省略することが可能になる。
請求項５、６に係る発明によれば、不適切なプログラムの検知数が少ないか無い場合には、通信の検査を省略することが可能になる。
請求項７に係る発明によれば、密接に関係する危険なサイトへのアクセス数と不適切なプログラムの検知数が少なければ、通信の検査を省略することが可能になる。
請求項８に係る発明によれば、密接に関係する不適切なプログラムの検知数と通信量の増加率が少なければ、通信の検査を省略することが可能になる。
請求項９に係る発明によれば、使用するメーラや使用するＯＳによっては、通信の検査を省略することが可能になる。
請求項１０に係る発明によれば、ウェブページのＵＲＬ又はメールアドレスのドメイン名によっては、通信の検査を省略することが可能になる。
【図面の簡単な説明】
【０００９】
【図１】図１は、本発明の実施の形態に係る通信システムの構成例を示す図である。
【図２】図２は、ゲートウェイ装置の制御系の一例を示すブロック図である。
【図３】図３は、通信元危険度テーブルの一例を示す図である。
【図４】図４は、通信先危険度テーブルの一例を示す図である。
【図５】図５は、ゲートウェイ装置の動作の一例を示すフローチャートである。
【図６】図６は、変形例１の通信元危険度テーブルの一例を示す図である。
【図７】図７は、変形例２の通信元危険度テーブルの一例を示す図である。
【図８】図８は、変形例３の通信元危険度テーブルの一例を示す図である。
【発明を実施するための形態】
【００１０】
以下、本発明の実施の形態について図面を参照して説明する。なお、各図中、実質的に同一の機能を有する構成要素については、同一の符号を付してその重複した説明を省略する。
【００１１】
［実施の形態の要約］
本実施の形態に係る通信制御装置は、通信元の通信履歴を取得する取得手段と、取得された前記通信履歴に基づいて、前記通信元と通信先との間の暗号化された通信データを復号して検査するか否かを制御する制御手段と、を備える。
【００１２】
通信元は、例えば、通信元側のネットワークに接続されたクライアント装置等の通信装置である。通信先は、例えば、通信先側のネットワークに接続されたサーバ装置等の通信装置、又はＷｅｂページである。本明細書において、「危険度」とは、例えば、不適切なプログラムを検知する度合いをいう。また、「不適切なプログラム」とは、ユーザが意図していない処理を行うプログラムをいう。不適切なプログラムには、例えば、ウイルス、ワーム、トロイの木馬、マルウェア、スパイウェア、迷惑メール等がある。「通信データ」は、Ｗｅｂページ、メール、文書、画像等を含む。
【００１３】
［実施の形態］
図１は、本発明の実施の形態に係る通信システムの構成例を示す図である。この通信システム１は、ユーザが操作する複数のクライアント装置２と、通信元と通信先との間の通信を仲介するゲートウェイ装置３と、複数のサーバ装置４とを備える。複数のクライアント装置２とゲートウェイ装置３とは、内部ネットワーク５によって接続され、ゲートウェイ装置３と複数のサーバ装置４とは、外部ネットワーク６によって接続されている。クライアント装置２は、通信元の一例である。ゲートウェイ装置３は、通信制御装置の一例である。サーバ装置４及びＷｅｂページは、通信先の一例である。
【００１４】
クライアント装置２は、例えば、パーソナルコンピュータ（ＰＣ）、携帯電話機、多機能携帯電話機（スマートフォン）等の情報処理装置であり、ＩＰアドレスが割り当てられている。なお、クライアント装置２は、画像形成装置でもよい。
【００１５】
クライアント装置２は、Ｗｅｂブラウザやメーラを有している。Ｗｅｂブラウザは、ユーザがＷｅｂページを閲覧するために実行されるアプリケーションソフトウェアである。メーラは、ユーザがメールを閲覧するために実行されるアプリケーションソフトウェアである。クライアント装置２は、ＳＳＬ（Secure Sockets Layer）プロトコル等の暗号化プロトコルを用いて通信データを暗号化及び復号する。なお、暗号化プロトコルとしては、ＴＬＳ（Transport Layer Security）、ＳＲＴＰ（Secure Real-time Transport Protocol）、ＳＳＨ（Secure Shell）等を用いてもよい。
【００１６】
サーバ装置４は、例えば、Ｗｅｂサーバ機能のみを有するものでも、メールサーバ機能のみを有するものでも、両方の機能を有するものでもよい。サーバ装置４は、ＳＳＬプロトコル等の暗号化プロトコルを用いて通信データを暗号化及び復号する。
【００１７】
Ｗｅｂサーバ機能は、クライアント装置２から要求されたＵＲＬ（Uniform  Resource Locator）に対応するＷｅｂページをクライアント装置２に提供し、クライアント装置２との間で通信データを送受信する。メールサーバ機能は、ＰＯＰ（Post Office Protocol）サーバやＳＭＴＰ（Simple Mail Transfer Protocol）サーバとしての機能であり、クライアント装置２からの送信メールやクライアント装置２への受信メールを指定されたアドレスに転送する。
【００１８】
内部ネットワーク５は、例えば、ローカルエリアネットワーク（ＬＡＮ:Local Area Network）、イントラネット等のネットワークであり、有線、無線は問わない。外部ネットワーク６は、例えば、インターネットである。
【００１９】
図２は、ゲートウェイ装置３の制御系の一例を示すブロック図である。ゲートウェイ装置３は、ゲートウェイ装置３の各部を制御する制御部３０と、各種の情報を記憶する記憶部３１と、内部ネットワーク５を介して通信を行う内部通信部３２と、外部ネットワーク６を介して通信を行う外部通信部３３とを備える。
【００２０】
制御部３０は、ＣＰＵ（Central Processing Unit）、インターフェース等から構成されている。ＣＰＵは、プログラム３１０に従って動作することにより送受信手段３０１、振る舞い検出手段３０２、危険度判定手段３０３、復号暗号化手段３０４、データ検査手段３０５、通信制御手段３０６等として機能する。各手段３０１〜３０６の詳細は後述する。危険度判定手段３０３は、取得手段の一例である。データ検査手段３０５は、検出手段の一例である。通信制御手段３０６は、制御手段の一例である。
【００２１】
記憶部３１は、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスク等から構成され、プログラム３１０、通信履歴情報３１１、通信元危険度テーブル３１２（図３参照）、通信先危険度テーブル３１３（図４参照）等が記憶されている。通信履歴情報３１１は、通信履歴の一例である。なお、本明細書において、テーブルに情報を書き込む場合に記録を用い、記憶部に情報を書き込む場合に記憶を用いる。また、記憶部３１に通信先危険度テーブル３１３を記憶させておかなくてもよく、通信先危険度テーブル３１３に記録される通信先に関する情報を外部から取得してもよい。
【００２２】
通信履歴情報３１１は、通信日時、通信元を示す情報（例えば、クライアント装置２のＩＰアドレス等）、通信先を示す情報（例えば、サーバ装置４のＩＰアドレス、ＷｅｂページのＵＲＬ、メールアドレスのドメイン名等）等の通信履歴を含む。通信履歴情報３１１は、送受信手段３０１によって書き込まれる。
【００２３】
内部通信部３２は、メールの送受信制御、及びネットワークに関する制御を行い、内部ネットワーク５を介して通信データの送受信を行う。
【００２４】
外部通信部３３は、メールの送受信制御、及びネットワークに関する制御を行い、外部ネットワーク６を介してＨＴＴＰＳ（Hyper Text Transfer Protocol Security）通信を行う。ＨＴＴＰＳ通信は、例えばＳＳＬプロトコルを用いて通信内容を秘匿化した暗号化通信を行う。
【００２５】
送受信手段３０１は、クライアント装置２との間で内部通信部３２による通信データを送受信するとともに、サーバ装置４との間で外部通信部３３による通信データを送受信する。また、送受信手段３０１は、クライアント装置２が行った通信に関する情報を通信履歴情報３１１として記憶部３１に記憶する。
【００２６】
振る舞い検出手段３０２は、クライアント装置２の振る舞いを検出する。振る舞いには、通信元に関する情報と、通信先に関する情報とがある。通信元に関する情報には、例えば、クライアント装置２のＩＰアドレス、通信数、不適切なプログラムの検知数等がある。通信数は、通信履歴情報３１１から取得してもよい。通信数は、通信履歴の一例である。通信先に関する情報には、例えば、サーバ装置４のＩＰアドレス、ＷｅｂページのＵＲＬ、メールアドレスのドメイン名、不適切なプログラムの検知数等がある。振る舞い検出手段３０２は、通信元に関する情報を通信元危険度テーブル３１２（図３参照）に記録し、通信先に関する情報を通信先危険度テーブル３１３（図４参照）に記録する。
【００２７】
危険度判定手段３０３は、通信元危険度テーブル３１２に記録されている通信元に関する情報から通信元の危険度を求め、後述する通信元危険度テーブル３１２の「通信元の危険度」欄に記録する。また、危険度判定手段３０３は、通信先危険度テーブル３１３に記録されている通信先に関する情報から通信先の危険度を求め、後述する通信先危険度テーブル３１３の「通信先の危険度」欄に記録する。危険度判定手段３０３は、通信元危険度テーブル３１２及び通信先危険度テーブル３１３への危険度の記録を、例えば、通信が行われる度に行ってもよく、定期的に行ってもよい。
【００２８】
危険度判定手段３０３は、通信元の危険度と通信先の危険度とから総合的な危険度を算出し、総合的な危険度と閾値とから通信の危険度を判定する。具体的には、危険度判定手段３０３は、クライアント装置２のＩＰアドレスに対応する通信元の危険度を通信元危険度テーブル３１２から取得する。また、危険度判定手段３０３は、通信先の情報（例えば、メールアドレスのドメイン名）に対応する通信先の危険度を通信先危険度テーブル３１３から取得する。総合的な危険度が閾値以上の場合は、当該通信の危険度は高いと判定し、閾値未満の場合は、当該通信の危険度は低いと判定する。
【００２９】
総合的な危険度Ｒは、通信元の危険度をＲａ、通信先の危険度をＲｂとするとき、例えば、次の式（１）により算出される。
Ｒ＝α・Ｒａ＋β・Ｒｂ              ・・・（１）
但し、α及びβは正の係数である。
【００３０】
なお、総合的な危険度Ｒは、次の式（２）により求めてもよい。
Ｒ＝Ａ・Ｒａ×Ｂ・Ｒｂ              ・・・（２）
但し、Ａ及びＢは正の係数である。
【００３１】
また、危険度とは逆に、通信元の信頼度と通信先の信頼度を評価し、両者の信頼度から上記式（１）、（２）のような計算式により総合的な信頼度（例えば、両者の和又は積）を求め、総合的な信頼度と閾値とに基づいて通信を検査してもよい。この場合は、総合的な信頼度が閾値未満の場合に当該通信を検査する。
【００３２】
なお、危険度判定手段３０３は、通信元の危険度を、不適切なプログラムの検知数から求めてもよく、通信数に対する不適切なプログラムの検知数から求めてもよい。また、通信元の危険度を、危険なサイトへのアクセス数及び不適切なプログラムの検知数に基づいて求めてもよい。また、通信元の危険度を、不適切なプログラムの検知数及び通信量の増加率に基づいて求めてもよい。また、通信元の危険度を、使用するメーラ及び使用するＯＳに基づいて求めてもよい。また、通信先の危険度を、ＷｅｂページのＵＲＬ又はメールアドレスのドメイン名に基づいて求めてもよい。
【００３３】
復号暗号化手段３０４は、危険度判定手段３０３により危険度が低いと判定された通信データについて復号処理を行う。復号暗号化手段３０４は、復号処理した通信データがデータ検査手段３０５により合格と判断された場合に、その通信データを暗号化する。
【００３４】
データ検査手段３０５は、復号暗号化手段３０４により復号処理された通信データを検査する。データ検査手段３０５は、例えば、通信データが情報漏洩しては困るような機密事項を含んでいないかどうかや、不適切なプログラムを含んでいないかどうかを検査し、含んでいない場合は、当該通信は合格と判断し、含んでいる場合は、当該通信は不合格と判断する。
【００３５】
通信制御手段３０６は、危険度判定手段３０３により危険度が低いと判定された通信、すなわち、危険性が高い通信に絞って通信の内容を検査するＭＩＴＭ（man-in-the-middle）を実行する。全ての通信に対してＭＩＴＭを実行する場合と比較して、ゲートウェイ装置３の暗号化処理及び復号処理の数が制限されるため、暗号化処理及び復号処理の負荷が集中して通信が遅くなるのを抑制できる。
【００３６】
通信制御手段３０６は、危険度判定手段３０３により当該通信の危険度が低いと判定され場合は、当該通信を許可し、当該通信の危険度が高いと判定された場合は、当該通信を復号暗号化手段３０４に復号処理させ、復号処理後の通信データをデータ検査手段３０５に検査させる。通信制御手段３０６は、データ検査手段３０５による検査結果が合格の場合は、通信データを復号暗号化手段３０４に暗号化処理させ、当該通信を許可し、検査結果が不合格の場合は、当該通信を不許可（遮断）するよう制御する。
【００３７】
図３は、通信元危険度テーブル３１２の一例を示す図である。通信元危険度テーブル３１２は、「ＩＰアドレス」欄、「通信数」欄、「検知数」欄、「通信元の危険度」欄を有する。「ＩＰアドレス」欄には、内部ネットワーク５に接続されたクライアント装置２のＩＰアドレスが予め記録されている。「通信数」欄には、予め定められた期間（例えば、１週間、又は１ヶ月）内にクライアント装置２が行った通信数が送受信手段３０１により記録される。「通信数」欄には、ＨＴＴＰ（非ＳＳＬ）のアクセス数が含まれている。通信数には、暗号化されていない通信を含めてもよい。暗号化されていない通信は、アクセスの際の通信及びメールを送受信する際の通信を含む。「検知数」欄には、振る舞い検出手段３０２により検知された不適切なプログラムの数が記録される。「通信元の危険度」欄には、危険度判定手段３０３により算出された通信元の危険度が記録される。
【００３８】
図３では、危険度判定手段３０３は、予め定められた計算式、例えば、（検知率＝検知数／通信数）×１００を用いて通信元の危険度を算出する。通信元の危険度は、算出された値そのものでもよく、算出された値を、例えば、１〜５や、「高」、「中」、「低」等のように段階評価に換算してもよい。
【００３９】
通信元の危険度は、次の場合を考慮してもよい。例えば、不適切なプログラムを検知したと判断してもよい。
（ａ）Ｃ＆Ｃサーバ（感染ＰＣに命令を送るサーバ）の通信を検出した場合
（ｂ）急に通信量が増加し、単位時間当たりの通信量が閾値を超えた場合
（ｃ）侵入防止システム（ＩＰＳ：Intrusion Prevention System）が侵入の試みなどの不正なアクセスを検知した場合（例えば、ウイルスに感染する割合が高いファイル交換ソフト（Winny）との通信が閾値以上と判断した場合）
（ｄ）User Agent（Ｗｅｂサイトにアクセスする際に使用されるプログラム）としてＯＳ、使用アプリケーション、バージョンによるスコア化）
（ｅ）クライアントの保持する機密レベル（例：重要書類を有するユーザかそうでないユーザかにより閾値を変えてもよい。）
【００４０】
図４は、通信先危険度テーブル３１３の一例を示す図である。通信先危険度テーブル３１３は、「ドメイン名」欄、「通信先の危険度」欄を有する。「ドメイン名」欄には、クライアント装置２が通信したことがあるサイトのドメイン名が記録される。ドメイン名は、通信先情報及びドメイン情報の一例である。「通信先の危険度」欄には、「ドメイン名」欄に記録されたドメイン名の種類に応じて予め定められた通信先の危険度が記録される。
【００４１】
通信先の危険度は、次の場合を考慮してもよい。
（ａ）ＩＰアドレスのレピュテーション（評判）
（ｂ）通信検知実績（サーバの危険度）
（ｃ）ドメインに依る評価（例：.govは安全、.xxxは危険）
（ｄ）アクセス履歴（例：初めてのアクセスは危険）
（ｅ）証明書有効期限
（ｆ）認証局のレピュテーション（評判）
（ｇ）メールアドレス
（ｈ）メールサイズ
【００４２】
（実施の形態の動作）
次に、通信システム１の動作の一例について、図５のフローチャートに従って説明する。ここでは、クライアント装置２がＷｅｂブラウザ経由で、ＨＴＴＰＳのＷｅｂページにアクセスする場合について説明する。
【００４３】
クライアント装置２は、ＳＳＬプロトコルに従った暗号化通信を開始する（Ｓ１）。
【００４４】
ゲートウェイ装置３の危険度判定手段３０３は、クライアント装置２からの通信要求から通信元と通信先を検出し、通信元の危険度を通信元危険度テーブル３１２から取得する（Ｓ２）。
【００４５】
危険度判定手段３０３は、通信先の危険度を通信先危険度テーブル３１３から取得する（Ｓ３）。
【００４６】
危険度判定手段３０３は、取得した通信元の危険度及び通信先の危険度から総合的な危険度を算出する（Ｓ４）。
【００４７】
危険度判定手段３０３は、総合的な危険度が閾値（例えば、１０）以上か否かを判定する（Ｓ５）。
【００４８】
ＩＰアドレスが「１０．０．０．２」のクライアント装置２がＵＲＬが「https://www.example.xxx/」のＷｅｂページにアクセスする場合は、図３及び図４に示すように、通信元の危険度が０．２、通信先の危険度が１０、総合的な危険度が両者の和の１０．２となり、総合的な危険度が閾値の１０以上であるので、当該通信は危険度が高いと判定され、ＭＩＴＭが実行される。
【００４９】
ＩＰアドレスが「１０．０．０．１」のクライアント装置２がＵＲＬが「https://www.google.com/」のＷｅｂページにアクセスする場合は、図３及び図４に示すように、通信元の危険度が５、通信先の危険度が５、総合的な危険度が両者の和の１０となり、総合的な危険度が閾値の１０以上であるので、当該通信は危険度が高いと判定され、ＭＩＴＭが実行される。
【００５０】
通信制御手段３０６は、危険度判定手段３０３により危険度が閾値以上と判定された場合（Ｓ５：Ｙｅｓ）、危険度が高い通信に対して、復号暗号化手段３０４により復号処理させる（Ｓ６）。
【００５１】
通信制御手段３０６は、復号処理された通信データについてデータ検査手段３０５に検査をさせる（Ｓ７）。検査結果が合格であれば（Ｓ８：ＯＫ）、復号暗号化手段３０４により通信データを暗号化処理させ（Ｓ９）、暗号化処理された通信データの通信を許可する（Ｓ１０）。
【００５２】
検査結果が不合格であれば（Ｓ８：ＮＧ）、通信制御手段３０６は、通信を不許可（遮断）する（Ｓ１１）。
【００５３】
上記ステップＳ５において、総合的な危険度が閾値未満であれば（Ｓ５：Ｎｏ）、通信制御手段３０６は、通信を許可する（Ｓ１０）。
【００５４】
通信元及び通信先の一方の危険度だけで判断すると、必ずしも危険でない状況でも必ず検査する場合が生じるが、両方の危険度から総合的に通信の危険度を判定することにより、不必要な検査が抑制される。
【００５５】
＜変形例１＞
図６は、変形例１の通信元危険度テーブルの一例を示す図である。同図に示す通信元危険度テーブル３１２ａは、「ＩＰアドレス」欄、「ＨＴＴＰ危険サイトへのアクセス数」欄、「ＨＴＴＰウイルス検知数」欄、「通信元の危険度」欄を有する。「ＩＰアドレス」欄には、内部ネットワーク５に接続されたクライアント装置２のＩＰアドレスが予め記録されている。「ＨＴＴＰ危険サイトへのアクセス数」欄には、ＨＴＴＰ通信を行う危険サイトへのアクセス数の累積値が記録されている。「ＨＴＴＰウイルス検知数」欄には、ＨＴＴＰ危険サイトにアクセスしたことによるウイルス検知数の累積値が記録されている。「危険サイト」とは、例えば、１回でも不適切なプログラムを発生させたことがあるサイトをいう。
【００５６】
図６に示すように、ＩＰアドレスが「１０．０．０．１」のクライアント装置２は、ＨＴＴＰ通信により危険なサイトに頻繁にアクセスし、ウイルスのダウンロード数が相当数検知されている場合、該当クライアント装置２はＨＴＴＰＳ通信が可能であっても危険なサイトに頻繁にアクセスしてしまう可能性が高いといえる。この結果、通信元の危険度が１０となり閾値に達していることから、該当クライアント装置２のＨＴＴＰＳ通信であっても通信データを復号して監視する。
【００５７】
一方、ＩＰアドレスが「１０．０．０．２」のクライアント装置２は、通信元の危険度が０であり危険度が低いため、ＨＴＴＰＳ通信による通信データを復号しない、すなわち監視しない。
【００５８】
＜変形例２＞
図７は、変形例２の通信元危険度テーブルの一例を示す図である。同図に示す通信元危険度テーブル３１２ｂは、図６に示す通信元危険度テーブル３１２ａに対して「メールウイルス検知数」欄、「ＳＳＬ通信量増加率」欄を追加したものである。「メールウイルス検知数」欄には、メールを送受信することによりウイルスが検知された累積値が記録されている。「ＳＳＬ通信量増加率」欄には、ＳＳＬ通信における通信量の増加率が記録されている。通信量の増加率は、例えば、（今月の通信量−前月の通信量）／前月の通信量により求めることができる。
【００５９】
メールウイルス検知数が多い場合、該当クライアント装置２は外部から攻撃されやすい特徴を有しているといえる。また、ＳＳＬ通信増加率（前日比や前月比）が著しく高い場合、ＳＳＬ通信を利用してＣ＆Ｃサーバとやり取りを行うマルウェアに感染し、通信量が変化した可能性がある。したがって、これらの振る舞いも危険度を判断する上で有効である。
【００６０】
総合的な危険度は、例えば、メールウイルス検知数×ＳＳＬ通信量増加率を算出した値としてもよい。ＩＰアドレスが「１０．０．０．１」クライアント装置２は、メールウイルス検知数が１０、ＳＳＬ通信量増加率が３００％であるので、１０×３＝３０が通信元の危険度となり、閾値（例えば、１０）以上となり、危険度が高いため、ＳＳＬ通信を復号して監視する。一方、ＩＰアドレスが「１０．０．０．２」のクライアント装置２は、危険度が低いため、ＨＴＴＰＳ通信による通信データを復号しない、すなわち監視しない。なお、総合的な危険度を、メールウイルス検知数とＳＳＬ通信量増加率との両者に係数を掛け、それらの積又は和により求めてもよい。
【００６１】
変形例１、２は、クライアント装置２の振る舞いに着目したものであるが、組み合わせて確度を高めることもできる。また、クライアント装置２の特徴以外にも、通信先（Ｗｅｂサーバ）のレピュテーション情報（評価）を組合せてもよい。
【００６２】
＜変形例３＞
図８は、変形例３の通信元危険度テーブルの一例を示す図である。同図に示す通信元危険度テーブル３１２ｃは、「ＩＰアドレス」欄、「使用メーラ」欄、「使用ＯＳ」欄、「通信元の危険度」欄を有する。「ＩＰアドレス」欄には、内部ネットワーク５に接続されたクライアント装置２のＩＰアドレスが予め記録されている。「使用メーラ」欄には、クライアント装置２が使用するメーラの名称等の識別情報が記録されている。「使用ＯＳ」欄には、クライアント装置３が使用するＯＳの名称等の識別情報が記録されている。
【００６３】
使用メーラや使用ＯＳは、「Ｗｉｎｄｏｗｓは攻撃されやすい／ＭａｃＯＳは攻撃されにくい」（Ｗｉｎｄｏｗｓは登録商標）、「古いものは危険／新しいものは安全」とその状況によって相対的にマルウェアに対する危険度が変化する。上記指標から危険度の高いクライアント装置２のＨＴＴＰＳ通信を復号して監視する場合、上記ならば、ＩＰアドレスが「１０．０．０．１」は、使用ＯＳがＷｉｎｄｏｗｓであるが、最新のＷｉｎｄｏｗｓ１０であり、メーラも最新のものであるため、危険度が低いとし、復号しない。ＩＰアドレスが「１０．０．０．２」は、使用メーラ及び使用ＯＳが攻撃されにくいものであるため、危険度が低いとし、通信を復号しない。ＩＰアドレスが「１０．０．０．３」は、メーラが不明であり、かつ使用ＯＳがＷｉｎｄｏｗｓ７で最新でないため、危険度が高いとし、復号して通信を監視する。ＩＰアドレスが「１０．０．０．４」は、既にベンダによってサポートされていない環境であるため、危険度が高いとし、復号して通信を監視する。このようにクライアント装置２の通信の履歴からクライアント装置２の環境を推定し、その危険度に応じて通信を復号して監視することで必要な通信に限って検査をすることができる。
【００６４】
以上、本発明の実施の形態を説明したが、本発明の実施の形態は上記実施の形態に限定されるものではなく、本発明の要旨を変更しない範囲内で種々の変形、実施が可能である。
【００６５】
制御部３０の各手段は、それぞれ一部又は全部を再構成可能回路（ＦＰＧＡ：Field Programmable Gate Array）、特定用途向け集積回路（ＡＳＩＣ：Application Specific Integrated Circuit）等のハードウエア回路によって構成してもよい。
【００６６】
また、本発明の要旨を変更しない範囲内で、上記実施の形態の構成要素の一部を省くことや変更することが可能である。例えば、上記実施の形態では、ゲートウェイ装置３がデータ検査手段３０５を有していたが、データ検査手段の機能を有する検査装置をゲートウェイ装置に接続した構成としてもよい。
【００６７】
また、本発明の要旨を変更しない範囲内で、上記実施の形態のフローにおいて、ステップの追加、削除、変更、入替え等が可能である。また、上記実施の形態で用いたプログラムをＣＤ−ＲＯＭ等のコンピュータ読み取り可能な記録媒体に記録して提供することができる。また、上記実施の形態で用いたプログラムをクラウドサーバ等の外部サーバに格納しておき、ネットワークを介して利用することができる。
【符号の説明】
【００６８】
１…通信システム、２…クライアント装置、３…ゲートウェイ装置、４…サーバ装置、５…内部ネットワーク、６…外部ネットワーク、３０…制御部、３１…記憶部、３２…内部通信部、３３…外部通信部、３０１…送受信手段、３０２…振る舞い検出手段、３０３…危険度判定手段、３０４…復号暗号化手段、３０５…データ検査手段、３０６…通信制御手段、３１０…プログラム、３１１…通信履歴情報、３１２、３１２ａ、３１２ｂ、３１２ｃ…通信元危険度テーブル、３１３…通信先危険度テーブル
【図１】
2019057058.tif 000003
【図２】
2019057058.tif 000004
【図３】
2019057058.tif 000005
【図４】
2019057058.tif 000006
【図５】
2019057058.tif 000007
【図６】
2019057058.tif 000008
【図７】
2019057058.tif 000009
【図８】
2019057058.tif 000010