(57)【要約】 【課題】可用性保障のためのプロキシベースセキュリティーシステムを提供する。【解決手段】本発明に係るプロキシをベースとしたセキュリティーシステムは、ユーザーコンピュータから、データベース管理システムサーバーを最終目的地とする情報が含まれたデータパケットの伝送を受け、伝送されたデータパケットを伝送制御部とプロキシＡＣＬ部へ伝送する受信待ち行列部と、受信待ち行列部からデータパケットの伝送を受け、データパケットの目的地アドレスをデータベース管理システムサーバーに設定して伝送待ち行列部へ伝送するプロキシＡＣＬ部と、受信待ち行列部から伝送されたデータパケットの伝送許否を予め記憶されたセキュリティーシステム政策プログラムを用いて判断し、許容信号又は遮断信号を有する命令データを生成して伝送待ち行列部へ伝送する伝送制御部と、プロキシＡＣＬ部からデータパケットの伝送を受け、伝送制御部から命令データの伝送を受けて、命令データが許容信号を有する場合にはプロキシＡＣＬ部から伝送されたデータパケットをデータベース管理システムサーバーへ伝送し、命令データが遮断信号を有する場合にはプロキシＡＣＬ部から伝送されたデータパケットのヘッダ部を除いた情報データ部を設定された遮断メッセージデータ部に変更してデータベース管理システムサーバーへ伝送し、且つ、受信待ち行列部がデータパケットの伝送を受けた時点から所定の時間伝送制御部から命令データが伝送されなければ、プロキシＡＣＬ部から伝送されたデータパケットをデータベース管理システムサーバーへ伝送する伝送待ち行列部と、を含んでなる。上述したような本発明によれば、伝送制御部に障害が発生しても、既に接続されているセッション、新規のセッションともに影響を与えないため、セキュリティーシステムの可用性を保障することができる。【選択図】図２
2013516016.tif 000002
【特許請求の範囲】
【請求項１】
ユーザーコンピュータ（１００）から、データベース管理システムサーバー（３００）を最終目的地とする情報が含まれたデータパケットの伝送を受け、伝送されたデータパケットを伝送制御部（２３０）とプロキシＡＣＬ部（２２０）へ伝送する受信待ち行列部（２１０）と、
受信待ち行列部（２１０）からデータパケットの伝送を受け、データパケットの目的地アドレスをデータベース管理システムサーバー（３００）に設定して伝送待ち行列部（２４０）へ伝送するプロキシＡＣＬ部（２２０）と、
受信待ち行列部（２１０）から伝送されたデータパケットの伝送許否を予め記憶されたセキュリティーシステム政策プログラムを用いて判断し、許容信号又は遮断信号を有する命令データを生成して伝送待ち行列部（２４０）へ伝送する伝送制御部（２３０）と、
プロキシＡＣＬ部（２２０）からデータパケットの伝送を受け、伝送制御部（２３０）から命令データの伝送を受けて、命令データが許容信号を有する場合にはプロキシＡＣＬ部（２２０）から伝送されたデータパケットをデータベース管理システムサーバー（３００）へ伝送し、命令データが遮断信号を有する場合にはプロキシＡＣＬ部（２２０）から伝送されたデータパケットのヘッダ部を除いた情報データ部を設定された遮断メッセージデータ部に変更してデータベース管理システムサーバー（３００）へ伝送し、且つ、受信待ち行列部（２１０）がデータパケットの伝送を受けた時点から所定の時間伝送制御部（２３０）から命令データが伝送されなければ、プロキシＡＣＬ部（２２０）から伝送されたデータパケットをデータベース管理システムサーバー（３００）へ伝送する伝送待ち行列部（２４０）と、を含んでなることを特徴とする、プロキシをベースとしたセキュリティーシステム。
【請求項２】
前記プロキシＡＣＬ部（２２０）が、受信待ち行列部（２１０）から伝送されたデータパケットの出発地アドレスを該当ユーザーコンピュータ（１００）に設定し、目的地アドレスをデータベース管理システムサーバー（３００）に設定して伝送待ち行列部（２４０）へ伝送することを特徴とする、請求項１に記載のプロキシをベースとしたセキュリティーシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プロキシ(proxy)をベースとしたセキュリティーシステムの可用性保障のためのパッケット制御モジュール及び装置に関する。        
【背景技術】
【０００２】
図１は従来の技術に係るセキュリティーシステムを経由したユーザーコンピュータとデータベース管理システムサーバーとの論理的な接続を示す図である。
【０００３】
図１に示すように、ユーザーコンピュータ４００は、データベース管理システムサーバー６００に接続するためのデータパケットを生成するプログラムとしてのデータベースツール４１０と、データパケットがデータベース管理システムサーバー６００へ直接伝送される前にセキュリティーシステム５００を経由するように、データパケットの目的地アドレスをデータベース管理システムサーバー６００からセキュリティーシステム５００に変調するアドレス変換方式のプロキシセキュリティーモジュール４２０と、ＬＡＮカードなどのイーサネットインターフェース４３０とを含んでなる。
また、セキュリティーシステム５００は、ユーザーコンピュータのアドレス変換方式のプロキシセキュリティーモジュール４２０によって伝送されたデータパケットを受信する第１ソケット部５１０と、セキュリティーシステム政策プログラムを備え、伝送されたデータパケットをセキュリティーシステム政策プログラムを用いて分析することにより、データパケットを伝送するか否かを判断し、伝送を許容する場合には、データパケットの出発地アドレスをセキュリティーシステム５００に変調し、目的地アドレスをデータベース管理システムサーバー６００に変調してデータベース管理システムサーバー６００へ伝送するように制御し、伝送を遮断する場合には、遮断メッセージを有するデータパケットを生成してユーザーコンピュータ４００へ伝送するように制御する伝送制御部５２０と、伝送制御部５２０の制御に基づいて、ユーザーコンピュータ４００から伝送されたデータパケット、又は遮断メッセージを有するデータパケットを伝送する第２ソケット部５３０とを含んでなる。
また、データベース管理システムサーバー６００は、伝送されたデータパケットに応じて数多くのデータ資料を追加、修正又は削除し、或いはユーザーコンピュータ４００から要請されるデータに応答するデータベースサーバーであって、Ｏｒａｃｌｅ、ＭＳ−ＳＱＬ、ＳｙＢａｓｅなどのソフトウェアを含む。
ところが、このような従来に係るセキュリティーシステム４００は、伝送制御部５２０に障害が発生する場合、接続中のセッションが全て終了してしまうという問題点が生じた。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
本発明は、上述した問題点を解決するためになされたもので、その目的は、セキュリティーシステムの伝送制御部に障害が発生しても、既に接続されているセッション、新規のセッションともに影響を与えないように可用性を保障するセキュリティーシステムを提供することにある。
【課題を解決するための手段】
【０００５】
上記目的を達成するために、本発明に係るプロキシをベースとしたセキュリティーシステムは、ユーザーコンピュータから、データベース管理システムサーバーを最終目的地とする情報が含まれたデータパケットの伝送を受け、伝送されたデータパケットを伝送制御部とプロキシＡＣＬ部へ伝送する受信待ち行列部と、受信待ち行列部からデータパケットの伝送を受け、データパケットの目的地アドレスをデータベース管理システムサーバーに設定して伝送待ち行列部へ伝送するプロキシＡＣＬ部と、受信待ち行列部から伝送されたデータパケットの伝送許否を予め記憶されたセキュリティーシステム政策プログラムを用いて判断し、許容信号又は遮断信号を有する命令データを生成して伝送待ち行列部へ伝送する伝送制御部と、プロキシＡＣＬ部からデータパケットの伝送を受け、伝送制御部から命令データの伝送を受けて、命令データが許容信号を有する場合にはプロキシＡＣＬ部から伝送されたデータパケットをデータベース管理システムサーバーへ伝送し、命令データが遮断信号を有する場合にはプロキシＡＣＬ部から伝送されたデータパケットのヘッダ部を除いた情報データ部を設定された遮断メッセージデータ部に変更してデータベース管理システムサーバーへ伝送し、且つ、受信待ち行列部がデータパケットの伝送を受けた時点から所定の時間伝送制御部から命令データが伝送されなければ、プロキシＡＣＬ部から伝送されたデータパケットをデータベース管理システムサーバーへ伝送する伝送待ち行列部とを含んでなる。
また、前記プロキシＡＣＬ部は、受信待ち行列から伝送されたデータパケットの出発地アドレスを該当ユーザーコンピュータに設定し、目的地アドレスをデータベース管理システムサーバーに設定して伝送待ち行列部へ伝送してもよい。
【発明の効果】
【０００６】
上述した本発明によれば、セキュリティーシステムの伝送制御部に障害が発生しても、既に接続されているセッション、新規のセッションともに影響を与えないため、セキュリティーシステムの可用性を保障することができる。    
【図面の簡単な説明】
【０００７】
【図１】従来の技術に係るセキュリティーシステムを経由したユーザーコンピュータとデータベース管理システムサーバーとの論理的な接続を示す図である。
【図２】本発明に係るセキュリティーシステムを経由したユーザーコンピュータとデーベース管理システムサーバーとの論理的な接続を示す図である。
【発明を実施するための形態】
【０００８】
以下、添付図面を参照して詳細に説明する。本発明を説明するにあたり、関連した公知の機能或いは公知の構成についての具体的な説明、又は当業者に自明な事項であって、本発明の要旨を不要に乱すおそれがあると判断される場合には、その詳細な説明を省略する。
【０００９】
図２は本発明に係るセキュリティーシステムを経由したユーザーコンピュータとデータベース管理システムサーバーとの論理的な接続を示す図である。図２に示すように、本発明に係るプロキシをベースとしたセキュリティーシステム２００は、ユーザーコンピュータ１００から、データベース管理システムサーバー３００を最終目的地とする情報が含まれたデータパケットの伝送を受け、伝送されたデータパケットを伝送制御部２３０とプロキシＡＣＬ(Access Control List)部２２０へ伝送する受信待ち行列部２１０と、受信待ち行列部２１０からデータパケットの伝送を受け、データパケットの目的地アドレスをデータベース管理システムサーバー３００に設定して伝送待ち行列部２４０へ伝送するプロキシＡＣＬ部２２０と、受信待ち行列部２１０から伝送されたデータパケットの伝送許否を予め記憶されたセキュリティーシステム政策プログラムを用いて判断し、許容信号又は遮断信号を有する命令データを生成して伝送待ち行列部２４０へ伝送する伝送制御部２３０と、プロキシＡＣＬ部２２０からデータパケットの伝送を受け、伝送制御部２３０から命令データの伝送を受けて、命令データが許容信号を有する場合にはプロキシＡＣＬ部２２０から伝送されたデータパケットをデータベース管理システムサーバー３００へ伝送し、命令データが遮断信号を有する場合にはプロキシＡＣＬ部２２０から伝送されたデータパケットのヘッダ部を除いた情報データ部を設定された遮断メッセージデータ部に変更してデータベース管理システムサーバー３００へ伝送し、且つ、受信待ち行列部２１０がデータパケットの伝送を受けた時点から所定の時間伝送制御部２３０から命令データが伝送されなければ、プロキシＡＣＬ部２２０から伝送されたデータパケットをデータベース管理システムサーバー３００へ伝送する伝送待ち行列部２４０とを含んでなる。
【００１０】
この際、前記ユーザーコンピュータ１００は、データベース管理システムサーバー３００に接続するためのデータパケットを生成するプログラムとしてのデータベースツール１１０と、データパケットがデータベース管理システムサーバー３００へ直接伝送される前にセキュリティーシステム２００を経由するように、データパケットの目的地アドレスをデータベース管理システムサーバー３００からセキュリティーシステム２００に変調するアドレス変換方式のプロキシセキュリティーモジュール１２０と、ＬＡＮカードなどのイーサネットインターフェース１３０とを含んでなる。
【００１１】
また、前記データベース管理システム（ＤＢＭＳ：database management system）サーバー３００は、伝送されたデータパケットに応じて数多くのデータ資料を追加、修正又は削除し、或いはユーザーコンピュータ１００から要請されるデータを提供するデータベースサーバーを意味するものであって、Ｏｒａｃｌｅ、ＭＳ−ＳＱＬ、ＳｙＢａｓｅ等のソフトウェアを含む。
【００１２】
前記データベースツール１１０は、ユーザーコンピュータ１００に設置され、データベース管理システムサーバー３００に接続してＳＱＬを実行し、結果を確認するプログラムであって、ＳＱＬＰＬＵＳ、ＴＯＡＤ、ＭＳ−ＳＱＬ Ｅｎｔｅｒｐｒｉｓｅ Ｍａｎａｇｅｒなどのプログラムがある。
【００１３】
前記セキュリティーシステム２００の受信待ち行列部２１０は、セキュリティーシステム２００に取り込まれるネットワークのデータパケットを複製して伝送制御部２３０とプロキシＡＣＬへ複製データパケットを伝送し、原本パケットは捨てるプログラムを含む。この際、受信待ち行列部２１０から受信するデータパケットは、ユーザーコンピュータ１００のアドレス変換方式のプロキシセキュリティーモジュール１２０によって目的地アドレスがデータベース管理システムサーバー３００からセキュリティーシステム２００に変調されて設定されたデータパケットであり、該当データパケットには、データベース管理システムサーバー３００を最終目的地とする情報が含まれる。
【００１４】
前記プロキシＡＣＬ部２２０は、受信待ち行列部２１０からデータパケットの伝送を受け、データパケットのヘッダ部の目的地アドレスをデータベース管理システムサーバー３００に設定して伝送待ち行列部２４０へ伝送する。また、一実施例として、前記プロキシＡＣＬ部２２０は、受信待ち行列部２１０から伝送されたデータパケットのヘッダ部の出発地アドレスを該当ユーザーコンピュータ１００に設定し、目的地アドレスをデータベース管理システムサーバー３００に設定して伝送待ち行列部２４０へ伝送することができる。これにより、データベース管理システムサーバー３００は、実際接続したユーザーコンピュータ１００のＩＰアドレスを正確に把握することができ、データパケットに対する応答データパケットを、セキュリティーシステム２００を経由することなく、ユーザーコンピュータ１００へ直接伝送することができる。
【００１５】
前記伝送制御部２３０のセキュリティーシステム政策プログラムは、受信待ち行列部２１０から伝送されたデータパケットのユーザーＩＰ、ＤＢＭＳアカウント、データベースツール情報を用いてセキュリティーシステムの政策に適するか否かを判断することにより、データパケットの伝送許否を判断する。参考として、セキュリティーシステムの政策は接続制御政策と権限制御政策に大別される。接続制御政策は、データベース管理システムサーバー３００への接続を制御する政策として認可を受けたユーザーＩＰ、ＤＭＢＳアカウント、データベースツール情報によって、データベース管理システムサーバー３００に対して接続を許容するか遮断するかを決定する政策であり、権限制御政策は、データベース管理システムサーバー３００に接続されたユーザーコンピュータの権限を制御する政策として認可を受けたユーザーＩＰ、ＤＢＭＳアカウント、データベースツール情報によって、データベース管理システムサーバー３００に対してＳＱＬの実行を許容するか遮断するかを決定する政策である。また、本発明は、データパケットの許否を判断する技術に特徴があるのではないので、詳細な説明は省略する。
【００１６】
また、前記伝送制御部２３０は、データパケットの許否を判断した後、許容信号又は遮断信号を有する命令データを生成して伝送待ち行列部２４０へ伝送する機能をする。
【００１７】
一方、伝送待ち行列部２４０は、プロキシＡＣＬ部２２０と伝送制御部２３０からそれぞれデータパケットと該当データパケットに対する命令データの伝送を受け、命令データが許容信号を有する場合には、プロキシＡＣＬ部２２０から伝送されたデータパケットをデータベース管理システムサーバー３００へ伝送し、命令データが遮断信号を有する場合には、プロキシＡＣＬ部２２０から伝送されたデータパケットのヘッダ部を除いた情報データ部を設定された遮断メッセージデータ部に変更してデータベース管理システムサーバー３００へ伝送する。この際、受信待ち行列部２１０がデータパケットの伝送を受けた時点から所定の時間伝送制御部２３０から命令データが伝送されなければ、プロキシＡＣＬ部２２０から伝送されたデータパケットを許否に対する判断なしでデータベース管理システムサーバー３００へ伝送する。これにより、伝送制御部２３０に障害が発生しても、既に接続されているセッション、新規のセッションともに影響を与えないため、セキュリティーシステム２００の可用性を保障することができる。
また、本発明に係る好適な一実施例として、セキュリティーシステム２００は、伝送制御部２３０の障害有無を判断する障害感知部（図示せず）をさらに備え、伝送待ち行列部２４０へ所定の時間命令データを伝送しければ、セキュリティーシステム２００の管理者、すなわち設定された連絡網（例えば、メール、ＳＭＳ）へ、障害発生信号及び障害発生時間を含む情報を伝送するようにすることが好ましい。或いは、セキュリティーシステムは、障害感知部に接続されたアラーム部（図示せず）をさらに備え、障害感知部が障害発生の際にアラーム部を作動させるように制御してもよい。
本発明に係るプロキシをベースとしたセキュリティーシステムは、保安性も重要視するがデータ伝送の可用性をより重要視する環境に適するように設計された。以上、本発明について図面と実施例によって説明したが、本発明は、特定の実施例に限定されず、当該技術分野における通常の知識を有する者であれば、本発明の範囲から外れることなく様々な修正及び変形を加え得ることを理解するであろう。また、前記図面は、発明の理解を助けるためのもので、請求の範囲を限定するものと理解してはならない。
【符号の説明】
【００１８】
１００、４００    ユーザーコンピュータ
２００、５００    セキュリティーシステム
３００、６００    データベース管理システムサーバー
１１０、４１０    データベースツール
１２０、４２０    アドレス変換方式のプロキシセキュリティーモジュール
１３０、４３０    イーサネットインターフェース
２１０    受信待ち行列部
２２０    プロキシＡＣＬ部
２３０    伝送制御部
２４０    伝送待ち行列部
【図３】
2013516016.tif 000003
【図１】
2013516016.tif 000004
【図２】
2013516016.tif 000005
【国際調査報告】
2013516016.tif 000006
2013516016.tif 000007
2013516016.tif 000008
2013516016.tif 000009
2013516016.tif 000010
2013516016.tif 000011