(57)【特許請求の範囲】
【請求項１】
ローカルエリアネットワーク用の保護方法であって、
送信ターミナルによってリクエストコマンドをネットワークパケットの形式で送信し、かつ送信ターミナルによって前記ネットワークパケット内にマークするステップと、
受信ターミナルによって前記リクエストコマンドを受信し、かつ受信ターミナルによってマークが前記ネットワークパケット内にあるかどうかチェックし、かつ前記送信ターミナルのＩＰまたはＭＡＣが前記受信ターミナルのホワイトリスト内にあるかどうかチェックするステップを含み、
前記マークが前記ネットワークパケット内に見つけ出される、あるいは前記送信ターミナルの前記ＩＰまたは前記ＭＡＣが前記ホワイトリスト内に見つけ出されるならば、前記ネットワークパケットが通過するネットワーク接続を確立し、前記マークが前記ネットワークパケット内に見つけ出されない、かつ前記送信ターミナルの前記ＩＰまたは前記ＭＡＣが前記ホワイトリスト内に見つけ出されないならば、前記ネットワーク接続を使用禁止にするステップを含む方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は一般にネットワークセキュリティの方法に関し、特にＬＡＮ用の保護システムおよび方法に関する。
【背景技術】
【０００２】
インターネットの開発によって、ネットワークパケットがＬＡＮ（ローカルエリアネットワーク）経由でクライアントとサーバとの間で伝送されることができる。ＬＡＮのうちの１つが切断される時、ネットワークパケットはそれにもかかわらず、ネットワーク伝送の連続性を維持するために、チャネルルーティング技術によって他のチャネルを通して伝送される。加えて、ネットワークパケットのネットワーク伝送速度もまた、多重チャネルを使用することによって高められることができる。
【０００３】
情報技術の開発において、企業および個人はＩＴ機器に深く依存し、および、情報セキュリティは、同時にコンピュータハードウェアおよびソフトウェアの開発および使用に対する最も重要な問題になった。情報セキュリティの欠如、それは、データ漏洩、データ追加、削除または改竄、コンピュータウィルスに起因するコンピュータ関連のサービスの運転停止、または企業および個人の毎日の仕事を不能にする場合はいつでも深刻な結果に結びつき、全てが企業および個人にとって有意な損失および不便に結びつく。
【０００４】
上述した課題のように、情報の漏洩は最も重大な悪影響を引き起こす。たとえば、一旦企業の研究開発成果、企業秘密、財務状態または顧客データおよび他の情報が漏洩されると、会社が技術開発における戦略的な競争的利点を失うか、または企業を財務危機にしさえするとともに、それが、市場に参入することのない製品開発または顧客の損失に結びつく。それゆえに、情報技術の広範囲な使用を必要としている企業および研究開発情報セキュリティ技術を受けるベンダは、それを情報の漏洩を防ぐ情報セキュリティを確立する第１の課題とみなす。
【０００５】
これらの状況に応じて、情報制御のための種々の方法が提供されている。それらのほとんどは、十分な許可によって情報に対するユーザーアクセスを確実にするためにアカウントパスワードメカニズムに基づく。確認手順を通して、インターネットまたは他のインタフェース経由でデータを転送するか、または外部記憶装置内にデータを蓄積することにユーザを限定し、それによって情報漏洩の種々の方法を防ぐことができる。しかしながら、上記の方法には、これらの保護メカニズムが特定のソフトウェアを始動のために利用する必要があるという不完全性または欠点が存在する。
【発明の概要】
【発明が解決しようとする課題】
【０００６】
加えて、ネットワーク資源の使用が完全でなく、ネットワーク処理システムおよびアーキテクチャがより複雑である。それゆえに、本発明は情報の漏洩の課題を解決するためにネットワークパケットセキュリティのための簡単な処理システムおよび方法を提供する。
【課題を解決するための手段】
【０００７】
上記のものに基づいて、本発明の一実施態様がローカルエリアネットワーク用の保護方法であって、送信ターミナルによってリクエストコマンドを送信し、かつネットワークパケット内にマークまたはホワイトリストをマークするステップと、受信ターミナルによってリクエストコマンドを受信し、かつマークまたはホワイトリストがネットワークパケット内にあるかどうかチェックするステップとを含む方法を提供する。この保護方法が、マークまたはホワイトリストがネットワークパケット内に見つけ出されるならば、ネットワークパケットが通り、マークまたはホワイトリストがネットワークパケット内に見つけ出されないならばネットワークを使用禁止にするステップを更に含む。
【０００８】
本発明の別の目的が、ローカルエリアネットワーク用の保護システムであって、ネットワークパケット内にマークまたはホワイトリストをマークすることが可能なネットワークパケットプロトコルユニットと、マークまたはホワイトリストがネットワークパケット内にあるかどうかチェックすることが可能なネットワークパケット検査ユニットとを備えるシステムを提供する。この保護システムが、マークまたはホワイトリストがネットワークパケット検査ユニットによってチェックされるネットワークパケット内に見つけ出されるならば、ネットワークパケットが通り、マークまたはホワイトリストがネットワークパケット検査ユニットによってチェックされるネットワークパケット内に見つけ出されないならば、ネットワークを使用禁止にすることを更に含む。
【０００９】
ネットワークパケットは、ＳＭＢパケット、ＮｅｔＢＩＯＳパケット、ＭＡＣパケット、ＴＣＰパケット、ＩＰパケットまたはイーサネットパケットを含む。マークは、ＳＭＢパケット内に加えられる。
【図面の簡単な説明】
【００１０】
本発明の構成要素、特性および利点は、明細書および添付される図面内に概説される好ましい実施態様の詳細な説明によって理解されることができる：
【００１１】
【図１】本発明に従うＬＡＮ保護システムの一実施態様の模式図を例示する。
【図２】本発明に従うネットワークパケットの一実施態様の模式図を例示する。
【図３】本発明に従うＬＡＮ用の保護方法の流れ図を例示する。
【図４】本発明に従ってプロトコルを確立する流れ図を例示する。
【発明を実施するための形態】
【００１２】
本発明のいくつかの好ましい実施態様が、次により詳細に記載される。しかしながら、本発明の好ましい実施態様が本発明を限定することよりむしろ例証のために提供されると認識されるべきである。加えて、本発明は明示的に記載されているものの他に広範囲にわたる他の実施態様において実践されることができ、添付の請求の範囲内に指定される場合を除き、本発明の有効範囲は明白に限定されない。
【００１３】
データが不適切にアクセスされることを回避してかつネットワーク近傍のユーザの間で伝送される情報のセキュリティを確実にするために、本発明がＬＡＮ保護システムを提供する。ネットワーク近傍内のネットワークパケットは、（パラメータまたはシンボルラベルのような）適切なマークによってマークされ、このマークに基づいて、ファイルまたはデータが、ＳＭＢ（サーバーメッセージブロック）、ＳＭＢ２またはＣＩＦＳ（共通インターネットファイルシステム）を利用することによってネットワーク内に転送されることができる。
【００１４】
図１に示すように、それは本発明に従うＬＡＮ保護システムの一実施態様の模式図を示す。本実施態様では、ＬＡＮ保護システム１０がサーバからクライアントまでに対するまたはクライアント間のＬＡＮシステムとして使用されることができる。ＬＡＮ保護システム１０は、ネットワークパケットプロトコルユニット１１およびネットワークパケット検査ユニット１２を含む。ネットワークパケットプロトコルユニット１１はネットワークパケット１３内のマークをマークすることが可能であり、ネットワークパケット検査ユニット１２はネットワークパケット１３内のマークされたマークをチェックすることが可能である。換言すれば、本発明のシステムを利用して、ファイルまたはデータが２台のクライアントの間で転送される時、データ伝送ターミナル（例えば第１のコンピュータ）がネットワークパケットプロトコルユニット１１によってネットワークパケット１３内のマークをマークすることが可能であり、および、データ受信ターミナル（例えば第２のコンピュータ）がネットワークパケット検査ユニット１２によってネットワークパケット１３内のマークをチェックすることが可能である。ネットワークパケット検査ユニット１２によってチェックされるネットワークパケット１３内のマーク、またはホワイトリストの間にソースＩＰもしくはＭＡＣが見つけ出されるならば、ファイルまたはデータが２台のターミナルの間で交換されるかまたは転送されることができる。さもなければ、マークがネットワークパケット検査ユニット１２によってチェックされるネットワークパケット１３内に見いだされないか、またはソースＩＰもしくはＭＡＣがホワイトリスト内にないならば、データ伝送ターミナルとデータ受信ターミナルの間のネットワークコネクションは使用禁止にされる。
【００１５】
別の実施態様では、たとえどんなマークがネットワークパケット１３内に存在しても、ネットワークパケットまたはＭＡＣのソースＩＰがホワイトリスト内にあるかどうかだけを検証し、もしそうなら、ネットワークパケット１３が通り、もしそうでなければ、データ伝送ターミナルとデータ受信ターミナルの間のネットワークコネクションが使用禁止にされる。
【００１６】
図２に示すように、それは本発明に従うネットワークパケットの一実施態様の模式図を示す。一般に開放形システム相互接続では、ネットワーク全体のタスクの達成に基づく参照モデル、それは、異なる機能ブロック、いわゆるレベル（層）に分割されることができる。一例では、ＴＣＰ／ＩＰ（伝送制御プロトコル／インターネットプロトコル）に基づいて、それは、アプリケーション層、転送層、ネットワーク相互接続層およびネットワークインターフェース層を含み、インターネットベースのネットワークプロトコルを構成する。アプリケーション層は、ファイル転送プロトコル（ＦＴＰ）、ハイパーテキスト転送プロトコル（ＨＴＴＰ）、ＳＭＢ、ＮｅｔＢＩＯＳなどのような他のプログラムとネットワークを通信することが可能である。所定の情報が、たとえばＴＣＰを含むどのアプリケーションに送信されるべきであるかを決定するために転送層が使用される。ネットワーク相互接続層は、たとえば、ＩＰ（インターネットプロトコル）を含むデータパケット伝送のためのネットワーク（インターネット）上のパスを選択することが可能である。ネットワークインターフェース層は、１台の装置のネットワーク層から別の装置のそれまでデータパケットを転送することが可能であり、それは、例えばイーサネットを含む、ネットワークカードのソフトウェアドライバを利用することによってまたはファームウェアもしくは専用のチップを利用することによって制御されることができる。それゆえに、本発明のネットワークパケット１３は、（ＳＭＢパケット／ＣＩＦＳパケット１０１ａおよびネットワーク基本入出力システム（ＮｅｔＢＩＯＳ）パケット１０１ｂを含む）アプリケーション層のパケット１００、転送層のＴＣＰパケット１０２、ネットワーク相互接続層のＩＰパケット（ＩＰｖ４またはＩＰｖ６パケット）１０３およびネットワークインターフェース層のイーサネットパケット１０４を含む全てのレベルのパケットを含む。サーバーメッセージブロック（ＳＭＢ）またはＣＩＦＳ（共通インターネットファイルシステム）プロトコルが、ネットワーク内のファイルを共有するためのプロトコルとして使用されることができる。
【００１７】
図３に示すように、それは本発明のＬＡＮ用の保護方法の流れ図を示す。例えば、ＬＡＮ保護はネットワーク近傍に対する情報交換の保護である、すなわち、図３はネットワークの保護能力を備えたネットワーク近傍に対する流れ図である。上記したように、データ交換において、マークがネットワーク近傍のパケット内にマークされる。第一に、ステップ１１０で、プロトコルが確立されてかつマークまたはホワイトリストがネットワークパケット内にあるかどうか確認する。ステップ１１０内のリクエスト／応答をネゴシエートするためのプロセスは、図４に示す。第一に、媒体アクセス制御アドレス（ＭＡＣアドレス）、インターネットプロトコルアドレス（ＩＰアドレス）およびホスト名が（ＳＭＢパケット、ＮｅｔＢＩＯＳパケット、ＭＡＣパケット、ＴＣＰパケット、ＩＰパケット、イーサネットパケットのような）ネットワークプロトコル用の送信パケットとしてアドレスされる。ステップ１２０では、送信ターミナル１４が、送信リクエストのコマンドを送信し、ネットワークパケット内のマークまたはホワイトリストをマークする。例えば、送信ターミナル１４が送信リクエストのコマンドを送信し、かつネットワークドライバインタフェース仕様ドライバ（ＮＤＩＳドライバ）によって送信される。ＮＤＩＳは、ネットワークインターフェイスカード（ＮＩＣ）のために使用されることができるＡＰＩである。
【００１８】
ネットワーク近傍の一例では、データがデータ送信ターミナル１４とデータ受信ターミナル１５との間で交換される前に、マークがネットワーク近傍のパケット内にマークされる。例えば、マークがＳＭＢヘッダ内にマークされ、ＳＭＢはパケット内にマークをするための十分なスペースフィールドを有しなければならない。一意の識別子（一意のＩＤ）のようなマークがＳＭＢプロトコルのスペースフィールドまたは固定フィールド内に位置することができる。すなわち、いくつかのコマンドで、ネットワーク有効化または禁止を決定するパケット検査のベースとして、ＳＭＢプロトコルのスペースフィールドまたは固定フィールド上にマークがマークされる。別の実施態様では、他の異なるコマンドに基づいて、またマークを他のスペースフィールドに位置させることもでき、マークアノテーションのフィールドは実際のアプリケーションに依存する。さらに、（Ｖｉｓｔａ／Ｗｉｎ７／ＸＰのような）異なるオペレーティングシステムが（ＳＭＢ／ＳＭＢ２のような）異なるプロトコルに対応し、したがって、マークが調整されるかまたは変更されることができる。
【００１９】
その後、ステップ１２１で、マークまたはホワイトリストがネットワークパケット内にあるかどうかチェックして確認するために受信ターミナル１５が受信リクエストを受信する。次いで、ステップ１２２で、マークまたはホワイトリストがネットワークパケット内にあるかどうかをそれが確認したことを受信ターミナル１５に応答して、受信ターミナル１５が応答コマンドを送信する。最後に、ステップ１２３で、送信ターミナル１４が応答コマンドを受信し、それによってネットワークプロトコルを確立する。同様に、これに反して、役割は送信ターミナルと受信ターミナルとの間で逆転することができる。送信ターミナル１４と受信ターミナル１５との間のネットワークパケットが同じマーク識別子（ＭＩＤ）またはホワイトリストを有することを、完成したネットワークプロトコルが示唆する。例えば、送信ターミナル１４および受信ターミナル１５のネットワークパケットが同じ長さのストリング、パラメータまたはシンボルタグを備えたスペースストリングを有することを、同じマーク識別子が示唆する。
【００２０】
プロトコルを確立した後に、ステップ１１１で、それは送信ターミナル１４と受信ターミナル１５との間のネットワークコネクションを確立するステップを実行する。ネットワークコネクションが確立された後で、ステップ１１２で、送信ターミナル１４および受信ターミナル１５はネットワーク近傍のファイルディレクトリをオープンすることができる。次いで、それらの要求に従って、ステップ１１３で、送信ターミナル１４または受信ターミナル１５がネットワーク近傍のファイルディレクトリの下のサブディレクトリファイル（サブフォルダ）をオープンすることができる。次に、ステップ１１４で、それがサブディレクトリの下のファイルをオープンすることができる。ファイルをオープンした後に、ステップ１１５で、それはファイルの読出しまたは書込みを行うことができる。最後に、ステップ１１６で、それがファイルをクローズすることができる。もちろん、情報の交換のプロセスにおいて、それがネットワーク近傍内のファイルにアクセスすることも含む。
【００２１】
前述の記述は、本発明の好ましい実施態様である。当業者によってよく理解されているように、本発明の上述した好ましい実施態様は本発明を限定することよりむしろ本発明の例証となる。本発明は、添付の請求の範囲の趣旨および範囲内に含まれる種々の変更および同様の配置を包含することを意図され、その有効範囲は、全てのこの種の変更および同様の構造体を包含するために最も幅広い解釈を与えられるべきである。
【符号の説明】
【００２２】
１０  ＬＡＮ保護システム
１１  ネットワークパケットプロトコルユニット
１２  ネットワークパケット検査ユニット
１３  ネットワークパケット
１４  データ送信ターミナル
１５  データ受信ターミナル
１００  アプリケーション層のパケット
１０１ａ  ＳＭＢパケット／ＣＩＦＳパケット
１０１ｂ  ＮｅｔＢＩＯＳパケット
１０２  ＴＣＰパケット
１０３  ＩＰパケット
１０４  イーサネットパケット
【図１】
0005692662.tif 000002
【図２】
0005692662.tif 000003
【図３】
0005692662.tif 000004
【図４】
0005692662.tif 000005