(57)【要約】【課題】ネットワーク上におけるセキュリティ機能を容易に追加可能な構成とする。【解決手段】ＬＡＮ４０とＩＰネットワーク５０とを相互接続し、所定のルーティング規則に基づきパケットを転送するルータ２０と、ＬＡＮ４０に分岐して接続され、所定のセキュリティ処理を実行するセキュリティゲートウェイ装置１０とを備えることで実現する。【選択図】図１
2008244808.tif 000002
【特許請求の範囲】
【請求項１】
内部ネットワークと外部ネットワークとを相互接続し、所定のルーティング規則に基づきパケットを転送するルータと、前記内部ネットワークに分岐して接続される通信セキュリティ装置とを備える通信セキュリティシステムであって、
前記通信セキュリティ装置は、前記内部ネットワークに接続された端末装置とパケット通信を行う端末通信手段と、
前記ルータとパケット通信を行うルータ通信手段と、
前記端末通信手段、前記ルータ通信手段による各パケット通信により取得したパケットの正当性を判断するセキュリティ処理を実行するセキュリティ処理手段とを有すること
を特徴とする通信セキュリティシステム。
【請求項２】
前記通信セキュリティ装置は、前記ルータに設定されている所定のルーティング規則を、前記外部ネットワークから前記内部ネットワークへのパケット通信に際し、当該通信セキュリティ装置にパケットが転送されるよう変更するルーティング規則変更手段を有し、
前記ルータは、前記ルーティング規則変更手段によって前記ルーティング規則が変更されたことに応じて、前記内部ネットワークへ送信するパケットを前記通信セキュリティ装置に転送し、
前記端末装置のルーティング規則を、前記内部ネットワークから前記外部ネットワークへのパケット通信に際し、前記通信セキュリティ装置にパケットが転送されるよう設定すること
を特徴とする請求項１記載の通信セキュリティシステム。
【請求項３】
前記通信セキュリティ装置は、前記内部ネットワーク上に存在するルータのＩＰアドレスを記載したアドレステーブルを記憶した記憶手段と、
前記記憶手段に記憶されているアドレステーブルを参照し、前記アドレステーブルに記載されている全てのルータに対して、ＡＲＰ要求パケットに対する応答であるＡＲＰ応答パケットを返信する機能を停止するよう指示する停止指示手段と、
前記ルータに対するＡＲＰ要求パケットを受信したことに応じて、前記ＡＲＰ要求パケットに対するＡＲＰ応答パケットを生成し、ＡＲＰ要求パケットの送信元へと返信するＡＲＰ処理手段とを有し、
前記ルータは、前記停止指示手段による指示に応じて、ＡＲＰ応答パケットを返信する機能停止させること
を特徴とする請求項２記載の通信セキュリティシステム。
【請求項４】
前記通信セキュリティ装置は、前記内部ネットワーク上に存在するルータを検索し、前記記憶手段に記憶させるアドレステーブルを生成するテーブル生成手段を有すること
を特徴とする請求項３記載の通信セキュリティシステム。
【請求項５】
前記端末装置のルーティング規則を、前記内部ネットワーク内におけるパケット通信に際し、前記通信セキュリティ装置にパケットが転送されるように設定するとともに、
前記内部ネットワークに接続された全ての端末装置に対して、ＡＲＰ要求パケットに対する応答であるＡＲＰ応答パケットを返信する機能を停止するよう設定し、
前記通信セキュリティ装置のＡＲＰ処理手段は、前記内部ネットワーク内のパケット通信において、前記端末装置に対するＡＲＰ要求パケットを受信したことに応じて、前記ＡＲＰ要求パケットに対するＡＲＰ応答パケットを生成し、ＡＲＰ要求パケットの送信元へと返信すること
を特徴とする請求項１記載の通信セキュリティシステム。
【請求項６】
内部ネットワークと外部ネットワークとを相互接続し、所定のルーティング規則に基づきパケットを転送するルータと、前記内部ネットワークに分岐して接続される通信セキュリティ装置とを備える通信セキュリティシステムの前記通信セキュリティ装置であって、
前記内部ネットワークに接続された端末装置とパケット通信を行う端末通信手段と、
前記ルータとパケット通信を行うルータ通信手段と、
前記端末通信手段、前記ルータ通信手段による各パケット通信により取得したパケットの正当性を判断するセキュリティ処理を実行するセキュリティ処理手段とを有すること
を特徴とする通信セキュリティ装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＩＰ（Internet Protocol）ネットワークに関し、詳しくはＩＰネットワークにおけるセキュリティ処理を実行する通信セキュリティシステム及び通信セキュリティ装置に関する。
【背景技術】
【０００２】
複数のコンピュータ間で情報通信が行えるように接続されたＩＰネットワーク（以下、単にネットワークと呼ぶ。）では、非常に高い利便性を有する一方、悪意のあるユーザによるコンピュータウィルスの感染行為や不正なアクセスといった攻撃の危険に常にさらされている。このような不当な攻撃に対抗するには、例えば、ネットワーク上に接続された端末装置やサーバ装置にコンピュータウィルスや不正なアクセスを検出するソフトウェアをインストールなどしてセキュリティ機能を高める必要がある。このようなソフトウェアは、新たなコンピュータウィルスや新たな不正なアクセス手法に対抗するために、常に最新のソフトウェアを導入する必要がある。
【０００３】
さらに、セキュリティを強化するためには、ネットワーク上に、例えば、許可されていないパケットを破棄する機能といった何らかのセキュリティ機能を導入する必要がある。このようなネットワーク上に導入されるセキュリティ機能は、ルータやスイッチ、通信経路の間に挟み込むブリッジ型の機器などに実装されることになる（例えば、特許文献１参照。）。このような、ネットワーク上に導入されるセキュリティ機能も、新たな攻撃手法に対抗するために常に最新の機能を追加していく必要がある。
【特許文献１】特開２００４−１０４７０９号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、特許文献１で開示されている手法のように、ルータやスイッチ、ブリッジ型の機器にセキュリティ機能を実装させる場合、新たなセキュリティ機能を実装させるのに際し、ネットワークの設計変更、ネットワークの配線変更、ネットワークに接続されている既存の機器の置き換えなどの作業が必要となり、非常に煩わしい作業を強いられてしまうとともに、コストを増大させてしまうといった問題がある。
【０００５】
そこで、本発明は、上述した実情に鑑みて提案されたものであり、ネットワークへの設計変更、ネットワークの配線変更、ネットワークに接続されている既存の機器の置き換えといった作業をすることなく、ネットワーク上におけるセキュリティ機能を容易に追加することができ、コストを低減することができる通信セキュリティシステム及び通信セキュリティ装置を提供することを目的とする。
【課題を解決するための手段】
【０００６】
本発明の通信セキュリティシステムは、内部ネットワークと外部ネットワークとを相互接続し、所定のルーティング規則に基づきパケットを転送するルータと、前記内部ネットワークに分岐して接続される通信セキュリティ装置とを備える通信セキュリティシステムであって、前記通信セキュリティ装置が、前記内部ネットワークに接続された端末装置とパケット通信を行う端末通信手段と、前記ルータとパケット通信を行うルータ通信手段と、前記端末通信手段、前記ルータ通信手段による各パケット通信により取得したパケットの正当性を判断するセキュリティ処理を実行するセキュリティ処理手段とを有することで、上述の課題を解決する。
【０００７】
また、本発明の通信セキュリティシステムは、前記通信セキュリティ装置が、前記ルータに設定されている所定のルーティング規則を、前記外部ネットワークから前記内部ネットワークへのパケット通信に際し、当該通信セキュリティ装置にパケットが転送されるよう変更するルーティング規則変更手段を有し、前記ルータが、前記ルーティング規則変更手段によって前記ルーティング規則が変更されたことに応じて、前記内部ネットワークへ送信するパケットを前記通信セキュリティ装置に転送する。そして、前記端末装置のルーティング規則を、前記内部ネットワークから前記外部ネットワークへのパケット通信に際し、前記通信セキュリティ装置にパケットが転送されるよう設定することで、上述の課題を解決する。
【０００８】
また、本発明の通信セキュリティシステムは、前記通信セキュリティ装置が、前記内部ネットワーク上に存在するルータのＩＰアドレスを記載したアドレステーブルを記憶した記憶手段と、前記記憶手段に記憶されているアドレステーブルを参照し、前記アドレステーブルに記載されている全てのルータに対して、ＡＲＰ要求パケットに対する応答であるＡＲＰ応答パケットを返信する機能を停止するよう指示する停止指示手段と、前記ルータに対するＡＲＰ要求パケットを受信したことに応じて、前記ＡＲＰ要求パケットに対するＡＲＰ応答パケットを生成し、ＡＲＰ要求パケットの送信元へと返信するＡＲＰ処理手段とを有する。そして、前記ルータが、前記停止指示手段による指示に応じて、ＡＲＰ応答パケットを返信する機能停止させることで、上述の課題を解決する。
【０００９】
また、本発明の通信セキュリティシステムは、前記通信セキュリティ装置が、前記内部ネットワーク上に存在するルータを検索し、前記記憶手段に記憶させるアドレステーブルを生成するテーブル生成手段を有することで、上述の課題を解決する。
【００１０】
また、本発明の通信セキュリティシステムは、前記通信セキュリティ装置が、前記端末装置のルーティング規則を、前記内部ネットワーク内におけるパケット通信に際し、前記通信セキュリティ装置にパケットが転送されるように設定するとともに、前記内部ネットワークに接続された全ての端末装置に対して、ＡＲＰ要求パケットに対する応答であるＡＲＰ応答パケットを返信する機能を停止するよう設定する。そして、前記通信セキュリティ装置のＡＲＰ処理手段が、前記内部ネットワーク内のパケット通信において、前記端末装置に対するＡＲＰ要求パケットを受信したことに応じて、前記ＡＲＰ要求パケットに対するＡＲＰ応答パケットを生成し、ＡＲＰ要求パケットの送信元へと返信することで、上述の課題を解決する。
【００１１】
また、本発明の通信セキュリティ装置は、内部ネットワークと外部ネットワークとを相互接続し、所定のルーティング規則に基づきパケットを転送するルータと、前記内部ネットワークに分岐して接続される通信セキュリティ装置とを備える通信セキュリティシステムの前記通信セキュリティ装置であって、前記内部ネットワークに接続された端末装置とパケット通信を行う端末通信手段と、前記ルータとパケット通信を行うルータ通信手段と、前記端末通信手段、前記ルータ通信手段による各パケット通信により取得したパケットの正当性を判断するセキュリティ処理を実行するセキュリティ処理手段とを有することで、上述の課題を解決する。
【発明の効果】
【００１２】
本発明によれば、ネットワークの設計変更、ネットワークの配線変更、ネットワークに接続されている既存の機器の置き換えといた作業をすることなく、ネットワーク上におけるセキュリティ機能を容易に追加することを可能とし、コストを低減することを可能とする。
【００１３】
また、本発明によれば、セキュリティ処理手段によるセキュリティ処理を、パケットに確実に施すことが可能となる。
【００１４】
また、本発明によれば、セキュリティ機能のすり抜けを防止することを可能とするとともに、通信セキュリティ装置を経由するようにパケットを誘導することを可能とする。
【００１５】
また、本発明によれば、記憶手段に記憶させるアドレステーブルを生成する際に、ユーザに要する労力を大幅に削減することが可能となる。
【００１６】
また、本発明によれば、内部ネットワーク内においてもセキュリティ処理を確実に施すことが可能となる。
【発明を実施するための最良の形態】
【００１７】
以下、本発明の実施の形態について図面を参照して説明する。まず、図１を用いて、本発明の実施の形態として示す通信セキュリティシステムについて説明をする。
【００１８】
図１に示すように、通信セキュリティシステムは、ルータ２０を介して内部ネットワークであるＬＡＮ（Local Area Network）４０と外部ネットワークであるＩＰ（Internet Protocol）ネットワーク５０とが相互に接続されている。ＬＡＮ４０には、複数の端末装置５ｎ（ｎは、自然数）とセキュリティゲートウェイ装置１０が分岐して接続されている。また、ＩＰネットワーク５０には、サーバ装置３０が接続されている。
【００１９】
このような構成の通信セキュリティシステムは、内部ネットワークであるＬＡＮ４０に接続された端末装置５ｎと、外部ネットワークであるＩＰネットワーク５０に接続されたサーバ装置３０とが相互にパケット通信をすることができる。
【００２０】
このとき、端末装置５ｎからＬＡＮ４０外へと送信されるパケットが、必ずセキュリティゲートウェイ装置１０を通過し、サーバ装置３０からＬＡＮ４０内へと送信されるパケットが、必ずセキュリティゲートウェイ装置１０を通過するように、端末装置５ｎ、ルータ２０に対するルーティング規則を変更する。端末装置５ｎに対するルーティング規則の変更は、ユーザにより手動で実行され、ルータ２０に対するルーティング規則の変更は、セキュリティゲートウェイ装置１０によって実行される。
【００２１】
ルーティング規則の変更により、図１に示すように、端末装置５ｎから送信されたパケットＰＴ１は、ＬＡＮ４０に接続されたセキュリティゲートウェイ装置１０に一旦転送されてから、ルータ２０を経由してＩＰネットワーク５０を介してサーバ装置３０へと到達する。また、サーバ装置３０から送信されたパケットＰＴ２は、ＩＰネットワーク５０を介してルータ２０を経由し、ＬＡＮ４０に接続されたセキュリティゲートウェイ装置１０に一旦転送されてから端末装置５ｎへと到達する。
【００２２】
続いて、図２を用いてセキュリティゲートウェイ装置１０の構成について説明をする。セキュリティゲートウェイ装置１０は、通信インターフェース１１と、通信制御部１２と、セキュリティ機能部１３と、ルーティング処理部１４と、ルータ情報リスト記憶部１５と、ＡＲＰ（Address Resolution Protocol）処理部１６と、自動設定機能部１７と、セキュリティ機能管理部１８と、設定情報記憶部１９ａと、ログ記録部１９ｂとを備えている。このようなセキュリティゲートウェイ装置１０は、一本のＬＡＮケーブルにてＬＡＮ４０に接続される。
【００２３】
通信インターフェース１１は、ＬＡＮ４０と通信制御部１２とのパケットの受け渡しを中継する。
【００２４】
通信制御部１２は、通信インターフェース１１から受け取ったパケットの種類（ＡＲＰパケット、ＩＰパケット）をチェックする。通信制御部１２は、ＡＲＰパケットであればＡＲＰ処理部１６に受け渡し、ＩＰパケットであればセキュリティ機能部１３に受け渡す。また、通信制御部１２は、ルーティング処理部１４、ＡＲＰ処理部１６から受け取ったパケットを通信インターフェース１１に受け渡す。
【００２５】
セキュリティ機能部１３は、通信制御部１２から受け取ったパケットに対してフィルタリングや暗号化など、パケットの正当性を判断する所定のセキュリティ処理を施す。セキュリティ機能部１３が施すセキュリティ処理は、単一のセキュリティ処理であってもよいし、複数のセキュリティ処理であってもよく、当該セキュリティゲートウェイ装置１０に実装されたセキュリティ機能に応じて施されるセキュリティ処理が決まる。セキュリティ機能部１３は、セキュリティ処理を施したパケットをルーティング処理部１４に受け渡す。
【００２６】
このセキュリティ機能部１３によるセキュリティ機能は、ソフトウェアとして実装させることもできるし、外付けのハードウェアとして実装させることもできる。つまり、セキュリティゲートウェイ装置１０のセキュリティ機能の実装は、セキュリティ機能部１３の機能を変更するだけで可能となるため、ＬＡＮ４０に接続された当該セキュリティゲートウェイ装置１０を取り外すことなく極めて容易に実装、削除といった変更をすることができる。
【００２７】
また、セキュリティ機能部１３は、セキュリティ機能管理部１８から設定変更命令を受けた場合には、設定情報記憶部１９ａに記憶されている設定情報の変更を行い、ログ参照命令を受けた場合には、ログ記録部１９ｂに記録されているログ情報をセキュリティ機能管理部１８に報告する。
【００２８】
設定情報記憶部１９ａに記憶されている設定情報、ログ記録部１９ｂに記録されているログ情報は、当該セキュリティゲートウェイ装置１０に実装されているセキュリティ機能に依存する。例えば、セキュリティ機能としてファイアウォール機能を実装している場合には、設定情報記憶部１９ａ、ログ記録部１９ｂには、フィルタリング設定、フィルタリングしたパケットのログ情報がそれぞれ記憶、記録され、トレースバック機能を実装している場合にはマネージャ装置のＩＰアドレス設定、パケットの通過ログがそれぞれ記憶、記録される。
【００２９】
ルーティング処理部１４は、セキュリティ機能部１３、自動設定機能部１７、セキュリティ機能管理部１８から受け取ったパケットの宛先ＩＰアドレスをチェックする。
【００３０】
ルーティング処理部１４は、例えば、パケットの宛先ＩＰアドレスが、当該セキュリティゲートウェイ装置１０自身のものであり、且つ宛先ポート番号が自動設定機能部１７で使用しているものであれば、自動設定機能部１７にパケットを受け渡す。また、パケットの宛先ＩＰアドレスが当該セキュリティゲートウェイ装置１０自身のものであり、且つ宛先ポート番号がセキュリティ機能管理部１８で使用しているものであれば、セキュリティ機能管理部１８にパケットを受け渡す。また、パケットの宛先ＩＰアドレスが当該セキュリティゲートウェイ装置１０自身のものでなければ、保持しているルーティングテーブルに従ってパケットの転送先ＩＰアドレスを決定し、通信制御部１２に受け渡す。
【００３１】
ルータ情報リスト記憶部１５は、ＬＡＮ４０上に存在するルータの所在を示すアドレステーブルであるルータ情報リストを記憶している。図３にルータ情報リストの一例を示す。図３に示すように、ルータ情報リストは、ＬＡＮ４０上にあるルータ（複数を設定可能）２０のＩＰアドレスと、機種情報と、リモートからルータの設定を変更する場合のログイン情報としてログインＩＤ、パスワードとを保持している。これらのルータ情報リストは、ユーザによってあらかじめ登録される。
【００３２】
また、ＩＰｖ６（Internet Protocol Version 6）環境であれば、ＬＡＮ４０上に存在するルータを検索し、ルータ情報リストを自動的に生成してルータ情報リスト記憶部１５に記憶させることもできる。これにより、ユーザによる初期設定に要する労力を大幅に削減することができる。
【００３３】
ＡＲＰ処理部１６は、通信制御部１２からＡＲＰリクエストパケットを受け取った場合、ＡＲＰリクエストパケットのターゲットＩＰアドレスをチェックする。ＡＲＰ処理部１６は、ターゲットＩＰアドレスが、ルータ情報リスト記憶部１５に記憶されているルータ情報リストに登録されているルータ２０のものであるか、当該セキュリティゲートウェイ装置１０自身のものである場合、当該セキュリティゲートウェイ装置１０のＭＡＣ（Media Access Control address）アドレスを書き込んだＡＲＰリプライパケットを生成し、通信制御部１２に受け渡す。
【００３４】
自動設定機能部１７は、当該セキュリティゲートウェイ装置１０のユーザが指示したタイミングで動作を開始してルータ２０に対する各種設定を自動的に行う。動作が開始されると、自動設定機能部１７は、ルータ情報リスト記憶部１５に記憶されているルータ情報リストを参照し、各ルータ２０にアクセスするための通信パケットを生成し、ルーティング処理部１４に受け渡す。また、自動設定機能部１７は、ルータ２０からの応答パケットをルーティング処理部１４から受け取る。この自動設定機能部１７による、ルータ２０に対する各種設定処理については後で詳細に説明をする。
【００３５】
セキュリティ機能管理部１８は、ルーティング処理部１４から受け取ったパケットの内容に応じた処理を実行する。セキュリティ機能管理部１８は、パケットに設定変更要求が含まれている場合、セキュリティ機能部１３に対して設定変更命令を発行する。
【００３６】
また、セキュリティ機能管理部１８は、パケットにログ参照要求が含まれている場合、セキュリティ機能部１３に対してログ参照命令を発行し、セキュリティ機能部１３からログの報告を受け取る。セキュリティ機能管理部１８は、ログの報告を受け取ると適切な応答パケットを生成してルーティング処理部１４に受け渡す。
【００３７】
続いて、図４に示すフローチャートを用いて、セキュリティゲートウェイ装置１０の自動設定機能部１７によるルータ２０に対する自動設定処理動作について説明をする。この自動設定機能部１７による自動設定処理は、ルータ情報リスト記憶部１５に記憶されているルータ情報リストに登録されている全てのルータ２０に対してアクセスがなされ、自動的に設定変更が実行されるものである。
【００３８】
まず、ステップＳ１において、自動設定機能部１７は、変数ｉに１を代入する（ｉ＝１）。
【００３９】
ステップＳ２において、自動設定機能部１７は、ルータ情報リストを参照し、ｉ番目のルータ２０にアクセスをする。
【００４０】
ステップＳ３において、自動設定機能部１７は、ｉ番目のルータ２０のルーティング規則を変更する。
【００４１】
通常、ルータ２０が、ＬＡＮ４０内の端末装置５ｎのＩＰアドレス宛のパケットを受け取った場合、直接宛先ＩＰアドレスにパケットを転送するようにルーティング規則が設定されている。ステップＳ３では、この設定を変更し、ルータ２０がＬＡＮ４０内の端末装置５ｎのＩＰアドレス宛のパケットを受け取った場合に、当該セキュリティゲートウェイ装置１０に転送するようにルーティング規則を変更する。
【００４２】
これにより、サーバ装置３０からＬＡＮ４０内への端末装置５ｎに対して送信されたパケットを必ずセキュリティゲートウェイ装置１０を経由させることができるため、セキュリティ機能部１３による所定のセキュリティ処理を、当該パケットに確実に施すことができる。
【００４３】
一方、上述したように、端末装置５ｎのルーティング規則は、ユーザによる手動によって変更されており、端末装置５ｎからＬＡＮ４０外のサーバ装置３０に対して送信されたパケットを必ずセキュリティゲートウェイ装置１０を経由させることができるため、同様にセキュリティ機能部１３による所定のセキュリティ処理を当該パケットに確実に施すことができる。
【００４４】
このように、セキュリティゲートウェイ装置１０は、変更されたルーティング規則によって経由されたパケットにセキュリティ処理を施すものであって、いわゆるプロキシなどとは異なるものである。
【００４５】
ステップＳ４において、自動設定機能部１７は、ルータ２０のＡＲＰ応答機能をオフ（ＯＦＦ）にする。具体的には、ルータ２０の種類によって、ＡＲＰ応答機能のみをオフにできるもの、ＡＲＰ機能全体をオフにできるもの、ＡＲＰ機能をオフできないものの３種類が考えられる。
【００４６】
したがって、ＡＲＰ応答機能のみをオフにできるルータ２０は、そのままオフにする。ＡＲＰ応答機能のみをオフにできないものの、ＡＲＰ機能全体をオフにできるルータ２０の場合には、ＡＲＰ機能全体をオフにし、同時にセキュリティゲートウェイ装置１０のＩＰアドレスとＭＡＣアドレスをルータ２０のＡＲＰテーブルに静的に設定する。ＡＲＰ機能をオフできないルータ２０の場合には、本ステップＳ４において何も実行しない。
【００４７】
このステップＳ４の処理は、端末装置５ｎに設定されたルーティング規則の設定ミスや悪意あるユーザの操作などにより、端末装置５ｎから送信されるパケットをセキュリティゲートウェイ装置１０を経由させずに直接ルータ２０に到達させてしまうといった事態に対処するための処理である。このように、ルータ２０のＡＲＰ応答機能をオフにすると、端末装置５ｎからＡＲＰリクエストパケットが送信されても、ルータ２０のＭＡＣアドレスを書き込んだＡＲＰリプライパケットを返信することがないため、端末装置５ｎと直接ルータ２０との通信リンクが確立されてしまうことを回避することができ、セキュリティ機能のすり抜けを防止することができる。
【００４８】
ステップＳ５において、自動設定機能部１７は、ＭＡＣアドレスフィルタの設定を行う。具体的には、自動設定機能部１７は、ルータ２０が有するＭＡＣアドレスフィルタ機能をオン（ＯＮ）にし、セキュリティゲートウェイ装置１０の有するＭＡＣアドレス以外の通信を受け付けないように設定する。
【００４９】
このステップＳ５の処理は、セキュリティ機能のすり抜けをさらに強固に防止するための処理である。例えば、悪意のあるユーザによって何らかの手法によりルータ２０のＭＡＣアドレスが取得されてしまっている場合、このようにＭＡＣアドレスフィルタの設定を行うことで、端末装置５ｎから直接ルータ２０に対して行われるアクセスを拒絶することができる。
【００５０】
ステップＳ６において、自動設定機能部１７は、全てのルータ２０に対してステップＳ１〜ステップＳ５までの自動設定処理を実行したかどうかを判断する。自動設定機能部１７は、ルータ情報リストを参照し、全てのルータ２０に対して設定処理を実行した場合には、処理を終了する一方、まだ設定をしていないルータ２０が存在する場合には、ステップＳ７へと処理を進める。
【００５１】
ステップＳ７において、自動設定機能部１７は、変数ｉを１インクリメントしてステップＳ２からの処理を繰り返す。
【００５２】
このようにして、セキュリティゲートウェイ装置１０の自動設定機能部１７は、ＬＡＮ４０上に存在しルータ情報リストに登録された全てのルータ２０のルーティング規則を、ＬＡＮ４０内の端末装置５ｎのＩＰアドレス宛のパケットを必ずセキュリティゲートウェイ装置１０を経由するように変更する。これにより、ＩＰネットワーク５０上に存在するサーバ装置３０などから送信されるＬＡＮ４０内の端末装置５ｎ宛のパケットは、必ずセキュリティゲートウェイ装置１０を通過するため、セキュリティゲートウェイ装置１０にセキュリティ機能部１３により実装されたセキュリティ機能によってセキュリティ処理が施されることになる。
【００５３】
また、セキュリティゲートウェイ装置１０の自動設定機能部１７は、ＡＲＰ応答機能をオフにし、ＭＡＣアドレスフィルタの設定をオンにすることで、端末装置５ｎに設定されたルーティング規則の設定ミスや悪意あるユーザによる操作によって端末装置５ｎから直接ルータ２０へとパケット通信を行われてしまうことを回避できるため、セキュリティゲートウェイ装置１０によるセキュリティ処理のすり抜けを防止することができる。
【００５４】
続いて、図５に示すフローチャートを用いて、セキュリティゲートウェイ装置１０が、ＬＡＮ４０からパケットを受け取った際の処理動作について説明をする。
【００５５】
ステップＳ１１において、セキュリティゲートウェイ装置１０は、ＬＡＮ４０から通信インターフェース１１を介してパケットを受信する。
【００５６】
ステップＳ１２において、パケットを受信したことに応じて、通信制御部１２は、受信したパケットがＡＲＰリクエストパケットかどうかを判断する。通信制御部１２は、受信したパケットがＡＲＰリクエストパケットだった場合、ステップＳ１３へと処理を進める一方、ＡＲＰリクエストパケットでなかった場合、ステップＳ１６へと処理を進める。
【００５７】
ステップＳ１３において、ＡＲＰ処理部１６は、ＡＲＰリクエストパケットのＴａｒｇｅｔ  ＩＰアドレスが、当該セキュリティゲートウェイ装置１０のものであるのかどうかを判断する。ＡＲＰ処理部１６は、ＡＲＰリクエストパケットのＴａｒｇｅｔ  ＩＰアドレスが、当該セキュリティゲートウェイ装置１０のものである場合、ステップＳ１５へと処理を進める一方、そうでない場合、ステップＳ１４へと処理を進める。
【００５８】
ステップＳ１４において、ＡＲＰ処理部１６は、ＡＲＰリクエストパケットのＴａｒｇｅｔ  ＩＰアドレスが、ルータ情報リスト記憶部１５に記憶されているルータ情報リストに含まれているかどうかを判断する。ＡＲＰ処理部１６は、ＡＲＰリクエストパケットのＴａｒｇｅｔ  ＩＰアドレスが、ルータ情報リストに含まれている場合、ステップＳ１５へと処理を進める一方、含まれていない場合、処理を終了する。
【００５９】
ステップＳ１５において、ＡＲＰ処理部１６は、当該セキュリティゲートウェイ装置１０自身のＭＡＣアドレスを書き込んだＡＲＰリプライパケットを生成してＡＲＰリクエストパケットの送信元に送り返す。
【００６０】
このステップＳ１５の処理は、端末装置５ｎに設定されたルーティング規則の設定ミスなどにより、端末装置５ｎから送信されるパケットがセキュリティゲートウェイ装置１０を経由せずに直接ルータ２０に到達してしまう場合に、端末装置５ｎから送信されるパケットをセキュリティゲートウェイ装置１０を経由するように誘導させるための処理である。
【００６１】
上述した図４のフローチャートのステップＳ４において、ルータ２０のＡＲＰ応答機能をオフにした上で、セキュリティゲートウェイ装置１０は、端末装置５ｎからブロードキャストされたルータ２０のＩＰアドレスが書き込まれたＡＲＰリクエストを受け取ったことに応じて、自身のＭＡＣアドレスを書き込んだＡＲＰリプライパケットを送信元の端末装置５ｎに返信する。これにより、端末装置５ｎが、ルータ２０に対してパケットを送信するようにしても、必ずセキュリティゲートウェイ装置１０を経由するようにパケットを誘導することができる。
【００６２】
これにより、セキュリティゲートウェイ装置１０は、設定ミスをしている端末装置５ｎのＭＡＣアドレスとＩＰアドレスとを検出することができるため、メールなどの手段によりシステム管理者へと通知することができる。
【００６３】
ステップＳ１６において、セキュリティ機能部１３は、所定のセキュリティ処理を施す。
【００６４】
ステップＳ１７において、セキュリティ機能部１３は、ステップＳ１６のセキュリティ処理においてパケットが破棄されたかどうかを判断する。セキュリティ機能部１３は、パケットが破棄された場合、処理を終了する一方、破棄されなかった場合、ステップＳ１８へと処理を進める。
【００６５】
ステップＳ１８において、ルーティング処理部１４は、パケットの宛先ＩＰアドレスが当該セキュリティゲートウェイ装置１０のものであるかどうかを判断する。ルーティング処理部１４は、パケットの宛先ＩＰアドレスが当該セキュリティゲートウェイ装置１０のものである場合、ステップＳ１９へと処理を進める一方、そうでない場合、ステップＳ２０へと処理を進める。
【００６６】
ステップＳ１９において、ルーティング処理部１４は、パケットに含まれるポート番号を元に適切なアプリケーションを選択し、アプリケーションによる処理を行う。例えば、アプリケーションには、上述した自動設定機能部１７やセキュリティ機能管理部１８などがあり、処理の詳細はアプリケーションに依存する。
【００６７】
ステップＳ２０において、ルーティング処理部１４は、ルーティング処理を実行し、適切な転送先を決定する。
【００６８】
セキュリティゲートウェイ装置１０内では、ルーティング規則として外部ネットワークのアドレスとルータ２０のＩＰアドレスが紐付けられているため、当該セキュリティ装置１０を経由して所定のセキュリティ処理を施された外部ネットワーク宛のパケットは、目的のルータ２０へと転送される。つまり、セキュリティゲートウェイ装置１０は、いわゆるプロキシなどと異なる処理動作を実行することになる。
【００６９】
ステップＳ２１において、ルーティング処理部１４は、通信制御部１２を介し、決定された転送先へパケットを転送する。
【００７０】
このようにして、セキュリティゲートウェイ装置１０は、ＬＡＮ４０を介して受信されたパケットがＡＲＰリクエストパケットだった場合、ＬＡＮ４０外のＩＰアドレス宛のパケットだった場合に応じて、それぞれ適切な処理を実行する。
【００７１】
上述した通信セキュリティシステムでは、内部ネットワークであるＬＡＮ４０上の端末装置５ｎと、外部ネットワークであるＩＰネットワーク５０上のサーバ装置３０とが、ルータ２０を介してパケット通信する場合に、ＬＡＮ４０上に分岐するように接続されたセキュリティゲートウェイ装置１０を必ず経由させることで、確実にセキュリティ処理を施すようにしていた。
【００７２】
これを、内部ネットワークであるＬＡＮ４０内にも適用し、ＬＡＮ４０内における端末装置５ｎ間のパケット通信において、セキュリティゲートウェイ装置１０を必ず経由させることで確実にセキュリティ処理を施すこともできる。
【００７３】
具体的には、内部ネットワークであるＬＡＮ４０内における端末装置５ｎ間のパケット通信におけるルーティング規則を、必ずセキュリティゲートウェイ装置１０にパケットが転送されるように設定するとともに、ＬＡＮ４０に接続された全ての端末装置５ｎに対して、ＡＲＰリクエストパケットに対応する応答であるＡＲＰリプライパケットを返信する機能を停止させるように設定する。なお、セキュリティゲートウェイ装置１０は、ＬＡＮ４０上に存在するルータ２０のリストであるルータ情報リストと同様に、ＬＡＮ４０上に存在する端末装置５ｎに関するリストを保持している。
【００７４】
このように、端末装置５ｎのＡＲＰ応答機能をオフにすると、別の端末装置５ｎからＡＲＰリクエストパケットが送信されても、当該端末装置５ｎのＭＡＣアドレスを書き込んだＡＲＰリプライパケットを返信することがないため、ルーティング規則の設定ミスや悪意のあるユーザによって操作されたとしても、端末装置５ｎ間で直接、通信リンクが確立されてしまうことを回避することができ、セキュリティ機能のすり抜けを防止することができる。
【００７５】
また、セキュリティゲートウェイ装置１０のＡＲＰ処理部１６は、ＬＡＮ４０内のパケット通信において、端末装置５ｎに対するＡＲＰリクエストパケットを受信したことに応じて、ＡＲＰリクエストパケットに対するＡＲＰリプライパケットを生成し、ＡＲＰリクエストパケットの送信元であたる端末装置５ｎに返信する。
【００７６】
これにより、ルーティング規則に設定ミスなどがあった場合でも、端末装置５ｎが、別の端末装置５ｎに対してパケットを送信するようにしても、必ずセキュリティゲートウェイ装置１０を経由するようにパケットを誘導することができる。
【００７７】
［セキュリティ機能；トレースバック機能］
セキュリティゲートウェイ装置１０に実装されるセキュリティ機能の一つとして、トレースバック機能がある。トレースバック機能の方式には、いくつかの方式が既知となっているが、ここでは、一例として、ダイジェスト方式と呼ばれるトレースバック機能をセキュリティゲートウェイ装置１０に実装したトレースバックシステムについて説明をする。
【００７８】
まず、図６を用いて、トレースバック機能を導入した通信セキュリティシステムであるトレースバックシステムの構成について説明をする。
【００７９】
図６に示すように、トレースバック機能を導入した通信セキュリティシステムであるトレースバックシステムは、ＬＡＮ４０Ａ、４０Ｂ、４０Ｃが、それぞれルータ２０Ａ、２０Ｂ、２０Ｃを介してＩＰネットワーク５０に接続されている。
【００８０】
ＬＡＮ４０Ａ上には、エンドユーザが使用する複数の端末装置５ｎ（ｎは、自然数）と、トレースバック機能を実装したセキュリティゲートウェイ装置１０Ａとが接続されている。同様に、ＬＡＮ４０Ｂ上には、エンドユーザが使用する複数の端末装置５ｎと、トレースバック機能を実装したセキュリティゲートウェイ装置１０Ｂとが接続されている。
【００８１】
ＬＡＮ４０Ｃ上には、エンドユーザに利用されるファイルサーバ装置３０Ｃと、トレースバックシステムの動作の中心となるトレースバックマネージャ装置３１とが接続されている。また、ルータ２０Ｃのミラーポートには、ＩＤＳ（Intrusion Detection System）３２が接続されている。ＩＤＳ３２は、ＬＡＮ４０Ｃの外部からファイルサーバ装置３０Ｃに送信されるパケットを監視し、攻撃パケットが通過した場合に即座に攻撃パケットを検知することができる。
【００８２】
セキュリティゲートウェイ装置１０Ａ、１０Ｂは、トレースバック機能を実装しており、以下に示す２つの処理を実行する。
【００８３】
まず、セキュリティゲートウェイ装置１０Ａ、１０Ｂは、１つ目の処理として、通過パケットを記録する処理を実行する。セキュリティゲートウェイ装置１０Ａ、１０Ｂは、ＬＡＮ４０Ａ、４０Ｂ上の端末装置５ｎやルータ２０Ａ、２０Ｂからそれぞれ送信された全てのパケットの記録を行う。この処理は、図２を用いて説明したセキュリティ機能部１３によって、図５に示したフローチャートのステップＳ１６のタイミングで実行される。
【００８４】
通過記録は、図２に示したログ記録部１９ｂに記録される。なお、ログ記録部１９ｂに記録するログは、Ｈａｓｈ関数を用いてパケットからＨａｓｈ値を計算し、それを記録することで記録量を低減させるようにしてもよい。
【００８５】
続いて、セキュリティゲートウェイ装置１０Ａ、１０Ｂは、２つ目の処理として、パケットの通過確認メッセージへの応答を行う処理を実行する。この処理は、図２を用いて説明したセキュリティ機能管理部１８とセキュリティ機能部１３とによって実行される。
【００８６】
図７に示すフローチャートを用いて、トレースバックシステムの２つ目の処理であるパケットの通過確認メッセージへの応答処理動作について説明をする。
【００８７】
まず、セキュリティゲートウェイ装置１０Ａ、１０Ｂは、トレースバックマネージャ装置３１から送信されるパケットの通過確認メッセージを受信すると（ステップＳ３１）、セキュリティ機能部１３により、ログ記録部１９ｂを参照して通過確認メッセージ内で指定されたパケットが記録されているかどうかを確認する（ステップＳ３２、ステップＳ３３）。
【００８８】
次に、セキュリティ機能部１３は、通過確認メッセージ内で指定されたパケットがログ記録部１９ｂに記録されていれば、そのパケットが通過したことになるため、送信元のＩＰアドレスやＭＡＣアドレスを書き込んだ通過記録があることを示す通過応答メッセージを生成して（ステップＳ３４）、トレースバックマネージャ装置３１に送信する（ステップＳ３６）。逆に、セキュリティ機能部１３は、通過確認メッセージ内で指定されたパケットがログ記録部１９ｂに記録されていなければ通過記録がないことを示す通過応答メッセージを生成して（ステップＳ３５）、トレースバックマネージャ装置３１に送信する（ステップＳ３６）。
【００８９】
続いて、図８を用いて、トレースバックマネージャ装置３１の構成について説明をする。図８に示すようにトレースバックマネージャ装置３１は、ＬＡＮ４０Ｃに接続された通信インターフェース３３と、通信制御部３４と、トレースバック処理部３５と、セキュリティゲートウェイ装置情報記憶部３６とを備えている。
【００９０】
次に、図９に示すフローチャートを用いて、トレースバックマネージャ装置３１の処理動作について説明をする。
【００９１】
まず、トレースバックマネージャ装置３１は、ＩＤＳ３２からトレースバック要求メッセージを受け取ると（ステップＳ４１）、セキュリティゲートウェイ装置情報記憶部３６に登録されている全てのセキュリティゲートウェイ装置１０Ａ、１０Ｂに対して通過確認メッセージを送信する（ステップＳ４２）。
【００９２】
このとき、トレースバック要求メッセージに、攻撃パケットが書き込まれているとすると、トレースバックマネージャ装置３１は、通過確認メッセージにも、その攻撃パケットを書き込んで送信する。
【００９３】
トレースバックマネージャ装置３１は、通過確認メッセージ送信後、全てのセキュリティゲートウェイ装置１０Ａ、１０Ｂから通過応答メッセージを受け取る（ステップＳ４３）。その後、受け取った通過応答メッセージのうち通過記録ありとなっている通過応答メッセージに書き込まれているＩＰアドレスとＭＡＣアドレスとを取り出す（ステップＳ４４）。これにより、攻撃パケットを送信してきた端末装置５ｎが特定される。
【００９４】
その後、トレースバックマネージャ装置３１は、攻撃に対する対処処理を実行する（ステップＳ４５）。攻撃に対する対処処理としては、例えば、攻撃記録としてログを残したり、ネットワーク管理者にメールなどの手段で通知したり、ファイアウォールなどと連携して攻撃パケットを送信してきた端末装置５ｎの通信を遮断することなどが考えられる。
【００９５】
次に、図１０に示すタイミングチャートを用いてトレースバックシステムにおいて、攻撃パケットが送信されてから動作が完了するまでの処理動作について説明をする。
【００９６】
まず、ウィルス感染などにより攻撃パケットを送信する機能を与えられてしまった端末装置５ｎが、ファイルサーバ装置３０Ｃに対して攻撃パケットＰ１を送信する。
【００９７】
セキュリティゲートウェイ装置１０Ａは、受け取った全てのパケットをログ記録部１９ｂに記録するため、この攻撃パケットＰ１を受け取った場合にもログとしてログ記録部１９ｂに記録し、ルータ２０Ａに転送する。ルータ２０Ａ、２０Ｃも順次、攻撃パケットＰ１を転送して、宛先であるファイルサーバ装置３０Ｃに到達させる。
【００９８】
ルータ２０Ｃは、攻撃パケットＰ１を受け取った際、ファイルサーバ装置３０Ｃに攻撃パケットＰ１を転送する一方、ミラーポートに接続されているＩＤＳ３２に対して攻撃パケットＰ１のコピーパケットＰ２を送信する。
【００９９】
攻撃パケットＰ１のコピーパケットＰ２を受け取ったＩＤＳ３２は、攻撃であることを検知して、直ちにトレースバック要求メッセージＰ３をルータ２０Ｃを経由させてトレースバックマネージャ装置３１に送信する。このトレースバック要求メッセージＰ３は、コピーパケットＰ２が書き込まれて送信される。
【０１００】
トレースバックマネージャ装置３１は、トレースバック要求メッセージＰ３を受け取ると、ルータ２０Ｃ、ルータ２０Ａを経由させてセキュリティゲートウェイ装置１０Ａに通過確認メッセージＰ４を送信する。この通過確認メッセージＰ４は、コピーパケットＰ２が書き込まれて送信される。なお、図１０では図示していないが、実際には、その他の全てのセキュリティゲートウェイ装置１０Ｂにもそれぞれ通過確認メッセージＰ４が送信されることになる。
【０１０１】
セキュリティゲートウェイ装置１０Ａは、通過確認メッセージＰ４に書き込まれているコピーパケットＰ２と同じパケットが通過していないかどうか、ログ記録部１９ｂを参照してチェックをする。攻撃パケットＰ１が、ログ記録部１９ｂに記録されている場合、コピーパケットＰ２と攻撃パケットＰ１とは全く同じパケットであることから、通過記録ありと判断される。
【０１０２】
セキュリティゲートウェイ装置１０Ａは、通過記録を確認すると、通過記録ありを示す通過応答メッセージＰ５をルータ２０Ａ、ルータ２０Ｃを経由させてトレースバックマネージャ装置３１に送信する。この通過応答メッセージＰ５には、ログに基づいて攻撃パケットＰ１を送信してきた端末装置５ｎのＩＰアドレスとＭＡＣアドレスとが書き込まれて送信される。
【０１０３】
トレースバックマネージャ装置３１は、通過応答メッセージＰ５を受け取ると、これに書き込まれているＩＰアドレスとＭＡＣアドレスとを取り出し、ログ記録部１９ｂへのログの記録、管理者への通知、ファイアウォールなどへの端末装置５ｎの通信遮断要求を送信するなど、攻撃対処処理を実行する。
【０１０４】
このようにして、トレースバック機能を実装したセキュリティゲートウェイ装置１０Ａ、１０Ｂは、トレースバックマネージャ装置３１、ＩＤＳ３２と連携して、攻撃パケットに対して攻撃対処処理、つまりセキュリティ処理を実行することができる。
【０１０５】
このように、通信セキュリティシステムは、セキュリティ機能を実装したセキュリティゲートウェイ装置１０をＬＡＮ４０に分岐するように接続させることで、ネットワークの設計変更、ネットワークの配線変更、ネットワークに接続されている既存の機器の置き換えといた作業をすることなく、ネットワーク上におけるセキュリティ機能を容易に追加することができ、コストを低減することができる。
【０１０６】
なお、上述の実施の形態は本発明の一例である。このため、本発明は、上述の実施形態に限定されることはなく、この実施の形態以外であっても、本発明に係る技術的思想を逸脱しない範囲であれば、設計等に応じて種々の変更が可能であることは勿論である。
【図面の簡単な説明】
【０１０７】
【図１】本発明の実施の形態として示す通信セキュリティシステムの構成について説明するための図である。
【図２】前記通信セキュリティシステムが備えるセキュリティゲートウェイ装置の構成について説明するための図である。
【図３】前記セキュリティゲートウェイ装置が保持するルータ情報リストの一例を示した図である。
【図４】前記セキュリティゲートウェイ装置によるルータに対する設定処理動作について説明するためのフローチャートである。
【図５】パケットを受信した際のセキュリティゲートウェイ装置の処理動作について説明するためのフローチャートである。
【図６】トレースバックを実現するトレースバックシステムの構成について示した図である。
【図７】トレースバックシステムのパケットの通過確認メッセージへの応答処理動作について説明するためのフローチャートである。
【図８】前記トレースバックシステムが備えるトレースバックマネージャ装置の構成を示した図である。
【図９】前記トレースバックシステムが備えるトレースバックマネージャ装置の処理動作について説明するためのフローチャートである。
【図１０】前記トレースバックシステムにおいて、攻撃パケットが送信されてから動作が完了するまでの処理動作について説明するためのタイミングチャートである。
【符号の説明】
【０１０８】
５ｎ   端末装置
１０  セキュリティゲートウェイ装置
１３  セキュリティ機能部
１４  ルーティング処理部
１５  ルータ情報リスト記憶部
１６  ＡＲＰ（Address Resolution Protocol）処理部
１７  自動設定機能部
１８  セキュリティ機能管理部
２０  ルータ
３０  サーバ装置
３１  トレースバックマネージャ装置
４０  ＬＡＮ（Local Area Network）
５０  ＩＰ（Internet Protocol）ネットワーク
【図１】
2008244808.tif 000003
【図２】
2008244808.tif 000004
【図３】
2008244808.tif 000005
【図４】
2008244808.tif 000006
【図５】
2008244808.tif 000007
【図６】
2008244808.tif 000008
【図７】
2008244808.tif 000009
【図８】
2008244808.tif 000010
【図９】
2008244808.tif 000011
【図１０】
2008244808.tif 000012