(57)【要約】【課題】ファイアウォール専用のハードウエアや、ウイルスウォール専用のハードウェアを設置する必要がなく、モバイル系情報処理装置においても専用のハードウェアを必要とすることなく、簡単にファイアウォール、ウイルスウォール等のセキュリティウォールを構築する。【解決手段】１個の情報処理装置１０１上に、ＬＡＮセグメント１０７，１１０を複数に分けて実現し、インターネット１００等の外部からユーザシステム１０４にたどりつくまで、複数のＬＡＮセグメント１０７，１１０を経由させることにより、外部からの攻撃に対して強化を図る。ファイアウォール１０２や、ウイルスウォール１０３が同時に動作できるようにし、持ち運べるようにすることにより、モバイル系の情報処理装置のセキュリティ強化を図る【選択図】　　　　図１
2004038819.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続された情報処理装置のセキュリティウォールシステムであって、
該情報処理装置上で、外部からはフロントエンドのシステムしか見えないようにした複数のオペレーティングシステムと、
該ネットワークからユーザシステムに着信するまでに経由する複数のＬＡＮボードと、
該ネットワークを経由してメールが届くと、該ＬＡＮボードを経由した制御を受け取り、第１番目のオペレーティングシステム上で動作しているファイヤウォールプログラムに制御を渡し、該プログラムで不正アクセスか否かのチェックを行い、不正アクセスと判断したならば、アクセスを拒否し、アクセス待ち状態にする一方、正常と判断したならば、制御を第２番目のオペレーティングシステムに渡し、該システム上で動作しているウィルスチェックプログラムでウィルスチェックを行わせるマルチＯＳ制御プログラムと、
該複数のオペレーティングシステムで不正アクセスやウィルスチェックが行われ、正常のときに、受信データが一旦格納される共有メモリと
該ＬＡＮボートの一つを経由して接続され、ユーザシステム上で動作しているオペレーティングシステムにより制御されるユーザ端末と
を具備することを特徴とするセキュリティウォールシステム。
【請求項２】
ネットワークに接続された情報処理装置に、
外部ネットワーク経由で取得した実行ファイルや、データファイル等のファイルを、事前に本来守るべきユーザシステムへ渡す前に、複数のシステム上で各種オペレーティングシステムやチェックプログラムを実行させる処理、
実行、解凍、チェックあるいは閲覧などを行う処理、および、
ウイルス等の感染がないことを確認した後に、該ユーザシステムへ渡す処理を実行させるためのセキュリティ保護用プログラム。
【請求項３】
ネットワークに接続された情報処理装置に、
外部ネットワークを介して１個のシステムがポートスキャンや、改ざん等の攻撃を受けた場合、該システムに対する攻撃をそのまま受ける処理、および、
該システムの実行優先順位を最下位に落とすか、あるいは別システム経由で外部ネットワークとの迂回路を確保する処理を実行させるためのセキュリティ保護用プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、情報処理システムにおけるセキュリティウォールシステムおよびそのプログラムに係り、特にネットワーク経由での不正アクセスや、コンピュータウイルス等による攻撃をユーザシステムとは分離された情報処理システムに対して実行させることにより、ユーザシステムの保護を図るセキュリティウォールシステムおよびセキュリティ保護用プログラムに関する。
【０００２】
【従来の技術】
従来より、インターネットの普及に伴って、インターネット経由で企業システムに対して行われる攻撃や、ウィルス付きのメール送信等に対する防御が益々重要な問題となってきている。また、低価格サーバにおいても、インターネットからの攻撃に対して、特殊なハードウェアの追加なしに効率的にシステムを守ること、および、近年のモバイルクライアント端末の普及に伴って、これらのセキュリティをコストパーフォーマンスに見合った方法により確保することが重要となってきている。
【０００３】
図２は、従来技術における企業ネットワークの接続形態を示す図であり、また、図３は従来技術におけるモバイル端末のネットワークの接続形態を示す図である。
従来技術では、インターネットなど外部通信網２００とユーザシステム２０１の接続は、ＬＡＮ経由であれば、図２に示すように、まずインターネット等のネットワーク２００からの不正パケットの大量送信や、ファイルの改ざんや、コンピュタウイルス等の進入を防ぐため、ファイヤウォールサーバ２０２等のフロントエンド装置がシステム２０１の前段に位置し、その後段に、本来のユーザシステム（Ｗｅｂサーバ２０４、メールサーバ２０５等）を配置する構成がとられている。
【０００４】
このため、ユーザは、本来のユーザシステム２０１の他に、ファイヤウォールサーバ２０２やウイルスウォールサーバ２０３等のフロントエンド装置を、それぞれのセキュリティウオールの数だけハードウェアを購入して配備する必要がある。
また、一旦このファイヤウォールサーバ２０２等のセキュリティが破られると、ユーザシステム（Ｗｅｂサーバ２０４、メールサーバ２０５等）は、性能低下や、ファイル破壊等の致命的な被害を受けることになる。
【０００５】
また、モバイル情報処理装置３０４では、図３に示すように、ファイヤウォールサーバ２０２等のフロントエンド装置なしで、サービスプロバイダ３０３等を経由してサーバ群（ＦＴＰ（Ｆｉｌｅ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）サーバ３０１，Ｗｅｂサーバ３０２等）へ接続する場合、サーバ側（ユーザシステム２０１のサーバ群）には、ファイアウォールサーバ３０５が設置されるが、ユーザシステム２０１Ａであるモバイル端末３０４側は、ダイレクトに、インターネット等のネットワーク３００に接続されることになるため、外部からの攻撃に対して無防備である。
【０００６】
【発明が解決しようとする課題】
前述のように、従来技術では、それぞれのセキュリティウォールの数だけハードウェアを購入して配備する必要があるという問題がある。また、一旦、セキュリティウォールが破られると、ユーザシステムが直接被害を受けるという問題がある。さらに、モバイル情報処理装置を、外出先からインターネットような開放的なネットワークに接続する場合、セキュリティウォールを通した接続ができず、外部からの攻撃に弱いという問題がある。
【０００７】
そこで、本発明の目的は、これら従来の課題を解決し、ファイァウォール専用のハードウェアを設置する必要がなく、モバイル系処理装置にも専用のハードウェアを必要とすることなく、また、フロントエンドシステムのファイアウォールをすり抜けてきた不正アクセスや、ウィルスの混入や、ＤＫデータの改ざん等を防ぐことができ、ユーザシステムに影響を与えることなく、さらに特定ＯＳの弱点をついた攻撃からもユーザシステムを守ることが可能なセキュリティウォールシステムおよびそのプログラムを提供することにある。
【０００８】
【課題を解決するための手段】
本発明のセキュリティウォールシステムは、情報処理装置上で、外部からはフロントエンドのシステムしか見えないようにした複数のオペレーティングシステムと、該ネットワークからユーザシステムに着信するまでに経由する複数のＬＡＮボードと、該ネットワークを経由してメールが届くと、該ＬＡＮボードを経由した制御を受け取り、第１番目のオペレーティングシステム上で動作しているファイヤウォールプログラムに制御を渡し、該プログラムで不正アクセスか否かのチェックを行い、不正アクセスと判断したならば、アクセスを拒否し、アクセス待ち状態にする一方、正常と判断したならば、制御を第２番目のオペレーティングシステムに渡し、該システム上で動作しているウィルスチェックプログラムでウィルスチェックを行わせるマルチＯＳ制御プログラムと、該複数のオペレーティングシステムで不正アクセスやウィルスチェックが行われ、正常のときに、受信データが一旦格納される共有メモリと、該ＬＡＮボートの一つを経由して接続され、ユーザシステム上で動作しているオペレーティングシステムにより制御されるユーザ端末とを具備することを特徴としている。
【０００９】
また、本発明のセキュリティ保護用プログラムは、１個の情報処理装置に、ＬＡＮセグメントを複数に分けて実現し、インターネット等の外部からユーザシステムにたどりつくまで、複数のＬＡＮセグメントを経由させることにより、外部からの攻撃に対して強化を図る。たとえ、前述のＬＡＮセグメントの１個が外部からの攻撃で突破されても、被害がユーザシステムまで及ばないように強化を図る。さらに、ファイアウォールや、ウイルスウォールが同時に動作できるようにし、持ち運べるようにすることにより、モバイル系の情報処理装置のセキュリティ強化を図る。このように、同一ハードウェア上に複数のＬＡＮセグメントを実現したり、ファイアウォール、ウイルスウォールや、ユーザシステムを同一ハードウェア上で動作させるために、同一ハードウェア上に、複数のＯＳが同時に独立して動作できるようにする。
【００１０】
【発明の実施の形態】
以下、本発明の実施形態を、図と動作フローを用いて説明する。
図１は、本発明の実施形態を示すセキュリティウォールシステムの全体構成図である。
本発明のセキュリティウォールシステムは、情報処理装置１０１内に、第１のＯＳが管理するファイアウォールシステム１０２と、第２のＯＳが管理するウィルスチェックウォールシステム１０３と、第３のＯＳが管理するユーザシステム１４と、これらの３つのシステムに接続されたマルチＯＳ制御プログラム１０５と、共有メモリ１０６Ａを内蔵するハードウェアプラットホーム１０６と、該プラットホーム１０６に従属して分割されたＬＡＮボード１０７とディスク制御アダプタ（ＤＫＡ）１０８と、ＬＡＮボード１１０と、ＤＫＡ１０８に接続されたディスクユニット１０９と、ＬＡＮボード１１０に接続されたユーザ端末１１１〜１１４から構成される。なお、ＬＡＮボード１０７には、インターネット１００が接続される。
【００１１】
本発明においては、１つのハードウェア上で、複数のＯＳを動作させ、外部からはフロントエンドのシステムしか見えないようにして、外部からのアクセスを、内部に設けた仮想のＬＡＮセグメント１０７を経由して第２のシステム、つまりウィルスチェックウォールシステム１０３にアクセスが渡り、ここでさらに、アクセスの正当性は、添付ファイルの開封実行まで行い、問題の無いことを検証した後、さらに仮想のＬＡＮセグメント１１０を経由してユーザ本体システム１１１〜１１４へデータを渡すことにより、フロントエンドシステムのファィアウォールをすり抜けてきた不正アクセスや、ウィルスの混入や、ディスク等のファイル改ざんを防止するものである。
このように、同一のハードウェア上で、ファイアウォール１０２、ウィルスウォール１０３、ユーザシステム１０４を動作させることができるので、ファイアウォール専用のハードウェアや、ウィルスウォール専用のハードウェアを設置する必要がない。モバイル系情報処理装置においても、専用のハードウェアは不要となる。
【００１２】
図６は、外部ネットワークから、メールサーバへアクセスした場合のウイルスチェックのフローチャートである。
図１において、ユーザシステム１０４がメールサーバである場合、外部からのメールがユーザクライアント端末１１１−１１４へ届く例を、図６のフローと図１を用いて説明する。
メールがまだ届いていないウエイト状態（ステップ６１５）で、インターネット網１００を経由して外部からのメールが届くと（ステップ６００）、外部接続ＬＡＮボード１０７、その他ＣＰＵ等のハードウェアプラットホーム１０６を経由して、マルチＯＳ制御プログラム１０５（以下、ナノカーネルと略す）へ制御が渡り、次にナノカーネル１０５が、第１のシステムＯＳ上で動作しているファイヤウォールプログラム１０２で、不正アクセスかどうかのチェックが行われる（ステップ６０１）。もし、ここで、チェック結果が、不正アクセスであると判断されたならば、アクセスを拒否し（ステップ６０２）、再度アクセス待ちのウエイト状態（ステップ６１５）となる。
【００１３】
一方、アクセスチェック結果が正常アクセスであると判断されたならば、受信データを、共有メモリ１０６Ａへ格納し（ステップ６０３）、制御をナノカーネル１０５へ渡す（ステップ６０４）。次に、制御を受け取ったナノカーネル１０５は、第２のシステム上のＯＳで動作しているウィルスチェックプログラム１０３へ、割り込み等で制御を渡す（ステップ６０５）、ウィルスチェックプログラム１０３は、共有メモリ１０６Ａに格納されたデータを元にメールに対してウィルスチェックを行い（ステップ６０６）、ウィルスに感染していれば、メール全体を破棄し（ステップ６１２）、再度アクセス待ちのウエイト状態となる（ステップ６１５）。メールに添付ファイルがあるかどうかをチェックし（ステップ６０７）、もし添付ファイルがあれば、添付ファイルを開いたり、実行形式のファイルであれば実行し（ステップ６０８）、添付ファイルの開封または実行結果を判定する（ステップ６０９）。
【００１４】
ここでは、ディスクユニット１０９等への不正なファイルアクセスや不正なメモリアクセス等が発生しないかをチェックする。もし、ここで不正なアクセスが発生しても、ウイルスチェックのみが動作している第２システム１０３のみが被害を受けるだけで、本来守るべき第３のユーザシステム１０４は何ら被害を受けず、メールを破棄し（ステップ６１３）、第２システムのウイルスウォール１０３を削除後、再度ローディングして、再起動した後（ステップ６１４）後、再度外部からのアクセス待ちのウエイト状態となる（ステップ６１５）。
【００１５】
また、メールに添付ファイル有り無し判定（ステップ６０７）で、添付ファイルがなかったり、添付ファイルの動作判定（ステップ６０９）に異常がなかった場合は、制御がナノカーネル１０５へ移り（ステップ６１０）、次に、第３のシステムとして動作しているユーザシステム１０４へ、メールが届いたことを知らせる（ステップ６１１）。この場合も、データは共有メモリ１０６Ａを介して、渡されることになる。ユーザシステム１０４は、ユーザクライアント端末（例えば、１１１）へ、内部ＬＡＮ用のＬＡＮボード１１０を通してメールが届いたことを通知して（ステップ６１６）、再度外部からのアクセス待ちのウエイト状態になる（ステップ６１５）。
実施例では、外部アクセス用ＬＡＮ１０７と、内部アクセス用ＬＡＮ１１０を分けて説明したが、これらは、１つでもかまわない。
【００１６】
図４は、図１の情報処理装置１０１における、第１システムと、第２システム間のデータのやり取りを示す図である。
次に、各システム間のデータと制御のやり方について、システムが２つ動作してしている場合の例を、図４を用いて説明する。なお、システムが複数になっても各システム間のやり取りは同様に行われる。
第１システム４００で処理されたデータは、第２システム４０２からもアクセス可能な共有メモリ４０３に格納される。第１システム４００は、マルチＯＳ制御プログラム４０４（以下、ナノカーネルと略す）へ割り込みを発生させ、データを共有メモリ４０３に格納したことを通知する。ナノカーネル４０４は、第２システム４０２へ、あたかもＬＡＮボードから割り込みがあったかのごとく、割り込みを発生させる。次に、第２システム４０２は、ＬＡＮボードからのデータとして共有メモリ４０３の内容を読み込んで処理を行う。なお、第２システム４０２は、図１のウィルスチェックウォールシステムであって、１個のみでなく、４０２Ａ，４０２Ｂに示すように、複数個存在する場合もあり、その場合には、全く同じように割り込みが発生される。
【００１７】
図５は、外部ネットワーク網５００から、ユーザシステムへたどり着くまでの間に、多段のチェックシステムを挿入した場合のシステム構成図である。また、図７は、外部ネットワークから、ポートスキャン攻撃を受けた場合の動作のフローチャートである。
図５において、インターネット網５００を通じて、外部から不正アクセス（ポートスキャン）があった場合の動作を図７のフローを用いて説明する。
外部からのアクセス待ちのウエイト状態（ステップ７０５）で、インターネット網５００を通じて、外部からの論理的なアクセスパス５０７を通してアクセスが発生すると（ステップ７００）、第１のシステム５０２がポートスキャンを受けていることを検出し（ステップ７０１）、マルチＯＳ制御プログラム５０５（以下、ナノカーネルと略す）は、第１システム実行の優先順位を最下位へ下げ（ステップ７０２）、他のシステムの実行性能の低下を防ぐ。
【００１８】
さらに、ナノカーネル５０５は、別の第２システム５０３を立ち上げ、外部との論的なアクセスパス５０８を構築し、外部との通信路を確保し、ここにファイアウォールを構築する（ステップ７０３）。通信路が確保された状態で、外部とのアクセスが可能となり（ステップ７０４）、論的なアクセスパス５０８を通して外部からのアクセス待ちのウエイト状態となる（ステップ７０５）。このようにして、不正アクセスに対して、ダミーのシステムを外部に見せ、攻撃させることにより、外部からの不正アクセスを受けながらも、実際の動作には影響を及ぼさないシステムを構成することが可能となる。
【００１９】
図６および図７のフローで示す処理をプログラムに変換して、ＣＤ−ＲＯＭ等の記録媒体に格納しておけば、その記録媒体をネットワークに接続された情報処理装置に装着することにより、プログラムを情報処理装置にインストールした後、これを実行すれば、本発明を容易に実現することができる。
【００２０】
図１において、情報処理装置１０１を、図３で示すモバイル端末３０４に適用すれば、モバイル端末上に、堅牢なセキュリティシステムを構築できる。
また、図２において、Ｗｅｂサーバ２０４や、メールサーバ２０５に本発明を適用すれば、フロントエンドのファイアウォールサーバ２０２や、ウイルスウォールサーバ２０３は、不要とすることもできる。
図５において、動作させるチェックシステム５０３の数を増やすことにより、ある特定のシステムの弱点をついた攻撃で、たとえ第１システム５０２のセキュリティが破られても、それに続く後段のシステム５０３で不正アクセスをチェックできるため、堅牢なセキュリティシステムを構築することができる。
【００２１】
【発明の効果】
以上説明したように、本発明によれば、同一ハードウェア上で、ファイアウォール、ウイルスウォールや、ユーザシステムを動作させることができるため、ファイアウォール専用のハードウエアや、ウイルスウォール専用のハードウェアを設置する必要がなく、その結果、ハードウェアの２重投資を押さえることができる。また、モバイル系情報処理装置においても、専用のハードウェアを必要とすることなく、簡単にファイアウォール、ウイルスウォール等のセキュリティウォオールを構築することができる。
【００２２】
同一ハードウェア上に、複数のＬＡＮセグメントを実現し、複数のシステムが同時に独立して動作できるため、たとえ、外部から初段のセキュリティウォールが破られても、破られたところのシステムが攻撃を受けるのもみで、さらに後段に位置するユーザシステムには、被害が及ばなくすることができる。このユーザシステムを後段に置けばおくほど、システムとしてのセキュリティを強化することができる。
【図面の簡単な説明】
【図１】本発明の一実施形態を示すセキュリティウォールシステムの全体構成図である。
【図２】従来技術における、企業ネットワークの接続形態図である。
【図３】従来技術におけるモバイル端末のネットワーク接続形態図である。
【図４】図１における第１システムと、第２システム間のデータのやり取りを示す図である。
【図５】図１において、外部ネットワーク網とユーザシステムまでの間に、多段のチェックシステムを挿入した場合のシステム構成例の図である。
【図６】本発明におけるメールに対するウイルスチェックのフローチャートである。
【図７】本発明において、外部からポートスキャン攻撃を受けた場合の動作のフローチャートである
【符号の説明】
１００：インターネット網、１０１：情報処理装置、
１０２：ファイアウォールシステム、１０３：ウイルスウォールシステム、
１０４：ユーザシステム、１０５：マルチＯＳ制御部、
１０６：ハードウェアプラットホーム、１０６Ａ：共有メモリ、
１０７：外部接続ＬＡＮボード、１０８：ディスク制御アダプタ、
１０９：ディスクユニット、１１０：内部接続ＬＡＮボード、
１１１−１１３：内部ユーザ端末、２００：インターネット網、
２０１：企業ネットワーク接続形態、２０２：ファイアウォール、
２０３：ウイルスウォール、２０４：Ｗｅｂサーバ、２０５：メールサーバ、
２０６−２０８：ユーザ端末、３００：インターネット網、
３０１：ＦＴＰサーバ、３０２：Ｗｅｂサーバ、
３０３：インターネットサービスプロバイダ、３０４：モバイル端末、
４００：第一システム、４０２：第二システム、４０３：共有メモリ、
４０４：マルチＯＳ制御部５００：インターネット網、
５０１：情報処理装置、５０２：第一システム、５０３：第二システム、
５０４：ユーザシステム、５０５：マルチＯＳ制御部、
５０６：ディスクユニット、６００−６１４：ウイルスチェックフロー、
７００−７０４：ポートスキャンチェックフロー。
【図１】
2004038819.tif 000003
【図２】
2004038819.tif 000004
【図３】
2004038819.tif 000005
【図４】
2004038819.tif 000006
【図５】
2004038819.tif 000007
【図６】
2004038819.tif 000008
【図７】
2004038819.tif 000009