(57)【要約】【課題】本発明の実施形態は中継許可定義を手入力にて登録せずに、ネットワーク間の通信を可能にするセキュリティゲートウェイシステムを提供することを目的とする。【解決手段】本発明の実施形態に係るセキュリティゲートウェイシステムは、第１の計算機と第２の計算機とを備え、第１の計算機は、第１のネットワークまたは第２の計算機から初めて受信したデータのデータ送信情報を登録待ちリストに追加し、登録待ちリストに追加されたデータ送信情報の中継許可指令を受信した場合に当該データ送信情報を中継許可定義に追加し、中継許可定義に基づいて受信したデータを中継するか否かを判定する第１の中継許可定義生成機能部と、第１の中継許可定義生成機能部により中継すると判定されたデータのプロトコルを変換し、前記第２の計算機または前記第１のネットワークに送信するセキュリティゲートウェイ処理部と、を備える。【選択図】図１
2012065287.tif 000002
【特許請求の範囲】
【請求項１】
第１の計算機および第２の計算機から構成され、第１のネットワークおよび第２のネットワークに接続し、ネットワーク間で送受信されるデータを中継するか否かを判定するセキュリティゲートウェイシステムにおいて、
第１の計算機は、
前記第１のネットワークまたは前記第２の計算機から初めて受信したデータのデータ送信情報を登録待ちリストに追加し、  前記登録待ちリストに追加されたデータ送信情報の中継許可指令を受信した場合に当該データ送信情報を中継許可定義に追加し、  前記中継許可定義に基づいて受信したデータを中継するか否かを判定する第１の中継許可定義生成機能部と、
前記第１の中継許可定義生成機能部により中継すると判定されたデータのプロトコルを変換し、前記第２の計算機または前記第１のネットワークに送信するセキュリティゲートウェイ処理部と
を備えるセキュリティゲートウェイシステム。
【請求項２】
前記第１の計算機は、
受信したデータのうち、事前に設定されたプロトコルを持つデータを中継する第１のプロトコルフィルタ機能部を備える請求項１記載のセキュリティゲートウェイシステム。
【請求項３】
前記第１の中継許可定義生成機能部は、タイマ機能を持ち、前記タイマ機能により指定された時間に、  前記第１のネットワークまたは前記第２の計算機から初めて受信したデータのデータ送信情報を登録待ちリストに追加する請求項１または２記載のセキュリティゲートウェイシステム。
【請求項４】
前記第２の計算機は、
前記第２のネットワークまたは前記第１の計算機から初めて受信したデータのデータ送信情報を登録待ちリストに追加し、  前記登録待ちリストに追加されたデータ送信情報の中継許可指令を受信した場合に当該データ送信情報を中継許可定義に追加し、  前記中継許可定義に基づいて受信したデータを中継するか否かを判定する第２の中継許可定義生成機能部と、
前記第２の中継許可定義生成機能部により中継すると判定されたデータのプロトコルを変換し、前記第１の計算機または前記第２のネットワークに送信するセキュリティゲートウェイ処理部と
を備える請求項１記載のセキュリティゲートウェイシステム。
【請求項５】
前記第２の計算機は、
受信したデータのうち、事前に設定されたプロトコルを持つデータを中継する第２のプロトコルフィルタ機能部を備える請求項４記載のセキュリティゲートウェイシステム。
【請求項６】
前記第２の中継許可定義生成機能部は、タイマ機能を持ち、前記タイマ機能により指定された時間に、  前記第２のネットワークまたは前記第１の計算機から初めて受信したデータのデータ送信情報を登録待ちリストに追加する請求項４または５記載のセキュリティゲートウェイシステム。
【請求項７】
前記第１の計算機および前記第２の計算機は、単数の計算機において仮想化されて構成されている請求項１乃至６のいずれか１項に記載のセキュリティゲートウェイシステム。
【請求項８】
第１のネットワークおよび第２のネットワークの間で送受信されるデータを中継するか否かを判定するセキュリティゲートウェイ方法において、
前記第１のネットワークから初めて受信したデータのデータ送信情報を登録待ちリストに追加し、  前記登録待ちリストに追加されたデータ送信情報の中継許可指令を受信した場合に当該データ送信情報を中継許可定義に追加し、  前記中継許可定義に基づいて受信したデータを中継するか否かを判定し、
前記中継許可定義生成機能部により中継すると判定されたデータのプロトコルを変換し、前記第２の計算機または前記第１のネットワークに送信する  セキュリティゲートウェイ方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施形態は、セキュリティゲートウェイシステムとその方法に関する。
【背景技術】
【０００２】
ネットワーク通信技術の分野においては、デファクトスタンダードのインターネットプロトコル(ＩＰ)を用いて通信を行うことにより、メーカ独自の通信プロトコルを用いた独立ネットワーク(特定のグループ)に対するサービスから、インターネット全体(世界中の人々)にサービスを提供できるようになっている。
【０００３】
このインターネットプロトコル(ＩＰ)は、開放型相互接続システム(Open Systems Interconnection)の1つの例であり、その仕様が公開され何人も入手できるようになっている。この公開された技術を用いて通信を行うハードウェア、ソフトウェアをもとに、標準的なインターネット上のサービスが提供され、これらもまた何人も入手し利用することができるようになっている。
【０００４】
このように標準化されて誰でもサービスを受ける手段を得ることができる状況は、企業活動などにあてはめた場合、通信の秘密性や、企業のコンピュータシステムの安全性を損なう恐れがあるため、これらの問題を回避するためのセキュリティ方式も多数考案され実用化されている。
【０００５】
この中には、標準化され仕様が公開されている標準プロトコルをそれぞれ利用する複数のネットワーク間を接続するセキュリティゲートウェイシステムが存在する。
【０００６】
このセキュリティゲートウェイシステムは、互いに独立したコンピュータにより実現される２つのサブゲートウェイは物理的に完全に分離され、サブゲートウェイ間の通信は仕様が公開されていない非標準プロトコルにより行われる。したがって、ネットワークからの不正な通信データが一方のサブゲートウェイに侵入した場合には、通信データのプロトコル変換を行う段階で中継許可設定情報を比較して当該通信データが不正であることを容易に確認して、当該通信データを破棄するなどの適切な処理を行うことにより他方のサブゲートウェイへの不正な通信データの侵入を阻止することができる。
【０００７】
また、ファイアウォールと、トンネルホストと、VPNサーバを保有するネットワーク間接続装置における自動設定システムとして、新規の拠点LAN(Local Area Network)を追加してもファイアウォール越しにVPN(Virtual Private Network)構築の自動設定を行うことが可能なネットワーク間接続装置の自動設定システムが存在する。
【０００８】
このネットワーク間接続装置の自動設定システムでは、設定情報を予め保存した設定装置を別途用意し、ネットワーク間接続装置に設定装置を直接参照されることにより、必要な設定情報を抽出、設定していた。
【０００９】
前述したセキュリティゲートウェイシステムおよびネットワーク間接続装置においては、中継を許可させたいデータに関して、データの情報、すなわち中継許可定義を予め登録する必要があった。この中継許可定義とはデータのプロトコル、送信元アドレス、送信先アドレス、ポート番号などから構成される複雑かつ数種類に渡る定義である。これは中継を許可させたい全てのデータに対して一つ一つ個別に定義を作成し、それをセキュリティゲートウェイシステムに手入力で登録する必要があった。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開２００６−２９５６４９号公報
【発明の概要】
【発明が解決しようとする課題】
【００１１】
前述したセキュリティゲートウェイシステムおよびネットワーク間接続装置においては、中継を許可させたいデータに関して、中継許可定義を予め登録する必要があった。
【００１２】
本発明の実施形態は前述した課題を解決するためになされたものであり、中継許可定義を手入力にて登録せずに、ネットワーク間の通信を可能にするセキュリティゲートウェイシステムを提供することを目的とする。
【課題を解決するための手段】
【００１３】
本発明の実施形態に係るセキュリティゲートウェイシステムは、第１の計算機と第２の計算機とを備え、第１の計算機は、第１のネットワークまたは第２の計算機から初めて受信したデータのデータ送信情報を登録待ちリストに追加し、登録待ちリストに追加されたデータ送信情報の中継許可指令を受信した場合に当該データ送信情報を中継許可定義に追加し、中継許可定義に基づいて受信したデータを中継するか否かを判定する第１の中継許可定義生成機能部と、第１の中継許可定義生成機能部により中継すると判定されたデータのプロトコルを変換し、前記第２の計算機または前記第１のネットワークに送信するセキュリティゲートウェイ処理部と、を備えるセキュリティゲートウェイシステム。
【図面の簡単な説明】
【００１４】
【図１】第１の実施形態におけるセキュリティゲートウェイシステム１０を示す構成図。
【図２】第１の実施形態において、第1方向の中継処理でのプロトコルフィルタ機能部５０の動作を示すフローチャート。
【図３】第１の実施形態において、第1方向の中継処理での標準プロトコル用中継許可定義生成機能部３０の動作を示すフローチャート。
【図４】第１の実施形態における登録待ちリスト、ブラックリスト、または中継許可定義の一例を示す図。
【図５】第１の実施形態において、第1方向の中継処理での非標準プロトコル用中継許可定義生成機能部４１の動作を示すフローチャート。
【図６】第１の実施形態において、第２方向の中継処理でのプロトコルフィルタ機能部５１の動作を示すフローチャート。
【図７】第１の実施形態において、第２方向の中継処理での標準プロトコル用中継許可定義生成機能部３１の動作を示すフローチャート。
【図８】第１の実施形態において、第２方向の中継処理での非標準プロトコル用中継許可定義生成機能部４０の動作を示すフローチャート。
【図９】第２の実施形態におけるセキュリティゲートウェイシステム１０を示す構成図。
【図１０】第２の実施形態において、第1方向の中継処理でのタイマ機能付標準プロトコル用中継許可定義生成機能部６０の動作を示すフローチャート。
【発明を実施するための形態】
【００１５】
以下には、本発明に係るセキュリティゲートウェイシステムの実施形態について図面を参照して説明する。
【００１６】
本明細書中で用いられる種々の用語について説明する。
【００１７】
(1)セキュアネットワーク
企業内などの特定のグループにサービスを提供するネットワークであり、セキュリティが確保されているネットワーク。
【００１８】
(2)非セキュアネットワーク
インターネットに代表される、不特定多数が接続し利用する広域ネットワークまたは公衆ネットワーク。
【００１９】
(3)独自ネットワーク
セキュリティゲートウェイシステムを構築する複数のゲートウェイ（計算機）間の通信に用いられるネットワーク。
【００２０】
(4)非セキュアネットワークゲートウェイ
セキュリティゲートウェイシステムを構成するゲートウェイ（計算機）の一つであり、非セキュアネットワークでは標準プロトコルを用いて通信を実施し、独自ネットワークでは非標準プロトコルを用いた通信を行う。非セキュアネットワークと独自ネットワークの双方向中継を行うサブゲートウェイ。
【００２１】
(5)セキュアネットワークゲートウェイ
セキュリティゲートウェイシステムを構成するゲートウェイ（計算機）の一つであり、セキュアネットワークと標準プロトコルを用いて通信を実施し、独自ネットワークと非標準プロトコルを用いた通信を行い、セキュアネットワークと独自ネットワークの双方向中継を行うサブゲートウェイ。
【００２２】
(6)中継許可定義
セキュリティゲートウェイシステムに記録され、中継が許可されたデータを示す。データのプロトコル、送信元情報、送信先情報が記録される。
【００２３】
(7)プロトコルフィルタ機能
セキュリティゲートウェイシステムにおける、データの中継を許可するかどうかをデータのプロトコル情報により判定する機能のことである。
【００２４】
[第１の実施形態]
[構成]
図１は、第１の実施形態に係るセキュリティゲートウェイシステムの構成を示す構成図である。
【００２５】
この図1に示すように、本実施形態のセキュリティゲートウェイシステム１０は、標準プロトコルを用いた広域ネットワーク（非セキュアネットワーク）１に接続する非セキュアネットワークゲートウェイ１１と、標準プロトコルを用いた内部ネットワーク（セキュアネットワーク）２に接続するセキュアネットワークゲートウェイ１２、という２つのサブゲートウェイから構成されている。ここで、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２は、互いに独立した計算機によって構成されている。
【００２６】
本実施形態のセキュリティゲートウェイシステム１０における、非セキュアネットワークゲートウェイ１１は、プロコトルフィルタ機能部５０、標準プロトコル用中継許可定義生成機能部３０、セキュリティゲートウェイ処理部２０、非標準プロトコル用中継許可定義生成機能部４０から構成されている。
【００２７】
また、セキュアネットワークゲートウェイ１２も、セキュリティゲートウェイ処理部２１、標準プロトコル用中継許可定義生成機能部３１、非標準プロトコル用中継許可定義生成機能部４１、プロトコルフィルタ機能部５１から構成されている。
【００２８】
以上のような各構成の詳細は次の通りである。
【００２９】
標準プロトコルを用いた広域ネットワーク(非セキュアネットワーク)１は、公開された標準仕様の通信プロトコルを用いたネットワークであり、一般的に不特定多数が接続し利用できるインターネットなどのネットワーク(以下、非セキュアネットワークと称する)である。
【００３０】
標準プロトコルを用いた内部ネットワーク(セキュアネットワーク)２は、企業内など特定のグループにサービスすることを目的としたネットワークであり、セキュリティ上の安全性を確保する必要があるネットワーク(以下、セキュアネットワークと称する)である。
【００３１】
本実施形態のセキュリティゲートウェイシステム１０は、非セキュアネットワーク１とセキュアネットワーク２に接続するための通信は仕様が公開された標準プロトコルを用いて行われる。また、セキュリティゲートウェイシステム１０における２つのサブゲートウェイ、すなわち非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２の間の通信は、仕様が公開されていない非標準プロトコルを用いて行われる。
【００３２】
非セキュアネットワークゲートウェイ１１において、プロトコルフィルタ機能部５０は、標準プロトコルを用いて非セキュアネットワークゲートウェイ１１に接続された非セキュアネットワーク１と通信を行う機能を有し、セキュリティゲートウェイ処理部２０は、仕様が公開されていない非標準プロトコルを用いてセキュアネットワークゲートウェイ１２と通信を行う機能を有する。
【００３３】
セキュアネットワークゲートウェイ１２において、プロトコルフィルタ機能部５１は、標準プロトコルを用いてセキュアネットワークゲートウェイ１２に接続された、セキュアネットワーク２と通信を行う機能を有し、セキュリティゲートウェイ処理部２１は、仕様が公開されていない非標準プロトコルを用いて、非セキュアネットワークゲートウェイ１１と通信を行う機能を有する。
【００３４】
各プロトコルフィルタ機能部５０、５１は、中継を許可するプロトコル情報を操作者により常時設定可能である。本機能部では非セキュアネットワーク１、セキュアネットワーク２から送られてくるパケットデータに対し、設定されたプロトコル情報とデータのプロトコル情報を比較し、中継を許可するプロトコルのデータに対しては各標準プロトコル中継許可定義生成機能部３０、３１にデータを受け渡し、中継を許可しないプロトコルのデータについては当該データを破棄する機能を有する。
【００３５】
各標準プロトコル用中継許可定義生成機能部３０、３１は、各プロトコルフィルタ機能部５０、５１から送られてきたデータのプロトコル、送信元情報、および送信先情報（以下、データ送信情報とする。）を抽出し、抽出したデータ送信情報に基づいて中継するか否かを判定する。中継すると判定した場合は、セキュリティゲートウェイ処理部２０、２１にデータを受け渡す。
【００３６】
各セキュリティゲートウェイ処理部２０、２１では中継許可定義生成機能部３０、３１から受信したデータを、非標準プロトコルに変換し、各非標準プロトコル用中継許可定義情報生成機能部４０、４１に受け渡す。
【００３７】
各非標準プロトコル用中継許可定義生成機能部４０、４１は、もう一方のサブゲートウェイの各セキュリティゲートウェイ処理部２１、２０から非標準プロトコルに変換された状態で送られてきたデータのデータ送信情報を抽出し、抽出したデータ送信情報に基づいて中継するか否かを判定する。中継すると判定した場合は、セキュアネットワーク２に受信したパケットデータを送信する。
【００３８】
[作用]
次に、上記のように構成したセキュリティゲートウェイシステム１０の動作について説明する。
【００３９】
本実施形態のセキュリティゲートウェイシステム１０は、非セキュアネットワーク１からセキュアネットワーク２へという第１方向の中継処理と、セキュアネットワーク２から非セキュアネットワーク１へという第２方向の中継処理という２通りの中継処理方向がある。
【００４０】
（第１方向の中継処理）
まず、セキュリティゲートウェイシステム１０における第1方向の中継処理について図２乃至図５を用いて示す。
【００４１】
まず、プロトコルフィルタ機能部５０の動作について図２を用いて説明する。図２は、プロトコルフィルタ機能部５０において、非セキュアネットワーク１からパケットデータを受信し、標準プロトコル用中継許可定義生成機能部３０へ送信する動作（プロトコルフィルタ処理）を示したフローチャートである。
【００４２】
プロトコルフィルタ機能部５０で非セキュアネットワーク１からパケットのデータ待ち(Ｓ１０)を行うが、パケットデータを受信(Ｓ１１のＹＥＳ)すると、パケットデータのプロトコル情報と本機能部に登録されている中継許可のプロトコル情報との比較(Ｓ１２)を行う。この時、中継を許可するプロトコルであると判定した場合（Ｓ１２のＹＥＳ）は、非セキュアネットワークゲートウェイ１１の標準プロトコル用中継定義生成機能部３０へデータを受け渡す(Ｓ１３)。中継を許可するプロトコルでないと判定した場合（Ｓ１２のＮＯ）、当該パケットデータは破棄(Ｓ１４)される。
【００４３】
次に、標準プロトコル用中継許可定義生成機能部３０の動作について、図３を用いて説明する。図３は、標準プロトコル用中継許可定義生成機能部３０において、プロトコルフィルタ機能部５０からデータを受信し、受信したパケットデータを中継するか否かを判定する動作（ゲートウェイ受信処理）を示したフローチャートである。
【００４４】
標準プロトコル用中継許可生成機能部３０でプロトコルフィルタ機能部５０からパケットデータ待ちを行う(Ｓ１００)が、パケットデータを受信(Ｓ１０１のＹＥＳ)すると、受信したパケットデータのデータ送信情報がブラックリストに含まれるかどうか判定（S１０２)を行う。ここで、ブラックリストとは標準プロトコル用中継許可定義生成機能部３０に記録され、中継を行わないデータ送信情報である。受信したパケットデータのデータ送信情報がブラックリストに含まれていると判定した場合（Ｓ１０２のＹＥＳ）、パケットデータを破棄し（Ｓ１０３）、再びパケットデータ待ちを行う（Ｓ１００）。
【００４５】
ブラックリストに含まれていないと判定した場合（Ｓ１０２のＮＯ）、受信したパケットデータのデータ送信情報が登録待ちリストに含まれるかどうか判定（Ｓ１１０）を行う。ここで、登録待ちリストとは標準プロトコル用中継許可定義生成機能部３０に記録され、中継を許可するか否かの判定が操作者により決定されていない、登録待ちのデータ送信情報である。受信したパケットデータのデータ送信情報が登録待ちリストに含まれていると判定した場合（Ｓ１１０のＹＥＳ）、パケットデータを破棄し（Ｓ１１１）、再びパケットデータ待ちを行う（Ｓ１００）。
【００４６】
登録待ちリストに含まれていないと判定した場合（Ｓ１１０のＮＯ）、受信したパケットデータのデータ送信情報が中継許可定義に含まれているかどうか判定（Ｓ１２０）を行う。ここで、中継許可定義とはセキュリティゲートウェイ処理部２０に記録され、中継を許可するデータ送信情報である。受信したパケットデータのデータ送信情報が中継許可定義に含まれていると判定した場合（Ｓ１２０のＹＥＳ）、セキュリティゲートウェイ処理部２０に受信したパケットデータを受け渡し（Ｓ１２１）、再びパケットデータ待ちを行う（Ｓ１００）。
【００４７】
中継許可定義に含まれていないと判定した場合（Ｓ１２０のＮＯ）、前述した登録待ちリストに受信したパケットデータのデータ送信情報を追加（Ｓ１３０）し、パケットデータを破棄し（Ｓ１３１）、再びパケットデータ待ちを行う（Ｓ１００）。
【００４８】
上述した登録待ちリスト、ブラックリスト、および中継許可定義のいずれにも同様に、データ送信情報が記録されており、その一例を図４に示す。夫々には、プロトコル、送信元情報としてのポート番号・送信元アドレス、送信先情報としてのポート番号・送信先アドレスが記録されている。なお、以下に記す登録待ちリスト、ブラックリスト、および中継許可定義も同様にプロトコル、送信元情報、および送信先情報が記されている。
【００４９】
次に、標準プロトコル用中継許可定義生成機能部３０がプロトコルフィルタ機能部５０から受信したパケットデータのデータ送信情報が、（１）ブラックリスト、登録待ちリスト、および中継許可定義に含まれていない場合、つまり受信したパケットデータが初めてのパケットデータである場合と、（２）ブラックリストに含まれている場合と、（３）登録待ちリストに含まれている場合と、（４）中継許可定義に含まれている場合とに分けて説明する。
【００５０】
（１）初めてのパケットデータの場合
パケットデータ待ちを行っている（Ｓ１００）標準プロトコル用中継許可定義生成機能部３０が、パケットデータを受信する（Ｓ１０１のＹＥＳ）と、受信したパケットデータのデータ送信情報がブラックリストに含まれているか否かを判定する（Ｓ１０２）。その結果、受信したパケットデータのデータ送信情報は、ブラックリストに含まれていないと判定される（Ｓ１０２のＮＯ）。
【００５１】
次に、受信したパケットデータのデータ送信情報が登録待ちリストに含まれているか否かを判定する（Ｓ１１０）。その結果、受信したパケットデータのデータ送信情報が、登録待ちリストに含まれていないと判定される（Ｓ１１０のＮＯ）。
【００５２】
次に、受信したパケットデータのデータ送信情報が中継許可定義に含まれているか否かを判定する（Ｓ１２０）。その結果、受信したパケットデータのデータ送信情報が、中継許可定義に含まれていないと判定され（Ｓ１２０のＮＯ）、登録待ちリストにデータ送信情報を追加し（Ｓ１３０）、パケットデータを破棄し（Ｓ１３１）、再びパケットデータ待ちを行う。
【００５３】
（２）ブラックリストに含まれる場合
受信したパケットデータのデータ送信情報がブラックリストに含まれる場合の、パケットデータを受信したことを判定する（Ｓ１０１のＹＥＳ）までの動作については、（１）初めてのパケットデータを受信した場合と同様であるため、説明は省略する。
【００５４】
パケットデータを受信したことを判定する（Ｓ１０１のＹＥＳ）と、受信したパケットデータのデータ送信情報が、標準プロトコル用中継許可定義生成機能部３０に記録されているブラックリストに含まれるか否かを判定する（Ｓ１０２）。その結果、ブラックリストに含まれていると判定され（Ｓ１０２のＹＥＳ）、パケットデータを破棄し（Ｓ１０３）、再びパケットデータ待ち（Ｓ１００）を行う。
【００５５】
（３）登録待ちリストに含まれる場合
受信したパケットデータのデータ送信情報が登録待ちリストに含まれる場合の、パケットデータを受信したことを判定する（Ｓ１０１のＹＥＳ）までの動作については、（１）初めてのパケットデータを受信した場合と同様であるため、説明は省略する。
【００５６】
パケットデータを受信したことを判定する（Ｓ１０１のＹＥＳ）と、受信したパケットデータのデータ送信情報が、標準プロトコル用中継許可定義生成機能部３０に記録されているブラックリストに含まれるか否かを判定する（Ｓ１０２）。その結果、ブラックリストに含まれていないと判定される（Ｓ１０２のＮＯ）。
【００５７】
さらに、受信したパケットデータのデータ送信情報が、標準プロトコル用中継許可定義生成機能部３０に記録されている登録待ちリストに含まれるか否かを判定する（Ｓ１１０）。その結果、登録待ちリストに含まれていると判定され（Ｓ１１０のＹＥＳ）、パケットデータを破棄し（Ｓ１１１）、再びパケットデータ待ち（Ｓ１００）を行う。
【００５８】
（４）中継許可定義に含まれる場合
受信したパケットデータのデータ送信情報が中継許可定義に含まれる場合の、データ送信情報がブラックリストに含まれていないと判定する（Ｓ１０２のＮＯ）までの動作については、（３）登録待ちリストに含まれる場合と同様であるため、説明は省略する。
【００５９】
データ送信情報がブラックリストに含まれていないと判定する（Ｓ１０２のＮＯ）と、受信したパケットデータのデータ送信情報が、標準プロトコル用中継許可定義生成機能部３０に記録されている登録待ちリストに含まれるか否かを判定する（Ｓ１１０）。その結果、登録待ちリストに含まれていないと判定される（Ｓ１１０のＮＯ）。
【００６０】
さらに、受信したパケットデータのデータ送信情報が、セキュリティゲートウェイ処理部２０に記録されている中継許可定義が含まれるか否かを判定する。その結果、中継許可定義に含まれると判定され（Ｓ１２０のＹＥＳ）、受信したパケットデータをセキュリティゲートウェイ処理部２０に受け渡す（Ｓ１２１）。
【００６１】
以上、標準プロトコル用中継許可定義生成機能部３０が種々のパケットデータを受信した場合の動作について説明した。
【００６２】
次に、標準プロトコル用中継許可定義生成機能部３０が、登録待ちリストに記録されたデータ送信情報を、ブラックリストまたは中継許可定義として登録する動作について説明する。
【００６３】
まず、上述した（１）初めてのパケットデータを受信した場合の標準プロトコル用中継許可定義生成機能部３０の動作により、登録待ちリストに受信したパケットデータのデータ送信情報が追加されると（Ｓ１３０）、その登録待ちリストのデータ送信情報を図示しないモニタに表示する。そして、モニタに表示された登録待ちリストのデータ送信情報に対して、操作者が操作するキーボード、マウス等の図示しない入力部からブラックリストとして登録する中継禁止指令が入力された場合は、登録待ちリストのデータ送信情報をブラックリストとして登録する。さらに、入力部から中継許可定義として登録する中継許可指令が入力された場合は、中継許可定義としてセキュリティゲートウェイ処理部２０に記録する。
【００６４】
次に、セキュリティゲートウェイ処理部２０の動作について説明する。標準プロトコル用中継許可定義生成機能部３０により、受信したパケットデータのデータ送信情報が中継許可定義に含まれると判定され、セキュリティゲートウェイ処理部２０に受け渡されると、受け渡されたパケットデータのプロトコルの変換を行い、非標準プロトコル用中継許可定義生成機能部４１に送信する。このプロトコルの変換は、標準プロトコルから、非標準プロトコルに変換される。
【００６５】
次に、非標準プロトコル用中継許可定義生成機能部４１の動作について、図５を用いて説明する。図５は、非標準プロトコル用中継許可定義生成機能部４１において、セキュリティゲートウェイ処理部２０により変換・送信された、非標準プロトコルのパケットデータを受信し、受信したパケットデータを中継するか否かを判定する動作（ゲートウェイ受信処理）を示したフローチャートである。
【００６６】
なお、以下に説明する非標準プロトコル用中継許可定義生成機能部４１の動作は、図３に示す標準プロトコル用中継許可定義生成機能部３０がプロトコルフィルタ機能部５０からパケットデータを受信する動作と同様である。
【００６７】
非標準プロトコル用中継許可定義生成機能部４１でセキュリティゲートウェイ処理部２０からパケットデータ待ちを行う(Ｓ１５０)が、パケットデータを受信(Ｓ１５１のＹＥＳ)すると、受信したパケットデータのデータ送信情報がブラックリストに含まれるかどうか判定（S１５２)を行う。受信したパケットデータのデータ送信情報がブラックリストに含まれていると判定した場合（Ｓ１５２のＹＥＳ）、パケットデータを破棄し（Ｓ１５３）、再びパケットデータ待ちを行う（Ｓ１５０）。
【００６８】
ブラックリストに含まれていないと判定した場合（Ｓ１５２のＮＯ）、受信したパケットデータのデータ送信情報が登録待ちリストに含まれるかどうか判定（Ｓ１６０）を行う。受信したパケットデータのデータ送信情報が登録待ちリストに含まれていると判定した場合（Ｓ１６０のＹＥＳ）、パケットデータを破棄し（Ｓ１６１）、再びパケットデータ待ちを行う（Ｓ１５０）。
【００６９】
登録待ちリストに含まれていないと判定した場合（Ｓ１６０のＮＯ）、受信したパケットデータのデータ送信情報が中継許可定義に含まれているかどうか判定（Ｓ１７０）を行う。受信したパケットデータのデータ送信情報が中継許可定義に含まれていると判定した場合（Ｓ１７０のＹＥＳ）、セキュリティゲートウェイ処理部２１に受信したパケットデータを受け渡し（Ｓ１７１）、再びパケットデータ待ちを行う（Ｓ１５０）。
【００７０】
中継許可定義に含まれていないと判定した場合（Ｓ１７０のＮＯ）、前述した登録待ちリストに、受信したパケットデータのデータ送信情報を追加（Ｓ１８０）し、パケットデータを破棄し（Ｓ１８１）、再びパケットデータ待ちを行う（Ｓ１５０）。
【００７１】
以上、非標準プロトコル用中継許可定義生成機能部４１がパケットデータを受信した場合の動作について説明した。非標準プロトコル用中継許可定義生成機能部４１が、登録待ちリストに記録されたデータ送信情報を、ブラックリストまたは中継許可定義として登録する動作については、標準プロトコル用中継許可定義生成機能部３０の動作と同様であるため、説明は省略する。
【００７２】
次に、セキュリティゲートウェイ処理部２１の動作について説明する。非標準プロトコル用中継許可定義生成機能部４１により、受信したパケットデータのデータ送信情報が中継許可定義に含まれると判定され、セキュリティゲートウェイ処理部２１に受け渡されると、受け渡されたパケットデータのプロトコルの変換を行い、セキュアネットワーク２に送信する。このプロトコルの変換は、非標準プロトコルから、標準プロトコルに変換される。
【００７３】
以上、セキュリティゲートウェイシステム１０における第１方向の中継処理について説明した。
【００７４】
（第２方向の中継処理）
次に、本実施形態のセキュリティゲートウェイシステム１０における第２方向の中継処理を図６〜図８を用いて示す。
【００７５】
まず、プロトコルフィルタ機能部５１の動作について図６を用いて説明する。図６は、プロトコルフィルタ機能部５１において、セキュアネットワーク２からパケットデータを受信し、標準プロトコル用中継許可定義生成機能部３１へ送信する動作（プロトコルフィルタ処理）を示したフローチャートである。
【００７６】
なお、以下に説明するプロトコルフィルタ機能部５１の動作は、図２に示すプロトコルフィルタ機能部５０の動作と同様である。
【００７７】
プロトコルフィルタ機能部５１でセキュアネットワーク２からパケットのデータ待ち(Ｓ２０)を行うが、パケットデータを受信(Ｓ２１のＹＥＳ)すると、パケットデータのプロトコル情報と本機能部に登録されている中継許可のプロトコル情報との比較(Ｓ２２)を行う。この時、中継を許可するプロトコルであると判定した場合（Ｓ２２のＹＥＳ）は、セキュアネットワークゲートウェイ１２の標準プロトコル用中継定義生成機能部３１へデータを受け渡す(Ｓ２３)。中継を許可するプロトコルでないと判定した場合（Ｓ２２のＮＯ）、当該パケットデータは破棄(Ｓ２４)される。
【００７８】
次に、標準プロトコル用中継許可定義生成機能部３１の動作について、図７を用いて説明する。図７は、標準プロトコル用中継許可定義生成機能部３１において、プロトコルフィルタ機能部５１からデータを受信し、受信したパケットデータを中継するか否かを判定する動作（ゲートウェイ受信処理）を示したフローチャートである。
【００７９】
なお、以下に説明する標準プロトコル用中継許可定義生成機能部３１の動作は、図３に示す標準プロトコル用中継許可定義生成機能部３０がプロトコルフィルタ機能部５０からパケットデータを受信する動作と同様である。
【００８０】
標準プロトコル用中継許可生成機能部３１でプロトコルフィルタ機能部５１からパケットデータ待ちを行う(Ｓ２００)が、パケットデータを受信(Ｓ２０１のＹＥＳ)すると、受信したパケットデータのデータ送信情報がブラックリストに含まれるかどうか判定（S２０２)を行う。受信したパケットデータのデータ送信情報がブラックリストに含まれていると判定した場合（Ｓ２０２のＹＥＳ）、パケットデータを破棄し（Ｓ２０３）、再びパケットデータ待ちを行う（Ｓ２００）。
【００８１】
ブラックリストに含まれていないと判定した場合（Ｓ２０２のＮＯ）、受信したパケットデータのデータ送信情報が登録待ちリストに含まれるかどうか判定（Ｓ２１０）を行う。受信したパケットデータのデータ送信情報が登録待ちリストに含まれていると判定した場合（Ｓ２１０のＹＥＳ）、パケットデータを破棄し（Ｓ２１１）、再びパケットデータ待ちを行う（Ｓ２００）。
【００８２】
登録待ちリストに含まれていないと判定した場合（Ｓ２１０のＮＯ）、受信したパケットデータのデータ送信情報が中継許可定義に含まれているかどうか判定（Ｓ２２０）を行う。受信したパケットデータのデータ送信情報が中継許可定義に含まれていると判定した場合（Ｓ２２０のＹＥＳ）、セキュリティゲートウェイ処理部２１に受信したパケットデータを受け渡し（Ｓ２２１）、再びパケットデータ待ちを行う（Ｓ２００）。
【００８３】
中継許可定義に含まれていないと判定した場合（Ｓ２２０のＮＯ）、前述した登録待ちリストに受信したパケットデータのデータ送信情報を追加（Ｓ２３０）し、パケットデータを破棄し（Ｓ２３１）、再びパケットデータ待ちを行う（Ｓ２００）。
【００８４】
以上、標準プロトコル用中継許可定義生成機能部３１がパケットデータを受信した場合の動作について説明した。標準プロトコル用中継許可定義生成機能部３１が、登録待ちリストに記録されたデータ送信情報を、ブラックリストまたは中継許可定義として登録する動作については、標準プロトコル用中継許可定義生成機能部３０の動作と同様であるため、説明は省略する。
【００８５】
次に、セキュリティゲートウェイ処理部２１の動作について説明する。標準プロトコル用中継許可定義生成機能部３１により、受信したパケットデータのデータ送信情報が中継許可定義に含まれると判定され、セキュリティゲートウェイ処理部２１に受け渡されると、受け渡されたパケットデータのプロトコルの変換を行い、非標準プロトコル用中継許可定義生成機能部４０に送信する。このプロトコルの変換は、標準プロトコルから、非標準プロトコルに変換される。
【００８６】
次に、非標準プロトコル用中継許可定義生成機能部４０の動作について、図８を用いて説明する。図８は、非標準プロトコル用中継許可定義生成機能部４０において、セキュリティゲートウェイ処理部２１により変換・送信された、非標準プロトコルのパケットデータを受信し、受信したパケットデータを中継するか否かを判定する動作（ゲートウェイ受信処理）を示したフローチャートである。
【００８７】
なお、以下に説明する非標準プロトコル用中継許可定義生成機能部４０の動作は、図３に示す標準プロトコル用中継許可定義生成機能部３０がプロトコルフィルタ機能部５０からパケットデータを受信する動作と同様である。
【００８８】
非標準プロトコル用中継許可定義生成機能部４０でセキュリティゲートウェイ処理部２１からパケットデータ待ちを行う(Ｓ２５０)が、パケットデータを受信(Ｓ２５１のＹＥＳ)すると、受信したパケットデータのデータ送信情報がブラックリストに含まれるかどうか判定（Ｓ２５２)を行う。受信したパケットデータのデータ送信情報がブラックリストに含まれていると判定した場合（Ｓ２５２のＹＥＳ）、パケットデータを破棄し（Ｓ１５３）、再びパケットデータ待ちを行う（Ｓ１５０）。
【００８９】
ブラックリストに含まれていないと判定した場合（Ｓ１５２のＮＯ）、受信したパケットデータのデータ送信情報が登録待ちリストに含まれるかどうか判定（Ｓ１６０）を行う。受信したパケットデータのデータ送信情報が登録待ちリストに含まれていると判定した場合（Ｓ２６０のＹＥＳ）、パケットデータを破棄し（Ｓ２６１）、再びパケットデータ待ちを行う（Ｓ２５０）。
【００９０】
登録待ちリストに含まれていないと判定した場合（Ｓ２６０のＮＯ）、受信したパケットデータのデータ送信情報が中継許可定義に含まれているかどうか判定（Ｓ２７０）を行う。受信したパケットデータのデータ送信情報が中継許可定義に含まれていると判定した場合（Ｓ２７０のＹＥＳ）、セキュリティゲートウェイ処理部２０に受信したパケットデータを受け渡し（Ｓ２７１）、再びパケットデータ待ちを行う（Ｓ２５０）。
【００９１】
中継許可定義に含まれていないと判定した場合（Ｓ２７０のＮＯ）、前述した登録待ちリストに、受信したパケットデータのデータ送信情報を追加（Ｓ２８０）し、パケットデータを破棄し（Ｓ２８１）、再びパケットデータ待ちを行う（Ｓ２５０）。
【００９２】
以上、非標準プロトコル用中継許可定義生成機能部４０がパケットデータを受信した場合の動作について説明した。非標準プロトコル用中継許可定義生成機能部４０が、登録待ちリストに記録されたデータ送信情報を、ブラックリストまたは中継許可定義として登録する動作については、標準プロトコル用中継許可定義生成機能部３０の動作と同様であるため、説明は省略する。
【００９３】
次に、セキュリティゲートウェイ処理部２０の動作について説明する。非標準プロトコル用中継許可定義生成機能部４０により、受信したパケットデータのデータ送信情報が中継許可定義に含まれると判定され、セキュリティゲートウェイ処理部２０に受け渡されると、受け渡されたパケットデータのプロトコルの変換を行い、非セキュアネットワーク１に送信する。このプロトコルの変換は、非標準プロトコルから、標準プロトコルに変換される。
【００９４】
以上、セキュリティゲートウェイシステム１０における第２方向の中継処理について説明した。
【００９５】
[効果]
本実施形態によれば、標準プロトコル用中継許可定義生成機能部３０、３１および非標準プロトコル中継許可定義生成機能部４０、４１を備えることにより、ゲートウェイ送信処理が可能となる。そのため、受信したパケットデータからデータ送信情報を、ブラックリスト、登録待ちリスト、または中継許可定義として記録し、操作者からの中継禁止指令または中継許可指令に応じて、登録待ちリストに記録されたデータ送信情報をブラックリストまたは中継許可定義に登録することが可能となる。
【００９６】
つまり、操作者は登録待ちリストに記録されているデータ送信情報を視認し、中継を許可するか否かを選択することによって、設定作業を完了することが可能であるため、手入力にて中継許可定義を入力することがなく、設定作業の大幅な簡略化が可能となる。
【００９７】
また、標準プロトコル用中継許可定義生成機能部３０、３１と、非標準プロトコル中継許可定義生成機能部４０、４１との２種類のゲートウェイ送信処理を行う機能部を備えることにより、さらなるセキュリティ性能の向上を図ることが可能である。
【００９８】
なお、本実施形態において、操作者が視認可能なモニタには登録待ちリストに記録されたデータ送信情報を表示させていたが、ブラックリストおよび中継許可定義に記録されたデータ送信情報を表示させ、操作者がそれらのデータ送信情報の中継禁止指令または中継許可指令を入力することによって、再設定することが可能となる。
【００９９】
（第２の実施形態）
次に、第２の実施形態について図９〜図１０を用いて説明する。なお、第１の実施形態と同じ構成には同一の符号を付し、重複する説明は省略する。
【０１００】
[構成]
第２の実施形態の構成について図９を用いて説明する。第１の実施形態と異なる点は、各セキュリティゲートウェイ１１、１２の標準プロトコル用中継許可定義生成機能部３０、３１および非標準プロトコル中継許可定義生成機能部４０、４１にタイマ機能を追加し、タイマ機能付標準プロトコル用中継許可定義生成機能部６０、６１およびタイマ機能付非標準プロトコル中継許可定義生成機能部７０、７１としている点である。
【０１０１】
すなわち、第１の実施形態では、各セキュリティゲートウェイ１１、１２における標準プロトコル用中継許可定義生成機能部３０、３１および非標準プロトコル用中継許可定義生成機能部４０、４１において、受信したパケットデータのデータ送信情報がブラックリスト、登録待ちリストおよび中継許可定義に含まれているか否かの判定を常に行っていたが、本実施形態では、タイマ機能を用いて指定された時間だけ、当該判定を行っている。
【０１０２】
以下、受信したパケットデータのデータ送信情報がブラックリスト、登録待ちリストおよび中継許可定義に含まれているか否かの判定を行う時間（タイマ機能にて指定された時間）のことを、データキャプチャ中であると呼ぶ。
【０１０３】
[作用]
次に、構成を持つ本実施形態の動作について図１０を用いて説明する。図１０は非セキュアネットワーク１からセキュアネットワーク２へという第１方向の中継処理における、タイマ機能付標準プロトコル用中継許可定義生成機能部６０の動作を示すフローチャートである。
【０１０４】
タイマ機能付標準プロトコル用中継許可生成機能部６０でプロトコルフィルタ機能部５０からパケットデータ待ちを行う(Ｓ１００)が、パケットデータを受信(Ｓ１０１のＹＥＳ)すると、データキャプチャ中であるか否かの判定を行う（Ｓ１０１−１）。データキャプチャ中でないと判定された場合（Ｓ１０１−１のＮＯ）は、セキュリティゲートウェイ処理部２０にパケットデータを受け渡し（Ｓ１０１−２）、再びパケットデータ待ちを行う（Ｓ１００）。
【０１０５】
データキャプチャ中であると判定された場合（Ｓ１０１−１のＹＥＳ）、受信したパケットデータのデータ送信情報がブラックリストに含まれるかどうか判定（S１０２)を行う。以下は、第１の実施形態の図３に示す標準プロトコル用中継許可定義生成機能部３０の動作と同一のため、説明は省略する。
【０１０６】
なお、第１方向の中継処理におけるタイマ機能付非標準プロトコル用中継許可定義生成機能部７１の動作、第２方向の中継処理におけるタイマ機能付標準プロトコル用中継許可定義生成機能部６１およびタイマ機能付非標準プロトコル用中継許可定義生成機能部７０の動作は、上述したタイマ機能付標準プロトコル用中継許可定義生成機能部６０の動作と同様であるため、説明は省略する。
【０１０７】
[効果]
本実施形態によれば、第１の実施形態の効果に加え、タイマ機能により指定された時間のみ、受信したパケットデータのデータ送信情報がブラックリスト、登録待ちリストおよび中継許可定義に含まれているか否かの判定を行うことにより、セキュリティゲートウェイシステム１０の処理負荷を軽減することが可能である。
【０１０８】
さらに、登録待ちリストに追加されるデータ送信情報も、指定された時間にセキュリティゲートウェイシステム１０が受信したパケットデータに限られるため、モニタに表示される登録待ちリストのデータ送信情報の数が膨大にならず、さらに操作者の設定作業の簡略化が可能となる。
【０１０９】
なお、上述した第１および第２の実施形態において、非セキュアネットワークゲートウェイ１１およびセキュアネットワークゲートウェイ１２は、互いに独立した計算機によって構成するとしたが、両方を１つの計算機にて構築し、互いを異なる計算機として仮想化して用いても良い。このとき、セキュリティゲートウェイシステム１０を１つの計算機として構築することが可能となるため、構成を簡略化することが可能となる。
【０１１０】
また、非セキュアネットワーク１とセキュリティゲートウェイシステム１０との通信、およびセキュアネットワーク２とセキュリティゲートウェイシステム１０との通信には標準プロトコルを用い、非セキュアネットワークゲートウェイ１１とセキュアネットワークゲートウェイ１２との通信には非標準プロトコルを用いているが、標準または非標準のプロトコルに係わらず、異なるプロトコルであれば同様の効果が得られる。
【０１１１】
さらに、プロトコルフィルタ機能部５０、５１を用いずに、セキュリティゲートウェイシステム１０を構成しても、同様の効果を得ることが可能である。また、標準プロトコル用中継許可定義生成機能部３０および非標準プロトコル用中継許可定義生成機能部４０は、いずれか一方でも同様の効果を得ることが可能であり、同様に、標準プロトコル用中継許可定義生成機能部３１および非標準プロトコル用中継許可定義生成機能部４１は、いずれか一方でも同様の効果を得ることが可能である。
【０１１２】
本発明に係る実施形態によれば、中継許可定義を手入力にて登録せずに、ネットワーク間の通信を可能にするセキュリティゲートウェイシステムを提供することを目的とする。
【０１１３】
以上、本発明のいくつかの実施形態について説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことが出来る。これら実施形態やその変形は、発明の範囲や要旨に含まれると共に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【０１１４】
１・・・標準プロトコルを用いた広域ネットワーク(非セキュアネットワーク)
２・・・標準プロトコルを用いた内部ネットワーク(セキュアネットワーク)
１０・・・セキュリティゲートウェイシステム
１１・・・非セキュアネットワークゲートウェイ
１２・・・セキュアネットワークゲートウェイ
２０、２１・・・セキュリティゲートウェイ処理部
３０、３１・・・標準プロトコル用中継許可定義生成機能部
４０、４１・・・非標準プロトコル用中継許可定義生成機能部
５０、５１・・・プロトコルフィルタ機能部
６０、６１・・・タイマ機能付標準プロトコル用中継許可定義生成機能部
７０、７１・・・タイマ機能付非標準プロトコル用中継許可定義生成機能部
【図１】
2012065287.tif 000003
【図２】
2012065287.tif 000004
【図３】
2012065287.tif 000005
【図４】
2012065287.tif 000006
【図５】
2012065287.tif 000007
【図６】
2012065287.tif 000008
【図７】
2012065287.tif 000009
【図８】
2012065287.tif 000010
【図９】
2012065287.tif 000011
【図１０】
2012065287.tif 000012