(57)【要約】ＶＰＮルータ１０２Ｂから入力されるデータが暗号化されているか否かを判定し、暗号化されている場合にはその入力データを復号してフィルタ処理部１０４に供給し、暗号化されていない場合にはその入力データを復号せずにフィルタ処理部１０４に供給する第１の暗号／復号処理部１０５ａを備えたセキュリティゲートウェイ装置１０５を設け、拠点Ｂネットワーク１００Ｂの内部でデータを暗号化して通信するか平文のままで通信するかによらず、フィルタ処理部１０４には必ず平文のデータを供給することにより、拠点Ｂネットワーク１００Ｂの内部を暗号の利用により情報漏洩等から保護しつつも、ウイルス検出や不要コンテンツ検出なども適切に行うことができるようにする。【特許請求の範囲】
【請求項１】
入力されるデータが暗号化されているか否かを判定し、暗号化されている場合にはその入力データを復号してフィルタ処理部に供給し、暗号化されていない場合にはその入力データを復号せずに上記フィルタ処理部に供給する復号処理手段と、
送信元端末および送信先端末のアドレス情報に基づいて暗号の適否を判定し、暗号を適用すべき場合には上記フィルタ処理部より出力されたデータを暗号化して上記送信先端末に転送し、暗号を適用すべきでない場合には上記フィルタ処理部より出力されたデータを暗号化せずに上記送信先端末に転送する暗号処理手段とを備えたことを特徴とするセキュリティゲートウェイ装置。
【発明の詳細な説明】
【技術分野】  本発明はセキュリティゲートウェイ装置に関し、特に、暗号化されたデータに対してもセキュリティ用のフィルタ処理を実行可能にするための装置に関するものである。
【背景技術】  パーソナルコンピュータ（パソコン）をスタンドアロンで用いる場合は、パソコン内部の情報が盗み出されたり、改ざんされたり、破壊されたりする危険性は少ない。しかし、パソコンをインターネット等のネットワークに接続すると、やり取りされる情報は多くのネットワークをルーティングされていくことから、その途中において盗聴や改ざん等の行われる危険性が一気に増大する。
この問題を解決するための仕組みの１つとして、情報の暗号化がある。すなわち、送信側のパソコンで情報を暗号化して相手に送り、受信側のパソコンでこれを復号化して利用する。このようにすれば、ネットワークの途中で情報が盗聴されたとしても、情報が暗号化されているために、情報自体が見られる可能性が少なくなる。また、改ざんのリスクも低減される。
また、インターネット等のネットワーク上では、グループネットワーク（拠点ネットワーク）への第三者の不正侵入、拠点ネットワークに接続されているパソコンやサーバ等に侵入してデータ破壊や大量メール送信などの悪意をもった処理を実行するウイルスといった問題ある。さらに、インターネットを使えば様々なサイトにアクセスして自由に情報を取得できることから、業務上または教育上などの理由から好ましくないコンテンツを取得するためのアクセスが簡単にできてしまうという問題もある。
これらの問題に対応するために、拠点ネットワーク上にはファイアウォール、不正侵入防御ソフト、アンチウイルスソフト、コンテンツフィルタソフトなどを設置することが多い。ファイアウォールや不正侵入防御ソフトは、一般的には１台のサーバを拠点ネットワークの出入口（ゲートウェイ部分）に用い、ここで専用のソフトウェアを動作させることによって、アクセス権を持たない第三者が拠点ネットワーク内に不正に侵入するのを防ぐものである。具体的には、送られてくるパケットのヘッダに記述されている送信元と送信先のＩＰアドレスを見て通信の可否を判断する。
また、アンチウイルスソフトは、外部から送られてくるデータ中に潜んでいるコンピュータウイルスを発見し、除去するソフトウェアを言う。多くのアンチウイルスソフトは、あらかじめ用意されたウイルス検知パターンと受信ファイルとを比較してウイルスを検出し、ウイルスに感染したファイルを修復したりウイルスを除去したりする。暗号を利用してウイルスへの感染を防止するようにした技術も提案されている（例えば、特許文献１，２参照）。
［特許文献１］特開平５−１４３６１１号公報
［特許文献２］特開２００２−３５１６８６号公報
特許文献１，２に記載の技術では、暗号化されたプログラムを復号しながら実行する仕組みとすることにより、暗号化されていないウイルスプログラムが侵入した場合や、異なる鍵で暗号化されたウイルスプログラムが侵入した場合に、これを復号によってでたらめなデータに変換する。これにより、例えば電子メールに添付された実行形式ファイルのウイルスをユーザが誤って実行しようとした場合でも、実行不能としてウイルスへの感染を防止することができる。また、暗号化されていないマクロウイルスを含むデータが侵入した場合に、復号によってアプリケーションが認識できない無意味なデータに変換し、異常データと認識して棄却することにより、マクロウイルスへの感染を防止することができる。
また、コンテンツフィルタソフトは、外部から送られてくるデータの種類や内容などに応じて、特定のデータの受信のみを許可するソフトウェアを言う。例えば、特定の語句を登録しておくことにより、その語句が含まれるスパムメールの受信を排除することが可能である。また、特定のファイル名やＵＲＬなどを登録しておくことにより、インターネット上で性的または暴力的なサイトを閲覧できないようにすることも可能である。
しかしながら、一般的なアンチウイルスソフトやコンテンツフィルタソフトは、送信されてくるデータの内容を見てウイルスや不要コンテンツを検知する仕組みとなっている。したがって、データの内容が暗号化されていると、ウイルスや不要コンテンツであるか否かを全く判断することができず、アンチウイルスやコンテンツフィルタの実効性が全くなくなってしまうという問題があった。この問題についてもう少し詳しく説明する。
一般に、インターネットを使った拠点間ネットワークでは、拠点間のインターネット上での情報漏洩を防ぐために、各拠点のゲートウェイ部分に暗号装置が導入される。また、拠点ネットワーク内に復号されて入ったデータは、ウイルス検出などの各種フィルタ処理を経て、拠点ネットワーク内の各端末に配信される。
しかし、拠点間ネットワーク（インターネット等）を流れるデータがゲートウェイ部分の暗号装置によって暗号化されているようなネットワーク環境において、拠点内部の暗号化も行うために拠点内部の端末に暗号ソフトを導入した場合には、或る拠点内の端末から暗号化されて送られたデータはゲートウェイ部分で更に暗号化されて相手側拠点のゲートウェイ装置に到達する。この場合、ゲートウェイ部分の暗号装置によって拠点間の暗号は解除されるが、拠点内部の暗号は解除されないため、ウイルス検出などのフィルタ処理を行おうとしても実行することができない。
一方、特許文献１，２に記載の技術によれば、受信データに対して復号処理を行うことによってウイルスをでたらめなデータに変換して無効化するので、データの内容は見ずに済む。しかしながら、この特許文献１，２に記載の技術を適用する場合は、ウイルスでない正規なデータは必ず暗号化して送信しなければならないことになる。ところが、外部とデータ交換をする場合には、暗号化されていないデータを処理することが必要な場合もあり、その場合には受信データの復号処理を中止せざるを得ない。そして、復号処理を中止している際には、ウイルスの感染を防止できなくなってしまうという問題があった。また、暗号鍵が盗まれてウイルスを含むデータが正しく暗号化されて送信されると、復号処理によって元のウイルスが復元されることとなり、ウイルスの感染を防ぐことができないという問題もあった。
【発明の開示】
本発明は、このような問題を解決するために成されたものであり、拠点ネットワークの内部でデータを暗号通信するか非暗号通信するかによらず、受信データの内容に応じてフィルタ処理を行うアンチウイルスやコンテンツフィルタなどの機能を有効に働かせることができるようにすることを目的とする。
上記した課題を解決するために、本発明のセキュリティゲートウェイ装置は、入力されるデータが暗号化されているか否かを判定し、暗号化されている場合にはその入力データを復号してフィルタ処理部に供給し、暗号化されていない場合にはその入力データを復号せずに上記フィルタ処理部に供給する復号処理手段と、送信元端末および送信先端末のアドレス情報に基づいて暗号の適否を判定し、暗号を適用すべき場合には上記フィルタ処理部より出力されたデータを暗号化して上記送信先端末に転送し、暗号を適用すべきでない場合には上記フィルタ処理部より出力されたデータを暗号化せずに上記送信先端末に転送する暗号処理手段とを備える。
上記のように構成した本発明によれば、拠点ネットワークの内部でデータを暗号化して通信するか平文のままで通信するかによらず、フィルタ処理部には必ず暗号化されていない平文のデータが供給されることとなる。また、フィルタ処理部を通過したデータは、拠点ネットワーク内の送信先端末が暗号処理機能を有している場合には暗号化されて転送されることとなる。これにより、拠点ネットワークの内部を暗号の利用により情報漏洩等から保護しつつも、ウイルス検出や不要コンテンツ検出などのフィルタ処理を適切に行うことが可能となる。また、拠点ネットワーク内で暗号化を行わずに平文でデータ通信を行う必要がある場合にも、ウイルス検出や不要コンテンツ検出などのフィルタ処理を適切に行うことが可能となる。
【図面の簡単な説明】  図１は、本発明のセキュリティゲートウェイ装置を実施したＶＰＮネットワークの構成例を示すブロック図である。
【発明を実施するための最良の形態】  以下、本発明の一実施形態を図面に基づいて説明する。図１は、本発明のセキュリティゲートウェイ装置を実施したＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）ネットワークの構成例を示すブロック図である。
図１に示すＶＰＮネットワークにおいては、複数のパソコン１０１Ａ−１〜１０１Ａ−ｍがＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）等により接続された拠点Ａネットワーク１００Ａと、複数のパソコン１０１Ｂ−１〜１０１Ｂ−ｎがＬＡＮ等により接続された拠点Ｂネットワーク１００Ｂとが、インターネット２００の仮想専用線（ＶＰＮトンネル）２００ａを介して接続されている。
拠点Ａネットワーク１００Ａ内にある複数のパソコン１０１Ａ−１〜１０１Ａ−ｍのうち、例えばパソコン１０１Ａ−１，１０１Ａ−２は暗号ソフトが導入され、パソコン１０１Ａ−ｍは暗号ソフトが導入されていないものとする。暗号ソフトが導入されているパソコン１０１Ａ−１，１０１Ａ−２は、自機器内のデータを暗号化してインターネット２００上に送信することが可能である。また、インターネット２００を介して送られてきた暗号化済みのデータを復号化して自機器内で利用することが可能である。いわゆるＥｎｄ−ｔｏ−Ｅｎｄ型の暗号通信である。
また、拠点Ｂネットワーク１００Ｂ内にある複数のパソコン１０１Ｂ−１〜１０１Ｂ−ｎのうち、例えばパソコン１０１Ｂ−１，１０１Ｂ−２は暗号ソフトが導入され、パソコン１０１Ｂ−ｎは暗号ソフトが導入されていないものとする。暗号ソフトが導入されているパソコン１０１Ｂ−１，１０１Ｂ−２は、自機器内のデータを暗号化してインターネット２００上に送信することが可能である。また、インターネット２００を介して送られてきた暗号化済みのデータを復号化して自機器内で利用することが可能である。いわゆるＥｎｄ−ｔｏ−Ｅｎｄ型の暗号通信である。
なお、これらの暗号ソフトが導入されているパソコン１０１Ａ−１，１０１Ａ−２，１０１Ｂ−１，１０１Ｂ−２は、常に暗号通信を行い、暗号ソフトが導入されているもの同士でしか通信ができないという訳ではない。通信相手ごとに、暗号通信をするか否かの設定をすることが可能である。例えば、暗号ソフトが導入されているパソコン１０１Ａ−１に関して、暗号ソフトが導入されていないパソコン１０１Ｂ−ｎとの間では暗号をクリアにするといった設定をすると、パソコン１０１Ａ−１とパソコン１０１Ｂ−ｎとの間でも通信を行うことが可能である。
拠点Ａネットワーク１００Ａの出入口付近にはＶＰＮルータ１０２Ａが、拠点Ｂネットワーク１００Ｂの出入口付近にはＶＰＮルータ１０２Ｂが設けられており、当該ＶＰＮルータ１０２Ａ，１０２Ｂにてデータの暗号化／復号化処理を行うことにより、拠点Ａ，Ｂ間のＶＰＮトンネル２００ａにおいてデータを暗号通信する。いわゆるＳｉｔｅ−ｔｏ−Ｓｉｔｅ型の暗号通信である。
すなわち、拠点Ａネットワーク１００ＡのＶＰＮルータ１０２Ａは、拠点Ａネットワーク１００Ａのパソコン１０１Ａ−１〜１０１Ａ−ｍから送られてきたデータを暗号化してＶＰＮトンネル２００ａに送信するとともに、ＶＰＮトンネル２００ａを介して送られてきた暗号化済みのデータを復号化してパソコン１０１Ａ−１〜１０１Ａ−ｍに転送する。
また、拠点Ｂネットワーク１００ＢのＶＰＮルータ１０２Ｂは、拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ−１〜１０１Ｂ−ｎから送られてきたデータを暗号化してＶＰＮトンネル２００ａに送信するとともに、ＶＰＮトンネル２００ａを介して送られてきた暗号化済みのデータを復号化してパソコン１０１Ｂ−１〜１０１Ｂ−ｎに転送する。
このような構成により、例えば拠点Ａネットワーク１００Ａのパソコン１０１Ａ−１にて暗号化されたデータがＶＰＮルータ１０２Ａに入力されたときは、当該ＶＰＮルータ１０２Ａにて更に暗号化が施され、二重に暗号化されたデータがＶＰＮトンネル２００ａに送信されることになる。そして、拠点Ｂネットワーク１００ＢのＶＰＮルータ１０２ＢによってＶＰＮルータ１０２Ａの暗号が復号化され、例えばパソコン１０１Ｂ−１に転送される。パソコン１０１Ｂ−１では、パソコン１０１Ａ−１にて施された暗号が復号化され、利用可能なデータを得る。
ＶＰＮトンネル２００ａには、拠点Ａ，Ｂ以外のＶＰＮクライアント３００も接続が可能である。ＶＰＮクライアント３００は、ＶＰＮトンネル２００ａを利用して通信を行うためのソフトウェアが導入されたものであり、例えば外出先で使用可能なノートパソコン等により構成される。このＶＰＮクライアント３００には、パソコン１０１Ａ−１，１０１Ａ−２，１０１Ｂ−１，１０１Ｂ−２と同様の暗号ソフトは導入されておらず、例えば暗号ソフトが導入されていないパソコン１０１Ａ−ｍ，１０１Ｂ−ｎとの間で通信が可能である。なお、暗号ソフトが導入されているパソコン１０１Ａ−１，１０１Ａ−２，１０１Ｂ−１，１０１Ｂ−２であっても、ＶＰＮクライアント３００との関係で暗号をクリアにする設定がされていれば、そのパソコンとの間では通信を行うことが可能である。
例えば、ＶＰＮクライアント３００から拠点Ｂネットワーク１００Ｂ内のパソコン１０１Ｂ−ｎにデータを送信する場合、ＶＰＮクライアント３００にてＶＰＮソフトの機能によって暗号化されたデータがＶＰＮトンネル２００ａを介して拠点Ｂネットワーク１００Ｂに向けて送信される。そして、拠点Ｂネットワーク１００ＢのＶＰＮルータ１０２ＢによってＶＰＮの暗号が復号化され、平文となったデータがパソコン１０１Ｂ−ｎに転送される。いわゆるリモートアクセス型の暗号通信である。
拠点Ｂネットワーク１０１Ｂの中には、ファイアウォール１０３およびフィルタ処理部１０４が設置されている。ファイアウォール１０３は、ＶＰＮトンネル２００ａを介して送られてくるパケットのヘッダに記述されている送信元と送信先のＩＰアドレスを見て通信の可否を判断し、アクセス権を持たない第三者が拠点Ｂネットワーク１００Ｂの内部に不正に侵入するのを防ぐ。ファイアウォール１０３の代わりに、またはファイアウォール１０３と共に、不正侵入の検出／保護／追跡などの処理を行う不正侵入防御ソフトを利用しても良い。
上述のように、ファイアウォール１０３や不正侵入防御ソフトは、パケットのヘッダに記述されている情報を参照して通信の可否を判断する。暗号化されているのはパケットの中身だけで、ヘッダは暗号化されていないので、これらの機能はデータを復号化しなくても実行することが可能である。そこで、拠点Ｂネットワーク１００Ｂの出入口に一番近い場所（復号化を行うＶＰＮルータ１０２Ｂよりも出入口に近い場所）にファイアウォール１０３を設置し、ここで第三者の不正侵入をシャットアウトするのが好ましい。
フィルタ処理部１０４は、アンチウイルス、コンテンツフィルタなどの処理を行うものである。アンチウイルスは、ＶＰＮトンネル２００ａを介して外部から送られてくるデータ中に潜んでいるコンピュータウイルスを発見し、除去する。例えば、あらかじめ用意されたウイルス検知パターンと受信ファイルとを比較してウイルスを検出し、ウイルスに感染したファイルを修復したりウイルスを除去したりする。
また、コンテンツフィルタは、ＶＰＮトンネル２００ａを介して外部から送られてくるデータの種類や内容などに応じて、特定のデータの受信のみを許可する。例えば、特定の語句を登録しておくことにより、その語句が含まれるスパムメールの受信を排除する。また、特定のファイル名やＵＲＬなどを登録しておくことにより、インターネット上で性的または暴力的なサイトを閲覧できないようにする。
これらのアンチウイルスやコンテンツフィルタの処理を行うフィルタ処理部１０４は、送信されてくるデータの内容を見てウイルスや不要コンテンツを検知する。したがって、データの内容が暗号化されていると、アンチウイルスやコンテンツフィルタの機能を実効あらしめることができない。そこで、本実施形態ではセキュリティゲートウェイ装置１０５を設置している。このセキュリティゲートウェイ装置１０５は、その機能構成として、第１の暗号／復号処理部１０５ａと第２の暗号／復号処理部１０５ｂとを備えている。
拠点Ａネットワーク１００Ａから拠点Ｂネットワーク１００Ｂに対してデータが送られてきた場合、第１の暗号／復号処理部１０５ａは、ＶＰＮルータ１０２Ｂより入力されるデータが暗号化されているか否かを判定し、暗号化されている場合にはその入力データを復号してフィルタ処理部１０４に供給し、暗号化されていない場合にはその入力データを復号せずにそのままフィルタ処理部１０４に供給する。暗号化されているか否かは、入力されるパケットのヘッダに暗号化の有無を示す情報が含まれているので、これを参照することによって判断する。
同様のケースで、第２の暗号／復号処理部１０５ｂは、ヘッダのＩＰアドレスによって示される送信元／送信先の組み合わせによって暗号の適否を判定する。そして、暗号を適用すべき場合には、フィルタ処理部１０４より出力されたデータを暗号化して送信先のパソコンに転送し、暗号を適用すべきでない場合には、フィルタ処理部１０４より出力されたデータを暗号化せずにそのまま送信先のパソコンに転送する。
一方、拠点Ｂネットワーク１００Ｂから拠点Ａネットワーク１００Ａに対してデータを送信する場合、第２の暗号／復号処理部１０５ｂは、パソコン１０１Ｂ−１〜１０１Ｂ−ｎの何れかより入力されるデータが暗号化されているか否かを判定し、暗号化されている場合にはその入力データを復号してフィルタ処理部１０４に供給し、暗号化されていない場合にはその入力データを復号せずにそのままフィルタ処理部１０４に供給する。
同様のケースで、第１の暗号／復号処理部１０５ａは、ヘッダのＩＰアドレスによって示される送信元／送信先の組み合わせによって暗号の適否を判定する。そして、暗号を適用すべき場合には、フィルタ処理部１０４より出力されたデータを暗号化してＶＰＮルータ１０２Ｂに転送し、暗号を適用すべきでない場合には、フィルタ処理部１０４より出力されたデータを暗号化せずにそのままＶＰＮルータ１０２Ｂに転送する。
送信元／送信先の組み合わせによる暗号の適否については、第１の暗号／復号処理部１０５ａおよび第２の暗号／復号処理部１０５ｂにあらかじめ情報として登録しておいても良いし、通信を行う都度、第１の暗号／復号処理部１０５ａおよび第２の暗号／復号処理部１０５ｂが送信元／送信先のパソコンに問い合わせを行うようにしても良い。暗号の適否は、例えば、送信元のパソコンと送信先のパソコンに暗号ソフトが導入されているか否か、送信元／送信先の関係で暗号ソフトによる暗号化を行うか否かなどの条件に応じて設定することが可能である。
拠点Ｂネットワーク１００ＢのＬＡＮには、暗号化／復号化に関する種々の情報設定を行うためのマネージャ端末１１０が接続されている。このマネージャ端末１１０は、拠点Ｂネットワーク１００Ｂの各パソコン１０１Ｂ−１，１０１Ｂ−２，・・・が備える暗号ソフトに対して、暗号通信に関する種々の情報、例えば、暗号／復号処理の有無、ある端末とある端末との間ではパケットを破棄するなどといった通信の可否、暗号化のレベル、暗号化を行う時間帯、暗号ポリシー、暗号鍵などの情報をダウンロードして設定する。
なお、図示はしていないが、拠点Ａネットワーク１００ＡのＬＡＮにもマネージャ端末が接続されている。この図示しないマネージャ端末は、拠点Ａネットワーク１００Ａの各パソコン１０１Ａ−１，１０１Ａ−２，・・・が備える暗号ソフトに対して、暗号通信に関する種々の情報を設定する。拠点Ａネットワーク１００Ａ内の図示しないマネージャ端末と、拠点Ｂネットワーク１００Ｂ内のマネージャ端末１１０は、互いにデータ通信をして必要な情報の設定を行う。
また、マネージャ端末１１０は、セキュリティゲートウェイ装置１０５に対して暗号通信に関する種々の情報をダウンロードして設定する処理も行う。セキュリティゲートウェイ装置１０５では、あるパソコンに向けて送られたデータの暗号化をその途中で一旦解除してしまう仕組みなので、そのことを許す暗号ポリシーや暗号鍵などを情報として設定しておく必要がある。また、送信元／送信先の組み合わせによる暗号の適否を第１の暗号／復号処理部１０５ａおよび第２の暗号／復号処理部１０５ｂにあらかじめ設定しておく場合には、その処理もこのマネージャ端末１１０が行う。
次に、上記のように構成したＶＰＮネットワークにおけるデータ通信の動作について説明する。第１の例として、拠点Ａネットワーク１００Ａのパソコン１０１Ａ−１から拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ−１に対して、データを暗号化して送信する場合について考える。
この場合、まず、パソコン１０１Ａ−１の暗号ソフトによって送信対象のデータが暗号化され、ＶＰＮルータ１０２Ａに送られる。そして、ＶＰＮルータ１０２Ａによって更に暗号化が施され、二重に暗号化されたデータがＶＰＮトンネル２００ａに送信される。ＶＰＮトンネル２００ａを介して拠点Ｂネットワーク１００Ｂにデータが送られると、ファイアウォール１０３によって不正侵入の検知が行われ、ここを通過したデータはＶＰＮルータ１０２Ｂに転送される。
ＶＰＮルータ１０２Ｂでは、ＶＰＮルータ１０２Ａによって施されたＶＰＮの暗号が復号化され、当該復号化済みのデータがセキュリティゲートウェイ装置１０５に転送される。セキュリティゲートウェイ装置１０５の第１の暗号／復号処理部１０５ａでは、ＶＰＮルータ１０２Ｂより入力されたデータが暗号化されているか否かを判定する。ここでは、ＶＰＮルータ１０２ＢによってＶＰＮの暗号は解かれているが、パソコン１０１Ａ−１の暗号ソフトにより施された拠点内部の暗号がまだ存在するので、暗号化されていると判断する。この場合、第１の暗号／復号処理部１０５ａは、その暗号を復号化により解除して、データを平文にしてフィルタ処理部１０４に供給する。
フィルタ処理部１０４では、平文となったデータの内容を見てウイルスの検出や不要コンテンツの検出を行い、必要であればデータ破棄などの処理を実行する。このフィルタ処理部１０４を通過したデータは、セキュリティゲートウェイ装置１０５の第２の暗号／復号処理部１０５ｂに送られる。第２の暗号／復号処理部１０５ｂでは、データ送信先のパソコン１０１Ｂ−１に暗号ソフトが導入されているか否かを判定する。ここでは、パソコン１０１Ｂ−１には暗号ソフトが導入されていると判断し、フィルタ処理部１０４より出力されたデータを暗号化してパソコン１０１Ｂ−１に転送する。
以上の動作によれば、パソコン１０１Ａ−１の暗号ソフトによってデータを暗号化して送信することにより、拠点Ａネットワーク１００Ａの内部で暗号を利用してデータを情報漏洩等から保護することができる。また、インターネット２００上ではＶＰＮルータ１０２Ａ，１０２Ｂを利用してＶＰＮトンネル２００ａを構築し、更にＶＰＮの暗号をかけるので、インターネット２００上でもデータを安全に送信することができる。さらに、拠点Ｂネットワーク１００Ｂの内部では、セキュリティゲートウェイ装置１０５の第２の暗号／復号処理部１０５ｂによってデータを暗号化してパソコン１０１Ｂ−１に送るので、拠点Ｂネットワーク１００Ｂの内部でも暗号を利用してデータを情報漏洩等から保護することができる。
このようにＥｎｄ−ｔｏ−Ｅｎｄで拠点Ａ，Ｂの内部でも暗号を利用したデータ通信を行いつつも、セキュリティゲートウェイ装置１０５の第１の暗号／復号処理部１０５ａによって暗号を一時的に解いて平文としたデータをフィルタ処理部１０４に供給するので、アンチウイルスやコンテンツフィルタなどのフィルタ処理も有効に行うことができる。これにより、データの暗号化による情報漏洩等の防止と、フィルタ処理によるウイルス感染や不要コンテンツ受信の防止とを確実に両立したセキュアなネットワーク環境を構築することができる。図には示していないが、拠点内部に無線ネットワークが構築されているような環境においても、無線ネットワークを安心して使用することができる。
次に、第２の動作例を説明する。第２の動作例では、拠点Ａ，Ｂの外部にあるＶＰＮクライアント３００から拠点Ｂネットワーク１００Ｂのパソコン１０１Ｂ−ｎに対してデータを送信する場合について考える。
この場合、まず、ＶＰＮクライアント３００のＶＰＮソフトによって送信対象のデータが暗号化され、ＶＰＮトンネル２００ａに送信される。ＶＰＮトンネル２００ａを介して拠点Ｂネットワーク１００Ｂにデータが送られると、ファイアウォール１０３によって不正侵入の検知が行われ、ここを通過したデータはＶＰＮルータ１０２Ｂに転送される。
ＶＰＮルータ１０２Ｂでは、ＶＰＮクライアント３００によって施されたＶＰＮの暗号が復号化され、当該復号化済みのデータがセキュリティゲートウェイ装置１０５に転送される。セキュリティゲートウェイ装置１０５の第１の暗号／復号処理部１０５ａでは、ＶＰＮルータ１０２Ｂより入力されたデータが暗号化されているか否かを判定する。ここでは、全ての暗号が解かれているので、暗号化されていないと判断する。この場合、第１の暗号／復号処理部１０５ａは、入力されたデータをそのままフィルタ処理部１０４に供給する。
フィルタ処理部１０４では、平文となったデータの内容を見てウイルスの検出や不要コンテンツの検出を行い、必要であればデータ破棄などの処理を実行する。このフィルタ処理部１０４を通過したデータは、セキュリティゲートウェイ装置１０５の第２の暗号／復号処理部１０５ｂに送られる。第２の暗号／復号処理部１０５ｂでは、データ送信先のパソコン１０１Ｂ−ｎに暗号ソフトが導入されているか否かを判定する。ここでは、パソコン１０１Ｂ−ｎには暗号ソフトが導入されていないと判断し、フィルタ処理部１０４より出力されたデータを暗号化せずにパソコン１０１Ｂ−ｎに転送する。
以上の動作によれば、ＶＰＮクライアント３００やパソコン１０１Ｂ−ｎには拠点内部用の暗号ソフトが導入されていないので、ＶＰＮトンネル２００ａを用いたリモートアクセス型の暗号通信を利用するだけである。しかし、セキュリティゲートウェイ装置１０５の第１の暗号／復号処理部１０５ａは、データが暗号化されていなければ復号化せずにそのままフィルタ処理部１０４に供給する仕組みを持っているので、アンチウイルスやコンテンツフィルタなどのフィルタ処理も有効に行うことができる。つまり、暗号ソフトを持たない端末間でデータ通信を行うときでも、データの暗号化による情報漏洩等の防止と、フィルタ処理によるウイルス感染や不要コンテンツ受信の防止とを確実に両立させることができる。この点は、ウイルスに感染していない正規のデータが必ず暗号化された状態でなければフィルタ処理を行うことができない上述の特許文献１，２と大きく異なる部分である。
なお、上述の特許文献２では、暗号鍵が盗まれるなどしてウイルスが正規に暗号化されて送信された場合には当該ウイルスがネットワーク内に侵入してしまう不都合を考慮して、マクロの実行時にウイルス検出を行う例が記載されている。しかし、この特許文献２に記載の技術によれば、ウイルスは拠点ネットワーク内に侵入してしまい、その後でマクロを実行するときでなければウイルス検知ができないので、ウイルス感染の危険度が高い。特に、最近では、ユーザが明示的にマクロ実行を指示しなくても、例えば電子メールを受信したりＷｅｂサイトを閲覧したりするだけで自動的にプログラムが起動するウイルスも存在する。したがって、本実施形態のようにフィルタ処理部１０４でウイルスや不要コンテンツを完全にシャットアウトして拠点Ｂネットワーク１００Ｂの内部に侵入できないようにすることにより、セキュリティの安全性を高いものとすることができる。
以上詳しく説明したように、本実施形態によれば、拠点ネットワークの内部でデータを暗号通信するか非暗号通信するかによらず、受信データの内容に応じてフィルタ処理を行うアンチウイルスやコンテンツフィルタなどの機能を有効に働かせることができる。これにより、拠点ネットワークの内外を暗号の利用により情報漏洩等から保護しつつも、ウイルス検出や不要コンテンツ検出などのフィルタ処理を適切に行うことが可能となる。また、拠点ネットワーク内で暗号化を行わずに平文でデータ通信を行う必要がある場合にも、ウイルス検出や不要コンテンツ検出などのフィルタ処理を適切に行うことが可能となる。
なお、上記実施形態では、拠点Ｂネットワーク１００Ｂの内部にのみファイアウォール１０３、フィルタ処理部１０４、セキュリティゲートウェイ装置１０５を設ける例について説明したが、拠点Ａネットワーク１００Ａにも同様の構成を設けても良いことは言うまでもない。
また、上記実施形態では、セキュリティゲートウェイ装置１０５は第１の暗号／復号処理部１０５ａおよび第２の暗号／復号処理部１０５ｂの機能のみを備える例について説明したが、フィルタ処理部１０４の機能も一体としてセキュリティゲートウェイ装置１０５を構成するようにしても良い。このようにすれば、第１の暗号／復号処理部１０５ａとフィルタ処理部１０４との間、第２の暗号／復号処理部１０５ｂとフィルタ処理部１０４との間で情報が盗まれて漏洩する危険を抑止することができる。さらに、ファイアウォール１０３の機能をセキュリティゲートウェイ装置１０５の内部に取り込んでも良い。
また、上記実施形態では、インターネット２００上にＶＰＮトンネル２００ａを構築したＶＰＮネットワークの例について説明したが、これに限定されない。例えば、インターネット２００上を非暗号で行うネットワーク（例えば、拠点ネットワーク内のパソコンに暗号ソフトを導入して行うＥｎｄ−ｔｏ−Ｅｎｄ型の暗号通信ネットワーク）にも同様に適用することが可能である。この場合は、拠点内の端末間で暗号通信をするか非暗号通信をするかによって、セキュリティゲートウェイ装置１０５の第１の暗号／復号処理部１０５ａや第２の暗号／復号処理部１０５ｂにおいて復号処理を行うか否かが決定されることとなる。
また、上記実施形態では、ＶＰＮルータ１０２Ｂよりも後段側にフィルタ処理部１０４とセキュリティゲートウェイ装置１０５とを設ける例について説明したが、ＶＰＮルータ１０２Ｂよりも前段側に設けても良い。パソコン内の暗号ソフトとＶＰＮルータとで暗号を二重にかけて通信するネットワーク環境において、フィルタ処理部１０４とセキュリティゲートウェイ装置１０５とをＶＰＮルータ１０２Ｂよりも前段側に設ける場合、セキュリティゲートウェイ装置１０５には、パソコンでかけられた暗号とＶＰＮルータでかけられた暗号の双方を復号化するための機能を持たせる。また、パソコン内の暗号ソフトかＶＰＮルータの何れか一方のみで暗号をかけて通信するネットワーク環境の場合は、セキュリティゲートウェイ装置１０５には、パソコンでかけられた暗号またはＶＰＮルータでかけられた暗号の何れか一方を復号化するための機能を持たせる。
また、上記実施形態では、マネージャ端末を拠点Ａネットワーク１００Ａおよび拠点Ｂネットワーク１００Ｂのそれぞれに設ける例について説明したが、インターネット２００上に１つのマネージャ端末を設けるようにしても良い。
また、本実施形態のセキュリティゲートウェイ装置１０５が持つ第１の暗号／復号処理部１０５ａおよび第２の暗号／復号処理部１０５ｂの機能は、ハードウェア構成、ＤＳＰ、ソフトウェアの何れによっても実現することが可能である。例えばソフトウェアによって実現する場合、本実施形態のセキュリティゲートウェイ装置１０５は、実際にはＣＰＵあるいはＭＰＵ、ＲＡＭ、ＲＯＭなどを備えて構成され、ＲＡＭやＲＯＭに記憶されたプログラムが動作することによって実現できる。
また、上記実施形態では、拠点ネットワーク１００Ａ，１００Ｂの内部に存在する端末１０１Ａ−１〜１０１Ａ−ｍ，１０１Ｂ−１〜１０１Ａ−ｎおよび拠点ネットワーク１００Ａ，１００Ｂの外部に存在するＶＰＮクライアント３００が全てパソコンである例について説明したが、これらの端末は必ずしもパソコンである必要はない。
その他、上記実施形態は、何れも本発明を実施するにあたっての具体化の一例を示したものに過ぎず、これによって本発明の技術的範囲が限定的に解釈されてはならないものである。すなわち、本発明はその精神、またはその主要な特徴から逸脱することなく、様々な形で実施することができる。
【産業上の利用可能性】  本発明は、データの暗号化やフィルタ処理などのセキュリティに関する処理を行う構成を含んだ拠点ネットワークに設置するゲートウェイ装置に有用である。
【図１】
2005091581.tif 000002
【国際調査報告】
2005091581.tif 000003
2005091581.tif 000004