JP4720576B2

JP4720576B2 - ネットワークセキュリィテイ管理システム、暗号化通信の遠隔監視方法及び通信端末。

Info

Publication number: JP4720576B2
Application number: JP2006089773A
Authority: JP
Inventors: 陽一月岡
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2006-03-29
Filing date: 2006-03-29
Publication date: 2011-07-13
Anticipated expiration: 2026-03-29
Also published as: JP2007267064A

Description

本発明は、データを暗号化して通信端末間で直接通信を実現するシステム、方法に関する。特に各々の通信端末のアプリケーション間における通信につき、組織が運用するネットワークの管理者もしくは責任者のセキュリティポリシーに基づき、暗号化通信の実行を制御することが可能なネットワークセキュリティ管理システム、暗号化通信の遠隔監視方法及び通信端末に関する。

近年、ＩＰネットワーク関連技術の進歩に伴い、世界中のあらゆる通信端末がオープン環境を前提としたインターネットを通して低コストで自由に情報をやり取りすることができる環境が構築されている。その一方で、通信内容の盗聴や改竄などのセキュリティ的脅威があり、その対策の一つとして、暗号化通信の適用が急速に普及しつつある。

暗号化通信においては、暗号強度と処理性能を向上する為に、暗号方式の最適化や暗号鍵長を大きくするなどの改善がなされている。このような暗号化通信の適用形態として、利便性と安全性を向上するために、様々な暗号化通信方式が普及している。例えばＩＰ−ＶＰＮにおいては、地理的に複数の離れた拠点を有する組織のネットワークを、インターネットを通して接続するに当たり、その組織の拠点毎のインターネット接続用ゲートウェイ部分にＩＰ−ＶＰＮ用の暗号化装置を設置している。これにより、インターネット区間の通信は全てＩＰ−Ｓｅｃなどを用いて暗号化されたＩＰパケットが転送される。その結果、複数の拠点がインターネットを通してあたかも専用線で接続されたかのように、便利で安全なネットワーク基盤を構築することが可能になる。

更に、通信端末自体の性能が高度化するのに伴い、暗号化通信の適用範囲はゲートウェイ装置同士から、通信端末−ゲートウェイ間、更には通信端末−通信端末間へと拡大する傾向にある。通信端末同士が直接暗号化通信を行なうと、通信端末からネットワークに送出する情報が既に暗号化されているため、通信端末のユーザにとってはセキュリティが向上する。

さらに、各通信端末のアプリケーション毎に特定の通信端末と暗号化通信を許可するか否かを制御可能なセキュリティ管理機能を有するネットワークシステムが普及しつつある。これは、組織のネットワーク管理者が運用するセキュリティ管理サーバと、そのセキュリティ管理サーバが直接制御可能で各ユーザには制御不能な各通信端末に常駐するセキュリティ管理クライアントプログラムで構成される。ユーザが通信端末を用いて他の通信端末や通信装置との間で、特定もしくは任意のアプリケーションによる通信を開始する場合、その通信端末に常駐するセキュリティ管理クライアントプログラムは、セキュリティ管理サーバに対してその暗号化通信が許可されるものか否かを確認し、許可されない場合はその暗号化通信を強制的に停止させる。これにより、組織のネットワーク管理者のセキュリティポリシーに基づく各通信端末間の暗号化通信を実現することが可能となる。

特許文献１には任意の通信端末同士が暗号化通信を実施するにあたり、管理サーバや検証サーバが任意の通信端末と連携することにより、端末同士が個別に認証処理や鍵の共有を実施しなくても良い暗号化通信方式が記載されている。例えば、通信端末がN台の相手と通信する可能性がある場合、各々の通信端末が個別に互いを認証するのは効率的ではない。特許文献１によれば、各通信端末は、検証サーバと連携した管理サーバとのみ認証を実施すれば、N種類の通信相手に対する正当性の確認を管理サーバが代行し、通信端末同士の本人正当性を確認可能となる。このように各通信端末と管理サーバが通信するに当たっても、始めに通信端末と管理サーバが相互に公開鍵証明書を交わすことにより互いに相手を認証した上で共有鍵を生成し、暗号化通信を確立する。また管理サーバによって、各通信端末間の通信を一元的に許可又は禁止することが可能となる。

特開２００５−３０３４８５号公報

上記セキュリティ管理機能を有するネットワークシステムにより、端末やアプリケーションレベルでの暗号化通信制御が可能となる。しかし組織のネットワーク管理者は、ユーザ端末とそれに対応するアプリケーション、及びその通信相手に基づいて、暗号化通信を許可するか否かの制御は可能であるものの、各ユーザ端末が直接暗号化通信を行なうことによってその通信内容を監視できなくなるため、組織に属するユーザが不正にアプリケーションを利用したり機密情報を外部に漏らしたりする脅威を発見することが困難となる。つまり、悪意のユーザによる不正な情報のやり取りや、ポート番号などを偽って実質的には許可されないアプリケーションによる不正通信が行なわれることが起こりえる。従って、これらの問題に対して、より完全な通信内容の保護を実現し、セキュリティを向上することが重要な課題になる。

その根本的な原因は、基本的に通信端末間の通信については、セキュリティ管理サーバなどプロキシ的存在のセキュリティ監視装置を経由せずに直接通信することを前提としていることにある。あらゆる暗号化通信について、セキュリティ監視装置を経由するようにして、合わせてそれを復号化するために必要な情報である暗号方式、暗号鍵などを、セキュリティ監視装置に転送することにより、暗号化通信情報を復号化して通信内容を確認することによりネットワークセキュリティ管理を向上させることは可能である。しかし、係る方法によると、ネットワークシステムの規模が大きくなった場合、セキュリティ監視装置に集中する通信処理や復号化処理に要する負荷が極めて大きくなってしまい、実用的なセキュリティ管理されたネットワークシステムを構築することはできない。

上記課題を達成するため、本発明は、任意の通信端末間での暗号化通信について直接的な走査（フィルタリング）機能を有するセキュリティ監視装置を提案する。すなわち、セキュリティ管理サーバ、又はそれ相当の装置にセキュリティ監視機能を有するセキュリティ監視装置を設置し、セキュリティ監視装置と各通信端末の間ではそれぞれ個別に暗号化通信路を形成する。上記セキュリティ管理サーバにおいて、通信端末同士で直接暗号化通信する情報の内容を監視する必要があると判断した場合、送信側、受信側の一方、又は両方の通信端末から上記セキュリティ監視装置に対して、通信端末間の暗号化通信を平文化した通信情報を、セキュリティ監視装置と各通信端末の間で形成した暗号化通信路を通して転送する。そして、セキュリティ管理サーバが転送された通信情報の内容を検証・確認することで不正な通信を発見し、対処する。

本発明の実施例について図面をもとに説明する。図１は、本発明が適用される典型的なネットワークセキュリティ管理システムの概念ブロック図である。図１において、インターネット等の公開ネットワーク１０００には、セキュリティ管理サーバ１０、複数の通信端末２０、３０が接続されている。セキュリティ管理サーバ１０は、組織などが管理する一定範囲の通信端末のセキュリティを管理する役割を持っている。

本実施例では、セキュリティ管理サーバ１０の管理により直接暗号化通信を実行する通信端末の具体例として、通信端末２０と通信端末３０を示している。それぞれの通信端末には、暗号化通信処理部３１が実装されている。この暗号化通信処理部３１は、例えばセキュリティ管理用のクライアントプログラムとして通信端末２０上で実行され、通信端末のユーザにはこのプログラムを直接操作することができない。セキュリティ管理サーバ１０は、これら通信端末上の暗号化通信処理部３１とそれぞれ暗号化通信路SA５１、SB５２を形成し、意図されたセキュリティポリシーに基づいて暗号化通信を実行し、又は禁止するといった制御情報を送受信する。

図１のサーバや通信端末、セキュリティ監視装置のハードウェア構成例を図２に示す。この例で各機器はCPU１００１と、RAM等のメモリ１００２と、ハードディスクや記録可能な光ディスク等の外部記憶装置１００５と、キーボードやマウス等の入力装置１００６と、モニタやプリンタ等の出力装置１００７と、これら装置を接続するためのI/Oインタフェースである外部出力インタフェース１００４と、インターネットやLAN等のネットワークを介して他装置と通信を行なうためのネットワークインタフェース１００３と、これらCPUやメモリ間でデータの送受信を行なう内部バス等のインタフェース１００８とを備える。本実施例に記載された様々な機能の実施形態として、CPU１００１がメモリ１００２にロードされた所定のプログラムを実行することで当該機能を実現することが想定される。これら各機能を実行するプログラムは、あらかじめ、メモリ１００２または外部記憶装置１００５に格納されていても良い。また、各機能を必要に応じてハードウェアによりそれぞれ実装しても良い。なお通信端末２０と３０は、図２に示された構成に限られず、例えばルータやPC、携帯電話、PDA、情報家電等の、ネットワークと接続することの出来るネットワークインタフェースを備えた機器であっても良い。

通信端末２０と通信端末３０の間で暗号化通信を開始する手順を簡単に説明する。詳細な手順は特許文献１に記載されている。まず、通信端末２０はセキュリティ管理サーバ１０と公開鍵証明書等を交換するなどして、セキュリティ管理サーバ１０との間で相互に認証を行なう。この処理によって、通信端末２０とセキュリティ管理サーバ１０は、暗号化通信路SA５１で用いる鍵を共有する。同様の処理を、通信端末３０とセキュリティ管理サーバ１０の間でも行なう。この処理によって、通信端末３０とセキュリティ管理サーバ１０は、暗号化通信路SB５２で用いる鍵を共有する。

次に通信端末２０は共有した鍵を用いてセキュリティ管理サーバ１０との間に暗号化通信路SA５１を形成し、通信端末３０等の他の通信端末との間の暗号化通信のための設定情報をセキュリティ管理サーバ１０に登録する。この設定情報とは例えば通信データの暗号化に用いる暗号化アルゴリズムの種類、鍵の長さ、通信データの改ざん検知に用いるハッシュ関数の種類等複数の項目からなり、通信端末２０はそれぞれの項目について複数種類の設定をセキュリティ管理サーバ１０に登録することができる。同様に通信端末３０も暗号化通信路SB５２を介して、他の通信端末との間の暗号化通信のための設定情報をセキュリティ管理サーバ１０に登録する。

そして通信端末２０は暗号化通信路SA５１を介して、セキュリティ管理サーバ１０に通信端末３０への接続要求メッセージを送信する。セキュリティ管理サーバ１０は通信端末２０と通信端末３０が登録した設定情報から、これら両通信端末に適した暗号化通信路を設定するための設定情報を選択する。これは、両通信端末の能力差等の理由で使用可能な暗号化通信技術に差がある場合であっても、両通信端末に複数の条件を提示させ、その中から重複部分を見つけて暗号化通信を実現するための処理である。

セキュリティ管理サーバ１０は両通信端末が使用可能な設定情報を見つけると、接続を要求されている通信端末３０との間で暗号化通信路SB５２を形成する。そしてセキュリティ管理サーバ１０は暗号化通信路SB５２を介して、通信端末３０に通信端末２０からの接続要求メッセージを送信する。通信端末３０は接続要求に対する応答を、セキュリティ管理サーバ１０を介して通信端末２０へ送信する。

通信端末３０が通信端末２０からの接続を容認した場合、セキュリティ管理サーバ１０は選択した設定情報に従って通信端末２０と通信端末３０の間の暗号化通信用の鍵を生成する。そしてセキュリティ管理サーバ１０は暗号化通信路SA５１を介して通信端末２０に、暗号化通信路B５２を介して通信端末３０に、生成した鍵および選択した設定情報を送信する。

セキュリティ管理サーバ１０から鍵を受信した通信端末２０、３０は、当該鍵および一致した設定情報を用いて両者の間に暗号化通信路AB５３を形成し、暗号化通信を行なう。

上述の処理のうち通信端末２０や３０で行なわれるものは、暗号化通信処理部３１により実行される。暗号化通信処理部３１は前述のように、基本的に通信端末２０、３０のユーザが直接操作できないようになっている。もしユーザによってセキュリティ管理クライアントプログラムに対し何らかの不正操作が行なわれた場合には、その旨がセキュリティ管理サーバ１０に速やかに通知される。

以上のようなネットワークセキュリティ管理システムにおいて、セキュリティ監視装置４０を新しく導入する。このセキュリティ監視装置４０は、物理的にはセキュリティ管理サーバ１０と同一のサーバに実装されても良い。通信端末２０、３０からセキュリティ監視装置４０に向けて特定の通信情報をセキュアに転送できるようにする為、それぞれにおいて暗号化通信路XA５４、XB５５を形成する。これによって、ネットワーク管理者などの指示に基づいて通信端末２０と通信端末３０間の暗号化通信を監視する場合は、これら暗号化通信路XA５４、XB５５を利用して被疑対象の通信端末２０、３０における通信内容をセキュリティ監視装置４０に転送する。

図３は、通信端末２０、３０の機能ブロック図の一例である。この図には本発明に関連する部分のみが記載されている。アプリケーション実行部３１４はユーザに必要とするアプリケーション機能を提供するものであり、ユーザが直接操作することができる。このアプリケーション実行部３１４は、例えばCPUで実行されるアプリケーションプログラムである。暗号化通信処理部３１は、セキュリティ管理サーバ１０の管理に従い、暗号化通信を行なう機能部である。この暗号化通信処理部３１は、例えば通信端末２０、３０のCPUで実行されるセキュリティ管理用のクライアントプログラムである。

セキュリティ管理制御部３１１は、暗号化通信処理部３１全体の機能を制御する。セキュリティ管理制御部３１１は、セキュリティ管理サーバ１０と制御メッセージをやり取りし、またセキュリティ管理サーバ１０や他の通信端末との間の暗号化通信の実行を制御する。復号処理部３１２は、セキュリティ管理サーバ３１３より暗号化通信を許可された他の通信端末から受信した情報を、セキュリティ管理制御部３１１からの指示に従い復号する。暗号化処理部３１３は、セキュリティ管理サーバ１０の許可を得て他の通信端末の暗号化通信を行なう場合に、当該通信端末へ送信する情報をセキュリティ管理制御部３１１からの指示に従い暗号化する。

このようにセキュリティ管理部３１１は、セキュリティ管理サーバ１０から受信した鍵や設定情報に従い、復号処理部３１２や暗号化処理部３１３を制御して他端末との間の暗号化通信を制御する。なお、セキュリティ管理サーバ１０との間の通信に必要な暗号化や復号処理については、これら暗号化処理部３１３や復号処理部３１２がセキュリティ管理部３１１の指示に従い実行しても良い。又は、セキュリティ管理制御部３１１が直接処理をしても良い。

暗号化通信転送部３１５は、セキュリティ管理制御部３１１からの指示に従い他の通信端末へ送信する平文の情報を受け取り、当該情報を暗号化してセキュリティ管理サーバ１０へ送信する。暗号化通信転送部３１５は、暗号化すべき平文の情報を、暗号化処理部３１３から受信しても良く、又はアプリケーション実行部３１４が当該情報をいずれかのバッファやメモリに格納している場合は、当該バッファやメモリから直接取得しても良い。つまり、セキュリティ管理制御部３１１は、被疑対象の暗号化通信について平文の状態の通信内容情報（平文通信情報）が暗号化通信転送部３１３に転送されるように制御する。なお、役割の違いから暗号化処理部３１３と暗号化通信転送処理部３１５を別の機能ブロックとして説明しているが、実装上はこれら機能部が同一のものであっても良い。

図４は、セキュリティ監視装置４０の機能ブロック図である。暗号化通信処理部４１の復号処理部、セキュリティ管理制御部、暗号化処理部については通信端末２０、３０の暗号化通信処理部３１と同等の機能を有する。つまり暗号化通信処理部４１は、セキュリティ管理サーバ１０の指示に従い、セキュリティ管理サーバ１０や通信端末１０、２０と暗号化通信を行なう。このように通信端末２０、３０の暗号化通信処理部３１をほぼそのまま流用してセキュリティ監視装置４０の暗号化通信処理部４１とすることができるため、通信端末として使用しているコンピュータの一台をセキュリティ監視装置４０として容易に転用することが可能となる。通信内容監視部４２は、通信端末２０、３０から転送されてくる、通信端末間で送受信されるデータ内容である通信情報の内容を検証するための機能を提供する。転送通信情報記憶部４３は、転送された通信情報を通信内容監視部の指示に従い記憶しておくための記憶装置である。

通信情報の検証は、暗号化通信を行なうアプリケーションによって様々な方策をとる必要がある。例えば通信情報がテキストファイルであれば、通信内容監視部４２が当該テキストファイルにパターンマッチング処理を施すなどして、必要な部分を出力装置１００７にテキスト表示する等の処理が考えられる。これによりネットワーク管理者６０は、そのテキストデータが不正であるかどうかを確認することができる。

図５は、セキュリティ管理サーバ１０の機能ブロック図である。制御部１１は、本実施例のセキュリティ監視システム全体を統括する。認証処理部１７は、通信端末２０、３０やセキュリティ監視装置４０の認証処理を行なう。設定情報処理部１６は、通信端末２０、３０やセキュリティ監視装置４０から送信される設定情報をデータベース１２に記憶し、それら設定情報のマッチングを行なう等の処理をする。鍵生成部１５は、設定情報処理部１６の選択した設定情報を用いて通信端末間の暗号化通信のための鍵を生成する。

監視処理部１００は、セキュリティ監視装置４０からの要求に応じて、通信端末２０や３０へ、通信情報を転送するよう要求する転送要求メッセージを送信する。また、監視処理部１００は、セキュリティ監視装置４０からの要求に応じて、通信端末２０、３０に、それら通信端末間における暗号化通信の停止を命じる通信停止メッセージを送信する。この通信停止メッセージを受信した通信端末２０、３０では、セキュリティ管理制御部３１１が暗号化処理部３１３に暗号化処理の停止を指示し、相手通信端末への情報の送信を停止する。または、セキュリティ管理制御部３１１は、図３には図示されていないネットワークインタフェースにデータの送信を停止するよう指示してもよい。このように、通信停止メッセージを受けた通信端末２０、３０の内部では、相手通信端末へのデータの送信を停止する処理が行なわれる。

図６は、セキュリティ管理サーバ１０が保持する通信元２００から通信先２１０への通信端末２０１間の通信を管理するアクセスポリシーの一例を示す。セキュリティ管理サーバ１０は、各通信端末やセキュリティ監視装置間の暗号化通信を、暗号化通信アクセス管理データベース１２に保持する通信端末間のアクセスポリシーにより管理する。図６の例の場合セキュリティ管理サーバ１０は、通信端末Aが通信先の通信端末Bに対して発信する通信については、ｈｔｔｐ、ｓｍｔｐ、ｐｏｐ、ｆｔｐ、ｔｅｌｎｅｔという通信種別２０２に関して許容している。同様にしてセキュリティ管理サーバ１０は、通信端末Cが通信端末Zに対して発信する通信については、全ての通信種別について許容していない。セキュリティ管理サーバ１０は、このような各通信端末同士のアクセスポリシーを動的に管理することにより、セキュリティ監視装置４０による、アクセスポリシー変更要求、つまり特定の通信端末間の暗号化通信を停止する要求を受け入れる。

例えばセキュリティ監視装置４０が、通信端末Aから通信端末Bへのｆｔｐによる通信を停止するよう要求した場合、セキュリティ管理サーバ１０は、アクセスポリシーの当該個所を「◎」から「×」や「＊」に変更して、通信端末Aに通信停止指示メッセージを送信する。尚、「○」印は通常に通信を許可、「×」印は通信を禁止していることを示す。また、「◎」印は通信を許可しながらセキュリティ監視装置にもその通信を転送して監視することを示し、「＊」印は通信を禁止しつつ送信しようとした送信情報をセキュリティ監視装置には転送して監視することを示すものであり、これらは本発明で新たに規定した管理分類である。

以上のように、通信元端末と通信先端末との通信種別毎のアクセスポリシーについて動的にリアルタイムでマトリクスとして管理することにより、セキュリティ管理サーバ１０は、任意の通信端末間のアクセスを管理が可能となる。なお、通信端末の通信情報をセキュリティ監視装置４０にて監視する必要があるため、基本的にセキュリティ管理サーバ１０は、図６に示されているとおり、セキュリティ監視装置４０とあらゆる通信端末の間の通信を許容するようにアクセス管理する。

図７は、ネットワーク管理者６０が特定の通信端末間の暗号化通信について、本発明を適用する場合の典型的な処理の流れをシーケンス図として示したものである。基本的に通信端末２０と通信端末３０とは同等のものであるため、ここでは簡略化のため通信端末３０のみに絞って説明する。

ネットワーク管理者６０が、例えば通信端末３０の暗号化通信が不審であると判断したとき（９１）、セキュリティ監視装置４０に対して暗号化通信監視指示を行なう（７１）。この監視指示には例えば、監視対象とする通信端末や当該通信端末上で暗号化通信を行なっているアプリケーションを特定する情報が含まれている。これら情報としては例えば通信端末のIPアドレス等のネットワークアドレスや、ＳＩＰ−ＵＲＩ、アプリケーションに割り当てられたポート番号等の、監視対象となる通信端末や当該通信端末上で実行されている通信を一意に特定できる識別情報を利用することが考えられる。また、セキュリティ管理サーバにて各通信端末間のコネクションに識別情報を割り当てて管理している場合には、当該コネクションごとの識別情報によって監視すべき通信を特定しても良い。

ネットワーク管理者６０は、セキュリティ監視装置４０の出力装置１００７に表示される、過去の通信履歴を始めとした諸情報を見ながら、入力装置１００６により監視指示を行なう。なお、セキュリティ監視装置が不正な通信を行なっている可能性のある通信端末を自動的に判別し、監視指示を発行するようにしてもよい。監視指示を受けたセキュリティ監視装置４０の通信内容監視部４２は、セキュリティ管理サーバ１０に対して暗号化通信転送要求メッセージを送信する（７２）。この転送要求メッセージにも同様に、通信端末やアプリケーション、コネクション等を特定する情報が含まれている。

このメッセージを受信したセキュリティ管理サーバ１０の制御部１１は、暗号化通信アクセス管理データベース１２で管理しているアクセスポリシーの変更（９２）を実施した後、セキュリティ監視装置４０と通信端末３０間の暗号化通信路ＸＢ５５で使用する鍵を生成し、セキュリティ監視装置４０、通信端末３０それぞれに当該鍵を配布する。アクセスポリシーであらゆる通信端末からセキュリティ監視装置４０への通信は全て許可するように設定されているので、通信情報を監視するこの場合、セキュリティ管理サーバ１０はセキュリティ監視装置４０の要求に応じて、通信端末３０に問いあわせることなく暗号化通信路ＸＢ５５を形成するようにしても良い。

このとき通信端末３０の暗号化通信処理部３１は、セキュリティ監視装置４０との暗号化通信であることを了承して暗号化通信に応じ、通信端末３０のユーザはその暗号化通信に関知しない。セキュリティ監視装置４０の暗号化通信処理部４１を、通信端末の暗号化通信処理部３１と同等のものとすれば、セキュリティ管理サーバは、あたかもセキュリティ監視装置４０が通常の通信端末と同等であるように暗号化通信路XA５４を構築することができるため、セキュリティ管理サーバに対する改変を少なくすることができる。

セキュリティ管理サーバ１０の監視処理部１００は、通信端末３０の暗号化通信処理部３１に対し、暗号化通信転送指示メッセージを送信する（７３）。この転送指示メッセージにも同様に、通信端末やアプリケーション、コネクション等を特定する情報が含まれている。なお、この暗号化通信転送指示メッセージは、暗号化通信路SB５５を形成するための鍵の配布と同時に送信しても良い。

通信端末３０の暗号化通信処理部３１は、この指示メッセージに従い、指示された暗号化通信をセキュリティ監視装置へ転送するモードに切替わり（９３）、暗号化通信路ＡＢ５３を介して通信端末２０へ送信する情報を、暗号化通信転送部３１５により暗号化し、暗号化通信路ＸＢ５５を介してセキュリティ監視装置４０へ送信する（７４）。このように暗号化通信路ＸＢ５５を介して通信情報を送信することで、被疑対象の通信情報についてはセキュリティを確保した上で転送することが可能となる。

通信端末３０から、通信端末２０との間の通信情報を受信したセキュリティ監視装置４０では、復号処理部３１２が当該暗号化された通信情報を復号して、通信内容監視部４２に渡す。通信内容監視部４２は、暗号化通信情報（平文通信情報、暗号化方式、暗号鍵等）をそのまま、又は適宜編集した上で出力装置１００７に表示する（７５）。ネットワーク管理者６０は、その通信情報の内容を確認し、当該通信端末間の暗号化通信が不正であるか否か判断する。なお、この判断はセキュリティ監視装置４０に通信内容の判別機能を実装して、人手を介さずに自動的に行なっても良い。

セキュリティ監視装置４０は、通信端末３０の暗号化通信処理部３１から転送されてくる通信内容の全て又は必要な一部を、転送通信情報記憶部４３に保存しておく。これにより、後からネットワーク管理者６０が通信内容を確認し、また通信来歴の証拠ログとして活用することができる。

ネットワーク管理者６０は当該通信内容が不正であると判断したとき（９４）、入力装置１００６を介してセキュリティ監視装置４０に対し、当該通信を停止するよう指示する（８１）。この指示には、どの通信端末間の通信を停止するのかを特定しうる情報が含まれる。セキュリティ監視装置４０の通信内容監視部４２は当該指示を受けて、セキュリティ管理サーバに１０対し通信停止要求メッセージを送信する（８２）。

セキュリティ管理サーバ１０の監視処理部１００は、通信停止要求メッセージを受信すると、停止を要求されている通信を当該メッセージから特定する。そして監視処理部１００は、特定した通信につき、暗号化通信アクセス管理データベース１２で管理している該当するアクセスポリシーを、通信許可から通信不許可に変更する（９５）。そして監視処理部１００は当該通信を停止するため、通信端末３０の暗号化通信処理部３１に通信停止指示メッセージを送信する（８３）。この通信停止指示メッセージを受けた通信端末３０の暗号化通信処理部３１は、当該メッセージで特定される暗号化通信を停止する（９６）。これにより、ネットワーク管理者６０は、不正と判断する暗号化通信を強制的に中止させることができる。

この時、単純に暗号化通信を停止させてしまうと、ネットワーク管理者６０は、それ以降に端末ユーザがどのような情報を転送しようとしていたかを確認することができない。そこで、暗号化通信処理部３１は、アプリケーション実行部３１４からのデータを受信し続け、当該データを相手の通信端末へは送信せず、暗号化通信転送部３１５を介してセキュリティ監視装置４０には送信し続けるようにしても良い（８４、８５）。

このため、セキュリティ管理サーバ１０上でのアクセス管理として、通信は停止するが通信内容の監視を続ける新しい管理分類を導入する。図６に示すアクセスポリシーの＊で表わされる管理分類であり、この新しい管理分類にあてはまる通信端末間の通信については、セキュリティ管理制御部３１１が通信端末の本来の通信相手となる端末への暗号化通信は停止しつつ、暗号化通信転送部３１３がアプリケーション実行部３１４により作成された通信情報をセキュリティ監視装置４０へ転送し続ける。これによりネットワーク管理者６０は、被疑対象の送信側通信端末のユーザが、どのような情報を転送しようとしていたかについて通信相手に情報を転送することなく確認することができる。このような措置は、被疑対象の通信がTCP通信である場合は不可能であるが、UDP通信のようなプロトコル・レベルで送受信するデータの到達を確認しない通信であれば、少なくとも一定量のデータについては監視が可能である。

図７に示す実施例では、セキュリティ監視装置４０は通信端末３０からの通信情報のみ受信したが、同時に通信端末２０からも通信情報を受信しても良い。

以上の処理におけるネットワーク管理者に関係する手続きは、適宜自動化することにより、セキュリティ監視装置の通信処理や復号化処理に要する負荷の制限の範囲内で、網羅的に通信内容の監視を実行することができるようになる。

上述の実施例で説明したシステムでは、特許文献１に示されている通信方式を前提とした。即ち、実施例におけるセキュリティ管理サーバ１０は、特許文献１の管理サーバに相当する。またこの実施例では、新規にセキュリティ監視装置４０を設置した。セキュリティ監視装置４０は、管理者権限を有する特殊な通信装置の一つの位置付けであり、任意の通信端末からセキュリティ監視装置４０への通信は、管理サーバ１０によって必ず許可されるものである。これによって本実施例では、特許文献１で示される暗号化通信方式の概念を最大限に生かしつつ、任意の通信端末の暗号化通信を動的に制御し、必要に応じてセキュリティ監視装置４０へ、その暗号化通信の内容を転送することを実現した。なお、セキュリティ管理サーバ１０にセキュリティ監視装置４０の機能を含めて一台の装置としてもよい。

組織が管理するネットワークにおいて、セキュリティレベルの向上と利便性の向上はトレードオフの関係にある。如何にして両者を高いレベルで両立させるかが、今後、組織が管理するネットワークにおける一般的な課題といえる。本発明が前提とするネットワークセキュリティ管理システム、及び本発明を適用することにより、実効的にはセキュリティレベルの向上と利便性の向上を高いレベルで実現することが可能になる。本発明によって、ネットワークセキュリティ管理向上と、セキュリティ監視装置に集中する通信処理や復号化処理に要する負荷増大、のトレードオフの関係を実効的に解消することができる。

本発明によれば、ネットワーク管理者が必要と判断する暗号化通信の内容を監視できるようになるため、特定ユーザに容疑が発生したときの追跡調査が容易になる他、組織内の全ユーザに対する不正利用抑止効果が期待できる。その結果、任意の通信端末間での暗号化通信について直接的な走査（フィルタリング）機能を実施することによるネットワークセキュリティ管理向上と、セキュリティ管理サーバなどに集中する通信処理や復号化処理に要する負荷増大、のトレードオフの関係を実効的に解消することが可能になる。

本発明の実施例を示すネットワークセキュリティ管理システムの全体概要図である。本発明における通信端末やサーバのハードウェア構成の一実施例を示す図である。本発明における通信端末の機能ブロックの一実施例を示す図である。本発明におけるセキュリティ監視装置の機能ブロックの一実施例を示す図である。本発明におけるセキュリティ管理サーバの機能ブロックの一実施例を示す図である。本発明におけるアクセスポリシーの一実施例を示す図である。本発明における装置間のシーケンスの一実施例を示す図である。

符号の説明

１０・・・セキュリティ管理サーバ
１１・・・制御部
１２・・・暗号化通信アクセス管理データベース（アクセスポリシー）
１００・・・監視処理部
３１・・・暗号化通信処理部（セキュリティ管理クライアントプログラム）
３１１・・・セキュリティ管理制御部
３１５・・・暗号化通信転送部
４０・・・セキュリティ監視装置
４１・・・暗号化通信処理部
４２・・・通信内容監視部
４３・・・転送通信情報記憶部

Claims

第１の通信端末と、第２の通信端末と、
前記第１および第２の通信端末を認証し、前記第１および第２の通信端末それぞれとの間で暗号化通信路を形成し、前記第１又は第２の通信端末から他方の通信端末への接続要求メッセージを受信すると、前記第１および第２の通信端末間の暗号化通信に使用する第１の鍵を生成し、当該鍵を前記第１および第２の通信端末に送信する管理サーバとを有し、
前記第１の鍵を用いて前記第１の通信端末と前記第２の通信端末との間で第１の暗号化通信路を形成し、当該端末間で前記第１の暗号化通信路を介して直接暗号化通信を行なうセキュリティ管理システムにおいて、
前記管理サーバとの間で認証を行ない、前記管理サーバとの間に第２の暗号化通信路を形成する監視装置を有し、
前記監視装置は、前記第１の通信端末が前記第２の通信端末へ送信する通信情報の転送を要求する転送要求メッセージを、前記第２の暗号化通信路を介して前記管理サーバに送信し、
前記転送要求メッセージを受信した前記管理サーバは、前記監視装置と前記第１の通信端末間の暗号化通信に用いる第２の鍵を生成し、当該第２の鍵を前記監視装置と前記第１の通信端末に送信し、前記第２の通信端末へ送信する通信情報を前記第２の鍵により暗号化して前記監視装置へ送信するよう前記第１の通信端末に指示し、
前記第１の通信端末と前記監視装置は、前記第２の鍵を用いて第３の暗号化通信路を形成し、前記第１の通信端末は、前記第２の通信端末へ送信する通信情報を、前記第３の暗号化通信路を介して前記監視装置に送信し、
前記監視装置は前記第１の通信端末から受信した通信情報を復号し、
さらに、前記監視装置は、前記第１の通信端末から前記第２の通信端末への前記第１の暗号化通信路を介したデータの送信を止めさせる通信停止メッセージを、前記第２の暗号化通信路を介して前記管理サーバに送信することを特徴とするセキュリティ管理システム。
請求項１に記載のセキュリティ管理システムにおいて、
前記管理サーバは、前記通信停止メッセージを受信すると、前記第１の通信端末との間に形成した暗号化通信路を介して、前記第２の通信端末への前記第１の暗号化通信路を介したデータの送信を止めるよう前記第１の通信端末に指示し、
前記通信端末は、前記管理サーバからのデータの送信停止の指示に応じて、前記第２の通信端末への前記第１の暗号化通信路を介したデータの送信を停止することを特徴とするセキュリティ管理システム。
請求項２に記載のセキュリティ管理システムにおいて、
前記第１の通信端末は、前記通信停止メッセージに応じて前記第２の通信端末へのデータの送信を止めた後も、前記第１の通信端末が前記第２の通信端末へ送信しようとしたデータを、前記第３の暗号化通信路を介して前記監視措置へ転送し続けることを特徴とするセキュリティ管理システム。