ウィルス感染及び機密情報漏洩防止対策システム
【課題】メールクライアントの数を増加させることなく、ウィルスが含まれている可能性のあるファイルを安全に開くためのウィルス感染及び機密情報漏洩防止対策システムを提供する。
【解決手段】ＬＡＮ１３を介して受け取る電子メールのうち、ウィルスの含まれている可能性の高い添付ファイルの部分をメールゲートウェイ１６で暗号化するとともに署名を添付する。添付ファイルを表示する際には、メールクライアントがファイルゲートウェイ１７に送信し、ファイルゲートウェイ１７が署名を確認後に一般用仮想マシン１４に転送する。
【解決手段】ＬＡＮ１３を介して受け取る電子メールのうち、ウィルスの含まれている可能性の高い添付ファイルの部分をメールゲートウェイ１６で暗号化するとともに署名を添付する。添付ファイルを表示する際には、メールクライアントがファイルゲートウェイ１７に送信し、ファイルゲートウェイ１７が署名を確認後に一般用仮想マシン１４に転送する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はコンピュータのウィルス対策に関連し、特にウィルスが含まれている可能性のあるファイルやＷｅｂページを安全に開くためのウィルス感染及び機密情報漏洩防止対策システムに関する。
【背景技術】
【０００２】
電子メールを受信するための技術としては、例えば、特許文献１に記載された技術がある。図９に示すように、特許文献１に記載された技術によれば、一台のコンピュータ５１上に二つの仮想マシン５２、５３を利用して二つのＯＳ（Operating System）環境を構築する。そして、一方のＯＳ環境は業務などの機密情報を扱う機密用ＯＳで、他方のＯＳ環境はインターネット５４にアクセス可能であってウィルス感染のおそれのある一般用ＯＳである。
【０００３】
社内で業務用として送信された電子メールは、機密用ＯＳ上のメールクライアント５５を使い機密用メールサーバ５６を介して送受信される。インターネット５４を介して送受信される電子メールは、一般用ＯＳ上のメールクライアント５７を使い一般用メールサーバ５８を介して送受信される。こうした構成により、一般用ＯＳはウィルスに感染するおそれはあるものの、仮に感染したとしても機密情報は仮想的別マシンである機密用ＯＳで扱っているために機密情報が漏洩したり、破壊されたりすることはない。
【０００４】
また、別の仮想マシンを利用したウィルス感染防止手段として特許文献２に記載された技術がある。当該技術によれば、検査用の仮想マシン上で添付ファイルを開き、電子メールの送信、既存ファイルの改ざん、仮想マシンの日時などの実行条件の変化などを見て、ウィルスであるか否かを検査している。
【０００５】
さらに、マクロウィルスの感染防止手段として特許文献３に記載された技術がある。当該技術によれば、特定の電子メール送信者からの電子メールに含まれるマクロをあらかじめ暗号化しておき、当該マクロが復号できない場合にはウィルスとみなしてマクロ実行を中止する。こうした手法によって、コンピュータへのウィルスの感染を防いでいる。また、ウィルスが感染する危険性のあるマクロを予め登録しておき、こうしたマクロの実行を中止することでウィルスの感染を防いでいる。
【０００６】
【特許文献１】特開２００６−２０１８４５
【特許文献２】特開２００４−０３８２７３
【特許文献３】特開２００２−３５１６８６
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１に記載された技術の場合、機密用のメールクライアントと一般用のメールクライアントとの二つを使い分ける必要があるため、使い勝手が悪い。セキュリティ上一般用と機密用とを分離した方が安全なのは確かであるが、現在まではこのような使い分けはなされておらず、利用者の教育、操作への慣れなど、こうしたシステムを導入する際の敷居は高かった。
【０００８】
また、特許文献２に記載された技術では、電子メールをいつまで観察するかについて決定する方法はなく、観察時間を越えた時間後に電子メールを送信するウィルスである可能性は残る。日時などの条件変更にしても、いつの時点で観察するかによってウィルスを見逃す可能性が残る。また、最近のウィルスでは、自身が仮想マシン上で稼動しているのか否かを検査し、仮想マシン上である場合には活動を停止するウィルスも存在しており、このようなウィルスに対しては特許文献２の技術は何ら効果を発揮し得ない。
【０００９】
そして、特許文献３に記載された技術では、特定通信相手が保有する鍵を盗まれて不正なマクロを暗号化され、これに気がつかずにマクロを実行して感染したり、未登録の危険なマクロを実行して感染したりするおそれがある。
【００１０】
本発明の目的は、こうした従来技術の様々な問題点を解決するためになされた発明であり、メールクライアントの数を増加させることなく、ウィルスが含まれている可能性のあるファイルを安全に開くためのウィルス感染及び機密情報漏洩防止対策システムを提供することである。
【課題を解決するための手段】
【００１１】
上記目的を達成するために、請求項１に係るウィルス感染及び機密情報漏洩防止対策システムは、一般情報を扱う一般用計算機と、機密情報を扱う機密用計算機と、ファイルを暗号化するとともに該ファイルに署名を付与して前記機密用計算機に送信する機能を有する第一ゲートウェイと、前記機密用計算機から受け取ったファイルの署名を検証して前記一般用計算機に送信する機能を有する第二ゲートウェイと、前記一般用計算機及び機密用計算機及び第一ゲートウェイ及び第二ゲートウェイにおけるファイルの送受信等を制御する制御手段とを備えて構成されており、前記制御手段は、ネットワークを介して前記機密計算機にファイルを取り込む際には前記第一ゲートウェイを経由させ、該取り込まれたファイルを表示させる際には前記機密計算機から前記第二ゲートウェイにファイルを転送することを特徴とする。
【００１２】
一例としては、インターネットを介して受け取る電子メールのうち、ウィルスの含まれている可能性の高い添付ファイルの部分をメールゲートウェイで暗号化し署名を添付する。そして、機密用仮想マシンのメールクライアントで受信する。添付ファイルを表示する際には、メールクライアントがファイルゲートウェイに送信し、ファイルゲートウェイが署名を確認後に一般用仮想マシンに転送する。一般用仮想マシンでは、添付ファイルを復号した後に表示する。
【００１３】
また、請求項２に係るウィルス感染及び機密情報漏洩防止対策システムは、一般情報を扱う一般用計算機と、機密情報を扱う機密用計算機と、前記機密用計算機からのＷｅｂサーバへのアクセス要求に対してエラーを返しアクセス要求先に関する情報を前記機密用計算機に転送するゲートウェイと、前記一般用計算機及び機密用計算機及びゲートウェイにおけるＷｅｂデータの送受信等を制御する制御手段とを備えて構成されており、前記制御手段は、前記機密用計算機からネットワークに接続されているＷｅｂサーバにアクセスする際には前記ゲートウェイを介してアクセスさせるとともに、前記一般用計算機にアクセス要求先を送信し、前記一般用計算機から前記ネットワークに接続されているＷｅｂサーバにアクセスさせることを特徴とする。
【００１４】
また、請求項３に係るウィルス感染及び機密情報漏洩防止対策システムは、一般情報を扱う一般用計算機と、機密情報を扱う機密用計算機と、前記一般用計算機及び前記機密用計算機のみ通信可能であって、セキュアＯＳが稼動する中継用計算機と、前記中継用計算機上の仮想端末及び仮想端末サーバと、前記機密用計算機上の仮想端末と、前記一般用計算機及び機密用計算機及び前記中継用計算機におけるデータの送受信等を制御する制御手段とを備えて構成されており、前記セキュアＯＳは、前記中継用計算機上の仮想端末及び前記仮想端末サーバを論理的に分離するように構成されており、前記制御手段は、前記機密計算機上の仮想端末において前記一般用計算機で稼働するアプリケーションを実行する場合には、前記中継用計算機上の仮想端末及び仮想端末サーバを中継して実行させることを特徴とする。
また、請求項４は、請求項１に記載のウィルス感染及び機密情報漏洩防止対策システムにおいて、前記第一ゲートウェイは、更に受信したメール全体を暗号化するとともに署名を付与したデータを前記機密用計算機に送信する機能を有することを特徴とする。
【発明の効果】
【００１５】
機密用計算機では、受信した電子メールにおける添付ファイルが暗号化されているので、ファイルの中身にアクセスすることはできない。したがって、コンピュータがウィルスに感染することはない。その結果、機密情報の漏洩や破壊を防止することができる。また、機密用計算機上のメールクライアントで添付ファイルの表示を指示すれば、自動的に一般用計算機側で表示されるので、表示の手間が増えることはない。したがって、従来通り、一つのメールクライアントを利用して、使い勝手を変えることなくインターネットを介して受信した電子メールと社内の機密電子メールとを送受信することができる。
【発明を実施するための最良の形態】
【００１６】
以下、本発明を適用したウィルス感染及び機密情報漏洩防止対策システムの実施の形態について説明する。
（実施形態１）
図１に示すように、本実施形態に係るウィルス感染及び機密情報漏洩防止対策システムは、ウィルス感染及び機密情報漏洩防止対策コンピュータ（以下、単に「コンピュータ」という。）１１、メールサーバ１２を備えている。これらコンピュータ１１及びメールサーバ１２は、ＬＡＮ（Local Area Network）１３を介して相互に通信可能に接続されている。
【００１７】
図１に示すように、コンピュータ１１は、一般用計算機としての一般用仮想マシン１４、機密用計算機としての機密用仮想マシン１５、メールゲートウェイ１６（第一ゲートウェイ）、ファイルゲートウェイ１７（第二ゲートウェイ）、制御手段としてのＣＰＵ１８を備えている。
一般用仮想マシン１４及び機密用仮想マシン１５を実現するエミュレータとしては、例えば既存製品としてVMware（登録商標）などがある。一般用仮想マシン１４及び機密用仮想マシン１５は、それぞれ異なるＯＳにより独立して動作するように構成されている。
【００１８】
一般用仮想マシン１４は、ＬＡＮ１３を介してメールサーバ１２等に直接アクセス可能であり、機密情報以外の一般情報を扱う。そのため、ウィルスに感染するおそれがある。一方、機密用仮想マシン１５は、ＬＡＮ１３を介してメールサーバ１２等に直接アクセスすることはできず、業務などにおける機密情報を扱う。
【００１９】
メールゲートウェイ１６は、メールサーバ１２から機密用仮想マシン１５で電子メールを受信する際に経由するプログラムである。メールゲートウェイ１６は、添付ファイルを暗号化するとともに当該添付ファイルに署名を付与して機密用仮想マシン１５に送信する機能を有する。また、メールゲートウェイ１６は公開鍵及び署名鍵を保持している。
【００２０】
ファイルゲートウェイ１７は、添付ファイルを一般用仮想マシン１４に転送する際に利用されるプログラムである。ファイルゲートウェイ１７は、機密用仮想マシン１５から受け取った添付ファイルの署名を検証して一般用仮想マシン１４に送信する機能を有する。ファイルゲートウェイ１７は、検証鍵を保持している。
また、一般用仮想マシン１４上で動作する表示プログラムは、秘密鍵を保持している。
【００２１】
メールゲートウェイ１６の署名鍵とファイルゲートウェイ１７の検証鍵とは対応しており、検証鍵は、メールゲートウェイ１６において署名鍵で生成された署名を検証するために利用される。また、メールゲートウェイ１６の公開鍵と一般用仮想マシン１４上で動作する表示プログラムの秘密鍵とは対応しており、公開鍵で暗号化されたデータは秘密鍵で復号することができる。
ＣＰＵ１８は、図示しないハードディスク等に記憶されているプログラム等に基づいて、一般用仮想マシン１４及び機密用仮想マシン１５、その他コンピュータ１１全般の動作を制御する機能を有する。
【００２２】
機密用仮想マシン１５では、電子メールの作成や送受信、受信したメールの保存・管理等を行なうソフトウェアであるメールクライアント１９が動作している。
メールサーバ１２には、図示しないインターネットを介して外部の端末装置等から送信される電子メールや、ＬＡＮ１３に接続されている社内の端末装置等から送信される電子メールが送られてくる。
【００２３】
ここで、電子メールの構成について説明する。電子メールは、一般的にヘッダ部、本文テキストファイル、添付ファイルを含んで構成されている。ヘッダ部には送信者アドレス、件名、発信時刻などの情報が含まれている。なお、本文テキストファイルを含まず、ヘッダ部及び添付ファイルのみで構成される電子メールも存在する。また、添付ファイルは複数添付されている場合もある。電子メールに含まれるウィルスの多くは、この添付ファイル部分に含まれている。
【００２４】
次に、ＬＡＮ１３を介して受信した電子メールに添付されている添付ファイルがメールゲートウェイ１６を通過することで生成される暗号化ファイルの構成について説明する。当該暗号化ファイルは、暗号鍵、ファイル名、添付ファイル、署名で構成されている。
暗号鍵は、ランダムに生成されたデータであり、公開鍵で暗号化される。暗号鍵の生成及び暗号化は、メールゲートウェイ１６によって実行される。
また、ファイル名及び添付ファイルは、暗号鍵によって暗号化されている。当該暗号化は、メールゲートウェイ１６によって実行される。そして、署名は、メールゲートウェイ１６において署名鍵を使って生成される。
【００２５】
次に、機密用仮想マシン１５上で動作するメールクライアント１９が電子メールを受け取る際のメールゲートウェイ１６の動作について説明する。なお、以下の処理はハードディスク等の記憶手段に記憶されているプログラム等に基づいて、ＣＰＵ１８による制御のもとで実行される。
図２に示すように、まず、メールゲートウェイ１６は、メールクライアント１９からの電子メール受信要求を受付ける（ステップＳ２１）。当該要求には、利用者のＩＤやパスワード情報などの認証情報が含まれている。次に、メールゲートウェイ１６は、メールサーバ１２に対して先の受信要求を転送して電子メールを受信する（ステップＳ２２）。
【００２６】
次に、メールゲートウェイ１６は、受け取った電子メールに添付ファイルが含まれているか否かを判断する（ステップＳ２３）。添付ファイルが含まれていると判断した場合、メールゲートウェイ１６は、当該添付ファイルに暗号化及び署名付与の処理を施し、電子メールに添付しなおしたうえで、メールクライアント１９に送信する（ステップＳ２４）。一方、添付ファイルが含まれていないと判断した場合には、暗号化及び署名付与の処理を施すことなく、そのまま電子メールをメールクライアント１９に送信する（ステップＳ２５）。
【００２７】
次に、ステップＳ２４における、添付ファイルへの暗号化及び署名付与の処理について説明する。なお、以下の処理はハードディスク等の記憶手段に記憶されているプログラム等に基づいて、ＣＰＵ１８による制御のもとで実行される。
図３に示すように、まず、メールゲートウェイ１６は、暗号鍵をランダムに生成する（ステップＳ３１）。次に、生成された暗号鍵を公開鍵で暗号化する（ステップＳ３２）。次に、添付ファイルのファイル名及び添付ファイルを暗号鍵で暗号化する（ステップＳ３３）。次に、メールゲートウェイ１６は、暗号化された暗号鍵と暗号化された添付ファイルのファイル名と添付ファイル本体との署名を生成する（ステップＳ３４）。そして、メールゲートウェイ１６は、暗号鍵、ファイル名、添付ファイル、署名を連結して一つのファイルとする。
【００２８】
次に、メールクライアント１９が暗号化されて、署名の付与された添付ファイルを表示するときの動作について説明する。当該動作は、メールクライアント１９が電子メールを転送するためのプログラムを実行することで実現される。
図４に示すように、まず、暗号化、署名付与された添付ファイルをメールクライアント１９がメールから取り出す（ステップＳ４１）。次に、メールクライアント１９は、当該添付ファイルをファイルゲートウェイ１７に転送する（ステップＳ４２）。次に、ファイルゲートウェイ１７は、転送された添付ファイルの署名を検証鍵を使って検証する（ステップＳ４３）。
【００２９】
検証に失敗した場合、添付ファイルが改ざんされたもの、あるいはメールゲートウェイ１６経由でない添付ファイルであると判断し、メールクライアントにエラーを返し処理を終了する（ステップＳ４４）。一方、検証に成功した場合、添付ファイルから署名を除いて一般用仮想マシン１４に転送する（ステップＳ４５）。一般用仮想マシン１４では、秘密鍵を使って暗号化された暗号鍵を復号するとともに、当該鍵を使って暗号化されたファイル名と添付ファイルとを復号する（ステップＳ４６）。そして、対応する文書表示プログラムを使って添付ファイルを図示しない液晶ディスプレイ等の表示手段に表示する。
【００３０】
以上のように、実施形態１のウィルス感染及び機密情報漏洩防止対策システムによれば、次のような効果がある。
・機密用仮想マシン１５では、受信した電子メールにおける添付ファイルが暗号化されているので、ファイルの中身にアクセスすることはできない。したがって、コンピュータ１１がウィルスに感染することはない。その結果、機密情報の漏洩や破壊を防止することができる。
【００３１】
また、機密用仮想マシン１５上のメールクライアント１９で添付ファイルの表示を指示した場合、自動的に一般用仮想マシン１４側で表示されるので、表示の手間が増えることはない。したがって、従来通り、一つのメールクライアント１９を利用して、使い勝手を変えることなくインターネットを介して受信した電子メールと社内の機密電子メールとを送受信することができる。
【００３２】
（実施形態２）
実施形態１では、ウィルスに感染している可能性のある添付ファイルの安全な表示方法について説明した。本実施形態では、ウィルスが含まれている可能性のあるＷｅｂページの安全な表示方法について説明する。
図５に示すように、本実施形態に係るウィルス感染及び機密情報漏洩防止対策システムは、ウィルス感染及び機密情報漏洩防止対策コンピュータ（以下、単に「コンピュータ」という。）２１、社内Ｗｅｂサーバ２２、インターネット２３を介して相互に通信可能に接続されている社外Ｗｅｂサーバ２４を備えている。
【００３３】
図５に示すように、コンピュータ２１は、一般用仮想マシン２５、機密用仮想マシン２６、Ｗｅｂゲートウェイ２７、制御手段としてのＣＰＵ２８を備えている。一般用仮想マシン２５及び機密用仮想マシン２６は、それぞれ異なるＯＳにより独立して動作するように構成されている。
一般用仮想マシン２５は、Ｗｅｂページを閲覧するためのアプリケーションソフトである一般用Ｗｅｂブラウザ２９によって、インターネット２３を介して社外Ｗｅｂサーバ２４等に直接アクセス可能である。そのため、ウィルスに感染するおそれがある。
【００３４】
一方、機密用仮想マシン２６は、機密用Ｗｅｂブラウザ３０によって社内Ｗｅｂサーバ２２には直接アクセスすることはできる。しかしながら、インターネット２３を介して社外Ｗｅｂサーバ２４等に直接アクセスすることはできないように構成されている。社外Ｗｅｂサーバ２４にアクセスする場合は、Ｗｅｂゲートウェイ２７を中継してアクセスするように構成されている。
【００３５】
次に、機密用仮想マシン２６上で動作する機密用Ｗｅｂブラウザ３０が社外Ｗｅｂサーバ２４にアクセスする場合の処理手順を示す。なお、以下の処理はハードディスク等の記憶手段に記憶されているプログラム等に基づいてＣＰＵ２８による制御のもとで実行される。
図６に示すように、まず、機密用仮想マシン２６上の機密用Ｗｅｂブラウザ３０は、アクセス先が社外であると判断した場合、プロキシサーバであるＷｅｂゲートウェイ２７にＵＲＬ（Uniform Resource Locator）を送信することで中継を依頼する（ステップＳ６１）。
【００３６】
次に、Ｗｅｂゲートウェイ２７は機密用仮想マシン２６上の機密用Ｗｅｂブラウザ３０から要求のあったＵＲＬを受け取る（ステップＳ６２）。次に、Ｗｅｂゲートウェイ２７は、機密用仮想マシン２６上の機密用Ｗｅｂブラウザ３０にエラーメッセージを返し、当該機密用Ｗｅｂブラウザ３０はエラーを表示する（ステップＳ６３）。次に、機密用仮想マシン２６上のＷｅｂゲートウェイは一般用仮想マシン２５で動作する呼出しプログラムにＵＲＬを転送する（ステップＳ６４）。
【００３７】
次に、一般用仮想マシン２５で動作する呼出しプログラムは転送されたＵＲＬを引数として一般用Ｗｅｂブラウザ２９を起動する（ステップＳ６５）。そして、一般用仮想マシン２５上の一般用Ｗｅｂブラウザ２９は社外Ｗｅｂサーバ２４に直接アクセスして、ＵＲＬに対応するページの画像や文書（Ｗｅｂデータ）等を、図示しない液晶ディスプレイ等の表示手段に表示する。
【００３８】
以上のように、実施形態２のウィルス感染及び機密情報漏洩防止対策システムによれば、次のような効果がある。
・機密用仮想マシン２６が社外Ｗｅｂサーバ２４にアクセスする場合は、Ｗｅｂゲートウェイ２７を中継してアクセスするように構成されている。そのため、機密用仮想マシン２６においてウィルスが含まれている可能性のあるＷｅｂページが表示されることを防止することができる。
【００３９】
なお、上記実施形態は、以下のように変更して実施してもよい。
実施形態１では、一般用仮想マシン１４と機密用仮想マシン１５とが同一コンピュータ１１上に存在する場合を示したが、二つの仮想マシン１４、１５は別々のコンピュータ上に存在してもよい。実施形態２についても同様である。
【００４０】
また、実施形態１におけるメールゲートウェイ１６やファイルゲートウェイ１７、実施形態２におけるＷｅｂゲートウェイ２７についても別々のコンピュータ上に存在してもよい。また、実施形態１における機密用仮想マシン１５について、仮想マシンを利用せず機密用計算機として構成、その上に一般用仮想マシン１４を構築し、メールゲートウェイ１６やファイルゲートウェイ１７を上記機密用計算機上で稼動させることも可能である。実施形態２についても同様である。
【００４１】
実施形態１では、暗号鍵を暗号化する場合や署名を生成する場合には公開鍵暗号を前提としていた。すなわち、公開鍵と秘密鍵、署名鍵と検証鍵とはそれぞれ対をなしていた。しかしながら、処理高速化のために、公開鍵ではなく秘密鍵暗号（共通鍵暗号もしくは対称鍵暗号）を用いても構わない。この場合、署名鍵と検証鍵とがメールゲートウェイ１６及びファイルゲートウェイ１７以外にアクセスすることができないこと、公開鍵及び秘密鍵がメールゲートウェイ１６及び表示プログラム以外のアクセスができないことが要件となる。
【００４２】
実施形態１では、電子メールの添付ファイルをメールゲートウェイ１６で暗号化し、署名して、表示の際にファイルゲートウェイ１７で署名検証し、表示プログラムが復号して表示していた。この仕組みは電子メールの添付ファイルに限らず、ファイル転送やインスタントメッセージでの添付ファイルにも応用することができる。
【００４３】
（実施形態３）
実施形態１では、ウィルスに感染している可能性のある添付ファイルの安全な表示方法について説明した。また、実施形態２では、ウィルスが含まれている可能性のあるＷｅｂページの安全な表示方法について説明した。本実施形態では、ウィルスが含まれている可能性のあるデータを扱うアプリケーションの安全な使用方法について説明する。
図７に示すように、本実施形態に係るウィルス感染及び機密情報漏洩防止対策システムは、ウィルス感染及び機密情報漏洩防止対策コンピュータ（以下、単に「コンピュータ」という。）３１、社内コンピュータ３２、インターネット３３を介してコンピュータ３１及び社内コンピュータ３２と相互に通信可能に接続されている社外コンピュータ３４を備えている。
【００４４】
図７に示すように、コンピュータ３１は、一般用仮想マシン３５、中継用仮想マシン３６、機密用仮想マシン３７、制御手段としてのＣＰＵ３８を備えている。一般用仮想マシン３５、中継用仮想マシン３６及び機密用仮想マシン３７は、それぞれ異なるＯＳにより独立して動作するように構成されている。
一般用仮想マシン３５では、アプリケーション３９が稼動する。本アプリケーション３９は、インターネット３３を介して社外コンピュータ３４に直接アクセス可能である。そのため、ウィルスに感染するおそれがある。
【００４５】
一方、中継用仮想マシン３６は、仮想端末４０によって仮想端末サーバ４１を介して一般用仮想マシン３５上のアプリケーション３９を操作することができる。仮想端末とは、仮想サーバからサーバマシンの画面情報を受取る一方、キーボードやマウス等の入力手段によって入力された入力情報をサーバに送信することで、クライアントからサーバマシンを遠隔操作するプログラムである。仮想端末の代表例として、LinuxやUNIX（登録商標）サーバを遠隔操作するTELNET、Windows（登録商標）を遠隔操作することができるRemote Desktop Protocol、MetaFrame、Virtual Network Computing等がある。
【００４６】
中継用仮想マシン３６は、一般用仮想マシン３５及び機密用仮想マシン３７のみ通信できるようになっている。さらに、本中継用仮想マシン３６上ではセキュアＯＳが稼動している。また、仮想端末４０と仮想端末サーバ４２とは論理的に分離されており、一方がウィルスに感染しても、他方まで感染が広がらないように構成されている。ここで、セキュアＯＳとは、セキュリティに関する機能を強化したＯＳであり、例としてはSecurity-Enhanced Linuxがある。
【００４７】
機密用仮想マシン３７は、仮想端末４３を使い仮想端末サーバ４２を介して中継用仮想マシン３６や社内コンピュータ３２にアクセスすることはできる。しかしながら、一般用仮想マシン３５やインターネット３３を介して社外コンピュータ３４等に直接アクセスすることはできないように構成されている。
機密用仮想マシン３７は、仮想端末４３を使い中継用仮想マシン３６上の仮想端末４０を操作して一般用仮想マシンを利用できる。
【００４８】
ＣＰＵ３８は、図示しないハードディスク等に記憶されているプログラム等に基づいて、一般用仮想マシン３５及び中継用仮想マシン３６及び機密用仮想マシン３７、その他コンピュータ３１全般の動作を制御する機能を有する。
そして、機密用仮想マシン３７がアプリケーション３９を利用する場合には、仮想端末サーバ４２及び仮想端末４０を中継してアプリケーション３９にアクセスする。なお、当該処理はハードディスク等の記憶手段に記憶されているプログラム等に基づいてＣＰＵ３８による制御のもとで実行される。
【００４９】
以上のように、実施形態３のウィルス感染及び機密情報漏洩防止対策システムによれば、以下のような効果がある。
・機密用仮想マシン３７がウィルス感染のおそれのあるアプリケーション３９を利用する場合は、中継用仮想マシン３６上の仮想端末サーバ４２と仮想端末４０とを中継してアクセスするように構成されている。そのため、アプリケーション３９により一般用仮想マシン３５がウィルスに感染、仮想端末サーバ４１を介して中継用仮想マシン３６上の仮想端末４０がウィルスに感染しても、セキュアＯＳの機能により、ウィルスはさらに拡大することはなく、仮想端末サーバ４２、さらに機密用仮想マシン３７がウィルス感染を防止することができる。
【００５０】
なお、上記実施形態は、以下のように変更して実施してもよい。
本実施形態では、三つの仮想マシンを一つのコンピュータ６１で稼動するように構成したが、仮想マシンを使用することなく、これら三つの仮想マシンをそれぞれ別々のコンピュータで構成するようにしてもよい。
【００５１】
（実施形態４）
実施形態１では、ウィルスに感染している可能性のある添付ファイルの安全な表示方法について説明した。続いて、添付ファイルを含んだメールを返信ないしは転送を可能とする形態について説明する。なお、本実施形態における基本構成は、実施形態１と同じであるため、ここでは省略する。
本文のみに対して返信や転送する場合には、本文は暗号化されていないので、通常通りの操作でメールクライアント１９を使って返信することができる。しかしながら、添付ファイルまで含めて返信ないしは転送しようとすると、暗号化されているために送信したとしても相手側では本文を読むことができない。
【００５２】
そこで、実施形態１で説明した添付ファイルそれぞれを暗号化、署名するのに加えて、メールゲートウェイ１６は、メール全体を暗号化、署名して、添付ファイルとして加える。この様子を図８に示す。元のメールはヘッダ４４と本文のテキスト４５と二つの添付ファイル４６と４７からなるものとする。実施形態１では、添付ファイルをそれぞれ暗号化、署名付与して、添付ファイル４８、４９とした。
これに加えて、本実施形態では、メールゲートウェイ１６は、図３におけるステップＳ３、Ｓ３４の処理とともにヘッダから添付ファイルまでのメール全体４４〜４７を暗号化して、署名を付与して添付する処理を実行するようにした。そして、当該暗号化されたメール全体５０は機密用仮想マシン１５に送信される。
【００５３】
添付ファイルを含めて返信または転送したい場合には、添付ファイルの最後にある暗号化署名付与されたメール全体５０を選んで添付ファイル表示する。すると、メールクライアント１９は実施形態１と同様にファイルゲートウェイ１７に送信、最終的には一般用仮想マシン１４でメール全体が表示されることになり、ここで、通常通り返信ないしは転送の操作を行えばよい。
【００５４】
以上のように、実施形態４のウィルス感染及び機密情報漏洩防止対策システムによれば、次のような効果がある。
・機密用仮想マシン１５上のメールクライアント１９でメール返信する場合には、メール全体の添付ファイルの表示を指示したのち、一般用仮想マシン１４で返信すればよく、従来の使い勝手を大きく変えることなくインターネットを介して受信した電子メールと社内の機密電子メールとを送受信することができる。
【００５５】
実施形態１と実施形態４とでは、メールの添付ファイルにウィルスが含まれていると仮定して、添付ファイルを暗号化しておくことで機密用計算機はウィルス感染しないようにしていた。しかし、ヘッダや本文にウィルスが含まれている可能性も否定できない。添付ファイルと同様に暗号化、署名付与する他に、テキストに規定の文字以外の文字が含まれていないか、一行の長さが規定に収まっているか等をチェックして、規定外の文字を特定の文字に置き換えるといった方法や、長すぎる行を規定の行数に収まるように改行するといった方法がある。
【図面の簡単な説明】
【００５６】
【図１】実施形態１の全体構成。
【図２】メールゲートウェイの動作を示すフローチャート。
【図３】添付ファイルの暗号化と署名付与処理示すフローチャート。
【図４】暗号化ファイルの表示処理を示すフローチャート。
【図５】実施形態２の全体構成。
【図６】機密用Ｗｅｂブラウザが社外サーバにアクセスするときの処理を示すフローチャート。
【図７】実施形態３の全体構成。
【図８】実施形態４の説明図。
【図９】従来技術の構成。
【符号の説明】
【００５７】
１４…一般用計算機としての一般用仮想マシン、１５…機密用計算機としての機密用仮想マシン、１６…第一ゲートウェイとしてのメールゲートウェイ、１７…第二ゲートウェイとしてのファイルゲートウェイ、１８、２８…制御手段としてのＣＰＵ、２７…ゲートウェイとしてのＷｅｂゲートウェイ、２４…Ｗｅｂサーバ。
【技術分野】
【０００１】
本発明はコンピュータのウィルス対策に関連し、特にウィルスが含まれている可能性のあるファイルやＷｅｂページを安全に開くためのウィルス感染及び機密情報漏洩防止対策システムに関する。
【背景技術】
【０００２】
電子メールを受信するための技術としては、例えば、特許文献１に記載された技術がある。図９に示すように、特許文献１に記載された技術によれば、一台のコンピュータ５１上に二つの仮想マシン５２、５３を利用して二つのＯＳ（Operating System）環境を構築する。そして、一方のＯＳ環境は業務などの機密情報を扱う機密用ＯＳで、他方のＯＳ環境はインターネット５４にアクセス可能であってウィルス感染のおそれのある一般用ＯＳである。
【０００３】
社内で業務用として送信された電子メールは、機密用ＯＳ上のメールクライアント５５を使い機密用メールサーバ５６を介して送受信される。インターネット５４を介して送受信される電子メールは、一般用ＯＳ上のメールクライアント５７を使い一般用メールサーバ５８を介して送受信される。こうした構成により、一般用ＯＳはウィルスに感染するおそれはあるものの、仮に感染したとしても機密情報は仮想的別マシンである機密用ＯＳで扱っているために機密情報が漏洩したり、破壊されたりすることはない。
【０００４】
また、別の仮想マシンを利用したウィルス感染防止手段として特許文献２に記載された技術がある。当該技術によれば、検査用の仮想マシン上で添付ファイルを開き、電子メールの送信、既存ファイルの改ざん、仮想マシンの日時などの実行条件の変化などを見て、ウィルスであるか否かを検査している。
【０００５】
さらに、マクロウィルスの感染防止手段として特許文献３に記載された技術がある。当該技術によれば、特定の電子メール送信者からの電子メールに含まれるマクロをあらかじめ暗号化しておき、当該マクロが復号できない場合にはウィルスとみなしてマクロ実行を中止する。こうした手法によって、コンピュータへのウィルスの感染を防いでいる。また、ウィルスが感染する危険性のあるマクロを予め登録しておき、こうしたマクロの実行を中止することでウィルスの感染を防いでいる。
【０００６】
【特許文献１】特開２００６−２０１８４５
【特許文献２】特開２００４−０３８２７３
【特許文献３】特開２００２−３５１６８６
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１に記載された技術の場合、機密用のメールクライアントと一般用のメールクライアントとの二つを使い分ける必要があるため、使い勝手が悪い。セキュリティ上一般用と機密用とを分離した方が安全なのは確かであるが、現在まではこのような使い分けはなされておらず、利用者の教育、操作への慣れなど、こうしたシステムを導入する際の敷居は高かった。
【０００８】
また、特許文献２に記載された技術では、電子メールをいつまで観察するかについて決定する方法はなく、観察時間を越えた時間後に電子メールを送信するウィルスである可能性は残る。日時などの条件変更にしても、いつの時点で観察するかによってウィルスを見逃す可能性が残る。また、最近のウィルスでは、自身が仮想マシン上で稼動しているのか否かを検査し、仮想マシン上である場合には活動を停止するウィルスも存在しており、このようなウィルスに対しては特許文献２の技術は何ら効果を発揮し得ない。
【０００９】
そして、特許文献３に記載された技術では、特定通信相手が保有する鍵を盗まれて不正なマクロを暗号化され、これに気がつかずにマクロを実行して感染したり、未登録の危険なマクロを実行して感染したりするおそれがある。
【００１０】
本発明の目的は、こうした従来技術の様々な問題点を解決するためになされた発明であり、メールクライアントの数を増加させることなく、ウィルスが含まれている可能性のあるファイルを安全に開くためのウィルス感染及び機密情報漏洩防止対策システムを提供することである。
【課題を解決するための手段】
【００１１】
上記目的を達成するために、請求項１に係るウィルス感染及び機密情報漏洩防止対策システムは、一般情報を扱う一般用計算機と、機密情報を扱う機密用計算機と、ファイルを暗号化するとともに該ファイルに署名を付与して前記機密用計算機に送信する機能を有する第一ゲートウェイと、前記機密用計算機から受け取ったファイルの署名を検証して前記一般用計算機に送信する機能を有する第二ゲートウェイと、前記一般用計算機及び機密用計算機及び第一ゲートウェイ及び第二ゲートウェイにおけるファイルの送受信等を制御する制御手段とを備えて構成されており、前記制御手段は、ネットワークを介して前記機密計算機にファイルを取り込む際には前記第一ゲートウェイを経由させ、該取り込まれたファイルを表示させる際には前記機密計算機から前記第二ゲートウェイにファイルを転送することを特徴とする。
【００１２】
一例としては、インターネットを介して受け取る電子メールのうち、ウィルスの含まれている可能性の高い添付ファイルの部分をメールゲートウェイで暗号化し署名を添付する。そして、機密用仮想マシンのメールクライアントで受信する。添付ファイルを表示する際には、メールクライアントがファイルゲートウェイに送信し、ファイルゲートウェイが署名を確認後に一般用仮想マシンに転送する。一般用仮想マシンでは、添付ファイルを復号した後に表示する。
【００１３】
また、請求項２に係るウィルス感染及び機密情報漏洩防止対策システムは、一般情報を扱う一般用計算機と、機密情報を扱う機密用計算機と、前記機密用計算機からのＷｅｂサーバへのアクセス要求に対してエラーを返しアクセス要求先に関する情報を前記機密用計算機に転送するゲートウェイと、前記一般用計算機及び機密用計算機及びゲートウェイにおけるＷｅｂデータの送受信等を制御する制御手段とを備えて構成されており、前記制御手段は、前記機密用計算機からネットワークに接続されているＷｅｂサーバにアクセスする際には前記ゲートウェイを介してアクセスさせるとともに、前記一般用計算機にアクセス要求先を送信し、前記一般用計算機から前記ネットワークに接続されているＷｅｂサーバにアクセスさせることを特徴とする。
【００１４】
また、請求項３に係るウィルス感染及び機密情報漏洩防止対策システムは、一般情報を扱う一般用計算機と、機密情報を扱う機密用計算機と、前記一般用計算機及び前記機密用計算機のみ通信可能であって、セキュアＯＳが稼動する中継用計算機と、前記中継用計算機上の仮想端末及び仮想端末サーバと、前記機密用計算機上の仮想端末と、前記一般用計算機及び機密用計算機及び前記中継用計算機におけるデータの送受信等を制御する制御手段とを備えて構成されており、前記セキュアＯＳは、前記中継用計算機上の仮想端末及び前記仮想端末サーバを論理的に分離するように構成されており、前記制御手段は、前記機密計算機上の仮想端末において前記一般用計算機で稼働するアプリケーションを実行する場合には、前記中継用計算機上の仮想端末及び仮想端末サーバを中継して実行させることを特徴とする。
また、請求項４は、請求項１に記載のウィルス感染及び機密情報漏洩防止対策システムにおいて、前記第一ゲートウェイは、更に受信したメール全体を暗号化するとともに署名を付与したデータを前記機密用計算機に送信する機能を有することを特徴とする。
【発明の効果】
【００１５】
機密用計算機では、受信した電子メールにおける添付ファイルが暗号化されているので、ファイルの中身にアクセスすることはできない。したがって、コンピュータがウィルスに感染することはない。その結果、機密情報の漏洩や破壊を防止することができる。また、機密用計算機上のメールクライアントで添付ファイルの表示を指示すれば、自動的に一般用計算機側で表示されるので、表示の手間が増えることはない。したがって、従来通り、一つのメールクライアントを利用して、使い勝手を変えることなくインターネットを介して受信した電子メールと社内の機密電子メールとを送受信することができる。
【発明を実施するための最良の形態】
【００１６】
以下、本発明を適用したウィルス感染及び機密情報漏洩防止対策システムの実施の形態について説明する。
（実施形態１）
図１に示すように、本実施形態に係るウィルス感染及び機密情報漏洩防止対策システムは、ウィルス感染及び機密情報漏洩防止対策コンピュータ（以下、単に「コンピュータ」という。）１１、メールサーバ１２を備えている。これらコンピュータ１１及びメールサーバ１２は、ＬＡＮ（Local Area Network）１３を介して相互に通信可能に接続されている。
【００１７】
図１に示すように、コンピュータ１１は、一般用計算機としての一般用仮想マシン１４、機密用計算機としての機密用仮想マシン１５、メールゲートウェイ１６（第一ゲートウェイ）、ファイルゲートウェイ１７（第二ゲートウェイ）、制御手段としてのＣＰＵ１８を備えている。
一般用仮想マシン１４及び機密用仮想マシン１５を実現するエミュレータとしては、例えば既存製品としてVMware（登録商標）などがある。一般用仮想マシン１４及び機密用仮想マシン１５は、それぞれ異なるＯＳにより独立して動作するように構成されている。
【００１８】
一般用仮想マシン１４は、ＬＡＮ１３を介してメールサーバ１２等に直接アクセス可能であり、機密情報以外の一般情報を扱う。そのため、ウィルスに感染するおそれがある。一方、機密用仮想マシン１５は、ＬＡＮ１３を介してメールサーバ１２等に直接アクセスすることはできず、業務などにおける機密情報を扱う。
【００１９】
メールゲートウェイ１６は、メールサーバ１２から機密用仮想マシン１５で電子メールを受信する際に経由するプログラムである。メールゲートウェイ１６は、添付ファイルを暗号化するとともに当該添付ファイルに署名を付与して機密用仮想マシン１５に送信する機能を有する。また、メールゲートウェイ１６は公開鍵及び署名鍵を保持している。
【００２０】
ファイルゲートウェイ１７は、添付ファイルを一般用仮想マシン１４に転送する際に利用されるプログラムである。ファイルゲートウェイ１７は、機密用仮想マシン１５から受け取った添付ファイルの署名を検証して一般用仮想マシン１４に送信する機能を有する。ファイルゲートウェイ１７は、検証鍵を保持している。
また、一般用仮想マシン１４上で動作する表示プログラムは、秘密鍵を保持している。
【００２１】
メールゲートウェイ１６の署名鍵とファイルゲートウェイ１７の検証鍵とは対応しており、検証鍵は、メールゲートウェイ１６において署名鍵で生成された署名を検証するために利用される。また、メールゲートウェイ１６の公開鍵と一般用仮想マシン１４上で動作する表示プログラムの秘密鍵とは対応しており、公開鍵で暗号化されたデータは秘密鍵で復号することができる。
ＣＰＵ１８は、図示しないハードディスク等に記憶されているプログラム等に基づいて、一般用仮想マシン１４及び機密用仮想マシン１５、その他コンピュータ１１全般の動作を制御する機能を有する。
【００２２】
機密用仮想マシン１５では、電子メールの作成や送受信、受信したメールの保存・管理等を行なうソフトウェアであるメールクライアント１９が動作している。
メールサーバ１２には、図示しないインターネットを介して外部の端末装置等から送信される電子メールや、ＬＡＮ１３に接続されている社内の端末装置等から送信される電子メールが送られてくる。
【００２３】
ここで、電子メールの構成について説明する。電子メールは、一般的にヘッダ部、本文テキストファイル、添付ファイルを含んで構成されている。ヘッダ部には送信者アドレス、件名、発信時刻などの情報が含まれている。なお、本文テキストファイルを含まず、ヘッダ部及び添付ファイルのみで構成される電子メールも存在する。また、添付ファイルは複数添付されている場合もある。電子メールに含まれるウィルスの多くは、この添付ファイル部分に含まれている。
【００２４】
次に、ＬＡＮ１３を介して受信した電子メールに添付されている添付ファイルがメールゲートウェイ１６を通過することで生成される暗号化ファイルの構成について説明する。当該暗号化ファイルは、暗号鍵、ファイル名、添付ファイル、署名で構成されている。
暗号鍵は、ランダムに生成されたデータであり、公開鍵で暗号化される。暗号鍵の生成及び暗号化は、メールゲートウェイ１６によって実行される。
また、ファイル名及び添付ファイルは、暗号鍵によって暗号化されている。当該暗号化は、メールゲートウェイ１６によって実行される。そして、署名は、メールゲートウェイ１６において署名鍵を使って生成される。
【００２５】
次に、機密用仮想マシン１５上で動作するメールクライアント１９が電子メールを受け取る際のメールゲートウェイ１６の動作について説明する。なお、以下の処理はハードディスク等の記憶手段に記憶されているプログラム等に基づいて、ＣＰＵ１８による制御のもとで実行される。
図２に示すように、まず、メールゲートウェイ１６は、メールクライアント１９からの電子メール受信要求を受付ける（ステップＳ２１）。当該要求には、利用者のＩＤやパスワード情報などの認証情報が含まれている。次に、メールゲートウェイ１６は、メールサーバ１２に対して先の受信要求を転送して電子メールを受信する（ステップＳ２２）。
【００２６】
次に、メールゲートウェイ１６は、受け取った電子メールに添付ファイルが含まれているか否かを判断する（ステップＳ２３）。添付ファイルが含まれていると判断した場合、メールゲートウェイ１６は、当該添付ファイルに暗号化及び署名付与の処理を施し、電子メールに添付しなおしたうえで、メールクライアント１９に送信する（ステップＳ２４）。一方、添付ファイルが含まれていないと判断した場合には、暗号化及び署名付与の処理を施すことなく、そのまま電子メールをメールクライアント１９に送信する（ステップＳ２５）。
【００２７】
次に、ステップＳ２４における、添付ファイルへの暗号化及び署名付与の処理について説明する。なお、以下の処理はハードディスク等の記憶手段に記憶されているプログラム等に基づいて、ＣＰＵ１８による制御のもとで実行される。
図３に示すように、まず、メールゲートウェイ１６は、暗号鍵をランダムに生成する（ステップＳ３１）。次に、生成された暗号鍵を公開鍵で暗号化する（ステップＳ３２）。次に、添付ファイルのファイル名及び添付ファイルを暗号鍵で暗号化する（ステップＳ３３）。次に、メールゲートウェイ１６は、暗号化された暗号鍵と暗号化された添付ファイルのファイル名と添付ファイル本体との署名を生成する（ステップＳ３４）。そして、メールゲートウェイ１６は、暗号鍵、ファイル名、添付ファイル、署名を連結して一つのファイルとする。
【００２８】
次に、メールクライアント１９が暗号化されて、署名の付与された添付ファイルを表示するときの動作について説明する。当該動作は、メールクライアント１９が電子メールを転送するためのプログラムを実行することで実現される。
図４に示すように、まず、暗号化、署名付与された添付ファイルをメールクライアント１９がメールから取り出す（ステップＳ４１）。次に、メールクライアント１９は、当該添付ファイルをファイルゲートウェイ１７に転送する（ステップＳ４２）。次に、ファイルゲートウェイ１７は、転送された添付ファイルの署名を検証鍵を使って検証する（ステップＳ４３）。
【００２９】
検証に失敗した場合、添付ファイルが改ざんされたもの、あるいはメールゲートウェイ１６経由でない添付ファイルであると判断し、メールクライアントにエラーを返し処理を終了する（ステップＳ４４）。一方、検証に成功した場合、添付ファイルから署名を除いて一般用仮想マシン１４に転送する（ステップＳ４５）。一般用仮想マシン１４では、秘密鍵を使って暗号化された暗号鍵を復号するとともに、当該鍵を使って暗号化されたファイル名と添付ファイルとを復号する（ステップＳ４６）。そして、対応する文書表示プログラムを使って添付ファイルを図示しない液晶ディスプレイ等の表示手段に表示する。
【００３０】
以上のように、実施形態１のウィルス感染及び機密情報漏洩防止対策システムによれば、次のような効果がある。
・機密用仮想マシン１５では、受信した電子メールにおける添付ファイルが暗号化されているので、ファイルの中身にアクセスすることはできない。したがって、コンピュータ１１がウィルスに感染することはない。その結果、機密情報の漏洩や破壊を防止することができる。
【００３１】
また、機密用仮想マシン１５上のメールクライアント１９で添付ファイルの表示を指示した場合、自動的に一般用仮想マシン１４側で表示されるので、表示の手間が増えることはない。したがって、従来通り、一つのメールクライアント１９を利用して、使い勝手を変えることなくインターネットを介して受信した電子メールと社内の機密電子メールとを送受信することができる。
【００３２】
（実施形態２）
実施形態１では、ウィルスに感染している可能性のある添付ファイルの安全な表示方法について説明した。本実施形態では、ウィルスが含まれている可能性のあるＷｅｂページの安全な表示方法について説明する。
図５に示すように、本実施形態に係るウィルス感染及び機密情報漏洩防止対策システムは、ウィルス感染及び機密情報漏洩防止対策コンピュータ（以下、単に「コンピュータ」という。）２１、社内Ｗｅｂサーバ２２、インターネット２３を介して相互に通信可能に接続されている社外Ｗｅｂサーバ２４を備えている。
【００３３】
図５に示すように、コンピュータ２１は、一般用仮想マシン２５、機密用仮想マシン２６、Ｗｅｂゲートウェイ２７、制御手段としてのＣＰＵ２８を備えている。一般用仮想マシン２５及び機密用仮想マシン２６は、それぞれ異なるＯＳにより独立して動作するように構成されている。
一般用仮想マシン２５は、Ｗｅｂページを閲覧するためのアプリケーションソフトである一般用Ｗｅｂブラウザ２９によって、インターネット２３を介して社外Ｗｅｂサーバ２４等に直接アクセス可能である。そのため、ウィルスに感染するおそれがある。
【００３４】
一方、機密用仮想マシン２６は、機密用Ｗｅｂブラウザ３０によって社内Ｗｅｂサーバ２２には直接アクセスすることはできる。しかしながら、インターネット２３を介して社外Ｗｅｂサーバ２４等に直接アクセスすることはできないように構成されている。社外Ｗｅｂサーバ２４にアクセスする場合は、Ｗｅｂゲートウェイ２７を中継してアクセスするように構成されている。
【００３５】
次に、機密用仮想マシン２６上で動作する機密用Ｗｅｂブラウザ３０が社外Ｗｅｂサーバ２４にアクセスする場合の処理手順を示す。なお、以下の処理はハードディスク等の記憶手段に記憶されているプログラム等に基づいてＣＰＵ２８による制御のもとで実行される。
図６に示すように、まず、機密用仮想マシン２６上の機密用Ｗｅｂブラウザ３０は、アクセス先が社外であると判断した場合、プロキシサーバであるＷｅｂゲートウェイ２７にＵＲＬ（Uniform Resource Locator）を送信することで中継を依頼する（ステップＳ６１）。
【００３６】
次に、Ｗｅｂゲートウェイ２７は機密用仮想マシン２６上の機密用Ｗｅｂブラウザ３０から要求のあったＵＲＬを受け取る（ステップＳ６２）。次に、Ｗｅｂゲートウェイ２７は、機密用仮想マシン２６上の機密用Ｗｅｂブラウザ３０にエラーメッセージを返し、当該機密用Ｗｅｂブラウザ３０はエラーを表示する（ステップＳ６３）。次に、機密用仮想マシン２６上のＷｅｂゲートウェイは一般用仮想マシン２５で動作する呼出しプログラムにＵＲＬを転送する（ステップＳ６４）。
【００３７】
次に、一般用仮想マシン２５で動作する呼出しプログラムは転送されたＵＲＬを引数として一般用Ｗｅｂブラウザ２９を起動する（ステップＳ６５）。そして、一般用仮想マシン２５上の一般用Ｗｅｂブラウザ２９は社外Ｗｅｂサーバ２４に直接アクセスして、ＵＲＬに対応するページの画像や文書（Ｗｅｂデータ）等を、図示しない液晶ディスプレイ等の表示手段に表示する。
【００３８】
以上のように、実施形態２のウィルス感染及び機密情報漏洩防止対策システムによれば、次のような効果がある。
・機密用仮想マシン２６が社外Ｗｅｂサーバ２４にアクセスする場合は、Ｗｅｂゲートウェイ２７を中継してアクセスするように構成されている。そのため、機密用仮想マシン２６においてウィルスが含まれている可能性のあるＷｅｂページが表示されることを防止することができる。
【００３９】
なお、上記実施形態は、以下のように変更して実施してもよい。
実施形態１では、一般用仮想マシン１４と機密用仮想マシン１５とが同一コンピュータ１１上に存在する場合を示したが、二つの仮想マシン１４、１５は別々のコンピュータ上に存在してもよい。実施形態２についても同様である。
【００４０】
また、実施形態１におけるメールゲートウェイ１６やファイルゲートウェイ１７、実施形態２におけるＷｅｂゲートウェイ２７についても別々のコンピュータ上に存在してもよい。また、実施形態１における機密用仮想マシン１５について、仮想マシンを利用せず機密用計算機として構成、その上に一般用仮想マシン１４を構築し、メールゲートウェイ１６やファイルゲートウェイ１７を上記機密用計算機上で稼動させることも可能である。実施形態２についても同様である。
【００４１】
実施形態１では、暗号鍵を暗号化する場合や署名を生成する場合には公開鍵暗号を前提としていた。すなわち、公開鍵と秘密鍵、署名鍵と検証鍵とはそれぞれ対をなしていた。しかしながら、処理高速化のために、公開鍵ではなく秘密鍵暗号（共通鍵暗号もしくは対称鍵暗号）を用いても構わない。この場合、署名鍵と検証鍵とがメールゲートウェイ１６及びファイルゲートウェイ１７以外にアクセスすることができないこと、公開鍵及び秘密鍵がメールゲートウェイ１６及び表示プログラム以外のアクセスができないことが要件となる。
【００４２】
実施形態１では、電子メールの添付ファイルをメールゲートウェイ１６で暗号化し、署名して、表示の際にファイルゲートウェイ１７で署名検証し、表示プログラムが復号して表示していた。この仕組みは電子メールの添付ファイルに限らず、ファイル転送やインスタントメッセージでの添付ファイルにも応用することができる。
【００４３】
（実施形態３）
実施形態１では、ウィルスに感染している可能性のある添付ファイルの安全な表示方法について説明した。また、実施形態２では、ウィルスが含まれている可能性のあるＷｅｂページの安全な表示方法について説明した。本実施形態では、ウィルスが含まれている可能性のあるデータを扱うアプリケーションの安全な使用方法について説明する。
図７に示すように、本実施形態に係るウィルス感染及び機密情報漏洩防止対策システムは、ウィルス感染及び機密情報漏洩防止対策コンピュータ（以下、単に「コンピュータ」という。）３１、社内コンピュータ３２、インターネット３３を介してコンピュータ３１及び社内コンピュータ３２と相互に通信可能に接続されている社外コンピュータ３４を備えている。
【００４４】
図７に示すように、コンピュータ３１は、一般用仮想マシン３５、中継用仮想マシン３６、機密用仮想マシン３７、制御手段としてのＣＰＵ３８を備えている。一般用仮想マシン３５、中継用仮想マシン３６及び機密用仮想マシン３７は、それぞれ異なるＯＳにより独立して動作するように構成されている。
一般用仮想マシン３５では、アプリケーション３９が稼動する。本アプリケーション３９は、インターネット３３を介して社外コンピュータ３４に直接アクセス可能である。そのため、ウィルスに感染するおそれがある。
【００４５】
一方、中継用仮想マシン３６は、仮想端末４０によって仮想端末サーバ４１を介して一般用仮想マシン３５上のアプリケーション３９を操作することができる。仮想端末とは、仮想サーバからサーバマシンの画面情報を受取る一方、キーボードやマウス等の入力手段によって入力された入力情報をサーバに送信することで、クライアントからサーバマシンを遠隔操作するプログラムである。仮想端末の代表例として、LinuxやUNIX（登録商標）サーバを遠隔操作するTELNET、Windows（登録商標）を遠隔操作することができるRemote Desktop Protocol、MetaFrame、Virtual Network Computing等がある。
【００４６】
中継用仮想マシン３６は、一般用仮想マシン３５及び機密用仮想マシン３７のみ通信できるようになっている。さらに、本中継用仮想マシン３６上ではセキュアＯＳが稼動している。また、仮想端末４０と仮想端末サーバ４２とは論理的に分離されており、一方がウィルスに感染しても、他方まで感染が広がらないように構成されている。ここで、セキュアＯＳとは、セキュリティに関する機能を強化したＯＳであり、例としてはSecurity-Enhanced Linuxがある。
【００４７】
機密用仮想マシン３７は、仮想端末４３を使い仮想端末サーバ４２を介して中継用仮想マシン３６や社内コンピュータ３２にアクセスすることはできる。しかしながら、一般用仮想マシン３５やインターネット３３を介して社外コンピュータ３４等に直接アクセスすることはできないように構成されている。
機密用仮想マシン３７は、仮想端末４３を使い中継用仮想マシン３６上の仮想端末４０を操作して一般用仮想マシンを利用できる。
【００４８】
ＣＰＵ３８は、図示しないハードディスク等に記憶されているプログラム等に基づいて、一般用仮想マシン３５及び中継用仮想マシン３６及び機密用仮想マシン３７、その他コンピュータ３１全般の動作を制御する機能を有する。
そして、機密用仮想マシン３７がアプリケーション３９を利用する場合には、仮想端末サーバ４２及び仮想端末４０を中継してアプリケーション３９にアクセスする。なお、当該処理はハードディスク等の記憶手段に記憶されているプログラム等に基づいてＣＰＵ３８による制御のもとで実行される。
【００４９】
以上のように、実施形態３のウィルス感染及び機密情報漏洩防止対策システムによれば、以下のような効果がある。
・機密用仮想マシン３７がウィルス感染のおそれのあるアプリケーション３９を利用する場合は、中継用仮想マシン３６上の仮想端末サーバ４２と仮想端末４０とを中継してアクセスするように構成されている。そのため、アプリケーション３９により一般用仮想マシン３５がウィルスに感染、仮想端末サーバ４１を介して中継用仮想マシン３６上の仮想端末４０がウィルスに感染しても、セキュアＯＳの機能により、ウィルスはさらに拡大することはなく、仮想端末サーバ４２、さらに機密用仮想マシン３７がウィルス感染を防止することができる。
【００５０】
なお、上記実施形態は、以下のように変更して実施してもよい。
本実施形態では、三つの仮想マシンを一つのコンピュータ６１で稼動するように構成したが、仮想マシンを使用することなく、これら三つの仮想マシンをそれぞれ別々のコンピュータで構成するようにしてもよい。
【００５１】
（実施形態４）
実施形態１では、ウィルスに感染している可能性のある添付ファイルの安全な表示方法について説明した。続いて、添付ファイルを含んだメールを返信ないしは転送を可能とする形態について説明する。なお、本実施形態における基本構成は、実施形態１と同じであるため、ここでは省略する。
本文のみに対して返信や転送する場合には、本文は暗号化されていないので、通常通りの操作でメールクライアント１９を使って返信することができる。しかしながら、添付ファイルまで含めて返信ないしは転送しようとすると、暗号化されているために送信したとしても相手側では本文を読むことができない。
【００５２】
そこで、実施形態１で説明した添付ファイルそれぞれを暗号化、署名するのに加えて、メールゲートウェイ１６は、メール全体を暗号化、署名して、添付ファイルとして加える。この様子を図８に示す。元のメールはヘッダ４４と本文のテキスト４５と二つの添付ファイル４６と４７からなるものとする。実施形態１では、添付ファイルをそれぞれ暗号化、署名付与して、添付ファイル４８、４９とした。
これに加えて、本実施形態では、メールゲートウェイ１６は、図３におけるステップＳ３、Ｓ３４の処理とともにヘッダから添付ファイルまでのメール全体４４〜４７を暗号化して、署名を付与して添付する処理を実行するようにした。そして、当該暗号化されたメール全体５０は機密用仮想マシン１５に送信される。
【００５３】
添付ファイルを含めて返信または転送したい場合には、添付ファイルの最後にある暗号化署名付与されたメール全体５０を選んで添付ファイル表示する。すると、メールクライアント１９は実施形態１と同様にファイルゲートウェイ１７に送信、最終的には一般用仮想マシン１４でメール全体が表示されることになり、ここで、通常通り返信ないしは転送の操作を行えばよい。
【００５４】
以上のように、実施形態４のウィルス感染及び機密情報漏洩防止対策システムによれば、次のような効果がある。
・機密用仮想マシン１５上のメールクライアント１９でメール返信する場合には、メール全体の添付ファイルの表示を指示したのち、一般用仮想マシン１４で返信すればよく、従来の使い勝手を大きく変えることなくインターネットを介して受信した電子メールと社内の機密電子メールとを送受信することができる。
【００５５】
実施形態１と実施形態４とでは、メールの添付ファイルにウィルスが含まれていると仮定して、添付ファイルを暗号化しておくことで機密用計算機はウィルス感染しないようにしていた。しかし、ヘッダや本文にウィルスが含まれている可能性も否定できない。添付ファイルと同様に暗号化、署名付与する他に、テキストに規定の文字以外の文字が含まれていないか、一行の長さが規定に収まっているか等をチェックして、規定外の文字を特定の文字に置き換えるといった方法や、長すぎる行を規定の行数に収まるように改行するといった方法がある。
【図面の簡単な説明】
【００５６】
【図１】実施形態１の全体構成。
【図２】メールゲートウェイの動作を示すフローチャート。
【図３】添付ファイルの暗号化と署名付与処理示すフローチャート。
【図４】暗号化ファイルの表示処理を示すフローチャート。
【図５】実施形態２の全体構成。
【図６】機密用Ｗｅｂブラウザが社外サーバにアクセスするときの処理を示すフローチャート。
【図７】実施形態３の全体構成。
【図８】実施形態４の説明図。
【図９】従来技術の構成。
【符号の説明】
【００５７】
１４…一般用計算機としての一般用仮想マシン、１５…機密用計算機としての機密用仮想マシン、１６…第一ゲートウェイとしてのメールゲートウェイ、１７…第二ゲートウェイとしてのファイルゲートウェイ、１８、２８…制御手段としてのＣＰＵ、２７…ゲートウェイとしてのＷｅｂゲートウェイ、２４…Ｗｅｂサーバ。
【特許請求の範囲】
【請求項１】
一般情報を扱う一般用計算機と、
機密情報を扱う機密用計算機と、
ファイルを暗号化するとともに該ファイルに署名を付与して前記機密用計算機に送信する機能を有する第一ゲートウェイと、
前記機密用計算機から受け取ったファイルの署名を検証して前記一般用計算機に送信する機能を有する第二ゲートウェイと、
前記一般用計算機及び機密用計算機及び第一ゲートウェイ及び第二ゲートウェイにおけるファイルの送受信等を制御する制御手段と
を備えて構成されており、前記制御手段は、ネットワークを介して前記機密計算機にファイルを取り込む際には前記第一ゲートウェイを経由させ、該取り込まれたファイルを表示させる際には前記機密計算機から前記第二ゲートウェイにファイルを転送することを特徴とするウィルス感染及び機密情報漏洩防止対策システム。
【請求項２】
一般情報を扱う一般用計算機と、
機密情報を扱う機密用計算機と、
前記機密用計算機からのＷｅｂサーバへのアクセス要求に対してエラーを返しアクセス要求先に関する情報を前記機密用計算機に転送するゲートウェイと、
前記一般用計算機及び機密用計算機及びゲートウェイにおけるＷｅｂデータの送受信等を制御する制御手段と
を備えて構成されており、前記制御手段は、前記機密用計算機からネットワークに接続されているＷｅｂサーバにアクセスする際には前記ゲートウェイを介してアクセスさせるとともに、前記一般用計算機にアクセス要求先を送信し、前記一般用計算機から前記ネットワークに接続されているＷｅｂサーバにアクセスさせることを特徴とするウィルス感染及び機密情報漏洩防止対策システム。
【請求項３】
一般情報を扱う一般用計算機と、
機密情報を扱う機密用計算機と、
前記一般用計算機及び前記機密用計算機のみ通信可能であって、セキュアＯＳが稼動する中継用計算機と、
前記中継用計算機上の仮想端末及び仮想端末サーバと、
前記機密用計算機上の仮想端末と、
前記一般用計算機及び機密用計算機及び前記中継用計算機におけるデータの送受信等を制御する制御手段と
を備えて構成されており、前記セキュアＯＳは、前記中継用計算機上の仮想端末及び前記仮想端末サーバを論理的に分離するように構成されており、
前記制御手段は、前記機密計算機上の仮想端末において前記一般用計算機で稼働するアプリケーションを実行する場合には、前記中継用計算機上の仮想端末及び仮想端末サーバを中継して実行させることを特徴とするウィルス感染及び機密情報漏洩防止対策システム。
【請求項４】
前記第一ゲートウェイは、更に受信したメール全体を暗号化するとともに署名を付与したデータを前記機密用計算機に送信する機能を有する請求項１に記載のウィルス感染及び機密情報漏洩防止対策システム。
【請求項１】
一般情報を扱う一般用計算機と、
機密情報を扱う機密用計算機と、
ファイルを暗号化するとともに該ファイルに署名を付与して前記機密用計算機に送信する機能を有する第一ゲートウェイと、
前記機密用計算機から受け取ったファイルの署名を検証して前記一般用計算機に送信する機能を有する第二ゲートウェイと、
前記一般用計算機及び機密用計算機及び第一ゲートウェイ及び第二ゲートウェイにおけるファイルの送受信等を制御する制御手段と
を備えて構成されており、前記制御手段は、ネットワークを介して前記機密計算機にファイルを取り込む際には前記第一ゲートウェイを経由させ、該取り込まれたファイルを表示させる際には前記機密計算機から前記第二ゲートウェイにファイルを転送することを特徴とするウィルス感染及び機密情報漏洩防止対策システム。
【請求項２】
一般情報を扱う一般用計算機と、
機密情報を扱う機密用計算機と、
前記機密用計算機からのＷｅｂサーバへのアクセス要求に対してエラーを返しアクセス要求先に関する情報を前記機密用計算機に転送するゲートウェイと、
前記一般用計算機及び機密用計算機及びゲートウェイにおけるＷｅｂデータの送受信等を制御する制御手段と
を備えて構成されており、前記制御手段は、前記機密用計算機からネットワークに接続されているＷｅｂサーバにアクセスする際には前記ゲートウェイを介してアクセスさせるとともに、前記一般用計算機にアクセス要求先を送信し、前記一般用計算機から前記ネットワークに接続されているＷｅｂサーバにアクセスさせることを特徴とするウィルス感染及び機密情報漏洩防止対策システム。
【請求項３】
一般情報を扱う一般用計算機と、
機密情報を扱う機密用計算機と、
前記一般用計算機及び前記機密用計算機のみ通信可能であって、セキュアＯＳが稼動する中継用計算機と、
前記中継用計算機上の仮想端末及び仮想端末サーバと、
前記機密用計算機上の仮想端末と、
前記一般用計算機及び機密用計算機及び前記中継用計算機におけるデータの送受信等を制御する制御手段と
を備えて構成されており、前記セキュアＯＳは、前記中継用計算機上の仮想端末及び前記仮想端末サーバを論理的に分離するように構成されており、
前記制御手段は、前記機密計算機上の仮想端末において前記一般用計算機で稼働するアプリケーションを実行する場合には、前記中継用計算機上の仮想端末及び仮想端末サーバを中継して実行させることを特徴とするウィルス感染及び機密情報漏洩防止対策システム。
【請求項４】
前記第一ゲートウェイは、更に受信したメール全体を暗号化するとともに署名を付与したデータを前記機密用計算機に送信する機能を有する請求項１に記載のウィルス感染及び機密情報漏洩防止対策システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２００８−１９１７３１（Ｐ２００８−１９１７３１Ａ）
【公開日】平成２０年８月２１日（２００８．８．２１）
【国際特許分類】
【出願番号】特願２００７−２２５７９（Ｐ２００７−２２５７９）
【出願日】平成１９年２月１日（２００７．２．１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
【出願人】（０００２３３０５５）日立ソフトウエアエンジニアリング株式会社 (1,610)
【Ｆターム（参考）】
【公開日】平成２０年８月２１日（２００８．８．２１）
【国際特許分類】
【出願日】平成１９年２月１日（２００７．２．１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．Ｌｉｎｕｘ
【出願人】（０００２３３０５５）日立ソフトウエアエンジニアリング株式会社 (1,610)
【Ｆターム（参考）】
[ Back to top ]