ネットワーク保護プログラム、ネットワーク保護装置およびネットワーク保護方法
【課題】保護対象のネットワークおよびコンピュータを、ネットワークの外部からの脅威のみならず、内部からの脅威からも好適に保護することを課題とする。
【解決手段】コンピュータ１を、認証サーバ３によって認証されていないコンピュータ１とネットワーク４、５との間の通信制限を、認証サーバ３との間で認証情報を交換して認証を受けることで解除する認証手段と、通信制限が解除された後にＮＩＣ１５を介して行われる通信のうち、少なくともネットワーク４、５とコンピュータ１との間の通信を監視し、通信量または通信内容が所定の条件に合致するか否かを判定することで異常通信を検出する検出手段と、検出手段によって異常通信が検出された場合に、ＮＩＣ１５を介した通信を遮断する遮断手段と、として機能させるネットワーク保護プログラム８を提供する。
【解決手段】コンピュータ１を、認証サーバ３によって認証されていないコンピュータ１とネットワーク４、５との間の通信制限を、認証サーバ３との間で認証情報を交換して認証を受けることで解除する認証手段と、通信制限が解除された後にＮＩＣ１５を介して行われる通信のうち、少なくともネットワーク４、５とコンピュータ１との間の通信を監視し、通信量または通信内容が所定の条件に合致するか否かを判定することで異常通信を検出する検出手段と、検出手段によって異常通信が検出された場合に、ＮＩＣ１５を介した通信を遮断する遮断手段と、として機能させるネットワーク保護プログラム８を提供する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークを外部または内部からの脅威から保護するための技術に関する。
【背景技術】
【０００２】
ネットワーク認証に関する技術として、従来、生体情報に基づいて生成された仮想ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを用いて認証を行い、この仮想ＭＡＣアドレスに基づいて通信の可否を判断する、認証技術がある。
【特許文献１】特開２００７−５２７４３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ホテルや学校など、多数のユーザにパーソナルコンピュータを使用させ、ネットワーク上のサービスを提供する必要があるネットワークでは、多数のユーザが使用することから、セキュリティ上の問題が多く発生する。ここで、インターネット等外部のネットワークからの脅威に対しては、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の内部ネットワークをファイアウォール等で保護することが可能である。
【０００４】
しかし、ＬＡＮの内部からの脅威からネットワークやネットワーク上のコンピュータを保護することは困難である。従来、ＬＡＮの内部からの脅威に対応するために、登録または認証されたパーソナルコンピュータのみに対してネットワークへの接続を許可する技術が用いられているが、このような技術によっても、ネットワークへの接続が許可されているパーソナルコンピュータからコンピュータウイルスが拡散したり、ネットワークサービスの提供が不能となる程度の異常な量のパケットが発生したり、といった事態を防ぐことは困難であった。
【０００５】
本発明は、上記した問題に鑑み、保護対象のネットワークおよびコンピュータを、ネットワークの外部からの脅威のみならず、内部からの脅威からも好適に保護することを課題とする。
【課題を解決するための手段】
【０００６】
本発明は、上記した課題を解決するために、認証済みコンピュータによる通信を監視し、異常検出時に該当するコンピュータをネットワークから隔離することで、保護対象のネットワークおよびコンピュータを、ネットワークの外部からの脅威のみならず、内部からの脅威からも好適に保護することを可能にした。
【０００７】
詳細には、本発明は、ネットワークインターフェースを備えるコンピュータを、認証サーバによって認証されていないコンピュータと所定のネットワークとの間の通信制限を、該認証サーバとの間で認証情報を交換して認証を受けることで解除する認証手段と、前記通信制限が解除された後に前記ネットワークインターフェースを介して行われる通信のうち、少なくとも前記所定のネットワークと該コンピュータとの間の通信を監視し、該通信の通信量または通信内容が所定の条件に合致するか否かを判定することで異常通信を検出する検出手段と、前記検出手段によって異常通信が検出された場合に、前記ネットワークインターフェースを介した通信を遮断する遮断手段と、として機能させるネットワーク保護プログラムである。
【０００８】
ここで、ネットワークインターフェースとは、コンピュータがネットワークを介して通信を行うためのインターフェースを指す。本発明では、ネットワークに接続しようとするコンピュータからの通信を、認証処理が完了するまで制限し、認証が完了して通信が開始された後は、このコンピュータに係る通信を監視し、異常が検出された場合にこのコンピュータ側で通信を遮断することで、コンピュータを外部からの脅威から保護するのみならず、コンピュータが加害側となってネットワークや他のコンピュータに被害を与えること防止することを可能とした。
【０００９】
また、前記遮断手段は、前記ネットワークインターフェースの機能を無効化することで、前記ネットワークインターフェースによる通信を遮断してもよい。
【００１０】
また、前記遮断手段は、前記ネットワークインターフェースに接続されたネットワーク回線を物理的に切り離すことで、前記ネットワークインターフェースによる通信を遮断してもよい。ネットワーク回線を物理的に切り離すことで、コンピュータからネットワーク回線が引き抜かれた状態、即ち、コンピュータが完全にネットワークから隔離された状態とすることが出来、異常通信が検出された場合にもネットワークおよびコンピュータを完全に保護することが可能となる。
【００１１】
また、本発明は、上記プログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。
【００１２】
更に、本発明は、上記ネットワーク保護プログラムが記録された記録媒体と、前記コンピュータが前記記録媒体から前記ネットワーク保護プログラムを読み出すためのインターフェースと、を備えるネットワーク保護装置であってもよい。このネットワーク保護装置をユーザに配布して使用させることで、このネットワーク保護装置をコンピュータに接続し、ネットワーク保護プログラムを実行して認証を受けなければ利用が出来ないネットワークを構築し、ネットワークおよび他のコンピュータを保護することが可能となる。
【００１３】
更に、本発明は、コンピュータが実行する方法としても把握することが可能である。
【発明の効果】
【００１４】
本発明によって、保護対象のネットワークおよびコンピュータを、ネットワークの外部からの脅威のみならず、内部からの脅威からも好適に保護することが可能となる。
【発明を実施するための最良の形態】
【００１５】
本発明の実施の形態について、図面に基づいて説明する。
【００１６】
＜第一の実施形態＞
図１は、本実施形態に係るネットワークの概略構成を示す図である。本実施形態に係るネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワークであり、ネットワーク制御装置２、認証サーバ３、パーソナルコンピュータ１が接続されることで構成されたＬＡＮ４である。また、ＬＡＮ４は、ネットワーク制御装置２およびゲートウェイ６を介してインターネット５に接続されている。なお、図中では全て有線ネットワークとして記載されているが、適宜無線回線が選択されてもよい。無線回線が選択された場合、後述する通信の遮断や回線の切り離しは、無線通信ユニットの機能の無効化（停止）や、電波の受発信の停止、等によって行われるものとする。
【００１７】
ネットワーク制御装置２は、パケットの送信元ＩＰアドレスまたは宛先ＩＰアドレスを
参照し、このＩＰアドレスに基づいてパケットの転送、廃棄等を行う装置であり、所謂Ｌ３スイッチ（Ｌａｙｅｒ ３ Ｓｗｉｔｃｈ）等を用いて構成することができる。本実施形態において、ネットワーク制御装置２は、ネットワークおよびパーソナルコンピュータ１の保護のため、後述する認証サーバ３によって認証されたパーソナルコンピュータ１によって送受信されるパケット、または認証サーバ３とパーソナルコンピュータ１間の認証用パケットを除いて全て廃棄する。このようにすることで、ネットワーク制御装置２に接続されたパーソナルコンピュータ１を悪意ある攻撃等から保護することは勿論、ネットワーク制御装置２に接続されたパーソナルコンピュータ１がコンピュータウイルス等を拡散させたり、悪意ある攻撃等を他のコンピュータに対して行ったりすることを防止できる。なお、ネットワーク制御装置２は、認証されたパーソナルコンピュータ１によって送受信されるパケットについては廃棄せずに転送する。ネットワーク制御装置２は、転送対象となるパケットを判別するため、認証済みのパーソナルコンピュータ１のＩＰアドレスのリスト（以下、「認証済みリスト」と称する）を管理する。
【００１８】
認証サーバ３は、ネットワーク制御装置２に接続されたパーソナルコンピュータ１の認証を行う。ネットワーク制御装置２は、未認証のパーソナルコンピュータ１から送信された認証サーバ３宛のパケットについては認証サーバ３へ転送を行うため、パーソナルコンピュータ１は、ＬＡＮ４内の他のパーソナルコンピュータ１や、インターネット５に接続できない状態であっても、認証サーバ３に接続して認証を受けることが出来る。更に、認証サーバ３は、認証したパーソナルコンピュータ１を識別する情報（本実施形態では、認証したパーソナルコンピュータ１のＩＰアドレス）をネットワーク制御装置２へ通知する。ネットワーク制御装置２は、認証サーバ３より通知された認証済みのＩＰアドレスをリストとして保持し、この認証済みリストに保持されるＩＰアドレスが送信元または宛先に設定されたパケットのみを中継する。
【００１９】
図２は、本実施形態に係るパーソナルコンピュータ１の構成の概略を示す図である。パーソナルコンピュータ１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２等の主記憶装置、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）１３等の補助記憶装置、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１４、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１５等のネットワークインターフェース、およびＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）インターフェース１６を有するコンピュータである。なお、本実施形態において、ネットワークインターフェースは、ＩＥＥＥ８０２．３規格に準拠したＮＩＣ１５であるが、本発明においてパーソナルコンピュータ１が有するネットワークインターフェースは、この方式に限定されない。例えば、有線方式であっても無線方式であってもよいし、ＡＤＳＬモデム、ＣＡＴＶモデム、ＦＴＴＨモデム等、一般的なＬＡＮに接続する方式以外の方式に対応するネットワークインターフェースが採用されてもよい。
【００２０】
また、ＵＳＢインターフェース１６には、ネットワーク保護装置７が接続される。ネットワーク保護装置７は、ＵＳＢインターフェース７１と、本発明に係るネットワーク保護プログラム８が記録されたＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ
Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）７２とを有する、所謂ＵＳＢメモリである。ここで、ＥＥＰＲＯＭ７２の内容はＵＳＢインターフェース７１、１６を介してＣＰＵ１１から読み出し可能である。また、ネットワーク保護プログラム８には、パーソナルコンピュータ１において実行されているＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）が自動実行の対象として認識することで自動的にＲＡＭ１２に展開されて実行されるようなファイル名が付されることが好ましい。なお、ＯＳの自動実行機能が無効化されている場合、ユーザは、ネットワークを介したサービスを受けるために、パーソナルコンピュータ１を操作してネットワーク保護プログラム８を指定して実行させる必要がある。自動実行機能が無効化されている場合であっても、ネットワーク保護プログラム８を実行しなければネットワ
ーク制御装置２によって通信が遮断され、セキュリティは保たれる。
【００２１】
図３は、本実施形態におけるネットワーク保護プログラム８の構成を示す図である。ネットワーク保護プログラム８は、未認証のコンピュータを認証サーバ３に認証させるための認証プログラム８１と、認証後の通信を監視するための監視プログラム８２と、通信を遮断する必要がある場合に、ネットワークインターフェースの無効化を行うための遮断プログラム８３と、を含む。更に、監視プログラム８２は、通信量を監視するための通信量監視プログラム８２１と、通信のパターンや通信に含まれるデータの内容を監視する通信内容監視プログラム８２２とからなる。これらの各プログラムがＲＡＭ１２に展開され、ＣＰＵ１１によって解釈、処理されることで、コンピュータは、本発明に係る認証手段、検出手段および遮断手段を備えるパーソナルコンピュータ１として動作する。
【００２２】
図４は、本実施形態における認証処理の流れを示すシーケンス図である。パーソナルコンピュータ１は、認証を受けていない状態で、認証サーバ３とのみ通信が可能である。図４に示すように、ネットワーク制御装置２は、送信元アドレスが未認証のアドレスであり、且つ宛先アドレスが認証サーバ３宛以外であるパケットを転送せずに廃棄する。
【００２３】
ステップＳ１０１では、ネットワーク保護装置７がパーソナルコンピュータ１のＵＳＢインターフェース１６に挿入されたことが検出される。ＣＰＵ１１は、ＯＳの備える外部機器検出プログラムを実行することにより、ネットワーク保護装置７が挿入されたことを検出する。その後、処理はステップＳ１０２へ進む。
【００２４】
ステップＳ１０２では、ネットワーク保護プログラム８が展開、起動される。ＣＰＵ１１は、ＵＳＢインターフェース７１、１６を介してＥＥＰＲＯＭ７２に記録されたネットワーク保護プログラム８を読み出し、ＲＡＭ１２に展開する。そして、ＲＡＭ１２に展開されたネットワーク保護プログラム８の実行を開始する。その後、処理はステップＳ１０３へ進む。
【００２５】
ステップＳ１０３では、認証処理が行われる。ＣＰＵ１１は、認証プログラム８１を実行することによって、認証サーバ３へ接続し、認証を受ける。具体的には、予め認証プログラム８１に設定されているか、ネットワーク制御装置２等から通知された認証サーバ３のアドレスへＮＩＣ１５を介して接続パケットを送信し、その後認証サーバ３との間で認証情報を交換することで、認証を受ける。なお、本実施形態では認証の手段としてＳＳＨ（Ｓｅｃｕｒｅ ＳＨｅｌｌ）の公開鍵認証を用いることとする。但し、認証方式には、ＳＳＨに限らず、Ｋｅｒｂｅｒｏｓ等の他の方式が採用されてもよいし、認証に用いる鍵についても、公開鍵に限らず、パスワード、ワンタイムパスワード、または指紋等の生体情報が用いられてもよい。その後、処理はステップＳ１０４へ進む。
【００２６】
ステップＳ１０４では、認証されたＩＰアドレスがネットワーク制御装置２へ通知される。認証サーバ３は、ステップＳ１０３で認証したパーソナルコンピュータ１のＩＰアドレスを、ネットワーク制御装置２へ通知する。認証済みＩＰアドレスの通知を受けたネットワーク制御装置２は、通知されたＩＰアドレスを認証済みリストに登録する。
【００２７】
ステップＳ１０５では、パーソナルコンピュータ１による通信の監視が開始される。ＣＰＵ１１は、監視プログラム８２を実行することで、パーソナルコンピュータ１と他のコンピュータとの通信の監視を開始する。通信監視処理の内容については、図５を用いて後述する。
【００２８】
以降、パーソナルコンピュータ１は、ＬＡＮ４およびインターネット５と通信を行うことが可能となる。パーソナルコンピュータ１のＩＰアドレスは、ステップＳ１０４でネッ
トワーク制御装置２の認証済みリストに登録されている。このため、これ以降、ネットワーク制御装置２は、パーソナルコンピュータ１のＩＰアドレスが送信元に設定されたパケットを、ＬＡＮ４上の他のパーソナルコンピュータ１や、インターネット５へ転送し、また、ＬＡＮ４上の他のパーソナルコンピュータ１やインターネット５より受信したパケットのうち、パーソナルコンピュータ１のＩＰアドレスが宛先に設定されたパケットを、パーソナルコンピュータ１に転送する。これによって、ユーザは、パーソナルコンピュータ１を使用して、ＬＡＮ４上の他のコンピュータと通信を行うことや、インターネット５において提供されている各種サービスの提供を受けることが出来る。
【００２９】
なお、ステップ１０４では、通知されたＩＰアドレスに加えて、このＩＰアドレスに対応するＭＡＣアドレス（即ち、パーソナルコンピュータ１のＭＡＣアドレス）についても認証済みリストに登録することとしてもよい。そして、ＬＡＮ４上の他のパーソナルコンピュータ１や、インターネット５へ送信されるパケットについては、送信元のＩＰアドレスとＭＡＣアドレスとの両方が認証済みリストに登録されているか否かを判定するようにすることで、ＩＰアドレスの詐称による認証処理の回避を防止することが可能となる。
【００３０】
図５は、本実施形態における通信監視処理の流れを示す図である。図５に示された処理は、パーソナルコンピュータ１が認証処理を完了したことを契機として開始される。
【００３１】
ステップＳ２０１では、通信量および通信内容が取得される。ＣＰＵ１１は、監視プログラム８２を実行することによって、ＮＩＣ１５を介して送受信されるパケットの量および内容を取得する。これらの情報は、ＮＩＣ１５より直接取得してもよいし、ＲＡＭ１２内の送受信用バッファより取得してもよい。但し、本発明は、異常通信を遮断することを目的としているため、可能な限り、通信の流れにおける上流側で情報を取得し、異常通信が送信または受信されてしまうことを早い段階で食い止めるようにすることが好ましい。具体的には、パーソナルコンピュータ１から送信されようとしているパケットに係る情報は、ＲＡＭ１２の送信用バッファ（即ち、ＮＩＣ１５よりも上流側）より取得されることが好ましいし、パーソナルコンピュータ１によって受信されようとしているパケットに係る情報は、ＮＩＣ１５（即ち、ＲＡＭ１２の受信用バッファよりも上流側）より取得されることが好ましい。その後、処理はステップＳ２０２へ進む。
【００３２】
ステップＳ２０２では、通信量が所定の閾値を超えているか否かが判定される。ＣＰＵ１１は、通信量監視プログラム８２１を実行することによって、ステップＳ２０１で取得された通信量と、予め設定された所定の閾値とを比較することで、パーソナルコンピュータ１がＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃等の対象となっていないか、または、逆にパーソナルコンピュータ１がＤｏＳ攻撃の拠点や、異常な量の電子メールの送信元となっていないかを判定する。なお、ここで判定の基準となる通信量は、単位時間当たりのパケット数や、単位時間当たりのデータ量等である。通信量が閾値を超えていると判定された場合、処理はステップＳ２０４へ進む。通信量が閾値を超えていないと判定された場合、処理はステップＳ２０３へ進む。
【００３３】
ステップＳ２０３では、通信内容に問題があるか否かが判定される。ＣＰＵ１１は、通信内容監視プログラム８２２を実行することによって、ステップＳ２０１で取得されたパケットの内容や、パケット送受信のパターンを、予め定義されたデータの特徴や送受信パターンの特徴と比較して、一致または類似する場合には、パーソナルコンピュータ１が悪意ある攻撃の対象となっているか、またはパーソナルコンピュータ１が悪意ある攻撃の拠点となっていると判断する。ここで、予め定義された特徴とは、コンピュータウイルス検出ソフトウェアにおいて従来使用されているウイルス定義ファイルや、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）において従来使用されている攻撃パターン定義ファイル等である。通信内容に問題があると判定された場合、処理はステップＳ
２０４へ進む。通信内容に問題がないと判定された場合、処理はステップＳ２０１へ進む。即ち、ＣＰＵ１１は、ステップＳ２０１からステップＳ２０３の処理を繰り返し実行することで、通信内容の監視を行う。
【００３４】
ステップＳ２０４では、通信の遮断が行われる。ＣＰＵ１１は、遮断プログラム８３を実行し、ＮＩＣ１５に対してこのＮＩＣ１５の機能を停止する設定を行うことにより、ＮＩＣ１５の機能を無効化し、パーソナルコンピュータ１においてＮＩＣ１５を介して行われている一切の通信を遮断する。なお、ＮＩＣ１５の機能を無効化する方法としては、上述のＮＩＣ１５に対して動作を停止するように設定する方法の他に、ＮＩＣ１５を制御するためのドライバを停止する方法や、後述するＮＩＣ１５を物理的に切り離す方法等が採用されてもよい。ステップＳ２０２およびステップＳ２０３において通信量または通信内容の問題が検出されたことを受けて、即座にＮＩＣ１５の機能を無効化することにより、パーソナルコンピュータ１をＬＡＮ４およびインターネット５から隔離し、パーソナルコンピュータ１が被害を受けること、またはパーソナルコンピュータ１が加害側となって他のコンピュータに被害を与えることを防止することが出来る。その後、本フローチャートに示された処理は終了する。
【００３５】
なお、ステップＳ１０３の認証処理は、一旦認証処理が完了した後も、定期的に実行されることが好ましい。これは、認証完了後にネットワーク保護プログラム８の実行を止めてしまい、通信の監視が行われずに通信の遮断が不可能となってしまうことを防止するためである。認証サーバ３は、所定時間以上、再認証が行われなかったパーソナルコンピュータ１のアドレスをネットワーク制御装置２に通知して、認証済みリストから削除させる。このようにすることで、所定時間以上再認証が行われなかったパーソナルコンピュータ１はネットワーク保護プログラム８が実行していないものと判断し、ＬＡＮおよびインターネットへの通信をネットワーク制御装置において遮断することが可能である。
【００３６】
本実施形態に係るシステムは、ホテル内のネットワークや、学校内のネットワークに適用することが可能である。例えば、ホテルの客室に設置されたパーソナルコンピュータまたは宿泊客が持ち込んだ私物のパーソナルコンピュータをネットワーク制御装置に接続することで宿泊客にネットワーク上のサービスを利用させる場合に、チェックイン時に渡されるネットワーク保護装置７をパーソナルコンピュータのＵＳＢインターフェースに挿入してネットワーク保護プログラム８を実行しない限りネットワーク上のサービスを利用できず、且つサービス利用中に問題が発生した場合に、該当するパーソナルコンピュータを即座にネットワークから隔離することが可能である。ここで、上記実施形態におけるＬＡＮ４は、ホテル内ＬＡＮに相当する。
【００３７】
＜第二の実施形態＞
また、本発明は、特にネットバンキングに適した構成のネットワークに適用することが可能である。図６は、本実施形態におけるネットバンキングシステムの構成の概略を示す図である。顧客のパーソナルコンピュータ１と銀行のネットバンキングサイト４ｂ、４ｃは、インターネット５およびゲートウェイ６を介して接続されている。ここで、ネットバンキングサイトは、本実施形態におけるネットワーク制御装置２ｂであるファイアウォールによって、所謂ＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）である認証用ネットワーク４ｂと、脅威からの保護対象であるサービス提供ネットワーク４ｃとに分割されている。
【００３８】
ネットワーク制御装置２ｂは、認証サーバ３ｂによって認証済みのパーソナルコンピュータ以外からの通信を、サービス提供ネットワーク４ｃへ中継せずに破棄する。このためユーザは、パーソナルコンピュータ１をインターネット５に接続したのみの状態（未認証の状態）では、ネットバンキングサービスを受けることができない。
【００３９】
ここで、ユーザは、取引先の銀行より提供されたネットワーク保護装置７ｂ（構成は上記第一の実施形態のネットワーク保護装置７と概略同様である）をパーソナルコンピュータ１のＵＳＢインターフェース１６に挿入し、ネットワーク保護プログラム８を実行して認証サーバ３ｂより認証を受ける（図４のステップＳ１０１からＳ１０３に相当）。認証処理の完了後、認証サーバ３ｂはネットワーク制御装置２ｂに認証済みのＩＰアドレスを通知することで、認証済みパーソナルコンピュータ１のＩＰアドレスをネットワーク制御装置２ｂの認証済みリストに追加させる（図４のステップＳ１０４に相当）。以降、ネットワーク制御装置２ｂによって、パーソナルコンピュータ１のＩＰアドレスが送信元または宛先に設定されたパケットが中継されるため、ユーザは、パーソナルコンピュータ１とサービス提供サーバ９とを通信させて、ネットバンキングサービスを受けることが出来る。
【００４０】
ここでも、上記第一の実施形態と同様に、パーソナルコンピュータ１のＣＰＵ１１は、監視プログラム８２を実行することで、パーソナルコンピュータ１の通信量、通信内容を監視する（図４のステップＳ１０５に相当）。異常が検出された場合に、パーソナルコンピュータ１のＮＩＣ１５の機能を無効化し、パーソナルコンピュータ１をネットワークから切り離す点についても、第一の実施形態と同様である（図５を参照）。
【００４１】
このようにすることで、サービス提供サーバ９およびサービス提供ネットワーク４ｃを保護し、加えてユーザに安全なネットバンキングサービスを提供することが可能となる。具体的には、パーソナルコンピュータ１から大量のトラフィックが発生してサービス提供サーバ９およびサービス提供ネットワーク４ｃを攻撃することを防止し、ネットバンキングサービス利用中にパーソナルコンピュータ１が外部から攻撃を受けることを防止することが出来る。
【００４２】
更に、このような実施形態においては、通信内容監視プログラム８２２による監視の対象に、ユーザの個人情報やパスワード等の重要情報を加えることで、重要情報の流出を防止出来る。例えば、暗号化されていない個人情報やパスワードがパーソナルコンピュータ１から外部に送信されようとしている場合や、フィッシング（Ｐｈｉｓｈｉｎｇ）サイト等の偽装サイトに対して情報の送信が行われようとしている場合に、即座にＮＩＣ１５の機能を無効とし、情報の送信を強制的に停止することで、重要な情報の流出を防止することが可能である。また、ネットバンキングに必要となる重要情報を、ＵＳＢメモリとしての機能も兼ね備えるネットワーク保護装置７ｂのＥＥＰＲＯＭに保存するようにすることで、重要情報をより強固に保護することが出来る。即ち、ネットワーク保護装置７ｂを挿入していない状態ではパーソナルコンピュータ１上に重要情報が保存されておらず、且つネットワーク保護装置７ｂを挿入している状態ではネットワーク保護プログラム８によって情報の流出が防止されるため、重要情報の流出を防止する目的において大きな効果を得ることが出来る。
【００４３】
＜その他の実施形態＞
上記第一の実施形態および第二の実施形態においては、ＮＩＣ１５の機能を無効化することによって、パーソナルコンピュータ１をネットワークから隔離することとしていたが、監視プログラム８２によって異常が検出された場合にパーソナルコンピュータ１をネットワークから隔離する方法としては、上記第一および第二の実施形態共に、その他の方法が採用されてもよい。例えば、パーソナルコンピュータのマザーボード上にＮＩＣを物理的に切り離すブレーカ機能を実装し、ＣＰＵからの指令によって即座に通信を遮断する方法や、ＮＩＣ自体にネットワークケーブルとの接続を物理的に切り離すブレーカ機能を実装し、ＣＰＵからの指令によって即座に通信を遮断する方法が採用されてもよい。但し、このような方法を採用するためには、パーソナルコンピュータが専用のハードウェア構成
を備える必要がある。このため、ユーザの私物であるパーソナルコンピュータに対してこの方法を適用するのは困難である。ここで、既存のパーソナルコンピュータ１に対してブレーカ機能を提供するために、以下に示す構成を採用することとしてもよい。
【００４４】
図７は、本実施形態におけるブレーカ機能を備えたネットワーク保護装置の概略構成を示す図である。ネットワーク保護装置７ｃは、第一の実施形態と同様に、ＵＳＢインターフェース７１と、このＵＳＢインターフェース７１を介してデータが読み出されるＥＥＰＲＯＭ７２とを備え、ＥＥＰＲＯＭ７２にはネットワーク保護プログラム８が記録されている。本実施形態におけるネットワーク保護装置７ｃは、更にネットワーク回線ブレーカ７３を備える点において特徴を有する。ネットワーク回線ブレーカ７３は、初期状態ではネットワーク回線を物理的に接続した状態で提供される。なお、本実施形態において、パーソナルコンピュータ１とネットワーク保護装置７ｃとのインターフェースはＵＳＢインターフェースおよびＩＥＥＥ８０２．３規格に準拠したインターフェースであるが、本発明を実施する上で採用し得るインターフェースは、これらの方式に限定されない。例えば、有線／無線方式、シリアル／パラレル方式、ＩＥＥＥ８０２．１５、ＡＤＳＬモデム、ＣＡＴＶモデム、ＦＴＴＨモデム等、図７に示された方式以外のインターフェースが採用されてもよい。
【００４５】
以下に、ホテル等における顧客へのインターネット接続サービスに、上記ネットワーク保護装置７ｃを用いる場合の具体的な実施形態を説明する。ネットワークの構成は、第一の実施形態において説明したものと同様である（図１を参照）。即ち、ネットワーク回線４１をパーソナルコンピュータ１のＮＩＣ１５に接続したのみではネットワーク制御装置２（図示は省略する）によって接続が遮断され、インターネットに接続できない。インターネットに接続するためには、更にネットワーク保護装置７ｃのＵＳＢインターフェース７１をパーソナルコンピュータ１のＵＳＢインターフェース１６に接続し、ネットワーク保護プログラム８をＥＥＰＲＯＭ７２より読み出して実行し、認証サーバ３（図示は省略する）によって認証をうける必要がある。認証サーバ３は、認証済みのパーソナルコンピュータ１のＩＰアドレスをネットワーク制御装置２に通知して通信制限を解除させることで、ネットワーク制御装置２にパケットの中継を許可させ、顧客がパーソナルコンピュータ１を使用してインターネットへ接続することを可能とする。
【００４６】
図８は、本実施形態における通信監視処理の流れを示す図である。図８に示された処理は、パーソナルコンピュータ１が認証処理を完了したことを契機として開始される。ステップＳ３０１からステップＳ３０３に示す処理は、第一の実施形態において説明したステップＳ２０１からステップＳ２０３に示す処理と概略同様であるため、説明を省略する。
【００４７】
ステップＳ３０４では、ネットワーク回線ブレーカ７３によって物理回線が切り離される。ＣＰＵ１１は、遮断プログラム８３を実行し、ＵＳＢインターフェース１６、７１を介してネットワーク回線ブレーカ７３に回線切断信号を送信する（図中の破線矢印を参照）。回線切断信号を受けたネットワーク回線ブレーカ７３は、ネットワーク回線を物理的に切り離すことによって、パーソナルコンピュータ１をネットワークから完全に隔離する。即ち、本実施形態に拠れば、異常な通信が検出された場合に、即座にパーソナルコンピュータ１からネットワーク回線が引き抜かれた状態と同じ状態でパーソナルコンピュータ１をネットワークから隔離することが可能となる。
【００４８】
なお、以上説明したネットワーク回線ブレーカは、ＮＩＣ１５から独立して直列に接続され、ネットワーク回線を物理的に切り離された状態とすることで、通信に係る電気信号を遮断するものであるが、ネットワーク回線ブレーカは、ＮＩＣ１５に内蔵され、ＮＩＣ１５内の電気信号を遮断するものであってもよい。
【図面の簡単な説明】
【００４９】
【図１】実施形態に係るネットワークの概略構成を示す図である。
【図２】実施形態に係るパーソナルコンピュータの構成の概略を示す図である。
【図３】実施形態におけるネットワーク保護プログラムの構成を示す図である。
【図４】実施形態における認証処理の流れを示すシーケンス図である。
【図５】実施形態における通信監視処理の流れを示す図である。
【図６】本実施形態におけるネットバンキングシステムの構成の概略を示す図である。
【図７】実施形態におけるブレーカ機能を備えたネットワーク保護装置の概略構成を示す図である。
【図８】実施形態における通信監視処理の流れを示す図である。
【符号の説明】
【００５０】
１ パーソナルコンピュータ
２ ネットワーク制御装置
３ 認証サーバ
７ ネットワーク保護装置
８ ネットワーク保護プログラム
１１ ＣＰＵ
１２ ＲＡＭ
１５ ＮＩＣ
１６ ＵＳＢインターフェース
７１ ＵＳＢインターフェース
７２ ＥＥＰＲＯＭ
７３ ネットワーク回線ブレーカ
８１ 認証プログラム
８２ 監視プログラム
８３ 遮断プログラム
【技術分野】
【０００１】
本発明は、ネットワークを外部または内部からの脅威から保護するための技術に関する。
【背景技術】
【０００２】
ネットワーク認証に関する技術として、従来、生体情報に基づいて生成された仮想ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスを用いて認証を行い、この仮想ＭＡＣアドレスに基づいて通信の可否を判断する、認証技術がある。
【特許文献１】特開２００７−５２７４３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ホテルや学校など、多数のユーザにパーソナルコンピュータを使用させ、ネットワーク上のサービスを提供する必要があるネットワークでは、多数のユーザが使用することから、セキュリティ上の問題が多く発生する。ここで、インターネット等外部のネットワークからの脅威に対しては、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等の内部ネットワークをファイアウォール等で保護することが可能である。
【０００４】
しかし、ＬＡＮの内部からの脅威からネットワークやネットワーク上のコンピュータを保護することは困難である。従来、ＬＡＮの内部からの脅威に対応するために、登録または認証されたパーソナルコンピュータのみに対してネットワークへの接続を許可する技術が用いられているが、このような技術によっても、ネットワークへの接続が許可されているパーソナルコンピュータからコンピュータウイルスが拡散したり、ネットワークサービスの提供が不能となる程度の異常な量のパケットが発生したり、といった事態を防ぐことは困難であった。
【０００５】
本発明は、上記した問題に鑑み、保護対象のネットワークおよびコンピュータを、ネットワークの外部からの脅威のみならず、内部からの脅威からも好適に保護することを課題とする。
【課題を解決するための手段】
【０００６】
本発明は、上記した課題を解決するために、認証済みコンピュータによる通信を監視し、異常検出時に該当するコンピュータをネットワークから隔離することで、保護対象のネットワークおよびコンピュータを、ネットワークの外部からの脅威のみならず、内部からの脅威からも好適に保護することを可能にした。
【０００７】
詳細には、本発明は、ネットワークインターフェースを備えるコンピュータを、認証サーバによって認証されていないコンピュータと所定のネットワークとの間の通信制限を、該認証サーバとの間で認証情報を交換して認証を受けることで解除する認証手段と、前記通信制限が解除された後に前記ネットワークインターフェースを介して行われる通信のうち、少なくとも前記所定のネットワークと該コンピュータとの間の通信を監視し、該通信の通信量または通信内容が所定の条件に合致するか否かを判定することで異常通信を検出する検出手段と、前記検出手段によって異常通信が検出された場合に、前記ネットワークインターフェースを介した通信を遮断する遮断手段と、として機能させるネットワーク保護プログラムである。
【０００８】
ここで、ネットワークインターフェースとは、コンピュータがネットワークを介して通信を行うためのインターフェースを指す。本発明では、ネットワークに接続しようとするコンピュータからの通信を、認証処理が完了するまで制限し、認証が完了して通信が開始された後は、このコンピュータに係る通信を監視し、異常が検出された場合にこのコンピュータ側で通信を遮断することで、コンピュータを外部からの脅威から保護するのみならず、コンピュータが加害側となってネットワークや他のコンピュータに被害を与えること防止することを可能とした。
【０００９】
また、前記遮断手段は、前記ネットワークインターフェースの機能を無効化することで、前記ネットワークインターフェースによる通信を遮断してもよい。
【００１０】
また、前記遮断手段は、前記ネットワークインターフェースに接続されたネットワーク回線を物理的に切り離すことで、前記ネットワークインターフェースによる通信を遮断してもよい。ネットワーク回線を物理的に切り離すことで、コンピュータからネットワーク回線が引き抜かれた状態、即ち、コンピュータが完全にネットワークから隔離された状態とすることが出来、異常通信が検出された場合にもネットワークおよびコンピュータを完全に保護することが可能となる。
【００１１】
また、本発明は、上記プログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。
【００１２】
更に、本発明は、上記ネットワーク保護プログラムが記録された記録媒体と、前記コンピュータが前記記録媒体から前記ネットワーク保護プログラムを読み出すためのインターフェースと、を備えるネットワーク保護装置であってもよい。このネットワーク保護装置をユーザに配布して使用させることで、このネットワーク保護装置をコンピュータに接続し、ネットワーク保護プログラムを実行して認証を受けなければ利用が出来ないネットワークを構築し、ネットワークおよび他のコンピュータを保護することが可能となる。
【００１３】
更に、本発明は、コンピュータが実行する方法としても把握することが可能である。
【発明の効果】
【００１４】
本発明によって、保護対象のネットワークおよびコンピュータを、ネットワークの外部からの脅威のみならず、内部からの脅威からも好適に保護することが可能となる。
【発明を実施するための最良の形態】
【００１５】
本発明の実施の形態について、図面に基づいて説明する。
【００１６】
＜第一の実施形態＞
図１は、本実施形態に係るネットワークの概略構成を示す図である。本実施形態に係るネットワークは、ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）ネットワークであり、ネットワーク制御装置２、認証サーバ３、パーソナルコンピュータ１が接続されることで構成されたＬＡＮ４である。また、ＬＡＮ４は、ネットワーク制御装置２およびゲートウェイ６を介してインターネット５に接続されている。なお、図中では全て有線ネットワークとして記載されているが、適宜無線回線が選択されてもよい。無線回線が選択された場合、後述する通信の遮断や回線の切り離しは、無線通信ユニットの機能の無効化（停止）や、電波の受発信の停止、等によって行われるものとする。
【００１７】
ネットワーク制御装置２は、パケットの送信元ＩＰアドレスまたは宛先ＩＰアドレスを
参照し、このＩＰアドレスに基づいてパケットの転送、廃棄等を行う装置であり、所謂Ｌ３スイッチ（Ｌａｙｅｒ ３ Ｓｗｉｔｃｈ）等を用いて構成することができる。本実施形態において、ネットワーク制御装置２は、ネットワークおよびパーソナルコンピュータ１の保護のため、後述する認証サーバ３によって認証されたパーソナルコンピュータ１によって送受信されるパケット、または認証サーバ３とパーソナルコンピュータ１間の認証用パケットを除いて全て廃棄する。このようにすることで、ネットワーク制御装置２に接続されたパーソナルコンピュータ１を悪意ある攻撃等から保護することは勿論、ネットワーク制御装置２に接続されたパーソナルコンピュータ１がコンピュータウイルス等を拡散させたり、悪意ある攻撃等を他のコンピュータに対して行ったりすることを防止できる。なお、ネットワーク制御装置２は、認証されたパーソナルコンピュータ１によって送受信されるパケットについては廃棄せずに転送する。ネットワーク制御装置２は、転送対象となるパケットを判別するため、認証済みのパーソナルコンピュータ１のＩＰアドレスのリスト（以下、「認証済みリスト」と称する）を管理する。
【００１８】
認証サーバ３は、ネットワーク制御装置２に接続されたパーソナルコンピュータ１の認証を行う。ネットワーク制御装置２は、未認証のパーソナルコンピュータ１から送信された認証サーバ３宛のパケットについては認証サーバ３へ転送を行うため、パーソナルコンピュータ１は、ＬＡＮ４内の他のパーソナルコンピュータ１や、インターネット５に接続できない状態であっても、認証サーバ３に接続して認証を受けることが出来る。更に、認証サーバ３は、認証したパーソナルコンピュータ１を識別する情報（本実施形態では、認証したパーソナルコンピュータ１のＩＰアドレス）をネットワーク制御装置２へ通知する。ネットワーク制御装置２は、認証サーバ３より通知された認証済みのＩＰアドレスをリストとして保持し、この認証済みリストに保持されるＩＰアドレスが送信元または宛先に設定されたパケットのみを中継する。
【００１９】
図２は、本実施形態に係るパーソナルコンピュータ１の構成の概略を示す図である。パーソナルコンピュータ１は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１２等の主記憶装置、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）１３等の補助記憶装置、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１４、ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１５等のネットワークインターフェース、およびＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）インターフェース１６を有するコンピュータである。なお、本実施形態において、ネットワークインターフェースは、ＩＥＥＥ８０２．３規格に準拠したＮＩＣ１５であるが、本発明においてパーソナルコンピュータ１が有するネットワークインターフェースは、この方式に限定されない。例えば、有線方式であっても無線方式であってもよいし、ＡＤＳＬモデム、ＣＡＴＶモデム、ＦＴＴＨモデム等、一般的なＬＡＮに接続する方式以外の方式に対応するネットワークインターフェースが採用されてもよい。
【００２０】
また、ＵＳＢインターフェース１６には、ネットワーク保護装置７が接続される。ネットワーク保護装置７は、ＵＳＢインターフェース７１と、本発明に係るネットワーク保護プログラム８が記録されたＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ
Ｐｒｏｇｒａｍｍａｂｌｅ ＲＯＭ）７２とを有する、所謂ＵＳＢメモリである。ここで、ＥＥＰＲＯＭ７２の内容はＵＳＢインターフェース７１、１６を介してＣＰＵ１１から読み出し可能である。また、ネットワーク保護プログラム８には、パーソナルコンピュータ１において実行されているＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）が自動実行の対象として認識することで自動的にＲＡＭ１２に展開されて実行されるようなファイル名が付されることが好ましい。なお、ＯＳの自動実行機能が無効化されている場合、ユーザは、ネットワークを介したサービスを受けるために、パーソナルコンピュータ１を操作してネットワーク保護プログラム８を指定して実行させる必要がある。自動実行機能が無効化されている場合であっても、ネットワーク保護プログラム８を実行しなければネットワ
ーク制御装置２によって通信が遮断され、セキュリティは保たれる。
【００２１】
図３は、本実施形態におけるネットワーク保護プログラム８の構成を示す図である。ネットワーク保護プログラム８は、未認証のコンピュータを認証サーバ３に認証させるための認証プログラム８１と、認証後の通信を監視するための監視プログラム８２と、通信を遮断する必要がある場合に、ネットワークインターフェースの無効化を行うための遮断プログラム８３と、を含む。更に、監視プログラム８２は、通信量を監視するための通信量監視プログラム８２１と、通信のパターンや通信に含まれるデータの内容を監視する通信内容監視プログラム８２２とからなる。これらの各プログラムがＲＡＭ１２に展開され、ＣＰＵ１１によって解釈、処理されることで、コンピュータは、本発明に係る認証手段、検出手段および遮断手段を備えるパーソナルコンピュータ１として動作する。
【００２２】
図４は、本実施形態における認証処理の流れを示すシーケンス図である。パーソナルコンピュータ１は、認証を受けていない状態で、認証サーバ３とのみ通信が可能である。図４に示すように、ネットワーク制御装置２は、送信元アドレスが未認証のアドレスであり、且つ宛先アドレスが認証サーバ３宛以外であるパケットを転送せずに廃棄する。
【００２３】
ステップＳ１０１では、ネットワーク保護装置７がパーソナルコンピュータ１のＵＳＢインターフェース１６に挿入されたことが検出される。ＣＰＵ１１は、ＯＳの備える外部機器検出プログラムを実行することにより、ネットワーク保護装置７が挿入されたことを検出する。その後、処理はステップＳ１０２へ進む。
【００２４】
ステップＳ１０２では、ネットワーク保護プログラム８が展開、起動される。ＣＰＵ１１は、ＵＳＢインターフェース７１、１６を介してＥＥＰＲＯＭ７２に記録されたネットワーク保護プログラム８を読み出し、ＲＡＭ１２に展開する。そして、ＲＡＭ１２に展開されたネットワーク保護プログラム８の実行を開始する。その後、処理はステップＳ１０３へ進む。
【００２５】
ステップＳ１０３では、認証処理が行われる。ＣＰＵ１１は、認証プログラム８１を実行することによって、認証サーバ３へ接続し、認証を受ける。具体的には、予め認証プログラム８１に設定されているか、ネットワーク制御装置２等から通知された認証サーバ３のアドレスへＮＩＣ１５を介して接続パケットを送信し、その後認証サーバ３との間で認証情報を交換することで、認証を受ける。なお、本実施形態では認証の手段としてＳＳＨ（Ｓｅｃｕｒｅ ＳＨｅｌｌ）の公開鍵認証を用いることとする。但し、認証方式には、ＳＳＨに限らず、Ｋｅｒｂｅｒｏｓ等の他の方式が採用されてもよいし、認証に用いる鍵についても、公開鍵に限らず、パスワード、ワンタイムパスワード、または指紋等の生体情報が用いられてもよい。その後、処理はステップＳ１０４へ進む。
【００２６】
ステップＳ１０４では、認証されたＩＰアドレスがネットワーク制御装置２へ通知される。認証サーバ３は、ステップＳ１０３で認証したパーソナルコンピュータ１のＩＰアドレスを、ネットワーク制御装置２へ通知する。認証済みＩＰアドレスの通知を受けたネットワーク制御装置２は、通知されたＩＰアドレスを認証済みリストに登録する。
【００２７】
ステップＳ１０５では、パーソナルコンピュータ１による通信の監視が開始される。ＣＰＵ１１は、監視プログラム８２を実行することで、パーソナルコンピュータ１と他のコンピュータとの通信の監視を開始する。通信監視処理の内容については、図５を用いて後述する。
【００２８】
以降、パーソナルコンピュータ１は、ＬＡＮ４およびインターネット５と通信を行うことが可能となる。パーソナルコンピュータ１のＩＰアドレスは、ステップＳ１０４でネッ
トワーク制御装置２の認証済みリストに登録されている。このため、これ以降、ネットワーク制御装置２は、パーソナルコンピュータ１のＩＰアドレスが送信元に設定されたパケットを、ＬＡＮ４上の他のパーソナルコンピュータ１や、インターネット５へ転送し、また、ＬＡＮ４上の他のパーソナルコンピュータ１やインターネット５より受信したパケットのうち、パーソナルコンピュータ１のＩＰアドレスが宛先に設定されたパケットを、パーソナルコンピュータ１に転送する。これによって、ユーザは、パーソナルコンピュータ１を使用して、ＬＡＮ４上の他のコンピュータと通信を行うことや、インターネット５において提供されている各種サービスの提供を受けることが出来る。
【００２９】
なお、ステップ１０４では、通知されたＩＰアドレスに加えて、このＩＰアドレスに対応するＭＡＣアドレス（即ち、パーソナルコンピュータ１のＭＡＣアドレス）についても認証済みリストに登録することとしてもよい。そして、ＬＡＮ４上の他のパーソナルコンピュータ１や、インターネット５へ送信されるパケットについては、送信元のＩＰアドレスとＭＡＣアドレスとの両方が認証済みリストに登録されているか否かを判定するようにすることで、ＩＰアドレスの詐称による認証処理の回避を防止することが可能となる。
【００３０】
図５は、本実施形態における通信監視処理の流れを示す図である。図５に示された処理は、パーソナルコンピュータ１が認証処理を完了したことを契機として開始される。
【００３１】
ステップＳ２０１では、通信量および通信内容が取得される。ＣＰＵ１１は、監視プログラム８２を実行することによって、ＮＩＣ１５を介して送受信されるパケットの量および内容を取得する。これらの情報は、ＮＩＣ１５より直接取得してもよいし、ＲＡＭ１２内の送受信用バッファより取得してもよい。但し、本発明は、異常通信を遮断することを目的としているため、可能な限り、通信の流れにおける上流側で情報を取得し、異常通信が送信または受信されてしまうことを早い段階で食い止めるようにすることが好ましい。具体的には、パーソナルコンピュータ１から送信されようとしているパケットに係る情報は、ＲＡＭ１２の送信用バッファ（即ち、ＮＩＣ１５よりも上流側）より取得されることが好ましいし、パーソナルコンピュータ１によって受信されようとしているパケットに係る情報は、ＮＩＣ１５（即ち、ＲＡＭ１２の受信用バッファよりも上流側）より取得されることが好ましい。その後、処理はステップＳ２０２へ進む。
【００３２】
ステップＳ２０２では、通信量が所定の閾値を超えているか否かが判定される。ＣＰＵ１１は、通信量監視プログラム８２１を実行することによって、ステップＳ２０１で取得された通信量と、予め設定された所定の閾値とを比較することで、パーソナルコンピュータ１がＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ）攻撃等の対象となっていないか、または、逆にパーソナルコンピュータ１がＤｏＳ攻撃の拠点や、異常な量の電子メールの送信元となっていないかを判定する。なお、ここで判定の基準となる通信量は、単位時間当たりのパケット数や、単位時間当たりのデータ量等である。通信量が閾値を超えていると判定された場合、処理はステップＳ２０４へ進む。通信量が閾値を超えていないと判定された場合、処理はステップＳ２０３へ進む。
【００３３】
ステップＳ２０３では、通信内容に問題があるか否かが判定される。ＣＰＵ１１は、通信内容監視プログラム８２２を実行することによって、ステップＳ２０１で取得されたパケットの内容や、パケット送受信のパターンを、予め定義されたデータの特徴や送受信パターンの特徴と比較して、一致または類似する場合には、パーソナルコンピュータ１が悪意ある攻撃の対象となっているか、またはパーソナルコンピュータ１が悪意ある攻撃の拠点となっていると判断する。ここで、予め定義された特徴とは、コンピュータウイルス検出ソフトウェアにおいて従来使用されているウイルス定義ファイルや、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）において従来使用されている攻撃パターン定義ファイル等である。通信内容に問題があると判定された場合、処理はステップＳ
２０４へ進む。通信内容に問題がないと判定された場合、処理はステップＳ２０１へ進む。即ち、ＣＰＵ１１は、ステップＳ２０１からステップＳ２０３の処理を繰り返し実行することで、通信内容の監視を行う。
【００３４】
ステップＳ２０４では、通信の遮断が行われる。ＣＰＵ１１は、遮断プログラム８３を実行し、ＮＩＣ１５に対してこのＮＩＣ１５の機能を停止する設定を行うことにより、ＮＩＣ１５の機能を無効化し、パーソナルコンピュータ１においてＮＩＣ１５を介して行われている一切の通信を遮断する。なお、ＮＩＣ１５の機能を無効化する方法としては、上述のＮＩＣ１５に対して動作を停止するように設定する方法の他に、ＮＩＣ１５を制御するためのドライバを停止する方法や、後述するＮＩＣ１５を物理的に切り離す方法等が採用されてもよい。ステップＳ２０２およびステップＳ２０３において通信量または通信内容の問題が検出されたことを受けて、即座にＮＩＣ１５の機能を無効化することにより、パーソナルコンピュータ１をＬＡＮ４およびインターネット５から隔離し、パーソナルコンピュータ１が被害を受けること、またはパーソナルコンピュータ１が加害側となって他のコンピュータに被害を与えることを防止することが出来る。その後、本フローチャートに示された処理は終了する。
【００３５】
なお、ステップＳ１０３の認証処理は、一旦認証処理が完了した後も、定期的に実行されることが好ましい。これは、認証完了後にネットワーク保護プログラム８の実行を止めてしまい、通信の監視が行われずに通信の遮断が不可能となってしまうことを防止するためである。認証サーバ３は、所定時間以上、再認証が行われなかったパーソナルコンピュータ１のアドレスをネットワーク制御装置２に通知して、認証済みリストから削除させる。このようにすることで、所定時間以上再認証が行われなかったパーソナルコンピュータ１はネットワーク保護プログラム８が実行していないものと判断し、ＬＡＮおよびインターネットへの通信をネットワーク制御装置において遮断することが可能である。
【００３６】
本実施形態に係るシステムは、ホテル内のネットワークや、学校内のネットワークに適用することが可能である。例えば、ホテルの客室に設置されたパーソナルコンピュータまたは宿泊客が持ち込んだ私物のパーソナルコンピュータをネットワーク制御装置に接続することで宿泊客にネットワーク上のサービスを利用させる場合に、チェックイン時に渡されるネットワーク保護装置７をパーソナルコンピュータのＵＳＢインターフェースに挿入してネットワーク保護プログラム８を実行しない限りネットワーク上のサービスを利用できず、且つサービス利用中に問題が発生した場合に、該当するパーソナルコンピュータを即座にネットワークから隔離することが可能である。ここで、上記実施形態におけるＬＡＮ４は、ホテル内ＬＡＮに相当する。
【００３７】
＜第二の実施形態＞
また、本発明は、特にネットバンキングに適した構成のネットワークに適用することが可能である。図６は、本実施形態におけるネットバンキングシステムの構成の概略を示す図である。顧客のパーソナルコンピュータ１と銀行のネットバンキングサイト４ｂ、４ｃは、インターネット５およびゲートウェイ６を介して接続されている。ここで、ネットバンキングサイトは、本実施形態におけるネットワーク制御装置２ｂであるファイアウォールによって、所謂ＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ Ｚｏｎｅ）である認証用ネットワーク４ｂと、脅威からの保護対象であるサービス提供ネットワーク４ｃとに分割されている。
【００３８】
ネットワーク制御装置２ｂは、認証サーバ３ｂによって認証済みのパーソナルコンピュータ以外からの通信を、サービス提供ネットワーク４ｃへ中継せずに破棄する。このためユーザは、パーソナルコンピュータ１をインターネット５に接続したのみの状態（未認証の状態）では、ネットバンキングサービスを受けることができない。
【００３９】
ここで、ユーザは、取引先の銀行より提供されたネットワーク保護装置７ｂ（構成は上記第一の実施形態のネットワーク保護装置７と概略同様である）をパーソナルコンピュータ１のＵＳＢインターフェース１６に挿入し、ネットワーク保護プログラム８を実行して認証サーバ３ｂより認証を受ける（図４のステップＳ１０１からＳ１０３に相当）。認証処理の完了後、認証サーバ３ｂはネットワーク制御装置２ｂに認証済みのＩＰアドレスを通知することで、認証済みパーソナルコンピュータ１のＩＰアドレスをネットワーク制御装置２ｂの認証済みリストに追加させる（図４のステップＳ１０４に相当）。以降、ネットワーク制御装置２ｂによって、パーソナルコンピュータ１のＩＰアドレスが送信元または宛先に設定されたパケットが中継されるため、ユーザは、パーソナルコンピュータ１とサービス提供サーバ９とを通信させて、ネットバンキングサービスを受けることが出来る。
【００４０】
ここでも、上記第一の実施形態と同様に、パーソナルコンピュータ１のＣＰＵ１１は、監視プログラム８２を実行することで、パーソナルコンピュータ１の通信量、通信内容を監視する（図４のステップＳ１０５に相当）。異常が検出された場合に、パーソナルコンピュータ１のＮＩＣ１５の機能を無効化し、パーソナルコンピュータ１をネットワークから切り離す点についても、第一の実施形態と同様である（図５を参照）。
【００４１】
このようにすることで、サービス提供サーバ９およびサービス提供ネットワーク４ｃを保護し、加えてユーザに安全なネットバンキングサービスを提供することが可能となる。具体的には、パーソナルコンピュータ１から大量のトラフィックが発生してサービス提供サーバ９およびサービス提供ネットワーク４ｃを攻撃することを防止し、ネットバンキングサービス利用中にパーソナルコンピュータ１が外部から攻撃を受けることを防止することが出来る。
【００４２】
更に、このような実施形態においては、通信内容監視プログラム８２２による監視の対象に、ユーザの個人情報やパスワード等の重要情報を加えることで、重要情報の流出を防止出来る。例えば、暗号化されていない個人情報やパスワードがパーソナルコンピュータ１から外部に送信されようとしている場合や、フィッシング（Ｐｈｉｓｈｉｎｇ）サイト等の偽装サイトに対して情報の送信が行われようとしている場合に、即座にＮＩＣ１５の機能を無効とし、情報の送信を強制的に停止することで、重要な情報の流出を防止することが可能である。また、ネットバンキングに必要となる重要情報を、ＵＳＢメモリとしての機能も兼ね備えるネットワーク保護装置７ｂのＥＥＰＲＯＭに保存するようにすることで、重要情報をより強固に保護することが出来る。即ち、ネットワーク保護装置７ｂを挿入していない状態ではパーソナルコンピュータ１上に重要情報が保存されておらず、且つネットワーク保護装置７ｂを挿入している状態ではネットワーク保護プログラム８によって情報の流出が防止されるため、重要情報の流出を防止する目的において大きな効果を得ることが出来る。
【００４３】
＜その他の実施形態＞
上記第一の実施形態および第二の実施形態においては、ＮＩＣ１５の機能を無効化することによって、パーソナルコンピュータ１をネットワークから隔離することとしていたが、監視プログラム８２によって異常が検出された場合にパーソナルコンピュータ１をネットワークから隔離する方法としては、上記第一および第二の実施形態共に、その他の方法が採用されてもよい。例えば、パーソナルコンピュータのマザーボード上にＮＩＣを物理的に切り離すブレーカ機能を実装し、ＣＰＵからの指令によって即座に通信を遮断する方法や、ＮＩＣ自体にネットワークケーブルとの接続を物理的に切り離すブレーカ機能を実装し、ＣＰＵからの指令によって即座に通信を遮断する方法が採用されてもよい。但し、このような方法を採用するためには、パーソナルコンピュータが専用のハードウェア構成
を備える必要がある。このため、ユーザの私物であるパーソナルコンピュータに対してこの方法を適用するのは困難である。ここで、既存のパーソナルコンピュータ１に対してブレーカ機能を提供するために、以下に示す構成を採用することとしてもよい。
【００４４】
図７は、本実施形態におけるブレーカ機能を備えたネットワーク保護装置の概略構成を示す図である。ネットワーク保護装置７ｃは、第一の実施形態と同様に、ＵＳＢインターフェース７１と、このＵＳＢインターフェース７１を介してデータが読み出されるＥＥＰＲＯＭ７２とを備え、ＥＥＰＲＯＭ７２にはネットワーク保護プログラム８が記録されている。本実施形態におけるネットワーク保護装置７ｃは、更にネットワーク回線ブレーカ７３を備える点において特徴を有する。ネットワーク回線ブレーカ７３は、初期状態ではネットワーク回線を物理的に接続した状態で提供される。なお、本実施形態において、パーソナルコンピュータ１とネットワーク保護装置７ｃとのインターフェースはＵＳＢインターフェースおよびＩＥＥＥ８０２．３規格に準拠したインターフェースであるが、本発明を実施する上で採用し得るインターフェースは、これらの方式に限定されない。例えば、有線／無線方式、シリアル／パラレル方式、ＩＥＥＥ８０２．１５、ＡＤＳＬモデム、ＣＡＴＶモデム、ＦＴＴＨモデム等、図７に示された方式以外のインターフェースが採用されてもよい。
【００４５】
以下に、ホテル等における顧客へのインターネット接続サービスに、上記ネットワーク保護装置７ｃを用いる場合の具体的な実施形態を説明する。ネットワークの構成は、第一の実施形態において説明したものと同様である（図１を参照）。即ち、ネットワーク回線４１をパーソナルコンピュータ１のＮＩＣ１５に接続したのみではネットワーク制御装置２（図示は省略する）によって接続が遮断され、インターネットに接続できない。インターネットに接続するためには、更にネットワーク保護装置７ｃのＵＳＢインターフェース７１をパーソナルコンピュータ１のＵＳＢインターフェース１６に接続し、ネットワーク保護プログラム８をＥＥＰＲＯＭ７２より読み出して実行し、認証サーバ３（図示は省略する）によって認証をうける必要がある。認証サーバ３は、認証済みのパーソナルコンピュータ１のＩＰアドレスをネットワーク制御装置２に通知して通信制限を解除させることで、ネットワーク制御装置２にパケットの中継を許可させ、顧客がパーソナルコンピュータ１を使用してインターネットへ接続することを可能とする。
【００４６】
図８は、本実施形態における通信監視処理の流れを示す図である。図８に示された処理は、パーソナルコンピュータ１が認証処理を完了したことを契機として開始される。ステップＳ３０１からステップＳ３０３に示す処理は、第一の実施形態において説明したステップＳ２０１からステップＳ２０３に示す処理と概略同様であるため、説明を省略する。
【００４７】
ステップＳ３０４では、ネットワーク回線ブレーカ７３によって物理回線が切り離される。ＣＰＵ１１は、遮断プログラム８３を実行し、ＵＳＢインターフェース１６、７１を介してネットワーク回線ブレーカ７３に回線切断信号を送信する（図中の破線矢印を参照）。回線切断信号を受けたネットワーク回線ブレーカ７３は、ネットワーク回線を物理的に切り離すことによって、パーソナルコンピュータ１をネットワークから完全に隔離する。即ち、本実施形態に拠れば、異常な通信が検出された場合に、即座にパーソナルコンピュータ１からネットワーク回線が引き抜かれた状態と同じ状態でパーソナルコンピュータ１をネットワークから隔離することが可能となる。
【００４８】
なお、以上説明したネットワーク回線ブレーカは、ＮＩＣ１５から独立して直列に接続され、ネットワーク回線を物理的に切り離された状態とすることで、通信に係る電気信号を遮断するものであるが、ネットワーク回線ブレーカは、ＮＩＣ１５に内蔵され、ＮＩＣ１５内の電気信号を遮断するものであってもよい。
【図面の簡単な説明】
【００４９】
【図１】実施形態に係るネットワークの概略構成を示す図である。
【図２】実施形態に係るパーソナルコンピュータの構成の概略を示す図である。
【図３】実施形態におけるネットワーク保護プログラムの構成を示す図である。
【図４】実施形態における認証処理の流れを示すシーケンス図である。
【図５】実施形態における通信監視処理の流れを示す図である。
【図６】本実施形態におけるネットバンキングシステムの構成の概略を示す図である。
【図７】実施形態におけるブレーカ機能を備えたネットワーク保護装置の概略構成を示す図である。
【図８】実施形態における通信監視処理の流れを示す図である。
【符号の説明】
【００５０】
１ パーソナルコンピュータ
２ ネットワーク制御装置
３ 認証サーバ
７ ネットワーク保護装置
８ ネットワーク保護プログラム
１１ ＣＰＵ
１２ ＲＡＭ
１５ ＮＩＣ
１６ ＵＳＢインターフェース
７１ ＵＳＢインターフェース
７２ ＥＥＰＲＯＭ
７３ ネットワーク回線ブレーカ
８１ 認証プログラム
８２ 監視プログラム
８３ 遮断プログラム
【特許請求の範囲】
【請求項１】
ネットワークインターフェースを備えるコンピュータを、
認証サーバによって認証されていないコンピュータと所定のネットワークとの間の通信制限を、該認証サーバとの間で認証情報を交換して認証を受けることで解除する認証手段と、
前記通信制限が解除された後に前記ネットワークインターフェースを介して行われる通信のうち、少なくとも前記所定のネットワークと該コンピュータとの間の通信を監視し、該通信の通信量または通信内容が所定の条件に合致するか否かを判定することで異常通信を検出する検出手段と、
前記検出手段によって異常通信が検出された場合に、前記ネットワークインターフェースを介した通信を遮断する遮断手段と、
として機能させるネットワーク保護プログラム。
【請求項２】
前記遮断手段は、前記ネットワークインターフェースの機能を無効化することで、前記ネットワークインターフェースによる通信を遮断する、
請求項１に記載のネットワーク保護プログラム。
【請求項３】
前記遮断手段は、前記ネットワークインターフェースに接続されたネットワーク回線を物理的に切り離すことで、前記ネットワークインターフェースによる通信を遮断する、
請求項１に記載のネットワーク保護プログラム。
【請求項４】
請求項１から３の何れかに記載のネットワーク保護プログラムが前記コンピュータによって読み取り可能に記録された記録媒体と、
前記コンピュータが前記記録媒体から前記ネットワーク保護プログラムを読み出すためのインターフェースと、
を備えるネットワーク保護装置。
【請求項５】
ネットワークインターフェースを備えるコンピュータに、
認証サーバによって認証されていないコンピュータと所定のネットワークとの間の通信制限を、該認証サーバとの間で認証情報を交換して認証を受けることで解除する認証ステップと、
前記通信制限が解除された後に前記ネットワークインターフェースを介して行われる通信のうち、少なくとも前記所定のネットワークと該コンピュータとの間の通信を監視し、該通信の通信量または通信内容が所定の条件に合致するか否かを判定することで異常通信を検出する検出ステップと、
前記検出ステップで異常通信が検出された場合に、前記ネットワークインターフェースを介した通信を遮断する遮断ステップと、
を実行させるネットワーク保護方法。
【請求項１】
ネットワークインターフェースを備えるコンピュータを、
認証サーバによって認証されていないコンピュータと所定のネットワークとの間の通信制限を、該認証サーバとの間で認証情報を交換して認証を受けることで解除する認証手段と、
前記通信制限が解除された後に前記ネットワークインターフェースを介して行われる通信のうち、少なくとも前記所定のネットワークと該コンピュータとの間の通信を監視し、該通信の通信量または通信内容が所定の条件に合致するか否かを判定することで異常通信を検出する検出手段と、
前記検出手段によって異常通信が検出された場合に、前記ネットワークインターフェースを介した通信を遮断する遮断手段と、
として機能させるネットワーク保護プログラム。
【請求項２】
前記遮断手段は、前記ネットワークインターフェースの機能を無効化することで、前記ネットワークインターフェースによる通信を遮断する、
請求項１に記載のネットワーク保護プログラム。
【請求項３】
前記遮断手段は、前記ネットワークインターフェースに接続されたネットワーク回線を物理的に切り離すことで、前記ネットワークインターフェースによる通信を遮断する、
請求項１に記載のネットワーク保護プログラム。
【請求項４】
請求項１から３の何れかに記載のネットワーク保護プログラムが前記コンピュータによって読み取り可能に記録された記録媒体と、
前記コンピュータが前記記録媒体から前記ネットワーク保護プログラムを読み出すためのインターフェースと、
を備えるネットワーク保護装置。
【請求項５】
ネットワークインターフェースを備えるコンピュータに、
認証サーバによって認証されていないコンピュータと所定のネットワークとの間の通信制限を、該認証サーバとの間で認証情報を交換して認証を受けることで解除する認証ステップと、
前記通信制限が解除された後に前記ネットワークインターフェースを介して行われる通信のうち、少なくとも前記所定のネットワークと該コンピュータとの間の通信を監視し、該通信の通信量または通信内容が所定の条件に合致するか否かを判定することで異常通信を検出する検出ステップと、
前記検出ステップで異常通信が検出された場合に、前記ネットワークインターフェースを介した通信を遮断する遮断ステップと、
を実行させるネットワーク保護方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【公開番号】特開２００８−２７６４５７（Ｐ２００８−２７６４５７Ａ）
【公開日】平成２０年１１月１３日（２００８．１１．１３）
【国際特許分類】
【出願番号】特願２００７−１１８４００（Ｐ２００７−１１８４００）
【出願日】平成１９年４月２７日（２００７．４．２７）
【出願人】（５００２８３０８８）株式会社 イオノス (3)
【Ｆターム（参考）】
【公開日】平成２０年１１月１３日（２００８．１１．１３）
【国際特許分類】
【出願日】平成１９年４月２７日（２００７．４．２７）
【出願人】（５００２８３０８８）株式会社 イオノス (3)
【Ｆターム（参考）】
[ Back to top ]