JP2006094258A

JP2006094258A - 端末装置、そのポリシー強制方法およびそのプログラム

Info

Publication number: JP2006094258A
Application number: JP2004278893A
Authority: JP
Inventors: Mitsuhiro Shigematsu; 光浩重松; Keisuke Ishibashi; 圭介石橋; Tomohiro Fujisaki; 智宏藤崎; Katsuyasu Toyama; 勝保外山
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2004-09-27
Filing date: 2004-09-27
Publication date: 2006-04-06

Abstract

【課題】端末装置のネットワーク接続や利用に対してポリシーへの強制を行なうことによって、不正端末のネットワークへの接続や利用の拒否および通信内容の記録を実現する。
【解決手段】端末装置１０１はポリシーを保持するポリシー管理サーバ装置１０２との間で通信を行う。端末装置１０１は、ポリシー管理サーバ装置１０２と通信しポリシーを受信するポリシー受信手段１０５と、端末装置１０１内のポリシー受信手段１０５および通信を行うプロセスの稼働状態をポリシー管理サーバ装置１０２に送付し、ネットワーク接続許可を求める端末装置状態確認手段１０６と、ネットワーク接続許可後にポリシーに従い個別の通信の許可および不許可を行うポリシー実施手段１０８と、を備える。
【選択図】図１

Description

本発明は、端末装置のネットワーク接続や利用に対してポリシーの強制を行なう技術に関する。

暗号化されていない全通信を記録し検知・解析する技術は存在した。またＨＴＴＰ／ＳＭＴＰなど特定のプロトコルの特定の条件を備えた場合について、暗号化通信の内容を記録し検知・解析する技術も存在した。

例えば、特許文献１には、通信情報記録装置が、対象ネットワークを流れるデータストリームのデータを傍受し、傍受したデータを１回の通信文ずつ区分し、区分したデータに含まれる通信項目データを選択して解析結果データを作成し、解析結果データに検索データを付加して解析結果データベースに蓄積することにより、検索データに基づいて検索結果データを検索結果データベースから外部に選択的に読み出し、これにより対象ネットワークの通信結果を確認できるようにすることが記載されている。

このような従来技術においては、例えば、図２に示すように、組織外のネットワークから送られてきた通信文はイーサースイッチ２０２を経由してコンテンツ記録サーバ装置２０３に記録され、端末装置２０１はコンテンツ記録サーバ装置２０３から通信文を取得する。コンテンツ記録サーバ装置２０３においては、平文の通信の場合は平文で記録し、暗号文の通信は暗号文のまま記録し、組織内同士の通信については記録できない。

このように従来技術では、通信記録の取得をネットワークの途中で行い、端末装置にて行わなかったため、組織ポリシーに反する機器の接続、暗号化通信内容の記録・検知・解析を、ＨＴＴＰ／ＳＭＴＰ等一部のプロトコル以外に対して網羅的に適用することができなかった。

ＷＯ２００２／０２９５７９号公報

端末装置のネットワーク接続や利用に対してポリシー（例えば、当該端末装置が属する組織のポリシー）の強制を行なうことによって、不正端末のネットワークへの接続や利用の拒否および通信内容の記録を実現する。

第１の発明は、ポリシーを保持するポリシー管理サーバ装置との間で通信を行う端末装置であって、前記ポリシー管理サーバ装置と通信しポリシーを受信するポリシー受信手段と、端末装置内の前記ポリシー受信手段および通信を行うプロセスの稼働状態を前記ポリシー管理サーバ装置に送付し、ネットワーク接続許可を求める端末装置状態確認手段と、ネットワーク接続許可後に前記ポリシーに従い個別の通信の許可および不許可を行うポリシー実施手段と、を備えたことを特徴とする。第２の発明は、第１の発明において、前記端末装置状態確認手段が、耐タンパモジュールを利用した暗号署名手段を用いることを特徴とする。第３の発明は、第１または第２の発明において、暗号通信内容については平文にてコンテンツ記録サーバ装置に送信するポリシー実施手段を備えたことを特徴とする。第４の発明は、ポリシーを保持するポリシー管理サーバ装置との間で通信を行う端末装置におけるポリシー強制方法であって、前記端末装置はポリシー受信手段と端末装置状態確認手段とポリシー実施手段とを備え、前記ポリシー受信手段がポリシー管理サーバ装置と通信しポリシーを受信するポリシー受信ステップと、前記端末装置状態確認手段が端末装置内の前記ポリシー受信手段および通信を行うプロセスの稼働状態を前記ポリシー管理サーバ装置に送付し、ネットワーク接続許可を求める端末装置状態確認ステップと、前記ポリシー実施手段がネットワーク接続許可後に前記ポリシーに従い個別の通信の許可および不許可を行うポリシー実施ステップと、を有することを特徴とする。第５の発明は、第４の発明において、前記端末装置状態確認手段が、耐タンパモジュールを利用した暗号署名手段を用いることを特徴とする。第６の発明は、第４または第５の発明において、前記ポリシー実施手段が暗号通信内容については平文にてコンテンツ記録サーバ装置に送信するステップを有することを特徴とする。第７の発明は、第１ないし第３のうちのいずれかの発明の手段としてコンピュータを機能させるためのプログラムである。

端末装置のネットワーク接続や利用に対してポリシーの強制を行なうことによって、不正端末のネットワークへの接続や利用の拒否および通信内容の記録を実現できる。

本発明の好適な実施例を、図１に基づいて説明する。
図１において、１０１は端末装置であり、１０２はポリシーを保持するポリシー管理サーバ装置であり、１０３は端末装置１０１のネットワークとのアクセスを制御するアクセス制御装置であり、１０４は端末装置１０１が送信したコンテンツを記録するコンテンツ記録サーバ装置である。端末装置１０１はアクセス制御装置１０３を介して組織外のネットワークに接続されている。アクセス制御手段１０３は自組織のネットワークと組織外のネットワークの境界部分に設置こともできるし、自組織のネットワークの内部の比較的端末装置に近いところに設置することもできる。端末装置１０１は、ポリシー管理サーバ装置１０２と通信しポリシーを受信するポリシー受信手段１０５、端末装置１０１内のポリシー受信手段１０５やその他の通信を行うプロセスの稼働状態を端末装置１０１側で改変することなくポリシー管理サーバ装置１０２に送付しネットワーク接続許可を求める端末状態確認手段１０６、暗号処理および署名処理を行う暗号署名手段１０７、ネットワーク接続許可後にポリシーに従い個別の通信の許可および不許可を行うポリシー実施手段１０８を備える。ポリシー実施手段１０８は、平文のコンテンツの場合はそのまま、暗号化されたコンテンツの場合は平文に変換して、コンテンツ記録サーバ装置１０４へ送信する。なお、コンテンツ記録サーバ装置１０４は、アクセス制御装置１０３より端末装置１０１側においてもよいし、アクセス制御装置１０３の外側においてもよい。また、端末装置１０１が図示していないアプリケーションプログラムやＯＳ等を備えたコンピュータであることはいうまでもない。

端末装置１０１の起動時にポリシー受信手段１０５はポリシー管理サーバ装置１０２にアクセスして、その時点での最新のポリシーを受信する。ポリシーはヴァージョン番号を伴い、具体的には、ウィルス定義ファイル、ＩＤＳ（侵入検知システム）のシグネチャー（不正アクセスや攻撃パターンのデータベース）、および当該端末装置１０１が他のどういう通信相手とどのようなプロトコルで通信できるのかを記したアクセスリスト、当該端末装置１０１で動作することが許される通信を行うプロセス名の一覧などが記載されている。

端末装置状態確認手段１０６は、まずポリシー受信手段１０５より当該端末装置１０１で動作することが許される通信を行うプロセスの一覧とポリシーのヴァージョン番号を受け取る。端末装置１０１で動作するプロセスのうちで通信を行うプロセスについて、先ほど受け取った動作を許されたプロセスであるかどうかのチェックを行い、全てＯＫならＯＫ、一つでも許可されないプロセスがあればＮＧという状態を保存する。プロセスが通信を行うかどうかは、プロセスが現に確保しているソケットや発行するシステムコールを監視することにより知ることができる。この確認動作は、起動時、およびその後、通信を行なうプロセスが起動するたびに行なう。なお、端末装置１０１で動作するプロセスとは端末装置１０１内で実行されるプログラムである。

端末装置状態確認手段１０６は、ポリシー管理サーバ装置１０２に対して、ポリシーのヴァージョン番号と先ほどのＯＫ／ＮＧの結果を渡す。しかし、これは端末装置を悪意の操作者が扱っていれば偽造されかねず、また、通信途中での盗聴や改ざん、悪意の操作者による妨害等の可能性もある。そこで、端末装置状況確認手段１０６は暗号署名手段１０７を用いて、操作者の確認、通信途中での盗聴や改ざんの防止、悪意の操作者による妨害の防止等を行う。

まず正しい操作者が扱っていることが保障されない場合は、操作者ごとに秘密鍵をあたえ、上記の結果を署名させることにより確認できる。また通信途中で悪意の他者が盗聴したり改ざんする可能性を想定する場合は、上記で署名した結果を、ポリシー管理サーバ装置１０２の公開鍵で暗号化し、暗号文を送信することによって回避される。

さらに、正しい操作者が悪意をもって本実施例のシステムの稼働を妨げる不正な端末を接続する場合を想定するなら、耐タンパモジュールに操作者の秘密鍵と端末装置状態確認手段１０６の一部を書き込んでおき、上記の署名暗号化手順を覗き見られない形で行えばよい。これは、端末装置状態確認手段１０６を構成するプログラムが全て逆アセンブル可能な状態でＨＤＤに置かれていると、プログラムの動作を解析し、ポリシー受信手段１０５の稼働状態を偽造してポリシー管理サーバ装置１０２に送付することが可能となるからである。そこで、読み出し不能な耐タンパモジュールに、端末装置状態確認手段１０６の一部（例えば参照するデータの一部等）をわけて保持すれば、このような悪意の操作者による妨害を防ぐことができるのである。なお、耐タンパモジュールとは外部からの情報読出しと改ざんを防止する機能を有するモジュール（例えばＩＣカード）のことである。

確認した結果を受け取ったポリシー管理サーバ装置１０２は、次の１）〜３）のいずれかを行う。
１）ヴァージョン最新かつ状態がＯＫなら、アクセス制御装置１０３に、当該端末装置１０１のネットワーク接続を許可または緩和するように伝える。
２）ヴァージョンが最新でなくかつ状態がＯＫなら、ポリシー受信手段１０５に最新ポリシーを送付しなおす。
３）ＮＧなら、当該端末装置１０１のネットワーク接続緩和を許可せず、許可しなかった旨をポリシー受信手段に伝える。

アクセス制御装置１０３がポリシー管理サーバ１０２から上記の１）により当該端末装置１０１のネットワーク接続を許可または緩和する通知を受けた場合、アクセス制御装置１０３は、ＶＬＡＮの切り替えやパケットフィルタの書き替えによって、当該端末装置１０１のネットワーク接続を許可したり、当該端末装置１０１のアクセス条件を緩和させる。なお、１）による許可または緩和以前の端末装置１０１のアクセス可能範囲をアクセス制御装置１０３の配下に限定するようにする形態ばかりでなく、例えば、アクセス制御装置１０３を自組織のネットワーク内の端末装置１０１に近いところに実装し、１）による許可または緩和以前にも端末装置１０１が自組織内ならばアクセスできるようにしてもよい。

ポリシー実施手段１０８は、ポリシー受信手段１０５よリポリシーを受け取る。そして、ネットワーク接続が許可または緩和されている間は、受け取ったポリシーに従い当該端末装置１０１が送受信するパケットの通信の可否を判定する。ウィルスチェック、ＩＤＳ、アクセスリスト動作については、端末装置１０１内で従来技術によって動作させることができる。

暗号化通信を行なうプロセスについては、平文の通信内容を取得できるインターフェース（ＡＰＩ）をもつプロセスのみ、すなわち暗号文の平文をポリシー実施手段１０８が取得可能なプロセスのみをポリシーによって許可する。このインターフェースから取得した平文通信内容をコンテンツ記録サーバ装置１０４に送付することによって、この端末装置１０１が送受信する通信内容は暗号化されたものも含めて、平文通信内容をコンテンツ記録サーバ装置１０４に送信しもれなく記録することが可能となる。またコンテンツ記録サーバ装置１０４において、記録された平文通信内容の中から、従来技術をもちいて、送受信すべきではない通信内容の検知なども実現できる。送受信すべきでない通信内容は流出してはいけない社内の機密情報等であり、例えば、「社外秘」というキーワードが入るファイルを添付したメールなどが社外に転送されているのを検知することができる。

要するに、本発明の実施例においては次のように端末装置におけるポリシー強制が行われる。端末装置１０１に本実施例の前記手段を実現するソフトウェアを導入し組織のポリシー管理サーバ装置１０２よりポリシーを取得させる。端末装置１０１の接続時や通信開始時には当該ソフトウェアの稼働、意図した最新ポリシーの反映、指定のアプリケーションの稼働／不稼働等の端末装置状態を確認し、端末装置使用者には取り出せない秘密鍵を用いて署名しネットワークに送信する。そして、端末装置１０１へのポリシー強制が確認できた段階で、ＶＬＡＮの切り替えやパケットフィルタリングの書き換えによって、ネットワーク接続を許可したり、アクセス条件を緩和させる。また、暗号通信内容の平文のコピーをネットワーク上のコンテンツ記録サーバ装置１０４に同報することで、従来技術を用いて暗号通信情報の平文での記録を行い、暗号通信されている場合を含めて、ある特定内容の通信を、実時間で検知したり、後ほど解析を行うことができる。

本実施例の端末装置１０１、ポリシー管理サーバ装置１０２、コンテンツ記録サーバ装置１０４はコンピュータとプログラムによっても構成することができる。

以上、本発明者によってなされた発明を、前記実施例に基づき具体的に説明したが、本発明は、前記実施例に限定されるものではなく、その要旨を逸脱しない範囲において種々変更可能であることは勿論である。

本発明の一実施例を示す図である。従来技術の構成を示す図である。

符号の説明

１０１…端末装置、１０２…ポリシー管理サーバ装置、１０３…アクセス制御装置、１０４…コンテンツ記録サーバ装置、１０５…ポリシー受信手段、１０６…端末装置状態確認手段、１０７…暗号署名手段、１０８…ポリシー実施手段、２０１…端末装置、２０２…イーサースイッチ、２０３…コンテンツ記録サーバ装置

Claims

ポリシーを保持するポリシー管理サーバ装置との間で通信を行う端末装置であって、
前記ポリシー管理サーバ装置と通信しポリシーを受信するポリシー受信手段と、
端末装置内の前記ポリシー受信手段および通信を行うプロセスの稼働状態を前記ポリシー管理サーバ装置に送付し、ネットワーク接続許可を求める端末装置状態確認手段と、
ネットワーク接続許可後に前記ポリシーに従い個別の通信の許可および不許可を行うポリシー実施手段と、
を備えたことを特徴とする端末装置。
前記端末装置状態確認手段が、耐タンパモジュールを利用した暗号署名手段を用いることを特徴とする請求項１記載の端末装置。
暗号通信内容については平文にてコンテンツ記録サーバ装置に送信するポリシー実施手段を備えたことを特徴とする請求項１または２記載の端末装置。
ポリシーを保持するポリシー管理サーバ装置との間で通信を行う端末装置におけるポリシー強制方法であって、
前記端末装置はポリシー受信手段と端末装置状態確認手段とポリシー実施手段とを備え、
前記ポリシー受信手段がポリシー管理サーバ装置と通信しポリシーを受信するポリシー受信ステップと、
前記端末装置状態確認手段が端末装置内の前記ポリシー受信手段および通信を行うプロセスの稼働状態を前記ポリシー管理サーバ装置に送付し、ネットワーク接続許可を求める端末装置状態確認ステップと、
前記ポリシー実施手段がネットワーク接続許可後に前記ポリシーに従い個別の通信の許可および不許可を行うポリシー実施ステップと、
を有することを特徴とするポリシー強制方法。
前記端末装置状態確認手段が、耐タンパモジュールを利用した暗号署名手段を用いることを特徴とする請求項４記載のポリシー強制方法。
前記ポリシー実施手段が暗号通信内容については平文にてコンテンツ記録サーバ装置に送信するステップを有することを特徴とする請求項４または５記載のポリシー強制方法。
請求項１ないし３のうちのいずれか１項に記載の手段としてコンピュータを機能させるためのプログラム。