JP2006072682A - 中継装置及び通信システム及び通信方法及びプログラム - Google Patents

Abstract

【課題】 エージェントを備えていない端末の通信を制限するとともに、エージェントをインストールするように当該端末を誘導する。
【解決手段】 新規に端末２が接続された際に、Ｇａｔｅ装置１が当該端末２の通信を制限するとともに当該端末２にエージェントＳ／Ｗが備わっているか否かを判断し、エージェントＳ／Ｗが備わっていない場合に、エージェントＳ／Ｗを提供可能なエージェント管理サーバ４との通信のみ当該端末２に許可し、エージェント管理サーバ４から当該端末２にエージェントＳ／Ｗをインストールさせ、エージェントＳ／Ｗにより収集された端末情報を端末２からエージェント管理サーバ４を経由して管理装置５に送信させ、管理装置５において端末情報とインシデント情報とを照合して、端末２のネットワークアクセスの許否を判断し、管理装置５においてネットワークアクセスが許可された際に、Ｇａｔｅ装置１は端末２に対する通信制限を解除する。
【選択図】 図１

Description

本発明は、ネットワークにおけるセキュリティ管理を行うセキュリティ管理技術に関する。

企業内でコンピュータウィルス感染が広がるケースとして注目されているケースが、自宅へ持ち帰った際にコンピュータウィルスに感染したノートＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）を企業ネットワークに接続し、この結果、企業ネットワーク内のコンピュータがコンピュータウィルスに感染するようなケース（最近のコンピュータウィルスは電子メールなどの媒介手段を使わず、自身でネットワークに接続されている端末の脆弱性を探り出し、感染する）である。

このようなケースに対応するためには、以下の２つの事柄が重要である。
１）感染の可能性のある端末の通信をネットワークレベルで制限する。
２）接続されている端末のセキュリティレベル（脆弱性に対するパッチなど）を常に最新のものに保つ。セキュリティレベルが最新のものではない端末については、感染の可能性のある端末として分類し、上記１）の処置を施す。

上記１）については、ネットワークに接続する端末全てを一端、防疫サーバに接続させ、そこで、安全性を確認した後に、ネットワークへの参入を許可するシステムが販売されているが、これは、主に外部からのリモート接続端末を対象としており、企業内ネットワークのように接続端末の数が増加すると防疫サーバ側の処理が追いつかなくなる、イントラネット内で使用した場合に、端末と防疫サーバ間のネットワーク（社内網）で感染が広がる可能性があるという問題がある。また、上記２）については、端末にエージェントをインストールして情報を収集する特開２００２−１４９４３５号公報に開示のシステムなどがある。

特開２００２−１４９４３５号公報に開示のシステムは、コンピュータウィルス対策、ネットワーク内の情報資源への不正アクセス対策、ネットワークへの不正接続対策を一挙に解決することを目的にしており、各情報機器に、当該情報機器における資源の構成及び利用状況並びに利用者による利用状況を収集するエージェントと、コンピュータウィルスに対するワクチンを投入するウィルス検知手段とを実装し、さらにネットワーク内における情報機器の接続状況及びトラフィックを監視する監視装置とを配置した構成で、ウィルス検知手段に対し、所定時間間隔で新たなワクチンをダウンロードするステップと、エージェントが収集した情報機器の資源の構成及び利用状況の情報をインターネットを介して取得し、ネットワーク内における各情報機器の資源の構成及び利用状況を認識すると共に、不正利用および不正接続を検出するステップとを備えている。
特開２００２−１４９４３５号公報 ４ページ

特開２００２−１４９４３５号公報に示されたシステムでは、ネットワーク内部の感染、つまり、特開２００２−１４９４３５の図１における端末１１１から端末１１２への感染が防御できないという問題がある。また、端末にエージェントプログラムがインストールされていなかった場合、端末自体の検出は可能であるが、それ以降の有効な対策が打てない（例えば、図１のシステムにおいて、エージェントがインストールされていない端末１１１でもファイルサーバ１１３、１１４にアクセス可能である）という問題があった。

この発明は上記のような問題点を解決することを主な目的とし、イントラネット内部のコンピュータウィルス感染を防止するとともに、エージェントがインストールされていない端末の通信を制限するとともに、エージェントをインストールするように当該端末を誘導することによりシステム全体の安全性を向上させることを主な目的とする。

本発明に係る中継装置は、
特定のネットワークの外にある通信装置であって前記特定のネットワークとの通信が未許可である通信未許可装置を検知する通信未許可装置検知部と、
前記通信未許可装置検知部により検知された通信未許可装置に、通信未許可装置の装置状態に関する情報収集を行う情報収集機能が備わっているか否かを判断する情報収集機能判断部と、
前記情報収集機能判断部により前記通信未許可装置に情報収集機能が備わっていないと判断された場合に、前記通信未許可装置に情報収集機能を提供可能な情報収集機能提供装置に対して前記通信未許可装置に情報収集機能を提供するよう指示する情報収集機能提供指示を生成する指示生成部と、
前記指示生成部により生成された情報収集機能提供指示を前記情報収集機能提供装置に送信する通信部とを有することを有することを特徴とする。

本発明によれば、通信未許可装置に情報収集機能が備わっていない場合に、情報収集機能提供装置に対して当該通信未許可装置に情報収集機能を提供するように指示し、これにより情報収集機能を取得するように当該通信未許可装置を誘導し、システム全体の安全性を向上させることができる。

実施の形態１．
図１は、本実施の形態に係る通信システムの構成例を示す図である。

図１の例では、企業内ネットワーク３を介してＧａｔｅ装置１とエージェント管理サーバ４及び管理装置５が接続されている。また、図２に示すように、インターネット６などの広域網を介してＧａｔｅ装置１とエージェント管理サーバ４及び管理装置５が接続されていてもよい。

図１では、Ｇａｔｅ装置１は、端末２と企業内ネットワーク３の中間に設置され、配下の端末２からの通信を制限することによって感染被害の拡大を防ぐ。例えば、端末１台に１台のＧａｔｅ装置が接続されている場合には、他の端末に被害が拡大することはない。また、ローカルセグメント単位にＧａｔｅ装置１が接続されている場合は、被害範囲がローカルセグメントに限定される。Ｇａｔｅ装置１は、中継装置の例である。

また、端末２は、通信装置の例である。

端末２は、エージェントソフトウェア（以下、エージェントＳ／Ｗと表記する）を備えている。

エージェントＳ／Ｗは、端末２にインストールすることによって、端末情報を収集し、後述するエージェント管理サーバに通知する機能を持つソフトウェアである。なお、エージェントＳ／Ｗは、情報収集機能の例である。

エージェント管理サーバ４は、端末２にインストールされたエージェントＳ／Ｗの管理を行うサーバであり、企業内ネットワーク３あるいは、インターネット６を介して接続された管理センタなどに設置される。エージェント管理サーバ４は、エージェントＳ／Ｗがインストールされていない端末２に対してエージェントＳ／Ｗの提供も行う。エージェント管理サーバ４は、情報収集機能提供装置の例である。

管理装置５は、システム全体を管理する装置であり、エージェント管理サーバ４で収集したエージェント情報とＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）のパッチ情報などのいわゆるインシデント情報を照合し、企業内に接続された端末が安全であるかどうかの判断を行う。

なお、本システム構成例では、エージェント管理サーバと管理装置が分離されているが、同一マシン上に存在することも可能である。

図３は、Ｇａｔｅ装置１の内部構成例を示す図である。

ローカルセグメント通信部１０１は、ローカルセグメントに存在する端末２とのデータ送受信を行う。

新規端末検知部１０２は、ローカルセグメント内で新規に接続された端末２を検知する。なお、新規に接続された端末２は、企業内ネットワーク３との通信が未許可であり、通信未許可装置に相当する。また、新規端末検知部１０２は、通信未許可装置検知部の例である。

エージェント確認部１０３は新規端末検知部１０２が新規に接続された端末２を検知した場合に、当該端末２にエージェントＳ／Ｗがインストールされているか否かを確認する。確認手段は、例えば、エージェントＳ／Ｗに対してエコーパケットを送信し、その応答でエージェントの有無などを確認する手段などが考えられる。エージェント確認部１０３は、情報収集機能判断部の例である。

パケットフィルタ部１０４は、通信制限を司る機能で、端末２からのパケットをフィルタリングすることによって、安全が確認されていない端末の通信を制限する。パケットフィルタ部１０４は、通信制限部の例である。

安全端末リスト記憶部１０６は、安全端末リストを記憶する。安全端末リストとは、その時点で、安全の確認されている端末、すなわち、ローカルセグメントから企業内ネットワーク３内のリソースへの通信を許可されている端末のリストである。このリストは、管理装置５によって更新される。例えば、今までにない重大なインシデント情報を管理装置が入手し、必要と判断した場合には、安全端末リストをクリアすることにより、ローカルセグメントからの通信の全てに制限をかけることが可能である。

安全端末判断部１０５は、安全端末リスト記憶部１０６に記憶されている安全端末リストに従って、ローカルセグメント通信部１０１が受信したパケットの送信元が安全端末であるか否かを判断する。

安全端末リスト書込み・消去部１０７は、安全端末リスト記憶部１０６内の安全端末リストに対する書き込みや消去を行う。

エージェントインストール指示生成部１０８は、エージェント確認部１０３でエージェントＳ／Ｗがインストールされていないと判断された端末２のパケットにエージェントＳ／Ｗを当該端末２にインストールするよう指示するメッセージを追加して、エージェントインストール指示（情報収集機能提供指示）を生成し、ネットワーク通信部１０９を介してエージェントインストール指示をエージェント管理サーバ４に送信する。エージェントインストール指示生成部は、指示生成部の例である。

ネットワーク通信部１０９は、企業内ネットワーク３又はインターネット６などを介してエージェント管理サーバ４及び管理装置５と通信を行う。ネットワーク通信部１０９は、通信部の例である。

図４は、エージェント管理サーバ４の内部構成例を示す図である。

通信部４０１は、企業内ネットワーク３又はインターネット６などを介してＧａｔｅ装置１及び管理装置５と通信を行う。

端末情報記憶部４０２は、端末２のエージェントＳ／Ｗが調査した端末情報を記憶する。ここで、エージェントＳ／Ｗが調査した端末情報とは、例えば、ＯＳの種類／バージョン、インストールされているＳ／Ｗのバージョン（これには、ウィルス対策Ｓ／Ｗの定義ファイルのバージョンなども含まれる）、端末のＩＰアドレス、ＭＡＣアドレスなどの情報である。これら端末情報は、端末２からＧａｔｅ装置１を介して通信部４０１が受信し、端末情報記憶部４０２に記憶される。また、端末情報記憶部４０２に記憶されているこれらの端末情報は、後述する管理装置５のインシデント情報と照合して、端末２の安全性を判断するために使用する。

エージェントインストール処理部４０３は、Ｇａｔｅ装置１からのエージェントインストール指示に基づき、エージェントＳ／Ｗがインストールされていない端末２に対して、エージェントＳ／Ｗをインストールする機能である。

エージェント格納部４０４は、エージェントインストール処理部４０３により端末２にインストールされるエージェントＳ／Ｗを格納する。

図５は、管理装置５の内部構成例を示す図である。

通信部５０１は、企業内ネットワーク３又はインターネット６などを介してＧａｔｅ装置１及びエージェント管理サーバ４と通信を行う。

安全端末データベース５０２は、端末情報を後述するインシデント情報と照合することによって安全と確認された端末のデータベースである。

インシデント情報記憶部５０３は、インシデント情報を記憶する。インシデント情報とは、いわゆる脆弱性情報のことで、例えば、ＯＳの最新パッチ情報、ウィルス対策ソフトウェアの最新バージョン情報などがある。

情報照合部５０４は、エージェント管理サーバ４で収集した端末情報とインシデント情報を照合する機能で、端末の安全性の判断を行う。

安全端末データベース書込み・消去部５０５は、安全端末データベースに対する書込みや消去を行う。

次に、図６及び図７を参照して、本実施の形態に係る通信システムの動作を説明する。なお、図６及び図７では、端末ＡがＧａｔｅ装置１に新規に接続しようとする場合について説明する。以下、Ｇａｔｅ装置１をＧａｔｅとも表記し、エージェント管理サーバ４をサーバとも表記する。

先ず、Ｇａｔｅ装置１に対して新規に接続しようとする端末ＡがＧａｔｅ装置１に対してパケットを送信する（Ｓ６０１）。

次に、Ｇａｔｅ装置１で、ローカルセグメント通信部１０１が、端末Ａからのパケットを受信し、新規端末検知部１０２が、受信したパケットを解析して、そのパケットの送信元である端末Ａは、これまでＧａｔｅ装置１に接続されていなかった新規端末であることを検知する（Ｓ６０２）（通信未許可装置検知ステップ）。

次に、新規端末である端末Ａは、安全端末リストに示された安全端末でないため、パケットフィルタ部１０４が、端末Ａが企業内ネットワーク３又はインターネット６に接続できないよう端末Ａの通信を制限する（Ｓ６０３）。

次に、Ｇａｔｅ装置１で、エージェント確認部１０３が、エージェントＳ／Ｗ確認パケット（例えば、一般のエコーパケットと機能は同等のもの）を送信する（Ｓ６０４）（情報収集機能判断ステップ）。

次に、Ｇａｔｅ装置１のエージェント確認部１０３がエージェントＳ／Ｗ確認パケットに対する端末２からの応答に基づき、端末ＡにエージェントＳ／Ｗが搭載されているか否かを判断する（Ｓ６０５）（情報収集機能判断ステップ）。

端末Ａにエージェントがインストールされていなかった場合は、Ｓ６０６に進み、Ｇａｔｅ装置１のエージェントインストール指示生成部１０８が、エージェントインストール指示を生成し、ネットワーク通信部１０９がエージェントインストール指示をエージェント管理サーバ４に送信する（Ｓ６０６）（指示生成ステップ、通信ステップ）。

次に、Ｇａｔｅ装置１のパケットフィルタ部１０４が、端末Ａとエージェント管理サーバ４との間の通信に限って端末Ａの通信制御を解除する（Ｓ６０７）。

次に、エージェント管理サーバ４で、エージェントインストール処理部４０３が端末Ａに対するエージェントＳ／Ｗのインストール処理を行う（Ｓ６０８）。具体的には、エージェント管理サーバが、端末Ａに対してエージェントＳ／Ｗをインストールする旨のメッセージ（例えば、Ｗｅｂでのファイルダウンロード画面のようなもの）を送信し、端末Ａが、エージェント管理サーバ４からの指示に従ってエージェントをインストールする（Ｓ６０９）。この時点でエージェントＳ／Ｗがインストールされない場合、Ｇａｔｅ装置１による通信制限の解除（後述するＳ６２２の処理）が行われないため、エージェントＳ／Ｗがインストールされていない端末が企業ネットワークに参入することはない。このため、仮に端末がウィルスに感染しており、感染活動を開始したとしても、ローカルセグメント内、図１又は図２の場合、端末Ｂ、Ｃ、Ｄの範囲だけに感染を押さえ込むことが可能となる。また、端末Ｂ、Ｃ、Ｄからの社内ネットワークに対する二次感染防止のために、新規端末Ａの接続を確認したＧａｔｅ装置１で配下の全ての端末の通信制限を行うことも可能であるが、端末Ｂ、Ｃ、Ｄへの影響を考慮すると図中にある端末ＥとそのＧａｔｅ装置１とのように一対一にＧａｔｅ装置を配置することが望ましい。

一方、ステップＳ６０５において、端末ＡにエージェントＳ／Ｗが搭載されていると判断された場合は、Ｇａｔｅ装置１の安全端末判断部１０５が、端末Ａは安全端末か否かを判断する（Ｓ６１０）。具体的には、安全端末判断部１０５は、安全端末リスト記憶部１０６に記憶されている安全端末リストに端末Ａが記載されているか否かを判断する。安全端末である場合はステップＳ６２２に進み、安全端末でない場合はステップＳ６１１に進む。

ステップＳ６１０における判断において、端末Ａが安全端末でないと判断された場合は、Ｇａｔｅ装置１の安全端末判断部１０５は、端末Ａに端末情報を収集するよう指示するメッセージを生成し、ローカルセグメント通信部１０１が当該メッセージを端末Ａに送信する（Ｓ６１１）。

次に、Ｇａｔｅ装置１のパケットフィルタ部１０４が、端末Ａとエージェント管理サーバ４との間の通信に限って端末Ａの通信制御を解除する（Ｓ６１２）。

端末Ａでは、エージェントＳ／Ｗが端末情報を収集する（Ｓ６１３）。ステップＳ６０９においてエージェントＳ／Ｗをインストールした場合は、インストールしたエージェントＳ／Ｗにより端末情報を収集する。また、ステップＳ６１１においてＧａｔｅ装置１から送信されたメッセージを受信した場合は、当該メッセージに従って端末情報を収集する。

次に、端末Ａは、収集した端末情報をエージェント管理サーバに対して送信する（Ｓ６１４）。

端末Ａから送信された端末情報は、Ｇａｔｅ装置１を経由してエージェント管理サーバ４に到達し、エージェント管理サーバ４では、受信した端末情報を通信部４０１により管理装置５へ送信する（Ｓ６１５）。

次に、管理装置５では、通信部５０１が、エージェント管理サーバ４から送信された端末情報を受信し、情報照合部５０４が、端末情報とインシデント情報記憶部５０３に記憶されているインシデント情報とを照合し（Ｓ６１６）、端末Ａの通信を許可するか否かを判断する（Ｓ６１７）。情報照合の結果、特に問題が見当たらず、端末Ａの通信を許可する場合は、安全端末データベース書込み・消去部５０５が安全端末データベース５０２に端末Ａを登録する（Ｓ６１８）。

また、管理装置５の情報照合部５０４は、端末Ａに対する通信制御の解除指示を生成し、通信部５０１が、更新後の安全端末リストと端末Ａに対する通信制御の解除指示をＧａｔｅ装置１に対して送信する（Ｓ６１９）。

Ｇａｔｅ装置１では、ネットワーク通信部１０９が、更新後の安全端末リストと端末Ａに対する通信制御の解除指示を受信する（Ｓ６２０）。

その後、Ｇａｔｅ装置１では、安全端末リスト書込み・消去部１０７が、更新後の安全端末リストを安全端末リスト記憶部１０６に書き込み（Ｓ６２１）、更に、パケットフィルタ部１０４が、端末Ａに対する通信制御を解除する（Ｓ６２２）。

一方、ステップＳ６１７の判断において、例えば、端末ＡのＯＳのパッチが最新ではないなどの問題が発見された場合には、端末Ａの通信を許可しないとの判断がなされ、管理装置５の情報照合部５０４が端末Ａの通信を許可しない旨の通知を生成し、通信部５０１が当該通知をＧａｔｅ装置１に送信する（Ｓ６２３）。

Ｇａｔｅ装置１は、管理装置５からの端末Ａの通信を許可しない旨の通知を受信し、当該通知に基づき、端末Ａにエラー通知を送信して、端末Ａのネットワークアクセスを最終的に拒否する（Ｓ６２４）。

このように、本実施の形態によれば、エージェントＳ／Ｗがインストールされていない端末が検知された場合に、Ｇａｔｅ装置１が、エージェントＳ／Ｗがインストールされていない端末の通信を制限する制限するとともに、エージェントをインストールするように当該端末を誘導することにより、コンピュータウィルスの感染が拡大することを防止し、システム全体の安全性を向上させることができる。

実施の形態２．
実施の形態１では、管理装置５において端末Ａの通信を許可しないとの判断がなされた場合は、管理装置において発見された端末Ａの問題が解決可能なレベルであっても、端末Ａのネットワークアクセスは拒絶されてしまうが、本実施の形態では、管理装置５において発見された端末Ａの問題を解消するための処理を行う例について説明する。

図８は、本実施の形態に係る通信システムの動作例を示すフローチャートである。

図８において、ステップＳ６１３以前の処理は、図６に示したステップＳ６０１〜Ｓ６１２と同様である。また、ステップＳ６１３〜Ｓ６１７は、図７において説明した処理と同様である。このため、ステップＳ６１７以降の処理を説明する。

ステップＳ６１７の判断において、例えば、端末ＡのＯＳのパッチが最新ではないなどの問題が発見された場合には、端末Ａの通信を許可しないとの判断がなされ、管理装置５の情報照合部５０４は、端末Ａの有する問題を示す通知を生成し、通信部５０１が当該通知をエージェント管理サーバ４に送信する（Ｓ８０１）。また、管理装置５の情報照合部５０４は、端末Ａの問題を解決するのに必要な通信制限の緩和（例えば、ＯＳのパッチをダウンロードするためのＷｅｂ通信の許可など）を指示するメッセージを生成し、通信部５０１が当該メッセージをＧａｔｅ装置１に送信する（Ｓ８０２）。

Ｇａｔｅ装置１では、ネットワーク通信部１０９が、管理装置５からのメッセージを受信し、パケットフィルタ部１０４が、当該メッセージに従い、端末Ａへの通信制限の緩和を実施する（Ｓ８０３）。

管理装置５より端末Ａの問題点を通知されたエージェント管理サーバ４は、端末ＡのエージェントＳ／Ｗに対して、問題点の指摘および解決を促すメッセージを送信する（Ｓ８０４）。

端末Ａでは、エージェント管理サーバ４からのメッセージに従って問題点を解決するための処置（例えば、ＯＳパッチの更新）を行い（Ｓ８０５）、問題点が解消した場合は、問題点が解決した旨の通知と問題解決後の端末情報をエージェント管理サーバ４に送信する（Ｓ８０６）。

以降、Ｓ６１５からＳ８０６の処理を管理装置５での照合で問題がなくなるまで繰り返すことによって、新規端末である端末Ａの安全性を確保する。

このように、本実施の形態では、ネットワークアクセスが許可されない端末の通信を制限することによりコンピュータウィルスの感染の拡大を防止するとともに、当該端末の問題点を解決するのに必要な通信制御の緩和を行って、当該端末の問題点を解決することができる。

実施の形態３．
実施の形態１では、端末側の新規接続に対する動作の説明を行ったが、本実施の形態では、新たな（重大な）インシデント情報を管理装置が入手した場合について説明する。

図９は、本実施の形態に係る通信システムの動作例を示すフローチャートである。

管理装置５は、Ｇａｔｅ装置１配下の端末全てに影響のある重大なインシデント情報（ＯＳの緊急アップデートなど）を入手した否かを判断し（Ｓ９０１）、重大なインシデント情報を入手した場合に、安全端末データベース書込み・消去部５０５が、該当する端末の全てについて安全端末データベースの内容を削除して（Ｓ９０２）、これまで安全端末であった端末の通信許可を解除する。なお、この通信許可が解除された端末は許可解除装置に相当する。更に、安全端末データベース書込み・消去部５０５は、Ｇａｔｅ装置１の安全端末リストの内容を削除するよう指示するとともに該当する端末の全てに対して通信制限を行うよう指示する削除指示を生成し、通信部５０１が当該削除指示をＧａｔｅ装置１に送信する（Ｓ９０３）。

Ｇａｔｅ装置１では、ネットワーク通信部１０９が、管理装置５からの削除指示を受信し、安全端末リスト書込み・消去部１０７が、削除指示に従って、安全端末リスト記憶部１０６の安全端末リストの内容を削除する（Ｓ９０４）。

また、Ｇａｔｅ装置１のローカルセグメント通信部１０１が、現在接続中の端末との接続を切断し（Ｓ９０５）、全ての端末を新規の端末とし、以降、Ｇａｔｅ装置１と接続しようとする端末に対してステップＳ６０１〜Ｓ６２４の処理を行う（Ｓ９０６）このため、Ｇａｔｅ装置１は、接続を切断した端末に対する通信制限を行うとともに、再度、管理装置５により、端末のネットワークアクセスが許可された際に、端末に対する通信制限を解除する。このように重大なインシデント情報が入手された場合には、安全端末の通信許可をいったん解除し、改めて端末ごとに通信許可を与えることで、ネットワークの安全を確保する。なお、このような管理装置主導の安全確保は、ウィルス感染被害の被害拡大範囲がわからない場合などの緊急措置としても利用することができる。

以上のような手順によって、エージェントＳ／Ｗがインストールされていない端末も含む社内網の全ての端末の状態を一定に保ち、ネットワークの安全性を確保することが可能となる。

前述した各実施の形態で、Ｇａｔｅ装置１、エージェント管理サーバ４、管理装置５は、コンピュータで実現できるものである。

図示していないが、Ｇａｔｅ装置１、エージェント管理サーバ４、管理装置５は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を備えている。

例えば、ＣＰＵは、バスを介して、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、通信ボード、表示装置、Ｋ／Ｂ（キーボード）、マウス、ＦＤＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、ＣＤＤ（コンパクトディスクドライブ）、磁気ディスク装置、光ディスク装置、プリンタ装置、スキャナ装置等と接続されている。

ＲＡＭは、揮発性メモリの一例である。ＲＯＭ、ＦＤＤ、ＣＤＤ、磁気ディスク装置、光ディスク装置は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。

前述した各実施の形態のＧａｔｅ装置１、エージェント管理サーバ４、管理装置５が扱うデータや情報は、記憶装置あるいは記憶部に保存され、Ｇａｔｅ装置１、エージェント管理サーバ４、管理装置５の各部により、記録され読み出されるものである。

また、通信ボードは、例えば、ＬＡＮ、インターネット、或いはＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）に接続されている。

磁気ディスク装置には、オペレーティングシステム（ＯＳ）、ウィンドウシステム、プログラム群、ファイル群（データベース）が記憶されている。

プログラム群は、ＣＰＵ、ＯＳ、ウィンドウシステムにより実行される。

上記Ｇａｔｅ装置１、エージェント管理サーバ４、管理装置５の各部は、一部或いはすべてコンピュータで動作可能なプログラムにより構成しても構わない。或いは、ＲＯＭに記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェア或いは、ハードウェア或いは、ソフトウェアとハードウェアとファームウェアとの組み合わせで実施されても構わない。

上記プログラム群には、実施の形態の説明において「〜部」として説明した処理をＣＰＵに実行させるプログラムが記憶される。これらのプログラムは、例えば、Ｃ言語やＨＴＭＬやＳＧＭＬやＸＭＬなどのコンピュータ言語により作成される。

また、上記プログラムは、磁気ディスク装置、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のその他の記録媒体に記憶され、ＣＰＵにより読み出され実行される。

ここで、以上の実施の形態で説明した通信システムは、不正な端末のネットワーク接続を防止するために、中継装置において、端末の情報を収集するエージェントソフトウェアのインストール状態を監視し、インストールされていない場合は、端末からの通信を中継装置で制限し、かつ、エージェントをインストールするためのサーバに端末からの通信を誘導し、エージェントがインストールされていない端末をネットワークから一掃することにより、ネットワークに接続された端末の情報を確実に収集できるようにする。また、接続された端末の情報と、最新のインシデント情報を分析することによって、各接続端末の対策（例えばパッチプログラム）を最新のものに更新し、必要な更新を行ったもののみ中継装置の制限を外すことによって、ネットワークへの参入を許可する。

実施の形態１〜３に係る通信システムの構成例を示す図。 実施の形態１〜３に係る通信システムの他の構成例を示す図。 実施の形態１〜３に係るＧａｔｅ装置の構成例を示す図。 実施の形態１〜３に係るエージェント管理サーバの構成例を示す図。 実施の形態１〜３に係る管理装置の構成例を示す図。 実施の形態１に係る通信システムの動作例を示すフローチャート図。 実施の形態１に係る通信システムの動作例を示すフローチャート図。 実施の形態２に係る通信システムの動作例を示すフローチャート図。 実施の形態３に係る通信システムの動作例を示すフローチャート図。

符号の説明

１ Ｇａｔｅ装置、２ 端末、３ 企業内ネットワーク、４ エージェント管理サーバ、５ 管理装置、６ インターネット、１０１ ローカルセグメント通信部、１０２ 新規端末検知部、１０３ エージェント確認部、１０４ パケットフィルタ部、１０５ 安全端末判断部、１０６ 安全端末リスト記憶部、１０７ 安全端末リスト書込み・消去部、１０８ エージェントインストール指示生成部、１０９ ネットワーク通信部、４０１ 通信部、４０２ 端末情報記憶部、４０３ エージェントインストール処理部、４０４ エージェント格納部、５０１ 通信部、５０２ 安全端末データベース、５０３ インシデント情報記憶部、５０４ 情報照合部、５０５ 安全端末データベース書込み・消去部。

Claims (14)

1. 特定のネットワークの外にある通信装置であって前記特定のネットワークとの通信が未許可である通信未許可装置を検知する通信未許可装置検知部と、
   前記通信未許可装置検知部により検知された通信未許可装置に、通信未許可装置の装置状態に関する情報収集を行う情報収集機能が備わっているか否かを判断する情報収集機能判断部と、
   前記情報収集機能判断部により前記通信未許可装置に情報収集機能が備わっていないと判断された場合に、前記通信未許可装置に情報収集機能を提供可能な情報収集機能提供装置に対して前記通信未許可装置に情報収集機能を提供するよう指示する情報収集機能提供指示を生成する指示生成部と、
   前記指示生成部により生成された情報収集機能提供指示を前記情報収集機能提供装置に送信する通信部とを有することを有することを特徴とする中継装置。
2. 前記中継装置は、更に、
   前記通信未許可装置検知部により前記通信未許可装置が検知された際に前記通信未許可装置の前記特定のネットワークに対する通信を制限するとともに、前記情報収集機能判断部により前記通信未許可装置に情報収集機能が備わっていないと判断された場合に、前記情報収集機能提供装置から前記通信未許可装置に情報収集機能が提供され、情報収集機能により収集された前記通信未許可装置の装置状態に関する情報に基づき前記通信未許可装置と前記特定のネットワークとの通信が許可された際に前記通信未許可装置に対する通信制限を解除する通信制限部を有することを特徴とする請求項１に記載の中継装置。
3. 前記通信制限部は、
   前記情報収集機能提供装置が前記特定のネットワーク内にあり、前記情報収集機能判断部により前記通信未許可装置に情報収集機能が備わっていないと判断された場合に、前記通信未許可装置と前記情報収集機能提供装置との通信に限って前記通信未許可装置に対する通信制御を解除することを特徴とする請求項２に記載の中継装置。
4. 前記通信制限部は、
   前記情報収集機能提供装置から前記通信未許可装置に情報収集機能が提供され、情報収集機能により収集された前記通信未許可装置の装置状態に関する情報に基づき前記通信未許可装置と前記特定のネットワークとの通信の許否が判断された結果、前記通信未許可装置と前記特定のネットワークとの通信が許可されない場合に、前記通信未許可装置と前記特定のネットワークとの通信が許可されない原因を解決するための通信に限って前記通信未許可装置に対する通信制限を解除することを特徴とする請求項２に記載の中継装置。
5. 前記情報収集機能判断部は、
   前記通信未許可装置検知部により検知された通信未許可装置に、通信未許可装置の装置状態に関する情報収集を行うエージェントソフトウェアが備わっているか否かを判断し、
   前記指示生成部は、
   前記情報収集機能判断部により前記通信未許可装置にエージェントソフトウェアが備わっていないと判断された場合に、前記通信未許可装置にエージェントソフトウェアを提供可能な情報収集機能提供装置に対して前記通信未許可装置にエージェントソフトウェアを提供するよう指示する情報収集機能提供指示を生成することを特徴とする請求項１に記載の中継装置。
6. 前記情報収集機能判断部は、
   前記通信未許可装置検知部により検知された通信未許可装置に対して、エージェントソフトウェアが備わっているか否かを確認するための確認パケットを送信し、確認パケットに対する通信未許可装置からの応答により、通信未許可装置にエージェントソフトウェアが備わっているか否かを判断することを特徴とする請求項５に記載の中継装置。
7. 特定のネットワークと前記特定のネットワークの外にある通信装置との間の通信を中継する中継装置と、通信装置の装置状態に関する情報収集を行う情報収集機能を通信装置に提供可能な情報収集機能提供装置とを有する通信システムであって、
   前記中継装置は、
   前記特定のネットワークの外にある通信装置であって前記特定のネットワークとの通信が未許可である通信未許可装置を検知し、
   検知した通信未許可装置に、通信未許可装置の装置状態に関する情報収集を行う情報収集機能が備わっているか否かを判断し、
   前記通信未許可装置に情報収集機能が備わっていないと判断した場合に、前記情報収集機能提供装置に対して前記通信未許可装置に情報収集機能を提供するよう指示し、
   前記情報収集機能提供装置は、
   前記中継装置からの指示に基づき、前記通信未許可装置に情報収集機能を提供することを特徴とする通信システム。
8. 前記通信システムは、更に、
   情報収集機能により収集された通信装置の装置状態に関する情報を受信し、受信した通信装置の装置状態に関する情報に基づき、通信装置に対して前記特定のネットワークとの通信を許可するか否かを判断する管理装置を有し、
   前記中継装置は、
   前記通信未許可装置を検知した際に前記通信未許可装置の前記特定のネットワークに対する通信を制限するとともに、前記通信未許可装置に情報収集機能が備わっていないと判断した場合に、前記情報収集機能提供装置から前記通信未許可装置に情報収集機能が提供され、情報収集機能により収集された前記通信未許可装置の装置状態に関する情報に基づき前記管理装置が前記通信未許可装置と前記特定のネットワークとの通信を許可した際に前記通信未許可装置に対する通信制限を解除することを特徴とする請求項７に記載のシステム。
9. 前記情報収集機能提供装置は、
   前記特定のネットワーク内にあり、
   前記中継装置は、
   前記通信未許可装置に情報収集機能が備わっていないと判断した場合に、前記通信未許可装置と前記情報収集機能提供装置との通信に限って前記通信未許可装置に対する通信制御を解除することを特徴とする請求項８に記載の通信システム。
10. 前記中継装置は、
    前記情報収集機能提供装置から前記通信未許可装置に情報収集機能が提供され、情報収集機能により収集された前記通信未許可装置の装置状態に関する情報に基づき前記管理装置が前記通信未許可装置と前記特定のネットワークとの通信の許否を判断した結果、前記管理装置が前記通信未許可装置と前記特定のネットワークとの通信を許可しない場合に、前記通信未許可装置と前記特定のネットワークとの通信が許可されない原因を解決するための通信に限って前記通信未許可装置に対する通信制限を解除することを特徴とする請求項８に記載の通信システム。
11. 前記管理装置は、
    所定の場合に、前記特定のネットワークとの通信を許可した通信装置の通信許可を解除し、通信許可を解除した許可解除装置の前記特定のネットワークに対する通信を制限するよう前記中継装置に対して指示し、許可解除装置の装置状態に関する情報を受信し、受信した許可解除装置の装置状態に関する情報に基づき、許可解除装置に対して前記特定のネットワークとの通信を改めて許可するか否かを判断し、
    前記中継装置は、
    前記管理装置からの指示に基づき、前記許可解除装置の前記特定のネットワークに対する通信を制限するとともに、前記管理装置が前記許可解除装置と前記特定のネットワークとの通信を改めて許可した際に前記許可解除装置に対する通信制限を解除することを特徴とする請求項８に記載の通信システム。
12. 前記管理装置は、
    所定の場合に、前記特定のネットワークとの通信を許可したすべての通信装置の通信許可を解除し、通信許可を解除したすべての許可解除装置の前記特定のネットワークに対する通信を制限するよう前記中継装置に対して指示し、許可解除装置ごとに、許可解除装置の装置状態に関する情報を受信し、受信した許可解除装置の装置状態に関する情報に基づき、許可解除装置ごとに前記特定のネットワークとの通信を改めて許可するか否かを判断し、
    前記中継装置は、
    前記管理装置からの指示に基づき、すべての許可解除装置の前記特定のネットワークに対する通信を制限するとともに、前記管理装置がいずれかの許可解除装置と前記特定のネットワークとの通信を改めて許可した際に通信が許可された許可解除装置に対する通信制限を解除することを特徴とする請求項１１に記載の通信システム。
13. 特定のネットワークの外にある通信装置であって前記特定のネットワークとの通信が未許可である通信未許可装置を検知する通信未許可装置検知ステップと、
    前記通信未許可装置検知ステップにより検知された通信未許可装置に、通信未許可装置の装置状態に関する情報収集を行う情報収集機能が備わっているか否かを判断する情報収集機能判断ステップと、
    前記情報収集機能判断ステップにより前記通信未許可装置に情報収集機能が備わっていないと判断された場合に、前記通信未許可装置に情報収集機能を提供可能な情報収集機能提供装置に対して前記通信未許可装置に情報収集機能を提供するよう指示する情報収集機能提供指示を生成する指示生成ステップと、
    前記指示生成ステップにより生成された情報収集機能提供指示を前記情報収集機能提供装置に送信する通信ステップとを有することを有することを特徴とする通信方法。
14. 特定のネットワークの外にある通信装置であって前記特定のネットワークとの通信が未許可である通信未許可装置を検知する通信未許可装置検知処理と、
    前記通信未許可装置検知処理により検知された通信未許可装置に、通信未許可装置の装置状態に関する情報収集を行う情報収集機能が備わっているか否かを判断する情報収集機能判断処理と、
    前記情報収集機能判断処理により前記通信未許可装置に情報収集機能が備わっていないと判断された場合に、前記通信未許可装置に情報収集機能を提供可能な情報収集機能提供装置に対して前記通信未許可装置に情報収集機能を提供するよう指示する情報収集機能提供指示を生成する指示生成処理と、
    前記指示生成処理により生成された情報収集機能提供指示を前記情報収集機能提供装置に送信する通信処理とをコンピュータに実行させることを特徴とするプログラム。

Images