JP2004094290A

JP2004094290A - アクセス制御装置及び方法

Info

Publication number: JP2004094290A
Application number: JP2002250435A
Authority: JP
Inventors: Hideji Tanaka; 田中　秀司; Jiro Noda; 野田　次郎; Yuji Senboku; 千北　裕司; Yasushi Sho; 蒋　寧
Original assignee: NTT Data Corp
Current assignee: NTT Data Group Corp
Priority date: 2002-08-29
Filing date: 2002-08-29
Publication date: 2004-03-25
Anticipated expiration: 2022-08-29
Also published as: JP3871630B2

Abstract

【課題】クライアント端末側のコンピュータウイルス駆除プログラムの実行状況に応じて、所定のネットワーク等に対するアクセスを制御できる仕組みを提供する。
【解決手段】ウイルスチェックサーバ２が、クライアント端末４が保持しているコンピュータウイルス対策用プログラムの実行状況情報を収集し、この実行状況情報に基づいて、クライアント端末４がコンピュータウイルス駆除プログラムを適正に実行しているか否かを判別し、判別の結果、コンピュータウイルス駆除プログラムが適切に実行されていない場合には、ＰＰＴＰサーバ３へアクセスを制限するようにした。
【選択図】　　　　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、端末が保持しているコンピュータウイルス駆除プログラムの実行状況等により、端末が所定のコンピュータシステムにアクセスすることを制御するための技術に関する。
【０００２】
【従来の技術】
インターネット等のネットワークの発達により、コンピュータウイルスなどに対する対策を行う必要性が高まっている。
このような対策の一例として、例えば、ＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）等のセキュリティホールに対して、ＯＳを開発した企業が、セキュリティパッチ用のプログラムを配布し、このセキュリティパッチの適用状況をチェックするシステムなどがある。
また、コンピュータウイルス駆除プログラムを開発している企業などでは、Ｗｅｂページ等を通じてコンピュータウイルス駆除プログラムを提供し、クライアント端末側でこれをダウンロードして実行することにより、コンピュータウイルスに感染しているかチェックすることが行われている。
また、インターネットプロバイダーなどでは、クライアントコンピュータに管理プログラムやコンピュータウイルスを識別するためのパターンファイルを配布することが行われている。
【０００３】
【発明が解決しようとする課題】
しかし、従来のシステムでは端末側にコンピュータウイルス駆除プログラムを配布することは行っているが、配布されたプログラムの実行状況に基づいてクライアント端末側のアクセスを制御するような仕組みはなかった。
そのため、例えば、コンピュータウイルス駆除プログラムを適切に実行していないクライアント端末が、インターネット、イントラネット、ＬＡＮ（Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋ）などのコンピュータシステムにアクセスすることにより、コンピュータシステム全体のセキュリティが危険にさらされてしまうという問題があった。
このようなことから、クライアント端末に対するアクセスを許可する場合、当該クライアント端末が適切にコンピュータウイルス駆除プログラムを実行していることを保証することが必要となっている。
【０００４】
また、コンピュータウイルス対策の情報等は、Ｗｅｂページ等を通じて広く公開されているが、ユーザとしては、自分の使用しているコンピュータにどのようなセキュリティ対策が必要で、またそのためにどのようなプログラムをインストールすればよいのか分からないという問題があった。
このような問題は特に、コンピュータに関する知識が乏しいユーザにとっては、必要な対策を判断し、実行することは非常に難しく、これを誤ってしまうと却ってコンピュータが動作しない状態になってしまうなどの問題があった。
【０００５】
本発明は、上述の問題点等に鑑みてなされたものであって、端末のコンピュータウイルス対策状況に応じて端末からのアクセスを制御できる仕組みを提供することを目的とする。
【０００６】
【課題を解決するための手段】
上記課題を解決するため、本発明の一の観点にかかるアクセス制御装置は、端末がコンピュータウイルス駆除プログラムを実行した履歴情報に基づいて、上記端末がコンピュータウイルス駆除プログラムを適切に実行しているか否かを判別する判別手段と、上記判別手段が適切でないと判別した端末に対して、　上記判別手段が適切でないと判別した端末に対して、当該端末が所定のコンピュータシステムへアクセスすることを制限するアクセス処理手段とを有することを特徴とする。
【０００７】
上記判別手段は、上記端末が保持しているコンピュータウイルス駆除プログラムのバージョン情報及び／又はコンピュータウイルスを識別するためのパターンファイル情報が適切なものであるか否かを更に判別するようにしてもよい。
【０００８】
また、上記判別手段がコンピュータウイルス駆除プログラムのバージョン情報及び／又はパターンファイル情報が適切でないと判別した端末に対して、当該コンピュータウイルス駆除プログラムのバージョンを適切なものにするための情報及び／又は適切なパターンファイルに関する情報を通知する通知手段を更に有するようにしてもよい。
【０００９】
また、上記端末がコンピュータウイルス駆除プログラムを実行した履歴情報、上記端末が保持するコンピュータウイルス駆除プログラムのバージョン情報、上記端末が保持するパターンファイル情報のうちの少なくとも一つの情報を取得するための処理を、上記端末に対して実行させるためのコンピュータプログラムを、上記端末に送信する送信手段を更に有するようにしてもよい。
【００１０】
本発明の一の観点にかかるアクセス制御方法は、コンピュータが、端末がコンピュータウイルス駆除プログラムを実行した履歴情報に基づいて、上記端末がコンピュータウイルス駆除プログラムを適切に実行しているか否かを判別する処理と、上記判別手段が適切でないと判別した端末に対して、上記判別処理により適切でないと判別された端末に対して、当該端末が所定のコンピュータシステムへアクセスすることを制限する処理とを行うことを特徴とする。
【００１１】
【発明の実施の形態】
以下、図面を参照して、本発明にかかる実施形態について説明する。
図１に本発明にかかるアクセス制御装置を、クライアント端末４がＰＰＴＰ（Ｐｏｉｎｔ　ｔｏ　Ｐｏｉｎｔ　Ｔｕｎｎｅｌｉｎｇ　Ｐｒｏｔｏｃｏｌ）サーバ３へアクセスすることを制御するウイルスチェックサーバ２に適用した実施形態について説明する。
図１において、本実施形態にかかるシステムは、クライアント端末４と、このクライアント端末４と所定のネットワークを介して接続可能に構成された認証サーバ１、ウイルスチェックサーバ２、ＰＰＴＰサーバ３から構成されている。
【００１２】
クライアント端末４は、ユーザが使用する端末である。このクライアント端末４は、コンピュータにより構成され、インターネットやＬＡＮなどの所定のネットワークに接続して、所定のデータの送受信や、所定のプログラムを実行できるようになっている。
また、このクライアント端末４は、コンピュータウイルス駆除プログラムを保持しており、これを実行してコンピュータウイルスを駆除できるようになっている。
【００１３】
認証サーバ１は、クライアント端末４の認証を行う装置である。
この認証サーバ１は、ユーザを認証するためのユーザＩＤ及びパスワードを記憶しており、クライアント端末４から通知されたユーザＩＤ、パスワードなどに基づいてクライアント端末４の認証ができるようになっている。
ＰＰＴＰサーバ３は、クライアント端末４と、図示しない社内サーバやインターネットなどのネットワークとのリンクを確立する処理を行う装置である。
【００１４】
ウイルスチェックサーバ２は、本発明にかかるアクセス制御装置を構成する。
ウイルスチェックサーバ２は、コンピュータにより構成されており、図２に示すようように、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）２０、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）２１やＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）２２等の内部メモリ、これらを相互に或いはこれらと入出力インターフェース２４を接続するための内部バス２３、入出力インターフェース２４に接続された、ディスプレイ等の表示部２５、キーボードやポインティングデバイスなどの入力部２６、ハードディスクドライブ（ＨＤＤ）２７、ＣＤ−ＲＯＭドライブ、ＦＤドライブなどのドライブ２８及びインターネット等のネットワークに接続するためのネットワークインターフェース２９から構成されている。
【００１５】
ＲＯＭ２１は、ＣＰＵ２０が実行するプログラムや演算パラメータのうち固定的なデータを格納することができるメモリである。ＲＡＭ２２は、ＣＰＵ２０が実行するプログラムやその実行において適宜変化するパラメータを格納することができるメモリである。
また、ハードディスクドライブ２７は、クライアント端末４に送信する管理プログラムや、クライアント端末４に関する情報などを記憶することができる。
【００１６】
ＣＰＵ２０は、ＲＯＭ２１、ＲＡＭ２２、ハードディスクドライブ２７等に記憶されていプログラムを実行して、クライアント端末４に対して管理プログラム送信する処理、クライアント端末４がコンピュータウイルス駆除プログラムを適切に実行しているか判別する処理、この判別結果に応じてクライアント端末４にＰＰＴＰサーバのアドレスを通知してアクセスを許可する処理や、適切にコンピュータウイルス駆除プログラムを実行していないクライアント端末４に対して適切にコンピュータウイルス駆除プログラムを実行するために必要な情報を通知する処理等を行うことができるようになっている。
【００１７】
クライアント端末４に対して送信する管理プログラムは、例えば、図３に示すように、起動モジュール、ウイルス駆除プログラム調査モジュール、結果送信モジュールなどを含んでいる。なお、クライアント端末４へ送信される際には、これに管理プログラムが実行される際に調査するパターンファイルなどを特定するための定義ファイルが付加されるようになっている。
ウイルス駆除プログラム調査モジュールは、クライアント端末４に対して、当該クライアント端末４にウイルス駆除プログラムがインストールされているか否か判別し、インストールされている場合にはウイルス駆除プログラムの名称、バージョン情報、シリアル番号などの情報を取得したり、当該ウイルス駆除プログラムが実行された履歴を表す実行履歴情報を取得したり、クライアント端末４が保持しているコンピュータウイルスのパターンファイルの情報を取得する処理を行わせることができる。
【００１８】
次に、本発明かかるアクセス制御方法の一実施形態について説明する。
まず、図１を参照して、全体の処理の流れを説明する。図１において、クライアント端末４がＰＰＴＰサーバ３を介してネットワークへの接続する場合、まず認証サーバ１に対してユーザＩＤ、パスワードなどの認証情報を送信して認証を依頼する（Ｓ１）。
認証サーバ１は、クライアント端末４からのユーザＩＤ、パスワードなどを認証し、認証結果を送信する（Ｓ２）。
なお、認証されない場合には再度クライアント端末４が認証要求を行う。
【００１９】
認証の結果、正しいクライアント端末４であると認証されると、クライアント端末４は、認証サーバ１から指示されたウイルスチェックサーバ２に対して、ウイルス対策確認サービスの依頼を行う（Ｓ３）。
依頼が行われると、ウイルスチェックサーバ２は、クライアント端末４に対して管理プログラム及び定義ファイルを送信する（Ｓ４）。
【００２０】
クライアント端末４は、受信した管理プログラムを実行することにより、当該クライアント端末４が保持しているウイルス駆除プログラムの種別、バージョン情報、実行履歴情報、パターンファイル情報を取得し、これらの情報を実行結果情報としてウイルスチェックサーバ２に送信する（Ｓ５）。
ウイルスチェックサーバ２は、実行結果情報に基づいて、クライアント端末４が適正にコンピュータウイルス駆除プログラムを実行しているかにより、ＰＰＴＰサーバ３へ接続させるか否か判別する。そして、ウイルスチェックサーバ２は、クライアント端末４が適正であると判別した場合にはＰＰＴＰサーバ３のアドレスを通知し、適正でないと判別した場合には所定のメッセージを、判別結果情報としてクライアント端末４へ通知する（Ｓ６）。
【００２１】
判別の結果、適正であると判別されたクライアント端末４は、通知されたＰＰＴＰサーバ３のアドレスに基づいてＰＰＴＰサーバ３へアクセスし（Ｓ７）、これによりインターネット等の所定のネットワークへのリンクを確立できる。
【００２２】
次に、上述の処理を行う際のウイルスチェックサーバ２の処理詳細な流れについて図４を参照して説明する。
図４において、ＣＰＵ２０は、クライアント端末４からのウイルス対策確認サービス依頼を受付けると（Ｓ１０１）、クライアント端末４に管理プログラム及び定義ファイルを送信する（Ｓ１０２）。
【００２３】
ＣＰＵ２０は、クライアント端末４から管理プログラムの実行結果情報を受信すると（Ｓ１０３）、実行結果情報からクライアント端末４が保持しているウイルス駆除プログラムが適正なバージョンのプログラムであるか否かを判別する（Ｓ１０４）。
この判別は、例えば、予めＨＤＤ２７にコンピュータウイルス駆除プログラムの種別毎に適正とされるバージョン情報を保持しておき、ＣＰＵ２０がこのバージョン情報に適合するか否かを判別することなどにより行うことができる。
【００２４】
判別の結果、コンピュータウイルス駆除プログラムバージョンが適正でない、即ちバージョンが古い場合には、バージョンアップ用のプログラムの提供しているＷｅｂページの情報やバージョンアップの手順などのバージョンアップ情報をクライアント端末４に通知して（Ｓ１０５）、処理を終了する。
【００２５】
また、Ｓ１０４の判別の結果、コンピュータウイルス駆除プログラムバージョンが適正であると判別された場合には、ＣＰＵ２０は、実行結果情報を参照して、パターンファイルが適正か否かを判別する（Ｓ１０６）。
この判別は、例えば、予めＨＤＤ２７に現時点での適切なパターンファイルデータを記憶しておき、ＣＰＵ２０がこれを参照することにより判別できる。
【００２６】
判別の結果、パターンファイルが適切でない場合には、ＣＰＵ２０は、例えば、適切なパターンファイルを提供しているＷｅｂページのアドレスなどのパターンファイル更新情報をクライアント端末４に通知して（Ｓ１０７）、処理を終了する。
なお、予めＨＤＤ２７に適切なパターンファイルを記憶しておき、ＣＰＵ２０がこれをクライアント端末４に提供してもよい。
【００２７】
またＳ１０６の判別の結果、パターンファイルが適切であると判別された場合には、ＣＰＵ２０は、実行結果情報の実行履歴情報を参照して、クライアント端末４が適切にコンピュータウイルス駆除プログラムを実行しているか否かを判別する（Ｓ１０８）。
この判別としては、例えば、クライアント端末４が最後にコンピュータウイルス駆除プログラムを実行した日時が現在時点より所定時間以内かを判別するようにしてもよい。また、実行回数が週あるいは月あたり最低実行回数以上実行されているかを判別してもよい。
【００２８】
判別の結果適切でないと判別された場合には、ＣＰＵ２０はクライアント端末４に対してコンピュータウイルス駆除プログラムを実行するようにメッセージを通知して（Ｓ１０９）、処理を終了する。
【００２９】
また、判別の結果適切に実行されていると判別された場合には、ＣＰＵ２０は、クライアント端末４に対してＰＰＴＰサーバ３のアドレスを通知して、ＰＰＴＰサーバ３へのアクセスを許可して（Ｓ１１０）、処理を終了する。
【００３０】
このように、上述の実施形態にかかる発明によれば、ＣＰＵ２０が、クライアント端末４が保持しているコンピュータウイルス駆除プログラムの実行履歴情報に基づいて、コンピュータウイルス駆除プログラムを適正に実行しているか否かを判別し、判別の結果、コンピュータウイルス駆除プログラムが適切に実行されていない場合には、ＰＰＴＰサーバ３へアクセスさせないようにしたことから、適切にコンピュータウイルス駆除プログラムを実行しているクライアント端末４のみがＰＰＴＰサーバ３にアクセスできる。即ち、クライアント端末４がコンピュータウイルスに感染していないことの保証ができたときだけ、所定のコンピュータシステムの利用ができるようになる。
【００３１】
また、ＣＰＵ２０が、クライアント端末４が保持しているコンピュータウイルス駆除プログラムのバージョン情報及びパターンファイル情報が適切なものであるか否かを判別してアクセスを許可するようにしたことから、適正なバージョンのコンピュータウイルス駆除プログラム及びパターンファイルを使用してコンピュータウイルスの駆除を行っていることを保証することができる。
【００３２】
また、ＣＰＵ２０が、ウイルス駆除プログラム又はパターンファイルが適切でないと判別したクライアント端末４に対して、適切にコンピュータウイルス対策用プログラムを実行するために必要な情報としてバージョンアップ情報やパターンファイル情報などを通知するようにしたことから、クライアント端末４の利用者は簡単にプログラムのバージョンアップを行ったり、パターンファイルを取得することができる。
これにより、例えば、クライアント端末４のユーザがコンピュータ等に関する知識が乏しい場合であっても、これらの情報を通知することにより、適切な対応を簡単に取ることができる。
【００３３】
また、ウイルスチェックサーバ２が、クライアント端末４に対して、管理プログラムを配布して、これをクライアント端末４がこれを実行することによりクライアント端末４の実行結果情報を収集するようにしたことから、クライアント端末４が保持しているコンピュータウイルス駆除プログラムの種類に関係なく、その実行状況に関する情報を収集できる。
【００３４】
なお、上述の実施形態では、ウイルスチェックサーバ２が、コンピュータウイルス駆除プログラムのバージョン情報とパターンファイルとを取得して判別する例について説明したが、いずれか一方のみをチェックするようにしてもよい。
【００３５】
また、上述の実施形態では、ウイルス駆除プログラムを適切に実行していないクライアント端末４からのアクセスを拒否する例について説明したが、本発明はこれに限定されるものではなく、例えば、ウイルス駆除プログラムの実行状況や、バージョン情報等に基づいてクライアント端末４がアクセスできるコンピュータシステムや情報を所定の範囲に制限するようにしてもよい。
【００３６】
本実施形態にかかるウイルスチェックサーバ２は、専用装置であってもよいし、また、汎用のコンピュータとコンピュータプログラムを用いて実現してもよい。汎用のコンピュータを利用して実現する場合には、例えば、汎用のコンピュータに対して上述の動作を実行するためのコンピュータプログラムやこれを格納したコンピュータ読み取り可能な媒体（ＦＤ、ＣＤ−ＲＯＭ等）からコンピュータプログラムをインストールすることにより上述の処理を実行する各装置を構成するようにしてもよい。なお、上述の機能をＯＳ（Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍ）が分担又はＯＳとアプリケーションプログラムの共同により実現する場合等には、ＯＳ以外の部分のみをコンピュータプログラムとして、またこのコンピュータプログラムをコンピュータ読み取り可能な媒体に格納してもよい。
【００３７】
また、ウイルスチェックサーバ２用の各コンピュータプログラムを搬送波に重畳し、通信ネットワークを介して配信することも可能である。例えば、通信ネットワークの掲示板（ＢＢＳ）に当該プログラムを掲示し、これをネットワークを介して配信するようにしてもよい。そして、このコンピュータプログラムを起動し、ＯＳ制御下で他のアプリケーションプログラムと同様に実行させることにより上述の処理を実行させるようにしてもよい。
【００３８】
【発明の効果】
本発明によれば、端末のコンピュータウイルス対策状況に応じて端末からのアクセスを制御できる。
【図面の簡単な説明】
【図１】本発明にかかる一実施形態の全体構成の概略及び全体の処理の流れを示した図。
【図２】本実施形態にかかるウイルスチェックサーバの構成の一例を示した図。
【図３】本実施形態にかかる管理プログラムを構成するモジュールの概念構成を示した図。
【図４】本実施形態にかかるウイルスチェックサーバの処理の流れを示した図。
【符号の説明】
１　　　認証サーバ
２　　　ウイルスチェックサーバ
３　　　ＰＰＴＰサーバ
４　　　クライアント端末
２０　　ＣＰＵ

Claims

コンピュータウイルス駆除プログラムを保持している端末が、所定のコンピュータシステムへアクセスすることを制御するための装置であって、
上記端末がコンピュータウイルス駆除プログラムを実行した履歴情報に基づいて、上記端末がコンピュータウイルス駆除プログラムを適切に実行しているか否かを判別する判別手段と、
上記判別手段が適切でないと判別した端末に対して、当該端末が所定のコンピュータシステムへアクセスすることを制限するアクセス処理手段と、
を有することを特徴とするアクセス制御装置。
上記判別手段は、上記端末が保持しているコンピュータウイルス駆除プログラムのバージョン情報及び／又はコンピュータウイルスを識別するためのパターンファイル情報が適切なものであるか否かを更に判別する、
請求項１記載のアクセス制御装置。
上記判別手段がコンピュータウイルス駆除プログラムのバージョン情報及び／又はパターンファイル情報が適切でないと判別した端末に対して、当該コンピュータウイルス駆除プログラムのバージョンを適切なものにするための情報及び／又は適切なパターンファイルに関する情報を通知する通知手段を更に有する、
請求項２記載のアクセス制御装置。
上記端末がコンピュータウイルス駆除プログラムを実行した履歴情報、上記端末が保持するコンピュータウイルス駆除プログラムのバージョン情報、上記端末が保持するパターンファイル情報のうちの少なくとも一つの情報を取得するための処理を、上記端末に対して実行させるためのコンピュータプログラムを、上記端末に送信する送信手段を更に有する、
請求項１〜３のいずれかの項に記載のアクセス制御装置。
コンピュータウイルス駆除プログラムを保持している端末が、所定のコンピュータシステムへアクセスすることを制御するための方法であって、
コンピュータにより、
上記端末がコンピュータウイルス駆除プログラムを実行した履歴情報に基づいて、上記端末がコンピュータウイルス駆除プログラムを適切に実行しているか否かを判別する処理と、
上記判別処理により適切でないと判別された端末に対して、当該端末が所定のコンピュータシステムへアクセスすることを制限する処理と、
を行うことを特徴とするアクセス制御方法。