JP2005197815A - ネットワークシステム及びネットワーク制御方法 - Google Patents

Abstract

【課題】 セキュリティ対策が十分でない端末からのウイルスの蔓延を防止できると同時に、そうした端末におけるセキュリティ対策を取ることを容易にする。
【解決手段】少なくとも１以上の通常ローカルネットワークと、このネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用特別ネットワークと、端末が接続可能で、端末を前記通常ローカルネットワーク及び特別ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、これに接続されている端末のセキュリティ対策の状態を判定するセキュリティ対策判定部と、を備えているネットワークシステムであって、スイッチング部は、端末のセキュリティ対策が十分であると判定された場合、通常ローカルネットワークにアクセス可能な状態にし、セキュリティ対策が不十分であると判定された場合、特別ネットワークにアクセス可能な状態にすることを特徴とする。
【選択図】 図１

Description

本発明は、セキュリティ対策が不十分な端末をネットワークを通じてセキュリティ対策が十分な状態とすることが可能なネットワークシステム及びネットワーク制御方法に関する。

セキュリティの確保や伝送帯域の確保等の観点から、２以上のネットワークを用意し、各端末の属性に応じて異なるネットワークに端末を接続するネットワークシステムが知られている。このようなネットワークシステムは、典型的にはＬＡＮスイッチ（レイヤ２スイッチ）によりＶＬＡＮ（Virtual Local Area Network）として提供される。ＶＬＡＮは、ＬＡＮスイッチに接続される端末の属性（ＩＰアドレス、ＭＡＣアドレス、ＩＤ、パスワード、電子認証等）に基づいて、物理的なポートとは独立に、仮想的な２以上のネットワークを１つの物理的なネットワーク上に構成するものである。

このようなＶＬＡＮを利用したネットワークシステムにおいても、セキュリティ対策は重要である。このため、外部ネットワーク（インターネット等）との境界にファイアウオールを設置するなどして、外部からの不正アクセス等を排除することが一般的に行なわれている。また、こうしたファイアウオールにウイルス検知ソフトウエアをインストールしてウイルス対策を行なうことも一般的に行なわれている。

しかし、ファイアウオールにウイルス検知ソフトウエアをインストールして、ＬＡＮを宛先とするデータ全てのウイルス検知・駆除等を一括して行なわせると、ファイアウオールの負荷が大きくなり、ネットワークのパフォーマンスが低下し易いという問題がある。このため、ファイアウオールにウイルス検知を一括して行なわせる代わりに、ＬＡＮに接続された個々の端末にウイルス検知ソフトウエアを実装させ、これによりウイルス対策を行なうことが、一般的に行なわれている。

ところで、こうしたウイルス検知ソフトウエアは、新型のウイルスに対応したウイルス検知用データ、例えば、ウイルス定義ファイル、パターンファイルなどを常に更新しておかないと、有効に動作しない。端末ごとにウイルス検知ソフトウエアをインストールして、端末ごとにウイルス対策を行なわせる形態をとる場合、こうしたウイルス検知用データの更新は、端末ごとに行う必要がある。しかし、多数の端末のうち、一部でもこうしたウイルス検知用データの更新を怠ってしまうと、その端末がウイルスに感染し、このウイルスが他の端末にも伝染してしまうという問題がある。

また、オペレーティングシステム（ＯＳ）やメールソフトウエア、ブラウザソフトウエア等に欠陥がある場合には、その欠陥を補修してウイルスの攻撃を回避するためのパッチファイルをインストールすることが必要である。パッチファイルの取得は、近年においては、ソフトウエア会社のホームページ等からインターネットを通じてダウンロードすることにより行なわれるのが一般的である。多数の端末のうち、一部でもこうしたパッチファイルのダウンロードを怠ると、その端末がいわゆるサイバーテロやハッカーからの攻撃を受け、ネットワーク内に侵入されるという問題がある。

端末でのセキュリティ対策状況、例えばウイルス検知ソフトウエアのインストール、最新のウイルス検知用データ、パッチファイル等のダウンロード等、セキュリティ確保のために必要又は有効な対策状況をセンタシステムにおいて検査し、必要なセキュリティ情報（例えば、ウイルス情報）を端末に提供するシステムが、特許文献１により知られている。

特開２００３−２８８３２１号公報

しかし、この特許文献１のシステムにおいては、各端末のセキュリティ対策の不十分さが見つかっても、その端末がネットワークに接続されたままとなり、このような端末からウイルスがネットワーク中に蔓延する虞がある。 このようなことを防止するためには、セキュリティ対策の不十分な端末をネットワークに一切接続させないようにすることも考えられるが、この場合、例えば、最新のウイルス検知用データをＣＤ−ＲＯＭ等で受領するなど、セキュリティ対策をオフラインで実行することを強いられるので、セキュリティ対策を取るのに時間と労力を要することとなる。

そこで、本発明は、セキュリティ対策が十分でない端末からのウイルスの蔓延やハッカーなどからの攻撃を防止できるとともに、そうした端末におけるセキュリティ対策を取ることを容易にするネットワークシステム及びネットワーク制御方法を提供することを目的とする。

上記目的達成のため、本発明は、少なくとも１以上のローカルネットワークと、前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策の状態を判定するセキュリティ対策判定部と、を備えているネットワークシステムであって、前記スイッチング部は、前記セキュリティ対策判定部によって接続されている端末のセキュリティ対策が十分であると判定された場合、接続されている端末を前記少なくとも１以上のローカルネットワークにアクセス可能な状態にし、前記セキュリティ対策判定部によって接続されている端末のセキュリティ対策が不十分であると判定された場合、接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にすることを特徴とする。

以上のように、本発明に係るネットワークシステムによれば、セキュリティ対策が不十分な端末は、ローカルネットワークにアクセスできないが、セキュリティ対策が可能なセキュリティ対策用ネットワークにアクセス可能なので、そのセキュリティ対策用ネットワークから容易に最新のウイルス検知用データや最新のパッチファイルを取得することができる。本発明に係るネットワークシステムにおいて、セキュリティ対策用ネットワークやローカルネットワークは、それぞれ物理的に別体のＬＡＮなどによって構成しても良く、また物理的に一つのＬＡＮの中にそれぞれＶＬＡＮとして形成しても良い。また、セキュリティ対策用ネットワークは、ウイルス検知用データやＯＳなどのパッチファイルなどを各端末に供給可能なネットワークであって、ウイルス検知用データやＯＳなどのパッチファイルなどセキュリティ対策用のデータを供給可能なセキュリティ対策サーバにインターネットやイントラネットなどを通じてアクセスすることができるものである。

本発明に係るネットワークシステムにおいて、前記セキュリティ対策判定部は、前記スイッチング部に接続されている端末が前記セキュリティ対策用ネットワークにアクセス可能な状態にされている際に、その端末からセキュリティ対策が完了した旨の情報を受領した場合、その端末についてセキュリティ対策の状態の再判定を行なうよう構成されていることが好ましい。このようにローカルネットワークにアクセスできない端末であっても、セキュリティ対策が完了した後に、セキュリティ対策の状態の再判定を受けて、ローカルネットワークに接続することができる。

また、本発明に係るネットワークシステムにおいて、前記セキュリティ対策判定部は、前記スイッチング部に接続されている端末から送信されるセキュリティ対策状況データに基づいて前記セキュリティの状態を判定するよう構成されていることが好ましい。

さらに、本発明に係るネットワークシステムにおいて、前記セキュリティ対策判定部は、前記スイッチ部に接続されている端末にインストールされているウイルス検知用データの属性に基づいて前記セキュリティの状態を判定するよう構成されていることが好ましく、前記セキュリティ対策判定部は、前記スイッチ部に接続されている端末にインストールされている各種ソフトウエアのパッチファイルの属性に基づいて前記セキュリティの状態を判定するよう構成されていることが好ましい。

またさらに、本発明に係るネットワークシステムにおいて、前記端末を所定の認証情報に基づいて認証する認証部をさらに備え、前記スイッチング部は、前記認証部が前記端末から送信される前記認証情報が所定のものでないと判定した場合、前記端末と前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策ネットワークのいずれのネットワークとの接続を拒否するように構成されていることが好ましく、このように認証情報が所定のものでない場合に、いずれのネットワークとも接続を拒否することにより、よりセキュリティの安全を図ることができる。この場合、前記セキュリティ対策判定部は、前記認証部が前記端末から送信される前記認証情報が所定のものであると判定した場合に、前記スイッチング部に接続されている端末のセキュリティ対策の状態の判定を行なうよう構成しても良い。

また、上記目的を達成するため、本発明は、少なくとも２以上のローカルネットワークと、前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態にさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策の状態を判定するセキュリティ対策判定部と、前記端末を所定の認証情報に基づいて認証する認証部と、を備えているネットワークシステムであって、前記セキュリティ対策判定部は、少なくとも前記スイッチ部に接続されている端末にインストールされているウイルス検知用データの属性に基づいて前記セキュリティの状態を判定するよう構成されており、前記スイッチング部は、前記セキュリティ対策判定部の判定結果及び前記認証部の認証結果に基づいて、前記スイッチング部に接続されている端末とアクセス可能な状態にする前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つを決定するよう構成され、前記セキュリティ対策判定部が、前記ウイルス対策用データの属性が所定の属性でないと判定した場合、前記スイッチ部に接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にさせることを特徴とする。

以上のように本発明に係るネットワークシステムによれば、スイッチング部に接続されているウイルス対策用データの属性が所定の属性でない場合であっても、セキュリティ対策用ネットワークにアクセス可能であるので、セキュリティ対策が可能であり、その他の場合、セキュリティ対策判定部の判定結果や認証部の認証結果に基づいて、アクセス可能なネットワークを決定するので、例えば認証レベルやセキュリティレベルに応じてアクセス可能なネットワークを変えることができる。

本発明に係るネットワークシステムにおいて、前記スイッチング部は、前記セキュリティ対策判定部が、前記ウイルス対策用データの属性が所定の属性であると判定した場合、前記スイッチ部に接続されている端末を前記少なくとも２以上のローカルネットワークのいずれか一つにアクセス可能な状態とし、前記認証部の認証結果に基づいてその接続するローカルネットワークを決定するよう構成されていることが好ましく、前記少なくとも２以上のローカルネットワークは、互いにアクセスが不可であることが好ましい。

また、本発明に係るネットワークシステムにおいて、前記セキュリティ対策判定部は、さらに前記スイッチ部に接続されている端末にインストールされている各種ソフトウエアのパッチファイルの属性に基づいて前記セキュリティの状態を判定するよう構成されており、前記スイッチング部は、前記セキュリティ対策判定部が、前記ウイルス対策用データの属性が所定の属性であると判定した場合、前記スイッチ部に接続されている端末を前記少なくとも２以上のローカルネットワークのいずれか一つにアクセス可能な状態にし、前記各種ソフトウエアのパッチファイルの属性に基づいてそのアクセス可能な状態とするローカルネットワークを決定するよう構成されていることが好ましく、前記セキュリティ対策判定部は、前記スイッチ部に接続されている端末が前記セキュリティ対策用ネットワークにアクセス可能な状態とされている際に、その端末から前記所定の属性のウイルス対策用データを取得した旨の情報を受領した場合、その端末についてセキュリティ対策の状態の再判定を行なうよう構成されていることが好ましい。

さらに、本発明に係るネットワークシステムにおいて、前記セキュリティ対策ネットワークは、セキュリティ対策用のデータを供給可能なセキュリティ対策サーバにアクセス可能に構成されていることが好ましく、前記セキュリティ対策判定部は、前記スイッチング部に接続されている端末から送信されるセキュリティ対策状況データに基づいて前記セキュリティの状態を判定するよう構成されていることが好ましい。

また、上記目的を達成するため、本発明は、少なくとも１以上のローカルネットワーク及び前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークのいずれか一つに端末を接続するネットワーク制御方法であって、前記端末のセキュリティ対策の状態を判定するセキュリティ対策判定工程と、前記セキュリティ対策判定工程において端末のセキュリティ対策が十分であると判定された場合、端末を前記少なくとも１以上のローカルネットワークにアクセス可能な状態にし、前記セキュリティ対策判定工程において端末のセキュリティ対策が不十分であると判定された場合、端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にする接続工程と、を備えたことを特徴とする。本発明に係るネットワーク制御方法において、前記接続工程において端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にした後、前記端末からセキュリティ対策が完了した旨の情報を受領した場合、前記セキュリティ対策判定工程と前記接続工程を再度行なうことが好ましい。また、本発明に係るネットワーク制御方法において、前記端末を所定の認証情報に基づいて認証し、前記端末から送信される前記認証情報が所定のものでないと判定した場合、前記端末と前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策ネットワークのいずれのネットワークとの接続を拒否する認証工程をさらに備えていることが好ましく、この場合、前記セキュリティ対策判定工程は、前記認証工程によって前記端末から送信される前記認証情報が所定のものであると判定された場合に、前記端末のセキュリティ対策の状態の判定を行なうことが好ましい。

さらに、本発明は、少なくとも２以上のローカルネットワーク及び前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークのいずれか一つに端末を接続するネットワーク制御方法であって、少なくとも前記端末にインストールされているウイルス検知ソフトウエアが使用しているウイルス検知用データの属性に基づいて、前記端末のセキュリティ対策の状態を判定するセキュリティ対策判定工程と、前記端末を所定の認証情報に基づいて認証する認証工程と、前記セキュリティ対策判定部の判定結果及び前記認証部の認証結果に基づいて、前記端末と接続する前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つを決定し、前記セキュリティ対策工程において、前記ウイルス対策用データの属性が所定の属性でないと判定された場合、前記端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にする接続工程と、を備えたことを特徴とする。

以上のように、本発明に係るネットワークシステムによれば、セキュリティ対策が不十分な端末であっても、セキュリティ対策が可能なセキュリティ対策用ネットワークにアクセス可能であるので、セキュリティ対策が十分でない端末からのウイルスの蔓延やハッカーなどからの攻撃を防止できるとともに、そうした端末におけるセキュリティ対策を取ることを容易にするネットワークシステム及びネットワーク制御方法を提供することができる。

次に、本発明に係るネットワークシステムの第１実施例を図面に基づいて説明する。第１実施例に係るネットワークシステムは、図１に示すように、ネットワーク１０と、端末１１（１１−１〜６）が接続されているＬＡＮスイッチ１２（１２−１、１２−２）と、データサーバ１３と、認証サーバ１４及び状態診断サーバ１５と、を備えている。認証サーバ１４及び状態診断サーバ１５により、各端末１１におけるセキュリティ対策の状態を判定するセキュリティ対策判定部が構成される。これらのＬＡＮスイッチ１２−１、１２−２は、所定の規則に基づき、ネットワーク１０中に仮想的に形成される複数種類のＬＡＮ（ＶＬＡＮ）のいずれか１つに端末１１を接続する。ここではＶＬＡＮとして、ＶＬＡＮ−１とＧｕｅｓｔ−ＶＬＡＮとが形成されている。ＶＬＡＮ−１は、セキュリティ対策が十分になされた端末１１が接続可能なＶＬＡＮであり、データサーバ１３−１が接続されている。一方、Ｇｕｅｓｔ−ＶＬＡＮは、後述するようにセキュリティ対策が不十分である端末１１が強制的に接続されるＶＬＡＮであり、インターネット２０を介して、各種セキュリティ対策用サーバ３０（３１〜３３）に接続可能である。セキュリティ対策サーバ３１〜３３は、例えばウイルス検知用ソフトウエアやＯＳの製造メーカのＷＷＷサーバ等である。ＶＬＡＮ−１に接続された端末１１と、Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１１とは、アクセスすることができないように構成されている。

なお、各端末１１は、一般的に市販されているウイルス検知ソフトウエアをインストールされているとともに、このウイルス検知ソフトウエアのウイルス検知用データの更新状況、並びにＯＳ、電子メールソフト及びウェブブラウザソフトなどのパッチファイルのダウンロード状況などを含めたセキュリティ対策状況に関するデータをＬＡＮスイッチ１２を介して認証サーバ１４に送信するためのソフトウエア（状態診断ソフトウエア）がインストールされている。また、端末１１−３〜７は、いずれもセキュリティ対策が十分になされているものとする。一方、端末１１−２は、ウイルス検知ソフトウエアのウイルス検知用データが最新のものでない、又はＯＳのパッチファイルが最新のものでないなどの理由で、セキュリティ対策が不十分であると判定されるべきものとする。端末１１−１は、ネットワーク１０に接続されることが許可されていない端末であるとする。

認証サーバ１４は、例えばＲＡＤＩＵＳ（Remote Authentification Dial-In User Service）サーバであり、ＩＥＥＥ８０２．１Ｘに対応したＬＡＮスイッチ１２をＲＡＤＩＵＳクライアントとして認識するものである。そして、端末１１から送信されたセキュリティ対策状況データ又は所定の認証情報に基づき、その端末１１が接続されるべきＶＬＡＮを認証する。認証サーバ１４は、各端末１１のセキュリティ対策状況等を判定すると共にその端末１１が接続されるべきＶＬＡＮの種類を判定する判定部１４１と、各端末１１からの信号を受信すると共に判定部１４１の判定結果に対応した制御信号を送信する信号送受信部１４２とを備えている。判定部１４１における判定は、ＥＡＰ（PPP Extensible Authentication Protocol）等の認証方式を利用して、状態診断サーバ１５の診断に基づいて行なわれる。すなわち、状態診断サーバ１５は、各端末１１から認証サーバ１４を介して送信されるセキュリティ対策状況データに基づき、各端末１１のセキュリティ対策状況を診断し、その診断結果を認証サーバ１４の判定部１４１に返信する。例えば、送信されたウイルス検知用データのバージョンが最新のものか否か、最新のパッチファイルがダウンロードされているか否か等を診断する。

次に、このネットワークシステムの動作を、図２に示すフローチャートに基づいて説明する。先ず、認証サーバ１４は、端末１１から出力されたネットワーク１０への接続要求をＬＡＮスイッチ１２を介して受信すると（Ｓ１００）、その接続要求を出力した端末１１に対し、自己のセキュリティ対策状況を示すセキュリティ対策状況データを認証サーバ１４に対して出力するように要求する（Ｓ１０２）。次に、認証サーバ１４は、その要求に応じて端末１１から出力された自己のセキュリティ対策状況を示すセキュリティ対策状況データをＬＡＮスイッチ１２を介して受信すると（Ｓ１０４）、認証サーバ１４は、受信したセキュリティ対策状況データを状態診断サーバ１５に転送し、接続要求を出力した端末１１のセキュリティ対策状況の診断を依頼する（Ｓ１０６）。状態診断サーバ１５は、この依頼に基づいてそのセキュリティ対策状況の診断を実行し、診断結果を認証サーバ１４に送信する（Ｓ１０８）。認証サーバ１４の判定部１４１は、この診断結果に基づき、接続要求を出力した端末１１のセキュリティ対策が十分であるか否かを判定する（Ｓ１１０）。

認証サーバ１４は、判定部１４１によってセキュリティ対策が十分であると判定すると、接続要求を出力した端末１１に所定の認証情報（ＩＤ及びパスワード、ＭＡＣアドレス、電子認証等）を要求する（Ｓ１１２）。認証サーバ１４は、その要求に応じて端末から出力された所定の認証情報をＬＡＮスイッチ１２を介して受信すると（Ｓ１１４）、接続要求を出力している端末１１についての認証を実行する（Ｓ１１６）。認証サーバ１４は、認証情報が不適切なものであると認定した場合、その端末１１の接続を拒否し、その端末１１をＶＬＡＮ−１、Ｇｕｅｓｔ−ＶＬＡＮのいずれからも遮断する（Ｓ１１７）。例えば、ＭＡＣアドレスにより端末を認証する場合、正規の端末１１−２〜７のＭＡＣアドレスのデータが認証サーバ１４により保持される。端末１１は、自己のＭＡＣアドレスを認証サーバ１４に送信することにより認証を受け、ネットワーク１０への接続許可を受けることができる。一方、ＭＡＣアドレスが登録されていない端末１１−１は接続を拒否される。なお、この端末１１−１も、ＩＤ／パスワードの入力や電子証明書等により認証を受け、ＭＡＣアドレスを登録してもらうことにより、接続を許可されるようにすることが可能である。一方、認証サーバ１４は、接続要求を出力している端末１１の認証情報が適切なものと認定した場合、その端末１１をＶＬＡＮ−１に接続させるための制御信号をＬＡＮスイッチ１２に出力して、その端末１１をＶＬＡＮ−１に接続させる（Ｓ１１８）。

また、認証サーバ１４は、ステップ１１０において、判定部１４１によってセキュリティ対策が不十分であると判定すると、その端末１１をＧｕｅｓｔ−ＶＬＡＮに接続させるための制御信号をＬＡＮスイッチ１２に出力して、その端末１１をＧｕｅｓｔ−ＶＬＡＮに接続させるとともに、端末１１にＧｕｅｓｔ−ＶＬＡＮに接続したことを通知する（Ｓ１２０）。Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１１は、インターネット２０を介して、各種のセキュリティ対策用サーバ３１〜３３にアクセスすることができる。これにより、Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１１は、必要なウイルス検知用データ、パッチファイル等をダウンロードしてセキュリティ対策を実行することができる。認証サーバ１４は、接続要求を出力している端末１１からセキュリティ対策が完了したことの通知を受信すると（Ｓ１２２）、ステップ１０２に戻って自己のセキュリティ対策状況を示すセキュリティ対策状況データを認証サーバ１４に対して出力するように要求する。一方、接続要求を出力している端末１１からセキュリティ対策が完了したことの通知を受信しない場合は、接続要求している端末１１をＧｕｅｓｔ−ＶＬＡＮに接続した状態のままにする。なお、ステップ１２２において、接続要求を出力している端末１１からセキュリティ対策が完了したことの通知を受信した場合に、ステップ１０２に戻らずにステップ１１２に行くように構成しても良い。また、ステップ１２２において、接続要求を出力している端末１１からセキュリティ対策が完了したことの通知と同時にセキュリティ対策状況データを同時に送信させた場合は、ステップ１０２に戻らずにステップ１０６に戻るように構成する。

次に、本発明に係るネットワークシステムの第２実施例を図３に基づいて説明する。図３において、第１実施例に係るネットワークシステムと同一の構成については図１と同一の符号を付し、その説明は省略する。第２実施例に係るネットワークシステムにおけるネットワーク１０は、Ｇｕｅｓｔ−ＶＬＡＮとＶＬＡＮ−１の他、ＶＬＡＮ−２、ＶＬＡＮ−３の計４つのＶＬＡＮを有しており、ＬＡＮスイッチ１２によりいずれかに振り分けられるよう構成されている。

第２実施例に係るネットワークシステムは、接続要求を出力している端末１１をそのセキュリティ対策の程度や認証情報の内容（認証レベル）に基づいて、これら４つのＶＬＡＮのいずれかに接続させるように構成されている。この点、セキュリティ対策が十分である端末１１が全て１つのＶＬＡＮ−１に接続される第１実施例に係るネットワークシステムと異なる。なお、ＶＬＡＮ−２にはデータサーバ１３−２が接続され、ＶＬＡＮ−３にはデータサーバ１３−３が接続されている。データサーバ１３−２には、ＶＬＡＮ−２に接続された端末１１のみがアクセス可能であり、データサーバ１３−３には、ＶＬＡＮ−３に接続された端末１１のみがアクセス可能である。

セキュリティ対策の程度や認証情報の内容に基づくＶＬＡＮの切替制御は、認証サーバ１４とこれに接続されたポリシサーバ１６により実行される。ポリシサーバ１６は、接続要求を出力している端末１１の種類と、そのセキュリティ対策の程度と、入力される認証情報の認証レベルと、を関連付けて記憶している。この対応関係を示す対応関係テーブルの一例を図４に示す。この例において、認証レベルＡは、ウイルス検知用データが最新のものでない場合であって、この場合、いずれの端末もＧｕｅｓｔ−ＶＬＡＮに接続される。認証レベルＢは、ウイルス検知用データが最新のものではあるが、ＯＳなどの最新のパッチファイルがダウンロードされていない場合であって、この場合、いずれの端末もＶＬＡＮ−１への接続が許可される。したがって、ＶＬＡＮ−１に接続されているデータサーバ１３−１には、例えば、比較的重要性の低く、第２実施例に係るネットワークシステムの稼動に影響を与えることがないデータが記憶されている。また、ＶＬＡＮ−１は、Ｇｕｅｓｔ−ＶＬＡＮと同様にインターネット２０を介して、各種セキュリティ対策用サーバ３０（３１〜３３）に接続可能である。最後に、認証レベルＣは、セキュリティ対策が十分である場合であって、この場合、各端末の認証情報の内容によって接続されるＶＬＡＮが異なる。すなわち、例えば管理者用の端末など認証レベルが高い端末１１−５は、ＶＬＡＮ−３に接続可能であるが、他の端末は、この場合であってもＶＬＡＮ−２に接続が振り当てられる。ＶＬＡＮ−２に接続されているデータサーバ１３−２には、例えば、比較的重要性は高いが、第２実施例に係るネットワークシステムの稼動に影響を与えることがないデータが記憶されており、ＶＬＡＮ−３に接続されているデータサーバ１３−３には、例えば、第２実施例に係るネットワークシステムの稼動に影響を与えるデータが記憶されている。

次に、この第２実施例に係るネットワークシステムの動作を図５に示すフローチャートに基づいて説明する。 先ず、認証サーバ１４は、端末１１から出力されたネットワーク１０への接続要求をＬＡＮスイッチ１２を介して受領すると（Ｓ２００）、その接続要求を出力した端末１１に対し、自己のセキュリティ対策状況を示すセキュリティ対策状況データを認証サーバ１４に対して出力するように要求する（Ｓ２０２）。次に、認証サーバ１４は、その要求に応じて端末１１から出力された自己のセキュリティ対策状況を示すセキュリティ対策状況データをＬＡＮスイッチ１２を介して受信すると（Ｓ２０４）、認証サーバ１４は、受信したセキュリティ対策状況データを状態診断サーバ１５に転送し、接続要求を出力した端末１１のセキュリティ対策状況の診断を依頼する（Ｓ２０６）。状態診断サーバ１５は、この依頼に基づいてそのセキュリティ対策状況の診断を実行し、診断結果を認証サーバ１４に送信する（Ｓ２０８）。認証サーバ１４の判定部１４１は、先ず、この診断結果に基づき、接続要求を出力した端末１１のセキュリティ対策のうち、ウイルス検知ソフトウエアのウイルス検知用データが最新のものに更新されているか否かを判定し（Ｓ２１０）、ウイルス検知用データが最新のものに更新されていると判定した場合、さらに診断結果に基づき、接続要求を出力した端末１１のセキュリティ対策のうち、最新のＯＳなどのパッチファイルがダウンロードされているか否かを判定する（Ｓ２１２）。

認証サーバ１４は、ステップ２１２において、最新のＯＳなどのパッチファイルがダウンロードされていると判定すると、接続要求を出力した端末１１に所定の認証情報（ＩＤ及びパスワード、ＭＡＣアドレス、電子証明書等）を要求する（Ｓ２１４）。認証サーバ１４は、その要求に応じて端末１１から出力された所定の認証情報をＬＡＮスイッチ１２を介して受信すると（Ｓ２１６）、接続要求を出力している端末１１についての認証を実行する（Ｓ２１８）。認証サーバ１４は、認証情報が不適切なものであると認定した場合、その端末１１の接続を拒否し、その端末１１をＶＬＡＮ−１乃至３、Ｇｕｅｓｔ−ＶＬＡＮのいずれからも遮断する（Ｓ２２０）。一方、認証サーバ１４は、接続要求を出力している端末１１の認証情報が適切なものと認定した場合、接続要求を出力している端末１１から受信した認証情報をポリシサーバ１６に転送し、ポリシサーバ１６は、図４に示す対応関係テーブルを参照して対応するＶＬＡＮ（ＶＬＡＮ―２又は３）を特定し、その情報を認証サーバ１４の判定部１４１に出力する。判定部１４１は、接続要求を出力している端末１１が接続されるべきＶＬＡＮを判定し、信号送受信部１４２は、この判定に係るＶＬＡＮ−２又はＶＬＡＮ−３に接続させるための制御信号をＬＡＮスイッチ１２に出力して、その端末１１をＶＬＡＮ−２又はＶＬＡＮ−３に接続させる（Ｓ２２２、Ｓ２２４）。図４に示す対応関係テーブルによれば、端末１１−５のみをＶＬＡＮ−３に接続し、他の端末１１の場合はＶＬＡＮ−２に接続する。

また、認証サーバ１４は、ステップ２１２において、判定部１４１によって最新のＯＳなどのパッチファイルがダウンロードされていないと判定すると、接続要求を出力した端末１１に所定の認証情報（ＩＤ及びパスワード、ＭＡＣアドレス、電子認証等）を要求する（Ｓ２２６）。認証サーバ１４は、その要求に応じて端末１１から出力された所定の認証情報をＬＡＮスイッチ１２を介して受信すると（Ｓ２２８）、接続要求を出力している端末１１についての認証を実行する（Ｓ２３０）。認証サーバ１４は、認証情報が不適切なものであると認定した場合、その端末１１の接続を拒否し、その端末１１をＶＬＡＮ−１乃至３、Ｇｕｅｓｔ−ＶＬＡＮのいずれからも遮断する（Ｓ２２０）。一方、認証サーバ１４は、接続要求を出力している端末１１の認証情報が適切なものと認定した場合、接続要求を出力している端末１１から受信した認証情報をポリシサーバ１６に転送し、ポリシサーバ１６は、図４に示す対応関係テーブルを参照して対応するＶＬＡＮ（ＶＬＡＮ―１）を特定し、その情報を認証サーバ１４の判定部１４１に出力する。判定部１４１は、接続要求を出力している端末１１が接続されるべきＶＬＡＮを判定し、信号送受信部１４２は、この判定に係るＶＬＡＮ−１に接続させるための制御信号をＬＡＮスイッチ１２に出力して、その端末１１をＶＬＡＮ−１に接続させるとともに、端末１１にＶＬＡＮ−１に接続したことを通知する（Ｓ２３２）。ＶＬＡＮ−１に接続された端末１１は、インターネット２０を介して、各種のセキュリティ対策用サーバ３１〜３３にアクセスすることができる。これにより、Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１１は、最新のパッチファイル等をダウンロードしてセキュリティ対策を実行することができる。認証サーバ１４は、接続要求を出力している端末１１から最新のパッチファイルのダウンロードが完了したことの通知を受信すると（Ｓ２３４）、ステップ２０２に戻って自己のセキュリティ対策状況を示すセキュリティ対策状況データを認証サーバ１４に対して出力するように要求する。一方、接続要求を出力している端末１１から最新のパッチファイルのダウンロードが完了したことの通知を受信しない場合は、接続要求している端末１１をＶＬＡＮ−１に接続した状態のままにする。なお、ステップ２３４において、接続要求を出力している端末１１から接続要求を出力している端末１１から最新のパッチファイルのダウンロードが完了した通知を受信した場合に、ステップ２０２に戻らずにステップ２１４に行くように構成しても良い。また、ステップ２３４において、接続要求を出力している端末１１から最新のパッチファイルのダウンロードが完了したことの通知と同時にセキュリティ対策状況データを同時に送信させた場合は、ステップ２０２に戻らずにステップ２０６に戻るように構成する。

さらに、認証サーバ１４は、ステップ２１０において、判定部１４１によってウイルス検知用データが最新のものでないと判定すると、その端末１１をＧｕｅｓｔ−ＶＬＡＮに接続させるための制御信号をＬＡＮスイッチ１２に出力して、その端末１１をＧｕｅｓｔ−ＶＬＡＮに接続させるとともに、端末１１にＧｕｅｓｔ−ＶＬＡＮに接続したことを通知する（Ｓ２３６）。Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１１は、インターネット２０を介して、各種のセキュリティ対策用サーバ３１〜３３にアクセスすることができる。これにより、Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１１は、最新のウイルス検知用データをダウンロードしてセキュリティ対策を実行することができる。認証サーバ１４は、接続要求を出力している端末１１からウイルス検知用データを最新のものに更新した通知を受信すると（Ｓ２３８）、ステップ２０２に戻って自己のセキュリティ対策状況を示すセキュリティ対策状況データを認証サーバ１４に対して出力するように要求する。一方、接続要求を出力している端末１１からウイルス検知用データを最新のものに更新した通知を受信しない場合は、接続要求している端末１１をＧｕｅｓｔ−ＶＬＡＮに接続した状態のままにする。なお、ステップ２３８において、接続要求を出力している端末１１からウイルス検知用データを最新のものに更新した通知を受信した場合に、ステップ２０２に戻らずにステップ２１２に行くように構成しても良い。また、ステップ２３８において、接続要求を出力している端末１１からウイルス検知用データを最新のものに更新した通知と同時にセキュリティ対策状況データを同時に送信させた場合は、ステップ２０２に戻らずにステップ２０６に戻るように構成する。

以上、本発明に係るネットワークシステムの第１実施例及び第２実施例について説明したが、本発明はこれに限定されるものではなく、発明の趣旨を逸脱しない範囲内において、種々の追加、変更、置換等が可能である。例えば、第１実施例及び第２実施例に係るネットワークシステムにおいては、各端末のセキュリティ対策の状況を判定した後に、各端末の認証情報の認定を行なっているが、これに限定されず例えば図６及び図７に示すように各端末の認証情報の認定を行った後に各端末のセキュリティ対策の状況の判定を行なうように構成しても良い。また、第１実施例及び実施例２に係るネットワークシステムにおいては、各端末のセキュリティ対策の状況を判定した後に、各端末の認証情報の認定を行なっているが、各端末の認証情報の認定を行なわないように構成しても良い。例えば、図２において、ステップ１１２乃至１１６を省いてステップ１１０においてｙｅｓの場合直接端末をＶＬＡＮ−１に接続するように構成しても良く、また図５においてステップ２２６乃至２３０を省いてステップ２１２においてｙｅｓの場合直接端末をＶＬＡＮ−１に接続するように構成しても良い。

本発明に係るネットワークシステムの第１実施例の概念図である。 第１実施例に係るネットワークシステムの動作を示すフローチャートである。 本発明に係るネットワークシステムの第２実施例の概念図である。 ポリシサーバ１６に記憶されている、接続要求を出力している端末の種類と、そのセキュリティ対策の程度と、認証情報の認証レベルと、の対応関係を示すテーブルの一例を示す。 第２実施例に係るネットワークシステムの動作を示すフローチャートである。 第１実施例に係るネットワークシステムの他の動作を示すフローチャートである。 第２実施例に係るネットワークシステムの他の動作を示すフローチャートである。

符号の説明

１１・・・端末、 １２・・・ＬＡＮスイッチ、 １３・・・データサーバ、 １４・・・認証サーバ、 １５・・・状態診断サーバ、 １６・・・ポリシサーバ、 ２０・・・インターネット、 ３０・・・セキュリティ対策サーバ。

Claims (20)

1. 少なくとも１以上のローカルネットワークと、
   前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、
   端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
   該スイッチング部に接続されている端末のセキュリティ対策の状態を判定するセキュリティ対策判定部と、を備えているネットワークシステムであって、
   前記スイッチング部は、前記セキュリティ対策判定部によって接続されている端末のセキュリティ対策が十分であると判定された場合、接続されている端末を前記少なくとも１以上のローカルネットワークにアクセス可能な状態にし、前記セキュリティ対策判定部によって接続されている端末のセキュリティ対策が不十分であると判定された場合、接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にすることを特徴とするネットワークシステム。
2. 前記セキュリティ対策判定部は、前記スイッチング部に接続されている端末が前記セキュリティ対策用ネットワークにアクセス可能な状態にされている際に、その端末からセキュリティ対策が完了した旨の情報を受領した場合、その端末についてセキュリティ対策の状態の再判定を行なうよう構成されていることを特徴とする請求項１記載のネットワークシステム。
3. 前記セキュリティ対策ネットワークは、セキュリティ対策用のデータを供給可能なセキュリティ対策サーバにアクセス可能に構成されていることを特徴とする請求項１又は２記載のネットワークシステム。
4. 前記セキュリティ対策判定部は、前記スイッチング部に接続されている端末から送信されるセキュリティ対策状況データに基づいて前記セキュリティの状態を判定するよう構成されていることを特徴とする請求項１乃至３いずれか記載のネットワークシステム。
5. 前記セキュリティ対策判定部は、前記スイッチ部に接続されている端末にインストールされているウイルス検知用データの属性に基づいて前記セキュリティの状態を判定するよう構成されていることを特徴とする請求項１乃至４いずれか記載のネットワークシステム。
6. 前記セキュリティ対策判定部は、前記スイッチ部に接続されている端末にインストールされている各種ソフトウエアのパッチファイルの属性に基づいて前記セキュリティの状態を判定するよう構成されていることを特徴とする請求項１乃至５いずれか記載のネットワークシステム。
7. 前記端末を所定の認証情報に基づいて認証する認証部をさらに備え、
   前記スイッチング部は、前記認証部が前記端末から送信される前記認証情報が所定のものでないと判定した場合、前記端末と前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策ネットワークのいずれのネットワークとの接続を拒否するように構成されていることを特徴とする請求項１乃至６いずれか記載のネットワークシステム。
8. 前記セキュリティ対策判定部は、前記認証部が前記端末から送信される前記認証情報が所定のものであると判定した場合に、前記スイッチング部に接続されている端末のセキュリティ対策の状態の判定を行なうよう構成されていることを特徴とする請求項７記載のネットワークシステム。
9. 少なくとも２以上のローカルネットワークと、
   前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、
   端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態にさせるスイッチング部と、
   該スイッチング部に接続されている端末のセキュリティ対策の状態を判定するセキュリティ対策判定部と、
   前記端末を所定の認証情報に基づいて認証する認証部と、を備えているネットワークシステムであって、
   前記セキュリティ対策判定部は、少なくとも前記スイッチ部に接続されている端末にインストールされているウイルス検知用データの属性に基づいて前記セキュリティの状態を判定するよう構成されており、
   前記スイッチング部は、前記セキュリティ対策判定部の判定結果及び前記認証部の認証結果に基づいて、前記スイッチング部に接続されている端末とアクセス可能な状態にする前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つを決定するよう構成され、前記セキュリティ対策判定部が、前記ウイルス対策用データの属性が所定の属性でないと判定した場合、前記スイッチ部に接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にさせることを特徴とするネットワークシステム。
10. 前記スイッチング部は、前記セキュリティ対策判定部が、前記ウイルス対策用データの属性が所定の属性であると判定した場合、前記スイッチ部に接続されている端末を前記少なくとも２以上のローカルネットワークのいずれか一つにアクセス可能な状態とし、前記認証部の認証結果に基づいてその接続するローカルネットワークを決定するよう構成されていることを特徴とする請求項９記載のネットワーク。
11. 前記少なくとも２以上のローカルネットワークは、互いにアクセスが不可であることを特徴とする請求項９又は１０記載のネットワークシステム。
12. 前記セキュリティ対策判定部は、さらに前記スイッチ部に接続されている端末にインストールされている各種ソフトウエアのパッチファイルの属性に基づいて前記セキュリティの状態を判定するよう構成されており、
    前記スイッチング部は、前記セキュリティ対策判定部が、前記ウイルス対策用データの属性が所定の属性であると判定した場合、前記スイッチ部に接続されている端末を前記少なくとも２以上のローカルネットワークのいずれか一つにアクセス可能な状態にし、前記各種ソフトウエアのパッチファイルの属性に基づいてそのアクセス可能な状態とするローカルネットワークを決定するよう構成されていることを特徴とする請求項９乃至１１いずれか記載のネットワークシステム。
13. 前記セキュリティ対策判定部は、前記スイッチ部に接続されている端末が前記セキュリティ対策用ネットワークにアクセス可能な状態とされている際に、その端末から前記所定の属性のウイルス対策用データを取得した旨の情報を受領した場合、その端末についてセキュリティ対策の状態の再判定を行なうよう構成されていることを特徴とする請求項９乃至１２いずれか記載のネットワークシステム。
14. 前記セキュリティ対策ネットワークは、セキュリティ対策用のデータを供給可能なセキュリティ対策サーバにアクセス可能に構成されていることを特徴とする請求項９乃至１３記載のネットワークシステム。
15. 前記セキュリティ対策判定部は、前記スイッチング部に接続されている端末から送信されるセキュリティ対策状況データに基づいて前記セキュリティの状態を判定するよう構成されていることを特徴とする請求項９乃至１４いずれか記載のネットワークシステム。
16. 少なくとも１以上のローカルネットワーク及び前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークのいずれか一つに端末を接続するネットワーク制御方法であって、
    前記端末のセキュリティ対策の状態を判定するセキュリティ対策判定工程と、
    前記セキュリティ対策判定工程において端末のセキュリティ対策が十分であると判定された場合、端末を前記少なくとも１以上のローカルネットワークにアクセス可能な状態にし、前記セキュリティ対策判定工程において端末のセキュリティ対策が不十分であると判定された場合、端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にする接続工程と、を備えたことを特徴とするネットワーク制御方法。
17. 前記接続工程において端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にした後、前記端末からセキュリティ対策が完了した旨の情報を受領した場合、前記セキュリティ対策判定工程と前記接続工程を再度行なうことを特徴とする請求項１６記載のネットワーク制御方法。
18. 前記端末を所定の認証情報に基づいて認証し、前記端末から送信される前記認証情報が所定のものでないと判定した場合、前記端末と前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策ネットワークのいずれのネットワークとの接続を拒否する認証工程をさらに備えていることを特徴とする請求項１６又は１７記載のネットワーク制御方法。
19. 前記セキュリティ対策判定工程は、前記認証工程によって前記端末から送信される前記認証情報が所定のものであると判定された場合に、前記端末のセキュリティ対策の状態の判定を行なうことを特徴とする請求項１８記載のネットワーク制御方法。
20. 少なくとも２以上のローカルネットワーク及び前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークのいずれか一つに端末を接続するネットワーク制御方法であって、
    少なくとも前記端末にインストールされているウイルス検知ソフトウエアが使用しているウイルス検知用データの属性に基づいて、前記端末のセキュリティ対策の状態を判定するセキュリティ対策判定工程と、
    前記端末を所定の認証情報に基づいて認証する認証工程と、
    前記セキュリティ対策判定部の判定結果及び前記認証部の認証結果に基づいて、前記端末と接続する前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つを決定し、前記セキュリティ対策工程において、前記ウイルス対策用データの属性が所定の属性でないと判定された場合、前記端末を前記セキュリティ対策用ネットワークにアクセス可能な状態とする接続工程と、を備えたことを特徴とするネットワーク制御方法。
    
    

Images