JP2005216253A

JP2005216253A - 検疫ネットワークシステム

Info

Publication number: JP2005216253A
Application number: JP2004025919A
Authority: JP
Inventors: Hiroaki Nakada; 浩章中田; Tomohiko Tanigawa; 智彦谷川
Original assignee: NEC Corp; NEC Solution Innovators Ltd
Current assignee: NEC Corp; NEC Solution Innovators Ltd
Priority date: 2004-02-02
Filing date: 2004-02-02
Publication date: 2005-08-11
Anticipated expiration: 2024-02-02
Also published as: JP4328637B2

Abstract

【課題】ウィルス対策を端末利用者に負担をかけずに確実に行なう。
【解決手段】ユーザー端末のネットワークへの接続要求を受付た際に、ウィルス対策がなされているかを確認するためにネットワークを制限してユーザー端末の接続を行なう第１のステップと、接続要求を行なったユーザー端末のウィルス対策状況を確認する第２のステップと、第２のステップにてウィルス対策がなされていることが確認された場合に、接続されるネットワークの制限を解除する第３のステップとウィルス対策がなされていないことが確認された場合にさらにネットワークを制限してユーザー端末の接続を行なう第４のステップと、を有する。
【選択図】図１

Description

本発明は、利用者がユーザー端末へのログイン操作を行う際に、ウィルス対策状況を管理するコンピュータウィルス検疫方法およびコンピュータウィルス検疫システムに関する。

近年、コンピュータウィルス（以下、ウィルスと略称する）による被害が多発しており、ウィルスに対する有効な対策についてのニーズが高まっている。

ウィルスはネットワークを介して伝染するものであるため、ウィルスに感染したコンピュータがネットワークを接続することを防止することが有効となる。このようなことを行なうシステムとして、ウィルスに感染している可能性が高い端末について、ネットワークから切り離すウィルス検知システム等が実用化されている。

上記のようなウィルス検知システムは、ウィルスの検知をネットワークに接続される前に行ない、その結果、ウィルスに感染している可能性が高い端末について、ネットワークに接続させずにウィルスの駆除を行なうことにより実現しているが、このことはネットワークに接続する前に端末の利用者が行なう必要があるため、利用者にとっては手間が掛かるという問題があった。

上記のような端末利用者の負担を軽減するためには、端末がネットワークに接続された後にネットワーク側でウィルスの検査および駆除を行なうことが考えられる。

ネットワークに接続する前に、接続する端末についての認証を行なう従来技術としては、ユーザー認証ＶＬＡＮが挙げられる。ユーザー認証ＶＬＡＮでは、利用者認証を事前に行い、それが完了した利用者にのみネットワークへのアクセスが許可されるが、現状では、単にＩＤ、パスワード等の個人を識別するための情報だけを元に認証を行っている状況であり、それ以外の条件を容易に付加できる仕組みとなっていない。

ネットワークに接続される端末の利用者側でウィルスの検知および駆除を行なうウィルス検知システムは利用者にとっては手間が掛かるという問題があった。

端末がネットワークに接続された後にネットワーク側でウィルスの検査および駆除を行なう場合には、ネットワークに接続された後に対処することになるため、以下のような様々な問題点がある。

（１）ウィルス対策が完全でないユーザー端末がイントラネットに接続されても、その端末からの通信を拒絶することができない。

（２）長期間未使用だったユーザー端末があった場合、このユーザー端末はウィルス対策が完全でない可能性が高い。しかし、このユーザー端末を起動した場合、イントラネットに接続できてしまい、ウィルスに感染する可能性が高い。

（３）ウィルスに感染しているユーザー端末をイントラネットに接続してしまった場合、イントラネットアクセス制限がない場合には、他のユーザー端末にもウィルスが拡散してしまう。

（４）ウィルス対策をタイムリーにチェックする仕組みが無い。

（５）ウィルス対策をイントラネットに接続して行うと、ウィルス対策中にウィルスに感染する可能性があるため、イントラネットに接続してウィルス対策を行うことができない。

ネットワークに接続する前に、接続する端末についての認証を行なう技術は、現状では、単にＩＤ、パスワード等の個人を識別するための情報だけを元に認証を行っている状況であり、それ以外の条件を容易に付加できる仕組みとなっていない。

本発明は上述したような従来技術の有する問題点に鑑みてなされたものであって、ウィルス対策を端末利用者に負担をかけることなく確実に行なうことのできるコンピュータウィルス検疫方法およびコンピュータウィルス検疫システムを実現することを目的とする。

本発明のコンピュータウィルス検疫方法は、ユーザー端末毎のウィルス対策を管理するウィルス対策状況管理センター端末と、ユーザー端末毎に設けられてユーザー端末のネットワークへの接続を制限するネットワーク構成機器と、前記ユーザー端末にウィルス対策を行なうためのウィルス対策センター端末と、を備えたネットワークで行なわれるコンピュータウィルス検疫方法であって、
前記ネットワーク構成機器が、前記ユーザー端末のネットワークへの接続要求を受付た際に、ウィルス対策がなされているかを確認するためにウィルス対策状況管理センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行なう第１のステップと、
前記ウィルス対策状況管理センター端末が、接続要求を行なったユーザー端末のウィルス対策状況を確認する第２のステップと、
前記ネットワーク構成機器が、前記第２のステップにてウィルス対策がなされていることが確認された場合に、接続されるネットワークの制限を解除する第３のステップと、
前記ネットワーク構成機器が、前記第２のステップにてウィルス対策がなされていないことが確認された場合に前記ウィルス対策センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行なう第４のステップと、
前記ユーザー端末が前記ウィルス対策センター端末からウィルス対策に必要な情報を取得してウィルス対策を行なう第５のステップとを有する。

この場合、前記ネットワーク構成機器は、ユーザー端末が所定の日数起動されていなかった場合に前記ウィルス対策センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行なうこととしてもよい。

また、前記ネットワーク構成機器は、ウィルス対策ソフトやデータファイルのバージョンが最新でなかった場合、および、最終のウィルスチェック実施日が所定の日数を経過していた場合に前記ウィルス対策センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行なうこととしてもよい。

本発明のコンピュータウィルス検疫システムは、ユーザー端末毎のウィルス対策を管理するウィルス対策状況管理センター端末と、ユーザー端末毎に設けられてユーザー端末のネットワークへの接続を制限するネットワーク構成機器と、前記ユーザー端末にウィルス対策を行なうためのウィルス対策センター端末と、を備えたコンピュータウィルス検疫システムであって、
前記ネットワーク構成機器は、前記ユーザー端末のネットワークへの接続要求を受付た際に、ウィルス対策がなされているかを確認するためにウィルス対策状況管理センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行ない、
前記ウィルス対策状況管理センター端末は、接続要求を行なったユーザー端末のウィルス対策状況を確認し、
前記ネットワーク構成機器は、前記ウィルス対策状況管理センター端末にてウィルス対策がなされていることが確認された場合に、接続されるネットワークの制限を解除し、また、前記ウィルス対策状況管理センター端末にてウィルス対策がなされていないことが確認された場合に前記ウィルス対策センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行ない、
前記ユーザー端末は前記ウィルス対策センター端末からウィルス対策に必要な情報を取得してウィルス対策を行なう。

本発明の他の形態によるコンピュータウィルス検疫システムは、ユーザー端末毎のウィルス対策を管理するウィルス対策状況管理センター端末と、ユーザー端末毎に設けられてユーザー端末のネットワークへの接続を制限するネットワーク構成機器と、認証情報センター端末と、認証情報受付センター端末と、を備えたネットワークで行なわれるコンピュータウィルス検疫方法であって、
ネットワークを介して接続された、ウィルス対策状況管理センター端末と、、ネットワーク構成機器とを具備し、
認証情報センター端末は、利用者を識別するための利用者識別情報と、利用者がアクセスできるネットワークを決定するためのネットワーク識別子を保持し、前記認証情報受付センター端末から利用者識別情報が送られてくると自己が保持する利用者識別情報であるかを照合して一致するものがある場合にはその旨とともに該利用者識別情報に示される利用者がアクセスできるネットワークを決定するためのネットワーク識別子を返信し、
ウィルス対策状況管理センター端末は、前記ネットワークに接続されているすべてのユーザー端末のウィルス対策状況を各ユーザー端末を示す機器固有情報毎に保持し、前記認証情報受付センター端末からの前記機器固有情報を受け付けると、該機器固有情報に対応して保持しているユーザー端末のウィルス対策状況を前記認証情報受付センター端末に返送し、
前記認証情報受付センター端末は、前記ユーザー端末からのアクセスを受け付けると、前記ユーザー端末の機器固有情報と利用者識別情報の入力を促す画面を前記ユーザー端末に表示させ、これに応答して、前記ユーザー端末より機器固有情報と利用者識別情報が送られくると、利用者識別情報を認証情報センター端末に送信し、これに応答して、該認証情報センター端末からネットワーク識別子が送られてくると、前記機器固有情報を前記ウィルス対策状況管理センター端末へ送信し、これに応答する前記ウィルス対策状況管理センター端末からの返信がウィルス対策がなされていることを示すものである場合には前記機器固有情報およびネットワーク識別子を前記ネットワーク構成機器へ送信し、
前記ネットワーク構成機器は、前記認証情報受付センター端末からの前記機器固有情報をネットワーク識別子に登録し、前記ユーザー端末からのネットワークへの接続要求に対して前記認証情報センター端末が含まれるネットワーク、および、接続要求を行なったユーザー端末の機器固有情報とともに自己に登録されているネットワーク識別子が示すネットワークのみに接続させる。

この場合、前記ユーザー端末にウィルス対策を行なうためのウィルス対策センター端末を備え、
前記認証情報受付センター端末は、前記ウィルス対策状況管理センター端末からの返信がウィルス対策がなされていないことを示すものである場合には前記機器固有情報および前記ウィルス対策センター端末を服務ネットワークを示すネットワーク識別子を前記ネットワーク構成機器へ送信することとしてもよい。

また、ウィルス対策状況管理センター端末は、定期的にウィルス対策に必要な情報の最新情報を入手し、保持しているネットワークに接続されているすべてのユーザー端末のウィルス対策状況情報との比較処理を行い、ウィルス対策が完全でないユーザー端末を検出した場合には、該ユーザー端末の機器固有情報、ネットワーク識別子を基に、ネットワーク構成機器に機器固有情報の削除要求を送信し、
ネットワーク構成機器は、受信した削除要求に従い、ネットワーク識別子に対応するネットワークから機器固有情報を削除することとしてもよい。

上記のように構成される本発明においては、センター端末へのウィルス対策チェック状況問い合わせを自動的に行い、ウィルス対策が完全に行われている時のみ、正規のネットワークにアクセスすることができ、また、ウィルス対策が完全でない場合には、正規のネットワークにはアクセスさせず、ウィルス対策を行うためだけのネットワークにアクセスし、ウィルス対策を行うことができることとなる。また、ユーザー認証ＶＬＡＮ技術とウィルス検知システム等のウィルス対策システムを融合し、利用者認証と同時にユーザー端末ウィルス対策状況を判定することにより、ネットワークへのアクセスを制御し、また、通常のネットワークに物理的には接続しながら安全にウィルス対策を行うことが可能となるサービスを提供できることとなる。

本発明は上記のように構成されているため、以下に記すような効果を奏する。

（１）利用者のユーザー端末へのログオン操作をきっかけとして、個人を識別するための個人情報と、ユーザー端末のウィルス対策状況の両方を判定しネットワークアクセスの可否を動的に行うことができる。

（２）ウィルス対策が完全でないユーザー端末があった場合でも、物理的にネットワークを切り離すことなく、そのままの状態でウィルス対策センター端末にアクセスし、ウィルス対策ができることにより、利用者の作業負荷が大幅に削減される。

（３）ウィルス対策センター端末のみにアクセスできるネットワークは、アクセス先ならびに使用できるポート等も制限することにより、ウィルスに感染する危険のない安全な環境でウィルス対策ができるようになる。

（４）ウィルス対策が完全でないユーザー端末をウィルス対策状況管理センター端末が検出した場合に、該当端末を強制的に正規のネットワークから論理的に切り離し、ウィルス対策用のネットワークに分離することができる。

（５）利用者がウィルス対策を行った場合に、再度ログオン操作を行うことにより、正規のネットワークへのアクセスができるようになる。

（６）ウィルス対策状況管理センター端末により、ネットワークに接続されているすべてのユーザー端末のウィルス対策状況を把握することが可能である。

（７）ウィルス対策状況管理センターの管理者がネットワークに接続されているユーザー端末のウィルス対策に対する最新の情報を参照できる。

次に、本発明の実施例について図面を参照して説明する。

図１は、本発明による一実施例の構成を示すブロック図である。図２ないし図４は本実施例の動作を示すフローチャートである。

本実施例は、ユーザー端末１０と、ウィルス対策状況管理センター端末２０と、認証情報センター端末３０と、認証情報受付センター端末４０と、ネットワーク構成機器５０と、ウィルス対策センター端末６０と、インターネット等のネットワーク１００から構成されている。

ユーザー端末１０、ウィルス対策状況管理センター端末２０、認証情報センター端末３０、認証情報受付センター端末４０、ネットワーク構成機器５０およびウィルス対策センター端末６０のいずれもプログラム制御により動作するもので、ユーザー端末１０はネットワーク構成機器５０を介してインターネット等のネットワーク１００に接続され、その他は直接に接続されていて、これらはネットワーク１００を介して相互に接続されている。なお、図１にはユーザー端末１０およびネットワーク構成機器５０は１つのみが示されているが実際には複数のものがネットワーク１００に接続されている。

ユーザー端末１０は、パーソナルコンピュータ等の情報処理装置であり、認証情報受付センター端末４０が提供している認証受付機能にアクセスし、自己の機器固有情報と利用者識別情報を送信する機能を備えている。

機器固有情報は、たとえば、ホスト名、ユーザー端末１０に設定されているＩＰアドレス、ＭＡＣアドレス等の機器に関する情報であり、利用者識別情報は、利用者番号、パスワード等の個人を識別するための情報である。

また、ユーザー端末１０は、ウィルス対策を行うための要求をウィルス対策センター端末６０に送信する機能を有し、該要求に応答してウィルス対策センター端末６０から送られてくる各種情報に基づき、ユーザー端末１０のウィルス対策を完全なものとする機能を有する。

ウィルス対策状況管理センター端末２０は、ウィルス対策状況を管理するセンター（不図示）に設置されるサーバ等の情報処理装置であり、ネットワーク１００に接続されているすべてのユーザー端末１０の情報と、すべてのユーザー端末１０のウィルス状況を把握するための情報を収集し、その情報を画面に表示する機能を備えている。

また、ウィルス対策状況管理センター端末２０は、ウィルス対策のために必要な最新情報を保持しており、この情報と検知したすべてのユーザー端末１０から収集した情報を比較することにより、ユーザー端末１０のウィルス対策が完全であることの確認を行う機能を備えている。

また、ウィルス対策状況管理センター端末２０は、ウィルス対策が完全でないユーザー端末１０を検出した場合には、運用管理者に通報する機能を備えている。さらに、ユーザー端末１０の機器固有情報をネットワーク構成機器５０に登録する機能、および、削除する機能を備えている。

また、ウィルス対策状況管理センター端末２０は、認証情報受付センター端末４０からのユーザー端末１０に対するウィルス対策状況確認問い合わせを受け付け、保持しているユーザー端末１０のウィルス対策状況情報を参照し、その結果を認証情報受付センター端末４０に返送する機能を備えている。

認証情報センター端末３０は、利用者識別情報を集中的に管理するセンターに設置されているサーバ等の情報処理装置である。利用者識別情報として、利用者番号、パスワード、カード番号、指紋情報等の個人を識別するための情報と、利用者がアクセスできるネットワークを決定するためのネットワーク識別子を保持する機能を備えている。また、認証情報受付センター端末４０に対して、認証情報センター端末３０が保有している利用者識別情報を参照、照合することができる機能を提供する。

認証情報受付センター端末４０は、認証情報受付センターに設置されているサーバ等の情報処理装置で、ユーザー端末１０から送信されてくる利用者識別情報と機器固有情報を受信する機能を備え、また、認証情報センター端末３０に、利用者識別情報を問い合わせて照会する機能を備えている。

さらに、認証情報受付センター端末４０は、ウィルス対策状況管理センター端末２０に対して、ユーザー端末１０の機器固有情報を送信し、当該端末のウィルス対策状況の問い合わせを行う機能を備えている。認証情報受付センター端末４０は、利用者情報の照会が成功し、ウィルス対策状況のチェックの結果、ウィルス対策が成されていることが確認された場合に、機器固有情報とネットワーク識別子をネットワーク機器５０に登録要求する機能を備えている。

ネットワーク構成機器５０は、ユーザー端末１０がアクセスするネットワーク自身を構成する。ネットワーク構成機器５０は、ネットワーク構成機器５０の保有する一つの物理インターフェースに対し、複数のネットワークを構成する機能を備え、認証情報受付センター端末４０からの登録要求を受信し、ユーザー端末１０の機器固有情報を通知されたネットワーク識別子に対応するネットワークに対応して自己に登録する機能を備えている。

また、ネットワーク構成機器５０は、登録されているユーザー端末１０の機器固有情報やこれに対応するネットワークに応じてユーザー端末１０のネットワーク１００におけるアクセス先を制限する機能を有し、認証情報受付センター端末４０に機器固有情報が登録されていないユーザー端末１０については、ウィルス対策センター端末６０にのみアクセスを許す。また、ユーザ端末１０の立ち上げ時などのユーザ端末１０からの初回のネットワーク１００へのアクセス要求に対しては認証情報受付センター端末４０にのみアクセスを許す機能を備えている。つまり、機器固有情報の登録の有無により、ユーザー端末１０がアクセスできるネットワークを切り替えることができる機能を備えている。

上記のユーザ端末１０の初回のネットワーク１００へのアクセス要求に対するアクセス先の制限はネットワーク構成機器５０側で行なうこととしたがユーザ端末１０側で行なうこととしてもよい。ユーザ端末１０とネットワーク構成機器５０は個別に対応して設けられるものであり、ユーザ端末１０が初回のネットワーク１００へのアクセス要求である旨を示す信号を送出し、これを受けてネットワーク構成機器５０がアクセス先を制限する構成としてもよく、あるいは、ユーザー端末１０自身が初回のネットワーク先のアクセス先として認証情報受付センター端末４０を指定し、ネットワーク構成機器５０は認証情報受付センター端末４０に対するアクセス要求に対しては制限を行なわない構成としてもよい。

ウィルス対策センター端末６０は、ウィルス対策センターに設置されているサーバ等の情報処理装置である。ウィルス対策が完全でないユーザー端末１０に対してウィルス対策を行うための各種情報を保持し、ユーザー端末１０からのウィルス対策要求に対し、対策を行うための各種情報を送る機能を備えている。

次に、本実施例の動作について図２ないし図４を参照して詳細に説明する。

まず、利用者がユーザー端末１０より、ネットワーク１００へアクセスする。このとき、上述したようにネットワーク構成機器５０により認証情報受付センター端末４０のみにアクセスが許可されており、認証情報受付センター端末４０が開設するホームページにアクセスすることとなる（ステップＡ１）。これに応答して、認証情報受付センター端末４０は、利用者識別情報の入力を促す画面情報をユーザー端末１０に送信する（ステップＡ２）。

ユーザー端末１０では、利用者識別情報を入力する画面の表示を行い(ステップＡ３)、利用者は利用者番号、パスワード等の利用者識別情報を画面上で入力し、送信の指示をする(ステップＡ４)。

ユーザー端末１０では機器固有情報を収集し、ステップＡ４での利用者入力による利用者識別情報とともに認証情報受付センター端末４０に送信する(ステップＡ５)。

認証情報受付センター端末４０は、ユーザー端末１０からの利用者識別情報と機器固有情報を受信すると、これらを認証情報センター端末３０に送信する(ステップＡ６)。

認証情報センター端末３０では、認証情報受付センター端末４０からの利用者識別情報を受信すると、認証情報センター端末３０で管理している利用者識別情報と照合する（ステップＡ７）。そして、照合結果を認証情報受付センター端末４０に送信する（ステップＡ８）。このとき、照合結果が正しければ（一致するものがあることが確認された場合）、認証を行った利用者がアクセスできるネットワークを特定するためのネットワーク識別子も送信する。

認証情報受付センター端末４０は、照合結果をチェックし（ステップＡ９）、照合結果が正しければ、ユーザー端末１０からの機器固有情報をウィルス対策状況管理センター端末２０に送信する（ステップＡ１０）。

認証情報受付センター端末４０は、認証情報センター端末３０からの照合結果が不正（一致するものがあることが確認されなかった場合）であった場合には、照合結果をユーザー端末１０に送信する（ステップＡ１１）。

ウィルス対策状況管理センター端末２０は認証情報受付センター端末４０からの機器固有情報を受信すると、この機器固有情報によりユーザー端末１０のウィルス対策状況を照合する（ステップＡ１２）。そして、照合結果を認証情報受付センター端末４０に送信する（ステップＡ１３）。

認証情報受付センター端末４０は、認証情報センター端末３０からの照合結果をユーザー端末１０に送信する（ステップＡ１４）。

ユーザー端末１０は、認証情報受付センター端末４０からの照合結果を受信すると、照合結果を画面等に表示することにより利用者に通知する（ステップＡ１５）。

認証情報受付センター端末４０は、ステップＡ１４における照合結果をユーザー端末１０へ送信した後に、ウィルス対策状況管理センター端末２０からの照合結果をチェックし（ステップＡ１６）、照合結果が正しかった場合（ウィルス対策状況がウィルス対策がなされていることを示す場合）には、機器固有情報とネットワーク識別子をネットワーク構成機器５０に送信し、ネットワーク識別子に対応するネットワークに機器固有情報を登録する要求を出す（ステップＡ１７）。また、照合結果が不正であった場合（ウィルス対策状況がウィルス対策がなされていないことを示す場合）には終了する。

ネットワーク構成機器５０は受信したユーザー端末１０の機器固有情報をネットワーク識別子に対応するネットワークに登録する（ステップＡ１８）。

ユーザー端末１０はすべての照合結果を受信後に、ネットワーク１００へのアクセス要求をネットワーク構成機器５０に送信する（ステップＡ１９）。

ネットワーク構成機器５０は、自己の機器固有情報の登録状況を確認し（ステップＡ２０）、登録済みであれば機器固有情報が登録されているネットワーク１００へユーザー端末１０のアクセスを許可し（ステップＡ２１）、機器固有情報が登録されていない場合には、ユーザー端末１０にはウィルス対策センター端末６０のみにアクセスできるネットワークへのアクセスを許可する（ステップＡ２２）。

上記のネットワーク構成機器５０の許可により、ユーザー端末１０はネットワークへのアクセスが可能になる（ステップＡ２３）。

また、ステップＡ２２でウィルス対策センター端末６０のみにアクセスできるネットワークに割り振られたユーザー端末１０の利用者は、ウィルス対策センター端末６０にアクセスする（ステップＡ２４）。

ウィルス対策センター端末６０は、ウィルス対策を完全なものにするための情報をユーザー端末１０に送信する（ステップＡ２５）。

ユーザー端末１０は、ウィルス対策センター端末６０から送られてきた情報を画面に表示し、利用者にユーザー端末１０のウィルス対策を完全なものにするために必要な情報の取得要求をウィルス対策センター端末６０に送信する（ステップＡ２６）。

ウィルス対策センター端末６０は、要求されたウィルス対策をするために必要な情報をユーザー端末１０に送信する（ステップＡ２７）。

ユーザー端末１０は、ウィルス対策センター端末６０から送られてきた情報を基に、ユーザー端末１０のウィルス対策を完全なものにする（ステップＡ２８）。

ウィルス対策センター端末６０にアクセスし、ウィルス対策を実施したユーザー端末１０の利用者は、再びステップＡ１からのログオン操作を行うことにより、正規のネットワークにアクセスすることができるようになる。

次に、本発明におけるウィルス対策を最新とするための手順について図５を参照して説明する。

ウィルス対策状況管理センター端末２０は、定期的にウィルス対策に必要な情報の最新情報を入手する（ステップＡ２９）。この最新情報の入手は人手による入力やウィルス対策状況管理センター端末２０と同様の機能を持つリンク先との連携などが挙げられる。この後、保持しているネットワークに接続されているすべてのユーザー端末１０のウィルス対策状況情報との比較処理を行い、ウィルス対策が完全でないユーザー端末を検出する（ステップＡ３０）。ウィルス対策が完全でないユーザー端末を検出した場合には、該当ユーザー端末の機器固有情報、ネットワーク識別子を基に、ネットワーク構成機器５０に機器固有情報の削除要求を送信する（ステップＡ３１）。ネットワーク構成機器５０は、受信した機器固有情報削除要求に従い、ネットワーク識別子に対応するネットワークから機器固有情報を削除する（ステップＡ３２）。

これにより、ウィルス対策が不完全であるユーザー端末１０は強制的に正規ネットワークから離脱し、ウィルス対策用にウィルス対策センター端末６０のみにアクセスできるネットワークに移されることになる。これにより、既知のウィルスの感染を未然に防ぐことができる。

以上のように、本実施例によれば、利用者の承認行為のタイミングにて、利用者が使用している端末のウィルス対策状況の確認を行うため、ウィルス対策が完全であればネットワークへのアクセスを許可するが、ウィルス対策が完全でなかった場合にはネットワークへのアクセスを拒否することができるという効果が得られる。

また、正規のネットワークへのアクセスが拒否されたユーザー端末は、ウィルス対策のみを行う専用のネットワークへのアクセスができるため、物理的にネットワークを切り替えることなく、ユーザー端末のウィルス対策ができるという効果も得られる。

また、ウィルス対策が完全でないユーザー端末が正規のネットワークに接続された場合には、その時点でウィルスに感染する可能性があるが、本実施例では、未然にネットワークへのアクセスを拒否することができるため、ウィルス被害を未然に防ぐことができる効果も得られる。

次に、本発明の第２の実施例について説明する。図６は本発明による第２の実施例の構成を示すブロック図である。

認証情報センター端末８０は、ネットワーク１００に接続されているユーザー端末１０の機器固有情報とウィルス対策ソフトの情報、最終起動日の情報を自動的に収集する。機器固有情報としては、たとえば、ホスト名、その機器に設定されているIPアドレス、MACアドレス等の機器に関する情報がある。

ウィルス対策ソフトの情報としては、ユーザー端末１０に適用されているウィルス対策ソフトのバージョン情報、データファイルのバージョン情報、最終のウィルスチェック実施日等の情報がある。

ユーザー端末１０が起動されると、認証情報センター端末８０はユーザー端末１０の起動を検出し、ユーザー端末１０の最終起動日情報をもとに該当ユーザー端末１０が何日間起動されていなかったかを判断する。該当ユーザー端末１０が所定の日数起動されていなかった場合、認証情報受付センター端末４０に該当ユーザー端末１０を正規のネットワークからウィルス対策センター端末６０のネットワークに切り替える要求を送る。

また、認証情報センター端末８０は、ユーザー端末１０の起動を検出し、ユーザー端末１０のウィルス対策ソフトの情報を収集する。認証情報センター端末８０は、ユーザー端末１０から収集したウィルス対策ソフトの情報をもとに、ウィルス対策ソフトのバージョン、データファイルのバージョンが最新であるか、最終のウィルスチェック実施日が所定の日数を経過していないかの確認を行う。認証情報センター端末８０は、上記確認の結果、ウィルス対策ソフトやデータファイルのバージョンが最新でなかった場合、および、最終のウィルスチェック実施日が所定の日数を経過していた場合、認証情報受付センター端末４０に該当ユーザー端末１０を正規のネットワークからウィルス対策センター端末６０のネットワークに切り替える要求を送る。

認証情報センター端末８０から該当ユーザー端末１０のネットワーク切り替え要求を受けた認証情報センター端末４０は、ネットワーク機器５０に該当ユーザー端末１０のネットワーク切り替え要求を送る。これにより、ネットワーク機器５０は、該当ユーザー端末１０を正規のネットワークからウィルス対策センター端末６０のネットワークへの切り替えを行う。

このように、一定期間起動されておらずパッチが適用されていない可能性のある端末や、ウィルス対策ソフトやデータファイルのバージョンが古く、また、ウィルスチェックを実施していない等のウィルス対策が不完全な端末を正規のネットワークに接続させず、ウィルス対策用のネットワークに自動的に接続させることにより、既知のウィルス感染を未然に防ぐことができる。

本発明による第１の実施例の構成を示すブロック図である。図１に示した実施例の動作を示すシーケンス図である。図１に示した実施例の動作を示すシーケンス図である。図１に示した実施例の動作を示すシーケンス図である。図１に示した実施例の動作を示すシーケンス図である。本発明による第２の実施例の構成を示すブロック図である。

符号の説明

１０ユーザー端末
２０ウィルス対策状況管理センター端末
３０，８０認証情報センター端末
４０認証情報受付センター端末
５０ネットワーク構成機器
６０ウィルス対策センター端末
１００ネットワーク
Ａ１〜Ａ３２ステップ

Claims

ユーザー端末毎のウィルス対策を管理するウィルス対策状況管理センター端末と、ユーザー端末毎に設けられてユーザー端末のネットワークへの接続を制限するネットワーク構成機器と、前記ユーザー端末にウィルス対策を行なうためのウィルス対策センター端末と、を備えたネットワークで行なわれるコンピュータウィルス検疫方法であって、
前記ネットワーク構成機器が、前記ユーザー端末のネットワークへの接続要求を受付た際に、ウィルス対策がなされているかを確認するためにウィルス対策状況管理センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行なう第１のステップと、
前記ウィルス対策状況管理センター端末が、接続要求を行なったユーザー端末のウィルス対策状況を確認する第２のステップと、
前記ネットワーク構成機器が、前記第２のステップにてウィルス対策がなされていることが確認された場合に、接続されるネットワークの制限を解除する第３のステップと、
前記ネットワーク構成機器が、前記第２のステップにてウィルス対策がなされていないことが確認された場合に前記ウィルス対策センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行なう第４のステップと、
前記ユーザー端末が前記ウィルス対策センター端末からウィルス対策に必要な情報を取得してウィルス対策を行なう第５のステップとを有するコンピュータウィルス検疫方法。
請求項１記載のコンピュータウィルス検疫方法において、
前記ネットワーク構成機器は、ユーザー端末が所定の日数起動されていなかった場合に前記ウィルス対策センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行なうコンピュータウィルス検疫方法。
請求項１記載のコンピュータウィルス検疫方法において、
前記ネットワーク構成機器は、ウィルス対策ソフトやデータファイルのバージョンが最新でなかった場合、および、最終のウィルスチェック実施日が所定の日数を経過していた場合に前記ウィルス対策センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行なうコンピュータウィルス検疫方法。
ユーザー端末毎のウィルス対策を管理するウィルス対策状況管理センター端末と、ユーザー端末毎に設けられてユーザー端末のネットワークへの接続を制限するネットワーク構成機器と、前記ユーザー端末にウィルス対策を行なうためのウィルス対策センター端末と、を備えたコンピュータウィルス検疫システムであって、
前記ネットワーク構成機器は、前記ユーザー端末のネットワークへの接続要求を受付た際に、ウィルス対策がなされているかを確認するためにウィルス対策状況管理センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行ない、
前記ウィルス対策状況管理センター端末は、接続要求を行なったユーザー端末のウィルス対策状況を確認し、
前記ネットワーク構成機器は、前記ウィルス対策状況管理センター端末にてウィルス対策がなされていることが確認された場合に、接続されるネットワークの制限を解除し、また、前記ウィルス対策状況管理センター端末にてウィルス対策がなされていないことが確認された場合に前記ウィルス対策センター端末が含まれるネットワークのみに制限してユーザー端末の接続を行ない、
前記ユーザー端末は前記ウィルス対策センター端末からウィルス対策に必要な情報を取得してウィルス対策を行なうコンピュータウィルス検疫システム。
ユーザー端末毎のウィルス対策を管理するウィルス対策状況管理センター端末と、ユーザー端末毎に設けられてユーザー端末のネットワークへの接続を制限するネットワーク構成機器と、認証情報センター端末と、認証情報受付センター端末と、を備えたネットワークで行なわれるコンピュータウィルス検疫方法であって、
ネットワークを介して接続された、ウィルス対策状況管理センター端末と、、ネットワーク構成機器とを具備し、
認証情報センター端末は、利用者を識別するための利用者識別情報と、利用者がアクセスできるネットワークを決定するためのネットワーク識別子を保持し、前記認証情報受付センター端末から利用者識別情報が送られてくると自己が保持する利用者識別情報であるかを照合して一致するものがある場合にはその旨とともに該利用者識別情報に示される利用者がアクセスできるネットワークを決定するためのネットワーク識別子を返信し、
ウィルス対策状況管理センター端末は、前記ネットワークに接続されているすべてのユーザー端末のウィルス対策状況を各ユーザー端末を示す機器固有情報毎に保持し、前記認証情報受付センター端末からの前記機器固有情報を受け付けると、該機器固有情報に対応して保持しているユーザー端末のウィルス対策状況を前記認証情報受付センター端末に返送し、
前記認証情報受付センター端末は、前記ユーザー端末からのアクセスを受け付けると、前記ユーザー端末の機器固有情報と利用者識別情報の入力を促す画面を前記ユーザー端末に表示させ、これに応答して、前記ユーザー端末より機器固有情報と利用者識別情報が送られくると、利用者識別情報を認証情報センター端末に送信し、これに応答して、該認証情報センター端末からネットワーク識別子が送られてくると、前記機器固有情報を前記ウィルス対策状況管理センター端末へ送信し、これに応答する前記ウィルス対策状況管理センター端末からの返信がウィルス対策がなされていることを示すものである場合には前記機器固有情報およびネットワーク識別子を前記ネットワーク構成機器へ送信し、
前記ネットワーク構成機器は、前記認証情報受付センター端末からの前記機器固有情報をネットワーク識別子に登録し、前記ユーザー端末からのネットワークへの接続要求に対して前記認証情報センター端末が含まれるネットワーク、および、接続要求を行なったユーザー端末の機器固有情報とともに自己に登録されているネットワーク識別子が示すネットワークのみに接続させるコンピュータウィルス検疫方法。
請求項５記載のコンピュータウィルス検疫方法において、
前記ユーザー端末にウィルス対策を行なうためのウィルス対策センター端末を備え、
前記認証情報受付センター端末は、前記ウィルス対策状況管理センター端末からの返信がウィルス対策がなされていないことを示すものである場合には前記機器固有情報および前記ウィルス対策センター端末を服務ネットワークを示すネットワーク識別子を前記ネットワーク構成機器へ送信するコンピュータウィルス検疫方法。
請求項５または請求項６記載のコンピュータウィルス検疫方法において、
ウィルス対策状況管理センター端末は、定期的にウィルス対策に必要な情報の最新情報を入手し、保持しているネットワークに接続されているすべてのユーザー端末のウィルス対策状況情報との比較処理を行い、ウィルス対策が完全でないユーザー端末を検出した場合には、該ユーザー端末の機器固有情報、ネットワーク識別子を基に、ネットワーク構成機器に機器固有情報の削除要求を送信し、
ネットワーク構成機器は、受信した削除要求に従い、ネットワーク識別子に対応するネットワークから機器固有情報を削除するコンピュータウィルス検疫方法。