JP2005284573A

JP2005284573A - アクセス管理システム

Info

Publication number: JP2005284573A
Application number: JP2004095896A
Authority: JP
Inventors: Akira Fujishita; 明藤下
Original assignee: Hitachi Software Engineering Co Ltd
Current assignee: Hitachi Software Engineering Co Ltd
Priority date: 2004-03-29
Filing date: 2004-03-29
Publication date: 2005-10-13

Abstract

【課題】ユーザ端末にインストールされているソフトウエアの更新状況に応じたアクセス制限を行うことにより、外部ネットワークへのアクセスによるウィルス感染の防止を可能とするアクセス管理システムを提供する。
【解決手段】アクセス管理システム１００は、ユーザ端末１４０の端末バージョン情報送信手段１２１により送信された端末バージョン情報に基づき、端末情報管理サーバ１１０で端末アクセス権限の設定を行い、ルータ１２０のアクセス権限設定情報を更新する。ルータ１２０では、ユーザ端末１４０からの外部アクセス要求に対し、アクセス可否決定手段１２１がアクセス権限設定情報に基づくアクセス可否判定を行う。なお、アクセス拒否の際には、エラー情報返信手段１２２が、エラー情報として、例えば、各ソフトウエアの最新バージョン情報をユーザ端末１４０に送信して表示させ、最新バージョンへの更新を促す。
【選択図】図１

Description

本発明は、社内ＬＡＮ等のネットワークで接続された端末による外部ネットワークへのアクセス管理を行うシステムに関する。

近年、社内ＬＡＮ等の社内ネットワークを構築している企業において、外部ネットワークアクセスしたユーザ端末がコンピュータウィルスに感染した場合に、社内ネットワークにコンピュータウィルスが蔓延することがあり、システム管理上の大きな問題となっている。
このようなコンピュータウィルスの感染を防止する方法としては、外部ネットワークへのアクセスを禁止することも考えられるが、外部ネットワークが有益な情報源として活用されている組織では、全ユーザ端末についてアクセスを禁止することは利便性を下げることとなり、現実的ではない。
このため、コンピュータウィルスへの感染をなるべく低くする方法として、コンピュータウィルスの発見，駆除等を行うウィルス対策ソフトのパターンファイルや、ＯＳの修正パッチ等の各種ソフトウエアの最新バージョンへの更新が行われている。特に、コンピュータウィルスは、ＯＳ等のバグを利用して感染を行うものが存在するため、ソフトウエアの最新バージョンへの更新は重要なものとなっている。

以上のようなコンピュータウィルスの感染防止に関連するアクセス管理システムとして、従来、ネットワークにより接続されたユーザ端末にインストールされているソフトウエアについて、管理サーバがバージョンアップ情報を取得し、アップデート用のソフトウエアを生成して各ユーザ端末に配信する手段を備えた構成が公知となっている（例えば、特許文献１参照。）。
一方、外部アクセスの制限に関しては、インターネットサービスプロバイダにおいて、インターネット上のサイトのアクセス制限ルール（各サイトに対するアクセスの許可，不許可を定義したもの）を用いて、ユーザ端末に対して付与された接続ＩＤ毎にアクセス制限ルールを設定し、外部ネットワークへのアクセス制限を行う手段を備えた構成が公知となっている（例えば、特許文献２参照。）
特開２００３−２０２９８８号公報特開２００２−２３６６３１号公報

しかし、前記特許文献１の構成では、各ユーザ端末に対してアップデータ用のソフトウエアを提供することはできるが、各ユーザ端末において実際に更新がされたことは保証されておらず、コンピュータウィルスの感染防止のためのシステムとしては不十分であった。即ち、ユーザ端末におけるソフトウエアの更新処理はある程度の時間を要するものであり、また、場合によってはユーザ端末の再起動が必要になる等、業務中に並行して更新処理を行うことが困難なこともあるため、各ユーザにより任意のタイミングで更新処理を行わせることとしていた。従って、ユーザ端末によっては、更新処理が後回しにされたことにより、コンピュータウィルスに感染してしまう場合があった。この場合、ネットワーク管理者により各ユーザ端末におけるソフトウエアの更新状況を管理することも考えられるが、日々新しいコンピュータウィルスが発生し、対応するパターンファイルが配信されている現状では、社内ネットワークに接続された全てのユーザ端末について、更新の有無を管理して、更新処理を行わせることは多大な労力を要するものであり、日常の業務に支障を来たすこととなっていた。
一方、前記特許文献２の構成では、接続ＩＤ毎に外部ネットワークのアクセス制限を行っていたが、各ユーザ端末にインストールされたソフトウエアの更新状況とは無関係にアクセス制限を行っていたため、コンピュータウィルスの感染防止としては不十分なものとなっていた。

本発明は前記課題を解決するためのものであり、ユーザ端末にインストールされているソフトウエアの更新状況に応じたアクセス制限を行うことにより、外部ネットワークへのアクセスによるウィルス感染の防止を可能とするアクセス管理システムを提供することを目的とする。

前記課題を解決するため、本発明は、各ユーザ端末についてのアクセス権限の管理を行うアクセス権限管理手段と、設定されたアクセス権限に基づき各ユーザ端末からの外部ネットワークへのアクセスの可否を判定するアクセス可否判定手段とを備えたアクセス管理システムであって、前記アクセス権限管理手段は、各ユーザ端末にインストールされている所定のソフトウエアのバージョン情報を取得し、各ユーザ端末識別情報と、各ユーザ端末内におけるソフトウエア識別情報及び該ソフトウエアのバージョン情報とを組合わせたソフトウエア組合せ情報と、を対応づけて端末バージョン情報格納手段に格納する端末バージョン情報更新手段と、予め前記ソフトウエア組合せ情報と外部ネットワークに対するアクセス権限とを対応づけて格納したアクセス権限格納手段から、端末バージョン情報格納手段に格納された前記ソフトウエア組合せ情報に基づきアクセス権限を取得し、各ユーザ端末に対してアクセス権限を設定したアクセス権限情報を生成する端末アクセス権限設定手段と、前記アクセス可否判定手段に対して、前記端末アクセス権限設定手段の生成したアクセス権限情報を送信して反映させるアクセス権限情報反映手段とを備えることを特徴とする。
また、前記アクセス権限管理手段は、前記各組合せに対してアクセス権限を任意に定義したアクセス権限マスタ情報の入力を受付け、前記アクセス権限テーブルを更新するアクセス権限マスタ情報登録手段を備えることを特徴とする。
また、前記端末アクセス権限設定手段は、前記端末バージョン情報更新手段による端末バージョン情報の更新処理、または、前記アクセス権限マスタ情報登録手段によるアクセス権限マスタ情報の更新処理が行われた場合に、各更新情報に基づき、前記アクセス権限情報を更新する手段を備えることを特徴とする。
また、前記アクセス可否判定手段は、ユーザ端末からのアクセス要求を受信し、当該アクセス要求に含まれるユーザ端末識別情報に基づき前記アクセス権限情報に設定されているアクセス権限に基づきアクセス可否の決定を行う手段と、アクセスを拒否する場合に、ユーザ端末に対してアクセスの許可に必要なソフトウエアのバージョン情報を含むエラー情報を送信する手段とを備えることを特徴とする。

以上の構成により、本発明では、ユーザ端末にインストールされているソフトウエアのバージョン情報に応じたアクセス管理を行うことが可能となるため、ウィルス対策ソフトのパターンファイルやＯＳの修正パッチ等の更新が行われていないユーザ端末による外部ネットワークへの不用意なアクセスを禁止することができ、ウィルスの感染を予防することが可能となる。
また、端末バージョン情報テーブル又はアクセス権限マスタテーブルを更新作業のみにより、端末アクセス権限テーブルに設定されている各ユーザ端末のアクセス権限を容易に変更することができる。特に、最新のウィルスが作成され、ソフトウエアベンダによる対策用パッチ等が提供されていない場合、または、特定ソフトウエアの特定バージョン以下では対策されていないことが判明した場合等においても、アクセス権限マスタテーブルを更新することにより、未対策バージョンのソフトウエアをインストールしたユーザ端末について、外部ネットワークへのアクセスを直ちに制限することが可能となる。従って、ソフトウエアベンダが対策バージョンを出すまでの間においても、最新のウィルス感染を適切に防止することができる。
また、ソフトウエアのバージョン毎にアクセス権限レベルを設定し、アクセスを拒否する場合に、エラー情報としてアクセスを許可するために必要な各ソフトウエアのバージョン情報をユーザ端末に送信して表示させることとしたので、各ユーザ端末の利用者に対してバージョンの更新を促すことが可能となる。

以下、本発明の一実施の形態に係るアクセス管理システムについて、図面に基づき説明する。
図１は、本実施の形態に係るアクセス管理システムの概略構成を示すブロック図である。
アクセス管理システム１００では、アクセス権限管理手段としての端末情報管理サーバ１１０と、アクセス可否判定手段としてのルータ１２０とのそれぞれに対し、社内ネットワーク１３０を介して、複数のユーザ端末１４０が接続されており、ルータ１２０を介して外部ネットワーク１５０に接続可能に構成されている。
端末情報管理サーバ１１０は、端末バージョン情報更新手段１１１，端末アクセス権限更新手段１１２，端末アクセス権限反映手段１１３，アクセス権限マスタ登録手段１１４の各処理手段と、後述する端末バージョン情報テーブル，アクセス権限マスタテーブル，端末アクセス権限テーブルの各情報格納手段とを備える。端末バージョン情報更新手段１１１は、ユーザ端末１４０から送信されたソフトウエアとバージョンとの組合せ情報に基づき、端末バージョン情報テーブル３１０を更新する。端末アクセス権限更新手段１１２は、端末バージョン情報テーブル３１０に登録された組合せ情報を取得して、当該バージョン情報に基づきアクセス権限マスタテーブル５１０に予め設定されたアクセス権限を取得して、各ユーザ端末１４０のアクセス権限を設定し、端末アクセス権限テーブルを更新する。端末アクセス権限反映手段１１３は、端末アクセス権限テーブル５２０の更新情報を取得し、ルータ１２０のアクセス権限設定情報を更新する。アクセス権限マスタ登録手段１１４は、アクセス権限マスタテーブルに登録された各ソフトウエアのバージョンとアクセス権限との対応関係について、管理者の設定に応じて更新する。
ユーザ端末１４０は、複数のソフトウエアがインストールされるとともに、各ソフトウエアのバージョン情報を端末情報管理サーバ１１０に送信する端末バージョン情報送信手段１２１を備えている。また、ユーザ端末１４０は、Ｗｅｂページを閲覧するブラウザ機能を備えており、ルータ１２０を経由して外部ネットワーク１５０にアクセス可能となっている。
ルータ１２０は、ユーザ端末１４０からの外部ネットワーク１５０へのアクセス要求に対して、端末情報管理サーバ１１０により設定されたアクセス権限設定情報及びアクセス権限ルール９００に基づき外部ネットワーク１５０へのアクセス可否を決定するアクセス可否決定手段１２１を備える。アクセス権限設定情報５３０及びアクセス権限ルール９００は、ハードディスク又はメモリ等の記録領域に格納されており、アクセス権限設定情報にはユーザ端末１４０毎にアクセス権限レベルが設定され、アクセス権限ルールにはアクセス権限レベル毎のアクセス権限ルールが定義されている。ここで、アクセス権限ルールとしては、例えば、外部ネットワークへの全てのアクセスの許可／禁止、特定のＩＰアドレス，ＵＲＬへのアクセスの許可／禁止が定義されている。また、ルータ１２０はＷｅｂサーバ機能を有し、アクセス拒否時にはアクセス拒否エラー情報表示画面を表示するＨＴＭＬ文書をユーザ端末に返信するエラー情報返信手段１２２を備える。
本実施の形態に係るアクセス管理システム１００では、ユーザ端末１４０の端末バージョン情報送信手段１４１により送信された端末バージョン情報に基づき、端末情報管理サーバ１１０で端末アクセス権限の設定がされ、ルータ１２０のアクセス権限設定情報の登録・更新される。
ルータ１２０では、ユーザ端末１４０からの外部ネットワーク１５０へのアクセス要求に対し、アクセス可否決定手段１２１がアクセス権限設定情報に基づくアクセス可否判定を行う。なお、アクセス拒否の際には、エラー情報返信手段１２２が、エラー情報として、例えば、各ソフトウエアの最新バージョン情報をユーザ端末１４０に送信して表示させ、最新バージョンへの更新を促す。

以下、端末情報管理サーバ１１０及びルータ１２０の行う各処理の具体例について、図２〜図９を用いて説明する。なお、図２〜図９では、説明に必要の無い構成は適宜省略している。
図２は、端末バージョン情報テーブル３１０の更新処理手順を示すフローチャートであり、図３は更新処理の一例を示すブロック図である。
まず、ユーザ端末１４０の端末バージョン情報送信手段１４１が、ユーザ端末１４０にインストールされた管理対象のソフトウエアと、各ソフトウエアのバージョン情報との組合せを示すソフトウエア組合せ情報を取得し（ステップ２０１）、端末バージョン情報ファイルを生成して（ステップ２０２）、端末情報管理サーバ１１０に送信する（ステップ２０３）。この場合に、端末バージョン情報送信手段１４１は、ユーザ端末１４０にインストールされた全てのソフトウエアのソフトウエア組合せ情報を取得するものとしてもよいが、予め設定された所定のソフトウエアについてのみソフトウエア組合せ情報を取得するものとしてもよい。また、端末バージョン送信手段１４１は、定期的に起動するとともに、ユーザの操作に応じた任意のタイミングでの起動を可能とする。これにより、ユーザ端末の利用者がエラー情報に対応したバージョンアップを行った場合等において、適宜、最新のバージョン情報に対応したアクセス権限の変更を行うことが可能となる。
端末情報管理サーバ１１０では、端末バージョン更新手段１１１が端末バージョン情報ファイルを受信し（ステップ２０４）、端末バージョン情報ファイルを読込んで（ステップ２０５）、端末バージョン情報テーブル３１０への追加・更新を行い処理を終了する（ステップ２０６）。
例えば、図３に示すように、ユーザ端末１４０の端末バージョン情報送信手段１４１は、端末バージョン情報ファイル３００を生成して送信する。端末バージョン情報ファイル３００は、少なくとも、ユーザ端末１４０を識別する情報としてのＩＰアドレスと、ソフトウエア名及び各ソフトウエアのバージョンの組合せを示すソフトウエア組合せ情報が記録されている。この場合、ユーザ端末１４０にインストールされているソフトウエアは複数あるため、ソフトウエア組合せ情報は配列構造で記録する。
端末バージョン情報ファイル３００を受信した端末バージョン情報更新手段１１１は、端末バージョン情報テーブル３１０を更新する。端末バージョン情報テーブル３１０は、端末バージョン情報ファイル３００に記録されたデータに対応して、ＩＰアドレス，ソフトウエア名，バージョンの各データ項目を有する。この場合、端末バージョン情報ファイル３００に含まれる情報に対応して、一つのＩＰアドレスについて、一つ又は複数のソフトウエア組合せ情報が格納されることとなる。

図４は、端末アクセス権限更新手段１１２の行う端末アクセス権限テーブル１１７の更新処理手順を示すフローチャートであり、図５は、更新処理の一例を示すブロック図である。
端末アクセス権限更新手段１１２は、端末バージョン情報ファイルを受信したユーザ端末１４０のアドレス情報をインターフェース情報として端末バージョン情報更新手段１１１から受取ることにより起動する。
端末アクセス権限更新手段１１２は、受取ったアドレス情報に基づき端末バージョン情報テーブルを検索してＩＰアドレスに付随するソフトウエア組合せ情報を取得するとともに（ステップ４０１）、当該組合せ情報に基づきアクセス権限マスタテーブルを検索して各ソフトウエア毎のアクセス権限レベルを取得する（ステップ４０２）。
ＩＰアドレスに附随する全てのソフトウエア名に対し、アクセス権限マスタテーブルからアクセス権限レベルを取得したか否かを判定し（ステップ４０３）、アクセス権限レベルを取得していないソフトウエアが存在する場合には、端末バージョンテーブル及びアクセス権限テーブルの検索を行い、アクセス権限レベルを取得する（ステップ４０１，４０２）。
一方、全てのソフトウエア名に対しアクセス権限レベルの取得を行った場合には、取得したアクセス権限レベルの中から最も低い値を抽出し（ステップ４０４）、端末アクセス権限テーブルに追加・更新する（ステップ４０５）。この場合、端末アクセス権限テーブルには、外部ネットワーク１５０へアクセスできる権限を示す情報として、ＩＰアドレス毎にアクセス権限レベルが設定される。
端末アクセス権限テーブルの更新が終了した後、全更新モードによる処理か否かを判定し（ステップ４０６）、全更新モードの場合には、端末バージョン情報テーブルの全てのＩＰアドレスについて処理を行った否かを判定し（ステップ４０７）、未処理のＩＰアドレスがある場合には、ステップ４０１〜４０５の処理を繰返す。
一方、単独更新モードの場合、または、全更新モードであっても既に全てのＩＰアドレスについて処理を行った場合には、端末アクセス権限反映手段１１４を起動し、端末アクセス権限反映手段１１４は、ルータ１２０のアクセス権限設定情報を更新して処理を修了する（ステップ４０８）。
例えば、図５に示す場合において、端末バージョン情報更新手段１１１からアドレス情報「ＩＰアドレス１」を受取ることにより端末アクセス権限更新手段１１２が起動する。
端末アクセス権限更新手段１１２は、端末バージョン情報テーブル３１０から「ＩＰアドレス１」についてソフトウエア組合せ情報「ソフトウエア１−ＶＥＲ１．００」「ソフトウエア２−ＶＥＲ４．００」「ソフトウエア３−ＶＥＲ２．０１」をそれぞれ取得し、各ソフトウエア組合せ情報についてアクセス権限マスタテーブル５１０からアクセス権限レベルを取得する。アクセス権限マスタテーブル５１０は予め、管理者の設定に応じて、アクセス権限マスタ登録手段１１４により各情報が格納されるものであり、少なくとも、ソフトウエア名，バージョン，アクセス権限レベルの各データ項目を有し、ソフトウエア組合せ情報毎にアクセス権限レベルが設定されている。本例では、ソフトウエアのバージョン毎にアクセス権限レベルを持たせることとしているため、旧バージョンをインストールしている端末には低いアクセス権限レベルを、また、最新バージョンをインストールしている端末には高いアクセス権限レベルを与えることが可能となる。更に、あるソフトウエアのバージョンに対して一旦アクセス権限レベルを設定した後でも、当該ソフトウエアの当該バージョンに新たな脆弱性が発見された場合等は、管理者は適宜当該バージョンのアクセス権限レベルを下げることも可能である。なお、本例では、アクセス権限レベルの値が低いほど、外部ネットワークへのアクセスが制限されるものとしている。
端末アクセス権限更新手段１１２は、取得したアクセス権限レベルの中から最も低いアクセス権限レベル（本例の場合は、「ソフトウエア３−ＶＥＲ２．０１」に設定されている「４０」）を「ＩＰアドレス１」のアクセス権限レベルとして、端末アクセス権限テーブル１１７を更新して、端末アクセス権限反映手段１１３を起動する。
端末アクセス権限反映手段１１３は、端末アクセス権限テーブル５２０の更新情報を取得して、ルータ１２０のアクセス権限設定情報５３０を更新する。

図６はアクセス権限マスタ登録手段１１４の行うアクセス権限マスタテーブルの更新処理手順を示すフローチャートであり、図７は、更新処理の一例を示すブロック図である。
アクセス権限マスタ登録手段１１４は、コマンド形式又は画面入力形式のインタフェースを持ち、管理者が入力したアクセス権限マスタ情報を読取り（ステップ６０１）、アクセス権限マスタテーブル１１６への追加・更新を行う（ステップ６０２）。
アクセス権限マスタ登録手段１１４は、アクセス権限マスタテーブル１１６の更新を行った後、図４のフローチャートに示すように、端末アクセス権限更新手段１１２を起動して全更新モードを実行させ端末アクセス権限テーブルを更新させるとともに、端末アクセス権限反映手段によりルータ１２０のアクセス権限設定情報１３２を更新させて処理を終了する（ステップ６０３）。
例えば、図７に示すように、ネットワーク管理者により入力されたアクセス権限マスタ情報７００を読込み、アクセス権限マスタテーブル７１０を更新する。ここで、アクセス権限マスタ情報７００には少なくとも、ソフトウエア組合せ情報とアクセス権限レベルとの組合せが含まれており、本例では「ソフトウエア１−ＶＥＲ１．００−４０」，「ソフトウエア２−ＶＥＲ４．００−７０」，「ソフトウエア３−ＶＥＲ２．０１−３５」が含まれている。
アクセス権限マスタ登録手段１１４は、端末アクセス権限更新手段１１２による全更新モードを実行して、更新したアクセス権限マスタテーブル７１０に基づき、端末アクセス権限テーブル７２０を更新する。本例では、「ソフトウエア１−ＶＥＲ１．００」，「ソフトウエア２−ＶＥＲ４．００」，「ソフトウエア３−ＶＥＲ２．０１」のそれぞれのソフトウエア組合せ情報について、アクセス権限レベルを「４０」，「７０」，「３５」に更新しており、端末アクセス権限更新手段１１２が、アクセス権限マスタテーブル７１０の更新情報に基づき、端末アクセス権限テーブル７２０の「ＩＰアドレス１」のアクセス権限レベルを「４０」から「３５」に更新している。
端末アクセス権限反映手段１１３は、端末アクセス権限テーブル７２０の更新情報に基づき、アクセス権限設定情報を７３０更新する。

以上のように設定されたアクセス権限設定情報に基づき、ルータ１２０はユーザ端末１４０からの外部ネットワーク１５０へのアクセス可否判定を行う。
図８は、ルータ１２０によるアクセス可否判定処理手順を示すフローチャートであり、図９は、判定処理の一例を示すブロック図である。
アクセス可否決定手段１２１は、ユーザ端末１４０のＷｅｂブラウザ等による外部ネットワーク１５０へのアクセス要求を受付け、アクセス要求に含まれるユーザ端末１４０のＩＰアドレスを取得し（ステップ８０１）、ＩＰアドレスに基づきアクセス権限設定情報を検索し、アクセス権限レベルを取得する（ステップ８０２）。
取得したアクセス権限レベルに基づきアクセス権限ルール９００を検索してルール定義を取得し（ステップ８０３）、取得したルール定義に基づき、アクセス要求に含まれるアクセス先のＩＰアドレス又はＵＲＬについてアクセス可否の判定を行う（ステップ８０４）。
判定の結果、ルール定義に違反しない場合には、アクセスを許可して処理を終了する（ステップ８０５）。
一方、ルール定義に違反している場合には、アクセスを拒否してエラー情報返信手段１２２を起動し、エラー情報返信手段は、エラー情報を生成してユーザ端末１４０に返信し（ステップ８０６）、Ｗｅｂブラウザ等により表示させる。
例えば、図８に示すように、ルータ１２０のアクセス可否決定手段１２１は、ユーザ端末１４０からのアクセス要求を受付ける。この場合のアクセス要求には、少なくともアクセス元のユーザ端末１４０を識別する情報としてのアドレス情報「ＩＰアドレス１」と、アクセス先を示すＩＰアドレス又はＵＲＬが含まれている。
アクセス可否決定手段１２１は、「ＩＰアドレス１」に対して設定されているアクセス権限レベルをアクセス権限設定情報５３０から検索して取得し、取得したアクセス権限レベル「４０」に基づき、アクセス権限ルール９００を検索してルール定義を取得する。なお、本例では、アクセス権限設定情報として、図５の例により設定された情報を用いている。
ルール定義としては、例えば、管理者の認めた所定のアクセス先（ＩＰアドレス又はＵＲＬで特定）に対してアクセスを認めるものとし、アクセス要求に示されるアクセス先（ＩＰアドレス又はＵＲＬ）が、ルール定義で許可されているアクセス先（ＩＰアドレス又はＵＲＬ）に含まれている場合には、アクセスが許可されることとなる。
判定の結果、アクセスが許可された場合には、ユーザ端末１４０から外部ネットワーク１５０にアクセスがされる。
一方、アクセスが拒否された場合には、エラー情報返信手段１２２が起動し、外部ネットワーク１５０へのアクセスを拒否するとともに、エラー情報を生成してユーザ端末１４０に返信する。この場合のエラー情報には、例えば、要求のされたアクセス先へのアクセスを許可するために必要な各ソフトウエアのバージョン情報が含まれ、エラー情報の生成に必要な情報は端末情報管理サーバ１１０から取得可能とする。この場合、各ソフトウエアのバージョン情報としては、最新バージョンの一覧を示すこととしてもよいが、各ソフトウエアについてアクセス許可のために最低限必要なバージョンの情報のみを示すこととしてもよい。なお、エラー情報の生成に必要な各種の情報については、端末情報管理サーバ１１０の各テーブルから取得するものとする。

以上のように、本実施の形態に係るアクセス管理システムでは、ユーザ端末にインストールされているソフトウエアのバージョン情報に応じて、外部ネットワークに対するアクセス管理を行うことが可能となるため、ウィルス対策ソフトのパターンファイルやＯＳの修正パッチ等の更新が行われていないユーザ端末による外部ネットワークへの不用意なアクセスを禁止することができ、ウィルスの感染を予防することが可能となる。この場合、端末バージョン情報テーブル又はアクセス権限マスタテーブルを更新作業のみにより、端末アクセス権限テーブルに設定されている各ユーザ端末のアクセス権限を容易に変更することができる。特に、最新のウィルスが作成され、ソフトウエアベンダによる対策用パッチ等が提供されていない場合、または、特定ソフトウエアの特定バージョン以下では対策されていないことが判明した場合等においても、アクセス権限マスタテーブルを更新することにより、未対策バージョンのソフトウエアをインストールしたユーザ端末について、外部ネットワークへのアクセスを直ちに制限することが可能となる。従って、ソフトウエアベンダが対策バージョンを出すまでの間においても、最新のウィルス感染を適切に防止することができる。
また、ソフトウエアのバージョン毎にアクセス権限レベルを設定し、アクセスを拒否する場合に、エラー情報としてアクセスを許可するために必要な各ソフトウエアのバージョン情報をユーザ端末に送信して表示させることとしたので、各ユーザ端末の利用者に対してバージョンの更新を促すことが可能となる。

なお、本発明を構成する各処理手段及び各情報格納手段については、前記実施の形態に示すものに限られず、同様の処理を可能とするものであれば、他の構成としてもよい。従って、端末情報管理サーバの各処理手段を複数の端末により構成することとしてもよい。また、アクセス判定やエラー情報の生成をルータで行うこととしているが、端末情報管理サーバ等、他の端末，機器により行うこととしてもよい。また、ユーザ端末を識別する情報としてはＩＰアドレスに限られるものでは無く、ユーザＩＤ等、他の識別情報を用いることとしてもよい。

本発明の一実施の形態に係るアクセス管理システムの概略構成を示すブロック図である。端末バージョン情報テーブルの更新処理手順を示すフローチャートである。端末バージョン情報テーブルの更新処理の一例を説明するためのブロック図である。端末アクセス権限テーブルの更新処理手順を示すフローチャートである。端末アクセス権限の更新処理の一例を説明するためのブロック図である。アクセス権限マスタテーブルの更新処理手順を示すフローチャートである。アクセス権限マスタテーブルの更新処理の一例を説明するためのブロック図である。ルータによるアクセス可否判定処理手順の一例を示すフローチャートである。ルータによるアクセス可否判定処理の一例を説明するためのブロック図である。

符号の説明

１００アクセス管理システム、１１０端末情報管理サーバ、１１１端末バージョン情報更新手段、１１２端末アクセス権限更新手段、１１３端末アクセス権限反映手段、１１４アクセス権限マスタ登録手段、１２０ルータ、１２１アクセス可否決定手段、１２２エラー情報返信手段、１３０社内ネットワーク、１４０ユーザ端末、１４１端末バージョン情報送信手段、１５０外部ネットワーク。

Claims

各ユーザ端末についてのアクセス権限の管理を行うアクセス権限管理手段と、設定されたアクセス権限に基づき各ユーザ端末からの外部ネットワークへのアクセスの可否を判定するアクセス可否判定手段とを備えたアクセス管理システムであって、
前記アクセス権限管理手段は、
各ユーザ端末にインストールされている所定のソフトウエアのバージョン情報を取得し、各ユーザ端末識別情報と、各ユーザ端末内におけるソフトウエア識別情報及び該ソフトウエアのバージョン情報とを組合わせたソフトウエア組合せ情報と、を対応づけて端末バージョン情報格納手段に格納する端末バージョン情報更新手段と、
予め前記ソフトウエア組合せ情報と外部ネットワークに対するアクセス権限とを対応づけて格納したアクセス権限格納手段から、端末バージョン情報格納手段に格納された前記ソフトウエア組合せ情報に基づきアクセス権限を取得し、各ユーザ端末に対してアクセス権限を設定したアクセス権限情報を生成する端末アクセス権限設定手段と、
前記アクセス可否判定手段に対して、前記端末アクセス権限設定手段の生成したアクセス権限情報を送信して反映させるアクセス権限情報反映手段と
を備えることを特徴とするアクセス管理システム。
前記アクセス権限管理手段は、
前記各組合せに対してアクセス権限を任意に定義したアクセス権限マスタ情報の入力を受付け、前記アクセス権限テーブルを更新するアクセス権限マスタ情報登録手段を備えることを特徴とする請求項１に記載のアクセス管理システム。
前記端末アクセス権限設定手段は、前記端末バージョン情報更新手段による端末バージョン情報の更新処理、または、前記アクセス権限マスタ情報登録手段によるアクセス権限マスタ情報の更新処理が行われた場合に、各更新情報に基づき、前記アクセス権限情報を更新する手段を備えることを特徴とする請求項１又は２のいずれかに記載のアクセス管理システム。
前記アクセス可否判定手段は、
ユーザ端末からのアクセス要求を受信し、当該アクセス要求に含まれるユーザ端末識別情報に基づき前記アクセス権限情報に設定されているアクセス権限に基づきアクセス可否の決定を行う手段と、
アクセスを拒否する場合に、ユーザ端末に対してアクセスの許可に必要なソフトウエアのバージョン情報を含むエラー情報を送信する手段と
を備えることを特徴とする請求項１〜３のいずれかに記載のアクセス管理システム。