JP2005328108A - ネットワーク、認証サーバ装置、ルータ装置及びそれらに用いる端末管理方法 - Google Patents

Abstract

【課題】 ネットワークに接続された端末を自動的に一元管理可能なネットワークを提供する。
【解決手段】 ルータ３−１，３−２はセグメント＃１〜＃３間におけるＩＰ通信を中継するとともに、監視対象セグメントに接続された端末１−１，１−２を検出し、監視対象セグメントに存在する端末情報をテーブル化して認証サーバ４に送信する。認証サーバ４は端末位置や端末稼動情報、利用者情報を収集して台帳化し、収集した情報を基にパケットフィルタリング・ポリシーを生成してルータ３−１，３−２へ配信する。ルータ３−１，３−２は認証サーバ４の指示によって動的にパケットフィルタリング規則を生成する。ダウンロード・サーバ５は認証サーバ４が端末１−１，１−２の稼動情報や利用者情報を収集するための常駐ソフトウェアと、最新のパッチやウィルス定義ファイルとを提供する。
【選択図】 図１

Description

本発明はネットワーク、認証サーバ装置、ルータ装置及びそれらに用いる端末管理方法に関し、特に認証サーバ装置とルータ装置との連携による端末台帳管理、フィルタリング・ポリシー管理に関する。

近年、インタネットや電子メールの普及に伴って、それらを用いたコンピュータウィルスの感染が急増している。このコンピュータウィルスは、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）やアプリケーションソフトウェアのセキュリティホールを塞ぐための最新パッチを適用していない端末に急激に広まっており、多くの企業をネットワークの輻輳によるサービス停止に追い込む危険がある。このコンピュータウィルスの感染対策や最新パッチの適用という作業は個人のモラルに任されている。

また、悪質な利用者がイントラネット内の端末を勝手に利用し、ネットワーク機器に対する攻撃や、データの改ざん、傍受等を行う犯罪も増えているが、利用者認証を行うことで、被害を最小限に留めることが可能となる。

端末のネットワーク接続を制御する従来のシステムには、端末に専用の常駐ソフトウェアをインストールすることによって、端末稼動状態や利用者情報を遠隔で収集するサーバ型システム（例えば、特許文献１，３参照）と、ネットワーク機器が接続端末の認証を行うネットワーク型システム（例えば、特許文献２参照）との２種類が存在する。

特開２００３−１７４４８２号公報 特開２００２−３２５０７７号公報 特開平１１−１０２３３３号公報

上述した従来のシステムでは、サーバ型システムとネットワーク型システムとの全く独立なシステムがあるが、これらにはセキュリティ上、不完全な部分が存在する。

例えば、ネットワーク型システムにおいては、ネットワークへの接続が一度許可された端末が、その利用者が誰（不正利用者）に変わっても、設定されたポリシーにしたがってイントラネット内で自由に通信することができてしまうという問題がある。

また、ある端末の状態がセキュリティ上、脆弱な状態に遷移した場合、その状態を管理者側で即時に把握することは可能であるが、その端末をネットワークから切離すには手作業で行わなければならない。また、端末の切離し処置が遅れると、コンピュータウィルスが拡散する恐れがある。

そこで、本発明の目的は上記の問題点を解消し、ネットワークに接続された端末を自動的に一元管理することができるネットワーク、認証サーバ装置、ルータ装置及びそれらに用いる端末管理方法を提供することにある。

本発明によるネットワークは、端末の稼動状態と利用者認証とを少なくとも行う認証サーバ装置と、組織内ネットワーク内でＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットの中継を行う複数のルータ装置とを含むネットワークであって、
前記端末からのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を聴取して当該端末の端末情報を取得する手段と、その取得した端末情報を前記認証サーバ装置へ通知する手段とを前記ルータ装置に備え、
前記認証サーバ装置が前記端末情報に基づいて前記端末の稼動状態の取得と前記利用者認証とを少なくとも行っている。

本発明による認証サーバ装置は、端末の稼動状態と利用者認証とを少なくとも行う認証サーバ装置であって、
組織内ネットワーク内でＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットの中継を行う複数のルータ装置において前記端末からのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を聴取して取得した当該端末の端末情報に基づいて前記端末の稼動状態の取得と前記利用者認証とを少なくとも行う手段を備えている。

本発明によるルータ装置は、組織内ネットワーク内でＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットの中継を行うルータ装置であって、
前記端末からのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を聴取することで認証サーバ装置において行われる前記端末の稼動状態の取得と利用者認証とに用いられる端末情報を取得する手段と、その取得した端末情報を前記認証サーバ装置へ通知する手段とを備えている。

本発明による端末管理方法は、端末の稼動状態の取得と利用者認証とを少なくとも行う認証サーバ装置と、組織内ネットワーク内でＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットの中継を行う複数のルータ装置とを含むシステムにおいて前記端末のネットワークへの接続を管理する端末管理方法であって、前記ルータ装置側に、前記端末からのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を聴取して当該端末の端末情報を取得するステップと、その取得した端末情報を前記認証サーバ装置へ通知するステップとを備え、前記認証サーバ装置が前記端末情報に基づいて前記端末の稼動状態の取得と前記利用者認証とを少なくとも行っている。

すなわち、本発明のネットワークは、端末の稼動状態や利用者認証を行う認証サーバと、組織内ネットワーク（以下、イントラネットとする）を形成する全てのルータ装置とが連携することによって、端末毎に中継可能な宛先ネットワークを動的に制御するシステムである。

本発明のネットワークでは、認証サーバによる端末・利用者管理と、ルータ装置による接続先ネットワーク管理とを一体で行うことを可能とし、端末台帳管理と、端末の稼動状態、端末利用者情報に基づくフィルタリング制御とが実現可能となる。

本発明のネットワークでは、端末の稼動状態の取得や利用者認証を行う認証サーバと、イントラネット内でＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットの中継を行う全てのルータ装置（複数のルータ装置）が連携することによって、端末毎に中継可能な宛先ネットワークを動的に制御することを可能としている。

本発明のネットワークでは、認証サーバによる端末・利用者管理と、ルータ装置による接続先ネットワーク管理とを一体で行うことが可能となり、端末台帳管理と、端末の稼動状態、端末利用者情報に基づくフィルタリング制御とが実現可能となる。

本発明のネットワークでは、上記のルータ装置をイントラネットの各サブネット間の中継機器として使用することによって、利用者や端末が、発生する不正なパケットをサブネット外へ送出しないように制御することが可能なため、ＤｏＳ攻撃（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ ａｔｔａｃｋ：サービス拒否攻撃）やウィルス拡散による被害をそのサブネット内に留めることが可能になる。

本発明は、以下に述べるような構成及び動作とすることで、ネットワークに接続された端末を自動的に一元管理することができるという効果が得られる。

次に、本発明の実施例について図面を参照して説明する。図１は本発明の一実施例によるネットワークの構成を示すブロック図である。図１において、本発明の一実施例によるネットワークは端末１−１，１−２と、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カードリーダ２−１，２−２と、ルータ３−１，３−２と、認証サーバ４と、ダウンロードサーバ５とから構成されている。

端末１−１，１−２はイントラネット内に存在し、図示せぬスイッチングハブ等を介してルータ３−１，３−２に接続することによって、ネットワークに接続されている。尚、各端末１−１，１−２には稼動情報（及び適用済みのパッチ及びウィルス定義ファイルのバージョン情報）と利用者情報とを認証サーバ４に提供する機能を持ち、認証サーバ４における自身の管理レベル（以下、端末管理レベルとする）の表示を行うことができる専用のソフトウェア（以下、常駐ソフトウェアとする）がインストールされる。

ＩＣカードリーダ２−１，２−２は端末１−１，１−２にそれぞれ接続されており、利用者認証に使用するＩＣカード（図示せず）の接続を行うためのリーダである。つまり、ＩＣカードリーダ２−１，２−２がＩＣカードから読取った利用者認証に使用する情報は端末１−１，１−２に送られる。

ルータ３−１，３−２はセグメント＃１〜＃３間におけるＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）通信を中継するルーティング機能と、監視対象セグメント（図１の場合、ルータ３−１はセグメント＃２、ルータ３−２はセグメント＃３が監視対象セグメント）に接続された端末１−１，１−２を検出し、監視対象セグメントに存在する端末情報をテーブル化して（以下、テーブル化されたものを端末テーブルとする）認証サーバ４に送信する機能と、認証サーバ４の指示によって動的にパケットフィルタリング規則を生成する機能とを備えている。

認証サーバ４は端末位置や端末稼動情報、利用者情報を収集して台帳化する機能と、収集した情報を基にパケットフィルタリング・ポリシーを生成する機能と、そのパケットフィルタリング・ポリシーをルータ３−１，３−２へ配信する機能とを備えている。

ダウンロード・サーバ５は認証サーバ４が端末１−１，１−２の稼動情報や利用者情報を収集するために、端末１−１，１−２にインストールする常駐ソフトウェアと、最新のパッチやウィルス定義ファイルのダウンロードサービスを提供する機能とを備えている。

図２は図１の端末の構成を示すブロック図である。図２において、端末１は常駐ソフトウェア部１１と、ＩＣカードリーダ接続部１２とを含んで構成され、常駐ソフトウェア部１１は提供機能１１１を備えている。尚、図１に示す端末１−１，１−２は上記の端末１と同様の構成となっている。

常駐ソフトウェア部１１は認証サーバ４における自身の管理レベル（以下、端末管理レベルとする）の表示を行うことができる専用のソフトウェア（以下、常駐ソフトウェアとする）がインストールされる記憶部である。常駐ソフトウェア部１１の提供機能１１１は稼動情報（及び適用済みのパッチ及びウィルス定義ファイルのバージョン情報）と利用者情報とを認証サーバ４に提供する機能である。ＩＣカードリーダ接続部１２にはＩＣカードリーダ２−１，２−２が接続され、ＩＣカードリーダ２−１，２−２がＩＣカードから読取った利用者認証に使用する情報を取得する。

図３は図１のルータの構成を示すブロック図である。図３において、ルータ３はルーティング機能３１と、端末検出機能３２と、端末テーブル３３と、送受信機能３４と、パケットフィルタリング機能３５と、トラフィック量観測機能３６とを含んで構成されている。パケットフィルタリング機能３５は動的フィルタリング規則生成機能３５ａと、パケットフィルタリング処理機能３５ｂとを備えている。尚、ルータ３−１，３−２は上記のルータ３と同様の構成となっている。

ルーティング機能３１はセグメント＃１〜＃３間におけるＩＰ通信を中継し、端末検出機能３２は監視対象セグメント（図１の場合、ルータ３−１はセグメント＃２、ルータ３−２はセグメント＃３が監視対象セグメント）に接続された端末１−１，１−２を検出する。

端末テーブル３３は監視対象セグメントに存在する端末情報をテーブル化したものである。送受信機能３４は端末テーブル３３を認証サーバ４に送信する機能を含んでいる。パケットフィルタリング機能３５は認証サーバ４の指示によって動的にパケットフィルタリング規則を生成する。

パケットフィルタリング機能３５の動的フィルタリング規則生成機能３５ａは認証サーバ４から配信されるパケットフィルタリング・ポリシーに基づいて動的にフィルタリング規則を生成する。パケットフィルタリング処理機能３５ｂは監視対象セグメントにおける送受信パケットのフィルタリング処理を行う。

トラフィック量観測機能３６は異常に大きなトラフィックを送信し続けている端末を発見した時に、その情報を認証サーバ４に送信し、認証サーバ４からの指示に基づいてそのトラフィックをフィルタリングする機能である。

図４は図１の認証サーバの構成を示すブロック図である。図４において、認証サーバ４は情報収集機能４１と、パケットフィルタリング・ポリシー生成機能４２と、フィルタリング・ポリシー配信機能４３とを含んで構成されている。

情報収集機能４１は端末１−１，１−２の位置や端末１−１，１−２の稼動情報、利用者情報を収集して台帳化する機能である。パケットフィルタリング・ポリシー生成機能４２は情報収集機能４１にて収集した情報を基にパケットフィルタリング・ポリシーを生成する機能である。フィルタリング・ポリシー配信機能４３はパケットフィルタリング・ポリシー生成機能４２で生成されたパケットフィルタリング・ポリシーをルータ３−１，３−２へ配信する機能である。

図５は図１のダウンロード・サーバの構成を示すブロック図である。図５において、ダウンロード・サーバ５は常駐ソフトウェア部５１と、ダウンロードサービス機能５２とを含んで構成されている。

常駐ソフトウェア部５１は、認証サーバ４が端末１−１，１−２の稼動情報や利用者情報を収集するために、端末１−１，１−２にインストールされる常駐ソフトウェアを格納し、ダウンロードサービス機能５２は最新のパッチやウィルス定義ファイルのダウンロードサービスを提供する。

図６は図１のルータ３−１，３−２における端末テーブル生成手順を示すフローチャートであり、図７は図３の端末テーブル３３に用いられるエイジングタイマの処理を示すフローチャートであり、図８は図３の端末テーブル３３の構成例を示す図である。これら図１と図３と図６〜図８とを参照してルータ３−１，３−２における端末テーブル生成手順について説明する。

端末テーブル３３には、ルータ３−１，３−２が監視セグメントを流れる全てのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）通信を聴取することによって得た、監視セグメントに接続されている全てのホストの情報が登録される。ここで、ＡＲＰはＩＰアドレスからＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス等のハードウェアのアドレスを得るためのプロトコルである。

図８において、端末テーブル３３にはＩＰアドレス（「１９２．１６８．０．１」，「１９２．１６８．０．２」）と、ＭＡＣアドレス（「ａａａａ．ａａａａ．ａａａａ」，「ｂｂｂｂ．ｂｂｂｂ．ｂｂｂｂ」）と、エイジングタイマ（「残り１０分」，「残り２０分」）とが保持されている。

上記のルータ３−１，３−２における端末テーブル生成手順について詳細に説明する。ルータ３−１，３−２は端末からＡＲＰ Ｒｅｑｕｅｓｔを受信すると（図６ステップＳ１）、端末テーブル３３にＡＲＰ Ｒｅｑｕｅｓｔを送信した端末のＩＰアドレスが登録されていなければ（図６ステップＳ２）、そのＩＰアドレスを端末テーブル３３に登録し（図６ステップＳ３）、その登録したエントリのエイジングタイマに初期値（例えば、「残り３０分」等）を設定し（図６ステップＳ４）、端末テーブル３３のエントリ変更情報を認証サーバ４に送信する（図６ステップＳ９）。

また、ルータ３−１，３−２は端末テーブル３３にＡＲＰ Ｒｅｑｕｅｓｔを送信した端末のＩＰアドレスが登録されていれば（図６ステップＳ２）、既に同じＩＰアドレスとＭＡＣアドレスとの組が登録されているかを調べる（図６ステップＳ５）。

ルータ３−１，３−２は既に同じＩＰアドレスとＭＡＣアドレスとの組が登録されていれば、該当エントリのエイジングタイマをリセットして初期値を設定し（図６ステップＳ６）、ステップＳ１に戻って端末からのＡＲＰ Ｒｅｑｕｅｓｔの受信を待ち合わせる。

一方、ルータ３−１，３−２は既に同じＩＰアドレスとＭＡＣアドレスとの組が登録されていなければ、新たなＩＰアドレスとＭＡＣアドレスとの組を、古いＩＰアドレスとＭＡＣアドレスとの組に上書きし（図６ステップＳ７）、そのエントリのエイジングタイマをリセットして初期値を設定し（図６ステップＳ８）、端末テーブル３３のエントリ変更情報を認証サーバ４に送信する（図６ステップＳ９）。

端末テーブル３３に登録されているエントリの削除は、エイジングタイマによって実行する。エイジングタイマにはエントリが端末テーブル３３に登録される毎に初期値が設定され（図７ステップＳ１１）、既に登録されているホストからＡＲＰ Ｒｅｑｕｅｓｔを受信する毎に出力されるエイジングタイマのリセットを受信すると（図７ステップＳ１２）、該当するエントリのエイジングタイマに初期値が設定される（図７ステップＳ１３）。尚、端末テーブル３３におけるエイジングタイマの初期値については、認証サーバ４の負荷を考慮して十分に長い時間が望ましい。端末テーブル３３の例は、上記のように、図８に示している。

端末テーブル３３のどのエントリのエイジングタイマに対してもリセットを受信しなければ（図７ステップＳ１２）、各エントリのエイジングタイマのカウント処理が行われる（図７ステップＳ１４）。ルータ３−１，３−２はエイジングタイマが満了になると（図７ステップＳ１５）、端末テーブル３３のエントリを削除し（図７ステップＳ１６）、端末テーブル３３のエントリ変更情報を認証サーバ４に送信する（図７ステップＳ１７）。また、ルータ３−１，３−２はエイジングタイマが満了にならなければ（図７ステップＳ１５）、ステップＳ１２に戻って上記の処理を繰り返し行う。

図９は図４の情報収集機能４１が収集した情報を台帳化した構成例を示す図であり、図１０は図９に示す台帳化した情報を基に作成されたパケットフィルタリング・ポリシーの一例を示す図であり、図１１及び図１２は図１の端末１−１，１−２におけるネットワークへの接続処理を示すシーケンスチャートであり、図１３は図１の認証サーバ４における情報収集を示すシーケンスチャートである。これら図１と図２と図４と図９〜図１３とを参照して認証サーバ４における情報収集について説明する。

ここで、図１１は、図１の端末１−１，１−２がネットワークに物理的に接続された時点で常駐ソフトウェアをダウンロードすることによって、認証サーバ４から端末の情報収集を可能とする場合の処理を示している。また、図１２は、図１の端末１−１，１−２がネットワークに物理的に接続された時点で常駐ソフトウェアをダウンロードせずに、認証サーバ４による利用者認証に失敗する場合の処理を示している。

まず、端末１−１，１−２はネットワークに物理的に接続された時点で、認証サーバ４の台帳に登録されていない。また、ルータ３−１，３−２は、通常、すべてのパケットを廃棄するように動作しており、認証サーバ４からのパケットフィルタリング・ポリシーによって、認証サーバ４及びダウンロードサーバ５への通信のみを許可し、その後にすべての通信を許可するというように設定されていく。

すなわち、ルータ３−１，３−２は、ネットワークに接続された端末１−１，１−２からＡＲＰ Ｒｅｑｕｅｓｔを聴取すると（図１１のａ１）、端末テーブル３３のエントリを更新し（図１１のａ２）、更新情報（ＭＡＣアドレス、ＩＰアドレス）を認証サーバ４に送信する（図１１のａ３）。

認証サーバ４の情報収集機能４１においては、端末１−１，１−２の位置情報の収集を、各ルータ３−１，３−２から配信される端末テーブル３３の情報（更新情報）を基に実行する。その後に、情報収集機能４１は、端末テーブル３３に登録されている各端末１−１，１−２のアドレス情報を基に各端末１−１，１−２から利用者情報等［ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）種別、適用済みパッチ／適用済みウィルス定義ファイルのバージョン情報、利用者情報］を収集するために、利用者情報等要求を端末１−１，１−２に送信する（図１１のａ４）。

しかしながら、端末１−１，１−２には常駐ソフトウェアがインストールされていないため、認証サーバ４は利用者情報等データの取得に失敗するので（図１１のａ５）、端末１−１，１−２に対して認証サーバ４及びダウンロードサーバ５以外へのアクセスを遮断するためのパケットフィルタリング・ポリシーを生成し（図１１のａ６）、ルータ３−１，３−２に配信し（図１１のａ７）、各ルータ３−１，３−２のフィルタリング設定を行う（図１１のａ８）。

そこで、端末１−１，１−２はダウンロードサーバ５に常駐ソフトウェア要求を送信し（図１１のａ９）、ダウンロードサーバ５から常駐ソフトウェアが送られてくると（図１１のａ１０）、その常駐ソフトウェアの常駐ソフトウェア部１１へのインストールを行う（図１１のａ１１）。

利用者情報の認証にはディジタル証明書による認証を使用する。このディジタル証明書はＩＣカードの作成時に、図示せぬデータベースに登録して管理しており、認証サーバ４が端末１−１，１−２の認証に用いる台帳にはデータベースの内容が反映されるようになっており、データベースの内容が変更されると、その変更内容が台帳に即座に反映される。

利用者情報の認証を行う場合、端末利用者は端末１−１，１−２にＩＣカードリーダ２−１，２−２を接続し、ＩＣカードリーダ２−１，２−２によってＩＣカードからディジタル証明書を読取らせ、そのＩＣカードから読取らせたディジタル証明書を端末１−１，１−２から認証サーバ４に送信させる。認証サーバ４はＩＣカードから読取ったディジタル証明書を基に、組織に許可された利用者か否かの認証を行う。

つまり、端末１−１，１−２に接続されたＩＣカードリーダ２−１，２−２にＩＣカードが挿入されると（図１１のａ１２）、端末１−１，１−２はネットワークへの接続通知を認証サーバ４に送る（図１１のａ１３）。認証サーバ４は端末１−１，１−２からネットワークへの接続通知が送られてくると、端末１−１，１−２の稼働状態を更新するために、台帳の更新を行う（図１１のａ１４）。

認証サーバ４は更新した台帳を基に、パケットフィルタリング・ポリシーを生成してルータ３−１，３−２に送るので（図１１のａ１５）、ルータ３−１，３−２ではそのパケットフィルタリング・ポリシーに基づいたフィルタリング設定が行われる（図１１のａ１６）。この状態で、端末１−１，１−２からネットワークへのＩＰパケットが送信されてくると（図１１のａ１７）、ルータ３−１，３−２は上記のフィルタリング設定に基づいて、上記のＩＰパケットを転送する（図１１のａ１８）。

一方、ＩＣカードがＩＣカードリーダ２−１，２−２から取り外された場合、端末１−１，１−２の常駐ソフトウェア部１１はその情報を認証サーバ４へ通知する。つまり、端末１−１，１−２に接続されたＩＣカードリーダ２−１，２−２からＩＣカードが抜去されると（図１１のａ１９）、端末１−１，１−２はネットワークの切断通知を認証サーバ４に送る（図１１のａ２０）。

認証サーバ４は端末１−１，１−２からネットワークの切断通知が送られてくると、端末１−１，１−２の稼働状態を更新するために、台帳の更新を行う（図１１のａ２１）。認証サーバ４は更新した台帳を基に、パケットフィルタリング・ポリシーを生成してルータ３−１，３−２に送るので（図１１のａ２２）、上記と同様に、ルータ３−１，３−２にはそのパケットフィルタリング・ポリシーに基づいたフィルタリング設定が行われる。

次に、図１の端末１−１，１−２がネットワークに物理的に接続された時点で常駐ソフトウェアをダウンロードせずに、認証サーバ４による利用者認証に失敗する場合の処理について説明する。まず、ルータ３−１，３−２は、ネットワークに接続された端末１−１，１−２からＡＲＰ Ｒｅｑｕｅｓｔを聴取すると（図１２のｂ１）、端末テーブル３３のエントリを更新し（図１２のｂ２）、更新情報（ＭＡＣアドレス、ＩＰアドレス）を認証サーバ４に送信する（図１２のｂ３）。

認証サーバ４の情報収集機能４１においては、端末１−１，１−２の位置情報の収集を、各ルータ３−１，３−２から配信される端末テーブル３３の情報（更新情報）を基に実行する。その後に、情報収集機能４１は、端末テーブル３３に登録されている各端末１−１，１−２のアドレス情報を基に各端末１−１，１−２から利用者情報等［ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）種別、適用済みパッチ／適用済みウィルス定義ファイルのバージョン情報、利用者情報］を収集するために、利用者情報等要求を端末１−１，１−２に送信する（図１２のｂ４）。

しかしながら、端末１−１，１−２には常駐ソフトウェアがインストールされていないため、認証サーバ４は利用者情報等データの取得に失敗するので（図１２のｂ５）、利用者認証に失敗する。よって、認証サーバ４は端末１−１，１−２に対して認証サーバ４及びダウンロードサーバ５以外へのアクセスを遮断するためのパケットフィルタリング・ポリシーを生成し（図１２のｂ６）、ルータ３−１，３−２に配信し（図１２のｂ７）、各ルータ３−１，３−２のフィルタリング設定を行う（図１２のｂ８）。

この場合、端末１−１，１−２には常駐ソフトウェアのインストールが行われていない。この状態で、端末１−１，１−２に接続されたＩＣカードリーダ２−１，２−２にＩＣカードが挿入されると（図１２のｂ９）、端末１−１，１−２はネットワークへの接続通知を認証サーバ４に送る（図１２のｂ１０）。認証サーバ４は端末１−１，１−２からネットワークへの接続通知が送られてくると、端末１−１，１−２の稼働状態を更新するために、台帳の更新を行う（図１２のｂ１１）。

認証サーバ４は更新した台帳を基に、パケットフィルタリング・ポリシーを生成してルータ３−１，３−２に送るので（図１２のｂ１２）、ルータ３−１，３−２ではそのパケットフィルタリング・ポリシーに基づいたフィルタリング設定が行われる（図１２のｂ１３）。この時、パケットフィルタリング・ポリシーには端末１−１，１−２からのＩＰパケットを廃棄するようにフィルタリング設定されている。

したがって、端末１−１，１−２からネットワークへのＩＰパケットが送信されてくると（図１２のｂ１４）、ルータ３−１，３−２は上記のフィルタリング設定に基づいて、上記のＩＰパケットを廃棄する（図１２のｂ１５）。

一方、端末１−１，１−２に接続されたＩＣカードリーダ２−１，２−２からＩＣカードが抜去されると（図１２のｂ１６）、端末１−１，１−２はネットワークの切断通知を認証サーバ４に送る（図１２のｂ１７）。認証サーバ４は端末１−１，１−２からネットワークの切断通知が送られてくると、端末１−１，１−２の稼働状態を更新するために、台帳の更新を行う（図１２のｂ１８）。

認証サーバ４は更新した台帳を基に、パケットフィルタリング・ポリシーを生成してルータ３−１，３−２に送るので（図１２のｂ１９）、上記と同様に、ルータ３−１，３−２ではそのパケットフィルタリング・ポリシーに基づいたフィルタリング設定が行われる。

ルータ３−１，３−２においては、上述したように、端末１−１，１−２からＡＲＰ Ｒｅｑｕｅｓｔを聴取すると（図１３のｃ１）、端末テーブル３３のエントリを更新し（図１３のｃ２）、更新情報（ＭＡＣアドレス、ＩＰアドレス）を認証サーバ４に送信する（図１３のｃ３）。

認証サーバ４の情報収集機能４１においては、端末１−１，１−２の位置情報の収集を、各ルータ３−１，３−２から配信される端末テーブル３３の情報（更新情報）を基に実行する。その後に、情報収集機能４１は、端末テーブル３３に登録されている各端末１−１，１−２のアドレス情報を基に各端末１−１，１−２から利用者情報等［ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）種別、適用済みパッチ／適用済みウィルス定義ファイルのバージョン情報、利用者情報］を収集するために、利用者情報等要求を端末１−１，１−２に送信する（図１３のｃ４）。

端末１−１，１−２にインストールされた常駐ソフトウェアは認証サーバ４から利用者情報等要求を受取ると、利用者情報等データ（ＯＳ種別、適用済みパッチ／適用済みウィルス定義ファイルのバージョン情報、利用者情報、稼働情報）を認証サーバ４に送信する（図１３のｃ５）。認証サーバ４の情報収集機能４１はこれらの収集した情報を台帳化して管理者に情報提供する（図１３のｃ６）。その台帳化した例を図９に示す。

図９において、台帳化された情報はルータ名（「ルータ＃１」，「ルータ＃２」）と、ＩＰアドレス（「１９２．１６８．０．１」，「１９２．１６８．０．２」，「１７２．１６．１．１」，「１７２．１６．１．１０」）と、ＭＡＣアドレス（「ａａａａ．ａａａａ．ａａａａ」，「ｂｂｂｂ．ｂｂｂｂ．ｂｂｂｂ」，「ｃｃｃｃ．ｃｃｃｃ．ｃｃｃｃ」，「ｘｘｘｘ．ｘｘｘｘ．ｘｘｘｘ」）と、ＯＳ種別（「Ａ」，「Ｂ」，「Ｃ」，「不明」）と、最新パッチ／定義ファイル（「最新」，「未適用」，「不明」）と、利用者（「社員」，「不明」）と、端末管理レベル（「Ａｄｍｉｔｔｅｄ」，「Ｕｎａｄｍｉｔｔｅｄ」，「Ｖｕｌｎｅｒａｂｌｅ」，「Ｇｕｅｓｔ」）と、フィルタリングポリシー（「Ｐｅｒｍｉｔ」，「Ｂｌｏｃｋ」）とから構成されている。

尚、図９に示す台帳において、（１）の各項目（ルータ名、ＩＰアドレス、ＭＡＣアドレス）は各ルータ３−１，３−２から送られてくる情報であり、（２）の各項目（ＯＳ種別、最新パッチ／定義ファイル、利用者）は各端末１−１，１−２の常駐ソフトウェアから送られてくる情報であり、（３）の各項目（端末管理レベル、フィルタリングポリシー）は認証サーバ４で定義される情報である。

また、フィルタリングポリシーは、「始点アドレス」、「終点アドレス」、「プロトコル種別」、「最新バッチ／ウィルス定義の適用有無」、「利用者情報」、「トラフィック量」をパラメータとしてフィルタリング条件（「Ｐｅｒｍｉｔ」，「Ｂｌｏｃｋ」）が管理者によって定義される。認証サーバ４は、そのフィルタリング条件に基づいて各ルータ３−１，３−２のフィルタリング設定を行う。

また、認証サーバ４のパケットフィルタリング・ポリシー生成機能４２は情報収集機能４１にて収集した情報を基にパケットフィルタリング・ポリシーを生成し（図１３のｃ７）、ルータ３−１，３−２に配信し（図１３のｃ８）、各ルータ３−１，３−２のフィルタリング設定を行う（図１３のｃ９）。図９に示す台帳化した例を基に作成したパケットフィルタリング・ポリシーの例を図１０に示す。

図１０において、パケットフィルタリング・ポリシーはルータの送信方向及び受信方向毎に設定される。ルータ＃１の送信方向には送信元アドレス（「１９２．１６８．０．１／３２」，「１９２．１６８．０．２／３２」，「１９２．１６８．０．２／３２」，「上記以外」）と、宛先アドレス（「制限なし」，「認証サーバ」，「ダウンロード・サーバ」）と、アクション（「許可」，「廃棄」）とが設定される。

ルータ＃１の受信方向には送信元アドレス（「制限なし」，「認証サーバ」，「ダウンロード・サーバ」，「制限なし」）と、宛先アドレス（「１９２．１６８．０．１／３２」，「１９２．１６８．０．２／３２」，「１９２．１６８．０．２／３２」，「上記以外」）と、アクション（「許可」，「廃棄」）とが設定される。

認証サーバ４は情報収集機能４１にて収集した情報を基に各ルータ３−１，３−２におけるパケットフィルタリング・ポリシーを決定する。端末１−１，１−２に最新のパッチとウィルス定義ファイルとが適用され、かつ組織に許可された利用者が操作していることが確認されれば、ルータ３−１，３−２はその端末１−１，１−２の他セグメント宛通信を制限しない。

端末１−１，１−２に最新パッチ、もしくは最新ウィルス定義ファイルが適用されていない場合、ルータ３−１，３−２は最新パッチまたは最新ウィルス定義ファイルを提供するダウンロードサーバ５及び認証サーバ４宛ての通信のみを許可する。

組織に許可されていない利用者が操作している場合や、常駐ソフトウェアがインストールされていない端末についても、ダウンロードサーバ５及び認証サーバ４宛ての通信のみ許可する。

図１４は図３のルータ３−１，３−２におけるフィルタリング処理を示すフローチャートである。これら図１と図３と図１４とを参照してルータ３−１，３−２におけるフィルタリング処理について説明する。

ルータ３−１，３−２は監視対象セグメントからＩＰパケットを受信すると（図１４ステップＳ２１）、そのＩＰパケットの送信元アドレス及び宛先アドレスをパケットフィルタリング・ポリシーと比較する（図１４ステップＳ２２）。

その比較結果から許可と判定すると、ルータ３−１，３−２はルーティングテーブルにしたがってＩＰパケットを宛先へ転送する（図１４ステップＳ２３）。これに対し、その比較結果から廃棄と判定すると、ルータ３−１，３−２はルータ内部で受信したＩＰパケットを廃棄する（図１４ステップＳ２４）。

図１５は図４の認証サーバ４による最新パッチまたは最新ウィルス定義ファイルの提供処理を示すシーケンスチャートである。これら図１と図４と図１５とを参照して認証サーバ４による最新パッチまたは最新ウィルス定義ファイルの提供処理について説明する。

ダウンロードサーバ５は内部に蓄積しているパッチまたはウィルス定義ファイルが更新されると、最新バージョン通知を認証サーバ４に送る（図１５のｄ１）。認証サーバ４は最新バージョン通知を受けると、該当する端末１−１，１−２に最新バージョン適用要求を送る（図１５のｄ２）。

端末１−１，１−２の常駐ソフトウェアは最新バージョン適用要求を受取ると、ダウンロードサーバ５に最新バージョン取得要求を送り（図１５のｄ３）、ダウンロードサーバ５から最新バージョンをダウンロードする（図１５のｄ４）。端末１−１，１−２の常駐ソフトウェアはダウンロードした最新バージョンのパッチまたはウィルス定義ファイルを格納することで、最新バージョンの適用を行い（図１５のｄ５）、完了すると、最新バージョン適用完了通知を認証サーバ４に送る（図１５のｄ６）。

認証サーバ４は最新バージョン適用完了通知を受けると、台帳の端末１−１，１−２に該当する内容を更新し（図１５のｄ７）、更新した台帳を基に、パケットフィルタリング・ポリシーを生成し（図１５のｄ８）、そのパケットフィルタリング・ポリシーをルータ３−１，３−２に送る（図１５のｄ９）。ルータ３−１，３−２ではそのパケットフィルタリング・ポリシーに基づいたフィルタリング設定が行われる（図１５のｄ１０）。

上記の最新バージョンの適用においては、うまく適用できる端末がある反面、何らかの異常（例えば、コンピュータウィルスに感染している等）でうまく適用できない端末もある。うまく適用できた端末は上述したような動作となるが、うまく適用できなかった端末では最新バージョン適用完了通知を送ることができない。

この場合、認証サーバ４は最新バージョン適用完了通知を送ってこなかった端末の最新パッチ／ウィルス定義ファイルの項目を未適用と更新するので、パケットフィルタリング・ポリシーにはその端末からのＩＰパケットを廃棄するようにフィルタリング設定されることとなる。

図１６は本発明の一実施例による通信端末システムの模式図である。図１６においては、通信先が制限されている端末６をＢｌｏｃｋ端末と、制限されていない端末７をＰｅｒｍｉｔ端末とそれぞれ記載している。

この場合、端末６は通信先が制限されているため、ルータ８のフィルタ部８１及びネットワーク１００を通して認証サーバ／ダウンロードサーバ９に接続することはできるが、一般サーバ／端末１０には接続できない。これに対し、端末７は通信先が制限されていないため、ルータ８のフィルタ部８１及びネットワーク１００を通して一般サーバ／端末１０に接続することができる。

このように、本実施例では、ネットワークに存在するルータ３−１，３−２が端末１−１，１−２が出力するＡＲＰパケットを聴取しているため、ネットワークに接続された端末１−１，１−２を自動的に一元管理することができる。

また、本実施例では、発見した端末１−１，１−２の稼動状態や利用者情報を認証サーバ４が調査し、その結果に基づいてフィルタリング・ポリシーをルータ３−１，３−２に指示するため、端末１−１，１−２の稼動状態や利用者情報に応じて、その端末１−１，１−２が他セグメント宛に送信したパケットをルータ３−１，３−２にてフィルタリングすることができる。

尚、本実施例ではＩＣカードのディジタル証明書や利用者情報等データ（ＯＳ種別、適用済みパッチ／適用済みウィルス定義ファイルのバージョン情報、利用者情報、稼働情報）を用いて認証を行っているが、これら以外のデータを用いて認証を行うことも可能であり、これに限定されない。

本発明の一実施例によるネットワークの構成を示すブロック図である。 図１の端末の構成を示すブロック図である。 図１のルータの構成を示すブロック図である。 図１の認証サーバの構成を示すブロック図である。 図１のダウンロード・サーバの構成を示すブロック図である。 図１のルータにおける端末テーブル生成手順を示すフローチャートである。 図３の端末テーブルに用いられるエイジングタイマの処理を示すフローチャートである。 図３の端末テーブルの構成例を示す図である。 図４の情報収集機能が収集した情報を台帳化した構成例を示す図である。 図８に示す台帳化した情報を基に作成されたパケットフィルタリング・ポリシーの例を示す図である。 図１の端末におけるネットワークへの接続処理を示すシーケンスチャートである。 図１の端末におけるネットワークへの接続処理を示すシーケンスチャートである。 図１の認証サーバにおける情報収集を示すシーケンスチャートである。 図３のルータにおけるフィルタリング処理を示すフローチャートである。 図４の認証サーバによる最新パッチまたは最新ウィルス定義ファイルの提供処理を示すシーケンスチャートである。 本発明の一実施例による通信端末システムの模式図である。

符号の説明

１，１−１，１−２，６，７ 端末
２−１，２−２ ＩＣカードリーダ
３，３−１，３−２，８ ルータ
４ 認証サーバ
５ ダウンロードサーバ
１１ 常駐ソフトウェア部
１２ ＩＣカードリーダ接続部
３１ ルーティング機能
３２ 端末検出機能
３３ 端末テーブル
３４ 送受信機能
３５ パケットフィルタリング機能
３５ａ 動的フィルタリング規則生成機能
３５ｂ パケットフィルタリング処理機能
３６ トラフィック量観測機能
４１ 情報収集機能
４２ パケットフィルタリング・ポリシー生成機能
４３ フィルタリング・ポリシー配信機能
５１ 常駐ソフトウェア部
５２ ダウンロードサービス機能
１００ ネットワーク
１１１ 提供機能

Claims (17)

1. 端末の稼動状態と利用者認証とを少なくとも行う認証サーバ装置と、組織内ネットワーク内でＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットの中継を行う複数のルータ装置とを含むネットワークであって、
   前記端末からのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を聴取して当該端末の端末情報を取得する手段と、その取得した端末情報を前記認証サーバ装置へ通知する手段とを前記ルータ装置に有し、
   前記認証サーバ装置が前記端末情報に基づいて前記端末の稼動状態の取得と前記利用者認証とを少なくとも行うことを特徴とするネットワーク。
2. 前記認証サーバ装置が管理する端末情報に基づいて前記端末が送信するパケットに対してフィルタリング処理を行う手段を前記ルータ装置に含み、
   前記ルータ装置は、前記フィルタリング処理にて前記端末毎に中継可能な宛先ネットワークを動的に制御することを特徴とする請求項１記載のネットワーク。
3. 前記認証サーバ装置と前記ルータ装置とを連携させて前記認証サーバ装置による前記端末及び利用者の管理と、前記ルータ装置による接続先ネットワークの管理とを一体で行うことを特徴とする請求項２記載のネットワーク。
4. 前記ルータ装置を組織内ネットワークの各サブネット間の中継機器として使用することを特徴とする請求項１から請求項３のいずれか記載のネットワーク。
5. 前記認証サーバ装置にて前記利用者認証を行うための情報を格納する情報蓄積媒体と、前記端末に接続されかつ前記情報蓄積媒体から前記利用者認証を行うための情報を読取る読取り装置とを含み、
   前記認証サーバ装置は、前記情報蓄積媒体の前記読取り装置への挿抜動作に応じて前記端末の前記組織内ネットワークへの接続を判定することを特徴とする請求項４記載のネットワーク。
6. 端末の稼動状態と利用者認証とを少なくとも行う認証サーバ装置であって、
   組織内ネットワーク内でＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットの中継を行う複数のルータ装置において前記端末からのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を聴取して取得した当該端末の端末情報に基づいて前記端末の稼動状態の取得と前記利用者認証とを少なくとも行う手段を有することを特徴とする認証サーバ装置。
7. 前記ルータ装置と連携することで、前記ルータ装置による接続先ネットワークの管理と前記端末及び利用者の管理とを一体で行うことを特徴とする請求項６記載の認証サーバ装置。
8. 前記利用者認証を行うための情報を格納する情報蓄積媒体が前記端末に接続されかつ前記情報蓄積媒体から前記利用者認証を行うための情報を読取る読取り装置に挿抜される際に、その挿抜動作に応じて前記端末の組織内ネットワークへの接続を判定することを特徴とする請求項６または請求項７記載の認証サーバ装置。
9. 組織内ネットワーク内でＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットの中継を行うルータ装置であって、
   前記端末からのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を聴取することで認証サーバ装置において行われる前記端末の稼動状態の取得と利用者認証とに用いられる端末情報を取得する手段と、その取得した端末情報を前記認証サーバ装置へ通知する手段とを有することを特徴とするルータ装置。
10. 前記認証サーバ装置が管理する端末情報に基づいて前記端末が送信するパケットに対してフィルタリング処理を行う手段を含み、
    前記フィルタリング処理にて前記端末毎に中継可能な宛先ネットワークを動的に制御することを特徴とする請求項９記載のルータ装置。
11. 前記認証サーバ装置と連携することで、接続先ネットワークの管理と前記認証サーバ装置による前記端末及び利用者の管理とを一体で行うことを特徴とする請求項１０記載のルータ装置。
12. 組織内ネットワークの各サブネット間の中継機器として使用することを特徴とする請求項９から請求項１１のいずれか記載のルータ装置。
13. 端末の稼動状態の取得と利用者認証とを少なくとも行う認証サーバ装置と、組織内ネットワーク内でＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）パケットの中継を行う複数のルータ装置とを含むシステムにおいて前記端末のネットワークへの接続を管理する端末管理方法であって、前記ルータ装置側に、前記端末からのＡＲＰ（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ）を聴取して当該端末の端末情報を取得するステップと、その取得した端末情報を前記認証サーバ装置へ通知するステップとを有し、前記認証サーバ装置が前記端末情報に基づいて前記端末の稼動状態の取得と前記利用者認証とを少なくとも行うことを特徴とする端末管理方法。
14. 前記ルータ装置が、前記認証サーバ装置が管理する端末情報に基づいて前記端末が送信するパケットに対してフィルタリング処理を行い、前記フィルタリング処理にて前記端末毎に中継可能な宛先ネットワークを動的に制御することを特徴とする請求項１３記載の端末管理方法。
15. 前記認証サーバ装置と前記ルータ装置とを連携させて前記認証サーバ装置による前記端末及び利用者の管理と、前記ルータ装置による接続先ネットワークの管理とを一体で行うことを特徴とする請求項１４記載の端末管理方法。
16. 前記ルータ装置を組織内ネットワークの各サブネット間の中継機器として使用することを特徴とする請求項１３から請求項１５のいずれか記載の端末管理方法。
17. 前記利用者認証を行うための情報を格納する情報蓄積媒体が前記端末に接続されかつ前記情報蓄積媒体から前記利用者認証を行うための情報を読取る読取り装置に挿抜される際に、前記認証サーバ装置がその挿抜動作に応じて前記端末の組織内ネットワークへの接続を判定することを特徴とする請求項１６記載の端末管理方法。
    

Images