JP2006079498A - Security management apparatus and security management method and program - Google Patents
Security management apparatus and security management method and program Download PDFInfo
- Publication number
- JP2006079498A JP2006079498A JP2004265077A JP2004265077A JP2006079498A JP 2006079498 A JP2006079498 A JP 2006079498A JP 2004265077 A JP2004265077 A JP 2004265077A JP 2004265077 A JP2004265077 A JP 2004265077A JP 2006079498 A JP2006079498 A JP 2006079498A
- Authority
- JP
- Japan
- Prior art keywords
- information
- terminal
- security
- terminal device
- unit
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Computer And Data Communications (AREA)
Abstract
Description
この発明は、端末に対してセキュリティ対策処置を適用するセキュリティ管理システムに関するものである。 The present invention relates to a security management system that applies a security measure to a terminal.
従来の技術として特開２００３−７６４３４号公報に記載の「セキュリティアップデート監視装置」や特開２００２−３６６５２５号公報に記載の「セキュリティポリシー維持システム」がある。 As a conventional technique, there is a “security update monitoring apparatus” described in JP-A-2003-76434 and a “security policy maintenance system” described in JP-A-2002-366525.
特開２００３−７６４３４号公報に記載のセキュリティアップデート監視装置は、端末にインストールされたソフトウェア情報を統合的に管理し、一括した更新作業を実施するものである。管理装置とエージェントから構成され、エージェントから送信されてきたインベントリ情報を基に管理装置にて更新判定を実施し、更新が必要な場合に更新を実施するものである。 A security update monitoring apparatus described in Japanese Patent Application Laid-Open No. 2003-76434 manages software information installed in a terminal in an integrated manner, and performs a batch update operation. The management apparatus is composed of an agent and an agent. The management apparatus performs update determination based on inventory information transmitted from the agent, and updates are performed when update is necessary.
また、特開２００２−３６６５２５号公報に記載のセキュリティポリシー維持システムは、ユーザがログインする際に端末上のエージェントがインベントリ情報を収集し、管理サーバに送信する。管理サーバ上でチェックを行い、ネットワークログオンの許可・不許可の判断を行い、不許可時にはログオンを拒絶するものである。また、エージェントがインストールされていないマシンもログオンを拒絶する。また、稼動中であってもセキュリティレベルが低くなった場合には、ネットワークへの参加を拒否するものである。
特開２００３−７６４３４号公報に記載のセキュリティアップデート監視装置は、セキュリティ対策が行われていない端末が検出された場合であっても、ネットワークに接続されたままとなるため、セキュリティ対策が実施されるまでの間に、セキュリティホールを突いた攻撃を受けてしまう可能性があるという課題があった。また、エージェントがインストールされていない端末は、監視対象外となってしまうため、セキュリティ対策が未実施であってもネットワークに接続されたままとなってしまうため、セキュリティホールを突いた攻撃を受けてしまう可能性があるという課題があった。 The security update monitoring apparatus described in Japanese Patent Laid-Open No. 2003-76434 remains connected to the network even when a terminal for which security measures have not been taken is detected, so that security measures are implemented. In the meantime, there was a problem that there was a possibility of being attacked through a security hole. In addition, since terminals that do not have an agent installed are not monitored, they remain connected to the network even if security measures are not implemented. There was a problem that it might end.
また、特開２００２−３６６５２５号公報に記載のセキュリティポリシー維持システムは、セキュリティ対策が行われていない端末が検出されるとネットワークアクセスを遮断してしまうため、ネットワーク経由でのセキュリティ対策の適用やユーザへの通知等を実施できないという課題があった。 In addition, the security policy maintenance system described in Japanese Patent Laid-Open No. 2002-366525 blocks network access when a terminal that has not been subjected to security measures is detected. There was a problem that notifications to and others could not be implemented.
この発明は、上記のような課題を解決することを主な目的とし、セキュリティ対策が行われていない端末やエージェントがインストールされていない端末をネットワークから隔離しつつ、ネットワーク経由でのセキュリティ対策の実施を行うことを目的とする。 The main object of the present invention is to solve the above-mentioned problems, and implement security measures via the network while isolating terminals on which security measures are not taken and terminals on which no agent is installed from the network. The purpose is to do.
本発明に係るセキュリティ管理装置は、
端末装置の通信を制御する中継装置を介して、前記端末装置に対するセキュリティ管理を行うセキュリティ管理装置であって、
前記端末装置の装置情報を前記端末装置から前記中継装置を介して受信する受信部と、
前記受信部により受信された前記端末装置の装置情報に基づき、前記端末装置に対するセキュリティ対策処置が必要であるか否かを判断する対策判断部と、
前記対策判断部により前記端末装置に対するセキュリティ対策処置が必要であると判断された場合に、前記中継装置に対して前記端末装置の通信をセキュリティ管理装置との通信に限定するよう指示する通信制限指示を生成する指示生成部と、
前記指示生成部により生成された通信制限指示を前記中継装置に対して送信する送信部とを有することを特徴とする。
The security management device according to the present invention is:
A security management device that performs security management for the terminal device via a relay device that controls communication of the terminal device,
A receiving unit for receiving device information of the terminal device from the terminal device via the relay device;
Based on the device information of the terminal device received by the receiving unit, a measure determining unit that determines whether or not a security measure action is required for the terminal device;
A communication restriction instruction for instructing the relay device to limit communication of the terminal device to communication with the security management device when it is determined by the measure determining unit that security measures are required for the terminal device. An instruction generation unit for generating
And a transmission unit that transmits the communication restriction instruction generated by the instruction generation unit to the relay device.
本発明によれば、端末装置にセキュリティ対策処置が必要な場合に、中継装置に対して通信制御指示を送信することにより、端末装置の通信をセキュリティ対策処置に必要な通信に制限することができ、このため、セキュリティ対策処置の必要な端末装置をネットワークから隔離した状態で、ネットワーク経由でのセキュリティ対策処置を実施することが可能となる。 According to the present invention, when a security measure is required for a terminal device, the communication of the terminal device can be limited to the communication required for the security measure by transmitting a communication control instruction to the relay device. For this reason, it is possible to carry out the security countermeasures via the network while the terminal device requiring the security countermeasures is isolated from the network.
実施の形態１．
図１は、本実施の形態に係るセキュリティ管理システムの構成例を示す図である。
FIG. 1 is a diagram illustrating a configuration example of a security management system according to the present embodiment.
図に示すように、セキュリティ管理システムは、管理装置１、セキュアゲート装置２、端末３を備えている。管理装置１、セキュアゲート装置２、端末３は通信回線５を介して接続されている。管理装置１は、セキュアゲート装置２を介して端末３に対するセキュリティ管理を行う。管理装置１は、セキュリティ管理装置の例である。セキュアゲート装置２は、端末３の通信を制御する。セキュアゲート装置２は、中継装置の例である。端末３は、端末装置の例である。端末３はエージェント４を備えている。エージェント４は、端末に関する情報収集を行い、収集した情報を端末情報（装置情報）としてセキュアゲート装置２を介して管理装置１に送信する。通信回線５は、例えばインターネットやイントラネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等のネットワークである。
As shown in the figure, the security management system includes a
図２は、実施の形態１による、セキュリティ管理システムの各装置の構成例を示すブロック図である。 FIG. 2 is a block diagram illustrating a configuration example of each device of the security management system according to the first embodiment.
図２において、１１は端末３上のエージェント４やセキュアゲート装置２が取得した情報を収集（受信）し、収集（受信）した情報をインベントリ情報格納部１４に格納する情報収集部である。情報収集部１１は、受信部の例である。
In FIG. 2,
１２は情報収集部１１が収集した情報とセキュリティ情報格納部１５に格納されているセキュリティ情報から、セキュリティ対策処置の適用の有無を判断する対策チェック部である。対策チェック部１２は、対策判断部の例である。
Reference numeral 12 denotes a measure check unit that determines whether or not a security measure measure is applied based on information collected by the
１３は対策チェック部１２がセキュリティ対策処置の必要があると判断した場合に、該当端末３上のエージェント４やセキュアゲート装置２に対して対策を指示する対策指示部である。対策指示部１３は、指示生成部及び送信部の例である。
A
１４は情報収集部１１が収集した端末３やセキュアゲート装置２の情報を格納するインベントリ情報格納部である。
１５はＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）やアプリケーション、Ｈ／Ｗ（Ｈａｒｄ Ｗｅａｒ）のベンダが出しているセキュリティ情報を格納したセキュリティ情報格納部である。
A security
２１はセキュアゲート装置２の配下に接続されている端末３の情報を取得する情報取得部である。
２２は情報取得部２１が取得した配下の端末３の情報を管理装置１に送信する情報送信部である。
２３は管理装置１から対策指示が送信されてきた場合に、指示に従った対策を実施する対策適用部である。
２６は管理装置１と端末３との間の通信の中継処理を行う中継処理部である。
A
４１は端末３のＯＳ、アプリケーション、Ｈ／Ｗ、セキュリティ対策などの情報を取得する情報取得部である。
４２は情報取得部４１が取得した端末３の情報を管理装置１に送信する情報送信部である。
４３は管理装置１から対策指示が送信されてきた場合に、指示に従った対策処置を実施する対策適用部である。
次に、動作について説明する。 Next, the operation will be described.
図３〜図５は、実施の形態１のセキュリティ管理システムの動作例のフローチャートである。ここでは、管理装置１とセキュアゲート装置２と端末３上のエージェント４の処理を示している。
3 to 5 are flowcharts of operation examples of the security management system according to the first embodiment. Here, processing of the
まず、図３を参照して端末３上のエージェント４の動作例を説明する。
First, an operation example of the
情報取得部４１は、端末３の端末情報（装置情報）を取得する（ＳＴ１０１）。取得する端末情報としては、ＯＳ名、バージョン、適用サービスパック、コンピュータ名、ＣＰＵ名、メモリ搭載量、接続デバイス情報、ＩＰアドレス、ＭＡＣアドレス、サービス情報、サービスの起動情報、被アクセス可能なポート番号、インストールアプリケーション情報、アプリケーションのバージョン、ユーザ情報、システムログ、アプリケーションログなどの情報である。
The
取得が完了すると情報送信部４２は、セキュアゲート装置２経由で管理装置１にＳＴ１０１で取得した端末情報を送信する（ＳＴ１０２）。
When the acquisition is completed, the
次に、対策適用部４３は、管理装置１からの通知をセキュアゲート装置２経由で受信し、管理装置１からの通知によりセキュリティ対策処置の必要の有無を確認する（ＳＴ１０３）。対策処置の必要がない場合には、ＳＴ１０１へ進む。対策処置の必要がある場合にはＳＴ１０４へ進む。
Next, the
対策適用部４３は、管理装置１から送信されてきた対策処置の内容を適用する（ＳＴ１０４）。送信されてくる対策処置の内容は、パッチ情報などであり、ＳＴ１０４では、送信されたバッチ情報を用いてセキュリティ対策処置を行う。
The
対策適用部４３は、セキュリティ対策処置の適用完了を確認すると完了通知（処置実施完了通知）をセキュアゲート装置２を経由して管理装置１へ送信する。この際、情報取得部４１により、端末３の端末情報を取得し、その端末情報の内容も併せて送信する（ＳＴ１０５）。
When the
次に、図４を参照してセキュアゲート装置２の動作を説明する。
Next, the operation of the
情報取得部２１は、配下にある端末３の識別情報を取得する（ＳＴ１１１）。取得する識別情報としては、配下の端末３のＩＰアドレス、ＭＡＣアドレスなどである。
The
取得が完了すると情報送信部２２は、管理装置１にＳＴ１１１で取得した情報を送信する（ＳＴ１１２）。
When the acquisition is completed, the
対策適用部２３は、管理装置１からの通知を受信し、管理装置１からの通知により対策処置の必要の有無を確認する（ＳＴ１１３）。対策処置の必要がある場合には、ＳＴ１１４へ進む。対策処置の必要がない場合にはＳＴ１１１へ進む。
The
対策適用部２３は、管理装置１から送信されてきた対策処置の内容を適用する（ＳＴ１１４）。送信されてくる対策処置の内容は、ＭＡＣアドレス、ＩＰアドレス、ネットワークアクセス制限の実施あるいはネットワークアクセス制限の解除などである。つまり、管理装置１からの通知に示されたＭＡＣアドレス及びＩＰアドレスに基づき、対策処置の対象となる端末３を特定するとともに、特定した端末３に対するネットワークアクセスの制限の実施又はネットワークアクセス制限の解除を行う。具体的には、後述するように、管理装置１により特定の端末３に対するセキュリティ対策処置が必要であると判断された場合には、当該端末３のＭＡＣアドレス、ＩＰアドレスが示され、当該端末３のネットワークアクセスを管理装置１に限定する旨の指示（通信制制限指示）を受信し、この指示に従って対象となる端末３のネットワークアクセスを管理装置１のみに限定する。また、特定の端末３のネットワークアクセスが制限されている場合に、管理装置１により当該端末３に対するセキュリティ対策処置が完了したと判断された場合には、当該端末３のＭＡＣアドレス、ＩＰアドレスが示され、当該端末３のネットワークアクセスの制限を解除する旨の指示（制限解除指示）を受信し、この指示に従って対象となる端末３のネットワークアクセスの制限を解除する。
The
最後に、図５を参照して管理装置１の動作を説明する。
Finally, the operation of the
情報収集部１１は、セキュアゲート装置２を経由してエージェント４から送信されてくる端末情報（ＯＳ名、バージョン、適用サービスパック、コンピュータ名、ＣＰＵ名など）やセキュアゲート装置２から送信されてくる端末３の識別情報（ＭＡＣアドレスやＩＰアドレスの情報）を収集（受信）し、インベントリ情報格納部１４に収集した情報を格納する（ＳＴ１０６）（受信ステップ）。
The
対策チェック部１２は、情報収集部１１によって収集されたエージェント４からの端末情報と、セキュリティ情報格納部１５に格納されているセキュリティ情報の内容とを照合し、セキュリティ対策処置の必要の有無を判断する（ＳＴ１０７）（対策判断ステップ）。セキュリティ情報格納部１５に格納される情報はＯＳやアプリケーション、Ｈ／Ｗのベンダが出しているセキュリティ情報をインターネット経由やＣＤ−ＲＯＭなどの媒体経由で適宜最新情報が反映されるものである。セキュリティ対策処置が必要と判断した場合にはＳＴ１０８へ進む。対策処置が不要と判断した場合にはＳＴ１０６へ進む。
The countermeasure check unit 12 collates the terminal information from the
セキュリティ対策処置が必要な場合には、対策指示部１３は、対策処置を施す必要がある端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示をセキュリティ対策処置を施す必要がある端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１０８）（指示生成ステップ）（送信ステップ）。この結果、図４のＳＴ１１４で説明したように、セキュアゲート装置２がネットワークアクセスの制限を実施し、該当端末３は管理装置１へのネットワークアクセスのみに制限される。
When a security countermeasure action is required, the
次に、対策指示部１３は、端末３上のエージェント４に対して、セキュリティ対策処置の実施を指示する対策指示（処置実施指示）を生成し、生成した対策指示をセキュアゲート装置２経由で対象となる端末３に送信する。これは例えばパッチ情報などである（ＳＴ１０８）。
Next, the
対策指示部１３は、端末３におけるセキュリティ対策処置の完了を通知する対策完了通知（処置実施完了通知）が端末３上のエージェント４からセキュアゲート装置２経由で送信されてくるのを待つ（ＳＴ１０９）。対策完了通知が来たらＳＴ１１０へ進む。
The
対策指示部１３は、端末３上のエージェント４から対策完了通知が送信されてきたら、送信されてきた端末情報を基に、再度セキュリティ対策処置の必要の有無のチェックを実施する。この結果、セキュリティ対策処置が正しく実施され、当該端末３に対する更なるセキュリティ対策処置が不要であることが判断されると、当該端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、ネットワークアクセス制限の解除を指示する対策指示（制限解除指示）を生成し、生成した対策指示を対策処置を施す必要があった端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。この結果、図４のＳＴ１１４で説明したように、セキュアゲート装置２がネットワークアクセスの制限を解除する。
When a countermeasure completion notification is transmitted from the
図６は、管理装置１、セキュアゲート装置２、端末３／エージェント４の間のデータフローを示す図である。
FIG. 6 is a diagram illustrating a data flow between the
先ず、端末３／エージェント４で端末情報が収集され、端末３／エージェント４からセキュアゲート装置２に対して端末情報が送信され（ＳＴ６１）、セキュアゲート装置２から管理装置１に端末情報が送信される（ＳＴ６２）。また、セキュアゲート装置２から管理装置１へ、端末のＩＰアドレス等の端末３の識別情報が送信される（ＳＴ６３）。管理装置１では、端末３に対するセキュリティ対策処置の実施要否が判断される。対策処置が必要と判断されると、管理装置１からセキュアゲート装置２に通信制限指示が送信され（ＳＴ６４）、この結果、端末３の通信は管理装置１との通信に制限される。また、管理装置１では、端末３に対する処置実施指示が生成され、セキュアゲート装置２に対して送信される（ＳＴ６５）。セキュアゲート装置２は、処置実施指示を対象となる端末３に送信する（ＳＴ６６）。端末３／エージェント４では、処置実施指示に基づき、セキュリティ対策処置を実施し、処置実施完了通知を生成してセキュアゲート装置２に送信する（ＳＴ６７）。セキュアゲート装置２は端末３からの処置実施完了通知を管理装置１に送信する（ＳＴ６８）。管理装置１では、処置実施完了通知に基づき、更なるセキュリティ対策処置の実施要否を判断し、対策処置が不要と判断した場合は、制限解除指示をセキュアゲート装置２に送信し（ＳＴ６９）、セキュアゲート装置２は制限解除指示に基づき端末３の通信制限を解除する。
First, terminal information is collected by the terminal 3 /
以上のように、実施の形態１によれば、セキュリティ対策処置が必要な端末３が検出された場合に、セキュアゲート装置２に対して、端末３のネットワークアクセスの制限を実施するようにし、セキュリティ対策処置の適用が確認されると、端末３のネットワークアクセスの制限の実施を解除するようにしたため、セキュリティ対策未実施の端末をネットワークから隔離しつつ、ネットワーク経由でセキュリティ対策を行うことが可能となる。
As described above, according to the first embodiment, when a terminal 3 that requires a security measure is detected, the network access of the terminal 3 is restricted for the
実施の形態２．
図７は、実施の形態２のセキュリティ管理システムの構成例を示すブロック図である。
FIG. 7 is a block diagram illustrating a configuration example of the security management system according to the second embodiment.
図７において、１６は端末３上のエージェント４やセキュアゲート装置２が情報を送信すべき送信スケジュールを設定し、設定した送信スケジュールを示す送信スケジュール情報を生成するスケジュール設定部である。
In FIG. 7,
１７はスケジュール設定部１６にて生成された各端末３上のエージェント４やセキュアゲート装置２の送信スケジュール情報を該当端末３上のエージェント４やセキュアゲート装置２に配布するスケジュール配布部である。スケジュール配布部１７は、送信部の例である。
A
２４は管理装置１のスケジュール配布部１７から配布された送信スケジュール情報を受信し、そのスケジュールに従い、情報の取得実行を実施するスケジュール実行部である。
４４は管理装置１のスケジュール配布部１７から配布された送信スケジュール情報を受信し、そのスケジュールに従い、情報の取得実行を実施するスケジュール実行部である。
４５は情報取得部４１によって取得された情報を格納するインベントリ情報格納部である。
An inventory
次に、図８〜図１０を参照して実施の形態２によるセキュリティ管理システムの動作を説明する。 Next, the operation of the security management system according to the second embodiment will be described with reference to FIGS.
まず、図８を参照して端末３上のエージェント４の動作について説明する。
First, the operation of the
スケジュール実行部４４は、配布されているスケジュールの実行時間が来たかどうかをチェックする（ＳＴ２０１）。実行時間が来ていない場合には、実行時間が来るまで待つ。実行時間が来た場合には、ＳＴ１０１へ進む。
The
スケジュール実行部４４は、実行時間が来たら、情報取得を実行する。情報取得部４１は、端末の情報を取得する（ＳＴ１０１）。取得する情報としては、ＯＳ名、バージョン、適用サービスパック、コンピュータ名、ＣＰＵ名、メモリ搭載量、接続デバイス情報、ＩＰアドレス、ＭＡＣアドレス、サービス情報、サービスの起動情報、被アクセス可能なポート番号、インストールアプリケーション情報、アプリケーションのバージョン、ユーザ情報、システムログ、アプリケーションログなどである。
When the execution time comes, the
取得が完了すると情報送信部４２は、管理装置１にＳＴ１０１で取得した情報を送信すると同時にインベントリ情報格納部４５に取得した情報を書き込む（ＳＴ１０２）。ここで、すべての情報を送らず、送信時にインベントリ情報格納部４５に書き込まれている前回送信時のデータと比較し、変更部分のみを送信することとしてもよい。また、変更がない場合には変更なしというデータを送信することとしてもよい。
When the acquisition is completed, the
対策適用部４３は、管理装置１からの通知によりセキュリティ対策処置の必要の有無を確認する（ＳＴ１０３）。対策処置の必要がない場合には、ＳＴ１０１へ進む。対策処置の必要がある場合にはＳＴ１０４へ進む。
The
対策適用部４３は、管理装置１から送信されてきた対策処置の内容を適用する（ＳＴ１０４）。送信されてくる対策処置の内容は、パッチ情報などである。
The
対策適用部４３は、セキュリティ対策処置の適用完了を確認すると完了通知を管理装置１へ送信する。この際、情報取得部４１により、端末の情報を取得し、その内容も合わせて送信する（ＳＴ１０５）。
The
スケジュール実行部４４は、管理装置１から新しいスケジュールの配布の有無をチェックする（ＳＴ２０２）。配布がない場合にはＳＴ２０１へ進む。配布がある場合にはＳＴ２０３へ進む。
The
スケジュール実行部４４は、新しいスケジュールの配布があった場合には、その内容を基に現在のスケジュール情報を更新し、新しいスケジュールで情報取得を実施するようにする（ＳＴ２０３）。
If a new schedule is distributed, the
次に、図９を参照してセキュアゲート装置２の動作について説明する。
Next, the operation of the
スケジュール実行部２４は、配布されているスケジュールの実行時間が来たかどうかをチェックする（ＳＴ２０７）。実行時間が来ていない場合には、実行時間が来るまで待つ。実行時間が来た場合には、ＳＴ１１１へ進む。
The
情報取得部２１は、配下にある端末３の識別情報を取得する（ＳＴ１１１）。取得する識別情報としては、配下の端末３のＩＰアドレス、ＭＡＣアドレスなどである。
The
取得が完了すると情報送信部２２は、管理装置１にＳＴ１１１で取得した情報を送信する（ＳＴ１１２）。
When the acquisition is completed, the
対策適用部２３は、管理装置１からの通知により対策処置の必要の有無を確認する（ＳＴ１１３）。対策処置の必要がある場合には、ＳＴ１１４へ進む。対策処置の必要がない場合には、ＳＴ２０８へ進む。
The
対策適用部２３は、管理装置１から送信されてきた対策処置の内容を適用する（ＳＴ１１４）。送信されてくる対策処置の内容は、ＭＡＣアドレス、ＩＰアドレス、ネットワークアクセス制限の実施あるいはネットワークアクセス制限の解除などである。
The
スケジュール実行部２４は、管理装置１から新しいスケジュールの配布の有無をチェックする（ＳＴ２０８）。配布がない場合にはＳＴ２０７へ進む。配布がある場合にはＳＴ２０９へ進む。
The
スケジュール実行部２４は、新しいスケジュールの配布があった場合には、その内容を基に現在のスケジュール情報を更新し、新しいスケジュールで情報取得を実施するようにする（ＳＴ２０９）。
If a new schedule is distributed, the
最後に、図１０を参照して管理装置１の動作について説明する。
Finally, the operation of the
スケジュール設定部１６は、エージェント４やセキュアゲート装置２が情報を取得するスケジュールの設定に変更があるかどうかをチェックする（ＳＴ２０４）。スケジュール変更がある場合には、変更後のスケジュールを示す送信スケジュールを生成し、ＳＴ２０５へ進む。ない場合にはＳＴ２０６へ進む。
The
スケジュール配布部１７は、スケジュール変更があった対象のエージェント４あるいはセキュアゲート装置２に対して送信スケジュール情報を送信する（ＳＴ２０５）。
The
情報収集部１１は、スケジュールになった際に、エージェント４やセキュアゲート装置２から情報が送信されてきているかをチェックする（ＳＴ２０６）。スケジュール通りに送信されてきている場合には、ＳＴ１０６へ進む。スケジュール時間になっても送信されてきていない場合にはＳＴ１１０へ進む。
The
情報収集部１１は、エージェント４やセキュアゲート装置２からスケジュール通りに送信されてきた情報を収集し、インベントリ情報格納部１４に情報を格納する（ＳＴ１０６）。
The
対策チェック部１２は、情報収集部１１によって収集されたエージェント４からの端末情報と、セキュリティ情報格納部１５に格納されているセキュリティ情報の内容とを照合し、セキュリティ対策処置の必要の有無をチェックする（ＳＴ１０７）。セキュリティ情報格納部１５に格納される情報はＯＳやアプリケーション、Ｈ／Ｗのベンダが出しているセキュリティ情報をインターネット経由やＣＤ−ＲＯＭなどの媒体経由で適宜最新情報が反映されるものである。対策処置が必要と判断した場合にはＳＴ１０８へ進む。対策処置が不要と判断した場合にはＳＴ２０４へ進む。
The countermeasure check unit 12 collates the terminal information from the
対策処置が必要な場合には、対策指示部１３は、対策処置を施す必要がある端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を対策処置を施す必要がある端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１０８）。この結果、セキュアゲート装置２がネットワークアクセスの制限を実施し、該当端末３は管理装置１へのネットワークアクセスのみに制限される。
When countermeasures are required, the
次に、対策指示部１３は、端末３上のエージェント４に対して、セキュリティ対策処置の実施を指示する対策指示（処置実施指示）を生成し、生成した対策指示をセキュアゲート装置２経由で対象となる端末３に送信する。これは例えばパッチ情報などである（ＳＴ１０８）。
Next, the
対策指示部１３は、端末３上のエージェント４から、対策完了通知を待つ（ＳＴ１０９）。完了通知が来たらＳＴ１１０へ進む。
The
対策指示部１３は、端末３上のエージェント４から、対策完了の通知が送信されてきたら、送信されてきた端末情報を基に、再度セキュリティ対策処置の必要の有無のチェックを実施する。セキュリティ対策処置が正しく適用されていることが判断されると、端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、ネットワークアクセス制限の解除を指示する対策指示（制限解除指示）を生成し、生成した対策指示を対策処置を施す必要があった端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。この結果、セキュアゲート装置２がネットワークアクセスの制限を解除する。
When a countermeasure completion notification is transmitted from the
一方、ステップＳＴ２０６の判断において、スケジュール時間になってもエージェント４から情報送信がなかった場合には、該当端末３を配下に接続しているセキュアゲート装置２に対して端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示をセキュアゲート装置２に送信する（ＳＴ１１０）。この結果、セキュアゲート装置２がネットワークアクセスの制限を実施し、該当端末３は管理装置１へのネットワークアクセスのみに制限される。
On the other hand, if it is determined in step ST206 that no information is transmitted from the
なお、セキュアゲート装置２については、スケジュール対象外とし、実施の形態１のフローで動作する構成でも構わない。
The
図１１は、管理装置１、セキュアゲート装置２、端末３／エージェント４の間のデータフローを示す図である。
FIG. 11 is a diagram showing a data flow among the
先ず、管理装置１で送信スケジュールを設定し、設定した送信スケジュールを示す送信スケジュール情報をセキュアゲート装置２に送信する（ＳＴ１１０１）。次に、セキュアゲート装置２が送信スケジュール情報を端末３／エージェント４に送信する（ＳＴ１１０２）。管理装置１において、スケジュール通りに端末３／エージェント４から端末情報が送信されてきていないと判断した場合は、通信制御情報をセキュアゲート装置２に送信する（ＳＴ１１０３）。この結果、セキュアゲート装置２にて端末３／エージェント４の通信を管理装置１との通信に制限する通信制限が行われる。
First, a transmission schedule is set by the
以上のように、実施の形態２によれば、スケジュール通りに情報を送信してこない端末が存在した場合、その端末はエージェントがインストールされていない、あるいはエージェントが動作していない端末であると判断し、その端末のネットワークアクセスの制限を実施することが可能となる。これにより、エージェントがインストールされていないセキュリティ対策未実施の可能性やウィルス保持の可能性のある端末が接続されても、ネットワークアクセスの制限を実施することが可能となる。 As described above, according to the second embodiment, when there is a terminal that does not transmit information as scheduled, it is determined that the terminal is a terminal in which no agent is installed or an agent is not operating. Then, it becomes possible to limit the network access of the terminal. This makes it possible to restrict network access even if a terminal that is not installed with an agent and has a possibility of not implementing security measures or a virus holding possibility is connected.
実施の形態３．
図１２は、実施の形態３のセキュリティ管理システムの構成例を示すブロック図である。
Embodiment 3 FIG.
FIG. 12 is a block diagram illustrating a configuration example of the security management system according to the third embodiment.
図１２において、１８はエージェント４やセキュアゲート装置２に対して、即時に情報取得を実施させ、情報の収集を実現する即時要求部である。即時要求部１８は、具体的には、エージェント４又はセキュアゲート装置２から送信スケジュール通りに情報送信がなかった場合に、情報送信を要求する情報取得要求（端末情報送信要求）を生成し、生成した情報取得要求を対象となるエージェント４やセキュアゲート装置２に送信する。即時要求部１８は、送信要求生成部及び送信部の例である。
In FIG. 12,
２５は管理装置１からの要求に応じて情報取得を実行する即時実行部である。
An
４６は管理装置１からの要求に応じて情報取得を実行する即時実行部である。
An
次に、図１３〜図１５を参照して実施の形態３によるセキュリティ管理システムの動作を説明する。 Next, the operation of the security management system according to the third embodiment will be described with reference to FIGS.
まず、図１３を参照して端末３上のエージェント４の動作について説明する。
First, the operation of the
即時実行部４６は、管理装置１から情報取得要求がきたかどうかをチェックする（ＳＴ３０１）。情報取得要求が来たらＳＴ１０１へ進む。情報取得要求が来ていなければ、ＳＴ２０１へ進む。
The
スケジュール実行部４４は、配布されているスケジュールの実行時間が来たかどうかをチェックする（ＳＴ２０１）。実行時間が来ていない場合には、ＳＴ３０１へ進む。実行時間が来た場合には、ＳＴ１０１へ進む。
The
スケジュール実行部４４は、実行時間が来たら、情報取得部を実行する。情報取得部４１は、端末の情報を取得する（ＳＴ１０１）。取得する情報としては、ＯＳ名、バージョン、適用サービスパック、コンピュータ名、ＣＰＵ名、メモリ搭載量、接続デバイス情報、ＩＰアドレス、ＭＡＣアドレス、サービス情報、サービスの起動情報、被アクセス可能なポート番号、インストールアプリケーション情報、アプリケーションのバージョン、ユーザ情報、システムログ、アプリケーションログなどである。
When the execution time comes, the
取得が完了すると情報送信部４２は、管理装置１にＳＴ１０１で取得した情報を送信すると同時にインベントリ情報格納部４５に取得した情報を書き込む（ＳＴ１０２）。ここで、すべての情報を送らず、送信時にインベントリ情報格納部４５に書き込まれている前回送信時のデータと比較し、変更部分のみを送信することとしてもよい。また、変更がない場合には変更なしというデータを送信することとしてもよい。
When the acquisition is completed, the
対策適用部４３は、管理装置１からの通知により対策処置の必要の有無を確認する（ＳＴ１０３）。対策処置の必要がない場合には、ＳＴ２０２へ進む。対策処置の必要がある場合にはＳＴ１０４へ進む。
The
対策適用部４３は、管理装置１から送信されてきた対策処置の内容を適用する（ＳＴ１０４）。送信されてくる対策処置の内容は、パッチ情報などである。
The
対策適用部４３は、適用完了を確認すると完了通知を管理装置１へ送信する。この際、情報取得部４１により、端末の情報を取得し、その内容も合わせて送信する（ＳＴ１０５）。
The
スケジュール実行部４４は、管理装置１から新しいスケジュールの配布の有無をチェックする（ＳＴ２０２）。配布がない場合にはＳＴ３０１へ進む。配布がある場合にはＳＴ２０３へ進む。
The
スケジュール実行部４４は、新しいスケジュールの配布があった場合には、その内容を基に現在のスケジュール情報を更新し、新しいスケジュールで情報取得を実施するようにする（ＳＴ２０３）。
If a new schedule is distributed, the
次に、図１４を参照してセキュアゲート装置２の動作について説明する。
Next, the operation of the
即時実行部２５は、管理装置１から情報取得要求がきたかどうかをチェックする（ＳＴ３０４）。情報取得要求が来たらＳＴ１１１へ進む。情報取得要求が来ていなければ、ＳＴ２０７へ進む。
The
スケジュール実行部２４は、配布されているスケジュールの実行時間が来たかどうかをチェックする（ＳＴ２０７）。実行時間が来ていない場合には、ＳＴ３０４へ進む。実行時間が来た場合には、ＳＴ１１１へ進む。
The
情報取得部２１は、配下にある端末３の識別情報を取得する（ＳＴ１１１）。取得する識別情報としては、配下の端末３のＩＰアドレス、ＭＡＣアドレスなどである。
The
取得が完了すると情報送信部２２は、管理装置１にＳＴ１１１で取得した情報を送信する（ＳＴ１１２）。
When the acquisition is completed, the
対策適用部２３は、管理装置１からの通知により対策処置の必要の有無を確認する（ＳＴ１１３）。対策処置の必要がある場合には、ＳＴ１１４へ進む。対策処置の必要がない場合にはＳＴ２０８へ進む。
The
対策適用部２３は、管理装置１から送信されてきた対策処置の内容を適用する（ＳＴ１１４）。送信されてくる対策処置の内容は、ＭＡＣアドレス、ＩＰアドレス、ネットワークアクセス制限の実施あるいはネットワークアクセス制限の解除などである。
The
スケジュール実行部２４は、管理装置１から新しいスケジュールの配布の有無をチェックする（ＳＴ２０８）。配布がない場合にはＳＴ３０４へ進む。配布がある場合にはＳＴ２０９へ進む。
The
スケジュール実行部２４は、新しいスケジュールの配布があった場合には、その内容を基に現在のスケジュール情報を更新し、新しいスケジュールで情報取得を実施するようにする（ＳＴ２０９）。
If a new schedule is distributed, the
最後に、図１５を参照して管理装置１の動作について説明する。
Finally, the operation of the
スケジュール設定部１６は、エージェント４やセキュアゲート装置２が情報を取得するスケジュールの設定に変更があるかどうかをチェックする（ＳＴ２０４）。スケジュール変更がある場合には、ＳＴ２０５へ進む。ない場合にはＳＴ２０６へ進む。
The
スケジュール配布部１７は、スケジュール変更があった対象のエージェント４あるいはセキュアゲート装置２に対して送信スケジュール情報を送信する（ＳＴ２０５）。
The
情報収集部１１は、スケジュールになった際に、エージェント４やセキュアゲート装置２から情報が送信されてきているかをチェックする（ＳＴ２０６）。スケジュール通りに送信されてきている場合には、ＳＴ１０６へ進む。スケジュール時間になっても送信されてきていない場合にはＳＴ３０２へ進む。
The
スケジュール時間になっても送信されてきていない場合には、即時要求部１８が該当の端末３上のエージェント４に対する情報取得要求を生成し、生成した情報取得要求を該当する端末３上のエージェントに対して送信する（ＳＴ３０２）。
If it is not transmitted at the scheduled time, the
即時要求部１８は、情報が来たかどうかをチェックする（ＳＴ３０３）。情報が送信されてきた場合は、ＳＴ１０７へ進む。情報が送信されてきていない場合にはＳＴ１１０へ進む。
The
情報収集部１１は、エージェント４やセキュアゲート装置２からスケジュール通りに送信されてきた情報を収集し、インベントリ情報格納部１４に情報を格納する（ＳＴ１０６）。
The
対策チェック部１２は、情報収集部１１によって収集されたエージェント４からの端末情報と、セキュリティ情報格納部１５に格納されているセキュリティ情報の内容とを照合し対策処置の必要の有無をチェックする（ＳＴ１０７）。セキュリティ情報格納部１５に格納される情報はＯＳやアプリケーション、Ｈ／Ｗのベンダが出しているセキュリティ情報をインターネット経由やＣＤ−ＲＯＭなどの媒体経由で適宜最新情報が反映されるものである。対策処置が必要と判断した場合にはＳＴ１０８へ進む。対策処置が不要と判断した場合にはＳＴ２０４へ進む。
The countermeasure check unit 12 checks the necessity of countermeasure measures by comparing the terminal information from the
対策処置が必要な場合には、対策指示部１３は、対策処置を施す必要がある端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を対策処置を施す必要がある端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１０８）。この結果、セキュアゲート装置２がネットワークアクセスの制限を実施し、該当端末３は管理装置１へのネットワークアクセスのみに制限される。
When countermeasures are required, the
次に、対策指示部１３は、端末３上のエージェント４に対して、セキュリティ対策処置の実施を指示する対策指示（処置実施指示）を生成し、生成した対策指示をセキュアゲート装置２経由で対象となる端末３に送信する。これは例えばパッチ情報などである（ＳＴ１０８）。
Next, the
対策指示部１３は、端末３上のエージェント４から、対策完了通知を待つ（ＳＴ１０９）。完了通知が来たらＳＴ１１０へ進む。
The
対策指示部１３は、端末３上のエージェント４から、対策完了の通知が送信されてきたら、送信されてきた端末情報を基に、再度セキュリティ対策処置の必要の有無のチェックを実施する。セキュリティ対策処置が正しく適用されていることが判断されると、端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、ネットワークアクセス制限の解除を指示する対策指示（制限解除指示）を生成し、生成した対策指示を対策処置を施す必要があった端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
When a countermeasure completion notification is transmitted from the
また、スケジュール時間になってもエージェント４から情報送信がなく、更に即時要求に対しても情報送信がなかった場合には、当該端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を当該端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
Further, when there is no information transmission from the
なお、セキュアゲート装置２については、スケジュール対象外とし、実施の形態１のフローとの組み合わせで動作する構成でも構わない。
The
図１６は、管理装置１、セキュアゲート装置２、端末３／エージェント４の間のデータフローを示す図である。
FIG. 16 is a diagram illustrating a data flow among the
先ず、管理装置１で送信スケジュールを設定し、設定した送信スケジュールを示す送信スケジュール情報をセキュアゲート装置２に送信する（ＳＴ１６０１）。次に、セキュアゲート装置２が送信スケジュール情報を端末３／エージェント４に送信する（ＳＴ１６０２）。管理装置１において、スケジュール通りに端末３／エージェント４から端末情報が送信されてきていないと判断した場合は、情報取得要求をセキュアゲート装置２に送信する（ＳＴ１６０３）。また、セキュアゲート装置２は情報取得要求を端末３／エージェント４に送信する（ＳＴ１６０４）。情報取得要求に対しても端末３／エージェント４から端末情報が送信されてきていないと判断した場合は、管理装置１は、通信制御情報をセキュアゲート装置２に送信する（ＳＴ１６０５）。この結果、セキュアゲート装置２にて端末３／エージェント４の通信を管理装置１との通信に制限する通信制限が行われる。
First, a transmission schedule is set by the
以上のように、実施の形態３によれば、スケジュール通りに情報を送信してこない端末が存在した場合、即時に確認を実施し、その結果を受け、その端末はエージェントがインストールされていない、あるいはエージェントが動作していない端末であると判断し、その端末のネットワークアクセスの制限を実施することが可能となる。これにより、エージェントがインストールされていないセキュリティ対策未実施の可能性やウィルス保持の可能性のある端末が接続されても、ネットワークアクセスの制限を実施することが可能となる。 As described above, according to the third embodiment, when there is a terminal that does not transmit information as scheduled, an immediate confirmation is performed and the result is received, and no agent is installed on the terminal. Alternatively, it is possible to determine that the agent is a non-operating terminal and to restrict network access of the terminal. This makes it possible to restrict network access even if a terminal that is not installed with an agent and has a possibility of not implementing security measures or a virus holding possibility is connected.
実施の形態４．
図１７は、実施の形態４のセキュリティ管理システムの構成例を示すブロック図である。
FIG. 17 is a block diagram illustrating a configuration example of the security management system according to the fourth embodiment.
図１７において、４７は管理装置１から送信されてきた対策内容をユーザに実施してもらえるように表示を行う対策表示部である。
In FIG. 17,
次に、動作について説明する。 Next, the operation will be described.
動作のフローチャートは、エージェント４の動作について説明する図１３を用いる。
The flowchart of the operation uses FIG. 13 for explaining the operation of the
即時実行部４６は、管理装置１から情報取得要求がきたかどうかをチェックする（ＳＴ３０１）。情報取得要求が来たらＳＴ１０１へ進む。要求が来ていなければ、ＳＴ２０１へ進む。
The
スケジュール実行部４４は、配布されているスケジュールの実行時間が来たかどうかをチェックする（ＳＴ２０１）。実行時間が来ていない場合には、ＳＴ３０１へ進む。実行時間が来た場合には、ＳＴ１０１へ進む。
The
スケジュール実行部４４は、実行時間が来たら、情報取得部を実行する。情報取得部４１は、端末の情報を取得する（ＳＴ１０１）。取得する情報としては、ＯＳ名、バージョン、適用サービスパック、コンピュータ名、ＣＰＵ名、メモリ搭載量、接続デバイス情報、ＩＰアドレス、ＭＡＣアドレス、サービス情報、サービスの起動情報、被アクセス可能なポート番号、インストールアプリケーション情報、アプリケーションのバージョン、ユーザ情報、システムログ、アプリケーションログなどである。
When the execution time comes, the
取得が完了すると情報送信部４２は、管理装置１にＳＴ１０１で取得した情報を送信すると同時にインベントリ情報格納部４５に取得した情報を書き込む（ＳＴ１０２）。ここで、すべての情報を送らず、送信時にインベントリ情報格納部４５に書き込まれている前回送信時のデータと比較し、変更部分のみを送信することとしてもよい。また、変更がない場合には変更なしというデータを送信することとしてもよい。
When the acquisition is completed, the
対策適用部４３は、管理装置１からの通知により対策処置の必要の有無を確認する（ＳＴ１０３）。対策処置の必要がない場合には、ＳＴ２０２へ進む。対策処置の必要がある場合にはＳＴ１０４へ進む。
The
対策適用部４３は、管理装置１から送信されてきた対策処置の内容を適用する。送信されてきた対策処置の内容がパッチ情報などの場合には、自動的に適用を実施する。送信されてきた対策処置の内容が手順の場合には、対策表示部４７が対策手順を画面上に表示し、ユーザが対策処置を実施可能とする（ＳＴ１０４）。
The
対策適用部４３は、適用完了を確認すると完了通知を管理装置１へ送信する。この際、情報取得部４１により、端末の情報を取得し、その内容も合わせて送信する（ＳＴ１０５）。
The
スケジュール実行部４４は、管理装置１から新しいスケジュールの配布の有無をチェックする（ＳＴ２０２）。配布がない場合にはＳＴ３０１へ進む。配布がある場合にはＳＴ２０３へ進む。
The
スケジュール実行部４４は、新しいスケジュールの配布があった場合には、その内容を基に現在のスケジュール情報を更新し、新しいスケジュールで情報取得を実施するようにする（ＳＴ２０３）。
If a new schedule is distributed, the
以上のように、実施の形態４によれば、自動的に対策処置の適用が困難な対策処置の場合や、セキュリティポリシーに従い、ユーザが対策処置を実施することが必要なシステムにおいて、ユーザに手順を表示し、ネットワークアクセスの制限を実施しながら、適用のためのアクセスは可能な状態でセキュリティ対策処置を実施し、実施完了後、ネットワークアクセスの制限の解除が可能となる。 As described above, according to the fourth embodiment, in the case of a countermeasure measure that is difficult to apply automatically, or in a system that requires the user to implement a countermeasure measure according to a security policy, Is displayed and the security measures are taken in a state where access for application is possible while the network access is restricted, and after the completion of the implementation, the restriction on the network access can be released.
実施の形態５．
図１８は、実施の形態５による、セキュリティ管理システムの動作のフローチャートである。ここでは、管理装置１の動作について説明する。なお、管理装置１の構成は、図１２と同じである。
FIG. 18 is a flowchart of the operation of the security management system according to the fifth embodiment. Here, the operation of the
対策チェック部１２は、セキュリティ情報格納部１５に格納されている情報に更新が行われたかどうかをチェックする（ＳＴ４０１）。更新が行われた場合には、ＳＴ３０２へ進む。変更が行われていない場合にはＳＴ２０４へ進む。
The measure check unit 12 checks whether or not the information stored in the security
スケジュール設定部１６は、エージェント４やセキュアゲート装置２が情報を取得するスケジュールの設定に変更があるかどうかをチェックする（ＳＴ２０４）。スケジュール変更がある場合には、ＳＴ２０５へ進む。ない場合にはＳＴ２０６へ進む。
The
スケジュール配布部１７は、スケジュール変更があった対象のエージェント４あるいはセキュアゲート装置２に対してスケジュール情報を送信する（ＳＴ２０５）。
The
情報収集部１１は、スケジュールになった際に、エージェント４やセキュアゲート装置２から情報が送信されてきているかをチェックする（ＳＴ２０６）。スケジュール通りに送信されてきている場合には、ＳＴ１０６へ進む。スケジュール時間になっても送信されてきていない場合にはＳＴ３０２へ進む。
The
スケジュール時間になっても送信されてきていない場合、または、ステップＳＴ４０１においいてセキュリティ情報に更新があったと確認された場合は、即時要求部１８が端末３上のエージェント４に情報取得要求を出す（ＳＴ３０２）。
If it has not been transmitted even at the scheduled time, or if it is confirmed in step ST401 that the security information has been updated, the
即時要求部１８は、情報が来たかどうかをチェックする（ＳＴ３０３）。情報が送信されてきた場合は、ＳＴ１０７へ進む。情報が送信されてきていない場合にはＳＴ１１０へ進む。
The
情報収集部１１は、エージェント４やセキュアゲート装置２からスケジュール通りに送信されてきた情報を収集し、インベントリ情報格納部１４に情報を格納する（ＳＴ１０６）。
The
対策チェック部１２は、情報収集部１１によって収集されたエージェント４からの端末情報と、セキュリティ情報格納部１５に格納されているセキュリティ情報の内容とを照合し対策処置の必要の有無をチェックする（ＳＴ１０７）。セキュリティ情報格納部１５に格納される情報はＯＳやアプリケーション、Ｈ／Ｗのベンダが出しているセキュリティ情報をインターネット経由やＣＤ−ＲＯＭなどの媒体経由で適宜最新情報が反映されるものである。対策処置が必要と判断した場合にはＳＴ１０８へ進む。対策処置が不要と判断した場合にはＳＴ４０１へ進む。
The countermeasure check unit 12 checks the necessity of countermeasure measures by comparing the terminal information from the
対策処置が必要な場合には、対策指示部１３は、対策処置を施す必要がある端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を対策処置を施す必要がある端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１０８）。この結果、セキュアゲート装置２がネットワークアクセスの制限を実施し、該当端末３は管理装置１へのネットワークアクセスのみに制限される。
When countermeasures are required, the
次に、対策指示部１３は、端末３上のエージェント４に対して、セキュリティ対策処置の実施を指示する対策指示（処置実施指示）を生成し、生成した対策指示をセキュアゲート装置２経由で対象となる端末３に送信する。これは例えばパッチ情報などである（ＳＴ１０８）。
Next, the
対策指示部１３は、端末３上のエージェント４から、対策完了通知を待つ（ＳＴ１０９）。完了通知が来たらＳＴ１１０へ進む。
The
対策指示部１３は、端末３上のエージェント４から、対策完了の通知が送信されてきたら、送信されてきた端末情報を基に、再度セキュリティ対策処置の必要の有無のチェックを実施する。セキュリティ対策処置が正しく適用されていることが判断されると、端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、ネットワークアクセス制限の解除を指示する対策指示（制限解除指示）を生成し、生成した対策指示を対策処置を施す必要があった端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
When a countermeasure completion notification is transmitted from the
また、即時要求に対しても情報送信がなかった場合には、当該端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を当該端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
Further, when there is no information transmission in response to an immediate request, a countermeasure instruction (communication restriction) indicating information on the MAC address and IP address of the terminal 3 and instructing to perform network access restriction on the terminal 3 is provided. (Instruction) is generated, and the generated countermeasure instruction is transmitted to the
なお、ＳＴ４０１にてセキュリティ情報に変更が行われた場合に、ＳＴ１０７へ行き、インベントリ情報格納部１４に格納されている情報から対策処置のチェックを実施する形態でもよい。
Note that when security information is changed in ST401, it may be possible to go to ST107 and check the countermeasure measures from the information stored in the inventory
図１９は、管理装置１、セキュアゲート装置２、端末３／エージェント４の間のデータフローを示す図である。
FIG. 19 is a diagram illustrating a data flow among the
先ず、管理装置１でセキュリティ情報の変更有無を確認し、セキュリティ情報に変更があった場合は、情報取得要求をセキュアゲート装置２に送信する（ＳＴ１９０１）。また、セキュアゲート装置２は情報取得要求を端末３／エージェント４に送信する（ＳＴ１９０２）。情報取得要求に対して端末３／エージェント４から端末情報が送信されてきていないと判断した場合は、管理装置１は、通信制御情報をセキュアゲート装置２に送信する（ＳＴ１９０３）。この結果、セキュアゲート装置２にて端末３／エージェント４の通信を管理装置１との通信に制限する通信制限が行われる。
First, the
以上のように、実施の形態５によれば、セキュリティ情報が更新された場合に、即対策処置を行うことが可能となり、セキュリティ対策処置をリアルタイムで反映することが可能となり、セキュリティ対策未実施の端末がネットワークに接続されることを防ぐことが可能となる。 As described above, according to the fifth embodiment, when security information is updated, it is possible to immediately take countermeasures, reflect the security countermeasures in real time, and have not implemented security countermeasures. It is possible to prevent the terminal from being connected to the network.
実施の形態６．
図２０は、実施の形態６のセキュリティ管理システムの構成例を示すブロック図である。
Embodiment 6 FIG.
FIG. 20 is a block diagram illustrating a configuration example of the security management system according to the sixth embodiment.
図２０において、４８はエージェント４の起動、動作の終了のステータスを通知するステータス通知部である。
In FIG. 20,
次に、図２１及び図２２を参照して実施の形態６によるセキュリティ管理システムの動作を説明する。 Next, the operation of the security management system according to the sixth embodiment will be described with reference to FIG. 21 and FIG.
まず、図２１を参照してエージェント４の動作について説明する。
First, the operation of the
エージェント４は、Ｗｉｎｄｏｗｓ（登録商標）のサービスやＵＮＩＸ（登録商標）のデーモンの形態で実装されており、端末３の起動時に起動され、端末３のシャットダウン時に終了する形態である。
The
ステータス通知部４８は、エージェント４の起動時かどうかをチェックする（ＳＴ５０１）。起動時の場合はＳＴ５０３へ進む。起動時ではない場合はＳＴ５０２へ進む。
The
ステータス通知部４８は、エージェント４の終了時かどうかをチェックする（ＳＴ５０２）。終了時の場合にはＳＴ５０３へ進む。終了時ではない場合はＳＴ３０１へ進む。
The
起動時、あるいは終了時の場合に、ステータス通知部４８は、エージェント４の起動又は終了を通知するステータス通知を生成し、セキュアゲート装置２経由でステータス通知を管理装置１に送信する（ＳＴ５０３）。
In the case of activation or termination, the
即時実行部４６は、管理装置１から情報取得要求がきたかどうかをチェックする（ＳＴ３０１）。情報取得要求が来たらＳＴ１０１へ進む。情報取得要求が来ていなければ、ＳＴ２０１へ進む。
The
スケジュール実行部４４は、配布されているスケジュールの実行時間が来たかどうかをチェックする（ＳＴ２０１）。実行時間が来ていない場合には、ＳＴ５０１へ進む。実行時間が来た場合には、ＳＴ１０１へ進む。
The
スケジュール実行部４４は、実行時間が来たら、情報取得部を実行する。情報取得部４１は、端末の情報を取得する（ＳＴ１０１）。取得する情報としては、ＯＳ名、バージョン、適用サービスパック、コンピュータ名、ＣＰＵ名、メモリ搭載量、接続デバイス情報、ＩＰアドレス、ＭＡＣアドレス、サービス情報、サービスの起動情報、被アクセス可能なポート番号、インストールアプリケーション情報、アプリケーションのバージョン、ユーザ情報、システムログ、アプリケーションログなどである。
When the execution time comes, the
取得が完了すると情報送信部４２は、管理装置１にＳＴ１０１で取得した情報を送信すると同時にインベントリ情報格納部４５に取得した情報を書き込む（ＳＴ１０２）。ここで、すべての情報を送らず、送信時にインベントリ情報格納部４５に書き込まれている前回送信時のデータと比較し、変更部分のみを送信することとしてもよい。また、変更がない場合には変更なしというデータを送信することとしてもよい。
When the acquisition is completed, the
対策適用部４３は、管理装置１からの通知により対策処置の必要の有無を確認する（ＳＴ１０３）。対策処置の必要がない場合には、ＳＴ２０２へ進む。対策処置の必要がある場合にはＳＴ１０４へ進む。
The
対策適用部４３は、管理装置１から送信されてきた対策処置の内容を適用する。送信されてきた対策処置の内容がパッチ情報などの場合には、自動的に適用を実施する。送信されてきた対策処置の内容が手順の場合には、対策表示部４７が対策手順を画面上に表示し、ユーザが対策処置を実施可能とする（ＳＴ１０４）。
The
対策適用部４３は、適用完了を確認すると完了通知を管理装置１へ送信する。この際、情報取得部４１により、端末の情報を取得し、その内容も合わせて送信する（ＳＴ１０５）。
The
スケジュール実行部４４は、管理装置１から新しいスケジュールの配布の有無をチェックする（ＳＴ２０２）。配布がない場合にはＳＴ５０１へ進む。配布がある場合にはＳＴ２０３へ進む。
The
スケジュール実行部４４は、新しいスケジュールの配布があった場合には、その内容を基に現在のスケジュール情報を更新し、新しいスケジュールで情報取得を実施するようにする（ＳＴ２０３）。
If a new schedule is distributed, the
次に、図２２を参照して管理装置１の動作について説明する。
Next, the operation of the
対策チェック部１２は、端末３上のエージェント４から起動、あるいは終了のステータス通知が送信されてきたかどうかをチェックする（ＳＴ５０４）。ステータス通知が送信されてきた場合にはＳＴ１１０へ進む。ステータス通知が来ていない場合にはＳＴ４０１へ進む。
The measure check unit 12 checks whether an activation or termination status notification has been transmitted from the
対策チェック部１２は、セキュリティ情報格納部１５に格納されている情報に更新が行われたかどうかをチェックする（ＳＴ４０１）。変更が行われた場合には、ＳＴ３０２へ進む。変更が行われていない場合にはＳＴ２０４へ進む。
The measure check unit 12 checks whether or not the information stored in the security
スケジュール設定部１６は、エージェント４やセキュアゲート装置２が情報を取得するスケジュールの設定に変更があるかどうかをチェックする（ＳＴ２０４）。スケジュール変更がある場合には、ＳＴ２０５へ進む。ない場合にはＳＴ２０６へ進む。
The
スケジュール配布部１７は、スケジュール変更があった対象のエージェント４あるいはセキュアゲート装置２に対して送信スケジュール情報を送信する（ＳＴ２０５）。
The
情報収集部１１は、スケジュールになった際に、エージェント４やセキュアゲート装置２から情報が送信されてきているかをチェックする（ＳＴ２０６）。スケジュール通りに送信されてきている場合には、ＳＴ１０６へ進む。スケジュール時間になっても送信されてきていない場合にはＳＴ３０２へ進む。
The
スケジュール時間になっても送信されてきていない場合には、即時要求部１８が該当の端末３上のエージェント４に情報取得要求を出す（ＳＴ３０２）。
If it has not been transmitted even at the scheduled time, the
即時要求部１８は、情報が来たかどうかをチェックする（ＳＴ３０３）。情報が送信されてきた場合は、ＳＴ１０７へ進む。情報が送信されてきていない場合にはＳＴ１１０へ進む。
The
情報収集部１１は、エージェント４やセキュアゲート装置２からスケジュール通りに送信されてきた情報を収集し、インベントリ情報格納部１４に情報を格納する（ＳＴ１０６）。
The
対策チェック部１２は、情報収集部１１によって収集されたエージェント４からの端末情報と、セキュリティ情報格納部１５に格納されているセキュリティ情報の内容とを照合し対策処置の必要の有無をチェックする（ＳＴ１０７）。セキュリティ情報格納部１５に格納される情報はＯＳやアプリケーション、Ｈ／Ｗのベンダが出しているセキュリティ情報をインターネット経由やＣＤ−ＲＯＭなどの媒体経由で適宜最新情報が反映されるものである。対策処置が必要と判断した場合にはＳＴ１０８へ進む。対策処置が不要と判断した場合にはＳＴ５０４へ進む。
The countermeasure check unit 12 checks the necessity of countermeasure measures by comparing the terminal information from the
対策処置が必要な場合には、対策指示部１３は、対策処置を施す必要がある端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を対策処置を施す必要がある端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１０８）。この結果、セキュアゲート装置２がネットワークアクセスの制限を実施し、該当端末３は管理装置１へのネットワークアクセスのみに制限される。
When countermeasures are required, the
次に、対策指示部１３は、端末３上のエージェント４に対して、セキュリティ対策処置の実施を指示する対策指示（処置実施指示）を生成し、生成した対策指示をセキュアゲート装置２経由で対象となる端末３に送信する。これは例えばパッチ情報などである（ＳＴ１０８）。
Next, the
対策指示部１３は、端末３上のエージェント４から、対策完了通知を待つ（ＳＴ１０９）。完了通知が来たらＳＴ１１０へ進む。
The
対策指示部１３は、端末３上のエージェント４から、対策完了の通知が送信されてきたら、送信されてきた端末情報を基に、再度セキュリティ対策処置の必要の有無のチェックを実施する。セキュリティ対策処置が正しく適用されていることが判断されると、端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、ネットワークアクセス制限の解除を指示する対策指示（制限解除指示）を生成し、生成した対策指示を対策処置を施す必要があった端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
When a countermeasure completion notification is transmitted from the
また、即時要求に対して情報送信がなかった場合には、当該端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を当該端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
Further, when there is no information transmission in response to the immediate request, a countermeasure instruction (communication restriction instruction) indicating the MAC address and IP address information of the terminal 3 and instructing that the network access restriction on the terminal 3 is performed. ) And the generated countermeasure instruction is transmitted to the
また、ステータス通知で起動通知を受け取った場合には、該当端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、ネットワークアクセス制限の解除を指示する対策指示（制限解除指示）を生成し、生成した対策指示を該当端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。また、ステータス通知で終了通知を受け取った場合には、該当端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を該当端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
Further, when the activation notification is received by the status notification, a countermeasure instruction (restriction release instruction) indicating the MAC address and IP address information of the corresponding terminal 3 and instructing release of the network access restriction is generated, and the generated countermeasure The instruction is transmitted to the
なお、ＳＴ４０１にてセキュリティ情報に変更が行われた場合に、ＳＴ１０７へ行き、インベントリ情報格納部１４に格納されている情報から対策処置のチェックを実施する形態でもよい。
Note that when security information is changed in ST401, it may be possible to go to ST107 and check the countermeasure measures from the information stored in the inventory
図２３は、管理装置１、セキュアゲート装置２、端末３／エージェント４の間のデータフローを示す図である。
FIG. 23 is a diagram illustrating a data flow among the
先ず、端末３においてエージェントが起動した場合に、エージェントの起動を通知するステータス通知をセキュアゲート装置２に送信する（ＳＴ２３０１）。なお、この時点では、セキュアゲート装置２により端末３に対する通信制限が実施されている。次に、セキュアゲート装置２がステータス通知を管理装置１に送信する（ＳＴ２３０２）。管理装置１では、ステータス通知を受信し、エージェントが起動したことを確認し、制限解除指示をセキュアゲート装置２に送信する（ＳＴ２３０３）。セキュアゲート装置２は、制限解除指示に従って、端末３／エージェント４に対する通信制限を解除する。
First, when the agent is activated in the terminal 3, a status notification for notifying activation of the agent is transmitted to the secure gate device 2 (ST2301). At this point, the
一方、端末３においてエージェントの動作が終了した場合に、エージェントの動作の終了を通知するステータス通知をセキュアゲート装置２に送信する（ＳＴ２３０４）。なお、この時点では、セキュアゲート装置２による端末３に対する通信制限は行われていない。次に、セキュアゲート装置２がステータス通知を管理装置１に送信する（ＳＴ２３０５）。管理装置１では、ステータス通知を受信し、エージェントの動作が終了したことを確認し、通信制御指示をセキュアゲート装置２に送信する（ＳＴ２３０６）。セキュアゲート装置２は、通信制御指示に従って、端末３／エージェント４に対する通信制限を実施する。
On the other hand, when the agent operation is terminated in terminal 3, a status notification for notifying the completion of the agent operation is transmitted to secure gate device 2 (ST2304). At this time, communication restriction for the terminal 3 by the
以上のように、実施の形態６によれば、エージェントがインストールされている端末が起動した際にその端末のネットワークアクセス制限を解除し、終了時にネットワークアクセス制限を実施することにより、同じＩＰアドレスの端末が不正に接続された場合であっても、その端末に対しては最初からネットワークアクセス制限がかかった状態とすることが可能となり、セキュリティ対策未実施の可能性やウィルス保持の可能性のある端末がネットワークに接続されることを防ぐことが可能となる。 As described above, according to the sixth embodiment, when a terminal in which an agent is installed is started, the network access restriction of the terminal is canceled, and the network access restriction is performed when the terminal is terminated. Even if a terminal is illegally connected, it is possible to place a network access restriction on the terminal from the beginning, and there is a possibility that security measures have not been implemented or a virus may be retained. It is possible to prevent the terminal from being connected to the network.
実施の形態７．
図２４及び図２５は、実施の形態７によるセキュリティ管理システムの動作のフローチャートである。
Embodiment 7 FIG.
24 and 25 are flowcharts of the operation of the security management system according to the seventh embodiment.
まず、図２４を参照してエージェント４の動作について説明する。
First, the operation of the
エージェント４は、Ｗｉｎｄｏｗｓ（登録商標）のサービスやＵＮＩＸ（登録商標）のデーモンの形態で実装されており、端末３の起動時に起動され、端末３のシャットダウン時に終了する形態である。
The
ステータス通知部４８は、エージェント４の起動時かどうかをチェックする（ＳＴ５０１）。起動時の場合はＳＴ５０３へ進む。起動時ではない場合はＳＴ５０２へ進む。
The
ステータス通知部４８は、エージェント４の終了時かどうかをチェックする（ＳＴ５０２）。終了時の場合にはＳＴ５０３へ進む。終了時ではない場合はＳＴ６０１へ進む。
The
起動時、あるいは終了時の場合に、ステータス通知部４８は管理装置１に対して、起動、終了のステータスの通知を実施する（ＳＴ５０３）。
In the case of activation or termination, the
即時実行部４６は、端末上の構成に変更があったかどうかをチェックする。構成の変更の例としては、新しいアプリケーションがインストールされた、新しいＨ／Ｗが追加されたなどである（ＳＴ６０１）。変更があった場合にはＳＴ１０１へ進む。変更がなかった場合にはＳＴ３０１へ進む。
The
即時実行部４６は、管理装置１から要求がきたかどうかをチェックする（ＳＴ３０１）。要求が来たらＳＴ１０１へ進む。要求が来ていなければ、ＳＴ２０１へ進む。
The
スケジュール実行部４４は、配布されているスケジュールの実行時間が来たかどうかをチェックする（ＳＴ２０１）。実行時間が来ていない場合には、ＳＴ５０１へ進む。実行時間が来た場合には、ＳＴ１０１へ進む。
The
スケジュール実行部４４は、実行時間が来たら、情報取得部を実行する。情報取得部４１は、端末の情報を取得する（ＳＴ１０１）。取得する情報としては、ＯＳ名、バージョン、適用サービスパック、コンピュータ名、ＣＰＵ名、メモリ搭載量、接続デバイス情報、ＩＰアドレス、ＭＡＣアドレス、サービス情報、サービスの起動情報、被アクセス可能なポート番号、インストールアプリケーション情報、アプリケーションのバージョン、ユーザ情報、システムログ、アプリケーションログなどである。
When the execution time comes, the
また、ステップＳＴ６０１において、端末３の構成に変更があったと判断された場合には、変更後の構成を反映させて端末情報を取得する。これにより、管理装置１では、端末３の構成に変更があった場合には、即座に変更後の構成を反映させた端末情報を受信することができる。
In Step ST601, when it is determined that the configuration of the terminal 3 has been changed, the terminal information is acquired by reflecting the changed configuration. Thereby, in the
取得が完了すると情報送信部４２は、管理装置１にＳＴ１０１で取得した情報を送信すると同時にインベントリ情報格納部４５に取得した情報を書き込む（ＳＴ１０２）。ここで、すべての情報を送らず、送信時にインベントリ情報格納部４５に書き込まれている前回送信時のデータと比較し、変更部分のみを送信することとしてもよい。また、変更がない場合には変更なしというデータを送信することとしてもよい。
When the acquisition is completed, the
対策適用部４３は、管理装置１からの通知により対策処置の必要の有無を確認する（ＳＴ１０３）。対策処置の必要がない場合には、ＳＴ２０２へ進む。対策処置の必要がある場合にはＳＴ１０４へ進む。
The
対策適用部４３は、管理装置１から送信されてきた対策処置の内容を適用する。送信されてきた対策処置の内容がパッチ情報などの場合には、自動的に適用を実施する。送信されてきた対策処置の内容が手順の場合には、対策表示部４７が対策手順を画面上に表示し、ユーザが対策処置を実施可能とする（ＳＴ１０４）。
The
対策適用部４３は、適用完了を確認すると完了通知を管理装置１へ進む。送信する。この際、情報取得部４１により、端末の情報を取得し、その内容も合わせて送信する（ＳＴ１０５）。
When the
スケジュール実行部４４は、管理装置１から新しいスケジュールの配布の有無をチェックする（ＳＴ２０２）。配布がない場合にはＳＴ５０１へ進む。配布がある場合にはＳＴ２０３へ進む。
The
スケジュール実行部４４は、新しいスケジュールの配布があった場合には、その内容を基に現在のスケジュール情報を更新し、新しいスケジュールで情報取得を実施するようにする（ＳＴ２０３）。
If a new schedule is distributed, the
次に、図２４を参照してセキュアゲート装置２について説明する。
Next, the
即時実行部２５は、配下に接続されている端末の情報に変更があったかどうかをチェックする。変更の内容としては、新しい端末が接続された、端末がネットワークから切断されたなどである（ＳＴ６０２）。構成変更があった場合にはＳＴ１１１へ進む。構成変更がなかった場合にはＳＴ３０４へ進む。
The
即時実行部２５は、管理装置１から要求がきたかどうかをチェックする（ＳＴ３０４）。要求が来たらＳＴ１１１へ進む。要求が来ていなければ、ＳＴ２０７へ進む。
The
スケジュール実行部２４は、配布されているスケジュールの実行時間が来たかどうかをチェックする（ＳＴ２０７）。実行時間が来ていない場合には、ＳＴ６０２へ進む。実行時間が来た場合には、ＳＴ１１１へ進む。
The
情報取得部２１は、配下にある端末３の識別情報を取得する（ＳＴ１１１）。取得する識別情報としては、配下の端末３のＩＰアドレス、ＭＡＣアドレスなどである。
The
取得が完了すると情報送信部２２は、管理装置１にＳＴ１１１で取得した情報を送信する（ＳＴ１１２）。
When the acquisition is completed, the
対策適用部２３は、管理装置１からの通知により対策処置の必要の有無を確認する（ＳＴ１１３）。対策処置の必要がある場合には、ＳＴ１１４へ進む。対策処置の必要がない場合にはＳＴ２０８へ進む。
The
対策適用部２３は、管理装置１から送信されてきた対策処置の内容を適用する（ＳＴ１１４）。送信されてくる対策処置の内容は、ＭＡＣアドレス、ＩＰアドレス、ネットワークアクセス制限の実施あるいはネットワークアクセス制限の解除などである。
The
スケジュール実行部２４は、管理装置１から新しいスケジュールの配布の有無をチェックする（ＳＴ２０８）。配布がない場合にはＳＴ６０２へ進む。配布がある場合にはＳＴ２０９へ進む。
The
スケジュール実行部２４は、新しいスケジュールの配布があった場合には、その内容を基に現在のスケジュール情報を更新し、新しいスケジュールで情報取得を実施するようにする（ＳＴ２０９）。
If a new schedule is distributed, the
以上のように、実施の形態７によれば、構成変更が発生した場合に即時にセキュリティ対策適用の有無をチェックすることが可能となり、セキュリティ対策処置が適用されていない端末がネットワークに接続されることを防ぐことが可能となる。 As described above, according to the seventh embodiment, when a configuration change occurs, it is possible to immediately check whether security measures are applied, and a terminal to which no security measures are applied is connected to the network. It becomes possible to prevent this.
実施の形態８．
図２６は、実施の形態８によるセキュリティ管理システムの構成例を示すブロック図である。
Embodiment 8 FIG.
FIG. 26 is a block diagram illustrating a configuration example of a security management system according to the eighth embodiment.
図２６において、１９はエージェント４がインストールされていない、あるいは起動していない端末３が接続されている場合、その情報を管理装置１のオペレータに通知する通知部である。通知部１９は、オペレータ通知部の例である。
In FIG. 26,
次に、動作について説明する。 Next, the operation will be described.
図２７は、実施の形態８によるセキュリティ管理システムの動作のフローチャートである。管理装置１の動作について説明する。
FIG. 27 is a flowchart of the operation of the security management system according to the eighth embodiment. The operation of the
対策チェック部１２は、端末３上のエージェント４から起動、あるいは終了のステータス通知が送信されてきたかどうかをチェックする（ＳＴ５０４）。ステータス通知が送信されてきた場合にはＳＴ１１０へ進む。ステータス通知が来ていない場合にはＳＴ４０１へ進む。
The measure check unit 12 checks whether an activation or termination status notification has been transmitted from the
対策チェック部１２は、セキュリティ情報格納部１５に格納されている情報に更新が行われたかどうかをチェックする（ＳＴ４０１）。変更が行われた場合には、ＳＴ３０２へ進む。変更が行われていない場合にはＳＴ２０４へ進む。
The measure check unit 12 checks whether or not the information stored in the security
スケジュール設定部１６は、エージェント４やセキュアゲート装置２が情報を取得するスケジュールの設定に変更があるかどうかをチェックする（ＳＴ２０４）。スケジュール変更がある場合には、ＳＴ２０５へ進む。ない場合にはＳＴ２０６へ進む。
The
スケジュール配布部１７は、スケジュール変更があった対象のエージェント４あるいはセキュアゲート装置２に対して送信スケジュール情報を送信する（ＳＴ２０５）。
The
情報収集部１１は、スケジュールになった際に、エージェント４やセキュアゲート装置２から情報が送信されてきているかをチェックする（ＳＴ２０６）。スケジュール通りに送信されてきている場合には、ＳＴ１０６へ進む。スケジュール時間になっても送信されてきていない場合にはＳＴ３０２へ進む。
The
スケジュール時間になっても送信されてきていない場合には、即時要求部１８が該当の端末３上のエージェント４に情報取得要求を出す（ＳＴ３０２）。
If it has not been transmitted even at the scheduled time, the
即時要求部１８は、情報が来たかどうかをチェックする（ＳＴ３０３）。情報が送信されてきた場合は、ＳＴ１０７へ進む。情報が送信されてきていない場合にはＳＴ７０１へ進む。
The
通知部１９は、通信が実施できない端末３が接続されている場合に、電子メールなどにより、エージェント４が動作していない端末が接続された旨を管理装置のオペレータへ通知する。また、ＯＳの機能を利用して表示を実施するなどにより端末上にエージェントがインストールされていないため、ネットワーク接続不可である旨を通知するなどを実施する（ＳＴ７０１）。
When the terminal 3 that cannot perform communication is connected, the
情報収集部１１は、エージェント４やセキュアゲート装置２からスケジュール通りに送信されてきた情報を収集し、インベントリ情報格納部１４に情報を格納する（ＳＴ１０６）。
The
対策チェック部１２は、情報収集部１１によって収集されたエージェント４からの端末情報と、セキュリティ情報格納部１５に格納されているセキュリティ情報の内容とを照合し対策処置の必要の有無をチェックする（ＳＴ１０７）。セキュリティ情報格納部１５に格納される情報はＯＳやアプリケーション、Ｈ／Ｗのベンダが出しているセキュリティ情報をインターネット経由やＣＤ−ＲＯＭなどの媒体経由で適宜最新情報が反映されるものである。対策処置が必要と判断した場合にはＳＴ１０８へ進む。対策処置が不要と判断した場合にはＳＴ５０４へ進む。
The countermeasure check unit 12 checks the necessity of countermeasure measures by comparing the terminal information from the
対策処置が必要な場合には、対策指示部１３は、対策処置を施す必要がある端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を対策処置を施す必要がある端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１０８）。この結果、セキュアゲート装置２がネットワークアクセスの制限を実施し、該当端末３は管理装置１へのネットワークアクセスのみに制限される。
When countermeasures are required, the
次に、対策指示部１３は、端末３上のエージェント４に対して、セキュリティ対策処置の実施を指示する対策指示（処置実施指示）を生成し、生成した対策指示をセキュアゲート装置２経由で対象となる端末３に送信する。これは例えばパッチ情報などである（ＳＴ１０８）。
Next, the
対策指示部１３は、端末３上のエージェント４から、対策完了通知を待つ（ＳＴ１０９）。完了通知が来たらＳＴ１１０へ進む。
The
対策指示部１３は、端末３上のエージェント４から、対策完了の通知が送信されてきたら、送信されてきた端末情報を基に、再度セキュリティ対策処置の必要の有無のチェックを実施する。セキュリティ対策処置が正しく適用されていることが判断されると、端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、ネットワークアクセス制限の解除を指示する対策指示（制限解除指示）を生成し、生成した対策指示を対策処置を施す必要があった端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
When a countermeasure completion notification is transmitted from the
また、即時要求に対して情報送信がなかった場合には、当該端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を当該端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
Further, when there is no information transmission in response to the immediate request, a countermeasure instruction (communication restriction instruction) indicating the MAC address and IP address information of the terminal 3 and instructing that the network access restriction on the terminal 3 is performed. ) And the generated countermeasure instruction is transmitted to the
また、ステータス通知で起動通知を受け取った場合には、該当端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、ネットワークアクセス制限の解除を指示する対策指示（制限解除指示）を生成し、生成した対策指示を該当端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。また、ステータス通知で終了通知を受け取った場合には、該当端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を該当端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
Further, when the activation notification is received by the status notification, a countermeasure instruction (restriction release instruction) indicating the MAC address and IP address information of the corresponding terminal 3 and instructing release of the network access restriction is generated, and the generated countermeasure The instruction is transmitted to the
なお、ＳＴ４０１にてセキュリティ情報に変更が行われた場合に、ＳＴ１０７へ行き、インベントリ情報格納部１４に格納されている情報から対策処置のチェックを実施する形態でもよい。
Note that when security information is changed in ST401, it may be possible to go to ST107 and check the countermeasure measures from the information stored in the inventory
以上のように、実施の形態８によれば、エージェントがインストールされていない端末が接続されている場合に、その旨を管理のオペレータ等に通知することが可能となり、不正な端末を認識し、対処を実施することが可能となる。 As described above, according to the eighth embodiment, when a terminal in which no agent is installed is connected, it is possible to notify the management operator or the like, and recognize an unauthorized terminal. It is possible to take measures.
実施の形態９．
図２８は、実施の形態９によるセキュリティ管理システムの動作のフローチャートである。管理装置１の動作について説明する。なお、管理装置１の構成は、図２６に示したものと同様である。
Embodiment 9 FIG.
FIG. 28 is a flowchart of the operation of the security management system according to the ninth embodiment. The operation of the
対策チェック部１２は、端末３上のエージェント４から起動、あるいは終了のステータス通知が送信されてきたかどうかをチェックする（ＳＴ５０４）。ステータス通知が送信されてきた場合にはＳＴ１１０へ進む。ステータス通知が来ていない場合にはＳＴ４０１へ進む。
The measure check unit 12 checks whether an activation or termination status notification has been transmitted from the
対策チェック部１２は、セキュリティ情報格納部１５に格納されている情報に更新が行われたかどうかをチェックする（ＳＴ４０１）。変更が行われた場合には、ＳＴ３０２へ進む。変更が行われていない場合にはＳＴ２０４へ進む。
The measure check unit 12 checks whether or not the information stored in the security
スケジュール設定部１６は、エージェント４やセキュアゲート装置２が情報を取得するスケジュールの設定に変更があるかどうかをチェックする（ＳＴ２０４）。スケジュール変更がある場合には、ＳＴ２０５へ進む。ない場合にはＳＴ２０６へ進む。
The
スケジュール配布部１７は、スケジュール変更があった対象のエージェント４あるいはセキュアゲート装置２に対して送信スケジュール情報を送信する（ＳＴ２０５）。
The
情報収集部１１は、スケジュールになった際に、エージェント４やセキュアゲート装置２から情報が送信されてきているかをチェックする（ＳＴ２０６）。スケジュール通りに送信されてきている場合には、ＳＴ１０６へ進む。スケジュール時間になっても送信されてきていない場合にはＳＴ３０２へ進む。
The
スケジュール時間になっても送信されてきていない場合には、即時要求部１８が該当の端末３上のエージェント４に情報取得要求を出す（ＳＴ３０２）。
If it has not been transmitted even at the scheduled time, the
即時要求部１８は、情報が来たかどうかをチェックする（ＳＴ３０３）。情報が送信されてきた場合は、ＳＴ１０７へ進む。情報が送信されてきていない場合にはＳＴ７０１へ進む。
The
通知部１９は、通信が実施できない端末３が接続されている場合に、電子メールなどにより、エージェント４が動作していない端末が接続された旨を管理装置１のオペレータに通知する。また、ＯＳの機能を利用して表示を実施するなどにより端末上にエージェントがインストールされていないため、ネットワーク接続不可である旨を通知するなどを実施する（ＳＴ７０１）。
When the terminal 3 that cannot perform communication is connected, the
情報収集部１１は、エージェント４やセキュアゲート装置２からスケジュール通りに送信されてきた情報を収集し、インベントリ情報格納部１４に情報を格納する（ＳＴ１０６）。
The
対策チェック部１２は、情報収集部１１によって収集されたエージェント４からの端末情報と、セキュリティ情報格納部１５に格納されているセキュリティ情報の内容とを照合し対策処置の必要の有無をチェックする（ＳＴ１０７）。セキュリティ情報格納部１５に格納される情報はＯＳやアプリケーション、Ｈ／Ｗのベンダが出しているセキュリティ情報をインターネット経由やＣＤ−ＲＯＭなどの媒体経由で適宜最新情報が反映されるものである。対策処置が必要と判断した場合にはＳＴ１０８へ進む。対策処置が不要、あるいは不明と判断した場合にはＳＴ８０１へ進む。
The countermeasure check unit 12 checks the necessity of countermeasure measures by comparing the terminal information from the
対策チェック部１２は、セキュリティ対策処置が必要かどうかを判断するための情報が不足であるかどうかをチェックする（ＳＴ８０１）。情報不足と判断した場合にはＳＴ８０２へ進む。情報が十分の場合にはＳＴ５０４へ進む。 The countermeasure check unit 12 checks whether there is a lack of information for determining whether or not a security countermeasure is necessary (ST801). If it is determined that the information is insufficient, the process proceeds to ST802. If the information is sufficient, the process proceeds to ST504.
情報が不足している場合には即時要求部１８は、対策チェック部１２が対策処置の要否を判断するために必要な情報の送信をエージェント４に要求する追加情報要求（装置情報送信要求）を生成し、当該エージェント４に対して追加情報要求を送信する（ＳＴ８０２）。
When the information is insufficient, the
対策処置が必要な場合には、対策指示部１３は、対策処置を施す必要がある端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を対策処置を施す必要がある端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１０８）。この結果、セキュアゲート装置２がネットワークアクセスの制限を実施し、該当端末３は管理装置１へのネットワークアクセスのみに制限される。
When countermeasures are required, the
次に、対策指示部１３は、端末３上のエージェント４に対して、セキュリティ対策処置の実施を指示する対策指示（処置実施指示）を生成し、生成した対策指示をセキュアゲート装置２経由で対象となる端末３に送信する。これは例えばパッチ情報などである（ＳＴ１０８）。
Next, the
対策指示部１３は、端末３上のエージェント４から、対策完了通知を待つ（ＳＴ１０９）。完了通知が来たらＳＴ１１０へ進む。
The
対策指示部１３は、端末３上のエージェント４から、対策完了の通知が送信されてきたら、送信されてきた端末情報を基に、再度セキュリティ対策処置の必要の有無のチェックを実施する。セキュリティ対策処置が正しく適用されていることが判断されると、端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、ネットワークアクセス制限の解除を指示する対策指示（制限解除指示）を生成し、生成した対策指示を対策処置を施す必要があった端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
When a countermeasure completion notification is transmitted from the
また、即時要求に対して情報送信がなかった場合には、当該端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を当該端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
Further, when there is no information transmission in response to the immediate request, a countermeasure instruction (communication restriction instruction) indicating the MAC address and IP address information of the terminal 3 and instructing that the network access restriction on the terminal 3 is performed. ) And the generated countermeasure instruction is transmitted to the
また、ステータス通知で起動通知を受け取った場合には、該当端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、ネットワークアクセス制限の解除を指示する対策指示（制限解除指示）を生成し、生成した対策指示を該当端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。また、ステータス通知で終了通知を受け取った場合には、該当端末３のＭＡＣアドレス、ＩＰアドレスの情報を示し、当該端末３に対するネットワークアクセス制限を実施する旨を指示する対策指示（通信制限指示）を生成し、生成した対策指示を該当端末３を配下に接続しているセキュアゲート装置２に対して送信する（ＳＴ１１０）。
Further, when the activation notification is received as the status notification, a countermeasure instruction (restriction cancellation instruction) indicating the MAC address and IP address information of the corresponding terminal 3 and indicating the cancellation of the network access restriction is generated, and the generated countermeasure The instruction is transmitted to the
なお、ＳＴ４０１にてセキュリティ情報に変更が行われた場合に、ＳＴ１０７へ行き、インベントリ情報格納部１４に格納されている情報から対策処置のチェックを実施する形態でもよい。
Note that when security information is changed in ST401, it may be possible to go to ST107 and check the countermeasure measures from the information stored in the inventory
図２９は、管理装置１、セキュアゲート装置２、端末３／エージェント４の間のデータフローを示す図である。
FIG. 29 is a diagram illustrating a data flow among the
先ず、端末３／エージェント４で端末情報が収集され、端末３／エージェント４からセキュアゲート装置２に対して端末情報が送信され（ＳＴ２９０１）、セキュアゲート装置２から管理装置１に端末情報が送信される（ＳＴ２９０２）。また、セキュアゲート装置２から管理装置１へ、端末のＩＰアドレス等の端末３の識別情報が送信される（ＳＴ２９０３）。管理装置１では、端末３に対するセキュリティ対策処置の実施要否が判断される。ここで、管理装置１が情報不足と判断した場合に、管理装置１は追加情報要求をセキュアゲート装置２に送信し（ＳＴ２９０４）、セキュアゲート装置２は追加情報要求を端末３／エージェント４に送信する（ＳＴ２９０５）。端末３／エージェント４では、追加の端末情報を収集し、追加の端末情報をセキュアゲート装置２に送信する（ＳＴ２９０６）。セキュアゲート装置２では、追加の端末情報を管理装置１に送信する（ＳＴ２９０７）。この後、管理装置１において、追加の端末情報によりセキュリティ対策処置の要否判断が可能であるか否かの判断が行われる。
First, terminal information is collected by the terminal 3 /
以上のように、実施の形態９によれば、セキュリティ対策処置の実施の確認に必要な情報を確実に収集しチェックすることが可能となるため、抜けなくセキュリティ対策処置の実施が可能となる。 As described above, according to the ninth embodiment, since it is possible to reliably collect and check information necessary for confirming the implementation of security countermeasures, it is possible to implement security countermeasures without omission.
前述した各実施の形態で、管理装置１、セキュアゲート装置２、端末３は、コンピュータで実現できるものである。
In each of the embodiments described above, the
図示していないが、管理装置１、セキュアゲート装置２、端末３は、プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）を備えている。
Although not shown, the
例えば、ＣＰＵは、バスを介して、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、通信ボード、表示装置、Ｋ／Ｂ（キーボード）、マウス、ＦＤＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ Ｄｒｉｖｅ）、ＣＤＤ（コンパクトディスクドライブ）、磁気ディスク装置、光ディスク装置、プリンタ装置、スキャナ装置等と接続されている。 For example, the CPU is connected to a ROM (Read Only Memory), a RAM (Random Access Memory), a communication board, a display device, a K / B (keyboard), a mouse, an FDD (Flexible Disk Drive), and a CDD (Compact Disc) via a bus. Drive), magnetic disk device, optical disk device, printer device, scanner device and the like.
ＲＡＭは、揮発性メモリの一例である。ＲＯＭ、ＦＤＤ、ＣＤＤ、磁気ディスク装置、光ディスク装置は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。 The RAM is an example of a volatile memory. ROM, FDD, CDD, magnetic disk device, and optical disk device are examples of nonvolatile memory. These are examples of a storage device or a storage unit.
前述した各実施の形態の管理装置１、セキュアゲート装置２、端末３が扱うデータや情報は、記憶装置あるいは記憶部に保存され、管理装置１、セキュアゲート装置２、端末３の各部により、記録され読み出されるものである。
Data and information handled by the
また、通信ボードは、例えば、ＬＡＮ、インターネット、或いはＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）に接続されている。 The communication board is connected to a WAN (Wide Area Network) such as a LAN, the Internet, or ISDN.
磁気ディスク装置には、オペレーティングシステム（ＯＳ）、ウィンドウシステム、プログラム群、ファイル群（データベース）が記憶されている。 The magnetic disk device stores an operating system (OS), a window system, a program group, and a file group (database).
プログラム群は、ＣＰＵ、ＯＳ、ウィンドウシステムにより実行される。 The program group is executed by a CPU, OS, and window system.
上記管理装置１、セキュアゲート装置２、端末３の各部は、一部或いはすべてコンピュータで動作可能なプログラムにより構成しても構わない。或いは、ＲＯＭに記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェア或いは、ハードウェア或いは、ソフトウェアとハードウェアとファームウェアとの組み合わせで実施されても構わない。
Each part of the
上記プログラム群には、実施の形態の説明において「〜部」として説明した処理をＣＰＵに実行させるプログラムが記憶される。これらのプログラムは、例えば、Ｃ言語やＨＴＭＬやＳＧＭＬやＸＭＬなどのコンピュータ言語により作成される。 The program group stores a program that causes the CPU to execute the processing described as “˜unit” in the description of the embodiment. These programs are created by computer languages, such as C language, HTML, SGML, and XML, for example.
また、上記プログラムは、磁気ディスク装置、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）、光ディスク、ＣＤ（コンパクトディスク）、ＭＤ（ミニディスク）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）等のその他の記録媒体に記憶され、ＣＰＵにより読み出され実行される。
ここで、以上の実施の形態で説明したセキュリティ管理システムの特徴を以下にて示す。
The program is stored in another recording medium such as a magnetic disk device, FD (Flexible Disk), optical disk, CD (compact disk), MD (mini disk), DVD (Digital Versatile Disk), and read by the CPU. And executed.
Here, the features of the security management system described in the above embodiment will be described below.
以上の実施の形態で説明したセキュリティ管理システムは、エージェントを備える端末と、セキュアゲート装置と、管理装置とが、ネットワークを介して相互に接続されているセキュリティ管理システムであって、
前記端末上のエージェントは、
セキュリティ対策を適用するために必要な端末情報を取得する情報取得部と、
収集した情報を管理装置に送信する情報送信部と、
管理装置から送信されてきたセキュリティ対策を受信し、対策を実施する対策適用部とを備え、
前記セキュアゲート装置は、
配下の端末情報を取得する情報取得部と、
収集した情報を管理装置に送信する情報送信部と、
管理装置から送信されてきた対策情報を受信し、配下にあるセキュリティ対策の適用対象の端末のネットワークアクセスの制限を実施や解除を実施する対策適用部とを備え、
前記管理装置は、
各端末から送信される端末情報や各セキュアゲート装置から送信される配下の端末情報を収集する情報収集部と、
前記情報収集部によって収集された情報を格納したインベントリ情報格納部と、
セキュリティ情報を格納したセキュリティ情報格納部と、
インベントリ情報格納部に格納されている端末情報とセキュリティ情報格納部に格納されているセキュリティ情報からセキュリティ対策の実施の有無を判断する対策チェック部と、
前記対策チェック部にて対策が必要と判断された場合に、対応した対策を指示する対策指示部とを備えたことを特徴とする。
The security management system described in the above embodiment is a security management system in which a terminal including an agent, a secure gate device, and a management device are connected to each other via a network.
The agent on the terminal is
An information acquisition unit that acquires terminal information necessary for applying security measures;
An information transmission unit for transmitting the collected information to the management device;
A countermeasure application unit that receives the security countermeasures transmitted from the management device and implements the countermeasures;
The secure gate device is:
An information acquisition unit that acquires terminal information of the subordinate,
An information transmission unit for transmitting the collected information to the management device;
A countermeasure application unit that receives countermeasure information transmitted from the management device, and implements or cancels network access restrictions on the terminals to which the security countermeasures under control are applied;
The management device
An information collection unit that collects terminal information transmitted from each terminal and subordinate terminal information transmitted from each secure gate device;
An inventory information storage unit storing information collected by the information collection unit;
A security information storage unit storing security information;
A measure check unit that determines whether security measures are implemented from the terminal information stored in the inventory information storage unit and the security information stored in the security information storage unit;
And a countermeasure instruction section for instructing a corresponding countermeasure when the countermeasure check section determines that a countermeasure is necessary.
前記端末上のエージェントは、端末のＯＳ情報、Ｈ／Ｗ情報、Ｓ／Ｗ情報、ネットワーク情報、セキュリティ対策適用情報を取得し、前記管理装置に送信することにより、前記管理装置上の対策チェック部においてセキュリティ対策実施必要性の判断を可能とすることを特徴とする。 The agent on the terminal acquires OS information, H / W information, S / W information, network information, and security countermeasure application information of the terminal, and transmits the acquired information to the management apparatus, whereby a countermeasure check unit on the management apparatus This makes it possible to determine the necessity of implementing security measures.
前記セキュアゲート装置は、配下に接続されている端末のネットワーク情報を取得し、前記管理装置に送信することにより、前記管理装置上の対策指示部において、セキュリティ対策実施端末のネットワークアクセス制限の指示を出す対象のセキュアゲート装置の識別を可能とすることを特徴とする。 The secure gate device acquires network information of terminals connected under the secure gate device and transmits the network information to the management device, so that a countermeasure instruction unit on the management device issues a network access restriction instruction to the security countermeasure implementation terminal. It is possible to identify the secure gate device to be issued.
前記管理装置は、前記対策チェック部によって対策適用が必要な端末が存在すると判断された場合に、対象となる端末を配下にしているセキュアゲート装置の対策適用部に対して、対象の端末のネットワークアクセス制限の指示を出し、対象端末上のエージェントの対策適用部にセキュリティ対策の指示を行い、セキュリティ対策完了後、セキュアゲート装置の対策適用部に対して、対象の端末のネットワークアクセス制限の解除を実施することを特徴とする。 When the countermeasure check unit determines that there is a terminal to which countermeasures need to be applied, the management device sends a network of the target terminals to the countermeasure application unit of the secure gate device under control of the target terminals. Instruct the access restriction to the agent countermeasure application section on the target terminal, and after the security countermeasure is completed, release the network access restriction on the target terminal to the countermeasure application section of the secure gate device. It is characterized by carrying out.
前記管理装置は、前記対策指示部において、端末上のエージェントに対して、セキュリティ対策実施のための修正プログラムを送信することにより、端末上のエージェントの対策適用部が自動的に対策の適用を実施することを特徴とする。 The management device automatically applies a countermeasure by the agent countermeasure application unit on the terminal by transmitting a correction program for implementing the security countermeasure to the agent on the terminal in the countermeasure instruction unit. It is characterized by doing.
前記端末上のエージェントは、前記対策指示部において、送信されてきた修正プログラムを受信し、自動的に修正プログラムを実行することでセキュリティ対策の適用を実施することを特徴とする。 The agent on the terminal receives the modified program transmitted by the countermeasure instruction unit and automatically executes the modified program to apply the security countermeasure.
前記管理装置は、前記対策指示部において、端末上のエージェントに対して、セキュリティ対策実施手順を送信することにより、端末上のエージェント対策適用部がユーザに対して対策適用指示を実施することを特徴とする。 The management apparatus transmits a security countermeasure execution procedure to the agent on the terminal in the countermeasure instruction section, so that the agent countermeasure application section on the terminal issues a countermeasure application instruction to the user. And
前記端末上のエージェントは、前記対策指示部において、送信されてきた対策実施手順を受信し、ユーザに対して対策適用指示を表示し、ユーザに対策実施を促すことでセキュリティ対策実施をユーザが行うことを特徴とする。 The agent on the terminal receives the transmitted countermeasure implementation procedure at the countermeasure instruction unit, displays a countermeasure application instruction for the user, and prompts the user to implement the countermeasure by the user performing the security countermeasure. It is characterized by that.
前記管理装置は、
前記端末上のエージェントや前記セキュアゲート装置に対して定期的な情報の送信の設定を実施するスケジュール設定部と、
前記スケジュール設定部にて設定されたスケジュールを各端末やセキュアゲート装置に適用するスケジュール配布部とを備え、
前記セキュアゲート装置は、
管理装置から配布されたスケジュール情報に従い、情報取得部ならびに、情報送信部を実行するスケジュール実行部を備え、
前記端末上のエージェントは、
管理装置から配布されたスケジュール情報に従い、情報取得部ならびに、情報送信部を実行するスケジュール実行部を備え、
前記管理装置が、定期的に端末情報を収集することを特徴とする。
The management device
A schedule setting unit configured to set transmission of periodic information for the agent on the terminal and the secure gate device;
A schedule distribution unit that applies the schedule set by the schedule setting unit to each terminal or secure gate device;
The secure gate device is:
In accordance with the schedule information distributed from the management device, the information acquisition unit, and a schedule execution unit that executes the information transmission unit,
The agent on the terminal is
In accordance with the schedule information distributed from the management device, the information acquisition unit, and a schedule execution unit that executes the information transmission unit,
The management device periodically collects terminal information.
前記管理装置は、前記スケジュール配布部で配布したスケジュールによる定期的なエージェントからの通信が行われていない場合、前記対策指示部は該当するセキュアゲート装置に対して、該当端末のネットワークアクセス制限を実施する指示を行うことを特徴とする。 When the management device does not perform periodic communication from the agent according to the schedule distributed by the schedule distribution unit, the countermeasure instruction unit restricts network access of the corresponding terminal to the corresponding secure gate device It is characterized by giving an instruction to perform.
前記端末上のエージェントは、前記情報取得部によって取得した端末情報を保存するインベントリ情報格納部を備え、前記情報取得部は端末情報を取得すると、インベントリ情報格納部に格納されている情報と比較し、変更がない場合には、前記情報送信部は変更なしという情報のみを送信することを特徴とする。 The agent on the terminal includes an inventory information storage unit that stores the terminal information acquired by the information acquisition unit, and the information acquisition unit, when acquiring the terminal information, compares the information with the information stored in the inventory information storage unit. When there is no change, the information transmission unit transmits only information that there is no change.
前記端末上のエージェントは、前記情報取得部によって取得した端末情報と、前記インベントリ情報格納部に格納されている情報と比較し、変更があった場合には、今回取得した情報を基にインベントリ情報格納部を更新し、前記情報送信部は、差分情報のみを送信することを特徴とする。 The agent on the terminal compares the terminal information acquired by the information acquisition unit with the information stored in the inventory information storage unit, and if there is a change, the inventory information based on the information acquired this time The storage unit is updated, and the information transmission unit transmits only difference information.
前記管理装置は、
前記端末上のエージェントや前記セキュアゲート装置に対して即時に情報の取得を要求する即時要求部を備え、
前記セキュアゲート装置は、
管理装置からの即時要求を受け付け、情報取得部ならびに、情報送信部を実行する即時実行部を備え、
前記端末上のエージェントは、
管理装置からの即時要求を受け付け、情報取得部ならびに、情報送信部を実行する即時実行部を備え、管理装置からの要求に即時に対応して端末情報を収集することを特徴とする。
The management device
With an immediate request unit that immediately requests acquisition of information to the agent on the terminal and the secure gate device,
The secure gate device is:
Receives an immediate request from the management device, and includes an information acquisition unit and an immediate execution unit that executes an information transmission unit,
The agent on the terminal is
It is characterized by receiving an immediate request from the management device, and having an information acquisition unit and an immediate execution unit for executing the information transmission unit, and collecting terminal information in response to the request from the management device immediately.
前記管理装置は、前記スケジュール配布部で配布したスケジュールによる定期的なエージェントからの通信が行われていない場合、前記即時要求部が、通信が行われなかった端末に対して情報取得要求を実施し、取得ができなかった場合に前記対策指示部は該当するセキュアゲート装置に対して、該当端末のネットワークアクセス制限を実施する指示を行うことを特徴とする。 When the communication from the agent according to the schedule distributed by the schedule distribution unit is not performed, the immediate request unit makes an information acquisition request to a terminal that has not performed communication. When the acquisition is not possible, the countermeasure instruction unit instructs the corresponding secure gate device to perform network access restriction of the corresponding terminal.
前記管理装置は、
前記対策指示部において、端末上のエージェントに対して、セキュリティ対策実施のための修正手順を送信し、
前記端末上のエージェントは、
送信された修正手順を表示する対策表示部を備え、
自動適用が困難なセキュリティ対策の適用をユーザに通知し、適用することを可能とすることを特徴とする。
The management device
In the countermeasure instruction unit, a correction procedure for security countermeasure implementation is transmitted to the agent on the terminal,
The agent on the terminal is
It has a countermeasure display section that displays the sent correction procedure,
It is characterized in that it is possible to notify a user of application of a security measure that is difficult to apply automatically and to apply it.
前記管理装置は、前記セキュリティ情報格納部に格納された情報の更新時に、前記対策チェック部が更新内容と収集済みのインベントリ情報格納部に格納されている各端末の情報をチェックし、対策が必要な端末検出時に対策を適用することを特徴とする。 In the management device, when updating the information stored in the security information storage unit, the countermeasure check unit checks the update contents and information of each terminal stored in the collected inventory information storage unit, and a countermeasure is required. It is characterized in that measures are applied when a terminal is detected.
前記管理装置は、前記セキュリティ情報格納部に格納された情報の更新時に、前記対策チェック部が収集済みのインベントリ情報格納部に格納されている各端末の情報をチェックし、最新の情報が必要な端末を選択し、前記即時要求部が該当端末に対して現在の情報の取得を依頼し、前記対策チェック部が収集した情報を基に対策が必要な端末の検出を行い、検出時に対策を適用することを特徴とする。 When the information stored in the security information storage unit is updated, the management device checks the information of each terminal stored in the inventory information storage unit collected by the countermeasure check unit and needs the latest information. Select the terminal, the immediate request unit requests the relevant terminal to obtain the current information, detect the terminal that requires countermeasures based on the information collected by the countermeasure check unit, and apply countermeasures at the time of detection It is characterized by doing.
前記端末上のエージェントは、端末起動時に起動情報を管理装置に通知するステータス通知部を備え、端末起動通知を受信した管理装置は、前記対策チェック部によってセキュリティ対策適用済みと判断された場合に、前記対策指示部は該当するセキュアゲート装置に対して、起動した端末のネットワークアクセス制限を解除する指示を行うことを特徴とする。 The agent on the terminal includes a status notification unit that notifies the management device of activation information when the terminal is activated, and the management device that has received the terminal activation notification determines that the security check has been applied by the countermeasure check unit. The countermeasure instructing unit instructs the corresponding secure gate device to release the network access restriction of the activated terminal.
前記端末上のエージェントは、前記ステータス通知部が端末終了時に起動情報を管理装置に通知することにより、端末終了通知を受信した管理装置は、前記対策指示部によって該当するセキュアゲート装置に対して、起動した端末のネットワークアクセス制限を実施する指示を行うことを特徴とする。 The agent on the terminal notifies the management device of the activation information when the status notification unit terminates the terminal, so that the management device that has received the terminal termination notification provides the corresponding secure gate device with the countermeasure instruction unit. It is characterized by giving an instruction to perform network access restriction of the activated terminal.
前記管理装置は、端末がネットワークに接続されているが、起動通知が送信されない端末が存在する場合、前記即時要求部から情報取得要求を行うことを特徴とする。 The management device makes an information acquisition request from the immediate request unit when a terminal is connected to a network but there is a terminal to which an activation notification is not transmitted.
前記管理装置は、端末がネットワークに接続されているが、起動通知が送信されない、あるいは前記即時要求部からの要求に応答しない場合、該当端末にエージェントが未インストールである、あるいはエージェントが起動していない端末であると判断し、前記対策指示部が該当するセキュアゲート装置に対して、該当端末のネットワークアクセス制限を実施する指示を行うことを特徴とする。 If the terminal is connected to the network but the activation notification is not transmitted, or the management apparatus does not respond to the request from the immediate request unit, the agent is not installed in the corresponding terminal or the agent is activated. It is determined that the terminal is not, and the countermeasure instruction unit instructs the corresponding secure gate device to perform network access restriction of the corresponding terminal.
前記セキュアゲート装置は、
配下の端末の情報に変化が発生した場合に、前記情報送信部により管理装置に通知することを特徴とする。
The secure gate device is:
When a change occurs in information of a terminal under control, the information transmission unit notifies the management device.
前記端末上のエージェントは、
前記情報取得部によって取得する対象の情報に変更があった場合に、端末情報を取得し、前記情報送信部によって取得した情報を送信することを特徴とする。
The agent on the terminal is
When there is a change in information to be acquired by the information acquisition unit, terminal information is acquired and information acquired by the information transmission unit is transmitted.
前記管理装置は、端末がネットワークに接続されているが、起動通知が送信されない、あるいは前記即時要求部からの要求に応答しない場合、該当端末にエージェントが未インストールである、あるいはエージェントが起動していない端末であると判断し、管理者に通知を行う通知部を備え、エージェント未インストール端末の存在を管理者に知らせることを特徴とする。 If the terminal is connected to the network but the activation notification is not transmitted, or the management apparatus does not respond to the request from the immediate request unit, the agent is not installed in the corresponding terminal or the agent is activated. And a notification unit that notifies the administrator, and notifies the administrator of the presence of the agent-uninstalled terminal.
前記管理装置は、端末がネットワークに接続されているが、起動通知が送信されない、あるいは前記即時要求部からの要求に応答しない場合、該当端末にエージェントが未インストールである、あるいはエージェントが起動していない端末であると判断した場合に、前記通知部においてＯＳの機能を利用し、該当端末に通知を行い、エージェント未インストールの場合には端末をネットワークに接続できないことをユーザに知らせることを特徴とする。 If the terminal is connected to the network but the activation notification is not transmitted, or the management apparatus does not respond to the request from the immediate request unit, the agent is not installed in the corresponding terminal or the agent is activated. When it is determined that the terminal is not a terminal, the notification unit uses the function of the OS to notify the corresponding terminal, and if the agent is not installed, the user is informed that the terminal cannot be connected to the network. To do.
前記管理装置は、前記対策チェック部が前記セキュリティ情報格納部に格納されている情報から、前記インベントリ情報格納部に格納されている情報ではセキュリティ対策適用の実施のチェックができないと判断した場合に追加情報の要求を行う追加情報要求部を備え、
前記端末上のエージェントの前記即時実行部は、前記追加情報要求部から要求された追加情報の取得を前記情報取得部にて実施し、取得した情報を前記情報送信部にて送信するようにすることを特徴とする。
The management apparatus is added when the countermeasure check unit determines from the information stored in the security information storage unit that the information stored in the inventory information storage unit cannot check the implementation of the security countermeasures Provided with an additional information request unit for requesting information,
The immediate execution unit of the agent on the terminal performs acquisition of the additional information requested from the additional information request unit by the information acquisition unit, and transmits the acquired information by the information transmission unit. It is characterized by that.
前記管理装置は、前記対策チェック部において、端末から送信されてきた端末情報の内容からウィルスに感染しているなどの異常状態であると判断した場合、前記対策指示部は該当端末を配下にしているセキュアゲート装置に対してネットワークアクセスの制限を指示することを特徴とする。 When the management device determines that the countermeasure check unit is in an abnormal state such as a virus infection from the content of the terminal information transmitted from the terminal, the countermeasure instruction unit takes the corresponding terminal under control. A network access restriction is instructed to the secure gate device.
１ 管理装置、２ セキュアゲート装置、３ 端末、４ エージェント、５ 通信回線、１１ 情報収集部、１２ 対策チェック部、１３ 対策指示部、１４ インベントリ情報格納部、１５ セキュリティ情報格納部、１６ スケジュール設定部、１７ スケジュール配布部、１８ 即時要求部、１９ 通知部、２１ 情報取得部、２２ 情報送信部、２３ 対策適用部、２４ スケジュール実行部、２５ 即時実行部、２６ 中継処理部、４１ 情報取得部、４２ 情報送信部、４３ 対策適用部、４４ スケジュール実行部、４５ インベントリ情報格納部、４６ 即時実行部、４７ 対策表示部、４８ ステータス通知部。
DESCRIPTION OF
Claims (18)
前記端末装置の装置情報を前記端末装置から前記中継装置を介して受信する受信部と、
前記受信部により受信された前記端末装置の装置情報に基づき、前記端末装置に対するセキュリティ対策処置が必要であるか否かを判断する対策判断部と、
前記対策判断部により前記端末装置に対するセキュリティ対策処置が必要であると判断された場合に、前記中継装置に対して前記端末装置の通信をセキュリティ管理装置との通信に限定するよう指示する通信制限指示を生成する指示生成部と、
前記指示生成部により生成された通信制限指示を前記中継装置に対して送信する送信部とを有することを特徴とするセキュリティ管理装置。 A security management device that performs security management for the terminal device via a relay device that controls communication of the terminal device,
A receiving unit for receiving device information of the terminal device from the terminal device via the relay device;
Based on the device information of the terminal device received by the receiving unit, a measure determining unit that determines whether or not a security measure action is required for the terminal device;
A communication restriction instruction for instructing the relay device to limit communication of the terminal device to communication with the security management device when it is determined by the measure determining unit that security measures are required for the terminal device. An instruction generation unit for generating
A security management apparatus comprising: a transmission unit that transmits a communication restriction instruction generated by the instruction generation unit to the relay apparatus.
前記対策判断部により前記端末装置に対するセキュリティ対策処置が必要であると判断された場合に、前記端末装置に対してセキュリティ対策処置を実施するよう指示する処理実施指示を生成し、
前記送信部は、
前記指示生成部により生成された処理実施指示を前記中継装置を介して前記端末装置に対して送信することを特徴とする請求項１に記載のセキュリティ管理装置。 The instruction generation unit
When the countermeasure determining unit determines that a security countermeasure action is required for the terminal device, generates a processing execution instruction that instructs the terminal device to perform a security countermeasure action,
The transmitter is
The security management device according to claim 1, wherein the processing execution instruction generated by the instruction generation unit is transmitted to the terminal device via the relay device.
前記対策判断部により前記端末装置に対するセキュリティ対策処置が必要であると判断された後に前記端末装置に対するセキュリティ対策処置が不要となった場合に、前記中継装置に対して前記端末装置に対する通信制限を解除するよう指示する制限解除指示を生成し、
前記送信部は、
前記指示生成部により生成された制限解除指示を前記中継装置に対して送信することを特徴とする請求項１に記載のセキュリティ管理装置。 The instruction generation unit
When the security measure measure for the terminal device is no longer necessary after the measure determining unit determines that the security measure measure for the terminal device is necessary, the communication restriction for the terminal device is released to the relay device. Generate a restriction release instruction that instructs
The transmitter is
The security management apparatus according to claim 1, wherein the restriction release instruction generated by the instruction generation unit is transmitted to the relay apparatus.
前記端末装置においてセキュリティ対策処置が実施されたことを通知する処置実施完了通知を前記端末装置から前記中継装置を介して受信し、
前記対策判断部は、
前記受信部により受信された処置実施完了通知に基づき、前記端末装置に対する更なるセキュリティ対策処置が必要であるか否かを判断し、
前記指示生成部は、
前記対策判断部により前記端末装置に対する更なるセキュリティ対策処置が不要と判断された場合に、前記中継装置に対して前記端末装置に対する通信制限を解除するよう指示する制限解除指示を生成することを特徴とする請求項３に記載のセキュリティ管理装置。 The receiver is
Received from the terminal device via the relay device a processing execution completion notification notifying that the security measure has been implemented in the terminal device,
The countermeasure determination unit
Based on the action execution completion notification received by the receiving unit, determine whether further security measures for the terminal device are necessary,
The instruction generation unit
Generating a restriction release instruction for instructing the relay apparatus to release the communication restriction for the terminal device when the countermeasure determining unit determines that further security countermeasures for the terminal device are unnecessary; The security management device according to claim 3.
それぞれが少なくとも一つ以上の端末装置を管轄し、それぞれ管轄している端末装置の通信を制御する複数の中継装置と通信可能であり、
前記受信部は、
端末装置の識別情報が含まれた装置情報をそれぞれの端末装置から管轄の中継装置を介して受信し、それぞれの中継装置が管轄している端末装置の識別情報をそれぞれの中継装置から取得し、
前記指示生成部は、
前記対策判断部によりいずれかの端末装置に対するセキュリティ対策処置が必要であると判断された場合に、端末装置の識別情報に基づき、セキュリティ対策処置が必要と判断された端末装置を管轄している中継装置を特定し、特定した中継装置に対してセキュリティ対策処置が必要と判断された端末装置の通信をセキュリティ管理装置との通信に限定するよう指示する通信制限指示を生成し、
前記送信部は、
前記指示生成部により特定された中継装置に対して通信制限指示を送信することを特徴とする請求項１に記載のセキュリティ管理装置。 The security management device includes:
Each of them has jurisdiction over at least one terminal device, and can communicate with a plurality of relay devices that control the communication of each of the terminal devices in charge.
The receiver is
The device information including the identification information of the terminal device is received from each terminal device via the responsible relay device, and the identification information of the terminal device managed by each relay device is obtained from each relay device,
The instruction generation unit
When the countermeasure determining unit determines that a security measure for any terminal device is necessary, based on the identification information of the terminal device, the relay that has jurisdiction over the terminal device determined to require the security measure Identifying a device, generating a communication restriction instruction that instructs the identified relay device to limit communication of a terminal device that is determined to require security measures to communication with the security management device;
The transmitter is
The security management apparatus according to claim 1, wherein a communication restriction instruction is transmitted to the relay apparatus identified by the instruction generation unit.
前記対策判断部によりセキュリティ対策処置が必要であると判断された端末装置に対するセキュリティ対策処置が不要となった場合に、セキュリティ対策処置が不要となった端末装置を管轄している中継装置を特定し、特定した中継装置に対してセキュリティ対策処置が不要となった端末装置に対する通信制限を解除するよう指示する制限解除指示を生成し、
前記送信部は、
前記指示生成部により特定された中継装置に対して制限解除指示を送信することを特徴とする請求項５に記載のセキュリティ管理装置。 The instruction generation unit
When a security measure measure is not required for a terminal device that is determined to require a security measure measure by the measure determining unit, a relay device that has jurisdiction over the terminal device that does not require a security measure measure is identified. , Generating a restriction release instruction that instructs the specified relay device to release the communication restriction for the terminal device that no longer requires the security measure,
The transmitter is
The security management apparatus according to claim 5, wherein a restriction release instruction is transmitted to the relay apparatus identified by the instruction generation unit.
前記端末装置が装置情報を送信すべき送信スケジュールを設定し、設定した送信スケジュールを示す送信スケジュール情報を生成するスケジュール設定部を有し、
前記送信部は、
前記スケジュール設定部により生成された送信スケジュール情報を前記中継装置を介して前記端末装置に対して送信することを特徴とする請求項１に記載のセキュリティ管理装置。 The security management device further includes:
The terminal device sets a transmission schedule for transmitting device information, and has a schedule setting unit for generating transmission schedule information indicating the set transmission schedule,
The transmitter is
The security management device according to claim 1, wherein the transmission schedule information generated by the schedule setting unit is transmitted to the terminal device via the relay device.
前記スケジュール設定部により設定された送信スケジュール通りに前記受信部が前記端末装置からの装置情報を受信できない場合に、前記中継装置に対して前記端末装置の通信をセキュリティ管理装置との通信に限定するよう指示する通信制限指示を生成することを特徴とする請求項７に記載のセキュリティ管理装置。 The instruction generation unit
When the receiving unit cannot receive device information from the terminal device according to the transmission schedule set by the schedule setting unit, communication of the terminal device is limited to communication with the security management device with respect to the relay device. The security management apparatus according to claim 7, wherein a communication restriction instruction is issued to instruct to do so.
前記スケジュール設定部により設定された送信スケジュール通りに前記受信部が前記端末装置からの装置情報を受信できない場合に、前記端末装置に対して装置情報の送信を要求する装置情報送信要求を生成する送信要求生成部を有し、
前記送信部は、
前記送信要求生成部により生成された装置情報送信要求を前記中継装置を介して前記端末装置に対して送信することを特徴とする請求項７に記載のセキュリティ管理装置。 The security management device further includes:
Transmission that generates a device information transmission request for requesting the terminal device to transmit device information when the receiving unit cannot receive device information from the terminal device according to the transmission schedule set by the schedule setting unit A request generation unit,
The transmitter is
8. The security management device according to claim 7, wherein the device information transmission request generated by the transmission request generation unit is transmitted to the terminal device via the relay device.
前記端末装置に対するセキュリティ対策処置が必要か否かを判断するために前記端末装置からの装置情報と照合するセキュリティ情報を格納するセキュリティ情報格納部と、
前記セキュリティ情報格納部に格納されているセキュリティ情報が更新された場合に、前記端末装置に対して装置情報の送信を要求する装置情報送信要求を生成する送信要求生成部とを有し、
前記送信部は、
前記送信要求生成部により生成された装置情報送信要求を前記中継装置を介して前記端末装置に対して送信することを特徴とする請求項１に記載のセキュリティ管理装置。 The security management device further includes:
A security information storage unit for storing security information to be checked against device information from the terminal device in order to determine whether or not a security measure is required for the terminal device;
A transmission request generation unit that generates a device information transmission request for requesting the terminal device to transmit device information when security information stored in the security information storage unit is updated;
The transmitter is
The security management device according to claim 1, wherein the device information transmission request generated by the transmission request generation unit is transmitted to the terminal device via the relay device.
前記装置情報送信要求の送信後に前記受信部が前記端末装置からの装置情報を受信できない場合に、前記中継装置に対して前記端末装置の通信をセキュリティ管理装置との通信に限定するよう指示する通信制限指示を生成することを特徴とする請求項９又は１０に記載のセキュリティ管理装置。 The instruction generation unit
Communication that instructs the relay device to limit communication of the terminal device to communication with a security management device when the receiving unit cannot receive device information from the terminal device after transmitting the device information transmission request The security management apparatus according to claim 9 or 10, wherein a restriction instruction is generated.
前記中継装置を介して、装置情報の収集を行うエージェントを備えた端末装置に対するセキュリティ管理を行い、
前記受信部は、
前記端末装置のエージェントの起動を通知するステータス通知を前記端末装置から前記中継装置を介して受信し、
前記指示生成部は、
前記受信部により前記ステータス通知が受信された場合に、前記中継装置に対して前記端末装置に対する通信制限を解除するよう指示する制限解除指示を生成することを特徴とする請求項１に記載のセキュリティ管理装置。 The security management device includes:
Perform security management for the terminal device with an agent that collects device information through the relay device,
The receiver is
Receiving a status notification from the terminal device via the relay device to notify the activation of the agent of the terminal device;
The instruction generation unit
2. The security according to claim 1, wherein when the status notification is received by the receiving unit, a restriction release instruction is generated to instruct the relay apparatus to release the communication restriction on the terminal apparatus. Management device.
前記中継装置を介して、装置情報の収集を行うエージェントを備えた端末装置に対するセキュリティ管理を行い、
前記受信部は、
前記端末装置のエージェントの動作終了を通知するステータス通知を前記端末装置から前記中継装置を介して受信し、
前記指示生成部は、
前記受信部により前記ステータス通知が受信された場合に、前記中継装置に対して前記端末装置の通信をセキュリティ管理装置との通信に限定するよう指示する通信制限指示を生成することを特徴とする請求項１に記載のセキュリティ管理装置。 The security management device includes:
Perform security management for the terminal device with an agent that collects device information through the relay device,
The receiver is
Receiving a status notification from the terminal device via the relay device to notify the end of the operation of the agent of the terminal device;
The instruction generation unit
When the status notification is received by the receiving unit, a communication restriction instruction is generated to instruct the relay device to limit communication of the terminal device to communication with a security management device. Item 4. The security management device according to Item 1.
前記端末装置の構成に変更があった場合に、変更後の構成を反映させた装置情報を前記端末装置から前記中継装置を介して受信することを特徴とする請求項１に記載のセキュリティ管理装置。 The receiver is
The security management device according to claim 1, wherein when there is a change in the configuration of the terminal device, device information reflecting the changed configuration is received from the terminal device via the relay device. .
前記装置情報送信要求の送信後に前記受信部が前記端末装置からの装置情報を受信できない場合に、前記端末装置からの装置情報を受信できない旨をセキュリティ管理装置のオペレータに通知するオペレータ通知部を有することを特徴とする請求項９又は１０に記載のセキュリティ管理装置。 The security management device further includes:
An operator notifying unit for notifying the operator of the security management device that the device information cannot be received from the terminal device when the receiving unit cannot receive the device information from the terminal device after transmitting the device information transmission request; The security management apparatus according to claim 9 or 10, characterized in that
前記受信部により受信された前記端末装置の装置情報が所定の条件に合致しないために、前記対策判断部が前記端末装置に対するセキュリティ対策処置が必要であるか否かを判断できない場合に、前記端末装置に対して前記所定の条件に合致する装置情報の送信を要求する装置情報送信要求を生成する送信要求生成部を有し、
前記送信部は、
前記送信要求生成部により生成された装置情報送信要求を前記中継装置を介して前記端末装置に対して送信することを特徴とする請求項１に記載のセキュリティ管理装置。 The security management device further includes:
If the device information of the terminal device received by the receiving unit does not meet a predetermined condition, the terminal cannot determine whether the security measure for the terminal device is necessary or not. A transmission request generation unit that generates a device information transmission request for requesting transmission of device information that matches the predetermined condition to the device;
The transmitter is
The security management device according to claim 1, wherein the device information transmission request generated by the transmission request generation unit is transmitted to the terminal device via the relay device.
前記端末装置の装置情報を前記端末装置から前記中継装置を介して受信する受信ステップと、
前記受信ステップにより受信された前記端末装置の装置情報に基づき、前記端末装置に対するセキュリティ対策処置が必要であるか否かを判断する対策判断ステップと、
前記対策判断ステップにより前記端末装置に対するセキュリティ対策処置が必要であると判断された場合に、前記中継装置に対して前記端末装置の通信をセキュリティ対策処置に関する通信に限定するよう指示する通信制限指示を生成する指示生成ステップと、
前記指示生成ステップにより生成された通信制限指示を前記中継装置に対して送信する送信ステップとを有することを特徴とするセキュリティ管理方法。 A security management method for performing security management for the terminal device via a relay device that controls communication of the terminal device,
A receiving step of receiving device information of the terminal device from the terminal device via the relay device;
Based on the device information of the terminal device received by the receiving step, a measure determining step for determining whether a security measure measure for the terminal device is necessary,
A communication restriction instruction for instructing the relay device to limit communication of the terminal device to communication related to the security measure measure when it is determined by the measure determining step that a security measure measure is required for the terminal device. An instruction generation step to generate;
A security management method comprising: a transmission step of transmitting the communication restriction instruction generated by the instruction generation step to the relay device.
前記端末装置の装置情報を前記端末装置から前記中継装置を介して受信する受信処理と、
前記受信処理により受信された前記端末装置の装置情報に基づき、前記端末装置に対するセキュリティ対策処置が必要であるか否かを判断する対策判断処理と、
前記対策判断処理により前記端末装置に対するセキュリティ対策処置が必要であると判断された場合に、前記中継装置に対して前記端末装置の通信をセキュリティ対策処置に関する通信に限定するよう指示する通信制限指示を生成する指示生成処理と、
前記指示生成処理により生成された通信制限指示を前記中継装置に対して送信する送信処理とをコンピュータに実行させることを特徴とするプログラム。 A program that causes a computer to execute security management for the terminal device via a relay device that controls communication of the terminal device,
A receiving process for receiving device information of the terminal device from the terminal device via the relay device;
Based on the device information of the terminal device received by the reception processing, countermeasure determination processing for determining whether or not a security countermeasure action is required for the terminal device;
A communication restriction instruction for instructing the relay device to limit communication of the terminal device to communication related to the security countermeasure treatment when it is determined by the countermeasure determination processing that a security countermeasure treatment is required for the terminal device. Instruction generation processing to generate,
A program for causing a computer to execute a transmission process for transmitting a communication restriction instruction generated by the instruction generation process to the relay device.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004265077A JP4076986B2 (en) | 2004-09-13 | 2004-09-13 | Security management apparatus, security management method, and program |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2004265077A JP4076986B2 (en) | 2004-09-13 | 2004-09-13 | Security management apparatus, security management method, and program |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2006079498A true JP2006079498A (en) | 2006-03-23 |
| JP4076986B2 JP4076986B2 (en) | 2008-04-16 |
Family
ID=36158872
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2004265077A Expired - Fee Related JP4076986B2 (en) | 2004-09-13 | 2004-09-13 | Security management apparatus, security management method, and program |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4076986B2 (en) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012048556A (en) * | 2010-08-27 | 2012-03-08 | Toshiba It Service Kk | Remote security diagnosis system |
| JP2019036365A (en) * | 2018-12-06 | 2019-03-07 | 日本電気株式会社 | Information distribution device and communication control method thereof, information distribution system, and computer program |
-
2004
- 2004-09-13 JP JP2004265077A patent/JP4076986B2/en not_active Expired - Fee Related
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2012048556A (en) * | 2010-08-27 | 2012-03-08 | Toshiba It Service Kk | Remote security diagnosis system |
| JP2019036365A (en) * | 2018-12-06 | 2019-03-07 | 日本電気株式会社 | Information distribution device and communication control method thereof, information distribution system, and computer program |
Also Published As
| Publication number | Publication date |
|---|---|
| JP4076986B2 (en) | 2008-04-16 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US7278019B2 (en) | Method of hindering the propagation of a computer virus | |
| US8997253B2 (en) | Method and system for preventing browser-based abuse | |
| US7779470B2 (en) | Server denial of service shield | |
| US9292374B2 (en) | System and method for automatically uploading analysis data for customer support | |
| JP3900501B2 (en) | Network connection control program, network connection control method, and network connection control system | |
| CN103843002A (en) | Dynamic cleaning for malware using cloud technology | |
| KR100496056B1 (en) | Restoring service system and a method thereof for internet-based remote data and file | |
| JP5782193B2 (en) | Malware risk scanner | |
| KR100736540B1 (en) | Web defacement checker and checking method thereof | |
| JP4855194B2 (en) | Quarantine device, quarantine program and quarantine method | |
| CN110598431A (en) | Internet of things data processing method and device, server and storage medium | |
| JP4076986B2 (en) | Security management apparatus, security management method, and program | |
| JP5351448B2 (en) | Server client system and server switching method | |
| EP3349138B1 (en) | Communication destination determination device, communication destination determination method, and recording medium | |
| JP2008225595A (en) | Management apparatus, method and program | |
| JP4792352B2 (en) | Network connection control program, network connection control method, and network connection control system | |
| CN111935251B (en) | Block chain network management method, network, device, equipment and storage medium | |
| JP6911723B2 (en) | Network monitoring device, network monitoring method and network monitoring program | |
| JP2008077558A (en) | Quarantine network system | |
| JP4918669B2 (en) | Remote maintenance system and method and program | |
| JP7304039B2 (en) | Communications system | |
| JP2010286883A (en) | Management device, terminal, and terminal management method | |
| JP2023088716A (en) | Information processing device, information processing system, and program | |
| JP4193543B2 (en) | Client management method, client management program, and client management apparatus in DHCP environment | |
| US20220198012A1 (en) | Method and System for Security Management on a Mobile Storage Device |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20060724 |
|
| A871 | Explanation of circumstances concerning accelerated examination |
Free format text: JAPANESE INTERMEDIATE CODE: A871 Effective date: 20060828 |
|
| A975 | Report on accelerated examination |
Free format text: JAPANESE INTERMEDIATE CODE: A971005 Effective date: 20070118 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070123 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20070313 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20070925 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071113 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20071211 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20071228 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080129 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080130 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110208 Year of fee payment: 3 |
|
| LAPS | Cancellation because of no payment of annual fees |