JP2006134259A - ネットワーク制御方式、管理サーバ及びクライアント端末、並びに、それらの制御方法 - Google Patents

Abstract

【課題】 ネットワークを構成するクライアントPC等の要素に不適切な変化が生じた場合、その変化を検知して、ネットワークの構成変化による、システムの不安定や情報漏洩の防止等、ネットワークシステムの信頼度の低下を防ぐ。
【解決手段】 ネットワーク上のクライアントPC等の構成要素に変化が生じた場合、その変化によるネットワーク情報を、初期検知情報と比較し（S803,S804）、異常判定して、必要に応じてその構成要素によるネットワークに対する機能を禁止する（S809,S810）。
【選択図】 図８

Description

本発明はコンピュータネットワークのシステムに有効なネットワーク制御や管理技術に関するものである。

企業内で使用されているパーソナルコンピュータ等の汎用情報処理装置（以下、単にＰＣという）はＬＡＮに接続され、ネットワーク上のデバイスやファイルの共有したり、クライアント／サーバ型のデータベースを利用することが行われている。

例えば、ネットワーク上に存在するファイルサーバが保持しているデータファイルを多数のクライアントＰＣがアクセスすることが可能になってきている。

ネットワークシステムを構成する上で重要になる点は、システムの不安定とセキュリティ上の問題であろう。

例えば後者に関して、クライアントＰＣによる共有リソースへのアクセスを、サーバにより監視するシステムが提案されている。（例えば、特許文献１）
又前者に関して、ＰＣ上で動作可能なアプリケーションプログラムは、商用アプリケーション、フリーウェア、シェアウェア等のアプリケーションプログラムを含めると膨大な数になる。その中には、ＯＳの特定のバージョンでのみ正常稼働するもの、バグが存在してその動作が不安定なもの、或いは特定のアプリケーションの相性問題が発生するもの等が存在する。
特開２００４−３８２３２公報

上記提案技術によると、アクセス権を所有している人以外の第３者によるアクセスを排除できることになり、ある程度のセキュリティを確保することが可能である。

しかしながら、過去のデータ漏洩事件を鑑みると、上記の対処では不充分である。理由は、一旦パスワードを盗まれると無防備に近かくなるからである。換言すれば、これまでのセキュリティを保つ技術というのは、専ら、ネットワーク共有リソースへのアクセス権のみしか考慮されず、アクセスできてしまった後の処理については何等考慮されていなかった。したがって、クライアントＰＣから、それに接続されたリムーバブルストレージデバイスへの出力を制限する技術が必要になってくる。

又、ＰＣに業務上必須なアプリケーションプログラムがインストールされるのは当然であるものの、その一方で、業務と無関係なアプリケーションや、システムが不安定になる要因となるアプリケーションのインストールを阻止することは、現実問題としては難しい。

、特に設置されているＰＣの数が非常に多い企業においては、システム管理者と言えども、、業務と無関係なアプリケーションや、不安定要因のアプリケーションのインストールを阻止することは実質上不可能である。したがって、システムや或るＰＣが異常な状態になった場合に、その原因がハードウェア、ソフトウェアの両方の観点から突き詰める必要があり、管理者の負担は増すばかりである。

また、ネットワークには種々のＯＳで動作するクライアントＰＣが接続される場合があり、また、本来のＯＳは共通であっても、ＯＳを許可なく変更して使用される可能性もあるため、不安定要因となり信頼性が低くなる。）
本発明は、ネットワークシステムの不適正な状況をネットワーク情報の変化から発見することが可能な、信頼性の高いネットワークシステムの環境の提供を目的とする。

又ネットワークに接続されたコンピュータ等の情報処理装置を利用したデータ出力を制限させることを別の目的とし
又ネットワークに接続された情報処理装置に無差別にアプリケーションプログラムをインストールされるのを防ぐことを別の目的とする。

又システム管理者にかかる負担を小さくした、ネットワークシステムの管理に寄与することを別の目的とするものである。

又、ネットワークシステムの不適正が発見されたら速やかに対処することの可能な制御方法の提供を別の目的とするものである。

この課題を解決するため、例えば本発明は以下の構成を備える。すなわち、
ネットワーク制御方式において、
ネットワーク構成要素による情報を取得する第1取得手段、
再度、ネットワーク構成要素による情報を取得する第2取得手段、
前記第１及び第２の取得手段による取得情報からネットワーク構成の不適正を判別する判別手段と
を備える。

また、他の発明は、ネットワークに接続される少なくとも１つのクライアント端末を管理する管理サーバであって、
各クライアント端末に係わる情報を取得する取得手段と、
該取得手段で取得した情報をチェックするチェック手段と
該チェック手段でチェックした結果に問題のあったクライアント端末を、該端末のＢＩＯＳに作用する命令を送信することで制御する制御手段とを備える。

又、他の発明は、ネットワーク制御方法において、
ネットワーク構成要素による変化情報をネットワークに流れるデータから取得する情報取得工程と、
前記情報取得工程による取得情報からネットワーク構成の不適正を判別する判別工程と、
前記判別工程による不適正の判別を行った場合ネットワーク構成要素によるネットワークへのアクセスを制御する制御工程を備える。

本発明によれば、ネットワークに不適切な要素が追加された場合等、ネットワークに異常な変化が生じた時、そのことを検知できるようになる。

又、他の発明では、ネットワーク端末やシステムの不安定となる機能を阻止できるので端末やシステムの安定した動作が期待できるようになる。

また他の発明では、例えば、該当するクライアント端末の所定の機能を停止させることで、その機能を利用した情報の漏洩を抑制できるようになる。

又、他の発明によればネットワーク管理者にかかる負担の軽減ができるようになる。

また、他の発明によれば、ネットワークを構成する要素に問題が生じた場合、その要素に対し速やかに確実に遮断等の対処ができるようになる。

以下、添付図面にしたがって、本発明に係る実施形態を詳細に説明する。

＜システム構成の説明＞
図１に実施形態におけるネットワークシステム構成図を示す。図示において、１はイーサネット（登録商標）等のネットワークを示している。２はネットワーク管理サーバであって、内部の外部記憶装置（例えばハードディスク）にはネットワーク上の各クライアントＰＣを管理するためのプログラム、並びに、各クライアントＰＣの構成情報（詳細後述）を記憶するものである。４はネットワーク１上に作成されたドメインを管理するドメインサーバ（ドメインコントローラとも言う）であって、ドメインに参加可能な各ＰＣやユーザ名を管理するものである。５は外部のＷＡＮ（インターネットを含む）６を接続するためのルータである。７乃至９はクライアントＰＣ、１０はファイルサーバである。

なお、上記構成に加えて、ファイヤーウォールやネットワークプリンタ等のデバイスが接続しても構わないが、それらは本願発明にとっては直接には関係しないので省略した。ドメインサーバ（ドメインコントローラとも言う）４、ルータ５、ファイルサーバ１０については周知の構成であるので、その説明については省略し、以下ではネットワーク管理サーバ２、クライアントＰＣ７乃至９について説明する。

＜ネットワーク管理サーバ＞
図２は実施形態におけるネットワーク管理サーバのブロック構成図である。

図示において、２０１は装置全体の制御を司るＣＰＵであり、２０２はブートプログラム及びＢＩＯＳを記憶しているＲＯＭである。２０３はＣＰＵ２０１のワークエリアとして使用されるＲＡＭである。このＲＡＭ２０３には、ＯＳをはじめ、サーバプログラムがロードされることになる。２０４はハードディスクドライブ（ＨＤＤ）であり、図示に示すようにＯＳ２０４ａ、管理プログラム２０４ｂ、初期設定プログラム２０４ｃ、及び、クライアントＰＣ管理テーブル２０４ｄが格納される（詳細は後述）。なお、これ以外にも、各種データファイルが格納可能であるが、ここでは省略する。

２０５はキーボード、２０６はマウス（登録商標）等のポインティングデバイスである。２０７は表示制御部であって、ビデオメモリと、ＣＰＵ２０１の指示にしたがってビットマップイメージの書き込み等を行うと共に、ビデオメモリに描画されたイメージデータを読出し、所定のビデオ信号を生成するコントローラを内蔵する。２０８は表示制御部２０８からのビデオ信号を入力し、表示する表示装置（ＣＲＴやＬＣＤ等）である。２０９はネットワークインタフェースであり、ネットワーク１と接続し、通信するためのものである。

＜クライアントＰＣ＞
図４はクライアントＰＣ７のブロック構成図である。尚、他のクライアントＰＣ８、９も同様である。

図示において、４０１は装置全体の制御を司るＣＰＵであり、４０２はブートプログラム及びＢＩＯＳを記憶しているＲＯＭである。このＲＯＭ４０２は、これ以外に、本装置の稼働を停止する機能停止プログラム（実施形態では電源断プログラム）４０２ａが格納されている。この機能停止プログラムは、ＣＰＵ４０１により実行するためにマシン語であるが、ＯＳ非依存プログラムでもある。

４０３はＣＰＵ４０１のワークエリアとして使用されるＲＡＭである。このＲＡＭ４０３には、ＯＳをはじめ、実施形態における監視プログラムや、各種アプリケーションプログラムがロードされることになる。４０４はハードディスクドライブ（ＨＤＤ）であり、図示に示すようにＯＳ４０４ａ、各種アプリケーションプログラム４０４ｂ、及び監視プログラム４０４ｃ（詳細は後述）が格納されている。なお、これ以外にも、各種データファイルが格納可能であるが、ここでは省略する。

４０５はキーボード、４０６はポインティングデバイスである。４０７は表示制御部であって、４０８は表示制御部４０８からのビデオ信号を入力し、表示する表示装置（ＣＲＴやＬＣＤ等）である。４０９はネットワークインタフェース、４１０は外部デバイスを接続可能なインタフェースであり、実施形態ではＵＳＢインタフェースの例を説明する。

＜概要の説明＞
先ず、前提として、システム管理者は、新なクライアントＰＣを設置する際、必要なソフトウェアをインストールした上で、そのクライアントＰＣを利用者に与え、ネットワークへの接続を許可する。ここで、インストールするソフトウェアとしては、図４で示したように、業務上必須のアプリケーションプログラム４０４ｂ、並びに、管理プログラム４０４ｃである。この管理プログラム４０４ｃはＯＳが起動した際に、ＲＡＭ２０３に常駐するプログラムであり、ＯＳが起動直後に実行されるように設定しておく。図１におけるクライアントＰＣ７乃至９は、そのいずれもが上記の設定が施されたものである。

ネットワーク管理サーバ２には、先に説明したように、管理プログラム２０４ｂ、初期設定プログラム２０４ｃが既にインストールされているものである。

管理者は、ネットワーク１のセキュリティの初期設定を行うため、初期設定プログラム２０４ｃを実行する（この作業は１回行えば良い）。この実行の指示は、ネットワーク管理サーバ２のＯＳが起動した後、キーボード２０５やポインティングデバイス２０６等で指示することで行う。

初期設定プログラム２０４ｃは、先ず、ドメインサーバ４にアクセスし、ネットワーク１にログイン可能な各クライアントＰＣ７乃至９のクライアントＰＣ−ＩＤ（ネットワーク上のマシン名、もしくはユーザ名）を取得する。そして、取得したクライアントＰＣ−ＩＤに基づき、個々のクライアントＰＣに対して、構成情報取得要求を行し、その結果、受信した情報にしたがって、クライアントＰＣ管理テーブル２０４ｄを作成する。

図３は、作成されたクライアントＰＣ管理テーブル２０５ｄの一例である。図示に示すように、第１フィールドには、クライアントＰＣ−ＩＤ、第２、第３フィールドには、そのクライアントＰＣの外部ストレージ用インタフェース４１０に接続されているハードウェア情報、並びに、インストールされているアプリケーションにはどのようなものがあるのかを示すソフトウェア情報で構成される。

本実施形態におけるネットワーク管理サーバ２は、上記のようにして、作成されたクライアントＰＣ管理テーブル２０４ｄの情報でもって、各クライアントの初期の許容構成情報として扱う。

そして、これ以降、クライアントＰＣに、許容構成情報を超える変化が発生した場合、そのクライアントＰＣのそれ以上の稼働を不許可にすべく、該当するクライアントＰＣに対して停止命令を発行する。

以下、上記を実現するため、クライアントＰＣが起動した際に実行する監視プログラム４０４ｃ、機能停止プログラム４０２ａ、並びに、ネットワーク管理サーバ２における初期設定プログラム２０５ｄ、管理プログラム２０４ｂについて説明する。

＜監視プログラム（クライアントＰＣ）の説明＞
図５は、実施形態におけるクライアントＰＣ７（８、９も同様）で実行する監視プログラム４０４ｃの処理内容を示すフローチャートである。この監視プログラムは先に説明したように、クライアントＰＣ７の電源がＯＮになり、通常通りにＯＳが起動した際に、自動的に実行されるメモリ常駐プログラムである。なお、ＯＳを変更したり、他のＯＳを外部ドライブから読み込んで実行した場合などに、この監視プログラムが正常に起動しないことも考えられるので、電源ＯＮで実行されるＢＩＯＳの実行中もしくは実行直後に起動するようにしてもよい。

先ず、ステップＳ５００では起動直後であるか否かを判断する。否の場合には、ステップＳ５０１以降の処理を行う。起動直後に限っては、ステップＳ５０５の処理に進む。

ステップＳ５０１乃至Ｓ５０４では、ネットワーク管理サーバ２からの構成情報要求命令を受信したか否か、外部ストレージ用インタフェース４１０へのデバイスの脱着によるハードウェアの変更があるか否か、インストールされているソフトウェアに変更があるか否か、並びに、ネットワーク管理サーバ２より停止命令を受信したか否かを監視する。通常状態であれば、要求・命令受信がなく、且つ、ハードウェア・ソフトウェアに変更がないので、ステップＳ５０１乃至Ｓ５０４をループし続けることになる。

なお、昨今のＯＳは、イベントドリブンタイプであるので、ステップＳ５０１乃至Ｓ５０４に対応するイベントが発生した場合にはじめて実行するようにしても良いし、タイマ割込みにより、所定周期（例えば５秒程度）毎に図５の処理を実行するようにしても構わない。いずれの場合にも、ループ処理を継続する場合と比較して、クライアントＰＣのＣＰＵ０１に係る負担を軽減できる。

さて、ステップＳ５０１にて、ネットワーク管理サーバ２から構成情報要求があったと判断した場合には、ステップＳ５０５に進んで、現在のクライアントＰＣ自身にインストールされているアプリケーション（正確にはアプリケーションプログラムファイル名）を、レジストリ等を参照して探索すると共に、外部ストレージ用インタフェース４１０に接続されているデバイス（その中でもマスストレージクラスのデバイス）の探索する。そして、ステップＳ５０６にて、探索して得られたソフトウェア情報、ハードウェア情報（マスストレージデバイスのボリューム名も含む）を、それぞれが区別できるようなデータフォーマットにして、ネットワーク管理サーバ２に返送（送信）する。このようにしてサーバの初期設定時に送信される情報が、先に説明した「初期の許容構成情報」として登録されることになる。

また、ステップＳ５０２にて、外部ストレージ用インタフェース４１０へのデバイスの脱着があったことを検出した場合（デバイス脱着イベントが発生した場合と言うこともできる）、ステップＳ５０７に進んで、その際のデバイス構成（デバイスが存在すればデバイス名とそのボリューム名を含める）を所定のデータフォーマットにしてネットワーク管理サーバ２に通知（送信）する。

また、ステップＳ５０３にて、プリケーションの追加、削除があったと判断した場合には、ステップＳ５０８に進んで、その際のソフトウェア構成（追加された場合には、そのアプリケーションプログラムファイル名）を所定のデータフォーマットにしてネットワーク管理サーバ２に通知する。

そして、ステップＳ５０４にて、ネットワーク管理サーバ２により停止命令を受信した場合には、ステップＳ５０９に進み、その停止命令が緊急を要する命令か否か（実施形態では２種類の停止命令があるとしている）を判定する。

詳細は後述するが、緊急を要する停止命令はハードウェアの変化（追加）が許容されない場合に発行され、もう一方（以下、「通常停止命令」という）はソフトウェアの変化（追加）が許容されない場合に発行されるものである。

緊急を要する命令であると判断した場合には、ステップＳ５１０に進んで、ＲＯＭ４０２に格納されている機能停止プログラム４０２ａを実行させる。また、通常停止命令であると判断した場合には、ステップＳ５１１にて、例えば、『ネットワークケーブルを抜き、インストールしたアプリケーションをアンインストールしないと、稼働できません』というメッセージを表示し、ステップＳ５１２にてＯＳに対してシャットダウン処理の実行要求を行う。

＜機能停止プログラム（クライアントＰＣ）の説明＞
この機能停止プログラムは、通常ＢＩＯＳ−ＲＯＭと呼ばれるＲＯＭ７０２に格納されているものであり、ＯＳに非依存のプログラムである。図６にその処理手順を示す。

先ず、ステップＳ６０１において、全てのストレージ系のデバイス（内蔵のＨＤＤ４０４は勿論、外部ストレージ用インタフェース４１０に接続されているストレージ系デバイス）に対して、ＢＩＯＳを介して停止命令（もしくはリセット命令）を発行し、ストレージ上のファイルが破壊されることを防止する。次いで、ステップＳ６０２に進み、不図示の電源から伸びる所定の信号線に電源遮断信号を出力する。

＜初期設定プログラム（ネットワーク管理サーバ）の説明＞
この初期設定プログラムは、管理者が適当な時期（例えば、ネットワークシステムを構築した際等）にネットワーク管理サーバ２上で実行するものである。処理内容を図７に示す。

先ず、ステップＳ７０１にて、ドメインサーバ４にアクセスして、ドメインに登録されている全クライアントＰＣのクライアントＰＣ−ＩＤを取得する。次いで、ステップＳ７０２にて、各クライアントに対して、構成情報を要求する。

この結果、該当するクライアントＰＣは、図５の監視プログラム４０４ｃにおけるステップＳ５０５、Ｓ５０６の処理を行うことになる。したがって、ステップＳ７０３にて、各クライアントＰＣから構成情報を受信し、ステップＳ７０４にてクライアントＰＣ管理テーブルに、それぞれのクライアントＰＣ−ＩＤ、ハードウェア情報、ソフトウェア情報を、先に説明した「初期の許容構成情報」として登録する。

＜管理プログラム（ネットワーク管理サーバ）の説明＞
次に、実施形態におけるネットワーク管理サーバ２における管理プログラム２０４ｂの処理内容を図８のフローチャートに従って説明する。

先ず、ステップＳ８０１では、クライアントＰＣから構成の通知があったか否かを判断する。これは、クライアントＰＣの監視プログラム４０４ｃ（図５の）の起動直後のステップＳ５０６、或いは、ステップＳ５０７、Ｓ５０８の送信処理に対応するものである。

構成の通知があった場合、ステップＳ８０２に進んで、ＲＡＭ２０３に予め確保されたフラグＦを“０”で初期化する。そして、ステップＳ８０３にて、ソフトウェアの変更の通知であれば、クライアントＰＣ管理テーブル２０４ｄ内の通知元のクライアントＰＣの「ソフトウェア情報」に、受信した通知情報に含まれる追加アプリケーションプログラムファイル名が存在するか否かを判定する。また、サーバからの要求に応じた構成の通知であれば、クライアントＰＣ管理テーブル２０４ｄ内の通知元のクライアントＰＣの「ソフトウェア情報」に、受信した通知情報に含まれる全アプリケーションプログラムファイル名が存在するか否かを判定する。ステップＳ８０３の判定が否の場合、インストールしたアプリケーションは、業務に無関係、もしくは、該当するクライアントＰＣの動作が不安定になる要因に成り得るので、ステップＳ８０４にてフラグＦに“１”を代入する。

また、ソフトウェア情報に変更がないと判断した場合には、ステップＳ８０５に進み、ハードウェアの変更の通知であれば、クライアントＰＣ管理テーブル２０４ｄ内の通知元のクライアントＰＣの「ハードウェア情報」に、受信した通知情報に含まれる追加ハードウェア情報が存在するか否かを判定する。また、サーバからの要求に応じた構成の通知であれば、クライアントＰＣ管理テーブル２０４ｄ内の通知元のクライアントＰＣの「ハードウェア情報」に、受信した通知情報に含まれる全ハードウェア情報が存在するか否かを判定する。ステップＳ８０５の判定が否の場合、接続されたデバイスに、機密情報が書き込まれる可能性があるので、ステップＳ８０６にてフラグＦに“２”を代入する。なお、このステップもしくはステップＳ８０３に先立つ処理として、クライアントＰＣ―ＩＤもしくはネットワーク上のアドレスなどを登録済みのクライアントＰＣの情報と比較することで、クライアントＰＣそのものが新たに追加されたことを検出した場合も、フラグＦに“２”を代入するようにしてもよい。これについては後述する。

ステップＳ８０７では、フラグＦの内容を判定する。フラグＦが“０”である場合には、構成変化は許容範囲であるものとし、その許可通知を該当するクライアントＰＣに通知する（ステップＳ８０８）。また、フラグＦが“１”である場合には、通常停止命令を該当するクライアントＰＣに通知する（ステップＳ８０９）。そして、フラグＦが“２”である場合には、緊急停止命令を該当するクライアントＰＣに通知する（ステップＳ８１０）。

以上、実施形態のクライアントＰＣ７（８、９も同様）、並びに、ネットワーク管理サーバ２の処理内容について説明したが、上記の処理を行うことにより、次のような作用効果を奏することが可能となる。
１．クライアントＰＣが多数存在し、既にネットワークを構築している企業においては、個々のクライアントＰＣに、過去にインストールされたアプリケーションを調べることは実質的に不可能であるが、その時点での各クライアントＰＣは安定動作しているものとして見なして良いであろう。そこで、ネットワーク管理サーバ２を設置し、その初期設定プログラム２０４ｃを実行する直前までの各クライアントＰＣの構成を許容範囲として認定し、それ以降のソフトウェア並びにハードウェアの変更については、制限を加える。この結果、システム管理者にとっては、実質的に、初期設定プログラム２０４ｃを実行した以降についてメンテナンスすれば良いので、その負担を軽減させることが可能になる。
２．許容範囲を超えるアプリケーションをインストールした場合には、それをアンインストールしない限りは、クライアントＰＣを利用した業務が行えなくなるので、システムの安定を維持させることが可能となる。
３．許容されていない外部ストレージデバイス（例えば、フラッシュメモリデバイス）等を外部ストレージ用インタフェース４１０に接続された場合には、即座に電源断処理が実行されるので、機密情報が外部に漏洩することを防ぐことが可能になる。
４．また、クライアントＰＣに搭載可能なＯＳ毎に、監視プログラム（図５）を作成することが必要となるものの、機能停止プログラム４０２ａについては、それがＯＳ非依存であるが故に、プログラマにかかる負担を軽減させることが可能になる。

尚、本発明の例を、図3のサーバ構成にて説明したが、CPU201のハードと、OS204ａ，管理プログラム204ｂ，初期設定プログラム204ｃのソフトとを主とした構成のネットワーク制御方式からなるユニット構成でも、この発明を可能とすることができるので、このユニットシステムを用いることで、信頼度の高いネットワークシステムの構築が容易となる。

また、以上の実施形態では、特にクライアントの構成情報のチェックにつき説明したが、上記と同様にして、ドメインサーバ４やファイルサーバ１０における、ハードウェアやソフトウェアの構成情報のチェックも実現することができる。

又、以上は、サーバ,クライアントのプログラムにてハードウェア、ソフトウェアの両方の構成情報のチェックを説明してきたが、いずれか一方の、又は両方のチェックのためのプログラムとすることは、システムの用途に応じて可能である。

＜変形例の説明＞
上記実施形態では、ネットワーク管理サーバ２が作成するクライアントＰＣ管理テーブル２０４ｄを編集するプログラムをネットワーク管理サーバ２に搭載しても構わない。この編集プログラムは、キーボード２０５等を用いて管理者が構成情報の変更等の編集をして管理テーブル２０４ｄへ再登録するためのものである。ただし、この編集プログラムを管理者のみが起動できるようにするためには、適当な認証（パスワードの照合や、指紋照合等）を経る必要がある。

この編集を可能とすると、例えば、Ａ氏が使用しているクライアントＰＣはＵＳＢメモリカードが許可されていたが、Ａ氏の異動・退職、ユーザの変更などに合わせて、このＵＳＢメモリカードを管理テーブル２０４ｄのハードウェア構成情報から削除して不許可にすることもできる。逆に、Ｂ氏には、特別に或るアプリケーションをインストールすることを許可させるために、そのアプリケーションプログラムファイルを管理テーブル２０４ｄのソフトウェア構成情報へ登録する等が行えるようになる。更に、全クライアントＰＣに新規のアプリケーションを導入する場合に、このプログラムをＰＣやユーザによらない許可プログラムとして登録することで、インストールは各端末で実行することができる。

また、前述の監視プログラム４０４ｃを有しているクライアントＰＣが、リプレースやユーザ変更などの理由でネットワークへの接続が禁止されている状態で、このＰＣがネットワークに追加された場合にも、上記と同様にして、このＰＣを停止させることができる。一方、前述の監視プログラム４０４ｃを有してないクライアントＰＣがネットワークに追加される場合は、そのＰＣによりネットワーク上のデータベースへアクセスしてデータ収集が可能となる恐れがある。

これに対しては、管理サーバ２がネットワーク１上のＰＣ固有のアドレスデータ（ＭＡＣアドレスデータ等、以下固有アドレスデータという）をチェックすることにより、追加ＰＣからのアクセスを検出して禁止することができる。

即ち、図７の場合と同様、ネットワーク起動時、管理サーバ２はネットワーク１に流れるデータからアドレスデータを、接続されている各クライアントＰＣの固有アドレスデータとして検出し、図３の各クライアントＰＣ管理テーブル２０４ｄへ不図示のネットワーク構成情報として各クライアントＰＣに対応して登録しておく。

その後、追加のＰＣがネットワーク１に接続されて電源を入れ起動した際に、不図示のDHCPサーバとの間でネットワークへの参加設定のためのDHCPプロトコルのやりとりがあるので、PCのネットワークへの接続行為が分かる。管理サーバ２は、常にネットワークを監視しているので、接続時にネットワークに流れる固有アドレスデータを検出し、これを管理テーブル２０４ｄに登録されている固有アドレスデータと比較参照する。

比較の結果、登録されていないことが判明したら、このＰＣからのネットワーク１へのアクセスを禁止すべく、サーバ2がドメインサーバ４やファイルサーバ１０に対し、この追加ＰＣからの受付を禁止するよう働きかける。これは例えば、これらサーバ4,10におけるネットワークインターフェースのドライバプログラムに、この追加ＰＣからの受信を不許可とするためのステップを用意する等で可能となる。

なお、アドレスデータ以外の他の識別データを検出して、ネットワーク構成の異常を検知するように構成してもよい。

以上により、ネットワークに流れるデータの変化を直接判定して処置するので、ネットワーク環境の異常状態を速やかに検知して対処でき、信頼度の高いネットワークシステムを提供できる。

尚、この場合、管理者がサーバ２のキーボード等を用いて必要な固有アドレスデータを初期登録したり、変更したりすることも可能で、対応の自由度を高めることができる。

＜第２の実施形態＞
上記実施形態では、或るクライアントＰＣにおいて、初期の許容構成情報を超える構成の変更があった場合、そのクライアントＰＣのシャットダウンするものであったが、構成の変更があった場合にクライアントＰＣの使用そのものは禁止せず、ローカルな処理については許容するものの、ネットワークの使用を不許可にする例を第２の実施形態として説明する。

ネットワーク構成、ネットワーク管理サーバ、並びに、クライアントＰＣの構成は図１乃至図４と同じとする。

但し、本第２の実施形態においては、クライアントＰＣ７（８、９も同じ）のネットワークインタフェース４０９のドライバプログラムにある程度の機能を附加した。以下、第２の実施形態におけるネットワークインタフェース４０９のドライバプログラムの処理内容を図９のフローチャートに従って説明する。

先ず、ステップＳ９０１にて、ネットワーク不許可フラグ（ＲＡＭ４０３に確保される）がＯＮ状態であるか否かを判断する。このネットワーク不許可フラグは、それがＯＦＦの場合が通常のネットワークアクセスを許可するため、ステップＳ９０２に進み、通常のネットワークとの通信（送信、受信）処理を行う。

また、ネットワーク不許可フラグがＯＮになっている場合には、ステップＳ９０３、Ｓ９０４にて、上位処理から送信要求があるか、或いはネットワーク１から自身宛のデータを受信したかを判定する。

送信要求であると判断した場合には、ステップＳ９０５に進み、送信要求元のアプリケーションが監視プログラム４０４ｃであるか否かを判定する。この判定は、監視プログラムとの間で、予め決められた所定データが含まれるか否かで判定するものとする。監視プログラム４０４ｃからの要求であると判定した場合に限って、ステップＳ９０６に進み、ネットワーク管理サーバ宛の送信を行う。

また、ネットワークからの受信があった場合には、ステップＳ９０４からステップＳ９０７に進み、送信元がネットワーク管理サーバ２であるか否かを判定する。この判定は、受信したフレームに含まれるネットワークアドレスがネットワーク管理サーバ２のものであるか否かで判定すれば良い。そして、ネットワーク管理サーバ２からのデータ受信に限ってステップＳ９０８に進み、受信したデータを監視プログラム４０４ｃに通知する。

以上の結果、ネットワーク不許可フラグをＯＮにすると、ネットワーク管理サーバ２への送信（監視プログラム４０４ｃからの送信要求に対する送信）、ネットワーク管理サーバ２からの受信（監視プログラム４０４ｃの受信処理）のみが機能し、それ以外のアプリケーションからのネットワークへのアクセスは遮断されることになる。

なお、ステップＳ９０２の処理が、通常のネットワークドライバと見ることもできる。この場合、図９の処理は、レイヤ層で言えば、通常のネットワークドライバの上位に位置するプログラムであるとも言える。

さて、次に、本第２の実施形態におけるクライアントＰＣ上で実行される監視プログラム４０４ｃの処理内容を図１０のフローチャートに従って説明する。

なお、ステップＳ５００乃至Ｓ５０８は、図５と同じであるので、同符号を付し、その説明は省略する。

ステップＳ５０４にて、ネットワーク管理サーバ２より停止命令を受信すると、ステップＳ１００１にてネットワーク不許可フラグをＯＮに設定する。つまり、クライアントＰＣにて、許容範囲を超える新たなアプリケーションをインストールする、或いは、許容範囲を超えるデバイスを外部ストレージ用インタフェース４１０に接続すると、それ以降は、利用者はネットワークのアクセスが一切禁止されることを意味する。なお、この際、その理由を示すメッセージをクライアントＰＣに表示しても構わない。

また、ステップＳ１００２にて、ネットワーク管理サーバ２より許可通知を受けたか否かを判断し、許可通知を受けたと判断した（図８のステップＳ８０８が実行された場合に相当する）には、ステップＳ１００３にて、ネットワーク不許可フラグをＯＦＦにする。

先に説明したように、デバイス接続、或いは、インストールしたアプリケーションによってネットワーク使用が不許可になった場合、そのデバイスを非接続状態にしたり、アプリケーションをアンインストールすると、その処理の実行後の構成情報がネットワーク管理サーバ２に通知されることになり、構成情報が初期の許容構成情報に一致するので、結果的に、許可通知を受信することになる。この場合、ステップＳ１００３の処理が行われることになり、それ以降は一般アプリケーション等でも再びネットワークアクセスが可能になる。

以上、第１、第２の実施形態を説明したが、初期許容構成を超えるハードウェア、ソフトウェアの変更があると、電源断、或いは、ネットワークを利用できない状態、すなわち、機能停止状態になるので、情報漏洩を抑制できる。また、業務に無関係であったり、不安定要因になるアプリケーションをインストールしたままでは利用できなくなるので、必然、そのような未知のアプリケーションのインストールを行う行為が減少することになるので、クライアントＰＣの安定動作が期待できるようになる。

なお、実施形態では、機能停止する対象として電源、ネットワークを例にして説明したが、少なくともハードウェアについて述べると、外部デバイスへの書き込みを抑制すればいので、これらに限定されるものではない。

また、実施形態では、外部ストレージ用インタフェースとしてＵＳＢを例にしたが、ＵＳＢに限らず、他のインタフェースでも良いので、これによって本願発明が限定されるものでもない。

また、実施形態では、端末の構成に変化があった場合、その端末の機能を停止するとしたが、更に管理者などに通知したり、端末の使用状況として記録したりするようにしてもよい。また、例えば新規の端末や外部デバイスの接続は機能を停止させるが、アプリケーションのインストールは通知や記録に留め、あるいは端末のユーザにアンインストールを要求するなどのように、構成変化の内容に応じて処理を変えてもよい。

さらにまた、第１の実施形態でのＲＯＭ２に格納される機能停止プログラムを除き、実施形態の特徴とする点は、通常のパーソナルコンピュータ（クライアントＰＣ、ネットワーク管理サーバ）上で動作するアプリケーションで実現できるものであるから、当然、本願発明はかかるコンピュータプログラムをもその範疇とする。そして、通常、コンピュータプログラムは、ＣＤＲＯＭ等のコンピュータ可読記憶媒体をコンピュータにセットし、システムにコピーもしくはインストールすることで実行可能になるわけであるから、当然そのようなコンピュータ可読記憶媒体も本願発明の範疇である。

実施形態におけるネットワークシステム構成図である。 実施形態におけるネットワーク管理サーバのブロック構成図である。 ネットワーク管理サーバが記憶保持するクライアントＰＣ管理テーブルのデータ構造を示す図である。 実施形態におけるクライアントＰＣのブロック構成図である。 クライアントＰＣ上で実行される監視プログラムの処理手順を示すフローチャートである。 クライアントＰＣのＲＯＭに格納される機能停止プログラムの処理手順を示すフローチャートである。 ネットワーク管理サーバの初期設定プログラムの処理手順を示すフローチャートである。 ネットワーク管理サーバの管理プログラムの処理手順を示すフローチャートである。 第２の実施形態におけるネットワークインタフェースのドライバプログラムの処理手順を示すフローチャートである。 クライアントＰＣ上で実行される監視プログラムの処理手順を示すフローチャートである。

Claims (38)

1. ネットワーク構成要素による情報を取得する第１の取得手段と、
   再度、ネットワーク構成要素による情報を取得する第２の取得手段と、
   前記第１及び第２の取得手段による取得情報からネットワーク構成の不適正を判別する判別手段と
   を備えたことを特徴とするネットワーク制御方式。
2. 前記判別手段は、ネットワークの構成要素の変化によりネットワークに流れるデータの変化に基づき不適正の判別をすることを特徴とする請求項１に記載のネットワーク制御方式。
3. 前記判別手段は、ネットワークの構成要素をネットワークに追加することにより流れるアドレスデータの変化に基づき不適正の判別をすることを特徴とする請求項１に記載のネットワーク制御方式。
4. 前記判別手段は、コンピュータ端末をネットワークに追加することにより流れるアドレスデータの変化に基づき不適正の判別をし、不適正と判定された場合に前記端末によるネットワークへのアクセスを禁止する禁止手段を更に備えることを特徴とする請求項１に記載のネットワーク制御方式。
5. ネットワークに接続される少なくとも１つの端末を管理する管理サーバであって、
   ネットワークを構成する要素の情報を取得する第１の取得手段と、
   該第１の取得手段で取得した情報を初期許容構成情報として記憶保持する記憶保持手段と、
   前記第１の取得手段による取得後にネットワークを構成する要素の情報を再度取得する第２の取得手段と、
   該第２の取得手段で取得した情報中に、前記記憶保持手段で記憶保持された初期許容構成情報に含まれない構成があるか否かを判定する判定手段と
   を備えることを特徴とする管理サーバ。
6. 前記構成情報には、各端末の識別情報が含まれることを特徴とする請求項５に記載の管理サーバ。
7. 前記構成情報には、各クライアント端末に接続される外部デバイスに関するハードウェアの構成情報が含まれることを特徴とする請求項５に記載の管理サーバ。
8. 前記構成情報には、各クライアント端末にインストールされているソフトウェアの構成情報が含まれることを特徴とする請求項５に記載の管理サーバ。
9. 前記判定手段で構成の追加があったと判定した場合、該当するクライアント端末に対して所定の機能停止命令を送信する機能停止命令送信手段を備えることを特徴とする請求項５に記載の管理サーバ。
10. 前記機能停止命令送信手段で送信する命令は、クライアント端末の電源断命令、或いは、ネットワーク接続不許可命令であることを特徴とする請求項９に記載の管理サーバ。
11. 前記機能停止命令送信手段で送信する命令は、クライアント端末のＢＩＯＳに対する命令であることを特徴とする請求項９に記載の管理サーバ。
12. 前記判定手段で構成の追加があったと判定した場合、その旨を通知する通知手段を備えることを特徴とする請求項５に記載の管理サーバ。
13. 前記判定手段で構成の追加があったと判定した場合、その旨を記録する記録手段を備えることを特徴とする請求項５に記載の管理サーバ。
14. 前記判定手段で構成の追加があったと判定した場合、追加の内容に応じた所定の処理を実行する処理手段を備えることを特徴とする請求項５に記載の管理サーバ。
15. 前記第２の取得手段は、各クライアント端末の起動時に構成情報を取得することを特徴とする請求項５に記載の管理サーバ。
16. 前記第２の取得手段は、各クライアント端末への外部デバイスの接続時に構成情報を取得することを特徴とする請求項５に記載の管理サーバ。
17. 前記第２の取得手段は、所定時間経過ごとに各クライアント端末の構成情報を取得することを特徴とする請求項５に記載の管理サーバ。
18. ネットワーク構成要素による情報を取得する第１の取得工程と、
    再度、構成要素による情報を取得する第２の取得工程と、
    前記第１及び第２の取得工程による取得情報からネットワーク構成の不適正を判別する判別工程と
    を備えたことを特徴とするネットワーク制御方法。
19. ネットワークに接続される少なくとも１つの端末を管理する管理サーバの制御方法であって、
    ネットワークを構成する要素に関する情報を取得する第１の取得工程と、
    該第１の取得工程で取得した情報を初期許容構成情報として所定の記憶保持手段に登録する登録工程と、
    前記第１の取得工程による取得後にネットワーク構成要素の情報を再度取得する第２の取得工程と、
    該第２の取得工程で取得した情報と、前記記憶保持手段で記憶保持された初期許容構成情報とに基づいてネットワーク上の不適正な要素の有無を判定する判定工程と
    を備えることを特徴とする管理サーバの制御方法。
20. コンピュータが読み込み実行することで、ネットワーク制御を行うコンピュータプログラムであって、
    ネットワーク構成要素による情報を取得する第１の取得工程と、
    再度、ネットワーク構成要素による情報を取得する第２の取得工程と、
    前記第１及び第２の取得工程による取得情報からネットワーク構成の不適正を判別する判別工程と
    を備えたことを特徴とするコンピュータプログラム。
21. コンピュータが読み込み実行することで、ネットワーク上に接続される少なくとも１つのクライアント端末を管理する管理サーバとして機能するコンピュータプログラムであって、
    ネットワークを構成する要素に関する情報を取得する第１の取得手段と、
    該第１の取得手段で取得した情報を初期許容構成情報として所定の記憶保持手段に登録する登録手段と、
    前記第１の取得手段による取得後にネットワークを構成する要素に関する情報を再度取得する第２の取得手段と、
    該第２の取得手段で取得した構成情報と、前記記憶保持手段で記憶保持された初期許容構成情報とに基づきネットワーク上の不適正な要素の有無を判定する判定手段
    として機能するコンピュータプログラム。
22. 請求項２１に記載のコンピュータプログラムを格納することを特徴とするコンピュータ可読記憶媒体。
23. 請求項５に記載の管理サーバとネットワークを介して接続されるクライアント端末として機能する情報処理装置であって、
    クライアント端末の構成情報を前記管理サーバに送信する送信手段と、
    前記管理サーバからの機能停止命令を受信する受信手段と、
    該受信手段で機能停止命令を受信した場合、所定の機能を停止する制御手段と
    を備えることを特徴とする情報処理装置。
24. 前記制御手段は、情報処理装置自身の電源を遮断する電源制御手段を含むことを特徴とする請求項２３に記載の情報処理装置。
25. 前記電源制御手段は、クライアント端末が有するＢＩＯＳを格納するＲＯＭに格納した電源断プログラムを実行する手段を含むことを特徴とする請求項２４に記載の情報処理装置。
26. 前記制御手段は、クライアント端末における、一般アプリケーションプログラムによるネットワークアクセスを遮断するネットワーク制御手段を含むことを特徴とする請求項２３に記載の情報処理装置。
27. 請求項５に記載の管理サーバとネットワークを介して接続されるクライアント端末として機能する情報処理装置の制御方法であって、
    前記管理サーバからの要求に応じて、及び、構成に変化があった場合、クライアント端末の構成情報を前記管理サーバに送信する送信工程と、
    前記管理サーバからの機能停止命令を受信する受信工程と、
    該受信工程で機能停止命令を受信した場合、所定の機能を停止する制御工程と
    を備えることを特徴とする情報処理装置の制御方法。
28. 請求項５に記載の管理サーバとネットワークを介して接続されるクライアント端末用のコンピュータプログラムであって、
    前記管理サーバからの要求に応じて、及び、構成に変化があった場合、クライアント端末の構成情報を前記管理サーバに送信する送信手段と、
    前記管理サーバからの機能停止命令を受信する受信手段と、
    該受信手段で機能停止命令を受信した場合、所定の機能を停止する制御手段
    として機能するコンピュータプログラム。
29. 請求項２８に記載のコンピュータプログラムを格納したことを特徴とするコンピュータ可読記憶媒体。
30. ネットワークに接続される少なくとも１つのクライアント端末と、各クライアント端末を管理する管理サーバを含んで構成されるネットワーク管理システムであって、
    前記クライアント端末のそれぞれは、
    クライアント端末の構成情報を前記管理サーバに送信する送信手段を備え、
    前記管理サーバは、
    各クライアント端末の前記送信手段で送信される構成情報を受信する第１の受信手段と、
    該受信手段で受信したそれぞれの構成情報を、該当するクライアント端末を特定する情報に関連付け、初期許容構成情報として記憶保持する記憶保持手段と、
    前記第１の受信手段による受信後に各クライアント端末の構成情報を再度受信する第２の受信手段と、
    該第２の受信手段で受信した構成情報中に、前記記憶保持手段で記憶保持された該当クライアント端末の初期許容構成情報に含まれない構成の追加があるか否かを判定する判定手段とを備える
    ことを特徴とするネットワーク管理システム。
31. ネットワークに接続される少なくとも１つのクライアント端末を管理する管理サーバであって、
    クライアント端末に係わる情報を取得する取得手段と、
    該取得手段で取得した情報をチェックするチェック手段と、
    該チェック手段でチェックした結果に問題のあったクライアント端末を、該端末のＢＩＯＳに作用する命令を送信することで制御する制御手段と
    を備えることを特徴とする管理サーバ。
32. 前記命令は、クライアント端末の電源断命令、或いは、ネットワーク接続不許可命令であることを特徴とする請求項３１に記載の管理サーバ。
33. ネットワークに接続される少なくとも１つのクライアント端末を管理する管理サーバの制御方法であって、
    クライアント端末に係わる情報を取得する取得工程と、
    該取得工程で取得した情報をチェックするチェック工程と、
    該チェック工程でチェックした結果に問題のあったクライアント端末を、該端末のＢＩＯＳに作用する命令を送信することで制御する制御工程と
    を備えることを特徴とする管理サーバの制御方法。
34. コンピュータが読み込み実行することで、ネットワーク上に接続される少なくとも１つのクライアント端末を管理する管理サーバとして機能するコンピュータプログラムであって、
    クライアント端末に係わる情報を取得する取得手段と、
    該取得手段で取得した情報をチェックするチェック手段と、
    該チェック手段でチェックした結果に問題のあったクライアント端末を、該端末のＢＩＯＳに作用する命令を送信することで制御する制御手段
    として機能するコンピュータプログラム。
35. 請求項３４に記載のコンピュータプログラムを格納することを特徴とするコンピュータ可読記憶媒体。
36. ネットワークに接続される少なくとも１つのクライアント端末と、クライアント端末を管理する管理サーバを含んで構成されるネットワーク管理システムであって、
    前記クライアント端末は、
    クライアント端末に係わる情報を前記管理サーバに送信する送信手段と、
    命令を実行するＢＩＯＳを格納する格納手段とを備え、
    前記管理サーバは、
    各クライアント端末の前記送信手段により送信された情報を取得する取得手段と、
    該取得手段で取得した情報をチェックするチェック手段と
    該チェック手段でチェックした結果に問題のあったクライアント端末を、該端末の前記ＢＩＯＳに作用する命令を送信することで制御する制御手段とを備える
    ことを特徴とするネットワーク管理システム。
37. ネットワーク構成要素による変化情報をネットワークに流れるデータから取得する情報取得工程と、
    前記情報取得工程による取得情報からネットワーク構成の不適正を判別する判別工程と、
    前記判別工程による不適正の判別を行った場合、ネットワーク構成要素によるネットワークへのアクセスを制御する制御工程と
    を備えたことを特徴とするネットワーク制御方法。
38. 前記データは、ネットワークの構成要素をネットワークに追加することにより流れるアドレスデータであることを特徴とする請求項３７に記載のネットワーク制御方法。

Images