JP2006178762A - Ｐｃ検疫システム及びｐｃ検疫方法 - Google Patents

Abstract

【課題】従来、ウイルス対策が完全でないユーザ端末がイントラネットに接続されても、その端末からの通信を即時的に拒絶することができない等の課題があった。
【解決手段】ＩＥＥＥ８０２．１Ｘ認証が可能な端末からネットワークへのログオンを行う際に、ユーザ端末から送られるユーザＩＤ、パスワード、機器固有情報を認証情報セン
ター端末（ＲＡＤＩＵＳサーバ）が受信し、ウイルス対策状況管理センター端末へのウイルス対策チェック状況問い合わせを自動的に行い、ウイルス対策が完全に行われているときのみ、正規のイントラネットにログオンを許可する応答を送信する認証情報センター端末（ＲＡＤＩＵＳサーバ）を提供する。
【選択図】 図１

Description

本発明は、企業等のイントラネットに接続され使用されるパソコン等のユーザ端末におけるウィルス汚染対策技術に関し、特に、イントラネットに流れるパケットを監視してウィルス汚染の可能性を持つユーザ端末を検出すると、当該端末を当該端末の使用するＶＬＡＮから即刻切り離してイントラネットでの汚染の拡大を防ぐＰＣ検疫システム及びＰＣ検疫方法に関する。

従来のＩＥＥＥ８０２．１Ｘネットワーク認証では、ユーザＩＤとパスワードをチェックすることで、ユーザ端末によるネットワークへのアクセスを許可するか否かを判断している。
そのため、以下のような問題があった。
・ウイルス対策パッチ等の手当が完全でないユーザ端末がイントラネットに接続されても、その端末からの通信を拒絶することができない。
・ＩＥＥＥ８０２．１Ｘに規程されている以外の方法により、ユーザ端末より、ウイルス対策情報を受信することにより、ネットワークへのアクセス可否を判断する方式では、ユーザ端末側に特別なソフトウェアが必要になる。

コンピュータウイルスによる被害が多発しており、ネットワークの接続するユーザ端末のウイルス対策状況を一元管理するニーズが高まっている。

従来のウイルス対策を考慮したネットワークシステムの一例が、以下の特許文献に記載されている。
まず、特許文献１では、コンピュータウイルスの検査・治療ソフトウェアが対象となるコンピュータ間を移動して検査・治療を実行することにより検査・治療を自動化する方式について記載されている。

また、特許文献２では、ネットワーク接続された端末のうちの１台でコンピュータウィルスを検出すると他のコンピュータにそれを通知するとともに、ウイルス対策ソフトの起動を強制的に実行する方式について記載されている。

さらに、特許文献３では、ネットワークを通し遠隔から顧客システムへのコンピュータウィルスの侵入を実時間でチェックするコンピュータウイルス防疫システムについて記載されている。

さらに、特許文献４乃至５では、各端末へ流れるパケットをすべてゲートウェイや中継装置を通すことにより、このゲートウェイや中継装置にてウイルスチェックを行うことにより、端末へのウイルス拡散を防止するシステムについて記載されている。

特開２００３−２０８３２５公報 特開２００３−５９８９公報 特開２００２−２５９１４９公報 特開２００１−２５６０４５公報 特開平９−２６９９３０公報

上述した従来の特許文献におけるウイルス対策システムでは、端末のウィルス感染を確認するウイルス対策ソフトの使用を前提とするものであり、コンピュータウイルスの攻撃の対象となる、各端末のセキュリティホールをなくす等の対策について言及しているものは無く、既知のセキュリティホールをついた新種のコンピュータウイルスについては、全く対応ができないという第１の問題がある。
また、ルータ等のネットワーク構成機器と連携してネットワーク構成を変更し、ウィルス感染の虞を持つ端末をネットワークから動的に除外するような対処も考慮されていないため、コンピュータウイルスに感染の虞がある端末がネットワークに接続されている場合、この端末からの２次感染を防ぐことができないという第２の問題がある。

本発明の目的は、ネットワークに接続しようとするすべての端末のウイルス対策状況データを一元管理し、ソフトベンダから入手した最新のウィルス対策情報と照合してウィルス対策を必要とする端末を検出すると、当該端末に対するウィルス検疫処置を自動的に実施することによってセキュリティホールを無くし前述した第１の課題を解決を図る。

さらに、アクセスを許可した端末からのネットワークに流れるパケットを監視しウィルスに感染した可能性のある端末を検出すると即時にネットワークから切り離すことによって第２の課題の解決を図る技術をＰＣ検疫システム及びＰＣ検疫方法として提供することにある。

本発明の第１のＰＣ検疫システムは、利用者識別情報と自端末のウィルス対策状況情報を適時送信するユーザ端末と、前記ユーザ端末からのウィルス対策状況情報を受信してウィルス対策状況データベースに記憶するウィルス対策状況管理センター端末と、前記ユーザ端末利用者の利用者認証を行う認証情報センター端末と、前記ユーザ端末のネットワークでの接続先を制御するネットワーク構成機器と、最新のウィルス対策状況情報を記憶するベンダ端末と、前記ユーザ端末と前記ウィルス対策状況管理センター端末と前記認証情報センター端末と前記ネットワーク構成機器と前記ベンダ端末とを接続するネットワークとを備えたＰＣ検疫システムであって、 前記ウィルス対策状況管理センター端末は、前記認証情報センター端末から前記ユーザ端末のウィルス対策状況の可否の確認要求を受けると、前記ウィルス対策状況データベースに記憶する前記ユーザ端末のウィルス対策状況情報と前記ベンダ端末から取得した最新のウィルス対策状況情報とを照合して前記ユーザ端末の接続の許可／不許可を判断して応答し、 前記認証情報センター端末は、前記ユーザ端末から受信した利用者識別情報によって前記ユーザ端末利用者の認証に成功すると、前記ウィルス対策状況センター端末に前記ユーザ端末のウィルス対策状況の可否の確認要求を行い、接続を許可する応答を受信すると前記ユーザ端末に定義された前記ネットワークのＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）−ＩＤを前記ネットワーク構成機器に通知し、接続を許可しない応答を受信すると、ウィルス対策情報を前記ユーザ端末に適用しセキュリティホールを無くすための検疫用ＶＬＡＮ−ＩＤを前記ネットワーク構成機器に通知し、 前記ネットワーク構成機器は、前記認証情報センター端末からの通知に従い、前記ユーザ端末の指示されたＶＬＡＮへの接続を行うことを特徴とする。

本発明の第２のＰＣ検疫システムは、自端末のウィルス対策状況情報を適時送信するユーザ端末と、前記ユーザ端末からのウィルス対策状況情報を受信してウィルス対策状況データベースに記憶するウィルス対策状況管理センター端末と、前記ユーザ端末のＶＬＡＮを管理する認証情報センター端末と、前記ユーザ端末のネットワークでの接続先を制御するネットワーク構成機器と、前記ユーザ端末と前記ウィルス対策状況管理センター端末と前記認証情報センター端末と前記ネットワーク構成機器とを接続するネットワークとを備えたＰＣ検疫システムであって、 前記ウィルス対策状況管理センター端末は、運用中の前記ユーザ端末１０の送出するパケットを監視してウィルス汚染のチェックを行い、前記ユーザ端末のウィルス汚染を検知すると前記認証情報センター端末に前記ユーザ端末のＶＬＡＮからの切り離し又はウィルス対策を実施するための検疫用ＶＬＡＮへの切替を通知し、 前記認証情報センター端末は、前記ウィルス対策状況管理センター端末から前記ユーザ端末のＶＬＡＮからの切り離し又は検疫用ＶＬＡＮへの切替の指示を受信すると、前記ユーザ端末の使用するＶＬＡＮの切り離しまたはウィルス汚染対策を実行するための検疫用ＶＬＡＮへの切替をネットワーク構成機器に通知し、 前記ネットワーク構成機器は、前記認証情報センター端末からの通知に従い、前記ユーザ端末が使用するＶＬＡＮからの切り離しまたは検疫用ＶＬＡＮへの切替を実行することを特徴とする。

本発明の第３のＰＣ検疫システムは、利用者識別情報と自端末のウィルス対策状況情報を適時送信するユーザ端末と、前記ユーザ端末からのウィルス対策状況情報を受信してウィルス対策状況データベースに記憶するウィルス対策状況管理センター端末と、前記ユーザ端末利用者の利用者認証を行う認証情報センター端末と、前記ユーザ端末のネットワークでの接続先を制御するネットワーク構成機器と、最新のウィルス対策状況情報を記憶するベンダ端末と、前記ユーザ端末と前記ウィルス対策状況管理センター端末と前記認証情報センター端末と前記ネットワーク構成機器と前記ベンダ端末とを接続するネットワークとを備えたＰＣ検疫システムであって、 前記認証情報センター端末は、前記ユーザ端末から受信した利用者識別情報によって前記ユーザ端末利用者の認証に成功すると、前記ウィルス対策状況センター端末に前記ユーザ端末のウィルス対策状況の可否の確認要求を行い、運用を許可する応答を受信すると前記ユーザ端末に定義された前記ネットワークのＶＬＡＮ−ＩＤを前記ネットワーク構成機器に通知し、運用を許可しない応答を受信すると、ウィルス対策を前記ユーザ端末に適用してセキュリティホールを無くすための検疫用ＶＬＡＮ−ＩＤを前記ネットワーク構成機器に通知して前記ユーザ端末の該当するＶＬＡＮへの接続を指示し、 さらに、運用中の前記ユーザ端末のウィルス汚染を検出した前記ウィルス対策状況センター端末から前記ユーザ端末の前記ネットワークからの切り離し又は検疫用ＶＬＡＮへの切替の指示を受けるとこれを前記ネットワーク構成機器に通知し、
前記ウィルス対策状況管理センター端末は、前記認証情報センター端末から前記ユーザ端末のウィルス対策状況の可否の確認要求を受けると前記ウィルス対策状況データベースに記憶する前記ユーザ端末のウィルス対策状況情報と前記ベンダ端末から取得した最新のウィルス対策状況情報とを照合して前記ユーザ端末の運用の許可／不許可を判断して応答し、 運用を許可した前記ユーザ端末１０の送出するパケットを監視してウィルス汚染のチェックを行い、ウィルス汚染を検知すると前記認証情報センター端末に前記ユーザ端末のＶＬＡＮからの切り離し又は検疫用ＶＬＡＮへの接続を通知し、 前記ネットワーク構成機器は、前記認証情報センター端末からの通知に従い、前記ユーザ端末のＶＬＡＮからの切り離し又は検疫用ＶＬＡＮへの切替を行うことを特徴とする。

本発明の第４のＰＣ検疫システムは、前記第３のＰＣ検疫システムに於いて、前記ウィルス対策状況管理センター端末は、前記ウィルス対策状況データベースに記憶する前記ユーザ端末のウィルス対策状況情報と前記最新のウィルス対策状況情報との照合結果、又は運用中の前記ユーザ端末のウィルス汚染検出事象を得ると、それぞれの照合結果、検出事象をウィルス対策適用ポリシと照合して対処処置を決定しそれを前記認証情報センター端末に通知し、 前記認証情報センター端末は、前記ユーザ端末に対し、前記ユーザ端末が現在使用中のＶＬＡＮからの切り離し又は現在使用中のＶＬＡＮからウィルス対策を実施するための検疫用ＶＬＡＮへの切替を前記ネットワーク構成機器に指示することを特徴とする。

本発明の第５のＰＣ検疫システムは、前記第３のＰＣ検疫システムに於いて、前記ウィルス対策状況情報は、ウイルス対策ソフトのインストールの有無、ウイルス対策ソフトのパターンファイルのバージョン、セキュリティパッチの適用状況を含むことを特徴とする。

本発明の第６のＰＣ検疫システムは、前記第１乃至第３いずれか第１項のＰＣ検疫システムに於いて、前記ネットワーク機器は、前記ユーザ端末から利用者識別情報を受信すると、認証処理を行う前記認証情報センター端末に当該情報を送信することを特徴とする。

本発明の第７のＰＣ検疫システムは、前記第３または第６のＰＣ検疫システムに於いて、前記認証情報センター端末は、ＩＥＥＥ８０２．１Ｘに規定されたＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバであり、前記ユーザ端末と前記ネットワーク構成機器はＩＥＥＥ８０２．１Ｘの認証手段を備えることを特徴とする。

本発明の第８のＰＣ検疫システムは、前記第３のＰＣ検疫システムに於いて、前記ウィルス対策状況管理センター端末は、前記ユーザ端末からのＡＲＰ要求から前記ユーザ端末のＭＡＣアドレスを取得し、予め接続を許可するＭＡＣアドレス情報の一覧と比較しネットワークへの接続を許可したユーザ端末か否かを確認することを特徴とする。

本発明の第９のＰＣ検疫システムは、前記第１乃至第３いずれか第１項のＰＣ検疫システムに於いて、さらに、代理認証サーバ端末を備え、前記代理認証サーバ端末は前記ネットワーク構成機器から受信した利用者識別情報を前記認証情報センター端末に送信して前記ユーザ端末利用者の認証を要求し、前記認証情報センター端末から認証が成功し前記ユーザ端末の接続先のＶＬＡＮ−ＩＤを受信すると、前記ウィルス対策状況管理センター端末に前記ユーザ端末のウィルス対策状況の可否の確認要求を送信し、運用の許可する応答を得ると前記ネットワーク構成機器に前記ユーザ端末の接続先のＶＬＡＮ−ＩＤを通知することを特徴とする。

本発明の第１０のＰＣ検疫システムは、前記第１乃至第３いずれか第１項のＰＣ検疫システムに於いて、前記ユーザ端末のウィルス対策状況送信手段は、自端末のウィルス対策状況情報を適時前記ウィルス対策状況管理センター端末に送信することを特徴とする。

本発明の第１１のＰＣ検疫システムは、前記第１乃至第３いずれか第１項のＰＣ検疫システムに於いて、前記ユーザ端末の利用者が、前記ウィルス対策状況管理センター端末のＷｅｂページにアクセスすると、前記ウィルス対策状況管理センター端末のウィルス対策状況情報収集手段が、前記ユーザ端末のウィルス対策状況情報を収集することを特徴とする。

本発明の第１のＰＣ検疫方法は、ユーザ端末がユーザ端末利用者の利用者識別情報をネットワーク構成機器に送信するステップと、 前記ネットワーク構成機器が、受信した利用者認証情報をＲＡＤＩＵＳサーバである認証情報センター端末に送信するステップと、前記認証情報センター端末が、受信した利用者認証情報によって利用者認証を行い、認証が不成功の場合、前記ネットワーク構成機器に前記ユーザ端末のネットワークへの接続を許可しない旨を通知し、認証に成功するとウィルス対策状況管理センター端末に前記ユーザ端末のウィルス対策状況の可否の確認要求を送信するステップと、 前記ウィルス対策状況管理センター端末が、前記確認要求を受信すると前記ユーザ端末に関して記憶したウィルス対策状況とベンダ端末から入手した最新のウィルス対策状況情報と照合して前記ユーザ端末のネットワークへの接続の可否を判定し前記認証センター端末に応答するステップと、 前記認証情報センター端末が、前記ウィルス対策状況管理センター端末から前記ユーザ端末のネットワーク接続を許可する応答を受信すると前記ユーザ端末に定義されたＶＬＡＮのＶＬＡＮ−ＩＤを前記ネットワーク構成機器に通知し、前記ユーザ端末のネットワーク接続を不許可とする応答を受信すると、前記ネットワーク構成機器に前記ユーザ端末にセキュリティホールを無くす対策を含むウィルス対策を実施するための検疫用ＶＬＡＮ−ＩＤを通知するステップと、 前記ネットワーク機器は、前記認証情報センター端末からＶＬＡＮ−ＩＤを受信すると、前記ユーザ端末をＶＬＡＮ−ＩＤで指定されたＶＬＡＮに接続し、前記認証情報センター端末からネットワークへの接続を許可しない旨を受信すると前記ユーザ端末のネットワークへの接続を拒否するステップと、を含むことを特徴とする。

本発明の第２のＰＣ検疫方法は、ウィルス対策状況管理センター端末が、ユーザ端末１０の送出するパケットを監視し前記ユーザ端末のウィルス汚染のチェックを行い、ウィルス汚染の事象を検出すると当該事象をウィルス対策適用ポリシと照合して前記ユーザ端末に対する対処処置を決定するステップと、 ウィルス対策状況管理センター端末が、認証情報センター端末に前記ユーザ端末への対処処置としてＶＬＡＮからの切り離し、または前記ユーザ端末へのセキュリティホールを無くす対策を含むウィルス対策を実施するための検疫用ＶＬＡＮへの切替を通知するステップと、 前記認証情報センター端末が、前記ウィルス対策状況管理センター端末から前記ユーザ端末のＶＬＡＮからの切り離しまたは検疫用ＶＬＡＮへの切替の指示を受信すると、前記ユーザ端末の使用するＶＬＡＮの切り離し又はウィルス汚染対策を実行するための検疫用ＶＬＡＮへの切替をネットワーク構成機器に通知するステップと、 前記ネットワーク構成機器は、前記認証情報センター端末からの通知に従い、前記ユーザ端末が使用するＶＬＡＮからの切り離し又は検疫用ＶＬＡＮへの切替を実行するステップと、を含むことを特徴とする。

ＩＥＥＥ８０２．１Ｘ認証に対応したネットワーク機器で構成されているネットワークにおいて、ウィルス汚染の拡大を早期に防御できるという効果がある。

その理由は、ＩＤ・パスワードによる利用者認証の成功後に、利用者が使用している端末のウイルス対策状況を判定し、対策の不完全な端末からのネットワークアクセスを拒否するためである。さらに、運用中の端末のパケットを監視して不審な動作を行う端末をネットワークから動的に切り離すためである。

次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。

図１を参照すると、本発明は、
自端末を使用する利用者の利用者識別情報と自端末の機器固有情報と自端末のウィルス対策状況情報をセンター端末に送信するユーザ端末１０と、
ネットワークに接続されたすべてのユーザ端末１０の機器固有情報とそのユーザ端末１０のウイルス対策状況情報を収集し記憶する手段と、収集した情報を画面に表示する手段と、ウイルス対策のために必要な最新情報をソフトベンダ等から入手する手段と、入手した最新情報とユーザ端末１０から収集したウィルス対策状況等とを比較しウィルス対策の不完全なユーザ端末１０を検出する手段と、ユーザ端末１０のウイルス対策状況の問い合わせを受けるとその応答結果を返す手段と、を有するウイルス対策状況管理センター端末２０と、
利用者識別情報を記憶する手段と、ユーザ端末１０からの利用者識別情報と機器固有情報を受信する手段と、ユーザ端末１０から受信した利用者識別情報をデータベースに記憶した情報と照合する認証手段と、利用者情報の認証が成功すると、ユーザ端末１０のウィルス対策状況をウイルス対策状況管理センター端末２０に問い合わせる手段と、ネットワークの構成を制御する機器に認証結果とＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）振り分けの結果を返す手段と、を有する認証情報センター端末３０と、
ＶＬＡＮ振り分け手段を有するルータやスイッチ等からなるＩＥＥＥ８０２．１Ｘに対応した認証手段を持ったネットワーク構成機器４０と、
運用管理者の使用する運用管理端末５０と、
ウイルス対策状況管理センター端末２０にウイルス対策のために必要な最新情報を公開するソフトウェアベンダ等の使用するベンダ端末６０と、
ユーザ端末１０と、ウィルス対策状況管理センター端末２０と、認証情報センター端末３０と、ネットワーク構成機器４０と、運用管理端末５０と、ベンダ端末６０と、を接続するネットワーク１００と、から構成される。

尚、認証情報センター端末３０はＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバである。

尚、ユーザ端末１０と、ウィルス対策状況管理センター端末２０と、認証情報センター端末３０と、ネットワーク構成機器４０と、運用管理端末５０と、は企業内のイントラネットに接続されていると想定するが、特にそれに限定するものではない。

ユーザ端末１０は、パーソナルコンピュータ等の情報処理装置であり、プログラム制御により動作し、ネットワーク構成機器４０を介してイントラネット、インターネット等のネットワーク１００に接続されている。

また、ウイルス対策状況管理センター端末２０、認証情報センター端末３０、ネットワーク構成機器４０、運用管理端末５０、ベンダ端末６０は、それぞれプログラム制御により動作し、イントラネット、インターネット等のネットワーク１００を介して相互に接続されている。

ユーザ端末１０は、ＩＥＥＥ８０２．１Ｘに対応した認証を要求する手段を有する。ユーザ端末１０はネットワーク構成機器４０にアクセスし、ＩＥＥＥ８０２．１Ｘの認証を行うために、ユーザ端末１０の機器固有情報と利用者識別情報を送信する手段を備えている。機器固有情報としては、ユーザ端末１０のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス等のユーザ端末１０に付与された情報である。利用者識別情報としては、利用者番号、パスワード等の個人を識別するための情報である。

尚、ユーザ端末１０では、自端末に適用済みのウィルス対策パッチ等のウィルス対策状況情報をユーザ端末１０の立ち上げ時、又は定期的にウィルス対策状況管理センター端末２０に送信するウィルス対策情報送信手段を備えている。当該手段は、ユーザ端末１０を使用する利用者からは意識されない形で自動的に送信を行う。尚、ウィルス対策状況情報は、ユーザ端末１０の磁気ディスク装置上の決められたファイルに格納されている。

また、ユーザ端末１０の利用者が、ウィルス対策状況管理センター端末２０の用意するＷｅｂページにアクセスすると、ウイルス対策状況管理センター端末２０で動作するウィルス対策状況収集手段が、ユーザ端末１０上のウィルス対策状況情報をユーザ端末１０のブラウザを経由して読み出し収集することも可能である。

ウイルス対策状況管理センター端末２０は、ウイルス対策状況を管理するセンターに設置されているワークステーション・サーバ等の情報処理装置であり、ネットワーク１００に接続されたすべてのユーザ端末１０の機器固有情報と、すべてのユーザ端末１０のウイルス対策状況を把握するための情報を収集し、自端末に接続する磁気ディスク装置等のウィルス対策状況データベース２０２に記憶するとともに、その情報を図示しない表示装置の画面に表示する手段を備えている。

ウイルス対策状況管理センター端末２０は接続を許可するすべてのユーザ端末１０の機器固有情報であるＭＡＣアドレスを磁気ディスク装置にＭＡＣアドレスファイル２０１として予め記憶している。

また、ウイルス対策状況管理センター端末２０は、ウイルス対策のために必要なセキュリティ最新情報をユーザ端末１０が使用するソフトウェアの開発元であるソフトウェアベンダ等のベンダ端末６０から適時入手してセキュリティ最新情報データベース３０２として保持しており、この情報とすべてのユーザ端末１０から収集した情報と検疫時の検疫ポリシを記述した検疫ポリシファイル２０３とを比較することにより、ユーザ端末１０におけるウイルス対策の完全性の判定を行う手段を備えている。

さらに、ウイルス対策状況管理センター端末２０はウイルス対策が完全でないユーザ端末１０を検出した場合やユーザ端末１０の送信するパケットについて異常を検出した場合には、運用管理者の使用する運用管理端末５０に通報を行う手段を備えている。

さらに、ウイルス対策状況管理センター端末２０は、認証情報センター端末３０からのユーザ端末１０に対するウイルス対策状況に関する問い合わせを受け付け、ウィルス対策状況データベース２０２に記憶しているユーザ端末１０のウイルス対策状況情報を参照し、その結果を認証情報センター端末３０に応答する手段を備えている。ウィルス対策状況データベース２０２には、ユーザ端末１０の機器固有情報をキーとして各ユーザ端末のウィルス対策状況情報が記憶されている。

さらに、ウイルス対策状況管理センター端末２０は、ユーザ端末１０のセキュリティパッチの適用の不備や、ウィルス汚染の可能性等を検出した場合、検出した事象についての動作を予め規定した検疫ポリシファイル２０３に従い、当該ユーザ端末１０をネットワーク１００から遮断（切り離し）するか、当該ユーザ端末に対し検疫処理を実行する。

検疫ポリシファイル２０３には例えば、ソフトベンダＭ社のＸＸＸ番のパッチが適用されていない場合は、検疫を行う、パターンファイルのバージョンがＹＹＹ以上でない場合は、検疫を行う、繰り返し同じパケットを送出するユーザ端末１０を検出すると遮断する等が記載されている。

認証情報センター端末３０は、利用者識別情報を集中的に管理するセンターに設置されているワークステーション・サーバ等の情報処理装置である。認証情報センター端末３０は、ＩＥＥＥ８０２．１Ｘの認証を処理するためのＲＡＤＩＵＳサーバとしての機能を有する。利用者識別情報として、利用者番号、パスワード、カード番号等のカード情報、指紋情報等の個人を識別するための生体情報等を磁気ディスク装置上の認証情報データベース３０１に記憶する手段を備えている。認証情報データベース３０１は、利用者の利用者番号をキーとして当該利用者に関連する情報が記憶されている。

また、認証情報センター端末３０は、ユーザ端末１０から送信されてくる利用者識別情報と機器固有情報を受信する手段と、ウイルス対策状況管理センター端末２０に対して、ユーザ端末１０の機器固有情報を送信し、該当端末のウイルス対策状況についての問い合わせを行う手段を備えている。

さらに、利用者情報の照合が成功し、ウイルス対策状況のチェック結果も成功した場合に、その結果をネットワーク構成機器４０に送信する手段を備えている。

さらに、認証情報センター端末３０は、利用者識別情報や利用者が使用可能なＶＬＡＮのＶＬＡＮ−ＩＤを利用者毎に予め認証情報データベース３０１に記憶する。

ネットワーク構成機器４０は、ＩＥＥＥ８０２．１Ｘ認証手段とＶＬＡＮ振り分け手段を有するルータ等のネットワーク機器であり、ユーザ端末１０がアクセスを許可された形にネットワーク１００自身を構成する手段を持つ。

ネットワーク構成機器４０は、ネットワーク機器の保有する一つの物理インタフェースに対し、複数のネットワーク１００を構成する手段を備え、ユーザ端末１０の機器固有情報の登録により、ユーザ端末１０がアクセスできるネットワーク１００を切り替えることができる手段を備えている。

運用管理端末５０は、運用管理者の使用するパーソナルコンピュータ等の情報処理装置でウィルス対策状況管理センター端末２０から通報された情報を画面に表示し運用管理者に知らせる。

ベンダ端末６０は、インターネットに接続したソフトウェアを開発するソフトウェアベンダの所有するパーソナルコンピュータ等の情報処理装置である。ウイルス対策のために必要なパターンファイルやパッチファイル等のセキュリティ最新情報をウイルス対策状況管理センター端末２０に公開する。

次に、図２〜図６を参照して本実施例の動作について詳細に説明する。

図２のフローチャートを参照して、ウイルス対策状況管理センター端末２０の動きを説明する。

ウイルス対策状況管理センター端末２０は、ネットワーク１００への接続を許可するすべてのユーザ端末１０のＭＡＣアドレスを含む機器固有情報を、事前に自身に接続する磁気ディスク上のＭＡＣアドレスファイル２０１に登録する(ステップＡ１)。

ウイルス対策状況管理センター端末２０は、ネットワーク１００に接続されているユーザ端末１０をユーザ端末１０から送出されたＡＲＰパケットを捕捉しそのＡＲＰパケット内のＭＡＣアドレスによって検出する(ステップＡ２)。

ユーザ端末１０からのＡＲＰパケットは、ネットワーク構成機器４０によってウィルス対策状況管理センター端末２０の属するＶＬＡＮにも送出されるようになっている。

ウイルス対策状況管理センター端末２０は、このＡＲＰパケットに記載されたユーザ端末１０のＭＡＣアドレスと、事前にＭＡＣアドレスファイル２０１に登録してある接続を許可するユーザ端末１０のＭＡＣアドレス（機器固有情報）とを比較する (ステップＡ３)。比較の結果、ＭＡＣアドレスファイル２０１に登録が無く接続を許可していないユーザ端末１０が検出された場合には、接続を拒否するとともにその旨を運用管理端末５０に通報する（ステップＡ４）。

ネットワーク１００への接続を許可されたユーザ端末１０では、ＡＲＰパケットの応答を受信すると、ウィルス対策状況送信手段が、ユーザ端末１０自身のウイルス対策状況情報（ウイルス対策ソフトのインストールの有無、ウイルス対策ソフトのパターンファイルのバージョン、セキュリティパッチの適用状況等）をウィルス対策状況管理センター端末２０に自動的に送信する。

ウィルス対策状況管理センター端末２０ではこれを受信すると磁気ディスク上のウィルス対策状況データベース２０２にユーザ端末１０毎にユーザ端末１０のＭＡＣアドレスをキーとして記憶し、一元管理する（ステップＡ５）。
（ステップＡ２）から（ステップＡ５）までの処理がユーザ端末１０が立ち上がる毎に繰り返し行われる（ステップＡ６）。
また、ウイルス対策状況管理センター端末２０は、認証情報センター端末３０からの機器固有情報によって指定されたユーザ端末１０に関するウイルス対策状況の問い合わせ要求に対して、機器固有情報をもとに、そのユーザ端末１０のウイルス対策情報をウィルス対策状況データベース２０２から検索する。そして、当該ユーザ端末１０のウイルス対策状況を認証情報センター端末２０に返送する。

次に図３のフローチャートを参照して認証情報センター端末３０の動きを説明する。

認証情報センター端末３０は、このシステムを利用するすべての利用者の利用者情報を認証情報データベース３０１によって一元管理する(ステップＢ１)。

利用者情報としては、ユーザＩＤ、パスワード、カード情報、生体情報等やこの利用者がログインすることができるＶＬＡＮに割り振られている識別番号（ＶＬＡＮ−ＩＤ）を管理する。

次に図４のフローチャートを用いてネットワーク構成機器４０の動きを説明する。

ネットワーク構成機器４０は、ＩＥＥＥ８０２．１Ｘ認証手段と、ユーザ端末１０からのパケットを該当するＶＬＡＮに振り分けるＶＬＡＮ振り分け手段とを有するネットワーク機器である。ネットワーク構成機器４０は、ＶＬＡＮを複数定義する手段を有する。ネットワーク構成機器４０では、ウイルス対策用（検疫用）にアクセスが制限されたウィルス対策状況管理センター端末２０や認証情報センター端末３０が属しセキュリティホールを無くす等の対処を行う検疫用ＶＬＡＮと、認証された利用者がユーザ端末１０によって通常業務を実行するためにアクセス可能な１または複数の正式なＶＬＡＮを定義する（ステップＣ１）。

尚、ネットワーク構成機器４０はＶＬＡＮの割当の行われていないユーザ端末１０からのパケットは検疫用ＶＬＡＮに送信する。

ネットワーク構成機器４０は、各ＶＬＡＮについて、それらを識別するための識別番号（ＶＬＡＮ−ＩＤ）をユーザ端末１０ごとに割り振る(ステップＣ２)。

ネットワーク構成機器４０は、認証情報センター端末３０から認証チェック結果を受信すると、認証チェック結果に含まれるＶＬＡＮ−ＩＤに対応したＶＬＡＮにユーザ端末１０を割り当て、ネットワーク１００へのアクセスを許可する。

また、認証情報センター端末３０からの認証チェック結果がＮＧだった場合には、ユーザ端末１０のネットワーク１００へのアクセスを許可しない。
次に図５のフローチャートを参照してシステム全体の動きを説明する。

まず、利用者は、ユーザ端末１０の電源をＯＮにする操作を行うと前述したようにユーザ端末１０の通信ソフトによるＡＲＰパケット等の送信、ウィルス対策状況情報の送信が実行される。ここで許可されていないＭＡＣアドレスを持つユーザ端末１０はネットワーク１００への接続が拒否される。

次に、ユーザ端末１０より、ネットワーク構成機器４０にアクセスし、利用者識別情報と機器固有情報を送信する(ステップＤ１)。これに応答して、ネットワーク構成機器４０は、利用者識別情報と機器固有情報を認証情報センター端末３０に送信する (ステップＤ２)。

認証情報センター端末３０では、利用者識別情報として受信したユーザＩＤとパスワードを認証情報データベース３０１に登録されている情報と照合する（ステップＤ３）。
照合した結果がＮＧだった場合には、使用可能なＶＬＡＮ−ＩＤは無しとした認証結果をネットワーク構成機器４０に送信する（ステップＤ４）。

認証情報センター端末３０は、照合結果が一致しＯＫだった場合には、ユーザ端末１０の機器固有情報をもとにウイルス対策状況管理センター端末２０にウイルス対策状況チェック要求を送信する(ステップＤ５)。

ウイルス対策状況管理センター端末２０は、認証情報センター端末３０からのウイルス対策状況チェック要求を受信すると、受信した機器固有情報をキーにしてウィルス対策状況データベース２０２の内容を取得し、この内容をセキュリティ最新情報データベース３０２と比較することにより、機器固有情報に対応したユーザ端末１０のウイルス対策状況を判定する。

ウイルス対策状況管理センター端末２０が判定する内容は、ユーザ端末１０が使用するウィルス対策ソフトのパターンファイルのバージョンが古くパターンファイルに基づくウィルスチェックに未適用のものは無いか、適用すべきセキュリティパッチで未適用のものが無いか等であり、パターンファイルのバージョンが古い場合、未適用パッチがある場合等にはさらに検疫ポリシファイルのポリシと比較して最終判定が行われ、運用の可否をＯＫやＮＧの判定結果として認証情報センター端末３０に応答する(ステップＤ６)。

認証情報センター端末３０はウイルス対策状況管理センター端末２０からの判定結果を受信すると、ウイルスチェックの判定結果を基に（ステップＤ７）、ウイルスチェック結果がＯＫの場合は、認証情報データベース３０１から利用者情報に対応した運用を行うためのＶＬＡＮ−ＩＤを取り出しネットワーク構成機器４０への応答データのＶＬＡＮ−ＩＤフィールドにセットする（ステップＤ８）。

ウイルスチェック結果がＮＧの場合は、応答データのＶＬＡＮ−ＩＤフィールドに検疫用ＶＬＡＮのＶＬＡＮ−ＩＤをセット（ステップＤ９）し、ネットワーク構成機器４０に判定結果と共にＶＬＡＮ−ＩＤを送信する(ステップＤ１０)。

ネットワーク構成機器４０は、判定結果を受信すると、利用者認証がＯＫだった場合には、判定結果に含まれるＶＬＡＮ−ＩＤに対応するＶＬＡＮへのユーザ端末１０の通信を許可する設定を行う（ステップＤ１１）。（ステップＤ３）の利用者認証がＮＧだった場合には、どのＶＬＡＮへの通信も許可しない。

これにより、ＰＣ検疫用のＶＬＡＮや正規のＶＬＡＮへの切り替えを、ユーザ端末のネットワーク接続形態（有線であればネットワークケーブルの差し換え等）を変えることなくできる効果が得られる。

ネットワーク構成機器４０は照合結果をユーザ端末１０に送信する（ステップＤ１２）。ユーザ端末１０は、ネットワーク構成機器４０からの照合結果を受信すると、照合結果を画面等に表示することにより利用者に通知する（ステップＤ１３）。

次に図６のフローチャートを参照してウイルス対策状況管理センター端末２０がユーザ端末１０の正式ＶＬＡＮへのアクセスを制限するイベントを検出した場合の動きを説明する。

ウイルス対策状況管理センター端末２０は、ネットワーク１００に接続されているすべてのユーザ端末１０から送出されたパケットを監視することにより、ウイルスに感染したユーザ端末１０を検出する。この検出には、例えば怪しい振る舞いを行う端末を検出する機能を持った市販のウィルス監視ソフトをウィルス対策状況管理センター端末２０上で実行することによって行う。このウィルス監視ソフトは、ウイルス対策状況管理センター端末２０が受信するユーザ端末１０の送信したパッケットを監視する。ウィルス監視ソフトは、例えば大量の電子メールを発信したり、同じパケットを大量に発信するユーザ端末１０を検出すると、これをウイルス対策状況管理センター端末２０の制御手段に通知する。この通知を受けた制御手段は、検疫ポリシファイル２０３の定義に従い、発生した事象に対する遮断や検疫の処置を決定する。

尚、ネットワーク構成機器４０は、正式のＶＬＡＮに流れるユーザ端末１０からのパケットをウィルス対策状況管理センター端末２０の属する検疫用ＶＬＡＮにも送信する。

また、ウイルス対策状況管理センター端末２０は、ベンダ端末６０に適宜アクセスして適用すべき新たなセキュリティパッチやパターンファイルを入手すると、検疫ポリシファイル２０３を参照してユーザ端末１０が正式ＶＬＡＮにアクセスしていることが危険な状況か否かを判断することができる（ステップＥ１）。

ウイルス対策状況管理センター端末２０は、検疫ポリシファイル２０３に従いウイルス感染等からの通信の遮断や検疫が必要と判断する異常を検出した場合、認証情報センター端末３０に通報するパケットの処理種別に遮断や検疫をセットする（ステップＥ２）。

また、緊急に適用すべきセキュリティパッチが新たに公開された等の対策情報を入手した場合にも、検疫ポリシファイルに従い処理種別に遮断や検疫をセットする（ステップＥ３）。そして、異常通知のパケットを認証情報センター端末３０に送信する。このとき、遮断や検疫の対象となるユーザ端末１０の機器固有情報も併せて送信する（ステップＥ４）。ここで通知するユーザ端末１０は、１台とは限らず、複数台となることもある。

尚、ウイルス対策状況管理センター端末２０は、認証情報センター端末３０に送信したパケットを運用管理端末５０にも送信するので運用管理者はネットワーク１００の状況を適時知ることができる。

ウイルス対策状況管理センター端末２０は、遮断や検疫の対象となるユーザ端末１０について当該ユーザ端末が、遮断や検疫の状態であることと、当該ユーザ端末１０に対処が必要なパターンファイルやパッチファイルの番号をウィルス対策状況データベース２０２に記録する。

異常通知のパケットを受信した認証情報センター端末３０は、処理種別を読み取り、処理種別が遮断であった場合には、遮断や検疫の対象となる機器固有情報をもつユーザ端末１０との通信を遮断する要求をネットワーク構成機器４０に送信する（ステップＥ５）。

認証情報センター端末３０は、処理種別が検疫であった場合には、異常通知により通知されたユーザ端末１０がアクセスできるＶＬＡＮを、検疫用ＶＬＡＮに切り替える要求をネットワーク構成機器４０に送信する（ステップＥ６）。

ネットワーク構成機器４０は、この要求を受信すると、指定されたユーザ端末１０の使用するＶＬＡＮの遮断や検疫用ＶＬＡＮへの切替を実行する。

これにより、異常を検出されたユーザ端末１０は、通信ができない状態に陥るか、検疫用のＶＬＡＮのみにアクセスできる状態になる。

尚、ユーザ端末１０上には、自端末の状態が通常の運用状態から検疫状態に変化したかを確認する検疫モード確認プログラムが動作しており、このプログラムは一定間隔でウイルス対策状況管理センター端末２０に自端末の状態を問い合わせて確認する。もし、検疫のモードに入った場合は、検疫モード確認プログラムがその旨をユーザ端末１０の表示画面に表示する。これによりユーザは、再度認証処理を実行することでウイルス対策状況管理センター端末２０と接続が可能となる。ウイルス対策状況管理センター端末２０は、必要なパターンファイルやデータファイルをユーザ端末１０にダウンロードし、セキュリティホールを修復する。

ウイルス対策状況管理センター端末２０はユーザ端末１０に必要な対応が完了したことを確認すると、ウィルス対策状況データベース２０２に記録した当該ユーザ端末１０の検疫状態であることを取り消す。ユーザ端末１０は再度認証処理を実行することで、本来の業務処理の再開が可能となる。

次に、本発明の第２の実施例について図面を参照して詳細に説明する。

本実施例においては、ネットワーク構成機器４０と認証情報センター端末３０の間に、代理認証サーバ端末７０を設置する点で前述した実施例と異なる。

次に、図７のフローチャートを参照して第２の実施例の動作について詳細に説明する。
本実施例の構成では、認証情報センター端末３０として、ＩＥＥＥ８０２．１Ｘの認証手段を持つ標準的なＲＡＤＩＵＳサーバを使用し、ＰＣ検疫システムに関連する処理は、その前段に設置される代理認証センター端末で処理を行うという構成としている。

まず、利用者は、ユーザ端末１０より、ネットワーク構成機器４０にアクセスし、利用者識別情報と機器固有情報を送信する(ステップＦ１)。
これに応答して、ネットワーク構成機器４０は、利用者識別情報と機器固有情報を代理認証センター端末７０に送信する (ステップＦ２)。
代理認証センター端末７０は、利用者識別情報と機器固有情報を認証情報センター端末３０に送信する (ステップＦ３)。
認証情報センター端末３０では、利用者識別情報として受信したユーザＩＤとパスワードを事前に前述した（ステップＢ１）で登録されている情報と照合し、その認証結果を代理認証センター端末７０に送信する（ステップＦ４）。
代理認証センター端末７０では、認証情報センター端末３０から送られた認証結果を参照し、認証結果がＮＧだった場合には、認証結果をネットワーク構成機器４０に送信する（ステップＦ５）。

認証結果がＯＫだった場合には、ユーザ端末１０の機器固有情報をもとにウイルス対策状況管理センター端末２０にウイルス対策チェック要求を送信する(ステップＦ６)。

ウイルス対策状況管理センター端末２０は、代理認証センター端末７０からのウイルス対策チェック要求を受信すると、受信した機器固有情報をキーに（ステップＡ５）で収集したウィルス対策状況データベース２０２の情報と比較することにより、機器固有情報に対応したユーザ端末１０のウイルス対策状況を判定する。そして、判定結果を代理認証センター端末５０に送信する(ステップＦ７)。
代理認証センター端末５０はウイルス対策状況管理センター端末２０からの判定結果を受信すると、ウイルスチェック結果を判定し、ウイルス対策チェック結果がＮＧの場合は、ＶＬＡＮ−ＩＤに検疫用ＶＬＡＮのＶＬＡＮ−ＩＤをセット（ステップＦ８）し、ウイルス対策チェック結果がＯＫの場合は、ＶＬＡＮ−ＩＤに利用者情報に対応したＶＬＡＮ−ＩＤをセット（ステップＦ９）し、ネットワーク構成機器４０に判定結果と共にＶＬＡＮ−ＩＤを送信する(ステップＦ１０)。

ネットワーク構成機器４０は、判定結果を受信すると、利用者認証がＯＫだった場合には、判定結果に含まれるＶＬＡＮ−ＩＤに対応するＶＬＡＮへのユーザ端末１０の通信を許可する設定を行う（ステップＦ１１）。ステップＤ３の利用者認証がＮＧだった場合には、どのＶＬＡＮへの通信も許可しない。
ネットワーク構成機器４０は照合結果をユーザ端末１０に送信する（ステップＦ１２）。
ユーザ端末１０は、ネットワーク構成機器４０からの照合結果を受信すると、照合結果を画面等に表示することにより利用者に通知する（ステップＦ１３）。

以上によって、既にＩＥＥＥ８０２．１Ｘに対応したネットワーク環境を構築している環境にも簡単に適用することができ、既存のネットワーク機器がそのまま利用できるという効果が得られる。

本発明の提供する技術は、企業等の使用するイントラネットに接続されるパソコン等の端末のウィルス汚染の早期検出とそのリアルタイムな検疫に適用可能である。

本発明の第１の実施例の構成を説明するブロック図である。 本発明の第１の実施例の動作を説明するフローチャートである。 本発明の第１の実施例の動作を説明するフローチャートである。 本発明の第１の実施例の動作を説明するフローチャートである。 本発明の第１の実施例の動作を説明するフローチャートである。 本発明の第１の実施例の動作を説明するフローチャートである。 本発明の第２の実施例の構成を説明するブロック図である。 本発明の第２の実施例の動作を説明するフローチャートである。

符号の説明

１０ ユーザ端末
２０ ウイルス対策状況管理センター端末
２０１ ＭＡＣアドレスファイル
２０２ ウィルス対策状況データベース
２０３ 検疫ポリシファイル
３０ 認証情報センター端末
３０１ 認証情報データベース
３０２ セキュリティ最新情報データベース
４０ ネットワーク構成機器
５０ 運用管理端末
６０ ベンダ端末
７０ 代理認証サーバ端末
１００ ネットワーク

Claims (13)

1. 利用者識別情報と自端末のウィルス対策状況情報を適時送信するユーザ端末と、前記ユーザ端末からのウィルス対策状況情報を受信してウィルス対策状況データベースに記憶するウィルス対策状況管理センター端末と、前記ユーザ端末利用者の利用者認証を行う認証情報センター端末と、前記ユーザ端末のネットワークでの接続先を制御するネットワーク構成機器と、最新のウィルス対策状況情報を記憶するベンダ端末と、前記ユーザ端末と前記ウィルス対策状況管理センター端末と前記認証情報センター端末と前記ネットワーク構成機器と前記ベンダ端末とを接続するネットワークとを備えたＰＣ検疫システムであって、
   前記ウィルス対策状況管理センター端末は、前記認証情報センター端末から前記ユーザ端末のウィルス対策状況の可否の確認要求を受けると、前記ウィルス対策状況データベースに記憶する前記ユーザ端末のウィルス対策状況情報と前記ベンダ端末から取得した最新のウィルス対策状況情報とを照合して前記ユーザ端末の接続の許可／不許可を判断して応答し、
   前記認証情報センター端末は、前記ユーザ端末から受信した利用者識別情報によって前記ユーザ端末利用者の認証に成功すると、前記ウィルス対策状況センター端末に前記ユーザ端末のウィルス対策状況の可否の確認要求を行い、接続を許可する応答を受信すると前記ユーザ端末に定義された前記ネットワークのＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）−ＩＤを前記ネットワーク構成機器に通知し、接続を許可しない応答を受信すると、ウィルス対策情報を前記ユーザ端末に適用しセキュリティホールを無くすための検疫用ＶＬＡＮ−ＩＤを前記ネットワーク構成機器に通知し、
   前記ネットワーク構成機器は、前記認証情報センター端末からの通知に従い、前記ユーザ端末の指示されたＶＬＡＮへの接続を行うことを特徴とするＰＣ検疫システム。
2. 自端末のウィルス対策状況情報を適時送信するユーザ端末と、前記ユーザ端末からのウィルス対策状況情報を受信してウィルス対策状況データベースに記憶するウィルス対策状況管理センター端末と、前記ユーザ端末のＶＬＡＮを管理する認証情報センター端末と、前記ユーザ端末のネットワークでの接続先を制御するネットワーク構成機器と、前記ユーザ端末と前記ウィルス対策状況管理センター端末と前記認証情報センター端末と前記ネットワーク構成機器とを接続するネットワークとを備えたＰＣ検疫システムであって、
   前記ウィルス対策状況管理センター端末は、運用中の前記ユーザ端末１０の送出するパケットを監視してウィルス汚染のチェックを行い、前記ユーザ端末のウィルス汚染を検知すると前記認証情報センター端末に前記ユーザ端末のＶＬＡＮからの切り離し又はウィルス対策を実施するための検疫用ＶＬＡＮへの切替を通知し、
   前記認証情報センター端末は、前記ウィルス対策状況管理センター端末から前記ユーザ端末のＶＬＡＮからの切り離し又は検疫用ＶＬＡＮへの切替の指示を受信すると、前記ユーザ端末の使用するＶＬＡＮの切り離しまたはウィルス汚染対策を実行するための検疫用ＶＬＡＮへの切替をネットワーク構成機器に通知し、
   前記ネットワーク構成機器は、前記認証情報センター端末からの通知に従い、前記ユーザ端末が使用するＶＬＡＮからの切り離しまたは検疫用ＶＬＡＮへの切替を実行することを特徴とするＰＣ検疫システム。
3. 利用者識別情報と自端末のウィルス対策状況情報を適時送信するユーザ端末と、前記ユーザ端末からのウィルス対策状況情報を受信してウィルス対策状況データベースに記憶するウィルス対策状況管理センター端末と、前記ユーザ端末利用者の利用者認証を行う認証情報センター端末と、前記ユーザ端末のネットワークでの接続先を制御するネットワーク構成機器と、最新のウィルス対策状況情報を記憶するベンダ端末と、前記ユーザ端末と前記ウィルス対策状況管理センター端末と前記認証情報センター端末と前記ネットワーク構成機器と前記ベンダ端末とを接続するネットワークとを備えたＰＣ検疫システムであって、
   前記認証情報センター端末は、前記ユーザ端末から受信した利用者識別情報によって前記ユーザ端末利用者の認証に成功すると、前記ウィルス対策状況センター端末に前記ユーザ端末のウィルス対策状況の可否の確認要求を行い、運用を許可する応答を受信すると前記ユーザ端末に定義された前記ネットワークのＶＬＡＮ−ＩＤを前記ネットワーク構成機器に通知し、運用を許可しない応答を受信すると、ウィルス対策を前記ユーザ端末に適用してセキュリティホールを無くすための検疫用ＶＬＡＮ−ＩＤを前記ネットワーク構成機器に通知して前記ユーザ端末の該当するＶＬＡＮへの接続を指示し、
   さらに、運用中の前記ユーザ端末のウィルス汚染を検出した前記ウィルス対策状況センター端末から前記ユーザ端末の前記ネットワークからの切り離し又は検疫用ＶＬＡＮへの切替の指示を受けるとこれを前記ネットワーク構成機器に通知し、
   前記ウィルス対策状況管理センター端末は、前記認証情報センター端末から前記ユーザ端末のウィルス対策状況の可否の確認要求を受けると前記ウィルス対策状況データベースに記憶する前記ユーザ端末のウィルス対策状況情報と前記ベンダ端末から取得した最新のウィルス対策状況情報とを照合して前記ユーザ端末の運用の許可／不許可を判断して応答し、
   運用を許可した前記ユーザ端末１０の送出するパケットを監視してウィルス汚染のチェックを行い、ウィルス汚染を検知すると前記認証情報センター端末に前記ユーザ端末のＶＬＡＮからの切り離し又は検疫用ＶＬＡＮへの接続を通知し、
   前記ネットワーク構成機器は、前記認証情報センター端末からの通知に従い、前記ユーザ端末のＶＬＡＮからの切り離し又は検疫用ＶＬＡＮへの切替を行うことを特徴とするＰＣ検疫システム。
4. 前記ウィルス対策状況管理センター端末は、前記ウィルス対策状況データベースに記憶する前記ユーザ端末のウィルス対策状況情報と前記最新のウィルス対策状況情報との照合結果、又は運用中の前記ユーザ端末のウィルス汚染検出事象を得ると、それぞれの照合結果、検出事象をウィルス対策適用ポリシと照合して対処処置を決定しそれを前記認証情報センター端末に通知し、
   前記認証情報センター端末は、前記ユーザ端末に対し、前記ユーザ端末が現在使用中のＶＬＡＮからの切り離し又は現在使用中のＶＬＡＮからウィルス対策を実施するための検疫用ＶＬＡＮへの切替を前記ネットワーク構成機器に指示することを特徴とする請求項３記載のＰＣ検疫システム。
5. 前記ウィルス対策状況情報は、ウイルス対策ソフトのインストールの有無、ウイルス対策ソフトのパターンファイルのバージョン、セキュリティパッチの適用状況を含むことを特徴とする請求項３記載のＰＣ検疫システム。
6. 前記ネットワーク機器は、前記ユーザ端末から利用者識別情報を受信すると、認証処理を行う前記認証情報センター端末に当該情報を送信することを特徴とする請求項１乃至３いずれか１項記載のＰＣ検疫システム。
7. 前記認証情報センター端末は、ＩＥＥＥ８０２．１Ｘに規定されたＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ−Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）サーバであり、前記ユーザ端末と前記ネットワーク構成機器はＩＥＥＥ８０２．１Ｘの認証手段を備えることを特徴とする請求項３または６記載のＰＣ検疫システム。
8. 前記ウィルス対策状況管理センター端末は、前記ユーザ端末からのＡＲＰ要求から前記ユーザ端末のＭＡＣアドレスを取得し、予め接続を許可するＭＡＣアドレス情報の一覧と比較しネットワークへの接続を許可したユーザ端末か否かを確認することを特徴とする請求項３記載のＰＣ検疫システム。
9. さらに、代理認証サーバ端末を備え、前記代理認証サーバ端末は前記ネットワーク構成機器から受信した利用者識別情報を前記認証情報センター端末に送信して前記ユーザ端末利用者の認証を要求し、前記認証情報センター端末から認証が成功し前記ユーザ端末の接続先のＶＬＡＮ−ＩＤを受信すると、前記ウィルス対策状況管理センター端末に前記ユーザ端末のウィルス対策状況の可否の確認要求を送信し、運用の許可する応答を得ると前記ネットワーク構成機器に前記ユーザ端末の接続先のＶＬＡＮ−ＩＤを通知することを特徴とする請求項１乃至３いずれか１項記載のＰＣ検疫システム。
10. 前記ユーザ端末のウィルス対策状況送信手段は、自端末のウィルス対策状況情報を適時前記ウィルス対策状況管理センター端末に送信することを特徴とする請求項１乃至３いずれか１項記載のＰＣ検疫システム。
11. 前記ユーザ端末の利用者が、前記ウィルス対策状況管理センター端末のＷｅｂページにアクセスすると、前記ウィルス対策状況管理センター端末のウィルス対策状況情報収集手段が、前記ユーザ端末のウィルス対策状況情報を収集することを特徴とする請求項１乃至３いずれか１項記載のＰＣ検疫システム。
12. ユーザ端末がユーザ端末利用者の利用者識別情報をネットワーク構成機器に送信するステップと、
    前記ネットワーク構成機器が、受信した利用者認証情報をＲＡＤＩＵＳサーバである認証情報センター端末に送信するステップと、
    前記認証情報センター端末が、受信した利用者認証情報によって利用者認証を行い、認証が不成功の場合、前記ネットワーク構成機器に前記ユーザ端末のネットワークへの接続を許可しない旨を通知し、認証に成功するとウィルス対策状況管理センター端末に前記ユーザ端末のウィルス対策状況の可否の確認要求を送信するステップと、
    前記ウィルス対策状況管理センター端末が、前記確認要求を受信すると前記ユーザ端末に関して記憶したウィルス対策状況とベンダ端末から入手した最新のウィルス対策状況情報と照合して前記ユーザ端末のネットワークへの接続の可否を判定し前記認証センター端末に応答するステップと、
    前記認証情報センター端末が、前記ウィルス対策状況管理センター端末から前記ユーザ端末のネットワーク接続を許可する応答を受信すると前記ユーザ端末に定義されたＶＬＡＮのＶＬＡＮ−ＩＤを前記ネットワーク構成機器に通知し、前記ユーザ端末のネットワーク接続を不許可とする応答を受信すると、前記ネットワーク構成機器に前記ユーザ端末にセキュリティホールを無くす対策を含むウィルス対策を実施するための検疫用ＶＬＡＮ−ＩＤを通知するステップと、
    前記ネットワーク機器は、前記認証情報センター端末からＶＬＡＮ−ＩＤを受信すると、前記ユーザ端末をＶＬＡＮ−ＩＤで指定されたＶＬＡＮに接続し、前記認証情報センター端末からネットワークへの接続を許可しない旨を受信すると前記ユーザ端末のネットワークへの接続を拒否するステップと、を含むことを特徴とするＰＣ検疫方法。
13. ウィルス対策状況管理センター端末が、ユーザ端末１０の送出するパケットを監視し前記ユーザ端末のウィルス汚染のチェックを行い、ウィルス汚染の事象を検出すると当該事象をウィルス対策適用ポリシと照合して前記ユーザ端末に対する対処処置を決定するステップと、
    ウィルス対策状況管理センター端末が、認証情報センター端末に前記ユーザ端末への対処処置としてＶＬＡＮからの切り離し、または前記ユーザ端末へのセキュリティホールを無くす対策を含むウィルス対策を実施するための検疫用ＶＬＡＮへの切替を通知するステップと、
    前記認証情報センター端末が、前記ウィルス対策状況管理センター端末から前記ユーザ端末のＶＬＡＮからの切り離しまたは検疫用ＶＬＡＮへの切替の指示を受信すると、前記ユーザ端末の使用するＶＬＡＮの切り離し又はウィルス汚染対策を実行するための検疫用ＶＬＡＮへの切替をネットワーク構成機器に通知するステップと、
    前記ネットワーク構成機器は、前記認証情報センター端末からの通知に従い、前記ユーザ端末が使用するＶＬＡＮからの切り離し又は検疫用ＶＬＡＮへの切替を実行するステップと、を含むことを特徴とするＰＣ検疫方法。
    

Images