JP2007065807A

JP2007065807A - アクセス制御装置およびアクセス制御方法

Info

Publication number: JP2007065807A
Application number: JP2005248528A
Authority: JP
Inventors: Toshiki Ogawa; 永志樹小川
Original assignee: Yokogawa Electric Corp
Current assignee: Yokogawa Electric Corp
Priority date: 2005-08-30
Filing date: 2005-08-30
Publication date: 2007-03-15

Abstract

【課題】アクセス制御ルールの設定を自動的に実行することにより、ユーザの介入なしにコンピュータを動作させることができるアクセス制御装置およびアクセス制御方法を提供する。
【解決手段】ポート抽出手段１０１は、コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、ソフトウェアで使用するポートのポート番号を抽出する。判断手段１０２は、抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断する。設定手段１０３は、判断に従ってアクセス制御ルールを設定する。また、アクセス制御手段１０４は、ソフトウェアの実行時に、設定されたアクセス制御ルールに従って各ポートへのアクセスを制御する。このアクセス制御装置によれば、ソフトウェアで使用するポートのポート番号を抽出し、抽出されたポート番号に基づいてアクセス制御ルールを設定するので、ユーザの介入を必要とせず適切なアクセス制御を実行することができる。
【選択図】図１

Description

本発明は、コンピュータへのアクセスを、アクセス制御ルールに従って制御するアクセス制御装置およびアクセス制御方法に関する。

外部からパーソナルコンピュータへのアクセスを制御するため、パーソナルファイアーウォールが用いられる。パーソナルファイアーウォールは、許可すべき通信を規定するアクセス制御ルールに従って、外部からの通信をアプリケーションに中継したり、あるいはブロックしたりする。ユーザは、パーソナルコンピュータを動作させるために必要な通信のポート番号を、アクセス制御ルールとしてパーソナルファイアーウォールに設定する必要がある。

特許文献１には、内部ネットワークへの不正なアクセスを制限するファイアウォール装置が記載されている。

特開２００４−５４４８８号公報

パーソナルファイアーウォールを正しく動作させるには、アクセス制御ルールを下記のような方法でユーザがパーソナルファイアーウォールに設定する必要がある。
（１）パーソナルファイアーウォールを搭載したパーソナルコンピュータに、外部から通信要求が来る度に、パーソナルファイアーウォールが画面上でポップアップウィンドウ等を表示し、ユーザに通信を受け入れるか拒否するか選択させる。
（２）あらかじめユーザが、パーソナルコンピュータの通信仕様に基づいて、受け入れる通信のポート番号を、専用に用意されたＧＵＩ（Graphical User Interface）やＣＵＩ（Character-based User Interface）を使って設定する。

しかし、上記（１）の方法では、外部から通信要求があったとき、ユーザが許可操作を完了するまで通信要求が待たされるため、制御通信のようなリアルタイム性を要求される通信には使用できない。また、通信の受け入れ可否の判断には、パーソナルコンピュータの通信仕様を把握している必要があり、このような知識を持たない一般ユーザには判断が難しいという問題がある。

また、上記（２）の方法では、ポート番号の設定を行うためにはパーソナルコンピュータの通信仕様やプログラム構成を正確に把握する必要がある。このため、このような知識を持たない一般ユーザには設定が難しいという問題がある。

本発明の目的は、コンピュータを動作させるために必要なアクセス制御ルールの設定を自動的に実行することにより、ユーザの介入を必要とせずコンピュータを動作させることができるアクセス制御装置およびアクセス制御方法を提供することにある。

本発明のアクセス制御装置は、コンピュータに対するアクセスを制御するアクセス制御装置において、コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、前記ソフトウェアで使用するポートのポート番号を抽出するポート抽出手段と、抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断する判断手段と、前記判断に従ってアクセス制御ルールを設定する設定手段と、を備えることを特徴とする。
このアクセス制御装置によれば、ソフトウェアで使用するポートのポート番号を抽出し、抽出されたポート番号に基づいてアクセス制御ルールを設定するので、ユーザの介入を必要とせず適切なアクセス制御を実行することができる。

前記ポート抽出手段、前記判断手段および前記設定手段は、前記コンピュータの起動に際して機能してもよい。

前記ソフトウェアの実行時に、設定された前記アクセス制御ルールに従って各ポートへのアクセスを制御するアクセス制御手段を備えてもよい。

本発明のアクセス制御方法は、コンピュータに対するアクセスを制御するアクセス制御方法において、コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、前記ソフトウェアで使用するポートのポート番号を抽出するステップと、抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断するステップと、前記判断に従ってアクセス制御ルールを設定するステップと、を備えることを特徴とする。
このアクセス制御方法によれば、ソフトウェアで使用するポートのポート番号を抽出し、抽出されたポート番号に基づいてアクセス制御ルールを設定するので、ユーザの介入を必要とせず適切なアクセス制御を実行することができる。

前記ポート番号を抽出するステップ、前記アクセスの可否を判断するステップおよび前記アクセス制御ルールを設定するステップは、前記コンピュータの起動に際して機能してもよい。

前記ソフトウェアの実行時に、設定された前記アクセス制御ルールに従って各ポートへのアクセスを制御するステップを備えてもよい。

本発明のアクセス制御装置によれば、ソフトウェアで使用するポートのポート番号を抽出し、抽出されたポート番号に基づいてアクセス制御ルールを設定するので、ユーザの介入を必要とせず適切なアクセス制御を実行することができる。

本発明のアクセス制御方法によれば、ソフトウェアで使用するポートのポート番号を抽出し、抽出されたポート番号に基づいてアクセス制御ルールを設定するので、ユーザの介入を必要とせず適切なアクセス制御を実行することができる。

図１は本発明によるアクセス制御装置を機能的に示すブロック図である。

図１において、ポート抽出手段１０１は、コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、ソフトウェアで使用するポートのポート番号を抽出する。判断手段１０２は、抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断する。設定手段１０３は、判断に従ってアクセス制御ルールを設定する。

また、アクセス制御手段１０４は、ソフトウェアの実行時に、設定されたアクセス制御ルールに従って各ポートへのアクセスを制御する。

以下、図２〜図３を参照して、本発明によるアクセス制御装置の一実施形態について説明する。

図２は、本実施形態のアクセス制御装置が適用されるプラント制御システムの構成を示すブロック図である。

図２に示すように、プラント制御システムは、プラントに配置されたフィールド機器１を制御するコントローラ２，２，・・・と、分散配置されたコントローラ２，２，・・・を介してフィールド機器１を統合的に制御するサーバ３と、を備える。コントローラ２，２，・・・およびサーバ３は通信回線４を介して互いに接続されている。

また、サーバ３には通信回線５が接続され、サーバ３は通信回線５を介して外部と通信可能とされている。サーバ３に対する通信回線５を介してのアクセスは、ファイアーウォールにより制限される。

図３のステップＳ１〜ステップＳ５は、本実施形態のアクセス制御装置における処理の手順を示すフローチャートである。この手順は、サーバ３にインストールされたサービスプログラムとして規定され、サーバ３の起動時に自動的に起動される。

サーバ３が立ち上がると、図３のステップＳ１では、サーバ３にインストールされているソフトウェアのソフトウェア構成を読み込む。ここでは、ソフトウェア構成情報からソフトウェアパッケージ型名を読み込む。ソフトウェアパッケージ型名により、各ソフトウェアで使用されるポートのポート番号が特定される。

次に、ステップＳ２では、ＡＰＩ（Application Program Interface）を用いてサーバ３のファイアーウォールのアクセス制御ルールを読み込む。アクセス制御ルールは、外部からのアクセスが許可されたポートおよび外部からのアクセスが拒否されるポートのポート番号がそれぞれ定義されている。

次に、ステップＳ３では、ステップＳ１で読み込まれたソフトウェアパッケージ型名により特定されるポート番号と、ステップＳ２で読み込まれたアクセス制御ルールで使用が許可されているポートのポート番号とが比較される。

次に、ステップＳ４では、ステップＳ３における比較の結果、ソフトウェアパッケージ型名とアクセス制御ルールとが整合しているか否か判断する。判断が肯定されれば、ステップＳ５をスキップして処理を終了し、判断が否定されればステップＳ５へ進む。

ステップＳ５では、ＡＰＩを用いてソフトウェアパッケージ型名に合わせてアクセス制御ルールを書き換え、処理を終了する。具体的には、ステップＳ５では、読み込まれたソフトウェアパッケージ型名により特定された使用対象となるポートについて、アクセス制御ルールで使用が拒否されている場合、そのポートに対するアクセスを許可する。また、読み込まれたソフトウェアパッケージ型名により特定された使用対象となるポート以外のポートについて、アクセス制御ルールで使用が許可されている場合、そのポートに対するアクセスを拒否する。

以上の処理によれば、サーバ３の起動時に、サーバ３にインストールされたソフトウェアのソフトウェア構成に基づいて自動的にアクセス制御ルールを書き換えるので、ユーザの介入を必要とせず、サーバ３に対するアクセス制御を適正化することができる。

図３のステップＳ１１〜ステップＳ１５は、ソフトウェアの実行時に、アクセス制御ルールに従って各ポートへのアクセスを制御する処理の手順を示すフローチャートである。

図３のステップＳ１１では、通信回線５を介する通信要求があるか否か判断し、判断が肯定されるのを待ってステップＳ１２へ進む。

ステップＳ１２では、ＡＰＩを用いてサーバ３のファイアーウォールのアクセス制御ルールを読み込む。

次に、ステップＳ１３では、アクセス制御ルールを参照し、通信要求の対象となるポートの使用が許可されているか否か判断する。判断が肯定されればステップＳ１４へ進み、判断が否定されればステップＳ１５へ進む。

ステップＳ１４では、要求された通信を許可してステップＳ１１へ戻る。また、ステップＳ１５では、要求された通信を拒否してステップＳ１１へ戻る。その後、通信要求を受けるたびに同様の処理を繰り返す。

このように、ステップＳ１１〜ステップＳ１５の処理では、通信要求に対してアクセス制御ルールを参照することで通信の可否を判断し、適切なアクセス制御を実行している。

本発明の適用範囲は上記実施形態に限定されることはない。本発明は、プラント制御システムへの適用に限定されることなく、パーソナルコンピュータ、その他コンピュータに対するアクセス制御に対し広く適用できる。

本発明によるアクセス制御装置を機能的に示すブロック図。本実施形態のアクセス制御装置が適用されるプラント制御システムの構成を示すブロック図。本実施形態のアクセス制御装置における処理の手順を示すフローチャート。

符号の説明

３サーバ（ポート抽出手段、判断手段、設定手段、アクセス制御手段）
１０１ポート抽出手段
１０２判断手段
１０３設定手段
１０４アクセス制御手段

Claims

コンピュータに対するアクセスを制御するアクセス制御装置において、
コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、前記ソフトウェアで使用するポートのポート番号を抽出するポート抽出手段と、
抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断する判断手段と、
前記判断に従ってアクセス制御ルールを設定する設定手段と、
を備えることを特徴とするアクセス制御装置。
前記ポート抽出手段、前記判断手段および前記設定手段は、前記コンピュータの起動に際して機能することを特徴とする請求項１に記載のアクセス制御装置。
前記ソフトウェアの実行時に、設定された前記アクセス制御ルールに従って各ポートへのアクセスを制御するアクセス制御手段を備えることを特徴とする請求項１または２に記載のアクセス制御装置。
コンピュータに対するアクセスを制御するアクセス制御方法において、
コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、前記ソフトウェアで使用するポートのポート番号を抽出するステップと、
抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断するステップと、
前記判断に従ってアクセス制御ルールを設定するステップと、
を備えることを特徴とするアクセス制御方法。
前記ポート番号を抽出するステップ、前記アクセスの可否を判断するステップおよび前記アクセス制御ルールを設定するステップは、前記コンピュータの起動に際して機能することを特徴とする請求項４に記載のアクセス制御方法。
前記ソフトウェアの実行時に、設定された前記アクセス制御ルールに従って各ポートへのアクセスを制御するステップを備えることを特徴とする請求項４または５に記載のアクセス制御方法。