JP2007122228A - ネットワーク検疫システム - Google Patents

Abstract

【課題】ネットワークシステムのセキュリティの強化を図るとともに、ネットワーク使用者の利便性を向上する。
【解決手段】クライアント端末が業務ネットワークのセキュリティポリシーを満たしているか検査するセキュリティポリシー検査手段４と、クライアント端末のセキュリティポリシー検査の結果、セキュリティポリシーを満たしていない場合、使用者に警告を通知する警告通知手段５と、セキュリティポリシー検査の実施ごとにセキュリティポリシーの違反回数をカウントする違反回数カウント手段６と、所定の違反回数を超えるとクライアント端末の業務ネットワークへの接続を遮断する接続制御手段７とを備え、一定回数までのセキュリティポリシー違反を許容するように構成する。
【選択図】図１

Description

この発明は、所定の業務を行うネットワークにクライアント端末を接続するにあたり、そのクライアント端末のセキュリティレベルに応じ、接続を許可するか否かを判定する技術に関し、柔軟な接続許否判定を実現するネットワーク検疫システムに関するものである。

近年コンピュータを利用した業務システムにおいては、各企業でＬＡＮ（ローカルエリアネットワーク）などのネットワークを構築し、業務などをその業務ネットワークに接続されたサーバなどを利用して実施したりしている。

なお、ここで業務ネットワークとは一般的な会社における業務ネットワークだけではなく、大学や自治体、個人などが構築するネットワークも含む。

しかし、近年コンピュータウイルスの蔓延や、悪意を持った者からの不正なアクセスによる攻撃などが増加しており、ネットワークのセキュリティを向上させる必要がでてきた。

このような外部からの危険な不正アクセスやコンピュータウイルスなどに対しては、ファイアーウォール技術による防御や、ウイルス検知ソフトウェア等を外部からのアクセスに対し適用することで、企業内ネットワークなどのセキュリティの向上を図るようにしてきた。

しかし、最近では企業内の業務ネットワークにその企業に属する者が、ノートパソコンなどを持ち込んで接続するような運用を行う場合もでてきた。

このような運用においては、ファイアーウォールや外部からのアクセスに対するウイルスチェックなどの防御は無意味で、持ち込んだノートパソコンなどがウイルスに感染していたり、セキュリティホールなどの脆弱性を有していたりした場合、結局ネットワーク全体にセキュリティ上の問題を発生させてしまうこととなる。

このような問題を解決するため、業務ネットワークにクライアント端末を接続する場合やそのクライアント端末を利用して業務ネットワークにログインする場合に、クライアント端末が所定のセキュリティポリシーを満たしているかどうか検査し、この検査結果によって接続の許否を判定し、満たしている場合には業務ネットワークへの接続を許可し、満たしていない場合には、セキュリティポリシーを満たすように促すようなネットワーク検疫システムが考案されている（特許文献１を参照）。

なお、ここでセキュリティポリシーとは、ネットワークのセキュリティを確保するためにクライアント端末が備えておかなければならない、セキュリティ確保のための条件であり、例えば、オペレーティングシステムのパッチ適用レベルやウイルス検知ソフトウェアのウイルスパターン更新状況などを示している。

しかし従来のネットワーク検疫システムでは、クライアント端末の業務ネットワークへの接続時や業務ネットワークへのログイン時に必ずセキュリティポリシーを満たしているかどうか検査し、満たしていない場合はセキュリティポリシーの条件を満たすまで業務ネットワークへの接続ができず、それほど重要ではないセキュリティ上の脆弱性であっても、その脆弱性を解消するまでそのクライアント端末をまったく使用できず使用者にとって不便であるという問題があった。

特開２００５−１６５５６１号公報

前記のごとく、従来の技術では次のような問題点がある。

近年、各企業等では企業内ネットワークシステムを構築し、業務を行っており、このネットワークシステムを外部の悪意ある者からの不正アクセスによる攻撃や、コンピュータウイルスの感染から防御するため、ファイアーウォール技術やウイルス検知ソフトウェアなどを使用してネットワークセキュリティの向上を図ってきた。

しかしながら、最近ではそのネットワークシステムを構築している企業等に属する者が、ノートパソコンなどのクライアント端末を、直接ネットワークシステムの内部に接続し、使用するといったような運用がなされるようになり、このような運用の場合には、そのクライアント端末がウイルス感染していたり、セキュリティホールを有していたりした場合、従来のファイアーウォール技術やウイルス検知ソフトウェアでは対応できないという問題があった。

これに対し、業務ネットワークにクライアント端末を接続したり、ログインしたりした時に、そのクライアント端末が業務ネットワークシステムのセキュリティポリシーを満たしているかどうか検査し、検査結果によって業務ネットワークへの接続の許否を判定し、満たしていない場合には業務ネットワークへの接続を遮断するネットワーク検疫システムが考案されている。

しかし従来のネットワーク検疫システムは、クライアント端末を業務ネットワークに接続したり、ログインしたりした時に必ずセキュリティポリシーを満たしているか検査し、接続の許否を判定してしまうため、それほど重要ではないセキュリティ条件が満たされていないだけで、そのクライアント端末をまったく使用できず使用者にとって不便な場合があった。

この発明の課題は、業務ネットワークシステムのセキュリティの強化を図るとともに、クライアント端末の業務ネットワークへの接続を柔軟に制御することで、ネットワーク使用者の利便性を向上することにある。

前記の問題点を解決するために、この発明では次に示す手段を取った。

クライアント端末が業務ネットワークのセキュリティポリシーを満たしているか検査するセキュリティポリシー検査手段と、クライアント端末のセキュリティポリシー検査の結果、セキュリティポリシーを満たしていない場合、セキュリティポリシー検査の実施ごとにセキュリティポリシーの違反回数をカウントする違反回数カウント手段と、所定の違反回数を超えるとクライアント端末の業務ネットワークへの接続を遮断する接続制御手段とを備え、一定回数までのセキュリティポリシー違反を許容するように構成する。

前記セキュリティポリシー検査手段により、クライアント端末のセキュリティポリシー違反が検出された場合、使用者に警告を通知する警告通知手段を備えるように構成してもよい。

前記違反回数カウント手段により、所定の違反回数を超えると、クライアント端末上でセキュリティ対策用のコマンドを実行するコマンド実行手段を備えるように構成してもよい。

前記違反回数カウント手段として、違反回数のカウントはセキュリティポリシー検査項目ごとに行い、セキュリティポリシー検査項目の中のいずれかが所定の違反回数を超えると、前記接続制御手段によりクライアント端末の業務ネットワークへの接続を遮断するように構成してもよい。

前記違反回数カウント手段として、違反回数のカウントはセキュリティポリシー検査項目ごとに行い、セキュリティポリシー検査項目の項目ごとの違反回数を合計して、所定の許容違反回数を超えると、前記接続制御手段によりクライアント端末の業務ネットワークへの接続を遮断するように構成してもよい。

前記違反回数カウント手段として、違反回数のカウントはセキュリティポリシー検査項目ごとに行い、許容違反回数もセキュリティポリシー検査項目ごとに指定できるように構成してもよい。

前記違反回数カウント手段として、違反回数のカウントは指定期間内であれば何度検査して、クライアント端末にセキュリティポリシー違反が検出されても、違反回数を１回とカウントするように構成してもよい。

この発明により、以下に示すような効果が期待できる。

企業等が業務ネットワークシステムを構築して業務に利用している場合、その業務ネットワークにその企業等に属する者が、新たにクライアント端末を接続して使用するような運用において、そのクライアント端末がウイルス感染していたり、セキュリティホールを有していたりした場合、そのセキュリティ上の脆弱性がどんなに軽微なものであっても、従来であればそのクライアント端末を業務ネットワークから即時に遮断するため、業務ネットワークの使用者にとって不便であった。

本発明を利用することで、上記のような運用を行う場合においても、業務ネットワークについて、ある一定のセキュリティを確保するとともに、クライアント端末の脆弱性の種類および違反回数により接続の許否を柔軟に行うことで、軽微な脆弱性であればセキュリティ対策を実施するまでの猶予期間を使用者に与えることができ、使用者の利便性を向上することができる。

この発明は、次に示す実施の形態を取った。

クライアント端末が業務ネットワークのセキュリティポリシーを満たしているか検査するセキュリティポリシー検査手段と、クライアント端末のセキュリティポリシー検査の結果、セキュリティポリシーを満たしていない場合、セキュリティポリシー検査の実施ごとにセキュリティポリシーの違反回数をカウントする違反回数カウント手段と、所定の違反回数を超えると業務ネットワークへの接続を遮断する接続制御手段とを備え、一定回数までのセキュリティポリシー違反を許容するように構成する。

これにより、業務ネットワークの使用者は、一定の回数まではセキュリティポリシーを満たしていないクライアント端末でも、業務ネットワークへの接続を行うことができ、セキュリティ対策を実施するまでにある程度の猶予期間を確保することができるようになる。

前記セキュリティポリシー検査手段により、クライアント端末のセキュリティポリシー違反が検出された場合、使用者に警告を通知する警告通知手段を備えるように構成する。

これにより、業務ネットワークの使用者は、そのクライアント端末にセキュリティ上の問題が存在することを知ることができる。

前記違反回数カウント手段により、所定の違反回数を超えると、クライアント端末上でセキュリティ対策用のコマンドを実行するコマンド実行手段を備えるように構成する。

これにより、業務ネットワークの使用者は、そのクライアント端末にセキュリティ上の問題が存在する場合でも所定の違反回数までは自由にクライアント端末を使用できるとともに、許容される違反回数を超えた場合に自動的にセキュリティポリシーを満たすようなコマンドが実行され、セキュリティポリシー違反の対応を手動で行う必要がなくなるようにできる。

前記違反回数カウント手段として、違反回数のカウントはセキュリティポリシー検査項目ごとに行い、セキュリティポリシー検査項目の中のいずれかが所定の違反回数を超えると、前記接続制御手段によりクライアント端末の業務ネットワークへの接続を遮断するように構成する。

これにより、セキュリティ上の脆弱性の種類により柔軟に業務ネットワークへのクライアント端末の接続を制御することができるようになる。

前記違反回数カウント手段として、違反回数のカウントはセキュリティポリシー検査項目ごとに行い、セキュリティポリシー検査項目の項目ごとの違反回数を合計して、所定の許容違反回数を超えると、前記接続制御手段によりクライアント端末の業務ネットワークへの接続を遮断するように構成する。

このような制御をすることによっても、セキュリティ上の脆弱性の種類により柔軟に業務ネットワークへのクライアント端末の接続を制御することができるようになる。

前記違反回数カウント手段として、違反回数のカウントはセキュリティポリシー検査項目ごとに行い、許容違反回数もセキュリティポリシー検査項目ごとに指定できるように構成する。

これにより、セキュリティ上の脆弱性の重要度により、より危険度の高い脆弱性に対しては早急に対処を促すようにしたり、それほど危険度の高くない脆弱性に対しては余裕を持って対処したりすることができるようになる。

前記違反回数カウント手段として、違反回数のカウントは指定期間内であれば何度検査して、クライアント端末にセキュリティポリシー違反が検出されても、違反回数を１回とカウントするように構成する。

これにより、無線ＬＡＮによる再接続やネットワークログインを繰り返す運用の場合、再接続やネットワークログイン時にセキュリティ検査が毎回行われてしまい、所定の違反回数にすぐに到達してしまい、セキュリティ対策を実施するまでの猶予期間があまり確保できなくなることが考えられるが、指定期間内であれば何度セキュリティポリシー検査を実施して違反となっても違反回数を１回とカウントすることで、上記のような運用でもセキュリティ対策を実施するまでの猶予期間を確実に確保することができるようになる。

この発明による代表的な実施例を図によって説明する。なお、以下において、同じ箇所は同一の符号を付してあり、詳細な説明を省略することがある。

図１は本発明の一つの実施例を示す。

同図において、業務ネットワーク８はスイッチ装置２を経由して、一般業務クライアント端末９、一般業務サーバ装置１０、検疫サーバ３などが相互に通信しあうように構成されている。

ここで、一般業務クライアント端末９や一般業務サーバ装置１０などは、すでに業務ネットワーク８に接続するときに検疫サーバ３によりセキュリティポリシーが満たされていることを確認されているものとする。

このような状況で、使用者が新規クライアント端末１を使用して業務ネットワーク８に接続しようとすると、スイッチ装置２が新規クライアント端末１の接続を検知し、検疫サーバ３に接続の通知を行う。

この通知を受けたセキュリティポリシー検査手段４は、図２に示すように、スイッチ装置２を経由して新規クライアント端末１に対し、セキュリティポリシーを満たしているか情報を収集するスクリプトを矢印ａのようにダウンロードする。

ダウンロードされたスクリプトは新規クライアント端末１上で実行され、この端末のセキュリティポリシー情報を収集し、その結果を矢印ｂに示すようにセキュリティポリシー検査手段４に返す。

これを受けたセキュリティポリシー検査手段４は、新規クライアント端末１が所定のセキュリティポリシーを満たしているか検査し、検査結果がセキュリティポリシー違反であった場合、結果通知である矢印ｃに示すように、警告通知手段５を経由して、違反回数カウント手段６に新規クライアント端末１はセキュリティポリシー違反であったことを通知する。

この通知を受けた警告通知手段５は、矢印ｄに示すように、スイッチ装置２を経由して新規クライアント端末１に対しセキュリティポリシー違反があったことを通知し、新規クライアント端末１の画面上に警告表示を行う。

さらに、この結果通知を受けた違反回数カウント手段６は、図４に示すようなテーブルを有しており、ＭＡＣアドレスなどの端末を一意に識別する端末識別子情報から新規クライアント端末１が以前にも接続しようとしていないかテーブルに記憶してある情報を検索し、すでに登録されていた場合には、その端末のテーブルの違反回数を示すフィールドの値に１を加え、テーブルにその端末が登録されていなかった場合には、新たにその端末用のテーブルエントリを追加し、違反回数フィールドを１とする。

この端末ごとのセキュリティポリシー違反の回数記録時に、違反回数が所定の閾値、例えば１０回の閾値が設定されている場合、違反回数が１０回に到達すると、違反回数カウント手段６は、図２の矢印ｅで示すように、接続制御手段７に対し、その新規クライアント端末１の業務ネットワーク８への接続を遮断するように通知し、接続制御手段７は新規クライアント端末１からのアクセスを拒否するように制御し、１０回に満たない場合には接続制御手段７に接続を許可するように通知することで、新規クライアント端末１からのアクセスを受け付けるように制御する。

なお、新規クライアント端末１がスイッチ装置２に接続され、セキュリティポリシー検査手段４によりセキュリティポリシーの検査を行われた結果、セキュリティポリシーを満たしていた場合には、セキュリティポリシー検査手段４は矢印ｃに示す結果通知でセキュリティポリシーが満たされていたことを違反回数カウント手段６に通知し、これを受けた違反回数カウント手段６では、その端末のテーブルエントリが有るか検索し、あった場合にはその端末のエントリを削除するようにしている。

このような処理をすることで、新規クライアント端末１はセキュリティポリシーを満たしていない場合でも、所定の回数までは自由に業務ネットワーク８へのアクセスを行うことができ、セキュリティ対策をするまでの猶予期間が与えられることとなる。

また、図３に示すように、違反回数カウント手段６によりセキュリティポリシー違反の違反回数をカウントし、その回数が所定の許容違反回数を超えた場合、違反回数カウント手段６は矢印ｅで示すようにコマンド実行手段１１にそのことを通知し、これを受けたコマンド実行手段１１は、矢印ｆで示すように新規クライアント端末１にセキュリティポリシー違反を修正するようなコマンドの実行を指示するように構成してもよい。

これにより、使用者はセキュリティポリシーを満たしていない新規クライアント端末１を許容違反回数までは自由に使用できるとともに、許容違反回数を超えても自動的にセキュリティ対策が実行され、そのクライアント端末を使用することができるようになる。

上記の例では、セキュリティポリシー検査手段４が新規クライアント端末１の接続時に検査スクリプトを実行し、セキュリティポリシーをすべて満たしているかどうか検査し、その検査実施ごとに違反回数をカウントしている。

これとは別の実施例として、セキュリティポリシー検査手段４により新規クライアント端末１上でセキュリティポリシーの情報収集スクリプトを実行し、その結果通知として図２の矢印ｂで、セキュリティポリシーの検査項目ごとの情報を通知するようにし、矢印ｃのセキュリティポリシー検査手段４から警告通知手段５を経由しての違反回数カウント手段６への結果通知としてもセキュリティポリシーの検査項目ごとの検査結果を通知するように構成する。

この通知を受けた、警告通知手段５はどのようなセキュリティポリシー違反であったかまでを新規クライアント端末１に通知し、画面上に表示することで、使用者にどのようなセキュリティ上の問題があるかを警告する。

さらに、この結果通知を受けた違反回数カウント手段６では、図５に示すように、各端末の検査項目ごとの違反回数をカウントするテーブルを備えるようにし、そのいずれかの検査項目が所定の閾値を超えた場合、接続制御手段７に対し、その新規クライアント端末１の業務ネットワーク８への接続を遮断するように通知し、接続制御手段７は新規クライアント端末１からのアクセスを拒否するように制御するようにしてもよい。

また、違反回数カウント手段６において、いずれかの検査項目が所定の閾値を超えた場合に接続を遮断するのではなく、検査項目ごとの違反回数を合計し、この合計違反回数が所定の許容違反回数を超えた場合に、接続制御手段７に新規クライアント端末１の業務ネットワーク８への接続を遮断するように通知し、接続制御手段７は新規クライアント端末１からのアクセスを拒否するように制御するようにしてもよい。

これらの制御をすることにより、より柔軟に業務ネットワーク８へのアクセスを制御することができるようになる。

また、図６に示すように、セキュリティポリシーの検査項目ごとに違反回数をカウントするとともに、検査項目ごとに許容違反回数を指定できるようにしてもよい。

このように許容違反回数を指定することで、より危険なセキュリティポリシー違反は早期に対応をとらせ、それほど危険ではないセキュリティポリシー違反については余裕を持ってセキュリティ対策を行えるようにできる。

また、違反回数カウント手段６にタイマーを備えるように構成し、指定期間内、例えば指定期間が１日であれば、その期間内である１日の間に、何度セキュリティポリシー検査を実行し、その結果がセキュリティポリシー違反であっても、違反回数は１回とカウントするようにしてもよい。

つまり、新規クライアント端末１の違反回数をカウントするテーブルが最初に１を示しており、指定期間が１日の場合、例えば、その指定期間の開始時間を１２時とすると、１３時、１４時、１５時と３回新規クライアント端末１を業務ネットワーク８に接続し、セキュリティポリシー違反が発生したとしても、違反回数をカウントするテーブル上では違反回数は２を示すこととなり、翌日の１２時以降にさらにその新規クライアント端末１を接続し、セキュリティポリシー違反が発生したときに違反回数をカウントするテーブル上では違反回数が３を示すこととなる。

このようにすることで、無線ＬＡＮなどを使用しており、接続、切断が繰り返されるような運用をする場合や、ログイン時にセキュリティポリシー検査を実施する場合（スイッチ装置ではなくルータ装置と認証サーバなどにより業務ネットワークを構成し、認証サーバによるログイン処理時にセキュリティポリシー検査を実行する場合など）に、ログイン、ログオフを繰り返すような運用をする場合に、すぐに所定の違反許容回数を超えてしまい、セキュリティ対策を実施するための猶予期間を確実に確保することができないという問題を解決できるようにしている。

以上のように、スイッチ装置と検疫サーバなどによりネットワーク構成を行った場合の実施例を記載しているが、本発明の構成はこの実施例の構成に限定されるものではなく、セキュリティポリシー検査手段、違反回数カウント手段、接続制御手段といった主要な構成要素を含む種々のネットワーク構成に適用できるものである。

本発明の実施例の全体構成図である。 新規クライアント端末を接続した場合の処理説明図である。 コマンド実行手段を備えた場合の実施例である。 違反回数カウントテーブルの実施例１である。 違反回数カウントテーブルの実施例２である。 違反回数カウントテーブルの実施例３である。

符号の説明

１：新規クライアント端末
２：スイッチ装置
３：検疫サーバ
４：セキュリティポリシー検査手段
５：警告通知手段
６：違反回数カウント手段
７：接続制御手段
８：業務ネットワーク
９：一般業務クライアント端末
１０：一般業務サーバ装置
１１：コマンド実行手段

Claims (7)

1. ネットワークのセキュリティを強化するネットワーク検疫システムにおいて、
   クライアント端末が業務ネットワークのセキュリティポリシーを満たしているか検査するセキュリティポリシー検査手段と、
   クライアント端末のセキュリティポリシー検査の結果、セキュリティポリシーを満たしていない場合、セキュリティポリシー検査の実施ごとにセキュリティポリシーの違反回数をカウントする違反回数カウント手段と、
   所定の違反回数を超えるとクライアント端末の業務ネットワークへの接続を遮断する接続制御手段とを備え、
   一定回数までのセキュリティポリシー違反を許容する、
   ことを特徴とするネットワーク検疫システム。
2. ネットワークのセキュリティを強化するネットワーク検疫システムにおいて、
   前記セキュリティポリシー検査手段により、クライアント端末のセキュリティポリシー違反が検出された場合、使用者に警告を通知する警告通知手段を備えた、
   ことを特徴とする請求項１に記載のネットワーク検疫システム。
3. ネットワークのセキュリティを強化するネットワーク検疫システムにおいて、
   前記違反回数カウント手段により、所定の違反回数を超えると、クライアント端末上でセキュリティ対策用のコマンドを実行するコマンド実行手段を備えた、
   ことを特徴とする請求項１に記載のネットワーク検疫システム。
4. ネットワークのセキュリティを強化するネットワーク検疫システムにおいて、
   前記違反回数カウント手段として、違反回数のカウントはセキュリティポリシー検査項目ごとに行い、セキュリティポリシー検査項目の中のいずれかが所定の違反回数を超えると、前記接続制御手段によりクライアント端末の業務ネットワークへの接続を遮断する、
   ことを特徴とする請求項１に記載のネットワーク検疫システム。
5. ネットワークのセキュリティを強化するネットワーク検疫システムにおいて、
   前記違反回数カウント手段として、違反回数のカウントはセキュリティポリシー検査項目ごとに行い、セキュリティポリシー検査項目の項目ごとの違反回数を合計して、所定の許容違反回数を超えると、前記接続制御手段によりクライアント端末の業務ネットワークへの接続を遮断する、
   ことを特徴とする請求項１に記載のネットワーク検疫システム。
6. ネットワークのセキュリティを強化するネットワーク検疫システムにおいて、
   前記違反回数カウント手段として、違反回数のカウントはセキュリティポリシー検査項目ごとに行い、許容違反回数もセキュリティポリシー検査項目ごとに指定できる、
   ことを特徴とする請求項１に記載のネットワーク検疫システム。
7. ネットワークのセキュリティを強化するネットワーク検疫システムにおいて、
   前記違反回数カウント手段として、違反回数のカウントは指定期間内であれば何度検査して、クライアント端末にセキュリティポリシー違反が検出されても、違反回数を１回とカウントする、
   ことを特徴とする請求項１に記載のネットワーク検疫システム。