JP2007235730A - ネットワーク接続制御システム、ネットワーク接続制御方法、およびネットワーク接続制御プログラム - Google Patents

Abstract

【課題】セキュリティレベルの低いユーザの情報端末あるいはサービス提供者のサーバがネットワークに接続することによる被害の発生を防止する。
【解決手段】複数の接続制御装置１ａ−１ｃをユーザの情報端末２およびサービス提供者のサーバ３にネットワーク４を介して接続可能に設け、各接続制御装置１ａ−１ｃにおける脆弱性検査管理部１１により情報端末２およびサーバ３のそれぞれの脆弱性を管理し、リスクレベル計算部１２により情報端末２およびサーバ３について脆弱性レベルに基づくリスクレベルを計算し、接続判断部１３により、情報端末２が接続しようとするサーバ３を管理する接続制御装置１ｂから、サーバ３への接続に必要な接続ポリシーを示す第２閾値を取得して、計算したリスクレベルと取得した第２閾値とを比較して情報端末２によるサーバ３への接続の可否を判断する。
【選択図】図１

Description

本発明は、ユーザの情報端末あるいはサービス提供者のサーバについて各々のセキュリティの状態に応じてネットワークへの接続を制御する技術に関する。

従来より、社内等を対象にした狭域ネットワークにおいては、サーバによりクライアント端末のセキュリティ状態を診断し、ネットワーク全体としてセキュリティ状態を管理するシステムが利用されている（例えば特許文献１参照）。

一方、インターネット等による広域ネットワークを利用する場合には、各ユーザはパソコン等の情報端末のセキュリティ状態を自分で把握し対処している。具体的には、各ユーザは、脆弱性検査用のソフトウェア、ウィルス対策用のソフトウェア、不正侵入防止用のパーソナルファイアウォール等を情報端末にインストールし、これらのソフトを用いてセキュリティ状態を管理している。尚、その他、本願に関連する技術としては特許文献２，３に記載のものが知られている。
特開２００４−２８９２６０号公報 特開２００４−２２０１２０号公報 特開２００４−２３４３７８号公報

しかしながら、近年のインターネットの急速な普及に伴ってユーザの裾野が広がる中で、全てのユーザがセキュリティ管理に精通しているわけではないため、全てのユーザが日々発生する新しい脆弱性に対応し、対処することは困難である。

また、インターネットを通じてユーザに対して何らかのサービスを提供しようとするサービス提供者においても、サーバ等のセキュリティ管理を自分で行っているため、同様の問題があり、さらにはユーザの情報端末のセキュリティ状態に応じて接続の可否を判断することはできてきない。

このため、サービス提供者にとっては、自己のサーバにセキュリティの低い情報端末がアクセスしてきた場合には、第三者による不正アクセスや、なりすましといった被害を受けるおそれがある。また、ユーザにとっても、自己の情報端末がアクセスしたサービス提供者のサーバのセキュリティが低い場合には、やはり第三者による不正アクセスや通信異常といった被害を受けるおそれがある。

本発明は、上記に鑑みてなされたものであり、その課題とするところは、セキュリティレベルの低いユーザの情報端末あるいはサービス提供者のサーバがネットワークに接続することによる被害の発生を防止することにある。

第１の本発明に係るネットワーク接続制御システムは、ユーザの情報端末およびサービス提供者のサーバに対してネットワークを介して接続可能な複数の接続制御装置を備えたネットワーク接続制御システムであって、各接続制御装置は、当該接続制御装置への接続に必要な接続ポリシーを示す第１閾値および前記サーバへの接続に必要な接続ポリシーを示す第２閾値を記憶しておくデータベースと、前記情報端末からは当該情報端末の脆弱性レベルを示す情報を受信し、前記サーバからは当該サーバの脆弱性レベルを示す情報を受信して、前記情報端末および前記サーバのそれぞれのＩＤと脆弱性レベルとを関連付けてデータベースに記憶させる脆弱性管理手段と、前記情報端末および前記サーバのそれぞれについて、前記データベースから読み出した脆弱性レベルに基づいてリスクレベルを計算してメモリに記憶させるリスクレベル計算手段と、前記メモリからリスクレベルを読み出すとともに前記データベースから第１閾値を読み出し、前記情報端末および前記サーバのそれぞれについてリスクレベルと第１閾値とを比較して当該接続制御装置への接続の可否を判断する接続判断手段と、前記情報端末が接続しようとするサーバが当該接続制御装置による管理下にあって接続の許可されたサーバである場合には前記データベースから第２閾値を取得し、当該接続制御装置による管理下にないサーバの場合には当該サーバの接続が許可された他の接続制御装置へアクセスして当該サーバへの接続に必要な接続ポリシーを示す第２閾値を取得し、前記情報端末のリスクレベルと取得した第２閾値とを比較して前記情報端末による当該サーバへの接続の可否を判断する接続判断手段と、を有することを特徴とする。

本発明にあっては、ユーザの情報端末とサービス提供者のサーバのそれぞれについて、脆弱性レベルに基づいてリスクレベルを計算し、このリスクレベルと第１閾値とを比較して接続制御装置への接続の可否を判断することで、リスクレベルが第１閾値による条件を満たさない情報端末あるいはサーバについては接続制御装置への接続を拒否し、セキュリティレベルの低い情報端末あるいはサーバが接続されることによる被害の発生を防止する。

また、ユーザの情報端末のリスクレベルと第２閾値とを比較して情報端末によるサーバへの接続の可否を判断することで、リスクレベルが第２閾値の条件を満たさない情報端末についてはサーバへの接続を拒否し、セキュリティレベルの低い情報端末がサーバに接続した場合に起こり得る不正アクセスやなりすましといった被害の発生を防止する。

さらに、複数の接続制御装置を設け、情報端末が接続しようとするサーバが、その情報端末が接続中の接続制御装置による管理下にないサーバの場合には、当該接続制御装置によりそのサーバの接続が許可された他の接続制御装置へアクセスして当該サーバへの接続に必要な接続ポリシーを示す第２閾値を取得し、これを用いて情報端末のサーバへの接続の可否を判断することで、ユーザの情報端末は、接続中の接続制御装置以外の接続制御装置が管理するサーバによるサービスの提供を受けることができる。

上記ネットワーク接続制御システムは、前記情報端末および前記サーバが、正、副の二つの接続制御装置に関する情報を記憶しておく記憶手段と、正の接続制御装置への接続に際して応答がなかった場合に、副の接続制御装置への接続に切り替える接続切替手段と、をそれぞれ有することを特徴とする。

本発明にあっては、情報端末およびサーバが、正、副の二つの接続制御装置に関する情報を記憶しておき、正の接続制御装置への接続に際して応答がなかった場合に、副の接続制御装置への接続に切り替えることで、情報端末あるいはサーバの接続先である接続制御装置に故障等が発生した場合でも、他の接続制御装置へ接続することができる。

上記ネットワーク接続制御システムは、前記正、副の二つの接続制御装置が、前記情報端末および前記サーバによる前記接続制御装置への接続の許可状態を示す情報と、前記情報端末による前記サーバへの接続に必要な接続ポリシーを示す第２閾値とを共有する共有手段をそれぞれ有することを特徴とする。

本発明にあっては、正、副の二つの接続制御装置が、情報端末およびサーバによる接続制御装置への接続の許可状態を示す情報と、情報端末によるサーバへの接続に必要な接続ポリシーを示す第２閾値とを共有することで、副の接続制御装置においても、接続判断手段によって、情報端末が接続しようとするサーバが当該接続制御装置によって接続が許可されたサーバである場合にはデータベースから第２閾値を取得し、当該接続制御装置による管理下にないサーバの場合には当該サーバの接続が許可された他の接続制御装置へアクセスして当該サーバへの接続に必要な接続ポリシーを示す第２閾値を取得することが可能になり、情報端末はサービス提供者のサーバへ接続して、サービスの提供を受けることができる。

上記ネットワーク接続制御システムは、前記各接続制御装置は、情報端末による接続が許可されたサーバに対して、この接続許可の制御を行う接続制御手段を有することを特徴とする。

本発明にあっては、接続制御装置からサーバに対して情報端末による接続許可の制御を行うことで、情報端末がサーバに対して確実に接続できるようにする。

上記ネットワーク接続制御システムは、前記リスクレベル計算手段が、脆弱性レベルとその脆弱性レベルのまま経過した経過時間との積について脆弱性の数の分だけ総和をとることよりリスクレベルを計算することを特徴とする。

本発明にあっては、脆弱性の大きい状態が長く続く程、セキュリティレベルが低いといえることから、脆弱性レベルと経過時間との積の総和をもってリスクレベルを定義することで、接続可否の判断をより正確なものにする。

第２の本発明に係るネットワーク接続制御方法は、ユーザの情報端末およびサービス提供者のサーバに対してネットワークを介して接続可能な複数の接続制御装置を用いて行うネットワーク接続制御方法であって、各接続制御装置により、当該接続制御装置への接続に必要な接続ポリシーを示す第１閾値および前記サーバへの接続に必要な接続ポリシーを示す第２閾値をデータベースに記憶させるステップと、前記情報端末からは当該情報端末の脆弱性レベルを示す情報を受信し、前記サーバからは当該サーバの脆弱性レベルを示す情報を受信して、前記情報端末および前記サーバのそれぞれのＩＤと脆弱性レベルとを関連付けてデータベースに記憶させるステップと、前記情報端末および前記サーバのそれぞれについて、前記データベースから読み出した脆弱性レベルに基づいてリスクレベルを計算してメモリに記憶させるステップと、前記メモリからリスクレベルを読み出すとともに前記データベースから第１閾値を読み出し、前記情報端末および前記サーバのそれぞれについてリスクレベルと第１閾値とを比較して当該接続制御装置への接続の可否を判断するステップと、前記情報端末が接続しようとするサーバが当該接続制御装置による管理下にあって接続の許可されたサーバである場合には前記データベースから第２閾値を取得し、当該接続制御装置による管理下にないサーバの場合には当該サーバの接続が許可された他の接続制御装置へアクセスして当該サーバへの接続に必要な接続ポリシーを示す第２閾値を取得し、前記情報端末のリスクレベルと取得した第２閾値とを比較して前記情報端末による当該サーバへの接続の可否を判断するステップと、を有することを特徴とする。

第３の本発明に係るネットワーク接続制御プログラムは、ユーザの情報端末およびサービス提供者のサーバに対してネットワークを介して接続可能な複数の接続制御装置のそれぞれに実行させる接続制御プログラムであって、当該接続制御装置への接続に必要な接続ポリシーを示す第１閾値および前記サーバへの接続に必要な接続ポリシーを示す第２閾値をデータベースに記憶させる処理と、前記情報端末からは当該情報端末の脆弱性レベルを示す情報を受信し、前記サーバからは当該サーバの脆弱性レベルを示す情報を受信して、前記情報端末および前記サーバのそれぞれのＩＤと脆弱性レベルとを関連付けてデータベースに記憶させる処理と、前記情報端末および前記サーバのそれぞれについて、前記データベースから読み出した脆弱性レベルに基づいてリスクレベルを計算してメモリに記憶させる処理と、前記メモリからリスクレベルを読み出すとともに前記データベースから第１閾値を読み出し、前記情報端末および前記サーバのそれぞれについてリスクレベルと第１閾値とを比較して当該接続制御装置への接続の可否を判断する処理と、前記情報端末が接続しようとするサーバが当該接続制御装置による管理下にあって接続の許可されたサーバである場合には前記データベースから第２閾値を取得し、当該接続制御装置による管理下にないサーバの場合には当該サーバの接続が許可された他の接続制御装置へアクセスして当該サーバへの接続に必要な接続ポリシーを示す第２閾値を取得し、前記情報端末のリスクレベルと取得した第２閾値とを比較して前記情報端末による当該サーバへの接続の可否を判断する処理と、を実行させることを特徴とする。

本発明によれば、セキュリティレベルの低いユーザの情報端末あるいはサービス提供者のサーバがネットワークに接続することによる被害の発生を防止することができる。

また、本発明によれば、セキュリティレベルの低い情報端末がサーバに接続した場合に起こり得る不正アクセスやなりすましといった被害の発生を防止することができる。

さらに、本発明によれば、ユーザの情報端末は、接続中の接続制御装置以外の接続制御装置が管理するサーバによるサービスの提供を受けることができる。

以下、本発明の最良の形態について図面を用いて説明する。

図１は、本実施の形態におけるネットワーク接続制御システムの構成を示すブロック図である。ネットワーク接続制御システム１００は、ユーザの情報端末２およびサービス提供者のサーバ３に対してネットワーク４を介して接続可能な複数の接続制御装置１ａ−１ｃを備えた構成である。各接続制御装置１ａ−１ｃにはコンピュータシステムが用いられる。各接続制御装置１ａ−１ｃは、それぞれ別個の運営者によって運営されるものであり、ここではサービスプラットフォームＡ−Ｃと適宜呼ぶものとする。

同図に示すように、各接続制御装置１ａ−１ｃは、脆弱性検査管理部１１、リスクレベル計算部１２、接続判断部１３、接続制御部１４、セキュリティ管理データベース１５、接続ポリシーデータベース１６、プラットフォームデータベース１７を有しており、各部の処理は、接続制御装置１にインストールされたプログラムによって実行される。各処理の詳細については後述する。

ユーザの情報端末２は、パーソナルコンピュータや携帯端末等に相当する。情報端末２には情報端末２の脆弱性を検査するための脆弱性検査ソフト２１が予めインストールされている。

サービス提供者のサーバ３もコンピュータシステムによって構成される。サーバ３には脆弱性検査ソフト３１がインストールされている。また、サーバ３は、情報端末２との接続の可否を制御するためのファイアウォール３２がインストールされており、ファイアウォール３２によって許可された情報端末２に対してネットワーク４を介して情報提供等のサービスを行う機能を備えている。

ネットワーク４は、インターネットに代表される広域ネットワークである。なお、同図においては、説明の便宜上、情報端末２およびサーバ３を１つずつ示しているが、情報端末２とサーバ３がそれぞれ複数ある場合にも本システムは適用可能である。

次に、各接続制御装置１ａ−１ｃの各部における処理について説明する。

脆弱性検査管理部１１は、情報端末２から情報端末２の脆弱性レベルを示す情報を受信するとともに、サーバ３からサーバ３の脆弱性レベルを示す情報を受信し、情報端末２およびサーバ３のそれぞれについて脆弱性レベルを関連付けてセキュリティ管理データベース１５に記憶させる。１つの情報端末２あるいはサーバ３において複数の脆弱性がある場合には、脆弱性毎にそれぞれ登録する。この登録においては、セキュリティ管理データベース１５で管理されている脆弱性管理テーブル、脆弱性マスタテーブルを用いる。

脆弱性管理テーブルは、図２に示すように、情報端末ＩＤ・サーバＩＤ、脆弱性ＩＤ、発見日時、対処日時の対応関係を管理するためのものである。脆弱性マスタテーブルは、図３に示すように、脆弱性ＩＤ、脆弱性名称、脆弱性レベルの対応関係を管理するためのものである。この脆弱性マスタテーブルでは、脆弱性レベルは、セキュリティが強いほど低く、セキュリティが弱いほど高くなるように定義されている。これらのテーブルを用いることで、情報端末２あるいはサーバ３が送信する脆弱性情報に含ませる情報として、脆弱性レベルそのものを用いた場合にも、これに代えて脆弱性ＩＤを用いた場合にも対応可能となる。

リスクレベル計算部１２は、セキュリティ管理データベース１５から脆弱性レベルを読み出し、情報端末２およびサーバ３のそれぞれについて脆弱性レベルに基づいてリスクレベルを計算して内部のメモリに記憶させる。計算手法の詳細については後述する。

接続ポリシーデータベース１６は、自己の接続制御装置１への接続に必要な接続ポリシーを示す第１閾値、および情報端末２からサーバ３への接続に必要な接続ポリシーを示す第２閾値を予め記憶している。具体的には、接続ポリシーデータベース１６は、第１閾値管理テーブルと第２閾値管理テーブルを記憶している。第１閾値管理テーブルは、図４に示すように、情報端末２とサーバ３のそれぞれについて接続ポリシーと第１閾値とを対応させたものである。第２閾値管理テーブルは、図５に示すように、接続ポリシーと第２閾値とを対応させたものである。ここで、第１閾値に対応する接続ポリシーとは、接続制御装置１の運営者が、情報端末２あるいはサーバ３に対して接続制御装置１への接続を許可できるレベルの方針のことをいい、第２閾値に対応する接続ポリシーとは、サービス提供者が、情報端末２に対して自己のサーバ３への接続を許可できるレベルの方針のことをいう。

また、接続ポリシーデータベース１６は、接続ポリシー管理テーブルを予め記憶している。接続ポリシー管理テーブルは、図６に示すように、サービスＩＤ、接続ポリシー、サービスＵＲＬ、ファイアウォールアドレス、サービスプロトコルを対応付けて管理するためのものである。サービスＩＤは、サービスを特定するためのＩＤである。接続ポリシーは、そのサービスを提供するサービス提供者が情報端末に対する接続許可レベルとして設定する項目であり、第２閾値に対応する。サービスＵＲＬは、そのサービスを提供するための情報が格納されている格納先を指定するためのアドレスである。ファイアウォールアドレスは、そのサービスを提供するサーバ３におけるファイアウォール３２のアドレスであり、サービスプロトコルは、そのサービスの提供に際して通信に用いられるプロトコルである。

接続判断部１３は、リスクレベル計算部１２が計算したリスクレベルをメモリから読み出すとともに、接続ポリシーデータベース１６から第１閾値を読み出し、情報端末２およびサーバ３のそれぞれについてリスクレベルと第１閾値とを比較して接続制御装置１への接続の可否を判断する。

接続制御部１４は、接続制御装置１への接続の可否の結果を情報端末２あるいはサーバ３へ通知するとともに、接続が許可された情報端末２あるいはサーバ３の接続制御装置１への接続の制御を行う。そして、接続制御装置１に接続してきた情報端末２あるいはサーバ３については、図７に示す接続状態管理テーブルに情報端末ＩＤあるいはサーバＩＤと接続日時を登録する。この接続状態管理テーブルは、セキュリティ管理データベース１５に記憶しておく。

また、接続判断部１３は、情報端末２のリスクレベルをメモリから読み出すとともに、情報端末２が接続しようとするサーバ３が当該接続制御装置１による管理下にあって接続が許可されたサーバの場合には接続ポリシーデータベース１６から第２閾値を取得し、管理下にないサーバの場合には当該サーバ３の接続が許可された他の接続制御装置へアクセスして当該サーバ３への接続に必要な接続ポリシーを示す第２閾値を取得し、情報端末２のリスクレベルと取得した第２閾値とを比較して情報端末２の当該サーバ３への接続の可否を判断する。

この後、接続制御部１４は、サーバ３への接続の可否の結果を情報端末２へ通知するとともに、サーバ３に対しては接続が許可された情報端末２の接続を認めるように指示を出す。

ここで、接続制御装置１の接続判断部１３が他の接続制御装置を特定できるように、プラットフォームデータベース１７には、図８に示すような、各接続制御装置（サービスプラットフォーム）についてドメイン名称と接続先ＩＰアドレスとを対応付けたサービスプラットフォーム管理テーブルを記憶させておく。

また、情報端末２およびサーバ３は、正、副の２つの接続制御装置に関する情報を記憶しておく記憶装置をそれぞれ備えており、正の接続制御装置への接続に際して応答がなかった場合に、副の接続制御装置への接続に切り替える機能をそれぞれ備えている。

正、副の接続制御装置は、相手の接続制御装置が管理する情報端末２およびサーバ３について自己でも管理できるように、情報端末２およびサーバ３による接続制御装置１への接続の許可状態を示す情報としての接続状態管理テーブルと、情報端末２によるサーバ３への接続に必要な接続ポリシーを示す情報としての接続ポリシー管理テーブルとを共有するようになっている。共有の仕方としては、これらのテーブルを記憶したデータベースそのものを正、副の接続制御装置でマウントすることで実際に共有してもよいし、これらのテーブルの内容を定期的に交換するようにしてもよい。

次に、本ネットワーク接続制御システム１００における全体的な処理の流れを示しながら、各部の処理についてより詳細に説明する。本処理は、（１）情報端末２およびサーバ３における脆弱性の検査、（２）情報端末２およびサーバ３による接続制御装置１への接続、（３）情報端末２によるサーバ３への接続、の３段階を有する。以下、順に説明する。

［脆弱性の検査］
まず、情報端末２およびサーバ３における脆弱性検査の処理について説明する。情報端末２およびサーバ３では、それぞれの脆弱性検査ソフトを実行することにより、脆弱性のレベルを示す情報を生成する。脆弱性のレベルを示す情報は、脆弱性レベルそのものを示すものでもよいし、後述するように脆弱性ＩＤであってもよい。情報端末２およびサーバ３では、この脆弱性のレベルを示す情報、脆弱性の発見日時、対処日時を含む脆弱性情報を記憶しておく。

この脆弱性検査の処理について図９のシーケンス図を用いて説明する。同図では、サービスプラットフォームＡ（接続制御装置１ａ）がユーザの情報端末２による接続を管理し、サービスプラットフォームＢ（接続制御装置１ｂ）がサービス提供者のサーバ３による接続を管理するものとする。

情報端末２における脆弱性検査ソフト２１は、随時または定期的に起動する（ステップ１：図においては「Ｓ１」と示す。以下同じ）。脆弱性検査ソフト２１は、検査パターンの確認のためサービスプラットフォームＡ（接続制御装置１ａ）にアクセスする。

サービスプラットフォームＡでは、情報端末２に記憶されている検査パターン情報と最新の検査パターン情報とを比較する（ステップ２）。両者に相違がある場合には、検査パターンの更新が必要である旨を情報端末２に応答し、両者に相違がない場合には、更新は必要ない旨を情報端末２に応答する。

情報端末２の脆弱性検査ソフト２１は、更新が必要な場合には、検査パターンの更新をサービスプラットフォームＡに要求する（ステップ３）。サービスプラットフォームＡはその要求に応えて最新の検査パターンを情報端末２へ送信する（ステップ４）。情報端末２では、この最新の検査パターンを適用する（ステップ５）
そして、脆弱性検査ソフト２１は、最新の検査パターンを用いて情報端末２における脆弱性の検査を行い、脆弱性のレベルを示す情報、脆弱性の発見日時、対処日時を脆弱性検査結果情報として保存する（ステップ６，７）。

図９においては、情報端末２における脆弱性検査の処理を示したが、サーバ３においても同様の処理を行う。

［接続制御装置への接続］
次に、情報端末２およびサーバ３が接続制御装置１へ接続する際の処理について図１０のシーケンス図を用いて説明する。なお、同図においても情報端末２を対象に示しているが、サーバ３でも同様の処理を行う。

サービスプラットフォームに接続しようとする情報端末２あるいはサーバ３は、そのサービスプラットフォームに対して脆弱性検査結果情報を含む接続要求を送信する（ステップ１１）。この接続要求には、脆弱性情報の他、情報端末識別用の情報端末ＩＤあるいはサーバ識別用のサーバＩＤが含まれる。

接続要求を受けたサービスプラットフォームＡでは、脆弱性検査管理部１１により、情報端末２あるいはサーバ３のそれぞれについて脆弱性レベルを関連付けてセキュリティ管理データベース１５の脆弱性管理テーブルに登録する（ステップ１２）。

続いて、リスクレベル計算部１２により、情報端末２あるいはサーバ３について、リスクレベルを計算する（ステップ１３）。この計算では、まず脆弱性管理テーブルと脆弱性マスタテーブルを用いて、情報端末２あるいはサーバ３についての脆弱性レベルを読み出すとともに、その脆弱性レベルに対応する発見日時と対処日時を読み出す。そして、発見日時と対処日時の差分を取ることにより、その脆弱性レベルの状態が放置されたまま経過した経過時間を算出する。また、対処がなされておらず、対処日時に関する情報がない場合には、現在日時を取得し、発見日時と現在日時の差分をとることにより経過時間を算出する。脆弱性レベルの高い状態が長時間に渡って放置されている場合には、リスクレベルが高いと考えられるので、リスクレベル計算部１２では、次式（１）に従ってリスクレベルＲＬを計算する。

ＲＬ＝Σ（脆弱性レベル×経過時間） （１）
ここで、積分記号Σは、１つの情報端末２あるいはサーバ３に複数の脆弱性がある場合に、その情報端末２あるいはサーバ３におけるそれぞれのリスクレベルの合計を求めることを意味する。

式（１）を用いた計算に際しては、脆弱性レベルについては、例えば「高」は１０ポイント、「中」は５ポイント、「低」は１ポイントなどと決めておき、経過時間については、例えば３日未満は０．１ポイント、３日以上１週間未満は０．５ポイント、１週間以上１ヶ月未満は０．８ポイント、１ヶ月以上は１．０ポイントなどと決めておくようにする。

続いて、接続判断部１３により、接続ポリシーデータベース１６に記憶されている第１閾値管理テーブルを用いて、サービスプラットフォームＡヘの接続の可否判断を行う（ステップ１４）。接続判断部１３は、情報端末２について接続可否の判断をするときには、情報端末２に対応する第１閾値を第１閾値管理テーブルから読み出し、サーバ３について接続可否の判断をするときには、サーバ３に対応する第１閾値を第１閾値管理テーブルから読み出す。そして、接続判断部１３は、リスクレベル計算部１２が計算したリスクレベルＲＬと読み出した第１閾値とを比較して、接続の条件を満たす場合には接続許可と判断し、条件を満たさない場合には接続拒否と判断する。そして、接続判断部１３は、接続を許可した情報端末２あるいはサーバ３について、それぞれのＩＤと接続日時とを対応させて接続状態管理テーブルへ登録する（ステップ１５）。以後、接続制御部１４は、接続を許可した情報端末２あるいはサーバ３に対しては接続を許可する制御を行う。

続いて、接続制御部１４は、情報端末２あるいはサーバ３に対して接続可否の判定結果を送信する（ステップ１６）。接続拒否の場合には、この結果に対策方法の情報も含めるものとする。

情報端末２では、脆弱性検査ソフト２１により、接続可否の結果を受信し（ステップ１７）、接続拒否の場合には、その対策方法を画面に表示する（ステップ１８）。

一方で、情報端末２あるいはサーバ３が接続しようとした正のサービスプラットフォームが故障等により応答しない場合には次のように処理する。まず、ステップ１１の処理において、情報端末２あるいはサーバ３は、予め登録されている副のサービスプラットフォームへの接続に切り替える。切り替えのタイミングは、例えば、正のサービスプラットフォームが数回の接続要求に対して応答しなかった場合に切り替えるものとする。

続いて、ステップ１２において、副のサービスプラットフォームでは、正のサービスプラットフォームと共有している情報端末２のＩＰアドレスを用いて、情報端末２から脆弱性検査結果を直接収集し、脆弱性管理テーブルに登録する。以降は、上記ステップ１３〜１８と同様に処理する。

［情報端末によるサーバへの接続］
次に、サービスプラットフォームへの接続が許可された情報端末２とサーバ３との間での接続処理について図１１、図１２のシーケンス図を用いて説明する。図１１、図１２においても、サービスプラットフォームＡ（接続制御装置１ａ）がユーザの情報端末２による接続を管理し、サービスプラットフォームＢ（接続制御装置１ｂ）がサービス提供者のサーバ３による接続を管理するものとする。

まず、情報端末２は、サービスの提供を受けようとするサーバ３への接続を要求する旨を示すサービス接続要求をサービスプラットフォームＡに対して送信する（ステップ２１）。このサービス接続要求には、サービス毎に割り振られるサービスＩＤまたはサービスＵＲＩが含まれる。

このサービス接続要求を受信したサービスプラットフォームＡは、接続判断部１３により、その要求を解析する（ステップ２２）。ここでは、まず、プラットフォームデータベース１７を検索して（ステップ２３）、情報端末２が接続しようとするサーバ３の所属するプラットフォームを特定する（ステップ２４）。

そして、接続先のサーバが、サービスプラットフォームＡの管理下にあって既に接続が許可されたサーバである場合には、接続ポリシーデータベース１６からこのサーバに対応する接続ポリシーを示す第２閾値を取得する。一方、接続先のサーバが、サービスプラットフォームＡによる管理下にないサーバの場合には、そのサーバの接続が許可されている他のサービスプラットフォームＢへアクセスする。このアクセスでは、情報端末２およびサーバ３のそれぞれのＩＰアドレスを送信する。すなわち、情報端末２の脆弱性検査結果についてはサービスプラットフォームＢへは送らないものとし、またサーバ３へも送られることがないようにする。そして、サービスプラットフォームＢから、サーバ３への接続に必要な接続ポリシーを示す第２閾値を取得する（ステップ２５）。

また、サービスプラットフォームＡでは、リスクレベル計算部１２により情報端末２のリスクレベルを計算し、メモリに記憶させておく（ステップ２６）。

続いて、接続判断部１３により、メモリから読み出した情報端末のリスクレベルと先に取得した第２閾値とを比較して情報端末２のサーバ３への接続の可否を判定する。

この判定結果が接続拒否の場合には、接続制御部１４は、その判定結果を対策方法の情報も含めて情報端末２へ送信する。情報端末２では、脆弱性検査ソフト２１により、接続可否の判定結果を受信し（ステップ２８）、接続拒否の場合には、その対策方法を画面に表示する（ステップ２９）。

一方、判定結果が接続許可の場合には、接続制御部１４は、サーバ３による接続を管理するサービスプラットフォームＢに対して、サーバ３のファイアウォール３２を制御する要求を送信する（ステップ３０）。サービスプラットフォームＢでは、ファイアウォール３２の設定変更をサーバ３へ送信し（ステップ３１）、サーバ３では、情報端末２による接続を許可するように、ファイアウォール３２の動作を制御するためのアクセスリストを変更する（ステップ３２，３３）。

この後、サービスプラットフォームＢでは、サーバ３から応答完了の通知を受け、接続制御部１４により、サービスプラットフォームＢにおいてもアクセスリストを変更する（ステップ３４）。サービスプラットフォームＡでは、ユーザの情報端末２に対して許可通知を送信する（ステップ３５）。情報端末２では、サーバ３への接続処理を開始する（ステップ３６）。サーバ３は、情報端末２に対してネットワーク４を介したサービスの提供を開始する。

このときの情報端末２とサーバ３間の通信では、情報端末２がネットワーク４を介してサーバ３と直接通信するようにしてもよいし、サービスプラットフォームＡ，Ｂを介して通信するようにしてもよい。また、情報端末２とサーバ３間での通信をリダイレクトによって行うようにしてもよいし、情報端末２に対して何らかのトークンを配布するようにしてもよい。

なお、上記の各ステップ２１〜３６は、情報端末２あるいはサーバ３が副のサービスプラットフォームに接続した場合も同様に行う。これを実現するために、正、副のサービスプラットフォームでは、情報端末２およびサーバ３によるサービスプラットフォームへの接続の許可状態を示す情報と、情報端末２によるサーバ３への接続に必要な接続ポリシーを示す第２閾値とを共有しておく。これにより、副のサービスプラットフォームにおいても、接続判断部１３によって、情報端末２が接続しようとするサーバ３が当該サービスプラットフォームによって接続が許可されたサーバである場合には接続ポリシーデータベースから第２閾値を取得し、当該サービスプラットフォームによる管理下にないサーバの場合には当該サーバの接続が許可された他のサービスプラットフォームへアクセスして当該サーバへの接続に必要な接続ポリシーを示す第２閾値を取得することを可能にする。

以上、説明したように、本実施の形態によれば、ユーザの情報端末２とサービス提供者のサーバ３のそれぞれについて、脆弱性レベルに基づいてリスクレベルを計算し、このリスクレベルと接続制御装置１への接続に必要な接続ポリシーを示す第１閾値とを比較して接続制御装置１への接続の可否を判断することで、リスクレベルが第１閾値による条件を満たさない情報端末２あるいはサーバ３については接続制御装置１への接続を拒否する。これにより、セキュリティレベルの低い情報端末２あるいはサーバ３が接続されることによる被害の発生を防止することができる。

本実施の形態によれば、サービス提供者のサーバ３への接続に必要な接続ポリシーを示す第２閾値を接続制御装置１に登録しておき、ユーザの情報端末２のリスクレベルと第２閾値とを比較してサーバ３への接続の可否を判断することで、リスクレベルが第２閾値の条件を満たさない情報端末２についてはサーバ３への接続を拒否する。これにより、セキュリティレベルの低い情報端末２がサーバ３に接続した場合に起こり得る不正アクセスやなりすましといった被害を防止することができる。

本実施の形態によれば、複数の接続制御装置１ａ−１ｃを設け、情報端末２が接続しようとするサーバ３が、その情報端末２が接続中の接続制御装置１aによる管理下にない場合には、接続制御装置１ａによりそのサーバ３の接続が許可された他の接続制御装置１ｂへアクセスしてサーバ３への接続に必要な接続ポリシーを示す第２閾値を取得し、これを用いて情報端末２のサーバ３への接続の可否を判断することで、ユーザの情報端末２は、接続中の接続制御装置１ａ以外の接続制御装置１ｂが管理するサーバ３によるサービスの提供を受けることができる。また、サービス提供者側で情報端末２からの接続の可否を判断することを不要にできる。

本実施の形態によれば、情報端末２およびサーバ３において、正、副の二つの接続制御装置に関する情報を記憶しておき、正の接続制御装置への接続に際して応答がなかった場合に、副の接続制御装置への接続に切り替えることで、接続先である接続制御装置に故障等が発生した場合でも、情報端末２、サーバ３は、他の接続制御装置へ接続することができる。

本実施の形態によれば、正、副の二つの接続制御装置が、情報端末２およびサーバ３による接続制御装置への接続の許可状態を示す情報と、情報端末２によるサーバ３への接続に必要な接続ポリシーを示す第２閾値とを共有することで、副の接続制御装置においても、接続判断部１３によって、情報端末２が接続しようとするサーバ３が当該接続制御装置による管理下にあって接続が許可されたサーバである場合には接続ポリシーデータベース１６から第２閾値を取得し、当該接続制御装置による管理下にないサーバの場合には当該サーバの接続が許可された他の接続制御装置へアクセスして当該サーバへの接続に必要な接続ポリシーを示す第２閾値を取得することが可能になり、情報端末２はサービス提供者のサーバ３へ接続して、サービスの提供を受けることができる。

本実施の形態によれば、脆弱性レベルの大きい状態が長く続く程、セキュリティレベルが低いということができることから、脆弱性レベルと経過時間との積の総和をもってリスクレベルを定義することで、接続可否の判断をより正確にすることができる。なお、リスクレベルについて精度が要求されない場合には、脆弱性レベルと経過時間との積に代えて、脆弱性レベルそのものを用いても良い。

本実施の形態によれば、接続先のサーバが接続制御装置１ａによる管理下にないサーバの場合に、そのサーバの接続が許可されている他の接続制御装置１ｂへアクセスする際に、必要最小限の情報、すなわち情報端末２およびサーバ３のそれぞれのＩＰアドレスを送信することで、情報端末２の脆弱性検査結果については他の接続制御装置１ｂやサーバ３へ送られることがないので、情報端末２のセキュリティ状態に関わる情報の漏洩を防止することができる。

一実施の形態におけるネットワーク接続制御システムの構成を示すブロック図である。 脆弱性管理テーブルを示す図である。 脆弱性マスタテーブルを示す図である。 第１閾値管理テーブルを示す図である。 第２閾値管理テーブルを示す図である。 接続ポリシー管理テーブルを示す図である。 接続状態管理テーブルを示す図である。 サービスプラットフォーム管理テーブルを示す図である。 情報端末において脆弱性を検査する際の処理の流れを示すシーケンス図である。 情報端末が接続制御装置へ接続する際の処理の流れを示すシーケンス図である。 情報端末がサーバへ接続する際の処理の流れを示すシーケンス図である。 情報端末がサーバへ接続する際の処理の流れの続きを示すシーケンス図である。

符号の説明

１ａ−１ｃ…接続制御装置（サービスプラットフォーム）
２…ユーザの情報端末
３…サービス提供者のサーバ
４…ネットワーク
１１…脆弱性検査管理部
１２…リスクレベル計算部
１３…接続判断部
１４…接続制御部
１５…セキュリティ管理データベース
１６…接続ポリシーデータベース
１７…プラットフォームデータベース
２１，３１…脆弱性検査ソフト
３２…ファイアウォール
１００…ネットワーク接続制御システム

Claims (7)

1. ユーザの情報端末およびサービス提供者のサーバに対してネットワークを介して接続可能な複数の接続制御装置を備えたネットワーク接続制御システムであって、
   各接続制御装置は、
   当該接続制御装置への接続に必要な接続ポリシーを示す第１閾値および前記サーバへの接続に必要な接続ポリシーを示す第２閾値を記憶しておくデータベースと、
   前記情報端末からは当該情報端末の脆弱性レベルを示す情報を受信し、前記サーバからは当該サーバの脆弱性レベルを示す情報を受信して、前記情報端末および前記サーバのそれぞれのＩＤと脆弱性レベルとを関連付けてデータベースに記憶させる脆弱性管理手段と、
   前記情報端末および前記サーバのそれぞれについて、前記データベースから読み出した脆弱性レベルに基づいてリスクレベルを計算してメモリに記憶させるリスクレベル計算手段と、
   前記メモリからリスクレベルを読み出すとともに前記データベースから第１閾値を読み出し、前記情報端末および前記サーバのそれぞれについてリスクレベルと第１閾値とを比較して当該接続制御装置への接続の可否を判断する接続判断手段と、
   前記情報端末が接続しようとするサーバが当該接続制御装置による管理下にあって接続の許可されたサーバである場合には前記データベースから第２閾値を取得し、当該接続制御装置による管理下にないサーバの場合には当該サーバの接続が許可された他の接続制御装置へアクセスして当該サーバへの接続に必要な接続ポリシーを示す第２閾値を取得し、前記情報端末のリスクレベルと取得した第２閾値とを比較して前記情報端末による当該サーバへの接続の可否を判断する接続判断手段と、
   を有することを特徴とするネットワーク接続制御システム。
2. 前記情報端末および前記サーバは、
   正、副の二つの接続制御装置に関する情報を記憶しておく記憶手段と、
   正の接続制御装置への接続に際して応答がなかった場合に、副の接続制御装置への接続に切り替える接続切替手段と、
   をそれぞれ有することを特徴とする請求項１記載のネットワーク接続制御システム。
3. 前記正、副の二つの接続制御装置は、
   前記情報端末および前記サーバによる接続制御装置への接続の許可状態を示す情報と、前記情報端末による前記サーバへの接続に必要な接続ポリシーを示す第２閾値とを共有する共有手段をそれぞれ有することを特徴とする請求項２記載のネットワーク接続制御システム。
4. 前記接続制御装置は、前記情報端末による接続が許可されたサーバに対して、この接続許可の制御を行う接続制御手段を有することを特徴とする請求項１乃至３のいずれかに記載のネットワーク接続制御システム。
5. 前記リスクレベル計算手段は、脆弱性レベルとその脆弱性レベルの状態で経過した経過時間との積について脆弱性の数の分だけ総和をとることよりリスクレベルを計算することを特徴とする請求項１乃至４のいずれかに記載のネットワーク接続制御システム。
6. ユーザの情報端末およびサービス提供者のサーバに対してネットワークを介して接続可能な複数の接続制御装置を用いて行うネットワーク接続制御方法であって、
   各接続制御装置により、
   当該接続制御装置への接続に必要な接続ポリシーを示す第１閾値および前記サーバへの接続に必要な接続ポリシーを示す第２閾値をデータベースに記憶させるステップと、
   前記情報端末からは当該情報端末の脆弱性レベルを示す情報を受信し、前記サーバからは当該サーバの脆弱性レベルを示す情報を受信して、前記情報端末および前記サーバのそれぞれのＩＤと脆弱性レベルとを関連付けてデータベースに記憶させるステップと、
   前記情報端末および前記サーバのそれぞれについて、前記データベースから読み出した脆弱性レベルに基づいてリスクレベルを計算してメモリに記憶させるステップと、
   前記メモリからリスクレベルを読み出すとともに前記データベースから第１閾値を読み出し、前記情報端末および前記サーバのそれぞれについてリスクレベルと第１閾値とを比較して当該接続制御装置への接続の可否を判断するステップと、
   前記情報端末が接続しようとするサーバが当該接続制御装置による管理下にあって接続の許可されたサーバである場合には前記データベースから第２閾値を取得し、当該接続制御装置による管理下にないサーバの場合には当該サーバの接続が許可された他の接続制御装置へアクセスして当該サーバへの接続に必要な接続ポリシーを示す第２閾値を取得し、前記情報端末のリスクレベルと取得した第２閾値とを比較して前記情報端末による当該サーバへの接続の可否を判断するステップと、
   を有することを特徴とするネットワーク接続制御方法。
7. ユーザの情報端末およびサービス提供者のサーバに対してネットワークを介して接続可能な複数の接続制御装置のそれぞれに実行させる接続制御プログラムであって、
   当該接続制御装置への接続に必要な接続ポリシーを示す第１閾値および前記サーバへの接続に必要な接続ポリシーを示す第２閾値をデータベースに記憶させる処理と、
   前記情報端末からは当該情報端末の脆弱性レベルを示す情報を受信し、前記サーバからは当該サーバの脆弱性レベルを示す情報を受信して、前記情報端末および前記サーバのそれぞれのＩＤと脆弱性レベルとを関連付けてデータベースに記憶させる処理と、
   前記情報端末および前記サーバのそれぞれについて、前記データベースから読み出した脆弱性レベルに基づいてリスクレベルを計算してメモリに記憶させる処理と、
   前記メモリからリスクレベルを読み出すとともに前記データベースから第１閾値を読み出し、前記情報端末および前記サーバのそれぞれについてリスクレベルと第１閾値とを比較して当該接続制御装置への接続の可否を判断する処理と、
   前記情報端末が接続しようとするサーバが当該接続制御装置による管理下にあって接続の許可されたサーバである場合には前記データベースから第２閾値を取得し、当該接続制御装置による管理下にないサーバの場合には当該サーバの接続が許可された他の接続制御装置へアクセスして当該サーバへの接続に必要な接続ポリシーを示す第２閾値を取得し、前記情報端末のリスクレベルと取得した第２閾値とを比較して前記情報端末による当該サーバへの接続の可否を判断する処理と、
   を実行させることを特徴とするネットワーク接続制御プログラム。

Images