JP2009044230A - 通信装置およびネットワーク接続管理プログラム - Google Patents

Abstract

【課題】安全でないネットワークに接続されるおそれをなくし、セキュリティレベルを向上させた通信装置およびネットワーク接続管理プログラムを提供する。
【解決手段】コンピュータ１は、ネットワークを介した通信の相手となる外部装置のアドレスの取得に要するポート以外のポートをすべて閉鎖するポート閉鎖を行うポート閉鎖手段と、外部装置のアドレスの取得に要するポートを用いて、外部装置のアドレスを取得するアドレス取得手段と、ポート閉鎖後に、アドレス取得手段が取得したアドレスを用いてネットワークの適否を判定する判定手段と、判定手段が適正有りと判定したネットワークへの接続に用いられるポートを開放し、かつ判定手段が適正無しと判定したネットワークへの接続を切断するように制御するネットワーク接続管理手段とを有している。
【選択図】図１

Description

本発明は、通信手段を用いてネットワークを介した通信を行うパーソナルコンピュータ等の通信装置およびネットワーク接続管理プログラムに関する。

近年、インターネットを活用したデータ通信の普及に伴い、パーソナルコンピュータ等の通信装置が様々なネットワークに接続される機会も多くなってきている。そのため、ネットワークに接続された通信装置がコンピュータウィルスからの攻撃を受けたり、外部からの不正アクセスを受けるおそれは非常に高くなってきている。

このような環境下において、従来、例えば、特許文献１には、所定データの最新バージョンの検索依頼に対する応答受信用のポートのみ開放した状態でデータ通信を行ない、意図しないデータを受信する危険性を低減するようにしたデータ通信処理プログラムが開示されている。
特開２００５−３２１８９７号公報

ところで、ユーザが通信装置を接続しようとしているネットワークが接続して問題のない安全なネットワークなのかどうかは通信装置をそのネットワークに接続してみないと明らかにならないことがある。

しかし、従来技術のように応答受信用のポートのみ開放した状態でデータ通信を行っても、安全でないネットワークに通信装置が接続されてしまうと、そのネットワークを通じて外部からの不正アクセス等の起こるおそれがあり、好ましくない。

そこで、本発明は上記課題を解決するためになされたもので、安全でないネットワークに接続されるおそれをなくし、セキュリティレベルを向上させた通信装置およびネットワーク接続管理プログラムを提供することを目的とする。

上記課題を解決するため、本発明は通信手段を用いてネットワークを介した通信を行う通信装置であって、ネットワークを介した通信の相手となる外部装置のアドレスの取得に要するポート以外のポートをすべて閉鎖するポート閉鎖を行うポート閉鎖手段と、外部装置のアドレスの取得に要するポートを用いて、外部装置のアドレスを取得するアドレス取得手段と、ポート閉鎖手段がポート閉鎖を行った後に、アドレス取得手段が取得したアドレスを用いてネットワークの適否を判定する判定手段と、判定手段が適正有りと判定したネットワークへの接続に用いられるポートを開放し、かつ判定手段が適正無しと判定したネットワークへの接続を切断するように制御するネットワーク接続管理手段とを有する通信装置を特徴とする。

また、本発明は、通信手段を用いてネットワークを介した通信を行う通信装置に適用されるネットワーク接続管理プログラムであって、ネットワークを介した通信の相手となる外部装置のアドレスの取得に要するポート以外のポートをすべて閉鎖するポート閉鎖を行うポート閉鎖機能と、外部装置のアドレスの取得に要するポートを用いて、外部装置のアドレスを取得するアドレス取得機能と、そのポート閉鎖機能によりポート閉鎖を行った後に、アドレス取得機能により取得したアドレスを用いてネットワークの適否を判定する判定機能と、判定機能により適正有りと判定したネットワークへの接続に用いられるポートを開放し、かつ判定機能により適正無しと判定したネットワークへの接続を切断するように制御するネットワーク接続管理機能とをコンピュータに実現させるためのネットワーク接続管理プログラムを提供する。

以上詳述したように、本発明によれば、安全でないネットワークに接続されるおそれをなくし、セキュリティレベルを向上させた通信装置およびネットワーク接続管理プログラムが得られる。

以下、本発明の実施の形態について説明する。なお、同一要素には同一符号を用い、重複する説明は省略する。

図１は本発明の実施の形態に係る通信装置としてのパーソナルコンピュータ（以下「コンピュータ」という）１と、サーバ装置１００とを有するネットワーク接続管理システム１００の構成を示すブロック図である。

ネットワーク接続管理システム１０１では、コンピュータ１がサーバ装置１０１から提供される後述するネットワークリスト１０２を用いて、ネットワークを介した通信を行うにあたって事前にそのネットワークの適否を判定するようにしている。そして、コンピュータ１は安全であることが確認できるまでそのネットワークへの接続を保留するとともに、安全でないネットワークへの接続を禁止してネットワーク接続の動的な管理を行っている。

次に、図２を参照してコンピュータ１について説明する。図２はコンピュータ１の内部構成を示すブロック図である。コンピュータ１は本実施の形態では、例えば携帯可能なノート型のパーソナルコンピュータを想定しているが、本発明はノート型のパーソナルコンピュータに限定されるものではない。

コンピュータ１は、図１に示すように、ＣＰＵ１１、ノースブリッジ１２、主メモリ１３、ビデオコントローラ１４、表示装置１５を有している。また、コンピュータ１は、ＰＣＩ（Peripheral Component Interconnect）バス１６、ＰＣＩスロット１７、サウスブリッジ１８、入力装置１９、記憶装置２０、モデム２１を有している。

ＣＰＵ１１はコンピュータ１全体の制御を司るプロセッサである。ＣＰＵ１１は、主メモリ１３上で作動するオペレーティングシステム（ＯＳ）２２（図３参照）により管理されるソフトウェアプログラムを実行し、複数のＰＣＩバススロット１７に装着されている複数の通信手段（後述する通信デバイスＡ，Ｂ，Ｃ，Ｄ）や、モデム２１が図示しない外部のコンピュータ（外部装置）と行う通信を制御している。

ノースブリッジ１２は、ＣＰＵ１１、主メモリ１３およびビデオコントローラ１４に接続され、ＣＰＵ１１と、主メモリ１３およびビデオコントローラ１４の間を流れるデータを制御する。ノースブリッジ１２は、ＣＰＵ１１とサウスブリッジ１８との間のブリッジ処理、主メモリ１３の制御、ビデオコントローラ１４の制御などを行う各種コントローラを備えている。

主メモリ１３は、ＣＰＵ１１により処理されるＯＳ２２、各種アプリケーションプログラム、各種ドライバ、後述するネットワーク接続管理プログラム５０等が保持され、ＣＰＵ１１のワークエリアとして提供される。

ビデオコントローラ１４は、ＡＧＰ（Accelerated Graphics Port）を介してノースブリッジ１２に接続されており、表示装置１５における画像表示の制御を行う。

表示装置１５は、ＬＣＤ(Liquid Crystal Display)を備え、ビデオコントローラ１４から送られてくる表示信号を用いてＬＣＤ上に画像を表示する。

ＰＣＩバス１６は、ノースブリッジ１２とサウスブリッジ１８との間に位置するバスであり、複数のＰＣＩバススロット１７が接続されている。

ＰＣＩバススロット１７は、ＰＣＩバス１６上に設けられる拡張スロット（コネクタ）であり、ＰＣＩ対応の通信手段（例えば、無線ＬＡＮカード、有線ＬＡＮカードなどの各種通信機能を実現するためのデバイスで、本実施の形態では、後述する通信デバイスＡ，Ｂ，Ｃ，Ｄ）を外部から装着することが可能である。

サウスブリッジ１８は、ＰＣＩバス１６とＩＳＡ（Industry Component Interconnect）バス（図示せず）との通信を行うためのＰＣＩ−ＩＳＡブリッジを備えているほか、ＵＳＢ（Universal Serial Bus）対応機器を制御するためのＵＳＢコントローラや各種ディスクドライブを制御するためのＩＤＥ（Integrated Device Electronics）コントローラなどを備えている。

入力装置１９は、ユーザによる入力操作を可能とするマウスやキーボードに相当するものであり、例えばＵＳＢ対応機器として実現される。

記憶装置２０は、プログラムやデータを保存するためのハードディスクドライブやＣＤ−ＲＯＭドライブに相当するものであり、例えばＩＤＥ対応機器として実現される。この記憶装置２０には、サーバ装置１０１から提供されるネットワークリスト１０２が記憶されている。

モデム２１は図示しないＩ／Ｏハブなどを介してＰＣＩバス１６に接続されていて、デジタル信号からアナログ信号への変調処理、およびアナログ信号からデジタル信号への復調処理等を行う。なお、モデム２１によってデジタル信号から変換されたアナログ信号は図示しない電話回線を介して外部のコンピュータに送信される。

本実施形態では、複数のＰＣＩスロット１７に４つの通信手段を装着している場合を想定しており、図３に示すように、これら４つの通信手段を通信デバイスＡ〜Ｄとしている。

次に、図３は主メモリ１３上で作動するＯＳ２２により管理されるプログラムと複数の通信手段（通信デバイスＡ〜Ｄ）との関係を示すブロック図である。

ＯＳ２２は、通信監視モジュール２３、プラグ・アンド・プレイ機能（ＰｎＰ）２４といった各種機能（ソフトウェア）を備えており、これらの機能を動的に管理している。

通信監視モジュール２３は、通信デバイスＡ〜Ｄのそれぞれの通信状態を常時監視している。

プラグ・アンド・プレイ機能（ＰｎＰ）２４は、例えばＯＳ２２により予めサポートされた機能であり、ＯＳ２２の機能を停止することなく、動的にハードウェアの追加・削除（ここでは通信デバイスＡ〜Ｄの追加・削除）に関する自動設定を行う機能である。本実施形態では、ＰｎＰ２４は、少なくともＰＣＩ対応のデバイスに対する接続制御を行うことが可能であるものとする。

次に、ネットワーク接続管理プログラム５０によるネットワーク接続管理の動作内容について、図４を参照して説明する。図４は、ネットワーク接続管理プログラム５０によるネットワーク接続管理の動作手順を示すフローチャートである。ネットワーク接続管理プログラム５０はＣＰＵ１１により実行される。

ＣＰＵ１１はネットワーク接続管理プログラム５０の実行を開始すると、ポート閉鎖手段としての動作を行い、ポートクローズを行う（Ｓ１）。Ｓ１は、接続しようとしているネットワーク（以下「対象ネットワーク」という）が接続してよい安全なネットワークであるかどうかを調べるため、そのネットワークを介した通信の相手となる外部装置のＩＰアドレスが取得できるだけの機能を残し、他の機能を停止させるために行う。Ｓ１を実行することにより、外部装置のＩＰアドレスを取得するのに要するポート（アドレス取得用ポート）だけが開放され、他のポートはすべて閉鎖される。

次に、ＣＰＵ１１はＳ２に動作を進め、アドレス取得手段としての動作を行い、アドレス取得用ポートを用いて、対象ネットワークを介した通信の相手となる外部装置のＩＰアドレスを取得する。対象ネットワークがどのようなものかを調べるには、少なくともその対象ネットワークに接続されているコンピュータ等外部装置のＩＰアドレスが必要であり、Ｓ２では、そのＩＰアドレスを取得する。

次に、ＣＰＵ１１はＳ３に動作を進め、プロファイル判定を行う。このプロファイル判定は、対象ネットワークがどのようなものかを調べるために行う。Ｓ３では、ＣＰＵ１１が照合手段としての動作を行い、Ｓ２で取得したＩＰアドレスをネットワークリスト１０２と照合する。詳しくは後述するが、ネットワークリスト１０２は、コンピュータ１を接続することが予定されているネットワーク（以下「接続予定ネットワーク」という）を接続してよいネットワークと、そうでないネットワークとに分けて登録したもので、複数の接続予定ネットワークの適否（接続に適しているか適していないか）を示している。

そして、ＣＰＵ１１はＳ４に動作を進め、Ｓ３での照合結果に基づき、Ｓ２で取得したＩＰアドレスがネットワークリスト１０２にマッチしたか否か（ネットワークリスト１０２に登録されていたか否か）を判定する。ＣＰＵ１１はマッチしたと判定したときはＳ５に動作を進め、そうでなければＳ１１に動作を進める。

ＣＰＵ１１はＳ５に動作を進めると、判定手段としての動作を行い、Ｓ３での照合結果に基づき、対象ネットワークの適否を判定する。この場合、ＣＰＵ１１はＳ２で取得したＩＰアドレスが後述するホワイトリスト１１０にマッチしたか否かを判定し、ホワイトリスト１１０にマッチしたと判定したときは適正有りとみなしてＳ６に動作を進め、そうでなければ適正無しとみなしてＳ９に動作を進める。

ＣＰＵ１１はＳ６に動作を進めると、ネットワーク接続管理手段としての動作を行い、ポートオープンを行う。このポートオープンは、対象ネットワークへの接続に用いられるポートを開放して、対象ネットワークを介して外部装置との通信を行い、画像データのダウンロード、ＷＥＢページの閲覧といった各種のサービスを実現するために行う。

また、ＣＰＵ１１は続くＳ７で、対象ネットワークを介した通信を行うための各種設定（例えば、プリンタの設定など）の変更を行い、Ｓ８に動作を進めて対象ネットワークへの接続を行う。

こうして、コンピュータ１により、例えば、通信デバイスＡ〜Ｄのいずれかまたはモデム２１を用いて、対象ネットワークを介した外部のコンピュータとの間で通信が行われる。

一方、ＣＰＵ１１はＳ９に動作を進めると、ネットワーク接続管理手段としての動作を行い、対象ネットワークへの接続を切断するように制御する。

また、続くＳ１０では、ＣＰＵ１１は無効化手段としての動作を行う。この場合、ＣＰＵ１１はＩＰアドレスがネットワークリスト１０２に登録されてはいるものの、ホワイトリスト１１０にマッチしなかったことによって、対象ネットワークが接続の禁止される禁止ネットワークであるとみなし、その禁止ネットワークを介した通信を行う通信デバイスの動作を無効にする。

さらに、ＣＰＵ１１はＳ４からＳ１１に動作を進めると、登録可否判別手段としての動作を行い、ＩＰアドレスの新規登録判定を行う。Ｓ１１では、Ｓ２で取得したＩＰアドレスがネットワークリスト１０２に未登録であるため（対象ネットワークがそれまでの管理対象外のネットワークであったため）、そのＩＰアドレスを用いた後述するプロファイルを新たに作成して、ホワイトリスト１１０に登録してよいかどうかを判定する（Ｓ１１での判定の基準はネットワーク接続管理のポリシーによって異なったものとなる）。

そして、ＣＰＵ１１はホワイトリスト１１０に登録してよいと判定するとＳ１２に動作を進めて設定情報作成手段としての動作を行い、ＩＰアドレスを用いたプロファイルを新たに作成する。その後、ＣＰＵ１１は新たに作成したプロファイルをホワイトリスト１１０に登録した後、Ｓ３に戻って、上述の動作を繰り返す。ＣＰＵ１１は登録しないと判定したときはＳ９に動作を進めて、上述の動作を繰り返す。

そして、ネットワークリスト１０２はサーバ装置１００から提供され、コンピュータ１で保持されている。例えば、図１に示すように、ネットワークリスト１０２はサーバ装置１００において、フレキシブルディスク１２０、光ディスク１２１といったリムーバブルメディアに記憶され、コンピュータ１でそのリムーバブルメディアからの読み取り動作を行って保持されている。また、図１に示すように、コンピュータ１がサーバ装置１００からインターネット２００を通じたダウンロードを行って、ネットワークリスト１０２を保持してもよい。ただし、セキュリティ面を考慮すると、リムーバブルメディアを用いる方が好ましい。

本実施の形態では、ネットワークリスト１０２は、図５に示すように、ホワイトリスト１１０、ブラックリスト１１１が区別して登録されている。

ホワイトリスト１１０は、接続が許される安全な、すなわち接続に適している（適正のある）ネットワーク（許可ネットワーク）のプロファイルが登録され、ブラックリスト１１１は接続が禁止される、すなわち接続に適さない（適正のない）ネットワーク（禁止ネットワーク）のプロファイルが登録されている。

プロファイルとは、ネットワークへの接続に用いられる各種の設定情報であり、例えば、ＩＰアドレス、ホームページアドレス、通信デバイスの有効、無効の状態の設定、ＤＨＣＰ（Dynamic Host Configuration Protocol）の設定、ＤＮＳサーバ（Domain Name サーバ）の設定などに関する情報である。

なお、図５では、これらのうち、ＩＰアドレス（例えば、“１９２．１６８．０．１”）とＤＮＳサーバ（例えば、“ｄｎｓ．ｓｗ．ｔｏｓｈｉｂａ．ｃｏ．ｊｐ”）を示している。

このように、コンピュータ１は、ポートクローズを行った上でＩＰアドレスを取得し、その取得したＩＰアドレスを用いて対象ネットワークが安全であるかどうかの確認を行い、安全であることが確認できてからポートを開放して通信を行うようにしている。つまり、コンピュータ１は対象ネットワークが安全であることが確認できるまで、その対象ネットワークへの接続を保留している。

コンピュータ１は、ネットワークへの接続を行うにあたって、以上のようにしてポートの閉鎖および開放を行い、ポートの開閉を動的に管理しているので、安全でないネットワークに接続されるおそれがなくなり、セキュリティレベルを向上させることができる。

そのため、コンピュータ１では、管理者が許可しないネットワークにユーザが接続しようとしたときに、そのネットワークへの接続を確実に禁止することができる。

また、例えば、Ｓ５からＳ９の間やＳ９とＳ１０の間にコンピュータ１から、管理者の使用しているコンピュータ（図示せず）に通知メッセージを送信する処理を行うことにより、管理者の意図していないネットワーク（これは、上述の実施形態では、ブラックリスト１１１に登録されているネットワークになる）への接続が行われようとしたときに、その旨、管理者に通知することができ、コンピュータ１のユーザが管理者から接続の許可を仰ぐことも可能になる。

さらに、管理者はネットワークリスト１０２をコンピュータ１に配布することにより、アクセス可能な安全なネットワークでどれであるかをユーザに通知しておくことができ、ネットワークへのアクセスコントロールを画一的に行うこともできる。

なお、本実施の形態は、ＯＳとして、Windows(登録商標)のほか、Ｌｉｎｕｘ／ＦｒｅｅＢＳＤ，Ｍａｃ ＯＳといった種々のＯＳを用いて実施することが可能である。

また、通信手段として外付けの通信デバイスＡ，Ｂ，Ｃ，Ｄを用いる場合を例にとって説明しているが、外付けの通信デバイスＡ，Ｂ，Ｃ，Ｄの代わりに内蔵の通信デバイス（図示せず）を用いてもよい。

以上の説明は、本発明の実施の形態についての説明であって、この発明の装置及び方法を限定するものではなく、様々な変形例を容易に実施することができる。又、各実施形態における構成要素、機能、特徴あるいは方法ステップを適宜組み合わせて構成される装置又は方法も本発明に含まれるものである。

本発明の実施の形態に係る通信装置としてのコンピュータと、サーバ装置とを有するネットワーク接続管理システムの構成を示すブロック図である。 図１に示したコンピュータの内部構成を示すブロック図である。 ＯＳにより管理されるプログラムと複数の通信デバイスとの関係を示すブロック図である。 ネットワーク接続管理の動作手順を示すフローチャートである。 ネットワークリストの一例を示す図である。

符号の説明

１…コンピュータ、１１…ＣＰＵ、１２…ノースブリッジ、１７…ＰＣＩスロット
１８…サウスブリッジ、２０…記憶装置、５０…ネットワーク管理プログラム、１０２…ネットワークリスト、１１０…ホワイトリスト、１１１…ブラックリスト、Ａ，Ｂ，Ｃ，Ｄ…通信デバイス

Claims (6)

1. 通信手段を用いてネットワークを介した通信を行う通信装置であって、
   前記ネットワークを介した通信の相手となる外部装置のアドレスの取得に要するポート以外のポートをすべて閉鎖するポート閉鎖を行うポート閉鎖手段と、
   前記外部装置のアドレスの取得に要するポートを用いて、前記外部装置のアドレスを取得するアドレス取得手段と、
   前記ポート閉鎖手段が前記ポート閉鎖を行った後に、前記アドレス取得手段が取得した前記アドレスを用いて前記ネットワークの適否を判定する判定手段と、
   前記判定手段が適正有りと判定した前記ネットワークへの接続に用いられるポートを開放し、かつ前記判定手段が適正無しと判定した前記ネットワークへの接続を切断するように制御するネットワーク接続管理手段とを有することを特徴とする通信装置。
2. 前記アドレス取得手段が取得した前記アドレスを、接続することが予定されている接続予定ネットワークの適否を示すネットワークリストと照合する照合手段を更に有し、
   前記判定手段は、前記照合手段の照合結果に基づいて、前記ネットワークの適否を判定することを特徴とする請求項１記載の通信装置。
3. 前記ネットワークリストは、接続が許される許可ネットワークへの接続に用いられる許可アドレスを含む設定情報と、接続が禁止される禁止ネットワークへの接続に用いられる禁止アドレスを含む設定情報とが区別して登録されていることを特徴とする請求項２記載の通信装置。
4. 前記判定手段が適正無しと判定した前記ネットワークを介した通信を行う通信手段の動作を無効にする無効化手段を更に有することを特徴とする請求項１〜３のいずれか一項記載の通信装置。
5. 前記照合結果が、前記アドレス取得手段が取得した前記アドレスを含む前記設定情報が前記ネットワークリストに未登録であることを示すときに、前記アドレスを含む前記設定情報を前記ネットワークリストに登録してよいかどうかを判定する登録可否判定手段と、
   該登録可否判定手段が登録してよいと判定したときに、前記アドレスを含む前記設定情報を作成する設定情報作成手段とを更に有することを特徴とする請求項３または４記載の通信装置。
6. 通信手段を用いてネットワークを介した通信を行う通信装置に適用されるネットワーク接続管理プログラムであって、
   前記ネットワークを介した通信の相手となる外部装置のアドレスの取得に要するポート以外のポートをすべて閉鎖するポート閉鎖を行うポート閉鎖機能と、
   前記外部装置のアドレスの取得に要するポートを用いて、前記外部装置のアドレスを取得するアドレス取得機能と、
   該ポート閉鎖機能により前記ポート閉鎖を行った後に、前記アドレス取得機能により取得した前記アドレスを用いて前記ネットワークの適否を判定する判定機能と、
   前記判定機能により適正有りと判定した前記ネットワークへの接続に用いられるポートを開放し、かつ前記判定機能により適正無しと判定した前記ネットワークへの接続を切断するように制御するネットワーク接続管理機能とをコンピュータに実現させるためのネットワーク接続管理プログラム。

Images