JP2009169781A - ネットワーク検疫システム - Google Patents

Abstract

【課題】セキュリティ対策状況を調査する為の、前提プログラムをあらかじめ実行する事無く、ネットワークに接続しようとした場合でも未対策の端末を検出しセキュリティ対策用プログラムを強制送付し対策を完了させる。
【解決手段】事前にセキュリティ対策状況を調査する前提プログラムを実施する事なく、ネットワーク００２に接続しようとした端末装置００４に対して、検疫システム００７から、PORTの開閉状態、サービスの起動状態、匿名ログインの可否状態、最新の脆弱性に対するセキュリティ対策状況を調査し、その結果を事前に決めておいたセキュリティポリシー０１９や、脆弱性情報０１８の判定条件に従って、対策済判定処理部０１４にて、セキュリティ対策が実施されているかどうかを判断し、対策が未実施と判定した場合は対策プログラム０２０を送付し実行させ、セキュリティ対策を実施する。
【選択図】 図１

Description

この発明は、ネットワーク内に接続される端末のセキュリティ対策状況を監視する検疫システムに関するものである。

インターネットへの常時接続が当たり前となっている近年、様々なウィルスの拡散により、感染、情報漏洩、サービス停止等の問題が発生している。

OS、アプリケーションとも、各種ウィルスからの攻撃を防御する為の対策パッチを公開しているが、それらの提供もインターネットを経由して実施される為、新たに端末を導入する際は、どうしても対策を未実施の状態でネットワークに接続してしまう危険性が残ってしまう。

その為、特開2007-25812号公報にもある様に、ネットワークに接続する前に必要最小限の対策と、端末の対策状況を調査する前提プログラムを外部媒体等から端末のメモリ上に展開した上で実行し、あらかじめセキュリティの状況を調査・対策を実施してから、ネットワークに接続する方法などが提案されている。

特開2007-25812号公報

端末のセキュリティ対策状況を収集する為には、端末のメモリ上で動作する前提プログラムが必要な為、ネットワークに接続する前にプログラムの実行が必要となる。

特開2007-25812号では前提プログラムを保存した外部媒体を端末に接続し、このプログラムを実行する事で、サーバにセキュリティ対策状況を送付する仕組みとなっている。

この方法では、セキュリティ対策を実施済みの端末との思い込みや、外部から端末を持込み、ネットワークに接続する際の手順の誤り等により、セキュリティ未対策の端末がネットワークに接続された場合、これを検出する事が出来ない。

本発明の目的は、セキュリティ対策状況を調査する為の、前提プログラムをあらかじめ実行する事無く、ネットワークに接続した場合でも検疫システム側からセキュリティ対策状況を調査可能とし、その結果、未対策の端末を検出した場合にセキュリティ対策用プログラムを強制送付し、セキュリティ対策を完了させるものである。

新たにネットワークに接続した端末装置に対して監視サーバの端末調査処理部からポートスキャンの実施による各種サービスの起動状況、匿名ログインの可否、最新の脆弱性に対する攻撃、等を実施し、その結果をセキュリティポリシーとして管理者が事前に決めておいた判定条件に従って、セキュリティ対策が実施されているかどうかを判断し、対策が未実施と判定した場合は対策用プログラムを送付し実行させ、セキュリティ対策を実施する。

これによりネットワークに接続する前に前提プログラムを実行する事なくセキュリティ対策状況を調査・対策する事を可能にする。

あらかじめ前提プログラムを実行していない端末であっても、初めてネットワークに接続した時点で、セキュリティ対策状況を確認し、未対策の場合、対策実施プログラムを強制配布・実行し、対策を完了できる。

以下、図面を用いて発明の詳細を説明する。

図１は本発明のシステム構成の例である。

ルータ００１は、各種インフラを利用可能なネットワーク００２や、外部ネットワークとの相互の通信制御を行っている。

ネットワーク００２には、ネットワークを通じて各種インフラサービスを利用する端末装置群００３と、ネットワーク ００２に接続しようとする端末のセキュリティ対策状況を調査・対策する検疫システム００７が接続されている。

未対策端末装置群００５は、ルータ００１により、ネットワーク００２や外部のネットワークとの通信を遮断した状態にしてあり、万一ウィルスに感染していた場合でも、ネットワーク００２や外部ネットワークへ感染が拡大する事を防止している。

端末装置群００３は、複数の端末装置＃（１）００４から端末装置＃（ｎ）で構成される。

検疫システム００７は一般的なコンピュータであり、ＣＰＵ００８、メモリ００９、外部記憶装置０１６、未対策端末表示装置０２１から構成される。

メモリ００９には、ネットワークに接続しようとする際に端末装置からルータ００１に対して送信されるパケットを監視するネットワーク監視部０１０、ネットワークに接続しようとする端末装置が新たに接続された物か、それとも以前に接続しようとしてセキュリティ対策が未実施の為未対策端末と判定された物か、又はセキュリティ対策済みの物かを判定する端末情報処理部０１１、最新の脆弱性対策が実施されているか否かの判定を行う脆弱性情報処理部０１２、接続された端末のセキュリティ対策状況を調査する、端末調査処理部０１３、セキュリティ対策が完了したか否かを判定する、対策済判定処理部０１４、未対策端末の情報を表示装置に表示する処理を行う、表示処理部０１５が記憶されており、それぞれＣＰＵ００８を利用して動作を実行する。外部記憶装置０１６には、これまでにネットワーク００２に接続しようとした事が有る端末装置のセキュリティ対策状況の情報を記憶する端末装置情報０１７と、脆弱性の情報を記憶する脆弱性情報０１８、セキュリティ対策が完了したか否かを判定する際の判定条件であるセキュリティポリシー０１９と、各種OS毎のセキュリティ対策プログラムを保存している、対策プログラム０２０が記憶されている。

端末情報処理部０１１は、ネットワーク監視部０１０が監視しているパケットの送信元情報から検出した新たにネットワークに接続しようとした端末装置が、端末装置情報領域 ０１７に既に登録されているかを確認し、未登録の場合、新たにネットワークに接続された物と判断し、当該端末に対してセキュリティ対策状況の調査・対策を実施する。

図３は、端末装置情報０１７の領域に保存されているデータの形式を示している。

IP０３５は端末装置のIPアドレス、MAC０３６はMACアドレス、PORT０３７はポートスキャンを実施した結果開いた状態となっているPORT番号、サービス０３８は起動しているサービスの名称、匿名ログイン０３９はサービスに対しての匿名ログインの可否、対策状況０４０は、最新の脆弱性情報に対するセキュリティ対策の実施状況、判定結果０４１は、対策済判定処理部０１４が、当該端末がセキュリティ対策が実施済みか、否かを判定した結果、実行結果０４２は検疫システム００７から送付した対策プログラムの実行結果、完了日０４３はセキュリティ対策が完了した日付、ＯＳ ０４４はＯＳ名称、Ver/Rev０４５はバージョン情報をそれぞれ記録している。

１台の端末装置において、複数のPORT番号が開いている場合は、PORT番号毎に新たな１レコードとして記録する。

１台の端末装置において複数のサービスが起動している場合は、サービス毎に新たなレコードとして記録する。

PORTが開いているがサービスが起動していない場合は、匿名ログインの確認が出来ない為、サービス０３８及び、匿名ログイン０３９の項目は空欄となる。

又、非常にまれなケースとして開いているポートが１件も検出され無い場合は、その端末がネットワーク００２へ接続しようとした事を記録する為に、PORT０３７、サービス０３８、匿名ログイン０３９の項目が空欄のレコードを記録しておく。

図４は、脆弱性情報０１８の領域に保存されている各ＯＳ毎の最新の脆弱性情報のデータ形式を表示している。

OS０４６はその脆弱性を持っているOSの種類、対策要ファイル０４７は、この脆弱性における対策が必要なファイル名称、対策済みVer-Rev０４８は、当該ファイルの対策が完了してるVer-Revの情報、対策公開日０４９は、この脆弱性に対する対策が公開された年月日を記録している。

図５は、対策プログラム０２０の領域に保存されているデータの形式を表示している。

OS０５０は、対策プログラムが対応しているOSの種類、対策プログラム０５１は、対策プログラムのファイル名、作成日０５２は、対策プログラムが作成された年月日を記録している。

図６は、セキュリティポリシー０１９の領域に保存されているデータの形式を表示している。

PORT０５３はPORT番号を、サービス０５４はサービス名を、開閉０５５はPORTの開閉状態を、起動/停止０５６はサービスの起動状態を、匿名ログイン０５７は、サービスへの匿名ログインの可否を表している。

この情報は当該ネットワークにおけるセキュリティに関する基準に応じて、管理者が変更可能となっている。

図２は、ネットワーク００２に端末装置が接続しようした際の本発明の処理の流れを示しているフローチャートである。

ネットワーク００２に端末装置が接続（０２２）しようとすると、ルータ００１に対してパケットを送信（０２３）する。ネットワーク監視部０１０はこれを検知してパケット内の送信元情報よりその端末に対してARCコマンドを発行し端末装置のMACアドレスを取得する。又、取得したMACアドレスを端末情報処理部０１１に送付する（０２４）。

端末情報処理部０１１は、送付されて来たMACアドレスをキーにして端末装置情報０１７のMAC０３６と突合せ（０２５）を実施し、新規接続端末か否かを判定（０２６）し、端末装置情報０１７に登録されていない新規接続端末であると判定した場合、端末調査処理部０１３に対して、セキュリティ対策状況の調査を実施する様、指令する（０２８）。端末情報処理部０１１から、セキュリティ対策状況を調査する様に指示された端末調査処理部０１３は、当該端末装置に対して、NmapやNesussの様な一般的なネットワークスキャナプログラムが実施するのと同等の（１）〜（３）の調査を実施する。
（１）インフラを利用するに当たって不要なポート番号が開いていないかを調査する。
（２）インフラを利用する際に不要なサービスプログラムが起動していないかを調査する。
（３）起動しているサービスに対して匿名ログインが可能かを確認する。

本システムではさらに、脆弱性情報処理部０１２により、
（４）当該端末装置にて起動しているサービスを利用して当該端末に接続し、最新の脆弱性に対する対策が実施されているか、対策要ファイル０４７のVer-Revを確認する。

そして、これらの調査結果を端末装置情報０１７の領域に保存する（０２９）。

対策済判定処理部０１４は、端末装置情報０１７に保存されている情報の内、当該端末と同じMACアドレスの情報を持つレコードを抽出し、セキュリティポリシー０１９の領域にあらかじめ保存されているPORT、サービス、匿名ログインの条件に反する物が無いか、及び、脆弱性情報０１８に保存されている対策要ファイルのVer-Rev情報よりも古いバージョンのファイルでは無いかを確認し、当該端末装置にセキュリティ対策が実施されていないと判定（０３０）した場合、対策プログラム０２０領域に保管されている各種OSに対応した対策プログラムの中から、当該端末のOS用の物を強制送付し実行させる（０３１）。

又、端末情報処理部０１１によって新規に接続しようとしている端末ではないと判定（０２６）した場合は、端末装置情報０１７に保存されている当該端末の各種情報とセキュリティポリシー０１９の情報、及び脆弱性情報０１８の情報を、対策済判定処理部０１４にて再度確認し、当該端末装置にセキュリティ対策が実施されていないと判定（０２７）した場合、端末調査処理部０１３に対して、セキュリティ対策状況の再調査を実施する様、指令する（０２８）。

対策プログラムの実行結果は当該端末から対策済判定処理部０１４に対してOK又はNGの情報として返信される。

対策済判定処理部０１４は当該端末からの実行結果がOKの場合は、正しく対策が完了したと判断し、処理を完了する。NGの場合は、未対策のままと判断（０３１）し、対策済判定処理部０１４によりルータ００１に対して、当該端末から他の端末に対する通信、及び他の端末からの当該端末への通信を一切遮断する様に指示する（０３３）。

さらに、未対策端末が検出された事を、表示処理部０１５に通知する（０３３）。

表示処理部０１５は未対策端末表示装置０２１にメッセージを表示するとともに、管理者宛にメール等で通知し（０３３）手動による対策実施を促す。

管理者は未対策端末表示装置０２１に表示された情報を元に、対策プログラムの実施
結果がNGとなった未対策端末装置００６に対して手動で対策を実施し、対策完了後、ルータ００１に対して当該端末の通信遮断を解除するよう設定変更を実施し、ネットワーク００２に接続する。

本発明のシステム構成概要。 ネットワークに接続しようとする端末装置に対する本システムの処理の流れ。 端末装置情報に保存される各種情報の項目。 脆弱性情報に保存される各種情報の項目。 対策プログラムに保存される各種情報の項目。 セキュリティポリシーに保存される各種情報の項目。

符号の説明

００１…ルータ、００２…ネットワーク、００３…端末装置群、００４…端末装置、００５…未対策端末装置群、００６…未対策端末装置、００７…検疫システム、００８…ＣＰＵ、００９…メモリ、０１０…ネットワーク監視部、０１１…端末情報処理部、０１２…脆弱性情報処理部、０１３…端末調査処理部、０１４…対策済判定処理部、０１５…表示処理部、０１６…外部記憶装置、０１７…端末装置情報、０１８…脆弱性情報、０１９…セキュリティポリシー、０２０…対策プログラム、０２１…未対策端末表示装置。

Claims (3)

1. ネットワーク内に新たに接続された端末が、ネットワークを経由した攻撃に対する脆弱性を解消する為の適切なセキュリティ対策を実施しているかを検査し、未対策の端末を検知した場合、対策実施プログラムを当該端末に送付しセキュリティ対策を実施する事を特徴とするネットワーク検疫システム。
2. 端末のセキュリティ対策が適切に実施されているかを収集し監視サーバへ収集した情報を送信する為の端末上で操作する前提プログラムを必要としない様に、検疫システムから端末に対して、ポートスキャンによるポートの開閉状態の確認、開いているポートに対してアクセスを試み、サービスが匿名ログインで利用可能となっていないか、新たに判明した脆弱性対する対策実施状態の確認、等を実施可能とし、ネットワークへ繋ぐ際の事前作業を不要とするネットワーク検疫システム。
3. 未対策の端末に強制送付して実行する対策実施プログラムの実行結果がエラーとなった場合は、当該端末を通常のネットワークとの通信を遮断した上で、管理者に対して表示装置やメール等で通知し、手動での対策実施を促すネットワーク検疫システム。

Images