JP2011254127A - ネットワークセキュリティ装置、ネットワークセキュリティ方法、ネットワークセキュリティプログラム及び記録媒体 - Google Patents

Abstract

【課題】本発明は、接続先のネットワークの種別を検出して、該ネットワーク種別に適切なファイアウォール設定を自動で行う。
【解決手段】可搬型コンピュータ２は、ネットワークＫＮ、ＨＮに接続されると、接続先のネットワークＫＮ、ＨＮのネットワーク環境情報を取得して、取得された該ネットワーク環境情報に基づいて、ネットワーク環境情報とネットワークの種別を特定するネットワーク特定情報を対応づけたネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別し、判別結果のネットワーク種別に応じて、ファイアウォールを自動設定する。
【選択図】 図１

Description

本発明は、ネットワークセキュリティ装置、ネットワークセキュリティ方法、ネットワークセキュリティプログラム及び記録媒体に関し、詳細には、接続先のネットワーク種別に適したファイアウォールを自動設定するネットワークセキュリティ装置、ネットワークセキュリティ方法、ネットワークセキュリティプログラム及び記録媒体に関する。

ノート型コンピュータ、携帯情報端末等の可搬型情報処理装置は、移動先でネットワークに接続されて使用されることが多いが、接続されるネットワーク環境を有効に利用しつつ、ネットワークを介した侵入や攻撃に対するセキュリティを確保するためには、該ネットワーク環境に応じたセキュリティ設定を行う必要がある。

例えば、可搬型情報処理装置がネットワークに接続される際に、接続先のネットワークが、家庭内ネットワークであるか、会社等の企業ネットワークであるか、パブリックネットワークであるか等によって、該ネットワークに接続されているプリンタ装置、スキャナ装置等のネットワーク機器を有効利用しつつ、該ネットワークを介した侵入や攻撃に対するセキュリティを確保するためには、ネットワーク環境に応じたセキュリティ設定、特に、ファイアウォール（Firewall）の設定を行う必要がある。

ネットワーク環境に応じたセキュリティ設定は、ネットワーク及びコンピュータに関する相当な知識を必要とし、情報処理装置のセキュリティ及び利用性を向上させる上で、改良の必要があった。

従来においては、例えば、Windows VISTA（登録商標）に実装されているように、配布された接続先がどのようなネットワークであるか判別する技術や、アノーマリ型ＩＰＳ（Intrusion Protection System：侵入防止）に実装されているように、プロトコル・データが異常な値を取ることを検出して攻撃であると判断する技術がある。

ところが、このような従来の技術にあっては、ＩＰアドレスから接続先がどのようなネットワークであるかを判断しているため、同じプライベートアドレスを使用している場合には、適切にネットワーク種別を判別することができず、過去に接続してその解析結果が残っているネットワークを判別することができるのみである。また、アノーマリ型ＩＰＳは、攻撃パケットが到着するまで、セキュリティ対処を取ることができず、事前の対策による、より高いセキュリティが要求される。

また、従来、ネットワークのノードに適応型閾値を設定する場合に、該ノードに関連するデータストリームを監視して、該ノードの特徴を明らかにし、該ノードに影響する環境要因を監視して、前記特徴または環境要因のうち少なくとも一方に基づいて前記適応型閾値を決定することで、セキュリティの向上を図った技術が提案されている（特許文献１参照）。

しかしながら、上記従来技術にあっては、ノードに関連するデータストリームを監視して、該ノードの特徴を明らかにして、セキュリティ対策を行っているため、例えば、攻撃パケットが到着する等の異常が発生するまで、セキュリティ上の対策をとることができず、事前のセキュリティ対策及びネットワークの利用性の向上を図る上で、改良の必要があった。

そこで、本発明は、接続先のネットワーク種別に適したファイアウォールを自動設定してセキュリティの対策と利用性を向上させるネットワークセキュリティ装置、ネットワークセキュリティ方法、ネットワークセキュリティプログラム及び記録媒体を提供することを目的としている。

本発明は、上記目的を達成するために、ネットワークに接続されると、接続先のネットワークのネットワーク環境情報を取得して、取得された該ネットワーク環境情報に基づいて、ネットワーク環境情報とネットワークの種別を特定するネットワーク特定情報を対応づけたネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別し、判別結果のネットワーク種別に応じてファイアウォールの設定を行うことを特徴としている。

また、本発明は、過去に設定されたネットワークを利用するためのネットワーク設定情報に基づいて前記ネットワーク環境情報を取得することを特徴としてもよい。

さらに、本発明は、前記ネットワーク種別判別データベースが、画像形成装置の少なくとも名称、機種及び接続先情報を前記ネットワーク環境情報として記憶し、プリンタ設定に基づいて接続先のネットワークに接続されている画像形成装置の少なくとも名称、機種及び接続先情報を前記ネットワーク環境情報として取得し、取得した画像形成装置の少なくとも前記名称、機種及び接続先情報に基づいて前記ネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別することを特徴としてもよい。

また、本発明は、前記ネットワーク種別判別データベースが、少なくともネットワーク端末の端末種別と機能を前記ネットワーク環境情報として記憶し、ネットワーク端末の少なくとも端末種別と機能を前記ネットワーク環境情報として取得して、取得したネットワーク端末の少なくとも前記端末種別と機能に基づいて前記ネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別することを特徴としてもよい。

本発明によれば、接続先のネットワーク種別に適したファイアウォールを自動設定してセキュリティの対策と利用性を向上させることができる。

第１実施例のネットワークセキュリティシステムの概略構成図。 可搬型コンピュータの機能ブロック構成図。 プリンタ設定情報の一例を示す図。 プリンタ設置場所傾向情報の一例を示す図。 プリンタ一覧作成処理を示すフローチャート。 ネットワーク種別判別・Firewall設定処理を示すフローチャート。 第２実施例のネットワークセキュリティシステムの概略構成図。 第２実施例の可搬型コンピュータの要部機能ブロック構成図。 サービス存在環境傾向データベースの一例を示す図。 第２実施例におけるネットワークセキュリティ処理を示すフローチャート。

以下、本発明の好適な実施例を添付図面に基づいて詳細に説明する。なお、以下に述べる実施例は、本発明の好適な実施例であるので、技術的に好ましい種々の限定が付されているが、本発明の範囲は、以下の説明によって不当に限定されるものではなく、また、本実施の形態で説明される構成の全てが本発明の必須の構成要件ではない。

図１〜図６は、本発明のネットワークセキュリティ装置、ネットワークセキュリティ方法、ネットワークセキュリティプログラム及び記録媒体の第１実施例を示す図であり、図１は、本発明のネットワークセキュリティ装置、ネットワークセキュリティ方法、ネットワークセキュリティプログラム及び記録媒体の第１実施例を適用したネットワークセキュリティシステム１のシステム構成図である。

図１において、ネットワークセキュリティシステム１は、可搬型コンピュータ２が、企業ネットワークＫＮとホームネットワークＨＮに択一的に接続され、可搬型コンピュータ２は、接続されたネットワークＫＮ、ＨＮの種別を認識して、該ネットワークＫＮ、ＨＮに適したファイアウォールを構築する。

企業ネットワークＫＮには、コンピュータ３ａ、ＭＦＰ（Multi Function Peripheral）３ｂ及び図示しない企業用プリンタ、企業用スキャナ、企業用ファクシミリ装置、遠隔会議システム等の企業内で使用されることの多いネットワーク端末が接続され、ホームネットワークＨＮには、コンピュータ４ａ、家庭用プリンタ４ｂ及び図示しない家庭用スキャナ、家庭用ファクシミリ装置等の家庭内で使用されることの多いネットワーク端末が接続される。

可搬型コンピュータ（ネットワークセキュリティ装置）２は、通常の可搬型コンピュータのハードウェア構成、すなわち、ＣＰＵ（Central Processing Unit）、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスク、液晶ディスプレイ、キーボード、タッチパネル及びネットワークインターフェイス等を備えているとともに、通常のソフトウェア構成、すなわち、Windows（登録商標）等のＯＳ（Operating System）及びＯＳ上で動作する文書アプリケーション、図形アプリケーション、表計算アプリケーション及びファイアウォール等のアプリケーション及び本発明のネットワークセキュリティプログラム等を搭載している。

そして、可搬型コンピュータ２は、ＲＯＭ、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory ）、ＥＰＲＯＭ、フラッシュメモリ、フレキシブルディスク、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory ）、ＣＤ−ＲＷ（Compact Disc Rewritable ）、ＤＶＤ（Digital Versatile Disk）、ＳＤ（Secure Digital）カード、ＭＯ（Magneto-Optical Disc）等のコンピュータが読み取り可能な記録媒体に記録されている本発明のネットワークセキュリティ方法を実行するネットワークセキュリティプログラムを読み込んでＲＯＭやハードディスクに導入することで、後述するファイアウォールをネットワーク種別に応じて設定するネットワークセキュリティ方法を実行するネットワークセキュリティ装置として構築されている。このネットワークセキュリティプログラムは、アセンブラ、Ｃ、Ｃ＋＋、Ｃ＃、Ｊａｖａ（登録商標）等のレガシープログラミング言語やオブジェクト指向ブログラミング言語等で記述されたコンピュータ実行可能なプログラムであり、上記記録媒体に格納して頒布することができる。

可搬型コンピュータ２は、上記ネットワークセキュリティプログラムが導入されることで、図２に示すように、端末用ファイアウォール機構部１１、プリンタ設定記憶機構部１２、データベース（ＤＢ）部１３、プリンタ探索部１４、ネットワーク判別部１５及びFirewall設定処理部１６等の機能ブロックが構築される。

端末用ファイアウォール機構部（ファイアウォール手段）１１は、可搬型コンピュータ２のファイアウォール機能を提供し、Firewall設定処理部１６によってネットワークの種別、すなわち、企業ネットワークＫＮとホームネットワークＨＮの種別に適したFirewall（ファイアウォール）機能が構築される。

プリンタ設定記憶機構部１２は、例えば、ハードディスク等に構築され、ＭＦＰ３ｂ等の企業用プリンタ及び家庭用プリンタ４ｂ等の家庭用プリンタ毎に、過去に利用する際に設定されたプリンタ設定情報（ネットワーク設定情報）をプリンタ毎に記憶する。このプリンタ設定情報は、例えば、図３に示すように、ネットワーク端末であるプリンタ等のプリンタ名（名称）、プリンタ機種（機種）及びプリンタ通信先の情報（接続先情報）等がネットワーク環境情報として登録されている。図３において、プリンタ通信先は、プリンタ名のプリンタに対する印刷プロトコルの通信先であり、例えば、プリンタｘは、プリンタ機種が、「機種Ａ」で、通信先が、「192.0.2.25:9100」である。

データベース部（記憶手段）１３は、例えば、ハードディスク等に構築され、例えば、図４に示すように、プリンタ毎に、ネットワーク特定情報としての家庭にある可能性を示す値（可能性値：確率）及び企業にある可能性を示す値（可能性値：確率）が設定されたプリンタ設置場所傾向情報（ネットワーク種別判別データベース）を記憶する。図４において、プリンタ機種は、プリンタの機種であり、家庭にある可能性は、該プリンタ機種のプリンタが家庭に設置されてホームネットワークＨＮに接続される可能性の度合い、企業にある可能性は、該プリンタ機種のプリンタが、企業に設置されて企業ネットワークＫＮに接続される可能性の度合いをそれぞれ示している。例えば、図４において、機種Ａがネットワーク上にある場合、家庭のホームネットワークＨＮに接続されている可能性値が「０．８」と高いのに対して、会社の企業ネットワークＫＮに接続されている可能性値が「０．２」と低いので、接続されているネットワークに機種Ａのプリンタが接続されていると、家庭のホームネットワークＨＮに接続されていると判断する。また、図４において、機種Ｄがネットワーク上にある場合、家庭のホームネットワークＨＮに接続されている可能性値が「０．１」と低いのに対して、会社の企業ネットワークＫＮに接続されている可能性値が「０．９」と高いので、接続しているネットワークに機種Ｄのプリンタが接続されているときには、企業ネットワークＫＮに接続に接続されていると判断する。

プリンタ探索部（ネットワーク環境検出手段）１４は、図示しないネットワークインターフェイスに接続されているネットワークに接続されていて使用可能なプリンタを探索する機能を有している。プリンタ探索部１４は、可搬型コンピュータ２が企業ネットワークＫＮまたはホームネットワークＨＮに接続されると、プリンタ設定記憶機構部１２のプリンタ設定情報を参照して、ネットワークＫＮ、ＨＮ上のプリンタに対して空の印刷ジョブを送信し、該プリンタからの応答の有無によって通信ができたか否かを判断して、通信ができると、該プリンタがそのネットワークＫＮ、ＨＮ上に存在すると判断する。プリンタ探索部１４は、ネットワークＫＮまたはネットワークＨＮに存在すると判断すると、プリンタ設定記憶機構部１２のプリンタ設定情報に接続先のネットワークＫＮ、ＨＮに存在するプリンタとして登録する。

ネットワーク判別部（ネットワーク種別判別手段）１５は、プリンタ探索部１４が企業ネットワークＫＮまたはホームネットワークＨＮ上の全てのプリンタに対する探索が完了すると、探索した接続先のネットワークＫＮ、ＨＮに接続されているプリンタの家庭にある可能性値と企業にある可能性値をそれぞれデータベース部１３から取得して、それぞれの平均値または総和を比較することで、接続されたネットワークが、企業ネットワークＫＮとホームネットワークＨＮのいずれであるかを判別する。

Firewall設定処理部（ファイアウォール設定手段）１６は、ネットワーク判別部１５の判別結果に応じて、端末用Firewall機構部１１のFirewall設定内容を該判別結果のネットワーク種別に適したFirewall設定内容に設定処理する。

次に、本実施例の作用を説明する。本実施例のネットワークセキュリティシステム１は、可搬型コンピュータ２が、ネットワークに接続された際に、そのネットワークの種別を自動判別して、ネットワークの種別に適したFirewall設定を行う。

なお、可搬型コンピュータ２は、図１に示したように、本実施例では、説明を明確にするために、企業ネットワークＫＮとホームネットワークＨＮのいずれかに接続されるものとしており、この２種類のネットワークＫＮ、ＨＮのいずれに接続されたかを自動判別して、ネットワークの種別に適したFirewallの設定を行う。このネットワークの種別は、上記企業ネットワークＫＮとホームネットワークＨＮの２種類に限るものではなく、例えば、公共の場所に設置されているパブリックネットワーク、ネットワークカフェ等の商用ネットワーク等に対しても、同様に適用することができる。

本実施例の場合、ネットワークセキュリティシステム１は、可搬型コンピュータ２が、企業ネットワークＫＮとホームネットワークＨＮのいずれかに選択的に接続され、可搬型コンピュータ２は、いずれかのネットワークＫＮ、ＨＮに接続されると、まず、図５に示すように、プリンタ一覧作成処理を行う。

すなわち、可搬型コンピュータ２は、ネットワークＫＮ、ＨＮに接続されたことをネットワークインターフェイスが検出すると、図５に示すように、プリンタ探索部１４が、プリンタ設定記憶機構部１２に登録されているプリンタの一覧を取得し（ステップＳ１０２）、該プリンタ一覧のうち、先頭のプリンタに対して、空の印刷ジョブを送信して（ステップＳ１０２）、通信できたかチェックする（ステップＳ１０３）。

プリンタ探索部１４は、ステップＳ１０３で、通信できたときには、プリンタ設定記憶機構部１２のプリンタ設定情報に、接続先ネットワークＫＮ、ＨＮに存在するプリンタとして記憶し（ステップＳ１０４）、ステップＳ１０３で、通信できなかったときには、プリンタ設定記憶部１２のプリンタ設定情報に、接続先ネットワークＫＮ、ＨＮに存在しないプリンタとして記憶する(ステップＳ１０５)。

プリンタ探索部１４は、１台のプリンタについての探索とプリンタ設定情報への登録が完了すると、プリンタ一覧の全てのプリンタについて検証し終わったかチェックし(ステップＳ１０６)、全てのプリンタに対する検証が完了していないときには、プリンタ一覧の次のプリンタに対して、空の印刷ジョブを送信して(ステップＳ１０７)、ステップＳ１０３に戻って、上記同様に処理する(ステップＳ１０３〜Ｓ１０７)。

プリンタ探索部１４は、ステップＳ１０６で、プリンタ一覧の全てのプリンタに対する検証が終了すると、プリンタ一覧作成処理を終了する。

可搬型コンピュータ２は、プリンタ一覧の作成を完了すると、図６に示すネットワーク種別判別・Firewall設定処理を行う。すなわち、可搬型コンピュータ２は、プリンタ探索部１４によるプリンタ一覧作成処理を終了すると、ネットワーク判別部１５が、図６に示すように、プリンタ設定記憶機構部１２から存在するプリンタの一覧を取得して、その先頭のプリンタの機種名を取得し(ステップＳ２０１)、取得したプリンタ機種がデータベース部１３のプリンタ設置場所傾向情報（ＤＢ）に記載されているか調べて（ステップＳ２０２）、記載されているか判別する（ステップＳ２０３）。

ステップＳ２０３で、調査対象のプリンタ機種がプリンタ設定場所傾向情報に記載されていると、ネットワーク判別部１５は、そのプリンタ機種の自宅可能性値（確率）と会社可能性値（確率）を記録し（ステップＳ２０４）、プリンタ一覧の全てのプリンタについて検証したかチェックする（ステップＳ２０５）。ステップＳ２０３で、調査対象のプリンタ機種がプリンタ設定場所傾向情報に記載されていないときには、ネットワーク判別部１５は、そのプリンタ機種の自宅可能性値と会社可能性値を取得できないため、そのままプリンタ一覧の全てのプリンタについて検証したかチェックする（ステップＳ２０５）。

ネットワーク判別部１５は、ステップＳ１２０５で、プリンタ一覧の全てのプリンタについて検証が終了していないときには、該プリンタ一覧の次のプリンタがプリンタの設置場所傾向情報（ＤＢ）に記載されているか調べて（ステップＳ２０６）、ステップＳ２０３に戻って、記載されているか判別する処理から上記同様に処理する（ステップＳ２０３〜Ｓ２０６）。

ネットワーク判別部１５は、プリンタ一覧の全てのプリンタについて検証が終了するまで、上記同様の処理を繰り返し行って（ステップＳ２０３〜Ｓ２０６）、ステップＳ２０５で、プリンタ一覧の全てのプリンタについて検証が終了すると、得られた自宅可能性値と会社可能性値の平均を算出して、可能性値の平均値の大きい方のネットワークＫＮ、ＨＮを可搬型コンピュータ２が接続されているネットワークＫＮ、ＨＮであるとして判別する。すなわち、ネットワーク判別部１５は、平均値で判別するときには、自宅可能性値の総和をプリンタの数で除算した自宅可能性値の平均値と、会社可能性値の総和をプリンタの数で除算した会社可能性値の平均値を比較して、平均値の大きい方のネットワークＫＮ、ＨＮを可搬型コンピュータ２が接続されているネットワークＫＮ、ＨＮであるとする。なお、上記説明では、可能性値の平均値を算出して、その平均値に基づいてネットワーク種別を判断しているが、可能性値の総和の大小に基づいて、ネットワーク種別を判断してもよい。

そして、ファイアウォール設定処理部１６は、端末用Firewall機構部１１のFirewall設定内容を、ネットワーク判別部１５が判別したネットワークＫＮ、ＨＮの種別に適したFirewall設定を行って処理を終了する（ステップＳ２０７）。

このように、本実施例のネットワークセキュリティシステム１は、可搬型コンピュータ２が、ネットワークに接続されると、接続先のネットワークのネットワーク環境情報を取得して、取得された該ネットワーク環境情報に基づいて、ネットワーク環境情報とネットワークの種別を特定するネットワーク特定情報を対応づけたデータベース部１３のプリンタ設置場所傾向情報（ネットワーク種別判別データベース）を検索して接続先のネットワーク種別を判別し、判別結果のネットワーク種別に応じて、Firewall設定処理部１６が端末用Firewall機構部１１のFirewall（ファイアウォール）の設定を行っている。

したがって、攻撃パケットの到着を待つことなく、接続先のネットワークの種別を判別して、該ネットワーク種別に適したFirewallを自動設定することができ、セキュリティの事前対策と利用性を向上させることができる。

また、本実施例の可搬型コンピュータ２は、プリンタ探索部１４が、過去に設定されたネットワークを利用するためのネットワーク設定情報であるプリンタ設定情報に基づいてネットワーク環境情報を取得している。

したがって、ＩＰアドレスの登録作業を行うことなく、過去に接続してプリンタ設定を行ったことのある複数のネットワークに対して、今回の接続先ネットワークを正確に判別して、攻撃パケットの到着を待つことなく、接続先のネットワークの種別により一層適切なFirewall設定を行うことができ、攻撃される前にセキュリティ対策を未然に取ることができるとともに、利用性をより一層向上させることができる。

さらに、本実施例の可搬型コンピュータ２は、データベース部１３が、ＭＦＰ３ｂや家庭用プリンタ４ｂ等の画像形成装置の少なくとも名称（プリンタ名）、機種（プリンタ機種）及び接続先情報（プリンタ通信先）をプリンタ設置場所傾向情報（ネットワーク種別判別データベース）のネットワーク環境情報として記憶し、プリンタ探索部１４が、ネットワーク設定情報としてのプリンタ設定情報に基づいて接続先のネットワークＫＮ、ＨＮに接続されている画像形成装置であるプリンタの少なくとも名称、機種及び接続先情報をネットワーク環境情報として取得して、ネットワーク判別部１５が、プリンタ探索部１４の取得した画像形成装置の少なくとも名称、機種及び接続先情報に基づいてネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別している。

したがって、過去に接続してプリンタ設定を行ったことのある複数のネットワークに対して、今回の接続先ネットワークをより一層正確に判別して、接続先のネットワークの種別により一層適切なFirewall設定を行うことができ、セキュリティの対策と利用性をより一層向上させることができる。

図７〜図１０は、本発明のネットワークセキュリティ装置、ネットワークセキュリティ方法、ネットワークセキュリティプログラム及び記録媒体の第２実施例を示す図であり、図７は、本発明のネットワークセキュリティ装置、ネットワークセキュリティ方法、ネットワークセキュリティプログラム及び記録媒体の第２実施例を適用したネットワークセキュリティシステム２０のシステム構成図である。

なお、本実施例は、上記第１実施例のネットワークセキュリティシステム１と同様のネットワークセキュリティシステムに適用したものであり、本実施例の説明においては、上記第１実施例と同様の構成部分には、同一の符号を付与してその説明を省略または簡略化する。

本実施例のネットワークセキュリティシステム１は、可搬型コンピュータ２１が企業ネットワークＫＮとホームネットワークＨＮのいずれに接続されているかを、それぞれのネットワークＫＮ、ＨＮに接続されているネットワーク端末を検索して、接続されているネットワーク端末の種別に基づいてネットワーク種別、すなわち、企業ネットワークＫＮとホームネットワークＨＮのいずれであるかを判別して、ネットワーク種別に適切なFirewall設定を行う。

図７は、本実施例のネットワークセキュリティシステム２０を示しており、可搬型コンピュータ２１が、企業ネットワークＫＮとホームネットワークＨＮとに択一的に接続される。

企業ネットワークＫＮには、第１実施例と同様に、大型ＭＦＰ３ｃ、遠隔会議システム３ｄ及び図示しないコンピュータ３ａ、ＭＦＰ３ｂ、企業用プリンタ、企業用スキャナ、企業用ファクシミリ装置等の企業内で使用されることの多いネットワーク端末が接続され、ホームネットワークＨＮには、家庭用ゲーム機４ｃ、ＤＬＮＡ（Digital Living Network Alliance）対応テレビジョン（ＴＶ）４ｄ及び図示しないコンピュータ４ａ、家庭用プリンタ４ｂ、家庭用スキャナ、家庭用ファクシミリ装置等の家庭内で使用されることの多いネットワーク端末が接続される。

可搬型コンピュータ２１は、第１実施例の可搬型コンピュータ２と同様に、通常の可搬型コンピュータのハードウェア構成、すなわち、ＣＰＵ、ＲＯＭ、ＲＡＭ、ハードディスク、液晶ディスプレイ、キーボード、タッチパネル及びネットワークインターフェイス等を備えているとともに、通常のソフトウェア構成、すなわち、ＯＳとＯＳ上で動作するアプリケーション及び本発明の本実施例に対応したネットワークセキュリティプログラム等を搭載している。

可搬型コンピュータ２１は、上記ネットワークセキュリティプログラムが導入されることで、図８に示すように、端末用Firewall機構部３１、サービス存在環境傾向データベース３２、Firewall設定処理部３３及びネットワーク通信機構部３４等の機能ブロックが構築される。

端末用Firewall機構部（ファイアウォール手段）３１は、第１実施例の端末用Firewall機構部１１と同様であり、ネットワーク種別に応じて、可搬型コンピュータ２１のFirewall機能を提供する。

サービス存在環境傾向データベース部（記憶手段）３２は、例えば、図９に示すように、ネットワークＫＮ、ＨＮ上で発見されたネットワーク端末の情報（デバイス情報）、発見されたサービス情報、発見された機器メーカー及び家庭・企業度合いが対応づけられたサービス存在環境傾向データベース（ネットワーク種別判別データベース）を格納しており、このサービス存在環境傾向データベースは、リレーショナルデータベースである。

このサービス存在環境傾向データベースは、後述するネットワーク通信機構部３４がＳＳＤＰ（Simple Service Discovery Protocol）というプロトコルを使用して、ネットワークＫＮ、ＨＮ上にあるネットワークデバイス（ネットワーク端末）から取得した標準化されたデバイス説明（ＤＤＦ：デバイス記述ファイル）で示されている内容から取得した情報をリレーショナルデータベースとして構築したものであり、ＤＤＦで示されているネットワークデバイスのタイプ（端末種別）、ネットワークデバイスのメーカー情報（メーカー名等）、ＤＤＦで紐付けられたサービス情報の項目（機能）及びその情報に合致するようなネットワークデバイスが、家庭と企業のいずれにある傾向が強いかを、「家庭・企業度合い」値（ネットワーク種別確率）として、−１〜＋１の値で示している。「家庭・企業度合い」が、「−１」であると、確実に家庭のホームネットワークＨＮに接続されているネットワークデバイスのＤＤＦであると判断することができ、「家庭・企業度合い」が、「＋１」であると、確実に企業の企業ネットワークＫＮに接続されるネットワークデバイスのＤＤＦであると判断できる。例えば、図９の場合、１行目のプリンティングデバイスタイプでは、Ａ２印刷が可能なデバイスであり、どのようなメーカーの製品（製品メーカー欄の＊マークは、メーカーに関わらないことを示している。）であっても、Ａ２印刷が可能なプリンタを個人が購入することは非常に稀であるため、通常、家庭にはほとんど設置されることがなく、「家庭・企業度合い」は、「＋０．８」と、「＋１」に近い値に設定されていて、「ほとんどの場合において、企業にしかないデバイス」であることが示されている。また、同様に、２行目のプリンティングディバイスタイプでは、Ａ３サイズのプリンタについては、Ａ２サイズほどでなくても、企業に設置される度合いが高いため、「家庭・企業度合い」は、「＋０．５」となっている。また、３行目のプリンティングデバイスタイプにおいては、どのような印刷可能な紙サイズ（サービス情報欄の＊マークは、そのデバイスが提供するサービスに関わらないことを示している。）を有していても、例えば、家庭用プリンタのみを作成しているメーカーの製品（例えば、おもちゃメーカーの子供向けのキャラクタシール印刷機）であれば、確実に家庭に設定されるため、「家庭・企業度合い」は、家庭向けにおいて「−０．９」と高い値になっており、さらに、４行目プリンティングデバイスタイプでは、家庭向けインクジェット製品を多く制作しているメーカーの製品であるので、家庭の傾向が高いため、「家庭・企業度合い」は、「−０．４」という比較的家庭に多く設置されることを示す値となっている。

なお、このサービス存在環境傾向データベースは、可搬型コンピュータ２１が内部に搭載している場合に限るものではなく、例えば、インターネットＩＮＴ等のように、可搬型コンピュータ２１が接続可能なネットワークに接続されているサーバ等のハードディスクにサービス存在環境傾向データベース機構部３２ａ等として構築されていてもよい。

Firewall設定処理部（ファイアウォール設定手段、ネットワーク種別判別手段）３３は、ネットワーク種別を判別する機能を有しているとともに、第１実施例の設置処理部１６と同様に、端末用Firewall機能部３１を制御して、該ネットワーク種別に適したFirewall設定を構築する。

ネットワーク通信機構部（ネットワーク環境検出手段）３４は、企業ネットワークＫＮまたはホームネットワークＨＮに接続され、ネットワークＫＮ、ＨＮ上のネットワーク端末と通信を行うとともに、ＳＳＤＰによって、本実施例のネットワークＫＮ、ＨＮ上の探索可能な全てのネットワーク端末の探索を行って、各ネットワーク端末（ネットワークデバイス）のＤＤＦを取得する。このＳＳＤＰにおいては、ネットワーク端末を検出するためにＸＭＬ（Extensible Markup Language）で定義されたプロトコルであり、「Ｍ−ＳＥＡＲＣＨ」等の検出用の機能をＸＭＬで定義している。ＳＳＤＰでは、互いを検出したネットワーク端末同士は、メーカー名や機器自身が持つ機能等の詳細情報を、ＨＴＴＰ（Hyper Text Transfer Protocol）を用いて送信する。ネットワーク通信機構部３４は、ネットワーク探索を行って取得したネットワーク端末の上記情報を、Firewall設定処理部３３に渡す。

次に、本実施例の作用について説明する。本実施例のネットワークセキュリティシステム２０は、可搬型コンピュータ２１が、ネットワークに接続された際に、そのネットワークの種別をネットワーク端末を探索して該ネットワーク端末のサービス存在環境傾向に基づいて自動判別して、ネットワークの種別に適したFirewall設定を行う。

なお、可搬型コンピュータ２１は、図７に示したように、本実施例では、説明を明確にするために、企業ネットワークＫＮとホームネットワークＨＮのいずれかに接続されるものとしており、この２種類のネットワークＫＮ、ＨＮのいずれに接続されたかを自動判別して、ネットワークの種別に適したFirewallの設定を行う。このネットワークの種別は、上述のように、企業ネットワークＫＮとホームネットワークＨＮの２種類に限るものではない。

本実施例のネットワークセキュリティシステム２０は、可搬型コンピュータ２１が、企業ネットワークＫＮとホームネットワークＨＮのいずれかに選択的に接続され、可搬型コンピュータ２１は、いずれかにネットワークＫＮ、ＨＮに接続されると、図１０に示すように、ネットワークセキュリティ処理を実行する。

すなわち、可搬型コンピュータ２１は、ネットワークＫＮ、ＨＮに接続されたことをネットワーク通信機構部３４が検出すると、図１０に示すように、ネットワーク通信機構部３４が、ＳＳＤＰによりネットワークＫＮ、ＨＮ上の全てのＳＤＤＰ対応サービス（ネットワーク端末）を探索し、探索した相手ネットワーク端末からそのネットワーク端末のメーカー名やその端末（機器）自身が持つ機能等の詳細情報を記述したＤＤＦを取得してFirewall設定処理部３３に渡す（ステップＳ３０１）。

Firewall設定処理部３３は、ネットワーク通信機構部３４から渡されたＤＤＦに対して、ネットワーク存在傾向を判断していないＤＤＦを１つ選んで（ステップＳ３０２）、そのＤＤＦからネットワークデバイスタイプに関する情報及びメーカー名を取得する（ステップＳ３０３）。

Firewall設定処理部３３は、取得したネットワークデバイスタイプ、サービス関連情報及びメーカー名が一致するデータをサービス存在環境傾向データベース部３２のサービス存在環境傾向データベースから検索し、そのネットワークデバイスタイプの「家庭・企業度合い」の値を取得する（ステップS３０４）。この場合、上述のように、サービス関連情報及びメーカー名については、不問（＊マーク）となっている場合には、ＤＤＦの値に関わらず、一致しているとする。Firewall設定処理部３３は、上述のようにしてサービス存在環境傾向データベースから得られた行の中で、最も「家庭・企業度合い」の値の絶対値が高い値を、そのＤＤＦの判断値として記憶する。なお、Firewall設定処理部３３は、サービス存在環境傾向データベースを検索した結果、何も得られなかった場合は、そのＤＤＦの判断結果として、「０」という値（家庭とも会社とも判断できない値）を設定する。

Firewall設定処理部３３は、サービス存在環境傾向データベースを検索して取得した「家庭・企業度合い」の絶対値が最も大きい値を、そのＤＤＦの「家庭・企業度合い」として記憶し（ステップＳ３０５）、ネットワーク通信機構部３４が取得した全てのＤＤＦについて、「家庭・企業度合い」を記憶したかチェックする（ステップＳ３０６）。

ステップＳ３０６で、全てのＤＤＦについて「家庭・企業度合い」を記憶していないときには、Firewall設定処理部３３は、ステップＳ３０２に戻って、次の未処理のＤＤＦを選んで、選んだＤＤＦからネットワークデバイスタイプ、サービス関連情報及びメーカ名を取得する処理から上記同様に処理を実行し（ステップＳ３０２〜Ｓ３０６）、ステップＳ３０６で全てのＤＤＦに対して処理か終了していないときには、ステップＳ３０２に戻って同様の処理を繰り返し行う（ステップＳ３０２〜Ｓ３０６）。

ステップＳ３０６で、全てのＤＤＦに対して「家庭・企業度合い」を取得して記憶すると、Firewall設定処理部３３は、記憶した「家庭・企業度合い」の値の総和を算出して、該「家庭・企業度合い」の値の総和が負であるときには、可搬型コンピュータ２１が、ホームネットワークＨＮに接続されていると判断して、ホームネットワークＨＮに適したFirewallを設定する。また、Firewall設定処理部３３は、「家庭・企業度合い」の値の総和が正であるときには、可搬型コンピュータ２１が企業ネットワークに接続されていると判断する。そして、Firewall設定処理部３３は、可搬型コンピュータ２１が接続されたネットワークがホームネットワークＨＫと企業ネットワークＫＮのいずれであるかの判断結果に基づいて、端末用Firewall機構部３１のFirewall設定内容を、該判別結果のネットワーク種別に適したFirewall設定内容に設定処理する（ステップS３０７）。

このように、本実施例のネットワークセキュリティシステム２０は、可搬型コンピュータ２１が、サービス存在環境傾向データベース部３２に、少なくともネットワーク端末の端末種別（デバイス情報）と機能（サービス情報）をネットワーク環境情報として記憶し、ネットワーク通信機構部３４が、ネットワーク端末の少なくとも端末種別と機能をネットワーク環境情報として取得して、Firewall設定処理部３３が、ネットワーク通信機構部３４の取得したネットワーク端末の少なくとも端末種別と機能に基づいてサービス存在環境傾向データベース部３２のサービス存在環境傾向データベース（ネットワーク種別判別データベース）を検索して接続先のネットワーク種別を判別して、判別結果のネットワーク種別に適したFirewallを設定している。

したがって、過去に接続したことのないネットワークに対しても、ネットワーク種別を判別して、攻撃パケットの到着を待つことなく、該接続先のネットワークの種別に適したFirewallを自動設定することができ、セキュリティの事前対策と利用性を向上させることができる。

また、本実施例の可搬型コンピュータ２１は、サービス存在環境傾向データベース部３２が、少なくともネットワーク端末のメーカー名をサービス存在環境傾向データベースのネットワーク環境情報として記憶し、ネットワーク通信機構部１４が、ネットワーク端末の少なくともメーカー名をネットワーク環境情報として取得して、Firewall設定処理部３３が、ネットワーク通信機構部３４の取得したネットワーク端末の少なくともメーカー名に基づいてサービス存在環境傾向データベースを検索して接続先のネットワーク種別を判別している。

したがって、ネットワーク端末のメーカーが製造するネットワーク端末がどのようなネットワークに接続されることが多いか等によって適切にネットワーク種別を判別することができる。

さらに、本実施例の可搬型コンピュータ２１は、ネットワーク通信機構部３４が、ＳＳＤＰを使用してネットワーク上のネットワーク端末の少なくとも端末種別、機能、メーカー名のうち少なくともいずれか１つ以上をネットワーク環境情報として取得している。

したがって、通信プロトコルであるＳＳＤＰを利用して、適切にネットワーク通信端末の情報を取得して、簡単かつ正確にネットワーク種別を判別することができる。

また、上記各実施例の可搬型コンピュータ２、２１は、ネットワーク種別判別データベースであるデータベース部１３のデータベース及びサービス存在環境傾向データベース３２のサービス存在環境傾向データベースに、ネットワーク特定情報として、ネットワーク環境情報毎に該ネットワーク環境情報を満たすネットワークがいずれのネットワーク種別であるかを示すネットワーク種別確率（図３の「企業にある可能性」、図９の「家庭・企業度合い」）を記憶し、検出したネットワーク環境情報毎に該データベースからネットワーク種別確率を取得して、全てのネットワーク環境情報について、ネットワーク種別毎のネットワーク種別確率の総和または平均値を算出して、該ネットワーク種別確率の総和または平均値に基づいて、接続先のネットワーク種別を判別している。

したがって、より一層正確にネットワーク種別を判別することができ、ネットワークセキュリティを向上させることができる。

さらに、上記各実施例の可搬型コンピュータ２、２１は、データベースが、接続先のネットワーク、または、該ネットワーク以外の可搬型コンピュータ２、２１が接続可能なインターネットＩＮＴ等のネットワークに接続されていてもよい。

このようにすると、データベースを搭載していない可搬型コンピュータ２、２１であっても、接続先のネットワーク種別を判別して、ネットワーク種別に適切なFirewall設定を行うことができる。

以上、本発明者によってなされた発明を好適な実施例に基づき具体的に説明したが、本発明は上記実施例で説明したものに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。

本発明は、複数種類のネットワークに接続されるノート型コンピュータ等のネットワークセキュリティ装置、ネットワークセキュリティ方法、ネットワークセキュリティプログラム及び記録媒体に利用することができる。

１ ネットワークセキュリティシステム
２ 可搬型コンピュータ
ＫＮ 企業ネットワーク
ＨＮ ホームネットワーク
３ａ コンピュータ
３ｂ ＭＦＰ
３ｃ 大型ＭＦＰ
３ｄ 遠隔会議システム
４ａ コンピュータ
４ｂ 家庭用プリンタ
４ｃ 家庭用ゲーム機
４ｄ ＤＬＮＡ対応テレビジョン
１１ 端末用ファイアウォール機構部
１２ プリンタ設定記憶機構部
１３ データベース部
１４ プリンタ探索部
１５ ネットワーク判別部
１６ Firewall設定処理部
２０ ネットワークセキュリティシステム
２１ 可搬型コンピュータ
３１ 端末用Firewall機構部
３２ サービス存在環境傾向データベース
３３ Firewall設定処理部
３４ ネットワーク通信機構部

特表２００９‐５０４１０４号公報

Claims (11)

1. ネットワークに接続するネットワーク接続手段と、
   ネットワークからの攻撃を阻止するファイアウォール手段と、
   ネットワーク接続手段によって接続されているネットワークのネットワーク環境情報を取得するネットワーク環境検出手段と、
   ネットワーク環境情報とネットワークの種別を特定するネットワーク特定情報を対応づけたネットワーク種別判別データベースを記憶する記憶手段と、
   前記ネットワーク環境検出手段の取得したネットワーク環境情報に基づいて前記ネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別するネットワーク種別判別手段と、
   前記ネットワーク種別判別手段の判別したネットワーク種別に応じて前記ファイアウォールの設定を行うファイアウォール設定手段と、
   を備えていることを特徴とするネットワークセキュリティ装置。
2. 前記ネットワーク環境検出手段は、過去に設定されたネットワークを利用するためのネットワーク設定情報に基づいて前記ネットワーク環境情報を取得することを特徴とする請求項１記載のネットワークセキュリティ装置。
3. 前記記憶手段は、画像形成装置の少なくとも名称、機種及び接続先情報を前記ネットワーク種別判別データベースの前記ネットワーク環境情報として記憶し、
   前記ネットワーク環境検出手段は、前記ネットワーク設定情報としてのプリンタ設定に基づいて接続先のネットワークに接続されている画像形成装置の少なくとも名称、機種及び接続先情報を前記ネットワーク環境情報として取得し、
   前記ネットワーク種別判別手段は、前記ネットワーク環境検出手段の取得した画像形成装置の少なくとも前記名称、機種及び接続先情報に基づいて前記ネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別することを特徴とする請求項２記載のネットワークセキュリティ装置。
4. 前記記憶手段は、少なくともネットワーク端末の端末種別と機能を前記ネットワーク種別判別データベースの前記ネットワーク環境情報として記憶し、
   前記ネットワーク環境検出手段は、ネットワーク端末の少なくとも端末種別と機能を前記ネットワーク環境情報として取得し、
   前記ネットワーク種別判別手段は、前記ネットワーク環境検出手段の取得したネットワーク端末の少なくとも前記端末種別と機能に基づいて前記ネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別することを特徴とする請求項１記載のネットワークセキュリティ装置。
5. 前記記憶手段は、少なくとも端末のメーカー名を前記ネットワーク種別判別データベースの前記ネットワーク環境情報として記憶し、
   前記ネットワーク環境検出手段は、ネットワーク端末の少なくともメーカー名を前記ネットワーク環境情報として取得し、
   前記ネットワーク種別判別手段は、前記ネットワーク環境検出手段の取得したネットワーク端末の少なくとも前記メーカー名に基づいて前記ネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別することを特徴とする請求項１または請求項４記載のネットワークセキュリティ装置。
6. 前記ネットワーク環境検出手段は、ＳＳＤＰを使用してネットワーク上のネットワーク端末の少なくとも端末種別、機能、メーカー名のうち少なくともいずれか１つ以上を前記ネットワーク環境情報として取得することを特徴とする請求項４または請求項５記載のネットワークセキュリティ装置。
7. 前記記憶手段は、前記ネットワーク種別判別データベースの前記ネットワーク特定情報として、前記ネットワーク環境情報毎に該ネットワーク環境情報を満たすネットワークがいずれのネットワーク種別であるかを示すネットワーク種別確率を記憶し、
   前記ネットワーク種別判別手段は、前記ネットワーク環境検出手段の検出した前記ネットワーク環境情報毎に前記ネットワーク種別判別データベースから前記ネットワーク種別確率を取得し、全てのネットワーク環境情報のネットワーク種別毎の前記ネットワーク種別確率の総和または平均値を算出して、該ネットワーク種別確率の総和または平均値に基づいて、接続先の前記ネットワーク種別を判別することを特徴とする請求項１から請求項６のいずれかに記載のネットワークセキュリティ装置。
8. 前記記憶手段は、接続先の前記ネットワークまたは該ネットワーク以外の前記ネットワークセキュリティ装置が接続可能なネットワークに接続されていることを特徴とする請求項１から請求項７のいずれかに記載のネットワークセキュリティ装置。
9. ネットワークに接続するネットワーク接続処理ステップと、
   ネットワークからの攻撃を阻止するファイアウォール処理ステップと、
   ネットワーク接続手段によって接続されているネットワークのネットワーク環境情報を取得するネットワーク環境検出処理ステップと、
   前記ネットワーク環境検出処理ステップで取得されたネットワーク環境情報に基づいて、ネットワーク環境情報とネットワークの種別を特定するネットワーク特定情報を対応づけたネットワーク種別判別データベースを記憶する記憶手段の該ネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別するネットワーク種別判別処理ステップと、
   前記ネットワーク種別判別処理ステップで判別されたネットワーク種別に応じて前記ファイアウォールの設定を行うファイアウォール設定処理ステップと、
   を有している備えていることを特徴とするネットワークセキュリティ方法。
10. コンピュータに、
    ネットワークに接続するネットワーク接続処理と、
    ネットワークからの攻撃を阻止するファイアウォール処理と、
    ネットワーク接続手段によって接続されているネットワークのネットワーク環境情報を取得するネットワーク環境検出処理と、
    前記ネットワーク環境検出処理で取得されたネットワーク環境情報に基づいて、ネットワーク環境情報とネットワークの種別を特定するネットワーク特定情報を対応づけたネットワーク種別判別データベースを記憶する記憶手段の該ネットワーク種別判別データベースを検索して接続先のネットワーク種別を判別するネットワーク種別判別処理と、
    前記ネットワーク種別判別処理で判別されたネットワーク種別に応じて前記ファイアウォールの設定を行うファイアウォール設定処理と、
    を実行させることを特徴とするネットワークセキュリティプログラム。
11. 請求項１０記載のネットワークセキュリティプログラムを記録したことを特徴とするコンピュータが読み取り可能な記録媒体。

Images