JP2017204697A - ネットワークシステムおよびサーバ装置 - Google Patents

Abstract

【課題】不正通信をより確実に遮断することが可能なネットワークシステムおよびサーバ装置を提供する。【解決手段】ログ管理サーバ１５は、認証サーバ１７または認証スイッチＳＷからの認証許可ログと、ＤＨＣＰサーバ１６からのＤＨＣＰログとを受信した場合に、情報端末ＴＭ１０のＭＡＣアドレスＭＡ１０を共通パラメータとして、認証許可の対象となるアカウントＩＤ（ＭＡ’１０）とＩＰアドレスＩＰＡ１０との対応関係を端末管理ＤＢ２０に登録する。また、ログ管理サーバ１５は、不正通信検知装置１２からの不正通信検知ログＬＧ３を受信した場合に、それに含まれる送信元のＩＰアドレスＩＰＡ１０に対応するアカウントＩＤ（ＭＡ’１０）を認証拒否に定めるための認証拒否命令Ｃ２を認証サーバ１７へ送信する。【選択図】図３

Description

本発明は、ネットワークシステムおよびサーバ装置に関し、例えば、認証機能を備えたネットワークシステムおよびログ監視機能を備えたサーバ装置に関する。

例えば、特許文献１には、有線通信と無線通信の両方において不正な通信を遮断できるネットワークが示される。具体的には、セキュリティ監視装置は、ＰＣ装置が不正通信を行っている場合にそのＩＰアドレスを通信ログに記録し、通信管理装置は、通信ログから抽出されたＩＰアドレスに対応するＰＣ装置のＭＡＣアドレスを特定する。有線スイッチおよび無線コントローラは、特定されたＭＡＣアドレスを持つＰＣ装置からの接続を拒否する。

特開２００９−２５３４６１号公報

近年、イントラネット網等の内部ネットワークでは、例えば、情報端末からの不正通信を検知するための不正通信検知装置が設けられる。不正通信検知装置として、代表的には、ＩＰＳ（Intrusion Prevention System）装置やＩＤＳ（Intrusion Detection System）装置等が挙げられる。このような不正通信検知装置は、通常、ゲートウェイ型として、内部ネットワークとインターネット網との境界付近に配置され、例えば、内部ネットワークの情報端末からインターネット網に向かう不正通信を遮断する。しかし、この場合、当該情報端末による内部ネットワークでの通信は、遮断対象とされない場合がある。

そこで、例えば、特許文献１のように、当該情報端末からの通信を、当該情報端末に接続される有線スイッチ等で拒否することが考えられる。しかし、この場合、例えば、当該情報端末が、接続対象の有線スイッチ等を変更しながら不正通信を試みた場合や、あるいは、悪意のあるユーザが利用する情報端末を変更しながら不正通信を試みたような場合に、当該不正通信を遮断することが困難となる恐れがある。

本発明は、このようなことに鑑みてなされたものであり、その目的の一つは、不正通信をより確実に遮断することが可能なネットワークシステムおよびサーバ装置を提供することにある。

本発明の前記並びにその他の目的と新規な特徴は、本明細書の記述及び添付図面から明らかになるであろう。

本願において開示される発明のうち、代表的な実施の形態の概要を簡単に説明すれば、次のとおりである。

本実施の形態によるネットワークシステムは、ログ管理サーバと、認証サーバと、認証クライアントと、ＤＨＣＰサーバと、不正通信検知装置とを有する。ログ管理サーバは、端末管理データベースを備える。認証サーバは、アカウント識別子毎の認証許可／拒否を定める認証データベースに基づき認証を行う。認証クライアントは、所定の情報端末からの認証要求に応じて、当該認証要求に伴うアカウント識別子を含む認証判定要求を認証サーバへ送信し、認証サーバから認証許可／拒否の判定結果を受信する。ＤＨＣＰサーバは、所定の情報端末からのＩＰアドレスの割り当て要求に応じてＩＰアドレスを割り当て、所定の情報端末のＩＰアドレスおよびＭＡＣアドレスを含むＤＨＣＰログをログ管理サーバへ送信する。不正通信検知装置は、インターネット網に向けた通信を監視し、不正通信を検知した場合に当該通信の送信元のＩＰアドレスを含む不正通信検知ログをログ管理サーバへ送信する。ここで、認証サーバおよび認証クライアントの少なくとも一方は、認証許可の場合に、当該認証許可の対象となるアカウント識別子および所定の情報端末のＭＡＣアドレスを含む認証許可ログをログ管理サーバへ送信する。ログ管理サーバは、認証許可ログおよびＤＨＣＰログを受信した場合に、所定の情報端末のＭＡＣアドレスを共通パラメータとして、認証許可の対象となるアカウント識別子と所定の情報端末のＩＰアドレスとの対応関係を端末管理データベースに登録する。また、ログ管理サーバは、不正通信検知ログを受信した場合に、それに含まれる送信元のＩＰアドレスに対応するアカウント識別子を認証拒否に定めるための認証拒否命令を認証サーバへ送信する。

本願において開示される発明のうち、代表的な実施の形態によって得られる効果を簡単に説明すると、ネットワークシステムおよびサーバ装置において、不正通信をより確実に遮断することが可能になる。

本発明の実施の形態１によるネットワークシステムにおいて、主要部の構成例および動作例を示す概略図である。 図１のネットワークシステムが認証動作およびＤＨＣＰ動作を行う際の主要な処理内容の一例を示すシーケンス図である。 図１のネットワークシステムにおける端末管理ＤＢの保持内容の一例および不正通信遮断動作の一例を示す概略図である。 図１のネットワークシステムが不正通信遮断動作を行う際の主要な処理内容の一例を示すシーケンス図である。 図１のネットワークシステムにおけるログ管理サーバの主要部の構成例を示す概略図である。 （ａ）および（ｂ）は、図５のログ管理サーバにおける端末管理ＤＢ登録部の処理内容の一例を示すフロー図である。 図５のログ管理サーバによって実行される不正通信遮断処理の処理内容の一例を示すフロー図である。 本発明の実施の形態２によるネットワークシステムにおいて、主要部の構成例を示す概略図である。

以下の実施の形態においては便宜上その必要があるときは、複数のセクションまたは実施の形態に分割して説明するが、特に明示した場合を除き、それらは互いに無関係なものではなく、一方は他方の一部または全部の変形例、詳細、補足説明等の関係にある。また、以下の実施の形態において、要素の数等（個数、数値、量、範囲等を含む）に言及する場合、特に明示した場合および原理的に明らかに特定の数に限定される場合等を除き、その特定の数に限定されるものではなく、特定の数以上でも以下でも良い。

さらに、以下の実施の形態において、その構成要素（要素ステップ等も含む）は、特に明示した場合および原理的に明らかに必須であると考えられる場合等を除き、必ずしも必須のものではないことは言うまでもない。同様に、以下の実施の形態において、構成要素等の形状、位置関係等に言及するときは、特に明示した場合および原理的に明らかにそうでないと考えられる場合等を除き、実質的にその形状等に近似または類似するもの等を含むものとする。このことは、上記数値および範囲についても同様である。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一の部材には原則として同一の符号を付し、その繰り返しの説明は省略する。

（実施の形態１）
《ネットワークシステムの構成》
図１は、本発明の実施の形態１によるネットワークシステムにおいて、主要部の構成例および動作例を示す概略図である。図１に示すネットワークシステムは、イントラネット網等の内部ネットワーク１０と、内部ネットワーク１０に接続される認証スイッチＳＷ、無線ＬＡＮコントローラＷＬＣ、不正通信検知装置１２、ログ管理サーバ１５、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１６、および認証サーバ１７等を備える。

内部ネットワーク１０は、例えば、ＯＳＩ参照モデルのレイヤ３（Ｌ３）のネットワークであり、ルータやＬ３スイッチ等を含む。ログ管理サーバ（サーバ装置）１５は、ＣＰＵ（Central Processing Unit）によるプログラム処理に基づき各種機能を実現するコンピュータシステムで構成され、その機能の一つとして内部ネットワーク１０上のログを収集する。ログは、例えば、ｓｙｓｌｏｇや、ＳＮＭＰ（Simple Network Management Protocol） Ｔｒａｐ等で通知されるログである。ログ管理サーバ１５は、ＨＤＤ（Hard Disk Drive）等の記憶部１９に保持される端末管理データベース（以降、データベースはＤＢと略す）２０を有する。

認証サーバ１７は、例えば、コンピュータシステムで構成されるＲＡＤＩＵＳサーバ等であり、記憶部２３に保持される認証ＤＢ２４を有する。認証ＤＢ２４は、例えば、アカウント識別子（以降、識別子はＩＤと略す）およびパスワード（ＰＷ）の組合せからなるアカウントと、アカウント毎の認証許可／拒否の情報とを保持する。ここでは、初期状態として、アカウントＩＤ“ＭＡ’１０”と“ＭＡ’２０”とが共に認証許可であることが予め管理者等によって登録されている。

認証サーバ１７は、認証クライアントからアカウントを含む認証判定要求を受け、認証ＤＢ２４に基づき当該アカウントの認証許可／拒否を判定する。認証ＤＢ２４は、ここでは、認証サーバ１７内に設けられるが、アクティブディレクトリサーバやＬＤＡＰ（Lightweight Directory Access Protocol）サーバといった外部のサーバに設けられてもよい。この場合、認証サーバ１７は、当該外部のサーバと連携しながら認証許可／拒否の判定を行う。

認証スイッチＳＷおよび無線ＬＡＮコントローラＷＬＣは、認証サーバ１７に対する認証クライアント（例えば、ＲＡＤＩＵＳクライアント）である。認証スイッチＳＷは、例えば、ＯＳＩ参照モデルのレイヤ２（Ｌ２）の中継処理を行うＬ２スイッチであり、ポートＰ１，…を備える。ここでは、ポートＰ１には、ユーザ１３ａによって利用される情報端末ＴＭ１０が有線で接続される。無線ＬＡＮコントローラＷＬＣは、無線通信のアクセスポイントの機能とＬ２スイッチの機能とを備える。ここでは、無線ＬＡＮコントローラＷＬＣには、ユーザ１３ｂによって利用される情報端末ＴＭ２０が無線で接続される。

ＤＨＣＰサーバ１６は、コンピュータシステムで構成され、記憶部２１に保持されるＩＰ管理ＤＢ２２を有する。ＤＨＣＰサーバ１６は、所定の情報端末からのＩＰ（Internet Protocol）アドレスの割り当て要求に応じてＩＰアドレスを割り当て、当該ＩＰアドレスと当該情報端末のＭＡＣ（Media Access Control）アドレスとの対応関係をＩＰ管理ＤＢ２２に登録する。不正通信検知装置１２は、例えば、ＩＰＳ装置やＩＤＳ装置等であり、インターネット網１１に向けた通信を監視する。

《ネットワークシステムの認証動作およびＤＨＣＰ動作》
図２は、図１のネットワークシステムが認証動作およびＤＨＣＰ動作を行う際の主要な処理内容の一例を示すシーケンス図である。図２において、まず、情報端末ＴＭは、認証クライアント（ＳＷ／ＷＬＣ）に向けてアカウントＩＤを伴う認証要求を行う（ステップＳ１０１）。ここでは、情報端末ＴＭ１０が認証スイッチＳＷに向けて認証要求を行う場合を想定する。また、必ずしも限定はされないが、認証スイッチＳＷは、認証要求に応じて始めにＭＡＣアドレス認証を行い、ＭＡＣアドレス認証が拒否された場合にはＷｅｂ認証を行うものとする。

まず、ステップＳ１０１においてＭＡＣアドレス認証が行われる場合について説明する。認証スイッチＳＷは、ＭＡＣアドレス認証に際し、例えば、情報端末ＴＭ１０から受信したフレームの送信元ＭＡＣアドレス（図１のＭＡＣアドレスＭＡ１０）をアカウントＩＤとみなし、当該アカウントＩＤ（ＭＡ’１０とする）を含む認証判定要求を認証サーバ１７へ送信する（ステップＳ１０２）。この際に、認証スイッチＳＷは、宛先となる認証サーバ１７のＩＰアドレスを予め保持している。

認証サーバ１７は、アカウントＩＤ“ＭＡ’１０”を含む認証判定要求を受信した場合、認証ＤＢ２４に基づいて当該アカウントＩＤの認証許可／許否を判定する。ここでは、認証サーバ１７は、図１の認証ＤＢ２４の保持内容に基づき、当該アカウントＩＤを認証許可と判定する（ステップＳ１０３）。なお、ＭＡＣアドレス認証の場合のパスワード（ここではｐｐ１０）は、例えば、ＭＡＣアドレス認証用の所定の固定値や、またはアカウントＩＤと同じ値等に定められる。

認証サーバ１７は、認証許可の判定を行った場合、認証許可の通知と、アカウントＩＤと、情報端末ＴＭ１０のＭＡＣアドレスＭＡ１０とを含む判定結果を認証スイッチＳＷへ送信する（ステップＳ１０４）。これに応じて、認証スイッチＳＷは、許可対象の情報端末ＴＭ１０に各種通信権限を付与する（ステップＳ１０５）。代表的には、ポートＰ１を用いて通信を行うこと自体の権限を付与する方法や、あるいは、内部ネットワーク１０に接続する権限を付与する方法等が挙げられる。

また、認証サーバ１７は、ステップＳ１０３において認証許可の判定を行った場合、その許可対象となるアカウントＩＤ（ここでは“ＭＡ’１０”）と、情報端末ＴＭ１０のＭＡＣアドレスＭＡ１０とを含む認証許可ログＬＧ１ｂをログ管理サーバ１５へ送信する（ステップＳ１０６）。さらに、認証スイッチＳＷも、ステップＳ１０４において認証許可の通知を受信した場合、その許可対象となるアカウントＩＤ（ここでは“ＭＡ’１０”）と、情報端末ＴＭ１０のＭＡＣアドレスＭＡ１０と、自身のＩＰアドレスＩＰＡ１とを含む認証許可ログＬＧ１ａをログ管理サーバ１５へ送信する（ステップＳ１０７）。この際に、認証サーバ１７および認証スイッチＳＷは、共にログの宛先となるログ管理サーバ１５のＩＰアドレスを予め保持している。

次に、ステップＳ１０１において、ＭＡＣアドレス認証が拒否された場合を仮定して、Ｗｅｂ認証が行われる場合について説明する。認証スイッチＳＷは、Ｗｅｂ認証に際し、例えば、情報端末ＴＭ１０に対してアカウント（アカウントＩＤおよびパスワード（ＰＷ））を入力するためのＷｅｂ画面を提供する。ユーザ１３ａが、情報端末ＴＭ１０上の当該Ｗｅｂ画面にアカウントを入力すると、認証スイッチＳＷは、当該アカウントを含む認証判定要求を認証サーバ１７へ送信する（ステップＳ１０２）。

以降は、ＭＡＣアドレス認証の場合と同様にしてステップＳ１０３〜Ｓ１０７の処理が行われる。ただし、Ｗｅｂ認証の場合、認証サーバ１７は、情報端末ＴＭ１０のＭＡＣアドレスＭＡ１０を入手できない場合がある。この場合、ステップＳ１０４における判定結果やステップＳ１０６における認証許可ログＬＧ１ｂには、ＭＡＣアドレスＭＡ１０が含まれないことがある。

ステップＳ１０８において、情報端末ＴＭ１０は、自身のＭＡＣアドレスＭＡ１０を含むＩＰアドレスの割り当て要求（ＤＨＣＰディスカバリ等）をＤＨＣＰサーバ１６へ送信する。この際に、認証スイッチＳＷは、ステップＳ１０５の処理に伴い、当該割り当て要求の内部ネットワーク１０への中継を許可し、内部ネットワーク１０は、ＤＨＣＰリレーエージェント機能等を用いて当該割り当て要求をＤＨＣＰサーバ１６へ中継する。

ＤＨＣＰサーバ１６は、当該割り当て要求を受信し、これに応じて情報端末ＴＭ１０に所定のＩＰアドレスを割り当てる（ステップＳ１０９）。図１の例では、ＤＨＣＰサーバ１６は、情報端末ＴＭ１０にＩＰアドレスＩＰＡ１０を割り当て、当該情報端末ＴＭ１０のＭＡＣアドレスＭＡ１０とＩＰアドレスＩＰＡ１０の対応関係をＩＰ管理ＤＢ２２に登録する。ＤＨＣＰサーバ１６は、当該割り当てたＩＰアドレスＩＰＡ１０を情報端末ＴＭ１０へ通知する（ステップＳ１１０）。また、ＤＨＣＰサーバ１６は、ＩＰアドレスを割り当てた場合に、情報端末ＴＭ１０のＩＰアドレスＩＰＡ１０およびＭＡＣアドレスＭＡ１０を含むＤＨＣＰログＬＧ２をログ管理サーバ１５へ送信する（ステップＳ１１１）。この際に、ＤＨＣＰサーバ１６は、ログの宛先となるログ管理サーバ１５のＩＰアドレスを予め保持している。

ここでは、情報端末ＴＭ１０が認証スイッチ（認証クライアント）ＳＷを介して認証動作およびＤＨＣＰ動作を行う場合の動作例を説明したが、情報端末ＴＭ２０が無線ＬＡＮコントローラ（認証クライアント）ＷＬＣを介して認証動作およびＤＨＣＰ動作を行う場合も同様である。情報端末ＴＭ２０は、ユーザ１３ｂによって利用され、ＭＡＣアドレスＭＡ２０を備え、ＤＨＣＰ動作によってＩＰアドレスＩＰＡ２０が割り当てられる。また、無線ＬＡＮコントローラＷＬＣは、ステップＳ１０７の処理に際し、自身のＩＰアドレスＩＰＡ２を送信する。

《ネットワークシステムの不正通信遮断動作》
図３は、図１のネットワークシステムにおける端末管理ＤＢの保持内容の一例および不正通信遮断動作の一例を示す概略図である。ログ管理サーバ１５は、図１および図２に示したように、ステップＳ１０６，Ｓ１０７に伴う認証許可ログＬＧ１ａ，ＬＧ１ｂと、ステップＳ１１１に伴うＤＨＣＰログＬＧ２とを受信する。認証許可ログＬＧ１ａ，ＬＧ１ｂは、認証許可の対象となるアカウントＩＤおよび所定の情報端末ＴＭのＭＡＣアドレスを含み、認証クライアント（ＳＷ／ＷＬＣ）および認証サーバ１７の少なくとも一方によって送信される。ＤＨＣＰログＬＧ２は、所定の情報端末ＴＭのＭＡＣアドレスおよびＩＰアドレスを含み、ＤＨＣＰサーバ１６によって送信される。

したがって、ログ管理サーバ１５は、これらのログを受信した場合に、所定の情報端末（例えばＴＭ１０）のＭＡＣアドレス（ＭＡ１０）を共通パラメータとして、認証許可の対象となるアカウントＩＤ（ＭＡ’１０）と所定の情報端末（ＴＭ１０）のＩＰアドレス（ＩＰＡ１０）との対応関係を認識することができる。そこで、ログ管理サーバ１５は、当該対応関係を端末管理ＤＢ２０に登録する（第１の処理）。

より詳細には、端末管理ＤＢ２０は、情報端末ＴＭのＩＰアドレスおよびＭＡＣアドレスと、当該情報端末ＴＭの利用者のアカウントＩＤ（ＭＡＣアドレス認証の場合にはＭＡＣアドレス）とに加えて、認証クライアント（ＳＷ／ＷＬＣ）のＩＰアドレスと、認証クライアントのログインＩＤおよびパスワード（ＰＷ）との対応関係を保持する。認証クライアント（ＳＷ／ＷＬＣ）のＩＰアドレスは、図２のステップＳ１０７における認証許可ログＬＧ１ａに含まれる。認証クライアント（ＳＷ／ＷＬＣ）のログインＩＤおよびパスワード（ＰＷ）は、詳細は後述するが、認証クライアントの設定情報等を変更する際の権限を得るためのものであり、予め管理者等によって設定される。

図３の例では、端末管理ＤＢ２０は、情報端末ＴＭ１０のＩＰアドレスＩＰＡ１０およびＭＡＣアドレスＭＡ１０と、アカウントＩＤ“ＭＡ’１０”と、認証スイッチＳＷのＩＰアドレスＩＰＡ１と、認証スイッチＳＷのログインＩＤ“ｘｘ１”およびパスワード（ＰＷ）“ｐｐ１”との対応関係を保持する。同様に、端末管理ＤＢ２０は、情報端末ＴＭ２０のＩＰアドレスＩＰＡ２０およびＭＡＣアドレスＭＡ２０と、アカウントＩＤ“ＭＡ’２０”と、無線ＬＡＮコントローラＷＬＣのＩＰアドレスＩＰＡ２と、無線ＬＡＮコントローラＷＬＣのログインＩＤ“ｘｘ２”およびパスワード（ＰＷ）“ｐｐ２”との対応関係を保持する。

図４は、図１のネットワークシステムが不正通信遮断動作を行う際の主要な処理内容の一例を示すシーケンス図である。ここでは、図３に示すように、情報端末ＴＭ１０が、インターネット網１１側の装置を宛先とするユーザフレームＵＦを送信し、不正通信検知装置１２が、当該ユーザフレームＵＦに対して不正通信を検知した場合を想定する。図４において、不正通信検知装置１２は、インターネット網１０に向けた通信を監視し、その中で情報端末ＴＭ１０の不正通信を検知する（ステップＳ２０１）。この場合、不正通信検知装置１２は、当該不正通信の送信元のＩＰアドレスＩＰＡ１０を含む不正通信検知ログＬＧ３をログ管理サーバ１５へ送信する（ステップＳ２０２）。この際に、不正通信検知装置１２は、ログの宛先となるログ管理サーバ１５のＩＰアドレスを予め保持している。

ログ管理サーバ１５は、不正通信検知ログＬＧ３を受信した場合、端末管理ＤＢ２０に基づき当該ログに含まれる送信元のＩＰアドレスＩＰＡ１０に対応する情報端末ＴＭ１０のＭＡＣアドレスＭＡ１０を取得し、当該ＭＡＣアドレスＭＡ１０を含む通信遮断命令Ｃ１を認証スイッチ（認証クライアント）ＳＷへ送信する（ステップＳ２０４、第３の処理）。より詳細には、当該通信遮断命令Ｃ１には、端末管理ＤＢ２０に基づき、ＭＡＣアドレスＭＡ１０に加えて、認証スイッチＳＷのログインＩＤ“ｘｘ１”およびパスワード（ＰＷ）“ｐｐ１”も含まれている。また、当該通信遮断命令Ｃ１の宛先のＩＰアドレスは、端末管理ＤＢ２０に基づき、認証スイッチＳＷのＩＰアドレスＩＰＡ１に定められる。

認証スイッチ（認証クライアント）ＳＷは、通信遮断命令Ｃ１を受信した場合に、それに含まれるＭＡＣアドレスＭＡ１０を送信元ＭＡＣアドレスとする通信（例えば中継等）を遮断する（ステップＳ２０５）。具体的には、認証スイッチＳＷは、例えば、通信拒否リスト等にＭＡＣアドレスＭＡ１０を登録し、送信元ＭＡＣアドレスＭＡ１０のフレームを受信した場合には、当該リストに基づき当該フレームを破棄する。本実施の形態１では、このような通信拒否リストの登録を行うためにログインＩＤ“ｘｘ１”およびパスワード（ＰＷ）“ｐｐ１”が必要とされるが、認証スイッチＳＷの仕様によってはログインＩＤおよびパスワード（ＰＷ）は不要である。

さらに、ログ管理サーバ１５は、不正通信検知ログＬＧ３を受信した場合、当該ログに含まれる送信元のＩＰアドレスＩＰＡ１０に対応するアカウントＩＤを認証拒否に定めるための認証拒否命令Ｃ２を認証サーバ１７へ送信する（ステップＳ２０６、第２の処理）。具体的には、ログ管理サーバ１５は、端末管理ＤＢ２０に基づき不正通信検知ログＬＧ３に含まれる送信元のＩＰアドレスＩＰＡ１０に対応するアカウントＩＤ“ＭＡ’１０”を取得し、当該アカウントＩＤを含む認証拒否命令Ｃ２を認証サーバ１７へ送信する。この際に、ログ管理サーバ１５は、宛先となる認証サーバ１７のＩＰアドレスを予め保持するか、あるいは、図２のステップＳ１０６の認証許可ログＬＧ１ｂ（例えば、その送信元ＩＰアドレス）から取得する。

認証サーバ１７は、認証拒否命令Ｃ２を受信した場合に、それに含まれるアカウントＩＤ“ＭＡ’１０”を認証拒否に定める（ステップＳ２０７）。例えば、認証サーバ１７は、図１に示した認証ＤＢ２４において、アカウントＩＤ“ＭＡ’１０”の認証許可／拒否を認証拒否に変更する。

以降、情報端末ＴＭ１０は、認証スイッチＳＷによって通信が遮断されたため（ステップＳ２０５）、図２のステップＳ１０１，Ｓ１０２の場合と同様にして、再び認証要求を行う場合がある（ステップＳ２０８，Ｓ２０９）。しかし、認証サーバ１７は、アカウントＩＤ“ＭＡ’１０”を認証拒否に定めたため（ステップＳ２０７）、認証の判定結果として認証拒否の通知を認証スイッチＳＷへ送信する（ステップＳ２１０，Ｓ２１１）。これに応じて、認証スイッチＳＷも、拒否対象の情報端末ＴＭ１０に各種通信権限を付与しない（ステップＳ２１２）。代表的には、ポートＰ１を用いて通信を行うこと自体の権限を付与しない方法や、あるいは、内部ネットワーク１０に接続する権限を付与しない方法等が挙げられる。

《ネットワークシステムの主要な効果》
以上、図１のネットワークシステムを用いて図２および図４に示したような動作を行うことで、代表的には、不正通信をより確実に遮断することが可能になる。具体的に説明すると、例えば、図４のステップＳ２０５のように、認証スイッチＳＷ等で所定のＭＡＣアドレス（例えばＭＡ１０）からの通信を遮断することでも不正通信を遮断することが可能である。しかし、例えば、情報端末（例えばＴＭ１０）が、別の認証スイッチや、または無線ＬＡＮコントローラＷＬＣに再接続された場合、内部ネットワーク１０で再び不正通信が行われる恐れがある。

あるいは、悪意のあるユーザ１３ａが、Ｗｅｂ認証で認証サーバ１７にログインしたのち、図４のステップＳ２０５の処理が行われる度に利用する情報端末ＴＭを変更しながら再接続を試みることで、内部ネットワーク１０で再び不正通信が行われる恐れがある。そこで、本実施の形態１では、ログ管理サーバ１５は、図４のステップＳ２０５の処理に加えて、ステップＳ２０６において認証拒否命令Ｃ２を発行する。これにより、不正通信を行う情報端末ＴＭのアカウントＩＤや、悪意のあるユーザのアカウントＩＤ自体を認証拒否に設定することができるため、前述したような再接続に伴う不正通信を防止でき、不正通信をより確実に遮断することが可能になる。

《ログ管理サーバ（サーバ装置）の構成および動作》
図５は、図１のネットワークシステムにおけるログ管理サーバの主要部の構成例を示す概略図である。図５に示すログ管理サーバ（サーバ装置）１５は、全体制御部３０と、記憶部１９と、ユーザインタフェース３１とを備える。記憶部１９は、ＨＤＤ等で構成され、全体制御部３０は、ＣＰＵによるプログラム処理等によって構成される。記憶部１９は、前述した端末管理ＤＢ２０に加えて、ログＤＢ３８と、認証サーバ１７のＩＰアドレス３９とを保持する。

全体制御部３０は、ＤＢ管理部３２と、イベント処理部３３とを備える。ＤＢ管理部３２は、外部からのログを受信し、当該ログをログＤＢ３８に登録する。ログは、前述したように、ｓｙｓｌｏｇや、ＳＮＭＰ Ｔｒａｐ等で通知される様々なログであり、図２に示した認証許可ログＬＧ１ａ，ＬＧ１ｂやＤＨＣＰログＬＧ２や、図４に示した不正通信検知ログＬＧ３を含む。ＤＢ管理部３２は、イベント検出部３５と端末管理ＤＢ登録部３６とを備える。

イベント検出部３５は、受信したログから各種イベントを検出し、当該検出したイベントをイベント処理部３３へ通知する。イベント処理部３３は、通知されたイベントに応じて各種処理を行う。当該処理の中には、図４に示した通信遮断命令Ｃ１の発行や、認証拒否命令Ｃ２の発行が含まれる。端末管理ＤＢ登録部３６は、受信したログに基づき、所定の情報を端末管理ＤＢ２０に登録する。

ユーザインタフェース３１は、例えば、キーボードやディスプレイ等で構成され、管理者２９から命令を受け付け、また、管理者２９に対して各種情報を出力する。例えば、管理者２９は、ユーザインタフェース３１を介して認証サーバ１７のＩＰアドレス３９を記憶部１９に登録する。あるいは、管理者２９は、ユーザインタフェース３１およびＤＢ管理部３２を介してログＤＢ３８が保持する各種情報を検索し、必要な情報を取得する。

図６（ａ）および図６（ｂ）は、図５のログ管理サーバにおける端末管理ＤＢ登録部の処理内容の一例を示すフロー図である。図６（ａ）において、端末管理ＤＢ登録部３６は、認証許可ログＬＧ１ａ，ＬＧ１ｂを受信し（ステップＳ３０１）、ステップＳ３０２の処理を行う。ステップＳ３０２において、端末管理ＤＢ登録部３６は、認証許可ログＬＧ１ａ，ＬＧ１ｂに含まれる認証クライアント（ＳＷ／ＷＬＣ）のＩＰアドレスと、アカウントＩＤと、情報端末ＴＭのＭＡＣアドレスとの対応関係を端末管理ＤＢ２０に登録する（ステップＳ３０２）。

次いで、端末管理ＤＢ登録部３６は、端末管理ＤＢ２０に、認証クライアント（ＳＷ／ＷＬＣ）のＩＰアドレスが登録済みで、認証クライアントのログインＩＤおよびパスワード（ＰＷ）が未登録のエントリが有るか否かを判定する（ステップＳ３０３）。対象のエントリがある場合、端末管理ＤＢ登録部３６は、当該エントリに、予め管理者２９によって設定されたログインＩＤおよびパスワード（ＰＷ）を登録する（ステップＳ３０４）。

一方、図６（ｂ）において、端末管理ＤＢ登録部３６は、ＤＨＣＰログＬＧ２を受信し（ステップＳ４０１）、ステップＳ４０２の処理を行う。ステップＳ４０２において、端末管理ＤＢ登録部３６は、ＤＨＣＰログに含まれる情報端末ＴＭのＭＡＣアドレスが端末管理ＤＢ２０のエントリに登録済みか否かを判定する（ステップＳ４０２）。登録済みの場合、端末管理ＤＢ登録部３６は、対象のエントリに、ＤＨＣＰログに含まれる情報端末ＴＭのＩＰアドレスを登録する（ステップＳ４０３）。なお、端末管理ＤＢ登録部３６は、ステップＳ３０３で未登録のエントリが無い場合や、ステップＳ４０２で所定のＭＡＣアドレスがエントリに未登録の場合には処理を終了する。

図７は、図５のログ管理サーバによって実行される不正通信遮断処理の処理内容の一例を示すフロー図である。図７において、ログ管理サーバ１５のイベント検出部３５は、不正通信検知ログＬＧ３を受信し、その旨をイベント処理部３３へ通知する（ステップＳ５０１）。イベント処理部３３は、当該通知に応じて、不正通信検知ログＬＧ３に含まれる情報端末ＴＭのＩＰアドレスをキーとして端末管理ＤＢ２０を検索する（ステップＳ５０２）。

検索結果がヒットした場合（ステップＳ５０３）、イベント処理部３３は、ヒットしたエントリに基づき、認証クライアント（ＳＷ／ＷＬＣ）のログインＩＤおよびパスワード（ＰＷ）と、情報端末ＴＭのＭＡＣアドレスとを含む通信遮断命令Ｃ１を、認証クライアントのＩＰアドレスを宛先として送信する（ステップＳ５０４）。さらに、イベント処理部３３は、ヒットしたエントリに基づき、アカウントＩＤを含む認証拒否命令Ｃ２を、認証サーバ１７のＩＰアドレス３９を宛先として送信する（ステップＳ５０５）。なお、ログ管理サーバ１５は、ステップＳ５０３でミスヒットの場合には処理を終了する。

以上、本実施の形態１のネットワークシステムおよびサーバ装置を用いることで、代表的には、不正通信をより確実に遮断することが可能になる。

（実施の形態２）
《ネットワークシステム（変形例）の構成》
図８は、本発明の実施の形態２によるネットワークシステムにおいて、主要部の構成例を示す概略図である。図８に示すネットワークシステムは、図１の構成例と比較して、ＤＨＣＰサーバ１６および認証サーバ１７が、１台の認証／ＤＨＣＰサーバ４５に置き換わっている点が異なっている。認証／ＤＨＣＰサーバ４５は、図１のＤＨＣＰサーバ１６と同様の処理を行うＤＨＣＰ処理部４６と、図１の認証サーバ１７と同様の処理を行う認証処理部４７と、記憶部４８とを備える。

記憶部４８には、認証／ＩＰ管理ＤＢ４９を保持する。認証／ＩＰ管理ＤＢ４９は、認証処理部４７がＭＡＣアドレス認証を行う場合には、当該ＭＡＣアドレスを共通パラメータとして図１の認証ＤＢ２４とＩＰ管理ＤＢ２２とを統合したような構成を備えることができる。すなわち、認証／ＩＰ管理ＤＢ４９は、アカウント（アカウントＩＤおよびパスワード（ＰＷ））と、情報端末ＴＭのＩＰアドレスおよびＭＡＣアドレスと、認証許可／許否の情報との対応関係を保持することができる。

このような構成の場合、ログ管理サーバ１５が図４のステップＳ２０６で認証拒否命令Ｃ２を送信する際、当該認証拒否命令Ｃ２が含むパラメータは、必ずしもアカウントＩＤである必要はなく、情報端末ＴＭのＩＰアドレスや、またはＭＡＣアドレスであってもよい。認証／ＤＨＣＰサーバ４５は、認証／ＩＰ管理ＤＢ４９に基づき、当該ＩＰアドレスやＭＡＣアドレスに対応するアカウントＩＤを認証拒否に定めることができる。

以上、本実施の形態２のネットワークシステムおよびサーバ装置を用いることでも、実施の形態１の場合と同様の効果が得られる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。例えば、前述した実施の形態は、本発明を分かり易く説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、ある実施の形態の構成の一部を他の実施の形態の構成に置き換えることが可能であり、また、ある実施の形態の構成に他の実施の形態の構成を加えることも可能である。また、各実施の形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

例えば、ここでは、認証サーバ１７の認証方法として、ＭＡＣアドレス認証やＷｅｂ認証を用いたが、ＩＥＥＥ８０２．１Ｘ認証等を用いる場合であっても同様に適用することが可能である。また、図４および図７に示した通信遮断命令Ｃ１と認証拒否命令Ｃ２の実行順序（図４のステップＳ２０４とＳ２０６、および図７のステップＳ５０４とＳ５０５）を入れ替えることも可能である。

１０ 内部ネットワーク
１１ インターネット網
１２ 不正通信検知装置
１３ａ，１３ｂ ユーザ
１４ 管理テーブル参照部
１５ ログ管理サーバ
１６ ＤＨＣＰサーバ
１７ 認証サーバ
１９，２１，２３，４８ 記憶部
２０ 端末管理ＤＢ
２２ ＩＰ管理ＤＢ
２４ 認証ＤＢ
２９ 管理者
３０ 全体制御部
３１ ユーザインタフェース
３２ ＤＢ管理部
３３ イベント処理部
３５ イベント検出部
３６ 端末管理ＤＢ登録部
３８ ログＤＢ
４５ 認証／ＤＨＣＰサーバ
４６ ＤＨＣＰ処理部
４７ 認証処理部
４９ 認証／ＩＰ管理ＤＢ
Ｃ１ 通信遮断命令
Ｃ２ 認証拒否命令
ＬＧ１ａ，ＬＧ１ｂ 認証許可ログ
ＬＧ２ ＤＨＣＰログ
ＬＧ３ 不正通信検知ログ
ＳＷ 認証スイッチ
ＴＭ，ＴＭ１０，ＴＭ２０ 情報端末
ＵＦ ユーザフレーム
ＷＬＣ 無線ＬＡＮコントローラ

Claims (6)

1. 端末管理データベースを備えるログ管理サーバと、
   アカウント識別子毎の認証許可／拒否を定める認証データベースに基づき認証を行う認証サーバと、
   所定の情報端末からの認証要求に応じて、当該認証要求に伴うアカウント識別子を含む認証判定要求を前記認証サーバへ送信し、前記認証サーバから前記認証許可／拒否の判定結果を受信する認証クライアントと、
   所定の情報端末からのＩＰアドレスの割り当て要求に応じてＩＰアドレスを割り当て、当該ＩＰアドレスを割り当てた場合に、前記所定の情報端末のＩＰアドレスおよびＭＡＣアドレスを含むＤＨＣＰログを前記ログ管理サーバへ送信するＤＨＣＰ（Dynamic Host Configuration Protocol）サーバと、
   インターネット網に向けた通信を監視し、不正通信を検知した場合に当該通信の送信元のＩＰアドレスを含む不正通信検知ログを前記ログ管理サーバへ送信する不正通信検知装置と、
   を有するネットワークシステムであって、
   前記認証サーバおよび前記認証クライアントの少なくとも一方は、前記認証許可の場合に、当該認証許可の対象となるアカウント識別子および前記所定の情報端末のＭＡＣアドレスを含む認証許可ログを前記ログ管理サーバへ送信し、
   前記ログ管理サーバは、
   前記認証許可ログおよび前記ＤＨＣＰログを受信した場合に、前記所定の情報端末のＭＡＣアドレスを共通パラメータとして、前記認証許可の対象となるアカウント識別子と前記所定の情報端末のＩＰアドレスとの対応関係を前記端末管理データベースに登録する第１の処理と、
   前記不正通信検知ログを受信した場合に、当該不正通信検知ログに含まれる前記送信元のＩＰアドレスに対応するアカウント識別子を前記認証拒否に定めるための認証拒否命令を前記認証サーバへ送信する第２の処理と、
   を実行する、
   ネットワークシステム。
2. 請求項１記載のネットワークシステムにおいて、
   前記ログ管理サーバは、前記第２の処理に際し、前記端末管理データベースに基づき前記不正通信検知ログに含まれる前記送信元のＩＰアドレスに対応するアカウント識別子を取得し、前記アカウント識別子を含む前記認証拒否命令を前記認証サーバへ送信する、
   ネットワークシステム。
3. 請求項１または２記載のネットワークシステムにおいて、
   前記ログ管理サーバは、さらに、前記不正通信検知ログを受信した場合に、前記端末管理データベースに基づき当該不正通信検知ログに含まれる前記送信元のＩＰアドレスに対応する前記所定の情報端末のＭＡＣアドレスを取得し、当該ＭＡＣアドレスを含む通信遮断命令を前記認証クライアントへ送信する第３の処理を実行し、
   前記認証クライアントは、前記通信遮断命令を受信した場合に、当該通信遮断命令に含まれるＭＡＣアドレスを送信元とする通信を遮断する、
   ネットワークシステム。
4. 認証サーバ、認証クライアント、ＤＨＣＰ（Dynamic Host Configuration Protocol）サーバおよび不正通信検知装置が接続される内部ネットワーク上のログを収集し、端末管理データベースを有するサーバ装置であって、
   前記認証サーバは、アカウント識別子毎の認証許可／拒否を定める認証データベースに基づき認証を行い、
   前記認証クライアントは、所定の情報端末からの認証要求に応じて、当該認証要求に伴うアカウント識別子を含む認証判定要求を前記認証サーバへ送信し、前記認証サーバから前記認証許可／拒否の判定結果を受信し、
   前記ＤＨＣＰサーバは、所定の情報端末からのＩＰアドレスの割り当て要求に応じてＩＰアドレスを割り当て、当該ＩＰアドレスを割り当てた場合に、前記所定の情報端末のＩＰアドレスおよびＭＡＣアドレスを含むＤＨＣＰログを前記サーバ装置へ送信し、
   前記不正通信検知装置は、インターネット網に向けた通信を監視し、不正通信を検知した場合に当該通信の送信元のＩＰアドレスを含む不正通信検知ログを前記サーバ装置へ送信し、
   前記認証サーバおよび前記認証クライアントの少なくとも一方は、前記認証許可の場合に、当該認証許可の対象となるアカウント識別子および前記所定の情報端末のＭＡＣアドレスを含む認証許可ログを前記サーバ装置へ送信し、
   前記サーバ装置は、
   前記認証許可ログおよび前記ＤＨＣＰログを受信した場合に、前記所定の情報端末のＭＡＣアドレスを共通パラメータとして、前記認証許可の対象となるアカウント識別子と前記所定の情報端末のＩＰアドレスとの対応関係を前記端末管理データベースに登録する第１の処理と、
   前記不正通信検知ログを受信した場合に、当該不正通信検知ログに含まれる前記送信元のＩＰアドレスに対応するアカウント識別子を前記認証拒否に定めるための認証拒否命令を前記認証サーバへ送信する第２の処理と、
   を実行する、
   サーバ装置。
5. 請求項４記載のサーバ装置において、
   前記サーバ装置は、前記第２の処理に際し、前記端末管理データベースに基づき前記不正通信検知ログに含まれる前記送信元のＩＰアドレスに対応するアカウント識別子を取得し、前記アカウント識別子を含む前記認証拒否命令を前記認証サーバへ送信する、
   サーバ装置。
6. 請求項４または５記載のサーバ装置において、
   前記サーバ装置は、さらに、前記不正通信検知ログを受信した場合に、前記端末管理データベースに基づき当該不正通信検知ログに含まれる前記送信元のＩＰアドレスに対応する前記所定の情報端末のＭＡＣアドレスを取得し、当該ＭＡＣアドレスを含む通信遮断命令を前記認証クライアントへ送信する第３の処理を実行する、
   サーバ装置。

Images