JP3739772B2

JP3739772B2 - ネットワークシステム

Info

Publication number: JP3739772B2
Application number: JP2003435500A
Authority: JP
Inventors: 英樹吉井; 誠村上
Original assignee: 日本テレコム株式会社
Priority date: 2003-12-26
Filing date: 2003-12-26
Publication date: 2006-01-25
Anticipated expiration: 2023-12-26
Also published as: JP2005196279A

Description

本発明は、遠隔一元的に各端末のセキュリティ管理を行なうことができるネットワークシステムに関する。

近年、イントラネットなど企業内ネットワークにおいて、ウイルスやハッカーなどによる攻撃など被害が続出しており、インターネットなどの外部ネットワークに対するセキュリティ対策は重要である。このため、外部ネットワークとの境界にファイアウオールを設置するなどして、外部からの不正アクセス等を排除することが一般的に行なわれている。また、こうしたファイアウオールにウイルス検知ソフトウエアをインストールしてウイルス対策を行なうことも一般的に行なわれている。

しかし、ファイアウオールにウイルス検知ソフトウエアをインストールして、ＬＡＮを宛先とするデータ全てのウイルス検知・駆除等を一括して行なわせると、ファイアウオールの負荷が大きくなり、ネットワークのパフォーマンスが低下し易いという問題がある。このため、ファイアウオールにウイルス検知を一括して行なわせる代わりに、ＬＡＮに接続された個々の端末にウイルス検知ソフトウエアを実装させ、これによりウイルス対策を行なうことが、一般的に行なわれている。

ところで、こうしたウイルス検知ソフトウエアは、新型のウイルスに対応したウイルス検知用データ、例えば、ウイルス定義ファイル、パターンファイルなどを常に更新しておかないと、有効に動作しない。端末ごとにウイルス検知ソフトウエアをインストールして、端末ごとにウイルス対策を行なわせる形態をとる場合、こうしたウイルス検知用データの更新は、端末ごとに行う必要があるが、多数の端末のうち、一部でもこうしたウイルス検知用データの更新を怠ってしまうと、その端末がウイルスに感染し、このウイルスが他の端末にも伝染してしまうという問題がある。

また、オペレーティングシステム（ＯＳ）やメールソフトウエア、ブラウザソフトウエア等に欠陥がある場合には、その欠陥を補修してウイルスの攻撃を回避するためのパッチファイルをインストールすることが必要である。パッチファイルの取得は、近年においては、ソフトウエア会社のホームページ等からインターネットを通じてダウンロードすることにより行なわれるのが一般的である。多数の端末のうち、一部でもこうしたパッチファイルのダウンロードを怠ると、その端末がいわゆるサイバーテロやハッカーからの攻撃を受け、ネットワーク内に侵入されるという問題がある。

端末でのセキュリティ対策状況、例えばウイルス検知ソフトウエアのインストール、最新のウイルス検知用データ、パッチファイル等のダウンロード等、セキュリティ確保のために必要又は有効な対策状況をセンタシステムにおいて検査し、必要なセキュリティ情報（例えば、ウイルス情報）を端末に提供するシステムが、特許文献１により知られている。

特開２００３−２８８３２１号公報

しかし、この特許文献１のシステムにおいては、各端末のセキュリティ対策の不十分さが見つかっても、その端末がネットワークに接続されたままとなり、このような端末からウイルスがネットワーク中に蔓延する虞がある。

また、各端末のセキュリティ対策状況を認識可能な管理端末を用意し、その管理端末によって遠隔的に各端末のセキュリティを管理する方法がある。このような管理端末を用いて各端末のセキュリティを管理する方法は、遠隔一元的にセキュリティ管理を行なうことができるというメリットを有するが、管理端末によってある端末のセキュリティ対策が不十分であることが認識されたとしても、管理者がその端末の利用者に知らせてその端末側からネットワークへの接続を断ったりしなければならず、迅速に対応することができないという問題がある。

そこで、本発明は、遠隔一元的にセキュリティ管理を行なうことができるとともに、ウイルスなどによる被害に対して迅速に対応することができるネットワークシステムを提供することを目的とする。

以上のような目的を達成するため、本発明は、少なくとも１以上のローカルネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記一の端末の接続を遮断することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする。

以上のように本発明に係るネットワークシステムによれば、管理端末によってセキュリティや認証情報などが不審な端末を認識した場合、管理端末からの遠隔操作によって、その端末の接続を遮断することができる。

また、上記目的を達成するため、本発明は、少なくとも１以上のローカルネットワークと、前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記少なくとも１以上のローカルネットワークのいずれかにアクセス可能な状態にされている一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更するよう構成されていることを特徴とする。

以上のように本発明に係るネットワークシステムによれば、管理端末によってセキュリティ対策が不十分な端末を認識した場合、管理端末からの遠隔操作によって、その端末の接続先をセキュリティ対策用ネットワークに変更することができる。また、本発明に係るネットワークシステムにおいて、前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断するよう構成しても良い。さらに、本発明に係るネットワークシステムにおいて、セキュリティ対策用ネットワークは、ウイルス検知用データやＯＳなどのパッチファイルなどを各端末に供給可能なネットワークであって、ウイルス検知用データやＯＳなどのパッチファイルなどセキュリティ対策用のデータを供給可能なセキュリティ対策サーバにインターネットやイントラネットなどを通じてアクセスすることができるものである。

さらに、上記目的を達成するため、本発明は、少なくとも２以上のローカルネットワークと、端末が接続可能で、接続されている端末を前記少なくとも２以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記少なくとも２以上のローカルネットワークのうち一のローカルネットワークにアクセス可能な状態にされている一の端末のアクセス先を他のローカルネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記他のローカルネットワークに変更するよう構成されていることを特徴とする。

以上のように本発明に係るネットワークシステムによれば、管理端末によってセキュリティ対策や認証情報などが不審な端末を認識した場合、管理端末からの遠隔操作によって、その端末の接続先を他のローカルネットワークに変更することができる。また、本発明に係るネットワークシステムにおいて、前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断するよう構成しても良い。

またさらに、上記目的を達成するため、本発明は、少なくとも１以上のローカルネットワークと、前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、前記スイッチング部に接続されている端末のセキュリティ対策の状態を認証する認証部と、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記認証部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のセキュリティ対策の状態を再認証し、前記スイッチング部は、前記認証部による再認証によって接続されている端末のセキュリティ対策が十分であると認証された場合、接続されている端末を前記少なくとも１以上のローカルネットワークにアクセス可能な状態にし、前記認証部による再認証によって接続されている端末のセキュリティ対策が不十分であると認証された場合、接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にすることを特徴とする。

以上のように本発明に係るネットワークシステムによれば、管理端末によってセキュリティや認証情報などが不審な端末を認識した場合、管理端末からの遠隔操作によって、その端末の再認証を実行することができ、このように再認証の結果によって端末の接続を継続したり、遮断したり、接続先を変更したりすることができる。また、本発明に係るネットワークシステムにおいて、前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断するよう構成しても良い。

本発明に係るネットワークシステムにおいて、前記認証部は、前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、さらに前記端末の認証情報の再認証を行なうよう構成されており、前記スイッチング部は、前記認証部による再認証によって前記端末の認証情報が所定のものでないと認証された場合、前記端末と前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策ネットワークのいずれのネットワークとの接続を遮断するように構成されていることが好ましく、前記スイッチング部は、前記管理サーバが前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、前記端末のネットワークとのアクセスを一旦不可の状態にするよう構成されていることが好ましい。本発明に係るネットワークシステムにおいて、セキュリティ対策用ネットワークは、ウイルス検知用データやＯＳなどのパッチファイルなどを各端末に供給可能なネットワークであって、ウイルス検知用データやＯＳなどのパッチファイルなどセキュリティ対策用のデータを供給可能なセキュリティ対策サーバにインターネットやイントラネットなどを通じてアクセスすることができるものである。

以上のように、本発明に係るネットワークシステムによれば、遠隔一元的にセキュリティ管理を行なうことができるとともに、ウイルスなどによる被害に対して迅速に対応することができるネットワークシステムを提供することができる。

次に、本発明に係るネットワークシステムの実施例について図面に基づいて説明する。図１は、本実施例に係るネットワークシステムの概念図である。本実施例に係るネットワークシステムは、図１に示すように、ネットワーク１０と、端末１２（１２−１〜４）が接続可能な１以上の接続ポートを有するＬＡＮスイッチ１４（１４−１、１４−２）と、ＬＡＮスイッチ１４に接続されている各端末１２のセキュリティ対策状況を認識可能な管理端末１６と、ＬＡＮスイッチ１４の制御などを行なう管理サーバ１８と、ＬＡＮスイッチ１４に接続されている端末１２のＬＡＮスイッチ１４及び接続ポートなど接続元に関するデータを各端末１２の認証情報と関連付けて記憶する端末データベース２０と、ＬＡＮスイッチ１４に接続されている端末１２のセキュリティ対策の状態や所定の認証情報の認証を行なう認証サーバ２２と、ＬＡＮスイッチ１４に接続されている端末１２の接続先のネットワークの種類に関する情報が記憶されているポリシデータベース２４と、を備えている。

これらのＬＡＮスイッチ１４−１、１４−２は、所定の規則に基づき、ネットワーク１０中に仮想的に形成される複数種類のＶＬＡＮ（Virtual Local Area Network）のいずれか１つに端末１２を接続する。ここではＶＬＡＮとして、ＶＬＡＮ−１、ＶＬＡＮ−２及びＧｕｅｓｔ−ＶＬＡＮが形成されている。ＶＬＡＮ−１及びＶＬＡＮ−２は、セキュリティ対策が十分になされた端末１２が接続可能なＶＬＡＮであり、データサーバ２６又は２７が接続されている。一方、Ｇｕｅｓｔ−ＶＬＡＮは、セキュリティ対策が不十分である端末１２が接続されるＶＬＡＮであり、インターネット２８を介して、各種セキュリティ対策用サーバ３０に接続可能である。セキュリティ対策サーバ３０は、例えばウイルス検知用ソフトウエアやＯＳの製造メーカのＷＷＷサーバ等である。ＶＬＡＮ−１に接続された端末と、ＶＬＡＮ−２に接続された端末１２と、Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１２とは、それぞれ互いにアクセスすることができないように構成されている。

管理端末１６は、ＬＡＮスイッチ１４に接続されている各端末１２のセキュリティ対策状況、例えばウイルス検知ソフトウエアのウイルス検知用データが最新のものに更新されているか、又はＯＳ、電子メールソフト及びウェブブラウザソフトなどの最新のパッチファイルがインストールされているかなどを認識することができ、これらは、例えばＭＡＣアドレスやユーザＩＤなどその端末１２の認証情報と関連付けて認識することができる。すなわち、管理端末１６を利用するネットワーク管理者は、ＬＡＮスイッチ１４に接続されている各端末１２の遠隔地からそれら各端末１２のセキュリティ対策状況をそれら端末１２の認証情報と関連付けて認識することができる。また、管理端末１６は、各端末１２のＬＡＮスイッチ１４との接続を遮断する旨の通知、各端末１２のＶＬＡＮ−１との接続をＧｕｅｓｔ−ＶＬＡＮへ変更する旨の通知、各端末１２のＶＬＡＮ−１との接続をＶＬＡＮ−２へ変更する旨の通知、及び各端末１２の再認証を要求する通知などを各端末１２の認証情報と関連付けられた状態で管理サーバ１８に送信することができるよう構成されている。

各端末１２は、一般的に市販されているウイルス検知ソフトウエアをインストールされているとともに、このウイルス検知ソフトウエアのウイルス検知用データの更新状況、並びにＯＳ、電子メールソフト及びウェブブラウザソフトなどのパッチファイルのダウンロード状況などを含めたセキュリティ対策状況に関するデータをＬＡＮスイッチ１４を介して管理サーバ１８に送信するためのソフトウエア（状態診断ソフトウエア）がインストールされている。

管理サーバ１８は、例えばＲＡＤＩＵＳ（Remote Authentification Dial-In User Service）サーバであり、ＩＥＥＥ８０２．１Ｘに対応したＬＡＮスイッチ１４をＲＡＤＩＵＳクライアントとして認識するものである。管理サーバ１８は、端末データベース２０にアクセスして、管理端末１６からの通知とともに送信される端末の認証情報に基づいて、その端末が接続されているＬＡＮスイッチ１４及び接続ポートに関する情報を検索して取得することができ、その情報のＬＡＮスイッチ１４に接続ポートの情報とともに管理端末１６からの要求を送信することができる。また、管理サーバ１８は、ポリシデータベース２４にアクセスして、ＬＡＮスイッチ１４に接続されている端末１２の接続先を検索し、また接続先が変更した場合にその変更した接続先を記憶させることができる。さらに、管理サーバ１８は、端末１２から送信されたセキュリティ対策状況データ又は所定の認証情報に基づき、その端末１２のセキュリティ対策の状態や所定の認証情報の認証を認証サーバ２２に実行させることができる。認証サーバ２２における認証は、ＥＡＰ（PPP Extensible Authentication Protocol）等の認証方式を利用している。すなわち、認証サーバ２２は、各端末１２から管理サーバ１８を介して送信されるセキュリティ対策状況データに基づき、各端末１２のセキュリティ対策状況を認証して、その認証結果を管理サーバ１８に返信する。例えば、送信されたウイルス検知用データのバージョンが最新のものか否か、最新のパッチファイルがダウンロードされているか否か等を認証する。

次に、本実施例に係るネットワークシステムの動作について説明する。最初に、ネットワーク管理者が端末１２のＬＡＮスイッチ１４との接続を遮断する場合を図２に示すフローチャートに基づいて説明する。先ず、ネットワーク管理者が不審な端末１２−１を発見すると、管理端末１６から管理サーバ１８に端末１２−１との接続を遮断する旨の通知を端末１２−１の認証情報とともに送信させる（Ｓ１００）。管理サーバ１６は、その遮断通知を受信すると、端末データベース２０にアクセスして遮断通知とともに受信した端末１２−１の認証情報に基づいて端末１２−１が接続しているＬＡＮスイッチ１４−１と接続ポートに関する情報を検索し、それらの情報を取得する（Ｓ１０２）。次に、管理サーバ１８は、端末データベース２０から取得した情報に基づいて、端末１２−１が接続しているＬＡＮスイッチ１４−１に端末１２−１が接続している接続ポートに関する情報を送信して、端末１２−１との接続を遮断させる（Ｓ１０４）。

次に、ネットワーク管理者がＶＬＡＮ−１に接続されている端末１２の接続先をＧｕｅｓｔ−ＬＡＮに強制的に変更する場合を図３に示すフローチャートに基づいて説明する。先ず、ネットワーク管理者がセキュリティ対策が不十分な端末１２−２を発見すると、管理端末１６から管理サーバ１８に端末１２−２との接続をＧｕｅｓｔ−ＶＬＡＮに変更する旨の通知を端末１２−２の認証情報とともに送信させる（Ｓ２００）。管理サーバ１６は、その変更通知を受信すると、端末データベース２０にアクセスして変更通知とともに受信した端末１２−２の認証情報に基づいて端末１２−２が接続しているＬＡＮスイッチ１４−１と接続ポートに関する情報を検索し、それらの情報を取得する（Ｓ２０２）。次に、管理サーバ１８は、ポリシデータベース２４に記憶されている端末１２−２の接続先をＧｕｅｓｔ−ＶＬＡＮに変更して記憶させるとともに（Ｓ２０４）、端末データベース２０から取得した情報に基づいて、端末１２−２が接続しているＬＡＮスイッチ１４−１に端末１２−２の接続先変更に関する情報を送信して、端末１２−２の接続先をＧｕｅｓｔ−ＶＬＡＮに変更させる（Ｓ２０６）。

次に、ネットワーク管理者がＶＬＡＮ−１に接続されている端末１２についてセキュリティ対策や認証情報の再認証を行なわせる場合を図４に示すフローチャートに基づいて説明する。先ず、ネットワーク管理者が不審な端末１２−３を発見すると、管理端末１６から管理サーバ１８に端末１２−３を再認証する旨の通知を端末１２−３の認証情報とともに送信させる（Ｓ３００）。管理サーバ１６は、その再認証通知を受信すると、端末データベース２０にアクセスして再認証通知とともに受信した端末１２−３の認証情報に基づいて端末１２−３が接続しているＬＡＮスイッチ１４−２と接続ポートに関する情報を検索し、それらの情報を取得する（Ｓ３０２）。次に、管理サーバ１８は、端末データベース２０から取得した情報に基づいて、端末１２−３が接続しているＬＡＮスイッチ１４−２に端末１２−３が接続している接続ポートに関する情報を送信して、端末１２−３とローカルネットワークとの接続を一時的に遮断させる（Ｓ３０４）。次に、管理サーバ１８は、端末１２−３が接続されているＬＡＮスイッチ１４を介して端末１２−３に自己のセキュリティ対策状況を示すセキュリティ対策状況データを管理サーバ１８に対して出力するように要求する（Ｓ３０６）。次に、管理サーバ１８は、その要求に応じて端末１２から出力された自己のセキュリティ対策状況を示すセキュリティ対策状況データをＬＡＮスイッチ１４−２を介して受信すると（Ｓ３０８）、受信したセキュリティ対策状況データを認証サーバ２２に転送し、端末１２−３のセキュリティ対策状況の認証を依頼する（Ｓ３１０）。認証サーバ２２は、この依頼に基づいてそのセキュリティ対策状況の認証を実行し、認証結果を管理サーバ１８に送信する（Ｓ３１２）。管理サーバ１８は、この認証結果に基づき、端末１２−３のセキュリティ対策が十分であるか否かを判定する（Ｓ３１４）。

管理サーバ１８は、セキュリティ対策が十分であると判定すると、端末１２−１に所定の認証情報（ＩＤ及びパスワード、ＭＡＣアドレス、電子証明書等）を要求する（Ｓ３１６）。管理サーバ１８は、その要求に応じて端末１２−３から出力された所定の認証情報をＬＡＮスイッチ１４−２を介して受信すると（Ｓ３１８）、端末１２−３についての認証を実行する（Ｓ３２０）。管理サーバ１８は、認証情報が不適切なものであると認定した場合、その端末１２−３の接続を拒否し、その端末１２−３をＶＬＡＮ−１、Ｇｕｅｓｔ−ＶＬＡＮのいずれからも遮断する（Ｓ３２２）。例えば、ＭＡＣアドレスが登録されていない場合などである。一方、管理サーバ１８は、端末１２の認証情報が適切なものと認定した場合、その端末１２−３をＶＬＡＮ−１に接続させるための制御信号をＬＡＮスイッチ１４−２に出力して、その端末１２−３をＶＬＡＮ−１に接続させる（Ｓ３２４）。

また、管理サーバ１８は、ステップ３１４において、セキュリティ対策が不十分であると判定すると、その端末１２をＧｕｅｓｔ−ＶＬＡＮに接続させるための制御信号をＬＡＮスイッチ１４−２に出力して、その端末１２をＧｕｅｓｔ−ＶＬＡＮに接続させるとともに、ポリシデータベース２４に端末１２−３の接続先がＧｕｅｓｔ−ＶＬＡＮに変更したことを通知して記憶させ、さらに端末１２−３にＧｕｅｓｔ−ＶＬＡＮに接続したことを通知する（Ｓ３２６）。Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１２は、インターネット２８を介して、各種のセキュリティ対策用サーバ３０にアクセスすることができる。これにより、Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１２−３は、必要なウイルス検知用データ、パッチファイル等をダウンロードしてセキュリティ対策を実行することができる。管理サーバ１８は、端末１２−３からセキュリティ対策が完了したことの通知を受信すると（Ｓ３２８）、ステップ３０６に戻って自己のセキュリティ対策状況を示すセキュリティ対策状況データを管理サーバ１８に対して出力するように要求する。一方、接続要求を出力している端末１２−３からセキュリティ対策が完了したことの通知を受信しない場合は、接続要求している端末１２−３をＧｕｅｓｔ−ＶＬＡＮに接続した状態のままにする。

なお、管理サーバ１８が、管理端末１６から各端末１２のＶＬＡＮ−１との接続をＶＬＡＮ−２へ変更する旨の通知を受信した場合、各端末１２のＶＬＡＮ−１との接続をＧｕｅｓｔ−ＶＬＡＮに変更する場合と同様のステップによって接続先の変更が行なわれる。

本発明に係るネットワークシステムの実施例の概念図である。本実施例に係るネットワークシステムの動作を示すフローチャートである。本実施例に係るネットワークシステムの動作を示すフローチャートである。本実施例に係るネットワークシステムの動作を示すフローチャートである。

符号の説明

１２端末
１４ＬＡＮスイッチ
１６管理端末
１８管理サーバ
２０端末データベース
２２認証サーバ
２４ポリシデータベース

Claims

少なくとも１以上のローカルネットワークと、
前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報を認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、
前記スイッチング部に接続されている端末のセキュリティ対策の状態を認証する認証部と、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記少なくとも１以上のローカルネットワークの一のローカルネットワークに接続されている一の端末の再認証の要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記認証部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のセキュリティ対策の状態を再認証し、
前記スイッチング部は、前記認証部による再認証によって接続されている端末のセキュリティ対策が十分であると認証された場合、接続されている端末を前記一のローカルネットワークにアクセス可能な状態にし、前記認証部による再認証によって接続されている端末のセキュリティ対策が不十分であると認証された場合、接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にすることを特徴とするネットワークシステム。
前記認証部は、前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、さらに前記端末の認証情報の再認証を行なうよう構成されており、
前記スイッチング部は、前記認証部による再認証によって前記端末の認証情報が所定のものでないと認証された場合、前記端末と前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策ネットワークのいずれのネットワークとの接続を遮断するように構成されていることを特徴とする請求項１記載のネットワークシステム。
前記スイッチング部は、前記管理サーバが前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、前記端末のネットワークとのアクセスを一旦不可の状態にするよう構成されていることを特徴とする請求項１又は２記載のネットワークシステム。
前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする請求項３記載のネットワークシステム。
前記一の端末の認証情報は、ユーザＩＤ、パスワード、ＭＡＣアドレス及び電子証明書のいずれか一以上であることを特徴とする請求項１乃至４いずれか記載のネットワークシステム。