JP3930013B2 - ネットワーク管理システム、管理サーバ、及び、コンピュータプログラム - Google Patents

Description

本発明は、ネットワーク管理システム、管理サーバ、及び、コンピュータプログラムに関する。

従来、機器単体において、不揮発性メモリ内のデータの改ざん通知と、異常検出時の起動制御を行っていた。例えば、識別番号通信装置内のチップに機器の識別情報を格納しておき、識別番号通信装置の通信ユニットがプロセッサを介さずにチップから直接識別番号を読み出して外部に送信することにより、プロセッサから改ざんされた識別番号が通信ユニットに送信されることを防止することが行われている（例えば、特許文献１参照）。
特開２００２−１０９５０３号公報

端末やルータなどの複数の機器から構成されるネットワークにおいて、悪意のある機器が混入した場合、その機器が含まれるネットワーク全体のセキュリティが脅かされてしまうという問題があった。そこで、ネットワークを構成する各機器が正当な状態で接続されていることを確認し、正当であると確認された機器同士のみで接続が行われるよう制御することにより、セキュアなネットワーク環境を構築することが望まれていた。
しかし、特許文献１の技術は、機器内のチップ自体の抜き取りや、差し替えが行われた場合には不正を検出することはできなかった。

本発明は、このような事情に鑑みてなされたものであり、正当性を確認するために機器に組み込まれたチップの抜き取りや差し替えが行われた場合にも不正を検出し、不正な機器がネットワークに混入することを防止することができるネットワーク管理システム、管理サーバ、及び、コンピュータプログラムを提供することをその目的とする。

上記課題を解決するために、本発明は、固有情報記憶装置が組み込まれた不正検出装置と、ネットワークへの接続を許可する管理サーバとからなるネットワーク管理システムであって、前記不正検出装置は、各固有情報記憶装置それぞれに固有の情報である固有情報のうち、正当な固有情報を記憶する記憶手段と、所定のタイミングに、自身に組み込まれた固有情報記憶装置から当該固有情報記憶装置の固有情報を読み出す読み出し手段と、前記読み出し手段によって読み出された固有情報と、前記記憶手段内に記憶されている固有情報とを照合し、自身に組み込まれた前記固有情報記憶装置が正当であるか否かの照合結果を前記管理サーバへ送信する照合手段と、前記管理サーバに対し、他の不正検出装置への接続要求を送信する接続要求手段と、前記他の不正検出装置への通信を行う通信手段とを備え、前記管理サーバは、前記不正検出装置から、当該不正検出装置へ組み込まれた前記固有情報記憶装置が正当であるか否かの照合結果を受信する受信手段と、前記受信手段が受信した照合結果を記憶する管理情報記憶手段と、前記不正検出装置から他の不正検出装置への接続要求を受信した際、前記管理情報記憶手段から前記不正検出装置の全ての照合結果を読み出し、読み出した照合結果に正当ではない結果を示すものがあった場合に、前記接続要求を拒絶する接続管理手段とを備える、ことを特徴とするネットワーク管理システムである。

また、本発明は、上述するネットワーク管理システムであって、前記照合手段は、固有情報記憶装置が自身に組み込まれているか否かを判断し、組み込まれていないと判断した場合に、異常の通知を出力する、ことを特徴とする。

また、本発明は、上述するネットワーク管理システムであって、前記照合手段によって自身に組み込まれた前記固有情報記憶装置が正当ではないと判断された場合、あるいは、固有情報記憶装置が自身に組み込まれていないと判断された場合に、動作を停止する動作制御手段をさらに備えることを特徴とする。

また、本発明は、上述するネットワーク管理システムであって、前記読み出し手段は、前記記憶手段内に固有情報が記憶されていない場合に、自身に組み込まれた固有情報記憶装置から読み出した固有情報を前記記憶手段内に格納する、ことを特徴とする。

また、本発明は、固有情報記憶装置が組み込まれた複数の不正検出装置と接続された管理サーバであって、前記不正検出装置に記憶された固有情報と、当該不正検出装置に組み込まれた固有情報記憶装置内に記憶された固有情報との照合結果を所定のタイミングで受信する受信手段と、前記受信手段が受信した照合結果を記憶する管理情報記憶手段と、前記不正検出装置と、該不正検出装置とは別の不正検出装置との接続を管理する管理手段とを備え、前記管理手段は、前記不正検出装置から別の不正検出装置への接続要求を受信した際に、前記接続要求を送信した不正検出装置の照合結果を前記管理情報記憶手段から読み出す読み出し手段と、前記読み出し手段が読み出した照合結果に正当ではない結果を示すものがあった場合に、前記接続要求を拒絶する接続管理手段と、を備えることを特徴とする管理サーバである。
また、本発明は、固有情報記憶装置が組み込まれ、各固有情報記憶装置それぞれに固有の情報である固有情報のうち、正当な固有情報を記憶する記憶手段を備える不正検出装置と、ネットワークへの接続を許可する管理サーバとからなるネットワーク管理システムに用いられるコンピュータプログラムであって、前記不正検出装置に用いられるコンピュータに、所定のタイミングに、自身に組み込まれた固有情報記憶装置から当該固有情報記憶装置の固有情報を読み出す読み出しステップと、前記読み出しステップにおいて読み出された固有情報と、前記記憶手段内に記憶されている固有情報とを照合し、自身に組み込まれた前記固有情報記憶装置が正当であるか否かをの照合結果を前記管理サーバへ送信する照合ステップと、前記管理サーバに対し、他の不正検出装置への接続要求を送信する接続要求ステップと、前記他の不正検出装置への通信を行う通信ステップとを実行させ、前記管理サーバとして用いられるコンピュータに、前記不正検出装置から、当該不正検出装置へ組み込まれた前記固有情報記憶装置が正当であるか否かの照合結果を受信する受信ステップと、前記受信ステップにおいて受信した照合結果を管理情報記憶手段に書き込む書き込みステップと、前記不正検出装置から他の不正検出装置への接続要求を受信した際、前記管理情報記憶手段から前記不正検出装置の全ての照合結果を読み出し、読み出した照合結果に正当ではない結果を示すものがあった場合に、前記接続要求を拒絶する接続管理ステップとを実行させる、ことを特徴とするコンピュータプログラムである。
また、本発明は、固有情報記憶装置が組み込まれた複数の不正検出装置と接続された管理サーバに用いられるコンピュータプログラムであって、前記不正検出装置に記憶された固有情報と、当該不正検出装置に組み込まれた固有情報記憶装置内に記憶された固有情報との照合結果を所定のタイミングで受信する受信ステップと、前記受信ステップにおいて受信した照合結果を管理情報記憶手段に書き込む書き込みステップと、前記不正検出装置と、該不正検出装置とは別の不正検出装置との接続を管理する管理ステップとをコンピュータに実行させ、前記管理ステップにおいては、前記不正検出装置から別の不正検出装置への接続要求を受信した際に、前記接続要求を送信した不正検出装置の照合結果を前記管理情報記憶手段から読み出す読み出しステップと、前記読み出しステップにおいて読み出した照合結果に正当ではない結果を示すものがあった場合に、前記接続要求を拒絶する接続管理ステップと、をコンピュータに実行させることを特徴とするコンピュータプログラムである。

本発明によれば、固有情報記憶装置を組み込んだ不正検出装置が、固有情報記憶装置内の固有情報と不正検出装置内の固有情報を照合し続けることにより、不正検出装置からの固有情報記憶装置の抜き取りや、異なる他の不正検出装置への装着等の不正を検出するとともに、外部に不正を検出した旨を出力することができる。これにより、不正が検出された不正検出装置を運用から排除することができる。また、不正が検出された不正検出装置の動作を停止することにより、不正検出装置がネットワークに接続されている場合などには、この不正が検出された不正検出装置をネットワークから完全に切り離し、正当な不正検出装置のみでセキュアなネットワークを構成し、管理することができる。

以下、本発明の不正検出装置について図面を参照して詳細に説明する。

＜第１の実施の形態＞
以下では、不正検出装置を、ＶＰＮ（virtual private network：仮想私設網）を構成するＶＰＮ構成機器２として、不正検出装置に組み込まれる固有情報記憶装置をＩＣチップ１として説明する。
図１は、本発明の第１の実施の形態によるＶＰＮの構成を示す図である。第１の実施の形態においては、製造段階において、ＩＣチップ１をＶＰＮ構成機器２に組み込む。同図において、ＶＰＮは、ＩＣチップ１が組み込まれたＶＰＮ構成機器２、２、…と管理サーバ３とを、ＬＡＮ（Local Area Network）やインターネットなどの通信ネットワークであるネットワークＮを介して接続してなる。ＶＰＮ構成機器２は、ＶＰＮに参加する任意のコンピュータ機器であり、例えば、ルータなどの通信装置、パーソナルコンピュータや携帯電話端末などの端末装置、情報家電、ＳＴＢ（セット・トップ・ボックス）等である。ＶＰＮ構成機器２は、さらに他のネットワークや任意の機器と接続されるものであってもよい。ＶＰＮ構成機器２は、ＶＰＮに属している他のＶＰＮ構成機器２との通信を行う場合、まず、ネットワークＮを介して管理サーバ３にアクセスし、管理サーバ３において接続許可を受けた場合に、通信先の他のＶＰＮ構成機器２との接続を行う。

図２は、ＩＣチップ１及びＶＰＮ構成機器２の構成を示すブロック図であり、本発明に関連する部分のみを示している。
ＩＣチップ１は、ＶＰＮ構成機器２内に組み込まれ、内部に記憶されているデータに対する読み出しや改ざんなどへの防御機能を有する耐タンパー性を持つ。ＩＣチップ１は、ＩＣチップ１の全体を統括制御するＣＰＵ１０１、プログラム及びデータを記録するメモリ１０２、ＶＰＮ構成機器２とのデータ交換を行う通信部１０３などを有している。ＶＰＮ構成機器２は、ＶＰＮ構成機器２の全体を統括制御するＣＰＵ２０１、プログラム及びデータを記憶するメモリ２０２、ＩＣチップ１とのデータの送受信を行う通信部２０３、ネットワークＮを介したデータの送受信を行う通信部２０４などを有している。

図３は、管理サーバ３の構成を示すブロック図であり、本発明に関連する部分のみを示している。
管理サーバ３は、管理サーバ３の全体を統括制御するＣＰＵ３０１、プログラム及びデータを記憶するメモリ３０２、ネットワークＮを介したデータの送受信を行う通信部３０３、キーボードやマウスなどにより入力を行う入力部３０４、ディスプレイなどの表示部３０５などを有している。

図４は、図１に示すＩＣチップ１、ＶＰＮ構成機器２、及び、管理サーバ３の機能ブロック図である。
ＩＣチップ１は、固有情報記憶部１１を備えたチッププレゼンスマネージャ部１２を有する。
固有情報記憶部１１は、全てのＩＣチップ１に対してユニークであり、ＩＣチップ１そのものを一意に識別することができる固有情報を記憶する。固有情報として、ＩＣチップ１のＩＤ自体を用いてもよい。
チッププレゼンスマネージャ部１２は、ＩＣチップ１自身の状態の情報、ＩＣチップ１が組込まれたＶＰＮ構成機器２の情報、ＩＣチップ１周辺の情報を収集し、これらの収集した情報を含むチッププレゼンス情報をＶＰＮ構成機器２の機器プレゼンスマネージャ部２３、管理サーバ３のサーバプレゼンスマネージャ部３３へ定期的に通知する。

ＶＰＮ構成機器２は、固有情報記憶部２１（記憶手段）を備えた機器チップバインドアプリケーション実行部（以下、「機器チップバインドＡＰ実行部」と記載）２２（読み出し手段、判断手段）、機器プレゼンスマネージャ部２３、動作制御部２４（動作制御手段）、及び、通信制御部２５を有する。
固有情報記憶部２１は、正当なＩＣチップ１の固有情報を記憶する。
機器チップバインドＡＰ実行部２２は、ＶＰＮ構成機器２内にＩＣチップ１が組み込まれているか否かを判断する機能を有する。また、自身に組み込まれているＩＣチップ１のチッププレゼンスマネージャ部１２から固有情報記憶部１１内の固有情報を読み出し、固有情報記憶部２１に格納された固有情報と照合して、ＩＣチップ１の正当性の検証を行う機能を有する。機器チップバインドＡＰ実行部２２は、このＩＣチップ１の検証及びＩＣチップ１の組み込みの有無を電源がオンになっている間、定期的に続けることにより、ＩＣチップ１の抜き取り、差し替えなどの異常を検知する。機器チップバインドＡＰ実行部２２は、ＩＣチップ１の検証結果を示す検証情報を管理サーバ３へ通知する。
機器プレゼンスマネージャ部２３は、ＶＰＮ構成機器２自身の状態の情報、及び、ＶＰＮ構成機器２の周辺の情報を収集し、これらの収集した情報を含む機器プレゼンス情報をＩＣチップ１のチッププレゼンスマネージャ部１２及び管理サーバ３のサーバプレゼンスマネージャ部３３へ定期的に通知する。
動作制御部２４は、機器チップバインドＡＰ実行部２２が異常を検出したときに、所定の機能を停止する機能を有する。ここでは、動作制御部２４は、自身の電源をオフにすることにより当該ＶＰＮ構成機器２の全ての機能を停止する。
通信制御部２５は、ネットワークＮを介したＶＰＮ通信を制御する。

管理サーバ３は、管理情報記憶部３１、バインド状態管理部３２、サーバプレゼンスマネージャ部３３、及び、アクセス制御部３４を有する。
管理情報記憶部３１は、管理情報を記憶する。管理情報は、ＶＰＮ構成機器２のＩＤ毎にバインドされているＩＣチップ１のＩＤ、チップ状態情報、機器情報、ネットワーク状態情報、検証情報を含む。なお、「バインド」されているとは、ＩＣチップ１とＶＰＮ構成機器２とが１対１に関連づけられていることを示す。また、ＩＣチップ１とＶＰＮ構成機器２とが１対１に関連づけられている状態を「機器チップバインドモード」という。
チップ状態情報は、ＶＰＮ構成機器２に備えられているＩＣチップ１のステータスの情報を含む。ＩＣチップ１のステータスには、ＩＣチップ１内に固有情報が登録されている「固有情報登録済み」、ＩＣチップ１内に固有情報が登録されていない「固有情報未登録」、ＩＣチップ１がＶＰＮで利用できないことを示す「ロック状態」、ＩＣチップ１がＶＰＮで利用可能なことを示す「オープン状態」などがある。
機器情報には、機器状態情報、仕様情報が含まれる。機器状態情報は、ＶＰＮ構成機器２のステータスの情報を含む。ＶＰＮ構成機器２のステータスには、ＶＰＮ構成機器２とＩＣチップ１とがバインドされている「バインド状態」、ＶＰＮ構成機器２とＩＣチップ１とがバインドされていない「フリー状態」などがある。仕様情報は、ＶＰＮ構成機器２の性能、仕様、機器の種別（たとえば、端末、ルータ、情報家電など）、各種のＶＰＮ構成機器２に固有の情報等が含まれる。
ネットワーク状態情報は、ＶＰＮにおける接続のステータスを示す。接続のステータスには、ＶＰＮへ接続可能なことを示す「接続可能状態」、ＶＰＮへ接続不可であることを示す「ブロック状態」などがある。

バインド状態管理部３２は、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２２から検証情報を受信し、管理情報記憶部３１内の管理情報に書き込む。
サーバプレゼンスマネージャ部３３は、ＩＣチップ１のチッププレゼンスマネージャ部１２からチッププレゼンス情報を、ＶＰＮ構成機器２の機器プレゼンスマネージャ部２３から機器プレゼンス情報を定期的に受信し、受信したチッププレゼンス情報、機器プレゼンス情報により、管理情報記憶部３１内の管理情報を更新する。
アクセス制御部３４は、ＶＰＮにおけるＶＰＮ構成機器２の接続を制御する。アクセス制御部３４は、ＶＰＮ構成機器２の通信制御部２５からＶＰＮへの参加要求を受信したときに、管理情報記憶部３１内の管理情報を参照してＶＰＮへの参加を許可するか否かを判断する機能を有する。アクセス制御部３４は、参加を許可すると判断した場合のみ、参加要求の送信元のＶＰＮ構成機器２と他のＶＰＮ構成機器２との接続を行う。

次に、図５及び図６を用いて図１に示すＶＰＮの動作手順について説明する。
図５は、ＶＰＮ構成機器２の製造時及び電源起動／通常運用時の動作手順について説明するための図である。
ＶＰＮ構成機器２の製造時、ＶＰＮ構成機器２内に、固有情報が固有情報記憶部１１内に書き込まれているＩＣチップ１を組み込む。そして、情報の改ざんや情報が外部に流出するおそれのない製造時のセキュアな環境下において、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２２は、ＩＣチップ１のチッププレゼンスマネージャ部１２を介して固有情報記憶部１１内に登録されている固有情報を読み出す（ステップＳ１１０）。ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２２は、ＩＣチップ１から読み出した固有情報を、固有情報記憶部２１にセキュアに格納する（ステップＳ１２０）。

ＶＰＮ構成機器２は、製造後、ユーザに販売される。販売されたＶＰＮ構成機器２をＶＰＮにおいて運用可能とするため、管理サーバ３の管理情報記憶部３１へ当該ＶＰＮ構成機器２に関する管理情報が登録される。すなわち、ＶＰＮ構成機器２のＩＤと対応させてＩＣチップ１のＩＤが登録され、さらに、チップ状態情報には、ステータス「固有情報登録済み」及び「オープン状態」が、機器情報には、ステータス「バインド状態」、仕様情報が、また、ネットワーク状態情報には、ステータス「接続可能状態」が登録される。

管理サーバ３への管理情報の登録後、ユーザは、ネットワークＮにＶＰＮ構成機器２を接続して電源を投入する。ＶＰＮ構成機器２の電源の投入及び起動後、ＩＣチップ１のチッププレゼンスマネージャ部１２は、所定の間隔で定期的に、ＩＣチップ１自身の状態の情報、自身が組み込まれているＶＰＮ構成機器２の情報、ＩＣチップ１の周辺の情報を読み出す。チッププレゼンスマネージャ部１２は、収集したＩＣチップ１自身の状態の情報、自身が組み込まれているＶＰＮ構成機器２の情報、ＩＣチップ１の周辺の情報を含むチッププレゼンス情報を管理サーバ３へ通知する（ステップＳ２１０）。チッププレゼンスマネージャ部１２が収集した情報により、何らかのエラーを検出した場合、チッププレゼンス情報にエラーの通知を含めてもよい。ＩＣチップ１自身の状態の情報としては、バインド状態を確認するために使用されるＩＣチップ１の有無の情報、バインド状態が維持されているかを確認するために使用される「ロック状態」または「アンロック状態」、「固有情報登録済み」または「固有情報未登録」、「通信可能状態」または「通信拒否状態」などのステータスの情報、ＩＣチップ１が管理サーバ３に登録されているか否かを示すチップ登録の有無の情報などが含まれる。自身が組み込まれているＶＰＮ構成機器２の情報としては、ＶＰＮ構成機器２のＩＤ等が通知される。ＩＣチップ１の周辺の情報としては、ＶＰＮ構成機器２の状態、例えば、ステータス「バインド状態」や、ＶＰＮ構成機器２に接続されている他の機器やその機器との接続状態などが含まれる。
なお、このチッププレゼンス情報の通知は、ＩＣチップ１の通信部１０３からＶＰＮ構成機器２の通信部２０３へ送信され、さらに通信部２０４がネットワークＮを介して管理サーバ３へ送信することによって行われる。

管理サーバ３のサーバプレゼンスマネージャ部３３は、受信したチッププレゼンス情報により管理情報記憶部３１の管理情報を更新する。サーバプレゼンスマネージャ部３３は、チッププレゼンス情報にエラーの通知が含まれていた場合や、受信したチッププレゼンス情報から異常状態であると判断した場合、異常が発生したＩＣチップ１及びＶＰＮ構成機器２の情報を登録する。具体的には、サーバプレゼンスマネージャ部３３は、ネットワーク状態情報を「ブロック状態」に書き換える。また、アクセス制御部３４は、チッププレゼンス情報の送信元のＶＰＮ構成機器２がＶＰＮに参加している場合、通信パスを切断し、ＶＰＮから隔離する。そして、異常発生後に、再びＶＰＮへの参加を行おうとした場合、接続を拒否してＶＰＮから排除し、ネットワークに参加させない。

一方、ＶＰＮ構成機器２の機器プレゼンスマネージャ部２３は、電源の投入及び起動後、所定の間隔で定期的に、ＶＰＮ構成機器２自身の状態の情報、及び、ＶＰＮ構成機器２の周辺の情報を読み出す。機器プレゼンスマネージャ部２３は、ＶＰＮ構成機器２のＩＤ、読み出したＶＰＮ構成機器２自身の状態の情報及び周辺の情報を含む機器プレゼンス情報を管理サーバ３へ通知する（ステップＳ２２０）。機器プレゼンスマネージャ部２３が収集した情報により、何らかのエラーを検出した場合、機器プレゼンス情報にエラーの通知を含めてもよい。ＶＰＮ構成機器２自身の状態の情報には、電源のオン／オフなどの状態（通常は、電源オン）、ＶＰＮ構成機器２のステータス、仕様情報などが含まれる。ＶＰＮ構成機器２のステータスとしては、固有情報記憶部２１内に固有情報が記憶されている場合には「バインド状態」、記憶されていないときには「フリー状態」のステータスが通知される。ＶＰＮ構成機器２の周辺の情報としては、例えば、自身に組み込まれているＩＣチップ１のＩＤやステータスの情報、ＶＰＮ構成機器２に接続されている他の機器やその機器との接続状態などが含まれる。

管理サーバ３のサーバプレゼンスマネージャ部３３は、受信した機器プレゼンス情報により管理情報記憶部３１の管理情報を更新する。サーバプレゼンスマネージャ部３３は、機器プレゼンス情報にエラーの通知が含まれていた場合や、受信した機器プレゼンス情報から異常状態であると判断した場合、チッププレゼンス情報の受信時と同様、ネットワーク状態情報を「ブロック状態」に書き換える。そして、アクセス制御部３４は、チッププレゼンス情報の送信元のＶＰＮ構成機器２がＶＰＮに参加している場合、通信パスを切断してＶＰＮから隔離するとともに、異常発生後に、再びＶＰＮへの参加を行おうとした場合、接続を拒否してＶＰＮから排除し、ネットワークに参加させない。

また、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２２は、電源の投入及び起動後、所定の間隔で定期的にＩＣチップ１のチッププレゼンスマネージャ部１２を介して固有情報記憶部１１内に登録された固有情報を読み出す。機器チップバインドＡＰ実行部２２は、固有情報記憶部２１内に記憶されている固有情報と、ＩＣチップ１から読み出した固有情報とを照合し、ＩＣチップ１の正当性を検証する（ステップＳ２３０）。すなわち、機器チップバインドＡＰ実行部２２は、固有情報記憶部２１内に記憶されている固有情報と、ＩＣチップ１から読み出した固有情報とが一致する場合に検証結果が「正常動作」であると判断する（ステップ２４０）。機器チップバインドＡＰ実行部２２は、検証結果が「正常動作」であると判断している間は所定のタイミングで検証情報を管理サーバ３へ通知する。検証情報には、ＶＰＮ構成機器２のＩＤ、ＩＣチップ１のＩＤ、及び、検証結果の情報が含まれる。
管理サーバ３のバインド状態管理部３２は、受信した検証情報を管理情報記憶部３１に書き込む。また、受信した検証情報で示される検証結果が「正常動作」である場合には、ネットワーク状態情報の書き換えを行わず、「接続可能状態」のままとする。

電源起動／通常運用時に、悪意のあるユーザが、ＶＰＮ構成機器２に組み込まれているＩＣチップ１を抜き去ったり、あるいは、他のＩＣチップ１に取り替えてＶＰＮ構成機器２へ装着したとする。すると、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２２は、ステップＳ２３０の正当性の検証において、ＩＣチップ１との通信が一定時間以上滞ったこと等によりＩＣチップ１が自身に組み込まれていないことを検出するか、あるいは、固有情報記憶部２１内に記憶されている固有情報と、ＩＣチップ１から読み出した固有情報とが一致しないと判断する。このとき、機器チップバインドＡＰ実行部２２は、検証結果が「不正検知」であると判断する（ステップＳ２５０）。機器チップバインドＡＰ実行部２２は、検証結果が「不正検知」であると判断すると、この検出結果「不正検知」を含む検証情報を直ちに管理サーバ３へ通知する（ステップＳ２６０）。加えて、機器チップバインドＡＰ実行部２２は、ＩＣチップ１のチッププレゼンスマネージャ部１２へ、ＩＣチップ１をロックするコマンドを送る。コマンドを受信したＩＣチップ１は、ロック状態となる。これにより、以降ＩＣチップ１のチッププレゼンスマネージャ部１２から管理サーバ３へ通知されるチッププレゼンス情報には、ＩＣチップ１のステータス「ロック状態」が含まれる。また、不正を検出したＶＰＮ構成機器２の動作制御部２４は、電源をオフすることにより、当該ＶＰＮ構成機器２をＶＰＮから隔離する（ステップＳ２７０）。
管理サーバ３のバインド状態管理部３２は、ＶＰＮ構成機器２から受信した検証情報を管理情報記憶部３１に書き込む。そして、受信した検証結果が「不正検知」であることを認識すると、異常状態であると判断し、ネットワーク状態情報を「ブロック状態」に書き換える。

図６は、電源起動／通常運用時の不正検出後のＶＰＮの動作手順について説明するための図である。
ＶＰＮ構成機器２は、他のＶＰＮ構成機器２との接続を行う場合、管理サーバ３へ接続先のＶＰＮ構成機器２を識別する情報（例えば、ＩＤやアドレス情報等）と、接続要求とを送信する。管理サーバ３のアクセス制御部３４は、管理情報記憶部３１内の情報を参照し、接続要求の送信元及び接続先のＶＰＮ構成機器２のネットワーク状態が「接続可能状態」であり、かつ、検証結果が「不正検知」の検証情報を過去に受信したことがない場合に、接続先のＶＰＮ構成機器２との接続を許可する。接続を許可した場合、アクセス制御部３４は、接続要求元のＶＰＮ構成機器２と接続先のＶＰＮ構成機器２との通信パスを確立する。この確立された通信パスにより、接続要求元のＶＰＮ構成機器２と接続先のＶＰＮ構成機器２との通信が行われる。また、アクセス制御部３４は、接続要求の送信元あるいは接続先のＶＰＮ構成機器２のネットワーク状態が「ブロック状態」である場合、あるいは、検証結果が「不正検知」の検証情報を過去に受信したことがある場合、接続を規制する。管理サーバ３のアクセス制御部３４は、ＶＰＮ構成機器２へ接続の拒否を通知する。

図５において説明したように、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２２は、所定の間隔で定期的にＩＣチップ１から固有情報を読み出し、固有情報記憶部２１内に記憶されている固有情報と照合して、ＩＣチップ１の正当性を検証する（ステップＳ３１０）。機器チップバインドＡＰ実行部２２は、検証結果が「不正検知」であると判断した場合（ステップＳ３２０）、直ちに検証情報を管理サーバ３へ通知する（ステップＳ３３０）。管理サーバ３のバインド状態管理部３２は、受信した検証情報を管理情報記憶部３１に書き込むとともに、ネットワーク状態情報を「ブロック状態」に書き換える。

悪意のあるユーザは、一旦不正が検出され、電源がオフになったＶＰＮ構成機器２に正当なＩＣチップ１を組み込み、再びＶＰＮへの参加を試みる。ＶＰＮ構成機器２の電源投入及び起動後、機器チップバインドＡＰ実行部２２は、所定の間隔で定期的にＩＣチップ１から固有情報を読み出し、固有情報記憶部２１内に記憶されている固有情報と照合して、ＩＣチップ１の正当性を検証する（ステップＳ３４０）。機器チップバインドＡＰ実行部２２は、検証結果が「正常動作」であると判断する（ステップＳ３５０）。機器チップバインドＡＰ実行部２２は、検証結果が「正常動作」であると判断している間は所定のタイミングにおいて、検証情報を管理サーバ３へ通知する。管理サーバ３は、受信した検証情報を管理情報記憶部３１内に書き込む。また、検証情報内で示される検証結果が「正常動作」である場合、ネットワーク状態情報の書換えを行わない。従って、ネットワークＮ状態情報は、「ブロック状態」ステータスのままとなる。

ＶＰＮ構成機器２の通信制御部２５は、接続先のＶＰＮ構成機器２のＩＤと、接続要求とを管理サーバ３へ送信する。管理サーバ３のアクセス制御部３４は、管理情報記憶部３１を参照し、接続要求元のＶＰＮ構成機器２から過去に検証結果が「不正検知」の検証情報を受信したことがあり、ネットワーク状態が「ブロック状態」のステータスであることを読み出す。これにより、アクセス制御部３４は、接続要求元のＶＰＮ構成機器２に対して、ＶＰＮへの参加を規制する。すなわち、管理サーバ３のアクセス制御部３４は、接続要求元のＶＰＮ構成機器２へ接続の拒否を通知する。

＜第２の実施の形態＞
第１の実施の形態では、ＶＰＮ構成機器２の製造時にＩＣチップ１を組み込んだが、第２の実施の形態においては、ＶＰＮ構成機器２の製造後、ＩＣチップ１を組み込む。
第２の実施の形態におけるＶＰＮの構成は、図１に示す第１の実施の形態におけるＶＰＮの構成と同じである。また、ＩＣチップ１及びＶＰＮ構成機器２の構成は、図２に示す第１の実施の形態におけるＩＣチップ１及びＶＰＮ構成機器２の構成と同様であり、管理サーバ３の構成は、図３に示す第１の実施の形態における管理サーバ３の構成と同様である。

図７は、第２の実施の形態によるＩＣチップ１、ＶＰＮ構成機器２、及び、管理サーバ３の機能ブロック図である。なお、同図において、図４に示す第１の実施の形態と同一の部分には同一の符号を付し、その説明を省略する。この図に示す機能ブロック図が第１の実施の形態と異なる点は、ＩＣチップ１が、チッププレゼンスマネージャ部１２の代わりに、チッププレゼンスマネージャ部１８を有する点と、ＶＰＮ構成機器２が、固有情報記憶部２１を備える機器チップバインドＡＰ実行部２２の代わりに、固有情報記憶部２７を備える機器チップバインドＡＰ実行部２８を備える点である。

ＩＣチップ１のチッププレゼンスマネージャ部１８は、第１の実施の形態によるチッププレゼンスマネージャ部１２と同様の機能を有する。さらに、チッププレゼンスマネージャ部１８は、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２２との間で相互認証を行う機能と、固有情報記憶部１１内の固有情報を暗号化してＶＰＮ構成機器２の機器チップバインドＡＰ実行部２８へ送信する機能とを有する。

ＶＰＮ構成機器２の固有情報記憶部２７は、暗号化した正当な固有情報（以下、暗号化した固有情報を「暗号化固有情報」と記載）を記憶する。機器チップバインドＡＰ実行部２８は、ＶＰＮ構成機器２内にＩＣチップ１が組み込まれているか否かを判断する機能を有する。また、固有情報記憶部２７に暗号化固有情報が未登録の場合、ＩＣチップ１のチッププレゼンスマネージャ部１８との間で相互認証を行い、相互認証後にＩＣチップ１のチッププレゼンスマネージャ部１８から暗号化固有情報を受信して、固有情報記憶部２７に格納する。また、定期的に、ＩＣチップ１のチッププレゼンスマネージャ部１８から受信した固有情報と、固有情報記憶部１１内の暗号化固有情報を復号して得た固有情報とを照合して、ＩＣチップ１の正当性の検証を行い、検証情報を管理サーバ３へ通知する機能を有する。

次に、図８及び図９を用いて第２の実施の形態によるＶＰＮの動作手順について説明する。
図８は、第２の実施の形態によるＶＰＮ構成機器２の製造時の動作手順について説明するための図である。
ＶＰＮ構成機器２は、ＩＣチップ１を組み込まずに製造される。ＶＰＮ構成機器２の製造時、ＶＰＮ構成機器２には、機器チップバインドＡＰ実行部２８が搭載される（ステップＳ４１０）。搭載される機器チップバインドＡＰ実行部２８内の固有情報記憶部２７には、固有情報は書き込まれていない。一方、ＩＣチップ１の固有情報記憶部１１には、情報の改ざんや情報が外部に流出するおそれのないセキュアな環境下において、固有情報が書き込まれる（ステップＳ４２０）。

ＩＣチップ１が組み込まれていない状態でＶＰＮ構成機器２の電源を投入し、起動した場合、機器チップバインドＡＰ実行部２８は、固有情報記憶部２７内に固有情報が登録されているか否かを判断する。固有情報が未登録であることを検出した場合、機器チップバインドＡＰ実行部２８は、ＩＣチップ１の有無をのみ監視する（ステップＳ４３０）。機器チップバインドＡＰ実行部２８が、ＩＣチップ１が自身に組み込まれていないことを検出すると、動作制御部２４は、当該ＶＰＮ構成機器２自身の電源をオフする（ステップＳ４４０）。

図９は、第２の実施の形態によるＶＰＮ構成機器２の電源起動／通常運用時の動作手順について説明するための図である。
ＶＰＮ構成機器２は、製造後、ＩＣチップ１とともにユーザに販売される。販売されたＶＰＮ構成機器２をＶＰＮにおいて運用可能とするため、管理サーバ３へ当該ＶＰＮ構成機器２に関する管理情報が登録される。すなわち、管理サーバ３の管理情報記憶部３１には、ＩＣチップ１のチップ状態情報として、ステータス「固有情報登録済み」及び「オープン状態」が登録され、ＶＰＮ構成機器２の機器情報には、ステータス「フリー状態」、仕様情報が登録される。また、ネットワーク状態情報には、ステータス「接続可能状態」が登録される。

上記の管理サーバ３への管理情報の初期登録段階において、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２８は、固有情報記憶部２７へ固有情報をセキュアに登録する（ステップＳ５１０）。ユーザは、ＶＰＮ構成機器２へＩＣチップ１を装着して電源を投入する。ＶＰＮ構成機器２が起動されると、機器チップバインドＡＰ実行部２８は、相互認証によるセキュアな環境下で、ＩＣチップ１から固有情報を読みだす（ステップＳ５２０）。具体的には、例えば、機器チップバインドＡＰ実行部２８は、自身に装着されたＩＣチップ１のチッププレゼンスマネージャ部１８との間で相互認証を行う。これは、公開鍵方式や共通鍵方式などが用いられる。そして、相互認証がＯＫであれば、ＩＣチップ１のチッププレゼンスマネージャ部１８は、固有情報記憶部１１内に格納されている固有情報を暗号化して、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２８に送信する。ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２８はＩＣチップ１のチッププレゼンスマネージャ部１８から受信した暗号化固有情報を固有情報記憶部２７へ格納する。これにより、外部の第三者によって固有情報記憶部２７内の固有情報を盗み見られてもデータの中身が暴露されることの無いセキュアな環境が構築される。

一方、ＩＣチップ１のチッププレゼンスマネージャ部１８は、図５に示す第１の実施の形態と同様に、電源の投入及び起動後、所定の間隔で定期的に、ＩＣチップ１自身の状態の情報、自身が組み込まれているＶＰＮ構成機器２の情報、ＩＣチップ１の周辺の情報を読み出し、チッププレゼンス情報を管理サーバ３へ通知している（ステップＳ５３０）。暗号化固有情報の格納後は、ＶＰＮ構成機器２の状態として、ステータス「バインド状態」がチッププレゼンス情報により通知される。
また、ＶＰＮ構成機器２の機器プレゼンスマネージャ部２３は、図５に示す第１の実施の形態と同様に、電源の投入及び起動後、所定の間隔で定期的に、ＶＰＮ構成機器２自身の状態の情報、及び、ＶＰＮ構成機器２の周辺の情報を読み出し、機器プレゼンス情報を管理サーバ３へ通知している（ステップＳ５４０）。固有情報記憶部２７内への暗号化固有情報の格納後は、ＶＰＮ構成機器２自身の状態の情報として、ステータス「バインド状態」が機器プレゼンス情報により通知される。
管理サーバ３のサーバプレゼンスマネージャ部３３は、受信したチッププレゼンス情報、機器プレゼンス情報により管理情報記憶部３１の管理情報を更新する。管理サーバ３のサーバプレゼンスマネージャ部３３は、受信したチッププレゼンス情報または機器プレゼンス情報を基に異常状態であると判断した場合、管理情報記憶部３１内のネットワーク状態情報を「ブロック状態」に書き換え、チッププレゼンス情報の送信元のＶＰＮ構成機器２がＶＰＮに参加している場合、通信パスを切断し、ＶＰＮから隔離する。

一方、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２８は、固有情報記憶部２７への暗号化固有情報の格納後、定期的に、ＩＣチップ１内の固有情報の検証を行う。すなわち、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２８は、固有情報記憶部２７から暗号化固有情報をＩＣチップ１のチッププレゼンスマネージャ部１８へ送信する。ＩＣチップ１のチッププレゼンスマネージャ部１８は、受信した暗号化固有情報を復号し、固有情報記憶部１１内の固有情報と照合する。同じであれば、正常であると判断し、同じでなければ不正であると判断する。
さらに、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２８は、ＩＣチップ１のチッププレゼンスマネージャ部１８を介して固有情報記憶部１１内の暗号化固有情報を読み出す。そして、自身に組み込まれたＩＣチップ１のチッププレゼンスマネージャ部１８から読み出した暗号化固有情報を復号して得た固有情報と、固有情報記憶部２７内の暗号化固有情報を復号して得た固有情報とを照合して、ＩＣチップ１の正当性を検証する。機器チップバインドＡＰ実行部２８は、ＩＣチップ１から読み出した暗号化固有情報を復号して得た固有情報と、固有情報記憶部２７内の暗号化固有情報を復号して得た固有情報とが一致する場合に検証結果が「正常動作」であると判断し（ステップＳ５６０）、一致しない場合に検証結果が「不正検知」であると判断する（ステップＳ５７０）。

第２の実施の形態による不正検出後のＶＰＮの動作は、図５に示す第１の実施の形態と同様である。すなわち、機器チップバインドＡＰ実行部２８は、検証結果が「不正検知」であると判断すると、直ちに検証結果「不正検知」を含む検証情報を管理サーバ３へ通知する（ステップＳ５８０）。不正を検出したＶＰＮ構成機器２の動作制御部２４は、電源をオフすることにより、当該ＶＰＮ構成機器２をＶＰＮから隔離する（ステップＳ５９０）。管理サーバ３のバインド状態管理部３２は、ＶＰＮ構成機器２から受信した検証情報を管理情報記憶部３１に書き込む。そして、受信した検証結果が「不正検知」である場合、異常状態であると判断し、ネットワーク状態情報を「ブロック状態」に書き換える。

また、第２の実施の形態による不正検出後のＶＰＮの動作は、図６に示す第１の実施の形態と同様である。すなわち、一旦不正が検出されたＶＰＮ構成機器２に正当なＩＣチップ１を組み込んで再びＶＰＮへの参加を試みた場合、ＩＣチップ１の正当性の検証結果は、「正常動作」であると判断される。しかし、検証結果「正常動作」を含む検証情報を受信したとしても、管理サーバ３のバインド状態管理部３２は、ネットワーク状態情報を書換えず、従って、「ブロック状態」ステータスのままとなる。ＶＰＮ構成機器２からの接続要求を受信したとき、管理サーバ３のアクセス制御部３４は、接続要求元のＶＰＮ構成機器２から過去に検証結果が「不正検知」の検証情報を受信したことがあり、ネットワーク状態は「ブロック状態」のステータスであることを読み出す。よって、アクセス制御部３４は、接続要求元のＶＰＮ構成機器２に対して、ＶＰＮへの接続を拒否することにより、ネットワークへの参加を規制する。

上述した実施の形態によれば、ＩＣチップ１などの耐タンパーな領域を持つデバイスをＶＰＮ構成機器２に組み込み、ＶＰＮ構成機器２の電源起動時及び運用時に、ＩＣチップ１内の固有情報とＶＰＮ構成機器２内の固有情報を定期的に照合することにより、ＶＰＮ構成機器２からの不正なチップの抜き取り、または、異なる他のＶＰＮ構成機器２への装着を防止する。このように、ＩＣチップ１とＶＰＮ構成機器２とを１対１に紐付ける（バインドする）ことにより、不正なＶＰＮ構成機器２を特定し、排除することができる。
また、ＩＣチップ１の抜き取りや差し替えが発生した場合に、ＶＰＮ構成機器２において不正を検出し、不正な操作によりバインド状態が解除されたことを管理サーバ３へ通知する。このため、管理サーバ３は、不正なＶＰＮ構成機器２を検出及び特定することができ、不正なＶＰＮ構成機器２からのアクセスを遮断し、ネットワークから排除することができる。また、不正が発生したＶＰＮ構成機器２の電源を強制的にシャットダウンすることにより、ネットワークから完全に切り離すことができる。従って、セキュアなネットワークを構築することができる。

なお、上述のＩＣチップ１、ＶＰＮ構成機器２、及び、管理サーバ３は、内部にコンピュータシステムを有している。そして、上述したＩＣチップ１のチッププレゼンスマネージャ部１２、ＶＰＮ構成機器２の機器チップバインドＡＰ実行部２２、２８、機器プレゼンスマネージャ部２３、動作制御部２４、及び、通信制御部２５、ならびに、管理サーバ３のバインド状態管理部３２、３８、サーバプレゼンスマネージャ部３３、及び、アクセス制御部３４の動作の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータシステムが読み出して実行することによって、上記処理が行われる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウェアを含むものである。

また、「コンピュータ読み取り可能な記録媒体」とは、ＲＯＭの他に、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のシステムやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。

また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。

本発明の第一の実施の形態によるＶＰＮの構成図である。 本発明の第一の実施の形態に係るＩＣチップ及びＶＰＮ構成機器の構成図である。 本発明の第一の実施の形態に係る管理サーバの構成図である。 本発明の第一の実施の形態に係るＩＣチップ、ＶＰＮ構成機器、及び、管理サーバの機能ブロック図である。 本発明の第一の実施の形態に係るＶＰＮの動作手順を説明するための図である。 本発明の第一の実施の形態に係るＶＰＮの動作手順を説明するための図である。 本発明の第二の実施の形態によるＩＣチップ、ＶＰＮ構成機器、及び、管理サーバの機能ブロック図である。 本発明の第二の実施の形態に係るＶＰＮの動作手順を説明するための図である。 本発明の第二の実施の形態に係るＶＰＮの動作手順を説明するための図である。

符号の説明

１ ＩＣチップ（固有情報記憶装置）
２ ＶＰＮ構成機器（不正検出装置）
３ 管理サーバ
１１ 固有情報記憶部
１２、１８ チッププレゼンスマネージャ部
２１、２７ 固有情報記憶部（記憶手段）
２２、２８ 機器チップバインドＡＰ実行部（読み出し手段、判断手段）
２３ 機器プレゼンスマネージャ部
２４ 動作制御部（動作制御手段）
２５ 通信制御部
３１ 管理情報記憶部
３２ バインド状態管理部
３３ サーバプレゼンスマネージャ部
３４ アクセス制御部

Claims (7)

1. 固有情報記憶装置が組み込まれた不正検出装置と、ネットワークへの接続を許可する管理サーバとからなるネットワーク管理システムであって、
   前記不正検出装置は、
   各固有情報記憶装置それぞれに固有の情報である固有情報のうち、正当な固有情報を記憶する記憶手段と、
   所定のタイミングに、自身に組み込まれた固有情報記憶装置から当該固有情報記憶装置の固有情報を読み出す読み出し手段と、
   前記読み出し手段によって読み出された固有情報と、前記記憶手段内に記憶されている固有情報とを照合し、自身に組み込まれた前記固有情報記憶装置が正当であるか否かの照合結果を前記管理サーバへ送信する照合手段と、
   前記管理サーバに対し、他の不正検出装置への接続要求を送信する接続要求手段と、
   前記他の不正検出装置への通信を行う通信手段と
   を備え、
   前記管理サーバは、
   前記不正検出装置から、当該不正検出装置へ組み込まれた前記固有情報記憶装置が正当であるか否かの照合結果を受信する受信手段と、
   前記受信手段が受信した照合結果を記憶する管理情報記憶手段と、
   前記不正検出装置から他の不正検出装置への接続要求を受信した際、前記管理情報記憶手段から前記不正検出装置の全ての照合結果を読み出し、読み出した照合結果に正当ではない結果を示すものがあった場合に、前記接続要求を拒絶する接続管理手段と
   を備える、
   ことを特徴とするネットワーク管理システム。
2. 前記照合手段は、固有情報記憶装置が自身に組み込まれているか否かを判断し、組み込まれていないと判断した場合に、異常の通知を出力することを特徴とする請求項１に記載のネットワーク管理システム。
3. 前記照合手段によって自身に組み込まれた前記固有情報記憶装置が正当ではないと判断された場合、あるいは、固有情報記憶装置が自身に組み込まれていないと判断された場合に、動作を停止する動作制御手段をさらに備えることを特徴とする請求項２に記載のネットワーク管理システム。
4. 前記読み出し手段は、前記記憶手段内に固有情報が記憶されていない場合に、自身に組み込まれた固有情報記憶装置から読み出した固有情報を前記記憶手段内に格納することを特徴とする請求項１から請求項３のいずれかの項に記載のネットワーク管理システム。
5. 固有情報記憶装置が組み込まれた複数の不正検出装置と接続された管理サーバであって、
   前記不正検出装置に記憶された固有情報と、当該不正検出装置に組み込まれた固有情報記憶装置内に記憶された固有情報との照合結果を所定のタイミングで受信する受信手段と、
   前記受信手段が受信した照合結果を記憶する管理情報記憶手段と、
   前記不正検出装置と、該不正検出装置とは別の不正検出装置との接続を管理する管理手段とを備え、
   前記管理手段は、
   前記不正検出装置から別の不正検出装置への接続要求を受信した際に、前記接続要求を送信した不正検出装置の照合結果を前記管理情報記憶手段から読み出す読み出し手段と、
   前記読み出し手段が読み出した照合結果に正当ではない結果を示すものがあった場合に、前記接続要求を拒絶する接続管理手段と、
   を備えることを特徴とする管理サーバ。
6. 固有情報記憶装置が組み込まれ、各固有情報記憶装置それぞれに固有の情報である固有情報のうち、正当な固有情報を記憶する記憶手段を備える不正検出装置と、ネットワークへの接続を許可する管理サーバとからなるネットワーク管理システムに用いられるコンピュータプログラムであって、
   前記不正検出装置に用いられるコンピュータに、
   所定のタイミングに、自身に組み込まれた固有情報記憶装置から当該固有情報記憶装置の固有情報を読み出す読み出しステップと、
   前記読み出しステップにおいて読み出された固有情報と、前記記憶手段内に記憶されている固有情報とを照合し、自身に組み込まれた前記固有情報記憶装置が正当であるか否かをの照合結果を前記管理サーバへ送信する照合ステップと、
   前記管理サーバに対し、他の不正検出装置への接続要求を送信する接続要求ステップと、
   前記他の不正検出装置への通信を行う通信ステップと
   を実行させ、
   前記管理サーバとして用いられるコンピュータに、
   前記不正検出装置から、当該不正検出装置へ組み込まれた前記固有情報記憶装置が正当であるか否かの照合結果を受信する受信ステップと、
   前記受信ステップにおいて受信した照合結果を管理情報記憶手段に書き込む書き込みステップと、
   前記不正検出装置から他の不正検出装置への接続要求を受信した際、前記管理情報記憶手段から前記不正検出装置の全ての照合結果を読み出し、読み出した照合結果に正当ではない結果を示すものがあった場合に、前記接続要求を拒絶する接続管理ステップと
   を実行させる、
   ことを特徴とするコンピュータプログラム。
7. 固有情報記憶装置が組み込まれた複数の不正検出装置と接続された管理サーバに用いられるコンピュータプログラムであって、
   前記不正検出装置に記憶された固有情報と、当該不正検出装置に組み込まれた固有情報記憶装置内に記憶された固有情報との照合結果を所定のタイミングで受信する受信ステップと、
   前記受信ステップにおいて受信した照合結果を管理情報記憶手段に書き込む書き込みステップと、
   前記不正検出装置と、該不正検出装置とは別の不正検出装置との接続を管理する管理ステップとをコンピュータに実行させ、
   前記管理ステップにおいては、
   前記不正検出装置から別の不正検出装置への接続要求を受信した際に、前記接続要求を送信した不正検出装置の照合結果を前記管理情報記憶手段から読み出す読み出しステップと、
   前記読み出しステップにおいて読み出した照合結果に正当ではない結果を示すものがあった場合に、前記接続要求を拒絶する接続管理ステップと、
   をコンピュータに実行させることを特徴とするコンピュータプログラム。

Images