JP4160004B2 - アクセス制御システム - Google Patents

Description

本発明は、アクセス制御システムに関する。

従来より、イントラネット内部でのワーム拡散を防止する技術が知られている。第1の従来技術では、端末がネットワークに接続する際に、接続管理を行うサーバが、端末のセキュリティ状態（セキュリティパッチの適用状況やウイルス定義ファイルの更新状況など）を監査し、セキュリティ状態が完全でない端末のネットワークへの接続については、セキュリティパッチやウイルス定義ファイルなどの更新のみが可能となるように制限する。

次に、第２の従来技術では、イントラネットに接続している個々の端末をレイヤ３スイッチにて、レイヤ２レベルで個々に隔離し、端末間の通信には、レイヤ３レベルで通信を制限することで、ワーム拡散を防止する。すなわち、イントラネットに接続している端末からイントラネット内にワームが拡散することを防止するための技術である。

次に、第３の従来技術では、端末が接続しているスイッチのポート毎にファイアウォールを備え、フィルタリングすることで、ワーム拡散を防止する。該第３の従来技術は、上記第２の従来技術と同様に、イントラネットに接続している端末からイントラネット内にワームが拡散することを防止するための技術である。

そして、第４の従来技術では、イントラネット内の端末のセキュリティ状況を監査する管理サーバを用いて、イントラネットに接続している端末、または接続してくる端末のセキュリティ状態を監査し、最新セキュリティパッチが適用されていなければ、最新のセキュリティパッチを強制的に適用する。

また、他の従来技術として、利用者が端末をネットワークに接続するためにスイッチに接続し、デバイス認証サーバにて、セキュリティトークンの情報により認証を行い、認証されると、ユーザ認証サーバにて利用者ＩＤ等を照合する。照合された利用者ＩＤが接続可能なＶＬＡＮ（仮想ＬＡＮ）グループを特定し、当該ＶＬＡＮ上への接続を許容し、サービスの利用を可能とし、認証結果に応じて、ネットワークの論理構成上のグループを特定して接続するという技術がある（例えば特許文献１参照）。

また、他の従来技術として、クライアントコンピュータがネットワークへのログイン時に、クライアントコンピュータ内のセキュリティエージェントがクライアントコンピュータのワクチンソフトウエア等の稼動状況等を調べて、センタサーバへ送信する。そして、クライアントコンピュータが、セキュリティポリシーに合致していれば、アクセスを許可し、合致していなければ、ネットワークへのアクセスを許可しないという技術がある（例えば特許文献２参照）。
特開２００２−３６６５２２号公報 特開２００２−３６６５２５号公報

上述した第１の従来技術、特許文献２の従来技術または第４の従来技術では、端末にセキュリティパッチの適用を強制することで、セキュリティの向上を図っている。しかしながら、セキュリティパッチの更新を反映するためには、再起動が必要であるため、パッチが即時に反映されないという問題がある。また、全ての端末が無条件でパッチを適用できればよいが、利用しているサービスなどにより、パッチが適用できないなどの問題があり、これらの端末への対応が難しいという問題がある。

また、上述した第２の従来技術では、該技術を用いるためには、イントラネットの末端に配置されているスイッチをレイヤ３スイッチに置き換える必要があるが、この置き換えによって、２つの課題が出てくる。第１の課題は、ポート毎にレイヤ２レベルで分離されてしまうため、既存のＬＡＮ内のサービス（ブロードキャストを用いたサービスなど）が利用できなくなってしまう。次に、第２の課題は、レイヤ３スイッチを用いるため、１ポート毎にネットワークアドレスを割り当てる必要があり、環境移行前のアドレス体系では、利用できなくなる。また、通常は、レイヤ３スイッチの各ポートには、ネットワークアドレスを割り当てなければならないため、１ポートに端末１台に対して、最低４つのアドレス（サブネットの分割の単位の関係と、ネットワークアドレス、ブロードキャストアドレス、端末のアドレスが必要となるため）を割り当てる必要があり、アドレス空間を有効利用できない。

また、上述した第３の従来技術では、スイッチのポートにファイアウォールを付加するという、独自改良が行われている。このため、イントラネットの末端のスイッチを全て専用の機器に置き換えなければならないので、導入面で問題がある。

また、上述した従来技術（特許文献１）では、端末状況に応じてネットワーク内のブロードキャストサービスなどを許容しつつも、ワーム等のネットワーク外部からの攻撃から防御し得る環境を、論理的に構築するという構成がないという問題がある。

本発明は、このような事情を考慮してなされたものであり、その目的は、セキュリティパッチが適用されていない端末でもネットワークに参加させることができ、また、端末のセキュリティホールとなっているポートをフィルタリングすることで不正アクセスから保護することができるアクセス制御システムを提供することにある。

この発明は上記の課題を解決すべくなされたもので、本発明は、複数の端末のネットワークのアドレス体系を変更せずに、ネットワークに対するアクセス制御を行うアクセス制御システムであって、不正アクセスから保護するファイアウォール手段と、レイヤ２レベルでのＶＬＡＮをサポートするスイッチ手段と、前記スイッチ手段に新たに接続された端末に対してセキュリティチェックを行い、セキュリティチェック結果に問題がなければ、前記端末をネットワークへ直接接続する第１のグループに割り当てる一方、セキュリティチェック結果に問題があれば、前記端末を前記ファイアウォール手段を介して接続する第２のグループに割り当てる管理手段と、を備え、前記スイッチ手段は、前記管理手段により第１のグループに割り当てられた端末に対してはネットワークに直接接続し、前記管理 手段により第２のグループに割り当てられた端末に対してはレイヤ２レベルで仮想的に分離して前記ファイアウォール手段に接続し、前記ファイアウォール手段は、前記スイッチ手段により仮想的にレイヤ２レベルで分離されている前記第１のグループと前記第２のグループとの論理ネットワーク間を、同一セグメントで通信させる透過型ファイアウォールであることを特徴とする。

また、本発明は、請求項１記載のアクセス制御システムにおいて、前記管理手段は、セキュリティチェック結果に問題があれば、分析結果により脆弱となっているサービスのポートへのアクセスをフィルタリングするルールを作成し、前記ファイアウォール手段は、前記管理手段により作成されたルールに基づいて、接続された端末のポートをフィルタリングすることを特徴とする。

また、本発明は、請求項１または２のいずれかに記載のアクセス制御システムにおいて、前記管理手段は、少なくとも、前記ルールの設定状態、前記グループ分け状態をログとして保持することを特徴とする。

以上説明したように、本発明によれば、管理手段により、新たに接続された端末に対してセキュリティチェックを行い、セキュリティチェック結果に問題がなければ、前記端末をネットワークへ直接接続する第１のグループに割り当てる一方、セキュリティチェック結果に問題があれば、前記端末を前記ファイアウォール 手段を介して接続する第２のグループに割り当て、スイッチ手段により、前記管理手段により第１のグループに割り当てられた端末に対してはネットワークに直 接接続し、前記管理手段により第２のグループに割り当てられた端末に対しては前記ファイアウォール手段に接続する。
したがって、セキュリティパッチが適用されていない端末でもネットワークに参加させることができるという効果が得られる。
また、本発明によれば、前記ファイアウォール手段を透過型ファイアウォールとし、前記スイッチ手段により仮想的に分離されている論理ネットワーク間を同一セグメントで通信させる。
したがって、セキュリティパッチが適用されていない端末でもネットワークに参加させることができるという効果が得られる。

また、本発明によれば、前記管理手段により、セキュリティチェック結果に問題があれば、分析結果により脆弱となっているサービスのポートへのアクセスをフィルタリングするルールを作成し、前記ファイアウォール手段により、前記管理手段により作成されたルールに基づいて、接続された端末のポートをフィルタリングする。
したがって、セキュリティパッチが適用されていない端末でもネットワークに参加させることができ、また、端末のセキュリティホールとなっているポートをフィルタリングすることで不正アクセスから保護することができるという効果が得られる。

また、本発明によれば、前記管理手段により、少なくとも、前記ルールの設定状態、前記グループ分け状態をログとして保持する。
したがって、セキュリティパッチが適用されていない端末でもネットワークに参加させることができ、また、端末のセキュリティホールとなっているポートをフィルタリングすることで不正アクセスから保護することができるという効果が得られる。

以下、本発明を実施するための最良の形態について説明する。本実施形態では、端末がネットワークへ接続する際に、セキュリティチェックを行い、その結果により、端末が抱えているセキュリティホールへのアクセスのみをネットワークで制限する。これにより、セキュリティ状態が完全でない端末であっても、ネットワークへ接続することができ、セキュリティ状態を改善することができる環境を提供する。また、セキュリティホールを事前にフィルタリングすることによって、ワームから保護することで、パッチが適用・反映されるまでのタイムラグを解消している。

Ａ．実施形態の構成
以下、図面を参照して、本発明の実施形態によるアクセス制御装置の一実施形態について説明する。

図１は、本発明の実施形態によるアクセス制御装置を適用したネットワーク構成（レイヤ３）を示すブロック図である。図において、管理サーバ１、透過型ファイアウォール（端末）２、複数の端末３，４，５，６がイントラネットワーク７に接続されている。該イントラネットワーク７は、ルータ８を介してインターネット９などのＷＡＮに接続されている。端末３，４は、透過型ファイアウォール２を介さず、ネットワーク７へ直接接続するグループＡに分類されている。また、端末５，６は、透過型ファイアウォール２を介して接続するグループＢに分類されている。グループ分けについては、後述するレイヤ２レベルでの論理構成にて説明する。

次に、図２は、本実施形態のアクセス制御装置を適用したネットワークの物理構成（レイヤ１）を示すブロック図である。図において、レイヤ２スイッチ（ＶＬＡＮをサポート）１０は、いわゆるスイッチングハブなどからなり、管理サーバ１、透過型ファイアウォール（端末）２、複数の端末３〜６が全て同様に各ポートに接続されている。空きポート１１には、新規の端末が接続される。

次に、図３は、本実施形態のアクセス制御装置を適用したネットワークの論理構成（レイヤ２）を示すブロック図である。図において、レイヤ２レベルでの論理構成では、透過型ファイアウォール２を介さず、ネットワークへ直接接続するグループＡと、透過型ファイアウォール２を介して接続するグループＢの分類と、ネットワークへ新規に接続してきた端末に対して、セキュリティチェックを実行するための管理サーバ配下のグループ（空きポート１１）からなる。これらの分類（隔離）にレイヤ２レベルでの論理構成を分割するために、ＶＬＡＮを用いている。グループの分類は、図示しない端末が空きポート１１を介してネットワークに接続されると、管理サーバ１によりセキュリティチェックが実施され、その結果に基づいて行われる。つまり、このセキュリティチェックの結果、問題がない端末であればグループＡ、セキュリティホールが残っている端末であればグループＢに分類する。

管理サーバ１は、グループＢに対しては、端末５，６毎にＶＬＡＮを割り当て隔離する。グループＢの端末５，６間の通信は、透過型ファイアウォール２を介すことで可能とする。透過型ファイアウォール２には、セキュリティチェック時に、端末５，６のセキュリティホールとなっているポートを、フィルタリングするルールを記述することで、端末５，６をワームから保護する。また、レイヤ２レベルでの論理構成は分割されているが、ブリッジである透過型ファイアウォール２を介して接続されているため、ネットワーク構成的には、全て同一のセグメント（同じネットワーク）となる。なお、セキュリティチェックの仕組みには、周知の技術を用いる。

Ｂ．実施形態の動作
次に、上述した実施形態の動作について説明する。ここで、図４は、本実施形態の動作を説明するためのシーケンス図である。また、図５は、本実施形態の動作を説明するための物理構成（レイヤ１）を示すブロック図であり、図６は、論理構成（レイヤ２）を示すブロック図である。

まず、端末Ｃ１が図５に示すように、レイヤ２スイッチの空きポートに接続される（Ｓ１）。レイヤ２スイッチ１０が端末Ｃ１が接続されたことを検知すると、管理サーバ１に通知する（Ｓ２）。なお、接続の検知は、レイヤ２スイッチ１０に標準実装されているＳＮＭＰ Ｔｒａｐに含まれるＬｉｎｋ Ｕｐ通知機能などを用いる。次に、管理サーバ１は、端末Ｃ１に対してセキュリティチェックを行い（Ｓ３）、セキュリティチェック結果を分析する（Ｓ４）。そして、セキュリティチェック結果に問題がなければ（Ｓ５）、管理サーバ１は、レイヤ２スイッチ１０に指示し、図６のパスＰＡに示すように、端末Ｃ１をＶＬＡＮ＿Ａ（グループＡ）に割り当てる（Ｓ６）。そして、端末Ｃ１にセキュリティチェック結果を通知する（Ｓ７）。通知内容としては、セキュリティチェック結果が良好であると表示する。

一方、セキュリティチェック結果に問題があれば（Ｓ８）、管理サーバ１は、分析結果により脆弱となっているサービスのポートへのアクセスをフィルタリングするルール（ＡＣＬ）を作成し、透過型ファイアウォール２に設定する（Ｓ９）。次に、図６のパスＰＢに示すように、端末Ｃ１をＶＬＡＮ＿Ｂｎ（グループＢｎ、ｎ＝１，２，３，…）に割り当て、透過型ファイアウォール２越しに接続する（Ｓ１０）。そして、端末Ｃ１にセキュリティチェック結果を通知する（Ｓ１１）。通知内容としては、未適用パッチの情報および通信の制限（フィルタリング）状態などである。

従来技術では、セキュリティパッチの適用状況が完全でない端末などを接続させないことで、セキュリティを保護していたが、パッチを適用できない端末は接続できないことや、パッチ適用のための処理時間などの利便性が低下するという課題があった。これに対して、上述した実施形態によれば、セキュリティチェック結果に応じた制御を行うことで、パッチの適用されていない端末でもネットワークに参加させることができる。また、端末のセキュリティホールとなっているポートをフィルタリングすることで不正アクセスを防止することができる。

また、従来技術では、レイヤ３スイッチを用いて、ＶＬＡＮにより端末を論理ネットワーク（レイヤ２）で隔離することで、端末を保護するが、分離された端末同士で通信するために、レイヤ３で接続（ルーティング）しなければならない。このため、分離された端末間では、ブロードキャストなどの同一セグメント内部に閉じたプロトコルを用いているサービスが利用できなくなるという課題があった。また、この従来技術を導入するためには、通常は、アドレス体系を変更しなければ利用できなく、１ポート毎にネットワークアドレスを割り当てる必要があり、１ポートに端末１台であるのに対して、最低４つのアドレスを割り当てる必要があり、アドレス空間が有効利用できない。これに対して、上述した実施形態によれば、ＶＬＡＮで分離する論理ネットワーク間を透過型ファイアウォール２にて接続することで、同一セグメント上に存在する端末として通信することができる。

さらに、従来技術では、スイッチのポート単位にファイアウォールを配置していたが、スイッチに独自改良が必要であり、専用の機器でなければ利用できない。これに対して、本実施形態によれば、透過型ファイアウォール２とＶＬＡＮをサポートするレイヤ２スイッチがあれば、容易に実現することができ、レイヤ２スイッチは既存のものを流用することが可能である。

また、上述した実施形態によれば、ネットワークに接続される端末や接続している端末に、実施したセキュリティチェックの結果、ファイアウォールのＡＣＬの設定状態やＶＬＡＮの設定状態を、管理サーバ１にログとして残しておくことで、管理者がネットワーク内の状態を容易に把握することが可能となる。このようにすることで、管理コストを削減することが可能となる。

なお、上述した実施形態においては、管理サーバ１、透過型ファイアウォール２、レイヤ２スイッチ１０などは、コンピュータシステム内で実行される。そして、上述した管理サーバ１、透過型ファイアウォール２、レイヤ２スイッチ１０による一連の処理の過程は、プログラムの形式でコンピュータ読み取り可能な記録媒体に記憶されており、このプログラムをコンピュータが読み出して実行することによって、上記処理が行われる。すなわち、管理サーバ１、透過型ファイアウォール２、レイヤ２スイッチ１０における、各処理手段、処理部は、ＣＰＵ等の中央演算処理装置がＲＯＭやＲＡＭ等の主記憶装置に上記プログラムを読み出して、情報の加工・演算処理を実行することにより、実現されるものである。

ここでコンピュータ読み取り可能な記録媒体とは、磁気ディスク、光磁気ディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、半導体メモリ等をいう。また、このコンピュータプログラムを通信回線によってコンピュータに配信し、この配信を受けたコンピュータが当該プログラムを実行するようにしても良い。

本実施形態のアクセス制御装置を適用したネットワークのネットワーク構成（レイヤ３）を示すブロック図である。 本実施形態のアクセス制御装置を適用したネットワークの物理構成（レイヤ１）を示すブロック図である。 本実施形態のアクセス制御装置を適用したネットワークの論理構成（レイヤ２）を示すブロック図である。 本実施形態の動作を説明するためのシーケンス図である。 本実施形態の動作を説明するための物理構成（レイヤ１）を示すブロック図である。 論理構成（レイヤ２）を示すブロック図である。

符号の説明

１…管理サーバ（管理手段）
２…透過型ファイアウォール（ファイアウォール手段）
３〜６、Ｃ１…端末
８…ルータ
１１…空きポート

Claims (3)

1. 複数の端末のネットワークのアドレス体系を変更せずに、ネットワークに対するアクセス制御を行うアクセス制御システムであって、
   不正アクセスから保護するファイアウォール手段と、
   レイヤ２レベルでのＶＬＡＮをサポートするスイッチ手段と、
   前記スイッチ手段に新たに接続された端末に対してセキュリティチェックを行い、セキュリティチェック結果に問題がなければ、前記端末をネットワークへ直接接続する第１のグループに割り当てる一方、セキュリティチェック結果に問題があれば、前記端末を前記ファイアウォール手段を介して接続する第２のグループに割り当てる管理手段と、を備え、
   前記スイッチ手段は、前記管理手段により第１のグループに割り当てられた端末に対してはネットワークに直接接続し、前記管理手段により第２のグループに割り当てられた端末に対してはレイヤ２レベルで仮想的に分離して前記ファイアウォール手段に接続し、
   前記ファイアウォール手段は、前記スイッチ手段により仮想的にレイヤ２レベルで分離されている前記第１のグループと前記第２のグループとの論理ネットワーク間を、同一セグメントで通信させる透過型ファイアウォールである
   ことを特徴とするアクセス制御システム。
2. 前記管理手段は、セキュリティチェック結果に問題があれば、分析結果により脆弱となっているサービスのポートへのアクセスをフィルタリングするルールを作成し、
   前記ファイアウォール手段は、前記管理手段により作成されたルールに基づいて、接続された端末のポートをフィルタリングする
   ことを特徴とする請求項1記載のアクセス制御システム
3. 前記管理手段は、少なくとも、前記ルールの設定状態、前記グループ分け状態をログとして保持する
   ことを特徴とする請求項１または２のいずれかに記載のアクセス制御システム。

Images