JP4418211B2 - ネットワークセキュリティ維持方法，接続許可サーバおよび接続許可サーバ用プログラム - Google Patents

Description

本発明は，セキュリティ対策を基準にして端末などのネットワークへの接続を制限することにより，ネットワークへのウイルス，ワームなどの拡散を防止するための技術に関するものである。

端末をネットワークに接続する場合には，端末にネットワーク接続用ケーブルを物理的に挿し込むだけでよく，従来，その接続に何ら制限を設けてはいなかった。また，無線ＬＡＮやモデムでは，端末の認証をもとにネットワークへの接続を許可していた。

セキュリティホールのチェックを行うものとして，端末内部にアンチウイルスソフトウェアをインストールして，端末内部のハードディスクやメモリにウイルスが存在していないかをチェックし，ウイルスが存在した場合にそれを駆除する製品がある。ウイルスチェックは，シグネチャと呼ばれるウイルスチェックの情報に基づいて行われる。

また，ネットワークを経由して通信する相手のシステムの安全性を確認した上で通信を行う方法もすでに提案されている（例えば，特許文献１参照）。しかし，ウイルスやトロイの木馬には，双方向の通信を成立させない場合でも，最初に送ったパケットだけで感染してしまう“ＳＱＬ Ｓｌａｍｍｅｒ”や“ＭＳ Ｂｌｕｓｔｅｒ”といったものが発見されている。このようなものでは，相手方との通信を確立させ，安全性に関わる情報を相互に交換してから安全性を確認する手段を利用していても，安全性を確認する前にウイルスに感染してしまうことになる。
特開２００２−２０８９８６号公報

ノートパソコンやＰＤＡ（Personal Digital Assistance ）などの携帯端末の普及やネットワーク接続方式の多様化により，ネットワークに接続可能な端末が，特定のＬＡＮに固定的に接続されるばかりでなく，一時的に他のネットワークに接続されることも多くなっている。これらの端末がすべて特定のＬＡＮに固定的に接続される場合には，一般にファイアウォールなどにより，ＬＡＮと外部ネットワークとの接続点で外部からの不正アクセスから保護することが可能であるため，ファイアウォールなどのセキュリティ対策を行っているネットワークではウイルスやワームに感染する心配はない。しかし，端末を他のネットワークに接続した際には，同様の保護手段がないため，ウイルスやワームに感染したり，トロイの木馬のようなプログラムを送り込まれてしまうことがある。

このようにしてウイルスなどに感染した端末は，感染した際に接続していたネットワークとは別のネットワークに接続されると，今度は自らが感染したウイルスなどを，その別のネットワークに接続された他の端末に感染させてしまうおそれがある。ファイアウォールやＩＤＳ（Intrusion Detection System）などのセキュリティ対策製品によって外部からの不正アクセスが完全に排除されたネットワークであっても，ウイルスなどに感染した端末が直に接続されてしまうことにより，結果的にネットワーク内部にウイルスなどの感染が広がってしまうことがある。

本発明は，上記問題点の解決を図り，端末などのネットワークへの接続時におけるウイルスなどの感染を防ぐことにより，高セキュリティネットワークの実現を可能とすることを目的とする。

本発明は，上記課題を達成するため，ネットワークに新たに接続する端末を，最初に特定の端末状態チェック用ネットワークに接続し，その端末状態チェック用ネットワークにおいて安全性が確認された端末のみを，通常の利用が可能なネットワークに自動的に接続変更することを特徴とする。

端末の内部に存在するネットワーク切り替え機能を有するネットワーク接続インタフェースは，ネットワークへの物理的な接続を検知すると，事前に設定されている端末状態チェック用ネットワークへ接続するための設定を実施するとともに，自端末内のソフトウェア構成情報収集プログラムに情報の収集を指示する。

ソフトウェア構成情報収集プログラムは，自端末内にインストールされているソフトウェアの名称，バージョン，施されているセキュリティ対策などの情報（以下，ソフトウェア構成情報ともいう）を収集し，端末状態チェック用ネットワーク内に設置された接続許可サーバにそれらの情報を送信する。この時点では，端末は端末状態チェック用ネットワーク内の接続許可サーバだけと通信可能な状態である。

接続許可サーバは，いずれかの端末内のソフトウェア構成情報収集プログラムから，その端末のソフトウェア構成情報を受信すると，受信した情報と自サーバ内の最新セキュリティ対策情報とを比較し，すべて最新のセキュリティ対策が実施されているか否かをチェックする。このチェック結果は，最新のセキュリティ対策が実施されているか否かがわかるようになっており，接続許可サーバは，その結果を端末側のソフトウェア構成情報収集プログラムに通知する。

端末側のソフトウェア構成情報収集プログラムは，最新のセキュリティ対策が実施されている旨の通知を受けると，それをさらにネットワーク接続インタフェースに通知する。最新のセキュリティ対策が実施されている旨の通知を受け取ったネットワーク接続インタフェースは，それまでの端末状態チェック用ネットワークへ接続するための設定を，本来接続すべきネットワークへ接続するための設定に書き換え，ネットワークの接続を切り替える。

しかし，この方法では，端末内のソフトウェアが端末状態チェック用ネットワークからユーザネットワークへの接続を切り替えているため，この切り替え部が何者かによって改竄された場合に，端末状態のチェックを行わずに最初からユーザネットワークにデータを送信してしまう可能性，すなわち最新のセキュリティ対策が施されていない端末がユーザネットワークに接続してしまう可能性がある。

そこで，端末がネットワークに接続する際の対向機器（ハブ，ルータ，スイッチなど）にも，上記最新のセキュリティ対策が実施されている旨の通知を行うことにより，端末からの通信を許可する設定を行うようにする。

このような手順を踏むことによって，ネットワークに接続された端末には，常に最新のセキュリティ対策が実施されていることが保証される。したがって，ユーザネットワークに接続された端末は，セキュリティ対策がすでに知られている不正な攻撃を受けても，感染などの被害を受けることはなく，他の端末に対して攻撃や感染などを行うこともなくなる。

本発明によって，特定のネットワークに新規に接続する端末には，最新のセキュリティ対策（パッチやウイルスチェックなど）が施されているため，端末がウイルスに感染していたり，トロイの木馬がインストールされていたりすることはなくなり，また，接続先のネットワークの他の端末に対して感染を試みたりすることはなくなる。すなわち，外部から新規に接続された端末によって，ウイルスなどがネットワーク内に蔓延することがなくなる。

以下，本発明の実施の形態について図面を用いて説明する。図１は，本発明の実施の形態におけるＶＬＡＮを利用したネットワークへの接続例を示す図である。図１において，ユーザネットワーク１００は，通常の通信が行われるネットワークであり，端末状態チェック用ネットワーク２００は，ユーザネットワーク１００に接続される新規接続端末１１０のセキュリティチェック用のネットワークである。ユーザネットワーク１００と端末状態チェック用ネットワーク２００とは，異なるＶＬＡＮ（Virtual LAN ）として構成されており，１つの端末が両方のネットワークを同時に利用することはできない。

ユーザネットワーク１００（ＶＬＡＮ＿ＩＤ＝＃１）には，あらかじめ端末１２０，端末１３０が接続されているものとする。新規接続端末１１０は，ルータ１４０を介してユーザネットワーク１００に接続するものとし，ユーザネットワーク１００への接続後には，端末１２０，端末１３０との通信を行うことが可能となる。また，ユーザネットワーク１００に接続されている各端末は，ルータ１５０を介してインターネット等の外部ネットワーク３００と通信を行うことが可能である。ここで，ＶＬＡＮ＿ＩＤは，各ＶＬＡＮを識別する識別子である。

端末状態チェック用ネットワーク２００（ＶＬＡＮ＿ＩＤ＝＃２）には，新規接続端末１１０が最新のセキュリティ対策を実施しているかを確認する接続許可サーバ２１０が接続されている。

図２は，本実施の形態における新規接続端末の構成例を示す図である。新規接続端末１１０は，ネットワークインタフェース１１１，ソフトウェア構成情報収集部１１２，接続許可サーバ通信部１１３，ネットワーク設定情報記憶部１１４から構成される。

図３は，本実施の形態の新規接続端末における新規接続処理フローチャートである。新規接続端末１１０は，ネットワークに接続されたこと，すなわちネットワークインタフェース１１１にケーブルが接続されたことを検知すると（ステップＳ１０），ネットワーク設定情報記憶部１１４にあらかじめ記憶されたネットワーク設定情報を参照して，接続許可サーバ２１０への通信を行うための設定，すなわちＶＬＡＮ＿ＩＤ＝＃２のネットワーク（端末状態チェック用ネットワーク２００）への接続の設定を，ネットワークインタフェース１１１および接続許可サーバ通信部１１３に行う（ステップＳ１１）。これにより，新規接続端末１１０は，端末状態チェック用ネットワーク２００を経由して，接続許可サーバ２１０との通信が可能になる。

次に，ソフトウェア構成情報収集部１１２が，新規接続端末１１０内のソフトウェアの名称，バージョン，施されているセキュリティ対策，設定状況などの情報（ソフトウェア構成情報）を収集し（ステップＳ１２），接続許可サーバ通信部１１３が，収集したソフトウェア構成情報をネットワークインタフェース１１１を介して接続許可サーバ２１０に送信する（ステップＳ１３）。なお，ソフトウェア構成情報収集部１１２によるソフトウェア構成情報の収集は，一般に知られている方法で行うことができるので，ここでは収集方法についての詳しい説明は省略する。

接続許可サーバ通信部１１３が，接続許可サーバ２１０からチェック結果を受信すると（ステップＳ１４），そのチェック結果が接続許可であるか否かを確認し（ステップＳ１５），接続許可であれば，接続許可情報とともに受信したユーザネットワーク１００で通信をするのに必要な設定情報（ＶＬＡＮ＿ＩＤ＝＃１も含まれる）をネットワークインタフェース１１１に反映する（ステップＳ１６）。これによって，ユーザネットワーク１００への新規接続端末１１０の接続を完了する。

図４は，本実施の形態における接続許可サーバの構成例を示す図である。接続許可サーバ２１０は，図４に示すように，ネットワークインタフェース２１１，ソフトウェア構成情報受信部２１２，端末設定送信部２１３，セキュリティ情報データベース（ＤＢ）２１４から構成される。

図５は，本実施の形態の接続許可サーバにおける接続許可処理フローチャートである。接続許可サーバ２１０は，新規接続端末１１０からソフトウェア構成情報が送られてくるのを待ち受けている。ソフトウェア構成情報受信部２１２が，新規接続端末１１０からのソフトウェア構成情報を受信すると（ステップＳ２０），その内容とセキュリティ情報ＤＢ２１４の内容とを比較し（ステップＳ２１），新規接続端末１１０で最新のセキュリティ対策が実施されているか否かを確認する（ステップＳ２２）。

ここで，セキュリティ情報ＤＢ２１４について説明する。図６は，本実施の形態におけるセキュリティ情報ＤＢの例を示す図である。図６の例のように，セキュリティ情報ＤＢ２１４では，ソフトウェア名称（図中，Ｗｉｎｄｏｗｓ ＸＰ，Ｗｏｒｄ２００２は，米マイクロソフト社の商標），バージョン，適用されているべきパッチのリスト，マクロの実行レベル，アンチウイルスソフトのシグネチャリスト，ウイルスチェック状況など，ソフトウェアごとの必要な項目について最新の状態を保持している。新規接続端末１１０からも同様の項目についてソフトウェアごとに情報を収集し，それとセキュリティ情報ＤＢ２１４の内容との比較を実施する。

図５のステップＳ２２において，新規接続端末１１０で最新のセキュリティ対策が実施されていなかった場合には，端末設定送信部２１３からネットワークインタフェース２１１を経由して新規接続端末１１０に，接続不許可を送信し（ステップＳ２３），処理を終了する。

ステップＳ２２において，新規接続端末１１０で最新のセキュリティ対策が実施されていることが確認された場合には，端末設定送信部２１３からネットワークインタフェース２１１を経由して新規接続端末１１０に，接続許可情報とともにネットワーク接続情報（ユーザネットワーク１００に接続するための情報）を送信する（ステップＳ２４）。

次に，端末設定送信部２１３からネットワークインタフェース２１１を経由してルータ１４０に新規接続端末１１０の通信を許可する設定を行う（ステップＳ２５）。これにより，新規接続端末１１０とその端末のネットワーク接続点であるルータ１４０への通信設定が完了し，新規接続端末１１０は，端末１２０や端末１３０と通信を開始することができるようになる。

図７は，本発明の実施の形態におけるＶＰＮを利用したネットワークへの接続例を示す図である。図７に示す例では，図１に示す例とは異なり，接続許可サーバ２１０が外部ネットワーク３００に存在している。

新規接続端末１１０が，端末１２０や端末１３０とは通信できない状態で，外部ネットワーク３００に存在する接続許可サーバ２１０とだけ通信を行えるようにするために，端末状態チェック用ネットワーク２００’は，ＶＰＮ（Virtual Private Network ）で確立する。ＶＰＮでは，事前に定められた端末としか接続することができないため，新規接続端末１１０から送信されたデータは，ルータ１４０，ユーザネットワーク１００，ルータ１５０を経由するが，ユーザネットワーク１００内の他の端末にウイルスなどを感染させることはできない。

このようなネットワーク構成でＶＰＮを利用した場合でも，新規接続端末１１０，接続許可サーバ２１０の構成，処理の手順は前述の場合（図１〜図６で説明した場合）と同様である。

以上の実施の形態における接続許可サーバ２１０が行う処理は，コンピュータとソフトウェアプログラムとによって実現することができ，そのプログラムをコンピュータ読み取り可能な記録媒体に記録して提供することも，ネットワークを通して提供することも可能である。

本発明の実施の形態におけるＶＬＡＮを利用したネットワークへの接続例を示す図である。 本実施の形態における新規接続端末の構成例を示す図である。 本実施の形態の新規接続端末における新規接続処理フローチャートである。 本実施の形態における接続許可サーバの構成例を示す図である。 本実施の形態の接続許可サーバにおける接続許可処理フローチャートである。 本実施の形態におけるセキュリティ情報ＤＢの例を示す図である。 本発明の実施の形態におけるＶＰＮを利用したネットワークへの接続例を示す図である。

符号の説明

１００ ユーザネットワーク
１１０ 新規接続端末
１１１ ネットワークインタフェース
１１２ ソフトウェア構成情報収集部
１１３ 接続許可サーバ通信部
１１４ ネットワーク設定情報記憶部
１２０，１３０ 端末
１４０，１５０ ルータ
２００，２００’ 端末状態チェック用ネットワーク
２１０ 接続許可サーバ
２１１ ネットワークインタフェース
２１２ ソフトウェア構成情報受信部
２１３ 端末設定送信部
２１４ セキュリティ情報ＤＢ
３００ 外部ネットワーク

Claims (5)

1. ユーザネットワークに新規に接続される端末の端末状態チェック用ネットワークと、前記端末状態チェック用ネットワークに接続され、新規に接続される端末のセキュリティ対策の実施状況を確認する接続許可サーバとを用いて、ユーザネットワークのセキュリティを維持するネットワークセキュリティ維持方法であって、
   新規に接続される端末が、該端末のネットワーク接続インタフェースに前記端末状態チェック用ネットワークへの接続の設定を行うことにより、該端末を、前記ユーザネットワークに既に接続されている端末と通信できない状態の下で前記端末状態チェック用ネットワークに接続する過程と、
   前記新規に接続される端末が、自端末内部のソフトウェアプログラムの構成状態を示すソフトウェア構成情報を収集する過程と、
   前記新規に接続される端末が、前記接続許可サーバにソフトウェア構成情報を該端末のネットワーク接続インタフェースを介して送信する過程と、
   前記接続許可サーバが、受信したソフトウェア構成情報の内容から、前記新規に接続される端末が最新のセキュリティ対策を実施しているか否かを確認し、最新のセキュリティ対策を実施している場合にのみ、該端末の前記ユーザネットワークへの接続を許可して該端末に接続許可を通知し、最新のセキュリティ対策を実施していない場合には、前記ユーザネットワークへの接続を不許可とする過程と、
   前記新規に接続される端末が前記接続許可の通知を受けたときに、該端末の前記ネットワーク接続インタフェースに、前記ユーザネットワークへの接続の設定を行い、前記ネットワーク接続インタフェースが、接続先のネットワークを前記端末状態チェック用ネットワークから前記ユーザネットワークに切り替える過程と、
   前記接続許可サーバが、前記新規に接続される端末の前記ユーザネットワークへの接続を許可する場合に、さらに前記新規に接続される端末が前記ユーザネットワークに接続される際の対向機器にも、前記ユーザネットワークへの接続許可を通知し、前記対向機器に前記新規に接続される端末からの前記ユーザネットワークを介した通信を許可する設定を行う過程とを有する
   ことを特徴とするネットワークセキュリティ維持方法。
2. 請求項１に記載のネットワークセキュリティ維持方法において、
   前記端末状態チェック用ネットワークと前記ユーザネットワークとが、異なるＶＬＡＮとして構成される
   ことを特徴とするネットワークセキュリティ維持方法。
3. 請求項１に記載のネットワークセキュリティ維持方法において、
   前記端末状態チェック用ネットワークは、前記新規に接続される端末と前記接続許可サーバとの通信を行うためのＶＰＮとして確立される
   ことを特徴とするネットワークセキュリティ維持方法。
4. ユーザネットワークとは論理的に切り離された端末状態チェック用ネットワークに接続され、前記ユーザネットワークに新規に接続される端末のセキュリティ対策の実施状況を確認することにより、ユーザネットワークのセキュリティを維持する接続許可サーバであって、
   前記端末状態チェック用ネットワークに当該接続許可サーバを接続するインタフェースと、
   端末に搭載されるソフトウェアプログラムごとにセキュリティに必要な項目について最新の状態の情報を保持するセキュリティ情報記憶手段と、
   ユーザネットワークに新規に接続される端末から、前記端末状態チェック用ネットワークを介して、前記新規に接続される端末が自端末内で収集したソフトウェアプログラムの構成状態を示すソフトウェア構成情報を受信するソフトウェア構成情報受信手段と、
   受信したソフトウェア構成情報の内容と前記セキュリティ情報記憶手段に記憶されている情報との照合により、前記新規に接続される端末が最新のセキュリティ対策を実施しているか否かを確認し、最新のセキュリティ対策を実施している場合にのみ、前記新規に接続される端末の前記ユーザネットワークへの接続を許可し、該端末に接続許可を通知して該端末の前記ネットワーク接続インタフェースへの設定の変更により、該端末の接続先のネットワークを前記端末状態チェック用ネットワークから前記ユーザネットワークに切り替えさせ、最新のセキュリティ対策を実施していない場合には、前記ユーザネットワークへの接続を不許可とする通知を行う端末設定送信手段とを備える
   ことを特徴とする接続許可サーバ。
5. ユーザネットワークとは論理的に切り離された端末状態チェック用ネットワークに接続され、前記ユーザネットワークに新規に接続される端末のセキュリティ対策の実施状況を確認することにより、ユーザネットワークのセキュリティを維持する接続許可サーバのコンピュータに実行させるための接続許可サーバ用プログラムであって、
   ユーザネットワークに新規に接続される端末から、前記端末状態チェック用ネットワークを介して、前記新規に接続される端末が自端末内で収集したソフトウェアプログラムの構成状態を示すソフトウェア構成情報を受信する処理と、
   受信したソフトウェア構成情報の内容と、あらかじめ所定のセキュリティ情報記憶手段に記憶されている、ソフトウェアプログラムごとのセキュリティに必要な項目に関する最新の状態の情報との照合により、前記新規に接続される端末が最新のセキュリティ対策を実施しているか否かを確認し、最新のセキュリティ対策を実施している場合にのみ、前記新規に接続される端末の前記ユーザネットワークへの接続を許可し、該端末に接続許可を通知して該端末の前記ネットワーク接続インタフェースへの設定の変更により、該端末の接続先のネットワークを前記端末状態チェック用ネットワークから前記ユーザネットワークに切り替えさせ、最新のセキュリティ対策を実施していない場合には、前記ユーザネットワークへの接続を不許可とする通知を行う処理とを、
   コンピュータに実行させるための接続許可サーバ用プログラム。
   

Images