JP4437107B2

JP4437107B2 - コンピュータシステム

Info

Publication number: JP4437107B2
Application number: JP2005235961A
Authority: JP
Inventors: 智彦谷川; 秀薫尹
Original assignee: NEC Corp; NEC Solutions Innovators Ltd
Current assignee: NEC Corp; NEC Solutions Innovators Ltd
Priority date: 2005-08-16
Filing date: 2005-08-16
Publication date: 2010-03-24
Anticipated expiration: 2025-08-16
Also published as: JP2007052550A

Description

本発明はコンピュータウイルスに対する防御力を備えたコンピュータシステムに関し、特に、セキュリティポリシーを動的に切り換えることのできるコンピュータシステムに関する。

近年、コンピュータウイルスやワーム（以下、単にコンピュータウイルスという）による被害が多発しており、これらによる損害額も膨大な金額となっている。

このため、コンピュータウイルスに対する防御力を備えたコンピュータシステムへのニーズが高まっている。

コンピュータウイルスに対する防御手段として、クライアントファイアウォール機能（クライアントフィルタ機能）を用いたシステムが実用化されている。
クライアントフィルタ機能とは、コンピュータ端末からネットワークに対してのアクセス、また、ネットワークからコンピュータ端末へのアクセスに対して、送信元、宛先のＩＰアドレス、ポート番号を意識してアクセスを許可又は拒否する機能である。

現在実用化されているクライアントフィルタ機能を用いたコンピュータシステムには次に示すような問題がある。

・クライアントフィルタ製品は多数存在するが、フィルタのポリシーを動的に変更させることができない製品が多い。
・ポリシーを変更できる製品であっても、ウイルス対策ソフトと同期して作動するため、異なるベンダーのウイルス対策ソフトを利用している環境では、ポリシーを動的に変更することはできない。
・ＩＤＳ（Intrusion Detection System）製品と連携して動作させることができないため、未知のウイルスに感染しているユーザ端末がネットワークに接続されても、その端末からの通信を拒絶することができない。
・ＰＣ検疫システムを構築する際に、検疫ネットワークを構成する製品とセキュリティ対策状況を管理する製品とが限定されており、容易にシステムを構築することができない。
・ＰＣ検疫システムを構築する際に、セキュリティチェック結果により、ユーザ端末１０のアクセス先を制限するための特別なネットワーク端末が必要となり、容易にシステムを構築できない。

従来のクライアントフィルタ機能は、ユーザ端末にインストールされているプログラムごとにネットワークへのアクセスを制限することは可能であるが、ユーザ端末のセキュリティ状態を考慮してのアクセス制御はできない。また、ウイルス対策ソフトのベンダーが提供しているクライアントフィルタ機能については、ウイルス対策ソフトのウイルスデータファイルのバージョンをチェックして、動的にアクセス先を制御できる製品もあるが、セキュリティパッチの適用状況を考慮することや、未知のコンピュータウイルスに感染している場合には、その対処をすることはできない。

また、コンピュータシステムのセキュリティに関する従来技術としては特許文献１に開示される「侵入検知管理システム」がある。
特開２００３−８５１３９号公報

特許文献１に開示される発明は、ネットワークを監視する機器としてのファイアウォール機能を利用している。
また、特許文献１に開示される発明は、コンピュータ端末への不正な侵入、いわゆるハッキングに対する対策を施したコンピュータシステムであるが、コンピュータウイルスは、正常なルートでコンピュータ内に侵入（例えば、電子メールの添付ファイルとして）ことも多いため、特許文献１に開示される発明は、コンピュータウイルスに対するセキュリティの向上には何ら寄与しない。
しかも、侵入検知に対する対処ルールは予め登録されているものの中から選択するため、想定の範囲外の状況に対応することができない。すなわち、次々と新種や亜種が登場するコンピュータウイルスに対応することはできない。
このように、従来は、システムを構成する端末のセキュリティポリシーを動的に切り換えることのできるコンピュータシステムは実現されていなかった。

本発明はかかる問題に鑑みてなされたものであり、システムを構成する端末のセキュリティポリシーを動的に切り換えることのできるコンピュータシステムを提供することを目的とする。

上記目的を達成するため、本発明は、第１の態様として、接続したネットワークを介して送受信するデータをフィルタリングする機能を持つ複数のユーザ端末と、複数のユーザ端末のセキュリティ対策状況を管理するネットワークセキュリティ管理端末と、ネットワークを流れるパケットを監視して複数のユーザ端末の中から挙動が不審なものを検出するＩＤＳ端末と、がネットワークを介して接続されたコンピュータシステムであって、ユーザ端末は、自端末のセキュリティ対策状況が最新の状況であるか否かの判断をネットワークセキュリティ管理端末に要求する手段と、ネットワークセキュリティ管理端末から受信したポリシー情報に従って、自端末のフィルタリング機能のポリシー情報を変更する手段と、ネットワークセキュリティ管理端末から受信したポリシー情報に従って自端末のフィルタリング機能のポリシー情報を変更した場合に、変更後のポリシー情報を表示する手段と、を有し、ネットワークセキュリティ管理端末は、各ユーザ端末からの要求に応じて、要求元のユーザ端末のセキュリティ対策状況が最新の状況であるか否かを判断する手段と、該セキュリティ対策状況の判断結果に基づいて、要求元のユーザ端末に対して、該ユーザ端末に適用されるポリシー情報を通知する手段と、ＩＤＳ端末からの挙動が不審なユーザ端末に関する情報に基づいて、該ユーザ端末に対して、ネットワークに対するアクセスを制限するポリシー情報を通知する手段と、を有し、ＩＤＳ端末は、挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末に関する情報をネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステムを提供するものである。

上記本発明の第１の態様においては、ユーザ端末は、自端末のセキュリティ対策状況が最新の状況であるか否かの判断をネットワークセキュリティ管理端末に要求する際に、自端末のセキュリティ対策状況を表す情報をネットワークセキュリティ管理端末へ送信し、ネットワークセキュリティ管理端末は、ユーザ端末から受信した情報と予め格納している最新のセキュリティ対策状況を表す情報とを比較することによって、要求元のユーザ端末のセキュリティ対策状況が最新の状況であるか否かを判断することが好ましい。

また、上記目的を達成するため、本発明は、第２の態様として、接続したネットワークを介して送受信するデータをフィルタリングする機能を持つ複数のユーザ端末と、複数のユーザ端末に適用されるポリシー情報を通知するネットワークセキュリティ管理端末と、ネットワークを流れるパケットを監視して複数のユーザ端末の中から挙動が不審なものを検出するＩＤＳ端末と、がネットワークを介して接続されたコンピュータシステムであって、ユーザ端末は、ネットワークセキュリティ管理端末から受信したポリシー情報に従って、自端末のフィルタリング機能のポリシー情報を変更する手段と、ネットワークセキュリティ管理端末から受信したポリシー情報に従って自端末のフィルタリング機能のポリシー情報を変更した場合に、変更後のポリシー情報を表示する手段と、ネットワークに対するアクセスを制限するポリシー情報が適用されている場合に、ネットワークに対するアクセスの制限の解除を要求する解除要求をネットワークセキュリティ管理端末へ送信するための手段と、を有し、ネットワークセキュリティ管理端末は、ＩＤＳ端末からの挙動が不審なユーザ端末に関する情報に基づいて、該ユーザ端末に対して、ネットワークに対するアクセスを制限するポリシー情報を通知する手段と、解除要求の送信元のユーザ端末に対して、アクセス制限を解除するポリシー情報を通知する手段とを有し、ＩＤＳ端末は、挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末に関する情報をネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステムを提供するものである。

上記本発明の第１又は第２の態様においては、ネットワークセキュリティ管理端末は、ＩＤＳ端末から挙動が不審であることを通知されたユーザ端末に対して、ネットワークへのアクセスを禁止するポリシー情報を通知することが好ましい。

また、上記目的を達成するため、本発明は、第３の態様として、接続したネットワークを介して送受信するデータをフィルタリングする機能を持つ複数のユーザ端末と、複数のユーザ端末に適用されるポリシー情報を通知するとともに、ネットワークを流れるパケットを監視して複数のユーザ端末の中から挙動が不審なものを検出するＩＤＳ端末と、がネットワークを介して接続されたコンピュータシステムであって、ユーザ端末は、ＩＤＳ端末から受信したポリシー情報に従って、自端末のフィルタリング機能のポリシー情報を変更する手段と、ＩＤＳ端末から受信したポリシー情報に従って自端末のフィルタリング機能のポリシー情報を変更した場合に、変更後のポリシー情報を表示する手段と、ネットワークに対するアクセスを制限するポリシー情報が適用されている場合に、ネットワークに対するアクセスの制限の解除を要求する解除要求をＩＤＳ端末へ送信するための手段と、を有し、ＩＤＳ端末は、挙動が不審なユーザ端末を検出した場合に、そのユーザ端末に対して、ネットワークに対するアクセスを制限するポリシー情報を通知する手段と、解除要求の送信元のユーザ端末に対して、アクセス制限を解除するポリシー情報を通知する手段と、を有することを特徴とするコンピュータシステムを提供するものである。

上記本発明の第３の態様においては、ＩＤＳ端末は、挙動が不審であることを検出したユーザ端末に対して、ネットワークへのアクセスを禁止するポリシー情報を通知することが好ましい。

本発明によれば、システムを構成する端末のセキュリティポリシーを動的に切り換えることのできるコンピュータシステムを提供できる。

本発明では、ユーザ端末にウイルス対策ソフトとは無関係なクライアントフィルタ機能をコンピュータ端末にインストールすることによって、ネットワークへのアクセスを制御する。このため、既にコンピュータウイルスに対する防衛手段を導入しているコンピュータシステムに適用することができる。
また、クライアントフィルタ機能部が外部製品と連携するためのインタフェースを公開することによって様々な機能を持つ製品との連携が可能となる。これにより、より一層幅広い使い方ができる。

コンピュータウイルスに対する防衛策は、大別すると次の二通りとなる。
・コンピュータウイルスに感染しないようにセキュリティ対策を万全な状態にしておく（proactiveな対処）。
・コンピュータウイルスに感染したユーザ端末がシステムに接続された場合、二次感染を防ぐため、ウイルスに感染したユーザ端末を他のユーザ端末から隔離する（reactiveな対処）。
本発明では、上記の二通りの対策を両方とも行うことも、また、どちらか一方のみを行うことも可能である。このため、必要に応じたセキュリティ対策が施されたコンピュータシステムを構築できる。

〔第１の実施形態〕
本発明を好適に実施した第１の実施形態について説明する。
図１に、本実施形態にかかるコンピュータシステムの構成を示す。本実施形態にかかるコンピュータシステムは、クライアントフィルタ機能２０が実装された複数のユーザ端末１０と、セキュリティ対策状況管理センタ端末３０と、ＩＤＳセンタ端末４０とがネットワーク１００（イントラネットなど）を介して相互に接続された構成である。

ユーザ端末１０は、コンピュータ端末などの情報処理装置であり、ネットワーク１００へアクセスする機能（ネットワーク１００を介して情報を送受信する機能）を有する。

クライアントフィルタ機能部２０は、ユーザ端末１０に実装されており、ユーザ端末１０がネットワーク１００へ送り出す全てのデータと、ネットワーク１００から受信した全てのデータとを監視しており、それらのデータを通過させるか否かをプログラムごとや通信相手ごとに制御する。
クライアントフィルタ機能部２０は、フィルタ機能のポリシー（どのようなデータを通過させ、どのようなデータを遮断するかのルール）を動的に切り替える機能を備える。さらに、クライアントフィルタ機能部２０は、クライアントフィルタ機能のポリシーをネットワーク１００に接続されている他の端末（本実施形態においてはセキュリティ対策状況管理センタ端末３０）からの要求に応じて変更するためのインタフェースを備える。

また、クライアントフィルタ機能部２０は、ポリシーで許可されている通信相手以外の端末との通信が発生した場合には、その旨をユーザ端末１０の使用者に通知するインタフェースを備えている。クライアントフィルタ機能部２０は、セキュリティ対策状況管理センタ端末３０と通信する機能を有し、セキュリティ対策状況管理センター端末３０からの要求に応じて、クライアントフィルタ機能のポリシーを動的に変更させる。

また、クライアントフィルタ機能部２０は、ユーザ端末１０の機器固有情報とセキュリティ対策状況とをセキュリティ対策状況確認要求としてセキュリティ対策状況管理センタ端末３０へ送信する機能を備える。機器固有情報としては、ユーザ端末１０のＭＡＣアドレスなどが挙げられる。セキュリティ対策状況としては、ウイルス対策ソフトのウイルスパターンファイルのバージョン情報、ウイルス対策ソフトの動作状況、セキュリティパッチの適用状況などが挙げられる。

さらに、クライアントフィルタ機能部２０は、ユーザ端末１０の使用者が任意のタイミングでセキュリティ対策状況確認要求をセキュリティ対策情報管理センタ端末３０へ送信するためのインタフェースを提供する。例えば、クライアントフィルタ機能部２０は、ユーザ端末１０のディスプレイに送信ボタンを表示させるなどしてインタフェースを提供する。

セキュリティ対策状況管理センタ端末３０は、セキュリティ対策状況を管理するセンタに設置されている情報処理装置（ワークステーションやサーバなど）であり、クライアントフィルタ機能部２０によってユーザ端末１０から送信されてきたユーザ端末１０のセキュリティ対策状況情報を収集する。
また、セキュリティ対策状況管理センタ端末３０は、セキュリティ対策のために必要な最新情報を保持しており、全てのユーザ端末１０から収集した情報と最新情報とを比較することにより、各ユーザ端末のセキュリティ対策が十分であるか否かを判断する。
さらに、セキュリティ対策状況管理センタ端末３０は、クライアントフィルタ機能部２０によってユーザ端末１０から送信されてきた各種情報に基づいてセキュリティ対策状況を判断し、クライアントフィルタ機能のポリシーをユーザ端末１０へ送信する。
さらに、不審な振る舞いをするユーザ端末１０に関する情報をＩＤＳセンタ端末４０から受信し、当該ユーザ端末１０のクライアントフィルタ機能部２０に対して、ネットワーク１００への通信を遮断させるポリシーを送信する。

ＩＤＳセンタ端末４０は、情報処理装置（ワークステーションやサーバなど）又はネットワークアプライアンス装置であり、ネットワーク１００を流れる全てのパケットを監視し、不審な挙動をするユーザ端末１０を検出する。さらに、不審な挙動をしているユーザ端末１０に関する情報をセキュリティ対策状況管理センタ端末３０へ送信する。

コンピュータシステムの動作について説明する。
図２に、セキュリティ対策状況管理センタ端末３０の動作の流れを示す。
セキュリティ対策状況を判断するために、最新のセキュリティ対策情報を取得する（ステップＡ１）。セキュリティ対策情報とは、ウイルス対策ソフトのウイルスパターンファイルのバージョン情報、セキュリティパッチ情報などである。

セキュリティ対策状況管理センタ端末３０は、ＩＤＳセンタ端末４０又はクライアントフィルタ機能部２０からの要求を待つ。セキュリティ対策状況管理センタ端末３０は、ＩＤＳセンタ端末４０又はクライアントフィルタ機能部２０からの要求を受けたら、要求された内容を判断する。ＩＤＳセンタ端末４０から不審ユーザ端末通知を受けたのであれば（ステップＡ２／Ｙｅｓ）、不審なユーザ端末に対してネットワーク１００への通信を遮断するポリシーを送信する（ステップＡ３）。

クライアントフィルタ機能部２０からのセキュリティ対策状況確認要求を受信したのであれば（ステップＡ２／Ｎｏ、ステップＡ４／Ｙｅｓ）、事前に取得している最新のセキュリティ対策情報と比較し、クライアントフィルタ機能部２０に対してセキュリティ対策状況チェック結果を通知する（ステップＡ５）。通知する内容には、クライアントフィルタ機能部２０に適用すべきポリシー（ルール）が含まれる。例えば、セキュリティ対策状況チェック結果がＯＫであった場合には、ネットワーク１００へのアクセスを特に制限しないポリシーを送信する。一方、セキュリティ対策状況チェック結果がＮＧであれば、ネットワーク１００へのアクセスを禁止したり、アクセスに制限を設けるポリシーを送信する。

その後、監視を継続するのであれば、ステップＡ１に戻る（ステップＡ６）。

システム全体の動作の流れを図３に示す。
利用者がユーザ端末１０を起動すると、ユーザ端末１０内のＣＰＵによってクライアントフィルタプログラムが実行され、ユーザ端末１０上にクライアントフィルタ機能部２０が実装される（ステップＢ１）。ユーザ端末１０の使用者の操作によって、クライアントフィルタ機能部２０が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末１０の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。

起動されたクライアントフィルタ機能部２０は、ユーザ端末１０の機器固有情報とセキュリティ対策情報とを収集し、これらをセキュリティ対策状況確認要求としてセキュリティ対策状況管理センタ端末３０へ送信する（ステップＢ２）。機器固有情報とは、ユーザ端末１０を特定するための情報であり、ホスト名、ＩＰアドレス、ＭＡＣアドレスなどである。セキュリティ対策情報としては、ウイルス対策ソフトのウイルスパターンファイルのバージョン情報、ウイルス対策ソフトの動作状況、セキュリティパッチの適用状況などが含まれる。

セキュリティ対策状況管理センタ端末３０は、クライアントフィルタ機能２０によってユーザ端末１０から送信されてきたセキュリティ対策状況確認要求を受信すると、既に入手済みの最新のセキュリティ対策情報と、クライアントフィルタ機能部２０によって送信されてきたユーザ端末１０のセキュリティ対策情報とを比較する（ステップＢ３）。なお、最新のセキュリティ対策状況を取得する方法は特に限定されることはなく、ネットワークを介して特定のＷｅｂサイトから取得するなどの公知の方法を適用可能である。

セキュリティ対策状況チェック結果がＮＧであった場合には（ステップＢ３／ＮＧ）、セキュリティ対策状況管理先端端末３０は、ネットワーク１００へのアクセスを制限するポリシーをセキュリティ対策状況確認要求の送信元であるクライアントフィルタ機能部２０へ送信する（ステップＢ４）。セキュリティ対策状況チェック結果がＯＫであった場合には（ステップＢ３／ＯＫ）、セキュリティ対策状況管理センタ端末３０は、ネットワーク１００へのアクセスを制限しないポリシーをセキュリティ対策状況確認要求の送信元であるクライアントフィルタ機能部２０へ送信する（ステップＢ５）。

クライアントフィルタ機能部２０は、セキュリティ対策状況管理センタ端末３０からクライアントフィルタ機能のポリシーを受信すると、それを適用する（ステップＢ６）。そして、適用したポリシーの内容をユーザ端末１０の画面に表示する（ステップＢ７）これにより、クライアントフィルタ機能の状態をユーザに通知する。なお、セキュリティチェック結果がＮＧであった場合には、その原因もユーザ端末１０の画面に表示させる。

セキュリティ対策状況管理センタ３０から受信したポリシーを適用したことにより、セキュリティチェック結果がＯＫであったならば、ユーザ端末１０の利用者は制約を受けることなくネットワーク１００へアクセスできる。一方、セキュリティチェック結果がＮＧであったならば、制限された範囲のリソースにアクセス可能となる。

次に、ＩＤＳセンタ端末４０が不審な挙動をしているユーザ端末１０を検出した場合のシステムの動作について説明する。図４に、この場合のシステムの動作の流れを示す。
ＩＤＳセンタ端末４０は、ネットワーク１００を流れる全てのパケットを監視することにより、不審な挙動をしているユーザ端末を検出する（ステップＣ１）。ここでいう不審な挙動とは、ユーザ端末がコンピュータウイルスに感染している場合によく見られる挙動（通常業務では考えられないような相手への通信、また、大量の相手への一斉通信など）を指す。

ＩＤＳセンタ端末４０は、不審な挙動をしているユーザ端末１０を検出した場合（ステップＣ２／Ｙｅｓ）、そのユーザ端末１０を特定するための機器固有情報を含んだ不審ユーザ端末通知を、セキュリティ対策状況管理センタ端末３０に送信する（ステップＣ３）。

セキュリティ対策状況管理センタ端末３０は、不審ユーザ端末通知を受信すると、機器固有情報に基づいて不審ユーザ端末を特定し、そのユーザ端末１０上のクライアントフィルタ機能部２０に対して、ネットワーク１００へのアクセスを制限するポリシーを送信する（ステップＣ４）。

クライアントフィルタ機能部２０は、セキュリティ対策状況管理センタ端末３０からのクライアントフィルタ機能のポリシーを受信すると、それを適用する（ステップＣ５）。そして、適用したポリシーの状態をユーザ端末１０の画面に表示する（ステップＣ６）。これにより、ユーザ端末１０の利用者は、クライアントフィルタ機能部２０の状態及びその原因を通知できる。
このようにして、ユーザ端末１０の利用者は、ユーザ端末１０がコンピュータウイルスに感染している疑いがあるため、ネットワーク１００へのアクセスが制限されたことを知ることができる。

ＩＤＳセンタ端末４０としては、市販されているＩＤＳ製品を使用することが考えられるが、一般的に市販されているＩＤＳ製品は、不審な端末を発見した場合、その情報をＳＮＭＰプロトコルを使用して通知する機能を有していることが多い。本実施形態においては、ＩＤＳ製品のＳＮＭＰプロトコルによる不審ユーザ端末通知をセキュリティ対策状況管理センタ端末３０で受信するため、一般に市販されているＩＤＳ製品をＩＤＳセンタ端末４０として適用できる。

このように、本実施形態にかかるコンピュータシステムは、ユーザ端末にネットワークへのアクセスをさせる際に、利用者が使用しているユーザ端末のセキュリティ対策状況を動的に判断し、その結果に応じてネットワークへのアクセスの可否を動的に切り替えるため、ネットワークそのものをセキュアに保つことができる。

また、ＩＤＳセンタ端末を備えることによって未知のコンピュータウイルスに対応することができ、万が一コンピュータウイルスに感染したユーザ端末がネットワークに接続された場合でも、それを迅速に検出し、排除できる。

また、ＩＤＳセンタ端末４０とセキュリティ対策状況管理センタ端末３０との通信は、一般的に使用されているプロトコルで実現可能であるため、ＩＤＳセンタ端末４０に特殊な装置を用いる必要がない。

また、ネットワークに接続されるユーザ端末のセキュリティ対策状況を動的に判断し、不正であれば、セキュリティ対策ソフトのインストール、セキュリティ対策ソフトのデータファイルのバージョンアップ、セキュリティパッチの適用などのセキュリティ対策のみを行うことができる処置用のネットワークへアクセスできる効果が得られる。

また、ネットワークへのアクセス制限をクライアントフィルタ機能で実現しているため、ユーザ端末のネットワーク接続形態（有線接続であればネットワークケーブルの差し替えなど）を行うことなく対処できる。

また、ネットワークへのアクセス制限をクライアントフィルタ機能で実現しているため、ユーザ端末のＩＰアドレスを静的に設定するか、ＤＨＣＰサーバから動的に設定するかに関わらずアクセス制御を実現できる。

しかも、特別なネットワーク機器を必要としないため、イントラネット接続からリモート接続まで幅広いネットワーク形態に適用可能である。

〔第２の実施形態〕
本発明を好適に実施した第２の実施形態について説明する。
本実施形態にかかるコンピュータシステムの構成は第１の実施形態と同様である。
本実施形態においては、セキュリティ対策状況センタ端末３０において、全てのユーザ端末のセキュリティ対策状況を管理しない点が第１の実施形態と相違する。

図５に、本実施形態にかかるコンピュータシステムの動作の流れを示す。
利用者がユーザ端末１０を起動すると、ユーザ端末１０内のＣＰＵによってクライアントフィルタプログラムが実行され、ユーザ端末１０上にクライアントフィルタ機能部２０が実装される（ステップＤ１）。ユーザ端末１０の使用者の操作によって、クライアントフィルタ機能部２０が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末１０の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。

起動されたクライアントフィルタ機能部２０は、ネットワーク１００に対するアクセスに制限のないポリシーを適用する（ステップＤ２）。

ＩＤＳセンタ端末４０は、ネットワーク１００を流れる全てのパケットを監視することにより、不審な挙動をしているユーザ端末を検出する（ステップＤ３）。ここでいう不審な挙動とは、ユーザ端末がコンピュータウイルスに感染している場合によく見られる挙動（通常業務では考えられないような相手への通信、また、大量の相手への一斉通信など）を指す。

ＩＤＳセンタ端末４０は、不審な挙動をしているユーザ端末１０を検出した場合（ステップＤ４／Ｙｅｓ）、そのユーザ端末１０を特定するための機器固有情報を含んだ不審ユーザ端末通知を、セキュリティ対策状況管理センタ端末３０に送信する（ステップＤ５）。

セキュリティ対策状況管理センタ端末３０は、不審ユーザ端末通知を受信すると、機器固有情報に基づいて不審ユーザ端末を特定し、そのユーザ端末１０上のクライアントフィルタ機能部２０に対して、ネットワーク１００へのアクセスを制限するポリシーを送信する（ステップＤ６）。

クライアントフィルタ機能部２０は、セキュリティ対策状況管理センタ端末３０からのクライアントフィルタ機能のポリシーを受信すると、それを適用する（ステップＤ７）。そして、適用したポリシーの状態をユーザ端末１０の画面に表示する（ステップＤ８）。これにより、ユーザ端末１０の利用者は、クライアントフィルタ機能部２０の状態及びその原因を通知できる。
このようにして、ユーザ端末１０の利用者は、自身が使用する端末１０がコンピュータウイルスに感染している疑いがあるために、ネットワーク１００へのアクセスが制限されたことを知ることができる。

次に、ユーザ端末１０のコンピュータウイルスを駆除した後の動作について説明する。
図６に、動作の流れを示す。
感染しているコンピュータウイルスが駆除された後、アクセス制限解除要求をセキュリティ対策状況管理センタ端末３０に送信するための操作が行われると、クライアントフィルタ機能部２０は、アクセス制限解除要求をセキュリティ対策状況管理センタ端末３０へ送信する（ステップＥ１）。

アクセス制限解除要求を受信したセキュリティ対策状況管理センタ端末３０は、送信元のユーザ端末１０のクライアントフィルタ機能部２０に対して、ネットワーク１００へのアクセス制限を解除するポリシーを送信する（ステップＥ２）。

セキュリティ対策状況管理センタ端末３０から送信されてきたポリシーを受信したクライアントフィルタ機能部２０は、それを適用する（ステップＥ３）。そして、適用したポリシーの状態をユーザ端末１０の画面に表示させる（ステップＥ４）。これにより、ユーザ端末１０の利用者はクライアントフィルタ機能の状態を把握できる。

ネットワーク１００へのアクセス制限が解除されたことにより、ユーザ端末１０はネットワーク１００へ自由にアクセスできる状態となる。

このように、本実施形態にかかるコンピュータシステムは、セキュリティ対策状況管理センタ端末３０において全てのユーザ端末１０のセキュリティ対策状況をチェックはしないが、コンピュータウイルスに対しての防御力は備える。

一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況をチェックする装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。

〔第３の実施形態〕
本発明を好適に実施した第３の実施形態について説明する。
図７に、本実施形態にかかるコンピュータシステムの構成を示す。
本実施形態にコンピュータシステムは、セキュリティ対策状況管理センタ端末３０を備えていない点が第２の実施形態と相違する。第２の実施形態においてセキュリティ対策状況管理センタ端末３０が提供していた機能は、ＩＤＳセンタ端末４０が実現する。

本実施形態にかかるコンピュータシステムの動作の流れを図８に示す。
利用者がユーザ端末１０を起動すると、ユーザ端末１０内のＣＰＵによってクライアントフィルタプログラムが実行され、ユーザ端末１０上にクライアントフィルタ機能部２０が実装される（ステップＦ１）。ユーザ端末１０の使用者の操作によって、クライアントフィルタ機能部２０が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末１０の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。

起動されたクライアントフィルタ機能部２０は、ネットワーク１００に対するアクセスに制限のないポリシーを適用する（ステップＦ２）。

ＩＤＳセンタ端末４０は、ネットワーク１００を流れる全てのパケットを監視することにより、不審な挙動をしているユーザ端末を検出する（ステップＦ３）。ここでいう不審な挙動とは、ユーザ端末がコンピュータウイルスに感染している場合によく見られる挙動（通常業務では考えられないような相手への通信、また、大量の相手への一斉通信など）を指す。

ＩＤＳセンタ端末４０は、不審な挙動をしているユーザ端末１０を検出した場合（ステップＦ４／Ｙｅｓ）、そのユーザ端末１０を特定し、そのユーザ端末１０上のクライアントフィルタ機能部２０に対して、ネットワーク１００へのアクセスを制限するポリシーを送信する（ステップＦ５）。

クライアントフィルタ機能部２０は、ＩＤＳセンタ端末４０からのクライアントフィルタ機能のポリシーを受信すると、それを適用する（ステップＦ６）。そして、適用したポリシーの状態をユーザ端末１０の画面に表示する（ステップＦ７）。これにより、ユーザ端末１０の利用者は、クライアントフィルタ機能部２０の状態及びその原因を通知できる。
このようにして、ユーザ端末１０の利用者は、自身が使用する端末がコンピュータウイルスに感染している疑いがあるため、ネットワーク１００へのアクセスが制限されたことを知ることができる。

次に、ユーザ端末１０に感染しているコンピュータウイルスを削除した後の動作について説明する。
図９に、システムの動作の流れを示す。

感染しているコンピュータウイルスが駆除された後、アクセス制限解除要求をＩＤＳセンタ端末４０に送信するための操作が行われると、クライアントフィルタ機能部２０は、アクセス制限解除要求をＩＤＳセンタ端末４０へ送信する（ステップＧ１）。

アクセス制限解除要求を受信したＩＤＳセンタ端末４０は、アクセス制限解除要求の送信元であるユーザ端末１０のクライアントフィルタ機能部２０に対して、ネットワーク１００へのアクセス制限を解除するポリシーを送信する（ステップＧ２）。

ＩＤＳセンタ端末４０から送信されてきたポリシーを受信したクライアントフィルタ機能部２０は、それを適用する（ステップＧ３）。そして、適用したポリシーの状態をユーザ端末１０の画面に表示させる（ステップＧ４）。これにより、ユーザ端末１０の利用者はクライアントフィルタ機能の状態を把握できる。

以上のように、本実施形態にかかるコンピュータシステムは、セキュリティ対策状況管理センタ端末を備えていない構成ではあるが、コンピュータウイルスに対する防御力を備えている。
一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況を管理する装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。

また、第２の実施形態に係るコンピュータシステムに比べてシステムの構成を簡略化できる。

〔第４の実施形態〕
本発明を好適に実施した第４の実施形態について説明する。
図１０に本実施形態にかかるコンピュータシステムの構成を示す。
本実施形態に係るコンピュータシステムは複数のユーザ端末１０がネットワーク１００を介して接続された構成である。

本実施形態に係るコンピュータシステムの動作について説明する。
図１１に、システムの動作の流れを示す。
利用者がユーザ端末１０を起動すると、ユーザ端末１０内のＣＰＵによってクライアントフィルタプログラムが実行され、ユーザ端末１０上にクライアントフィルタ機能部２０が実装される（ステップＨ１）。ユーザ端末１０の使用者の操作によって、クライアントフィルタ機能部２０が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末１０の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。

ユーザ端末１０に実装されたクライアントフィルタ機能部２０は、所定のアクセス先に限定されたポリシーを適用する（ステップＨ２）。

ユーザ端末１０に感染しているコンピュータウイルスが活動すると、ユーザ端末１０からネットワーク１００へのアクセスが発生する（ステップＨ３）。

クライアントフィルタ機能部２０は、ポリシーにセットされていない相手への通信があったことを検知し、その旨をユーザ端末１０の利用者へ通知する（ステップＨ４）。これとともに、クライアントフィルタ機能部２０は、通知した通信が使用者の意図した通信であったか否かの情報の入力を使用者に要求する（ステップＨ５）。

意図しない通信であったことを示す情報が使用者から入力された場合（ステップＨ６／Ｎｏ）、クライアントフィルタ機能部２０は、ウイルス感染によるネットワークアクセスであると判断し、ネットワーク１００へのアクセスを遮断するポリシーを適用する（ステップＨ７）。そして、適用したポリシーをユーザ端末１０の画面に表示させ、使用者にクライアントフィルタ機能の状態とその原因とを通知する（ステップＨ８）。

以上のように、本実施形態にかかるコンピュータシステムは、セキュリティ対策状況管理センタ端末及びＩＤＳセンタ端末を備えていない構成ではあるが、コンピュータウイルスに対する防御力を備えている。
一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況を管理する装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。

また、第３の実施形態に係るコンピュータシステムに比べてシステムの構成を簡略化できる。

なお、上記各実施形態は本発明の好適な実施の一例であり、本発明はこれらに限定されることはなく変形が可能である。

本発明を好適に実施した第１の実施形態にかかるコンピュータシステムの構成を示す図である。第１の実施形態にかかるセキュリティ対策状況管理センタ端末の動作の流れを示す図である。第１の実施形態にかかるコンピュータシステムの動作の流れを示す図である。第１の実施形態にかかるコンピュータシステムの動作の流れを示す図である。本発明を好適に実施した第２の実施形態にかかるコンピュータシステムの動作の流れを示す図である。第２の実施形態にかかるコンピュータシステムの動作の流れを示す図である。本発明を好適に実施した第３の実施形態にかかるコンピュータシステムの構成を示す図である。第３の実施形態にかかるコンピュータシステムの動作の流れを示す図である。第３の実施形態にかかるコンピュータシステムの動作の流れを示す図である。本発明を好適に実施した第４の実施形態にかかるコンピュータシステムの構成を示す図である。第４の実施形態にかかるコンピュータシステムの動作の流れを示す図である。

符号の説明

１０ユーザ端末
２０クライアントフィルタ機能部
３０セキュリティ対策状況管理センタ端末
４０ＩＤＳ端末

Claims

接続したネットワークを介して送受信するデータをフィルタリングする機能を持つ複数のユーザ端末と、前記複数のユーザ端末のセキュリティ対策状況を管理するネットワークセキュリティ管理端末と、前記ネットワークを流れるパケットを監視して前記複数のユーザ端末の中から挙動が不審なものを検出するＩＤＳ端末と、が前記ネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
自端末のセキュリティ対策状況が最新の状況であるか否かの判断を前記ネットワークセキュリティ管理端末に要求する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って、自端末の前記フィルタリング機能のポリシー情報を変更する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って自端末の前記フィルタリング機能のポリシー情報を変更した場合に、変更後のポリシー情報を表示する手段と、
を有し、
前記ネットワークセキュリティ管理端末は、
前記各ユーザ端末からの要求に応じて、要求元のユーザ端末のセキュリティ対策状況が最新の状況であるか否かを判断する手段と、
前記セキュリティ対策状況の判断結果に基づいて、前記要求元のユーザ端末に対して、該ユーザ端末に適用されるポリシー情報を通知する手段と、
前記ＩＤＳ端末からの挙動が不審なユーザ端末に関する情報に基づいて、前記ユーザ端末に対して、前記ネットワークに対するアクセスを制限するポリシー情報を通知する手段と、
を有し、
前記ＩＤＳ端末は、
挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末に関する情報を前記ネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステム。
前記ユーザ端末は、自端末のセキュリティ対策状況が最新の状況であるか否かの判断を前記ネットワークセキュリティ管理端末に要求する際に、自端末のセキュリティ対策状況を表す情報を前記ネットワークセキュリティ管理端末へ送信し、
前記ネットワークセキュリティ管理端末は、ユーザ端末から受信した情報と予め格納している最新のセキュリティ対策状況を表す情報とを比較することによって、要求元のユーザ端末のセキュリティ対策状況が最新の状況であるか否かを判断することを特徴とする請求項１記載のコンピュータシステム。
接続したネットワークを介して送受信するデータをフィルタリングする機能を持つ複数のユーザ端末と、前記複数のユーザ端末に適用されるポリシー情報を通知するネットワークセキュリティ管理端末と、前記ネットワークを流れるパケットを監視して前記複数のユーザ端末の中から挙動が不審なものを検出するＩＤＳ端末と、が前記ネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って、自端末の前記フィルタリング機能のポリシー情報を変更する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って自端末の前記フィルタリング機能のポリシー情報を変更した場合に、変更後のポリシー情報を表示する手段と、
前記ネットワークに対するアクセスを制限するポリシー情報が適用されている場合に、前記ネットワークに対するアクセスの制限の解除を要求する解除要求を前記ネットワークセキュリティ管理端末へ送信するための手段と、
を有し、
前記ネットワークセキュリティ管理端末は、
前記ＩＤＳ端末からの挙動が不審なユーザ端末に関する情報に基づいて、前記ユーザ端末に対して、前記ネットワークに対するアクセスを制限するポリシー情報を通知する手段と、
前記解除要求の送信元のユーザ端末に対して、前記アクセス制限を解除するポリシー情報を通知する手段と、
を有し、
前記ＩＤＳ端末は、
挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末に関する情報を前記ネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステム。
前記ネットワークセキュリティ管理端末は、前記ＩＤＳ端末から挙動が不審であることを通知されたユーザ端末に対して、前記ネットワークへのアクセスを禁止するポリシー情報を通知することを特徴とする請求項１から３のいずれか１項記載のコンピュータシステム。
接続したネットワークを介して送受信するデータをフィルタリングする機能を持つ複数のユーザ端末と、前記複数のユーザ端末に適用されるポリシー情報を通知するとともに、前記ネットワークを流れるパケットを監視して前記複数のユーザ端末の中から挙動が不審なものを検出するＩＤＳ端末と、がネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
前記ＩＤＳ端末から受信したポリシー情報に従って、自端末の前記フィルタリング機能のポリシー情報を変更する手段と、
前記ＩＤＳ端末から受信したポリシー情報に従って自端末の前記フィルタリング機能のポリシー情報を変更した場合に、変更後のポリシー情報を表示する手段と、
前記ネットワークに対するアクセスを制限するポリシー情報が適用されている場合に、前記ネットワークに対するアクセスの制限の解除を要求する解除要求を前記ＩＤＳ端末へ送信するための手段と、
を有し、
前記ＩＤＳ端末は、
挙動が不審なユーザ端末を検出した場合に、そのユーザ端末に対して、前記ネットワークに対するアクセスを制限するポリシー情報を通知する手段と、
前記解除要求の送信元のユーザ端末に対して、前記アクセス制限を解除するポリシー情報を通知する手段と、
を有することを特徴とするコンピュータシステム。
前記ＩＤＳ端末は、挙動が不審であることを検出したユーザ端末に対して、前記ネットワークへのアクセスを禁止するネットワークセキュリティの設定を通知することを特徴とする請求項５記載のコンピュータシステム。