JP4437797B2 - ネットワークへの不正接続防止システム及び方法並びにそのプログラム - Google Patents

Description

本発明は、クライアント端末からネットワークへの不正接続を防止する方法に関する。

近年、ネットワークを通じたコンピュータウイルスのばらまきによるウイルス被害やネットワークへの不正アクセスによる重要な情報の漏えいが急増しており、ネットワークセキュリティの向上は重要な課題となっている。

ウイルス被害に関しては、ウイルス対策ソフト等の導入である程度解決は可能であるが、ウイルス対策ソフト等、必要なエージェントソフトがインストールされていない端末がネットワークに接続された場合、その端末がセキュリティホールとなってしまうという問題がある。また、ウイルス対策ソフト等、必要なエージェントソフトがインストールされている端末であっても、セキュリティポリシーを満たしていない端末がネットワークに接続された場合、やはりその端末がセキュリティホールとなってしまう。

また、ユーザ端末にインストールされているソフトウエアの更新状況に応じたアクセス制限を行うことにより、外部ネットワークへのアクセスによるウィルス感染の防止を可能とするアクセス管理システムがある（例えば、特許文献１参照）。
特開２００５−２８４５７３号公報

しかしながら、従来の不正接続防止システムは、ＭＡＣアドレス、ＩＰアドレス等で許可されたクライアント端末以外をネットワークに接続させないアクセス制限を実施しており、以下のような問題点がある。

・ＭＡＣアドレス、ＩＰアドレス等で許可された端末であれば、クライアント端末に必要なエージェントソフトがインストールされていない端末でも、ネットワークに接続できてしまう。

・ＭＡＣアドレス、ＩＰアドレス等で許可された端末であれば、クライアント端末に必要なエージェントソフトをアンインストールしても、ネットワークに接続できてしまう。

そこで本発明は、クライアントに必要なエージェントソフトがインストールされていない端末を検知し、必要なエージェントソフトがインストールされていない端末のネットワークへのアクセス制限の実施、および、クライアントに必要なエージェントソフトがインストールされている端末でも、設定されたポリシーを満たしていない端末のネットワークへのアクセス制限を実施する不正接続防止システム及び方法並びにそのプログラムを提供することを目的とする。

上述の課題を解決するため、本発明は、ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、予め許可されていない端末を前記ネットワークに接続させないようにアクセス制限を行う不正接続防止装置と、が接続されたシステムであって、前記不正接続防止装置は、前記ネットワーク上に流れるパケットを監視して、前記エージェント端末が前記ネットワークに接続され、当該エージェント端末から前記存在通知パケットを受信した時にその存在通知パケットを送信した端末に予め決められたポリシを送信する手段を有し、前記エージェント端末は、前記送信されたポリシを満たしているかどうかの調査を行い、自端末が前記ポリシを満たしていない場合には前記ネットワークへの通信制限を行う手段を有することを特徴とする。
また、本発明は、ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、前記エージェントソフトがインストールされていないクライアント端末と、前記ネットワークへの不正接続を防止する不正接続防止装置とが接続されたシステムであって、前記不正接続防止装置は、前記ネットワーク上に流れるパケットを監視して、前記エージェント端末又はクライアント端末が前記ネットワークに接続された時に前記存在通知パケットを待つ手段と、前記存在通知パケットが所定時間内に送信されない時に前記エージェントソフトがインストールされていない前記クライアント端末であることを検知し、当該クライアント端末に前記エージェントソフトを送信する手段とを有し、当該クライアント端末は、送信されたエージェントソフトをインストールすることを特徴とする。

本発明によれば、セキュリティ対策の実施状況を確認するために必要なエージェントソフトがインストールされていないクライアント端末のネットワークへのアクセスを拒否することができる。

また、必要なエージェントソフトがインストールされているクライアント端末であっても、必要なセキュリティパッチが適用されていなかったり、ウイルス対策が不十分であるといったポリシーを満たしていないクライアント端末は、エージェントソフトで通信制限されるため、ウイルス被害を未然に防ぐことができる。

次に、本発明の最良の形態について図面を参照して説明する。

図１は、本発明の第１の実施例のシステム構成を示す。ネットワーク６に接続されているクライアント端末１，２と、クライアント端末にインストールされるエージェントソフト５と、不正接続防止装置３と、不正接続防止装置の管理コンソール４と、ポリシー７により構成されている。

クライアント端末１は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフト５がインストールされている（以降、エージェントソフトがインストールされているクライアント端末をエージェント端末とする）。クライアント端末２は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフトがインストールされていない。

エージェントソフト５は、クライアント端末等の情報処理装置にインストールされるプログラムであり、ネットワーク上に自身の存在通知パケットを送信する機能と、不正接続防止装置３から送信されるポリシーを受信し、ネットワークへの通信制限を実施する機能を備えている。

管理コンソール４は、複数の不正接続防止装置を制御するコンソールであり、コンソール上に設定されたポリシー７を不正接続防止装置３に送信する機能を備えている。

不正接続防止装置３は、ＭＡＣアドレス、ＩＰアドレス等で許可されたクライアント端末以外をネットワークに接続させないアクセス制限を実施する機能を備えている。また、クライアント端末にインストールされているエージェントソフト５からネットワーク上に送信された存在通知パケットを受信し、存在通知を送信していないクライアント端末に対するネットワークへのアクセス制限を実施する機能を備えている。さらに、存在通知パケットを送信したクライアント端末に対し、ポリシー７を送付する機能を備えている。

次に、図２を参照し、本実施例の動作について詳細に説明する。

クライアント端末２には、エージェントソフト５はインストールされていない。クライアント端末２をネットワーク６に接続すると（ステップＳ１１）、ネットワーク６上にパケットが流れる。不正接続防止装置３は、ネットワーク６を流れるパケットをモニタリングしており、クライアント端末２からのパケットによりクライアント端末２がネットワーク６に接続されたことを検知する（ステップＳ１２）。

不正接続防止装置３は、クライアント端末２がネットワーク６に接続されたことを検知すると、クライアント端末２からの存在通知パケットを待つ（ステップＳ１３）。クライアント端末２には、エージェントソフト５はインストールされていないため、ネットワーク６上にクライアント端末２からの存在通知パケットは送信されない。

不正接続防止装置３は、クライアント端末２からの存在通知パケットが所定時間内にネットワーク６上に送信されないので、不正接続防止機能によりクライアント端末２のネットワーク６へのアクセス制限を実施する（ステップＳ１４）。クライアント端末２は、不正接続防止装置３からのネットワーク６へのアクセス制限により、ネットワーク６への接続ができなくなる（ステップＳ１５）。

次に、図３を参照し、本実施例の動作について詳細に説明する。

クライアント端末１は、エージェントソフト５がインストールされているエージェント端末である。管理コンソール４は、不正接続防止装置３にポリシーを送信する（ステップＳ２１）。エージェント端末１をネットワーク６に接続すると（ステップＳ２２）、ネットワーク６上にパケットが流れる。

不正接続防止装置３は、ネットワーク６を流れるパケットをモニタリングしており、エージェント端末１からのパケットによりエージェント端末１がネットワーク６に接続されたことを検知する（ステップＳ２３）。不正接続防止装置３は、エージェント端末１がネットワーク６に接続されたことを検知すると、エージェント端末１からの存在通知パケットを待つ（ステップＳ２４）。

エージェント端末１には、エージェントソフト５がインストールされているため、ネットワーク６に自身の存在通知パケットを送信する（ステップＳ２５）。不正接続防止装置３は、エージェント端末１からの存在通知パケットを受信したことにより、管理コンソール４から受信したポリシー７をエージェント端末１に送信する（ステップＳ２６）。エージェント端末１は、不正接続防止装置３からポリシー７を受信すると（ステップＳ２７）、自端末がポリシー７を満たしているか調査を実施する（ステップＳ２８）。

エージェント端末１は、ポリシー確認（ステップＳ２９）の結果、ポリシー７を満たしている場合には、自端末に対する通信制限は実施しない。エージェント端末１は、ポリシー確認（ステップＳ２９）の結果、ポリシー７を満たしていない場合、自端末のネットワーク６への通信制限を実施する（ステップＳ３０）。

これにより、エージェントソフト５がインストールされていないクライアント端末２は不正接続防止装置によりネットワーク６へのアクセス制限が実施され、エージェントソフト５がインストールされているがポリシー７を満たしていないエージェント端末１は、通信制限が実施される。

図４は、本発明の第２の実施例のシステム構成を示す。クライアント端末１は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフト５がインストールされているエージェント端末である。クライアント端末２は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフトがインストールされていない。

エージェントソフト５は、クライアント端末等の情報処理装置にインストールされるプログラムであり、ネットワーク上に自身の存在通知パケットを送信する機能を備えている。

管理コンソール４は、複数の不正接続防止装置を制御するコンソールであり、コンソール上に設定されたエージェントソフト５を不正接続防止装置３に送信する機能を備えている。

クライアント端末２がネットワーク６に接続されると、ネットワーク６上にパケットが流れる。

不正接続防止装置３は、ネットワーク６を流れるパケットをモニタリングしており、クライアント端末２からのパケットによりクライアント端末２がネットワーク６に接続されたことを検知する。不正接続防止装置３は、クライアント端末２がネットワーク６に接続されたことを検知すると、クライアント端末２からの存在通知パケットを待つ。クライアント端末２には、エージェントソフトはインストールされていないため、ネットワーク６上にクライアント端末２からの存在通知パケットは送信されない。不正接続防止装置３は、クライアント端末２からの存在通知パケットが所定時間内にネットワーク６上に送信されないことを検知し、管理コンソール４から受信したエージェントソフト５をクライアント端末２に送信する。クライアント端末２は、受信したエージェントソフト５をインストールする。

このように、エージェントソフトがインストールされていない端末を検知し、その端末に必要なエージェントソフトを送信して、インストールさせることができる。

社内のネットワークに、社員が個人用のコンピュータを接続することによる、当該コンピュータからのウイルスの蔓延を防止したい場合や、必要なセキュリティポリシーを満たしていない端末からのウイルス蔓延を防止したい場合に利用することが可能である。

第１の実施例のシステム構成図である。 第１の実施例の動作を説明するシーケンス図である。 第１の実施例の動作を説明するシーケンス図である。 第２の実施例のシステム構成図である。

符号の説明

１ クライアント端末（エージェント端末）
２ クライアント端末
３ 不正接続防止装置
４ 管理コンソール
５ エージェントソフト
６ ネットワーク
７ ポリシー

Claims (6)

1. ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、予め許可されていない端末を前記ネットワークに接続させないようにアクセス制限を行う不正接続防止装置と、が接続されたシステムであって、
   前記不正接続防止装置は、前記ネットワーク上に流れるパケットを監視して、前記エージェント端末が前記ネットワークに接続され、当該エージェント端末から前記存在通知パケットを受信した時にその存在通知パケットを送信した端末に予め決められたポリシを送信する手段を有し、
   前記エージェント端末は、前記送信されたポリシを満たしているかどうかの調査を行い、自端末が前記ポリシを満たしていない場合には前記ネットワークへの通信制限を行う手段を有することを特徴とするネットワークへの不正接続防止システム。
2. ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、前記エージェントソフトがインストールされていないクライアント端末と、前記ネットワークへの不正接続を防止する不正接続防止装置とが接続されたシステムであって、
   前記不正接続防止装置は、前記ネットワーク上に流れるパケットを監視して、前記エージェント端末又はクライアント端末が前記ネットワークに接続された時に前記存在通知パケットを待つ手段と、
   前記存在通知パケットが所定時間内に送信されない時に前記エージェントソフトがインストールされていない前記クライアント端末であることを検知し、当該クライアント端末に前記エージェントソフトを送信する手段とを有し、
   当該クライアント端末は、前記送信されたエージェントソフトをインストールすることを特徴とするネットワークへの不正接続防止システム。
3. ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、予め許可されていない端末を前記ネットワークに接続させないようにアクセス制限を行う不正接続防止装置と、が接続されたシステムの不正接続防止方法であって、
   前記不正接続防止装置により、前記ネットワーク上に流れるパケットを監視し、前記エージェント端末が前記ネットワークに接続され、当該エージェント端末から前記存在通知パケットを受信した時にその存在通知パケットを送信した端末に予め決められたポリシを送信する工程と、
   前記エージェント端末により、前記送信されたポリシを満たしているかどうかの調査を行い、自端末が前記ポリシを満たしていない場合には前記ネットワークへの通信制限を行う工程と、
   を含むことを特徴とするネットワークへの不正接続防止方法。
4. ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、前記エージェントソフトがインストールされていないクライアント端末と、前記ネットワークへの不正接続を防止する不正接続防止装置とが接続されたシステムの不正接続防止方法であって、
   前記不正接続防止装置により、前記ネットワーク上に流れるパケットを監視して、前記エージェント端末又はクライアント端末が前記ネットワークに接続された時に前記存在通知パケットを待つ工程、
   及び前記存在通知パケットが所定時間内に送信されない時に前記エージェントソフトがインストールされていない前記クライアント端末であることを検知し、当該クライアント端末に前記エージェントソフトを送信する工程と、
   前記クライアント端末により、前記送信されたエージェントソフトをインストールする工程と、
   を含むことを特徴とするネットワークへの不正接続防止方法。
5. ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、予め許可されていない端末を前記ネットワークに接続させないようにアクセス制限を行う不正接続防止装置と、が接続されたシステムの不正接続防止プログラムであって、
   前記ネットワーク上に流れるパケットを監視して、前記エージェント端末が前記ネットワークに接続され、当該エージェント端末から前記存在通知パケットを受信した時にその存在通知パケットを送信した端末に予め決められたポリシを送信する手段と、
   前記送信されたポリシを満たしているかどうかの調査を行い、自端末が前記ポリシを満たしていない場合には前記ネットワークへの通信制限を行う手段と、
   してコンピュータを機能させるためのプログラム。
6. ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、前記エージェントソフトがインストールされていないクライアント端末と、前記ネットワークへの不正接続を防止する不正接続防止装置とが接続されたシステムの不正接続防止プログラムであって、
   前記ネットワーク上に流れるパケットを監視して、前記エージェント端末又はクライアント端末が前記ネットワークに接続された時に前記存在通知パケットを待つ手段と、
   前記存在通知パケットが所定時間内に送信されない時に前記エージェントソフトがインストールされていない前記クライアント端末であることを検知し、当該クライアント端末に前記エージェントソフトを送信する手段と、
   当該クライアント端末に対して前記送信されたエージェントソフトをインストールする手段と、
   してコンピュータを機能させるためのプログラム。

Images