JP4611197B2

JP4611197B2 - ネットワークにおける機器の接続方法及びこれを用いるネットワークシステム

Info

Publication number: JP4611197B2
Application number: JP2005500906A
Authority: JP
Inventors: 隆金子; 忠昭田中; 弘樹高山; 忠宏太田
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2003-06-20
Filing date: 2003-06-20
Publication date: 2011-01-12
Anticipated expiration: 2023-06-20
Also published as: JPWO2004114599A1; US7874002B2; WO2004114599A1; US20060021043A1

Description

本発明は、ネットワークへの機器の接続方法に関し、特にコンピュータウイルス対策を考慮した機器のネットワークへの接続方法及びこれを用いるネットワークシステムに関する。
現在、ＡＤＳＬ（ＡｓｙｎｃｈｒｏｎｏｕｓＤｉｇｉｔａｌＳｕｂｓｃｒｉｂｅｒＬｉｎｅ）の一般家庭への普及に伴いコンピュータウイルスが短時間に爆発的に拡散し、ネットワークに重大な被害を与える事例が増えている。
今後、通信ネットワークとしてＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ）ネットワークの構築が検討され実現しつつある。従来の通信ネットワークは、専用のハードウエア、ソフトウエア等で構築されているため、一般的にコンピュータウイルスの攻撃を受けることが少なかった。
これに対し、ＩＰネットワークを構成するサーバ群は、汎用マシンでありＯＳ（オペーレーティングシステム）もＷｉｎｄｏｗｓ（マイクロシステム社登録商標）、ＵＮＩＸ等がありコンピュータウイルスの攻撃を受ける機会は十分に考えられる。これまでのコンピュータウイルスに対する対策としては、ネットワーク外部からのウイルス侵入を防ぐことに主眼がおかれている。
しかし、コンピュータウイルスは多種多様になっており、既にネットワークに帰属する端末（ＰＣ）がウイルスに感染していているような場合に、当該ＰＣをネットワークに接続した時点で、ＩＰネットワークにウイルスが一気に拡散されることが充分に考えられる。それによるネットワークダウンによって社会に与える影響は計り知れない。
また、企業内ＬＡＮ（ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）においても同様に、既にウイルスに感染している企業内部のＰＣが接続される場合は、当該企業内ネットワーク全体にウイルスが一気に広がることが考えられ、ウイルスによるネットワークダウンによって企業に与える影響は大きい。
従来技術として、ネットワークに接続されたコンピュータ等情報処理装置において、ネットワークとの論理的な接続及び非接続状態を動的に変更してコンピュータウイルスのネットワーク伝播を防止する技術が提示されている（特許文献１参照）。
かかる特許文献１に記載される発明では、既にウイルス対策機能（例えば、ウイルスチェックプログラム）を格納したコンピュータがＬＡＮに接続されている。そして、当該コンピュータに挿入され、実行されるファイルに対し、前記ウイルス対策機能で、ファイルにウイルス感染があるか否かを判断し、ウイルス感染がある場合には、ＬＡＮへのファイル転送を阻止するようにした構成である。
しかし、かかる特許文献１に記載の技術では、ＬＡＮに接続された特定のコンピュータに挿入されるファイルに対してのみウイルスチェックが行われる仕組みである。
したがって、企業内ＬＡＮ等において、帰属するコンピュータが、随時にＬＡＮに接続分離されるような態様にあっては、前記特許文献１に記載の技術は適用できないものである。すなわち、既にコンピュータ自身がウイルスに汚染している場合において、ＬＡＮへの接続を阻止する対応が不可能である。
特開平１１−７３３８４号公報

発明の概要
したがって、本発明の目的は、かかる不都合も考慮した機器のネットワークへの接続方法及びこれを用いるネットワークシステムを提供することにある。
かかる本発明の目的を達成する機器のネットワークへの接続方法の第１の態様は、ネットワーク構成をＶＬＡＮ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）機能により、運用ネットワークとウイルスチェック用ネットワークに分離し、機器の接続時に、前記ウイルスチェック用ネットワークにおいてウイルスのチェックを行い、前記ウイルスチェックにより安全を確認した前記機器を、前記運用ネットワークへ収容する。
上記の本発明の目的を達成する機器のネットワークへの接続方法の第２の態様は、第１の態様において、前記ウイルスチェックにより安全を確認できないとき、前記機器を、前記運用ネットワーク及びウイルスチェック用ネットワークの何れからも隔離する。
上記の本発明の目的を達成する機器のネットワークへの接続方法を用いるネットワークシステムの第１の態様は、複数のポートを備え、ＶＬＡＮ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）機能により前記複数のポートに接続される機器を運用ネットワークとウイルスチェック用ネットワークに分離するネットワーク接続装置と、前記ウイルスチェック用ネットワークに接続されるウイルスチェック用サーバを有し、
新規に機器が前記ネットワーク接続装置の空きポートに接続される時、前記ウイルスチェック用ネットワークに収容して、ウイルスチェックを行い、前記ウイルスチェックにより安全を確認した場合に、前記機器が、前記運用ネットワークに収容される。
上記の本発明の目的を達成する機器のネットワークへの接続方法を用いるネットワークシステムの第２の態様は、第１のネットワークシステムの態様において、前記ウイルスチェックにより安全を確認できないとき、前記新規の機器は、前記運用ネットワーク及びウイルスチェック用ネットワークの何れからも隔離される。
また、上記の本発明の目的を達成する機器のネットワークへの接続方法を用いるネットワークシステムの第３の態様は、第１のネットワークシステムの態様において、前記ネットワーク接続装置は、前記複数のポートのそれぞれについての管理テーブルを有し、前記ウイルスチェックの結果に対応して、前記管理テーブルを更新して、前記新規の機器の接続されるポートを収容するネットワークを更新設定する。
さらに、上記の本発明の目的を達成する機器のネットワークへの接続方法を用いるネットワークシステムの第４の態様は、第１のネットワークシステムの態様において、前記運用ネットワークに接続される機器が対応のポートから外される時は、前期ネットワーク接続装置のＶＬＡＮ機能により前記ポートをウイルスチェック用ネットワークに収容を変更する。
本発明は、以下に図面を参照して説明される発明の実施の形態例から更に明らかになる。

図１は、本発明を適用するネットワークの概念図である。
図２乃至図５は、新たにサーバ、ＰＣ等の接続機器（以降、接続機器ＰＣと表記）をネットワークＶＬＡＮ１に接続する場合の態様を示す図である。
図６Ａ，図６Ｂは、第１の実施の形態例として図２〜図５に対応する処理の手順を説明する図である。
図７は、第１の実施の形態例において、ウイルス監視サーバ２、接続装置１及び、接続機器ＰＣの本発明の適用における機能を説明する図である。
図８は、ＶＬＡＮの設定情報（ポート番号、ＶＬＡＮ名、ＶＬＡＮＩＤ、収容ＩＰアドレス）の送受（要求／回答）するためのパケットフォーマットを示す図である。
図９は、ある時点における接続装置１における管理テーブル（図９Ａ）及びウイルス監視用サーバ２における管理テーブル（図９Ｂ）の一例を示す図である。
図１０は、ウイルスチェック要求パケット及び、ウイルスチェック結果通知パケットを示す図である。
図１１は、ウイルスチェック結果に問題がない場合の接続装置１における管理テーブル及びウイルス監視用サーバ２における管理テーブルを示す図である。
図１２は、ウイルスチェック結果に問題ある場合の接続装置１における管理テーブル及びウイルス監視用サーバ２における管理テーブルを示す図である。
図１３は、管理テーブルの更新要求及び、接続ポートの検疫を指示するパケットの一例を示す図である。
図１４は、本発明の第２の実施の形態例の処理の手順を説明する図である。
図１５は、第２の実施の形態例において、ウイルス監視サーバ２、接続装置１及び、接続機器ＰＣの本発明の適用における機能を説明する図である。
発明の実施の形態例
以下図面に従い、本発明の実施の形態例を説明する。
図１は、本発明を適用するネットワークの概念図である。レイヤ３（Ｌ３）スイッチ、ルータあるいは、レイヤ２（Ｌ２）スイッチ（スイッチングハブ）等のネットワーク接続機器１によって、複数のコンピュータ機器が接続されてネットワークを構成している。
本発明においては、ネットワーク接続機器１のＶＬＡＮ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）機能によって、ポートに接続された複数のコンピュータ機器に対し、第１のネットワークＶＬＡＮ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）１と、第２のウイルスチェック用のネットワークＶＬＡＮ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）２が構成される。ネットワークＶＬＡＮ２には、ウイルス監視用のサーバ２が接続されている。
図２〜図５は、新たにサーバ、ＰＣ等の接続機器（以降、接続機器ＰＣと表記）をネットワークＶＬＡＮ１に接続する場合の態様を示す図であり、図６Ａ，図６Ｂは、第１の実施の形態例として図２〜図５に対応する処理の手順を説明する図である。
図７は、第１の実施の形態例において、ウイルス監視サーバ２、接続装置１及び、接続機器ＰＣの本発明の適用における機能を説明する図である。すなわち、図７Ａに示すウイルス監視サーバ２は、ウイルスチェックサーバ機能２−１、ルーティングテーブル制御機能２−２及びＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）機能２−３を有している。図７Ｂに示す接続装置１は、ＶＬＡＮ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）機能１−１を有している。
さらに、図７Ｃに示す接続機器ＰＣは、ウイルスチェック機能ＰＣ−１及びウイルスチェック結果通知機能ＰＣ−２を有している。なお、この接続機器ＰＣにおけるウイルスチェック機能ＰＣ−１及びウイルスチェック結果通知機能ＰＣ−２は、接続の際、ウイルス監視サーバ２からダウンロードするようにしてもよい。
図６Ａ，図６Ｂに戻り説明すると、ウイルス監視用サーバ２は、接続装置１からＶＬＡＮの設定情報（ポート番号、ＶＬＡＮ名、ＶＬＡＮＩＤ、収容ＩＰアドレス）をｔｅｌｎｅｔ等で収集している（処理工程Ｐ１）。
このときのパケットのフォーマットの一例が図８に示される。ＶＬＡＮの管理テーブル情報を収集するアプリケーションプログラム（ＶＬＡＮＩＮＦ）により、ウイルス監視用サーバ２から接続装置１にＶＬＡＮの管理テーブル情報を要求し（図８ＡのＲＥＱＵＥＳＴパケットを使用）、これに対し、応答パケット（図８ＢのＡＮＳパケットを使用）により接続装置１からウイルス監視用サーバ２に管理テーブル情報が通知される。
このように、接続装置１から得られる接続装置１のＶＬＡＮの設定情報を収集し、ウイルス監視用サーバ２のサーバ管理テーブル（図９Ｂ参照）が更新される（処理工程Ｐ２）。
ここで、接続装置１及びウイルス監視用サーバ２に設定される管理テーブルについて説明する。
図９は、ある時点における接続装置１における管理テーブル（図９Ａ）及びウイルス監視用サーバ２における管理テーブル（図９Ｂ）の一例を示す図である。図９から、接続装置１のポート番号１〜１０には既に１０台のＰＣがされ、ＶＬＡＮ１のネットワークグループを構成している。さらに、ポート番号１１〜１６は、空きポートであることが理解できる。
また、図９Ａ、図９Ｂにおいて、図示省略されているポート番号４〜９はポート１と同じ設定であり、ポート番号１４〜１５はポート番号１１と同じ設定である。
この状態において、新規に空きポートに接続される接続機器ＰＣをＶＬＡＮ１に収容する場合を想定する（図９Ａのポート番号１２を参照）。図２に示すように、新規の接続機器ＰＣが接続装置１の空きポートに挿入される（処理工程Ｐ３、図２：▲１▼）と、接続装置１は、空きポートへのケーブル接続を検出し、接続ポート番号をＵＤＰ（ＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ），ＳＮＭＰ（ＳｉｍｐｌｅＮｅｔｗｏｒｋＭａｎａｇｅｍｅｎｔＰｒｏｔｏｃｏｌ），ＳＮＭＰｖ２ＴｒＰ等のプロトコルによりウイルス監視用サーバ２に通知する（処理工程Ｐ４）。
接続機器ＰＣは、ＤＨＣＰ（ＤｙｎａｍｉｃＨｏｓｔＣｏｎｆｉｇｕｒａｔｉｏｎＰｒｏｔｏｃｏｌ）によりＩＰアドレス要求をブロードキャストする（処理工程Ｐ５）。ウイルス監視用サーバ２は、ＩＰアドレス要求を受けるとＩＰアドレスを振り出し（処理工程Ｐ６、図２：▲２▼）、これにより以降の接続機器ＰＣとウイルス監視用サーバ２との間のコネクションが確立する（処理工程Ｐ７）。
コネクションが確立すると、ウイルス監視用サーバ２からコンピュータウイルスチェックを行うアプリケーションプログラムＶｉｒｕｓＣＨＫにより、ウイルスチェック要求を接続機器ＰＣに送る（処理工程Ｐ８、図２：▲３▼）。したがって、接続機器ＰＣはウイルスチェックを実施し（処理工程Ｐ９、図２：▲４▼）、その結果をウイルス監視用サーバ２に通知する（処理工程Ｐ１０、図３：▲５▼）。
このとき、ウイルス監視用サーバ２からのウイルスチェック要求及び、接続機器ＰＣからのウイルスチェック結果の通知は、実施例として、各々図１０に示すウイルスチェック要求パケット（図１０Ａ：ＶｉｒｕｓＣＨＫフラグをＯＮとする）及び、ウイルスチェック結果通知パケット（図１０Ｂ：ウイルスチェック結果をＯＫまたはＮＧとする）により行われる。また、先に説明したように、接続機器ＰＣにおけるウイルスチェック機能及びウイルスチェック結果通知機能を実現するプログラムは、必要によりウイルス監視サーバ２からダウンロードして供給することが可能である。
次に図６Ｂにおいて、接続機器ＰＣから通知されるウイルスチェック結果に問題ない場合（処理工程Ｐ１１、ＯＫ）は、管理テーブルの更新を接続装置１に要求する（処理工程Ｐ１２、図３：▲６▼）。
これにより、図１１に示すように、接続装置１における管理テーブル（図１１Ａ）、ウイルス監視用サーバ２における管理テーブル（図１１Ｂ）がそれぞれ更新される（処理工程Ｐ１３、Ｐ１４）。図１１Ａ，図１１Ｂにおいて、図示省略されているポート番号４〜９は、ポート番号１と同じ設定であり、ポート番号１４〜１５は、ポート番号１１と同じ設定である。
管理テーブルが更新されると、ＶＬＡＮ１の属するＤＨＣＰサーバ（図４参照）によりＩＰアドレスの割り当てが行われる（処理工程Ｐ１５）。これによりポート６に接続された新たな接続機器ＰＣは、ＶＬＡＮ１のネットワークに収容される（処理工程Ｐ１６）。
一方、図６Ｂにおいて、接続機器ＰＣから通知されるウイルスチェック結果に問題ある場合（処理工程Ｐ１１、ＮＧ）は、接続ポートを検疫（隔離）処理する（処理工程Ｐ１７）。
これに対応して、図１２に示すように、接続装置１における管理テーブル（図１２Ａ）、ウイルス監視用サーバ２における管理テーブル（図１２Ｂ）がそれぞれ更新される（処理工程Ｐ１８、Ｐ１９）。図１２Ａ、図１２Ｂにおいて、図示省略されているポート番号４〜９はポート番号１と同じ設定であり、ポート番号１４〜１５はポート番号１１と同じ設定である。
接続機器ＰＣは、ＶＬＡＮ１、ＶＬＡＮ２のそれぞれと異なるエリアに検疫（隔離）される（処理工程Ｐ２０）。
なお、上記処理工程Ｐ１２、Ｐ１７における管理テーブルの更新要求及び、接続ポートの検疫は、実施例として、図１３のパケットにより行われる。図１３において、ウイルスチェック結果がＯＫである場合、ＶＬＡＮ情報を更新するべくＶＬＡＮＣＨＧフラグをＹｅｓとし、ウイルスチェック結果がＮＧである場合、該当ポートを閉塞するためにＶＬＡＮＣＨＧフラグをＮＯとする。
図１４Ａ，図１４Ｂは、本発明の第２の実施の形態例の処理の手順を説明する図である。図１５は、第２の実施の形態例において、ウイルス監視サーバ２、接続装置１及び、接続機器ＰＣの本発明の適用における機能を説明する図である。
図１５において、図７との比較により明確な通り、第２の実施の形態例は、ルーティングテーブル制御機能を接続装置１に備えるようにした構成である。これにより、図１４Ａ，図１４Ｂに示す処理の手順が、図６Ａ，６Ｂに示す処理の手順と異なってくるが、処理工程Ｐ２〜１１までは、第１の実施の形態例と同様である。
異なる点は、図１４Ａに示す処理工程Ｐ１において、ｔｅｌｎｅｔ等で情報収集する代わりに、ウイルス監視用サーバ２では、ＶＬＡＮの情報を要求（収集）するアプリケーションプログラムによりＶＬＡＮ情報（ポート番号、ＶＬＡＮ名、ＶＬＡＮＩＤ、収容ＩＰアドレス）を接続装置１から収集する（処理工程Ｐ１−１，Ｐ１−２）。
次いで、処理工程Ｐ２〜１１までは、第１の実施の形態例と同様であって、さらに処理工程Ｐ１２以降に処理の内容が異なる。即ち、図１４Ｂに示す処理工程Ｐ１２において、ウイルス監視用サーバ２からＶＬＡＮ管理テーブルの更新を接続装置１に要求する（処理工程Ｐ１２、図３：▲６▼）代わりに、ＶＬＡＮ書換え（ポートの収容ＬＡＮを変更、ポートの閉塞）を行うアプリケーションプログラムにより、図１３のパケットによりＶＬＡＮ変更フラグをＹｅｓ，ポート番号、ＶＬＡＮ名、ＶＬＡＮＩＤ、新収容ＩＰアドレスを通知する（処理工程Ｐ１２）。これにより、接続装置１の持つルーティングテーブル制御機能２−２により、ポート番号、新収容ＩＰアドレス、ＶＬＡＮ名、ＶＬＡＮＩＤで設定の書換えを行い、新規接続機器をＶＬＡＮ１に収容して運用可能とする（処理工程Ｐ１３−１）。
さらに、ウイルスチェック結果がＮＧであった場合も同様に、図１３のパケットによりＶＬＡＮ変更フラグをＮＯ，ポート番号、ＶＬＡＮ名、ＶＬＡＮＩＤ、新収容ＩＰアドレスを通知する（処理工程Ｐ１７）。これにより、接続装置１において検疫へのＶＬＡＮ書換えを行う（処理工程Ｐ１８−１）。
なお、上記において、ＶＬＡＮ１の属する、ネットワーク接続装置１のポートから接続機器ＰＣが離脱される場合は、ネットワーク接続装置１は、当該ポートをＶＬＡＮ２、即ちウイルスチェック用ポートに収容する。

上記に説明した様に、本発明により、ウイルスに感染されたサーバ、クライアント、ＰＣ等の機器が、ネットワークに接続されることによりネットワーク全体にウイルスが広がりを防ぐことが可能であり、コンピュータウイルスに対して強いネットワークの構築が出来る。

Claims

ネットワーク接続装置に複数のポートを備え、ネットワーク構成をＶＬＡＮ(Virtual Local Area Network)機能により、運用ネットワークとウイルスチェック用ネットワークに分離し、
新規の機器を前記複数のポートの空ポートに接続する時に、前記ウイルスチェック用ネットワークにおいてウイルスのチェックを行い、
前記ウイルスチェックにより安全を確認した前記新規の機器の接続されているポートを、前記運用ネットワークへ収容し、
前記ウイルスチェックにより安全を確認できないとき、前記新規の機器の接続されているポートを、前記運用ネットワーク及びウイルスチェック用ネットワークの何れからも隔離し、
前記運用ネットワークに接続されている機器が前記ネットワーク接続装置の対応のポートから外される時は、前記ネットワーク接続装置のＶＬＡＮ機能により前記ポートをウイルスチェック用ネットワークに収容するように変更する、
ことを特徴とするネットワークシステムにおける機器の接続方法。
複数のポートを備え、ネットワーク構成をＶＬＡＮ(Virtual Local Area Network)機能により、前記複数のポートに接続される機器を運用ネットワークとウイルスチェック用ネットワークに分離するネットワーク接続装置と、
前記ウイルスチェック用ネットワークに接続されるウイルスチェック用サーバを有し、
新規に機器が前記ネットワーク接続装置の空きポートに接続される時、前記ウイルスチェック用ネットワークに収容して、ウイルスチェックを行い、
前記ウイルスチェックにより安全を確認した場合に、前記機器の接続されているポートが、前記運用ネットワークに収容され、
前記ウイルスチェックにより安全を確認できないとき、前記新規の機器の接続されているポートは、前記運用ネットワーク及びウイルスチェック用ネットワークの何れからも隔離され、更に、
前記運用ネットワークに接続される機器が対応のポートから外される時は、前記ネットワーク接続装置のＶＬＡＮ機能により前記ポートをウイルスチェック用ネットワークに収容するように変更する、
ことを特徴とするネットワークシステム。
請求項２において、
前記ネットワーク接続装置は、前記複数のポートのそれぞれについての管理テーブルを有し、
前記ウイルスチェックの結果に対応して、前記管理テーブルを更新して、前記新規の機器の接続されるポートを収容するネットワークを更新設定することを特徴とするネットワークシステム。