JP5671639B2 - 検疫ネットワークシステム - Google Patents

Description

本発明は、検疫ネットワークシステムに関する。

この種の検疫ネットワークシステムは、ネットワーク内に設置された各種の端末に対して検疫を行い、ネットワークのセキュリティを向上しようとするものである。

例えば従来、ネットワークに新たなユーザ端末を接続しようとする場合、そのユーザ端末のウイルス対策状況を確認した上で接続制限を解除する第１の先行技術が知られている（特許文献１参照）。この先行技術では、あるユーザ端末からネットワークへの接続要求がなされると、そのウイルス対策状況をウイルス対策用端末で確認し、ウイルス対策がなされていれば接続制限を解除してネットワークへの接続を許可する。一方、未だウイルス対策が施されていなければ、そのユーザ端末が接続可能なネットワークの範囲を制限する。

また企業内ネットワーク内の各種端末に対して、予め規定されたセキュリティポリシーに従って情報システムの設定を行う第２の先行技術が知られている（特許文献２参照）。第２の先行技術では、予めクライアント端末や管理者端末から取得した利用者属性情報や管理用の情報に対応するセキュリティポリシーが規定されており、このセキュリティポリシーに基づいてクライアント端末に対する検疫を行ったり、アクセス制御を行ったりしている。

特開２００５−２１６２５３号公報 特開２００６−１８４９３６号公報

しかし、上述した第１の先行技術は、接続要求を送ってきたユーザ端末に対して一律に検疫を行っているだけであり、ユーザ端末から送られてくる情報に基づいて個別のセキュリティポリシー（どのような検疫項目を適用するか）を設定したり、利用者管理装置で管理されている情報に基づいて個々にセキュリティポリシーを設定したりするといった運用をすることはできない。また、検疫装置を機能させるためには、その前提として認証機能を有したネットワーク構成機器が必要となるため、それだけネットワーク自体の構成が限られてしまう。

これに対して第２の先行技術では、クライアント端末から送られる情報や利用者管理装置で管理されている情報に基づいてセキュリティポリシーを規定しているため、クライアント端末ごとのセキュリティ状態の変化に対応した柔軟なウイルス対策を施すことができると考えられる。

しかし、第２の先行技術には、ネットワーク内の構成によって、セキュリティポリシーに基づいた設定を実行することができないという問題がある。一般的に、ネットワークを安定的に運用するために、クライアント端末に対して接続可能なネットワークの制限と適切なセキュリティポリシーの適用とが相互に連携することが求められており、このような場合は、クライアント端末が接続されているスイッチの認証機能の有無によって制限の有無が異なる。ところが、第２の先行技術の手法では、検疫対象となるクライアント端末がどのようなスイッチに接続されているかを検疫装置で把握することができないため、認証機能付きのスイッチと認証機能付きでないスイッチのそれぞれに接続されたクライアント端末に対して、個別にセキュリティポリシーを適用することができない。したがって第２の先行技術の手法では、ネットワーク内に認証機能付きのスイッチと認証機能付きでないスイッチを共存させた状態での運用は困難である。

そこで本発明は、セキュリティレベルやネットワークの接続制限を考慮した柔軟なセキュリティ環境を構築する技術の提供を課題とする。

上記の課題を解決するため、本発明の一態様によれば、ネットワークに接続されるクライアント端末に対して検疫を行う検疫装置を備える検疫ネットワークシステムであって、検疫装置は、予め規定された複数のセキュリティポリシーグループごとに、それぞれ固有のセキュリティポリシーと、検疫の実行項目及び認証の有無の態様を規定した固有のシミュレーションモードとを対応付けて登録したグループポリシー情報と、グループポリシー情報で登録されたセキュリティポリシーグループごとのセキュリティポリシーとは別に、ネットワーク内での基本となるセキュリティポリシー及びシミュレーションモードをそれぞれ規定した基本ポリシー情報と、個々のクライアント端末の識別情報に、いずれかのセキュリティポリシーグループを対応付けて登録した資産台帳情報とを有しており、検疫の実行に際して、検疫対象となるクライアント端末の識別情報が資産台帳情報に登録されている場合、その識別情報に対応付けられたセキュリティポリシーグループに固有のセキュリティポリシーを適用して検疫を行い、かつ、そのセキュリティポリシーグループに固有のシミュレーションモードに従って検疫対象となるクライアント端末の認証を行うか否かを決定する一方、検疫対象となるクライアント端末の識別情報が資産台帳情報に登録されていない場合、基本となるセキュリティポリシーを適用して検疫を行い、かつ、基本となるシミュレーションモードに従って検疫対象となるクライアント端末の認証を行うか否かを決定する検疫ネットワークシステムが提供される。

本発明の検疫ネットワークシステムによれば、セキュリティレベルやネットワークの接続制限を考慮した柔軟なセキュリティ環境を構築することができる。

本実施形態における検疫ネットワークシステムの構成を概略的に示す図である。 検疫装置の機能的な構成を概略的に示すブロック図である。 セキュリティポリシーの内容を概略的に示す表である。 資産台帳設定部で記憶された資産台帳を示す表である。 セキュリティポリシーグループ設定部で設定されたグループポリシーを概略的に示す表である。 セキュリティポリシーグループ設定部で設定されたネットワークポリシーを概略的に示す表である。 検疫装置及びスイッチングハブにより実施される検疫及び認証の各処理を示すシーケンス図である。 検疫装置により、クライアント端末に対して適用するセキュリティポリシーを決定する処理を示すフローチャートである。

以下、本発明の実施形態について図面を参照しながら説明する。

図１は、本実施形態における検疫ネットワークシステムの構成を概略的に示す図である。例えば、図１に示す検疫ネットワークシステムは、企業内ネットワークにおいて適用される。

検疫ネットワークシステムは、例えば基幹となるネットワーク１を有しており、このネットワーク１内には検疫装置１０をはじめ、認証装置２０や監視装置２１、ログ管理装置２２等が配置されている。またネットワーク１内には、例えばユーザからのアクセス対象となるサーバ２８（ファイルサーバ、アプリケーションサーバ、データサーバ等）が配置されている。

またネットワーク１内には、その周辺部分としてのセグメント１Ｘ，１Ｙが存在する。このうち１つのセグメント１Ｘは、例えば認証機能を有していないスイッチングハブ３０を介して基幹となるネットワーク１に接続されており、もう１つのセグメント１Ｙは、認証機能を有したスイッチングハブ４０を介して接続されている。また、セグメント１Ｘ内には複数のクライアント端末８，５２，５４等が配置されており、セグメント１Ｙ内にも複数のクライアント端末６２，６４，７２，７４等（参照符号は例示）が配置されている。

検疫装置１０は、上記のクライアント端末８，５２〜７４等に対して検疫を実行する。また、クライアント端末８，５２〜７４等の認証が必要な場合、検疫装置１０はスイッチングハブ４０（認証機能有り）に対してこれらの認証を実行させる。

検疫装置１０には、ネットワーク１内（セグメント１Ｘ，１Ｙを含む）で共通に用いられる基本的なセキュリティポリシーとしての基本ポリシー１０ａが規定されている。また、検疫装置１０では、ネットワーク１に接続されたクライアント端末５２〜７４等を複数のグループに分け、各グループ単位でセキュリティポリシーを設定したり、あるいは、クライアント端末５２〜７４等をネットワークの範囲別に分け、各ネットワーク単位でセキュリティポリシーを設定したりすることができる。これら小単位ごとのセキュリティポリシーは、例えばそれぞれグループポリシー１０ｂ、ネットワークポリシー１０ｃとして規定されている。また、その他に検疫装置１０には、クライアント端末５２〜７４等を個別に識別するための識別情報が資産台帳１０ｄ（資産台帳情報）として記憶されている。

なお検疫装置１０は、単一の装置であってもよいし、複数台の装置により構成されていてもよい。このとき、例えば、複数の装置間では相互に負荷分散を行いつつ、クライアント端末８，５２〜７４等に対して検疫を実行してもよい。

スイッチングハブ３０，４０は、例えばＯＳＩ（Ｏｐｅｎ Ｓｙｓｔｅｍｓ Ｉｎｔｅｒｃｏｎｎｅｃｔｉｏｎ）参照モデルのレイヤ２及びレイヤ３等のデータ転送機能を備えた中継装置である。スイッチングハブ３０，４０は、検疫装置１０やクライアント端末８，５２〜７４等、認証装置２０、監視装置２１、ログ管理装置２２、サーバ２８等から送信されたデータを宛先の装置や端末へ中継したり、他のネットワークへ中継したりする。

また本実施形態において、スイッチングハブ４０は、接続先のクライアント端末６２〜７４等に対して、例えばＷｅｂ認証方式やＩＥＥＥ（Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｅｌｅｃｔｒｉｃａｌ ａｎｄ Ｅｌｅｃｔｒｏｎｉｃｓ Ｅｎｇｉｎｅｅｒｓ）８０２．１ｘの通信規格に準拠した認証方式、ＲＡＤＩＵＳ（Ｒｅｍｏｔｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｄｉａｌ Ｉｎ Ｕｓｅｒ Ｓｅｒｖｉｃｅ）プロトコルに基づく認証方式等の、各種の認証方式を用いて認証を行う機能を備えている。

また、スイッチングハブ４０は、認証結果に応じてクライアント端末６２〜７４等が接続可能なネットワークの範囲を制限する機能を備える。例えば、スイッチングハブ４０は、クライアント端末６２〜７４等が接続されたポートに対してＶＬＡＮ（Ｖｅｒｔｕａｌ ＬＡＮ）を動的に設定することでネットワークの範囲を制限している。スイッチングハブ４０は、認証に成功するまでは限定的な範囲にのみアクセス可能なＶＬＡＮを設定し、認証に成功するとネットワーク１全体へアクセス可能なＶＬＡＮに設定する。なお、認証前後でＶＬＡＮは同じであってもよい。一方、スイッチングハブ３０は上記の認証を行う機能を備えておらず、接続先のクライアント端末８，５２，５４等に対して認証を行わないものとする。

クライアント端末８，５２〜７４等は、例えばノート型のＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、デスクトップ型のＰＣ、携帯端末等の端末であり、所定のＯＳがインストールされているものであればよい。クライアント端末８，５２〜７４等は、これらを利用するユーザの操作によってスイッチングハブ３０，４０を介してサーバ２８にアクセスしたり、ユーザの作業を受け付けたりする。

また本実施形態では、クライアント端末８を除く他のクライアント端末５２〜７４等を複数のグループに分けて規定している。例えば、クライアント端末５２，５４等は、「グループＭ（図中符号５０）」として規定されており、クライアント端末６２，６４等は、「グループＮ（図中符号６０）」として規定されており、さらにクライアント端末７２，７４等は、「グループＬ（図中符号７０）」として規定されている。一方、クライアント端末８は、いずれのグループにも所属していない。このようなグループ分けは、例えばネットワーク１の管理者が予め事業所内の部門別、フロア別、ユーザ職種別等によって任意に設定することができる。

いずれにしても、検疫装置１０は、各グループに対応するポリシーを規定したグループポリシーを設定したり、ネットワーク１内で共通に適用される基本ポリシーを設定したりすることができる。また検疫装置１０は、ネットワークの範囲ごとに上記のグループポリシーを適用したネットワークポリシーを設定することができる。クライアント端末５２〜７４等に対しては、上記のポリシーに基づいて検疫装置１０による検疫が行われる。

認証装置２０は、上記の認証方式によりクライアント端末に入力されたアカウントを認証するためのサーバである。認証装置２０には、例えば、ユーザＩＤやパスワード、クライアント端末に関する情報やクライアント端末に規定されたＭＡＣ（Ｍｅｄｅｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス等、認証に必要な認証情報が予め登録されている。

認証装置２０は、スイッチングハブ４０を介してクライアント端末６２から認証情報を受信すると、これと予め登録された認証情報とを相互に照合し、認証結果をクライアント端末６２へ送信する。このとき、スイッチングハブ４０は、認証結果に応じてクライアント端末６２を上記のネットワーク１全体へアクセス可能なＶＬＡＮに設定したり、接続を遮断したりする。なお認証装置２０は、検疫装置１０と同様に、単一の装置であっても複数台の装置により構成されていてもよい。あるいは、スイッチングハブ４０に認証用のサーバとしての機能が実装されている場合、認証装置２０を用いずにスイッチングハブ４０によってクライアント端末６２〜７４等の認証を行ってもよい。

監視装置２１は、ネットワーク１に配置された検疫装置１０、スイッチングハブ３０，４０、クライアント端末８，５２〜７４等、認証装置２０、ログ管理装置２２、及びサーバ２８の通信状態や通信障害の有無を監視しており、いずれかの装置に障害が発生した場合には、図示しない管理用端末へこれを通知したり、管理用端末からの要求に応じて通信状態を通知したりする。なお管理用端末は、ネットワーク１を管理する機器である。

ログ管理装置２２は、検疫装置１０、スイッチングハブ３０，４０、クライアント端末８，５２〜７４等、認証装置２０、監視装置２１、及びサーバ２８で処理されたデータを保存するためのサーバ機器である。例えば、検疫装置１０で実行された検疫に関するデータや、これに実装されたシステム情報等を保存する。

サーバ２８は、ユーザによる作業の対象として、ネットワーク１内で複数のユーザによる作業の対象として共用される一般的なサーバ機器である。例えば、クライアント端末７４を利用するユーザは、予め、スイッチングハブ４０による認証が成功しなければサーバ２８へアクセスすることができない。

図２は、検疫装置１０の機能的な構成を概略的に示すブロック図である。検疫装置１０は、上述したクライアント端末８，５２〜７４に実装されたソフトウェアの検疫を実行したり、スイッチングハブ４０に対してクライアント端末の認証を実行させたりする他にも、ネットワーク１に配置された様々な装置に対してデータのログを送信したり、障害情報を通知したりする。以下、これらの機能的な構成について説明する。

検疫装置１０は、システム設定部１００、カスタマイズ設定部１０５、認証スイッチ情報設定部１１０、セキュリティポリシーグループ設定部１２０、資産台帳設定部１３０、ＯＳごとのセキュリティポリシーグループ設定部１４０、セキュリティポリシー検疫部１５０、ハードウェア障害検知部１６０、ログ格納部１７０、クライアントプログラム格納部１８０、及びセキュリティポリシー情報管理データベース３００を備える。

システム設定部１００は、検疫装置１０に対するネットワーク情報を設定する。具体的には、検疫装置１０を管理する作業者や管理者がシステム設定部１００にアクセスし、ＩＰアドレスや、ＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）、プロキシ等の設定、ホスト名の登録、ＮＴＰ（Ｎｅｔｗｏｒｋ Ｔｉｍｅ Ｐｒｏｔｏｃｏｌ）を用いた時刻情報の設定等を行う。また、ＵＰＳ（Ｕｎｉｎｔｅｒｒｕｐｔｉｂｌｅ Ｐｏｗｅｒ Ｓｕｐｐｌｙ）の設定を行うことができる。

なお、システム設定部１００では、検疫装置１０に備えられたシステムの設定に従って様々な処理を行ってもよい。例えば、セキュリティポリシー情報管理データベース３００に記録されたデータに対するバックアップ処理や、障害時の復旧処置（リストア）を行うことが好ましい。また、データのバックアップ処理に関しては、さらに、図示しない外部の記憶媒体やＮＡＳ（Ｎｅｔｗｏｒｋ Ａｔｔａｃｈｅｄ Ｓｔｏｒａｇｅ）等を利用して定期的なバックアップ処理を行ってもよい。一方、復旧処置に関しては、バックアップされたデータの中からリストアに必要な最適なデータを自動で取得して行ってもよい。

カスタマイズ設定部１０５は、クライアント端末８，５２〜７４等のディスプレイに映し出される表示形式の設定や変更を行う。具体的には、検疫項目に示された内容を満たしていない場合にクライアント端末８，５２〜７４等に対して通知する警告メッセージの表示形式を設定したり変更したりする。その他にも、メッセージ情報や、操作ボタン、アプリケーションを示すロゴ、著作権情報、言語表示等、クライアント端末８，５２〜７４等のディスプレイに映し出される表示形式の設定や変更を行う。

認証スイッチ情報設定部１１０は、スイッチングハブ４０に対してクライアント端末６２〜７４等を認証させる際に用いられる情報を設定する。具体的には、スイッチングハブ４０の名称（ホスト名）や、認証用ページの所在を示すＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｓｅ Ｌｏｃａｔｏｒ）、認証の成功時又は失敗時にスイッチングハブ４０からクライアント端末６２〜７４等へ通知する応答メッセージ等の情報を設定する。

資産台帳設定部１３０は、クライアント端末８，５２〜７４等を個別に識別するための識別情報を記憶する。また、記憶した識別情報の中から複数の識別情報を共通のグループに分けて規定したグループ情報を記憶する。具体的には、資産台帳設定部１３０は、識別情報としてクライアント端末５２，５４，６２，６４，７２，７４に設定されたＩＰアドレスやＭＡＣアドレスを記憶し、グループ情報として図１に示すグループＭ，Ｎ，Ｌを記憶する。また、識別情報とグループ情報は相互に対応付けて記憶され、例えば、クライアント端末５２，５４等を示す識別情報は、グループＭと対応付けて記憶される。

セキュリティポリシーグループ設定部１２０では、上述した基本ポリシー１０ａ、グループポリシー１０ｂ、及びネットワークポリシー１０ｃの設定を行う。それぞれのセキュリティポリシーには、クライアント端末８，５２〜７４等に対して行う検疫の実行項目及び、クライアント端末８，５２〜７４等に対する認証の有無を示すシミュレーションモードが規定されている。基本ポリシー１０ａ、グループポリシー１０ｂ、及びネットワークポリシー１０ｃは、ネットワーク１を管理する管理者や作業者によってクライアント端末８，５２〜７４等に対するセキュリティレベルが考慮された上で設定される。

基本ポリシー１０ａは、ネットワーク１内で共通に用いられるセキュリティポリシーであり、このセキュリティポリシーを基本としてグループポリシー１０ｂ及びネットワークポリシー１０ｃが設定される。また、グループポリシー１０ｂは、資産台帳設定部１３０に記憶されたグループＭ，Ｎ，Ｌごとに検疫の実行項目及びシミュレーションモードが規定されたセキュリティポリシーである。

ネットワークポリシー１０ｃは、クライアント端末８，５２〜７４等が所属するネットワークの範囲とグループポリシーとを対応付けて規定したセキュリティポリシーである。具体的には、ネットワーク１内でクライアント端末８，５２〜７４等に設定（割り当て）可能なＩＰアドレスの範囲が複数に区切られており、それぞれの範囲を示す情報と各グループポリシーとが対応付けられている。

ＯＳごとのセキュリティポリシーグループ設定部１４０は、クライアント端末８，５２〜７４等にインストールされたＯＳの種類ごとにセキュリティポリシーを設定する。具体的には、基本ポリシー１０ａやグループポリシー１０ｂに規定される検疫の実行項目をＯＳごとに規定する。これにより、例えば、共通のグループポリシー１０ｂに基づいて検疫を行うクライアント端末５２，５４等にそれぞれ異なる種類のＯＳがインストールされている場合であっても、各ＯＳの特徴やバージョン情報に応じて柔軟に検疫を実行することができる。

セキュリティポリシー検疫部１５０は、資産台帳設定部１３０に記憶された識別情報に基づいて適用すべきセキュリティポリシーを決定し、クライアント端末８，５２〜７４等に対して検疫を実行する。

ハードウェア障害検知部１６０は、検疫装置１０に実装されたハードウェアに障害が発生した場合にこれを検知する。より具体的には検疫装置１０内のハードディスクドライブや、電圧、ファームウェア等を監視対象とし、これらの異常や故障を検知する。

また、ハードウェア障害検知部１６０は障害を検知すると、図１に示す監視装置２１及びログ管理装置２２に対して障害の発生を通知する。障害の発生を通知する手法としては、例えばＳｙｓｌｏｇや、ＳＮＭＰ（Ｓｉｎｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）、メール等を用いて通知することが好ましい。なお、ハードウェア障害検知部１６０にて検疫装置１０の稼動情報を収集させてもよい。稼動情報を収集することで、例えば、管理者や作業者が検疫装置１０の障害状況を確認することができる。

ログ格納部１７０は、セキュリティポリシー検疫部１５０で実行された検疫の実行内容や実行時刻などの検疫情報を記憶したり、上記のハードウェア障害検知部１６０で収集した稼動情報を記憶したりする。なお、ログ格納部１７０から図１に示すログ管理装置２２に対して、記憶した情報を通知してもよい。このとき、例えば、Ｓｙｓｌｏｇや、ＳＮＭＰ（Ｓｉｎｐｌｅ Ｎｅｔｗｏｒｋ Ｍａｎａｇｅｍｅｎｔ Ｐｒｏｔｏｃｏｌ）、メール等を用いて通知することが好ましい。

クライアントプログラム格納部１８０は、セキュリティ状態を検査するためのプログラムを格納している。このプログラムは、検疫又は認証が行われる前に予めクライアント端末８，５２〜７４等に実装される。各クライアント端末８，５２〜７４等では、上記のプログラムに従ってセキュリティ状態が検査されると、検査の結果を検疫装置１０へ通知する。

なお、上記のプログラムは、Ｗｅｂアプリケーション形式であっても、その他各クライアント端末８，５２〜７４等で実行可能なプログラムファイル形式であってもよい。また、クライアント端末８，５２〜７４等にプログラムを実装させる手法としては、検疫装置１０からインストールするエージェント型であっても、インストールが不要なエージェントレス型であってもよい。さらに、Ｗｅｂアプリケーション形式の場合、認証機能を備えたスイッチングハブ４０により、接続先のクライアント端末６２〜７４等を自動的にクライアントプログラム格納部１８０へ誘導（リダイレクト）させてもよい。

セキュリティポリシー情報管理データベース３００は、上記のシステム設定部１００、カスタマイズ設定部１０５、認証スイッチ情報設定部１１０、資産台帳設定部１３０、セキュリティポリシーグループ設定部１２０、ＯＳごとのセキュリティポリシーグループ設定部１４０、セキュリティポリシー検疫部１５０、ハードウェア障害検知部１６０、ログ格納部１７０、クライアントプログラム格納部１８０で設定（記憶）された情報が格納されており、これらが処理を実行する際に、読み出されたり、更新されたりする。

図３は、セキュリティポリシーの内容を概略的に示す表である。この表は、例えば、検疫装置１０に接続された管理者用の端末のディスプレイに表示され、管理者の操作によりセキュリティポリシーが作成される。

図３に示す表は、大きく上３段と下１段とに分かれて構成されている。このうち、上部に示されている大きめの３段は、例えばＯＳの種類ごとに適用される検疫の実行項目を示している。また、下部に示されている小さめの１段は、認証を行うか否かの態様を規定したシミュレーションモードを示している。以下、より詳細に説明する。

図３の表中、上３段に示されている左端の列はＯＳの種別を示しており、ここでは例えば「ＯＳ１」〜「ＯＳ３」が昇順に示されている。また左から２列目には、「検疫項目（実行項目）」がＯＳごとに示されており、各ＯＳ１〜ＯＳ３に対応する検疫の実行項目が示されている。また、左から３列目には「実行内容」の欄がＯＳごとに示されており、ここには「検疫項目」に対する実行内容が表されている。右端の列に示された「編集」の欄は、ＯＳごとに「検疫項目」及び「実行内容」の欄に現された実行項目及び実行内容の編集が可能なことを示している。例えば、管理者がディスプレイ上に示された「編集」を選択することで、検疫の実行項目や実行内容を編集することができる。

ここで、検疫装置１０が検疫を行うことができる項目（「検疫項目」）には、例えば以下のものが含まれる。
（１）ＯＳの許可状態の確認
（２）ＯＳのパッチ適用状態の確認
（３）ウイルス対策ソフトのインストール有無と適用すべきデータバージョン
（４）ＯＳが管理しているセキュリティ状態を確認
（５）ファイアウォールの適用状態
（６）インストールが許可されていないソフトウェアの存在確認（物理ファイルを検索する方法、レジストリ等のＯＳ管理領域を検索する方法）
（７）インストールしなければならないソフトウェアの存在確認（物理ファイルを検索する方法、レジストリ等のＯＳ管理領域を検索する方法）
（８）省エネモード設定状態の確認
（９）スクリーンセーバーパスワード設定状態の確認
（１０）ＯＳのパスワード設定状態
（１１）資産台帳（１０ｄ）に登録されたクライアント端末であるかの確認
シミュレーションモードを示す表には、検疫及び認証に対する実行の有無の態様が右側の列に示されている。ここでは、一例として、「なし（通常動作）」、「シミュレーション（検疫結果にかかわらず検疫ＯＫ）」、及び「シミュレーション（スイッチ認証なし）」の各項目が示されている。「なし（通常動作）」は、例えばネットワーク１へ接続されたクライアント端末に対して検疫及び認証の両方を実行する場合を示している。また、「シミュレーション（検疫結果にかかわらず検疫ＯＫ）」は、認証結果がＮＧであっても認証を実行する場合を示している。また、「シミュレーション（スイッチ認証なし）」は、検疫のみを実行する場合を示している。シミュレーションモードは、例えば、管理者がディスプレイに表示された上記の項目の中から１つを選択することができる。また、ここで検疫項目ごとにシミュレーションモードを設定できるようにしてもよい。

このように、図３中に示すセキュリティポリシーは、基本ポリシー１０ａ及びグループポリシー１０ｂに対してそれぞれ「検疫の実行項目」及び「シミュレーションモード」を設定することができる。これにより、認証機能を備えていないスイッチングハブ３０がネットワーク内に配置されていても、認証機能を備えたスイッチングハブ４０に対して検疫装置１０は、シミュレーションモードに基づいて認証を実行させることができる。また、セキュリティレベルに応じて、認証機能を備えたスイッチングハブ４０であってもクライアント端末の認証を行わずにクライアント端末をネットワーク１に接続させることができる。

図４は、資産台帳設定部１３０で記憶された資産台帳１０ｄを示す表である。資産台帳１０ｄには、クライアント端末８，５２〜７４等を個別に識別するための識別情報及びグループ情報が相互に対応付けて登録されている。本実施形態では、識別情報として「資産ＩＤ」、「資産名」、「ＩＰアドレス」、「ＭＡＣアドレス」、及び「コンピュータ名」が示されており、グループ情報として、「セキュリティポリシーグループ名」が示されている。

図４中の左端列の「資産ＩＤ」の欄には、情報資産として資産台帳１０ｄに登録されたクライアント端末に割り振る番号が示されている。ここでは、クライアント端末ごとの通し番号が「１」から示されている。

左から２列目の「資産名」の欄には、各クライアント端末８，５２〜７４等に対して規定された名称が示されている。なお、図４中には一例として「クライアント端末５２」、「クライアント端末６２」等を資産名として示している。

左から３列目及び４列目には、それぞれ「ＩＰアドレス」及び「ＭＡＣアドレス」の欄が示されており、クライアント端末８，５２〜７４等に対して設定されたＩＰアドレス及びＭＡＣアドレスが資産名と対応して表されている。また、左から５列目の「コンピュータ名」の欄には、各クライアント端末８，５２〜７４等に規定されたホスト名が示されている。

右端列の「セキュリティポリシーグループ名」には、複数のクライアント端末を共通のグループとして規定したグループ名が示されている。例えば、クライアント端末５２は、グループＭに所属しており、クライアント端末６２は、グループＮに所属している。また、各グループ情報は、セキュリティポリシーグループ設定部１２０で設定されたグループポリシーにそれぞれ対応している。

図５は、セキュリティポリシーグループ設定部１２０で設定されたグループポリシー１０ｂを概略的に示す表である。グループポリシー１０ｂは、資産台帳１０ｄに規定されたグループ情報ごとにセキュリティポリシーが規定されている。

図５中に示す表には、「グループＩＤ」、「セキュリティポリシーグループ名」、「セキュリティポリシー」、「シミュレーションモード」の欄が示されている。

左端列の「グループＩＤ」の欄には、隣の列に示す各セキュリティポリシーグループ名に対する識別番号が昇順に示されている。

左から３列目の「セキュリティポリシー」の欄には、各セキュリティポリシーグループ名に対して適用されるセキュリティポリシーを示す情報が示されている。ここでは、グループＭに所属するクライアント端末に対して、「グループＭ用のセキュリティポリシー」を適用する旨が示されているが、例えば、それぞれのセキュリティポリシーを示す識別番号が示されていてもよい。

右端列の「シミュレーションモード」の欄には、上記のセキュリティポリシーに規定されたシミュレーションモードが示されている。例えば、グループＭに所属するクライアント端末には、検疫のみを実施し、クライアント端末の認証は実施しない。また、グループＮに所属するクライアント端末には、検疫及び認証が実施される。このとき、認証に関しては、クライアント端末のセキュリティ状態を問わず実施される。最後のグループＬに所属するクライアント端末も同様に、検疫及び認証が実施される。但し、認証に関しては、クライアント端末がセキュリティ（検疫の実行項目）を満たしている場合のみ実施される。

図６は、セキュリティポリシーグループ設定部１２０で設定されたネットワークポリシー１０ｃを概略的に示す表である。グループポリシー１０ｂでは、クライアント端末５２〜７４を３つのグループＭ，Ｎ，Ｌに分け、これらグループごとに固有のセキュリティポリシーが規定されているが、ネットワークポリシー１０ｃでは、ＩＰアドレスの範囲ごとに固有のセキュリティポリシーが規定されている。

図６中に示す表には、「グループＩＤ」、「ネットワーク名」、「ＩＰアドレス範囲」、及び「セキュリティポリシーグループ名」の欄が示されている。

左端列の「グループＩＤ」の欄には、隣の欄に示す「ネットワーク名」に対応する識別番号が昇順に示されている。また、「ネットワーク名」の欄には、ネットワークの範囲ごとにこれを識別するための名称が示されている。

左から３列目の「ＩＰアドレス範囲」の欄には、ネットワークの範囲を示すＩＰアドレスが示されており、例えば、ＩＰ＿５０からＩＰ＿５９までの１０個のＩＰアドレスのうち、いずれかのＩＰアドレスが設定されたクライアント端末は、ネットワーク名の欄に示す「ネットワーク１」に所属する。

右端列の「セキュリティポリシーグループ名」の欄には、上記のグループポリシーに対応するグループ名が示されている。従って、ネットワーク１に所属するクライアント端末には、「グループＭ」に対して規定されたセキュリティポリシーが実施される。

なお、図６中に示すＩＰアドレス範囲は、例えば図１中に示すセグメント１Ｘ，１Ｙのようにネットワーク１を複数のセグメントに分けたネットワークセグメント（ネットワーク空間）によって示してもよい。このネットワークセグメントは、例えばサブネットマスクを用いてネットワーク１を複数のサブネットワークに分割し、各サブネットワークに所属するクライアント端末に設定可能なＩＰアドレスの範囲を示したものであってもよい。

図７は、検疫装置１０及びスイッチングハブ４０により実施される検疫及び認証の各処理を示すシーケンス図である。また、図８は、検疫装置１０により、クライアント端末８，５２〜７４に対して適用するセキュリティポリシーを決定する処理を示すフローチャートである。なお、図７では、クライアント端末８，５２，７２を用いて、基本ポリシー１０ａ、グループポリシー１０ｂ、及びネットワークポリシー１０ｃが適用される場合の検疫及び認証の各処理について説明する。
〔セキュリティ状態の検査〕
ステップＳ１０：クライアント端末８は、例えば電源投入や再起動、Ｗｅｂ画面からのダウンロードをトリガ（シーケンスステップとしては図示せず）として、検疫装置１０のクライアントプログラム格納部１８０からセキュリティ状態を検査するためのプログラムを取得する。また、クライアント端末５２，７２も同様に、例えば電源投入や再起動、Ｗｅｂ画面からのダウンロードをトリガとして上記のプログラムを取得する（ステップＳ１２、ステップＳ１４）。

ステップＳ１６：クライアント端末８は、プログラムに従ってセキュリティ状態の検査を実行し、検査結果やクライアント端末８の識別情報等を含むイベントリ情報を検疫装置１０へアップロードする。また、クライアント端末５２，７２も同様に、プログラムに従って実行し、イベントリ情報をそれぞれ検疫装置１０へアップロードする（ステップＳ１８、ステップＳ２０）。
〔セキュリティポリシーの適用〕
ステップＳ２２：検疫装置１０は、アップロードされたイベントリ情報に基づいて、各クライアント端末８，５２，７２に対して適用するべきセキュリティポリシーを個別に決定する。以下、図８に示すフローチャートに沿ってセキュリティポリシーを個別に決定する処理（ステップＳ２２の内容）について説明する。
〔図８：セキュリティポリシー決定処理のフローチャート参照〕
ステップＳ２２０：検疫装置１０は、上記のようにクライアント端末８，５２，７２から送られてきたイベントリ情報を受信（取得）する。

ステップＳ２２２：そして検疫装置１０は、受信したイベントリ情報に含まれる識別情報がセキュリティグループと対応しているか否かを判断する。すなわち検疫装置１０は、資産台帳設定部１３０に記憶された識別情報の中からイベントリ情報に含まれる識別情報を特定し、特定した識別情報がいずれかのグループ情報に対応付けられて登録されている場合（Ｙｅｓ）、グループポリシーを適用して（ステップＳ２２４）、クライアント端末に対する検疫を実行する。

例えば、クライアント端末５２の識別情報は、図４中に示す資産台帳１０ｄに登録されており、かつ、いずれかのセキュリティグループ（ここではグループＭ）に対応している。従って検疫装置１０は、クライアント端末５２に対して「グループＭ」に固有のグループポリシーを適用する。

これに対し、特定した識別情報がいずれかのグループ情報に対応付けられて登録されていない場合（ステップＳ２２２：Ｎｏ）、次のステップＳ２２６へ進む。

ステップＳ２２６：検疫装置１０は、上記の識別情報が図６に示すネットワークポリシーに登録されているか否かを判断する。具体的には、上記の識別情報としてクライアント端末に設定されたＩＰアドレスに基づいて、いずれかのネットワーク１〜３のＩＰアドレス範囲やネットワークセグメント（ネットワーク空間）内に含まれている否かを判断する。

クライアント端末のＩＰアドレスがＩＰアドレス範囲やネットワークセグメント内に含まれている場合（Ｙｅｓ）、このクライアント端末に対してネットワークポリシーを適用し（ステップＳ２２８）、この処理を終了する。一方、クライアント端末のＩＰアドレスがＩＰアドレス範囲に含まれていない場合（Ｎｏ）、検疫装置１０は、このクライアント端末に対して、基本ポリシーを適用し（ステップＳ２３０）、この処理を終了する。

例えば、クライアント端末７２に設定されたＩＰアドレスが図６に示す「ＩＰ＿７０」であり、クライアント端末８に設定されたＩＰアドレスが図６には示されていない「ＩＰ＿８」である場合、クライアント端末７２のＩＰアドレスは、「ネットワーク３」に示すＩＰアドレス範囲に所属しているため（ステップＳ２２６：Ｙｅｓ）、ネットワークポリシーが適用される。

一方、クライアント端末８のＩＰアドレスはいずれのＩＰアドレス範囲に所属していないため（ステップＳ２２６：Ｎｏ）、基本ポリシーが適用される。
〔検疫処理〕
上記のフローに沿って各クライアント端末８，５２，７２に対して適用されるセキュリティポリシーが決定すると、次に、検疫装置１０は、図７中に示す以下の検疫処理を実行する。
〔図７：シーケンス中の各ステップＳ２２以降を参照〕
ステップＳ２４：検疫装置１０は、クライアント端末８に対して基本ポリシー１０ａを適用して検疫を行う。また、検疫装置１０は、クライアント端末５２，７２に対して、それぞれグループポリシー１０ｂ及びネットワークポリシー１０ｃを適用して検疫を行う（ステップＳ２６，ステップＳ２８）。このとき、グループＭに所属するクライアント端末５２に適用されるグループポリシー１０ｂは、そのシミュレーションモードにおいて「検疫のみ実施」と示されており、スイッチングハブ４０による認証は行われない（図５参照）。一方、クライアント端末７２に適用されるネットワークポリシー１０ｃは、グループＬに対応するセキュリティポリシーであるため、検疫及び認証の両方が実施される。
〔認証処理〕
ステップＳ３０：スイッチングハブ４０は、接続先のクライアント端末７２に対して、認証用ＩＤを要求する。なお、ステップＳ３０のスイッチングハブ４０から認証用ＩＤの要求が無くても良く、クライアントソフトから認証用ＩＤを送信しても構わない。

ステップＳ３２：クライアント端末７２は、要求された認証用ＩＤをスイッチングハブ４０へ応答する。

ステップＳ３４：スイッチングハブ４０は、取得した認証用ＩＤを認証装置２０へ通知する。

ステップＳ３６：認証装置２０は、通知された認証用ＩＤに基づいて認証を実施し、認証結果をスイッチングハブ４０を介してクライアント端末７２へ通知する。なお、認証が失敗した場合、スイッチングハブ４０は、クライアント端末７２の接続を遮断する。一方、認証が成功した場合、スイッチングハブ４０は、クライアント端末７２に対するネットワークの制限を解除する。

このように、本発明の検疫ネットワークシステムによれば、クライアント端末８，５２〜７４等に対し、これらを様々なセキュリティポリシーを適用して検疫を行うことができるとともに、これに連動してネットワークの接続制限を行うことができる。このため、セキュリティレベルやネットワークの接続制限を考慮した柔軟なセキュリティ環境を提供することができる。

１０ 検疫装置
３０，４０ スイッチングハブ
８，５２，５４，６２，６４，７２，７４ クライアント端末
１１０ 認証スイッチ情報設定部
１２０ セキュリティポリシーグループ設定部
１３０ 資産台帳設定部
１４０ ＯＳごとのセキュリティポリシーグループ設定部
１５０ セキュリティポリシー検疫部

Claims (4)

1. ネットワークに接続されるクライアント端末に対して検疫を行う検疫装置を備える検疫ネットワークシステムであって、
   前記検疫装置は、
   予め規定された複数のセキュリティポリシーグループごとに、それぞれ固有のセキュリティポリシーと、検疫の実行項目及び認証の有無の態様を規定した固有のシミュレーションモードとを対応付けて登録したグループポリシー情報と、
   前記グループポリシー情報で登録されたセキュリティポリシーグループごとのセキュリティポリシーとは別に、前記ネットワーク内での基本となるセキュリティポリシー及びシミュレーションモードをそれぞれ規定した基本ポリシー情報と、
   個々のクライアント端末の識別情報に、いずれかのセキュリティポリシーグループを対応付けて登録した資産台帳情報とを有しており、
   検疫の実行に際して、検疫対象となるクライアント端末の識別情報が前記資産台帳情報に登録されている場合、その識別情報に対応付けられたセキュリティポリシーグループに固有のセキュリティポリシーを適用して検疫を行い、かつ、そのセキュリティポリシーグループに固有のシミュレーションモードに従って検疫対象となるクライアント端末の認証を行うか否かを決定する一方、
   検疫対象となるクライアント端末の識別情報が前記資産台帳情報に登録されていない場合、前記基本となるセキュリティポリシーを適用して検疫を行い、かつ、前記基本となるシミュレーションモードに従って検疫対象となるクライアント端末の認証を行うか否かを決定することを特徴とする検疫ネットワークシステム。
2. 請求項１に記載の検疫ネットワークシステムにおいて、
   前記検疫装置は、
   前記クライアント端末が所属するネットワークの範囲といずれかのセキュリティポリシーグループとを対応付けて登録したネットワークポリシー情報をさらに有しており、
   検疫の実行に際して、検疫対象となるクライアント端末が所属するネットワークが前記ネットワークポリシー情報に登録されている場合、前記検疫対象となるクライアント端末が所属するネットワークに対応付けられたセキュリティポリシーグループに固有のセキュリティポリシーを適用して検疫を行い、かつ、そのセキュリティポリシーグループに固有のシミュレーションモードに従って検疫対象となるクライアント端末の認証を行うか否かを決定することを特徴とする検疫ネットワークシステム。
3. 請求項１又は２に記載の検疫ネットワークシステムにおいて、
   前記検疫装置は、
   ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）の種類と検疫の実行項目とを対応付けて登録したＯＳごとのセキュリティポリシーグループ情報をさらに有しており、
   検疫の実行に際して、検疫対象となるクライアント端末に実装されたＯＳの種類に応じて、前記ＯＳごとのセキュリティポリシーグループ情報で対応付けられた検疫の実行項目を適用して検疫を行うことを特徴とする検疫ネットワークシステム。
4. 請求項２に記載の検疫ネットワークシステムにおいて、
   前記クライアント端末が所属するネットワークの範囲は、前記クライアント端末に設定可能なＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスの範囲である、
   検疫ネットワークシステム。