JP5678751B2 - 検疫ネットワークシステム - Google Patents

Description

この発明は、ネットワークに接続される機器の検疫を行う検疫ネットワークシステムに関する。

近年、コンピュータやネットワークにおけるセキュリティに対する要望はますます高まっている。そこで企業などの内部ネットワークに接続しようとする機器の認証を行い、認証に成功しない機器のネットワークへの接続を許さないＮＡＣ（Network Access Control）技術が用いられている。ＮＡＣ技術の技術標準として、例えば無線ＬＡＮの通信などにおいてポートごとにＩＤを用いて接続しようとする機器の認証を行うためのＩＥＥＥ（Institute of Electrical and Electronics Engineers）８０２．１ｘが策定されている。

さらにＮＡＣ技術によりネットワークに接続しようとする機器の認証を行うだけではなく、当該機器がセキュリティポリシーに準拠しているかを判断し、準拠していない機器は内部ネットワークに接続を許さない検疫ネットワークというセキュリティ技術の導入が広がっている（例えば特許文献１）。その背景は以下のようなものである。

セキュリティ上の問題として、例えばコンピュータウイルスやＯＳ（Operating System）のセキュリティ・ホールを狙った攻撃による情報の改ざん・漏えいがある。このような攻撃に対する対処としてはウイルス対策ソフトウェアのウイルス定義ファイルのバージョンの更新、ＯＳのセキュリティパッチの適用などがある。

しかし、企業など内部ネットワークに接続しようとする機器が多く管理対象が膨大なユーザにおいては、管理者が上記のような対処が適切にとられているかを確認することは困難となっている。そこで、このような対処がとられているということをセキュリティポリシーとして制定し、ネットワークに接続しようとする機器が当該セキュリティポリシーに準拠しているかを判断し、準拠していない機器の接続を拒否する検疫ネットワークの導入が広がっているのである。

検疫ネットワークは以下のような複数の要素からなるセキュリティ技術を用いたネットワークである。
第一に、ネットワークに接続しようとする機器を検査し合格基準を満たさない機器のネットワーク接続を拒否する。
ここで検査とは、機器が接続しようとしているネットワークのセキュリティポリシーに準拠しているか検査することである。すなわち検査対象の情報がセキュリティポリシーの定める合格基準を満たしているか判断することである。例えばウイルス定義ファイルのバージョンが最新のものであるか、ＯＳのセキュリティパッチが適用されているか、などである。

第二に、合格基準を満たさず接続を拒否すべき機器をネットワークから隔離する。例えばルータやスイッチなどに接続を拒否すべき機器を登録し通信を遮断する。
第三に、機器がセキュリティポリシーに準拠しない場合に、準拠するよう治療する。例えばウイルス定義ファイルのバージョンの更新やＯＳのセキュリティパッチを適用する。なお、治療された機器は再び検査を受け、ネットワークへの接続が許可される。

上記の特許文献１には、検疫の対象である機器を検査、隔離、治療する検疫ネットワークのシステムが記載されている。

従来、このような検疫ネットワークが検疫の対象として想定するものはＰＣ（Personal Computer）などの汎用コンピュータであった。そして検疫ネットワークのシステムは画像機器のようなコンピュータを組み込んだ組み込み機器を検疫の対象外として運用されることが多かった。例えば、ＩＥＥＥ８０２．１ｘをＰＣが接続されるポートのみに適用し、プリンタが接続されるポートには適用しない運用が見られた。

しかし、このような運用はネットワークシステムのセキュリティ・ホールを生むことになる。そこでセキュリティの要求の高まりにともない、組み込み機器に対しても例外なく検疫ネットワークの対象とする運用が、特に大企業を中心に増えてきている。組み込み機器のベンダーとしても、このような状況に対応することが必要になっており、例えば画像機器の準拠すべきセキュリティポリシーがＩＥＥＥ２６００として策定されている。

しかし、従来の検疫ネットワークはＰＣなどの汎用コンピュータを対象として想定しているため、そのままでは組み込み機器の検疫が困難であるという問題があった。なぜなら、検疫ネットワークのシステムを提供する者は組み込み機器のセキュリティポリシー準拠の合否を判断することが困難であるため、システム提供者が組み込み機器を検疫する検疫ネットワークを提供するのは困難であったためである。例えばＰＣのＯＳベンダーが検疫ネットワークシステムを提供する場合、検疫の対象がＰＣである場合には、検査項目や検査結果の合否基準を決定できる。しかし、検疫の対象が組み込み機器である場合には、組み込み機器ベンダーが独自の実装を行っているため、検査項目や検査結果の合否基準の決定が困難であった。

また仮に、組み込み機器独自の検査項目や検査結果の合否基準を検疫ネットワークに組み込みセキュリティポリシー準拠の合否を判断しようとすると、検疫ネットワークを構成する各機器に検査項目や検査結果の合否基準を配布、更新することが必要となり検疫ネットワークの運用が煩雑となるという問題があった。

上記の特許文献１に記載された検疫ネットワークのシステムでは検疫の対象として「サーバ」、「クライアント端末」などの汎用コンピュータだけでなく、組み込み機器と考えられる「画像形成装置」が挙げられている。しかし特許文献１記載の検疫ネットワークのシステムでは画像形成装置独自のセキュリティポリシー準拠の合否を判断できるような構成は特段開示されていない。

この発明はこのような背景に鑑みてなされたものであり、汎用コンピュータが準拠すべきセキュリティポリシー以外のセキュリティポリシーを適用する機器も検疫の対象とすることができるような検疫ネットワークのシステムを容易に構築できるようにすることを目的とする。

上記目的を達成するため、この発明による検疫ネットワークシステムは、検疫装置と、組み込み機器である検疫クライアントとをネットワークを介して接続し、セキュリティポリシーごとに準拠の合否を検査するための検査情報を記憶した検査情報モジュールをさらに備えた検疫ネットワークシステムであって、上記検疫装置に、検疫クライアントの認証情報を受信する手段と、受信した認証情報に基づいてその検疫クライアントが準拠すべきセキュリティポリシーを特定する特定手段と、上記特定手段が特定したセキュリティポリシーへの準拠の合否を検査するための検査情報を上記検査情報モジュールに要求する手段とを備え、上記検査情報モジュールに、上記検疫装置から要求された上記検査情報を上記検疫装置に送信する手段を備え、上記検疫装置にさらに、上記特定手段が特定したセキュリティポリシーへの準拠の合否を検査するよう要求する検査要求であって上記検査情報モジュールから受信した上記検査情報を含む検査要求を検疫クライアントに送信する検査要求送信手段を備え、上記検疫クライアントに、上記検疫装置から上記検査要求を受信する受信手段と、上記受信手段が受信した上記検査要求に含まれる上記検査情報に基づいて自らの検査を行う検査手段と、上記検査手段による検査結果を上記検疫装置に送信する検査結果送信手段とを備えている。

また、この発明による別の検疫ネットワークシステムは、検疫装置と、組み込み機器である検疫クライアントとをネットワークを介して接続し、上記検疫クライアントの外部に上記検疫クライアントの検査を行う検査実行モジュールをさらに備えた検疫ネットワークシステムであって、前記検疫装置に、検疫クライアントの認証情報を受信する手段と、受信した認証情報に基づいて当該検疫クライアントが準拠すべきセキュリティポリシーを特定する特定手段と、前記特定手段が特定したセキュリティポリシーへの準拠の合否を検査するよう要求する検査要求を検疫クライアントに送信する検査要求送信手段を備え、前記検疫クライアントに、前記検疫装置から前記検査要求を受信する受信手段と、セキュリティポリシーごとに準拠の合否を検査するための検査情報を記憶可能な記憶手段と、前記受信手段が受信した前記検査要求に基づいて前記記憶手段から前記検査情報を読み出す読出手段と、前記記憶手段から前記読出手段が読み出した前記検査情報に基づいて自らの検査を行う検査手段と、前記検査手段による検査結果を前記検疫装置に送信する検査結果送信手段と、検査対象の情報が上記検査手段で検査が可能か否かを示す検査可否情報を検査対象の情報の項目である検査項目ごとに記憶する手段と、上記受信手段が上記検査装置から検査要求を受信した場合に、上記検査可否情報に基づき上記検査項目ごとに上記検査手段で検査が可能か否か判断する判断手段と、上記判断手段が上記検査手段で検査可能でないと判断した検査項目について、上記検査実行モジュールに検査を指示する指示手段とを備え、上記検査手段は上記判断手段が上記検査手段で検査可能であると判断した検査項目について、検査を行い、上記検査結果送信手段は上記検査手段及び上記検査実行モジュールによる検査結果を上記検疫装置に送信するようにしたものである。

これらのような検疫ネットワークシステムにおいて、上記検疫装置に、検疫クライアントから受信した検査結果に基づき上記検疫クライアントを隔離する手段をさらに備え、上記検疫クライアントに、治療モジュールと通信を行う通信手段と検疫装置に隔離された場合に、上記治療モジュールと通信を行い治療を受ける手段とをさらに備えるようにするとよい。

以上のようなこの発明による検疫ネットワークシステムによれば、汎用コンピュータが準拠すべきセキュリティポリシー以外のセキュリティポリシーを適用する機器も検疫の対象とする検疫ネットワークのシステムを容易に構築することができる。

この発明の実施形態である検疫ネットワークシステムの構成を示す図である。 組み込み機器検査モジュールの内部構成例を示す概念図である。 組み込み機器のハードウェア構成例を示す図である。 検疫サーバが組み込み機器を検疫する場合における検疫ネットワークシステムの処理の一例を示すシーケンス図である。 第１の変形例における検査処理の手順を示すフローチャートである。 検疫サーバが組み込み機器検査モジュールに検査項目を要求する場合における検疫ネットワークシステムの処理を示すシーケンス図である。

以下、この発明を実施するための形態を図面を参照して説明する。
〔実施形態：図１乃至図４〕
図１に、この発明の一実施形態である検疫ネットワークシステムの構成を示す。
図１に示す検疫ネットワークシステムにおいて、検疫ネットワークシステムは、検疫サーバ４０、検疫クライアントおよび隔離デバイス５０を含んで構成される。検疫クライアントは検疫の対象となる機器である。例えば図１におけるＰＣ８０Ａである。検疫クライアントは検疫サーバ４０からの検査要求を受信し、その応答として検査結果を生成し送信することで検査を受ける。また後述のように治療サーバ６０から所定の治療を受ける。

検疫サーバ４０は検疫クライアントから応答を受信し、検疫クライアントがセキュリティポリシーに準拠しているか判断する。準拠していないと判断した場合、検疫サーバ４０はその旨を隔離デバイス５０に通知する。隔離デバイス５０は、例えばルータ、スイッチ、無線ＬＡＮ（ローカルエリアネットワーク）のアクセスポイント、ファイアウォールなどである。通知を受けた隔離デバイス５０は当該検疫クライアントの通信を遮断する。これにより、例えば検疫クライアントであるＰＣ８０Ａは社内ネットワーク９０Ｂへの接続ができなくなる。

検疫ネットワークシステムはさらに治療サーバ６０を含めて構成することができる。治療サーバ６０は検疫クライアントと通信を行い、検疫クライアントの状態をセキュリティポリシーに準拠するよう変更する。治療サーバ６０が検疫クライアントの治療を行う場合には、隔離デバイス５０は治療サーバ６０および治療ネットワーク９０Ｃとの通信は遮断しないよう設定される。治療サーバ６０により治療された検疫クライアントは再び検査を受け、合格基準を満たしていた場合には、ネットワークに接続することが可能となる。

また、図１に示す検疫ネットワークシステムはさらに、検疫クライアントとして組み込み機器１０Ａ、１０Ｂを接続し、これらも検疫の対象とすることができる。そしてこのため、これらの組み込み機器の検査に用いられる組み込み機器検査モジュール２０およびこれらの組み込み機器の治療に用いられる組み込み機器治療モジュール３０を備えている。これらのモジュールは組み込み機器を管理するためのツールとして組み込み機器を提供するベンダーから組み込み機器とともに提供されることが考えられる。

また、組み込み機器検査モジュール２０は、組み込み機器１０Ａ、１０Ｂの検査に必要な検査情報を記憶している。検査情報とは検査に必要な情報であって、例えば、あるセキュリティポリシー準拠の合否を検査するために必要な検査対象の情報の項目（検査項目）、検査対象の情報を取得する方法（関数）、検査対象の情報の合否を判断する合否基準の情報である。
組み込み機器治療モジュール３０は、組み込み機器１０Ａ、１０Ｂの治療に必要な治療情報を記憶している。この治療情報は、例えばウイルス定義ファイルの情報やＯＳのセキュリティパッチの情報である。検査情報と治療情報は検疫に必要な情報である検疫情報の一種である。

さらに、これらのモジュールはスタンドアロンで動作する必要はなく、例えば、インターネットを介して組み込み機器ベンダーのデータベースと通信を行い、検査項目、検査結果の合格基準、ウイルス定義ファイルの情報、ＯＳのセキュリティパッチの情報を受信して動作することが考えられる。

図２は組み込み機器検査モジュール２０の内部構成例を示す図である。
この図に示すように、組み込み機器検査モジュール２０は検査実行モジュール２１と検査情報モジュール２２とを含んで構成されている。
検査実行モジュール２１は、検査対象の情報を取得する方法や検査対象の情報の合否を判断する合否基準を用いて組み込み機器の検査を実行するモジュールである。
検査情報モジュール２２は、あるセキュリティポリシー準拠の合否を検査するために必要な検査項目の要求に対して応答を生成するモジュールである。

図３は、組み込み機器１０のハードウェア構成例を示す図である。
この図に示すように、組み込み機器１０は、ＣＰＵ１１、記憶部１２、通信Ｉ／Ｆ１３、エンジン部１４およびシステムバス１５を備えている。この他に表示部や操作部など組み込み機器の種類に応じた構成要素を追加することができるのはもちろんである。
ＣＰＵ１１は、記憶部１２に記憶されたプログラムを読み出し実行することにより組み込み機器１０の動作を制御し組み込み機器１０の各手段を実現するものである。
記憶部１２は、検査情報など組み込み機器１０の機能に必要なデータを記憶できる装置である。記憶部１２としては、例えば、ＲＡＭなどの半導体記憶装置、ＨＤＤまたは光ディスクなどを用いることができる。

通信Ｉ／Ｆ１３は、組み込み機器１０が通信路を介して他の装置との通信を行うための装置である。通信路は有線無線を問わない。組み込み機器１０が検疫クライアントとして機能する場合には検疫サーバ４０や隔離デバイス５０などと通信Ｉ／Ｆ１３およびネットワーク９０Ａなどを介して通信する。通信Ｉ／Ｆ１３としては例えば、ＬＡＮインターフェース、ＵＳＢインターフェースなどを用いることができる。

エンジン部１４は、外部に対して通信以外の物理的な入出力を行う手段を総称したものであり、例えば組み込み機器１０がレーザプリンタであれば、電子写真方式で画像形成を行うプリントエンジンがこれに該当する。組み込み機器１０がスキャナであれば、画像読み取りを行うスキャナエンジンがこれに該当する。
このようなエンジン部１４の制御に用いるＯＳは、汎用コンピュータのものとは異なる組み込み用途に特化したもの、あるいはカスタマイズされたものとなることが多い。従って、汎用コンピュータのＯＳと同様に内部構造にアクセスすることは期待できない。

また、図３に示した各部はハードウェアとして一体でも複数でもよい。例えば、記憶部１２はＲＡＭを含めた複数の半導体記憶装置とＨＤＤで構成されることがある。またこれらの各部は同一筐体内になくともよい。例えば、ＣＰＵ１１、記憶部１２が同一筐体内にあり、別の筐体内にあるＣＰＵ１１、記憶部１２と通信線を介して接続し組み込み機器１０を構成することもできる。この場合、両筐体内に通信Ｉ／Ｆを設ける。
また、これらの各部の他に当業者が追加できる装置を組み込み機器１０に追加してもよい。例えば液晶ディスプレイなどの表示部やキーボード、タッチパネルなどの操作部である。追加した装置は同一筐体内になくともよいし、同一筐体内に設けることもできる。
ここで、図４に組み込み機器１０の具体的な機能構成の例を示す。

次に、以上の検疫ネットワークシステムにおいて検疫サーバ４０が検疫クライアントである組み込み機器１０Ａを検疫する場合の処理について説明する。
図４は、その検疫及び治療に係る処理の手順の一例を示すシーケンス図である。
図４には、組み込み機器１０Ａが社内サーバ７０に接続する際の処理を例として示している。この場合、まず、組み込み機器１０Ａがネットワーク９０Ａを介して隔離デバイス５０に接続要求を行う（Ｓ１０１）。接続要求を受けた隔離デバイス５０は組み込み機器１０ＡにＩＤ情報を要求する（Ｓ１０２）。

ここでＩＤ情報は検疫クライアントを特定可能なＩＤ情報である。例えば当該検疫クライアントのデジタル証明書などである。一般的には、これらのＩＤ情報が、ある機器をある検疫ネットワークの検疫対象（検疫クライアント）として登録する際に、検疫サーバ４０や隔離デバイス５０などに記憶される。なお、検疫クライアントに記憶させるデジタル証明書を発行する認証局を検疫ネットワークとは独立に設けてもよいが、検疫サーバ４０に認証局の機能をもたせデジタル証明書を発行するよう構成してもよい。

組み込み機器１０Ａが隔離デバイス５０の要求に応じＩＤ情報を送信すると（Ｓ１０３）、それを隔離デバイス５０が受信し、検疫サーバ４０に転送する（Ｓ１０４）。検疫サーバ４０は受信したＩＤ情報に基づき組み込み機器１０Ａが接続を許可された機器であるか認証する（Ｓ１０５）。図４では検疫サーバ４０が認証を行うよう構成しているが、認証を行う認証サーバを検疫サーバ４０と独立に設けてもよい。

認証に成功した場合、検疫サーバ４０は当該組み込み機器１０Ａが準拠すべきセキュリティポリシー、例えばＩＥＥＥ２６００を特定する（Ｓ１０６）。特定が可能なのは、検疫サーバ４０が検疫クライアントのＩＤ情報やそこから導き出せる機種等の情報と、その検疫クライアントが準拠すべきセキュリティポリシーとの対応関係を記憶しているためである。
図示はしないが、ステップＳ１０５で認証に失敗した場合、検疫サーバ４０は組み込み機器１０Ａの接続要求に対する拒絶の応答を送信する。隔離デバイス５０は検疫サーバ４０から拒絶応答を受信し、組み込み機器１０Ａに転送する。

また、ステップＳ１０６でのセキュリティポリシーの特定後、検疫サーバ４０は特定したセキュリティポリシーの情報を含んだ検査要求を送信する（Ｓ１０７）。このとき検疫サーバ４０は特定したセキュリティポリシーが汎用コンピュータの準拠すべきセキュリティポリシーであるか、それ以外の機器が準拠すべきセキュリティポリシーであるかを区別せず検査要求を送信できる。すなわち検疫サーバ４０は汎用コンピュータとそれ以外の機器を区別せず検査することができる。

検査要求を受信した隔離デバイス５０は、検査要求を組み込み機器１０Ａに転送する（Ｓ１０８）。転送された検査要求を受信した組み込み機器１０Ａは、検査処理を行う（Ｓ１０９）。本実施形態において、組み込み機器１０Ａは検査に必要な検査情報を記憶可能な記憶手段を備えており、当該検査情報がその記憶手段に記憶されていれば、その検査情報を用いて検査処理を行う。

例えば、検査項目がＯＳのレジストリ情報であれば、組み込み機器１０Ａはレジストリ情報を取得する関数を用いて情報を取得し、当該情報の合否基準に基づいて合否を示す情報を生成する。この例においては、レジストリ情報を取得する関数や取得した情報の合格基準が検査情報に当たる。組み込み機器１０Ａは、このような検査をすべての検査項目に対して行い、検査項目ごとに合格又は不合格という検査結果を生成する。

そして、検査全体に対する合格又は不合格という検査結果を検査要求に対する応答として隔離デバイス５０へ送信する（Ｓ１１０）。
本実施形態において、組み込み機器１０Ａは、検査情報の一種として、検査項目ごとの検査結果と検査全体に対する検査結果との対応関係を記憶している。例えば、ある検査項目が不合格である場合は、直ちに検査全体を不合格とすることが考えられる。また例えば、ある検査項目は不合格であってもそれ自体では直ちに検査全体を不合格とはせず、別のある検査項目の検査結果が不合格である場合に、検査全体を不合格とすることが考えられる。

隔離デバイス５０は、組み込み機器１０Ａの送信した検査結果を受信し、検疫サーバ４０に転送する（Ｓ１１１）。検疫サーバ４０は受信した検査結果に基づき組み込み機器１０Ａのネットワークへの接続可否を判断する。判断が可能なのは、検疫サーバ４０は検査結果と接続可否の対応関係を記憶しているためである。
接続可否は、すべてのネットワークへの接続を許可または不許可とする場合だけでなく、一部のネットワーク接続のみを許可し他のネットワーク接続を不許可とすることも考えられる。

例えば、検疫サーバ４０が、組み込み機器１０Ａによる社内ネットワーク９０Ｂへの接続を許可しないが、治療ネットワーク９０Ｃへの接続を許可すると判断した場合、検疫サーバ４０は組み込み機器１０Ａに向け隔離を通知する（Ｓ１１２）。隔離通知を受信した隔離デバイス５０は、組み込み機器１０Ａの通信を、治療ネットワーク９０Ｃという限定した範囲のみで許可する（Ｓ１１３）。そして隔離デバイス５０は限定した範囲のみで接続を許可したことを組み込み機器１０Ａに通知する（Ｓ１１４）。

一方、図示しないが、検疫サーバ４０が、組み込み機器１０Ａからのネットワーク接続をすべて許可すると判断した場合、接続許可を通知する。限定のない接続許可通知を受信した隔離デバイス５０は、組み込み機器１０Ａの通信を限定せず許可し、その旨を組み込み機器１０Ａに通知する。この場合、組み込み機器１０Ａは、例えば社内ネットワーク９０Ｂ上の社内サーバ７０へアクセスすることができる。

また、ステップＳ１１４で限定した範囲のみでの接続許可通知を受けた組み込み機器１０Ａは、治療が必要と判断し、接続が許可された治療ネットワーク９０Ｃを介して、組み込み機器治療モジュール３０に対し治療要求を送信する（Ｓ１１５）。
治療要求を受信した組み込み機器治療モジュール３０は、組み込み機器１０Ａに対して治療を行う（Ｓ１１６）。具体的には組み込み機器治療モジュール３０が所定のデータを組み込み機器１０Ａに送信し所定の動作を行わせる。例えば、ウイルス定義ファイルを送信し更新させる、ＯＳのセキュリティパッチを送信し実行させることである。

ここで組み込み機器１０Ａは治療サーバ６０ではなく組み込み機器治療モジュール３０に対して治療要求を送信しているが、治療サーバ６０により治療が可能である場合には、治療サーバ６０に治療要求を送信してよいことはもちろんである。また、組み込み機器１０Ａが自ら治療可能である場合は、治療要求を送信せず自ら治療してもよい。

組み込み機器１０Ａが自ら治療可能であるか、治療サーバ６０により治療可能であるか、組み込み機器治療モジュール３０により治療可能であるか判断可能である場合もあるが、判断不能である場合には優先順位を定めることが考えられる。例えば、組み込み機器１０Ａは、まず自ら治療を試み、治療不能である場合に、治療サーバ６０へ治療要求を送信し、治療サーバ６０から治療不能という応答を受信した場合に、改めて組み込み機器治療モジュール３０へ治療要求を送信することが考えられる。

治療後は、組み込み機器１０Ａは自ら再起動を行い（Ｓ１１７）、再起動後に再びＳ１０１と同様に隔離デバイス５０に対して接続要求を行う（Ｓ１１８）。その後、組み込み機器１０Ａは、再びＩＤ認証（Ｓ１０５）や検査処理（Ｓ１０９）などを受ける。これらの処理において、治療の結果、組み込み機器１０Ａがセキュリティポリシーに準拠していると判断された場合、組み込み機器１０Ａは、例えば社内ネットワーク９０Ｂへの接続を許可される。これによって組み込み機器１０Ａは、例えば社内サーバ７０へアクセスすることができる。

以上説明したような処理を行うことで、検疫サーバ４０は接続しようとする機器ごとに準拠すべきセキュリティポリシーを特定し、当該セキュリティポリシーの情報を含んだ検査要求を送信すれば、その応答として検査結果を受信することができる。よって、検疫サーバ４０は汎用コンピュータ以外の機器が準拠すべきセキュリティポリシー準拠の合否を検査するための検査情報を記憶する必要がない。すなわち、検査の詳細に関する情報を検疫クライアント側に持たせておけば、検疫サーバ４０は、大まかなセキュリティポリシーの把握のみで検疫を行うことができる。

これにより、汎用コンピュータが準拠すべきセキュリティポリシー以外のセキュリティポリシーを適用する機器も検疫の対象にすることができる検疫ネットワークシステムを容易に構築できる。
なお、検疫クライアント側に記憶させる検査情報は、検疫クライアントのメーカーが提供するようにすれば、その内部構造を把握した上で機種毎に検査情報を定めることができるので、検疫サーバ４０の提供者があらゆる機種を想定して検査情報を用意するより負荷が小さいと考えられる。

〔実施形態の第1の変形例：図５〕
次に、上述した実施形態の第１の変形例について説明する。
この変形例は、上述した実施形態と、図４のステップＳ１０９における検査処理の内容が異なる。上述した実施形態における検査処理では、組み込み機器１０Ａが自ら検査処理を行ったが、本変形例では、組み込み機器１０Ａが組み込み機器検査モジュール２０に検査依頼をすることにより検査処理を行う。このような処理は、例えば組み込み機器１０Ａが検疫サーバ４０から受信した検査要求に対応するために必要な検査情報を記憶していない場合に有効である。

図５は、第１の変形例における検査処理の手順を示すフローチャートである。
図５の処理においては、まず組み込み機器１０Ａが検疫サーバ４０から隔離デバイス５０を介して検査要求を受信すると（Ｓ２０１）、当該検査要求に従った検査を行うための検査項目を順次処理対象として、ステップＳ２０２乃至Ｓ２０５の処理を繰り返す。検査要求と共に渡されたセキュリティポリシーに従った検査を行うためにどの検査項目を検査すればよいかの情報は、第１の実施形態の場合と同様、組み込み機器１０Ａが把握しているとする。

そして、繰り返し部分においてはまず、処理対象の検査項目について外部連携が必要か否かを判断する（Ｓ２０２）。当該検査項目について、組み込み機器１０Ａが検査対象の情報を自ら取得して合否を判断することができる場合、外部連携は不要である。例えば、マイクロソフト社のＮＡＰ（Network Access Protection）の枠組みで標準的に決められているＯＳレジストリ情報等が、これに該当すると考えられる。また、組み込み機器１０Ａには、ステップＳ２０２の判断を行うために必要な、検査項目毎の外部連携要否の情報は記憶させておくようにするとよい。あるいは、外部連携不要な検査項目を記憶しておき、それ以外は外部連携要としてもよい。
そして、外部連携が不要であると判断した場合（Ｓ２０２でＮ）、組み込み機器１０Ａは当該検査項目について、検査処理を行う（Ｓ２０５）。これは図４のステップＳ１０９について説明した検査処理と同様である。

当該検査項目について外部連携が必要であると判断した場合（Ｓ２０２でＹ）、組み込み機器１０Ａは当該検査項目について、組み込み機器検査モジュール２０へ検査処理を依頼する（Ｓ２０３）。組み込み機器１０Ａが当該検査項目について検査情報をもっていない場合、例えば検査対象の情報を取得する方法（関数）をもっていない場合、外部連携が必要であると判断し、組み込み機器検査モジュール２０へ当該情報の取得を依頼する。また、例えば組み込み機器１０Ａが検査対象の情報を取得できるが、その合否基準をもっていない場合は、取得した情報を組み込み機器検査モジュール２０へ送信し合格か不合格かの判断を依頼する。

組み込み機器検査モジュール２０の検査処理が終了すると、組み込み機器１０Ａは組み込み機器検査モジュール２０に依頼した検査結果を受信する（Ｓ２０４）。
すべての検査項目について以上の処理が終了すると、組み込み機器１０Ａは検査結果を検疫サーバ４０に向けて送信する（Ｓ２０６）。

ここでは、組み込み機器１０Ａが検査情報として検査対象の情報を取得するための関数や合否基準は記憶していないが準拠すべきセキュリティポリシーの検査項目は記憶している、という場合を説明した。しかし、組み込み機器１０Ａが検査項目自体を記憶していない場合もありうる。その場合には、組み込み機器１０Ａは組み込み機器検査モジュール２０にセキュリティポリシーを送信して対応する検査項目の情報を要求することもできる。要求を受けた組み込み機器検査モジュール２０は検査情報モジュール２２に生成させた検査項目の情報を応答として組み込み機器１０Ａに送信する。

以上説明したような処理を行うことで、組み込み機器１０Ａが検査処理に必要な検査情報を記憶していない場合であっても、組み込み機器検査モジュール２０に検査処理を依頼することで検査を行うことができる。これにより組み込み機器１０Ａに検査情報を配布、更新等する必要がなくなり検疫ネットワークシステムの運用が容易になる。このような効果は、企業など検疫ネットワークに接続される検疫クライアントの数が多い環境でより大きい。

〔実施形態の第２の変形例：図６〕
次に、上述した実施形態の第２の変形例について説明する。
図６は、第２の変形例における検疫及び治療に係る処理の手順の一例を示す、図４と対応するシーケンス図である。なお、この変形例は、上述した実施形態と、図４のシーケンスにおける検疫サーバ４０の動作が主に異なる。そこで、この相違点を中心に、図４の処理と対比しながら説明する。

まず、図６のステップＳ３０１乃至Ｓ３０５の処理は、図４のステップＳ１０１乃至Ｓ１０５の処理と同様である。
その後、図４に示した検疫ネットワークシステムの処理においては、検疫サーバ４０は組み込み機器１０Ａの準拠すべきセキュリティポリシーを特定し（Ｓ１０６）、特定したセキュリティポリシーの情報を含んだ検査要求を組み込み機器１０Ａに送信していた（Ｓ１０７）。
一方、図６の処理では、検疫サーバ４０は組み込み機器１０Ａの準拠すべきセキュリティポリシーを特定し（Ｓ３０６）、それが汎用コンピュータ以外の機器の準拠すべきセキュリティポリシーであった場合に、当該セキュリティポリシー準拠の合否を検査するために必要な検査情報を含んだ検査要求を組み込み機器１０Ａに送信する（Ｓ３０９）。

このような処理を行うために、検疫サーバ４０は組み込み機器１０ＡのＩＤ情報を受信し（Ｓ３０４）、受信したＩＤ情報に基づき当該組み込み機器１０Ａが準拠すべきセキュリティポリシーを特定する（Ｓ３０６）。そして、検疫サーバ４０は当該セキュリティポリシーが汎用コンピュータの準拠すべきセキュリティポリシーであるか、それ以外のセキュリティポリシーであるかを判断する。判断が可能なのは、検疫サーバ４０が当該セキュリティポリシーが汎用コンピュータの準拠すべきセキュリティポリシーであるか、それ以外のセキュリティポリシーであるか記憶しているためである。

検疫サーバ４０が、汎用コンピュータの準拠すべきセキュリティポリシー以外のセキュリティポリシーであると判断した場合には、組み込み機器検査モジュール２０に、そのセキュリティポリシーに従った検査のために検査を行うために必要な検査情報を要求し（Ｓ３０７）、検査情報モジュール２２は、要求に応じて必要な検査情報を応答として返す（Ｓ３０８）。

そして、検疫サーバ４０は、ステップＳ３０８で受け取った検査情報を含んだ検査要求を組み込み機器１０Ａに向けて送信する（Ｓ３０９）。検査要求は隔離デバイス５０に受信され、組み込み機器１０Ａに転送される（Ｓ３１０）。検査要求を受信した組み込み機器１０Ａは、検査要求と共に受信した検査情報に基づき検査処理を行う（Ｓ３１１）。個々の検査情報と対応する検査の処理は、上述した実施形態と同様に行えばよい。
それ以降のステップＳ３１２乃至Ｓ３２０は、図４に示したステップＳ１１０乃至Ｓ１１８の処理と同様である。

以上説明したような処理を行うことで、検査情報を含んだ検査要求を組み込み機器１０Ａに送信できる。これにより検疫サーバ４０は組み込み機器１０Ａを検査することができ、検疫ネットワークは組み込み機器１０Ａを検疫の対象とすることができる。この場合において、検疫サーバ４０および組み込み機器１０Ａに汎用コンピュータ以外の機器が準拠すべきセキュリティポリシー準拠の合否を検査するための検査情報を記憶させる必要はなく、機器検査モジュール２０のみがこの検査情報を保持していればよい。

よって、汎用コンピュータが準拠すべきセキュリティポリシー以外のセキュリティポリシーを適用する機器も検疫の対象とすることができるような検疫ネットワークシステムを容易に構築できる。さらに、組み込み機器検査モジュール２０に検査情報を記憶させておくことで、検疫サーバ４０および組み込み機器１０Ａに検査情報を配布、更新等する必要がなくなる。これにより検疫ネットワークのシステム全体をより容易に運用できる。このような効果は、企業など検疫ネットワークに接続される検疫クライアントの数が多い環境でより大きい。

また、本第２の変形例における検査処理（Ｓ３１１）を図５に示した第１の変形例と組み合わせることも可能である。第２の変形例と第１の変形例との組み合わせは、例えば、組み込み機器１０Ａがすべての必要な検査情報を検疫サーバ４０の検査要求に含めて受信できる場合であっても、検査処理が行えない場合に有効である。例えば、検査対象の情報を取得する方法（関数）の情報はあるが、当該関数が組み込み機器１０Ａに備えられていない場合である。このような場合でも、図５に示したように組み込み機器１０Ａが組み込み機器検査モジュール２０に依頼することで検査処理を行うことができる。

また、図４に示した検疫ネットワークシステムの処理と本変形例を組み合わせ、検疫ネットワークのユーザがどちらの処理を行うか設定可能と構成することもできる。これによりユーザの環境に応じた検疫ネットワークシステムの構築、運用が可能となる。例えばユーザ環境において、内部ネットワークに接続しようとする機器の数が少ないうちは、各検疫クライアントに検査情報を記憶させるように構成し、図４に示した処理を行わせる。その後、機器の数が増加した場合に、組み込み機器検査モジュール２０を設け、検査情報を記憶させるように構成し、本変形例の処理を行わせるといった検疫ネットワークシステムの構築、運用が考えられる。

以上で実施形態及び変形例の説明を終了するが、この発明において、各部の具体的な構成や処理の内容は、ここまでに説明したものに限るものではない。
例えば、検査実行モジュール２１と検査情報モジュール２２を物理的に独立したものとして構成してもよい。また検疫サーバ４０、隔離デバイス５０、治療サーバ６０、組み込み機器検査モジュール２０、組み込み機器治療モジュール３０は物理的に独立して構成しても、物理的に一体として構成してもよい。さらに、これらをソフトウェアとして構成してもよい。

例えば、組み込み機器検査モジュール２０と組み込み機器治療モジュール３０を一体として組み込み機器検疫モジュールとして構成してもよい。同様に、検疫サーバ４０と治療サーバ６０を一体化し検疫サーバとして構成してもよい。
この場合、組み込み機器検疫モジュールに汎用コンピュータ以外の組み込み機器の検疫情報を記憶させておけば、検疫サーバ４０や検疫クライアントへの検疫情報の配布、更新等が不要となる。これにより検疫ネットワークのシステム全体をより容易に運用できる。

また、組み込み機器１０を制御するコンピュータに、以上説明してきたような処理を実行させるためのプログラムは、予め記憶部１２に記憶させておいてもよいし、通信Ｉ／Ｆ１３を介して接続した記憶装置（例えば半導体記憶装置、光ディスク）に記憶させておきコンピュータが読みだして実行してもよい。当該記憶装置は通信Ｉ／Ｆ１３および通信回線を介して接続したものでもよい。例えば当該記憶装置がプログラムを組み込み機器１０にダウンロードさせるためのコンピュータであってもよい。

また、以上説明してきた実施形態及び変形例の構成は、相互に矛盾しない限り任意に組み合わせて実施可能であることはもちろんである。

以上説明してきたように、この発明による検疫ネットワークシステムによれば、汎用コンピュータが準拠すべきセキュリティポリシー以外のセキュリティポリシーを適用する機器も検疫の対象とする検疫ネットワークのシステムを容易に構築することができる。
従って、この発明を適用することにより、ＰＣ、サーバなどの汎用コンピュータだけでなく携帯電話、ＰＤＡ（Personal Digital Assistant）、ＭＦＰ（Multifunction
Peripheral）、プリンタ、スキャナその他の画像機器、ＩＰ電話機やＴＶ、ゲーム機その他のデジタル家電などコンピュータ組み込み機器を検疫クライアントとして検疫の対象とする検疫ネットワークのシステムを、容易に構築できるようになる。

１０：組み込機器 １１：ＣＰＵ １２：記憶部
１３：通信Ｉ／Ｆ １４：エンジン部 １５：システムバス
２０：組み込み機器検査モジュール ２１：検査実行モジュール
２２：検査情報モジュール ３０：組み込み機器治療モジュール
４０：検疫サーバ ５０：隔離デバイス
６０：治療サーバ ７０：社内サーバ ８０：ＰＣ
９０Ａ：ネットワーク ９０Ｂ：社内ネットワーク ９０Ｃ：治療ネットワーク

特開２００６−２５２４７１号公報

Claims (3)

1. 検疫装置と、組み込み機器である検疫クライアントとをネットワークを介して接続し、セキュリティポリシーごとに準拠の合否を検査するための検査情報を記憶した検査情報モジュールをさらに備えた検疫ネットワークシステムであって、
   前記検疫装置に、
   検疫クライアントの認証情報を受信する手段と、
   受信した認証情報に基づいて当該検疫クライアントが準拠すべきセキュリティポリシーを特定する特定手段と、
   前記特定手段が特定したセキュリティポリシーへの準拠の合否を検査するための検査情報を前記検査情報モジュールに要求する手段とを備え、
   前記検査情報モジュールに、
   前記検疫装置から要求された前記検査情報を前記検疫装置に送信する手段を備え、
   前記検疫装置にさらに、
   前記特定手段が特定したセキュリティポリシーへの準拠の合否を検査するよう要求する検査要求であって前記検査情報モジュールから受信した前記検査情報を含む検査要求を検疫クライアントに送信する検査要求送信手段を備え、
   前記検疫クライアントに、
   前記検疫装置から前記検査要求を受信する受信手段と、
   前記受信手段が受信した前記検査要求に含まれる前記検査情報に基づいて自らの検査を行う検査手段と、
   前記検査手段による検査結果を前記検疫装置に送信する検査結果送信手段とを備えた検疫ネットワークシステム。
2. 検疫装置と、組み込み機器である検疫クライアントとをネットワークを介して接続し、前記検疫クライアントの外部に前記検疫クライアントの検査を行う検査実行モジュールをさらに備えた検疫ネットワークシステムであって、
   前記検疫装置に、
   検疫クライアントの認証情報を受信する手段と、
   受信した認証情報に基づいて当該検疫クライアントが準拠すべきセキュリティポリシーを特定する特定手段と、
   前記特定手段が特定したセキュリティポリシーへの準拠の合否を検査するよう要求する検査要求を検疫クライアントに送信する検査要求送信手段を備え、
   前記検疫クライアントに、
   前記検疫装置から前記検査要求を受信する受信手段と、
   セキュリティポリシーごとに準拠の合否を検査するための検査情報を記憶可能な記憶手段と、
   前記受信手段が受信した前記検査要求に基づいて前記記憶手段から前記検査情報を読み出す読出手段と、
   前記記憶手段から前記読出手段が読み出した前記検査情報に基づいて自らの検査を行う検査手段と、
   前記検査手段による検査結果を前記検疫装置に送信する検査結果送信手段と、
   検査対象の情報が前記検査手段で検査が可能か否かを示す検査可否情報を検査対象の情報の項目である検査項目ごとに記憶する手段と、
   前記受信手段が前記検疫装置から検査要求を受信した場合に、前記検査可否情報に基づき前記検査項目ごとに前記検査手段で検査が可能か否か判断する判断手段と、
   前記判断手段が前記検査手段で検査可能でないと判断した検査項目について、前記検査実行モジュールに検査を指示する指示手段とを備え、
   前記検査手段は前記判断手段が前記検査手段で検査可能であると判断した検査項目について、検査を行い、前記検査結果送信手段は前記検査手段及び前記検査実行モジュールによる検査結果を前記検疫装置に送信することを特徴とする検疫ネットワークシステム。
3. 請求項１又は２に記載の検疫ネットワークシステムであって、
   前記検疫装置に、
   検疫クライアントから受信した検査結果に基づき前記検疫クライアントを隔離する手段をさらに備え、
   前記検疫クライアントに、
   治療モジュールと通信を行う通信手段と
   検疫装置に隔離された場合に、前記治療モジュールと通信を行い治療を受ける手段とをさらに備えたことを特徴とする検疫ネットワークシステム。

Images