JP5691607B2 - 接続防止システム、不正接続検知装置、アクセス管理方法、プログラム - Google Patents

Description

本発明は、不正接続検知システムにセキュリティポリシー適用状況を送信するクライアント端末に関し、特に予め設定した期間内にセキュリティ未適のクライアント端末に対して、アクセス制限を適用する接続防止システム、不正接続検知装置、アクセス管理方法、プログラムに関する。

ネットワークに接続されたクライアント端末において、必要なエージェントソフトがインストールされていない、また、設定されたポリシーを満たしていない場合に、ネットワークへのアクセス制限を行う方式がある（例えば、特許文献１）。この方式は、緊急度が低いと想定されるポリシーであればセキュリティ対応が適用されない方式である。
一方、ネットワークに接続されたクライアント端末において、管理端末が、クライアント端末内のエージェントソフトから送信された端末情報から検疫判定を行い、ネットワークへのアクセス制限を行う方式がある（例えば、特許文献２）。この方式は、検疫判定で指摘を受けたもの以外のセキュリティ対応が適用されない方式である。

特開２００７−２５１７７２号公報 特開２００８−０７７５５８号公報

しかしながら、上述した技術の問題点は、緊急度の高いセキュリティポリシーが未適の場合のみ、ネットワークへのアクセス制限を即時適用していたことである。このため、適用をしないセキュリティポリシーが存在するクライアント端末が存在してしまう。 その理由は、緊急度が高くないものに関して、セキュリティ上、危険性が低いとして判断されていたことにある。 そうすると、セキュリティポリシーの緊急度が高くないものに関して、セキュリティポリシーが適用されないままにあり、セキュリティ上問題が生じてしまう。
また、緊急度の高くないセキュリティポリシー未適用のクライアント端末に対して、アクセス制限をする場合には、手動で一台ずつネットワークへのアクセス制限を適用する操作を行う必要があり、繁雑であった。

本発明は、このような事情に鑑みてなされたもので、その目的は、緊急度の低いセキュリティポリシーが未適用のクライアント端末に対しても、ネットワークへのアクセス制限を適用することができる接続防止システム、不正接続検知装置、アクセス管理方法、プログラムを提供することにある。

上述した課題を解決するために、本発明は、クライアント端末と不正接続検知装置とがネットワークを介して接続される接続防止システムであって、前記クライアント端末は、存在通知パケットを予め決められた一定時間毎に前記不正接続検知装置へ前記ネットワークを介して送信する存在通知パケット送信部と、前記不正接続検知装置から送信されるセキュリティポリシーを受信する受信部と、前記受信部がセキュリティポリシーを受信してからの経過時間をカウントし、当該経過時間と前記受信したセキュリティポリシーに含まれるアクセス制限適用時間とを比較する比較部と、前記比較部の比較結果に基づいて、前記経過時間が前記アクセス制限適用時間を越えていなければ、前記セキュリティポリシーを適用した通信を継続し、前記経過時間が前記アクセス制限適用時間を越えている場合には、セキュリティポリシーが適用されていないことを表すセキュリティ未適用通知を前記不正接続検知装置へ送信する制御部と、を有し、前記不正接続検知装置は、前記クライアント端末から存在通知パケットを受信すると、緊急度に応じた前記アクセス制限適用時間を含むセキュリティポリシーを前記クライアント端末へ送信するセキュリティポリシー送信部と、前記クライアント端末から前記セキュリティ未適用通知を受信すると、当該クライアント端末の前記ネットワークに対するアクセスを制限し、当該アクセスを制限した後、前記クライアント端末から存在通知パケットを受信した場合に、前記クライアント端末にセキュリティポリシーを送信し、アクセスの制限を解除するアクセス制限部と、を有することを特徴とする。

上述のクライアント端末における、存在通知パケット送信部、受信部、比較部、制御部は、以下に説明するセキュリティポリシー確認ソフトにて実現される。また、上述のクライアント端末における、セキュリティポリシー送信部、アクセス制限部は、以下に説明する不正接続検知装置にて実現される。

以上説明したように、この発明によれば、クライアント端末から存在通知パケットを受けて、不正接続検知装置からセキュリティポリシーを送信し、一定期間を経過したクライアント端末については、アクセスを制限するようにした。
これにより、緊急度の低いセキュリティポリシーが未適用のクライアント端末に対しても、一定時間を経過した場合には、ネットワークへのアクセス制限を適用することができ、セキュリティを向上させることができる。また、セキュリティポリシーが未適用のクライアント端末に対し、ある一定期間が過ぎた際に、自動的にネットワークへのアクセス制限をすることができるので、繁雑な手間を省くことができる。

この発明の一実施形態による接続防止システムの構成を示す概略ブロック図である。 接続防止システム１００の動作を説明するフローチャートである。

以下、本発明の一実施形態による接続防止システムについて図面を参照して説明する。図１は、この発明の一実施形態による接続防止システムの構成を示す概略ブロック図である。図１において、接続防止システム１００は、クライアント端末１と不正接続検知装置５とがネットワーク１０を介して接続される。このネットワークは、無線であっても有線であってもよく、複数台のクライアント端末１が接続可能である。

この図において、クライアント端末１は、予めセキュリティポリシー確認ソフト２がインストールされているコンピュータ装置である。
クライアント端末１は、コンソールを画面上に表示するコンソール表示部１１を有している。セキュリティポリシー確認ソフト２は、クライアント端末１に予めインストールされ、クライアント端末１によって実行されるソフトウェアである。

セキュリティポリシー確認ソフト２は、予め設定された時間になると、不正接続検知装置５に、自身のクライアント端末１がネットワーク１０に接続されていることを表す存在通知パケットを送信する存在通知パケット送信機能３を有する。この送信は、一定の時間が経過する毎に行われる。この存在通知パケット送信機能３は、複数のクライアント端末のうち自身を識別する端末識別情報を存在通知パケットに含んで送信する。

セキュリティポリシー確認ソフト２は、セキュリティポリシー７が自身のクライアント端末１に適用されているか否かを検出する検出機能を有し、セキュリティポリシー７が適用されていないことを検出した時に、クライアント端末１のコンソール表示部１１の画面上に、アクセス制限を適用する旨のメッセージを表示するメッセージ表示機能４を有する。

セキュリティポリシー確認ソフト２は、セキュリティポリシー７が有するアクセス制限適用時間７１が経過した際に、セキュリティポリシー７が自身のクライアント端末１に適用されているか否かを上記の検出機能によって検出し、セキュリティポリシー７が適用されていない場合に、不正接続検知装置５に対し、自身のクライアント端末１がセキュリティポリシー７が適用されていないことを表すセキュリティ未適用通知を送信するセキュリティ未適用通知機能３１を有する。このセキュリティ未適用通知機能３１は、端末識別情報をセキュリティ未適用通知に含んで送信する。

存在通知パケット送信部３は、定期的に不正接続検知装置５に対し、存在通知パケット３を送信する。

不正接続検知装置５は、各クライアント端末１にインストールされたセキュリティポリシー確認ソフト２が実行されることにより存在通知パケット送信機能３によって送信される存在通知パケット３を受信すると、セキュリティポリシー７を送信する。このセキュリティポリシー７は、ネットワーク１０において適用するセキュリティポリシーを表す情報であり、アクセス制限適用時間７１を含む。このセキュリティポリシー７は、不正接続検知装置５に設けられた記憶部に記憶されている。アクセス制限適用時間７１は、クライアント端末１によってセキュリティポリシー７が受信された後のセキュリティポリシー７が有効なものとして利用できる時間を表す。

不正接続検知装置５は、クライアント端末１からセキュリティ未適用通知を受信すると、クライアント端末１に対してアクセス制限機能６によって、ネットワーク１０へのアクセスを制限する。
不正接続検知装置５は、クライアント端末１からセキュリティ未適用通知を受信すると、当該セキュリティ未適用通知を送信してきたクライアント端末１がネットワーク１０に対してアクセスすることを制限するアクセス制限機能６を有する。アクセス制限機能６は、どのクライアント端末１がセキュリティ未適用通知を送信してきたかについて、セキュリティ未適用通知に含まれる端末識別情報を参照することで識別し、この端末識別情報が設定されたクライアント端末１を対象としてアクセス制限をする。

次に、図１の構成における接続防止システム１００の動作を図２のフローチャートを用いて説明する。
まず、クライアント端末１は、電源が投入されると、セキュリティポリシー確認ソフト２を実行する。セキュリティポリシー確認ソフト２は、実行された後、予め設定された時間になると、存在通知パケット送信機能３をネットワーク１０を介して不正接続検知装置５に送信する（ステップＳ１０）。この送信は、セキュリティポリシー確認ソフト２が起動されている間、一定間隔で行われる。

不正接続検知装置５は、クライアント端末１から存在通知パケットを受信すると、この存在通知パケットに含まれる端末識別情報を読み出し、この端末識別情報が割り当てられているクライアント端末１を送信先とし、セキュリティポリシー７を記憶領域から読み出して送信する（ステップＳ１１）。

クライアント端末１のセキュリティポリシー確認ソフト２は、不正接続検知装置５からセキュリティポリシー７を受信すると、自身のクライアント端末１内の記憶領域に記憶し、カウントを開始し（ステップＳ１２）、セキュリティポリシー７が適用されているか否かを判定する（ステップＳ１３）。ここでは、記憶領域内にセキュリティポリシー７が記憶されている場合に、セキュリティポリシー７が適用されているものと判定する。セキュリティポリシー確認ソフト２は、セキュリティポリシー７が適用されていない場合、コンソール表示部１１にアクセス制限を適用する旨のメッセージを表示し（ステップＳ１４）、セキュリティ未適用通知機能３１によって、セキュリティ未適用通知を不正接続検知装置５へ送信する（ステップＳ１５）。

セキュリティポリシー確認ソフト２は、セキュリティポリシー７が適用されている場合、セキュリティポリシー７に含まれるアクセス制限適用時間７１を読み出し、アクセス制限適用時間７１が０以外であるか否かを判定する（ステップＳ１６）。セキュリティポリシー確認ソフト２は、アクセス制限適用時間７１が０以外でない場合、すなわち、緊急度が最高レベルのものを表す”０”である場合、セキュリティ未適用通知を不正接続検知装置５に送信する（ステップＳ１７）。

一方、セキュリティポリシー確認ソフト２は、アクセス制限適用時間７１が０以外である場合、アクセス制限適用時間７１とステップＳ１２においてカウントを開始したカウント値とを比較し、カウント値が表す時間がアクセス制限適用時間７１で設定されている時間内であるか否かを判定する（ステップＳ１８）。セキュリティポリシー確認ソフト２は、カウント値が表す時間がアクセス制限適用時間７１で設定されている時間内であれば、再度カウント値を読み出してアクセス制限適用時間７１で設定されている時間内であるか否かを判定を行い、カウント値が表す時間がアクセス制限適用時間７１で設定されている時間を経過した場合、新たなセキュリティポリシー７を受信したかを判定する（ステップＳ１９）。ここでは、存在通知パケット送信機能３が、一定間隔で存在通知パケットを不正接続検知装置５に送信するため、これに応じて不正接続検知装置５から新たなセキュリティポリシー７を受信する。セキュリティポリシー確認ソフト２は、この新たなセキュリティポリシー７を受信できていなければ、セキュリティポリシー７が未適用であると判定し、不正接続検知装置５に、セキュリティポリシー７が未適用の旨をセキュリティ未適用通知を送信することで通知する（ステップＳ２０）。

セキュリティポリシー確認ソフト２は、新たなセキュリティポリシー７を受信している場合は、現在適用していたセキュリティポリシー７を無効とし、新たなセキュリティポリシー７を有効にして（適用して）、ステップＳ１６に移行する（ステップＳ２１）。ここでは、セキュリティポリシー確認ソフト２は、新たなセキュリティポリシー７を受信すると、現在のカウント値をリセットし、この新たなセキュリティポリシーを受信した時点からカウントを行い、新たに適用されたセキュリティポリシー７に含まれるアクセス制限適用時間７１と当該新たに適用したセキュリティポリシーを受信してからカウントを行ったカウント値との比較を行う。

一方、不正接続検知装置５は、クライアント端末１からセキュリティ未適用通知を受信すると、アクセス制限機能６によって、セキュリティ未適用通知を送信してきたクライアント端末１に対し、ネットワーク１０上のアクセス制限を適用する（ステップＳ２２）。
これにより、ネットワーク１０のセキュリティを確保できる。アクセス制限を行う場合の一例としては、アクセス制限の対象の端末識別情報（セキュリティ未適用通知に含まれる端末識別情報）を不正接続検知装置５が記憶しておき、この端末識別情報を有するクライアント端末１からアクセスがあった場合には、アクセスを許可しない。なお、存在通知パケットの送信があった場合には、セキュリティポリシー７を送信し、アクセス制限を解除するようにしてもよい。また、不正接続検知装置５が、クライアント端末１のアクセス制限を行うようにしてもよいし、クライアント端末１のセキュリティポリシー確認ソフト２が、セキュリティ未適用通知を送信した後に、それ以降発生するネットワーク１０に対するアクセスを行わないようにクライアント端末１をアクセス制限を行うようにし、新たなセキュリティポリシー７を受信すると、アクセス制限を解除するようにしてもよい。

以上説明した実施形態によれば、緊急度の低いセキュリティポリシーが未適用のクライアント端末に対し、ある一定期間が過ぎたところで、ネットワークへのアクセス制限を自動的に適用することで、セキュリティを向上させることができる。これにより、セキュリティポリシーの未適用のクライアント端末の撲滅を図ることができる。また、セキュリティポリシーの未適用のクライアント端末について、ある一定期間が過ぎたところで自動的にネットワークへのアクセス制限を適用することができるので、操作性が向上する利点もある。

また、既存技術では、セキュリティポリシーの緊急度の高いものへの対応を重視して実施していたが、上述の実施形態では、緊急度の低いものへ適用を提示している。更に、セキュリティポリシーの緊急度に応じてアクセス制限適用時間を適宜変えてセキュリティポリシー７を送信することで、セキュリティポリシーの緊急度に合わせたネットワークへのアクセス制限を幾つも用意できる仕組みを提供することができ、付加価値がつけられる。
例えば、アクセス制限適用時間７１が存在通知パケットの送信間隔よりも長い時間を設定する場合には、クライアント端末１に対し継続的にアクセスを許可することができ、アクセス制限適用時間７１が存在通知パケットの送信間隔よりも短い時間を設定した場合には、セキュリティポリシー７の適用の終了とともに、アクセス制限をする。

また、図１におけるクライアント端末１または不正接続検知装置５の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによりアクセス制限管理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。

また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含むものとする。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。

以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１ クライアント端末
２ セキュリティポリシー確認ソフト
３ 存在通知パケット送信機能
４ メッセージ表示機能
５ 不正接続検知装置
６ アクセス制限機能
７ セキュリティポリシー
１０ ネットワーク
１１ コンソール表示部
７１ アクセス制限適用時間
１００ 接続防止システム

Claims (6)

1. クライアント端末と不正接続検知装置とがネットワークを介して接続される接続防止システムであって、
   前記クライアント端末は、
   存在通知パケットを予め決められた一定時間毎に前記不正接続検知装置へ前記ネットワークを介して送信する存在通知パケット送信部と、
   前記不正接続検知装置から送信されるセキュリティポリシーを受信する受信部と、
   前記受信部がセキュリティポリシーを受信してからの経過時間をカウントし、当該経過時間と前記受信したセキュリティポリシーに含まれるアクセス制限適用時間とを比較する比較部と、
   前記比較部の比較結果に基づいて、前記経過時間が前記アクセス制限適用時間を越えていなければ、前記セキュリティポリシーを適用した通信を継続し、前記経過時間が前記アクセス制限適用時間を越えている場合には、セキュリティポリシーが適用されていないことを表すセキュリティ未適用通知を前記不正接続検知装置へ送信する制御部と、
   を有し、
   前記不正接続検知装置は、
   前記クライアント端末から存在通知パケットを受信すると、緊急度に応じた前記アクセス制限適用時間を含むセキュリティポリシーを前記クライアント端末へ送信するセキュリティポリシー送信部と、
   前記クライアント端末からセキュリティ未適用通知を受信すると、当該クライアント端末の前記ネットワークに対するアクセスを制限するアクセス制限部と、
   を有し、
   前記アクセス制限部は、前記セキュリティ未適用通知を送信してきたクライアント端末に対してアクセスを制限した後、前記クライアント端末から存在通知パケットを受信した場合に、前記クライアント端末にセキュリティポリシーを送信し、アクセスの制限を解除する接続防止システム。
2. 前記制御部は、前記経過時間が前記アクセス制限適用時間を越えている場合には、前記不正接続検知装置から新たなセキュリティポリシーを受信しているか否かを判定し、新たなセキュリティポリシーを受信していなければ、前記セキュリティ未適用通知を送信し、新たなセキュリティポリシーを受信していれば、当該新たなセキュリティポリシーに含まれるアクセス制限適用時間と当該新たなセキュリティポリシーを受信してからの経過時間との比較を前記比較部に行わせる
   ことを特徴とする請求項１に記載の接続防止システム。
3. 前記クライアント端末は、
   前記セキュリティ未適用通知を送信すると、アクセス制限が適用されることを表す情報を表示する表示部を有することを特徴とする請求項１または請求項２に記載の接続防止システム。
4. クライアント端末と不正接続検知装置とがネットワークを介して接続される接続防止システムの前記不正接続検知装置であって、
   前記クライアント端末から存在通知パケットを受信すると、緊急度に応じたアクセス制限適用時間を含むセキュリティポリシーを前記クライアント端末へ送信するセキュリティポリシー送信部と、
   前記クライアント端末から、前記セキュリティポリシーが適用されていないことを表すセキュリティ未適用通知を受信すると、当該クライアント端末の前記ネットワークに対するアクセスを制限するアクセス制限部と、
   を有し、
   前記アクセス制限部は、前記セキュリティ未適用通知を送信してきたクライアント端末に対してアクセスを制限した後、前記クライアント端末から存在通知パケットを受信した場合に、前記クライアント端末にセキュリティポリシーを送信し、アクセスの制限を解除することを特徴とする不正接続検知装置。
5. クライアント端末と不正接続検知装置とがネットワークを介して接続される接続防止システムにおけるアクセス管理方法であって、
   前記クライアント端末の存在通知パケット送信部が、
   存在通知パケットを予め決められた一定時間毎に前記不正接続検知装置へ前記ネットワークを介して送信し、
   前記クライアント端末の受信部が、
   前記不正接続検知装置から送信されるセキュリティポリシーを受信し、
   前記クライアント端末の比較部が、
   前記受信部がセキュリティポリシーを受信してからの経過時間をカウントし、当該経過時間と前記受信したセキュリティポリシーに含まれるアクセス制限適用時間とを比較し、
   前記クライアント端末の制御部が、
   前記比較部の比較結果に基づいて、前記経過時間が前記アクセス制限適用時間を越えていなければ、前記セキュリティポリシーを適用した通信を継続し、前記経過時間が前記アクセス制限適用時間を越えている場合には、セキュリティポリシーが適用されていないことを表すセキュリティ未適用通知を前記不正接続検知装置へ送信し、
   前記不正接続検知装置のセキュリティポリシー送信部が、
   前記クライアント端末から存在通知パケットを受信すると、緊急度に応じた前記アクセス制限適用時間を含むセキュリティポリシーを前記クライアント端末へ送信し、
   前記不正接続検知装置のアクセス制限部が、前記クライアント端末から前記セキュリティ未適用通知を受信すると、当該クライアント端末の前記ネットワークに対するアクセスを制限し、当該アクセスを制限した後、前記クライアント端末から存在通知パケットを受信した場合に、前記クライアント端末にセキュリティポリシーを送信し、アクセスの制限を解除する
   ことを特徴とするアクセス管理方法。
6. クライアント端末と不正接続検知装置とがネットワークを介して接続される接続防止システムの前記不正接続検知装置のコンピュータに、
   前記クライアント端末から存在通知パケットを受信すると、緊急度に応じたアクセス制限適用時間を含むセキュリティポリシーを前記クライアント端末へ送信するセキュリティポリシー送信手段、
   前記クライアント端末から、前記セキュリティポリシーが適用されていないことを表すセキュリティ未適用通知を受信すると、当該クライアント端末の前記ネットワークに対するアクセスを制限し、当該アクセスを制限した後、前記クライアント端末から前記存在通知パケットを受信した場合に、前記クライアント端末にセキュリティポリシーを送信し、アクセスの制限を解除するアクセス制限手段、
   として機能させるためのプログラム。

Images