JP5943006B2 - 通信システム、制御装置、通信方法およびプログラム - Google Patents

Description

（関連出願についての記載）
本発明は、日本国特許出願：特願２０１１−１１５１０４号（２０１１年５月２３日出願）の優先権主張に基づくものであり、同出願の全記載内容は引用をもって本書に組み込み記載されているものとする。
本発明は、通信システム、通信装置、検疫方法およびプログラムに関し、特に、転送ノードを制御することによりアクセス制御を行う通信システム、制御装置、通信方法およびプログラムに関する。

昨今、社内ネットワークに対して検疫システムを導入する企業が多い。検疫システムとは、社内ネットワークに接続しようとするコンピュータを一旦検査用のネットワークに接続させて、コンピュータ・ウイルスの感染検査やコンピュータ内にインストールされているソフトウェアのセキュリティ検査などを行い、問題がないことを確認した後に社内ネットワークへの接続を許可する仕組みである。検疫システムを構築する際、ユーザ認証装置や端末認証装置と組み合わせて、それらの認証の成否に応じて、コンピュータを社内ネットワーク、および検査用ネットワークに接続させる方法が一般的である。また、社内ネットワークと検査用ネットワークの識別には、ＶＬＡＮ（Ｖｉｒｔｕａｌ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）を用いることが多い。ＶＬＡＮとは、ネットワークの物理構成に依存しない論理的なネットワークを構築するための技術である。

特許文献１には、コンピュータがネットワークに接続しようとする際、そのコンピュータの資産情報を収集し、ネットワークへの接続に対するポリシを満たすか否かを検査した後、ポリシを満たすコンピュータのみをネットワークへ接続することを許可するネットワーク接続制御システムが開示されている。

また、特許文献２には、許可されたインバウンドメッセージ（認証されたメッセージ転送ノードの１つ以上によって送信されたインバウンドメッセージ）だけを登録された企業ネットワークに送信するように構成された処理ノードと、企業ネットワークと関係する複数のメッセージ転送ノードの登録を維持するように構成された管理ノードとを備え、複数の登録された企業ネットワークを含むプライベートネットワーク内部のシステムが開示されている。

また、近年、オープンフロー（ＯｐｅｎＦｌｏｗ）という技術が提案されている（特許文献３、非特許文献１、２参照）。オープンフローは、通信をエンドツーエンドのフローとして捉え、フロー単位で経路制御、障害回復、負荷分散、最適化を行うものである。非特許文献２に仕様化されているオープンフロースイッチは、制御装置と位置付けられるオープンフローコントローラとの通信用のセキュアチャネルを備え、オープンフローコントローラから適宜追加または書き換え指示されるフローテーブルに従って動作する。フローテーブルには、フロー毎に、パケットヘッダと照合するマッチングルール（ヘッダフィールド）と、フロー統計情報（Ｃｏｕｎｔｅｒｓ）と、処理内容を定義したアクション（Ａｃｔｉｏｎｓ）と、の組が定義される（図１６参照）。

例えば、オープンフロースイッチは、パケットを受信すると、フローテーブルから、受信パケットのヘッダ情報に適合するマッチングルール（図１６のヘッダフィールド参照）を持つエントリを検索する。検索の結果、受信パケットに適合するエントリが見つかった場合、オープンフロースイッチは、フロー統計情報（カウンタ）を更新するとともに、受信パケットに対して、当該エントリのアクションフィールドに記述された処理内容（指定ポートからのパケット送信、フラッディング、廃棄等）を実施する。一方、前記検索の結果、受信パケットに適合するエントリが見つからなかった場合、オープンフロースイッチは、セキュアチャネルを介して、オープンフローコントローラに対して受信パケットを転送し、受信パケットの送信元・送信先に基づいたパケットの経路の決定を依頼し、これを実現するフローエントリを受け取ってフローテーブルを更新する。このように、オープンフロースイッチは、フローテーブルに格納されたエントリを処理規則として用いてパケット転送を行っている。

特開２００５−３４６１８３号公報 特表２００９−５１５４２６号公報 国際公開第２００８／０９５０１０号公報

Ｎｉｃｋ ＭｃＫｅｏｗｎほか７名、"ＯｐｅｎＦｌｏｗ： Ｅｎａｂｌｉｎｇ Ｉｎｎｏｖａｔｉｏｎ ｉｎ Ｃａｍｐｕｓ Ｎｅｔｗｏｒｋｓ"、［ｏｎｌｉｎｅ］、［平成２３（２０１１）年５月１６日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｗｐ−ｌａｔｅｓｔ．ｐｄｆ〉 "ＯｐｅｎＦｌｏｗ Ｓｗｉｔｃｈ Ｓｐｅｃｉｆｉｃａｔｉｏｎ" Ｖｅｒｓｉｏｎ １．０．０． （Ｗｉｒｅ Ｐｒｏｔｏｃｏｌ ０ｘ０１） ［平成２３（２０１１）年５月１６日検索］、インターネット〈ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｏｐｅｎｆｌｏｗｓｗｉｔｃｈ．ｏｒｇ／ｄｏｃｕｍｅｎｔｓ／ｏｐｅｎｆｌｏｗ−ｓｐｅｃ−ｖ１．０．０．ｐｄｆ〉

しかしながら、特許文献１のネットワーク接続制御システムでは、そのコンピュータを使用するユーザは、そのコンピュータの資産情報の検査が完了するまで、ネットワークへ一切接続することができず、または、一旦、ネットワーク接続条件を満たしていないと判定された場合、遮断状態が維持されてしまうという問題がある。また、特許文献２のシステムも、ユーザ毎のポリシに記述されたフィルターポリシに基づいて電子メール等のメッセージをフィルタリング等を行うものに過ぎず、検疫の結果等に基づいてアクセス制限を行う仕組みは開示されていない。

また、特許文献３、非特許文献１、２にも、検疫処理を行うことや、その結果に基づいて、あるフローを隔離する制御を行うことは記載されていない。

本発明は、上記した事情に鑑みてなされたものであって、その目的とするところは、あるユーザがアクセス可能な範囲、あるいは、アクセス不可能な範囲を示す隔離レベルを用いて段階的なアクセス制御を行う通信システム、制御装置、検疫方法およびプログラムを提供することにある。

本発明の第１の視点によれば、ユーザ端末から、該ユーザ端末が属する隔離レベルを決定するための情報を取得する情報取得部と、制御装置からの制御に従ってパケットを転送するための転送ノードとを含む通信システムであって、前記制御装置は、前記取得した情報に基づいて、前記ユーザ端末が属する隔離レベルを決定する隔離レベル決定部と、前記隔離レベル毎に、各アクセス先へのアクセス可否を定義した隔離レベル情報記憶部と、前記各アクセス先へのアクセス可否に従って、パケットを転送または廃棄するための処理規則を前記転送ノードに設定するアクセス制御部と、を含み、前記転送ノードは、前記処理規則に従って、受信したパケットを処理する通信システムが提供される。

本発明の第２の視点によれば、ユーザ端末から、該ユーザ端末が属する隔離レベルを決定するための情報を取得する情報取得部と、制御装置の制御に従ってパケットを転送する転送ノードと、を含む通信システムに配置され、前記情報取得部にて取得された情報に基づいて、前記ユーザ端末が属する隔離レベルを決定する隔離レベル決定部と、前記隔離レベル毎に、各アクセス先へのアクセス可否を定義した隔離レベル情報記憶部と、前記各アクセス先へのアクセス可否に従って、パケットを転送または廃棄するための処理規則を転送ノードに設定することで、該転送ノードにパケットの転送または廃棄を実施させるアクセス制御部と、を備える制御装置が提供される。

本発明の第３の視点によれば、制御装置がパケットを転送または廃棄する転送ノードを制御するための通信方法であって、ユーザ端末が属する隔離レベルを決定するための情報に基づいて、該ユーザ端末が属する隔離レベルを決定するステップと、前記隔離レベル毎に、各アクセス先へのアクセス可否を定義した隔離レベル情報を参照し、前記各アクセス先へのアクセス可否に従って、パケットを転送または廃棄するための処理規則を転送ノードに設定することで、該転送ノードにパケットの転送または廃棄を実施させるステップと、を含む通信方法が提供される。本方法は、前記転送ノードを制御する制御装置という、特定の機械に結びつけられている。

本発明の第４の視点によれば、ユーザ端末から、該ユーザ端末が属する隔離レベルを決定するための情報を取得する情報取得部と、制御装置の制御に従ってパケットを転送する転送ノードと、を含む通信システムに配置されたコンピュータに、前記情報取得部にて取得された情報に基づいて、前記ユーザ端末が属する隔離レベルを決定する処理と、前記隔離レベル毎に、各アクセス先へのアクセス可否を定義した隔離レベル情報を参照して、前記各アクセス先へのアクセス可否に従って、転送ノードにパケットの転送または廃棄を実施させる処理と、を実行させるプログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。

本発明によれば、隔離レベルを用いた段階的なアクセス制御を実現することが可能となる。

本発明の一実施形態の概要を説明するための図である。 本発明の第１の実施形態の通信システムの構成を表した図である。 本発明の第１の実施形態の認証装置に保持される認証情報の一例である。 本発明の第１の実施形態の通信ポリシ記憶部に格納される通信ポリシ情報の一例である。 本発明の第１の実施形態のリソース情報記憶部に格納されるリソース情報の一例である。 本発明の第１の実施形態のポリシ管理装置から制御装置に通知される通信ポリシの一例である。 本発明の第１の実施形態の制御装置の詳細構成を表したブロック図である。 本発明の第１の実施形態の隔離レベル情報記憶部に記憶される隔離レベル情報の例を示す説明図である。 本発明の第１の実施形態の隔離レベル決定部における通信ポリシの補正処理を説明するための図である。 本発明の第１の実施形態の隔離レベルを用いたユーザ間のアクセス可否の判定処理を説明するための図である。 本発明の第１の実施形態の一連の動作を表したシーケンス図である。 本発明の第２の実施形態のアクセス制御システムの構成を表した図である。 本発明の第２の実施形態の一連の動作を表したシーケンス図である。 本発明の第３の実施形態のアクセス制御システムの構成を表した図である。 本発明の第３の実施形態の一連の動作を表したシーケンス図である。 非特許文献２に記載のフローエントリの構成を表した図である。

はじめに本発明の一実施形態の概要について図面を参照して説明する。本発明は、図１に示したように、ユーザ端末１００とネットワーク資源５００間に配設される転送ノード２００と、転送ノード２００を制御する制御装置４００とを含む構成にて実現できる。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。

より具体的には、ユーザ端末１００は、当該ユーザ端末が属する隔離レベルを決定するための情報を取得し、制御装置４００に送信する情報取得部１１０ａを備えている。なお、図１の例では、ユーザ端末１００に、情報取得部１１０ａが備えられているが、別途、ユーザ端末１００と対話して情報取得処理を行うサーバを設ける構成も採用可能である。

また、制御装置４００は、情報取得部１１０ａから送信された情報に基づいて、ユーザ端末が属する隔離レベルを決定する隔離レベル決定部４１０と、前記隔離レベル毎に、各アクセス先へのアクセス可否を定義した隔離レベル情報記憶部４２０と、前記隔離レベル情報記憶部４２０に定められた各アクセス先へのアクセス可否に従って、転送ノードにパケットの転送または廃棄を実施させるアクセス制御部４３０とを含んで構成される。

ユーザ端末１００の情報取得部１１０ａは、一定時間毎、ネットワーク接続時等の所定のタイミングで、当該ユーザ端末が属する隔離レベルを決定するための情報を取得する処理を実行し、その結果を制御装置４００に通知する（図１の（１）隔離レベル決定用情報）。

制御装置４００は、前記情報に基づいて、ユーザ端末１００（のユーザ）が属する隔離レベルを決定する。さらに、制御装置４００は、隔離レベル情報記憶部４２０から、前記決定した隔離レベルに対応する各アクセス先へのアクセス可否情報（図８参照）を読み出し、ネットワーク資源５００へのアクセスを許可または禁止するよう転送ノード２００を制御する（図１の（２）アクセス制御）。

以上のようにすることで、隔離レベルに基づいた段階的なアクセス制御を行うことが可能となる。例えば、ある時点において、アクセス先が求める条件を満たしていないためにアクセスを禁止されていたユーザ端末１００において、アプリケーションプログラム（以下、「アプリ」）のアンインストール、アプリへの最新パッチの適用、ウイルス定義ファイルの更新、ウイルス定義ファイルによるシステムのスキャン等が実施されたものとする。これにより、当該ユーザ端末がアクセス先の求める条件を満たすようになった場合、隔離レベルを変更し、以降の当該アクセス先へのアクセスを許可させることが可能になる。反対に、例えば、ある時点において、あるアクセス先へのアクセスが許可されていたユーザ端末１００が、アクセス先の求める条件を満たさないようになった場合、制御装置４００に、隔離レベルを変更し、以降の当該アクセス先へのアクセスを禁止させることが可能になる。

また、このようにして決定された隔離レベルは、図１０に示すように、ユーザ間のアクセス可否を決定するための情報としても用いることができる。この点については第１の実施形態で詳細に説明する。

［第１の実施形態］
続いて、本発明の第１の実施形態について、図面を参照して詳細に説明する。図２は、本発明の第１の実施形態の通信システムの構成を表した図である。図２を参照すると、複数の転送ノード２０１〜２０４と、これら転送ノードに処理規則を設定する制御装置４００と、制御装置４００に通信ポリシを通知するポリシ管理装置３００と、ポリシ管理装置３００に認証結果を示す認証情報を提供する認証装置３３０と、を含んだ構成が示されている。

転送ノード２０１〜２０４は、受信パケットと照合する照合規則と前記照合規則に適合するパケットに適用する処理内容とを対応付けた処理規則にしたがって、受信パケットを処理するスイッチング装置である。このような転送ノード２０１〜２０４としては、図１６に示すフローエントリを処理規則として動作する非特許文献２のオープンフロースイッチを用いることもできる。

また、転送ノード２０４には、ネットワーク資源５００Ａ、５００Ｂが接続されており、ユーザ端末１００は、転送ノード２０１〜２０４を介して、ネットワーク資源５００Ａ、５００Ｂと通信可能となっている。以下の実施形態では、ネットワーク資源５００Ａとネットワーク資源５００Ｂとはそれぞれ異なるリソースグループに属し、それぞれリソースグループＩＤとしてｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２が付与されているものとする。

認証装置３３０は、パスワードや生体認証情報等を用いてユーザ端末１００とユーザ認証手続を行なう認証サーバ等である。認証装置３３０は、ポリシ管理装置３００にユーザ端末１００とのユーザ認証手続の結果を示す認証情報を送信する。さらに、認証装置３３０は、ユーザ端末１００との認証手続の結果、当該ユーザ端末の認証に成功した場合、そのユーザ端末の検疫処理の実行をユーザ端末１００に指示する。

図３は、本実施形態の認証装置３３０に保持される認証情報の一例である。例えば、ユーザＩＤがｕｓｅｒ１であるユーザの認証に成功した場合、認証装置３３０は、ポリシ管理装置３００に対し、ｕｓｅｒ１、ＩＰアドレス：１９２．１６８．１００．１、ＭＡＣアドレス：００−００−００−４４−５５−６６という属性、ロールＩＤ：ｒｏｌｅ＿０００１、ｒｏｌｅ＿０００２というｕｓｅｒ１のエントリを認証情報として送信する。同様に、ユーザＩＤがｕｓｅｒ２であるユーザの認証に成功した場合、ポリシ管理装置３００に対し、ｕｓｅｒ２、ＩＰアドレス：１９２．１６８．１００．２、ＭＡＣアドレス：００−００−００−７７−８８−９９という属性、ロールＩＤ：ｒｏｌｅ＿０００２というｕｓｅｒ２のエントリを認証情報として送信する。

なお、前記認証情報は、ポリシ管理装置３００がユーザの付与されている通信ポリシを決定可能な情報であればよく、図３の例に限定するものではない。例えば、認証に成功したユーザのユーザＩＤや当該ユーザＩＤから導出したロールＩＤ、ＭＡＣアドレス等のアクセスＩＤ、ユーザ端末１００の位置情報、あるいは、これらの組み合わせを認証情報として用いることができる。もちろん、認証情報として、認証に失敗したユーザの情報をポリシ管理装置３００に送信し、ポリシ管理装置３００が当該ユーザからのアクセスを制限する通信ポリシを制御装置４００に送信するようにしてもよい。

ポリシ管理装置３００は、通信ポリシ記憶部３１０、リソース情報記憶部３２０と接続され、認証装置３３０から受信した認証情報に対応する通信ポリシを決定し、制御装置４００に送信する装置である。

図４は、通信ポリシ記憶部３１０に格納される通信ポリシ情報の一例である。図４の例では、ロールＩＤにて識別されるロール毎に、リソースのグループに与えられたリソースグループＩＤと、アクセス権限を設定した通信ポリシ情報が示されている。例えば、ロールＩＤ：ｒｏｌｅ＿０００１を持つユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２の双方へのアクセスが許可されている。他方、ロールＩＤ：ｒｏｌｅ＿０００２のユーザは、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１へのアクセスは禁止され、ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００２へのアクセスが許可されている。

図５は、リソース情報記憶部３２０に格納されるリソース情報の一例である。図５の例では、上記したリソースグループＩＤに属するリソースのリソースＩＤやその詳細属性を対応付けた内容となっている。例えば、リソースグループＩＤ：ｒｅｓｏｕｒｃｅ＿ｇｒｏｕｐ＿０００１で特定されるグループには、ｒｅｓｏｕｒｃｅ＿０００１、ｒｅｓｏｕｒｃｅ＿０００２、ｒｅｓｏｕｒｃｅ＿０００３を持つリソースが含まれ、それぞれのＩＰアドレスやＭＡＣアドレスやサービスに利用するポート番号などを特定できるようになっている。

上記のような通信ポリシ情報およびリソース情報を参照して、ポリシ管理装置３００は、認証装置３３０にて認証を受けたユーザの通信ポリシを決定し、制御装置４００に通知する。例えば、認証装置３３０から受信した認証情報に含まれるロールＩＤにて、図４のポリシ情報から該当するロールＩＤに紐付けられたリソースグループＩＤとそのアクセス権限の内容を特定することができる。そして、図５のリソース情報からリソースグループＩＤに属するリソースの情報を用いて通信ポリシを作成する。

図６は、図３、図４、図５に示した情報から作成されるユーザＩＤ：ｕｓｅｒ１を持つユーザに適用される通信ポリシである。図６の送信元フィールドには、図３の認証情報のユーザＩＤ：ｕｓｅｒ１の属性情報の値が設定されている。また、宛先フィールドには、図４のポリシ情報のロールＩＤ：ｒｏｌｅ＿０００１の内容を元に図５のリソース情報から抽出したリソース属性が設定されている。また、アクセス権限フィールドには、図４のポリシ情報のロールＩＤ：ｒｏｌｅ＿０００１のアクセス権限と同じ値が設定されている。また、条件（オプション）フィールドには、図５のリソース情報のリソース属性フィールドに設定されていたサービスとポート番号が設定されている。

ユーザ端末１００の検疫エージェント部１１０は、上記した情報取得部１１０ａに相当し、認証装置３３０から検疫処理の実行指示を受け取ると、ユーザ端末１００の検疫処理を実行し、処理内容の結果を制御装置４００の隔離レベル決定部４１０に送信する。検疫エージェント部１１０の検疫処理としては、例えば、オペレーティングシステム（ＯＳ）やアンチウイルスソフトのウイルス定義ファイルのバージョン確認、アプリのインストール状況、ＯＳやアプリに対するパッチの適用状況、ウイルス定義ファイルを用いたシステムのスキャン履歴などが挙げられる。これらの検疫処理は、既存の検疫システムやソフトウェアで実施されている処理内容と同じであってもよいし、他の新たな処理内容を追加してもよい。

また、本実施形態では、検疫エージェント部１１０は、ユーザ端末に導入されることを前提としているが、検疫エージェント装置や検疫サーバとしてユーザ端末の外部に検疫エージェント部１１０を設けてもよい。この場合、認証装置３３０は、前記検疫エージェント装置や検疫サーバまたはこれらから依頼を受けたユーザ端末１００が、処理内容の結果を制御装置４００の隔離レベル決定部４１０に送信することになる。

制御装置４００は、ポリシ管理装置３００から送信される上記のような通信ポリシと、ユーザ端末１００の検疫エージェント部１１０から受信した検疫処理の結果とを用いて、ユーザ端末１００からのアクセス可能なネットワーク資源を決定し、ユーザ端末１００から送出されたパケットがネットワーク資源に到達するよう転送ノード２０１〜２０４を制御する装置である。

図７は、本実施形態の制御装置４００の詳細構成を表したブロック図である。図７を参照すると、制御装置４００は、転送ノード２０１〜２０４との通信を行うノード通信部１１と、制御メッセージ処理部１２と、処理規則管理部１３と、処理規則記憶部１４と、転送ノード管理部１５と、経路・アクション計算部１６と、トポロジ管理部１７と、端末位置管理部１８と、通信ポリシ管理部１９と、通信ポリシ記憶部２０と、隔離レベル決定部４１０と、隔離レベル情報記憶部４２０と、を備えて構成される。これらはそれぞれ次のように動作する。

制御メッセージ処理部１２は、転送ノードから受信した制御メッセージを解析して、制御装置４００内の該当する処理手段に制御メッセージ情報を引き渡す。

処理規則管理部１３は、どの転送ノードにどのような処理規則が設定されているかを管理する。具体的には、経路・アクション計算部１６にて作成された処理規則を処理規則記憶部１４に登録し、転送ノードに設定すると共に、転送ノードからの処理規則削除通知などにより、転送ノードにて設定された処理規則に変更が生じた場合にも対応して処理規則記憶部１４の登録情報をアップデートする。

転送ノード管理部１５は、制御装置４００によって制御されている転送ノードの能力（例えば、ポートの数や種類、サポートするアクションの種類など）を管理する。

トポロジ管理部１７は、ノード通信部１１を介して収集された転送ノード２０１〜２０４の接続関係に基づいてネットワークトポロジ情報を構築する。

端末位置管理部１８は、通信システムに接続しているユーザ端末の位置を特定するための情報のほか、隔離レベル決定部４１０によって判定された各ユーザ端末の隔離レベル情報を管理する。本実施形態では、ユーザ端末を識別する情報としてＩＰアドレスを、ユーザ端末の位置を特定するための情報として、ユーザ端末が接続している転送ノードの転送ノード識別子とそのポートの情報を使用するものとして説明する。もちろん、これらの情報に代えて、例えば、認証装置３３０からもたらされる情報等を用いて、端末とその位置を特定するものとしても良い。

通信ポリシ管理部１９は、ポリシ管理装置３００から通信ポリシ情報を受信すると、通信ポリシ記憶部２０に格納するとともに、隔離レベル決定部４１０に送信する。

隔離レベル決定部４１０は、通信ポリシ管理部１９から、通信ポリシ情報を受信すると、制御メッセージ処理部１２および経路・アクション計算部１６を介して受信したユーザ端末１００の検疫処理の結果と隔離レベル情報記憶部４２０に記憶されている隔離レベル情報とを参照して、ユーザ端末１００からアクセス可能なアクセス先のうち、当該ユーザ端末が各アクセス先の要求している条件を満たしていないアクセス先へのアクセスを禁止する内容に書き換える処理（通信ポリシ補正処理）を行ってから、経路・アクション計算部１６に送信する。

図８は、隔離レベル情報記憶部４２０に記憶される隔離レベル情報の例を示す説明図である。図８を参照すると、各隔離レベル毎に、アクセス可能な範囲、すなわちアクセスを許可するリソース（許可リソース）と、各隔離レベルへのアクセスを満たす条件とを一組として隔離レベル情報が示されている。本実施形態の隔離レベル情報記憶部４２０は、検疫処理の結果による隔離レベルの決定用テーブルと、隔離レベル毎に各アクセス先へのアクセス可否を定義したアクセス可否テーブルとを兼ねている。例えば、隔離レベル１へのアクセスを許可する条件は「社内使用禁止アプリが存在しないこと」であり、隔離レベル１のアクセス可能な範囲は、「外部からアクセス可能な公開サーバ」である。図８では、説明の便宜上、文章を用いてアクセス範囲や条件を記載しているが、アクセス範囲として、図６の「宛先」フィールドに示すようにＩＰアドレス等により記述してもよい。また、前記条件は、例えば、ユーザ端末１００において所定の信用禁止アプリ（ａｐｐ１、ａｐｐ２、ａｐｐ３）が存在しないことを条件とする場合、「ｐｒｏｈｉｂｉｔ＝ａｐｐ１、ａｐｐ２、ａｐｐ３」のように、隔離レベル決定部４１０が容易に読み込むことが可能な形態で記述される。

図９は、上記隔離レベル決定部４１０における通信ポリシの補正処理を説明するための図である。図９を参照すると、隔離レベル決定部４１０は、ユーザ端末１００の検疫エージェント部１１０から送信されるユーザ端末の検疫結果に基づいて、隔離レベルを決定する。次に、隔離レベル決定部４１０は、隔離レベル情報記憶部４２０から前記決定した隔離レベルに対応する内容を読み出して、通信ポリシを補正する。即ち、隔離レベル決定部４１０は、隔離レベル情報記憶部４２０に記憶されている隔離レベル情報と、ユーザ端末１００の検疫エージェント部１１０から送信されるユーザ端末の検疫結果と、ポリシ管理装置３００から送信されるユーザの通信ポリシとの論理積を計算しているということもできる。

例えば、図９の隔離レベル情報と、ユーザ端末の検疫結果と、ユーザの通信ポリシとの論理積を計算すると、ユーザ端末の検疫結果は、隔離レベル１、隔離レベル２に規定されている使用禁止アプリ（ｐｒｏｈｉｂｉｔ）やパッチ適用状態（ｐａｔｃｈ）といった条件を充足しているものの、ウイルス定義ファイルのバージョン（ｖｉｒｕｓ ｄｅｆｉｎｉｔｉｏｎ ｆｉｌｅ）が最新（＃１２３４）ではないため、ユーザの隔離レベルは「２」と決定される。そして、隔離レベル２のアクセス範囲である「ｓｅｒｖｅｒ−Ｃ」、および隔離レベル１のアクセス範囲である「ｓｅｒｖｅｒ−Ａ、ｓｅｒｖｅｒ−Ｂ」とユーザの通信ポリシを比較すると、ｓｅｒｖｅｒ−Ａは「ａｌｌｏｗ」であり、ｓｅｒｖｅｒ−Ｂは「ｄｅｎｙ」となる。ユーザの通信ポリシのリソース属性「ｓｅｒｖｅｒ−Ｄ」のアクセス権限は「ａｌｌｏｗ」であるが、ユーザの隔離レベルではアクセス対象外であるため、「ｄｅｎｙ」となる。以上により、通信ポリシに定められたユーザの通信範囲は、「ｓｅｒｖｅｒ−Ａ＝ａｌｌｏｗ、ｓｅｒｖｅｒ−Ｂ＝ｄｅｎｙ、ｓｅｒｖｅｒ−Ｃ＝ａｌｌｏｗ、ｓｅｒｖｅｒ−Ｄ＝ｄｅｎｙ」と補正される。

隔離レベル決定部４１０は、アクセス制御部４３０として機能する経路・アクション計算部１６に対し、補正後の通信ポリシと、前記通信ポリシの補正の過程で判定したユーザ端末１００の隔離レベルとを送信する。

経路・アクション計算部１６は、隔離レベル決定部４１０から補正後の通信ポリシを受信すると、当該通信ポリシに従い、トポロジ管理部１７に保持されているネットワークトポロジを参照し、ユーザ端末１００がアクセス可能なアクセス先へのパケットの転送経路を計算するとともに、当該転送経路に従ったパケット転送を実現する処理規則を作成する。

具体的には、経路・アクション計算部１６は、端末位置管理部１８にて管理されている通信端末の位置情報とトポロジ管理部１７にて構築されたネットワークトポロジ情報に基づいて、ユーザ端末１００がアクセス可能なアクセス先に到るパケットの転送経路を計算する。次に、経路・アクション計算部１６は、転送ノード管理部１５から、前記転送経路上の転送ノードのポート情報等を取得して、前記計算した転送経路を実現するために経路上の転送ノードに実行させるアクションと、当該アクションを適用するフローを特定するための照合規則を求める。なお、前記照合規則は、図６の通信ポリシの送信元ＩＰアドレス、宛先ＩＰアドレス、条件（オプション）等を用いて作成することができる。従って、図６の通信ポリシの１番目のエントリの場合、送信元ＩＰアドレス１９２．１６８．１００．１から宛先ＩＰアドレス１９２．１６８．０．１に宛てられたパケットを、次ホップとなる転送ノードやネットワーク資源５００Ａ、５００Ｂが接続されたポートから転送させるアクションを定めた各処理規則が作成される。

さらに、本実施形態の経路・アクション計算部１６は、隔離レベル決定部４１０にて決定されたユーザ端末１００の隔離レベルに基づいて、該ユーザの隔離レベルより緩い隔離レベルに存在する他のユーザへのアクセスのみ許可し、それ以外の隔離レベルに存在する他のユーザへのアクセスを拒否する処理規則を作成し、それら処理規則を転送ノード２０１〜２０４に設定する。

図１０は、経路・アクション計算部１６によるユーザ間のアクセス可否の判定処理を説明するための図である。図１０の左側の表に示すように、セキュリティ的に最も緩い隔離レベル１から、セキュリティ的に最も厳しい隔離レベル５までの５段階の隔離レベルが設定されているものとする。図１０の例では、隔離レベル５にＡ、隔離レベル３にＢ、Ｃ、隔離レベル２にＤ、隔離レベル１にＥというユーザが属しているものとする（隔離レベル４は該当ユーザなし）。あるユーザから、当該ユーザの隔離レベル以下の隔離レベルを持つユーザへのアクセスは許可し、当該ユーザの隔離レベルより高いユーザへのアクセスは拒否するというルールが設定されているものとする。

例えば、ユーザＡは隔離レベル５にあるため、ユーザＡから、ユーザＢ、Ｃ、Ｄ、Ｅ（隔離レベル１〜５）へのアクセスが許可される。ユーザＢは隔離レベル３にあるため、ユーザＢからユーザＣ、Ｄ、Ｅ（隔離レベル１〜３）へのアクセスが許可される。ユーザＣ、Ｄ、Ｅの各ユーザについても同様に判定処理が行われる。

このようにして、経路・アクション計算部１６は、ユーザ端末１００から他のユーザ端末間のアクセス可否を実現する処理規則を作成し、転送ノードに設定する。なお、図１０の例では、ユーザＢとユーザＣのように、同じ隔離レベルに属する他のユーザとのアクセスを許可しているが、拒否するようにしてもよい。例えば、図１０の例では、ユーザＢから同じ隔離レベルに存在するユーザＣへのアクセスが許可されているが、ユーザＢからユーザＣへのアクセスを拒否するルールを採用してもよい。また、図１０に示した隔離レベルの階層数や順序関係はあくまで一例であり、種々の変更を加えることができる。

また、上記したユーザ間のアクセス可否を実現する処理規則と、ネットワーク資源へのアクセス可否を実現する処理規則は、どちらが先に転送ノードに設定されてもよいし、同じタイミングで設定されてもよい。また、上記した説明では、ユーザ間のアクセス可否を実現する処理規則を設定するものとして説明したが、ユーザ端末以外のその他のノードについても隔離レベルが得られている場合には、その隔離レベルに応じて、アクセス可否を判定し、これを実現する処理規則を設定してもよい。

以上のような制御装置４００は、非特許文献１、２のオープンフローコントローラをベースに、上記した隔離レベル決定部４１０、隔離レベル情報記憶部４２０およびアクセス制御部４３０として機能する経路・アクション計算部１６に相当する機能を追加することでも実現できる。

また、図７に示した制御装置４００の各部（処理手段）は、制御装置４００を構成するコンピュータに、そのハードウェアを用いて、上記した各情報を記憶し、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。

また、図２に示した検疫エージェント部１１０は、ユーザ端末のコンピュータに、そのハードウェアを用いて、上記した各情報を記憶し、上記した各処理を実行させるコンピュータプログラムにより実現することもできる。

続いて、本実施形態の動作について図面を参照して詳細に説明する。図１１は、本実施形態の一連の動作を表したシーケンス図である。図１１を参照すると、まず、ユーザ端末が、認証装置３３０にログイン要求すると、転送ノードを介して、認証装置３３０へのパケット転送が行われる（図１１のＳ００１）。なお、ユーザ端末と認証装置３３０間の通信を実現する処理規則は予め設定されていてもよいし、転送ノードからの求めに応じて制御装置４００が設定することとしてもよい。

認証装置３３０は、ユーザ端末とのユーザ認証手続が完了すると（図１１のＳ００２）、ユーザ端末の検疫エージェント部１１０に対し検疫情報を要求する（図１１のＳ００３）。

認証装置３３０からの検疫情報の要求を受けると、ユーザ端末の検疫エージェント部１１０は検疫処理を実行し、制御装置４００に対し、ユーザ端末の検疫情報（検疫処理の結果）を送信する（図１１のＳ００４）。

また、認証装置３３０は、ポリシ管理装置３００に対し、認証情報を送信する（図１１のＳ００５）。

前記認証情報を受信したポリシ管理装置３００は、受信した認証情報に基づいて通信ポリシ記憶部３１０と、リソース情報記憶部３２０とを参照して通信ポリシを決定し（図１１のＳ００６）、その結果を制御装置４００へ送信する（図１１のＳ００７）。

制御装置４００は、隔離レベル情報記憶部４２０から、ユーザ端末の検疫情報に対応する隔離レベルと当該隔離レベルに認められているアクセス範囲を示す情報を取得する（図１１のＳ００８、Ｓ００９）。

制御装置４００は、ポリシ管理装置３００から送信されるユーザの通信ポリシと、隔離レベル情報記憶部４２０から受信した隔離レベル情報とに基づいて、通信ポリシの補正処理（検疫判定）を行う（図１１のＳ０１０）。

制御装置４００は、前記補正された通信ポリシに基づいて、ユーザの処理規則を生成し（図１１のＳ０１１）、それら処理規則を転送ノードに設定する（図１１のＳ０１２）。

さらに、制御装置４００は、隔離レベル決定部４１０によって判定されたユーザ端末の隔離レベル情報に基づいて、他のユーザへのアクセス可否を判定し、対応する処理規則を生成し（図１１のＳ０１３）、生成した処理規則を転送ノードに設定する（図１１のＳ０１４）。

その後、ユーザ端末が転送ノードへパケットを送出すると（図１１のＳ０１５）、転送ノードは制御装置４００によって設定された処理規則にしたがってパケット転送の判定を行う（図１１のＳ０１６）。前記判定の結果、ネットワーク資源へのアクセスを許可する場合、転送ノードは該当するネットワーク資源へパケットを転送する（図１１のＳ０１７）。一方、設定された処理規則にしたがってネットワーク資源へのアクセスを拒否する場合、転送ノードは、該当するパケットを破棄する（図１１には図示せず）。

また、前記ユーザ端末から送信されたパケットが他のユーザ端末宛てのものである場合も、転送ノードは、処理規則を参照して同様にパケット転送の判定を行う（図１１のＳ０１６）。アクセスが許可された他のユーザ端末宛てのパケットである場合、転送ノードは、当該ユーザ端末へパケットを転送する（図１１のＳ０１７）。一方、設定された処理規則にしたがって宛先ユーザ端末へのアクセスを拒否する場合、転送ノードは、該当するパケットを破棄する（図１１には図示せず）。

以上のように、本実施形態によれば、予め設定された通信ポリシだけでなく、検疫処理の結果に基づいて決定した隔離レベルによる、ユーザ端末とネットワーク資源間の段階的なアクセス制御を実現できる。また、本実施形態では、合わせてユーザ間のアクセス制御も実現可能となっている。

なお、制御装置４００の隔離レベル決定部４１０は、図１１のステップＳ０１０において通信ポリシの補正処理（検疫判定処理）を行う際、隔離レベルの低い番号から順にユーザのアクセス可能な範囲を補正していき、隔離レベル毎の補正が完了した時点で、処理規則の生成を実行するようにしてもよい。これにより、通信ポリシの補正処理（検疫判定処理）が高速化され、ユーザ端末が隔離レベルの範囲、すなわちアクセス可能な範囲に段階的にアクセスできるようになる。

また、ユーザ端末が隔離レベルを上げていくために必要なサービスを提供するネットワーク資源を、該当する隔離レベルに配置することも望ましい。例えば、図９の例でいえば、ウイルス定義ファイルの提供サーバを隔離レベル２に設置することで、ユーザ端末はウイルス定義ファイルの提供サーバから最新のウイルス定義ファイル（＃１２３４）を入手することが可能になる。ウイルス定義ファイルの更新が済んだ後で再度検疫処理を受ければ、次回は、隔離レベル３と判定される。このように、低い隔離レベルのユーザ端末からのアクセスを一律に除外するのではなく、ユーザ端末の検疫処理の進捗に応じて、段階的にネットワーク資源へアクセスさせることもできる。

また、ユーザ端末の検疫エージェント部１１０は、認証装置３３０から検疫情報の要求を受けて制御装置４００へ検疫情報を送信するものとして説明したが、検疫エージェント部１１０が定期的に検疫処理を実行して制御装置４００へ検疫情報を送信する構成も採用可能である。このようにすることで、処理規則の設定後のユーザ端末の状態の変化に応じて、素早く隔離レベルや通信ポリシを適正化することができる。

［第２の実施形態］
続いて、本発明の第２の実施形態について、図面を参照して詳細に説明する。図１２は、本発明の第２の実施形態の通信システムの構成を表した図である。図２に示した構成との相違点は、ユーザ端末１００Ａに、パケットの送出可否を制御する端末アクセス制御部６００が追加されている点である。その他の構成は、図２および第１の実施形態で説明したものと同等であるため、以下、相違点を中心に説明する。

端末アクセス制御部６００は、制御装置４００の隔離レベル決定部４１０によって決定されたユーザ端末１００Ａの隔離レベルを含む複数のユーザ端末の隔離レベル情報または補正後の通信ポリシを受け取り、ユーザ端末１００Ａから送信されるパケットの送信の許可または拒否する処理規則を作成し、それらの処理規則によってユーザ端末のアクセス制御を実施する。

ここで、端末アクセス制御部６００は、検疫エージェント部１１０の一機能として実現してもよい。また、制御装置４００が処理規則を作成し、端末アクセス制御部６００は、前記制御装置４００で作成された処理規則によるアクセス制御のみ実施するものとしてもよい。

続いて、上記した第２の実施形態の動作について説明する。図１３は、本発明の第２の実施形態の一連の動作を表したシーケンス図である。ユーザ端末が、認証装置３３０にログイン要求を行ってから（図１３のＳ１０１）、制御装置４００が通信ポリシの補正処理（検疫判定処理）を行う（図１３のＳ１１０）までの動作は、第１の実施形態と同様であるため、説明を省略する。

本実施形態では、通信ポリシの補正処理（検疫判定処理）を行った後、制御装置４００が、当該ユーザ端末の隔離レベルを含む複数のユーザ端末の隔離レベル情報または補正後の通信ポリシを、ユーザ端末１００Ａの端末アクセス制御部６００へ送信する（図１３のＳ１１１）。

ユーザ端末１００Ａの端末アクセス制御部６００は、制御装置４００から受信した各隔離レベル情報または補正後の通信ポリシに基づいて、ユーザ端末１００から他のノードへのパケット送信を許可または拒否する処理規則を作成する（図１３のＳ１１２）。ここで、端末アクセス制御部６００が、各ユーザ端末間のアクセス可否を実現する処理規則を作成する際の各ユーザ間のアクセス可否の判定および処理規則の作成方法は、第１の実施形態と同様である。

ユーザ端末１００Ａの端末アクセス制御部６００で用いる処理規則は転送ノードに保持されるものと同様のものであってもよいし、このような処理規則に代えて、ｉｐｔａｂｌｅｓのようなパケットフィルタリング技術を用いてもよい。

また、端末アクセス制御部６００は、パケットの転送を許可または拒否する処理規則をユーザ端末１００Ａ内の物理的なＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）に対して適用することもできるし、ユーザ端末１００Ａ内で稼働する複数のＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）が持つそれぞれの仮想的なＮＩＣに対して適用することもできるし、ユーザ端末１００Ａ内で稼働する複数の仮想スイッチに対して適用することもできる。このように、端末アクセス制御部６００は、ユーザ端末１００Ａ内におけるアクセス制御を実行する場所を自由に指定することが可能である。

以上のように、本実施形態によれば、上記第１の実施形態の効果に加えて、ユーザ端末１００Ａからアクセスできない宛先へのパケットの送出を抑止し、転送ノードの負荷を低減することが可能となる。

［第３の実施形態］
続いて、本発明の第３の実施形態について、図面を参照して詳細に説明する。図１４は、本発明の第３の実施形態の通信システムの構成を表した図である。図２に示した構成との相違点は、ユーザ端末１００Ｂに、検疫エージェント部１１０に代えて、ユーザ端末の行動を監視する行動監視部７００が備えられている点と、制御装置４００内の隔離レベル決定部４１０の動作が変更されている点である。その他の構成は、図２および第１の実施形態で説明したものと同等であるため、以下、相違点を中心に説明する。

行動監視部７００は、ユーザ端末の行動を監視し、その結果となる行動情報を制御装置４００の隔離レベル決定部４１０に送信する。前記行動情報としては、ユーザ端末１００Ｂが存在する場所（位置）や時間、Ｗｅｂサイトやデータベースなどへのアクセス履歴、ユーザ端末１００Ｂ内のアプリの使用履歴などが挙げられる。

また、本実施形態では、隔離レベル情報記憶部４２０には、本発明の第１、および第２の実施形態で示した各隔離レベル情報の条件フィールドに（図８参照）、アクセスが許可される場所情報（またはアクセスが禁止される場所情報）が設定された隔離レベル情報が記憶されている。例えば、図８の例では、隔離レベル１の外部から公開可能なサーバは、所定の使用禁止アプリが存在しないことを条件にユーザ端末からのアクセスが許可されるものであったが、本実施形態では、アクセスが許可される場所情報（例えば、「東京」など）が設定される。

以下、本実施形態では、説明の便宜上、行動情報として、ユーザ端末が存在する場所の情報（位置情報）を用いた場合の動作について説明する。このような行動監視部７００は、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）装置等から構成できる。また、本発明の第１、第２の実施形態で説明したユーザ端末の検疫情報をユーザ端末の行動情報のひとつとして含めてもよい。

図１５は、本実施形態の一連の動作を表したシーケンス図である。ユーザ端末が、認証装置３３０にログイン要求すると、認証装置３３０へのパケット転送が行われ（図１５のＳ２０１）、認証装置３３０がユーザ認証を行う（図１５のＳ２０２）ところまでの動作は、第１の実施形態と同様であるため、説明を省略する。

認証装置３３０は、ユーザ認証の処理を完了した後、ユーザ端末の行動監視部７００へ行動情報を要求する（図１５のＳ２０３）。ユーザ端末の行動監視部７００は、認証装置３３０から行動情報の要求を受けると、制御装置４００へ行動情報を送信する（図１５のＳ２０４）。例えば、ユーザ端末がログインした場所が「東京」であったとする。通常、ＧＰＳなどの位置情報は、緯度と経度で構成される座標情報であるが、ここでは説明の便宜上、土地名とする。なお、座標情報を用いて土地名を算出する処理および装置は、容易に実装が可能である。

ポリシ管理装置３００は、第１の実施形態と同様に、認証装置３３０から認証情報を受信すると（図１５のＳ２０５）、前記受信した認証情報に基づいて、通信ポリシ記憶部３１０と、リソース情報記憶部３２０とを参照して通信ポリシを決定し（図１５のＳ２０６）、制御装置４００へ送信する（図１５のＳ２０７）。

次に、制御装置４００は、隔離レベル情報記憶部４２０から、ユーザ端末１００Ｂの行動監視部７００から受信した行動情報に対応する隔離レベルと当該隔離レベルに認められているアクセス範囲を示す情報を取得する（図１５のＳ２０８、Ｓ２０９）。

次に、制御装置４００の隔離レベル決定部４１０は、ユーザ端末１００Ｂの行動監視部７００から受信した行動情報と、隔離レベル情報記憶部４２０から送信される隔離レベル情報とに基づいて、通信ポリシを補正する（図１５のＳ２１０）。例えば、ユーザ端末１００Ｂの行動情報が「東京」であったら「隔離レベル５」のネットワークへアクセス可能とする、ユーザ端末の行動情報が「大阪」であったら「隔離レベル３」のネットワークへアクセス可能とする、などの隔離レベルの判定が行われ、通信ポリシに示されたアクセス範囲が補正される。隔離レベルによる通信ポリシの補正方法は、本発明の第１、第２の実施形態で示した通信ポリシの補正方法（図８、図９参照）と同じものを採用することができる。

その後、制御装置４００は、隔離レベル決定部４１０が判定した隔離レベルに基づいて、ユーザ端末１００Ｂとネットワーク資源間の処理規則を生成し（図１５のＳ２１１）、それら処理規則を転送ノードに設定する（図１５のＳ２１２）。

また、制御装置４００は、上記した第１の実施形態と同様に、ユーザ端末間のへのアクセス可否を実現する処理規則を作成し（図１５のＳ２１３）、それら処理規則を転送ノード２０１〜２０４に設定する（図１５のＳ２１４）。

その後も、ユーザ端末１００Ｂの行動監視部７００は、ユーザの行動情報を定期的に制御装置４００へ送信し、制御装置４００は、ユーザの行動情報を受け取る度に、ユーザの隔離レベルの判定を行い、その結果に基づいて通信ポリシを補正し、処理規則を作成し、転送ノードに設定する、という一連の処理を行う。あるいは、制御装置４００の隔離レベル決定部４１０がユーザ端末の行動監視部７００に対し、定期的にユーザの行動情報を要求し、ユーザの行動情報を受け取るという仕組みであってもよい。

また、ポリシ管理装置３００にユーザの行動情報を提供し、行動情報に基づいたユーザの通信ポリシの決定を行わせてもよい。

以上のようにして、本実施形態によれば、ユーザ端末の存在する場所や時間といった行動情報に応じて予め決められた隔離レベルへのアクセスのみを許可するよう制御できる。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した第１の実施形態では、制御装置４００、認証装置３３０、ポリシ管理装置３００、通信ポリシ記憶部３１０、リソース情報記憶部３２０をそれぞれ独立して設けるものとして説明したが、これらを適宜統合、省略した構成も採用可能である。

また、上記した実施形態では、図３〜図６を示してユーザにロールＩＤを付与してアクセス制御を行うものとして説明したが、ユーザ毎に付与されているユーザＩＤや、ＭＡＣアドレス等のアクセスＩＤ、ユーザ端末１００の位置情報などを用いてアクセス制御を行うことも可能である。

また、上記した実施形態では、ユーザ端末１００が、転送ノード２００を介して、認証装置３３０と認証手続を行うものとして説明したが、ユーザ端末１００が直接認証装置３３０と通信し、認証手続を実施する構成も採用可能である。

最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点による通信システム参照）
［第２の形態］
第１の形態の通信システムにおいて、
前記情報取得部として、ユーザ端末に、所定のタイミングでユーザ端末の検疫処理を実施し、前記隔離レベル決定部に検疫結果を通知する検疫エージェント部が備えられている通信システム。
［第３の形態］
第２の形態の通信システムにおいて、
前記隔離レベル毎に、充足すべき要件が定められており、
前記隔離レベル決定部は、前記検疫エージェント部から通知された検疫結果が前記要件を満たしているか否かにより、隔離レベルを決定する通信システム。
［第４の形態］
第１〜第３いずれか一の形態の通信システムにおいて、
さらに、認証に成功したユーザに適用される通信ポリシを提供する通信ポリシ管理部を含み、
前記隔離レベル情報記憶部に定義された情報を用いて前記通信ポリシに定められたアクセス可否を補正する通信システム。
［第５の形態］
第１〜第４いずれか一の形態の通信システムにおいて、
前記アクセス制御部は、前記決定された隔離レベルと、他のノードの隔離レベルとに基づいて、前記ユーザ端末と、他のノード間のアクセス可否を制御する通信システム。
［第６の形態］
第１〜第５いずれか一の形態の通信システムにおいて、
前記アクセス制御部は、パケットと照合する照合規則と、前記照合規則に適合するパケットに適用する処理を定めた処理規則を前記転送ノードに設定することによって前記転送ノードを制御する通信システム。
［第７の形態］
第６の形態の通信システムにおいて、
前記アクセス制御部は、不要となった処理規則を消去するよう、前記転送ノードを制御し、受信パケットに適合する照合規則を持つ処理規則を保持していない場合、前記受信パケットを破棄させる通信システム。
［第８の形態］
第１〜第７いずれか一の形態の通信システムにおいて、
前記ユーザ端末に、パケットの送出可否を制御する端末アクセス制御部が備えられ、
前記隔離レベル決定部またはアクセス制御部は、前記端末アクセス制御部に対し、パケットの送信の抑止を指示する通信システム。
［第９の形態］
第１の形態の通信システムにおいて、
前記情報取得部として、ユーザ端末に、ユーザ端末の行動を監視し、前記隔離レベル決定部に通知する行動監視部が備えられている通信システム。
［第１０の形態］
第９の形態の通信システムにおいて、
前記隔離レベル決定部は、前記行動情報に含まれるユーザ端末の位置情報を用いて、隔離レベルを決定する通信システム。なお、本開示全体の基本的なコンセプトの下、上記した各形態は、任意に組み合わせることが可能（各形態のいずれかに含まれる要素の選択を含む。）であることに留意されたい。
［第１１の形態］
（上記第２の視点による制御装置参照）
［第１２の形態］
（上記第３の視点による通信方法参照）さらなる形態は、本明細書に記載された前述の形態のいずれかに応じて採用可能である。
［第１３の形態］
（上記第４の視点によるプログラム参照）
なお、上記第１１〜第１３の形態は、上記第１の形態と同様に、第２〜第１０の形態及びこれら形態の組み合わせ乃至選択による形態に展開することが可能である。

なお、上記の特許文献および非特許文献の各開示を、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態の変更・調整が可能である。また、本発明の請求の範囲の枠内において種々の開示要素の多様な組み合わせ、ないし選択が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。

１１ ノード通信部
１２ 制御メッセージ処理部
１３ 処理規則管理部
１４ 処理規則記憶部
１５ 転送ノード管理部
１６ 経路・アクション計算部
１７ トポロジ管理部
１８ 端末位置管理部
１９ 通信ポリシ管理部
２０ 通信ポリシ記憶部
１００、１００Ａ、１００Ｂ ユーザ端末
１１０ａ 情報取得部
１１０ 検疫エージェント部
２００、２０１、２０２、２０３、２０４ 転送ノード
３００ ポリシ管理装置
３１０ 通信ポリシ記憶部
３２０ リソース情報記憶部
３３０ 認証装置
４００ 制御装置
４１０ 隔離レベル決定部
４２０ 隔離レベル情報記憶部
４３０ アクセス制御部
５００、５００Ａ、５００Ｂ ネットワーク資源
６００ 端末アクセス制御部
７００ 行動監視部

Claims (9)

1. ユーザ端末から、該ユーザ端末が属する隔離レベルを決定するための情報を取得する情報取得部と、制御装置からの制御に従ってパケットを転送するための転送ノードとを含む通信システムであって、
   前記制御装置は、
   前記取得した情報に基づいて、前記ユーザ端末が属する隔離レベルを決定する隔離レベル決定部と、
   前記隔離レベル毎に、各アクセス先へのアクセス可否を定義した隔離レベル情報記憶部と、
   前記各アクセス先へのアクセス可否に従って、パケットを転送または廃棄するための処理規則を前記転送ノードに設定するアクセス制御部と、を含み、
   前記転送ノードは、前記処理規則に従って、受信したパケットを処理する通信システム。
2. 前記情報取得部として、ユーザ端末に、所定のタイミングでユーザ端末の検疫処理を実施し、前記隔離レベル決定部に検疫結果を通知する検疫エージェント部が備えられている請求項１の通信システム。
3. 前記隔離レベル毎に、充足すべき要件が定められており、
   前記隔離レベル決定部は、前記検疫エージェント部から通知された検疫結果が前記要件を満たしているか否かにより、隔離レベルを決定する請求項２の通信システム。
4. さらに、認証に成功したユーザに適用される通信ポリシを提供する通信ポリシ管理部を含み、
   前記隔離レベル情報記憶部に定義された情報を用いて前記通信ポリシに定められたアクセス可否を補正する請求項１から３いずれか一の通信システム。
5. 前記アクセス制御部は、前記決定された隔離レベルと、他のノードの隔離レベルとに基づいて、前記ユーザ端末と、他のノード間のアクセス可否を制御する請求項１から４いずれか一の通信システム。
6. 前記ユーザ端末に、パケットの送出可否を制御する端末アクセス制御部が備えられ、
   前記隔離レベル決定部またはアクセス制御部は、前記端末アクセス制御部に対し、パケットの送信の抑止を指示する請求項１から５いずれか一の通信システム。
7. 前記情報取得部として、ユーザ端末に、ユーザ端末の行動を監視し、前記隔離レベル決定部に通知する行動監視部が備えられている請求項１の通信システム。
8. ユーザ端末から、該ユーザ端末が属する隔離レベルを決定するための情報を取得する情報取得部と、制御装置の制御に従ってパケットを転送する転送ノードと、を含む通信システムに配置され、
   前記情報取得部にて取得された情報に基づいて、前記ユーザ端末が属する隔離レベルを決定する隔離レベル決定部と、
   前記隔離レベル毎に、各アクセス先へのアクセス可否を定義した隔離レベル情報記憶部と、
   前記各アクセス先へのアクセス可否に従って、パケットを転送または廃棄するための処理規則を転送ノードに設定することで、該転送ノードにパケットの転送または廃棄を実施させるアクセス制御部と、を備える制御装置。
9. 制御装置がパケットを転送または廃棄する転送ノードを制御するための通信方法であって、
   ユーザ端末が属する隔離レベルを決定するための情報に基づいて、該ユーザ端末が属する隔離レベルを決定するステップと、
   前記隔離レベル毎に、各アクセス先へのアクセス可否を定義した隔離レベル情報を参照し、前記各アクセス先へのアクセス可否に従って、パケットを転送または廃棄するための処理規則を転送ノードに設定することで、該転送ノードにパケットの転送または廃棄を実施させるステップと、
   を含む通信方法。