JP6052692B1

JP6052692B1 - セキュリティ管理方法、プログラム、およびセキュリティ管理システム

Info

Publication number: JP6052692B1
Application number: JP2016040517A
Authority: JP
Inventors: 潤川北
Original assignee: Allied Telesis Holdings KK
Current assignee: Allied Telesis Holdings KK
Priority date: 2015-11-06
Filing date: 2016-03-02
Publication date: 2016-12-27
Anticipated expiration: 2036-03-02
Also published as: JP2017091493A; US20170134416A1

Abstract

【課題】セキュリティ管理方法を提供する。【解決手段】セキュリティ管理方法は、セキュリティ監視装置からセキュリティ・チェック・リストを受信する工程であって、セキュリティ・チェック・リストが、ＳＤＮコントローラが通信可能に接続されるよう構成されたＡＰ装置配下のＳＳＩＤ内に通信可能に接続されるよう構成された端末上でセキュリティ監視装置によって発見されたセキュリティ上の問題のリストを含む工程と、セキュリティ上の問題が発見された端末による通信が隔離ネットワークにおいて行われる通信フローを作成する工程と、作成された通信フローをＡＰ装置に送信する工程と、ＡＰ装置に、セキュリティ上の問題が発見された端末を通常ネットワークから隔離ネットワークに移動させる旨の命令を提供する工程とを含む。【選択図】図５

Description

本発明は、セキュリティ管理方法、プログラム、およびセキュリティ管理システムに関する。
本願は、２０１５年１１月６日に、米国に出願された１４／９３４，３７２号に基づき優先権を主張する。

ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）は、ソフトウェアでネットワークを定義する技術概念のことである。先行技術のネットワーク機器では、ハードウェア構成部分、及び該ハードウェア構成部分を制御し、ネットワークの機能を定義するためのソフトウェア構成部分が１つの機器において構成されている。更に、上記ソフトウェア構成部分は、機器ベンダ固有のものである。ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）は、ソフトウェアを共通のプロトコルによってソフトウェア・デファインド・ネットワーキング（ＳＤＮ）コントローラから一元管理する概念である。

ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）を実現するための標準化技術には、スイッチやルータなどの機器の動作定義、及び上記機器を制御するためのプロトコルを含むＯｐｅｎＦｌｏｗ（登録商標）（オープンフロー）が含まれる。例えば、特許文献１には、ＯｐｅｎＦｌｏｗ（登録商標）（オープンフロー）に基づいたネットワーク・システムの構成が開示されている。上記開示されたネットワーク・システムには、フロー・テーブルに保持されたフロー・エントリに応じてパケットの送受信を制御するＯｐｅｎＦｌｏｗ（登録商標）（オープンフロー）スイッチが含まれる。上記フロー・エントリにはそれぞれ、パケットの通信フローを表すマッチング条件、及び上記マッチング条件に対応する、パケットに対する処理を表すアクションが含まれる。パケットの通信フローは、パケットの送信元から送信先までのシーケンスを表し得る。

ＶＸＬＡＮは、ＶｉｒｔｕａｌｅＸｔｅｎｓｉｂｌｅＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ（仮想拡張可能ローカル・エリア・ネットワーク）の略であり、既存ネットワーク上に複数のネットワークサービスを構築することを可能にするオーバーレイ・ネットワーク技術の１つである。ＶＸＬＡＮ（ＶｉｒｔｕａｌｅＸｔｅｎｓｉｂｌｅＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）では、端末からのパケットをトンネリングすることで論理的なネットワークのセグメント分割を実現する。

ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）／ＯｐｅｎＦｌｏｗ（登録商標）（オープンフロー）技術及びＶＸＬＡＮ（ＶｉｒｔｕａｌｅＸｔｅｎｓｉｂｌｅＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）技術を使用して無線端末間の通信を隔離し、該通信を制御するための先行技術の手法は、例えば、非特許文献１及び特許文献２に開示されている。上記先行技術の手法により、ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）／ＯｐｅｎＦｌｏｗ（登録商標）（オープンフロー）及びＶＸＬＡＮ（ＶｉｒｔｕａｌｅＸｔｅｎｓｉｂｌｅＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ）を使用して、１つのサービス・セット識別子（ＳＳＩＤ）で無線端末から上位ネットワークまでのトラフィックが隔離される。

通常インフラストラクチャ・モードにおける、１つの無線アクセス・ポイント（ＡＰ）に接続された同一のサービス・セット識別子（ＳＳＩＤ）を有するパソコン（ＰＣ）、携帯電話機、アンドロイド端末、ｉＰａｄ、ｉＰｈｏｎｅ等などのスマートフォン端末、プリンタ、複合機（ＭＦＰ）等などの端末同士は通信が可能である。

図１Ａは、先行技術による通常インフラストラクチャ・モードにおける全ての端末間の通信、及び全ての端末と上位ネットワークとの間の通信の可否を示す図である。図１Ａを参照すると、一のサービス・セット識別子（ＳＳＩＤ）を有する３つの端末Ａ、Ｂ、Ｃの全ての端末間の通信が可能であり、同一の無線アクセス・ポイント（ＡＰ）を介した、端末Ａ、Ｂ、Ｃの何れかと上位ネットワークとの間の通信も可能である。より具体的には、同一のサービス・セット識別子（ＳＳＩＤ）を有する３つの端末Ａ、Ｂ、Ｃのうちの、端末ＡＢ間の通信が可能であり（「通信可能」として図示）、端末ＢＣ間の通信が可能である（「通信可能」として図示）。更に、一の無線アクセス・ポイント（ＡＰ）を介した、端末Ａ、Ｂ、Ｃの何れかと上位ネットワークとの間の通信も可能である（「通信可能」として図示）。

しかし、先行技術による通常インフラストラクチャ・モードでは、同一のサービス・セット識別子（ＳＳＩＤ）内の端末の１つが、例えば、コンピュータ・ウィルス、アドウェア等などのマルウェア・コードによって感染した場合、その感染した端末は上位ネットワークを介さずに同一ネットワーク内の別の端末に容易にアクセスすることが可能である。例として、固定ＩＰが設定された端末における特定のアクセス・ポイント（ＡＰ）及びサービス・セット識別子（ＳＳＩＤ）への侵入により、同一のサービス・セット識別子（ＳＳＩＤ）内の別の端末に攻撃が仕掛けられ得る。

１つの無線アクセス・ポイント（ＡＰ）に接続された端末間の通信を禁止するために、不特定多数の端末が接続される公衆無線ＬＡＮ（ローカル・エリア・ネットワーク）で使用されているようなプライバシー・セパレータ（プライバシー・セレクタとも呼ばれる）手法を使用し得る。例えば、特許文献３には、個々の端末間の通信を中継する設定から個々の端末間の通信を中継しない設定に切り替えることにより、無線ＬＡＮ（ローカル・エリア・ネットワーク）に属する個々の端末間の通信の中継が禁止されるプライバシー・セパレータ手法が開示されている。

図１Ｂは、先行技術によるプライバシー・セパレータ手法を適用した、インフラストラクチャ・モードにおける全ての端末間の通信、及び全ての端末と上位ネットワークとの間の通信の可否を示す図である。図１Ｂを参照すると、無線アクセス・ポイント（ＡＰ）を介した同一のサービス・セット識別子（ＳＳＩＤ）を有する３つの端末（Ａ、Ｂ、Ｃ）の何れか１つと上位ネットワークとの通信は可能である。しかし、同一のサービス・セット識別子（ＳＳＩＤ）を有する３つの端末Ａ、Ｂ、Ｃの端末間の通信は不可である。特に、同一のサービス・セット識別子（ＳＳＩＤ）を有する３つの端末Ａ、Ｂ、Ｃのうちの、端末ＡＢ間の通信は不可であり（「通信不可」として図示）、端末ＢＣ間の通信も不可である（「通信不可」として図示）。よって、先行技術によるプライバシー・セパレータ手法は、公衆無線ＬＡＮ（ローカル・エリア・ネットワーク）のように、不特定多数の端末が接続されるケースでは有効な手法となり得る。

特許第５４０８２４３号公報特開２０１４−２１２５０７号公報特開２０１４−１９５２１５号公報

「Ｓｔｒａｔｏｓｐｈｅｒｅが提供するＳＤＮ／ＯｐｅｎＦｌｏｗ技術の現在と未来」、株式会社ストラトスフィア、２０１３年１１月１９日、［２０１６年２月２２日検索］、インターネット＜URL：http://www.iij.ad.jp/company/development/tech/techweek/pdf/131119_1.pdf＞

しかし、先行技術によるプライバシー・セパレータの利用想定は、フリー・ワイファイ（ｗｉ−ｆｉ：ワイヤレス・フィデリティ）・スポット等などの個人のインターネット・アクセスを想定した機能である。ここでは、同一のアクセス・ポイント（ＡＰ）の配下にある同一のサービス・セット識別子（ＳＳＩＤ）内の隣接する端末間（すなわち、図１Ｂ中の端末ＡＢ間、端末ＢＣ間）のネットワーク・アクセスは不可である。前述の隣接する端末は、互いに通信することが可能でないので、企業ユース等ファイル共有を行うことが可能でない。

無線ＬＡＮ（ローカル・エリア・ネットワーク）内のセキュリティを維持するために、アクセス・ポイント（ＡＰ）装置が、個々の端末間の通信を中継しない設定にされた場合、アクセス・ポイント（ＡＰ）装置に接続された個々の端末は、アクセス・ポイント（ＡＰ）装置を介した端末間での通信を実行することができないことがあり得る。特許文献３には、プライバシー・セパレータ手法への対策としての先行技術の手法が開示されている。上記特許文献３には、多機能機が、アクセス・ポイント（ＡＰ）を介した端末間の通信が不可である原因を特定して、当該原因に対応するメッセージを表示部に表示させることが開示されている。しかし、上記先行技術の手法が、端末間での通信が不可である状態から端末をユーザが解放することができる場合があっても、ユーザは、禁止通信及び許可通信を特定することが可能でない。

上記課題を解決するために、本発明は以下の手段を提案している。
本発明の一態様によれば、セキュリティ管理方法を提供し得る。上記セキュリティ管理方法は、ＳＤＮコントローラにより、上記ＳＤＮコントローラに通信可能に接続されるよう構成されたセキュリティ監視装置からセキュリティ・チェック・リストを受信する工程を含む。上記セキュリティ・チェック・リストは、上記ＳＤＮコントローラが通信可能に接続されるよう構成された少なくとも一アクセス・ポイント装置（以下、「一ＡＰ装置」という）のうちの一ＡＰ装置配下の一ＳＳＩＤ内に通信可能に接続されるよう構成された複数の端末のうちの一端末上で上記セキュリティ監視装置によって発見されたセキュリティ上の１つ又は複数の問題のリストを含む。上記ＳＤＮコントローラは、上記複数の端末間の通信を監視し、通信の遮断及び隔離を行うセキュリティ管理システムに含まれる。上記一ＳＳＩＤは、複数のＳＳＩＤの１つである。上記セキュリティ管理システムは、上記複数の端末に通信可能に接続されるよう構成され、上記複数のＳＳＩＤを備えた無線モジュールを含む。上記通信は、上記複数の端末間で可能とされるファイル共有を含む。上記一ＡＰ装置が更に、通常ネットワーク及び隔離ネットワークを含む複数のネットワークに通信可能に接続されるよう構成される。更に、上記ＳＤＮコントローラは、上記セキュリティ上の１つ又は複数の問題が発見された上記一端末による通信が上記隔離ネットワークにおいて行われる通信フローを作成し、上記ＳＤＮコントローラは、上記作成された通信フローを上記一ＡＰ装置に送信し、上記ＳＤＮコントローラは上記一ＡＰ装置に、上記セキュリティ上の１つ又は複数の問題が発見された上記一端末を上記通常のネットワークから上記隔離ネットワークに移動させる旨の命令を提供する。

本発明の他の態様は、以下明細書及び特許請求の範囲から明らかになるであろう。

先行技術による通常インフラストラクチャ・モードにおける全ての端末間の通信、及び全ての端末と上位ネットワークとの間の通信の可否を示す図である。先行技術によるプライバシー・セパレータ手法を適用した、インフラストラクチャ・モードにおける全ての端末間の通信、及び全ての端末と上位ネットワークとの間の通信の可否を示す図である。セキュア・フローＡＰである、本発明の一実施形態によるセキュリティ管理システムを用いた、インフラストラクチャ・モードにおける全ての端末間の通信、及び全ての端末と上位ネットワークとの間の通信の可否を示す図である。セキュア・フローＡＰである、本発明の一実施形態によるセキュリティ管理システムの例示的なアーキテクチャを示すブロック図である。本発明の一実施形態による、端末Ａ乃至端末Ｂの通信の例示的な通信許可シーケンスを示すフローチャートである。本発明の一実施形態による、セキュリティ上の課題が発見された端末が隔離される、セキュア・フローＡＰである、本発明の一実施形態によるセキュリティ管理システムのユースケースを示す図である。本発明の一実施形態による、端末Ｃ乃至端末Ｂの通信禁止シーケンスを示すフローチャートである。本発明の一実施形態による、種々のアプリケーション及び制御テーブルを示す図である。本発明の一実施形態による、接続許可端末アドレス・テーブルの構成を示す図である。セキュア・フローＡＰである、本発明の一実施形態による、セキュリティ管理システムにおけるフロー・テーブルの詳細を示す図である。

本発明の実施形態は、添付図面の図において、限定でなく、例示によって説明し、同様の参照符号は同様の構成要素を表す。

次に、種々の実施形態を詳細に参照し、それらの例は添付図面に示す。本願の特許請求の範囲記載の実施形態は種々の実施形態に関して説明するが、前述の種々の実施形態が上記実施形態の範囲を限定することを意図するものでないということが理解されるであろう。一方、特許請求の範囲記載の実施形態は、特許請求の範囲の範囲内に含まれ得る代替、修正、及び均等物を包含することを意図している。更に、種々の実施形態の以下の詳細な説明では、特許請求の範囲に記載の実施形態の詳細な理解をもたらすために数多くの具体的な詳細を記載している。しかし、上記具体的な詳細なしで特許請求の範囲記載の実施形態を実施し得るということが当業者に明らかとなるであろう。場合によっては、特許請求の範囲記載の態様が不必要にわかりにくくなることがないように、周知の方法、手順、構成部分、及び回路は説明していない。

以下の詳細な説明の一部分は、コンピュータ・メモリ内のデータ・ビットに対する操作の手順、論理ブロック、処理、及び他の記号表現によって提示している。前述の記述及び表現は、他の当業者にその成果の本質を最も効果的に伝えるためにデータ処理の技術分野における当業者によって使用される手段である。本出願では、手順、論理ブロック、処理等は、所望の結果につながる動作又は工程又は命令の自己矛盾のないシーケンスであるものとして考え出されている。動作又は工程は、物理的数量の物理的操作を利用するものである。通常、必然でないが、上記数量は、コンピュータ・システム又はコンピューティング装置において記憶され、転送され、合成され、比較され、その他の方法で操作されることができる電気信号又は磁気信号の形式をとる。上記信号を、主として慣用の理由で、トランザクション、ビット、値、構成要素、記号、文字、サンプル、画素等として表すことが時には好都合であることが明らかとなっている。

しかし、前述及び同様の語は全て、適切な物理的数量に関連付けられ、上記数量に付される便宜上のラベルに過ぎないということを念頭におくべきである。以下の記載から明らかであるように別途明記しない限り、本明細書及び特許請求の範囲を通して、「受信」、「送信」、「記憶」、「判定」、「送出」、「問い合わせ」、「提供」、「アクセス」、「構成」、「開始」等などの語を利用した記載は、コンピュータ・システム又は同様な電子コンピューティング装置若しくはプロセッサの動作及び処理を表す。コンピュータ・システム又は同様な電子コンピューティング装置は、コンピュータ・システムのメモリ内、レジスタ内、又は、前述の他の情報記憶装置内、伝送装置内、又は表示装置内で物理的（電子的）数量として表されるデータを操作し、変換する。本願の目的では、「装置」との語は、ハードウェア構成部分及びソフトウェア構成部分を含み得る。

本願のシステム及び方法は、種々のアーキテクチャ及び構成で実現することが可能である。例えば、本願のシステム及び方法は、分散コンピューティング環境、クラウド・コンピューティング環境、クライアント・サーバ環境等の一部として実現することが可能である。本明細書及び特許請求の範囲記載の実施形態は、１つ又は複数のコンピュータ、コンピューティング装置、又は他の装置によって実行される、プログラム・モジュールなどのコンピュータ読み取り可能な記憶媒体の特定の形式上に常駐しているコンピュータ実行可能な命令の一般的なコンテキストにおいて記載し得る。例として、かつ、限定でなく、コンピュータ読み取り可能な記憶媒体は、コンピュータ読み取り可能な記憶媒体及び通信媒体を含み得る。一般に、プログラム・モジュールは、特定のタスクを行い、又は、特定の抽象データ・タイプを実現するルーチン、プログラム、オブジェクト、構成部分、データ構造等を含む。プログラム・モジュールの機能は、種々の実施形態において、適宜、組み合わせることができ、又は分散させることができる。

コンピュータ読み取り可能な記憶媒体は、コンピュータ読み取り可能な命令、データ構造、プログラム・モジュール、又は他のデータなどの情報の記憶のための何れかの方法又は手法において実現可能な揮発性媒体、不揮発性媒体、着脱可能媒体、及び着脱可能でない媒体を含み得る。コンピュータ読み取り可能な記憶媒体は限定でないが、所望の情報を記憶するために使用することが可能であり、該情報を取り出すためにアクセスすることが可能なランダム・アクセス・メモリ（ＲＡＭ）、リード・オンリ・メモリ（ＲＯＭ）、電気的に消去可能なプログラマブルＲＯＭ（ＥＥＰＲＯＭ）、フラッシュ・メモリ、他のメモリ技術、コンパクト・ディスクＲＯＭ（ＣＤ−ＲＯＭ）、ディジタル多用途ディスク（ＤＶＤ）、他の光学式記憶媒体、磁気カセット、磁気テープ、磁気ディスク記憶媒体、若しくは他の磁気記憶装置、又は何れかの他の媒体を含み得る。

限定でなく、例として、通信媒体は、有線ネットワーク又は直接配線された接続などの有線媒体、音響、無線周波数（ＲＦ）、赤外線、及び他の無線媒体などの無線媒体を含み得る。上記の何れかの組み合わせも、コンピュータ読み取り可能な記憶媒体の範囲内に含め得る。

上記に照らして、本発明の一実施形態は、１つのサービス・セット識別子（ＳＳＩＤ）で端末同士を隔離するプライバシー・セレクタにおいて端末間の通信を可能にする自由度を追加し、上位ネットワークとの通信可否も自由に変更することを可能とする。本発明の一実施形態は、無線アクセス・ポイント（ＡＰ）フロー・テーブルの使用を含む、ＯｐｅｎＦｌｏｗ（登録商標）手法を適用して同一アクセス・ポイント（ＡＰ）配下で同一サービス・セット識別子（ＳＳＩＤ）内に接続された複数の端末間の通信を監視し、通信の遮断及び隔離を行うセキュリティ管理システム及びセキュリティ管理方法を提供することにより、上記を実現する。

本発明の一実施形態による上記セキュリティ管理方法では、上記セキュリティ上の１つ又は複数の問題が発見された上記一端末を上記通常ネットワークから上記隔離ネットワークに移動させる旨の上記命令が、上記セキュリティ上の１つ又は複数の問題が発見された上記一端末の接続許可端末アドレス・テーブルにおける、上記一端末上の上記セキュリティ上の１つ又は複数の問題を表すエントリを変更する旨の命令を含み得る。

本発明の一実施形態による上記セキュリティ管理方法では、上記一ＡＰ装置配下の上記複数のＳＳＩＤのうちの上記一ＳＳＩＤ内の上記複数の端末のうちの上記一端末への通信が禁止されているプライバシ・セパレータ・モードに上記一ＡＰ装置がある場合、上記一ＡＰ装置配下の上記複数のＳＳＩＤのうちの上記一ＳＳＩＤ内の上記複数の端末のうちの上記一端末への上記通信の許可が規定されているか否かを、上記ＳＤＮコントローラによって判定する工程と、上記一端末への上記通信の上記許可が規定されていると判定された場合に、上記判定された一端末への上記通信を、上記ＳＤＮコントローラによって許可する工程とを更に含み得る。

本発明の一実施形態による上記セキュリティ管理方法では、上記判定された一端末への上記通信を、上記ＳＤＮコントローラによって許可する工程は、上記プライバシ・セパレータ・モードから上記ＡＰ装置を、上記ＳＤＮコントローラによって解放する工程を含み得る。

本発明の一実施形態による上記セキュリティ管理方法では、上記判定された一端末への上記通信を上記ＳＤＮコントローラによって許可する工程は、上記ＳＳＩＤのうちの上記一ＳＳＩＤとは異なるＳＳＩＤに上記一端末を上記ＳＤＮコントローラによって接続する工程を含み得る。

本発明の一実施形態による上記セキュリティ管理方法では、上記セキュリティ管理システムは上記複数の端末を更に含み得る。

本発明の一実施形態による上記セキュリティ管理方法では、上記セキュリティ管理システムは上記複数のネットワークを更に含み得る。

本発明の一実施形態による上記セキュリティ管理方法では、上記セキュリティ管理システムは上記セキュリティ監視装置を更に含み得る。

本発明の一実施形態による上記セキュリティ管理方法では、上記セキュリティ監視装置が脆弱性監視装置であり得、上記セキュリティ上の問題のリストが脆弱性リストであり得、上記セキュリティ上の１つ又は複数の問題の上記リストが１つ又は複数の脆弱性のリストであり得る。

本発明の一実施形態によれば、セキュリティ管理方法をコンピュータに行わせる旨の命令を含むコンピュータ・プログラムを記憶させたコンピュータ読み取り可能な記憶媒体が提供され、上記セキュリティ管理方法は、ＳＤＮコントローラにより、上記ＳＤＮコントローラに通信可能に接続されるよう構成されたセキュリティ監視装置からセキュリティ・チェック・リストを受信する工程であって、上記セキュリティ・チェック・リストが、上記ＳＤＮコントローラが通信可能に接続されるよう構成された少なくとも一ＡＰ装置のうちの一ＡＰ装置配下の一ＳＳＩＤ内に通信可能に接続されるよう構成された複数の端末のうちの一端末上で上記セキュリティ監視装置によって発見されたセキュリティ上の１つ又は複数の問題のリストを含み、上記ＳＤＮコントローラが、上記複数の端末間の通信を監視し、通信の遮断及び隔離を行うセキュリティ管理システムに含まれ、上記一ＳＳＩＤが複数のＳＳＩＤの１つであり、上記セキュリティ管理システムが、上記複数の端末に通信可能に接続されるよう構成され、上記複数のＳＳＩＤを備えた無線モジュールを含み、上記通信が上記複数の端末間で可能とされるファイル共有を含み、上記一ＡＰ装置が更に、通常ネットワーク及び隔離ネットワークを含む複数のネットワークに通信可能に接続されるよう構成される工程と、上記ＳＤＮコントローラにより、上記セキュリティ上の１つ又は複数の問題が発見された上記一端末による通信が上記隔離ネットワークにおいて行われる通信フローを作成する工程と、上記ＳＤＮコントローラにより、上記作成された通信フローを上記一ＡＰ装置に送信する工程と、上記ＳＤＮコントローラにより、上記一ＡＰ装置に、上記セキュリティ上の１つ又は複数の問題が発見された上記一端末を上記通常のネットワークから上記隔離ネットワークに移動させる旨の命令を提供する工程とを含む。

本発明の一実施形態による上記コンピュータ読み取り可能な記憶媒体において、上記セキュリティ上の１つ又は複数の問題が発見された上記一端末を上記通常ネットワークから上記隔離ネットワークに移動させる旨の上記命令が、上記セキュリティ上の１つ又は複数の問題が発見された上記一端末についての接続許可端末アドレス・テーブルにおける、上記一端末上の上記セキュリティ上の１つ又は複数の問題を表すエントリを変更する旨の命令を含み得る。

本発明の一実施形態による上記コンピュータ読み取り可能な記憶媒体において、上記セキュリティ管理方法が、上記一ＡＰ装置配下の上記複数のＳＳＩＤのうちの上記一ＳＳＩＤ内の上記複数の端末のうちの上記一端末への通信が禁止されているプライバシ・セパレータ・モードに上記一ＡＰ装置がある場合、上記一ＡＰ装置配下の上記複数のＳＳＩＤのうちの上記一ＳＳＩＤ内の上記複数の端末の上記一端末への上記通信の許可が規定されているか否かを、上記ＳＤＮコントローラによって判定する工程と、上記一端末への上記通信の上記許可が規定されていると判定された場合に、上記判定された一端末への上記通信を、上記ＳＤＮコントローラによって許可する工程とを更に含み得る。

本発明の一実施形態による上記コンピュータ読み取り可能な記憶媒体において、上記判定された一端末への上記通信を、上記ＳＤＮコントローラによって許可する工程が、上記プライバシ・セパレータ・モードから上記ＡＰ装置を、上記ＳＤＮコントローラによって解放する工程を含み得る。

本発明の一実施形態による上記コンピュータ読み取り可能な記憶媒体において、上記判定された一端末への上記通信を上記ＳＤＮコントローラによって許可する工程は、上記ＳＳＩＤのうちの上記一ＳＳＩＤとは異なるＳＳＩＤに上記一端末を接続する工程を含み得る。

本発明の一実施形態による上記コンピュータ読み取り可能な記憶媒体において、上記セキュリティ管理システムが上記複数の端末を更に含み得る。

本発明の一実施形態による上記コンピュータ読み取り可能な記憶媒体において、上記セキュリティ管理システムが上記複数のネットワークを更に含み得る。

本発明の一実施形態による上記コンピュータ読み取り可能な記憶媒体において、上記セキュリティ管理システムが上記セキュリティ監視装置を更に含み得る。

本発明の一実施形態による上記コンピュータ読み取り可能な記憶媒体において、上記セキュリティ監視装置が脆弱性監視装置であり得、上記セキュリティ上の問題のリストが脆弱性リストであり得、上記セキュリティ上の１つ又は複数の問題の上記リストが１つ又は複数の脆弱性のリストであり得る。

本発明の一実施形態によれば、セキュリティ管理システムが提供され、上記セキュリティ管理システムは、少なくとも一ＡＰ装置を備え、上記少なくとも一ＡＰ装置のうちの一ＡＰ装置配下で、複数の端末が一ＳＳＩＤ内で通信可能に接続されるよう構成され、上記セキュリティ管理システムが、上記複数の端末間の通信を監視し、通信の遮断及び隔離を行い、上記一ＳＳＩＤが複数のＳＳＩＤのうちの１つであり、上記一ＡＰ装置が上記複数のＳＳＩＤを備え、上記複数の端末に通信可能に接続されるよう構成された無線モジュールを含み、上記通信が上記複数の端末間で許可されるファイル共有を含み、上記一ＡＰ装置が更に、通常ネットワーク及び隔離ネットワークを含む上記複数のネットワークに通信可能に接続されるよう構成された、少なくとも一ＡＰ装置と、上記一ＡＰ装置に通信可能に接続されるよう構成されたＳＤＮコントローラとを備え、上記ＳＤＮコントローラは更に、上記ＳＤＮコントローラに通信可能に接続されたセキュリティ監視装置からセキュリティ上の問題のリストを受信する機能であって、上記セキュリティ上の問題のリストが、上記セキュリティ監視装置によって発見された、上記複数の端末のうちの一端末の１つ又は複数のセキュリティ上の問題のリストを含む機能と、上記１つ又は複数のセキュリティ上の問題が発見された上記一端末による通信が上記隔離されたネットワークにおいて行われる通信フローを作成する機能と、上記１つ又は複数のセキュリティ上の問題が発見された上記一端末を上記通常ネットワークから上記隔離ネットワークに移動させる旨の命令を上記ＡＰ装置に提供する機能とを行うよう構成される。

本発明の一実施形態による上記セキュリティ管理システムにおいて、上記セキュリティ上の１つ又は複数の問題が発見された上記一端末を上記通常ネットワークから上記隔離ネットワークに移動させる旨の上記命令は、セキュリティ上の１つ又は複数の問題が発見された上記一端末についての接続許可端末アドレス・テーブルにおける、上記一端末上の上記セキュリティ上の１つ又は複数の問題を表すエントリを変更する旨の命令を含み得る。

本発明の一実施形態による上記セキュリティ管理システムにおいて、上記ＳＤＮコントローラは更に、上記一ＡＰ装置配下の上記複数のＳＳＩＤのうちの上記一ＳＳＩＤ内の上記複数の端末のうちの上記一端末への通信が禁止されているプライバシ・セパレータ・モードに上記一ＡＰ装置がある場合、上記一ＡＰ装置配下の上記複数のＳＳＩＤのうちの上記一ＳＳＩＤ内の上記複数の端末の上記一端末への上記通信の許可が規定されているか否かを判定し、上記一端末への上記通信の上記許可が規定されていると判定された場合に、上記判定された一端末への上記通信を許可するよう更に構成され得る。

本発明の一実施形態による上記セキュリティ管理システムにおいて、上記ＳＤＮコントローラは、更に、上記プライバシ・セパレータ・モードから上記ＡＰ装置を解放するよう構成され得る。

本発明の一実施形態による上記セキュリティ管理システムにおいて、上記ＳＤＮコントローラは、上記複数のＳＳＩＤのうちの上記一ＳＳＩＤとは異なるＳＳＩＤに上記一端末を接続するよう更に構成され得る。

本発明の一実施形態による上記セキュリティ管理システムは、更に上記複数の端末を含み得る。

本発明の一実施形態による上記セキュリティ管理システムは、更に上記複数のネットワークを含み得る。

本発明の一実施形態による上記セキュリティ管理システムは、更に上記セキュリティ監視装置を含み得る。

本発明の一実施形態による上記セキュリティ管理システムにおいて、上記セキュリティ監視装置が脆弱性監視装置であり得、上記セキュリティ上の問題のリストが脆弱性リストであり得、上記セキュリティ上の１つ又は複数の問題の上記リストが１つ又は複数の脆弱性のリストであり得る。

本発明の一実施形態は、無線ＬＡＮ（ローカル・エリア・ネットワーク）サービスで利用されている、先行技術のプライバシー・セパレータ機能を活用する。先行技術のプライバシー・セパレータ機能は、同一サービス・セット識別子（ＳＳＩＤ）内の同一アクセス・ポイント（ＡＰ）間の通信を禁止する一方、本願の実施形態は、全ての端末間通信を禁止するのでなく、禁止通信及び許可通信を選択することを可能にする。よって、本発明の一実施形態は、企業ユースでの、隣接するアクセス・ポイント（ＡＰ）の利用を可能にする。

図２は、セキュア・フローＡＰである、本発明の一実施形態によるセキュリティ管理システムを用いた、インフラストラクチャ・モードにおける全ての端末間の通信、及び全ての端末と上位ネットワークとの間の通信の可否を示す図である。本発明の一実施形態によるセキュリティ管理システムは、通信可能とされる端末及び通信が不可とされる端末を選択することが可能である。図２を参照すると、端末Ｃが、通信不可とされる端末として設定された場合、端末ＡＢ間、及び端末Ａ，Ｂから上位ネットワークＡへの通信は可能にされる一方、端末ＢＣ間の通信は不可とされる。

図３は、セキュア・フローＡＰである、本発明の一実施形態によるセキュリティ管理システムの例示的なアーキテクチャを示す構成図である。

図３を参照すると、セキュア・フローＡＰである、本発明の一実施形態によるセキュリティ管理システム１０は、Ｏｐｅｎｆｌｏｗ（登録商標）（オープンフロー）モジュール１１と、ポート（「Ｄ」と図示）１２と、Ｏｐｅｎｆｌｏｗ（登録商標）（オープンフロー）モジュール１１に接続され、ポート（「Ｄ」）１２を介してネットワーク３０に接続されるよう構成されたブリッジ１３と、無線モジュール１４と、それぞれ、端末Ａ、Ｂ、Ｃに接続されるよう構成されたポート（「ａ」、「ｂ」、「ｃ」と図示）１５ａ、１５ｂ、及び１５ｃと、それぞれ、無線モジュール１４上に設けられたサービス・セット識別子（ＳＳＩＤ）Ａ（１６Ａ）及びｎ（１６ｎ）と、ブリッジ１３に接続されるよう構成されたイーサ・ポート１７と、Ｏｐｅｎｆｌｏｗ（登録商標）（オープンフロー）コントローラ２０（ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）コントローラ）に接続されるよう構成されたフロー・ルール記憶装置１８とを備える。ここでは、端末Ａ、Ｂ、Ｃは、限定でないが、サーバ・コンピュータ、ワークステーション・コンピュータ、デスクトップ・コンピュータ、ラップトップ・コンピュータ、シンクライアント、及び他の形態のパソコン（ＰＣ）、アンドロイド端末、プリンタ、複合機（ＭＦＰ）、携帯電話機、ｉＰａｄ、ｉＰｈｏｎｅ等などのスマートフォン端末をはじめとする移動体装置を含み得る。

以下に、ＳｅｃｕｒｅＦｌｏｗＡＰである、本発明の一実施形態によるセキュリティ管理システムの２つの概括的なユースケースについて説明する。

まず、図４を参照するに、ネットワーク通信を行うことが可能な端末の通信遮断及び隔離に関する第一の概括的なユースケースについて説明する。これに関し、端末間の通信の許可シーケンスを以下に例示する。図４は、通常通信において、端末Ａから端末Ｂへの通信についての例示的な通信許可シーケンスを示す図である。

図４の上部は、初回通信についての例示的な通信許可シーケンスを示す。工程Ｓ１０１（「ＡＴＯＢＰＡＣＫＥＴ」と図示）で、ＡｔｏＢパケットが端末Ａからポートａ（１５ａ）に送出される。工程Ｓ１０２（「ＡＴＯＢＰＡＣＫＥＴ」と図示）で、受信されたＡｔｏＢパケットがブリッジ１３に送出される。工程Ｓ１０３（「ＯＦＱＵＥＲＹＯＮＮＯＦＬＯＷ」と図示）で、ＡｔｏＢパケットを受信すると、ブリッジ１３はＯＦｑｕｅｒｙｏｎＮｏＦｌｏｗをＯｐｅｎＦｌｏｗ（登録商標）モジュール１１に対して行う。工程Ｓ１０４（「ＣＯＮＴＲＯＬＬＥＲＰＡＣＫＥＴＩＮ」と図示）で、ブリッジ１３からＯＦｑｕｅｒｙｏｎＮｏＦｌｏｗを受信すると、ＯｐｅｎＦｌｏｗ（登録商標）モジュール１１は、ＣｏｎｔｒｏｌｌｅｒＰａｃｋｅｔＩｎメッセージをＯｐｅｎＦｌｏｗ（登録商標）コントローラ２０（ソフトウェア・ディファインド・ネットワーキング（ＳＤＮ）コントローラ）に送出する。工程Ｓ１０５（「通信許可」と図示）で、ＯｐｅｎＦｌｏｗ（登録商標）モジュール１１からＣｏｎｔｒｏｌｌｅｒＰａｃｋｅｔＩｎメッセージを受信すると、ＯｐｅｎＦｌｏｗ（登録商標）コントローラ２０（ソフトウェア・ディファインド・ネットワーキング（ＳＤＮ）コントローラ）は端末Ａから端末Ｂへの通信を許可する。工程Ｓ１０６（「ＡｔｏＢＦｌｏｗ設定」と図示）で、ＯｐｅｎＦｌｏｗ（登録商標）コントローラ２０（ソフトウェア・ディファインド・ネットワーキング（ＳＤＮ）コントローラ）は、ＡｔｏＢＦｌｏｗ設定メッセージをＯｐｅｎＦｌｏｗ（登録商標）モジュール１１に送出する。工程Ｓ１０７（「ＡｔｏＢＦｌｏｗ設定」と図示）で、受信されたＡｔｏＢＦｌｏｗ設定メッセージが、ＯｐｅｎＦｌｏｗ（登録商標）モジュール１１により、ブリッジ１３に送出される。工程Ｓ１０８（「ＡＴＯＢＰＡＣＫＥＴ」と図示）で、ブリッジ１３はＡｔｏＢパケットをポートｂ１５ｂに送出する。工程Ｓ１０９（「ＡＴＯＢＰＡＣＫＥＴ」と図示）で、受信されたＡｔｏＢｐａｃｋｅｔが端末Ｂに送出され、よって端末Ａから端末Ｂへの通信が首尾よく開始される。図４の下部は、初回通信以降の通信の例示的な通信許可シーケンスを示す。工程Ｓ２０１（「ＡＴＯＢＰＡＣＫＥＴ」と図示）で、端末ＡがＡｔｏＢパケットをポートａ（１５ａ）に送出する。次いで、シーケンスは、工程Ｓ２０２（「ＡＴＯＢＰＡＣＫＥＴ」と図示）で、ＡｔｏＢパケットが端末Ｂに送出されることで終了する。

図４に示す通常通信などの、ネットワーク通信が許可された端末との通信が開始された後、端末がセキュリティの観点から問題があると確認された場合、確認された端末は通信遮断及び隔離の対象となり得る。

ネットワーク通信を行うことが許可された端末の通信遮断及び隔離に関する第一の概括的なユースケースは、図１Ａ及び図５を参照して、セキュリティ上の問題を有する端末が隔離される特定のユースケースにおいて更に例示し得る。

ここでは、図１Ａに示すように、端末Ａ、Ｂ、及びＣは同一アクセス・ポイント（ＡＰ）配下の同一のサービス・セット識別子（ＳＳＩＤ）内にあり、それらの間で、ファイル共有等などの通信を行うことが許可される。

図５は、セキュリティ上の問題が発見された端末が隔離される、セキュア・フローＡＰである本発明の一実施形態によるセキュリティ管理システムの特定のユースケースを示す図である。

脆弱性、ウィルス、ふるまい、ＩＴ資産管理上の問題などのセキュリティ上の問題が端末Ｃ上で発見された場合の、セキュア・フローＡＰである本発明の一実施形態によるセキュリティ管理システムの動作を以下に示す：
１）セキュリティ監視装置は、（図中「Ｓ１：セキュリティ監視装置」に示す）端末Ｃ上の、セキュリティ上の問題を発見する。
２）セキュリティ上の問題のリストがソフトウェア・デファインド・ネットワーキング（ＳＤＮ）コントローラに送信される（図中「Ｓ２：セキュリティ上の問題のリストを送信する」）。
３）ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）コントローラは、隔離ネットワークにおける端末Ｃによる通信を行うためのフローを作成し（図中「Ｓ３：ＳＤＮコントローラは隔離フローを作成する」）、作成されたフローを無線アクセス・ポイント（ＡＰ）に送信する（図中「Ｓ４：Ｔｏ隔離ネットワークのフロー設定」）。
４）端末Ｃは、通常ネットワーク（図中「通常ネットワーク」）から隔離ネットワーク（図中「隔離ネットワーク」）に移動するよう指示される。

セキュリティ監視装置には、マルウェア感染を含む脆弱性、ウィルス、ネットワーキング環境における不正なふるまい、ＩＴ資産管理上の問題等などのセキュリティ上の問題を監視し、検知し、端末の自動的な隔離及び監視、並びに、ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）コントローラと協調した、悪意のあるウェブサイトへのアクセスの自動遮断を実現する装置が含まれる。

セキュリティ監視装置には、企業のＩＴ環境における脆弱性を発見するアプリケーションが含まれる。

いわゆる「セキュリティ・ホール」等などの、企業ＩＴ環境における脆弱性を発見するための市販のアプリケーションには、例えば、ＱｕａｌｉｔｙＳｏｆｔ社（東京）によるＩＳＭＣｌｏｕｄＯｎｅが含まれる。ＩＳＭＣｌｏｕｄＯｎｅでは、ＩＳＭＣｌｏｕｄＯｎｅエージェントが、バッチ処理（夜間バッチ処理等）による脆弱性チェックに関する情報（いわゆる「インベントリ情報」）をＩＳＭＣｌｏｕｄＯｎｅサーバに通知する。ＩＳＭＣｌｏｕｄＯｎｅサーバは脆弱性をチェックし、個々の端末に関する情報を収集し、ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）コントローラに向けてＡＰＩを介して、端末のＭＡＣアドレス、脆弱性チェックのタイミング、端末のＯＫ／ＮＧに関する判定等などの、情報収集に関する結果を通知し、ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）コントローラは、ＮＧと判定された端末を通常ネットワークから隔離された検疫ネットワークに移動させるようＯｐｅｎＦｌｏｗ（登録商標）対応ネットワーク機器に指示する。

しかし、企業のＩＴ環境における脆弱性を発見するための上記アプリケーションは、持続的標的型攻撃（ＡＰＴ）、新世代マルウェアなどの、ネットワーキング環境における脆弱性を発見するのに十分でない。ネットワーキング環境における上記脆弱性を発見するための市販のアプリケーションが存在している。例えば、トレンドマイクロ社（東京）によるＤｅｅｐＤｉｓｃｏｖｅｒｙＩｎｓｐｅｃｔｏｒ（ＤＤＩ）が含まれる。ＤｅｅｐＤｉｓｃｏｖｅｒｙＩｎｓｐｅｃｔｏｒ（ＤＤＩ）は、プロキシ・サーバの手前、重要なサーバの手前、及び保護対象の部門ネットワークのゲートにおける通信をチェックすることにより、脅威を受けている可能性のある端末を検知し、ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）コントローラにＡＰＩを介して、脅威を受けている可能性のある検知された端末について通知し（例えば、脅威を受けている可能性のある端末のＭＡＣアドレス、ＩＰアドレス、脅威のレベル及び内容等）、ソフトウェア・デファインド・ネットワーキング（ＳＤＮ）コントローラは、脅威を受けている端末を隔離ネットワークに移動させるようＯｐｅｎＦｌｏｗ（登録商標）対応ネットワーク機器に指示する。

本ユースケースにおけるセキュア・フローＡＰである、本発明の一実施形態によるセキュリティ管理システムは、隔離ネットワークにおける通信を確立し、セキュリティ・エンジンとの連動を容易にし得る。上記隔離機能の先行技術のソルーションでは、隔離対象端末に別のサービス・セット識別子（ＳＳＩＤ）を割り当てる必要があり、それに対するＭＡＣ認証を設定する必要がある。更に、隔離対象端末は、別のサービス・セット識別子（ＳＳＩＤ）との接続処理を別途、マニュアルで設定する必要がある。

以上のように、本発明の一実施形態は、全ての端末間通信を不可とする訳でなく、全ての端末間通信のうち不可とする通信を指定することを可能にする。したがって、本発明の一実施形態は、ファイル共有等などの通信における企業ユースのための隣接アクセス・ポイント（ＡＰ）の利用を許可することを可能にする。

更に、本発明の一実施形態は、セキュリティ上の問題が特定の端末上で発見された場合、端末からの通信を遮断するアクションを行うことを可能にする。

更に、本発明の一実施形態は、いつでも上記アクションを行い、通信開始の初期段階、端末ブートの時等などの状況において、通常通り、通信を許可し、その後、アクセス・ポイント（ＡＰ）との接続後、セキュリティ上の問題の通知により、アクセス・ポイント（ＡＰ）との通信を遮断することを可能にする。

次に、図６を参照するに、プライバシー・セパレータなどの、同一サービス・セット識別子（ＳＳＩＤ）内の端末通信隔離状態からのグルーピングの機能に関する第二の概括的なユースケースについて説明する。この第二の概括的なユースケースでは、セキュア・フローＡＰである、本発明の一実施形態によるセキュリティ管理システムがプライバシ・セパレータ・モードで使用され、セキュリティ強化のために端末間通信が不可とされる。これに関し、端末間の通信不可シーケンスを以下に例示する。図６は、端末Ｃから端末Ｂへの通信不可シーケンスを示す図である。

図６の上部は、初回通信の場合の例示的な通信不可シーケンスを示す。工程Ｓ３０１（図内「ＡＴＯＢＰＡＣＫＥＴ」）で、端末ＣはＡｔｏＢパケットをポートｃ（１５ｃ）に送出する。工程Ｓ３０２（図内「ＡＴＯＢＰＡＣＫＥＴ」）で、受信されたＡｔｏＢパケットはブリッジ１３に送出される。工程Ｓ３０３（図内「ＯＦＱＵＥＲＹＯＮＮＯＦＬＯＷ」）で、ＡｔｏＢパケットを受信すると、ブリッジ１３は、ＯｆｑｕｅｒｙｏｎＮｏＦｌｏｗをＯｐｅｎＦｌｏｗ（登録商標）モジュール１１に対して行う。工程Ｓ３０４（図内「ＣＯＮＴＲＯＬＬＥＲＰＡＣＫＥＴＩＮ」）で、ＯｆｑｕｅｒｙｏｎＮｏＦｌｏｗを受信すると、ＯｐｅｎＦｌｏｗ（登録商標）モジュール１１は、ＣｏｎｔｒｏｌｌｅｒＰａｃｋｅｔＩｎメッセージをＯｐｅｎＦｌｏｗ（登録商標）コントローラ２０（ソフトウェア・ディファインド・ネットワーク（ＳＤＮ）コントローラ）に送出する。工程Ｓ３０５（図内「通信不可」）で、ＣｏｎｔｒｏｌｌｅｒＰａｃｋｅｔＩｎメッセージを受信すると、ＯｐｅｎＦｌｏｗ（登録商標）コントローラ２０（ソフトウェア・ディファインド・ネットワーク（ＳＤＮ）コントローラ）は端末Ｂとの通信を不可とする。工程Ｓ３０６（図内「Ｄｒｏｐ設定」）で、ＯｐｅｎＦｌｏｗ（登録商標）コントローラ２０（ソフトウェア・ディファインド・ネットワーク（ＳＤＮ）コントローラ）は、Ｄｒｏｐ設定メッセージをＯｐｅｎＦｌｏｗ（登録商標）モジュール１１に送出する。工程Ｓ３０７（図内「Ｄｒｏｐ設定」）で、ＯｐｅｎＦｌｏｗ（登録商標）モジュール１１は、受信されたＤｒｏｐ設定メッセージをブリッジ１３に送出する。次いで、最終的に、工程Ｓ３０８（図内「ＰＡＣＫＥＴＤＲＯＰＸ」）で、ブリッジ１３がＰａｃｋｅｔＤｒｏｐＸを行うことで終了する。図６の下部には、初回以降の通信の例示的な通信不可シーケンスを示す。工程Ｓ４０１（図内「ＡＴＯＢＰＡＣＫＥＴ」）で、端末ＡはＡｔｏＢパケットをブリッジ１３に送出する。上記シーケンスは次いで、最終的に、工程Ｓ４０２（図内「ＰＡＣＫＥＴＤＲＯＰＸ」）で、ブリッジ１３がＰａｃｋｅｔＤｒｏｐＸを行うことで終了する。

本発明の一実施形態によるこの第二の概括的なユースケースは、セキュア・フローＡＰである本発明の一部の実施形態によるセキュリティ管理システムがプライバシ・セパレータ・モードにおいて使用され、セキュリティの強化のために端末間通信が不可とされた状態において、ファイル共有等を使用して端末を指定することにより、サービス・セット識別子（ＳＳＩＤ）内の通信を可能にし得る。

本発明の一実施形態によるこの第二の概括的なユースケースは、アクセス・ポイント（ＡＰ）側のプライバシ・セパレータ・モードの解放、又は、（端末の通信を可能にする）端末の別のサービス・セット識別子（ＳＳＩＤ）への接続などの、同一のサービス・セット識別子（ＳＳＩＤ）内の通信を可能にする設定を含む、セキュア・フローＡＰである本発明の一実施形態によるセキュリティ管理システムを提供する。

以下では、セキュア・フローＡＰである本発明の一実施形態による、セキュリティ管理システムにおける禁止通信及び許可通信を選択するための特定の機構について説明する。

図７は、本発明の一実施形態による接続許可端末アドレス・テーブルを示す図である。

接続許可端末アドレス・テーブルは、ＣＳＶ、ＧＵＩ等を介してオペレータによって設定される「ＭＡＣ」、「ＶＬＡＮ」、「接続期間」、及び「接続場所」として示す一組のフィールド、及び、ＡＰＩ、Ｌｏｇを介して資産管理ソフトウェア、セキュリティ・サービス、アンチ・ウィルス・ソフトウェア等によって設定される（併せて「接続端末状態」としても示す）「アプリケーションＡ：脆弱性」及び「アプリケーションＢ」として示す別の組のフィールドを含む。

市販の資産管理ソフトウェア製品及びセキュリティ・サービス・プロバイダには、上述したＩＳＭＣｌｏｕｄＯｎｅ及びＱｕａｌｉｔｙＳｏｆｔが含まれる。市販のアンチ・ウィルス・ソフトウェア製品には、ＫａｓｐｅｒｓｋｙＬａｂ社（本社：英国Ｐａｄｄｉｎｇｔｏｎ）による「ＫａｓｐｅｒｓｋｙＡｎｔｉ−Ｖｉｒｕｓ」が含まれる。

図８は、本発明の一実施形態による、接続許可端末アドレス・テーブルの詳細を示す図である。

ＭＡＣフィールドの「ＡＤＤＲＥＳＳＡ」、「ＡＤＤＲＥＳＳＢ」、「ＡＤＤＲＥＳＳＣ」、「ＡＤＤＲＥＳＳＤ」、「ＡＤＤＲＥＳＳＥ」、及び「ＡＤＤＲＥＳＳＦ」に示すエントリは、接続許可端末のアドレス・データを表す。ＶＬＡＮフィールドに示すエントリは、接続許可端末のネットワーク設定データを表す。接続期間フィールドに示すエントリは接続時間のデータを表す。接続場所フィールドに示すエントリは接続許可の場所のデータを示す。アプリケーションＡ：脆弱性フィールド、及びアプリケーションＢフィールドを含む接続端末状態フィールドに示すエントリは、接続許可アプリケーションによる設定のデータを表す。

本発明の一実施形態による上記第一の概括的及び特定のユースケースにおいて禁止通信を選択する場合、アプリケーションＡ：脆弱性フィールドに示すエントリの一部分はＡからＢに変更される。

上述の通り、本発明の一実施形態は、全ての端末間通信を禁止する訳でなく、全ての端末間通信のうち、禁止通信を明確にすることを可能にする。したがって、本発明の一実施形態は、ファイル共有等などの通信における企業ユースの隣接アクセス・ポイント（ＡＰ）の使用を可能にする。

更に、本発明の一実施形態は、特定の端末において、脆弱性などの、セキュリティ上の問題が発見された場合、端末からの通信を遮断するアクションを行うことを可能にする。

図９は、本発明の一実施形態による、セキュア・フローＡＰにおけるフロー・テーブルの詳細を示す図である。本発明の一実施形態による、セキュア・フローＡＰにおける（フロー・マッチング・テーブルとも呼ばれる）フロー・テーブルは、複数のフロー・エントリを保持し、フロー・エントリそれぞれには、マッチング・フィールド及びアクション・フィールドという２つの要素フィールドが設けられている。マッチング・フィールドにはパケットを受信すると比較される条件式を表すマッチング条件が含まれる一方、アクション・フィールドには、マッチング・フィールドにおける対応するマッチング条件が一致すると、受信パケットに対して実行すべき処理を表すアクションが含まれる。

図９の上部には、端末Ｃからの通信の通常のケースの場合の、一組のマッチング条件（図中「マッチング」）、及び一組のマッチング条件に対応するアクション（図中「アクション」）を表す。

「送信元アドレスＣＨＥＣＫ」の結果が例えば、ＳＯＵＲＣＥ＝Ｃとなるマッチング条件、及び「ＡＰ配下の端末の送信先アドレスＣＨＥＣＫ」の結果が例えば、ＳＯＵＲＣＥ＝ＡＯＲＢとなるマッチング条件が満たされた場合、（無線ネットワーク側で）送信先アドレスにパケットを転送する処理であるアクションが行われる一方、「送信元アドレスＣＨＥＣＫ」の結果が例えば、ＳＯＵＲＣＥ＝Ｃとなるマッチング条件、及び「上位ネットワーク配下の端末の送信先アドレスＣＨＥＣＫ」の結果がＳＯＵＲＣＥ＝ＡＯＲＢ以外となるマッチング条件が満たされた場合、ＶＬＡＮＴＡＧ＝通常ネットワークのＶＬＡＮＴＡＧがパケットに付されて、パケットが送信先アドレスに転送される処理であるアクションが行われる。

図９の下部には、隔離後の端末Ｃからの通信の場合の、別の組のマッチング条件（図中「マッチング」）、及び上記別の組のマッチング条件に対応するアクション（図中「アクション」）を表す。

例えば、「送信元アドレスＣＨＥＣＫ」の結果がＳＯＵＲＣＥ＝Ｃであるマッチング条件、及び「ＡＰ配下の端末の送信先アドレスＣＨＥＣＫ」の結果がＳＯＵＲＣＥ＝ＡＯＲＢであるマッチング条件が満たされた場合、パケットが破棄される処理であるアクションが行われる一方、例えば、「送信元アドレスＣＨＥＣＫ」がＳＯＵＲＣＥ＝Ｃであるマッチング条件、及び「上位ネットワークの端末の送信先アドレスＣＨＥＣＫ」の結果がＳＯＵＲＣＥ＝ＡＯＲＢ以外であるマッチング条件が満たされた場合、ＶＬＡＮＴＡＧ＝隔離ネットワークＶＬＡＮＴＡＧをパケットに付加して、付加されたパケットを送信先アドレスに転送する処理であるアクションが行われる。

以上で、本発明の好ましい実施形態を説明し、例証したが、上述の本発明の好ましい実施形態は本発明を例示するものであり、限定的であると解されないものとする。本発明の範囲から逸脱しない限り、追加、割愛、置換、及び他の修正を行うことが可能である。よって、本発明は、上述の説明によって限定されるものと解されないものとし、特許請求の範囲記載の範囲によってのみ、限定されるものとする。

１０セキュア・フローＡＰ
１１オープンフロー（登録商標）モジュール
１３ブリッジ
１４無線モジュール
１７イーサ・ポート
１８フロー・ルール記憶装置
２０オープンフロー（登録商標）コントローラ
３０ネットワーク

Claims

セキュリティ管理方法であって、
ＳＤＮコントローラにより、前記ＳＤＮコントローラに通信可能に接続されるよう構成されたセキュリティ監視装置からセキュリティ・チェック・リストを受信する工程であって、前記セキュリティ・チェック・リストが、前記ＳＤＮコントローラが通信可能に接続されるよう構成された少なくとも一つのＡＰ装置のうちの一ＡＰ装置配下の一ＳＳＩＤ内に通信可能に接続されるよう構成された複数の端末のうちの一端末上で前記セキュリティ監視装置によって発見されたセキュリティ上の１つ又は複数の問題のリストを含み、前記ＳＤＮコントローラが、前記複数の端末間の通信を監視し、通信の遮断及び隔離を行うセキュリティ管理システムに含まれ、前記一ＳＳＩＤが複数のＳＳＩＤの１つであり、前記セキュリティ管理システムは無線モジュールを含み、前記無線モジュールは前記複数の端末に通信可能に接続されるよう構成され、前記複数のＳＳＩＤを備え、前記通信が前記複数の端末間で可能とされるファイル共有を含み、前記一ＡＰ装置が更に、通常ネットワーク及び隔離ネットワークを含む複数のネットワークに通信可能に接続されるよう構成される工程と、
前記ＳＤＮコントローラにより、前記セキュリティ上の１つ又は複数の問題が発見された前記一端末による通信が前記隔離ネットワークにおいて行われる、パケットの通信フローを作成する工程と、
前記ＳＤＮコントローラにより、前記作成された、パケットの通信フローを前記一ＡＰ装置に送信する工程と、
前記ＳＤＮコントローラにより、前記一ＡＰ装置に、前記セキュリティ上の１つ又は複数の問題が発見された前記一端末を前記通常のネットワークから前記隔離ネットワークに移動させる旨の命令を提供する工程と
を含むセキュリティ管理方法。
請求項１記載のセキュリティ管理方法であって、
前記セキュリティ上の１つ又は複数の問題が発見された前記一端末を前記通常ネットワークから前記隔離ネットワークに移動させる旨の前記命令が、前記セキュリティ上の１つ又は複数の問題が発見された前記一端末についての接続許可端末アドレス・テーブルにおける、前記一端末上の前記セキュリティ上の１つ又は複数の問題を表すエントリを変更する旨の命令を含むセキュリティ管理方法。
請求項１記載のセキュリティ管理方法であって、
プライバシ・セパレータ・モードに前記一ＡＰ装置があり、前記プライバシ・セパレータ・モードでは、前記一ＡＰ装置配下の前記複数のＳＳＩＤのうちの前記一ＳＳＩＤ内に通信可能に接続されるよう構成された前記複数の端末のうちの一端末への通信が禁止されている場合、前記一ＡＰ装置配下の前記複数のＳＳＩＤのうちの前記一ＳＳＩＤ内の前記複数の端末のうちの前記一端末への前記通信の許可が規定されているか否かを、前記ＳＤＮコントローラによって判定する工程と、
前記一端末への前記通信の前記許可が規定されていると判定された場合に、前記判定された一端末への前記通信を、前記ＳＤＮコントローラによって許可する工程と
を更に含むセキュリティ管理方法。
請求項３記載のセキュリティ管理方法であって、
前記判定された一端末への前記通信を、前記ＳＤＮコントローラによって許可する工程は、前記プライバシ・セパレータ・モードから前記ＡＰ装置を、前記ＳＤＮコントローラによって解放する工程を含むセキュリティ管理方法。
請求項３記載のセキュリティ管理方法であって、
前記判定された一端末への前記通信を前記ＳＤＮコントローラによって許可する工程は、前記ＳＳＩＤのうちの前記一ＳＳＩＤとは異なるＳＳＩＤに前記一端末を、前記ＳＤＮコントローラによって接続する工程を含むセキュリティ管理方法。
請求項１記載のセキュリティ管理方法であって、
前記セキュリティ管理システムが前記複数の端末を更に含むセキュリティ管理方法。
請求項６記載のセキュリティ管理方法であって、
前記セキュリティ管理システムが前記複数のネットワークを更に含むセキュリティ管理方法。
請求項７記載のセキュリティ管理方法であって、
前記セキュリティ管理システムが前記セキュリティ監視装置を更に含むセキュリティ管理方法。
請求項１記載のセキュリティ管理方法であって、
前記セキュリティ監視装置が脆弱性監視装置であり、前記セキュリティ上の問題のリストが脆弱性リストであり、前記セキュリティ上の１つ又は複数の問題の前記リストが１つ又は複数の脆弱性のリストであるセキュリティ管理方法。
請求項８記載のセキュリティ管理方法であって、
前記セキュリティ監視装置が脆弱性監視装置であり、前記セキュリティ上の問題のリストが脆弱性リストであり、前記セキュリティ上の１つ又は複数の問題の前記リストが１つ又は複数の脆弱性のリストであるセキュリティ管理方法。
コンピュータに、セキュリティ管理方法を行わせるプログラムであって、
前記セキュリティ管理方法は、
ＳＤＮコントローラにより、前記ＳＤＮコントローラに通信可能に接続されるよう構成されたセキュリティ監視装置からセキュリティ・チェック・リストを受信する工程であって、前記セキュリティ・チェック・リストが、前記ＳＤＮコントローラが通信可能に接続されるよう構成された少なくとも１つのAP装置のうちの一ＡＰ装置配下の一ＳＳＩＤ内に通信可能に接続されるよう構成された複数の端末のうちの一端末上で前記セキュリティ監視装置によって発見されたセキュリティ上の１つ又は複数の問題のリストを含み、前記ＳＤＮコントローラが、前記複数の端末間の通信を監視し、通信の遮断及び隔離を行うセキュリティ管理システムに含まれ、前記一ＳＳＩＤが複数のＳＳＩＤのうちの１つであり、前記セキュリティ管理システムは無線モジュールを含み、前記無線モジュールは前記複数の端末に通信可能に接続されるよう構成され、前記複数のＳＳＩＤを備え、前記通信が前記複数の端末間で可能とされるファイル共有を含み、前記一ＡＰ装置が更に、通常ネットワーク及び隔離ネットワークを含む複数のネットワークに通信可能に接続されるよう構成される工程と、
前記ＳＤＮコントローラにより、前記セキュリティ上の１つ又は複数の問題が発見された前記一端末による通信が前記隔離ネットワークにおいて行われる、パケットの通信フローを作成する工程と、
前記ＳＤＮコントローラにより、前記作成された、パケットの通信フローを前記一ＡＰ装置に送信する工程と、
前記ＳＤＮコントローラにより、前記一ＡＰ装置に、前記セキュリティ上の１つ又は複数の問題が発見された前記一端末を前記通常ネットワークから前記隔離ネットワークに移動させる旨の命令を提供する工程と
を含むプログラム。
請求項１１記載のプログラムであって、
前記セキュリティ上の１つ又は複数の問題が発見された前記一端末を前記通常ネットワークから前記隔離ネットワークに移動させる旨の前記命令が、前記セキュリティ上の１つ又は複数の問題が発見された前記一端末についての接続許可端末アドレス・テーブルにおける、前記一端末上の前記セキュリティ上の１つ又は複数の問題を表すエントリを変更する旨の命令を含むプログラム。
請求項１１記載のプログラムであって、
前記セキュリティ管理方法が、
プライバシ・セパレータ・モードに前記一ＡＰ装置があり、前記プライバシ・セパレータ・モードでは、前記一ＡＰ装置配下の前記複数のＳＳＩＤのうちの前記一ＳＳＩＤ内の前記複数の端末のうちの一端末への通信が禁止されている場合、前記一ＡＰ装置配下の前記複数のＳＳＩＤのうちの前記一ＳＳＩＤ内の前記複数の端末のうちの前記一端末への前記通信の許可が規定されているか否かを、前記ＳＤＮコントローラによって判定する工程と、
前記一端末への前記通信の前記許可が規定されていると判定された場合に、前記判定された一端末への前記通信を、前記ＳＤＮコントローラによって許可する工程と
を更に含むプログラム。
請求項１３記載のプログラムであって、
前記判定された一端末への前記通信を、前記ＳＤＮコントローラによって許可する工程は、前記プライバシ・セパレータ・モードから前記ＡＰ装置を、前記ＳＤＮコントローラによって解放する工程を含むプログラム。
請求項１３記載のプログラムであって、
前記判定された一端末への前記通信を前記ＳＤＮコントローラによって許可する工程は、前記複数のＳＳＩＤのうちの前記一ＳＳＩＤとは異なるＳＳＩＤに前記一端末を前記ＳＤＮコントローラによって接続する工程を含むプログラム。
請求項１１記載のプログラムであって、
前記セキュリティ管理システムが前記複数の端末を更に含むプログラム。
請求項１６記載のプログラムであって、
前記セキュリティ管理システムが前記複数のネットワークを更に含むプログラム。
請求項１７記載のプログラムであって、
前記セキュリティ管理システムが前記セキュリティ監視装置を更に含むプログラム。
請求項１１記載のプログラムであって、
前記セキュリティ監視装置が脆弱性監視装置であり、前記セキュリティ上の問題のリストが脆弱性リストであり、前記セキュリティ上の１つ又は複数の問題の前記リストが１つ又は複数の脆弱性のリストであるプログラム。
請求項１８記載のプログラムであって、
前記セキュリティ監視装置が脆弱性監視装置であり、前記セキュリティ上の問題のリストが脆弱性リストであり、前記セキュリティ上の１つ又は複数の問題の前記リストが１つ又は複数の脆弱性のリストであるプログラム。
セキュリティ管理システムであって、
少なくとも一つのＡＰ装置であって、前記少なくとも一つのＡＰ装置のうちの一ＡＰ装置配下で、複数の端末が一ＳＳＩＤ内で通信可能に接続されるよう構成され、前記セキュリティ管理システムが、前記複数の端末間の通信を監視し、通信の遮断及び隔離を行い、前記一ＳＳＩＤが複数のＳＳＩＤのうちの１つであり、前記一ＡＰ装置は無線モジュールを含み、前記無線モジュールは前記複数のＳＳＩＤを備え、前記複数の端末に通信可能に接続されるよう構成され、前記通信は前記複数の端末間で許可されるファイル共有を含み、前記一ＡＰ装置が更に、通常ネットワーク及び隔離ネットワークを含む前記複数のネットワークに通信可能に接続されるよう構成された、少なくとも一ＡＰ装置と、
前記一ＡＰ装置に通信可能に接続されるよう構成されたＳＤＮコントローラと
を備え、前記ＳＤＮコントローラは更に、
前記ＳＤＮコントローラに通信可能に接続されたセキュリティ監視装置からセキュリティ上の問題のリストを受信する機能であって、前記セキュリティ上の問題のリストが、前記セキュリティ監視装置によって発見された、前記複数の端末のうちの一端末の１つ又は複数のセキュリティ上の問題のリストを含む機能と、
前記１つ又は複数のセキュリティ上の問題が発見された前記一端末による通信が前記隔離されたネットワークにおいて行われる、パケットの通信フローを作成する機能と、
前記１つ又は複数のセキュリティ上の問題が発見された前記一端末を前記通常ネットワークから前記隔離ネットワークに移動させる旨の命令を前記一ＡＰ装置に提供する機能と
を行うよう構成されたセキュリティ管理システム。
請求項２１記載のセキュリティ管理システムであって、
前記セキュリティ上の１つ又は複数の問題が発見された前記一端末を前記通常ネットワークから前記隔離ネットワークに移動させる旨の前記命令は、セキュリティ上の１つ又は複数の問題が発見された前記一端末についての接続許可端末アドレス・テーブルにおける、前記一端末上の前記セキュリティ上の１つ又は複数の問題を表すエントリを変更する旨の命令を含むセキュリティ管理システム。
請求項２１記載のセキュリティ管理システムであって、前記ＳＤＮコントローラは更に、
プライバシ・セパレータ・モードに前記一ＡＰ装置があり、前記プライバシ・セパレータ・モードでは、前記一ＡＰ装置配下の前記複数のＳＳＩＤのうちの前記一ＳＳＩＤ内の前記複数の端末のうちの一端末への通信が禁止されている場合、前記一ＡＰ装置配下の前記複数のＳＳＩＤのうちの前記一ＳＳＩＤ内の前記複数の端末の前記一端末への前記通信の許可が規定されているか否かを判定し、前記一端末への前記通信の前記許可が規定されていると判定された場合に、前記判定された一端末への前記通信を許可する
よう更に構成されたセキュリティ管理システム。
請求項２３記載のセキュリティ管理システムであって、前記ＳＤＮコントローラは、更に、前記プライバシ・セパレータ・モードから前記ＡＰ装置を解放するよう構成されたセキュリティ管理システム。
請求項２３記載のセキュリティ管理システムであって、
前記ＳＤＮコントローラは、前記複数のＳＳＩＤのうちの前記一ＳＳＩＤとは異なるＳＳＩＤに前記一端末を接続するよう更に構成されたセキュリティ管理システム。
請求項２１記載のセキュリティ管理システムであって、更に
前記複数の端末を含むセキュリティ管理システム。
請求項２６記載のセキュリティ管理システムであって、更に
前記複数のネットワークを含むセキュリティ管理システム。
請求項２７記載のセキュリティ管理システムであって、更に
前記セキュリティ監視装置を含むセキュリティ管理システム。
請求項２１記載のセキュリティ管理システムであって、
前記セキュリティ監視装置が脆弱性監視装置であり、前記セキュリティ上の問題のリストが脆弱性リストであり、前記セキュリティ上の１つ又は複数の問題の前記リストが１つ又は複数の脆弱性のリストであるセキュリティ管理システム。
請求項２８記載のセキュリティ管理システムであって、
前記セキュリティ監視装置が脆弱性監視装置であり、前記セキュリティ上の問題のリストが脆弱性リストであり、前記セキュリティ上の１つ又は複数の問題の前記リストが１つ又は複数の脆弱性のリストであるセキュリティ管理システム。