JP6282204B2 - セキュアサイト内のネットワークへのアクセス監視システム、方法 - Google Patents

Description

本発明は、セキュアサイト内のネットワークへのアクセス監視に関し、より具体的には、情報端末のセキュアサイト内のネットワークへのアクセスを監視／管理するためのコントローラ、システム及び方法に関する。

ネットワークに接続可能なパーソナル・コンピュータ（以下、PCと呼ぶ）等の情報端末内の機密情報や個人情報を保護する上で、各々の情報端末内に適用されているOSやアプリケーションのバージョン、管理レベル等を含むセキュリティ情報を把握／管理することは重要である。特にセキュアサイト内のネットワークではその重要性は高い。

従来の技術では、機密情報や個人情報を持つ情報端末はファイヤウォールにより外部からの不正アクセス等を防いだり、OS に対して配信されるパッチを個々に適用したりしてその保護を行っている。

しかし、１人が複数台の情報端末を管理する場合や、複数の利用者が１つの情報端末を共用している場合などにおいて、各々の情報端末のOSやアプリケーションのバージョン、管理レベルを常時最新の状態にしておくことは難しい。すなわち、情報端末の管理やバージョンの管理は、個々の管理者に委ねられる場合が多く、管理者が最新であると信じていても実際にはまだ脆弱性が修正されていないものだったり、あるいはウィルス対策への対応レベルが低かったりする場合が発生する。従って個々の管理者が情報端末のセキュリティレベルを維持・管理していくのには限界があった。

特許5323873号 特開2006-99306号公報

本発明の目的は、上記した従来技術の問題を解決あるいは軽減するべく、情報端末のネットワーク、特にセキュアサイト内のネットワークへのアクセスを監視／管理するためのコントローラ、システム及び方法を提供することである。

本発明の一態様では、情報端末のセキュアサイト内のネットワークへのアクセスを監視するためのコントローラが提供される。そのコントローラは、（ａ）ネットワークへアクセスする前の情報端末から受信した少なくとも１つ以上の当該情報端末に関するセキュリティ情報を記憶する記憶装置と、（ｂ）記憶装置から読み出したセキュリティ情報と、当該セキュリティ情報に関するアクセス許可基準とから情報端末のネットワークへのアクセスの可否を判断し、その判断結果に応じて、情報端末の前記ネットワークへのアクセスの許可または遮断するための制御信号を生成する処理装置と、を備える。

本発明の一態様によれば、情報端末がセキュアサイト内のネットワークへのアクセス前に、その情報端末のセキュリティ状態からそのアクセスの可否を自動的に判断して、セキュリティ状態に問題のある情報端末のアクセスを遮断することができる。

本発明の一態様では、コントローラは、ＲＦＩＤリーダを介して情報端末が備えるＲＦＩＤタグに保管されているセキュリティ情報を受信する。

本発明の一態様によれば、情報端末が起動していない状態においても、情報端末がセキュアサイト内へ入ってきた段階で、自動的にセキュリティ状態に問題のある情報端末であるか否かを判断することができる。

本発明の他の一態様では、情報端末のセキュアサイト内のネットワークへのアクセスを管理するための管理システムが提供される。その管理システムは、（ａ）ネットワークへアクセスする前の情報端末から少なくとも１つ以上の当該情報端末に関するセキュリティ情報を受け取るための受信装置と、（ｂ）受信装置から受け取ったセキュリティ情報と、当該セキュリティ情報に関する最新のアクセス許可基準とから情報端末のネットワークへのアクセスの可否を判断し、その判断結果に応じて、情報端末のネットワークへのアクセスの許可または遮断するための制御信号を生成するコントローラと、（ｃ）コントローラからの制御信号に応じて情報端末のネットワークへのアクセスを許可または遮断するためのフィルタ装置と、を含む。

本発明の他の一態様によれば、情報端末がセキュアサイト内のネットワークへのアクセス前に、その情報端末のセキュリティ状態からそのアクセスの可否を自動的に判断して、セキュリティ状態に問題のある情報端末のアクセスを遮断することができる。

本発明の他の一態様では、コントローラを用いて情報端末のセキュアサイト内のネットワークへのアクセスを監視するための方法が提供される。その方法は、 （ａ）ネットワークへアクセスする前の情報端末から少なくとも１つ以上の当該情報端末に関するセキュリティ情報を受け取るステップと、（ｂ）受け取ったセキュリティ情報と、当該セキュリティ情報に関する最新のアクセス許可基準とから情報端末の前記ネットワークへのアクセスの可否を判断するステップと、（ｃ）当該判断結果に応じて、情報端末のネットワークへのアクセスの許可または遮断するための制御信号を生成するステップと、（ｄ）制御信号に応じて情報端末のネットワークへのアクセスを許可または遮断するステップと、を含む。

本発明の他の一態様によれば、情報端末がセキュアサイト内のネットワークへのアクセス前に、その情報端末のセキュリティ状態からそのアクセスの可否を自動的に判断して、セキュリティ状態に問題のある情報端末のアクセスを遮断することができる。

本発明の管理システムの構成例を示す図である。 本発明のコントローラの構成例を示す図である。 本発明のＲＦＩＤの構成例を示す図である。 本発明の方法のフローを示す図である。

図面を参照しながら本発明の実施の形態を説明する。図１は、本発明の管理システムの構成例を示す。図１の管理システム１００は、セキュアサイトのネットワーク１８に通信可能に接続する場合の構成例を示している。ここで、セキュアサイト（secured site）とは、例えば企業内の機密性の高い部門等のセキュリティ管理が重要なエリアを意味する。セキュアサイトは、物理的には１つの建物内に限られず、ネットワーク１８を介して通信可能に接続する離れた２以上の場所を含むこともできる。図１の破線は、無線あるいは有線の通信経路を示す。

管理システム１００は、コントローラ１０、ＲＦＩＤリーダ１２及びフィルタ装置１６を基本構成として含む。符号２０、２２、２４、２６は情報端末を表す。情報端末には、例えばノート型ＰＣ、タブレット型ＰＣ、スマートフォン等が含まれる。情報端末２０、２２は、これからネットワーク１８に接続（アクセス）しようとしている情報端末である。情報端末２４、２６は、既にネットワーク１８に接続している情報端末である。符号３０はネットワーク１８に接続する記憶装置を示す。記憶装置３０には、例えばＨＤＤ、テープ記憶装置、光／光磁気ディスク装置等が含まれる。

コントローラ１０は、いわゆるコンピュータからなることができ、例えばＰＣ、サーバ等を含むことができる。コントローラ１０は、所定のプログラム（ソフトウェア）の実行下で本発明の方法（機能）を実現する。ＲＦＩＤリーダ１２は、アンテナ１４を介して、情報端末２０、２２に付随するＲＦＩＤタグ（以下、デバイスとも呼ぶ）を駆動させるための電磁波を送信し、ＲＦＩＤデバイスから所定の情報を受信する。ＲＦＩＤリーダ１２は、その受信した情報をコントローラ１０に送信する。ＲＦＩＤリーダ１２は、コントローラ１０の一部としてコントローラ１０に内蔵あるいは付随させることもできる。なお、ＲＦＩＤリーダ１２は非接触型（無線式）の情報記憶及び読み取り装置の一例として示されており、これと同様な機能を備える他の非接触型（無線式）の情報記憶及び読み取り装置を用いることもできる。

フィルタ装置１６は、情報端末のネットワーク１８へのアクセスを許可（通過）あるいは遮断するための装置であり、例えばいわゆるファイアフォール（フィルタ）の機能を備える装置が該当する。情報端末は、フィルタ装置１６を介してのみネットワーク１８へのアクセスを行うことができる。フィルタ装置１６は、コントローラ１０の一部としてコントローラ１０に内蔵あるいは付随させることもできる。

図２は、図１のコントローラ１０の構成例を示すブロック図である。コントローラ１０は、バス103を介して相互に接続された演算処理装置（CPU）101、記憶装置102、各種I/F104を含む。各種I/F104は、入力IF、出力I/F、外部記憶I/F、外部通信I/F等を含む総称として用いられ、各I/Fが、それぞれ対応するキーボード、マウス、通信アダプタ等の入出力手段105、CRT、LCD等の表示手段106、USB接続の半導体メモリやHDD等の外部記憶装置107等に接続する。記憶装置102は、RAM、ROM等の半導体メモリ、HDD等を含むことができる。本発明の機能（方法）は、コントローラ１０が例えば記憶装置102、107に格納された所定のソフトウェア呼び出して実行することにより実施される。

図３は、情報端末２０等に付随するＲＦＩＤデバイス４０の構成例を示すブロック図である。ＲＦＩＤデバイス４０は、情報端末の中あるいは外側壁に設置することができる。アンテナ４０２は、図１のＲＦＩＤリーダ１２から駆動電力となる電磁波を受信し、その電磁波をアナログ論理回路４０４で誘導起電流に変換して、その起電流をバッテリ４０６へ送る。バッテリ４０６は入力電流を蓄電し、ＲＦＩＤタグ（デバイス）４０の駆動電力を供給する。これにより、情報端末のパワーがオフの状態でもＲＦＩＤタグ（デバイス）４０から必要な情報を得ることが可能となる。なお、バッテリ４０６は情報端末内のバッテリ等から電力（電流）を受け取ることもできる。これにより、ＲＦＩＤリーダ１２からの電磁波が弱いような場合でも比較的遠い位置にあるコントローラ１０に対しても情報を送信することが可能となる。

コントローラ４０８は、インターフェイス４１０を介して情報端末内のＣＰＵ、メモリ等に通信可能に接続する。インターフェイス４１０は、例えばＩ^２Ｃインターフェイスを用いることができる。コントローラ４０８は、インターフェイス４１０を介して情報端末で動作するＯＳ、アプリケーション、アンチウィルス等のソフトウェアの種類（ＩＤ）、バージョン等のセキュリティ情報を受け取る。コントローラ４０８は、受け取ったセキュリティ情報をメモリ４１２に保管する。メモリ４１２は、例えばフラッシュメモリのような不揮発性メモリを含む。なお、情報端末では、専用のドライバを用いて、ソフトウェアの導入時あるいは更新時にそのＩＤやバージョン等のセキュリティ情報をＲＦＩＤデバイス４０へ送るように設定されている。

次に、図面を参照しながら本発明の方法のフローについて説明する。図４は、本発明の一実施形態の方法フローを示す図である。図４のフローは基本的な方法フローを示している。図４のフローについて、図１のシステム構成をベースにして以下に説明する。図４のフローは、既に説明したようにコントローラ１０によって（その制御下で）実行される。

ステップＳ１１において、コントローラ１０は、情報端末２０、２２がセキュアサイトに入って来たかを検索する。具体的には、コントローラ１０は、ＲＦＩＤリーダ１２を介して、情報端末２０、２２のＲＦＩＤデバイス４０の有無を検索するための信号を送る。ステップＳ１２において、情報端末（ＲＥＩＤ）の有無の判定を行う。具体的には、先に送った検索信号に対する応答（ＩＤ情報を含むＡｃｋ）の有無によってその判断を行う。この判定がＮｏの場合、ステップＳ１２に戻って継続して情報端末の検索を行う。なお、ＲＦＩＤデバイス４０が付随していない情報端末のアクセスは許容されることが無いことから、ＲＦＩＤデバイス４０が付随する、言い換えればＲＦＩＤデバイス４０の有無が予め登録された情報端末のみにアクセスを限定することができる。これにより、未登録の情報端末によるネットワークへのアクセスを完全に防ぐことができる。

ステップＳ１２の判定がＹｅｓの場合、次のステップＳ１３において、見つかった情報端末２０、２２からセキュリティ情報を取得する。具体的には、既に図３を参照しながら説明した情報端末内のメモリ４１２に保管されているＯＳ、アプリケーション、アンチウィルス等のソフトウェアの種類（ＩＤ）、バージョン等のセキュリティ情報を受け取る。その受け取りは、図１のＲＦＩＤリーダ１２を介して行われる。受け取ったセキュリティ情報は、コントローラ１０の記憶装置102、107に格納される。

ステップＳ１４において、見つかった情報端末２０、２２のネットワーク１８へのアクセスの可否が判断される。具体的には、例えば以下のように判断される。なお、アクセス許可基準となるソフトウェアの最新のバージョン情報等はコントローラ１０において定期的に更新され、最新の情報が記憶装置102、107に格納されている。
（ｉ）ＯＳ、アプリケーション、アンチウィルス等のソフトウェアの種類（ＩＤ）が、登録されているアクセスさせても良いソフトウェアに一致するか否かで判断する。これにより、情報端末の危険性のあるソフトウェアの実行下でのアクセス（不正アクセス）を未然に防ぐことができる。
（ｉｉ）ＯＳを含むソフトウェアのバージョンが最新あるいは問題の無いバージョンレベル以上であるか否かにより判断する。これにより、ウィルス対策等が最新のバージョンでのアクセスのみを許可することが可能となる。
（ｉｉｉ）上記の（ｉ）及び（ｉｉ）の判断は、ソフトウェア毎に行うので、情報端末で実行されるソフトウェア単位でアクセスの可否判断を行うことができる。すなわち、例えば、ＯＳ１は最新バージョンのみＯＫ、アプリケーションＡはバージョン３以上ならＯＫ、アプリケーションＣはバージョンに拘わらずＮＧ、といったような判断をおこなうことができる。

情報端末のアクセスが許可できる場合、ステップＳ１６において、アクセス許可信号の生成及び送信が行われる。具体的には、図１のフィルタ装置１６に対して、情報端末のＩＤ（例えばIP Address）と共にアクセス許可のフィルタ信号を送信する。その際、上述したように情報端末で動作するソフトウェア単位でアクセス許可信号の生成及び送信をおこなうことができる。その場合、情報端末のＩＤと共に該当するソフトウェアのＩＤも同時にフィルタ装置１６に送信される。ステップＳ１７において、フィルタ装置１６は受信したＩＤを持つ情報端末／ソフトウェアからのアクセスを許可（フィルタ解除）する。これにより、その情報端末は、起動後においてネットワーク１８へのアクセスを行うことができる。

情報端末のアクセスが許可できない場合、ステップＳ１８において、アクセス遮断信号の生成及び送信が行われる。具体的には、図１のフィルタ装置１６に対して、情報端末のＩＤと共にアクセス遮断のフィルタ信号を送信する。その際、アクセ許可の場合と同様に、情報端末で動作するソフトウェア単位でアクセス遮断信号の生成及び送信をおこなうことができる。その場合、情報端末のＩＤと共に該当するソフトウェアのＩＤも同時にフィルタ装置１６に送信される。ステップＳ１９において、フィルタ装置１６は受信したＩＤを持つ情報端末／ソフトウェアからのアクセスを遮断する。これにより、その情報端末は、起動後においてネットワーク１８へのアクセスを行うことができない。

フィルタ装置１６が初期値として全てのアクセスパスを遮断している場合は、ステップＳ１８、Ｓ１９のフローを省略することができる。この場合、ＲＦＩＤデバイス４０が付随していない情報端末のアクセスは許容されることが無いことになる。また、コントローラ１０は、アクセスを許可しない情報端末に対して、そのアクセス遮断の判断結果を送信して、その理由を知らせると共に該当するソフトウェアのバージョンの更新等を促すようにすることができる。

ステップＳ２０において、ステップＳ１１の検索を終了するか否かを判定する。終了しない場合は、ステップＳ１１に戻って検索を継続する。セキュアサイトの一時的あるいは定期的な閉鎖等により検索を終了する場合は本方法のフローを終了する。

上記した実施形態で説明した本発明は、例えば以下のような作用効果を奏することができる。
（ａ）使用者も気づかない古いバージョンのOS、アプリケーション、アンチウィルス等を使用した情報端末をネットワークに接続する以前に自動的に把握することができ、接続直後に外部からの脅威にさらされる危険性が減少する。
（ｂ）情報端末が脆弱性を持つアプリケーションを使用して不用意に情報を漏洩させることを防止することができる。
（ｃ）各情報端末の持つOSやアプリケーションのバージョン情報をコントローラで一元管理できるので、個々の情報端末の管理者はOSやアプリケーションのバージョンが最新状態にあるか否か気にする必要がなく、旧版OSやアプリケーションによる脆弱な部分から情報漏洩のリスクを回避することができる。
（ｄ）コントローラによりフィルタ装置の通過を拒否された情報端末の管理者が最新版でないアプリケーションが導入されていないことを認識すれば、別途その情報端末に最新版を導入することができる。導入されたことはRFIDを通してコントローラに伝えられるので、最新版になった時点でフィルタ装置でのフィルタが生成されて、フィルタ装置を通過することができるようになる。
（ｅ）フィルタの生成までは、情報端末が起動する前、もしくはネットワーク構成がされる前にできあがるので、OS等のソフトウェアの最新のバージョンを持った情報端末であればセキュアサイトに入ってネットワークに接続する段階ですでにフィルタ装置を通過する環境が整っていることになる。

本発明の実施形態について、図を参照しながら説明をした。しかし、本発明はこれらの実施形態に限られるものではない。さらに、本発明はその趣旨を逸脱しない範囲で当業者の知識に基づき種々なる改良、修正、変形を加えた態様で実施できるものである。

１０ コントローラ
１２ ＲＦＩＤリーダ
１４、４０２ アンテナ
１６ フィルタ装置
１８ ネートワーク
２０、２２、２４、２６ 情報端末
３０ 記憶装置
４０ ＲＦＩＤデバイス
４０４ アナログ論理回路
４０６ バッテリ
４０８ コントローラ
４１０ インターフェイス
４１２ メモリ
１００ 管理システム

Claims (6)

1. 情報端末のセキュアサイト内のネットワークへのアクセスを監視するためのコントローラであって、
   前記ネットワークへアクセス要求を出す前の情報端末が備えるＲＦＩＤタグから受信した当該情報端末のＩＤ情報と少なくとも１つ以上の当該情報端末に関するセキュリティ情報を記憶する記憶装置と、
   前記記憶装置から読み出した前記ＩＤ情報及び前記セキュリティ情報と、当該ＩＤ情報及びセキュリティ情報に関するアクセス許可基準とから前記情報端末の前記ネットワークへのアクセスの可否を判断し、当該判断結果に応じて、前記情報端末の前記ネットワークへのアクセスの許可または遮断するための前記ネットワークのファイヤウォールのフィルタリング信号を生成する処理装置と、を備え、
   前記ＩＤ情報及び前記セキュリティ情報は前記情報端末のＲＦＩＤへの検索信号に対する応答として受信され、前記セキュリティ情報は、前記情報端末で動作するソフトウェアの種類（ＩＤ）及びバージョンの情報を含み、
   前記処理装置は、前記ＩＤ情報が取得できない場合は、前記情報端末の前記ネットワークへのアクセスを全て遮断し、前記ＩＤ情報が取得できた場合に、さらに、前記情報端末で動作するソフトウェアの種類（ＩＤ）が登録されているアクセスさせても良いソフトウェアに一致しない場合、及び前記ソフトウェアが所定のバージョン以上でない場合は、当該一致しないソフトウェア及び所定のバージョン以上でないソフトウェアの各々の実行下での前記情報端末の前記ネットワークへのアクセスを遮断するための前記フィルタリング信号を生成する、コントローラ。
2. 前記処理装置は、前記アクセス許可基準として、所定のソフトウェアの最新のバージョン情報を受け取り、当該最新のバージョン情報を前記記憶装置に保管する、請求項１に記載のコントローラ。
3. 情報端末のセキュアサイト内のネットワークへのアクセスを管理するための管理システムであって、
   前記ネットワークへアクセス要求を出す前の情報端末が備えるＲＦＩＤタグから当該情報端末のＩＤ情報と少なくとも１つ以上の当該情報端末に関するセキュリティ情報を受け取るためのＲＦＩＤリーダと、
   前記ＲＦＩＤリーダから受け取った前記ＩＤ情報及び前記セキュリティ情報と、当該ＩＤ情報及びセキュリティ情報に関する最新のアクセス許可基準とから前記情報端末の前記ネットワークへのアクセスの可否を判断し、当該判断結果に応じて、前記情報端末の前記ネットワークへのアクセスの許可または遮断するための前記ネットワークのファイヤウォールのフィルタリング信号を生成するコントローラと、
   前記コントローラからの前記フィルタリング信号に応じて前記情報端末の前記ネットワークへのアクセスを許可または遮断するためのフィルタリング装置と、を備え、
   前記ＩＤ情報は前記情報端末のＲＦＩＤへの検索信号に対する応答として受信され、前記セキュリティ情報は、前記情報端末で動作するソフトウェアの種類（ＩＤ）及びバージョンの情報を含み、
   前記コントローラは、前記ＩＤ情報が取得できない場合は、前記情報端末の前記ネットワークへのアクセスを全て遮断し、前記ＩＤ情報が取得できた場合に、さらに、前記情報端末で動作するソフトウェアの種類（ＩＤ）が登録されているアクセスさせても良いソフトウェアに一致しない場合、及び前記ソフトウェアが所定のバージョン以上でない場合は、当該一致しないソフトウェア及び所定のバージョン以上でないソフトウェアの各々の実行下での前記情報端末の前記ネットワークへのアクセスを遮断するための前記フィルタリング信号を生成する、管理システム。
4. 前記コントローラは、記憶装置を含み、前記アクセス許可基準として、所定のソフトウェアの最新のバージョン情報を受け取り、当該最新のバージョン情報を前記記憶装置に保管する、請求項３に記載の管理システム。
5. コントローラを用いて情報端末のセキュアサイト内のネットワークへのアクセスを監視するための方法であって、
   前記ネットワークへアクセス要求を出す前の情報端末が備えるＲＦＩＤタグから当該情報端末のＩＤ情報と少なくとも１つ以上の当該情報端末に関するセキュリティ情報を受け取るステップであって、前記ＩＤ情報が取得できない場合は継続して情報端末のＩＤ情報を検索する、ステップと、
   受け取った前記ＩＤ情報及び前記セキュリティ情報と、当該ＩＤ情報及びセキュリティ情報に関する最新のアクセス許可基準とから前記情報端末の前記ネットワークへのアクセスの可否を判断するステップと、
   前記判断の結果に応じて、前記情報端末の前記ネットワークへのアクセスの許可または遮断するための前記ネットワークのファイヤウォールのフィルタリング信号を生成するステップと、
   前記フィルタリング信号に応じて前記情報端末の前記ネットワークへのアクセスを許可または遮断するステップと、を含み、
   前記情報端末の前記ネットワークへのアクセスの可否を判断するステップは、
   前記ＩＤ情報が取得できた場合に、さらに、前記情報端末で動作するソフトウェアの種類（ＩＤ）が登録されているアクセスさせても良いソフトウェアに一致しない場合、及び前記ソフトウェアが所定のバージョン以上でない場合は、当該一致しないソフトウェア及び所定のバージョン以上でないソフトウェアの各々の実行下での前記情報端末の前記ネットワークへのアクセスを遮断する判断をすることを含む、方法。
6. 請求項５の各ステップを前記コントローラに実行させるためのコンピュータ・プログラム。

Images