JP6728468B2 - クライアント端末のセキュリティを管理するセキュリティ管理装置及びセキュリティ管理方法 - Google Patents

Description

本発明はクライアント端末のセキュリティを管理するセキュリティ管理装置及びセキュリティ管理方法に関する。より詳しくはクライアント端末のセキュリティの判断に使用される属性値をクライアント端末から受信し、クライアント端末のセキュリティを管理する管理者に属性基準を生成させ、このように生成された属性基準と受信された属性値とを比較して、比較の結果に基づいてクライアント端末のセキュリティを判断して管理するセキュリティ管理装置及びセキュリティ管理方法に関する。

企業体のように多数の構成員を有する集団にはその構成員の数に応じて複数のコンピュータ（以下、クライアント端末という）が備えられていることがある。このような集団のネットワーク管理者は、複数のクライアント端末のセキュリティを管理する。例えば、管理者はクライアント端末のセキュリティ設定がウイルスに弱いかどうかを把握しなければならず、ウイルスに脆弱なクライアント端末のセキュリティ設定をウイルスに弱くないように変更できなければならない。

クライアント端末のセキュリティを管理する方法として、次のような技術が挙げられる。複数のクライアント端末を管理するセキュリティ管理サーバは、クライアント端末のセキュリティを判断するための基準であるセキュリティ政策を生成した後に、これをエージェント設置済みのクライアント端末へ伝達する。エージェントは、セキュリティ管理サーバから伝達されたセキュリティ政策に基づいてクライアント端末のセキュリティを判断する。エージェントによるクライアント端末のセキュリティに対する判断結果は、セキュリティ管理サーバへ伝達される。

前述の技術によれば、セキュリティ管理サーバは、エージェントによるセキュリティに対する判断結果のみをクライアント端末から伝達してもらう。このとき、セキュリティ管理サーバは、伝達された結果に基づいてセキュリティが良くないクライアント端末がどれか、かつセキュリティが良くないものと判断されたセキュリティ政策がどれかが分かる。セキュリティが良くないと判断されたセキュリティ政策に基づいて、セキュリティ管理サーバはクライアント端末のセキュリティを補完することができる措置をクライアント端末へ伝達する。しかし、セキュリティ管理サーバは、当該セキュリティ政策に係わってクライアント端末が如何なる属性値を有するからセキュリティが良くないものと判断されたかは分からない。

また、前述の技術において、セキュリティ政策が変更され、このように変更されたセキュリティ政策に基づいてクライアント端末のセキュリティを判断する必要がある場合、 セキュリティ管理サーバは、変更されたセキュリティ政策をクライアント端末へ再び伝達しなければならない。しかるのち、クライアント端末に設置されたエージェントが変更されたセキュリティ政策に基づいてセキュリティを判断すると、クライアント端末がその結果をセキュリティ管理装置へ伝達することになる。このようにして初めて、セキュリティ管理装置は変更されたセキュリティ政策によるクライアント端末のセキュリティを確認することができる。

一実施形態による解決しようとする課題は、クライアント端末のセキュリティを管理する装置において、クライアント端末の属性値を取得し、それに基づいてクライアント端末のセキュリティをセキュリティ管理装置で判断する技術を提供することである。

また、クライアント端末のセキュリティを判断するに当たり、その基準となる属性基準を、複数のクライアント端末のセキュリティを管理する管理者がセキュリティ管理装置で生成または修正可能にする技術を提供することである。

ただし、解決しようとする課題は、前述した目的に制限されない。

一実施形態に係るセキュリティ管理装置は、クライアント端末から前記クライアント端末のセキュリティの判断に使用される属性値を受信する通信部と、前記クライアント端末のセキュリティを判断する基準となる属性基準が記憶される記憶部と、前記属性基準を前記属性値と比較し、前記比較の結果に基づいて前記クライアント端末のセキュリティを判断する判断部とを含む。

前記記憶部は、前記セキュリティ管理装置が前記クライアント端末へ送信する少なくとも二つの属性項目のリストを記憶し、前記通信部は、前記属性項目のリストが前記クライアント端末へ送信されたことに対する応答として、前記属性項目のリストに含まれた各々の属性項目に当たる属性値を前記クライアント端末から受信することができる。

前記セキュリティ管理装置は、前記セキュリティ管理装置の管理者から前記属性項目のリストが入力されるインターフェース部をさらに含むことができる。

また、前記属性基準は、前記クライアント端末のセキュリティを判断する基準であり、前記属性値を複数組み合わせる方式を示すことができる。

前記セキュリティ管理装置の管理者から前記属性値を複数組み合わせる方式が入力されるインターフェース部をさらに含むことができる。

また、前記記憶部は、前記クライアント端末が複数存在する時、クライアント端末の属性値を把握して前記セキュリティ管理装置へ伝達するエージェントが設置されたクライアント端末を識別する基準識別情報のリストを記憶し、前記判断部は、前記複数のクライアント端末のうちいずれか一つのクライアント端末から、当該クライアント端末にパケットを送信したクライアント端末を識別する獲得識別情報のリストが前記通信部を介して受信されれば、前記獲得識別情報のリストと、前記基準識別情報のリストとを比較し、前記獲得識別情報のリストと前記基準識別情報のリストとを比較した結果に基づいて前記複数のクライアント端末のそれぞれに前記エージェントが設置されているか否かを判断することができる。

また、前記パケットは、アドレス解決プロトコル(Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＡＲＰ)ブロードキャストパケットであることができる。

また、前記記憶部は、前記クライアント端末が複数存在する場合、クライアント端末の属性値を把握して前記セキュリティ管理装置へ伝達するエージェントが設置されたクライアント端末を識別する基準識別情報のリストを記憶し、前記判断部は、前記複数のクライアント端末からＴＣＰ／ＩＰパケットを受信するミラーリングサーバから前記複数のクライアント端末を識別する獲得識別情報のリストが前記通信部を介して受信されれば、前記獲得識別情報のリストと前記基準識別情報のリストとを比較し、前記獲得識別情報のリストと前記基準識別情報のリストとを比較した結果に基づいて、前記複数のクライアント端末のそれぞれに前記エージェントが設置されているか否かを判断することができる。

前記判断されたクライアント端末のセキュリティに応じて、前記クライアント端末に適用される措置が、前記通信部を介して前記クライアント端末へ伝達するように制御する制御部をさらに含むことができる。

また前記措置は、前記クライアント端末のネットワークへの接続を制限する命令又は前記クライアント端末に含まれたディスプレイ部にセキュリティを改善するメッセージを表示させる命令を含むことができる。

なお、前記判断部は、前記属性基準が複数である場合、前記複数の属性基準ごとに前記クライアント端末のセキュリティを判断し、前記セキュリティ管理装置は、前記複数の属性基準ごとに判断された前記クライアント端末のセキュリティを数字に換算し、前記数字を合算して前記クライアント端末のセキュリティ指数を算出する制御部をさらに含むことができる。

また、前記クライアント端末のセキュリティ指数を表示する表示部をさらに含むことができる。

また、前記通信部を介して前記属性値が受信される過程と、前記判断部によって前記クライアント端末のセキュリティを判断する過程とが、あらかじめ定められたスケジュールに従って行われるように制御する制御部をさらに含むことができる。

また、前記判断部によって前記属性基準と前記属性値とを比較した結果、前記クライアント端末のセキュリティが判断できない場合、前記属性基準に対する修正が必要であることを表示する表示部をさらに含むことができる。

また、前記判断部によって前記属性基準と前記属性値とを比較した結果、前記クライアント端末のセキュリティが判断できない場合、前記セキュリティ管理装置を管理する管理サーバに、前記通信部を介して前記属性基準に対する修正を要請し、修正された属性基準が前記通信部を介して受信されると、前記記憶部に記憶された属性基準を前記受信された属性基準に修正する制御部をさらに含むことができる。

一実施形態に係るセキュリティ管理装置によって行われるセキュリティ管理方法は、クライアント端末から前記クライアント端末のセキュリティの判断に使用される属性値を受信するステップと、前記クライアント端末のセキュリティを判断する基準となる既に記憶された属性基準と前記属性値とを比較するステップと、前記比較の結果に基づいて前記クライアント端末のセキュリティを判断するステップとを含むことができる。

一実施形態によれば、クライアント端末のセキュリティを判断するに当たりその基準となる属性基準を新しく生成するか変更する必要がある場合、セキュリティ管理装置を開発した開発社、すなわち管理サーバに属性基準の生成や変更を依頼しなくても管理者が自ら属性基準を生成または変更することができる。

また、セキュリティ管理装置は、クライアント端末のセキュリティの判断に使用される属性値をクライアント端末から受信して記憶する。これによって、属性基準が新しく生成されたり変更される場合、セキュリティ管理装置はこのように記憶された属性値と、生成又は変更された属性基準とを比較してクライアント端末のセキュリティを判断することができる。すなわち、セキュリティ管理装置は生成又は変更された属性基準がクライアント端末に適用されるように伝達する必要がなくなる。

一実施形態によるセキュリティ管理装置によってクライアント端末のセキュリティが管理されるシステムを示す図である。 図１に示されたセキュリティ管理装置の構成を示す図である。 一実施形態によるセキュリティ管理装置によってクライアント端末のセキュリティを判断する手続きを示す図である。 一実施形態によるセキュリティ管理方法の各ステップを示す図である。

本発明の利点及び特徴、並びにそれらを達成する方法は、添付される図面と一緒に詳しく後述されている実施例を参照すると、明らかになるはずである。しかし、本発明は以下に開示される実施例に限定されるものではなく、互いに異なる多様な形態で具現でき、ただ本実施例は、本発明の開示を完全にし、本発明の属する技術分野における通常の知識を持つ者に発明の範疇を完全に知らせるために提供されるものである。本発明は請求項の範疇によって定義されるだけである。

本発明の実施例を説明するにおいて、公知の機能又は構成に対する具体的な説明が本発明の要旨を無駄に濁し得ると判断される場合には、その詳細な説明を略する。また、後述する用語は本発明の実施例での機能を考慮して定義された用語であって、これはユーザ、オペレータの意図または慣例などによって変わることができる。それゆえ、本明細書の全般に亘っての内容に基づいて定義されなければならない。

以下、添付された図面を参照して本発明の実施例について説明する。

図１は、一実施形態によるセキュリティ管理装置によってクライアント端末のセキュリティが管理されるシステムを示す図である。

図１を参照すれば、システム１０は、複数のクライアント端末２００と、セキュリティ管理装置１００と、管理サーバ３００とを含むように構成され、実施例によってミラーリングサーバ４００をさらに含むように構成されることもでき、ただし、セキュリティ管理装置１００が図１に示されているシステムのみに限定して動作するものと解されるものではない。システム１０を構成する前述の構成要素は、ネットワーク５００によって互いに接続される。ネットワーク５００は、例えば、インターネット（Ｉｎｔｅｒｎｅｔ）、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、無線ＬＡＮ（Ｗｉｒｅｌｅｓｓ Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）、ＰＡＮ（Ｐｅｒｓｏｎａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）などで具現でき、これらに限定されるものではない。

クライアント端末２００は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）のようなデスクトップ（Ｄｅｓｋｔｏｐ）、ノート・パソコン（Ｎｏｔｅｂｏｏｋ）、ラップトップ（Ｌａｐｔｏｐ）、サーバ（Ｓｅｒｖｅｒ）、モバイル端末またはスマート機器などを含むことができ、これらに限定されるものではない。クライアント端末２００は複数個で構成されることができる。

クライアント端末２００についてより詳しく説明すると、クライアント端末２００は、属性項目に当たる属性値を有する。属性項目とは、クライアント端末２００のハードウェア的またはソフトウェア的な構成を示すものであって、例えば、ＯＳ種類やバージョン、レジストリに関する情報、レジストリへのアクセス権限、ファイルの属性や権限、フォルダに関する情報や権限、ハードウェアに関する情報や権限、アカウントに対する情報などを意味することができる。このような属性項目は少なくとも二つ以上が集まってリストの形態を持つ。属性値とは、属性項目が持つ具体的な値を意味し、例えば、ＯＳがウィンドウズ（登録商標）とかリナックス（登録商標）であること、ファイルのバージョンが１．１や１．３であることなどを意味することができる。属性値はクライアント端末２００のユーザやセキュリティ管理装置１００によって設定又は変更が可能である。

クライアント端末２００にはエージェント（ａｇｅｎｔ）が設置されることができる。エージェントは、クライアント端末２００のセキュリティに係わるプロセスを行うことができる。例えば、クライアント端末２００がセキュリティ管理装置１００からセキュリティを強化させる措置を受信した場合、エージェントはかかる措置をすることができる。また、エージェントは、クライアント端末２００の属性値を獲得することができる。例えば、クライアント端末２００がセキュリティ管理装置１００から属性項目のリストを受信した場合、エージェントは属性項目のリストに含まれた属性項目に当たる属性値をクライアント端末２００から獲得することができる。

管理サーバ３００は、セキュリティ管理装置１００を管理する構成である。例えば、管理サーバ３００は、セキュリティ管理装置１００の動作方式などを生成し、状況に応じてセキュリティ管理装置１００の動作方式などを変えることができる。このような管理サーバ３００は、例えば、コンピューターであることができる。

ミラーリングサーバ４００については後述する。

セキュリティ管理装置１００は、クライアント端末２００のセキュリティを判断して管理する。セキュリティ管理装置１００は、ＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）のようなデスクトップ（Ｄｅｓｋｔｏｐ）、ノート・パソコン（Ｎｏｔｅｂｏｏｋ）、ラップトップ（Ｌａｐｔｏｐ）、サーバ（Ｓｅｒｖｅｒ）、モバイル端末またはスマート機器などで具現可能であり、ただしこれらに限定されるものではない。以下ではセキュリティ管理装置１００についてより詳しく述べる。

図２は、一実施形態によるセキュリティ管理装置の構成を示す図である。

図２を参照すれば、セキュリティ管理装置１００は、通信部１１０と、記憶部１２０と、判断部１５０とを含み、実施例によって、表示部１３０と、インターフェース部１４０と、制御部１６０とをさらに含むことができる。

通信部１１０は、セキュリティ管理装置１００がクライアント端末２００又は管理サーバ３００とのデータ送受信を行うことができるようにする。該通信部１１０は、有線または無線通信モジュールで具現できる。

記憶部１２０はデータを記憶する。例えば、記憶部１２０は属性項目のリスト、クライアント端末２００の属性値または属性基準をそれぞれ少なくとも一つずつ記憶することができ、記憶するデータがこれらに限定されるものではない。ここで、属性基準とは、属性値を組み合わせてクライアント端末２００のセキュリティを判断する方式を示す。記憶部１２０は、データを記憶するメモリーで具現できる。

表示部１３０はテキストやイメージなどを出力する。例えば、表示部１３０は、クライアント端末２００のセキュリティ状態を数字や色相などを用いてセキュリティ指数として表示することができる。また、表示部１３０はセキュリティ管理装置１００の管理者にクライアント端末２００のセキュリティに係わるメッセージを表示することができる。さらに、表示部１３０は、後述するがインターフェース部１４０を表示することができる。このような表示部１３０はモニタのような出力装置で具現できる。

インターフェース部１４０は、管理者に属性項目を選択させうるインターフェースを提供する。この際、管理者はインターフェース部１４０を用いてクライアント端末２００に係わるすべての属性項目の中で自分の意図に合致した属性項目を選択できる。また、インターフェース部１４０は、既存の属性項目に新しい選択項目を追加するインターフェース、既存の選択項目を変更又は削除するインターフェースを提供することもできる。このようなインターフェース部１４０は、表示部１３０にテキストまたはイメージなどを用いて表示され、前述の機能を行うようにプログラムされた命令語を記憶するメモリー及びこのような命令語を実行するマイクロプロセッサーによって具現可能である。

また、インターフェース部１４０は管理者に属性基準を生成または変更させるインターフェースを提供する。属性基準は前述のように属性値を組み合わせてクライアント端末２００のセキュリティを判断する方式を示す。例えば、管理者はインターフェース部１４０を用いて、ＯＳの種類がウィンドウでありながら、レジストリＡのバージョンが１．０であり、プロセスはＢの場合、セキュリティが良好であり、この中でいずれか一つの属性値でも異なると、セキュリティが良好ではないという属性基準を生成することができる。

これによれば、属性基準を生成又は変更する必要がある場合、セキュリティ管理装置１００を開発した開発社、すなわち、図１における管理サーバ３００に修正を依頼することなくても管理者はインターフェース部１４０を用いて自ら属性基準を生成または変更することができる。

判断部１５０は、後述する機能を行うようにプログラムされた命令語を記憶するメモリー及びこのような命令語を実行するマイクロプロセッサーによって具現できる。

判断部１５０について具体的に説明すると、判断部１５０は、記憶部１２０に記憶された属性基準と、通信部１１０を介して受信されたクライアント端末２００の属性値とを比較し、比較の結果に基づいてクライアント端末２００のセキュリティを判断する。判断部１５０は、属性値が属性基準に合致するか否かを判断し、それによってクライアント端末２００のセキュリティを判断する。

これによれば、クライアント端末２００のセキュリティは、セキュリティ管理装置１００の判断部１５０による比較、すなわち記憶部１２０に記憶された属性値と属性基準との比較によって判断される。したがって、属性基準が生成又は変更される必要がある場合、セキュリティ管理装置１００の記憶部１２０に記憶された属性基準を変更するだけで、記憶部１２０に記憶された属性値を用いてセキュリティの判断を行うことが可能となる。すなわち、新しく生成されるか、または変更された属性基準をクライアント端末２００に適用させるために、従来のようにこのような属性基準をクライアント端末２００に送信する必要がなくなる。

一方、図示のシステム１０からわかるように、クライアント端末２００が複数個で構成された場合、複数のクライアント端末２００のうち一部のクライアント端末２００のみにエージェントが設置されることができる。エージェントが設置されていないクライアント端末２００は、図１に示されたネットワーク５００には接続されている。しかし、エージェントの未設置によってセキュリティ管理装置１００はクライアント端末２００から属性値を獲得することができず、このためクライアント端末２００のセキュリティを管理することができない。

したがって、管理者はクライアント端末２００の中でエージェントが設置されていないクライアント端末２００を把握しなければならない。判断部１５０はクライアント端末２００にエージェントが設置されているか否かを次のような方法で判断することができる。先に、記憶部１２０は複数のクライアント端末２００の中でエージェントが設置されたクライアント端末を識別する基準識別情報をリストの形態で記憶する。基準識別情報は、例えば、ＩＰであることができる。

なお、複数のクライアント端末２００のいずれか一つが特定クライアント端末２００に指定される。指定する主体は、判断部１５０であるか、または後述するがセキュリティ管理装置１００に含まれる制御部１６０であってもよい。制御部１６０は指定された特定クライアント端末２００に当該特定クライアント端末２００を除いた残りのクライアント端末２００からパケットを受信しなさいとの命令を、当該特定クライアント端末２００へ送信する。この時のパケットは、アドレス解決プロトコル（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＡＲＰ）ブロードキャストパケットであることができる。一方、特定クライアント端末２００及び残りのクライアント端末２００は、同一のサブネット（ｓｕｂ−ｎｅｔ）に接続されたクライアント端末であってもよい。

特定クライアント端末２００は、残りのクライアント端末２００から受信されたパケットから当該残りのクライアント端末２００を識別する獲得識別情報、例えば、ＩＰを獲得し、該獲得識別情報をリストの形態でセキュリティ管理装置１００へ送信する。判断部１５０は、獲得識別情報のリストと、記憶部１２０に記憶された基準識別情報のリストとを比較する。比較の結果、獲得識別情報のリストには含まれているが基準識別情報のリストには含まれていない獲得識別情報が存在する場合、判断部１５０はこのような獲得識別情報に当たるクライアント端末にはエージェントが設置されていないものと判断する。

つまり、一実施形態によれば、エージェントが設置されておらず、このためセキュリティの管理が行われないクライアント端末の把握が可能である。

一方、判断部１５０は、アドレス解決プロトコル（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＡＲＰ）ブロードキャストパケットではないＴＣＰ／ＩＰパケットを用いてエージェントが設置されていないクライアント端末を判断することができる。このために、図１に示されているように、システム１０にはミラーリングサーバ４００が含まれるように構成されることができる。ミラーリングサーバ４００はネットワーク５００と接続され、複数のクライアント端末２００がネットワーク５００を介して送受信するＴＣＰ／ＩＰパケットを収集する。ミラーリングサーバ４００は、その収集されたＴＣＰ／ＩＰパケットから複数のクライアント端末２００を識別する獲得識別情報、例えば、ＩＰを獲得し、該獲得識別情報をリストの形態でセキュリティ管理装置１００へ送信する。

判断部１５０は、獲得識別情報のリストと、記憶部１２０に記憶された基準識別情報のリストとを比較する。比較の結果、獲得識別情報のリストにはあるが基準識別情報のリストにはない獲得識別情報が存在する場合、判断部１５０は当該獲得識別情報に当たるクライアント端末にはエージェントが設置されていないものと判断する。

すなわち、一実施形態によれば、エージェントが設置されておらず、このためセキュリティの管理が行われないクライアント端末の把握が可能である。

制御部１６０は、セキュリティ管理装置１００に含まれた前述の構成に対する全般的な制御を行い、かかる制御のためにプログラムされた命令語を記憶するメモリー及びこのような命令語を実行するマイクロプロセッサーによって具現可能である。

より具体的には、制御部１６０はクライアント端末２００のセキュリティを数字であるセキュリティ指数として算出することができる。このために、制御部１６０は判断部１５０がクライアント端末２００のセキュリティを判断した結果を複数の属性基準ごとに数字にそれぞれ換算し、複数の属性基準の各々に対して換算された数字を合算してセキュリティ指数として算出することができる。ただし、セキュリティ指数を算出するこのような方法は、例示的なものに過ぎない。制御部１６０により算出されたこのようなセキュリティ指数は、前述した表示部１３０にて表示されることができる。この時、一定の時間間隔の間のセキュリティ指数の変化の推移が、表示部１３０によってグラフの形態で、もしくは指数化されて表示されることもできる。

制御部１６０は、クライアント端末２００のセキュリティを補完する措置がクライアント端末２００に適用されるように制御することができる。これについて説明すると、記憶部１２０はセキュリティの低いクライアント端末２００に対する措置を記憶する。このような措置は、例えばクライアント端末２００のネットワーク５００への接続を制限する命令、クライアント端末２００のディスプレイ部でセキュリティを向上させなさいというメッセージを表示させる命令、セキュリティの低いクライアント端末２００の属性値を、高セキュリティの属性値に変更する命令などを含むことができ、これらに限定されるものではない。判断部１５０によってクライアント端末２００のセキュリティが低いと判断された場合、制御部１６０は記憶部１２０に記憶された措置が通信部１１０を介してクライアント端末２００へ伝達されるように制御する。このとき、制御部１６０はクライアント端末２００のセキュリティ指数を用いて、セキュリティ指数の低いクライアント端末２００のみに対して措置が適用されるように制御することができる。

制御部１６０は、通信部１１０を介してクライアント端末２００の属性値が受信される過程及び受信された属性値に基づいて判断部１５０によってクライアント端末２００のセキュリティが判断される過程が、あらかじめ定められたスケジュールに従って行われるように制御することができる。ここで、あらかじめ定めされたスケジュールは、インターフェース部１４０によって設定または変更可能である。

制御部１６０は、判断部１５０がクライアント端末２００のセキュリティを判断できない場合を処理する。より具体的には、判断部１５０がクライアント端末２００のセキュリティを判断できない場合が生じることがある。例えば、属性基準がレジストリーＡのバージョンが０．０以上５．０以下であれば、セキュリティが良好であり、バージョンが５．０を超えると、セキュリティが低いものと示すとしたら、属性値におけるレジストリーＡのバージョンが−０．１の場合、判断部１５０はセキュリティを判断することができない。あるいは属性基準にはレジストリーＡのバージョンに関するものだけが定義されており、属性値にはレジストリーＡではないＢのバージョンだけが含まれている場合、判断部１５０はセキュリティを判断することができない。

この場合、制御部１６０は表示部１３０を介して属性基準に対する修正が必要であることを示すメッセージが表示されるように制御することができる。例えば、制御部１６０は表示部１３０に「インターフェース部１４０を用いてレジストリーＢに対する属性基準を生成しなさい」とのメッセージが表示されるように制御することができる。

これと異なり、制御部１６０はセキュリティ管理装置１００を管理する管理サーバ３００に属性基準に対する修正が通信部１１０を介して要請されるように制御することができる。通信部１１０を介して修正された属性基準が受信されれば、制御部１６０は、記憶部１２０に記憶された属性基準を、受信された属性基準に修正することができる。

これによって、管理者は属性基準に変更が必要であるか否か、若しくは新しい属性基準を生成する必要があるか否かを通知してもらうことができる。すなわち、一実施形態によるセキュリティ管理装置を利用すれば、管理者は属性基準を生成する際のガイドラインを与えられることができる。

図３は、一実施形態によるセキュリティ管理装置によってクライアント端末のセキュリティを判断する手続きを示す図である。

図３を参照すれば、セキュリティ管理装置１００の通信部１１０は、属性項目のリストをクライアント端末２００に送信する（Ｓ１００）。クライアント端末２００に含まれたエージェントは、属性項目のリストに含まれた少なくとも一つの属性項目に当たる属性値をクライアント端末２００から獲得する（Ｓ１１０）。クライアント端末２００は属性値をセキュリティ管理装置１００に送信する（Ｓ１２０）。

セキュリティ管理装置１００の判断部１５０は、クライアント端末２００から受信された属性値と、セキュリティ管理装置１００の管理者から入力された属性基準とを比較してクライアント端末２００のセキュリティを判断する（Ｓ１３０）。そして制御部１６０は、セキュリティに基づいてセキュリティ指数を算出し、表示部１３０は、算出されたセキュリティ指数を表示する（Ｓ１４０）。

制御部１６０は、クライアント端末２００のセキュリティ又は算出されたセキュリティ指数に基づいて、クライアント端末２００に対する措置が通信部１１０を介してクライアント端末２００へ伝達されるように制御する（Ｓ１５０）。ここで、措置とは、クライアント端末２００のセキュリティやセキュリティ指数を補完・向上させるものと定義された措置をいい、このような措置はあらかじめ記憶部１２０に記憶されていてもよいことは前述と同様である。クライアント端末２００はセキュリティ管理装置１００から伝達された措置を行う（Ｓ１６０）。その後、実施例によってクライアント端末２００の属性値を獲得してセキュリティを判断し、セキュリティ指数を算出及び表示して措置する前述のステップＳ１１０〜Ｓ１６０が繰り返し行われることができる。

図４は、一実施形態によるセキュリティ管理方法の各ステップを示す図である。図４に示されたセキュリティ管理方法は、図２に示されたセキュリティ管理装置１００によって遂行可能である。なお、セキュリティ管理方法は実施例によって図４に示されたステップの少なくとも一つ以上のステップが行われないか、図４に示されていないステップが行われることもできる。

図４を参照すると、クライアント端末から前記クライアント端末のセキュリティの判断に使用される属性値を受信するステップ（Ｓ２００）と、前記クライアント端末のセキュリティを判断する基準となる既に記憶された属性基準と前記属性値とを比較するステップ（Ｓ２１０）と、前記比較の結果に基づいて前記クライアント端末のセキュリティを判断するステップ（Ｓ２２０）とが行われることができる。

以上説明したように、一実施形態によれば、クライアント端末のセキュリティの判断において、その基準となる属性基準を新しく生成するか、変更する必要がある場合、セキュリティ管理装置を開発した開発社、すなわち図１における管理サーバに依頼しなくとも管理者は自ら属性基準を生成したり変更することができる。

また、セキュリティ管理装置は、クライアント端末のセキュリティの判断に使用される属性値をクライアント端末から受信して記憶することができる。よって、属性基準が新しく生成、または変更される場合、このように記憶された属性値と、生成または変更された属性基準とを比較してセキュリティ管理装置でクライアント端末のセキュリティを判断することができる。すなわち、セキュリティ管理装置は生成または変更された属性基準をクライアント端末へ伝達する必要がない。

一方、前述したセキュリティ管理方法は、それに含まれた各ステップを行うようにプログラムされたコンピュータープログラムを読み取り可能な記録媒体で具現可能である。また前述のようなセキュリティ管理方法は、それに含まれた各ステップを行うようにプログラムされたコンピューター読み取り可能な記録媒体に格納されたコンピュータープログラムで具現可能である。

ここで、コンピューター読み取り可能な記録媒体は、コンピューターシステムによって読み取られることができるデータが格納されるすべての種類の記録装置を含む。コンピューター読み取り可能な記録媒体の例としては、ＲＯＭ、ＲＡＭ、ＣＤ−ＲＯＭ、ＣＤ−ＲＷ、磁気テープ、フロッピー（登録商標）ディスク、ＨＤＤ、光ディスク、光磁気格納装置などが挙げられ、また搬送波（ｃａｒｒｉｅｒ ｗａｖｅ）（例えば、インターネットを介した伝送）の形態で具現されることも含む。またコンピューター読み取り可能な記録媒体は、ネットワークで接続されたコンピューターシステムに分散され、その分散方式によってコンピューターが読み取り可能なコードで記憶されて実行されることができる。

以上の説明は、本発明の技術思想を例示的に説明したものに過ぎなく、本発明の属する技術分野における通常の知識を有する者であれば、本発明の本質的な特性から離脱しない範囲内で多様な修正及び変形が可能である。したがって、本発明に開示された実施例は、本発明の技術思想を限定するためのものではなく、説明をするためのものであり、このような実施例によって本発明の技術思想の範囲が限定されるものではない。本発明の保護範囲は、添付の特許請求の範囲によって解釈されなければならなく、それと同等な範囲内にいるすべての技術思想は、本発明の権利範囲に含まれるものと解釈されなければならない。

Claims (16)

1. クライアント端末のセキュリティを管理するセキュリティ管理装置であって、
   前記クライアント端末のセキュリティを判断するためのセキュリティ政策を生成し、前記セキュリティ管理装置を管理する管理サーバと、データを送受信し、前記クライアント端末から前記クライアント端末のセキュリティの判断に使用される前記クライアント端末の属性値を受信する通信部と、
   前記クライアント端末のセキュリティを判断する基準となる属性基準を保存する保存部と、
   前記属性基準を前記属性値と比較し、前記比較の結果に基づいて前記クライアント端末のセキュリティを判断するが、前記属性値が前記属性基準が定義している範囲外で値を有するか否かを判断する判断部と、
   前記判断部によって前記属性値が前記属性基準が定義している範囲外で値を有すると判断される場合、前記属性基準に対する修正が必要であることを表示する表示部とを含む、
   セキュリティ管理装置。
2. 前記保存部は、前記セキュリティ管理装置が前記クライアント端末へ送信する少なくとも二つの属性項目のリストを保存し、
   前記通信部は、前記属性項目のリストが前記クライアント端末へ送信されたことに対する応答として、前記属性項目のリストに含まれた各々の属性項目に当たる属性値を前記クライアント端末から受信する、
   請求項１に記載のセキュリティ管理装置。
3. 前記セキュリティ管理装置は、前記セキュリティ管理装置の管理者から前記属性項目のリストが入力されるインターフェース部をさらに含む、
   請求項２に記載のセキュリティ管理装置。
4. 前記属性基準は、前記属性値を複数組み合わせて前記クライアント端末のセキュリティを判断する方式を示す、
   請求項１に記載のセキュリティ管理装置。
5. 前記セキュリティ管理装置の管理者から前記属性基準が入力されるインターフェース部をさらに含む、
   請求項４に記載のセキュリティ管理装置。
6. 前記保存部は、
   前記クライアント端末が複数存在し、かつ前記複数のクライアント端末のうち少なくとも一つ以上のクライアント端末に、クライアント端末の属性値を把握して前記セキュリティ管理装置へ伝達するエージェントが設置されている場合、前記エージェント設置済みのクライアント端末を識別する基準識別情報のリストを保存し、
   前記判断部は、
   前記複数のクライアント端末のうちいずれか一つのクライアント端末から、当該クライアント端末にパケットを送信したクライアント端末を識別する獲得識別情報のリストが受信されれば、前記獲得識別情報のリストと、前記基準識別情報のリストとを比較し、前記獲得識別情報のリストと前記基準識別情報のリストとを比較した結果に基づいて前記複数のクライアント端末のそれぞれに前記エージェントが設置されている否かを判断する、
   請求項１に記載のセキュリティ管理装置。
7. 前記パケットは、アドレス解決プロトコル（Ａｄｄｒｅｓｓ Ｒｅｓｏｌｕｔｉｏｎ Ｐｒｏｔｏｃｏｌ、ＡＲＰ）ブロードキャストパケットである、
   請求項６に記載のセキュリティ管理装置。
8. 前記保存部は、
   前記クライアント端末が複数存在し、かつ前記複数のクライアント端末の中で少なくとも一つ以上のクライアント端末に、クライアント端末の属性値を把握して前記セキュリティ管理装置へ伝達するエージェントが設置されている場合、前記エージェント設置済みのクライアント端末を識別する基準識別情報のリストを保存し、
   前記判断部は、
   前記複数のクライアント端末からＴＣＰ／ＩＰパケットを受信するミラーリングサーバから前記複数のクライアント端末を識別する獲得識別情報のリストが前記通信部を介して受信されれば、前記獲得識別情報のリストと前記基準識別情報のリストとを比較し、前記獲得識別情報のリストと前記基準識別情報のリストとを比較した結果に基づいて、前記複数のクライアント端末のそれぞれに前記エージェントが設置されているか否かを判断する、
   請求項１に記載のセキュリティ管理装置。
9. 前記判断されたクライアント端末のセキュリティに応じて、前記クライアント端末に取られる措置が、前記通信部を介して前記クライアント端末へ伝達するように制御する制御部をさらに含む
   請求項１に記載のセキュリティ管理装置。
10. 前記措置は、前記クライアント端末のネットワークへの接続を制限する命令又は前記クライアント端末に含まれたディスプレイ部がセキュリティを改善するメッセージを表示させる命令を含む、
    請求項９に記載のセキュリティ管理装置。
11. 前記判断部は、
    前記属性基準が複数である場合、前記複数の属性基準ごとに前記クライアント端末のセキュリティを判断し、
    前記セキュリティ管理装置は、
    前記複数の属性基準ごとに判断された前記クライアント端末のセキュリティを数字に換算し、前記数字を合算して前記クライアント端末のセキュリティ指数を算出する制御部をさらに含む、
    請求項１に記載のセキュリティ管理装置。
12. 前記表示部は、前記クライアント端末のセキュリティ指数を更に表示する、
    請求項１１に記載のセキュリティ管理装置。
13. 前記通信部を介して前記属性値が受信される過程と、前記判断部によって前記クライアント端末のセキュリティを判断する過程とが、あらかじめ定められたスケジュールに従って行われるように制御する制御部をさらに含む、
    請求項１に記載のセキュリティ管理装置。
14. クライアント端末のセキュリティを判断するためのセキュリティ政策を生成する管理サーバと区分され、前記クライアント端末のセキュリティを管理するセキュリティ管理装置によって行われるセキュリティ管理方法であって、
    前記クライアント端末から前記クライアント端末のセキュリティの判断に使用される属性値を受信するステップと、
    前記クライアント端末のセキュリティを判断する基準となる既に保存済みの属性基準と前記属性値とを比較するステップと、
    前記比較の結果に基づいて前記クライアント端末のセキュリティを判断するステップと，
    前記属性値が前記属性基準が定義している範囲外で値を有すると判断される場合、前記記憶された属性基準に対する修正が必要であることを表示するステップと、を含む、
    セキュリティ管理方法。
15. コンピュータープログラムを格納しているコンピューター読み取り可能な記録媒体であって、
    クライアント端末から前記クライアント端末のセキュリティの判断に使用される属性値を受信するステップと、
    前記クライアント端末のセキュリティを判断する基準となる既に保存済みの属性基準と前記属性値とを比較するステップと、
    前記比較の結果に基づいて前記クライアント端末のセキュリティを判断するステップと、
    前記属性値が前記属性基準が定義している範囲外で値を有すると判断される場合、前記記憶された属性基準に対する修正が必要であることを表示するステップと、を含む方法を
    前記クライアント端末のセキュリティを判断するためのセキュリティ政策を生成する管理サーバと区分され、前記クライアント端末のセキュリティを管理するセキュリティ管理装置に含まれたプロセッサが遂行させるためのコマンドを含むコンピューター読み取り可能な記録媒体。
16. コンピューター読み取り可能な記録媒体に格納されているコンピュータプログラムであって、
    クライアント端末から前記クライアント端末のセキュリティの判断に使用される属性値を受信するステップと、
    前記クライアント端末のセキュリティを判断する基準となる既に保存済みの属性基準と前記属性値とを比較するステップと、
    前記比較の結果に基づいて前記クライアント端末のセキュリティを判断するステップと、
    前記属性値が前記属性基準が定義している範囲外で値を有すると判断される場合、前記記憶された属性基準に対する修正が必要であることを表示するステップと、を含む方法を
    前記クライアント端末のセキュリティを判断するためのセキュリティ政策を生成する管理サーバと区分され、前記クライアント端末のセキュリティを管理するセキュリティ管理装置に含まれたプロセッサが遂行させるためのコマンドを含む
    コンピュータープログラム。

Images