(57)【要約】【課題】  容易にネットワーク通信を排除や制限することができる不正端末アクセス制御システムを提供する。【解決手段】    本発明の不正端末アクセス制御システムは、ネットワークと、管理端末と、管理サーバとを含み、管理端末は、ネットワークに接続中の端末を検出し、検出端末リスト（検出した端末の一覧）を管理サーバに送信するエージェントと、管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、管理サーバが管理していない非管理端末と管理端末とのアクセスを制限するファイアウォールとを含み、管理サーバは、エージェントから検出端末リストを受信し、検出端末リストの中から非管理端末を検出し、管理端末にブラックリストを送信するブラックリスト管理部を含む。【選択図】      図１
2010004442.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークと、管理端末と、管理サーバとを含み、
前記管理端末は、
前記ネットワークに接続中の端末を検出し、検出端末リスト（検出した端末の一覧）を前記管理サーバに送信するエージェントと、
前記管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、前記管理サーバが管理していない非管理端末と前記管理端末とのアクセスを制限するファイアウォールと
を含み、
前記管理サーバは、
前記エージェントから前記検出端末リストを受信し、前記検出端末リストの中から前記非管理端末を検出し、前記管理端末にブラックリストを送信するブラックリスト管理部
を含む
不正端末アクセス制御システム。
【請求項２】
前記管理サーバは、
前記管理サーバと接続を行う前記エージェントを含む端末を前記管理端末と判断する
請求項１に記載の不正端末アクセス制御システム。
【請求項３】
前記管理サーバは、
前記エージェントとの間で機器認証を行い、前記エージェントを含む端末を前記管理端末と判断する
請求項１又は２に記載の不正端末アクセス制御システム。
【請求項４】
前記ブラックリスト管理部は、
前記管理サーバが受信する全ての前記検出端末リストを合計した全検出端末リストと、
前記管理サーバと接続中である全ての前記管理端末の一覧である管理端末リストと
を含み、
前記検出端末リストに含まれる端末から、前記管理端末リストに含まれる端末を除いた端末のリストを前記ブラックリストとする
請求項１乃至３のいずれかに記載の不正端末アクセス制御システム。
【請求項５】
前記ブラックリスト管理部は、
前記エージェントを含まないが前記管理サーバにより管理される準管理端末、として登録された全端末の一覧である準管理端末リスト
を更に含み、
検出端末リストに含まれる端末から、前記管理端末リストと前記準管理端末リストに含まれる端末を除いた端末のリストを前記ブラックリストとする
請求項４に記載の不正端末アクセス制御システム。
【請求項６】
前記ネットワークは、
複数のネットワークセグメントを含み、
前記管理サーバは、
管理端末の存在を確認できたネットワークセグメントに対し、当該管理端末の中から調査端末を割り当て、
前記調査端末のエージェントが、自分が属するネットワークセグメントに接続中の端末を検出し、検出端末リストを管理サーバに送信する、
請求項１乃至５のいずれかに記載の不正端末アクセス制御システム。
【請求項７】
前記管理サーバは、前記調査端末が停止したときは、前記ネットワークセグメントの他の管理端末を調査端末として割り当てる
請求項６に記載の不正端末アクセス制御システム。
【請求項８】
前記管理サーバは、
管理端末の存在を確認できなかったネットワークセグメントの情報である調査ＰＣ不在セグメント情報を前記管理端末に送信し、
前記管理端末のファイアウォールは、前記管理サーバから受信した前記調査ＰＣ不在セグメント情報を基に、前記管理端末の存在を確認できなかったネットワークセグメントに属する端末と管理端末とのアクセスを制限する
請求項６又は７に記載の不正端末アクセス制御システム。
【請求項９】
前記管理サーバは、
管理端末が所定の承認条件を満たしているときは、前記管理端末に対し、所定の端末とのみアクセスを許可する指示を解除するアクセス制限解除指示を送信し、前記管理端末が所定の承認条件を満たしていないときは、前記管理端末に対し、所定の端末とのみアクセスを許可する前記アクセス制限実行指示を送信する承認管理部
を含み、
前記管理端末の前記ファイアウォールは、前記アクセス制限解除又は、実行指示を基に、アクセス制限解除又は、実行を行う
請求項１乃至８のいずれかに記載の不正端末アクセス制御システム。
【請求項１０】
前記ブラックリスト管理部は、
前記管理端末から前記検出端末リストを受信し、前記検出端末リストに新規検出端末があったときは、再調査指示を前記管理端末に送信し、
前記エージェントは、
再調査指示を受信し、一定時間前記新規検出端末が前記ネットワークに接続していたときは、前記新規検出端末の情報を前記管理サーバに送信し、
前記ブラックリスト管理部は、
前記新規検出端末の情報を受信し、前記新規検出端末が前記非管理端末であるか否かを判断し、前記非管理端末であったときは、前記ブラックリストに追加する
請求項１に記載の不正端末アクセス制御システム。
【請求項１１】
ネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信するエージェントと、
前記管理サーバのブラックリスト管理部によって、前記エージェントから前記検出端末リストが受信され、前記検出端末リストの中から非管理端末が検出され、前記管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、前記管理サーバが管理していない非管理端末とのアクセスを制限するファイアウォールと
を含む管理端末。
【請求項１２】
管理サーバであって、
ネットワークに接続中の端末を検出し、検出端末リストを前記管理サーバに送信するエージェントと、前記管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、前記管理サーバが管理していない非管理端末と前記管理端末とのアクセスを制限するファイアウォールとを含む前記管理端末から前記検出端末リストを受信し、前記検出端末リストの中から前記非管理端末を検出し、前記管理端末に前記ブラックリストを送信するブラックリスト管理部
を含む管理サーバ。
【請求項１３】
管理端末が、ネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信し、
前記管理サーバが、前記検出端末リストを受信し、前記検出端末リストの中から前記管理サーバが管理していない非管理端末を検出し、前記管理端末にブラックリスト（非管理端末の一覧）を送信し、
前記管理端末が、前記管理サーバから受信したブラックリストを基に、前記非管理端末と前記管理端末とのアクセスを制限する
不正端末アクセス制御方法。
【請求項１４】
エージェントが、ネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信し、
前記管理サーバのブラックリスト管理部によって、前記エージェントから前記検出端末リストが受信され、前記検出端末リストの中から非管理端末が検出され、前記管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、ブラックリスト管理部が、前記管理サーバが管理していない非管理端末とのアクセスを制限する
管理端末制御方法。
【請求項１５】
ネットワークに接続中の端末を検出し、検出端末リストを前記管理サーバに送信するエージェントと、前記管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、前記管理サーバが管理していない非管理端末と前記管理端末とのアクセスを制限するファイアウォールとを含む前記管理端末から前記検出端末リストを受信し、
前記検出端末リストの中から前記非管理端末を検出し、
前記管理端末に前記ブラックリストを送信する
管理サーバ制御方法。
【請求項１６】
コンピュータを
エージェントが、ネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信し、
前記管理サーバのブラックリスト管理部によって、前記エージェントから前記検出端末リストが受信され、前記検出端末リストの中から非管理端末が検出され、前記管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、ブラックリスト管理部が、前記管理サーバが管理していない非管理端末とのアクセスを制限する手段
として機能させるためのプログラム。
【請求項１７】
コンピュータを
ネットワークに接続中の端末を検出し、検出端末リストを前記管理サーバに送信するエージェントと、前記管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、前記管理サーバが管理していない非管理端末と前記管理端末とのアクセスを制限するファイアウォールとを含む前記管理端末から前記検出端末リストを受信し、
前記検出端末リストの中から前記非管理端末を検出し、
前記管理端末に前記ブラックリストを送信する手段
として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は不正端末アクセス制御システム、管理端末、管理サーバ、不正端末アクセス制御方法、管理端末制御方法、管理サーバ制御方法、及びプログラムに関する。特に、ネットワーク通信を排除や制限する不正端末アクセス制御システム、管理端末、管理サーバ、不正端末アクセス制御方法、管理端末制御方法、管理サーバ制御方法、及びプログラムに関する。
【背景技術】
【０００２】
組織のネットワークのセキュリティを保つためには、エンドポイントでのセキュリティ管理が重要である。セキュリティ要件を確認できない端末がエンドポイントに接続されると、この端末がネットワーク全体の安全を脅かす恐れがある。そこで、セキュリティ要件を確認できない、あるいはセキュリティ要件を満たさない端末のネットワーク通信を排除したり制限したりする仕組みが、求められている。
【０００３】
特許文献１は、不正アクセス防止システムを開示している。特許文献１では、ファイアウォールがトラフィックを監視し、所定のルールに従ってトラフィックの許可／遮断をするフィルタリング処理を行う。
【０００４】
その他、関連する文献として、特許文献２は、ネットワーク機器の情報と実際に接続されたネットワーク機器に関する接続ネットワーク機器情報とを比較照合して不正なネットワーク機器の接続を検出するネットワーク監視方法を開示している。
【０００５】
又、特許文献３は、一般端末の中から管理端末候補となる一般端末を選択するネットワークの構成管理方法を開示している。
【０００６】
【特許文献１】特開２００８−０１１００８号公報（図１、段落００１９）
【特許文献２】特開２００５−３４１０６２号公報（要約）
【特許文献３】特開２００７−０８１８１１号公報（段落００２１，００２２）
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１に記載のシステムは、容易にネットワーク通信を排除や制限することができないという問題点があった。例えば、特許文献１に記載のファイアウォールは、ネットワークを中継するゲートウェイであり、ネットワーク機器の導入が必要となる。
【０００８】
本発明の目的は、上述した課題を解決する不正端末アクセス制御システム、管理端末、管理サーバ、不正端末アクセス制御方法、管理端末制御方法、管理サーバ制御方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【０００９】
本発明の不正端末アクセス制御システムは、ネットワークと、管理端末と、管理サーバとを含み、管理端末は、ネットワークに接続中の端末を検出し、検出端末リスト（検出した端末の一覧）を管理サーバに送信するエージェントと、管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、管理サーバが管理していない非管理端末と管理端末とのアクセスを制限するファイアウォールとを含み、管理サーバは、エージェントから検出端末リストを受信し、検出端末リストの中から非管理端末を検出し、管理端末にブラックリストを送信するブラックリスト管理部を含む。
【００１０】
本発明の管理端末は、ネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信するエージェントと、管理サーバのブラックリスト管理部によって、エージェントから検出端末リストが受信され、検出端末リストの中から非管理端末が検出され、管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、管理サーバが管理していない非管理端末とのアクセスを制限するファイアウォールとを含む。
【００１１】
本発明の管理サーバは、管理サーバであって、ネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信するエージェントと、管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、管理サーバが管理していない非管理端末と管理端末とのアクセスを制限するファイアウォールとを含む管理端末から検出端末リストを受信し、検出端末リストの中から非管理端末を検出し、管理端末にブラックリストを送信するブラックリスト管理部を含む。
【００１２】
本発明の不正端末アクセス制御方法は、管理端末が、ネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信し、管理サーバが、検出端末リストを受信し、検出端末リストの中から管理サーバが管理していない非管理端末を検出し、管理端末にブラックリスト（非管理端末の一覧）を送信し、管理端末が、管理サーバから受信したブラックリストを基に、非管理端末と管理端末とのアクセスを制限する。
【００１３】
本発明の管理端末制御方法は、エージェントが、ネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信し、管理サーバのブラックリスト管理部によって、エージェントから検出端末リストが受信され、検出端末リストの中から非管理端末が検出され、管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、ブラックリスト管理部が、管理サーバが管理していない非管理端末とのアクセスを制限する。
【００１４】
本発明の管理サーバ制御方法は、ネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信するエージェントと、管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、管理サーバが管理していない非管理端末と管理端末とのアクセスを制限するファイアウォールとを含む管理端末から検出端末リストを受信し、検出端末リストの中から非管理端末を検出し、管理端末にブラックリストを送信する。
【００１５】
本発明のプログラムは、コンピュータをエージェントが、ネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信し、管理サーバのブラックリスト管理部によって、エージェントから検出端末リストが受信され、検出端末リストの中から非管理端末が検出され、管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、ブラックリスト管理部が、管理サーバが管理していない非管理端末とのアクセスを制限する手段として機能させる。
【００１６】
本発明のプログラムは、コンピュータをネットワークに接続中の端末を検出し、検出端末リストを管理サーバに送信するエージェントと、管理サーバから受信したブラックリスト（非管理端末の一覧）を基に、管理サーバが管理していない非管理端末と管理端末とのアクセスを制限するファイアウォールとを含む管理端末から検出端末リストを受信し、検出端末リストの中から非管理端末を検出し、管理端末にブラックリストを送信する手段として機能させる。
【発明の効果】
【００１７】
本発明は、容易にネットワーク通信を排除や制限することができる。
【発明を実施するための最良の形態】
【００１８】
次に、本発明について以下の順に詳細に説明する。
【００１９】
[１．用語の説明]
[２．本発明の概要]
[３．第１の実施の形態]
[３．１  構成]
[３．２  動作]
[３．２．１  非管理端末１０３の検出]
[３．２．１．１  管理サーバ１２０の調査端末割り当て処理]
[３．２．１．２  管理サーバ１２０の、調査端末停止時の調査端末再割当て処理]
[３．２．１．３  管理端末１１０のＡＲＰ実行処理]
[３．２．１．４  管理サーバ１２０のブラックリスト１２５作成処理]
[３．２．２  非管理端末１０３のアクセス制限処理]
[３．２．２．１  管理サーバ１２０によるアクセス制限処理]
[３．２．２．２  管理端末１１０によるアクセス制限処理]
[３．２．２．３  管理サーバ１２０によるＮＡＴ変換後の非管理端末１０３のＩＰアドレス計算]
[３．２．２．４  具体例]
[３．２．２．５  管理サーバ１２０による未承認端末アクセス制限処理]
[３．２．２．６  管理端末１１０による未承認端末アクセス制限処理]
[４．第２の実施の形態]
[４．１  動作]
[４．１．１  誤検出防止、消滅検出]
[４．１．１．１  非管理端末誤検出防止、消滅検出]
まず、使用する用語について説明する。
【００２０】
[１．用語の説明]
本発明では、端末を以下のように分類して管理する。
【００２１】
[管理端末１１０]
管理端末１１０は、端末の状態を管理できるようにソフトウェアであるエージェント１１５を導入済みの端末である。かつ、管理端末１１０は、エージェント１１５と管理サーバ１２０とが接続する（セッションを維持する）ことにより、管理サーバ１２０により管理可能な状態である端末を意味する。管理端末１１０は、主にＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）やサーバなどである。更に、管理端末１１０は、条件を満たしている承認済端末と、条件を満たしていない未承認端末に分けられる。管理者は、条件を、次のような様々な項目を組み合わせて設定することができる。条件は、例えば、機器認証済みである、ＭＡＣアドレス（Ｍｅｄｉａ  Ａｃｃｅｓｓ  Ｃｏｎｔｒｏｌ  ａｄｄｒｅｓｓ）が登録済みのものである、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）が許可された種類である、等である。又、その他の条件は、ウイルス対策が十分である、暗号化ソフトが条件を満たして動作している、端末の状態取得ソフトが導入されている、などである。
【００２２】
[準管理端末]
管理者によって認識され、管理サーバ１２０により管理されている端末であるが、エージェント１１５を導入できない端末、あるいは、エージェント１１５を導入しないで管理したい端末を意味する。例えば、準管理端末は、ルータ装置やプリンタ装置などである。
【００２３】
[非管理端末１０３]
非管理端末１０３は、管理端末１１０でも準管理端末でもない、管理サーバ１２０により管理されていない端末を意味する。例えば、非管理端末１０３は、エージェント１１５を導入してない端末や、導入できないが管理者によって認識も管理もされていない端末である。又、非管理端末１０３は、管理者の承認を得ずに勝手にネットワーク１００に接続された端末などである。又、本発明は、エージェント１１５を導入していても、管理サーバ１２０に接続しておらず管理できない状態にある端末を非管理端末１０３とみなす。
【００２４】
[２．本発明の概要]
次に、本発明の概要について説明する。
【００２５】
図１は、不正端末アクセス制御システム００１の構成を示す図である。不正端末アクセス制御システム００１は、ネットワーク１００と、管理端末１１０と、管理サーバ１２０とを含む。
【００２６】
管理端末１１０は、エージェント１１５と、ファイアウォール１１４とを含む。エージェント１１５は、ネットワーク１００に接続中の端末を検出し、検出端末リスト１１２を管理サーバ１２０に送信する。ファイアウォール１１４は、管理サーバ１２０から受信したブラックリスト（非管理端末１０３の一覧）１２５を基に、管理サーバ１２０が管理していない非管理端末１０３と管理サーバ１２０が管理している管理端末１１０とのアクセスを制限する。
【００２７】
管理サーバ１２０は、ブラックリスト管理部１２１を含む。ブラックリスト管理部１２１は、エージェント１１５から検出端末リスト１１２を受信し、検出端末リスト１１２の中から非管理端末１０３を検出し、管理端末１１０にブラックリスト１２５を送信する。
【００２８】
本発明は、容易にネットワーク通信を排除や制限することができる。
【００２９】
その理由は、本発明は、ネットワーク機器の導入等を行うのではなく、エンドポイントであるＰＣ等の管理端末１１０に通常搭載されているファイアウォール１１４を利用して通信制限を行っているためである。又、本発明は、管理者が管理サーバ１２０に端末を個別に登録したりネットワーク構成を登録したりするのではない。代わりに、本発明は、管理サーバ１２０が管理端末１１０から受信する検出端末リスト１１２を基に、管理端末１１０と非管理端末１０３とを自動的に識別しているためである。
【００３０】
[３．第１の実施の形態]
次に、第１の実施の形態について図面を参照して詳細に説明する。
【００３１】
[３．１  構成]
次に、第１の実施の形態の構成について図面を用いて詳細に説明する。
【００３２】
図２は、不正端末アクセス制御システム００１の構成を示す図である。不正端末アクセス制御システム００１は、ネットワーク１００と、非管理端末１０３と、管理端末１１０と、管理サーバ１２０とを含む。ネットワーク１００は、ネットワークセグメント１０１を含む。
【００３３】
管理端末１１０は、エージェント１１５と、ファイアウォール１１４とを含む。管理端末１１０は、ＰＣ等の情報処理装置であり、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）がプログラムを実行することによりその機能を実現する。
【００３４】
エージェント１１５は、端末検出部１１１と、検出端末リスト１１２と、ファイアウォール制御部１１３とを含む。
【００３５】
端末検出部１１１は、管理端末１１０が属するネットワークセグメント１０１内に存在する端末を検出する。
【００３６】
検出端末リスト１１２は、端末検出部１１１に検出された端末を登録する。
【００３７】
ファイアウォール制御部１１３は、管理サーバ１２０から受信したブラックリスト１２５を基に、ファイアウォール１１４のフィルタを設定する。
【００３８】
ファイアウォール１１４は、フィルタに設定されたＩＰアドレスの端末とのアクセスを拒否する。
【００３９】
管理サーバ１２０は、ブラックリスト管理部１２１と、検出端末管理部１２２とを含む。管理サーバ１２０は、ＣＰＵがプログラムを実行することによりその機能を実現する。
【００４０】
ブラックリスト管理部１２１は、全検出端末リスト１２４と、管理端末リスト１２６と、準管理端末リスト１２３と、ブラックリスト１２５とを含む。
【００４１】
全検出端末リスト１２４は、管理端末１１０等から受信した検出端末リスト１１２を集計した一覧である。
【００４２】
管理端末リスト１２６は、エージェント１１５が動作して管理サーバ１２０に接続中（セッションを維持している）である全ての管理端末１１０の一覧である。管理端末１１０の接続、切断の検出により、管理端末リスト１２６は、管理端末１１０を、追加、削除する。
【００４３】
準管理端末リスト１２３は、準管理端末として登録された全ての端末の一覧である。準管理端末は、例えば、管理者によって準管理端末リスト１２３に登録される。
【００４４】
ブラックリスト１２５は、非管理端末１０３の一覧である。ブラックリスト１２５は、全検出端末リスト１２４から管理下にある端末リストである管理端末リスト１２６と準管理端末リスト１２３に含まれる端末を除いたものである。準管理端末という管理が行われず、準管理端末リスト１２３が無い場合は、ブラックリスト１２５は、全検出端末リスト１２４から管理端末リスト１２６に含まれる端末を除いたものとなる。
【００４５】
検出端末管理部１２２は、調査セグメントリスト１２７を含む。
【００４６】
検出端末管理部１２２は、各ネットワークセグメント１０１にネットワーク接続している管理端末１１０の存在を確認する。検出端末管理部１２２は、例えば、ネットワークセグメント１０１内の１つの管理端末１１０を調査端末として割り当てる。調査端末として割り当てられた管理端末１１０が停止した場合、検出端末管理部１２２は、同じネットワークセグメント１０１内の他の管理端末１１０を調査端末として割り当てる。
【００４７】
調査セグメントリスト１２７には、ネットワークセグメント１０１毎に検出端末管理部１２２により存在を確認された管理端末１１０が登録される。
【００４８】
図２において、ネットワーク１００は、ネットワークセグメント１０１を１つだけ含んでいるが、複数のネットワークセグメント１０１を含んでいてもよい。同様に、ネットワークセグメント１０１は、１つ又は複数の非管理端末１０３のみを含んだり、１つ又は複数の管理端末１１０のみを含んだり、両方を含んだりしてもよい。
【００４９】
[３．２  動作]
次に、第１の実施の形態の動作について図面を参照して詳細に説明する。
【００５０】
図８から図２３において、スタートとエンドの記載がなくループのみで示されているフローチャートは、端末起動時に開始し、端末終了時に終了するものとする。
【００５１】
図６は、第１の実施の形態の全体処理の流れを示すシーケンス図である。
【００５２】
図６（ａ）（ｂ）は、調査端末の割り当て処理を示したシーケンス図である。図６（ａ）において、管理端末１１０で、エージェント１１５が起動すると、管理サーバ１２０の調査端末割り当て処理が行われる（図７）。図６（ａ）の処理とは別に図６(ｂ)に示すように、調査端末が停止した場合、管理サーバ１２０の、調査端末停止時の調査端末再割当て処理が行われる。
【００５３】
調査端末の割り当て処理が終わると、図６（ｃ）に示すように、ブラックリスト１２５作成、アクセス制限処理を行われる。まず、管理端末１１０のＡＲＰ実行処理（図９）が行われ、次に、管理サーバ１２０のブラックリスト１２５作成処理が行われる（図１０）。次に、ブラックリスト１２５に基づいて、管理サーバ１２０によるアクセス制限処理（図１１）が行われ、これに応答して、管理端末１１０によるアクセス制限処理が行われる（図１２）。
【００５４】
ここで、管理端末１１０であるが条件を満たしていないために未承認端末として管理されている端末については、図６（ｃ）の処理に加えて図６（ｄ）のシーケンス図に示すアクセス制限処理が別途行われる。
【００５５】
まず、管理端末１１０が状態報告（承認条件を満たしているか判定するための情報（例えば、機器認証に関する情報）を報告）を行う。次に、状態報告を基に、管理サーバ１２０による未承認端末アクセス制限処理が行われる（図１５）。これに応答して、管理端末１１０による未承認端末アクセス制限処理が行われる。
【００５６】
それぞれの処理については、以下詳細に説明する。
【００５７】
[３．２．１  非管理端末１０３の検出]
まず、非管理端末１０３の検出について説明する。
【００５８】
[３．２．１．１  管理サーバ１２０の調査端末割り当て]
図７は、管理サーバ１２０の調査端末割り当て処理を示すフローチャートである。
【００５９】
管理端末１１０でエージェント１１５が起動すると、管理サーバ１２０は、管理端末１１０が管理サーバ１２０に接続したことを検出し、管理端末１１０を管理端末リスト１２６に登録する（Ａ１）。このとき、管理サーバ１２０が管理端末１１０のエージェント１１５に対し機器認証を行う。例えば、管理サーバ１２０がエージェント１１５に暗号を送信し、エージェント１１５が解読できた場合に管理サーバ１２０はエージェント１１５を含む端末を管理端末１１０と認証する。これにより、管理サーバ１２０は、端末が実際は非管理端末１０３であるにもかかわらず管理端末１１０であるように詐称することを検出できる。又、管理サーバ１２０は、管理端末１１０を管理端末リスト１２６に登録する。
【００６０】
次に、管理サーバ１２０は、管理端末１１０が属するネットワークセグメント１０１が調査セグメントリスト１２７に登録されているか判定する（Ａ２）。
【００６１】
管理端末１１０が属するネットワークセグメント１０１が調査セグメントリスト１２７に登録されていなかった場合（Ａ２，Ｎｏ）、管理サーバ１２０は、ネットワークセグメント１０１を調査セグメントリスト１２７に登録する（Ａ３）。
【００６２】
Ａ３の処理を終えた後、又は、管理端末１１０が属するネットワークセグメント１０１が調査セグメントリスト１２７に登録されていた場合（Ａ２，Ｙｅｓ）、管理サーバ１２０は、以下の処理を行う。即ち、管理サーバ１２０は、ネットワークセグメント１０１に調査端末（例、調査ＰＣ）が割り当てられているか判定する（Ａ４）。
【００６３】
ネットワークセグメント１０１に調査端末（例、調査ＰＣ）が割り当てられていなかった場合（Ａ４，Ｎｏ）、管理サーバ１２０は、以下の処理を行う（Ａ５）。即ち、管理サーバ１２０は、管理端末１１０を調査端末に割り当てる。管理サーバ１２０は、調査セグメントリスト１２７のネットワークセグメント１０１に対応する箇所に管理端末１１０を調査端末として登録する。管理サーバ１２０は、管理端末１１０に調査開始指示を送信する。
【００６４】
尚、ネットワークセグメント１０１の管理端末１１０が複数ある場合は、検出端末管理部１２２は、複数台の管理端末１１０を調査端末として割り当ててもよい。
【００６５】
Ａ５の処理を終えた後、又は、ネットワークセグメント１０１に調査端末（例、調査ＰＣ）が割り当てられていた場合（Ａ４，Ｙｅｓ）、管理サーバ１２０は、図７に示す調査端末割り当て処理を終了する。
【００６６】
図７に示した処理により、管理サーバ１２０は、管理端末１１０が接続しているネットワークセグメント１０１を自動的に登録する。そして、後述の図８から図１０の処理により、管理サーバ１２０は、管理端末１１０が接続しているネットワークセグメント１０１内の非管理端末１０３の検出を自動的に行うことができる。
【００６７】
[３．２．１．２  管理サーバ１２０の、調査端末停止時の調査端末再割当て処理]
図８は、管理サーバ１２０の、調査端末停止時の調査端末再割当て処理を示すフローチャートである。調査端末が停止した場合、管理サーバ１２０はネットワークセグメント１０１の他の管理端末１１０を調査端末として割り当てる。
【００６８】
まず、管理サーバ１２０は、待機している（Ｃ１）。調査端末が停止すると（エージェント１１５が停止すると）（Ｃ２）、検出端末管理部１２２は、同ネットワークセグメント１０１内の他の管理端末１１０があるか判断する（Ｃ３）。同ネットワークセグメント１０１内の他の管理端末１１０がある場合（Ｃ３，Ｙｅｓ）、検出端末管理部１２２は、その管理端末１１０を調査端末に割り当てる（Ｃ４）。即ち、管理サーバ１２０は、Ｃ２の処理以前に調査端末に割り当てられていた管理端末１１０を、調査セグメントリスト１２７から削除する。そして、管理サーバ１２０は、調査セグメントリスト１２７に、Ｃ３の処理で発見された管理端末１１０を新たに調査端末として登録し、その管理端末１１０に調査開始指示を送信する。
【００６９】
同ネットワークセグメント１０１内の他の管理端末１１０がない場合（Ｃ３，Ｎｏ）、検出端末管理部１２２は、このネットワークセグメント１０１を調査端末不在セグメントとする（Ｃ５）。即ち、管理サーバ１２０は、Ｃ２の処理以前に調査端末に割り当てられていた管理端末１１０を、調査セグメントリスト１２７から削除する。調査セグメントリスト１２７の当該ネットワークセグメント１０１に対応する箇所には、調査端末に割り当てられた管理端末１１０は登録されていない状態となる。Ｃ４，Ｃ５の処理終了後、再び、管理サーバ１２０は、Ｃ１の処理に移行する。
【００７０】
[３．２．１．３  管理端末１１０のＡＲＰ実行処理]
調査端末に割り当てられた管理端末１１０は、ネットワークセグメント１０１にネットワーク接続している端末の存在確認を行う。接続中の端末を調査する方法としては、いくつかの方法があるが、ここでは例としてＡＲＰ（Ａｄｄｒｅｓｓ  Ｒｅｓｏｌｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ）パケット送信による確認方法を説明する。
【００７１】
図９は、管理端末１１０のＡＲＰ実行処理を示すフローチャートである。
【００７２】
調査端末に割り当てられた管理端末１１０のエージェント１１５は、ＡＲＰを実行する（Ｄ１）。即ち、まず、図７又は図８において、管理サーバ１２０が管理端末１１０に調査開始指示を送信（Ａ５又はＣ４）する。これに応答して、管理端末１１０のエージェント１１５は、自分が属するネットワークセグメント１０１の全ＩＰアドレスに対して、ＭＡＣアドレスを調査するプロトコルであるＡＲＰを実行する。管理端末１１０は、応答を基に検出端末リスト１１２を作成する（Ｄ２）。管理端末１１０は、検出端末リスト１１２を管理サーバ１２０に送信する（Ｄ３）。管理端末１１０は、一定時間スリープする（Ｄ４）。
【００７３】
[３．２．１．４  管理サーバ１２０のブラックリスト１２５作成処理]
図１０は、管理サーバ１２０のブラックリスト１２５作成処理を示すフローチャートである。
【００７４】
まず、管理サーバ１２０は、待機している（Ｅ１）。次に、管理端末リスト１２６が更新された、又は準管理端末リスト１２３が更新された、又はブラックリスト管理部１２１が検出端末リスト１１２を受信したとする（Ｅ２）。このように、本実施の形態では、ブラックリスト管理部１２１が検出端末リスト１１２を受信した場合のみならず、管理端末リスト１２６、準管理端末リスト１２３が更新された場合もＥ３以下の処理を行うこととする。勿論、ブラックリスト管理部１２１が検出端末リスト１１２を受信した場合のみとしてもよい。管理端末リスト１２６の更新は、管理サーバ１２０が、エージェント１１５が動作する管理端末１１０の新たな接続、切断を検出し、ブラックリスト管理部１２１が、管理端末リスト１２６を更新することにより行われる。準管理端末リスト１２３の更新は、管理者によって行われる。
【００７５】
ブラックリスト管理部１２１は、検出端末リスト１１２を集計し、全検出端末リスト１２４を作成する（Ｅ３）。即ち、ブラックリスト管理部１２１は、全ての調査端末（管理端末１１０）から集まった検出端末リスト１１２を集計し、全検出端末リスト１２４を更新する。管理端末リスト１２６が更新された、又は準管理端末リスト１２３が更新された場合は、ブラックリスト管理部１２１は、全検出端末リスト１２４の更新を行わない。そして、ブラックリスト管理部１２１は、ブラックリスト１２５（非管理端末１０３の一覧）を作成する（Ｅ４）。
【００７６】
図３は、ブラックリスト１２５の生成方法を示す図である。
【００７７】
ブラックリスト管理部１２１は、管理端末１０ａの端末検出部１１ａが検出した検出端末リスト１２ａ、管理端末１０ｂの端末検出部１１ｂが検出した検出端末リスト１２ｂ、管理端末１０ｘの端末検出部１１ｘが検出した検出端末リスト１２ｘを受信する。ブラックリスト管理部１２１は、全ての検出端末リスト１２ａ，１２ｂ，１２ｘを合計し、全検出端末リスト１２４を作成する。ブラックリスト管理部１２１は、全検出端末リスト１２４から管理端末リスト１２６と、準管理端末リスト１２３に含まれる端末を除くことにより、ブラックリスト１２５を作成する。
【００７８】
図９において、管理端末１１０が、一定時間スリープ（Ｄ４）後、図９の処理を繰り返す。従って、管理端末１１０が送信する検出端末リスト１１２は、ネットワークセグメント１０１に新規に接続された端末や、ネットワークから切断された端末の情報を反映したものとなる。管理サーバ１２０は最新の検出端末リスト１１２に従い、全検出端末リスト１２４を更新し、ブラックリスト１２５を最新状態に維持する。
【００７９】
また、端末は、あるタイミングで非管理端末１０３として分類されても、エージェント１１５を導入することで管理端末１１０に変わる。逆に、端末は、エージェント１１５が停止することによって、管理端末１１０から非管理端末１０３に変わる。その場合、管理端末リスト１２６は更新される。ステップＥ２の処理により、管理端末リスト１２６の更新に合わせて、ブラックリスト管理部１２１はブラックリスト１２５を更新し最新状態に維持する。
【００８０】
同様に、管理者は準管理端末の登録や削除を行う。このため、ステップＥ２の処理により、ブラックリスト管理部１２１は、準管理端末リスト１２３の更新にあわせて、ブラックリスト１２５を更新して最新状態を維持する。
【００８１】
次に、管理サーバ１２０は、ブラックリスト１２５に新規に非管理端末１０３が追加されたか判定する（Ｅ５）。例えば、管理サーバ１２０は、更新前後のブラックリスト１２５の差分をとることにより、新規に非管理端末１０３が追加されたか判定する。管理サーバ１２０は、ブラックリスト１２５に新規に非管理端末１０３が追加されていた場合（Ｅ５，Ｙｅｓ）、管理サーバ１２０は、ＮＡＴ変換（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）が行われているか判定する（Ｅ６）。即ち、管理サーバ１２０は、調査セグメントリスト１２７を参照し、新規にブラックリスト１２５に追加された非管理端末１０３と同じネットワークセグメント１０１に属する管理端末１１０のＩＰアドレスを調査する。管理サーバ１２０は、管理端末１１０のＩＰアドレスが変換されている場合、新規にブラックリスト１２５に追加された非管理端末１０３のＩＰアドレスも変換されているものと判定する。ＮＡＴ変換が行われている場合（Ｅ６，Ｙｅｓ）、管理サーバ１２０は、ＮＡＴ変換後の非管理端末１０３のＩＰアドレス計算処理（図１３にて後述する）を行う（Ｅ７）。Ｅ５，Ｎｏの場合とＥ６，Ｎｏの場合とＥ７の処理を完了した場合、管理サーバ１２０は後述のＦ１の処理に移行する。
【００８２】
[３．２．２  非管理端末１０３のアクセス制限処理]
次に、非管理端末１０３のアクセス制限処理について説明する。
【００８３】
[３．２．２．１  管理サーバ１２０によるアクセス制限処理]
図１１は、管理サーバ１２０によるアクセス制限処理を示すフローチャートである。
【００８４】
図１０の処理を完了すると、管理サーバ１２０は、ブラックリスト１２５、又は調査端末不在セグメント情報を管理端末１１０に送信する（Ｆ１）。ここで、調査端末不在セグメント情報とは、調査端末が登録されていないネットワークセグメント１０１の識別子（例えば、ＩＰアドレス）である。次に、管理サーバ１２０は、再び図１０のＥ１の処理を行う。
【００８５】
[３．２．２．２  管理端末１１０によるアクセス制限処理]
図１２は、管理端末１１０によるアクセス制限処理を示すフローチャートである。
【００８６】
まず、管理端末１１０は待機している（Ｇ１）。次に、管理端末１１０は、管理サーバ１２０からブラックリスト１２５又は調査端末不在セグメント情報を受信する（Ｇ２）。ファイアウォール制御部１１３は、ファイアウォール１１４のフィルタを設定する（Ｇ３）。即ち、ファイアウォール制御部１１３は、ブラックリスト１２５又は調査端末不在セグメント情報を基にファイアウォール１１４のフィルタを設定する。ここで、ファイアウォール制御部１１３は、調査端末不在セグメント情報（調査端末が不在のネットワークセグメント１０１のＩＰアドレス）もアクセス制限の対象としている。これにより、調査端末が不在のネットワークセグメント１０１はネットワークセグメント１０１全体がアクセス制限の対象となる。その結果、ファイアウォール制御部１１３は、調査端末が存在しないネットワークセグメント１０１の非管理端末１０３に対しアクセス制限を行うことができる。
【００８７】
次に、非管理端末１０３のアクセス制限処理の具体例について、図４を用いて説明する。図４は、非管理端末１０３から管理端末１１０，１３０へのアクセス制限方法を示す図である。
【００８８】
この例では、管理サーバ１２０は、ブラックリスト１２５をネットワークセグメント１０１に属する管理端末１１０と、ネットワークセグメント１０２に属する管理端末１３０に送信する。ブラックリスト１２５は、非管理端末１０３としてＩＰアドレス（１９２．１６８．１．１００）の端末を掲載している。管理端末１１０，１３０は、ブラックリスト１２５を受信する。ファイアウォール制御部１１３は、非管理端末１０３のＩＰアドレス（１９２．１６８．１．１００）とは通信できないように、ファイアウォール１１４のフィルタ設定を行う。ファイアウォール制御部１３３はファイアウォール制御部１１３と同様のフィルタ設定を行う。ファイアウォール１１４，１３４は、ＩＰアドレス（１９２．１６８．１．１００）からのアクセスを拒否する。
【００８９】
また、ネットワーク１００上に、調査端末不在のネットワークセグメント１０１が存在する場合、管理サーバ１２０は、そのネットワークセグメント１０１全体のＩＰアドレスを含む調査端末不在セグメント情報を送信する。管理端末１１０，１３０は、調査端末不在セグメント情報を基に、そのネットワークセグメント１０１に属する全ての端末からのアクセスを拒否する。
【００９０】
Ｆ２の処理を行うことにより、管理サーバ１２０はブラックリスト１２５、調査端末不在セグメント情報が更新されると、その情報を管理端末１１０，１３０に通知し、ファイアウォール１１４，１３４の設定を変更させる。これにより、管理サーバ１２０は、非管理端末１０３の増減などの変化に追従してファイアウォール１１４，１３４のフィルタ設定を変更し、非管理端末１０３接続状況に応じたアクセス制限を実現する。
【００９１】
[３．２．２．３  管理サーバ１２０によるＮＡＴ変換後の非管理端末１０３のＩＰアドレス計算処理]
次に、ＮＡＴによってＩＰアドレスが変換されている場合についてのアクセス制限の実現方法を説明する。図１３は、管理サーバ１２０によるＮＡＴ変換後の非管理端末１０３のＩＰアドレス計算処理を示すフローチャートである。図１３（Ａ）は、ＮＡＴ変換前の処理、図１３（Ｂ）は、ＮＡＴ変換後の処理を示す。図１３の処理は、図１０のＥ７の処理において行われる。
【００９２】
管理サーバ１２０は、調査端末（管理端末１１０）のＮＡＴ変換前のＩＰアドレス、サブネットマスクからネットワークアドレスを計算する（Ｈ１）。調査端末は、ここで、新規にブラックリスト１２５に追加された非管理端末１０３が属するネットワークセグメント１０１の調査端末である。調査端末のＩＰアドレスは、Ａ５の処理において、調査セグメントリスト１２７に登録されている。次に、管理サーバ１２０は、非管理端末１０３のＩＰアドレス（ＡＲＰで検出）とネットワークアドレスから非管理端末１０３のホストアドレスを計算する（Ｈ２）。
【００９３】
ＮＡＴ変換後、管理サーバ１２０は、調査端末（管理端末１１０）のＮＡＴ変換後のＩＰアドレス、サブネットマスクからネットワークアドレスを計算する（Ｉ１）。そして、管理サーバ１２０は、ネットワークアドレスと非管理端末１０３のホストアドレスから非管理端末１０３のＩＰアドレスを計算する（Ｉ２）。
【００９４】
[３．２．２．４  具体例]
以下、ＮＡＴ変換後の非管理端末１０３のＩＰアドレス計算処理の具体例を示す。図１４は、管理サーバ１２０によるＮＡＴ変換後の非管理端末１０３のＩＰアドレス計算処理の具体例を示す図である。例えば、非管理端末１０３がＩＰアドレスとして１９２．１６８．０．１００が割り当てられている場合に、ＮＡＴによってＩＰアドレスが１０．１６８．０．１００に変換される場合を考える。
【００９５】
ＮＡＴ変換前、調査端末（管理端末１１０）のＩＰアドレスが１９２．１６８．１．１であり、サブネットマスクが２５５．２５５．２５５．０であるとする。この場合、管理サーバ１２０は、管理端末１１０の属するネットワークセグメント１０１のネットワークアドレスが１９２．１６８．１．０であり、管理端末１１０のホストアドレスが１であると判定できる。
【００９６】
次に、ＡＲＰにより、管理サーバ１２０は、非管理端末１０３のＩＰアドレスが１９２．１６８．１．１００であることを知ったとする。非管理端末１０３と管理端末１１０は同じネットワークセグメント１０１に属しているため、管理サーバ１２０は、非管理端末１０３のネットワークアドレスは管理端末１１０と同じ１９２．１６８．１．０であると判定できる。そして、管理サーバ１２０は、非管理端末１０３のホストアドレスは１００であると判定できる。
【００９７】
ＮＡＴ変換後、調査端末（管理端末１１０）がＮＡＴ変換された結果、管理サーバ１２０は管理端末１１０のＩＰアドレスが１０．１．１．１であることを知ったとする。このとき、管理サーバ１２０は、ネットワークアドレスが１９２．１６８．１．０から１０．１．１．０に変換されたと推測する。管理サーバ１２０は、ネットワークアドレスと非管理端末１０３のホストアドレス１００を合わせることにより、非管理端末１０３のＩＰアドレスは１０．１．１．１００にＮＡＴ変換されているはずと推測する。
【００９８】
これにより、管理サーバ１２０は、ＮＡＴ変換前後の両方のＩＰアドレスをアクセス制限することで、ＮＡＴ変換が行われた場合でも、非管理端末１０３のアクセスを制限することができる。
【００９９】
[３．２．２．５  管理サーバ１２０による未承認端末アクセス制限処理]
次に、エージェント１１５導入済みの管理端末１１０であるが条件を満たしていないために未承認端末として管理されている端末のアクセス制限について説明する。
【０１００】
未承認端末は、エージェント１１５を導入済みなので、管理サーバ１２０はその未承認端末自体のファイアウォール１１４を利用してアクセス制限を実施する。管理サーバ１２０は、未承認端末に対し、未承認となった原因の治療回復を行い承認済端末になるために必要なネットワークアクセスだけを許可することができる。例えば、管理サーバ１２０は承認済端末になるための条件（承認条件）として機器認証を課すことで、機器認証で承認されていない端末を未承認端末として検出する。その結果、管理サーバ１２０は、未承認端末に対し、非管理端末１０３へのアクセス制限だけでなく、その他必要最小限のアクセス許可しか与えないようにすることができる。未承認端末であったものが条件を満たすようになると承認済端末と分類されるようになるので、管理サーバ１２０は、アクセス制限を解除する。
【０１０１】
以下の説明で、管理端末１１０は、図６のＡ１の処理で、機器認証の認証条件を満たさなかったが、治療回復を行うため管理端末１１０として管理サーバ１２０の調査セグメントリスト１２７に格納されているものとする。
【０１０２】
図５は、不正端末アクセス制御システム００１の構成を示す図である。図５は、図２と比較して、承認管理部１４０と承認リスト１４１と未承認リスト１４２とを含む点が異なる。
【０１０３】
図１５は、管理サーバ１２０による未承認端末アクセス制限処理を示すフローチャートである。
【０１０４】
まず、管理サーバ１２０は、待機している（Ｊ１）。次に、管理端末１１０（未承認端末）が管理サーバ１２０に状態報告を行うと、管理サーバ１２０は、管理端末１１０から状態報告を受信し（Ｊ２）、承認条件のチェックを行う（Ｊ３）。ここで、状態報告は、端末接続時、端末の変化を検出時、指定された一定時間間隔、管理者からの指示があったときなどに行われる。承認条件とは、例えば機器認証である。
【０１０５】
次に、管理サーバ１２０は、管理端末１１０が承認条件を満たしているか判断し（Ｊ４）、管理端末１１０が承認条件を満たしている場合（Ｊ４，Ｙｅｓ）、管理端末１１０が承認管理部１４０の承認リスト１４１に存在するか判断する（Ｊ５）。承認リスト１４１に存在しなかった場合（Ｊ５，Ｎｏ）、管理サーバ１２０は、管理端末１１０を承認リスト１４１に追加し（Ｊ６）、アクセス制限解除指示を行う（Ｊ７）。
【０１０６】
管理端末１１０が承認条件を満たしていなかった場合（Ｊ４，Ｎｏ）、管理サーバ１２０は管理端末１１０が承認リスト１４１に存在するか判断する（Ｊ８）。管理端末１１０が未承認リスト１４２に存在しなかった場合（Ｊ８，Ｎｏ）、管理サーバ１２０は、管理端末１１０を未承認リスト１４２に追加し（Ｊ９）、アクセス制限実行指示を行う（Ｊ１０）。
【０１０７】
管理端末１１０が承認リスト１４１に存在した場合（Ｊ５，Ｙｅｓ）、アクセス制限解除指示（Ｊ７）の後、管理端末１１０が未承認リスト１４２に存在した場合（Ｊ８，Ｙｅｓ）、アクセス制限実行指示（Ｊ１０）の後は、本処理は、再びＪ１の処理に移行する。
【０１０８】
[３．２．２．６  管理端末１１０による未承認端末アクセス制限処理]
図１６は、管理端末１１０による未承認端末アクセス制限処理を示すフローチャートである。
【０１０９】
まず、管理端末１１０は、待機している（Ｋ１）。次に、管理端末１１０は、管理サーバ１２０からアクセス制限解除又は、実行指示を受信する（Ｋ２）。次に、管理端末１１０は、アクセス制限解除又は、実行を行う（Ｋ３）。
【０１１０】
管理サーバ１２０と管理端末１１０は、アクセス制限処理を上述の図１１，１２と同様に行うことができる。管理サーバ１２０は、ブラックリスト１２５に掲載するＩＰアドレスを設定することにより、未承認端末（管理端末１１０）に対し、非管理端末１０３へのアクセス制限だけでなく、その他必要最小限のアクセス許可しか与えないようにすることができる。例えば、管理端末１１０に対し、管理サーバ１２０としかアクセスできないようアクセス制限を行うことができる。逆に、管理端末１１０は管理サーバ１２０にはアクセスすることができるため治療を行おうことができる。
【０１１１】
第１の実施の形態は、容易にネットワーク通信を排除や制限することができる。
【０１１２】
その理由は、以下の通りである。管理端末１１０のエージェント１１５がネットワーク１００に接続中の端末を検出し、検出端末リスト１１２（検出された端末の一覧）を管理サーバ１２０に送信する。管理サーバ１２０のブラックリスト管理部１２１がエージェント１１５から検出端末リスト１１２を受信する。ブラックリスト管理部１２１は検出端末リスト１１２の中から非管理端末１０３を検出し、管理端末１１０にブラックリスト（非管理端末１０３の一覧）１２５を送信する。管理端末１１０が管理サーバ１２０からブラックリスト１２５を受信する。ファイアウォール１１４がブラックリスト１２５を基に、管理サーバ１２０が管理していない非管理端末１０３と管理サーバ１２０が管理している管理端末１１０とのアクセスを制限するためである。
【０１１３】
[４．第２の実施の形態]
次に、第２の実施の形態について図面を参照して説明する。第２の実施の形態の構成は第１の実施の形態の構成と同じであるため、動作について説明する。
【０１１４】
[４．１  動作]
[４．１．１  誤検出防止、消滅検出]
第２の実施の形態の動作は、第１の実施の形態と比較して、誤検出防止、消滅検出を行う点が異なる。
【０１１５】
端末の検出において、端末のＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）起動中や終了中など、通信可能であるがエージェント１１５が管理サーバ１２０に接続していない状態が存在する。その状態のときに、管理サーバ１２０がその端末を検出端末リスト１１２上の端末として報告を受けると、管理サーバ１２０がその端末を非管理端末１０３として分類してしまう可能性がある。
【０１１６】
即ち、端末がＯＳ起動時に通信をできる状態になり、その後、エージェント１１５が起動し管理サーバ１２０と接続する。端末の通信が可能になってから、管理サーバ１２０がエージェント１１５を認識するまでの間に調査端末（管理端末１１０）によってこの端末が検出されると、管理サーバ１２０はこの端末をエージェント１１５未導入の非管理端末１０３として誤認識する。
【０１１７】
同様に、端末のＯＳ終了時に、エージェント１１５が先に終了し、その後で通信が不可の状態になるとする。この場合、エージェント１１５が終了してから通信不可となる間に、調査端末（管理端末１１０）がこの端末を検出すると、管理サーバ１２０はこの端末をエージェント１１５未導入の非管理端末１０３として誤認識する。
【０１１８】
また、エージェント１１５のモジュール自体の更新などでエージェント１１５が短時間停止した場合も、同様の問題が発生する。
【０１１９】
管理サーバ１２０は、エージェント１１５未導入の端末を検出した場合、即時に非管理端末１０３としてブラックリスト１２５に追加するのではなく、非管理端末１０３として確定せずに暫く待ち合わせを行う必要がある。
【０１２０】
[４．１．１．１  非管理端末誤検出防止、消滅検出]
非管理端末誤検出防止は、管理サーバ１２０が新規検出端末をエージェント１１５未導入の端末であると判断した場合に、調査端末に対して、その端末を再度調査させる。調査端末は、一定時間検出した端末が生存していた場合のみ、再度報告する。その報告を受信したタイミングで、管理サーバ１２０は新規検出端末が再度非管理端末１０３かどうかを調べる。管理サーバ１２０は、新規検出端末が管理端末リスト１２６、準管理端末リスト１２３に登録されていない場合は、新規検出端末を非管理端末１０３として確定しブラックリスト１２５に登録する。ＯＳ起動時や一時的なエージェント１１５の停止であれば、一定時間後にはエージェント１１５は管理サーバ１２０と接続される。ＯＳの終了時であれば、一定時間後にはエージェント１１５はネットワークに接続しておらず、調査端末は管理サーバ１２０に報告を行わない。そのため、管理サーバ１２０が、新規検出端末を非管理端末１０３として確定することはない。
【０１２１】
図１７は、第２の実施の形態の全体処理の流れを示すシーケンス図である。図１７に示すように、管理端末１１０と管理サーバ１２０の処理が交互に行われる。それぞれの処理については、以下詳細に説明する。
【０１２２】
以下、具体的な処理を説明する。
【０１２３】
図１８は、非管理端末誤検出防止、消滅検出における管理端末１１０の処理１を示すフローチャートである。
【０１２４】
まず、管理端末１１０は、ＡＲＰを実行する（Ｌ１）。そして、管理端末１１０は、ＡＲＰ応答を基に検出端末リスト１１２を作成する（Ｌ２）。次に、管理端末１１０は、検出端末リスト１１２を送信する（Ｌ３）。次に、管理端末１１０は、一定時間スリープする（Ｌ４）。
【０１２５】
図１９は、非管理端末誤検出防止、消滅検出における管理サーバ１２０の処理１を示すフローチャートである。
【０１２６】
管理サーバ１２０は、検出端末リスト１１２の受信待ちを行う（Ｍ１）。管理サーバ１２０は、検出端末リスト１１２を受信すると（Ｍ２）、全検出端末リスト１２４に存在しない新規検出端末があるか判定する（Ｍ３）。全検出端末リスト１２４に存在しない新規検出端末がある場合（Ｍ３、Ｙｅｓ）、管理サーバ１２０は、新規検出端末の再調査指示を送信する（Ｍ４）。全検出端末リスト１２４に存在しない新規検出端末がない場合（Ｍ３、Ｙｅｓ）、本処理は、処理Ｍ１に移行する。
【０１２７】
図２０は、非管理端末誤検出防止、消滅検出における管理端末１１０の処理２を示すフローチャートである。
【０１２８】
まず、管理端末１１０は、再調査指示待ちを行う（Ｎ１）。次に、管理端末１１０は、再調査指示を受信する（Ｎ２）。そして、管理端末１１０は、指示された端末が通信可能か判定する（Ｎ３）。例えば、管理端末１１０は、指示された端末が５秒間隔で６回連続応答を返すか確認する。指示された端末が通信可能であった場合（Ｎ３，Ｙｅｓ）、管理端末１１０は、再調査結果として検出端末を管理サーバ１２０に報告する（Ｎ４）。
【０１２９】
図２１は、非管理端末誤検出防止、消滅検出における管理サーバ１２０の処理２を示すフローチャートである。
【０１３０】
まず、管理サーバ１２０は、再調査結果の受信待ちを行う（Ｏ１）。次に、管理サーバ１２０は、再調査結果を受信すると（Ｏ２）、検出端末が管理端末１１０か（エージェント１１５接続中か）判定する（Ｏ３）。検出端末が管理端末１１０ではなかった場合（Ｏ３，Ｎｏ）、管理サーバ１２０は、検出端末が準管理端末か判定する（Ｏ４）。検出端末が準管理端末ではなかった場合（Ｏ４，Ｎｏ）、管理サーバ１２０は、ブラックリスト１２５に検出端末を追加する（Ｏ５）。次に、管理サーバ１２０は、ＮＡＴ変換が行われているか判定し（Ｏ６）、ＮＡＴ変換が行われている場合（Ｏ６，Ｙｅｓ）、ＮＡＴ変換後の非管理端末１０３のＩＰアドレス計算処理（図１３）を行う（Ｏ７）。尚、Ｏ７の処理の後、管理サーバ１２０は、図１１の処理を行う。図１１の処理の説明は、第１の実施の形態と同じであるため省略する。
【０１３１】
次に、ＮＡＴ変換が行われていなかった場合（Ｏ６，Ｎｏ）、Ｏ７の処理が終了した場合、管理サーバ１２０は、全検出端末リスト１２４に検出端末を追加する（Ｏ８）。次に、管理サーバ１２０は、端末を検出した管理端末１１０に対して消滅検出指示を送信（Ｏ９）する。
【０１３２】
検出端末が管理端末１１０であった場合（Ｏ３，Ｙｅｓ）、検出端末が管理端末１１０であった場合（Ｏ４，Ｙｅｓ）、Ｏ９の処理終了後は、本処理は、Ｏ１の処理に移行する。
【０１３３】
図２２は、非管理端末誤検出防止、消滅検出における管理端末１１０の処理３を示すフローチャートである。
【０１３４】
まず、管理端末１１０は、消滅検出指示待ちを行う（Ｐ１）。次に、管理端末１１０は、消滅検出指示を受信すると（Ｐ２）、ＡＲＰを実行する（Ｐ３）。管理端末１１０は、指示された端末がＡＲＰ応答を返すか判定し（Ｐ４）、指示された端末がＡＲＰ応答を返さなかった場合（Ｐ４，Ｎｏ）、消滅を検出と判定し、消滅検出結果として、消滅端末を管理サーバ１２０に報告する（Ｐ５）。指示された端末がＡＲＰ応答を介した場合（Ｐ４，Ｙｅｓ）、管理端末１１０は、一定時間待機し（Ｐ６）、再びＰ４の処理に移行する。Ｐ６の処理では、例えば、管理端末１１０は、３０秒間スリープを行う。Ｐ４、Ｐ６の処理により、管理端末１１０は、指示された端末がＡＲＰ応答を返さなくなるまで、即ち、消滅するまで、指示された端末を監視する。
【０１３５】
管理端末１１０は、Ｐ５の処理終了後、本処理は再びＰ１の処理に移行する。
【０１３６】
図２３は、非管理端末誤検出防止、消滅検出における管理サーバ１２０の処理３を示すフローチャートである。
【０１３７】
まず、管理サーバ１２０は、消滅検出結果の受信待ちを行う（Ｑ１）。次に、管理サーバ１２０は、消滅検出結果を受信すると（Ｑ２）、検出端末がブラックリスト１２５に含まれるか判定する（Ｑ３）。検出端末がブラックリスト１２５に含まれる場合、管理サーバ１２０は、検出端末をブラックリスト１２５から削除し（Ｑ４）、全検出端末リスト１２４から削除する（Ｑ５）。検出端末がブラックリスト１２５に含まれなかった場合（Ｑ３，Ｎｏ）、Ｑ５の処理終了した場合、本処理は再びＱ１の処理に移行する。
【０１３８】
第２の実施の形態は、非管理端末１０３の誤検出を防止することができる。その理由は、第２の実施の形態は、端末が新たに検出されたときは、一定時間新規検出端末がネットワーク１００に接続していたときに、非管理端末１０３であるか否かを判断し、ブラックリスト１２５に追加するか決定するためである。
【０１３９】
又、第２の実施の形態は、非管理端末１０３の消滅を検出することができる。その理由は、管理端末１１０が一定時間ごとに非管理端末１０３のＡＲＰ応答があるか否かを判定しているためである。
【０１４０】
本発明の効果を説明するにあたり、本発明に関連する技術について説明する。
【０１４１】
非管理端末１０３（セキュリティ要件を確認できない、あるいはセキュリティ要件を満たさない端末）がネットワーク１００に接続された場合、この非管理端末１０３からのアクセスを拒否したり制限したりするには、以下の２つの方法が考えられる。
【０１４２】
１．認証機能を有するネットワーク装置が、認証済みでない端末を非管理端末１０３として扱い、ネットワーク装置が非管理端末１０３の通信を全て通過させないことでアクセス拒否を実現し、部分的にしか許可しないことでアクセス制限を実現する。
【０１４３】
２．ネットワークセグメント１０１毎に設置した装置が通信を監視し、登録されていない端末を非管理端末１０３として扱い、非管理端末１０３の通信を妨害することで制限する。
【０１４４】
１．の場合は、認証装置を持つネットワーク装置が無いと実現できないので、認証装置を持つネットワーク装置を導入する必要がある。
【０１４５】
２．の場合は、ネットワークセグメント１０１毎に監視と通信妨害を行うネットワーク装置を設置するか、ネットワークセグメント１０１毎に同等機能を有するソフトウェアを動作させる必要がある。また、そのネットワーク装置やソフトウェアが動作している装置が停止するとアクセス制限を行えないという問題がある。また、この方法はＭＡＣアドレスによる端末の識別を行うので、ＭＡＣアドレスの詐称により、非管理端末１０３であるにも拘わらず管理端末１１０であるように詐称することができるという問題がある。
【０１４６】
このように、上記２つの方法では、ネットワーク機器の導入が必要になる等の課題があり、容易にネットワーク通信を排除や制限することができない。
【０１４７】
これに対し、本発明は、容易にネットワーク通信を排除や制限することができる。
【０１４８】
その理由は、以下の通りである。管理端末１１０のエージェント１１５がネットワーク１００に接続中の端末を検出し、検出端末リスト１１２を管理サーバ１２０に送信し、管理サーバ１２０のブラックリスト管理部１２１がエージェント１１５から検出端末リスト１１２を受信する。ブラックリスト管理部１２１は検出端末リスト１１２の中から非管理端末１０３を検出し、管理端末１１０にブラックリスト（非管理端末１０３の一覧）１２５を送信する。管理端末１１０が管理サーバ１２０からブラックリスト１２５を受信する。ファイアウォール１１４がブラックリスト１２５を基に、管理サーバ１２０が管理していない非管理端末１０３と管理サーバ１２０が管理している管理端末１１０とのアクセスを制限するためである。
【０１４９】
即ち、本発明は、ネットワーク機器の導入等を行うのではなく、エンドポイントである管理端末（例、ＰＣ等）１１０の、管理端末１１０に通常搭載されているファイアウォール１１４を利用して通信制限を行っているためである。これにより、本発明は、認証機能を有するネットワーク機器の導入、通信妨害装置の導入を不要とし、ネットワーク機器、通信妨害装置の故障等に対応する必要が無い。
【０１５０】
そして、本発明は、管理者が管理サーバ１２０に端末を個別に登録すること、ネットワーク構成を登録することをしなくても、管理サーバ１２０が管理端末１１０と非管理端末１０３とを自動的に識別することができる。
【０１５１】
その理由は、管理サーバ１２０と接続を行うエージェント１１５を含む端末を管理端末１１０と判断するためである。具体例としては、端末に管理サーバ１２０と通信を行うエージェント１１５を導入することにより、管理サーバ１２０は、エージェント１１５が管理サーバ１２０と接続中（セッションを維持している）か否かで管理端末１１０であるか否かを識別するためである。
【０１５２】
その結果、管理サーバ１２０は、容易に非管理端末１０３を識別することができる。
【０１５３】
その理由は、エージェント１１５は、ネットワークに接続中の他の端末を検出し、検出端末リスト１１２を管理サーバ１２０に送信する機能を含む。これにより、管理サーバ１２０は検出端末リスト１１２からエージェント１１５を導入している管理端末１１０を除くことにより容易に非管理端末１０３を識別することができるためである。
【０１５４】
但し、準管理端末はエージェント１１５が導入されていないため、管理サーバ１２０は、準管理端末として管理したい端末を非管理端末１０３として検出する。そのため、本実施の形態のように、管理者が準管理端末リスト１２３に予め準管理端末として登録するか、ブラックリスト１２５の中から手動で選択して準管理端末として登録する必要がある。
【０１５５】
また、本発明は、非管理端末１０３であるにもかかわらず管理端末１１０であるように詐称することを防止することができる。また、本発明は、これを防止するための認証機能を有するネットワーク機器の導入を不要とすることができる。
【０１５６】
その理由は、管理サーバ１２０と管理端末１１０のエージェント１１５間で機器認証を行うためである。例えば、管理サーバ１２０がエージェント１１５に暗号を送信し、エージェント１１５が解読できた場合に管理サーバ１２０はエージェント１１５を含む端末を管理端末１１０と認証する。
【０１５７】
また、本発明は、管理端末１１０であっても所定の承認条件を満たしていない未承認端末である場合、未承認端末のアクセスを制限することができる。別の言い方をすると、本発明は、未承認端末でも部分的にアクセス可能なアクセス制御ができる。
【０１５８】
その理由は、管理端末１１０が所定の承認条件を満たしていないときは、管理サーバ１２０は、管理端末１１０に対し所定の端末とのみアクセスを許可するためである。
【０１５９】
また、本発明は、調査端末が停止したときでもアクセス制限を行うことができる。
【０１６０】
その理由は、調査端末が停止したときは、管理サーバ１２０がネットワークセグメント１０１の他の管理端末１１０を調査端末として割り当てるためである。
【０１６１】
また、本発明は、調査端末が存在しないネットワークセグメント１０１の非管理端末１０３に対しアクセス制限を行うことができる。
【０１６２】
その理由は、管理サーバ１２０が、管理端末１１０に対し、管理端末１１０の存在を確認できなかったネットワークセグメント１０１に属する全て端末とのアクセスを制限するためである。即ち、管理サーバ１２０は、管理端末１１０の存在を確認できなかったネットワークセグメント１０１全体に対し、アクセス制限を行うためである。
【０１６３】
また、本発明は、管理サーバ１２０が非管理端末１０３を誤検出することを防止できる。即ち、本発明は、一時的に通信可能であるが、エージェント１１５が管理サーバ１２０に接続されて端末を非管理端末１０３と分類してしまうことを防止できる。
【０１６４】
その理由は、本発明は、新規検出端末が検出されたときは、一定時間新規検出端末がネットワーク１００に接続していたときに、非管理端末１０３であるか否かを判断し、ブラックリスト１２５に追加するか決定するためである。
【０１６５】
本発明は、非管理端末１０３の消滅を検出することができる。その結果、管理サーバ１２０は、非管理端末１０３が消滅した場合、速やかに非管理端末１０３をブラックリスト１２５から削除することができる。
【０１６６】
その理由は、管理サーバ１２０が非管理端末１０３を検出後、管理端末１１０が一定時間ごとに非管理端末１０３のＡＲＰ応答があるか否かを判定しているためである。
【図面の簡単な説明】
【０１６７】
【図１】不正端末アクセス制御システム００１の構成を示す図である。
【図２】不正端末アクセス制御システム００１の構成を示す図である。
【図３】ブラックリスト１２５の生成方法を示す図である。
【図４】非管理端末１０３から管理端末１１０，１３０へのアクセス制限方法を示す図である。
【図５】不正端末アクセス制御システム００１の構成を示す図である。
【図６】第１の実施の形態の全体処理の流れを示すシーケンス図である。
【図７】管理サーバ１２０の調査端末割り当てを示すフローチャートである。
【図８】管理サーバ１２０の、調査端末停止時の調査端末再割当て処理を示すフローチャートである。
【図９】管理端末１１０のＡＲＰ実行処理を示すフローチャートである。
【図１０】管理サーバ１２０のブラックリスト１２５作成処理を示すフローチャートである。
【図１１】管理サーバ１２０によるアクセス制限処理を示すフローチャートである。
【図１２】管理端末１１０によるアクセス制限処理を示すフローチャートである。
【図１３】管理サーバ１２０によるＮＡＴ変換後の非管理端末１０３のＩＰアドレス計算処理を示すフローチャートである。
【図１４】管理サーバ１２０によるＮＡＴ変換後の非管理端末１０３のＩＰアドレス計算処理の具体例を示す図である。
【図１５】管理サーバ１２０による未承認端末アクセス制限処理を示すフローチャートである。
【図１６】管理端末１１０による未承認端末アクセス制限処理を示すフローチャートである。
【図１７】第２の実施の形態の全体処理の流れを示すシーケンス図である。
【図１８】非管理端末誤検出防止、消滅検出における管理端末１１０の処理１である。
【図１９】非管理端末誤検出防止、消滅検出における管理サーバ１２０の処理１である。
【図２０】非管理端末誤検出防止、消滅検出における管理端末１１０の処理２である。
【図２１】非管理端末誤検出防止、消滅検出における管理サーバ１２０の処理２である。
【図２２】非管理端末誤検出防止、消滅検出における管理端末１１０の処理３である。
【図２３】非管理端末誤検出防止、消滅検出における管理サーバ１２０の処理３である。
【符号の説明】
【０１６８】
００１    不正端末アクセス制御システム
１０ａ    管理端末
１０ｂ    管理端末
１０ｘ    管理端末
１１ａ    端末検出部
１１ｂ    端末検出部
１１ｘ    端末検出部
１２ａ    検出端末リスト
１２ｂ    検出端末リスト
１２ｘ    検出端末リスト
１００    ネットワーク
１０１    ネットワークセグメント
１０２    ネットワークセグメント
１０３    非管理端末
１１０    管理端末
１１１    端末検出部
１１２    検出端末リスト
１１３    ファイアウォール制御部
１１４    ファイアウォール
１１５    エージェント
１２０    管理サーバ
１２１    ブラックリスト管理部
１２２    検出端末管理部
１２３    準管理端末リスト
１２４    全検出端末リスト
１２５    ブラックリスト
１２６    管理端末リスト
１２７    調査セグメントリスト
１３０    管理端末
１３３    ファイアウォール制御部
１３４    ファイアウォール
１４０    承認管理部
１４１    承認リスト
１４２    未承認リスト
【図１】
2010004442.tif 000003
【図２】
2010004442.tif 000004
【図３】
2010004442.tif 000005
【図４】
2010004442.tif 000006
【図５】
2010004442.tif 000007
【図６】
2010004442.tif 000008
【図７】
2010004442.tif 000009
【図８】
2010004442.tif 000010
【図９】
2010004442.tif 000011
【図１０】
2010004442.tif 000012
【図１１】
2010004442.tif 000013
【図１２】
2010004442.tif 000014
【図１３】
2010004442.tif 000015
【図１４】
2010004442.tif 000016
【図１５】
2010004442.tif 000017
【図１６】
2010004442.tif 000018
【図１７】
2010004442.tif 000019
【図１８】
2010004442.tif 000020
【図１９】
2010004442.tif 000021
【図２０】
2010004442.tif 000022
【図２１】
2010004442.tif 000023
【図２２】
2010004442.tif 000024
【図２３】
2010004442.tif 000025