(57)【要約】【課題】  検疫を必要とするネットワークへの簡易なアクセスを可能とする。【解決手段】  リモートアクセス検疫システム１０は、外部ネットワークＮ２と内部ネットワークＮ１との間に設けられ、ＰＣ２０に対応したアクセス設定を保持し、当該保持したアクセス設定に基づいて外部ネットワークＮ２に接続されたＰＣ２０からの内部ネットワークＮ１へのアクセスを制御するファイアウォール１２と、ＰＣ２０に対する情報処理上の安全性の検査を行う検査サーバ１３と、当該検査の結果に基づき、ＰＣ２０に対応して保持されているアクセス設定を変更する検疫管理サーバ１４と、を備える。【選択図】  図１
2006065414.tif 000002
【特許請求の範囲】
【請求項１】
外部ネットワークと内部ネットワークとの間に設けられ、端末に対応したアクセス設定を保持し、当該保持したアクセス設定に基づいて前記外部ネットワークに接続された端末からの前記内部ネットワークへのアクセスを制御するファイアウォールと、
前記端末に対する情報処理上の安全性の検査を行う検査手段と、
当該検査の結果に基づき、前記端末に対応して保持されているアクセス設定を変更する設定手段と、
を備えるリモートアクセス検疫システム。
【請求項２】
前記検査手段は、前記端末からの要求に応じて検査用のプログラムを送信し、当該送信に応じて前記端末において当該プログラムを実行したことにより取得されるデータを前記端末から受信し、当該受信したデータに基づいて検査を行うことを特徴とする請求項１に記載のリモートアクセス検疫システム。
【請求項３】
前記ファイアウォールにおける前記端末に対応した設定において、当該端末の特定は、前記ファイアウォールの内部のネットワークにアクセスするために前記端末に割り当てられるＩＰアドレスにより行われる、
ことを特徴とする請求項１又は２に記載のリモートアクセス検疫システム。
【請求項４】
前記ＩＰアドレスを、端末からのアクセス毎に端末に割り当てるＩＰアドレス割当手段を更に備える請求項３に記載のリモートアクセス検疫システム。
【請求項５】
外部ネットワークと内部ネットワークとの間に設けられ、端末に対応したアクセス設定を保持し、当該保持したアクセス設定に基づいて前記外部ネットワークに接続された端末からの前記内部ネットワークへのアクセスを制御するファイアウォールを含んで構成されるシステムにおけるリモートアクセス検疫方法であって、
前記端末に対する情報処理上の安全性の検査を行う検査ステップと、
当該検査の結果に基づき、前記端末に対応して保持されているアクセス設定を変更する設定ステップと、
を含むリモートアクセス検疫方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、リモートアクセス検疫システム及びリモートアクセス検疫方法に関する。
【背景技術】
【０００２】
従来から、企業のネットワークシステムに個人のＰＣ（Ｐｅｒｓｏｎａｌ  Ｃｏｍｐｕｔｅｒ）を外部のネットワークから接続する場合などに、そのＰＣにウィルス対策ソフトが常駐しているか等の情報処理上の安全性の検査を行い検査結果に基づきネットワークへの接続を制御する、いわゆる「検疫」が行われている（例えば、下記の非特許文献１参照）。
【非特許文献１】「Ｎ＋Ｉ  Ｎｅｔｗｏｒｋ  Ｇｕｉｄｅ」，ソフトバンクパブリッシング株式会社，２００４年９月号，ｐ．４０−４３
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、上記非特許文献１に記載されている技術では、ネットワークに接続しようとするＰＣに検査を行うための専用のソフトウェアを予めインストール等の煩雑な事前準備が必要となる。そのソフトウェアがインストールされていない場合は、検疫を必要とするネットワークにアクセスすることができない。
【０００４】
そこで、本発明は、ソフトウェアのインストール等の検疫のための事前準備を必要とせず、検疫を必要とするネットワークへの簡易なアクセスを可能とするリモートアクセス検疫システム及びリモートアクセス検疫方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
本発明のリモートアクセス検疫システムは、外部ネットワークと内部ネットワークとの間に設けられ、端末に対応したアクセス設定を保持し、当該保持したアクセス設定に基づいて外部ネットワークに接続された端末からの内部ネットワークへのアクセスを制御するファイアウォールと、端末に対する情報処理上の安全性の検査を行う検査手段と、当該検査の結果に基づき、端末に対応して保持されているアクセス設定を変更する設定手段と、を備える。
【０００６】
本発明のリモートアクセス検疫システムでは、検査手段が内部ネットワークにアクセスしようとする端末に対する検査を行い、設定手段が当該検査結果に基づいてファイアウォールの設定を変更する。従って、検査において情報処理上安全性が確保された端末のみがファイアウォールにおいてアクセスを許可され、その一方端末からすれば、検疫のための準備を必要とせずに簡易なアクセスを可能になる。
【０００７】
また、検査手段は、端末からの要求に応じて検査用のプログラムを送信し、当該送信に応じて端末において当該プログラムを実行したことにより取得されるデータを端末から受信し、当該受信したデータに基づいて検査を行うことが望ましい。この構成によれば、検査部分について従来技術を利用することができる等、本発明の容易な実施が可能となる。
【０００８】
また、ファイアウォールにおける端末に対応した設定において、当該端末の特定は、ファイアウォールの内部のネットワークにアクセスするために端末に割り当てられるＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスにより行われる、ことが望ましい。インターネット網においては、端末の特定はＩＰアドレスで行われるので、この構成によれば、本発明の容易な実施が可能となる。
【０００９】
また、リモートアクセス検疫システムは、ＩＰアドレスを、端末からのアクセス毎に端末に割り当てるＩＰアドレス割当手段を更に備えることが望ましい。この構成によれば、リモートアクセス検疫システムでＩＰアドレスが割り当てられるので、本発明のより確実な実施が可能となる。
【００１０】
ところで、本発明は、上記のようにシステムの発明として記述できる他に、以下のようにリモートアクセス検疫方法の発明としても記述することができる。これはカテゴリーが異なるだけで、実質的に同一の発明であり、同様の作用及び効果を奏する。本発明のリモートアクセス検疫方法は、外部ネットワークと内部ネットワークとの間に設けられ、端末に対応したアクセス設定を保持し、当該保持したアクセス設定に基づいて外部ネットワークに接続された端末からの内部ネットワークへのアクセスを制御するファイアウォールを含んで構成されるシステムにおけるリモートアクセス検疫方法であって、端末に対する情報処理上の安全性の検査を行う検査ステップと、当該検査の結果に基づき、端末に対応して保持されているアクセス設定を変更する設定ステップと、を含む。
【発明の効果】
【００１１】
本発明によれば、検査において情報処理上安全性が確保された端末のみがファイアウォールにおいてアクセスを許可され、その一方端末からすれば、検疫のための準備を必要とせずに簡易なアクセスを可能になる。
【発明を実施するための最良の形態】
【００１２】
本発明の知見は、例示のみのために示された添付図面を参照して以下の詳細な記述を考慮することによって容易に理解することができる。引き続いて、添付図面を参照しながら本発明の実施の形態を説明する。可能な場合には、同一の部分には同一の符号を付して、重複する説明を省略する。
【００１３】
図１に、本実施形態におけるリモートアクセス検疫システム１０の構成を示す。リモートアクセス検疫システム１０は、外部から内部ネットワークＮ１にアクセスしようとするＰＣ（端末）２０に対して検査を行い、その検査結果に基づいてアクセスの制御を行うシステムである。なお、ここで「検疫」とは、ウィルス対策ソフトが常駐しているか、ウィルスパターンは最新のものであるか、また、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）に最新のパッチが適用されているか否かなど、情報処理上安全性が確保されているか否かの検査を行い検査結果に基づきネットワークへの接続を制御することである。ＰＣ２０は、外部ネットワークＮ２を介して内部ネットワークＮ１にアクセスを行う装置である。外部ネットワークＮ２は、リモートアクセス検疫システム１０及びＰＣ２０の接続対象であり、具体的には例えばインターネット網や電話回線網等が相当する。
【００１４】
リモートアクセス検疫システム１０は、アクセスサーバ（ＩＰアドレス割当手段）１１と、ファイアウォール１２と、検査サーバ（検査手段）１３と、検疫管理サーバ（設定手段）１４と、ユーザ認証サーバ１５とを含んで構成され、外部ネットワークＮ２と内部ネットワークＮ１との間に位置している。ここで、上記各構成要素は互いに接続されており、データの送受信を行うことが可能となっている。但し、検査サーバ１３、検疫管理サーバ１４、ユーザ認証サーバ１５、及び内部ネットワークＮ１へのファイアウォール１２の外部からのアクセスは、ファイアウォール１２を経由しなければならない。
【００１５】
アクセスサーバ１１は、ファイアウォール１２の外側の外部ネットワークＮ２に接続されているＰＣ２０に内部ネットワークＮ１及び検査サーバ１３等へのアクセスに必要な機能を提供するものである。ＰＣ２０はアクセスサーバ１１にアクセスし、上記の機能を提供されなければ、内部ネットワークＮ１等にアクセスできない。また、アクセスサーバ１１はＰＣ２０に対して、内部ネットワークＮ１等にアクセスするためのＩＰアドレスを割り当てる。このＩＰアドレスの割当はアクセスの度に行われる。なお、割り当てるＩＰアドレスの範囲（プールアドレス）は、予め定めておく。アクセスサーバ１１には、具体的にはＶＰＮ（Ｖｉｒｔｕａｌ  Ｐｒｉｖａｔｅ  Ｎｅｔｗｏｒｋ）（具体的には例えば、ＩＰｓｅｃ（Ｓｅｃｕｒｉｔｙ  Ａｒｃｈｉｔｅｃｔｕｒｅ  ｆｏｒ  Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）あるいはＳＳＬ（Ｓｅｃｕｒｅ  Ｓｏｃｋｅｔ  Ｌａｙｅｒ）を利用したもの）、ＲＡＳ（Ｒｅｍｏｔｅ  Ａｃｃｅｓｓ  Ｓｅｒｖｉｃｅ）等の機能を実現するサーバ装置が相当する。
【００１６】
ファイアウォール１２は、パケットフィルタリング等によりファイアウォール１２内部（内部ネットワークＮ１及び検査サーバ１３等）への不正な侵入を防ぐものであり、外部ネットワークＮ２と内部ネットワークＮ１との間に設けられている。また、ファイアウォール１２は、ＰＣ２０に対応して内部ネットワークＮ１へのアクセス可否の設定を保持しており、そのアクセス設定に基づいてＰＣ２０からの内部のネットワークＮ１へのアクセスを制御するものでもある。アクセス設定は、具体的には図２のテーブル１２ａに示すようなデータをファイアウォール１２が記憶することにより、保持される。例えば、図２のテーブル１２ａの１行目は、“ルール１”として、ＩＰアドレス“ｘｘ．ｘｘ．ｘｘ．１”が割り当てられたＰＣ２０に対して“ネットワークＮ１”へのアクセスを許可するというルールが定義されている。但し、このルールはＰＣ２０の検疫を行う前は“無効”となっている。即ち、図２のテーブル１２ａの１行目に記載されたアクセス設定では、ルールが無効となっているので、ＩＰアドレス“ｘｘ．ｘｘ．ｘｘ．１”が割り当てられたＰＣ２０は、ネットワークＮ１にアクセスすることができない。ルールが有効にされる場合については、後述する。
【００１７】
上記のように、アクセス設定におけるＰＣ２０の特定は、ＩＰアドレスで行うこととするのが好ましい。また、上記のアクセス設定におけるＩＰアドレスの範囲は、アクセスサーバ１１により割り当てられるＩＰアドレスと同じにしておく。
【００１８】
検査サーバ１３は、内部ネットワークＮ１にアクセスしようとするＰＣ２０の検査を行うものである。具体的検査方法は後述する。検査結果の情報は、検疫管理サーバ１４に送信される。
【００１９】
検疫管理サーバ１４は、検査サーバ１３による検査の結果の情報を受信し、管理するものである。また、検疫管理サーバ１４は、検査の情報を参照してその結果に基づき検疫対象のＰＣ２０に対応するファイアウォール１２におけるアクセス設定を変更する。具体的な変更方法等は後述する。検疫管理サーバ１４で管理するデータには、検疫日時（日付、時刻）、検疫結果、検査結果、ＰＣ情報（ＩＰアドレス、ＭＡＣアドレス）、ファイアウォール１２のアクセス設定の有効及び無効日時、及びファイアウォール１２のアクセス設定のステータス等が含まれていることが好ましい。
【００２０】
ユーザ認証サーバ１５は、ＰＣ２０が内部ネットワークＮ１にアクセスしてもよい端末であるか否かの認証を行うものである。認証方法として具体的には、例えばＰＣ２０からＩＤとパスワードとを受け付け、それらの情報を用いた認証のようなものでよい。また、それ以外の一般的な認証方法が用いられてもよい。
【００２１】
上記の各構成要素は、ＣＰＵ、メモリ及びストレージ等から構成されるサーバ装置により実現されることが好ましい。
【００２２】
内部ネットワークＮ１は、ＰＣ２０のリモートアクセス対象のネットワークである。例えば、企業等の業務ネットワーク等が相当する。
【００２３】
以下、図３のフローチャートを用いて、本実施形態におけるリモートアクセス検疫システム１０により実行される処理を説明する。この処理は、ＰＣ２０が内部ネットワークＮ１にアクセスしようとする場合に実行される。
【００２４】
まず、ＰＣ２０はユーザ認証サーバ１５にアクセスする。ユーザ認証サーバ１５では、ＰＣ２０からＩＤとパスワードとを受け付け、それらの情報に基づいてＰＣ２０のユーザの認証を行う（Ｓ０１）。ここで、認証が失敗した場合は、ＰＣ２０が内部ネットワークＮ１にアクセスできない状態で、処理が終了する。認証に成功した場合は、その旨の情報がユーザ認証サーバ１５からアクセスサーバ１１に送信される。アクセスサーバ１１は、プールアドレスから任意のＩＰアドレスを選択し、ＰＣ２０に対してそのＩＰアドレスを割り当てる（Ｓ０２）。
【００２５】
続いて、リモートアクセス検疫システム１０では、ＰＣ２０に対する検査を行う（Ｓ０３）。この検査の処理を、図４のシーケンス図を用いて説明する。まず、ＰＣ２０が、検査サーバ１３にアクセスし、検査用プログラムの要求を行う（Ｓ０３ａ）。検査サーバ１３へのアクセスは、例えば、Ｗｅｂブラウザを用いＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｃｅ  Ｌｏｃａｔｏｒ）を指定して行われることとするのがよい。検査用プログラムは、ＰＣ２０で実行されると、ＰＣ２０のレジストリ情報等から検査に必要なデータを収集する。上記検査に必要なデータとしては、従来の検疫システムで用いられるデータが用いられることとしてもよい。
【００２６】
要求を受けた検査サーバ１３は、ＰＣ２０に検査用プログラムを送信する（Ｓ０３ｂ）。検査用プログラムが送信されたＰＣ２０では、検査用プログラムを受信して実行する（Ｓ０３ｃ）。プログラムの実行により、検査に必要なデータが収集されるので、ＰＣ２０は、それらのデータを検査サーバ１３に送信する（Ｓ０３ｄ）。検査サーバ１３は、それらのデータを受信し、ＰＣ２０に対する検査の処理を行う（Ｓ０３ｅ）。検査は具体的には、ＰＣから送信されたデータと、予め検査サーバ１３で保持している検査の基準情報とを比較することにより行う。続いて、検査サーバ１３は検査の結果情報を作成し、検疫管理サーバ１４に送信する。検査の結果情報には、検疫対象のＰＣ２０を特定するＩＰアドレス等の情報も含まれている。また、検査サーバ１３は、ユーザが内部ネットワークＮ１へのアクセスの可否を知ることができるように、当該検査の結果情報をＰＣ２０にも送信することが好ましい。
【００２７】
引き続いて、検査の結果情報が送信された検疫管理サーバ１４では、当該検査結果情報を受信して参照することにより、ＰＣ２０が、情報処理上安全性が確保された端末か否か判断する（図３のＳ０４）。問題ありと判断された場合は、ＰＣ２０が内部ネットワークＮ１にアクセスできない状態で、処理が終了する。問題なしと判断された場合は、検疫管理サーバ１４は、ＰＣ２０が内部ネットワークＮ１にアクセス可能となるように、ファイアウォール１２で保持しているアクセス設定を変更する（Ｓ０５）。具体的には、図２に示すアクセス設定テーブルの当該ＰＣ２０のＩＰアドレスに対応する部分のステータスを有効にする。ステータスを有効とするのに、例えば、検疫管理サーバ１４はファイアウォール１２に、ルールＮｏ１のルールを有効にするコマンド文字列を送信する。具体的には例えば“ｕｎｓｅｔ  ｐｏｌｉｃｙ  ｉｄ１  ｄｉａｂｌｅ”といった文字列が用いられる。アクセス設定が変更されると、ＰＣ２０は内部ネットワークＮ１にアクセス可能となる。
【００２８】
ＰＣ２０からの接続が切断された場合は、アクセスサーバ１１がその旨を検疫管理サーバ１４に通知する。検疫管理サーバ１４は、当該ＰＣ２０に対応し、内部ネットワークＮ１へのアクセスを可能としていたファイアウォール１２のアクセス設定を無効にする。ステータスを無効とするのに、例えば、検疫管理サーバ１４はファイアウォール１２に、ルールＮｏ１のルールを無効にするコマンド文字列を送信する。具体的には例えば“ｓｅｔ  ｐｏｌｉｃｙ  ｉｄ１  ｄｉａｂｌｅ”といった文字列が用いられる。
【００２９】
上述のように、本実施形態におけるリモートアクセス検疫システム１０によれば、検査において情報処理上安全性が確保されたＰＣ２０のみがファイアウォール１２において内部ネットワークＮ１へのアクセスを許可される。その一方ＰＣ２０からすれば、検疫のための準備を必要とせずに内部ネットワークＮ１への簡易なアクセスを可能になる。
【００３０】
また、本実施形態のように、検査用のプログラムを用いて検査を行うこととすれば、検査部分について従来技術を利用することができる等、容易な本発明の実施が可能となる。但し、上記のようなプログラム実行させる方法でない検査方法が用いられてもよい。
【００３１】
また、本実施形態のようにＰＣ２０の特定を、ＩＰアドレスを用いて行うこととすれば、インターネット網における本発明の容易な実施が可能となる。なお、ＩＰアドレス以外でＰＣ２０を特定することとしてもよい。
【００３２】
また、本実施形態のようにアクセスサーバ１１でＰＣ２０にＩＰアドレスを割り当てることとすれば、リモートアクセス検疫システム１０でＩＰアドレスが割り当てられるので、本発明のより確実な実施が可能となる。
【図面の簡単な説明】
【００３３】
【図１】実施形態におけるリモートアクセス検疫システムの構成を示す図である。
【図２】ファイアウォールが記憶するアクセス制御のテーブルを示す図である。
【図３】実施形態においてリモートアクセス検疫システムで実行される処理を示すフローチャートである。
【図４】実施形態において検査の流れを示すシーケンス図である。
【符号の説明】
【００３４】
１０…リモートアクセス検疫システム、１１…アクセスサーバ、１２…ファイアウォール、１３…検査サーバ、１４…検疫管理サーバ、１５…ユーザ認証サーバ、２０…ＰＣ、Ｎ１…内部ネットワーク、Ｎ２…外部ネットワーク。
【図１】
2006065414.tif 000003
【図２】
2006065414.tif 000004
【図３】
2006065414.tif 000005
【図４】
2006065414.tif 000006