(57)【要約】【課題】  通信ネットワークに接続されている全ての端末に対して、セキュリティ対策プログラムをユーザの労力なく、自動的に適用することができるセキュリティ対策システムを提供する。【解決手段】  端末が、定義ファイルを通信ネットワークを介して定義ファイル記憶サーバから読み込む定義ファイル読み込み手段と、定義ファイルに記述されているセキュリティ対策用情報から自装置に既に適用されている更新対象情報を特定し、セキュリティ対策用情報の属性と更新対称情報の属性との比較に基づいて、更新用のセキュリティ対策用情報を特定するセキュリティ対策用情報特定手段と、特定したセキュリティ対策用情報をセキュリティ対策用情報記憶サーバから読み込んで、特定した更新対象情報を更新するセキュリティ更新手段とを備える備える。【選択図】    図１
2006024003.tif 000002
【特許請求の範囲】
【請求項１】
セキュリティ対策用情報の一覧を記述した定義ファイルを記憶する定義ファイル記憶サーバと、
各セキュリティ対策用情報を記憶するセキュリティ対策用情報記憶サーバと、
前記セキュリティ対策用情報を適用する端末と、
が通信ネットワークを介して接続されたセキュリティ対策システムであって、
前記端末が、
前記定義ファイルを前記通信ネットワークを介して前記定義ファイル記憶サーバから読み込む定義ファイル読み込み手段と、
前記定義ファイルに記述されているセキュリティ対策用情報から自装置に既に適用されている更新対象情報を特定し、前記セキュリティ対策用情報の属性と前記更新対称情報の属性との比較に基づいて、更新用の前記セキュリティ対策用情報を特定するセキュリティ対策用情報特定手段と、
前記特定したセキュリティ対策用情報を前記セキュリティ対策用情報記憶サーバから読み込んで、前記特定した更新対象情報を更新するセキュリティ更新手段と、
を備えることを特徴とするセキュリティ対策システム。
【請求項２】
前記セキュリティ対策システムにログオンするログオン処理手段を備え、
前記定義ファイル読み込み手段は、前記ログオンに基づいて前記定義ファイルを読み込むことを特徴とする請求項１に記載のセキュリティ対策システム。
【請求項３】
前記セキュリティ対策用情報の属性は、
当該セキュリティ対策用情報の優先度を示すプライオリティ情報と、
前記端末のバージョンに基づいて適用できるか否かを示す比較識別子と、
を少なくとも含み、
前記セキュリティ対策用情報特定手段は、前記プライオリティ情報と前記比較識別子に基づいて、前記セキュリティ対策用情報を特定する
ことを特徴とする請求項１または請求項２に記載のセキュリティ対策システム。
【請求項４】
前記定義ファイル読み込み手段と前記セキュリティ対策用特定手段は、管理者権限下でのみ動作することを特徴とする請求項１から請求項３のいずれかに記載のセキュリティ対策システム。
【請求項５】
前記セキュリティ更新手段は、前記端末の再起動後に前記特定したセキュリティ対策用情報を用いて前記特定した更新対象情報を更新することを特徴とする請求項１から請求項４のいずれかに記載のセキュリティ対策システム。
【請求項６】
セキュリティ対策用情報の一覧を記述した定義ファイルを記憶する定義ファイル記憶サーバと、
各セキュリティ対策用情報を記憶するセキュリティ対策用情報記憶サーバと、
前記セキュリティ対策用情報を適用する端末と、
が通信ネットワークを介して接続されたセキュリティ対策システムにおけるセキュリティ対策方法であって、
前記端末が、
前記定義ファイルを前記通信ネットワークを介して前記定義ファイル記憶サーバから読み込む定義ファイル読み込み処理と、
前記定義ファイルに記述されているセキュリティ対策用情報から自装置に既に適用されている更新対象情報を特定し、前記セキュリティ対策用情報の属性と前記更新対称情報の属性との比較に基づいて、更新用の前記セキュリティ対策用情報を特定するセキュリティ対策用情報特定処理と、
前記特定したセキュリティ対策用情報を前記セキュリティ対策用情報記憶サーバから読み込んで、前記特定した更新対象情報を更新するセキュリティ更新処理と、
を有することを特徴とするセキュリティ対策方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、企業内ネットワークに接続された多数の端末のセキュリティを維持するためのセキュリティ対策システム及びセキュリティ対策方法に関する。
【背景技術】
【０００２】
従来、ＰＣ（Personal Computer）などの端末に利用されているＯＳ（Operatting System）のセキュリティを維持しようとする場合には、専用のセキュリティ対策プログラムを当該ＯＳに適用することにより行なっている。例えばＯＳとしてWindows（登録商標）を利用しているＰＣでは、Windows（登録商標） Updateと呼ばれる機能を利用して、インターネットに接続された所定のサーバにセキュリティ対策プログラムのダウンロードを要求し、当該ダウンロードしたセキュリティ対策用プログラムを利用してＯＳのセキュリティを高めることとなる。またこの他にも、企業内の専用サーバにセキュリティ対策プログラムを保存しておき、このサーバから当該セキュリティ対策プログラムをダウンロードしてＰＣに適用する方法も考えられる。
なお、ＯＳにセキュリティ対策プログラムを適用する際には、通常、ＰＣに管理者権限でログオンしなければ適用できないようになっている。このように、端末では、自装置における重要な処理を実行できる管理者権限ユーザと、重要な処理の実行ができない一般ユーザとを管理することが一般的なＯＳの仕組みとなっている。そして、従来技術としてコンピュータの権限に関する技術が公開されている。
【特許文献１】特開平１１−２５９４２６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
ここで、例えば企業などにおいては、セキュリティ対策を施さなければならない端末が大変多く存在するが、特定の管理者が管理者権限を用いて全ての企業内の端末のセキュリティ対策を施す作業を行なうには、あまりにも端末の数が多すぎて多大な労力が発生するという問題がある。また、端末の数の多さから全ての端末がセキュリティ対策を施したか否かを確認することが困難である。また上述の様に、セキュリティ対策プログラムを実行する権限を一般ユーザが持っていたとしても、企業内の全てのユーザがその作業を行なわなければならないので、一般ユーザに労力をかけてしまうだけでなく、その作業の進捗状況がバラバラとなってしまう。
【０００４】
そこでこの発明は、通信ネットワークに接続されている全ての端末に対して、セキュリティ対策プログラムを一般ユーザの労力なく、自動的に適用することができるセキュリティ対策システム及びセキュリティ対策方法を提供することを目的としている。
【課題を解決するための手段】
【０００５】
本発明は、上述の課題を解決すべくなされたもので、セキュリティ対策用情報の一覧を記述した定義ファイルを記憶する定義ファイル記憶サーバと、各セキュリティ対策用情報を記憶するセキュリティ対策用情報記憶サーバと、前記セキュリティ対策用情報を適用する端末と、が通信ネットワークを介して接続されたセキュリティ対策システムであって、前記端末が、前記定義ファイルを前記通信ネットワークを介して前記定義ファイル記憶サーバから読み込む定義ファイル読み込み手段と、前記定義ファイルに記述されているセキュリティ対策用情報から自装置に既に適用されている更新対象情報を特定し、前記セキュリティ対策用情報の属性と前記更新対称情報の属性との比較に基づいて、更新用の前記セキュリティ対策用情報を特定するセキュリティ対策用情報特定手段と、前記特定したセキュリティ対策用情報を前記セキュリティ対策用情報記憶サーバから読み込んで、前記特定した更新対象情報を更新するセキュリティ更新手段と、を備えることを特徴とするセキュリティ対策システムである。
これにより、通信ネットワークに接続されている全ての端末に対して、セキュリティ対策プログラムをユーザの労力なく、自動的に適用することができる。
【０００６】
また本発明は、上述のセキュリティ対策システムが、前記セキュリティ対策システムにログオンするログオン処理手段を備え、前記定義ファイル読み込み手段は、前記ログオンに基づいて前記定義ファイルを読み込むことを特徴とする。
これにより、ログオン時に、自動的にセキュリティ対策プログラムをユーザの労力なしに自動的に適用することができる。
【０００７】
また本発明は、上述のセキュリティ対策システムにおいて、前記セキュリティ対策用情報の属性は、当該セキュリティ対策用情報の優先度を示すプライオリティ情報と、前記端末のバージョンに基づいて適用できるか否かを示す比較識別子と、を少なくとも含み、前記セキュリティ対策用情報特定手段は、前記プライオリティ情報と前記比較識別子に基づいて、前記セキュリティ対策用情報を特定することを特徴とする。
これにより、予め定義ファイルでプライオリティや比較識別子の情報を設定しておくことができるので、セキュリティ対策情報の適用の順序を指定した仕様に基づいて、順序良く適用することができる。
【０００８】
また本発明は、上述のセキュリティ対策システムにおいて、前記定義ファイル読み込み手段と前記セキュリティ対策用特定手段は、管理者権限下でのみ動作することを特徴とする。これにより、一般ユーザが意識しなくても自動的にセキュリティ対策用情報を適用することができる。
【０００９】
また本発明は、上述のセキュリティ対策システムにおいて、前記セキュリティ更新手段は、前記端末の再起動後に前記特定したセキュリティ対策用情報を用いて前記特定した更新対象情報を更新することを特徴とする。これにより、端末で既に利用されているＯＳに不具合なくセキュリティ対策用情報を適用することができる。
【００１０】
また本発明は、セキュリティ対策用情報の一覧を記述した定義ファイルを記憶する定義ファイル記憶サーバと、各セキュリティ対策用情報を記憶するセキュリティ対策用情報記憶サーバと、前記セキュリティ対策用情報を適用する端末と、が通信ネットワークを介して接続されたセキュリティ対策システムにおけるセキュリティ対策方法であって、前記端末が、前記定義ファイルを前記通信ネットワークを介して前記定義ファイル記憶サーバから読み込む定義ファイル読み込み処理と、前記定義ファイルに記述されているセキュリティ対策用情報から自装置に既に適用されている更新対象情報を特定し、前記セキュリティ対策用情報の属性と前記更新対称情報の属性との比較に基づいて、更新用の前記セキュリティ対策用情報を特定するセキュリティ対策用情報特定処理と、前記特定したセキュリティ対策用情報を前記セキュリティ対策用情報記憶サーバから読み込んで、前記特定した更新対象情報を更新するセキュリティ更新処理と、を有することを特徴とするセキュリティ対策方法である。
【発明を実施するための最良の形態】
【００１１】
以下、本発明の一実施形態によるセキュリティ対策システムを図面を参照して説明する。
【００１２】
図１は同実施形態によるセキュリティ対策システムの概要を示す図である。この図が示すように、セキュリティ対策システムは、例えば企業内の通信ネットワークに構築されており、セキュリティを施す為の端末１と、セキュリティ対策プログラムを格納したセキュリティ対策プログラム記憶サーバ２と、端末１へのセキュリティ対策プログラムを施す為に必要な各種情報を記憶するファイルサーバ３とで構成される。なお端末１、セキュリティ対策プログラム記憶サーバ２、ファイルサーバ３は、通信ネットワークを介して接続される。また本実施形態においては、セキュリティ対策プログラム記憶サーバ２とファイルサーバ３は別々のサーバであるが、これらサーバは１つのサーバで構成されていても良い。
【００１３】
図２は端末の構成を示すブロック図である。この図が示すように、端末１は、通信ネットワークに接続された他の装置と情報を送受信する通信処理部１１、端末１の各種処理部を制御する制御部１２、通信ネットワーク内のドメイン内へのログオンを処理するログオン処理部１３、ドメインへのログオンに基づいて端末１に送信されるログオンスクリプトを処理するログオンスクリプト処理部１４、端末１へ適用するセキュリティ対策プログラムを判定する適用判定部１５、セキュリティ対策プログラムを端末１のＯＳに適用する適用処理部１６、セキュリティ対策プログラムを適用したログを記録するログ記録部１７を備えている。なお、セキュリティ対策プログラムを端末１のＯＳに適用するとは、当該セキュリティ対策プログラムを用いてＯＳ内で利用されるの特定の更新対象情報（例えば、システムファイルやプログラム）を更新することをいう。端末２はこの他にもＰＣ（Personal Computer）としての各種機能を備えているが、本発明の特徴を構成する処理部以外については省略する。
【００１４】
また、端末１はユーザ権限で実行される処理部と、管理者権限で実行される処理部とで構成されており、上記適用判定部１５、適用処理部１６、ログ記録部１７は、管理者権限で実行される処理部である。そして、この適用判定部１５、適用処理部１６、ログ記録部１７は、端末１がファイルサーバ３から読み込むセキュリティチェックプログラムの実行によって構成される処理部であり、また、当該セキュリィチェックプログラムは管理者権限でなければ端末１上で実行できない仕組みとなっている。例えば、Windows（登録商標）を利用したＯＳであればこのセキュリティチェックプログラムは、「サービス」と呼ばれるプログラム群に属しており、この「サービス」に属するプログラム群は管理者権限で実行されることとなる。この「サービス」に属するプログラム群はリモート端末からドメインの管理者権限を持つユーザによって起動、停止などを行うことができる。
【００１５】
次に、ファイルサーバ３に記録されている情報について説明する。ファイルサーバ３には、ログオンスクリプト、セキュリティチェックプログラム、定義ファイルの少なくとも３つの情報が記憶されている。ここでログオンスクリプトは通信ネットワークに接続された端末１それぞれに固有の情報であり、ファイルサーバ３は端末１がドメインにログオンした際にログオンスクリプトを端末１に送信する。このログオンスクリプトには、セキュリティチェックプログラムの格納先のサーバ情報（例えばサーバ名やＩＰアドレス）と定義ファイルの格納先のサーバ情報（例えばサーバ名やＩＰアドレス）が記録されている。
【００１６】
セキュリティチェックプログラムは、端末１に適用判定部１５、適用処理部１６、ログ記録部１７を構成するためのプログラムであり、端末１では、このセキュリティチェックプログラムをファイルサーバ３から読み込むことで、上記適用判定部１５、適用処理部１６、ログ記録部１７を構成する。また定義ファイルは適用判定部１５において、どのセキュリティ対策プログラムを端末１のＯＳに適用するかを判断するために利用されるものであり、各種セキュリティ対策プログラムの属性の情報（例えば、適用されるＯＳの種類、プログラムの名称、更新された日付、バージョン、プライオリティ、比較識別子など）が記録されている。
【００１７】
なお、本実施形態においてファイルサーバ３は端末１が属するドメインの管理サーバとしての役割を持つものとする。Windows（登録商標）のＯＳを利用した端末同士のネットワークでは、このドメイン管理サーバはドメインコントローラと呼ばれる。ドメイン管理サーバは同一ドメイン内に複数存在する場合もあるが、説明の便宜上、ファイルサーバ３のみがドメイン管理サーバであるとする。そして、ドメイン管理サーバは端末１のドメイン内のログオンを管理する。
【００１８】
図３はセキュリティ対策システムの処理フローを示す図である。
次に、本実施形態のセキュリティ対策システムにおける処理フローについて図３を用いて説明する。
まず、端末１を利用するユーザが端末１にドメインへのログオンを指示する（ステップＳ１）と、ログオン処理部１３がドメイン管理サーバとなるファイルサーバ３にログオンを要求し、当該ドメイン管理サーバとなるファイルサーバ３がログオンを認証する（ステップＳ２）。そしてファイルサーバ３は、ログオンした端末１に固有のログオンスクリプトを、端末１宛てに送信する（ステップＳ３）。ログオンスクリプトは端末１の通信処理部１１を介して、ログオンスクリプト処理部１４に転送される。ここでログオンスクリプト処理部１４はログオンスクリプトに記述されているセキュリティチェックプログラムの格納先のサーバ情報を読み込む（ステップＳ４）。セキュリティチェックプログラムの格納先のサーバはファイルサーバ３であるので、ログオンスクリプト処理部１４は通信処理部１１を介して、ファイルサーバ３にセキュリティチェックプログラムを要求する（ステップＳ５）。なお、ログオンスクリプト処理部１４は、既に端末１がセキュリティチェックプログラムを記憶しているか否かを確認し、記憶している場合には、セキュリティチェックプログラムの要求を停止する処理を行なっても良い。
【００１９】
ファイルサーバ３はセキュリティチェックプログラムの要求を受信すると、格納しているセキュリティチェックプログラムを端末１に送信する（ステップＳ６）。そして通信処理部１１を介して、制御部１２がセキュリティチェックプログラムを読み込み、管理者権限で実行することにより、適用判定部１５、適用処理部１６、ログ記録部１７の各処理部が構成される。
【００２０】
次に、ログオンスクリプト処理部１４は、ログオンスクリプトに記述されている定義ファイルの格納先のサーバ情報を読み込み、適用判定部１５に通知する。すると、適用判定部１５はその定義ファイルの格納先のサーバ（ファイルサーバ３）に通信処理部１１を介して、定義ファイルを要求する（ステップＳ７）。ファイルサーバ３は通信ネットワークを介して定義ファイルの要求を受信すると、その要求に基づいて、格納している定義ファイルを端末１に送信する（ステップＳ８）。端末１では通信処理部１１を介して適用判定部１５が定義ファイルを読み込む。
【００２１】
次に端末２の適用判定部１５は定義ファイルを読み込むと、その定義ファイルに記述されている各セキュリティ対策プログラムの属性情報を読み込む。また、適用判定部１５は端末１のＯＳの各システムファイルやプログラム（更新対象情報）の属性情報を読み込む。そして、セキュリティ対策プログラムの属性と、ＯＳの各システムファイルやプログラムの属性との比較に基づいて、当該ＯＳの各システムファイルやプログラムを更新するためのセキュリティ対策プログラムを特定する（ステップＳ９）。なお、このセキュリティ対策プログラムの特定の処理の詳細については後述する。そして、適用処理部１６は特定されたセキュリティ対策プログラムをセキュリティ対策プログラム記憶サーバ２からダウンロードする（ステップＳ１０）。
【００２２】
次に、適用処理部１６がセキュリティ対策プログラムを適用する為に、端末１を再起動する（ステップＳ１１）。この時、適用処理部１６は端末１の特定のフォルダなどにセキュリティ対策プログラムを格納しておく。そして端末１が再起動した直後に、適用処理部１６は前記特定のフォルダを確認して、適用しなければならないセキュリティ対策プログラムが存在するか否かを判断する。そして、セキュリティ対策プログラムが存在する場合には、そのセキュリティ対策プログラムを適用対象システムファイルやプログラムに適用する処理を行なう（ステップＳ１２）。この適用の処理は、管理者権限に基づいて自動的に適用処理部１６が行なうので、端末１のユーザが意識しないうちにセキュリティ対策プログラムが適用されることとなる。そしてログ記録部１７が適用したセキュリティ対策プログラムの属性や、適用日時などをログとして特定のファイルに記録しておく。
【００２３】
以上、セキュリティ対策プログラムが適用される処理について説明したが、セキュリティ対策プログラムは端末１の起動時に限らず、ドメイン管理者の所望の時刻に適用することができる。以下、その処理フローについて説明する。
まず、セキュリティ対策プログラムの端末１への適用の必要性が発生した場合、管理者はリモート端末から端末１にアクセスし、セキュリティチェックプログラムを管理者権限で実行する。すると、適用判定部１５、適用処理部１６、ログ記録部１７の処理部が端末１に構成される。次に、ドメイン管理者に指示に基づいて、リモート端末が緊急に適用しなければならないセキュリティ対策プログラムの属性を記述した定義ファイルを端末１に送信する。端末１の制御部１２は受信した定義ファイルを適用処理部１６に転送する。そして、適用処理部１６は定義ファイルに記述されているセキュリティ対策プログラムをセキュリティ対策プログラム記憶サーバ２からダウンロードする。次に、適用処理部１６は端末１を再起動して、上述の処理と同様にセキュリティ対策プログラムを端末１に適用する。
【００２４】
次に、セキュリティ対策プログラムの特定の処理の詳細について説明する。
適用判定部１５は定義ファイルの記述に基づいて、端末１に適用するセキュリティ対策プログラムを特定することは上述したとおりであるが、この際、適用判定部１５はプライオリティや比較識別子に基づいて、適用するセキュリティ対策プログラムを特定する。
まず、定義ファイルには各種セキュリティ対策プログラムの属性の情報（例えば、適用されるＯＳの種類、プログラムの名称、更新された日付、バージョン、プライオリティ、比較識別子など）が記録されているが、適用判定部１５は、プライオリティが高いセキュリティ対策プログラムから順番に、端末１のＯＳに既に適用されているか否かを判断する。この判断は適用対象のシステムファイルやプログラムの属性とセキュリティ対策プログラムの属性との比較によって行なわれる。また、定義ファイルには比較識別子の後ろにＯＳのバージョン情報が記述されている。そして定義ファイルに記述されているＯＳのバージョン情報が、端末１のＯＳのバージョン情報と比較して、古いか、新しいか、同じかなどを表す比較識別子に基づいて、セキュリティ対策プログラムを適用するプログラムと特定する。例えば、定義ファイルにおいて、Ａというセキュリティ対策プログラムがＯＳのバージョンＡよりも古いバージョンのＯＳを利用した端末１にも適用できるという記述になっていれば、端末１のＯＳのバージョンがバージョンＡよりも古い場合でも、セキュリティ対策プログラムＡを適用するプログラムと特定する。
【００２５】
なお、図２における処理部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより上述の処理を行ってもよい。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータシステム」は、ホームページ提供環境（あるいは表示環境）を備えたＷＷＷシステムも含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００２６】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
【図面の簡単な説明】
【００２７】
【図１】セキュリティ対策システムの概要を示す図である。
【図２】端末の構成を示すブロック図である。
【図３】セキュリティ対策システムの処理フローを示す図である。
【符号の説明】
【００２８】
１・・・端末、２・・・セキュリティ対策プログラム記憶サーバ、３・・・ファイルサーバ、１１・・・通信処理部、１２・・・制御部、１３・・・ログオン処理部、１４・・・ログオンスクリプト処理部、１５・・・適用判定部、１６・・・適用処理部、１７・・・ログ記録部
【図１】
2006024003.tif 000003
【図２】
2006024003.tif 000004
【図３】
2006024003.tif 000005