(57)【要約】【課題】ＬＡＮに接続される多様な端末装置のアクセス制御を実行するアクセス制御装置、アクセス制御方法、及びプログラムを提供する。【解決手段】アクセス制御装置１３は、ＬＡＮ１８に接続された端末装置１２の識別子を端末装置１２から取得するデータ解析部２３と、識別子に基づいて、端末装置１２に対応するアクセス制御の設定情報を外部ネットワーク１７から取得するポリシー生成部２５と、設定情報に基づいて端末装置１２のアクセス制御を実行するアクセス制御部２８と、を備える。【選択図】図１
2015216588.tif 000002
【特許請求の範囲】
【請求項１】
ＬＡＮに接続された端末装置の識別子を該端末装置から取得するデータ解析部と、
前記識別子に基づいて、前記端末装置に対応するアクセス制御の設定情報を外部ネットワークから取得するポリシー生成部と、
前記設定情報に基づいて前記端末装置のアクセス制御を実行するアクセス制御部と、
を備える、アクセス制御装置。
【請求項２】
請求項１に記載のアクセス制御装置であって、
前記アクセス制御部は、
前記アクセス制御装置に到達するデータが前記端末装置によりブラウザを介して送信された場合、設定情報に基づく前記端末装置のアクセス制御を停止する、アクセス制御装置。
【請求項３】
請求項１又は２に記載のアクセス制御装置であって、
前記ポリシー生成部は、前記識別子に基づいて、前記端末装置がアクセス制御の対象であるか否かを示す情報を取得し、
前記アクセス制御部は、前記端末装置がアクセス制御の対象でない場合、設定情報に基づく前記端末装置のアクセス制御を停止する、アクセス制御装置。
【請求項４】
ＬＡＮに接続された端末装置のアクセス制御を実行するアクセス制御装置を用いたアクセス制御方法であって、
ＬＡＮに接続された端末装置の識別子を該端末装置から取得するステップと、
前記識別子に基づいて、前記端末装置に対応するアクセス制御の設定情報を外部ネットワークから取得するステップと、
前記設定情報に基づいて前記端末装置のアクセス制御を実行するステップと、
を含むアクセス制御方法。
【請求項５】
請求項４に記載のアクセス制御方法であって、
アクセス制御を実行する前記ステップにおいて、前記アクセス制御装置に到達するデータが前記端末装置によりブラウザを介して送信された場合、設定情報に基づく前記端末装置のアクセス制御を停止する、アクセス制御方法。
【請求項６】
請求項４又は５に記載のアクセス制御方法であって、
前記識別子に基づいて、前記端末装置がアクセス制御の対象であるか否かを示す情報を取得するステップを更に含み、
アクセス制御を実行する前記ステップにおいて、前記端末装置がアクセス制御の対象でない場合、設定情報に基づく前記端末装置のアクセス制御の実行を停止する、アクセス制御方法。
【請求項７】
通信機能を有する情報処理装置に、
ＬＡＮに接続された端末装置の識別子を該端末装置から取得するステップと、
前記識別子に基づいて、前記端末装置に対応するアクセス制御の設定情報を外部ネットワークから取得するステップと、
前記設定情報に基づいて前記端末装置のアクセス制御を実行するステップと、
を実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報へのアクセス制御を実行するアクセス制御装置、アクセス制御方法、及びプログラムに関し、特に、ＬＡＮに接続される多様な端末装置のアクセス制御を実行するアクセス制御装置、アクセス制御方法、及びプログラムに関する。
【背景技術】
【０００２】
従来、ネットワークに接続された情報端末装置におけるセキュリティ技術として、認証、アンチウイルスソフト等のセキュリティアプリケーションの導入、コンテンツの暗号化、フィルタリング、及びファイアーウォール等が知られている。例えば、ＰＣ等の情報処理装置のセキュリティ対策として、情報処理装置にセキュリティアプリケーションを導入して防衛する方法が一般的に採用されている。また、例えばスマート家電やＩｏＴ（Internet of Things）等、入出力インターフェースを有さない端末装置のセキュリティ対策として、ルータの設定情報を予め記憶しておき、当該設定情報を用いてルータを設定する機能を有する端末装置が知られている（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００４−０３２１４２号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかしながら、従来のセキュリティ技術は、スマート家電やＩｏＴ（Internet of Things）等の多様な端末装置に必ずしも適用できなかった。例えば、これらの端末装置は、ＰＣ等の多目的に用いられる情報処理装置と異なり装置の機能が限定的であることから、セキュリティアプリケーション、又はルータの設定情報及び設定機能を導入するためのリソースを必ずしも有していない。このため、端末装置は、セキュリティ対策のアプリケーション又は機能を導入できない場合があった。
【０００５】
かかる事情に鑑みてなされた本発明の目的は、ＬＡＮに接続される多様な端末装置のアクセス制御を実行可能なアクセス制御装置、アクセス制御方法、及びプログラムを提供することにある。
【課題を解決するための手段】
【０００６】
上記課題を解決するために本発明に係るアクセス制御装置は、ＬＡＮに接続された端末装置の識別子を該端末装置から取得するデータ解析部と、前記識別子に基づいて、前記端末装置に対応するアクセス制御の設定情報を外部ネットワークから取得するポリシー生成部と、前記設定情報に基づいて前記端末装置のアクセス制御を実行するアクセス制御部と、を備えることを特徴とする。
【０００７】
また、本発明に係るアクセス制御方法は、ＬＡＮに接続された端末装置のアクセス制御を実行するアクセス制御装置を用いたアクセス制御方法であって、ＬＡＮに接続された端末装置の識別子を該端末装置から取得するステップと、前記識別子に基づいて、前記端末装置に対応するアクセス制御の設定情報を外部ネットワークから取得するステップと、前記設定情報に基づいて前記端末装置のアクセス制御を実行するステップと、を含むことを特徴とする。
【０００８】
また、本発明に係るプログラムは、通信機能を有する情報処理装置に、ＬＡＮに接続された端末装置の識別子を該端末装置から取得するステップと、前記識別子に基づいて、前記端末装置に対応するアクセス制御の設定情報を外部ネットワークから取得するステップと、前記設定情報に基づいて前記端末装置のアクセス制御を実行するステップと、を実行させることを特徴とする。
【発明の効果】
【０００９】
本発明による通信システム及び通信方法によれば、ＬＡＮに接続される多様な端末装置のアクセス制御を実行可能となる。
【図面の簡単な説明】
【００１０】
【図１】本発明の一実施形態に係るアクセス制御装置を備える通信システムの概略構成を示すブロック図である。
【図２】図１の端末装置管理テーブルの例を示す図である。
【図３】図１のポリシーテーブルの例を示す図である。
【図４】図１のブラウザテーブルの例を示す図である。
【図５】図１のＭＡＣアドレス管理テーブルの例を示す図である。
【図６】図１のメーカＵＲＬ管理テーブルの例を示す図である。
【図７】図１のプロダクト管理テーブルの例を示す図である。
【図８】図１のプロファイル管理テーブルの例を示す図である。
【図９】図１のアクセス制御装置の説明する示すフローチャート図である。
【図１０】図１のアクセス制御装置の動作を説明するフローチャート図である。
【図１１】図１の通信システムの動作を説明するシーケンス図である。
【図１２】図１のアクセス制御装置の動作を説明するフローチャート図である。
【図１３】図１のアクセス制御装置の動作を説明するフローチャート図である。
【図１４】図１のアクセス制御装置の動作を説明するフローチャート図である。
【図１５】図１のプロダクト管理テーブル及びプロファイル管理テーブルを生成する手順を示すフローチャート図である。
【発明を実施するための形態】
【００１１】
以下、本発明の実施形態について説明する。
【００１２】
はじめに、本発明の一実施形態に係るアクセス制御装置を備える通信システムについて説明する。図１に示すように、通信システム１０は、経路制御装置１１と、端末装置１２と、アクセス制御装置１３と、ＭＡＣアドレス管理サーバ１４と、メーカＵＲＬ管理サーバ１５と、メーカ別プロファイルサーバ１６と、を備える。端末装置１２及びメーカ別プロファイルサーバ１６は、それぞれ任意の数備えられてもよい。
【００１３】
経路制御装置１１は、例えばルータ装置であって、アクセス制御装置１３とインターネット等の外部ネットワーク１７とを接続する。また、経路制御装置１１は、アクセス制御装置１３より内側のＬＡＮ１８内のＩＰアドレス及びＭＡＣアドレスの解決を行う。
【００１４】
端末装置１２は、有線又は無線によりＬＡＮ１８に接続される。端末装置１２は、経路制御装置１１及びアクセス制御装置１３を介して外部ネットワーク１７上のリソースとの間でデータの送受信を行う。端末装置１２には、例えばＰＣ及びスマートフォン等、多目的に用いられる情報処理装置、ならびに例えばスマート家電等、特定目的に用いられる多様なネットワーク機器が含まれるが、これらに限られない。
【００１５】
アクセス制御装置１３は、経路制御装置１１とＬＡＮ１８との間に接続される。また、アクセス制御装置１３は、経路制御装置１１及び外部ネットワーク１７に接続される。アクセス制御装置１３は、ＬＡＮ１８に接続された端末装置１２のアクセス制御の設定情報を、外部ネットワーク１７から取得する。アクセス制御装置１３は、取得した設定情報に基づいて、端末装置１２と外部ネットワーク上のリソースとの間のアクセス制御（以下、端末装置１２のアクセス制御という）を実行する。アクセス制御は、例えばアクセス制御装置１３に到達するパケット（データ）のフィルタリングにより行われる。また、アクセス制御装置１３は、外部ネットワーク１７とＬＡＮ１８との間のゲートウェイとして機能する。アクセス制御装置１３の構成及び動作の詳細については後述する。
【００１６】
図１に示すＭＡＣアドレス管理サーバ１４は、外部ネットワーク１７に接続される。ＭＡＣアドレス管理サーバ１４は、ＭＡＣアドレス管理テーブル１９を記憶する。
【００１７】
ＭＡＣアドレス管理テーブル１９は、端末装置１２の識別子であるＭＡＣアドレスと、当該端末装置１２のメーカ名との対応関係を示すテーブル（情報）である。例えば、図２に示すＭＡＣアドレス管理テーブル１９は、ＭＡＣアドレスの先頭２４ビット（図中の“MAC ADRESS”）に対応付けて、メーカ名を示す情報（図中の“MAKER”）を含むが、これに限られるものではない。図２において、ＭＡＣアドレス“12-A4-8F”に対応するメーカ名は“A Co.”である。また、ＭＡＣアドレス“12-A4-90”に対応するメーカ名は“B Company”である。また、ＭＡＣアドレス“12-A4-91”に対応するメーカ名は“C ltd.”である。
【００１８】
図１に示すメーカＵＲＬ管理サーバ１５は、外部ネットワーク１７に接続される。メーカＵＲＬ管理サーバ１５は、メーカＵＲＬ管理テーブル２０を記憶する。
【００１９】
メーカＵＲＬ管理テーブル２０は、端末装置１２のメーカ名と、当該メーカのメーカ別プロファイルサーバ１６のＵＲＬとの対応関係を示すテーブルである。例えば、図３に示すメーカＵＲＬ管理テーブル２０は、メーカ名を示す情報（図中の“MAKER”）に対応付けて、メーカ別プロファイルサーバ１６のＵＲＬ（図中の“URL”）を含むが、これに限られるものではない。図３において、メーカ名“A Co.”に対応するＵＲＬは“www.aaa.com”である。また、メーカ名“B Company”に対応するＵＲＬは“www.bbb.co.jp”である。また、メーカ名“C ltd.”に対応するＵＲＬは“www.ccc.com/profile”である。
【００２０】
図１に示すメーカ別プロファイルサーバ１６は、外部ネットワーク１７に接続される。メーカ別プロファイルサーバ１６は、プロダクト管理テーブル２１及びプロファイル管理テーブル２２を記憶する。メーカ別プロファイルサーバ１６は、例えば端末装置１２のメーカによってそれぞれ管理される。プロダクト管理テーブル２１及びプロファイル管理テーブル２２は、例えば対応するメーカ別プロファイルサーバ１６を管理するメーカにより作成され、必要に応じて更新される。
【００２１】
プロダクト管理テーブル２１は、ＭＡＣアドレスと、製品名（製品種別）と、製品がＰＣであるか否かを示す情報（以下、制御対象情報という）との対応関係を示すテーブルである。例えば、図４に示すプロダクト管理テーブル２１は、ＭＡＣアドレスの先頭３２ビット（図中の“MAC ADRESS”）に対応付けて、製品名（図中の“PRODUCT”）及び制御対象情報（図中の“PC or NOT”）を含むが、これに限られるものではない。図４において、ＭＡＣアドレス“12-A4-8F-16”に対応する製品は、テレビ“TV”であって、ＰＣではない（制御対象情報が“NOT”）。また、ＭＡＣアドレス“12-A4-8F-17”に対応する製品は、ラップトップ“LAP TOP”であって、ＰＣである（制御対象情報が“PC”）。また、ＭＡＣアドレス“12-A4-8F-18”に対応する製品は、センサー“SENSOR”であって、ＰＣではない（制御対象情報が“NOT”）。
【００２２】
プロファイル管理テーブル２２は、製品名と、製品に対応するアクセス制御のプロファイル（設定情報）との対応関係を示すテーブルである。例えば、図５に示すプロファイル管理テーブル２２は、製品名（図中の“PRODUCT”）に対応付けて、通信が許可されるポート番号（図中の“PORT”）、プロトコル（図中の“PROTOCOL”）、通信先アドレス（図中の“URL/IP”）、及び入出力種別（図中の“I/O”）を有する設定情報を含むが、これに限られるものではない。図５に示すテレビ（“TV”）に対応する設定情報は、例えばポート番号“20”において、プロトコルが“FTP”であって、アドレス“URL001”から製品への入力（“IN”）が許可される設定である。また、ポート番号“80”において、プロトコルが“HTTP”であって、製品からアドレス“URL002”への出力（“OUT”）及びアドレス“URL003”から製品への入力（“IN”）が許可される設定である。また、ラップトップ（“LAP TOP”）に対応する設定情報は、後述するように本実施形態のアクセス制御装置１３はＰＣである端末装置１２に対してアクセス制御を行わない（停止する）ため、プロファイル管理テーブル２２に含まれていなくてもよい。また、センサー（“SENSOR”）に対応する設定情報は、テレビに対応する設定情報と同様であり、説明は省略する。
【００２３】
次に、アクセス制御装置１３の構成について説明する。図１に示すように、アクセス制御装置１３は、データ解析部２３と、端末装置判定部２４と、ポリシー生成部２５と、テーブル制御部２６と、記憶部２７と、アクセス制御部２８と、制御部２９と、を備える。
【００２４】
データ解析部２３は、パケット解析機能３０と、フレーム解析機能３１と、を有する。
【００２５】
パケット解析機能３０により、データ解析部２３は、アクセス制御装置１３に到達したデータのＩＰパケットの内容を解析する。
【００２６】
また、フレーム解析機能３１により、データ解析部２３は、アクセス制御装置１３に到達したデータのＭＡＣフレームのヘッダ部から、送信先及び／又は送信元のＭＡＣアドレスを抽出する。
【００２７】
端末装置判定部２４は、ＬＡＮ１８に接続された端末装置１２が新規であるか否かを判定する。具体的には、端末装置判定部２４は、ＬＡＮ１８側から到達したデータからデータ解析部２３が抽出した送信元のＭＡＣアドレスを取得する。端末装置判定部２４は、取得したＭＡＣアドレスを、後述する端末装置管理テーブル３７と照合する。端末装置判定部２４は、ＭＡＣアドレスが端末装置管理テーブル３７内に存在しない場合、端末装置１２が新規であると判定する。一方、端末装置判定部２４は、ＭＡＣアドレスが端末装置管理テーブル３７内に存在する場合、端末装置１２が既存である（新規でない）と判定する。以下、ＭＡＣアドレスが端末装置管理テーブル３７内に存在しない端末装置１２を新規な端末装置１２、端末装置管理テーブル３７内に存在する端末装置１２を既存の端末装置１２という。
【００２８】
また、端末装置判定部２４は、アクセス制御の実行中にアクセス制御装置１３に到達したデータについて、データ解析部２３から取得した送信先又は送信元のＭＡＣアドレスが端末装置管理テーブル３７内に存在するか否かを判定する。端末装置判定部２４は、送信先及び送信元の何れのＭＡＣアドレスも端末装置管理テーブル３７内に存在しない場合、当該データを破棄する。
【００２９】
ポリシー生成部２５は、外部ネットワーク接続機能３２と、メーカ特定機能３３と、ポリシー取得先特定機能３４と、端末装置特定機能３５と、ポリシー編集機能３６と、を有する。
【００３０】
外部ネットワーク接続機能３２により、ポリシー生成部２５は、経路制御装置１１を介して外部ネットワーク１７に接続する。
【００３１】
メーカ特定機能３３により、ポリシー生成部２５は、データ解析部２３が抽出したＭＡＣアドレスに対応するメーカ名を取得する。具体的には、ポリシー生成部２５は、ＭＡＣアドレス管理サーバ１４にアクセスし、ＭＡＣアドレスをＭＡＣアドレス管理テーブル１９と照合して、ＭＡＣアドレスに対応するメーカ名を抽出する。
【００３２】
ポリシー取得先特定機能３４により、ポリシー生成部２５は、取得したメーカ名に対応するメーカ別プロファイルサーバ１６のＵＲＬを取得する。具体的には、ポリシー生成部２５は、メーカＵＲＬ管理サーバ１５にアクセスし、メーカ名をメーカＵＲＬ管理テーブル２０と照合して、メーカ名に対応するメーカ別プロファイルサーバ１６のＵＲＬを抽出する。
【００３３】
端末装置特定機能３５により、ポリシー生成部２５は、データ解析部２３が抽出したＭＡＣアドレスに対応する端末装置１２の製品名及び制御対象情報を取得する。具体的には、ポリシー生成部２５は、抽出したＵＲＬを用いてメーカ別プロファイルサーバ１６にアクセスし、ＭＡＣアドレスをプロダクト管理テーブル２１と照合して、製品名及び制御対象情報を抽出する。
【００３４】
ポリシー編集機能３６により、ポリシー生成部２５は、取得した製品名に対応するアクセス制御の設定情報を取得する。具体的には、ポリシー生成部２５は、取得した制御対象情報がＰＣではないことを示す場合、特定した製品名をメーカ別プロファイルサーバ１６のプロファイル管理テーブル２２と照合して、製品名に対応するアクセス制御の設定情報を取得する。一方、ポリシー生成部２５は、取得した制御対象情報がＰＣであることを示す場合、設定情報の取得を停止してもよい。
【００３５】
テーブル制御部２６は、記憶部２７が記憶している各種テーブルの閲覧及び編集を行う。例えば、テーブル制御部２６は、ポリシー生成部２５が取得した各種の情報を、後述する端末装置管理テーブル３７及びポリシーテーブル３８に追加する。テーブル制御部２６が各種テーブルを編集する動作の詳細については後述する。
【００３６】
記憶部２７は、例えばメモリ装置であって、アクセス制御装置１３の動作に必要な多様な情報を記憶する。例えば、記憶部２７は、ＭＡＣアドレス管理サーバ１４のＵＲＬ及びメーカＵＲＬ管理サーバ１５のＵＲＬを予め記憶している。また、記憶部２７は、端末装置管理テーブル３７と、ポリシーテーブル３８と、ブラウザテーブル３９と、を記憶する。
【００３７】
ここで、記憶部２７が記憶する各種テーブルについて、テーブル制御部２６の動作とともに詳細に説明する。
【００３８】
はじめに、端末装置管理テーブル３７について説明する。端末装置管理テーブル３７は、ＬＡＮ１８に接続される端末装置１２と、ＭＡＣアドレスと、制御対象情報と、タイムスタンプとの対応関係を示すテーブルである。タイムスタンプは、対応する端末装置１２を送信先又は送信元とするデータがアクセス制御装置１３に到達した最新の時刻を示す情報である。例えば、図６に示す端末装置管理テーブル３７は、端末装置１２の通し番号（図中の“DEVICE No”）に対応付けて、ＭＡＣアドレス（図中の“MAC ADRESS”）と、制御対象情報（図中の“PC or NOT”）と、タイムスタンプ（図中の“DATE”）と、を含むが、これに限られるものではない。図６において、端末装置１２の通し番号“001”に対応するＭＡＣアドレスは“A8-C1-3A-B2-21-F9”であり、当該端末装置１２はＰＣであり（制御対象情報が“PC”）、タイムスタンプは２０１４年３月３日（“14/03/03”）である。他の端末装置１２の通し番号についても同様であり、説明は省略する。
【００３９】
テーブル制御部２６は、端末装置判定部２４が判定した端末装置１２が新規である場合、当該端末装置１２の通し番号を端末装置管理テーブル３７に追加する。テーブル制御部２６は、データ解析部２３が抽出したＭＡＣアドレス及びポリシー生成部２５が取得した制御対象情報を、当該通し番号に対応付けて端末装置管理テーブル３７に追加する。また、テーブル制御部２６は、既存の端末装置１２を送信先又は送信元とするデータがアクセス制御装置１３に到達すると、既存の端末装置１２のＭＡＣアドレスに対応するタイムスタンプを更新する。
【００４０】
続いて、ポリシーテーブル３８について説明する。ポリシーテーブル３８は、ＬＡＮ１８に接続される端末装置１２と、アクセス制御の設定情報との対応関係を示すテーブルである。例えば、図７に示すポリシーテーブル３８は、端末装置１２の通し番号（図中の“DEVICE No”）に対応付けて、通信が許可されるポート番号（図中の“PORT”）、プロトコル（図中の“PROTOCOL”）、通信先アドレス（図中の“URL/IP”）、及び入出力種別（図中の“I/O”）を有する設定情報を含むが、これに限られるものではない。図７において、端末装置１２の通し番号“001”に対応する端末装置１２は、図６の端末装置管理テーブル３７に示すようにＰＣである。後述するように本実施形態のアクセス制御装置１３はＰＣに対してアクセス制御を行わない（停止する）ため、ポリシーテーブル３８は、通し番号“001”に対応するアクセス制御の設定情報を含まなくてもよい。
【００４１】
テーブル制御部２６は、端末装置判定部２４が判定した端末装置１２が新規である場合、当該端末装置１２の通し番号をポリシーテーブル３８に追加する。テーブル制御部２６は、ポリシー生成部２５が取得したアクセス制御の設定情報を端末装置１２の通し番号に対応付けて、ポリシーテーブル３８に追加する。
【００４２】
続いて、ブラウザテーブル３９について説明する。ブラウザテーブル３９は、例えばＨＴＴＰパケット中のＵＳＥＲ−ＡＧＥＮＴに含まれ得る、ウェブブラウザを示す情報を含む。例えば、図８に示すブラウザテーブル３９は、ウェブブラウザ“BROWSER001”乃至“BROUSER003”を含む。
【００４３】
図１に示すアクセス制御部２８は、プロトコル判定機能４０と、ブラウザ判定機能４１と、フィルタリング機能４２と、を有する。これらの機能は、端末装置１２のアクセス制御の実行中に動作する。
【００４４】
プロトコル判定機能４０により、アクセス制御部２８は、アクセス制御装置１３に到達したデータのプロトコルを判定する。
【００４５】
ブラウザ判定機能４１により、アクセス制御部２８は、アクセス制御装置１３に到達したデータが、端末装置１２によりブラウザを介して送信されたか否かを判定する。具体的には、アクセス制御部２８は、アクセス制御装置１３に到達し送信元が端末装置１２であるＨＴＴＰパケットのＵＳＥＲ−ＡＧＥＮＴからブラウザ情報を抽出して、当該ブラウザ情報をブラウザテーブル３９と照合する。アクセス制御部２８は、抽出したブラウザ情報がブラウザテーブル３９内に存在する場合、データが端末装置１２によりブラウザを介して送信されたと判定する。一方、アクセス制御部２８は、抽出したブラウザ情報がブラウザテーブル３９内に存在しない場合、データが端末装置１２によりブラウザを介して送信されていないと判定する。
【００４６】
フィルタリング機能４２により、アクセス制御部２８は、ＬＡＮ１８内に接続された端末装置１２に対応するアクセス制御の設定情報に基づいて、当該端末装置１２のアクセス制御を実行する。具体的には、アクセス制御部２８は、データ解析部２３から取得したＭＡＣアドレスを端末装置管理テーブル３７と照合し、制御対象情報に基づいて、ＭＡＣアドレスに対応する端末装置１２がＰＣであるか否かを判定する。アクセス制御部２８は、端末装置１２がＰＣではない場合、データが端末装置１２により送信されたか否かを更に判定する。そして、アクセス制御部２８は、端末装置１２がＰＣである場合と、当該データが端末装置１２によりブラウザを介して送信された場合とを除き、ポリシーテーブル３８内の設定情報に基づいて端末装置１２のアクセス制御を実行する。一方、アクセス制御部２８は、端末装置１２がＰＣである場合、又はデータが端末装置１２によりブラウザを介して送信された場合、設定情報に基づく端末装置１２のアクセス制御を停止し、当該データを通過させる。
【００４７】
制御部２９は、例えばプロセッサであって、アクセス制御装置１３の各構成要素の動作全体を制御する。例えば、制御部２９は、ポリシー生成部２５及びテーブル制御部２６を制御して、例えば定期的に、端末装置管理テーブル３７及びポリシーテーブル３８を更新させる。
【００４８】
具体的には、制御部２９は、テーブル制御部２６を制御して、タイムスタンプに基づき、端末装置管理テーブル３７から所定期間以上データの送受信がされていない端末装置１２を識別する。制御部２９は、テーブル制御部２６を制御して、識別した端末装置１２に対応する情報を、端末装置管理テーブル３７及びポリシーテーブル３８から削除する。
【００４９】
また具体的には、制御部２９は、テーブル制御部２６を制御して、制御対象情報に基づき、端末装置管理テーブル３７からＰＣではない端末装置１２のＭＡＣアドレスを抽出する。制御部２９は、ポリシー生成部２５及びテーブル制御部２６を制御して、抽出したＭＡＣアドレスに対応する、ポリシーテーブル３８内の設定情報と、メーカ別プロファイルサーバ１６上のプロファイル管理テーブル２２内の設定情報とを照合する。制御部２９は、双方の設定情報の間に差分が存在する場合、ポリシー生成部２５及びテーブル制御部２６を制御して、プロファイル管理テーブル２２内の設定情報を取得し、取得した設定情報でポリシーテーブル３８内の設定情報を更新し又は置換える。
【００５０】
次に、本実施形態に係るアクセス制御装置１３の動作について説明する。アクセス制御装置１３の動作は、大きく３つに分けられる。第１の動作は、新規な端末装置１２がＬＡＮ１８に接続された際に、当該端末装置１２のアクセス制御の設定情報等を取得して記憶する動作である。第２の動作は、記憶した設定情報等に基づいて、ＬＡＮ１８に接続された既存の（新規でない）端末装置１２のアクセス制御を実行する動作である。第３の動作は、記憶した設定情報等を削除及び更新する動作である。
【００５１】
まず、図９乃至図１４を参照して、アクセス制御装置１３の第１の動作について説明する。図９は、アクセス制御装置１３の第１の動作を説明するフローチャート図である。アクセス制御装置１３は、ＬＡＮ１８側からデータが到達すると、第１の動作を実行する。
【００５２】
はじめに、データ解析部２３は、ＬＡＮ１８側から到達したデータの送信元のＭＡＣアドレスを取得する（ステップＳ１００）。
【００５３】
次に、端末装置判定部２４は、ステップＳ１００において取得したＭＡＣアドレスを端末管理テーブルと照合して、ＭＡＣアドレスに対応する端末装置１２が新規であるか否かを判定する（ステップＳ１０１）。端末装置１２が新規でない場合（ステップＳ１０１−Ｎｏ）、第１の動作を終了する。
【００５４】
一方、端末装置１２が新規である場合（ステップＳ１０１−Ｙｅｓ）、テーブル制御部２６は、端末装置管理テーブル３７に当該端末装置１２の通し番号を追加し、当該通し番号にＭＡＣアドレスを対応付ける（ステップＳ１０２）。
【００５５】
そして、アドレス制御装置は、後述するポリシー生成処理を行い（ステップＳ１０３）、第１の動作を終了する。ポリシー生成処理により、端末装置１２に対応する各情報が、端末装置管理テーブル３７及びポリシーテーブル３８に追加される。
【００５６】
図１０は、アクセス制御装置１３が実行するポリシー生成処理を説明するフローチャート図である。
【００５７】
はじめに、ポリシー生成部２５は、データ解析部２３が抽出したＭＡＣアドレスに対応するメーカ名を、ＭＡＣアドレス管理サーバ１４から取得する（ステップＳ２００）。
【００５８】
続いて、ポリシー生成部２５は、ステップＳ２００において取得したメーカ名に対応するメーカ別プロファイルサーバ１６のＵＲＬを、メーカＵＲＬ管理サーバ１５から取得する（ステップＳ２０１）。
【００５９】
続いて、ポリシー生成部２５は、データ解析部２３が抽出したＭＡＣアドレスに対応する端末装置１２の製品名及び制御対象情報を、メーカ別プロファイルサーバ１６から取得する（ステップＳ２０２）。
【００６０】
続いて、ポリシー生成部２５は、ステップＳ２０２において取得した制御対象情報に基づいて、端末装置１２がＰＣであるか否かを判定する（ステップＳ２０３）。端末装置１２がＰＣであると判定した場合（ステップＳ２０３−Ｙｅｓ）、ステップＳ２０６に進む。
【００６１】
一方、ステップＳ２０３において端末装置１２がＰＣではないと判定した場合（ステップＳ２０３−Ｎｏ）、ポリシー生成部２５は、ＭＡＣアドレスに対応するアクセス制御の設定情報を、メーカ別プロファイルサーバ１６から取得する（ステップＳ２０４）。
【００６２】
次に、テーブル制御部２６は、ステップＳ２０２において取得した制御対象情報を端末装置管理テーブル３７に追加し、ステップＳ２０４において取得した設定情報をポリシーテーブル３８に追加する（ステップＳ２０５）。
【００６３】
ステップＳ２０５の後、及びステップＳ２０３において端末装置１２がＰＣであると判定した場合（ステップＳ２０３−Ｙｅｓ）、テーブル制御部２６は、ステップＳ２０２において取得した制御対象情報を端末装置管理テーブル３７に追加する（ステップＳ２０６）。
【００６４】
図１１は、アクセス制御装置１３がポリシー生成処理を行う間の、通信システム１０の動作を説明するシーケンス図である。
【００６５】
はじめに、アクセス制御装置１３が端末装置１２のＭＡＣアドレスに対応するメーカ名を取得する際、アクセス制御装置１３は、ＭＡＣアドレスをＭＡＣアドレス管理サーバ１４に送信し、当該サーバからＭＡＣアドレスに対応するメーカ名を取得する（ステップＳ３００）。
【００６６】
続いて、アクセス制御装置１３がステップＳ３００において取得したメーカ名に対応するメーカ別プロファイルサーバ１６のＵＲＬを取得する際、アクセス制御装置１３は、メーカ名をメーカＵＲＬ管理サーバ１５に送信し、当該サーバからメーカ名に対応するＵＲＬを取得する（ステップＳ３０１）。
【００６７】
続いて、アクセス制御装置１３がＭＡＣアドレスに対応する製品名及び制御対象情報を取得する際、アクセス制御装置１３は、ＭＡＣアドレスをメーカ別プロファイルサーバ１６に送信し、当該サーバから製品名及び制御対象情報を取得する（ステップＳ３０２）。
【００６８】
そして、アクセス制御装置１３がＭＡＣアドレスに対応するアクセス制御の設定情報を取得する際、アクセス制御装置１３は、ステップＳ３００において送信したＭＡＣアドレスに対応する設定情報を、メーカ別プロファイルサーバ１６から取得する（ステップＳ３０３）。
【００６９】
次に、図１２を参照して、アクセス制御装置１３の第２の動作について説明する。図１２は、アクセス制御装置１３の第２の動作を説明するフローチャート図である。以下、ＬＡＮ１８に接続された端末装置１２は、全て既存の端末装置１２であるものとして説明する。
【００７０】
はじめに、アクセス制御装置１３は、データの到達を待受ける（ステップＳ４００）。データが到達しない場合（ステップＳ４００−Ｎｏ）、ステップＳ４００に戻る。
【００７１】
一方、データが到達すると（ステップＳ４００−Ｙｅｓ）、データ解析部２３は、データの送信先及び／又は送信元のＭＡＣアドレスを抽出する。端末装置判定部２４は、送信先又は送信元のＭＡＣアドレスが端末装置管理テーブル３７内に存在するか否かを判定する（ステップＳ４０１）。
【００７２】
ステップＳ４０１において、送信先及び送信元の何れのＭＡＣアドレスも端末装置管理テーブル３７内に存在しない場合（ステップＳ４０１−Ｎｏ）、端末装置判定部２４は、データを廃棄して（ステップＳ４０２）ステップＳ４００に戻る。
【００７３】
一方、ステップＳ４０１において、送信先又は送信元のＭＡＣアドレスが端末装置管理テーブル３７内に存在する場合（ステップＳ４０１−Ｙｅｓ）、テーブル制御部２６は、端末装置管理テーブル３７内のＭＡＣアドレスに対応するタイムスタンプを更新する（ステップＳ４０３）。
【００７４】
次に、アクセス制御部２８は、ＭＡＣアドレスを端末装置管理テーブル３７と照合し、制御対象情報に基づいて、ＭＡＣアドレスに対応する端末装置１２がＰＣであるか否かを判定する（ステップＳ４０４）。
【００７５】
ステップＳ４０４において、端末装置１２がＰＣである場合（ステップＳ４０４−Ｙｅｓ）、アクセス制御部２８は、ポリシーテーブル３８内の設定情報に基づくアクセス制御を停止し、データを通過させて（ステップＳ４０５）、ステップＳ４００に戻る。
【００７６】
一方、ステップＳ４０４において、端末装置１２がＰＣではない場合（ステップＳ４０４−Ｎｏ）、アクセス制御部２８は、データが端末装置１２により送信されたか否かを判定する（ステップＳ４０６）。データが端末装置１２により送信されていない場合（ステップＳ４０６−Ｎｏ）、ステップＳ４０９に進む。
【００７７】
一方、ステップＳ４０６において、データが端末装置１２により送信された場合（ステップＳ４０６−Ｙｅｓ）、アクセス制御部２８は、データのプロトコルがＨＴＴＰであるか否かを判定する（ステップＳ４０７）。プロトコルがＨＴＴＰではない場合（ステップＳ４０７−Ｎｏ）、ステップＳ４０９に進む。
【００７８】
一方、ステップＳ４０７において、プロトコルがＨＴＴＰである場合（ステップＳ４０７−Ｙｅｓ）、アクセス制御部２８は、データがブラウザを介して送信されたか否かを判定する（ステップＳ４０８）。データがブラウザを介して送信された場合（ステップＳ４０８−Ｙｅｓ）、アクセス制御部２８は、ポリシーテーブル３８内の設定情報に基づくアクセス制御を停止し、データを通過させて（ステップＳ４０５）、ステップＳ４００に戻る。
【００７９】
一方、ステップＳ４０８において、データがブラウザを介して送信されていない場合（ステップＳ４０８−Ｎｏ）、ステップＳ４０６においてデータが端末装置１２により送信されていない場合（ステップＳ４０６−Ｎｏ）、及びステップＳ４０７においてプロトコルがＨＴＴＰではない場合（ステップＳ４０７−Ｎｏ）、アクセス制御部２８は、ＭＡＣアドレスに対応する端末装置１２のアクセス制御の設定情報に基づいて、端末装置１２のアクセス制御（フィルタリング）を行い（ステップＳ４０９）、ステップＳ４００に戻る。
【００８０】
次に、図１３及び図１４を参照して、アクセス制御装置１３の第３の動作について説明する。図１３は、アクセス制御装置１３の第３の動作のうち、記憶した設定情報等を削除する動作を説明するフローチャート図である。アクセス制御装置１３は、例えば定期的に、本動作を実行する。
【００８１】
はじめに、制御部２９は、テーブル制御部２６を制御して、タイムスタンプに基づいて、端末装置管理テーブル３７から所定期間以上データの送受信がされていない端末装置１２を識別する（ステップＳ５００）。
【００８２】
続いて、制御部２９は、テーブル制御部２６を制御して、端末装置管理テーブル３７から、ステップＳ５００において識別した端末装置１２に対応する情報を削除する（ステップＳ５０１）。
【００８３】
そして、制御部２９は、テーブル制御部２６を制御して、ポリシーテーブル３８から、ステップＳ５００において識別した端末装置１２に対応する情報を削除する（ステップＳ５０２）。
【００８４】
図１４は、アクセス制御装置１３の第３の動作のうち、記憶した設定情報等を更新する動作を説明するフローチャート図である。アクセス制御装置１３は、例えば定期的に、本動作を実行する。
【００８５】
はじめに、制御部２９は、テーブル制御部２６を制御して、制御対象情報に基づき、端末装置管理テーブル３７からＰＣではない端末装置１２のＭＡＣアドレスを抽出する（ステップＳ６００）。
【００８６】
続いて、制御部２９は、ポリシー生成部２５を制御して、ステップＳ６００において抽出したＭＡＣアドレスに対応するメーカ名をＭＡＣアドレス管理サーバ１４から取得する（ステップＳ６０１）。
【００８７】
続いて、制御部２９は、ポリシー生成部２５を制御して、ステップＳ６０１において取得したメーカ名に対応するメーカ別プロファイルサーバ１６のＵＲＬをメーカＵＲＬ管理サーバ１５から取得する（ステップＳ６０２）。
【００８８】
続いて、制御部２９は、ステップＳ６００において抽出したＭＡＣアドレスに対応する、メーカ別プロファイルサーバ１６上の設定情報と、アクセス制御装置１３上の設定情報とを照合する（ステップＳ６０３）。
【００８９】
続いて、制御部２９は、ステップＳ６０３において照合した２つの設定情報の間に差分があるか否かを判定する（ステップＳ６０４）。差分がない場合（ステップＳ６０４−Ｎｏ）、本動作を終了する。
【００９０】
一方、ステップＳ６０４において差分がある場合（ステップＳ６０４−Ｙｅｓ）、制御部２９は、ポリシー生成部２５を制御して、ＭＡＣアドレスに対応する設定情報を、メーカ別プロファイルサーバ１６から取得する（ステップＳ６０５）。
【００９１】
そして、制御部２９は、テーブル制御部２６を制御して、ステップＳ６０５において取得した設定情報でポリシーテーブル３８内の設定情報を更新し又は置換える（ステップＳ６０６）。
【００９２】
次に、図１５を参照して、端末装置１２のメーカが、プロダクト管理テーブル２１及びプロファイル管理テーブル２２を生成するについて説明する。
【００９３】
はじめに、メーカは、端末装置１２の設計情報に基づいて、端末装置１２のアクセス制御の設定情報を生成する（ステップＳ７００）。設計情報は、例えば端末装置１２の仕様情報であって、通信を行うポート番号、プロトコル、通信先アドレス、通信先アドレス、及び入出力種別を含むが、これに限られるものではない。
【００９４】
続いて、メーカは、ステップＳ７００において生成した設定情報を、端末装置１２の製品名に対応付けてプロファイル管理テーブル２２に追加する（ステップＳ７０１）。
【００９５】
そして、メーカは、端末装置１２の製品名及び制御対象情報を、ＭＡＣアドレスの先頭３２ビットに対応付けてプロダクト管理テーブル２１に追加する（ステップＳ７０２）。
【００９６】
以上説明したように、本実施形態に係るアクセス制御装置１３において、データ解析部２３が、ＬＡＮ１８に接続された端末装置１２の識別子（ＭＡＣアドレス）を取得する。ポリシー生成部２５が、識別子に基づいて、端末装置１２に対応するアクセス制御の設定情報を取得する。そして、アクセス制御部２８が、取得した設定情報に基づいて端末装置１２のアクセス制御を実行する。このように、アクセス制御装置１３によれば、多様な端末装置１２をＬＡＮ１８に接続するだけでアクセス制御が可能となる。また、端末装置１２をＬＡＮ１８に接続してからアクセス制御の実行まで自動で行われるため、ユーザが専門的知識を有さずともセキュアなネットワーク環境を実現可能である。また、手動による設定と比較して作業の煩雑さが低減されるため、稼働コストの削減が可能である。
【００９７】
また、端末装置１２からブラウザを介して送信されたデータは、ブラウザを操作するユーザ入力に応じて送信された蓋然性が高く、ユーザの意思により送信されたデータである蓋然性が高い。本実施形態に係るアクセス制御装置１３によれば、かかるデータについて設定情報に基づくアクセス制御を停止するため、ユーザの意思に反するフィルタリング（データの破棄）を防止可能である。
【００９８】
また、例えばＰＣである端末装置１２には、例えばセキュリティアプリケーションの導入等、個別のセキュリティ対策がなされている蓋然性が高い。このように、端末装置１２の種類・性質によっては、個別のセキュリティ対策と、アクセス制御装置１３によるアクセス制御との競合により、正常に動作しない場合が想定される。本実施形態に係るアクセス制御装置１３によれば、端末装置１２がアクセス制御の対象でない場合（例えば、端末装置１２がＰＣである場合）、設定情報に基づくアクセス制御を停止するため、個別のセキュリティ対策との競合を回避可能である。
【００９９】
本発明を諸図面や実施例に基づき説明してきたが、当業者であれば本開示に基づき種々の変形や修正を行うことが容易であることに注意されたい。したがって、これらの変形や修正は本発明の範囲に含まれることに留意されたい。例えば、各構成部、各ステップ等に含まれる機能等は論理的に矛盾しないように再配置可能であり、複数の構成部やステップ等を１つに組み合わせたり、或いは分割したりすることが可能である。
【０１００】
また、上述の実施形態において、アクセス制御装置１３が予め記憶している情報、例えばブラウザテーブル３９を、外部のサーバ等から取得する構成であってもよい。かかる場合、制御部２９は、例えば定期的に、外部サーバからブラウザテーブル３９を新たに取得して更新してもよい。また、アクセス制御装置１３が外部のサーバから取得する情報、例えばメーカＵＲＬ管理テーブル２０を、アクセス制御装置１３が予め記憶する構成であってもよい。
【０１０１】
また、上述の実施形態において、制御対象情報は、端末装置１２がＰＣであるか否かを示す情報として説明したが、端末装置１２がアクセス制御の対象であるか否かをメーカが任意に定めた情報であってもよい。即ち、上述の実施形態において、ＰＣではない端末装置１２をアクセス制御の対象に定めているが、例えばセキュリティアプリケーションを導入していない端末装置１２又は所定基準以下のスペックを有する端末装置１２等をアクセス制御の対象に定めてもよい。或いは、制御対象情報は、対応する端末装置のセキュリティアプリケーションの導入有無又は所定基準以下のスペックを有するか否かに基づいて自動的に決定されてもよい。
【０１０２】
また、上述の実施形態に係るアクセス制御装置１３として機能させるために、コンピュータ等の通信機能を有する情報処理装置を好適に用いることができる。このような情報処理装置は、実施形態に係るアクセス制御装置１３の各機能を実現する処理内容を記述したプログラムを、当該情報処理装置の記憶部に格納し、当該情報処理装置のＣＰＵによって当該プログラムを読出して実行させることにより実現可能である。
【符号の説明】
【０１０３】
１０    通信システム
１１    経路制御装置
１２    端末装置
１３    アクセス制御装置
１４    ＭＡＣアドレス管理サーバ
１５    メーカＵＲＬ管理サーバ
１６    メーカ別プロファイルサーバ
１７    外部ネットワーク
１８    ＬＡＮ
１９    ＭＡＣアドレス管理テーブル
２０    メーカＵＲＬ管理テーブル
２１    プロダクト管理テーブル
２２    プロファイル管理テーブル
２３    データ解析部
２４    端末装置判定部
２５    ポリシー生成部
２６    テーブル制御部
２７    記憶部
２８    アクセス制御部
２９    制御部
３０    パケット解析機能
３１    フレーム解析機能
３２    外部ネットワーク接続機能
３３    メーカ特定機能
３４    ポリシー取得先特定機能
３５    端末装置特定機能
３６    ポリシー編集機能
３７    端末装置管理テーブル
３８    ポリシーテーブル
３９    ブラウザテーブル
４０    プロトコル判定機能
４１    ブラウザ判定機能
４２    フィルタリング機能
【図１】
2015216588.tif 000003
【図２】
2015216588.tif 000004
【図３】
2015216588.tif 000005
【図４】
2015216588.tif 000006
【図５】
2015216588.tif 000007
【図６】
2015216588.tif 000008
【図７】
2015216588.tif 000009
【図８】
2015216588.tif 000010
【図９】
2015216588.tif 000011
【図１０】
2015216588.tif 000012
【図１１】
2015216588.tif 000013
【図１２】
2015216588.tif 000014
【図１３】
2015216588.tif 000015
【図１４】
2015216588.tif 000016
【図１５】
2015216588.tif 000017