(57)【特許請求の範囲】
【請求項１】
セキュリティ確認の指示を送信した情報処理装置がファイアウォール経由の通信を行っているか否かを判定する判定手段と、
前記判定手段によりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定手段によりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より受信した利用ポート一覧のポートを検査対象に設定する設定手段と、
前記設定手段により検査対象に設定されたポートを検査する検査手段と、
前記検査手段による検査の結果を通知する通知手段と、
を有するセキュリティ確認装置。
【請求項２】
前記判定手段は、前記情報処理装置より受信した装置識別情報と、前記装置識別情報を受信した際の受信パケット内の送信元識別情報と、に基づいて、前記情報処理装置がファイアウォール経由の通信を行っているか否かを判定する請求項１記載のセキュリティ確認装置。
【請求項３】
前記判定手段は、前記情報処理装置より受信した装置識別情報と、前記装置識別情報を受信した際の受信パケット内の送信元識別情報と、が同一の場合、前記情報処理装置がファイアウォール経由の通信を行っていないと判定し、前記情報処理装置より受信した装置識別情報と、前記装置識別情報を受信した際の受信パケット内の送信元識別情報と、が同一でない場合、前記情報処理装置がファイアウォール経由の通信を行っていると判定する請求項２記載のセキュリティ確認装置。
【請求項４】
前記判定手段によりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より利用ポート一覧を取得する取得手段を更に有し、
前記設定手段は、前記判定手段によりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定手段によりファイアウォール経由の通信を行っていないと判定された場合、前記取得手段により取得された前記利用ポート一覧のポートを検査対象に設定する請求項１乃至３何れか１項記載のセキュリティ確認装置。
【請求項５】
前記既定のポートとは、ウェルノウンポートである請求項１乃至４何れか１項記載のセキュリティ確認装置。
【請求項６】
セキュリティ確認装置と、複数の情報処理装置と、を含むシステムであって、
前記セキュリティ確認装置は、
前記複数の情報処理装置のうちのセキュリティ確認の指示を送信した一の情報処理装置から情報処理装置がファイアウォール経由の通信を行っているか否かを判定する判定手段と、
前記判定手段によりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定手段によりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より受信した利用ポート一覧のポートを検査対象に設定する設定手段と、
前記設定手段により検査対象に設定されたポートを検査する検査手段と、
前記検査手段による検査の結果を通知する通知手段と、
を有し、
前記複数の情報処理装置の各情報処理装置は、
前記セキュリティ確認の指示を前記セキュリティ確認装置に送信する送信手段と、
前記検査の結果を受信する受信手段と、
前記受信手段により受信された前記検査の結果を出力する出力手段と、
を有するシステム。
【請求項７】
前記複数の情報処理装置の各情報処理装置は、更に、前記受信手段により受信された前記検査の結果に基づき、検査不合格ポートが存在した場合、前記検査不合格ポートの通信を停止する停止手段を更に有する請求項６記載のシステム。
【請求項８】
前記送信手段は、定期的に前記セキュリティ確認の指示を前記セキュリティ確認装置に送信する請求項６又は７記載のシステム。
【請求項９】
セキュリティ確認装置が実行する情報処理方法であって、
セキュリティ確認の指示を送信した情報処理装置がファイアウォール経由の通信を行っているか否かを判定する判定ステップと、
前記判定ステップによりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定ステップによりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より受信した利用ポート一覧のポートを検査対象に設定する設定ステップと、
前記設定ステップにより検査対象に設定されたポートを検査する検査ステップと、
前記検査ステップによる検査の結果を通知する通知ステップと、
を含む情報処理方法。
【請求項１０】
セキュリティ確認装置と、複数の情報処理装置と、を含むシステムにおける情報処理方法であって、
前記複数の情報処理装置のうちの一の情報処理装置が、セキュリティ確認の指示を前記セキュリティ確認装置に送信する送信ステップと、
前記セキュリティ確認装置が、前記情報処理装置から情報処理装置がファイアウォール経由の通信を行っているか否かを判定する判定ステップと、
前記セキュリティ確認装置が、前記判定ステップによりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定ステップによりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より受信した利用ポート一覧のポートを検査対象に設定する設定ステップと、
前記セキュリティ確認装置が、前記設定ステップにより検査対象に設定されたポートを検査する検査ステップと、
前記セキュリティ確認装置が、前記検査ステップによる検査の結果を通知する通知ステップと、
前記情報処理装置が、前記検査の結果を受信する受信ステップと、
前記情報処理装置が、前記受信ステップにより受信された前記検査の結果を出力する出力ステップと、
を含む情報処理方法。
【請求項１１】
コンピュータを、請求項１乃至５何れか１項記載のセキュリティ確認装置の各手段として機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ確認装置、システム、情報処理方法及びプログラムに関する。
【背景技術】
【０００２】
近年、様々な種類の装置がネットワークに接続されるようになり、ネットワーク通信を活用したサービス等が提供されている。例えば、サービスセンタに設置された管理サーバに複合機をネットワーク接続して複合機の状態情報を管理サーバで管理し、サービスセンタが複合機の状態に応じて適切なメンテナンスサービスを提供すること等が行われている。
一方、装置がネットワークに接続されることにより、装置内に保持されている情報に外部装置から意図せずアクセスされる等、セキュリティ面でのリスクが高まっている。
従来、このような外部装置からの意図しないアクセスを防ぐための技術として、特許文献１には、装置とネットワークとの間にファイアウォールを設けることが開示されている。
また特許文献２には、外部装置から対象装置に対してポートスキャンを行うことにより、対象装置のセキュリティホールを検出し、セキュリティ対策を促すことができるようにすることが開示されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００７−２７２３９６号公報
【特許文献２】特開２００５−２５２６９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
従来ネットワークに接続されていなかったような装置もネットワークに接続されるようになったことに伴い、十分なセキュリティ対策が取られないまま装置がネットワーク接続されるケースも増えている。例えば、ファイアウォールを介さずに装置をインターネットに接続してネットワークサービスを利用する例等がある。
装置側で十分なセキュリティ対策が行われているかを外部から確認する方法として、特許文献２に記載のようなポートスキャンの実行が有効である。
しかしながら従来のポートスキャン方法では、ファイアウォール経由で通信する情報処理装置なのか、ファイアウォールを経由せずに通信する情報処理装置なのか関係なくポートスキャンを行っていた。
ファイアウォールを経由せず通信を行う情報処理装置においては利用しているかどうかにかかわらず全ポート（６５５３５）に関しての検査を行うと、検査には非常に長い時間がかかる。一方、検査するポート数を削減した検査方法では、セキュリティ的にも不安が残る検査しかできない課題があった。
本発明は、検査に要する時間の短縮とセキュリティ面でのセキュリティの確保との両立を図ることを目的とする。
【課題を解決するための手段】
【０００５】
本発明のセキュリティ確認装置は、セキュリティ確認の指示を送信した情報処理装置がファイアウォール経由の通信を行っているか否かを判定する判定手段と、前記判定手段によりファイアウォール経由の通信を行っていると判定された場合、既定のポートを検査対象に設定し、前記判定手段によりファイアウォール経由の通信を行っていないと判定された場合、前記情報処理装置より受信した利用ポート一覧のポートを検査対象に設定する設定手段と、前記設定手段により検査対象に設定されたポートを検査する検査手段と、前記検査手段による検査の結果を通知する通知手段と、を有する。
【発明の効果】
【０００６】
本発明によれば、検査に要する時間の短縮とセキュリティ面でのセキュリティの確保との両立を図ることができる。
【図面の簡単な説明】
【０００７】
【図１】情報処理システムのシステム構成の一例を示す図である。
【図２】セキュリティ確認装置のハードウェア構成の一例を示す図である。
【図３】情報処理装置のハードウェア構成の一例を示す図である。
【図４】情報処理システムにおける情報処理の一例を示すフローチャートである。
【図５】図４のＳ４１０３の処理の一例を示すフローチャートである。
【発明を実施するための形態】
【０００８】
以下、本発明の実施形態について図面に基づいて説明する。
【０００９】
＜実施形態１＞
図１は、情報処理システムのシステム構成の一例を示す図である。情報処理システムは、複数の情報処理装置１０２、１０３と、これらの情報処理装置１０２、１０３が行うすべての外部ネットワーク通信を中継するファイアウォール１０１と、を含む。また、情報処理システムは、インターネット１１０とファイアウォール１０１を経由することなしに通信することができるセキュリティ確認装置１１１及び情報処理装置１１２を含む。
本実施形態ではファイアウォール１０１を経由してインターネット１１０と通信する情報処理装置を２台としたが、ファイアウォール１０１を経由してインターネット１１０と通信する情報処理装置は１台でも３台以上でもよい。またファイアウォール１０１を経由せずにインターネット１１０と通信する情報処理装置を１台としているが複数台以上でもよい。
【００１０】
図２は、セキュリティ確認装置１１１のハードウェア構成の一例を示す図である。メモリ１２３は、ＣＰＵ１２１の主メモリ、ワークエリア等として機能すると共にセキュリティ確認作業のバッファ領域としても利用される。２次記憶装置１２２にはオペレーティングシステムのプログラムとセキュリティ確認装置１１１の制御プログラムが記憶される。また２次記憶装置１２２は、メモリ１２３が不足した場合の一時的なデータの退避場所としても用いられる。ネットワーク通信部１２４は、セキュリティ確認装置１１１がネットワークを経由して他の情報機器装置と通信をする際の通信制御を司る。
ＣＰＵ１２１が２次記憶装置１２２に記憶されたプログラムに基づき処理を実行することによって、セキュリティ確認装置１１１の機能及び後述する図４、５のセキュリティ確認装置１１１のフローチャートの処理が実現される。
【００１１】
図３は、情報処理装置１０２、１０３、１１２のハードウェア構成の一例を示す図である。メモリ１３３はＣＰＵ１３１の主メモリ、ワークエリア等として機能すると共にセキュリティ確認作業のバッファ領域としても利用される。２次記憶装置１３２にはオペレーティングシステムのプログラムと情報処理装置の制御プログラム本体が記憶される。また２次記憶装置１３２は、メモリ１３３が不足した場合の一時的なデータの退避場所としても用いられる。ネットワーク通信部１３４は、情報処理装置がネットワークを経由して他の情報機器装置と通信をする際の通信制御を司る。
ＣＰＵ１３１が２次記憶装置１３２に記憶されたプログラムに基づき処理を実行することによって、情報処理装置の機能及び後述する図４、５の情報処理装置のフローチャートの処理が実現される。
【００１２】
図４は、情報処理システムにおける情報処理の一例を示すフローチャートである。以下では説明の簡略化のため、特に言及しない限り、情報処理装置１０２、１０３、１１２のうち、情報処理装置１１２が、セキュリティ確認指示をセキュリティ確認装置１１１に対して送信したものとして説明を行う。情報処理装置１０２、１０３、１１２は、例えば、表示装置１３５等を介したユーザ操作に基づき、又は予め設定されたタイムスケジュール等に基づき定期的に、セキュリティ確認指示をセキュリティ確認装置１１１に対して送信する。また、情報処理装置１０２、１０３、１１２は、メンテナンス情報を定期的にセキュリティ確認装置１１１に対して送信している。例えば、情報処理装置１０２、１０３、１１２は、メンテナンス情報と共に、セキュリティ確認指示をセキュリティ確認装置１１１に対して送信するようにしてもよい。
Ｓ４２０１において、情報処理装置１１２のＣＰＵ１３１（以下、図４及び図５において単にＣＰＵ１３１という）は、セキュリティ確認装置１１１に対してセキュリティ確認指示を行う。Ｓ４１０１において、ＣＰＵ１２１は、セキュリティ確認指示を受信する。Ｓ４１０３において、ＣＰＵ１２１は、ファイアウォール経由の通信かどうかを判定する。ＣＰＵ１２１は、ファイアウォール経由の通信であると判定した場合（Ｓ４１０３においてＹｅｓ）、Ｓ４１０４に進み、ファイアウォール経由の通信でないと判定した場合（Ｓ４１０３においてＮｏ）、Ｓ４１０５に進む。Ｓ４１０３の処理の詳細は、後述する図５を用いて説明する。Ｓ４１０５において、ＣＰＵ１２１は、セキュリティ確認指示を送信してきた情報処理装置１１２に対して利用ポート一覧の送付依頼を行う。Ｓ４２０２において、利用ポート一覧の送付依頼を受信したＣＰＵ１３１は、ファイアウォール１０１を経由することなくセキュリティ確認装置１１１と通信していることを２次記憶装置１３２に記憶する。Ｓ４２０３において、ＣＰＵ１３１は、受信した利用ポート一覧の送付依頼に基づき自身が利用するネットワークポートを利用ポートとして確認し、利用ポート一覧を作成する。Ｓ４２０４において、ＣＰＵ１３１は、セキュリティ確認装置１１１へ利用ポート一覧を通知する。Ｓ４１０６において、ＣＰＵ１２１は、受信した利用ポート一覧を検査対象ポートに設定する。Ｓ４１０５、Ｓ４１０６の処理は、利用ポート一覧を取得する処理の一例である。一方、Ｓ４１０４において、ＣＰＵ１２１は、既定のポートを検査対象と設定する。既定のポートとは、例えば、０番から１０２３番までのウェルノウンポート（ｗｅｌｌ−ｋｎｏｗｎポート）である。Ｓ４１０７において、ＣＰＵ１２１は、検査対象に設定した全ポートを検査する。Ｓ４１０８において、ＣＰＵ１２１は、検査結果を、セキュリティ確認指示を送信してきた情報処理装置１１２へ通知する。Ｓ４２０５において、ＣＰＵ１３１は、検査結果を受信する。Ｓ４２０６において、ＣＰＵ１３１は、受信した検査結果に基づき検査不合格ポートが存在する場合、検査不合格ポートのネットワーク通信を停止する。Ｓ４２０７において、ＣＰＵ１３１は、ファイアウォール１０１を経由してセキュリティ確認装置１１１と通信を行っているか否かを判定する。ＣＰＵ１３１は、ファイアウォール１０１を経由してセキュリティ確認装置１１１と通信を行っていると判定した場合（Ｓ４２０７においてＹｅｓ）、Ｓ４２０８に進む。一方、ＣＰＵ１３１は、ファイアウォール１０１を経由してセキュリティ確認装置１１１と通信を行っていないと判定した場合（Ｓ４２０７においてＮｏ）、Ｓ４２０９に進む。Ｓ４２０８において、ＣＰＵ１３１は、検査不合格ポートが存在する場合、ファイアウォール１０１の設定に問題があるため検査結果をネットワーク管理者へ通知する。また、ＣＰＵ１３１は、検査不合格ポートが存在しない場合であっても、検査結果をネットワーク管理者へ通知するようにしてもよい。また、ＣＰＵ１３１は、検査結果をネットワーク管理者へ通知すると共に表示装置１３５に表示するようにしてもよい。Ｓ４２０９において、ＣＰＵ１３１は、Ｓ４２０５で受信した検査結果、又はＳ４２０６で停止したポートの情報を表示装置１３５に表示する。Ｓ４２０８、Ｓ４２０９の処理は、検査結果の出力の処理の一例である。
【００１３】
図５は、図４のＳ４１０３の処理の一例を示すフローチャートである。
Ｓ５１０１において、ＣＰＵ１２１は、セキュリティ確認指示を送信してきた情報処理装置１１２に対して自ＩＰアドレスの通知指示を送信する。Ｓ５２０１において、ＣＰＵ１３１は、セキュリティ確認装置１１１より自ＩＰアドレスの通知指示を受信する。Ｓ５２０２において、ＣＰＵ１３１は、自装置のＩＰアドレスをセキュリティ確認装置１１１に送信する。Ｓ５１０２において、ＣＰＵ１２１は、情報処理装置１１２より送信されたＩＰアドレス（通知アドレス）を受信する。Ｓ５１０２において受信されたＩＰアドレスは、装置識別情報の一例である。Ｓ５１０３において、ＣＰＵ１２１は、ＩＰアドレスを受信した際の、受信パケット内に含まれている送信元ＩＰアドレスを確認する。受信パケット内に含まれている送信元ＩＰアドレスは、送信元識別情報の一例である。Ｓ５１０４において、ＣＰＵ１２１は、通知アドレスと受信パケット内の送信元ＩＰアドレスとを比較する。ＣＰＵ１２１は、比較の結果、同一であると判定すると、Ｓ５１０５に進み、非同一であると判定すると、Ｓ５１０６に進む。Ｓ５１０５において、ＣＰＵ１２１は、ファイアウォール経由の通信でないと判定する。一方、Ｓ５１０６において、ＣＰＵ１２１は、ファイアウォール経由の通信であると判定する。
【００１４】
このような構成によれば、情報処理装置がファイアウォール経由で通信するかどうかに応じて適切なポートを検査することが可能となり、検査に要する時間の短縮とセキュリティ面でのセキュリティの確保の両立が可能となる。
なお、図４の例では、情報処理装置は、検査不合格となったポートを即時通信停止としたが設定によっては停止せず管理者やユーザに通知するだけにしてもよい。
【００１５】
＜その他の実施形態＞
本発明は、上述の実施形態の１以上の機能を実現するプログラムを、ネットワーク又は記憶媒体を介してシステム又は装置に供給する。そして、そのシステム又は装置のコンピュータにおける１つ以上のプロセッサーがプログラムを読み出し実行する処理でも実現可能である。また、１以上の機能を実現する回路（例えば、ＡＳＩＣ）によっても実現可能である。
【００１６】
以上、本発明の好ましい実施形態について詳述したが、本発明は係る特定の実施形態に限定されるものではない。
【００１７】
以上、上述した各実施形態の処理によれば、検査に要する時間の短縮とセキュリティ面でのセキュリティの確保との両立を図ることができる。また、情報処理装置が、定期的にセキュリティ確認指示をセキュリティ確認装置に送信することによって、定期的にセキュリティのチェックが可能となり、セキュリティレベルを向上させることができる。
【符号の説明】
【００１８】
１１１  セキュリティ確認装置
１０２、１０３、１１２  情報処理装置
１２１  ＣＰＵ
１３１  ＣＰＵ
【図１】
0006736380.tif 000002
【図２】
0006736380.tif 000003
【図３】
0006736380.tif 000004
【図４】
0006736380.tif 000005
【図５】
0006736380.tif 000006