(57)【要約】【課題】ネットワークマシンからマシン情報を取得し、このマシン情報を参照しつつ種々のセキュリティ対策を講じることができ、もって柔軟性に優れ、幅広く適用することが可能なセキュリティ管理装置等を得る。【解決手段】ネットワークにおけるセキュリティに関する情報を提供するセキュリティ情報提供装置３から取得されるセキュリティ情報と、ネットワーク１に接続された少なくとも一つのネットワークマシン２から取得されるマシン情報とに基づいて、ネットワークマシンに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部４１と、セキュリティ診断部４１による診断結果に基づいて、ネットワークマシンに対して、所定のセキュリティ対策処理を行う予防実行部４４とを備えてなる。【選択図】        図２
2004258777.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークにおけるセキュリティに関する情報を提供するセキュリティ情報提供部から取得されるセキュリティ情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部と、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行部とを備えてなるセキュリティ管理装置。
【請求項２】
請求項１に記載のセキュリティ管理装置において、
前記セキュリティ診断部は、さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断することを特徴とするセキュリティ管理装置。
【請求項３】
請求項２に記載のセキュリティ管理装置において、
前記マシン関連情報記憶部に記憶されたマシン関連情報は、セキュリティポリシーについて規定した情報であることを特徴とするセキュリティ管理装置。
【請求項４】
ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報と、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部と、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行部とを備えてなるセキュリティ管理装置。
【請求項５】
ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、
前記セキュリティ情報提供部から得られるセキュリティ情報と、前記マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報との少なくともいずれかに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、
前記予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムと
を備えてなるセキュリティ管理システム。
【請求項６】
ネットワークにおけるセキュリティに関するセキュリティ情報を取得するセキュリティ情報取得ステップと、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記セキュリティ情報及び前記マシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断ステップによる診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行ステップと
を備えてなるセキュリティ管理方法。
【請求項７】
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部からマシン関連情報を取得するマシン関連情報取得ステップと、
前記マシン情報とマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行ステップと
を備えてなるセキュリティ管理方法。
【請求項８】
セキュリティ管理をコンピュータに実行させるセキュリティ管理プログラムであって、
ネットワークにおけるセキュリティに関するセキュリティ情報を取得するセキュリティ情報取得ステップと、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記セキュリティ情報及び前記マシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断ステップによる診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行ステップと
をコンピュータに実行させるセキュリティ管理プログラム。
【請求項９】
請求項８に記載のセキュリティ管理プログラムにおいて、
さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報を取得するマシン関連情報取得ステップを備え、
前記セキュリティ診断ステップでは、前記セキュリティ情報及び前記マシン情報とともに、前記マシン関連情報に基づいて、前記セキュリティ診断を行うことをコンピュータに実行させるセキュリティ管理プログラム。
【請求項１０】
セキュリティ管理をコンピュータに実行させるセキュリティ管理プログラムであって、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部からマシン関連情報を取得するマシン関連情報取得ステップと、
前記マシン情報とマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行ステップと
をコンピュータに実行させるセキュリティ管理プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、不正アクセスなど、ネットワークシステムに異常をもたらすおそれを排除することができるセキュリティ管理装置、セキュリティ管理システム、セキュリティ管理方法、セキュリティ管理プログラムに関するものである。
【０００２】
【従来の技術】
従来より、セキュリティ管理サービスのための技術として、例えば以下のようなものが知られている。
第１の従来技術は、パッチが適用されるクライアントマシンとクライアントマシンに対するパッチデータやソフトウェアデータを保持するサーバコンピュータから構成されており，サーバコンピュータがクライアントコンピュータに対してパッチを適用するというものである（例えば特許文献１，２参照）。
【０００３】
この動作は以下のように行われる。まず、（１）クライアントコンピュータのソフトウェア情報をサーバコンピュータに登録する。（２）次に、依存するソフトウェア情報をサーバコンピュータに登録する。そして、（３）クライアントコンピュータに対するソフトウェア更新可否を判定するとともに、（４）パッチをサーバコンピュータから配信する。
【０００４】
第２の従来技術は、監視サーバは、監視対象クライアントのウィルスチェックをリモートから実行しその実行結果を受け取り、ウィルスを検出したときは監視対象クライアントへウィルス検出を通知するというものである（例えば、特許文献３参照）。
【０００５】
この動作は以下のように行われる。まず、（１）監視サーバが監視対象クライアントのウィルスチェックの実行／未実行を参照する。（２）監視サーバが未実行の監視対象クライアントに対してウィルスチェックの実行要求を行う。（３）監視サーバが実行結果を受け取る。（４）監視サーバが監視対象クライアントへウィルス検出を通知する。
【０００６】
【特許文献１】
特開２００２−５５８３９号公報
【特許文献２】
特開２０００−２５０７４３号公報
【特許文献３】
特開平１１−３２７８９７号公報
【０００７】
【発明が解決しようとする課題】
しかしながら、第１の従来技術では、Ｗｅｂで公開されている様々なセキュリティ情報をマシン情報に応じて選別取得する機能がなく、セキュリティ対策の柔軟性に乏しく、幅広い適用が困難である。同様に第２の従来技術でも、ウィルスチェックのみに限定され、マシン情報に応じた様々なセキュリティ対策を講じることは不可能である。
【０００８】
なお、本出願人は、パッチが公開されていないセキュリティホールに対してフィルタリングルール作成し、パッチが公開されるまでフィルタによって防御し、パッチが公開されると前記ルールが削除されるようにした技術を提案しているが、かかる技術においても、ネットワークマシンのマシン情報を取得して、マシンに合わせたルールを作成する機能がなく、やはり幅広い適用性に劣る。
【０００９】
本発明は、上述した課題に鑑みてなされたものであり、ネットワークを構成するネットワークマシンからマシン情報を取得し、このマシン情報を参照しつつ種々のセキュリティ対策を講じることができ、もって柔軟性に優れ、幅広く適用することが可能なセキュリティ管理装置、セキュリティ管理システム、セキュリティ管理方法、セキュリティ管理プログラムを提供することを目的とする。
【００１０】
【課題を解決するための手段】
上述した課題を解決するため、本発明は、ネットワークにおけるセキュリティに関する情報を提供するセキュリティ情報提供部から取得されるセキュリティ情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部と、前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行部とを備えてなるものである。
【００１１】
また、本発明のセキュリティ管理装置において、前記セキュリティ診断部は、さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断することを特徴とする。
【００１２】
また、本発明のセキュリティ管理装置において、前記マシン関連情報記憶部に記憶されたマシン関連情報は、セキュリティポリシーについて規定した情報であることを特徴とする。
【００１３】
なお、本発明のセキュリティ管理装置において、前記セキュリティポリシーは、所定のマシン情報についてのフィルタリング防御又は通信制御について規定し、前記セキュリティ実行部はフィルタリング処理又は通信制御を実行することを特徴とすることができる。
また、本発明のセキュリティ管理装置において、前記セキュリティポリシーは、所定のプログラムについてのパッチ適用又はワクチン投与について規定し、前記セキュリティ実行部は前記所定のプログラムにパッチ適用処理又はワクチン投与処理を実行することを特徴とすることができる。
さらに、本発明のセキュリティ管理装置において、前記セキュリティ実行部によるセキュリティ対策処理が実行された場合に、その実行結果における前記ネットワークマシン若しくはネットワークにおける動作確認が行われることを特徴とすることができる。
【００１４】
また、本発明のセキュリティ管理装置において、前記セキュリティ実行部によるセキュリティ対策処理が実行された場合において、そのセキュリティ対象についてフィルタリングルールが設定されている場合は、そのルールの削除が行われることを特徴とすることができる。
さらに、本発明のセキュリティ管理装置において、さらに新規に導入されるネットワークマシンからの接続要求を受け付ける接続要求受付部を備え、前記セキュリティ診断部は、前記接続要求受付部により新規ネットワークマシンからの接続要求を受け付けた場合に、前記マシンを離隔状態として該ネットワークマシンにアドレスを与え、前記マシン情報と前記セキュリティ情報とに基づいて、前記セキュリティ関連処理として前記ネットワークマシンに対する離隔解除を行うか否かを判断することを特徴とすることができる。
【００１５】
また、本発明のセキュリティ管理装置において、さらに新規に導入されるネットワークマシンからの接続要求を受け付ける接続要求受付部を備え、前記セキュリティ診断部は、前記接続要求受付部により新規ネットワークマシンからの接続要求を受け付けると共に、前記ネットワークマシンからマシン情報を受け付けると、該マシン情報と前記セキュリティ情報とに基づいて、前記セキュリティ関連処理として前記ネットワークマシンに対するアドレス付与の可否を判断することを特徴とすることができる。
【００１６】
また、本発明のセキュリティ管理装置は、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報と、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部と、前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行部とを備えてなるものである。
【００１７】
本発明のセキュリティ管理装置において、前記マシン関連情報は、コンピュータウィルスの挙動内容を示す情報を含み、前記マシン情報には所定のファイルのハッシュ値、ウィルススキャン結果の少なくともいずれか一つを含み、前記セキュリティ診断部は、所定のネットワークマシンについて、離隔する必要性の有無を判断し、前記セキュリティ実行部は前記セキュリティ診断部により前記ネットワークマシンを離隔する必要性があると判断された場合には、前記ネットワークマシンを離隔するための処理を行うことを特徴とすることができる。
【００１８】
また、本発明のセキュリティ管理装置において、前記ネットワークマシンの通信を監視するネットワーク監視部を備え、前記マシン関連情報は、ネットワークマシンのプロファイルに関する情報であり、前記セキュリティ診断部は、前記ネットワーク監視部からの監視情報と前記マシン情報と前記ネットワークマシンのプロファイルに関する情報とに基づいて、所定のネットワークマシンについて、離隔する必要性の有無を判断し、前記セキュリティ実行部は前記セキュリティ診断部により前記ネットワークマシンを離隔する必要性があると判断した場合には、前記ネットワークマシンを離するための処理を行うことを特徴とすることができる。
【００１９】
また、本発明のセキュリティ管理装置において、前記セキュリティ診断部は、被害範囲の同定を行い、離隔範囲を定めることを特徴とすることができる。
さらに、本発明のセキュリティ管理装置において、前記セキュリティ診断部の診断結果に基づき、所定の被害を受けたネットワークマシン若しくはネットワークに対して修復を行うための修復部が備えられていることを特徴とすることができる。
【００２０】
また、本発明のセキュリティ管理装置において、被害修復が行われた場合、離隔を解除する離隔解除部が備えられていることを特徴とすることができる。
また、本発明のセキュリティ管理装置において、前記マシン情報は、機器構成の変更の通知と、少なくともその変更される機器構成の情報を含み、前記マシン関連情報は、前記ネットワークにおいて使用の可否を規定した機器構成情報を含むことを特徴とすることができる。
さらに、本発明のセキュリティ管理装置において、前記セキュリティ診断部は、前記ネットワークマシンの離隔のに必要性について判断し、セキュリティ実行部は前記セキュリティ診断部の判断結果に基づいて前記ネットワークマシンを離隔するための処理を行うことを特徴とするものである。
【００２１】
また、本発明のセキュリティ管理システムは、ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、前記セキュリティ情報提供部から得られるセキュリティ情報と、前記マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、前記予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムとを備えてなる。
【００２２】
本発明のセキュリティ管理システムにおいて、前記予防システム又は前記回復システムは複数設けられ、これらシステムを統括的に管理する管理センタが設けられていることを特徴とすることができる。
また、本発明のセキュリティ管理システムにおいて、前記予防システム又は前記回復システムは複数設けられ、これら複数のシステムのそれぞれで取得された情報が互いに共有されることを特徴とすることができる。
さらに、本発明のセキュリティ管理システムにおいて、前記セキュリティ情報提供部の所有者側に前記予防システム及び前記回復システムが設けられていることを特徴とすることができる。
【００２３】
また、本発明のセキュリティ管理システムにおいて、前記セキュリティ情報提供部の所有者側に前記予防システムが設けられ、管理サービスを提供する管理サービス提供者側に前記回復システムが設けられることを特徴とすることができる。
さらに、本発明のセキュリティ管理システムにおいて、管理サービスを提供する管理サービス提供者側に前記予防システム及び前記回復システムが設けられることを特徴とすることができる。
また、本発明のセキュリティ管理システムにおいて、前記回復システムにおいて取得された所定の情報が新たなセキュリティ情報として、前記予防システムにフィードバックされることを特徴とすることができる。
【００２４】
また、本発明のセキュリティ管理方法は、ネットワークにおけるセキュリティに関するセキュリティ情報を取得するセキュリティ情報取得ステップと、ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、前記セキュリティ情報及び前記マシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、前記セキュリティ診断ステップによる診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行ステップとを備えてなるものである。
【００２５】
本発明のセキュリティ管理方法において、さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報を取得するマシン関連情報取得ステップを備え、前記セキュリティ診断ステップでは、前記セキュリティ情報及び前記マシン情報とともに、前記マシン関連情報に基づいて、前記セキュリティ診断を行うことを特徴とすることができる。
【００２６】
また、本発明のセキュリティ管理方法は、ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部からマシン関連情報を取得するマシン関連情報取得ステップと、前記マシン情報とマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行ステップとを備えてなるものである。
【００２７】
また、本発明は、セキュリティ管理をコンピュータに実行させるセキュリティ管理プログラムであって、ネットワークにおけるセキュリティに関するセキュリティ情報を取得するセキュリティ情報取得ステップと、ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、前記セキュリティ情報及び前記マシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、前記セキュリティ診断ステップによる診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行ステップとをコンピュータに実行させるものである。
【００２８】
また、本発明のセキュリティ管理プログラムにおいて、さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報を取得するマシン関連情報取得ステップを備え、前記セキュリティ診断ステップでは、前記セキュリティ情報及び前記マシン情報とともに、前記マシン関連情報に基づいて、前記セキュリティ診断を行うことをコンピュータに実行させるものである。
【００２９】
また、本発明は、セキュリティ管理をコンピュータに実行させるセキュリティ管理プログラムであって、ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部からマシン関連情報を取得するマシン関連情報取得ステップと、前記マシン情報とマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行ステップとをコンピュータに実行させるものである。
【００３０】
【発明の実施の形態】
以下に、本発明の実施の形態を図面を用いて説明する。
図１は、本発明の実施の形態におけるセキュリティ管理システムの全体構成を原理的に示すブロック図、図２は予防システムの全体構成をより詳細に示すブロック図である。本実施の形態では、ネットワーク１内に接続され、ネットワークを構成するネットワークマシン２と、各種情報を提供する情報提供装置３と、ネットワーク１（図４参照）内のネットワークマシン２に対するセキュリティ対策を講じるためめ予防システム４と、予防システム４と協働して、セキュリティ対策の一部を実行するため、例えばネットワーク１若しくはネットワークマシン２の離隔を行い、或いはそれを解除し、更には必要に応じて被害を受けたネットワーク１若しくはネットワークマシン２を回復させるための回復システム５とを備えて構成される。
【００３１】
なお、図１に示す情報提供装置３、予防システム４、及び回復システム５はネットワークマシン２と同様、インターネットやその他の通信回線を介して相互に接続され得、また、各システムは通常の各種判断、処理を行うことができるコンピュータ（例えばＰＣ）を備えている。ここでは、例えば、ネットワークマシン１はＤＮＳ（Ｄｏｍａｉｎ  Ｎａｍｅ  Ｓｙｓｔｅｍ）サーバやメールサーバを想定しており、情報提供装置３はＷｅｂページにおいて無償でセキュリティホール情報やパッチ関連情報等を公開しているものとする。情報提供装置３は従来と変らない方式で情報を公開しており、必要に応じて暗号化通信を行うものとする。また、従来のシステムに予防システム４、回復システム３を導入することにより、セキュリティ管理システムによるサービスを開始できる。予防システム４及び回復システム５の導入方法は、購入若しくはレンタルとする。
【００３２】
予防システム４は、図２に示されるように、セキュリティ関連処理の種別とその必要性の有無を判断する診断部（セキュリティ診断部）４１と、各種データベース４２と、ネットワークマシン２を含むネットワーク１の状態を監視するネットワーク監視装置４３と、診断部４１の診断結果に基づいて、例えば回復システム５に予防処置の指示を行う予防実行部４４とを備えている。
診断部４１は、必要に応じてネットワークマシン２、情報提供装置３、各種データベース４２、及びネットワーク監視装置４３からの情報を取得する情報取得部４１１と、情報取得部４１１で得られる情報を検索し、或いは比較する情報検索／比較部４１２と、情報検索／比較部４１２での各種情報の比較結果に基づいて、セキュリティ関連処理の種別とその必要性の有無についての判定を行う判定部４１３とを備えて構成されている。
以下、これらの構成を基本構成として、各種動作を実施の形態に対応させて説明する。なお、実施の形態における予防システムは本発明のセキュリティ管理装置に対応している。
【００３３】
実施の形態１．
図３は実施の形態１を示すブロック構成図、図４はセキュリティ管理が実施されるネットワークを示すブロック図、図５は実施の形態１の動作を示すフローチャートである。
実施の形態１は、情報提供装置により公開されたセキュリティホール情報に基づいてセキュリティ対策を行うようにした場合について説明する。
未公表なものも含まれるセキュリティホール情報が情報提供装置３Ａにより公開された場合（ステップＳ０）、予防システム４Ａの情報取得部４１１（図２）はセキュリティホール情報（セキュリティホール番号、対象ＯＳ名、対象サービス、脆弱性内容等）３ａを情報提供装置３Ａからダウンロードし（ステップＳ１）、当該セキュリティ情報が正当な情報であるかどうかを検証し（ステップＳ２）、正当な情報だけを取り入れる（ステップＳ２、ＹＥＳ）。
【００３４】
このセキュリティ情報が正当なものであるか否かの検証は、例えば、情報自体の信憑性に基づいて行われ、予め発信元の信頼性によりレベル分けを行っておき、所定のレベル以上の信頼性があるとされた発信元からの情報を用いるようにする。また、実際に、実験器具を用いて信頼性を確認することもできる。例えば、実験的にＷｅｂサーバを立ち上げておき、特定の文字列や命令を含み、セキュリティホール情報に該当する状態を作り上げて実証することが行われる。或いは、検証を行う他の方法として、情報自体の正当性（情報が改ざんされていないかどうか）のチェックを行うことによっても行い得る。例えば、付加されている電子署名を検証したり、付加されているハッシュ値を検証することによって行い得る。
【００３５】
また、予防システム４Ａ（診断部４１Ａ）は、ネットワーク１内のマシン情報（マシン名、ＩＰアドレス、アーキテクチャ名、ＯＳ名、インストールされたパッケージ群等）２ａを取得し（ステップＳ３）、当該正当なセキュリティ情報と比較照合することでセキュリティホールがあるマシンの存在を判定し、存在する場合はそのマシンを選択する（ステップＳ４）。なお、マシン情報の一例を図１７に示している。次に、情報提供装置３からの情報に当該キュリティホールの緊急度が高い旨の情報が含まれている場合は、その情報を考慮し、直ちに各種サーバ４２のうちから、フィルタリングデータベース４２Ａを参照して、フィルタリング防御を行うことについて規定されているか否か（フィルタリングデータベースの登録項目にマッチするか否か）を検索して判断し（ステップＳ５）、防御する必要があると判断された場合、対象となるマシンのマシン情報と脆弱性内容をフィルタリングルール作成装置４４１に送信する。フィルタリングデータベースはフィルタリングルールの設定についてのセキュリティポリシーを規定したデータベースである。なお、予防システム４Ａは、フィルタリングルールの作成に所定時間以上要する場合は、脆弱対象となるソフトウェアを取り敢えず停止させるように指示することもできる。
【００３６】
そして、取得した情報を元にフィルタリングルール作成装置４４１はルール番号と対応セキュリティホール番号を含む新規のフィルタリングルール４４１ａを作成し（ステップＳ６）、ルール実行部４４３は、そのルールによってセキュリティホールへのアタックを防御する（ステップＳ７）。またフィルタリングルール作成装置４４１は、その作成された新規ルールをルールデータベース４４２に登録する（ステップＳ８）。本実施の形態におけるフィルタリングルール作成装置４４１は、セキュリティホール情報３ａに該当するネットワークマシンについて、搭載されるソフトウェア“ＳＵＮＷｆｔｐｕ”に不正文字列「ｘｘｘ」の情報が送信される場合を防止するよう、新規ルールを作成し、ルールデータベース４４２に新規ルールを登録する。
【００３７】
そして、ルール実行部４４３は、ルールデータベース４４２に登録されたルールに基づいて、そのような情報が当該ネットワークマシンに到達するのを防止する。この場合、回復システム５（図２）は、ルール実行部４４３からの指示を受け、例えば、図４に示すネットワークにおいて、ルール設定されたネットワークマシンに不正文字列が外部より送信されてきた場合に、防御装置１１を動作させてそれを遮断させる。なお、図４に示されるネットワークは、複数のネットワークセグメント１Ａ〜１Ｄに離隔装置１２〜１５を介して分割されている。ネットワークの入り口には、防御装置１１（ファイアウォール）が設けられ、また、防御装置１１を介してインタネットＩＮと接続可能なＤＭＺ（Ｄｅｍｉｌｉｔａｒｉｚｅｄ  Ｚｏｎｅ）が構築されている。
【００３８】
以上、実施の形態１ではセキュリティ関連処理の種別の一例としてフィルタリングルールの作成について説明したが、通信機器として動作するネットワークマシンに対しては、通信制御のルールを作成して設定するようにしても良い。この通信制御には、例えば到着通信データの流量制御及び発呼制御、ルーティング情報の変更等が挙げられる。
【００３９】
なお、実施の形態１においては、フィルタリングルール作成装置４４１、ルールデータベース４４２及びルール実行部４４３が図２に示した予防実行部４４を構成している。
【００４０】
実施の形態２．
図６は実施の形態２を示すブロック構成図、図７は実施の形態２の動作を示すフローチャートである。
実施の形態２は、情報提供装置により公開されたパッチ関連情報に基づいてセキュリティ対策を行うようにした場合について説明する。
【００４１】
予防システム４Ｂの診断部４１Ｂは、情報提供装置３Ｂから新たなパッチが公開されると（ステップＳ１０）、当該パッチファイルとそのパッチ関連情報（対象セキュリティホール番号、アーキテクチャ名、対象ＯＳ名、対象サービス）３ｂを情報提供装置３Ｂからダウンロードし（ステップＳ１１）、ネットワークマシン２からマシン情報（マシン名、ＩＰアドレス、アーキテクチャ名、ＯＳ名、インストールされたパッケージ群、適用済みパッチ群等）２ｂを取得し（ステップＳ１２）、それらを比較照合することでパッチを充てる必要があるマシンの存在を判定し、そのマシンを選択する（ステップＳ１３）。
【００４２】
次に、パッチ適用データベース４２Ｂを参照しながらパッチを充てることに規定（若しくはパッチを充てることに禁止項目）があるかどうかを判断し（ステップＳ１４）、充てることが問題ないと判断された場合（ステップＳ１４、ＹＥＳ）、診断部４１Ｂからの指示に基づいてパッチ適用部４５１が対象マシンにパッチを適用し（ステップＳ１５）、それと同時に、ルール実行部４４３で実行されるフィルタリングルールがルールデータベース４５２に登録されている場合は、当該パッチに関連するフィルタリングルール４１ｂを削除する（ステップＳ１６）。
【００４３】
パッチ適用後は、パッチ適用に係るマシンの動作がパッチ適用前と変らないことを確認するため、マシンの動作確認を行う。この確認は、診断部４１Ｂにおいて、マシン情報の関連情報として動作情報を取得することで行うようにしても良いし、或いは図１、図２に示した回復システム、若しくは図２に示したネットワーク監視装置で行うようにしても良い。この確認方法の具体例としては、例えば次のようなものが挙げられる。
【００４４】
（１）プロセスの確認
これは、例えばソフトウェアが起動しているかどうかを判断することによって行われる。
（２）サービスやソフトウェアを利用しての確認
これは、例えばＷｅｂサーバならばページが表示されているか否かを判断することによって行うことができる。また、メールサーバならばメールが送受信されているか否かを判断することによって行うことができる。
（３）固有設定の確認
これは、例えばファイアウォールならパケットを拒否できているか否かを判断することによって行うことができる。また、メールサーバならば不正中継が行われているか否かを判断することによって行うことができる。
（４）その他の確認
例えば、マシンのプロファイル（後述の実施の形態３で説明）を用いて動作確認を行うことで行われる。例えば、プロファイルを保存したデータベースを用意しておくと共に、過去の所定期間（例えば一ヶ月）のコンピュータプロセスやネットワークのログをプロファイルデータベースに保存しておき、パッチ適用後に取得したログと比較して相違点をチェックすることにより判断する。
【００４５】
以上の確認において、マシン動作が異常と判断されると、回復システム、或いはパッチ適用部４５１はパッチを排除する処理を行う。
以上の構成において、パッチ適用部４５１とルールデータベース、及びルール実行部４４３からなる予防実行部４４Ｂは、図２における予防実行部４４に相当する。
【００４６】
実施の形態３．
図８は実施の形態３を示すブロック構成図、図９は被害の有無を判断する動作を示す概念図、図１０は実施の形態３の動作を示すフローチャートである。
実施の形態３は、ネットワークマシンの通信ログや挙動に基づいて被害の有無を判断して、そのセキュリティ対策を行うようにした場合について説明する。
【００４７】
実施の形態３において診断部４１Ｃは、ネットワーク監視装置４３において、通信またはマシンの挙動を監視して（ステップＳ２０）、監視内容から送信元ＩＰアドレスや送信先ＩＰアドレス、不正通信の種類および対象サービス等の情報等の通信ログ４３ａを取得し（ステップＳ２１）、ネットワークマシン２からは対象ファイルのハッシュ値やウィルススキャン結果等の診断情報をマシン情報２ｃとして取得する（ステップＳ２２）。そして、それらをアタック（バックドア）／ウィルスデータベース４２１に登録されているウィルス等の挙動内容、シグネチャ等と比較照合し、或いはマシンプロファイルデータベース４２２に登録されている通信プロファイルやプロセスプロファイルと比較照合して被害を受けているか否かを判断する（ステップＳ２３）。被害を受けていると判断された場合（ステップＳ２３、ＹＥＳ）は、被害の拡散性があるか否かを判断する（ステップＳ２４）。この被害の拡散性の判断は、被害を受けているマシンや被害規模の推定とともに行われ、例えば被害を受けているマシンの数若しくは範囲の経時変化を監視することにより判断することができる。拡散性があると判断された場合（ステップＳ２４、ＹＥＳ）は、その被害範囲の同定が行われる（ステップＳ２５）。
【００４８】
そして、被害に拡散性が有ると判断された場合、診断部４１Ｃは、各ネットワークマシンからネットワーク情報（マシンの配置情報、ネットワーク構成、離隔点のＩＰアドレス等）をマシン情報として取得し、その離隔点を決定し、その離隔指示のための離隔情報（アタック元のＩＰアドレス、アタック元のＭＡＣアドレス、遮断すべき通信の種類等）４１ｃを離隔／解除／修復指示部（予防実行部）４４Ｃに送出する（ステップＳ２６）。なお、ここで、離隔とはネットワークマシンからの送信を規制する意味であり、更にこの場合、所定の通信（相手先、データ量）のみを許可したり、許可されていない送信先への通信を不正通信として遮断することなどが含まれる。離隔点は、図４の例においては、離隔装置を特定することにより定められる。
【００４９】
離隔情報を受けた離隔／解除／修復指示部（予防実行部）４４Ｃは回復システム５に離隔情報に基づく離隔指示を送信する。回復システム５は、離隔点となるルータ（離隔装置１２〜１５）に離隔動作を行うよう指示を通知する。この回復システム５からの指示によりルータは離隔点における通信の制限を行う。この通信制御は例えばネットワーク監視装置４３により監視され、診断部４１Ｃでは、取得される通信ログ等に基づき、離隔できたことが図示しない確認部により確認される。その後、回復システム５は、所定の被害については、被害を受けたマシンの修復を行うことができる。また、そのような被害が発生した場合には、それをユーザに通知する構成とすることもできる。また、診断部４１Ｃは、新たな被害をもたらした現象等についてその不正シグネチャ等をアタック／ウィルスデータベース４２１に保存する（ステップＳ２７）。このデータベース４２１に保存された新たな情報は、例えば通信回線を介して他のネットワークにおけるセキュリティを管理する情報提供装置や予防システムに提供されることができ、予防対策を迅速に講じるための情報として使用され得る。
【００５０】
回復システム５により行われる修復には、例えば被害を受けてレジスタ等の設定値が変更された場合に、被害を受ける前の正常な状態（例えばデフォルト値）に戻すような処理が含まれる。また、パッチの未適用部分が判断された場合は、その部分に対しては新たにパッチ適用を行う処理も含まれる。更には、被害を受けた或いは被害の原因となるファイルを削除したり、システムを再起動すること、また、バックアップファイルを用いてもとの状態に戻す（再インストールする）ようなことも行い得る。
【００５１】
なお、被害に拡散性がないと判断された場合（ステップＳ２４、ＮＯ）には、その修復或いはその表示のため、診断部４１Ｃは離隔／解除／修復指示部（予防実行部）４４Ｃにその被害情報を送出し（ステップＳ２８）、離隔／解除／修復指示部４４Ｃは修復指示を回復システム５に送信する。回復システム５は被害の修復を行える場合は、その修復を行う。また、ネットワークマシン２の所有者側に通知を行い、その旨を知らせる。
【００５２】
図９は異常の有無を判断することで被害の有無を判断するための動作をより詳細に示すための図である。例えば、既知のウィルスによる場合は、アタック／ウィルスデータベース４２１に格納されている情報と通信ログ４３ａとから通信内容の異常を判断できる。図９の場合は、例えば不正シグネチャとして“ｘｘｘ”が通信内容４３ａ−２におけるマシン名「Ｓｒｖ０１」のマシンに表れている。これにより、当該マシンがウィルスによる被害を受けていると判断することができる。また、この通信内容の履歴により、被害を受けているマシンが時間と共に増えている場合は拡散性があるものと判断できる。さらに、既知でないウィルス等による被害については、やはり、通信内容の履歴をマシンプロファイルデータベース４２２に格納されている正常通信プロファイルと照合することにより、正常通信プロファイルと異なる履歴が観察される場合に、何らかの被害を受けていると判断することもできる。この判断基準は、例えば所定期間においてなされた全ての通信（送信）における各接続先アドレスの配分比率４３ａ−１と、正常なプロファイルにおけるその配分比率４２２との差異を定量化する規定を作成し、その差異が所定値よりも大きくなったときに異常を判断するようにして定めることができる。
【００５３】
図９においては、これらの配分比率が異なっているため、その比較の対象となったマシンに異常が発生していると判断することができる。また、通信内容の履歴より、そのような異常を有するマシンが増えていると判断されるとその被害は拡散性を有すると判断できるため、そのマシンに対する離隔情報が診断部より送出される。この離隔情報には、例えば当該マシン若しくはそのマシンを含むネットワークセグメントからの全ての送信を遮断する完全遮断モードと、不正シグネチャだけを抑えるドロップモードと、通信量を制限する通信量制限モードとが用意されている。
【００５４】
このようにして、実施の形態３においては、既知のアタック（バックドア）、ウィルスのネットワーク（マシン）への攻撃のみならず、未知の攻撃からもネットワーク（マシン）への攻撃に対する防御を行うことができる。また、未知の攻撃に対して取得された情報を他のネットワークにおけるセキュリティシステムでも使用可能とすることができる。
【００５５】
なお、実施の形態３においては、離隔／解除／修復指示部４４Ｃが図２に示した予防実行部４４を構成している。
【００５６】
実施の形態４．
図１１は実施の形態４を示すブロック構成図、図１２は実施の形態４の動作を示すフローチャートである。
実施の形態４は、新たなネットワークマシン２が接続される場合について説明する。
実施の形態４においては、セキュリティ管理対象となるネットワークに新たなネットワークマシン２が接続されると、当該ネットワークマシン２の付与予定ＩＰアドレスや当該ネットワークマシン２のＭＡＣアドレスによって、とりあえず、そのネットワークマシン２を含むネットワークが最も小さいセグメントで離隔される。しかる後に当該マシン２にＩＰアドレスが与えられる。そして、そのマシンに対しての予防が実行され、若しくは安全性が確認され、ネットワークにおけるそのマシン２の安全性が確保された後、当該マシン２の離隔が解除されるようにしたものである。
【００５７】
すなわち、予防システム４Ｄは、新たなネットワークマシン２がネットワークに設置されると、その接続要求を受け付ける接続要求受付部４５を備え、接続要求がなされると（ステップＳ３１）、診断部４１Ｄは離隔／解除指示部４４Ｄを介して回復システム５により離隔を実行する（ステップＳ３２）。回復システム５は新たなネットワークマシン２が管轄下となる、図４に示したいずれかの離隔装置を動作させて離隔を行う。離隔が実行されると、診断部４１Ｄは、そのマシンのＩＰアドレスやマックアドレスを付与する（ステップＳ３３）。ＩＰアドレス等が付与されると、診断部４１Ｄは、情報提供装置３Ｄからセキュリティ情報３ｄとして、セキュリティホール情報やパッチ関連情報を取得し（ステップＳ３４）、また、ネットワークマシン２からマシン情報２ｄを取得し（ステップＳ３５）、安全性を確保する。
【００５８】
この動作は、実施の形態１や実施の形態２で示したものと同じである。即ち、マシン情報に情報提供装置から得られるセキュリティホール情報やパッチ関連情報に該当するものがあれば（ステップＳ３６、ＹＥＳ）、フィルタリングデータベース（図１の４２Ａ）やパッチ適用データベース（図６の４２Ｂ）を検索し、適宜フィルタリングルールを作成したり、パッチ適用を行うよう動作し、その予防を行う（ステップＳ３７）。このようにして、新たなネットワークマシンの安全性が確保されると、或いは当該マシンがセキュリティホール情報やパッチ関連情報に該当することが無く、安全性を確保する必要性がないと判断された場合（ステップＳ３６、ＮＯ）は、その時点で離隔／解除指示部４４Ｄにより離隔解除指示を出させ（ステップＳ３８）、回復システム５により離隔動作をさせていた離隔装置の離隔動作を解除させる。
【００５９】
実施の形態４においては、離隔／解除指示部４４Ｄが図２に示した予防実行部４４を構成している。
【００６０】
実施の形態５．
図１３は実施の形態５を示すブロック構成図、図１４は実施の形態５の動作を示すフローチャートである。
実施の形態５は、接続されようとするネットワークマシン２Ｅに、例えばブロードキャストを利用するなど、ＩＰアドレスがない状態でマシン情報を送信する機能がインストールされている場合について説明する。
【００６１】
実施の形態５においては、当該新たなネットワークマシン２Ｅがセキュリティ管理対象のネットワークに接続された場合に、予防システム４Ｅは、当該マシン２Ｅからマシン情報を取得し、情報提供装置３Ｅからセキュリティ情報（セキュリティホール情報、パッチ関連情報等）をダウンロードし、予防の必要性の有無を判断する。そして、予防の必要性が無いと判断された場合に、初めてＩＰアドレスを付与し、当該ネットワークマシンの接続を許可する。
【００６２】
即ち、予防システム４Ｅは、接続要求受付部４５と接続可否指示部４６とを備え、接続要求受付部４５がネットワークマシン２Ｅからの接続要求を受け付ける（ステップＳ４０）と共に、診断部４１Ｅがネットワークマシン２Ｅからのマシン情報２ｅを取得すると（ステップＳ４１）、診断部４１Ｅは、情報提供装置３Ｅからセキュリティ情報３ｅを取得し（ステップＳ４２）、マシン情報２ｅと比較する。そして安全性が高く予防の必要性なしと判断された場合（ステップＳ４３、ＮＯ）、初めてＩＰアドレスを付与する（ステップＳ４４）。
【００６３】
一方、安全性が高くなく、予防の必要性があると判断された場合（ステップＳ４３，ＹＥＳ）は、ＩＰアドレスは付与されない（ステップＳ４５）。なお、この場合は、実施の形態４の動作に移ることにより、予防処理が行われてＩＰアドレスが付与される。
【００６４】
なお、この場合のネットワークマシン２Ｅの構成は、ネットワークに接続されたことを判断する接続判断部２１と、接続判断部２１により接続が判断された場合に、自己の情報をマシン情報として収集して取得するマシン情報取得部２２と、マシン情報取得部２２により取得された情報を接続要求と共に予防システム４Ｅ（診断部４１Ｅ）に送信するマシン情報送信部２３とを備えて構成される。
このように、実施の形態５では、ネットワークマシンにＩＰアドレスがない状態でマシン情報を送信する機能がインストールされている場合には、その安全性を確保した後でＩＰアドレス等を付与して接続を許可することでネットワークの安全性が確保される。
【００６５】
実施の形態５においては、接続可否指示部４６が図２に示した予防実行部４４を構成している。
【００６６】
実施の形態６．
図１５は実施の形態６を示すブロック構成図、図１６は実施の形態６の動作を示すフローチャートである。
実施の形態６は、ネットワークマシン２の構成が変更された場合に、その変更が行われたこと機器構成変更通知として送信する機能が当該ネットワークマシンにインストールされている場合について説明する。
【００６７】
このようなネットワークマシン２Ｆにおいてその構成変更が行われると、ネットワークマシン２Ｆは、機器構成変更通知を診断部４１Ｆに送信する（ステップＳ５０）。診断部４１Ｆでは、その機器構成変更通知を受けるとネットワークマシン２Ｆから機器を構成する情報として機器構成情報２ｆを受け取ると共に、ネットワーク内のマシンにおいて使用許可されている機器構成（部品を含む）について、予め登録されている機器構成データベース４２Ｆからその構成情報を読出し（ステップＳ５１）、比較照合して使用許可されている機器構成であるか否かを検証する（ステップＳ５２）。
【００６８】
許可されている構成であれば、そのまま離隔することなく、処理を終了する。一方、許可されていない構成が含まれている場合は、離隔を行う（ステップＳ５３）。この離隔処理は例えば、離隔／解除指示部４４Ｆを介して回復システム５Ｆに離隔処理を行うように通知することで行われる。なお、本実施の形態では、許可された機器構成でないことが判断された時点で離隔を行うようにしたが、機器構成変更通知があった時点（ステップＳ５０）において直ちに離隔を行い、許可された構成であることが判断された（ステップＳ５２）後に、離隔を解除する構成としても良い。
【００６９】
実施の形態６によれば、ネットワークマシンの構成変更により生じる被害を予防することができる。なお、機器構成情報２ｆには、例えば、マシン名、ＤＶＤ／ＣＤ−ＲＯＭ、ネットワークアダプタ、フレキシブルディスク、ＰＳ／２マウス、ＵＳＢフラッシュメモリ等が含まれている。また、ここでの構成変更には、構成部品の追加のみならず、取り外す場合も含まれる。
【００７０】
実施の形態６においては、離隔／解除指示部４４Ｆが図２に示した予防実行部４４を構成している。
【００７１】
実施の形態７．
図１８は本発明の実施の形態７として、各システムの第１の配属構成を示している。
図１８に示す例では、情報サービス提供者（情報提供装置３を有する者）７０が予防システム４と回復システム５を有し、管理サービス提供者７１と一体になっている。情報サービス提供者７０は顧客ネットワーク７２からシステム情報（顧客のネットワークの情報）１０を取得し、独自のセキュリティ情報を用いて顧客ネットワーク７２毎にパッチおよびフィルタリングルール３０を提供する。
【００７２】
実施の形態８．
図１９は本発明の実施の形態８として、各システムの第２の配属構成を示している。
図１９に示す例では、情報サービス提供者７０が予防システム４を有し、管理サービス提供者７１が回復システム５を有する。管理サービス提供者７１は顧客ネットワーク７２からシステム情報（顧客ネットワークの情報）１０Ａを取得し、フィルタリングルール及びパッチ３０が必要なシステム情報１０Ｂだけを情報サービス提供者７０に送信する。情報サービス提供者７０は、独自のセキュリティ情報を用いて顧客ネットワーク７２毎にパッチおよびフィルタリングルール３０を作成し、管理サービス提供者７１に送信し，当該管理サービス提供者７１が顧客ネットワーク７２に当該パッチおよびフィルタリングルールを提供する。
【００７３】
実施の形態９．
図２０は本発明の実施の形態９として、各システムの第３の配属構成を示している。
図２０に示す例では、情報サービス提供者７０はセキュリティ情報３０Ａを送信するだけで、管理サービス提供者７１が予防システム４および回復システム５を有する。管理サービス提供者７１は情報サービス提供者７０からセキュリティ情報３０Ａをダウンロードし、顧客ネットワーク７２からシステム情報（顧客ネットワークの情報）１０Ａを取得し、顧客ネットワーク７２毎にパッチおよびフィルタリングルール３０を作成し、顧客ネットワーク７２に当該パッチおよびフィルタリングルール３０を提供する。
【００７４】
実施の形態１０．
図２１は本発明の実施の形態１０として、各システムの第４の配属構成を示している。
図２１に示す例では、１つの管理サービス提供者７１が４つの情報サービス提供者７０からセキュリティ情報Ｉ２を取得し、被害を受けた顧客ネットワークＡの回復を行う。更に、当該管理サービス提供者７１が当該顧客ネットワークＡから被害に関する情報Ｉ１を取得し、当該情報Ｉ１を元にその他３つの顧客ネットワーク１（Ｂ〜Ｄ）の予防に役立てる（被害情報、対策情報をフィードバックすることができる）。また、当該被害に関する情報を４つの情報サービス提供者７０（Ａ〜Ｄ）に送信する。
【００７５】
以上に詳述したように、本発明の実施の形態によれば、予防システム、回復システムおよび情報提供装置が連携することにより、万が一被害を受けても被害範囲の同定を容易に行うことができる。また、回復システム（診断部）により被害離隔および修復が行われ、被害を最小限に抑えると共に、所定の被害については自動的に且つ迅速に修復することが可能となる。またそこで得た被害に関する情報を蓄積し再利用することができるので、同じ被害が異なる場所で生じないようにすることもできる。さらに、単にパッチ適用を行うだけでなく、その後パッチを適用した対象マシンに対して動作確認を自動で行い、パッチ適用を行ったマシンの動作がパッチ適用前と変っていないことをも検証でき、セキュリティ対策として極めて役立ち得るものである。更に、顧客ネットワークに対し、数多くの情報サービス提供者が提供する情報を整理して提供することができ、顧客側にとっては、情報処理の煩雑さが軽減される。
【００７６】
（付記１）ネットワークにおけるセキュリティに関する情報を提供するセキュリティ情報提供部から取得されるセキュリティ情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部と、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行部とを備えてなるセキュリティ管理装置。
（付記２）付記１に記載のセキュリティ管理装置において、
前記セキュリティ診断部は、さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断することを特徴とするセキュリティ管理装置。
（付記３）付記２に記載のセキュリティ管理装置において、
前記マシン関連情報記憶部に記憶されたマシン関連情報は、セキュリティポリシーについて規定した情報であることを特徴とするセキュリティ管理装置。
（付記４）付記３に記載のセキュリティ管理装置において、
前記セキュリティポリシーは、所定のマシン情報についてのフィルタリング防御又は通信制御について規定し、前記セキュリティ実行部はフィルタリング処理又は通信制御を実行することを特徴とするセキュリティ管理装置。
（付記５）付記３に記載のセキュリティ管理装置において、
前記セキュリティポリシーは、所定のプログラムについてのパッチ適用又はワクチン投与について規定し、前記セキュリティ実行部は前記所定のプログラムにパッチ適用処理又はワクチン投与処理を実行することを特徴とするセキュリティ管理装置。
（付記６）付記５に記載のセキュリティ管理装置において、
前記セキュリティ実行部によるセキュリティ対策処理が実行された場合に、その実行結果における前記ネットワークマシン若しくはネットワークにおける動作確認が行われることを特徴とするセキュリティ管理装置。
（付記７）付記５に記載のセキュリティ管理装置において、
前記セキュリティ実行部によるセキュリティ対策処理が実行された場合において、そのセキュリティ対象についてフィルタリングルールが設定されている場合は、そのルールの削除が行われることを特徴とするセキュリティ管理装置。
（付記８）付記１又は付記２に記載のセキュリティ管理装置において、
さらに新規に導入されるネットワークマシンからの接続要求を受け付ける接続要求受付部を備え、前記セキュリティ診断部は、前記接続要求受付部により新規ネットワークマシンからの接続要求を受け付けた場合に、前記マシンを離隔状態として該ネットワークマシンにアドレスを与え、前記マシン情報と前記セキュリティ情報とに基づいて、前記セキュリティ関連処理として前記ネットワークマシンに対する離隔解除を行うか否かを判断することを特徴とするセキュリティ管理装置。
（付記９）付記１又は付記２に記載のセキュリティ管理装置において、
さらに新規に導入されるネットワークマシンからの接続要求を受け付ける接続要求受付部を備え、前記セキュリティ診断部は、前記接続要求受付部により新規ネットワークマシンからの接続要求を受け付けると共に、前記ネットワークマシンからマシン情報を受け付けると、該マシン情報と前記セキュリティ情報とに基づいて、前記セキュリティ関連処理として前記ネットワークマシンに対するアドレス付与の可否を判断することを特徴とするセキュリティ管理装置。
（付記１０）ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報と、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部と、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行部とを備えてなるセキュリティ管理装置。
（付記１１）付記１０に記載のセキュリティ管理装置において、
前記マシン関連情報は、コンピュータウィルスの挙動内容を示す情報を含み、前記マシン情報には所定のファイルのハッシュ値、ウィルススキャン結果の少なくともいずれか一つを含み、
前記セキュリティ診断部は、所定のネットワークマシンについて、離隔する必要性の有無を判断し、前記セキュリティ実行部は前記セキュリティ診断部により前記ネットワークマシンを離隔する必要性があると判断された場合には、前記ネットワークマシンを離隔するための処理を行うことを特徴とするセキュリティ管理装置。
（付記１２）付記１０に記載のセキュリティ管理装置において、
前記ネットワークマシンの通信を監視するネットワーク監視部を備え、
前記マシン関連情報は、ネットワークマシンのプロファイルに関する情報であり、
前記セキュリティ診断部は、前記ネットワーク監視部からの監視情報と前記マシン情報と前記ネットワークマシンのプロファイルに関する情報とに基づいて、所定のネットワークマシンについて、離隔する必要性の有無を判断し、
前記セキュリティ実行部は前記セキュリティ診断部により前記ネットワークマシンを離隔する必要性があると判断した場合には、前記ネットワークマシンを離するための処理を行うことを特徴とするセキュリティ管理装置。
（付記１３）付記１０乃至付記１２のいずれかに記載のセキュリティ管理装置において、
前記セキュリティ診断部は、被害範囲の同定を行い、離隔範囲を定めることを特徴とするセキュリティ管理装置。
（付記１４）付記１０乃至付記１３のいずれかに記載のセキュリティ管理装置において、
前記セキュリティ診断部の診断結果に基づき、所定の被害を受けたネットワークマシン若しくはネットワークに対して修復を行うための修復部が備えられていることを特徴とするセキュリティ管理装置。
（付記１５）付記１０乃至付記１４のいずれかに記載のセキュリティ管理装置において、
被害修復が行われた場合、離隔を解除する離隔解除部が備えられていることを特徴とするセキュリティ管理装置。
（付記１６）付記１０に記載のセキュリティ管理装置において、
前記マシン情報は、機器構成の変更の通知と、少なくともその変更される機器構成の情報を含み、前記マシン関連情報は、前記ネットワークにおいて使用の可否を規定した機器構成情報を含むことを特徴とするセキュリティ管理装置。
（付記１７）付記１６に記載のセキュリティ管理装置において、
前記セキュリティ診断部は、前記ネットワークマシンの離隔のに必要性について判断し、セキュリティ実行部は前記セキュリティ診断部の判断結果に基づいて前記ネットワークマシンを離隔するための処理を行うことを特徴とするセキュリティ管理装置。
（付記１８）ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、
前記セキュリティ情報提供部から得られるセキュリティ情報と、前記マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、
前記予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムと
を備えてなるセキュリティ管理システム。
（付記１９）付記１８に記載のセキュリティ管理システムにおいて、
前記予防システム又は前記回復システムは複数設けられ、これらシステムを統括的に管理する管理センタが設けられていることを特徴とするセキュリティ管理システム。
（付記２０）付記１８に記載のセキュリティ管理システムにおいて、
前記予防システム又は前記回復システムは複数設けられ、これら複数のシステムのそれぞれで取得された情報が互いに共有されることを特徴とするセキュリティ管理システム。
（付記２１）付記１８乃至付記２０のいずれかに記載のセキュリティ管理システムにおいて、
前記セキュリティ情報提供部の所有者側に前記予防システム及び前記回復システムが設けられていることを特徴とするセキュリティ管理システム。
（付記２２）付記１８乃至付記２０のいずれかに記載のセキュリティ管理システムにおいて、
前記セキュリティ情報提供部の所有者側に前記予防システムが設けられ、管理サービスを提供する管理サービス提供者側に前記回復システムが設けられることを特徴とするセキュリティ管理システム。
（付記２３）付記１８乃至付記２０のいずれかに記載のセキュリティ管理システムにおいて、
管理サービスを提供する管理サービス提供者側に前記予防システム及び前記回復システムが設けられることを特徴とするセキュリティ管理システム。
（付記２４）付記１８乃至付記２３のいずれかに記載のセキュリティ管理システムにおいて、
前記回復システムにおいて取得された所定の情報が新たなセキュリティ情報として、前記予防システムにフィードバックされることを特徴とするセキュリティ管理システム。
（付記２５）ネットワークにおけるセキュリティに関するセキュリティ情報を取得するセキュリティ情報取得ステップと、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記セキュリティ情報及び前記マシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断ステップによる診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行ステップと
を備えてなるセキュリティ管理方法。
（付記２６）付記２５に記載のセキュリティ管理方法において、
さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報を取得するマシン関連情報取得ステップを備え、
前記セキュリティ診断ステップでは、前記セキュリティ情報及び前記マシン情報とともに、前記マシン関連情報に基づいて、前記セキュリティ診断を行うことを特徴とするセキュリティ管理方法。
（付記２７）ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部からマシン関連情報を取得するマシン関連情報取得ステップと、
前記マシン情報とマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行ステップと
を備えてなるセキュリティ管理方法。
（付記２８）セキュリティ管理をコンピュータに実行させるセキュリティ管理プログラムであって、
ネットワークにおけるセキュリティに関するセキュリティ情報を取得するセキュリティ情報取得ステップと、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記セキュリティ情報及び前記マシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断ステップによる診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行ステップと
をコンピュータに実行させるセキュリティ管理プログラム。
（付記２９）付記２８に記載のセキュリティ管理プログラムにおいて、
さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報を取得するマシン関連情報取得ステップを備え、
前記セキュリティ診断ステップでは、前記セキュリティ情報及び前記マシン情報とともに、前記マシン関連情報に基づいて、前記セキュリティ診断を行うことをコンピュータに実行させるセキュリティ管理プログラム。
（付記３０）セキュリティ管理をコンピュータに実行させるセキュリティ管理プログラムであって、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部からマシン関連情報を取得するマシン関連情報取得ステップと、
前記マシン情報とマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行ステップと
をコンピュータに実行させるセキュリティ管理プログラム。
【００７７】
【発明の効果】
以上に詳述したように、本発明によれば、ネットワークを構成するネットワークマシンからマシン情報を取得し、このマシン情報を参照しつつ種々のセキュリティ対策を講じることができ、もって柔軟性に優れ、幅広く適用することが可能なセキュリティ管理装置、セキュリティ管理システム、セキュリティ管理方法、セキュリティ管理プログラムを提供することができるという効果を奏する。
【図面の簡単な説明】
【図１】本発明の実施の形態におけるセキュリティ管理システムの全体構成を原理的に示すブロック図である。
【図２】本発明の実施の形態の全体構成を示すブロック図である。
【図３】本発明の実施の形態１を示すブロック図でである。
【図４】セキュリティ管理が実施されるネットワークを示すブロック図である。
【図５】実施の形態１の動作を示すフローチャートである。
【図６】本発明の実施の形態２を示すブロック図である。
【図７】本発明の実施の形態２の動作を示すフローチャートである。
【図８】本発明の実施の形態３を示すブロック図である。
【図９】本発明の実施の形態３において、被害の有無を判断する動作を示す概念図である。
【図１０】本発明の実施の形態３の動作を示すフローチャートである。
【図１１】実施の形態４を示すブロック図である。
【図１２】本発明の実施の形態４の動作を示すフローチャートである。
【図１３】本発明の実施の形態５を示すブロック図である。
【図１４】本発明の実施の形態５の動作を示すフローチャートである。
【図１５】本発明の実施の形態６を示すブロック図である。
【図１６】本発明の実施の形態６の動作を示すフローチャートである。
【図１７】本発明の実施の形態におけるマシン情報の一例を示す図である。
【図１８】本発明の実施の形態７として、各システムの第１の配属構成を示す図である。
【図１９】本発明の実施の形態８として、各システムの第２の配属構成を示す図である。
【図２０】本発明の実施の形態９として、各システムの第３の配属構成を示す図である。
【図２１】本発明の実施の形態１０として、各システムの第４の配属構成を示す図である。
【符号の説明】
１  ネットワーク、２  ネットワークマシン、３  情報提供装置、４  予防システム、５  回復システム、４１  診断部、４２  各種データベース、４３  ネットワーク監視装置、４４  予防実行部、７０  情報サービス提供者、７１  管理サービス提供者、７２  顧客ネットワーク、４１１  情報取得部、４１２  情報検索／比較部、４１３  判定部。
【図１】
2004258777.tif 000003
【図２】
2004258777.tif 000004
【図３】
2004258777.tif 000005
【図４】
2004258777.tif 000006
【図５】
2004258777.tif 000007
【図６】
2004258777.tif 000008
【図７】
2004258777.tif 000009
【図８】
2004258777.tif 000010
【図９】
2004258777.tif 000011
【図１０】
2004258777.tif 000012
【図１１】
2004258777.tif 000013
【図１２】
2004258777.tif 000014
【図１３】
2004258777.tif 000015
【図１４】
2004258777.tif 000016
【図１５】
2004258777.tif 000017
【図１６】
2004258777.tif 000018
【図１７】
2004258777.tif 000019
【図１８】
2004258777.tif 000020
【図１９】
2004258777.tif 000021
【図２０】
2004258777.tif 000022
【図２１】
2004258777.tif 000023