(57)【要約】      （修正有）【課題】クライアントサーバシステムにおいて、ネットワークに接続するクライアントのセキュリティ管理を、クライアントのみに任せるのではなく、ネットワーク全体で管理するシステムを提供する。【解決手段】ネットワークに接続され、通信相手を識別するための識別番号を、クライアントに割当て、前記クライアントのセキュリティホールの有無をデータベースに記憶する、アドレス付与サーバを具備する。アドレス付与サーバは、前記識別番号を割当てられていないクライアントからの、識別番号割当て要求を受信し、前記要求に応答して、前記データベースを検索し、その結果、前記クライアントがセキュリティホールを有する場合、または、前記識別番号割当て要求を送信したクライアントのセキュリティホールの有無が不明な場合、前記クライアントを、前記ネットワーク上で、論理的に閉鎖されたセグメント内に収容するための識別番号を割当てる。【選択図】        図１
2004289260.tif 000002
【特許請求の範囲】
【請求項１】
クライアントサーバシステムを用いて構築されたコンピュータ通信ネットワークであって、
前記ネットワークに接続され、前記ネットワーク上で通信相手を識別するための識別番号を、前記ネットワークに接続されたクライアントに割当てし、前記クライアントのセキュリティホールの有無をデータベースに記憶する、アドレス付与サーバを具備し、
前記アドレス付与サーバは、前記識別番号を割当てられていないクライアントからの、識別番号割当て要求を受信し、前記要求に応答して、前記データベースを検索し、
前記検索の結果、前記クライアントがセキュリティホールを有する場合、または、前記識別番号割当て要求を送信したクライアントのセキュリティホールの有無が不明な場合、前記クライアントを、前記ネットワーク上で、論理的に閉鎖されたセグメント内に収容するための識別番号を割当てる
ネットワーク。
【請求項２】
クライアントサーバシステムを用いて構築されたコンピュータ通信ネットワークであって、
前記ネットワークに接続され、前記ネットワーク上で通信相手を識別するための識別番号を、前記ネットワークに接続されたクライアントに割当てし、前記クライアントのセキュリティホールの有無をデータベースに記憶する、アドレス付与サーバと、前記アドレス付与サーバは、前記識別番号を割当てられていないクライアントからの、識別番号割当て要求を受信し、前記要求に応答して、前記データベースを検索し、
前記ネットワークに接続され、前記ネットワークを介して受信するパケットに含まれる情報から、前記パケットの送信元のセキュリティホールの有無を解析し、前記解析の結果を前記アドレス付与サーバに通知する、安全性検査サーバ、
を具備し、
前記安全性検査サーバは、前記ネットワーク上で、論理的に閉鎖されたセグメント内に収容され、
前記アドレス付与サーバは、前記識別番号割当て要求を送信したクライアントのセキュリティホールの有無が不明な場合、前記クライアントを、前記安全性検査サーバと同じセグメントに収容するための識別番号を割当てし、
前記クライアントは、前記識別番号を使用して前記ネットワークに接続し、前記安全性検査サーバにパケットを送信し、
前記安全性検査サーバは、前記パケットを解析し、前記解析の結果を前記アドレス付与サーバに通知し、
前記アドレス付与サーバは、前記通知の内容に基づいてデータベース内の前記クライアントのセキュリティホールの有無を記憶する
ネットワーク。
【請求項３】
請求項１または２に記載のネットワークにおいて、
前記アドレス付与サーバは、前記識別番号に有効時間を設定し、
前記クライアントは、前記有効時間が満了すると、再度識別番号割当て要求を送信する
ネットワーク。
【請求項４】
請求項１から３の何れか１項に記載のネットワークにおいて、
前記アドレス付与サーバは、新しいセキュリティホールに関する情報を受信すると、前記情報に基づいて、前記データベースに記憶された全てのクライアントが、セキュリティホールを有する状態であるように、前記データベースを更新する
ネットワーク。
【請求項５】
請求項１から４の何れか１項に記載のネットワークにおいて、
前記アドレス付与サーバは、前記クライアントにセキュリティホールがない場合、通常のネットワーク接続用識別番号を与える
ネットワーク。
【請求項６】
コンピュータネットワークを実行する方法をコンピュータにより実行するためのプログラムであって、
前記ネットワーク上で通信相手を識別するための識別番号を、前記ネットワークに接続されたクライアントに割当てるステップと、
前記クライアントのセキュリティホールの有無をデータベースに記憶するステップと、
前記識別番号を割当てられていないクライアントからの、識別番号割当て要求を受信するステップと、
前記要求に応答して、前記データベースを検索するステップと、
前記検索の結果、前記クライアントがセキュリティホールを有する場合、または、前記識別番号割当て要求を送信したクライアントのセキュリティホールの有無が不明な場合、前記クライアントを、前記ネットワーク上で、論理的に閉鎖されたセグメント内に収容するための識別番号を割当てるステップ
を具備する方法をコンピュータにより実行するためのプログラム。
【請求項７】
コンピュータネットワークを実行する方法をコンピュータにより実行するためのプログラムであって
、前記ネットワーク上で通信相手を識別するための識別番号を、前記ネットワークに接続されたクライアントに割当てるステップと、
前記クライアントのセキュリティホールの有無をデータベースに記憶するステップと、
前記識別番号を割当てられていないクライアントからの、識別番号割当て要求を受信するステップと、
前記要求に応答して、前記データベースを検索するステップと、
前記ネットワークを介して受信するパケットに含まれる情報から、前記パケットの送信元のセキュリティホールの有無を解析するステップと、
前記解析の結果を前記アドレス付与サーバに通知するステップと、
前記識別番号割当て要求を送信したクライアントのセキュリティホールの有無が不明な場合、前記クライアントを、論理的に閉鎖されたセグメントに収容するための識別番号を割当てるステップと、
前記クライアントは、前記識別番号を使用して前記ネットワークに接続し、
前記安全性検査サーバにパケットを送信するステップと、
前記パケットを解析するステップと、
前記解析の結果を前記アドレス付与サーバに通知するステップと、
前記通知の内容に基づいてデータベース内の前記クライアントのセキュリティホールの有無を記憶するステップと、
を具備する方法をコンピュータにより実行するためのプログラム。
【請求項８】
請求項６または７に記載のプログラムにおいて、
前記識別番号に有効時間を設定するステップと、
前記有効時間が満了すると、再度識別番号割当て要求を送信するステップ
を具備する方法をコンピュータにより実行するためのプログラム。
【請求項９】
請求項６から８の何れか１項に記載のプログラムにおいて、
新しいセキュリティホールに関する情報を受信するステップと
前記情報に基づいて、前記データベースに記憶された全てのクライアントが、セキュリティホールを有する状態であるように、前記データベースを更新するステップ
を具備する方法をコンピュータにより実行するためのプログラム。
【請求項１０】
請求項６から９の何れか１項に記載のプログラムにおいて、
前記クライアントにセキュリティホールが無い場合、通常のネットワーク接続用識別番号を与えるステップ
を具備する方法をコンピュータにより実行するためのプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、クライアントサーバシステムネットワークにおける、動的アドレス付与サーバを利用したクライアントの安全性検診に関する。
【０００２】
【従来の技術】
従来、動的にＩＰアドレスを付与するサーバを利用したネットワークシステムとしては、動的アドレス付与サーバ、クライアント、ＬＡＮ、ルータ、ＨＵＢ、から構成された、図１２に示すようなネットワークシステムが知られている。
【０００３】
このようなネットワークシステムのネットワークプロトコルは、主にＤＨＣＰが用いられ、クライアントがネットワークに接続しようとする場合、次のような接続動作をする。
【０００４】
ＨＵＢに接続されたクライアントは、動的アドレス付与サーバに対して、ＬＡＮ内で情報通信するためにＩＰアドレスを含めたＴＣＰ／ＩＰ構成パラメータを要求する。この要求に対して、動的アドレス付与サーバは、クライアントが使用するべきＩＰアドレスと、ＤＨＣＰオプションパラメータ（サブネットマスクやＤＮＳサーバのＩＰアドレスなど）を含むパケットを返信する。
【０００５】
クライアントはサーバから提供されたＩＰアドレスや、ＤＨＣＰオプションパラメータに基づいて、ＴＣＰ／ＩＰを構成し、ＬＡＮに接続された他のマシンとの通信や、ルータを経由してのインターネットへのアクセスが可能になる。
【０００６】
このようなネットワークシステムでは、クライアント側は、ＩＰアドレスを含むネットワークの環境設定を行わなくても自由にＬＡＮに接続できるので、ネットワークの知識を持たない一般ユーザーに対するコンピュータネットワークの普及に貢献してきた。
【０００７】
さらに、このようなネットワークシステムでは、クライアントの設定ミスによるネットワークの混乱などを防止することができ、また、ネットワーク管理者にとっても、ＩＰアドレスなどのネットワーク管理に費やす負担を減少させることができる。
【０００８】
その反面、このようなネットワーク環境下では、ノートパソコンのような、持ち運び可能なコンピュータを外部から持ちこみ、クライアントに使用した場合、クライアントからのＩＰアドレス付与要求に対して、即座にＬＡＮ内で通信可能なネットワーク設定を与えてしまっている。このため、他のＬＡＮでウィルスやワームに感染されたコンピュータも、自由にネットワーククライアントとして接続できてしまい、ウィルスやワームの被害を拡大してしまう可能性を含んでいる。
【０００９】
従来、ネットワーク上のセキュリティの監視診断を実施して、システムに潜む問題の原因を発見し、改善を提案するシステムが知られていた（例えば、特許文献１参照。）。また、ネットワークを介し送信されたパケットを解析し、そのパケットを送信したクライアントの安全性を検査するアプリケーションソフトウェアが知られている。（例えば、非特許文献１参照。）。
【００１０】
しかし、従来のネットワーク上のセキュリティの監視診断システムはネットワークに接続してあるクライアントを診断するものであり、既にウィルスやワームなどに感染したクライアントを、ＬＡＮに参加する以前に監視診断し、ウィルスやワームの被害を未然に防ぐことはできなかった。
【００１１】
さらに、従来のネットワークシステムでは、クライアントの安全性に対する対策や、ウィルス、ワームなどに対する防御は、クライアントの側のセキュリティ管理に依存してしまい、ＬＡＮに接続されたクライアントの安全性に対する対策状況や、ウィルスやワームなどに対する防御が、最新のセキュリティ情報を用いて行われているかを、外部から適切に検証する方法が存在しなかった。
【００１２】
ウィルスやワームの被害を未然に防止するネットワークシステムが望まれる。
【００１３】
さらに、ネットワークに接続するクライアントのセキュリティ管理を、クライアントの側のセキュリティ管理に依存するのではなく、ネットワーク全体で管理するシステムが望まれる。
【００１４】
【特許文献１】
特開２００２−１８５４５６号公報（図１）
【非特許文献１】
”Ｎｅｓｓｕｓ”、［ｏｎｌｉｎｅ］、［平成１５年３月１４日検索］、インターネット＜ＵＲＬ：ｈｔｔｐ：／／ｗｗｗ．ｎｅｓｓｕｓ．ｏｒｇ／＞
【００１５】
【発明が解決しようとする課題】
本発明が解決しようとする課題は、クライアントサーバシステムにおいて、ネットワークに接続するクライアントのセキュリティ管理を、クライアントのみに任せるのではなく、ネットワーク全体で管理するシステムを提供し、ウィルスやワームの被害の拡大を防止するネットワークシステムを提供することにある。
【００１６】
【課題を解決するための手段】
以下に、［発明の実施の形態］で使用される番号を用いて、課題を解決するための手段を説明する。これらの番号は、［特許請求の範囲］の記載と［発明の実施の形態］との対応関係を明らかにするために付加されたものである。ただし、それらの番号を、［特許請求の範囲］に記載されている発明の技術的範囲の解釈に用いてはならない。
【００１７】
クライアントサーバシステムを用いて構築されたコンピュータ通信ネットワークであって、前記ネットワークに接続され、前記ネットワーク上で通信相手を識別するための識別番号を、前記ネットワークに接続されたクライアント（３）に割当て、前記クライアント（３）のセキュリティホールの有無をデータベース（１１）に記憶する、アドレス付与サーバ（１）を具備する。
【００１８】
前記アドレス付与サーバ（１）は、前記識別番号を割当てられていないクライアント（３）からの、識別番号割当て要求を受信し、前記要求に応答して、前記データベース（１１）を検索し、前記検索の結果、前記クライアント（３）がセキュリティホールを有する場合、または、前記識別番号割当て要求を送信したクライアント（３）のセキュリティホールの有無が不明な場合、前記クライアント（３）を、前記ネットワーク上で、論理的に閉鎖されたセグメント（１３）内に収容するための識別番号を割当てる。
【００１９】
これによって、ネットワーク上の安全性に疑いのあるクライアントを、論理的に閉鎖されたセグメント（１３）に収容することができる。
【００２０】
さらに、クライアントサーバシステムを用いて構築されたコンピュータ通信ネットワークであって、前記ネットワークに接続され、前記ネットワーク上で通信相手を識別するための識別番号を、前記ネットワークに接続されたクライアント（３）に割当て、前記クライアント（３）のセキュリティホールの有無をデータベース（１１）に記憶する、アドレス付与サーバ（１）と、前記アドレス付与サーバ（１）は、前記識別番号を割当てられていないクライアント（３）からの、識別番号割当て要求を受信し、前記要求に応答して、前記データベース（１１）を検索し、前記ネットワークに接続され、前記ネットワークを介して受信するパケットに含まれる情報から、前記パケットの送信元のセキュリティホールの有無を解析し、前記解析の結果を前記アドレス付与サーバ（１）に通知する、安全性検査サーバ（２）、を具備する。
【００２１】
前記安全性検査サーバ（２）は、前記ネットワーク上で、論理的に閉鎖されたセグメント（１３）内に収容され、前記アドレス付与サーバ（１）は、前記識別番号割当て要求を送信したクライアント（３）のセキュリティホールの有無が不明な場合、前記クライアント（３）を、前記安全性検査サーバ（２）と同じセグメントに収容するための識別番号を割当てる。
【００２２】
前記クライアント（３）は、前記識別番号を使用して前記ネットワークに接続し、前記安全性検査サーバ（２）にパケットを送信し、前記安全性検査サーバ（２）は、前記パケットを解析し、前記解析の結果を前記アドレス付与サーバ（１）に通知し、前記アドレス付与サーバ（１）は、前記通知の内容に基づいてデータベース（１１）内の前記クライアント（３）のセキュリティホールの有無を記憶する。
【００２３】
これによって、ネットワーク上の安全性に疑いのあるクライアント（３）を、論理的に閉鎖された、安全性検査サーバ（２）と同じセグメント（１３）に収容することができ、安全性検査サーバ（２）は、安全性に疑いのあるクライアント（３）から送信されたパケットを解析し問題が無ければ、そのことをアドレス付与サーバ（１）に通知するので、ネットワーク全体の安全を保つことができる。
【００２４】
前記アドレス付与サーバ（１）は、前記識別番号に有効時間を設定し、前記クライアント（３）は、前記有効時間が満了すると、再度識別番号割当て要求を送信する。
【００２５】
これによって、論理的に閉鎖されたセグメント（１３）に収容されたクライアント（３）が、このセグメント（１３）内に収容されつづける事が無くなり、自身が持つネットワーク上の安全性の疑いが解決したクライアント（３）は、通常のネットワークに接続することができる。
【００２６】
前記アドレス付与サーバ（１）は、新しいセキュリティホールに関する情報を受信すると、前記情報に基づいて、前記データベース（１１）に記憶された全てのクライアント（３）が、セキュリティホールを有する状態であるように、前記データベース（１１）を更新する。
【００２７】
これによって、新たなセキュリティホールが発見された場合の対策を速やかにたてることができる。
【００２８】
前記アドレス付与サーバ（１）は、前記クライアント（３）にセキュリティホールがない場合、通常のネットワーク接続用識別番号（１４）を与える。
【００２９】
【発明の実施の形態】
（実施の構成）
図１を参照すると、本発明の「動的アドレス付与サーバを利用したクライアントの安全性検診システム」の実施の一形態は、ＬＡＮ６に接続を行うクライアント３、ＬＡＮ６に接続するためのポートを有するＨＵＢ４、クライアント３から要求されたＩＰアドレスを含めたＴＣＰ／ＩＰ構成パラメータを付与する動的アドレス付与サーバ１、クライアント３の安全性の調査を行う安全性検査サーバ２、ＬＡＮ６とインターネット７との接続点に設置されたルータ５とから構成される。
【００３０】
ＬＡＮ６は、本実施例のシステムを構成するためのローカルエリアネットワークである。本実施例においてＬＡＮ６は、ＨＵＢ４を使用する１００ＢＡＳＥ−ＴＸなどのローカルエリアネットワークを主体に述べているが、これは本発明の実施におけるＬＡＮ６の規格を限定するものではない。
【００３１】
ルータ５は、ＬＡＮ６とインターネットとを接続するネットワーク装置で、ＬＡＮ６とインターネットとの間で流れるパケットの通過に最適な経路を決定したり、適切なパケットのみを送信したりという制御を行う。
【００３２】
クライアント３は、パーソナルコンピュータなどの情報端末であり、ＬＡＮ６に接続されたクライアント３以外の他のネットワーク機器との情報通信を行い、さらに、ルータ５を経由してインターネットなどの外部ネットワークに接続し、外部ネットワーク上のネットワーク機器と情報通信を行う。
【００３３】
ＨＵＢ４は、ＬＡＮケーブルの集線装置であり、ＬＡＮ６とクライアント３の接続点に設置され、ネットワークの中継点としての役割を果たす。
【００３４】
動的アドレス付与サーバ１は、ＬＡＮ６内に接続する各クライアントのアドレス管理を動的に行うサーバである。動的アドレス付与サーバ１は、データベースを備え、クライアントの安全性に対する対策状況を、クライアントのＭＡＣアドレスに対応させて記憶する、付与アドレス管理テーブル１１を格納し、付与アドレス管理テーブル１１は、さらに、ＩＰアドレスの詳細な情報を蓄積する。
【００３５】
動的アドレス付与サーバ１は、ＬＡＮ６に接続されたクライアントから、動的アドレス付与要求を受ける。この要求を受け取った動的アドレス付与サーバ１は、動的アドレス付与要求を行ったクライアントのＭＡＣアドレスが、付与アドレス管理テーブル１１に登録されているかを検索する。この検索作業の結果に基づいて、適切なＩＰアドレスとネットワーク設定を、動的アドレス付与要求を行ったクライアントへ返信する。
【００３６】
安全性検査サーバ２は、ＬＡＮ６接続するクライアントまたはサーバの安全性を検査するサーバであり、その検査方法は次の２つである。
【００３７】
第一の検査方法は、クライアントから安全性検査サーバ２に送られてきたパケットの中身を調べて、そのパケットに安全性を利用した不正パケットが含まれていないかどうかを検査をする受動的検査である。
【００３８】
第二の検査方法は、安全性検査サーバ２が、対象となるクライアントに、検査用パケットを送信して、その返答を元に安全性の有無を検出する能動的検査である。
【００３９】
安全性検査サーバ２は、検査対象であるクライアントの安全性の有無を検査し、問題点を検出しなかったときは、動的アドレス付与サーバ１に対して、検査対象のクライアントのＭＡＣアドレスと、このクライアントの安全性に関する対策が完了している旨の情報を含むメッセージを送信する。
【００４０】
（実施の動作）
次に、図１から図７のブロック図、及び、図８と図９のフローチャートを用いて本実施例の全体の動作について説明する。
【００４１】
まず、ＬＡＮ６に接続を行うためにクライアント３とＨＵＢ４をＬＡＮケーブルで接続する（図１）。
【００４２】
クライアント３は、ＬＡＮ６に接続し、ＬＡＮ６で情報通信をするために必要な自分自身のＩＰアドレスを持っていない。さらに、デフォルトゲートウェイのＩＰアドレスや、ネームサーバのＩＰアドレスといったネットワーク設定の情報を持っていないので、動的アドレス付与サーバ１に対してアドレス付与の要求メッセージを送信する。
【００４３】
クライアント３からのアドレス付与の要求を受けた動的アドレス付与サーバ１は、まず、アドレス付与要求を送信したクライアント３のＭＡＣアドレスを、アドレス付与の要求メッセージを利用して読み出す（図８のステップＳ１０１）。
【００４４】
次に、動的アドレス付与サーバ１は、読み出したクライアント３のＭＡＣアドレスが付与アドレス管理テーブル１１に登録されているかを検索する（図８のステップＳ１０３）。
【００４５】
ステップＳ１０５において、動的アドレス付与サーバ１は、付与アドレス管理テーブル１１を検索した結果、クライアント３のＭＡＣアドレスが未登録の場合、ステップＳ１０７で、付与アドレス管理テーブル１１に動的アドレス付与要求を送信するクライアント３のＭＡＣアドレスを登録し、登録したＭＡＣアドレスに対応するセキュリティチェックの値を”ＮＧ”にして付与アドレス管理テーブル１１に登録する。
【００４６】
ステップＳ１０５において、付与アドレス管理テーブル１１を検索した結果、クライアント３のＭＡＣアドレスが登録されていた場合、ステップＳ１１１において、動的アドレス付与サーバ１は、クライアント３のＭＡＣアドレスに対応するセキュリティチェックの検索を行う。
【００４７】
ステップＳ１１３における検索の結果、クライアント３のＭＡＣアドレスは登録されているが、登録されたＭＡＣアドレスに対応するセキュリティチェックの値が”ＮＧ”の場合には、ステップＳ１１５において、動的アドレス付与サーバ１は、クライアント３のＩＰアドレスを、安全性検査サーバ２と同じセグメントに収容されるように設定する。
【００４８】
ステップＳ１１５におけるＩＰアドレス設定後、ステップＳ１１７において、動的アドレス付与サーバ１は、ステップＳ１１５で設定したクライアント３のＩＰアドレスのＴＴＬ（Ｔｉｍｅ  Ｔｏ  Ｌｉｖｅ：アドレス有効期間）の値を、短い値に設定する。図３の場合には３００秒。
【００４９】
ステップＳ１１９において、動的アドレス付与サーバ１は、クライアント３が収容されるセグメントのデフォルトゲートウェイとネームサーバのＩＰアドレスに、安全性検査サーバ２のＩＰアドレスを設定する。
【００５０】
ステップＳ１２７において、動的アドレス付与サーバ１は、ステップＳ１１５からステップＳ１１９で設定された、安全性検査サーバ２と同じセグメントに収容されるネットワーク設定情報を、クライアント３に送信する。
【００５１】
ステップＳ１２９において、動的アドレス付与サーバ１は、付与アドレス管理テーブル１１のクライアント３のＩＰアドレス、ステップＳ１１７において設定されたＴＴＬ情報を更新し、付与アドレス管理テーブル１１に登録する。
【００５２】
セキュリティチェックの値が”ＮＧ”だった場合における、動的アドレス付与サーバ１が、クライアント３へ返信するデータの一例を図３を用いて説明する。
ＩＰアドレス  →  安全性検査サーバ２と同一セグメント。図３の場合には１７２．２５．０．４。
ネットマスク  →  安全性検査サーバ２と同一セグメントとなるような値。図３の場合は２５５．２５５．２５５．０。
デフォルトゲートウェイ  →  安全性検査サーバ２をデフォルトゲートウェイとする。図３の場合は１７２．２５．０．２５４。
ネームサーバ  →  安全性検査サーバ２をネームサーバとする。図３の場合は１７２．２５．０．２５４。
【００５３】
ステップＳ１１５において、安全性検査サーバ２と同一セグメントに収容されたクライアント３は、デフォルトゲートウェイに設定された安全性検査サーバ２にパケット送信する。
【００５４】
安全性検査サーバ２はクライアント３のパケットを受信すると、そのパケットを解析して既知の安全性による不正パケットを送信していないかを検査する。  それと同時にクライアント３に対して安全性検査のための通信も行うことで、能動的に安全性検査を行う（図４）。
【００５５】
安全性検査サーバ２はクライアント３との間の送受信によってクライアント３の安全性検査を行い、その結果、クライアント３に既知の安全性が無いと判明したら、動的アドレス付与サーバ１に対してクライアント３の安全性検査完了のメッセージを送信する。この安全性検査完了メッセージの内容は、付与アドレス管理テーブル１１に登録する為のクライアント３のＭＡＣアドレスと、クライアント３のセキュリティチェックの値が含まれている。
【００５６】
セキュリティチェックの値は、クライアントに安全性が検出されなかったときには”ＧＯＯＤ”を、それ以外の場合には  ”ＮＧ”に設定する。
【００５７】
安全性検査サーバ２からの安全性検査完了メッセージを受信した動的アドレス付与サーバ１は、付与アドレス管理テーブル１１に登録されているクライアント３のレコードのセキュリティチェックの値を更新する（図５）。
【００５８】
ステップＳ１１３において、セキュリティチェックの値が”ＮＧ”の場合、ＴＴＬの値は非常に短い値になっているので（ステップＳ１１７）、クライアント３は短い間隔で動的アドレス付与サーバ１へＩＰアドレスやネットワーク設定を得るためのアドレス付与の再要求を行うことになる。
【００５９】
ステップＳ１１３において、付与アドレス管理テーブル１１に登録されたクライアント３のＭＡＣアドレスのセキュリティチェックの値が”ＧＯＯＤ”となっている場合、ステップＳ１２１において、動的アドレス付与サーバ１は、クライアント３へルータ５と同じセグメントへ収容されるようなネットワーク設定する。
【００６０】
ステップＳ１２７において、動的アドレス付与サーバ１は、ルータ５と同じセグメントに収容されるネットワーク設定情報を、クライアント３に送信した後、ステップＳ１２９において、付与アドレス管理テーブル１１の内容を更新する。このとき、ＴＴＬの値は十分長い値に設定する。図６の場合には８６４０００秒。
【００６１】
具体的に返信されるデータの一例を図６を用いて説明する。
ＩＰアドレス  →  ルータ５と同一セグメント。図６の場合には１７２．２５．６３．１０。
ネットマスク  →  ルータ５と同一セグメントとなるような値。図６の場合は  ２５５．２５５．２５５．０。
デフォルトゲートウェイ  →  ルータ５をデフォルトゲートウェイとする。図６の場合は  １７２．２５．６３．２５４。
ネームサーバ  →  適切なネームサーバのＩＰアドレスを設定する。
【００６２】
セキュリティチェックの値が”ＧＯＯＤ”のときに付与されるＩＰアドレス、ネットワーク設定によって、クライアント３はルータ５と同一セグメントに収容され、その結果、インターネット、またはＬＡＮ６内の他のクライアントとの間の通信が可能となる（図７）。
【００６３】
ステップＳ１２９において、動的アドレス付与サーバ１は、付与アドレス管理テーブル１１の内容を更新した後、登録したＴＴＬの満了を待ち、ＴＴＬが満了すると、クライアント３は、再びアドレスの付与の要求を動的アドレス付与サーバ１に送信する。
【００６４】
本実施例において、新たな安全性が発見された場合の動作を以下に説明する。
【００６５】
図１０を参照にすると、安全性検査サーバ２は新しい安全性に関する情報を得ると、安全性検査サーバ２の安全性データベース１２に記憶する安全性検査用ルールを更新する。自分の持つ安全性検査用ルールを更新した安全性検査サーバ２は、再度、ＬＡＮ６に接続されたクライアントの安全性検査を行うために、動的アドレス付与サーバ１に対して安全性検査完了のメッセージを送信する。
【００６６】
このとき安全性検査サーバ２は、送信する安全性検査完了のメッセージのＭＡＣアドレスをブロードキャストアドレス（ＦＦ−ＦＦ−ＦＦ−ＦＦ）に設定して、セキュリティチェックの値を”ＮＧ”に設定する。このメッセージを受信した動的アドレス付与サーバ１は、付与アドレス管理テーブル１１の全レコードのセキュリティチェックの値を一斉に”ＮＧ”に修正する。（図１０）。
【００６７】
ＴＴＬが満了すると、クライアント３は、再びアドレスの付与の要求を動的アドレス付与サーバ１に送信する（図８のステップＳ１０１）。付与アドレス管理テーブル１１のセキュリティチェックの値が”ＮＧ”となっているので、図８のステップＳ１１３において、動的アドレス付与サーバ１はクライアント３に対して安全性検査サーバ１と同じセグメントへ収容されるようなネットワーク設定情報を返信する（図１１）。
【００６８】
安全性検査サーバ２は新しい安全性に対する修正差分が、ネットワーク経由で配信されている場合、自分自身にその修正差分を記憶する。クライアント３は、安全性検査サーバ２と同じセグメントへ収容され、この修正差分を使用して、安全性に対する修正を行う。
【００６９】
安全性に対する修正を行った後、安全性検査サーバ２はクライアント３との間の送受信によってクライアント３の安全性検査を行い、その結果、クライアント３の新しい安全性に対する修正が完了したと判明したら、動的アドレス付与サーバ１に対してクライアント３の安全性検査完了のメッセージを送信する。この安全性検査完了メッセージの内容は、付与アドレス管理テーブル１１に登録する為のクライアント３のＭＡＣアドレスと、クライアント３のセキュリティチェックを”ＧＯＯＤ”に設定した値が含まれる。
【００７０】
セキュリティチェックの値が”ＧＯＯＤ”のときに付与されるＩＰアドレス、ネットワーク設定によって、クライアント３はルータ５と同一セグメントに収容され、その結果、インターネット、またはＬＡＮ６内の他のクライアントとの間の通信が可能となる（図７）。
【００７１】
【発明の効果】
本発明は、ネットワーク上の脆弱性を有するクライアントを、論理的に切り離されたセグメント内に収容することにより、ＬＡＮやインターネットから切り離すことができるので、ウィルスやワームなどの被害の拡大を防止する効果がある。
【００７２】
また、本発明は、安全性が不明なクライアントに対する安全性検査を、論理的に切り離されたセグメント内にクライアントを収容した状態で行うので、常に安全な状態のネットワーク環境をクライアントに提供する効果がある。
【００７３】
また、本発明は、ネットワークに接続するクライアントの安全性の有無の情報を、動的アドレス付与サーバが有する付与アドレス管理テーブルに登録し、登録された安全性の有無の情報を、安全性検査サーバが必要に応じて変更を行えるので、安全性検査サーバは、安全性の再検査を必要に応じて行える効果がある。
【図面の簡単な説明】
【図１】図１は、本発明の実施の形態を示すブロック図である。
【図２】図２は、本発明の実施の形態における、クライアント３から動的アドレス付与サーバ１へのアドレス付与要求を示すブロック図である。
【図３】図３は、本発明の実施の形態における、クライアント３から動的アドレス付与サーバ１へのアドレス付与要求に対する返信を示す図である。
【図４】図４は、本発明の実施の形態における、安全性検査サーバ２とクライアント３の通信を示すブロック図である
【図５】図５は、本発明の実施の形態における、安全性検査サーバ２からの安全性検査完了のメッセージ送信を示すブロック図である。
【図６】図６は、本発明の実施の形態における、クライアント３から動的アドレス付与サーバ１へのアドレス付与要求を示すブロック図である。
【図７】図７は、本発明の実施の形態における、クライアント３と外部ネットワークとの通信を示すブロック図である。
【図８】図８は、本発明の実施の形態における、処理の流れを示すフローチャートである。
【図９】図９は、本発明の実施の形態における、処理の流れを示すフローチャートである。
【図１０】図１０は、本発明の実施の形態における、安全性検査サーバ２からの安全性検査完了のメッセージ送信を示すブロック図である。
【図１１】図１１は、本発明の実施の形態における、クライアント３から動的アドレス付与サーバ１へのアドレス付与要求を示すブロック図である。
【図１２】図１２は、従来の、動的にＩＰアドレスを付与するサーバを利用したネットワークシステム構成を示すブロック図である
【符号の説明】
１      動的アドレス付与サーバ
２      安全性検査サーバ
３      クライアント
４      ＨＵＢ
５      ルータ
６      ＬＡＮ
７      インターネット
１１    付与アドレス管理テーブル
１２    安全性データベース
１３    ＩＰアドレス：１７２．２５．０．４のセグメント
１４    ＩＰアドレス：１７２．２５．６３．１０のセグメント
２１    従来の動的アドレス付与サーバ
【図１】
2004289260.tif 000003
【図２】
2004289260.tif 000004
【図３】
2004289260.tif 000005
【図４】
2004289260.tif 000006
【図５】
2004289260.tif 000007
【図６】
2004289260.tif 000008
【図７】
2004289260.tif 000009
【図８】
2004289260.tif 000010
【図９】
2004289260.tif 000011
【図１０】
2004289260.tif 000012
【図１１】
2004289260.tif 000013
【図１２】
2004289260.tif 000014