(57)【要約】【課題】管理対象外のＰＣがＬＡＮに接続された場合には、そのＰＣのＬＡＮポートへの接続を停止させることができるセキュリティ管理装置を得ることを目的とする。【解決手段】エージェント指示部１５により受信されたインベントリ情報とＰＣセキュリティ管理ＤＢ１２に保管されているＰＣ管理情報を比較し、両者が一致しない場合には、エージェント２１に対してＰＣ２のＬＡＮポートへの接続を停止させるように構成した。これにより、管理対象外のＰＣ２がＬＡＮ３に接続された場合には、そのＰＣ２のＬＡＮポートへの接続を停止させることができる。【選択図】        図１
2004248222.tif 000002
【特許請求の範囲】
【請求項１】
管理対象のＰＣを特定するＰＣ管理情報を保管する保管手段と、上記ＰＣにインストールされているエージェントに対してインベントリ情報の収集を指示し、上記エージェントからインベントリ情報を受信する収集指示手段と、上記収集指示手段により受信されたインベントリ情報と上記保管手段に保管されているＰＣ管理情報を比較し、両者が一致しない場合には、上記エージェントに対して上記ＰＣのＬＡＮポートへの接続を停止させる接続停止手段とを備えたセキュリティ管理装置。
【請求項２】
保管手段がＰＣ管理情報の他に、セキュリティ上ＬＡＮに接続する際には導入を必須とするソフトウェアに関するセキュリティ要件を保管している場合、接続停止手段が収集指示手段により受信されたインベントリ情報と上記保管手段に保管されているセキュリティ要件を比較し、両者が一致しない場合には、上記エージェントに対して上記ＰＣのＬＡＮポートへの接続を停止させることを特徴とする請求項１記載のセキュリティ管理装置。
【請求項３】
収集指示手段がエージェントに対してネットワークのスキャンを指示して、前記スキャン結果を収集し、接続停止手段が当該スキャン結果からエージェントがインストールされていないＰＣを検出し、前記スキャンを指示したエージェントに対して上記ＰＣのＬＡＮポートへの接続を停止させることを特徴とする請求項１記載のセキュリティ管理装置。
【請求項４】
収集指示手段は、ＣＰＵの負荷状況を考慮して、ネットワークのスキャンの指示を決定することを特徴とする請求項３記載のセキュリティ管理装置。
【請求項５】
収集指示手段は、エージェントから周期的なポーリングを受けたとき、そのエージェントに対してインベントリ情報の収集を指示することを特徴とする請求項１記載のセキュリティ管理装置。
【請求項６】
エージェントがＬＡＮのトラフィックを監視し、前記トラフィックに応じてポーリング周期を変更することを特徴とする請求項５記載のセキュリティ管理装置。
【請求項７】
収集指示手段がエージェントに対してモデムポートのチェックを指示して、前記チェック結果を収集し、接続停止手段が当該チェック結果からＬＡＮ接続とモデム接続の同時発生を検知すると、前記エージェントに対してモデムポートを停止させることを特徴とする請求項１記載のセキュリティ管理装置。
【請求項８】
保管手段に追加機能モジュールが保管されている場合、エージェントが当該追加機能モジュールをダウンロードすることを特徴とする請求項１記載のセキュリティ管理装置。
【請求項９】
収集指示手段により受信されたインベントリ情報から管理台帳を作成する台帳作成手段を設けたことを特徴とする請求項１記載のセキュリティ管理装置。
【請求項１０】
保管手段が保管しているＰＣ管理情報の中には、エージェントがＰＣにインストールされる際に、前記エージェントが自動生成する端末ＩＤを含むことを特徴とする請求項１記載のセキュリティ管理装置。
【請求項１１】
エージェントが端末ＩＤを生成する際、認証書を用いて生成することを特徴とする請求項１０記載のセキュリティ管理装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
この発明は、ＬＡＮ（ローカルエリアネットワーク）に接続されるＰＣ（パーソナルコンピュータ）を管理して、セキュリティを維持するセキュリティ管理装置に関するものである。
【０００２】
【従来の技術】
企業等においては、ＬＡＮに多くのＰＣが接続されて利用されている。個々のＰＣのセキュリティ対策として、Ｓ／Ｗ（ソフトウェア）バグの修正モジュールであるセキュリティパッチの適用やウイルス対策Ｓ／Ｗの導入やパターンファイルの更新などは重要である。しかし、これらの対策は、基本的には各ＰＣの管理者に実施が委ねられていた。
一方、居室にあるＬＡＮ配線については、比較的容易にＰＣを接続することができ、適正なセキュリティ対策が実施されていないＰＣを持ち込み接続することが可能である。
これらのセキュリティ対策未実施のＰＣがウイルス等の侵入や拡散の原因となり、被害を防止するためには、これらを排除する仕組みが必要である。
【０００３】
そこで、従来のセキュリティ管理装置は、管理対象のＰＣのインベントリ情報とセキュリティ要件をＤＢ化して備え、定期的にセキュリティ状態を収集してＤＢを更新し、管理対象のＰＣをセキュリティ要件に整合するように、セキュリティ状態を制御するようにしている（以下の特許文献１を参照）。
【０００４】
【特許文献１】
特開２００１−２７３３８８公報（段落番号［００１６］から［００４８］、図１）
【０００５】
【発明が解決しようとする課題】
従来のセキュリティ管理装置は以上のように構成されているので、ユーザなどにより持ち込まれた管理対象外のＰＣがＬＡＮに接続された場合、そのＰＣがセキュリティ要件を満たしていないためにウイルス等の侵入や拡散の原因となってしまうことがある課題があった。
また、セキュリティ要件を満たしていたとしても、管理対象外のＰＣの接続が情報漏洩の原因となることがある課題があった。
【０００６】
この発明は上記のような課題を解決するためになされたもので、管理対象外のＰＣがＬＡＮに接続された場合には、そのＰＣのＬＡＮポートへの接続を停止させることができるセキュリティ管理装置を得ることを目的とする。
【０００７】
【課題を解決するための手段】
この発明に係るセキュリティ管理装置は、収集指示手段により受信されたインベントリ情報と保管手段に保管されているＰＣ管理情報を比較し、両者が一致しない場合には、エージェントに対してＰＣのＬＡＮポートへの接続を停止させるようにしたものである。
【０００８】
【発明の実施の形態】
以下、この発明の実施の一形態を説明する。
実施の形態１．
図１はこの発明の実施の形態１によるセキュリティ管理装置を示す構成図であり、図において、管理サーバ１はＬＡＮ３に接続され、そのＬＡＮ３に接続されるＰＣ２を管理してセキュリティを維持する。なお、通常の手続きの元でＬＡＮ３に接続されるＰＣ２にはエージェント２１がインストールされる。
管理ＤＢ登録部１１は予め管理対象のＰＣ２を特定するＰＣ管理情報をＰＣセキュリティ管理ＤＢ１２に登録するとともに、エージェント指示部１５により収集されたインベントリ情報をＰＣセキュリティ管理ＤＢ１２に登録する。セキュリティ要件ＤＢ１３はセキュリティ上、ＬＡＮ３に接続する際には導入を必須とするＳ／Ｗと、既に導入されているＳ／Ｗとに関するセキュリティ要件を保管している。機能モジュールＤＢ１４はエージェント２１に搭載される機能モジュールを保管している。なお、ＰＣセキュリティ管理ＤＢ１２、セキュリティ要件ＤＢ１３及び機能モジュールＤＢ１４から保管手段が構成されている。
【０００９】
エージェント指示部１５は例えばＰＣ２のエージェント２１に対してインベントリ情報の収集を指示し、エージェント２１からインベントリ情報を受信する。なお、エージェント指示部１５は収集指示手段を構成している。
接続停止部１６はエージェント指示部１５により受信されたインベントリ情報等とＰＣセキュリティ管理ＤＢ１２に保管されているＰＣ管理情報を比較し、両者が一致しない場合には、エージェント２１に対してＰＣ２のＬＡＮポートへの接続を停止させる接続停止手段を構成している。また、接続停止部１６はエージェント指示部１５により受信されたインベントリ情報等とセキュリティ要件ＤＢ１３に保管されているセキュリティ要件を比較し、両者が一致しない場合には、エージェント２１に対してＰＣ２のＬＡＮポートへの接続を停止させる。通知部１７はＰＣ２のユーザやネットワーク管理者に所定の情報を通知する。
【００１０】
エージェント２１のポーリング／ダウンロード機能２２は、管理サーバ１に対して周期的にポーリング通信を実施し、その際に管理サーバ１から実行指示を受信する。エージェント２１のインベントリ情報収集機能２３はポーリング／ダウンロード機能２２が管理サーバ１からインベントリ情報の収集指示を受信すると、インベントリ情報２７を収集して管理サーバ１に送信する。また、インベントリ情報収集機能２３はインストール時に自動生成された一意な端末ＩＤとユーザ情報２６も収集して管理サーバ１に送信する。
【００１１】
エージェント２１のネットワーク接続検知／遮断機能２４はポーリング／ダウンロード機能２２が管理サーバ１から接続停止指示を受信すると、ＬＡＮ・Ｉ／Ｆ２８の利用を不可状態にする。また、ネットワーク上に接続されたＰＣ４を検知して、エージェント２１の有無の確認やエージェント２１の導入されていないＰＣ４の通信をリセットする。エージェント２１の追加機能２５は追加機能モジュールが機能モジュールＤＢ１４に登録されたとき、ダウンロードされるものである。
【００１２】
次に動作について説明する。
図２及び図４はエージェント２１の処理内容を示すフローチャート、図３及び図５は管理サーバ１の処理内容を示すフローチャートである。
最初にエージェント２１と管理サーバ１の概略の処理内容を説明する。
まず、エージェント２１は、管理サーバ１に対して周期的にポーリング通信を実施する（ステップＳＴ１）。ここで、エージェント２１は、例えば、ＬＡＮ３のトラフィックを監視し、そのトラフィックに応じてポーリングの周期を変更するものとする。
エージェント２１が送信するポーリングには、ユニークな端末ＩＤを含んでいる。なお、端末ＩＤは、エージェント２１がＰＣ２にインストールされる際に自動生成されるが、例えば、第三者機関より提供されるデジタル証明書である認証書をＰＣ２にインポートし、その認証書を用いて端末ＩＤを自動生成するようにしてもよい。
【００１３】
管理サーバ１は、エージェント２１からポーリングを受信すると（ステップＳＴ２）、そのエージェント２１に対して実行指示すべき事項があるかを判断する（ステップＳＴ３）。エージェント２１への指示事項が存在する場合には、ポーリングの返信として、機能実行の指示を行う（ステップＳＴ４）。
エージェント２１は、管理サーバ１から機能実行の指示を受けると（ステップＳＴ５）、その指示に基づき機能実行し（ステップＳＴ６）、その実行結果を管理サーバ１に送信する（ステップＳＴ７）。
管理サーバ１は、エージェント２１から実行結果を受信すると（ステップＳＴ８）、その実行結果を基にして、例えば、ネットワーク管理者への通知などの動作を行う（ステップＳＴ９）。
【００１４】
以下、ＬＡＮ３への接続要件を満たさないＰＣ２の排除について具体的に説明する。
まず、管理ＤＢ登録部１１は、予め、図６に示すようなＰＣ管理情報をＰＣセキュリティ管理ＤＢ１２に登録する。ＰＣ管理情報には、少なくともエージェントインストール時に自動生成された固有の端末ＩＤ、端末接続申請時に付与されたＩＰアドレス、申請情報に基づくコンピュータ名、ネットワーク管理者名、ネットワーク管理者のメールアドレス、ＰＣ利用者名、ＰＣ利用者の所属、ＰＣ利用者のメールアドレスを含んでいる。
【００１５】
エージェント２１がインストールされたＰＣ２がＬＡＮ３に接続されると、そのエージェント２１のポーリング／ダウンロード機能２２が、ユニークな端末ＩＤを含むポーリングを管理サーバ１に送信する（ステップＳＴ１）。
管理サーバ１のエージェント指示部１５は、エージェント２１から端末ＩＤを含むポーリングを受信すると（ステップＳＴ２）、その端末ＩＤがＰＣセキュリティ管理ＤＢ１２に登録されているか否かを判断することにより、そのエージェント２１がインストールされているＰＣ２が新規接続のＰＣ２であるか否かを判断し、新規接続のＰＣ２であれば、エージェント２１に対してインベントリ情報の収集を指示する（ステップＳＴ３，ＳＴ４，ＳＴ１１）。
【００１６】
エージェント２１のインベントリ情報収集機能２３は、ポーリング／ダウンロード機能２２が管理サーバ１からインベントリ情報の収集指示を受信すると（ステップＳＴ５）、図７に示すようなユーザ情報２６とインベントリ情報２７を収集して管理サーバ１に送信する（ステップＳＴ１２，ＳＴ１３）。
管理サーバ１のエージェント指示部１５は、管理サーバ１から送信されたユーザ情報２６とインベントリ情報２７を受信する。
【００１７】
管理サーバ１の接続停止部１６は、エージェント指示部１５がユーザ情報２６とインベントリ情報２７を受信すると、そのユーザ情報２６に含まれている端末ＩＤをキーにして、対応するＰＣ管理情報（図６）をＰＣセキュリティ管理ＤＢ１２からリードし、そのＰＣ管理情報とユーザ情報２６及びインベントリ情報２７を比較し、両者の整合性を確認する（ステップＳＴ１４）。
管理サーバ１の接続停止部１６は、両者の整合性が認められる場合には、そのユーザ情報２６及びインベントリ情報２７とセキュリティ要件（図８）を比較して、必要なＳ／Ｗが導入されていることを確認する（ステップＳＴ１５）。
【００１８】
管理サーバ１の接続停止部１６は、必要なＳ／Ｗが導入されていることが認められれば、そのユーザ情報２６及びインベントリ情報２７をＰＣセキュリティ管理ＤＢ１２に登録する（ステップＳＴ１６）。
管理サーバ１の通知部１７は、ネットワーク管理者に対してＰＣ２の接続完了通知をメールで行う（ステップＳＴ１７）。
【００１９】
管理サーバ１の接続停止部１６は、ステップＳＴ１４において両者の整合性が認められない場合、または、ＳＴ１５において必要なＳ／Ｗが導入されていることが認められない場合、接続拒否原因をＰＣセキュリティ管理ＤＢ１２に登録する（ステップＳＴ１８）。
管理サーバ１の通知部１７は、ネットワーク管理者に対して接続拒否原因を含む接続拒否の事実をメールで通知する（ステップＳＴ１９）。
さらに、通知部１７は、ＰＣ２の画面上に接続拒否原因を含むユーザへの警告をポップアップ表示する（ステップＳＴ２０）。
【００２０】
その後、管理サーバ１の接続停止部１６は、エージェント指示部１５を介して、エージェント２１に対して接続停止を指示する（ステップＳＴ２１）。
エージェント２１のネットワーク接続検知／遮断機能２４は、ポーリング／ダウンロード機能２２が管理サーバ１から接続停止指示を受信すると（ステップＳＴ２２）、ＬＡＮ・Ｉ／Ｆ２８の利用を不可状態とする（ステップＳＴ２３）。
【００２１】
以上で明らかなように、この実施の形態１によれば、エージェント指示部１５により受信されたインベントリ情報とＰＣセキュリティ管理ＤＢ１２に保管されているＰＣ管理情報を比較し、両者が一致しない場合には、エージェント２１に対してＰＣ２のＬＡＮポートへの接続を停止させるように構成したので、管理対象外のＰＣ２がＬＡＮ３に接続された場合には、そのＰＣ２のＬＡＮポートへの接続を停止させることができる効果を奏する。
また、この実施の形態１によれば、エージェント指示部１５により受信されたインベントリ情報とセキュリティ要件ＤＢ１３に保管されているセキュリティ要件を比較し、両者が一致しない場合には、エージェント２１に対してＰＣ２のＬＡＮポートへの接続を停止させるように構成したので、必要なＳ／Ｗが導入されていないＰＣ２を排除することができる効果を奏する。
【００２２】
実施の形態２．
上記実施の形態１では、ＬＡＮ３への接続要件を満たさないＰＣ２を排除するものについて示したが、エージェント２１が導入されていないＰＣ４を排除するようにしてもよい。
図９はエージェント２１の処理内容を示すフローチャート、図１０は管理サーバ１の処理内容を示すフローチャートである。
【００２３】
エージェント２１がインストールされているＰＣ２は、定期的にポーリングを管理サーバ１に送信する（ステップＳＴ１）。
管理サーバ１のエージェント指示部１５は、エージェント２１から端末ＩＤを含むポーリングを受信すると（ステップＳＴ２）、そのポーリングの返答として、エージェント２１に対してネットワークのスキャン実施の指示を行う（ステップＳＴ３１）。
なお、ネットワークのスキャン実施の間隔とスキャン対象のＩＰアドレス範囲については、例えば、ＣＰＵの負荷状況を考慮して、管理サーバ１にて実行指示とともに指定する。
また、ネットワークスキャンを実施するＰＣ２は、管理サーバ１の設定により固定することも、ランダムに指定することもできる。
【００２４】
エージェント２１のネットワーク接続検知／遮断機能２４は、ポーリング／ダウンロード機能２２がネットワークのスキャン実施指示を受信すると、指定されたＩＰアドレス範囲に対してネットワークスキャンを実施することにより（ステップＳＴ３２）、エージェント２１を導入していないＰＣ４の検知を行う。
その後、エージェント２１のネットワーク接続検知／遮断機能２４は、ネットワークのスキャン結果を管理サーバ１へ報告する（ステップＳＴ３３）。
【００２５】
管理サーバ１の接続停止部１６は、エージェント指示部１５がエージェント２１からネットワークのスキャン結果を受信すると（ステップＳＴ３４）、そのネットワークのスキャン結果を参照して、排除すべきＰＣ４を判断する（ステップＳＴ３５）。
そして、管理サーバ１の接続停止部１６は、エージェント指示部１５を介して、排除すべきＰＣ４のネットワーク切断指示を行う（ステップＳＴ３６）。
また、管理サーバ１の通知部１７は、接続停止部１６がネットワーク切断指示を行うのと同時に、ネットワーク管理者に対してＰＣ４を切断する旨をメールで通知する（ステップＳＴ３７）。
【００２６】
エージェント２１のネットワーク接続検知／遮断機能２４は、ポーリング／ダウンロード機能２２が管理サーバ１からＰＣ４のネットワーク切断指示を受信すると、そのＰＣ４のセッションをリセットするパケットを送出することにより（ステップＳＴ３９）、ＰＣ４をネットワークから排除する。
【００２７】
以上で明らかなように、この実施の形態２によれば、エージェント指示部１５がエージェント２１に対してネットワークのスキャンを指示して、そのスキャン結果を収集し、接続停止部１６が当該スキャン結果からエージェント２１がインストールされていないＰＣ４を検出し、そのスキャンを指示したエージェント２１に対してＰＣ４のＬＡＮポートへの接続を停止させるように構成したので、エージェント２１が導入されていないＰＣ４をネットワークから排除することができる効果を奏する。
【００２８】
実施の形態３．
上記実施の形態１では、ＬＡＮ３への接続要件を満たさないＰＣ２を排除するものについて示したが、セキュリティ要件が変更・追加された場合の対処について説明する。
図１１は管理サーバ１の処理内容を示すフローチャートである。
【００２９】
管理サーバ１のエージェント指示部１５は、エージェント２１からポーリングを受信すると、そのポーリングの返答として、エージェント２１に対してインベントリ情報の収集を指示する（ステップＳＴ４１）。
エージェント２１のインベントリ情報収集機能２３は、ポーリング／ダウンロード機能２２が管理サーバ１からインベントリ情報の収集指示を受信すると、端末ＩＤ及びユーザ情報２６とインベントリ情報２７を収集して管理サーバ１に送信する。
【００３０】
管理サーバ１の接続停止部１６は、管理サーバ１から送信されたユーザ情報２６及びインベントリ情報２７（図７）と変更後のセキュリティ要件（図８）と比較して、必要なＳ／Ｗが導入されていることを確認する（ステップＳＴ４２）。
管理サーバ１の接続停止部１６は、必要なＳ／Ｗが導入されていることが認められる場合、そのユーザ情報２６とインベントリ情報２７をＰＣセキュリティ管理ＤＢ１２に登録する（ステップＳＴ４３）。
管理サーバ１の通知部１７は、ネットワーク管理者に対してＰＣ２の確認完了通知をメールで行う（ステップＳＴ４４）。
【００３１】
一方、必要なＳ／Ｗが導入されていることが認められない場合、猶予期間内であれば、管理サーバ１の通知部１７は、ＰＣ２の画面上に原因と、猶予期間を含めたユーザへの警告をポップアップ表示する（ステップＳＴ４５、ＳＴ４６）。
また、ネットワーク管理者にその旨の通知をメールで行う（ステップＳＴ４７）。
その後、猶予期間を超過すると、管理サーバ１の通知部１７は、ＰＣ２の画面上に回線を切断する旨をポップアップ表示し（ステップＳＴ４８）、ネットワーク管理者に回線を切断する旨の通知をメールで行う（ステップＳＴ５０）。
その際、管理サーバ１の接続停止部１６は、エージェント指示部１５を介して、エージェント２１に対してＬＡＮ３への接続停止を指示する（ステップＳＴ４９）。
これにより、上記実施の形態１と同様の効果を奏することができる。
【００３２】
実施の形態４．
上記実施の形態１では、ＬＡＮ３への接続要件を満たさないＰＣ２を排除するものについて示したが、ＬＡＮ３とダイアルアップの同時接続を排除するようにしてもよい。
図１２はエージェント２１の処理内容を示すフローチャート、図１３は管理サーバ１の処理内容を示すフローチャートである。
【００３３】
エージェント２１がインストールされているＰＣ２は、定期的にポーリングを管理サーバ１に送信する（ステップＳＴ１）。
管理サーバ１のエージェント指示部１５は、エージェント２１からポーリングを受信すると（ステップＳＴ２）、そのポーリングの返答として、エージェント２１に対してモデムポート２９のチェック実施の指示を行う（ステップＳＴ５１）。
【００３４】
エージェント２１のネットワーク接続検知／遮断機能２４は、ポーリング／ダウンロード機能２２がモデムポート２９のチェック実施指示を受信すると、モデムポート２９をチェックして、モデムにおける接続を検出する（ステップＳＴ５２）。
エージェント２１のネットワーク接続検知／遮断機能２４は、そのチェック結果を管理サーバ１に報告する（ステップＳＴ５３）。
【００３５】
管理サーバ１の接続停止部１６は、エージェント指示部１５がエージェント２１からチェック結果を受信すると（ステップＳＴ５４）、そのチェック結果を参照して、モデムがアクティブになっているか否かを判断する（ステップＳＴ５５）。即ち、モデムによるダイアルアップ接続が為されているか否かを判断する。
管理サーバ１の接続停止部１６は、モデムがアクティブになっている場合、エージェント指示部１５を介して、モデム回線の切断指示を行う（ステップＳＴ５６）。
また、管理サーバ１の通知部１７は、接続停止部１６がモデム回線の切断指示を行うのと同時に、ネットワーク管理者に対してモデム回線を切断する旨をメールで通知する（ステップＳＴ５７）。
エージェント２１のネットワーク接続検知／遮断機能２４は、ポーリング／ダウンロード機能２２が管理サーバ１からモデム回線の切断指示を受信すると（ステップＳＴ５８）、モデム回線を切断する（ステップＳＴ５９）。
【００３６】
以上で明らかなように、この実施の形態４によれば、エージェント指示部１５がエージェント２１に対してモデムポート２９のチェックを指示して、そのチェック結果を収集し、接続停止部１６が当該チェック結果からＬＡＮ接続とモデム接続の同時発生を検知すると、そのエージェント２１に対してモデムポート２９を停止させるように構成したので、ＬＡＮ３とダイアルアップの同時接続を排除することができる効果を奏する。
【００３７】
実施の形態５．
上記実施の形態１では、ＬＡＮ３への接続要件を満たさないＰＣ２を排除するものについて示したが、エージェントの機能を追加できるようにしてもよい。
図１４はエージェント２１の処理内容を示すフローチャート、図１５は管理サーバ１の処理内容を示すフローチャートである。
【００３８】
管理サーバ１のエージェント指示部１５は、エージェント２１から定期的に追加機能の導入状況を含むポーリングを受信すると、エージェント２１の追加機能モジュールが格納されている機能モジュールＤＢ１４を参照し、導入対象の追加機能があるか否かを確認する（ステップＳＴ６１）。
そして、導入対象の追加機能がある場合、そのポーリングの返答として、エージェント２１に対してインストール及び起動のタイミングを含めた追加機能のダウンロード指示を行う（ステップＳＴ６２）。
【００３９】
エージェント２１のポーリング／ダウンロード機能２２は、追加機能のダウンロード指示を受信すると、管理サーバ１から追加機能モジュールをダウンロードし（ステップＳＴ６３）、管理サーバ１の指示するタイミングでインストール（ステップＳＴ６４）と起動（ステップＳＴ６５）を行い、機能追加を完了した旨を管理サーバ１に報告する（ステップＳＴ６６）。
管理サーバ１の通知部１７は、エージェント指示部１５がエージェント２１から機能追加の完了の通知を受信すると（ステップＳＴ６７）、ネットワーク管理者にその旨を通知する（ステップＳＴ６８）。
以上で明らかなように、この実施の形態５によれば、追加機能モジュールをエージェント２１に適宜追加することができる効果を奏する。
【００４０】
実施の形態６．
図１６はこの発明の実施の形態６によるセキュリティ管理装置の要部を示す構成図であり、図において、図１と同一符号は同一または相当部分を示すので説明を省略する。
台帳項目条件１８は管理台帳として必要な項目（例えば、Ｓ／Ｗ毎の導入本数）を示し、Ｓ／Ｗ購入ＤＢ１９はＳ／Ｗの購入本数を示している。管理ＤＢ抽出部２０は台帳項目条件１８をキーにしてＰＣセキュリティ管理ＤＢ１２からインベントリ情報を取り出し、そのインベントリ情報やＳ／Ｗの購入本数等を参照して管理台帳を作成する台帳作成手段を構成している。
【００４１】
上記実施の形態１〜５では、管理台帳の作成については特に言及していないが、管理ＤＢ抽出部２０が台帳項目条件１８をキーにしてＰＣセキュリティ管理ＤＢ１２からインベントリ情報を取り出し、そのインベントリ情報やＳ／Ｗの購入本数等を参照して管理台帳（Ｓ／Ｗインストール台帳）を作成するようにしてもよい（図１７を参照）。
また、台帳項目条件１８として、ＰＣ２のＣＰＵやＩＰアドレスなどのＨ／Ｗインベントリ情報とユーザ情報を与えることにより、図１８のようなＰＣ管理台帳を作成するようにしてもよい。
この実施の形態６によれば、ＰＣ２の管理を容易かつ適正に行うことができる効果を奏する。
【００４２】
実施の形態７．
上記実施の形態１〜６では、特に言及していないが、ワークフローシステムがＰＣ管理情報を管理サーバ１に与えるようにしてもよい。
即ち、図１９に示すように、ワークフローシステム５１は、ユーザから端末接続申請情報を受理すると、ＩＰアドレスを採番してエージェントの配布を行う。
ユーザは、ワークフローシステム５１から付与されたＩＰアドレスをＰＣ２に設定し、エージェント２１をインストールする。
そして、エージェントインストール時に自動生成された端末ＩＤをワークフローシステム５１に登録することにより、端末接続申請情報と端末ＩＤがＰＣ管理情報としてワークフローシステムに蓄積され、管理サーバ１のＰＣセキュリティ管理ＤＢ１２に登録される。
【００４３】
実施の形態８．
上記実施の形態１〜６では、特に言及していないが、広域ネットワークのトラフィック削減やサーバのレスポンス向上のため、図２０に示すように、複数の管理サーバ１を負荷分散配置して、その上位サーバとして統合管理サーバ５２を設置するようにしてもよい。
なお、統合管理サーバ５２に設定されたセキュリティ要件は、自動的に各管理サーバ１のセキュリティ要件ＤＢ１３に登録される。
また、各管理サーバ１によって収集され、ＰＣセキュリティ管理ＤＢ１２に登録された情報は、統合管理サーバ５２のＰＣセキュリティ管理ＤＢに収集され、内容を確認することができる。
【００４４】
実施の形態９．
上記実施の形態１〜６では、通知部１７がメールでネットワーク管理者に通知するものについて示したが、これに限るものではなく、例えば、図２１に示すように、管理サーバ１のポケベル通知機能６１から送信したメッセージを、電話網と接続したポケベル発信装置６２を経由し、管理者のポケベルに通知する。
また、管理者の端末６３に、受信クライアントを導入し、Ｐｕｓｈ型配信機能６４から送信したメッセージを、管理者の端末６３の画面にテロップとして通知するようにしてもよい。
【００４５】
実施の形態１０．
上記実施の形態１等では、ＬＡＮ・Ｉ／Ｆ２８の利用を不可状態とするものについて示したが、ＬＡＮ３への接続の遮断の手段として、画面上へ警告メッセージを断続的に送出することにより実質的な利用を阻止することもできる。
【００４６】
【発明の効果】
以上のように、この発明によれば、収集指示手段により受信されたインベントリ情報と保管手段に保管されているＰＣ管理情報を比較し、両者が一致しない場合には、エージェントに対してＰＣのＬＡＮポートへの接続を停止させるように構成したので、管理対象外のＰＣがＬＡＮに接続された場合には、そのＰＣのＬＡＮポートへの接続を停止させることができる効果がある。
【図面の簡単な説明】
【図１】この発明の実施の形態１によるセキュリティ管理装置を示す構成図である。
【図２】エージェントの処理内容を示すフローチャートである。
【図３】管理サーバの処理内容を示すフローチャートである。
【図４】エージェントの処理内容を示すフローチャートである。
【図５】管理サーバの処理内容を示すフローチャートである。
【図６】ＰＣ管理情報を示す説明図である。
【図７】ユーザ情報とインベントリ情報を示す説明図である。
【図８】セキュリティ要件を示す説明図である。
【図９】エージェントの処理内容を示すフローチャートである。
【図１０】管理サーバの処理内容を示すフローチャートである。
【図１１】管理サーバの処理内容を示すフローチャートである。
【図１２】エージェントの処理内容を示すフローチャートである。
【図１３】管理サーバの処理内容を示すフローチャートである。
【図１４】エージェントの処理内容を示すフローチャートである。
【図１５】管理サーバの処理内容を示すフローチャートである。
【図１６】この発明の実施の形態６によるセキュリティ管理装置の要部を示す構成図である。
【図１７】管理台帳の一例を示す説明図である。
【図１８】管理台帳の一例を示す説明図である。
【図１９】この発明の実施の形態７によるセキュリティ管理装置の要部を示す構成図である。
【図２０】この発明の実施の形態８によるセキュリティ管理装置の要部を示す構成図である。
【図２１】この発明の実施の形態９によるセキュリティ管理装置の要部を示す構成図である。
【符号の説明】
１  管理サーバ、２  ＰＣ、３  ＬＡＮ、４  ＰＣ、１１  管理ＤＢ登録部、１２  ＰＣセキュリティ管理ＤＢ（保管手段）、１３  セキュリティ要件ＤＢ（保管手段）、１４  機能モジュールＤＢ（保管手段）、１５  エージェント指示部（収集指示手段）、１６  接続停止部（接続停止手段）、１７  通知部、１８台帳項目条件、１９  Ｓ／Ｗ購入ＤＢ、２０  管理ＤＢ抽出部（台帳作成手段）、２１  エージェント、２２  ポーリング／ダウンロード機能、２３  インベントリ情報収集機能、２４  ネットワーク接続検知／遮断機能、２５  追加機能、２６  ユーザ情報、２７  インベントリ情報、２８  ＬＡＮ・Ｉ／Ｆ、２９  モデムポート、５１  ワークフローシステム、５２  統合管理サーバ、６１  ポケベル通知機能、６２  ポケベル発信装置、６３  管理者の端末、６４  Ｐｕｓｈ型配信機能。
【図１】
2004248222.tif 000003
【図２】
2004248222.tif 000004
【図３】
2004248222.tif 000005
【図４】
2004248222.tif 000006
【図５】
2004248222.tif 000007
【図６】
2004248222.tif 000008
【図７】
2004248222.tif 000009
【図８】
2004248222.tif 000010
【図９】
2004248222.tif 000011
【図１０】
2004248222.tif 000012
【図１１】
2004248222.tif 000013
【図１２】
2004248222.tif 000014
【図１３】
2004248222.tif 000015
【図１４】
2004248222.tif 000016
【図１５】
2004248222.tif 000017
【図１６】
2004248222.tif 000018
【図１７】
2004248222.tif 000019
【図１８】
2004248222.tif 000020
【図１９】
2004248222.tif 000021
【図２０】
2004248222.tif 000022
【図２１】
2004248222.tif 000023