(57)【特許請求の範囲】
【請求項１】
端末から網へ転送されるフレームを中継するフレーム中継装置であって、
前記端末からの前記網への接続要求を受信した場合に、前記端末の安全性に係る情報を前記端末から取得する手段と、
前記端末の安全性に係る情報に基づき検査が必要か否かの判断を、前記端末の安全性にかかる情報と前記端末のＯＳ種別を含む推奨インベントリ情報とを比較することにより前記検査が必要か否かの判断をする判断装置に問い合わせる手段と、
前記判断装置の回答にしたがって、前記端末から前記網へのフレーム送信が開始される前に、前記端末からのフレームに対する安全性の検査が必要か否かを判定する判定部と、
安全性の検査が必要でない場合に、フレーム中継装置と前記網との間のフレーム伝送路上に位置し、前記網へ転送されるフレームを受信して安全性の検査を行う検査装置に対して前記端末からのフレームに対する安全性の検査を行わせないことを決定し、安全性の検査が必要である場合に前記検査装置に対して前記端末からのフレームに対する安全性の検査を行わせることを決定する決定部と、
決定結果に基づく指示を前記検査装置へ出力する出力部と、
を含むフレーム中継装置。
【請求項２】
前記判定部は、前記端末から送信されるフレームの安全性が前記網の要求する条件を満たしているか否かを判定することによって、前記検査が必要であるか否かを判定する
請求項１に記載のフレーム中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
ネットワークにおける攻撃検出装置の高速化に関する。
【背景技術】
【０００２】
昨今、例えば、メールに添付されたコンピュータウィルスなどのように、トランスポート層レベルでのチェック（例えば、ＴＣＰ／ＵＤＰ層レベルでのポートフィルタリングなど）での検出が困難な攻撃が増えている。従来、このような攻撃を検出するために、ネットワーク上の機器による検出手段と、エンド端末での検出手段の２種類があった。
【０００３】
ネットワーク上の機器による検出方法は、企業網や学内網などのエンタープライズ網と外部網との接続箇所で、不正検出（パターンチェック）と異常検出（閾値によるチェック）とを組み合わせることで攻撃を検出する方法である。これらの検出機能を有する装置を一般にＩＤＳ（Intrusion Detection System）という。図３３は、一般的なネットワークの構成を示す図である。
【０００４】
不正検出（パターンチェック）は、フレームのヘッダやデータを攻撃パターン毎に配布されるパターンファイルを適用してチェックすることで、既知の手口を使用した攻撃を検出する手段である。パターンファイルは、最新の攻撃に対応するために日々更新されており、インターネット経由などで最新のパターンファイルが提供されている。
【０００５】
異常検出（閾値によるチェック）は、ネットワークのフロー毎にトラフィックの振る舞いを監視し、異常な振る舞いが閾値を超えて発生しているか否かをチェックする。これによれば、未知の手法による攻撃を発見する可能性がある。
【０００６】
これらの検出を行うシステム上の配置により、ネットワーク型とホスト型とに分類できる。
【０００７】
ネットワーク型は、ネットワークカードのプロミスキャスモード（無条件受信モード）を利用して、接続しているネットワークセグメントのすべてのトラフィックを監視する。具体的には、ネットワーク上を流れるパケットを収集し、そのプロトコルヘッダやデータを解析する。不正接続者が侵入を試みる際、不正な形式のパケットを送りつけたり、セキュリティーホールが存在するサービスに関連するポートに接続したりするが、そういった疑わしいパケットを発見して通知する。プロミスキャスモードとは、ネットワークインターフェイスにおいて、自ノード宛でなく、ネットワーク上を流れるすべてのパケットを取り込むという動作モードである。
【０００８】
ホスト型は、ＯＳ(Operating System)の監視機能と連携して不正侵入を検知する。保護したいコンピュータに導入して、ログファイルやファイルの改ざんの監視を行う。
【０００９】
エンド端末での検出方法は、エンド端末で、ウィルスチェックソフトウェア及びセキュリティホール対策パッチによる攻撃検出をする方法である。
【００１０】
ウィルスチェックソフトウェアは、ハードディスクや受信した電子メールにウィルスが含まれていないかパターンファイルによりチェックする機能を有する。パターンファイルは、最新の攻撃に対応するために日々更新されており、インターネット経由などで最新のパターンファイルが提供されている。
【００１１】
セキュリティーホール対策パッチは、ＯＳ等のセキュリティーホールを塞ぐものである。セキュリティーホールに対してはパッチ情報がＯＳベンダ等より配布され、これを適用することで攻撃を防ぐことができる。
【００１２】
図３４を用いて、一般的なネットワークへの接続手順を説明する。
【００１３】
リモート端末１０４は、ＶＰＮ―ＧＷ１０３にエンタープライズ網１１４へ接続依頼をする。このとき、リモート端末１０４のユーザは、エンタープライズ網１１４に接続するためのユーザ認証情報（ユーザ名とパスワードなど）をＶＰＮ−ＧＷ１０３に送信する（ＳＱ０１）。ＶＰＮ−ＧＷ１０３は、認証サーバ１１１に、リモート端末１０４のユーザ認証情報がエンタープライズ網１１４に接続を許可できるものであるかを確認する（ＳＱ０２）。認証サーバ１１１は、認証結果をＶＰＮ−ＧＷ１０３に送信する（ＳＱ０３）。ＶＰＮ−ＧＷ１０３は、認証サーバ１１１から受信した認証結果（接続可否）をリモート端末１０４に送信する（ＳＱ０４）。認証がＯＫの場合、リモート端末１０４は、ＶＰＮ−ＧＷ１０３と暗号化通信を開始する（ＳＱ０５）。ＶＰＮ−ＧＷ１０３は暗号を終端し、リモート端末１０４のフレームをエンタープライズ網１１４に転送する（ＳＱ０５）。ＶＰＮ−ＧＷ１０３は、すべての通信に対して、不正検出を実施する。
【特許文献１】特開２００４−２３４２０８号公報
【発明の開示】
【発明が解決しようとする課題】
【００１４】
ネットワーク型ＩＤＳでの不正検出は、接続しているネットワークセグメントのすべてのトラフィックを監視する。トラフィック流量が増えると、不正検出の解析処理がトラフィック流量に追従できなくなる。そのため、不正検出での取りこぼしが発生するという問題があった。
【００１５】
また、上記したネットワーク上の機器による不正検出とエンド端末での不正検出とが独立に行われている。そのため、安全な端末からのトラフィックにまでネットワーク上の不正検出を行うことになるという問題があった。
【００１６】
そこで、本発明は、不正検出をするトラフィックを選択することにより、不正検出の効率化を図ることを課題とする。
【課題を解決するための手段】
【００１７】
本発明は、上記した課題を解決するために、以下の手段を採用する。即ち、本発明の態様は、即ち、
端末から網へ転送されるフレームを中継するフレーム中継装置であって、前記端末から前記網へのフレーム送信が開始される前に、前記端末からのフレームに対する安全性の検査が必要か否かを判定する判定部と、
安全性の検査が必要でない場合に、フレーム中継装置と前記網との間のフレーム伝送路上に位置し、前記網へ転送されるフレームを受信して安全性の検査を行う検査装置において前記端末からのフレームに対する安全性の検査を行わないことを決定し、安全性の検査が必要である場合に前記検査装置において前記端末からのフレームに対する安全性の検査を行うことを決定する決定部と、
決定結果に基づく指示を前記検査装置へ出力する出力部と、
を含むフレーム中継装置である。
【００１８】
本発明によると、安全性の検査を行う必要のない端末からのフレームに対する安全性の検査が検査装置で行われるのを抑えることができる。即ち、不正検出を行うトラフィックがフレーム中継装置からの指示に基づいて検査装置で選択される。よって、効率的な検査
が実現される。
また、本発明の別の態様は、
フレームの受信部と、
フレームに対する安全性の検査を行う検査部と、
前記検査部による安全性の検査を要しない端末の識別情報が登録される記憶部と、
前記受信部でフレームが受信されたときに、このフレームの送信元端末の識別情報が前記記憶部に登録されている場合には、このフレーム対する前記検査部の検査を行わないことを決定する決定部と、
を含むフレーム検査装置
である。
【００１９】
本発明によれば、記憶部の参照によって、不正検出を行うトラフィックが選択される。そして、安全性の検査を行う必要のある端末からのフレーム（トラフィック）についてのみ安全性の検査が行われるようにすることができる。よって、検査装置の検査の効率化が図られる。また、検査装置の処理負担軽減が図られる。
【００２０】
また、本発明は、上記した本発明にかかるフレーム中継装置またはフレーム検査装置と同様の特徴を有する方法、情報処理装置（コンピュータ等）で実行されるプログラム、あるいは当該プログラムを記録した記憶媒体として実現可能である。
【発明の効果】
【００２１】
本発明によれば、不正検出をするトラフィックを選択することにより、不正検出の効率化を図ることが可能となる。
【発明を実施するための最良の形態】
【００２２】
以下、図面を参照して本発明の実施形態について説明する。実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。
【００２３】
〔実施形態〕
〈システム構成〉
図１は、本発明の実施形態にかかるシステム構成例を示す図である。本発明の実施形態にかかるシステムは、会社などのエンタープライズ網１１４と、エンタープライズ網１１４を管理する社内サーバ１１６と、認証サーバ１１１と、インベントリ管理サーバ１０５と、ルータ１１０と、Ｌ２スイッチ１０８と、Ｌ２スイッチに接続されるＶＰＮ−ＧＷ１０３（Virtual Private Network - Gate Way）と、ＩＤＳ１０２と、エンタープライズ網１１４と外部網１００を隔てるファイアウォール１０１と、ルータ１０６と、外部網１００と、を備える。外部網１００には、エンタープライズ網１１４のユーザのリモート端末１０４が接続されている。
【００２４】
以下、ＩＤＳ１０２、ＶＰＮ−ＧＷ１０３、リモート端末１０４及びインベントリ管理サーバ１０５について詳細に説明する。
【００２５】
《ＩＤＳ》
ＩＤＳは、不正検出を行う装置である。図２は、ＩＤＳ１０２の機能ブロックを示す図である。ＩＤＳ１０２は、通信部２０１、フレーム判定部２０２、リモート端末識別子設定部２１０、不正検出要否判定部２２０、不正検出部２２２、コンソール部２２８、不正フレームログ部２２６、不正パターンＤＢ２２４、不正検出不要ノード識別子ＤＢ２１４、ＩＤＳ設定終了フレーム作成部２１２を備える。
【００２６】
（通信部）
通信部２０１は、ネットワークからの通信をリンクレイヤまで終端する。通信部２０１は、ネットワークから受信したフレーム（受信フレーム）をフレーム判定部２０２へ送信する。
【００２７】
（フレーム判定部）
フレーム判定部２０２は、通信部２０１から渡された受信フレームの種別を識別する。受信フレームが、リモート端末１０４からエンタープライズ網１１４への転送対象のフレーム、すなわちプロミスキャスモードで受信したフレームの場合は不正検出要否判定部２２０へ受信フレームを渡す。また、受信フレームがＩＤＳ設定要求フレームの場合は、リモート端末識別子設定部２１０にその受信フレームを渡す。
【００２８】
（リモート端末識別子設定部）
リモート端末識別子設定部２１０は、ＩＤＳ設定要求フレーム内に含まれるリモート端末１０４の識別子（例えば、ＩＰアドレス）を不正検出不要ノード識別子ＤＢ（DataBase）部２１４に格納する。リモート端末識別子設定部２１０は、ＩＤＳ設定終了フレーム作成部２１２にＩＤＳ設定終了フレームの作成指示をする。
【００２９】
（不正検出不要ノード識別子ＤＢ部）
不正検出不要ノード識別子ＤＢ部２１４は、不正検出が不要である送信元識別子（例えば、ＩＰアドレス）の情報を保持する。不正検出が不要である送信元識別子の情報は、リモート端末識別子判定部２１０によって不正ノード不要ノード識別子ＤＢ部２１４に格納される。
【００３０】
（ＩＤＳ設定終了フレーム作成部）
ＩＤＳ設定終了フレーム作成部２１２は、リモート端末識別子設定部２１０の指示に基づき、ＩＤＳ設定終了フレームを作成する。ＩＤＳ設定終了フレーム作成部２１２は、そのＩＤＳ設定終了フレームを、通信部２０１を経由してＶＰＮ−ＧＷ１０３宛に送信する。
【００３１】
（不正検出要否判定部）
不正検出要否判定部２２０は、受信フレームの送信元識別子(例えば、ＩＰアドレス)を検索キーとして、不正検出不要ノード識別子ＤＢ部２１４に保持されている情報を検索し、その受信フレームに対する不正検出処理の要否を判定する。不正検出要否判定部２２０は、不正検出が不要な場合にはそのフレームに対する処理を終了し、必要な場合には不正検出部２２２へ渡す。
【００３２】
（不正検出部）
不正検出部２２２は、不正検出要否判定部２２０から渡されたフレームに対して、ヘッダやデータが不正パターンＤＢ部２２４に保持されているパターンと一致するか否かにより不正検出を行う。一致した場合には不正なフレームであるため、不正検出部２２２は、そのフレームを廃棄し、不正フレームログ部２２６にその不正なフレームの情報（例えば、送信元／宛先ＭＡＣアドレスや、送信元／宛先ＩＰアドレス）を記録し、コンソール部２２８へ通知する。一致しなかった場合には、不正検出部２２２は、そのフレームは問題のないフレームであると判断し、そのフレームに対しての処理を終了する。
【００３３】
（コンソール部）
コンソール部２２８は、ユーザとのインタフェース機能を有する。コンソール部２２８は、不正検出部２２２により不正フレームが検出された場合、その旨をユーザに通知する。
【００３４】
（不正パターンＤＢ部）
不正パターンＤＢ部２２４は、不正フレームのパターンがあらかじめ登録されているデータベース部である。不正パターンＤＢ部２２４は、不正検出部２２２が不正フレームを検出する際に参照される。
【００３５】
（不正フレームログ部）
不正フレームログ部２２６は、不正検出部２２２が不正フレームと判断したフレームの情報を保持する。
【００３６】
《ＶＰＮ−ＧＷ》
図３は、ＶＰＮ−ＧＷ１０３の機能ブロックを示す図である。
【００３７】
ＶＰＮ−ＧＷ１０３は、通信部３０１、暗号デコード部３０３、暗号エンコード部３０４、フレーム判定部３０２を備える。ＶＰＮ−ＧＷ１０３は、認証要求フレーム作成部３１０、認証結果判断部３２０、接続拒否フレーム作成部３３０、不正検出確認応答確認部３４０、接続準備完了フレーム作成部３５０及び転送認可確認部３６０をさらに備える。ＶＰＮ−ＧＷ１０３は、接続拒否フレーム作成部３２２、インベントリ情報要求フレーム作成部３２４、ＩＤＳ設定要求フレーム作成部３４２及び転送可能端末ＤＢ３７０をさらに備える。
【００３８】
（通信部）
通信部３０１は、ネットワークからの通信をリンクレイヤまで終端し、暗号デコード部３０３へ渡す。また、暗号エンコード部３０４からフレームを受信した時は、リンクレイヤの処理をし、ネットワークへ送信する。
【００３９】
（暗号デコード部）
暗号デコード部３０３は、暗号化されているフレームに対して、復号化処理を行った上で、フレーム判定部３０２へそのフレームを渡す。暗号化されていないフレームに対しては、復号化処理を行わずに、そのフレームをフレーム判定部３０２へ渡す。
【００４０】
（暗号エンコード部）
暗号エンコード部３０４は、暗号化が必要なフレーム（例えば、リモート端末１０４へ送られるフレーム）に対して、暗号化処理を行い、通信部３０１へ当該フレームを転送する。暗号化の不要なフレーム（例えば、ＩＤＳ１０２へ送られるフレーム）に対しては、暗号化処理を行わずに、通信部３０１へ当該フレームを転送する。
【００４１】
（フレーム判定部）
フレーム判定部３０２は、暗号デコード部３０３から受信したフレームの種別を識別する。フレーム判定部３０２は、フレームの種別に応じて、次の機能ブロックへこのフレームを転送する。
【００４２】
図４は、受信したフレームと転送される機能ブロックとの関係を示したテーブルである。接続要求フレームは、認証要求フレーム作成部３１０へ転送される。認証結果通知フレームは、認証結果判断部３２０へ転送される。インベントリ情報回答フレームは、不正検出確認要求フレーム作成部３３０へ転送される。不正検出確認応答フレームは、不正検出確認応答確認部３４０へ転送される。ＩＤＳ設定終了フレームは、接続準備完了フレーム作成部３５０へ転送される。その他のフレーム３６５は、転送許可確認部３６０へ転送される。フレーム判定部３０２は、例えば、図４に示したようなテーブルＴ１００を有し、これを参照してフレームを転送する。
【００４３】
（認証要求フレーム作成部）
認証要求フレーム作成部３１０は、リモート端末１０４から受信した接続要求フレーム３１５に含まれるユーザ認証情報(例えば、ユーザ名、パスワード)を含む認証要求フレームを作成し、通信部３０１を経由して認証サーバ１１１に送信する。
【００４４】
（認証結果判断部）
認証結果判断部３２０は、認証要求フレームの回答として認証サーバ１１１から通知された認証結果通知フレームに基づいて処理を行う。認証ＯＫの場合、認証結果判断部３２０は、接続要求を送信したリモート端末１０４宛に、インベントリ情報の送付要求を送信する指示を、インベントリ情報要求フレーム作成部３２４へ出す。認証ＮＧの場合、認証結果判断部３２０は、ＶＰＮ接続を拒否することを、接続要求を送信したリモート端末１０４宛に送信する指示を、接続拒否フレーム作成部３２２へ出す。
【００４５】
（接続拒否フレーム作成部）
接続拒否フレーム作成部３２２は、リモート端末１０４からのＶＰＮ接続を拒否することを通知するフレームを作成し、認証結果判断部３２０から指示されたリモート端末１０４宛へ、暗号エンコード部３０４を経由して送信する。
【００４６】
（インベントリ情報要求フレーム作成部）
インベントリ情報要求フレーム作成部３２４は、リモート端末１０４のインベントリ情報を要求するフレームを作成し、認証結果判断部３２０から指示されたリモート端末１０４宛へ、暗号エンコード部３０４を経由して送信する。
【００４７】
（不正検出確認要求フレーム作成部）
不正検出確認要求フレーム作成部３３０は、インベントリ情報要求フレームの回答として得たリモート端末１０４のインベントリ情報を含む不正検出確認要求フレームを作成し、そのフレームをインベントリ管理サーバ１０５へ転送する。
【００４８】
（不正検出確認応答確認部）
不正検出確認応答確認部３４０は、インベントリ管理サーバ１０５から送信された不正検出確認応答フレームの回答結果に基づいて処理を行う。不正検出が不要な場合、不正検出確認応答確認部３４０は、接続要求を送信したリモート端末１０４がＶＰＮ接続後に送信するフレームに対して、不正検出処理を行わないことをＩＤＳ１０２へ通知するようＩＤＳ設定要求フレーム作成部３４２へ指示する。不正検出が不要な場合、ＶＰＮ−ＧＷ１０３の接続準備が終了したことを、接続要求を送信したリモート端末１０４へ通知するよう接続準備完了フレーム作成部３５０へ指示する。
【００４９】
（ＩＤＳ設定要求フレーム作成部）
ＩＤＳ設定要求フレーム作成部３４２は、不正検出確認応答確認部３４０から指示されたリモート端末１０４の識別子を、不正検出処理を行わない送信元の識別子（ＩＰアドレスなど）として、ＩＤＳ設定要求フレームを作成し、通信部３０１を経由してＩＤＳ１０２へ送信する。
【００５０】
（接続準備完了フレーム作成部）
接続準備完了フレーム作成部３５０は、転送許可端末ＤＢ３７０に認証済のリモート端末１０４の識別子を登録する。接続準備完了フレーム作成部３５０は、ＶＰＮ−ＧＷ１０３においてリモート端末１０４に対する接続準備が完了したことを通知する接続準備完了フレームを作成し、暗号エンコード部３０４を経由して接続要求を送信したリモート端末１０４へ送信する。
【００５１】
（転送許可確認部）
転送許可確認部３６０は、受信したフレームの送信元の識別子を検索キーとして、転送許可端末ＤＢ３７０を検索する。転送許可端末ＤＢ３７０にその識別子のエントリがある場合、受信フレームは接続許可した（認証済の）リモート端末が発信したフレームであるため、暗号エンコード部３０４及び通信部３０１経由で、エンタープライズ網１１４内の宛先ノードへこのフレームを転送する。転送許可端末ＤＢ３７０にエントリがない場合、受信フレームは接続許可していない（未認証の）端末が発信するフレームであるため、そのフレームを廃棄する。
【００５２】
（転送許可端末ＤＢ）
転送許可端末ＤＢ３７０は、認証済みのリモート端末１０４の識別子を保持しているデータベースである。接続準備完了フレーム作成部３５０によって、認証済みのリモート端末１０４の識別子が格納される。
【００５３】
《リモート端末》
リモート端末１０４は、エンタープライズ網１１４のユーザが外部網１００からエンタープライズ網１１４に接続する際に、使用する端末である。図５は、リモート端末１０４の機能ブロックを示す図である。
【００５４】
リモート端末１０４は、通信部４０１、暗号デコード部４０３、フレーム判定部４０２、インベントリ情報回答フレーム作成部４１０、インベントリ情報保持ＤＢ４１２、ＶＰＮ接続制御部４２０、接続要求フレーム作成部４２２、コンソール部４２８及びＯＳの通信部４３０を備える。
【００５５】
（通信部）
通信部４０１は、ネットワークからの通信をリンクレイヤまで終端し、フレームを暗号デコード部４０３へ渡す。また、フレームの送信時には、リンクレイヤの処理をし、ネットワークへ送信する。
【００５６】
（暗号デコード部）
暗号デコード部４０３は、暗号化されているフレームに対しては、復号化処理を行い、フレーム判定部４０２へそのフレームを渡す。暗号化されていないフレームに対しては、処理は行わずに、フレーム判定部４０２へそのフレームを渡す。
【００５７】
（暗号エンコード部）
暗号エンコード部４０４は、暗号化が必要なフレームに対して、暗号化処理を行い、通信部４０１へそのフレームを渡す。
【００５８】
（フレーム判定部）
フレーム判定部４０２は、暗号デコード部４０３から受信したフレームの種別を識別する。識別結果に応じて、次の機能ブロックへ受信したフレームを転送する。インベントリ情報要求フレームは、インベントリ回答フレーム作成部へ転送される。接続拒否フレーム及び接続準備回答フレームは、ＶＰＮ接続制御部４２０へ送られる。
【００５９】
図６は、受信したフレームと転送される機能ブロックとの関係を示したテーブルである。インベントリ情報要求フレームは、インベントリ情報回答フレーム作成部４１０へ転送される。接続拒否フレームおよび接続準備完了フレームは、ＶＰＮ接続制御部４２０へ転送される。フレーム判定部４０２は、例えば、図６に示したテーブルＴ２００を有し、このテーブルを参照してフレームを転送する。
【００６０】
（コンソール部）
コンソール部４２８は、ユーザとのインタフェース機能を有する。コンソール部４２８は、ＶＰＮ−ＧＷ１０３からの通知事項（接続準備完了や接続拒否）のユーザへの通知や、ＶＰＮ接続要求送信時に必要なユーザ認証情報（ＩＤ、パスワード等）のユーザからの入力を受け付ける。
【００６１】
（ＶＰＮ接続制御部）
ＶＰＮ接続制御部４２０は、リモート端末１０４がエンタープライズ網１１４へＶＰＮ接続するための制御部である。ＶＰＮ接続制御部４２０は、コンソール部４２８から接続要求を指示されたときには、入力された認証情報を含む接続要求フレームの作成を接続要求フレーム作成部４２２に指示する。
【００６２】
ＶＰＮ−ＧＷ１０３での認証に失敗し、接続拒否フレームを受信したときには、ＶＰＮ接続制御部４２０は、接続処理を終了し、コンソール部４２８を介してユーザへ通知する。
【００６３】
ＶＰＮ−ＧＷ１０３での認証に成功し、接続準備完了フレームを受信したときには、ＶＰＮ接続制御部４２０は、自端末のＯＳの通信部４３０へＶＰＮ接続ができたことを通知し、さらにコンソール部４２８を介してユーザへ通知する。
【００６４】
（接続要求フレーム作成部）
接続要求フレーム作成部４２２は、ＶＰＮ接続制御部４２０からの指示により、接続要求フレームを作成し、暗号エンコード部４０４を経由してＶＰＮ−ＧＷ１０３宛に送信する。
【００６５】
（インベントリ情報回答フレーム作成部）
インベントリ回答フレーム作成部４１０は、ＶＰＮ−ＧＷ１０３から要求されたインベントリ情報を、インベントリ情報保持ＤＢ４１２から得て、インベントリ情報回答フレームを作成する。インベントリ情報回答フレームは、暗号エンコード部４０４を経由して、ＶＰＮ−ＧＷ１０３宛に送信される。
【００６６】
（インベントリ情報保持ＤＢ）
インベントリ情報保持ＤＢ４１２は、リモート端末１０４のインベントリ情報を保持しているデータベース部である。あらかじめ、リモート端末１０４のインベントリ情報が収集され、インベントリ情報保持ＤＢ４１２に格納されている。
【００６７】
《インベントリ管理サーバ》
図７は、インベントリ管理サーバ１０５の機能ブロックを示す図である。インベントリ管理サーバ１０５は、通信部５０１、インベントリ比較部５１０、推奨インベントリ情報保持部５１２及び不正検出確認応答フレーム作成部５１４を備える。インベントリ管理サーバ１０５は、エンタープライズ網１１４のファイアウォール１０１の内側に設置される。
【００６８】
（通信部）
通信部５０１は、ネットワークからの通信をリンクレイヤまで終端し、インベントリ比較部５１０へ渡す。また、フレームの送信時には、リンクレイヤの処理をし、ネットワークへ送信する。
【００６９】
（インベントリ比較部）
インベントリ比較部５１０は、受信したＶＰＮ−ＧＷ１０３からの不正検出確認要求フ
レームに対し、ＶＰＮ−ＧＷ１０３に接続要求を出したリモート端末１０４のインベントリ情報と、推奨インベントリ情報保持ＤＢ５１２内の推奨インベントリ情報とを比較した上で、ＩＤＳ１０２で不正検出の要否を判断する。推奨インベントリ情報とリモート端末１０４のインベントリ情報とが一致した時は、インベントリ比較部５１０は不正検出が不要であると判断する。また、推奨インベントリ情報よりもリモート端末１０４のインベントリ情報の方がより安全であると判断された場合も、インベントリ比較部５１０は不正検出が不要であると判断することができる。インベントリ比較部５１０は、判断結果を含む不正検出確認応答フレームの作成を不正検出確認応答フレーム作成部５１４に指示する。
【００７０】
（推奨インベントリ情報保持ＤＢ）
推奨インベントリ情報保持ＤＢ５１２は、エンタープライズ網１１４で推奨する端末のインベントリ情報をあらかじめ保持している。エンタープライズ網１１４で推奨する端末のインベントリ情報は、エンタープライズ網１１４の管理者によって、随時、更新され得る。エンタープライズ網１１４の管理者は、エンタープライズ網接続時に、リモート端末へ推奨するウィルスチェックソフトウェアのパターンファイル情報やＯＳのセキュリティーホール対策パッチ情報などを、あらかじめデータベース化し、推奨インベントリ情報保持ＤＢ５１２に保持しておくことができる。
【００７１】
（不正検出確認応答フレーム作成部）
不正検出確認応答フレーム作成部５１４は、インベントリ比較部５１０からの指示により、不正検出確認応答フレームを作成する。このフレームは通信部５０１を経由して、ＶＰＮ−ＧＷ１０３へ送信される。
【００７２】
〈動作例〉
エンタープライズ網１１４のユーザが、外部網１００からリモート端末１０４を使用して、エンタープライズ網１１４に接続する際の動作例を説明する。
【００７３】
（不正検出を行わない場合）
図８は、不正検出を行わない場合のシーケンス例を示す図である。
【００７４】
リモート端末１０４は、エンタープライズ網１１４への接続を要求する（図８；ＳＱ１０２）。図９は、この時のリモート端末における処理のフローを示す図である。外部網１００からエンタープライズ網に接続を要求するユーザは、リモート端末１０４のコンソール部２２８を通じて、ユーザ認証情報とともに接続要求をする。コンソール部２２８は、ＶＰＮ接続制御部４２０に対し、ユーザ認証情報を送信しＶＰＮ接続を指示する。ＶＰＮ接続制御部４２０は、接続要求フレーム作成部４２２に対し、ユーザ認証情報を送信し、接続要求フレームの作成を指示する。接続要求フレーム作成部４２２は、接続要求フレームを作成し、暗号エンコード部４０４による暗号化処理をを経由して、通信部４０１へ送信する。
【００７５】
リモート端末１０４の通信部４０１は、ＶＰＮ−ＧＷ１０３に対して、エンタープライズ網１１４への接続要求（接続要求フレーム）を送信する（図８；ＳＱ１０４）。
【００７６】
ＶＰＮ−ＧＷ１０３は、接続要求フレームを受信し、認証要求フレームを作成する（図８；ＳＱ１０６）。図１０は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、リモート端末１０４から接続要求フレームを受信すると、そのフレームを暗号デコード部３０３へ転送する。暗号デコード部３０３は、接続要求フレームを復号化し、フレーム判定部３０２へ転送する。フレーム判定部３０２は、接続要求フレームを認証要求フレーム作成部３１０へ転送する。認証要求フレーム作成部３１０は、接続要求フレームに含まれるユーザ認証情報を含む認証要求フレームを作成し、暗号エ
ンコード部３０４を経由して通信部３０１へ送信する。この認証要求フレームは、暗号エンコード部３０４では暗号化されない。認証サーバ１１１へ送られるフレームだからである。
【００７７】
ＶＰＮ−ＧＷ１０３の通信部３０１は、認証要求フレームを認証サーバ１１１へ送信する（図８；ＳＱ１０８）。
【００７８】
認証サーバ１１１は、認証要求フレームに含まれるユーザ認証情報が登録されているか否かを確認する（図８；ＳＱ１１０）。認証サーバ１１１は、そのユーザ認証情報が登録されているものと確認すると、認証結果通知フレームを作成し、ＶＰＮ−ＧＷ１０３へ送信する（図８；ＳＱ１１２）。
【００７９】
ＶＰＮ−ＧＷ１０３は、認証サーバ１１１から認証結果通知フレームを受信し、認証ＯＫであれば、インベントリ情報要求フレームをリモート端末１０４へ送信する（図８；ＳＱ１１４）。図１１は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、認証結果通知フレームを暗号デコード部を経由してフレーム判定部３０２へ送信する。フレーム判定部３０２は、認証結果通知フレームを認証結果判断部３２０へ送信する。認証結果判断部３２０は、認証ＯＫの場合、インベントリ情報要求フレーム作成部３２４に対し、インベントリ情報要求フレームの作成を指示する。インベントリ情報要求フレーム作成部３２４は、リモート端末１０４に対するインベントリ情報要求フレームを作成し、暗号エンコード部３０４で暗号化する。暗号化されたインベントリ情報要求フレームは、通信部３０１へ送られる。
【００８０】
ＶＰＮ−ＧＷ１０３の通信部３０４は、インベントリ情報要求フレームを、リモート端末１０４へ送信する（図８；ＳＱ１１６）。
【００８１】
図１２は、インベントリ情報要求フレームのフォーマット例を示す図である。図１２において、インベントリ情報要求フレームは、例えば、ＴＣＰ／ＩＰヘッダ、メッセージ種別、メッセージＩＤを備える。ＴＣＰ／ＩＰヘッダのフィールドは、既存のＴＣＰ／ＩＰヘッダを格納するフィールドである。メッセージ種別のフィールドは、メッセージ種別を示すフィールドである。メッセージＩＤのフィールドは、インベントリ情報要求フレームを送受信する機器がメッセージを一意に識別するＩＤを格納するフィールドである。図１３は、メッセージ種別のフィールドに格納されるコード番号とメッセージ種別との対応関係を示すテーブルＴ５００を示す。例えば、メッセージ種別が「０」のときは、そのフレームが「インベントリ情報要求フレーム」であることを示す。インベントリ情報要求フレーム作成部３２４は、テーブルＴ５００に従って、メッセージ種別フィールドに「０」をセットする。
【００８２】
リモート端末１０４は、インベントリ情報要求フレームを受信すると、インベントリ情報回答フレームを作成する（図８；ＳＱ１１８）。図１４は、この時のリモート端末１０４の処理のフローを示す図である。通信部４０１は、インベントリ情報要求フレームを受信すると、暗号デコード部４０３でそのフレームを復号化して、フレーム判定部４０２へ送信する。フレーム判定部４０２は、インベントリ情報要求フレームをインベントリ情報回答フレーム作成部４１０へ送信する。インベントリ情報回答フレーム作成部４１０は、インベントリ情報要求フレームで要求されたインベントリ情報を、インベントリ情報保持ＤＢ４１２から取得する。インベントリ情報回答フレーム作成部４１０は、その取得した情報により、インベントリ情報回答フレームを作成し、暗号エンコード部４０４で、そのフレームを暗号化する。暗号化されたインベントリ情報回答フレームは、通信部４０１へ送られる。
【００８３】
リモート端末１０４の通信部４０１は、インベントリ情報回答フレームをＶＰＮ−ＧＷ１０３に送信する（図８；ＳＱ１２０）。
【００８４】
インベントリ情報回答フレームには、例えば、インベントリ情報として、ＯＳ種別、ＯＳのパッチ番号、アンチウィルスソフト種別、アンチウィルスソフトのパターンファイル番号、アンチウィルスソフトによる最新のチェック（スキャン）日時とそのときの構成、の情報が含まれる。図１５は、上記したインベントリ情報に含まれる情報の構成例を示す。
【００８５】
ＶＰＮ−ＧＷ１０３は、インベントリ情報回答フレームで得たリモート端末１０４のインベントリ情報を不正検出確認フレームを作成する（図８；ＳＱ１２２）。図１６は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、インベントリ情報回答フレームを暗号デコード部３０３で復号化し、フレーム判定部３０２へ送信する。フレーム判定部３０２は、インベントリ情報回答フレームを不正検出確認要求フレーム作成部３３０へ送信する。不正検出確認要求フレーム作成部３３０は、リモート端末１０４のインベントリ情報を含む不正検出確認要求フレームを作成し、通信部３０１へ送信する。
【００８６】
ＶＰＮ−ＧＷ１０３の通信部３０１は、不正検出確認要求フレームを、インベントリ管理サーバ１０５に転送する（図８；ＳＱ１２４）。
【００８７】
図１７は、インベントリ情報回答フレームのフォーマット例を示す図である。インベントリ情報回答フレームは、例えば、ＴＣＰ／ＩＰヘッダ、メッセージ種別、メッセージＩＤ、インベントリ情報の各フィールドを備える。ＴＣＰ／ＩＰヘッダのフィールドは、既存のＴＣＰ／ＩＰヘッダを格納するフィールドである。メッセージ種別のフィールドは、メッセージ種別を示すフィールドである。メッセージＩＤのフィールドは、受信したインベントリ情報要求フレームのメッセージＩＤと同一の値を格納するフィールドである。インベントリ情報のフィールドは、インベントリ情報を格納するフィールドである。
【００８８】
インベントリ管理サーバ１０５は、不正検出確認要求フレームを受信し、不正検出確認応答フレームを作成する（図８；ＳＱ１２６）。図１８は、インベントリ管理サーバ１０５における処理のフローを示す図である。通信部５０１は、ＶＰＮ−ＧＷ１０３から受信した不正検出確認要求フレームをインベントリ比較部５１０へ送信する。インベントリ比較部５１０は、推奨インベントリ情報保持ＤＢ５１２の推奨インベントリ情報とリモート端末１０４のインベントリ情報とを比較する。比較の結果、ＩＤＳ１０２での不正検出不要と判断すると、判断結果を含む不正検出確認応答フレームの作成を不正検出確認応答フレーム作成部５１４に指示する。不正検出確認応答フレーム作成部５１４は、不正検出が不要であることを含む不正検出確認応答フレームを作成し、通信部５０１に送信する。
【００８９】
図１９は、不正検出確認応答フレームのフォーマット例を示す図である。不正検出確認応答フレームは、例えば、ＴＣＰ／ＩＰヘッダ、メッセージ種別、メッセージＩＤ、不正検出要不要判定結果の各フィールドを備える。ＴＣＰ／ＩＰヘッダのフィールドは、既存のＴＣＰ／ＩＰヘッダを格納するフィールドである。メッセージ種別のフィールドは、メッセージ種別を示すフィールドである。メッセージＩＤのフィールドは、受信した不正検出確認要求フレームのメッセージＩＤと同一の値を格納するフィールドである。不正検出要不要判定結果のフィールドは、インベントリ管理サーバが、不正検出確認要求フレームで受信したインベントリ情報と、推奨インベントリとを比較した結果、すなわちＩＤＳで不正検出が必要であるか否かの判定結果を格納するフィールドである。
【００９０】
インベントリ管理サーバ１０５の通信部５０１は、不正検出確認応答フレームを、ＶＰ
Ｎ−ＧＷ１０３に対して送信する（図８；ＳＱ１２８）。
【００９１】
ＶＰＮ−ＧＷ１０３は、不正検出確認応答フレームを受信し、ＩＤＳ設定要求フレームを作成する（図８；ＳＱ１３０）。図２０は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、不正検出確認応答フレームを、フレーム判定部３０２へ送信する。フレーム判定部３０２は、その不正検出確認応答フレームを不正検出確認応答確認部３４０へ送信する。不正検出確認応答確認部３４０は、その不正検出確認応答フレーム中の判断結果から不正検出が不要な場合、リモート端末１０４がＶＰＮ接続後に送信するフレームに対して、不正検出処理を行わないことをＩＤＳ１０２へ通知するフレームの作成をＩＤＳ設定要求フレーム作成部３４２に指示する。ＩＤＳ設定要求フレーム作成部３４２は、ＩＤＳ設定要求フレームを作成し、暗号エンコード部３０４で暗号化する。暗号化されたＩＤＳ設定要求フレームは、通信部３０１へ送信される。
【００９２】
図２１は、ＩＤＳ設定要求フレームのフォーマット例を示す図である。ＩＤＳ設定要求フレームは、例えば、ＴＣＰ／ＩＰヘッダ、メッセージ種別、メッセージＩＤ、リモート端末識別子の各フィールドを備える。ＴＣＰ／ＩＰヘッダのフィールドは、既存のＴＣＰ／ＩＰヘッダを格納するフィールドである。メッセージ種別のフィールドは、メッセージ種別を示すフィールドである。メッセージＩＤのフィールドは、ＩＤＳ設定要求フレームを送受信する機器がメッセージを一意に識別するＩＤのためのフィールドである。リモート端末識別子のフィールドは、ＩＤＳで不正検出を行わないリモート端末の識別子を格納するフィールドである。
【００９３】
ＶＰＮ−ＧＷ１０３の通信部３０４は、リモート端末１０４の識別子（例えば、ＩＰアドレス）をＩＤＳ設定要求フレームにより、ＩＤＳ１０２に通知する（図８；ＳＱ１３２）。
【００９４】
ＩＤＳ１０２は、リモート端末１０４の識別子を送信元として有するフレームに対しては不正検出を行わないことを自装置内に設定する（図８；ＳＱ１３４）。図２２は、この時のＩＤＳ１０２における処理のフローを示す図である。通信部２０１は、ＩＤＳ設定要求フレームをフレーム判定部２０２へ送信する。フレーム判定部２０２は、リモート端末識別子設定部２１０へそのフレームを送信する。リモート端末識別子設定部２１０は、ＩＤＳ設定要求フレーム内に含まれるリモート端末１０４の識別子を不正検出不要ノード識別子ＤＢ部２１４に格納する。また、リモート端末２１０は、ＩＤＳ設定終了フレーム作成部２１２にＩＤＳ設定終了フレームの作成を指示する。ＩＤＳ設定終了フレーム作成部は、ＩＤＳ設定終了フレームを作成し、通信部２０１へ送信する。
【００９５】
ＩＤＳ１０２の通信部２０１は、設定が完了したことをＩＤＳ設定終了フレームにより、ＶＰＮ−ＧＷ１０３に通知する（図８；ＳＱ１３６）。
【００９６】
図２３は、ＩＤＳ設定終了フレームのフォーマット例を示す図である。ＩＤＳ設定終了フレームは、例えば、ＴＣＰ／ＩＰヘッダ、メッセージ種別、メッセージＩＤ及び設定結果の各フィールドを備える。メッセージＩＤのフィールドは、受信したＩＤＳ設定要求フレームのメッセージＩＤの値と同一の値が入るフィールドである。測定結果のフィールドは、ＩＤＳ設定要求フレームを受信したＩＤＳ１０２が、不正検出を行わないための設定を行った結果をＶＰＮ−ＧＷ１０３に通知するフィールドである。
【００９７】
ＶＰＮ−ＧＷ１０３は、ＩＤＳ設定終了フレームを受信し、接続準備完了フレームを作成する（図８；ＳＱ１３８）。図２４は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、受信したＩＤＳ設定終了フレームをフレーム判定部３０２に送信する。フレーム判定部３０２は、このフレームを接続準備完了フレーム作
成部３５０に送信する。接続準備完了フレーム作成部３５０は、転送許可端末３７０に接続準備完了フレームに含まれるリモート端末１０４の識別子を、転送許可端末ＤＢ３７０に格納する。接続準備完了フレーム作成部３５０は、リモート端末１０４に対する接続準備が完了したことを通知する接続準備完了フレームを作成し、このフレームを暗号エンコード部３０４で暗号化する。暗号化された接続準備完了フレームは、通信部３０１に送信される。
【００９８】
ＶＰＮ−ＧＷ１０３の通信部３０１は、リモート端末１０４に対して、接続準備完了フレームを送信する（図８；ＳＱ１４０）。
【００９９】
リモート端末１０４は、接続準備完了フレームを受信すると、エンタープライズ網１１４への接続を準備する（図８；ＳＱ１４２）。図２５は、この時のリモート端末１０４における処理のフローを示す図である。通信部４０１は、受信した接続完了フレームを、暗号デコード部で復号化し、フレーム判定部４０２に送信する。フレーム判定部は、接続準備完了フレームを、ＶＰＮ接続制御部４２０に送信する。ＶＰＮ接続制御部４２０は、自端末のＯＳの通信部４３０へＶＰＮ接続ができたことを通知する。また、ＶＰＮ接続制御部４２０は、コンソール部４２８を通じてユーザにＶＰＮ接続ができたことを通知する。これにより、リモート端末１０４からエンタープライズ網への通信が可能となる。
【０１００】
リモート端末１０４は、エンタープライズ網１１４への通信を開始する（図８；ＳＱ１４４）。
【０１０１】
ＶＰＮ−ＧＷ１０３は、リモート端末１０４から通信のフレームを受信すると、転送の可否を判断し、転送可能であればエンタープライズ網１１４へ転送する（図８；ＳＱ１４６）。図２６は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、リモート端末１０４から通信のフレームを受信すると、暗号デコード部３０３に送信する。暗号デコード部は、そのフレームを復号化して、フレーム判定部３０２に送信する。フレーム判定部３０２は、復号化されたフレームを転送許可確認部３６０に送信する。転送許可確認部３６０は、受信したフレームの送信元の識別子（即ちリモート端末１０４の識別子）が、転送許可端末ＤＢ３７０に存在するか否かを確認する。転送許可端末ＤＢ３７０にその識別子が存在する場合、転送許可確認部３６０は、そのフレームを暗号エンコード部を経由して通信部３０１に送る。
【０１０２】
ＶＰＮ−ＧＷ１０３の通信部３０１は、転送許可確認部３６０から受信したフレームをエンタープライズ網１１４内の宛先ノードへ転送する（図８；ＳＱ１４８）。
【０１０３】
ＩＤＳ１０２は、リモート端末１０４からの通信に対しては、不正検出を行わない（図８；ＳＱ１５０）。図２７は、この時のＩＤＳ１０２における処理のフローを示す図である。通信部２０１は、受信したリモート端末１０４からの通信フレームをフレーム判定部２０２に送信する。フレーム判定部２０２は、そのフレームを不正検出要否判定部２２０に送信する。不正検出要否判定部２２０は、受信したフレームの送信元の識別子が不正検出不要ノード識別子ＤＢ部２１４に存在するか否かを確認する。不正検出要否判定部２２０にその識別子が存在する場合、不正検出要否判定部２２０は、不正検出が不要であると判断して不正検出処理を終了する。ここでは、リモート端末１０４の識別子は、不正検出不要ノード識別子ＤＢ部２１４に格納されているので、不正検出部２２２による処理は行われない。
【０１０４】
（不正検出を行う場合）
図２８は、不正検出を行う場合のシーケンス例を示す図である。
【０１０５】
リモート端末１０４がエンタープライズ網１１４への接続を要求（図２８；ＳＱ２０２）してから、ＶＰＮ−ＧＷ１０３がインベントリ管理サーバ１０５から不正検出確認応答フレームを受信（図２８；ＳＱ２２８）するまでは、不正検出を行わない場合（図８；ＳＱ１０２からＳＱ１２８）と同様である。よって、この部分については、説明を省略する。
【０１０６】
ＶＰＮ−ＧＷ１０３は、インベントリ管理サーバ１０５から、不正検出が必要である旨の不正検出要不要判定結果（図１９）が含まれる不正検出確認応答フレームを受信し、接続準備完了フレームをリモート端末へ送信する（図２８；ＳＱ２３０）。図２９は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、不正検出確認応答フレームを受信すると、暗号デコード部を経由して、フレーム判定部３０２に送信する。フレーム判定部は、そのフレームを不正検出確認応答確認部３４０に送信する。不正検出確認応答確認部３４０は、受信した不正検出確認応答フレームに不正検出が必要である旨が含まれていることを確認する。不正検出応答確認部３４０は、受信したフレームの送信元識別子（認証済のリモート端末１０４の識別子）とともに、接続準備完了フレーム作成部３５０に接続準備完了フレームの作成を指示する。接続準備完了フレーム作成部３５０は、転送許可端末ＤＢに認証済のリモート端末の識別子を格納する。接続準備完了フレーム作成部３６０は、接続準備完了フレームを作成し、暗号エンコード部で暗号化する。暗号化された接続準備完了フレームは、通信部３０１に送信される。ここでは、不正検出を行わない場合と異なりＩＤＳ１０２に対して何も指示しない。
【０１０７】
ＶＰＮ−ＧＷ１０３の通信部３０１は、接続準備完了フレームをリモート端末１０４へ送信する（図２８；ＳＱ２４０）。
【０１０８】
リモート端末１０４は、接続準備完了フレームを受信すると、エンタープライズ網１１４への接続を準備する（図２８；ＳＱ２４２）。図３０は、この時のリモート端末１０４における処理のフローを示す図である。通信部４０１は、受信した接続完了フレームを、暗号デコード部で復号化し、フレーム判定部４０２に送信する。フレーム判定部４０２は、接続準備完了フレームを、ＶＰＮ接続制御部４２０に送信する。ＶＰＮ接続制御部４２０は、自端末のＯＳの通信部４３０へＶＰＮ接続ができたことを通知する。また、ＶＰＮ接続制御部４２０は、コンソール部４２８を通じてユーザにＶＰＮ接続ができたことを通知する。これにより、リモート端末１０４からエンタープライズ網への通信が可能となる。
【０１０９】
リモート端末１０４は、エンタープライズ網１１４への通信を開始する（図２８；ＳＱ２４４）。
【０１１０】
ＶＰＮ−ＧＷ１０３は、リモート端末１０４から通信のフレームを受信すると、転送の可否を判断し、転送可能であればエンタープライズ網１１４へ転送する（図２８；ＳＱ２４６）。図３１は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、リモート端末から通信のフレームを受信すると、暗号デコード部３０３に送信する。暗号デコード部は、そのフレームを復号化して、フレーム判定部３０２に送信する。フレーム判定部３０２は、復号化されたフレームを転送許可確認部３６０に送信する。転送許可確認部３６０は、受信したフレームの送信元の識別子が、転送許可端末ＤＢ３７０に存在するか否かを確認する。転送許可端末ＤＢ３７０にその識別子が存在する場合、転送許可確認部３６０は、そのフレームを暗号エンコード部３０４を経由して通信部３０１に送る。
【０１１１】
ＩＤＳ１０２は、リモート端末１０４からの通信に対しては、不正検出を行う（図２８；ＳＱ２５０）。図３２は、この時のＩＤＳ１０２における処理のフローを示す図である
。通信部２０１は、受信したフレームをフレーム判定部２０２に送信する。フレーム判定部２０２は、そのフレームを不正検出要否判定部２２０に送信する。不正検出要否判定部２２０は、受信したフレームの送信元の識別子が不正検出不要ノード識別子ＤＢ部２１４に存在するか否かを確認する。不正検出要否判定部２２０にその識別子が存在しない場合、不正検出要否判定部２２０は、不正検出が必要であると判断して不正検出部２２２にそのフレームを送信する。不正検出部２２２は、不正パターンＤＢ２２４に保持されているパターンと受信したフレームとが一致するか否かにより不正検出を行う。一致した場合には不正なフレームであるため、不正検出部２２２は、そのフレームを廃棄し、その不正なフレームの情報を不正フレームログ部２２６に記録し、コンソール部２２８へ通知する。一致しなかった場合には、不正検出部２２２は、そのフレームは問題のないフレームであると判断し、そのフレームに対しての処理を終了する。
【０１１２】
〈実施形態の効果〉
本実施形態によると、ユーザの操作などにより、リモート端末１０４からエンタープライズ網１１４に接続要求がされると、エンタープライズ網１１４のＶＰＮ−ＧＷ１０３を経由して、認証サーバ１１１によるユーザ認証が行われる。ユーザ認証に成功すると、ＶＰＮ−ＧＷ１０３は、リモート端末１０４に対し、インベントリ情報を要求する。インベントリ管理サーバ１０５は、そのリモート端末１０４のインベントリ情報とエンタープライズ網１１４の管理者等により登録される推奨インベントリ情報を比較して、不正検出の要否を判断する。不正検出が、不要であると判断すると、ＩＤＳ１０２にリモート端末１０４の識別子情報が登録される。ＩＤＳ１０２への登録が終了すると、接続準備完了がリモート端末１０４に通知される。リモート端末１０４は、エンタープライズ網１１４に対する通信を開始する。この際、ＩＤＳ１０２は、そのリモート端末１０４からの通信フレームに対して、不正検出を行わない。
【０１１３】
エンタープライズ網１１４のユーザが社外等で使うリモート端末１０４が安全である場合、すなわち、リモート端末１０４がウィルスなどに感染しておらず、エンタープライズ網への攻撃リスクがない場合、リモート端末１０４がエンタープライズ網１１４に接続する際、ＩＤＳ１０２はネットワークの不正検出を行わない。
【０１１４】
リモート端末１０４はウィルスチェックソフトウェアやＯＳのセキュリティーホール対策パッチにより安全性を確保している。そのため、リモート端末１０４に対して、ネットワーク上のＩＤＳでの不正検出のチェックを行わない。即ち、ＩＤＳ１０２は、攻撃リスクがないフレームの不正検出を行わず、その他のフレーム（トラフィック）の不正検出を選択的に行うことができる。従って、ＩＤＳ１０２による効率的な不正検出が可能となる。
【０１１５】
〔その他〕
上述した実施形態は、以下の発明の開示を含む。以下の発明は必要に応じて適宜組み合わせることができる。
【０１１６】
（付記１）
端末から網へ転送されるフレームを中継するフレーム中継装置であって、
前記端末から前記網へのフレーム送信が開始される前に、前記端末からのフレームに対する安全性の検査が必要か否かを判定する判定部と、
安全性の検査が必要でない場合に、フレーム中継装置と前記網との間のフレーム伝送路上に位置し、前記網へ転送されるフレームを受信して安全性の検査を行う検査装置において前記端末からのフレームに対する安全性の検査を行わないことを決定し、安全性の検査が必要である場合に前記検査装置において前記端末からのフレームに対する安全性の検査を行うことを決定する決定部と、
決定結果に基づく指示を前記検査装置へ出力する出力部と、
を含むフレーム中継装置。（１）
（付記２）
前記判定部は、前記端末から送信されるフレームの安全性が前記網の要求する条件を満たしているか否かを判定することによって、前記検査が必要であるか否かを判定する
付記１に記載のフレーム中継装置。（２）
（付記３）
前記判定部は、前記端末における、送信クレームの安全性を確保するための状態が、前記網の要求する条件を満たすか否かを判定する
付記１に記載のフレーム中継装置。
【０１１７】
（付記４）
前記端末からの前記網への接続要求を受信した場合に、前記端末の安全性に係る情報を前記端末から取得する手段と、
前記端末の安全性に係る情報に基づき前記検査が必要か否かの判断を判断装置に問い合わせる手段とをさらに含み、
前記判定部は、前記判断装置の判定結果にしたがって前記検査が必要か否かを判定する付記１に記載のフレーム中継装置。（３）
（付記５）
前記端末にインストールされているオペレーティングシステムの種別が前記網で許可されている種別でない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
【０１１８】
（付記５）
前記端末にインストールされているアンチウィルスソフトの種別が前記網で許可されている種別でない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
【０１１９】
（付記６）
前記端末にインストールされているオペレーティングシステムのパッチ番号が前記網での規定を満たさない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
【０１２０】
（付記７）
前記端末にインストールされているアンチウィルスソフトのパターンファイルが前記網での規定を満たさない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
【０１２１】
（付記８）
フレームの受信部と、
フレームに対する安全性の検査を行う検査部と、
前記検査部による安全性の検査を要しない端末の識別情報が登録される記憶部と、
前記受信部でフレームが受信されたときに、このフレームの送信元端末の識別情報が前記記憶部に登録されている場合には、このフレームに対する前記検査部の検査を行わないことを決定する決定部と、
を含むフレーム検査装置。（４）
（付記９）
端末から網へ転送されるフレームを中継するフレーム中継装置から、前記検査を要しない端末の識別情報を受信して前記記憶部に登録する登録部をさらに備え、
前記受信部は、前記フレーム中継装置から前記網へ転送される前記端末からのフレーム
を受信する
付記８に記載のフレーム検査装置。（５）
【図面の簡単な説明】
【０１２２】
【図１】システム構成例を示す図である。
【図２】ＩＤＳの機能ブロックの例を示す図である。
【図３】ＶＰＮ−ＧＷの機能ブロックの例を示す図である。
【図４】受信したフレームと転送される機能ブロックとの関係を示すテーブルである。
【図５】リモート端末の機能ブロックの例を示す図である。
【図６】受信したフレームと転送される機能ブロックとの関係を示すテーブルである。
【図７】インベントリ管理サーバの機能ブロックの例を示す図である。
【図８】不正検出を行わない場合のシーケンスの例を示す図である。
【図９】リモート端末の機能ブロックフローの例を示す図である。
【図１０】ＶＰＮ−ＧＷの機能ブロックフローの例を示す図である。
【図１１】ＶＰＮ−ＧＷの機能ブロックフローの例を示す図である。
【図１２】インベントリ情報要求フレームのフォーマット例を示す図である。
【図１３】メッセージ種別の対応例を示すテーブルである。
【図１４】リモート端末の機能ブロックフローの例を示す図である。
【図１５】インベントリの構成例を示す図である。
【図１６】ＶＰＮ−ＧＷの機能ブロックフローの例を示す図である。
【図１７】インベントリ情報回答フレームのフォーマット例を示す図である。
【図１８】インベントリ管理サーバの機能ブロックフローの例を示す図である。
【図１９】不正検出確認応答フレームのフォーマット例を示す図である。
【図２０】ＶＰＮ−ＧＷの機能ブロックフローの例を示す図である。
【図２１】ＩＤＳ設定要求フレームのフォーマット例を示す図である。
【図２２】ＩＤＳの機能ブロックフローの例を示す図である。
【図２３】ＩＤＳ設定終了フレームのフォーマット例を示す図である。
【図２４】ＶＰＮ−ＧＷの機能ブロックフローの例を示す図である。
【図２５】リモート端末の機能ブロックフローの例を示す図である。
【図２６】ＶＰＮ−ＧＷの機能ブロックフローの例を示す図である。
【図２７】ＩＤＳの機能ブロックフローの例を示す図である。
【図２８】不正検出を行う場合のシーケンスの例を示す図である。
【図２９】ＶＰＮ−ＧＷの機能ブロックフローの例を示す図である。
【図３０】リモート端末の機能ブロックフローの例を示す図である。
【図３１】ＶＰＮ−ＧＷの機能ブロックフローの例を示す図である。
【図３２】ＩＤＳの機能ブロックフローの例を示す図である。
【図３３】一般的なネットワークの構成例を示す図である。
【図３４】一般的なネットワークへの接続を説明する図である。
【符号の説明】
【０１２３】
１００      外部網
１０１      ファイアウォール
１０２      ＩＤＳ
１０３      ＶＰＮ−ＧＷ
１０４      出先や自宅（リモート端末）
１０５      インベントリ管理サーバ
１０６      ルータ
１０８      Ｌ２スイッチ
１１０      ルータ
１１１      認証サーバ
１１２      社外向けサーバ群
１１４      エンタープライズ網
１１６      社内向けサーバ群
２０１      通信部
２０２      フレーム判定部
２１０      リモート端末識別子設定部
２１２      ＩＤＳ設定終了フレーム作成部
２１４      不正検出不要ノード識別子ＤＢ部
２２０      不正検出要否判定部
２２２      不正検出部
２２４      不正パターンＤＢ部
２２６      廃棄ログ部
２２８      コンソール部
３０１      通信部
３０３      暗号デコード部
３０４      暗号エンコード部
３１０      認証要求フレーム作成部
３２０      認証結果判断部
３２２      接続拒否フレーム作成部
３２４      インベントリ情報要求フレーム作成部
３３０      不正検出確認要求フレーム作成部
３４０      認証検出確認応答確認部
３４２      ＩＤＳ認定要求フレーム作成部
３５０      接続準備完了フレーム作成部
３６０      転送認可確認部
３７０      転送許可端末ＤＢ
４０１      通信部
４０２      フレーム判定部
４０３      暗号デコード部
４０４      暗号エンコード部
４１０      インベントリ情報回答フレーム作成部
４１２      インベントリ情報保持ＤＢ
４２０      ＶＰＮ接続制御部
４２２      接続要求フレーム作成部
４２８      コンソール部
４３０      ＯＳの通信部
５０１      通信部
５１０      インベントリ比較部
５１２      推奨インベントリ情報保持ＤＢ
５１４      不正検出確認応答フレーム作成部
【図１】
0004823728.tif 000002
【図２】
0004823728.tif 000003
【図３】
0004823728.tif 000004
【図４】
0004823728.tif 000005
【図５】
0004823728.tif 000006
【図６】
0004823728.tif 000007
【図７】
0004823728.tif 000008
【図８】
0004823728.tif 000009
【図９】
0004823728.tif 000010
【図１０】
0004823728.tif 000011
【図１１】
0004823728.tif 000012
【図１２】
0004823728.tif 000013
【図１３】
0004823728.tif 000014
【図１４】
0004823728.tif 000015
【図１５】
0004823728.tif 000016
【図１６】
0004823728.tif 000017
【図１７】
0004823728.tif 000018
【図１８】
0004823728.tif 000019
【図１９】
0004823728.tif 000020
【図２０】
0004823728.tif 000021
【図２１】
0004823728.tif 000022
【図２２】
0004823728.tif 000023
【図２３】
0004823728.tif 000024
【図２４】
0004823728.tif 000025
【図２５】
0004823728.tif 000026
【図２６】
0004823728.tif 000027
【図２７】
0004823728.tif 000028
【図２８】
0004823728.tif 000029
【図２９】
0004823728.tif 000030
【図３０】
0004823728.tif 000031
【図３１】
0004823728.tif 000032
【図３２】
0004823728.tif 000033
【図３３】
0004823728.tif 000034
【図３４】
0004823728.tif 000035