(57)【要約】【課題】ネットワークに接続されたコンピュータにコンピュータウィルスが感染することを適切に防止することができるネットワーク接続制御プログラム、ネットワーク接続制御方法およびネットワーク接続制御装置を提供すること。【解決手段】スイッチ２０の通信処理部２１が、端末装置１０のセキュリティ対策レベルデータ５０に基づいて管理サーバ装置３０により判定された端末装置１０のネットワーク４０に対する接続可否の情報を受け付け、受け付けた情報に基づいて、端末装置１０のネットワーク４０に対する接続を制御する。【選択図】        図１
2005165561.tif 000002
【特許請求の範囲】
【請求項１】
所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するコンピュータで実行されるネットワーク接続制御プログラムであって、
前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付ける接続制御情報受付手順と、
前記接続制御情報受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手順と、
をコンピュータに実行させることを特徴とするネットワーク接続制御プログラム。
【請求項２】
前記接続制御手順は、前記ネットワークが複数のネットワークに分割されている場合に、前記接続制御情報受付手順により受け付けた接続制御情報に基づいて該複数のネットワークにおいて前記所定のコンピュータの接続を許可するネットワークを制限することを特徴とする請求項１に記載のネットワーク接続制御プログラム。
【請求項３】
所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するコンピュータで実行されるネットワーク接続制御プログラムであって、
前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報を受け付けて、セキュリティの対策状況が十分であるか否かを判定するセキュリティ対策状況判定手順と、
前記セキュリティ対策状況判定手順により判定された判定結果に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手順と、
をコンピュータに実行させることを特徴とするネットワーク接続制御プログラム。
【請求項４】
所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御方法であって、
前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付ける接続制御情報受付工程と、
前記接続制御情報受付工程により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御工程と、
を含んだことを特徴とするネットワーク接続制御方法。
【請求項５】
所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御装置であって、
前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付ける接続制御情報受付手段と、
前記接続制御情報受付手段により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手段と、
を備えたことを特徴とするネットワーク接続制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御プログラム、ネットワーク接続制御方法およびネットワーク接続制御装置に関し、特に、ネットワークに接続されたコンピュータにコンピュータウィルスが感染することを適切に防止することができるネットワーク接続制御プログラム、ネットワーク接続制御方法およびネットワーク接続制御装置に関する。
【背景技術】
【０００２】
従来、他のコンピュータとの間でデータの授受をおこなう場合に、ＦＤ（フレキシブルディスク）やＣＤ−Ｒ（ＣＤレコーダブル）などの記憶媒体を介してデータの授受をおこなうことに加え、ネットワークを介して他のコンピュータに直接アクセスしてデータの授受をおこなうことが一般的におこなわれている。
【０００３】
また、他のコンピュータからのアクセスを無条件に認めるのではなく、コンピュータをネットワークに接続させるスイッチや無線ネットワークアクセスポイントなどの装置がＩＥＥＥ８０２．１ｘ等の規格に基づいてユーザ認証をおこなって、接続許可を有しないユーザからのアクセスを制限することもおこなわれている。
【０００４】
ところが、コンピュータウィルスなどによる攻撃からネットワークに接続されたコンピュータを防御するためには、ユーザ認証だけでは不十分である。すなわち、たとえユーザ認証をおこなって悪意のないユーザにのみ接続を許可することとしても、ユーザが気付かないうちにコンピュータウィルスに感染しているような場合には、コンピュータウィルスによる被害を拡大させることになる。
【０００５】
そこで、他のコンピュータとの間で通信をおこなう場合に、相手コンピュータのウィルス検査情報を確認し、相手がウィルス検査をした安全なコンピュータであることを確認した後に通信を開始するウィルス感染プロテクト方法が開示されている（特許文献１参照）。
【０００６】
【特許文献１】特開平７−２８１９８０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、特許文献１の従来技術では、ウィルスに感染しているコンピュータが、ネットワークを介して相手コンピュータに接続すると、そのネットワークに接続されたすべてのコンピュータに上記ウィルス感染プロテクト方法を適用していない限り、他のコンピュータにも感染が広がってしまう可能性が生じるという問題があった。
【０００８】
このため、相手コンピュータと自コンピュータとの間でのウィルス感染防止だけでなく、ネットワークに接続されたその他のコンピュータに対する感染防止をおこなうことのできる実用的な方法を開発することが重要な課題となっている。
【０００９】
この発明は、上述した従来技術による問題点を解消するためになされたものであり、ネットワークに接続されたコンピュータにコンピュータウィルスが感染することを適切に防止することができるネットワーク接続制御プログラム、ネットワーク接続制御方法およびネットワーク接続制御装置を提供することを目的とする。
【課題を解決するための手段】
【００１０】
上述した課題を解決し、目的を達成するため、本発明は、所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御プログラムであって、前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付ける接続制御情報受付手順と、前記接続制御情報受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手順と、をコンピュータに実行させることを特徴とする。
【００１１】
また、本発明は、前記接続制御手順は、前記接続制御情報受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続を許可または拒否することを特徴とする。
【００１２】
また、本発明は、前記接続制御手順は、前記ネットワークが複数のネットワークに分割されている場合に、前記接続制御情報受付手順により受け付けた接続制御情報に基づいて該複数のネットワークにおいて前記所定のコンピュータの接続を許可するネットワークを制限することを特徴とする。
【００１３】
また、本発明は、前記所定のコンピュータが前記ネットワークを介して通信可能な状態に設定された場合に、前記所定のコンピュータの接続を許可するネットワークを制限するネットワーク初期制限手順をさらに含み、前記接続制御情報受付手順は、前記ネットワーク初期制限手順により接続が許可されるネットワークが制限された所定のコンピュータの前記セキュリティ対策状況情報に基づいて生成された前記接続制御情報を受け付けることを特徴とする。
【００１４】
また、本発明は、前記接続制御手順は、前記接続制御情報受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータと通信をおこなう通信先のコンピュータを制限することにより該所定のコンピュータのネットワークに対する接続を許可または拒否することを特徴とする。
【００１５】
また、本発明は、前記所定のコンピュータが前記ネットワークを介して通信可能な状態に設定された場合に、前記所定のコンピュータと通信をおこなう通信先のコンピュータを制限する通信先初期制限手順をさらに含み、前記接続制御情報受付手順は、前記通信先初期制限手順により通信先のコンピュータが制限された所定のコンピュータの前記セキュリティ対策状況情報に基づいて生成された前記接続制御情報を受け付けることを特徴とする。
【００１６】
また、本発明は、前記接続制御手順により前記所定のコンピュータのネットワークに対する接続制御をおこなった後、前記所定のコンピュータのセキュリティ対策状況情報が更新された場合に、更新された該セキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付ける接続制御情報再受付手順と、前記接続制御情報再受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続制御を更新する接続再制御手順と、をさらに含んだことを特徴とする。
【００１７】
また、本発明は、前記所定のコンピュータのネットワークに対する接続制御を前記セキュリティ対策状況情報に基づいて規定する接続制御条件が更新された場合に、前記セキュリティ対策状況情報および接続制御条件に基づいて生成された接続の制御に係る接続制御情報を再度受け付ける接続制御情報再受付手順と、前記接続制御情報再受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続制御を更新する接続再制御手順と、をさらに含んだことを特徴とする。
【００１８】
また、本発明は、前記接続制御情報受付手順は、前記所定のコンピュータの接続認証に係る情報をさらに受け付け、前記接続制御手順は、前記接続制御情報受付手順により受け付けられた接続認証に係る情報が認証失敗を示す情報であった場合に、前記所定のコンピュータのネットワークに対する接続を拒否することを特徴とする。
【００１９】
また、本発明は、前記接続制御情報受付手順は、前記所定のコンピュータの接続認証をさらにおこない、前記接続制御手順は、前記接続制御情報受付手順による接続認証が失敗した場合に前記所定のコンピュータのネットワークに対する接続を拒否することを特徴とする。
【００２０】
また、本発明は、所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御プログラムであって、前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報を受け付けて、セキュリティの対策状況が十分であるか否かを判定するセキュリティ対策状況判定手順と、前記セキュリティ対策状況判定手順により判定された判定結果に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手順と、をコンピュータに実行させることを特徴とする。
【００２１】
また、本発明は、前記セキュリティ対策状況判定手順は、前記所定のコンピュータの接続認証をさらにおこない、前記接続制御手順は、該接続認証が失敗した場合に、前記所定のコンピュータのネットワークに対する接続を拒否することを特徴とする。
【００２２】
また、本発明は、所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御方法であって、前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報を受け付けて、セキュリティの対策状況が十分であるか否かを判定するセキュリティ対策状況判定工程と、前記セキュリティ対策状況判定工程により判定された判定結果に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御工程と、を含んだことを特徴とする。
【００２３】
また、本発明は、所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御方法であって、前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報を受け付けて、セキュリティの対策状況が十分であるか否かを判定するセキュリティ対策状況判定工程と、前記セキュリティ対策状況判定工程により判定された判定結果に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御工程と、を含んだことを特徴とする。
【００２４】
また、本発明は、所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御装置であって、前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付ける接続制御情報受付手段と、前記接続制御情報受付手段により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手段と、を備えたことを特徴とする。
【００２５】
また、本発明は、所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御装置であって、前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報を受け付けて、セキュリティの対策状況が十分であるか否かを判定するセキュリティ対策状況判定手段と、前記セキュリティ対策状況判定手段により判定された判定結果に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手段と、を備えたことを特徴とする。
【発明の効果】
【００２６】
本発明によれば、所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付け、受け付けた接続制御情報に基づいて所定のコンピュータのネットワークに対する接続を制御することとしたので、セキュリティ対策が不十分であるコンピュータからネットワークに接続されたコンピュータにコンピュータウィルスが感染することを適切に防止することができるという効果を奏する。
【００２７】
また、本発明によれば、受け付けた接続制御情報に基づいて、所定のコンピュータのネットワークに対する接続を許可または拒否することとしたので、セキュリティ対策が不十分であるコンピュータの接続を拒否することにより、ネットワークに接続された他のコンピュータにコンピュータウィルスが感染することを適切に防止することができるという効果を奏する。
【００２８】
また、本発明によれば、ネットワークが複数のネットワークに分割されている場合に、受け付けた接続制御情報に基づいて複数のネットワークにおいて所定のコンピュータの接続を許可するネットワークを制限することとしたので、セキュリティ対策が不十分であるコンピュータが接続できるネットワークを制限し、指定されたネットワーク以外のネットワークへの接続を拒否することにより、ネットワークに接続された他のコンピュータにコンピュータウィルスが感染することを適切に防止することができるという効果を奏する。
【００２９】
また、本発明によれば、所定のコンピュータがネットワークを介して通信可能な状態に設定された際に、所定のコンピュータの接続を許可するネットワークを制限し、接続が許可されるネットワークが制限された所定のコンピュータのセキュリティ対策状況情報に基づいて生成された接続制御情報を受け付けることとしたので、セキュリティ対策が不十分であるコンピュータが接続できるネットワークを、コンピュータがネットワークを介して通信可能な状態に設定された際に制限し、指定されたネットワーク以外のネットワークへの接続を拒否することにより、ネットワークに接続された他のコンピュータにコンピュータウィルスが感染することを適切に防止することができるという効果を奏する。
【００３０】
また、本発明によれば、受け付けた接続制御情報に基づいて、所定のコンピュータと通信をおこなう通信先のコンピュータを制限することにより、所定のコンピュータのネットワークに対する接続を許可または拒否することとしたので、セキュリティ対策が不十分であるコンピュータの通信先のコンピュータを制限し、指定されたコンピュータ以外のコンピュータとの通信を拒否することにより、ネットワークに接続された他のコンピュータにコンピュータウィルスが感染することを適切に防止することができるという効果を奏する。
【００３１】
また、本発明によれば、所定のコンピュータがネットワークを介して通信可能な状態に設定された際に、所定のコンピュータと通信をおこなう通信先のコンピュータを制限し、通信先のコンピュータが制限された所定のコンピュータのセキュリティ対策状況情報に基づいて生成された接続制御情報を受け付けることとしたので、セキュリティ対策が不十分であるコンピュータの通信先のコンピュータを、コンピュータがネットワークを介して通信可能な状態に設定された際に制限し、指定されたコンピュータ以外のコンピュータとの通信を拒否することにより、ネットワークに接続された他のコンピュータにコンピュータウィルスが感染することを適切に防止することができるという効果を奏する。
【００３２】
また、本発明によれば、所定のコンピュータのネットワークに対する接続制御をおこなった後、所定のコンピュータのセキュリティ対策状況情報が更新された場合に、更新されたセキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付け、受け付けた接続制御情報に基づいて所定のコンピュータのネットワークに対する接続制御を更新することとしたので、ネットワークに接続するコンピュータのセキュリティ対策の状況が更新された際に、その更新をコンピュータのネットワークに対する接続制御に効率よく反映することができるという効果を奏する。
【００３３】
また、本発明によれば、所定のコンピュータのネットワークに対する接続制御をセキュリティ対策状況情報に基づいて規定する接続制御条件が更新された場合に、セキュリティ対策状況情報および接続制御条件に基づいて生成された接続の制御に係る接続制御情報を再度受け付け、受け付けた接続制御情報に基づいて所定のコンピュータのネットワークに対する接続制御を更新することとしたので、コンピュータの接続制御を規定する接続制御条件が更新された際に、その更新をコンピュータのネットワークに対する接続制御に効率よく反映することができるという効果を奏する。
【００３４】
また、本発明によれば、所定のコンピュータの接続認証に係る情報をさらに受け付け、前記接続制御手順は、前記接続制御情報受付手順により受け付けられた接続認証に係る情報が認証失敗を示す情報であった場合に、所定のコンピュータのネットワークに対する接続を拒否することとしたので、コンピュータの接続認証結果の情報を受け付けることにより、セキュリティ対策が不十分であるコンピュータからネットワークに接続されたコンピュータにコンピュータウィルスが感染することをさらに適切に防止することができるという効果を奏する。
【００３５】
また、本発明によれば、所定のコンピュータの接続認証をさらにおこない、接続認証が失敗した場合に所定のコンピュータのネットワークに対する接続を拒否することとしたので、コンピュータの接続認証をさらにおこなうことにより、セキュリティ対策が不十分であるコンピュータからネットワークに接続されたコンピュータにコンピュータウィルスが感染することをさらに適切に防止することができるという効果を奏する。
【００３６】
また、本発明によれば、所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報を受け付けて、セキュリティの対策状況が十分であるか否かを判定し、判定された判定結果に基づいて所定のコンピュータのネットワークに対する接続を制御することとしたので、セキュリティ対策が不十分であるコンピュータからネットワークに接続されたコンピュータにコンピュータウィルスが感染することを適切に防止することができるという効果を奏する。
【００３７】
また、本発明によれば、所定のコンピュータの接続認証をさらにおこない、接続認証が失敗した場合に、所定のコンピュータのネットワークに対する接続を拒否することとしたので、セキュリティ対策が不十分であるコンピュータからネットワークに接続されたコンピュータにコンピュータウィルスが感染することをさらに適切に防止することができるという効果を奏する。
【発明を実施するための最良の形態】
【００３８】
以下に添付図面を参照して、本発明に係るネットワーク接続制御装置、ネットワーク接続制御方法およびネットワーク接続制御プログラムの好適な実施例１〜７を詳細に説明する。実施例１〜７では、ネットワーク接続制御装置がスイッチである場合について説明する。
【００３９】
スイッチは、コンピュータから受信したデータを中継し、宛先のコンピュータがネットワークを介して接続されているポートにデータを送出するネットワーク機器である。ただし、本発明の適用範囲は、スイッチに限定されるものではなく、同様な働きをする無線ネットワークのアクセスポイントなどのネットワーク機器にも同様に適用することができる。
【実施例１】
【００４０】
まず、本実施例１にかかるネットワーク接続制御システムの構成について説明する。図１は、実施例１にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。
【００４１】
図１に示すように、このネットワーク接続制御システムは、端末装置１０とスイッチ２０とが接続され、また、スイッチ２０と管理サーバ装置３０とが接続され、スイッチ２０は、端末装置やサーバ装置（図示せず）が複数接続されたネットワーク４０に接続されている。
【００４２】
端末装置１０は、さまざまなアプリケーションソフトウェアが導入されたパーソナルコンピュータなどの端末装置である。この端末装置１０は、通信処理部１１、セキュリティ対策レベルデータ取得部１２および制御部１３を有する。
【００４３】
通信処理部１１は、ネットワークを介して接続された他の端末装置やサーバ装置、スイッチ２０などとの間で通信をおこなう通信処理部である。セキュリティ対策レベルデータ取得部１２は、端末装置１０のコンピュータウィルス対策の状況をセキュリティ対策レベルデータとして取得する取得部である。取得されたセキュリティ対策レベルデータは、通信処理部１１によりスイッチ２０に送信される。
【００４４】
なお、セキュリティ対策レベルデータ取得部１２を有していない端末装置のネットワーク４０への接続はスイッチ２０により拒否されるため、端末装置にセキュリティ対策レベルデータ取得部１２の機能を実現するソフトウェアを導入しておく必要がある。
【００４５】
図２は、端末装置１０が送信するセキュリティ対策レベルデータ５０の一例を示す図である。図２に示すように、このセキュリティ対策レベルデータ５０は、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）種別、ＯＳアップデート日時、アンチウィルスソフトプログラムＶｅｒ．、アンチウィルスソフトエンジンＶｅｒ．、アンチウィルスソフトパターンＶｅｒ．の各情報を含んでいる。
【００４６】
ＯＳ種別は、端末装置１０に導入されているＯＳの種別の情報である。ＯＳアップデート日時は、ＯＳの更新（アップデート）をおこなった日時の情報である。アンチウィルスソフトプログラムＶｅｒ．は、端末装置１０に導入されているアンチウィルスソフトウェアのプログラムのバージョンの情報である。アンチウィルスソフトエンジンＶｅｒ．は、アンチウィルスソフトウェアの、ウィルスの検出や駆除をおこなうエンジンのバージョンの情報である。アンチウィルスソフトパターンＶｅｒ．は、アンチウィルスエンジンが参照するウィルス検知パターンのバージョンの情報である。
【００４７】
ここでは、セキュリティ対策レベルデータが、上記各項目を含んだものとしたが、これに限定されず、さらに、さまざまなアプリケーションソフトウェアの導入状況の情報などを含めることとしてもよい。これにより、たとえば、コンピュータウィルスに感染しやすいアプリケーションソフトウェアなどが端末装置１０に導入されているような場合にも対応することができるようになる。
【００４８】
図１の説明に戻ると、制御部１３は、端末装置１０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【００４９】
スイッチ２０は、端末装置１０から受信したデータを中継し、宛先である端末装置あるいはサーバ装置がネットワーク４０を介して接続されるポートにデータを送出するネットワーク機器である。
【００５０】
このスイッチ２０は、単にデータの中継をおこなうだけでなく、端末装置１０からセキュリティ対策レベルデータ５０を受信した場合に、受信したセキュリティ対策レベルデータ５０を管理サーバ装置３０に転送する処理をおこなう。管理サーバ装置３０は、送信されたセキュリティ対策レベルデータ５０に基づいて、端末装置１０がネットワーク４０を介してデータを送信することを許可するか否かを判定する。
【００５１】
その後、スイッチ２０は、管理サーバ装置３０により送信された接続可否の判定結果を受信して、端末装置１０が接続されているポートに対応付けて接続可否の情報を記憶する。そして、端末装置１０によりデータが送信された場合に、記憶した接続可否の情報に基づいて、端末装置１０をネットワーク４０に接続する処理または接続を拒否する処理をおこなう。
【００５２】
このスイッチ２０は、通信処理部２１、ポート管理テーブル２２、接続制御部２３、および制御部２４を有する。通信処理部２１は、端末装置１０や管理サーバ装置３０との間で通信をおこなう通信処理部である。また、端末装置１０とネットワーク４０に接続された端末装置あるいはサーバ装置との間の通信を中継する処理をおこなう。
【００５３】
具体的には、この通信処理部２１は、端末装置１０から受け付けたデータがセキュリティ対策レベルデータ５０である場合には、データを受け付けたポートの情報をセキュリティ対策レベルデータ５０に付加したセキュリティ対策レベル転送データを作成し、管理サーバ装置３０に転送する。端末装置１０から受け付けたデータがセキュリティ対策レベルデータ５０以外のデータである場合には、そのデータを接続制御部２３に転送する。
【００５４】
図３は、スイッチ２０が送信するセキュリティ対策レベル転送データ６０の一例を示す図である。図３に示すように、このセキュリティ対策レベル転送データ６０は、識別情報、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）種別、ＯＳアップデート日時、アンチウィルスソフトプログラムＶｅｒ．、アンチウィルスソフトエンジンＶｅｒ．、アンチウィルスソフトパターンＶｅｒ．の各情報を含んでいる。
【００５５】
識別情報は、スイッチ２０が端末装置１０からデータを受け付けたポートを識別する識別番号であり、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）種別、ＯＳアップデート日時、アンチウィルスソフトプログラムＶｅｒ．、アンチウィルスソフトエンジンＶｅｒ．、アンチウィルスソフトパターンＶｅｒ．は、セキュリティ対策レベルデータ５０に含まれていた各情報である。
【００５６】
図１の説明に戻ると、ポート管理テーブル２２は、スイッチ２０の各通信ポートに対して設定された通信許否に係る情報を登録したテーブルである。図４は、図１に示したポート管理テーブル２２の一例を示す図である。
【００５７】
図４に示すように、このポート管理テーブル２２は、ポート番号、ポート状態、識別情報の各情報が登録されている。ポート番号は、スイッチ２０が有する各ポートを識別する識別番号である。ポート状態は、各端末装置が接続されているポートに対して設定された接続可否を示す情報である。なお、端末装置１０のネットワーク４０に対する接続可否を管理サーバ装置３０が判定する以前の初期状態においては、ポート状態は「接続拒否」に設定されている。
【００５８】
識別情報は、端末装置１０からセキュリティ対策レベルデータ５０を受け付けたポートを識別する情報である。この識別情報は、端末装置１０からセキュリティ対策レベルデータ５０を受け付けた際に生成され、セキュリティ対策レベルデータ５０とともに管理サーバ装置３０に送信される。
【００５９】
接続制御部２３は、端末装置１０からネットワーク４０に接続された端末装置あるいはサーバ装置宛のデータを受信した場合に、ポート管理テーブル２２を参照し、ネットワーク４０への接続の可否を判定する制御部である。
【００６０】
具体的には、接続制御部２３は、ポート管理テーブル２２においてデータを受信したポートに対応するポート状態が「接続拒否」である場合には、ネットワーク４０への接続を拒否し、ポート状態が「接続許可」である場合には、ネットワーク４０への接続を許可して、送信先の端末装置あるいはサーバ装置が接続されているポートにデータを送信する処理をおこなう。
【００６１】
また、接続制御部２３は、管理サーバ装置３０に対して、セキュリティ対策レベルデータ５０に識別情報を付加したセキュリティ対策レベル転送データ６０を送信し、その応答として管理サーバ装置３０から識別情報および接続可否の判定結果を示す判定結果データを受信した場合に、ポート管理テーブル２２の当該識別情報に対応するポートのポート状態を「接続許否」または「接続許可」に設定する処理をおこなう。
【００６２】
図５は、管理サーバ装置３０により送信される判定結果データ７０の一例を示す図である。図５に示すように、この判定結果データ７０は、識別情報および判定結果の情報を有している。識別情報は、スイッチ２０のポートを識別する情報であり、判定結果は、管理サーバ装置３０により判定された接続の可否を示す情報である。
【００６３】
図１の説明に戻ると、制御部２４は、スイッチ２０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【００６４】
管理サーバ装置３０は、スイッチ２０からセキュリティ対策レベル転送データ６０を受信して、セキュリティ対策レベル転送データ６０に含まれるセキュリティ対策レベルデータ５０を基に、端末装置１０のネットワーク４０に対する接続を許可するか否かを判定する装置である。
【００６５】
管理サーバ装置３０は、通信処理部３１、接続条件データ３２、接続可否判定部３３および制御部３４を有する。通信処理部３１は、スイッチ２０との間で通信をおこなう通信処理部であり、スイッチ２０から送信されたセキュリティ対策レベル転送データ６０を受信し、また、スイッチ２０に対して判定結果データ７０を送信する。
【００６６】
接続条件データ３２は、端末装置１０をネットワーク４０に接続するか否かを判定する際に参照され、接続の許否を決定する条件を記憶したデータである。
【００６７】
図６は、図１に示した接続条件データ３２の一例を示す図である。図６に示すように、この接続条件データ３２は、セキュリティ対策レベルおよび判定条件の各情報が登録されている。
【００６８】
セキュリティ対策レベルは、コンピュータウィルス対策の状況を判定するために選択された各項目であり、端末装置１０により送信されるセキュリティ対策レベルデータ５０に含まれる各項目に対応している。判定条件は、セキュリティ対策レベルに登録された各項目が満たすべき条件である。
【００６９】
なお、ここでは、接続条件データ３２を管理サーバ装置３０内に記憶することとしたが、アンチウィルスソフトウェアベンダ等が有しているサーバ装置に問い合わせをおこなって、そのサーバ装置に記憶された接続条件データを参照することとしてもよい。
【００７０】
図１の説明に戻ると、接続可否判定部３３は、通信処理部３１が受信したセキュリティ対策レベル転送データ６０に含まれるセキュリティ対策レベルデータ５０の各項目が、接続条件データ３２に記憶された各判定条件を満足するか否かを判定し、図５に示した判定結果データ７０を生成して、通信処理部３１を介してスイッチ２０に送信する処理をおこなう。
【００７１】
制御部３４は、管理サーバ装置３０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【００７２】
つぎに、実施例１にかかるスイッチ２０がおこなう接続制御処理の処理手順について説明する。図７−１および図７−２は、実施例１にかかるスイッチ２０がおこなう接続制御処理の処理手順を示すフローチャート（１）および（２）である。
【００７３】
図７−１に示すように、まず、スイッチ２０の通信処理部２１は、データを受信する（ステップＳ１０１）。そして、通信処理部２１は、データの受信が端末装置１０側のポートでおこなわれたか否かを判定し（ステップＳ１０２）、端末装置１０側のポートでデータを受信した場合には（ステップＳ１０２，Ｙｅｓ）、受信したデータがセキュリティ対策レベルデータ５０か否かを調べる（ステップＳ１０３）。
【００７４】
受信したデータがセキュリティ対策レベルデータ５０ではない場合には（ステップＳ１０３，Ｎｏ）、接続制御部２３は、ポート管理テーブル２２を参照してデータを受信したポートに対応するポート状態を確認し（ステップＳ１０４）、ポート状態が「接続拒否」であるか否かを調べる（ステップＳ１０５）。
【００７５】
ポート状態が「接続拒否」でない場合には（ステップＳ１０５，Ｎｏ）、接続制御部２３は、ネットワーク４０を介して宛先の端末装置あるいはサーバ装置に端末装置１０から受信したデータを送信し（ステップＳ１０６）、接続制御処理を終了する。ポート状態が「接続拒否」である場合には（ステップＳ１０５，Ｙｅｓ）、接続制御部２３は、端末装置１０から受信したデータを破棄し（ステップＳ１１０）、接続制御処理を終了する。
【００７６】
ステップＳ１０３において、端末装置１０から受信したデータがセキュリティ対策レベルデータ５０である場合には（ステップＳ１０３，Ｙｅｓ）、通信処理部２１は、データを受信したポートを識別する識別情報を生成し（ステップＳ１０７）、セキュリティ対策レベルデータ５０に識別情報を付加したセキュリティ対策レベル転送データ６０を管理サーバ装置３０に転送する（ステップＳ１０８）。
【００７７】
その後、通信処理部２１は、データを受信したポートに対応付けて、生成した識別情報をポート管理テーブル２２に格納し（ステップＳ１０９）、接続制御処理を終了する。
【００７８】
ステップＳ１０２において、データを端末装置１０側のポートで受信したのではなく、管理サーバ装置３０側のポートで受信した場合には(ステップＳ１０２，Ｎｏ)、図７−２に示すように、通信処理部２１は、受信したデータが、管理サーバ装置３０に送信したセキュリティ対策レベル転送データ６０に応じて送信された判定結果データ７０か否かを調べる（ステップＳ１１１）。
【００７９】
そして、受信したデータが判定結果データ７０である場合には（ステップＳ１１１，Ｙｅｓ）、接続制御部２３は、ポート管理テーブル２２から判定結果データ７０に含まれる識別情報と一致する識別情報であるポートを検索し（ステップＳ１１２）、識別情報が一致するポートがあるか否かを調べる（ステップＳ１１３）。
【００８０】
識別情報が一致するポートがある場合には（ステップＳ１１３，Ｙｅｓ）、接続制御部２３は、識別情報が一致したポートに対応付けて「接続許可」または「接続拒否」のポート状態を設定し（ステップＳ１１４）、ポート管理テーブル２２の識別情報をクリアして（ステップＳ１１５）、接続制御処理を終了する。識別情報が一致するポートがない場合には（ステップＳ１１３，Ｎｏ）、接続制御部２３は、受信した判定結果データ７０を破棄して（ステップＳ１１６）、接続制御処理を終了する。
【００８１】
ステップＳ１１１において、受信したデータが判定結果データ７０ではない場合には（ステップＳ１１１，Ｎｏ）、接続制御部２３は、当該データの宛先に対応するポートのポート状態をポート管理テーブル２２で確認し（ステップＳ１１７）、図７−１に示されるように、ポート状態が「接続拒否」であるか否かを調べる（ステップＳ１０５）。
【００８２】
ポート状態が「接続拒否」でない場合には（ステップＳ１０５，Ｎｏ）、接続制御部２３は、ネットワーク４０を介して宛先の端末装置あるいはサーバ装置に管理サーバ装置３０から受信したデータを送信し（ステップＳ１０６）、接続制御処理を終了する。ポート状態が「接続拒否」である場合には（ステップＳ１０５，Ｙｅｓ）、接続制御部２３は、管理サーバ装置３０から受信したデータを破棄し（ステップＳ１１０）、接続制御処理を終了する。
【００８３】
つぎに、実施例１にかかる管理サーバ装置３０がおこなう接続可否判定処理の処理手順について説明する。図８は、実施例１にかかる管理サーバ装置３０がおこなう接続可否判定処理の処理手順を示すフローチャートである。
【００８４】
図８に示すように、まず、管理サーバ装置３０の通信処理部３１は、スイッチ２０により送信されたセキュリティ対策レベル転送データ６０を受信する（ステップＳ２０１）。そして、接続可否判定部３３は、接続条件データ３２を取得し（ステップＳ２０２）、受信したセキュリティ対策レベル転送データ６０に含まれるセキュリティ対策レベルデータ５０の各項目が、接続条件データ３２の各条件を満足するか否かを調べる（ステップＳ２０３）。
【００８５】
接続条件データ３２の各条件を満足する場合には（ステップＳ２０３，Ｙｅｓ）、接続可否判定部３３は、識別情報に「接続許可」の判定結果を付加して判定結果データ７０を生成する（ステップＳ２０４）。その後、通信処理部３１は、接続可否判定部３３により生成された判定結果データ７０をスイッチ２０に送信する（ステップＳ２０５）。
【００８６】
接続条件データ３２の各条件を満足しない場合には（ステップＳ２０３，Ｎｏ）、接続可否判定部３３は、識別情報に「接続拒否」の判定結果を付加して判定結果データ７０を生成する（ステップＳ２０６）。その後、通信処理部３１は、接続可否判定部３３により生成された判定結果データ７０をスイッチ２０に送信する（ステップＳ２０５）。
【００８７】
上述してきたように、本実施例１では、スイッチ２０の通信処理部２１が、端末装置１０のセキュリティ対策レベルデータ５０に基づいて管理サーバ装置３０により判定された端末装置１０のネットワーク４０に対する接続可否の情報を受け付け、受け付けた情報に基づいて、端末装置１０のネットワーク４０に対する接続を制御することとしたので、セキュリティ対策が不十分である端末装置１０からネットワーク４０に接続された端末装置あるいはサーバ装置にコンピュータウィルスが感染することを適切に防止することができる。
【実施例２】
【００８８】
ところで、実施例１では、端末装置のセキュリティ対策が不十分であると判定された際に、スイッチが端末装置のネットワークに対する接続を制御する場合を示したが、ネットワークを論理的に分割したＶＬＡＮ（Ｖｉｒｔｕａｌ  Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）に対する接続を制御することとしてもよい。
【００８９】
具体的には、セキュリティ対策が不十分である場合に、ＯＳやアンチウィルスソフトウェアの更新をおこなうことができるサーバ装置が接続されたＶＬＡＮでのみ端末装置が通信をおこなうことができるように制限することで、端末装置がコンピュータウィルスに感染していたとしても、ネットワークに接続された他の装置への感染の広がりを防ぐことができる。また、端末装置がＯＳやアンチウィルスソフトウェアの更新をおこなっている間に他の装置からコンピュータウィルスに感染してしまうことを防ぐことができる。そこで、本実施例２では、スイッチがＶＬＡＮに対する接続を制御する場合について説明する。
【００９０】
まず、本実施例２にかかるネットワーク接続制御システムの構成について説明する。図９は、本実施例２にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。なお、以下では図１に示した実施例１における機能部と同様の機能部については詳しい説明を省略する。
【００９１】
図９に示すように、このネットワーク接続制御システムは、端末装置８０とスイッチ９０とが接続され、また、スイッチ９０と管理サーバ装置１００とが接続され、スイッチ９０には、ネットワークが論理的に分割されたＶＬＡＮ１１０と、更新専用ＶＬＡＮ１２０とが接続されている。
【００９２】
更新専用ＶＬＡＮ１２０は、端末装置８０がＯＳやアンチウィルスソフトウェアの更新をおこなうことができる更新用サーバ装置１３０が接続されたＶＬＡＮであり、ＶＬＡＮ１１０は、端末装置８０がその他の端末装置あるいはサーバ装置（図示せず）との間で通信をおこなう際に使用するＶＬＡＮである。
【００９３】
端末装置８０は、さまざまなアプリケーションソフトウェアが導入されたパーソナルコンピュータなどの端末装置であり、端末装置８０が備える通信処理部８１、セキュリティ対策レベルデータ取得部８２および制御部８３は、図１に示した通信処理部１１、セキュリティ対策レベルデータ取得部１２および制御部１３と同様の機能を有する。
【００９４】
スイッチ９０は、端末装置８０から受信したデータを中継し、データの宛先である端末装置やサーバ装置が接続されているＶＬＡＮ１１０あるいは更新専用ＶＬＡＮ１２０のポートにデータを送出するネットワーク機器である。
【００９５】
このスイッチ９０は、単にデータの中継をおこなうだけでなく、図２に示したものと同様のセキュリティ対策レベルデータを端末装置８０から受信した場合に、受信したセキュリティ対策レベルデータを管理サーバ装置３０に転送する処理をおこなう。管理サーバ装置１００は、そのセキュリティ対策レベルデータに基づいて、端末装置８０を接続すべきＶＬＡＮを判定する。
【００９６】
その後、スイッチ９０は、管理サーバ装置１００により送信された判定結果を受信して、端末装置１０が接続されているポートに対応付けてＶＡＬＮの情報を記憶する。そして、端末装置１０によりデータが送信された場合に、記憶したＶＬＡＮの情報に基づいて、端末装置８０をＶＬＡＮ１１０または更新専用ＶＬＡＮ１２０に接続する処理または接続を拒否する処理をおこなう。
【００９７】
このスイッチ９０は、通信処理部９１、ポート管理テーブル９２、接続制御部９３、および制御部９４を有する。通信処理部９１は、図１に示した通信処理部２１と同様の機能を有する通信処理部である。
【００９８】
ポート管理テーブル９２は、スイッチ９０の各通信ポートに対して設定されたＶＬＡＮに係る情報を登録したテーブルである。図１０は、図９に示したポート管理テーブル９２の一例を示す図である。
【００９９】
図１０に示すように、このポート管理テーブル９２は、ポート番号、ポート状態、識別情報の各情報が登録されている。ポート番号は、スイッチ９０が有する各ポートを識別する識別番号である。ポート状態は、各端末装置が接続されているポートに対して設定された接続先のＶＬＡＮ情報である。なお、端末装置８０の接続先のＶＬＡＮを管理サーバ装置３０が判定する以前の初期状態においては、ポート状態は「接続拒否」に設定されている。
【０１００】
識別情報は、端末装置８０からセキュリティ対策レベルデータを受け付けたポートを識別する情報である。この識別情報は、端末装置８０からセキュリティ対策レベルデータを受け付けた際に生成され、セキュリティ対策レベルデータとともに管理サーバ装置１００に送信される。
【０１０１】
接続制御部９３は、端末装置８０からＶＬＡＮ１１０に接続された端末装置あるいはサーバ装置宛のデータを受信した場合に、ポート管理テーブル９２を参照し、ＶＬＡＮ１１０への接続の可否を判定する制御部である。
【０１０２】
具体的には、接続制御部９３は、ポート管理テーブル２２において、データを受信したポートに対応するポート状態がＶＬＡＮ１１０に設定されている場合には、ＶＬＡＮ１１０への接続を許可し、ＶＬＡＮ１１０に対応するポートにデータを送信する。データを受信したポートに対応するポート状態が更新専用ＶＬＡＮ１２０に設定されている場合には、ＶＬＡＮ１１０への接続を拒否し、更新専用ＶＬＡＮ１２０との間でのみ通信がおこなえるようポートを設定する。
【０１０３】
また、接続制御部９３は、管理サーバ装置１００に対して、セキュリティ対策レベルデータに識別情報を付加したセキュリティ対策レベル転送データを送信し、その応答として管理サーバ装置１００から識別情報および端末装置８０を接続するＶＬＡＮの判定結果を示す判定結果データを受信した場合に、ポート管理テーブル９２の当該識別情報に対応するポートのポート状態を設定する処理をおこなう。
【０１０４】
図１１は、管理サーバ装置１００により送信される判定結果データ１４０の一例を示す図である。図１１に示すように、この判定結果データ１４０は、識別情報および切替先ＶＬＡＮ情報を有している。識別情報は、スイッチ９０のポートを識別する情報であり、切替先ＶＬＡＮ情報は、管理サーバ装置１００により判定された、端末装置８０を接続するＶＬＡＮの情報である。
【０１０５】
図９の説明に戻ると、制御部９４は、スイッチ９０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【０１０６】
管理サーバ装置１００は、スイッチ９０からセキュリティ対策レベル転送データを受信して、セキュリティ対策レベル転送データに含まれるセキュリティ対策レベルデータを基に、端末装置８０をどのＶＬＡＮに接続するかを判定するサーバ装置である。
【０１０７】
この管理サーバ装置１００は、通信処理部１０１、接続条件データ１０２、接続先ＶＬＡＮ判定部１０３および制御部１０４を有する。通信処理部１０１は、スイッチ９０との間で通信をおこなう通信処理部であり、スイッチ９０から送信されたセキュリティ対策レベル転送データを受信し、また、スイッチ９０に対して判定結果データ１４０を送信する。
【０１０８】
接続条件データ１０２は、端末装置８０が接続されるＶＬＡＮを判定する際に参照され、接続先のＶＬＡＮを決定する条件を記憶したデータである。
【０１０９】
図１２は、図９に示した接続条件データ１０２の一例を示す図である。図１２に示すように、この接続条件データ１０２は、セキュリティ対策レベル、判定条件、条件不満足時ＶＬＡＮ切替先情報および条件満足時ＶＬＡＮ切替先情報の各情報が登録されている。
【０１１０】
セキュリティ対策レベルは、コンピュータウィルス対策の状況を判定するために選択された各項目であり、端末装置８０により送信されるセキュリティ対策レベルデータに含まれる各項目に対応している。判定条件は、セキュリティ対策レベルに登録された各項目が満たすべき条件である。
【０１１１】
条件不満足時ＶＬＡＮ切替先情報は、セキュリティ対策レベルデータに含まれる各項目が満足されなかった場合に、切替先ＶＬＡＮとしてそれぞれ設定される更新専用ＶＬＡＮ１２０の情報である。条件満足時ＶＬＡＮ切替先情報は、セキュリティ対策レベルデータに含まれるすべての項目が満足された場合に、接続されるＶＬＡＮ１１０の情報である。
【０１１２】
図９の説明に戻ると、接続先ＶＬＡＮ判定部３３は、通信処理部１０１が受信したセキュリティ対策レベル転送データに含まれるセキュリティ対策レベルデータの各項目が、接続条件データ１０２に記憶された各判定条件を満足するか否かを判定し、図１１に示した判定結果データ１４０を生成して、通信処理部１０１を介してスイッチ９０に送信する処理をおこなう。
【０１１３】
制御部１０４は、管理サーバ装置１００を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【０１１４】
つぎに、実施例２にかかるスイッチ９０がおこなう接続制御処理の処理手順について説明する。図１３−１および図１３−２は、実施例２にかかるスイッチ９０がおこなう接続制御処理の処理手順を示すフローチャート（１）および（２）である。
【０１１５】
図１３−１に示すように、まず、スイッチ９０の通信処理部９１は、データを受信する（ステップＳ３０１）。そして、通信処理部９１は、データの受信が端末装置８０側のポートでおこなわれたか否かを判定し（ステップＳ３０２）、端末装置８０側のポートでデータを受信した場合には（ステップＳ３０２，Ｙｅｓ）、受信したデータがセキュリティ対策レベルデータか否かを調べる（ステップＳ３０３）。
【０１１６】
受信したデータがセキュリティ対策レベルデータではない場合には（ステップＳ３０３，Ｎｏ）、接続制御部９３は、ポート管理テーブル９２を参照してデータを受信したポートに対応するポート状態を確認し（ステップＳ３０４）、ポート状態が「接続拒否」であるか否かを調べる（ステップＳ３０５）。
【０１１７】
ポート状態が「接続拒否」でない場合には（ステップＳ３０５，Ｎｏ）、接続制御部９３は、ポート管理テーブル９２で指定されたＶＬＡＮを介して受信データを送信し（ステップＳ３０６）、接続制御処理を終了する。ポート状態が「接続拒否」である場合には（ステップＳ３０５，Ｙｅｓ）、接続制御部９３は、端末装置８０から受信したデータを破棄し（ステップＳ３１０）、接続制御処理を終了する。
【０１１８】
ステップＳ３０３において、端末装置８０から受信したデータがセキュリティ対策レベルデータである場合には（ステップＳ３０３，Ｙｅｓ）、通信処理部９１は、データを受信したポートを識別する識別情報を生成し（ステップＳ３０７）、セキュリティ対策レベルデータに識別情報を付加したセキュリティ対策レベル転送データを管理サーバ装置１００に転送する（ステップＳ３０８）。
【０１１９】
その後、通信処理部９１は、データを受信したポートに対応付けて識別情報をポート管理テーブル９２に格納し（ステップＳ３０９）、接続制御処理を終了する。
【０１２０】
ステップＳ３０２において、データを端末装置８０側のポートで受信したのではなく、管理サーバ装置１００側のポートで受信した場合には(ステップＳ３０２，Ｎｏ)、図１３−２に示すように、通信処理部９１は、受信したデータが管理サーバ装置１００に送信したセキュリティ対策レベル転送データに応じて送信された判定結果データ１４０か否かを調べる（ステップＳ３１１）。
【０１２１】
そして、受信したデータが判定結果データ１４０である場合には（ステップＳ３１１，Ｙｅｓ）、接続制御部９３は、ポート管理テーブル９２から判定結果データ１４０に含まれる識別情報と一致する識別情報であるポートを検索し（ステップＳ３１２）、識別情報が一致するポートがあるか否かを調べる（ステップＳ３１３）。
【０１２２】
識別情報が一致するポートがある場合には（ステップＳ３１３，Ｙｅｓ）、接続制御部９３は、識別情報が一致したポートに対応付けて、切替先ＶＬＡＮの情報をポート状態に設定し（ステップＳ３１４）、ポート管理テーブル９２の識別情報をクリアして（ステップＳ３１５）、接続制御処理を終了する。識別情報が一致するポートがない場合には（ステップＳ３１３，Ｎｏ）、接続制御部９３は、受信した判定結果データ１４０を破棄して（ステップＳ３１６）、接続制御処理を終了する。
【０１２３】
ステップＳ３１１において、受信したデータが判定結果データ１４０ではない場合には（ステップＳ３１１，Ｎｏ）、接続制御部９３は、当該データの宛先に対応するポートのポート状態をポート管理テーブル９２で確認し（ステップＳ３１７）、図１３−１に示されるように、ポート状態が「接続拒否」であるか否かを調べる（ステップＳ３０５）。
【０１２４】
ポート状態が「接続拒否」でない場合には（ステップＳ３０５，Ｎｏ）、接続制御部９３は、ポート管理テーブル９２で指定されたＶＬＡＮを介して受信データを送信し（ステップＳ３０６）、接続制御処理を終了する。ポート状態が「接続拒否」である場合には（ステップＳ３０５，Ｙｅｓ）、接続制御部９３は、管理サーバ装置１００から受信したデータを破棄し（ステップＳ３１０）、接続制御処理を終了する。
【０１２５】
つぎに、実施例２にかかる管理サーバ装置１００がおこなう切替先ＶＬＡＮ判定処理の処理手順について説明する。図１４は、実施例２にかかる管理サーバ装置１００がおこなう切替先ＶＬＡＮ判定処理の処理手順を示すフローチャートである。
【０１２６】
図１４に示すように、まず、管理サーバ装置１００の通信処理部１０１は、スイッチ９０により送信されたセキュリティ対策レベル転送データを受信する（ステップＳ４０１）。そして、接続先ＶＬＡＮ判定部１０３は、接続条件データ１０２を取得し（ステップＳ４０２）、受信したセキュリティ対策レベル転送データに含まれるセキュリティ対策レベルデータの各項目が、接続条件データ１０２の各条件を満足するか否かを調べる（ステップＳ４０３）。
【０１２７】
接続条件データ１０２の各条件を満足する場合には（ステップＳ４０３，Ｙｅｓ）、接続先ＶＬＡＮ判定部１０３は、条件満足時ＶＬＡＮ切替先情報を識別情報に付加して判定結果データ１４０を生成する（ステップＳ４０４）。その後、通信処理部１０１は、接続先ＶＬＡＮ判定部１０３により生成された判定結果データ１４０をスイッチ９０に送信する（ステップＳ４０５）。
【０１２８】
接続条件データ１０２の各条件を満足しない場合には（ステップＳ４０３，Ｎｏ）、接続先ＶＬＡＮ判定部１０３は、条件不満足時ＶＬＡＮ切替先情報を識別情報に付加して判定結果データ１４０を生成する（ステップＳ４０６）。その後、通信処理部１０１は、接続先ＶＬＡＮ判定部１０３により生成された判定結果データ１４０をスイッチ９０に送信する（ステップＳ２０５）。
【０１２９】
なお、本実施例２では、セキュリティ対策が不十分な各端末装置に共通の更新専用ＶＬＡＮ１２０を割り当てる場合を示したが、各端末装置それぞれに個別の更新専用ＶＬＡＮを割り当てることとしてもよい。
【０１３０】
また、実施例１と組み合わせて、端末装置をネットワークに接続する処理および接続を拒否する処理と、接続を許可するＶＬＡＮの制限をおこなう処理とを混在させておこなうようにしてもよい。
【０１３１】
上述してきたように、本実施例２では、ネットワークがＶＬＡＮとして論理的に分割されている場合に、スイッチ９０の通信処理部９１が、端末装置８０のセキュリティ対策レベルデータに基づいて管理サーバ装置１００により判定された端末装置８０を接続するＶＬＡＮ１１０または更新専用ＶＬＡＮ１２０の情報を受け付け、スイッチ９０の接続制御部９３が、受け付けた情報に基づいて、端末装置８０が接続することを許可するＶＬＡＮをＶＬＡＮ１１０または更新専用ＶＬＡＮ１２０に制限することとしたので、セキュリティ対策が不十分である端末装置８０からＶＬＡＮ１１０に接続された端末装置あるいはサーバ装置にコンピュータウィルスが感染することを適切に防止することができる。
【実施例３】
【０１３２】
ところで、実施例２では、端末装置のネットワークの接続先をＶＬＡＮを指定することにより制限したが、通信をおこなう宛先の端末装置あるいはサーバ装置のＩＰアドレスやポート番号などを指定することによりフィルタリングをおこなって、端末装置のネットワークに対する接続を制限することとしてもよい。
【０１３３】
具体的には、端末装置のセキュリティ対策が不十分である場合に、ＯＳやアンチウィルスソフトウェアの更新をおこなうことができる更新用サーバ装置との間でのみ端末装置が通信できるよう、アドレスやポート番号を制限することで、端末装置がコンピュータウィルスに感染していたとしても、ネットワークに接続された他の端末装置あるいはサーバ装置への感染の広がりを防ぐことができる。そこで、本実施例３では、スイッチがＩＰアドレスによりフィルタリングをおこなって接続を制御する場合について説明する。
【０１３４】
まず、本実施例３にかかるネットワーク接続制御システムの構成について説明する。図１５は、本実施例３にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。なお、以下では図１に示した実施例１における機能部と同様の機能部については詳しい説明を省略する。
【０１３５】
図１５に示すように、このネットワーク接続制御システムは、端末装置１５０とスイッチ１６０とが接続され、また、スイッチ１６０と管理サーバ装置１７０とが接続され、スイッチ１６０は、複数の端末装置やサーバ装置（図示せず）および更新用サーバ装置１９０が接続されたネットワーク１８０に接続されている。
【０１３６】
端末装置１５０は、さまざまなアプリケーションソフトウェアが導入されたパーソナルコンピュータなどの端末装置であり、端末装置１５０が備える通信処理部１５１、セキュリティ対策レベルデータ取得部１５２および制御部１５３は、図１に示した通信処理部１１、セキュリティ対策レベルデータ取得部１２および制御部１３と同様の機能を有する。
【０１３７】
スイッチ１６０は、端末装置１５０から受信したデータを中継し、宛先の端末装置あるいはサーバ装置がネットワーク１８０を介して接続されるポートにデータを送出するネットワーク機器である。
【０１３８】
このスイッチ１６０は、単にデータの中継をおこなうだけでなく、端末装置１５０からセキュリティ対策レベルデータを受信した場合に、受信したセキュリティ対策レベルデータを管理サーバ装置１７０に転送する処理をおこなう。管理サーバ装置１７０は、送信されたセキュリティ対策レベルデータに基づいて、端末装置１５０に通信することを許可する通信先のＩＰアドレスを判定する。
【０１３９】
スイッチ１６０は、管理サーバ装置１７０により送信された判定結果を受信して、端末装置１５０が接続されているポートに対応付けてＩＰアドレスの情報を記憶する。そして、端末装置１５０によりデータが送信された場合に、記憶したＩＰアドレスの情報に基づいて、端末装置１５０をネットワーク１８０に接続する処理または接続を拒否する処理をおこなう。
【０１４０】
このスイッチ１６０は、通信処理部１６１、ポート管理テーブル１６２、接続制御部１６３および制御部１６４を有する。通信処理部１６１は、図１に示した通信処理部２１と同様の機能を有する通信処理部である。
【０１４１】
ポート管理テーブル１６２は、スイッチ１６０の各通信ポートに対して設定されたＩＰアドレスに係る情報を登録したテーブルである。図１６は、図１５に示したポート管理テーブル１６２の一例を示す図である。
【０１４２】
図１６に示すように、このポート管理テーブル１６２は、ポート番号、ポート状態、識別情報の各情報が登録されている。ポート番号は、スイッチが有する各ポートを識別する識別番号である。ポート状態は、端末装置が接続されている各ポートに対して設定された接続先のＩＰアドレスの情報である。識別情報は、端末装置からセキュリティ対策レベルデータを受け付けたポートを識別する情報である。この識別情報は、端末装置からセキュリティ対策レベルデータを受け付けた際に生成され、セキュリティ対策レベルデータとともに管理サーバ装置１７０に送信される。
【０１４３】
図１５の説明に戻ると、接続制御部１６３は、端末装置１５０からネットワーク１８０に接続された端末装置あるいはサーバ装置宛のデータを受信した場合に、ポート管理テーブル１６２を参照し、ネットワーク１８０への接続を制限する制御部である。
【０１４４】
具体的には、接続制御部１６３は、ポート管理テーブル１６２において、データを受信したポートに対応するポート状態を確認し、ポート状態に登録されているＩＰアドレスにデータの宛先のＩＰアドレスが含まれている場合には、ネットワーク１８０に接続してその宛先にデータを送信する。データを受信したポートに対応するポート状態が更新専用サーバ装置１９０のＩＰアドレスである場合には、更新専用サーバ装置１９０との間でのみ通信がおこなえるようポートを設定する。
【０１４５】
また、接続制御部１６３は、管理サーバ装置１７０に対して、セキュリティ対策レベルデータに識別情報を付加したセキュリティ対策レベル転送データを送信し、その応答として管理サーバ装置１７０から識別情報およびＩＰアドレスの判定結果を示す判定結果データを受信した場合に、ポート管理テーブル１６２の当該識別情報に対応するポートのポート状態にＩＰアドレスを設定する処理をおこなう。
【０１４６】
制御部１６４は、スイッチ１６０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【０１４７】
管理サーバ装置１７０は、スイッチ１６０からセキュリティ対策レベル転送データを受信して、セキュリティ対策レベル転送データに含まれるセキュリティ対策レベルデータを基に、端末装置１５０の接続を許可するネットワーク１８０に接続された端末装置あるいはサーバ装置を判定するサーバ装置である。
【０１４８】
この管理サーバ装置１７０は、通信処理部１７１、接続条件データ１７２、接続先ＩＰアドレス判定部１７３および制御部１７４を有する。通信処理部１７１は、スイッチ１６０との間で通信をおこなう通信処理部であり、スイッチ１６０から送信されたセキュリティ対策レベル転送データを受信し、また、スイッチ１６０に対して判定結果データを送信する。
【０１４９】
通信条件データ１７２は、端末装置１５０と通信をおこなう端末装置あるいはサーバ装置を判定する際に参照され、接続先のＩＰアドレスを決定する条件を記憶したデータである。
【０１５０】
図１７は、図１５に示した接続条件データ１７２の一例を示す図である。図１７に示すように、この接続条件データ１７２は、セキュリティ対策レベル、判定条件、条件不満足時フィルタ情報および条件満足時フィルタ情報の各情報が登録されている。
【０１５１】
セキュリティ対策レベルは、コンピュータウィルス対策の状況を判定するために選択された各項目であり、端末装置により送信されるセキュリティ対策レベルデータに含まれる各項目に対応している。判定条件は、セキュリティ対策レベルに登録された各項目が満たすべき条件である。
【０１５２】
条件不満足時フィルタ情報は、セキュリティ対策レベルデータに含まれる各項目が満足されなかった場合に接続される更新用サーバ装置１９０のＩＰアドレスの情報である。条件満足時フィルタ情報は、セキュリティ対策レベルデータに含まれるすべての項目が満足された場合に接続が許可される端末装置あるいはサーバ装置のＩＰアドレスの情報である。ここでは、条件満足時フィルタ情報は、ネットワーク１８０に接続されたすべての端末装置あるいはサーバ装置のＩＰアドレスとなっている。
【０１５３】
図１５の説明に戻ると、接続先ＩＰアドレス判定部１７３は、通信処理部１７１が受信したセキュリティ対策レベル転送データに含まれるセキュリティ対策レベルデータの各項目が、接続条件データ１７２に記憶された各判定条件を満足するか否かを判定し、その判定結果を、通信処理部１７１を介してスイッチ１６０に送信する処理をおこなう。
【０１５４】
制御部１７４は、管理サーバ装置１７０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【０１５５】
なお、本実施例３では、ＩＰアドレスなどを用いてフィルタリングをおこなうこととしたが、実施例２で述べたように、フィルタリングと接続可能なＶＬＡＮの制限とを組み合わせて、さらにウィルス感染に対する安全性を高めるようにしてもよい。
【０１５６】
上述してきたように、本実施例３では、スイッチ１６０の通信処理部１６１が、端末装置１５０のセキュリティ対策レベルデータに基づいて管理サーバ装置１７０により判定された端末装置１５０のＩＰアドレス制限の情報を受け付け、受け付けた情報に基づいて、端末装置１５０が通信をおこなう通信先の端末装置またはサーバ装置を制限することとしたので、セキュリティ対策が不十分である端末装置１５０からネットワーク１８０に接続された端末装置あるいはサーバ装置にコンピュータウィルスが感染することを適切に防止することができる。
【実施例４】
【０１５７】
ところで、実施例２では、端末装置によりセキュリティ対策レベルデータが送信された場合に、更新用ＶＬＡＮに端末装置の接続先を割り当てることとしたが、端末装置のネットワークケーブルをスイッチのポートに接続した際に、スイッチがまず、端末装置のセキュリティ対策レベルの確認・更新ができる確認・更新用ＶＬＡＮに端末装置を接続することとしてもよい。
【０１５８】
これにより、たとえ端末装置がコンピュータウィルスに感染していたとしても、ネットワークに接続された他の端末装置あるいはサーバ装置への感染の広がりを防ぐことができる。また、端末装置がＯＳやアンチウィルスソフトウェアの更新をおこなっている間に他の装置からコンピュータウィルスに感染してしまうことを防ぐことができる。そこで、本実施例４では、端末装置のネットワークケーブルをスイッチのポートに接続した際に、スイッチがまず、確認・更新用ＶＬＡＮに端末装置を接続する場合について説明する。
【０１５９】
まず、本実施例４にかかるネットワーク接続制御システムの構成について説明する。図１８は、実施例４にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。なお、以下では図９に示した実施例２における機能部と同様の機能部については詳しい説明を省略する。
【０１６０】
図１８に示すように、このネットワーク接続制御システムは、端末装置２００とスイッチ２１０とが接続され、また、スイッチ２１０と管理サーバ装置２２０および更新用サーバ装置２５０とが確認・更新専用ＶＬＡＮ２４０を介して接続され、スイッチ２１０は、ＶＬＡＮ２３０に接続されている。
【０１６１】
確認・更新専用ＶＬＡＮ２４０は、管理サーバ装置２２０と、端末装置２００がＯＳやアンチウィルスソフトウェアの更新をおこなうことができる更新サーバ装置２５０とが接続されたＶＬＡＮであり、ＶＬＡＮ２３０は、端末装置２００が他の端末装置あるいはサーバ装置（図示せず）との間で通信をおこなう際に使用するＶＬＡＮである。
【０１６２】
端末装置２００は、さまざまなアプリケーションソフトウェアが導入されたパーソナルコンピュータなどの端末装置であり、端末装置２００が備える通信処理部２０１、セキュリティ対策レベルデータ取得部２０２および制御部２０３は、図９に示した通信処理部８１、セキュリティ対策レベルデータ取得部８２および制御部８３と同様の機能を有する。
【０１６３】
スイッチ２１０は、端末装置２００から受信したデータを中継し、送信先の端末装置あるいはサーバ装置がＶＬＡＮ２３０を介して接続されるポートにデータを送出するネットワーク機器である。
【０１６４】
このスイッチ２１０は、単にデータの中継をおこなうだけでなく、端末装置２００がスイッチ２１０に接続された場合に、端末装置２００のセキュリティ対策レベルの確認・更新ができる確認・更新用ＶＬＡＮ２４０に端末装置を接続する処理をおこなう。
【０１６５】
また、このスイッチ２１０は、端末装置２００からセキュリティ対策レベルデータを受信した場合に、受信したセキュリティ対策レベルデータを管理サーバ装置２２０に転送する。管理サーバ装置２２０は、送信されたセキュリティ対策レベルデータに基づいて、端末装置２００を接続すべきＶＬＡＮを判定する。
【０１６６】
その後、スイッチ２１０は、管理サーバ装置２２０により送信された判定結果を受信して、端末装置２００が接続されているポートに対応付けてＶＡＬＮの情報を記憶する。そして、端末装置２００によりデータが送信された場合に、記憶したＶＬＡＮの情報に基づいて、端末装置２００を確認・更新専用ＶＬＡＮ２４０に接続したままにしておくか、あるいは、ＶＬＡＮ２３０に接続先を切り替える処理をおこなう。
【０１６７】
このスイッチ２１０は、通信処理部２１１、ポート管理テーブル２１２、接続制御部２１３および制御部２１４を有する。通信処理部２１１は、端末装置２００や管理サーバ装置２２０と通信をおこなう通信処理部である。また、端末装置２００とＶＬＡＮ２３０に接続された端末装置あるいはサーバ装置（図示せず）との間の通信を中継する処理をおこなう。
【０１６８】
具体的には、この通信処理部２１１は、端末装置２００のネットワークケーブルがスイッチ２１０のポートに接続された際に、端末装置２００を確認・更新専用ＶＬＡＮ２４０に接続する。
【０１６９】
そして、端末装置２００により送信されたデータを受け付け、受け付けたデータがセキュリティ対策レベルデータである場合には、データを受け付けたポートの情報をセキュリティ対策レベルデータに付加して管理サーバ装置２２０に転送する。端末装置２００から受け付けたデータがセキュリティ対策レベルデータ以外のデータである場合には、そのデータを接続制御部２１３に転送する。
【０１７０】
ポート管理テーブル２１２は、図１０に示したポート管理テーブル９２と同様のテーブルである。
【０１７１】
接続制御部２１３は、端末装置２００からＶＬＡＮ２３０に接続された端末装置あるいはサーバ装置宛のデータを受信した場合に、ポート管理テーブル２１２を参照し、ＶＬＡＮ２３０への接続の可否を判定する制御部である。
【０１７２】
具体的には、接続制御部２１３は、ポート管理テーブル２１２において、データを受信したポートに対応するポート状態がＶＬＡＮ２３０である場合には、ＶＬＡＮ２３０への接続を許可し、ＶＬＡＮ２３０に対応するポートにデータを送信する。データを受信したポートに対応するポート状態が確認・更新専用ＶＬＡＮ２４０である場合には、ＶＬＡＮ２３０への接続を拒否し、確認・更新専用ＶＬＡＮ２４０との間でのみ通信がおこなえるようポートを設定する。
【０１７３】
また、接続制御部２１３は、管理サーバ装置２２０に対して、セキュリティ対策レベルデータに識別情報を付加したセキュリティ対策レベル転送データを送信し、その応答として管理サーバ装置２２０から識別情報および端末装置２００を接続するＶＬＡＮの判定結果を示す判定結果データを受信した場合に、ポート管理テーブル２１２の当該識別情報に対応するポートのポート状態を設定する処理をおこなう。
【０１７４】
管理サーバ装置２２０は、スイッチ２１０からセキュリティ対策レベル転送データを受信して、セキュリティ対策レベル転送データに含まれるセキュリティ対策レベルデータを基に、端末装置２００をどのＶＬＡＮに接続するかを判定するサーバ装置である。
【０１７５】
この管理サーバ装置２２０が備える通信処理部２２１、接続条件データ２２２、接続先ＶＬＡＮ判定部２２３および制御部２２４は、図９に示した通信処理部１０１、接続条件データ１０２、接続先ＶＬＡＮ判定部１０３および制御部１０４と同様の機能部である。
【０１７６】
ただし、接続条件データ２２２の条件不満足時ＶＬＡＮ切替先情報には、確認・更新専用ＶＬＡＮ２４０の情報が登録されており、接続条件データ２２２の各条件が満足された場合にのみ、条件満足時ＶＬＡＮ切替先情報に登録されたその他のＶＬＡＮ、すなわち、ＶＬＡＮ２３０に接続できるようになる。
【０１７７】
上述してきたように、本実施例４では、端末装置２００がスイッチ２１０に接続された際に、スイッチ２１０の通信処理部２１１が、端末装置２００のセキュリティ対策レベルの確認・更新ができる確認・更新用ＶＬＡＮ２４０に端末装置２００を接続することとしたので、セキュリティ対策が不十分である端末装置２００からＶＬＡＮ２３０に接続された端末装置あるいはサーバ装置にコンピュータウィルスが感染することを適切に防止することができる。
【実施例５】
【０１７８】
ところで、実施例１〜４では、端末装置のセキュリティ対策レベルを確認する際に、ユーザに対する認証処理をおこなっていなかったが、ユーザ認証をおこなってセキュリティをより向上させることとしてもよい。そこで、実施例５では、端末装置のセキュリティ対策レベルを確認する際にユーザ認証をおこなう場合について説明する。
【０１７９】
まず、本実施例５にかかるネットワーク接続制御システムの構成について説明する。図１９は、実施例５にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。なお、以下では図１に示した実施例１における機能部と同様の機能部については詳しい説明を省略する。
【０１８０】
図１９に示すように、このネットワーク接続制御システムは、端末装置２６０とスイッチ２７０とが接続され、スイッチ２７０と認証サーバ装置２８０とが接続され、また、認証サーバ装置２８０と管理サーバ装置２９０とが接続され、スイッチ２７０には、端末装置やサーバ装置（図示せず）が複数接続されたネットワーク３００に接続されている。
【０１８１】
端末装置２６０は、さまざまなアプリケーションソフトウェアが導入されたパーソナルコンピュータなどの端末装置である。この端末装置２６０は、通信処理部２６１、セキュリティ対策レベルデータ取得部２６２および制御部２６３を有する。
【０１８２】
通信処理部２６１は、ネットワークを介して接続された他の端末装置やサーバ装置、スイッチ２７０などとの間でデータ通信をおこなう通信処理部である。セキュリティ対策レベルデータ取得部２６２は、端末装置２６０のコンピュータウィルス対策の状況をセキュリティ対策レベルデータとして取得する取得部である。取得されたセキュリティ対策レベルデータは、通信処理部２６１によりスイッチ２７０に送信される。その際、通信処理部２６１は、ユーザの認証情報を含んだセキュリティ対策レベルデータをスイッチ２７０に送信する。
【０１８３】
図２０は、端末装置２６０が送信するセキュリティ対策レベルデータ３１０の一例を示す図である。図２０に示すように、このセキュリティ対策レベルデータ３１０は、ユーザの認証情報であるユーザＩＤおよび暗号化パスワードの情報と、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）種別、ＯＳアップデート日時、アンチウィルスソフトプログラムＶｅｒ．、アンチウィルスソフトエンジンＶｅｒ．、アンチウィルスソフトパターンＶｅｒ．の各情報とを含んでいる。
【０１８４】
図１９の説明に戻ると、制御部２６３は、端末装置２６０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【０１８５】
スイッチ２７０は、端末装置２６０から受信したデータを中継し、宛先の端末装置あるいはサーバ装置がネットワーク３００を介して接続されるポートにデータを送出するネットワーク機器である。
【０１８６】
このスイッチ２７０は、単にデータの中継をおこなうだけでなく、端末装置２６０からセキュリティ対策レベルデータ３１０を受信した場合に、セキュリティ対策レベルデータ３１０を認証サーバ装置２８０に転送する処理をおこなう。
【０１８７】
認証サーバ装置２８０は、ユーザ認証をおこない、認証が成功した場合にのみ、セキュリティ対策レベルデータ３１０を管理サーバ装置２９０に転送し、管理サーバ装置２９０は、セキュリティ対策レベルデータ３１０に基づいて、端末装置２６０のネットワーク３００に対する接続可否を判定する。認証が失敗した場合には、認証サーバ装置２８０は、認証失敗の情報をスイッチ２７０に送信する。
【０１８８】
スイッチ２７０は、管理サーバ装置２９０により判定されたネットワーク３００に対する接続可否を示すデータを受信した場合に、端末装置２６０が接続されているポートに対応付けて記憶する。そして、端末装置２６０によりデータが送信された場合に、記憶した接続可否の情報に基づいて、端末装置２６０をネットワーク３００に対して接続する処理または接続を拒否する処理をおこなう。認証サーバ装置２８０により認証失敗の情報を受け付けた場合には、端末装置２６０が接続されているポートに対応付けて「接続拒否」の情報を記憶する。
【０１８９】
このスイッチ２７０は、通信処理部２７１、ポート管理テーブル２７２、接続制御部２７３および制御部２７４を有する。通信処理部２７１は、端末装置２６０や認証サーバ装置２８０との間でデータ通信をおこなう通信処理部である。また、端末装置２６０とネットワーク３００に接続された端末装置あるいはサーバ装置との間の通信を中継する処理をおこなう。
【０１９０】
具体的には、この通信処理部２７１は、端末装置２６０から受け付けたデータがセキュリティ対策レベルデータ３１０である場合には、データを受け付けたポートの識別情報をセキュリティ対策レベルデータ３１０に付加したセキュリティ対策レベル転送データを作成し、認証サーバ装置２８０に転送する。端末装置２６０から受け付けたデータがセキュリティ対策レベルデータ３１０以外のデータである場合には、そのデータを接続制御部２７３に転送する。
【０１９１】
図２１は、スイッチ２７０が送信するセキュリティ対策レベル転送データ３２０の一例を示す図である。図２１に示すように、このセキュリティ対策レベル転送データ３２０は、識別情報、ユーザＩＤ、暗号化パスワード、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）種別、ＯＳアップデート日時、アンチウィルスソフトプログラムＶｅｒ．、アンチウィルスソフトエンジンＶｅｒ．、アンチウィルスソフトパターンＶｅｒ．の各情報を含んでいる。
【０１９２】
識別情報は、スイッチ２７０が端末装置２６０からデータを受け付けたポートを識別する識別番号であり、ユーザＩＤ、暗号化パスワード、ＯＳ（Ｏｐｅｒａｔｉｎｇ  Ｓｙｓｔｅｍ）種別、ＯＳアップデート日時、アンチウィルスソフトプログラムＶｅｒ．、アンチウィルスソフトエンジンＶｅｒ．、アンチウィルスソフトパターンＶｅｒ．は、セキュリティ対策レベルデータ３１０に含まれていた各情報である。
【０１９３】
図１９の説明に戻ると、ポート管理テーブル２７２は、スイッチ２７０の各通信ポートに対して設定された接続許否に係る情報を登録したテーブルであり、図４に示したポート管理テーブル２２と同様のテーブルである。
【０１９４】
接続制御部２７３は、端末装置２６０からネットワーク３００に接続された端末装置あるいはサーバ装置宛のデータを受信した場合に、ポート管理テーブル２７２を参照し、端末装置２６０のネットワーク３００への接続を制御する制御部である。
【０１９５】
具体的には、接続制御部２７３は、ポート管理テーブル２７２においてデータを受信したポートに対応するポート状態が「通信許否」である場合には、そのデータ通信を拒否し、ポート状態が「接続許可」である場合には、そのデータ通信を許可して、送信先の端末装置あるいはサーバ装置が接続されているポートにデータを送信する処理をおこなう。
【０１９６】
また、接続制御部２７３は、認証サーバ装置２８０に対して、セキュリティ対策レベルデータ３１０に識別情報を付加したセキュリティ対策レベル転送データ３２０を送信し、その応答として認証サーバ装置２８０により認証判定結果データを受信した場合に、ポート管理テーブル２７２のポート状態を設定する処理をおこなう。
【０１９７】
具体的には、認証判定結果データに含まれる認証結果の情報が「認証成功」である場合には、認証判定結果データに含まれる管理サーバ装置２９０により判定された接続可否の判定結果に基づいてポート管理テーブル２７２のポート状態を設定する。認証結果の情報が「認証失敗」である場合には、ポート管理テーブル２７２のポート状態を「接続拒否」に設定する。
【０１９８】
制御部２７４は、スイッチ２７０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【０１９９】
認証サーバ装置２８０は、スイッチ２７０からユーザの認証情報を含んだセキュリティ対策レベル転送データ３２０を受け付け、ユーザ認証をおこなうＲＡＤＩＵＳ（Ｒｅｍｏｔｅ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ  Ｄｉａｌ−Ｉｎ  Ｕｓｅｒ  Ｓｅｒｖｉｃｅｓ）サーバなどのサーバ装置である。そして、認証サーバ装置２８０は、ユーザ認証が成功した場合に、セキュリティ対策レベル転送データ３２０からユーザの認証情報を削除したセキュリティ対策レベルのデータを管理サーバ装置２９０に転送する。
【０２００】
この認証サーバ装置２８０は、通信処理部２８１、ユーザ認証データ２８２、認証処理部２８３および制御部２８４を有する。通信処理部２８１は、スイッチ２７０および管理サーバ装置２９０との間で通信をおこなう処理部である。
【０２０１】
具体的には、この通信処理部２８１は、スイッチ２７０からセキュリティ対策レベル転送データ３２０を受け付け、セキュリティ対策レベル転送データ３２０に含まれる認証情報を取得して、認証情報を認証処理部２８３に通知する。そして、この通信処理部２８１は、認証処理部２８３によるユーザ認証が成功した場合に、セキュリティ対策レベル転送データ３２０からユーザの認証情報を削除したセキュリティ対策レベルのデータを管理サーバ装置２９０に送信する。
【０２０２】
その後、この通信処理部２８１は、管理サーバ装置２９０に送信したセキュリティ対策レベルのデータに基づいて、管理サーバ装置２９０により端末装置２６０のネットワーク３００に対する接続可否が判定された判定結果の情報をポートの識別情報とともに受け付けた場合に、それらの情報にさらに認証成功の情報を付加した認証判定結果データをスイッチ２７０に送信する。
【０２０３】
ユーザ認証が失敗した場合には、通信処理部２８１は、ポートの識別情報と認証失敗の情報とを含んだ認証判定結果データをスイッチ２７０に送信する。
【０２０４】
ユーザ認証データ２８２は、ユーザの認証情報を登録したデータであり、認証処理部２８３がユーザ認証をおこなう際に、参照されるデータである。認証処理部２８３は、通信処理部２８１によりセキュリティ対策レベル転送データ３２０に含まれる認証情報を受け付け、ユーザ認証データ２８２に登録された認証情報と比較して一致した場合に、ユーザ認証が成功したものとして、管理サーバ装置２９０にセキュリティ対策レベルのデータを送信するよう通信処理部２８１に指示をする。
【０２０５】
管理サーバ装置２９０は、認証サーバ装置２８０からセキュリティ対策レベルのデータを受信して、そのセキュリティ対策レベルを基にして、端末装置２６０のネットワーク３００に対する接続を許可するか否かを判定する装置である。
【０２０６】
この管理サーバ装置２９０は、通信処理部２９１、通信条件データ２９２、接続可否判定部２９３および制御部２９４を有する。通信処理部２９１は、認証サーバ装置２８０との間で通信をおこなう通信処理部であり、認証サーバ装置２８０から送信されたセキュリティ対策レベルのデータを受信し、また、認証サーバ装置２８０に対して端末装置２６０のネットワーク３００に対する接続を許可するか否かを判定した判定結果データを送信する。
【０２０７】
通信条件データ２９２は、端末装置２６０をネットワーク３００に接続するか否かを判定する際に参照され、接続の許否を決定する条件を記憶したデータである。具体的には、図６に示した接続条件データ３２と同様のデータである。
【０２０８】
接続可否判定部２９３は、通信処理部２９１が受信したセキュリティ対策レベルのデータの各項目が、接続条件データ２９２に記憶された各判定条件を満足するか否かを判定し、図５に示した判定結果データ７０と同様の判定結果データを生成して、判定結果データを通信処理部２９１を介して認証サーバ装置２８０に送信する処理をおこなう。
【０２０９】
制御部２９４は、管理サーバ装置２９０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【０２１０】
つぎに、実施例５にかかるスイッチ２７０がおこなう接続制御処理の処理手順について説明する。図２２−１および図２２−２は、実施例５にかかるスイッチ２７０がおこなう接続制御処理の処理手順を示すフローチャート（１）および（２）である。
【０２１１】
図２２−１に示すように、まず、スイッチ２７０の通信処理部２７１は、データを受信する（ステップＳ５０１）。そして、通信処理部２７１は、データの受信が端末装置２６０側のポートでおこなわれたか否かを判定し（ステップＳ５０２）、端末装置２６０側のポートでデータを受信した場合には（ステップＳ５０２，Ｙｅｓ）、受信したデータがセキュリティ対策レベルデータ３１０か否かを調べる（ステップＳ５０３）。
【０２１２】
受信したデータがセキュリティ対策レベルデータ３１０ではない場合には（ステップＳ５０３，Ｎｏ）、接続制御部２７３は、ポート管理テーブル２７２を参照してデータを受信したポートに対応するポート状態を確認し（ステップＳ５０４）、ポート状態が「接続拒否」であるか否かを調べる（ステップＳ５０５）。
【０２１３】
ポート状態が「接続拒否」でない場合には（ステップＳ５０５，Ｎｏ）、接続制御部２７３は、ネットワーク３００を介して宛先の端末装置あるいはサーバ装置に端末装置２６０から受信したデータを送信し（ステップＳ５０６）、接続制御処理を終了する。ポート状態が「接続拒否」である場合には（ステップＳ５０５，Ｙｅｓ）、接続制御部２７３は、端末装置２６０から受信したデータを破棄し（ステップＳ５１０）、接続制御処理を終了する。
【０２１４】
ステップＳ５０３において、端末装置２６０から受信したデータがセキュリティ対策レベルデータ３１０である場合には（ステップＳ５０３，Ｙｅｓ）、通信処理部２７１は、データを受信したポートを識別する識別情報を生成し（ステップＳ５０７）、セキュリティ対策レベルデータ３１０に識別情報を付加したセキュリティ対策レベル転送データ３２０を認証サーバ装置２８０に転送する（ステップＳ５０８）。
【０２１５】
その後、通信処理部２７１は、データを受信したポートに対応付けて識別情報をポート管理テーブル２７２に格納し（ステップＳ５０９）、接続制御処理を終了する。
【０２１６】
ステップＳ５０２において、データを端末装置２６０側のポートで受信したのではなく、認証サーバ装置２８０側のポートで受信した場合には(ステップＳ５０２，Ｎｏ)、図２２−２に示すように、通信処理部２７１は、受信したデータが認証サーバ装置２８０に送信したセキュリティ対策レベル転送データ３２０に応じて送信された認証判定結果データかを調べる（ステップＳ５１１）。
【０２１７】
そして、受信したデータが認証判定結果データである場合には（ステップＳ５１１，Ｙｅｓ）、接続制御部２７３は、ポート管理テーブル２７２から認証判定結果データに含まれる識別情報と一致する識別情報であるポートを検索し（ステップＳ５１２）、識別情報が一致するポートがあるか否かを調べる（ステップＳ５１３）。
【０２１８】
識別情報が一致するポートがある場合には（ステップＳ５１３，Ｙｅｓ）、接続制御部２７３は、認証判定結果データから認証が成功したか否かを調べ（ステップＳ５１４）、認証が成功した場合には（ステップＳ５１４，Ｙｅｓ）、認証判定結果データに含まれる判定結果にしたがい、識別情報が一致したポートに対応付けて「接続許可」または「接続拒否」のポート状態を設定し（ステップＳ５１５）、ポート管理テーブル２７２の識別情報をクリアして（ステップＳ５１６）、接続制御処理を終了する。
【０２１９】
認証が成功しなかった場合には（ステップＳ５１４，Ｎｏ）、接続制御部２７３は、識別情報が一致したポートに対応付けて「接続拒否」のポート状態を設定し（ステップＳ５１９）、ポート管理テーブル２７２の識別情報をクリアして（ステップＳ５１６）、接続制御処理を終了する。
【０２２０】
ステップＳ５１３において、識別情報が一致するポートがない場合には（ステップＳ５１３，Ｎｏ）、接続制御部２７３は、認証判定結果データを破棄して（ステップＳ５１７）、接続制御処理を終了する。
【０２２１】
ステップＳ５１１において、受信したデータが認証判定結果データではない場合には（ステップＳ５１１，Ｎｏ）、接続制御部２７３は、当該データの宛先に対応するポートのポート状態をポート管理テーブル２７２で確認し（ステップＳ５１８）、図２２−１に示されるように、ポート状態が「接続拒否」であるか否かを調べる（ステップＳ５０５）。
【０２２２】
ポート状態が「接続拒否」でない場合には（ステップＳ５０５，Ｎｏ）、接続制御部２７３は、ネットワーク３００を介して宛先の端末装置あるいはサーバ装置に認証サーバ装置２８０から受信したデータを送信し（ステップＳ５０６）、接続制御処理を終了する。ポート状態が「接続拒否」である場合には（ステップＳ５０５，Ｙｅｓ）、接続制御部２７３は、認証サーバ装置２８０から受信したデータを破棄し（ステップＳ５１０）、接続制御処理を終了する。
【０２２３】
つぎに、実施例５にかかる認証サーバ装置２８０がおこなうユーザ認証処理の処理手順について説明する。図２３は、実施例５にかかる認証サーバ装置２８０がおこなうユーザ認証処理の処理手順を示すフローチャートである。
【０２２４】
図２３に示すように、まず、認証サーバ装置２８０の通信処理部２８１は、ポートの識別情報が付加されたセキュリティ対策レベル転送データ３２０を受信する（ステップＳ６０１）。そして、認証処理部２８３は、セキュリティ対策レベル転送データ３２０に含まれる認証情報と、ユーザ認証データ２８２に登録された認証情報とを比較してユーザ認証処理を実行する（ステップＳ６０２）。
【０２２５】
続いて、認証処理部２８３は、ユーザ認証が成功したか否かを調べ（ステップＳ６０３）、ユーザ認証が成功した場合には（ステップＳ６０３，Ｙｅｓ）、識別情報が付加されたセキュリティ対策レベルのデータを管理サーバ装置２９０に送信する（ステップＳ６０４）。
【０２２６】
そして、認証処理部２８３は、管理サーバ装置２９０からの判定結果データの受信を待ち受けて（ステップＳ６０５）、判定結果データに含まれる接続可否の判定結果が「接続拒否」であるか否かを調べる（ステップＳ６０６）。
【０２２７】
判定結果が「接続拒否」でない場合には（ステップＳ６０６，Ｎｏ）、認証処理部２８３は、管理サーバ装置２９０から受信した判定結果データに認証成功の認証判定結果を付加して認証判定結果データを生成し（ステップＳ６０７）、その認証判定結果データを通信処理部２８１を介してスイッチ２７０に送信する（ステップＳ６０８）。
【０２２８】
判定結果が「接続拒否」である場合には（ステップＳ６０６，Ｙｅｓ）、認証処理部２８３は、管理サーバ装置２９０から受信した判定結果データに認証失敗の認証判定結果を付加して認証判定結果データを生成し（ステップＳ６０９）、その認証判定結果データを通信処理部２８１を介してスイッチ２７０に送信する（ステップＳ６０８）。
【０２２９】
ステップＳ６０３において、ユーザ認証が成功しなかった場合には（ステップＳ６０３，Ｎｏ）、認証処理部２８３は、識別情報に認証失敗の認証判定結果を付加した認証判定結果データを生成し（ステップＳ６０９）、その認証判定結果データを通信処理部２８１を介してスイッチ２７０に送信する（ステップＳ６０８）。
【０２３０】
なお、本実施例５では、ネットワーク３００に接続する端末装置２６０の接続認証をおこなうこととしたが、実施例２に示したような、ＶＬＡＮに接続する端末装置の接続認証をおこなうこととしてもよい。
【０２３１】
上述してきたように、本実施例５では、認証サーバ装置２８０の認証処理部２８３による端末装置２６０の接続認証が失敗した場合に、スイッチ２７０の通信処理部２７１が、認証サーバ装置２８０の認証処理部２８３により生成された端末装置２６０のネットワーク３００に対する接続拒否の情報を受け付け、スイッチ２７０の接続制御部２７３が、その接続拒否の情報に基づいて端末装置２６０のネットワーク３００に対する接続を拒否することとしたので、接続認証をさらにおこなうことにより、セキュリティ対策が不十分であるコンピュータからネットワークに接続されたコンピュータにコンピュータウィルスが感染することをさらに適切に防止することができる。
【実施例６】
【０２３２】
ところで、実施例１〜５では、端末装置がセキュリティ対策レベルデータを送信した場合に、ネットワークへの接続制御を設定するスイッチのポート管理テーブルを更新することとしたが、端末装置が更新用サーバ装置に接続してソフトウェアを更新し、セキュリティ対策レベルが更新された場合に、端末装置がセキュリティ対策レベルデータを再度送信し、スイッチのポート管理テーブルを効率よく更新することとしてもよい。
【０２３３】
そこで、本実施例６では、端末装置のセキュリティ対策レベルが更新された際に、端末装置がセキュリティ対策レベルデータを再度送信し、スイッチのポート管理テーブルを更新する場合について説明する。
【０２３４】
図２４は、実施例６にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。なお、以下では図９に示した実施例２における機能部と同様の機能部については詳しい説明を省略する。
【０２３５】
図２４に示すように、このネットワーク接続制御システムは、端末装置３３０とスイッチ３４０とが接続され、また、スイッチ３４０と管理サーバ装置３５０とが接続され、スイッチ３４０には、ＶＬＡＮ３６０と、更新用サーバ装置３８０が接続された更新専用ＶＬＡＮ３７０とが接続されている。
【０２３６】
更新専用ＶＬＡＮ３７０は、端末装置３３０がＯＳやアンチウィルスソフトウェアの更新をおこなうことができる更新用サーバ装置３８０が接続されたＶＬＡＮであり、ＶＬＡＮ３６０は、端末装置３６０がその他の端末装置あるいはサーバ装置（図示せず）との間で通信をおこなう際に使用するＶＬＡＮである。
【０２３７】
端末装置３３０は、さまざまなアプリケーションソフトウェアが導入されたパーソナルコンピュータなどの端末装置である。この端末装置３３０は、通信処理部３３１、セキュリティ対策レベルデータ取得部３３２、セキュリティ対策レベル更新検知部３３３および制御部３３４を有する。
【０２３８】
通信処理部３３１は、スイッチ３４０や、ＶＬＡＮ３６０または更新専用ＶＬＡＮ３７０を介して接続された他の端末装置やサーバ装置などとの間で通信をおこなう通信処理部である。セキュリティ対策レベルデータ取得部３３２は、端末装置３３０のコンピュータウィルス対策の状況をセキュリティ対策レベルデータとして取得する取得部である。取得されたセキュリティ対策レベルデータは、通信処理部３３１によりスイッチ３４０に送信される。
【０２３９】
セキュリティ対策レベル更新検知部３３３は、端末装置３３０が更新専用ＶＬＡＮ３７０に接続され、更新用サーバ装置３８０との間の通信によりソフトウェアの更新がおこなわれた場合に、それを検知して、セキュリティ対策レベルデータ取得部３３２に再度セキュリティ対策レベルデータを取得するよう指示する。そして、取得されたセキュリティ対策レベルデータは、通信処理部３３１によりスイッチ３４０に再度送信される。
【０２４０】
制御部３３４は、端末装置３３０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【０２４１】
スイッチ３４０および管理サーバ装置３５０の各機能部は、図９に示したスイッチ９０および管理サーバ装置１００の各機能部と同様の機能を有する。
【０２４２】
すなわち、スイッチ３４０は、端末装置３３０から受信したデータを中継し、送信先の端末装置やサーバ装置が接続されているＶＬＡＮ３６０あるいは更新専用ＶＬＡＮ３７０に対する接続を制御する。
【０２４３】
このスイッチ３４０は、単にデータの中継をおこなうだけでなく、端末装置３３０からセキュリティ対策レベルデータを受信した場合に、受信したセキュリティ対策レベルデータを管理サーバ装置３５０に転送する処理をおこなう。管理サーバ装置３５０は、送信されたセキュリティ対策レベルデータに基づいて、端末装置３３０を接続すべきＶＬＡＮを判定する。
【０２４４】
その後、スイッチ３４０は、管理サーバ装置３５０により送信された判定結果を受信して、端末装置３３０が接続されているポートに対応付けてポート管理テーブル３４２にＶＡＬＮの情報を記憶する。そして、端末装置３３０によりデータが送信された場合に、記憶したＶＬＡＮの情報に基づいて、端末装置３３０をＶＬＡＮ３６０または更新専用ＶＬＡＮ３７０に接続する処理または接続を拒否する処理をおこなう。
【０２４５】
管理サーバ装置３５０は、スイッチ３４０からセキュリティ対策レベルのデータを受信して、そのセキュリティ対策レベルのデータを基にして、端末装置３３０を接続するＶＬＡＮの判定をおこなう。
【０２４６】
なお、本実施例６では、実施例２における端末装置にセキュリティ対策レベルの更新を検知する機能部を加えることとしたが、実施例３〜５における端末装置に同様の機能部を加え、ソフトウェアの更新がおこなわれたことを検知する処理を実行させることとしてもよい。
【０２４７】
上述してきたように、本実施例６では、端末装置３３０のセキュリティ対策レベル更新検知部３３３が、端末装置３３０が更新専用ＶＬＡＮ３７０に接続され、端末装置３３０のソフトウェアの更新がおこなわれたことを検知した場合に、スイッチ３４０の通信処理部３４１が、更新された端末装置３３０のセキュリティ対策レベルデータに基づいて管理サーバ装置３５０により判定された端末装置３３０を接続するＶＬＡＮ３６０または更新専用ＶＬＡＮ３７０の情報を受け付け、スイッチ３４０の接続制御部３４３が、受け付けた情報に基づいて、端末装置３３０が接続することを許可するＶＬＡＮをＶＬＡＮ３６０または更新専用ＶＬＡＮ３７０に制限することとしたので、端末装置３３０のセキュリティ対策レベルが更新された際に、その更新を端末装置３３０の接続制限に効率よく反映することができる。
【実施例７】
【０２４８】
ところで、実施例６では、端末装置のセキュリティ対策レベルが更新された場合に、端末装置がセキュリティ対策レベルデータを再度送信し、スイッチのポート管理テーブルを更新することとしたが、端末装置が満足すべきセキュリティ対策レベルの条件を登録した管理サーバ装置の接続条件データが更新された場合に、端末装置にセキュリティ対策レベルのデータを送信するよう要求し、更新された接続条件データに基づいて端末装置のネットワークに対する接続制御の状況を迅速に変更することとしてもよい。
【０２４９】
そこで、本実施例７では、管理サーバ装置の接続条件データが更新された際に、端末装置にセキュリティ対策レベルのデータを送信するよう要求し、そのセキュリティ対策レベルのデータと更新された接続条件データとに基づいて端末装置のネットワークに対する接続制御の状態を変更する場合について説明する。
【０２５０】
図２５は、実施例７にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。なお、以下では図９に示した実施例２における機能部と同様の機能部については詳しい説明を省略する。
【０２５１】
図２５に示すように、このネットワーク接続制御システムは、端末装置３９０とスイッチ４００とが接続され、また、スイッチ４００と管理サーバ装置４１０とが接続され、スイッチ４００には、ＶＬＡＮ４２０と、更新用サーバ装置４４０が接続された更新専用ＶＬＡＮ４３０とが接続されている。
【０２５２】
更新専用ＶＬＡＮ４３０は、端末装置３９０がＯＳやアンチウィルスソフトウェアの更新をおこなうことができる更新用サーバ装置４４０が接続されたＶＬＡＮであり、ＶＬＡＮ４２０は、端末装置３９０がその他の端末装置あるいはサーバ装置（図示せず）との間で通信をおこなう際に使用するＶＬＡＮである。
【０２５３】
端末装置３９０は、さまざまなアプリケーションソフトウェアが導入されたパーソナルコンピュータなどの端末装置である。この端末装置３９０は、通信処理部３９１、セキュリティ対策レベルデータ取得部３９２および制御部３９３を有する。
【０２５４】
通信処理部３９１は、スイッチ４００や、ＶＬＡＮ３６０または更新専用ＶＬＡＮ３７０を介して接続された端末装置やサーバ装置などとの間で通信をおこなう通信処理部である。また、この通信処理部３９１は、管理サーバ装置４１０により送信されたセキュリティ対策レベル送信要求を受信した場合に、セキュリティ対策レベルデータ取得部３９２にセキュリティ対策レベルのデータを取得するよう指示し、取得されたセキュリティ対策レベルのデータをスイッチ４００に送信する。
【０２５５】
セキュリティ対策レベルデータ取得部３９２は、端末装置３９０のコンピュータウィルス対策の状況をセキュリティ対策レベルデータとして取得する取得部である。取得されたセキュリティ対策レベルデータは、通信処理部３９１によりスイッチ４００に送信される。
【０２５６】
制御部３９３は、端末装置３９０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【０２５７】
スイッチ４００の各機能部は、図９に示したスイッチ９０の各機能部と同様の機能を有する。すなわち、スイッチ４００は、端末装置３９０から受信したデータを中継し、宛先の端末装置やサーバ装置が接続されているＶＬＡＮ４２０あるいは更新専用ＶＬＡＮ４３０に対する接続を制御する。
【０２５８】
このスイッチ４００は、単にデータの中継をおこなうだけでなく、端末装置３９０からセキュリティ対策レベルデータを受信した場合に、受信したセキュリティ対策レベルデータを管理サーバ装置４１０に転送する処理をおこなう。管理サーバ装置４１０は、送信されたセキュリティ対策レベルデータに基づいて、端末装置３９０を接続すべきＶＬＡＮを判定する。
【０２５９】
その後、スイッチ４００は、管理サーバ装置４１０により送信された判定結果を受信して、端末装置３９０が接続されているポートに対応付けてポート管理テーブル４０２にＶＡＬＮの情報を記憶する。そして、端末装置３９０によりデータが送信された場合に、記憶したＶＬＡＮの情報に基づいて、端末装置３９０をＶＬＡＮ４２０または更新専用ＶＬＡＮ４３０に接続する処理または接続を拒否する処理をおこなう。
【０２６０】
管理サーバ装置４１０は、スイッチ４００からセキュリティ対策レベルのデータを受信して、そのセキュリティ対策レベルのデータを基にして、端末装置３９０を接続するＶＬＡＮの判定をおこなうサーバ装置である。
【０２６１】
この管理サーバ装置４１０は、通信処理部４１１、接続条件データ４１２、接続条件更新検知部４１３、接続先ＶＬＡＮ判定部４１４および制御部４１５を有する。通信処理部４１１は、スイッチ４００との間で通信をおこなう通信処理部であり、スイッチ４００から送信されたセキュリティ対策レベルのデータを受信し、また、スイッチ４００に対して端末装置３９０を接続するＶＬＡＮの判定結果を送信する。
【０２６２】
接続条件データ４１２は、図１２に示した接続条件データ１０２と同様のデータであり、端末装置３９０が接続されるＶＬＡＮを判定する際に参照され、接続先のＶＬＡＮを決定する条件を記憶したデータである。
【０２６３】
接続条件更新検知部４１３は、接続条件データ４１２に登録されたセキュリティ対策レベルの項目の種類、判定条件、条件満足時ＶＬＡＮ切替先情報あるいは条件不満足時ＶＬＡＮ切替先情報が変更になった場合に、それを検知して、端末装置３９０にセキュリティ対策レベルのデータを再度送信するよう要求する要求データを送信する。
【０２６４】
接続先ＶＬＡＮ判定部４１４は、通信処理部４１１が受信したセキュリティ対策レベルのデータの各項目が、接続条件データ４１２に記憶された各判定条件を満足するか否かを判定し、端末装置８０を接続するＶＬＡＮの判定結果を、通信処理部４１１を介してスイッチ４００に送信する処理をおこなう。
【０２６５】
制御部４１５は、管理サーバ装置４１０を全体制御する制御部であり、各機能部間のデータの授受などを司る。
【０２６６】
なお、本実施例７では、実施例２における管理サーバ装置に接続条件データの更新を検知する機能部を加えることとしたが、実施例３〜６における端末装置に同様の機能部を加え、接続条件データの更新がおこなわれたことを検知する処理を実行させることとしてもよい。
【０２６７】
また、本実施例７では、管理サーバ装置４１０の接続条件データ４１２の更新がおこなわれた場合に、管理サーバ装置４１０が端末装置３３０にセキュリティ対策レベルデータを再送信するよう要求しているが、実施例６のように、端末装置３３０がセキュリティ対策レベルデータをすでに送信してきている場合には送信要求をおこなうことなしに、端末装置３３０が接続することを許可するＶＬＡＮを設定することができる。
【０２６８】
上述してきたように、本実施例７では、管理サーバ装置４１０の接続条件更新検知部４１３が、管理サーバ装置４１０の接続条件データ４１２の更新がおこなわれたことを検知した場合に、スイッチ３４０の通信処理部３４１が、端末装置３３０から再送信されたセキュリティ対策レベルデータに基づいて管理サーバ装置３５０により判定された端末装置３３０を接続するＶＬＡＮ３６０または更新専用ＶＬＡＮ３７０の情報を受け付け、スイッチ３４０の接続制御部３４３が、受け付けた情報に基づいて、端末装置３３０が接続することを許可するＶＬＡＮをＶＬＡＮ３６０または更新専用ＶＬＡＮ３７０に制限することとしたので、管理サーバ装置４１０の接続条件データ４１２が更新された際に、その更新を端末装置３３０の接続制限に効率よく反映することができる。
【０２６９】
以上本発明にかかる実施例について図面を参照して詳述してきたが、具体的な構成例はこれらの実施例に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等があっても本発明に含まれる。
【０２７０】
例えば、実施例１〜７においては、端末装置、スイッチ、管理サーバ装置および認証サーバ装置の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませ、実行することにより各機能を実現してもよい。
【０２７１】
図２６は、実施例の変形例におけるコンピュータ５００の構成を示すブロック図である。図２６に示したコンピュータ５００は、上記プログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｃｅｓｓｉｎｇ  Ｕｎｉｔ）５１０と、キーボード、マウス等の入力装置５２０と、各種データを記憶するＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）５３０と、演算パラメータ等を記憶するＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）５４０と、端末装置、スイッチ、管理サーバ装置および認証サーバ装置の機能を実現するためのプログラムを記録した記録媒体６００からプログラムを読み取る読取装置５５０と、ディスプレイ、プリンタ等の出力装置５６０とから構成されている。
【０２７２】
ＣＰＵ５１０は、読取装置５５０を経由して記録媒体６００に記録されているプログラムを読み込んだ後、プログラムを実行することにより、前述した機能を実現する。なお、記録媒体６００としては、光ディスク、フレキシブルディスク、ハードディスク等が挙げられる。また、このプログラムは、インターネットなどのネットワークを介してコンピュータ５００に導入することとしてもよい。
【０２７３】
また、実施例１〜７においては、スイッチと管理サーバ装置とを別々に配置しているが、スイッチの機能および管理サーバ装置の機能を両方とも実現するようスイッチを構成することとしてもよい。同様に、実施例５では、スイッチ、認証サーバ装置および管理サーバ装置を別々に配置しているが、スイッチの機能および認証サーバ装置の機能を両方とも実現するようスイッチを構成することとしてもよく、さらに、スイッチの機能、認証サーバ装置の機能および管理サーバ装置の機能すべてを実現するようスイッチを構成することとしてもよい。
【０２７４】
（付記１）所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するコンピュータで実行されるネットワーク接続制御プログラムであって、
前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付ける接続制御情報受付手順と、
前記接続制御情報受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手順と、
をコンピュータに実行させることを特徴とするネットワーク接続制御プログラム。
【０２７５】
（付記２）前記接続制御手順は、前記接続制御情報受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続を許可または拒否することを特徴とする付記１に記載のネットワーク接続制御プログラム。
【０２７６】
（付記３）前記接続制御手順は、前記ネットワークが複数のネットワークに分割されている場合に、前記接続制御情報受付手順により受け付けた接続制御情報に基づいて該複数のネットワークにおいて前記所定のコンピュータの接続を許可するネットワークを制限することを特徴とする付記１または２に記載のネットワーク接続制御プログラム。
【０２７７】
（付記４）前記所定のコンピュータが前記ネットワークを介して通信可能な状態に設定された際に、前記所定のコンピュータの接続を許可するネットワークを制限するネットワーク初期制限手順をさらに含み、前記接続制御情報受付手順は、前記ネットワーク初期制限手順により接続が許可されるネットワークが制限された所定のコンピュータの前記セキュリティ対策状況情報に基づいて生成された前記接続制御情報を受け付けることを特徴とする付記３に記載のネットワーク接続制御プログラム。
【０２７８】
（付記５）前記接続制御手順は、前記接続制御情報受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータと通信をおこなう通信先のコンピュータを制限することにより該所定のコンピュータのネットワークに対する接続を許可または拒否することを特徴とする付記１〜４のいずれか１つに記載のネットワーク接続制御プログラム。
【０２７９】
（付記６）前記所定のコンピュータが前記ネットワークを介して通信可能な状態に設定された際に、前記所定のコンピュータと通信をおこなう通信先のコンピュータを制限する通信先制限手順をさらに含み、前記接続制御情報受付手順は、前記通信先制限手順により通信先のコンピュータが制限された所定のコンピュータの前記セキュリティ対策状況情報に基づいて生成された前記接続制御情報を受け付けることを特徴とする付記５に記載のネットワーク接続制御プログラム。
【０２８０】
（付記７）前記接続制御手順により前記所定のコンピュータのネットワークに対する接続制御をおこなった後、前記所定のコンピュータのセキュリティ対策状況情報が更新された場合に、更新された該セキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付ける接続制御情報再受付手順と、前記接続制御情報再受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続制御を更新する接続再制御手順と、をさらに含んだことを特徴とする付記１〜６のいずれか１つに記載のネットワーク接続制御プログラム。
【０２８１】
（付記８）前記所定のコンピュータのネットワークに対する接続制御を前記セキュリティ対策状況情報に基づいて規定する接続制御条件が更新された場合に、前記セキュリティ対策状況情報および接続制御条件に基づいて生成された接続の制御に係る接続制御情報を再度受け付ける接続制御情報再受付手順と、前記接続制御情報再受付手順により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続制御を更新する接続再制御手順と、をさらに含んだことを特徴とする付記１〜７のいずれか１つに記載のネットワーク接続制御プログラム。
【０２８２】
（付記９）前記接続制御情報受付手順は、前記所定のコンピュータの接続認証に係る情報をさらに受け付け、前記接続制御手順は、前記接続制御情報受付手順により受け付けられた接続認証に係る情報が認証失敗を示す情報であった場合に、前記所定のコンピュータのネットワークに対する接続を拒否することを特徴とする付記１〜８のいずれか１つに記載のネットワーク接続制御プログラム。
【０２８３】
（付記１０）前記接続制御情報受付手順は、前記所定のコンピュータの接続認証をさらにおこない、前記接続制御手順は、前記接続制御情報受付手順による接続認証が失敗した場合に前記所定のコンピュータのネットワークに対する接続を拒否することを特徴とする付記１〜８のいずれか１つに記載のネットワーク接続制御プログラム。
【０２８４】
（付記１１）所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するコンピュータで実行されるネットワーク接続制御プログラムであって、
前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報を受け付けて、セキュリティの対策状況が十分であるか否かを判定するセキュリティ対策状況判定手順と、
前記セキュリティ対策状況判定手順により判定された判定結果に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手順と、
をコンピュータに実行させることを特徴とするネットワーク接続制御プログラム。
【０２８５】
（付記１２）前記セキュリティ対策状況判定手順は、前記所定のコンピュータの接続認証をさらにおこない、前記接続制御手順は、該接続認証が失敗した場合に、前記所定のコンピュータのネットワークに対する接続を拒否することを特徴とする付記１１に記載のネットワーク接続制御プログラム。
【０２８６】
（付記１３）所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御方法であって、
前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付ける接続制御情報受付工程と、
前記接続制御情報受付工程により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御工程と、
を含んだことを特徴とするネットワーク接続制御方法。
【０２８７】
（付記１４）所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御方法であって、
前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報を受け付けて、セキュリティの対策状況が十分であるか否かを判定するセキュリティ対策状況判定工程と、
前記セキュリティ対策状況判定工程により判定された判定結果に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御工程と、
を含んだことを特徴とするネットワーク接続制御方法。
【０２８８】
（付記１５）所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御装置であって、
前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報に基づいて生成された接続の制御に係る接続制御情報を受け付ける接続制御情報受付手段と、
前記接続制御情報受付手段により受け付けた接続制御情報に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手段と、
を備えたことを特徴とするネットワーク接続制御装置。
【０２８９】
（付記１６）所定のコンピュータによりなされるネットワークを介した通信を中継し、該所定のコンピュータのネットワークに対する接続を制御するネットワーク接続制御装置であって、
前記所定のコンピュータのコンピュータセキュリティの対策状況に係るセキュリティ対策状況情報を受け付けて、セキュリティの対策状況が十分であるか否かを判定するセキュリティ対策状況判定手段と、
前記セキュリティ対策状況判定手段により判定された判定結果に基づいて前記所定のコンピュータのネットワークに対する接続を制御する接続制御手段と、
を備えたことを特徴とするネットワーク接続制御装置。
【産業上の利用可能性】
【０２９０】
以上のように、本発明にかかるネットワーク接続制御プログラム、ネットワーク接続制御方法およびネットワーク接続制御装置は、ネットワークに接続されたコンピュータにコンピュータウィルスが感染することを適切に防止することが必要なネットワーク接続制御システムに有用である。
【図面の簡単な説明】
【０２９１】
【図１】実施例１にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。
【図２】端末装置１０が送信するセキュリティ対策レベルデータ５０の一例を示す図である。
【図３】スイッチ２０が送信するセキュリティ対策レベル転送データ６０の一例を示す図である。
【図４】図１に示したポート管理テーブル２２の一例を示す図である。
【図５】図１に示した管理サーバ装置３０により送信される判定結果データ７０の一例を示す図である。
【図６】図１に示した接続条件データ３２の一例を示す図である。
【図７−１】実施例１にかかるスイッチ２０がおこなう接続制御処理の処理手順を示すフローチャート（１）である。
【図７−２】実施例１にかかるスイッチ２０がおこなう接続制御処理の処理手順を示すフローチャート（２）である。
【図８】実施例１にかかる管理サーバ装置３０がおこなう接続可否判定処理の処理手順を示すフローチャートである。
【図９】実施例２にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。
【図１０】図９に示したポート管理テーブル９２の一例を示す図である。
【図１１】管理サーバ装置１００により送信される判定結果データ１４０の一例を示す図である。
【図１２】図９に示した接続条件データ１０２の一例を示す図である。
【図１３−１】実施例２にかかるスイッチ９０がおこなう接続制御処理の処理手順を示すフローチャート（１）である。
【図１３−２】実施例２にかかるスイッチ９０がおこなう接続制御処理の処理手順を示すフローチャート（２）である。
【図１４】実施例２にかかる管理サーバ装置１００がおこなう切替先ＶＬＡＮ判定処理の処理手順を示すフローチャートである。
【図１５】本実施例３にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。
【図１６】図１５に示したポート管理テーブル１６２の一例を示す図である。
【図１７】図１５に示した接続条件データ１７２の一例を示す図である。
【図１８】実施例４にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。
【図１９】実施例５にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。
【図２０】端末装置２６０が送信するセキュリティ対策レベルデータ３１０の一例を示す図である。
【図２１】スイッチ２７０が送信するセキュリティ対策レベル転送データ３２０の一例を示す図である。
【図２２−１】実施例５にかかるスイッチ２７０がおこなう接続制御処理の処理手順を示すフローチャート（１）である。
【図２２−２】実施例５にかかるスイッチ２７０がおこなう接続制御処理の処理手順を示すフローチャート（２）である。
【図２３】実施例５にかかる認証サーバ装置２８０がおこなうユーザ認証処理の処理手順を示すフローチャートである。
【図２４】実施例６にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。
【図２５】実施例７にかかるネットワーク接続制御システムの構成を示す機能ブロック図である。
【図２６】実施例の変形例におけるコンピュータ５００の構成を示すブロック図である。
【符号の説明】
【０２９２】
１０、８０、１５０、２００、２６０、３３０、３９０    端末装置
１１、２１、３１、８１、９１、１０１、１５１、１６１、１７１、２０１、２１１、２２１、２６１、２７１、２８１、２９１、３３１、３４１、３５１、３９１、４０１、４１１    通信処理部
１２、８２、１５２、２０２、２６２、３３２、３９２    セキュリティ対策レベルデータ取得部
１３、２４、３４、８３、９４、１０４、１５３、１６４、１７４、２０３、２１４、２２４、２６３、２７４、２８４、２９４、３３４、３４４、３５４、３９３、４０４、４１５    制御部
２０、９０、１６０、２１０、２７０、３４０、４００    スイッチ
２２、９２、１６２、２１２、２７２、３４２、４０２    ポート管理テーブル
２３、９３、１６３、２１３、２７３、３４３、４０３    接続制御部
３０、１００、１７０、２２０、２９０、３５０、４１０    管理サーバ装置
３２、１０２、１７２、２２２、２９２、３５２、４１２    接続条件データ
３３、２９３    接続可否判定部
４０、１８０、３００    ネットワーク
５０、３１０    セキュリティ対策レベルデータ
６０、３２０    セキュリティ対策レベル転送データ
７０、１４０    判定結果データ
１０３、２２３、３５３、４１４    接続先ＶＬＡＮ判定部
１１０、２３０、３６０、４２０    ＶＬＡＮ
１２０、３７０、４３０    更新専用ＶＬＡＮ
１３０、１９０、２５０、３８０、４４０    更新用サーバ装置
１７３    接続先ＩＰアドレス判定部
２４０    確認・更新専用ＶＬＡＮ
３３３    セキュリティ対策レベル更新検知部
【図１】
2005165561.tif 000003
【図２】
2005165561.tif 000004
【図３】
2005165561.tif 000005
【図４】
2005165561.tif 000006
【図５】
2005165561.tif 000007
【図６】
2005165561.tif 000008
【図７−１】
2005165561.tif 000009
【図７−２】
2005165561.tif 000010
【図８】
2005165561.tif 000011
【図９】
2005165561.tif 000012
【図１０】
2005165561.tif 000013
【図１１】
2005165561.tif 000014
【図１２】
2005165561.tif 000015
【図１３−１】
2005165561.tif 000016
【図１３−２】
2005165561.tif 000017
【図１４】
2005165561.tif 000018
【図１５】
2005165561.tif 000019
【図１６】
2005165561.tif 000020
【図１７】
2005165561.tif 000021
【図１８】
2005165561.tif 000022
【図１９】
2005165561.tif 000023
【図２０】
2005165561.tif 000024
【図２１】
2005165561.tif 000025
【図２２−１】
2005165561.tif 000026
【図２２−２】
2005165561.tif 000027
【図２３】
2005165561.tif 000028
【図２４】
2005165561.tif 000029
【図２５】
2005165561.tif 000030
【図２６】
2005165561.tif 000031