(57)【要約】      （修正有）【課題】遠隔一元的にセキュリティ管理を行なうことができるとともに、ウイルスなどによる被害に対して迅速に対応することができるネットワークシステムを提供する。【解決手段】少なくとも１以上のローカルネットワークと、端末が接続可能で、この端末をローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、端末の接続元に関するデータを記憶する端末データベースと、端末の認証情報に基づいてデータを検索可能な管理サーバと、を備えたネットワークシステムであって、管理端末は端末の接続を遮断する要請を管理サーバに送信し、管理サーバは端末データベースの接続元に関するデータを検索し、スイッチング部は検索されたデータに基づいて、端末との接続を遮断する。【選択図】図１
2005196279.tif 000002
【特許請求の範囲】
【請求項１】
少なくとも１以上のローカルネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報を関連付けて記憶する端末データベースと、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記一の端末の接続を遮断することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とするネットワークシステム。
【請求項２】
少なくとも１以上のローカルネットワークと、
前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを記憶する端末データベースと、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記少なくとも１以上のローカルネットワークのいずれかにアクセス可能な状態にされている一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更するよう構成されていることを特徴とするネットワークシステム。
【請求項３】
前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理サーバから受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする請求項２記載のネットワークシステム。
【請求項４】
少なくとも２以上のローカルネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも２以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを記憶する端末データベースと、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記少なくとも２以上のローカルネットワークのうち一のローカルネットワークにアクセス可能な状態にされている一の端末のアクセス先を他のローカルネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記他のローカルネットワークに変更するよう構成されていることを特徴とするネットワークシステム。
【請求項５】
前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする請求項４記載のネットワークシステム。
【請求項６】
少なくとも１以上のローカルネットワークと、
前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを記憶する端末データベースと、
前記スイッチング部に接続されている端末のセキュリティ対策の状態を認証する認証部と、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記認証部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のセキュリティ対策の状態を再認証し、
前記スイッチング部は、前記認証部による再認証によって接続されている端末のセキュリティ対策が十分であると認証された場合、接続されている端末を前記少なくとも１以上のローカルネットワークにアクセス可能な状態にし、前記認証部による再認証によって接続されている端末のセキュリティ対策が不十分であると認証された場合、接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にすることを特徴とするネットワークシステム。
【請求項７】
前記認証部は、前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、さらに前記端末の認証情報の再認証を行なうよう構成されており、
前記スイッチング部は、前記認証部による再認証によって前記端末の認証情報が所定のものでないと認証された場合、前記端末と前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策ネットワークのいずれのネットワークとの接続を遮断するように構成されていることを特徴とする請求項６記載のネットワークシステム。
【請求項８】
前記スイッチング部は、前記管理サーバが前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、前記端末のネットワークとのアクセスを一旦不可の状態にするよう構成されていることを特徴とする請求項６又は７記載のネットワークシステム。
【請求項９】
前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理サーバから受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする請求項８記載のネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、遠隔一元的に各端末のセキュリティ管理を行なうことができるネットワークシステムに関する。
【背景技術】
【０００２】
近年、イントラネットなど企業内ネットワークにおいて、ウイルスやハッカーなどによる攻撃など被害が続出しており、インターネットなどの外部ネットワークに対するセキュリティ対策は重要である。このため、外部ネットワークとの境界にファイアウオールを設置するなどして、外部からの不正アクセス等を排除することが一般的に行なわれている。また、こうしたファイアウオールにウイルス検知ソフトウエアをインストールしてウイルス対策を行なうことも一般的に行なわれている。
【０００３】
しかし、ファイアウオールにウイルス検知ソフトウエアをインストールして、ＬＡＮを宛先とするデータ全てのウイルス検知・駆除等を一括して行なわせると、ファイアウオールの負荷が大きくなり、ネットワークのパフォーマンスが低下し易いという問題がある。このため、ファイアウオールにウイルス検知を一括して行なわせる代わりに、ＬＡＮに接続された個々の端末にウイルス検知ソフトウエアを実装させ、これによりウイルス対策を行なうことが、一般的に行なわれている。
【０００４】
ところで、こうしたウイルス検知ソフトウエアは、新型のウイルスに対応したウイルス検知用データ、例えば、ウイルス定義ファイル、パターンファイルなどを常に更新しておかないと、有効に動作しない。端末ごとにウイルス検知ソフトウエアをインストールして、端末ごとにウイルス対策を行なわせる形態をとる場合、こうしたウイルス検知用データの更新は、端末ごとに行う必要があるが、多数の端末のうち、一部でもこうしたウイルス検知用データの更新を怠ってしまうと、その端末がウイルスに感染し、このウイルスが他の端末にも伝染してしまうという問題がある。
【０００５】
また、オペレーティングシステム（ＯＳ）やメールソフトウエア、ブラウザソフトウエア等に欠陥がある場合には、その欠陥を補修してウイルスの攻撃を回避するためのパッチファイルをインストールすることが必要である。パッチファイルの取得は、近年においては、ソフトウエア会社のホームページ等からインターネットを通じてダウンロードすることにより行なわれるのが一般的である。多数の端末のうち、一部でもこうしたパッチファイルのダウンロードを怠ると、その端末がいわゆるサイバーテロやハッカーからの攻撃を受け、ネットワーク内に侵入されるという問題がある。
【０００６】
端末でのセキュリティ対策状況、例えばウイルス検知ソフトウエアのインストール、最新のウイルス検知用データ、パッチファイル等のダウンロード等、セキュリティ確保のために必要又は有効な対策状況をセンタシステムにおいて検査し、必要なセキュリティ情報（例えば、ウイルス情報）を端末に提供するシステムが、特許文献１により知られている。
【０００７】
【特許文献１】特開２００３−２８８３２１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
しかし、この特許文献１のシステムにおいては、各端末のセキュリティ対策の不十分さが見つかっても、その端末がネットワークに接続されたままとなり、このような端末からウイルスがネットワーク中に蔓延する虞がある。
【０００９】
また、各端末のセキュリティ対策状況を認識可能な管理端末を用意し、その管理端末によって遠隔的に各端末のセキュリティを管理する方法がある。このような管理端末を用いて各端末のセキュリティを管理する方法は、遠隔一元的にセキュリティ管理を行なうことができるというメリットを有するが、管理端末によってある端末のセキュリティ対策が不十分であることが認識されたとしても、管理者がその端末の利用者に知らせてその端末側からネットワークへの接続を断ったりしなければならず、迅速に対応することができないという問題がある。
【００１０】
そこで、本発明は、遠隔一元的にセキュリティ管理を行なうことができるとともに、ウイルスなどによる被害に対して迅速に対応することができるネットワークシステムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
以上のようの目的を達成するため、本発明は、少なくとも１以上のローカルネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報を関連付けて記憶する端末データベースと、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記一の端末の接続を遮断することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする。
【００１２】
以上のように本発明に係るネットワークシステムによれば、管理端末によってセキュリティや認証情報などが不審な端末を認識した場合、管理端末からの遠隔操作によって、その端末の接続を遮断することができる。
【００１３】
また、上記目的を達成するため、本発明は、少なくとも１以上のローカルネットワークと、前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを記憶する端末データベースと、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記少なくとも１以上のローカルネットワークのいずれかにアクセス可能な状態にされている一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更するよう構成されていることを特徴とする。
【００１４】
以上のように本発明に係るネットワークシステムによれば、管理端末によってセキュリティ対策が不十分な端末を認識した場合、管理端末からの遠隔操作によって、その端末の接続先をセキュリティ対策用ネットワークに変更することができる。また、本発明に係るネットワークシステムにおいて、前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理サーバから受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断するよう構成しても良い。さらに、本発明に係るネットワークシステムにおいて、セキュリティ対策用ネットワークは、ウイルス検知用データやＯＳなどのパッチファイルなどを各端末に供給可能なネットワークであって、ウイルス検知用データやＯＳなどのパッチファイルなどセキュリティ対策用のデータを供給可能なセキュリティ対策サーバにインターネットやイントラネットなどを通じてアクセスすることができるものである。
【００１５】
さらに、上記目的を達成するため、本発明は、少なくとも２以上のローカルネットワークと、端末が接続可能で、接続されている端末を前記少なくとも２以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを記憶する端末データベースと、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記少なくとも２以上のローカルネットワークのうち一のローカルネットワークにアクセス可能な状態にされている一の端末のアクセス先を他のローカルネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記他のローカルネットワークに変更するよう構成されていることを特徴とする。
【００１６】
以上のように本発明に係るネットワークシステムによれば、管理端末によってセキュリティ対策や認証情報などが不審な端末を認識した場合、管理端末からの遠隔操作によって、その端末の接続先を他のローカルネットワークに変更することができる。また、本発明に係るネットワークシステムにおいて、前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断するよう構成しても良い。
【００１７】
またさらに、上記目的を達成するため、本発明は、少なくとも１以上のローカルネットワークと、前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを記憶する端末データベースと、前記スイッチング部に接続されている端末のセキュリティ対策の状態を認証する認証部と、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記認証部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のセキュリティ対策の状態を再認証し、前記スイッチング部は、前記認証部による再認証によって接続されている端末のセキュリティ対策が十分であると認証された場合、接続されている端末を前記少なくとも１以上のローカルネットワークにアクセス可能な状態にし、前記認証部による再認証によって接続されている端末のセキュリティ対策が不十分であると認証された場合、接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にすることを特徴とする。
【００１８】
以上のように本発明に係るネットワークシステムによれば、管理端末によってセキュリティや認証情報などが不審な端末を認識した場合、管理端末からの遠隔操作によって、その端末の再認証を実行することができ、このように再認証の結果によって端末の接続を継続したり、遮断したり、接続先を変更したりすることができる。また、本発明に係るネットワークシステムにおいて、前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理サーバから受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断するよう構成しても良い。
【００１９】
本発明に係るネットワークシステムにおいて、前記認証部は、前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、さらに前記端末の認証情報の再認証を行なうよう構成されており、前記スイッチング部は、前記認証部による再認証によって前記端末の認証情報が所定のものでないと認証された場合、前記端末と前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策ネットワークのいずれのネットワークとの接続を遮断するように構成されていることが好ましく、前記スイッチング部は、前記管理サーバが前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、前記端末のネットワークとのアクセスを一旦不可の状態にするよう構成されていることが好ましい。本発明に係るネットワークシステムにおいて、セキュリティ対策用ネットワークは、ウイルス検知用データやＯＳなどのパッチファイルなどを各端末に供給可能なネットワークであって、ウイルス検知用データやＯＳなどのパッチファイルなどセキュリティ対策用のデータを供給可能なセキュリティ対策サーバにインターネットやイントラネットなどを通じてアクセスすることができるものである。
【発明の効果】
【００２０】
以上のように、本発明に係るネットワークシステムによれば、遠隔一元的にセキュリティ管理を行なうことができるとともに、ウイルスなどによる被害に対して迅速に対応することができるネットワークシステムを提供することができる。
【発明を実施するための最良の形態】
【００２１】
次に、本発明に係るネットワークシステムの実施例について図面に基づいて説明する。図１は、本実施例に係るネットワークシステムの概念図である。本実施例に係るネットワークシステムは、図１に示すように、ネットワーク１０と、端末１２（１２−１〜４）が接続可能な１以上の接続ポートを有するＬＡＮスイッチ１４（１４−１、１４−２）と、ＬＡＮスイッチ１４に接続されている各端末１２のセキュリティ対策状況を認識可能な管理端末１６と、ＬＡＮスイッチ１４の制御などを行なう管理サーバ１８と、ＬＡＮスイッチ１４に接続されている端末１２のＬＡＮスイッチ１４及び接続ポートなど接続元に関するデータを各端末１２の認証情報と関連付けて記憶する端末データベース２０と、ＬＡＮスイッチ１４に接続されている端末１２のセキュリティ対策の状態や所定の認証情報の認証を行なう認証サーバ２２と、ＬＡＮスイッチ１４に接続されている端末１２の接続先のネットワークの種類に関する情報が記憶されているポリシデータベース２４と、を備えている。
【００２２】
これらのＬＡＮスイッチ１４−１、１４−２は、所定の規則に基づき、ネットワーク１０中に仮想的に形成される複数種類のＶＬＡＮ（Virtual Local Area Network）のいずれか１つに端末１２を接続する。ここではＶＬＡＮとして、ＶＬＡＮ−１、ＶＬＡＮ−２及びＧｕｅｓｔ−ＶＬＡＮが形成されている。ＶＬＡＮ−１及びＶＬＡＮ−２は、セキュリティ対策が十分になされた端末１２が接続可能なＶＬＡＮであり、データサーバ２６又は２７が接続されている。一方、Ｇｕｅｓｔ−ＶＬＡＮは、セキュリティ対策が不十分である端末１２が接続されるＶＬＡＮであり、インターネット２８を介して、各種セキュリティ対策用サーバ３０に接続可能である。セキュリティ対策サーバ３０は、例えばウイルス検知用ソフトウエアやＯＳの製造メーカのＷＷＷサーバ等である。ＶＬＡＮ−１に接続された端末と、ＶＬＡＮ−２に接続された端末１２と、Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１２とは、それぞれ互いにアクセスすることができないように構成されている。
【００２３】
管理端末１６は、ＬＡＮスイッチ１４に接続されている各端末１２のセキュリティ対策状況、例えばウイルス検知ソフトウエアのウイルス検知用データが最新のものに更新されているか、又はＯＳ、電子メールソフト及びウェブブラウザソフトなどの最新のパッチファイルがインストールされているかなどを認識することができ、これらは、例えばＭＡＣアドレスやユーザＩＤなどその端末１２の認証情報と関連付けて認識することができる。すなわち、管理端末１６を利用するネットワーク管理者は、ＬＡＮスイッチ１４に接続されている各端末１２の遠隔地からそれら各端末１２のセキュリティ対策状況をそれら端末１２の認証情報と関連付けて認識することができる。また、管理端末１６は、各端末１２のＬＡＮスイッチ１４との接続を遮断する旨の通知、各端末１２のＶＬＡＮ−１との接続をＧｕｅｓｔ−ＶＬＡＮへ変更する旨の通知、各端末１２のＶＬＡＮ−１との接続をＶＬＡＮ−２へ変更する旨の通知、及び各端末１２の再認証を要求する通知などを各端末１２の認証情報と関連付けられた状態で管理サーバ１８に送信することができるよう構成されている。
【００２４】
各端末１１は、一般的に市販されているウイルス検知ソフトウエアをインストールされているとともに、このウイルス検知ソフトウエアのウイルス検知用データの更新状況、並びにＯＳ、電子メールソフト及びウェブブラウザソフトなどのパッチファイルのダウンロード状況などを含めたセキュリティ対策状況に関するデータをＬＡＮスイッチ１４を介して管理サーバ１８に送信するためのソフトウエア（状態診断ソフトウエア）がインストールされている。
【００２５】
管理サーバ１８は、例えばＲＡＤＩＵＳ（Remote Authentification Dial-In User Service）サーバであり、ＩＥＥＥ８０２．１Ｘに対応したＬＡＮスイッチ１４をＲＡＤＩＵＳクライアントとして認識するものである。管理サーバ１８は、端末データベース２０にアクセスして、管理端末１６からの通知とともに送信される端末の認証情報に基づいて、その端末が接続されているＬＡＮスイッチ１４及び接続ポートに関する情報を検索して取得することができ、その情報のＬＡＮスイッチ１４に接続ポートの情報とともに管理端末１６からの要求を送信することができる。また、管理サーバ１８は、ポリシデータベース２４にアクセスして、ＬＡＮスイッチ１４に接続されている端末１２の接続先を検索し、また接続先が変更した場合にその変更した接続先を記憶させることができる。さらに、管理サーバ１８は、端末１２から送信されたセキュリティ対策状況データ又は所定の認証情報に基づき、その端末１２のセキュリティ対策の状態や所定の認証情報の認証を認証サーバ２２に実行させることができる。認証サーバ２２における認証は、ＥＡＰ（PPP Extensible Authentication Protocol）等の認証方式を利用している。すなわち、認証サーバ２２は、各端末１２から管理サーバ１８を介して送信されるセキュリティ対策状況データに基づき、各端末１２のセキュリティ対策状況を認証して、その認証結果を管理サーバ１８に返信する。例えば、送信されたウイルス検知用データのバージョンが最新のものか否か、最新のパッチファイルがダウンロードされているか否か等を認証する。
【００２６】
次に、本実施例に係るネットワークシステムの動作について説明する。最初に、ネットワーク管理者が端末１２のＬＡＮスイッチ１４との接続を遮断する場合を図２に示すフローチャートに基づいて説明する。先ず、ネットワーク管理者が不審な端末１２−１を発見すると、管理端末１６から管理サーバ１８に端末１２−１との接続を遮断する旨の通知を端末１２−１の認証情報とともに送信させる（Ｓ１００）。管理サーバ１６は、その遮断通知を受信すると、端末データベース２０にアクセスして遮断通知とともに受信した端末１２−１の認証情報に基づいて端末１２−１が接続しているＬＡＮスイッチ１４−１と接続ポートに関する情報を検索し、それらの情報を取得する（Ｓ１０２）。次に、管理サーバ１８は、端末データベース２０から取得した情報に基づいて、端末１２−１が接続しているＬＡＮスイッチ１４−１に端末１２−１が接続している接続ポートに関する情報を送信して、端末１２−１との接続を遮断させる（Ｓ１０４）。
【００２７】
次に、ネットワーク管理者がＶＬＡＮ−１に接続されている端末１２の接続先をＧｕｅｓｔ−ＬＡＮに強制的に変更する場合を図３に示すフローチャートに基づいて説明する。先ず、ネットワーク管理者がセキュリティ対策が不十分な端末１２−２を発見すると、管理端末１６から管理サーバ１８に端末１２−２との接続をＧｕｅｓｔ−ＬＡＮに変更する旨の通知を端末１２−２の認証情報とともに送信させる（Ｓ２００）。管理サーバ１６は、その変更通知を受信すると、端末データベース２０にアクセスして変更通知とともに受信した端末１２−２の認証情報に基づいて端末１２−２が接続しているＬＡＮスイッチ１４−１と接続ポートに関する情報を検索し、それらの情報を取得する（Ｓ２０２）。次に、管理サーバ１８は、ポリシデータベース２４に記憶されている端末１２−２の接続先をＧｕｅｓｔ−ＶＬＡＮに変更して記憶させるとともに（Ｓ２０４）、端末データベース２０から取得した情報に基づいて、端末１２−２が接続しているＬＡＮスイッチ１４−１に端末１２−２の接続先変更に関する情報を送信して、端末１２−２の接続先をＧｕｅｓｔ−ＶＬＡＮに変更させる（Ｓ２０６）。
【００２８】
次に、ネットワーク管理者がＶＬＡＮ−１に接続されている端末１２についてセキュリティ対策や認証情報の再認証を行なわせる場合を図４に示すフローチャートに基づいて説明する。先ず、ネットワーク管理者が不審な端末１２−３を発見すると、管理端末１６から管理サーバ１８に端末１２−３を再認証する旨の通知を端末１２−３の認証情報とともに送信させる（Ｓ３００）。管理サーバ１６は、その再認証通知を受信すると、端末データベース２０にアクセスして再認証通知とともに受信した端末１２−３の認証情報に基づいて端末１２−３が接続しているＬＡＮスイッチ１４−２と接続ポートに関する情報を検索し、それらの情報を取得する（Ｓ３０２）。次に、管理サーバ１８は、端末データベース２０から取得した情報に基づいて、端末１２−３が接続しているＬＡＮスイッチ１４−２に端末１２−３が接続している接続ポートに関する情報を送信して、端末１２−３とローカルネットワークとの接続を一時的に遮断させる（Ｓ３０４）。次に、管理サーバ１８は、端末１２−３が接続されているＬＡＮスイッチ１４を介して端末１２−３に自己のセキュリティ対策状況を示すセキュリティ対策状況データを管理サーバ１８に対して出力するように要求する（Ｓ３０６）。次に、管理サーバ１８は、その要求に応じて端末１２から出力された自己のセキュリティ対策状況を示すセキュリティ対策状況データをＬＡＮスイッチ１４−２を介して受信すると（Ｓ３０８）、受信したセキュリティ対策状況データを認証サーバ２２に転送し、端末１２−３のセキュリティ対策状況の認証を依頼する（Ｓ３１０）。認証サーバ２２は、この依頼に基づいてそのセキュリティ対策状況の認証を実行し、認証結果を管理サーバ１８に送信する（Ｓ３１２）。管理サーバ１８は、この認証結果に基づき、端末１２−３のセキュリティ対策が十分であるか否かを判定する（Ｓ３１４）。
【００２９】
管理サーバ１８は、セキュリティ対策が十分であると判定すると、端末１２−１に所定の認証情報（ＩＤ及びパスワード、ＭＡＣアドレス、電子証明書等）を要求する（Ｓ３１６）。管理サーバ１８は、その要求に応じて端末１２−３から出力された所定の認証情報をＬＡＮスイッチ１４−２を介して受信すると（Ｓ３１８）、端末１２−３についての認証を実行する（Ｓ３２０）。管理サーバ１８は、認証情報が不適切なものであると認定した場合、その端末１２−３の接続を拒否し、その端末１２−３をＶＬＡＮ−１、Ｇｕｅｓｔ−ＶＬＡＮのいずれからも遮断する（Ｓ３２２）。例えば、ＭＡＣアドレスが登録されていない場合などである。一方、管理サーバ１８は、端末１２の認証情報が適切なものと認定した場合、その端末１２−３をＶＬＡＮ−１に接続させるための制御信号をＬＡＮスイッチ１４−２に出力して、その端末１２−３をＶＬＡＮ−１に接続させる（Ｓ３２４）。
【００３０】
また、管理サーバ１８は、ステップ３１４において、セキュリティ対策が不十分であると判定すると、その端末１２をＧｕｅｓｔ−ＶＬＡＮに接続させるための制御信号をＬＡＮスイッチ１４−２に出力して、その端末１２をＧｕｅｓｔ−ＶＬＡＮに接続させるとともに、ポリシデータベース２４に端末１２−３の接続先がＧｕｅｓｔ−ＶＬＡＮに変更したことを通知して記憶させ、さらに端末１２−３にＧｕｅｓｔ−ＶＬＡＮに接続したことを通知する（Ｓ３２６）。Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１１は、インターネット２８を介して、各種のセキュリティ対策用サーバ３０にアクセスすることができる。これにより、Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１２−３は、必要なウイルス検知用データ、パッチファイル等をダウンロードしてセキュリティ対策を実行することができる。管理サーバ１８は、端末１２−３からセキュリティ対策が完了したことの通知を受信すると（Ｓ３２８）、ステップ３０６に戻って自己のセキュリティ対策状況を示すセキュリティ対策状況データを管理サーバ１８に対して出力するように要求する。一方、接続要求を出力している端末１２−３からセキュリティ対策が完了したことの通知を受信しない場合は、接続要求している端末１２−３をＧｕｅｓｔ−ＶＬＡＮに接続した状態のままにする。
【００３１】
なお、管理サーバ１８が、管理端末１６から各端末１２のＶＬＡＮ−１との接続をＶＬＡＮ−２へ変更する旨の通知を受信した場合、各端末１２のＶＬＡＮ−１との接続をＧｕｅｓｔ−ＶＬＡＮに変更する場合と同様のステップによって接続先の変更が行なわれる。
【図面の簡単な説明】
【００３２】
【図１】本発明に係るネットワークシステムの実施例の概念図である。
【図２】本実施例に係るネットワークシステムの動作を示すフローチャートである。
【図３】本実施例に係るネットワークシステムの動作を示すフローチャートである。
【図４】本実施例に係るネットワークシステムの動作を示すフローチャートである。
【符号の説明】
【００３３】
１２   端末
１４   ＬＡＮスイッチ
１６   管理端末
１８   管理サーバ
２０   端末データベース
２２   認証サーバ
２４   ポリシデータベース
【図１】
2005196279.tif 000003
【図２】
2005196279.tif 000004
【図３】
2005196279.tif 000005
【図４】
2005196279.tif 000006
【手続補正書】
【提出日】平成16年9月15日(2004.9.15)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
少なくとも１以上のローカルネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記一の端末の接続を遮断することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とするネットワークシステム。
【請求項２】
少なくとも１以上のローカルネットワークと、
前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記少なくとも１以上のローカルネットワークのいずれかにアクセス可能な状態にされている一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更するよう構成されていることを特徴とするネットワークシステム。
【請求項３】
前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする請求項２記載のネットワークシステム。
【請求項４】
少なくとも２以上のローカルネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも２以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記少なくとも２以上のローカルネットワークのうち一のローカルネットワークにアクセス可能な状態にされている一の端末のアクセス先を他のローカルネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記他のローカルネットワークに変更するよう構成されていることを特徴とするネットワークシステム。
【請求項５】
前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする請求項４記載のネットワークシステム。
【請求項６】
少なくとも１以上のローカルネットワークと、
前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、
前記スイッチング部に接続されている端末のセキュリティ対策の状態を認証する認証部と、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記認証部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のセキュリティ対策の状態を再認証し、
前記スイッチング部は、前記認証部による再認証によって接続されている端末のセキュリティ対策が十分であると認証された場合、接続されている端末を前記少なくとも１以上のローカルネットワークにアクセス可能な状態にし、前記認証部による再認証によって接続されている端末のセキュリティ対策が不十分であると認証された場合、接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にすることを特徴とするネットワークシステム。
【請求項７】
前記認証部は、前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、さらに前記端末の認証情報の再認証を行なうよう構成されており、
前記スイッチング部は、前記認証部による再認証によって前記端末の認証情報が所定のものでないと認証された場合、前記端末と前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策ネットワークのいずれのネットワークとの接続を遮断するように構成されていることを特徴とする請求項６記載のネットワークシステム。
【請求項８】
前記スイッチング部は、前記管理サーバが前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、前記端末のネットワークとのアクセスを一旦不可の状態にするよう構成されていることを特徴とする請求項６又は７記載のネットワークシステム。
【請求項９】
前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする請求項８記載のネットワークシステム。
【請求項１０】
前記一の端末の認証情報は、ユーザＩＤ、パスワード、ＭＡＣアドレス及び電子証明書のいずれか一以上であることを特徴とする請求項１乃至９いずれか記載のネットワークシステム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】００１１
【補正方法】変更
【補正の内容】
【００１１】
以上のような目的を達成するため、本発明は、少なくとも１以上のローカルネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記一の端末の接続を遮断することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】００１３
【補正方法】変更
【補正の内容】
【００１３】
また、上記目的を達成するため、本発明は、少なくとも１以上のローカルネットワークと、前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記少なくとも１以上のローカルネットワークのいずれかにアクセス可能な状態にされている一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更するよう構成されていることを特徴とする。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】００１４
【補正方法】変更
【補正の内容】
【００１４】
以上のように本発明に係るネットワークシステムによれば、管理端末によってセキュリティ対策が不十分な端末を認識した場合、管理端末からの遠隔操作によって、その端末の接続先をセキュリティ対策用ネットワークに変更することができる。また、本発明に係るネットワークシステムにおいて、前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断するよう構成しても良い。さらに、本発明に係るネットワークシステムにおいて、セキュリティ対策用ネットワークは、ウイルス検知用データやＯＳなどのパッチファイルなどを各端末に供給可能なネットワークであって、ウイルス検知用データやＯＳなどのパッチファイルなどセキュリティ対策用のデータを供給可能なセキュリティ対策サーバにインターネットやイントラネットなどを通じてアクセスすることができるものである。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】００１５
【補正方法】変更
【補正の内容】
【００１５】
さらに、上記目的を達成するため、本発明は、少なくとも２以上のローカルネットワークと、端末が接続可能で、接続されている端末を前記少なくとも２以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記少なくとも２以上のローカルネットワークのうち一のローカルネットワークにアクセス可能な状態にされている一の端末のアクセス先を他のローカルネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記他のローカルネットワークに変更するよう構成されていることを特徴とする。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】００１７
【補正方法】変更
【補正の内容】
【００１７】
またさらに、上記目的を達成するため、本発明は、少なくとも１以上のローカルネットワークと、前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報のうち少なくともいずれかを認識可能な管理端末と、前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、前記スイッチング部に接続されている端末のセキュリティ対策の状態を認証する認証部と、前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、を備えたネットワークシステムであって、前記管理端末は、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記認証部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のセキュリティ対策の状態を再認証し、前記スイッチング部は、前記認証部による再認証によって接続されている端末のセキュリティ対策が十分であると認証された場合、接続されている端末を前記少なくとも１以上のローカルネットワークにアクセス可能な状態にし、前記認証部による再認証によって接続されている端末のセキュリティ対策が不十分であると認証された場合、接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にすることを特徴とする。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】００１８
【補正方法】変更
【補正の内容】
【００１８】
以上のように本発明に係るネットワークシステムによれば、管理端末によってセキュリティや認証情報などが不審な端末を認識した場合、管理端末からの遠隔操作によって、その端末の再認証を実行することができ、このように再認証の結果によって端末の接続を継続したり、遮断したり、接続先を変更したりすることができる。また、本発明に係るネットワークシステムにおいて、前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断するよう構成しても良い。
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】００２４
【補正方法】変更
【補正の内容】
【００２４】
各端末１２は、一般的に市販されているウイルス検知ソフトウエアをインストールされているとともに、このウイルス検知ソフトウエアのウイルス検知用データの更新状況、並びにＯＳ、電子メールソフト及びウェブブラウザソフトなどのパッチファイルのダウンロード状況などを含めたセキュリティ対策状況に関するデータをＬＡＮスイッチ１４を介して管理サーバ１８に送信するためのソフトウエア（状態診断ソフトウエア）がインストールされている。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】００２７
【補正方法】変更
【補正の内容】
【００２７】
次に、ネットワーク管理者がＶＬＡＮ−１に接続されている端末１２の接続先をＧｕｅｓｔ−ＬＡＮに強制的に変更する場合を図３に示すフローチャートに基づいて説明する。先ず、ネットワーク管理者がセキュリティ対策が不十分な端末１２−２を発見すると、管理端末１６から管理サーバ１８に端末１２−２との接続をＧｕｅｓｔ−ＶＬＡＮに変更する旨の通知を端末１２−２の認証情報とともに送信させる（Ｓ２００）。管理サーバ１６は、その変更通知を受信すると、端末データベース２０にアクセスして変更通知とともに受信した端末１２−２の認証情報に基づいて端末１２−２が接続しているＬＡＮスイッチ１４−１と接続ポートに関する情報を検索し、それらの情報を取得する（Ｓ２０２）。次に、管理サーバ１８は、ポリシデータベース２４に記憶されている端末１２−２の接続先をＧｕｅｓｔ−ＶＬＡＮに変更して記憶させるとともに（Ｓ２０４）、端末データベース２０から取得した情報に基づいて、端末１２−２が接続しているＬＡＮスイッチ１４−１に端末１２−２の接続先変更に関する情報を送信して、端末１２−２の接続先をＧｕｅｓｔ−ＶＬＡＮに変更させる（Ｓ２０６）。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】００３０
【補正方法】変更
【補正の内容】
【００３０】
また、管理サーバ１８は、ステップ３１４において、セキュリティ対策が不十分であると判定すると、その端末１２をＧｕｅｓｔ−ＶＬＡＮに接続させるための制御信号をＬＡＮスイッチ１４−２に出力して、その端末１２をＧｕｅｓｔ−ＶＬＡＮに接続させるとともに、ポリシデータベース２４に端末１２−３の接続先がＧｕｅｓｔ−ＶＬＡＮに変更したことを通知して記憶させ、さらに端末１２−３にＧｕｅｓｔ−ＶＬＡＮに接続したことを通知する（Ｓ３２６）。Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１２は、インターネット２８を介して、各種のセキュリティ対策用サーバ３０にアクセスすることができる。これにより、Ｇｕｅｓｔ−ＶＬＡＮに接続された端末１２−３は、必要なウイルス検知用データ、パッチファイル等をダウンロードしてセキュリティ対策を実行することができる。管理サーバ１８は、端末１２−３からセキュリティ対策が完了したことの通知を受信すると（Ｓ３２８）、ステップ３０６に戻って自己のセキュリティ対策状況を示すセキュリティ対策状況データを管理サーバ１８に対して出力するように要求する。一方、接続要求を出力している端末１２−３からセキュリティ対策が完了したことの通知を受信しない場合は、接続要求している端末１２−３をＧｕｅｓｔ−ＶＬＡＮに接続した状態のままにする。
【手続補正書】
【提出日】平成17年2月17日(2005.2.17)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
少なくとも１以上のローカルネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末の認証情報を認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記一の端末の接続を遮断することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とするネットワークシステム。
【請求項２】
前記管理端末は、セキュリティ対策状況をさらに認識可能であることを特徴とする請求項１記載のネットワークシステム
【請求項３】
少なくとも１以上のローカルネットワークと、
前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報を認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記少なくとも１以上のローカルネットワークのいずれかにアクセス可能な状態にされている一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記セキュリティ対策用ネットワークに変更するよう構成されていることを特徴とするネットワークシステム。
【請求項４】
前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする請求項３記載のネットワークシステム。
【請求項５】
少なくとも２以上のローカルネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも２以上のローカルネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末の認証情報を認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記少なくとも２以上のローカルネットワークのうち一のローカルネットワークにアクセス可能な状態にされている一の端末のアクセス先を他のローカルネットワークに変更することの要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末のアクセス先の変更の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のアクセス先を前記他のローカルネットワークに変更するよう構成されていることを特徴とするネットワークシステム。
【請求項６】
前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする請求項４記載のネットワークシステム。
【請求項７】
前記管理端末は、セキュリティ対策状況をさらに認識可能であることを特徴とする請求項５又は６記載のネットワークシステム
【請求項８】
少なくとも１以上のローカルネットワークと、
前記ローカルネットワークにアクセス不可で、セキュリティ対策可能なセキュリティ対策用ネットワークと、
端末が接続可能で、接続されている端末を前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策用ネットワークのいずれか一つにアクセス可能な状態とさせるスイッチング部と、
該スイッチング部に接続されている端末のセキュリティ対策状況及び認証情報を認識可能な管理端末と、
前記スイッチング部に接続されている端末の接続元に関するデータを前記端末の認証情報と関連付けて記憶する端末データベースと、
前記スイッチング部に接続されている端末のセキュリティ対策の状態を認証する認証部と、
前記スイッチング部に接続されている端末の認証情報に基づいて前記端末データベースに記憶されている端末の接続元に関するデータを検索可能な管理サーバと、
を備えたネットワークシステムであって、
前記管理端末は、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理サーバに前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記スイッチング部に接続されている一の端末の再認証の要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記認証部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末のセキュリティ対策の状態を再認証し、
前記スイッチング部は、前記認証部による再認証によって接続されている端末のセキュリティ対策が十分であると認証された場合、接続されている端末を前記少なくとも１以上のローカルネットワークにアクセス可能な状態にし、前記認証部による再認証によって接続されている端末のセキュリティ対策が不十分であると認証された場合、接続されている端末を前記セキュリティ対策用ネットワークにアクセス可能な状態にすることを特徴とするネットワークシステム。
【請求項９】
前記認証部は、前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、さらに前記端末の認証情報の再認証を行なうよう構成されており、
前記スイッチング部は、前記認証部による再認証によって前記端末の認証情報が所定のものでないと認証された場合、前記端末と前記少なくとも１以上のローカルネットワーク及び前記セキュリティ対策ネットワークのいずれのネットワークとの接続を遮断するように構成されていることを特徴とする請求項６記載のネットワークシステム。
【請求項１０】
前記スイッチング部は、前記管理サーバが前記管理端末から前記スイッチング部に接続されている端末の再認証の要請を受信した場合、前記端末のネットワークとのアクセスを一旦不可の状態にするよう構成されていることを特徴とする請求項８又は９記載のネットワークシステム。
【請求項１１】
前記管理端末は、前記管理サーバに前記一の端末の接続を遮断することの要請を前記一の端末の認証情報とともに送信可能に構成されており、
前記管理サーバは、前記一の端末の接続を遮断することの要請を前記管理端末から受信すると、前記端末データベースに記憶されている前記一の端末の接続元に関するデータを検索し、
前記スイッチング部は、前記管理サーバによって検索された前記一の端末の接続元に関するデータに基づいて、前記一の端末との接続を遮断することを特徴とする請求項１０記載のネットワークシステム。
【請求項１２】
前記一の端末の認証情報は、ユーザＩＤ、パスワード、ＭＡＣアドレス及び電子証明書のいずれか一以上であることを特徴とする請求項１乃至１１いずれか記載のネットワークシステム。