(57)【要約】【課題】  ネットワーク側に設けられたネットワーク機器を用いて端末に対して適切なサービスを提供することができるネットワーク制御装置を実現する。【解決手段】  移動通信ネットワークに接続された移動端末１からの要求を受信する受信手段（通信部３１）と、該端末からの要求に従ってネットワーク機器を設定する設定部３４と、該ネットワーク機器からの情報を移動端末１に送信する送信手段（通信部３１、情報転送部３５）とを備える。【選択図】    図２
2005073151.tif 000002
【特許請求の範囲】
【請求項１】
通信ネットワークに接続された端末からの要求を受信する受信手段と、
該端末からの要求に従ってネットワーク機器を設定する設定手段と、
該ネットワーク機器からの情報を前記端末に送信する送信手段と、
を備えたことを特徴とするネットワーク制御装置。
【請求項２】
前記設定手段は、前記通信ネットワーク内に設けられたネットワークセキュリティ機器の設定を、前記端末からのネットワークセキュリティに係る要求に応じて行うものであることを特徴とする請求項１に記載のネットワーク制御装置。
【請求項３】
前記設定手段は、異なる種類のネットワーク機器の各々に対応して設けられており、
前記端末からの要求を解析して該当する前記設定手段に当該要求を出力する要求解析手段を備えたことを特徴とする請求項１または請求項２に記載のネットワーク制御装置。
【請求項４】
複数の前記端末からの要求を解析して各要求の整合性を検証し、この検証結果に基づいて前記設定手段に要求を出力する要求解析手段を備えたことを特徴とする請求項１または請求項２に記載のネットワーク制御装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク制御装置に関する。
【背景技術】
【０００２】
近年、携帯電話機、ＰＤＡ（Personal Digital Assistants：個人用情報機器）と称される携帯型の端末などの小型端末は、無線ＬＡＮ、携帯電話網などの移動通信ネットワークに接続することにより、どこからでも通信サービスの提供を受けることができるようになっている。例えば、ＰＤＡの利用者が出張先から電子メールを送受したり、インターネットに接続して所望のＷｅｂサイトにアクセスすることができる。
【０００３】
その反面、接続するネットワークが固定されていないために、利用者にはネットワークセキュリティ上の不安が付きまとう。このため、端末が接続するネットワーク側にファイアウォールシステム、侵入検知システム（ＩＤＳ；Intrusion Detection System）、ウィルス検知システムなどのネットワークセキュリティ機器が設けられている。また、端末側に侵入検知プログラム、ウィルス検知プログラムなどをインストールして、端末自身がネットワークを介した攻撃、進入を防ぐ場合もある（例えば、特許文献１参照）。
【特許文献１】特開平５−１０８４８７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら、端末が接続するネットワークがネットワークセキュリティをどの程度保障しているのかはネットワーク毎に異なっているので、実際に接続する端末にとって適切な保障が行われないという問題がある。一方、端末にネットワークセキュリティ機能を備える場合、十分なセキュリティ能力を得るには端末の負荷が大きくなるという問題がある。特に、携帯型の端末においては、記憶容量不足、処理能力不足などの理由から十分なセキュリティ能力を得辛い。
【０００５】
本発明は、このような事情を考慮してなされたもので、その目的は、ネットワーク側に設けられたネットワーク機器（例えばネットワークセキュリティ機器）を用いて端末に対して適切なサービスを提供することができるネットワーク制御装置を提供することにある。
【課題を解決するための手段】
【０００６】
上記の課題を解決するために、請求項１に記載のネットワーク制御装置は、通信ネットワークに接続された端末からの要求を受信する受信手段と、該端末からの要求に従ってネットワーク機器を設定する設定手段と、該ネットワーク機器からの情報を前記端末に送信する送信手段とを備えたことを特徴としている。
【０００７】
請求項２に記載のネットワーク制御装置においては、前記設定手段は、前記通信ネットワーク内に設けられたネットワークセキュリティ機器の設定を、前記端末からのネットワークセキュリティに係る要求に応じて行うものであることを特徴とする。
【０００８】
請求項３に記載のネットワーク制御装置においては、前記設定手段は、異なる種類のネットワーク機器の各々に対応して設けられており、前記端末からの要求を解析して該当する前記設定手段に当該要求を出力する要求解析手段を備えたことを特徴とする。
【０００９】
請求項４に記載のネットワーク制御装置においては、複数の前記端末からの要求を解析して各要求の整合性を検証し、この検証結果に基づいて前記設定手段に要求を出力する要求解析手段を備えたことを特徴とする。
【発明の効果】
【００１０】
本発明によれば、端末からの要求に従って通信ネットワーク内のネットワーク機器の設定を行うことができるので、ネットワーク側に設けられたネットワーク機器を用いて端末に対して適切なサービスを提供することができる。
【発明を実施するための最良の形態】
【００１１】
以下、図面を参照し、本発明の一実施形態を説明する。本実施形態においては、ネットワーク制御装置として、ネットワーク機器の一例であるネットワークセキュリティ機器を制御するものを例に挙げて説明する。
図１は、本発明の一実施形態によるネットワーク制御装置３の適用システムの構成例を示すブロック図である。図１において、移動端末１は、移動通信ネットワーク２に接続している。移動端末１としては、携帯電話機、ＰＤＡ（Personal Digital Assistants：個人用情報機器）と称される携帯型の端末などが利用可能である。
【００１２】
移動通信ネットワーク２は、インターネット等の外部の通信ネットワーク１０に接続している。この外部ネットワーク１０には、移動端末１の通信相手の端末１１、攻撃者の端末１２などが接続されている。
【００１３】
移動通信ネットワーク２には、ネットワーク制御装置３と各種のネットワークセキュリティ機器４−１〜３が設けられている。図１の例では、ファイアウォールシステム４−１、ウィルス検知システム４−２及び侵入検知システム４−３が設けられている。
【００１４】
ファイアウォールシステム４−１は、移動通信ネットワーク２の出入口に設けられており、ネットワーク外部からのアクセスを制限し、外部からの攻撃に対する防御を行う。例えば、攻撃者の端末１２からの移動端末１に対する攻撃を阻止する。
ウィルス検知システム４−２は、移動通信ネットワーク２を経由する通信データを監視し、コンピュータウェルスの検知を行う。例えば、移動端末１と通信相手の端末１１との間でやり取りされる電子メール等の通信データを解析し、コンピュータウェルスが含まれるデータを検知する。
侵入検知システム４−３は、移動通信ネットワーク２を経由して行われる侵入及び攻撃の検知を行う。例えば、攻撃者の端末１２からの移動端末１に対する攻撃及び侵入を検知する。
ネットワーク制御装置３は、これらネットワークセキュリティ機器４−１〜３を制御することができる。
【００１５】
移動端末１は、移動通信ネットワーク２に接続し、この接続によりネットワーク制御装置３にさらに接続して、ネットワーク制御装置３との間でデータを送受することができる。
【００１６】
ネットワーク制御装置３は、移動通信ネットワーク２に接続された移動端末１からネットワークセキュリティに係る要求を受け取り、この要求に従って該当するネットワークセキュリティ機器４−１〜３の動作内容を設定する。また、各ネットワークセキュリティ機器４−１〜３から端末に提供する情報（攻撃、侵入、ウィルスの検知情報等）を受け取り、移動端末１へ転送する。
【００１７】
図２は、本実施形態によるネットワーク制御装置３の構成を示すブロック図である。この図２において、ネットワーク制御装置３は、通信部３１、記憶部３２、要求解析部３３、設定部３４、情報転送部３５、及び機器情報記憶部３６を備える。
通信部３１は、移動通信ネットワーク２に接続された移動端末１との間でデータを送受する。
記憶部３２は、移動端末１から受信された要求データを記憶する。
要求解析部３３は、該要求データからその要求を解析して当該要求がいずれのネットワークセキュリティ機器４−１〜３に対応するものかを特定する。そして、特定した機器用の設定部３４に当該要求データを出力する。
【００１８】
設定部３４は、ネットワークセキュリティ機器４−１〜３の各々に対応して設けられている。例えば、設定部＃１＿３４がファイアウォールシステム４−１（図２ではネットワーク機器＃１）用の設定部、設定部＃２＿３４がウィルス検知システム４−２（図２ではネットワーク機器＃２）用の設定部、設定部＃３＿３４が侵入検知システム４−３（図２ではネットワーク機器＃２）用の設定部である。
【００１９】
各設定部３４は、それぞれ対応するネットワークセキュリティ機器４−１〜３に対して、要求解析部３３から受け取った要求データに基づいて当該要求に対応する設定を行う。
情報転送部３５は、各ネットワークセキュリティ機器４−１〜３から端末へ提供する情報を受け取る。そして、記憶部３２に保持されている要求データから要求元の移動端末１を特定し、特定した移動端末１に当該提供情報を転送する。
【００２０】
機器情報記憶部３６は、ネットワークセキュリティ機器４−１〜３の設定可能な条件を機器情報として予め記憶している。この機器情報は、自ネットワーク制御装置３に接続した移動端末１に対して、通信部３１により送信される。移動端末１は、この機器情報に含まれる設定可能条件の範囲内において、ネットワークセキュリティに係る要求を行う。
【００２１】
なお、移動端末１には、利用者によって予め、ネットワークセキュリティに係る要求の希望条件が設定されている。そして、移動端末１は、この要求希望条件の中から、ネットワーク制御装置３から受け取った機器情報に含まれる設定可能条件の範囲内において、実際に要求する条件を選択する。
【００２２】
このネットワークセキュリティに係る要求条件としては、例えば、ファイアウォールシステム４−１に対しては、移動端末１のＩＰアドレス、監視対象の通信の種類（例えばアプリケーションの種類）、通信相手のＩＰアドレスなどがある。
ウィルス検知システム４−２に対しては、移動端末１のＩＰアドレスがある。
侵入検知システム４−３に対しては、移動端末１のＩＰアドレス、攻撃の種類などがある。
【００２３】
なお、図２に示すネットワーク制御装置３の各処理部３１、３３、３４、３５は専用のハードウェアにより実現されるものであってもよく、また、各処理部３１、３３、３４、３５はメモリおよびＣＰＵ（中央処理装置）により構成され、各処理部３１、３３、３４、３５の機能を実現するためのプログラムをメモリにロードして実行することによりその機能を実現させるものであってもよい。
【００２４】
また、各記憶部３２、３６は、ハードディスク装置や光磁気ディスク装置、フラッシュメモリ等の不揮発性のメモリや、ＣＤ−ＲＯＭ等の読み出しのみが可能な記録媒体、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性のメモリ、あるいはこれらの組み合わせにより構成されるものとする。
また、記憶部３２、３６は、装置に内蔵されるものであっても、図示しない他の装置（データベースサーバ）内にあり、装置は、通信によりこれら記憶部にアクセスするものであってもよい。
【００２５】
また、このネットワーク制御装置３には、周辺機器として入力装置、表示装置等（いずれも図示せず）が接続されるものとする。ここで、入力装置とはキーボード、マウス等の入力デバイスのことをいう。表示装置とはＣＲＴ（Cathode Ray Tube）や液晶表示装置等のことをいう。また、上記周辺機器については、ネットワーク制御装置３に直接接続するものであってもよく、あるいは通信回線を介して接続するようにしてもよい。
【００２６】
次に、図３を参照して、本実施形態によるネットワーク制御装置３の動作を説明する。図３は、図２に示すネットワーク制御装置３が行う制御処理の流れを示すフローチャートである。
初めに、移動端末１が移動通信ネットワーク２に接続すると、移動通信ネットワーク２から利用可能なネットワーク制御装置３のアドレスが通知される。移動端末１はこのアドレスを使用して該当するネットワーク制御装置３に接続する。ネットワーク制御装置３は、移動端末１から接続されると、図３の処理を開始する。
【００２７】
図３において、ネットワーク制御装置３は、先ず、機器情報記憶部３６内の機器情報を該接続された移動端末１へ送信する（ステップＳ１）。次いで、移動端末１から要求データを受信すると、受信した要求データを記憶部３２に記憶するとともに、要求解析部３３によって当該要求の解析を行う（ステップＳ２、Ｓ３）。次いで、要求解析部３３が、解析により特定したネットワークセキュリティ機器用の設定部３４へ、当該要求データを出力する。この要求データを受け取った設定部３４は、該要求データに基づいて当該要求に対応する設定を、設定対象のネットワークセキュリティ機器に行う（ステップＳ４）。
【００２８】
次いで、情報転送部３５が、いずれかのネットワークセキュリティ機器から、端末へ提供する情報を受信すると、記憶部３２に保持されている要求データから要求元の移動端末１を特定し、特定した移動端末１に当該提供情報を転送する（ステップＳ５、Ｓ６）。次いで、移動端末１との接続が継続している場合は、上記ステップＳ２へ戻り、一方、接続終了の場合には処理を終了する。
【００２９】
なお、移動端末１との接続が継続しているために図３の処理が継続される場合において、端末からの新たな要求があったときは（ステップＳ３、ＹＥＳ）、上記ステップＳ３、Ｓ４の処理によって該当する機器の設定が行われる。
【００３０】
上述したように本実施形態によれば、移動端末からの要求に従って移動通信ネットワーク内のネットワークセキュリティ機器の設定を行うことができる。これにより、移動端末がいずれの移動通信ネットワークに接続しても、該ネットワーク内に設けられたネットワークセキュリティ機器を用いて、移動端末が要求するセキュリティ条件に合うネットワークセキュリティサービスを当該移動端末に対して提供することが可能となる。
【００３１】
また、ネットワーク側には十分なセキュリティ能力を有するネットワークセキュリティ機器を配備可能であるので、移動端末内にネットワークセキュリティ機能を備えなくとも、該ネットワーク側の機能を利用して移動端末は適切なネットワークセキュリティを実現することができる。このことは、ネットワークセキュリティ機能に使用できる記憶容量、処理能力が十分ではない携帯端末にとっては、非常に優れた効果となる。
【００３２】
以上、本発明の実施形態を図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。
例えば、ネットワーク制御装置は、ネットワークセキュリティ機器以外のネットワーク機器を制御するものであってもよい。これにより、端末に対して、ネットワーク側が有する当該ネットワーク機器の機能を適切に提供することができる。
【００３３】
また、上述した実施形態においては、移動端末に対してネットワーク側の機能を提供するようにしたが、同様に固定端末に対してネットワーク側の機能を提供するようにしてもよい。
【００３４】
また、要求解析部３３が、複数の端末からの要求を受け取り、各要求を解析してそれらの整合性を検証し、この検証結果に基づいて設定部３４に要求を出力するようにしてもよい。これにより、複数の端末からの要求を解釈して整合の取れた設定をネットワーク機器に対して行うことができる。
【図面の簡単な説明】
【００３５】
【図１】本発明の一実施形態によるネットワーク制御装置３の適用システムの構成例を示すブロック図である。
【図２】本実施形態によるネットワーク制御装置３の構成を示すブロック図である。
【図３】図２に示すネットワーク制御装置３が行う制御処理の流れを示すフローチャートである。
【符号の説明】
【００３６】
１…移動端末、２…移動通信ネットワーク、３…ネットワーク制御装置、４−１〜３…ネットワークセキュリティ機器（ネットワーク機器）、３１…通信部（送信手段、受信手段）、３２…記憶部、３３…要求解析部、３４…設定部、３５…情報転送部（送信手段）、３６…機器情報記憶部。
【図１】
2005073151.tif 000003
【図２】
2005073151.tif 000004
【図３】
2005073151.tif 000005