(57)【要約】【課題】  ＬＡＮに対する接続の許可を受けていないＰＣをＬＡＮから排除することができるセキュリティ管理システムを得ることを目的とする。【解決手段】  ＭＡＣアドレス取得部２２により取得されたＭＡＣアドレスがアドレス登録部２１に登録されていれば、そのＭＡＣアドレスに対応するＩＰアドレスをＰＣに提供するＩＰアドレス提供部２３を設け、そのＩＰアドレス提供部２３により提供されたＩＰアドレス以外のＩＰアドレスを使用しているＰＣ７を検知すると、ＬＡＮ９に対するＰＣ７の接続を遮断する。【選択図】        図１
2005101957.tif 000002
【特許請求の範囲】
【請求項１】
ＬＡＮに対するＰＣの接続申請を受けると、そのＰＣのＭＡＣアドレスとＩＰアドレスを登録するアドレス登録手段と、任意のＰＣがＬＡＮに接続すると、そのＰＣのＭＡＣアドレスを取得するＭＡＣアドレス取得手段と、上記ＭＡＣアドレス取得手段により取得されたＭＡＣアドレスが上記アドレス登録手段に登録されていれば、そのＭＡＣアドレスに対応するＩＰアドレスを上記ＰＣに提供するＩＰアドレス提供手段と、上記ＩＰアドレス提供手段により提供されたＩＰアドレス以外のＩＰアドレスを使用しているＰＣを検知すると、上記ＬＡＮに対する当該ＰＣの接続を遮断する接続遮断手段とを備えたセキュリティ管理システム。
【請求項２】
アドレス登録手段は、ＰＣのＭＡＣアドレスとＩＰアドレスを登録する際、既に接続申請が完了している他のＰＣのＩＰアドレスと異なるＩＰアドレスを割り当てて登録することを特徴とする請求項１記載のセキュリティ管理システム。
【請求項３】
既に接続申請が完了している全ＰＣのインベントリ情報を収集し、そのインベントリ情報から管理台帳を作成する台帳作成手段を設けたことを特徴とする請求項１記載のセキュリティ管理システム。
【請求項４】
台帳作成手段は、全ＰＣのインベントリ情報を定期的に収集して管理台帳を更新することを特徴とする請求項３記載のセキュリティ管理システム。
【請求項５】
台帳作成手段は、あるＰＣのインベントリ情報を一定期間収集することができない場合、そのＰＣに関する情報を管理台帳から除外することを特徴とする請求項４記載のセキュリティ管理システム。
【請求項６】
アドレス登録手段は、台帳作成手段があるＰＣのインベントリ情報を一定期間収集することができない場合、そのＰＣのＭＡＣアドレスとＩＰアドレスを登録内容から除外することを特徴とする請求項４記載のセキュリティ管理システム。
【請求項７】
ＰＣのインベントリ情報を収集して、そのＰＣに導入されているソフトウェアを認識し、ＬＡＮに接続する際に必須とするソフトウェアが不足している場合、不足しているソフトウェアを当該ＰＣに配布するソフトウェア配布手段を設けたことを特徴とする請求項１記載のセキュリティ管理システム。
【請求項８】
ＰＣのインベントリ情報を収集して、そのＰＣに導入されているパッチ情報を認識し、ＬＡＮに接続する際に必須とするパッチ情報が不足している場合、不足しているパッチ情報を当該ＰＣに配布するパッチ情報配布手段を設けたことを特徴とする請求項１または請求項７記載のセキュリティ管理システム。
【請求項９】
ＬＡＮに対するＰＣの接続申請を受けると、アドレス登録手段が上記ＰＣのＭＡＣアドレスとＩＰアドレスを登録する一方、任意のＰＣがＬＡＮに接続すると、ＭＡＣアドレス取得手段が上記ＰＣのＭＡＣアドレスを取得し、そのＭＡＣアドレスが上記アドレス登録手段によって登録されていれば、ＩＰアドレス提供手段がそのＭＡＣアドレスに対応するＩＰアドレスを上記ＰＣに提供し、接続遮断手段が上記ＩＰアドレス提供手段により提供されたＩＰアドレス以外のＩＰアドレスを使用しているＰＣを検知すると、上記ＬＡＮに対する当該ＰＣの接続を遮断するセキュリティ管理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ＬＡＮなどのネットワークに接続されるＰＣ（パーソナルコンピュータ）を管理して、セキュリティを維持するセキュリティ管理システム及びセキュリティ管理方法に関するものである。
【背景技術】
【０００２】
企業等においては、ＬＡＮに多くのＰＣが接続されて利用されている。個々のＰＣのセキュリティ対策として、Ｓ／Ｗ（ソフトウェア）バグの修正モジュールであるセキュリティパッチの適用や、ウイルス対策Ｓ／Ｗの導入や、パターンファイルの更新などは重要である。しかし、これらの対策は、基本的には各ＰＣの管理者に実施が委ねられていた。
一方、居室にあるＬＡＮ配線については、比較的容易にＰＣを接続することができ、適正なセキュリティ対策が実施されていないＰＣを持ち込んで接続することが可能である。
これらのセキュリティ対策未実施のＰＣがウイルス等の侵入や拡散の原因となり、被害を防止するためには、これらを排除する仕組みが必要である。
【０００３】
そこで、従来のセキュリティ管理システムは、管理対象のＰＣのインベントリ情報とセキュリティ要件をＤＢ化して備え、定期的にセキュリティ状態を収集してＤＢを更新し、管理対象のＰＣをセキュリティ要件に整合するように、セキュリティ状態を制御するようにしている（以下の特許文献１を参照）。
【０００４】
【特許文献１】特開２００１−２７３３８８公報（段落番号［００１６］から［００４８］、図１）
【発明の開示】
【発明が解決しようとする課題】
【０００５】
従来のセキュリティ管理システムは以上のように構成されているので、ユーザなどにより持ち込まれた管理対象外のＰＣがＬＡＮに接続された場合、そのＰＣがセキュリティ要件を満たしていないためにウイルス等の侵入や拡散の原因となってしまうことがある課題があった。
また、セキュリティ要件を満たしていたとしても、管理対象外のＰＣの接続が情報漏洩の原因となることがある課題があった。
【０００６】
この発明は上記のような課題を解決するためになされたもので、ＬＡＮに対する接続の許可を受けていないＰＣをＬＡＮから排除することができるセキュリティ管理システム及びセキュリティ管理方法を得ることを目的とする。
【課題を解決するための手段】
【０００７】
この発明に係るセキュリティ管理システムは、ＭＡＣアドレス取得手段により取得されたＭＡＣアドレスがアドレス登録手段に登録されていれば、そのＭＡＣアドレスに対応するＩＰアドレスをＰＣに提供するＩＰアドレス提供手段を設け、そのＩＰアドレス提供手段により提供されたＩＰアドレス以外のＩＰアドレスを使用しているＰＣを検知すると、ネットワークに対する当該ＰＣの接続を遮断するようにしたものである。
【発明の効果】
【０００８】
この発明によれば、ＭＡＣアドレス取得手段により取得されたＭＡＣアドレスがアドレス登録手段に登録されていれば、そのＭＡＣアドレスに対応するＩＰアドレスをＰＣに提供するＩＰアドレス提供手段を設け、そのＩＰアドレス提供手段により提供されたＩＰアドレス以外のＩＰアドレスを使用しているＰＣを検知すると、ネットワークに対する当該ＰＣの接続を遮断するように構成したので、ネットワークに対する接続の許可を受けていないＰＣをネットワークから排除することができる効果がある。
【発明を実施するための最良の形態】
【０００９】
実施の形態１．
図１はこの発明の実施の形態１によるセキュリティ管理システムを示す構成図であり、図において、ＰＣ１はユーザが使用するパーソナルコンピュータなどの端末であり、ユーザがＰＣ１をＬＡＮ９（ネットワーク）に接続できるようにすることを希望する場合、端末接続申請をネットワーク管理者に提出することにより、ネットワーク管理者からエージェント２の配布を受けて、そのエージェント２をＰＣ１にインストールする。エージェント２はＰＣ１にインストールされると、ＰＣ１のＭＡＣアドレス（例えば、Ｅｔｈｅｒｎｅｔ（登録商標）カードなどに割り付けられている固有の物理アドレスであって、ＰＣ毎に異なるユニークなアドレス）と端末ＩＤを特定し、ＰＣ１のＭＡＣアドレスと端末ＩＤを例えばフロッピー（登録商標）ディスク（以下、ＦＤという）などの記憶媒体に記録する。
管理者端末３はネットワーク管理者が使用するパーソナルコンピュータなどの端末であり、ネットワーク管理者はユーザからＰＣ１のＭＡＣアドレスと端末ＩＤが記録されているＦＤを受け取ると、管理者端末３を操作して、端末接続申請の記述内容（例えば、ユーザＩＤ、ＰＣ名、製造番号など）とＦＤの記録内容とを管理サーバ４に出力する。
【００１０】
管理サーバ４は管理者端末３から端末接続申請の記述内容やＦＤの記録内容を受け取るインタフェース部１１の他、ＰＣ１のＭＡＣアドレスに対応するＩＰアドレスの割り当てを行い、ＰＣ１のＭＡＣアドレスとＩＰアドレスの対応関係をＤＨＣＰサーバ５に送信するアドレス送信部１２や、ＤＨＣＰサーバ５により提供されたＩＰアドレス以外のＩＰアドレスを使用しているＰＣ７を検知するＰＣ検知部１３や、ＰＣ検知部１３により検知されたＰＣ７とＬＡＮ９間の接続を遮断させる接続遮断指令を送信する接続遮断指令部１４（接続遮断手段）などを備えている。なお、インタフェース部１１、アドレス送信部１２、ＰＣ検知部１３及び接続遮断指令部１４は、専用のハードウェア（例えば、ＩＣ集積回路からなる挿抜自在の基板やカード）を用いて構成してもよいが、これらの処理内容が記述されたプログラムを用意し、管理サーバ４のＣＰＵが当該プログラムを実行するようにしてもよい。
ＤＨＣＰサーバ５は管理サーバ４から送信されたＰＣ１のＭＡＣアドレスとＩＰアドレスの対応関係を登録するアドレス登録部２１（アドレス登録手段）の他、例えばＰＣ１がＬＡＮ９に接続すると、そのＰＣ１のＭＡＣアドレスを取得するＭＡＣアドレス取得部２２（ＭＡＣアドレス取得手段）や、ＭＡＣアドレス取得部２２により取得されたＭＡＣアドレスがアドレス登録部２１に登録されていれば、そのＭＡＣアドレスに対応するＩＰアドレスをＰＣ１に提供するＩＰアドレス提供部２３（ＩＰアドレス提供手段）などを備えている。なお、アドレス登録部２１、ＭＡＣアドレス取得部２２及びＩＰアドレス提供部２３は、専用のハードウェア（例えば、ＩＣ集積回路からなる挿抜自在の基板やカード）を用いて構成してもよいが、これらの処理内容が記述されたプログラムを用意し、ＤＨＣＰサーバ５のＣＰＵが当該プログラムを実行するようにしてもよい。
アドレスＤＢ６はアドレス登録部２１の指示の下、ＰＣ１のＭＡＣアドレスとＩＰアドレスの対応関係を記録する。
図２及び図３はこの発明の実施の形態１によるセキュリティ管理システムの処理内容を示すフローチャートである。
【００１１】
次に動作について説明する。
まず、ユーザがＰＣ１をＬＡＮ９に接続できるようにすることを希望する場合、例えば、ユーザＩＤ、ＰＣ名、製造番号などが記述されている端末接続申請をネットワーク管理者に提出する。
ネットワーク管理者は、ユーザから端末接続申請を受け取ると、そのユーザに対してエージェント２を配布する。
ユーザは、ネットワーク管理者からエージェント２の配布を受けると、そのエージェント２をＰＣ１にインストールする。
【００１２】
ＰＣ１のエージェント２は、ＰＣ１にインストールされると、その際にＰＣ１の端末ＩＤを自動的に生成する。例えば、第三者機関より提供されるデジタル証明書である認証書をＰＣ１にインポートし、その認証書を用いて端末ＩＤを自動生成するようにする。
また、ＰＣ１のエージェント２は、その際にＰＣ１のＭＡＣアドレスを特定する。例えば、Ｅｔｈｅｒｎｅｔ（登録商標）カードなどに割り付けられている固有の物理アドレスであるＭＡＣアドレスを読み取ることにより、ＰＣ１のＭＡＣアドレスを特定する。
ＰＣ１のエージェント２は、上記のようにして、ＰＣ１のＭＡＣアドレスと端末ＩＤを特定すると、ＰＣ１のＭＡＣアドレスと端末ＩＤを例えばＦＤに記録する。
ユーザは、ＰＣ１のエージェント２によりＭＡＣアドレスと端末ＩＤが記録されたＦＤをネットワーク管理者に提出する。
この例では、ＰＣ１のＭＡＣアドレスと端末ＩＤをＦＤに記録して、そのＦＤをネットワーク管理者に提出するものについて示したが、例えば、既にＬＡＮ９への接続が許可されている他のＰＣ８のユーザに当該ＦＤを提出し、他のＰＣ８がＰＣ１のＭＡＣアドレスと端末ＩＤを管理者端末３に送信するようにしてもよい。
【００１３】
ネットワーク管理者は、ユーザからＰＣ１のＭＡＣアドレスと端末ＩＤが記録されているＦＤを受け取ると、管理者端末３を操作して、端末接続申請の記述内容とＦＤの記録内容とを管理サーバ４に出力する。
なお、管理者端末３と管理サーバ４がＬＡＮ９を介して接続されている場合には、ＬＡＮ９を介して、ＦＤの記録内容等を管理サーバ４に出力する。
【００１４】
管理サーバ４のアドレス送信部１２は、インタフェース部１１が管理者端末３から端末接続申請の記述内容やＦＤの記録内容を受け取ると、そのＦＤに記録されているＰＣ１のＭＡＣアドレスに対応するＩＰアドレスの割り当てを行い、ＬＡＮ９を介して、ＰＣ１のＭＡＣアドレスとＩＰアドレスの対応関係をＤＨＣＰサーバ５に送信する。ただし、ＰＣ１のＭＡＣアドレスに対応するＩＰアドレスとして、既に接続申請が完了している他のＰＣ８のＩＰアドレスと異なるＩＰアドレスを割り当てるようにする。
ＤＨＣＰサーバ５のアドレス登録部２１は、管理サーバ４から送信されたＰＣ１のＭＡＣアドレスとＩＰアドレスの対応関係を受信すると（ステップＳＴ１）、ＰＣ１のＭＡＣアドレスとＩＰアドレスの対応関係をアドレスＤＢ６に登録する（ステップＳＴ２）。
アドレス登録部２１は、その対応関係の登録が完了すると、登録が完了した旨を示すメッセージを管理者端末３及び管理サーバ４に送信する。
これにより、以降、ユーザはＰＣ１をＬＡＮ９に接続することが可能になる。
【００１５】
ＰＣ１のエージェント２は、ユーザがＰＣ１を操作してＬＡＮ９に接続すると、ＬＡＮ９を介して、ＰＣ１のＭＡＣアドレスをＤＨＣＰサーバ５に送信する。
ＤＨＣＰサーバ５のＩＰアドレス提供部２３は、ＭＡＣアドレス取得部２２がＰＣ１から送信されたＰＣ１のＭＡＣアドレスを受信すると（ステップＳＴ３）、ＰＣ１のＭＡＣアドレスと同一のＭＡＣアドレスがアドレス登録部２１に登録（アドレスＤＢ６に格納）されているか否かを判定し（ステップＳＴ４）、同一のＭＡＣアドレスがアドレスＤＢ６に格納されていれば、アドレスＤＢ６から当該ＭＡＣアドレスに対応するＩＰアドレスを読み込み、ＬＡＮ９を介して、そのＩＰアドレスをＰＣ１に送信する（ステップＳＴ５）。
ＰＣ１のエージェント２は、ＤＨＣＰサーバ５からＩＰアドレスを受信すると、以降、ＬＡＮ９への接続が許可されている他のＰＣ８等と、そのＩＰアドレスを使用して、ＬＡＮ９を介するデータの送受信を実施することができるようになる。
なお、同一のＭＡＣアドレスがアドレスＤＢ６に格納されていない場合、そのＭＡＣアドレスに対応するＩＰアドレスが得られないため、ユーザがＩＰアドレスを適当に設定しても、後述するように、ＬＡＮ９に対する接続が遮断される。
【００１６】
管理サーバ４のＰＣ検知部１３は、ＬＡＮ９に対する接続許可を得ていないユーザが無断でＬＡＮ９に接続しているＰＣ７を排除するため、ＬＡＮ９に対する接続許可を得ている例えばＰＣ１のエージェント２に対して、ネットワークのスキャン指令を送信する（ステップＳＴ１１）。
なお、ネットワークのスキャンの実施間隔とスキャン対象のＩＰアドレス範囲については、管理サーバ４がＰＣ１の負荷状況を考慮して指定する。
また、ネットワークのスキャンを実施するＰＣ１は、管理サーバ４の設定により固定してもよいし、ランダムに指定してもよい。
【００１７】
ＰＣ１のエージェント２は、管理サーバ４からネットワークのスキャン指令を受信すると、指定されたスキャンの実施間隔毎に、ネットワークのスキャンを実施して、指定されたＩＰアドレス範囲内のＩＰアドレスを使用しているＰＣを検知し、その検知結果を管理サーバ４に報告する。
管理サーバ４のＰＣ検知部１３は、ＰＣ１のエージェント２からＰＣの検知結果を受けると（ステップＳＴ１２）、その検知結果とＤＨＣＰサーバ５によりＩＰアドレスが提供されたＰＣを比較して、ＤＨＣＰサーバ５により提供されたＩＰアドレス以外のＩＰアドレスを使用しているＰＣを検知する（ステップＳＴ１３）。ここでは、説明の便宜上、ＰＣ検知部１３がＰＣ７を検知したものとして説明する。
【００１８】
管理サーバ４の接続遮断指令部１４は、ＰＣ検知部１３がＤＨＣＰサーバ５により提供されたＩＰアドレス以外のＩＰアドレスを使用しているＰＣ７を検知した場合（ステップＳＴ１４）、そのＰＣ７とＬＡＮ９間の接続を遮断させる接続遮断指令をＰＣ１のエージェント２に送信する（ステップＳＴ１５）。
ＰＣ１のエージェント２は、管理サーバ４から接続遮断指令を受信すると、そのＰＣ７のセッションをリセットするパケットを送出することにより、そのＰＣ７をＬＡＮ９から排除する。
【００１９】
以上で明らかなように、この実施の形態１によれば、ＭＡＣアドレス取得部２２により取得されたＭＡＣアドレスがアドレス登録部２１に登録されていれば、そのＭＡＣアドレスに対応するＩＰアドレスをＰＣに提供するＩＰアドレス提供部２３を設け、そのＩＰアドレス提供部２３により提供されたＩＰアドレス以外のＩＰアドレスを使用しているＰＣ７を検知すると、ＬＡＮ９に対するＰＣ７の接続を遮断するように構成したので、ＬＡＮ９に対する接続の許可を受けていないＰＣ７をＬＡＮ９から排除することができる効果を奏する。
【００２０】
実施の形態２．
図４はこの発明の実施の形態２によるセキュリティ管理システムを示す構成図であり、図において、図１と同一符号は同一または相当部分を示すので説明を省略する。
ＤＳＳサーバ１０はユーザ識別情報（例えば、ユーザＩＤ（ユーザ固有の識別子）、ユーザの氏名、メールアドレス、所属）を管理している。台帳作成手段である台帳作成部１５は既に接続申請が完了している全ＰＣ１，８のインベントリ情報（例えば、ＩＰアドレス、コンピュータ名、ＣＰＵ、メモリなどのハードウェア情報と、インストールされているソフトウェア情報）を収集し、そのインベントリ情報等から管理台帳を作成する。管理台帳記憶部１６は台帳作成部１５により作成された管理台帳を格納する。
【００２１】
次に動作について説明する。
管理サーバ４は、上記実施の形態１と同様にして、ＬＡＮ９に対する接続の許可を受けていないＰＣ７をＬＡＮ９から排除するが、さらに、ＰＣの管理台帳を作成する機能を備えている。
即ち、管理サーバ４の台帳作成部１５は、既に接続申請が完了しているＰＣ１，８のエージェント２と定期的に通信を実施しており、ＰＣのインベントリ情報の収集指令をＰＣ１，８のエージェント２に送信する。
ＰＣ１，８のエージェント２は、管理サーバ４からインベントリ情報の収集指令を受信すると、自己のインベントリ情報を収集し、そのインベントリ情報を管理サーバ４に送信する。
管理サーバ４の台帳作成部１５は、ＰＣ１，８のエージェント２から送信されたインベントリ情報を受信する。
また、管理サーバ４の台帳作成部１５は、ユーザＩＤをキーにして、ＤＳＳサーバ１０からユーザ識別情報を収集する。
【００２２】
管理サーバ４の台帳作成部１５は、上記のようにして、インベントリ情報とユーザ識別情報を収集すると、そのインベントリ情報とユーザ識別情報を元にして、図５のようなソフトウェアの管理台帳と、図６のようなハードウェアの管理台帳とを作成し、これらの管理台帳を管理台帳記憶部１６に格納する。
なお、台帳作成部１５は、インベントリ情報とユーザ識別情報を定期的に収集して、管理台帳記憶部１６に格納されている管理台帳を更新するようにする。
以上で明らかなように、この実施の形態２によれば、既に接続申請が完了している全ＰＣ１，８のハードウェアやソフトウェア構成をネットワーク管理者が容易に把握することができ、また、ハードウェアやソフトウェア構成が変更されても、ネットワーク管理者が最新のウェア構成を容易に把握することができる効果を奏する。
【００２３】
実施の形態３．
上記実施の形態２では、管理サーバ４の台帳作成部１５が全ＰＣのインベントリ情報を収集して管理台帳を作成するものについて示したが、あるＰＣ（例えば、ＰＣ８）のインベントリ情報を一定期間収集することができない場合、そのＰＣ８に関する情報を管理台帳から除外するようにしてもよい。
これにより、管理台帳記憶部１６に格納されている管理台帳の陳腐化を防止することができる効果を奏する。
【００２４】
また、管理サーバ４の台帳作成部１５は、ＰＣ８に関する情報を管理台帳から除外する際、そのＰＣ８の登録除外要求をＤＨＣＰサーバ５に送信する。
ＤＨＣＰサーバ５のアドレス登録部２１は、管理サーバ４からＰＣ８の登録除外要求を受信すると、アドレスＤＢ６に格納されているＰＣ８のＭＡＣアドレスとＩＰアドレスを消去する。
これにより、ユーザが接続廃止申請をネットワーク管理者に提出しなくても、ＬＡＮ９の使用が行われなくなった可能性が高いＰＣ８を接続許可対象から除外することができる効果を奏する。
【００２５】
実施の形態４．
図７はこの発明の実施の形態４によるセキュリティ管理システムを示す構成図であり、図において、図４と同一符号は同一または相当部分を示すので説明を省略する。
セキュリティ要件ＤＢ１７はＰＣをＬＡＮ９に接続するに際して、セキュリティ上、ＰＣにインストールされている必要があるソフトウェアの情報を格納している。ソフトウェア配布部１８はＰＣ１，８のインベントリ情報を収集して、そのＰＣ１，８に導入されているソフトウェアを認識し、ＬＡＮ９に接続する際に必須とするソフトウェアが不足している場合、不足しているソフトウェアをＰＣ１，８に配布する。なお、セキュリティ要件ＤＢ１７及びソフトウェア配布部１８からソフトウェア配布手段が構成されている。
【００２６】
次に動作について説明する。
ソフトウェア配布部１８は、台帳作成部１５と同様にして、ＰＣ１，８のインベントリ情報を収集し、そのＰＣ１，８に導入されているソフトウェアを認識する。
そして、セキュリティ要件ＤＢ１７を参照して、ＬＡＮ９に接続する際に必須とするソフトウェアが不足しているか否かを判断する。例えば、ＰＣ８において、必須とするソフトウェアが不足している場合、必須とするソフトウェアが不足している旨を示すメッセージと、その不足しているソフトウェアをインストールしない限り、ＬＡＮ９に対する接続を許可しない旨を示すメッセージとをＰＣ８と管理者端末３に送信する。
ソフトウェア配布部１８は、上記のようなメッセージを送信する際、その不足しているソフトウェアをＰＣ８に配布する。
【００２７】
ＰＣ８のユーザは、管理サーバ４から上記のようなメッセージと不足しているソフトウェアを受信すると、即時、あるいは、次回起動時など、適当なタイミングで、当該ソフトウェアをＰＣ８にインストールする。
【００２８】
以上で明らかなように、この実施の形態４によれば、ＰＣのインベントリ情報を収集して、そのＰＣに導入されているソフトウェアを認識し、ＬＡＮ９に接続する際に必須とするソフトウェアが不足している場合、不足しているソフトウェアを当該ＰＣに配布するように構成したので、高度のセキュリティを確保することができる効果を奏する。
【００２９】
実施の形態５．
上記実施の形態４では、ＰＣのインベントリ情報を収集して、そのＰＣに導入されているソフトウェアを認識し、ＬＡＮ９に接続する際に必須とするソフトウェアが不足している場合、不足しているソフトウェアを当該ＰＣに配布するものについて示したが、さらに、ソフトウェア配布部１８がＰＣのインベントリ情報を収集して、そのＰＣに導入されているパッチ情報（プログラムの修正モジュール）を認識し、ＬＡＮ９に接続する際に必須とするパッチ情報が不足している場合、不足しているパッチ情報を当該ＰＣに配布するようにしてもよい。
この場合も、高度のセキュリティを確保することができる効果を奏する。
【図面の簡単な説明】
【００３０】
【図１】この発明の実施の形態１によるセキュリティ管理システムを示す構成図である。
【図２】この発明の実施の形態１によるセキュリティ管理システムの処理内容を示すフローチャートである。
【図３】この発明の実施の形態１によるセキュリティ管理システムの処理内容を示すフローチャートである。
【図４】この発明の実施の形態２によるセキュリティ管理システムを示す構成図である。
【図５】管理台帳の作成例を示す説明図である。
【図６】管理台帳の作成例を示す説明図である。
【図７】この発明の実施の形態４によるセキュリティ管理システムを示す構成図である。
【符号の説明】
【００３１】
１  ＰＣ、２  エージェント、３  管理者端末、４  管理サーバ、５  ＤＨＣＰサーバ、６  アドレスＤＢ、７  ＰＣ、８  ＰＣ、９  ＬＡＮ（ネットワーク）、１０  ＤＳＳサーバ、１１  インタフェース部、１２  アドレス送信部、１３  ＰＣ検知部、１４  接続遮断指令部（接続遮断手段）、１５  台帳作成部（台帳作成手段）、１６  管理台帳記憶部、１７  セキュリティ要件ＤＢ（ソフトウェア配布手段）、１８  ソフトウェア配布部（ソフトウェア配布手段）、２１  アドレス登録部（アドレス登録手段）、２２  ＭＡＣアドレス取得部（ＭＡＣアドレス取得手段）、２３  ＩＰアドレス提供部。
【図１】
2005101957.tif 000003
【図２】
2005101957.tif 000004
【図３】
2005101957.tif 000005
【図４】
2005101957.tif 000006
【図５】
2005101957.tif 000007
【図６】
2005101957.tif 000008
【図７】
2005101957.tif 000009