(57)【特許請求の範囲】
【請求項１】
ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、予め許可されていない端末を前記ネットワークに接続させないようにアクセス制限を行う不正接続防止装置と、が接続されたシステムであって、
前記不正接続防止装置は、前記ネットワーク上に流れるパケットを監視して、前記エージェント端末が前記ネットワークに接続され、当該エージェント端末から前記存在通知パケットを受信した時にその存在通知パケットを送信した端末に予め決められたポリシを送信する手段を有し、
前記エージェント端末は、前記送信されたポリシを満たしているかどうかの調査を行い、自端末が前記ポリシを満たしていない場合には前記ネットワークへの通信制限を行う手段を有することを特徴とするネットワークへの不正接続防止システム。
【請求項２】
ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、前記エージェントソフトがインストールされていないクライアント端末と、前記ネットワークへの不正接続を防止する不正接続防止装置とが接続されたシステムであって、
前記不正接続防止装置は、前記ネットワーク上に流れるパケットを監視して、前記エージェント端末又はクライアント端末が前記ネットワークに接続された時に前記存在通知パケットを待つ手段と、
前記存在通知パケットが所定時間内に送信されない時に前記エージェントソフトがインストールされていない前記クライアント端末であることを検知し、当該クライアント端末に前記エージェントソフトを送信する手段とを有し、
当該クライアント端末は、前記送信されたエージェントソフトをインストールすることを特徴とするネットワークへの不正接続防止システム。
【請求項３】
ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、予め許可されていない端末を前記ネットワークに接続させないようにアクセス制限を行う不正接続防止装置と、が接続されたシステムの不正接続防止方法であって、
前記不正接続防止装置により、前記ネットワーク上に流れるパケットを監視し、前記エージェント端末が前記ネットワークに接続され、当該エージェント端末から前記存在通知パケットを受信した時にその存在通知パケットを送信した端末に予め決められたポリシを送信する工程と、
前記エージェント端末により、前記送信されたポリシを満たしているかどうかの調査を行い、自端末が前記ポリシを満たしていない場合には前記ネットワークへの通信制限を行う工程と、
を含むことを特徴とするネットワークへの不正接続防止方法。
【請求項４】
ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、前記エージェントソフトがインストールされていないクライアント端末と、前記ネットワークへの不正接続を防止する不正接続防止装置とが接続されたシステムの不正接続防止方法であって、
前記不正接続防止装置により、前記ネットワーク上に流れるパケットを監視して、前記エージェント端末又はクライアント端末が前記ネットワークに接続された時に前記存在通知パケットを待つ工程、
及び前記存在通知パケットが所定時間内に送信されない時に前記エージェントソフトがインストールされていない前記クライアント端末であることを検知し、当該クライアント端末に前記エージェントソフトを送信する工程と、
前記クライアント端末により、前記送信されたエージェントソフトをインストールする工程と、
を含むことを特徴とするネットワークへの不正接続防止方法。
【請求項５】
ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、予め許可されていない端末を前記ネットワークに接続させないようにアクセス制限を行う不正接続防止装置と、が接続されたシステムの不正接続防止プログラムであって、
前記ネットワーク上に流れるパケットを監視して、前記エージェント端末が前記ネットワークに接続され、当該エージェント端末から前記存在通知パケットを受信した時にその存在通知パケットを送信した端末に予め決められたポリシを送信する手段と、
前記送信されたポリシを満たしているかどうかの調査を行い、自端末が前記ポリシを満たしていない場合には前記ネットワークへの通信制限を行う手段と、
してコンピュータを機能させるためのプログラム。
【請求項６】
ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、前記エージェントソフトがインストールされていないクライアント端末と、前記ネットワークへの不正接続を防止する不正接続防止装置とが接続されたシステムの不正接続防止プログラムであって、
前記ネットワーク上に流れるパケットを監視して、前記エージェント端末又はクライアント端末が前記ネットワークに接続された時に前記存在通知パケットを待つ手段と、
前記存在通知パケットが所定時間内に送信されない時に前記エージェントソフトがインストールされていない前記クライアント端末であることを検知し、当該クライアント端末に前記エージェントソフトを送信する手段と、
当該クライアント端末に対して前記送信されたエージェントソフトをインストールする手段と、
してコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアント端末からネットワークへの不正接続を防止する方法に関する。
【背景技術】
【０００２】
近年、ネットワークを通じたコンピュータウイルスのばらまきによるウイルス被害やネットワークへの不正アクセスによる重要な情報の漏えいが急増しており、ネットワークセキュリティの向上は重要な課題となっている。
【０００３】
ウイルス被害に関しては、ウイルス対策ソフト等の導入である程度解決は可能であるが、ウイルス対策ソフト等、必要なエージェントソフトがインストールされていない端末がネットワークに接続された場合、その端末がセキュリティホールとなってしまうという問題がある。また、ウイルス対策ソフト等、必要なエージェントソフトがインストールされている端末であっても、セキュリティポリシーを満たしていない端末がネットワークに接続された場合、やはりその端末がセキュリティホールとなってしまう。
【０００４】
また、ユーザ端末にインストールされているソフトウエアの更新状況に応じたアクセス制限を行うことにより、外部ネットワークへのアクセスによるウィルス感染の防止を可能とするアクセス管理システムがある（例えば、特許文献１参照）。
【特許文献１】特開２００５−２８４５７３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来の不正接続防止システムは、ＭＡＣアドレス、ＩＰアドレス等で許可されたクライアント端末以外をネットワークに接続させないアクセス制限を実施しており、以下のような問題点がある。
【０００６】
・ＭＡＣアドレス、ＩＰアドレス等で許可された端末であれば、クライアント端末に必要なエージェントソフトがインストールされていない端末でも、ネットワークに接続できてしまう。
【０００７】
・ＭＡＣアドレス、ＩＰアドレス等で許可された端末であれば、クライアント端末に必要なエージェントソフトをアンインストールしても、ネットワークに接続できてしまう。
【０００８】
そこで本発明は、クライアントに必要なエージェントソフトがインストールされていない端末を検知し、必要なエージェントソフトがインストールされていない端末のネットワークへのアクセス制限の実施、および、クライアントに必要なエージェントソフトがインストールされている端末でも、設定されたポリシーを満たしていない端末のネットワークへのアクセス制限を実施する不正接続防止システム及び方法並びにそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述の課題を解決するため、本発明は、ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、予め許可されていない端末を前記ネットワークに接続させないようにアクセス制限を行う不正接続防止装置と、が接続されたシステムであって、前記不正接続防止装置は、前記ネットワーク上に流れるパケットを監視して、前記エージェント端末が前記ネットワークに接続され、当該エージェント端末から前記存在通知パケットを受信した時にその存在通知パケットを送信した端末に予め決められたポリシを送信する手段を有し、前記エージェント端末は、前記送信されたポリシを満たしているかどうかの調査を行い、自端末が前記ポリシを満たしていない場合には前記ネットワークへの通信制限を行う手段を有することを特徴とする。
また、本発明は、ネットワークに、自身の存在通知パケットを送信する機能を有するエージェントソフトがインストールされたエージェント端末と、前記エージェントソフトがインストールされていないクライアント端末と、前記ネットワークへの不正接続を防止する不正接続防止装置とが接続されたシステムであって、前記不正接続防止装置は、前記ネットワーク上に流れるパケットを監視して、前記エージェント端末又はクライアント端末が前記ネットワークに接続された時に前記存在通知パケットを待つ手段と、前記存在通知パケットが所定時間内に送信されない時に前記エージェントソフトがインストールされていない前記クライアント端末であることを検知し、当該クライアント端末に前記エージェントソフトを送信する手段とを有し、当該クライアント端末は、送信されたエージェントソフトをインストールすることを特徴とする。
【発明の効果】
【００１０】
本発明によれば、セキュリティ対策の実施状況を確認するために必要なエージェントソフトがインストールされていないクライアント端末のネットワークへのアクセスを拒否することができる。
【００１１】
また、必要なエージェントソフトがインストールされているクライアント端末であっても、必要なセキュリティパッチが適用されていなかったり、ウイルス対策が不十分であるといったポリシーを満たしていないクライアント端末は、エージェントソフトで通信制限されるため、ウイルス被害を未然に防ぐことができる。
【発明を実施するための最良の形態】
【００１２】
次に、本発明の最良の形態について図面を参照して説明する。
【実施例１】
【００１３】
図１は、本発明の第１の実施例のシステム構成を示す。ネットワーク６に接続されているクライアント端末１，２と、クライアント端末にインストールされるエージェントソフト５と、不正接続防止装置３と、不正接続防止装置の管理コンソール４と、ポリシー７により構成されている。
【００１４】
クライアント端末１は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフト５がインストールされている（以降、エージェントソフトがインストールされているクライアント端末をエージェント端末とする）。クライアント端末２は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフトがインストールされていない。
【００１５】
エージェントソフト５は、クライアント端末等の情報処理装置にインストールされるプログラムであり、ネットワーク上に自身の存在通知パケットを送信する機能と、不正接続防止装置３から送信されるポリシーを受信し、ネットワークへの通信制限を実施する機能を備えている。
【００１６】
管理コンソール４は、複数の不正接続防止装置を制御するコンソールであり、コンソール上に設定されたポリシー７を不正接続防止装置３に送信する機能を備えている。
【００１７】
不正接続防止装置３は、ＭＡＣアドレス、ＩＰアドレス等で許可されたクライアント端末以外をネットワークに接続させないアクセス制限を実施する機能を備えている。また、クライアント端末にインストールされているエージェントソフト５からネットワーク上に送信された存在通知パケットを受信し、存在通知を送信していないクライアント端末に対するネットワークへのアクセス制限を実施する機能を備えている。さらに、存在通知パケットを送信したクライアント端末に対し、ポリシー７を送付する機能を備えている。
【００１８】
次に、図２を参照し、本実施例の動作について詳細に説明する。
【００１９】
クライアント端末２には、エージェントソフト５はインストールされていない。クライアント端末２をネットワーク６に接続すると（ステップＳ１１）、ネットワーク６上にパケットが流れる。不正接続防止装置３は、ネットワーク６を流れるパケットをモニタリングしており、クライアント端末２からのパケットによりクライアント端末２がネットワーク６に接続されたことを検知する（ステップＳ１２）。
【００２０】
不正接続防止装置３は、クライアント端末２がネットワーク６に接続されたことを検知すると、クライアント端末２からの存在通知パケットを待つ（ステップＳ１３）。クライアント端末２には、エージェントソフト５はインストールされていないため、ネットワーク６上にクライアント端末２からの存在通知パケットは送信されない。
【００２１】
不正接続防止装置３は、クライアント端末２からの存在通知パケットが所定時間内にネットワーク６上に送信されないので、不正接続防止機能によりクライアント端末２のネットワーク６へのアクセス制限を実施する（ステップＳ１４）。クライアント端末２は、不正接続防止装置３からのネットワーク６へのアクセス制限により、ネットワーク６への接続ができなくなる（ステップＳ１５）。
【００２２】
次に、図３を参照し、本実施例の動作について詳細に説明する。
【００２３】
クライアント端末１は、エージェントソフト５がインストールされているエージェント端末である。管理コンソール４は、不正接続防止装置３にポリシーを送信する（ステップＳ２１）。エージェント端末１をネットワーク６に接続すると（ステップＳ２２）、ネットワーク６上にパケットが流れる。
【００２４】
不正接続防止装置３は、ネットワーク６を流れるパケットをモニタリングしており、エージェント端末１からのパケットによりエージェント端末１がネットワーク６に接続されたことを検知する（ステップＳ２３）。不正接続防止装置３は、エージェント端末１がネットワーク６に接続されたことを検知すると、エージェント端末１からの存在通知パケットを待つ（ステップＳ２４）。
【００２５】
エージェント端末１には、エージェントソフト５がインストールされているため、ネットワーク６に自身の存在通知パケットを送信する（ステップＳ２５）。不正接続防止装置３は、エージェント端末１からの存在通知パケットを受信したことにより、管理コンソール４から受信したポリシー７をエージェント端末１に送信する（ステップＳ２６）。エージェント端末１は、不正接続防止装置３からポリシー７を受信すると（ステップＳ２７）、自端末がポリシー７を満たしているか調査を実施する（ステップＳ２８）。
【００２６】
エージェント端末１は、ポリシー確認（ステップＳ２９）の結果、ポリシー７を満たしている場合には、自端末に対する通信制限は実施しない。エージェント端末１は、ポリシー確認（ステップＳ２９）の結果、ポリシー７を満たしていない場合、自端末のネットワーク６への通信制限を実施する（ステップＳ３０）。
【００２７】
これにより、エージェントソフト５がインストールされていないクライアント端末２は不正接続防止装置によりネットワーク６へのアクセス制限が実施され、エージェントソフト５がインストールされているがポリシー７を満たしていないエージェント端末１は、通信制限が実施される。
【実施例２】
【００２８】
図４は、本発明の第２の実施例のシステム構成を示す。クライアント端末１は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフト５がインストールされているエージェント端末である。クライアント端末２は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフトがインストールされていない。
【００２９】
エージェントソフト５は、クライアント端末等の情報処理装置にインストールされるプログラムであり、ネットワーク上に自身の存在通知パケットを送信する機能を備えている。
【００３０】
管理コンソール４は、複数の不正接続防止装置を制御するコンソールであり、コンソール上に設定されたエージェントソフト５を不正接続防止装置３に送信する機能を備えている。
【００３１】
クライアント端末２がネットワーク６に接続されると、ネットワーク６上にパケットが流れる。
【００３２】
不正接続防止装置３は、ネットワーク６を流れるパケットをモニタリングしており、クライアント端末２からのパケットによりクライアント端末２がネットワーク６に接続されたことを検知する。不正接続防止装置３は、クライアント端末２がネットワーク６に接続されたことを検知すると、クライアント端末２からの存在通知パケットを待つ。クライアント端末２には、エージェントソフトはインストールされていないため、ネットワーク６上にクライアント端末２からの存在通知パケットは送信されない。不正接続防止装置３は、クライアント端末２からの存在通知パケットが所定時間内にネットワーク６上に送信されないことを検知し、管理コンソール４から受信したエージェントソフト５をクライアント端末２に送信する。クライアント端末２は、受信したエージェントソフト５をインストールする。
【００３３】
このように、エージェントソフトがインストールされていない端末を検知し、その端末に必要なエージェントソフトを送信して、インストールさせることができる。
【産業上の利用可能性】
【００３４】
社内のネットワークに、社員が個人用のコンピュータを接続することによる、当該コンピュータからのウイルスの蔓延を防止したい場合や、必要なセキュリティポリシーを満たしていない端末からのウイルス蔓延を防止したい場合に利用することが可能である。
【図面の簡単な説明】
【００３５】
【図１】第１の実施例のシステム構成図である。
【図２】第１の実施例の動作を説明するシーケンス図である。
【図３】第１の実施例の動作を説明するシーケンス図である。
【図４】第２の実施例のシステム構成図である。
【符号の説明】
【００３６】
１  クライアント端末（エージェント端末）
２  クライアント端末
３  不正接続防止装置
４  管理コンソール
５  エージェントソフト
６  ネットワーク
７  ポリシー
【図１】
0004437797.tif 000002
【図２】
0004437797.tif 000003
【図３】
0004437797.tif 000004
【図４】
0004437797.tif 000005