(57)【要約】      （修正有）【課題】アクセス制御ルールの設定を自動的に実行することにより、ユーザの介入なしにコンピュータを動作させることができるアクセス制御装置およびアクセス制御方法を提供する。【解決手段】ポート抽出手段１０１は、コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、ソフトウェアで使用するポートのポート番号を抽出する。判断手段１０２は、抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断する。設定手段１０３は、判断に従ってアクセス制御ルールを設定する。また、アクセス制御手段１０４は、ソフトウェアの実行時に、設定されたアクセス制御ルールに従って各ポートへのアクセスを制御する。このアクセス制御装置によれば、ソフトウェアで使用するポートのポート番号を抽出し、抽出されたポート番号に基づいてアクセス制御ルールを設定するので、ユーザの介入を必要とせず適切なアクセス制御を実行することができる。【選択図】図１
2007065807.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータに対するアクセスを制御するアクセス制御装置において、
コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、前記ソフトウェアで使用するポートのポート番号を抽出するポート抽出手段と、
抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断する判断手段と、
前記判断に従ってアクセス制御ルールを設定する設定手段と、
を備えることを特徴とするアクセス制御装置。
【請求項２】
前記ポート抽出手段、前記判断手段および前記設定手段は、前記コンピュータの起動に際して機能することを特徴とする請求項１に記載のアクセス制御装置。
【請求項３】
前記ソフトウェアの実行時に、設定された前記アクセス制御ルールに従って各ポートへのアクセスを制御するアクセス制御手段を備えることを特徴とする請求項１または２に記載のアクセス制御装置。
【請求項４】
コンピュータに対するアクセスを制御するアクセス制御方法において、
コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、前記ソフトウェアで使用するポートのポート番号を抽出するステップと、
抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断するステップと、
前記判断に従ってアクセス制御ルールを設定するステップと、
を備えることを特徴とするアクセス制御方法。
【請求項５】
前記ポート番号を抽出するステップ、前記アクセスの可否を判断するステップおよび前記アクセス制御ルールを設定するステップは、前記コンピュータの起動に際して機能することを特徴とする請求項４に記載のアクセス制御方法。
【請求項６】
前記ソフトウェアの実行時に、設定された前記アクセス制御ルールに従って各ポートへのアクセスを制御するステップを備えることを特徴とする請求項４または５に記載のアクセス制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータへのアクセスを、アクセス制御ルールに従って制御するアクセス制御装置およびアクセス制御方法に関する。
【背景技術】
【０００２】
外部からパーソナルコンピュータへのアクセスを制御するため、パーソナルファイアーウォールが用いられる。パーソナルファイアーウォールは、許可すべき通信を規定するアクセス制御ルールに従って、外部からの通信をアプリケーションに中継したり、あるいはブロックしたりする。ユーザは、パーソナルコンピュータを動作させるために必要な通信のポート番号を、アクセス制御ルールとしてパーソナルファイアーウォールに設定する必要がある。
【０００３】
特許文献１には、内部ネットワークへの不正なアクセスを制限するファイアウォール装置が記載されている。
【０００４】
【特許文献１】特開２００４−５４４８８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
パーソナルファイアーウォールを正しく動作させるには、アクセス制御ルールを下記のような方法でユーザがパーソナルファイアーウォールに設定する必要がある。
（１）パーソナルファイアーウォールを搭載したパーソナルコンピュータに、外部から通信要求が来る度に、パーソナルファイアーウォールが画面上でポップアップウィンドウ等を表示し、ユーザに通信を受け入れるか拒否するか選択させる。
（２）あらかじめユーザが、パーソナルコンピュータの通信仕様に基づいて、受け入れる通信のポート番号を、専用に用意されたＧＵＩ（Graphical User Interface）やＣＵＩ（Character-based User Interface）を使って設定する。
【０００６】
しかし、上記（１）の方法では、外部から通信要求があったとき、ユーザが許可操作を完了するまで通信要求が待たされるため、制御通信のようなリアルタイム性を要求される通信には使用できない。また、通信の受け入れ可否の判断には、パーソナルコンピュータの通信仕様を把握している必要があり、このような知識を持たない一般ユーザには判断が難しいという問題がある。
【０００７】
また、上記（２）の方法では、ポート番号の設定を行うためにはパーソナルコンピュータの通信仕様やプログラム構成を正確に把握する必要がある。このため、このような知識を持たない一般ユーザには設定が難しいという問題がある。
【０００８】
本発明の目的は、コンピュータを動作させるために必要なアクセス制御ルールの設定を自動的に実行することにより、ユーザの介入を必要とせずコンピュータを動作させることができるアクセス制御装置およびアクセス制御方法を提供することにある。
【課題を解決するための手段】
【０００９】
本発明のアクセス制御装置は、コンピュータに対するアクセスを制御するアクセス制御装置において、コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、前記ソフトウェアで使用するポートのポート番号を抽出するポート抽出手段と、抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断する判断手段と、前記判断に従ってアクセス制御ルールを設定する設定手段と、を備えることを特徴とする。
このアクセス制御装置によれば、ソフトウェアで使用するポートのポート番号を抽出し、抽出されたポート番号に基づいてアクセス制御ルールを設定するので、ユーザの介入を必要とせず適切なアクセス制御を実行することができる。
【００１０】
前記ポート抽出手段、前記判断手段および前記設定手段は、前記コンピュータの起動に際して機能してもよい。
【００１１】
前記ソフトウェアの実行時に、設定された前記アクセス制御ルールに従って各ポートへのアクセスを制御するアクセス制御手段を備えてもよい。
【００１２】
本発明のアクセス制御方法は、コンピュータに対するアクセスを制御するアクセス制御方法において、コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、前記ソフトウェアで使用するポートのポート番号を抽出するステップと、抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断するステップと、前記判断に従ってアクセス制御ルールを設定するステップと、を備えることを特徴とする。
このアクセス制御方法によれば、ソフトウェアで使用するポートのポート番号を抽出し、抽出されたポート番号に基づいてアクセス制御ルールを設定するので、ユーザの介入を必要とせず適切なアクセス制御を実行することができる。
【００１３】
前記ポート番号を抽出するステップ、前記アクセスの可否を判断するステップおよび前記アクセス制御ルールを設定するステップは、前記コンピュータの起動に際して機能してもよい。
【００１４】
前記ソフトウェアの実行時に、設定された前記アクセス制御ルールに従って各ポートへのアクセスを制御するステップを備えてもよい。
【発明の効果】
【００１５】
本発明のアクセス制御装置によれば、ソフトウェアで使用するポートのポート番号を抽出し、抽出されたポート番号に基づいてアクセス制御ルールを設定するので、ユーザの介入を必要とせず適切なアクセス制御を実行することができる。
【００１６】
本発明のアクセス制御方法によれば、ソフトウェアで使用するポートのポート番号を抽出し、抽出されたポート番号に基づいてアクセス制御ルールを設定するので、ユーザの介入を必要とせず適切なアクセス制御を実行することができる。
【発明を実施するための最良の形態】
【００１７】
図１は本発明によるアクセス制御装置を機能的に示すブロック図である。
【００１８】
図１において、ポート抽出手段１０１は、コンピュータで使用するソフトウェアのソフトウェア構成に基づいて、ソフトウェアで使用するポートのポート番号を抽出する。判断手段１０２は、抽出されたポート番号に基づいて、各ポートへのアクセスの可否を判断する。設定手段１０３は、判断に従ってアクセス制御ルールを設定する。
【００１９】
また、アクセス制御手段１０４は、ソフトウェアの実行時に、設定されたアクセス制御ルールに従って各ポートへのアクセスを制御する。
【００２０】
以下、図２〜図３を参照して、本発明によるアクセス制御装置の一実施形態について説明する。
【００２１】
図２は、本実施形態のアクセス制御装置が適用されるプラント制御システムの構成を示すブロック図である。
【００２２】
図２に示すように、プラント制御システムは、プラントに配置されたフィールド機器１を制御するコントローラ２，２，・・・と、分散配置されたコントローラ２，２，・・・を介してフィールド機器１を統合的に制御するサーバ３と、を備える。コントローラ２，２，・・・およびサーバ３は通信回線４を介して互いに接続されている。
【００２３】
また、サーバ３には通信回線５が接続され、サーバ３は通信回線５を介して外部と通信可能とされている。サーバ３に対する通信回線５を介してのアクセスは、ファイアーウォールにより制限される。
【００２４】
図３のステップＳ１〜ステップＳ５は、本実施形態のアクセス制御装置における処理の手順を示すフローチャートである。この手順は、サーバ３にインストールされたサービスプログラムとして規定され、サーバ３の起動時に自動的に起動される。
【００２５】
サーバ３が立ち上がると、図３のステップＳ１では、サーバ３にインストールされているソフトウェアのソフトウェア構成を読み込む。ここでは、ソフトウェア構成情報からソフトウェアパッケージ型名を読み込む。ソフトウェアパッケージ型名により、各ソフトウェアで使用されるポートのポート番号が特定される。
【００２６】
次に、ステップＳ２では、ＡＰＩ（Application Program Interface）を用いてサーバ３のファイアーウォールのアクセス制御ルールを読み込む。アクセス制御ルールは、外部からのアクセスが許可されたポートおよび外部からのアクセスが拒否されるポートのポート番号がそれぞれ定義されている。
【００２７】
次に、ステップＳ３では、ステップＳ１で読み込まれたソフトウェアパッケージ型名により特定されるポート番号と、ステップＳ２で読み込まれたアクセス制御ルールで使用が許可されているポートのポート番号とが比較される。
【００２８】
次に、ステップＳ４では、ステップＳ３における比較の結果、ソフトウェアパッケージ型名とアクセス制御ルールとが整合しているか否か判断する。判断が肯定されれば、ステップＳ５をスキップして処理を終了し、判断が否定されればステップＳ５へ進む。
【００２９】
ステップＳ５では、ＡＰＩを用いてソフトウェアパッケージ型名に合わせてアクセス制御ルールを書き換え、処理を終了する。具体的には、ステップＳ５では、読み込まれたソフトウェアパッケージ型名により特定された使用対象となるポートについて、アクセス制御ルールで使用が拒否されている場合、そのポートに対するアクセスを許可する。また、読み込まれたソフトウェアパッケージ型名により特定された使用対象となるポート以外のポートについて、アクセス制御ルールで使用が許可されている場合、そのポートに対するアクセスを拒否する。
【００３０】
以上の処理によれば、サーバ３の起動時に、サーバ３にインストールされたソフトウェアのソフトウェア構成に基づいて自動的にアクセス制御ルールを書き換えるので、ユーザの介入を必要とせず、サーバ３に対するアクセス制御を適正化することができる。
【００３１】
図３のステップＳ１１〜ステップＳ１５は、ソフトウェアの実行時に、アクセス制御ルールに従って各ポートへのアクセスを制御する処理の手順を示すフローチャートである。
【００３２】
図３のステップＳ１１では、通信回線５を介する通信要求があるか否か判断し、判断が肯定されるのを待ってステップＳ１２へ進む。
【００３３】
ステップＳ１２では、ＡＰＩを用いてサーバ３のファイアーウォールのアクセス制御ルールを読み込む。
【００３４】
次に、ステップＳ１３では、アクセス制御ルールを参照し、通信要求の対象となるポートの使用が許可されているか否か判断する。判断が肯定されればステップＳ１４へ進み、判断が否定されればステップＳ１５へ進む。
【００３５】
ステップＳ１４では、要求された通信を許可してステップＳ１１へ戻る。また、ステップＳ１５では、要求された通信を拒否してステップＳ１１へ戻る。その後、通信要求を受けるたびに同様の処理を繰り返す。
【００３６】
このように、ステップＳ１１〜ステップＳ１５の処理では、通信要求に対してアクセス制御ルールを参照することで通信の可否を判断し、適切なアクセス制御を実行している。
【００３７】
本発明の適用範囲は上記実施形態に限定されることはない。本発明は、プラント制御システムへの適用に限定されることなく、パーソナルコンピュータ、その他コンピュータに対するアクセス制御に対し広く適用できる。
【図面の簡単な説明】
【００３８】
【図１】本発明によるアクセス制御装置を機能的に示すブロック図。
【図２】本実施形態のアクセス制御装置が適用されるプラント制御システムの構成を示すブロック図。
【図３】本実施形態のアクセス制御装置における処理の手順を示すフローチャート。
【符号の説明】
【００３９】
３      サーバ（ポート抽出手段、判断手段、設定手段、アクセス制御手段）
１０１  ポート抽出手段
１０２  判断手段
１０３  設定手段
１０４  アクセス制御手段
【図１】
2007065807.tif 000003
【図２】
2007065807.tif 000004
【図３】
2007065807.tif 000005