(57)【要約】【課題】必要なエージェントソフトがインストールされていない端末のネットワークへのアクセス制限を実施すると共に、設定されたポリシーを満たしていない端末のネットワークへのアクセス制限を実施する不正接続防止システムを提供する。【解決手段】クライアント端末１にインストールされたエージェントソフト５からネットワーク６上に存在通知パケットを送信する。不正接続防止装置３は、各クライアント端末にインストールされたエージェントソフトからの存在通知を受信し、存在通知を送信したクライアント端末のエージェントソフトにポリシー７を送信する。エージェントソフト５は、不正接続防止装置からのポリシーにより各クライアント端末の通信制限を実施する。【選択図】図１
2007251772.tif 000002
【特許請求の範囲】
【請求項１】
存在通知パケット送信機能を有するエージェント端末のみをネットワーク接続させる機能を有する不正接続防止装置とクライアント端末とがネットワーク接続された不正接続防止システムであって、
前記不正接続防止装置は、ネットワークを流れるパケットをモニタリングし、前記クライアント端末からのパケットにより前記クライアント端末がネットワークに接続されたことを検知すると、前記クライアント端末からの存在通知パケットを待つ手段と、
前記クライアント端末から存在通知パケットが所定時間内にネットワーク上に送信されないことを確認すると、不正接続防止機能によりクライアント端末のネットワークへのアクセス制限を実施する手段とを備えることを特徴とするネットワークへの不正接続防止システム。
【請求項２】
クライアント端末にエージェントソフトがインストールされたエージェント端末と不正接続防止装置とがネットワーク接続された不正接続防止システムであって、
前記エージェント端末は、ネットワーク上に存在通知パケットを送信する手段と、
前記不正接続防止装置から受信したポリシーに応じて自端末の通信制限を実施する手段とを備え、
前記不正接続防止装置は、前記エージェント端末から前記存在通知パケットを受信して、その存在通知パケットを送信した前記エージェント端末にポリシーを送信する手段を備えることを特徴とするネットワークへの不正接続防止システム。
【請求項３】
存在通知パケット送信機能を有するエージェントソフトを送信する機能を有する不正接続防止装置とクライアント端末とがネットワーク接続された不正接続防止システムであって、
前記不正接続防止装置は、ネットワークを流れるパケットをモニタリングし、前記クライアント端末からのパケットにより前記クライアント端末がネットワークに接続されたことを検知すると、前記クライアント端末からの存在通知パケットを待つ手段と、
前記クライアント端末から存在通知パケットが所定時間内にネットワーク上に送信されないことを確認すると、前記エージェントソフトを前記クライアント端末に送信する手段とを備え、
前記クライアント端末は、前記エージェントソフトを受信してインストールする手段を備えることを特徴とするネットワークへの不正接続防止システム。
【請求項４】
存在通知パケット送信機能を有するエージェント端末のみをネットワーク接続させる機能を有する不正接続防止装置とクライアント端末とがネットワーク接続されたシステムのネットワーク不正接続防止方法であって、
前記不正接続防止装置は、ネットワークを流れるパケットをモニタリングし、前記クライアント端末からのパケットにより前記クライアント端末がネットワークに接続されたことを検知すると、前記クライアント端末からの存在通知パケットを待ち、
前記クライアント端末から存在通知パケットが所定時間内にネットワーク上に送信されないことを確認すると、不正接続防止機能によりクライアント端末のネットワークへのアクセス制限を実施する各ステップを含むことを特徴とするネットワークへの不正接続防止方法。
【請求項５】
クライアント端末にエージェントソフトがインストールされたエージェント端末と不正接続防止装置とがネットワーク接続されたシステムのネットワーク不正接続防止方法であって、
前記エージェント端末は、ネットワーク上に存在通知パケットを送信し、
前記不正接続防止装置は、前記エージェント端末から前記存在通知パケットを受信して、その存在通知パケットを送信した前記エージェント端末にポリシーを送信し、
前記エージェント端末は、前記不正接続防止装置から受信したポリシーに応じて自端末の通信制限を実施する各ステップを含むことを特徴とするネットワークへの不正接続防止方法。
【請求項６】
存在通知パケット送信機能を有するエージェントソフトを送信する機能を有する不正接続防止装置とクライアント端末とがネットワーク接続されたシステムのネットワーク不正接続防止方法であって、
前記不正接続防止装置は、ネットワークを流れるパケットをモニタリングし、前記クライアント端末からのパケットにより前記クライアント端末がネットワークに接続されたことを検知すると、前記クライアント端末からの存在通知パケットを待ち、
前記クライアント端末から存在通知パケットが所定時間内にネットワーク上に送信されないことを確認すると、前記エージェントソフトを前記クライアント端末に送信し、
前記クライアント端末は、前記エージェントソフトを受信してインストールする各ステップを含むことを特徴とするネットワークへの不正接続防止方法。
【請求項７】
ネットワーク接続機能を有する情報処理装置にインストールされて使用されるプログラムであって、
ネットワーク上に自身の存在通知パケットを送信する機能と、
ネットワークに接続された不正接続防止装置から送信されるポリシーを受信し、そのポリシーに応じてネットワークへの通信制限を実施する機能とをコンピュータに実現させることを特徴とするネットワークへの不正接続防止プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアント端末からネットワークへの不正接続を防止する方法に関する。
【背景技術】
【０００２】
近年、ネットワークを通じたコンピュータウイルスのばらまきによるウイルス被害やネットワークへの不正アクセスによる重要な情報の漏えいが急増しており、ネットワークセキュリティの向上は重要な課題となっている。
【０００３】
ウイルス被害に関しては、ウイルス対策ソフト等の導入である程度解決は可能であるが、ウイルス対策ソフト等、必要なエージェントソフトがインストールされていない端末がネットワークに接続された場合、その端末がセキュリティホールとなってしまうという問題がある。また、ウイルス対策ソフト等、必要なエージェントソフトがインストールされている端末であっても、セキュリティポリシーを満たしていない端末がネットワークに接続された場合、やはりその端末がセキュリティホールとなってしまう。
【０００４】
また、ユーザ端末にインストールされているソフトウエアの更新状況に応じたアクセス制限を行うことにより、外部ネットワークへのアクセスによるウィルス感染の防止を可能とするアクセス管理システムがある（例えば、特許文献１参照）。
【特許文献１】特開２００５−２８４５７３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来の不正接続防止システムは、ＭＡＣアドレス、ＩＰアドレス等で許可されたクライアント端末以外をネットワークに接続させないアクセス制限を実施しており、以下のような問題点がある。
【０００６】
・ＭＡＣアドレス、ＩＰアドレス等で許可された端末であれば、クライアント端末に必要なエージェントソフトがインストールされていない端末でも、ネットワークに接続できてしまう。
【０００７】
・ＭＡＣアドレス、ＩＰアドレス等で許可された端末であれば、クライアント端末に必要なエージェントソフトをアンインストールしても、ネットワークに接続できてしまう。
【０００８】
そこで本発明は、クライアントに必要なエージェントソフトがインストールされていない端末を検知し、必要なエージェントソフトがインストールされていない端末のネットワークへのアクセス制限の実施、および、クライアントに必要なエージェントソフトがインストールされている端末でも、設定されたポリシーを満たしていない端末のネットワークへのアクセス制限を実施する不正接続防止システム及び方法並びにそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述の課題を解決するため、本発明は、クライアント端末にインストールされるエージェントソフトと不正接続防止装置で構成される。クライアント端末にインストールされたエージェントソフトからネットワーク上に存在通知パケットを送信する。不正接続防止装置は、各クライアント端末にインストールされたエージェントソフトからの存在通知を受信し、存在通知を送信したクライアント端末のエージェントソフトにポリシーを送信する。エージェントソフトは、不正接続防止装置からのポリシーにより各クライアント端末の通信制限を実施する。
【発明の効果】
【００１０】
本発明によれば、セキュリティ対策の実施状況を確認するために必要なエージェントソフトがインストールされていないクライアント端末のネットワークへのアクセスを拒否することができる。
【００１１】
また、必要なエージェントソフトがインストールされているクライアント端末であっても、必要なセキュリティパッチが適用されていなかったり、ウイルス対策が不十分であるといったポリシーを満たしていないクライアント端末は、エージェントソフトで通信制限されるため、ウイルス被害を未然に防ぐことができる。
【発明を実施するための最良の形態】
【００１２】
次に、本発明の最良の形態について図面を参照して説明する。
【実施例１】
【００１３】
図１は、本発明の第１の実施例のシステム構成を示す。ネットワーク６に接続されているクライアント端末１，２と、クライアント端末にインストールされるエージェントソフト５と、不正接続防止装置３と、不正接続防止装置の管理コンソール４と、ポリシー７により構成されている。
【００１４】
クライアント端末１は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフト５がインストールされている（以降、エージェントソフトがインストールされているクライアント端末をエージェント端末とする）。クライアント端末２は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフトがインストールされていない。
【００１５】
エージェントソフト５は、クライアント端末等の情報処理装置にインストールされるプログラムであり、ネットワーク上に自身の存在通知パケットを送信する機能と、不正接続防止装置３から送信されるポリシーを受信し、ネットワークへの通信制限を実施する機能を備えている。
【００１６】
管理コンソール４は、複数の不正接続防止装置を制御するコンソールであり、コンソール上に設定されたポリシー７を不正接続防止装置３に送信する機能を備えている。
【００１７】
不正接続防止装置３は、ＭＡＣアドレス、ＩＰアドレス等で許可されたクライアント端末以外をネットワークに接続させないアクセス制限を実施する機能を備えている。また、クライアント端末にインストールされているエージェントソフト５からネットワーク上に送信された存在通知パケットを受信し、存在通知を送信していないクライアント端末に対するネットワークへのアクセス制限を実施する機能を備えている。さらに、存在通知パケットを送信したクライアント端末に対し、ポリシー７を送付する機能を備えている。
【００１８】
次に、図２を参照し、本実施例の動作について詳細に説明する。
【００１９】
クライアント端末２には、エージェントソフト５はインストールされていない。クライアント端末２をネットワーク６に接続すると（ステップＳ１１）、ネットワーク６上にパケットが流れる。不正接続防止装置３は、ネットワーク６を流れるパケットをモニタリングしており、クライアント端末２からのパケットによりクライアント端末２がネットワーク６に接続されたことを検知する（ステップＳ１２）。
【００２０】
不正接続防止装置３は、クライアント端末２がネットワーク６に接続されたことを検知すると、クライアント端末２からの存在通知パケットを待つ（ステップＳ１３）。クライアント端末２には、エージェントソフト５はインストールされていないため、ネットワーク６上にクライアント端末２からの存在通知パケットは送信されない。
【００２１】
不正接続防止装置３は、クライアント端末２からの存在通知パケットが所定時間内にネットワーク６上に送信されないので、不正接続防止機能によりクライアント端末２のネットワーク６へのアクセス制限を実施する（ステップＳ１４）。クライアント端末２は、不正接続防止装置３からのネットワーク６へのアクセス制限により、ネットワーク６への接続ができなくなる（ステップＳ１５）。
【００２２】
次に、図３を参照し、本実施例の動作について詳細に説明する。
【００２３】
クライアント端末１は、エージェントソフト５がインストールされているエージェント端末である。管理コンソール４は、不正接続防止装置３にポリシーを送信する（ステップＳ２１）。エージェント端末１をネットワーク６に接続すると（ステップＳ２２）、ネットワーク６上にパケットが流れる。
【００２４】
不正接続防止装置３は、ネットワーク６を流れるパケットをモニタリングしており、エージェント端末１からのパケットによりエージェント端末１がネットワーク６に接続されたことを検知する（ステップＳ２３）。不正接続防止装置３は、エージェント端末１がネットワーク６に接続されたことを検知すると、エージェント端末１からの存在通知パケットを待つ（ステップＳ２４）。
【００２５】
エージェント端末１には、エージェントソフト５がインストールされているため、ネットワーク６に自身の存在通知パケットを送信する（ステップＳ２５）。不正接続防止装置３は、エージェント端末１からの存在通知パケットを受信したことにより、管理コンソール４から受信したポリシー７をエージェント端末１に送信する（ステップＳ２６）。エージェント端末１は、不正接続防止装置３からポリシー７を受信すると（ステップＳ２７）、自端末がポリシー７を満たしているか調査を実施する（ステップＳ２８）。
【００２６】
エージェント端末１は、ポリシー確認（ステップＳ２９）の結果、ポリシー７を満たしている場合には、自端末に対する通信制限は実施しない。エージェント端末１は、ポリシー確認（ステップＳ２９）の結果、ポリシー７を満たしていない場合、自端末のネットワーク６への通信制限を実施する（ステップＳ３０）。
【００２７】
これにより、エージェントソフト５がインストールされていないクライアント端末２は不正接続防止装置によりネットワーク６へのアクセス制限が実施され、エージェントソフト５がインストールされているがポリシー７を満たしていないエージェント端末１は、通信制限が実施される。
【実施例２】
【００２８】
図４は、本発明の第２の実施例のシステム構成を示す。クライアント端末１は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフト５がインストールされているエージェント端末である。クライアント端末２は、パーソナルコンピュータ等の情報処理装置であり、エージェントソフトがインストールされていない。
【００２９】
エージェントソフト５は、クライアント端末等の情報処理装置にインストールされるプログラムであり、ネットワーク上に自身の存在通知パケットを送信する機能を備えている。
【００３０】
管理コンソール４は、複数の不正接続防止装置を制御するコンソールであり、コンソール上に設定されたエージェントソフト５を不正接続防止装置３に送信する機能を備えている。
【００３１】
クライアント端末２がネットワーク６に接続されると、ネットワーク６上にパケットが流れる。
【００３２】
不正接続防止装置３は、ネットワーク６を流れるパケットをモニタリングしており、クライアント端末２からのパケットによりクライアント端末２がネットワーク６に接続されたことを検知する。不正接続防止装置３は、クライアント端末２がネットワーク６に接続されたことを検知すると、クライアント端末２からの存在通知パケットを待つ。クライアント端末２には、エージェントソフトはインストールされていないため、ネットワーク６上にクライアント端末２からの存在通知パケットは送信されない。不正接続防止装置３は、クライアント端末２からの存在通知パケットが所定時間内にネットワーク６上に送信されないことを検知し、管理コンソール４から受信したエージェントソフト５をクライアント端末２に送信する。クライアント端末２は、受信したエージェントソフト５をインストールする。
【００３３】
このように、エージェントソフトがインストールされていない端末を検知し、その端末に必要なエージェントソフトを送信して、インストールさせることができる。
【産業上の利用可能性】
【００３４】
社内のネットワークに、社員が個人用のコンピュータを接続することによる、当該コンピュータからのウイルスの蔓延を防止したい場合や、必要なセキュリティポリシーを満たしていない端末からのウイルス蔓延を防止したい場合に利用することが可能である。
【図面の簡単な説明】
【００３５】
【図１】第１の実施例のシステム構成図である。
【図２】第１の実施例の動作を説明するシーケンス図である。
【図３】第１の実施例の動作を説明するシーケンス図である。
【図４】第２の実施例のシステム構成図である。
【符号の説明】
【００３６】
１  クライアント端末（エージェント端末）
２  クライアント端末
３  不正接続防止装置
４  管理コンソール
５  エージェントソフト
６  ネットワーク
７  ポリシー
【図１】
2007251772.tif 000003
【図２】
2007251772.tif 000004
【図３】
2007251772.tif 000005
【図４】
2007251772.tif 000006