(57)【要約】【課題】セキュリティの確保、導入コストの低減、および運用負担の軽減を図り得る、検疫管理装置、検疫システム、検疫管理方法、およびプログラムを提供する。【解決手段】ＬＡＮ２に接続されるＰＣ３及び７を検疫するため、検疫管理装置１は、ＰＣ３及び７からのＡＲＰ要求を検知すると、ＰＣ３及び７に重複応答を送信し、検疫管理装置１との通信のため、物理的及び論理的に単一のリンク上での通信のみを可能にするリンクローカルアドレスを取得させるアクセス制御部１１と、リンクローカルアドレス介して、ＰＣ３及び７が、ＬＡＮ２を保護するための検疫エージェント５を導入しているかどうかを判定し、判定の結果、導入している場合に、セキュリティポリシーの適合の可否の確認を行うセキュリティポリシー確認部１２とを備えている。アクセス制御部１１は、セキュリティポリシーが適合している場合に、ＰＣに対してＩＰアドレスの取得を許可する。【選択図】図１
2012199758.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続される端末装置を検疫するための検疫管理装置であって、
前記端末装置からのＡＲＰ要求を検知すると、前記端末装置に重複応答を送信して、当該検疫管理装置との通信のために、物理的及び論理的に単一のリンク上での通信のみを可能にするリンクローカルアドレスを取得させる、アクセス制御部と、
前記リンクローカルアドレスを介して、前記リンクローカルアドレスを取得した前記端末装置が、前記ネットワークを保護するためのエージェントプログラムを導入しているかどうかを判定し、判定の結果、導入している場合に、セキュリティポリシーの適合の可否の確認を行う、セキュリティポリシー確認部と、
を備え、
前記アクセス制御は、前記セキュリティポリシーが適合している場合に、前記端末装置に対して、ＩＰアドレスの取得を許可する、ことを特徴とする検疫管理装置。
【請求項２】
前記ネットワークが、ＩＰｖ４を用いたネットワークであり、
前記アクセス制御部が、前記端末装置に、ＩＰｖ４で規定されたリンクローカルアドレスを取得させる、請求項１に記載の検疫管理装置。
【請求項３】
前記アクセス制御部が、前記端末装置からのＡＲＰ要求を検知した場合に、前記端末装置が予め登録されているかどうかと、前記ＡＲＰ要求の送信元のアドレスが前記リンクローカルアドレスの範囲内であるかどうかとを判定し、判定の結果、予め登録されておらず、且つ、範囲内でない場合に、前記端末装置に、前記重複応答を送信する、
請求項１または２に記載の検疫管理装置。
【請求項４】
ネットワークに接続される端末装置と、前記端末装置を検疫するための検疫管理装置とを備え、
前記検疫管理装置は、
前記端末装置からのＡＲＰ要求を検知すると、前記端末装置に重複応答を送信して、当該検疫管理装置との通信のために、物理的及び論理的に単一のリンク上での通信のみを可能にするリンクローカルアドレスを取得させ、そして、
前記端末装置が、前記リンクローカルアドレスから、前記ネットワークを保護するためのエージェントプログラムを導入している旨を通知すると、前記端末装置に、セキュリティポリシーの適合の可否の確認を行い、
前記セキュリティポリシーが適合している場合に、前記端末装置に対して、ＩＰアドレスの取得を許可する、
ことを特徴とする検疫システム。
【請求項５】
ネットワークに接続される端末装置を検疫するための方法であって、
（ａ）前記端末装置からのＡＲＰ要求を検知すると、前記端末装置に重複応答を送信して、物理的及び論理的に単一のリンク上での通信のみを可能にするリンクローカルアドレスを取得させる、ステップと、
（ｂ）前記リンクローカルアドレスを介して、前記リンクローカルアドレスを取得した前記端末装置が、前記ネットワークを保護するためのエージェントプログラムを導入しているかどうかを判定し、判定の結果、導入している場合に、セキュリティポリシーの適合の可否の確認を行う、ステップと、
（ｃ）前記セキュリティポリシーが適合している場合に、前記端末装置に対して、ＩＰアドレスの取得を許可する、ステップと、
を有することを特徴とする検疫管理方法。
【請求項６】
前記ネットワークが、ＩＰｖ４を用いたネットワークであり、
前記（ａ）のステップで、ＩＰｖ４で規定されたリンクローカルアドレスを取得させる、請求項５に記載の検疫管理方法。
【請求項７】
前記（ａ）のステップで、前記端末装置からのＡＲＰ要求を検知した場合に、前記端末装置が予め登録されているかどうかと、前記ＡＲＰ要求の送信元のアドレスが前記リンクローカルアドレスの範囲内であるかどうかとを判定し、判定の結果、予め登録されておらず、且つ、範囲内でない場合に、前記端末装置に、前記重複応答を送信する、
請求項５または６に記載の検疫管理方法。
【請求項８】
コンピュータによって、ネットワークに接続される端末装置を検疫するためのプログラムであって、
前記コンピュータに、
（ａ）前記端末装置からのＡＲＰ要求を検知すると、前記端末装置に重複応答を送信して、前記コンピュータとの通信のために、物理的及び論理的に単一のリンク上での通信のみを可能にするリンクローカルアドレスを取得させる、ステップと、
（ｂ）前記リンクローカルアドレスを介して、前記リンクローカルアドレスを取得した前記端末装置が、前記ネットワークを保護するためのエージェントプログラムを導入しているかどうかを判定し、判定の結果、導入している場合に、セキュリティポリシーの適合の可否の確認を行う、ステップと、
（ｃ）前記セキュリティポリシーが適合している場合に、前記端末装置に対して、ＩＰアドレスの取得を許可する、ステップと、
を実行させるプログラム。
【請求項９】
前記ネットワークが、ＩＰｖ４を用いたネットワークであり、
前記（ａ）のステップで、ＩＰｖ４で規定されたリンクローカルアドレスを取得させる、請求項８に記載のプログラム。
【請求項１０】
前記（ａ）のステップで、前記端末装置からのＡＲＰ要求を検知した場合に、前記端末装置が予め登録されているかどうかと、前記ＡＲＰ要求の送信元のアドレスが前記リンクローカルアドレスの範囲内であるかどうかとを判定し、判定の結果、予め登録されておらず、且つ、範囲内でない場合に、前記端末装置に、前記重複応答を送信する、
請求項８または９に記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検疫管理装置、検疫システム、検疫管理方法、およびプログラムに関する。
【背景技術】
【０００２】
近年、ＩＰｖ４のプロトコルが動作するコンピュータネットワークが、企業、団体などにおいて、組織内のローカルエリアネットワーク（以下、ＬＡＮと略す）として利用されている。この場合、ＬＡＮにパーソナルコンピュータ（以下、ＰＣと略す）を接続するという行為に対しては、大きく２つのセキュリティリスクが考えられる。
【０００３】
ひとつ目としては、組織内の情報を盗もうとする者が、故意にＬＡＮに侵入するための手段として許可されていないＰＣをＬＡＮに接続するというセキュリティリスクが挙げられる。ふたつ目としては、ＰＣのオペレーティングソフトウェア（以下、「ＯＳ」と略す。）、企業の業務または団体活動に用いるソフトウェアプログラム（以下、「ソフトウェア」と略す。）のセキュリティ上の問題点を修正するソフトウェア（以下、「パッチ」と略す。）がＰＣに適用されていないことによるセキュリティリスクが挙げられる。
【０００４】
ふたつ目のセキュリティリスクが引き起こす問題としては、コンピュータウイルスへの感染、それによる他のＰＣへの伝染が挙げられる。また、コンピュータウイルスへの感染が生じた場合は、ＰＣを用いた企業の業務または団体活動が困難になったり、組織内部の情報が外部に漏洩したり、加えて、これらの被害が他の企業または団体に広がったり、と更なる問題が生じてしまう。
【０００５】
これらのセキュリティリスクへの対策として、組織から許可されていないＰＣをＬＡＮに接続させない、パッチの適用されていないＰＣをＬＡＮに接続させないという制御が必要である。具体的には、ＰＣをＬＡＮに接続する際に、ポリシー確認を行い、そのポリシー確認で条件に適合したか、不適合であったかによりＰＣの接続が制御される。このような制御は、「ネットワーク検疫」、または単に「検疫」と呼ばれることがある。また、ＰＣがポリシー確認で不適合である場合に、このＰＣをパッチの適用などの目的で接続させるネットワークが存在しており、このようなネットワークは、「検疫ネットワーク」と呼ばれる。
【０００６】
ここで、ネットワーク検疫の具体的な方法について、以下に、主な４つの検疫方法を挙げて簡単に説明する。
【０００７】
（１）ＤＨＣＰ認証による検疫方法
ＤＨＣＰ（Dynamic Host Configuration Protocol）とは、ＩＥＴＦ（登録商標）  ＲＦＣ２１３１（非特許文献１参照）によって定められている規則であり、設定情報をＴＣＰ／ＩＰネットワーク上のホストに対して渡すための枠組みを提供する。また、ＤＨＣＰを用いることにより、再利用可能なネットワークアドレスを自動で割り当てることが可能となる。
【０００８】
ＤＨＣＰ認証による検疫方法では、まず、ＤＨＣＰにてネットワークアドレスを自動で割り当てる際に、ネットワークアドレスの要求があったＰＣに、仮のＩＰアドレスが割り当てられる。次に、ポリシー確認が行われ、そのポリシー確認の結果に基づいて、当該ＰＣの接続が制御される。
【０００９】
（２）８０２．１Ｘ認証による検疫方法
８０２．１Ｘ（非特許文献２参照）とは、ネットワークアクセスポイントのポートに基づき接続を制御する方法であり、８０２．１Ｘでは、オーセンティケータ、サプリカント、認証サーバと呼ばれる要素が用いられる。
【００１０】
ネットワークアクセスポイントは、ＬＡＮスイッチ、無線ＬＡＮアクセスポイントなどである。オーセンティケータは、ＬＡＮに接続される他機器の認証を助けるネットワークアクセスポイントである。サプリカントとは、ＬＡＮに物理的に接続され、オーセンティケータによる認証を要求する要素である。認証サーバは、Ｄｉａｍｅｔｅｒ（非特許文献３参照）またはＲＡＤＩＵＳ（非特許文献４参照）といったプロトコルに基づいて、認証サービスをオーセンティケータに提供する要素である。
【００１１】
８０２．１Ｘ認証による検疫方法では、まず、８０２．１Ｘ認証が行われる際に、ポリシー確認が行われ、適合した場合は業務用のＶＬＡＮにＰＣが接続される。一方、不適合の場合は、検疫ネットワーク用のＶＬＡＮにＰＣが接続される。
【００１２】
（３）パーソナルファイアウォールによる検疫方法
ＬＡＮからＰＣへの侵入を目的としたアクセス及びＰＣとＬＡＮとの通信を、検知、遮断、及び制御する目的で、ＯＳに組み込まれている、またはＰＣに導入されている「パーソナルファイアウォール」と呼ばれるソフトウェアが、使用される。
【００１３】
パーソナルファイアウォールによる検疫方法では、まず、検疫エージェントと呼ばれるソフトウェアがＰＣに導入される。そして、ＰＣがＬＡＮに接続されると、検疫エージェントによりポリシー確認が行われ、適合した場合はＰＣがＬＡＮに接続される。一方、不適合である場合は、パーソナルファイアウォールを用いて通信が制御され、ＰＣはＬＡＮに接続できない状態とされる。
【００１４】
なお、検疫エージェントが未導入のＰＣ（以下、未導入ＰＣと略す）がある場合、それ以外の各ＰＣが、未導入ＰＣに対するパーソナルファイアウォールの通信制御の設定を共有するため、未導入ＰＣとの通信を行わないという動作が実現される。
【００１５】
（４）検疫ゲートウェイによる検疫方法
管理対象となるＬＡＮは、通常、内部ネットワークと外部ネットワークとに分けられる。そして、内部ネットワークと外部ネットワークとの中継地点に配置され、トランスポート層以上で転送処理をしたり、プロトコルを変換したりする機器はゲートウェイ（非特許文献７参照）と呼ばれている。また、端末のセキュリティポリシーへの適合可否に応じて通信の制御を行うファイアウォールをゲートウェイに導入することにより、「検疫ゲートウェイ」が構築される。
【００１６】
検疫ゲートウェイによる検疫方法では、まず、内部ネットワークは、ＰＣが物理的に接続できない場所に配置されて保護されているため、内部ネットワークを利用したいＰＣは外部ネットワークに物理的に接続される。続いて、検疫エージェントが導入されているＰＣは、検疫エージェントによるポリシー確認を受ける。
【００１７】
そして、ポリシー確認に適合したＰＣは、検疫エージェントから検疫ゲートウェイに通信を行い、当該ＰＣが有するネットワークアドレスを、通信が許可されるネットワークアドレスとして検疫ゲートウェイのファイアウォールに登録するなどする。この後、検疫ゲートウェイは、ＰＣと内部ネットワークとの接続を可能にする。
【００１８】
一方、ポリシー確認に不適合であったＰＣが、内部ネットワークに接続しようとした場合は、検疫ゲートウェイにより、その通信が制御され、内部ネットワークはセキュリティリスクから保護されることになる。
【００１９】
また、ネットワーク検疫を実現するため、種々のシステムが提案されている（特許文献１〜３参照）。具体的には、特許文献１は、許可されていないＰＣをＬＡＮに接続されないようにする不正接続防止システムを開示している。まず、ＰＣは、固定ＩＰアドレスの設定であれ、ＤＨＣＰによるＩＰアドレスの割り当てであれ、ＩＰアドレスを設定する段階において、ＩＰアドレスの重複確認のためGratuitous ARPと呼ばれるＡＲＰ（Address Resolution Protocol」：非特許文献５参照）のパケットを発信する。このことは、「IPv4アドレスの衝突検出」（非特許文献６）にて規定されている。
【００２０】
そして、ＰＣが、固定ＩＰアドレスの設定、ＤＨＣＰによるＩＰアドレスの割り当てで、ＩＰアドレスを設定することを阻止する方法としては、ＰＣからのＡＲＰ要求パケットに対して、偽りのＭＡＣ（Media Access Control）アドレスを有するＡＲＰ応答パケット（以下、「偽装ＡＲＰ応答」とする）を送信する方法が考えられる。特許文献１に開示された不正接続防止システムでは、この方法を採用する。
【００２１】
一方、ＬＡＮへの接続が承認されたＰＣに対しては、特許文献１に開示された不正接続防止システムは、そのＰＣのＭＡＣアドレスを記憶する承認リスト記憶部を参照することによって、偽装ＡＲＰ応答を送信しないように動作する。
【００２２】
また、特許文献２は、設定されたポリシーを満たしていない端末のネットワークへのアクセス制限を実施する不正接続防止システムを開示している。特許文献２に開示された不正接続防止システムは、ＭＡＣアドレス、ＩＰアドレス等で許可されたクライアント端末以外をネットワークに接続させないアクセス制限を実施する、従来の不正接続防止システム（特許文献１に開示されたシステムを含む）における問題を解決している。
【００２３】
つまり、従来の不正接続防止装置では、ＭＡＣアドレス、ＩＰアドレス等で許可されたクライアント端末であれば、必要なエージェントソフトがインストールされていなくても、ネットワークに接続できる点、ＭＡＣアドレス、ＩＰアドレス等で許可されたクライアント端末であれば、必要なエージェントソフトをアンインストールしても、ネットワークに接続できてしまう点が問題となっている。
【００２４】
特許文献２に開示された不正接続防止システムは、クライアントに必要なエージェントソフトがインストールされていない端末を検知し、必要なエージェントソフトがインストールされていない端末のネットワークへのアクセス制限を実施する。さらに、特許文献２に開示された不正接続防止システムは、クライアントに必要なエージェントソフトがインストールされている端末でも、設定されたポリシーを満たしていない端末に対しては、ネットワークへのアクセス制限を実施する。
【００２５】
特許文献３は、認証装置、認証サーバ、およびＤＨＣＰサーバの連携によって検疫を行う検疫システムを開示している。特許文献３において、認証装置は、クライアント端末のネットワークへの接続を検知し、エージェントソフトがインストールされていないクライアント端末については、ゲストネットワークに接続される。また、認証装置は、エージェントソフトがインストールされている端末については、検疫ネットワークに接続させる。
【００２６】
特許文献３に開示された検疫システムによれば、コンピュータウイルスに感染している可能性のあるクライアント端末を、ある一定時間の間、ユーザネットワークに接続させないことが実現される。また、認証装置においては、８０２．１Ｘのプロトコルを用いることができるので、認証装置は、認証サーバとクライアント端末との仲立ちを行うことができる。また、認証装置は、ＤＨＣＰサーバへの指示により、ゲストネットワーク、検疫ネットワーク、ユーザネットワークのＩＰアドレスの払い出しを行うこともできる。
【先行技術文献】
【特許文献】
【００２７】
【特許文献１】特許第４１７４３９２号公報（第１９頁、第２図）
【特許文献２】特許第４４３７７９７号公報（第３頁）
【特許文献３】特許第４５２４２８８号公報（第１頁、第２頁、第６頁、第１図）
【非特許文献】
【００２８】
【非特許文献１】“IETF（Internet Engineering Task Force） RFC2131”、[online]、1997年3月、Dynamic Host Configuration Protocol、［2010年10月28日検索］、インターネット<URL:http://tools.ietf.org/html/rfc2131>
【非特許文献２】“IEEE Standard for Local and metropolitan area networks―Port-Based Network Access Control”、pp.1,6-9、[online]、2010年2月、IEEE Std 802.1X(TM)-2010 (Revision of IEEE Std 802.1X-2004)、［2010年10月28日検索］、インターネット<URL:http://standards.ieee.org/getieee802/download/802.1X-2010.pdf>
【非特許文献３】“IETF RFC 3588”、[online]、2003年9月、Diameter Base Protocol、［2010年10月28日検索］、インターネット<URL:http://tools.ietf.org/html/rfc3588>
【非特許文献４】“IETF RFC 2865”、[online]、2000年6月、Remote Authentication Dial In User Service (RADIUS) 、［2010年10月28日検索］、インターネット<URL:http://tools.ietf.org/html/rfc2865>
【非特許文献５】“IETF RFC 826”、[online]、1982年11月、An Ethernet Address Resolution Protocol、［2010年10月28日検索］、インターネット<URL:http://tools.ietf.org/html/rfc826>
【非特許文献６】“IETF RFC 5227” 、[online]、2008年7月、IPv4 Address Conflict Detection、［2010年10月28日検索］、インターネット<URL:http://tools.ietf.org/html/rfc5227>
【非特許文献７】竹下隆史、村山公保、荒井透、苅田幸雄著、「マスタリングTCP/IP 入門編 第3版」、第3版第4刷、オーム社、平成14年5月10日、pp.45-46
【発明の概要】
【発明が解決しようとする課題】
【００２９】
上述した４つの検疫方法は、導入する側の要望および事情などに応じて、適宜選択されて利用される。また、これらの検疫方法に対して、特許文献１〜３に開示されたシステムが、組み合わされ、実際のネットワーク検疫が行われて場合もある。
【００３０】
しかしながら、４つの検疫方法および特許文献１〜３に開示されたシステムを用いた場合には、セキュリティの確保が十分でないという問題、導入コストを低減できないという問題、および運用負担が大きいという問題が発生する。以下に説明する。
【００３１】
［ＤＨＣＰ認証による検疫方法］、
ＤＨＣＰ認証による検疫方法では、ＰＣに対してＩＰアドレスが固定ＩＰアドレスで設定されている場合に、検疫を実行することができず、ＬＡＮへの接続が可能となるため、セキュリティの確保が図られないという問題が発生している。
【００３２】
また、固定ＩＰアドレスによる接続を防止するためには、ＤＨＣＰスヌーピングと呼ばれる機能を持ったネットワークスイッチを導入するなどの措置が考えられるが、この場合は、別途導入費用がかかり、導入コストが増加してしまう。
【００３３】
また、ＤＨＣＰスヌーピングを利用する場合は、そのネットワークスイッチにtrustedポートの設定が必要となり、また、通信を遮断できるのはネットワークスイッチのポートにおいてである。このため、ＰＣ間で高いセキュリティ性を確保するためには、ＰＣが接続される末端のネットワークスイッチがＤＨＣＰスヌーピングに対応していることが必要となり、この点からも導入コストが増加してしまう。
【００３４】
また、固定ＩＰアドレスを遮断する目的でＤＨＣＰスヌーピングが利用されている環境で、例外的に、固定ＩＰアドレスを利用可能な端末を配置することは、実際には、運用上困難と考えられる。さらに、ＤＨＣＰ認証による検疫方法では、接続を求めるＰＣに検疫ネットワーク用の仮のＩＰアドレスを割り当てるが、この処理を行うためには、ネットワーク管理者があらかじめ仮のＩＰアドレスを定めて、ＤＨＣＰサーバに設定する必要があり、運用負担が大きくなってしまう。
【００３５】
［８０２．１Ｘ認証による検疫方法］
８０２．１Ｘ認証による検疫方法を実行するためには、８０２．１Ｘに対応したＲＡＤＩＵＳ等の認証サーバ、および８０２．１Ｘ認証に対応した機器を導入する必要がある。従って、それら機器を保有していない企業等では、機器の入れ替えが必要となり、導入コストがかかるという問題が発生する。
【００３６】
また、８０２．１Ｘ認証は、ポート単位で行われる。このため、認証が完了したサプリカントとポートとの間にリピータハブまたは無線ＬＡＮアクセスポイントなどが存在すると、それらに接続される他のＰＣからポートを越えてＬＡＮへの接続が可能になり、セキュリティの確保が図れないという問題も発生する。この問題は、ＭＡＣアドレスによる接続の制御を行うなどによって対処可能とも考えられるが、この場合は導入コストおよび運用の手間が増加してしまう。
【００３７】
また、８０２．１Ｘ認証による検疫方法を実行するためには、ネットワーク管理者があらかじめ検疫ネットワーク用のＶＬＡＮを定めて、これを機器に設定する必要があり、この点で運用負担が大きくなっている。また、同様に、特許文献３に開示された検疫システムでは、ネットワーク管理者は、ゲストネットワークを設定する必要があり、特許文献３に開示された検疫システムにおいても運用負担は大きいと言える。
【００３８】
［パーソナルファイアウォールによる検疫方法］
パーソナルファイアウォールによる検疫方法では、検疫エージェントが未導入のＰＣに対するパーソナルファイアウォールの通信制御の設定が、導入済みの他のＰＣと共有された時点より、未導入のＰＣは、導入済みの他のＰＣと通信できなくなる。このため、長時間にわたり未導入のＰＣがＬＡＮに接続されることはない。
【００３９】
しかしながら、未導入のＰＣは、一時的ではあるが、ネットワークに接続できるため、セキュリティの確保が十分でないという問題が発生する。また、このことは、特許文献２に開示された不正接続防止システムにおいても同様である。
【００４０】
［検疫ゲートウェイによる検疫方法］
検疫ゲートウェイを設けて通信を制御するため、複数のゲートウェイを設ける必要があるＬＡＮに適用しようとすると、設定が煩雑になり、運用に手間がかかるという問題が発生する。また、内部ネットワークに接続を許可されたＰＣが、接続を許可されていないＰＣと同じ外部ネットワークに恒久的に存在し、それらが互いに通信可能な状況となることがある。このような状況下では、内部ネットワークに接続を許可されたＰＣが、接続を許可されていないＰＣから、情報セキュリティに関する攻撃を受けやすく、セキュリティの確保が十分でないという問題が発生する。
【００４１】
本発明の目的の一例は、上記問題を解消し、セキュリティの確保、導入コストの低減、および運用負担の軽減を図り得る、検疫管理装置、検疫システム、検疫管理方法、およびプログラムを提供することにある。
【課題を解決するための手段】
【００４２】
上記目的を達成するため、本発明の一側面における検疫管理装置は、ネットワークに接続される端末装置を検疫するための検疫管理装置であって、
前記端末装置からのＡＲＰ要求を検知すると、前記端末装置に重複応答を送信して、当該検疫管理装置との通信のために、物理的及び論理的に単一のリンク上での通信のみを可能にするリンクローカルアドレスを取得させる、アクセス制御部と、
前記リンクローカルアドレスを介して、前記リンクローカルアドレスを取得した前記端末装置が、前記ネットワークを保護するためのエージェントプログラムを導入しているかどうかを判定し、判定の結果、導入している場合に、セキュリティポリシーの適合の可否の確認を行う、セキュリティポリシー確認部と、
を備え、
前記アクセス制御は、前記セキュリティポリシーが適合している場合に、前記端末装置に対して、ＩＰアドレスの取得を許可する、ことを特徴とする。
【００４３】
上記目的を達成するため、本発明の一側面における検疫システムは、ネットワークに接続される端末装置と、前記端末装置を検疫するための検疫管理装置とを備え、
前記検疫管理装置は、
前記端末装置からのＡＲＰ要求を検知すると、前記端末装置に重複応答を送信して、当該検疫管理装置との通信のために、物理的及び論理的に単一のリンク上での通信のみを可能にするリンクローカルアドレスを取得させ、そして、
前記端末装置が、前記リンクローカルアドレスから、前記ネットワークを保護するためのエージェントプログラムを導入している旨を通知すると、前記端末装置に、セキュリティポリシーの適合の可否の確認を行い、
前記セキュリティポリシーが適合している場合に、前記端末装置に対して、ＩＰアドレスの取得を許可する、
ことを特徴とする。
【００４４】
また、上記目的を達成するため、本発明の一側面における検疫管理方法は、ネットワークに接続される端末装置を検疫するための方法であって、
（ａ）前記端末装置からのＡＲＰ要求を検知すると、前記端末装置に重複応答を送信して、物理的及び論理的に単一のリンク上での通信のみを可能にするリンクローカルアドレスを取得させる、ステップと、
（ｂ）前記リンクローカルアドレスを介して、前記リンクローカルアドレスを取得した前記端末装置が、前記ネットワークを保護するためのエージェントプログラムを導入しているかどうかを判定し、判定の結果、導入している場合に、セキュリティポリシーの適合の可否の確認を行う、ステップと、
（ｃ）前記セキュリティポリシーが適合している場合に、前記端末装置に対して、ＩＰアドレスの取得を許可する、ステップと、
を有することを特徴とする。
【００４５】
更に、上記目的を達成するため、本発明の一側面におけるプログラムは、コンピュータによって、ネットワークに接続される端末装置を検疫するためのプログラムであって、
前記コンピュータに、
（ａ）前記端末装置からのＡＲＰ要求を検知すると、前記端末装置に重複応答を送信して、前記コンピュータとの通信のために、物理的及び論理的に単一のリンク上での通信のみを可能にするリンクローカルアドレスを取得させる、ステップと、
（ｂ）前記リンクローカルアドレスを介して、前記リンクローカルアドレスを取得した前記端末装置が、前記ネットワークを保護するためのエージェントプログラムを導入しているかどうかを判定し、判定の結果、導入している場合に、セキュリティポリシーの適合の可否の確認を行う、ステップと、
（ｃ）前記セキュリティポリシーが適合している場合に、前記端末装置に対して、ＩＰアドレスの取得を許可する、ステップと、
を実行させることを特徴とする。
【発明の効果】
【００４６】
以上のように、本発明における、検疫管理装置、検疫システム、検疫管理方法、およびプログラムによれば、セキュリティの確保、導入コストの低減、および運用負担の軽減を図ることができる。
【図面の簡単な説明】
【００４７】
【図１】図１は、本発明の実施の形態における検疫システム及び検疫管理装置の構成を示すブロック図である。
【図２】図２は、本発明の実施の形態における検疫管理装置の動作を示すフロー図である。
【図３】図３は、本発明の実施の形態において検疫対象となる端末装置の動作を示すフロー図である。
【図４】図４は、本発明の実施の形態における検疫システムの動作を示すシーケンス図であり、端末装置に検疫エージェントが導入されている場合を示している。
【図５】図５は、本発明の実施の形態における検疫システムの動作を示すシーケンス図であり、端末装置に検疫エージェントが導入されていない場合を示している。
【図６】図６は、本発明の実施の形態における検疫管理装置を実現するコンピュータの一例を示すブロック図である。
【発明を実施するための形態】
【００４８】
（発明の概要）
ＰＣなどの端末装置は、ＩＰｖ４を用いたローカルエリアネットワークであるＬＡＮに、接続されると、まず、固定値（以下、固定ＩＰアドレスと呼ぶ）によるＩＰアドレスの設定、または、ＤＨＣＰによるＩＰアドレスの割り当てを行うため、ＡＲＰ要求を発信する。
【００４９】
本発明における検疫管理装置は、ＡＲＰ要求を受信すると、予め識別情報が登録されている端末からの要求かどうかを判定し、登録されていない端末からの要求の場合は、通信制限を行うため、端末にリンクローカルアドレス（以下、ＬＬアドレスと略す）を設定させる。
【００５０】
ここで、ＩＰｖ４における「ＬＬアドレス」とは、169.254.0.0/16で表記（ＣＩＤＲ表記）される範囲のアドレス（参照文献１）のことである。「ＩＰｖ４リンクローカルアドレスの割り当ての方法（参照文献２）」には、ＤＨＣＰサーバが見つからない等、ＩＰアドレスの設定主体が存在しない状況で、ＰＣが自発的に169.254.1.0 〜 169.254.254.255 の範囲からランダムにＩＰアドレスを選び、ＰＣ自身に割り当てることができると、定義されている。
［参照文献１］
“IETF RFC 3330”、pp.2-3、2002年9月、Special-Use IPv4 Addresses、<URL:http://tools.ietf.org/html/rfc3330>
［参考文献２］
“IETF RFC 3927”、2005年5月、Dynamic Configuration of IPv4 Link-Local Addresses、<URL:http://tools.ietf.org/html/rfc3927>
【００５１】
そして、検疫管理装置は、ＬＬアドレスが設定された端末装置に対して、ＬＬアドレスを介して、検疫エージェンの有無を確認する。確認の結果、端末装置に検疫エージェントが導入されている場合は、検疫管理装置は、端末装置に、セキュリティポリシーに関する情報を送信する。
【００５２】
情報を受信した端末装置は、受信した情報に基づいて、例えば、ＬＡＮへの接続許可を取得するための正当性があるかどうか、パッチが適用されているかどうか、ウイルス対策ソフトに最新のパターンファイルが適用されているかどうか、といった条件を確認する。続いて、条件の確認（以下、「ポリシー確認」と呼ぶ。）が終了すると、端末装置は、ポリシー確認の結果を検疫管理装置に応答する。
【００５３】
応答を受けた検疫管理装置は、応答を行った端末装置の識別情報を登録する。その後、端末装置は、再度、固定ＩＰアドレスの設定及びＤＨＣＰによるＩＰアドレスの割り当てを行う。この場合も、検疫管理装置は、端末装置からＡＲＰ要求を受信するが、今回は、識別情報が登録されているため、端末装置の通信制限を行うことはない。結果、端末装置は、ＬＡＮを利用するためのグローバルＩＰアドレス、またはプライベートＩＰアドレスを取得することができる。
【００５４】
また、ＬＡＮに接続してきた端末装置に検疫エージェントが導入されていない場合も、検疫管理装置は、そのＡＲＰ要求を受信すると、識別情報が登録されていないため、この端末装置にＬＬアドレスを設定させる。但し、この場合は、端末装置に検疫エージェントが導入されていないので、検疫管理装置が、端末装置にセキュリティポリシーに関する情報を送信することはない。結果、端末装置は、固定ＩＰアドレスの設定またはＤＨＣＰによるＩＰアドレスの割り当てを行なえず、この端末装置と、ＩＰアドレスを取得した端末装置との通信は遮断される。
【００５５】
このように、本発明では、ＩＰｖ４のＬＬアドレスが、プライベートアドレスと異なり、単一のＬＡＮ内での通信には使えるが、ルーティングができないという性質を利用してセキュリティの確保が図られている。つまり、本発明では、ＬＬアドレスを持つ端末装置が、ルーターを越えて別のサーバまたはＰＣなどの機器に接続することはできないという性質を利用する。そして、検疫ネットワークとしてリンクローカルアドレスを用いることで、企業の業務、および団体活動で用いるＬＡＮを、検疫ネットワークから保護している。
【００５６】
（実施の形態）
以下、本発明の実施の形態における、検疫システム、検疫管理装置、検疫管理方法、及びプログラムについて、図１〜図５を参照しながら説明する。
【００５７】
［システム構成及び装置構成］
最初に、本発明の実施の施の形態における検疫システム１０および検疫管理装置１の構成について説明する。図１は、本発明の実施の形態における検疫システム及び検疫管理装置の構成を示すブロック図である。
【００５８】
図１に示すように、本実施の形態１における検疫システム１０は、ネットワーク２に接続される端末装置３および７と、これら端末装置を検疫するための検疫管理装置１とを備えている。ネットワーク２は、ローカルエリアネットワークであり、以下「ＬＡＮ」２と表記する。検疫管理装置１、端末装置３および７は、ＬＡＮ２に接続される。また、本実施の形態では、ＬＡＮ２は、ＩＰｖ４を用いたネットワークである。さらに、ＬＡＮ２は、通信機器８を介して外部ネットワーク９に接続されている。
【００５９】
端末装置３および７は、本実施の形態では、ＰＣである。以下、それぞれ、「ＰＣ」３、「ＰＣ」７と表記する。また、図１に示されているＰＣのうち、ＰＣ３には、ＬＡＮ２を保護するためのエージェントプログラム（以下「検疫エージェント」とする。）５が導入されているとする。一方、ＰＣ７には、検疫エージェントは導入されていないとする。
【００６０】
検疫エージェント５は、検疫管理装置１から、セキュリティポリシーを規定する条件情報を受信すると、ＰＣがセキュリティポリシーに適合しているかどうかを確認し、適合の可否を応答する。また、検疫エージェント５は、導入されている場合は、その存在を応答する機能も有している。さらに、検疫エージェント５は、ＰＣに対してＩＰアドレスの再設定を指示する機能も有している。
【００６１】
通信機器８は、ＬＡＮ２と外部ネットワーク９との中継点となるルーターなどのネットワーク機器である。また、通信機器８は、ＬＬアドレスからの通信をＬＡＮ２の外部にルーティングしない機能と、ＬＬアドレスからの通信をＬＡＮ２の内部の異なるサブネットにルーティングしない機能とを有する。
【００６２】
また、図１に示すように、検疫管理装置１は、主に、アクセス制御部１１と、セキュリティポリシー確認部１２とを備えている。アクセス制御部１１は、ＰＣからのＡＲＰ要求を検知すると、ＰＣに重複応答を送信して、検疫管理装置１との通信のために、ＬＬアドレスを取得させる。ＬＬアドレスは、物理的及び論理的に単一のリンク上にある、サーバ、端末、機器等との通信のみを可能にするアドレスであり、本実施の形態では、ＩＰｖ４で規定されたリンクローカルアドレスである。
【００６３】
セキュリティポリシー確認部１２は、ＬＬアドレスを介して、ＬＬアドレスを取得したＰＣが、検疫エージェント５を導入しているかどうかを判定し、判定の結果、導入している場合に、セキュリティポリシーの適合の可否の確認を行う。また、セキュリティポリシー確認部１２は、確認の結果をアクセス制御部１１に通知する。
【００６４】
そして、アクセス制御部１１は、セキュリティポリシーが適合していると通知された場合は、ＰＣに対して、ＩＰアドレスの取得を許可する。一方、アクセス制御部１１は、セキュリティポリシーが適合していないと通知された場合は、ＰＣに対して、ＩＰアドレスの取得を許可しない。
【００６５】
このように、本実施の形態では、ＬＡＮ２に接続しようとするＰＣは、固定ＩＰアドレスの設定、およびＤＨＣＰによるＩＰアドレスの割り当てのいずれを行うにせよ、検疫管理装置１によって、ＬＬアドレスにより構成されるサブネットに接続される。このため、ＬＡＮ２におけるセキュリティが確実に確保される。また、検疫管理装置１のみをネットワーク上に構築するだけでよく、導入コストの低減が図られる。さらに、ネットワーク管理者が手動で設定しなければならない項目はなく、運用負担の軽減も図られる。
【００６６】
また、本実施の形態では、検疫管理装置１は、アクセス制御部１１およびセキュリティポリシー確認部１２に加えて、ネットワークインタフェース１３および１４と、承認リスト記憶部４と、ポリシー記憶部６とを備えている。
【００６７】
ネットワークインタフェース１３は、ＬＬアドレスとの通信に利用される。一方、ネットワークインタフェース１４は、ＬＡＮ２への接続が許可されているＰＣ等の端末装置との通信に利用される。ネットワークインタフェース１４には、ルーティング可能なＩＰアドレスが付与されている。
【００６８】
ポリシー記憶部６は、セキュリティポリシーを規定する条件情報を格納している。本実施の形態では、セキュリティポリシー確認部１２は、ポリシー記憶部６に格納されている条件情報をＰＣに送信し、ＰＣの検疫エージェント５にセキュリティポリシーに適合しているかどうかを判定させる。また、セキュリティポリシー確認部１２は、判定結果を受信し、それに基づいて、セキュリティポリシーの適合の可否を確認する。
【００６９】
また、承認リスト記憶部４は、ＬＡＮ２への接続が許可されているＰＣ等の端末装置の識別情報を格納している。端末装置の識別情報としては、ＭＡＣアドレス、ＩＰアドレス等が挙げられる。
【００７０】
さらに、本実施の形態では、アクセス制御部１１は、ＰＣからのＡＲＰ要求を検知した場合に、まず、承認リスト記憶部４に記憶されている識別情報に基づいて、ＰＣが予め登録されているかどうかを判定する。さらに、アクセス制御部１１は、ＡＲＰ要求の送信元のアドレスがＬＬアドレスの範囲内であるかどうかも判定する。そして、判定の結果、ＰＣが予め登録されておらず、且つ、ＬＬアドレスの範囲内でない場合に、ＰＣに、重複応答を送信する。
【００７１】
［検疫システムおよび管理装置の動作］
次に、本発明の実施の形態１における検疫システム１０および検疫管理装置１の動作について図２〜図５を用いて説明する。以下の説明においては、適宜図１を参酌する。また、本実施の形態では、検疫管理装置１を動作させることによって、検疫管理方法が実施される。よって、本実施の形態における検疫管理方法の説明は、以下の検疫管理装置１の動作説明に代える。
【００７２】
まず、図２、図３、図４を用いて、検疫管理装置１およびＰＣ３の処理について、以下に説明する。図２は、本発明の実施の形態における検疫管理装置の動作を示すフロー図である。図３は、本発明の実施の形態において検疫対象となる端末装置の動作を示すフロー図である。図４は、本発明の実施の形態における検疫システムの動作を示すシーケンス図であり、端末装置に検疫エージェントが導入されている場合を示している。また、図４においては、図２に示した各ステップと図３に示した各ステップとの連携状態、および必要とされる待ち時間が、図示されている。
【００７３】
図２〜図４に示すように、まず、ＰＣ３は、ＬＡＮ２に接続されると、ＩＰアドレスの設定を開始する。そして、ＰＣ３は、ＤＨＣＰの設定があるかどうかを判定する（図３のステップＳ２０）。ステップＳ２０の判定の結果、ＤＨＣＰの設定がある場合、ＰＣ３は、ＤＨＣＰサーバと通信を行い、ＤＨＣＰサーバよりＩＰアドレスの提示を受ける（図３のステップＳ２１）。続いて、ＰＣ３はＤＨＣＰが提示したＩＰアドレスについての重複を確認するため、Gratuitous ARPを送信する（図３のステップＳ２２）。
【００７４】
一方、ステップＳ２０の判定の結果、ＰＣ３にＤＨＣＰの設定がなく、ＰＣ３が固定ＩＰアドレスの設定を保持している場合、ＰＣ３は、固定ＩＰアドレスの設定でGratuitous ARPを送信する（図３のステップＳ２３）。なお、運用上、固定ＩＰアドレスにＬＬアドレスは設定されていないものとする。
【００７５】
次に、ＰＣ３は、ステップＡ２２またはＡ２３でGratuitous ARPを送信した後は、設定された時間Ｗ１（最大値：time A）の間（図４参照）、ＩＰアドレスの重複を知らせる応答を待っている状態となる。
【００７６】
続いて、図２に示すように、検疫管理装置１は、図３に示すステップＳ２２またはステップＳ２３で発信されたGratuitous ARPを受信する（図２のステップＳ１０）。そして、検疫管理装置１（アクセス制御部１１）は、Gratuitous ARPによって重複の有無の確認対象となっているＩＰアドレスがＬＬアドレスの範囲にあるかどうかを判定する（図２のステップＳ１１）。ＬＡＮ２に接続された端末装置は、ＰＣ３であるので、ステップＳ１１では、ＬＬアドレスの範囲ではないと判定される。
【００７７】
ステップＳ１１においてＬＬアドレスの範囲でないと判定されているので、検疫管理装置１は、承認リスト記憶部４の識別情報にＰＣ３に該当する情報が存在しているかどうかを、具体的には、Gratuitous ARPのＭＡＣアドレスが存在しているかどうかを判定する（ステップＳ１７）。今回は、該当する情報がないので、検疫管理装置１は、ＰＣ３に対して通信制限を行うため、偽装ＡＲＰによる重複応答を送信する（図２のステップＳ１８）。なお、ステップＳ１８は、上述の特許文献１に開示された処理に準じて実行することができる。また、ステップＳ１８が実行されると、検疫管理装置１における処理は一旦終了する。
【００７８】
ステップＳ１８が実行され、検疫管理装置１よりＩＰアドレスの重複応答が送信されると、ＰＣ３は、重複の応答ありと判断する（図３のステップＳ２４）。そして、ＰＣ３は、ＬＬアドレスを選択し、選択したＬＬアドレスからGratuitous ARPを送信する（図３のステップＳ２６）。なお、ステップＳ２６における「ＬＬアドレスの選択」は、発明の概要において述べた「ＩＰｖ４リンクローカルアドレスの割り当ての方法（参照文献２）」に準じて実行される。
【００７９】
次に、ステップＳ２６が実行されると、検疫管理装置１は、ステップＳ２６で送信されたGratuitous ARPを受信する（図２のステップＳ１０）。そして、検疫管理装置１（アクセス制御部１１）は、再度、Gratuitous ARPによって重複の有無の確認対象となっているＩＰアドレスがＬＬアドレスの範囲にあるかどうかを判定する（ステップＳ１１）。この場合は、確認対象となっているＩＰアドレスは、ＬＬアドレスの範囲にあるため、検疫管理装置１は、ステップＳ１７およびＳ１８を実行せず、ＩＰアドレスが重複しているという応答がなされることはない。
【００８０】
次に、ＰＣ３は、ＬＬアドレスについてのGratuitous ARPの送信後（図３のステップＳ２６の実行後）、設定された時間Ｗ２（最大値：time A）の間（図４参照）、ＩＰアドレスの重複を知らせる応答を待っている状態となる。設定されている時間内に応答がないため、ＰＣ３は、応答なしと判断する（図３のステップＳ２７）。そして、ＰＣ３は、自身のＩＰアドレスにＬＬアドレスを設定する（図３のステップＳ２８）。
【００８１】
また、ステップＳ１１において、検疫管理装置１は、受信したGratuitous ARPがＬＬアドレスの範囲にあると判断しているので、ＰＣ３においてＬＬアドレスが設定されるのに十分と考えられる時間Ｗ３（最大値：time B）が経過するまで待機状態となる（図４参照）。そして、時間の経過後、検疫管理装置１（セキュリティポリシー確認部１２）は、ステップＳ１１で判定対象となったＬＬアドレスに対して、検疫エージェント５の存在の有無を確認するパケットを送信する（図２のステップＳ１２）。
【００８２】
次に、ステップＳ１２が実行されると、ＰＣ３は、検疫エージェントの有無確認を受信し（図３のステップＳ２９）、検疫エージェントが導入されているかどうかを判定する（図３のステップＳ３０）。ステップＳ３０では、検疫エージェントは導入されていると判定されるので、ＰＣ３は検疫エージェント５が導入されていることを知らせる応答を行う（図３のステップＳ３１）。
【００８３】
検疫管理装置１は、ステップＳ１２において、検疫エージェントの存在の有無を確認するパケットを送信した後、設定された時間Ｗ４（最大値：time C）の間（図４参照）、応答を待っている状態となる。そして、設定された時間の経過後、検疫管理装置１（セキュリティポリシー確認部１２）は、検疫エージェントの存在を知らせる応答を受信したかどうか判定する（図２のステップＳ１３）。ステップＳ１３では、受信していると判定されるので、検疫管理装置１は、ポリシー記憶部６に格納されている条件情報を、ＰＣ３に送信する（図２のステップＳ１４）。
【００８４】
ＰＣ３が、ステップＳ３１の実行後に、条件情報を受信すると（図３のステップＳ３２）、検疫エージェント５は、ＰＣ３がセキュリティポリシーに適合しているかどうかを確認する（ステップＳ３３）。確認の結果、ＰＣ３がセキュリティポリシーに適合している場合は、ＰＣ３は、検疫管理装置１に対して、ポリシーＯＫを応答する（図３のステップＳ３４）。
【００８５】
検疫管理装置１は、ステップＳ１４の実行後に、ＰＣ３から、セキュリティポリシーの適合の確認結果を受信すると、セキュリティポリシーがＯＫであるかどうかを確認する（図２のステップＳ１５）。ステップＳ１５の確認の結果、セキュリティポリシーがＯＫであった場合は、検疫管理装置１（アクセス制御部１１）は、承認リスト記憶部４に、ＰＣ３の識別情報を登録し（ステップＳ１６）、その後、処理を一旦終了する。一方、ステップＳ１５の確認の結果、セキュリティポリシーがＮＧであった場合は、ＰＣ３のＩＰアドレスはＬＬアドレスのままの状態で、検疫管理装置１における処理は終了する。
【００８６】
また、ＰＣ３は、ステップＳ３４によってポリシーＯＫの応答を行った後、検疫管理装置１で識別情報が登録されるのに十分と考えられる時間Ｗ５（time D）の間（図４参照）、待機状態となる。そして、時間が経過した後、ＰＣ３は、ＩＰアドレスの再設定を行うため、再度、図３に示すステップＳ２０〜Ｓ２３を実行する。
【００８７】
ステップＳ２０〜Ｓ２３が実行されると、検疫管理装置１は、上記のステップＳ２２またはステップＳ２３で発信されたGratuitous ARPを受信し（図２のステップＳ１０）、図２に示した各ステップを再び実行する。この場合は、検疫管理装置１は、ステップＳ１１において、ＬＬアドレスの範囲ではないと判定するので、承認リスト記憶部４に識別情報が登録されていないかどうかを判定する（図２のステップＳ１７）。今回は、承認リスト記憶部４にＰＣ３の識別情報が登録されているので、検疫管理装置１は、通信制限を実施することなく（ステップＳ１８を実行することなく）、処理を終了する。
【００８８】
ステップＳ１６の実行後に、ステップＳ２２またはＳ２３を実行したＰＣ３は、Gratuitous ARPの送信後、設定された時間Ｗ６（最大値：time A）の間（図４参照）、ＩＰアドレスの重複を知らせる応答を待っている状態となる。今回は、設定された時間内に応答がないため、ＰＣ３は、応答なしと判断する（図３のステップＳ２４）。そして、ＰＣ３は、ＩＰアドレスとして、ＤＨＣＰによって提示されたＩＰアドレス、または固定ＩＰアドレスを設定する（図３のステップＳ２５）。
【００８９】
以上、説明したように、ＰＣ３は、一旦、ＬＬアドレスにより構成されるサブネットに接続されるが、その後、検疫エージェントが導入済みであり、セキュリティポリシーが適合するため、ＬＡＮ２に接続される。
【００９０】
続いて、図２、図３、図５を用いて、検疫管理装置１およびＰＣ７の処理について、以下に説明する。また、ＰＣ７には上述したように検疫エージェントが導入されていないことから、以下の説明では「未導入ＰＣ７」と表記する。図５は、本発明の実施の形態における検疫システムの動作を示すシーケンス図であり、端末装置に検疫エージェントが導入されていない場合を示している。また、図５においては、図２に示した各ステップと図３に示した各ステップとの連携状態および必要とされる待ち時間が、図示されている。
【００９１】
図２、図３および図５に示すように、まず、未導入ＰＣ７は、ＬＡＮ２に接続されると、ＩＰアドレスの設定を開始する。そして、未導入ＰＣ７は、ＤＨＣＰの設定があるかどうかを判定する（図３のステップＳ２０）。ステップＳ２０の判定の結果、ＤＨＣＰの設定がある場合、未導入ＰＣ７は、ＤＨＣＰサーバと通信を行い、ＤＨＣＰサーバよりＩＰアドレスの提示を受ける（図３のステップＳ２１）。続いて、未導入ＰＣ７は、ＤＨＣＰサービスが提示したＩＰアドレスについての重複を確認するため、Gratuitous ARPを送信する（図３のステップＳ２２）。
【００９２】
一方、ステップＳ２０の判定の結果、ＰＣ７にＤＨＣＰの設定がなく、未導入ＰＣ７が固定ＩＰアドレスの設定を保持している場合、未導入ＰＣ７は、固定ＩＰアドレスの設定でGratuitous ARPを送信する（図３のステップＳ２３）。
【００９３】
次に、未導入ＰＣ７は、ステップＡ２２またはＡ２３でGratuitous ARPを送信した後は、設定された時間Ｖ１（最大値：time A）の間（図５参照）、ＩＰアドレスの重複を知らせる応答を待っている状態となる。
【００９４】
続いて、図２に示すように、検疫管理装置１は、図３に示すステップＳ２２またはステップＳ２３で発信されたGratuitous ARPを受信する（図２のステップＳ１０）。そして、検疫管理装置１（アクセス制御部１１）は、Gratuitous ARPによって重複の有無の確認対象となっているＩＰアドレスがＬＬアドレスの範囲にあるかどうかを判定する（図２のステップＳ１１）。ＬＡＮ２に接続された端末装置は、未導入ＰＣ７であるので、ステップＳ１１では、ＬＬアドレスの範囲ではないと判定される。
【００９５】
ステップＳ１１においてＬＬアドレスの範囲でないと判定されているので、検疫管理装置１は、承認リスト記憶部４の識別情報に未導入ＰＣ７に該当する識別情報が存在しているかどうかを判定する（ステップＳ１７）。今回は、該当する情報がないので、検疫管理装置１は、未導入ＰＣ７に対して通信制限を行うため、偽装ＡＲＰによる重複応答を送信する（図２のステップＳ１８）。
【００９６】
ステップＳ１８が実行され、検疫管理装置１よりＩＰアドレスの重複応答が送信されると、未導入ＰＣ７は、重複の応答ありと判断する（図３のステップＳ２４）。そして、未導入ＰＣ７は、ＬＬアドレスを選択し、選択したＬＬアドレスからGratuitous ARPを送信する（図３のステップＳ２６）。
【００９７】
次に、ステップＳ２６が実行されると、検疫管理装置１は、ステップＳ２６で送信されたGratuitous ARPを受信する（図２のステップＳ１０）。そして、検疫管理装置１は、再度、Gratuitous ARPによって重複の有無の確認対象となっているＩＰアドレスがＬＬアドレスの範囲にあるかどうかを判定する（ステップＳ１１）。この場合は、確認対象となっているＩＰアドレスは、ＬＬアドレスの範囲にあるため、検疫管理装置１は、ステップＳ１７およびＳ１８を実行せず、ＩＰアドレスが重複しているという応答がなされることはない。
【００９８】
次に、未導入ＰＣ７は、ＬＬアドレスについてのGratuitous ARPの送信後（図３のステップＳ２６の実行後）、設定された時間Ｖ２（最大値：time A）の間（図５参照）、ＩＰアドレスの重複を知らせる応答を待っている状態となる。設定されている時間内に応答がないため、未導入ＰＣ７は、応答なしと判断する（図３のステップＳ２７）。そして、未導入ＰＣ７は、自身のＩＰアドレスにＬＬアドレスを設定する（図３のステップＳ２８）。
【００９９】
また、ステップＳ１１において、検疫管理装置１は、受信したGratuitous ARPがＬＬアドレスの範囲であると判断しているので、未導入ＰＣ７においてＬＬアドレスが設定されるのに十分と考えられる時間Ｖ３（time B）が経過するまで待機状態となる（図５参照）。そして、時間の経過後、検疫管理装置１（セキュリティポリシー確認部１２）は、ステップＳ１１で判定対象となったＬＬアドレスに対して、検疫エージェント５の存在の有無を確認するパケットを送信する（図２のステップＳ１２）。
【０１００】
次に、ステップＳ１２が実行されると、未導入ＰＣ７は、検疫エージェントの有無確認を受信する（図３のステップＳ２９）。但し、未導入ＰＣ７には、検疫エージェントが導入されていないため、未導入ＰＣ７は、検疫エージェントの存在の有無を確認するパケットに正しく応答ができない。よって、図３のステップＳ３０の判定はＹｅｓとなり、未導入ＰＣ７のＩＰアドレスは、ＬＬアドレスのままの状態で、未導入ＰＣ７における処理は終了する。
【０１０１】
検疫管理装置１は、ステップＳ１２において、検疫エージェントの存在の有無を確認するパケットを送信した後、設定された時間Ｖ４（最大値：time C）の間（図５参照）、応答を待っている状態となる。そして、設定された時間の経過後、検疫管理装置１（セキュリティポリシー確認部１２）は、検疫エージェントの存在を知らせる応答を受信したかどうか判定する（図２のステップＳ１３）。この場合のステップＳ１３では、受信していないと判定されるので、検疫管理装置１における処理は終了する。
【０１０２】
以上、説明したように、ＰＣ７には、検疫エージェントが導入されていないため、ＬＬアドレスにより構成されるサブネットに接続された場合は、その状態が維持され、ＰＣ３が接続しているサブネットに接続されることはない。よって、ＰＣ７によってＰＣ３が攻撃される可能性は極めて小さくなっている。
【０１０３】
［実施の形態における効果］
本実施の形態によれば、以下の第１の効果〜第５の効果までを得ることができる。
［第１の効果］
本実施の形態によれば、固定ＩＰアドレスが設定されたＰＣに対しても検疫を行うことができ、ネットワークにおけるセキュリティ性を高めることができる。これは、固定ＩＰアドレスの設定であれ、ＤＨＣＰによるＩＰアドレスの割り当てであれ、本実施の形態では、ＬＡＮ２に接続しようとするＰＣは、検疫管理装置１により、まずＬＬアドレスのサブネットに接続されるからである。
【０１０４】
［第２の効果］
本実施の形態によれば、ネットワーク上に、導入済みのＤＨＣＰサーバが存在していても、ネットワーク管理者はＤＨＣＰサービスの設定を行う必要がなく、運用負担は軽減される。即ち、ＤＨＣＰ認証による検疫方法を行う場合、検疫を行うために通信を行う必要があり、仮のＩＰアドレスを付与する必要があった。また、仮のＩＰアドレスを付与するためには、ネットワーク管理者がＤＨＣＰサーバに設定を行う必要がある。これに対して、本実施の形態によれば、通信を行うためにＩＰアドレスの代わりにＬＬアドレスが設定され、ＤＨＣＰサービスの設定を行う必要がないので、上述したように運用負担が軽減される。
【０１０５】
［第３の効果］
本実施の形態では、検疫エージェントが未導入のＰＣがＬＡＮに接続されても、この未導入ＰＣに対して、プライベートＩＰアドレスまたはグローバルＩＰアドレスによるＬＡＮを利用できる時間が与えられないようにでき、セキュリティ性が高められる。つまり、パーソナルファイアウォールによる検疫方法では、未導入ＰＣが接続された場合、未導入ＰＣはネットワークに一定時間接続でき、この点が問題となっている。これに対して、本実施の形態では、全てのＰＣはＬＬアドレスで構成される検疫ネットワークに接続され、その状態でセキュリティポリシーの適否が確認されるので、従来のような問題が発生することはない。また、ＬＬアドレスしか取得できないＰＣが、ＬＡＮ上の他のＰＣと接続したり、ルーターを越えて外部ネットワークにある端末装置等と通信したり、といったことは生じえない。
【０１０６】
［第４の効果］
本実施の形態では、ネットワークスイッチの機能に依存しないため、導入コストの低減が図られる。つまり、８０２．１Ｘ認証による検疫方法では、８０２．１Ｘに対応したＲＡＤＩＵＳ等の認証サーバ、８０２．１Ｘ認証に対応した機器を導入しなければならず、導入コストが高いという問題が生じていたが、本実施の形態では、このような構成は必要なく、検疫管理装置をＬＡＮ上に設置すれば良いだけであるため、導入コストの低減が図られる。
【０１０７】
また、本実施の形態では、ＤＨＣＰ認証による検疫方法でのＤＨＣＰスヌーピング、８０２．１Ｘ認証による検疫方法での通信の遮断、といった制御をネットワークスイッチのポートで行う必要がない。このため、本実施の形態によれば、制御に対応するネットワークスイッチの配置箇所を意識することなく、ネットワークを構築できる。
【０１０８】
［第５の効果］
本実施の形態によれば、検疫ネットワークのＩＰアドレスの設定に関して、手動による設定が行われないため、人為的な設定の間違いが介在する可能性を低減でき、加えて、検疫ネットワークの設定において、ネットワーク管理者の負担を軽減できる。
【０１０９】
つまり、ＤＨＣＰ認証による検疫方法、８０２．１Ｘ認証による検疫方法、上記特許文献３に開示された検疫方法では、セキュリティポリシーの適否の確認において、不適合となったＰＣは、検疫ネットワークに接続されることとなる。そして、この場合、ＤＨＣＰ認証による検疫方法では、検疫ネットワーク用のサブネットのＩＰアドレスを用意する必要がある。また、８０２．１Ｘ認証による検疫方法及び上記特許文献３に開示された検疫方法では、検疫ネットワーク用のＶＬＡＮのＩＰアドレスを用意する必要がある。
【０１１０】
このような検疫ネットワーク用のＩＰアドレスは、ネットワーク管理者によって設定および管理される必要があり、ネットワーク管理者にとって負担であり、また、人為的な設定の間違いが介在する可能性がある。これに対して、本発明では、ＬＬアドレスを検疫ネットワークのＩＰアドレスとして用いるので、手動による設定が必要ない。従って、ネットワーク管理者における負担が軽減されると共に、人為的な設定の間違いが介在する可能性も低減される。
【０１１１】
本実施の形態におけるプログラムは、コンピュータに、図２に示すステップＳ１１〜Ｓ１６を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における検疫管理装置１と検疫管理方法とを実現することができる。この場合、コンピュータのＣＰＵ（Central Processing Unit）は、アクセス制御部１１、セキュリティポリシー確認部１２として機能し、処理を行なう。また、本実施の形態ではコンピュータに備えられたハードディスク等の記憶装置が、承認リスト記憶部４およびポリシー記憶部６として機能する。
【０１１２】
ここで、実施の形態におけるプログラムを実行することによって、検疫装置を実現するコンピュータについて図６を用いて説明する。図６は、本発明の実施の形態における検疫管理装置１を実現するコンピュータの一例を示すブロック図である。
【０１１３】
図６に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インタフェース１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インタフェース１１７とを備える。このうち、通信インタフェース１１７は、ネットワークインタフェース１３及び１４として機能する。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。
【０１１４】
ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インタフェース１１７を介して接続されたインターネット上で流通するものであっても良い。
【０１１５】
また、記憶装置１１３の具体例としては、ハードディスクの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インタフェース１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インタフェース１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。
【０１１６】
また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash）及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記憶媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記憶媒体が挙げられる。
【産業上の利用可能性】
【０１１７】
本発明は、組織内の情報を盗もうとする者が、故意にＬＡＮに侵入するための手段として許可されていない端末装置をＬＡＮに接続するというリスクからの防御に適用できる。
【０１１８】
また、本発明は、ＰＣのオペレーティングソフトウェアや企業の業務や団体活動に用いるソフトウェアプログラムのセキュリティ上の問題点を修正するソフトウェアをＰＣに適用していないことによる問題の解消に適用できる。結果、コンピュータウイルスへの感染、他のＰＣへの伝染、これらを原因とした、企業業務または団体活動の停止、組織内部の情報の外部への漏洩、他企業または団体への被害の拡大、といったリスクの防御が図られる。
【０１１９】
さらに、本発明は、既存のＬＡＮ、既存のネットワーク機器、既存のＤＨＣＰシステム等を保有する企業および団体が、少ない労力と費用でネットワーク検疫システムを導入する際の助けとなる。
【符号の説明】
【０１２０】
１  検疫管理装置
２  ＬＡＮ
３  端末装置（ＰＣ）
４  承認リスト記憶部
５  検疫エージェント
６  ポリシー記憶部
７  端末装置（未導入ＰＣ）
８  通信機器
９  外部ネットワーク
１０  検疫システム
１１  アクセス制御部
１２  セキュリティポリシー確認部
１３、１４  ネットワークインタフェース
１１０  コンピュータ
１１１  ＣＰＵ
１１２  メインメモリ
１１３  記憶装置
１１４  入力インタフェース
１１５  表示コントローラ
１１６  データリーダ／ライタ
１１７  通信インタフェース
１１８  入力機器
１１９  ディスプレイ装置
１２０  記録媒体
１２１  バス
【図１】
2012199758.tif 000003
【図２】
2012199758.tif 000004
【図３】
2012199758.tif 000005
【図４】
2012199758.tif 000006
【図５】
2012199758.tif 000007
【図６】
2012199758.tif 000008