(57)【要約】      （修正有）【課題】ネットワーク機器が自動的にセキュリティを強化できるようにする。【解決手段】スマートデバイス２０を用いることにより、ネットワーク的に遠隔のデバイスからアクセス可能かどうかを調べるため、ネットワーク機器１０はスマートデバイス２０に対してネットワークを一つ指定し、ネットワークアクセスを試みさせる。スマートデバイスからのアクセスが成功した場合、ネットワーク機器１０はファイヤウォールの設定をセキュリティを強化する。【選択図】図１
2016165058.tif 000002
【特許請求の範囲】
【請求項１】
ネットワーク機器と携帯情報端末を含むセキュリティ検査システムであって、
前記ネットワーク機器は、
前記携帯情報端末がアクセスするネットワーク一つを指定して、前記携帯情報端末に前記ネットワーク機器へのアクセスを指示するセキュリティ判定モジュールと、
前記ネットワーク機器へのアクセスの一部を遮断するファイヤウォールと、を有し、
前記携帯情報端末は、
前記セキュリティ判定モジュールからアクセスするネットワークを指定した前記ネットワーク機器へのアクセスの指示を受信すると、指定されたネットワークを介したアクセスを試みるセキュリティ検査モジュールを有し、
前記セキュリティ判定モジュールは、
前記セキュリティ検査モジュールからのアクセスを受信した場合に、指定したネットワークを経由するアクセスを拒否する設定を、前記ファイヤウォールに設定する
ことを特徴とする、セキュリティ検査システム。
【請求項２】
前記セキュリティ判定モジュールは、
ユーザを指定して、前記携帯情報端末に前記ネットワーク機器へのアクセスを指示し、
前記セキュリティ検査モジュールは、
指定されたネットワークを介したアクセスの際に、指定されたユーザの識別子を用いてアクセスを試み、成功した場合に、前記ユーザのアクセスを拒否する設定を、前記ファイヤウォールに設定する
ことを特徴とする、請求項１に記載のセキュリティ検査システム。
【請求項３】
前記セキュリティ判定モジュールは、ネットワーク機器が有する機能を指定して、前記ネットワーク機器へのアクセスを指示し、前記セキュリティ検査モジュールからのアクセスを受信した場合に、指定した機能へのアクセスを遮断する設定を、前記ファイヤウォールに設定することを特徴とする、請求項１又は２に記載のセキュリティ検査システム。
【請求項４】
前記セキュリティ判定モジュールは、ネットワーク機器が有する文書のＵＲＩを指定して、前記ネットワーク機器へのアクセスを指示し、前記セキュリティ検査モジュールからのアクセスを受信した場合に、指定した文書のＵＲＩへのアクセスを遮断する設定を、前記ファイヤウォールに設定することを特徴とする、請求項１から３のいずれか１項に記載のセキュリティ検査システム。
【請求項５】
携帯情報端末と通信を行うネットワーク機器であって、
前記携帯情報端末がアクセスするネットワーク一つを指定して、前記携帯情報端末に前記ネットワーク機器へのアクセスを指示するセキュリティ判定モジュールと、
前記ネットワーク機器へのアクセスの一部を遮断するファイヤウォールと、を有し、
前記セキュリティ判定モジュールは、前記携帯情報端末からのアクセスを受信した場合に、指定したネットワークを経由するアクセスを拒否する設定を、前記ファイヤウォールに設定する
ことを特徴とする、ネットワーク機器。
【請求項６】
携帯情報端末と通信を行うネットワーク機器が実行するセキュリティ検査方法であって、
前記携帯情報端末がアクセスするネットワーク一つを指定して、前記携帯情報端末に前記ネットワーク機器へのアクセスを指示する第１の工程と、
前記携帯情報端末からのアクセスを受信した場合に、指定したネットワークを経由するアクセスを拒否する設定を、前記ネットワーク機器へのアクセスの一部を遮断するファイヤウォールに設定する第２の工程と、
を含むことを特徴とする、セキュリティ検査方法。
【請求項７】
携帯情報端末と通信を行うネットワーク機器に、
前記携帯情報端末がアクセスするネットワーク一つを指定して、前記携帯情報端末に前記ネットワーク機器へのアクセスを指示する第１の処理と、
前記携帯情報端末からのアクセスを受信した場合に、指定したネットワークを経由するアクセスを拒否する設定を、前記ネットワーク機器へのアクセスの一部を遮断するファイヤウォールに設定する第２の処理と、
を実行させるための、セキュリティ検査プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク機器、セキュリティ検査システム、方法及びプログラムに関し、特に、自動でセキュリティを判定する技術に関する。
【背景技術】
【０００２】
特許文献１には、ネットワーク上のセキュリティを高める目的で、ネットワーク装置に関して、自動でセキュリティを判定する技術が開示されている。具体的には、ネットワーク機器に接続したパーソナルコンピュータ（以下、「ＰＣ」と呼ぶ）が、サーバと通信し、自動でセキュリティレベルを判定し、ＰＣとサーバの設定を変更し、サーバの公開レベルを自動で変更する仕組みが開示されている。本発明とは確かに、自動でセキュリティを判定する点で関連がある。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
近年、ネットワーク機器に対して、セキュリティ上の関心が高まっている。機器やルータの設定を間違えた状態で、機器を設置してしまうと、機密データを、誰からでもアクセス可能な状態にしてしまう恐れがある。そこで、ネットワークのセキュリティレベルを自動で検出し、セキュリティレベルに応じて、自動でセキュリティを強化する仕組みを開発する必要がある。
【０００４】
しかし、それまでの仕組み（例えば特許文献１）では、専用のサーバを設置しなくてはいけないという問題があった。また、アクセス制限も文書のアクセス制限のみで、ファイヤウォールの設定やアンチウイルスソフトウェアの変更等の細かい設定ができなかった。専用のサーバは設定するのが難しく、サーバの設定を間違えてしまうというセキュリティリスクは依然として残っていた。また、稼動中にネットワーク構成が変更されてしまうリスクもあり、継続してセキュリティを維持することが困難である。
【０００５】
そこで本発明は、上記実情に鑑みて、ネットワーク機器が自動的にセキュリティを強化できるようにすることを目的とする。
【課題を解決するための手段】
【０００６】
上記目的を達成するために本発明は、ネットワーク機器と携帯情報端末を含むセキュリティ検査システムであって、前記ネットワーク機器は、前記携帯情報端末がアクセスするネットワーク一つを指定して、前記携帯情報端末に前記ネットワーク機器へのアクセスを指示するセキュリティ判定モジュールと、前記ネットワーク機器へのアクセスの一部を遮断するファイヤウォールと、を有し、前記携帯情報端末は、前記セキュリティ判定モジュールからアクセスするネットワークを指定した前記ネットワーク機器へのアクセスの指示を受信すると、指定されたネットワークを介したアクセスを試みるセキュリティ検査モジュールを有し、前記セキュリティ判定モジュールは、前記セキュリティ検査モジュールからのアクセスを受信した場合に、指定したネットワークを経由するアクセスを拒否する設定を、前記ファイヤウォールに設定することを特徴とする。
【発明の効果】
【０００７】
本発明によれば、ネットワーク機器が自動的にセキュリティを強化できるようにするが可能となる。
【図面の簡単な説明】
【０００８】
【図１】実施形態のネットワーク構成例を示す図である。
【図２】実施形態の機能構成を示すブロック図である。
【図３】実施形態のネットワーク機器が記憶するテーブルデータの一例である。
【図４】実施形態のセキュリティ検査処理のシーケンス図である。
【図５】実施形態のセキュリティ検査処理の検証処理のシーケンス図である。
【発明を実施するための形態】
【０００９】
以下に説明する実施形態は、従来技術と異なり、スマートデバイスを用いることにより、ネットワーク機器に、外部からのアクセス可能かどうかを調べることができる。この特徴について、図面を用いて詳細に解説する。
【００１０】
＜システム構成＞
図１に、実施形態のネットワーク構成例を示す。
図１には、ネットワーク機器１０とスマートデバイス２０とルータ３０が含まれる。ネットワーク機器１０は、ネットワークに関するセキュリティのチェックを受ける対象である電子機器である。ルータ３０は、一般的なものでよい。
【００１１】
スマートデバイス２０は、携帯情報端末の一実施例であり、限定するものではないが、例えば、Ａｎｄｒｏｉｄ（登録商標）やｉＯＳ（登録商標）などのＯＳ及びソフトウェアプログラム実行環境を備えており、アプリケーションの新規組み込みが可能であるものが好ましい。いわゆる３Ｇ回線やＬＴＥ（登録商標）などにより、データ通信可能であることも好ましい。ＩＰネットワークに何らかの方式で接続可能であることが必要である。本実施形態では、後述するようにＷｉ−Ｆｉ（登録商標）により無線ネットワーク及びそれを経由したＩＰネットワークに接続可能である。
【００１２】
図１に示すネットワークｎ１は、例えば社内ＬＡＮ（Local Area Network）であり、限定するものではないが、例えば、社内ＬＡＮの中でも特に厳しくセキュリティポリシーが設定されているところを本実施形態では想定する。
【００１３】
ネットワークｎ２は、上記以外のネットワークであり、社内ＬＡＮの内の一部ではあるけれどもネットワークｎ１とは異なる他のセグメントに属するネットワークなどが該当する。インターネットを介した他のネットワークでもよい。
【００１４】
ネットワークｎ３は、例えば、３ＧやＬＴＥ（登録商標）などの携帯電話回線を介して接続するネットワークである。スマートデバイス２０は、このようなネットワークｎ３も使って、ネットワーク機器１０への接続を試み、ネットワーク機器１０のセキュリティ設定のチェックをする。
【００１５】
図２に、実施形態の機能構成を示す。
ネットワーク機器１０は、例えば、ＮＡＳ、複写機等の電子情報を保存する装置であり、オペレーティングシステム１３の上に、ファイヤウォール１５を備えており、例えば、制御装置として、機器制御アプリ１１、セキュリティ判定モジュール１２、送信受信サービス１４を備えている。
【００１６】
ルータ３０は、ネットワーク機器が接続されているルータであり、例えば、ハブやモデムやブロードバンドルータや専用のサーバ等の、インターネットを接続するための装置である。ファイヤウォール１５は、例えば、ＯＳ標準のファイヤフォールやパケットフィルタ、アンチウイルスソフトの設定、ＯＳのネットワークアクセス制限設定、ネットワーク機器１０のアクセス制限設定等であり、外部からの通信を制限する手段である。
【００１７】
ネットワーク機器１０は、ルータ３０を経由して、スマートデバイス２０と通信を行っている。スマートデバイス２０は、ネットワーク機器１０とネットワーク的に離れた場所に存在している。
【００１８】
スマートデバイス２０は、例えば、スマートフォンやタブレット、または、ノートパソコン等の、情報処理装置であり、例えば、３Ｇ、又は、ＬＴＥ（登録商標）の電話回線経由、インターネットに接続できる仕組み、または、Ｗｉｆｉ（登録商標）接続でインターネットに接続できる仕組みを備えている。スマートデバイス２０はスマートデバイスオペレーティングシステム２３を備えており、例えば、制御装置として、スマートデバイス制御アプリ２１、セキュリティ検査モジュール２２、送受信サービス２４を備えている。
【００１９】
ネットワーク機器１０は、インターネットに接続可能であり、例えば、送信受信サービス１４によって、インターネットに接続されている装置として、例えば、スマートデバイス２０と通信できる。インターネットのアクセス制御として、ファイヤウォール１５は、インターネットからのパケットを遮断する目的で備えてあり、セキュリティ判定モジュール１２がオペレーティングシステム１３への設定することによって、ファイヤウォール１５の機能を操作することができる。
【００２０】
セキュリティ判定モジュール１２は、送信受信サービス１４で受信したデータに基づき、セキュリティのリスクを判定して、ファイヤウォールの設定を変更して、意図しないアクセスがあった場合には、インターネットの通信の一部を遮断する。また、送信受信サービス１４の設定も変更し、通信のデータの内容によって遮断することができる。
【００２１】
スマートデバイス２０は、スマートデバイスオペレーティングシステム２３によって動作し、スマートデバイス制御アプリ２１を起動させている。スマートデバイス制御アプリ２１は、ネットワーク機器１０に接続するための専用アプリであり、ネットワーク機器１０への接続情報（例えばＩＰアドレス）を設定することができる。
【００２２】
セキュリティ検査モジュール２２は、送信受信サービス２４を使用して、電話回線経由、またはＷｉｆｉ経由で、ネットワーク機器１０に、データを送信し、ネットワーク機器１０が、インターネット全般からアクセス可能かどうかをチェックさせる仕組みを備えている。ルータ３０の設定によって、スマートデバイス２０からネットワーク機器１０にデータ送信が可能かどうかが決まり、ルータ３０の設定のセキュリティに応じて、ネットワーク機器１０のセキュリティレベルが決定される。
【００２３】
ルータ３０の設定で、ネットワーク機器１０が、インターネット全般からアクセスできてしまう場合には、ネットワーク機器１０のファイヤウォール１５の設定を、同一サブネットに限定することで、インターネットからアクセスを防ぎ、ネットワーク機器１０の中の電子情報へのアクセスを遮断する。また、機器制御アプリ１１には、セキュリティリスクのためにアクセスを遮断した旨のメッセージを表示し、ルータ３０の設定を見直すことを促す。
【００２４】
ルータ３０の設定で、ネットワーク機器１０が、インターネット全般からアクセスできないような場合には、ネットワーク機器１０のファイヤウォール１５の設定の制限を解除し、制限なくネットワーク機器１０の機能を使うことができる。
【００２５】
また、セキュリティを高める方式は、ファイヤウォール１５をサブネットだけでなく、さらにプロトコルによって制限することで、例えば、ＳＭＢ（Ｗｉｎｄｏｗｓ（登録商標）ファイル共有）の通信をインターネットから接続を制限するが、ＨＴＴＰの通信のみ許可することができる。さらに、送信受信サービス１４で制限することによって、情報ごとの制限をすることができる。たとえば、ログインするユーザや文書や機能に対して制限することができる。
【００２６】
＜セキュリティ検査＞
検査データを送信させる端末を決定する方法について説明する。ネットワーク機器１０は、図３に示すようなテーブルデータを有しており、セキュリティ判定モジュール１２がこのテーブルデータに基づき、セキュリティを確認するネットワークに応じた端末と、「検査データを送信させる端末」として決定する。
【００２７】
セキュリティ判定モジュール１２は、図３に示したテーブルデータのなかで、セキュリティ検査をするネットワークを一つ選択する。すなわち、図３中の中央の列の中から一つ選択し、当該ネットワークに紐付けられた端末に対して、セキュリティ検査をするよう、指示を発行する。
【００２８】
当該端末が、スマートデバイス２０であったとする。スマートデバイス２０は、これに応えて、指定されたネットワークに接続し、接続済みの場合は、そのまま、ネットワーク機器１０へのアクセスを試みる。これら一連の処理の実行は、セキュリティ検査モジュール２２が実行する。
【００２９】
このネットワーク機器１０へのアクセスが成功すると、ファイヤウォール１５の設定が適切ではないので、セキュリティ判定モジュール１２は、ＯＳ１３を用いて、適切な設定をファイヤウォール１５に対して行う。設定の詳細は、上述したとおりである。
【００３０】
また、セキュリティ判定モジュール１２は、セキュリティ検査開始の際に、ユーザＩＤを指定して、セキュリティ検査の指示を発行する機能も備える。この場合、図３の右の列に示したユーザＩＤと、中央の列に示したネットワークの２つを指定して、この２つに合致する携帯情報端末に、セキュリティ検査の指示を送信する。
【００３１】
また、ユーザを指定してセキュリティ検査の指示をした場合、スマートデバイス２０からのユーザＩＤを用いたアクセスが成功すると、セキュリティ判定モジュール１２は、ファイヤウォール１５に、当該ユーザのアクセスを拒否する設定を行う。なお、ネットワークアクセスの許可又は不許可の設定との関係については、ユーザアクセスの拒否をする設定を行うとともに、指定したネットワーク用いたアクセスを遮断する設定も行う。
【００３２】
また、ネットワーク機器１０は、複数の機能（例えば、ＨＴＴＰサーバ機能、ＦＴＰサーバ機能、ルータ機能等）を併せ持っているが、セキュリティ検査を、当該機能ごとに行い、機能へのアクセスが成功すると、ファイヤウォール１５にその機能へのアクセスを遮断するように設定することも好ましい。
【００３３】
具体的には、ポートを指定した上でセキュリティ検査をスマートデバイス２０に実行させ、成功すると、当該ポートへのアクセスを遮断するようにファイヤウォール１５を設定するとよい。
【００３４】
また、ネットワーク機器１０は、複数の文書を内部の記憶装置に記憶しているが、セキュリティ検査を、当該文書ごとに行い、文書へのアクセスが成功すると、ファイヤウォール１５にその文書へのアクセスを遮断するように設定することも好ましい。
【００３５】
具体的には、文書ＵＲＩを指定した上でセキュリティ検査をスマートデバイス２０に実行させ、成功すると、当該文書ＵＲＩへのアクセスを遮断するようにファイヤウォール１５を設定するとよい。
【００３６】
＜シーケンス＞
上述した本実施形態の処理を、図４及び図５のシーケンス図を参照しながら、説明する。図４は上記セキュリティ検査処理を実行するフローであり、図５はセキュリティ検査処理実行後、セキュリティ強化実施後の効果を確かめるために行う検証処理である。
【００３７】
図４において、機器制御アプリ１１は、定期的にセキュリティ上の検査要求を実施する（Ｓ１）。セキュリティ判定モジュール１２は、スマートデバイス２０に対して、検査要求を出す（Ｓ２，Ｓ３，Ｓ４，Ｓ５）。
【００３８】
スマートデバイス制御アプリ２１は、検査要求を受け取る（Ｓ６，Ｓ７）。スマートデバイス制御アプリ２１は検査実施をする（Ｓ８）。送信受信サービス２４は、ネットワーク機器１０に対して、検査データを送付する（Ｓ９，Ｓ１０）。ルータ３０の設定によっては、アクセスできてしまう（Ｓ１１）。
【００３９】
その後、ファイヤウォール１５の設定は、出荷時には、全てからアクセス可能なため、送信受信サービス１４までデータが届いてしまう（Ｓ１２、Ｓ１３）。
【００４０】
その後、セキュリティ判定モジュール１２は、データが届いたことを契機として、ファイヤウォール１５の設定、及び、送信受信サービス１４の設定を変更し、セキュリティを強化する（Ｓ１４，Ｓ１５）。
【００４１】
セキュリティの強化の仕組みは、ファイヤウォールの設定として、例えば、ファイヤウォール設定として、ＩＰアドレスの範囲、又は、プロトコルを指定する。送信受信サービスの設定としては、例えば、以下がある。
・ログインするユーザ名ごとに判定し、例えば、設定によっては、ゲスト権限や管理者でアクセスする場合には、サブネットが異なるアクセスでは、ログインを拒否させることで、セキュリティを強化する。
・文書ごとに判定し、例えば、設定によっては、文書が配置されているフォルダパスによって、サブネットが異なるアクセスでは、アクセスを拒否させることで、セキュリティを強化する。
・機能ごとに判定し、例えば、設定によっては、ＷｅｂＵＩへのログインは、サブネットが異なるアクセスでは、アクセスを拒否させることで、セキュリティを強化する。
【００４２】
セキュリティが強化された以降のシーケンスは図５を参照して以下で説明する。
機器制御アプリ１１は、定期的にセキュリティ上の検査要求を実施する（Ｓ１）。セキュリティ判定モジュール１２は、スマートデバイス２０に対して、検査要求を出す（Ｓ２，Ｓ３，Ｓ４，Ｓ５）。
【００４３】
スマートデバイス制御アプリ２１は、検査要求を受け取る（Ｓ６，Ｓ７）。スマートデバイス制御アプリ２１は検査実施をする（Ｓ８）。送信受信サービス２４は、ネットワーク機器１０に対して、検査データを送付する（Ｓ９，Ｓ１０）。ルータ３０の設定によっては、アクセスできてしまう（Ｓ１１）。
【００４４】
しかし、その後、ファイヤウォール１５の設定は、セキュリティが高い状態であるため、送信受信サービス１４には、アクセスできずに、セキュリティが強化されている状態となる。または、送信受信サービス１４にアクセスできたデータも、送信受信サービス１４の設定によっては、送信受信サービス１４で制限される（Ｓ１１、Ｓ１２）。
【００４５】
＜作用効果＞
上述した実施形態は、従来技術と異なり、スマートデバイスを用いることにより、ネットワーク的に遠隔のデバイスからアクセス可能かどうかを調べることができる。そのため、従来技術とは異なり、専用のサーバが必要ない。アプリを入れるだけの手順のため、ユーザが操作を間違えることはない。また、検査が、軽量のため常時検査を実施しても副作用がない。
【００４６】
さらに、自動で判別できるために設定を間違うことがない。ユーザがセキュリティに関する知識が少なくてもセキュリティを高めることができる。また、常時、セキュリティの検査しているため、設置後に構成が変更された場合でも追従でき、セキュリティを保つことができる。
【００４７】
また、上記実施形態によると、インターネットからではなく、ＷＡＮの、別のネットワークセグメントからの通信に対してセキュリティを高めることができる。また、全通信を遮断するのではなく、ユーザごとに、アクセス可能かどうかを設定できるため、例えば、ゲストログインを禁止にできる等の細かい設定ができることで、セキュリティを高めることができる。
【００４８】
また、全通信を遮断するのではなく、機能ごとにアクセス制御ができるため、例えば、文書のアクセスはできないが、ＷｅｂＵＩへのアクセスは可能にして、設定変更はインターネットからできる等の細かい設定ができることで、セキュリティを高めることができる。また、全通信を遮断するのではなく、文書ごとにアクセス制御ができるため、例えば、社外秘の文書のアクセスは、インターネットから不許可にすることができることで、セキュリティを高めることができる。
【符号の説明】
【００４９】
１０    ネットワーク機器
１１    機器制御アプリ
１２    セキュリティ判定モジュール
１３    オペレーティングシステム
１４    送信受信サービス
１５    ファイヤウォール
２０    スマートデバイス
２１    スマートデバイス制御アプリ
２２    セキュリティ検査モジュール
２３    スマートデバイスオペレーティングシステム
２４    送信受信サービス
３０    ルータ
【先行技術文献】
【特許文献】
【００５０】
【特許文献１】特許４４７０４６６号公報
【図１】
2016165058.tif 000003
【図２】
2016165058.tif 000004
【図３】
2016165058.tif 000005
【図４】
2016165058.tif 000006
【図５】
2016165058.tif 000007