(57)【要約】【課題】  ルータに負荷を与えることなく、セキュリティ対策ソフトのバージョンが更新されていないクライアント端末をインターネットに接続できないように制御できること。【解決手段】  本発明は、ＬＡＮからインターネットへのアクセスはファイアウォールサーバを介して行うネットワークシステムにおいて、ＬＡＮにはＤＨＣＰサーバと一つもしくは複数のクライアント端末を有し、各クライアント端末はセキュリティ状態を管理するセキュリティ対策サーバと接続している。ＤＨＣＰサーバは、クライアント端末からの依頼により、クライアント端末のセキュリティ状態をセキュリティ対策サーバから取得し、セキュリティ状態に基づいて、依頼のあったクライアント端末にＩＰアドレスを割り当てる。ファイアウォールサーバは、割り当てられたＩＰアドレスに基づいて、クライアント端末のインターネットへのアクセスを制御する。【選択図】図２
2016174255.tif 000002
【特許請求の範囲】
【請求項１】
ＬＡＮとインターネットとの間にファイアウォールサーバを設置し、ＬＡＮからインターネットへのアクセスはファイアウォールサーバを介して行うネットワークシステムにおいて、
ＬＡＮにはＤＨＣＰサーバと一つもしくは複数のクライアント端末を有し、また、各クライアント端末のセキュリティ状態を管理するセキュリティ対策サーバと接続可能なネットワークシステムであって、
前記ＤＨＣＰサーバは、
前記クライアント端末からの依頼により、前記クライアント端末のセキュリティ状態をセキュリティ対策サーバから取得するセキュリティ状態取得手段と、
前記セキュリティ状態取得手段により取得された前記クライアント端末のセキュリティ状態に基づいて、依頼のあった該クライアント端末に割り当て期限付きのＩＰアドレスを動的に割り当てるＩＰアドレス割り当て手段と、
を有し、
前記ファイアウォールサーバは、
前記ＤＨＣＰサーバのＩＰアドレス割り当て手段により割り当てられたＩＰアドレスに基づいて、前記クライアント端末のインターネットへのアクセスを制御するアクセス制御手段
を有することを特徴とするネットワークシステム。
【請求項２】
前記ＩＰアドレス割り当て手段は、前記セキュリティ状態取得手段により取得された前記クライアント端末のセキュリティ状態に基づいて、依頼のあった該クライアント端末に所定のサブネットで割り当てられた割り当て期限付きのＩＰアドレスを割り当て、
前記アクセス制御手段は、前記所定のサブネットで割り当てられたＩＰアドレスのクライアント端末に対してインターネットへのアクセスを制御することを特徴とする、請求項１に記載のネットワークシステム。
【請求項３】
前記セキュリティ状態取得手段により取得された前記クライアント端末のセキュリティ状態が安全かを判断するセキュリティ状態判断手段と、
前記ＩＰアドレス割り当て手段は、前記セキュリティ状態判断手段によりセキュリティ状態が安全ではないと判断されたクライアント端末に割り当てられたＩＰアドレスの割り当て期限を、セキュリティ状態が安全であると判断されたクライアント端末に割り当てられたＩＰアドレスの割り当て期限よりも短くすることを特徴とする請求項１乃至２に記載のネットワークシステム。
【請求項４】
前記セキュリティ状態判断手段は、前記クライアント端末内のウィルス対策ソフトのバージョンが最新バージョンから所定のバージョン以内か、もしくは前記クライアント端末内のウィルス対策ソフトの更新日時が所定の日数以内か、もしくは、前記クライアント端末内のソフトウェアのバージョンが最新バージョンから所定のバージョン以内かによって判断することを特徴とする請求項３に記載のネットワークシステム。
【請求項５】
前記ＩＰアドレス割り当て手段は、前記クライアント端末の、前記セキュリティ状態判断手段によりセキュリティ状態が安全ではないと判断されて割り当てられたＩＰアドレスの割り当て期限を超える回数により、前記ＩＰアドレスの割り当て期限を変更することを特徴とする請求項３又は４に記載のネットワークシステム。
【請求項６】
前記ＩＰアドレス割り当て手段は、前記クライアント端末の、前記セキュリティ状態判断手段によりセキュリティ状態が安全ではないと判断されて割り当てられたＩＰアドレスの割り当て回数が増える度に、前記ＩＰアドレスの割り当て期限を増加させることを特徴とする請求項３乃至５に記載のネットワークシステム。
【請求項７】
ＬＡＮとインターネットとの間にファイアウォールサーバを設置し、ＬＡＮからインターネットへのアクセスはファイアウォールサーバを介して接続しており、前記ＬＡＮ内には一つもしくは複数のクライアント端末を有し、各クライアント端末のセキュリティ状態を管理するセキュリティ対策サーバと接続可能な、前記ＬＡＮ内に存在するＤＨＣＰサーバであって、
前記クライアント端末からの依頼により、前記クライアント端末のセキュリティ状態をセキュリティ対策サーバから取得するセキュリティ状態取得手段と、
前記セキュリティ状態取得手段により取得された前記クライアント端末のセキュリティ状態に基づいて、依頼のあった該クライアント端末に割り当て期限付きのＩＰアドレスを動的に割り当てるＩＰアドレス割り当て手段と、
を有することを特徴とするＤＨＣＰサーバ。
【請求項８】
ＬＡＮとインターネットとの間にファイアウォールサーバを設置し、ＬＡＮからインターネットへのアクセスはファイアウォールサーバを介して行うネットワークシステムにおける制御方法であって、
ＬＡＮにはＤＨＣＰサーバと一つもしくは複数のクライアント端末を有し、また、各クライアント端末のセキュリティ状態を管理するセキュリティ対策サーバと接続可能なネットワークシステムであり、
前記ＤＨＣＰサーバは、
前記クライアント端末からの依頼により、前記クライアント端末のセキュリティ状態をセキュリティ対策サーバから取得するセキュリティ状態取得工程と、
前記セキュリティ状態取得工程により取得された前記クライアント端末のセキュリティ状態に基づいて、依頼のあった該クライアント端末に割り当て期限付きのＩＰアドレスを動的に割り当てるＩＰアドレス割り当て工程と、
を有し、
前記ファイアウォールサーバは、
前記ＤＨＣＰサーバのＩＰアドレス割り当て工程により割り当てられたＩＰアドレスに基づいて、前記クライアント端末のインターネットへのアクセスを制御するアクセス制御工程
を有することを特徴とする制御方法。
【請求項９】
ＤＨＣＰサーバおよびファイアウォールサーバをを請求項８に記載された制御方法のように実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、クライアント端末のネットワークへの接続を制御するシステムに関する。
【背景技術】
【０００２】
現在ＰＣをターゲットとしたウィルスは次々新種が生み出されており、ウィルス対策ソフトの定義ファイルを更新しなければウィルス感染の確率が上がってしまう。そのため、ウィルス対策ソフトの定義ファイルの更新をクライアント端末から定期的に行う処理が実行されている。しかし、定期的な更新処理であるため、クライアント端末を起動した時間によっては、ウィルス対策ソフトの更新が行われないことがある。
【０００３】
特許文献１では、セキュリティ管理装置が端末のセキュリティレベルに応じて該端末のアクセス制御を行い、セキュリティ設定を促すことにより、セキュリティ管理の省力化を図りつつ所望のセキュリティを確保する技術が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００４−２３４３７８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１の場合、ルータにセキュリティチェック機能を持たせることで、アクセス可能範囲を制御できるネットワークを実現しているが、ネットワーク機器に機構を持たせアクセス毎にチェックするネットワークでは、ルータ自体に高度な計算能力がなければ大量のアクセス処理が不可能になる可能性が高く、ネットワークのボトルネックなってしまう。すなわち、ルータでアクセス毎にルーティング以外のチェック機構が動作する必要があり、ルータの処理負荷、ネットワーク負荷が増大してしまう。
【０００６】
本発明の目的は、ルータやファイアウォールへの負荷を増やすことなく、セキュリティ対策ソフトのバージョンが更新されていないクライアント端末をインターネットに接続できないように制御することである。
【課題を解決するための手段】
【０００７】
本発明は、ＬＡＮとインターネットとの間にファイアウォールサーバを設置し、ＬＡＮからインターネットへのアクセスはファイアウォールサーバを介して行うネットワークシステムにおいて、ＬＡＮにはＤＨＣＰサーバと一つもしくは複数のクライアント端末を有し、また、各クライアント端末のセキュリティ状態を管理するセキュリティ対策サーバと接続可能なネットワークシステムであって、前記ＤＨＣＰサーバは、前記クライアント端末からの依頼により、前記クライアント端末のセキュリティ状態をセキュリティ対策サーバから取得するセキュリティ状態取得手段と、前記セキュリティ状態取得手段により取得された前記クライアント端末のセキュリティ状態に基づいて、依頼のあった該クライアント端末に割り当て期限付きのＩＰアドレスを動的に割り当てるＩＰアドレス割り当て手段と、を有し、前記ファイアウォールサーバは、前記ＤＨＣＰサーバのＩＰアドレス割り当て手段により割り当てられたＩＰアドレスに基づいて、前記クライアント端末のインターネットへのアクセスを制御するアクセス制御手段を有することを特徴とする。
【発明の効果】
【０００８】
本発明は、ルータに負荷を与えることなく、セキュリティ対策ソフトのバージョンが更新されていないクライアント端末をインターネットに接続できないように制御できるという効果を有する。
【図面の簡単な説明】
【０００９】
【図１】本発明の実施形態に係るネットワークシステムのシステム構成を示すブロック図である。
【図２】本発明の実施形態に係るＤＨＣＰサーバ１００、クライアント１０１、ファイアウォールサーバ１０２ならびにセキュリティ対策サーバ１０３に適用可能な情報処理装置のハードウェア構成を示すブロック図である。
【図３】本発明のネットワークシステムにおけるクライアント１０１へＩＰアドレスを割り振る処理の制御処理手順の一例を示すフローチャートである。
【図４】本発明の実施形態におけるネットワーク接続を試みるクライアント１０１とＤＨＣＰサーバ１００のＩＰアドレスのリース期間を制御する処理の流れの例を説明するフローチャートである。
【図５】本発明の実施形態における外部接続可能なＩＰアドレスからのリース期間延長依頼を受けた場合のＤＨＣＰサーバ１００の処理の流れを説明するフローチャートである。
【図６】本発明の実施形態における外部接続不可能なＩＰアドレスからのリース期間延長依頼を受けた場合のＤＨＣＰサーバ１００の処理の流れを説明するフローチャートである。
【図７】本発明において、クライアント１０１がセキュリティ対策サーバ１０３にセキュリティ対策ソフトの定義ファイルの更新を依頼する処理の流れを説明するフローチャートである。
【図８】本発明の実施形態におけるネットワーク接続を試みるクライアント１０１とファイアウォールサーバ１０２の処理の流れの例を示したフローチャートである。
【図９】本発明の実施形態におけるインターネットへ接続できないクライアント１０１のディスプレイ２１０に表示される警告画面の例である。
【図１０】本発明の実施形態におけるＤＨＣＰサーバ１００およびセキュリティ対策サーバ１０３が有するデータ構成の例を示す模式図である。
【発明を実施するための形態】
【００１０】
以下、図面を参照して、本発明の実施形態を詳細に説明する。まず、図１を参照して、本発明のシステム構成を説明する。
【００１１】
図１は、本発明の実施形態に係るネットワークシステムのシステム構成を示すブロック図である。セキュリティ対策サーバ１０３は、ウィルス対策ソフトの最新バージョンファイルや差分ファイルをクライアントやサーバに提供するサーバであり、各クライアントやサーバ毎に頒布した現在のウィルス対策ソフトのバージョンを記憶している。ファイアウォールサーバ１０２はインターネット１０４とＬＡＮ１０５との間に位置し、インターネット１０４からのアクセスを一定条件で遮断して、ＬＡＮ１０５内のクライアント端末１０１や各種サーバ１００，１０３の安全を維持している。ＤＨＣＰサーバ１００は、各クライアントからの要求により、クライアントのＩＰアドレスを動的に割り振る。
【００１２】
ＤＨＣＰサーバ１００は、このＩＰアドレスを割り振る際に、ファイアウォールサーバ１０２と連携し、一定のＩＰアドレスを割り振ったクライアント端末がインターネット１０４への接続を制限されるようなＩＰアドレスを発行する。連携しているファイアウォールサーバ１０２は、予めインターネット１０４への接続を制限するよう設定されたＩＰアドレスのクライアント端末からの接続依頼に関しては、インターネット１０４への接続を制限する。
【００１３】
インターネット１０４への接続を制限するか許可するかは、セキュリティ対策サーバ１０３に記憶している各クライアントのバージョン情報により判断する。すなわち、ＤＨＣＰサーバにウィルス対策ソフトのバージョンが最新のバージョンより古いクライアントからのＩＰアドレスの割り振り依頼が来ると、ＤＨＣＰサーバ１００は、セキュリティ対策サーバ１０３にクライアントのウィルス対策ソフトのバージョンを確認し、バージョンが古ければ、ファイアウォールサーバ１０２でインターネット１０４への接続を制限するようなＩＰアドレスを割り振る。
【００１４】
クライアント１０１は、ＬＡＮ１０５内の他のサーバやインターネット１０４などに接続するために、ＩＰアドレスの取得依頼をＤＨＣＰサーバに依頼し、インターネット１０４やＬＡＮ１０５へと接続する。また、定期的にウィルス対策ソフトのバージョンの更新依頼をセキュリティ対策サーバ１０３へと依頼する。
【００１５】
以上の処理により、本ネットワークシステムは、ルータやファイアウォールの負荷を増やすことなく、セキュリティ対策ソフトのバージョンが更新されていないクライアント端末をインターネットに接続できないように制御する。この処理によって、セキュリティ対策ソフトのバージョンが更新されてないクライアント端末によるインターネットへのアクセスによるウィルスのダウンロードや、セキュリティパッチの当たっていないソフトによるウィルスの感染などを防ぐことができる。
【００１６】
なお、各サーバは、複数の筐体から構成されていても良いし、いくつかの筐体は一つで構成されていても良い。たとえば、セキュリティ対策サーバ１０３とＤＨＣＰサーバ１００は一つの筐体でも良いし、ＤＨＣＰサーバ１００とファイアウォールサーバ１０２も共通の筐体としてもよい。
【００１７】
次に、図２を参照して、本発明で利用する情報処理装置のハードウェア構成について説明する。
【００１８】
図２は、本発明の実施形態におけるＤＨＣＰサーバ１００、クライアント１０１、ファイアウォールサーバ１０２ならびにセキュリティ対策サーバ１０３に適用可能な情報処理装置のハードウェア構成図である。
【００１９】
図２において、２０１はＣＰＵで、システムバス２０４に接続される各デバイスやコントローラを統括的に制御する。また、ＲＯＭ２０３あるいは外部メモリ２１１には、ＣＰＵ２０１の制御プログラムであるＢＩＯＳ（Ｂａｓｉｃ  Ｉｎｐｕｔ  ／  Ｏｕｔｐｕｔ  Ｓｙｓｔｅｍ）やオペレーティングシステムプログラム（以下、ＯＳ）や、画像管理を実行する機能を実現するために必要な後述する各種プログラム等が記憶されている。
【００２０】
２０２はＲＡＭで、ＣＰＵ２０１の主メモリ、ワークエリア等として機能する。ＣＰＵ２０１は、処理の実行に際して必要なプログラム等をＲＯＭ２０３あるいは外部メモリ２１１からＲＡＭ２０２にロードして、該ロードしたプログラムを実行することで各種動作を実現するものである。
【００２１】
また、２０５は入力コントローラで、キーボードやポインティングデバイス等の入力装置２０９からの入力を制御する。２０６はビデオコントローラで、ディスプレイ装置２１０等の表示器への表示を制御する。これらは必要に応じて操作者が使用するものである。
【００２２】
２０７はメモリコントローラで、ブートプログラム，各種のアプリケーション，フォントデータ，ユーザファイル，編集ファイル，各種データ等を記憶するハードディスク（ＨＤ）や、フレキシブルディスク（ＦＤ）、或いはＰＣＭＣＩＡカードスロットにアダプタを介して接続されるコンパクトフラッシュ（登録商標）メモリ等の外部メモリ２１１へのアクセスを制御する。
【００２３】
また、外部メモリ２１１のハードディスク（ＨＤ）は、情報処理装置１００において、録画された音声付動画や音声ファイルを記憶する大容量のメモリ領域を有している。
【００２４】
２０８は通信Ｉ／Ｆ（インタフェース）コントローラで、ネットワーク（例えば、無線ＬＡＮなど）を介して外部機器と接続・通信するものであり、ネットワークでの通信制御処理を実行する。例えば、ＴＣＰ／ＩＰを用いた通信等が可能である。
【００２５】
なお、ＣＰＵ２０１は、例えばＲＡＭ２０２内の表示情報用領域へアウトラインフォントの展開（ラスタライズ）処理を実行することにより、ディスプレイ装置２１０上での表示を可能としている。また、ＣＰＵ２０１は、ディスプレイ装置２１０上の不図示のマウスカーソル等でのユーザ指示を可能とする。
【００２６】
本発明を実現するための後述するフローチャートに示す各ステップの処理は、コンピュータで読み取り実行可能なプログラムにより実行され、そのプログラムは外部メモリ２１１に記録されている。そして、必要に応じてＲＡＭ２０２にロードされることによりＣＰＵ２０１によって実行されるものである。さらに、上記プログラムの実行時に用いられる定義ファイル及び各種情報テーブル等も、外部メモリ２１１に格納されており、これらについての詳細な説明も後述する。
【００２７】
次に、図３〜図７のフローチャートを参照して、ネットワークシステムがクライアントへＩＰアドレスを割り振る処理を説明する。
【００２８】
図３は、本発明のネットワークシステムにおけるクライアント１０１へＩＰアドレスを割り振る処理の制御処理手順の一例を示すフローチャートであり、それぞれの処理は各情報処理装置のＣＰＵ２０１により実行される。なお、Ｓ３０１〜Ｓ３０７は各処理のステップを示す。
【００２９】
図３のフローチャートは、クライアント１０１がネットワークシステムに接続するためにＩＰアドレスをＤＨＣＰサーバ１００に要求した際に開始されるフローチャートである。
【００３０】
まず、図３のステップＳ３０１において、クライアント１０１は、ＤＨＣＰサーバ１００にＩＰアドレスの割当依頼を要求する。
【００３１】
次に、ステップＳ３０２において、ＤＨＣＰサーバ１００は、ＩＰアドレスの割当要求を送信してきたクライアント１０１のウィルス対策ソフトの定義ファイルの状況をセキュリティ対策サーバ１０３へ要求する。
【００３２】
ステップＳ３０３において、セキュリティ対策サーバ１０３は、ＩＰアドレスの割当要求を送信してきたクライアント１０１のウィルス対策ソフトの定義ファイルの状況をＤＨＣＰサーバ１００に送信する。すなわち、該当のクライアント１０１のウィルス対策ソフトの定義ファイルが最新かそうでない場合はバージョンもしくは更新日付がどれだけ古いかという情報を送信する。図１０を参照して、セキュリティ対策サーバ１０３送信する、該当のクライアント１０１のウィルス対策ソフトの定義更新情報（定義ファイルのバージョン情報）と最新バージョン情報とを説明する。
【００３３】
図１０は、本発明の実施形態におけるＤＨＣＰサーバ１００およびセキュリティ対策サーバ１０３が有するデータ構成の例を示す模式図である。
【００３４】
図１０の１０２０は、セキュリティ対策サーバ１０３が有するセキュリティ対策ソフトのバージョンを管理している定義更新情報の例である。
【００３５】
１０２０のＭＡＣアドレス欄には、クライアント１０１毎のＭＡＣアドレスが登録されており、バージョン情報欄には、それぞれのクライアント１０１にインストールされているセキュリティ対策ソフト（具体的にはウィルス対策ソフト）のバージョン情報が登録されている。
【００３６】
１０３０には、セキュリティ対策サーバ１０３が有するウィルス対策ソフトのバージョン情報とそのバージョンが最新かどうかのフラグを記憶したデータ（バージョン履歴情報）である。
【００３７】
バージョン履歴情報によると、最新のウィルス対策ソフトのバージョンは、１０３０のように、最新フラグ欄が「１」の「ｖｅｒ１．０２」である。
【００３８】
この２つの情報をＤＨＣＰサーバ１００に送信して、ＩＰアドレスの割当要求を送信してきたクライアント１０１のＩＰアドレスをインターネットに接続できるＩＰアドレスかできないＩＰアドレスかをＤＨＣＰサーバ１００に判断させる。図３のフローチャートの説明に戻る。
【００３９】
次にステップＳ３０４において、ＤＨＣＰサーバ１００は、セキュリティ対策サーバ１０３からＩＰアドレスの割当要求を送信してきたクライアント１０１のウィルス対策ソフトの定義ファイルの状況を受信すると、その定義ファイルが一定期間以上古いかどうかを判断する。一定期間以上古いとは、たとえば、更新日付が１週間以上古い場合、もしくは一定のバージョン以上のバージョンアップがされていない場合などである。図１０を参照して、一定期間以上古いかどうかを判断する処理を図１０を参照して説明する。
【００４０】
セキュリティ対策サーバ１０３から送信された図１０の１０２０のデータと１０３０のデータを参照して、一定期間以上が一日以上だった場合を想定する。たとえば、バージョン履歴情報１０３０によると、最新のウィルス対策ソフトのバージョンは、最新フラグ欄が「１」の「ｖｅｒ１．０２」である。「ｖｅｒ１．０２」のウィルス対策ソフトのバージョンより一日以上古いバージョンは、バージョン履歴情報１０３０によると、「ｖｅｒ１．０１」以前である。「ｖｅｒ１．０１」以前のウィルス対策ソフトのバージョンを有するクライアントとしては、定義更新情報１０２０によると、バージョン情報が「ｖｅｒ１．０１」であるクライアントＭＡＣアドレスが「ＡＡＡＡ」のクライアントであり、ＭＡＣアドレスが「ＡＡＡＡ」のクライアントは、一定期間以上古いと判断される。一方、ウィルス対策ソフトのバージョンが「ｖｅｒ１．０２」であるＭＡＣアドレスが「ＢＢＢＢ」であるクライアントは、一定期間以内に更新されているバージョンであると判断される。図３のフローチャートの説明に戻る。
【００４１】
ステップＳ３０４において、取得した定義ファイルが一定期間以上古い場合は、ステップＳ３０６へと処理を移行し、一定期間以内に更新されている、もしくは定義ファイルのバージョンが最新の場合は、ステップＳ３０５へと処理を移行する。
【００４２】
ステップＳ３０５に処理が移行されると、ＤＨＣＰサーバ１００は、クライアント１０１に外部へ接続可能なＩＰアドレスを割り振る処理を行う。外部へ接続可能なＩＰアドレスを割り振る際のＩＰアドレスについて、図１０のデータ構成図を参照して説明する。
【００４３】
図１０の１０００は、外部に接続可能なＩＰアドレスを割り振る際のデータであり、ＩＰアドレス欄が「１１１．１１１．１１１．＊」で表現されている。この「１１１．１１１．１１１．＊」のサブネットのＩＰアドレスは、ファイアウォールで外部に接続可能と登録されているＩＰアドレスである。詳細は図８のフローチャートで説明する。図３のフローチャートの説明に戻る。
【００４４】
図３のステップＳ３０５において、ＤＨＣＰサーバ１００がクライアント１０１に外部へ接続可能なＩＰアドレスを割り振る処理を実行後、ステップＳ３０７へと処理を遷移する。
【００４５】
一方、ステップＳ３０４において、取得した定義ファイルが一定期間以上古い場合は、ステップＳ３０６へと処理を移行る。
【００４６】
ステップＳ３０６に処理が移行されると、ＤＨＣＰサーバ１００は、クライアント１０１に外部へ接続不可能なＩＰアドレスを割り振る処理を行う。外部へ接続不可能なＩＰアドレスを割り振る際のＩＰアドレスについて、図１０のデータ構成図を参照して説明する。
【００４７】
図１０の１０１０は、外部に接続不可能なＩＰアドレスを割り振る際のデータであり、ＩＰアドレス欄が「１１１．１１１．２２２．＊」で表現されている。この「１１１．１１１．２２２．＊」のサブネットのＩＰアドレスは、ファイアウォールで外部に接続不可能と登録されているＩＰアドレスである。詳細は図８のフローチャートで説明する。図３のフローチャートの説明に戻る。
【００４８】
ステップＳ３０６の処理後、ステップＳ３０７の処理へと移行する。
【００４９】
ステップＳ３０７において、クライアント１０１は、ＤＨＣＰサーバ１００によって割り振られたＩＰアドレスに設定し、次のステップＳ３０８において、ネットワーク接続を試みる。ステップＳ３０８の処理を図８を参照して説明する。
【００５０】
図８は、本発明の実施形態におけるネットワーク接続を試みるクライアント１０１とファイアウォールサーバ１０２の処理の流れの例を示したフローチャートであり、それぞれの処理は各情報処理装置のＣＰＵ２０１により実行される。なお、Ｓ８０１〜Ｓ８０８は各処理のステップを示す。
【００５１】
図８のフローチャートは、クライアント１０１が社外ネットワークに接続しようとする際に開始されるフローチャートである。
【００５２】
まず、図８のステップＳ８０１において、クライアント１０１は、ファイアウォールサーバ１０２にインターネットへのアクセス依頼を送信する。
【００５３】
次に、ステップＳ８０２において、ファイアウォールサーバ１０２は、クライアント１０１から送信元のＩＰアドレスを受信する。
【００５４】
次に、ステップＳ８０３において、ファイアウォールサーバ１０２は、受信したＩＰアドレスが外部に接続して良いＩＰアドレスかどうかを判断する。具体例を図１０を参照して説明する。
【００５５】
図１０の１０００と１０１０には、ＤＨＣＰサーバ１００が記憶している外部へ接続可能なＩＰアドレスと接続不可能なＩＰアドレスの例が示されている。
【００５６】
１０００では、ネットワークアドレス部分が「１１１．１１１．１１１」のクライアントの例１００１が記載されている。このネットワークアドレス部分が「１１１．１１１．１１１」のクライアントは、外部に接続可能なＩＰアドレスとしてファイアウォールサーバ１０２に登録されており、たとえば、１０００のＩＰアドレス欄に記載されているクライアント１０１は、ファイアウォールサーバ１０２から外部のインターネット１０４に接続することができる。
【００５７】
一方、１００１では、ネットワークアドレス部分が「１１１．１１１．２２２」のクライアントの例１０１１が記載されている。このネットワークアドレス部分が「１１１．１１１．２２２」のクライアントは、外部に接続不可能なＩＰアドレスとしてファイアウォールサーバ１０２に登録されており、たとえば、１００１のＩＰアドレス欄に記載されているクライアント１０１は、ファイアウォールサーバ１０２から外部のインターネット１０４に接続することができない。図８のフローチャートの説明に戻る。
【００５８】
図８のステップＳ８０３において、受信したＩＰアドレスが外部に接続して良いＩＰアドレスであった場合は、ステップＳ８０４へと処理を遷移し、インターネット側情報処理装置へとデータを送信する。ステップＳ８０４において、データを受信したインターネット側情報処理装置は、データを処理後、ステップＳ８０７へと処理を移行し、データをファイアウォールサーバ１０２を経由してクライアント１０１に送信し、ステップＳ８０８において、クライアント１０１はデータを受信して表示などの処理を実行する。
【００５９】
また、ステップＳ８０３において、受信したＩＰアドレスが外部に接続して良いＩＰアドレスでなかった場合は、ステップＳ８０５へと処理を遷移する。
【００６０】
ステップＳ８０５へ処理が遷移されると、ファイアウォールサーバ１０２は、クライアント１０１で外部に接続できない旨のエラー画面を表示するための画面情報を生成し、クライアント１０１に送信する。送信されたエラー画面情報を受信したクライアント１０１は、ステップＳ８０６において、受信したエラー画面情報をクライアント１０１のディスプレイ２１０に表示し、ユーザにセキュリティ対策を講じるようにユーザに促す。表示するエラー画面情報の例を図９を参照して説明する。
【００６１】
図９は、本発明の実施形態におけるインターネットへ接続できないクライアント１０１のディスプレイ２１０に表示される警告画面の例である。
【００６２】
図９の９００が、インターネットに接続できなかったクライアント１０１のディスプレイ２１０に表示された警告画面の例であり、９０１には警告文字「接続不可」、９０２には対策文字「ウィルス対策ソフトのバージョンが古いので、最新バージョンにしてください」が表示される。
【００６３】
以上の処理により、ウィルス対策ソフトなどが更新されていないクライアント１０１がインターネットに接続しようとするとインターネットへの接続を制限し、ウィルス対策ソフトが最新のバージョンに更新していないと防げないウィルスなどの侵入を防ぐことができる。
【００６４】
次に、ＤＨＣＰサーバが付与するＩＰアドレスのリース期間をウィルス対策ソフトのバージョンにより変化させる処理を図４を参照して説明する。
【００６５】
図４は、本発明の実施形態におけるネットワーク接続を試みるクライアント１０１とＤＨＣＰサーバ１００のＩＰアドレスのリース期間を制御する処理の流れの例を説明するフローチャートであり、それぞれの処理は各情報処理装置のＣＰＵ２０１により実行される。なお、Ｓ４０１〜Ｓ４０４は各処理のステップを示す。
【００６６】
図４のフローチャートは、クライアント１０１がＩＰアドレスの発行、およびリース期間が切れて延長を要求する際に開始されるフローチャートである。
【００６７】
まず、図４のステップ４０１において、クライアント１０１は、ＩＰアドレスのリースの延長をＤＨＣＰサーバ１００に依頼する。
【００６８】
次に、ステップＳ４０２において、ＤＨＣＰサーバ１００は、セキュリティ対策サーバ１０３に対してＩＰアドレスのリースの延長を要求するクライアント１０１のセキュリティ対策ソフトの定義更新情報を要求する。
【００６９】
次に、ステップＳ４０３において、セキュリティ対策サーバ１０３は、定義更新情報をＤＨＣＰサーバ１００に送信する。送る情報は、ステップＳ３０３と同様である。
【００７０】
次に、ステップＳ４０４において、ＤＨＣＰサーバ１００は、セキュリティ対策サーバ１０３から定義更新情報を受信する。その後、ＩＰアドレスのリースの延長を要求するクライアント１０１が有していたＩＰアドレスにより、ＤＨＣＰサーバ１００は、処理を分ける。クライアント１０１のＩＰアドレスが外部接続可能なＩＰアドレスの場合は、図５の処理へと移行し、クライアント１０１のＩＰアドレスが外部接続不可能なＩＰアドレスの場合は、図６の処理へと移行する。外部接続可能か不可能かの判断は、図１０の１０００や１０１０のように、ＩＰアドレスのネットワークアドレス部分が、たとえば「１１１．１１１．１１１」か「１１１．１１１．２２２」によって分ける。
【００７１】
クライアント１０１のＩＰアドレスが外部接続可能なＩＰアドレスの場合のＤＨＣＰサーバ１００の処理を図５を参照して説明する。
【００７２】
図５は、本発明の実施形態における外部接続可能なＩＰアドレスからのリース期間延長依頼を受けた場合のＤＨＣＰサーバ１００の処理の流れを説明するフローチャートであり、それぞれの処理は各情報処理装置のＣＰＵ２０１により実行される。なお、Ｓ５０１〜Ｓ５０２は各処理のステップを示す。
【００７３】
図５のフローチャートは、ＤＨＣＰサーバ１００が外部に接続可能なＩＰアドレスのクライアント１０１からリース期間の延長依頼を受けた場合に開始される処理の流れである。
【００７４】
図５のステップＳ５０１において、ＤＨＣＰサーバ１００は、ステップＳ４０４で受信した定義更新情報から、ＩＰアドレスのリースの延長を要求するクライアント１０１のウィルス対策ソフトのバージョンが古いかどうかにより、次のリース期間のＩＰアドレスを決定する。ＩＰアドレスのリースの延長を要求するクライアント１０１のウィルス対策ソフトのバージョンが一定期間より古い場合は、図６のステップＳ６０３へと処理を移行して外部への接続が不可能なＩＰアドレスを割り当てる。詳細は後述する。一方、ＩＰアドレスのリースの延長を要求するクライアント１０１のウィルス対策ソフトのバージョンが一定期間より新しい場合は、ステップＳ５０２へと処理を移行して、クライアント１０１のＩＰアドレスを延長する処理を実行する。
【００７５】
ステップＳ５０２に移行すると、ＤＨＣＰサーバ１００は、クライアント１０１が使用しているＩＰアドレスの使用期間を延長するように外部接続可能ＩＰアドレスとして図１０の１０００のデータベースに継続して登録する。その後、クライアント１０１にＩＰアドレス延長要求の許可を出して、ステップＳ３０７へと処理を移行する。
【００７６】
一方、ＩＰアドレスのリースの延長を要求するクライアント１０１のウィルス対策ソフトのバージョンが一定期間より古い場合の処理を図６を参照して説明する。
【００７７】
図６は、本発明の実施形態における外部接続不可能なＩＰアドレスからのリース期間延長依頼を受けた場合のＤＨＣＰサーバ１００の処理の流れを説明するフローチャートであり、それぞれの処理は各情報処理装置のＣＰＵ２０１により実行される。なお、Ｓ６０１〜Ｓ６０４は各処理のステップを示す。
【００７８】
図６のフローチャートは、ＤＨＣＰサーバ１００が外部に接続不可能なＩＰアドレスのクライアント１０１からリース期間の延長依頼を受けた場合に開始される処理の流れである。
【００７９】
図６のステップＳ６０１において、ＤＨＣＰサーバ１００は、ステップＳ４０４で受信した定義更新情報から、ＩＰアドレスのリースの延長を要求するクライアント１０１のウィルス対策ソフトのバージョンが古いかどうかにより、次のリース期間のＩＰアドレスを決定する。ＩＰアドレスのリースの延長を要求するクライアント１０１のウィルス対策ソフトのバージョンが一定期間より古い場合は、ステップＳ６０３へと処理を移行して外部への接続が不可能なＩＰアドレスを割り当てる。一方、ＩＰアドレスのリースの延長を要求するクライアント１０１のウィルス対策ソフトのバージョンが一定期間より新しい場合は、ステップＳ６０２へと処理を移行して、クライアント１０１のＩＰアドレスを延長する処理を実行する。
【００８０】
ステップＳ６０２に移行すると、ＤＨＣＰサーバ１００は、クライアント１０１に割り振るＩＰアドレスを、図１０の１０００で割り振られる外部接続可能なＩＰアドレスのデータを設定する（図１０の１０００のＭＡＣアドレス欄にＩＰアドレスのリースの延長を要求するクライアント１０１のＭＡＣアドレスを入力する）。その後、設定されたＭＡＣアドレスのクライアント１０１に図１０の１０００で割り振られたＩＰアドレスを送信する処理を行い、ステップＳ３０７へと処理を移行する。
【００８１】
ステップＳ６０１において、ＩＰアドレスのリースの延長を要求するクライアント１０１のウィルス対策ソフトのバージョンが一定期間より古い場合は、ステップＳ６０３へと処理を移行する。ステップＳ６０３以降において、ＤＨＣＰサーバ１００は、外部接続不可能なＩＰアドレスのリースを延長させる処理を行うが、最初のリース期間は短く設定し、ユーザがセキュリティ対策ソフトのバージョンを上げればすぐに外部に接続できるようにする。一方、何回リースしてもセキュリティ対策ソフトのバージョンを上げないクライアントに対しては、ＤＨＣＰサーバ１００への頻繁なリース延長の依頼を防ぎ、ＤＨＣＰサーバ１００の負荷を下げるために、リース期間を長く設定する。
【００８２】
ステップＳ６０３において、ＤＨＣＰサーバ１００は、ＩＰアドレスのリースの延長を要求するクライアント１０１のＩＰアドレスが外部接続不可能なＩＰアドレスを割り振る回数をカウントし、リースする回数によりリース期間を変更する。図１０を参照して、クライアント１０１が割り振られるＩＰアドレスのリース回数によってリース期間の値を変化させる処理を説明する。
【００８３】
図１０の１０４０は、外部接続不可能なＩＰアドレスを割り振るリースの時間を、ＩＰアドレスのリース回数によって変更するデータの例である。
【００８４】
１０４０のリース期間設定データの１０４１行のように、最初に外部接続不可能なＩＰアドレスを割り振る場合は、たとえば、リース期間を５分とする。これにより、ユーザがクライアント１０１を立ち上げ後、すぐにセキュリティ対策ソフトのバージョンをアップした場合や、クライアント１０１が起動後、自動的にセキュリティ対策ソフトのバージョンをアップする設定の場合は、５分後のＩＰアドレスを再リースする際に、外部接続可能なＩＰアドレスを割り振ることができる。
【００８５】
一方、リースの更新回数が３回目となるクライアント１０１の場合は、１０４０のリース期間設定データの１０４２行のように、リース期間を６０分と設定し、ＤＨＣＰサーバ１００への負荷を減らすことができる。１０４０のように、３回目（１０４０の場合は５分＋１５分＝２０分）までセキュリティ対策ソフトをバージョンアップしないパターンとしては、たとえば開発環境でＯＳやソフトウェアを故意にバージョンアップさせない場合などが考えられる。その場合は、ＤＨＣＰサーバ１００に頻繁にＩＰアドレスの再リースの依頼をすると、ＤＨＣＰサーバ１００の負荷が大きくなるため、リース期間を空けることによりＤＨＣＰサーバ１００への負荷を減らすことができる。なお、このリース更新回数は、当然ながら外部接続可能なＩＰアドレスに変更されると、リセットされ、外部接続不可能なＩＰアドレスへのリース回数は、０回となる。図６のフローチャートの説明に戻る。
【００８６】
図６のステップＳ６０３において、リース更新回数によってリース期間が設定されると、次のステップＳ６０４において、現在使用している外部接続不可能なＩＰアドレスをステップＳ６０３において設定されたリース期間で割り振る（ＩＰアドレスを延長する）。
【００８７】
ステップＳ６０４のＩＰアドレスの割り振り延長処理が終わると、延長されたＩＰアドレスをクライアント１０１に送信する処理を行い、ステップＳ３０７へと処理を移行する。
【００８８】
以上の処理のように、ＩＰアドレスを割り振る際に、セキュリティ対策ソフトのバージョンが更新されていないクライアントに外部接続不可能なＩＰアドレスを割り振る場合、当初は短時間の付与とし、セキュリティ対策ソフトをすぐにバージョンアップさせるクライアントに対しては、セキュリティ対策ソフトをバージョンアップすると思われる期間だけ外部接続不可能なＩＰアドレスを付与する処理とする。一方、セキュリティ対策ソフトをバージョンアップさせる必要がないクライアントに対しては、ＤＨＣＰサーバ１００への頻繁なリース期間の延長依頼を防ぐため、当初のＩＰアドレス割り振り時間より長くして、ＤＨＣＰサーバ１００への負荷を減らす処理とする。
【００８９】
次に、図７を参照して、クライアント１０１がセキュリティ対策サーバ１０３に対してセキュリティ対策ソフトのバージョンアップを依頼する処理について説明する。
【００９０】
図７は、本発明において、クライアント１０１がセキュリティ対策サーバ１０３にセキュリティ対策ソフトの定義ファイルの更新を依頼する処理の流れを説明するフローチャートであり、それぞれの処理は各情報処理装置のＣＰＵ２０１により実行される。なお、Ｓ７０１〜Ｓ７０４は各処理のステップを示す。
【００９１】
図７のフローチャートは、クライアント１０１がセキュリティ対策ソフトの定義ファイルを更新する際に開始される処理の流れである。なお、セキュリティ対策ソフトの定義ファイルの更新とは、ソフトウェアのパッチやＯＳのバージョンアップなども含める事ができ、また、図７の処理はクライアント１０１の起動後など任意の時に開始される処理である。ここで、セキュリティ対策サーバ１０３へは、イントラネット内にある設定で記載しており、クライアント１０１はイントラネット内のセキュリティ対策サーバ１０３に接続することが可能であるが、セキュリティ対策サーバ１０３はインターネットに存在してもよい。その際、ファイアウォールは、セキュリティ対策ソフトが更新されていないクライアント１０１からは、セキュリティ対策サーバ１０３にしか接続できないように設定しておくことで、対応可能である。
【００９２】
図７のステップＳ７０１において、クライアント１０１は、セキュリティ対策ソフトのバージョンアップの依頼（たとえば、ウィルス対策ソフトの定義ファイル更新依頼など）を行う。
【００９３】
次に、ステップＳ７０２において、セキュリティ対策サーバ１０３は、セキュリティ対策サーバ１０３が有する定義更新情報（例えば、図１０の１０２０）の内容を更新する。図１０を参照して具体的に説明する。
【００９４】
たとえば、図１０の１０２０のＭＡＣアドレスが「ＡＡＡＡ」であるクライアント１０２１のセキュリティ対策ソフトのバージョンが「ｖｅｒ１．０１」から「ｖｅｒ１．０２」にバージョンアップされると、１０２１の「ｖｅｒ１．０１」欄は「ｖｅｒ１．０２」に書き換えられ、セキュリティ対策サーバ１０３に記憶される。ここで記憶された定義更新情報１０２０を参照して、ステップＳ３０３やステップＳ４０３でウィルス対策ソフトの定義ファイルのバージョン情報を取得し、ＤＨＣＰサーバ１００にバージョン情報を送信する。図7のフローチャートの説明に戻る。
【００９５】
次に、ステップＳ７０３において、セキュリティ対策サーバ１０３は、たとえば、ウィルス対策ソフトの最新の定義ファイルをクライアント１０１に送信する。
【００９６】
次に、ステップＳ７０４において、クライアント１０１は、セキュリティ対策サーバ１０３から送信された最新の定義ファイルなどをクライアント１０１に適応（インストール）する。
【００９７】
以上のように、セキュリティ対策サーバ１０３が各クライアント端末を管理することによって、クライアント１０１毎のユーザがパーソナルファイアウォールの設定を勝手に変更した場合でも、インターネットへの接続を制限することができる。
【００９８】
以上の処理により、ルータに負荷を与えることなく、セキュリティ対策ソフトのバージョンが更新されていないクライアント端末をインターネットに接続できないように制御できるという効果を有する。
【００９９】
上記実施形態では、複数台の情報処理装置に適用する場合を説明したが、１台で動作する情報処理装置であっても良いし、ネットワーク上のＤＨＣＰサーバやセキュリティ対策サーバ、ファイアウォールサーバなどの処理主体を共通にしてもよい。
【０１００】
なお、特に図示しないが、記録媒体に記憶されるプログラム群を管理する情報、例えばバ−ジョン情報，作成者等も記憶され、かつ、プログラム読み出し側のＯＳ等に依存する情報、例えばプログラムを識別表示するアイコン等も記憶される場合もある。
【０１０１】
さらに、各種プログラムに従属するデータも上記ディレクトリに管理されている。また、インスト−ルするプログラムやデータが圧縮されている場合に、解凍するプログラム等も記憶される場合もある。
【０１０２】
本実施形態における図３〜図８に示す機能が外部からインスト−ルされるプログラムによって、ホストコンピュ−タにより遂行されていてもよい。そして、その場合、ＣＤ−ＲＯＭやフラッシュメモリやＦＤ等の記録媒体により、あるいはネットワークを介して外部の記録媒体から、プログラムを含む情報群を出力装置に供給される場合でも本発明は適用されるものである。
【０１０３】
以上のように、前述した実施形態の機能を実現するソフトウェアのプログラムコ−ドを記録した記録媒体を、システムあるいは装置に供給し、そのシステムあるいは装置のコンピュ−タ（またはＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムコ−ドを読出し実行することによっても、本発明の目的が達成されることは言うまでもない。
【０１０４】
この場合、記録媒体から読み出されたプログラムコ−ド自体が本発明の新規な機能を実現することになり、そのプログラムコ−ドを記憶した記録媒体は本発明を構成することになる。
【０１０５】
プログラムコ−ドを供給するための記録媒体としては、例えば、フレキシブルディスク，ハードディスク，光ディスク，光磁気ディスク，ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＤＶＤ−ＲＯＭ，磁気テ−プ，不揮発性のメモリカ−ド，ＲＯＭ，ＥＥＰＲＯＭ，シリコンディスク等を用いることができる。
【０１０６】
また、コンピュ−タが読み出したプログラムコ−ドを実行することにより、前述した実施形態の機能が実現されるだけでなく、そのプログラムコ−ドの指示に基づき、コンピュ−タ上で稼働しているＯＳ（オペレーティングシステム）等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０１０７】
さらに、記録媒体から読み出されたプログラムコ−ドが、コンピュ−タに挿入された機能拡張ボ−ドやコンピュ−タに接続された機能拡張ユニットに備わるメモリに書き込まれた後、そのプログラムコ−ドの指示に基づき、その機能拡張ボ−ドや機能拡張ユニットに備わるＣＰＵ等が実際の処理の一部または全部を行い、その処理によって前述した実施形態の機能が実現される場合も含まれることは言うまでもない。
【０１０８】
また、本発明は、複数の機器から構成されるシステムに適用しても、１つの機器からなる装置に適用してもよい。また、本発明は、システムあるいは装置にプログラムを供給することによって達成される場合にも適応できることは言うまでもない。この場合、本発明を達成するためのソフトウェアによって表されるプログラムを格納した記録媒体を該システムあるいは装置に読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。
【０１０９】
さらに、本発明を達成するためのソフトウェアによって表されるプログラムをネットワーク上のサーバ，データベ−ス等から通信プログラムによりダウンロードして読み出すことによって、そのシステムあるいは装置が、本発明の効果を享受することが可能となる。
【０１１０】
なお、上述した各実施形態およびその変形例を組み合わせた構成も全て本発明に含まれるものである。
【符号の説明】
【０１１１】
１００  情報処理装置
２０１  ＣＰＵ
２０２  ＲＡＭ
２０３  ＲＯＭ
２０４  システムバス
２０５  入力コントローラ
２０６  ビデオコントローラ
２０７  メモリコントローラ
２０８  通信Ｉ／Ｆコントローラ
２０９  入力装置
２１０  ディスプレイ装置
２１１  外部メモリ
【図１】
2016174255.tif 000003
【図２】
2016174255.tif 000004
【図３】
2016174255.tif 000005
【図４】
2016174255.tif 000006
【図５】
2016174255.tif 000007
【図６】
2016174255.tif 000008
【図７】
2016174255.tif 000009
【図８】
2016174255.tif 000010
【図９】
2016174255.tif 000011
【図１０】
2016174255.tif 000012