(57)【特許請求の範囲】
【請求項１】
第１のサーバ装置と、第２のサーバ装置と、クライアント端末とを具備するシステムであって、
前記第１のサーバ装置は、
前記クライアント端末の識別情報を記憶する第１の記憶手段と、
前記クライアント端末からアクセスを受け、前記識別情報による認証が完了した場合は、前記クライアント端末にＩＰアドレスを送信する第１の送信手段と、
を具備し、
前記第２のサーバ装置は、
前記クライアント端末のポリシー情報を記憶する第２の記憶手段と、
前記クライアント端末からアクセスを受けると、前記識別情報による認証が完了した場合は、前記ポリシー情報をアクセスを受けた前記クライアント端末に送信する第２の送信手段と、
前記クライアント端末が受信したポリシー情報に適合した場合、前記クライアント端末から結果情報を受信する受信手段と、
を具備し、
前記クライアント端末は、
前記第１のサーバ装置へのアクセスを許可する第１のネットワークフィルタを設定する設定手段と、
前記第１のネットワークフィルタが設定された状態で、前記第１のサーバ装置にアクセスして前記ＩＰアドレスの送信を要求する要求手段と、
前記第２のサーバ装置から前記ポリシー情報を取得する取得手段と、
前記取得したポリシー情報をチェックし、前記クライアント端末が前記ポリシー情報に適合しているかを判定する判定手段と、
前記クライアント端末が前記ポリシー情報に適合した場合、前記結果情報を前記第１のサーバ装置に送信する第２の送信手段と
を具備する
ことを特徴とするシステム。
【請求項２】
請求項１に記載のシステムにおいて、
前記識別情報は、前記ＩＰアドレス及び／又はＭＡＣアドレスであることを特徴とするシステム。
【請求項３】
請求項１に記載のシステムにおいて、
前記クライアント端末が前記第２のサーバ装置にアクセスを行う場合は、第２のネットワークフィルタを設定し、前記第２のサーバ装置へのみ接続可能な状態とすることを特徴とするシステム。
【請求項４】
請求項３に記載のシステムにおいて、
前記結果情報は、前記クライアント端末が前記第２のネットワークフィルタを解除した情報であることを特徴とするシステム。
【請求項５】
請求項１に記載のシステムにおいて、
前記第１のネットワークフィルタは、前記第１のサーバ装置および前記第２のサーバ装置へのみ接続可能な状態とする
システム。
【請求項６】
請求項５に記載のシステムにおいて、
前記結果情報は、前記クライアント端末が前記第１のネットワークフィルタを解除した情報であることを特徴とするシステム。
【請求項７】
請求項１に記載のシステムにおいて、
前記第１のサーバは、ＤＨＣＰサーバであることを特徴とするシステム。
【請求項８】
請求項１に記載のシステムにおいて、
前記第２のサーバは、セキュリティサーバサーバであることを特徴とするシステム。
【請求項９】
第１のサーバ装置がクライアント端末の識別情報を記憶し、
第２のサーバが前記第１のクライアント端末のポリシー情報を記憶し、
前記クライアント端末に第１のネットワークフィルタを設定することによって、前記クライアント端末を第１のサーバ装置のみに接続可能な状態にし、
前記第１のネットワークフィルタが設定された状態で、前記クライアント端末が前記第１のサーバ装置にアクセスして、ＩＰアドレスの送信を要求し、
前記識別情報による認証が完了した場合は、前記第１のサーバ装置が前記クライアント端末に前記ＩＰアドレスを送信し、
前記第２のサーバ装置が前記クライアント端末からアクセスを受けると、前記識別情報による認証が完了した場合は、前記ポリシー情報を前記第２のサーバ装置からアクセスを受けた前記クライアント端末に送信し、
前記取得したポリシー情報をチェックし、前記クライアント端末が前記ポリシー情報に適合しているかを判定し、
前記クライアント端末が受信したポリシー情報に適合した場合、前記第２のサーバ装置が前記クライアント端末から結果情報を受信することを特徴とする制御方法。
【請求項１０】
請求項９に記載の制御方法において、
前記識別情報は、前記ＩＰアドレス及び／又はＭＡＣアドレスであることを特徴とする制御方法。
【請求項１１】
請求項９に記載の制御方法において、
前記クライアント端末が前記第２のサーバ装置にアクセスを行う場合は、第２のネットワークフィルタを設定し、前記第２のサーバ装置へのみ接続可能な状態とすることを特徴とする制御方法。
【請求項１２】
請求項１１に記載の制御方法において、
前記結果情報は、前記所定のクライアント端末が第２のネットワークフィルタを解除した情報であることを特徴とする制御方法。
【請求項１３】
請求項９に記載の制御方法において、
前記第１のネットワークフィルタは、前記第１のサーバ装置および前記第２のサーバ装置へのみ接続可能な状態とする制御方法。
【請求項１４】
請求項１３に記載の制御方法において、
前記結果情報は、前記クライアント端末が前記第１のネットワークフィルタを解除した情報であることを特徴とする制御方法。
【請求項１５】
請求項９に記載の制御方法において、
前記第１のサーバは、ＤＨＣＰサーバであることを特徴とする制御方法。
【請求項１６】
請求項９に記載の制御方法において、
前記第２のサーバは、セキュリティサーバサーバであることを特徴とする制御方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はネットワークに接続されたサーバ装置を有するシステムに関し、特にセキュリティ機能を備えたサーバ装置を有するシステムおよび制御方法に関する。
【背景技術】
【０００２】
一般的に、サーバ装置およびクライアント端末におけるセキュリティ技術においては、例えば、パーソナル・ファイアウォール方式が挙げられる。セキュリティソフトがインストールされているクライアント端末からサーバ装置にアクセスする技術が開示されている（特許文献１参照）。
【特許文献１】特開２００６−２６００２７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
しかしながら、特許文献１に記載された技術では、セキュリティソフトがインストールされていないクライアント端末からサーバ装置にアクセスした場合もアクセス可能となってしまい、セキュリティ効果がない。また、サーバに合否判定をさせるために、クライアントの台数が増えると、サーバおよびネットワーク負荷が高くなるという課題がある。
【０００４】
本発明は上述の事情を考慮してなされたものであり、セキュリティ効果を高め、かつサーバへの負荷を軽減することが可能なシステムおよび制御方法を提供することを目的とする。
【課題を解決するための手段】
【０００５】
上記目的を達成するために、本発明の一態様によれば、システムは、第１のサーバ装置と、第２のサーバ装置と、クライアント端末とを具備する。前記第１のサーバ装置は、前記クライアント端末の識別情報を記憶する第１の記憶手段と、前記クライアント端末からアクセスを受け、前記識別情報による認証が完了した場合は、前記クライアント端末にＩＰアドレスを送信する第１の送信手段とを具備する。前記第２のサーバ装置は、前記クライアント端末のポリシー情報を記憶する第２の記憶手段と、前記クライアント端末からアクセスを受けると、前記識別情報による認証が完了した場合は、前記ポリシー情報をアクセスを受けた前記クライアント端末に送信する第２の送信手段と、前記クライアント端末が受信したポリシー情報に適合した場合、前記クライアント端末から結果情報を受信する受信手段とを具備する。前記クライアント端末は、前記第１のサーバ装置へのアクセスを許可する第１のネットワークフィルタを設定する設定手段と、前記第１のネットワークフィルタが設定された状態で、前記第１のサーバ装置にアクセスして前記ＩＰアドレスの送信を要求する要求手段と、前記第２のサーバ装置から前記ポリシー情報を取得する取得手段と、前記取得したポリシー情報をチェックし、前記クライアント端末が前記ポリシー情報に適合しているかを判定する判定手段と、前記クライアント端末が前記ポリシー情報に適合した場合、前記結果情報を前記第１のサーバ装置に送信する第２の送信手段とを具備する。
【０００６】
また、第１のサーバ装置がクライアント端末の識別情報を記憶し、第２のサーバが前記第１のクライアント端末のポリシー情報を記憶し、前記クライアント端末に第１のネットワークフィルタを設定することによって、前記クライアント端末を第１のサーバ装置のみに接続可能な状態にし、前記クライアント端末が前記第２のサーバ装置にアクセスして、ＩＰアドレスの送信を要求し、前記識別情報による認証が完了した場合は、前記第２のサーバ装置が前記クライアント端末に前記ＩＰアドレスを送信し、前記第２のサーバ装置が前記クライアント端末からアクセスを受けると、前記識別情報による認証が完了した場合は、前記ポリシー情報を前記第２のサーバ装置からアクセスを受けた前記クライアント端末に送信し、前記クライアント端末が受信したポリシー情報に適合した場合、前記第２のサーバ装置が前記クライアント端末から結果情報を受信することを特徴とする制御方法が提供される。
【発明の効果】
【０００７】
本発明によれば、セキュリティ効果を高め、かつサーバへの負荷を軽減することが可能なサーバ装置およびサーバ装置の制御方法を提供することが可能となる。
【発明を実施するための最良の形態】
【０００８】
以下、図面を参照して、本発明の実施形態を説明する。  
まず、図１を参照して、本発明の一実施形態に係るサーバ装置を適用したネットワーク構成について説明する。
【０００９】
当該ネットワーク構成は、本発明に係るサーバ装置であるセキュリティサーバ１０およびＤＨＣＰ（Dynamic Host Configuration Protocol）サーバ１１、ウイルス対策ソフトのアップデート情報やＯＳ（Operating System）等のアップデート情報を配布している種々のサーバの総称であるセキュリティ対策サーバ１２、複数のクライアント（端末）ＰＣ１４、およびこれらの機器が接続可能なインターネット等のネットワーク１３を有している。
【００１０】
本発明に係るサーバ装置であるセキュリティサーバ１０およびＤＨＣＰサーバ１１は、図２に示すような構成となっている。すなわち、制御部２０、通信部２１および記憶部２２を備えている。制御部２０は、クライアントＰＣ１４のＩＰ（Internet Protocol）アドレスやＭａｃ（Media Access Control）アドレス等によってクライアントＰＣ１４を認証したり、ポリシー情報をクライアントＰＣ１４に送信したりする。通信部２１は、ネットワーク１３を介してクライアントＰＣ１４等と通信を行う。記憶部２２は、クライアントＰＣ１４のＩＰアドレスやＭＡＣアドレス等を登録して記憶する（後述：図４参照）。
【００１１】
次に、図３のフローチャートを参照して、本発明の実施形態に係るサーバ装置を適用した制御方法について説明する。
【００１２】
まず、予め接続を許可するクライアントＰＣ１４のＭＡＣアドレスおよびＩＰアドレスをＤＨＣＰサーバ１１に登録を行う。例えば、図４に示すように、クライアントＰＣ１４のＭＡＣアドレスおよびＩＰアドレスを対応づけて登録を行う（後述するステータス情報は、ＤＨＣＰサーバ１１には登録しない）。また、セキュリティサーバ１０には、（セキュリティ）ポリシー（情報）を記憶しておく。
【００１３】
クライアントＰＣ１４は、電源オンするとＤＨＣＰサーバ１１にＩＰアドレスを要求するが、ＤＨＣＰサーバ１１に登録していないコンピュータはＩＰアドレスを取得できないため、ネットワーク１３にアクセスができない。クライアントＰＣ１４は、ネットワーク１３を介してＤＨＣＰサーバ１１にアクセスし、ＩＰアドレスを要求する（ステップＳ１０１）。ＤＨＣＰサーバ１１は、登録済みのクライアントＰＣ１４か否かを判別し（ステップＳ１０２）、登録されていないクライアントＰＣ１４に対してはネットワークの利用を不可とする（ステップＳ１１０）。一方、ステップＳ１０２で登録済みのクライアントＰＣ１４であると判別された場合は（ステップＳ１０２のＹＥＳ）、ＤＨＣＰサーバ１１からクライアントＰＣ１４にＩＰアドレスを送信し、クライアントＰＣ１４はＩＰアドレスを取得する（ステップＳ１０３）。
【００１４】
ＩＰアドレスを取得したクライアントＰＣ１４は、セキュリティサーバ１０にアクセスを行い、ポリシーを取得する（ステップＳ１０４）。ポリシーを取得したクライアントＰＣ１４は、パーソナルファイアウォールであるネットワークフィルタを設定する（ステップＳ１０５）。このネットワークフィルタを設定することにより、クライアントＰＣ１４からは、セキュリティサーバ１０およびセキュリティ対策サーバ１２のみにしかアクセスできなくなる。
【００１５】
クライアントＰＣ１４は、取得したポリシーをチェックする（ステップＳ１０６）。クライアントＰＣ１４は、取得したポリシーをチェックし、ポリシーに適合している場合は（ステップＳ１０７のＹＥＳ）、ネットワークフィルタを解除し、ネットワーク１３を介して自由にアクセスできるようにする（ステップＳ１０８）。クライアントＰＣ１４は、ネットワークフィルタを解除後に、セキュリティサーバ１０に結果情報を報告するために結果情報を送信する（ステップＳ１０９）。ポリシーに適合しているかの詳しい条件としては、後述する図５の「右辺」にフラグ情報として示している。このフラグのすべての項目が「１（有効）」であれば、ポリシーに適合していると判別される。
【００１６】
一方、ステップＳ１０７で、クライアントＰＣ１４は、取得したポリシーをチェックし、ポリシーに適合していない場合は（ステップＳ１０７のＮＯ）、セキュリティサーバ１０に結果情報を送信し（ステップＳ１１１）、セキュリティ対策を実施するように促す表示等を行う（ステップＳ１１２）。ポリシー違反をしていた場合、ネットワークフィルタによりセキュリティ対策サーバ１２にしか接続できないので、他のコンピュータにウイルスを撒き散らす危険性がない。セキュリティ対策が完了し、検疫に合格するまでこの状態を維持する。
【００１７】
以上のように、クライアントＰＣ１４は、取得したポリシーに従い、検疫を実施する。検疫動作をクライアントで行うことで、サーバおよびネットワークへ負荷がかからるのを防止することができる。
【００１８】
また、以上のクライアントＰＣ１４の状態は、図４に示すように、ステータス情報（ｓｔａｔｕｓ）として記録される。例えば、図６に示すように、セキュリティソフトウェアが導入されていないクライアントＰＣ１４には、「ｏｆｆ」３０１、ＩＰアドレスを取得した状態のクライアントＰＣ１４には、「ＩＰアドレス取得」３０２、ポリシーに適合して検疫をパスしたクライアントＰＣ１４には、「検疫Ｐａｓｓ」３０４、ポリシーに適合しなかったクライアントＰＣ１４には、「検疫Ｆａｉｌ」３０３等である。これらのステータス情報は、セキュリティサーバ１０が、ＭＡＣアドレスやＩＰアドレスと関連づけて記憶する（図４参照）。
【００１９】
クライアントＰＣ１４は、電源ＯＮすると、「ＩＰアドレス取得」３０２状態になる。セキュリティサーバ１０は、ＤＨＣＰサーバ１１に問い合わせることでこの状態を取得することができる。その後、検疫に合格すると、「検疫Ｐａｓｓ」３０４状態になる。セキュリティサーバ１０は、クライアントＰＣ１４から送信される検疫結果情報の報告によりこの状態を取得することができる。ＤＨＣＰサーバ１１へ登録しているが、未検疫のクライアントＰＣ１４は、まさに、「ＩＰアドレス取得」３０２状態に長時間いるクライアントＰＣ１４である。ネットワーク管理者等がこのようなクライアントＰＣ１４を発見した場合、使用者に警告を発したり、通信を妨害してクライアントＰＣ１４がネットワーク１３を使用できないようにする。
【００２０】
また、セキュリティサーバからポリシーを取得する具体例としては、セキュリティサーバにc:\shared\policyというフォルダを作成し、policyフォルダの下にquarantine.polというファイルを作り、ポリシーを記述する。
【００２１】
例えば、図５に示すように、以下のような内容を記述する。左辺が検疫項目名を示し、右辺がポリシーを示す。
【００２２】
OS Patch Check Enable=1
AntiVirus Check Enable=1
Pattern File Update Period=7
PFW Check Enable=1
Windows（登録商標） Policy Check Enable=1
Network Restriction Enable=0
そして、sharedフォルダをPCManShared$という名称で共有し、クライアントＰＣ１４からポリシーファイルを取得できるようにする。さらに、policyフォルダの下に、groupA、groupB、…といったグループ名フォルダを作成し、その下に各グループ用のquarantine.polを置くことで、グループごとにポリシーを変えることも可能になる。
【００２３】
また、上述した（セキュリティ）ポリシーは、クライアントＰＣ１４ごとに設定することができる。
【００２４】
以上、当該実施形態により、セキュリティソフトウェアが導入されていないクライアントＰＣに対してもアクセスを制限することができ、セキュリティ効果を高めることができる。また、ポリシーの適合の判定は、クライアントＰＣで行うことにより、サーバへの負荷を軽減することができる。さらに、パーソナルファイアウォール方式の検疫ネットワークに、ＤＨＣＰサーバのアドレス予約機能を使うことで、未登録クライアントＰＣをネットワークに接続できないようにできる。また、セキュリティサーバで各クライアントの状態を管理することで、未検疫のクライアントＰＣを検出できるようになる。
【００２５】
次に、上述した実施形態の変形例１について説明する。
【００２６】
上述した実施形態のステップＳ１０１〜ステップＳ１０４は、変形例１のステップＳ４０２〜ステップＳ４０５に相当し、また、上述した実施形態のステップＳ１０６〜ステップＳ１１２は、変形例１のステップＳ４０６〜ステップＳ４１２に相当する。
【００２７】
すなわち、上述した実施形態では、ネットワークフィルタをポリシーチェックの前で設定しているが、変形例１では、一番最初に設定している。
【００２８】
これにより、ポリシーの取得前の期間においてもセキュリティを向上させることができる。
【００２９】
次に、変形例２について説明する。
【００３０】
変形例２では、ネットワークフィルタを３カ所に設定している。すなわち、一番最初（ステップＳ５０１：ＤＨＣＰサーバにだけ接続を許可する）、ＩＰアドレスの取得後（ステップＳ５０５：セキュリティサーバにだけ接続を許可する）、およびポリシーの取得後（ステップＳ５０７：セキュリティ対策サーバとセキュリティサーバにだけ接続を許可する）である。
【００３１】
このため、その時々に必要なサーバとだけ接続を許可するようにネットワークフィルタを設定することにより、さらにセキュリティ度を向上させることができる。
【００３２】
また、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に構成要素を適宜組み合わせてもよい。
【図面の簡単な説明】
【００３３】
【図１】本発明の一実施形態に係るサーバ装置を適用したネットワーク構成について説明した構成図。
【図２】本発明の一実施形態に係る本発明に係るサーバ装置の機能構成の例を示すブロック図。
【図３】本発明の一実施形態に係るサーバ装置を適用した制御方法を示したフローチャート。
【図４】クライアントＰＣのＭＡＣアドレス、ＩＰアドレスおよびステータス情報を対応づけて記憶された状態を示す模式図。
【図５】検疫項目名との対応関係を示した模式図。
【図６】クライアントＰＣのステータス状態を示した模式図。
【図７】本発明の一実施形態の変形例１に係るサーバ装置を適用した制御方法を示したフローチャート。
【図８】本発明の一実施形態の変形例２に係るサーバ装置を適用した制御方法を示したフローチャート。
【符号の説明】
【００３４】
１０…セキュリティサーバ、１１…ＤＨＣＰサーバ、１２…セキュリティ対策サーバ、１３…ネットワーク、１４…クライアントＰＣ、２０…制御部、２１…通信部、２２…記憶部
【図１】
0005032246.tif 000002
【図２】
0005032246.tif 000003
【図３】
0005032246.tif 000004
【図４】
0005032246.tif 000005
【図５】
0005032246.tif 000006
【図６】
0005032246.tif 000007
【図７】
0005032246.tif 000008
【図８】
0005032246.tif 000009