(57)【要約】【課題】送信する前に相手先サーバの管理状態を確認する。【解決手段】ファイアウォールは、ネットワークに接続され、送信元からの送信要求パケットをネットワークに送信する。状態評価手段は、ファイアウォールを介してネットワーク上の相手先にアクセスする際に、送信元からの送信要求パケットを送信待ち行列に格納し、相手先の管理状態を評価し、相手先の管理状態が適切である場合、送信待ち行列から送信要求パケットを取り出してファイアウォールに渡す。【選択図】図１
2009239331.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークに接続され、送信元からの送信要求パケットを前記ネットワークに送信するファイアウォールと、
前記送信元から前記送信要求パケットを取得し、前記ファイアウォールを介して前記ネットワーク上の相手先に前記送信要求パケットを送信する前に、前記送信要求パケットを送信待ち行列に格納し、前記相手先の管理状態を評価し、前記相手先の管理状態が適切である場合、前記送信待ち行列から前記送信要求パケットを取り出して前記ファイアウォールに渡す状態評価手段と
を具備する
アクセス管理システム。
【請求項２】
請求項１に記載のアクセス管理システムであって、
前記相手先の管理状態が適切でない場合、前記送信元に結果を通知し、前記送信元から得られた通信続行の可否結果を受け、前記送信元から通信続行を許可された場合、前記送信待ち行列から前記送信要求パケットを取り出して前記ファイアウォールに渡し、前記送信元から通信続行を拒否された場合、前記送信待ち行列から前記送信要求パケットを削除する評価結果処理手段
を更に具備する
アクセス管理システム。
【請求項３】
請求項１又は２に記載のアクセス管理システムであって、
前記ファイアウォールは、
アクセス制御ポリシーに従い、通信の可否を決めるアクセス制御手段と、
指定された方式で前記送信要求パケットを前記ネットワークに送信するパケット転送手段と
を具備し、
前記状態評価手段は、前記アクセス制御手段に前記相手先の管理状態の確認を指示し、前記相手先の管理状態の確認結果に応じて、前記パケット転送手段に所定の方式で前記送信要求パケットを送信するように指示する
アクセス管理システム。
【請求項４】
請求項１乃至３のいずれか一項に記載のアクセス管理システムであって、
前記状態評価手段は、前記送信要求パケットに含まれるアドレスを参照し、前記送信要求パケットに含まれるアドレスが予め設定されたアドレスと一致した場合、前記相手先の管理状態の確認を実施するように前記ファイアウォールに指示する
アクセス管理システム。
【請求項５】
請求項１乃至４のいずれか一項に記載のアクセス管理システムであって、
前記状態評価手段は、前記送信要求パケットの宛先アドレスに基づいて、前記相手先までのネットワーク経路上に存在する通信装置を把握し、前記相手先までのネットワーク経路上に存在する通信装置の管理状況を確認するように前記ファイアウォールに指示する
アクセス管理システム。
【請求項６】
請求項１乃至５のいずれか一項に記載のアクセス管理システムであって、
前記状態評価手段は、前記相手先に対して、管理状態の確認の許諾を問い合わせ、前記相手先から管理状態の確認を許可する旨の応答があれば、前記相手先の管理状態の確認を実施し、前記相手先から管理状態の確認を許可する旨の応答がなければ、前記相手先への前記送信要求パケットの送信を制限するように前記ファイアウォールに指示する
アクセス管理システム。
【請求項７】
送信元から送信要求パケットを取得するステップと、
ネットワークに接続されたファイアウォールを介して、前記ネットワーク上の相手先に前記送信要求パケットを送信する前に、前記送信元からの送信要求パケットを送信待ち行列に格納し、前記相手先の管理状態を評価するステップと、
前記相手先の管理状態が適切である場合、前記送信待ち行列から前記送信要求パケットを取り出して前記ファイアウォールに渡すステップと
を含む
アクセス管理方法。
【請求項８】
請求項７に記載のアクセス管理方法であって、
前記相手先の管理状態が適切でない場合、前記送信元に結果を通知し、前記送信元から得られた通信続行の可否結果を受け付けるステップと、
前記送信元から通信続行を許可された場合、前記送信待ち行列から前記送信要求パケットを取り出して前記ファイアウォールに渡すステップと、
前記送信元から通信続行を拒否された場合、前記送信待ち行列から前記送信要求パケットを削除するステップと
を更に含む
アクセス管理方法。
【請求項９】
請求項７又は８に記載のアクセス管理方法であって、
前記相手先の管理状態の確認結果に応じて、所定の方式で前記送信要求パケットを送信するように前記ファイアウォールに指示するステップ
を更に含む
アクセス管理方法。
【請求項１０】
請求項７乃至９のいずれか一項に記載のアクセス管理方法であって、
前記送信要求パケットに含まれるアドレスを参照し、前記送信要求パケットに含まれるアドレスが予め設定されたアドレスと一致した場合、前記相手先の管理状態の確認を実施するように前記ファイアウォールに指示するステップ
を更に含む
アクセス管理方法。
【請求項１１】
請求項７乃至１０のいずれか一項に記載のアクセス管理方法であって、
前記送信要求パケットの宛先アドレスに基づいて、前記相手先までのネットワーク経路上に存在する通信装置を把握し、前記相手先までのネットワーク経路上に存在する通信装置の管理状況を確認するように前記ファイアウォールに指示するステップ
を更に含む
アクセス管理方法。
【請求項１２】
請求項７乃至１１のいずれか一項に記載のアクセス管理方法であって、
前記状態評価手段は、前記相手先に対して、管理状態の確認の許諾を問い合わせ、前記相手先から管理状態の確認を許可する旨の応答があれば、前記相手先の管理状態の確認を実施し、前記相手先から管理状態の確認を許可する旨の応答がなければ、前記相手先への前記送信要求パケットの送信を制限するように前記ファイアウォールに指示するステップ
を更に含む
アクセス管理方法。
【請求項１３】
送信元から送信要求パケットを取得するステップと、
ネットワークに接続されたファイアウォールを介して、前記ネットワーク上の相手先に前記送信要求パケットを送信する前に、前記送信元からの送信要求パケットを送信待ち行列に格納し、前記相手先の管理状態を評価するステップと、
前記相手先の管理状態が適切である場合、前記送信待ち行列から前記送信要求パケットを取り出して前記ファイアウォールに渡すステップと
をコンピュータに実行させるための
アクセス管理プログラム。
【請求項１４】
請求項１３に記載のアクセス管理プログラムであって、
前記相手先の管理状態が適切でない場合、前記送信元に結果を通知し、前記送信元から得られた通信続行の可否結果を受け付けるステップと、
前記送信元から通信続行を許可された場合、前記送信待ち行列から前記送信要求パケットを取り出して前記ファイアウォールに渡すステップと、
前記送信元から通信続行を拒否された場合、前記送信待ち行列から前記送信要求パケットを削除するステップと
を更にコンピュータに実行させるための
アクセス管理プログラム。
【請求項１５】
請求項１３又は１４に記載のアクセス管理プログラムであって、
前記相手先の管理状態の確認結果に応じて、所定の方式で前記送信要求パケットを送信するように前記ファイアウォールに指示するステップ
を更にコンピュータに実行させるための
アクセス管理プログラム。
【請求項１６】
請求項１３乃至１５のいずれか一項に記載のアクセス管理プログラムであって、
前記送信要求パケットに含まれるアドレスを参照し、前記送信要求パケットに含まれるアドレスが予め設定されたアドレスと一致した場合、前記相手先の管理状態の確認を実施するように前記ファイアウォールに指示するステップ
を更にコンピュータに実行させるための
アクセス管理プログラム。
【請求項１７】
請求項１３乃至１６のいずれか一項に記載のアクセス管理プログラムであって、
前記送信要求パケットの宛先アドレスに基づいて、前記相手先までのネットワーク経路上に存在する通信装置を把握し、前記相手先までのネットワーク経路上に存在する通信装置の管理状況を確認するように前記ファイアウォールに指示するステップ
を更にコンピュータに実行させるための
アクセス管理プログラム。
【請求項１８】
請求項１３乃至１７のいずれか一項に記載のアクセス管理プログラムであって、
前記状態評価手段は、前記相手先に対して、管理状態の確認の許諾を問い合わせ、前記相手先から管理状態の確認を許可する旨の応答があれば、前記相手先の管理状態の確認を実施し、前記相手先から管理状態の確認を許可する旨の応答がなければ、前記相手先への前記送信要求パケットの送信を制限するように前記ファイアウォールに指示するステップ
を更にコンピュータに実行させるための
アクセス管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセス管理システムに関し、特にネットワークへのアクセス制御を行うアクセス管理システムに関する。
【背景技術】
【０００２】
ファイアウォールに代表されるネットワークアクセス制御システムは、主にアクセス制御手段とパケット転送手段と、指定アドレスやポート番号の組み合わせ等に応じて通信の可否を決定するポリシーが記載されたアクセス制御ポリシーＤＢ（データベース）とを備えていることが多い。ネットワークアクセス制御システムでは、このポリシーに基づき、アクセス制御手段が送受信の可否を判定し、パケット転送手段がパケットを送信する。このため、アクセスする相手先サーバの状態によってはウィルスに感染してしまい、ウィルス対策ソフトがそのウィルスに対応していなければ、ウィルス対策ソフトのシグネチャが更新されるまでは同様の感染が広まるという問題があった。
【０００３】
また、ネットワークアクセス制御システムでは、アクセスする際に相手先サーバの管理状態を確認しないという問題がある。更に、アクセスする際に相手先サーバの管理状態の確認結果を送信元のユーザ及び送信元のネットワーク管理者に提示しないという問題がある。その理由は、これまでのネットワークアクセス制御システムでは、相手先サーバの状況については何ら考慮されていないためである。
【０００４】
関連する技術として、特開２００２−２０８９８６号公報（特許文献１）に通信装置、通信方法、および媒体が開示されている。
この関連技術では、システム間の情報授受に際して、セキュリティレベルの確認を行う情報システムが、情報を提供するシステムＡと、情報の提供を受けるシステムＢと、管理者端末とから構成される。システムＡは、例えば、パーソナルコンピュータにより構成される。システムＡは、情報提供に際して、提供先のセキュリティレベルを判定するため、予め情報提供先（情報入手側）にセキュリティデータを問い合わせる。このような問い合わせを行うシステムを問い合わせ側システムと呼ぶ。一方、情報の提供を受けるシステムＢは、この問い合わせに返答する。このようなシステムを返答側システムと呼ぶ。このシステムＢも、例えば、パーソナルコンピュータにより構成される。なお、この関連技術では、相手先サーバが、返答可否の情報を蓄積するためのデータベースを有し、その可否情報に基づいて管理状況の回答を行っている。
【０００５】
また、特開２００６−２７７６３３号公報（特許文献２）にセキュリティ保証機能を備えたコンピュータネットワーク、セキュリティの保証方法、及び、プログラムが開示されている。
この関連技術では、一のコンピュータ（サーバ、クライアントであるとを問わない）が、相手側とのデータの送受信に先立って、相手側のコンピュータ（サーバ、クライアントであるとを問わない）と対話し、相互のセキュリティレベルが所定の基準を満たすことを確認する。確認の結果、相互のセキュリティレベルが所定の基準を満たす場合に、各コンピュータが、データの送受信を可能化する。一方、確認の結果、セキュリティレベルが低いことが判明した側のコンピュータは、データの送受信を保留するとともに、所定のコンピュータ（通信相手のコンピュータであっても良い）に対してセキュリティレベルの引き上げに必要なファイルの送信を要求する。所定のコンピュータからセキュリティレベルの引き上げに必要なファイルを受信した段階で、コンピュータが、ファイルを用いた更新処理を行ってセキュリティレベルを引き上げてからデータの送受信の保留を解除する。なお、この関連技術では、通信を行う際に、送信元のみならず、相手先サーバの通信相手にも、ウィルス定義ファイルを確認するための相互認証セキュリティドライバを搭載しなければならない。
【０００６】
また、特開２００６−３１８２９２号公報（特許文献３）に通信端末及びセキュアデバイス並びに集積回路が開示されている。
この関連技術では、データ解析部は、取得した電子メールの送信データのヘッダ部を解析して、相手先端末を識別するための情報として受信先アドレスや受信者の名前を端末識別情報として抽出する。これらの抽出した情報を端末識別情報と呼ぶ。許可情報データベースの中には端末識別情報に対応した環境情報を示す許可情報データテーブルが存在し、データ解析部は許可情報データベースにアクセスしてその許可情報データテーブルを参照し、抽出した端末識別情報に対応した相手先端末の環境情報が登録されているかどうかを調べる。端末識別情報に対応する環境情報が登録されている場合、データ解析部は、その環境情報を取得する。更に、許可情報データベースは、その環境情報に対応したセキュリティ処理のリストである環境別セキュリティ処理リストと、アプリケーション情報が示すデータの種類に対応したセキュリティ処理のリストであるデータ別セキュリティ処理リストを保持している。データ解析部は、取得した相手先端末の環境情報を環境別セキュリティ処理リストと照らし合わせることによって、相手先の環境に必須なセキュリティ処理を選択し、更に、取得したアプリケーション情報をデータ別セキュリティ処理リストと照らし合わせることによって、データの種類に応じて必要なセキュリティ処理を選択し、それらの選択結果を照合して最終的に実行するセキュリティ処理を決定する。なお、この関連技術では、相手先のセキュリティ管理状況を判断するための情報を格納したデータベースを送信側に搭載し、通信先の固有情報を基に管理状況の結果を判定している。
【０００７】
【特許文献１】特開２００２−２０８９８６号公報
【特許文献２】特開２００６−２７７６３３号公報
【特許文献３】特開２００６−３１８２９２号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
本発明の目的は、ネットワークにアクセスする際に、相手先サーバの管理状態を確認できるアクセス管理システムを提供することにある。
【０００９】
本発明の他の目的は、ネットワークにアクセスする際に、相手先サーバの管理状態の確認結果を送信元のユーザ及び送信元のネットワーク管理者に提示するアクセス管理システムを提供することにある。
【課題を解決するための手段】
【００１０】
本発明のアクセス管理システムは、ネットワークに接続され、送信元からの送信要求パケットをネットワークに送信するファイアウォールと、送信元から送信要求パケットを取得し、ファイアウォールを介してネットワーク上の相手先に送信要求パケットを送信する前に、送信要求パケットを送信待ち行列に格納し、相手先の管理状態を評価し、相手先の管理状態が適切である場合、送信待ち行列から送信要求パケットを取り出してファイアウォールに渡す状態評価手段とを具備する。
【００１１】
本発明のアクセス管理方法は、送信元から送信要求パケットを取得するステップと、ネットワークに接続されたファイアウォールを介して、ネットワーク上の相手先に送信要求パケットを送信する前に、送信元からの送信要求パケットを送信待ち行列に格納し、相手先の管理状態を評価するステップと、相手先の管理状態が適切である場合、送信待ち行列から送信要求パケットを取り出してファイアウォールに渡すステップとを含む。
【００１２】
本発明のアクセス管理プログラムは、送信元から送信要求パケットを取得するステップと、ネットワークに接続されたファイアウォールを介して、ネットワーク上の相手先に送信要求パケットを送信する前に、送信元からの送信要求パケットを送信待ち行列に格納し、相手先の管理状態を評価するステップと、相手先の管理状態が適切である場合、送信待ち行列から送信要求パケットを取り出してファイアウォールに渡すステップと
をコンピュータに実行させるためのプログラムである。
【発明の効果】
【００１３】
送信する前に相手先サーバの管理状態を確認できる。
【発明を実施するための最良の形態】
【００１４】
以下に、本発明の第１実施形態について添付図面を参照して説明する。
図１を参照すると、本発明の第１実施形態のネットワークアクセス管理システムは、ファイアウォール機能部１０と、状態評価部２０とを含む。
【００１５】
ファイアウォール機能部１０は、一般のファイアウォールと同等のファイアウォール機能を有する。ファイアウォールは、外部との境界を流れるデータを監視し、不正なアクセスを検出・遮断する。状態評価部２０は、ネットワークにアクセスする際に、相手先サーバの管理状態を評価する。なお、相手先サーバは、ネットワークアクセス管理システムと通信可能なネットワーク上の通信装置である。相手先サーバの例として、公開されたＷｅｂサイトを提供するＷｅｂサーバ等が考えられる。但し、実際には、この例に限定されない。
【００１６】
ファイアウォール機能部１０は、アクセス制御部１１と、アクセス制御ポリシーＤＢ（データベース）１２と、パケット転送部１３とを含む。
【００１７】
アクセス制御部１１は、ネットワークアクセスを制御する。アクセス制御ポリシーＤＢ１２は、アクセス制御方法に関するポリシーを記述したデータベースである。パケット転送部１３は、指定された方式でパケットを送信する。
【００１８】
これらの手段は、それぞれ概略つぎのように動作する。
【００１９】
アクセス制御部１１は、アクセス制御ポリシーＤＢ１２に定義されたポリシーに従い、通信の可否を決める。
【００２０】
パケット転送部１３は、必要に応じてアドレス変換等を行い、ネットワーク上にパケットを転送する。
【００２１】
状態評価部２０は、送信要求のパケットを送信元から受け取ると、送信要求のパケットを送信せずに、そのパケット情報から相手先サーバの管理状態を評価するための通信を行い、その結果を得た後に、本来の送信要求のパケットをアクセス制御部１１に渡す。なお、状態評価部２０は、ネットワークを介して、送信要求のパケットを送信元から受け取るようにしても良い。
【００２２】
ここでは、ネットワークアクセス管理システムの例として、中継装置を想定している。中継装置の例として、ルータ、スイッチ、ゲートウェイ、ファイアウォール、プロキシ、アクセスポイント、ＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅｓ  Ｐｒｏｖｉｄｅｒ）サーバ、或いは、ルータとして機能するコンピュータ等が考えられる。なお、ネットワークアクセス管理システムは、中継装置に限らず、端末、サーバ、又は周辺機器でも良い。この場合、ネットワークアクセス管理システムの例として、ＰＣ（パソコン）、シンクライアント／サーバ、ワークステーション、メインフレーム、スーパーコンピュータ等のコンピュータが考えられる。また、ネットワークアクセス管理システムは、コンピュータに搭載される拡張ボードやソフトウェアでも良い。また、ネットワークアクセス管理システムは、仮想マシン（Ｖｉｒｔｕａｌ  Ｍａｃｈｉｎｅ（ＶＭ））環境でも良い。なお、送信要求パケットの送信元や、相手先サーバの例についても、ネットワークアクセス管理システムと同様である。
【００２３】
アクセス制御部１１及び状態評価部２０の例として、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）やマイクロプロセッサ（ｍｉｃｒｏｐｒｏｃｅｓｓｏｒ）等の処理装置、又は同様の機能を有する半導体集積回路（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ（ＩＣ））等が考えられる。
【００２４】
アクセス制御ポリシーＤＢ１２の例として、メモリ等の半導体記憶装置、ハードディスク等の外部記憶装置（ストレージ）、又は記憶媒体（メディア）等が考えられる。
【００２５】
パケット転送部１３の例として、ＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）等のネットワークアダプタや、アンテナ等の通信装置、接続口（コネクタ）等の通信ポート等が考えられる。
【００２６】
ネットワークの例として、インターネット、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、無線ＬＡＮ（Ｗｉｒｅｌｅｓｓ  ＬＡＮ）、携帯電話網、ＷｉＭＡＸ、３Ｇ（第３世代携帯電話）、専用線、ＩｒＤＡ（Ｉｎｆｒａｒｅｄ  Ｄａｔａ  Ａｓｓｏｃｉａｔｉｏｎ）、Ｂｌｕｅｔｏｏｔｈ（登録商標）、シリアル通信回線等が考えられる。
【００２７】
但し、実際には、これらの例に限定されない。
【００２８】
次に、図２のフローチャートを参照して、本実施形態の全体の動作について詳細に説明する。
（１）ステップＳ１０１
ネットワークにアクセスする際に、送信元のユーザの送信要求パケットは、ネットワーク管理システム１の状態評価部２０に入る。状態評価部２０は、送信要求パケットを解析し、送信要求パケットのＩＰアドレス、ポート情報を収集する。
（２）ステップＳ１０２
次に、状態評価部２０は、送信要求パケットを送信待ち行列に追加する。ここでは、状態評価部２０は、送信要求パケットを送信キューに追加する。
（３）ステップＳ１０３
更に、状態評価部２０は、取得済みの送信要求パケットのＩＰアドレス、ポート情報を利用して、相手先サーバの管理状況を確認する。管理状況の例として、相手先サーバのファイアウォールにおける不要なポートの開放等が考えられる。このとき、状態評価部２０は、アクセス制御部１１に対して、相手先サーバの管理状況を確認するように指示しても良い。但し、実際には、これらの例に限定されない。
（４）ステップＳ１０４
最後に、状態評価部２０は、管理状況の確認結果を保存し、ファイアウォール機能部１０のアクセス制御部１１以降の処理を進める。
【００２９】
このとき、状態評価部２０は、管理状況の確認結果に応じて、通信方式やプロトコルを変更するようにしても良い。例えば、状態評価部２０は、相手先サーバの管理状況を確認した結果、相手先サーバがセキュアシェル（Ｓｅｃｕｒｅ  ＳＨｅｌｌ（ＳＳＨ））に対応している場合、アクセス制御部１１を介し、パケット転送部１３に対して、「ＳＳＨ」を用いて相手先サーバに送信要求パケットを送信するように指示するようにしても良い。
【００３０】
本実施形態では、相手先サーバに通信する前に送信要求パケットが状態評価部２０を通過するようにしているため、送信する前に相手先サーバの管理状態を確認できる。
【００３１】
なお、状態評価部２０は、送信元のユーザに応じて、相手先サーバの管理状態の確認を実施するか否か判定するようにしても良い。例えば、状態評価部２０は、相手先サーバの管理状態の確認が必要な送信元のユーザのＩＰアドレスを予め設定しておき、送信要求パケットの送信元ＩＰアドレスにより送信元のユーザを識別し、送信要求パケットのＩＰアドレスが予め設定されたＩＰアドレスと一致すれば、相手先サーバの管理状態の確認を実施するように、ファイアウォール機能部１０に指示する。
【００３２】
また、状態評価部２０は、相手先サーバに応じて、相手先サーバの管理状態の確認を実施するか否か判定するようにしても良い。例えば、状態評価部２０は、信頼できる相手先サーバのＩＰアドレスを予め設定しておき、送信要求パケットの宛先ＩＰアドレスにより相手先サーバを識別し、送信要求パケットの宛先ＩＰアドレスが予め設定されたＩＰアドレスと一致すれば、相手先サーバの管理状態の確認を省略するように、ファイアウォール機能部１０に指示する。この場合、状態評価部２０は、相手先サーバに応じて、確認すべき管理状況の内容を変更するように、ファイアウォール機能部１０に指示することも可能になる。
【００３３】
また、状態評価部２０は、相手先サーバのみに限らず、相手先サーバまでのネットワーク経路上に存在する全ての通信装置に対して管理状況を確認するようにしても良い。例えば、状態評価部２０は、送信要求パケットの宛先ＩＰアドレスに基づいて、「ｔｒａｃｅｒｏｕｔｅ」や「ｔｒａｃｅｒｔ」等のネットワーク経路をリスト表示するコマンドにより、ネットワーク経路上に存在する通信装置を把握し、ネットワーク経路上に存在する全ての通信装置に対して管理状況を確認するように、ファイアウォール機能部１０に指示する。ネットワーク経路上に存在する全ての通信装置に対して管理状況を確認することで、盗み見や通信傍受、改竄、破壊、不正なアクセス等の危険性を回避できる可能性が高くなる。このとき、状態評価部２０は、自身の管理下にあるネットワーク上の通信装置については、確認の対象から除外するように、ファイアウォール機能部１０に指示しても良い。
【００３４】
また、状態評価部２０は、相手先サーバの管理状態の確認を実施する際、相手先サーバに対して管理状態の確認の許可を求めるようにしても良い。例えば、状態評価部２０は、管理状態の確認の許可を求める確認要求パケットを相手先サーバに送信し、相手先サーバから管理状態の確認を許可する旨の応答を受信すると、相手先サーバの管理状態の確認を実施するように、ファイアウォール機能部１０に指示する。このとき、状態評価部２０は、管理状態の確認を許可しない相手先サーバに対しては、送信要求パケットの送信を制限するように、ファイアウォール機能部１０に指示する。
【００３５】
ここでは、相手先サーバの管理状態の例として、特にセキュリティ状態について説明しているが、実際には、セキュリティ状態に限定されない。他にも、相手先サーバの管理状態の例として、相手先サーバ上の処理の集中による処理速度の低下といった処理状況、通信回線の障害や混雑の発生といった通信状態等も考えられる。
【００３６】
このとき、状態評価部２０は、送信要求パケットを解析し、送信要求パケットの種別を識別するようにしても良い。例えば、状態評価部２０は、送信要求パケットに対応するアプリケーションの種別を特定し、相手先サーバが当該アプリケーションに対応しているか確認するように、ファイアウォール機能部１０に指示する。状態評価部２０は、相手先サーバが当該アプリケーションに対応していない場合、送信要求パケットを破棄して送信しないように、ファイアウォール機能部１０に指示する。これにより、本発明のネットワークアクセス管理システムは、相手先サーバに対して、不適当な送信要求パケットを送信しないようにすることができる。
【００３７】
次に、本発明の第２実施形態について図面を参照して詳細に説明する。
図３を参照すると、本発明の第２実施形態のネットワークアクセス管理システムは、ファイアウォール機能部１０と、状態評価部２０と、評価結果処理部３０とを含む。
【００３８】
ファイアウォール機能部１０は、図１と同様の機能を有し、同様に動作する。
【００３９】
一方、状態評価部２０は、送信要求のパケットをネットワークから受け取ると送信要求のパケットは送信せずに、そのパケット情報から相手先サーバの管理状態を評価するための通信を行い、その結果を得た後に評価結果に応じた評価結果処理部３０で処理を行った後、必要に応じて送信要求のパケットをアクセス制御部１１に渡す。
【００４０】
評価結果処理部３０は、評価結果に関する処理を行う。
【００４１】
評価結果処理部３０の例として、ＣＰＵやマイクロプロセッサ等の処理装置、又は同様の機能を有する半導体集積回路（ＩＣ）等が考えられる。但し、実際には、これらの例に限定されない。
【００４２】
次に、図４のフローチャートを参照して、本実施形態の全体の動作について詳細に説明する。
（１）ステップＳ２０１
まず、本発明の第１実施形態と同様に、状態評価部２０までの処理を行う。その後、評価結果処理部３０に処理を渡す。評価結果処理部３０は、相手先サーバの管理状態の確認結果を送信元ユーザもしくはネットワーク管理者に送り、送信元ユーザもしくはネットワーク管理者からの送信許可を得る。
（２）ステップＳ２０２
評価結果処理部３０は、送信元ユーザもしくはネットワーク管理者からの送信許可を確認し、送信ＯＫの場合、ファイアウォール機能部１０のアクセス制御部１１以降の処理を進める。
（３）ステップＳ２０３
評価結果処理部３０は、送信ＯＫではない場合、送信要求パケットを送信待ち行列から削除する。ここでは、評価結果処理部３０は、状態評価部２０によって追加された送信要求パケットを送信待ち行列から削除する。
（４）ステップＳ２０４
評価結果処理部３０は、送信要求パケットを送信待ち行列から削除した後、処理を終了する。
【００４３】
本実施形態では、相手先サーバの管理状態を確認後、確認結果を元に送信を継続するか否かを判断する評価結果処理部３０を通過するようにしているため、送信する前に相手先サーバの管理状態を確認してから送信を許可することができる。
【００４４】
以上のように、本発明は、インターネット・イントラネット等のＩＰネットワークにおける通信のネットワークアクセス管理システム、アクセス管理方法及びアクセス管理用プログラムに関し、特にネットワークへアクセスする際に、アクセス先サイトのファイアウォールが正しく管理されていることを事前に確認できるネットワークアクセス管理システム、アクセス管理方法及びアクセス管理用プログラムに関する。
【００４５】
本発明の第１のネットワークアクセス管理システムは、相手先サーバの管理状態評価手段と、ファイアウォール手段とを備え、相手先サーバのファイアウォールの不適切なポートが開いていない等、管理状態が適切であればファイアウォール手段に進むように動作する。
【００４６】
本発明の第２のネットワークアクセス管理システムは、相手先サーバの管理状態評価手段と、評価結果処理手段と、ファイアウォール手段とを備え、相手先サーバの管理状態が適切でない場合は送信元ユーザ及び送信元ネットワーク管理者に結果を通知し、送信元ユーザ及び送信元ネットワーク管理者から得られた通信続行の可否結果を受け、必要に応じてファイアウォール手段に進むように動作する。
【００４７】
次に、本発明の効果について説明する。
第１の効果は、ネットワークにアクセスする際に相手先サーバの管理状態を確認できることにある。その理由は、通常、サイトの管理状態が不適切な場合にはウィルス等のマルウェアの設置やフィッシングサイトへ誘導される危険が潜んでいるが、相手先サーバとの直接通信の前に相手先サーバの管理状態を確認することでこのような危険を確認できるためである。
【００４８】
第２の効果は、アクセスする際に相手先サーバの管理状態に合わせてアクセスの可否を決定できることにある。その理由は、通常、サーバの管理状態が不適切な場合にはウィルス等のマルウェアの設置やフィッシングサイトへ誘導される危険が潜んでいるが、相手先サーバの管理状態の評価結果処理手段により不適切な管理状態が確認された場合に本来予定していたネットワークアクセスを停止することで、このような危険を回避できるためである。
【００４９】
本発明は、ファイアウォールやルータ等のネットワークへのアクセス制御を行うシステムに適用できる。
【００５０】
例えば、本発明は、データベースから同義語を検索する情報検索装置や、情報検索装置をコンピュータに実現するためのプログラムといった用途に適用できる。また、同義語を検索する機能をパソコンやワードプロセッサに搭載されている、かな漢字変換装置や、コンピュータにかな漢字変換機能といった用途にも適用できる。
【図面の簡単な説明】
【００５１】
【図１】図１は、本発明の第１実施形態の構成例を示す示すブロック図である。
【図２】図２は、本発明の第１実施形態における動作を示す流れ図である。
【図３】図３は、本発明の第２実施形態の構成例を示すブロック図である。
【図４】図４は、本発明の第２実施形態における動作を示す流れ図である。
【符号の説明】
【００５２】
１０…  ファイアウォール機能部
１１…  アクセス制御部
１２…  アクセス制御ポリシーＤＢ（データベース）
１３…  パケット転送部
２０…  状態評価部
【図１】
2009239331.tif 000003
【図２】
2009239331.tif 000004
【図３】
2009239331.tif 000005
【図４】
2009239331.tif 000006