(57)【要約】【課題】ネットワークに接続した端末の環境が、社内か社外かを判別する。【解決手段】社内ドメイン名の情報と、クライアントＰＣ１１がアクセスする指定ＷＷＷサーバ２２のアドレスの情報と、が予め登録されているデータベース３３と、ネットワークへの接続時にＤＮＳサーバ２１から取得するクライアントＰＣ１１のドメイン名の情報を、データベース３３に登録されている社内ドメイン名の情報と比較して、両ドメイン名が一致するか否かによって、クライアントＰＣ１１が社内ネットワーク２上か否かを判別するドメイン名比較モジュール３２と、この判別においてクライアントＰＣ１１が社内ネットワーク２上であると判別される場合は通信を許可し、該判別においてクライアントＰＣ１１が社内ネットワーク２上ではないと判別される場合は通信を遮断する通信制御モジュール３１と、を備える。【選択図】図１
2009246413.tif 000002
【特許請求の範囲】
【請求項１】
社内ネットワークで用いる端末内に設けられる社外ネットワークにおける通信制限の判別システムであって、
社内ドメイン名の情報と、前記端末がアクセスする指定ＷＷＷサーバアドレスの情報と、が予め登録されているデータベースと、
ネットワークへの接続時にＤＮＳサーバから取得する前記端末のドメイン名の情報を、前記データベースに登録されている前記社内ドメイン名の情報と比較して、両ドメイン名が一致するか否かによって、前記端末が社内ネットワーク上か否かを判別するドメイン名比較モジュールと、
該判別において前記端末が社内ネットワーク上であると判別される場合は通信を許可し、該判別において前記端末が社内ネットワーク上ではないと判別される場合は通信を遮断する通信制御モジュールと、
を備えることを特徴とする社外ネットワークにおける通信制限の判別システム。
【請求項２】
前記通信制御モジュールは、前記指定ＷＷＷサーバのアドレスを前記データベースから取得し、該アドレスに基づいて前記指定ＷＷＷサーバに接続要求を行い、かつ前記指定ＷＷＷサーバが前記ＤＮＳサーバに環境変数ＲＥＭＯＴＥ＿ＨＯＳＴに基づく逆引きをさせて取得した前記端末のホスト名を、前記指定ＷＷＷサーバから受け取ることを特徴とする請求項１に記載の社外ネットワークにおける通信制限の判別システム。
【請求項３】
前記ドメイン名比較モジュールは、前記通信制御モジュールから前記端末のホスト名を取得し、該ホスト名に含まれる前記端末のドメイン名を、前記データベースに登録されている前記社内ドメイン名の情報と比較し、前記端末のドメイン名と前記社内ドメイン名とが一致する場合に、前記端末が社内ネットワーク上であると判別することを特徴とする請求項１又は２に記載の社外ネットワークにおける通信制限の判別システム。
【請求項４】
前記ＤＮＳサーバは、前記社内ネットワークとは別のネットワークに属することを特徴とする請求項１乃至３のいずれか１項に記載の社外ネットワークにおける通信制限の判別システム。
【請求項５】
社内ネットワークで用いられる端末が、社内ドメイン名の情報と前記端末がアクセスする指定ＷＷＷサーバアドレスの情報とを予め登録したデータベースを有している場合の社外ネットワークにおける通信制限の判別方法であって、
前記端末が、ネットワークへの接続時に、前記端末のドメイン名の情報をＤＮＳサーバから取得するドメイン名取得手順と、
該ドメイン名を前記データベースに登録されている前記社内ドメイン名の情報と比較して、両ドメイン名が一致するか否かによって、前記端末が社内ネットワーク上か否かを判別する判別手順と、
該判別において前記端末が社内ネットワーク上であると判別される場合は通信を許可し、該判別において前記端末が社内ネットワーク上ではないと判別される場合は通信を遮断する通信手順と、
を備えることを特徴とする社外ネットワークにおける通信制限の判別方法。
【請求項６】
前記ドメイン名取得手順は、
前記指定ＷＷＷサーバのアドレスを前記データベースから取得する手順と、
該アドレスに基づいて前記指定ＷＷＷサーバに接続要求を行う手順と、
前記指定ＷＷＷサーバが前記ＤＮＳサーバに環境変数ＲＥＭＯＴＥ＿ＨＯＳＴに基づく逆引きをさせて取得した前記端末のホスト名を、前記指定ＷＷＷサーバから受け取る手順と、
を有することを特徴とする請求項５に記載の社外ネットワークにおける通信制限の判別方法。
【請求項７】
前記判別手順は、前記端末が前記指定ＷＷＷサーバから取得したホスト名に含まれる前記端末のドメイン名を、前記データベースに登録されている前記社内ドメイン名の情報と比較し、前記端末のドメイン名と前記社内ドメイン名とが一致する場合に、前記端末が社内ネットワーク上であると判別することを特徴とする請求項５又は６に記載の社外ネットワークにおける通信制限の判別方法。
【請求項８】
前記ＤＮＳサーバは、前記社内ネットワークとは別のネットワークに属することを特徴とする請求項５乃至７のいずれか１項に記載の社外ネットワークにおける通信制限の判別方法。
【請求項９】
社内ネットワークで用いられる端末が、社内ドメイン名の情報と前記端末がアクセスする指定ＷＷＷサーバアドレスの情報とを予め登録したデータベースを有している場合の社外ネットワークにおける通信制限の判別プログラムであって、
前記端末が、ネットワークへの接続時に、前記端末のドメイン名の情報をＤＮＳサーバから取得するドメイン名取得処理と、
該ドメイン名を前記データベースに登録されている前記社内ドメイン名の情報と比較して、両ドメイン名が一致するか否かによって、前記端末が社内ネットワーク上か否かを判別する判別処理と、
該判別において前記端末が社内ネットワーク上であると判別される場合は通信を許可し、該判別において前記端末が社内ネットワーク上ではないと判別される場合は通信を遮断する通信処理と、
をコンピュータに実行させることを特徴とする社外ネットワークにおける通信制限の判別プログラム。
【請求項１０】
前記ドメイン名取得処理は、
前記指定ＷＷＷサーバのアドレスを前記データベースから取得する処理と、
該アドレスに基づいて前記指定ＷＷＷサーバに接続要求を行う処理と、
前記指定ＷＷＷサーバが前記ＤＮＳサーバに環境変数ＲＥＭＯＴＥ＿ＨＯＳＴに基づく逆引きをさせて取得した前記端末のホスト名を、前記指定ＷＷＷサーバから受け取る処理と、
を有することを特徴とする請求項９に記載の社外ネットワークにおける通信制限の判別プログラム。
【請求項１１】
前記判別処理は、前記端末が前記指定ＷＷＷサーバから取得したホスト名に含まれる前記端末のドメイン名を、前記データベースに登録されている前記社内ドメイン名の情報と比較し、前記端末のドメイン名と前記社内ドメイン名とが一致する場合に、前記端末が社内ネットワーク上であると判別することを特徴とする請求項９又は１０に記載の社外ネットワークにおける通信制限の判別プログラム。
【請求項１２】
前記ＤＮＳサーバは、社内ネットワークとは別のネットワークに属することを特徴とする請求項９乃至１１のいずれか１項に記載の社外ネットワークにおける通信制限の判別プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、端末が接続したネットワークが社内／社外のどちらであるかを判別するための処理を行う社外ネットワークにおける通信制限の判別システム、その方法及びそのプログラムに関する。
【背景技術】
【０００２】
リモートアクセスが普及するにつれて、社外で端末を使用する機会が増えてきた。セキュリティ対策の整った社内とは異なり、社外での通信は多くの危険性をはらんでいる。
【０００３】
この危険性に対し、社外における通信制限によって、端末を保護する対策を行うことが考えられる。しかし、その端末を社内に接続している場合は、通信の制限を行うと業務に支障が生ずるため、端末が社内で接続しているのか社外で接続しているのかを判別する必要がある。
【０００４】
そこで、端末に割り当てられたＩＰアドレス体系が社内のものであるかを比較して判定し、ＩＰアドレスが社外と判定された端末の通信を制限することが考えられるが、ＩＰアドレスを判別条件に用いる方式では、プライベートアドレスの仕様上、社外ネットワークで割り当てられたＩＰアドレスが、社内のＩＰアドレスブロック内に含まれてしまう可能性がある。また、社内のＩＰアドレスブロック内から静的にＩＰアドレスを意図的に割り当てることも可能である。
【０００５】
このため、ＩＰアドレスの比較だけで社内と社外を見分けるには条件が不十分であり、他の比較条件を追加する必要がある。
【０００６】
そこで、端末からのアクセスの適否を判断する方法としては、以下のようなものが知られている。
【特許文献１】特開２００３−１８６８４０号公報
【特許文献２】特開２００５−１００１４１号公報
【特許文献３】特開２００２−１２４９９４号公報
【特許文献４】特開２００６−３３８１６１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００７】
しかしながら、上記特許文献１は、サーバにアクセスしてきた端末のＩＰアドレスに対応するドメイン名に基づいて、サーバ側がその端末のアクセスの適否を判断することから、偶然に端末側のプライベートＩＰアドレスが社内ネットワークのＩＰアドレス体系に一致する場合、誤ってその端末からのアクセスを認めてしまうという問題点がある。
【０００８】
また、上記いずれの特許文献においても、端末が保持する社内ドメイン名を考慮した通信の許可を行っていないという問題点がある。
【０００９】
本発明は、上記に鑑みてなされたものであり、ネットワークに接続した端末の環境が、社内か社外かを確実に判別し、該判別結果をもとに通信の制限を行ない、社外における通信の危険性を低減させ得る社外ネットワークにおける通信制限の判別システム、その方法及びそのプログラムを得ることを目的とする。
【課題を解決するための手段】
【００１０】
上述の課題を解決するため、本発明に係る社外ネットワークにおける通信制限の判別システムは、社内ネットワークで用いる端末内に設けられる社外ネットワークにおける通信制限の判別システムであって、社内ドメイン名の情報と、前記端末がアクセスする指定ＷＷＷサーバアドレスの情報と、が予め登録されているデータベースと、ネットワークへの接続時にＤＮＳサーバから取得する前記端末のドメイン名の情報を、前記データベースに登録されている前記社内ドメイン名の情報と比較して、両ドメイン名が一致するか否かによって、前記端末が社内ネットワーク上か否かを判別するドメイン名比較モジュールと、該判別において前記端末が社内ネットワーク上であると判別される場合は通信を許可し、該判別において前記端末が社内ネットワーク上ではないと判別される場合は通信を遮断する通信制御モジュールと、を備えることを特徴とする。
【００１１】
上述の課題を解決するため、本発明に係る社外ネットワークにおける通信制限の判別方法は、社内ネットワークで用いられる端末が、社内ドメイン名の情報と前記端末がアクセスする指定ＷＷＷサーバアドレスの情報とを予め登録したデータベースを有している場合の社外ネットワークにおける通信制限の判別方法であって、前記端末が、ネットワークへの接続時に、前記端末のドメイン名の情報をＤＮＳサーバから取得するドメイン名取得手順と、該ドメイン名を前記データベースに登録されている前記社内ドメイン名の情報と比較して、両ドメイン名が一致するか否かによって、前記端末が社内ネットワーク上か否かを判別する判別手順と、該判別において前記端末が社内ネットワーク上であると判別される場合は通信を許可し、該判別において前記端末が社内ネットワーク上ではないと判別される場合は通信を遮断する通信手順と、を備えることを特徴とする。
【００１２】
上述の課題を解決するため、本発明に係る社外ネットワークにおける通信制限の判別プログラムは、社内ネットワークで用いられる端末が、社内ドメイン名の情報と前記端末がアクセスする指定ＷＷＷサーバアドレスの情報とを予め登録したデータベースを有している場合の社外ネットワークにおける通信制限の判別プログラムであって、前記端末が、ネットワークへの接続時に、前記端末のドメイン名の情報をＤＮＳサーバから取得するドメイン名取得処理と、該ドメイン名を前記データベースに登録されている前記社内ドメイン名の情報と比較して、両ドメイン名が一致するか否かによって、前記端末が社内ネットワーク上か否かを判別する判別処理と、該判別において前記端末が社内ネットワーク上であると判別される場合は通信を許可し、該判別において前記端末が社内ネットワーク上ではないと判別される場合は通信を遮断する通信処理と、をコンピュータに実行させることを特徴とする。
【発明の効果】
【００１３】
本発明によれば、ネットワークへの接続時にＤＮＳサーバから取得した端末のドメイン名の情報を、ドメイン名比較モジュールがデータベースに登録されている前記社内ドメイン名の情報と比較し、両ドメイン名が一致するか否かによって、端末が社内ネットワーク上か否かを判別し、この判別結果に基づいて通信制御モジュールが通信の許可又は遮断を行うことにより、ネットワークに接続した端末の環境が、社内か社外かを確実に判別し、該判別結果をもとに通信の制限を行ない、社外における通信の危険性を低減させ得る社外ネットワークにおける通信制限の判別システム、その方法及びそのプログラムを得ることができる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明の実施の形態について図面を用いて詳細に説明する。図１は、本発明の社外ネットワークにおける通信制限の判別システムの実施の形態に係るネットワークの構成図である。
【００１５】
この図１では、ホテル、利用者の自宅又は外出先等の社外ネットワーク１と社内ネットワーク２とがあり、ともにインターネット１００に接続されるが、社内ネットワーク２は、ファイアウォール１２を経由してインターネット１００に接続されている。
【００１６】
クライアントＰＣ１１は、汎用の端末であり、社内／社外の判別結果に応じて通信の許可／遮断を制御する通信制御モジュール３１と、ネットワークに接続した際に取得するドメイン名情報をデータベース３３内の情報と比較して社内／社外の判別を行うドメイン名比較モジュール３２と、社内ドメイン名情報及び指定ＷＷＷサーバアドレスの情報があらかじめ登録されているデータベース３３とを、社内／社外判別システム３０として備える。
【００１７】
なお、図１において、社外ネットワーク１と、社内ネットワーク２とでは、接続されるクライアントＰＣ１１は同じものであり、社内ネットワーク２で使用するクライアントＰＣ１１が、社外で使用されるおそれがある場合を想定している。
【００１８】
社外ＤＮＳサーバ２１は、クライアントＰＣ１１等のＤＮＳクライアントからの要求に応じて正引き処理（ドメイン名に対するＩＰアドレス応答）や逆引き処理（ＩＰアドレスに対するドメイン名応答）を行う。
【００１９】
ＷＷＷサーバ２２は、クライアントＰＣ１１から送信されたＨＴＴＰ要求の送信元となるＩＰアドレス情報から、ＤＮＳ逆引き処理によってドメイン名情報を取得して、クライアントＰＣ１１に応答を返す機能を有する。
【００２０】
次に、本実施の形態の動作について説明する。図２は、社内ネットワーク２に設置されたクライアントＰＣ１１が有する社内／社外判別システム３０の通信手順を示したシーケンス図である。
【００２１】
本実施の形態では、社内／社外判別動作前に管理者などにより、データベース３３に、社内ドメイン名及び指定ＷＷＷサーバアドレスの情報が登録されていることを前提としている。ここで、指定ＷＷＷサーバアドレスとは、社内ネットワーク２上の端末がアクセスするＷＷＷサーバ２２のアドレスのことである。
【００２２】
まず、クライアントＰＣ１１がネットワークに接続すると通信制御モジュール３１はデータベース３３に対して指定ＷＷＷサーバアドレス情報を要求し（Ｓ２０１）、指定ＷＷＷサーバアドレス情報を取得する（Ｓ２０２）。
【００２３】
続いて、通信制御モジュール３１は、ＷＷＷサーバ２２に対してＨＴＴＰ接続要求を行う（Ｓ２０３）。
【００２４】
ＷＷＷサーバ２２は、ＨＴＴＰ環境変数であるＲＥＭＯＴＥ＿ＨＯＳＴを使用することで、ＷＷＷサーバ２２にアクセスした送信元であるクライアントＰＣ１１のＩＰアドレスのＤＮＳ逆引きを社外ＤＮＳサーバ２１に要求する（Ｓ２０４）。
【００２５】
一方で、社外ＤＮＳサーバ２１は、ＷＷＷサーバ２２に対してホスト名情報を含んだＤＮＳ応答を返す（Ｓ２０５）。なお、ここでいうホスト名とは、クライアンＰＣ１１が接続されているネットワークにおけるクライアントＰＣ１１のローカルな名称と、クライアンＰＣ１１が接続されているネットワークのドメイン名から成る名称である。
【００２６】
ＷＷＷサーバ２２は、通信制御モジュール３１に対してホスト名情報を含んだＨＴＴＰ応答を返す（Ｓ２０６）。
【００２７】
通信制御モジュール３１は、ＨＴＴＰ応答でのホスト名情報に含まれるドメイン名情報を認識し、ドメイン名比較モジュール３２にドメイン名比較を要求する（Ｓ２０７）。
【００２８】
ドメイン名比較モジュール３２は、データベース３３より社内ドメイン名情報を取得し、ＨＴＴＰ応答により取得したドメイン名情報との比較により社内／社外判別を行う（Ｓ２０８、Ｓ２０９）。
【００２９】
ドメイン名比較モジュール３２は、社内／社外の判別結果を通信制御モジュール３１に返す（Ｓ２１０）。
【００３０】
通信制御モジュール３１は判別結果が社内であれば通信を許可し、社外であれば通信を制限する。
【００３１】
以上説明したように、本発明に係る社外ネットワークにおける通信制限の判別システムによれば、クライアントＰＣ１１が接続したネットワークが社内／社外のどちらであるかをドメイン名比較モジュール３２により自動判別することが可能であることから、通信制御モジュール３１がドメイン名比較モジュール３２と連携することで、社外ネットワーク１の接続時に通信制限を行うことが可能となる。
【００３２】
又、本発明に係る社外ネットワークにおける通信制限の判別システム、その方法及びそのプログラムでは、ＨＴＴＰ環境変数であるＲＥＭＯＴＥ＿ＨＯＳＴを使用するＷＷＷサーバからのドメイン名応答を判別条件としている為、ＷＷＷサーバへのアクセスに使用されたグローバルアドレスのドメイン名情報を取得することが可能であり、端末が所属するドメイン名情報を正確に取得することが可能である。
【００３３】
従って、本発明に係る社外ネットワークにおける通信制限の判別システム、その方法及びそのプログラムは、社内／社外のＩＰアドレスブロックが同じとなる環境においても適用可能である。
【００３４】
なお、本発明は、ハードウェア、ソフトウェア又はこれらの組合せにより実現することができる。
【産業上の利用可能性】
【００３５】
本発明は、アクセス制御機能を有するセキュリティ分野に利用でき、特に社外に持ち出される可能性がある端末の通信制限に利用することができる。
【図面の簡単な説明】
【００３６】
【図１】本発明の社外ネットワークにおける通信制限の判別システムの実施の形態に係るネットワークの構成図である。
【図２】社内ネットワークに設置されたクライアントＰＣが有する社内／社外判別システムの通信手順を示したシーケンス図である。
【符号の説明】
【００３７】
１  社外ネットワーク
２  社内ネットワーク
１１  クライアントＰＣ
１２  ファイアウォール
２１  社外ＤＮＳサーバ
２２  ＷＷＷサーバ
３０  社内／社外判別システム
３１  通信制御モジュール
３２  ドメイン名比較モジュール
３３  データベース
【図１】
2009246413.tif 000003
【図２】
2009246413.tif 000004