JP2006066982A - ネットワーク接続制御システム - Google Patents

Abstract

【課題】 機器のネットワーク接続についての制御にあたり、システムの経時的なセキュリティ状態の変化に柔軟に対応でき、セキュリティポリシーを的確に反映してセキュリティレベルの維持を実現できる技術を提供する。
【解決手段】 ＬＡＮ２００と接続機器３００とを有する制御対象システム１００を有する。制御側システム４００として、監視機器５００と、接続制御機器６００を有する。監視機器５００においてＬＡＮ２００に接続する接続機器３００についての機器情報や最新のセキュリティ関連情報８０をもとに接続機器３００の脆弱性を評価してリスク値を算出する。これを制御対象システム１００のセキュリティポリシー８１を数値化した指標に照らしてＬＡＮ２００への接続の許可／不許可を判断する。判断に基づき接続制御機器６００により接続機器３００のネットワーク接続の継続／切断等の制御を実行する。
【選択図】 図１

Description

本発明は、コンピュータ機器のネットワーク接続を制御するネットワーク接続制御システムに関し、特に、ネットワークのセキュリティを確保するためにネットワーク接続を制御する技術に関する。

ネットワークに接続するＰＣ等のコンピュータ機器を含んだ企業内ＬＡＮ（Local Area Network）等のコンピュータシステムにおいて、コンピュータウィルスの蔓延や情報漏洩などから守り、システムの健全性を確保する必要がある。そのために、コンピュータ機器によるネットワークへの接続を制御する技術が必要となる。

従来、コンピュータ機器によるネットワークへの接続を制御する技術としては、例えば特許文献１記載の技術がある。この技術は、ユーザ認識情報（ユーザＩＤ）とパスワードとの併用で発信元の認証が行われていることを前提に、前記ユーザＩＤに関連して類推される類似のパスワードを連続発信するようなプログラムがひそかに開発されこの使用によるパスワード破りが横行しており、このような不正を防止するために認証方法の強化が求められていることを背景にした技術である。この技術では、システムに登録されているパスワードとは異なるパスワードを連続して所定回数受信した時は、当該発信元のネットワークアドレスを予め登録されたネットワークアドレスで照合し、照合が一致しない場合は当該発信元のネットワーク接続依頼を拒否するようにした発信元認証方法である。
特開平１１−８５７００号公報

前記特許文献１に記載されているような従来技術では、ネットワークに接続される機器を、その機器を利用するユーザ（人間）についての認証の結果と、機器のネットワークアドレスという固定情報とに基づき制御している。しかしこのような方法では、認証基準が固定化されるため、ネットワークに接続する機器を含んだＬＡＮ等のコンピュータシステムにおけるセキュリティレベルの経時変化に対して対応できないという課題が存在する。通常、コンピュータシステムにおけるセキュリティレベルは、セキュリティパッチを適用する等の対策を施さなければ、時々刻々と低下する。

例えば、企業内ＬＡＮにおけるＰＣ（パーソナルコンピュータ）等のネットワーク接続機器を当該企業内ＬＡＮのセキュリティポリシーに従って制御することを考える。接続の判断として、前述のような、機器を利用するユーザが正しく認証されたか、あるいは機器のＭＡＣ（メディアアクセス制御）アドレスやマシン名などが事前登録されている情報と一致するか等の、固定的な情報に基づいたネットワーク接続制御では、ウィルスに感染した機器のネットワーク接続を防止することや、新規ウィルスやセキュリティホールへの対策がなされていない機器のネットワーク接続を防止すること等ができない。従って、企業内ＬＡＮのセキュリティレベル維持にとって脅威となる機器、あるいはセキュリティホールになりかねない機器についてのネットワーク接続を制御することができない。

本発明は以上のような問題に鑑みてなされたものであり、その目的は、ネットワークへ接続して通信を行う通信機能を有するコンピュータ機器のネットワークへの接続について制御するにあたって、制御対象システムの経時的なセキュリティ状態の変化に柔軟に対応でき、セキュリティポリシーを的確に反映してセキュリティレベルの維持を実現できる技術を提供することである。

本願において開示される発明のうち、代表的なものの概要を簡単に説明すれば、次のとおりである。

前記目的を達成するために、本発明のネットワーク接続制御システムは、ＬＡＮ等のネットワークと、前記ネットワークへ接続して通信を行う通信機能を有する一つ以上のコンピュータ機器（接続機器）とを有するシステムを制御対象として、前記接続機器のネットワークへの接続についての制御を行うもので、制御対象システムにおける経時変化するセキュリティ状態に対応して動的に前記接続機器のネットワークへの接続を制御することを特徴とする。

本ネットワーク接続制御システムは、前記制御対象システムの現在時点のセキュリティ状態における前記接続機器の脆弱性を評価して対応するリスク値を算出し、前記算出したリスク値を、前記制御対象システムのネットワークドメインに適用されるセキュリティポリシーを反映して数値化した前記接続制御の判断のための指標（接続制御ポリシー）に照らして、前記接続機器のネットワークへの接続についての有効性を判断する。そして前記判断の結果に基づき、前記接続機器のネットワークへの接続を制御する。例えば前記ネットワーク接続の切断や継続などの制御を行う。これにより、制御対象システムにおけるセキュリティポリシーを反映したセキュリティレベルの維持が実現される。

本ネットワーク接続制御システムは、前記接続機器の機器情報に基づき前記制御対象システムのセキュリティに係わる前記接続機器のリスク値を算出するための情報と、前記制御対象システムにおけるセキュリティポリシーに対応したセキュリティレベルの維持のための、前記接続機器のネットワークへの接続を制御する基準となる接続制御ポリシーの情報とを設定する第一の手段と、前記接続機器の前記ネットワークへの接続の際に、前記接続機器の機器情報と前記リスク値を算出するための情報とを参照して前記接続機器のリスク値を算出し、前記算出されたリスク値と前記接続制御ポリシーの情報とをもとに前記ネットワークへの接続の制御について判断する第二の手段と、前記判断に基づく前記接続機器のネットワークへの接続に対する制御を前記制御対象のシステムに対して行う第三の手段とを有する。

また、本ネットワーク接続制御システムは、前記第一の手段で、前記リスク値を算出するための情報は、前記機器情報に含まれる状態情報と前記リスク値を対応させる情報であり、前記接続制御ポリシーの情報は、前記リスク値に係わるリスク閾値を算出するための情報である。また前記第二の手段は、前記接続機器の前記ネットワークへの接続の際に、前記リスク値と前記接続制御ポリシーの情報をもとに算出されたリスク閾値とを比較して、前記接続機器の前記ネットワークへの接続を許可するか否かを判断する。そして前記第三の手段は、前記判断の結果が不許可である場合に前記接続機器のネットワークへの接続を切断する制御を行う。

また、本ネットワーク接続制御システムは、前記制御対象システムの外部あるいは内部から最新のセキュリティ関連情報を参照し、前記第二の手段は、前記セキュリティ関連情報を考慮して前記リスク値の算出及び前記接続の制御の判断を行う。前記セキュリティ関連情報は、新規ウィルスやセキュリティホールの発見等の脆弱性情報、制御対象のネットワーク内でのウィルス発生等についての情報である。また、前記最新のセキュリティ関連情報をもとに、前記リスク値の算出のための情報や接続制御ポリシーの情報が更新される。

また、本ネットワーク接続制御システムは、例えば監視機器と接続制御機器とを有して構成される。前記監視機器は、前記第一の手段と前記第二の手段を備え、通信手段を通じて前記接続機器内のエージェントプログラムと通信を行うことで前記接続機器の前記ネットワークへの接続を監視して前記接続機器から前記機器情報を収集し、前記リスク値の算出のための情報と接続制御ポリシーの情報をデータベースに管理する。前記接続制御機器は、前記第三の手段を備え、通信手段を通じて前記監視機器に接続されて前記監視機器から受け取る前記判断の結果の情報に基づき前記ネットワークへの接続に対する制御を行う。

また、前記機器情報は、例えば前記接続機器におけるセキュリティパッチ適用の状態またはアンチウィルスソフトウェアにおけるパターンファイルの状態（バージョン等）またはインストール済みの特定アプリケーションの状態（バージョン等）、またはＭＡＣアドレスやマシン名等の機器識別情報を含む情報である。前記リスク値の算出のための情報は、前記接続機器におけるセキュリティパッチ適用の状態またはアンチウィルスソフトウェアにおけるパターンファイルの状態またはインストール済みの特定アプリケーションの状態、または前記機器識別情報の登録の状態と、前記リスク値とを対応付ける情報である。また前記リスク値の算出のための情報は、前記接続機器における特定のセキュリティパッチの未適用状態とリスク値を対応付ける情報や、ネットワーク接続が許可されている接続機器についての識別情報等を含んでも良い。

本ネットワーク接続制御システムにおいて、前記制御対象システムに適用されるセキュリティポリシーを反映して前記リスク値の算出のための情報や接続制御ポリシーの情報についての設定が行われる。

本ネットワーク接続制御システムは、前記接続機器のネットワークへの接続に対する制御を、例えば、前記接続機器によるネットワーク接続の際の接続認証処理の一部分として行ってもよい。すなわち本システムは、前記接続機器がネットワークへの接続を確立するための交渉処理の際に、前記エージェントプログラムの処理を通じて前記機器情報を取得して前記接続の制御の判断を行い、判断結果に基づき制御対象システムに対する接続の制御を実行する。

本願において開示される発明のうち、代表的なものによって得られる効果を簡単に説明すれば以下のとおりである。

本発明によれば、ネットワークとネットワーク接続機器を有するシステムにおいて、システムの経時変化するセキュリティ状態に柔軟に対応して機器のネットワーク接続を制御することが可能となる。これにより、制御対象システムのセキュリティを、セキュリティポリシーを的確に反映した一定以上のレベルに維持できる。

以下、本発明の実施の形態を図面に基づいて詳細に説明する。なお、実施の形態を説明するための全図において、同一部には原則として同一符号を付し、その繰り返しの説明は省略する。

図１は、本発明の一実施の形態におけるネットワーク接続制御システムの全体の構成を示す機能ブロック図である。本ネットワーク接続制御システムは、制御対象システム１００となるコンピュータシステムと、これに対し接続される制御側システム４００とを有する。本実施の形態のネットワーク接続制御システムは、制御対象システム１００として、ＬＡＮ２００とこれに接続されるネットワーク接続機器（以下、接続機器とも称する）３００とを含んで構成される企業内ＬＡＮを有し、これに対し適用されるコンピュータシステムである。本実施の形態のネットワーク接続制御システムは、制御対象システム１００である企業内ＬＡＮに、制御側システム４００としてネットワーク監視機器（以下、監視機器とも称する）５００とネットワーク接続制御機器（以下、接続制御機器とも称する）６００とが通信手段を通じて接続される形態である。本実施の形態は、特に企業内ＬＡＮにおける接続機器３００のネットワーク接続を制御対象とした場合の構成であるが、制御対象はそれに限定されるものではない。

制御対象システム１００である企業内ＬＡＮは、主にＬＡＮ２００とこれに接続される一つ以上のネットワーク接続機器３００とを有する。各接続機器３００は通信リンクでＬＡＮ２００に接続される。本ネットワーク接続制御システムにおける主な制御対象は、接続機器３００によるＬＡＮ２００への接続である。図１中では一つの接続機器３００のみ示すが、複数の接続機器３００がＬＡＮ２００に接続される場合も各接続機器３００が接続制御対象となる。

制御側システム４００は、主にネットワーク監視機器５００とネットワーク接続制御機器６００とで構成される。監視機器５００と接続制御機器６００は、相互に通信可能であり、それぞれ制御対象システム１００のＬＡＮ２００に通信リンクで接続される。本実施の形態では、制御側システム４００の構成要素となる機器（５００，６００）を独立したハードウェア構成としてそれぞれＬＡＮ２００に接続する形態としたが、他の形態も可能である。

各機器（３００，５００，６００）は、ＣＰＵなどの処理装置、メインメモリ及びハードディスク等を含む記憶装置、ＬＡＮ２００に対する通信インターフェイスとなる通信装置、ディスプレイ等の出力装置、及びキーボード等の入力装置を有するコンピュータであり、前記記憶装置に格納される制御プログラムに従って前記処理装置が情報処理を実行することで各種機能を実現するものである。各機器（３００，５００，６００）は、ＬＡＮ２００を介して互いに通信可能に接続される。

ＬＡＮ２００は、接続機器３００による接続対象となるネットワークである。ＬＡＮ２００には、通信手段を通じて、接続機器３００と監視機器５００と接続制御機器６００とが接続される。ＬＡＮ２００及び接続機器３００を含む企業内ＬＡＮのシステムに対応したネットワークドメインにおいて、所定のセキュリティポリシーが適用される。例えば企業内ＬＡＮの管理を行うシステム管理者がセキュリティポリシーを設定する。ＬＡＮ２００は、例えばＥｔｈｅｒｎｅｔ（登録商標）等の形式によるネットワークである。ＬＡＮ２００における通信プロトコルは、例えばＴＣＰ／ＩＰを含んだプロトコルである。また、ＬＡＮ２００は、アクセスポイントとなるサーバやスイッチ等を経由して外部ネットワーク７００に接続される。外部ネットワーク７００は、例えば広域ネットワークでありＬＡＮ２００と合わせてインターネット環境を構成する。接続機器３００は、ＬＡＮ２００、あるいはＬＡＮ２００を経由して外部ネットワーク７００に接続する。また、専用ネットワーク等に接続してもよい。

ネットワーク接続機器３００は、企業内ＬＡＮにおけるユーザが使用する機器であり、ネットワークすなわちＬＡＮ２００あるいはＬＡＮ２００を通じて外部ネットワーク７００へ接続して通信を行うソフトウェア的及びハードウェア的な通信機能を有する。接続機器３００は、例えばクライアントＰＣやその他のコンピュータ機器である。接続機器３００は、処理装置３０１、記憶装置３０２、通信装置３０３、出力装置３０４、入力装置３０５を有する。記憶装置３０２には、ネットワーク接続監視エージェント３１０のプログラムや通信機能を構成するプログラム等を含む制御プログラムが格納されている。また記憶装置３０２には、機器の状態情報を含んだ機器情報などを格納しておいてもよい。

ＣＰＵ等の処理装置３０１により前記ネットワーク接続監視エージェント３１０のプログラム他の制御プログラムが実行される。記憶装置３０２は、メインメモリやキャッシュメモリなどの主記憶やハードディスクなどの外部記憶を含む。通信装置３０３は、ＬＡＮインターフェイスカード等であり、接続機器３００の持つ通信機能を構成する。通信装置３０３は、ＬＡＮ２００の通信プロトコルに従って各レイヤ（物理層、データリンク層、ネットワーク層等）の通信処理を行う。出力装置３０４は、ディスプレイ等であり、入力装置３０５はキーボードやマウス等である。接続機器３００は、ユーザによる出力装置３０４、入力装置３０５を通じた操作に基づき、通信装置３０３を利用した通信機能を用いて、ＬＡＮ２００に接続する処理を行う。

前記接続機器３００の通信機能によるＬＡＮ２００への接続処理では、接続確立のための交渉処理や接続確立後の通信処理及び通信終了時の接続切断処理等を行う。前記交渉処理ではネットワーク接続のための認証を正常に通過した後にＬＡＮ２００への接続が確立された状態となる。前記接続のための認証を正常に通過できない場合は接続が確立されない。前記ネットワーク接続のための認証には、後述する本ネットワーク接続制御システムによるネットワーク接続制御のための接続認証（６１１）が含まれる。接続機器３００では、接続確立後は通信機能により通信処理が継続される。また通信接続は、ユーザの操作や本ネットワーク接続制御システムによるネットワーク接続制御を含む所定の契機で切断される。

ネットワーク接続監視エージェント３１０は、監視機器５００が有するネットワーク接続監視アプリケーション５１０と連携するエージェントプログラムであり、ネットワーク接続監視アプリケーション５１０との間でネットワーク接続制御のための通信を行う。ネットワーク接続監視エージェント３１０は、ＬＡＮ２００を通じて監視機器５００のネットワーク接続監視アプリケーション５１０に対し情報を送信する。

なお本実施の形態では、ＬＡＮ２００を通じてネットワーク接続監視エージェント３１０、ネットワーク接続監視アプリケーション５１０、及びネットワーク接続制御アプリケーション６１０の間で通信を行う処理形態としたが、他の通信手段で通信を行う形態としてもよい。例えば接続機器３００、監視機器５００、接続制御機器６００が別のネットワークや専用線で接続される形態としてもよい。

ネットワーク監視機器５００は、例えばＰＣやネットワーク監視処理専用アプライアンスなどのコンピュータであり、必要に応じて接続機器３００や接続制御機器６００と通信を行う通信機能を備える。監視機器５００は、処理装置５０１、記憶装置５０２、通信装置５０３、出力装置５０４、入力装置５０５を備える。監視機器５００は、オペレータが情報を入力する入力装置５０５と、情報を表示する出力装置５０４と、ＬＡＮ２００を含むネットワークを介した通信処理を行う通信装置５０３とを備えている方が望ましいが、備えない構成も可能である。記憶装置５０２は、メインメモリやハードディスク等を含む。監視機器５００は、記憶装置５０２に、ネットワーク接続監視アプリケーション５１０とリスク値管理ＤＢ（データベース）５２０を格納している。

ネットワーク接続監視アプリケーション５１０は、接続機器３００によるネットワーク接続すなわちＬＡＮ２００への接続を監視するための各種機能を有し、また、リスク値算出情報や接続制御ポリシー情報等の各種情報・データを保持するリスク値管理ＤＢ５２０を管理している。リスク値算出情報は接続機器３００から取得する機器情報からリスク値を算出するための設定情報である。接続制御ポリシー情報は、制御対象システム１００のセキュリティポリシーに対応して数値化された、ネットワーク接続制御の判断のための指標である。

ネットワーク接続制御機器６００は、例えばＰＣやネットワーク接続制御処理専用アプライアンスなどのコンピュータであり、必要に応じて接続機器３００や監視危機５００と通信を行う通信機能を備える。接続制御機器６００は、監視機器５００と同様に、処理装置６０１、記憶装置６０２、通信装置６０３、出力装置６０４、入力装置６０５を備える。接続制御機器６００は、オペレータが情報を入力する入力装置６０５と、情報を表示する出力装置６０４と、ＬＡＮ２００を含むネットワークを介した通信処理を行う通信装置６０３とを備えている方が望ましいが、備えない構成も可能である。記憶装置６０２は、メインメモリやハードディスク等を含む。接続制御機器６００は、記憶装置６０２に、ネットワーク接続制御アプリケーション６１０を格納している。

ネットワーク接続制御アプリケーション６１０は、制御対象システム１００に対して働きかけることで接続機器３００によるＬＡＮ２００への接続を切断／継続する等の制御を実行する機能を有し、ネットワーク接続監視アプリケーション５１０や制御対象システム１００等と通信を行う。

図２は、本実施の形態のネットワーク接続制御システムでのネットワーク接続制御の処理概要について示す説明図である。

外部ネットワーク７００上には、最新のセキュリティ関連情報８０を提供するサーバが存在する。すなわちソフトウェア会社やセキュリティ関連会社等が運営するサーバにより、脆弱性情報などの最新のセキュリティ関連情報が提供される。制御対象システム１００では、対応するネットワークドメインにおいて、所定のセキュリティポリシー８１が適用される。セキュリティポリシー８１を反映してリスク値管理ＤＢ５２０へ情報が設定される。

ネットワーク接続監視アプリケーション５１０は、ＤＢ設定５１１、機器情報収集５１２、接続制御判断５１３、セキュリティ関連情報参照５１４等の処理を行う各種機能を備える。ＤＢ設定５１１の機能は、リスク値管理ＤＢ５２０へのリスク値算出情報や接続制御ポリシー情報等の設定を行う。機器情報収集５１２の機能は、接続機器３００についてネットワーク接続の際に、接続機器３００の機器情報を所定の通信を通じて収集する。接続制御判断５１３の機能は、機器情報とリスク値管理ＤＢ５２０における設定情報をもとに接続機器３００のリスク値を算出して接続制御ポリシーに照らしてネットワーク接続に関する制御の判断を行う。また接続制御判断５１３の機能は、前記判断の結果の情報を、ネットワーク接続制御アプリケーション６１０に対して特定の接続機器３００についてのネットワーク接続制御のための指示となる制御情報として通知（送信）する。セキュリティ関連情報参照５１４の機能は、最新のセキュリティ関連情報８０を参照・取得し、ＤＢ設定５１１や接続制御判断５１３に利用する。

接続機器３００についての機器情報は、例えば該当接続機器３００におけるセキュリティパッチの状態、アンチウイルスパターンファイルの状態、インストール済み特定アプリケーションの状態、あるいはＭＡＣアドレスやマシン名などの機器識別情報などであり、これら情報をもとに該当接続機器３００についてのリスク値が算出される。

ネットワーク接続制御アプリケーション６１０は、ネットワーク監視機器５００から送信される前記判断結果情報、すなわちネットワーク接続制御のための指示となる制御情報に基づき、特定の接続機器３００のネットワーク接続を、切断あるいは継続する等の制御を行う接続制御６１１の機能を備える。ネットワーク接続制御アプリケーション６１０は、ネットワーク接続制御の際は、特に接続制御対象となる接続機器３００に対して接続制御情報を送信する。

前記接続制御機器６００による接続制御機能は、ソフトウェアとしてもハードウェアとしても提供可能である。前記接続制御機能をソフトウェアとして提供する場合、例えば、ＴＣＰ／ＩＰレイヤでのＡＲＰテーブル管理で実現してもよいし、ネットワーク接続監視エージェント３１０の機能により接続機器３００のネットワーク接続を制御してもよい。前記ＡＲＰは、与えられたＩＰアドレスからＭＡＣアドレスを求めるためのプロトコルである。ネットワーク上でＡＲＰ要求を送信（ブロードキャスト等）すると、該当するＩＰアドレスを持つ機器からＡＲＰ応答が返される。前記ＡＲＰテーブルは、ＡＲＰパケットの授受で得た情報を格納しておくテーブルである。前記ネットワーク接続監視エージェント３１０の機能により制御する場合は、接続制御機器６００から受信する接続制御情報に基づき、ＬＡＮ２００への接続確立のための認証処理において接続確立をキャンセルする等の処理を行う。また、前記接続制御機能をハードウエアとして提供する場合、例えば、接続制御機器６００からの接続制御情報に基づき、接続機器３００が通信リンクで接続するＬＡＮ２００におけるハブ（スイッチ）のポートをＯＮ／ＯＦＦに制御することでネットワーク接続の継続／切断の制御を実現しても良い。

本実施の形態では、接続制御機器６００と監視機器５００を別装置として構成したが、一体化した機器として構成されても良い。すなわち、ネットワーク接続制御アプリケーション６１０とネットワーク接続監視アプリケーション５１０とが行う機能を備えるプログラムを実行する一つの機器として構成されても良い。

また、ネットワーク監視機器５００の有する各機能の一部を、サービスプロバイダー等の外部のコンピュータシステムによりアウトソーシングするような形態とすることも可能である。

次に、本実施の形態のネットワーク接続制御システムにおける処理手順について説明する。図３は、本実施の形態のネットワーク接続制御システムでのネットワーク接続制御のプロセスを示すフロー図である。

まず、設定処理として、監視機器５００では、制御対象システム１００である企業内ＬＡＮに対して適用されるセキュリティポリシー８１をベースにして、各種脆弱性情報を含む最新のセキュリティ関連情報８０も参照しつつ、制御対象システム１００で維持すべきセキュリティレベルについての設定をリスク値管理ＤＢ５２０に対して行う。すなわち、セキュリティポリシー８１に対応して接続機器３００のネットワーク接続に対する制御の際の判断基準を数値化した情報である接続制御ポリシー情報をリスク値管理ＤＢ５２０に格納する。特に、接続制御ポリシー情報として、接続機器３００のリスク値に係わりネットワーク接続の制御の基準となるリスク閾値を決定して格納する（ステップＳ１０１）。当該設定処理は、最新のセキュリティ関連情報８０に対応して随時行うのが効果的である。前記セキュリティレベルは、制御対象システム１００におけるネットワークの健全性を定常的に維持するために達成すべきレベルである。例えば、制御対象システム１００の管理者は、監視機器５００を操作して前記設定処理を行う。前記リスク値管理ＤＢ５２０における設定は、最新のセキュリティ関連情報８０の発生に応じて自動的に更新することもできるし、必要に応じて管理者等が手動で更新することもできる。

次に、前記設定を前提として、ユーザが接続機器３００を使用してＬＡＮ２００に接続を行うタイミングで、当該接続機器３００の機器情報を、ネットワーク接続監視エージェント３１０の機能及びネットワーク接続監視アプリケーション５１０の機能を用いて収集する（Ｓ１０２）。例えば、接続機器３００におけるＬＡＮ２００への接続確立のための交渉処理の際にネットワーク接続監視エージェント３１０が介入して接続認証３１１の処理を行う。この際、当該接続機器３００がネットワーク接続交渉処理中の旨と、接続機器３００の状態情報とを含む機器情報を、ネットワーク接続監視アプリケーション５１０にＬＡＮ２００を通じて送信する。監視機器５００のネットワーク接続監視アプリケーション５１０は、前記機器情報の受信によって該当接続機器３００のネットワーク接続交渉処理中の状態を認識する。

なお、ここでは接続機器３００がＬＡＮ２００に接続を開始するタイミングで当該ネットワーク接続についての接続制御を行う場合について示しているが、接続機器３００が既にＬＡＮ２００に接続確立して通信中におけるタイミングで当該ネットワーク接続の制御を行うことも可能である。

次に、監視機器５００において、前記収集された機器情報を、リスク値管理ＤＢ５２０に格納されているリスク値算出情報に照らして、該当接続機器３００の現在のリスク値を算出する（Ｓ１０３）。この際、リスク値算出情報は、図４等で示すような、接続機器３００にインストールされて稼動するＯＳやアプリケーションについてのセキュリティパッチのバージョン、アンチウィルスソフトウェアにおけるパターンファイルの情報、ＭＡＣアドレスやＩＰアドレス等のネットワークアドレス情報、接続機器３００の名称（マシン名）の情報など、当該企業内ＬＡＮにおけるセキュリティポリシー８１に照らして必要な項目から構成される。

また、企業内ＬＡＮの健全性を定常的に維持するために、監視機器５００が当該企業内ＬＡＮに対応するネットワークドメインの接続機器３００についての機器情報を定期あるいは不定期などの所定の条件に基づき収集して、接続機器３００の脆弱性を評価してこれに対応するリスク値を前記リスク値算出情報に基づき算出してネットワーク接続の制御を行うようにすることも可能である。

次に、監視機器５００では、前記Ｓ１０２，Ｓ１０３の処理で得られた接続機器３００のリスク値と、前記接続制御ポリシー情報により設定されるリスク閾値とを比較し、ネットワーク接続の有効性を判断する(Ｓ１０４)。当該接続機器３００のリスク値がリスク閾値未満である場合（Ｓ１０４−ＹＥＳ）、判断結果がＯＫとなり、当該接続機器３００のネットワーク接続が許可されると判断される（Ｓ１０５）。また、当該接続機器３００のリスク値がリスク閾値以上となる場合（Ｓ１０４−ＮＯ）、判断結果がＮＧとなり、当該接続機器３００のネットワーク接続が不許可されると判断される（Ｓ１０６）。

次に、監視機器５００は、Ｓ１０４での判断に基づき、前記判断結果すなわち該当接続機器３００のネットワーク接続制御のための指示となる制御情報を、接続制御機器６００に通知する（Ｓ１０７）。例えば監視機器５００のネットワーク接続監視アプリケーション５１０は、前記判断結果がＮＧの場合に、前記判断結果のＮＧすなわちネットワーク接続不許可に対応した制御情報を、ＬＡＮ２００を通じて接続制御機器６００のネットワーク接続制御アプリケーション６１０に対して送信する。

接続制御機器６００は、前記監視機器５００から通知される判断結果情報に基づき、該当の接続機器３００のＬＡＮ２００への接続に対する制御を実行する（Ｓ１０８）。すなわち、ネットワーク接続制御アプリケーション６１０は、前記判断結果情報として前記ネットワーク接続の不許可を示す情報を受信した場合、該当の接続機器３００のＬＡＮ２００への接続を許可せずに切断する制御を実行する。例えば、接続制御機器６００は、ネットワーク接続不許可及び切断の指示となる接続制御情報を、ＬＡＮ２００を通じて該当の接続機器３００に対して送信する。前記ネットワーク接続不許可及び切断の指示となる接続制御情報を受信した接続機器３００は、当該接続制御情報に基づきＬＡＮ２００への接続を切断する処理を行う。またセキュリティ上の理由からネットワーク接続を不許可とした旨の情報表示処理等を合わせて行ってもよい。また接続制御機器６００は、前記ネットワーク接続の許可を示す判断結果がＯＫの制御情報を受信した場合は、該当の接続機器３００のネットワーク接続を許可して継続する制御を実行する。

図４〜図７は、本実施の形態のネットワーク接続制御システムにおいて、監視機器５００のリスク値管理ＤＢ５２０に格納される情報・データについて示す表である。リスク値管理ＤＢ５２０には、接続機器３００のリスク値の算出に係わる設定情報であるリスク値算出情報として、図４（ａ）に示すセキュリティパッチレベル情報Ｔ１、図４（ｂ）に示すアンチウィルスパターンファイルバージョン情報Ｔ２、図４（ｃ）に示すインストール済み特定アプリケーションバージョン情報Ｔ３、図５（ａ）に示すＭＡＣアドレス情報Ｔ４、図５（ｂ）に示すマシン名情報Ｔ５、図６に示す特定セキュリティパッチ適用情報Ｔ６、図７に示すネットワーク接続許可機器情報Ｔ７などの情報が格納される。図４は特に接続機器３００のソフトウェア状態に係わるリスク値算出情報を示す。図５は特に接続機器３００の機器識別情報に係わるリスク値算出情報を示す。図６は特に特定セキュリティパッチ適用に係わるリスク値算出情報を示す。図７は特にネットワーク接続許可される接続機器３００についての情報を示す。なお、これら情報・データの構成及び各項目の値は一例であり、またこのデータベースの情報の管理方法についてはバリエーションがある。各図では、接続機器３００におけるリスク値の設定範囲を、最も低いものを０、最も高いものを５と、０〜５の六段階の値に設定する例を示す。

ネットワーク接続監視アプリケーション５１０は、リスク値管理ＤＢ５２０内に、リスク値算出情報として前記情報（Ｔ１〜Ｔ７）を設定する。前記リスク値算出情報の設計及び設定においては、制御対象システム１００である企業内ＬＡＮのセキュリティポリシー８１に基づいたセキュリティレベルの維持に係わる、接続機器３００についてのチェック観点（接続制御対象情報）を選択して、このチェック観点に対する対策レベルに応じて前記リスク値を設定する。本実施の形態では、前記チェック観点の例として、セキュリティパッチ適用レベル等、前記情報（Ｔ１〜Ｔ７）に示すように選択している。

図４（ａ）に示すセキュリティパッチレベル情報Ｔ１は、制御対象の接続機器３００におけるセキュリティパッチ（脆弱性修復プログラム）の適用レベルの状態に対応するリスク値を設定するテーブルである。前記適用レベルの状態の例として、最新バージョンのセキュリティパッチを適用している状態、一つ前のバージョンのセキュリティパッチを適用している状態、及びその他の状態の三つを項目として持つ。また、対応するリスク値の設定の例として、接続機器３００について、最新バージョンのセキュリティパッチを適用している状態ではそのリスク値を０、一つ前のバージョンのセキュリティパッチを適用している状態ではそのリスク値を１、その他の状態ではそのリスク値を５とするように設定している。

なお前記セキュリティパッチは、接続機器３００におけるソフトウェア保全上の弱点（セキュリティホール）が発覚した際に配布され適用される、脆弱性についての修正プログラムである。セキュリティパッチの処理により、接続機器３００のソフトウェア内でセキュリティホールの原因となっているファイルが問題のないファイルに置き換えされる。セキュリティパッチは、例えばインターネットや記録媒体などを通じて配布される。接続機器３００における脆弱性は、制御対象システム１００における主に欠陥や仕様上の問題点によるものである。脆弱性が発見されると対応したセキュリティパッチがメーカー等により提供される。個々の接続機器３００によってセキュリティパッチの適用状態など機器状態が異なることにも対応する。

図４（ｂ）に示すアンチウィルスパターンファイルバージョン情報Ｔ２は、制御対象の接続機器３００におけるアンチウィルスソフトウェアの持つパターンファイル（ウィルス定義ファイル）の新しさの状態に対応するリスク値を設定するテーブルである。前記状態の例として、最新バージョンのパターンファイルを持つ状態、一つ前のバージョンのパターンファイルを持つ状態、及びその他の状態の三つを項目として持つ。また、対応するリスク値の設定の例として、接続機器３００について、最新バージョンのパターンファイルを持つ状態ではそのリスク値を０、一つ前のバージョンのパターンファイルを持つ状態ではそのリスク値を２、その他の状態ではそのリスク値を５とするように設定している。

なお前記アンチウィルスソフトウェアは、接続機器３００におけるコンピュータウィルス等を除去するアプリケーションプログラムであり、ウィルスに感染したファイルを修復してコンピュータを感染前の状態に回復する処理等を行う。アンチウィルスソフトウェアは、ウィルス検知のためのパターンファイルと検査対象ファイルを照合してパターンの一致によりウィルスを検出する。前記パターンファイルは、コンピュータウィルスに感染したファイルや、ネットワーク上で自己複製を繰り返すワームプログラム等についての特徴を収録したファイルである。前記パターンファイルはアンチウィルスソフトメーカー等によって定期的に更新され、最新のバージョンのパターンファイルがインターネット等を経由して接続機器３００に取得される。

図４（ｃ）に示すインストール済み特定アプリケーションバージョン情報Ｔ３は、制御対象の接続機器３００における特定の業務アプリケーションに関する新しさの状態に対応するリスク値を設定するテーブルである。前記状態の例として、最新バージョンの特定アプリケーションをインストールしている状態、一つ前のバージョンの特定アプリケーションをインストールしている状態、及びその他の状態の三つを項目として持つ。また、対応するリスク値の設定の例として、接続機器３００について、最新バージョン及び一つ前のバージョンの特定アプリケーションをインストールしている状態ではそのリスク値を０、その他の状態ではそのリスク値を５とするように設定している。

図５（ａ）に示すＭＡＣアドレス情報Ｔ４や図５（ｂ）に示すマシン名情報Ｔ５は、それぞれ、制御対象の接続機器３００のＭＡＣアドレスやマシン名についてのシステムへの登録の状態に対応するリスク値を設定するテーブルである。前記状態の例として、ＭＡＣアドレスやマシン名を登録済みの状態と未登録の状態との二つを項目として持つ。また、対応するリスク値の設定の例として、接続機器３００について、ＭＡＣアドレスやマシン名が登録済みの状態ではそのリスク値を０、ＭＡＣアドレスが未登録の状態ではそのリスク値を５、マシン名が未登録の状態ではそのリスク値を１とするように設定している。前記ＭＡＣアドレスやマシン名以外の、接続機器３００を一意に特定するための機器識別情報、例えばＩＰアドレスや、ＯＳのシリアルナンバーといった情報を設定の項目に含めても良い。

図６に示す特定セキュリティパッチ適用情報Ｔ６は、制御対象の接続機器３００における特定セキュリティパッチの適用有無の状態に対応するリスク値を設定するテーブルである。項目の例として、特定セキュリティパッチ名と、そのパッチが未適用時のリスク値とを持つ。前記セキュリティパッチレベル情報Ｔ１では、セキュリティパッチのバージョンが新しければそのリスク値が低い値となるように設定したが、制御対象システム１００の状況によっては、必ずしもセキュリティパッチのバージョンが新しければ良いとは限らない。またシステム状況に応じて特定の（通常とは異なる）セキュリティパッチの適用が必要あるいは望ましくなる場合も存在する。従ってこれら状況に対応するために、特定セキュリティパッチ適用情報Ｔ６には、接続機器３００に対する特定セキュリティパッチの未適用時のリスク値を設定する。例えば接続機器３００に関する緊急度・重要度の高いセキュリティホールが発見された場合に、システム管理者等が、当該セキュリティホールへの対策となる特定のセキュリティパッチの未適用でのネットワーク接続を許可しないことを実現するために、前記特定セキュリティパッチの未適用の場合に算出されるリスク値を上げるようにリスク値算出情報の更新を行う。この高いリスク値の設定によって、特定セキュリティパッチが未適用の状態の接続機器３００は、ネットワーク接続が不許可になるように制御されることとなる。

図７に示すネットワーク接続許可機器情報Ｔ７は、制御対象システム１００におけるＬＡＮ２００に対する接続が許可される接続機器３００についての登録情報である。項目の例として、接続機器３００のマシン名、ＭＡＣアドレス、ＩＰアドレス、及びユーザの四つを有する。例えば、ある接続機器３００において、マシン名が「ＰＣ１」、ＭＡＣアドレスが「００００１１１１２２２２」、ＩＰアドレスが「１９２．１６８．１０．１」、ユーザが「佐藤」として設定されている。当該設定情報（Ｔ７）を参照することで、接続機器３００がそもそもシステムに登録済みであるかどうか等が判断可能である。

セキュリティポリシー８１に応じた設定例として、システムに未登録のＭＡＣアドレスを持つ接続機器３００をネットワーク接続させない場合には、前記図５（ａ）に示すように、未登録ＭＡＣアドレスを持つ接続機器３００に、リスク値として５のような高い値を付与する。また例えば、セキュリティパッチ適用状態については、許容範囲がある場合には、許容範囲内ではリスク値を０〜１のように低い値を付与し、許容範囲外ではリスク値を４〜５のように高い値を付与する。また例えば、制御対象システム１００の外部／内部から提供されるセキュリティ関連情報８０に基づき、特定のセキュリティパッチの適用を緊急に必要とする場合には、当該特定パッチの未適用状態に対してリスク値として５のような高い値を付与する。

また、前記リスク値管理ＤＢ５２０には、リスク値算出情報の設定に加え、企業内ＬＡＮのセキュリティポリシー８１に基づき、ウィルス発生や危険度の高い脆弱性情報への対応などのリスク閾値増減要素を選択して、これに対する増減レベルを設定する情報である接続制御ポリシー情報を設定する。前記接続制御ポリシー情報として、主に前記リスク値を用いたネットワーク接続制御の判断に係わる閾値であるリスク閾値を設定する。ネットワーク接続制御の際は、リスク値管理ＤＢ５２０におけるリスク値算出情報並びに接続制御ポリシー情報における設定に基づき、接続機器３００のリスク値及び判断のためのリスク閾値が算出され、リスク値とリスク閾値との比較により判断がなされる。例えば接続制御ポリシー情報においてリスク閾値を５と設定している状況で、ある接続機器３００のネットワーク接続制御の際にセキュリティパッチの適用レベルの状態が前記その他の状態である場合はリスク値が５と算出され、算出されたリスク値がリスク閾値に達してしまうことからネットワーク接続が不許可に制御されることとなる。

これらリスク値管理ＤＢ５２０における設定情報は、インターネット環境における新規ウィルスやセキュリティホールの発見、制御対象システム１００のＬＡＮ２００内でのウィルスの発生などに対応した、最新のセキュリティ関連情報８０の参照を基に更新する。例えば最新のセキュリティ関連情報８０を外部ネットワーク７００から監視機器５００が取得する。あるいは、例えば、監視対象となるＬＡＮ２００内にウィルス感染が確認された場合に、接続制御ポリシー情報におけるリスク閾値の設定を最も低い値（０）に設定することで、制御対象システム１００におけるすべての接続機器３００のネットワーク接続をその状態に係わらず無効化してウィルスの感染拡大を防ぐこと等も可能となる。

さらに、脆弱性情報等を含む最新のセキュリティ関連情報８０の提供や、セキュリティに関する知識や運用ノウハウなど必要な脆弱性情報を基にしたリスク値管理ＤＢ５２０の設定の更新等を、外部のサービスプロバイダー等によりアウトソーシングするような形態としても良い。例えば前記ＤＢ設定５１１の機能をアウトソーシングして、最新のセキュリティ関連情報８０の発生に伴ってリスク値管理ＤＢ５２０の設定を更新させる。

また、本実施の形態では、接続制御ポリシー情報の設定によりネットワーク接続制御の判断に使用されるリスク閾値を直接増減させてネットワーク接続制御を行う例を記載したが、前記接続制御ポリシー情報は、前記リスク閾値増減要素に応じて接続機器３００の状態とリスク値との対応についての重み付けを変化させる値としてもよい。この場合、リスク閾値を変化させるのではなく、セキュリティ関連情報８０をもとに、リスク値算出情報における各項目に重み付けを行い、脆弱性の高いもの（対策が必要な項目）のリスク値を増加させてネットワーク接続制御を実施するようにする。具体的には例えば、前記図４（ｂ）に示すような設定情報（Ｔ２）がある状況で、危険度の高い脆弱性情報への対応としてパターンファイルの更新を要する場合に、接続機器３００の状態とリスク値との対応の重み付けを例えば二倍に変化させる。すなわち、この重み付けの変化によって、最新・一つ前・その他の三つの状態に対応するリスク値を、｛０，２，５｝から｛０，４，１０｝へと変化させる。このような設定により、接続機器３００の状態に対応するリスク値が増減される。

以上説明したように、本実施の形態によれば、制御対象システム１００のネットワークドメインに適用されるセキュリティポリシー８１を反映したリスク値算出情報及び接続制御ポリシー情報の設定によって、接続機器３００のＬＡＮ２００への接続の切断／継続等の制御を行うことができ、一定のセキュリティレベルの維持を実現できる。また、最新のセキュリティ関連情報８０に基づいて、ネットワーク接続制御についての判断のためのリスク値及びリスク閾値に関する設定を更新することで、制御対象システム１００におけるセキュリティ状態の経時変化に応じた動的なネットワーク接続制御を行うことができる。

以上、本発明者によってなされた発明を実施の形態に基づき具体的に説明したが、本発明は前記実施の形態に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることは言うまでもない。

本発明は、ネットワークに接続するコンピュータ機器を有する企業内ＬＡＮ等のコンピュータシステムに対するセキュリティシステム等として利用可能である。

本発明の一実施の形態におけるネットワーク接続制御システムの全体の構成を示す機能ブロック図である。 本発明の一実施の形態のネットワーク接続制御システムでのネットワーク接続制御の処理概要について示す説明図である。 本発明の一実施の形態のネットワーク接続制御システムでのネットワーク接続制御のプロセスを示すフロー図である。 （ａ）〜（ｃ）は、本発明の一実施の形態のネットワーク接続制御システムにおいて、監視機器のリスク値管理ＤＢに格納される情報・データ、特にソフトウェア状態に係わるリスク値算出情報について示す表である。 （ａ），（ｂ）は、本発明の一実施の形態のネットワーク接続制御システムにおいて、監視機器のリスク値管理ＤＢに格納される情報・データ、特に機器識別情報に係わるリスク値算出情報について示す表である。 本発明の一実施の形態のネットワーク接続制御システムにおいて、監視機器のリスク値管理ＤＢに格納される情報・データ、特に特定セキュリティパッチ適用状態に係わるリスク値算出情報について示す表である。 本発明の一実施の形態のネットワーク接続制御システムにおいて、監視機器のリスク値管理ＤＢに格納される情報・データ、特にネットワーク接続許可機器に係わる情報について示す表である。

符号の説明

１００…制御対象システム、２００…ＬＡＮ、３００…ネットワーク接続機器、３０１，５０１，６０１…処理装置、３０２，５０２，６０２…記憶装置、３０３，５０３，６０３…通信装置、３０４，５０４，６０４…出力装置、３０５，５０５，６０５…入力装置、３１０…ネットワーク接続監視エージェント、３１１…接続認証、４００…制御側システム、５００…ネットワーク監視機器、５１０…ネットワーク接続監視アプリケーション、５１１…ＤＢ設定、５１２…機器情報収集、５１３…接続制御判断、５１４…セキュリティ関連情報参照、５２０…リスク値管理ＤＢ、６００…ネットワーク接続制御機器、６１０…ネットワーク接続制御アプリケーション、６１１…接続制御、７００…外部ネットワーク、８０…セキュリティ関連情報、８１…セキュリティポリシー、Ｔ１…セキュリティパッチレベル情報、Ｔ２…アンチウィルスパターンファイルバージョン情報、Ｔ３…インストール済み特定アプリケーションバージョン情報、Ｔ４…ＭＡＣアドレス情報、Ｔ５…マシン名情報、Ｔ６…特定セキュリティパッチ適用情報、Ｔ７…ネットワーク接続許可機器情報。

Claims (5)

1. ネットワークと前記ネットワークへ接続して通信を行う通信機能を有する接続機器とを有するシステムを制御対象として前記接続機器の前記ネットワークへの接続を制御するネットワーク接続制御システムにおいて、
   前記接続機器の機器情報に基づき前記制御対象のシステムのセキュリティ状態に係わる前記接続機器のリスク値を算出するための情報と、前記制御対象のシステムにおけるセキュリティポリシーに対応した前記接続機器の前記ネットワークへの接続を制御する基準となる接続制御ポリシーの情報とを設定する第一の手段と、
   前記接続機器の前記ネットワークへの接続の際に、前記接続機器の機器情報と前記リスク値を算出するための情報とを参照して前記接続機器のリスク値を算出し、前記算出されたリスク値と前記接続制御ポリシーの情報とをもとに前記ネットワークへの接続の制御について判断する第二の手段と、
   前記判断に基づく前記接続機器の前記ネットワークへの接続に対する接続制御を前記制御対象のシステムに対して行う第三の手段とを有することを特徴とするネットワーク接続制御システム。
2. 請求項１記載のネットワーク接続制御システムにおいて、
   前記第一の手段で、前記リスク値を算出するための情報は、前記機器情報に含まれる状態情報と前記リスク値を対応させる情報で、前記接続制御ポリシーの情報は、前記リスク値に係わるリスク閾値を算出するための情報であり、
   前記第二の手段は、前記接続機器の前記ネットワークへの接続の際に、前記リスク値と前記接続制御ポリシーの情報をもとに算出されたリスク閾値とを比較して、前記接続機器の前記ネットワークへの接続を許可するか否かを判断し、
   前記第三の手段は、前記判断の結果が不許可である場合に前記接続機器の前記ネットワークへの接続を切断する制御を行うことを特徴とするネットワーク接続制御システム。
3. 請求項１記載のネットワーク接続制御システムにおいて、
   前記制御対象システムの外部あるいは内部から最新のセキュリティ関連情報を参照し、
   前記第二の手段は、前記セキュリティ関連情報を考慮して前記リスク値の算出及び前記接続の制御の判断を行うことを特徴とするネットワーク接続制御システム。
4. 請求項１記載のネットワーク接続制御システムにおいて、
   前記第一の手段と前記第二の手段を備え、通信手段を通じて前記接続機器内のエージェントプログラムと通信を行うことで前記接続機器の前記ネットワークへの接続を監視して前記接続機器から前記機器情報を収集し、前記リスク値の算出のための情報と接続制御ポリシーの情報をデータベースに管理する監視機器と、
   前記第三の手段を備え、通信手段を通じて前記監視機器に接続されて前記監視機器から受け取る前記判断の結果の情報に基づき前記ネットワークへの接続に対する制御を行う接続制御機器とを有することを特徴とするネットワーク接続制御システム。
5. 請求項１記載のネットワーク接続制御システムにおいて、
   前記機器情報は、前記接続機器におけるセキュリティパッチ適用の状態またはアンチウィルスソフトウェアにおけるパターンファイルの状態またはインストール済みの特定アプリケーションの状態または機器識別情報を含む情報であり、
   前記リスク値の算出のための情報は、前記接続機器におけるセキュリティパッチ適用の状態またはアンチウィルスソフトウェアにおけるパターンファイルの状態またはインストール済みの特定アプリケーションの状態または機器識別情報の登録の状態と、前記リスク値とを対応付ける情報であることを特徴とするネットワーク接続制御システム。

Images