JP5994459B2 - 情報処理装置、通信制御方法及び通信制御プログラム - Google Patents

Description

本発明は、情報処理装置、通信制御方法及び通信制御プログラムに関する。

近年、Personal Computer（ＰＣ）等の情報処理装置の多くに、有線Local Area Network（ＬＡＮ）、無線ＬＡＮ、Wireless Wide Area Network（ＷＷＡＮ）等のネットワークへの接続を可能とする通信機能が搭載されている。又、会社内や、屋外、店頭、公共空間、交通機関等の種々の場所において、上記ネットワークへ接続するための各種通信環境が整いつつある。これにより、例えばノートＰＣを携行して、様々な場所でネットワーク接続することが可能となっている。

その一方で、利用者が、企業や学校等が支給したノートＰＣ等をシステム管理者等が接続を許可していないネットワークに接続して通信を行なうことで、情報漏洩やコンピュータウィルスへの感染を引き起こすケースが増えている。

特開２００３−３２３３６３号公報 特開平１１−８５５０３号公報

従来においては、ＰＣ等をどのネットワークに接続するかの判断は利用者に任されている。例えば、利用者のネットワーク知識が低く、習熟度が低い場合には、接続を許可されているネットワークを判別できない場合があるが、そのような場合においても、利用者がＰＣをネットワークに接続して使用せざるを得ない。
また、ノートＰＣ等の携行可能なＰＣを外部に持ち出して利用するケース等において、接続を許可されていないネットワークに意図的もしくは誤って接続してしまう場合がある。

なお、接続しているネットワークからＰＣに流入するデータなどに対しては、ウィルス検出ソフトなどを用いることによりある程度の保護を行なうことができるが、接続先のネットワークを制御することは困難である。
１つの側面では、本発明は、情報処理装置のネットワークにおけるセキュリティを強化できるようにすることを目的とする。

なお、前記目的に限らず、後述する発明を実施するための形態に示す各構成により導かれる作用効果であって、従来の技術によっては得られない作用効果を奏することも本発明の他の目的の１つとして位置付けることができる。

このため、この情報処理装置は、ネットワーク上のゲートウェイを介してデータ通信を行なう通信部と、使用許可されたゲートウェイのＩＰ（Internet Protocol）アドレス及びＭＡＣ（Media Access Control）アドレスを登録する許可対象情報を参照して、前記許可対象情報において使用許可されていないゲートウェイに対する、前記通信部によるデータ通信を抑止する抑止部とをそなえ、前記抑止部が、前記使用許可されたゲートウェイに対して通信許可識別情報を設定する判定処理部と、前記判定処理部により前記通信許可識別情報が設定されていない前記ゲートウェイに対するデータ通信を阻止するデータ制御部とをそなえる。
また、この通信制御方法は、情報処理装置におけるデータ通信制御方法であって、使用許可されたゲートウェイのＩＰアドレス及びＭＡＣアドレスを登録する許可対象情報を参照するステップと、前記使用許可されたゲートウェイに対して通信許可識別情報を設定するステップと、前記通信許可識別情報が設定されていない前記ゲートウェイに対するデータ送信を阻止することで、前記許可対象情報において使用許可されていないゲートウェイに対するデータ通信を抑止するステップとをそなえる。

さらに、この通信制御プログラムは、使用許可されたゲートウェイのＩＰアドレス及びＭＡＣアドレスを登録する許可対象情報を参照し、前記使用許可されたゲートウェイに対して通信許可識別情報を設定し、前記通信許可識別情報が設定されていない前記ゲートウェイに対するデータ送信を阻止することで、前記許可対象情報において使用許可されていないゲートウェイに対するデータ通信を抑止する、処理をコンピュータに実行させる。

一実施形態によれば、ネットワークにおけるセキュリティを強化することができる。

実施形態の一例としてのネットワークシステムの構成を示す図である。 実施形態の一例としてのネットワークシステムにおける情報処理装置のフィルタドライバの機能構成図である。 フィルタドライバの機能を例示する図である。 同一ネットワーク内にパケットを送信する例を説明する図である。 他ネットワークにパケットを送信する例を示す図である。 実施形態の一例としてのネットワークシステムにおけるフィルタドライバによる処理手法を説明するフローチャートである。 実施形態の一例としてのネットワークシステムにおけるパケット制御部によるパケット送信手法を説明するフローチャートである。

以下、図面を参照して本情報処理装置、通信制御方法及び通信制御プログラムに係る実施の形態を説明する。ただし、以下に示す実施形態はあくまでも例示に過ぎず、実施形態で明示しない種々の変形例や技術の適用を排除する意図はない。すなわち、本実施形態を、その趣旨を逸脱しない範囲で種々変形して実施することができる。又、各図は、図中に示す構成要素のみを備えるという趣旨ではなく、他の機能等を含むことができる。

図１は実施形態の一例としてのネットワークシステム１の構成を示す図である。ネットワークシステム１は、図１に示すように、情報処理装置１０ａ，１０ｂ，１０ｃ，ゲートウェイ３０ａ，３０ｂ，３０ｃ及び管理サーバ２０を備える。
図１に示す例においては、複数（図１に示す例では３つ）の情報処理装置１０ａ，１０ｂ，１０ｃがネットワーク５０を介して通信可能に接続されており、又、このネットワーク５０にはゲートウェイ３０ａが接続されている。ゲートウェイ３０ａには管理サーバ２０，ゲートウェイ３０ｂ及びネットワーク４０が接続されている。又、ゲートウェイ３０ｂにはゲートウェイ３０ｃが接続されている。

ゲートウェイ３０ａ，３０ｂ，３０ｃは、複数のネットワークを相互に接続する中継装置であり、互いに異なるプロトコルのネットワークどうしを接続することができる。ゲートウェイ３０ａ，３０ｂ，３０ｃは互いに同様の構成を備える。以下、ゲートウェイを示す符号としては、複数のゲートウェイのうち１つを特定する必要があるときには符号３０ａ，３０ｂ，３０ｃを用いるが、任意のゲートウェイを指すときには符号３０を用いる。

ネットワーク５０はLocal Area Network（ＬＡＮ）等の通信回線であり、例えば、有線ＬＡＮ，無線ＬＡＮ（Wireless Local Area Network；ＷＬＡＮ），Wireless Wide Area Network（ＷＷＡＮ）である。又、ネットワーク４０は、例えばインターネットである。
管理サーバ２０は、サーバ機能を備えたコンピュータ（情報処理装置）である。管理サーバ２０は、記憶装置２１を備える。記憶装置２１は、例えばHard Disk Drive（ＨＤＤ）のであり、接続許可リスト２０１を格納する。そして、管理サーバ２０は、情報処理装置１０ａ，１０ｂ，１０ｃから送信される取得要求に応じて、この接続許可リスト２０１を要求元の情報処理装置１０ａ，１０ｂ，１０ｃに送信する。

接続許可リスト２０１は、ＰＣ１０ａ，１０ｂ，１０ｃが使用（接続）可能なゲートウェイ３０を示す一覧であり、いわゆるホワイトリストである。この接続許可リスト２０１には、ゲートウェイ３０を特定する情報として、例えば、ゲートウェイ３０のＩＰアドレス，ＭＡＣアドレス，ネームの少なくともいずれか１つが登録されている。
これらのＩＰアドレス，ＭＡＣアドレス，ネームは、ネットワーク上においてゲートウェイ３０を特定するネットワークアドレス情報である。

望ましくは、ゲートウェイ３０を特定する情報として、これらのＩＰアドレス，ＭＡＣアドレス，ネームのうち２種類以上の情報（例えば、ＩＰアドレスとＭＡＣアドレス）を接続許可リスト２０１に登録する。
接続許可リスト２０１は、例えば、ＰＣ１０ａ，１０ｂ，１０ｃを管理するシステム管理者等が予め作成し、管理サーバ２０の記憶装置２１に格納する。

また、接続許可リスト２０１は、システム管理者が管理者権限でのみアクセス可能な領域に格納することが望ましい。これにより、管理者権限を有さない一般ユーザによる変更を防止することができ、信頼性を向上させることができる。
情報処理装置１０ａ，１０ｂ，１０ｃはコンピュータであり、例えば、利用者が携行可能なノートＰＣである。情報処理装置１０ａ，１０ｂ，１０ｃは互いに同様の構成を備える。以下、情報処理装置を示す符号としては、複数の情報処理装置のうち１つを特定する必要があるときには符号１０ａ，１０ｂ，１０ｃを用いるが、任意の情報処理装置を指すときには符号１０を用いる。又、以下、情報処理装置１０をＰＣ１０という場合がある。なお、図１中においては、便宜上、ＰＣ１０ａについてのみ、その構成を示す。

ＰＣ１０は、図１に示すように、Central Processing Unit（ＣＰＵ）１０１，Random Access Memory（ＲＡＭ）１０２，Read Only Memory（ＲＯＭ）１０３，ネットワークインタフェース（Ｉ／Ｆ）１０４，キーボード１０５，ポインティングデバイス１０６及びディスプレイ１０７を備える。
ＲＯＭ１０３は、ＣＰＵ１０１が実行するOperating System（ＯＳ）やプログラム，種々のデータ等を格納する記憶装置である。ＲＡＭ１０２は、種々のデータやプログラムを格納する記憶領域であって、ＣＰＵ１０１がプログラムを実行する際に、データやプログラムを格納・展開して用いる。又、このＲＡＭ１０２には、接続許可リスト２０１が格納される。又、ＲＡＭ１０２には、後述する通信許可フラグ２０２が格納される。

ネットワークインタフェース（Ｉ／Ｆ）１０４は、ＰＣ１０をネットワーク５０と接続し、このネットワーク５０を介して外部装置と通信を行なうためのインタフェース装置である。ネットワークインタフェース１０４としては、例えば、有線ＬＡＮ，無線ＬＡＮ，ＷＷＡＮ等のネットワーク５０の規格に対応する各種インタフェースカードを用いることができる。

キーボード１０５及びポインティングデバイス１０６は利用者が各種入力操作を行なう入力装置である。ポインティングデバイス１０６は、例えば、タッチパッドやマウスである。ディスプレイ１０７は、各種情報やメッセージを表示する出力装置である。
なお、キーボード１０５やポインティングデバイス１０６及びディスプレイ１０７としての機能は、これらの機能をそなえたタッチパネルディスプレイで実現してもよく、種々変形して実施することができる。

ＣＰＵ１０１は、種々の制御や演算を行なう処理装置であり、ＲＯＭ１０３等に格納されたＯＳやプログラムを実行することにより、種々の機能を実現する。具体的には、ＣＰＵ１０１は、フィルタドライバプログラムを実行することにより、図１に示すように、ゲートウェイ情報取得部１１，パケット制御部１３，ゲートウェイ判定処理部１４及び接続許可リスト取得部１６として機能する。

なお、これらのゲートウェイ情報取得部１１，パケット制御部１３，ゲートウェイ判定処理部１４及び接続許可リスト取得部１６としての機能を実現するためのプログラム（フィルタドライバ）は、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷ等），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ＋Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋ＲＷ，ＨＤ ＤＶＤ等），ブルーレイディスク，磁気ディスク，光ディスク，光磁気ディスク等の、コンピュータ読取可能な記録媒体に記録された形態で提供される。そして、コンピュータはその記録媒体からプログラムを読み取って、図示しない内部記憶装置または外部記憶装置に転送し格納して用いる。又、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信経路を介してコンピュータに提供するようにしてもよい。

ゲートウェイ情報取得部１１，パケット制御部１３，ゲートウェイ判定処理部１４及び接続許可リスト取得部１６としての機能を実現する際には、内部記憶装置（本実施形態ではＲＡＭ１０２やＲＯＭ１０３）に格納されたプログラムがコンピュータのマイクロプロセッサ（本実施形態ではＣＰＵ１０１）によって実行される。このとき、記録媒体に記録されたプログラムをコンピュータが読み取って実行するようにしてもよい。

なお、本実施形態において、コンピュータとは、ハードウェアとオペレーティングシステムとを含む概念であり、オペレーティングシステムの制御の下で動作するハードウェアを意味している。又、オペレーティングシステムが不要でアプリケーションプログラム単独でハードウェアを動作させるような場合には、そのハードウェア自体がコンピュータに相当する。ハードウェアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたコンピュータプログラムを読み取るための手段とをそなえており、本実施形態においては、ＰＣ１０がコンピュータとしての機能を有しているのである。

図２は実施形態の一例としてのネットワークシステム１における情報処理装置１０のフィルタドライバの機能構成図、図３はフィルタドライバの機能を例示する図である。
フィルタドライバは、Open Systems Interconnection（ＯＳＩ）参照モデルにおける７階層のうち、第２層のデータリンク層での処理を実現する。
図３に示すように、フィルタドライバは、カーネルモードのカーネルとハードウェア固有のドライバとの間において、通過するデータ（パケット）の監視や変更を行なう。なお、フィルタドライバとしての機能は既知であり、その詳細な説明は省略する。

ゲートウェイ情報取得部１１は、そのＰＣ１０が通信可能なゲートウェイ３０のネットワークアドレス情報を取得する。
例えば、ゲートウェイ情報取得部１１は、Address Resolution Protocol（ＡＲＰ）を用いて、通信可能なゲートウェイのネットワークアドレス情報を取得する。ＡＲＰを用いてネットワークアドレス情報を取得する場合には、ゲートウェイ情報取得部１１は、ＡＲＰリクエストをブロードキャストで送信する。このリクエストに対する応答により、ゲートウェイ情報取得部１１は、通信可能なネットワーク機器のＩＰアドレスやＭＡＣアドレスを取得することができる。

例えば、ゲートウェイ情報取得部１１は、コマンド“arp -a”を出力することにより、接続中のネットワーク機器のＩＰアドレス（インターネットアドレス）及びＭＡＣアドレス（物理アドレス）を取得することができる。
これにより、ウィルス対策ソフト等で一般的に行なわれているパケット解析を行なうことなく、接続中のネットワーク機器のネットワークアドレス情報を取得することができる。すなわち、フィルタドライバプログラムを簡素化することができるとともに、ＣＰＵ１０１の負荷を軽減することができる。

すなわち、ゲートウェイ情報取得部１１は、自装置がネットワーク５０を介して接続されているゲートウェイ３０のネットワークアドレス情報を取得する取得部として機能する。
ゲートウェイ情報取得部１１によるゲートウェイ３０のネットワークアドレス情報を取得方法は、これに限定されるものではなく種々変形して実施することができる。例えば、ゲートウェイ情報取得部１１は、マルチキャストアドレス向けにpingを出力する。このpingに対して送信されたInternet Control Message Protocol（ＩＣＭＰ）応答に基づき、接続中のネットワーク機器のＩＰアドレス等を取得することができる。

また、例えば、Windows （登録商標）におけるipconfig/allコマンドを用いることにより、接続されているゲートウェイ３０を判別することができる。Windows以外のＯＳにおいても同様の種々のコマンドを用いて、接続されているゲートウェイ３０を判別することができる。
接続許可リスト取得部１６は、当該ＰＣ１０内に接続許可リスト２０１が格納されているか否かを確認し、接続許可リスト２０１が格納されていない場合に、管理サーバ２０から接続許可リスト２０１を取得する。すなわち、管理サーバ２０に対して、接続許可リスト２０１の送信を要求し、この要求に応じて管理サーバ２０から送信された接続許可リスト２０１をＲＡＭ１０２等の所定の領域に格納する。

ゲートウェイ判定処理部１４は、接続許可リスト２０１を参照して、接続中のゲートウェイ３０のうち、使用許可されたゲートウェイ３０を判定する。具体的には、ゲートウェイ判定処理部１４は、ゲートウェイ情報取得部１１によって取得された接続中のネットワーク機器のネットワークアドレス情報と接続許可リスト２０１とを比較する。そして、ゲートウェイ情報取得部１１によって取得されたネットワークアドレス情報のうち、接続許可リスト２０１に登録されたネットワークアドレス情報と一致するものに対して、通信許可フラグ２０２に“１”を設定する。通信許可フラグ２０２は、例えばＲＡＭ１０２に格納されている。

ここで通信許可フラグ２０２は、ゲートウェイ３０に対してパケット送信を行なうか否かを示す識別情報であり、ゲートウェイ毎に“０”もしくは“１”のいずれかが選択的に設定される。そして、例えば、パケット送信を行なうゲートウェイ３０に対しては、通信許可フラグ２０２として“１（通信許可識別情報）”が設定される。
すなわち、ゲートウェイ判定処理部１４は、通信許可識別情報を設定する判定処理部として機能する。

また、接続許可リスト２０１にゲートウェイ特定情報として２種類以上の情報（例えば、ＩＰアドレスとＭＡＣアドレス）が登録されている場合には、ゲートウェイ判定処理部１４は、これらのＩＰアドレスとＭＡＣアドレスとの両方が一致するゲートウェイ３０に対してのみ接続を許可するフラグ“１”を設定する。
後述するパケット制御部１３は、この通信許可フラグ２０２を参照して、例えば“１”が設定されているゲートウェイ３０に対するアクセスにかかるパケットのみを通信させる。

ゲートウェイ判定処理部１４が、ゲートウェイ情報取得部１１によって取得されたネットワークアドレス情報のうち、接続許可リスト２０１に登録されたネットワークアドレス情報と一致するものに対して通信許可フラグ２０２に“１”を設定する。これにより、パケット制御部１３がパケットを送信する際に、パケット送信可能であるか否かを比較する対象を減らすことができ、パケットの転送を高速化することができる。

パケット制御部（データ制御部）１３は、パケットの転送を制御するものであって、通信許可フラグ２０２を参照して、フラグ“１”が設定されているゲートウェイ３０とのデータアクセスに関するパケットを送信する。すなわち、パケット制御部１３は、ネットワーク上のゲートウェイ３０を介してデータ通信を行なう通信部として機能する。
例えば、送信パケットについて、パケット制御部１３は、第３層から受信したパケットの送信先のネットワークアドレス情報（例えばＩＰアドレス）に基づき、通信許可フラグ２０２を参照する。送信先のネットワークアドレス情報に対応させて通信許可フラグ２０２に“１”が設定されている場合には、パケット制御部１３は、そのパケットをNetwork Driver Interface Specification（ＮＤＩＳ）ドライバ１５を介して、下位層である第１層に受け渡す。

ここで、ＮＤＩＳドライバ１５は、ネットワークカード用のドライバ・インターフェイス（Application Programming Interface；ＡＰＩ）である。ＮＤＩＳは、ネットワークアダプタとプロトコルドライバとの間の通信を定義する標準規格である。ＮＤＩＳは、ラッパー (wrapper) と呼ばれる機能群のライブラリであり、下位層（第１層）のハードウェアの複雑さを隠蔽し、第３層のネットワークプロトコルドライバとハードウェアレベルのＭＡＣドライバに標準化されたインタフェースを提供する。

また、送信先のネットワークアドレス情報に対応させて通信許可フラグ２０２に“０”が設定されている場合には、パケット制御部１３は、そのパケットを破棄し、第３層に対して送信エラーの発生を表す応答を行なう。
受信パケットについても同様に、パケット制御部１３は、第１層から受信したパケットの送信元のネットワークアドレス情報（例えばＩＰアドレス）に基づき、通信許可フラグ２０２を参照する。送信元のネットワークアドレス情報に対応させて通信許可フラグ２０２に“１”が設定されている場合には、パケット制御部１３は、そのパケットをＮＤＩＳドライバ１５を介して、上位層である第３層に受け渡す。

また、送信元のネットワークアドレス情報に対応させて通信許可フラグ２０２に“０”が設定されている場合には、パケット制御部１３は、そのパケットを破棄し、第３層に対して送信エラーの発生を表す応答を行なう。
従って、フィルタドライバにおいて、ゲートウェイ判定処理部１４及びパケット制御部１３が、ゲートウェイ情報取得部１１によって取得したネットワークアドレス情報に基づいて接続許可リスト２０１を参照し、使用許可されていないゲートウェイ３０に対する通信を抑止する抑止部１２（図１参照）として機能する。

図４は同一ネットワーク内にパケットを送信する例を説明する図、図５は他ネットワークにパケットを送信する例を示す図である。
図４及び図５に示す例においては、６台のＰＣ１０−１〜１０−６のうち、ＰＣ１０−１〜１０−３がゲートウェイ３０ａに接続されており、ＰＣ１０−４〜１０−６がゲートウェイ３０ｂに接続されている。すなわち、ＰＣ１０−１〜１０−３がゲートウェイ３０ａで区画された一のネットワークに接続されており、又、ＰＣ１０−４〜１０−６がゲートウェイ３０ｂで区画された他のネットワークに接続されている。又、ゲートウェイ３０ａとゲートウェイ３０ｂとはネットワーク５０ａを介して接続されている。

例えば、ＰＣ１０−１から同一のネットワーク内のＰＣ１０−３にパケットを送信する場合には、図４に示すように、ＰＣ１０ー１は、ゲートウェイ３０ａやゲートウェイ３０ｂを介することなく、ＰＣ１０−３に向けてパケットを送信する。
また、ＰＣ１０−１から他のネットワークにあるＰＣ１０−６にパケットを送信する場合には、図５に示すように、ＰＣ１０ー１は、ゲートウェイ３０ａに対してパケットを送信する。ゲートウェイ３０ａにおいては、同一ネットワーク内に送信相手がいない、すなわちルーティングテーブル上に送信先の情報がないパケットが送られてくると、予め設定されているゲートウェイアドレスへパケットを送信する。

なお、ルーティングテーブルは、例えば、Network ID，Forwarding address，Interface及びMetricを備える。ここで、Network IDは、ホストルートのネットワーク ID またはインターネットワークアドレスである。Forwarding addressは、パケットの転送先アドレスである。Interfaceは、パケットをネットワーク ID に転送するときに用いるネットワークインタフェースを特定する情報である。Metricは、ルートの優先順位を表す情報であり、数値が小さい方が優先される。

ＰＣ１０−６宛てのパケットを受信したゲートウェイ３０ａは、そのパケットをゲートウェイ３０ｂに対して送信し、ゲートウェイ３０ｂは、受信したパケットをＰＣ１０−６に送信する。
上述の如く構成された実施形態の一例としてのネットワークシステム１におけるフィルタドライバによる処理手法を、図６に示すフローチャート（ステップＡ１０〜Ａ８０）に従って説明する。

例えば、メーラにおいてメールの送受信が実行されたり、ブラウザによりＷｅｂデータへのアクセスが開始されたり、無線ＬＡＮ又は有線ＬＡＮによる接続もしくは再接続が行われることをきっかけに、以下の処理が開始される。
先ず、ステップＡ１０において、接続許可リスト取得部１６（フィルタドライバ）は、自装置（ＰＣ１０）内に接続許可リスト２０１が格納されているか否かを確認する。

接続許可リスト２０１がＲＡＭ１０２に格納されている場合には（ステップＡ１０のＹＥＳルート参照）、ステップＡ２０において、ゲートウェイ情報取得部１１が、自装置が接続中のゲートウェイ３０のネットワークアドレス情報を取得する。ゲートウェイ情報取得部１１は、ARPコマンド等を用いて、接続中のゲートウェイ３０のＭＡＣアドレス等のネットワークアドレス情報を収集する。

ステップＡ３０において、ゲートウェイ判定処理部１４は、ゲートウェイ情報取得部１１によって取得されたネットワークアドレス情報と、接続許可リスト２０１とを比較する。すなわち、ゲートウェイ情報取得部１１によって取得されたネットワークアドレス情報において接続許可リスト２０１に登録されたネットワークアドレス情報と一致するものがあるかを判断する（ステップＡ４０）。

取得されたネットワークアドレス情報において接続許可リスト２０１に登録されたネットワークアドレス情報と一致するものがない場合には（ステップＡ４０のＮＯルート参照）、パケット制御部１３は一定時間（例えば、５〜１０分間）、パケット通信を禁止する（ステップＡ５０）。例えば、ＰＣ１０を移動しながら利用する場合において、無線ＬＡＮを用いて通信を行なう場合には、ＰＣ１０の移動に伴い、接続先のアクセスポイントが切り替わり、通信可能なゲートウェイ３０が切り替わる場合があるからである。その後、ステップＡ１０に戻る。

また、接続許可リスト２０１がＲＡＭ１０２に格納されていない場合には（ステップＡ１０のＮＯルート参照）、ステップＡ６０において、管理サーバ２０に対して接続許可リスト２０１を要求する。管理サーバ２０から接続許可リスト２０１を受信すると、ステップＡ２０に移行する。
取得されたネットワークアドレス情報において接続許可リスト２０１と一致するものがある場合には（ステップＡ４０のＹＥＳルート参照）、ステップＡ７０において、ゲートウェイ判定処理部１４はそのゲートウェイ３０に対して通信許可フラグ２０２に“１”を設定する。

その後、ステップＡ８０において、パケット制御部１３がパケットの送信を開始する。例えば、パケット送信を行なう場合には、下位層へパケットを送信する。その後、処理を終了する。
次に、実施形態の一例としてのネットワークシステム１におけるパケット制御部１３によるパケット送信手法を、図７に示すフローチャート（ステップＢ１０〜Ｂ４０）に従って説明する。

ステップＢ１０において、パケット制御部１３は、処理対象のパケットの送信先もしくは送信元のゲートウェイ３０を確認し、そのゲートウェイ３０についての通信許可フラグ２０２を確認する。
ステップＢ２０において、通信許可フラグ２０２が“１”であるか否かを確認し、対象のゲートウェイ３０の通信許可フラグ２０２に“１”が設定されている場合には（ステップＢ２０のＹＥＳルート参照）、そのパケットを転送すべく、上位層もしくは下位層に転送する（ステップＢ３０）。一方、対象のゲートウェイ３０の通信許可フラグ２０２に“０”が設定されている場合には（ステップＢ２０のＮＯルート参照）、そのパケットの送信を抑止すべく破棄する（ステップＢ４０）。その後、処理を終了する。

このように、実施形態の一例としてのネットワークシステム１によれば、使用許可されたゲートウェイ３０を予め接続許可リスト２０１に登録しておく、ゲートウェイ判定処理部１４が、接続許可リスト２０１を参照して、接続中のゲートウェイ３０であり、且つ、使用が許可されているゲートウェイ３０に対して、その通信許可フラグ２０２に“１”を設定する。

パケット制御部１３が、通信許可フラグ２０２に“１”が設定されているゲートウェイ３０に対するパケットは送信させる一方で、“０”が設定されているゲートウェイ３０に対するパケットを破棄する。これにより、使用許可がされていないゲートウェイ３０に対するアクセスを阻止することができ、セキュリティを向上させることができる。
ゲートウェイ判定処理部１４が、ゲートウェイ情報取得部１１によって取得されたネットワークアドレス情報のうち、接続許可リスト２０１に登録されたネットワークアドレス情報と一致するものに対して通信許可フラグ２０２に“１”を設定する。これにより、パケット制御部１３がパケットを送信する際に、パケット送信可能であるか否かを比較する対象を減らすことができ、パケットの転送を高速化することができる。

フィルタドライバが、上述したゲートウェイ情報取得部１１，ゲートウェイ判定処理部１４及びパケット制御部１３としての機能を備えることにより、ネットワークの下位層においてパケットの通信制御を行なうことができる。すなわち、アプリケーション層で実行されるプログラムのように、ユーザによるアンインストールやプログラムの設定変更等が行なわれることがなく、高いセキュリティを維持することができる。

接続許可リスト２０１をホワイトリスト形式にすることにより、この接続許可リスト２０１に登録されていないゲートウェイ３０以外へのデータアクセスを確実に阻止することができ、信頼性を向上させることができる。
また、本ネットワークシステム１によれば、利用者がどのネットワークに接続可能か判断する必要がなく、ＰＣ１０のユーザのスキルが低い場合であっても、ＰＣ１０を許可対象ネットワークのみに接続させることができる。

企業や学校が許可していないネットワーク環境でのインターネット、メールなどの通信接続を防止し、情報漏洩やウィルス感染のリスク低減が可能となる。又、ネットワークシステム１の健全性に貢献することができる。
そして、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。

例えば、上述した実施形態においては、情報処理装置１０がノートＰＣである例について示しているが、これに限定されるものではなく種々変形して実施することができる。例えば、情報処理装置１０がデスクトップＰＣであってもよく、又、Personal Digital Assistants（ＰＤＡ）等の他の情報処理装置であってもよい。
また、上述した実施形態においては、複数のネットワークを相互に接続する中継装置としてゲートウェイ３０を用いた例を示しているが、これに限定されるものではない。例えば、ゲートウェイ３０に代えてルータやブリッジ等の他のネットワーク機器を用いてもよく、又、ＬＡＮやＷＡＮ以外のネットワークにおいて用いられる種々の中継装置を用いてもよい。

また、上述した開示により本実施形態を当業者によって実施・製造することが可能である。
以上の実施形態に関し、更に以下の付記を開示する。
（付記１）
ネットワーク上の中継装置を介してデータ通信を行なう通信部と、
使用許可された中継装置のネットワークアドレス情報を登録する許可対象情報を参照して、前記許可対象情報において使用許可されていない中継装置に対する、前記通信部によるデータ通信を抑止する抑止部とをそなえることを特徴とする、情報処理装置。

（付記２）
当該情報処理装置が通信可能な中継装置のネットワークアドレス情報を取得する取得部をそなえ、
前記抑止部が、前記取得部によって取得したネットワークアドレス情報に基づいて前記許可対象情報を参照し、前記使用許可されていない中継装置に対するデータ通信を抑止することを特徴とする、付記１記載の情報処理装置。

（付記３）
前記抑止部が、
前記使用許可された中継装置に対して通信許可識別情報を設定する判定処理部と、
前記判定処理部により前記通信許可識別情報が設定されていない前記中継装置に対するデータ通信を阻止するデータ制御部とをそなえることを特徴とする、付記１又は２記載の情報処理装置。

（付記４）
前記データ制御部が、データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することを特徴とする、付記３記載の情報処理装置。
（付記５）
外部装置から前記許可対象情報を取得する許可対象情報取得部をそなえることを特徴とする、付記１〜４のいずれか１項に記載の情報処理装置。

（付記６）
情報処理装置における通信制御方法であって、
使用許可された中継装置のネットワークアドレス情報を登録する許可対象情報を参照するステップと、
前記許可対象情報において使用許可されていない中継装置に対する、前記通信部によるデータ通信を抑止するステップとをそなえることを特徴とする、通信制御方法。

（付記７）
当該情報処理装置が通信可能な中継装置のネットワークアドレス情報を取得するステップをそなえ、
前記取得したネットワークアドレス情報に基づいて前記許可対象情報を参照して、前記使用許可されていない中継装置に対するデータ通信を抑止することを特徴とする、付記６記載の通信制御方法。

（付記８）
前記使用許可された中継装置に対して通信許可識別情報を設定するステップと、
前記通信許可識別情報が設定されていない前記中継装置に対するデータ送信を阻止するステップとをそなえることを特徴とする、付記６又は７記載の通信制御方法。
（付記９）
データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することにより前記データ通信を抑止することを特徴とする、付記６〜８のいずれか１項に記載の通信制御方法。

（付記１０）
外部装置から前記許可対象情報を取得するステップをそなえることを特徴とする、付記６〜９のいずれか１項に記載の通信制御方法。
（付記１１）
使用許可された中継装置のネットワークアドレス情報を登録する許可対象情報を参照し、
前記許可対象情報において使用許可されていない中継装置に対する、前記通信部によるデータ通信を抑止する、
処理をコンピュータに実行させる通信制御プログラム。

（付記１２）
当該コンピュータが通信可能な中継装置のネットワークアドレス情報を取得し、
前記取得したネットワークアドレス情報に基づいて前記許可対象情報を参照して、前記使用許可されていない中継装置に対するデータ通信を抑止する、
処理をコンピュータに実行させる、付記１１記載の通信制御プログラム。

（付記１３）
前記使用許可された中継装置に対して通信許可識別情報を設定し、
前記通信許可識別情報が設定されていない前記中継装置に対するデータ送信を阻止する、
処理をコンピュータに実行させる、付記１１又は１２記載の通信制御プログラム。

（付記１４）
データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することにより前記データ通信を抑止する、
処理をコンピュータに実行させる、付記１１〜１３のいずれか１項に記載の通信制御プログラム。

（付記１５）
外部装置から前記許可対象情報を取得する、
処理をコンピュータに実行させる、付記１１〜１４のいずれか１項に記載の通信制御プログラム。
（付記１６）
使用許可された中継装置のネットワークアドレス情報を登録する許可対象情報を参照し、
前記許可対象情報において使用許可されていない中継装置に対する、前記通信部によるデータ通信を抑止する、
処理をコンピュータに実行させる通信制御プログラムを記録したコンピュータ読取可能な記録媒体。

（付記１７）
当該コンピュータが通信可能な中継装置のネットワークアドレス情報を取得し、
前記取得したネットワークアドレス情報に基づいて前記許可対象情報を参照して、前記使用許可されていない中継装置に対するデータ通信を抑止する、
処理をコンピュータに実行させる、付記１６記載の通信制御プログラムを記録したコンピュータ読取可能な記録媒体。

（付記１８）
前記使用許可された中継装置に対して通信許可識別情報を設定し、
前記通信許可識別情報が設定されていない前記中継装置に対するデータ送信を阻止する、
処理をコンピュータに実行させる、付記１６又は１７記載の通信制御プログラムを記録したコンピュータ読取可能な記録媒体。

（付記１９）
データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することにより前記データ通信を抑止する、
処理をコンピュータに実行させる、付記１６〜１８のいずれか１項に記載の通信制御プログラムを記録したコンピュータ読取可能な記録媒体。

（付記２０）
外部装置から前記許可対象情報を取得する、
処理をコンピュータに実行させる、付記１６〜１９のいずれか１項に記載の通信制御プログラムを記録したコンピュータ読取可能な記録媒体

１ ネットワークシステム
１０，１０−１〜１０−６ 情報処理装置，ＰＣ
１１ ゲートウェイ情報取得部
１２ 抑止部
１３ パケット制御部
１４ ゲートウェイ判定処理部
１５ ＮＤＩＳドライバ
２０ 管理サーバ
２１ 記憶装置
３０ａ，３０ｂ，３０ｃ，３０ ゲートウェイ（中継装置）
４０ ネットワーク
１０１ ＣＰＵ
１０２ ＲＡＭ
１０３ ＲＯＭ
１０４ ネットワークインタフェース
１０５ キーボード
１０６ マウス
１０７ ディスプレイ
２０１ 接続許可リスト
２０２ 通信許可フラグ

Claims (9)

1. ネットワーク上のゲートウェイを介してデータ通信を行なう通信部と、
   使用許可されたゲートウェイのＩＰ（Internet Protocol）アドレス及びＭＡＣ（Media Access Control）アドレスを登録する許可対象情報を参照して、前記許可対象情報において使用許可されていないゲートウェイに対する、前記通信部によるデータ通信を抑止する抑止部と、
   前記許可対象情報が記憶装置に格納されているかを確認し、前記許可対象情報が前記記憶装置に格納されていない場合に、前記許可対象情報を格納する外部装置に対して前記許可対象情報の送信を要求し、前記外部装置から前記許可対象情報を取得する許可対象情報取得部と、をそなえ、
   前記抑止部が、
   前記使用許可されたゲートウェイに対して通信許可識別情報を設定する判定処理部と、
   前記判定処理部により前記通信許可識別情報が設定されていない前記ゲートウェイに対するデータ通信を阻止するデータ制御部とをそなえることを特徴とする、情報処理装置。
2. 当該情報処理装置が通信可能なゲートウェイのＩＰアドレス及びＭＡＣアドレスを取得する取得部をそなえ、
   前記抑止部が、前記取得部によって取得したＩＰアドレス及びＭＡＣアドレスに基づいて前記許可対象情報を参照し、前記使用許可されていないゲートウェイに対するデータ通信を抑止することを特徴とする、請求項１記載の情報処理装置。
3. 前記データ制御部が、データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することを特徴とする、請求項１または２記載の情報処理装置。
4. 情報処理装置におけるデータ通信制御方法であって、
   使用許可されたゲートウェイのＩＰ（Internet Protocol）アドレス及びＭＡＣ（Media Access Control）アドレスを登録する許可対象情報を参照するステップと、
   前記使用許可されたゲートウェイに対して通信許可識別情報を設定するステップと、
   前記通信許可識別情報が設定されていない前記ゲートウェイに対するデータ送信を阻止することで、前記許可対象情報において使用許可されていないゲートウェイに対するデータ通信を抑止するステップと、
   前記許可対象情報が記憶装置に格納されているかを確認し、前記許可対象情報が前記記憶装置に格納されていない場合に、前記許可対象情報を格納する外部装置に対して前記許可対象情報の送信を要求し、前記外部装置から前記許可対象情報を取得するステップと、
   をそなえることを特徴とする、通信制御方法。
5. 当該情報処理装置が通信可能なゲートウェイのＩＰアドレス及びＭＡＣアドレスを取得するステップをそなえ、
   前記取得したＩＰアドレス及びＭＡＣアドレスに基づいて前記許可対象情報を参照して、前記使用許可されていないゲートウェイに対するデータ通信を抑止することを特徴とする、請求項４記載の通信制御方法。
6. データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することにより前記データ通信を抑止することを特徴とする、請求項４または５記載の通信制御方法。
7. 使用許可されたゲートウェイのＩＰ（Internet Protocol）アドレス及びＭＡＣ（Media Access Control）アドレスを登録する許可対象情報を参照し、
   前記使用許可されたゲートウェイに対して通信許可識別情報を設定し、
   前記通信許可識別情報が設定されていない前記ゲートウェイに対するデータ送信を阻止することで、前記許可対象情報において使用許可されていないゲートウェイに対するデータ通信を抑止し、
   前記許可対象情報が記憶装置に格納されているかを確認し、前記許可対象情報が前記記憶装置に格納されていない場合に、前記許可対象情報を格納する外部装置に対して前記許可対象情報の送信を要求し、前記外部装置から前記許可対象情報を取得する
   処理をコンピュータに実行させる通信制御プログラム。
8. 当該コンピュータが通信可能なゲートウェイのＩＰアドレス及びＭＡＣアドレスを取得し、
   前記取得したＩＰアドレス及びＭＡＣアドレスに基づいて前記許可対象情報を参照して、前記使用許可されていないゲートウェイに対するデータ通信を抑止する、
   処理をコンピュータに実行させる、請求項７記載の通信制御プログラム。
9. データリンク層においてネットワーク層もしくは物理層との間のパケット転送を阻止することにより前記データ通信を抑止する、
   処理をコンピュータに実行させる、請求項７または８記載の通信制御プログラム。

Images