コンピュータシステム及び情報処理端末
【課題】セキュリティポリシーを動的に切り換えることのできる端末及びコンピュータシステムを提供する。
【解決手段】ユーザ端末10は、クライアントフィルタ機能が最新の設定であるかの判断をセキュリティ対策状況管理センタ端末(以下、管理端末と記述)30に要求する手段と、管理端末30から受信したポリシー情報に従って、クライアントフィルタ機能の設定を変更する手段と、変更後の設定を表示する手段とを有し、管理端末30は、ユーザ端末10からの要求に応じて、クライアントフィルタ機能が最新の設定であるかを判断する手段と、最新の設定ではないと判断したユーザ端末10に対して、最新のクライアントフィルタ機能の設定を通知する手段と、IDSセンタ端末40から挙動が不審であることを通知されたユーザ端末10に対して、ネットワークに対するアクセスを制限するクライアントフィルタ機能の設定を通知する手段とを有する。
【解決手段】ユーザ端末10は、クライアントフィルタ機能が最新の設定であるかの判断をセキュリティ対策状況管理センタ端末(以下、管理端末と記述)30に要求する手段と、管理端末30から受信したポリシー情報に従って、クライアントフィルタ機能の設定を変更する手段と、変更後の設定を表示する手段とを有し、管理端末30は、ユーザ端末10からの要求に応じて、クライアントフィルタ機能が最新の設定であるかを判断する手段と、最新の設定ではないと判断したユーザ端末10に対して、最新のクライアントフィルタ機能の設定を通知する手段と、IDSセンタ端末40から挙動が不審であることを通知されたユーザ端末10に対して、ネットワークに対するアクセスを制限するクライアントフィルタ機能の設定を通知する手段とを有する。
【発明の詳細な説明】
【技術分野】
【0001】
本発明はコンピュータウイルスに対する防御力を備えたコンピュータシステムに関し、特に、セキュリティポリシーを動的に切り換えることのできる情報処理端末及びコンピュータシステムに関する。
【背景技術】
【0002】
近年、コンピュータウイルスやワーム(以下、単にコンピュータウイルスという)による被害が多発しており、これらによる損害額も膨大な金額となっている。
【0003】
このため、コンピュータウイルスに対する防御力を備えたコンピュータシステムへのニーズが高まっている。
【0004】
コンピュータウイルスに対する防御手段として、クライアントファイアウォール機能(クライアントフィルタ機能)を用いたシステムが実用化されている。
クライアントフィルタ機能とは、コンピュータ端末からネットワークに対してのアクセス、また、ネットワークからコンピュータ端末へのアクセスに対して、送信元、宛先のIPアドレス、ポート番号を意識してアクセスを許可又は拒否する機能である。
【0005】
現在実用化されているクライアントフィルタ機能を用いたコンピュータシステムには次に示すような問題がある。
【0006】
・クライアントフィルタ製品は多数存在するが、フィルタのポリシーを動的に変更させることができない製品が多い。
・ポリシーを変更できる製品であっても、ウイルス対策ソフトと同期して作動するため、異なるベンダーのウイルス対策ソフトを利用している環境では、ポリシーを動的に変更することはできない。
・IDS(Intrusion Detection System)製品と連携して動作させることができないため、未知のウイルスに感染しているユーザ端末がネットワークに接続されても、その端末からの通信を拒絶することができない。
・PC検疫システムを構築する際に、検疫ネットワークを構成する製品とセキュリティ対策状況を管理する製品とが限定されており、容易にシステムを構築することができない。
・PC検疫システムを構築する際に、セキュリティチェック結果により、ユーザ端末10のアクセス先を制限するための特別なネットワーク端末が必要となり、容易にシステムを構築できない。
【0007】
従来のクライアントフィルタ機能は、ユーザ端末にインストールされているプログラムごとにネットワークへのアクセスを制限することは可能であるが、ユーザ端末のセキュリティ状態を考慮してのアクセス制御はできない。また、ウイルス対策ソフトのベンダーが提供しているクライアントフィルタ機能については、ウイルス対策ソフトのウイルスデータファイルのバージョンをチェックして、動的にアクセス先を制御できる製品もあるが、セキュリティパッチの適用状況を考慮することや、未知のコンピュータウイルスに感染している場合には、その対処をすることはできない。
【0008】
また、コンピュータシステムのセキュリティに関する従来技術としては特許文献1に開示される「侵入検知管理システム」がある。
【特許文献1】特開2003−85139号公報
【発明の開示】
【発明が解決しようとする課題】
【0009】
特許文献1に開示される発明は、ネットワークを監視する機器としてのファイアウォール機能を利用している。
また、特許文献1に開示される発明は、コンピュータ端末への不正な侵入、いわゆるハッキングに対する対策を施したコンピュータシステムであるが、コンピュータウイルスは、正常なルートでコンピュータ内に侵入(例えば、電子メールの添付ファイルとして)ことも多いため、特許文献1に開示される発明は、コンピュータウイルスに対するセキュリティの向上には何ら寄与しない。
しかも、侵入検知に対する対処ルールは予め登録されているものの中から選択するため、想定の範囲外の状況に対応することができない。すなわち、次々と新種や亜種が登場するコンピュータウイルスに対応することはできない。
このように、従来は、システムを構成する端末のセキュリティポリシーを動的に切り換えることのできるコンピュータシステムは実現されていなかった。
【0010】
本発明はかかる問題に鑑みてなされたものであり、システムを構成する端末のセキュリティポリシーを動的に切り換えることのできるコンピュータシステムを提供することを目的とする。
【課題を解決するための手段】
【0011】
上記目的を達成するため、本発明は、第1の態様として、複数のユーザ端末と、複数のユーザ端末それぞれのネットワークセキュリティが十分であるか否かを判断するネットワークセキュリティ管理端末と、複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、ユーザ端末は、自端末のネットワークセキュリティ設定が最新の設定であるか否かの判断をネットワークセキュリティ管理端末に要求する手段と、ネットワークセキュリティ管理端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、ネットワークセキュリティ管理端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段とを有し、ネットワークセキュリティ管理端末は、各ユーザ端末からの要求に応じて、要求元のユーザ端末のネットワークセキュリティの設定が最新の設定であるか否かを判断する手段と、ネットワークセキュリティの設定が最新の設定ではないと判断したユーザ端末に対して、最新のネットワークセキュリティの設定を通知する手段と、IDS端末から挙動が不審であることを通知されたユーザ端末に対して、ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段とを有し、IDS端末は、挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末の存在をネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステムを提供するものである。
【0012】
上記本発明の第1の態様においては、ユーザ端末は、自端末のネットワークセキュリティ設定が最新の設定であるか否かの判断をネットワークセキュリティ管理端末に要求する際に、自端末のネットワークセキュリティの設定を表す情報をネットワークセキュリティ管理端末へ送信し、ネットワークセキュリティ管理端末は、ユーザ端末から受信した情報と予め格納している最新のネットワークセキュリティの設定を表す情報とを比較することによって、要求元のユーザ端末のネットワークセキュリティ設定が最新の設定であるか否かを判断することが好ましい。
【0013】
また、上記目的を達成するため、本発明は、第2の態様として、複数のユーザ端末と、複数のユーザ端末それぞれのネットワークセキュリティの設定を管理するネットワークセキュリティ管理端末と、複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、ユーザ端末は、ネットワークセキュリティ管理端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、ネットワークセキュリティ管理端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段と、ネットワークに対するアクセスを制限するネットワークセキュリティが設定されている場合に、ネットワークに対するアクセスの制限の解除を要求する解除要求をネットワークセキュリティ管理端末へ送信するための手段とを有し、ネットワークセキュリティ管理端末は、IDS端末から挙動が不審であることを通知されたユーザ端末に対して、ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段と、解除要求の送信元のユーザ端末に対して、アクセス制限を解除するネットワークセキュリティの設定を通知する手段とを有し、IDS端末は、挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末の存在をネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステムを提供するものである。
【0014】
上記本発明の第1又は第2の態様においては、ネットワークセキュリティ管理端末は、IDS端末から挙動が不審であることを通知されたユーザ端末に対して、ネットワークへのアクセスを禁止するネットワークセキュリティの設定を通知することが好ましい。
【0015】
また、上記目的を達成するため、本発明は、第3の態様として、複数のユーザ端末と、複数のユーザ端末それぞれのネットワークセキュリティの設定を管理するとともに、複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、ユーザ端末は、IDS端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、IDS端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段と、ネットワークに対するアクセスを制限するネットワークセキュリティが設定されている場合に、ネットワークに対するアクセスの制限の解除を要求する解除要求をIDS端末へ送信するための手段とを有し、IDS端末は、挙動が不審なユーザ端末を検出した場合に、そのユーザ端末に対して、ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段と、解除要求の送信元のユーザ端末に対して、アクセス制限を解除するネットワークセキュリティの設定を通知する手段とを有することを特徴とするコンピュータシステムを提供するものである。
【0016】
上記本発明の第3の態様においては、IDS端末は、挙動が不審であることを検出したユーザ端末に対して、ネットワークへのアクセスを禁止するネットワークセキュリティの設定を通知することが好ましい。
【0017】
また、上記目的を達成するため、本発明は、第4の態様として、ネットワークを介して他の端末と情報を送受信する情報処理端末であって、予め許可された範囲を超えるネットワークへのアクセスを検出する手段と、予め許可された範囲を超えるネットワークへのアクセスを検出したことをユーザに通知し、該アクセスがユーザの意図によって行われたものであるか否かを表す情報の入力を要求する手段と、該アクセスがユーザの意図によって行われたものでない場合に、ネットワークへのアクセスを遮断する手段と、ネットワークへのアクセスを遮断したことをユーザに通知する手段とを有することを特徴とする情報処理端末を提供するものである。
【発明の効果】
【0018】
本発明によれば、システムを構成する端末のセキュリティポリシーを動的に切り換えることのできるコンピュータシステム及び情報処理端末を提供できる。
【発明を実施するための最良の形態】
【0019】
本発明では、ユーザ端末にウイルス対策ソフトとは無関係なクライアントフィルタ機能をコンピュータ端末にインストールすることによって、ネットワークへのアクセスを制御する。このため、既にコンピュータウイルスに対する防衛手段を導入しているコンピュータシステムに適用することができる。
また、クライアントフィルタ機能部が外部製品と連携するためのインタフェースを公開することによって様々な機能を持つ製品との連携が可能となる。これにより、より一層幅広い使い方ができる。
【0020】
コンピュータウイルスに対する防衛策は、大別すると次の二通りとなる。
・コンピュータウイルスに感染しないようにセキュリティ対策を万全な状態にしておく(proactiveな対処)。
・コンピュータウイルスに感染したユーザ端末がシステムに接続された場合、二次感染を防ぐため、ウイルスに感染したユーザ端末を他のユーザ端末から隔離する(reactiveな対処)。
本発明では、上記の二通りの対策を両方とも行うことも、また、どちらか一方のみを行うことも可能である。このため、必要に応じたセキュリティ対策が施されたコンピュータシステムを構築できる。
【0021】
〔第1の実施形態〕
本発明を好適に実施した第1の実施形態について説明する。
図1に、本実施形態にかかるコンピュータシステムの構成を示す。本実施形態にかかるコンピュータシステムは、クライアントフィルタ機能20が実装された複数のユーザ端末10と、セキュリティ対策状況管理センタ端末30と、IDSセンタ端末40とがネットワーク100(イントラネットなど)を介して相互に接続された構成である。
【0022】
ユーザ端末10は、コンピュータ端末などの情報処理装置であり、ネットワーク100へアクセスする機能(ネットワーク100を介して情報を送受信する機能)を有する。
【0023】
クライアントフィルタ機能部20は、ユーザ端末10に実装されており、ユーザ端末10がネットワーク100へ送り出す全てのデータと、ネットワーク100から受信した全てのデータとを監視しており、それらのデータを通過させるか否かをプログラムごとや通信相手ごとに制御する。
クライアントフィルタ機能部20は、フィルタ機能のポリシー(どのようなデータを通過させ、どのようなデータを遮断するかのルール)を動的に切り替える機能を備える。さらに、クライアントフィルタ機能部20は、クライアントフィルタ機能のポリシーをネットワーク100に接続されている他の端末(本実施形態においてはセキュリティ対策状況管理センタ端末30)からの要求に応じて変更するためのインタフェースを備える。
【0024】
また、クライアントフィルタ機能部20は、ポリシーで許可されている通信相手以外の端末との通信が発生した場合には、その旨をユーザ端末10の使用者に通知するインタフェースを備えている。クライアントフィルタ機能部20は、セキュリティ対策状況管理センタ端末30と通信する機能を有し、セキュリティ対策状況管理センター端末30からの要求に応じて、クライアントフィルタ機能のポリシーを動的に変更させる。
【0025】
また、クライアントフィルタ機能部20は、ユーザ端末10の機器固有情報とセキュリティ対策状況とをセキュリティ対策状況確認要求としてセキュリティ対策状況管理センタ端末30へ送信する機能を備える。機器固有情報としては、ユーザ端末10のMACアドレスなどが挙げられる。セキュリティ対策状況としては、ウイルス対策ソフトのウイルスパターンファイルのバージョン情報、ウイルス対策ソフトの動作状況、セキュリティパッチの適用状況などが挙げられる。
【0026】
さらに、クライアントフィルタ機能部20は、ユーザ端末10の使用者が任意のタイミングでセキュリティ対策状況確認要求をセキュリティ対策情報管理センタ端末30へ送信するためのインタフェースを提供する。例えば、クライアントフィルタ機能部20は、ユーザ端末10のディスプレイに送信ボタンを表示させるなどしてインタフェースを提供する。
【0027】
セキュリティ対策状況管理センタ端末30は、セキュリティ対策状況を管理するセンタに設置されている情報処理装置(ワークステーションやサーバなど)であり、クライアントフィルタ機能部20によってユーザ端末10から送信されてきたユーザ端末10のセキュリティ対策状況情報を収集する。
また、セキュリティ対策状況管理センタ端末30は、セキュリティ対策のために必要な最新情報を保持しており、全てのユーザ端末10から収集した情報と最新情報とを比較することにより、各ユーザ端末のセキュリティ対策が十分であるか否かを判断する。
さらに、セキュリティ対策状況管理センタ端末30は、クライアントフィルタ機能部20によってユーザ端末10から送信されてきた各種情報に基づいてセキュリティ対策状況を判断し、クライアントフィルタ機能のポリシーをユーザ端末10へ送信する。
さらに、不審な振る舞いをするユーザ端末10に関する情報をIDSセンタ端末40から受信し、当該ユーザ端末10のクライアントフィルタ機能部20に対して、ネットワーク100への通信を遮断させるポリシーを送信する。
【0028】
IDSセンタ端末40は、情報処理装置(ワークステーションやサーバなど)又はネットワークアプライアンス装置であり、ネットワーク100を流れる全てのパケットを監視し、不審な挙動をするユーザ端末10を検出する。さらに、不審な挙動をしているユーザ端末10に関する情報をセキュリティ対策状況管理センタ端末30へ送信する。
【0029】
コンピュータシステムの動作について説明する。
図2に、セキュリティ対策状況管理センタ端末30の動作の流れを示す。
セキュリティ対策状況を判断するために、最新のセキュリティ対策情報を取得する(ステップA1)。セキュリティ対策情報とは、ウイルス対策ソフトのウイルスパターンファイルのバージョン情報、セキュリティパッチ情報などである。
【0030】
セキュリティ対策状況管理センタ端末30は、IDSセンタ端末40又はクライアントフィルタ機能部20からの要求を待つ。セキュリティ対策状況管理センタ端末30は、IDSセンタ端末40又はクライアントフィルタ機能部20からの要求を受けたら、要求された内容を判断する。IDSセンタ端末40から不審ユーザ端末通知を受けたのであれば(ステップA2/Yes)、不審なユーザ端末に対してネットワーク100への通信を遮断するポリシーを送信する(ステップA3)。
【0031】
クライアントフィルタ機能部20からのセキュリティ対策状況確認要求を受信したのであれば(ステップA2/No、ステップA4/Yes)、事前に取得している最新のセキュリティ対策情報と比較し、クライアントフィルタ機能部20に対してセキュリティ対策状況チェック結果を通知する(ステップA5)。通知する内容には、クライアントフィルタ機能部20に適用すべきポリシー(ルール)が含まれる。例えば、セキュリティ対策状況チェック結果がOKであった場合には、ネットワーク100へのアクセスを特に制限しないポリシーを送信する。一方、セキュリティ対策状況チェック結果がNGであれば、ネットワーク100へのアクセスを禁止したり、アクセスに制限を設けるポリシーを送信する。
【0032】
その後、監視を継続するのであれば、ステップA1に戻る(ステップA6)。
【0033】
システム全体の動作の流れを図3に示す。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップB1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
【0034】
起動されたクライアントフィルタ機能部20は、ユーザ端末10の機器固有情報とセキュリティ対策情報とを収集し、これらをセキュリティ対策状況確認要求としてセキュリティ対策状況管理センタ端末30へ送信する(ステップB2)。機器固有情報とは、ユーザ端末10を特定するための情報であり、ホスト名、IPアドレス、MACアドレスなどである。セキュリティ対策情報としては、ウイルス対策ソフトのウイルスパターンファイルのバージョン情報、ウイルス対策ソフトの動作状況、セキュリティパッチの適用状況などが含まれる。
【0035】
セキュリティ対策状況管理センタ端末30は、クライアントフィルタ機能20によってユーザ端末10から送信されてきたセキュリティ対策状況確認要求を受信すると、既に入手済みの最新のセキュリティ対策情報と、クライアントフィルタ機能部20によって送信されてきたユーザ端末10のセキュリティ対策情報とを比較する(ステップB3)。なお、最新のセキュリティ対策状況を取得する方法は特に限定されることはなく、ネットワークを介して特定のWebサイトから取得するなどの公知の方法を適用可能である。
【0036】
セキュリティ対策状況チェック結果がNGであった場合には(ステップB3/NG)、セキュリティ対策状況管理先端端末30は、ネットワーク100へのアクセスを制限するポリシーをセキュリティ対策状況確認要求の送信元であるクライアントフィルタ機能部20へ送信する(ステップB4)。セキュリティ対策状況チェック結果がOKであった場合には(ステップB3/OK)、セキュリティ対策状況管理センタ端末30は、ネットワーク100へのアクセスを制限しないポリシーをセキュリティ対策状況確認要求の送信元であるクライアントフィルタ機能部20へ送信する(ステップB5)。
【0037】
クライアントフィルタ機能部20は、セキュリティ対策状況管理センタ端末30からクライアントフィルタ機能のポリシーを受信すると、それを適用する(ステップB6)。そして、適用したポリシーの内容をユーザ端末10の画面に表示する(ステップB7)これにより、クライアントフィルタ機能の状態をユーザに通知する。なお、セキュリティチェック結果がNGであった場合には、その原因もユーザ端末10の画面に表示させる。
【0038】
セキュリティ対策状況管理センタ30から受信したポリシーを適用したことにより、セキュリティチェック結果がOKであったならば、ユーザ端末10の利用者は制約を受けることなくネットワーク100へアクセスできる。一方、セキュリティチェック結果がNGであったならば、制限された範囲のリソースにアクセス可能となる。
【0039】
次に、IDSセンタ端末40が不審な挙動をしているユーザ端末10を検出した場合のシステムの動作について説明する。図4に、この場合のシステムの動作の流れを示す。
IDSセンタ端末40は、ネットワーク100を流れる全てのパケットを監視することにより、不審な挙動をしているユーザ端末を検出する(ステップC1)。ここでいう不審な挙動とは、ユーザ端末がコンピュータウイルスに感染している場合によく見られる挙動(通常業務では考えられないような相手への通信、また、大量の相手への一斉通信など)を指す。
【0040】
IDSセンタ端末40は、不審な挙動をしているユーザ端末10を検出した場合(ステップC2/Yes)、そのユーザ端末10を特定するための機器固有情報を含んだ不審ユーザ端末通知を、セキュリティ対策状況管理センタ端末30に送信する(ステップC3)。
【0041】
セキュリティ対策状況管理センタ端末30は、不審ユーザ端末通知を受信すると、機器固有情報に基づいて不審ユーザ端末を特定し、そのユーザ端末10上のクライアントフィルタ機能部20に対して、ネットワーク100へのアクセスを制限するポリシーを送信する(ステップC4)。
【0042】
クライアントフィルタ機能部20は、セキュリティ対策状況管理センタ端末30からのクライアントフィルタ機能のポリシーを受信すると、それを適用する(ステップC5)。そして、適用したポリシーの状態をユーザ端末10の画面に表示する(ステップC6)。これにより、ユーザ端末10の利用者は、クライアントフィルタ機能部20の状態及びその原因を通知できる。
このようにして、ユーザ端末10の利用者は、ユーザ端末10がコンピュータウイルスに感染している疑いがあるため、ネットワーク100へのアクセスが制限されたことを知ることができる。
【0043】
IDSセンタ端末40としては、市販されているIDS製品を使用することが考えられるが、一般的に市販されているIDS製品は、不審な端末を発見した場合、その情報をSNMPプロトコルを使用して通知する機能を有していることが多い。本実施形態においては、IDS製品のSNMPプロトコルによる不審ユーザ端末通知をセキュリティ対策状況管理センタ端末30で受信するため、一般に市販されているIDS製品をIDSセンタ端末40として適用できる。
【0044】
このように、本実施形態にかかるコンピュータシステムは、ユーザ端末にネットワークへのアクセスをさせる際に、利用者が使用しているユーザ端末のセキュリティ対策状況を動的に判断し、その結果に応じてネットワークへのアクセスの可否を動的に切り替えるため、ネットワークそのものをセキュアに保つことができる。
【0045】
また、IDSセンタ端末を備えることによって未知のコンピュータウイルスに対応することができ、万が一コンピュータウイルスに感染したユーザ端末がネットワークに接続された場合でも、それを迅速に検出し、排除できる。
【0046】
また、IDSセンタ端末40とセキュリティ対策状況管理センタ端末30との通信は、一般的に使用されているプロトコルで実現可能であるため、IDSセンタ端末40に特殊な装置を用いる必要がない。
【0047】
また、ネットワークに接続されるユーザ端末のセキュリティ対策状況を動的に判断し、不正であれば、セキュリティ対策ソフトのインストール、セキュリティ対策ソフトのデータファイルのバージョンアップ、セキュリティパッチの適用などのセキュリティ対策のみを行うことができる処置用のネットワークへアクセスできる効果が得られる。
【0048】
また、ネットワークへのアクセス制限をクライアントフィルタ機能で実現しているため、ユーザ端末のネットワーク接続形態(有線接続であればネットワークケーブルの差し替えなど)を行うことなく対処できる。
【0049】
また、ネットワークへのアクセス制限をクライアントフィルタ機能で実現しているため、ユーザ端末のIPアドレスを静的に設定するか、DHCPサーバから動的に設定するかに関わらずアクセス制御を実現できる。
【0050】
しかも、特別なネットワーク機器を必要としないため、イントラネット接続からリモート接続まで幅広いネットワーク形態に適用可能である。
【0051】
〔第2の実施形態〕
本発明を好適に実施した第2の実施形態について説明する。
本実施形態にかかるコンピュータシステムの構成は第1の実施形態と同様である。
本実施形態においては、セキュリティ対策状況センタ端末30において、全てのユーザ端末のセキュリティ対策状況を管理しない点が第1の実施形態と相違する。
【0052】
図5に、本実施形態にかかるコンピュータシステムの動作の流れを示す。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップD1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
【0053】
起動されたクライアントフィルタ機能部20は、ネットワーク100に対するアクセスに制限のないポリシーを適用する(ステップD2)。
【0054】
IDSセンタ端末40は、ネットワーク100を流れる全てのパケットを監視することにより、不審な挙動をしているユーザ端末を検出する(ステップD3)。ここでいう不審な挙動とは、ユーザ端末がコンピュータウイルスに感染している場合によく見られる挙動(通常業務では考えられないような相手への通信、また、大量の相手への一斉通信など)を指す。
【0055】
IDSセンタ端末40は、不審な挙動をしているユーザ端末10を検出した場合(ステップD4/Yes)、そのユーザ端末10を特定するための機器固有情報を含んだ不審ユーザ端末通知を、セキュリティ対策状況管理センタ端末30に送信する(ステップD5)。
【0056】
セキュリティ対策状況管理センタ端末30は、不審ユーザ端末通知を受信すると、機器固有情報に基づいて不審ユーザ端末を特定し、そのユーザ端末10上のクライアントフィルタ機能部20に対して、ネットワーク100へのアクセスを制限するポリシーを送信する(ステップD6)。
【0057】
クライアントフィルタ機能部20は、セキュリティ対策状況管理センタ端末30からのクライアントフィルタ機能のポリシーを受信すると、それを適用する(ステップD7)。そして、適用したポリシーの状態をユーザ端末10の画面に表示する(ステップD8)。これにより、ユーザ端末10の利用者は、クライアントフィルタ機能部20の状態及びその原因を通知できる。
このように して、ユーザ端末10の利用者は、自身が使用する端末10がコンピュータウイルスに感染している疑いがあるために、ネットワーク100へのアクセスが制限されたことを知ることができる。
【0058】
次に、ユーザ端末10のコンピュータウイルスを駆除した後の動作について説明する。
図6に、動作の流れを示す。
感染しているコンピュータウイルスが駆除された後、アクセス制限解除要求をセキュリティ対策状況管理センタ端末30に送信するための操作が行われると、クライアントフィルタ機能部20は、アクセス制限解除要求をセキュリティ対策状況管理センタ端末30へ送信する(ステップE1)。
【0059】
アクセス制限解除要求を受信したセキュリティ対策状況管理センタ端末30は、送信元のユーザ端末10のクライアントフィルタ機能部20に対して、ネットワーク100へのアクセス制限を解除するポリシーを送信する(ステップE2)。
【0060】
セキュリティ対策状況管理センタ端末30から送信されてきたポリシーを受信したクライアントフィルタ機能部20は、それを適用する(ステップE3)。そして、適用したポリシーの状態をユーザ端末10の画面に表示させる(ステップE4)。これにより、ユーザ端末10の利用者はクライアントフィルタ機能の状態を把握できる。
【0061】
ネットワーク100へのアクセス制限が解除されたことにより、ユーザ端末10はネットワーク100へ自由にアクセスできる状態となる。
【0062】
このように、本実施形態にかかるコンピュータシステムは、セキュリティ対策状況管理センタ端末30において全てのユーザ端末10のセキュリティ対策状況をチェックはしないが、コンピュータウイルスに対しての防御力は備える。
【0063】
一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況をチェックする装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。
【0064】
〔第3の実施形態〕
本発明を好適に実施した第3の実施形態について説明する。
図7に、本実施形態にかかるコンピュータシステムの構成を示す。
本実施形態にコンピュータシステムは、セキュリティ対策状況管理センタ端末30を備えていない点が第2の実施形態と相違する。第2の実施形態においてセキュリティ対策状況管理センタ端末30が提供していた機能は、IDSセンタ端末40が実現する。
【0065】
本実施形態にかかるコンピュータシステムの動作の流れを図8に示す。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップF1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
【0066】
起動されたクライアントフィルタ機能部20は、ネットワーク100に対するアクセスに制限のないポリシーを適用する(ステップF2)。
【0067】
IDSセンタ端末40は、ネットワーク100を流れる全てのパケットを監視することにより、不審な挙動をしているユーザ端末を検出する(ステップF3)。ここでいう不審な挙動とは、ユーザ端末がコンピュータウイルスに感染している場合によく見られる挙動(通常業務では考えられないような相手への通信、また、大量の相手への一斉通信など)を指す。
【0068】
IDSセンタ端末40は、不審な挙動をしているユーザ端末10を検出した場合(ステップF4/Yes)、そのユーザ端末10を特定し、そのユーザ端末10上のクライアントフィルタ機能部20に対して、ネットワーク100へのアクセスを制限するポリシーを送信する(ステップF5)。
【0069】
クライアントフィルタ機能部20は、IDSセンタ端末40からのクライアントフィルタ機能のポリシーを受信すると、それを適用する(ステップF6)。そして、適用したポリシーの状態をユーザ端末10の画面に表示する(ステップF7)。これにより、ユーザ端末10の利用者は、クライアントフィルタ機能部20の状態及びその原因を通知できる。
このようにして、ユーザ端末10の利用者は、自身が使用する端末がコンピュータウイルスに感染している疑いがあるため、ネットワーク100へのアクセスが制限されたことを知ることができる。
【0070】
次に、ユーザ端末10に感染しているコンピュータウイルスを削除した後の動作について説明する。
図9に、システムの動作の流れを示す。
【0071】
感染しているコンピュータウイルスが駆除された後、アクセス制限解除要求をIDSセンタ端末40に送信するための操作が行われると、クライアントフィルタ機能部20は、アクセス制限解除要求をIDSセンタ端末40へ送信する(ステップG1)。
【0072】
アクセス制限解除要求を受信したIDSセンタ端末40は、アクセス制限解除要求の送信元であるユーザ端末10のクライアントフィルタ機能部20に対して、ネットワーク100へのアクセス制限を解除するポリシーを送信する(ステップG2)。
【0073】
IDSセンタ端末40から送信されてきたポリシーを受信したクライアントフィルタ機能部20は、それを適用する(ステップG3)。そして、適用したポリシーの状態をユーザ端末10の画面に表示させる(ステップG4)。これにより、ユーザ端末10の利用者はクライアントフィルタ機能の状態を把握できる。
【0074】
ネットワーク100へのアクセス制限が解除されたことにより、ユーザ端末10はネットワーク100へ自由にアクセスできる状態となる。
【0075】
以上のように、本実施形態にかかるコンピュータシステムは、セキュリティ対策状況管理センタ端末を備えていない構成ではあるが、コンピュータウイルスに対する防御力を備えている。
一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況を管理する装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。
【0076】
また、第2の実施形態に係るコンピュータシステムに比べてシステムの構成を簡略化できる。
【0077】
〔第4の実施形態〕
本発明を好適に実施した第4の実施形態について説明する。
図10に本実施形態にかかるコンピュータシステムの構成を示す。
本実施形態に係るコンピュータシステムは複数のユーザ端末10がネットワーク100を介して接続された構成である。
【0078】
本実施形態に係るコンピュータシステムの動作について説明する。
図11に、システムの動作の流れを示す。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップH1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
【0079】
ユーザ端末10に実装されたクライアントフィルタ機能部20は、所定のアクセス先に限定されたポリシーを適用する(ステップH2)。
【0080】
ユーザ端末10に感染しているコンピュータウイルスが活動すると、ユーザ端末10からネットワーク100へのアクセスが発生する(ステップH3)。
【0081】
クライアントフィルタ機能部20は、ポリシーにセットされていない相手への通信があったことを検知し、その旨をユーザ端末10の利用者へ通知する(ステップH4)。これとともに、クライアントフィルタ機能部20は、通知した通信が使用者の意図した通信であったか否かの情報の入力を使用者に要求する(ステップH5)。
【0082】
意図しない通信であったことを示す情報が使用者から入力された場合(ステップH6/No)、クライアントフィルタ機能部20は、ウイルス感染によるネットワークアクセスであると判断し、ネットワーク100へのアクセスを遮断するポリシーを適用する(ステップH7)。そして、適用したポリシーをユーザ端末10の画面に表示させ、使用者にクライアントフィルタ機能の状態とその原因とを通知する(ステップH8)。
【0083】
以上のように、本実施形態にかかるコンピュータシステムは、セキュリティ対策状況管理センタ端末及びIDSセンタ端末を備えていない構成ではあるが、コンピュータウイルスに対する防御力を備えている。
一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況を管理する装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。
【0084】
また、第3の実施形態に係るコンピュータシステムに比べてシステムの構成を簡略化できる。
【0085】
なお、上記各実施形態は本発明の好適な実施の一例であり、本発明はこれらに限定されることはなく変形が可能である。
【図面の簡単な説明】
【0086】
【図1】本発明を好適に実施した第1の実施形態にかかるコンピュータシステムの構成を示す図である。
【図2】第1の実施形態にかかるセキュリティ対策状況管理センタ端末の動作の流れを示す図である。
【図3】第1の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図4】第1の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図5】本発明を好適に実施した第2の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図6】第2の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図7】本発明を好適に実施した第3の実施形態にかかるコンピュータシステムの構成を示す図である。
【図8】第3の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図9】第3の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図10】本発明を好適に実施した第4の実施形態にかかるコンピュータシステムの構成を示す図である。
【図11】第4の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【符号の説明】
【0087】
10 ユーザ端末
20 クライアントフィルタ機能部
30 セキュリティ対策状況管理センタ端末
40 IDS端末
【技術分野】
【0001】
本発明はコンピュータウイルスに対する防御力を備えたコンピュータシステムに関し、特に、セキュリティポリシーを動的に切り換えることのできる情報処理端末及びコンピュータシステムに関する。
【背景技術】
【0002】
近年、コンピュータウイルスやワーム(以下、単にコンピュータウイルスという)による被害が多発しており、これらによる損害額も膨大な金額となっている。
【0003】
このため、コンピュータウイルスに対する防御力を備えたコンピュータシステムへのニーズが高まっている。
【0004】
コンピュータウイルスに対する防御手段として、クライアントファイアウォール機能(クライアントフィルタ機能)を用いたシステムが実用化されている。
クライアントフィルタ機能とは、コンピュータ端末からネットワークに対してのアクセス、また、ネットワークからコンピュータ端末へのアクセスに対して、送信元、宛先のIPアドレス、ポート番号を意識してアクセスを許可又は拒否する機能である。
【0005】
現在実用化されているクライアントフィルタ機能を用いたコンピュータシステムには次に示すような問題がある。
【0006】
・クライアントフィルタ製品は多数存在するが、フィルタのポリシーを動的に変更させることができない製品が多い。
・ポリシーを変更できる製品であっても、ウイルス対策ソフトと同期して作動するため、異なるベンダーのウイルス対策ソフトを利用している環境では、ポリシーを動的に変更することはできない。
・IDS(Intrusion Detection System)製品と連携して動作させることができないため、未知のウイルスに感染しているユーザ端末がネットワークに接続されても、その端末からの通信を拒絶することができない。
・PC検疫システムを構築する際に、検疫ネットワークを構成する製品とセキュリティ対策状況を管理する製品とが限定されており、容易にシステムを構築することができない。
・PC検疫システムを構築する際に、セキュリティチェック結果により、ユーザ端末10のアクセス先を制限するための特別なネットワーク端末が必要となり、容易にシステムを構築できない。
【0007】
従来のクライアントフィルタ機能は、ユーザ端末にインストールされているプログラムごとにネットワークへのアクセスを制限することは可能であるが、ユーザ端末のセキュリティ状態を考慮してのアクセス制御はできない。また、ウイルス対策ソフトのベンダーが提供しているクライアントフィルタ機能については、ウイルス対策ソフトのウイルスデータファイルのバージョンをチェックして、動的にアクセス先を制御できる製品もあるが、セキュリティパッチの適用状況を考慮することや、未知のコンピュータウイルスに感染している場合には、その対処をすることはできない。
【0008】
また、コンピュータシステムのセキュリティに関する従来技術としては特許文献1に開示される「侵入検知管理システム」がある。
【特許文献1】特開2003−85139号公報
【発明の開示】
【発明が解決しようとする課題】
【0009】
特許文献1に開示される発明は、ネットワークを監視する機器としてのファイアウォール機能を利用している。
また、特許文献1に開示される発明は、コンピュータ端末への不正な侵入、いわゆるハッキングに対する対策を施したコンピュータシステムであるが、コンピュータウイルスは、正常なルートでコンピュータ内に侵入(例えば、電子メールの添付ファイルとして)ことも多いため、特許文献1に開示される発明は、コンピュータウイルスに対するセキュリティの向上には何ら寄与しない。
しかも、侵入検知に対する対処ルールは予め登録されているものの中から選択するため、想定の範囲外の状況に対応することができない。すなわち、次々と新種や亜種が登場するコンピュータウイルスに対応することはできない。
このように、従来は、システムを構成する端末のセキュリティポリシーを動的に切り換えることのできるコンピュータシステムは実現されていなかった。
【0010】
本発明はかかる問題に鑑みてなされたものであり、システムを構成する端末のセキュリティポリシーを動的に切り換えることのできるコンピュータシステムを提供することを目的とする。
【課題を解決するための手段】
【0011】
上記目的を達成するため、本発明は、第1の態様として、複数のユーザ端末と、複数のユーザ端末それぞれのネットワークセキュリティが十分であるか否かを判断するネットワークセキュリティ管理端末と、複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、ユーザ端末は、自端末のネットワークセキュリティ設定が最新の設定であるか否かの判断をネットワークセキュリティ管理端末に要求する手段と、ネットワークセキュリティ管理端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、ネットワークセキュリティ管理端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段とを有し、ネットワークセキュリティ管理端末は、各ユーザ端末からの要求に応じて、要求元のユーザ端末のネットワークセキュリティの設定が最新の設定であるか否かを判断する手段と、ネットワークセキュリティの設定が最新の設定ではないと判断したユーザ端末に対して、最新のネットワークセキュリティの設定を通知する手段と、IDS端末から挙動が不審であることを通知されたユーザ端末に対して、ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段とを有し、IDS端末は、挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末の存在をネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステムを提供するものである。
【0012】
上記本発明の第1の態様においては、ユーザ端末は、自端末のネットワークセキュリティ設定が最新の設定であるか否かの判断をネットワークセキュリティ管理端末に要求する際に、自端末のネットワークセキュリティの設定を表す情報をネットワークセキュリティ管理端末へ送信し、ネットワークセキュリティ管理端末は、ユーザ端末から受信した情報と予め格納している最新のネットワークセキュリティの設定を表す情報とを比較することによって、要求元のユーザ端末のネットワークセキュリティ設定が最新の設定であるか否かを判断することが好ましい。
【0013】
また、上記目的を達成するため、本発明は、第2の態様として、複数のユーザ端末と、複数のユーザ端末それぞれのネットワークセキュリティの設定を管理するネットワークセキュリティ管理端末と、複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、ユーザ端末は、ネットワークセキュリティ管理端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、ネットワークセキュリティ管理端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段と、ネットワークに対するアクセスを制限するネットワークセキュリティが設定されている場合に、ネットワークに対するアクセスの制限の解除を要求する解除要求をネットワークセキュリティ管理端末へ送信するための手段とを有し、ネットワークセキュリティ管理端末は、IDS端末から挙動が不審であることを通知されたユーザ端末に対して、ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段と、解除要求の送信元のユーザ端末に対して、アクセス制限を解除するネットワークセキュリティの設定を通知する手段とを有し、IDS端末は、挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末の存在をネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステムを提供するものである。
【0014】
上記本発明の第1又は第2の態様においては、ネットワークセキュリティ管理端末は、IDS端末から挙動が不審であることを通知されたユーザ端末に対して、ネットワークへのアクセスを禁止するネットワークセキュリティの設定を通知することが好ましい。
【0015】
また、上記目的を達成するため、本発明は、第3の態様として、複数のユーザ端末と、複数のユーザ端末それぞれのネットワークセキュリティの設定を管理するとともに、複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、ユーザ端末は、IDS端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、IDS端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段と、ネットワークに対するアクセスを制限するネットワークセキュリティが設定されている場合に、ネットワークに対するアクセスの制限の解除を要求する解除要求をIDS端末へ送信するための手段とを有し、IDS端末は、挙動が不審なユーザ端末を検出した場合に、そのユーザ端末に対して、ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段と、解除要求の送信元のユーザ端末に対して、アクセス制限を解除するネットワークセキュリティの設定を通知する手段とを有することを特徴とするコンピュータシステムを提供するものである。
【0016】
上記本発明の第3の態様においては、IDS端末は、挙動が不審であることを検出したユーザ端末に対して、ネットワークへのアクセスを禁止するネットワークセキュリティの設定を通知することが好ましい。
【0017】
また、上記目的を達成するため、本発明は、第4の態様として、ネットワークを介して他の端末と情報を送受信する情報処理端末であって、予め許可された範囲を超えるネットワークへのアクセスを検出する手段と、予め許可された範囲を超えるネットワークへのアクセスを検出したことをユーザに通知し、該アクセスがユーザの意図によって行われたものであるか否かを表す情報の入力を要求する手段と、該アクセスがユーザの意図によって行われたものでない場合に、ネットワークへのアクセスを遮断する手段と、ネットワークへのアクセスを遮断したことをユーザに通知する手段とを有することを特徴とする情報処理端末を提供するものである。
【発明の効果】
【0018】
本発明によれば、システムを構成する端末のセキュリティポリシーを動的に切り換えることのできるコンピュータシステム及び情報処理端末を提供できる。
【発明を実施するための最良の形態】
【0019】
本発明では、ユーザ端末にウイルス対策ソフトとは無関係なクライアントフィルタ機能をコンピュータ端末にインストールすることによって、ネットワークへのアクセスを制御する。このため、既にコンピュータウイルスに対する防衛手段を導入しているコンピュータシステムに適用することができる。
また、クライアントフィルタ機能部が外部製品と連携するためのインタフェースを公開することによって様々な機能を持つ製品との連携が可能となる。これにより、より一層幅広い使い方ができる。
【0020】
コンピュータウイルスに対する防衛策は、大別すると次の二通りとなる。
・コンピュータウイルスに感染しないようにセキュリティ対策を万全な状態にしておく(proactiveな対処)。
・コンピュータウイルスに感染したユーザ端末がシステムに接続された場合、二次感染を防ぐため、ウイルスに感染したユーザ端末を他のユーザ端末から隔離する(reactiveな対処)。
本発明では、上記の二通りの対策を両方とも行うことも、また、どちらか一方のみを行うことも可能である。このため、必要に応じたセキュリティ対策が施されたコンピュータシステムを構築できる。
【0021】
〔第1の実施形態〕
本発明を好適に実施した第1の実施形態について説明する。
図1に、本実施形態にかかるコンピュータシステムの構成を示す。本実施形態にかかるコンピュータシステムは、クライアントフィルタ機能20が実装された複数のユーザ端末10と、セキュリティ対策状況管理センタ端末30と、IDSセンタ端末40とがネットワーク100(イントラネットなど)を介して相互に接続された構成である。
【0022】
ユーザ端末10は、コンピュータ端末などの情報処理装置であり、ネットワーク100へアクセスする機能(ネットワーク100を介して情報を送受信する機能)を有する。
【0023】
クライアントフィルタ機能部20は、ユーザ端末10に実装されており、ユーザ端末10がネットワーク100へ送り出す全てのデータと、ネットワーク100から受信した全てのデータとを監視しており、それらのデータを通過させるか否かをプログラムごとや通信相手ごとに制御する。
クライアントフィルタ機能部20は、フィルタ機能のポリシー(どのようなデータを通過させ、どのようなデータを遮断するかのルール)を動的に切り替える機能を備える。さらに、クライアントフィルタ機能部20は、クライアントフィルタ機能のポリシーをネットワーク100に接続されている他の端末(本実施形態においてはセキュリティ対策状況管理センタ端末30)からの要求に応じて変更するためのインタフェースを備える。
【0024】
また、クライアントフィルタ機能部20は、ポリシーで許可されている通信相手以外の端末との通信が発生した場合には、その旨をユーザ端末10の使用者に通知するインタフェースを備えている。クライアントフィルタ機能部20は、セキュリティ対策状況管理センタ端末30と通信する機能を有し、セキュリティ対策状況管理センター端末30からの要求に応じて、クライアントフィルタ機能のポリシーを動的に変更させる。
【0025】
また、クライアントフィルタ機能部20は、ユーザ端末10の機器固有情報とセキュリティ対策状況とをセキュリティ対策状況確認要求としてセキュリティ対策状況管理センタ端末30へ送信する機能を備える。機器固有情報としては、ユーザ端末10のMACアドレスなどが挙げられる。セキュリティ対策状況としては、ウイルス対策ソフトのウイルスパターンファイルのバージョン情報、ウイルス対策ソフトの動作状況、セキュリティパッチの適用状況などが挙げられる。
【0026】
さらに、クライアントフィルタ機能部20は、ユーザ端末10の使用者が任意のタイミングでセキュリティ対策状況確認要求をセキュリティ対策情報管理センタ端末30へ送信するためのインタフェースを提供する。例えば、クライアントフィルタ機能部20は、ユーザ端末10のディスプレイに送信ボタンを表示させるなどしてインタフェースを提供する。
【0027】
セキュリティ対策状況管理センタ端末30は、セキュリティ対策状況を管理するセンタに設置されている情報処理装置(ワークステーションやサーバなど)であり、クライアントフィルタ機能部20によってユーザ端末10から送信されてきたユーザ端末10のセキュリティ対策状況情報を収集する。
また、セキュリティ対策状況管理センタ端末30は、セキュリティ対策のために必要な最新情報を保持しており、全てのユーザ端末10から収集した情報と最新情報とを比較することにより、各ユーザ端末のセキュリティ対策が十分であるか否かを判断する。
さらに、セキュリティ対策状況管理センタ端末30は、クライアントフィルタ機能部20によってユーザ端末10から送信されてきた各種情報に基づいてセキュリティ対策状況を判断し、クライアントフィルタ機能のポリシーをユーザ端末10へ送信する。
さらに、不審な振る舞いをするユーザ端末10に関する情報をIDSセンタ端末40から受信し、当該ユーザ端末10のクライアントフィルタ機能部20に対して、ネットワーク100への通信を遮断させるポリシーを送信する。
【0028】
IDSセンタ端末40は、情報処理装置(ワークステーションやサーバなど)又はネットワークアプライアンス装置であり、ネットワーク100を流れる全てのパケットを監視し、不審な挙動をするユーザ端末10を検出する。さらに、不審な挙動をしているユーザ端末10に関する情報をセキュリティ対策状況管理センタ端末30へ送信する。
【0029】
コンピュータシステムの動作について説明する。
図2に、セキュリティ対策状況管理センタ端末30の動作の流れを示す。
セキュリティ対策状況を判断するために、最新のセキュリティ対策情報を取得する(ステップA1)。セキュリティ対策情報とは、ウイルス対策ソフトのウイルスパターンファイルのバージョン情報、セキュリティパッチ情報などである。
【0030】
セキュリティ対策状況管理センタ端末30は、IDSセンタ端末40又はクライアントフィルタ機能部20からの要求を待つ。セキュリティ対策状況管理センタ端末30は、IDSセンタ端末40又はクライアントフィルタ機能部20からの要求を受けたら、要求された内容を判断する。IDSセンタ端末40から不審ユーザ端末通知を受けたのであれば(ステップA2/Yes)、不審なユーザ端末に対してネットワーク100への通信を遮断するポリシーを送信する(ステップA3)。
【0031】
クライアントフィルタ機能部20からのセキュリティ対策状況確認要求を受信したのであれば(ステップA2/No、ステップA4/Yes)、事前に取得している最新のセキュリティ対策情報と比較し、クライアントフィルタ機能部20に対してセキュリティ対策状況チェック結果を通知する(ステップA5)。通知する内容には、クライアントフィルタ機能部20に適用すべきポリシー(ルール)が含まれる。例えば、セキュリティ対策状況チェック結果がOKであった場合には、ネットワーク100へのアクセスを特に制限しないポリシーを送信する。一方、セキュリティ対策状況チェック結果がNGであれば、ネットワーク100へのアクセスを禁止したり、アクセスに制限を設けるポリシーを送信する。
【0032】
その後、監視を継続するのであれば、ステップA1に戻る(ステップA6)。
【0033】
システム全体の動作の流れを図3に示す。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップB1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
【0034】
起動されたクライアントフィルタ機能部20は、ユーザ端末10の機器固有情報とセキュリティ対策情報とを収集し、これらをセキュリティ対策状況確認要求としてセキュリティ対策状況管理センタ端末30へ送信する(ステップB2)。機器固有情報とは、ユーザ端末10を特定するための情報であり、ホスト名、IPアドレス、MACアドレスなどである。セキュリティ対策情報としては、ウイルス対策ソフトのウイルスパターンファイルのバージョン情報、ウイルス対策ソフトの動作状況、セキュリティパッチの適用状況などが含まれる。
【0035】
セキュリティ対策状況管理センタ端末30は、クライアントフィルタ機能20によってユーザ端末10から送信されてきたセキュリティ対策状況確認要求を受信すると、既に入手済みの最新のセキュリティ対策情報と、クライアントフィルタ機能部20によって送信されてきたユーザ端末10のセキュリティ対策情報とを比較する(ステップB3)。なお、最新のセキュリティ対策状況を取得する方法は特に限定されることはなく、ネットワークを介して特定のWebサイトから取得するなどの公知の方法を適用可能である。
【0036】
セキュリティ対策状況チェック結果がNGであった場合には(ステップB3/NG)、セキュリティ対策状況管理先端端末30は、ネットワーク100へのアクセスを制限するポリシーをセキュリティ対策状況確認要求の送信元であるクライアントフィルタ機能部20へ送信する(ステップB4)。セキュリティ対策状況チェック結果がOKであった場合には(ステップB3/OK)、セキュリティ対策状況管理センタ端末30は、ネットワーク100へのアクセスを制限しないポリシーをセキュリティ対策状況確認要求の送信元であるクライアントフィルタ機能部20へ送信する(ステップB5)。
【0037】
クライアントフィルタ機能部20は、セキュリティ対策状況管理センタ端末30からクライアントフィルタ機能のポリシーを受信すると、それを適用する(ステップB6)。そして、適用したポリシーの内容をユーザ端末10の画面に表示する(ステップB7)これにより、クライアントフィルタ機能の状態をユーザに通知する。なお、セキュリティチェック結果がNGであった場合には、その原因もユーザ端末10の画面に表示させる。
【0038】
セキュリティ対策状況管理センタ30から受信したポリシーを適用したことにより、セキュリティチェック結果がOKであったならば、ユーザ端末10の利用者は制約を受けることなくネットワーク100へアクセスできる。一方、セキュリティチェック結果がNGであったならば、制限された範囲のリソースにアクセス可能となる。
【0039】
次に、IDSセンタ端末40が不審な挙動をしているユーザ端末10を検出した場合のシステムの動作について説明する。図4に、この場合のシステムの動作の流れを示す。
IDSセンタ端末40は、ネットワーク100を流れる全てのパケットを監視することにより、不審な挙動をしているユーザ端末を検出する(ステップC1)。ここでいう不審な挙動とは、ユーザ端末がコンピュータウイルスに感染している場合によく見られる挙動(通常業務では考えられないような相手への通信、また、大量の相手への一斉通信など)を指す。
【0040】
IDSセンタ端末40は、不審な挙動をしているユーザ端末10を検出した場合(ステップC2/Yes)、そのユーザ端末10を特定するための機器固有情報を含んだ不審ユーザ端末通知を、セキュリティ対策状況管理センタ端末30に送信する(ステップC3)。
【0041】
セキュリティ対策状況管理センタ端末30は、不審ユーザ端末通知を受信すると、機器固有情報に基づいて不審ユーザ端末を特定し、そのユーザ端末10上のクライアントフィルタ機能部20に対して、ネットワーク100へのアクセスを制限するポリシーを送信する(ステップC4)。
【0042】
クライアントフィルタ機能部20は、セキュリティ対策状況管理センタ端末30からのクライアントフィルタ機能のポリシーを受信すると、それを適用する(ステップC5)。そして、適用したポリシーの状態をユーザ端末10の画面に表示する(ステップC6)。これにより、ユーザ端末10の利用者は、クライアントフィルタ機能部20の状態及びその原因を通知できる。
このようにして、ユーザ端末10の利用者は、ユーザ端末10がコンピュータウイルスに感染している疑いがあるため、ネットワーク100へのアクセスが制限されたことを知ることができる。
【0043】
IDSセンタ端末40としては、市販されているIDS製品を使用することが考えられるが、一般的に市販されているIDS製品は、不審な端末を発見した場合、その情報をSNMPプロトコルを使用して通知する機能を有していることが多い。本実施形態においては、IDS製品のSNMPプロトコルによる不審ユーザ端末通知をセキュリティ対策状況管理センタ端末30で受信するため、一般に市販されているIDS製品をIDSセンタ端末40として適用できる。
【0044】
このように、本実施形態にかかるコンピュータシステムは、ユーザ端末にネットワークへのアクセスをさせる際に、利用者が使用しているユーザ端末のセキュリティ対策状況を動的に判断し、その結果に応じてネットワークへのアクセスの可否を動的に切り替えるため、ネットワークそのものをセキュアに保つことができる。
【0045】
また、IDSセンタ端末を備えることによって未知のコンピュータウイルスに対応することができ、万が一コンピュータウイルスに感染したユーザ端末がネットワークに接続された場合でも、それを迅速に検出し、排除できる。
【0046】
また、IDSセンタ端末40とセキュリティ対策状況管理センタ端末30との通信は、一般的に使用されているプロトコルで実現可能であるため、IDSセンタ端末40に特殊な装置を用いる必要がない。
【0047】
また、ネットワークに接続されるユーザ端末のセキュリティ対策状況を動的に判断し、不正であれば、セキュリティ対策ソフトのインストール、セキュリティ対策ソフトのデータファイルのバージョンアップ、セキュリティパッチの適用などのセキュリティ対策のみを行うことができる処置用のネットワークへアクセスできる効果が得られる。
【0048】
また、ネットワークへのアクセス制限をクライアントフィルタ機能で実現しているため、ユーザ端末のネットワーク接続形態(有線接続であればネットワークケーブルの差し替えなど)を行うことなく対処できる。
【0049】
また、ネットワークへのアクセス制限をクライアントフィルタ機能で実現しているため、ユーザ端末のIPアドレスを静的に設定するか、DHCPサーバから動的に設定するかに関わらずアクセス制御を実現できる。
【0050】
しかも、特別なネットワーク機器を必要としないため、イントラネット接続からリモート接続まで幅広いネットワーク形態に適用可能である。
【0051】
〔第2の実施形態〕
本発明を好適に実施した第2の実施形態について説明する。
本実施形態にかかるコンピュータシステムの構成は第1の実施形態と同様である。
本実施形態においては、セキュリティ対策状況センタ端末30において、全てのユーザ端末のセキュリティ対策状況を管理しない点が第1の実施形態と相違する。
【0052】
図5に、本実施形態にかかるコンピュータシステムの動作の流れを示す。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップD1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
【0053】
起動されたクライアントフィルタ機能部20は、ネットワーク100に対するアクセスに制限のないポリシーを適用する(ステップD2)。
【0054】
IDSセンタ端末40は、ネットワーク100を流れる全てのパケットを監視することにより、不審な挙動をしているユーザ端末を検出する(ステップD3)。ここでいう不審な挙動とは、ユーザ端末がコンピュータウイルスに感染している場合によく見られる挙動(通常業務では考えられないような相手への通信、また、大量の相手への一斉通信など)を指す。
【0055】
IDSセンタ端末40は、不審な挙動をしているユーザ端末10を検出した場合(ステップD4/Yes)、そのユーザ端末10を特定するための機器固有情報を含んだ不審ユーザ端末通知を、セキュリティ対策状況管理センタ端末30に送信する(ステップD5)。
【0056】
セキュリティ対策状況管理センタ端末30は、不審ユーザ端末通知を受信すると、機器固有情報に基づいて不審ユーザ端末を特定し、そのユーザ端末10上のクライアントフィルタ機能部20に対して、ネットワーク100へのアクセスを制限するポリシーを送信する(ステップD6)。
【0057】
クライアントフィルタ機能部20は、セキュリティ対策状況管理センタ端末30からのクライアントフィルタ機能のポリシーを受信すると、それを適用する(ステップD7)。そして、適用したポリシーの状態をユーザ端末10の画面に表示する(ステップD8)。これにより、ユーザ端末10の利用者は、クライアントフィルタ機能部20の状態及びその原因を通知できる。
このように して、ユーザ端末10の利用者は、自身が使用する端末10がコンピュータウイルスに感染している疑いがあるために、ネットワーク100へのアクセスが制限されたことを知ることができる。
【0058】
次に、ユーザ端末10のコンピュータウイルスを駆除した後の動作について説明する。
図6に、動作の流れを示す。
感染しているコンピュータウイルスが駆除された後、アクセス制限解除要求をセキュリティ対策状況管理センタ端末30に送信するための操作が行われると、クライアントフィルタ機能部20は、アクセス制限解除要求をセキュリティ対策状況管理センタ端末30へ送信する(ステップE1)。
【0059】
アクセス制限解除要求を受信したセキュリティ対策状況管理センタ端末30は、送信元のユーザ端末10のクライアントフィルタ機能部20に対して、ネットワーク100へのアクセス制限を解除するポリシーを送信する(ステップE2)。
【0060】
セキュリティ対策状況管理センタ端末30から送信されてきたポリシーを受信したクライアントフィルタ機能部20は、それを適用する(ステップE3)。そして、適用したポリシーの状態をユーザ端末10の画面に表示させる(ステップE4)。これにより、ユーザ端末10の利用者はクライアントフィルタ機能の状態を把握できる。
【0061】
ネットワーク100へのアクセス制限が解除されたことにより、ユーザ端末10はネットワーク100へ自由にアクセスできる状態となる。
【0062】
このように、本実施形態にかかるコンピュータシステムは、セキュリティ対策状況管理センタ端末30において全てのユーザ端末10のセキュリティ対策状況をチェックはしないが、コンピュータウイルスに対しての防御力は備える。
【0063】
一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況をチェックする装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。
【0064】
〔第3の実施形態〕
本発明を好適に実施した第3の実施形態について説明する。
図7に、本実施形態にかかるコンピュータシステムの構成を示す。
本実施形態にコンピュータシステムは、セキュリティ対策状況管理センタ端末30を備えていない点が第2の実施形態と相違する。第2の実施形態においてセキュリティ対策状況管理センタ端末30が提供していた機能は、IDSセンタ端末40が実現する。
【0065】
本実施形態にかかるコンピュータシステムの動作の流れを図8に示す。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップF1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
【0066】
起動されたクライアントフィルタ機能部20は、ネットワーク100に対するアクセスに制限のないポリシーを適用する(ステップF2)。
【0067】
IDSセンタ端末40は、ネットワーク100を流れる全てのパケットを監視することにより、不審な挙動をしているユーザ端末を検出する(ステップF3)。ここでいう不審な挙動とは、ユーザ端末がコンピュータウイルスに感染している場合によく見られる挙動(通常業務では考えられないような相手への通信、また、大量の相手への一斉通信など)を指す。
【0068】
IDSセンタ端末40は、不審な挙動をしているユーザ端末10を検出した場合(ステップF4/Yes)、そのユーザ端末10を特定し、そのユーザ端末10上のクライアントフィルタ機能部20に対して、ネットワーク100へのアクセスを制限するポリシーを送信する(ステップF5)。
【0069】
クライアントフィルタ機能部20は、IDSセンタ端末40からのクライアントフィルタ機能のポリシーを受信すると、それを適用する(ステップF6)。そして、適用したポリシーの状態をユーザ端末10の画面に表示する(ステップF7)。これにより、ユーザ端末10の利用者は、クライアントフィルタ機能部20の状態及びその原因を通知できる。
このようにして、ユーザ端末10の利用者は、自身が使用する端末がコンピュータウイルスに感染している疑いがあるため、ネットワーク100へのアクセスが制限されたことを知ることができる。
【0070】
次に、ユーザ端末10に感染しているコンピュータウイルスを削除した後の動作について説明する。
図9に、システムの動作の流れを示す。
【0071】
感染しているコンピュータウイルスが駆除された後、アクセス制限解除要求をIDSセンタ端末40に送信するための操作が行われると、クライアントフィルタ機能部20は、アクセス制限解除要求をIDSセンタ端末40へ送信する(ステップG1)。
【0072】
アクセス制限解除要求を受信したIDSセンタ端末40は、アクセス制限解除要求の送信元であるユーザ端末10のクライアントフィルタ機能部20に対して、ネットワーク100へのアクセス制限を解除するポリシーを送信する(ステップG2)。
【0073】
IDSセンタ端末40から送信されてきたポリシーを受信したクライアントフィルタ機能部20は、それを適用する(ステップG3)。そして、適用したポリシーの状態をユーザ端末10の画面に表示させる(ステップG4)。これにより、ユーザ端末10の利用者はクライアントフィルタ機能の状態を把握できる。
【0074】
ネットワーク100へのアクセス制限が解除されたことにより、ユーザ端末10はネットワーク100へ自由にアクセスできる状態となる。
【0075】
以上のように、本実施形態にかかるコンピュータシステムは、セキュリティ対策状況管理センタ端末を備えていない構成ではあるが、コンピュータウイルスに対する防御力を備えている。
一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況を管理する装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。
【0076】
また、第2の実施形態に係るコンピュータシステムに比べてシステムの構成を簡略化できる。
【0077】
〔第4の実施形態〕
本発明を好適に実施した第4の実施形態について説明する。
図10に本実施形態にかかるコンピュータシステムの構成を示す。
本実施形態に係るコンピュータシステムは複数のユーザ端末10がネットワーク100を介して接続された構成である。
【0078】
本実施形態に係るコンピュータシステムの動作について説明する。
図11に、システムの動作の流れを示す。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップH1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
【0079】
ユーザ端末10に実装されたクライアントフィルタ機能部20は、所定のアクセス先に限定されたポリシーを適用する(ステップH2)。
【0080】
ユーザ端末10に感染しているコンピュータウイルスが活動すると、ユーザ端末10からネットワーク100へのアクセスが発生する(ステップH3)。
【0081】
クライアントフィルタ機能部20は、ポリシーにセットされていない相手への通信があったことを検知し、その旨をユーザ端末10の利用者へ通知する(ステップH4)。これとともに、クライアントフィルタ機能部20は、通知した通信が使用者の意図した通信であったか否かの情報の入力を使用者に要求する(ステップH5)。
【0082】
意図しない通信であったことを示す情報が使用者から入力された場合(ステップH6/No)、クライアントフィルタ機能部20は、ウイルス感染によるネットワークアクセスであると判断し、ネットワーク100へのアクセスを遮断するポリシーを適用する(ステップH7)。そして、適用したポリシーをユーザ端末10の画面に表示させ、使用者にクライアントフィルタ機能の状態とその原因とを通知する(ステップH8)。
【0083】
以上のように、本実施形態にかかるコンピュータシステムは、セキュリティ対策状況管理センタ端末及びIDSセンタ端末を備えていない構成ではあるが、コンピュータウイルスに対する防御力を備えている。
一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況を管理する装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。
【0084】
また、第3の実施形態に係るコンピュータシステムに比べてシステムの構成を簡略化できる。
【0085】
なお、上記各実施形態は本発明の好適な実施の一例であり、本発明はこれらに限定されることはなく変形が可能である。
【図面の簡単な説明】
【0086】
【図1】本発明を好適に実施した第1の実施形態にかかるコンピュータシステムの構成を示す図である。
【図2】第1の実施形態にかかるセキュリティ対策状況管理センタ端末の動作の流れを示す図である。
【図3】第1の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図4】第1の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図5】本発明を好適に実施した第2の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図6】第2の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図7】本発明を好適に実施した第3の実施形態にかかるコンピュータシステムの構成を示す図である。
【図8】第3の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図9】第3の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【図10】本発明を好適に実施した第4の実施形態にかかるコンピュータシステムの構成を示す図である。
【図11】第4の実施形態にかかるコンピュータシステムの動作の流れを示す図である。
【符号の説明】
【0087】
10 ユーザ端末
20 クライアントフィルタ機能部
30 セキュリティ対策状況管理センタ端末
40 IDS端末
【特許請求の範囲】
【請求項1】
複数のユーザ端末と、前記複数のユーザ端末それぞれのネットワークセキュリティが十分であるか否かを判断するネットワークセキュリティ管理端末と、前記複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
自端末のネットワークセキュリティ設定が最新の設定であるか否かの判断を前記ネットワークセキュリティ管理端末に要求する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段とを有し、
前記ネットワークセキュリティ管理端末は、
前記各ユーザ端末からの要求に応じて、要求元のユーザ端末のネットワークセキュリティの設定が最新の設定であるか否かを判断する手段と、
ネットワークセキュリティの設定が最新の設定ではないと判断したユーザ端末に対して、最新のネットワークセキュリティの設定を通知する手段と、
前記IDS端末から挙動が不審であることを通知されたユーザ端末に対して、前記ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段とを有し、
前記IDS端末は、
挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末の存在を前記ネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステム。
【請求項2】
前記ユーザ端末は、自端末のネットワークセキュリティ設定が最新の設定であるか否かの判断を前記ネットワークセキュリティ管理端末に要求する際に、自端末のネットワークセキュリティの設定を表す情報を前記ネットワークセキュリティ管理端末へ送信し、
前記ネットワークセキュリティ管理端末は、ユーザ端末から受信した情報と予め格納している最新のネットワークセキュリティの設定を表す情報とを比較することによって、要求元のユーザ端末のネットワークセキュリティ設定が最新の設定であるか否かを判断することを特徴とする請求項1記載のコンピュータシステム。
【請求項3】
複数のユーザ端末と、前記複数のユーザ端末それぞれのネットワークセキュリティの設定を管理するネットワークセキュリティ管理端末と、前記複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段と、
前記ネットワークに対するアクセスを制限するネットワークセキュリティが設定されている場合に、前記ネットワークに対するアクセスの制限の解除を要求する解除要求を前記ネットワークセキュリティ管理端末へ送信するための手段とを有し、
前記ネットワークセキュリティ管理端末は、
前記IDS端末から挙動が不審であることを通知されたユーザ端末に対して、前記ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段と、
前記解除要求の送信元のユーザ端末に対して、前記アクセス制限を解除するネットワークセキュリティの設定を通知する手段とを有し、
前記IDS端末は、
挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末の存在を前記ネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステム。
【請求項4】
前記ネットワークセキュリティ管理端末は、前記IDS端末から挙動が不審であることを通知されたユーザ端末に対して、前記ネットワークへのアクセスを禁止するネットワークセキュリティの設定を通知することを特徴とする請求項1から3のいずれか1項記載のコンピュータシステム。
【請求項5】
複数のユーザ端末と、前記複数のユーザ端末それぞれのネットワークセキュリティの設定を管理するとともに、前記複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
前記IDS端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、
前記IDS端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段と、
前記ネットワークに対するアクセスを制限するネットワークセキュリティが設定されている場合に、前記ネットワークに対するアクセスの制限の解除を要求する解除要求を前記IDS端末へ送信するための手段とを有し、
前記IDS端末は、
挙動が不審なユーザ端末を検出した場合に、そのユーザ端末に対して、前記ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段と、
前記解除要求の送信元のユーザ端末に対して、前記アクセス制限を解除するネットワークセキュリティの設定を通知する手段とを有することを特徴とするコンピュータシステム。
【請求項6】
前記IDS端末は、挙動が不審であることを検出したユーザ端末に対して、前記ネットワークへのアクセスを禁止するネットワークセキュリティの設定を通知することを特徴とする請求項5記載のコンピュータシステム。
【請求項7】
ネットワークを介して他の端末と情報を送受信する情報処理端末であって、
予め許可された範囲を超えるネットワークへのアクセスを検出する手段と、
予め許可された範囲を超えるネットワークへのアクセスを検出したことをユーザに通知し、該アクセスがユーザの意図によって行われたものであるか否かを表す情報の入力を要求する手段と、
該アクセスがユーザの意図によって行われたものでない場合に、前記ネットワークへのアクセスを遮断する手段と、
前記ネットワークへのアクセスを遮断したことをユーザに通知する手段とを有することを特徴とする情報処理端末。
【請求項1】
複数のユーザ端末と、前記複数のユーザ端末それぞれのネットワークセキュリティが十分であるか否かを判断するネットワークセキュリティ管理端末と、前記複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
自端末のネットワークセキュリティ設定が最新の設定であるか否かの判断を前記ネットワークセキュリティ管理端末に要求する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段とを有し、
前記ネットワークセキュリティ管理端末は、
前記各ユーザ端末からの要求に応じて、要求元のユーザ端末のネットワークセキュリティの設定が最新の設定であるか否かを判断する手段と、
ネットワークセキュリティの設定が最新の設定ではないと判断したユーザ端末に対して、最新のネットワークセキュリティの設定を通知する手段と、
前記IDS端末から挙動が不審であることを通知されたユーザ端末に対して、前記ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段とを有し、
前記IDS端末は、
挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末の存在を前記ネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステム。
【請求項2】
前記ユーザ端末は、自端末のネットワークセキュリティ設定が最新の設定であるか否かの判断を前記ネットワークセキュリティ管理端末に要求する際に、自端末のネットワークセキュリティの設定を表す情報を前記ネットワークセキュリティ管理端末へ送信し、
前記ネットワークセキュリティ管理端末は、ユーザ端末から受信した情報と予め格納している最新のネットワークセキュリティの設定を表す情報とを比較することによって、要求元のユーザ端末のネットワークセキュリティ設定が最新の設定であるか否かを判断することを特徴とする請求項1記載のコンピュータシステム。
【請求項3】
複数のユーザ端末と、前記複数のユーザ端末それぞれのネットワークセキュリティの設定を管理するネットワークセキュリティ管理端末と、前記複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段と、
前記ネットワークに対するアクセスを制限するネットワークセキュリティが設定されている場合に、前記ネットワークに対するアクセスの制限の解除を要求する解除要求を前記ネットワークセキュリティ管理端末へ送信するための手段とを有し、
前記ネットワークセキュリティ管理端末は、
前記IDS端末から挙動が不審であることを通知されたユーザ端末に対して、前記ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段と、
前記解除要求の送信元のユーザ端末に対して、前記アクセス制限を解除するネットワークセキュリティの設定を通知する手段とを有し、
前記IDS端末は、
挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末の存在を前記ネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステム。
【請求項4】
前記ネットワークセキュリティ管理端末は、前記IDS端末から挙動が不審であることを通知されたユーザ端末に対して、前記ネットワークへのアクセスを禁止するネットワークセキュリティの設定を通知することを特徴とする請求項1から3のいずれか1項記載のコンピュータシステム。
【請求項5】
複数のユーザ端末と、前記複数のユーザ端末それぞれのネットワークセキュリティの設定を管理するとともに、前記複数のユーザ端末の中から挙動が不審なものを検出するIDS端末とがネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
前記IDS端末から受信したポリシー情報に従って、ネットワークセキュリティの設定を変更する手段と、
前記IDS端末から受信したポリシー情報に従ってネットワークセキュリティの設定を変更した場合に、変更後のネットワークセキュリティの設定を表示する手段と、
前記ネットワークに対するアクセスを制限するネットワークセキュリティが設定されている場合に、前記ネットワークに対するアクセスの制限の解除を要求する解除要求を前記IDS端末へ送信するための手段とを有し、
前記IDS端末は、
挙動が不審なユーザ端末を検出した場合に、そのユーザ端末に対して、前記ネットワークに対するアクセスを制限するネットワークセキュリティの設定を通知する手段と、
前記解除要求の送信元のユーザ端末に対して、前記アクセス制限を解除するネットワークセキュリティの設定を通知する手段とを有することを特徴とするコンピュータシステム。
【請求項6】
前記IDS端末は、挙動が不審であることを検出したユーザ端末に対して、前記ネットワークへのアクセスを禁止するネットワークセキュリティの設定を通知することを特徴とする請求項5記載のコンピュータシステム。
【請求項7】
ネットワークを介して他の端末と情報を送受信する情報処理端末であって、
予め許可された範囲を超えるネットワークへのアクセスを検出する手段と、
予め許可された範囲を超えるネットワークへのアクセスを検出したことをユーザに通知し、該アクセスがユーザの意図によって行われたものであるか否かを表す情報の入力を要求する手段と、
該アクセスがユーザの意図によって行われたものでない場合に、前記ネットワークへのアクセスを遮断する手段と、
前記ネットワークへのアクセスを遮断したことをユーザに通知する手段とを有することを特徴とする情報処理端末。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【公開番号】特開2007−52550(P2007−52550A)
【公開日】平成19年3月1日(2007.3.1)
【国際特許分類】
【出願番号】特願2005−235961(P2005−235961)
【出願日】平成17年8月16日(2005.8.16)
【出願人】(000004237)日本電気株式会社 (19,353)
【出願人】(000232092)NECソフト株式会社 (173)
【Fターム(参考)】
【公開日】平成19年3月1日(2007.3.1)
【国際特許分類】
【出願日】平成17年8月16日(2005.8.16)
【出願人】(000004237)日本電気株式会社 (19,353)
【出願人】(000232092)NECソフト株式会社 (173)
【Fターム(参考)】
[ Back to top ]