セキュリティ管理システム
【課題】 ネットワークマシンからマシン情報を取得し、このマシン情報を参照しつつ種々のセキュリティ対策を講じることができ、もって柔軟性に優れ、幅広く適用することが可能なセキュリティシステムを得る。
【解決手段】 ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、ネットワークに接続されるネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、セキュリティ情報提供部から得られるセキュリティ情報と、マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムとを備える。
【解決手段】 ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、ネットワークに接続されるネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、セキュリティ情報提供部から得られるセキュリティ情報と、マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムとを備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正アクセスなど、ネットワークシステムに異常をもたらすおそれを排除することができるセキュリティ管理システムに関するものである。
【背景技術】
【０００２】
従来より、セキュリティ管理サービスのための技術として、例えば以下のようなものが知られている。
第１の従来技術は、パッチが適用されるクライアントマシンとクライアントマシンに対するパッチデータやソフトウェアデータを保持するサーバコンピュータから構成されており，サーバコンピュータがクライアントコンピュータに対してパッチを適用するというものである（例えば特許文献１，２参照）。
【０００３】
この動作は以下のように行われる。まず、（１）クライアントコンピュータのソフトウェア情報をサーバコンピュータに登録する。（２）次に、依存するソフトウェア情報をサーバコンピュータに登録する。そして、（３）クライアントコンピュータに対するソフトウェア更新可否を判定するとともに、（４）パッチをサーバコンピュータから配信する。
【０００４】
第２の従来技術は、監視サーバは、監視対象クライアントのウィルスチェックをリモートから実行しその実行結果を受け取り、ウィルスを検出したときは監視対象クライアントへウィルス検出を通知するというものである（例えば、特許文献３参照）。
【０００５】
この動作は以下のように行われる。まず、（１）監視サーバが監視対象クライアントのウィルスチェックの実行／未実行を参照する。（２）監視サーバが未実行の監視対象クライアントに対してウィルスチェックの実行要求を行う。（３）監視サーバが実行結果を受け取る。（４）監視サーバが監視対象クライアントへウィルス検出を通知する。
【特許文献１】特開２００２−５５８３９号公報
【特許文献２】特開２０００−２５０７４３号公報
【特許文献３】特開平１１−３２７８９７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、第１の従来技術では、Webで公開されている様々なセキュリティ情報をマシン情報に応じて選別取得する機能がなく、セキュリティ対策の柔軟性に乏しく、幅広い適用が困難である。同様に第２の従来技術でも、ウィルスチェックのみに限定され、マシン情報に応じた様々なセキュリティ対策を講じることは不可能である。
【０００７】
なお、本出願人は、パッチが公開されていないセキュリティホールに対してフィルタリングルール作成し、パッチが公開されるまでフィルタによって防御し、パッチが公開されると前記ルールが削除されるようにした技術を提案しているが、かかる技術においても、ネットワークマシンのマシン情報を取得して、マシンに合わせたルールを作成する機能がなく、やはり幅広い適用性に劣る。
【０００８】
本発明は、上述した課題に鑑みてなされたものであり、ネットワークを構成するネットワークマシンからマシン情報を取得し、このマシン情報を参照しつつ種々のセキュリティ対策を講じることができ、もって柔軟性に優れ、幅広く適用することが可能なセキュリティ管理システムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決するため、このネットワーク管理システムは、ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、前記ネットワークに接続されたネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、前記セキュリティ情報提供部から得られるセキュリティ情報と、前記マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、前記予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムとを備えてなる。
【発明の効果】
【００１０】
本発明によれば、ネットワークを構成するネットワークマシンからマシン情報を取得し、このマシン情報を参照しつつ種々のセキュリティ対策を講じることができ、もって柔軟性に優れ、幅広く適用することが可能なセキュリティ管理装置、セキュリティ管理システム、セキュリティ管理方法、セキュリティ管理プログラムを提供することができるという効果を奏する。
【発明を実施するための最良の形態】
【００１１】
以下に、実施の形態を図面を用いて説明する。
図１は、実施の形態におけるセキュリティ管理システムの全体構成を原理的に示すブロック図、図２は予防システムの全体構成をより詳細に示すブロック図である。本実施の形態では、ネットワーク１内に接続され、ネットワークを構成するネットワークマシン２と、各種情報を提供する情報提供装置３と、ネットワーク１（図４参照）内のネットワークマシン２に対するセキュリティ対策を講じるための予防システム４と、予防システム４と協働して、セキュリティ対策の一部を実行するため、例えばネットワーク１若しくはネットワークマシン２の離隔を行い、或いはそれを解除し、更には必要に応じて被害を受けたネットワーク１若しくはネットワークマシン２を回復させるための回復システム５とを備えて構成される。
【００１２】
なお、図１に示す情報提供装置３、予防システム４、及び回復システム５はネットワークマシン２と同様、インターネットやその他の通信回線を介して相互に接続され得、また、各システムは通常の各種判断、処理を行うことができるコンピュータ（例えばＰＣ）を備えている。ここでは、例えば、ネットワークマシン１はＤＮＳ(Domain Name System)サーバやメールサーバを想定しており、情報提供装置３はＷｅｂページにおいて無償でセキュリティホール情報やパッチ関連情報等を公開しているものとする。情報提供装置３は従来と変らない方式で情報を公開しており、必要に応じて暗号化通信を行うものとする。また、従来のシステムに予防システム４、回復システム３を導入することにより、セキュリティ管理システムによるサービスを開始できる。予防システム４及び回復システム５の導入方法は、購入若しくはレンタルとする。
【００１３】
予防システム４は、図２に示されるように、セキュリティ関連処理の種別とその必要性の有無を判断する診断部（セキュリティ診断部）４１と、各種データベース４２と、ネットワークマシン２を含むネットワーク１の状態を監視するネットワーク監視装置４３と、診断部４１の診断結果に基づいて、例えば回復システム５に予防処置の指示を行う予防実行部４４とを備えている。
診断部４１は、必要に応じてネットワークマシン２、情報提供装置３、各種データベース４２、及びネットワーク監視装置４３からの情報を取得する情報取得部４１１と、情報取得部４１１で得られる情報を検索し、或いは比較する情報検索／比較部４１２と、情報検索／比較部４１２での各種情報の比較結果に基づいて、セキュリティ関連処理の種別とその必要性の有無についての判定を行う判定部４１３とを備えて構成されている。
以下、これらの構成を基本構成として、各種動作を実施の形態に対応させて説明する。なお、実施の形態における予防システムは本発明のセキュリティ管理装置に対応している。
【００１４】
実施の形態１．
図３は実施の形態１を示すブロック構成図、図４はセキュリティ管理が実施されるネットワークを示すブロック図、図５は実施の形態１の動作を示すフローチャートである。
実施の形態１は、情報提供装置により公開されたセキュリティホール情報に基づいてセキュリティ対策を行うようにした場合について説明する。
未公表なものも含まれるセキュリティホール情報が情報提供装置３Ａにより公開された場合（ステップＳ０）、予防システム４Ａの情報取得部４１１（図２）はセキュリティホール情報（セキュリティホール番号、対象ＯＳ名、対象サービス、脆弱性内容等）３ａを情報提供装置３Ａからダウンロードし（ステップＳ１）、当該セキュリティ情報が正当な情報であるかどうかを検証し（ステップＳ２）、正当な情報だけを取り入れる（ステップＳ２、ＹＥＳ）。
【００１５】
このセキュリティ情報が正当なものであるか否かの検証は、例えば、情報自体の信憑性に基づいて行われ、予め発信元の信頼性によりレベル分けを行っておき、所定のレベル以上の信頼性があるとされた発信元からの情報を用いるようにする。また、実際に、実験器具を用いて信頼性を確認することもできる。例えば、実験的にＷｅｂサーバを立ち上げておき、特定の文字列や命令を含み、セキュリティホール情報に該当する状態を作り上げて実証することが行われる。或いは、検証を行う他の方法として、情報自体の正当性（情報が改ざんされていないかどうか）のチェックを行うことによっても行い得る。例えば、付加されている電子署名を検証したり、付加されているハッシュ値を検証することによって行い得る。
【００１６】
また、予防システム４Ａ（診断部４１A）は、ネットワーク１内のマシン情報（マシン名、ＩＰアドレス、アーキテクチャ名、ＯＳ名、インストールされたパッケージ群等）２ａを取得し（ステップＳ３）、当該正当なセキュリティ情報と比較照合することでセキュリティホールがあるマシンの存在を判定し、存在する場合はそのマシンを選択する（ステップＳ４）。なお、マシン情報の一例を図１７に示している。次に、情報提供装置３からの情報に当該キュリティホールの緊急度が高い旨の情報が含まれている場合は、その情報を考慮し、直ちに各種サーバ４２のうちから、フィルタリングデータベース４２Ａを参照して、フィルタリング防御を行うことについて規定されているか否か（フィルタリングデータベースの登録項目にマッチするか否か）を検索して判断し（ステップＳ５）、防御する必要があると判断された場合、対象となるマシンのマシン情報と脆弱性内容をフィルタリングルール作成装置４４１に送信する。フィルタリングデータベースはフィルタリングルールの設定についてのセキュリティポリシーを規定したデータベースである。なお、予防システム４Ａは、フィルタリングルールの作成に所定時間以上要する場合は、脆弱対象となるソフトウェアを取り敢えず停止させるように指示することもできる。
【００１７】
そして、取得した情報を元にフィルタリングルール作成装置４４１はルール番号と対応セキュリティホール番号を含む新規のフィルタリングルール４４１ａを作成し（ステップＳ６）、ルール実行部４４３は、そのルールによってセキュリティホールへのアタックを防御する（ステップＳ７）。またフィルタリングルール作成装置４４１は、その作成された新規ルールをルールデータベース４４２に登録する（ステップＳ８）。本実施の形態におけるフィルタリングルール作成装置４４１は、セキュリティホール情報３ａに該当するネットワークマシンについて、搭載されるソフトウェア“SUNWftpu”に不正文字列「ｘｘｘ」の情報が送信される場合を防止するよう、新規ルールを作成し、ルールデータベース４４２に新規ルールを登録する。
【００１８】
そして、ルール実行部４４３は、ルールデータベース４４２に登録されたルールに基づいて、そのような情報が当該ネットワークマシンに到達するのを防止する。この場合、回復システム５（図２）は、ルール実行部４４３からの指示を受け、例えば、図４に示すネットワークにおいて、ルール設定されたネットワークマシンに不正文字列が外部より送信されてきた場合に、防御装置１１を動作させてそれを遮断させる。なお、図４に示されるネットワークは、複数のネットワークセグメント１Ａ〜１Ｄに離隔装置１２〜１５を介して分割されている。ネットワークの入り口には、防御装置１１（ファイアウォール）が設けられ、また、防御装置１１を介してインタネットＩＮと接続可能なＤＭＺ(Demilitarized Zone)が構築されている。
【００１９】
以上、実施の形態１ではセキュリティ関連処理の種別の一例としてフィルタリングルールの作成について説明したが、通信機器として動作するネットワークマシンに対しては、通信制御のルールを作成して設定するようにしても良い。この通信制御には、例えば到着通信データの流量制御及び発呼制御、ルーティング情報の変更等が挙げられる。
【００２０】
なお、実施の形態１においては、フィルタリングルール作成装置４４１、ルールデータベース４４２及びルール実行部４４３が図２に示した予防実行部４４を構成している。
【００２１】
実施の形態２.
図６は実施の形態２を示すブロック構成図、図７は実施の形態２の動作を示すフローチャートである。
実施の形態２は、情報提供装置により公開されたパッチ関連情報に基づいてセキュリティ対策を行うようにした場合について説明する。
【００２２】
予防システム４Ｂの診断部４１Ｂは、情報提供装置３Ｂから新たなパッチが公開されると（ステップＳ１０）、当該パッチファイルとそのパッチ関連情報（対象セキュリティホール番号、アーキテクチャ名、対象ＯＳ名、対象サービス）３ｂを情報提供装置３Ｂからダウンロードし（ステップＳ１１）、ネットワークマシン２からマシン情報（マシン名、ＩＰアドレス、アーキテクチャ名、ＯＳ名、インストールされたパッケージ群、適用済みパッチ群等）２ｂを取得し（ステップＳ１２）、それらを比較照合することでパッチを充てる必要があるマシンの存在を判定し、そのマシンを選択する（ステップＳ１３）。
【００２３】
次に、パッチ適用データベース４２Ｂを参照しながらパッチを充てることに規定（若しくはパッチを充てることに禁止項目）があるかどうかを判断し（ステップＳ１４）、充てることが問題ないと判断された場合（ステップＳ１４、ＹＥＳ）、診断部４１Ｂからの指示に基づいてパッチ適用部４５１が対象マシンにパッチを適用し（ステップＳ１５）、それと同時に、ルール実行部４４３で実行されるフィルタリングルールがルールデータベース４５２に登録されている場合は、当該パッチに関連するフィルタリングルール４１ｂを削除する（ステップＳ１６）。
【００２４】
パッチ適用後は、パッチ適用に係るマシンの動作がパッチ適用前と変らないことを確認するため、マシンの動作確認を行う。この確認は、診断部４１Ｂにおいて、マシン情報の関連情報として動作情報を取得することで行うようにしても良いし、或いは図１、図２に示した回復システム、若しくは図２に示したネットワーク監視装置で行うようにしても良い。この確認方法の具体例としては、例えば次のようなものが挙げられる。
【００２５】
（１）プロセスの確認
これは、例えばソフトウェアが起動しているかどうかを判断することによって行われる。
（２）サービスやソフトウェアを利用しての確認
これは、例えばＷｅｂサーバならばページが表示されているか否かを判断することによって行うことができる。また、メールサーバならばメールが送受信されているか否かを判断することによって行うことができる。
（３）固有設定の確認
これは、例えばファイアウォールならパケットを拒否できているか否かを判断することによって行うことができる。また、メールサーバならば不正中継が行われているか否かを判断することによって行うことができる。
（４）その他の確認
例えば、マシンのプロファイル（後述の実施の形態３で説明）を用いて動作確認を行うことで行われる。例えば、プロファイルを保存したデータベースを用意しておくと共に、過去の所定期間（例えば一ヶ月）のコンピュータプロセスやネットワークのログをプロファイルデータベースに保存しておき、パッチ適用後に取得したログと比較して相違点をチェックすることにより判断する。
【００２６】
以上の確認において、マシン動作が異常と判断されると、回復システム、或いはパッチ適用部４５１はパッチを排除する処理を行う。
以上の構成において、パッチ適用部４５１とルールデータベース、及びルール実行部４４３からなる予防実行部４４Ｂは、図２における予防実行部４４に相当する。
【００２７】
実施の形態３．
図８は実施の形態３を示すブロック構成図、図９は被害の有無を判断する動作を示す概念図、図１０は実施の形態３の動作を示すフローチャートである。
実施の形態３は、ネットワークマシンの通信ログや挙動に基づいて被害の有無を判断して、そのセキュリティ対策を行うようにした場合について説明する。
【００２８】
実施の形態３において診断部４１Ｃは、ネットワーク監視装置４３において、通信またはマシンの挙動を監視して（ステップＳ２０）、監視内容から送信元ＩＰアドレスや送信先ＩＰアドレス、不正通信の種類および対象サービス等の情報等の通信ログ４３ａを取得し（ステップＳ２１）、ネットワークマシン２からは対象ファイルのハッシュ値やウィルススキャン結果等の診断情報をマシン情報２ｃとして取得する（ステップＳ２２）。そして、それらをアタック（バックドア）／ウィルスデータベース４２１に登録されているウィルス等の挙動内容、シグネチャ等と比較照合し、或いはマシンプロファイルデータベース４２２に登録されている通信プロファイルやプロセスプロファイルと比較照合して被害を受けているか否かを判断する（ステップＳ２３）。被害を受けていると判断された場合（ステップＳ２３、ＹＥＳ）は、被害の拡散性があるか否かを判断する（ステップＳ２４）。この被害の拡散性の判断は、被害を受けているマシンや被害規模の推定とともに行われ、例えば被害を受けているマシンの数若しくは範囲の経時変化を監視することにより判断することができる。拡散性があると判断された場合（ステップＳ２４、ＹＥＳ）は、その被害範囲の同定が行われる（ステップＳ２５）。
【００２９】
そして、被害に拡散性が有ると判断された場合、診断部４１Ｃは、各ネットワークマシンからネットワーク情報（マシンの配置情報、ネットワーク構成、離隔点のＩＰアドレス等）をマシン情報として取得し、その離隔点を決定し、その離隔指示のための離隔情報（アタック元のＩＰアドレス、アタック元のＭＡＣアドレス、遮断すべき通信の種類等）４１ｃを離隔／解除／修復指示部（予防実行部）４４Ｃに送出する（ステップＳ２６）。なお、ここで、離隔とはネットワークマシンからの送信を規制する意味であり、更にこの場合、所定の通信（相手先、データ量）のみを許可したり、許可されていない送信先への通信を不正通信として遮断することなどが含まれる。離隔点は、図４の例においては、離隔装置を特定することにより定められる。
【００３０】
離隔情報を受けた離隔／解除／修復指示部（予防実行部）４４Ｃは回復システム５に離隔情報に基づく離隔指示を送信する。回復システム５は、離隔点となるルータ（離隔装置１２〜１５）に離隔動作を行うよう指示を通知する。この回復システム５からの指示によりルータは離隔点における通信の制限を行う。この通信制御は例えばネットワーク監視装置４３により監視され、診断部４１Ｃでは、取得される通信ログ等に基づき、離隔できたことが図示しない確認部により確認される。その後、回復システム５は、所定の被害については、被害を受けたマシンの修復を行うことができる。また、そのような被害が発生した場合には、それをユーザに通知する構成とすることもできる。また、診断部４１Ｃは、新たな被害をもたらした現象等についてその不正シグネチャ等をアタック／ウィルスデータベース４２１に保存する（ステップＳ２７）。このデータベース４２１に保存された新たな情報は、例えば通信回線を介して他のネットワークにおけるセキュリティを管理する情報提供装置や予防システムに提供されることができ、予防対策を迅速に講じるための情報として使用され得る。
【００３１】
回復システム５により行われる修復には、例えば被害を受けてレジスタ等の設定値が変更された場合に、被害を受ける前の正常な状態（例えばデフォルト値）に戻すような処理が含まれる。また、パッチの未適用部分が判断された場合は、その部分に対しては新たにパッチ適用を行う処理も含まれる。更には、被害を受けた或いは被害の原因となるファイルを削除したり、システムを再起動すること、また、バックアップファイルを用いてもとの状態に戻す（再インストールする）ようなことも行い得る。
【００３２】
なお、被害に拡散性がないと判断された場合（ステップＳ２４、ＮＯ）には、その修復或いはその表示のため、診断部４１Ｃは離隔／解除／修復指示部（予防実行部）４４Ｃにその被害情報を送出し（ステップＳ２８）、離隔／解除／修復指示部４４Ｃは修復指示を回復システム５に送信する。回復システム５は被害の修復を行える場合は、その修復を行う。また、ネットワークマシン２の所有者側に通知を行い、その旨を知らせる。
【００３３】
図９は異常の有無を判断することで被害の有無を判断するための動作をより詳細に示すための図である。例えば、既知のウィルスによる場合は、アタック／ウィルスデータベース４２１に格納されている情報と通信ログ４３ａとから通信内容の異常を判断できる。図９の場合は、例えば不正シグネチャとして“ｘｘｘ”が通信内容４３ａ−２におけるマシン名「Ｓｒｖ０１」のマシンに表れている。これにより、当該マシンがウィルスによる被害を受けていると判断することができる。また、この通信内容の履歴により、被害を受けているマシンが時間と共に増えている場合は拡散性があるものと判断できる。さらに、既知でないウィルス等による被害については、やはり、通信内容の履歴をマシンプロファイルデータベース４２２に格納されている正常通信プロファイルと照合することにより、正常通信プロファイルと異なる履歴が観察される場合に、何らかの被害を受けていると判断することもできる。この判断基準は、例えば所定期間においてなされた全ての通信（送信）における各接続先アドレスの配分比率４３ａ−１と、正常なプロファイルにおけるその配分比率４２２との差異を定量化する規定を作成し、その差異が所定値よりも大きくなったときに異常を判断するようにして定めることができる。
【００３４】
図９においては、これらの配分比率が異なっているため、その比較の対象となったマシンに異常が発生していると判断することができる。また、通信内容の履歴より、そのような異常を有するマシンが増えていると判断されるとその被害は拡散性を有すると判断できるため、そのマシンに対する離隔情報が診断部より送出される。この離隔情報には、例えば当該マシン若しくはそのマシンを含むネットワークセグメントからの全ての送信を遮断する完全遮断モードと、不正シグネチャだけを抑えるドロップモードと、通信量を制限する通信量制限モードとが用意されている。
【００３５】
このようにして、実施の形態３においては、既知のアタック（バックドア）、ウィルスのネットワーク（マシン）への攻撃のみならず、未知の攻撃からもネットワーク（マシン）への攻撃に対する防御を行うことができる。また、未知の攻撃に対して取得された情報を他のネットワークにおけるセキュリティシステムでも使用可能とすることができる。
【００３６】
なお、実施の形態３においては、離隔／解除／修復指示部４４Ｃが図２に示した予防実行部４４を構成している。
【００３７】
実施の形態４.
図１１は実施の形態４を示すブロック構成図、図１２は実施の形態４の動作を示すフローチャートである。
実施の形態４は、新たなネットワークマシン２が接続される場合について説明する。
実施の形態４においては、セキュリティ管理対象となるネットワークに新たなネットワークマシン２が接続されると、当該ネットワークマシン２の付与予定ＩＰアドレスや当該ネットワークマシン２のＭＡＣアドレスによって、とりあえず、そのネットワークマシン２を含むネットワークが最も小さいセグメントで離隔される。しかる後に当該マシン２にＩＰアドレスが与えられる。そして、そのマシンに対しての予防が実行され、若しくは安全性が確認され、ネットワークにおけるそのマシン２の安全性が確保された後、当該マシン２の離隔が解除されるようにしたものである。
【００３８】
すなわち、予防システム４Ｄは、新たなネットワークマシン２がネットワークに設置されると、その接続要求を受け付ける接続要求受付部４５を備え、接続要求がなされると（ステップＳ３１）、診断部４１Ｄは離隔／解除指示部４４Ｄを介して回復システム５により離隔を実行する（ステップＳ３２）。回復システム５は新たなネットワークマシン２が管轄下となる、図４に示したいずれかの離隔装置を動作させて離隔を行う。離隔が実行されると、診断部４１Ｄは、そのマシンのＩＰアドレスやマックアドレスを付与する（ステップＳ３３）。ＩＰアドレス等が付与されると、診断部４１Ｄは、情報提供装置３Ｄからセキュリティ情報３ｄとして、セキュリティホール情報やパッチ関連情報を取得し（ステップＳ３４）、また、ネットワークマシン２からマシン情報２ｄを取得し（ステップＳ３５）、安全性を確保する。
【００３９】
この動作は、実施の形態１や実施の形態２で示したものと同じである。即ち、マシン情報に情報提供装置から得られるセキュリティホール情報やパッチ関連情報に該当するものがあれば（ステップＳ３６、ＹＥＳ）、フィルタリングデータベース（図１の４２Ａ）やパッチ適用データベース（図６の４２Ｂ）を検索し、適宜フィルタリングルールを作成したり、パッチ適用を行うよう動作し、その予防を行う（ステップＳ３７）。このようにして、新たなネットワークマシンの安全性が確保されると、或いは当該マシンがセキュリティホール情報やパッチ関連情報に該当することが無く、安全性を確保する必要性がないと判断された場合（ステップＳ３６、ＮＯ）は、その時点で離隔／解除指示部４４Ｄにより離隔解除指示を出させ（ステップＳ３８）、回復システム５により離隔動作をさせていた離隔装置の離隔動作を解除させる。
【００４０】
実施の形態４においては、離隔／解除指示部４４Ｄが図２に示した予防実行部４４を構成している。
【００４１】
実施の形態５.
図１３は実施の形態５を示すブロック構成図、図１４は実施の形態５の動作を示すフローチャートである。
実施の形態５は、接続されようとするネットワークマシン２Ｅに、例えばブロードキャストを利用するなど、ＩＰアドレスがない状態でマシン情報を送信する機能がインストールされている場合について説明する。
【００４２】
実施の形態５においては、当該新たなネットワークマシン２Ｅがセキュリティ管理対象のネットワークに接続された場合に、予防システム４Ｅは、当該マシン２Ｅからマシン情報を取得し、情報提供装置３Ｅからセキュリティ情報（セキュリティホール情報、パッチ関連情報等）をダウンロードし、予防の必要性の有無を判断する。そして、予防の必要性が無いと判断された場合に、初めてＩＰアドレスを付与し、当該ネットワークマシンの接続を許可する。
【００４３】
即ち、予防システム４Ｅは、接続要求受付部４５と接続可否指示部４６とを備え、接続要求受付部４５がネットワークマシン２Ｅからの接続要求を受け付ける（ステップＳ４０）と共に、診断部４１Ｅがネットワークマシン２Ｅからのマシン情報２ｅを取得すると（ステップＳ４１）、診断部４１Ｅは、情報提供装置３Ｅからセキュリティ情報３ｅを取得し（ステップＳ４２）、マシン情報２ｅと比較する。そして安全性が高く予防の必要性なしと判断された場合（ステップＳ４３、ＮＯ）、初めてＩＰアドレスを付与する（ステップＳ４４）。
【００４４】
一方、安全性が高くなく、予防の必要性があると判断された場合（ステップＳ４３，ＹＥＳ）は、ＩＰアドレスは付与されない（ステップＳ４５）。なお、この場合は、実施の形態４の動作に移ることにより、予防処理が行われてＩＰアドレスが付与される。
【００４５】
なお、この場合のネットワークマシン２Ｅの構成は、ネットワークに接続されたことを判断する接続判断部２１と、接続判断部２１により接続が判断された場合に、自己の情報をマシン情報として収集して取得するマシン情報取得部２２と、マシン情報取得部２２により取得された情報を接続要求と共に予防システム４Ｅ（診断部４１Ｅ）に送信するマシン情報送信部２３とを備えて構成される。
このように、実施の形態５では、ネットワークマシンにＩＰアドレスがない状態でマシン情報を送信する機能がインストールされている場合には、その安全性を確保した後でＩＰアドレス等を付与して接続を許可することでネットワークの安全性が確保される。
【００４６】
実施の形態５においては、接続可否指示部４６が図２に示した予防実行部４４を構成している。
【００４７】
実施の形態６．
図１５は実施の形態６を示すブロック構成図、図１６は実施の形態６の動作を示すフローチャートである。
実施の形態６は、ネットワークマシン２の構成が変更された場合に、その変更が行われたこと機器構成変更通知として送信する機能が当該ネットワークマシンにインストールされている場合について説明する。
【００４８】
このようなネットワークマシン２Ｆにおいてその構成変更が行われると、ネットワークマシン２Ｆは、機器構成変更通知を診断部４１Ｆに送信する（ステップＳ５０）。診断部４１Ｆでは、その機器構成変更通知を受けるとネットワークマシン２Ｆから機器を構成する情報として機器構成情報２ｆを受け取ると共に、ネットワーク内のマシンにおいて使用許可されている機器構成（部品を含む）について、予め登録されている機器構成データベース４２Ｆからその構成情報を読出し（ステップＳ５１）、比較照合して使用許可されている機器構成であるか否かを検証する（ステップＳ５２）。
【００４９】
許可されている構成であれば、そのまま離隔することなく、処理を終了する。一方、許可されていない構成が含まれている場合は、離隔を行う（ステップＳ５３）。この離隔処理は例えば、離隔／解除指示部４４Ｆを介して回復システム５Ｆに離隔処理を行うように通知することで行われる。なお、本実施の形態では、許可された機器構成でないことが判断された時点で離隔を行うようにしたが、機器構成変更通知があった時点（ステップＳ５０）において直ちに離隔を行い、許可された構成であることが判断された（ステップＳ５２）後に、離隔を解除する構成としても良い。
【００５０】
実施の形態６によれば、ネットワークマシンの構成変更により生じる被害を予防することができる。なお、機器構成情報２ｆには、例えば、マシン名、ＤＶＤ／ＣＤ−ＲＯＭ、ネットワークアダプタ、フレキシブルディスク、ＰＳ／２マウス、ＵＳＢフラッシュメモリ等が含まれている。また、ここでの構成変更には、構成部品の追加のみならず、取り外す場合も含まれる。
【００５１】
実施の形態６においては、離隔／解除指示部４４Ｆが図２に示した予防実行部４４を構成している。
【００５２】
実施の形態７．
図１８は本発明の実施の形態７として、各システムの第１の配属構成を示している。
図１８に示す例では、情報サービス提供者（情報提供装置３を有する者）７０が予防システム４と回復システム５を有し、管理サービス提供者７１と一体になっている。情報サービス提供者７０は顧客ネットワーク７２からシステム情報（顧客のネットワークの情報）１０を取得し、独自のセキュリティ情報を用いて顧客ネットワーク７２毎にパッチおよびフィルタリングルール３０を提供する。
【００５３】
実施の形態８.
図１９は本発明の実施の形態８として、各システムの第２の配属構成を示している。
図１９に示す例では、情報サービス提供者７０が予防システム４を有し、管理サービス提供者７１が回復システム５を有する。管理サービス提供者７１は顧客ネットワーク７２からシステム情報（顧客ネットワークの情報）１０Ａを取得し、フィルタリングルール及びパッチ３０が必要なシステム情報１０Ｂだけを情報サービス提供者７０に送信する。情報サービス提供者７０は、独自のセキュリティ情報を用いて顧客ネットワーク７２毎にパッチおよびフィルタリングルール３０を作成し、管理サービス提供者７１に送信し，当該管理サービス提供者７１が顧客ネットワーク７２に当該パッチおよびフィルタリングルールを提供する。
【００５４】
実施の形態９．
図２０は本発明の実施の形態９として、各システムの第３の配属構成を示している。
図２０に示す例では、情報サービス提供者７０はセキュリティ情報３０Ａを送信するだけで、管理サービス提供者７１が予防システム４および回復システム５を有する。管理サービス提供者７１は情報サービス提供者７０からセキュリティ情報３０Ａをダウンロードし、顧客ネットワーク７２からシステム情報（顧客ネットワークの情報）１０Ａを取得し、顧客ネットワーク７２毎にパッチおよびフィルタリングルール３０を作成し、顧客ネットワーク７２に当該パッチおよびフィルタリングルール３０を提供する。
【００５５】
実施の形態１０．
図２１は本発明の実施の形態１０として、各システムの第４の配属構成を示している。
図２１に示す例では、１つの管理サービス提供者７１が４つの情報サービス提供者７０からセキュリティ情報Ｉ２を取得し、被害を受けた顧客ネットワークAの回復を行う。更に、当該管理サービス提供者７１が当該顧客ネットワークＡから被害に関する情報Ｉ１を取得し、当該情報Ｉ１を元にその他３つの顧客ネットワーク１（Ｂ〜Ｄ）の予防に役立てる（被害情報、対策情報をフィードバックすることができる）。また、当該被害に関する情報を４つの情報サービス提供者７０（Ａ〜Ｄ）に送信する。
【００５６】
以上に詳述したように、本発明の実施の形態によれば、予防システム、回復システムおよび情報提供装置が連携することにより、万が一被害を受けても被害範囲の同定を容易に行うことができる。また、回復システム（診断部）により被害離隔および修復が行われ、被害を最小限に抑えると共に、所定の被害については自動的に且つ迅速に修復することが可能となる。またそこで得た被害に関する情報を蓄積し再利用することができるので、同じ被害が異なる場所で生じないようにすることもできる。さらに、単にパッチ適用を行うだけでなく、その後パッチを適用した対象マシンに対して動作確認を自動で行い、パッチ適用を行ったマシンの動作がパッチ適用前と変っていないことをも検証でき、セキュリティ対策として極めて役立ち得るものである。更に、顧客ネットワークに対し、数多くの情報サービス提供者が提供する情報を整理して提供することができ、顧客側にとっては、情報処理の煩雑さが軽減される。
【００５７】
（付記１）ネットワークにおけるセキュリティに関する情報を提供するセキュリティ情報提供部から取得されるセキュリティ情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部と、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行部とを備えてなるセキュリティ管理装置。
（付記２）付記１に記載のセキュリティ管理装置において、
前記セキュリティ診断部は、さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断することを特徴とするセキュリティ管理装置。
（付記３）付記２に記載のセキュリティ管理装置において、
前記マシン関連情報記憶部に記憶されたマシン関連情報は、セキュリティポリシーについて規定した情報であることを特徴とするセキュリティ管理装置。
（付記４）付記３に記載のセキュリティ管理装置において、
前記セキュリティポリシーは、所定のマシン情報についてのフィルタリング防御又は通信制御について規定し、前記セキュリティ実行部はフィルタリング処理又は通信制御を実行することを特徴とするセキュリティ管理装置。
（付記５）付記３に記載のセキュリティ管理装置において、
前記セキュリティポリシーは、所定のプログラムについてのパッチ適用又はワクチン投与について規定し、前記セキュリティ実行部は前記所定のプログラムにパッチ適用処理又はワクチン投与処理を実行することを特徴とするセキュリティ管理装置。
（付記６）付記５に記載のセキュリティ管理装置において、
前記セキュリティ実行部によるセキュリティ対策処理が実行された場合に、その実行結果における前記ネットワークマシン若しくはネットワークにおける動作確認が行われることを特徴とするセキュリティ管理装置。
（付記７）付記５に記載のセキュリティ管理装置において、
前記セキュリティ実行部によるセキュリティ対策処理が実行された場合において、そのセキュリティ対象についてフィルタリングルールが設定されている場合は、そのルールの削除が行われることを特徴とするセキュリティ管理装置。
（付記８）付記１又は付記２に記載のセキュリティ管理装置において、
さらに新規に導入されるネットワークマシンからの接続要求を受け付ける接続要求受付部を備え、前記セキュリティ診断部は、前記接続要求受付部により新規ネットワークマシンからの接続要求を受け付けた場合に、前記マシンを離隔状態として該ネットワークマシンにアドレスを与え、前記マシン情報と前記セキュリティ情報とに基づいて、前記セキュリティ関連処理として前記ネットワークマシンに対する離隔解除を行うか否かを判断することを特徴とするセキュリティ管理装置。
（付記９）付記１又は付記２に記載のセキュリティ管理装置において、
さらに新規に導入されるネットワークマシンからの接続要求を受け付ける接続要求受付部を備え、前記セキュリティ診断部は、前記接続要求受付部により新規ネットワークマシンからの接続要求を受け付けると共に、前記ネットワークマシンからマシン情報を受け付けると、該マシン情報と前記セキュリティ情報とに基づいて、前記セキュリティ関連処理として前記ネットワークマシンに対するアドレス付与の可否を判断することを特徴とするセキュリティ管理装置。
（付記１０）ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報と、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部と、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行部とを備えてなるセキュリティ管理装置。
（付記１１）付記１０に記載のセキュリティ管理装置において、
前記マシン関連情報は、コンピュータウィルスの挙動内容を示す情報を含み、前記マシン情報には所定のファイルのハッシュ値、ウィルススキャン結果の少なくともいずれか一つを含み、
前記セキュリティ診断部は、所定のネットワークマシンについて、離隔する必要性の有無を判断し、前記セキュリティ実行部は前記セキュリティ診断部により前記ネットワークマシンを離隔する必要性があると判断された場合には、前記ネットワークマシンを離隔するための処理を行うことを特徴とするセキュリティ管理装置。
（付記１２）付記１０に記載のセキュリティ管理装置において、
前記ネットワークマシンの通信を監視するネットワーク監視部を備え、
前記マシン関連情報は、ネットワークマシンのプロファイルに関する情報であり、
前記セキュリティ診断部は、前記ネットワーク監視部からの監視情報と前記マシン情報と前記ネットワークマシンのプロファイルに関する情報とに基づいて、所定のネットワークマシンについて、離隔する必要性の有無を判断し、
前記セキュリティ実行部は前記セキュリティ診断部により前記ネットワークマシンを離隔する必要性があると判断した場合には、前記ネットワークマシンを離するための処理を行うことを特徴とするセキュリティ管理装置。
（付記１３）付記１０乃至付記１２のいずれかに記載のセキュリティ管理装置において、
前記セキュリティ診断部は、被害範囲の同定を行い、離隔範囲を定めることを特徴とするセキュリティ管理装置。
（付記１４）付記１０乃至付記１３のいずれかに記載のセキュリティ管理装置において、
前記セキュリティ診断部の診断結果に基づき、所定の被害を受けたネットワークマシン若しくはネットワークに対して修復を行うための修復部が備えられていることを特徴とするセキュリティ管理装置。
（付記１５）付記１０乃至付記１４のいずれかに記載のセキュリティ管理装置において、
被害修復が行われた場合、離隔を解除する離隔解除部が備えられていることを特徴とするセキュリティ管理装置。
（付記１６）付記１０に記載のセキュリティ管理装置において、
前記マシン情報は、機器構成の変更の通知と、少なくともその変更される機器構成の情報を含み、前記マシン関連情報は、前記ネットワークにおいて使用の可否を規定した機器構成情報を含むことを特徴とするセキュリティ管理装置。
（付記１７）付記１６に記載のセキュリティ管理装置において、
前記セキュリティ診断部は、前記ネットワークマシンの離隔のに必要性について判断し、セキュリティ実行部は前記セキュリティ診断部の判断結果に基づいて前記ネットワークマシンを離隔するための処理を行うことを特徴とするセキュリティ管理装置。
（付記１８）ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、
前記セキュリティ情報提供部から得られるセキュリティ情報と、前記マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、
前記予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムと
を備えてなるセキュリティ管理システム。
（付記１９）付記１８に記載のセキュリティ管理システムにおいて、
前記予防システム又は前記回復システムは複数設けられ、これらシステムを統括的に管理する管理センタが設けられていることを特徴とするセキュリティ管理システム。
（付記２０）付記１８に記載のセキュリティ管理システムにおいて、
前記予防システム又は前記回復システムは複数設けられ、これら複数のシステムのそれぞれで取得された情報が互いに共有されることを特徴とするセキュリティ管理システム。
（付記２１）付記１８乃至付記２０のいずれかに記載のセキュリティ管理システムにおいて、
前記セキュリティ情報提供部の所有者側に前記予防システム及び前記回復システムが設けられていることを特徴とするセキュリティ管理システム。
（付記２２）付記１８乃至付記２０のいずれかに記載のセキュリティ管理システムにおいて、
前記セキュリティ情報提供部の所有者側に前記予防システムが設けられ、管理サービスを提供する管理サービス提供者側に前記回復システムが設けられることを特徴とするセキュリティ管理システム。
（付記２３）付記１８乃至付記２０のいずれかに記載のセキュリティ管理システムにおいて、
管理サービスを提供する管理サービス提供者側に前記予防システム及び前記回復システムが設けられることを特徴とするセキュリティ管理システム。
（付記２４）付記１８乃至付記２３のいずれかに記載のセキュリティ管理システムにおいて、
前記回復システムにおいて取得された所定の情報が新たなセキュリティ情報として、前記予防システムにフィードバックされることを特徴とするセキュリティ管理システム。
（付記２５）ネットワークにおけるセキュリティに関するセキュリティ情報を取得するセキュリティ情報取得ステップと、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記セキュリティ情報及び前記マシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断ステップによる診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行ステップと
を備えてなるセキュリティ管理方法。
（付記２６）付記２５に記載のセキュリティ管理方法において、
さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報を取得するマシン関連情報取得ステップを備え、
前記セキュリティ診断ステップでは、前記セキュリティ情報及び前記マシン情報とともに、前記マシン関連情報に基づいて、前記セキュリティ診断を行うことを特徴とするセキュリティ管理方法。
（付記２７）ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部からマシン関連情報を取得するマシン関連情報取得ステップと、
前記マシン情報とマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行ステップと
を備えてなるセキュリティ管理方法。
（付記２８）セキュリティ管理をコンピュータに実行させるセキュリティ管理プログラムであって、
ネットワークにおけるセキュリティに関するセキュリティ情報を取得するセキュリティ情報取得ステップと、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記セキュリティ情報及び前記マシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断ステップによる診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行ステップと
をコンピュータに実行させるセキュリティ管理プログラム。
（付記２９）付記２８に記載のセキュリティ管理プログラムにおいて、
さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報を取得するマシン関連情報取得ステップを備え、
前記セキュリティ診断ステップでは、前記セキュリティ情報及び前記マシン情報とともに、前記マシン関連情報に基づいて、前記セキュリティ診断を行うことをコンピュータに実行させるセキュリティ管理プログラム。
（付記３０）セキュリティ管理をコンピュータに実行させるセキュリティ管理プログラムであって、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部からマシン関連情報を取得するマシン関連情報取得ステップと、
前記マシン情報とマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行ステップと
をコンピュータに実行させるセキュリティ管理プログラム。
【図面の簡単な説明】
【００５８】
【図１】本発明の実施の形態におけるセキュリティ管理システムの全体構成を原理的に示すブロック図である。
【図２】本発明の実施の形態の全体構成を示すブロック図である。
【図３】本発明の実施の形態１を示すブロック図でである。
【図４】セキュリティ管理が実施されるネットワークを示すブロック図である。
【図５】実施の形態１の動作を示すフローチャートである。
【図６】本発明の実施の形態２を示すブロック図である。
【図７】本発明の実施の形態２の動作を示すフローチャートである。
【図８】本発明の実施の形態３を示すブロック図である。
【図９】本発明の実施の形態３において、被害の有無を判断する動作を示す概念図である。
【図１０】本発明の実施の形態３の動作を示すフローチャートである。
【図１１】実施の形態４を示すブロック図である。
【図１２】本発明の実施の形態４の動作を示すフローチャートである。
【図１３】本発明の実施の形態５を示すブロック図である。
【図１４】本発明の実施の形態５の動作を示すフローチャートである。
【図１５】本発明の実施の形態６を示すブロック図である。
【図１６】本発明の実施の形態６の動作を示すフローチャートである。
【図１７】本発明の実施の形態におけるマシン情報の一例を示す図である。
【図１８】本発明の実施の形態７として、各システムの第１の配属構成を示す図である。
【図１９】本発明の実施の形態８として、各システムの第２の配属構成を示す図である。
【図２０】本発明の実施の形態９として、各システムの第３の配属構成を示す図である。
【図２１】本発明の実施の形態１０として、各システムの第４の配属構成を示す図である。
【符号の説明】
【００５９】
１ ネットワーク、２ ネットワークマシン、３ 情報提供装置、４ 予防システム、５ 回復システム、４１ 診断部、４２ 各種データベース、４３ ネットワーク監視装置、４４ 予防実行部、７０ 情報サービス提供者、７１ 管理サービス提供者、７２ 顧客ネットワーク、４１１ 情報取得部、４１２ 情報検索／比較部、４１３ 判定部。
【技術分野】
【０００１】
本発明は、不正アクセスなど、ネットワークシステムに異常をもたらすおそれを排除することができるセキュリティ管理システムに関するものである。
【背景技術】
【０００２】
従来より、セキュリティ管理サービスのための技術として、例えば以下のようなものが知られている。
第１の従来技術は、パッチが適用されるクライアントマシンとクライアントマシンに対するパッチデータやソフトウェアデータを保持するサーバコンピュータから構成されており，サーバコンピュータがクライアントコンピュータに対してパッチを適用するというものである（例えば特許文献１，２参照）。
【０００３】
この動作は以下のように行われる。まず、（１）クライアントコンピュータのソフトウェア情報をサーバコンピュータに登録する。（２）次に、依存するソフトウェア情報をサーバコンピュータに登録する。そして、（３）クライアントコンピュータに対するソフトウェア更新可否を判定するとともに、（４）パッチをサーバコンピュータから配信する。
【０００４】
第２の従来技術は、監視サーバは、監視対象クライアントのウィルスチェックをリモートから実行しその実行結果を受け取り、ウィルスを検出したときは監視対象クライアントへウィルス検出を通知するというものである（例えば、特許文献３参照）。
【０００５】
この動作は以下のように行われる。まず、（１）監視サーバが監視対象クライアントのウィルスチェックの実行／未実行を参照する。（２）監視サーバが未実行の監視対象クライアントに対してウィルスチェックの実行要求を行う。（３）監視サーバが実行結果を受け取る。（４）監視サーバが監視対象クライアントへウィルス検出を通知する。
【特許文献１】特開２００２−５５８３９号公報
【特許文献２】特開２０００−２５０７４３号公報
【特許文献３】特開平１１−３２７８９７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、第１の従来技術では、Webで公開されている様々なセキュリティ情報をマシン情報に応じて選別取得する機能がなく、セキュリティ対策の柔軟性に乏しく、幅広い適用が困難である。同様に第２の従来技術でも、ウィルスチェックのみに限定され、マシン情報に応じた様々なセキュリティ対策を講じることは不可能である。
【０００７】
なお、本出願人は、パッチが公開されていないセキュリティホールに対してフィルタリングルール作成し、パッチが公開されるまでフィルタによって防御し、パッチが公開されると前記ルールが削除されるようにした技術を提案しているが、かかる技術においても、ネットワークマシンのマシン情報を取得して、マシンに合わせたルールを作成する機能がなく、やはり幅広い適用性に劣る。
【０００８】
本発明は、上述した課題に鑑みてなされたものであり、ネットワークを構成するネットワークマシンからマシン情報を取得し、このマシン情報を参照しつつ種々のセキュリティ対策を講じることができ、もって柔軟性に優れ、幅広く適用することが可能なセキュリティ管理システムを提供することを目的とする。
【課題を解決するための手段】
【０００９】
上述した課題を解決するため、このネットワーク管理システムは、ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、前記ネットワークに接続されたネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、前記セキュリティ情報提供部から得られるセキュリティ情報と、前記マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、前記予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムとを備えてなる。
【発明の効果】
【００１０】
本発明によれば、ネットワークを構成するネットワークマシンからマシン情報を取得し、このマシン情報を参照しつつ種々のセキュリティ対策を講じることができ、もって柔軟性に優れ、幅広く適用することが可能なセキュリティ管理装置、セキュリティ管理システム、セキュリティ管理方法、セキュリティ管理プログラムを提供することができるという効果を奏する。
【発明を実施するための最良の形態】
【００１１】
以下に、実施の形態を図面を用いて説明する。
図１は、実施の形態におけるセキュリティ管理システムの全体構成を原理的に示すブロック図、図２は予防システムの全体構成をより詳細に示すブロック図である。本実施の形態では、ネットワーク１内に接続され、ネットワークを構成するネットワークマシン２と、各種情報を提供する情報提供装置３と、ネットワーク１（図４参照）内のネットワークマシン２に対するセキュリティ対策を講じるための予防システム４と、予防システム４と協働して、セキュリティ対策の一部を実行するため、例えばネットワーク１若しくはネットワークマシン２の離隔を行い、或いはそれを解除し、更には必要に応じて被害を受けたネットワーク１若しくはネットワークマシン２を回復させるための回復システム５とを備えて構成される。
【００１２】
なお、図１に示す情報提供装置３、予防システム４、及び回復システム５はネットワークマシン２と同様、インターネットやその他の通信回線を介して相互に接続され得、また、各システムは通常の各種判断、処理を行うことができるコンピュータ（例えばＰＣ）を備えている。ここでは、例えば、ネットワークマシン１はＤＮＳ(Domain Name System)サーバやメールサーバを想定しており、情報提供装置３はＷｅｂページにおいて無償でセキュリティホール情報やパッチ関連情報等を公開しているものとする。情報提供装置３は従来と変らない方式で情報を公開しており、必要に応じて暗号化通信を行うものとする。また、従来のシステムに予防システム４、回復システム３を導入することにより、セキュリティ管理システムによるサービスを開始できる。予防システム４及び回復システム５の導入方法は、購入若しくはレンタルとする。
【００１３】
予防システム４は、図２に示されるように、セキュリティ関連処理の種別とその必要性の有無を判断する診断部（セキュリティ診断部）４１と、各種データベース４２と、ネットワークマシン２を含むネットワーク１の状態を監視するネットワーク監視装置４３と、診断部４１の診断結果に基づいて、例えば回復システム５に予防処置の指示を行う予防実行部４４とを備えている。
診断部４１は、必要に応じてネットワークマシン２、情報提供装置３、各種データベース４２、及びネットワーク監視装置４３からの情報を取得する情報取得部４１１と、情報取得部４１１で得られる情報を検索し、或いは比較する情報検索／比較部４１２と、情報検索／比較部４１２での各種情報の比較結果に基づいて、セキュリティ関連処理の種別とその必要性の有無についての判定を行う判定部４１３とを備えて構成されている。
以下、これらの構成を基本構成として、各種動作を実施の形態に対応させて説明する。なお、実施の形態における予防システムは本発明のセキュリティ管理装置に対応している。
【００１４】
実施の形態１．
図３は実施の形態１を示すブロック構成図、図４はセキュリティ管理が実施されるネットワークを示すブロック図、図５は実施の形態１の動作を示すフローチャートである。
実施の形態１は、情報提供装置により公開されたセキュリティホール情報に基づいてセキュリティ対策を行うようにした場合について説明する。
未公表なものも含まれるセキュリティホール情報が情報提供装置３Ａにより公開された場合（ステップＳ０）、予防システム４Ａの情報取得部４１１（図２）はセキュリティホール情報（セキュリティホール番号、対象ＯＳ名、対象サービス、脆弱性内容等）３ａを情報提供装置３Ａからダウンロードし（ステップＳ１）、当該セキュリティ情報が正当な情報であるかどうかを検証し（ステップＳ２）、正当な情報だけを取り入れる（ステップＳ２、ＹＥＳ）。
【００１５】
このセキュリティ情報が正当なものであるか否かの検証は、例えば、情報自体の信憑性に基づいて行われ、予め発信元の信頼性によりレベル分けを行っておき、所定のレベル以上の信頼性があるとされた発信元からの情報を用いるようにする。また、実際に、実験器具を用いて信頼性を確認することもできる。例えば、実験的にＷｅｂサーバを立ち上げておき、特定の文字列や命令を含み、セキュリティホール情報に該当する状態を作り上げて実証することが行われる。或いは、検証を行う他の方法として、情報自体の正当性（情報が改ざんされていないかどうか）のチェックを行うことによっても行い得る。例えば、付加されている電子署名を検証したり、付加されているハッシュ値を検証することによって行い得る。
【００１６】
また、予防システム４Ａ（診断部４１A）は、ネットワーク１内のマシン情報（マシン名、ＩＰアドレス、アーキテクチャ名、ＯＳ名、インストールされたパッケージ群等）２ａを取得し（ステップＳ３）、当該正当なセキュリティ情報と比較照合することでセキュリティホールがあるマシンの存在を判定し、存在する場合はそのマシンを選択する（ステップＳ４）。なお、マシン情報の一例を図１７に示している。次に、情報提供装置３からの情報に当該キュリティホールの緊急度が高い旨の情報が含まれている場合は、その情報を考慮し、直ちに各種サーバ４２のうちから、フィルタリングデータベース４２Ａを参照して、フィルタリング防御を行うことについて規定されているか否か（フィルタリングデータベースの登録項目にマッチするか否か）を検索して判断し（ステップＳ５）、防御する必要があると判断された場合、対象となるマシンのマシン情報と脆弱性内容をフィルタリングルール作成装置４４１に送信する。フィルタリングデータベースはフィルタリングルールの設定についてのセキュリティポリシーを規定したデータベースである。なお、予防システム４Ａは、フィルタリングルールの作成に所定時間以上要する場合は、脆弱対象となるソフトウェアを取り敢えず停止させるように指示することもできる。
【００１７】
そして、取得した情報を元にフィルタリングルール作成装置４４１はルール番号と対応セキュリティホール番号を含む新規のフィルタリングルール４４１ａを作成し（ステップＳ６）、ルール実行部４４３は、そのルールによってセキュリティホールへのアタックを防御する（ステップＳ７）。またフィルタリングルール作成装置４４１は、その作成された新規ルールをルールデータベース４４２に登録する（ステップＳ８）。本実施の形態におけるフィルタリングルール作成装置４４１は、セキュリティホール情報３ａに該当するネットワークマシンについて、搭載されるソフトウェア“SUNWftpu”に不正文字列「ｘｘｘ」の情報が送信される場合を防止するよう、新規ルールを作成し、ルールデータベース４４２に新規ルールを登録する。
【００１８】
そして、ルール実行部４４３は、ルールデータベース４４２に登録されたルールに基づいて、そのような情報が当該ネットワークマシンに到達するのを防止する。この場合、回復システム５（図２）は、ルール実行部４４３からの指示を受け、例えば、図４に示すネットワークにおいて、ルール設定されたネットワークマシンに不正文字列が外部より送信されてきた場合に、防御装置１１を動作させてそれを遮断させる。なお、図４に示されるネットワークは、複数のネットワークセグメント１Ａ〜１Ｄに離隔装置１２〜１５を介して分割されている。ネットワークの入り口には、防御装置１１（ファイアウォール）が設けられ、また、防御装置１１を介してインタネットＩＮと接続可能なＤＭＺ(Demilitarized Zone)が構築されている。
【００１９】
以上、実施の形態１ではセキュリティ関連処理の種別の一例としてフィルタリングルールの作成について説明したが、通信機器として動作するネットワークマシンに対しては、通信制御のルールを作成して設定するようにしても良い。この通信制御には、例えば到着通信データの流量制御及び発呼制御、ルーティング情報の変更等が挙げられる。
【００２０】
なお、実施の形態１においては、フィルタリングルール作成装置４４１、ルールデータベース４４２及びルール実行部４４３が図２に示した予防実行部４４を構成している。
【００２１】
実施の形態２.
図６は実施の形態２を示すブロック構成図、図７は実施の形態２の動作を示すフローチャートである。
実施の形態２は、情報提供装置により公開されたパッチ関連情報に基づいてセキュリティ対策を行うようにした場合について説明する。
【００２２】
予防システム４Ｂの診断部４１Ｂは、情報提供装置３Ｂから新たなパッチが公開されると（ステップＳ１０）、当該パッチファイルとそのパッチ関連情報（対象セキュリティホール番号、アーキテクチャ名、対象ＯＳ名、対象サービス）３ｂを情報提供装置３Ｂからダウンロードし（ステップＳ１１）、ネットワークマシン２からマシン情報（マシン名、ＩＰアドレス、アーキテクチャ名、ＯＳ名、インストールされたパッケージ群、適用済みパッチ群等）２ｂを取得し（ステップＳ１２）、それらを比較照合することでパッチを充てる必要があるマシンの存在を判定し、そのマシンを選択する（ステップＳ１３）。
【００２３】
次に、パッチ適用データベース４２Ｂを参照しながらパッチを充てることに規定（若しくはパッチを充てることに禁止項目）があるかどうかを判断し（ステップＳ１４）、充てることが問題ないと判断された場合（ステップＳ１４、ＹＥＳ）、診断部４１Ｂからの指示に基づいてパッチ適用部４５１が対象マシンにパッチを適用し（ステップＳ１５）、それと同時に、ルール実行部４４３で実行されるフィルタリングルールがルールデータベース４５２に登録されている場合は、当該パッチに関連するフィルタリングルール４１ｂを削除する（ステップＳ１６）。
【００２４】
パッチ適用後は、パッチ適用に係るマシンの動作がパッチ適用前と変らないことを確認するため、マシンの動作確認を行う。この確認は、診断部４１Ｂにおいて、マシン情報の関連情報として動作情報を取得することで行うようにしても良いし、或いは図１、図２に示した回復システム、若しくは図２に示したネットワーク監視装置で行うようにしても良い。この確認方法の具体例としては、例えば次のようなものが挙げられる。
【００２５】
（１）プロセスの確認
これは、例えばソフトウェアが起動しているかどうかを判断することによって行われる。
（２）サービスやソフトウェアを利用しての確認
これは、例えばＷｅｂサーバならばページが表示されているか否かを判断することによって行うことができる。また、メールサーバならばメールが送受信されているか否かを判断することによって行うことができる。
（３）固有設定の確認
これは、例えばファイアウォールならパケットを拒否できているか否かを判断することによって行うことができる。また、メールサーバならば不正中継が行われているか否かを判断することによって行うことができる。
（４）その他の確認
例えば、マシンのプロファイル（後述の実施の形態３で説明）を用いて動作確認を行うことで行われる。例えば、プロファイルを保存したデータベースを用意しておくと共に、過去の所定期間（例えば一ヶ月）のコンピュータプロセスやネットワークのログをプロファイルデータベースに保存しておき、パッチ適用後に取得したログと比較して相違点をチェックすることにより判断する。
【００２６】
以上の確認において、マシン動作が異常と判断されると、回復システム、或いはパッチ適用部４５１はパッチを排除する処理を行う。
以上の構成において、パッチ適用部４５１とルールデータベース、及びルール実行部４４３からなる予防実行部４４Ｂは、図２における予防実行部４４に相当する。
【００２７】
実施の形態３．
図８は実施の形態３を示すブロック構成図、図９は被害の有無を判断する動作を示す概念図、図１０は実施の形態３の動作を示すフローチャートである。
実施の形態３は、ネットワークマシンの通信ログや挙動に基づいて被害の有無を判断して、そのセキュリティ対策を行うようにした場合について説明する。
【００２８】
実施の形態３において診断部４１Ｃは、ネットワーク監視装置４３において、通信またはマシンの挙動を監視して（ステップＳ２０）、監視内容から送信元ＩＰアドレスや送信先ＩＰアドレス、不正通信の種類および対象サービス等の情報等の通信ログ４３ａを取得し（ステップＳ２１）、ネットワークマシン２からは対象ファイルのハッシュ値やウィルススキャン結果等の診断情報をマシン情報２ｃとして取得する（ステップＳ２２）。そして、それらをアタック（バックドア）／ウィルスデータベース４２１に登録されているウィルス等の挙動内容、シグネチャ等と比較照合し、或いはマシンプロファイルデータベース４２２に登録されている通信プロファイルやプロセスプロファイルと比較照合して被害を受けているか否かを判断する（ステップＳ２３）。被害を受けていると判断された場合（ステップＳ２３、ＹＥＳ）は、被害の拡散性があるか否かを判断する（ステップＳ２４）。この被害の拡散性の判断は、被害を受けているマシンや被害規模の推定とともに行われ、例えば被害を受けているマシンの数若しくは範囲の経時変化を監視することにより判断することができる。拡散性があると判断された場合（ステップＳ２４、ＹＥＳ）は、その被害範囲の同定が行われる（ステップＳ２５）。
【００２９】
そして、被害に拡散性が有ると判断された場合、診断部４１Ｃは、各ネットワークマシンからネットワーク情報（マシンの配置情報、ネットワーク構成、離隔点のＩＰアドレス等）をマシン情報として取得し、その離隔点を決定し、その離隔指示のための離隔情報（アタック元のＩＰアドレス、アタック元のＭＡＣアドレス、遮断すべき通信の種類等）４１ｃを離隔／解除／修復指示部（予防実行部）４４Ｃに送出する（ステップＳ２６）。なお、ここで、離隔とはネットワークマシンからの送信を規制する意味であり、更にこの場合、所定の通信（相手先、データ量）のみを許可したり、許可されていない送信先への通信を不正通信として遮断することなどが含まれる。離隔点は、図４の例においては、離隔装置を特定することにより定められる。
【００３０】
離隔情報を受けた離隔／解除／修復指示部（予防実行部）４４Ｃは回復システム５に離隔情報に基づく離隔指示を送信する。回復システム５は、離隔点となるルータ（離隔装置１２〜１５）に離隔動作を行うよう指示を通知する。この回復システム５からの指示によりルータは離隔点における通信の制限を行う。この通信制御は例えばネットワーク監視装置４３により監視され、診断部４１Ｃでは、取得される通信ログ等に基づき、離隔できたことが図示しない確認部により確認される。その後、回復システム５は、所定の被害については、被害を受けたマシンの修復を行うことができる。また、そのような被害が発生した場合には、それをユーザに通知する構成とすることもできる。また、診断部４１Ｃは、新たな被害をもたらした現象等についてその不正シグネチャ等をアタック／ウィルスデータベース４２１に保存する（ステップＳ２７）。このデータベース４２１に保存された新たな情報は、例えば通信回線を介して他のネットワークにおけるセキュリティを管理する情報提供装置や予防システムに提供されることができ、予防対策を迅速に講じるための情報として使用され得る。
【００３１】
回復システム５により行われる修復には、例えば被害を受けてレジスタ等の設定値が変更された場合に、被害を受ける前の正常な状態（例えばデフォルト値）に戻すような処理が含まれる。また、パッチの未適用部分が判断された場合は、その部分に対しては新たにパッチ適用を行う処理も含まれる。更には、被害を受けた或いは被害の原因となるファイルを削除したり、システムを再起動すること、また、バックアップファイルを用いてもとの状態に戻す（再インストールする）ようなことも行い得る。
【００３２】
なお、被害に拡散性がないと判断された場合（ステップＳ２４、ＮＯ）には、その修復或いはその表示のため、診断部４１Ｃは離隔／解除／修復指示部（予防実行部）４４Ｃにその被害情報を送出し（ステップＳ２８）、離隔／解除／修復指示部４４Ｃは修復指示を回復システム５に送信する。回復システム５は被害の修復を行える場合は、その修復を行う。また、ネットワークマシン２の所有者側に通知を行い、その旨を知らせる。
【００３３】
図９は異常の有無を判断することで被害の有無を判断するための動作をより詳細に示すための図である。例えば、既知のウィルスによる場合は、アタック／ウィルスデータベース４２１に格納されている情報と通信ログ４３ａとから通信内容の異常を判断できる。図９の場合は、例えば不正シグネチャとして“ｘｘｘ”が通信内容４３ａ−２におけるマシン名「Ｓｒｖ０１」のマシンに表れている。これにより、当該マシンがウィルスによる被害を受けていると判断することができる。また、この通信内容の履歴により、被害を受けているマシンが時間と共に増えている場合は拡散性があるものと判断できる。さらに、既知でないウィルス等による被害については、やはり、通信内容の履歴をマシンプロファイルデータベース４２２に格納されている正常通信プロファイルと照合することにより、正常通信プロファイルと異なる履歴が観察される場合に、何らかの被害を受けていると判断することもできる。この判断基準は、例えば所定期間においてなされた全ての通信（送信）における各接続先アドレスの配分比率４３ａ−１と、正常なプロファイルにおけるその配分比率４２２との差異を定量化する規定を作成し、その差異が所定値よりも大きくなったときに異常を判断するようにして定めることができる。
【００３４】
図９においては、これらの配分比率が異なっているため、その比較の対象となったマシンに異常が発生していると判断することができる。また、通信内容の履歴より、そのような異常を有するマシンが増えていると判断されるとその被害は拡散性を有すると判断できるため、そのマシンに対する離隔情報が診断部より送出される。この離隔情報には、例えば当該マシン若しくはそのマシンを含むネットワークセグメントからの全ての送信を遮断する完全遮断モードと、不正シグネチャだけを抑えるドロップモードと、通信量を制限する通信量制限モードとが用意されている。
【００３５】
このようにして、実施の形態３においては、既知のアタック（バックドア）、ウィルスのネットワーク（マシン）への攻撃のみならず、未知の攻撃からもネットワーク（マシン）への攻撃に対する防御を行うことができる。また、未知の攻撃に対して取得された情報を他のネットワークにおけるセキュリティシステムでも使用可能とすることができる。
【００３６】
なお、実施の形態３においては、離隔／解除／修復指示部４４Ｃが図２に示した予防実行部４４を構成している。
【００３７】
実施の形態４.
図１１は実施の形態４を示すブロック構成図、図１２は実施の形態４の動作を示すフローチャートである。
実施の形態４は、新たなネットワークマシン２が接続される場合について説明する。
実施の形態４においては、セキュリティ管理対象となるネットワークに新たなネットワークマシン２が接続されると、当該ネットワークマシン２の付与予定ＩＰアドレスや当該ネットワークマシン２のＭＡＣアドレスによって、とりあえず、そのネットワークマシン２を含むネットワークが最も小さいセグメントで離隔される。しかる後に当該マシン２にＩＰアドレスが与えられる。そして、そのマシンに対しての予防が実行され、若しくは安全性が確認され、ネットワークにおけるそのマシン２の安全性が確保された後、当該マシン２の離隔が解除されるようにしたものである。
【００３８】
すなわち、予防システム４Ｄは、新たなネットワークマシン２がネットワークに設置されると、その接続要求を受け付ける接続要求受付部４５を備え、接続要求がなされると（ステップＳ３１）、診断部４１Ｄは離隔／解除指示部４４Ｄを介して回復システム５により離隔を実行する（ステップＳ３２）。回復システム５は新たなネットワークマシン２が管轄下となる、図４に示したいずれかの離隔装置を動作させて離隔を行う。離隔が実行されると、診断部４１Ｄは、そのマシンのＩＰアドレスやマックアドレスを付与する（ステップＳ３３）。ＩＰアドレス等が付与されると、診断部４１Ｄは、情報提供装置３Ｄからセキュリティ情報３ｄとして、セキュリティホール情報やパッチ関連情報を取得し（ステップＳ３４）、また、ネットワークマシン２からマシン情報２ｄを取得し（ステップＳ３５）、安全性を確保する。
【００３９】
この動作は、実施の形態１や実施の形態２で示したものと同じである。即ち、マシン情報に情報提供装置から得られるセキュリティホール情報やパッチ関連情報に該当するものがあれば（ステップＳ３６、ＹＥＳ）、フィルタリングデータベース（図１の４２Ａ）やパッチ適用データベース（図６の４２Ｂ）を検索し、適宜フィルタリングルールを作成したり、パッチ適用を行うよう動作し、その予防を行う（ステップＳ３７）。このようにして、新たなネットワークマシンの安全性が確保されると、或いは当該マシンがセキュリティホール情報やパッチ関連情報に該当することが無く、安全性を確保する必要性がないと判断された場合（ステップＳ３６、ＮＯ）は、その時点で離隔／解除指示部４４Ｄにより離隔解除指示を出させ（ステップＳ３８）、回復システム５により離隔動作をさせていた離隔装置の離隔動作を解除させる。
【００４０】
実施の形態４においては、離隔／解除指示部４４Ｄが図２に示した予防実行部４４を構成している。
【００４１】
実施の形態５.
図１３は実施の形態５を示すブロック構成図、図１４は実施の形態５の動作を示すフローチャートである。
実施の形態５は、接続されようとするネットワークマシン２Ｅに、例えばブロードキャストを利用するなど、ＩＰアドレスがない状態でマシン情報を送信する機能がインストールされている場合について説明する。
【００４２】
実施の形態５においては、当該新たなネットワークマシン２Ｅがセキュリティ管理対象のネットワークに接続された場合に、予防システム４Ｅは、当該マシン２Ｅからマシン情報を取得し、情報提供装置３Ｅからセキュリティ情報（セキュリティホール情報、パッチ関連情報等）をダウンロードし、予防の必要性の有無を判断する。そして、予防の必要性が無いと判断された場合に、初めてＩＰアドレスを付与し、当該ネットワークマシンの接続を許可する。
【００４３】
即ち、予防システム４Ｅは、接続要求受付部４５と接続可否指示部４６とを備え、接続要求受付部４５がネットワークマシン２Ｅからの接続要求を受け付ける（ステップＳ４０）と共に、診断部４１Ｅがネットワークマシン２Ｅからのマシン情報２ｅを取得すると（ステップＳ４１）、診断部４１Ｅは、情報提供装置３Ｅからセキュリティ情報３ｅを取得し（ステップＳ４２）、マシン情報２ｅと比較する。そして安全性が高く予防の必要性なしと判断された場合（ステップＳ４３、ＮＯ）、初めてＩＰアドレスを付与する（ステップＳ４４）。
【００４４】
一方、安全性が高くなく、予防の必要性があると判断された場合（ステップＳ４３，ＹＥＳ）は、ＩＰアドレスは付与されない（ステップＳ４５）。なお、この場合は、実施の形態４の動作に移ることにより、予防処理が行われてＩＰアドレスが付与される。
【００４５】
なお、この場合のネットワークマシン２Ｅの構成は、ネットワークに接続されたことを判断する接続判断部２１と、接続判断部２１により接続が判断された場合に、自己の情報をマシン情報として収集して取得するマシン情報取得部２２と、マシン情報取得部２２により取得された情報を接続要求と共に予防システム４Ｅ（診断部４１Ｅ）に送信するマシン情報送信部２３とを備えて構成される。
このように、実施の形態５では、ネットワークマシンにＩＰアドレスがない状態でマシン情報を送信する機能がインストールされている場合には、その安全性を確保した後でＩＰアドレス等を付与して接続を許可することでネットワークの安全性が確保される。
【００４６】
実施の形態５においては、接続可否指示部４６が図２に示した予防実行部４４を構成している。
【００４７】
実施の形態６．
図１５は実施の形態６を示すブロック構成図、図１６は実施の形態６の動作を示すフローチャートである。
実施の形態６は、ネットワークマシン２の構成が変更された場合に、その変更が行われたこと機器構成変更通知として送信する機能が当該ネットワークマシンにインストールされている場合について説明する。
【００４８】
このようなネットワークマシン２Ｆにおいてその構成変更が行われると、ネットワークマシン２Ｆは、機器構成変更通知を診断部４１Ｆに送信する（ステップＳ５０）。診断部４１Ｆでは、その機器構成変更通知を受けるとネットワークマシン２Ｆから機器を構成する情報として機器構成情報２ｆを受け取ると共に、ネットワーク内のマシンにおいて使用許可されている機器構成（部品を含む）について、予め登録されている機器構成データベース４２Ｆからその構成情報を読出し（ステップＳ５１）、比較照合して使用許可されている機器構成であるか否かを検証する（ステップＳ５２）。
【００４９】
許可されている構成であれば、そのまま離隔することなく、処理を終了する。一方、許可されていない構成が含まれている場合は、離隔を行う（ステップＳ５３）。この離隔処理は例えば、離隔／解除指示部４４Ｆを介して回復システム５Ｆに離隔処理を行うように通知することで行われる。なお、本実施の形態では、許可された機器構成でないことが判断された時点で離隔を行うようにしたが、機器構成変更通知があった時点（ステップＳ５０）において直ちに離隔を行い、許可された構成であることが判断された（ステップＳ５２）後に、離隔を解除する構成としても良い。
【００５０】
実施の形態６によれば、ネットワークマシンの構成変更により生じる被害を予防することができる。なお、機器構成情報２ｆには、例えば、マシン名、ＤＶＤ／ＣＤ−ＲＯＭ、ネットワークアダプタ、フレキシブルディスク、ＰＳ／２マウス、ＵＳＢフラッシュメモリ等が含まれている。また、ここでの構成変更には、構成部品の追加のみならず、取り外す場合も含まれる。
【００５１】
実施の形態６においては、離隔／解除指示部４４Ｆが図２に示した予防実行部４４を構成している。
【００５２】
実施の形態７．
図１８は本発明の実施の形態７として、各システムの第１の配属構成を示している。
図１８に示す例では、情報サービス提供者（情報提供装置３を有する者）７０が予防システム４と回復システム５を有し、管理サービス提供者７１と一体になっている。情報サービス提供者７０は顧客ネットワーク７２からシステム情報（顧客のネットワークの情報）１０を取得し、独自のセキュリティ情報を用いて顧客ネットワーク７２毎にパッチおよびフィルタリングルール３０を提供する。
【００５３】
実施の形態８.
図１９は本発明の実施の形態８として、各システムの第２の配属構成を示している。
図１９に示す例では、情報サービス提供者７０が予防システム４を有し、管理サービス提供者７１が回復システム５を有する。管理サービス提供者７１は顧客ネットワーク７２からシステム情報（顧客ネットワークの情報）１０Ａを取得し、フィルタリングルール及びパッチ３０が必要なシステム情報１０Ｂだけを情報サービス提供者７０に送信する。情報サービス提供者７０は、独自のセキュリティ情報を用いて顧客ネットワーク７２毎にパッチおよびフィルタリングルール３０を作成し、管理サービス提供者７１に送信し，当該管理サービス提供者７１が顧客ネットワーク７２に当該パッチおよびフィルタリングルールを提供する。
【００５４】
実施の形態９．
図２０は本発明の実施の形態９として、各システムの第３の配属構成を示している。
図２０に示す例では、情報サービス提供者７０はセキュリティ情報３０Ａを送信するだけで、管理サービス提供者７１が予防システム４および回復システム５を有する。管理サービス提供者７１は情報サービス提供者７０からセキュリティ情報３０Ａをダウンロードし、顧客ネットワーク７２からシステム情報（顧客ネットワークの情報）１０Ａを取得し、顧客ネットワーク７２毎にパッチおよびフィルタリングルール３０を作成し、顧客ネットワーク７２に当該パッチおよびフィルタリングルール３０を提供する。
【００５５】
実施の形態１０．
図２１は本発明の実施の形態１０として、各システムの第４の配属構成を示している。
図２１に示す例では、１つの管理サービス提供者７１が４つの情報サービス提供者７０からセキュリティ情報Ｉ２を取得し、被害を受けた顧客ネットワークAの回復を行う。更に、当該管理サービス提供者７１が当該顧客ネットワークＡから被害に関する情報Ｉ１を取得し、当該情報Ｉ１を元にその他３つの顧客ネットワーク１（Ｂ〜Ｄ）の予防に役立てる（被害情報、対策情報をフィードバックすることができる）。また、当該被害に関する情報を４つの情報サービス提供者７０（Ａ〜Ｄ）に送信する。
【００５６】
以上に詳述したように、本発明の実施の形態によれば、予防システム、回復システムおよび情報提供装置が連携することにより、万が一被害を受けても被害範囲の同定を容易に行うことができる。また、回復システム（診断部）により被害離隔および修復が行われ、被害を最小限に抑えると共に、所定の被害については自動的に且つ迅速に修復することが可能となる。またそこで得た被害に関する情報を蓄積し再利用することができるので、同じ被害が異なる場所で生じないようにすることもできる。さらに、単にパッチ適用を行うだけでなく、その後パッチを適用した対象マシンに対して動作確認を自動で行い、パッチ適用を行ったマシンの動作がパッチ適用前と変っていないことをも検証でき、セキュリティ対策として極めて役立ち得るものである。更に、顧客ネットワークに対し、数多くの情報サービス提供者が提供する情報を整理して提供することができ、顧客側にとっては、情報処理の煩雑さが軽減される。
【００５７】
（付記１）ネットワークにおけるセキュリティに関する情報を提供するセキュリティ情報提供部から取得されるセキュリティ情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部と、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行部とを備えてなるセキュリティ管理装置。
（付記２）付記１に記載のセキュリティ管理装置において、
前記セキュリティ診断部は、さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断することを特徴とするセキュリティ管理装置。
（付記３）付記２に記載のセキュリティ管理装置において、
前記マシン関連情報記憶部に記憶されたマシン関連情報は、セキュリティポリシーについて規定した情報であることを特徴とするセキュリティ管理装置。
（付記４）付記３に記載のセキュリティ管理装置において、
前記セキュリティポリシーは、所定のマシン情報についてのフィルタリング防御又は通信制御について規定し、前記セキュリティ実行部はフィルタリング処理又は通信制御を実行することを特徴とするセキュリティ管理装置。
（付記５）付記３に記載のセキュリティ管理装置において、
前記セキュリティポリシーは、所定のプログラムについてのパッチ適用又はワクチン投与について規定し、前記セキュリティ実行部は前記所定のプログラムにパッチ適用処理又はワクチン投与処理を実行することを特徴とするセキュリティ管理装置。
（付記６）付記５に記載のセキュリティ管理装置において、
前記セキュリティ実行部によるセキュリティ対策処理が実行された場合に、その実行結果における前記ネットワークマシン若しくはネットワークにおける動作確認が行われることを特徴とするセキュリティ管理装置。
（付記７）付記５に記載のセキュリティ管理装置において、
前記セキュリティ実行部によるセキュリティ対策処理が実行された場合において、そのセキュリティ対象についてフィルタリングルールが設定されている場合は、そのルールの削除が行われることを特徴とするセキュリティ管理装置。
（付記８）付記１又は付記２に記載のセキュリティ管理装置において、
さらに新規に導入されるネットワークマシンからの接続要求を受け付ける接続要求受付部を備え、前記セキュリティ診断部は、前記接続要求受付部により新規ネットワークマシンからの接続要求を受け付けた場合に、前記マシンを離隔状態として該ネットワークマシンにアドレスを与え、前記マシン情報と前記セキュリティ情報とに基づいて、前記セキュリティ関連処理として前記ネットワークマシンに対する離隔解除を行うか否かを判断することを特徴とするセキュリティ管理装置。
（付記９）付記１又は付記２に記載のセキュリティ管理装置において、
さらに新規に導入されるネットワークマシンからの接続要求を受け付ける接続要求受付部を備え、前記セキュリティ診断部は、前記接続要求受付部により新規ネットワークマシンからの接続要求を受け付けると共に、前記ネットワークマシンからマシン情報を受け付けると、該マシン情報と前記セキュリティ情報とに基づいて、前記セキュリティ関連処理として前記ネットワークマシンに対するアドレス付与の可否を判断することを特徴とするセキュリティ管理装置。
（付記１０）ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報と、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断部と、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行部とを備えてなるセキュリティ管理装置。
（付記１１）付記１０に記載のセキュリティ管理装置において、
前記マシン関連情報は、コンピュータウィルスの挙動内容を示す情報を含み、前記マシン情報には所定のファイルのハッシュ値、ウィルススキャン結果の少なくともいずれか一つを含み、
前記セキュリティ診断部は、所定のネットワークマシンについて、離隔する必要性の有無を判断し、前記セキュリティ実行部は前記セキュリティ診断部により前記ネットワークマシンを離隔する必要性があると判断された場合には、前記ネットワークマシンを離隔するための処理を行うことを特徴とするセキュリティ管理装置。
（付記１２）付記１０に記載のセキュリティ管理装置において、
前記ネットワークマシンの通信を監視するネットワーク監視部を備え、
前記マシン関連情報は、ネットワークマシンのプロファイルに関する情報であり、
前記セキュリティ診断部は、前記ネットワーク監視部からの監視情報と前記マシン情報と前記ネットワークマシンのプロファイルに関する情報とに基づいて、所定のネットワークマシンについて、離隔する必要性の有無を判断し、
前記セキュリティ実行部は前記セキュリティ診断部により前記ネットワークマシンを離隔する必要性があると判断した場合には、前記ネットワークマシンを離するための処理を行うことを特徴とするセキュリティ管理装置。
（付記１３）付記１０乃至付記１２のいずれかに記載のセキュリティ管理装置において、
前記セキュリティ診断部は、被害範囲の同定を行い、離隔範囲を定めることを特徴とするセキュリティ管理装置。
（付記１４）付記１０乃至付記１３のいずれかに記載のセキュリティ管理装置において、
前記セキュリティ診断部の診断結果に基づき、所定の被害を受けたネットワークマシン若しくはネットワークに対して修復を行うための修復部が備えられていることを特徴とするセキュリティ管理装置。
（付記１５）付記１０乃至付記１４のいずれかに記載のセキュリティ管理装置において、
被害修復が行われた場合、離隔を解除する離隔解除部が備えられていることを特徴とするセキュリティ管理装置。
（付記１６）付記１０に記載のセキュリティ管理装置において、
前記マシン情報は、機器構成の変更の通知と、少なくともその変更される機器構成の情報を含み、前記マシン関連情報は、前記ネットワークにおいて使用の可否を規定した機器構成情報を含むことを特徴とするセキュリティ管理装置。
（付記１７）付記１６に記載のセキュリティ管理装置において、
前記セキュリティ診断部は、前記ネットワークマシンの離隔のに必要性について判断し、セキュリティ実行部は前記セキュリティ診断部の判断結果に基づいて前記ネットワークマシンを離隔するための処理を行うことを特徴とするセキュリティ管理装置。
（付記１８）ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、
前記セキュリティ情報提供部から得られるセキュリティ情報と、前記マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、
前記予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムと
を備えてなるセキュリティ管理システム。
（付記１９）付記１８に記載のセキュリティ管理システムにおいて、
前記予防システム又は前記回復システムは複数設けられ、これらシステムを統括的に管理する管理センタが設けられていることを特徴とするセキュリティ管理システム。
（付記２０）付記１８に記載のセキュリティ管理システムにおいて、
前記予防システム又は前記回復システムは複数設けられ、これら複数のシステムのそれぞれで取得された情報が互いに共有されることを特徴とするセキュリティ管理システム。
（付記２１）付記１８乃至付記２０のいずれかに記載のセキュリティ管理システムにおいて、
前記セキュリティ情報提供部の所有者側に前記予防システム及び前記回復システムが設けられていることを特徴とするセキュリティ管理システム。
（付記２２）付記１８乃至付記２０のいずれかに記載のセキュリティ管理システムにおいて、
前記セキュリティ情報提供部の所有者側に前記予防システムが設けられ、管理サービスを提供する管理サービス提供者側に前記回復システムが設けられることを特徴とするセキュリティ管理システム。
（付記２３）付記１８乃至付記２０のいずれかに記載のセキュリティ管理システムにおいて、
管理サービスを提供する管理サービス提供者側に前記予防システム及び前記回復システムが設けられることを特徴とするセキュリティ管理システム。
（付記２４）付記１８乃至付記２３のいずれかに記載のセキュリティ管理システムにおいて、
前記回復システムにおいて取得された所定の情報が新たなセキュリティ情報として、前記予防システムにフィードバックされることを特徴とするセキュリティ管理システム。
（付記２５）ネットワークにおけるセキュリティに関するセキュリティ情報を取得するセキュリティ情報取得ステップと、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記セキュリティ情報及び前記マシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断ステップによる診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行ステップと
を備えてなるセキュリティ管理方法。
（付記２６）付記２５に記載のセキュリティ管理方法において、
さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報を取得するマシン関連情報取得ステップを備え、
前記セキュリティ診断ステップでは、前記セキュリティ情報及び前記マシン情報とともに、前記マシン関連情報に基づいて、前記セキュリティ診断を行うことを特徴とするセキュリティ管理方法。
（付記２７）ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部からマシン関連情報を取得するマシン関連情報取得ステップと、
前記マシン情報とマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行ステップと
を備えてなるセキュリティ管理方法。
（付記２８）セキュリティ管理をコンピュータに実行させるセキュリティ管理プログラムであって、
ネットワークにおけるセキュリティに関するセキュリティ情報を取得するセキュリティ情報取得ステップと、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記セキュリティ情報及び前記マシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断ステップによる診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うセキュリティ実行ステップと
をコンピュータに実行させるセキュリティ管理プログラム。
（付記２９）付記２８に記載のセキュリティ管理プログラムにおいて、
さらに、前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部から得られるマシン関連情報を取得するマシン関連情報取得ステップを備え、
前記セキュリティ診断ステップでは、前記セキュリティ情報及び前記マシン情報とともに、前記マシン関連情報に基づいて、前記セキュリティ診断を行うことをコンピュータに実行させるセキュリティ管理プログラム。
（付記３０）セキュリティ管理をコンピュータに実行させるセキュリティ管理プログラムであって、
ネットワークに接続された少なくとも一つのネットワークマシンからマシン情報を取得するマシン情報取得ステップと、
前記ネットワークに接続され、又は前記ネットワークに接続される可能性のあるネットワークマシンについての所定の情報を記憶したマシン関連情報記憶部からマシン関連情報を取得するマシン関連情報取得ステップと、
前記マシン情報とマシン関連情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、セキュリティ関連処理の種別とその必要性の有無を判断するセキュリティ診断ステップと、
前記セキュリティ診断部による診断結果に基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、所定のセキュリティ対策処理を行うためのセキュリティ実行ステップと
をコンピュータに実行させるセキュリティ管理プログラム。
【図面の簡単な説明】
【００５８】
【図１】本発明の実施の形態におけるセキュリティ管理システムの全体構成を原理的に示すブロック図である。
【図２】本発明の実施の形態の全体構成を示すブロック図である。
【図３】本発明の実施の形態１を示すブロック図でである。
【図４】セキュリティ管理が実施されるネットワークを示すブロック図である。
【図５】実施の形態１の動作を示すフローチャートである。
【図６】本発明の実施の形態２を示すブロック図である。
【図７】本発明の実施の形態２の動作を示すフローチャートである。
【図８】本発明の実施の形態３を示すブロック図である。
【図９】本発明の実施の形態３において、被害の有無を判断する動作を示す概念図である。
【図１０】本発明の実施の形態３の動作を示すフローチャートである。
【図１１】実施の形態４を示すブロック図である。
【図１２】本発明の実施の形態４の動作を示すフローチャートである。
【図１３】本発明の実施の形態５を示すブロック図である。
【図１４】本発明の実施の形態５の動作を示すフローチャートである。
【図１５】本発明の実施の形態６を示すブロック図である。
【図１６】本発明の実施の形態６の動作を示すフローチャートである。
【図１７】本発明の実施の形態におけるマシン情報の一例を示す図である。
【図１８】本発明の実施の形態７として、各システムの第１の配属構成を示す図である。
【図１９】本発明の実施の形態８として、各システムの第２の配属構成を示す図である。
【図２０】本発明の実施の形態９として、各システムの第３の配属構成を示す図である。
【図２１】本発明の実施の形態１０として、各システムの第４の配属構成を示す図である。
【符号の説明】
【００５９】
１ ネットワーク、２ ネットワークマシン、３ 情報提供装置、４ 予防システム、５ 回復システム、４１ 診断部、４２ 各種データベース、４３ ネットワーク監視装置、４４ 予防実行部、７０ 情報サービス提供者、７１ 管理サービス提供者、７２ 顧客ネットワーク、４１１ 情報取得部、４１２ 情報検索／比較部、４１３ 判定部。
【特許請求の範囲】
【請求項１】
ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、
前記ネットワークに接続されたネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、
前記セキュリティ情報提供部から得られるセキュリティ情報と、前記マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、
前記予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムと
を備えてなるセキュリティ管理システム。
【請求項２】
請求項１に記載のセキュリティ管理システムにおいて、
前記予防システム又は前記回復システムは複数設けられ、これらシステムを統括的に管理する管理センタが設けられていることを特徴とするセキュリティ管理システム。
【請求項３】
請求項１に記載のセキュリティ管理システムにおいて、
前記予防システム又は前記回復システムは複数設けられ、これら複数のシステムのそれぞれで取得された情報が互いに共有されることを特徴とするセキュリティ管理システム。
【請求項４】
請求項１乃至請求項３のいずれかに記載のセキュリティ管理システムにおいて、
前記セキュリティ情報提供部の所有者側に前記予防システム及び前記回復システムが設けられていることを特徴とするセキュリティ管理システム。
【請求項５】
請求項１乃至請求項３のいずれかに記載のセキュリティ管理システムにおいて、
前記セキュリティ情報提供部の所有者側に前記予防システムが設けられ、管理サービスを提供する管理サービス提供者側に前記回復システムが設けられることを特徴とするセキュリティ管理システム。
【請求項６】
請求項１乃至請求項３のいずれかに記載のセキュリティ管理システムにおいて、
管理サービスを提供する管理サービス提供者側に前記予防システム及び前記回復システムが設けられることを特徴とするセキュリティ管理システム。
【請求項７】
請求項１乃至請求項６のいずれかに記載のセキュリティ管理システムにおいて、
前記回復システムにおいて取得された所定の情報が新たなセキュリティ情報として、前記予防システムにフィードバックされることを特徴とするセキュリティ管理システム。
【請求項１】
ネットワークにおけるセキュリティに関するセキュリティ情報を提供するセキュリティ情報提供装置と、
前記ネットワークに接続されたネットワークマシンについての所定の情報を記憶したマシン関連情報データベースと、
前記セキュリティ情報提供部から得られるセキュリティ情報と、前記マシン関連情報データベースから得られるマシン関連情報と、ネットワークに接続された少なくとも一つのネットワークマシンから取得されるマシン情報とに基づいて、前記ネットワークマシン若しくは前記ネットワークマシンが含まれる所定のネットワークに対して、被害の有無の判断、または予防の必要性の有無の判断を行う予防システムと、
前記予防システムの判断に基づいて、所定の被害がある場合には修復処理を行い、または予防措置をとる回復システムと
を備えてなるセキュリティ管理システム。
【請求項２】
請求項１に記載のセキュリティ管理システムにおいて、
前記予防システム又は前記回復システムは複数設けられ、これらシステムを統括的に管理する管理センタが設けられていることを特徴とするセキュリティ管理システム。
【請求項３】
請求項１に記載のセキュリティ管理システムにおいて、
前記予防システム又は前記回復システムは複数設けられ、これら複数のシステムのそれぞれで取得された情報が互いに共有されることを特徴とするセキュリティ管理システム。
【請求項４】
請求項１乃至請求項３のいずれかに記載のセキュリティ管理システムにおいて、
前記セキュリティ情報提供部の所有者側に前記予防システム及び前記回復システムが設けられていることを特徴とするセキュリティ管理システム。
【請求項５】
請求項１乃至請求項３のいずれかに記載のセキュリティ管理システムにおいて、
前記セキュリティ情報提供部の所有者側に前記予防システムが設けられ、管理サービスを提供する管理サービス提供者側に前記回復システムが設けられることを特徴とするセキュリティ管理システム。
【請求項６】
請求項１乃至請求項３のいずれかに記載のセキュリティ管理システムにおいて、
管理サービスを提供する管理サービス提供者側に前記予防システム及び前記回復システムが設けられることを特徴とするセキュリティ管理システム。
【請求項７】
請求項１乃至請求項６のいずれかに記載のセキュリティ管理システムにおいて、
前記回復システムにおいて取得された所定の情報が新たなセキュリティ情報として、前記予防システムにフィードバックされることを特徴とするセキュリティ管理システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【公開番号】特開２００９−３７６５１（Ｐ２００９−３７６５１Ａ）
【公開日】平成２１年２月１９日（２００９．２．１９）
【国際特許分類】
【出願番号】特願２００８−２９２９５１（Ｐ２００８−２９２９５１）
【出願日】平成２０年１１月１７日（２００８．１１．１７）
【分割の表示】特願２００３−４６２５１（Ｐ２００３−４６２５１）の分割
【原出願日】平成１５年２月２４日（２００３．２．２４）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２１年２月１９日（２００９．２．１９）
【国際特許分類】
【出願日】平成２０年１１月１７日（２００８．１１．１７）
【分割の表示】特願２００３−４６２５１（Ｐ２００３−４６２５１）の分割
【原出願日】平成１５年２月２４日（２００３．２．２４）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]