検疫ネットワークシステム
【課題】 セキュリティ対策が行われていない端末を、端末の状態に応じ、プロキシサーバ経由でアクセスする対策用のサーバであっても、動的に対策用のサーバへのアクセスのみに制限し、端末のセキュリティ対策を実施することを目的とする。
【解決手段】 管理装置が端末に設置されたエージェントから送信された端末情報と端末がネットワークに接続してよいか否かの検疫判定をするための判定基準情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をし、端末がネットワークに接続してはいけないと検疫判定された時に、セキュリティ対策を実施するアクセス先情報と端末のアドレス情報とにより構成されたアクセス情報をセキュアゲート装置に送信し、セキュアゲート装置がアクセス情報に基づいて端末の通信をアクセス先情報にのみ許可をする。
【解決手段】 管理装置が端末に設置されたエージェントから送信された端末情報と端末がネットワークに接続してよいか否かの検疫判定をするための判定基準情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をし、端末がネットワークに接続してはいけないと検疫判定された時に、セキュリティ対策を実施するアクセス先情報と端末のアドレス情報とにより構成されたアクセス情報をセキュアゲート装置に送信し、セキュアゲート装置がアクセス情報に基づいて端末の通信をアクセス先情報にのみ許可をする。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、端末がネットワークに接続するときにネットワークに接続しても良いか否か検疫判定する検疫ネットワークシステムに関するものである。
【背景技術】
【０００２】
従来の検疫ネットワークシステムは、接続制御サーバにて接続を行ってきた端末の接続条件の判定を行い、ネットワークスイッチの切り替えによって、接続非許可の端末をネットワーク接続の遮断状態で修復を行っていた（例えば、特許文献１）。
また、ＵＲＬのリストに基づいて、アクセス先制限を実施する方法も提案されている（例えば、特許文献２）。
【特許文献１】特許第３７２８５３６号公報
【特許文献２】特許第３１６１４２１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
例えば、特許文献１の方式は、ネットワークスイッチの切り替えにより遮断状態と接続状態の切り替えを実施する形態であるため、プロキシ経由でアクセスする社外の対策用のサーバを利用することができないという問題点があった。
また、プロキシ経由でアクセス可能とするためのＵＲＬフィルタリングの技術として特許文献２の方式もあるが、端末の状態に応じてアクセス先を変更することは出来ないという問題点があった。
この発明は上記のような問題点を解決するためになされたもので、セキュリティ対策が行われていない端末を、端末の状態に応じ、プロキシサーバ経由でアクセスする対策用のサーバであっても、動的に対策用のサーバへのアクセスのみに制限し、社外に配備された対策用のサーバを利用したセキュリティ対策を行うことを目的とする。
【課題を解決するための手段】
【０００４】
この発明に係る検疫ネットワークシステムは、端末上に設置され、この端末から取得した端末情報を送信するエージェントと、
前記端末がネットワークに接続してよいか否かの検疫判定をするための判定基準情報を格納する判定基準情報格納手段と、前記エージェントにより送信された前記端末情報と前記判定基準情報格納手段に格納された前記判定基準情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をする検疫判定手段と、前記検疫判定手により検疫判定された検疫結果と対応付けをする識別情報と前記検疫結果に対応するセキュリティ対策を実施するためにアクセスするアクセス先情報とにより構成されたアクセス制限情報が格納されたアクセス制限情報格納手段と、前記検疫判定手段により前記端末がネットワークに接続してはいけないと検疫判定された時に、前記アクセス制限情報格納手段に格納された前記アクセス制限情報のアクセス先情報を取得し、このアクセス先情報と前記検疫判定手段により検疫判定された前記端末のアドレス情報とにより構成されたアクセス情報を作成し、このアクセス情報を送信するアクセス制限指示手段とを有し、前記端末とネットワークを介して接続された管理装置と、
前記端末及び前記管理装置とネットワークを介して接続され、前記管理装置により送信された前記アクセス情報に基づいて前記端末の通信を前記アクセス情報のアクセス先情報にのみ許可をするセキュアゲート装置と、を備えたものである。
【発明の効果】
【０００５】
この発明は、端末に設置されたエージェントが端末から取得した端末情報を管理装置に送信し、管理装置がエージェントから送信された端末情報と端末がネットワークに接続してよいか否かの検疫判定をするための判定基準情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をし、端末がネットワークに接続してはいけないと検疫判定された時に、セキュリティ対策を実施するためにアクセスするアクセス先情報と検疫判定された端末のアドレス情報とにより構成されたアクセス情報をセキュアゲート装置に送信し、セキュアゲート装置が管理装置により送信されたアクセス情報であるＵＲＬに基づいて端末の通信をアクセス情報のアクセス先情報にのみ許可をすることにより、プロキシサーバ経由でアクセスする対策用のサーバを利用し、端末のセキュリティ対策を実施することが可能となる。
【発明を実施するための最良の形態】
【０００６】
実施の形態１．
図１は、本実施の形態に係る検疫ネットワークシステムの構成図である。
図に示すように、検疫ネットワークシステムは、管理装置１、セキュアゲート装置２、端末３を備えている。管理装置１、セキュアゲート装置２、端末３は、通信回線５を介して接続されている。
管理装置１は、セキュアゲート装置２を介して端末３に対する検疫を行う。
セキュアゲート装置２は、管理装置１からの指示に従い、端末３のアクセス制限を実施する。また、端末３は、エージェント４を備えている。
エージェント４は、端末３に関する情報を収集し、管理装置１に送信し、検疫を実行する。
通信回線５は、例えばイントラネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等のネットワークである。
プロキシサーバ６は、社外に配備されているサーバに内部ネットワークからアクセス可能とするための中継サーバである。
対策サーバ７は、検疫の結果対策が必要となった端末３が対策を実施するためにアクセスするサーバである。
ＷＷＷサーバ８は、社外に配備されている一般のＷＷＷサーバである。
【０００７】
図２は、実施の形態１の検疫ネットワークシステムを構成する各装置の構成図である。
図２において、１１は端末３上のエージェント４が取得した端末情報を収集し、収集した端末情報を端末情報格納部１５に格納する情報収集手段である。
１２は端末情報格納部１５に格納された端末情報とセキュリティ情報格納部１６に格納されたセキュリティ情報を利用し、ネットワーク接続を実施してきている端末３がネットワークに接続してよい状態であるか否かを判定し、判定結果である検疫結果を検疫結果格納部１７に格納する検疫判定手段である。
１３は検疫結果格納部１７に格納された検疫結果を基にアクセス制限情報格納部１８に格納されている対策用アクセス先のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）リストを取得し、検疫を実施した端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスの情報と対策用アクセス先のＵＲＬリスト（アクセス許可リスト）とにより構成されたアクセス情報を作成し、これをセキュアゲート装置２に送信し、アクセス制限を指示するアクセス制限指示手段である。
１４は検疫結果格納部１７に格納された検疫結果を端末３に通知し、対策実施を指示する対策指示手段である。
【０００８】
１５は端末３上のエージェント４が取得した端末情報を格納する端末情報格納手段としての端末情報格納部である。
１６は端末３がネットワークに接続してよい状態であるか否かを判定するための判定基準情報であるセキュリティ情報を格納する判定基準情報格納手段としてのセキュリティ情報格納部である。
１７は検疫判定手段１２が判定した検疫結果の情報を格納する検疫結果格納手段としての検疫結果格納部である。
１８は検疫結果と、その対策を実施するために必要なアクセス先のＵＲＬ（対策用アクセス先）と、により構成されたアクセス制限情報を格納するアクセス制限情報格納手段としてのである。
【０００９】
２１は管理装置１から送信されてきたアクセス情報をアクセス情報格納部２２に格納し、該当端末の通信を指定されたアクセス先に制限するアクセス制限実施手段である。
２２は管理装置１から送信されてきた端末を識別するＭＡＣアドレスとアクセス先のＵＲＬリストを示すアクセス許可リストとにより構成されたアクセス情報を格納するアクセス情報格納手段としてのアクセス情報格納部である。
【００１０】
４１は端末上のＯＳ情報やセキュリティ対策製品の情報、稼動プロセスの情報などの端末情報を取得する端末情報取得手段である。
４２は端末情報取得手段４１が取得した端末情報を管理装置に送信する端末情報送信手段である。
４３は管理装置１からの指示に従い端末に対するセキュリティ対策の実施を行う対策実施手段である。
【００１１】
図３は、実施の形態１のアクセス制限情報格納部１８に格納されるアクセス制限情報の一例を示した図である。
図３において、１８ａは検疫結果格納部１７に格納される検疫結果と対応付けを実施するための識別情報を格納する検疫結果である。
１８ｂは検疫結果に基づき対策を実施するためにアクセスするアクセス先のＵＲＬのリストが格納された対策用アクセス先である。
【００１２】
図４は、実施の形態１のアクセス情報格納部２２に格納されるアクセス情報の一例を示した図である。
図４において、２２ａはアクセス制限を実施する対象の端末を識別するＭＡＣアドレスを格納するＭＡＣアドレスである。
２２ｂはＭＡＣアドレス２２ａに指定されたＭＡＣアドレスの端末の通信を許可するアクセス先のＵＲＬのリスト、即ちＭＡＣアドレスの端末の通信を許可するアクセス許可リストが格納されたアクセス許可リストである。
【００１３】
次に、動作について説明する。
図５〜図７は、実施の形態１の検疫ネットワークシステムの処理動作を示すフローチャートである。ここでは、管理装置１とセキュアゲート装置２と端末３上のエージェント４との処理を示している。
まず、図５を用いて端末３上のエージェント４の動作について説明する。
端末情報取得手段４１は、端末３の端末情報を取得する（ＳＴ１０１）。取得する端末情報としては、ＯＳ名、バージョン、適用サービスパック、適用セキュリティパッチ情報、コンピュータ名、ＩＰアドレス、ＭＡＣアドレス、登録サービス情報、サービス設定情報、稼動プロセス情報、インストールアプリケーション情報、アプリケーションバージョン情報、アプリケーション設定情報などの情報である。
【００１４】
取得が完了すると、端末情報送信手段４２は、管理装置１にＳＴ１０１で取得した端末情報を送信する（ＳＴ１０２）。管理装置１にて検疫判定が実行され、検疫結果が送信されてくると、対策実施手段４３は送信されてきた検疫結果を受信する（ＳＴ１０３）。
対策実施手段４３は、検疫結果を確認する（ＳＴ１０４）。検疫の結果、問題ないと判断された場合には終了する。問題あると判断された場合には、ＳＴ１０５へ進む。
対策実施手段４３は、管理装置１から送信された検疫結果を基に端末に対するセキュリティ対策の実施を行い、再度検疫を実行するためにＳＴ１０１へ進む（ＳＴ１０５）。
【００１５】
次に、図４、図６を用いてセキュアゲート装置２の動作について説明する。
アクセス制御実施手段２１は、管理装置１から送信されたＭＡＣアドレスとアクセス先ＵＲＬリストとにより構成されたアクセス情報を受信する（ＳＴ１１１）。
アクセス制御実施手段２１は、受信した内容からアクセス制限要求か否かを判断する（ＳＴ１１２）。ここで、ＭＡＣアドレスに対応するアクセス先ＵＲＬリストが存在する場合は、アクセス制限要求と判断し、ＳＴ１１３へ進む。また、ＭＡＣアドレスに対応するアクセス先ＵＲＬリストが存在しない場合は、アクセス制限解除要求と判断し、ＳＴ１１５へ進む。
【００１６】
アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限要求と判断した場合には、ＳＴ１１１で取得したＭＡＣアドレスとアクセス先ＵＲＬリストであるアクセス許可リストとにより構成されたアクセス情報をアクセス情報格納部２２に格納する（ＳＴ１１３）。格納する情報の例を図４に示す。
アクセス制限を指示された端末３の通信は、アクセス許可リスト２２ｂに記載されたものでない場合には、アクセスを遮断し、記載されたもののみを許可する（ＳＴ１１４）。
【００１７】
また、アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限要求でないと判断した場合、即ちアクセス制限解除要求と判断した場合には、ＳＴ１１１で取得したアクセス情報のＭＡＣアドレスの情報を基にアクセス情報格納部２２に格納されている該当ＭＡＣアドレスのエントリを削除する（ＳＴ１１５）。
さらに、指定されたＭＡＣアドレスに対するアクセス先制限の解除を実施し、アクセス制限の解除を指示された端末３の通信の制限は実施しない（ＳＴ１１６）。
【００１８】
次に、図３、図７を用いて管理装置１の動作について説明する。
情報収集手段１１は、端末３（エージェント４）から送信された端末情報を受信する（ＳＴ１２１）。
情報収集手段１１は、収集した端末情報を端末情報格納部１５に格納する（ＳＴ１２２）。
検疫判定手段１２は、ＳＴ１２１で収集した端末情報とセキュリティ情報格納部１６に格納された判定基準情報とを基に端末３がネットワークに接続してよいか否かの検疫判定を実施し、検疫結果格納部１７に検疫結果を格納する（ＳＴ１２３）。
アクセス制限指示手段１３は、ＳＴ１２３にて検疫結果格納部１７に格納された検疫結果を参照する（ＳＴ１２４）。検疫結果がＮＧであった場合には、ＳＴ１２５へ進む。検疫結果がＯＫであった場合には、ＳＴ１２９へ進む。
【００１９】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果の情報を取得し、検疫対象の端末３が検疫ＮＧであると判断し、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＮＧの対策用アクセス先１８ｂ、即ち検疫結果に基づき対策を実施するために必要な対策用のアクセス先のＵＲＬを取得する（ＳＴ１２５）。
アクセス制限指示手段１３は、ＳＴ１２５にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００２０】
一方、検疫結果がＯＫであった場合、アクセス制限指示手段１３は、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスと、アクセス先ＵＲＬが存在しないリストとを組み合わせたアクセス情報を作成する（ＳＴ１２９）。
アクセス制限指示手段１３は、ＳＴ１２９で作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
【００２１】
なお、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納される判定基準情報のデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
【００２２】
以上のように、実施の形態１によれば、検疫の結果対策が必要な端末３が検出された場合、アクセス制限情報格納部１８に格納されているＵＲＬのリストへのアクセスのみとする制限を実施するようセキュアゲート装置２に対して指示するようにしたため、プロキシサーバなどを経由しアクセスする対策サーバ７を、ＷＷＷサーバ８などの一般に社外に配備されているサーバへのアクセスは遮断した状態で、対策サーバ７へのアクセスのみに制限し、セキュリティ対策を実施することが可能となる。
また、ＵＲＬのリストを設定可能とする構成としていることから、対策を実施するために複数のＵＲＬへのアクセスが必要な場合にも対応可能となる。
さらに、アクセス制限を端末から離れた管理装置１とセキュアゲート装置２にて実施していることから、悪意のあるユーザによって設定を変更されることがない。
【００２３】
実施の形態２．
実施の形態１では、検疫結果がＮＧであると判断した場合に、該当端末を識別するＭＡＣアドレスとアクセス制限リストに登録されているＵＲＬをセキュアゲート装置に指示し、対策が完了するまでアクセス先を対策に必要なＵＲＬのみにするようにしたものであるが、本実施の形態では、検疫項目が多岐にわたっている場合に、それぞれの検疫結果に対応したアクセス先ＵＲＬに限定する場合について説明する。
【００２４】
図８は、実施の形態２の検疫ネットワークシステムを構成する各装置の構成図である。
図８において、２０１は端末３上のエージェント４やセキュアゲート装置２が取得した情報を収集し、エージェント４から収集した端末情報を端末情報格納部１５に格納し、セキュアゲート装置２から収集した端末接続情報を接続情報格納部２０３に格納する情報収集手段である。
２０２は端末情報格納部１５に格納された端末情報と接続情報格納部２０３に格納された端末接続情報とセキュリティ情報格納部１６に格納されたセキュリティ情報とを利用し、ネットワーク接続を実施してきている端末３がネットワークに接続してよい状態であるか否かを判定し、判定結果である検疫結果を検疫結果格納部１７に格納する検疫判定手段である。
【００２５】
２０３はセキュアゲート装置２から収集した接続端末の端末接続情報を格納する接続情報格納部である。
２０４は端末３がネットワークに接続してよい状態であるか否かを判定するための判定基準情報であるセキュリティ情報を格納するセキュリティ情報格納手段としてのセキュリティ情報格納部である。セキュリティ情報格納部には例えば、以下のような情報が格納される。
２０５は管理対象のネットワーク内に接続可能な端末のリストを格納した端末リスト情報である。
２０６は適用すべきセキュリティパッチ情報を格納した適用セキュリティパッチ情報である。
２０７は適用すべきセキュリティ製品のアプリケーション名、バージョン、設定情報を格納したセキュリティ製品情報である。
２０８は端末３上で稼動していなければならないプロセス、稼動してはいけないプロセスのプロセス名、実行パスを格納した稼動プロセス情報である。
【００２６】
２０９はセキュアゲート装置２の配下に端末３が接続されたタイミングや、定期的に接続されている端末のＭＡＣアドレス、ＩＰアドレスの情報（端末接続情報）を取得する接続情報取得手段である。
２１０は接続情報取得手段２０９にて取得した端末接続情報を管理装置１に送信する接続情報送信手段である。
図９は、実施の形態２のアクセス制限情報格納部１８に格納されるアクセス制限情報の一例を示した図である。
図１０は、実施の形態２のアクセス情報格納部２２に格納されるアクセス情報の一例を示した図である。
【００２７】
次に、動作について説明する。
まず、図１０、図１１を用いてセキュアゲート装置２の動作について説明する。
接続情報取得手段２０９は、自身の配下に端末が接続されてきたかどうかを監視する（ＳＴ２０１）。接続して来た場合にはＳＴ２０２へ進む。接続されてきていない場合には、ＳＴ１１１へ進む。
端末３が接続されてきていない場合には、アクセス制御実施手段２１は、管理装置１から送信されたＭＡＣアドレスとアクセス先ＵＲＬリストとにより構成されたアクセス情報を受信する（ＳＴ１１１）。
アクセス制御実施手段２１は、受信した内容からアクセス制限要求か否かを判断する（ＳＴ１１２）。ここで、ＭＡＣアドレスに対応するアクセス先ＵＲＬリストが存在する場合は、アクセス制限要求と判断し、ＳＴ１１３へ進む。また、ＭＡＣアドレスに対応するアクセス先ＵＲＬリストが存在しない場合は、アクセス制限解除要求と判断し、ＳＴ１１５へ進む。
【００２８】
アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限要求と判断した場合には、ＳＴ１１１で取得したＭＡＣアドレスとアクセス先ＵＲＬリストであるアクセス許可リストとにより構成されたアクセス情報をアクセス情報格納部２２に格納する（ＳＴ１１３）。格納する情報の例を図１０に示す。以降、アクセス制限を指示された端末３の通信は、アクセス許可リスト２２ｂに記載されたものでない場合には、アクセスを遮断し、記載されたもののみを許可する（ＳＴ１１４）。
【００２９】
アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限解除要求と判断した場合には、ＳＴ１１１で取得したアクセス情報のＭＡＣアドレスの情報を基にアクセス情報格納部２２に格納されている該当ＭＡＣアドレスのエントリを削除する（ＳＴ１１５）。以降、アクセス制限の解除を指示された端末３の通信の制限は実施しない（ＳＴ１１６）。
【００３０】
端末３が接続して来た場合には、接続情報取得手段２０９は、接続してきた端末３のＭＡＣアドレスとＩＰアドレスの情報とからなる端末接続情報を取得する（ＳＴ２０２）。
接続情報送信手段２１０は、ＳＴ２０２で取得した端末３の端末接続情報を管理装置１へ送信する（ＳＴ２０３）。
【００３１】
次に、図９、図１２を用いて管理装置１の動作について説明する。
情報収集手段２０１は、端末３（エージェント４）から送信された端末情報あるいはセキュアゲート装置２から送信された端末接続情報を受信する（ＳＴ２１１）。
情報収集手段２０１は、送信元を判断する（ＳＴ２１２）。送信元が端末３の場合には、受信した端末情報を端末情報格納部１５に格納し、ＳＴ２１４へ進む。送信元がセキュアゲート装置２の場合には、受信した端末接続情報を接続情報格納部２０３に格納しＳＴ２１３へ進む。
【００３２】
送信元がセキュアゲート装置２の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている端末リスト情報２０５の情報と接続情報格納部２０３に格納されている端末接続情報とを比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１３）。
検疫対象の端末３が端末リスト情報２０５に登録されている端末の場合には、ＳＴ２１１へ進む。検疫対象の端末３が端末リスト情報２０５に登録されていない端末の場合には、ＳＴ２１９へ進む。
【００３３】
送信元が端末３の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている適用セキュリティパッチ情報２０６の情報と端末情報格納部１５に格納されている端末３の端末情報の適用済みセキュリティパッチ情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１４）。
検疫対象の端末３に適用すべきセキュリティパッチが適用されている場合には、ＳＴ２１５へ進む。検疫対象の端末３に適用すべきセキュリティパッチが適用されていない場合には、ＳＴ２２０へ進む。
【００３４】
検疫対象の端末３がセキュリティパッチ適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーション情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１５）。
検疫対象の端末３に適用すべきセキュリティ製品が適用されている場合には、ＳＴ２１６へ進む。検疫対象の端末３に適用すべきセキュリティ製品が適用されていない場合には、ＳＴ２２１へ進む。
【００３５】
検疫対象の端末３がセキュリティ製品適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーションのバージョン情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１６）。
検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致している場合には、ＳＴ２１７へ進む。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致していない場合には、ＳＴ２２２へ進む。
【００３６】
検疫対象の端末３がセキュリティ製品のバージョンも一致している端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報のアプリケーションの設定情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１７）。
検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われている端末である場合には、ＳＴ２１８へ進む。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われていない端末である場合には、ＳＴ２２３へ進む。
【００３７】
検疫対象の端末３がセキュリティ製品の設定が正しく行われている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている稼動プロセス情報と端末情報格納部１５に格納されている端末３の稼動プロセス情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１８）。
稼動していなければならないプロセスとして登録されているプロセスが稼動しており、稼動していてはいけないプロセスとして登録されているプロセスが稼動していない場合には、ＳＴ１２９へ進む。稼動していなければならないプロセスが稼動していない、あるいは稼動してはいけないプロセスが稼動している端末である場合には、ＳＴ２２４へ進む。
【００３８】
アクセス制限指示手段１３は、検疫結果格納部１７に格納された検疫結果を確認し、検疫結果がＯＫであった場合、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスと、アクセス先ＵＲＬが存在しないリストとを組み合わせたアクセス情報を作成する（ＳＴ１２９）。
アクセス制限指示手段１３は、ＳＴ１２９で作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００３９】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が未登録端末であると判断し、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、未登録端末の対策用アクセス先１８ｂを取得する（Ｓ２１９）。
アクセス制限指示手段１３は、ＳＴ２１９にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４０】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティパッチ未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティパッチ未適用の対策用アクセス先１８ｂを取得する（ＳＴ２２０）。
アクセス制限指示手段１３は、ＳＴ２２０にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４１】
アクセス制限指示手段１３は、検疫結果格納部に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション未適用の対策用アクセス先１８ｂを取得する（ＳＴ２２１）。
アクセス制限指示手段１３は、ＳＴ２２１にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４２】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーションバージョン不一致であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーションバージョン不一致の対策用アクセス先１８ｂを取得する（ＳＴ２２２）。
アクセス制限指示手段１３は、ＳＴ２２２にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４３】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション設定不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション設定不可の対策用アクセス先１８ｂを取得する（ＳＴ２２３）。
アクセス制限指示手段１３は、ＳＴ２２３にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４４】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が登録プロセス稼動情報不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、登録プロセス稼動情報不可の対策用アクセス先１８ｂを取得する（ＳＴ２２４）。
アクセス制限指示手段１３は、ＳＴ２２４にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４５】
以上のように、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、ＯＳの種別ごとのセキュリティパッチ情報を保持し、アクセス制限情報格納部１８にＯＳのセキュリティパッチが未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストを保持し、端末情報取得手段４１にて端末の使用するＯＳ情報、ＯＳバージョン情報、適用セキュリティパッチ情報を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されているセキュリティパッチ情報を比較し、接続端末がネットワークに接続可能であるかどうかを判断し、アクセス制限指示手段１３は、検疫判定手段２０２がセキュリティパッチ未適用端末の接続と判断した場合に、アクセス制限情報格納部１８に格納されているセキュリティパッチ未適用端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先をセキュリティパッチ未適用端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００４６】
また、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、セキュリティ対策製品情報を保持し、アクセス制限情報格納部１８にセキュリティ対策製品未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストを保持し、端末情報取得手段４１にて取得する情報として適用アプリケーション情報を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されているセキュリティ対策製品情報を比較し、接続端末がネットワークに接続可能であるかどうかを判断し、アクセス制限指示手段１３は、検疫判定手段２０２がセキュリティ対策製品未適用端末の接続と判断した場合に、アクセス制限情報格納部１８に格納されているセキュリティ対策製品未適用端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先をセキュリティ対策製品未適用端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００４７】
また、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、セキュリティ対策製品バージョン情報を保持し、アクセス制限情報格納部１８にセキュリティ対策製品バージョン不一致の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストを保持し、
端末情報取得手段４１にて取得する情報としてセキュリティ対策製品バージョン情報を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されているセキュリティ対策製品バージョン情報を比較し、接続端末がネットワークに接続可能であるかどうかを判断し、アクセス制限指示手段１３は、検疫判定手段２０２がセキュリティ対策製品バージョン不一致端末の接続と判断した場合に、アクセス制限情報格納部１８に格納されているセキュリティ対策製品バージョン不一致端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先をセキュリティ対策製品バージョン不一致端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００４８】
また、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、セキュリティ対策製品設定情報を保持し、アクセス制限情報格納部１８にセキュリティ対策製品設定不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストを保持し、端末情報取得手段４１にて取得する情報としてセキュリティ対策製品設定情報を取得し、検疫判定手段１３が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されているセキュリティ対策製品設定情報を比較し、接続端末がネットワークに接続可能であるかどうかを判断し、
アクセス制限指示手段１３は、検疫判定手段２０２がセキュリティ対策製品設定不備端末の接続と判断した場合に、アクセス制限情報格納部１８に格納されているセキュリティ対策製品設定不備端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先をセキュリティ対策製品設定不備端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００４９】
また、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、端末上で稼動する登録プロセス稼動情報を保持し、アクセス制限情報格納部１８に登録プロセス稼動状況不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストを保持し、端末情報取得手段４１にて取得する情報として稼動プロセス情報を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されている登録プロセス稼動情報を比較し、接続端末がネットワークに接続可能であるかどうかを判断し、アクセス制限指示手段１３は、検疫判定手段２０２が登録プロセス稼動不備端末の接続と判断した場合に、アクセス制限情報格納部１８に格納されている登録プロセス稼動不備端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先を登録プロセス不備端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００５０】
また、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、ネットワークに接続可能な端末リスト情報、ＯＳの種別ごとのセキュリティパッチ情報、セキュリティ対策製品情報、セキュリティ対策製品バージョン情報、セキュリティ対策製品設定情報、登録プロセス稼動情報の１つないし複数を保持し、アクセス制限情報格納部１８に未登録端末の接続時に実施すべき対策を行う際にアクセスするＵＲＬのリスト、ＯＳのセキュリティパッチが未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品バージョン不一致の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品設定不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、登録プロセス稼動状況不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストの１つないし複数を保持し、端末情報取得手段４１にて取得する情報として、ＯＳ情報、ＯＳバージョン情報、適用セキュリティパッチ情報、適用アプリケーション情報、セキュリティ対策製品バージョン情報、セキュリティ対策製品設定情報、稼動プロセス情報の１つないし複数を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されている各情報を順番に比較し、接続端末がネットワークに接続可能であるかどうかを判断し、ネットワークへの接続が不可であると判断した時点で、判断を終了し、アクセス制限指示手段１３は、検疫判定手段２０２がネットワークアクセス不可と判断した場合に、アクセス制限情報格納部１８に格納されているネットワークアクセス不可と判断した原因に基づいた対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先を対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００５１】
なお、検疫判定を行う順序は必ずしも本順序である必要はない。
また、検疫判定を行う項目についても本実施の形態に示したものに限定されるものではない。
また、セキュリティ対策アプリケーションや登録プロセスなどは複数検査対象となっても構わない。
また、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納されるデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
【００５２】
以上のように、実施の形態２によれば、検疫の結果対策が必要な端末３が検出された場合、その結果に対応した対策用のアクセス先にのみ端末３の接続を動的に変更することが可能となり、端末の状態に応じた対策用のアクセス先にのみ通信を制限した対策を実施することが可能となる。
【００５３】
実施の形態３．
実施の形態２では、個別の検疫判定ごとにアクセス先ＵＲＬを制限するようにしたものであるが、本実施の形態では、それらの検疫をすべて実施した結果、複数の対策が必要な場合にその結果のリストを組み合わせたアクセス先ＵＲＬに限定する場合について説明する。
なお、本実施の形態における検疫ネットワークシステムを構成する各装置の構成は図８と同様である。
【００５４】
次に、動作について説明する。
図９、図１３、図１４を用いて管理装置１の動作について説明する。
情報収集手段２０１は、送信元を判断する（ＳＴ２１２）。送信元が端末３の場合には、受信した端末情報を端末情報格納部１５に格納し、ＳＴ２１４へ進む。
送信元がセキュアゲート装置２の場合には、受信した端末接続情報を接続情報格納部２０３に格納しＳＴ２１３へ進む。
検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている端末リスト情報２０５の情報と接続情報格納部２０３に格納されている端末接続情報とを比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１３）。
検疫対象の端末３が端末リスト情報２０５に登録されている端末の場合には、ＳＴ２１１へ進む。検疫対象の端末３が端末リスト情報２０５に登録されていない端末の場合には、ＳＴ２１９へ進む。
【００５５】
検疫対象の端末３が登録されている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている適用セキュリティパッチ情報２０６の情報と端末情報格納部１５に格納されている端末３の端末情報の適用済みセキュリティパッチ情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１４）。
検疫対象の端末３に適用すべきセキュリティパッチが適用されている場合には、ＳＴ２１５へ進む。検疫対象の端末３に適用すべきセキュリティパッチが適用されていない場合には、ＳＴ２２０へ進む。
【００５６】
検疫対象の端末３がセキュリティパッチ適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーション情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１５）。検疫対象の端末３に適用すべきセキュリティ製品が適用されている場合には、ＳＴ２１６へ進む。検疫対象の端末３に適用すべきセキュリティ製品が適用されていない場合には、ＳＴ２２１へ進む。
【００５７】
検疫対象の端末３がセキュリティ製品適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーションのバージョン情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１６）。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致している場合には、ＳＴ２１７へ進む。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致していない場合には、ＳＴ２２２へ進む。
【００５８】
検疫対象の端末３がセキュリティ製品のバージョンも一致している端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報のアプリケーションの設定情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１７）。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われている端末である場合には、ＳＴ２１８へ進む。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われていない端末である場合には、ＳＴ２２３へ進む。
【００５９】
検疫対象の端末３がセキュリティ製品の設定が正しく行われている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている稼動プロセス情報と端末情報格納部１５に格納されている端末３の稼動プロセス情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１８）。稼動していなければならないプロセスとして登録されているプロセスが稼動しており、稼動していてはいけないプロセスとして登録されているプロセスが稼動していない場合には、ＳＴ３０１へ進む。稼動していなければならないプロセスが稼動していない、あるいは稼動してはいけないプロセスが稼動している端末である場合には、ＳＴ２２４へ進む。
【００６０】
アクセス制限指示手段１３は、ＳＴ２１３〜ＳＴ２１８の検疫判定にて検疫結果格納部１７に格納された検疫結果を参照する（ＳＴ３０１）。検疫結果がＮＧであった場合には、ＳＴ３０２へ進む。検疫結果がＯＫであった場合には、ＳＴ１２９へ進む。
検疫結果がＯＫであった場合、アクセス制限指示手段１３は、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスとアクセス先ＵＲＬが存在しないリストとを組み合わせたアクセス情報を作成する（ＳＴ１２９）。
アクセス制限指示手段１３は、ＳＴ１２９で作成したアクセス情報をセキュアゲート装置に送信し、アクセス情報のＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００６１】
検疫結果がＮＧであった場合、アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫ＮＧになった要因のすべてを取得し、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＮＧになった全ての要因のアクセス先リストを取得し、端末３の対策のために必要なすべてのアクセス先リストを生成する。
【００６２】
ＭＡＣアドレス11-11-11-11-11-11の端末がセキュリティパッチ未適用でかつセキュリティ対策アプリケーション未適用であった場合のリスト（アクセス情報）の例を図１４に示す。
図９に示したセキュリティパッチ未適用の対策用アクセス先のリストとセキュリティ対策アプリケーション未適用のアクセス先のリストをマージし、重複を除去したリスト（アクセス情報）を生成する（ＳＴ３０２）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００６３】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が未登録端末であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、未登録端末の対策用アクセス先１８ｂを取得する（Ｓ２１９）。
アクセス制限指示手段１３は、ＳＴ２１９にて取得した対策用アクセス先１８ｂ（アクセス許可リスト）と検疫を実施した端末３のＭＡＣアドレスを組み合わせたアクセス情報を作成する（ＳＴ３０２）。
アクセス制限指示手段１３は、ＳＴ３０２にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００６４】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティパッチ未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティパッチ未適用の対策用アクセス先１８ｂを取得する（ＳＴ２２０）。
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション未適用の対策用アクセス先１８ｂを取得する（ＳＴ２２１）。
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーションバージョン不一致であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーションバージョン不一致の対策用アクセス先１８ｂを取得する（ＳＴ２２２）。
【００６５】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション設定不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション設定不可の対策用アクセス先１８ｂを取得する（ＳＴ２２３）。
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が登録プロセス稼動情報不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、登録プロセス稼動情報不可の対策用アクセス先１８ｂを取得する（ＳＴ２２４）。
【００６６】
以上のように、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、ネットワークに接続可能な端末リスト情報、ＯＳの種別ごとのセキュリティパッチ情報、セキュリティ対策製品情報、セキュリティ対策製品バージョン情報、セキュリティ対策製品設定情報、
登録プロセス稼動情報の１つないし複数を保持し、アクセス制限情報格納部１８に未登録端末の接続時に実施すべき対策を行う際にアクセスするＵＲＬのリスト、ＯＳのセキュリティパッチが未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品バージョン不一致の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品設定不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、登録プロセス稼動状況不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストの１つないし複数を保持し、端末情報取得手段４１にて取得する情報として、ＯＳ情報、ＯＳバージョン情報、適用セキュリティパッチ情報、適用アプリケーション情報、セキュリティ対策製品バージョン情報、セキュリティ対策製品設定情報、稼動プロセス情報の１つないし複数を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されている各情報をすべて比較し、接続端末がネットワークに接続可能であるかどうかを判断し、アクセス制限指示手段１３は、検疫判定手段２０２がネットワークアクセス不可と判断した場合に、アクセス制限情報格納部１８に格納されているネットワークアクセス不可と判断した１つないし複数の原因に基づいた対策用として許可すべきアクセス先ＵＲＬのリストをそれぞれ取得し、セキュアゲート装置２に該当端末のアクセス先を対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００６７】
なお、検疫判定を行う順序は必ずしも本順序である必要はない。
また、検疫判定を行う項目についても本実施の形態に示したものに限定されるものではない。
また、セキュリティ対策アプリケーションや登録プロセスなどは複数検査対象となっても構わない。
また、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納されるデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
【００６８】
以上のように、実施の形態３によれば、検疫の結果対策が必要な端末３が検出された場合、対策用のアクセス先のみに端末３の接続を動的に変更することが可能となり、端末の状態に応じた対策用のアクセス先にのみ通信を制限した対策を実施することが可能となる。
【００６９】
実施の形態４．
以上の実施の形態では、ＵＲＬを静的に指定したものであるが、本実施の形態では、動的に変更するＵＲＬに対応可能とする場合について説明する。
図１５は、本実施の形態のアクセス制限情報格納部１８に格納されるアクセス制限情報の一例を示した図である。
図１５に示したように対策用アクセス先としてワイルドカードや正規表現を用いたアクセス先のリストを設定可能とし、アクセス制限を実施する形態とする。
【００７０】
以上のように、本実施の形態は、アクセス制限情報格納部１８に格納する情報として、アクセス先のＵＲＬの指定をワイルドカードや正規表現を利用した設定を可能とし、対策は、指定されたＵＲＬのパターンにマッチしたもののみへのアクセスに制限することにより、対策時に動的にＵＲＬが変更される仕組みにも対応可能としたことを特徴とするものである。
【００７１】
実施の形態４によれば、検疫の結果対策が必要な端末３が検出された場合、対策用のアクセス先のＵＲＬとして一意に決定されるＵＲＬと複数に展開されるＵＲＬを指定し、アクセス先制限を実施可能としたことにより、動的に変更されるＵＲＬに対応することが可能となる。
【００７２】
実施の形態５．
以上の実施の形態では、ＵＲＬでのアクセス制限を実施するようにしたものであるが、本実施の形態では、一部の対策はＵＲＬのみではなく、サーバのＭＡＣアドレスやＩＰアドレスを利用したものを組み合わせた対策を実施する場合について説明する。
図１６は、本実施の形態に係る検疫ネットワークシステムの構成図であり、図１と同一符号は同一又は相当部分を示し説明を省略する。
図１６において、３０１は検疫の結果対策が必要となった端末３が対策を実施するためにアクセスする社内に配備された対策サーバである。
【００７３】
図１７は、本実施の形態のアクセス制限情報格納部１８に格納されるアクセス制限情報の一例を示した図である。ここで、アクセス制限情報格納部１８に格納されたアクセス制限情報は、セキュリティ対策を実施するためにアクセスするＵＲＬ、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス、ＩＰアドレスのいずれか、あるいはそれらの組み合わせを含むアクセス先情報と前記識別情報とにより構成される。
図１８は、本実施の形態のアクセス情報格納部２２に格納されるアクセス情報の一例を示した図である。
なお、本実施の形態の検疫ネットワークシステムを構成する各装置の構成は、図８で説明した構成と同様である。
【００７４】
次に、動作について説明する。
図１９は、セキュアゲート装置２の処理動作を示すフローチャートである。
まず、図１９を用いてセキュアゲート装置２の動作について説明する。
接続情報取得手段２０９は、自身の配下に端末が接続されてきたかどうかを監視する（ＳＴ２０１）。接続して来た場合にはＳＴ２０２へ進む。接続されてきていない場合には、ＳＴ１１１へ進む。
端末３が接続されてきていない場合には、アクセス制御実施手段２１は、管理装置１から送信されたＭＡＣアドレスとアクセス先リストとにより構成されたアクセス情報を受信する（ＳＴ１１１）。
アクセス制御実施手段２１は、受信した内容からアクセス制限要求か否かを判断する（ＳＴ１１２）。ここで、ＭＡＣアドレスに対応するアクセス先リストが存在する場合は、アクセス制限要求と判断し、ＳＴ１１３へ進む。また、ＭＡＣアドレスに対応するアクセス先リストが存在しない場合は、アクセス制限解除要求と判断し、ＳＴ１１５へ進む。
【００７５】
アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限要求と判断した場合には、ＳＴ１１１で取得したＭＡＣアドレスとアクセス先ＵＲＬリストであるアクセス許可リストとにより構成されたアクセス情報をアクセス情報格納部２２に格納する（ＳＴ１１３）。格納する情報の例は、図１０に示すものである。以降、アクセス制限を指示された端末３の通信は、アクセス許可リスト２２ｂに記載されたものでない場合には、アクセスを遮断し、記載されたもののみを許可する（ＳＴ４０１）。
アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限解除要求と判断した場合には、ＳＴ１１１で取得したアクセス情報のＭＡＣアドレスの情報を基にアクセス情報格納部２２に格納されている該当ＭＡＣアドレスのエントリを削除する（ＳＴ１１５）。以降、アクセス制限の解除を指示された端末３の通信の制限は実施しない（ＳＴ１１６）。
【００７６】
端末３が接続して来た場合には、接続情報取得手段２０９は、接続してきた端末３のＭＡＣアドレスとＩＰアドレスの情報とからなる端末接続情報を取得する（ＳＴ２０２）。
接続情報送信手段２１０は、ＳＴ２０２で取得した端末３の端末接続情報を管理装置１へ送信する（ＳＴ２０３）。
【００７７】
図２０は、管理装置１の処理動作を示すフローチャートである。
次に、図２０を用いて管理装置１の動作について説明する。
情報収集手段２０１は、端末３（エージェント４）から送信された端末情報あるいはセキュアゲート装置２から送信された端末接続情報を受信する（ＳＴ２１１）。
情報収集手段２０１は、送信元を判断する（ＳＴ２１２）。送信元が端末３の場合には、受信した端末情報を端末情報格納部１５に格納し、ＳＴ２１４へ進む。送信元がセキュアゲート装置２の場合には、受信した端末接続情報を接続情報格納部２０３に格納しＳＴ２１３へ進む。
【００７８】
送信元がセキュアゲート装置２の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている端末リスト情報２０５の情報と接続情報格納部２０３に格納されている端末接続情報とを比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１３）。
検疫対象の端末３が端末リスト情報２０５に登録されている端末の場合には、ＳＴ２１１へ進む。検疫対象の端末３が端末リスト情報２０５に登録されていない端末の場合には、ＳＴ４０２へ進む。
【００７９】
送信元が端末３の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている適用セキュリティパッチ情報２０６の情報と端末情報格納部１５に格納されている端末３の端末情報の適用済みセキュリティパッチ情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１４）。
検疫対象の端末３に適用すべきセキュリティパッチが適用されている場合には、ＳＴ２１５へ進む。検疫対象の端末３に適用すべきセキュリティパッチが適用されていない場合には、ＳＴ４０３へ進む。
【００８０】
検疫対象の端末３がセキュリティパッチ適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーション情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１５）。
検疫対象の端末３に適用すべきセキュリティ製品が適用されている場合には、ＳＴ２１６へ進む。検疫対象の端末３に適用すべきセキュリティ製品が適用されていない場合には、ＳＴ４０４へ進む。
【００８１】
検疫対象の端末３がセキュリティ製品適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーションのバージョン情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１６）。
検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致している場合には、ＳＴ２１７へ進む。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致していない場合には、ＳＴ４０５へ進む。
【００８２】
検疫対象の端末３がセキュリティ製品のバージョンも一致している端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報のアプリケーションの設定情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１７）。
検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われている端末である場合には、ＳＴ２１８へ進む。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われていない端末である場合には、ＳＴ４０６へ進む。
【００８３】
検疫対象の端末３がセキュリティ製品の設定が正しく行われている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている稼動プロセス情報と端末情報格納部１５に格納されている端末３の稼動プロセス情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１８）。
稼動していなければならないプロセスとして登録されているプロセスが稼動しており、稼動していてはいけないプロセスとして登録されているプロセスが稼動していない場合には、ＳＴ４０１へ進む。稼動していなければならないプロセスが稼動していない、あるいは稼動してはいけないプロセスが稼動している端末である場合には、ＳＴ４０７へ進む。
【００８４】
アクセス制限指示手段１３は、検疫結果格納部１７に格納された検疫結果を確認し、検疫結果がＯＫであった場合、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスとアクセス先ＵＲＬが存在しないリストとを組み合わせたアクセス情報を作成する（ＳＴ４０１）。
アクセス制限指示手段１３は、ＳＴ４０１で作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００８５】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が未登録端末であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、未登録端末の対策用アクセス先１８ｂを取得する（Ｓ４０２）。
アクセス制限指示手段１３は、ＳＴ４０２にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００８６】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティパッチ未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティパッチ未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０３）。
アクセス制限指示手段１３は、ＳＴ４０３にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００８７】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０４）。
アクセス制限指示手段１３は、ＳＴ４０４にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００８８】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーションバージョン不一致であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーションバージョン不一致の対策用アクセス先１８ｂを取得する（ＳＴ４０５）。
アクセス制限指示手段１３は、ＳＴ４０５にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００８９】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション設定不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション設定不可の対策用アクセス先１８ｂを取得する（ＳＴ４０６）。
アクセス制限指示手段１３は、ＳＴ４０６にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００９０】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が登録プロセス稼動情報不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、登録プロセス稼動情報不可の対策用アクセス先１８ｂを取得する（ＳＴ４０７）。
アクセス制限指示手段１３は、ＳＴ４０７にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００９１】
以上のように、本実施の形態は、アクセス制限情報格納部１８に格納する情報として、アクセス先のＵＲＬと共にＭＡＣアドレス、ＩＰアドレスも同時に設定可能とし、対策は、社内に配備されたサーバと社外に配備されたサーバとの混在であっても実施可能とすることを特徴とするものである。
【００９２】
即ち、本実施の形態は、検疫結果に対応するセキュリティ対策を実施するためにアクセスされ、インターネットを介して接続された第１の対策サーバと、検疫結果に対応するセキュリティ対策を実施するためにアクセスされ、ネットワークを介して接続された第２の対策サーバとを備え、
アクセス制限情報格納部に格納されたアクセス制限情報は、セキュリティ対策を実施するためにアクセスするＵＲＬとＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとＩＰアドレスと含むアクセス先情報と前記識別情報とにより構成され、
アクセス制限指示手段は、検疫判定手段により端末がネットワークに接続してはいけないと検疫判定された時に、アクセス制限情報格納手段に格納されたアクセス先情報のＵＲＬとＭＡＣアドレスとＩＰアドレスとの中から第１の対策サーバ又は第２の対策サーバに対応するアクセス先情報を選択し、この選択したアクセス先情報と検疫判定手段により検疫判定された端末のアドレス情報とにより構成されたアクセス情報を作成し、このアクセス情報をセキュアゲート装置に送信するものである。
【００９３】
なお、検疫判定を行う順序は必ずしも本順序である必要はない。
また、検疫判定を行う項目についても本実施の形態に示したものに限定されるものではない。
また、セキュリティ対策アプリケーションや登録プロセスなどは複数検査対象となっても構わない。
また、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納されるデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
また、本実施の形態では、個々の検疫判定を実施した時点で対策を実施しているが、実施の形態３に示したようにまとめて対策を実施する形態としてもよい。
【００９４】
以上のように、実施の形態５によれば、検疫の結果対策が必要な端末３が検出された場合、対策用のアクセス先としてＵＲＬとＭＡＣアドレスやＩＰアドレスの混在を可能としたことにより、対策用のサーバが社内と社外に混在し、社内のサーバにおいては独自プロトコルによる対策を実施する場合であっても利用可能となる。
【００９５】
実施の形態６．
以上の実施の形態では、検疫ＯＫになった時点ですべてのアクセスを許可するようにしたものであるが、本実施の形態では、端末がネットワークから切り離された時点で、未検疫状態にする場合について説明する。
図２１は、実施の形態６の検疫ネットワークシステムを構成する各装置の構成図であり、図８と同一符号は同一又は相当部分を示し説明を省略する。
図２１において、３０１はセキュアゲート装置２の配下に接続されている端末３のＭＡＣアドレス、ＩＰアドレス、最終通信時間を格納する接続端末情報格納手段としての接続端末情報格納部である。
【００９６】
図２２は、接続端末情報格納部３０１に格納されるアクセス情報の一例を示した図である。
図２２において、３０１ａはセキュアゲート装置２の配下に接続されている端末３のＭＡＣアドレスである。
３０１ｂはセキュアゲート装置２の配下に接続されている端末３のＩＰアドレスである。
３０１ｃはセキュアゲート装置２の配下に接続されている端末３がセキュアゲート装置２を介して実施した最後に通信した時間である最終通信時間である。
図２３は、本実施の形態のアクセス制限情報格納部１８に格納されるアクセス制限情報の一例を示した図である。
【００９７】
次に、動作について説明する。
図２４は、セキュアゲート装置２の処理動作を示すフローチャートである。
まず、図２４を用いてセキュアゲート装置２の動作について説明する。
接続情報取得手段２０９は、自身の配下に端末が接続されてきたかどうかを監視する（ＳＴ２０１）。接続して来た場合にはＳＴ５０２へ進む。接続されてきていない場合には、ＳＴ５０１へ進む。
接続情報取得手段２０９は、接続端末情報格納部３０１に格納されている各端末の最終通信時間３０１ｃを確認する（ＳＴ５０１）。一定時間通信がない端末が存在する場合には、ＳＴ５０３へ進む。一定時間通信がない端末が存在しない場合には、ＳＴ１１１へ進む。
【００９８】
アクセス制御実施手段２１は、管理装置１から送信されたＭＡＣアドレスとアクセス先ＵＲＬリストとにより構成されたアクセス情報を受信する（ＳＴ１１１）。
アクセス制御実施手段２１は、受信した内容からアクセス制限要求か否かを判断する（ＳＴ１１２）。ここで、ＭＡＣアドレスに対応するアクセス先リストが存在する場合は、アクセス制限要求と判断し、ＳＴ１１３へ進む。また、ＭＡＣアドレスに対応するアクセス先リストが存在しない場合は、アクセス制限解除要求と判断し、ＳＴ１１５へ進む。
アクセス制限要求と判断した場合には、ＳＴ１１１で取得したＭＡＣアドレスとアクセス先ＵＲＬリストであるアクセス許可リストとにより構成されたアクセス情報をアクセス情報格納部２２に格納する（ＳＴ１１３）。格納する情報の例は、図１０に示すものである。以降、アクセス制限を指示された端末３の通信は、アクセス許可リスト２２ｂに記載されたものでない場合には、アクセスを遮断し、記載されたもののみを許可する（ＳＴ４０１）。
【００９９】
アクセス制限解除要求と判断した場合には、ＳＴ１１１で取得したアクセス情報のＭＡＣアドレスの情報を基にアクセス情報格納部２２に格納されている該当ＭＡＣアドレスのエントリを削除する（ＳＴ１１５）。以降、アクセス制限の解除を指示された端末３の通信の制限は実施しない（ＳＴ１１６）。
端末３が接続して来た場合には、接続情報取得手段２０９は、接続してきた端末３のＭＡＣアドレス、ＩＰアドレス、現在時刻を取得し、接続端末情報格納部３０１に格納する（ＳＴ５０２）。
接続情報送信手段２１０は、ＳＴ２０２で取得した端末３のＭＡＣアドレス、ＩＰアドレスの情報を管理装置１へ送信する（ＳＴ２０３）。
【０１００】
一定時間通信が行われていない端末が存在した場合には、接続情報取得手段２０９は、接続端末情報格納部３０１から該当端末のＭＡＣアドレス、ＩＰアドレスを取得し、接続端末情報格納部３０１から削除する（ＳＴ５０３）。
接続情報送信手段２１０は、ＳＴ５０３で取得した端末のＭＡＣアドレス、ＩＰアドレスの情報を管理装置１へ送信する（ＳＴ５０４）。
【０１０１】
図２５は、管理装置１の処理動作を示すフローチャートである。
次に、図２５を用いて管理装置２の動作について説明する。
情報収集手段２０１は、端末３（エージェント４）から送信された端末情報あるいはセキュアゲート装置２から送信された端末接続情報を受信する（ＳＴ２１１）。
情報収集手段２０１は、送信元を判断する（ＳＴ２１２）。送信元が端末３の場合には、受信した端末情報を端末情報格納部１５に格納し、ＳＴ２１４へ進む。送信元がセキュアゲート装置２の場合には、受信した端末接続情報を接続情報格納部２０３に格納しＳＴ５０５へ進む。
【０１０２】
検疫判定手段２０２は、送信されてきた情報が端末接続情報か、端末接続切断情報かを判断する（ＳＴ５０５）。端末接続情報の場合には、ＳＴ２１３へ進む。端末接続切断情報の場合には、ＳＴ５０６へ進む。
端末接続情報の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている端末リスト情報２０５の情報と接続情報格納部２０３に格納されている端末接続情報とを比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１３）。
検疫対象の端末３が端末リスト情報２０５に登録されている端末の場合には、ＳＴ２１１へ進む。検疫対象の端末３が端末リスト情報２０５に登録されていない端末の場合には、ＳＴ４０２へ進む。
【０１０３】
検疫対象の端末３が登録されている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている適用セキュリティパッチ情報２０６の情報と端末情報格納部１５に格納されている端末３の端末情報の適用済みセキュリティパッチ情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１４）。
検疫対象の端末３に適用すべきセキュリティパッチが適用されている場合には、ＳＴ２１５へ進む。検疫対象の端末３に適用すべきセキュリティパッチが適用されていない場合には、ＳＴ４０３へ進む。
【０１０４】
検疫対象の端末３がセキュリティパッチ適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーション情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１５）。
検疫対象の端末３に適用すべきセキュリティ製品が適用されている場合には、ＳＴ２１６へ進む。検疫対象の端末３に適用すべきセキュリティ製品が適用されていない場合には、ＳＴ４０４へ進む。
【０１０５】
検疫対象の端末３がセキュリティ製品適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーションのバージョン情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１６）。
検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致している場合には、ＳＴ２１７へ進む。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致していない場合には、ＳＴ４０５へ進む。
【０１０６】
検疫対象の端末３がセキュリティ製品のバージョンも一致している端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報のアプリケーションの設定情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１７）。
検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われている端末である場合には、ＳＴ２１８へ進む。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われていない端末である場合には、ＳＴ４０６へ進む。
【０１０７】
検疫対象の端末３がセキュリティ製品の設定が正しく行われている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている稼動プロセス情報と端末情報格納部１５に格納されている端末３の稼動プロセス情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１８）。稼動していなければならないプロセスとして登録されているプロセスが稼動しており、稼動していてはいけないプロセスとして登録されているプロセスが稼動していない場合には、ＳＴ４０１へ進む。稼動していなければならないプロセスが稼動していない、あるいは稼動してはいけないプロセスが稼動している端末である場合には、ＳＴ４０７へ進む。
【０１０８】
アクセス制限指示手段１３は、検疫結果格納部１７に格納された検疫結果を確認し、検疫結果がＯＫであった場合、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスとアクセス先が存在しないリストとを組み合わせたアクセス情報を（ＳＴ４０１）。
アクセス制限指示手段１３は、ＳＴ４０１で作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１０９】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が未登録端末であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、未登録端末の対策用アクセス先１８ｂを取得する（Ｓ４０２）。
アクセス制限指示手段１３は、ＳＴ４０２にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１１０】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティパッチ未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティパッチ未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０３）。
アクセス制限指示手段１３は、ＳＴ４０３にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１１１】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０４）。
アクセス制限指示手段１３は、ＳＴ４０４にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１１２】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーションバージョン不一致であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーションバージョン不一致の対策用アクセス先１８ｂを取得する（ＳＴ４０５）。
アクセス制限指示手段１３は、ＳＴ４０５にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１１３】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション設定不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション設定不可の対策用アクセス先１８ｂを取得する（ＳＴ４０６）。
アクセス制限指示手段１３は、ＳＴ４０６にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１１４】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が登録プロセス稼動情報不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、登録プロセス稼動情報不可の対策用アクセス先１８ｂを取得する（ＳＴ４０７）。
アクセス制限指示手段１３は、ＳＴ４０７にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
【０１１５】
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
端末接続切断情報の場合には、アクセス制限指示手段１３は、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、未検疫の対策用アクセス先１８ｂを取得する（ＳＴ５０６）。
【０１１６】
なお、検疫判定を行う順序は必ずしも本順序である必要はない。
また、検疫判定を行う項目についても本実施の形態に示したものに限定されるものではない。
また、セキュリティ対策アプリケーションや登録プロセスなどは複数検査対象となっても構わない。
また、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納されるデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
また、本実施の形態では、個々の検疫判定を実施した時点で対策を実施しているが、実施の形態３に示したようにまとめて対策を実施する形態としてもよい。
【０１１７】
以上のように、実施の形態６によれば、ネットワークに接続されていた端末が電源断、ネットワークからの離脱などにより通信を実施しない状態になった場合に、該当端末のアクセス制限を変更することが可能となり、再度端末３がネットワークに接続して来た場合であっても、検疫を実施することを可能とする。
また、ＯＳのダウンなどにより、端末通信が終了したことを通知できない場合であっても、再度端末が接続して来た場合に検疫を実施することが可能となる。
【０１１８】
実施の形態７．
以上の実施の形態では、検疫を実行した時点で端末のアクセス制限を実施するようにしたものであるが、本実施の形態では、端末上で検疫を実行するタイミングを制御する場合について説明する。
図２６は、実施の形態７の検疫ネットワークシステムを構成する各装置の構成図であり、図８と同一符号は同一又は相当部分を示し説明を省略する。
図２６において、４０１は端末がネットワークに接続した場合やユーザからの検疫要求があった等の状態を監視する端末状態監視手段である。
【０１１９】
次に、動作について説明する。
図２７は、端末３上のエージェント４の処理動作を示すフローチャートである。
まず、図２７を用いてエージェント４の動作について説明する。
端末状態監視手段４０１は、ネットワーク接続、ユーザログオン、ユーザからの要求といった検疫を実行するタイミングを監視する（ＳＴ６０１）。
端末状態監視手段４０１は、端末情報（端末状態）を取得する状態になったかどうかを判断する（ＳＴ６０２）。端末情報を取得する状態と判断した場合にはＳＴ１０１へ進む。端末情報を取得する状態ではないと判断した場合にはＳＴ６０１へ進む。
【０１２０】
端末情報取得手段４１は、端末３の端末情報を取得する（ＳＴ１０１）。取得する端末情報としては、ＯＳ名、バージョン、適用サービスパック、適用セキュリティパッチ情報、コンピュータ名、ＩＰアドレス、ＭＡＣアドレス、登録サービス情報、サービス設定情報、稼動プロセス情報、インストールアプリケーション情報、アプリケーションバージョン情報、アプリケーション設定情報などの情報である。
取得が完了すると、端末情報送信手段４２は、管理装置１にＳＴ１０１で取得した端末情報を送信する（ＳＴ１０２）。
【０１２１】
管理装置１にて検疫判定が実行され、検疫結果が送信されてくると、対策実施手段４３は送信されてきた検疫結果を受信する（ＳＴ１０３）。
対策実施手段４３は、検疫結果を確認する（ＳＴ１０４）。検疫の結果、問題ないと判断された場合にはＳＴ６０１へ進む。問題あると判断された場合には、ＳＴ１０５へ進む。
対策実施手段４３は、管理装置１から送信された検疫結果を基に端末に対するセキュリティ対策の実施を行い、再度検疫を実行するためにＳＴ６０１へ進み、ユーザからの端末情報の取得要求を出す（ＳＴ１０５）。
【０１２２】
以上のように、端末側で検疫を実行するためのタイミングを監視するようにしたことで、単にネットワーク接続時のみの検疫ではなく、システムにて検疫が必要と考えられるタイミングを定義することにより、検疫を実施することが可能となる。
また、端末状態を監視するようにしたことで、一旦ネットワークに接続された端末がネットワークケーブルを抜き、再度接続したタイミングであっても検疫を実施することが可能となる。
【０１２３】
実施の形態８．
以上の実施の形態では、端末側からの検疫要求を実施するタイミングとしてネットワーク接続時やログオン時、ユーザからの要求時に実施するようにしたものであるが、本実施の形態では、登録プロセスの稼動状態に基づき検疫を実行する場合について説明する。
図２８は、実施の形態８の検疫ネットワークシステムを構成する各装置の構成図であり、図８と同一符号は同一又は相当部分を示し説明を省略する。
図２８において、５０１は検疫を実施するタイミング情報を端末３上のエージェント４に配布する監視対象情報配布手段である。
５０２は、端末３上のエージェント４にて検疫を実施するための情報取得を実施するタイミングを格納した監視対象情報格納手段としての監視対象情報格納部である。
５０３は、監視対象となる監視対象情報を管理装置１から取得する監視対象情報取得手段である。
５０４は、監視対象情報取得手段５０３が取得した監視対象情報を格納する監視情報格納部である。
【０１２４】
次に、動作について説明する。
図２９は、端末３上のエージェント４の処理動作を示すフローチャートである。
まず、図２９を用いてエージェント４の動作について説明する。
監視対象情報取得手段５０３は、管理装置１より監視対象情報を取得し、監視情報格納部５０４に取得した情報を格納する（ＳＴ７０１）。
端末状態監視手段４０１は、監視情報格納部５０４に格納されている監視項目を監視する。監視する項目として指定する項目はネットワーク接続、ユーザログオン、ユーザからの要求、稼動していなければならないプロセスのダウン、稼動してはいけないプロセスの稼動といった検疫を実行するタイミングを監視する（ＳＴ６０１）。
【０１２５】
端末状態監視手段４０１は、端末情報を取得する状態になったかどうかを判断する（ＳＴ６０２）。端末情報を取得する状態と判断した場合にはＳＴ１０１へ進む。端末情報を取得する状態ではないと判断した場合にはＳＴ６０１へ進む。
端末情報取得手段４１は、端末３の端末情報を取得する（ＳＴ１０１）。取得する端末情報としては、ＯＳ名、バージョン、適用サービスパック、適用セキュリティパッチ情報、コンピュータ名、ＩＰアドレス、ＭＡＣアドレス、登録サービス情報、サービス設定情報、稼動プロセス情報、インストールアプリケーション情報、アプリケーションバージョン情報、アプリケーション設定情報などの情報である。
取得が完了すると、端末情報送信手段４２は、管理装置１にＳＴ１０１で取得した端末情報を送信する（ＳＴ１０２）。
【０１２６】
管理装置１にて検疫判定が実行され、検疫結果が送信されてくると、対策実施手段４３は送信されてきた検疫結果を受信する（ＳＴ１０３）。
対策実施手段４３は、検疫結果を確認する（ＳＴ１０４）。検疫の結果、問題ないと判断された場合には、ＳＴ６０１へ進む。問題あると判断された場合には、ＳＴ１０５へ進む。
対策実施手段４３は、管理装置１から送信された検疫結果を基に端末に対するセキュリティ対策の実施を行い、再度検疫を実行するためにＳＴ６０１へ進み、ユーザからの端末情報の取得要求を出す（ＳＴ１０５）。
【０１２７】
図３０は、管理装置１の処理動作を示すフローチャートである。
次に、図３０を用いて管理装置１の動作について説明する。
情報収集手段２０１は、端末３（エージェント４）から送信された端末情報あるいはセキュアゲート装置２から送信された端末接続情報を受信する（ＳＴ２１１）。
情報収集手段２０１は、送信元を判断する（ＳＴ２１２）。送信元が端末３の場合には、ＳＴ７０２へ進む。送信元がセキュアゲート装置２の場合には、受信した端末接続情報を接続情報格納部２０３に格納しＳＴ５０５へ進む。
情報収集手段２０１は、端末３からの情報送信が監視情報の取得か端末情報の送信かを判断する（ＳＴ７０２）。監視情報の取得の場合には、ＳＴ７０３へ進む。端末情報の送信の場合には、受信した端末情報を端末情報格納部１５に格納し、ＳＴ２１４へ進む。
【０１２８】
監視対象情報配布手段５０１は、監視対象情報格納部５０２に格納されている情報とセキュリティ情報格納部２０４の中の稼動プロセス情報２０８を取得し、端末３に送付する（ＳＴ７０３）。
検疫判定手段２０２は、送信されてきた情報が端末接続情報か、端末接続切断情報かを判断する（ＳＴ５０５）。端末接続情報の場合には、ＳＴ２１３へ進む。端末接続切断情報の場合には、ＳＴ５０６へ進む。
【０１２９】
端末接続情報の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている端末リスト情報２０５の情報と接続情報格納部２０３に格納されている端末接続情報とを比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１３）。
検疫対象の端末３が端末リスト情報２０５に登録されている端末の場合には、ＳＴ２１１へ進む。検疫対象の端末３が端末リスト情報２０５に登録されていない端末の場合には、ＳＴ４０２へ進む。
【０１３０】
検疫対象の端末３が登録されている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている適用セキュリティパッチ情報２０６の情報と端末情報格納部１５に格納されている端末３の端末情報の適用済みセキュリティパッチ情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１４）。
検疫対象の端末３に適用すべきセキュリティパッチが適用されている場合には、ＳＴ２１５へ進む。検疫対象の端末３に適用すべきセキュリティパッチが適用されていない場合には、ＳＴ４０３へ進む。
【０１３１】
検疫対象の端末３がセキュリティパッチ適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーション情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１５）。
検疫対象の端末３に適用すべきセキュリティ製品が適用されている場合には、ＳＴ２１６へ進む。検疫対象の端末３に適用すべきセキュリティ製品が適用されていない場合には、ＳＴ４０４へ進む。
【０１３２】
検疫対象の端末３がセキュリティ製品適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーションのバージョン情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１６）。
検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致している場合には、ＳＴ２１７へ進む。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致していない場合には、ＳＴ４０５へ進む。
【０１３３】
検疫対象の端末３がセキュリティ製品のバージョンも一致している端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報のアプリケーションの設定情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１７）。
検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われている端末である場合には、ＳＴ２１８へ進む。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われていない端末である場合には、ＳＴ４０６へ進む。
【０１３４】
検疫対象の端末３がセキュリティ製品の設定が正しく行われている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている稼動プロセス情報と端末情報格納部１５に格納されている端末３の稼動プロセス情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１８）。稼動していなければならないプロセスとして登録されているプロセスが稼動しており、稼動していてはいけないプロセスとして登録されているプロセスが稼動していない場合には、ＳＴ４０１へ進む。稼動していなければならないプロセスが稼動していない、あるいは稼動してはいけないプロセスが稼動している端末である場合には、ＳＴ４０７へ進む。
【０１３５】
アクセス制限指示手段１３は、検疫結果格納部１７に格納された検疫結果を確認し、検疫結果がＯＫであった場合、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスとアクセス先が存在しないリストとを組み合わせたアクセス情報を作成する（ＳＴ４０１）。
アクセス制限指示手段１３は、ＳＴ４０１で作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１３６】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が未登録端末であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、未登録端末の対策用アクセス先１８ｂを取得する（Ｓ４０２）。
アクセス制限指示手段１３は、ＳＴ４０２にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１３７】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティパッチ未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティパッチ未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０３）。
アクセス制限指示手段１３は、ＳＴ４０３にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１３８】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０４）。
アクセス制限指示手段１３は、ＳＴ４０４にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施するＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１３９】
アクセス制限指示手段１３は、検疫結果格納部に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーションバージョン不一致であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーションバージョン不一致の対策用アクセス先１８ｂを取得する（ＳＴ４０５）。
アクセス制限指示手段１３は、ＳＴ４０５にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１４０】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション設定不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション設定不可の対策用アクセス先１８ｂを取得する（ＳＴ４０６）。
アクセス制限指示手段１３は、ＳＴ４０６にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１４１】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が登録プロセス稼動情報不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、登録プロセス稼動情報不可の対策用アクセス先１８ｂを取得する（ＳＴ４０７）。
アクセス制限指示手段１３は、ＳＴ４０７にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
【０１４２】
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
端末接続切断情報の場合には、アクセス制限指示手段１３は、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、未検疫の対策用アクセス先１８ｂを取得する（ＳＴ５０６）。
【０１４３】
なお、検疫判定を行う順序は必ずしも本順序である必要はない。
また、検疫判定を行う項目についても本実施の形態に示したものに限定されるものではない。
また、セキュリティ対策アプリケーションや登録プロセスなどは複数検査対象となっても構わない。
また、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納されるデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
また、本実施の形態では、個々の検疫判定を実施した時点で対策を実施しているが、実施の形態３に示したようにまとめて対策を実施する形態としてもよい。
【０１４４】
以上のように、実施の形態８によれば、端末側で検疫を実行するためのタイミングを管理装置上で設定し、配布する形態としたことにより、システムにて検疫が必要と考えられるタイミングをすべての端末に反映させることが可能となる。
【図面の簡単な説明】
【０１４５】
【図１】実施の形態１の検疫ネットワークシステムの構成図。
【図２】実施の形態１における検疫ネットワークシステムの各装置の構成図。
【図３】実施の形態１においてアクセス制限情報格納部１８に格納されるアクセス制限情報を示した図。
【図４】実施の形態１においてアクセス情報格納部２２に格納されるアクセス情報を示した図。
【図５】実施の形態１におけるエージェント４の処理動作を示すフローチャート。
【図６】実施の形態１におけるセキュアゲート装置２の処理動作を示すフローチャート。
【図７】実施の形態１における管理装置１の処理動作を示すフローチャート。
【図８】実施の形態２における検疫ネットワークシステムの各装置の構成図。
【図９】実施の形態２においてアクセス制限情報格納部１８に格納されるアクセス制限情報を示した図。
【図１０】実施の形態２においてアクセス情報格納部２２に格納されるアクセス情報を示した図。
【図１１】実施の形態２におけるセキュアゲート装置２の処理動作を示すフローチャート。
【図１２】実施の形態２における管理装置１の処理動作を示すフローチャート。
【図１３】実施の形態３における管理装置１の処理動作を示すフローチャート。
【図１４】実施の形態３においてアクセス情報格納部２２に格納されるアクセス情報を示した図。
【図１５】実施の形態４においてアクセス制限情報格納部１８に格納されるアクセス制限情報を示した図。
【図１６】実施の形態５の検疫ネットワークシステムの構成図。
【図１７】実施の形態５においてアクセス制限情報格納部１８に格納されるアクセス制限情報を示した図。
【図１８】実施の形態５においてアクセス情報格納部２２に格納されるアクセス情報を示した図。
【図１９】実施の形態５におけるセキュアゲート装置２の処理動作を示すフローチャート。
【図２０】実施の形態５における管理装置１の処理動作を示すフローチャート。
【図２１】実施の形態６における検疫ネットワークシステムの各装置の構成図。
【図２２】実施の形態６において接続端末情報格納部３０１に格納されるアクセス情報を示した図。
【図２３】実施の形態６においてアクセス制限情報格納部１８に格納されるアクセス制限情報を示した図。
【図２４】実施の形態６におけるセキュアゲート装置２の処理動作を示すフローチャート。
【図２５】実施の形態６における管理装置１の処理動作を示すフローチャート。
【図２６】実施の形態７における検疫ネットワークシステムの各装置の構成図。
【図２７】実施の形態７におけるエージェント４の処理動作を示すフローチャート。
【図２８】実施の形態８における検疫ネットワークシステムの各装置の構成図。
【図２９】実施の形態８におけるエージェント４の処理動作を示すフローチャート。
【図３０】実施の形態８における管理装置１の処理動作を示すフローチャート。
【符号の説明】
【０１４６】
１ 管理装置、２ セキュアゲート装置、３ 端末、４ エージェント、５ 通信回線、６ プロキシサーバ、７ 対策サーバ、８ ＷＷＷサーバ、９ インターネット、１１ 情報収集手段、１２ 検疫判定手段、１３ アクセス制限指示手段、１４ 対策指示手段、１５ 端末情報格納部、１６ セキュリティ情報格納部、１７ 検疫結果格納部、１８ アクセス制限情報格納部、２１ アクセス制限実施手段、２２ アクセス情報格納部、４１ 端末情報取得手段、４２ 端末情報送信手段、４３ 対策実施手段、２０１ 情報収集手段、２０２ 検疫判定手段、２０３ 接続情報格納部、２０４ セキュリティ情報格納部、２０５ 端末リスト情報、２０６ 適用セキュリティパッチ情報、２０７ セキュリティ製品情報、２０８ 稼動プロセス情報、２０９ 接続情報取得手段、２１０ 接続情報送信手段、３０１ 対策サーバ、４０１ 端末状態監視手段、５０１ 監視対象情報配布手段、５０２ 監視対象情報格納部、５０３ 監視対象情報取得手段、５０４ 監視情報格納部。
【技術分野】
【０００１】
この発明は、端末がネットワークに接続するときにネットワークに接続しても良いか否か検疫判定する検疫ネットワークシステムに関するものである。
【背景技術】
【０００２】
従来の検疫ネットワークシステムは、接続制御サーバにて接続を行ってきた端末の接続条件の判定を行い、ネットワークスイッチの切り替えによって、接続非許可の端末をネットワーク接続の遮断状態で修復を行っていた（例えば、特許文献１）。
また、ＵＲＬのリストに基づいて、アクセス先制限を実施する方法も提案されている（例えば、特許文献２）。
【特許文献１】特許第３７２８５３６号公報
【特許文献２】特許第３１６１４２１号公報
【発明の開示】
【発明が解決しようとする課題】
【０００３】
例えば、特許文献１の方式は、ネットワークスイッチの切り替えにより遮断状態と接続状態の切り替えを実施する形態であるため、プロキシ経由でアクセスする社外の対策用のサーバを利用することができないという問題点があった。
また、プロキシ経由でアクセス可能とするためのＵＲＬフィルタリングの技術として特許文献２の方式もあるが、端末の状態に応じてアクセス先を変更することは出来ないという問題点があった。
この発明は上記のような問題点を解決するためになされたもので、セキュリティ対策が行われていない端末を、端末の状態に応じ、プロキシサーバ経由でアクセスする対策用のサーバであっても、動的に対策用のサーバへのアクセスのみに制限し、社外に配備された対策用のサーバを利用したセキュリティ対策を行うことを目的とする。
【課題を解決するための手段】
【０００４】
この発明に係る検疫ネットワークシステムは、端末上に設置され、この端末から取得した端末情報を送信するエージェントと、
前記端末がネットワークに接続してよいか否かの検疫判定をするための判定基準情報を格納する判定基準情報格納手段と、前記エージェントにより送信された前記端末情報と前記判定基準情報格納手段に格納された前記判定基準情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をする検疫判定手段と、前記検疫判定手により検疫判定された検疫結果と対応付けをする識別情報と前記検疫結果に対応するセキュリティ対策を実施するためにアクセスするアクセス先情報とにより構成されたアクセス制限情報が格納されたアクセス制限情報格納手段と、前記検疫判定手段により前記端末がネットワークに接続してはいけないと検疫判定された時に、前記アクセス制限情報格納手段に格納された前記アクセス制限情報のアクセス先情報を取得し、このアクセス先情報と前記検疫判定手段により検疫判定された前記端末のアドレス情報とにより構成されたアクセス情報を作成し、このアクセス情報を送信するアクセス制限指示手段とを有し、前記端末とネットワークを介して接続された管理装置と、
前記端末及び前記管理装置とネットワークを介して接続され、前記管理装置により送信された前記アクセス情報に基づいて前記端末の通信を前記アクセス情報のアクセス先情報にのみ許可をするセキュアゲート装置と、を備えたものである。
【発明の効果】
【０００５】
この発明は、端末に設置されたエージェントが端末から取得した端末情報を管理装置に送信し、管理装置がエージェントから送信された端末情報と端末がネットワークに接続してよいか否かの検疫判定をするための判定基準情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をし、端末がネットワークに接続してはいけないと検疫判定された時に、セキュリティ対策を実施するためにアクセスするアクセス先情報と検疫判定された端末のアドレス情報とにより構成されたアクセス情報をセキュアゲート装置に送信し、セキュアゲート装置が管理装置により送信されたアクセス情報であるＵＲＬに基づいて端末の通信をアクセス情報のアクセス先情報にのみ許可をすることにより、プロキシサーバ経由でアクセスする対策用のサーバを利用し、端末のセキュリティ対策を実施することが可能となる。
【発明を実施するための最良の形態】
【０００６】
実施の形態１．
図１は、本実施の形態に係る検疫ネットワークシステムの構成図である。
図に示すように、検疫ネットワークシステムは、管理装置１、セキュアゲート装置２、端末３を備えている。管理装置１、セキュアゲート装置２、端末３は、通信回線５を介して接続されている。
管理装置１は、セキュアゲート装置２を介して端末３に対する検疫を行う。
セキュアゲート装置２は、管理装置１からの指示に従い、端末３のアクセス制限を実施する。また、端末３は、エージェント４を備えている。
エージェント４は、端末３に関する情報を収集し、管理装置１に送信し、検疫を実行する。
通信回線５は、例えばイントラネット、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）等のネットワークである。
プロキシサーバ６は、社外に配備されているサーバに内部ネットワークからアクセス可能とするための中継サーバである。
対策サーバ７は、検疫の結果対策が必要となった端末３が対策を実施するためにアクセスするサーバである。
ＷＷＷサーバ８は、社外に配備されている一般のＷＷＷサーバである。
【０００７】
図２は、実施の形態１の検疫ネットワークシステムを構成する各装置の構成図である。
図２において、１１は端末３上のエージェント４が取得した端末情報を収集し、収集した端末情報を端末情報格納部１５に格納する情報収集手段である。
１２は端末情報格納部１５に格納された端末情報とセキュリティ情報格納部１６に格納されたセキュリティ情報を利用し、ネットワーク接続を実施してきている端末３がネットワークに接続してよい状態であるか否かを判定し、判定結果である検疫結果を検疫結果格納部１７に格納する検疫判定手段である。
１３は検疫結果格納部１７に格納された検疫結果を基にアクセス制限情報格納部１８に格納されている対策用アクセス先のＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）リストを取得し、検疫を実施した端末のＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスの情報と対策用アクセス先のＵＲＬリスト（アクセス許可リスト）とにより構成されたアクセス情報を作成し、これをセキュアゲート装置２に送信し、アクセス制限を指示するアクセス制限指示手段である。
１４は検疫結果格納部１７に格納された検疫結果を端末３に通知し、対策実施を指示する対策指示手段である。
【０００８】
１５は端末３上のエージェント４が取得した端末情報を格納する端末情報格納手段としての端末情報格納部である。
１６は端末３がネットワークに接続してよい状態であるか否かを判定するための判定基準情報であるセキュリティ情報を格納する判定基準情報格納手段としてのセキュリティ情報格納部である。
１７は検疫判定手段１２が判定した検疫結果の情報を格納する検疫結果格納手段としての検疫結果格納部である。
１８は検疫結果と、その対策を実施するために必要なアクセス先のＵＲＬ（対策用アクセス先）と、により構成されたアクセス制限情報を格納するアクセス制限情報格納手段としてのである。
【０００９】
２１は管理装置１から送信されてきたアクセス情報をアクセス情報格納部２２に格納し、該当端末の通信を指定されたアクセス先に制限するアクセス制限実施手段である。
２２は管理装置１から送信されてきた端末を識別するＭＡＣアドレスとアクセス先のＵＲＬリストを示すアクセス許可リストとにより構成されたアクセス情報を格納するアクセス情報格納手段としてのアクセス情報格納部である。
【００１０】
４１は端末上のＯＳ情報やセキュリティ対策製品の情報、稼動プロセスの情報などの端末情報を取得する端末情報取得手段である。
４２は端末情報取得手段４１が取得した端末情報を管理装置に送信する端末情報送信手段である。
４３は管理装置１からの指示に従い端末に対するセキュリティ対策の実施を行う対策実施手段である。
【００１１】
図３は、実施の形態１のアクセス制限情報格納部１８に格納されるアクセス制限情報の一例を示した図である。
図３において、１８ａは検疫結果格納部１７に格納される検疫結果と対応付けを実施するための識別情報を格納する検疫結果である。
１８ｂは検疫結果に基づき対策を実施するためにアクセスするアクセス先のＵＲＬのリストが格納された対策用アクセス先である。
【００１２】
図４は、実施の形態１のアクセス情報格納部２２に格納されるアクセス情報の一例を示した図である。
図４において、２２ａはアクセス制限を実施する対象の端末を識別するＭＡＣアドレスを格納するＭＡＣアドレスである。
２２ｂはＭＡＣアドレス２２ａに指定されたＭＡＣアドレスの端末の通信を許可するアクセス先のＵＲＬのリスト、即ちＭＡＣアドレスの端末の通信を許可するアクセス許可リストが格納されたアクセス許可リストである。
【００１３】
次に、動作について説明する。
図５〜図７は、実施の形態１の検疫ネットワークシステムの処理動作を示すフローチャートである。ここでは、管理装置１とセキュアゲート装置２と端末３上のエージェント４との処理を示している。
まず、図５を用いて端末３上のエージェント４の動作について説明する。
端末情報取得手段４１は、端末３の端末情報を取得する（ＳＴ１０１）。取得する端末情報としては、ＯＳ名、バージョン、適用サービスパック、適用セキュリティパッチ情報、コンピュータ名、ＩＰアドレス、ＭＡＣアドレス、登録サービス情報、サービス設定情報、稼動プロセス情報、インストールアプリケーション情報、アプリケーションバージョン情報、アプリケーション設定情報などの情報である。
【００１４】
取得が完了すると、端末情報送信手段４２は、管理装置１にＳＴ１０１で取得した端末情報を送信する（ＳＴ１０２）。管理装置１にて検疫判定が実行され、検疫結果が送信されてくると、対策実施手段４３は送信されてきた検疫結果を受信する（ＳＴ１０３）。
対策実施手段４３は、検疫結果を確認する（ＳＴ１０４）。検疫の結果、問題ないと判断された場合には終了する。問題あると判断された場合には、ＳＴ１０５へ進む。
対策実施手段４３は、管理装置１から送信された検疫結果を基に端末に対するセキュリティ対策の実施を行い、再度検疫を実行するためにＳＴ１０１へ進む（ＳＴ１０５）。
【００１５】
次に、図４、図６を用いてセキュアゲート装置２の動作について説明する。
アクセス制御実施手段２１は、管理装置１から送信されたＭＡＣアドレスとアクセス先ＵＲＬリストとにより構成されたアクセス情報を受信する（ＳＴ１１１）。
アクセス制御実施手段２１は、受信した内容からアクセス制限要求か否かを判断する（ＳＴ１１２）。ここで、ＭＡＣアドレスに対応するアクセス先ＵＲＬリストが存在する場合は、アクセス制限要求と判断し、ＳＴ１１３へ進む。また、ＭＡＣアドレスに対応するアクセス先ＵＲＬリストが存在しない場合は、アクセス制限解除要求と判断し、ＳＴ１１５へ進む。
【００１６】
アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限要求と判断した場合には、ＳＴ１１１で取得したＭＡＣアドレスとアクセス先ＵＲＬリストであるアクセス許可リストとにより構成されたアクセス情報をアクセス情報格納部２２に格納する（ＳＴ１１３）。格納する情報の例を図４に示す。
アクセス制限を指示された端末３の通信は、アクセス許可リスト２２ｂに記載されたものでない場合には、アクセスを遮断し、記載されたもののみを許可する（ＳＴ１１４）。
【００１７】
また、アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限要求でないと判断した場合、即ちアクセス制限解除要求と判断した場合には、ＳＴ１１１で取得したアクセス情報のＭＡＣアドレスの情報を基にアクセス情報格納部２２に格納されている該当ＭＡＣアドレスのエントリを削除する（ＳＴ１１５）。
さらに、指定されたＭＡＣアドレスに対するアクセス先制限の解除を実施し、アクセス制限の解除を指示された端末３の通信の制限は実施しない（ＳＴ１１６）。
【００１８】
次に、図３、図７を用いて管理装置１の動作について説明する。
情報収集手段１１は、端末３（エージェント４）から送信された端末情報を受信する（ＳＴ１２１）。
情報収集手段１１は、収集した端末情報を端末情報格納部１５に格納する（ＳＴ１２２）。
検疫判定手段１２は、ＳＴ１２１で収集した端末情報とセキュリティ情報格納部１６に格納された判定基準情報とを基に端末３がネットワークに接続してよいか否かの検疫判定を実施し、検疫結果格納部１７に検疫結果を格納する（ＳＴ１２３）。
アクセス制限指示手段１３は、ＳＴ１２３にて検疫結果格納部１７に格納された検疫結果を参照する（ＳＴ１２４）。検疫結果がＮＧであった場合には、ＳＴ１２５へ進む。検疫結果がＯＫであった場合には、ＳＴ１２９へ進む。
【００１９】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果の情報を取得し、検疫対象の端末３が検疫ＮＧであると判断し、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＮＧの対策用アクセス先１８ｂ、即ち検疫結果に基づき対策を実施するために必要な対策用のアクセス先のＵＲＬを取得する（ＳＴ１２５）。
アクセス制限指示手段１３は、ＳＴ１２５にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００２０】
一方、検疫結果がＯＫであった場合、アクセス制限指示手段１３は、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスと、アクセス先ＵＲＬが存在しないリストとを組み合わせたアクセス情報を作成する（ＳＴ１２９）。
アクセス制限指示手段１３は、ＳＴ１２９で作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
【００２１】
なお、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納される判定基準情報のデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
【００２２】
以上のように、実施の形態１によれば、検疫の結果対策が必要な端末３が検出された場合、アクセス制限情報格納部１８に格納されているＵＲＬのリストへのアクセスのみとする制限を実施するようセキュアゲート装置２に対して指示するようにしたため、プロキシサーバなどを経由しアクセスする対策サーバ７を、ＷＷＷサーバ８などの一般に社外に配備されているサーバへのアクセスは遮断した状態で、対策サーバ７へのアクセスのみに制限し、セキュリティ対策を実施することが可能となる。
また、ＵＲＬのリストを設定可能とする構成としていることから、対策を実施するために複数のＵＲＬへのアクセスが必要な場合にも対応可能となる。
さらに、アクセス制限を端末から離れた管理装置１とセキュアゲート装置２にて実施していることから、悪意のあるユーザによって設定を変更されることがない。
【００２３】
実施の形態２．
実施の形態１では、検疫結果がＮＧであると判断した場合に、該当端末を識別するＭＡＣアドレスとアクセス制限リストに登録されているＵＲＬをセキュアゲート装置に指示し、対策が完了するまでアクセス先を対策に必要なＵＲＬのみにするようにしたものであるが、本実施の形態では、検疫項目が多岐にわたっている場合に、それぞれの検疫結果に対応したアクセス先ＵＲＬに限定する場合について説明する。
【００２４】
図８は、実施の形態２の検疫ネットワークシステムを構成する各装置の構成図である。
図８において、２０１は端末３上のエージェント４やセキュアゲート装置２が取得した情報を収集し、エージェント４から収集した端末情報を端末情報格納部１５に格納し、セキュアゲート装置２から収集した端末接続情報を接続情報格納部２０３に格納する情報収集手段である。
２０２は端末情報格納部１５に格納された端末情報と接続情報格納部２０３に格納された端末接続情報とセキュリティ情報格納部１６に格納されたセキュリティ情報とを利用し、ネットワーク接続を実施してきている端末３がネットワークに接続してよい状態であるか否かを判定し、判定結果である検疫結果を検疫結果格納部１７に格納する検疫判定手段である。
【００２５】
２０３はセキュアゲート装置２から収集した接続端末の端末接続情報を格納する接続情報格納部である。
２０４は端末３がネットワークに接続してよい状態であるか否かを判定するための判定基準情報であるセキュリティ情報を格納するセキュリティ情報格納手段としてのセキュリティ情報格納部である。セキュリティ情報格納部には例えば、以下のような情報が格納される。
２０５は管理対象のネットワーク内に接続可能な端末のリストを格納した端末リスト情報である。
２０６は適用すべきセキュリティパッチ情報を格納した適用セキュリティパッチ情報である。
２０７は適用すべきセキュリティ製品のアプリケーション名、バージョン、設定情報を格納したセキュリティ製品情報である。
２０８は端末３上で稼動していなければならないプロセス、稼動してはいけないプロセスのプロセス名、実行パスを格納した稼動プロセス情報である。
【００２６】
２０９はセキュアゲート装置２の配下に端末３が接続されたタイミングや、定期的に接続されている端末のＭＡＣアドレス、ＩＰアドレスの情報（端末接続情報）を取得する接続情報取得手段である。
２１０は接続情報取得手段２０９にて取得した端末接続情報を管理装置１に送信する接続情報送信手段である。
図９は、実施の形態２のアクセス制限情報格納部１８に格納されるアクセス制限情報の一例を示した図である。
図１０は、実施の形態２のアクセス情報格納部２２に格納されるアクセス情報の一例を示した図である。
【００２７】
次に、動作について説明する。
まず、図１０、図１１を用いてセキュアゲート装置２の動作について説明する。
接続情報取得手段２０９は、自身の配下に端末が接続されてきたかどうかを監視する（ＳＴ２０１）。接続して来た場合にはＳＴ２０２へ進む。接続されてきていない場合には、ＳＴ１１１へ進む。
端末３が接続されてきていない場合には、アクセス制御実施手段２１は、管理装置１から送信されたＭＡＣアドレスとアクセス先ＵＲＬリストとにより構成されたアクセス情報を受信する（ＳＴ１１１）。
アクセス制御実施手段２１は、受信した内容からアクセス制限要求か否かを判断する（ＳＴ１１２）。ここで、ＭＡＣアドレスに対応するアクセス先ＵＲＬリストが存在する場合は、アクセス制限要求と判断し、ＳＴ１１３へ進む。また、ＭＡＣアドレスに対応するアクセス先ＵＲＬリストが存在しない場合は、アクセス制限解除要求と判断し、ＳＴ１１５へ進む。
【００２８】
アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限要求と判断した場合には、ＳＴ１１１で取得したＭＡＣアドレスとアクセス先ＵＲＬリストであるアクセス許可リストとにより構成されたアクセス情報をアクセス情報格納部２２に格納する（ＳＴ１１３）。格納する情報の例を図１０に示す。以降、アクセス制限を指示された端末３の通信は、アクセス許可リスト２２ｂに記載されたものでない場合には、アクセスを遮断し、記載されたもののみを許可する（ＳＴ１１４）。
【００２９】
アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限解除要求と判断した場合には、ＳＴ１１１で取得したアクセス情報のＭＡＣアドレスの情報を基にアクセス情報格納部２２に格納されている該当ＭＡＣアドレスのエントリを削除する（ＳＴ１１５）。以降、アクセス制限の解除を指示された端末３の通信の制限は実施しない（ＳＴ１１６）。
【００３０】
端末３が接続して来た場合には、接続情報取得手段２０９は、接続してきた端末３のＭＡＣアドレスとＩＰアドレスの情報とからなる端末接続情報を取得する（ＳＴ２０２）。
接続情報送信手段２１０は、ＳＴ２０２で取得した端末３の端末接続情報を管理装置１へ送信する（ＳＴ２０３）。
【００３１】
次に、図９、図１２を用いて管理装置１の動作について説明する。
情報収集手段２０１は、端末３（エージェント４）から送信された端末情報あるいはセキュアゲート装置２から送信された端末接続情報を受信する（ＳＴ２１１）。
情報収集手段２０１は、送信元を判断する（ＳＴ２１２）。送信元が端末３の場合には、受信した端末情報を端末情報格納部１５に格納し、ＳＴ２１４へ進む。送信元がセキュアゲート装置２の場合には、受信した端末接続情報を接続情報格納部２０３に格納しＳＴ２１３へ進む。
【００３２】
送信元がセキュアゲート装置２の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている端末リスト情報２０５の情報と接続情報格納部２０３に格納されている端末接続情報とを比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１３）。
検疫対象の端末３が端末リスト情報２０５に登録されている端末の場合には、ＳＴ２１１へ進む。検疫対象の端末３が端末リスト情報２０５に登録されていない端末の場合には、ＳＴ２１９へ進む。
【００３３】
送信元が端末３の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている適用セキュリティパッチ情報２０６の情報と端末情報格納部１５に格納されている端末３の端末情報の適用済みセキュリティパッチ情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１４）。
検疫対象の端末３に適用すべきセキュリティパッチが適用されている場合には、ＳＴ２１５へ進む。検疫対象の端末３に適用すべきセキュリティパッチが適用されていない場合には、ＳＴ２２０へ進む。
【００３４】
検疫対象の端末３がセキュリティパッチ適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーション情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１５）。
検疫対象の端末３に適用すべきセキュリティ製品が適用されている場合には、ＳＴ２１６へ進む。検疫対象の端末３に適用すべきセキュリティ製品が適用されていない場合には、ＳＴ２２１へ進む。
【００３５】
検疫対象の端末３がセキュリティ製品適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーションのバージョン情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１６）。
検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致している場合には、ＳＴ２１７へ進む。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致していない場合には、ＳＴ２２２へ進む。
【００３６】
検疫対象の端末３がセキュリティ製品のバージョンも一致している端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報のアプリケーションの設定情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１７）。
検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われている端末である場合には、ＳＴ２１８へ進む。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われていない端末である場合には、ＳＴ２２３へ進む。
【００３７】
検疫対象の端末３がセキュリティ製品の設定が正しく行われている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている稼動プロセス情報と端末情報格納部１５に格納されている端末３の稼動プロセス情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１８）。
稼動していなければならないプロセスとして登録されているプロセスが稼動しており、稼動していてはいけないプロセスとして登録されているプロセスが稼動していない場合には、ＳＴ１２９へ進む。稼動していなければならないプロセスが稼動していない、あるいは稼動してはいけないプロセスが稼動している端末である場合には、ＳＴ２２４へ進む。
【００３８】
アクセス制限指示手段１３は、検疫結果格納部１７に格納された検疫結果を確認し、検疫結果がＯＫであった場合、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスと、アクセス先ＵＲＬが存在しないリストとを組み合わせたアクセス情報を作成する（ＳＴ１２９）。
アクセス制限指示手段１３は、ＳＴ１２９で作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００３９】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が未登録端末であると判断し、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、未登録端末の対策用アクセス先１８ｂを取得する（Ｓ２１９）。
アクセス制限指示手段１３は、ＳＴ２１９にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４０】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティパッチ未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティパッチ未適用の対策用アクセス先１８ｂを取得する（ＳＴ２２０）。
アクセス制限指示手段１３は、ＳＴ２２０にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４１】
アクセス制限指示手段１３は、検疫結果格納部に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション未適用の対策用アクセス先１８ｂを取得する（ＳＴ２２１）。
アクセス制限指示手段１３は、ＳＴ２２１にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４２】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーションバージョン不一致であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーションバージョン不一致の対策用アクセス先１８ｂを取得する（ＳＴ２２２）。
アクセス制限指示手段１３は、ＳＴ２２２にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４３】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション設定不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション設定不可の対策用アクセス先１８ｂを取得する（ＳＴ２２３）。
アクセス制限指示手段１３は、ＳＴ２２３にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４４】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が登録プロセス稼動情報不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、登録プロセス稼動情報不可の対策用アクセス先１８ｂを取得する（ＳＴ２２４）。
アクセス制限指示手段１３は、ＳＴ２２４にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ１２６）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００４５】
以上のように、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、ＯＳの種別ごとのセキュリティパッチ情報を保持し、アクセス制限情報格納部１８にＯＳのセキュリティパッチが未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストを保持し、端末情報取得手段４１にて端末の使用するＯＳ情報、ＯＳバージョン情報、適用セキュリティパッチ情報を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されているセキュリティパッチ情報を比較し、接続端末がネットワークに接続可能であるかどうかを判断し、アクセス制限指示手段１３は、検疫判定手段２０２がセキュリティパッチ未適用端末の接続と判断した場合に、アクセス制限情報格納部１８に格納されているセキュリティパッチ未適用端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先をセキュリティパッチ未適用端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００４６】
また、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、セキュリティ対策製品情報を保持し、アクセス制限情報格納部１８にセキュリティ対策製品未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストを保持し、端末情報取得手段４１にて取得する情報として適用アプリケーション情報を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されているセキュリティ対策製品情報を比較し、接続端末がネットワークに接続可能であるかどうかを判断し、アクセス制限指示手段１３は、検疫判定手段２０２がセキュリティ対策製品未適用端末の接続と判断した場合に、アクセス制限情報格納部１８に格納されているセキュリティ対策製品未適用端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先をセキュリティ対策製品未適用端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００４７】
また、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、セキュリティ対策製品バージョン情報を保持し、アクセス制限情報格納部１８にセキュリティ対策製品バージョン不一致の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストを保持し、
端末情報取得手段４１にて取得する情報としてセキュリティ対策製品バージョン情報を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されているセキュリティ対策製品バージョン情報を比較し、接続端末がネットワークに接続可能であるかどうかを判断し、アクセス制限指示手段１３は、検疫判定手段２０２がセキュリティ対策製品バージョン不一致端末の接続と判断した場合に、アクセス制限情報格納部１８に格納されているセキュリティ対策製品バージョン不一致端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先をセキュリティ対策製品バージョン不一致端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００４８】
また、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、セキュリティ対策製品設定情報を保持し、アクセス制限情報格納部１８にセキュリティ対策製品設定不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストを保持し、端末情報取得手段４１にて取得する情報としてセキュリティ対策製品設定情報を取得し、検疫判定手段１３が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されているセキュリティ対策製品設定情報を比較し、接続端末がネットワークに接続可能であるかどうかを判断し、
アクセス制限指示手段１３は、検疫判定手段２０２がセキュリティ対策製品設定不備端末の接続と判断した場合に、アクセス制限情報格納部１８に格納されているセキュリティ対策製品設定不備端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先をセキュリティ対策製品設定不備端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００４９】
また、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、端末上で稼動する登録プロセス稼動情報を保持し、アクセス制限情報格納部１８に登録プロセス稼動状況不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストを保持し、端末情報取得手段４１にて取得する情報として稼動プロセス情報を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されている登録プロセス稼動情報を比較し、接続端末がネットワークに接続可能であるかどうかを判断し、アクセス制限指示手段１３は、検疫判定手段２０２が登録プロセス稼動不備端末の接続と判断した場合に、アクセス制限情報格納部１８に格納されている登録プロセス稼動不備端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先を登録プロセス不備端末接続時に対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００５０】
また、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、ネットワークに接続可能な端末リスト情報、ＯＳの種別ごとのセキュリティパッチ情報、セキュリティ対策製品情報、セキュリティ対策製品バージョン情報、セキュリティ対策製品設定情報、登録プロセス稼動情報の１つないし複数を保持し、アクセス制限情報格納部１８に未登録端末の接続時に実施すべき対策を行う際にアクセスするＵＲＬのリスト、ＯＳのセキュリティパッチが未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品バージョン不一致の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品設定不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、登録プロセス稼動状況不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストの１つないし複数を保持し、端末情報取得手段４１にて取得する情報として、ＯＳ情報、ＯＳバージョン情報、適用セキュリティパッチ情報、適用アプリケーション情報、セキュリティ対策製品バージョン情報、セキュリティ対策製品設定情報、稼動プロセス情報の１つないし複数を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されている各情報を順番に比較し、接続端末がネットワークに接続可能であるかどうかを判断し、ネットワークへの接続が不可であると判断した時点で、判断を終了し、アクセス制限指示手段１３は、検疫判定手段２０２がネットワークアクセス不可と判断した場合に、アクセス制限情報格納部１８に格納されているネットワークアクセス不可と判断した原因に基づいた対策用として許可すべきアクセス先ＵＲＬのリストを取得し、セキュアゲート装置２に該当端末のアクセス先を対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００５１】
なお、検疫判定を行う順序は必ずしも本順序である必要はない。
また、検疫判定を行う項目についても本実施の形態に示したものに限定されるものではない。
また、セキュリティ対策アプリケーションや登録プロセスなどは複数検査対象となっても構わない。
また、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納されるデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
【００５２】
以上のように、実施の形態２によれば、検疫の結果対策が必要な端末３が検出された場合、その結果に対応した対策用のアクセス先にのみ端末３の接続を動的に変更することが可能となり、端末の状態に応じた対策用のアクセス先にのみ通信を制限した対策を実施することが可能となる。
【００５３】
実施の形態３．
実施の形態２では、個別の検疫判定ごとにアクセス先ＵＲＬを制限するようにしたものであるが、本実施の形態では、それらの検疫をすべて実施した結果、複数の対策が必要な場合にその結果のリストを組み合わせたアクセス先ＵＲＬに限定する場合について説明する。
なお、本実施の形態における検疫ネットワークシステムを構成する各装置の構成は図８と同様である。
【００５４】
次に、動作について説明する。
図９、図１３、図１４を用いて管理装置１の動作について説明する。
情報収集手段２０１は、送信元を判断する（ＳＴ２１２）。送信元が端末３の場合には、受信した端末情報を端末情報格納部１５に格納し、ＳＴ２１４へ進む。
送信元がセキュアゲート装置２の場合には、受信した端末接続情報を接続情報格納部２０３に格納しＳＴ２１３へ進む。
検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている端末リスト情報２０５の情報と接続情報格納部２０３に格納されている端末接続情報とを比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１３）。
検疫対象の端末３が端末リスト情報２０５に登録されている端末の場合には、ＳＴ２１１へ進む。検疫対象の端末３が端末リスト情報２０５に登録されていない端末の場合には、ＳＴ２１９へ進む。
【００５５】
検疫対象の端末３が登録されている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている適用セキュリティパッチ情報２０６の情報と端末情報格納部１５に格納されている端末３の端末情報の適用済みセキュリティパッチ情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１４）。
検疫対象の端末３に適用すべきセキュリティパッチが適用されている場合には、ＳＴ２１５へ進む。検疫対象の端末３に適用すべきセキュリティパッチが適用されていない場合には、ＳＴ２２０へ進む。
【００５６】
検疫対象の端末３がセキュリティパッチ適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーション情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１５）。検疫対象の端末３に適用すべきセキュリティ製品が適用されている場合には、ＳＴ２１６へ進む。検疫対象の端末３に適用すべきセキュリティ製品が適用されていない場合には、ＳＴ２２１へ進む。
【００５７】
検疫対象の端末３がセキュリティ製品適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーションのバージョン情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１６）。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致している場合には、ＳＴ２１７へ進む。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致していない場合には、ＳＴ２２２へ進む。
【００５８】
検疫対象の端末３がセキュリティ製品のバージョンも一致している端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報のアプリケーションの設定情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１７）。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われている端末である場合には、ＳＴ２１８へ進む。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われていない端末である場合には、ＳＴ２２３へ進む。
【００５９】
検疫対象の端末３がセキュリティ製品の設定が正しく行われている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている稼動プロセス情報と端末情報格納部１５に格納されている端末３の稼動プロセス情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１８）。稼動していなければならないプロセスとして登録されているプロセスが稼動しており、稼動していてはいけないプロセスとして登録されているプロセスが稼動していない場合には、ＳＴ３０１へ進む。稼動していなければならないプロセスが稼動していない、あるいは稼動してはいけないプロセスが稼動している端末である場合には、ＳＴ２２４へ進む。
【００６０】
アクセス制限指示手段１３は、ＳＴ２１３〜ＳＴ２１８の検疫判定にて検疫結果格納部１７に格納された検疫結果を参照する（ＳＴ３０１）。検疫結果がＮＧであった場合には、ＳＴ３０２へ進む。検疫結果がＯＫであった場合には、ＳＴ１２９へ進む。
検疫結果がＯＫであった場合、アクセス制限指示手段１３は、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスとアクセス先ＵＲＬが存在しないリストとを組み合わせたアクセス情報を作成する（ＳＴ１２９）。
アクセス制限指示手段１３は、ＳＴ１２９で作成したアクセス情報をセキュアゲート装置に送信し、アクセス情報のＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００６１】
検疫結果がＮＧであった場合、アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫ＮＧになった要因のすべてを取得し、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＮＧになった全ての要因のアクセス先リストを取得し、端末３の対策のために必要なすべてのアクセス先リストを生成する。
【００６２】
ＭＡＣアドレス11-11-11-11-11-11の端末がセキュリティパッチ未適用でかつセキュリティ対策アプリケーション未適用であった場合のリスト（アクセス情報）の例を図１４に示す。
図９に示したセキュリティパッチ未適用の対策用アクセス先のリストとセキュリティ対策アプリケーション未適用のアクセス先のリストをマージし、重複を除去したリスト（アクセス情報）を生成する（ＳＴ３０２）。
アクセス制限指示手段１３は、ＳＴ１２６にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００６３】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が未登録端末であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、未登録端末の対策用アクセス先１８ｂを取得する（Ｓ２１９）。
アクセス制限指示手段１３は、ＳＴ２１９にて取得した対策用アクセス先１８ｂ（アクセス許可リスト）と検疫を実施した端末３のＭＡＣアドレスを組み合わせたアクセス情報を作成する（ＳＴ３０２）。
アクセス制限指示手段１３は、ＳＴ３０２にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００６４】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティパッチ未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティパッチ未適用の対策用アクセス先１８ｂを取得する（ＳＴ２２０）。
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション未適用の対策用アクセス先１８ｂを取得する（ＳＴ２２１）。
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーションバージョン不一致であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーションバージョン不一致の対策用アクセス先１８ｂを取得する（ＳＴ２２２）。
【００６５】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション設定不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション設定不可の対策用アクセス先１８ｂを取得する（ＳＴ２２３）。
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が登録プロセス稼動情報不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、登録プロセス稼動情報不可の対策用アクセス先１８ｂを取得する（ＳＴ２２４）。
【００６６】
以上のように、本実施の形態は、セキュリティ情報格納部２０４に格納する情報として、ネットワークに接続可能な端末リスト情報、ＯＳの種別ごとのセキュリティパッチ情報、セキュリティ対策製品情報、セキュリティ対策製品バージョン情報、セキュリティ対策製品設定情報、
登録プロセス稼動情報の１つないし複数を保持し、アクセス制限情報格納部１８に未登録端末の接続時に実施すべき対策を行う際にアクセスするＵＲＬのリスト、ＯＳのセキュリティパッチが未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品未適用の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品バージョン不一致の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、セキュリティ対策製品設定不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリスト、登録プロセス稼動状況不備の場合に実施すべき対策を行う際にアクセスするＵＲＬのリストの１つないし複数を保持し、端末情報取得手段４１にて取得する情報として、ＯＳ情報、ＯＳバージョン情報、適用セキュリティパッチ情報、適用アプリケーション情報、セキュリティ対策製品バージョン情報、セキュリティ対策製品設定情報、稼動プロセス情報の１つないし複数を取得し、検疫判定手段２０２が、エージェント４からの端末情報と、セキュリティ情報格納部２０４に格納されている各情報をすべて比較し、接続端末がネットワークに接続可能であるかどうかを判断し、アクセス制限指示手段１３は、検疫判定手段２０２がネットワークアクセス不可と判断した場合に、アクセス制限情報格納部１８に格納されているネットワークアクセス不可と判断した１つないし複数の原因に基づいた対策用として許可すべきアクセス先ＵＲＬのリストをそれぞれ取得し、セキュアゲート装置２に該当端末のアクセス先を対策用として許可すべきアクセス先ＵＲＬのリストのみとする指示を出すことを特徴とするものである。
【００６７】
なお、検疫判定を行う順序は必ずしも本順序である必要はない。
また、検疫判定を行う項目についても本実施の形態に示したものに限定されるものではない。
また、セキュリティ対策アプリケーションや登録プロセスなどは複数検査対象となっても構わない。
また、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納されるデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
【００６８】
以上のように、実施の形態３によれば、検疫の結果対策が必要な端末３が検出された場合、対策用のアクセス先のみに端末３の接続を動的に変更することが可能となり、端末の状態に応じた対策用のアクセス先にのみ通信を制限した対策を実施することが可能となる。
【００６９】
実施の形態４．
以上の実施の形態では、ＵＲＬを静的に指定したものであるが、本実施の形態では、動的に変更するＵＲＬに対応可能とする場合について説明する。
図１５は、本実施の形態のアクセス制限情報格納部１８に格納されるアクセス制限情報の一例を示した図である。
図１５に示したように対策用アクセス先としてワイルドカードや正規表現を用いたアクセス先のリストを設定可能とし、アクセス制限を実施する形態とする。
【００７０】
以上のように、本実施の形態は、アクセス制限情報格納部１８に格納する情報として、アクセス先のＵＲＬの指定をワイルドカードや正規表現を利用した設定を可能とし、対策は、指定されたＵＲＬのパターンにマッチしたもののみへのアクセスに制限することにより、対策時に動的にＵＲＬが変更される仕組みにも対応可能としたことを特徴とするものである。
【００７１】
実施の形態４によれば、検疫の結果対策が必要な端末３が検出された場合、対策用のアクセス先のＵＲＬとして一意に決定されるＵＲＬと複数に展開されるＵＲＬを指定し、アクセス先制限を実施可能としたことにより、動的に変更されるＵＲＬに対応することが可能となる。
【００７２】
実施の形態５．
以上の実施の形態では、ＵＲＬでのアクセス制限を実施するようにしたものであるが、本実施の形態では、一部の対策はＵＲＬのみではなく、サーバのＭＡＣアドレスやＩＰアドレスを利用したものを組み合わせた対策を実施する場合について説明する。
図１６は、本実施の形態に係る検疫ネットワークシステムの構成図であり、図１と同一符号は同一又は相当部分を示し説明を省略する。
図１６において、３０１は検疫の結果対策が必要となった端末３が対策を実施するためにアクセスする社内に配備された対策サーバである。
【００７３】
図１７は、本実施の形態のアクセス制限情報格納部１８に格納されるアクセス制限情報の一例を示した図である。ここで、アクセス制限情報格納部１８に格納されたアクセス制限情報は、セキュリティ対策を実施するためにアクセスするＵＲＬ、ＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレス、ＩＰアドレスのいずれか、あるいはそれらの組み合わせを含むアクセス先情報と前記識別情報とにより構成される。
図１８は、本実施の形態のアクセス情報格納部２２に格納されるアクセス情報の一例を示した図である。
なお、本実施の形態の検疫ネットワークシステムを構成する各装置の構成は、図８で説明した構成と同様である。
【００７４】
次に、動作について説明する。
図１９は、セキュアゲート装置２の処理動作を示すフローチャートである。
まず、図１９を用いてセキュアゲート装置２の動作について説明する。
接続情報取得手段２０９は、自身の配下に端末が接続されてきたかどうかを監視する（ＳＴ２０１）。接続して来た場合にはＳＴ２０２へ進む。接続されてきていない場合には、ＳＴ１１１へ進む。
端末３が接続されてきていない場合には、アクセス制御実施手段２１は、管理装置１から送信されたＭＡＣアドレスとアクセス先リストとにより構成されたアクセス情報を受信する（ＳＴ１１１）。
アクセス制御実施手段２１は、受信した内容からアクセス制限要求か否かを判断する（ＳＴ１１２）。ここで、ＭＡＣアドレスに対応するアクセス先リストが存在する場合は、アクセス制限要求と判断し、ＳＴ１１３へ進む。また、ＭＡＣアドレスに対応するアクセス先リストが存在しない場合は、アクセス制限解除要求と判断し、ＳＴ１１５へ進む。
【００７５】
アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限要求と判断した場合には、ＳＴ１１１で取得したＭＡＣアドレスとアクセス先ＵＲＬリストであるアクセス許可リストとにより構成されたアクセス情報をアクセス情報格納部２２に格納する（ＳＴ１１３）。格納する情報の例は、図１０に示すものである。以降、アクセス制限を指示された端末３の通信は、アクセス許可リスト２２ｂに記載されたものでない場合には、アクセスを遮断し、記載されたもののみを許可する（ＳＴ４０１）。
アクセス制御実施手段２１は、ＳＴ１１２でアクセス制限解除要求と判断した場合には、ＳＴ１１１で取得したアクセス情報のＭＡＣアドレスの情報を基にアクセス情報格納部２２に格納されている該当ＭＡＣアドレスのエントリを削除する（ＳＴ１１５）。以降、アクセス制限の解除を指示された端末３の通信の制限は実施しない（ＳＴ１１６）。
【００７６】
端末３が接続して来た場合には、接続情報取得手段２０９は、接続してきた端末３のＭＡＣアドレスとＩＰアドレスの情報とからなる端末接続情報を取得する（ＳＴ２０２）。
接続情報送信手段２１０は、ＳＴ２０２で取得した端末３の端末接続情報を管理装置１へ送信する（ＳＴ２０３）。
【００７７】
図２０は、管理装置１の処理動作を示すフローチャートである。
次に、図２０を用いて管理装置１の動作について説明する。
情報収集手段２０１は、端末３（エージェント４）から送信された端末情報あるいはセキュアゲート装置２から送信された端末接続情報を受信する（ＳＴ２１１）。
情報収集手段２０１は、送信元を判断する（ＳＴ２１２）。送信元が端末３の場合には、受信した端末情報を端末情報格納部１５に格納し、ＳＴ２１４へ進む。送信元がセキュアゲート装置２の場合には、受信した端末接続情報を接続情報格納部２０３に格納しＳＴ２１３へ進む。
【００７８】
送信元がセキュアゲート装置２の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている端末リスト情報２０５の情報と接続情報格納部２０３に格納されている端末接続情報とを比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１３）。
検疫対象の端末３が端末リスト情報２０５に登録されている端末の場合には、ＳＴ２１１へ進む。検疫対象の端末３が端末リスト情報２０５に登録されていない端末の場合には、ＳＴ４０２へ進む。
【００７９】
送信元が端末３の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている適用セキュリティパッチ情報２０６の情報と端末情報格納部１５に格納されている端末３の端末情報の適用済みセキュリティパッチ情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１４）。
検疫対象の端末３に適用すべきセキュリティパッチが適用されている場合には、ＳＴ２１５へ進む。検疫対象の端末３に適用すべきセキュリティパッチが適用されていない場合には、ＳＴ４０３へ進む。
【００８０】
検疫対象の端末３がセキュリティパッチ適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーション情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１５）。
検疫対象の端末３に適用すべきセキュリティ製品が適用されている場合には、ＳＴ２１６へ進む。検疫対象の端末３に適用すべきセキュリティ製品が適用されていない場合には、ＳＴ４０４へ進む。
【００８１】
検疫対象の端末３がセキュリティ製品適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーションのバージョン情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１６）。
検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致している場合には、ＳＴ２１７へ進む。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致していない場合には、ＳＴ４０５へ進む。
【００８２】
検疫対象の端末３がセキュリティ製品のバージョンも一致している端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報のアプリケーションの設定情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１７）。
検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われている端末である場合には、ＳＴ２１８へ進む。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われていない端末である場合には、ＳＴ４０６へ進む。
【００８３】
検疫対象の端末３がセキュリティ製品の設定が正しく行われている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている稼動プロセス情報と端末情報格納部１５に格納されている端末３の稼動プロセス情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１８）。
稼動していなければならないプロセスとして登録されているプロセスが稼動しており、稼動していてはいけないプロセスとして登録されているプロセスが稼動していない場合には、ＳＴ４０１へ進む。稼動していなければならないプロセスが稼動していない、あるいは稼動してはいけないプロセスが稼動している端末である場合には、ＳＴ４０７へ進む。
【００８４】
アクセス制限指示手段１３は、検疫結果格納部１７に格納された検疫結果を確認し、検疫結果がＯＫであった場合、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスとアクセス先ＵＲＬが存在しないリストとを組み合わせたアクセス情報を作成する（ＳＴ４０１）。
アクセス制限指示手段１３は、ＳＴ４０１で作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００８５】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が未登録端末であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、未登録端末の対策用アクセス先１８ｂを取得する（Ｓ４０２）。
アクセス制限指示手段１３は、ＳＴ４０２にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００８６】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティパッチ未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティパッチ未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０３）。
アクセス制限指示手段１３は、ＳＴ４０３にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００８７】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０４）。
アクセス制限指示手段１３は、ＳＴ４０４にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００８８】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーションバージョン不一致であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーションバージョン不一致の対策用アクセス先１８ｂを取得する（ＳＴ４０５）。
アクセス制限指示手段１３は、ＳＴ４０５にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００８９】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション設定不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション設定不可の対策用アクセス先１８ｂを取得する（ＳＴ４０６）。
アクセス制限指示手段１３は、ＳＴ４０６にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００９０】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が登録プロセス稼動情報不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、登録プロセス稼動情報不可の対策用アクセス先１８ｂを取得する（ＳＴ４０７）。
アクセス制限指示手段１３は、ＳＴ４０７にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【００９１】
以上のように、本実施の形態は、アクセス制限情報格納部１８に格納する情報として、アクセス先のＵＲＬと共にＭＡＣアドレス、ＩＰアドレスも同時に設定可能とし、対策は、社内に配備されたサーバと社外に配備されたサーバとの混在であっても実施可能とすることを特徴とするものである。
【００９２】
即ち、本実施の形態は、検疫結果に対応するセキュリティ対策を実施するためにアクセスされ、インターネットを介して接続された第１の対策サーバと、検疫結果に対応するセキュリティ対策を実施するためにアクセスされ、ネットワークを介して接続された第２の対策サーバとを備え、
アクセス制限情報格納部に格納されたアクセス制限情報は、セキュリティ対策を実施するためにアクセスするＵＲＬとＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとＩＰアドレスと含むアクセス先情報と前記識別情報とにより構成され、
アクセス制限指示手段は、検疫判定手段により端末がネットワークに接続してはいけないと検疫判定された時に、アクセス制限情報格納手段に格納されたアクセス先情報のＵＲＬとＭＡＣアドレスとＩＰアドレスとの中から第１の対策サーバ又は第２の対策サーバに対応するアクセス先情報を選択し、この選択したアクセス先情報と検疫判定手段により検疫判定された端末のアドレス情報とにより構成されたアクセス情報を作成し、このアクセス情報をセキュアゲート装置に送信するものである。
【００９３】
なお、検疫判定を行う順序は必ずしも本順序である必要はない。
また、検疫判定を行う項目についても本実施の形態に示したものに限定されるものではない。
また、セキュリティ対策アプリケーションや登録プロセスなどは複数検査対象となっても構わない。
また、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納されるデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
また、本実施の形態では、個々の検疫判定を実施した時点で対策を実施しているが、実施の形態３に示したようにまとめて対策を実施する形態としてもよい。
【００９４】
以上のように、実施の形態５によれば、検疫の結果対策が必要な端末３が検出された場合、対策用のアクセス先としてＵＲＬとＭＡＣアドレスやＩＰアドレスの混在を可能としたことにより、対策用のサーバが社内と社外に混在し、社内のサーバにおいては独自プロトコルによる対策を実施する場合であっても利用可能となる。
【００９５】
実施の形態６．
以上の実施の形態では、検疫ＯＫになった時点ですべてのアクセスを許可するようにしたものであるが、本実施の形態では、端末がネットワークから切り離された時点で、未検疫状態にする場合について説明する。
図２１は、実施の形態６の検疫ネットワークシステムを構成する各装置の構成図であり、図８と同一符号は同一又は相当部分を示し説明を省略する。
図２１において、３０１はセキュアゲート装置２の配下に接続されている端末３のＭＡＣアドレス、ＩＰアドレス、最終通信時間を格納する接続端末情報格納手段としての接続端末情報格納部である。
【００９６】
図２２は、接続端末情報格納部３０１に格納されるアクセス情報の一例を示した図である。
図２２において、３０１ａはセキュアゲート装置２の配下に接続されている端末３のＭＡＣアドレスである。
３０１ｂはセキュアゲート装置２の配下に接続されている端末３のＩＰアドレスである。
３０１ｃはセキュアゲート装置２の配下に接続されている端末３がセキュアゲート装置２を介して実施した最後に通信した時間である最終通信時間である。
図２３は、本実施の形態のアクセス制限情報格納部１８に格納されるアクセス制限情報の一例を示した図である。
【００９７】
次に、動作について説明する。
図２４は、セキュアゲート装置２の処理動作を示すフローチャートである。
まず、図２４を用いてセキュアゲート装置２の動作について説明する。
接続情報取得手段２０９は、自身の配下に端末が接続されてきたかどうかを監視する（ＳＴ２０１）。接続して来た場合にはＳＴ５０２へ進む。接続されてきていない場合には、ＳＴ５０１へ進む。
接続情報取得手段２０９は、接続端末情報格納部３０１に格納されている各端末の最終通信時間３０１ｃを確認する（ＳＴ５０１）。一定時間通信がない端末が存在する場合には、ＳＴ５０３へ進む。一定時間通信がない端末が存在しない場合には、ＳＴ１１１へ進む。
【００９８】
アクセス制御実施手段２１は、管理装置１から送信されたＭＡＣアドレスとアクセス先ＵＲＬリストとにより構成されたアクセス情報を受信する（ＳＴ１１１）。
アクセス制御実施手段２１は、受信した内容からアクセス制限要求か否かを判断する（ＳＴ１１２）。ここで、ＭＡＣアドレスに対応するアクセス先リストが存在する場合は、アクセス制限要求と判断し、ＳＴ１１３へ進む。また、ＭＡＣアドレスに対応するアクセス先リストが存在しない場合は、アクセス制限解除要求と判断し、ＳＴ１１５へ進む。
アクセス制限要求と判断した場合には、ＳＴ１１１で取得したＭＡＣアドレスとアクセス先ＵＲＬリストであるアクセス許可リストとにより構成されたアクセス情報をアクセス情報格納部２２に格納する（ＳＴ１１３）。格納する情報の例は、図１０に示すものである。以降、アクセス制限を指示された端末３の通信は、アクセス許可リスト２２ｂに記載されたものでない場合には、アクセスを遮断し、記載されたもののみを許可する（ＳＴ４０１）。
【００９９】
アクセス制限解除要求と判断した場合には、ＳＴ１１１で取得したアクセス情報のＭＡＣアドレスの情報を基にアクセス情報格納部２２に格納されている該当ＭＡＣアドレスのエントリを削除する（ＳＴ１１５）。以降、アクセス制限の解除を指示された端末３の通信の制限は実施しない（ＳＴ１１６）。
端末３が接続して来た場合には、接続情報取得手段２０９は、接続してきた端末３のＭＡＣアドレス、ＩＰアドレス、現在時刻を取得し、接続端末情報格納部３０１に格納する（ＳＴ５０２）。
接続情報送信手段２１０は、ＳＴ２０２で取得した端末３のＭＡＣアドレス、ＩＰアドレスの情報を管理装置１へ送信する（ＳＴ２０３）。
【０１００】
一定時間通信が行われていない端末が存在した場合には、接続情報取得手段２０９は、接続端末情報格納部３０１から該当端末のＭＡＣアドレス、ＩＰアドレスを取得し、接続端末情報格納部３０１から削除する（ＳＴ５０３）。
接続情報送信手段２１０は、ＳＴ５０３で取得した端末のＭＡＣアドレス、ＩＰアドレスの情報を管理装置１へ送信する（ＳＴ５０４）。
【０１０１】
図２５は、管理装置１の処理動作を示すフローチャートである。
次に、図２５を用いて管理装置２の動作について説明する。
情報収集手段２０１は、端末３（エージェント４）から送信された端末情報あるいはセキュアゲート装置２から送信された端末接続情報を受信する（ＳＴ２１１）。
情報収集手段２０１は、送信元を判断する（ＳＴ２１２）。送信元が端末３の場合には、受信した端末情報を端末情報格納部１５に格納し、ＳＴ２１４へ進む。送信元がセキュアゲート装置２の場合には、受信した端末接続情報を接続情報格納部２０３に格納しＳＴ５０５へ進む。
【０１０２】
検疫判定手段２０２は、送信されてきた情報が端末接続情報か、端末接続切断情報かを判断する（ＳＴ５０５）。端末接続情報の場合には、ＳＴ２１３へ進む。端末接続切断情報の場合には、ＳＴ５０６へ進む。
端末接続情報の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている端末リスト情報２０５の情報と接続情報格納部２０３に格納されている端末接続情報とを比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１３）。
検疫対象の端末３が端末リスト情報２０５に登録されている端末の場合には、ＳＴ２１１へ進む。検疫対象の端末３が端末リスト情報２０５に登録されていない端末の場合には、ＳＴ４０２へ進む。
【０１０３】
検疫対象の端末３が登録されている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている適用セキュリティパッチ情報２０６の情報と端末情報格納部１５に格納されている端末３の端末情報の適用済みセキュリティパッチ情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１４）。
検疫対象の端末３に適用すべきセキュリティパッチが適用されている場合には、ＳＴ２１５へ進む。検疫対象の端末３に適用すべきセキュリティパッチが適用されていない場合には、ＳＴ４０３へ進む。
【０１０４】
検疫対象の端末３がセキュリティパッチ適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーション情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１５）。
検疫対象の端末３に適用すべきセキュリティ製品が適用されている場合には、ＳＴ２１６へ進む。検疫対象の端末３に適用すべきセキュリティ製品が適用されていない場合には、ＳＴ４０４へ進む。
【０１０５】
検疫対象の端末３がセキュリティ製品適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーションのバージョン情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１６）。
検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致している場合には、ＳＴ２１７へ進む。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致していない場合には、ＳＴ４０５へ進む。
【０１０６】
検疫対象の端末３がセキュリティ製品のバージョンも一致している端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報のアプリケーションの設定情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１７）。
検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われている端末である場合には、ＳＴ２１８へ進む。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われていない端末である場合には、ＳＴ４０６へ進む。
【０１０７】
検疫対象の端末３がセキュリティ製品の設定が正しく行われている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている稼動プロセス情報と端末情報格納部１５に格納されている端末３の稼動プロセス情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１８）。稼動していなければならないプロセスとして登録されているプロセスが稼動しており、稼動していてはいけないプロセスとして登録されているプロセスが稼動していない場合には、ＳＴ４０１へ進む。稼動していなければならないプロセスが稼動していない、あるいは稼動してはいけないプロセスが稼動している端末である場合には、ＳＴ４０７へ進む。
【０１０８】
アクセス制限指示手段１３は、検疫結果格納部１７に格納された検疫結果を確認し、検疫結果がＯＫであった場合、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスとアクセス先が存在しないリストとを組み合わせたアクセス情報を（ＳＴ４０１）。
アクセス制限指示手段１３は、ＳＴ４０１で作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１０９】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が未登録端末であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、未登録端末の対策用アクセス先１８ｂを取得する（Ｓ４０２）。
アクセス制限指示手段１３は、ＳＴ４０２にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１１０】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティパッチ未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティパッチ未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０３）。
アクセス制限指示手段１３は、ＳＴ４０３にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１１１】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０４）。
アクセス制限指示手段１３は、ＳＴ４０４にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１１２】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーションバージョン不一致であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーションバージョン不一致の対策用アクセス先１８ｂを取得する（ＳＴ４０５）。
アクセス制限指示手段１３は、ＳＴ４０５にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１１３】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション設定不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション設定不可の対策用アクセス先１８ｂを取得する（ＳＴ４０６）。
アクセス制限指示手段１３は、ＳＴ４０６にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１１４】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が登録プロセス稼動情報不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、登録プロセス稼動情報不可の対策用アクセス先１８ｂを取得する（ＳＴ４０７）。
アクセス制限指示手段１３は、ＳＴ４０７にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
【０１１５】
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
端末接続切断情報の場合には、アクセス制限指示手段１３は、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、未検疫の対策用アクセス先１８ｂを取得する（ＳＴ５０６）。
【０１１６】
なお、検疫判定を行う順序は必ずしも本順序である必要はない。
また、検疫判定を行う項目についても本実施の形態に示したものに限定されるものではない。
また、セキュリティ対策アプリケーションや登録プロセスなどは複数検査対象となっても構わない。
また、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納されるデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
また、本実施の形態では、個々の検疫判定を実施した時点で対策を実施しているが、実施の形態３に示したようにまとめて対策を実施する形態としてもよい。
【０１１７】
以上のように、実施の形態６によれば、ネットワークに接続されていた端末が電源断、ネットワークからの離脱などにより通信を実施しない状態になった場合に、該当端末のアクセス制限を変更することが可能となり、再度端末３がネットワークに接続して来た場合であっても、検疫を実施することを可能とする。
また、ＯＳのダウンなどにより、端末通信が終了したことを通知できない場合であっても、再度端末が接続して来た場合に検疫を実施することが可能となる。
【０１１８】
実施の形態７．
以上の実施の形態では、検疫を実行した時点で端末のアクセス制限を実施するようにしたものであるが、本実施の形態では、端末上で検疫を実行するタイミングを制御する場合について説明する。
図２６は、実施の形態７の検疫ネットワークシステムを構成する各装置の構成図であり、図８と同一符号は同一又は相当部分を示し説明を省略する。
図２６において、４０１は端末がネットワークに接続した場合やユーザからの検疫要求があった等の状態を監視する端末状態監視手段である。
【０１１９】
次に、動作について説明する。
図２７は、端末３上のエージェント４の処理動作を示すフローチャートである。
まず、図２７を用いてエージェント４の動作について説明する。
端末状態監視手段４０１は、ネットワーク接続、ユーザログオン、ユーザからの要求といった検疫を実行するタイミングを監視する（ＳＴ６０１）。
端末状態監視手段４０１は、端末情報（端末状態）を取得する状態になったかどうかを判断する（ＳＴ６０２）。端末情報を取得する状態と判断した場合にはＳＴ１０１へ進む。端末情報を取得する状態ではないと判断した場合にはＳＴ６０１へ進む。
【０１２０】
端末情報取得手段４１は、端末３の端末情報を取得する（ＳＴ１０１）。取得する端末情報としては、ＯＳ名、バージョン、適用サービスパック、適用セキュリティパッチ情報、コンピュータ名、ＩＰアドレス、ＭＡＣアドレス、登録サービス情報、サービス設定情報、稼動プロセス情報、インストールアプリケーション情報、アプリケーションバージョン情報、アプリケーション設定情報などの情報である。
取得が完了すると、端末情報送信手段４２は、管理装置１にＳＴ１０１で取得した端末情報を送信する（ＳＴ１０２）。
【０１２１】
管理装置１にて検疫判定が実行され、検疫結果が送信されてくると、対策実施手段４３は送信されてきた検疫結果を受信する（ＳＴ１０３）。
対策実施手段４３は、検疫結果を確認する（ＳＴ１０４）。検疫の結果、問題ないと判断された場合にはＳＴ６０１へ進む。問題あると判断された場合には、ＳＴ１０５へ進む。
対策実施手段４３は、管理装置１から送信された検疫結果を基に端末に対するセキュリティ対策の実施を行い、再度検疫を実行するためにＳＴ６０１へ進み、ユーザからの端末情報の取得要求を出す（ＳＴ１０５）。
【０１２２】
以上のように、端末側で検疫を実行するためのタイミングを監視するようにしたことで、単にネットワーク接続時のみの検疫ではなく、システムにて検疫が必要と考えられるタイミングを定義することにより、検疫を実施することが可能となる。
また、端末状態を監視するようにしたことで、一旦ネットワークに接続された端末がネットワークケーブルを抜き、再度接続したタイミングであっても検疫を実施することが可能となる。
【０１２３】
実施の形態８．
以上の実施の形態では、端末側からの検疫要求を実施するタイミングとしてネットワーク接続時やログオン時、ユーザからの要求時に実施するようにしたものであるが、本実施の形態では、登録プロセスの稼動状態に基づき検疫を実行する場合について説明する。
図２８は、実施の形態８の検疫ネットワークシステムを構成する各装置の構成図であり、図８と同一符号は同一又は相当部分を示し説明を省略する。
図２８において、５０１は検疫を実施するタイミング情報を端末３上のエージェント４に配布する監視対象情報配布手段である。
５０２は、端末３上のエージェント４にて検疫を実施するための情報取得を実施するタイミングを格納した監視対象情報格納手段としての監視対象情報格納部である。
５０３は、監視対象となる監視対象情報を管理装置１から取得する監視対象情報取得手段である。
５０４は、監視対象情報取得手段５０３が取得した監視対象情報を格納する監視情報格納部である。
【０１２４】
次に、動作について説明する。
図２９は、端末３上のエージェント４の処理動作を示すフローチャートである。
まず、図２９を用いてエージェント４の動作について説明する。
監視対象情報取得手段５０３は、管理装置１より監視対象情報を取得し、監視情報格納部５０４に取得した情報を格納する（ＳＴ７０１）。
端末状態監視手段４０１は、監視情報格納部５０４に格納されている監視項目を監視する。監視する項目として指定する項目はネットワーク接続、ユーザログオン、ユーザからの要求、稼動していなければならないプロセスのダウン、稼動してはいけないプロセスの稼動といった検疫を実行するタイミングを監視する（ＳＴ６０１）。
【０１２５】
端末状態監視手段４０１は、端末情報を取得する状態になったかどうかを判断する（ＳＴ６０２）。端末情報を取得する状態と判断した場合にはＳＴ１０１へ進む。端末情報を取得する状態ではないと判断した場合にはＳＴ６０１へ進む。
端末情報取得手段４１は、端末３の端末情報を取得する（ＳＴ１０１）。取得する端末情報としては、ＯＳ名、バージョン、適用サービスパック、適用セキュリティパッチ情報、コンピュータ名、ＩＰアドレス、ＭＡＣアドレス、登録サービス情報、サービス設定情報、稼動プロセス情報、インストールアプリケーション情報、アプリケーションバージョン情報、アプリケーション設定情報などの情報である。
取得が完了すると、端末情報送信手段４２は、管理装置１にＳＴ１０１で取得した端末情報を送信する（ＳＴ１０２）。
【０１２６】
管理装置１にて検疫判定が実行され、検疫結果が送信されてくると、対策実施手段４３は送信されてきた検疫結果を受信する（ＳＴ１０３）。
対策実施手段４３は、検疫結果を確認する（ＳＴ１０４）。検疫の結果、問題ないと判断された場合には、ＳＴ６０１へ進む。問題あると判断された場合には、ＳＴ１０５へ進む。
対策実施手段４３は、管理装置１から送信された検疫結果を基に端末に対するセキュリティ対策の実施を行い、再度検疫を実行するためにＳＴ６０１へ進み、ユーザからの端末情報の取得要求を出す（ＳＴ１０５）。
【０１２７】
図３０は、管理装置１の処理動作を示すフローチャートである。
次に、図３０を用いて管理装置１の動作について説明する。
情報収集手段２０１は、端末３（エージェント４）から送信された端末情報あるいはセキュアゲート装置２から送信された端末接続情報を受信する（ＳＴ２１１）。
情報収集手段２０１は、送信元を判断する（ＳＴ２１２）。送信元が端末３の場合には、ＳＴ７０２へ進む。送信元がセキュアゲート装置２の場合には、受信した端末接続情報を接続情報格納部２０３に格納しＳＴ５０５へ進む。
情報収集手段２０１は、端末３からの情報送信が監視情報の取得か端末情報の送信かを判断する（ＳＴ７０２）。監視情報の取得の場合には、ＳＴ７０３へ進む。端末情報の送信の場合には、受信した端末情報を端末情報格納部１５に格納し、ＳＴ２１４へ進む。
【０１２８】
監視対象情報配布手段５０１は、監視対象情報格納部５０２に格納されている情報とセキュリティ情報格納部２０４の中の稼動プロセス情報２０８を取得し、端末３に送付する（ＳＴ７０３）。
検疫判定手段２０２は、送信されてきた情報が端末接続情報か、端末接続切断情報かを判断する（ＳＴ５０５）。端末接続情報の場合には、ＳＴ２１３へ進む。端末接続切断情報の場合には、ＳＴ５０６へ進む。
【０１２９】
端末接続情報の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０４に格納されている端末リスト情報２０５の情報と接続情報格納部２０３に格納されている端末接続情報とを比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１３）。
検疫対象の端末３が端末リスト情報２０５に登録されている端末の場合には、ＳＴ２１１へ進む。検疫対象の端末３が端末リスト情報２０５に登録されていない端末の場合には、ＳＴ４０２へ進む。
【０１３０】
検疫対象の端末３が登録されている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている適用セキュリティパッチ情報２０６の情報と端末情報格納部１５に格納されている端末３の端末情報の適用済みセキュリティパッチ情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１４）。
検疫対象の端末３に適用すべきセキュリティパッチが適用されている場合には、ＳＴ２１５へ進む。検疫対象の端末３に適用すべきセキュリティパッチが適用されていない場合には、ＳＴ４０３へ進む。
【０１３１】
検疫対象の端末３がセキュリティパッチ適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーション情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１５）。
検疫対象の端末３に適用すべきセキュリティ製品が適用されている場合には、ＳＴ２１６へ進む。検疫対象の端末３に適用すべきセキュリティ製品が適用されていない場合には、ＳＴ４０４へ進む。
【０１３２】
検疫対象の端末３がセキュリティ製品適用済みの端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報の適用アプリケーションのバージョン情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１６）。
検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致している場合には、ＳＴ２１７へ進む。検疫対象の端末３に適用すべきセキュリティ製品のバージョンが一致していない場合には、ＳＴ４０５へ進む。
【０１３３】
検疫対象の端末３がセキュリティ製品のバージョンも一致している端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されているセキュリティ製品情報２０７の情報と端末情報格納部１５に格納されている端末３の端末情報のアプリケーションの設定情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１７）。
検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われている端末である場合には、ＳＴ２１８へ進む。検疫対象の端末３が適用すべきセキュリティ製品の設定が正しく行われていない端末である場合には、ＳＴ４０６へ進む。
【０１３４】
検疫対象の端末３がセキュリティ製品の設定が正しく行われている端末の場合には、検疫判定手段２０２は、セキュリティ情報格納部２０３に格納されている稼動プロセス情報と端末情報格納部１５に格納されている端末３の稼動プロセス情報を比較し、結果を検疫結果格納部１７に格納する（ＳＴ２１８）。稼動していなければならないプロセスとして登録されているプロセスが稼動しており、稼動していてはいけないプロセスとして登録されているプロセスが稼動していない場合には、ＳＴ４０１へ進む。稼動していなければならないプロセスが稼動していない、あるいは稼動してはいけないプロセスが稼動している端末である場合には、ＳＴ４０７へ進む。
【０１３５】
アクセス制限指示手段１３は、検疫結果格納部１７に格納された検疫結果を確認し、検疫結果がＯＫであった場合、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、検疫ＯＫ用の対策用アクセス先を取得し、検疫を実施した端末３のＭＡＣアドレスとアクセス先が存在しないリストとを組み合わせたアクセス情報を作成する（ＳＴ４０１）。
アクセス制限指示手段１３は、ＳＴ４０１で作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限解除指示を実施する（ＳＴ１３０）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１３６】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が未登録端末であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、未登録端末の対策用アクセス先１８ｂを取得する（Ｓ４０２）。
アクセス制限指示手段１３は、ＳＴ４０２にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１３７】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティパッチ未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティパッチ未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０３）。
アクセス制限指示手段１３は、ＳＴ４０３にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１３８】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション未適用であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション未適用の対策用アクセス先１８ｂを取得する（ＳＴ４０４）。
アクセス制限指示手段１３は、ＳＴ４０４にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施するＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１３９】
アクセス制限指示手段１３は、検疫結果格納部に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーションバージョン不一致であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーションバージョン不一致の対策用アクセス先１８ｂを取得する（ＳＴ４０５）。
アクセス制限指示手段１３は、ＳＴ４０５にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１４０】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３がセキュリティ対策アプリケーション設定不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、セキュリティ対策アプリケーション設定不可の対策用アクセス先１８ｂを取得する（ＳＴ４０６）。
アクセス制限指示手段１３は、ＳＴ４０６にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
【０１４１】
アクセス制限指示手段１３は、検疫結果格納部１７に格納されている検疫結果情報を取得し、検疫対象の端末３が登録プロセス稼動情報不可であると判断し、アクセス制限情報格納部１８に格納されている検疫結果１８ａを参照し、登録プロセス稼動情報不可の対策用アクセス先１８ｂを取得する（ＳＴ４０７）。
アクセス制限指示手段１３は、ＳＴ４０７にて取得した対策用のアクセス先のＵＲＬリストと、検疫を実施した端末３のＭＡＣアドレスとを組み合わせたアクセス情報を作成する（ＳＴ４０８）。
【０１４２】
アクセス制限指示手段１３は、ＳＴ４０８にて作成したアクセス情報をセキュアゲート装置に送信し、ＭＡＣアドレスで指定された端末３のアクセス制限指示を実施する（ＳＴ１２７）。
対策指示手段１４は、検疫結果格納部１７に格納されている検疫結果を端末３に送信し、端末３のエージェント４に対策を実施させる（ＳＴ１２８）。
端末接続切断情報の場合には、アクセス制限指示手段１３は、アクセス制限情報格納部１８に格納されているアクセス制限情報の検疫結果１８ａを参照し、未検疫の対策用アクセス先１８ｂを取得する（ＳＴ５０６）。
【０１４３】
なお、検疫判定を行う順序は必ずしも本順序である必要はない。
また、検疫判定を行う項目についても本実施の形態に示したものに限定されるものではない。
また、セキュリティ対策アプリケーションや登録プロセスなどは複数検査対象となっても構わない。
また、検疫を実行するための判定基準となるセキュリティ情報格納部１６に格納されるデータについては、セキュリティ情報に対応したサーバからの自動ダウンロードやＣＤ−ＲＯＭ等の媒体を用いた登録や登録画面からの管理者からの登録などの手段にて格納を実施するものとする。
また、本構成ではセキュアゲート装置と管理装置を別の構成としているが、セキュアゲート装置内で管理装置が実施している検疫判定を実施する構成としてもよい。
また、本実施の形態では、個々の検疫判定を実施した時点で対策を実施しているが、実施の形態３に示したようにまとめて対策を実施する形態としてもよい。
【０１４４】
以上のように、実施の形態８によれば、端末側で検疫を実行するためのタイミングを管理装置上で設定し、配布する形態としたことにより、システムにて検疫が必要と考えられるタイミングをすべての端末に反映させることが可能となる。
【図面の簡単な説明】
【０１４５】
【図１】実施の形態１の検疫ネットワークシステムの構成図。
【図２】実施の形態１における検疫ネットワークシステムの各装置の構成図。
【図３】実施の形態１においてアクセス制限情報格納部１８に格納されるアクセス制限情報を示した図。
【図４】実施の形態１においてアクセス情報格納部２２に格納されるアクセス情報を示した図。
【図５】実施の形態１におけるエージェント４の処理動作を示すフローチャート。
【図６】実施の形態１におけるセキュアゲート装置２の処理動作を示すフローチャート。
【図７】実施の形態１における管理装置１の処理動作を示すフローチャート。
【図８】実施の形態２における検疫ネットワークシステムの各装置の構成図。
【図９】実施の形態２においてアクセス制限情報格納部１８に格納されるアクセス制限情報を示した図。
【図１０】実施の形態２においてアクセス情報格納部２２に格納されるアクセス情報を示した図。
【図１１】実施の形態２におけるセキュアゲート装置２の処理動作を示すフローチャート。
【図１２】実施の形態２における管理装置１の処理動作を示すフローチャート。
【図１３】実施の形態３における管理装置１の処理動作を示すフローチャート。
【図１４】実施の形態３においてアクセス情報格納部２２に格納されるアクセス情報を示した図。
【図１５】実施の形態４においてアクセス制限情報格納部１８に格納されるアクセス制限情報を示した図。
【図１６】実施の形態５の検疫ネットワークシステムの構成図。
【図１７】実施の形態５においてアクセス制限情報格納部１８に格納されるアクセス制限情報を示した図。
【図１８】実施の形態５においてアクセス情報格納部２２に格納されるアクセス情報を示した図。
【図１９】実施の形態５におけるセキュアゲート装置２の処理動作を示すフローチャート。
【図２０】実施の形態５における管理装置１の処理動作を示すフローチャート。
【図２１】実施の形態６における検疫ネットワークシステムの各装置の構成図。
【図２２】実施の形態６において接続端末情報格納部３０１に格納されるアクセス情報を示した図。
【図２３】実施の形態６においてアクセス制限情報格納部１８に格納されるアクセス制限情報を示した図。
【図２４】実施の形態６におけるセキュアゲート装置２の処理動作を示すフローチャート。
【図２５】実施の形態６における管理装置１の処理動作を示すフローチャート。
【図２６】実施の形態７における検疫ネットワークシステムの各装置の構成図。
【図２７】実施の形態７におけるエージェント４の処理動作を示すフローチャート。
【図２８】実施の形態８における検疫ネットワークシステムの各装置の構成図。
【図２９】実施の形態８におけるエージェント４の処理動作を示すフローチャート。
【図３０】実施の形態８における管理装置１の処理動作を示すフローチャート。
【符号の説明】
【０１４６】
１ 管理装置、２ セキュアゲート装置、３ 端末、４ エージェント、５ 通信回線、６ プロキシサーバ、７ 対策サーバ、８ ＷＷＷサーバ、９ インターネット、１１ 情報収集手段、１２ 検疫判定手段、１３ アクセス制限指示手段、１４ 対策指示手段、１５ 端末情報格納部、１６ セキュリティ情報格納部、１７ 検疫結果格納部、１８ アクセス制限情報格納部、２１ アクセス制限実施手段、２２ アクセス情報格納部、４１ 端末情報取得手段、４２ 端末情報送信手段、４３ 対策実施手段、２０１ 情報収集手段、２０２ 検疫判定手段、２０３ 接続情報格納部、２０４ セキュリティ情報格納部、２０５ 端末リスト情報、２０６ 適用セキュリティパッチ情報、２０７ セキュリティ製品情報、２０８ 稼動プロセス情報、２０９ 接続情報取得手段、２１０ 接続情報送信手段、３０１ 対策サーバ、４０１ 端末状態監視手段、５０１ 監視対象情報配布手段、５０２ 監視対象情報格納部、５０３ 監視対象情報取得手段、５０４ 監視情報格納部。
【特許請求の範囲】
【請求項１】
端末上に設置され、この端末から取得した端末情報を送信するエージェントと、
前記端末がネットワークに接続してよいか否かの検疫判定をするための判定基準情報を格納する判定基準情報格納手段と、前記エージェントにより送信された前記端末情報と前記判定基準情報格納手段に格納された前記判定基準情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をする検疫判定手段と、前記検疫判定手により検疫判定された検疫結果と対応付けをする識別情報と前記検疫結果に対応するセキュリティ対策を実施するためにアクセスするアクセス先情報とにより構成されたアクセス制限情報が格納されたアクセス制限情報格納手段と、前記検疫判定手段により前記端末がネットワークに接続してはいけないと検疫判定された時に、前記アクセス制限情報格納手段に格納された前記アクセス制限情報のアクセス先情報を取得し、このアクセス先情報と前記検疫判定手段により検疫判定された前記端末のアドレス情報とにより構成されたアクセス情報を作成し、このアクセス情報を送信するアクセス制限指示手段とを有し、前記端末とネットワークを介して接続された管理装置と、
前記端末及び前記管理装置とネットワークを介して接続され、前記管理装置により送信された前記アクセス情報に基づいて前記端末の通信を前記アクセス情報のアクセス先情報にのみ許可をするセキュアゲート装置と、
を備えたことを特徴とする検疫ネットワークシステム。
【請求項２】
前記管理手段は、前記検疫判定手段により検疫判定された前記検疫結果を前記端末に送信する対策指示手段を備え、
前記エージェントは、前記対策指示手段により送信された前記検疫結果に基づいて前記端末のセキュリティ対策を実施することを特徴とする請求項１記載の検疫ネットワークシステム。
【請求項３】
前記セキュアゲート装置は、ネットワークに接続してきた端末の端末接続情報を取得する接続情報取得手段を備え、
前記判定基準情報格納手段は、ネットワークに接続可能な端末のリストを格納し、
前記検疫判定手段は、前記接続情報取得手段により取得された前記端末接続情報と前記判定基準情報格納手段に格納されている端末のリストとに基づいて前記ネットワークに接続してきた端末がネットワークに接続してよいか否かの検疫判定をすることを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項４】
前記エージェントは、前記端末から取得した前記端末が使用するセキュリティパッチ情報を送信し、
前記判定基準情報格納手段は、前記端末が使用すべきセキュリティパッチ情報を格納し、
前記検疫判定手段は、前記エージェントにより送信されたセキュリティパッチ情報と前記判定基準情報格納手段に格納されたセキュリティパッチ情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をすることを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項５】
前記エージェントは、前記端末から取得した前記端末が使用するセキュリティ対策製品情報を送信し、
前記判定基準情報格納手段は、前記端末が使用すべきセキュリティ対策製品情報を格納し、
前記判定手段は、前記エージェントにより送信されたセキュリティ対策製品情報と前記判定基準情報格納手段に格納されたセキュリティ対策製品情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をすることを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項６】
前記エージェントは、前記端末から取得した前記端末が使用するセキュリティ対策製品バージョン情報を送信し、
前記判定基準情報格納手段は、前記端末が使用すべきセキュリティ対策製品バージョン情報を格納し、
前記判定手段は、前記エージェントにより送信されたセキュリティ対策製品バージョン情報と前記判定基準情報格納手段に格納されたセキュリティ対策製品バージョン情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をすることを特徴とする請求項１記載の検疫ネットワークシステム。
【請求項７】
前記エージェントは、前記端末から取得した前記端末で稼動するプロセス稼動情報を送信し、
前記判定基準情報格納手段は、前記端末が使用すべきプロセス稼動情報を格納し、
前記判定手段は、前記エージェントにより送信されたプロセス稼動情報と前記判定基準情報格納手段に格納されたプロセス稼動情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をすることを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項８】
前記エージェントは、前記端末から取得した前記端末が使用するセキュリティパッチ情報とセキュリティ対策製品情報とセキュリティ対策製品バージョン情報とプロセス稼動情報とを送信し、
前記判定基準情報格納手段は、前記端末が使用すべきセキュリティパッチ情報と前記端末が使用すべきセキュリティ対策製品情報と前記端末が使用すべきセキュリティ対策製品バージョン情報と前記端末が使用すべきプロセス稼動情報とを格納し、
前記判定手段は、前記エージェントにより送信された前記セキュリティパッチ情報と前記セキュリティ対策製品情報と前記セキュリティ対策製品バージョン情報と前記プロセス稼動情報と前記判定基準情報格納手段に格納されたセキュリティパッチ情報とセキュリティ対策製品情報とセキュリティ対策製品バージョン情報とプロセス稼動情報とを順番に比較し前記端末がネットワークに接続してよいか否かを検疫判定することを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項９】
前記判定手段は、前記エージェントにより送信された前記セキュリティパッチ情報と前記セキュリティ対策製品情報と前記セキュリティ対策製品バージョン情報と前記プロセス稼動情報と前記判定基準情報格納手段に格納されたセキュリティパッチ情報とセキュリティ対策製品情報とセキュリティ対策製品バージョン情報とプロセス稼動情報との全てを比較し前記端末がネットワークに接続してよいか否かを検疫判定し、
前記アクセス制限指示手段は、前記検疫判定手段により前記端末がネットワークに接続してはいけないと検疫判定された時に、ネットワークに接続してはいけないと判断した１つないし複数の原因に対応したアクセス先情報と前記検疫判定手段により検疫判定された前記端末のアドレス情報とにより構成されたアクセス情報を作成し、このアクセス情報を前記セキュアゲート装置に送信することを特徴とする請求項８記載の検疫ネットワークシステム。
【請求項１０】
前記検疫結果に対応するセキュリティ対策を実施するためにアクセスされ、インターネットを介して接続された第１の対策サーバと、前記検疫結果に対応するセキュリティ対策を実施するためにアクセスされ、ネットワークを介して接続された第２の対策サーバとを備え、
前記アクセス制限情報格納部に格納された前記アクセス制限情報は、セキュリティ対策を実施するためにアクセスするＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）とＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとＩＰアドレスと含むアクセス先情報と前記識別情報とにより構成され、
前記アクセス制限指示手段は、前記検疫判定手段により前記端末がネットワークに接続してはいけないと検疫判定された時に、前記アクセス制限情報格納手段に格納された前記アクセス先情報のＵＲＬとＭＡＣアドレスとＩＰアドレスとの中から前記第１の対策サーバ又は前記第２の対策サーバに対応するアクセス先情報を選択し、この選択したアクセス先情報と前記検疫判定手段により検疫判定された前記端末のアドレス情報とにより構成されたアクセス情報を作成し、このアクセス情報を前記セキュアゲート装置に送信することを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項１１】
前記セキュアゲート装置は、前記端末接続情報とネットワークに接続してきた端末との間の最終通信時間とを格納する接続端末情報格納手段を備え、
前記接続情報取得手段は、前記接続端末情報格納手段に格納された前記最終通信時間を基に端末の通信が一定時間無いか確認し、端末の通信が一定時間無い時に前記接続端末情報格納手段により格納された前記端末接続情報を取得することを特徴とする請求項３記載の検疫ネットワークシステム。
【請求項１２】
前記エージェントは、ネットワークに接続してきた端末の端末情報を取得する状態になったか否か監視する端末状態監視手段を備え、前記端末状態監視手段により前記端末情報を取得する状態になったと判断された時に、前記端末から前記端末情報を取得し前記管理装置に送信することを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項１３】
前記管理装置は、検疫判定を実施するタイミング情報が格納された監視対象情報格納手段と、この監視対象情報格納手段に格納された前記タイミング情報を取得し前記エージェントに配布する監視対象情報取得手段とを備え、
前記端末状態監視手段は、前記管理手段により配布された前記タイミング情報を監視し前記端末情報を取得する状態になったか否か判断し、
前記エージェントは、前記端末状態監視手段により前記端末情報を取得する状態になったと判断された時に、前記端末から前記端末情報を取得し前記管理装置に送信することを特徴とする請求項１２記載の検疫ネットワークシステム。
【請求項１４】
前記アクセス制限情報は、前記識別情報とワイルドカードや正規表現を用いたアクセス先情報とにより構成されたことを特徴とする請求項１〜請求項１３のいずれかに記載の検疫ネットワークシステム。
【請求項１】
端末上に設置され、この端末から取得した端末情報を送信するエージェントと、
前記端末がネットワークに接続してよいか否かの検疫判定をするための判定基準情報を格納する判定基準情報格納手段と、前記エージェントにより送信された前記端末情報と前記判定基準情報格納手段に格納された前記判定基準情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をする検疫判定手段と、前記検疫判定手により検疫判定された検疫結果と対応付けをする識別情報と前記検疫結果に対応するセキュリティ対策を実施するためにアクセスするアクセス先情報とにより構成されたアクセス制限情報が格納されたアクセス制限情報格納手段と、前記検疫判定手段により前記端末がネットワークに接続してはいけないと検疫判定された時に、前記アクセス制限情報格納手段に格納された前記アクセス制限情報のアクセス先情報を取得し、このアクセス先情報と前記検疫判定手段により検疫判定された前記端末のアドレス情報とにより構成されたアクセス情報を作成し、このアクセス情報を送信するアクセス制限指示手段とを有し、前記端末とネットワークを介して接続された管理装置と、
前記端末及び前記管理装置とネットワークを介して接続され、前記管理装置により送信された前記アクセス情報に基づいて前記端末の通信を前記アクセス情報のアクセス先情報にのみ許可をするセキュアゲート装置と、
を備えたことを特徴とする検疫ネットワークシステム。
【請求項２】
前記管理手段は、前記検疫判定手段により検疫判定された前記検疫結果を前記端末に送信する対策指示手段を備え、
前記エージェントは、前記対策指示手段により送信された前記検疫結果に基づいて前記端末のセキュリティ対策を実施することを特徴とする請求項１記載の検疫ネットワークシステム。
【請求項３】
前記セキュアゲート装置は、ネットワークに接続してきた端末の端末接続情報を取得する接続情報取得手段を備え、
前記判定基準情報格納手段は、ネットワークに接続可能な端末のリストを格納し、
前記検疫判定手段は、前記接続情報取得手段により取得された前記端末接続情報と前記判定基準情報格納手段に格納されている端末のリストとに基づいて前記ネットワークに接続してきた端末がネットワークに接続してよいか否かの検疫判定をすることを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項４】
前記エージェントは、前記端末から取得した前記端末が使用するセキュリティパッチ情報を送信し、
前記判定基準情報格納手段は、前記端末が使用すべきセキュリティパッチ情報を格納し、
前記検疫判定手段は、前記エージェントにより送信されたセキュリティパッチ情報と前記判定基準情報格納手段に格納されたセキュリティパッチ情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をすることを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項５】
前記エージェントは、前記端末から取得した前記端末が使用するセキュリティ対策製品情報を送信し、
前記判定基準情報格納手段は、前記端末が使用すべきセキュリティ対策製品情報を格納し、
前記判定手段は、前記エージェントにより送信されたセキュリティ対策製品情報と前記判定基準情報格納手段に格納されたセキュリティ対策製品情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をすることを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項６】
前記エージェントは、前記端末から取得した前記端末が使用するセキュリティ対策製品バージョン情報を送信し、
前記判定基準情報格納手段は、前記端末が使用すべきセキュリティ対策製品バージョン情報を格納し、
前記判定手段は、前記エージェントにより送信されたセキュリティ対策製品バージョン情報と前記判定基準情報格納手段に格納されたセキュリティ対策製品バージョン情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をすることを特徴とする請求項１記載の検疫ネットワークシステム。
【請求項７】
前記エージェントは、前記端末から取得した前記端末で稼動するプロセス稼動情報を送信し、
前記判定基準情報格納手段は、前記端末が使用すべきプロセス稼動情報を格納し、
前記判定手段は、前記エージェントにより送信されたプロセス稼動情報と前記判定基準情報格納手段に格納されたプロセス稼動情報とに基づいて前記端末がネットワークに接続してよいか否かの検疫判定をすることを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項８】
前記エージェントは、前記端末から取得した前記端末が使用するセキュリティパッチ情報とセキュリティ対策製品情報とセキュリティ対策製品バージョン情報とプロセス稼動情報とを送信し、
前記判定基準情報格納手段は、前記端末が使用すべきセキュリティパッチ情報と前記端末が使用すべきセキュリティ対策製品情報と前記端末が使用すべきセキュリティ対策製品バージョン情報と前記端末が使用すべきプロセス稼動情報とを格納し、
前記判定手段は、前記エージェントにより送信された前記セキュリティパッチ情報と前記セキュリティ対策製品情報と前記セキュリティ対策製品バージョン情報と前記プロセス稼動情報と前記判定基準情報格納手段に格納されたセキュリティパッチ情報とセキュリティ対策製品情報とセキュリティ対策製品バージョン情報とプロセス稼動情報とを順番に比較し前記端末がネットワークに接続してよいか否かを検疫判定することを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項９】
前記判定手段は、前記エージェントにより送信された前記セキュリティパッチ情報と前記セキュリティ対策製品情報と前記セキュリティ対策製品バージョン情報と前記プロセス稼動情報と前記判定基準情報格納手段に格納されたセキュリティパッチ情報とセキュリティ対策製品情報とセキュリティ対策製品バージョン情報とプロセス稼動情報との全てを比較し前記端末がネットワークに接続してよいか否かを検疫判定し、
前記アクセス制限指示手段は、前記検疫判定手段により前記端末がネットワークに接続してはいけないと検疫判定された時に、ネットワークに接続してはいけないと判断した１つないし複数の原因に対応したアクセス先情報と前記検疫判定手段により検疫判定された前記端末のアドレス情報とにより構成されたアクセス情報を作成し、このアクセス情報を前記セキュアゲート装置に送信することを特徴とする請求項８記載の検疫ネットワークシステム。
【請求項１０】
前記検疫結果に対応するセキュリティ対策を実施するためにアクセスされ、インターネットを介して接続された第１の対策サーバと、前記検疫結果に対応するセキュリティ対策を実施するためにアクセスされ、ネットワークを介して接続された第２の対策サーバとを備え、
前記アクセス制限情報格納部に格納された前記アクセス制限情報は、セキュリティ対策を実施するためにアクセスするＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）とＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスとＩＰアドレスと含むアクセス先情報と前記識別情報とにより構成され、
前記アクセス制限指示手段は、前記検疫判定手段により前記端末がネットワークに接続してはいけないと検疫判定された時に、前記アクセス制限情報格納手段に格納された前記アクセス先情報のＵＲＬとＭＡＣアドレスとＩＰアドレスとの中から前記第１の対策サーバ又は前記第２の対策サーバに対応するアクセス先情報を選択し、この選択したアクセス先情報と前記検疫判定手段により検疫判定された前記端末のアドレス情報とにより構成されたアクセス情報を作成し、このアクセス情報を前記セキュアゲート装置に送信することを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項１１】
前記セキュアゲート装置は、前記端末接続情報とネットワークに接続してきた端末との間の最終通信時間とを格納する接続端末情報格納手段を備え、
前記接続情報取得手段は、前記接続端末情報格納手段に格納された前記最終通信時間を基に端末の通信が一定時間無いか確認し、端末の通信が一定時間無い時に前記接続端末情報格納手段により格納された前記端末接続情報を取得することを特徴とする請求項３記載の検疫ネットワークシステム。
【請求項１２】
前記エージェントは、ネットワークに接続してきた端末の端末情報を取得する状態になったか否か監視する端末状態監視手段を備え、前記端末状態監視手段により前記端末情報を取得する状態になったと判断された時に、前記端末から前記端末情報を取得し前記管理装置に送信することを特徴とする請求項１又は請求項２記載の検疫ネットワークシステム。
【請求項１３】
前記管理装置は、検疫判定を実施するタイミング情報が格納された監視対象情報格納手段と、この監視対象情報格納手段に格納された前記タイミング情報を取得し前記エージェントに配布する監視対象情報取得手段とを備え、
前記端末状態監視手段は、前記管理手段により配布された前記タイミング情報を監視し前記端末情報を取得する状態になったか否か判断し、
前記エージェントは、前記端末状態監視手段により前記端末情報を取得する状態になったと判断された時に、前記端末から前記端末情報を取得し前記管理装置に送信することを特徴とする請求項１２記載の検疫ネットワークシステム。
【請求項１４】
前記アクセス制限情報は、前記識別情報とワイルドカードや正規表現を用いたアクセス先情報とにより構成されたことを特徴とする請求項１〜請求項１３のいずれかに記載の検疫ネットワークシステム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図１７】
【図１８】
【図１９】
【図２０】
【図２１】
【図２２】
【図２３】
【図２４】
【図２５】
【図２６】
【図２７】
【図２８】
【図２９】
【図３０】
【公開番号】特開２００８−７７５５８（Ｐ２００８−７７５５８Ａ）
【公開日】平成２０年４月３日（２００８．４．３）
【国際特許分類】
【出願番号】特願２００６−２５８７２６（Ｐ２００６−２５８７２６）
【出願日】平成１８年９月２５日（２００６．９．２５）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
【公開日】平成２０年４月３日（２００８．４．３）
【国際特許分類】
【出願日】平成１８年９月２５日（２００６．９．２５）
【出願人】（０００００６０１３）三菱電機株式会社 (33,312)
【Ｆターム（参考）】
[ Back to top ]