JP2005354604A - Ｉｐアドレス割当システム、ｄｈｃｐサーバ、ｉｐアドレス割当方法及びそのプログラム - Google Patents

Abstract

【課題】ＤＨＣＰサーバ２０がＩＰアドレスを要求するクライアント１０に対して必要なセキュリティチェックを行い、その後ＩＰアドレスを割り当てる。
【解決手段】ＤＨＣＰサーバからのセキュリティチェックに応答するプログラムを備えるクライアントとＭＡＣアドレスと対応するＩＰアドレスが登録されたＤＢを持つＤＨＣＰサーバにおいて、クライアントからのＩＰアドレス割り当て要求を受けたＤＨＣＰサーバはＤＢ上に登録されているＭＡＣアドレスからの要求か判定し、登録されているならばセキュリティ応答プログラムにセキュリティチェック指示を出し、セキュリティ応答プログラムは自分のセキュリティ状況を報告する。この結果によりＤＨＣＰサーバは必要となるパッチの適用を行い、その後ＭＡＣアドレスに対応したＩＰアドレスをクライアントに割り当てることによりクライアントのセキュリティを確保する。
【選択図】 図１

Description

本発明は、ＩＰアドレスを一括して管理するＤＨＣＰサーバがクライアントにＩＰアドレスの割当を行うに際し、クライアントにおける未適用のセキュリティパッチを検出すると、その適用後ＩＰアドレスの割当を行うＩＰアドレス割当システム、ＤＨＣＰサーバ、ＩＰアドレス割当方法及びそのプログラムに関する。

コンピュータウィルス等による汚染からインターネットに接続して使用するパーソナルコンピュータを防衛するには、新しく発生する新種ウィルスへの対応は困難であるとしても、既に発生しているウィルスに対しては、適時必要なワクチンやパッチを取り寄せ適用することが肝要である。

特許文献１には、インターネットを使用したクライアントサーバシステムにおいて、パッチを適用するプログラムにパッチを提供するサーバのアドレスを登録し、そのアドレスによってサーバをアクセスしてクライアントに適用されているパッチとサーバに登録されているパッチのバージョンを比較し、クライアントに適用が必要なパッチをサーバからダウンロードして適用する記載がある。

特開２０００−２５０７４３（図１，４−６ページ）

インターネットにおける通信の基盤は、ＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）であり、通信を行う場合の通信相手は、通信相手の持つＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスによって指定される。このＩＰアドレスを持たない通信相手とは、ＴＣＰ／ＩＰを使用するアプリケーションプログラムによる通信はできないことになる。コンピュータウィルスはこのようなアプリケーションの一つである、例えば電子メール機能によって媒介されてる場合が多い。

このＩＰアドレスは、すべての場合では無いにせよＤＨＣＰ（Ｄｙｎａｍｉｃ Ｈｏｓｔ Ｃｏｎｆｉｇｕｒａｔｉｏｎ Ｐｒｏｔｏｃｏｌ）サーバによって一括して管理され、個々のクライアントは、立ち上がると最初にＤＨＣＰサーバから自身の使用するＩＰアドレスの割当を受け、それを使用して通信を実行する。

前述した特許文献１においてはクライアントがサーバからパッチをダウンロードする際、クライアントでは、既にＩＰアドレスの割当を受けているため、例えば電子メール機能等の使用ができる状態にあり、ウィルスに汚染される可能性を含んでいる。

本発明は、クライアントがＤＨＣＰサーバによるＩＰアドレスの割当を受ける前に適用が必要なパッチをＤＨＣＰサーバによってクライアントに適用し、その適用後、ＤＨＣＰサーバによるＩＰアドレスの割当を受けるようにすることで、コンピュータウィルスによる汚染の可能性を低減するＩＰアドレス割当システム、ＤＨＣＰサーバ、ＩＰアドレス割当方法及びそのプログラムを提案するものである。

本発明の第１のＩＰアドレス割当システムは、ＩＰアドレスの割当要求を送信するクライアントと、前記クライアントからの割当要求を受信すると前記クライアントにＩＰアドレスを割当てこれを前記クライアントに送信するＤＨＣＰサーバと、前記クライアントと前記ＤＨＣＰサーバとを接続するインターネットとを備えたＩＰアドレス割当システムにおいて、 前記ＤＨＣＰサーバは、前記クライアントで動作するプログラムに関し既にクライアントに適用されているパッチ番号と最新のパッチ番号とを比較し未適用のパッチがあれば未適用のパッチを前記クライアントに送信し、前記クライアントから未適用パッチの適用完了通知の受信後に前記クライアントに対して割当てたＩＰアドレスを送信することを特徴とする。

本発明の第２のＩＰアドレス割当システムは、前記第１のＩＰアドレス割当システムであって、前記ＤＨＣＰサーバは、割当要求メッセージのイーサネット（登録商標）ヘッダからクライアントのＭＡＣアドレスを取得すると、予めデータベースに記憶するＭＡＣアドレスとＩＰアドレスの対応テーブルにおけるＭＡＣアドレスを前記クライアントのＭＡＣアドレスで検索し、一致する場合は対応するＩＰアドレスを前記クライアントに割当て、一致しない場合は割当てないことを特徴とする。

本発明のＩＰアドレス割当サーバは、クライアントからＩＰアドレスの割当要求メッセージを受信すると、割当要求メッセージのイーサネット（登録商標）ヘッダからクライアントのＭＡＣアドレスを取り出し、データベースに記憶するＭＡＣアドレスとＩＰアドレスの対応テーブルを前記取り出したＭＡＣアドレスで検索する検索手段と、前記検索手段による検索の結果、一致するＭＡＣアドレスを検出すると対応するＩＰアドレスを一時記憶するとともに前記クライアントに対し前記クライアントが適用済みのパッチ情報の送信を要求し、前記クライアントから適用済みのパッチ情報を受信するとデータベースに記憶する最新のパッチ情報と比較するパッチ比較手段と、前記パッチ比較手段による比較の結果、未適用のパッチを検出すると、検出したパッチを前記クライアントに送信するパッチ送信手段と、前記クライアントから未適用のパッチの適用の終了通知を受信すると前記クライアントに一時記憶したＩＰアドレスを送信するＩＰアドレス送信手段と、を含むことを特徴とする。

本発明の第１のＩＰアドレス割当方法は、クライアントからＩＰアドレスの割当要求メッセージを受信すると、割当要求メッセージのイーサネット（登録商標）ヘッダからクライアントのＭＡＣアドレスを取り出し、データベースに記憶するＭＡＣアドレスとＩＰアドレスの対応テーブルを前記取り出したＭＡＣアドレスで検索する第１のステップと、 前記第１のステップによる検索の結果、一致するＭＡＣアドレスを検出すると対応するＩＰアドレスを一時記憶するとともに前記クライアントに対し前記クライアントが適用済みのパッチ情報の送信を要求し、前記クライアントから適用済みのパッチ情報を受信するとデータベースに記憶する最新のパッチ情報と比較する第２のステップと、 前記第２のステップによる比較の結果、未適用のパッチを検出すると、検出したパッチを前記クライアントに送信する第３のステップと、 前記クライアントから未適用のパッチの適用の終了通知を受信すると前記クライアントに一時記憶したＩＰアドレスを送信する第４のステップと、を含むことを特徴とする。

本発明の第２のＩＰアドレス割当方法は、前記第１のＩＰアドレス割当方法であって、前記第１のステップは、ＭＡＣアドレスの比較において、一致するＭＡＣアドレスが検出できないと、前記クライアントにＩＰアドレスの割当て拒否を通知するステップを含むことを特徴とする。

本発明のプログラムは、コンピュータに、 クライアントからＩＰアドレスの割当要求メッセージを受信すると、割当要求メッセージのイーサネット（登録商標）ヘッダからクライアントのＭＡＣアドレスを取り出し、データベースに記憶するＭＡＣアドレスとＩＰアドレスの対応テーブルを前記取り出したＭＡＣアドレスで検索する第１のステップと、 前記第１のステップによる検索の結果、一致するＭＡＣアドレスを検出すると対応するＩＰアドレスを一時記憶するとともに前記クライアントに対し前記クライアントが適用済みのパッチ情報の送信を要求し、前記クライアントから適用済みのパッチ情報を受信するとデータベースに記憶する最新のパッチ情報と比較する第２のステップと、 前記第２のステップによる比較の結果、未適用のパッチを検出すると、検出したパッチを前記クライアントに送信する第３のステップと、 前記クライアントから未適用のパッチの適用の終了通知を受信すると前記クライアントに一時記憶したＩＰアドレスを送信する第４のステップと、を実行させる。

第１の効果はＩＰアドレスを割り当てる前にセキュリティチェックをしているので、その間、他のコンピュータからのアクセスができないため、ウィルス等の侵入を防御できることである。ＩＰアドレス割当て後は、必要なパッチによる対応が完了しているため、ウィルスからの防御が可能となる。

第２の効果はＭＡＣアドレスに対して固定のＩＰアドレスを割り当てているので、対外ネットワークにクライアントとＩＰアドレスの関連づけを保証できることである。

次に、本発明を実施するための最良の形態について図面を参照して詳細に説明する。

本実施例の構成は、図１を参照すると、ＩＰアドレスの割り当てを要求するパーソナルコンピュータ等のクライアント１０と、クライアント１０にＩＰアドレスの割り当てを行うＤＨＣＰサーバ機能を持つ情報処理装置のＤＨＣＰサーバ２０と、クライアント１０とＤＨＣＰサーバ２０を通信で接続するインターネット３０と、から構成される。

クライアント１０は、クライアント１０上でプログラムとして動作しクライアント１０のプログラムにウィルス対策用パッチを適用するセキュリティ応答プログラム１１と、クライアント１０で動作するオペレーティングシステム（以下、ＯＳと称す）やブラウザ等の各種アプリケーションプログラムを格納するプログラム格納ファイル１２と、ＯＳや各種アプリケーションプログラムに対するパッチ適用履歴を記憶するパッチ適用履歴ファイル１３と、クライアント１０にあってプログラム格納ファイル１２とパッチ適用履歴ファイル１３を記憶する磁気ディスク装置等の記憶装置１４と、から構成される。

ＤＨＣＰサーバ２０は、ＤＨＣＰサーバ２０上で動作しＩＰアドレスの割り当てをプログラム動作によって実行するＤＨＣＰサーバプログラム２１と、ＤＨＣＰサーバ２０の記憶装置２４に記憶されたＭＡＣアドレスデータベース２２と、ウィルス対策に必要なパッチを、プログラムごとに過去のパッチから最新のパッチまでのすべての識別番号を記憶するとともに、それぞれのパッチの本体データも併せて記憶する記憶装置２４のウィルス対策用パッチデータベース２３と、から構成される。

本発明ではＤＨＣＰサーバ２０が、クライアント１０に割り当てを行うＩＰアドレスを一括して管理する。ＤＨＣＰサーバ２０は、クライアント１０からのＩＰアドレスの割り当て要求に対してＩＰアドレスをアサインする前にクライアント１０のセキュリティチェックを行うことにより、クライアント１０内のコンピュータウィルスの活動を抑制することができる。

ＭＡＣアドレスに対応したＩＰアドレスをＭＡＣアドレスデータベース２２に持つことにより、予め認知されたＭＡＣアドレスにのみＩＰアドレスの割り当てを行うようにして限定するとともに、限定することで外部ネットワークから見た場合のクライアント１０とＩＰアドレスの関係を固定化することができる。

次に、本発明を実施するための最良の形態の動作について図２のフローチャートを参照して説明する。

ＤＨＣＰサーバ２０では、ＩＰアドレスの割り当て機能等を有するＤＨＣＰサーバプログラム２１がＤＨＣＰサーバ２０の立ち上げ時、記憶装置２４から読み込まれてＤＨＣＰサーバ２０の主記憶メモリ上に展開して起動される（ステップＳ１）。ＤＨＣＰサーバプログラム２１は、起動されると、常時、クライアント１０に対してのＩＰアドレスの割り当てや解放処理を実行する。

クライアント１０では、インターネット３０への接続が必要となった時点等において、セキュリティ応答プログラム１１が起動される（ステップＳ２）。

セキュリティ応答プログラム１１は、起動されるとＩＰアドレスの取得要求であるＩＰリクエストをインターネット３０に送出する（ステップＳ３）。このとき、送出されるデータの形式を図３に例示するが、それによると、イーサネット（登録商標）ヘッダとＩＰヘッダと、ＵＤＰヘッダと、ＤＨＣＰペイロードとから形成されている。以降、クライアント１０とＤＨＣＰサーバ２０とはＤＨＣＰサーバ２０によるＩＰアドレスの割り当て処理が終わるまでこの形式でメッセージを送受信する。

ＤＨＣＰサーバプログラム２１は、クライアント１０からのＩＰアドレス割り当て要求メッセージを受信する（ステップＳ４）。

ＤＨＣＰサーバプログラム２１は、当該メッセージ中のイーサネット（登録商標）ヘッダから取り出されたクライアント１０の持つＭＡＣアドレスをＯＳ等から受け取る（ステップＳ５）。

ＤＨＣＰサーバプログラム２１は、このＭＡＣアドレスを使用してＭＡＣアドレスデータベース２２を検索する（ステップＳ６）。

ＭＡＣアドレスデータベース２２は、図４に例示する形式になっていて、使用／未使用フラグとＭＡＣアドレスフィールドとＩＰアドレスフィールドとからなるレコードを複数個有していて、許可されたクライアント１０のＭＡＣアドレスとそのＩＰアドレスがペアとして事前に登録されている。

使用／未使用フラグは、ＤＨＣＰサーバプログラム２１が当該レコードのＩＰアドレスの割り当てをクライアント１０に対して行うと使用状態となり、このＩＰアドレスを使用したクライアント１０から解放されると再び未使用状態となる。

ＭＡＣアドレスフィールドには、ＤＨＣＰサーバ２０がインターネット３０上でＩＰアドレスの割り当ての対象とするクライアント１０の持つＭＡＣアドレスが定義されている。ＩＰアドレスフィールドには、同じレコード中のＭＡＣアドレスをもつクライアント１０に割り当てるグローバルＩＰアドレスが定義されている。同じＭＡＣアドレス、同じＩＰアドレスが異なるレコードで二重に定義されることは無い。

ＤＨＣＰサーバプログラム２１は、ＭＡＣアドレスデータベース２２の検索の結果、クライアント１０のＭＡＣアドレスを持つレコードが登録されているか否かをチェックし（ステップＳ７）、登録されていないと、ＩＰアドレスの割り当てを拒否し、クライアント１０にその旨を通知する。

クライアント１０のＭＡＣアドレスと同じＭＡＣアドレスを持つレコードが登録されている場合、そのレコードの使用／未使用フィールドをチェックする（ステップＳ８）。その結果、既に使用中の場合には、ＩＰアドレスの割り当てを拒否し、クライアント１０にその旨を通知する。

ＤＨＣＰサーバ２１は、検索されたレコードが未使用状態であれば、当該レコードを使用状態に変更する書き込みをＭＡＣアドレスデータベース２２に行い当該ＭＡＣアドレスに対応するＩＰアドレスを一時記憶する（ステップＳ９）。

次に、ＤＨＣＰサーバプログラム２１は、クライアント１０のセキュリティ応答プログラム１１にセキュリティチェック指示を送信する（ステップＳ１０）。

クライアント１０のセキュリティ応答プログラム１１は、このセキュリティチェック指示を受信すると、自分のセキュリティ状況をパッチ適用履歴ファイル１３を読み出して取り出す（ステップＳ１１）。

図５には、パッチ適用履歴ファイル１３の内容を例示している。これによるとパッチの適用を行うプログラムの名前、そのプログラムのバージョン（版数）、そのプログラムに既に適用されたパッチ番号の一覧とからなっている。例えば、プログラムとしてＯＳ、ブラウザ等がある。

セキュリティ応答プログラム１１は、読み出したパッチ適用履歴ファイル１３の情報をＤＨＣＰサーバプログラム２１に送信する（ステップＳ１２）。

ＤＨＣＰサーバプログラム２１は、クライアント１０からパッチ適用履歴ファイル１３の情報を受信すると、受信した情報に記載された各プログラムについて、クライアント１０が適用済みのパッチ番号の一覧を取り出す。取り出したプログラムについて必要となるパッチの一覧情報をウィルス対策用パッチデータベース２３から読み出す。ウィルス対策用パッチデータベース２３に記載が有って、パッチ適用履歴ファイル１３に記載の無いパッチ番号が有れば適用が必要なパッチ番号として記憶する。このようにしてパッチ適用履歴ファイル１３のすべてのプログラムについて適用が必要なパッチ番号を検出する（ステップＳ１３）。

ＤＨＣＰサーバプログラム２１は、適用が必要なプログラムのパッチ番号に対してその本体のパッチデータをウィルス対策用パッチデータベース２３から読み出し、適用が必要なすべてのパッチ番号の一覧情報とそれに関連するパッチの本体データとを図３におけるＤＨＣＰペイロードのオプションフィールドに設定し、セキュリティ応答プログラム１１に送信する（ステップＳ１４）。

セキュリティ応答プログラム１１は、ＤＨＣＰサーバプログラム２１から受信したプログラムに適用が必要なパッチ番号とそのパッチ本体データを取り出し、プログラム格納ファイル１２のプログラムに対してパッチを適用する（ステップＳ１５）。セキュリティ応答プログラム１１は、パッチを適用し終えるとパッチ適用履歴ファイル１３のプログラムの欄に適用したパッチ番号を登録する（ステップＳ１６）。

セキュリティ応答プログラム１１は、すべてのパッチ番号の適用を終えると、ＤＨＣＰサーバプログラム２１にパッチの適用を終了した旨を通知する（ステップＳ１７）。

ＤＨＣＰサーバプログラム２１は、パッチの適用の終了の通知を受信すると、先に検索し終え一時記憶したクライアント１０に割り当てるＩＰアドレスをセキュリティ応答プログラム１１に送信する（ステップＳ１８）。セキュリティ応答プログラム１１は、受信したＩＰアドレスをＯＳ等に通知して終了する（ステップＳ１９）。クライアント１０では、受信したＩＰアドレスを使用してインターネット３０の利用を開始する。

コンピュータウィルス対策の一手段として利用可能となる。

本発明の実施例の構成を説明するブロック図である。 本発明の実施例の動作を説明するフローチャートである。 本発明の実施例のＤＨＣＰメッセージの説明図である。 本発明の実施例のＭＡＣアドレスとＩＰアドレスの対応を記憶するデータベースの説明図である。 本発明の実施例のプログラムにおけるパッチ適用履歴ファイルの説明図である。

符号の説明

１０ クライアント
１１ セキュリティ応答プログラム
１２ プログラム格納ファイル
１３ パッチ適用履歴ファイル
１４ 記憶装置
２０ ＤＨＣＰサーバ
２１ ＤＨＣＰサーバプログラム
２２ ＭＡＣアドレスデータベース
２３ ウィルス対策用パッチデータベース
２４ 記憶装置
３０ インターネット

Claims (6)

1. ＩＰアドレスの割当要求を送信するクライアントと、前記クライアントからの割当要求を受信すると前記クライアントにＩＰアドレスを割当てこれを前記クライアントに送信するＤＨＣＰサーバと、前記クライアントと前記ＤＨＣＰサーバとを接続するインターネットとを備えたＩＰアドレス割当システムにおいて、
   前記ＤＨＣＰサーバは、前記クライアントで動作するプログラムに関し既にクライアントに適用されているパッチ番号と最新のパッチ番号とを比較し未適用のパッチがあれば未適用のパッチを前記クライアントに送信し、前記クライアントから未適用パッチの適用完了通知の受信後に前記クライアントに対して割当てたＩＰアドレスを送信することを特徴とするＩＰアドレス割当システム。
2. 前記ＤＨＣＰサーバは、割当要求メッセージのイーサネット（登録商標）ヘッダからクライアントのＭＡＣアドレスを取得すると、予めデータベースに記憶するＭＡＣアドレスとＩＰアドレスの対応テーブルにおけるＭＡＣアドレスを前記クライアントのＭＡＣアドレスで検索し、一致する場合は対応するＩＰアドレスを前記クライアントに割当て、一致しない場合は割当てないことを特徴とする請求項１記載のＩＰアドレス割当システム。
3. クライアントからＩＰアドレスの割当要求メッセージを受信すると、割当要求メッセージのイーサネット（登録商標）ヘッダからクライアントのＭＡＣアドレスを取り出し、データベースに記憶するＭＡＣアドレスとＩＰアドレスの対応テーブルを前記取り出したＭＡＣアドレスで検索する検索手段と、前記検索手段による検索の結果、一致するＭＡＣアドレスを検出すると対応するＩＰアドレスを一時記憶するとともに前記クライアントに対し前記クライアントが適用済みのパッチ情報の送信を要求し、前記クライアントから適用済みのパッチ情報を受信するとデータベースに記憶する最新のパッチ情報と比較するパッチ比較手段と、前記パッチ比較手段による比較の結果、未適用のパッチを検出すると、検出したパッチを前記クライアントに送信するパッチ送信手段と、前記クライアントから未適用のパッチの適用の終了通知を受信すると前記クライアントに一時記憶したＩＰアドレスを送信するＩＰアドレス送信手段と、
   を含むことを特徴とするＩＰアドレス割当サーバ。
4. クライアントからＩＰアドレスの割当要求メッセージを受信すると、割当要求メッセージのイーサネット（登録商標）ヘッダからクライアントのＭＡＣアドレスを取り出し、データベースに記憶するＭＡＣアドレスとＩＰアドレスの対応テーブルを前記取り出したＭＡＣアドレスで検索する第１のステップと、
   前記第１のステップによる検索の結果、一致するＭＡＣアドレスを検出すると対応するＩＰアドレスを一時記憶するとともに前記クライアントに対し前記クライアントが適用済みのパッチ情報の送信を要求し、前記クライアントから適用済みのパッチ情報を受信するとデータベースに記憶する最新のパッチ情報と比較する第２のステップと、
   前記第２のステップによる比較の結果、未適用のパッチを検出すると、検出したパッチを前記クライアントに送信する第３のステップと、
   前記クライアントから未適用のパッチの適用の終了通知を受信すると前記クライアントに一時記憶したＩＰアドレスを送信する第４のステップと、
   を含むことを特徴とするＩＰアドレス割当方法。
5. 前記第１のステップは、ＭＡＣアドレスの比較において、一致するＭＡＣアドレスが検出できないと、前記クライアントにＩＰアドレスの割当て拒否を通知するステップを含むことを特徴とする請求項４記載のＩＰアドレス割当方法。
6. コンピュータに、
   クライアントからＩＰアドレスの割当要求メッセージを受信すると、割当要求メッセージのイーサネット（登録商標）ヘッダからクライアントのＭＡＣアドレスを取り出し、データベースに記憶するＭＡＣアドレスとＩＰアドレスの対応テーブルを前記取り出したＭＡＣアドレスで検索する第１のステップと、
   前記第１のステップによる検索の結果、一致するＭＡＣアドレスを検出すると対応するＩＰアドレスを一時記憶するとともに前記クライアントに対し前記クライアントが適用済みのパッチ情報の送信を要求し、前記クライアントから適用済みのパッチ情報を受信するとデータベースに記憶する最新のパッチ情報と比較する第２のステップと、
   前記第２のステップによる比較の結果、未適用のパッチを検出すると、検出したパッチを前記クライアントに送信する第３のステップと、
   前記クライアントから未適用のパッチの適用の終了通知を受信すると前記クライアントに一時記憶したＩＰアドレスを送信する第４のステップと、
   を実行させるためのプログラム。
   

Images