JP2007251906A - フレーム中継装置及びフレーム検査装置 - Google Patents
フレーム中継装置及びフレーム検査装置 Download PDFInfo
- Publication number
- JP2007251906A JP2007251906A JP2006076466A JP2006076466A JP2007251906A JP 2007251906 A JP2007251906 A JP 2007251906A JP 2006076466 A JP2006076466 A JP 2006076466A JP 2006076466 A JP2006076466 A JP 2006076466A JP 2007251906 A JP2007251906 A JP 2007251906A
- Authority
- JP
- Japan
- Prior art keywords
- frame
- unit
- terminal
- network
- inspection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
【課題】本発明は、不正検出をするトラフィックを選択することにより、不正検出の効率化を図ることを課題とする。
【解決手段】端末から網へ転送されるフレームを中継するフレーム中継装置であって、前記端末から前記網へのフレーム送信が開始される前に、前記端末からのフレームに対する安全性の検査が必要か否かを判定する判定部と、安全性の検査が必要でない場合に、フレーム中継装置と前記網との間のフレーム伝送路上に位置し、前記網へ転送されるフレームを受信して安全性の検査を行う検査装置において前記端末からのフレームに対する安全性の検査を行わないことを決定し、安全性の検査が必要である場合に前記検査装置において前記端末からのフレームに対する安全性の検査を行うことを決定する決定部と、決定結果に基づく指示を前記検査装置へ出力する出力部と、を含むフレーム中継装置とした。
【選択図】図８
【解決手段】端末から網へ転送されるフレームを中継するフレーム中継装置であって、前記端末から前記網へのフレーム送信が開始される前に、前記端末からのフレームに対する安全性の検査が必要か否かを判定する判定部と、安全性の検査が必要でない場合に、フレーム中継装置と前記網との間のフレーム伝送路上に位置し、前記網へ転送されるフレームを受信して安全性の検査を行う検査装置において前記端末からのフレームに対する安全性の検査を行わないことを決定し、安全性の検査が必要である場合に前記検査装置において前記端末からのフレームに対する安全性の検査を行うことを決定する決定部と、決定結果に基づく指示を前記検査装置へ出力する出力部と、を含むフレーム中継装置とした。
【選択図】図８
Description
ネットワークにおける攻撃検出装置の高速化に関する。
昨今、例えば、メールに添付されたコンピュータウィルスなどのように、トランスポート層レベルでのチェック（例えば、ＴＣＰ／ＵＤＰ層レベルでのポートフィルタリングなど）での検出が困難な攻撃が増えている。従来、このような攻撃を検出するために、ネットワーク上の機器による検出手段と、エンド端末での検出手段の２種類があった。
ネットワーク上の機器による検出方法は、企業網や学内網などのエンタープライズ網と外部網との接続箇所で、不正検出（パターンチェック）と異常検出（閾値によるチェック）とを組み合わせることで攻撃を検出する方法である。これらの検出機能を有する装置を一般にＩＤＳ（Intrusion Detection System）という。図３３は、一般的なネットワークの構成を示す図である。
不正検出（パターンチェック）は、フレームのヘッダやデータを攻撃パターン毎に配布されるパターンファイルを適用してチェックすることで、既知の手口を使用した攻撃を検出する手段である。パターンファイルは、最新の攻撃に対応するために日々更新されており、インターネット経由などで最新のパターンファイルが提供されている。
異常検出（閾値によるチェック）は、ネットワークのフロー毎にトラフィックの振る舞いを監視し、異常な振る舞いが閾値を超えて発生しているか否かをチェックする。これによれば、未知の手法による攻撃を発見する可能性がある。
これらの検出を行うシステム上の配置により、ネットワーク型とホスト型とに分類できる。
ネットワーク型は、ネットワークカードのプロミスキャスモード（無条件受信モード）を利用して、接続しているネットワークセグメントのすべてのトラフィックを監視する。具体的には、ネットワーク上を流れるパケットを収集し、そのプロトコルヘッダやデータを解析する。不正接続者が侵入を試みる際、不正な形式のパケットを送りつけたり、セキュリティーホールが存在するサービスに関連するポートに接続したりするが、そういった疑わしいパケットを発見して通知する。プロミスキャスモードとは、ネットワークインターフェイスにおいて、自ノード宛でなく、ネットワーク上を流れるすべてのパケットを取り込むという動作モードである。
ホスト型は、ＯＳ(Operating System)の監視機能と連携して不正侵入を検知する。保護したいコンピュータに導入して、ログファイルやファイルの改ざんの監視を行う。
エンド端末での検出方法は、エンド端末で、ウィルスチェックソフトウェア及びセキュリティホール対策パッチによる攻撃検出をする方法である。
ウィルスチェックソフトウェアは、ハードディスクや受信した電子メールにウィルスが含まれていないかパターンファイルによりチェックする機能を有する。パターンファイルは、最新の攻撃に対応するために日々更新されており、インターネット経由などで最新のパターンファイルが提供されている。
セキュリティーホール対策パッチは、ＯＳ等のセキュリティーホールを塞ぐものである。セキュリティーホールに対してはパッチ情報がＯＳベンダ等より配布され、これを適用することで攻撃を防ぐことができる。
図３４を用いて、一般的なネットワークへの接続手順を説明する。
リモート端末１０４は、ＶＰＮ―ＧＷ１０３にエンタープライズ網１１４へ接続依頼をする。このとき、リモート端末１０４のユーザは、エンタープライズ網１１４に接続するためのユーザ認証情報（ユーザ名とパスワードなど）をＶＰＮ−ＧＷ１０３に送信する（ＳＱ０１）。ＶＰＮ−ＧＷ１０３は、認証サーバ１１１に、リモート端末１０４のユーザ認証情報がエンタープライズ網１１４に接続を許可できるものであるかを確認する（ＳＱ０２）。認証サーバ１１１は、認証結果をＶＰＮ−ＧＷ１０３に送信する（ＳＱ０３）。ＶＰＮ−ＧＷ１０３は、認証サーバ１１１から受信した認証結果（接続可否）をリモート端末１０４に送信する（ＳＱ０４）。認証がＯＫの場合、リモート端末１０４は、ＶＰＮ−ＧＷ１０３と暗号化通信を開始する（ＳＱ０５）。ＶＰＮ−ＧＷ１０３は暗号を終端し、リモート端末１０４のフレームをエンタープライズ網１１４に転送する（ＳＱ０５）。ＶＰＮ−ＧＷ１０３は、すべての通信に対して、不正検出を実施する。
特開２００４−２３４２０８号公報
ネットワーク型ＩＤＳでの不正検出は、接続しているネットワークセグメントのすべてのトラフィックを監視する。トラフィック流量が増えると、不正検出の解析処理がトラフィック流量に追従できなくなる。そのため、不正検出での取りこぼしが発生するという問題があった。
また、上記したネットワーク上の機器による不正検出とエンド端末での不正検出とが独立に行われている。そのため、安全な端末からのトラフィックにまでネットワーク上の不正検出を行うことになるという問題があった。
そこで、本発明は、不正検出をするトラフィックを選択することにより、不正検出の効率化を図ることを課題とする。
本発明は、上記した課題を解決するために、以下の手段を採用する。即ち、本発明の態様は、即ち、
端末から網へ転送されるフレームを中継するフレーム中継装置であって、前記端末から前記網へのフレーム送信が開始される前に、前記端末からのフレームに対する安全性の検査が必要か否かを判定する判定部と、
安全性の検査が必要でない場合に、フレーム中継装置と前記網との間のフレーム伝送路上に位置し、前記網へ転送されるフレームを受信して安全性の検査を行う検査装置において前記端末からのフレームに対する安全性の検査を行わないことを決定し、安全性の検査が必要である場合に前記検査装置において前記端末からのフレームに対する安全性の検査を行うことを決定する決定部と、
決定結果に基づく指示を前記検査装置へ出力する出力部と、
を含むフレーム中継装置である。
端末から網へ転送されるフレームを中継するフレーム中継装置であって、前記端末から前記網へのフレーム送信が開始される前に、前記端末からのフレームに対する安全性の検査が必要か否かを判定する判定部と、
安全性の検査が必要でない場合に、フレーム中継装置と前記網との間のフレーム伝送路上に位置し、前記網へ転送されるフレームを受信して安全性の検査を行う検査装置において前記端末からのフレームに対する安全性の検査を行わないことを決定し、安全性の検査が必要である場合に前記検査装置において前記端末からのフレームに対する安全性の検査を行うことを決定する決定部と、
決定結果に基づく指示を前記検査装置へ出力する出力部と、
を含むフレーム中継装置である。
本発明によると、安全性の検査を行う必要のない端末からのフレームに対する安全性の検査が検査装置で行われるのを抑えることができる。即ち、不正検出を行うトラフィックがフレーム中継装置からの指示に基づいて検査装置で選択される。よって、効率的な検査
が実現される。
また、本発明の別の態様は、
フレームの受信部と、
フレームに対する安全性の検査を行う検査部と、
前記検査部による安全性の検査を要しない端末の識別情報が登録される記憶部と、
前記受信部でフレームが受信されたときに、このフレームの送信元端末の識別情報が前記記憶部に登録されている場合には、このフレーム対する前記検査部の検査を行わないことを決定する決定部と、
を含むフレーム検査装置
である。
が実現される。
また、本発明の別の態様は、
フレームの受信部と、
フレームに対する安全性の検査を行う検査部と、
前記検査部による安全性の検査を要しない端末の識別情報が登録される記憶部と、
前記受信部でフレームが受信されたときに、このフレームの送信元端末の識別情報が前記記憶部に登録されている場合には、このフレーム対する前記検査部の検査を行わないことを決定する決定部と、
を含むフレーム検査装置
である。
本発明によれば、記憶部の参照によって、不正検出を行うトラフィックが選択される。そして、安全性の検査を行う必要のある端末からのフレーム（トラフィック）についてのみ安全性の検査が行われるようにすることができる。よって、検査装置の検査の効率化が図られる。また、検査装置の処理負担軽減が図られる。
また、本発明は、上記した本発明にかかるフレーム中継装置またはフレーム検査装置と同様の特徴を有する方法、情報処理装置（コンピュータ等）で実行されるプログラム、あるいは当該プログラムを記録した記憶媒体として実現可能である。
本発明によれば、不正検出をするトラフィックを選択することにより、不正検出の効率化を図ることが可能となる。
以下、図面を参照して本発明の実施形態について説明する。実施形態の構成は例示であり、本発明は実施形態の構成に限定されない。
〔実施形態〕
〈システム構成〉
図１は、本発明の実施形態にかかるシステム構成例を示す図である。本発明の実施形態にかかるシステムは、会社などのエンタープライズ網１１４と、エンタープライズ網１１４を管理する社内サーバ１１６と、認証サーバ１１１と、インベントリ管理サーバ１０５と、ルータ１１０と、Ｌ２スイッチ１０８と、Ｌ２スイッチに接続されるＶＰＮ−ＧＷ１０３（Virtual Private Network - Gate Way）と、ＩＤＳ１０２と、エンタープライズ網１１４と外部網１００を隔てるファイアウォール１０１と、ルータ１０６と、外部網１００と、を備える。外部網１００には、エンタープライズ網１１４のユーザのリモート端末１０４が接続されている。
〈システム構成〉
図１は、本発明の実施形態にかかるシステム構成例を示す図である。本発明の実施形態にかかるシステムは、会社などのエンタープライズ網１１４と、エンタープライズ網１１４を管理する社内サーバ１１６と、認証サーバ１１１と、インベントリ管理サーバ１０５と、ルータ１１０と、Ｌ２スイッチ１０８と、Ｌ２スイッチに接続されるＶＰＮ−ＧＷ１０３（Virtual Private Network - Gate Way）と、ＩＤＳ１０２と、エンタープライズ網１１４と外部網１００を隔てるファイアウォール１０１と、ルータ１０６と、外部網１００と、を備える。外部網１００には、エンタープライズ網１１４のユーザのリモート端末１０４が接続されている。
以下、ＩＤＳ１０２、ＶＰＮ−ＧＷ１０３、リモート端末１０４及びインベントリ管理サーバ１０５について詳細に説明する。
《ＩＤＳ》
ＩＤＳは、不正検出を行う装置である。図２は、ＩＤＳ１０２の機能ブロックを示す図である。ＩＤＳ１０２は、通信部２０１、フレーム判定部２０２、リモート端末識別子設定部２１０、不正検出要否判定部２２０、不正検出部２２２、コンソール部２２８、不正フレームログ部２２６、不正パターンＤＢ２２４、不正検出不要ノード識別子ＤＢ２１４、ＩＤＳ設定終了フレーム作成部２１２を備える。
ＩＤＳは、不正検出を行う装置である。図２は、ＩＤＳ１０２の機能ブロックを示す図である。ＩＤＳ１０２は、通信部２０１、フレーム判定部２０２、リモート端末識別子設定部２１０、不正検出要否判定部２２０、不正検出部２２２、コンソール部２２８、不正フレームログ部２２６、不正パターンＤＢ２２４、不正検出不要ノード識別子ＤＢ２１４、ＩＤＳ設定終了フレーム作成部２１２を備える。
（通信部）
通信部２０１は、ネットワークからの通信をリンクレイヤまで終端する。通信部２０１は、ネットワークから受信したフレーム（受信フレーム）をフレーム判定部２０２へ送信する。
通信部２０１は、ネットワークからの通信をリンクレイヤまで終端する。通信部２０１は、ネットワークから受信したフレーム（受信フレーム）をフレーム判定部２０２へ送信する。
（フレーム判定部）
フレーム判定部２０２は、通信部２０１から渡された受信フレームの種別を識別する。受信フレームが、リモート端末１０４からエンタープライズ網１１４への転送対象のフレーム、すなわちプロミスキャスモードで受信したフレームの場合は不正検出要否判定部２２０へ受信フレームを渡す。また、受信フレームがＩＤＳ設定要求フレームの場合は、リモート端末識別子設定部２１０にその受信フレームを渡す。
フレーム判定部２０２は、通信部２０１から渡された受信フレームの種別を識別する。受信フレームが、リモート端末１０４からエンタープライズ網１１４への転送対象のフレーム、すなわちプロミスキャスモードで受信したフレームの場合は不正検出要否判定部２２０へ受信フレームを渡す。また、受信フレームがＩＤＳ設定要求フレームの場合は、リモート端末識別子設定部２１０にその受信フレームを渡す。
（リモート端末識別子設定部）
リモート端末識別子設定部２１０は、ＩＤＳ設定要求フレーム内に含まれるリモート端末１０４の識別子（例えば、ＩＰアドレス）を不正検出不要ノード識別子ＤＢ（DataBase）部２１４に格納する。リモート端末識別子設定部２１０は、ＩＤＳ設定終了フレーム作成部２１２にＩＤＳ設定終了フレームの作成指示をする。
リモート端末識別子設定部２１０は、ＩＤＳ設定要求フレーム内に含まれるリモート端末１０４の識別子（例えば、ＩＰアドレス）を不正検出不要ノード識別子ＤＢ（DataBase）部２１４に格納する。リモート端末識別子設定部２１０は、ＩＤＳ設定終了フレーム作成部２１２にＩＤＳ設定終了フレームの作成指示をする。
（不正検出不要ノード識別子ＤＢ部）
不正検出不要ノード識別子ＤＢ部２１４は、不正検出が不要である送信元識別子（例えば、ＩＰアドレス）の情報を保持する。不正検出が不要である送信元識別子の情報は、リモート端末識別子判定部２１０によって不正ノード不要ノード識別子ＤＢ部２１４に格納される。
不正検出不要ノード識別子ＤＢ部２１４は、不正検出が不要である送信元識別子（例えば、ＩＰアドレス）の情報を保持する。不正検出が不要である送信元識別子の情報は、リモート端末識別子判定部２１０によって不正ノード不要ノード識別子ＤＢ部２１４に格納される。
（ＩＤＳ設定終了フレーム作成部）
ＩＤＳ設定終了フレーム作成部２１２は、リモート端末識別子設定部２１０の指示に基づき、ＩＤＳ設定終了フレームを作成する。ＩＤＳ設定終了フレーム作成部２１２は、そのＩＤＳ設定終了フレームを、通信部２０１を経由してＶＰＮ−ＧＷ１０３宛に送信する。
ＩＤＳ設定終了フレーム作成部２１２は、リモート端末識別子設定部２１０の指示に基づき、ＩＤＳ設定終了フレームを作成する。ＩＤＳ設定終了フレーム作成部２１２は、そのＩＤＳ設定終了フレームを、通信部２０１を経由してＶＰＮ−ＧＷ１０３宛に送信する。
（不正検出要否判定部）
不正検出要否判定部２２０は、受信フレームの送信元識別子(例えば、ＩＰアドレス)を検索キーとして、不正検出不要ノード識別子ＤＢ部２１４に保持されている情報を検索し、その受信フレームに対する不正検出処理の要否を判定する。不正検出要否判定部２２０は、不正検出が不要な場合にはそのフレームに対する処理を終了し、必要な場合には不正検出部２２２へ渡す。
不正検出要否判定部２２０は、受信フレームの送信元識別子(例えば、ＩＰアドレス)を検索キーとして、不正検出不要ノード識別子ＤＢ部２１４に保持されている情報を検索し、その受信フレームに対する不正検出処理の要否を判定する。不正検出要否判定部２２０は、不正検出が不要な場合にはそのフレームに対する処理を終了し、必要な場合には不正検出部２２２へ渡す。
（不正検出部）
不正検出部２２２は、不正検出要否判定部２２０から渡されたフレームに対して、ヘッダやデータが不正パターンＤＢ部２２４に保持されているパターンと一致するか否かにより不正検出を行う。一致した場合には不正なフレームであるため、不正検出部２２２は、そのフレームを廃棄し、不正フレームログ部２２６にその不正なフレームの情報（例えば、送信元／宛先ＭＡＣアドレスや、送信元／宛先ＩＰアドレス）を記録し、コンソール部２２８へ通知する。一致しなかった場合には、不正検出部２２２は、そのフレームは問題のないフレームであると判断し、そのフレームに対しての処理を終了する。
不正検出部２２２は、不正検出要否判定部２２０から渡されたフレームに対して、ヘッダやデータが不正パターンＤＢ部２２４に保持されているパターンと一致するか否かにより不正検出を行う。一致した場合には不正なフレームであるため、不正検出部２２２は、そのフレームを廃棄し、不正フレームログ部２２６にその不正なフレームの情報（例えば、送信元／宛先ＭＡＣアドレスや、送信元／宛先ＩＰアドレス）を記録し、コンソール部２２８へ通知する。一致しなかった場合には、不正検出部２２２は、そのフレームは問題のないフレームであると判断し、そのフレームに対しての処理を終了する。
（コンソール部）
コンソール部２２８は、ユーザとのインタフェース機能を有する。コンソール部２２８は、不正検出部２２２により不正フレームが検出された場合、その旨をユーザに通知する。
コンソール部２２８は、ユーザとのインタフェース機能を有する。コンソール部２２８は、不正検出部２２２により不正フレームが検出された場合、その旨をユーザに通知する。
（不正パターンＤＢ部）
不正パターンＤＢ部２２４は、不正フレームのパターンがあらかじめ登録されているデータベース部である。不正パターンＤＢ部２２４は、不正検出部２２２が不正フレームを検出する際に参照される。
不正パターンＤＢ部２２４は、不正フレームのパターンがあらかじめ登録されているデータベース部である。不正パターンＤＢ部２２４は、不正検出部２２２が不正フレームを検出する際に参照される。
（不正フレームログ部）
不正フレームログ部２２６は、不正検出部２２２が不正フレームと判断したフレームの情報を保持する。
不正フレームログ部２２６は、不正検出部２２２が不正フレームと判断したフレームの情報を保持する。
《ＶＰＮ−ＧＷ》
図３は、ＶＰＮ−ＧＷ１０３の機能ブロックを示す図である。
図３は、ＶＰＮ−ＧＷ１０３の機能ブロックを示す図である。
ＶＰＮ−ＧＷ１０３は、通信部３０１、暗号デコード部３０３、暗号エンコード部３０４、フレーム判定部３０２を備える。ＶＰＮ−ＧＷ１０３は、認証要求フレーム作成部３１０、認証結果判断部３２０、接続拒否フレーム作成部３３０、不正検出確認応答確認部３４０、接続準備完了フレーム作成部３５０及び転送認可確認部３６０をさらに備える。ＶＰＮ−ＧＷ１０３は、接続拒否フレーム作成部３２２、インベントリ情報要求フレーム作成部３２４、ＩＤＳ設定要求フレーム作成部３４２及び転送可能端末ＤＢ３７０をさらに備える。
（通信部）
通信部３０１は、ネットワークからの通信をリンクレイヤまで終端し、暗号デコード部３０３へ渡す。また、暗号エンコード部３０４からフレームを受信した時は、リンクレイヤの処理をし、ネットワークへ送信する。
通信部３０１は、ネットワークからの通信をリンクレイヤまで終端し、暗号デコード部３０３へ渡す。また、暗号エンコード部３０４からフレームを受信した時は、リンクレイヤの処理をし、ネットワークへ送信する。
（暗号デコード部）
暗号デコード部３０３は、暗号化されているフレームに対して、復号化処理を行った上で、フレーム判定部３０２へそのフレームを渡す。暗号化されていないフレームに対しては、復号化処理を行わずに、そのフレームをフレーム判定部３０２へ渡す。
暗号デコード部３０３は、暗号化されているフレームに対して、復号化処理を行った上で、フレーム判定部３０２へそのフレームを渡す。暗号化されていないフレームに対しては、復号化処理を行わずに、そのフレームをフレーム判定部３０２へ渡す。
（暗号エンコード部）
暗号エンコード部３０４は、暗号化が必要なフレーム（例えば、リモート端末１０４へ送られるフレーム）に対して、暗号化処理を行い、通信部３０１へ当該フレームを転送する。暗号化の不要なフレーム（例えば、ＩＤＳ１０２へ送られるフレーム）に対しては、暗号化処理を行わずに、通信部３０１へ当該フレームを転送する。
暗号エンコード部３０４は、暗号化が必要なフレーム（例えば、リモート端末１０４へ送られるフレーム）に対して、暗号化処理を行い、通信部３０１へ当該フレームを転送する。暗号化の不要なフレーム（例えば、ＩＤＳ１０２へ送られるフレーム）に対しては、暗号化処理を行わずに、通信部３０１へ当該フレームを転送する。
（フレーム判定部）
フレーム判定部３０２は、暗号デコード部３０３から受信したフレームの種別を識別する。フレーム判定部３０２は、フレームの種別に応じて、次の機能ブロックへこのフレームを転送する。
フレーム判定部３０２は、暗号デコード部３０３から受信したフレームの種別を識別する。フレーム判定部３０２は、フレームの種別に応じて、次の機能ブロックへこのフレームを転送する。
図４は、受信したフレームと転送される機能ブロックとの関係を示したテーブルである。接続要求フレームは、認証要求フレーム作成部３１０へ転送される。認証結果通知フレームは、認証結果判断部３２０へ転送される。インベントリ情報回答フレームは、不正検出確認要求フレーム作成部３３０へ転送される。不正検出確認応答フレームは、不正検出確認応答確認部３４０へ転送される。ＩＤＳ設定終了フレームは、接続準備完了フレーム作成部３５０へ転送される。その他のフレーム３６５は、転送許可確認部３６０へ転送される。フレーム判定部３０２は、例えば、図４に示したようなテーブルＴ１００を有し、これを参照してフレームを転送する。
（認証要求フレーム作成部）
認証要求フレーム作成部３１０は、リモート端末１０４から受信した接続要求フレーム３１５に含まれるユーザ認証情報(例えば、ユーザ名、パスワード)を含む認証要求フレームを作成し、通信部３０１を経由して認証サーバ１１１に送信する。
認証要求フレーム作成部３１０は、リモート端末１０４から受信した接続要求フレーム３１５に含まれるユーザ認証情報(例えば、ユーザ名、パスワード)を含む認証要求フレームを作成し、通信部３０１を経由して認証サーバ１１１に送信する。
（認証結果判断部）
認証結果判断部３２０は、認証要求フレームの回答として認証サーバ１１１から通知された認証結果通知フレームに基づいて処理を行う。認証ＯＫの場合、認証結果判断部３２０は、接続要求を送信したリモート端末１０４宛に、インベントリ情報の送付要求を送信する指示を、インベントリ情報要求フレーム作成部３２４へ出す。認証ＮＧの場合、認証結果判断部３２０は、ＶＰＮ接続を拒否することを、接続要求を送信したリモート端末１０４宛に送信する指示を、接続拒否フレーム作成部３２２へ出す。
認証結果判断部３２０は、認証要求フレームの回答として認証サーバ１１１から通知された認証結果通知フレームに基づいて処理を行う。認証ＯＫの場合、認証結果判断部３２０は、接続要求を送信したリモート端末１０４宛に、インベントリ情報の送付要求を送信する指示を、インベントリ情報要求フレーム作成部３２４へ出す。認証ＮＧの場合、認証結果判断部３２０は、ＶＰＮ接続を拒否することを、接続要求を送信したリモート端末１０４宛に送信する指示を、接続拒否フレーム作成部３２２へ出す。
（接続拒否フレーム作成部）
接続拒否フレーム作成部３２２は、リモート端末１０４からのＶＰＮ接続を拒否することを通知するフレームを作成し、認証結果判断部３２０から指示されたリモート端末１０４宛へ、暗号エンコード部３０４を経由して送信する。
接続拒否フレーム作成部３２２は、リモート端末１０４からのＶＰＮ接続を拒否することを通知するフレームを作成し、認証結果判断部３２０から指示されたリモート端末１０４宛へ、暗号エンコード部３０４を経由して送信する。
（インベントリ情報要求フレーム作成部）
インベントリ情報要求フレーム作成部３２４は、リモート端末１０４のインベントリ情報を要求するフレームを作成し、認証結果判断部３２０から指示されたリモート端末１０４宛へ、暗号エンコード部３０４を経由して送信する。
インベントリ情報要求フレーム作成部３２４は、リモート端末１０４のインベントリ情報を要求するフレームを作成し、認証結果判断部３２０から指示されたリモート端末１０４宛へ、暗号エンコード部３０４を経由して送信する。
（不正検出確認要求フレーム作成部）
不正検出確認要求フレーム作成部３３０は、インベントリ情報要求フレームの回答として得たリモート端末１０４のインベントリ情報を含む不正検出確認要求フレームを作成し、そのフレームをインベントリ管理サーバ１０５へ転送する。
不正検出確認要求フレーム作成部３３０は、インベントリ情報要求フレームの回答として得たリモート端末１０４のインベントリ情報を含む不正検出確認要求フレームを作成し、そのフレームをインベントリ管理サーバ１０５へ転送する。
（不正検出確認応答確認部）
不正検出確認応答確認部３４０は、インベントリ管理サーバ１０５から送信された不正検出確認応答フレームの回答結果に基づいて処理を行う。不正検出が不要な場合、不正検出確認応答確認部３４０は、接続要求を送信したリモート端末１０４がＶＰＮ接続後に送信するフレームに対して、不正検出処理を行わないことをＩＤＳ１０２へ通知するようＩＤＳ設定要求フレーム作成部３４２へ指示する。不正検出が不要な場合、ＶＰＮ−ＧＷ１０３の接続準備が終了したことを、接続要求を送信したリモート端末１０４へ通知するよう接続準備完了フレーム作成部３５０へ指示する。
不正検出確認応答確認部３４０は、インベントリ管理サーバ１０５から送信された不正検出確認応答フレームの回答結果に基づいて処理を行う。不正検出が不要な場合、不正検出確認応答確認部３４０は、接続要求を送信したリモート端末１０４がＶＰＮ接続後に送信するフレームに対して、不正検出処理を行わないことをＩＤＳ１０２へ通知するようＩＤＳ設定要求フレーム作成部３４２へ指示する。不正検出が不要な場合、ＶＰＮ−ＧＷ１０３の接続準備が終了したことを、接続要求を送信したリモート端末１０４へ通知するよう接続準備完了フレーム作成部３５０へ指示する。
（ＩＤＳ設定要求フレーム作成部）
ＩＤＳ設定要求フレーム作成部３４２は、不正検出確認応答確認部３４０から指示されたリモート端末１０４の識別子を、不正検出処理を行わない送信元の識別子（ＩＰアドレスなど）として、ＩＤＳ設定要求フレームを作成し、通信部３０１を経由してＩＤＳ１０２へ送信する。
ＩＤＳ設定要求フレーム作成部３４２は、不正検出確認応答確認部３４０から指示されたリモート端末１０４の識別子を、不正検出処理を行わない送信元の識別子（ＩＰアドレスなど）として、ＩＤＳ設定要求フレームを作成し、通信部３０１を経由してＩＤＳ１０２へ送信する。
（接続準備完了フレーム作成部）
接続準備完了フレーム作成部３５０は、転送許可端末ＤＢ３７０に認証済のリモート端末１０４の識別子を登録する。接続準備完了フレーム作成部３５０は、ＶＰＮ−ＧＷ１０３においてリモート端末１０４に対する接続準備が完了したことを通知する接続準備完了フレームを作成し、暗号エンコード部３０４を経由して接続要求を送信したリモート端末１０４へ送信する。
接続準備完了フレーム作成部３５０は、転送許可端末ＤＢ３７０に認証済のリモート端末１０４の識別子を登録する。接続準備完了フレーム作成部３５０は、ＶＰＮ−ＧＷ１０３においてリモート端末１０４に対する接続準備が完了したことを通知する接続準備完了フレームを作成し、暗号エンコード部３０４を経由して接続要求を送信したリモート端末１０４へ送信する。
（転送許可確認部）
転送許可確認部３６０は、受信したフレームの送信元の識別子を検索キーとして、転送許可端末ＤＢ３７０を検索する。転送許可端末ＤＢ３７０にその識別子のエントリがある場合、受信フレームは接続許可した（認証済の）リモート端末が発信したフレームであるため、暗号エンコード部３０４及び通信部３０１経由で、エンタープライズ網１１４内の宛先ノードへこのフレームを転送する。転送許可端末ＤＢ３７０にエントリがない場合、受信フレームは接続許可していない（未認証の）端末が発信するフレームであるため、そのフレームを廃棄する。
転送許可確認部３６０は、受信したフレームの送信元の識別子を検索キーとして、転送許可端末ＤＢ３７０を検索する。転送許可端末ＤＢ３７０にその識別子のエントリがある場合、受信フレームは接続許可した（認証済の）リモート端末が発信したフレームであるため、暗号エンコード部３０４及び通信部３０１経由で、エンタープライズ網１１４内の宛先ノードへこのフレームを転送する。転送許可端末ＤＢ３７０にエントリがない場合、受信フレームは接続許可していない（未認証の）端末が発信するフレームであるため、そのフレームを廃棄する。
（転送許可端末ＤＢ）
転送許可端末ＤＢ３７０は、認証済みのリモート端末１０４の識別子を保持しているデータベースである。接続準備完了フレーム作成部３５０によって、認証済みのリモート端末１０４の識別子が格納される。
転送許可端末ＤＢ３７０は、認証済みのリモート端末１０４の識別子を保持しているデータベースである。接続準備完了フレーム作成部３５０によって、認証済みのリモート端末１０４の識別子が格納される。
《リモート端末》
リモート端末１０４は、エンタープライズ網１１４のユーザが外部網１００からエンタープライズ網１１４に接続する際に、使用する端末である。図５は、リモート端末１０４の機能ブロックを示す図である。
リモート端末１０４は、エンタープライズ網１１４のユーザが外部網１００からエンタープライズ網１１４に接続する際に、使用する端末である。図５は、リモート端末１０４の機能ブロックを示す図である。
リモート端末１０４は、通信部４０１、暗号デコード部４０３、フレーム判定部４０２、インベントリ情報回答フレーム作成部４１０、インベントリ情報保持ＤＢ４１２、ＶＰＮ接続制御部４２０、接続要求フレーム作成部４２２、コンソール部４２８及びＯＳの通信部４３０を備える。
（通信部）
通信部４０１は、ネットワークからの通信をリンクレイヤまで終端し、フレームを暗号デコード部４０３へ渡す。また、フレームの送信時には、リンクレイヤの処理をし、ネットワークへ送信する。
通信部４０１は、ネットワークからの通信をリンクレイヤまで終端し、フレームを暗号デコード部４０３へ渡す。また、フレームの送信時には、リンクレイヤの処理をし、ネットワークへ送信する。
（暗号デコード部）
暗号デコード部４０３は、暗号化されているフレームに対しては、復号化処理を行い、フレーム判定部４０２へそのフレームを渡す。暗号化されていないフレームに対しては、処理は行わずに、フレーム判定部４０２へそのフレームを渡す。
暗号デコード部４０３は、暗号化されているフレームに対しては、復号化処理を行い、フレーム判定部４０２へそのフレームを渡す。暗号化されていないフレームに対しては、処理は行わずに、フレーム判定部４０２へそのフレームを渡す。
（暗号エンコード部）
暗号エンコード部４０４は、暗号化が必要なフレームに対して、暗号化処理を行い、通信部４０１へそのフレームを渡す。
暗号エンコード部４０４は、暗号化が必要なフレームに対して、暗号化処理を行い、通信部４０１へそのフレームを渡す。
（フレーム判定部）
フレーム判定部４０２は、暗号デコード部４０３から受信したフレームの種別を識別する。識別結果に応じて、次の機能ブロックへ受信したフレームを転送する。インベントリ情報要求フレームは、インベントリ回答フレーム作成部へ転送される。接続拒否フレーム及び接続準備回答フレームは、ＶＰＮ接続制御部４２０へ送られる。
フレーム判定部４０２は、暗号デコード部４０３から受信したフレームの種別を識別する。識別結果に応じて、次の機能ブロックへ受信したフレームを転送する。インベントリ情報要求フレームは、インベントリ回答フレーム作成部へ転送される。接続拒否フレーム及び接続準備回答フレームは、ＶＰＮ接続制御部４２０へ送られる。
図６は、受信したフレームと転送される機能ブロックとの関係を示したテーブルである。インベントリ情報要求フレームは、インベントリ情報回答フレーム作成部４１０へ転送される。接続拒否フレームおよび接続準備完了フレームは、ＶＰＮ接続制御部４２０へ転送される。フレーム判定部４０２は、例えば、図６に示したテーブルＴ２００を有し、このテーブルを参照してフレームを転送する。
（コンソール部）
コンソール部４２８は、ユーザとのインタフェース機能を有する。コンソール部４２８は、ＶＰＮ−ＧＷ１０３からの通知事項（接続準備完了や接続拒否）のユーザへの通知や、ＶＰＮ接続要求送信時に必要なユーザ認証情報（ＩＤ、パスワード等）のユーザからの入力を受け付ける。
コンソール部４２８は、ユーザとのインタフェース機能を有する。コンソール部４２８は、ＶＰＮ−ＧＷ１０３からの通知事項（接続準備完了や接続拒否）のユーザへの通知や、ＶＰＮ接続要求送信時に必要なユーザ認証情報（ＩＤ、パスワード等）のユーザからの入力を受け付ける。
（ＶＰＮ接続制御部）
ＶＰＮ接続制御部４２０は、リモート端末１０４がエンタープライズ網１１４へＶＰＮ接続するための制御部である。ＶＰＮ接続制御部４２０は、コンソール部４２８から接続要求を指示されたときには、入力された認証情報を含む接続要求フレームの作成を接続要求フレーム作成部４２２に指示する。
ＶＰＮ接続制御部４２０は、リモート端末１０４がエンタープライズ網１１４へＶＰＮ接続するための制御部である。ＶＰＮ接続制御部４２０は、コンソール部４２８から接続要求を指示されたときには、入力された認証情報を含む接続要求フレームの作成を接続要求フレーム作成部４２２に指示する。
ＶＰＮ−ＧＷ１０３での認証に失敗し、接続拒否フレームを受信したときには、ＶＰＮ接続制御部４２０は、接続処理を終了し、コンソール部４２８を介してユーザへ通知する。
ＶＰＮ−ＧＷ１０３での認証に成功し、接続準備完了フレームを受信したときには、ＶＰＮ接続制御部４２０は、自端末のＯＳの通信部４３０へＶＰＮ接続ができたことを通知し、さらにコンソール部４２８を介してユーザへ通知する。
（接続要求フレーム作成部）
接続要求フレーム作成部４２２は、ＶＰＮ接続制御部４２０からの指示により、接続要求フレームを作成し、暗号エンコード部４０４を経由してＶＰＮ−ＧＷ１０３宛に送信する。
接続要求フレーム作成部４２２は、ＶＰＮ接続制御部４２０からの指示により、接続要求フレームを作成し、暗号エンコード部４０４を経由してＶＰＮ−ＧＷ１０３宛に送信する。
（インベントリ情報回答フレーム作成部）
インベントリ回答フレーム作成部４１０は、ＶＰＮ−ＧＷ１０３から要求されたインベントリ情報を、インベントリ情報保持ＤＢ４１２から得て、インベントリ情報回答フレームを作成する。インベントリ情報回答フレームは、暗号エンコード部４０４を経由して、ＶＰＮ−ＧＷ１０３宛に送信される。
インベントリ回答フレーム作成部４１０は、ＶＰＮ−ＧＷ１０３から要求されたインベントリ情報を、インベントリ情報保持ＤＢ４１２から得て、インベントリ情報回答フレームを作成する。インベントリ情報回答フレームは、暗号エンコード部４０４を経由して、ＶＰＮ−ＧＷ１０３宛に送信される。
（インベントリ情報保持ＤＢ）
インベントリ情報保持ＤＢ４１２は、リモート端末１０４のインベントリ情報を保持しているデータベース部である。あらかじめ、リモート端末１０４のインベントリ情報が収集され、インベントリ情報保持ＤＢ４１２に格納されている。
インベントリ情報保持ＤＢ４１２は、リモート端末１０４のインベントリ情報を保持しているデータベース部である。あらかじめ、リモート端末１０４のインベントリ情報が収集され、インベントリ情報保持ＤＢ４１２に格納されている。
《インベントリ管理サーバ》
図７は、インベントリ管理サーバ１０５の機能ブロックを示す図である。インベントリ管理サーバ１０５は、通信部５０１、インベントリ比較部５１０、推奨インベントリ情報保持部５１２及び不正検出確認応答フレーム作成部５１４を備える。インベントリ管理サーバ１０５は、エンタープライズ網１１４のファイアウォール１０１の内側に設置される。
図７は、インベントリ管理サーバ１０５の機能ブロックを示す図である。インベントリ管理サーバ１０５は、通信部５０１、インベントリ比較部５１０、推奨インベントリ情報保持部５１２及び不正検出確認応答フレーム作成部５１４を備える。インベントリ管理サーバ１０５は、エンタープライズ網１１４のファイアウォール１０１の内側に設置される。
（通信部）
通信部５０１は、ネットワークからの通信をリンクレイヤまで終端し、インベントリ比較部５１０へ渡す。また、フレームの送信時には、リンクレイヤの処理をし、ネットワークへ送信する。
通信部５０１は、ネットワークからの通信をリンクレイヤまで終端し、インベントリ比較部５１０へ渡す。また、フレームの送信時には、リンクレイヤの処理をし、ネットワークへ送信する。
（インベントリ比較部）
インベントリ比較部５１０は、受信したＶＰＮ−ＧＷ１０３からの不正検出確認要求フ
レームに対し、ＶＰＮ−ＧＷ１０３に接続要求を出したリモート端末１０４のインベントリ情報と、推奨インベントリ情報保持ＤＢ５１２内の推奨インベントリ情報とを比較した上で、ＩＤＳ１０２で不正検出の要否を判断する。推奨インベントリ情報とリモート端末１０４のインベントリ情報とが一致した時は、インベントリ比較部５１０は不正検出が不要であると判断する。また、推奨インベントリ情報よりもリモート端末１０４のインベントリ情報の方がより安全であると判断された場合も、インベントリ比較部５１０は不正検出が不要であると判断することができる。インベントリ比較部５１０は、判断結果を含む不正検出確認応答フレームの作成を不正検出確認応答フレーム作成部５１４に指示する。
インベントリ比較部５１０は、受信したＶＰＮ−ＧＷ１０３からの不正検出確認要求フ
レームに対し、ＶＰＮ−ＧＷ１０３に接続要求を出したリモート端末１０４のインベントリ情報と、推奨インベントリ情報保持ＤＢ５１２内の推奨インベントリ情報とを比較した上で、ＩＤＳ１０２で不正検出の要否を判断する。推奨インベントリ情報とリモート端末１０４のインベントリ情報とが一致した時は、インベントリ比較部５１０は不正検出が不要であると判断する。また、推奨インベントリ情報よりもリモート端末１０４のインベントリ情報の方がより安全であると判断された場合も、インベントリ比較部５１０は不正検出が不要であると判断することができる。インベントリ比較部５１０は、判断結果を含む不正検出確認応答フレームの作成を不正検出確認応答フレーム作成部５１４に指示する。
（推奨インベントリ情報保持ＤＢ）
推奨インベントリ情報保持ＤＢ５１２は、エンタープライズ網１１４で推奨する端末のインベントリ情報をあらかじめ保持している。エンタープライズ網１１４で推奨する端末のインベントリ情報は、エンタープライズ網１１４の管理者によって、随時、更新され得る。エンタープライズ網１１４の管理者は、エンタープライズ網接続時に、リモート端末へ推奨するウィルスチェックソフトウェアのパターンファイル情報やＯＳのセキュリティーホール対策パッチ情報などを、あらかじめデータベース化し、推奨インベントリ情報保持ＤＢ５１２に保持しておくことができる。
推奨インベントリ情報保持ＤＢ５１２は、エンタープライズ網１１４で推奨する端末のインベントリ情報をあらかじめ保持している。エンタープライズ網１１４で推奨する端末のインベントリ情報は、エンタープライズ網１１４の管理者によって、随時、更新され得る。エンタープライズ網１１４の管理者は、エンタープライズ網接続時に、リモート端末へ推奨するウィルスチェックソフトウェアのパターンファイル情報やＯＳのセキュリティーホール対策パッチ情報などを、あらかじめデータベース化し、推奨インベントリ情報保持ＤＢ５１２に保持しておくことができる。
（不正検出確認応答フレーム作成部）
不正検出確認応答フレーム作成部５１４は、インベントリ比較部５１０からの指示により、不正検出確認応答フレームを作成する。このフレームは通信部５０１を経由して、ＶＰＮ−ＧＷ１０３へ送信される。
不正検出確認応答フレーム作成部５１４は、インベントリ比較部５１０からの指示により、不正検出確認応答フレームを作成する。このフレームは通信部５０１を経由して、ＶＰＮ−ＧＷ１０３へ送信される。
〈動作例〉
エンタープライズ網１１４のユーザが、外部網１００からリモート端末１０４を使用して、エンタープライズ網１１４に接続する際の動作例を説明する。
エンタープライズ網１１４のユーザが、外部網１００からリモート端末１０４を使用して、エンタープライズ網１１４に接続する際の動作例を説明する。
（不正検出を行わない場合）
図８は、不正検出を行わない場合のシーケンス例を示す図である。
図８は、不正検出を行わない場合のシーケンス例を示す図である。
リモート端末１０４は、エンタープライズ網１１４への接続を要求する（図８；ＳＱ１０２）。図９は、この時のリモート端末における処理のフローを示す図である。外部網１００からエンタープライズ網に接続を要求するユーザは、リモート端末１０４のコンソール部２２８を通じて、ユーザ認証情報とともに接続要求をする。コンソール部２２８は、ＶＰＮ接続制御部４２０に対し、ユーザ認証情報を送信しＶＰＮ接続を指示する。ＶＰＮ接続制御部４２０は、接続要求フレーム作成部４２２に対し、ユーザ認証情報を送信し、接続要求フレームの作成を指示する。接続要求フレーム作成部４２２は、接続要求フレームを作成し、暗号エンコード部４０４による暗号化処理をを経由して、通信部４０１へ送信する。
リモート端末１０４の通信部４０１は、ＶＰＮ−ＧＷ１０３に対して、エンタープライズ網１１４への接続要求（接続要求フレーム）を送信する（図８；ＳＱ１０４）。
ＶＰＮ−ＧＷ１０３は、接続要求フレームを受信し、認証要求フレームを作成する（図８；ＳＱ１０６）。図１０は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、リモート端末１０４から接続要求フレームを受信すると、そのフレームを暗号デコード部３０３へ転送する。暗号デコード部３０３は、接続要求フレームを復号化し、フレーム判定部３０２へ転送する。フレーム判定部３０２は、接続要求フレームを認証要求フレーム作成部３１０へ転送する。認証要求フレーム作成部３１０は、接続要求フレームに含まれるユーザ認証情報を含む認証要求フレームを作成し、暗号エ
ンコード部３０４を経由して通信部３０１へ送信する。この認証要求フレームは、暗号エンコード部３０４では暗号化されない。認証サーバ１１１へ送られるフレームだからである。
ンコード部３０４を経由して通信部３０１へ送信する。この認証要求フレームは、暗号エンコード部３０４では暗号化されない。認証サーバ１１１へ送られるフレームだからである。
ＶＰＮ−ＧＷ１０３の通信部３０１は、認証要求フレームを認証サーバ１１１へ送信する（図８；ＳＱ１０８）。
認証サーバ１１１は、認証要求フレームに含まれるユーザ認証情報が登録されているか否かを確認する（図８；ＳＱ１１０）。認証サーバ１１１は、そのユーザ認証情報が登録されているものと確認すると、認証結果通知フレームを作成し、ＶＰＮ−ＧＷ１０３へ送信する（図８；ＳＱ１１２）。
ＶＰＮ−ＧＷ１０３は、認証サーバ１１１から認証結果通知フレームを受信し、認証ＯＫであれば、インベントリ情報要求フレームをリモート端末１０４へ送信する（図８；ＳＱ１１４）。図１１は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、認証結果通知フレームを暗号デコード部を経由してフレーム判定部３０２へ送信する。フレーム判定部３０２は、認証結果通知フレームを認証結果判断部３２０へ送信する。認証結果判断部３２０は、認証ＯＫの場合、インベントリ情報要求フレーム作成部３２４に対し、インベントリ情報要求フレームの作成を指示する。インベントリ情報要求フレーム作成部３２４は、リモート端末１０４に対するインベントリ情報要求フレームを作成し、暗号エンコード部３０４で暗号化する。暗号化されたインベントリ情報要求フレームは、通信部３０１へ送られる。
ＶＰＮ−ＧＷ１０３の通信部３０４は、インベントリ情報要求フレームを、リモート端末１０４へ送信する（図８；ＳＱ１１６）。
図１２は、インベントリ情報要求フレームのフォーマット例を示す図である。図１２において、インベントリ情報要求フレームは、例えば、ＴＣＰ／ＩＰヘッダ、メッセージ種別、メッセージＩＤを備える。ＴＣＰ／ＩＰヘッダのフィールドは、既存のＴＣＰ／ＩＰヘッダを格納するフィールドである。メッセージ種別のフィールドは、メッセージ種別を示すフィールドである。メッセージＩＤのフィールドは、インベントリ情報要求フレームを送受信する機器がメッセージを一意に識別するＩＤを格納するフィールドである。図１３は、メッセージ種別のフィールドに格納されるコード番号とメッセージ種別との対応関係を示すテーブルＴ５００を示す。例えば、メッセージ種別が「０」のときは、そのフレームが「インベントリ情報要求フレーム」であることを示す。インベントリ情報要求フレーム作成部３２４は、テーブルＴ５００に従って、メッセージ種別フィールドに「０」をセットする。
リモート端末１０４は、インベントリ情報要求フレームを受信すると、インベントリ情報回答フレームを作成する（図８；ＳＱ１１８）。図１４は、この時のリモート端末１０４の処理のフローを示す図である。通信部４０１は、インベントリ情報要求フレームを受信すると、暗号デコード部４０３でそのフレームを復号化して、フレーム判定部４０２へ送信する。フレーム判定部４０２は、インベントリ情報要求フレームをインベントリ情報回答フレーム作成部４１０へ送信する。インベントリ情報回答フレーム作成部４１０は、インベントリ情報要求フレームで要求されたインベントリ情報を、インベントリ情報保持ＤＢ４１２から取得する。インベントリ情報回答フレーム作成部４１０は、その取得した情報により、インベントリ情報回答フレームを作成し、暗号エンコード部４０４で、そのフレームを暗号化する。暗号化されたインベントリ情報回答フレームは、通信部４０１へ送られる。
リモート端末１０４の通信部４０１は、インベントリ情報回答フレームをＶＰＮ−ＧＷ１０３に送信する（図８；ＳＱ１２０）。
インベントリ情報回答フレームには、例えば、インベントリ情報として、ＯＳ種別、ＯＳのパッチ番号、アンチウィルスソフト種別、アンチウィルスソフトのパターンファイル番号、アンチウィルスソフトによる最新のチェック（スキャン）日時とそのときの構成、の情報が含まれる。図１５は、上記したインベントリ情報に含まれる情報の構成例を示す。
ＶＰＮ−ＧＷ１０３は、インベントリ情報回答フレームで得たリモート端末１０４のインベントリ情報を不正検出確認フレームを作成する（図８；ＳＱ１２２）。図１６は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、インベントリ情報回答フレームを暗号デコード部３０３で復号化し、フレーム判定部３０２へ送信する。フレーム判定部３０２は、インベントリ情報回答フレームを不正検出確認要求フレーム作成部３３０へ送信する。不正検出確認要求フレーム作成部３３０は、リモート端末１０４のインベントリ情報を含む不正検出確認要求フレームを作成し、通信部３０１へ送信する。
ＶＰＮ−ＧＷ１０３の通信部３０１は、不正検出確認要求フレームを、インベントリ管理サーバ１０５に転送する（図８；ＳＱ１２４）。
図１７は、インベントリ情報回答フレームのフォーマット例を示す図である。インベントリ情報回答フレームは、例えば、ＴＣＰ／ＩＰヘッダ、メッセージ種別、メッセージＩＤ、インベントリ情報の各フィールドを備える。ＴＣＰ／ＩＰヘッダのフィールドは、既存のＴＣＰ／ＩＰヘッダを格納するフィールドである。メッセージ種別のフィールドは、メッセージ種別を示すフィールドである。メッセージＩＤのフィールドは、受信したインベントリ情報要求フレームのメッセージＩＤと同一の値を格納するフィールドである。インベントリ情報のフィールドは、インベントリ情報を格納するフィールドである。
インベントリ管理サーバ１０５は、不正検出確認要求フレームを受信し、不正検出確認応答フレームを作成する（図８；ＳＱ１２６）。図１８は、インベントリ管理サーバ１０５における処理のフローを示す図である。通信部５０１は、ＶＰＮ−ＧＷ１０３から受信した不正検出確認要求フレームをインベントリ比較部５１０へ送信する。インベントリ比較部５１０は、推奨インベントリ情報保持ＤＢ５１２の推奨インベントリ情報とリモート端末１０４のインベントリ情報とを比較する。比較の結果、ＩＤＳ１０２での不正検出不要と判断すると、判断結果を含む不正検出確認応答フレームの作成を不正検出確認応答フレーム作成部５１４に指示する。不正検出確認応答フレーム作成部５１４は、不正検出が不要であることを含む不正検出確認応答フレームを作成し、通信部５０１に送信する。
図１９は、不正検出確認応答フレームのフォーマット例を示す図である。不正検出確認応答フレームは、例えば、ＴＣＰ／ＩＰヘッダ、メッセージ種別、メッセージＩＤ、不正検出要不要判定結果の各フィールドを備える。ＴＣＰ／ＩＰヘッダのフィールドは、既存のＴＣＰ／ＩＰヘッダを格納するフィールドである。メッセージ種別のフィールドは、メッセージ種別を示すフィールドである。メッセージＩＤのフィールドは、受信した不正検出確認要求フレームのメッセージＩＤと同一の値を格納するフィールドである。不正検出要不要判定結果のフィールドは、インベントリ管理サーバが、不正検出確認要求フレームで受信したインベントリ情報と、推奨インベントリとを比較した結果、すなわちＩＤＳで不正検出が必要であるか否かの判定結果を格納するフィールドである。
インベントリ管理サーバ１０５の通信部５０１は、不正検出確認応答フレームを、ＶＰ
Ｎ−ＧＷ１０３に対して送信する（図８；ＳＱ１２８）。
Ｎ−ＧＷ１０３に対して送信する（図８；ＳＱ１２８）。
ＶＰＮ−ＧＷ１０３は、不正検出確認応答フレームを受信し、ＩＤＳ設定要求フレームを作成する（図８；ＳＱ１３０）。図２０は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、不正検出確認応答フレームを、フレーム判定部３０２へ送信する。フレーム判定部３０２は、その不正検出確認応答フレームを不正検出確認応答確認部３４０へ送信する。不正検出確認応答確認部３４０は、その不正検出確認応答フレーム中の判断結果から不正検出が不要な場合、リモート端末１０４がＶＰＮ接続後に送信するフレームに対して、不正検出処理を行わないことをＩＤＳ１０２へ通知するフレームの作成をＩＤＳ設定要求フレーム作成部３４２に指示する。ＩＤＳ設定要求フレーム作成部３４２は、ＩＤＳ設定要求フレームを作成し、暗号エンコード部３０４で暗号化する。暗号化されたＩＤＳ設定要求フレームは、通信部３０１へ送信される。
図２１は、ＩＤＳ設定要求フレームのフォーマット例を示す図である。ＩＤＳ設定要求フレームは、例えば、ＴＣＰ／ＩＰヘッダ、メッセージ種別、メッセージＩＤ、リモート端末識別子の各フィールドを備える。ＴＣＰ／ＩＰヘッダのフィールドは、既存のＴＣＰ／ＩＰヘッダを格納するフィールドである。メッセージ種別のフィールドは、メッセージ種別を示すフィールドである。メッセージＩＤのフィールドは、ＩＤＳ設定要求フレームを送受信する機器がメッセージを一意に識別するＩＤのためのフィールドである。リモート端末識別子のフィールドは、ＩＤＳで不正検出を行わないリモート端末の識別子を格納するフィールドである。
ＶＰＮ−ＧＷ１０３の通信部３０４は、リモート端末１０４の識別子（例えば、ＩＰアドレス）をＩＤＳ設定要求フレームにより、ＩＤＳ１０２に通知する（図８；ＳＱ１３２）。
ＩＤＳ１０２は、リモート端末１０４の識別子を送信元として有するフレームに対しては不正検出を行わないことを自装置内に設定する（図８；ＳＱ１３４）。図２２は、この時のＩＤＳ１０２における処理のフローを示す図である。通信部２０１は、ＩＤＳ設定要求フレームをフレーム判定部２０２へ送信する。フレーム判定部２０２は、リモート端末識別子設定部２１０へそのフレームを送信する。リモート端末識別子設定部２１０は、ＩＤＳ設定要求フレーム内に含まれるリモート端末１０４の識別子を不正検出不要ノード識別子ＤＢ部２１４に格納する。また、リモート端末２１０は、ＩＤＳ設定終了フレーム作成部２１２にＩＤＳ設定終了フレームの作成を指示する。ＩＤＳ設定終了フレーム作成部は、ＩＤＳ設定終了フレームを作成し、通信部２０１へ送信する。
ＩＤＳ１０２の通信部２０１は、設定が完了したことをＩＤＳ設定終了フレームにより、ＶＰＮ−ＧＷ１０３に通知する（図８；ＳＱ１３６）。
図２３は、ＩＤＳ設定終了フレームのフォーマット例を示す図である。ＩＤＳ設定終了フレームは、例えば、ＴＣＰ／ＩＰヘッダ、メッセージ種別、メッセージＩＤ及び設定結果の各フィールドを備える。メッセージＩＤのフィールドは、受信したＩＤＳ設定要求フレームのメッセージＩＤの値と同一の値が入るフィールドである。測定結果のフィールドは、ＩＤＳ設定要求フレームを受信したＩＤＳ１０２が、不正検出を行わないための設定を行った結果をＶＰＮ−ＧＷ１０３に通知するフィールドである。
ＶＰＮ−ＧＷ１０３は、ＩＤＳ設定終了フレームを受信し、接続準備完了フレームを作成する（図８；ＳＱ１３８）。図２４は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、受信したＩＤＳ設定終了フレームをフレーム判定部３０２に送信する。フレーム判定部３０２は、このフレームを接続準備完了フレーム作
成部３５０に送信する。接続準備完了フレーム作成部３５０は、転送許可端末３７０に接続準備完了フレームに含まれるリモート端末１０４の識別子を、転送許可端末ＤＢ３７０に格納する。接続準備完了フレーム作成部３５０は、リモート端末１０４に対する接続準備が完了したことを通知する接続準備完了フレームを作成し、このフレームを暗号エンコード部３０４で暗号化する。暗号化された接続準備完了フレームは、通信部３０１に送信される。
成部３５０に送信する。接続準備完了フレーム作成部３５０は、転送許可端末３７０に接続準備完了フレームに含まれるリモート端末１０４の識別子を、転送許可端末ＤＢ３７０に格納する。接続準備完了フレーム作成部３５０は、リモート端末１０４に対する接続準備が完了したことを通知する接続準備完了フレームを作成し、このフレームを暗号エンコード部３０４で暗号化する。暗号化された接続準備完了フレームは、通信部３０１に送信される。
ＶＰＮ−ＧＷ１０３の通信部３０１は、リモート端末１０４に対して、接続準備完了フレームを送信する（図８；ＳＱ１４０）。
リモート端末１０４は、接続準備完了フレームを受信すると、エンタープライズ網１１４への接続を準備する（図８；ＳＱ１４２）。図２５は、この時のリモート端末１０４における処理のフローを示す図である。通信部４０１は、受信した接続完了フレームを、暗号デコード部で復号化し、フレーム判定部４０２に送信する。フレーム判定部は、接続準備完了フレームを、ＶＰＮ接続制御部４２０に送信する。ＶＰＮ接続制御部４２０は、自端末のＯＳの通信部４３０へＶＰＮ接続ができたことを通知する。また、ＶＰＮ接続制御部４２０は、コンソール部４２８を通じてユーザにＶＰＮ接続ができたことを通知する。これにより、リモート端末１０４からエンタープライズ網への通信が可能となる。
リモート端末１０４は、エンタープライズ網１１４への通信を開始する（図８；ＳＱ１４４）。
ＶＰＮ−ＧＷ１０３は、リモート端末１０４から通信のフレームを受信すると、転送の可否を判断し、転送可能であればエンタープライズ網１１４へ転送する（図８；ＳＱ１４６）。図２６は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、リモート端末１０４から通信のフレームを受信すると、暗号デコード部３０３に送信する。暗号デコード部は、そのフレームを復号化して、フレーム判定部３０２に送信する。フレーム判定部３０２は、復号化されたフレームを転送許可確認部３６０に送信する。転送許可確認部３６０は、受信したフレームの送信元の識別子（即ちリモート端末１０４の識別子）が、転送許可端末ＤＢ３７０に存在するか否かを確認する。転送許可端末ＤＢ３７０にその識別子が存在する場合、転送許可確認部３６０は、そのフレームを暗号エンコード部を経由して通信部３０１に送る。
ＶＰＮ−ＧＷ１０３の通信部３０１は、転送許可確認部３６０から受信したフレームをエンタープライズ網１１４内の宛先ノードへ転送する（図８；ＳＱ１４８）。
ＩＤＳ１０２は、リモート端末１０４からの通信に対しては、不正検出を行わない（図８；ＳＱ１５０）。図２７は、この時のＩＤＳ１０２における処理のフローを示す図である。通信部２０１は、受信したリモート端末１０４からの通信フレームをフレーム判定部２０２に送信する。フレーム判定部２０２は、そのフレームを不正検出要否判定部２２０に送信する。不正検出要否判定部２２０は、受信したフレームの送信元の識別子が不正検出不要ノード識別子ＤＢ部２１４に存在するか否かを確認する。不正検出要否判定部２２０にその識別子が存在する場合、不正検出要否判定部２２０は、不正検出が不要であると判断して不正検出処理を終了する。ここでは、リモート端末１０４の識別子は、不正検出不要ノード識別子ＤＢ部２１４に格納されているので、不正検出部２２２による処理は行われない。
（不正検出を行う場合）
図２８は、不正検出を行う場合のシーケンス例を示す図である。
図２８は、不正検出を行う場合のシーケンス例を示す図である。
リモート端末１０４がエンタープライズ網１１４への接続を要求（図２８；ＳＱ２０２）してから、ＶＰＮ−ＧＷ１０３がインベントリ管理サーバ１０５から不正検出確認応答フレームを受信（図２８；ＳＱ２２８）するまでは、不正検出を行わない場合（図８；ＳＱ１０２からＳＱ１２８）と同様である。よって、この部分については、説明を省略する。
ＶＰＮ−ＧＷ１０３は、インベントリ管理サーバ１０５から、不正検出が必要である旨の不正検出要不要判定結果（図１９）が含まれる不正検出確認応答フレームを受信し、接続準備完了フレームをリモート端末へ送信する（図２８；ＳＱ２３０）。図２９は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、不正検出確認応答フレームを受信すると、暗号デコード部を経由して、フレーム判定部３０２に送信する。フレーム判定部は、そのフレームを不正検出確認応答確認部３４０に送信する。不正検出確認応答確認部３４０は、受信した不正検出確認応答フレームに不正検出が必要である旨が含まれていることを確認する。不正検出応答確認部３４０は、受信したフレームの送信元識別子（認証済のリモート端末１０４の識別子）とともに、接続準備完了フレーム作成部３５０に接続準備完了フレームの作成を指示する。接続準備完了フレーム作成部３５０は、転送許可端末ＤＢに認証済のリモート端末の識別子を格納する。接続準備完了フレーム作成部３６０は、接続準備完了フレームを作成し、暗号エンコード部で暗号化する。暗号化された接続準備完了フレームは、通信部３０１に送信される。ここでは、不正検出を行わない場合と異なりＩＤＳ１０２に対して何も指示しない。
ＶＰＮ−ＧＷ１０３の通信部３０１は、接続準備完了フレームをリモート端末１０４へ送信する（図２８；ＳＱ２４０）。
リモート端末１０４は、接続準備完了フレームを受信すると、エンタープライズ網１１４への接続を準備する（図２８；ＳＱ２４２）。図３０は、この時のリモート端末１０４における処理のフローを示す図である。通信部４０１は、受信した接続完了フレームを、暗号デコード部で復号化し、フレーム判定部４０２に送信する。フレーム判定部４０２は、接続準備完了フレームを、ＶＰＮ接続制御部４２０に送信する。ＶＰＮ接続制御部４２０は、自端末のＯＳの通信部４３０へＶＰＮ接続ができたことを通知する。また、ＶＰＮ接続制御部４２０は、コンソール部４２８を通じてユーザにＶＰＮ接続ができたことを通知する。これにより、リモート端末１０４からエンタープライズ網への通信が可能となる。
リモート端末１０４は、エンタープライズ網１１４への通信を開始する（図２８；ＳＱ２４４）。
ＶＰＮ−ＧＷ１０３は、リモート端末１０４から通信のフレームを受信すると、転送の可否を判断し、転送可能であればエンタープライズ網１１４へ転送する（図２８；ＳＱ２４６）。図３１は、この時のＶＰＮ−ＧＷ１０３における処理のフローを示す図である。通信部３０１は、リモート端末から通信のフレームを受信すると、暗号デコード部３０３に送信する。暗号デコード部は、そのフレームを復号化して、フレーム判定部３０２に送信する。フレーム判定部３０２は、復号化されたフレームを転送許可確認部３６０に送信する。転送許可確認部３６０は、受信したフレームの送信元の識別子が、転送許可端末ＤＢ３７０に存在するか否かを確認する。転送許可端末ＤＢ３７０にその識別子が存在する場合、転送許可確認部３６０は、そのフレームを暗号エンコード部３０４を経由して通信部３０１に送る。
ＩＤＳ１０２は、リモート端末１０４からの通信に対しては、不正検出を行う（図２８；ＳＱ２５０）。図３２は、この時のＩＤＳ１０２における処理のフローを示す図である
。通信部２０１は、受信したフレームをフレーム判定部２０２に送信する。フレーム判定部２０２は、そのフレームを不正検出要否判定部２２０に送信する。不正検出要否判定部２２０は、受信したフレームの送信元の識別子が不正検出不要ノード識別子ＤＢ部２１４に存在するか否かを確認する。不正検出要否判定部２２０にその識別子が存在しない場合、不正検出要否判定部２２０は、不正検出が必要であると判断して不正検出部２２２にそのフレームを送信する。不正検出部２２２は、不正パターンＤＢ２２４に保持されているパターンと受信したフレームとが一致するか否かにより不正検出を行う。一致した場合には不正なフレームであるため、不正検出部２２２は、そのフレームを廃棄し、その不正なフレームの情報を不正フレームログ部２２６に記録し、コンソール部２２８へ通知する。一致しなかった場合には、不正検出部２２２は、そのフレームは問題のないフレームであると判断し、そのフレームに対しての処理を終了する。
。通信部２０１は、受信したフレームをフレーム判定部２０２に送信する。フレーム判定部２０２は、そのフレームを不正検出要否判定部２２０に送信する。不正検出要否判定部２２０は、受信したフレームの送信元の識別子が不正検出不要ノード識別子ＤＢ部２１４に存在するか否かを確認する。不正検出要否判定部２２０にその識別子が存在しない場合、不正検出要否判定部２２０は、不正検出が必要であると判断して不正検出部２２２にそのフレームを送信する。不正検出部２２２は、不正パターンＤＢ２２４に保持されているパターンと受信したフレームとが一致するか否かにより不正検出を行う。一致した場合には不正なフレームであるため、不正検出部２２２は、そのフレームを廃棄し、その不正なフレームの情報を不正フレームログ部２２６に記録し、コンソール部２２８へ通知する。一致しなかった場合には、不正検出部２２２は、そのフレームは問題のないフレームであると判断し、そのフレームに対しての処理を終了する。
〈実施形態の効果〉
本実施形態によると、ユーザの操作などにより、リモート端末１０４からエンタープライズ網１１４に接続要求がされると、エンタープライズ網１１４のＶＰＮ−ＧＷ１０３を経由して、認証サーバ１１１によるユーザ認証が行われる。ユーザ認証に成功すると、ＶＰＮ−ＧＷ１０３は、リモート端末１０４に対し、インベントリ情報を要求する。インベントリ管理サーバ１０５は、そのリモート端末１０４のインベントリ情報とエンタープライズ網１１４の管理者等により登録される推奨インベントリ情報を比較して、不正検出の要否を判断する。不正検出が、不要であると判断すると、ＩＤＳ１０２にリモート端末１０４の識別子情報が登録される。ＩＤＳ１０２への登録が終了すると、接続準備完了がリモート端末１０４に通知される。リモート端末１０４は、エンタープライズ網１１４に対する通信を開始する。この際、ＩＤＳ１０２は、そのリモート端末１０４からの通信フレームに対して、不正検出を行わない。
本実施形態によると、ユーザの操作などにより、リモート端末１０４からエンタープライズ網１１４に接続要求がされると、エンタープライズ網１１４のＶＰＮ−ＧＷ１０３を経由して、認証サーバ１１１によるユーザ認証が行われる。ユーザ認証に成功すると、ＶＰＮ−ＧＷ１０３は、リモート端末１０４に対し、インベントリ情報を要求する。インベントリ管理サーバ１０５は、そのリモート端末１０４のインベントリ情報とエンタープライズ網１１４の管理者等により登録される推奨インベントリ情報を比較して、不正検出の要否を判断する。不正検出が、不要であると判断すると、ＩＤＳ１０２にリモート端末１０４の識別子情報が登録される。ＩＤＳ１０２への登録が終了すると、接続準備完了がリモート端末１０４に通知される。リモート端末１０４は、エンタープライズ網１１４に対する通信を開始する。この際、ＩＤＳ１０２は、そのリモート端末１０４からの通信フレームに対して、不正検出を行わない。
エンタープライズ網１１４のユーザが社外等で使うリモート端末１０４が安全である場合、すなわち、リモート端末１０４がウィルスなどに感染しておらず、エンタープライズ網への攻撃リスクがない場合、リモート端末１０４がエンタープライズ網１１４に接続する際、ＩＤＳ１０２はネットワークの不正検出を行わない。
リモート端末１０４はウィルスチェックソフトウェアやＯＳのセキュリティーホール対策パッチにより安全性を確保している。そのため、リモート端末１０４に対して、ネットワーク上のＩＤＳでの不正検出のチェックを行わない。即ち、ＩＤＳ１０２は、攻撃リスクがないフレームの不正検出を行わず、その他のフレーム（トラフィック）の不正検出を選択的に行うことができる。従って、ＩＤＳ１０２による効率的な不正検出が可能となる。
〔その他〕
上述した実施形態は、以下の発明の開示を含む。以下の発明は必要に応じて適宜組み合わせることができる。
上述した実施形態は、以下の発明の開示を含む。以下の発明は必要に応じて適宜組み合わせることができる。
（付記１）
端末から網へ転送されるフレームを中継するフレーム中継装置であって、
前記端末から前記網へのフレーム送信が開始される前に、前記端末からのフレームに対する安全性の検査が必要か否かを判定する判定部と、
安全性の検査が必要でない場合に、フレーム中継装置と前記網との間のフレーム伝送路上に位置し、前記網へ転送されるフレームを受信して安全性の検査を行う検査装置において前記端末からのフレームに対する安全性の検査を行わないことを決定し、安全性の検査が必要である場合に前記検査装置において前記端末からのフレームに対する安全性の検査を行うことを決定する決定部と、
決定結果に基づく指示を前記検査装置へ出力する出力部と、
を含むフレーム中継装置。（１）
（付記２）
前記判定部は、前記端末から送信されるフレームの安全性が前記網の要求する条件を満たしているか否かを判定することによって、前記検査が必要であるか否かを判定する
付記１に記載のフレーム中継装置。（２）
（付記３）
前記判定部は、前記端末における、送信クレームの安全性を確保するための状態が、前記網の要求する条件を満たすか否かを判定する
付記１に記載のフレーム中継装置。
端末から網へ転送されるフレームを中継するフレーム中継装置であって、
前記端末から前記網へのフレーム送信が開始される前に、前記端末からのフレームに対する安全性の検査が必要か否かを判定する判定部と、
安全性の検査が必要でない場合に、フレーム中継装置と前記網との間のフレーム伝送路上に位置し、前記網へ転送されるフレームを受信して安全性の検査を行う検査装置において前記端末からのフレームに対する安全性の検査を行わないことを決定し、安全性の検査が必要である場合に前記検査装置において前記端末からのフレームに対する安全性の検査を行うことを決定する決定部と、
決定結果に基づく指示を前記検査装置へ出力する出力部と、
を含むフレーム中継装置。（１）
（付記２）
前記判定部は、前記端末から送信されるフレームの安全性が前記網の要求する条件を満たしているか否かを判定することによって、前記検査が必要であるか否かを判定する
付記１に記載のフレーム中継装置。（２）
（付記３）
前記判定部は、前記端末における、送信クレームの安全性を確保するための状態が、前記網の要求する条件を満たすか否かを判定する
付記１に記載のフレーム中継装置。
（付記４）
前記端末からの前記網への接続要求を受信した場合に、前記端末の安全性に係る情報を前記端末から取得する手段と、
前記端末の安全性に係る情報に基づき前記検査が必要か否かの判断を判断装置に問い合わせる手段とをさらに含み、
前記判定部は、前記判断装置の判定結果にしたがって前記検査が必要か否かを判定する付記１に記載のフレーム中継装置。（３）
（付記５）
前記端末にインストールされているオペレーティングシステムの種別が前記網で許可されている種別でない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
前記端末からの前記網への接続要求を受信した場合に、前記端末の安全性に係る情報を前記端末から取得する手段と、
前記端末の安全性に係る情報に基づき前記検査が必要か否かの判断を判断装置に問い合わせる手段とをさらに含み、
前記判定部は、前記判断装置の判定結果にしたがって前記検査が必要か否かを判定する付記１に記載のフレーム中継装置。（３）
（付記５）
前記端末にインストールされているオペレーティングシステムの種別が前記網で許可されている種別でない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
（付記５）
前記端末にインストールされているアンチウィルスソフトの種別が前記網で許可されている種別でない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
前記端末にインストールされているアンチウィルスソフトの種別が前記網で許可されている種別でない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
（付記６）
前記端末にインストールされているオペレーティングシステムのパッチ番号が前記網での規定を満たさない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
前記端末にインストールされているオペレーティングシステムのパッチ番号が前記網での規定を満たさない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
（付記７）
前記端末にインストールされているアンチウィルスソフトのパターンファイルが前記網での規定を満たさない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
前記端末にインストールされているアンチウィルスソフトのパターンファイルが前記網での規定を満たさない場合に、前記判定部は安全性の検査が必要であると判定する
付記１に記載のフレーム中継装置。
（付記８）
フレームの受信部と、
フレームに対する安全性の検査を行う検査部と、
前記検査部による安全性の検査を要しない端末の識別情報が登録される記憶部と、
前記受信部でフレームが受信されたときに、このフレームの送信元端末の識別情報が前記記憶部に登録されている場合には、このフレームに対する前記検査部の検査を行わないことを決定する決定部と、
を含むフレーム検査装置。（４）
（付記９）
端末から網へ転送されるフレームを中継するフレーム中継装置から、前記検査を要しない端末の識別情報を受信して前記記憶部に登録する登録部をさらに備え、
前記受信部は、前記フレーム中継装置から前記網へ転送される前記端末からのフレーム
を受信する
付記８に記載のフレーム検査装置。（５）
フレームの受信部と、
フレームに対する安全性の検査を行う検査部と、
前記検査部による安全性の検査を要しない端末の識別情報が登録される記憶部と、
前記受信部でフレームが受信されたときに、このフレームの送信元端末の識別情報が前記記憶部に登録されている場合には、このフレームに対する前記検査部の検査を行わないことを決定する決定部と、
を含むフレーム検査装置。（４）
（付記９）
端末から網へ転送されるフレームを中継するフレーム中継装置から、前記検査を要しない端末の識別情報を受信して前記記憶部に登録する登録部をさらに備え、
前記受信部は、前記フレーム中継装置から前記網へ転送される前記端末からのフレーム
を受信する
付記８に記載のフレーム検査装置。（５）
１００ 外部網
１０１ ファイアウォール
１０２ ＩＤＳ
１０３ ＶＰＮ−ＧＷ
１０４ 出先や自宅（リモート端末）
１０５ インベントリ管理サーバ
１０６ ルータ
１０８ Ｌ２スイッチ
１１０ ルータ
１１１ 認証サーバ
１１２ 社外向けサーバ群
１１４ エンタープライズ網
１１６ 社内向けサーバ群
２０１ 通信部
２０２ フレーム判定部
２１０ リモート端末識別子設定部
２１２ ＩＤＳ設定終了フレーム作成部
２１４ 不正検出不要ノード識別子ＤＢ部
２２０ 不正検出要否判定部
２２２ 不正検出部
２２４ 不正パターンＤＢ部
２２６ 廃棄ログ部
２２８ コンソール部
３０１ 通信部
３０３ 暗号デコード部
３０４ 暗号エンコード部
３１０ 認証要求フレーム作成部
３２０ 認証結果判断部
３２２ 接続拒否フレーム作成部
３２４ インベントリ情報要求フレーム作成部
３３０ 不正検出確認要求フレーム作成部
３４０ 認証検出確認応答確認部
３４２ ＩＤＳ認定要求フレーム作成部
３５０ 接続準備完了フレーム作成部
３６０ 転送認可確認部
３７０ 転送許可端末ＤＢ
４０１ 通信部
４０２ フレーム判定部
４０３ 暗号デコード部
４０４ 暗号エンコード部
４１０ インベントリ情報回答フレーム作成部
４１２ インベントリ情報保持ＤＢ
４２０ ＶＰＮ接続制御部
４２２ 接続要求フレーム作成部
４２８ コンソール部
４３０ ＯＳの通信部
５０１ 通信部
５１０ インベントリ比較部
５１２ 推奨インベントリ情報保持ＤＢ
５１４ 不正検出確認応答フレーム作成部
１０１ ファイアウォール
１０２ ＩＤＳ
１０３ ＶＰＮ−ＧＷ
１０４ 出先や自宅（リモート端末）
１０５ インベントリ管理サーバ
１０６ ルータ
１０８ Ｌ２スイッチ
１１０ ルータ
１１１ 認証サーバ
１１２ 社外向けサーバ群
１１４ エンタープライズ網
１１６ 社内向けサーバ群
２０１ 通信部
２０２ フレーム判定部
２１０ リモート端末識別子設定部
２１２ ＩＤＳ設定終了フレーム作成部
２１４ 不正検出不要ノード識別子ＤＢ部
２２０ 不正検出要否判定部
２２２ 不正検出部
２２４ 不正パターンＤＢ部
２２６ 廃棄ログ部
２２８ コンソール部
３０１ 通信部
３０３ 暗号デコード部
３０４ 暗号エンコード部
３１０ 認証要求フレーム作成部
３２０ 認証結果判断部
３２２ 接続拒否フレーム作成部
３２４ インベントリ情報要求フレーム作成部
３３０ 不正検出確認要求フレーム作成部
３４０ 認証検出確認応答確認部
３４２ ＩＤＳ認定要求フレーム作成部
３５０ 接続準備完了フレーム作成部
３６０ 転送認可確認部
３７０ 転送許可端末ＤＢ
４０１ 通信部
４０２ フレーム判定部
４０３ 暗号デコード部
４０４ 暗号エンコード部
４１０ インベントリ情報回答フレーム作成部
４１２ インベントリ情報保持ＤＢ
４２０ ＶＰＮ接続制御部
４２２ 接続要求フレーム作成部
４２８ コンソール部
４３０ ＯＳの通信部
５０１ 通信部
５１０ インベントリ比較部
５１２ 推奨インベントリ情報保持ＤＢ
５１４ 不正検出確認応答フレーム作成部
Claims (5)
- 端末から網へ転送されるフレームを中継するフレーム中継装置であって、
前記端末から前記網へのフレーム送信が開始される前に、前記端末からのフレームに対する安全性の検査が必要か否かを判定する判定部と、
安全性の検査が必要でない場合に、フレーム中継装置と前記網との間のフレーム伝送路上に位置し、前記網へ転送されるフレームを受信して安全性の検査を行う検査装置において前記端末からのフレームに対する安全性の検査を行わないことを決定し、安全性の検査が必要である場合に前記検査装置において前記端末からのフレームに対する安全性の検査を行うことを決定する決定部と、
決定結果に基づく指示を前記検査装置へ出力する出力部と、
を含むフレーム中継装置。 - 前記判定部は、前記端末から送信されるフレームの安全性が前記網の要求する条件を満たしているか否かを判定することによって、前記検査が必要であるか否かを判定する
請求項１に記載のフレーム中継装置。 - 前記端末からの前記網への接続要求を受信した場合に、前記端末の安全性に係る情報を前記端末から取得する手段と、
前記端末の安全性に係る情報に基づき前記検査が必要か否かの判断を判断装置に問い合わせる手段とをさらに含み、
前記判定部は、前記判断装置の回答にしたがって前記検査が必要か否かを判定する
請求項１に記載のフレーム中継装置。 - フレームの受信部と、
フレームに対する安全性の検査を行う検査部と、
前記検査部による安全性の検査を要しない端末の識別情報が登録される記憶部と、
前記受信部でフレームが受信されたときに、このフレームの送信元端末の識別情報が前記記憶部に登録されている場合には、このフレームに対する前記検査部の検査を行わないことを決定する決定部と、
を含むフレーム検査装置。 - 端末から網へ転送されるフレームを中継するフレーム中継装置から、前記検査を要しない端末の識別情報を受信して前記記憶部に登録する登録部をさらに備え、
前記受信部は、前記フレーム中継装置から前記網へ転送される前記端末からのフレームを受信する
請求項３に記載のフレーム検査装置。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006076466A JP4823728B2 (ja) | 2006-03-20 | 2006-03-20 | フレーム中継装置及びフレーム検査装置 |
| US11/487,982 US20070220615A1 (en) | 2006-03-20 | 2006-07-18 | Frame relay device and frame inspection device |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2006076466A JP4823728B2 (ja) | 2006-03-20 | 2006-03-20 | フレーム中継装置及びフレーム検査装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2007251906A true JP2007251906A (ja) | 2007-09-27 |
| JP4823728B2 JP4823728B2 (ja) | 2011-11-24 |
Family
ID=38519572
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2006076466A Expired - Fee Related JP4823728B2 (ja) | 2006-03-20 | 2006-03-20 | フレーム中継装置及びフレーム検査装置 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US20070220615A1 (ja) |
| JP (1) | JP4823728B2 (ja) |
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009207094A (ja) * | 2008-02-29 | 2009-09-10 | Nec Corp | リモートアクセスシステム、方法及びプログラム |
| JP2011211307A (ja) * | 2010-03-29 | 2011-10-20 | Brother Industries Ltd | Ｖｐｎルータ、サーバおよび通信システム |
| JP2013503552A (ja) * | 2009-08-25 | 2013-01-31 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | 電気通信ネットワークにおいて不正を検出するための方法および装置 |
| WO2016088304A1 (ja) * | 2014-12-01 | 2016-06-09 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 不正検知電子制御ユニット、車載ネットワークシステム及び不正検知方法 |
| WO2022176238A1 (ja) * | 2021-02-19 | 2022-08-25 | 京セラ株式会社 | 画像処理装置 |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20090210935A1 (en) * | 2008-02-20 | 2009-08-20 | Jamie Alan Miley | Scanning Apparatus and System for Tracking Computer Hardware |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH05153126A (ja) * | 1991-11-30 | 1993-06-18 | Nec Corp | フイルタリング装置 |
| JPH11163940A (ja) * | 1997-09-12 | 1999-06-18 | Lucent Technol Inc | パケット検証方法 |
| JP2001510947A (ja) * | 1997-07-10 | 2001-08-07 | マイクロソフト コーポレイション | コンピュータシステムにおけるネットワークパケットの高速転送及びフィルタリング |
| JP2003179647A (ja) * | 2001-12-13 | 2003-06-27 | Toshiba Corp | パケット転送装置およびパケット転送方法 |
| JP2003525557A (ja) * | 2000-03-02 | 2003-08-26 | チェック ポイント ソフトウェア テクノロジース リミテッド | 迅速なパケット・フィルタリング及びパケット・プロセシングのためのシステム、デバイス及び方法 |
| JP2004158025A (ja) * | 2003-12-17 | 2004-06-03 | Nsi Co Ltd | ネットワークシステム、サーバ装置、および認証方法 |
| JP2006121679A (ja) * | 2004-10-06 | 2006-05-11 | Samsung Electronics Co Ltd | ネットワークにおける侵入検知装置及び侵入検知方法 |
Family Cites Families (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7302700B2 (en) * | 2001-09-28 | 2007-11-27 | Juniper Networks, Inc. | Method and apparatus for implementing a layer 3/layer 7 firewall in an L2 device |
| US20070118756A2 (en) * | 2003-07-01 | 2007-05-24 | Securityprofiling, Inc. | Policy-protection proxy |
-
2006
- 2006-03-20 JP JP2006076466A patent/JP4823728B2/ja not_active Expired - Fee Related
- 2006-07-18 US US11/487,982 patent/US20070220615A1/en not_active Abandoned
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH05153126A (ja) * | 1991-11-30 | 1993-06-18 | Nec Corp | フイルタリング装置 |
| JP2001510947A (ja) * | 1997-07-10 | 2001-08-07 | マイクロソフト コーポレイション | コンピュータシステムにおけるネットワークパケットの高速転送及びフィルタリング |
| JPH11163940A (ja) * | 1997-09-12 | 1999-06-18 | Lucent Technol Inc | パケット検証方法 |
| JP2003525557A (ja) * | 2000-03-02 | 2003-08-26 | チェック ポイント ソフトウェア テクノロジース リミテッド | 迅速なパケット・フィルタリング及びパケット・プロセシングのためのシステム、デバイス及び方法 |
| JP2003179647A (ja) * | 2001-12-13 | 2003-06-27 | Toshiba Corp | パケット転送装置およびパケット転送方法 |
| JP2004158025A (ja) * | 2003-12-17 | 2004-06-03 | Nsi Co Ltd | ネットワークシステム、サーバ装置、および認証方法 |
| JP2006121679A (ja) * | 2004-10-06 | 2006-05-11 | Samsung Electronics Co Ltd | ネットワークにおける侵入検知装置及び侵入検知方法 |
Cited By (8)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2009207094A (ja) * | 2008-02-29 | 2009-09-10 | Nec Corp | リモートアクセスシステム、方法及びプログラム |
| JP2013503552A (ja) * | 2009-08-25 | 2013-01-31 | テレフオンアクチーボラゲット エル エム エリクソン（パブル） | 電気通信ネットワークにおいて不正を検出するための方法および装置 |
| JP2011211307A (ja) * | 2010-03-29 | 2011-10-20 | Brother Industries Ltd | Ｖｐｎルータ、サーバおよび通信システム |
| WO2016088304A1 (ja) * | 2014-12-01 | 2016-06-09 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ | 不正検知電子制御ユニット、車載ネットワークシステム及び不正検知方法 |
| JP6077728B2 (ja) * | 2014-12-01 | 2017-02-08 | パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ | 不正検知電子制御ユニット、車載ネットワークシステム及び不正検知方法 |
| WO2022176238A1 (ja) * | 2021-02-19 | 2022-08-25 | 京セラ株式会社 | 画像処理装置 |
| WO2022176153A1 (ja) * | 2021-02-19 | 2022-08-25 | 京セラ株式会社 | 画像処理装置 |
| JP7162762B1 (ja) * | 2021-02-19 | 2022-10-28 | 京セラ株式会社 | 画像処理装置 |
Also Published As
| Publication number | Publication date |
|---|---|
| JP4823728B2 (ja) | 2011-11-24 |
| US20070220615A1 (en) | 2007-09-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR100952350B1 (ko) | 지능망 인터페이스 컨트롤러 | |
| US10659462B1 (en) | Secure data transmission using a controlled node flow | |
| US10243928B2 (en) | Detection of stale encryption policy by group members | |
| KR100628325B1 (ko) | 무선 네트워크에 대한 공격을 탐지하기 위한 침입 탐지센서 및 무선 네트워크 침입 탐지 시스템 및 방법 | |
| US8997201B2 (en) | Integrity monitoring to detect changes at network device for use in secure network access | |
| US20150058916A1 (en) | Detecting encrypted tunneling traffic | |
| US20050182968A1 (en) | Intelligent firewall | |
| US7475420B1 (en) | Detecting network proxies through observation of symmetric relationships | |
| JP6084278B1 (ja) | 情報処理装置、方法およびプログラム | |
| JP4823728B2 (ja) | フレーム中継装置及びフレーム検査装置 | |
| US20170070518A1 (en) | Advanced persistent threat identification | |
| CN111988289B (zh) | Epa工业控制网络安全测试***及方法 | |
| US20040083388A1 (en) | Method and apparatus for monitoring data packets in a packet-switched network | |
| US8671451B1 (en) | Method and apparatus for preventing misuse of a group key in a wireless network | |
| JP2004302538A (ja) | ネットワークセキュリティシステム及びネットワークセキュリティ管理方法 | |
| CN111885209B (zh) | 一种基于单向光闸的消息队列同步方法、装置及*** | |
| CN111083172A (zh) | 一种基于数据包分析的链路通信监控视图构建方法 | |
| JP2008276457A (ja) | ネットワーク保護プログラム、ネットワーク保護装置およびネットワーク保護方法 | |
| EP2007066A2 (en) | A policy enforcement point and a linkage method and system for intrude detection system | |
| KR20030039149A (ko) | 바이러스 탐지 엔진을 갖는 침입 탐지 시스템 | |
| KR101881279B1 (ko) | 보안 소켓 계층 통신을 이용하는 패킷을 검사하는 방법 | |
| JP2006099590A (ja) | アクセス制御装置、アクセス制御方法およびアクセス制御プログラム | |
| JP2008141352A (ja) | ネットワークセキュリティシステム | |
| KR101375840B1 (ko) | 악성코드 침입 방지시스템 및 악성코드 침입 방지시스템의 동작 방법 | |
| JP2016021621A (ja) | 通信システム及び通信方法 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20080723 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090120 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090323 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20090630 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090930 |
|
| A911 | Transfer to examiner for re-examination before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20091008 |
|
| A912 | Re-examination (zenchi) completed and case transferred to appeal board |
Free format text: JAPANESE INTERMEDIATE CODE: A912 Effective date: 20091113 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20110728 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20110907 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 4823728 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20140916 Year of fee payment: 3 |
|
| LAPS | Cancellation because of no payment of annual fees |