JP4437107B2 - コンピュータシステム - Google Patents
コンピュータシステム Download PDFInfo
- Publication number
- JP4437107B2 JP4437107B2 JP2005235961A JP2005235961A JP4437107B2 JP 4437107 B2 JP4437107 B2 JP 4437107B2 JP 2005235961 A JP2005235961 A JP 2005235961A JP 2005235961 A JP2005235961 A JP 2005235961A JP 4437107 B2 JP4437107 B2 JP 4437107B2
- Authority
- JP
- Japan
- Prior art keywords
- terminal
- network
- user terminal
- policy information
- user
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Description
クライアントフィルタ機能とは、コンピュータ端末からネットワークに対してのアクセス、また、ネットワークからコンピュータ端末へのアクセスに対して、送信元、宛先のIPアドレス、ポート番号を意識してアクセスを許可又は拒否する機能である。
・ポリシーを変更できる製品であっても、ウイルス対策ソフトと同期して作動するため、異なるベンダーのウイルス対策ソフトを利用している環境では、ポリシーを動的に変更することはできない。
・IDS(Intrusion Detection System)製品と連携して動作させることができないため、未知のウイルスに感染しているユーザ端末がネットワークに接続されても、その端末からの通信を拒絶することができない。
・PC検疫システムを構築する際に、検疫ネットワークを構成する製品とセキュリティ対策状況を管理する製品とが限定されており、容易にシステムを構築することができない。
・PC検疫システムを構築する際に、セキュリティチェック結果により、ユーザ端末10のアクセス先を制限するための特別なネットワーク端末が必要となり、容易にシステムを構築できない。
また、特許文献1に開示される発明は、コンピュータ端末への不正な侵入、いわゆるハッキングに対する対策を施したコンピュータシステムであるが、コンピュータウイルスは、正常なルートでコンピュータ内に侵入(例えば、電子メールの添付ファイルとして)ことも多いため、特許文献1に開示される発明は、コンピュータウイルスに対するセキュリティの向上には何ら寄与しない。
しかも、侵入検知に対する対処ルールは予め登録されているものの中から選択するため、想定の範囲外の状況に対応することができない。すなわち、次々と新種や亜種が登場するコンピュータウイルスに対応することはできない。
このように、従来は、システムを構成する端末のセキュリティポリシーを動的に切り換えることのできるコンピュータシステムは実現されていなかった。
また、クライアントフィルタ機能部が外部製品と連携するためのインタフェースを公開することによって様々な機能を持つ製品との連携が可能となる。これにより、より一層幅広い使い方ができる。
・コンピュータウイルスに感染しないようにセキュリティ対策を万全な状態にしておく(proactiveな対処)。
・コンピュータウイルスに感染したユーザ端末がシステムに接続された場合、二次感染を防ぐため、ウイルスに感染したユーザ端末を他のユーザ端末から隔離する(reactiveな対処)。
本発明では、上記の二通りの対策を両方とも行うことも、また、どちらか一方のみを行うことも可能である。このため、必要に応じたセキュリティ対策が施されたコンピュータシステムを構築できる。
本発明を好適に実施した第1の実施形態について説明する。
図1に、本実施形態にかかるコンピュータシステムの構成を示す。本実施形態にかかるコンピュータシステムは、クライアントフィルタ機能20が実装された複数のユーザ端末10と、セキュリティ対策状況管理センタ端末30と、IDSセンタ端末40とがネットワーク100(イントラネットなど)を介して相互に接続された構成である。
クライアントフィルタ機能部20は、フィルタ機能のポリシー(どのようなデータを通過させ、どのようなデータを遮断するかのルール)を動的に切り替える機能を備える。さらに、クライアントフィルタ機能部20は、クライアントフィルタ機能のポリシーをネットワーク100に接続されている他の端末(本実施形態においてはセキュリティ対策状況管理センタ端末30)からの要求に応じて変更するためのインタフェースを備える。
また、セキュリティ対策状況管理センタ端末30は、セキュリティ対策のために必要な最新情報を保持しており、全てのユーザ端末10から収集した情報と最新情報とを比較することにより、各ユーザ端末のセキュリティ対策が十分であるか否かを判断する。
さらに、セキュリティ対策状況管理センタ端末30は、クライアントフィルタ機能部20によってユーザ端末10から送信されてきた各種情報に基づいてセキュリティ対策状況を判断し、クライアントフィルタ機能のポリシーをユーザ端末10へ送信する。
さらに、不審な振る舞いをするユーザ端末10に関する情報をIDSセンタ端末40から受信し、当該ユーザ端末10のクライアントフィルタ機能部20に対して、ネットワーク100への通信を遮断させるポリシーを送信する。
図2に、セキュリティ対策状況管理センタ端末30の動作の流れを示す。
セキュリティ対策状況を判断するために、最新のセキュリティ対策情報を取得する(ステップA1)。セキュリティ対策情報とは、ウイルス対策ソフトのウイルスパターンファイルのバージョン情報、セキュリティパッチ情報などである。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップB1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
IDSセンタ端末40は、ネットワーク100を流れる全てのパケットを監視することにより、不審な挙動をしているユーザ端末を検出する(ステップC1)。ここでいう不審な挙動とは、ユーザ端末がコンピュータウイルスに感染している場合によく見られる挙動(通常業務では考えられないような相手への通信、また、大量の相手への一斉通信など)を指す。
このようにして、ユーザ端末10の利用者は、ユーザ端末10がコンピュータウイルスに感染している疑いがあるため、ネットワーク100へのアクセスが制限されたことを知ることができる。
本発明を好適に実施した第2の実施形態について説明する。
本実施形態にかかるコンピュータシステムの構成は第1の実施形態と同様である。
本実施形態においては、セキュリティ対策状況センタ端末30において、全てのユーザ端末のセキュリティ対策状況を管理しない点が第1の実施形態と相違する。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップD1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
このように して、ユーザ端末10の利用者は、自身が使用する端末10がコンピュータウイルスに感染している疑いがあるために、ネットワーク100へのアクセスが制限されたことを知ることができる。
図6に、動作の流れを示す。
感染しているコンピュータウイルスが駆除された後、アクセス制限解除要求をセキュリティ対策状況管理センタ端末30に送信するための操作が行われると、クライアントフィルタ機能部20は、アクセス制限解除要求をセキュリティ対策状況管理センタ端末30へ送信する(ステップE1)。
本発明を好適に実施した第3の実施形態について説明する。
図7に、本実施形態にかかるコンピュータシステムの構成を示す。
本実施形態にコンピュータシステムは、セキュリティ対策状況管理センタ端末30を備えていない点が第2の実施形態と相違する。第2の実施形態においてセキュリティ対策状況管理センタ端末30が提供していた機能は、IDSセンタ端末40が実現する。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップF1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
このようにして、ユーザ端末10の利用者は、自身が使用する端末がコンピュータウイルスに感染している疑いがあるため、ネットワーク100へのアクセスが制限されたことを知ることができる。
図9に、システムの動作の流れを示す。
一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況を管理する装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。
本発明を好適に実施した第4の実施形態について説明する。
図10に本実施形態にかかるコンピュータシステムの構成を示す。
本実施形態に係るコンピュータシステムは複数のユーザ端末10がネットワーク100を介して接続された構成である。
図11に、システムの動作の流れを示す。
利用者がユーザ端末10を起動すると、ユーザ端末10内のCPUによってクライアントフィルタプログラムが実行され、ユーザ端末10上にクライアントフィルタ機能部20が実装される(ステップH1)。ユーザ端末10の使用者の操作によって、クライアントフィルタ機能部20が実装されなくなることを防ぐため、クライアントフィルタプログラムはユーザ端末10の起動時に自動的に実行され、使用者の操作ではプログラムの実行を停止できないようにすることが好ましい。
一般に、全てのユーザ端末のセキュリティ対策状況を管理するシステムの構築には多額の費用を要するため、簡単には導入できない。本実施形態にかかるコンピュータシステムは、全てのユーザ端末のセキュリティ対策状況を管理する装置を用いなくても、コンピュータウイルスに実際に感染したユーザ端末の検出やネットワークアクセスの遮断を行える。よって、コンピュータウイルス対策が施されたコンピュータシステムを低コストで構築できる。
20 クライアントフィルタ機能部
30 セキュリティ対策状況管理センタ端末
40 IDS端末
Claims (6)
- 接続したネットワークを介して送受信するデータをフィルタリングする機能を持つ複数のユーザ端末と、前記複数のユーザ端末のセキュリティ対策状況を管理するネットワークセキュリティ管理端末と、前記ネットワークを流れるパケットを監視して前記複数のユーザ端末の中から挙動が不審なものを検出するIDS端末と、が前記ネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
自端末のセキュリティ対策状況が最新の状況であるか否かの判断を前記ネットワークセキュリティ管理端末に要求する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って、自端末の前記フィルタリング機能のポリシー情報を変更する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って自端末の前記フィルタリング機能のポリシー情報を変更した場合に、変更後のポリシー情報を表示する手段と、
を有し、
前記ネットワークセキュリティ管理端末は、
前記各ユーザ端末からの要求に応じて、要求元のユーザ端末のセキュリティ対策状況が最新の状況であるか否かを判断する手段と、
前記セキュリティ対策状況の判断結果に基づいて、前記要求元のユーザ端末に対して、該ユーザ端末に適用されるポリシー情報を通知する手段と、
前記IDS端末からの挙動が不審なユーザ端末に関する情報に基づいて、前記ユーザ端末に対して、前記ネットワークに対するアクセスを制限するポリシー情報を通知する手段と、
を有し、
前記IDS端末は、
挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末に関する情報を前記ネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステム。 - 前記ユーザ端末は、自端末のセキュリティ対策状況が最新の状況であるか否かの判断を前記ネットワークセキュリティ管理端末に要求する際に、自端末のセキュリティ対策状況を表す情報を前記ネットワークセキュリティ管理端末へ送信し、
前記ネットワークセキュリティ管理端末は、ユーザ端末から受信した情報と予め格納している最新のセキュリティ対策状況を表す情報とを比較することによって、要求元のユーザ端末のセキュリティ対策状況が最新の状況であるか否かを判断することを特徴とする請求項1記載のコンピュータシステム。 - 接続したネットワークを介して送受信するデータをフィルタリングする機能を持つ複数のユーザ端末と、前記複数のユーザ端末に適用されるポリシー情報を通知するネットワークセキュリティ管理端末と、前記ネットワークを流れるパケットを監視して前記複数のユーザ端末の中から挙動が不審なものを検出するIDS端末と、が前記ネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って、自端末の前記フィルタリング機能のポリシー情報を変更する手段と、
前記ネットワークセキュリティ管理端末から受信したポリシー情報に従って自端末の前記フィルタリング機能のポリシー情報を変更した場合に、変更後のポリシー情報を表示する手段と、
前記ネットワークに対するアクセスを制限するポリシー情報が適用されている場合に、前記ネットワークに対するアクセスの制限の解除を要求する解除要求を前記ネットワークセキュリティ管理端末へ送信するための手段と、
を有し、
前記ネットワークセキュリティ管理端末は、
前記IDS端末からの挙動が不審なユーザ端末に関する情報に基づいて、前記ユーザ端末に対して、前記ネットワークに対するアクセスを制限するポリシー情報を通知する手段と、
前記解除要求の送信元のユーザ端末に対して、前記アクセス制限を解除するポリシー情報を通知する手段と、
を有し、
前記IDS端末は、
挙動が不審なユーザ端末を検出した場合に、該挙動が不審なユーザ端末に関する情報を前記ネットワークセキュリティ管理端末へ通知する手段を有することを特徴とするコンピュータシステム。 - 前記ネットワークセキュリティ管理端末は、前記IDS端末から挙動が不審であることを通知されたユーザ端末に対して、前記ネットワークへのアクセスを禁止するポリシー情報を通知することを特徴とする請求項1から3のいずれか1項記載のコンピュータシステム。
- 接続したネットワークを介して送受信するデータをフィルタリングする機能を持つ複数のユーザ端末と、前記複数のユーザ端末に適用されるポリシー情報を通知するとともに、前記ネットワークを流れるパケットを監視して前記複数のユーザ端末の中から挙動が不審なものを検出するIDS端末と、がネットワークを介して接続されたコンピュータシステムであって、
前記ユーザ端末は、
前記IDS端末から受信したポリシー情報に従って、自端末の前記フィルタリング機能のポリシー情報を変更する手段と、
前記IDS端末から受信したポリシー情報に従って自端末の前記フィルタリング機能のポリシー情報を変更した場合に、変更後のポリシー情報を表示する手段と、
前記ネットワークに対するアクセスを制限するポリシー情報が適用されている場合に、前記ネットワークに対するアクセスの制限の解除を要求する解除要求を前記IDS端末へ送信するための手段と、
を有し、
前記IDS端末は、
挙動が不審なユーザ端末を検出した場合に、そのユーザ端末に対して、前記ネットワークに対するアクセスを制限するポリシー情報を通知する手段と、
前記解除要求の送信元のユーザ端末に対して、前記アクセス制限を解除するポリシー情報を通知する手段と、
を有することを特徴とするコンピュータシステム。 - 前記IDS端末は、挙動が不審であることを検出したユーザ端末に対して、前記ネットワークへのアクセスを禁止するネットワークセキュリティの設定を通知することを特徴とする請求項5記載のコンピュータシステム。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2005235961A JP4437107B2 (ja) | 2005-08-16 | 2005-08-16 | コンピュータシステム |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2005235961A JP4437107B2 (ja) | 2005-08-16 | 2005-08-16 | コンピュータシステム |
Related Child Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2009240499A Division JP4527802B2 (ja) | 2009-10-19 | 2009-10-19 | コンピュータシステム |
Publications (2)
Publication Number | Publication Date |
---|---|
JP2007052550A JP2007052550A (ja) | 2007-03-01 |
JP4437107B2 true JP4437107B2 (ja) | 2010-03-24 |
Family
ID=37916973
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2005235961A Expired - Fee Related JP4437107B2 (ja) | 2005-08-16 | 2005-08-16 | コンピュータシステム |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP4437107B2 (ja) |
Families Citing this family (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
WO2008114378A1 (ja) * | 2007-03-19 | 2008-09-25 | Fujitsu Limited | データ処理装置、そのデータ監視方法、そのデータ監視プログラム、及びそのデータ監視プログラムを格納した記録媒体 |
JP5032246B2 (ja) * | 2007-08-31 | 2012-09-26 | 株式会社東芝 | システムおよび制御方法 |
US9208318B2 (en) | 2010-08-20 | 2015-12-08 | Fujitsu Limited | Method and system for device integrity authentication |
US9215237B2 (en) | 2011-05-23 | 2015-12-15 | Nec Corporation | Communication system, control device, communication method, and program |
JP6296915B2 (ja) * | 2014-06-19 | 2018-03-20 | 三菱電機株式会社 | 解析装置及び解析方法及びプログラム |
US11983064B2 (en) | 2019-08-09 | 2024-05-14 | Nec Corporation | Abnormality detection apparatus, control method, and program |
-
2005
- 2005-08-16 JP JP2005235961A patent/JP4437107B2/ja not_active Expired - Fee Related
Also Published As
Publication number | Publication date |
---|---|
JP2007052550A (ja) | 2007-03-01 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP4527802B2 (ja) | コンピュータシステム | |
US8256003B2 (en) | Real-time network malware protection | |
TWI294726B (ja) | ||
US7779468B1 (en) | Intrusion detection and vulnerability assessment system, method and computer program product | |
US7752668B2 (en) | Network virus activity detecting system, method, and program, and storage medium storing said program | |
US7725932B2 (en) | Restricting communication service | |
JP5781616B2 (ja) | 脆弱性対策装置、および脆弱性対策方法 | |
US8266703B1 (en) | System, method and computer program product for improving computer network intrusion detection by risk prioritization | |
US20090044270A1 (en) | Network element and an infrastructure for a network risk management system | |
CN102663274B (zh) | 一种检测远程入侵计算机行为的方法及*** | |
JP4195480B2 (ja) | コンピュータ端末がネットワークに接続して通信することを管理・制御するための装置および方法。 | |
US10721209B2 (en) | Timing management in a large firewall cluster | |
JP2008535053A (ja) | パッチが当てられていないマシンの動的な保護 | |
JP4437107B2 (ja) | コンピュータシステム | |
JP2006252256A (ja) | ネットワーク管理システム、方法およびプログラム | |
JP2006243878A (ja) | 不正アクセス検知システム | |
WO2008040223A1 (fr) | Procédé de filtrage de données nocives transférées entre un terminal et un hôte de destination dans un réseau | |
JP4636345B2 (ja) | セキュリティポリシー制御システム、セキュリティポリシー制御方法、及びプログラム | |
JP2003288282A (ja) | 不正アクセス防止プログラム | |
JP4437797B2 (ja) | ネットワークへの不正接続防止システム及び方法並びにそのプログラム | |
JP2008022498A (ja) | ネットワーク異常検知装置、ネットワーク異常検知方法及びネットワーク異常検知システム | |
JP2005193590A (ja) | 印刷装置 | |
JP2008141352A (ja) | ネットワークセキュリティシステム | |
KR20180059611A (ko) | 시그니쳐 기반으로 악성행위를 자체 탐지하는 유무선 게이트웨이 및 그 탐지 방법 | |
JP6948007B2 (ja) | セキュリティ監視システム、セキュリティ監視装置、検証用装置、セキュリティ監視プログラム及び検証用プログラム |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20090806 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20090818 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20091019 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20091215 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20100104 |
|
R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130108 Year of fee payment: 3 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130108 Year of fee payment: 3 |
|
S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
LAPS | Cancellation because of no payment of annual fees |