JP7063185B2 - 通信システム及び通信方法 - Google Patents

Description

本発明は、通信システム及び通信方法に関する。

事業者ネットワークを通じて、インターネットや各種ネットワークに接続するネットワーク接続サービスでは、セキュリティサービスが提供されている。例えば、ネットワーク事業者のセキュリティサービスでは、セキュリティアプライアンスを用いて、加入者のトラフィックを分析し、セキュリティを担保する方法が一般的である。セキュリティアプライアンスは、端末脆弱性を突いた攻撃を、分析・遮断するセキュリティ装置である。

セキュリティアプライアンスを活用する方式として、インラインにセキュリティアプライアンスを設置し、このセキュリティアプライアンスに、全てのトラフィックを通過させる方式が一般的に採用されている。この方式では、セキュリティアプライアンスに、予め端末のアドレス情報等を設定することによって、端末毎にセキュリティポリシーを適用する事が可能になる。また、セキュリティアプライアンスが接続されたルータ等の転送装置に、予め端末のアドレス情報を設定することによって、端末毎或いはフロー毎にセキュリティアプライアンス装置を適用することが可能になる。

echMatrix、柔軟な導入構成、［online］、［平成３０年７月２４日検索］、インターネット＜ＵＲＬ：https://www.techmatrix.co.jp/product/paloalto/architecture.html＞

セキュリティアプライアンスは、加入者のトラフィックの高位レイヤの情報まで分析するなどの高負荷な処理を行う。このため、セキュリティアプライアンスで大量のトラフィックを処理するためには、大規模な構成の装置が必要となるという問題があった。

本発明は、上記に鑑みてなされたものであって、セキュリティ装置の負荷を軽減しながら、セキュリティの担保を可能にする通信システム及び通信方法を提供することを目的とする。

上述した課題を解決し、目的を達成するために、本発明に係る通信システムは、端末がネットワークに接続するとともに、セキュリティ装置に接続可能である通信システムであって、端末のＯＳ（Operating System）のバージョン情報を取得する取得部と、取得部が取得した端末のＯＳのバージョンと、該当するＯＳの最新バージョンとを比較する比較部と、端末のＯＳのバージョンが最新バージョンでない場合には端末のトラフィックがセキュリティ装置を通過する経路を設定し、端末のＯＳのバージョンが最新バージョンである場合には端末のトラフィックがセキュリティ装置を通過しない経路に設定する設定部と、を有することを特徴とする。

本発明によれば、セキュリティ装置の負荷を軽減しながら、セキュリティの担保を可能にする。

図１は、実施の形態に係る通信システムの構成の一例を示す図である。 図２は、図１に示すＣＰＥ（Customer Premises Equipment）の構成の一例を示す図である。 図３は、バージョン情報のデータ構成の一例を示す図である。 図４は、図１に示す通信システムにおける通信処理の流れを説明する図である。 図５は、図１に示す通信システムにおける通信処理の流れを説明する図である。 図６は、図１に示す通信システムにおける通信処理の流れを説明する図である。 図７は、実施の形態に係る通信処理の処理手順を説明する図である。 図８は、実施の形態の通信システムの流れを説明する図である。 図９は、実施の形態の変形例に係る通信システムの構成の一例を示す図である。 図１０は、図９に示す通信システムにおける通信処理の流れを説明する図である。 図１１は、図９に示す通信システムにおける通信処理の流れを説明する図である。 図１２は、図９に示す通信システムにおける通信処理の流れを説明する図である。 図１３は、実施の形態に係る通信処理の処理手順を説明する図である。 図１４は、プログラムが実行されることにより、ＣＰＥ、仮想ＣＰＥが実現されるコンピュータの一例を示す図である。

以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施の形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。

［実施の形態］
本発明の実施の形態について説明する。図１は、実施の形態に係る通信システムの構成の一例を示す図である。

図１に示すように、実施の形態に係る通信システム１は、事業者網３の各ルータ６Ａ～６Ｃを介して、加入者宅内ネットワーク２が、インターネット通信網４に接続する構成を有する。そして、通信システム１は、セキュリティアプライアンス５（セキュリティ装置）にも接続可能である。

加入者宅内ネットワーク２では、一以上の端末１０が、ＣＰＥ２０（ネットワーク機器）に接続する。端末１０は、例えば、ＣＰＥ２０及びルータ６Ａを介して事業者網３に接続し、さらに、ルータ６Ｂを介してインターネット通信網４に接続する。端末１０は、例えばパーソナルコンピュータ、スマートフォン、携帯電話等である。ＣＰＥ２０は、いわゆる、ＨＧＷ（Home GateWay）である。

セキュリティアプライアンス５は、受信した端末１０のトラフィックを分析し、分析結果に応じて、この端末１０の通信を遮断する。セキュリティアプライアンスは、端末１０の高位レイヤの情報まで分析が可能である。

この通信システム１では、セキュリティアプライアンス５に、全てのトラフィックを通過させるのではなく、脆弱性を含む端末１０のトラフィックのみにセキュリティアプライアンス５を適用することによって、セキュリティアプライアンス５の負荷を軽減しながら、セキュリティを担保する。

ここで、本実施の形態では、端末１０のＯＳ等ソフトウェアのアップデート状況を、端末１０の脆弱性判断の基準として採用する。実施の形態では、ＣＰＥ２０が、自装置が接続する端末１０のＯＳ（Operating System）状態を確認し、端末１０のＯＳ状態に応じて、セキュリティアプライアンス５を通過させる端末１０を設定する。

［ＣＰＥの構成］
そこで、ＣＰＥ２０の構成について説明する。図２は、図１に示すＣＰＥ２０の構成の一例を示す図である。図２に示すように、ＣＰＥ２０は、通信部２１、記憶部２２及び制御部２３を有する。

通信部２１は、ネットワーク２等を介して接続された他の装置との間で、各種情報を送受信する通信インタフェースである。通信部２１は、ＮＩＣ（Network Interface Card）等で実現され、ＬＡＮ（Local Area Network）やインターネットなどの電気通信回線を介した他の装置と制御部２３（後述）との間の通信を行う。

記憶部２２は、例えば、ＲＡＭ（Random Access Memory）、フラッシュメモリ（Flash Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置によって実現され、ＣＰＥ２０を動作させる処理プログラムや、処理プログラムの実行中に使用されるデータなどが記憶される。記憶部２２は、バージョン管理データベース（ＤＢ）２２１を有する。

バージョン管理データベース２２１は、例えば、バージョン情報を記憶する。図３は、バージョン情報のデータ構成の一例を示す図である。図２に示すように、バージョン情報は、ＣＰＥ２０が接続する加入者宅内ネットワーク２内の各端末１０の識別情報と、各端末１０のＯＳの種別と、各ＯＳの最新バージョン情報とを示す。例えば、端末「Ａ」については、ＯＳの種別が、「ＯＳ－１」であり、その最新バージョンが「７」であることが対応付けられている。バージョン情報は、各種ＯＳのバージョン更新情報等を基に適宜更新される。

制御部２３は、ＣＰＥ２０全体を制御する。制御部２３は、各種の処理手順などを規定したプログラム及び所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。例えば、制御部２３は、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）などの電子回路である。また、制御部２３は、各種のプログラムが動作することにより各種の処理部として機能する。制御部２３は、端末情報取得部２３１（取得部）、比較部２３２、設定部２３３及び転送部２３４を有する。

端末情報取得部２３１は、端末１０のＯＳのバージョン情報を取得する。取得部２３１は、端末１０の接続時に、ＳＮＭＰ（Simple Network Management Protocol）等を利用して、この端末１０のＯＳのバージョン情報を取得し、端末１０のＯＳ状態を確認する。

比較部２３２は、端末情報取得部２３１が取得した端末１０のＯＳのバージョンと、該当するＯＳの最新バージョンとを比較する。比較部２３２は、バージョン管理ＤＢ２２１のバージョン情報を参照し、端末情報取得部２３１が取得した端末１０のＯＳのバージョンが、該当するＯＳの最新バージョンであるか否かを判定する。

設定部２３３は、比較部２３２の判定結果に応じて、この端末１０の通信経路を設定する。具体的には、設定部２３３は、端末１０のＯＳのバージョンが最新バージョンでない場合には、端末１０のトラフィックがセキュリティアプライアンス５を通過する経路を設定する。端末１０のＯＳが最新バージョンでない場合には、この端末１０は脆弱性を含むと考えられるため、この端末１０のトラフィックを、セキュリティアプライアンス５による分析に進める。

また、設定部２３３は、端末１０のＯＳのバージョンが最新バージョンである場合には、端末１０のトラフィックがセキュリティアプライアンス５を通過しない経路に設定する。端末１０のＯＳが最新バージョンである場合には、この端末１０は脆弱性を含まず、この端末１０のトラフィックはセキュアであると考え、セキュリティアプライアンス５の分析を省く。これによって、セキュリティアプライアンス５の負荷が軽減される。

転送部２３４は、端末１０が送信したパケット或いは端末１０宛てのパケットを受信し、設定部２３３の設定に応じて転送する。具体的には、設定部２３３が、端末１０のトラフィックがセキュリティアプライアンス５を通過する経路を設定した場合には、端末１０が送信した通信或いは端末１０宛ての通信を、セキュリティアプライアンス５に転送する。そして、設定部２３３が、端末１０のトラフィックがセキュリティアプライアンス５を通過しない経路を設定した場合には、端末１０が送信した通信を転送先に転送し、端末１０宛ての通信を、端末１０に転送する。

［通信処理の流れ］
次に、通信システム１における通信処理の流れについて説明する。図４～図６は、図１に示す通信システム１における通信処理の流れを説明する図である。

図４に示すように、まず、ＣＰＥ２０は、端末１０の接続時に、ＳＮＭＰ（Simple Network Management Protocol）等を利用して、この端末１０のＯＳのバージョン情報を取得し（図４の（１）参照）、端末１０のＯＳ状態を確認する。続いて、ＣＰＥ２０は、バージョン管理ＤＢ２２１のバージョン情報を参照し、取得した端末１０のＯＳのバージョンと、該当するＯＳの最新バージョンとを比較する（図４の（２）参照）。次に、ＣＰＥ２０は、比較結果に応じて、この端末１０の出力ポートを設定する（図４の（３）参照）。

例えば、ＣＰＥ２０は、端末１０のＯＳのバージョンが最新バージョンでない場合には、端末１０のトラフィックがセキュリティアプライアンス５を通過する経路を設定する（図５の（４）参照）。すなわち、ＣＰＥ２０は、セキュリティアプライアンス５を通過するように、ＣＰＥ２０の出力ポートと端末１０のＩＰアドレスとを対応付け設定する。ポート設定は、ＣＰＥ２０を、ＯＶＳ（Open vSwitch）を用いて構成し、openflow技術を活用することで実現可能である。そして、セキュリティアプライアンス５向けのトラフィックは、ＣＰＥ２０とセキュリティアプライアンス５との間でＶｘＬＡＮ（Virtual eXtensible Local Area Network）等の技術を用いてＬ２トンネルで接続を確立し、このＬ２トンネルに接続されたポートを、端末１０の出力ポートとすることで、転送する（図５の（５）参照）。

この結果、端末１０が送信したインターネット等向けのトラフィックとなる通信は、セキュリティアプライアンス５を通過する経路Ｒ１１でインターネット網に送信される。また、端末１０宛ての通信は、セキュリティアプライアンス５を通過する経路Ｒ１２で端末１０に送信される。

一方、ＣＰＥ２０は、端末１０のＯＳのバージョンが最新バージョンである場合には、端末１０のトラフィックがセキュリティアプライアンス５を通過しない経路に設定する（図６の（６）参照）。すなわち、ＣＰＥ２０は、セキュリティアプライアンス５を通過しないようにＣＰＥ２０の出力ポートと端末１０のＩＰアドレスの対応付け設定を行う。

この結果、端末１０が送信したインターネット等向けのトラフィックとなるパケットは、セキュリティアプライアンス５を通過しない経路Ｒ１３でインターネット網に送信される。また、端末１０宛てのパケットは、セキュリティアプライアンス５を通過しない経路Ｒ１４で端末１０に送信される。

そして、ＣＰＥ２０が、端末１０の状態を、例えば定期的に確認することによって、以下の通りアプライアンス通過設定を変更する。ＣＰＥ２０は、端末１０のＯＳのバージョンが最新化された場合には、セキュリティアプライアンス５を通過しないよう設定し、端末１０のＯＳのバージョンが古いバージョンとなった場合には、セキュリティアプライアンス５を通過するよう設定する。

［通信処理の処理手順］
次に、通信システム１における通信処理の処理手順について説明する。図７は、実施の形態に係る通信処理の処理手順を説明する図である。

図７に示すように、ＣＰＥ２０は、端末１０のＯＳのバージョン情報を取得する（ステップＳ１）。続いて、ＣＰＥ２０は、端末情報取得部２３１が取得した端末１０のＯＳのバージョンと、該当するＯＳの最新バージョンとを比較する（ステップＳ２）。ＣＰＥ２０は、バージョン管理ＤＢ２２１のバージョン情報を参照し、取得した端末１０のＯＳのバージョンが、該当するＯＳの最新バージョンであるか否かを判定する（ステップＳ３）。

ＣＰＥ２０は、取得した端末１０のＯＳのバージョンが、該当するＯＳの最新バージョンでないと判定した場合（ステップＳ３：Ｎｏ）、端末１０のトラフィックがセキュリティアプライアンス５を通過する経路を設定する（ステップＳ４）。

これに応じて、ＣＰＥ２０とセキュリティアプライアンス５との間をＬ２トンネルで接続を確立する（ステップＳ５）。この結果、端末１０宛ての通信（ステップＳ６）は、ＣＰＥ２０を介して、セキュリティアプライアンス５に送信される（ステップＳ８，Ｓ９）。また、端末１０が送信した通信（ステップＳ７）は、ＣＰＥ２０を介して、セキュリティアプライアンス５に送信される（ステップＳ８，Ｓ９）。そして、セキュリティアプライアンス５では、到達した通信を分析する（ステップＳ１０）。

一方、ＣＰＥ２０は、取得した端末１０のＯＳのバージョンが、該当するＯＳの最新バージョンであると判定した場合（ステップＳ３：Ｙｅｓ）、端末１０のトラフィックがセキュリティアプライアンス５を通過しない経路を設定する（ステップＳ１１）。これによって、端末１０が送信した通信（ステップＳ１２）は、ＣＰＥ２０を介して、転送先に転送され（ステップＳ１３）、端末１０宛ての通信（ステップＳ１４）は、ＣＰＥ２０を介して端末１０に転送される（ステップＳ１５）。

［実施の形態の効果］
図８は、実施の形態の通信システムの流れを説明する図である。図８に示すように、本実施の形態では、端末１０ＡのＯＳのバージョンが最新バージョンでない場合には、端末１０Ａが脆弱性を含むとして、端末１０Ａのトラフィックがセキュリティアプライアンス５を通過する経路Ｒ２を設定する。また、本実施の形態では、端末１０ＣのＯＳのバージョンが最新バージョンである場合には、端末１０Ｃには脆弱性無しとして、端末１０Ｃのトラフィックがセキュリティアプライアンス５を通過しない経路Ｒ１に設定する。

このように、本実施の形態では、脆弱性を含む端末１０のみセキュリティアプライアンス５を適用することによって、高価なセキュリティアプライアンス５の利用を最小限に抑えて低コストでのセキュリティサービスの提供が可能になる。したがって、本実施の形態では、セキュリティアプライアンスの負荷を軽減しながら、セキュリティの担保を可能にすることができる。

また、本実施の形態では、セキュリティアプライアンス５を使用する端末１０のフローに関しては、帯域制御を行い、転送帯域を制限してもよい。この場合、セキュリティアプライアンス５の負荷軽減効果と、端末１０の利用者に対するアップデート誘起の効果が期待できる。

さらに、本実施の形態では、帯域制限を行う場合に、アップデートのトラフィックのみを、帯域制限から除外する設定を行い、端末１０の利用者に対するアップデートを促してもよい。

以上より、本実施の形態では、端末１０の脆弱性（最新化状態）の情報を端末１０の接続時或いは定期的なタイミングで確認し、セキュリティの適用要否を判定することによって、脆弱性のある端末１０のみを脅威から防衛することが可能になる。また、脆弱性のある端末１０に関しては、帯域制限を行うことで、セキュリティアプライアンス５を利用するトラフィック量を削減して低コスト化するとともに、ソフトウェアのアップデートを促すことが可能になる。

なお、本実施の形態では、バージョン管理ＤＢ２２１は、ＣＰＥ２０とは別の装置とし、必要に応じてＣＰＥ２０がバージョン管理ＤＢ２２１よりバージョン情報を取得してもよい。

［変形例］
本実施の形態では、事業者網３を通じて、インターネットや各種ネットワークに接続するネットワーク接続サービスにおいて、端末１０の種別や端末毎に応じてだけではなく、端末１０の状態に応じて最適なセキュリティポリシーを適用可能なネットワーク接続方法と、この接続方法を設定する加入者宅内ネットワーク２のＣＰＥ２０とを提案した。

ここで、接続方法を設定するＣＰＥ２０は、必ずしも加入者宅内ネットワーク２に配置される必要はない。例えば、ＣＰＥは、事業者網３のネットワークに仮想マシンとして配置することも可能である。以降では、ＣＰＥを事業者網３のネットワーク上に仮想マシンとして配置する構成を変形例として説明する。

図９は、実施の形態の変形例に係る通信システムの構成の一例を示す図である。図９に示すように、本実施の形態の変形例に係る通信システム２０１は、加入者宅内ネットワーク２のＣＰＥ２１０にではなく、事業者網３のネットワーク上に、端末１０の状態に応じた接続設定を行う仮想ＣＰＥ２２０を配置した構成を有する。この仮想ＣＰＥ２２０は、実サーバ装置に設けられており、図２に示すＣＰＥ２０と同じ機能構成を有する。

［通信処理の流れ］
次に、通信システム２０１における通信処理の流れについて説明する。図１０～図１２は、図９に示す通信システム２０１における通信処理の流れを説明する図である。

図１０に示すように、まず、仮想ＣＰＥ２２０は、ＣＰＥ２１０を介した端末１０の接続時に、ＳＮＭＰ等を利用して、この端末１０のＯＳのバージョン情報を取得し（図１０の（１）参照）、端末１０のＯＳ状態を確認する。続いて、仮想ＣＰＥ２２０は、バージョン管理ＤＢ２２１のバージョン情報を参照し、取得した端末１０のＯＳのバージョンと、該当するＯＳの最新バージョンとを比較する（図１０の（２）参照）。次に、仮想ＣＰＥ２２０は、比較結果に応じて、この端末１０の出力ポートを設定する（図１０の（３）参照）。

例えば、仮想ＣＰＥ２２０は、端末１０のＯＳのバージョンが最新バージョンでない場合には、端末１０のトラフィックがセキュリティアプライアンス５を通過する経路を設定する（図１１の（４）参照）。すなわち、仮想ＣＰＥ２２０は、セキュリティアプライアンス５を通過するように、仮想ＣＰＥ２２０の出力ポートと端末１０のＩＰアドレスとを対応付け設定する。ポート設定は、仮想ＣＰＥ２２０を、ＯＶＳを用いて構成し、openflow技術を活用することで実現可能である。そして、セキュリティアプライアンス５向けのトラフィックは、仮想ＣＰＥ２２０とセキュリティアプライアンス５との間でＶｘＬＡＮ等の技術を用いてＬ２トンネルで接続を確立し、このＬ２トンネルに接続されたポートを、端末１０の出力ポートとすることで、転送する（図１１の（５）参照）。

この結果、端末１０が送信したインターネット等向けのトラフィックとなる通信は、セキュリティアプライアンス５を通過する経路Ｒ２１でインターネット網に送信される。また、端末１０宛ての通信は、セキュリティアプライアンス５を通過する経路で端末１０に送信される。

一方、仮想ＣＰＥ２２０は、端末１０のＯＳのバージョンが最新バージョンである場合には、端末１０のトラフィックがセキュリティアプライアンス５を通過しない経路に設定する（図１２の（６）参照）。すなわち、仮想ＣＰＥ２２０は、セキュリティアプライアンス５を通過しないように仮想ＣＰＥ２２０の出力ポートと端末１０のＩＰアドレスの対応付け設定を行う。

この結果、端末１０が送信したインターネット等向けのトラフィックとなるパケットは、セキュリティアプライアンス５を通過しない経路Ｒ２３でインターネット網に送信される。また、端末１０宛てのパケットは、セキュリティアプライアンス５を通過しない経路Ｒ２４で端末１０に送信される。

そして、仮想ＣＰＥ２２０が、端末１０の状態を、例えば定期的に確認することによって、以下の通りアプライアンス通過設定を変更する。仮想ＣＰＥ２２０は、端末１０のＯＳのバージョンが最新化された場合には、セキュリティアプライアンス５を通過しないよう設定し、端末１０のＯＳのバージョンが古いバージョンとなった場合には、セキュリティアプライアンス５を通過するよう設定する。

［通信処理の処理手順］
次に、通信システム２０１における通信処理の処理手順について説明する。図１３は、実施の形態に係る通信処理の処理手順を説明する図である。

図１２に示すように、仮想ＣＰＥ２２０は、ＣＰＥ２１０を介して、端末１０のＯＳのバージョン情報を取得する（ステップＳ２１，Ｓ２２）。続いて、仮想ＣＰＥ２２０は、端末情報取得部２３１が取得した端末１０のＯＳのバージョンと、該当するＯＳの最新バージョンとを比較する（ステップＳ２３）。仮想ＣＰＥ２２０は、バージョン管理ＤＢ２２１のバージョン情報を参照し、取得した端末１０のＯＳのバージョンが、該当するＯＳの最新バージョンであるか否かを判定する（ステップＳ２４）。

仮想ＣＰＥ２２０は、取得した端末１０のＯＳのバージョンが、該当するＯＳの最新バージョンでないと判定した場合（ステップＳ２４：Ｎｏ）、端末１０のトラフィックがセキュリティアプライアンス５を通過する経路を設定する（ステップＳ２５）。

これに応じて、仮想ＣＰＥ２２０とセキュリティアプライアンス５との間をＬ２トンネルで接続を確立する（ステップＳ２６）。この結果、端末１０宛ての通信（ステップＳ２７）は、仮想ＣＰＥ２２０を介して、セキュリティアプライアンス５に送信される（ステップＳ３０，Ｓ３１）。また、端末１０がＣＰＥ２１０を介して送信した通信（ステップＳ２８，Ｓ２９）は、仮想ＣＰＥ２２０を介して、セキュリティアプライアンス５に送信される（ステップＳ３０，Ｓ３１）。そして、セキュリティアプライアンス５では、到達した通信を分析する（ステップＳ３２）。

一方、仮想ＣＰＥ２２０は、取得した端末１０のＯＳのバージョンが、該当するＯＳの最新バージョンであると判定した場合（ステップＳ２４：Ｙｅｓ）、端末１０のトラフィックがセキュリティアプライアンス５を通過しない経路を設定する（ステップＳ３３）。これによって、端末１０がＣＰＥ２１０を介して送信した通信（ステップＳ３４，Ｓ３５）は、仮想ＣＰＥ２２０を介して、転送先に転送され（ステップＳ３６）、端末１０宛ての通信（ステップＳ３７）は、仮想ＣＰＥ２２０及びＣＰＥ２１０を介して端末１０に転送される（ステップＳ３８，Ｓ３９）。

このように、本実施の形態の変形例では、実施の形態と同様の効果を奏する。また、本実施の形態の変形例では、実施の形態と同様に、本実施の形態では、セキュリティアプライアンス５を使用する端末１０のフローに関しては、帯域制御を行い、転送帯域を制限してもよい。

また、本変形例では、脆弱性が無い、すなわち、ＯＳが最新バージョンである端末１０のフローに関して、仮想ＣＰＥ２２０への転送をしない経路に設定してもよい。この場合には、仮想ＣＰＥ２２０の処理トラフィック量を削減でき、仮想ＣＰＥ２２０負荷の軽減を可能にするため、システム全体の低コスト化が期待できる。

［システム構成等］
図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行なうこともでき、あるいは、手動的に行なわれるものとして説明した処理の全部又は一部を公知の方法で自動的に行なうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
図１４は、プログラムが実行されることにより、ＣＰＥ２０、仮想ＣＰＥ２２０が実現されるコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ（Operating System）１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、ＣＰＥ２０、仮想ＣＰＥ２２０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、ＣＰＥ２０、仮想ＣＰＥ２２０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述及び図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例及び運用技術等は全て本発明の範疇に含まれる。

１，２０１ 通信システム
２ 加入者宅内ネットワーク
３ 事業者網
４ インターネット通信網
５ セキュリティアプライアンス
２０，２１０ ＣＰＥ（ＨＧＷ）
２１ 通信部
２２ 記憶部
２３ 制御部
２２０ 仮想ＣＰＥ
２２１ バージョン管理ＤＢ
２３１ 端末情報取得部
２３２ 比較部
２３３ 設定部
２３４ 転送部

Claims (6)

1. 端末がネットワークに接続するとともに、セキュリティ装置に接続可能である通信システムであって、
   前記端末のＯＳ（Operating System）のバージョン情報を取得する取得部と、
   前記取得部が取得した端末のＯＳのバージョンと、該当するＯＳの最新バージョンとを比較する比較部と、
   前記端末のＯＳのバージョンが前記最新バージョンでない場合には前記端末のトラフィックが前記セキュリティ装置を通過する経路を設定し、前記端末のＯＳのバージョンが前記最新バージョンである場合には前記端末のトラフィックが前記セキュリティ装置を通過しない経路に設定する設定部と、
   を有し、
   前記設定部は、前記端末のトラフィックが前記セキュリティ装置を通過する経路については、帯域制御を行い、転送帯域を制限し、前記転送帯域の制限を行う場合に、前記端末のＯＳのアップデートのトラフィックのみを、前記転送帯域の制限から除外する設定を行うことを特徴とする通信システム。
2. 前記端末を前記ネットワークに接続するとともに、前記取得部、前記比較部及び前記設定部を有するネットワーク機器をさらに有することを特徴とする請求項１に記載の通信システム。
3. 前記設定部は、前記端末のＯＳのバージョンが前記最新バージョンでない場合には、前記ネットワーク機器とセキュリティ装置との間にＬ２トンネルで接続を確立することを特徴とする請求項２に記載の通信システム。
4. ネットワーク機器を介して前記端末と接続するとともに、前記取得部、前記比較部及び前記設定部を有する仮想ネットワーク機器をさらに有することを特徴とする請求項１に記載の通信システム。
5. 前記設定部は、前記端末のＯＳのバージョンが前記最新バージョンでない場合には、前記仮想ネットワーク機器とセキュリティ装置との間にＬ２トンネルで接続を確立することを特徴とする請求項４に記載の通信システム。
6. 端末がネットワークに接続するとともに、セキュリティ装置に接続可能である通信システムが実行する通信方法であって、
   前記端末のＯＳ（Operating System）のバージョン情報を取得する取得工程と、
   前記取得工程において取得された端末のＯＳのバージョンと、該当するＯＳの最新バージョンとを比較する比較工程と、
   前記端末のＯＳのバージョンが前記最新バージョンでない場合には前記端末のトラフィックが前記セキュリティ装置を通過する経路を設定し、前記端末のＯＳのバージョンが前記最新バージョンである場合には前記端末のトラフィックが前記セキュリティ装置を通過しない経路に設定する設定工程と、
   を含み、
   前記設定工程は、前記端末のトラフィックが前記セキュリティ装置を通過する経路については、帯域制御を行い、転送帯域を制限し、前記転送帯域の制限を行う場合に、前記端末のＯＳのアップデートのトラフィックのみを、前記転送帯域の制限から除外する設定を行うことを特徴とする通信方法。

Images