(57)【特許請求の範囲】
【請求項１】
第1のネットワークに接続するサーバ装置及び第1機器と、
第２のネットワークに接続するシンクライアント装置、及び第２機器とを有する通信システムであって、
前記シンクライアント装置は、
前記第２機器から通信状態情報を収集し、仮想マシンのゲストＯＳ上で動作する収集機能部と、
前記通信状態情報を前記第1のネットワークを介して前記サーバ装置、前記第1機器の少なくともいずれかへ送信し、ホストＯＳ上で動作する送付機能部と、
前記第1のネットワークと前記第２のネットワークとのいずれかとの接続を管理する管理部と、
前記第２ネットワークの内部での接続のためのプロファイルを格納する第1プロトコル格納部と、
前記第２ネットワークの外部への接続のためのプロファイルを格納する第２プロトコル格納部とを有し、
前記収集機能部は、前記第1プロトコル格納部から読み出す前記プロファイルに含まれる前記第２機器の接続情報を用いて、前記第2機器から前記通信状態情報を収集し、
前記送付機能部は、前記第2プロトコル格納部から読み出す前記プロファイルに含まれる前記サーバ装置及び第1機器の少なくともいずれかの送信先情報を用いて、前記通信状態情報を前記サーバ装置及び第1機器の少なくともいずれかに送信することを特徴とする通信システム。
【請求項２】
前記第1機器、前記サーバの少なくともいずれかと前記シンクライアント装置とは、VPNにより接続されるものであることを特徴とする請求項1に記載の通信システム。
【請求項３】
前記通信状態情報はログ情報であることを特徴とする請求項1に記載の通信システム。
【請求項４】
前記第1プロトコル格納部と前記第2プロトコル格納部は、前記シンクライアント装置に接続される外部媒体に格納されることを特徴とする請求項1に記載の通信システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、通信システムにおけるシンクライアントシステムセキュリティの管理に関する。
【背景技術】
【０００２】
シンクライアントタイプの情報システムでは、ユーザが操作するクライアント装置を用いて、別途管理されているサーバ装置上のデスクトップを遠隔操作し、サーバ装置に搭載されている各種アプリケーションプログラムやデータを利用する。
クライアント装置には、クライアント装置とサーバ装置とを接続する通信プログラム、クライアント装置をサーバ装置の入出力装置として機能させるリモートデスクトッププログラム、およびこれらのプログラムを動作させるオペレーティングシステムプログラムが搭載されている必要がある。
クライアント装置としては、二次記憶装置を持たない端末を使用したシンクライアントシステムが有効なソリューションとして知られている。ここで、二次記憶装置とはクライアント装置の電源が切れてもデータが失われない、不揮発性メモリである。このシステムによれば、実質的にデータがクライアント装置上に保存されることがないため、クライアント装置を紛失した場合に情報が漏洩することがない。例えば、特許文献1には、記憶装置へのデータ読み込み・書き出し要求について、書き出し要求の際にはデータを暗号化するための暗号鍵を鍵管理コンピュータから取り寄せ、また、読み込み要求の際には記憶装置から暗号化データを読み出し、この暗号化データを復号するための鍵を鍵管理コンピュータから取り寄せることが記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開平11−149414号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
二次記憶装置を持たないクライアント装置を使用したシンクライアントシステムでは、高セキュリティ環境を実現できる半面、データをクライアント装置上に保存できないという制限から、システムの柔軟性は失われてしまう。
例えば、サーバ装置やネットワーク機器等の情報システム機器において、ハードウェアもしくはソフトウェアの故障等が発生した場合、原因究明および対処のために、ログ情報等の通信状況情報を取得・収集して、調査部署等へ送付し、解析を実施する必要がある。
従来のシンクライアントシステムにおけるクライアント装置は、別途管理されているサーバ装置上のデスクトップの遠隔操作のみが可能なように設定がされている。そのため、サーバ装置と異なるネットワーク上の情報システム機器へ接続して情報収集することはできない。
上記の通り、故障などのトラブル対応のためには、シンクライアントシステムとしてのセキュリティを確保しつつ、情報収集・送付に特化したクライアント装置としての利便性を提供することが課題となる。
【課題を解決するための手段】
【０００５】
本発明の通信システムは、一例として、第1のネットワークに接続するサーバ装置及び第1機器と、第2のネットワークに接続するクライアント装置、及び第2機器とを有する通信システムであって、前記クライアント装置は、前記第2機器から通信状態情報を収集する収集機能部と、前記通信状態情報を前記第1のネットワークを介して前記サーバ装置、前記第1機器の少なくともいずれかへ送信する送付機能部と、前記第1のネットワークと前記第2のネットワークとのいずれかとの接続を管理する管理部とを有することを特徴とする。
【発明の効果】
【０００６】
シンクライアントシステムとして使用するクライアント装置を用いて、ローカル接続した情報システム機器からの情報収集、および情報送付を行うことが可能となる。情報収集および情報送付のための二次記憶装置を備えるクライアント装置を設置する必要がないため、盗難、紛失等の情報漏洩のリスクを排除することが可能である。
また、情報収集する対象や情報送付する宛先を制限するよう制御する場合には、情報収集および情報送付の機能範囲を管理することができるため、セキュリティの信頼度を高めることができる。
【図面の簡単な説明】
【０００７】
【図１】シンクライアントシステムの実施の一形態を示すブロック図である。
【図２】シンクライアントシステムの動作例を説明するフローチャートである。
【図３】シンクライアントシステムの詳細な構成例を示すブロック図である。
【図４】クライアント装置のソフトウェア構成の一形態を示すブロック図である。
【図５】クライアント装置のソフトウェア構成の、図4とは別の一形態を示すブロック図である。
【図６】従来のシンクライアントシステムの動作を説明するフローチャートである。
【図７】従来のシンクライアントシステムの詳細な構成を示すブロック図である。
【発明を実施するための形態】
【０００８】
図7は従来のシンクライアントシステムの構成例を示す図である。シンクライアントシステムは、アプリケーションプログラムを実行するサーバ装置1と、画面情報を転送するためのネットワーク（本構成例ではWAN4）、クライアント装置70、サーバに接続するためのプロファイル705を保持する外部媒体71から構成される。クライアント装置70は、LAN制御部701、無線通信制御部702と、通信処理部703、クライアント管理部704、とを有する。
【０００９】
図6は従来のシンクライアントシステムの動作を説明するフロー図である。クライアント装置を起動して（S601）、正しい暗証番号を入力し（S602でOK）、サーバに接続するためのプロファイルを選択する（S603でOK）と、サーバの操作（S604）が可能となる。必要な操作を終了後にサーバからログアウトする（S605）。
次に、図面を用いて本発明の実施の形態について説明する。なお、以下の説明において参照する各図は、他の図と同一符号を付与している。
【００１０】
図1はシンクライアントシステムの実施の一形態を示す概略図である。図1に示すように本実施形態のシンクライアントシステムは、サーバ装置1と、リモートアクセス認証サーバ2と、アクセスポイント5と、クライアント装置6と、を有する。
サーバ装置1は、企業内やデータセンタ内等で管理されたネットワークであって、個々のクライアント装置が接続されるネットワークとは異なるネットワークであるLAN3に接続されている。LAN3はリモートアクセス認証サーバ2に接続されている。そのリモートアクセス認証サーバ2はWAN4に接続されている。
クライアント装置6は外部ネットワークのアクセスポイント5を経由してWAN4に接続される。
【００１１】
リモートアクセス認証サーバ2は、外部ネットワークからアクセスするクライアント装置6からの入力情報によりユーザ認証を行い、認証が成立したクライアント装置6をサーバ装置1へVPN接続する。
【００１２】
サーバ装置1は、クライアント装置6との間にVPNによる暗号通信を確立し、クライアント装置6から送られてきた入力信号を受信し、処理を実行するとともに、サーバ装置1の処理結果を示す画面データをクライアント装置6へ送信する。
一方、本実施形態のクライアント装置6はLAN3とは別途に管理されたネットワークであるLAN8に接続されている。LAN8はサーバやネットワーク装置等の情報システム機器9に接続されている。
【００１３】
クライアント装置6は、情報システム機器9より、ログ情報等の通信状況情報をTelnetやFTP等により受信して収集する。収集した情報は、クライアント装置6のデスクトップ環境であるサーバ装置1、もしくは、企業内の情報システム機器10等、VPNを確立した特定の宛先へSMTPやFTP等により送信する。
【００１４】
図3はシンクライアントシステムの実施の一形態を示すブロック図である。図3に示すように、本実施形態によるシンクライアントシステムは、クライアント装置6、サーバに接続するためのプロファイル（網外接続プロファイル格納部）307および、クライアント装置6が接続するＬＡＮ8に接続する情報システム機器9へ接続するためのプロファイル（網内接続プロファイル格納部）308を保持する外部媒体11から構成される。クライアント装置6は、LAN制御部301、無線通信制御部302と、通信処理部303、クライアント管理部304、TelnetやFTP等のプロトコルを使用するための情報収集機能部305、SMTPやFTP等のプロトコルを使用するための情報送付機能部306、を有する。
【００１５】
外部媒体11の網内接続プロファイル308には、情報システム機器（情報収集対象）9に接続するための接続情報（IPアドレス等）を保持している。外部媒体11の網外サーバ接続プロファイル307には、情報システム機器（情報送付宛先）10の送信先情報（メールアドレス等）、サーバ装置1の送信先情報（IPアドレス等）などの情報を保持している。情報収集のための接続先は、接続情報に情報が格納された機器に限られる。また、情報送付の送信先は、送信先情報に情報が格納された機器・サーバに限られる。これらの保持された情報に限定して、情報収集機能部305および情報送付機能部306の機能を使用することができる。この構成により、情報システム機器からの情報の収集や、情報送付宛先への情報の送付の範囲を所定の範囲にとどめ、想定外範囲での情報の送受信を防止することができる。
外部媒体11の網外接続プロファイル307と網内接続プロファイル308は、クライアント管理部304によりそれぞれ管理される網外モード、網内モードで利用される。具体的には、各々のモードの際に、動作するための各々のプログラムを起動し必要な操作を行い、各々のプロトコルを読み出して情報の送受信を行う。その実施形態は、網内接続モード、網外接続モードともに同一のOS上に起動できるようにしておき、いずれかのモードを動作させるためのプログラムのみを起動してもよい。あるいは、仮想マシンの構成に基づき、同一装置内のホストOS上、ゲストOS上にそれぞれいずれかのモードを動作できるようにプログラムを配置してもよい。クラインアント管理部304は、ユーザに網内接続、網外接続のいずれかを選択させる選択画面を、図示しない表示部に表示し、ユーザの入力を受けるように制御する。クラインアント管理部304は、さらに、ユーザの入力に応じて、網外接続プロファイル格納部307、網内接続プロファイル格納部308のいずれかから必要な情報を読み出し、これを用いて、情報送付機能部306、情報収集機能部305のいずれかにより情報送受信の処理を実行するよう制御する。
【００１６】
なお、外部媒体は、クライアント装置の外部に配置する構成として説明したが、網外接続プロファイル307、網内接続プロファイル308は各々、クライアント装置6内の記憶部として配置してもよい。
【００１７】
図4はクライアント装置のソフトウェア構成の一形態を示すブロック図である。図4に示すクライアント装置6は、ホストOS401上に、通信処理プログラム402（LAN制御プログラム403、無線通信制御プログラム404を含む）、サーバ操作プログラム406、情報収集機能プログラム407、情報送付機能プログラム408を配置する。クライアント管理部304は、クライアント管理プログラム405を読み出し、網外接続モードを動作させる場合はサーバ操作プログラム406および情報送付機能プログラム408を、網内接続モードを動作させる場合は情報収集機能プログラム407を起動する。
【００１８】
あるいは、図5に示すクライアント装置6のように、ホストOS501上に、網外接続モードを動作させるための通信処理プログラム502（LAN制御プログラム503、無線通信制御プログラム504を含む）、サーバ操作プログラム506、仮想マシン507のゲストOS508上に、網内接続モードを動作させるための通信処理プログラム509（LAN制御プログラム510、無線通信制御プログラム511を含む）、情報収集機能プログラム512を配置する。クライアント管理部304は、クライアント管理プログラム505を読み出し、いずれのプログラムを起動するかを制御する。図4の形態では、網外接続モードと網内接続モードを切り替える際に、いったんホストOSからログアウト等をする必要があるのに対し、図5の形態では、ホストOSの網外接続モードとゲストOSの網外接続モードを同時に動作させることが可能である。
【００１９】
図2はシンクライアントシステムの動作を説明するフロー図である。クライアント装置を起動して（S201）、リモートアクセスのユーザ認証のために正しい暗証番号を入力し（S202でOK）、ローカル（網内）に接続するためのプロファイルを選択した場合（S203でOK）、必要な情報収集操作（S204）および、情報送付操作（S205）を終了後に、ローカル（網内）接続モードからログアウトする（S206）。一方、サーバ装置1に接続するためのプロファイルを選択した場合（S207でOK）、サーバの操作（S208）が可能となるため、必要な操作を終了後に網外接続モードからログアウトする（S209）。
【００２０】
以上の実施例によれば、企業内やデータセンタ内等で管理されたネットワーク上にあるサーバ装置や情報システム機器に接続するシンクライアント用のクライアント装置で、当該ネットワーク外のネットワーク上の情報システム機器に関する通信状態情報の送受信が可能となる。これにより、ネットワークの故障が生じたときにも、その原因解析処理を、当該故障が生じたネットワークと異なるネットワークリソースで遠隔的に実行できる。
【符号の説明】
【００２１】
サーバ装置
リモートアクセス認証サーバ
内部ネットワーク（LAN）
WAN
アクセスポイント
クライアント装置
無線ネットワーク
外部ネットワーク（LAN）
情報システム機器（情報収集対象）
情報システム機器（情報送付宛先）
外部媒体
301            LAN制御部
302            無線通信制御部
303            通信制御部
304            クライアント管理部
305            情報収集機能部
306            情報送付機能部
307            網外接続プロファイル格納部
308            網内接続プロファイル格納部
401            ホストOS（実施形態1）
402            通信処理プログラム（実施形態1）
403            LAN制御プログラム（実施形態1）
404            無線通信制御プログラム（実施形態1）
405            クライアント管理プログラム（実施形態1）
406            サーバ操作プログラム（実施形態1）
407            情報収集機能プログラム（実施形態1）
408            情報送付機能プログラム（実施形態1）
501            ホストOS（実施形態2）
502            通信処理プログラム（実施形態2）
503            LAN制御プログラム（実施形態2）
504            無線通信制御プログラム（実施形態2）
505            クライアント管理プログラム（実施形態2）
506            サーバ操作プログラム（実施形態2）
507            仮想マシン（実施形態2）
508            ゲストOS（実施形態2）
509            通信処理プログラム（ゲストOS）（実施形態2）
510            LAN制御プログラム（ゲストOS）（実施形態2）
511            無線通信制御プログラム（ゲストOS）（実施形態2）
512            情報収集機能プログラム（実施形態2）
513            情報送付機能プログラム（実施形態2）
70            クライアント装置（従来）
71            外部媒体（従来）
701            LAN制御部（従来）
702            無線通信制御部（従来）
703            通信制御部（従来）
704            クライアント管理部（従来）
705            サーバ接続プロファイル格納部（従来）
【図１】
0005525800.tif 000002
【図２】
0005525800.tif 000003
【図３】
0005525800.tif 000004
【図４】
0005525800.tif 000005
【図５】
0005525800.tif 000006
【図６】
0005525800.tif 000007
【図７】
0005525800.tif 000008