(57)【要約】      （修正有）【課題】標的型攻撃、未知のウイルス及び未知の攻撃に対してコンピュータを守る。【解決手段】ユーザが通常使用するコンピュータ８から遠隔操作によって、外部との通信をコンピュータ３上で、信用できないプログラムの実行をコンピュータ５上で実行する。コンピュータ３及び５では、唯一の外部記憶装置として接続されたコンピュータ４と６が読み出し、書き込み、変更処理を監視して危険な処理を破棄する。また、装置７により、コンピュータ３及び５から開始されるコンピュータ８への通信を遮断する。【選択図】図１
2015050474.tif 000002
【特許請求の範囲】
【請求項１】
２個以上のネットワークインターフェースを備えた情報処理装置であって、
ネットワークインターフェースの一部又は全部がＩＰアドレスを持たず、
ブリッジ接続を使用する手段と、
パケットフィルタリングを行なう手段とを備えていることを特徴とするファイアウォール装置。
【請求項２】
外部記憶装置として接続可能な接続端子を備えた情報処理装置であって、
当該情報処理装置を外部記憶装置として機能させる手段と、
外部記憶装置としての端子と外部記憶装置として機能させる手段の間で行なわれる全ての通信をチェックし、あらかじめ設定された規則で禁止されている通信があれば、当該通信を破棄する手段とを備えていることを特徴とするストレージ担当装置。
【請求項３】
前記ストレージ担当装置が唯一の外部記憶装置として接続された情報処理装置であって、
当該情報処理装置を、遠隔操作を受ける遠隔操作サーバとして機能させる手段と、
ホームページを閲覧する手段と、
メールを送受信する手段と、
当該情報処理装置を、ファイル共有サーバとして機能させる手段とを備えていることを特徴とするコミュニケーション担当情報処理装置。
【請求項４】
外部との通信、及び信用できないプログラムの実行を専用コンピュータで分散処理する方法であって、
前記コミュニケーション担当情報処理装置を遠隔操作するステップと、
前記ストレージ担当装置を唯一の外部記憶装置として備える、信用できないプログラムの実行を担当するコンピュータを遠隔操作するステップとを、
ユーザが通常使用するコンピュータで実行させることを特徴とする分散処理方法。
【請求項５】
前記ファイアウォール装置により、前記コミュニケーション担当情報処理装置及び前記信用できないプログラムの実行を担当するコンピュータから、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断することを特徴とする請求項４に記載の分散処理方法。
【請求項６】
遠隔操作によって前記コミュニケーション担当情報処理装置に外部との通信を行なわせる手段と、
遠隔操作によって前記信用できないプログラムの実行を担当するコンピュータにプログラムを実行させる手段と、
ユーザが通常使用するコンピュータに、前記コミュニケーション担当情報処理装置と前記信用できないプログラムの実行を担当するコンピュータを遠隔操作させる手段とを備えている分散処理システム。
【請求項７】
前記ファイアウォール装置により、前記コミュニケーション担当情報処理装置及び前記信用できないプログラムの実行を担当するコンピュータから、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断する手段を備えていることを特徴とする請求項６に記載の分散処理システム。
【請求項８】
接続されたコンピュータのためにデータの読み出しと書き込みを行なうストレージ担当装置を機能させるためのプログラムであって、
前記ストレージ担当装置を、
接続されたコンピュータから外部記憶装置端子へ送信された通信データを受け取り、あらかじめ設定された規則で禁止されていなければ、前記外部記憶装置として機能させる手段へ渡し、禁止されていれば破棄する手段、
前記外部記憶装置として機能させる手段から送信される通信データを受け取り、あらかじめ設定された規則で禁止されていなければ、外部記憶装置端子を通して接続されたコンピュータへ送信し、禁止されていれば破棄する手段、
として機能させるためのプログラム。
【請求項９】
外部との通信、及び信用できないプログラムの実行を専用コンピュータで分散処理する方法であって、
読み出し専用メディアをＯＳの格納装置として備えている、外部との通信を担当するｒｅａｄｏｎｌｙ型のコンピュータを遠隔操作するステップと、
データ変更を禁止するソフトウェアにより変更禁止となっている外部記憶装置を備えている、信用できないプログラムの実行を担当するｒｅａｄｏｎｌｙ型のコンピュータを遠隔操作するステップとを、
ユーザが通常使用するコンピュータで実行させることを特徴とする分散処理方法。
【請求項１０】
前記ファイアウォール装置により、前記外部との通信を担当するｒｅａｄｏｎｌｙ型のコンピュータ及び前記信用できないプログラムの実行を担当するｒｅａｄｏｎｌｙ型のコンピュータから、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断することを特徴とする請求項９に記載の分散処理方法。
【請求項１１】
前記外部との通信を担当するｒｅａｄｏｎｌｙ型のコンピュータに遠隔操作によって外部との通信を行なわせる手段と、
前記信用できないプログラムの実行を担当するｒｅａｄｏｎｌｙ型コンピュータに遠隔操作によってプログラムを実行させる手段と、
ユーザが通常使用するコンピュータに、前記外部との通信を担当するｒｅａｄｏｎｌｙ型のコンピュータと前記信用できないプログラムの実行を担当するｒｅａｄｏｎｌｙ型のコンピュータを遠隔操作させる手段とを備えている分散処理システム。
【請求項１２】
前記ファイアウォール装置により、前記外部との通信を担当するｒｅａｄｏｎｌｙ型のコンピュータ及び前記信用できないプログラムの実行を担当するｒｅａｄｏｎｌｙ型のコンピュータから、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断する手段を備えていることを特徴とする請求項１１に記載の分散処理システム。
【請求項１３】
情報処理装置で常時使用される本来のＯＳとは別に、当該情報処理装置上で一時的に使用されるＯＳ上で動作するプログラムであって、
当該情報処理装置を、
読み出し専用メディアに保存されたＯＳのイメージデータを読み出す手段、
読み出し専用メディアから読み出されたＯＳのイメージデータで、内蔵された書き込み可能な外部記憶装置に格納された、当該情報処理装置で常時使用される本来のＯＳを上書きする手段、
回復処理終了ＯＫを受信すると、当該情報処理装置を再起動させる手段、
として機能させるためのプログラム。
【請求項１４】
ネットワークインターフェースとＵＳＢ周辺機器として接続可能なＵＳＢ接続端子を備えた情報処理装置であって、
当該情報処理装置をＵＳＢ接続型外部記憶装置として機能させる手段と、
ＵＳＢ接続型外部記憶装置としてＵＳＢ接続端子から、請求項１３に記載のプログラムを備えたＯＳのイメージデータを送信する手段と、
請求項１３に記載のプログラムを備えたＯＳのイメージデータを送信する手段をＯＮにしたり、ＯＦＦにしたりする手段と、
ネットワークインターフェースを通して回復処理開始を受信すると、請求項１３に記載のプログラムを備えたＯＳのイメージデータを送信する手段をＯＮにした後、ネットワークインターフェースを通して回復処理開始ＯＫを送信する手段と、
ネットワークインターフェースを通して回復処理終了を受信すると、請求項１３に記載のプログラムを備えたＯＳのイメージデータを送信する手段をＯＦＦにした後、ネットワークインターフェースを通して回復処理終了ＯＫを送信する手段と
を備えていることを特徴とするＯＳ回復担当装置。
【請求項１５】
前記ＯＳ回復担当装置が通信経路とＵＳＢケーブルで接続される情報処理装置であって、
起動用メディアとして、ＵＳＢ接続型外部記憶装置を第１の優先順位に、内蔵された書き込み可能な外部記憶装置を第２の優先順位に設定する手段と、
読み出し専用メディアにＯＳのイメージデータを保存する手段と、
ファイルの書き込みや変更をチェックし、あらかじめ設定された規則で禁止された書き込みや変更があれば、前記ＯＳ回復担当装置に回復処理開始を送信する手段と、
回復処理開始ＯＫを受信すると、当該情報処理装置を再起動させる手段と、
当該情報処理装置を、遠隔操作を受ける遠隔操作サーバとして機能させる手段と、
当該情報処理装置を、ファイル共有サーバとして機能させる手段と
を備えていることを特徴とするｗｒｉｔａｂｌｅ型情報処理装置。
【請求項１６】
外部との通信、及び信用できないプログラムの実行を専用コンピュータで分散処理する方法であって、
外部との通信を担当する、請求項１５に記載のｗｒｉｔａｂｌｅ型情報処理装置を遠隔操作するステップと、
信用できないプログラムの実行を担当する、請求項１５に記載のｗｒｉｔａｂｌｅ型情報処理装置を遠隔操作するステップと
を、ユーザが通常使用するコンピュータで実行させることを特徴とする分散処理方法。
【請求項１７】
前記ファイアウォール装置により、外部との通信を担当する請求項１５に記載のｗｒｉｔａｂｌｅ型情報処理装置、及び、信用できないプログラムの実行を担当する請求項１５に記載のｗｒｉｔａｂｌｅ型情報処理装置から、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断することを特徴とする請求項１６に記載の分散処理方法。
【請求項１８】
遠隔操作によって、外部との通信を担当する請求項１５に記載のｗｒｉｔａｂｌｅ型情報処理装置に外部との通信を行なわせる手段と、
遠隔操作によって、信用できないプログラムの実行を担当する請求項１５に記載のｗｒｉｔａｂｌｅ型情報処理装置にプログラムを実行させる手段と、
ユーザが通常使用するコンピュータに、外部との通信を担当する請求項１５に記載のｗｒｉｔａｂｌｅ型情報処理装置と信用できないプログラムの実行を担当する請求項１５に記載のｗｒｉｔａｂｌｅ型情報処理装置を遠隔操作させる手段と
を備えている分散処理システム。
【請求項１９】
前記ファイアウォール装置により、外部との通信を担当する請求項１５に記載のｗｒｉｔａｂｌｅ型情報処理装置及び信用できないプログラムの実行を担当する請求項１５に記載のｗｒｉｔａｂｌｅ型情報処理装置から、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断する手段を備えていることを特徴とする請求項１８に記載の分散処理システム。
【請求項２０】
リムーバブル接続型の書き込み可能な外部記憶装置が接続可能な接続端子を備えた情報処理装置であって、
起動用メディアとして、当該接続端子に接続されるリムーバブル接続型外部記憶装置を第１の優先順位にし、その他のメディアからは起動しないように設定する手段と、
当該情報処理装置を、遠隔操作を受ける遠隔操作サーバとして機能させる手段と、
ホームページを閲覧する手段と、
メールを送受信する手段と、
当該情報処理装置を、ファイル共有サーバとして機能させる手段と
を備えていることを特徴とするリムーバブル型コミュニケーション担当情報処理装置。
【請求項２１】
外部との通信、及び信用できないプログラムの実行を専用コンピュータで分散処理する方法であって、
外部との通信を担当する、請求項２０に記載のリムーバブル型コミュニケーション担当情報処理装置を遠隔操作するステップと、
リムーバブル接続型外部記憶装置をＯＳの唯一の格納装置として備えている、信用できないプログラムの実行を担当するリムーバブル型情報処理装置を遠隔操作するステップと
を、ユーザが通常使用するコンピュータで実行させることを特徴とする分散処理方法。
【請求項２２】
前記ファイアウォール装置により、外部との通信を担当する請求項２０に記載のリムーバブル型コミュニケーション担当情報処理装置、及び、前記信用できないプログラムの実行を担当するリムーバブル型情報処理装置から、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断することを特徴とする請求項２１に記載の分散処理方法。
【請求項２３】
外部との通信を担当する請求項２０に記載のリムーバブル型コミュニケーション担当情報処理装置に遠隔操作によって外部との通信を行なわせる手段と、
前記信用できないプログラムの実行を担当するリムーバブル型情報処理装置に遠隔操作によってプログラムを実行させる手段と、
ユーザが通常使用するコンピュータに、外部との通信を担当する請求項２０に記載のリムーバブル型コミュニケーション担当情報処理装置と前記信用できないプログラムの実行を担当するリムーバブル型情報処理装置を遠隔操作させる手段とを備えている分散処理システム。
【請求項２４】
前記ファイアウォール装置により、外部との通信を担当する請求項２０に記載のリムーバブル型コミュニケーション担当情報処理装置、及び、前記信用できないプログラムの実行を担当するリムーバブル型情報処理装置から、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断する手段を備えていることを特徴とする請求項２３に記載の分散処理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザが通常使用するコンピュータを、侵害者の攻撃から守るため、外部との通信及び信用できないプログラムの実行を、通常使用するコンピュータ以外の、侵害者により改変されたり利用されたりすることを防ぐ機構を備えた専用のコンピュータシステムで行なう方法及びシステム並びにそれに使用する装置及びプログラムに関する。
【背景技術】
【０００２】
ユーザが、文書作成等の業務や、ホームページ閲覧、ｅメールのやり取り等に使用するコンピュータは、ホームページでユーザの知らない間に悪意あるプログラムをダウンロードさせられたり、悪意あるプログラムを添付されたメールを送られたりと、侵害者による様々な種類の攻撃に日々さらされている（非特許文献１参照）。
【０００３】
侵害者による攻撃を防ぐためには、一般的に、ファイアウォール、ウイルス対策システムが使用されてきた。ファイアウォールは、侵害者が、インターネットからコンピュータに対して行なわれる不正アクセスを遮断するためには有効であるが、ホームページ閲覧やメールのやり取りにおいては、コンピュータからインターネット上の多数のサイトへアクセスしたり、不特定多数のサイトからのメールを受信する必要があるので、その有効性は必ずしも高くない。
【０００４】
ウイルス対策システムは、データの中身をチェックし、ウイルスが発見されれば通信遮断やデータ破棄等を行なう機構であり、ソフトウェアとしてコンピュータにインストールして使用するウイルス対策ソフトや、専用ハードウェアとしてウイルスチェックを行なう装置等が存在する。例えば、特許文献１には、ファイルに対するウィルス感染をチェックするウィルスチェッカと、前記ウィルスチェッカによりウィルス感染が検出されたファイルとそのウィルス情報を、記憶装置において実行不可に設定された記憶領域に移動させる装置とその制御方法が記載されている。また、特許文献２には、情報処理装置に接続可能な記憶装置のレスポンス速度の低下を抑制しつつウィルス感染を防止するために、記憶領域への書き込み要求の対象のデータについて、コンピュータウィルスを含むか否かの監視を行う監視部を含む情報システムが記載されている。
【０００５】
ウイルス対策システムは、受信されるデータや保存されるデータの中身を解析し、既知のウイルスのパターンが発見されれば通信遮断やデータ破棄等を行なうので、コンピュータによるホームページ閲覧やメールのやり取りの際に侵害者によって行なわれる攻撃からの防御において有効である。
【０００６】
しかしながら、これらのシステムは、既知のウイルスに対してのみ有効なので、未知のウイルス、あるいは、未知の攻撃に対しては無力である。したがって、新種のウイルスが登場してからデータベースに登録されるまでに起きる感染や、標的型攻撃のようにウイルスが一般に広く配布されないケースでは、コンピュータを侵害者の攻撃から守る有効な方法は、これまで存在しなかったといってよい。
【先行技術文献】
【特許文献】
【０００７】
【特許文献１】特開２０１２−１８１８７８号公報
【特許文献２】特開２０１２−１０３９５０号公報
【非特許文献】
【０００８】
【非特許文献１】独立行政法人情報処理推進機構技術本部 セキュリティセンター著  「コンピュータウイルス・不正アクセスの届出状況および相談状況 [2013 年第 2 四半期（4 月〜6 月）]」  http://www.ipa.go.jp/files/000031943.pdf  2013 年 7 月 18 日
【発明の概要】
【発明が解決しようとする課題】
【０００９】
現在、文書作成等の業務や、ホームページ閲覧、ｅメールのやり取り等に使用するコンピュータを侵害者の攻撃から守る方法としては、ファイアウォールやウイルス対策ソフト等がある。これらは、例えば、危険なサイトのＩＰアドレスのリストや、ウイルス定義ファイル等という形で既知の危険をデータベース化し、当該データベースに基づいて、危険なサイトへのアクセスを遮断したり、ウイルスのファイルを排除したりするものである。
【００１０】
既知の危険のデータベースに基づいて動作するため、ファイアウォールやウイルス対策ソフトは、未知のサイト、未知のウイルス、あるいは未知の攻撃に対しては対処できないという問題がある。したがって、新種のウイルスが登場してからデータベースに登録されるまでに起きる感染、ウイルスが特定の組織等に対してのみ使用され広く一般に配布されない標的型攻撃のようなケース等に対しては、コンピュータを侵害者の攻撃から守る有効な方法は、これまで存在しなかったといってよい。つまり、既知の危険を避けようとするファイアウォールやウイルス対処ソフトだけでは、コンピュータを守ることが困難なケースが多々存在する。
【００１１】
更に、ウイルス対策ソフト等はコンピュータのＣＰＵやメモリ等のリソースを消費するため、古いコンピュータやスペックの低いコンピュータでは業務に使用するソフトウェアの動作が遅くなる等、通常業務の遂行に支障が出ることもある。
【００１２】
これらの問題を解決し、未知のウイルス、あるいは、未知の攻撃に対しても有効な方法であって、通常業務を遂行するコンピュータのリソース消費を小さくする方法を開発するため、本発明では、既知の危険を回避するという考え方とは根本的に異なる分散処理型の考え方を採用する。
【００１３】
現在、文書作成、表計算、プレゼンテーション資料作成、ホームページ閲覧、メールの送受信等、多数の様々な業務を同一のコンピュータ上で行なうことが一般的である。しかし、１台のコンピュータ上で行なっている業務の中には、コンピュータ内部での文書作成や表計算等、侵害者による攻撃を受けることがない安全なものと、ホームページ閲覧やメールのやり取り等、侵害者による攻撃を受けるリスクのあるものがある。
【００１４】
安全な業務とリスクのある業務を１台のコンピュータの単一の基本ソフト（以下、ＯＳという）上で行なう集中処理型のシステムでは、ＯＳやその他のソフトウェアの一つにでも重大なセキュリティホールがあれば、全システムが攻撃を受け、攻撃が成功すればシステム全体にわたって、データの窃取、改竄等の損害が及ぶ。また、各種ログも同一のシステム上で保存していれば、ログも侵害者により抹消されて発見が遅れ、発見しても侵害者が何を行なったかの解析が不可能になる。そのため、現在多用されている集中処理型のシステムでは、常にＯＳや各種ソフトウェアのセキュリティホールを埋めるための修正プログラムを当て続け、ウイルス対策ソフトウェア等で常時システム全体を監視する必要がある。
【００１５】
もし、ユーザが通常使用するコンピュータ上では、文書作成や表計算等の安全な業務のみ行い、ホームページ閲覧やメールのやり取り等のリスクのある業務は別のコンピュータ上で行なうようにすれば、ユーザが通常使用するコンピュータには侵害者によって攻撃される危険がなくなる。つまり、この分散処理型のシステムでは、リスクのある業務を、ユーザが通常使用するコンピュータ以外の専用コンピュータで実行することにより、当該専用コンピュータをいわば身代わりとして、通常使用するコンピュータを守ることができる。
【００１６】
リスクのある業務としては、ホームページ閲覧やメールのやり取り等、外部とのコミュニケーションを実行するものと、外部から持ち込まれ、完全には信用できないプログラムを実行するものが考えられる。したがって、上記専用コンピュータとしては、コミュニケーションを担当する専用コンピュータと、プログラム実行を担当する専用コンピュータの２つが必要となる。これらの専用コンピュータには、コミュニケーションを実行するための最小限のデータと完全には信用できないプログラム以外のデータは保存されない。
【００１７】
上述のように、攻撃のリスクがある業務を専用コンピュータに分離してしまうことにより、ユーザが通常使用するコンピュータでは、ＯＳや各種ソフトウェアのセキュリティホールを埋めるための修正プログラムを当て続けたり、ウイルス対策ソフトウェア等で常時システム全体を監視したりする必要がなくなる。そのようなことをしなくても、外部とのコミュニケーションや信用できないプログラムの実行は全て別のコンピュータで行なわれるので、侵害者による攻撃が原理的に不可能であり、未知のウイルス、未知の攻撃に対しても守られる。
【００１８】
次に、攻撃のリスクが集中する、コミュニケーションを担当する専用コンピュータとプログラム実行を担当する専用コンピュータを侵害者の攻撃から守らねばならない。これらの専用コンピュータを守るためにウイルス対策ソフトを使用すれば、上述のように既知の危険のデータベースに依存してしまうため、未知のウイルス、未知の攻撃に対しては対処できないことになる。
【００１９】
そこで、本発明では根本的に考え方を変え、これら専用コンピュータで侵害者の攻撃が成功することを前提とする。侵害者の攻撃が最も成功する場合としては、侵害者が管理者権限を奪取しこれら専用コンピュータを自由に使用できることが考えられる。しかしながら、侵害者が管理者権限を奪取すること自体では問題が生じない。問題は、侵害者が管理者権限奪取後に行なう行為である。
【００２０】
侵害者が行なうことができる行為は４つある。一つは、これら専用コンピュータのＯＳへの変更である。例えば、バックドアの設置、ログの改竄等である。第２に、これら専用コンピュータの中に保存されているデータの窃取である。これにより情報漏洩が引き起こされる。第３に、ユーザが通常使用するコンピュータ等、内部ネットワーク内の他のコンピュータへの攻撃である。組織内の１代のコンピュータが乗っ取られると、そこを基点に他のコンピュータが次々に乗っ取られるということがしばしば起こる。第４に、インターネット上のコンピュータへの攻撃である。乗っ取られたコンピュータを踏み台としてインターネット上の他のコンピュータへ攻撃を行なうことはしばしば見られる。また、感染したウイルスがインターネット上の特定のサイトへＤＤｏｓ攻撃を行なうことも、この第４のケースである。
【００２１】
本発明では、侵害者による上記の４つの行為に対して防御をすることを考える。第１のＯＳへの変更に対する防御としては、ＯＳへの変更を常時監視し、危険な変更が行なわれたら速やかにＯＳをクリーンな状態に初期化してしまう方法と、そもそもＯＳを変更できないメディアに格納しておく方法がある。
【００２２】
第２のデータの窃取であるが、上述のようにこれら専用コンピュータにはそもそも最小限度のデータしか保存されていないので、万一の時も被害は最小限度に抑えられる。また、各種パスワード等は全て暗号化して保存することにより持ち出されても安全にできる。もし、侵害者がキーロガー等を設置してパスワード等を窃取しようとすれば、システムへの変更が行なわれるので、上記第１のタイプの防御により守られる。
【００２３】
第３の、通常使用するコンピュータ等への攻撃に関しては、これら専用コンピュータと通常使用するコンピュータの間にファイアウォールを設置し、通常使用するコンピュータから専用コンピュータへ行なわれるアクセスによる通信は許可するが、専用コンピュータから通常使用するコンピュータへ向けて行なわれるアクセスは全て遮断することにより、防御できる。このような場合、侵害者はファイアウォールを攻撃するが、ファイアウォールとして、ＩＰアドレスを持たず、ＴＣＰ／ＩＰ通信上は不可視のファイアウォールを使用することにより、ファイアウォールへの攻撃を防ぎ、ひいては、通常使用するコンピュータを安全に守ることが出来る。
【００２４】
第４の、インターネット上のコンピュータへの攻撃であるが、これら専用コンピュータとインターネット接続ルータの間にファイアウォールを設置する事により、最小限度に抑制できる。上記第３のタイプの防御と同様に、ＴＣＰ／ＩＰ通信上は不可視のファイアウォールを使用することにより、ファイアウォールへの攻撃を不可能とすることができるので、侵害者がどれほど努力しても攻撃を拡大することはできない。
【００２５】
以上のような考え方をすることで、たとえ侵害者がこれら専用コンピュータを乗っ取っても、侵害者の攻撃に対して十分に防御することが出来る。
【００２６】
以上述べた、通常使用するコンピュータからリスクのある業務を専用コンピュータへ分離する分散処理型システムのユーザビリティを高めるため、通常使用するコンピュータから、リスクのある業務を実行する専用コンピュータを遠隔操作するようにする。このようにすることで、通常使用するコンピュータの安全性を確保しつつ、同一の画面上で同一のキーボード、マウス等で専用コンピュータを操作できる。ホームページ閲覧等も通常使用するコンピュータ上で行なうことができ、全ての業務を１台のコンピュータ上で行なう集中型のシステムと比較して、ユーザの使い勝手を低下させないでおくことができる。
【００２７】
本発明は、上記のコンセプトに基づき、既存の方法では対応できない未知のウイルス、あるいは未知の攻撃からコンピュータを守るために、分散処理する方法及びシステム並びにそれに使用する装置及びプログラムを提供することを目的とするものである。
【課題を解決するための手段】
【００２８】
本発明に係るファイアウォール装置は、２個以上のネットワークインターフェースを備えた情報処理装置であって、ネットワークインターフェースの一部又は全部がＩＰアドレスを持たず、ブリッジ接続を使用する手段と、パケットフィルタリングを行なう手段とを備えていることを特徴とする。
【００２９】
本発明に係るストレージ担当装置は、外部記憶装置として接続可能な接続端子を備えた情報処理装置であって、当該情報処理装置を外部記憶装置として機能させる手段と、外部記憶装置としての端子と外部記憶装置として機能させる手段の間で行なわれる全ての通信をチェックし、あらかじめ設定された規則で禁止されている通信があれば、当該通信を破棄する手段とを備えていることを特徴とする。
【００３０】
本発明に係るコミュニケーション担当情報処理装置は、前記ストレージ担当装置が唯一の外部記憶装置として接続された情報処理装置であって、当該情報処理装置を、遠隔操作を受ける遠隔操作サーバとして機能させる手段と、ホームページを閲覧する手段と、メールを送受信する手段と、当該情報処理装置を、ファイル共有サーバとして機能させる手段とを備えていることを特徴とする。
【００３１】
本発明に係る分散処理方法は、外部との通信、及び信用できないプログラムの実行を専用コンピュータで分散処理する方法であって、前記コミュニケーション担当情報処理装置を遠隔操作するステップと、前記ストレージ担当装置を唯一の外部記憶装置として備える、信用できないプログラムの実行を担当するコンピュータを遠隔操作するステップとを、ユーザが通常使用するコンピュータで実行させることを特徴とする。
【００３２】
さらに、上記の分散処理方法において、前記ファイアウォール装置により、前記コミュニケーション担当情報処理装置及び前記信用できないプログラムの実行を担当するコンピュータから、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断することを特徴とする。
【００３３】
本発明に係る分散処理システムは、遠隔操作によって前記コミュニケーション担当情報処理装置に外部との通信を行なわせる手段と、遠隔操作によって前記信用できないプログラムの実行を担当するコンピュータにプログラムを実行させる手段と、ユーザが通常使用するコンピュータに、前記コミュニケーション担当情報処理装置と前記信用できないプログラムの実行を担当するコンピュータを遠隔操作させる手段とを備えている。
【００３４】
さらに、上記分散処理システムにおいて、前記ファイアウォール装置により、前記コミュニケーション担当情報処理装置及び前記信用できないプログラムの実行を担当するコンピュータから、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断する手段を備えている。
【００３５】
本発明に係るプログラムは、接続されたコンピュータのためにデータの読み出しと書き込みを行なうストレージ担当装置を機能させるためのプログラムであって、前記ストレージ担当装置を、接続されたコンピュータから外部記憶装置端子へ送信された通信データを受け取り、あらかじめ設定された規則で禁止されていなければ、前記外部記憶装置として機能させる手段へ渡し、禁止されていれば破棄する手段、前記外部記憶装置として機能させる手段から送信される通信データを受け取り、あらかじめ設定された規則で禁止されていなければ、外部記憶装置端子を通して接続されたコンピュータへ送信し、禁止されていれば破棄する手段、として機能させる。
【００３６】
本発明に係る分散処理方法は、外部との通信、及び信用できないプログラムの実行を専用コンピュータで分散処理する方法であって、読み出し専用メディアをＯＳの格納装置として備えている、外部との通信を担当するｒｅａｄｏｎｌｙ型のコンピュータを遠隔操作するステップと、データ変更を禁止するソフトウェアにより変更禁止となっている外部記憶装置を備えている、信用できないプログラムの実行を担当するｒｅａｄｏｎｌｙ型のコンピュータを遠隔操作するステップとを、ユーザが通常使用するコンピュータで実行させることを特徴とする。
【００３７】
さらに、上記分散処理方法において、前記ファイアウォール装置により、前記外部との通信を担当するｒｅａｄｏｎｌｙ型のコンピュータ及び前記信用できないプログラムの実行を担当するｒｅａｄｏｎｌｙ型のコンピュータから、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断することを特徴とする。
【００３８】
本発明に係る分散処理システムは、前記外部との通信を担当するｒｅａｄｏｎｌｙ型のコンピュータに遠隔操作によって外部との通信を行なわせる手段と、前記信用できないプログラムの実行を担当するｒｅａｄｏｎｌｙ型コンピュータに遠隔操作によってプログラムを実行させる手段と、ユーザが通常使用するコンピュータに、前記外部との通信を担当するｒｅａｄｏｎｌｙ型のコンピュータと前記信用できないプログラムの実行を担当するｒｅａｄｏｎｌｙ型のコンピュータを遠隔操作させる手段とを備えている。
【００３９】
さらに、上記分散処理システムにおいて、前記ファイアウォール装置により、前記外部との通信を担当するｒｅａｄｏｎｌｙ型のコンピュータ及び前記信用できないプログラムの実行を担当するｒｅａｄｏｎｌｙ型のコンピュータから、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断する手段を備えている。
【００４０】
本発明に係るプログラムは、情報処理装置で常時使用される本来のＯＳとは別に、当該情報処理装置上で一時的に使用されるＯＳ上で動作するプログラムであって、当該情報処理装置を、読み出し専用メディアに保存されたＯＳのイメージデータを読み出す手段、読み出し専用メディアから読み出されたＯＳのイメージデータで、内蔵された書き込み可能な外部記憶装置に格納された、当該情報処理装置で常時使用される本来のＯＳを上書きする手段、回復処理終了ＯＫを受信すると、当該情報処理装置を再起動させる手段として機能させる。
【００４１】
本発明に係るＯＳ回復担当装置は、ネットワークインターフェースとＵＳＢ周辺機器として接続可能なＵＳＢ接続端子を備えた情報処理装置であって、当該情報処理装置をＵＳＢ接続型外部記憶装置として機能させる手段と、ＵＳＢ接続型外部記憶装置としてＵＳＢ接続端子から、上記のプログラムを備えたＯＳのイメージデータを送信する手段と、上記のプログラムを備えたＯＳのイメージデータを送信する手段をＯＮにしたり、ＯＦＦにしたりする手段と、ネットワークインターフェースを通して回復処理開始を受信すると、上記のプログラムを備えたＯＳのイメージデータを送信する手段をＯＮにした後、ネットワークインターフェースを通して回復処理開始ＯＫを送信する手段と、ネットワークインターフェースを通して回復処理終了を受信すると、上記のプログラムを備えたＯＳのイメージデータを送信する手段をＯＦＦにした後、ネットワークインターフェースを通して回復処理終了ＯＫを送信する手段とを備えていることを特徴とする。
【００４２】
本発明に係るｗｒｉｔａｂｌｅ型情報処理装置は、前記ＯＳ回復担当装置が通信経路とＵＳＢケーブルで接続される情報処理装置であって、起動用メディアとして、ＵＳＢ接続型外部記憶装置を第１の優先順位に、内蔵された書き込み可能な外部記憶装置を第２の優先順位に設定する手段と、読み出し専用メディアにＯＳのイメージデータを保存する手段と、ファイルの書き込みや変更をチェックし、あらかじめ設定された規則で禁止された書き込みや変更があれば、前記ＯＳ回復担当装置に回復処理開始を送信する手段と、回復処理開始ＯＫを受信すると、当該情報処理装置を再起動させる手段と、当該情報処理装置を、遠隔操作を受ける遠隔操作サーバとして機能させる手段と、当該情報処理装置を、ファイル共有サーバとして機能させる手段とを備えていることを特徴とする。
【００４３】
本発明に係る分散処理方法は、外部との通信、及び信用できないプログラムの実行を専用コンピュータで分散処理する方法であって、外部との通信を担当する上記のｗｒｉｔａｂｌｅ型情報処理装置を遠隔操作するステップと、信用できないプログラムの実行を担当する上記のｗｒｉｔａｂｌｅ型情報処理装置を遠隔操作するステップとを、ユーザが通常使用するコンピュータで実行させることを特徴とする。
【００４４】
さらに、上記分散処理方法において、前記ファイアウォール装置により、外部との通信を担当する前記ｗｒｉｔａｂｌｅ型情報処理装置、及び、信用できないプログラムの実行を担当する前記ｗｒｉｔａｂｌｅ型情報処理装置から、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断することを特徴とする。
【００４５】
本発明に係る分散処理システムは、遠隔操作によって、外部との通信を担当する前記ｗｒｉｔａｂｌｅ型情報処理装置に外部との通信を行なわせる手段と、遠隔操作によって、信用できないプログラムの実行を担当する前記ｗｒｉｔａｂｌｅ型情報処理装置にプログラムを実行させる手段と、ユーザが通常使用するコンピュータに、外部との通信を担当する前記ｗｒｉｔａｂｌｅ型情報処理装置と信用できないプログラムの実行を担当する前記ｗｒｉｔａｂｌｅ型情報処理装置を遠隔操作させる手段とを備えている。
【００４６】
さらに、上記分散処理システムにおいて、前記ファイアウォール装置により、外部との通信を担当する前記ｗｒｉｔａｂｌｅ型情報処理装置及び信用できないプログラムの実行を担当する前記ｗｒｉｔａｂｌｅ型情報処理装置から、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断する手段を備えている。
【００４７】
本発明に係るリムーバブル型コミュニケーション担当情報処理装置は、リムーバブル接続型の書き込み可能な外部記憶装置が接続可能な接続端子を備えた情報処理装置であって、起動用メディアとして、当該接続端子に接続されるリムーバブル接続型外部記憶装置を第１の優先順位にし、その他のメディアからは起動しないように設定する手段と、当該情報処理装置を、遠隔操作を受ける遠隔操作サーバとして機能させる手段と、ホームページを閲覧する手段と、メールを送受信する手段と、当該情報処理装置を、ファイル共有サーバとして機能させる手段とを備えていることを特徴とする。
【００４８】
本発明に係る分散処理方法は、外部との通信、及び信用できないプログラムの実行を専用コンピュータで分散処理する方法であって、外部との通信を担当する、上記のリムーバブル型コミュニケーション担当情報処理装置を遠隔操作するステップと、リムーバブル接続型外部記憶装置をＯＳの唯一の格納装置として備えている、信用できないプログラムの実行を担当するリムーバブル型情報処理装置を遠隔操作するステップとを、ユーザが通常使用するコンピュータで実行させることを特徴とする。
【００４９】
さらに、上記の分散処理方法において、前記ファイアウォール装置により、外部との通信を担当する前記リムーバブル型コミュニケーション担当情報処理装置、及び、前記信用できないプログラムの実行を担当するリムーバブル型情報処理装置から、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断することを特徴とする。
【００５０】
本発明に係る分散処理システムは、外部との通信を担当する前記リムーバブル型コミュニケーション担当情報処理装置に遠隔操作によって外部との通信を行なわせる手段と、前記信用できないプログラムの実行を担当するリムーバブル型情報処理装置に遠隔操作によってプログラムを実行させる手段と、ユーザが通常使用するコンピュータに、外部との通信を担当する前記リムーバブル型コミュニケーション担当情報処理装置と前記信用できないプログラムの実行を担当するリムーバブル型情報処理装置を遠隔操作させる手段とを備えている。
【００５１】
さらに、上記の分散処理システムにおいて、前記ファイアウォール装置により、外部との通信を担当する前記リムーバブル型コミュニケーション担当情報処理装置、及び、前記信用できないプログラムの実行を担当するリムーバブル型情報処理装置から、ユーザが通常使用するコンピュータへ向けて開始されるアクセスを遮断する手段を備えている。
【発明の効果】
【００５２】
本発明では、ユーザが通常使用するコンピュータから、侵害者による攻撃のリスクがあるホームページ閲覧やメールのやり取り等の業務を別の専用コンピュータへ分離し、これら専用コンピュータをいわば身代わりとして使用する分散処理型システムにより、通常使用するコンピュータを守る。これにより侵害者からの攻撃が原理的に不可能となるため、ユーザが通常使用するコンピュータは未知のウイルス、あるいは、未知の攻撃に対しても安全となり、ＯＳや各種ソフトウェアのセキュリティホールをふさぐための修復プログラムを当て続けたり、ウイルス対策ソフトでシステム全体を常時チェックしたりする必要がなくなる。
【００５３】
副次的な効果として、ウイルス対策ソフトを使用しなくてよくなれば、本来の業務を行なうソフトウェアがウイルス対策ソフトの影響で遅くなったりすることもなくなる。また、通常使用するコンピュータの全てのリソースを本来の業務だけに使用できるようになるので、古いコンピュータをより長い期間使い続けることができ、より低いスペックのコンピュータでも使用可能となる。
【００５４】
侵害者による攻撃のリスクがある業務を実行するコンピュータに関しては、既知の危険を避けるのではなく、侵害者により管理者権限が奪われるという最悪の事態を前提として、たとえ管理者権限が奪われても問題が生じないように対策をあらかじめ施しておくことにより、未知のウイルス、あるいは、未知の攻撃に対しても安全なシステムとすることができる。
【００５５】
ユーザが通常使用するコンピュータから、攻撃のリスクがある業務を実行するコンピュータを遠隔操作することにより、通常使用するコンピュータの画面上で、通常使用するコンピュータのキーボードやマウス等を操作して、ホームページ閲覧等を行なうことができ、本発明の分散処理型システムのユーザビリティを、同一のコンピュータ上で全業務を行なう従来からの集中処理型システムのユーザビリティと比較して遜色ないものとすることが出来る。
【００５６】
ユーザが通常使用するコンピュータが古いものであったりスペックの低いものであったりした場合、リソース不足により、例えば動画を閲覧できないというような事態が起こりうる。１台のコンピュータで全業務を行なう、従来からの集中処理型システムであれば、このような場合、通常使用するコンピュータの全台を動画を閲覧できるスペックのものにリプレースしたりする必要がある。それに対して、本発明の分散処理型システムでは、ユーザが通常使用するコンピュータで遠隔操作クライアントソフトウェアが動作しさえすれば、動画を閲覧することが出来る。必要なのは、コミュニケーションを担当する専用コンピュータが動画閲覧が可能な十分なスペックのものであることだけである。したがって、本発明の分散処理型システムでは、ユーザが通常使用するコンピュータの延命または低スペック化が可能となり、コスト的なメリットもある。
【図面の簡単な説明】
【００５７】
【図１】本発明に係る第１実施形態に関するシステム構成図である。
【図２】第１実施形態に関するブロック構成図である。
【図３】コミュニケーション担当コンピュータ装置及びプログラム担当コンピュータ装置に関するブロック構成図である。
【図４】第１実施形態に関するハードウェア構成図である。
【図５】コミュニケーション担当コンピュータ装置及びプログラム担当コンピュータ装置に関するハードウェア構成図である。
【図６】ステルスファイアウォール装置に関するブロック構成図である。
【図７】セキュアストレージ担当コンピュータ装置に関するブロック構成図である。
【図８】外部記憶装置ＩＯチェックプログラムの処理フローである。
【図９】第１実施形態の変形例１に関するシステム構成図である。
【図１０】第１実施形態の変形例２に関するシステム構成図である。
【図１１】第１実施形態の変形例２におけるステルスファイアウォール装置に関するブロック構成図である。
【図１２】第１実施形態の変形例３に関するシステム構成図である。
【図１３】第２実施形態に関するシステム構成図である。
【図１４】ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ装置に関するブロック構成図である。
【図１５】ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ装置に関するハードウェア構成図である。
【図１６】ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ装置に関するブロック構成図である。
【図１７】第２実施形態の変形例１に関するシステム構成図である。
【図１８】第２実施形態の変形例３に関するシステム構成図である。
【図１９】第３実施形態に関するシステム構成図である。
【図２０】第３実施形態におけるＯＳ回復処理のための処理フローである。
【図２１】ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ装置及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ装置に関するブロック構成図である。
【図２２】ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ装置及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ装置に関するハードウェア構成図である。
【図２３】ＯＳ回復担当コンピュータ装置に関するブロック構成図である。
【図２４】ＯＳ回復担当コンピュータ装置に関するハードウェア構成図である。
【図２５】第３実施形態の変形例１に関するシステム構成図である。
【図２６】第３実施形態の変形例２に関するシステム構成図である。
【図２７】第３実施形態の変形例３に関するシステム構成図である。
【図２８】第４実施形態に関するシステム構成図である。
【図２９】リムーバブル型コミュニケーション担当コンピュータ装置及びリムーバブル型プログラム担当コンピュータ装置に関するブロック構成図である。
【図３０】リムーバブル型コミュニケーション担当コンピュータ装置及びリムーバブル型プログラム担当コンピュータ装置に関するハードウェア構成図である。
【図３１】第４実施形態の変形例１に関するシステム構成図である。
【図３２】第４実施形態の変形例２に関するシステム構成図である。
【図３３】第４実施形態の変形例３に関するシステム構成図である。
【発明を実施するための形態】
【００５８】
以下、本発明を添付図面に示す実施形態に基づいて詳しく説明する。なお、以下に説明する実施形態は、本発明を実施するにあたって好ましい具体例であるから、技術的に種々の限定がなされているが、本発明は、以下の説明において特に本発明を限定する旨明記されていない限り、これらの形態に限定されるものではない。
【００５９】
１
． 第１実施形態
（１）システムの全体構成と動作概要
図１は、第１の実施形態に関するシステムの全体構成図である。
【００６０】
本システムは、ルータ１を介してインターネットＮ１に接続している。通信経路Ｌ１は、１個以上のＬＡＮを経由する間接的なものでも、直接的な接続でもよい。また、有線でも無線でもよく、接続に使用される媒体やプロトコルはどのようなものでもよい。
【００６１】
ルータ１は、ステルスファイアウォール２に通信経路Ｌ２によって接続される。通信経路Ｌ２は、以下に記される他の通信経路Ｌ３、Ｌ５、Ｌ６、Ｌ７、Ｌ８、Ｌ９、Ｌ１１、Ｌ１２、Ｌ１３と同様に、有線のＬＡＮケーブルでも、無線ＬＡＮでもよく、また、接続される装置が対応していればＵＳＢケーブルでもよい。
【００６２】
ステルスファイアウォール２は、４つのネットワークインターフェースを持ち、通信経路Ｌ２によってルータ１と、通信経路Ｌ３によってコミュニケーション担当コンピュータ３と、通信経路Ｌ９によってプログラム担当コンピュータ５と接続し、通信経路Ｌ７によって緊急警報送信用ネットワークＮ２に接続されている。通信経路Ｌ２、通信経路Ｌ３、通信経路Ｌ９が接続する３つのネットワークインターフェースはＩＰアドレスを持たず、ブリッジデバイスとして、通信経路Ｌ２から送られてくるパケットを通信経路Ｌ３、Ｌ９に転送し、通信経路Ｌ３から送られてくるパケットを通信経路Ｌ２、Ｌ９に転送し、通信経路Ｌ９から送られてくるパケットを通信経路Ｌ２、Ｌ３に転送する。ステルスファイアウォール２は、この転送の途中でパケットを検査し、あらかじめ設定されている規則に従ってフィルタリングを行い、許可されていないパケットを廃棄し、許可されているパケットのみを通す。
【００６３】
通信経路Ｌ２、Ｌ３、Ｌ９が接続するステルスファイアウォール２の３つのネットワークインターフェースはＩＰアドレスを持たないため、ルータ１やコミュニケーション担当コンピュータ３、あるいは、プログラム担当コンピュータ５が、ステルスファイアウォール２の基本ソフト（以下、ＯＳという）とＴＣＰ／ＩＰで通信することは不可能である。つまり、ステルスファイアウォール２はＴＣＰ／ＩＰのネットワーク上で不可視であるため、他のコンピュータからいかなる攻撃も受けることがなく安全である。
【００６４】
通信経路Ｌ７が接続するステルスファイアウォール２のもう一つのネットワークインターフェースはＩＰアドレスを有し、あらかじめ設定されたパケットフィルタリング規則に基づいて管理者宛に緊急警報メールを送信する場合に使用される。また、後述するセキュアストレージ担当コンピュータ４、セキュアストレージ担当コンピュータ６、ステルスファイアウォール７が緊急警報メールをインターネットへ送信する場合にも、このネットワークインターフェースを通して転送される。
【００６５】
ステルスファイアウォール２は、インターネットからのアクセスを遮断する。また、ステルスファイアウォール２は、プログラム担当コンピュータ５から、コミュニケーション担当コンピュータ３及び緊急警報送信用ネットワークＮ２へのアクセスを遮断する。更に必要に応じてパケットフィルタリング規則を追加設定することにより、ステルスファイアウォール２は内部からインターネットへ向けての危険な、あるいは、不自然なパケットを遮断することが可能である。これにより、万一、コミュニケーション担当コンピュータ３、または、プログラム担当コンピュータ５が侵害者によって乗っ取られる等の事象が生じても、データが外部に漏洩したり、あるいは、踏み台として利用されて外部のコンピュータを攻撃したりすることを阻止できる。
【００６６】
コミュニケーション担当コンピュータ３は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、ホームページ閲覧、メール送受信、データダウンロード、ファイル共有等、外部のコンピュータとの通信に関わる作業を実行するコンピュータである。コミュニケーション担当コンピュータ３は、遠隔操作サーバプログラムを実装すると共に、Ｗｅｂブラウザ、メールソフトウェア、ＦＴＰクライアントソフトウェア、ファイル共有サーバプログラム等を実装する。
【００６７】
コミュニケーション担当コンピュータ３は、それぞれ通信経路Ｌ３と通信経路Ｌ６でステルスファイアウォール２及びステルスファイアウォール７と接続されている。
【００６８】
コミュニケーション担当コンピュータ３は、セキュアストレージ担当コンピュータ４と経路Ｌ４によって接続されている。経路Ｌ４は、コンピュータと外部記憶装置を接続するために使用される規格のものであればどのようなものでもよい。コミュニケーション担当コンピュータ３は、セキュアストレージ担当コンピュータ４以外に外部記憶装置を持たず、コミュニケーション担当コンピュータ３のＯＳ等は、全てセキュアストレージ担当コンピュータ４に保存されている。コミュニケーション担当コンピュータ３は、通常の外部記憶装置としてセキュアストレージ担当コンピュータ４を認識し、一般的にコンピュータが通常の外部記憶装置との間で使用するプロトコルによってセキュアストレージ担当コンピュータ４と通信する。したがって、万一コミュニケーション担当コンピュータ３が侵害者によって乗っ取られる等の事象が生じた際にも、コミュニケーション担当コンピュータ３がセキュアストレージ担当コンピュータ４を攻撃することは不可能である。
【００６９】
セキュアストレージ担当コンピュータ４は、独立したＣＰＵ、メモリ、外部記憶装置等を実装し、独立したＯＳによって動作するコンピュータであるが、コミュニケーション担当コンピュータ３に対しては、ハードディスク等の単なる外部記憶装置として機能する。経路Ｌ４を通してのコミュニケーション担当コンピュータ３との通信は、全て通常の外部記憶装置が行なう通信のみである。
【００７０】
セキュアストレージ担当コンピュータ４は、コミュニケーション担当コンピュータ３のＯＳを保存し、コミュニケーション担当コンピュータ３が書き出すログ等も全て保存する。セキュアストレージ担当コンピュータ４は、コミュニケーション担当コンピュータ３が行なう全てのデータ保存、変更、削除等を常に監視し、コミュニケーション担当コンピュータ３が、あらかじめ設定された規則に違反するような保存、変更、削除等を行なおうとする場合には、その保存、変更、削除を実行せず、管理者に緊急警報メールを送信する。したがって、たとえ侵害者がコミュニケーション担当コンピュータ３を攻撃し管理者権限を奪取する事象が生じても、侵害者がコミュニケーション担当コンピュータ３にバックドアを仕掛けたり、侵入の痕跡を消すためにログの改竄を行なうことを阻止することが出来る。また、侵害者がコミュニケーション担当コンピュータ３の管理者権限を奪取しても、セキュアストレージ担当コンピュータ４は、コミュニケーション担当コンピュータ３からハードディスク等の通常の外部記憶装置としてしか見えないため、侵害者がセキュアストレージ担当コンピュータ４を攻撃することは不可能である。
【００７１】
セキュアストレージ担当コンピュータ４上で管理者が許可を出せば、コミュニケーション担当コンピュータ３から、あらかじめ設定された規則に違反するような保存、変更、削除等を行なおうことができる。これにより、必要な場合には、コミュニケーション担当コンピュータ３のＯＳのアップデート等を迅速に遂行することができる。また、管理者はセキュアストレージ担当コンピュータ４上で、コミュニケーション担当コンピュータ３の保存、変更、削除等に関する規則を変更することができ、これにより、状況の変化に応じて随時柔軟に規則を最適化することが可能となる。
【００７２】
セキュアストレージ担当コンピュータ４は、管理者の操作により、コミュニケーション担当コンピュータ３の任意の時点でのＯＳのイメージを保存し、随時現在のＯＳを保存されたＯＳのイメージと入れ替えることが可能である。インストール・設定終了直後等の安全なＯＳのイメージを保存しておけば、万一コミュニケーション担当コンピュータ３が攻撃を受け、ＯＳが汚染されたような場合に、短時間で一気にＯＳをクリーンな状態に戻すことが可能となる。また、汚染されたＯＳのイメージを保存しておけば、後からゆっくりとどのような攻撃が行なわれたのかを解析することが出来る。
【００７３】
上記のコミュニケーション担当コンピュータ３のＯＳイメージの保存、入れ替えは、全てセキュアストレージ担当コンピュータ４上で行なわれるため、コミュニケーション担当コンピュータ３からは、イメージの保存や入れ替え作業が行なわれていることは全く認識できず、また、それらの作業を阻止することもできない。従って、たとえ侵害者がコミュニケーション担当コンピュータ３の管理者権限を奪取したとしても、ただちにＯＳがクリーンな状態の戻されてしまうことに対して、侵害者は何もすることが出来ない。
【００７４】
セキュアストレージ担当コンピュータ４は、ネットワークインターフェースにより通信経路Ｌ５を通して緊急警報送信用ネットワークＮ２に接続されている。管理者への緊急警報メールは、この通信経路Ｌ５を通して送信される。
【００７５】
プログラム担当コンピュータ５は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、外部から持ち込まれ、完全には信用できないプログラムを実行させるコンピュータである。プログラム担当コンピュータ５のＯＳは、完全には信用できないプログラムを実行できるＯＳであり、遠隔操作サーバプログラムを実装する。
【００７６】
プログラム担当コンピュータ５は、それぞれ通信経路Ｌ９と通信経路Ｌ１２でステルスファイアウォール２及びステルスファイアウォール７と接続されている。
【００７７】
プログラム担当コンピュータ５は、セキュアストレージ担当コンピュータ６と経路Ｌ１０によって接続されている。経路Ｌ１０は、コンピュータと外部記憶装置を接続するために使用される規格のものであればどのようなものでもよい。プログラム担当コンピュータ５は、セキュアストレージ担当コンピュータ６以外に外部記憶装置を持たず、プログラム担当コンピュータ５のＯＳ等は、全てセキュアストレージ担当コンピュータ６に保存されている。プログラム担当コンピュータ５は、通常の外部記憶装置としてセキュアストレージ担当コンピュータ６を認識し、一般的にコンピュータが通常の外部記憶装置との間で使用するプロトコルによってセキュアストレージ担当コンピュータ６と通信する。したがって、万一プログラム担当コンピュータ５が侵害者によって乗っ取られる等の事象が生じた際にも、プログラム担当コンピュータ５がセキュアストレージ担当コンピュータ６を攻撃することは不可能である。
【００７８】
セキュアストレージ担当コンピュータ６は、セキュアストレージ担当コンピュータ４と同様に、独立したＣＰＵ、メモリ、外部記憶装置等を実装し、独立したＯＳによって動作するコンピュータであるが、経路Ｌ１０上の通信は全て通常の外部記憶装置が行なう通信のみであるため、プログラム担当コンピュータ５に対しては、ハードディスク等の単なる外部記憶装置として機能する。
【００７９】
セキュアストレージ担当コンピュータ６は、プログラム担当コンピュータ５のＯＳを保存し、プログラム担当コンピュータ５が書き出すログ等も全て保存する。セキュアストレージ担当コンピュータ６は、プログラム担当コンピュータ５が行なう全てのデータ保存、変更、削除等を常に監視し、プログラム担当コンピュータ５が、あらかじめ設定された規則に違反するような保存、変更、削除等を行なおうとする場合には、その保存、変更、削除を実行せず、管理者に緊急警報メールを送信する。したがって、セキュアストレージ担当コンピュータ４と同様に、たとえ侵害者がプログラム担当コンピュータ５の管理者権限を奪取しても、侵害者がプログラム担当コンピュータ５にバックドアを仕掛けたり、侵入の痕跡を消すためにログの改竄を行なうことを阻止出来る。また、セキュアストレージ担当コンピュータ４の場合と同様に、侵害者がプログラム担当コンピュータ５からセキュアストレージ担当コンピュータ６を攻撃することは不可能である。
【００８０】
セキュアストレージ担当コンピュータ４と同様に、セキュアストレージ担当コンピュータ６上で管理者が許可を出すことにより、プログラム担当コンピュータ５から、あらかじめ設定された規則に違反するような保存、変更、削除等を行なおうことができるので、プログラム担当コンピュータ５のＯＳのアップデート等を迅速に遂行可能である。また、管理者はセキュアストレージ担当コンピュータ６上で、プログラム担当コンピュータ５の保存、変更、削除等に関する規則を変更することがでるので、随時柔軟に規則を最適化することができる。
【００８１】
セキュアストレージ担当コンピュータ６は、ネットワークインターフェースにより通信経路Ｌ１１を通して緊急警報送信用ネットワークＮ２に接続されている。管理者への緊急警報メールは、この通信経路Ｌ１１を通して送信される。
【００８２】
ステルスファイアウォール７は、４つのネットワークインターフェースを持ち、通信経路Ｌ６によってコミュニケーション担当コンピュータ３と、通信経路Ｌ１２によってプログラム担当コンピュータ５と、通信経路Ｌ１３によってコンピュータＰＣ８１、・・・、ＰＣ８ｋが接続されている内部ネットワークＮ３と接続し、通信経路Ｌ８によって緊急警報送信用ネットワークＮ２に接続されている。ステルスファイアウォール２の場合と同様に、通信経路Ｌ６、Ｌ１２、Ｌ１３が接続する３つのネットワークインターフェースはＩＰアドレスを持たず、それぞれのネットワークインターフェースに送られてくるパケットをあらかじめ設定されている規則に従ってフィルタリングし、当該ネットワークインターフェース以外のネットワークインターフェースに転送する。
【００８３】
ステルスファイアウォール７は、ステルスファイアウォール２と同様に、ＴＣＰ／ＩＰのネットワーク上で不可視であるため、コミュニケーション担当コンピュータ３やプログラム担当コンピュータ５、あるいは、コンピュータＰＣ８１、・・・、ＰＣ８ｋからいかなる攻撃も受けることがなく安全である。
【００８４】
通信経路Ｌ８が接続するステルスファイアウォール７のもう一つのネットワークインターフェースは、ステルスファイアウォール２と同様にＩＰアドレスを有し、緊急警報メールを送信する場合に使用される。
【００８５】
ステルスファイアウォール７は、コミュニケーション担当コンピュータ３及びプログラム担当コンピュータ５からのアクセスを遮断する。これにより、万一コミュニケーション担当コンピュータ３又はプログラム担当コンピュータ５が侵害者によって乗っ取られる等の事象が生じても、侵害者が更にコンピュータＰＣ８１、・・・、ＰＣ８ｋを攻撃することを阻止できる。また、ステルスファイアウォール７は、内部ネットワークＮ３からの危険な、あるいは、不自然なパケットを遮断することにより、意図的あるいは意図せざる外部への攻撃やデータ流出を防止することが出来る。
【００８６】
コンピュータＰＣ８１、・・・、ＰＣ８ｋは、パーソナルコンピュータ又はサーバであり、遠隔操作クライアントソフトウェアを実装する。
【００８７】
コンピュータＰＣ８１、・・・、ＰＣ８ｋのユーザは、ホームページ閲覧、メール送受信、データダウンロード、ファイル共有等、外部のコンピュータとの通信に関わる作業を行なう際には、コンピュータＰＣ８１、・・・、ＰＣ８ｋ上で直接実行せず、コンピュータＰＣ８１、・・・、ＰＣ８ｋの遠隔操作クライアントソフトウェアを使用してコミュニケーション担当コンピュータ３を遠隔操作し、コミュニケーション担当コンピュータ３上で実行する。これにより、ユーザが外部のコンピュータと通信する際に侵害者によって行なわれる全ての攻撃はコミュニケーション担当コンピュータ３に対して実行されることになるので、コミュニケーション担当コンピュータ３を言わば身代わりとして、コンピュータＰＣ８１、・・・、ＰＣ８ｋを守ることが出来る。また、万一攻撃によってコミュニケーション担当コンピュータ３が完全に乗っ取られてしまい、侵害者がコミュニケーション担当コンピュータ３からコンピュータＰＣ８１、・・・、ＰＣ８ｋを攻撃しようとしても、ステルスファイアウォール７によりコミュニケーション担当コンピュータ３からコンピュータＰＣ８１、・・・、ＰＣ８ｋへのアクセスが遮断されるので、攻撃は不可能であり、コンピュータＰＣ８１、・・・、ＰＣ８ｋは安全である。
【００８８】
コンピュータＰＣ８１、・・・、ＰＣ８ｋのユーザは、外部から持ち込まれる等により、完全には信用できないプログラムを実行する際には、コンピュータＰＣ８１、・・・、ＰＣ８ｋ上で直接実行せず、コンピュータＰＣ８１、・・・、ＰＣ８ｋの遠隔操作クライアントソフトウェアを使用してプログラム担当コンピュータ５を遠隔操作し、プログラム担当コンピュータ５上で実行する。これにより、完全には信用できないプログラムに悪意あるプログラムが含まれていた場合にも、悪意あるプログラムによってなされる全ての活動はプログラム担当コンピュータ５に対して実行されることになるので、プログラム担当コンピュータ５を言わば身代わりとして、コンピュータＰＣ８１、・・・、ＰＣ８ｋを守ることが出来る。また、万一悪意あるプログラムによってプログラム担当コンピュータ５が完全に乗っ取られてしまい、悪意あるプログラムがプログラム担当コンピュータ５から更にコンピュータＰＣ８１、・・・、ＰＣ８ｋを攻撃しようとしても、ステルスファイアウォール７によりプログラム担当コンピュータ５からコンピュータＰＣ８１、・・・、ＰＣ８ｋへのアクセスが遮断されるので、攻撃は不可能であり、コンピュータＰＣ８１、・・・、ＰＣ８ｋは安全である。
【００８９】
コンピュータＰＣ８１、・・・、ＰＣ８ｋのユーザは、遠隔操作によりコミュニケーション担当コンピュータ３上で取得したプログラムを、ファイル共有等により容易にプログラム担当コンピュータ５へ移動し、遠隔操作によりプログラム担当コンピュータ５上で実行することが出来る。これにより、ユーザは、コンピュータＰＣ８１、・・・、ＰＣ８ｋの画面上で、ホームページ閲覧、メール送受信、データダウンロード、ファイル共有等により完全には信用できないプログラムを取得して直ちに実行することができ、同時に、これらの作業の過程で悪意あるプログラムが活動してもコンピュータＰＣ８１、・・・、ＰＣ８ｋを完全に守ることが可能となる。
【００９０】
なお、本実施例は未知のウイルス、未知の攻撃に対しても防御するためのものであるが、既知のウイルスに対する防御であるウイルス対策ソフトの使用を妨げるものではない。したがって、ルータ１、ステルスファイアウォール２又は７、コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５、セキュアストレージ担当コンピュータ４又は６、コンピュータＰＣ８１、・・・、ＰＣ８ｋの一部又は全部でウイルス対策ソフトを使用してもよい。
【００９１】
（２）ハードウェア構成
図２は、ルータ１、ステルスファイアウォール２及び７、セキュアストレージ担当コンピュータ４及び６、コンピュータＰＣ８１、・・・、ＰＣ８ｋの装置に関するブロック構成図である。
【００９２】
入力部２２及び表示部２３は、ルータ１、ステルスファイアウォール２及び７、セキュアストレージ担当コンピュータ４及び６の装置では、管理のための各種コマンドなどの入力と設定内容や稼働状況等の表示を行うためのものであり、コンピュータＰＣ８１、・・・、ＰＣ８ｋの装置では、ユーザが業務遂行のための各種入力・出力をするためのものである。ルータ１に関しては、入力部２２及び表示部２３は必ずしも存在しなくてもよい。
【００９３】
記憶部２５は、ＯＳが実装され、それぞれの実現する機能に合せて、パケットフィルタプログラム、ファイル共有クライアントプログラム、セキュアストレージ監視プログラム等が保存されており、制御部２１は、記憶部２５に保存された基本ソフトを読み込んで装置全体の制御処理を行うと共に各種プログラムを読み込んでその機能を実現する。更に、セキュアストレージ担当コンピュータ４及び６では、記憶部２５に、それぞれコミュニケーション担当コンピュータ３、プログラム担当コンピュータ５の全保存データを保存する。セキュアストレージ担当コンピュータ４及び６の記憶部２５におけるコミュニケーション担当コンピュータ３、プログラム担当コンピュータ５の保存データ領域には、それぞれのＯＳが実装され、それぞれの実現する機能に合せて、遠隔操作サーバプログラム、Ｗｅｂブラウザ、メールソフトウェア、ファイル転送クライアントプログラム、ファイル共有サーバプログラム等が保存されている。
【００９４】
通信部２４は、全ての装置において各種データを送受信するためのものである。
【００９５】
図３は、コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５の装置に関するブロック構成図である。
【００９６】
入力部３２及び表示部３３は、管理のための各種コマンドなどの入力と設定内容や稼働状況等の表示を行うためのものである。
【００９７】
コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５の装置内には記憶部が存在しない。コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５の全ての保存データは、ＯＳ等も含め、それぞれセキュアストレージ担当コンピュータ４及び６に保存される。
【００９８】
通信部３４は、通信経路Ｌ３、Ｌ６、Ｌ９、Ｌ１２を通して各種データを送受信する。また、通信部３４は、コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５が、それぞれセキュアストレージ担当コンピュータ４及び６との間で保存データを読み出したり書き込んだり変更したりする際に、データの受け渡しを担当する。
【００９９】
制御部３１は、セキュアストレージ担当コンピュータ４及び６から通信部３４を通して、基本ソフトを読み込んで装置全体の制御処理を行うと共に各種プログラムを読み込んでその機能を実現する。
【０１００】
図４は、図２に示す、ルータ１、ステルスファイアウォール２及び７、セキュアストレージ担当コンピュータ４及び６、コンピュータＰＣ８１、・・・、ＰＣ８ｋの装置のブロック構成図を実現したハードウェア構成例である。制御部２１に対応するＣＰＵ４０及びメモリ４４、入力部２２に対応するキーボード４２及びマウス４３、表示部２３に対応する液晶表示パネル等のディスプレイ４１、通信部２４に対応するＬＡＮボード４５及びＵＳＢ４６、記憶部２５に対応するハードディスク４７がデータ伝送路を介して互いに接続されている。
【０１０１】
本ハードウェア構成例では、セキュアストレージ担当コンピュータ４及び６と、それぞれコミュニケーション担当コンピュータ３、プログラム担当コンピュータ５を接続しデータ伝送を行なうのはＵＳＢとなっている。そのため、セキュアストレージ担当コンピュータ４及び６のハードウェア構成例におけるＵＳＢは、ＵＳＢ  ＯＴＧであり、セキュアストレージ担当コンピュータ４及び６は、それぞれコミュニケーション担当コンピュータ３、プログラム担当コンピュータ５から、ＵＳＢ接続ハードディスクとして認識される。ただし、ここでＵＳＢを使用しているのは、単にＵＳＢを代表的なものとして取り上げているだけであり、本発明におけるコミュニケーション担当コンピュータ及びプログラム担当コンピュータとセキュアストレージ担当コンピュータの接続経路をＵＳＢに限定するものでは決してない。先にも述べたように、セキュアストレージ担当コンピュータ４及び６と、それぞれコミュニケーション担当コンピュータ３、プログラム担当コンピュータ５を接続する経路Ｌ４、Ｌ１０は、コンピュータと外部記憶装置を接続するデータ伝送路であればどのようなものでもよい。
【０１０２】
図５は、図３に示す、コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５の装置のブロック構成図を実現したハードウェア構成例である。制御部３１に対応するＣＰＵ５０及びメモリ５４、入力部３２に対応するキーボード５２及びマウス５３、表示部３３に対応する液晶表示パネル等のディスプレイ５１、通信部３４に対応するＬＡＮボード５５及びＵＳＢ５６がデータ伝送路を介して互いに接続されている。上述のごとく、本ハードウェア構成例では、コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５とセキュアストレージ担当コンピュータ４及び６をそれぞれ接続するのはＵＳＢとなっているので、保存データの読み出し、書き込み、変更はＵＳＢ５６を通して行なわれる。
【０１０３】
（３）ステルスファイアウォール
図６は、ステルスファイアウォール２及び７に関するブロック構成図を示している。ステルスファイアウォール２及び７は、上述したように、制御部６１、入力部６２、表示部６３、通信部６４及び記憶部６５を備えており、通信部６４は、Ａ端子６４ａ、Ｂ端子６４ｂ、Ｃ端子６４ｃ及びＤ端子６４ｄを備えている。記憶部６５には、ブリッジ接続プログラム、パケットフィルタプログラム及びパケットフィルタリング規則が保存されており、制御部６１に読み込まれて機能する。
【０１０４】
Ａ端子６４ａ、Ｂ端子６４ｂ、Ｃ端子６４ｃ、Ｄ端子６４ｄは、制御部６１に読み込まれたブリッジ接続プログラムによってブリッジ接続されている。すなわち、ブリッジ接続プログラムによって、これらの４つの端子の一つに到着したパケットは基本的に他の３つの端子に転送されるようになる。この端子から端子への転送の途中で、制御部６１に読み込まれたパケットフィルタプログラムがパケットの選別を行い、パケットフィルタリング規則で許可されているパケットのみを通し、禁止されているパケットを破棄する。したがって、ひとつの端子に到着したパケットの中で許可されているパケットのみが、許可されている端子へ転送され送出されることになる。
【０１０５】
Ａ端子６４ａ、Ｂ端子６４ｂ、Ｃ端子６４ｃはＩＰアドレスを持たず、Ｄ端子６４ｄのみがＩＰアドレスを有する。これにより、Ａ端子６４ａ、Ｂ端子６４ｂ、Ｃ端子６４ｃはＴＣＰ／ＩＰ通信において不可視となり、これらの端子が接続されているネットワークを経由してステルスファイアウォール２及び７を攻撃することは不可能となる。
【０１０６】
ステルスファイアウォール２では、通信経路Ｌ２がＡ端子６４ａに、通信経路Ｌ３がＢ端子６４ｂに、通信経路Ｌ９がＣ端子６４ｃに接続され、通信経路Ｌ７がＤ端子６４ｄに接続されている。
【０１０７】
ステルスファイアウォール２の基本的なパケットフィルタリング規則は以下である。
規則２−１．Ａ端子６４ａへ外部から到着するパケットの中、内部から行なったアクセスに対する返答のパケットのみは許可し、他は全て破棄。
規則２−２．Ａ端子６４ａで内部から外部へ送出されるパケットの中、許可されているＩＰアドレスとポート番号へのパケットは送出を許可し、禁止されているパケットは破棄して送出させない。
規則２−３．Ｂ端子６４ｂとＣ端子６４ｃにそれぞれ通信経路Ｌ３と通信経路Ｌ９から送られてくるパケットの中、Ｄ端子６４ｄまたは緊急警報送信ネットワークＮ２宛てのパケットは全て破棄。
規則２−４．Ｃ端子６４ｃに到着する、コミュニケーション担当コンピュータ３宛てのパケットの中、コミュニケーション担当コンピュータ３からのアクセスに対する返答のパケットのみは許可し、他は全て破棄。
規則２−５．Ｄ端子６４ｄに到着するパケットは全てＡ端子６４ａで送出され、Ｂ端子６４ｂとＣ端子６４ｃでは送出されない。
規則２−６．Ｄ端子６４ｄのＩＰアドレスから送信されるパケットは全てＡ端子６４ａで送出され、Ｂ端子６４ｂとＣ端子６４ｃでは送出されない。
【０１０８】
ステルスファイアウォール７では、通信経路Ｌ１３がＡ端子６４ａに、通信経路Ｌ６がＢ端子６４ｂに、通信経路Ｌ１２がＣ端子６４ｃに接続され、通信経路Ｌ８がＤ端子６４ｄに接続されている。
【０１０９】
ステルスファイアウォール７の基本的なパケットフィルタリング規則は以下である。
規則７−１．Ａ端子６４ａで内部ネットワークＮ３からコミュニケーション担当コンピュータ３又はプログラム担当コンピュータ５宛てのパケットは全て許可。
規則７−２．Ａ端子６４ａで内部ネットワークＮ３から、コミュニケーション担当コンピュータ３及びプログラム担当コンピュータ５以外のノードへアクセスするパケットに関しては、許可されているＩＰアドレスとポート番号へのパケットは許可し、禁止されているパケットは破棄。
規則７−３．Ｂ端子６４ｂに到着する、コミュニケーション担当コンピュータ３からのパケットの中、内部ネットワークＮ３からのアクセスに対する返答のパケットのみは許可し、他は破棄。
規則７−４．Ｂ端子６４ｂでは、プログラム担当コンピュータ５宛てのパケットは送出を禁止。
規則７−５．Ｂ端子６４ｂでは、プログラム担当コンピュータ５からのパケットは送出を禁止。
規則７−６．Ｃ端子６４ｃに到着する、プログラム担当コンピュータ５からのパケットの中、内部ネットワークＮ３からのアクセスに対する返答のパケットのみは許可し、他は破棄。
規則７−７．Ｃ端子６４ｃでは、コミュニケーション担当コンピュータ３宛てのパケットは送出を禁止。
規則７−８．Ｃ端子６４ｃでは、コミュニケーション担当コンピュータ３からのパケットは送出を禁止。
規則７−９．Ｂ端子６４ｂとＣ端子６４ｃに到着するパケットの中、Ｄ端子６４ｄまたは緊急警報送信ネットワークＮ２宛てのパケットは全て破棄。
規則７−１０．Ｃ端子６４ｃに到着するパケットの中、コミュニケーション担当コンピュータ３宛てのパケットは全て破棄。
規則７−１１．Ｄ端子６４ｄのＩＰアドレスから送信されるパケットは全て送出を許可。
【０１１０】
（４）セキュアストレージ担当コンピュータ
図７は、セキュアストレージ担当コンピュータ４及び６に関するブロック構成図を示している。セキュアストレージ担当コンピュータ４及び６は、上述したように、制御部７１、入力部７２、表示部７３、通信部７４及び記憶部７５を備えており、通信部７４は、外部記憶装置用端子７４ａを備えている。外部記憶装置用端子７４ａを通して、コミュニケーション担当コンピュータ３又はプログラム担当コンピュータ５によって行なわれる保存データの読み出しと書き込みのための全てのデータ伝送が行なわれる。記憶部７５には、外部記憶装置ドライバプログラム、外部記憶装置ＩＯチェックプログラム及び外部記憶装置ＩＯチェック規則が保存されており、制御部７１に読み込まれて機能する。また、記憶部７５には、外部記憶装置として機能するために、コミュニケーション担当コンピュータ３又はプログラム担当コンピュータ５の保存データを保存するための外部記憶装置用保存領域７５ａが存在する。
【０１１１】
外部記憶装置ドライバプログラムは、制御部７１に読み込まれて、セキュアストレージ担当コンピュータ４及び６を外部記憶装置として機能させる。外部記憶装置ＩＯチェックプログラムは、外部記憶装置用端子７４ａと外部記憶装置ドライバプログラムの間の通信を監視し、あらかじめ設定された外部記憶装置ＩＯチェック規則によって禁止されている読み出し、書き込み、変更等の処理が行なわれる時には、外部記憶装置用端子７４ａと外部記憶装置ドライバプログラムの間の通信を遮断し、当該処理を実行させない。また、外部記憶装置ＩＯチェック規則に緊急警告メールを送信する指示があれば、送信する。
【０１１２】
このようにして、セキュアストレージ担当コンピュータは、外部記憶装置への読み出し、書き込み、変更の通信のチェックを行なうので、対象となる全ファイルの変更をチェックする侵入検知システムに比較して、高速であり、ＣＰＵ計算時間やメモリ等のリソースの消費も小さい。また、侵入検知システムは、ファイルへの変更が行なわれた後にその変更を検知しチェックを行なうので、侵害者が悪意あるファイル変更等を行なった後でしか対処できないのに対して、セキュアストレージ担当コンピュータは、読み出し、書き込み、変更が行なわれる前にチェックを行なうので、侵害者が実行する以前にその作業を阻止できる。
【０１１３】
外部記憶装置ＩＯチェックプログラムは、外部記憶装置用端子７４ａに対しては擬似的な外部記憶装置ドライバプログラムとして振る舞い通信を行なう。また、外部記憶装置ドライバプログラムに対しては、擬似的な外部記憶装置用端子として振る舞い通信を行なう。
【０１１４】
これにより、コミュニケーション担当コンピュータ３又はプログラム担当コンピュータ５から外部記憶装置用端子７４ａに送られてくる、読み出し、書き込み及び変更の指示やデータは、まず外部記憶装置ＩＯチェックプログラムに渡され、次に、外部記憶装置ＩＯチェックプログラムから外部記憶装置ドライバプログラムに渡される。また、外部記憶装置ドライバプログラムから、コミュニケーション担当コンピュータ３又はプログラム担当コンピュータ５へ送られる返答やデータは、まず外部記憶装置ＩＯチェックプログラムに渡され、次に、外部記憶装置ＩＯチェックプログラムから外部記憶装置用端子７４ａを通して、コミュニケーション担当コンピュータ３又はプログラム担当コンピュータ５へ送信される。
【０１１５】
このように、外部記憶装置ＩＯチェックプログラムは、外部記憶装置用端子７４ａと外部記憶装置ドライバプログラムの間に入り、外部記憶装置用端子７４ａと外部記憶装置ドライバプログラムの間の通信を受け渡しするのであるが、通信を受けてから渡すまでの間に、これらの通信が外部記憶装置ＩＯチェック規則で許可されているかどうかをチェックし、許可されている通信のみを渡して、許可されていない通信は破棄する。このようにして、たとえコミュニケーション担当コンピュータ３又はプログラム担当コンピュータ５の管理者権限が侵害者によって奪われても、侵害者が自由にバックドアを仕掛けたりログを改竄することは不可能となる。
【０１１６】
図８は、外部記憶装置ＩＯチェックプログラムの処理のフローである。外部記憶装置ＩＯチェックプログラムは、起動するとまず外部記憶装置ＩＯチェック規則を読み込む（Ｓ２）。次に、外部記憶装置ＩＯチェックプログラムは外部記憶装置用端子７４ａ又は外部記憶装置ドライバプログラムからの通信があるかチェックし（Ｓ４）、通信があれば、それが外部記憶装置用端子７４ａからの通信かどうかを調べる（Ｓ６）。
【０１１７】
外部記憶装置用端子７４ａからの通信であれば、それが外部記憶装置ＩＯチェック規則で許可されているものかどうかチェックし（Ｓ８）、許可されていなければ当該通信を破棄し（Ｓ１０）、許可されていれば当該通信を外部記憶装置ドライバプログラムに転送する（Ｓ１２）。また、受信した通信が外部記憶装置ドライバプログラムからのものであれば、それが外部記憶装置ＩＯチェック規則で許可されているものかどうかチェックし（Ｓ１４）、許可されていなければ当該通信を破棄し（Ｓ１８）、許可されていれば当該通信を外部記憶装置用端子７４ａに転送し（Ｓ１６）、更に外部記憶装置用端子７４ａからコミュニケーション担当コンピュータ３又はプログラム担当コンピュータ５へ送信される。
【０１１８】
これらの転送処理が終了した後で、使用した各種バッファの開放等の後処理を行い、再度、外部記憶装置ＩＯチェックプログラムは外部記憶装置用端子７４ａ又は外部記憶装置ドライバプログラムからの通信があるかのチェック（Ｓ４）に戻る。
【０１１９】
（５）変形例１
上記第１実施形態では、ステルスファイアウォール２及び７を設置しているが、これらのいずれかあるいは両方を設置しなくてもよい。ステルスファイアウォール２又は７を設置しない場合は、ステルスファイアウォールの代わりにハブを設置する。
【０１２０】
図９は、ステルスファイアウォール２及び７を設置しない場合のシステム構成図である。このシステム構成を図１のシステム構成と比較すると、ステルスファイアウォール２又は７の代わりに、ハブ８２及び８７が設置されており、システム構成を簡略化している。そのため、システム構築コストを低減することができる。
【０１２１】
また、ステルスファイアウォール２又は７の機能は、コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５、セキュアストレージ担当コンピュータ４と６及びコンピュータＰＣ８１、・・・、ＰＣ８ｋ上で、パケットフィルタを行なうファイアウォールプログラムを使用することによって代替することが出来る。
【０１２２】
ただし、万一、コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５、セキュアストレージ担当コンピュータ４と６又はコンピュータＰＣ８１、・・・、ＰＣ８ｋの管理者権限が侵害者により奪われた場合には、本変形例１の場合、管理者権限を奪われたコンピュータのファイアウォール機能も停止されたり改変されたりする恐れがあるのに対して、上記第１実施形態のシステムでは、コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５、セキュアストレージ担当コンピュータ４と６又はコンピュータＰＣ８１、・・・、ＰＣ８ｋの一部あるいは全ての管理者権限が奪われても、ステルスファイアウォール２及び７の機能には影響がない。したがって、上記第１実施形態のシステムの方がセキュリティ強度は高いと言える。
【０１２３】
（６）変形例２
上記第１実施形態では、コミュニケーション担当コンピュータ３とプログラム担当コンピュータ５は独立したコンピュータとなっているが、これらのコンピュータの有する機能を同一ののコンピュータ上に実装しても良い。このようにすると、システム構築コストを低減することができる。
【０１２４】
図１０は、コミュニケーション担当コンピュータ３とプログラム担当コンピュータ５の機能を１台のコンピュータに実装した場合のシステム構成図である。このシステム構成を図１のシステム構成と比較すると、コミュニケーション担当コンピュータ３とプログラム担当コンピュータ５が、コミュニケーション・プログラム担当コンピュータ９３の１台にまとめられており、それに伴って、通信経路Ｌ３とＬ９が１本のＬ１５に、通信経路Ｌ６とＬ１２が１本のＬ１８に、通信経路Ｌ５とＬ１１が１本のＬ１７に、そして、経路Ｌ４とＬ１０が１本のＬ１６にそれぞれまとめられ、システム構成を簡略化している。そのため、システム構築コストを低減することができる。
【０１２５】
図１１は、ステルスファイアウォール９２及び９５に関するブロック構成図である。このブロック構成を図６のブロック構成と比較すると、図６におけるＩＰアドレスを持たない３個の端子、Ａ端子６４ａ、Ｂ端子６４ｂ、Ｃ端子６４ｃの中、Ｃ端子がなくなり、ＩＰアドレスを持たない端子が、Ａ端子１０４ａ、Ｂ端子１０４ｂの２個となっている。これは、通信経路Ｌ３とＬ９が１本のＬ４３に、また、通信経路Ｌ６とＬ１２が１本のＬ４６にまとめられたために、ＩＰアドレスを持たない端子が１個不要になったためである。これに伴い、パケットフィルタリング規則に関しても、上記第１実施形態で記載した規則からＣ端子６４ｃに関する規則を除いた規則となる。
【０１２６】
コミュニケーション・プログラム担当コンピュータ９３のブロック構成図は、図３と同様であり、装置内部に記憶部が存在しない。コミュニケーション・プログラム担当コンピュータ９３の全ての保存データは、ＯＳ等も含め、セキュアストレージ担当コンピュータ９４に保存される。
【０１２７】
コミュニケーション・プログラム担当コンピュータ９３には、遠隔操作サーバプログラム、Ｗｅｂブラウザ、メールソフトウェア、ＦＴＰクライアントソフトウェア、ファイル共有サーバプログラム等が実装されている。コミュニケーション・プログラム担当コンピュータ９３は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、ホームページ閲覧、メール送受信、データダウンロード、ファイル共有等、外部のコンピュータとの通信に関わる作業を実行すると共に、外部から持ち込まれ、完全には信用できないプログラムを実行する。コミュニケーション・プログラム担当コンピュータ９３のＯＳは、完全には信用できないプログラムを実行できるＯＳである。
【０１２８】
セキュアストレージ担当コンピュータ９４は、上記第１実施形態のセキュアストレージ担当コンピュータ４及び６と同様であるので、説明を省略する。
【０１２９】
（７）変形例３
上記第１実施形態では、プログラム担当コンピュータ５及びセキュアストレージ担当コンピュータ６を設置しているが、これらを設置しなくてもよい。これにより、システム構築コストを低減することができる。
【０１３０】
図１２は、プログラム担当コンピュータ５を設置しない場合のシステム構成図を示している。プログラム担当コンピュータ５を設置しない場合、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、外部から持ち込まれ、完全には信用できないプログラムを実行させるコンピュータは存在しなくなる。これに伴い、完全には信用できないプログラムに悪意あるプログラムが含まれていた場合に、もし当該プログラムをコンピュータＰＣ８１、・・・、ＰＣ８ｋ上で実行すれば、悪意あるプログラムの活動によりコンピュータＰＣ８１、・・・、ＰＣ８ｋで損害が生じることを阻止できなくなる。
【０１３１】
（８）変形例４
上記第１実施形態では、ルータ１、ステルスファイアウォール２及び７、コミュニケーション担当コンピュータ３、プログラム担当コンピュータ５、セキュアストレージ担当コンピュータ４及び６並びにコンピュータＰＣ８１、・・・、ＰＣ８ｋは、物理的に独立したコンピュータとして設置しているが、これらの一部又は全部は、仮想マシンでもよい。仮想マシンは、例えば、ＶＭｗａｒｅ（登録商標）、Ｘｅｎ（登録商標）、Ｈｙｐｅｒ−Ｖ（登録商標）等の仮想化ソフトウェアによって実現される。
【０１３２】
２．第２実施形態
（１）システムの全体構成と動作概要
図１３は、第２実施形態に関するシステムの全体構成図である。このシステム構成を図１のシステム構成と比較すると、セキュアストレージ担当コンピュータ４及び６を使用せず、コミュニケーション担当コンピュータ３の代わりにｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３を使用し、プログラム担当コンピュータ５の代わりにｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５を使用している。また、セキュアストレージ担当コンピュータ４及び６を使用しないことに伴い、通信経路Ｌ５とＬ１１及び経路Ｌ４とＬ１０が存在しなくなる。
【０１３３】
ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３は、ＤＶＤ−ＲＯＭ等の読み出し専用メディアにＯＳの主要部分を保存し、当該メディアから起動する。読み出し専用メディアからＯＳを起動することにより、たとえ侵害者がｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３の管理者権限を奪取したとしても、バックドアを仕掛ける等の変更は不可能となっている。ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３のＯＳとしては、Ｌｉｎｕｘ（登録商標）等のＵＮＩＸ（登録商標）系ＯＳを使用する。
【０１３４】
ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、ホームページ閲覧、メール送受信、データダウンロード、ファイル共有等、外部のコンピュータとの通信に関わる作業を実行する。これにより、ユーザが外部のコンピュータと通信する際に侵害者によって行なわれる全ての攻撃はｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３に対して実行されることになるので、コミュニケーション担当コンピュータ１１３を言わば身代わりとして、コンピュータＰＣ８１、・・・、ＰＣ８ｋを守ることが出来る。ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３は、遠隔操作サーバプログラムを実装すると共に、Ｗｅｂブラウザ、メールソフトウェア、ＦＴＰクライアントソフトウェア、ファイル共有サーバプログラム等を実装する。
【０１３５】
ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５は、ハードディスクやＳＳＤ等の外部記憶装置にＯＳを格納するが、Ｍｉｃｒｏｓｏｆｔ社のＥＷＦ（Ｅｎｈａｎｃｅｄ  Ｗｒｉｔｅ  Ｆｉｌｔｅｒ）やＦａｒｏｎｉｃｓ社のＤｅｅｐ  Ｆｒｅｅｚｅ（登録商標）等のプログラムを使用することによって当該外部記憶装置への変更を不可能としている。
【０１３６】
ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、外部から持ち込まれ、完全には信用できないプログラムを実行させるコンピュータである。これにより、完全には信用できないプログラムに悪意あるプログラムが含まれていた場合にも、悪意あるプログラムによってなされる全ての活動はｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５に対して実行されることになるので、ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５を言わば身代わりとして、コンピュータＰＣ８１、・・・、ＰＣ８ｋを守ることが出来る。ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５のＯＳは、完全には信用できないプログラムを実行できるＯＳであり、遠隔操作サーバプログラムを実装する。
【０１３７】
ステルスファイアウォール２及び７並びにルータ１に関しては、第１実施形態のステルスファイアウォール２及び７並びにルータ１と同様であるので、説明を省略する。
【０１３８】
なお、本実施例は未知のウイルス、未知の攻撃に対しても防御するためのものであるが、既知のウイルスに対する防御であるウイルス対策ソフトの使用を妨げるものではない。したがって、ルータ１、ステルスファイアウォール２又は７、ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３、ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５、コンピュータＰＣ８１、・・・、ＰＣ８ｋの一部又は全部でウイルス対策ソフトを使用してもよい。
【０１３９】
（２）ハードウェア構成
ルータ１、ステルスファイアウォール２及び７、コンピュータＰＣ８１、・・・、ＰＣ８ｋの装置に関するブロック構成図及びハードウェア構成例は、第１実施形態と同様であるので、説明を省略する。
【０１４０】
図１４は、ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３の装置に関するブロック構成図を示している。ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３は、制御部１２１、入力部１２２、表示部１２３、通信部１２４及び記憶部１２５を備えている。記憶部１２５には、読み出し専用メディア１２５ａが実装されており、当該メディアにはＯＳ等が格納されている。ＯＳは、読み出し専用メディア１２５ａから制御部１２１に読み込まれて機能する。
【０１４１】
図１５は、図１４に示すｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３のブロック構成図を実現したハードウェア構成例である。制御部１２１に対応するＣＰＵ１３０及びメモリ１３４、入力部１２２に対応するキーボード１３２及びマウス１３３、表示部１２３に対応する液晶表示パネル等のディスプレイ１３１、通信部１２４に対応するＬＡＮボード１３５、記憶部１２５に対応するＤＶＤドライブ１３６及びハードディスク１３７がデータ伝送路を介して互いに接続されている。ＯＳは、ハードディスク１３７ではなく、ＤＶＤドライブ１３６に格納されている。
【０１４２】
図１６は、ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５の装置に関するブロック構成図である。ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５は、制御部１４１、入力部１４２、表示部１４３、通信部１４４及び記憶部１４５を備えている。記憶部１４５には、ＥＷＦ等のプログラムが格納されており、制御部１２１に読み込まれて機能する。
【０１４３】
（３）変形例１
上記第２実施形態では、ステルスファイアウォール２及び７を設置しているが、これらのいずれかあるいは両方を設置しなくてもよい。ステルスファイアウォール２又は７を設置しない場合は、ステルスファイアウォールの代わりにハブを設置する。
【０１４４】
図１７は、ステルスファイアウォール２及び７を設置しない場合のシステム構成図である。このシステム構成を図１３のシステム構成と比較すると、ステルスファイアウォール２又は７の代わりに、ハブ８２及び８７が設置されており、システム構成を簡略化している。そのため、システム構築コストを低減することができる。
【０１４５】
また、ステルスファイアウォール２又は７の機能は、ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３、ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５及びコンピュータＰＣ８１、・・・、ＰＣ８ｋ上で、パケットフィルタを行なうファイアウォールプログラムを使用することによって代替することが出来る。
【０１４６】
ただし、万一、ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３、ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５又はコンピュータＰＣ８１、・・・、ＰＣ８ｋの管理者権限が侵害者により奪われた場合には、本変形例１の場合、管理者権限を奪われたコンピュータのファイアウォール機能も停止されたり改変されたりする恐れがあるのに対して、上記第２実施形態のシステムでは、ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３、ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５又はコンピュータＰＣ８１、・・・、ＰＣ８ｋの一部あるいは全ての管理者権限が奪われても、ステルスファイアウォール２及び７の機能には影響がない。したがって、上記第２実施形態のシステムの方がセキュリティ強度は高いと言える。
【０１４７】
（４）変形例２
ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３に関しては、Ｐｕｐｐｙ  Ｌｉｎｕｘ（登録商標）やＫＮＯＰＰＩＸで行なわれるように、ＯＳを読み出し専用メディアからメモリ上のＲＡＭディスクに一旦読み込んで、そこから起動してもよい。メモリからのデータ読み出しはＤＶＤ−ＲＯＭのデータ読み出しと比較すると格段に高速なので、このようにすると、ＯＳの反応速度を高めることが出来る。
【０１４８】
しかしながら、ＤＶＤ−ＲＯＭ等の読み出し専用メディアと異なり、ＲＡＭディスクは書き込みや変更が可能なので、侵入検知システムが、常時ファイルシステムを監視し、何らかの異常な書き込みや変更があれば速やかに再起動をかける。このようにすることで、侵害者がＲＡＭディスク上のＯＳにバックドアを仕掛けるなどした場合には、速やかにＲＡＭディスク上のＯＳを読み出し専用メディアに保存されたＯＳの状態に初期化することができるので、侵害者によるシステム変更を一切許さない。
【０１４９】
（５）変形例３
上記第２実施形態では、ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５を設置しているが、これを設置しなくてもよい。これにより、システム構築コストを低減することができる。
【０１５０】
図１８は、ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５を設置しない場合のシステム構成図を示している。ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５を設置しない場合、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、外部から持ち込まれ、完全には信用できないプログラムを実行させるコンピュータは存在しなくなる。これに伴い、完全には信用できないプログラムに悪意あるプログラムが含まれていた場合に、もし完全には信用できないプログラムをコンピュータＰＣ８１、・・・、ＰＣ８ｋ上で実行すれば、悪意あるプログラムの活動によりコンピュータＰＣ８１、・・・、ＰＣ８ｋで損害が生じることを阻止できなくなる。
【０１５１】
（６）変形例４
上記第２実施形態では、ルータ１、ステルスファイアウォール２及び７、ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ１１３、ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ１１５並びにコンピュータＰＣ８１、・・・、ＰＣ８ｋは、物理的に独立したコンピュータとして設置しているが、これらの一部又は全部は、仮想マシンでもよい。仮想マシンは、例えば、ＶＭｗａｒｅ、Ｘｅｎ、Ｈｙｐｅｒ−Ｖ等の仮想化ソフトウェアによって実現される。
【０１５２】
３．第３実施形態
（１）システムの全体構成と動作概要
図１９は、第３実施形態に関するシステムの全体構成図である。第１実施形態でコミュニケーション担当コンピュータ３、プログラム担当コンピュータ５並びにセキュアストレージ担当コンピュータ４及び６を使用するのと異なり、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３、ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５並びにＯＳ回復担当コンピュータ１５４及び１５６を使用する。
【０１５３】
ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５は、ハードディスクやＳＳＤ等、書き込み可能な外部記憶装置を内蔵し、当該外部記憶装置に格納されたＯＳから起動する。同時に、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５は、ＤＶＤ−ＲＯＭ等の読み出し専用メディアも実装する。当該読み出し専用メディアには、内蔵された書き込み可能な外部記憶装置にＯＳをインストールした直後等、侵害者によって汚染されていない状態のクリーンなＯＳのイメージのコピーを格納する。
【０１５４】
ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５には、侵入検知システムが実装され、侵害者による外部記憶装置への書き込み、変更がないか常時監視する。危険な書き込み、変更が発見された場合には、侵入検知システムは、ＯＳ回復担当コンピュータ１５４又は１５６に回復処理開始を通知した後、当該侵入検知システムが稼動しているコンピュータを再起動する。ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５の中、侵入検知システムが危険な書き込みや変更を発見したコンピュータを、以下では、回復対象コンピュータという。
【０１５５】
ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５では、起動用メディアとして、ＵＳＢ接続型外部記憶装置を第１の優先順位にし、内蔵されたハードディスクやＳＳＤ等の書き込み可能な外部記憶装置を第２の優先順位にするように、ＢＩＯＳ等で設定されている必要がある。
【０１５６】
ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、ホームページ閲覧、メール送受信、データダウンロード、ファイル共有等、外部のコンピュータとの通信に関わる作業を実行する。これにより、ユーザが外部のコンピュータと通信する際に侵害者によって行なわれる全ての攻撃はｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３に対して実行されることになるので、コミュニケーション担当コンピュータ１５３を言わば身代わりとして、コンピュータＰＣ８１、・・・、ＰＣ８ｋを守ることが出来る。ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１１３は、遠隔操作サーバプログラムを実装すると共に、Ｗｅｂブラウザ、メールソフトウェア、ＦＴＰクライアントソフトウェア、ファイル共有サーバプログラム等を実装する。
【０１５７】
ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、外部から持ち込まれ、完全には信用できないプログラムを実行させるコンピュータである。これにより、完全には信用できないプログラムに悪意あるプログラムが含まれていた場合にも、悪意あるプログラムによってなされる全ての活動はｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５に対して実行されることになるので、ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５を言わば身代わりとして、コンピュータＰＣ８１、・・・、ＰＣ８ｋを守ることが出来る。ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５のＯＳは、完全には信用できないプログラムを実行できるＯＳであり、遠隔操作サーバプログラムを実装する。
【０１５８】
ＯＳ回復担当コンピュータ１５４及び１５６は、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５とそれぞれ、通信経路Ｌ２１及びＬ２３、経路Ｌ２２及びＬ２４で接続されている。通信経路Ｌ２１及びＬ２３は、ＬＡＮケーブル又は無線ＬＡＮ等であり、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５がそれぞれ、ＯＳ回復担当コンピュータ１５４又は１５６と通信するために使用される。経路Ｌ２２及びＬ２４はＵＳＢケーブルである。
【０１５９】
ＯＳ回復担当コンピュータ１５４及び１５６は、ＯＳ回復用ＯＳを格納している。ＯＳ回復用ＯＳは、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３又はｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５において、侵害者によりファイルの書き込みや変更が行なわれた場合に、ＯＳをクリーンな状態に戻すために一時的に使用されるＯＳである。
【０１６０】
ＯＳ回復担当コンピュータ１５４又は１５６は、ＵＳＢ接続型外部記憶装置として動作し、ＯＳ回復用ＯＳを提供する機能を有する。ただし、このＵＳＢ接続型外部記憶装置としてＯＳ回復用ＯＳを提供する機能は、侵入検知システムから回復処理開始を通知されるまではＯＦＦになっている。
【０１６１】
ＯＳ回復担当コンピュータ１５４及び１５６は、回復対象コンピュータ上の侵入検知システムから回復処理開始を通知されると、ＵＳＢ接続型外部記憶装置としてＯＳ回復用ＯＳを提供する機能をＯＦＦからＯＮに変更する。そして、ＯＳ回復担当コンピュータ１５４及び１５６はＵＳＢケーブルＬ２２又はＬ２４を通して、再起動する回復対象コンピュータへ、ＯＳ回復用ＯＳを起動用ＯＳとして伝送する。これにより、回復対象コンピュータが、ＯＳ回復用ＯＳで起動される。
【０１６２】
ＯＳ回復用ＯＳは、回復対象コンピュータを起動した後、ハードディスクやＳＳＤ等の内蔵された書き込み可能な外部記憶装置に格納されたＯＳを、ＤＶＤ−ＲＯＭ等の読み出し専用メディアに保存されたクリーンなＯＳで上書きする。
【０１６３】
このようにして、書き込み可能な外部記憶装置にＯＳを格納しても、万一侵害者がバックドア等を仕掛けたりログの改竄を行なえば、速やかにＯＳをクリーンな状態に戻すことが出来る。
【０１６４】
ルータ１、ステルスファイアウォール２及び７、コンピュータＰＣ８１、・・・、ＰＣ８ｋに関しては、第１実施形態と同様であるので、説明を省略する。
【０１６５】
侵害者によるシステムの改変を阻止するため、第１実施形態では、セキュアストレージ担当コンピュータを用い、第２実施形態では、読み出し専用メディアあるいは読み出し専用と同等の外部記憶装置にＯＳを格納するが、第３実施形態では、書き込み可能な外部記憶装置に起動用ＯＳを格納し、侵入検知システムが異常を検知した場合に、読み出し専用メディアに保存してあるクリーンな状態のＯＳで書き込み可能外部記憶装置を上書きしてしまうという方法をとる。
【０１６６】
なお、本実施例は未知のウイルス、未知の攻撃に対しても防御するためのものであるが、既知のウイルスに対する防御であるウイルス対策ソフトの使用を妨げるものではない。したがって、ルータ１、ステルスファイアウォール２又は７、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３、ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５、ＯＳ回復担当コンピュータ１５４及び１５６、コンピュータＰＣ８１、・・・、ＰＣ８ｋの一部又は全部でウイルス対策ソフトを使用してもよい。
【０１６７】
（２）ＯＳ回復処理の概要
図２０は、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３又はｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５のＯＳを回復する処理のフローである。ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５では、侵入検知システムが、危険なファイルの書き込みや変更が行なわれないか常時チェックしている（Ｓ３０）。
【０１６８】
侵入検知システムは、危険なファイルの書き込みや変更を発見すると、当該侵入検知システムが稼動しているコンピュータが回復対象コンピュータになったことを認識して、通信経路Ｌ２１またはＬ２３を通してＯＳ回復担当コンピュータへ回復処理開始を通知する（Ｓ３２）。
【０１６９】
回復対象コンピュータから回復処理開始を受信すると、ＯＳ回復担当コンピュータは、
ＵＳＢ接続型外部記憶装置としてＯＳ回復用ＯＳを提供する機能をＯＦＦからＯＮに変更する（Ｓ３４）。この変更が完了すると、ＯＳ回復担当コンピュータは、回復対象コンピュータ上の侵入検知システムへ回復処理開始ＯＫを通知する（Ｓ３６）。
【０１７０】
ＯＳ回復担当コンピュータから回復処理開始ＯＫを受信すると、回復対象コンピュータ上の侵入検知システムは、回復対象コンピュータを再起動させる（Ｓ３８）。
【０１７１】
上述のように、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５では、起動用メディアとして、ＵＳＢ接続型外部記憶装置を第１の優先順位にし、内蔵されたハードディスクやＳＳＤ等の書き込み可能な外部記憶装置を第２の優先順位にするように、ＢＩＯＳ等で設定されている。回復対象コンピュータが再起動する際には、ＯＳ回復担当コンピュータがＵＳＢ接続型外部記憶装置として機能しているので、回復対象コンピュータは、ＯＳ回復担当コンピュータから提供されるＯＳ回復用ＯＳで起動する（Ｓ４０）。
【０１７２】
回復対象コンピュータを起動させた後、ＯＳ回復用ＯＳは、内蔵されたハードディスクやＳＳＤ等の書き込み可能な外部記憶装置に格納されたＯＳを、読み出し専用メディアに保存されたクリーンなＯＳで上書きする（Ｓ４２）。
【０１７３】
上記の上書き処理が完了すると、回復対象コンピュータからＯＳ回復担当コンピュータへ回復処理終了が通知される（Ｓ４４）。
【０１７４】
ＯＳ回復担当コンピュータは、回復処理終了を受信すると、ＵＳＢ接続型外部記憶装置としてＯＳ回復用ＯＳを提供する機能をＯＮからＯＦＦに変更する（Ｓ４６）。この変更が完了すると、ＯＳ回復担当コンピュータは、回復対象コンピュータ上のＯＳ回復用ＯＳへ回復処理終了ＯＫを通知する（Ｓ４８）。
【０１７５】
回復処理終了ＯＫを受信すると、ＯＳ回復用ＯＳは、回復対象コンピュータを再起動させる（Ｓ５０）。
【０１７６】
ＯＳ回復担当コンピュータは、ＵＳＢ接続型外部記憶装置としてＯＳ回復用ＯＳを提供する機能がＯＦＦになっており、ＵＳＢ接続型外部記憶装置として認識されなくなっているので、回復対象コンピュータは、内蔵されたハードディスクやＳＳＤ等の書き込み可能な外部記憶装置に新たに格納されたクリーンなＯＳで起動する（Ｓ５２）。
【０１７７】
（３）ハードウェア構成
ルータ１、ステルスファイアウォール２及び７、コンピュータＰＣ８１、・・・、ＰＣ８ｋの装置に関するブロック構成図及びハードウェア構成例は、第１実施形態と同様であるので、説明を省略する。
【０１７８】
図２１は、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５の装置に関するブロック構成図を示している。ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５は、制御部１６１、入力部１６２、表示部１６３、通信部１６４及び記憶部１６５を備えている。
【０１７９】
通信部１６４には、ＵＳＢポート１６４ａが実装されており、ＯＳ回復処理が行なわれる際には、ＵＳＢポート１６４ａを通して、ＯＳ回復担当コンピュータからＯＳ回復用ＯＳが制御部１６１に読み込まれて機能する。
【０１８０】
記憶部１６５には、書き込み可能外部記憶装置１６５ａと読み出し専用メディア１６５ｂが実装されている。書き込み可能外部記憶装置１６５ａにはＯＳが格納されており、ＯＳ回復処理が行なわれる時を除いて、当該ＯＳが書き込み可能外部記憶装置１６５ａから制御部１６１に読み込まれて機能する。読み出し専用メディア１６５ｂには、侵害者によって汚染されていない状態のクリーンなＯＳのイメージのコピーを保存する。ＯＳ回復処理が行なわれる際には、ＯＳ回復用ＯＳによって、読み出し専用メディア１６５ｂに保存されたクリーンなＯＳのイメージのコピーが読み出され、書き込み可能外部記憶装置１６５ａに格納されたＯＳを上書きする。
【０１８１】
図２２は、図２１に示すｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３及びｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５のブロック構成図を実現したハードウェア構成例である。制御部１６１に対応するＣＰＵ１７０及びメモリ１７４、入力部１６２に対応するキーボード１７２及びマウス１７３、表示部１６３に対応する液晶表示パネル等のディスプレイ１７１、通信部１６４に対応するＬＡＮボード１７５及びＵＳＢ１７６（ＵＳＢ１７６はＵＳＢ１６４ａに対応する）、記憶部１６５の書き込み可能外部記憶装置１６５ａに対応するハードディスク１７７及び読み出し専用メディア１６５ｂに対応するＤＶＤドライブ１７８がデータ伝送路を介して互いに接続されている。ＯＳは、ハードディスク１７６に格納されており、クリーンなＯＳのイメージのコピーがＤＶＤドライブ１７８に保存されている。
【０１８２】
図２３は、ＯＳ回復担当コンピュータ１５４及び１５６の装置に関するブロック構成図を示している。ＯＳ回復担当コンピュータ１５４及び１５６は、制御部１８１、入力部１８２、表示部１８３、通信部１８４及び記憶部１８５を備えている。
【０１８３】
通信部１８４は、ＬＡＮポート１８４ａとＵＳＢポート１８４ｂを備えている。ＬＡＮポート１８４ａは、ＯＳ回復担当コンピュータ１５４及び１５６がそれぞれ、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３又はｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５との間で、ＯＳ回復処理の開始と終了の通信を行なうために使用される。ＵＳＢポート１８４ｂは、ＯＳ回復処理の際に、ＵＳＢ接続型外部記憶装置としてＯＳ回復用ＯＳのイメージデータを回復対象コンピュータへ伝送するために使用される。
【０１８４】
記憶部１８５には、外部記憶装置ドライバプログラムが保存されており、回復対象コンピュータから回復開始通知を受信して、ＵＳＢ接続型外部記憶装置としてＯＳ回復用ＯＳを提供する機能がＯＮになる際に、制御部１８１へ読み込まれて機能する。また、記憶部１８５には、外部記憶装置として機能するために、ＯＳ回復用ＯＳのイメージデータを保存するための外部記憶装置用保存領域１８５ａが存在する。
【０１８５】
図２４は、図２３に示すＯＳ回復担当コンピュータ１５４及び１５６のブロック構成図を実現したハードウェア構成例である。制御部１８１に対応するＣＰＵ１９０及びメモリ１９４、入力部１８２に対応するキーボード１９２及びマウス１９３、表示部１８３に対応する液晶表示パネル等のディスプレイ１９１、通信部１８４のＬＡＮ１８４ａに対応するＬＡＮボード１９５、ＵＳＢ１８４ｂに対応するＵＳＢ１９６及び記憶部１８５に対応するハードディスク１９７がデータ伝送路を介して互いに接続されている。ハードディスク１９７には、ＯＳ回復担当コンピュータ１５４及び１５６のＯＳが格納され、ＯＳ回復処理の際に回復対象コンピュータを起動するためのＯＳ回復用ＯＳが保存されている。
【０１８６】
（４）変形例１
上記第３実施形態では、ステルスファイアウォール２及び７を設置しているが、これらのいずれかあるいは両方を設置しなくてもよい。ステルスファイアウォール２又は７を設置しない場合は、ステルスファイアウォールの代わりにハブを設置する。
【０１８７】
図２５は、ステルスファイアウォール２及び７を設置しない場合のシステム構成図である。このシステム構成を図１９のシステム構成と比較すると、ステルスファイアウォール２又は７の代わりに、ハブ８２及び８７が設置されており、システム構成を簡略化している。そのため、システム構築コストを低減することができる。
【０１８８】
また、ステルスファイアウォール２又は７の機能は、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３、ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５及びコンピュータＰＣ８１、・・・、ＰＣ８ｋ上で、パケットフィルタを行なうファイアウォールプログラムを使用することによって代替することが出来る。
【０１８９】
ただし、万一、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３、ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５又はコンピュータＰＣ８１、・・・、ＰＣ８ｋの管理者権限が侵害者により奪われた場合には、本変形例１の場合、管理者権限を奪われたコンピュータのファイアウォール機能も停止されたり改変されたりする恐れがあるのに対して、上記第３実施形態のシステムでは、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３、ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５又はコンピュータＰＣ８１、・・・、ＰＣ８ｋの一部あるいは全ての管理者権限が奪われても、ステルスファイアウォール２及び７の機能には影響がない。したがって、上記第３実施形態のシステムの方がセキュリティ強度は高いと言える。
【０１９０】
（５）変形例２
上記第３実施形態では、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３とｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５は独立したコンピュータとなっているが、これらのコンピュータの有する機能を同一ののコンピュータ上に実装しても良い。このようにすると、システム構築コストを低減することができる。
【０１９１】
図２６は、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３とｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５の機能を１台のコンピュータに実装した場合のシステム構成図である。このシステム構成を図１９のシステム構成と比較すると、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３とｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５が、ｗｒｉｔａｂｌｅ型コミュニケーション・プログラム担当コンピュータ２０３の１台にまとめられており、それに伴って、通信経路Ｌ３とＬ９が１本のＬ２６に、通信経路Ｌ６とＬ１２が１本のＬ２９に、通信経路Ｌ２１とＬ２３が１本のＬ２７に、そして、経路Ｌ２２とＬ２４が１本のＬ２８にそれぞれまとめられ、システム構成を簡略化している。そのため、システム構築コストを低減することができる。
【０１９２】
ステルスファイアウォール９２及び９５に関するブロック構成図は、第１実施形態の変形例２における図１１と同様であるので、説明を省略する。
【０１９３】
ｗｒｉｔａｂｌｅ型コミュニケーション・プログラム担当コンピュータ２０３のブロック構成図は、図２１と同様であるので、説明を省略する。
【０１９４】
ｗｒｉｔａｂｌｅ型コミュニケーション・プログラム担当コンピュータ２０３には、侵入検知システム、遠隔操作サーバプログラム、Ｗｅｂブラウザ、メールソフトウェア、ＦＴＰクライアントソフトウェア、ファイル共有サーバプログラム等が実装されている。
【０１９５】
ｗｒｉｔａｂｌｅ型コミュニケーション・プログラム担当コンピュータ２０３は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、ホームページ閲覧、メール送受信、データダウンロード、ファイル共有等、外部のコンピュータとの通信に関わる作業を実行すると共に、外部から持ち込まれ、完全には信用できないプログラムを実行する。ｗｒｉｔａｂｌｅ型コミュニケーション・プログラム担当コンピュータ２０３のＯＳは、完全には信用できないプログラムを実行できるＯＳである。
【０１９６】
ＯＳ回復担当コンピュータ２０４は、上記第３実施形態のＯＳ回復担当コンピュータ１５４及び１５６と同様であるので、説明を省略する。
【０１９７】
（６）変形例３
上記第３実施形態では、ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５及びＯＳ回復担当コンピュータ１５６を設置しているが、これらを設置しなくてもよい。これにより、システム構築コストを低減することができる。
【０１９８】
図２７は、ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５を設置しない場合のシステム構成図を示している。ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５を設置しない場合、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、外部から持ち込まれ、完全には信用できないプログラムを実行させるコンピュータは存在しなくなる。これに伴い、完全には信用できないプログラムに悪意あるプログラムが含まれていた場合に、もし当該プログラムをコンピュータＰＣ８１、・・・、ＰＣ８ｋ上で実行すれば、悪意あるプログラムの活動によりコンピュータＰＣ８１、・・・、ＰＣ８ｋで損害が生じることを阻止できなくなる。
【０１９９】
（７）変形例４
上記第３実施形態では、ルータ１、ステルスファイアウォール２及び７、ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ１５３、ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ１５５、ＯＳ回復担当コンピュータ１５４及び１５６並びにコンピュータＰＣ８１、・・・、ＰＣ８ｋは、物理的に独立したコンピュータとして設置しているが、これらの一部又は全部は、仮想マシンでもよい。仮想マシンは、例えば、ＶＭｗａｒｅ、Ｘｅｎ、Ｈｙｐｅｒ−Ｖ等の仮想化ソフトウェアによって実現される。
【０２００】
４．第４実施形態
（１）システムの全体構成と動作概要
図２８は、第４実施形態に関するシステムの全体構成図である。第１実施形態でコミュニケーション担当コンピュータ３、プログラム担当コンピュータ５並びにセキュアストレージ担当コンピュータ４及び６を使用するのと異なり、リムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５を使用する。
【０２０１】
リムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５には、ＳＤカードやＵＳＢメモリ等のリムーバブル型の書き込み可能な外部記憶装置が接続されており、当該外部記憶装置に格納されたＯＳから起動する。リムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５は、ハードディスクやＳＳＤ等、書き込み可能な外部記憶装置を内蔵していてもよいが、起動用メディアとして、リムーバブル型の書き込み可能な外部記憶装置を第１の優先順位にし、内蔵された書き込み可能な外部記憶装置等の他のメディアからは起動しないように、ＢＩＯＳ等で設定されている必要がある。
【０２０２】
リムーバブル型の書き込み可能な外部記憶装置にＯＳをインストールした直後等、侵害者によって汚染されていない状態のクリーンなＯＳのイメージのコピーを、ＤＶＤ−Ｒ等の１回だけ書き込み可能なメディアに追記を禁止する形で保存する。このようにしてクリーンなＯＳを保存したメディアをクリーンＯＳ保存メディアと呼ぶ。クリーンＯＳ保存メディアを作成することにより、侵害者や悪意あるプログラムによって、クリーンなＯＳが改竄されることを防止することが出来る。
【０２０３】
リムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５には、侵入検知システムが実装され、侵害者による外部記憶装置への書き込み、変更がないか常時監視する。危険な書き込み、変更が発見された場合には、侵入検知システムは、管理者に侵入警報メールを送信する。リムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５の中、侵入検知システムが危険な書き込みや変更を発見したコンピュータを、以下では、回復対象コンピュータという。
【０２０４】
回復対象コンピュータの侵入検知システムから侵入警報メールを受信すると、管理者は回復対象コンピュータを停止し、リムーバブル型の書き込み可能な外部記憶装置をはずして、別のコンピュータ上でクリーンＯＳ保存メディアに保存されたクリーンなＯＳで上書きする。その後、管理者は、クリーンなＯＳを格納したリムーバブル型の書き込み可能な外部記憶装置を再び回復対象コンピュータにセットし、起動する。これにより、侵害者がリムーバブル型コミュニケーション担当コンピュータ２１３又はリムーバブル型プログラム担当コンピュータ２１５にバックドアを仕掛ける等しても、直ちにＯＳをクリーンな状態に戻すことが出来る。
【０２０５】
リムーバブル型コミュニケーション担当コンピュータ２１３は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、ホームページ閲覧、メール送受信、データダウンロード、ファイル共有等、外部のコンピュータとの通信に関わる作業を実行する。これにより、ユーザが外部のコンピュータと通信する際に侵害者によって行なわれる全ての攻撃はリムーバブル型コミュニケーション担当コンピュータ２１３に対して実行されることになるので、コミュニケーション担当コンピュータ２１３を言わば身代わりとして、コンピュータＰＣ８１、・・・、ＰＣ８ｋを守ることが出来る。リムーバブル型コミュニケーション担当コンピュータ２１３は、遠隔操作サーバプログラムを実装すると共に、Ｗｅｂブラウザ、メールソフトウェア、ＦＴＰクライアントソフトウェア、ファイル共有サーバプログラム等を実装する。
【０２０６】
リムーバブル型プログラム担当コンピュータ２１５は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、外部から持ち込まれ、完全には信用できないプログラムを実行させるコンピュータである。これにより、完全には信用できないプログラムに悪意あるプログラムが含まれていた場合にも、悪意あるプログラムによってなされる全ての活動はリムーバブル型プログラム担当コンピュータ２１５に対して実行されることになるので、リムーバブル型プログラム担当コンピュータ２１５を言わば身代わりとして、コンピュータＰＣ８１、・・・、ＰＣ８ｋを守ることが出来る。リムーバブル型プログラム担当コンピュータ２１５のＯＳは完全には信用できないプログラムを実行できるＯＳであり、遠隔操作サーバプログラムを実装する。
【０２０７】
ルータ１、ステルスファイアウォール２及び７、コンピュータＰＣ８１、・・・、ＰＣ８ｋに関しては、第１実施形態と同様であるので、説明を省略する。
【０２０８】
なお、本実施例は未知のウイルス、未知の攻撃に対しても防御するためのものであるが、既知のウイルスに対する防御であるウイルス対策ソフトの使用を妨げるものではない。したがって、ルータ１、ステルスファイアウォール２又は７、リムーバブル型コミュニケーション担当コンピュータ２１３、リムーバブル型プログラム担当コンピュータ２１５、コンピュータＰＣ８１、・・・、ＰＣ８ｋの一部又は全部でウイルス対策ソフトを使用してもよい。
【０２０９】
（２）ハードウェア構成
ルータ１、ステルスファイアウォール２及び７、コンピュータＰＣ８１、・・・、ＰＣ８ｋの装置に関するブロック構成図及びハードウェア構成例は、第１実施形態と同様であるので、説明を省略する。
【０２１０】
図２９は、リムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５の装置に関するブロック構成図を示している。リムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５は、制御部２２１、入力部２２２、表示部２２３、通信部２２４及び記憶部２２５を備えている。
【０２１１】
通信部２２４は、リムーバブルメディア接続端子２２４ａを備えている。ＯＳは、リムーバブルメディア接続端子２２４ａに接続されたＳＤカードやＵＳＢメモリ等のリムーバブル型の書き込み可能な外部記憶装置に格納されており、リムーバブルメディア接続端子２２４ａを通して制御部１６１に読み込まれて機能する。
【０２１２】
図３０は、図２９に示すリムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５のブロック構成図を実現したハードウェア構成例である。制御部２２１に対応するＣＰＵ２３０及びメモリ２３４、入力部２２２に対応するキーボード２３２及びマウス２３３、表示部２２３に対応する液晶表示パネル等のディスプレイ２３１、通信部２２４に対応するＬＡＮボード２３５及びＵＳＢ２３６、記憶部２２５に対応するハードディスク２３７がデータ伝送路を介して互いに接続されている。このハードウェア構成例では、ＵＳＢ２３６がリムーバブルメディア接続端子２２４ａに対応しており、ＯＳは、ＵＳＢ２３６に接続されたＵＳＢメモリに格納されている。
【０２１３】
（３）変形例１
上記第４実施形態では、ステルスファイアウォール２及び７を設置しているが、これらのいずれかあるいは両方を設置しなくてもよい。ステルスファイアウォール２又は７を設置しない場合は、ステルスファイアウォールの代わりにハブを設置する。
【０２１４】
図３１は、ステルスファイアウォール２及び７を設置しない場合のシステム構成図である。このシステム構成を図２８のシステム構成と比較すると、ステルスファイアウォール２又は７の代わりに、ハブ８２及び８７が設置されており、システム構成を簡略化している。そのため、システム構築コストを低減することができる。
【０２１５】
また、ステルスファイアウォール２又は７の機能は、リムーバブル型コミュニケーション担当コンピュータ２１３、リムーバブル型プログラム担当コンピュータ２１５及びコンピュータＰＣ８１、・・・、ＰＣ８ｋ上で、パケットフィルタを行なうファイアウォールプログラムを使用することによって代替することが出来る。
【０２１６】
ただし、万一、リムーバブル型コミュニケーション担当コンピュータ２１３、リムーバブル型プログラム担当コンピュータ２１５又はコンピュータＰＣ８１、・・・、ＰＣ８ｋの管理者権限が侵害者により奪われた場合には、本変形例１の場合、管理者権限を奪われたコンピュータのファイアウォール機能も停止されたり改変されたりする恐れがあるのに対して、上記第４実施形態のシステムでは、リムーバブル型コミュニケーション担当コンピュータ２１３、リムーバブル型プログラム担当コンピュータ２１５又はコンピュータＰＣ８１、・・・、ＰＣ８ｋの一部あるいは全ての管理者権限が奪われても、ステルスファイアウォール２及び７の機能には影響がない。したがって、上記第４実施形態のシステムの方がセキュリティ強度は高いと言える。
【０２１７】
（４）変形例２
上記第４実施形態では、リムーバブル型コミュニケーション担当コンピュータ２１３とリムーバブル型プログラム担当コンピュータ２１５は独立したコンピュータとなっているが、これらのコンピュータの有する機能を同一ののコンピュータ上に実装しても良い。このようにすると、システム構築コストを低減することができる。
【０２１８】
図３２は、リムーバブル型コミュニケーション担当コンピュータ２１３とリムーバブル型プログラム担当コンピュータ２１５の機能を１台のコンピュータに実装した場合のシステム構成図である。このシステム構成を図２８のシステム構成と比較すると、リムーバブル型コミュニケーション担当コンピュータ２１３とリムーバブル型プログラム担当コンピュータ２１５が、リムーバブル型コミュニケーション・プログラム担当コンピュータ２４３の１台にまとめられており、それに伴って、通信経路Ｌ３とＬ９が１本のＬ３１に、通信経路Ｌ６とＬ１２が１本のＬ３２に、それぞれまとめられ、システム構成を簡略化している。そのため、システム構築コストを低減することができる。
【０２１９】
ステルスファイアウォール９２及び９５に関するブロック構成図は、第１実施形態の変形例２における図１１と同様であるので、説明を省略する。
【０２２０】
リムーバブル型コミュニケーション・プログラム担当コンピュータ２４３のブロック構成図は、図２９と同様であるので、説明を省略する。
【０２２１】
リムーバブル型コミュニケーション・プログラム担当コンピュータ２４３には、侵入検知システム、遠隔操作サーバプログラム、Ｗｅｂブラウザ、メールソフトウェア、ＦＴＰクライアントソフトウェア、ファイル共有サーバプログラム等が実装されている。
【０２２２】
リムーバブル型コミュニケーション・プログラム担当コンピュータ２４３は、コンピュータＰＣ８１、・・・、ＰＣ８ｋから遠隔操作され、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、ホームページ閲覧、メール送受信、データダウンロード、ファイル共有等、外部のコンピュータとの通信に関わる作業を実行すると共に、外部から持ち込まれ、完全には信用できないプログラムを実行する。リムーバブル型コミュニケーション・プログラム担当コンピュータ２４３のＯＳは完全には信用できないプログラムを実行できるＯＳである。
【０２２３】
（５）変形例３
上記第４実施形態では、リムーバブル型プログラム担当コンピュータ２１５を設置しているが、これを設置しなくてもよい。これにより、システム構築コストを低減することができる。
【０２２４】
図３３は、リムーバブル型プログラム担当コンピュータ２１５を設置しない場合のシステム構成図を示している。リムーバブル型プログラム担当コンピュータ２１５を設置しない場合、コンピュータＰＣ８１、・・・、ＰＣ８ｋに代わって、外部から持ち込まれ、完全には信用できないプログラムを実行させるコンピュータは存在しなくなる。これに伴い、完全には信用できないプログラムに悪意あるプログラムが含まれていた場合に、もし当該プログラムをコンピュータＰＣ８１、・・・、ＰＣ８ｋ上で実行すれば、悪意あるプログラムの活動によりコンピュータＰＣ８１、・・・、ＰＣ８ｋで損害が生じることを阻止できなくなる。
【０２２５】
（６）変形例４
上記第４実施形態では、リムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５上で侵入検知システムを使用しているが、これを使用しなくてもよい。侵入検知システムを稼動しないことにより、リムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５上のリソースの消費を減少させることが出来るので、これらのコンピュータに実装されるＣＰＵ、メモリ等をグレードダウンさせることが可能で、リムーバブル型コミュニケーション担当コンピュータ２１３及びリムーバブル型プログラム担当コンピュータ２１５の構築コストを低減できる。
【０２２６】
侵入検知システムによるチェックと警告がなくなるので、管理者が定期的に、あるいは、適宜、リムーバブル型の書き込み可能な外部記憶装置上のＯＳをクリーンＯＳ保存メディアに保存されたクリーンなＯＳで上書きする。
【０２２７】
（７）変形例５
上記第４実施形態では、ルータ１、ステルスファイアウォール２及び７、リムーバブル型コミュニケーション担当コンピュータ２１３、リムーバブル型プログラム担当コンピュータ２１５及びコンピュータＰＣ８１、・・・、ＰＣ８ｋは、物理的に独立したコンピュータとして設置しているが、これらの一部又は全部は、仮想マシンでもよい。仮想マシンは、例えば、ＶＭｗａｒｅ、Ｘｅｎ、Ｈｙｐｅｒ−Ｖ等の仮想化ソフトウェアによって実現される。
【符号の説明】
【０２２８】
１  ルータ
２    ステルスファイアウォール
３    コミュニケーション担当コンピュータ
４    セキュアストレージ担当コンピュータ
５    プログラム担当コンピュータ
６    セキュアストレージ担当コンピュータ
７    ステルスファイアウォール
８１、・・・、８ｋ    コンピュータ
１１３    ｒｅａｄｏｎｌｙ型コミュニケーション担当コンピュータ
１１５    ｒｅａｄｏｎｌｙ型プログラム担当コンピュータ
１５３    ｗｒｉｔａｂｌｅ型コミュニケーション担当コンピュータ
１５４    ＯＳ回復担当コンピュータ
１５５    ｗｒｉｔａｂｌｅ型プログラム担当コンピュータ
１５６    ＯＳ回復担当コンピュータ
２１３    リムーバブル型コミュニケーション担当コンピュータ
２１５    リムーバブル型プログラム担当コンピュータ
【図１】
2015050474.tif 000003
【図２】
2015050474.tif 000004
【図３】
2015050474.tif 000005
【図４】
2015050474.tif 000006
【図５】
2015050474.tif 000007
【図６】
2015050474.tif 000008
【図７】
2015050474.tif 000009
【図８】
2015050474.tif 000010
【図９】
2015050474.tif 000011
【図１０】
2015050474.tif 000012
【図１２】
2015050474.tif 000013
【図１３】
2015050474.tif 000014
【図１４】
2015050474.tif 000015
【図１５】
2015050474.tif 000016
【図１６】
2015050474.tif 000017
【図１７】
2015050474.tif 000018
【図１８】
2015050474.tif 000019
【図１９】
2015050474.tif 000020
【図２０】
2015050474.tif 000021
【図２１】
2015050474.tif 000022
【図２２】
2015050474.tif 000023
【図２３】
2015050474.tif 000024
【図２４】
2015050474.tif 000025
【図２５】
2015050474.tif 000026
【図２６】
2015050474.tif 000027
【図２７】
2015050474.tif 000028
【図２８】
2015050474.tif 000029
【図２９】
2015050474.tif 000030
【図３０】
2015050474.tif 000031
【図３１】
2015050474.tif 000032
【図３２】
2015050474.tif 000033
【図３３】
2015050474.tif 000034
【図１１】
2015050474.tif 000035