(57)【要約】【課題】  ある業務専用の端末ＰＣのＯＳ環境上にある業務情報が、その業務ネットワーク以外に流出することを防ぐことができる端末ＰＣの接続先制御方法及びシステムを提供すること。【解決手段】  端末ＰＣが、特定のネットワークに対してＶＰＮ技術によって接続するための仮想インターフェースを作成する第１のステップと、作成した仮想インターフェースを用いて接続管理サーバに接続し、当該端末ＰＣが前記特定のネットワークへの接続が許されている環境のものであるかのチェックを受け、特定のネットワークへの接続が許されている旨のチェック結果を受信したならばＶＰＮ技術によって接続管理サーバを介して前記特定のネットワークに接続し、特定のネットワークへの接続が許されている旨のチェック結果を受信しなかった場合には特定のネットワークを含む他のネットワークへの接続への接続処理を実施しない第２のステップとを備える。【選択図】      図１
2008289040.tif 000002
【特許請求の範囲】
【請求項１】
端末ＰＣの接続先ネットワークを特定のネットワークに限定する接続制御方法であって、
前記端末ＰＣが、
前記特定のネットワークに対してＶＰＮ技術によって接続するための仮想インターフェースを作成する第１のステップと、
第１のステップで作成した仮想インターフェースを用いて接続管理サーバに接続し、当該端末ＰＣが前記特定のネットワークへの接続が許されている環境のものであるかのチェックを受け、前記特定のネットワークへの接続が許されている旨のチェック結果を受信したならばＶＰＮ技術によって前記接続管理サーバを介して前記特定のネットワークに接続し、前記特定のネットワークへの接続が許されている旨のチェック結果を受信しなかった場合には前記特定のネットワークを含む他のネットワークへの接続への接続処理を実施しない第２のステップとを備え、
前記端末ＰＣの接続先ネットワークを前記特定のネットワークに限定する接続制御方法。
【請求項２】
端末ＰＣと接続管理サーバとを備え、端末ＰＣの接続先ネットワークを特定のネットワークに限定するシステムであって、
前記端末ＰＣが、
前記特定のネットワークに対してＶＰＮ技術によって接続するための仮想インターフェースを作成する第１の手段と、
第１の手段で作成した仮想インターフェースを用いて接続管理サーバに接続し、当該端末ＰＣが前記特定のネットワークへの接続が許されている環境のものであるかのチェックを受け、前記特定のネットワークへの接続が許されている旨のチェック結果を受信したならばＶＰＮ技術によって前記接続管理サーバを介して前記特定のネットワークに接続し、前記特定のネットワークへの接続が許されている旨のチェック結果を受信しなかった場合には前記特定のネットワークを含む他のネットワークへの接続への接続処理を実施しない第２の手段とを備え、
前記端末ＰＣの接続先ネットワークを前記特定のネットワークに限定することを特徴とする接続制御システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ＶＰＮ技術及び検疫ネットワーク技術、仮想化技術、強制アクセス制御技術を用い、端末ＰＣのＯＳ環境が接続する接続先のネットワークを特定のネットワークに強制的に接続させる制御方法及びシステムに関する。
【背景技術】
【０００２】
現在、主に公官庁などでは、業務ごとに扱う情報や情報システムが異なり、各業務従事者以外がアクセスできないようにするため、業務ごとに別のネットワークシステムを構築している。これら複数のネットワークは、物理的分割されている、もしくはＶＬＡＮなどを利用し論理的に分割されている。
ある業務ネットワークに、その業務専用の端末ＰＣ及びそのＯＳ環境のみ接続され、不正な端末ＰＣ及びそのＯＳ環境が接続されていないことを保障すべき場合も多い。その際には、接続ＭＡＣアドレスフィルタリング技術（特許文献１）や、既存検疫ネットワーク技術（特許文献２）を利用して保障することが可能である。これにより、ある業務システム上の情報が、他のネットワークに直接流出することは無くなる。
【０００３】
また、一般に組織外からのアクセスを想定した場合には、ＶＰＮ（仮想プライベートネットワーク）技術（非特許文献１）がある。これは、安全でないネットワーク経路（主にインターネット）を通して、安全を保障すべき業務ネットワークに接続する場合に利用する。
また、複数の業務に従事するものは、従来は業務毎に別々の端末ＰＣにあるＯＳ環境を利用しているが、仮想化技術（非特許文献２）や強制アクセス制御技術（非特許文献３）を用いて、１つの端末ＰＣに複数の業務の専用ＯＳ環境を入れる技術（非特許文献４）も存在する。
【０００４】
【特許文献１】特開平１１−２７３２４号
【特許文献２】特開２００６−２６００２７号
【非特許文献１】PacketiX VPN 2.0                        http://www.softether.com/jp/vpn2/
【非特許文献２】VMware Workstation                        http://www.vmware.com/ja/products/ws/
【非特許文献３】SELinuxの出自とキソのキソ        http://www.atmarkit.co.jp/fsecurity/rensai/selinux01/selinux01.html
【非特許文献４】２系統Windows                  http://hitachisoft.jp/Products/secure-linux/solution/2win/
【発明の開示】
【発明が解決しようとする課題】
【０００５】
前述の接続ＭＡＣアドレス制限技術や検疫ネットワーク技術、ＶＰＮ技術は、ある業務ネットワークに、不正な端末ＰＣ及びそのＯＳ環境が接続されていないことを保障しているだけである。
従って、ある業務専用の端末ＰＣ及びそのＯＳ環境を、接続制限の無いネットワークに接続することは可能である。例えば、端末ＰＣを持ち帰り、自宅のインターネット環境に接続したり、それほどセキュリティを必要せず、接続する端末ＰＣの制限の無い業務用のネットワークに接続したりするなどである。
この場合、ある業務専用の端末ＰＣのＯＳ環境上にある情報は、別のネットワークにも流れる危険性がある。これは、ある業務に関する情報が、間接的に流れてしまうことに等しい。これらの問題は、仮想化技術や強制アクセス制御技術を単に適用するだけでは解決できない。
【０００６】
本発明の目的は、ある業務専用の端末ＰＣのＯＳ環境上にある業務情報が、その業務ネットワーク以外に流出することを防ぐことができる端末ＰＣの接続先制御方法及びシステムを提供することである。
【課題を解決するための手段】
【０００７】
上記目的を達成するために、本発明に係る端末ＰＣの接続先制御方法は、端末ＰＣの接続先ネットワークを特定のネットワークに限定する接続制御方法であって、
前記端末ＰＣが、
前記特定のネットワークに対してＶＰＮ技術によって接続するための仮想インターフェースを作成する第１のステップと、
第１のステップで作成した仮想インターフェースを用いて接続管理サーバに接続し、当該端末ＰＣが前記特定のネットワークへの接続が許されている環境のものであるかのチェックを受け、前記特定のネットワークへの接続が許されている旨のチェック結果を受信したならばＶＰＮ技術によって前記接続管理サーバを介して前記特定のネットワークに接続し、前記特定のネットワークへの接続が許されている旨のチェック結果を受信しなかった場合には前記特定のネットワークを含む他のネットワークへの接続への接続処理を実施しない第２のステップとを備え、前記端末ＰＣの接続先ネットワークを前記特定のネットワークに限定することを特徴とする。
【０００８】
また、端末ＰＣと接続管理サーバとを備え、端末ＰＣの接続先ネットワークを特定のネットワークに限定するシステムであって、
前記端末ＰＣが、
前記特定のネットワークに対してＶＰＮ技術によって接続するための仮想インターフェースを作成する第１の手段と、
第１の手段で作成した仮想インターフェースを用いて接続管理サーバに接続し、当該端末ＰＣが前記特定のネットワークへの接続が許されている環境のものであるかのチェックを受け、前記特定のネットワークへの接続が許されている旨のチェック結果を受信したならばＶＰＮ技術によって前記接続管理サーバを介して前記特定のネットワークに接続し、前記特定のネットワークへの接続が許されている旨のチェック結果を受信しなかった場合には前記特定のネットワークを含む他のネットワークへの接続への接続処理を実施しない第２の手段とを備え、前記端末ＰＣの接続先ネットワークを前記特定のネットワークに限定することを特徴とする。
【発明の効果】
【０００９】
本発明によれば、ある業務専用の端末ＰＣのＯＳ環境において、決められた対応する業務ネットワークしか接続できないようになるため、端末ＰＣに他のネットワークを物理的に接続しても、ＯＳ環境上の業務データが、他のネットワークに流出することが無くなる。
【発明を実施するための最良の形態】
【００１０】
以下、本発明を実施する場合の一形態を、図面を参照して具体的に説明する。
図１に本発明を実現するシステムの全体構成図を示す。
本発明は、端末ＰＣ１００、一般ネットワーク１５０、接続管理サーバ機１４０、業務Ａ用ネットワーク１６０、業務Ａ用サーバ機１７０から構成される。
端末ＰＣ１００は、ＬＡＮケーブルを接続するための物理ネットワークカード１１０を持つほか、ＣＰＵやディスプレイなどのハードウェアについては、既存のＰＣと同様に存在するものとする。
【００１１】
ホストＯＳ１２０は、ＶＰＮ及び検疫クライアント１２１、仮想インターフェース１２２、仮想ネットワークカード作成アプリケーション１２３、仮想ネットワークカード１２４、業務Ａ用ＯＳ環境起動アプリケーション１２５、業務Ａ用ＯＳ環境仮想マシン関連ファイル群１２６で構成される。
また、このホストＯＳ１２０は、端末ＰＣ１００の利用者が直接操作などを行うものではなく、自動的に後述する動作を実行するものである。
【００１２】
ＶＰＮ及び検疫クライアント１２１は、接続管理サーバ機１４０内のＶＰＮ及び検疫サーバ１４１とＶＰＮ接続を確立し、後述する仮想インターフェース１２２を、ホストＯＳ１２０上に仮想デバイスとして作成するものである。
【００１３】
仮想インターフェース１２２は、業務Ａ用ネットワーク１６０のローカルに接続された物理ネットワークカードと同じ機能を持つものである。先に述べたように、仮想インターフェース１２２は、起動中のみに存在するものである。ＶＰＮ及び検疫クライアント１２１や仮想インターフェース１２２については、既存のＶＰＮ技術を利用したものである。
【００１４】
仮想ネットワークカード作成アプリケーション１２３は、ホストＯＳ１２０上の仮想デバイスである仮想ネットワークカード１２４を作成するものである。
仮想ネットワークカード１２４は、仮想インターフェース１２２を、業務Ａ用仮想マシン１３０がネットワークカードとして利用させるために、ホストＯＳ１２０上に作られた仮想デバイスである。
【００１５】
業務Ａ用仮想マシン１３０は、仮想ネットワークカード１２４が物理ネットワークカードとして見え、実際には仮想インターフェース１２２を通して通信を行うことになる。
【００１６】
業務Ａ用ＯＳ環境起動アプリケーション１２５は、業務Ａ用ＯＳ環境仮想マシン関連ファイル群１２６から、業務Ａ用仮想マシン１３０を起動するものである。
業務Ａ用ＯＳ環境仮想マシン関連ファイル群１２６は、業務Ａ用仮想マシン１３０を起動するために必要なファイルで、仮想ハードディスク用のファイルや仮想ネットワーク設定ファイルなど、ハードディスクデータや設定などを含むファイル群である。
業務Ａ用仮想マシン１３０は、業務Ａ用ＯＳ環境起動アプリケーション１２５が、業務Ａ用ＯＳ環境仮想マシン関連ファイル群１２６を用いて起動した、業務Ａ用ＯＳ環境が動作している仮想マシンである。
端末ＰＣ利用者は、この業務Ａ用仮想マシン１３０を、実端末ＰＣ１００のＯＳ環境として利用する。
一般ネットワーク１３０は、端末ＰＣ１００と接続管理サーバ機１４０を物理的に接続しているネットワークである。このネットワーク１３０は、端末ＰＣ１００と接続管理サーバ機１４０が接続できれば、どの様なネットワーク構成でもかまわない。
【００１７】
接続管理サーバ機１４０は、ＶＰＮ及び検疫サーバ１４１を備え、一般ネットワーク１３０と、後述する業務Ａ用ネットワーク１６０の両方に接続したものである。
ＶＰＮ及び検疫サーバ１４１は、ＶＰＮ及び検疫クライアント１２１からのＶＰＮ接続要求を受けてＶＰＮ接続を確立するものである。その際、ＶＰＮ及び検疫クライアント１２１から渡される環境チェック結果で接続の可否を決定する。
【００１８】
業務Ａ用ネットワーク１６０は、業務Ａのために構築されたネットワークである。以後の説明のため、当該ネットワーク１６０のＩＰアドレスは「A.B.C.0/255.255.255.0」となっていることとする。
業務Ａ用サーバ機１７０は、業務Ａ用ネットワーク１６０に接続した業務Ａ専用のサーバ機であり、業務Ａ用サーバ１７１を備えている。
業務Ａ用サーバ１７１は、業務Ａに必要な情報を利用者に提供するなど、業務Ａのためのサーバアプリケーションである。
本例では、業務Ａ用サーバ機１７０及び業務Ａ用サーバ１７１は１台しか記述していないが、複数あっても良い。
【００１９】
次に、図２に示すフローチャートを参照して一般的な利用を通じて各々の処理を説明する。
利用者は、一般的なＰＣのように、端末ＰＣ１０１を起動する。端末ＰＣ１０１ではホストＯＳ１２０が起動する（ステップ２０１）。
この起動の後、自動的にＶＰＮ及び検疫クライアント１２１が動作する。ＶＰＮ及び検疫クライアント１２１とＶＰＮ及び検疫サーバ１４１で、ＶＰＮ接続確立の開始を行う（ステップ２０２）。これは、ほぼ既存技術であるため詳細は省略するが、動作の概略を図３に示す。
まず、ＶＰＮ及び検疫クライアント１２１がＶＰＮ及び検疫サーバ１４１にＶＰＮ接続を要求する（ステップ３０１）。
【００２０】
次に、ＶＰＮ及び検疫サーバ１４１は、要求に対し、ホストＯＳ１２０の環境チェックを要求する。ＶＰＮ及び検疫クライアント１２１は、ホストＯＳ１２０の環境チェックを行い、その結果をＶＰＮ及び検疫サーバ１４１に送信する（ステップ３０２）。
ＶＰＮ及び検疫サーバ１４１は、ホストＯＳ１２０の環境チェック結果から、正規のホストＯＳ１２０かどうかを確認し（ステップ３０３）、接続可能かを判断する（ステップ３０４）。環境チェック方法や判断は、既存の技術を用いることとする。
ステップ３０４で、接続可能となれば、ＶＰＮ及び検疫サーバ１４１は、ＶＰＮ及び検疫クライアント１２１とＶＰＮ接続の確立を開始する（ステップ３０６）。
【００２１】
ステップ３０４で、接続可能でなければ、何もせずに処理を終了する。
ＶＰＮ及び検疫サーバ１４１側では、接続可能で無い接続要求は、不正な端末ＰＣであるので、これ以上処理を行う必要は無い。
ＶＰＮ及び検疫クライアント１２１は、接続が許可され、ＶＰＮ接続の確立を開始されたかどうかを判断する（ステップ２０３）。
【００２２】
本発明では、ホストＯＳ１２０は、端末ＰＣ１１０のユーザが直接操作できず改変できないため、ＶＰＮ及び検疫サーバ１４１にネットワーク的にアクセスできさえすれば、接続が許可され、ＶＰＮ接続が確立されることになる。
ステップ２０３で、接続が許可され、ＶＰＮ接続の確立が開始された場合、ＶＰＮ及び検疫クライアント１２１は、業務Ａ用ネットワーク１５０のローカルに接続された物理ネットワークカードと同じように振舞う仮想インターフェース１２２を、ホストＯＳ１２０に仮想デバイスとして作成する（ステップ２０４）。この作成は、既存のＬａｙｅｒ２のＶＰＮ技術（非特許文献１）を利用する。
【００２３】
仮想インターフェース１２２が作成されると、自動的に仮想ネットワークカード作成アプリケーション１２３が、仮想インターフェース１２２を用いて、仮想ネットワークカード１２４を作成する（ステップ２０４）。この作成は、既存の仮想化技術を利用する。
先に述べたように、仮想インターフェース１２２は、業務Ａ用ネットワーク１５０のローカルに接続された物理ネットワークカードと同じように振舞うので、それを用いて作成した仮想ネットワークカード１２４も、同様に振舞う。
ステップ２０４の後、もしくはステップ２０３でＶＰＮ接続の確立が開始されなかった場合、業務Ａ用ＯＳ環境起動アプリケーション１２５が、業務Ａ用ＯＳ環境仮想マシン関連ファイル１２６を用いて、業務Ａ用仮想マシン１３０の起動処理を行う（ステップ２０５）。
【００２４】
ここで、業務Ａ用ＯＳ環境仮想マシン関連ファイル１２６では、業務Ａ用仮想マシン１３０が、仮想インターフェース１２２をネットワークカードとして利用するように設定する。
最後に、業務Ａ用仮想マシン１３０が起動し、利用者が端末ＰＣ１０１を利用できるようになる（ステップ２０６）。
業務Ａ用仮想マシン１３０は、仮想ネットワークカード１２４が物理ネットワークカードのように扱うので、業務Ａ用ネットワーク１５０に接続しているＰＣのように見える。
仮に、ＶＰＮ及び検疫サーバ１４１に接続できず、ステップ２０３でＶＰＮ接続の確立が開始されなかった場合は、業務Ａ用仮想マシン１３０は、利用不可能なネットワークカードが接続されることになる。このため、端末ＰＣ１０１の物理ネットワークカード１１０に、業務Ａ用ネットワーク１５０以外のネットワークを接続しても、業務Ａ用仮想マシン１３０からは、業務Ａ用ネットワーク１５０が利用できるか、ネットワーク利用が出来ないかのどちらかである。
【００２５】
また、ホストＯＳ１２０の環境は、既存の強制アクセス制御機能を利用し、端末ＰＣ１０１の一般利用者が改変不可能に構成されている。これにより、ホストＯＳ１２０や、業務Ａ用ＯＳ環境仮想マシン関連ファイル１２６などを改変し、業務Ａ用ネットワーク１５０以外のネットワークに接続可能にすることを防止する。
また、強制アクセス制御機能を利用し、システム管理者のみ接続先ネットワークを変更することを可能にすることもできる。
【００２６】
これにより、業務Ａ用仮想マシン１３０から、業務Ａ用ネットワーク１５０以外のネットワークに情報が流出することは無い。
以上により、端末ＰＣ１０１の一般利用者が利用する環境である業務Ａ用仮想マシン１３０は、業務Ａ用ネットワーク１５０のみに接続可能となり、業務Ａ用仮想マシン１３０上、つまり端末ＰＣ１０１上の業務Ａに関する情報が、業務Ａ用ネットワーク１５０以外に流出することは無くなる。
【図面の簡単な説明】
【００２７】
【図１】本発明に係る実施の形態を示すシステム構成図である。
【図２】図１のシステムにおいて端末ＰＣの起動から業務Ａ用仮想マシンの起動までの処理手順を示すフローチャートである。
【図３】図２におけるステップ２０２の詳細を示すフローチャートである。
【符号の説明】
【００２８】
１００…端末ＰＣ、１１０…物理ネットワークカード、１２０…ホストＯＳ、１２１…ＶＰＮ及び検疫クライアント、１２２…仮想インターフェース、１２３…仮想ネットワークカード作成アプリケーション、１２４…仮想ネットワークカード、１２５…業務Ａ用ＯＳ環境起動アプリケーション、１２６…業務Ａ用ＯＳ環境仮想マシン関連ファイル、１３０…業務Ａ用仮想マシン、１４０…接続管理サーバ機、１４１…ＶＰＮ及び検疫サーバ、１５０…一般ネットワーク、１６０…業務Ａ用ネットワーク、１７０…業務Ａ用サーバ機、１７１…業務Ａ用サーバ。
【図１】
2008289040.tif 000003
【図２】
2008289040.tif 000004
【図３】
2008289040.tif 000005