アクセス制御システム、アクセス制御装置及びアクセス制御方法
【課題】複数のアクセスに同時に対処しつつ、サーバの改ざんチェックを実施してセキュリティを維持することを課題とする。
【解決手段】アクセス制御システムは、外部ネットワークからのアクセスをＷｅｂサーバに転送する転送処理、アクセス前後におけるＷｅｂサーバの差分確認処理、及び、Ｗｅｂサーバのディレクトリ構成をマスタ環境で上書き更新するマスタ上書き処理のいずれにも介在せずにアクセス待機状態にあるＷｅｂサーバだけを転送先としてアクセス制御を行うこととした。
【解決手段】アクセス制御システムは、外部ネットワークからのアクセスをＷｅｂサーバに転送する転送処理、アクセス前後におけるＷｅｂサーバの差分確認処理、及び、Ｗｅｂサーバのディレクトリ構成をマスタ環境で上書き更新するマスタ上書き処理のいずれにも介在せずにアクセス待機状態にあるＷｅｂサーバだけを転送先としてアクセス制御を行うこととした。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御システム、アクセス制御装置及びアクセス制御方法に関する。
【背景技術】
【０００２】
近年、インターネットの普及に伴い、個人情報の管理やアプリケーションの配信を実施するサーバに対するサイバー攻撃が急増している。
【０００３】
このサイバー攻撃の代表例としては、攻撃者が正規ユーザのサーバや端末に不正アクセスするために用いる攻撃ツールプログラムであるマルウェアを利用したＤＤｏＳ（Distributed Denial of Services）攻撃やスパム送信や情報盗難などが挙げられる。
【０００４】
これらの攻撃の多くは、既存のサーバを乗っ取り、そのサーバを踏み台として他のサーバを攻撃する形で実施される。
【０００５】
従来、これらの脅威に対処するために、ファイアウォール機能と転送データ監視機能をルータ等のパケット転送装置に実装してサーバ監視機能を構築し、それをサーバの前段に配置することで、送受信されるデータの内容やパケットヘッダ内容に応じて通信を制御するアクセス制御技術が用いられる。
【０００６】
この技術では、サーバ監視機能を開発したセキュリティベンダが、既知のソフトウェア脆弱性やマルウェアを解析することで、攻撃者がサーバに対して取りうる送信メッセージパターンをシグネチャ化し、シグネチャにマッチする送信メッセージをサーバ監視機能でフィルタする。これにより、攻撃者の不正アクセスからサーバを防衛する。
【０００７】
しかし、サーバ監視装置では、シグネチャにマッチしない通信についてはネットワークの通過を許容するため、この通過可能な通信サービスを悪用した不正アクセスを完全に阻止することは困難である。
【０００８】
このため、例えば、セキュリティベンダにとって未知となるソフトウェアの脆弱性や、セキュリティベンダが解析していないソフトウェアの脆弱性に基づいた攻撃には対応することはできないというボトルネックがあった。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００６−１１４０４４号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
ところで、最近では、上記のボトルネックを解消すべく、脆弱性があるソフトウェアを故意に搭載した囮サーバをサーバ監視機能配下に配置し、サーバ監視機能で囮サーバへのアクセスを監視する仕組みが考えられつつある。
【００１１】
すなわち、攻撃者がアプリケーション提供サーバ等に不正アクセスする際に利用するマルウェアを代表としたプログラムを囮サーバがダウンロードする際の挙動を捉え、ダウンロード要求先をマルウェアダウンロード用のサイトと特定する方式が検討されている。
【００１２】
この方式により取得したマルウェアダウンロードサイトをブラックリストとして、顧客サーバまたは顧客サーバとネットワークの境界に配置されたファイアフォール機能やセキュリティアプライアンス等に入力することで、顧客サーバがマルウェアに感染する事態を回避する。
【００１３】
ところが、上記の方式では、攻撃が発生する毎に囮サーバがマルウェアに感染する可能性がある。そして、マルウェアに感染した囮サーバは、攻撃者の意図に応じてＣ＆Ｃサーバへの接続を試行する場合や他者に攻撃トラヒックを送信する場合がある。このため、攻撃が直接の原因となって引き起こされるマルウェアダウンロードを正確に抽出するには、囮サーバがマルウェアに感染していないことが前提条件となる。
【００１４】
この前提条件を満たすために、従来では、囮サーバへの攻撃が確認された後に囮サーバが改ざんされているか否かを調査し、必要に応じて囮サーバをマルウェア感染前の状態に戻す処理を行っている。
【００１５】
しかしながら、囮サーバをマルウェア感染前の状態に戻すには、一定の期間（数分程度）が必要であるので、状態の差戻し中には囮サーバで攻撃を収集できないという問題がある。
【００１６】
また、囮サーバを用いずに顧客サーバを直接監視する方式においても、上記の囮サーバの場合と同様に、不正アクセス受付時に当該顧客サーバをマルウェア感染前の状態に戻す必要があり、顧客サーバは一定期間ユーザからのアクセスを受け付けることができないという問題が発生する。
【００１７】
これらのことから、囮サーバまたは顧客サーバのいずれのサーバの場合であっても、サーバの状態を外部アクセス前の状態に戻すまでの期間に受け付ける他の外部アクセスをいかにして取り扱うかが重要な課題となっている。
【００１８】
そこで、本発明は、上述した従来技術による課題（問題点）を解消するためになされたものであり、複数のアクセスに同時に対処しつつ、サーバの改ざんチェックを実施してセキュリティを維持できるアクセス制御システム、アクセス制御装置及びアクセス制御方法を提供することを目的とする。
【課題を解決するための手段】
【００１９】
本願の開示するアクセス制御システムは、一つの態様において、統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御システムであって、前記複数のサーバが前記外部ネットワークからのアクセスを待機するアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段と、前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送手段と、前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と前記マスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認手段と、前記差分確認手段による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新手段と、前記転送手段に対して、前記転送手段、前記差分確認手段および前記更新手段による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御手段とを有することを特徴とする。
【００２０】
本願の開示するアクセス制御装置は、一つの態様において、統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御装置であって、前記複数のサーバが前記外部ネットワークからのアクセスを待機するアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段と、前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送手段と、前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と前記マスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認手段と、前記差分確認手段による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新手段と、前記転送手段に対して、前記転送手段、前記差分確認手段および前記更新手段による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御手段とを有することを特徴とする。
【００２１】
本願の開示するアクセス制御方法は、一つの態様において、統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御システムに適用するアクセス制御方法であって、前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送工程と、前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と、前記複数のサーバがアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認工程と、前記差分確認工程による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新工程と、前記転送工程に対して、前記転送工程、前記差分確認工程および前記更新工程による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御工程とを含んだことを特徴とする。
【発明の効果】
【００２２】
本願の開示するアクセス制御システムおよび不正アクセス監視方法の一つの態様によれば、悪意あるユーザの攻撃からサーバを防衛しつつ、サーバで多数のユーザに同時にサービスを提供させることが可能になるという効果を奏する。
【図面の簡単な説明】
【００２３】
【図１】図１は、実施例１に係るアクセス制御システムの概要を説明するための図である。
【図２】図２は、実施例１におけるネットワークモデルの一例を示すブロック図である。
【図３】図３は、サーバ監視機能部の構成を説明するためのブロック図である。
【図４】図４は、状態管理テーブルの一例を示す図である。
【図５】図５は、従来のアクセス制御の処理手順例を説明するための図である。
【図６】図６は、実施例１に係るアクセス制御システムにおけるデータフローを示す図である。
【図７】図７は、実施例１に係るアクセス制御システムによる処理手順（アクセス制御）を示すシーケンス図である。
【図８】図８は、ブラックリストを利用する場合のサーバ監視機能部の構成を説明するためのブロック図である。
【図９】図９は、マスタ情報アップデート管理部に保存される情報の一例を示す図である。
【図１０】図１０は、ホワイトリストを利用する場合のサーバ監視機能部の構成を説明するためのブロック図である。
【発明を実施するための形態】
【００２４】
以下に、本願の開示するアクセス制御システム、アクセス制御装置およびアクセス制御方法の実施例を詳細に説明する。なお、以下の実施例により本発明が限定されるものではない。
【実施例１】
【００２５】
［実施例１に係るアクセス制御システムの概要］
まず、図１を用いて、実施例１に係るアクセス制御システムの概要を説明する。図１は、実施例１に係るアクセス制御システムの概要を説明するための図である。
【００２６】
図１に示すように、実施例１に係るアクセス制御システムには、外部ネットワークからのアクセスを受け付ける複数のＷｅｂサーバが設置されている。なお、これらのＷｅｂサーバの間では、統一資源識別子またはアドレスを共有するものとする。
【００２７】
ここで、アクセス制御システムは、外部ネットワークからアクセスを受け付けた場合に、アクセス待機状態以外の状態にあるＷｅｂサーバには当該アクセスを転送しない。
【００２８】
これを具体的に説明すると、図１に示すように、アクセスａがアクセスｂを受け付ける前に既に受け付けられている状況では、ＷｅｂサーバＡは、アクセスａを現在受け付けている状態であったり、アクセスａ前後の差分が抽出されている状態であったり、或いはＷｅｂサーバＡの内容がマスタとなる状態（アクセスａを受け付ける前の状態）に上書されている状態のいずれかの状態に遷移している。
【００２９】
このように、ＷｅｂサーバＡがアクセスの受付を待機している状態（アクセス待機状態）以外の状態に遷移している場合にＷｅｂサーバＡへアクセスｂを転送すると、マルウェアに感染している危険性があるＷｅｂサーバＡにアクセスｂを転送することなる。
【００３０】
特に、ＷｅｂサーバＡが囮サーバとして機能する場合には、不正なアクセスを受け付けたとしても、アクセスａ及びアクセスｂのいずれが原因となってマルウェアのダウンロードが引き起こされているのかを判別するのが困難になってしまう。
【００３１】
このため、アクセスａに関する各種の処理がＷｅｂサーバＡで係属している期間にＷｅｂサーバＡへアクセスｂを転送するのは好ましいと言えない。
【００３２】
そこで、アクセス制御システムでは、アクセス待機状態にあるＷｅｂサーバだけを対象に外部ネットワークからのアクセスを転送させることとした。
【００３３】
図１の例で言えば、外部ネットワークから受け付けたアクセスｂをＷｅｂサーバＡに転送するのではなく、アクセス待機状態にあるＷｅｂサーバＢに転送する。これによって、ＷｅｂサーバＡの状態をアクセスａを受け付ける前の状態に戻すまでの所要期間であっても、アクセスａの後に受け付けたアクセスｂをＷｅｂサーバＢで並行して処理させる。
【００３４】
したがって、実施例１に係るアクセス制御システムでは、短時間に集中したアクセスを複数のＷｅｂサーバで並列処理して対処しつつ、Ｗｅｂサーバの改ざんチェックを実施してＷｅｂサーバのセキュリティを維持することが可能になる。
【００３５】
［実施例１に係るアクセス制御システムの構成］
次に、図２を用いて、実施例１に係るアクセス制御システムの構成を説明する。図２は、実施例１におけるネットワークモデルの一例を示すブロック図である。
【００３６】
図２に示すように、ネットワーク１は、データ中継装置６〜９を経由することでネットワーク２〜５を収容している。ここで、データ中継装置とは、一般的なルータやスイッチ、ゲートウェイ装置などである。また、ネットワーク１は、インターネットのような広域ネットワークであり、ネットワーク２〜５は、それ以外のＬＡＮ（Local Area Network）やホームネットワークなどのネットワークである。
【００３７】
データ中継装置６は、顧客から預かるユーザＷｅｂサーバ１０、１１を収容し、サーバ監視機能部１４経由で囮Ｗｅｂサーバ１６、１７も収容している。
【００３８】
なお、サーバ監視機能部１４は、図２に示すようにデータ中継装置６の外に配置してもよいが、データ中継装置６の一機能の位置付けでデータ中継装置６内に配置してもよい。
【００３９】
また、サーバ監視機能部１４、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７の物理インタフェースを１口とするのであれば、各々の装置に接続した物理リンクをルータやスイッチ、ハブなどの転送装置に接続すればよい。
【００４０】
すなわち、例えば、サーバ監視機能部１４、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７それぞれの物理インタフェースを１台のルータに接続し、該ルータの他の物理インタフェースを、データ中継装置６に接続すればよい。
【００４１】
一方で、各サーバ監視機能部１４、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７の物理インタフェースを複数口とするのであれば、サーバ監視機能部１４と囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７をハブ＆スポーク状に物理リンクで接続すればよい。
【００４２】
すなわち、例えば、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７それぞれの物理インタフェースをサーバ監視機能部１４のある物理インタフェースに接続し、サーバ監視機能部１４の他の物理インタフェースをデータ中継装置６に接続すればよい。なお、これはデータ中継装置６、ユーザＷｅｂサーバ１０およびユーザＷｅｂサーバ１１も同様である。
【００４３】
また、データ中継装置７は、サーバ監視機能部１５経由でユーザＷｅｂサーバ１２、１３も収容している。
【００４４】
これらのネットワーク２、３では、囮ＷｅｂサーバとユーザＷｅｂサーバとを各々２台配置しているが、台数は単数でも３台でもよく、１台のデータ中継装置に収容される囮Ｗｅｂサーバの台数とユーザＷｅｂサーバの台数とが異なってもよい。さらに、攻撃情報の収集のみを目的にして囮Ｗｅｂサーバのみを配置してもよい。
【００４５】
また、ネットワーク４、５には、不正アクセスを試行する攻撃者が使用する端末１８や、攻撃者が正規ユーザやユーザＷｅｂサーバに不正アクセスするために用いるマルウェアを保存しているマルウェア配布サーバ１９が、各々データ中継装置８、９経由で収容されている。
【００４６】
なお、本実施例では、サーバ監視機能部の配下に配置されるサーバには、ローカルアドレスを割り当てて両者の通信を担保することとするが、グローバルアドレスを割り当ててもかまわない。
【００４７】
例えば、グローバルアドレスを割り当てる場合には、サーバ監視機能部とサーバの間でトンネル接続し、当該サーバに関する全通信をサーバ監視機能部経由で送受信するように、サーバに転送設定およびフィルタ設定を実施してもよい。
【００４８】
また、図２に示すネットワーク２または３からサーバを切り離し、アクセスを受け付ける最低限のサーバをネットワークに接続し、当該サーバに限定してアドレスを付与してもよい。
【００４９】
また、同様に、図２に示すネットワーク２または３からサーバを切り離し、アクセスを受け付ける最低限のサーバをネットワーク２または３に接続し、当該サーバに限定してサーバ監視機能部との間でトンネルを設定し、当該サーバに転送設定およびフィルタ設定する方式を採用してもよい。
【００５０】
［サーバ監視機能部の構成］
次に、図３および図４を用いて、サーバ監視機能部の構成を説明する。図３は、サーバ監視機能部の構成を説明するためのブロック図であり、図４は、状態管理テーブルの一例を示す図である。
【００５１】
ここで、図３においては、サーバ監視機能部１４を例示して説明するが、サーバ監視機能部１５も同様の構成となり、サーバ監視機能部に収容される配下のＷｅｂサーバが囮ＷｅｂサーバまたはユーザＷｅｂサーバのいずれである場合でも同様の機能を果たす。
【００５２】
このため、以下では、これら両者を区別せずに配下のＷｅｂサーバを単にＷｅｂサーバと記載することとする。なお、配下のＷｅｂサーバとして囮Ｗｅｂサーバを設ける場合には、特願２００９−０４３２１０に開示される機能部（マルウェア配布サイトのリストを作成するために必要な機能部）をサーバ監視機能部に内在させるのがより好ましい。
【００５３】
図３に示すように、サーバ監視機能部１４は、アクセス管理部２４及びイベント通知部２５を内在するアクセススケジューラ２０と、差分抽出部２１と、リフレッシュ部２２と、状態管理テーブル２６及びマスタ状態管理部２７を内在するイベント管理部２３と、ログ管理部２８とを有する。
【００５４】
状態管理テーブル２６は、サーバ監視機能部が収容するＷｅｂサーバの識別子ごとに当該Ｗｅｂサーバがイベントに伴う遷移の結果として滞在する状態を記憶するテーブルである。なお、ここで言うイベントとは、Ｗｅｂサーバでのアクセス受付、差分抽出やマスタ上書きなどの事象を指すものとする。
【００５５】
この状態管理テーブル２６では、Ｗｅｂサーバの識別子（以下、サーバ識別子という）をキーとして、各サーバがアクセスを待機している状態「アクセス待機状態」、アクセスを受け付けている状態「アクセス受付状態」、アクセス前後の差分を抽出している状態「差分抽出状態」、さらには、サーバの内容をマスタとなる状態で上書きしている状態「マスタ上書き状態」の４つの状態への遷移が管理される。
【００５６】
例えば、図４に示す例では、アクセス待機状態を「１」、アクセス受付状態を「２」、差分抽出状態を「３」、マスタ上書き状態を「４」と規定する場合のテーブル構成を例示しており、サーバ識別子「＃１」が採番されたＷｅｂサーバがアクセス待機状態に遷移しており、また、サーバ識別子「＃２」が採番されたＷｅｂサーバがアクセス受付状態に遷移していることを表している。
【００５７】
なお、図４では、図示を省略しているが、状態管理テーブル２６には、アクセス受付状態「２」および差分抽出状態「３」に遷移している場合に、アクセス送信元のユーザ端末の情報がさらに保存される。ここで言うユーザ端末の情報とは、ＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス等のユーザ識別子を指す。
【００５８】
マスタ状態管理部２７は、サーバ監視機能部が収容しているＷｅｂサーバのマスタとなる状態を保存する機能を有する。ここで言うマスタとは、複数のＷｅｂサーバがアクセス待機状態にある場合に保有させるディレクトリ構成を指し、各Ｗｅｂサーバのサーバディレクトリ内に保有させるべきディレクトリやそのディレクトリ内のファイルの原本がマスタとして保存される。
【００５９】
イベント管理部２３は、状態管理テーブル２６を用いて、サーバ監視機能部が収容する各々のＷｅｂサーバの状態を管理する機能を有する他、アクセススケジューラ２０、差分抽出部２１、リフレッシュ部２２やログ管理部２８との間での各種情報を授受する機能を有する。
【００６０】
これらの機能を他の機能部との間でデータ授受を行うフェイズ別に説明すると、イベント管理部２３は、状態管理テーブル２６内のＷｅｂサーバの状態に関するエントリがアクセス待機状態へ変更された場合に、ユーザ端末による外部ネットワークからのアクセスをどのＷｅｂサーバから順に受け付けさせるのか、すなわちＷｅｂサーバへのアクセス転送順序を決定し、決定したアクセス転送順序をアクセススケジューラ２０に通知する。
【００６１】
つまり、イベント管理部２３では、Ｗｅｂサーバがアクセス待機状態に復帰した際にそのＷｅｂサーバを含めてアクセスの転送順序を決定することにより、アクセス待機状態に復帰したＷｅｂサーバがアクセスの転送先にも即座に復帰できるようにした。
【００６２】
より具体的には、状態管理テーブル２６によって記憶されるＷｅｂサーバの状態がアクセス待機状態「１」であるサーバ識別子だけを対象とし、昇順または降順などの所定の規定にしたがってソートしたサーバ識別子の並び順をアクセス転送順序として決定する。このようにして決定したアクセス転送順序をサーバ識別子で表現した通知（後述する図６の通知１０１を参照）をアクセススケジューラ２０に通知する。
【００６３】
また、イベント管理部２３は、アクセススケジューラ２０によってアクセスがＷｅｂサーバに転送された場合に、当該Ｗｅｂサーバのサーバ識別子に対応する状態管理テーブル２６のエントリの状態をアクセス待機状態からアクセス受付状態へ更新する。
【００６４】
より具体的には、ユーザ端末からのアクセスがＷｅｂサーバに転送されると、アクセスを受け付けたＷｅｂサーバのサーバ識別子およびアクセス送信元のユーザ端末の情報を含んだ通知（図６の１０２を参照）が後述するアクセススケジューラ２０から通知されるので、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態をアクセス待機状態「１」からアクセス受付状態「２」へ変更するとともに、アクセス送信元のユーザ端末の情報を当該エントリに記述する。
【００６５】
さらに、イベント管理部２３は、アクセススケジューラ２０によってＷｅｂサーバによるレスポンスがアクセスの発信元へ送信された場合に、当該Ｗｅｂサーバのサーバ識別子に対応する状態管理テーブル２６のエントリの状態をアクセス受付状態から差分抽出状態へ更新する。
【００６６】
より具体的には、Ｗｅｂサーバによるレスポンスがアクセスの発信元へ送信されると、その旨をサーバ識別子を用いて表現した通知（図６の１０３を参照）がアクセススケジューラ２０から通知されるので、当該サーバ識別子に対応するエントリの状態をアクセス受付状態「２」から差分抽出状態「３」へ変更するとともに、そのサーバ識別子に対応するＷｅｂサーバが保有するディレクトリ構成とマスタ状態管理部２７に保存されるマスタとの間に差分があるか否かを確認するように指示する通知（図６の１０４を参照）を後述する差分抽出部２１へ送信する。
【００６７】
また、イベント管理部２３は、差分抽出部２１から差分の確認結果とサーバ識別子を含む通知（図６の１０５を参照）を受け付けた場合に、その確認結果の確認結果に応じて以降の処理を動作するが、アクセス前後で差分が確認されなかった場合と、アクセス前後で差分が確認された場合との間で動作内容がそれぞれ異なるので、これらを場合分けして説明する。
【００６８】
例えば、アクセス前後で差分が確認されなかった場合には、イベント管理部２３は、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態を差分抽出状態「３」からアクセス待機状態「１」へ変更するとともに当該エントリのユーザ端末の情報を削除する。
【００６９】
さらに、イベント管理部２３は、アクセススケジューラ２０によって後述のログ管理部２８に別途記述された当該ユーザ端末から当該Ｗｅｂサーバへのアクセスログに差分が確認されなかった旨を追記し、当該Ｗｅｂサーバを含めてアクセス転送順序を再度決定してそのアクセス転送順序を含む通知をアクセススケジューラ２０に通知する。
【００７０】
一方、アクセス前後で差分が確認された場合には、イベント管理部２３は、アクセススケジューラ２０によって後述のログ管理部２８に別途記述された当該ユーザ端末から当該Ｗｅｂサーバへのアクセスログに差分の内容を追記し、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態を差分抽出状態「３」からマスタ上書き状態「４」へ変更する。
【００７１】
その上で、イベント管理部２３は、当該サーバ識別子に対応するＷｅｂサーバのディレクトリ構成をマスタ管理状態管理部２７に記憶されたマスタ環境で上書きする指示とサーバの識別子およびマスタとなる状態とを含めた通知（図６の１０６を参照）を生成し、後述のリフレッシュ部２２へ通知する。
【００７２】
そして、イベント管理部２３は、リフレッシュ部２２からサーバの識別子を含む上書き完了通知（図６の１０７を参照）を受け付けると、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態をマスタ上書き状態「４」からアクセス待機状態「１」へ変更するとともに当該エントリのユーザ端末の情報を削除する。
【００７３】
その後、イベント管理部２３は、当該Ｗｅｂサーバを含めてアクセス転送順序を再度決定してそのアクセス転送順序を含む通知をアクセススケジューラ２０に通知する。
【００７４】
なお、図２のネットワークモデルの説明で述べたように、サーバ監視機能部の配下に配置されるサーバにグローバルアドレスを付与する場合には、アドレス割り当てやトンネル設定やサーバへの転送設定を必要に応じて動的に実施する場合は、イベント管理部２３が当該機能を保有する。いずれの機能も、公知の技術で実現可能である。
【００７５】
次の機能部の説明に遷り、アクセス管理部２４は、サーバ監視機能部２３が収容する各々のＷｅｂサーバがアクセスを受付可能であるか否かを管理する機能を有する。一例としては、転送順位ごとに当該転送順位に設定されたサーバ識別子を記憶するテーブルをアクセス管理部２４内に構築する。
【００７６】
例えば、イベント管理部２３からアクセス転送順序を含む通知を受け付けた場合には、当該アクセス転送順序にしたがって各転送順位に対応するエントリのサーバ識別子を更新し、また、アクセススケジューラ２０がアクセスをＷｅｂサーバに転送した場合には、当該Ｗｅｂサーバのサーバ識別子をエントリから削除し、該削除したサーバ識別子がエントリされる転送順位の下位の転送順位からサーバ識別子を１つずつ繰り上げる。
【００７７】
このように、本実施例では、イベント管理部２３から通知されたアクセス転送順序に含まれるサーバ識別子だけを転送先として管理し、アクセススケジューラ２０によってアクセスが転送されたＷｅｂサーバのサーバ識別子を転送先から除外する管理を行うことで、１つのＷｅｂサーバに対して複数のアクセスが同時に転送される事態を回避することとした。
【００７８】
イベント通知部２５は、イベント管理部２３および後述のログ管理部２８との間で通知を送受信する機能を有する。
【００７９】
アクセススケジューラ２０は、アクセス管理部２４を用いて、ユーザ端末による外部ネットワークからのアクセスをＷｅｂサーバに転送する機能の他、Ｗｅｂサーバによるアクセスへのレスポンスをアクセスの送信元に送信する機能を有する。
【００８０】
例えば、ユーザ端末からのアクセスを受信した場合には、アクセススケジューラ２０は、アクセス管理部２４のテーブルに記憶されたサーバ識別子のうち最も転送順位が高いサーバ識別子を持つＷｅｂサーバを転送先として決定し、当該転送先のＷｅｂサーバに対してアクセスを転送する。
【００８１】
そして、アクセススケジューラ２０は、転送先のＷｅｂサーバのサーバ識別子をアクセス管理部２４内のエントリから削除するとともに該削除したサーバ識別子がエントリされる転送順位の下位の転送順位からサーバ識別子を１つずつ繰り上げる更新をアクセス管理部２４に行う。
【００８２】
さらに、アクセススケジューラ２０は、このようにしてＷｅｂサーバへのアクセス転送を開始した際に、当該Ｗｅｂサーバへのアクセス転送を開始した旨とともにサーバ識別子およびユーザ端末の情報を記述した通知をイベント管理部２３へ送信する。
【００８３】
一方、Ｗｅｂサーバによるアクセスへのレスポンスを受信した場合には、アクセススケジューラ２０は、当該レスポンスをアクセス元のユーザ端末に転送するとともに、Ｗｅｂサーバからユーザ端末へアクセスのレスポンスが送信された旨をサーバの識別子を用いて表現した通知を生成してイベント管理部２３へ送信し、自身が転送したアクセスのログを後に記述するログ管理部２８に保存する。
【００８４】
また、アクセススケジューラ２０は、イベント管理部２３からアクセス転送順序を含む通知を受信した場合に、当該アクセス転送順序にしたがって、アクセス管理部２４内の各転送順位に対応するサーバ識別子のエントリを更新する機能も有する。
【００８５】
差分抽出部２１は、イベント管理部２３によって指定されたＷｅｂサーバが保有するディレクトリ構成と、マスタ状態管理部２７によって保存されているマスタとなる状態との間に差分があるか否かを確認する機能を有する。
【００８６】
かかる差分抽出部２１の機能は、ディレクトリやファイルの追加または削除を監査するｔｒｉｐｗｉｒｅなどのソフトウェアを実装することにより実現され、差分抽出部２１は、イベント管理部２３から受け付けた差分確認指示を含む通知（図６の１０４を参照）に応答して本機能部の差分確認機能を起動し、その差分確認結果およびサーバ識別子を記述した通知をイベント管理部２３へ送信する。
【００８７】
リフレッシュ部２２は、イベント管理部２３によって指定されたＷｅｂサーバのディレクトリ構成をマスタ状態管理部２７によって保存されているマスタ環境で上書きする機能を有する。
【００８８】
かかるリフレッシュ部２２の機能は、イベント管理部２３から受け付けたマスタ上書き指示を含む通知（図６の１０６を参照）に応答して起動し、その上書き完了通知およびサーバ識別子を記述した通知をイベント管理部２３へ送信する。
【００８９】
ログ管理部２８は、アクセススケジューラ２０が抽出したアクセスログを管理する機能を有する。また、ログ管理部２８は、イベント管理部２３からアクセスログへの追記指示を受けた場合に、追記内容として記述されているサーバ識別子およびユーザ端末の情報から両者間で送受信されたアクセスログを特定し、当該アクセスログに追記内容として記述されているＷｅｂサーバの差分情報を追記する。
【００９０】
一例としては、ログ管理部２８は、Ｗｅｂサーバのサーバ識別子、アクセス送信元のユーザ端末の情報、ユーザ端末およびＷｅｂサーバ間で送受信されたアクセスログ、アクセス前後におけるＷｅｂサーバの差分情報などの項目を有するデータベースを構築し、イベント管理部２３やアクセススケジューラ２０による指示にしたがって指定の項目に指定のデータを記述する。
【００９１】
［実施例１に係るアクセス制御システムの処理手順］
続いて、図５〜７を用いて、実施例１に係るアクセス制御システムの処理手順を説明する。図５は、従来のアクセス制御の処理手順例を説明するための図であり、図６は、実施例１に係るアクセス制御システムにおけるデータフローを示す図であり、図７は、実施例１に係るアクセス制御システムによる処理手順（アクセス制御）を示すシーケンス図である。
【００９２】
［従来方式］
図５に示すように、従来方式におけるサーバ監視機能部は、ユーザ端末３３からアクセスを受け付けると（ステップＳ５０１）、当該アクセスをＷｅｂサーバ３４に転送し（ステップＳ５０２）、Ｗｅｂサーバ３４からユーザ端末３３に対するリプライを受け付けると（ステップＳ５０３）、当該リプライをユーザ端末３３に転送する（ステップＳ５０４）。
【００９３】
このとき、従来方式におけるサーバ監視機能部は、ユーザ端末３３から攻撃を受けた可能性を考慮して、ユーザ端末３３からのアクセスの前後でＷｅｂサーバ３４の内容に変化がないかを確認するべく、Ｗｅｂサーバ３４の内容の閲覧要求を送信し（ステップＳ５０５）、Ｗｅｂサーバ３４の内容を取得する（ステップＳ５０６）。
【００９４】
そして、従来方式におけるサーバ監視機能部では、ユーザ端末３３へのリプライ送信後に取得したＷｅｂサーバ３４の内容と、自装置が予め保有するアクセス受信前のＷｅｂサーバ３４の内容との間で差分を比較することにより改ざんチェックを行う（ステップＳ５０７）。
【００９５】
ここで、仮にユーザ端末３３からのアクセスが攻撃であった場合には、Ｗｅｂサーバ３４はマルウェアに感染している可能性がある。このため、ステップＳ５０７の差分比較が完了するまでは、Ｗｅｂサーバ３４へのアクセスは許容すべきではない。
【００９６】
このことから、従来方式におけるサーバ監視機能部は、差分比較中にユーザ端末３５からアクセスを受け付けても（ステップＳ５０８）、そのアクセスを許容せず、改ざんチェック中のアクセスを遮断すべく、ユーザ端末３５によってＷｅｂサーバ３４へ要求された処理が実行不能である旨の応答を返信する（ステップＳ５０９）。
【００９７】
また、差分比較の結果、差分が確認された場合には、マルウェア感染を完全に防止するにはＷｅｂサーバ３４を従来方式におけるサーバ監視機能部が保有する内容に戻す必要がある。
【００９８】
このため、従来方式におけるサーバ監視機能部は、Ｗｅｂサーバ３４に対して、自身が保有する内容で現在のＷｅｂサーバ３４の内容を上書きする（ステップＳ５１０）。
【００９９】
このステップＳ５１０のマスタ上書きが完了するまでの間、従来方式におけるサーバ監視機能部では、ユーザ端末３５からアクセスを受け付けても（ステップＳ５１１）、Ｗｅｂサーバ３４へのアクセスは実施できず（ステップＳ５１２）、マスタ上書きが完了した後に（ステップＳ５１３）、Ｗｅｂサーバ３４へアクセスを転送することが可能になる。
【０１００】
このような改ざんチェックやマスタ上書きなどの対応は、改ざんチェック及びマスタ上書きを実行している最中に受け付けたアクセスをリジェクトしてしまうデメリットはあるものの、脆弱性を持つソフトウェアを故意に搭載した囮Ｗｅｂサーバをサーバ監視機能部に収容する場合には、マルウェア配布サイトを正確に特定する上で非常に重要となる。
【０１０１】
［サーバ監視機能部のデータフロー］
続いて、図６を用いて、実施例１に係るアクセス制御システムにおけるデータフローを説明する。図６に示すように、実施例１におけるサーバ監視機能部１４において、イベント管理部２３が、アクセススケジューラ２０に対して、アクセスを受け付けてよいＷｅｂサーバのアクセス転送順序を記述した通知１０１を送信する。これによって、アクセススケジューラ２０では、アクセス受付時にアクセスを転送可能なＷｅｂサーバが特定可能になる。
【０１０２】
この通知１０１を受信したアクセススケジューラ２０は、ユーザ端末からアクセスを受け付けた場合に、その旨を通知する通知１０２を生成してイベント管理部２３へ送信する。これによって、イベント管理部２３では、アクセス待機状態からアクセス受付状態への状態遷移を検知できる。
【０１０３】
さらに、アクセススケジューラ２０は、Ｗｅｂサーバからのレスポンスを受信した場合に、その旨を通知する通知１０３を生成してイベント管理部２３へ送信する。加えて、アクセススケジューラ２０は、ログ管理部２８にアクセスログを記述する。
【０１０４】
これによって、イベント管理部２３では、アクセス待機状態からアクセス受付状態への状態遷移、さらには、差分抽出部２１に差分確認を実行させる処理契機を検知できる。
【０１０５】
この通知１０３を受信したイベント管理部２３は、当該アクセス前後でＷｅｂサーバの内容に差分がないか否かを比較するように指示する通知１０４を差分抽出部２１へ送信する。
【０１０６】
この通知１０４を受信した差分抽出部２１は、当該アクセス前後でＷｅｂサーバの内容に差分がないか否かを確認し、その差分の確認結果を通知１０５によってイベント管理部２３へ通知する。
【０１０７】
この通知１０５を受信したイベント管理部２３は、アクセス前後でＷｅｂサーバの内容に差分があった場合には、ログ管理部２８に差分データを追記し、当該Ｗｅｂサーバをマスタとなる状態に戻すよう指示する通知１０６をリフレッシュ部２２へ送信する。
【０１０８】
この通知１０６を受信したリフレッシュ部２２は、当該Ｗｅｂサーバをマスタとなる状態に戻した後に、その結果を通知するための通知１０７を生成してイベント管理部２３へ送信する。
【０１０９】
この通知１０７を受信したイベント管理部２３は、当該Ｗｅｂサーバをアクセス受付可能なＷｅｂサーバとして通知１０１によってアクセススケジューラ２０に通知する。
【０１１０】
［処理手順（アクセス制御）］
図７に示すように、実施例１に係るアクセス制御システムにおいて、ユーザ端末３３からのアクセスに対するサーバ監視機能部の処理（ステップＳ７０１〜Ｓ７０６）は、図５に示した従来方式（ステップＳ５０１〜Ｓ５０６）と略同一である。
【０１１１】
しかしながら、実施例１に係るアクセス制御システムでは、差分比較中にユーザ端末３５からアクセスを受信しても（ステップＳ７０７）、複数の同一構成Ｗｅｂサーバでアクセスを並列処理できる。
【０１１２】
すなわち、実施例１に係るアクセス制御システムでは、ユーザ端末３５からアクセスを受け付けた場合に、Ｗｅｂサーバ３４と同一構成のＷｅｂサーバ３６にアクセスを転送し（ステップＳ７０８）、Ｗｅｂサーバ３６からユーザ端末３５に対するリプライを受け付けると（ステップＳ７０９）、当該リプライをユーザ端末３５に転送する（ステップＳ７１０）。なお、このＷｅｂサーバ３６についても、Ｗｅｂサーバ３４と同様、Ｗｅｂサーバ３６の内容の閲覧要求を送信し（ステップＳ７１２）、Ｗｅｂサーバ３６の内容を取得し（ステップＳ７１３）、改ざんチェックが実行される。
【０１１３】
一方で、実施例１に係るアクセス制御システムでは、Ｗｅｂサーバ３４へのマスタ上書き（ステップＳ７１１）が完了するまでの間、ユーザ端末３３から２回目のアクセスを受け付けても（ステップＳ７１４）、Ｗｅｂサーバ３４へのアクセスは実施できず（ステップＳ７１５）、マスタ上書きが完了した後に（ステップＳ７１６）、Ｗｅｂサーバ３４へアクセスを転送することが可能になる。なお、このＷｅｂサーバ３６についても、Ｗｅｂサーバ３４と同様、ステップＳ７１７の処理（Ｗｅｂサーバ３４の内容を上書き）を行い、Ｗｅｂサーバによるマスタ上書きの完了通知を受け付ける（ステップＳ７１８）。
【０１１４】
このように、短時間で受信可能なアクセス数は、サーバ監視機能部が収容するＷｅｂサーバ数が多くなるほど高くなる。このため、コストに応じて単位時間に受信可能なアクセス数を柔軟に変更できる。これによって、たとえば短時間に集中した攻撃を全て囮Ｗｅｂサーバへ転送でき、囮Ｗｅｂサーバによって攻撃情報のサンプルをより多く収集することが可能になる。
【０１１５】
［実施例１の効果］
上記してきたように、実施例１に係るアクセス制御システムは、ＵＲＬ（Uniform Resource Locator）やＵＲＩ（Uniform Resource Identifier）などの統一資源識別子、或いはＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス等を共有する複数のＷｅｂサーバを設置する。なお、Ｗｅｂサーバとしては、囮Ｗｅｂサーバ、ユーザＷｅｂサーバもしくはこれらの組合せを収容することが可能である。
【０１１６】
そして、実施例１に係るアクセス制御システムは、外部ネットワークからのアクセスを複数のＷｅｂサーバのうちいずれかのＷｅｂサーバへ転送し、Ｗｅｂサーバによるアクセスの発信元へのレスポンスを受け付けた場合に、当該Ｗｅｂサーバが保有するディレクトリ構成とマスタ環境との間の差分を確認し、差分の確認結果に基づき、当該確認を行ったＷｅｂサーバのディレクトリ構成をマスタ環境で上書き更新する。
【０１１７】
その一方で、実施例１に係るアクセス制御システムは、転送処理、差分確認処理およびマスタ上書き処理のいずれにも介在せずにアクセス待機状態にあるＷｅｂサーバを転送先としてアクセス制御を行うこととした。
【０１１８】
したがって、実施例１に係るアクセス制御システムによれば、攻撃者が囮Ｗｅｂサーバに対して短時間に複数の攻撃を送信した場合や正常ユーザがアプリケーション提供サーバに対して短時間に複数のアクセスを送信した場合に、これらのＷｅｂサーバの改ざんチェックやマルウェア感染対策を実施しつつ、複数の攻撃やアクセスを複数のサーバで並列処理することが可能となる。
【０１１９】
また、実施例１に係るアクセス制御システムによれば、アクセス前後でＷｅｂサーバの内容に差分が確認された場合に、当該Ｗｅｂサーバのディレクトリ構成をマスタとなる状態で上書き更新することとした。
【０１２０】
このため、アクセス前後でＷｅｂサーバの内容に差分が確認されなかった場合には、Ｗｅｂサーバをマスタとなる状態で上書きする必要がなくなり、Ｗｅｂサーバをマスタ上書きで拘束する期間を最小限に低減できる結果、アクセスに対処する処理効率を向上させることが可能になる。
【０１２１】
以上のように、実施例１に係るアクセス制御システムは、Ｗｅｂサーバに代表されるようなアプリケーション提供サーバを悪意あるユーザの攻撃から防衛することができる。特に、ＩＤＳ（Intrusion Detection System）や、ＷＡＦ（Web Application Firewall）でみられるような攻撃トラヒックを検知してアクセス制御を実施することに有効である。
【０１２２】
なお、上記の実施例１では、サーバ監視機能部がＷｅｂサーバを収容する場合を例示したが、本発明はこれに限定されるものではなく、Ｗｅｂサーバ以外のサーバ、たとえばＭａｉｌサーバ、ＮｅｗｓサーバやＮＦＳサーバに対しても本発明を同様に適用することができる。
【０１２３】
なお、当然のことながら、本発明に係るアクセス制御システムは、マルウェア配布サイト、データベースの遠隔操作、その他の不正アクセスなど、複数種類の不正アクセスに対して同時に適用するものであってもよい。
【実施例２】
【０１２４】
これまで本発明の実施例１について説明してきたが、本発明は上記の実施例以外にも、種々の異なる形態にて実施されてよいものである。
【０１２５】
［差分未確認時のマスタ上書き］
上記の実施例１では、アクセス前後でＷｅｂサーバの内容に差分が確認された場合に限定してマスタ上書きを行う場合を例示したが、本発明はこれに限定されるものではなく、アクセス前後でＷｅｂサーバの内容に差分が確認されるか否かに関係なく、いずれの場合でもＷｅｂサーバの内容をマスタとなる状態で上書きすることとしてもよい。
【０１２６】
すなわち、アクセス前後でＷｅｂサーバの内容に差分が確認されなかった場合に、当該Ｗｅｂサーバのサーバ識別子に対応する状態管理テーブル２６内のエントリの状態を差分抽出状態「３」からマスタ上書き状態「４」へ変更した上で、当該サーバ識別子に対応するＷｅｂサーバのディレクトリ構成をマスタ管理状態管理部２７に記憶されたマスタ環境で上書きする指示とサーバの識別子およびマスタとなる状態とを含めた通知（図６の１０６を参照）を生成してリフレッシュ部２２へ通知するようにイベント管理部２３を構成すればよい。
【０１２７】
この場合には、Ｗｅｂサーバのディレクトリ構成をマスタとなる状態で必ず上書き更新することとなるので、マルウェア感染対策をより万全に実施することが可能になる。
【０１２８】
［ブラックリストの利用］
また、本発明では、不正なアクセスと見做すアクセス内容をブラックリストとして記憶しておき、差分が確認された場合に、当該差分のアクセス内容とブラックリストとを照合し、差分の内容がブラックリストに該当する場合には、差分が確認されたサーバのディレクトリ構成をマスタ環境で上書き更新し、差分の内容がブラックリストに該当しない場合には、マスタ環境に差分を反映する更新を行い、該更新後のマスタ環境で他のＷｅｂサーバのディレクトリ構成を上書き更新するようにしてもよい。
【０１２９】
これを図８を用いて具体的に説明する。図８は、ブラックリストを利用する場合のサーバ監視機能部の構成を説明するためのブロック図である。なお、ここでは、上記の実施例１との差異がある部分だけを説明し、同様の部分についてはその説明を省略する。
【０１３０】
図８に示すように、サーバ監視機能部１４ａは、上記の実施例１に比較して、アクセススケジューラ２０がユーザ応答生成部２９を内在し、イベント管理部２３がブラックリスト３０及びマスタ情報アップデート管理部３１を内在する点が大きく異なる。
【０１３１】
ブラックリスト３０は、ユーザによるアクセスを禁止しているディレクトリやディレクトリ内のファイルをリストとして保有する機能を有する。
【０１３２】
すなわち、ブラックリスト３０は、攻撃者が攻撃に用いるアクセスパターンをリスト化したものであり、これに該当するアクセスパターンを不正アクセスと見做すためのものである。
【０１３３】
マスタ情報アップデート管理部３１は、マスタとなる状態に反映された差分が各Ｗｅｂサーバの内容に反映されているか否かを管理する機能を有する。
【０１３４】
一例としては、図９に示すように、Ｗｅｂサーバのサーバ識別子、各Ｗｅｂサーバの上書き最終日時およびマスタとなる状態の最新更新日時などの項目を有するデータベースを構築し、イベント管理部２３による指示にしたがって指定の項目に指定のデータを記述する。なお、上書き最終日時が最新更新日時より以前の日時である場合には、マスタとなる状態に反映された差分が当該Ｗｅｂサーバの内容に反映されていないことの証左となる。
【０１３５】
ここで、アクセス前後にＷｅｂサーバの内容に差分が確認された場合におけるイベント管理部２３の機能は、ブラックリスト３０、マスタ情報アップデート管理部３１及び後述のユーザ応答生成部２９との間で相関関係があるので、その点に焦点をあてて説明する。
【０１３６】
イベント管理部２３は、差分抽出部２１から差分の確認結果とサーバ識別子を含む通知（図６の１０５を参照）を受け付けた場合に、確認結果として、アクセス前後で差分があるとの確認結果が得られたならば、当該差分の内容がブラックリスト３０に記載された内容と一致するか否かを照合する。
【０１３７】
このとき、差分の内容がブラックリスト３０に該当する場合には、イベント管理部２３は、後述のユーザ応答生成部２９に対して、Ｗｅｂサーバへ依頼された処理を実行できない旨を通知する画面を表示するメッセージをユーザ端末へ送信するよう指示する。
【０１３８】
なお、以降の動作は、上記の実施例１と同様であり、概要としては、状態管理テーブル２６内のエントリの状態を差分抽出状態からマスタ上書き状態へ遷移させ、リフレッシュ部２２へのマスタ上書き指示を行い、上書き完了通知の受付後には、状態管理テーブル２６内のエントリの状態をマスタ上書き状態からアクセス待機状態へ遷移させるとともに当該エントリのユーザ端末の情報を削除し、アクセス待機状態に復帰したＷｅｂサーバを含めてアクセス転送順序を再度決定する。
【０１３９】
一方、差分の内容がブラックリスト３０に該当しない場合には、イベント管理部２３は、後述のユーザ応答生成部２９に対して、ユーザ端末にＷｅｂサーバからのレスポンスを送信するよう指示し、アクセススケジューラ２０によってログ管理部２８に別途記述された当該ユーザ端末から当該Ｗｅｂサーバへのアクセスログに差分の内容を追記する。
【０１４０】
そして、イベント管理部２３は、マスタ状態管理部２７に保存されているマスタとなる状態に差分の内容を反映させた上でマスタ情報アップデート管理部３１内のマスタ環境の最新更新日時を更新し、状態管理テーブル２６及びマスタ情報アップデート管理部３１を閲覧する。
【０１４１】
このとき、イベント管理部２３は、上書き最終日時がマスタ環境の最新更新日時より以前の日時であり、かつアクセス待機状態にあるサーバ識別子を対象に、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態を差分抽出状態「３」からマスタ上書き状態「４」へ変更する。
【０１４２】
その上で、イベント管理部２３は、当該サーバ識別子に対応するＷｅｂサーバのディレクトリ構成をマスタ管理状態管理部２７に記憶されたマスタ環境で上書きする指示とサーバの識別子およびマスタとなる状態とを含めた通知（図６の１０６を参照）を生成し、リフレッシュ部２２へ通知する。
【０１４３】
このようにして、イベント管理部２３では、アップデート未完了かつアクセス待機状態のＷｅｂサーバのディレクトリ構成を差分反映後のマスタ環境で上書き更新する。
【０１４４】
その後、イベント管理部２３は、リフレッシュ部２２からサーバの識別子を含む上書き完了通知（図６の１０７を参照）を受け付けると、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態をマスタ上書き状態「４」からアクセス待機状態「１」へ変更するとともに当該エントリのユーザ端末の情報を削除し、当該サーバ識別子に対応するマスタ情報アップデート管理部３１内のエントリの上書き最終日時を更新する。
【０１４５】
また、イベント管理部２３では、アップデートが未完了であるがアクセス待機状態以外の状態に遷移しているＷｅｂサーバを漏らさずアップデートすべく、タイマーを保有する等の手段を用いて、状態管理テーブル２６とマスタ情報アップデート管理部３１を所定の周期で監視し、アップデートが未完了であるＷｅｂサーバがアクセス待機状態に復帰したことを検知できるように、Ｗｅｂサーバの状態を定期的に確認するのが望ましい。
【０１４６】
なお、ここでは、マスタ情報アップデート管理部３１が図９に示すデータベースを静的に保有し続ける場合について説明したが、本発明はこれに限定されるものではなく、アップデートが未完了であるサーバ識別子だけをエントリし、アップデートが完了したサーバ識別子を削除する時限的なデータベースとして構築することとしてもよい。
【０１４７】
ユーザ応答生成部２９は、Ｗｅｂサーバによるアクセスのレスポンスを一旦受信した上で当該レスポンスをユーザ端末に送信するのを一時保留する機能を有する。
【０１４８】
より具体的には、ユーザ応答生成部２９は、ユーザ端末に対しては処理中である旨を通知する画面を表示するメッセージを送信する一方で、イベント管理部２３に対してはＷｅｂサーバによるアクセスへのレスポンスを受信した旨をサーバ識別子を用いて表現した通知として送信する。
【０１４９】
その後、イベント管理部２３によってＷｅｂサーバからのレスポンスをユーザ端末へ送信するよう指示された場合には、ユーザ応答生成部２９は、一旦受信したレスポンスの中からイベント管理部２３によって指示されたユーザ端末とＷｅｂサーバに対応するレスポンスを抽出し、該抽出したレスポンスを当該ユーザ端末へ送信する。
【０１５０】
一方、イベント管理部２３によってＷｅｂサーバへ依頼された処理を実行できない旨を通知する画面を表示するメッセージをユーザ端末へ送信するよう指示された場合には、ユーザ応答生成部２９は、一旦受信したレスポンスの中から、イベント管理部２３によって指示されたユーザ端末とＷｅｂサーバに対応するレスポンスを抽出し、当該レスポンスを廃棄するとともに、当該ユーザ端末に対して、Ｗｅｂサーバへ依頼された処理を実行できない旨を通知する画面を表示するメッセージを送信する。
【０１５１】
このように、サーバ監視機能部１４ａは、不正なアクセスと見做すアクセス内容をブラックリストとして記憶しておき、差分が確認された場合に、当該差分のアクセス内容と、ブラックリストとを照合する。
【０１５２】
そして、サーバ監視機能部１４ａは、差分の内容がブラックリストに該当する場合には、差分が確認されたサーバのディレクトリ構成をマスタ環境で上書き更新し、差分の内容がブラックリストに該当しない場合には、マスタ環境に差分を反映する更新を行い、該更新後のマスタ環境で他のＷｅｂサーバのディレクトリ構成を上書き更新する。
【０１５３】
したがって、サーバ監視機能部１４ａによれば、ブラックリストを用いて、予め攻撃と擬制されるアクセスの内容と同じパターンのアクセスをユーザ端末から受け付けた場合にＷｅｂサーバの改ざんを目的としたアクセスであると見做すことができ、悪意のあるユーザの攻撃をパターン化して看破することができる結果、Ｗｅｂサーバの改ざんチェックを効率化することが可能になる。
【０１５４】
［マスタ環境に対する更新アクセスの制限］
前述したように、図８に示すサーバ監視機能部では、マスタ状態管理部２７によって保存されたマスタ環境に差分を反映する更新を行う場合について説明したが、複数のＷｅｂサーバで差分が個別に確認された場合には、一方の差分をマスタ環境に反映する更新が実行されている最中に他方の差分を反映する更新アクセスがマスタに行われ、データ更新が競合するおそれがある。
【０１５５】
このようなデータ更新の競合を防止すべく、本発明では、イベント管理部２３によってマスタ環境に差分を反映する更新が実行されている場合に、当該更新以外のマスタへの更新アクセスであって当該差分の反映先のディレクトリを変更対象とする更新アクセスを禁止することもできる。
【０１５６】
具体的には、イベント管理部２３では、ユーザ応答生成部２９へ指示を通知する前であり、且つ、マスタとなる状態を変更する前に、サーバの上書き最終日時とマスタとなる状態の最新更新日時を比較し、前者が後者より以前の日時である場合は、重複書き込みが発生する可能性が高いため、マスタとなる状態への変更を中止する。
【０１５７】
この際、イベント管理部２３は、ユーザ応答生成部２９に対しては、Ｗｅｂサーバへ依
頼された処理を実行できない旨を通知する画面を表示するメッセージをユーザへ送信するよう指示し、ログ管理部２８には、差分となる情報は追記しない。
【０１５８】
これによって、マスタ環境に差分を反映する更新イベントが重複したとしても先の行為新イベントを優先し、先の更新イベントが終了するまでは後の更新イベントを禁止することができるので、複数の更新イベントが競合することがなくなる結果、マスタ環境の原本性を保証することが可能になる。
【０１５９】
［ホワイトリストの利用］
また、本発明では、正当なアクセスと見做すアクセス内容をホワイトリストとして記憶しておき、差分が確認された場合に、当該差分の内容とホワイトリストとを照合し、差分の内容がホワイトリストに該当する場合には、マスタ環境に差分を反映する更新を行い、該更新後のマスタ環境で他のサーバのディレクトリ構成を上書き更新し、差分の内容がホワイトリストに該当しない場合には、差分が確認されたサーバのディレクトリ構成をマスタ環境で上書き更新するようにしてもよい。
【０１６０】
これを図１０を用いて具体的に説明する。図１０は、ホワイトリストを利用する場合のサーバ監視機能部の構成を説明するためのブロック図である。なお、ここでは、図８と対比しながら差異がある部分だけを説明し、同様の部分についてはその説明を省略する。
【０１６１】
図１０に示すように、サーバ監視機能部１４ｂは、図８に示したサーバ監視機能部１４ａに比較して、イベント管理部２３がブラックリスト３０ではなく、ホワイトリスト３２を内在する点が大きく異なる。
【０１６２】
ホワイトリスト３２は、ユーザによるアクセスを許容しているディレクトリやディレクトリ内のファイルをリストとして保有する機能を有する。
【０１６３】
すなわち、ブラックリスト３２は、運用者が正式なものと認定したアクセスパターンをリスト化したものであり、これに該当するアクセスパターンを正当なアクセスと見做すためのものである。
【０１６４】
ここで、アクセス前後にＷｅｂサーバの内容に差分が確認された場合におけるイベント管理部２３の機能は、ブラックリスト３０を適用した場合と表裏の関係にある。
【０１６５】
イベント管理部２３は、差分抽出部２１から差分の確認結果とサーバ識別子を含む通知（図６の１０５を参照）を受け付けた場合に、確認結果として、アクセス前後で差分があるとの確認結果が得られたならば、当該差分の内容がホワイトリスト３２に記載された内容と一致するか否かを照合する。
【０１６６】
ここで、差分の内容がホワイトリスト３２に該当する場合には、イベント管理部２３は、上記のブラックリスト３０に該当しなかった場合と同様の動作を行う一方で、差分の内容がホワイトリスト３２に該当しなかった場合には、上記のブラックリスト３０に該当した場合と同様の動作を行う。
【０１６７】
このように、サーバ監視機能部１４ｂは、正当なアクセスと見做すアクセス内容をホワイトリストとして記憶しておき、差分が確認された場合に、当該差分のアクセス内容と、ホワイトリストとを照合する。
【０１６８】
そして、サーバ監視機能部１４ｂは、差分の内容がホワイトリストに該当する場合には、マスタ環境に差分を反映する更新を行い、該更新後のマスタ環境で他のＷｅｂサーバのディレクトリ構成を上書き更新する一方で、差分の内容がホワイトリストに該当しない場合には、差分が確認されたサーバのディレクトリ構成をマスタ環境で上書き更新する。
【０１６９】
したがって、サーバ監視機能部１４ｂによれば、ホワイトリストを用いて、予めアップデート等の正当なアクセスと擬制されるアクセスの内容と同じパターンのアクセスをユーザ端末から受け付けた場合にＷｅｂサーバの改ざんを目的としたアクセスではないと見做すことができ、正規のユーザによるアクセスをパターン化して看破することができる結果、Ｗｅｂサーバの改ざんチェックやマルウェア感染対策を効率化することが可能になる。
【０１７０】
なお、ここでは、図３に示したサーバ監視機能部１４、図８に示したサーバ監視機能部１４ａ、図１０に示したサーバ監視機能部１４ｂを個別に説明したが、これら３者の機能を任意に組み合わせて実行することができる。
【０１７１】
これらサーバ監視機能部１４、サーバ監視機能部１４ａ及びサーバ監視機能部１４ｂの機能を統合して構成した場合には、Ｗｅｂサーバに代表されるアプリケーション提供サーバを、悪意あるユーザの攻撃から防衛しつつ、多数のユーザに同時にサービスを提供できるアプリケーション提供サーバを構築させることが可能になる。
【０１７２】
［Ｗｅｂサーバによるマスタ上書きの自律制御］
上記の実施例１及び２では、Ｗｅｂサーバのディレクトリ構成をアクセス前のディレクトリ構成、すなわちマスタ環境に戻す手法として、サーバ監視機能部のマスタ状態管理部２７によって保存されるマスタとなる状態でＷｅｂサーバのディレクトリ構成を上書き更新する場合を例示したが、本発明はこれに限定されるものではない。
【０１７３】
例えば、ＵＮＩＸ（登録商標）系コマンドであるｃｈｒｏｏｔなどでアクセスできる限定的なディレクトリ空間にＷｅｂサーバを構築する一方で、その空間とは異なるディレクトリ空間にマスタとなる状態のコピーを配置することもできる。
【０１７４】
このように、Ｗｅｂサーバ上にマスタとなる状態を配置しておき、Ｗｅｂサーバを再起動しつつ当該マスタ環境を限定的なディレクトリ空間に展開することで、マスタとなる状態をＷｅｂサーバとして運用するディレクトリ空間に容易かつ高速に展開することが可能である。
【０１７５】
さらに、サーバ監視機能部がマスタ環境を更新する更新アクセスを行う必要がなくなるので、各Ｗｅｂサーバでマスタ上書きに係る負荷を分散し、もってサーバ監視機能部のトラヒックを低減することが可能になる。
【０１７６】
なお、ＷｅｂサーバをＶＭｗａｒｅという仮想化機能を用いて実装すれば、ＶＭｗａｒｅに搭載されているリバート機能を用いて実現することもできる。
【０１７７】
［アクセスログの保存形態］
上記の実施例１及び２では、イベント管理部２３をサーバ監視機能部内に内在させ、サーバ監視機能部配下に存在する複数のＷｅｂサーバを用いてユーザ端末からのアクセスを並列処理を可能とするアクセス制御システムを例示した。
【０１７８】
かかるアクセス制御システムでは、ログ管理部２８に保存するログを目的に応じて変更することができる。この際、特に差分情報に関して、発生した差分情報を全てログに残す一方でマスタとなる状態に反映された情報にのみフラグをつける形を採用し、可能な限り多くのログを保存する運用方式を採用することが好ましい。
【０１７９】
［イベント管理部の司令塔化］
なお、上記の実施例１及び２では、イベント管理部２３は、アクセススケジューラ２０、差分抽出部２１やリフレッシュ部２２の集中管理装置の位置付けとなっている。例えば、特願２００９−０４３２１０号公報に記載されている監視装置には、差分抽出部やリフレッシュ部が含まれる可能性がある。
【０１８０】
このような監視装置を複数配置したネットワークにおいて、イベント管理部２３を集中制御サーバの位置付けで配置するとともに、複数の監視装置を収容する形で置かれたリバースプロキシのような負荷分散装置にアクセススケジューラ２０を搭載することで、複数の監視装置を用いて、実施例１及び２の動作を実行させることも可能である。
【０１８１】
［アクセス転送順序］
上記の実施例１及び２では、外部アクセスをＷｅｂサーバに転送するアクセスの転送順序を決定する場合にサーバ識別子を昇順または降順にソートしたものを転送順序として決定する場合を例示したが、本発明はこれに限定されるものではなく、アクセス待機状態「１」にあるＷｅｂサーバを対象にするのであれば、任意のＷｅｂサーバに任意の転送順序を付与できる。
【０１８２】
例えば、アクセス待機状態にあるＷｅｂサーバを対象に転送順序をランダムに割り振ることもできる。これによって、たとえば転送順序を構成する各転送順位ごとにアクセス待機状態「１」にあるＷｅｂサーバのサーバ識別子の中からランダムにサーバ識別子を抽出するといった簡易な仕組みでアクセス転送順序を決定でき、アクセス制御システムを低コストで実現することが可能になる。
【０１８３】
また、アクセス待機状態にあるＷｅｂサーバのうち、最後に外部アクセスを受け付けた最終アクセス受付時間が最も古いＷｅｂサーバのサーバ識別子から順にソートしたサーバ識別子の並び順をアクセス転送順序として決定することもできる。これによって、同一のＷｅｂサーバが連続して使用されることを防止できる結果、故障発生リスクを低減させることが可能になる。
【０１８４】
また、Ｗｅｂサーバが外部アクセスを処理したアクセス処理回数をカウントするカウンタをイベント管理部２３に持たせ、そのアクセス処理回数が各Ｗｅｂサーバ間で均等になるようにアクセス転送順序を決定することもできる。
【０１８５】
例を挙げれば、各Ｗｅｂサーバのアクセス処理回数の平均回数を下回るＷｅｂサーバのサーバ識別子だけを対象に転送順序を決定したり、さらには、アクセス処理回数が少ないサーバ識別子から順にソートしたりする。これによって、各Ｗｅｂサーバ間で累計のアクセス処理回数を平滑化でき、特定のＷｅｂサーバだけにアクセスが集中するのを防止できる結果、故障発生リスクを低減させることが可能になる。
【産業上の利用可能性】
【０１８６】
以上のように、本発明に係るアクセス制御システム、アクセス制御装置及びアクセス制御方法は、複数のアクセスに同時に対処しつつ、サーバの改ざんチェックを実施してセキュリティを維持する場合に適している。
【符号の説明】
【０１８７】
１ ネットワーク
２ ネットワーク
３ ネットワーク
４ ネットワーク
５ ネットワーク
６ データ中継装置
７ データ中継装置
８ データ中継装置
９ データ中継装置
１０ ユーザＷｅｂサーバ
１１ ユーザＷｅｂサーバ
１２ ユーザＷｅｂサーバ
１３ ユーザＷｅｂサーバ
１４ サーバ監視機能部
１５ サーバ監視機能部
１６ 囮Ｗｅｂサーバ
１７ 囮Ｗｅｂサーバ
１８ 攻撃者端末
１９ マルウェア配布サーバ
２０ アクセススケジューラ
２１ 差分抽出部
２２ リフレッシュ部
２３ イベント管理部
２４ アクセス管理部
２５ イベント通知部
２６ 状態管理テーブル
２７ マスタ状態管理部
２８ ログ管理部
【技術分野】
【０００１】
本発明は、統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御システム、アクセス制御装置及びアクセス制御方法に関する。
【背景技術】
【０００２】
近年、インターネットの普及に伴い、個人情報の管理やアプリケーションの配信を実施するサーバに対するサイバー攻撃が急増している。
【０００３】
このサイバー攻撃の代表例としては、攻撃者が正規ユーザのサーバや端末に不正アクセスするために用いる攻撃ツールプログラムであるマルウェアを利用したＤＤｏＳ（Distributed Denial of Services）攻撃やスパム送信や情報盗難などが挙げられる。
【０００４】
これらの攻撃の多くは、既存のサーバを乗っ取り、そのサーバを踏み台として他のサーバを攻撃する形で実施される。
【０００５】
従来、これらの脅威に対処するために、ファイアウォール機能と転送データ監視機能をルータ等のパケット転送装置に実装してサーバ監視機能を構築し、それをサーバの前段に配置することで、送受信されるデータの内容やパケットヘッダ内容に応じて通信を制御するアクセス制御技術が用いられる。
【０００６】
この技術では、サーバ監視機能を開発したセキュリティベンダが、既知のソフトウェア脆弱性やマルウェアを解析することで、攻撃者がサーバに対して取りうる送信メッセージパターンをシグネチャ化し、シグネチャにマッチする送信メッセージをサーバ監視機能でフィルタする。これにより、攻撃者の不正アクセスからサーバを防衛する。
【０００７】
しかし、サーバ監視装置では、シグネチャにマッチしない通信についてはネットワークの通過を許容するため、この通過可能な通信サービスを悪用した不正アクセスを完全に阻止することは困難である。
【０００８】
このため、例えば、セキュリティベンダにとって未知となるソフトウェアの脆弱性や、セキュリティベンダが解析していないソフトウェアの脆弱性に基づいた攻撃には対応することはできないというボトルネックがあった。
【先行技術文献】
【特許文献】
【０００９】
【特許文献１】特開２００６−１１４０４４号公報
【発明の概要】
【発明が解決しようとする課題】
【００１０】
ところで、最近では、上記のボトルネックを解消すべく、脆弱性があるソフトウェアを故意に搭載した囮サーバをサーバ監視機能配下に配置し、サーバ監視機能で囮サーバへのアクセスを監視する仕組みが考えられつつある。
【００１１】
すなわち、攻撃者がアプリケーション提供サーバ等に不正アクセスする際に利用するマルウェアを代表としたプログラムを囮サーバがダウンロードする際の挙動を捉え、ダウンロード要求先をマルウェアダウンロード用のサイトと特定する方式が検討されている。
【００１２】
この方式により取得したマルウェアダウンロードサイトをブラックリストとして、顧客サーバまたは顧客サーバとネットワークの境界に配置されたファイアフォール機能やセキュリティアプライアンス等に入力することで、顧客サーバがマルウェアに感染する事態を回避する。
【００１３】
ところが、上記の方式では、攻撃が発生する毎に囮サーバがマルウェアに感染する可能性がある。そして、マルウェアに感染した囮サーバは、攻撃者の意図に応じてＣ＆Ｃサーバへの接続を試行する場合や他者に攻撃トラヒックを送信する場合がある。このため、攻撃が直接の原因となって引き起こされるマルウェアダウンロードを正確に抽出するには、囮サーバがマルウェアに感染していないことが前提条件となる。
【００１４】
この前提条件を満たすために、従来では、囮サーバへの攻撃が確認された後に囮サーバが改ざんされているか否かを調査し、必要に応じて囮サーバをマルウェア感染前の状態に戻す処理を行っている。
【００１５】
しかしながら、囮サーバをマルウェア感染前の状態に戻すには、一定の期間（数分程度）が必要であるので、状態の差戻し中には囮サーバで攻撃を収集できないという問題がある。
【００１６】
また、囮サーバを用いずに顧客サーバを直接監視する方式においても、上記の囮サーバの場合と同様に、不正アクセス受付時に当該顧客サーバをマルウェア感染前の状態に戻す必要があり、顧客サーバは一定期間ユーザからのアクセスを受け付けることができないという問題が発生する。
【００１７】
これらのことから、囮サーバまたは顧客サーバのいずれのサーバの場合であっても、サーバの状態を外部アクセス前の状態に戻すまでの期間に受け付ける他の外部アクセスをいかにして取り扱うかが重要な課題となっている。
【００１８】
そこで、本発明は、上述した従来技術による課題（問題点）を解消するためになされたものであり、複数のアクセスに同時に対処しつつ、サーバの改ざんチェックを実施してセキュリティを維持できるアクセス制御システム、アクセス制御装置及びアクセス制御方法を提供することを目的とする。
【課題を解決するための手段】
【００１９】
本願の開示するアクセス制御システムは、一つの態様において、統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御システムであって、前記複数のサーバが前記外部ネットワークからのアクセスを待機するアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段と、前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送手段と、前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と前記マスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認手段と、前記差分確認手段による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新手段と、前記転送手段に対して、前記転送手段、前記差分確認手段および前記更新手段による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御手段とを有することを特徴とする。
【００２０】
本願の開示するアクセス制御装置は、一つの態様において、統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御装置であって、前記複数のサーバが前記外部ネットワークからのアクセスを待機するアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段と、前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送手段と、前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と前記マスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認手段と、前記差分確認手段による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新手段と、前記転送手段に対して、前記転送手段、前記差分確認手段および前記更新手段による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御手段とを有することを特徴とする。
【００２１】
本願の開示するアクセス制御方法は、一つの態様において、統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御システムに適用するアクセス制御方法であって、前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送工程と、前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と、前記複数のサーバがアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認工程と、前記差分確認工程による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新工程と、前記転送工程に対して、前記転送工程、前記差分確認工程および前記更新工程による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御工程とを含んだことを特徴とする。
【発明の効果】
【００２２】
本願の開示するアクセス制御システムおよび不正アクセス監視方法の一つの態様によれば、悪意あるユーザの攻撃からサーバを防衛しつつ、サーバで多数のユーザに同時にサービスを提供させることが可能になるという効果を奏する。
【図面の簡単な説明】
【００２３】
【図１】図１は、実施例１に係るアクセス制御システムの概要を説明するための図である。
【図２】図２は、実施例１におけるネットワークモデルの一例を示すブロック図である。
【図３】図３は、サーバ監視機能部の構成を説明するためのブロック図である。
【図４】図４は、状態管理テーブルの一例を示す図である。
【図５】図５は、従来のアクセス制御の処理手順例を説明するための図である。
【図６】図６は、実施例１に係るアクセス制御システムにおけるデータフローを示す図である。
【図７】図７は、実施例１に係るアクセス制御システムによる処理手順（アクセス制御）を示すシーケンス図である。
【図８】図８は、ブラックリストを利用する場合のサーバ監視機能部の構成を説明するためのブロック図である。
【図９】図９は、マスタ情報アップデート管理部に保存される情報の一例を示す図である。
【図１０】図１０は、ホワイトリストを利用する場合のサーバ監視機能部の構成を説明するためのブロック図である。
【発明を実施するための形態】
【００２４】
以下に、本願の開示するアクセス制御システム、アクセス制御装置およびアクセス制御方法の実施例を詳細に説明する。なお、以下の実施例により本発明が限定されるものではない。
【実施例１】
【００２５】
［実施例１に係るアクセス制御システムの概要］
まず、図１を用いて、実施例１に係るアクセス制御システムの概要を説明する。図１は、実施例１に係るアクセス制御システムの概要を説明するための図である。
【００２６】
図１に示すように、実施例１に係るアクセス制御システムには、外部ネットワークからのアクセスを受け付ける複数のＷｅｂサーバが設置されている。なお、これらのＷｅｂサーバの間では、統一資源識別子またはアドレスを共有するものとする。
【００２７】
ここで、アクセス制御システムは、外部ネットワークからアクセスを受け付けた場合に、アクセス待機状態以外の状態にあるＷｅｂサーバには当該アクセスを転送しない。
【００２８】
これを具体的に説明すると、図１に示すように、アクセスａがアクセスｂを受け付ける前に既に受け付けられている状況では、ＷｅｂサーバＡは、アクセスａを現在受け付けている状態であったり、アクセスａ前後の差分が抽出されている状態であったり、或いはＷｅｂサーバＡの内容がマスタとなる状態（アクセスａを受け付ける前の状態）に上書されている状態のいずれかの状態に遷移している。
【００２９】
このように、ＷｅｂサーバＡがアクセスの受付を待機している状態（アクセス待機状態）以外の状態に遷移している場合にＷｅｂサーバＡへアクセスｂを転送すると、マルウェアに感染している危険性があるＷｅｂサーバＡにアクセスｂを転送することなる。
【００３０】
特に、ＷｅｂサーバＡが囮サーバとして機能する場合には、不正なアクセスを受け付けたとしても、アクセスａ及びアクセスｂのいずれが原因となってマルウェアのダウンロードが引き起こされているのかを判別するのが困難になってしまう。
【００３１】
このため、アクセスａに関する各種の処理がＷｅｂサーバＡで係属している期間にＷｅｂサーバＡへアクセスｂを転送するのは好ましいと言えない。
【００３２】
そこで、アクセス制御システムでは、アクセス待機状態にあるＷｅｂサーバだけを対象に外部ネットワークからのアクセスを転送させることとした。
【００３３】
図１の例で言えば、外部ネットワークから受け付けたアクセスｂをＷｅｂサーバＡに転送するのではなく、アクセス待機状態にあるＷｅｂサーバＢに転送する。これによって、ＷｅｂサーバＡの状態をアクセスａを受け付ける前の状態に戻すまでの所要期間であっても、アクセスａの後に受け付けたアクセスｂをＷｅｂサーバＢで並行して処理させる。
【００３４】
したがって、実施例１に係るアクセス制御システムでは、短時間に集中したアクセスを複数のＷｅｂサーバで並列処理して対処しつつ、Ｗｅｂサーバの改ざんチェックを実施してＷｅｂサーバのセキュリティを維持することが可能になる。
【００３５】
［実施例１に係るアクセス制御システムの構成］
次に、図２を用いて、実施例１に係るアクセス制御システムの構成を説明する。図２は、実施例１におけるネットワークモデルの一例を示すブロック図である。
【００３６】
図２に示すように、ネットワーク１は、データ中継装置６〜９を経由することでネットワーク２〜５を収容している。ここで、データ中継装置とは、一般的なルータやスイッチ、ゲートウェイ装置などである。また、ネットワーク１は、インターネットのような広域ネットワークであり、ネットワーク２〜５は、それ以外のＬＡＮ（Local Area Network）やホームネットワークなどのネットワークである。
【００３７】
データ中継装置６は、顧客から預かるユーザＷｅｂサーバ１０、１１を収容し、サーバ監視機能部１４経由で囮Ｗｅｂサーバ１６、１７も収容している。
【００３８】
なお、サーバ監視機能部１４は、図２に示すようにデータ中継装置６の外に配置してもよいが、データ中継装置６の一機能の位置付けでデータ中継装置６内に配置してもよい。
【００３９】
また、サーバ監視機能部１４、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７の物理インタフェースを１口とするのであれば、各々の装置に接続した物理リンクをルータやスイッチ、ハブなどの転送装置に接続すればよい。
【００４０】
すなわち、例えば、サーバ監視機能部１４、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７それぞれの物理インタフェースを１台のルータに接続し、該ルータの他の物理インタフェースを、データ中継装置６に接続すればよい。
【００４１】
一方で、各サーバ監視機能部１４、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７の物理インタフェースを複数口とするのであれば、サーバ監視機能部１４と囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７をハブ＆スポーク状に物理リンクで接続すればよい。
【００４２】
すなわち、例えば、囮Ｗｅｂサーバ１６および囮Ｗｅｂサーバ１７それぞれの物理インタフェースをサーバ監視機能部１４のある物理インタフェースに接続し、サーバ監視機能部１４の他の物理インタフェースをデータ中継装置６に接続すればよい。なお、これはデータ中継装置６、ユーザＷｅｂサーバ１０およびユーザＷｅｂサーバ１１も同様である。
【００４３】
また、データ中継装置７は、サーバ監視機能部１５経由でユーザＷｅｂサーバ１２、１３も収容している。
【００４４】
これらのネットワーク２、３では、囮ＷｅｂサーバとユーザＷｅｂサーバとを各々２台配置しているが、台数は単数でも３台でもよく、１台のデータ中継装置に収容される囮Ｗｅｂサーバの台数とユーザＷｅｂサーバの台数とが異なってもよい。さらに、攻撃情報の収集のみを目的にして囮Ｗｅｂサーバのみを配置してもよい。
【００４５】
また、ネットワーク４、５には、不正アクセスを試行する攻撃者が使用する端末１８や、攻撃者が正規ユーザやユーザＷｅｂサーバに不正アクセスするために用いるマルウェアを保存しているマルウェア配布サーバ１９が、各々データ中継装置８、９経由で収容されている。
【００４６】
なお、本実施例では、サーバ監視機能部の配下に配置されるサーバには、ローカルアドレスを割り当てて両者の通信を担保することとするが、グローバルアドレスを割り当ててもかまわない。
【００４７】
例えば、グローバルアドレスを割り当てる場合には、サーバ監視機能部とサーバの間でトンネル接続し、当該サーバに関する全通信をサーバ監視機能部経由で送受信するように、サーバに転送設定およびフィルタ設定を実施してもよい。
【００４８】
また、図２に示すネットワーク２または３からサーバを切り離し、アクセスを受け付ける最低限のサーバをネットワークに接続し、当該サーバに限定してアドレスを付与してもよい。
【００４９】
また、同様に、図２に示すネットワーク２または３からサーバを切り離し、アクセスを受け付ける最低限のサーバをネットワーク２または３に接続し、当該サーバに限定してサーバ監視機能部との間でトンネルを設定し、当該サーバに転送設定およびフィルタ設定する方式を採用してもよい。
【００５０】
［サーバ監視機能部の構成］
次に、図３および図４を用いて、サーバ監視機能部の構成を説明する。図３は、サーバ監視機能部の構成を説明するためのブロック図であり、図４は、状態管理テーブルの一例を示す図である。
【００５１】
ここで、図３においては、サーバ監視機能部１４を例示して説明するが、サーバ監視機能部１５も同様の構成となり、サーバ監視機能部に収容される配下のＷｅｂサーバが囮ＷｅｂサーバまたはユーザＷｅｂサーバのいずれである場合でも同様の機能を果たす。
【００５２】
このため、以下では、これら両者を区別せずに配下のＷｅｂサーバを単にＷｅｂサーバと記載することとする。なお、配下のＷｅｂサーバとして囮Ｗｅｂサーバを設ける場合には、特願２００９−０４３２１０に開示される機能部（マルウェア配布サイトのリストを作成するために必要な機能部）をサーバ監視機能部に内在させるのがより好ましい。
【００５３】
図３に示すように、サーバ監視機能部１４は、アクセス管理部２４及びイベント通知部２５を内在するアクセススケジューラ２０と、差分抽出部２１と、リフレッシュ部２２と、状態管理テーブル２６及びマスタ状態管理部２７を内在するイベント管理部２３と、ログ管理部２８とを有する。
【００５４】
状態管理テーブル２６は、サーバ監視機能部が収容するＷｅｂサーバの識別子ごとに当該Ｗｅｂサーバがイベントに伴う遷移の結果として滞在する状態を記憶するテーブルである。なお、ここで言うイベントとは、Ｗｅｂサーバでのアクセス受付、差分抽出やマスタ上書きなどの事象を指すものとする。
【００５５】
この状態管理テーブル２６では、Ｗｅｂサーバの識別子（以下、サーバ識別子という）をキーとして、各サーバがアクセスを待機している状態「アクセス待機状態」、アクセスを受け付けている状態「アクセス受付状態」、アクセス前後の差分を抽出している状態「差分抽出状態」、さらには、サーバの内容をマスタとなる状態で上書きしている状態「マスタ上書き状態」の４つの状態への遷移が管理される。
【００５６】
例えば、図４に示す例では、アクセス待機状態を「１」、アクセス受付状態を「２」、差分抽出状態を「３」、マスタ上書き状態を「４」と規定する場合のテーブル構成を例示しており、サーバ識別子「＃１」が採番されたＷｅｂサーバがアクセス待機状態に遷移しており、また、サーバ識別子「＃２」が採番されたＷｅｂサーバがアクセス受付状態に遷移していることを表している。
【００５７】
なお、図４では、図示を省略しているが、状態管理テーブル２６には、アクセス受付状態「２」および差分抽出状態「３」に遷移している場合に、アクセス送信元のユーザ端末の情報がさらに保存される。ここで言うユーザ端末の情報とは、ＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス等のユーザ識別子を指す。
【００５８】
マスタ状態管理部２７は、サーバ監視機能部が収容しているＷｅｂサーバのマスタとなる状態を保存する機能を有する。ここで言うマスタとは、複数のＷｅｂサーバがアクセス待機状態にある場合に保有させるディレクトリ構成を指し、各Ｗｅｂサーバのサーバディレクトリ内に保有させるべきディレクトリやそのディレクトリ内のファイルの原本がマスタとして保存される。
【００５９】
イベント管理部２３は、状態管理テーブル２６を用いて、サーバ監視機能部が収容する各々のＷｅｂサーバの状態を管理する機能を有する他、アクセススケジューラ２０、差分抽出部２１、リフレッシュ部２２やログ管理部２８との間での各種情報を授受する機能を有する。
【００６０】
これらの機能を他の機能部との間でデータ授受を行うフェイズ別に説明すると、イベント管理部２３は、状態管理テーブル２６内のＷｅｂサーバの状態に関するエントリがアクセス待機状態へ変更された場合に、ユーザ端末による外部ネットワークからのアクセスをどのＷｅｂサーバから順に受け付けさせるのか、すなわちＷｅｂサーバへのアクセス転送順序を決定し、決定したアクセス転送順序をアクセススケジューラ２０に通知する。
【００６１】
つまり、イベント管理部２３では、Ｗｅｂサーバがアクセス待機状態に復帰した際にそのＷｅｂサーバを含めてアクセスの転送順序を決定することにより、アクセス待機状態に復帰したＷｅｂサーバがアクセスの転送先にも即座に復帰できるようにした。
【００６２】
より具体的には、状態管理テーブル２６によって記憶されるＷｅｂサーバの状態がアクセス待機状態「１」であるサーバ識別子だけを対象とし、昇順または降順などの所定の規定にしたがってソートしたサーバ識別子の並び順をアクセス転送順序として決定する。このようにして決定したアクセス転送順序をサーバ識別子で表現した通知（後述する図６の通知１０１を参照）をアクセススケジューラ２０に通知する。
【００６３】
また、イベント管理部２３は、アクセススケジューラ２０によってアクセスがＷｅｂサーバに転送された場合に、当該Ｗｅｂサーバのサーバ識別子に対応する状態管理テーブル２６のエントリの状態をアクセス待機状態からアクセス受付状態へ更新する。
【００６４】
より具体的には、ユーザ端末からのアクセスがＷｅｂサーバに転送されると、アクセスを受け付けたＷｅｂサーバのサーバ識別子およびアクセス送信元のユーザ端末の情報を含んだ通知（図６の１０２を参照）が後述するアクセススケジューラ２０から通知されるので、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態をアクセス待機状態「１」からアクセス受付状態「２」へ変更するとともに、アクセス送信元のユーザ端末の情報を当該エントリに記述する。
【００６５】
さらに、イベント管理部２３は、アクセススケジューラ２０によってＷｅｂサーバによるレスポンスがアクセスの発信元へ送信された場合に、当該Ｗｅｂサーバのサーバ識別子に対応する状態管理テーブル２６のエントリの状態をアクセス受付状態から差分抽出状態へ更新する。
【００６６】
より具体的には、Ｗｅｂサーバによるレスポンスがアクセスの発信元へ送信されると、その旨をサーバ識別子を用いて表現した通知（図６の１０３を参照）がアクセススケジューラ２０から通知されるので、当該サーバ識別子に対応するエントリの状態をアクセス受付状態「２」から差分抽出状態「３」へ変更するとともに、そのサーバ識別子に対応するＷｅｂサーバが保有するディレクトリ構成とマスタ状態管理部２７に保存されるマスタとの間に差分があるか否かを確認するように指示する通知（図６の１０４を参照）を後述する差分抽出部２１へ送信する。
【００６７】
また、イベント管理部２３は、差分抽出部２１から差分の確認結果とサーバ識別子を含む通知（図６の１０５を参照）を受け付けた場合に、その確認結果の確認結果に応じて以降の処理を動作するが、アクセス前後で差分が確認されなかった場合と、アクセス前後で差分が確認された場合との間で動作内容がそれぞれ異なるので、これらを場合分けして説明する。
【００６８】
例えば、アクセス前後で差分が確認されなかった場合には、イベント管理部２３は、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態を差分抽出状態「３」からアクセス待機状態「１」へ変更するとともに当該エントリのユーザ端末の情報を削除する。
【００６９】
さらに、イベント管理部２３は、アクセススケジューラ２０によって後述のログ管理部２８に別途記述された当該ユーザ端末から当該Ｗｅｂサーバへのアクセスログに差分が確認されなかった旨を追記し、当該Ｗｅｂサーバを含めてアクセス転送順序を再度決定してそのアクセス転送順序を含む通知をアクセススケジューラ２０に通知する。
【００７０】
一方、アクセス前後で差分が確認された場合には、イベント管理部２３は、アクセススケジューラ２０によって後述のログ管理部２８に別途記述された当該ユーザ端末から当該Ｗｅｂサーバへのアクセスログに差分の内容を追記し、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態を差分抽出状態「３」からマスタ上書き状態「４」へ変更する。
【００７１】
その上で、イベント管理部２３は、当該サーバ識別子に対応するＷｅｂサーバのディレクトリ構成をマスタ管理状態管理部２７に記憶されたマスタ環境で上書きする指示とサーバの識別子およびマスタとなる状態とを含めた通知（図６の１０６を参照）を生成し、後述のリフレッシュ部２２へ通知する。
【００７２】
そして、イベント管理部２３は、リフレッシュ部２２からサーバの識別子を含む上書き完了通知（図６の１０７を参照）を受け付けると、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態をマスタ上書き状態「４」からアクセス待機状態「１」へ変更するとともに当該エントリのユーザ端末の情報を削除する。
【００７３】
その後、イベント管理部２３は、当該Ｗｅｂサーバを含めてアクセス転送順序を再度決定してそのアクセス転送順序を含む通知をアクセススケジューラ２０に通知する。
【００７４】
なお、図２のネットワークモデルの説明で述べたように、サーバ監視機能部の配下に配置されるサーバにグローバルアドレスを付与する場合には、アドレス割り当てやトンネル設定やサーバへの転送設定を必要に応じて動的に実施する場合は、イベント管理部２３が当該機能を保有する。いずれの機能も、公知の技術で実現可能である。
【００７５】
次の機能部の説明に遷り、アクセス管理部２４は、サーバ監視機能部２３が収容する各々のＷｅｂサーバがアクセスを受付可能であるか否かを管理する機能を有する。一例としては、転送順位ごとに当該転送順位に設定されたサーバ識別子を記憶するテーブルをアクセス管理部２４内に構築する。
【００７６】
例えば、イベント管理部２３からアクセス転送順序を含む通知を受け付けた場合には、当該アクセス転送順序にしたがって各転送順位に対応するエントリのサーバ識別子を更新し、また、アクセススケジューラ２０がアクセスをＷｅｂサーバに転送した場合には、当該Ｗｅｂサーバのサーバ識別子をエントリから削除し、該削除したサーバ識別子がエントリされる転送順位の下位の転送順位からサーバ識別子を１つずつ繰り上げる。
【００７７】
このように、本実施例では、イベント管理部２３から通知されたアクセス転送順序に含まれるサーバ識別子だけを転送先として管理し、アクセススケジューラ２０によってアクセスが転送されたＷｅｂサーバのサーバ識別子を転送先から除外する管理を行うことで、１つのＷｅｂサーバに対して複数のアクセスが同時に転送される事態を回避することとした。
【００７８】
イベント通知部２５は、イベント管理部２３および後述のログ管理部２８との間で通知を送受信する機能を有する。
【００７９】
アクセススケジューラ２０は、アクセス管理部２４を用いて、ユーザ端末による外部ネットワークからのアクセスをＷｅｂサーバに転送する機能の他、Ｗｅｂサーバによるアクセスへのレスポンスをアクセスの送信元に送信する機能を有する。
【００８０】
例えば、ユーザ端末からのアクセスを受信した場合には、アクセススケジューラ２０は、アクセス管理部２４のテーブルに記憶されたサーバ識別子のうち最も転送順位が高いサーバ識別子を持つＷｅｂサーバを転送先として決定し、当該転送先のＷｅｂサーバに対してアクセスを転送する。
【００８１】
そして、アクセススケジューラ２０は、転送先のＷｅｂサーバのサーバ識別子をアクセス管理部２４内のエントリから削除するとともに該削除したサーバ識別子がエントリされる転送順位の下位の転送順位からサーバ識別子を１つずつ繰り上げる更新をアクセス管理部２４に行う。
【００８２】
さらに、アクセススケジューラ２０は、このようにしてＷｅｂサーバへのアクセス転送を開始した際に、当該Ｗｅｂサーバへのアクセス転送を開始した旨とともにサーバ識別子およびユーザ端末の情報を記述した通知をイベント管理部２３へ送信する。
【００８３】
一方、Ｗｅｂサーバによるアクセスへのレスポンスを受信した場合には、アクセススケジューラ２０は、当該レスポンスをアクセス元のユーザ端末に転送するとともに、Ｗｅｂサーバからユーザ端末へアクセスのレスポンスが送信された旨をサーバの識別子を用いて表現した通知を生成してイベント管理部２３へ送信し、自身が転送したアクセスのログを後に記述するログ管理部２８に保存する。
【００８４】
また、アクセススケジューラ２０は、イベント管理部２３からアクセス転送順序を含む通知を受信した場合に、当該アクセス転送順序にしたがって、アクセス管理部２４内の各転送順位に対応するサーバ識別子のエントリを更新する機能も有する。
【００８５】
差分抽出部２１は、イベント管理部２３によって指定されたＷｅｂサーバが保有するディレクトリ構成と、マスタ状態管理部２７によって保存されているマスタとなる状態との間に差分があるか否かを確認する機能を有する。
【００８６】
かかる差分抽出部２１の機能は、ディレクトリやファイルの追加または削除を監査するｔｒｉｐｗｉｒｅなどのソフトウェアを実装することにより実現され、差分抽出部２１は、イベント管理部２３から受け付けた差分確認指示を含む通知（図６の１０４を参照）に応答して本機能部の差分確認機能を起動し、その差分確認結果およびサーバ識別子を記述した通知をイベント管理部２３へ送信する。
【００８７】
リフレッシュ部２２は、イベント管理部２３によって指定されたＷｅｂサーバのディレクトリ構成をマスタ状態管理部２７によって保存されているマスタ環境で上書きする機能を有する。
【００８８】
かかるリフレッシュ部２２の機能は、イベント管理部２３から受け付けたマスタ上書き指示を含む通知（図６の１０６を参照）に応答して起動し、その上書き完了通知およびサーバ識別子を記述した通知をイベント管理部２３へ送信する。
【００８９】
ログ管理部２８は、アクセススケジューラ２０が抽出したアクセスログを管理する機能を有する。また、ログ管理部２８は、イベント管理部２３からアクセスログへの追記指示を受けた場合に、追記内容として記述されているサーバ識別子およびユーザ端末の情報から両者間で送受信されたアクセスログを特定し、当該アクセスログに追記内容として記述されているＷｅｂサーバの差分情報を追記する。
【００９０】
一例としては、ログ管理部２８は、Ｗｅｂサーバのサーバ識別子、アクセス送信元のユーザ端末の情報、ユーザ端末およびＷｅｂサーバ間で送受信されたアクセスログ、アクセス前後におけるＷｅｂサーバの差分情報などの項目を有するデータベースを構築し、イベント管理部２３やアクセススケジューラ２０による指示にしたがって指定の項目に指定のデータを記述する。
【００９１】
［実施例１に係るアクセス制御システムの処理手順］
続いて、図５〜７を用いて、実施例１に係るアクセス制御システムの処理手順を説明する。図５は、従来のアクセス制御の処理手順例を説明するための図であり、図６は、実施例１に係るアクセス制御システムにおけるデータフローを示す図であり、図７は、実施例１に係るアクセス制御システムによる処理手順（アクセス制御）を示すシーケンス図である。
【００９２】
［従来方式］
図５に示すように、従来方式におけるサーバ監視機能部は、ユーザ端末３３からアクセスを受け付けると（ステップＳ５０１）、当該アクセスをＷｅｂサーバ３４に転送し（ステップＳ５０２）、Ｗｅｂサーバ３４からユーザ端末３３に対するリプライを受け付けると（ステップＳ５０３）、当該リプライをユーザ端末３３に転送する（ステップＳ５０４）。
【００９３】
このとき、従来方式におけるサーバ監視機能部は、ユーザ端末３３から攻撃を受けた可能性を考慮して、ユーザ端末３３からのアクセスの前後でＷｅｂサーバ３４の内容に変化がないかを確認するべく、Ｗｅｂサーバ３４の内容の閲覧要求を送信し（ステップＳ５０５）、Ｗｅｂサーバ３４の内容を取得する（ステップＳ５０６）。
【００９４】
そして、従来方式におけるサーバ監視機能部では、ユーザ端末３３へのリプライ送信後に取得したＷｅｂサーバ３４の内容と、自装置が予め保有するアクセス受信前のＷｅｂサーバ３４の内容との間で差分を比較することにより改ざんチェックを行う（ステップＳ５０７）。
【００９５】
ここで、仮にユーザ端末３３からのアクセスが攻撃であった場合には、Ｗｅｂサーバ３４はマルウェアに感染している可能性がある。このため、ステップＳ５０７の差分比較が完了するまでは、Ｗｅｂサーバ３４へのアクセスは許容すべきではない。
【００９６】
このことから、従来方式におけるサーバ監視機能部は、差分比較中にユーザ端末３５からアクセスを受け付けても（ステップＳ５０８）、そのアクセスを許容せず、改ざんチェック中のアクセスを遮断すべく、ユーザ端末３５によってＷｅｂサーバ３４へ要求された処理が実行不能である旨の応答を返信する（ステップＳ５０９）。
【００９７】
また、差分比較の結果、差分が確認された場合には、マルウェア感染を完全に防止するにはＷｅｂサーバ３４を従来方式におけるサーバ監視機能部が保有する内容に戻す必要がある。
【００９８】
このため、従来方式におけるサーバ監視機能部は、Ｗｅｂサーバ３４に対して、自身が保有する内容で現在のＷｅｂサーバ３４の内容を上書きする（ステップＳ５１０）。
【００９９】
このステップＳ５１０のマスタ上書きが完了するまでの間、従来方式におけるサーバ監視機能部では、ユーザ端末３５からアクセスを受け付けても（ステップＳ５１１）、Ｗｅｂサーバ３４へのアクセスは実施できず（ステップＳ５１２）、マスタ上書きが完了した後に（ステップＳ５１３）、Ｗｅｂサーバ３４へアクセスを転送することが可能になる。
【０１００】
このような改ざんチェックやマスタ上書きなどの対応は、改ざんチェック及びマスタ上書きを実行している最中に受け付けたアクセスをリジェクトしてしまうデメリットはあるものの、脆弱性を持つソフトウェアを故意に搭載した囮Ｗｅｂサーバをサーバ監視機能部に収容する場合には、マルウェア配布サイトを正確に特定する上で非常に重要となる。
【０１０１】
［サーバ監視機能部のデータフロー］
続いて、図６を用いて、実施例１に係るアクセス制御システムにおけるデータフローを説明する。図６に示すように、実施例１におけるサーバ監視機能部１４において、イベント管理部２３が、アクセススケジューラ２０に対して、アクセスを受け付けてよいＷｅｂサーバのアクセス転送順序を記述した通知１０１を送信する。これによって、アクセススケジューラ２０では、アクセス受付時にアクセスを転送可能なＷｅｂサーバが特定可能になる。
【０１０２】
この通知１０１を受信したアクセススケジューラ２０は、ユーザ端末からアクセスを受け付けた場合に、その旨を通知する通知１０２を生成してイベント管理部２３へ送信する。これによって、イベント管理部２３では、アクセス待機状態からアクセス受付状態への状態遷移を検知できる。
【０１０３】
さらに、アクセススケジューラ２０は、Ｗｅｂサーバからのレスポンスを受信した場合に、その旨を通知する通知１０３を生成してイベント管理部２３へ送信する。加えて、アクセススケジューラ２０は、ログ管理部２８にアクセスログを記述する。
【０１０４】
これによって、イベント管理部２３では、アクセス待機状態からアクセス受付状態への状態遷移、さらには、差分抽出部２１に差分確認を実行させる処理契機を検知できる。
【０１０５】
この通知１０３を受信したイベント管理部２３は、当該アクセス前後でＷｅｂサーバの内容に差分がないか否かを比較するように指示する通知１０４を差分抽出部２１へ送信する。
【０１０６】
この通知１０４を受信した差分抽出部２１は、当該アクセス前後でＷｅｂサーバの内容に差分がないか否かを確認し、その差分の確認結果を通知１０５によってイベント管理部２３へ通知する。
【０１０７】
この通知１０５を受信したイベント管理部２３は、アクセス前後でＷｅｂサーバの内容に差分があった場合には、ログ管理部２８に差分データを追記し、当該Ｗｅｂサーバをマスタとなる状態に戻すよう指示する通知１０６をリフレッシュ部２２へ送信する。
【０１０８】
この通知１０６を受信したリフレッシュ部２２は、当該Ｗｅｂサーバをマスタとなる状態に戻した後に、その結果を通知するための通知１０７を生成してイベント管理部２３へ送信する。
【０１０９】
この通知１０７を受信したイベント管理部２３は、当該Ｗｅｂサーバをアクセス受付可能なＷｅｂサーバとして通知１０１によってアクセススケジューラ２０に通知する。
【０１１０】
［処理手順（アクセス制御）］
図７に示すように、実施例１に係るアクセス制御システムにおいて、ユーザ端末３３からのアクセスに対するサーバ監視機能部の処理（ステップＳ７０１〜Ｓ７０６）は、図５に示した従来方式（ステップＳ５０１〜Ｓ５０６）と略同一である。
【０１１１】
しかしながら、実施例１に係るアクセス制御システムでは、差分比較中にユーザ端末３５からアクセスを受信しても（ステップＳ７０７）、複数の同一構成Ｗｅｂサーバでアクセスを並列処理できる。
【０１１２】
すなわち、実施例１に係るアクセス制御システムでは、ユーザ端末３５からアクセスを受け付けた場合に、Ｗｅｂサーバ３４と同一構成のＷｅｂサーバ３６にアクセスを転送し（ステップＳ７０８）、Ｗｅｂサーバ３６からユーザ端末３５に対するリプライを受け付けると（ステップＳ７０９）、当該リプライをユーザ端末３５に転送する（ステップＳ７１０）。なお、このＷｅｂサーバ３６についても、Ｗｅｂサーバ３４と同様、Ｗｅｂサーバ３６の内容の閲覧要求を送信し（ステップＳ７１２）、Ｗｅｂサーバ３６の内容を取得し（ステップＳ７１３）、改ざんチェックが実行される。
【０１１３】
一方で、実施例１に係るアクセス制御システムでは、Ｗｅｂサーバ３４へのマスタ上書き（ステップＳ７１１）が完了するまでの間、ユーザ端末３３から２回目のアクセスを受け付けても（ステップＳ７１４）、Ｗｅｂサーバ３４へのアクセスは実施できず（ステップＳ７１５）、マスタ上書きが完了した後に（ステップＳ７１６）、Ｗｅｂサーバ３４へアクセスを転送することが可能になる。なお、このＷｅｂサーバ３６についても、Ｗｅｂサーバ３４と同様、ステップＳ７１７の処理（Ｗｅｂサーバ３４の内容を上書き）を行い、Ｗｅｂサーバによるマスタ上書きの完了通知を受け付ける（ステップＳ７１８）。
【０１１４】
このように、短時間で受信可能なアクセス数は、サーバ監視機能部が収容するＷｅｂサーバ数が多くなるほど高くなる。このため、コストに応じて単位時間に受信可能なアクセス数を柔軟に変更できる。これによって、たとえば短時間に集中した攻撃を全て囮Ｗｅｂサーバへ転送でき、囮Ｗｅｂサーバによって攻撃情報のサンプルをより多く収集することが可能になる。
【０１１５】
［実施例１の効果］
上記してきたように、実施例１に係るアクセス制御システムは、ＵＲＬ（Uniform Resource Locator）やＵＲＩ（Uniform Resource Identifier）などの統一資源識別子、或いはＩＰ（Internet Protocol）アドレスやＭＡＣ（Media Access Control）アドレス等を共有する複数のＷｅｂサーバを設置する。なお、Ｗｅｂサーバとしては、囮Ｗｅｂサーバ、ユーザＷｅｂサーバもしくはこれらの組合せを収容することが可能である。
【０１１６】
そして、実施例１に係るアクセス制御システムは、外部ネットワークからのアクセスを複数のＷｅｂサーバのうちいずれかのＷｅｂサーバへ転送し、Ｗｅｂサーバによるアクセスの発信元へのレスポンスを受け付けた場合に、当該Ｗｅｂサーバが保有するディレクトリ構成とマスタ環境との間の差分を確認し、差分の確認結果に基づき、当該確認を行ったＷｅｂサーバのディレクトリ構成をマスタ環境で上書き更新する。
【０１１７】
その一方で、実施例１に係るアクセス制御システムは、転送処理、差分確認処理およびマスタ上書き処理のいずれにも介在せずにアクセス待機状態にあるＷｅｂサーバを転送先としてアクセス制御を行うこととした。
【０１１８】
したがって、実施例１に係るアクセス制御システムによれば、攻撃者が囮Ｗｅｂサーバに対して短時間に複数の攻撃を送信した場合や正常ユーザがアプリケーション提供サーバに対して短時間に複数のアクセスを送信した場合に、これらのＷｅｂサーバの改ざんチェックやマルウェア感染対策を実施しつつ、複数の攻撃やアクセスを複数のサーバで並列処理することが可能となる。
【０１１９】
また、実施例１に係るアクセス制御システムによれば、アクセス前後でＷｅｂサーバの内容に差分が確認された場合に、当該Ｗｅｂサーバのディレクトリ構成をマスタとなる状態で上書き更新することとした。
【０１２０】
このため、アクセス前後でＷｅｂサーバの内容に差分が確認されなかった場合には、Ｗｅｂサーバをマスタとなる状態で上書きする必要がなくなり、Ｗｅｂサーバをマスタ上書きで拘束する期間を最小限に低減できる結果、アクセスに対処する処理効率を向上させることが可能になる。
【０１２１】
以上のように、実施例１に係るアクセス制御システムは、Ｗｅｂサーバに代表されるようなアプリケーション提供サーバを悪意あるユーザの攻撃から防衛することができる。特に、ＩＤＳ（Intrusion Detection System）や、ＷＡＦ（Web Application Firewall）でみられるような攻撃トラヒックを検知してアクセス制御を実施することに有効である。
【０１２２】
なお、上記の実施例１では、サーバ監視機能部がＷｅｂサーバを収容する場合を例示したが、本発明はこれに限定されるものではなく、Ｗｅｂサーバ以外のサーバ、たとえばＭａｉｌサーバ、ＮｅｗｓサーバやＮＦＳサーバに対しても本発明を同様に適用することができる。
【０１２３】
なお、当然のことながら、本発明に係るアクセス制御システムは、マルウェア配布サイト、データベースの遠隔操作、その他の不正アクセスなど、複数種類の不正アクセスに対して同時に適用するものであってもよい。
【実施例２】
【０１２４】
これまで本発明の実施例１について説明してきたが、本発明は上記の実施例以外にも、種々の異なる形態にて実施されてよいものである。
【０１２５】
［差分未確認時のマスタ上書き］
上記の実施例１では、アクセス前後でＷｅｂサーバの内容に差分が確認された場合に限定してマスタ上書きを行う場合を例示したが、本発明はこれに限定されるものではなく、アクセス前後でＷｅｂサーバの内容に差分が確認されるか否かに関係なく、いずれの場合でもＷｅｂサーバの内容をマスタとなる状態で上書きすることとしてもよい。
【０１２６】
すなわち、アクセス前後でＷｅｂサーバの内容に差分が確認されなかった場合に、当該Ｗｅｂサーバのサーバ識別子に対応する状態管理テーブル２６内のエントリの状態を差分抽出状態「３」からマスタ上書き状態「４」へ変更した上で、当該サーバ識別子に対応するＷｅｂサーバのディレクトリ構成をマスタ管理状態管理部２７に記憶されたマスタ環境で上書きする指示とサーバの識別子およびマスタとなる状態とを含めた通知（図６の１０６を参照）を生成してリフレッシュ部２２へ通知するようにイベント管理部２３を構成すればよい。
【０１２７】
この場合には、Ｗｅｂサーバのディレクトリ構成をマスタとなる状態で必ず上書き更新することとなるので、マルウェア感染対策をより万全に実施することが可能になる。
【０１２８】
［ブラックリストの利用］
また、本発明では、不正なアクセスと見做すアクセス内容をブラックリストとして記憶しておき、差分が確認された場合に、当該差分のアクセス内容とブラックリストとを照合し、差分の内容がブラックリストに該当する場合には、差分が確認されたサーバのディレクトリ構成をマスタ環境で上書き更新し、差分の内容がブラックリストに該当しない場合には、マスタ環境に差分を反映する更新を行い、該更新後のマスタ環境で他のＷｅｂサーバのディレクトリ構成を上書き更新するようにしてもよい。
【０１２９】
これを図８を用いて具体的に説明する。図８は、ブラックリストを利用する場合のサーバ監視機能部の構成を説明するためのブロック図である。なお、ここでは、上記の実施例１との差異がある部分だけを説明し、同様の部分についてはその説明を省略する。
【０１３０】
図８に示すように、サーバ監視機能部１４ａは、上記の実施例１に比較して、アクセススケジューラ２０がユーザ応答生成部２９を内在し、イベント管理部２３がブラックリスト３０及びマスタ情報アップデート管理部３１を内在する点が大きく異なる。
【０１３１】
ブラックリスト３０は、ユーザによるアクセスを禁止しているディレクトリやディレクトリ内のファイルをリストとして保有する機能を有する。
【０１３２】
すなわち、ブラックリスト３０は、攻撃者が攻撃に用いるアクセスパターンをリスト化したものであり、これに該当するアクセスパターンを不正アクセスと見做すためのものである。
【０１３３】
マスタ情報アップデート管理部３１は、マスタとなる状態に反映された差分が各Ｗｅｂサーバの内容に反映されているか否かを管理する機能を有する。
【０１３４】
一例としては、図９に示すように、Ｗｅｂサーバのサーバ識別子、各Ｗｅｂサーバの上書き最終日時およびマスタとなる状態の最新更新日時などの項目を有するデータベースを構築し、イベント管理部２３による指示にしたがって指定の項目に指定のデータを記述する。なお、上書き最終日時が最新更新日時より以前の日時である場合には、マスタとなる状態に反映された差分が当該Ｗｅｂサーバの内容に反映されていないことの証左となる。
【０１３５】
ここで、アクセス前後にＷｅｂサーバの内容に差分が確認された場合におけるイベント管理部２３の機能は、ブラックリスト３０、マスタ情報アップデート管理部３１及び後述のユーザ応答生成部２９との間で相関関係があるので、その点に焦点をあてて説明する。
【０１３６】
イベント管理部２３は、差分抽出部２１から差分の確認結果とサーバ識別子を含む通知（図６の１０５を参照）を受け付けた場合に、確認結果として、アクセス前後で差分があるとの確認結果が得られたならば、当該差分の内容がブラックリスト３０に記載された内容と一致するか否かを照合する。
【０１３７】
このとき、差分の内容がブラックリスト３０に該当する場合には、イベント管理部２３は、後述のユーザ応答生成部２９に対して、Ｗｅｂサーバへ依頼された処理を実行できない旨を通知する画面を表示するメッセージをユーザ端末へ送信するよう指示する。
【０１３８】
なお、以降の動作は、上記の実施例１と同様であり、概要としては、状態管理テーブル２６内のエントリの状態を差分抽出状態からマスタ上書き状態へ遷移させ、リフレッシュ部２２へのマスタ上書き指示を行い、上書き完了通知の受付後には、状態管理テーブル２６内のエントリの状態をマスタ上書き状態からアクセス待機状態へ遷移させるとともに当該エントリのユーザ端末の情報を削除し、アクセス待機状態に復帰したＷｅｂサーバを含めてアクセス転送順序を再度決定する。
【０１３９】
一方、差分の内容がブラックリスト３０に該当しない場合には、イベント管理部２３は、後述のユーザ応答生成部２９に対して、ユーザ端末にＷｅｂサーバからのレスポンスを送信するよう指示し、アクセススケジューラ２０によってログ管理部２８に別途記述された当該ユーザ端末から当該Ｗｅｂサーバへのアクセスログに差分の内容を追記する。
【０１４０】
そして、イベント管理部２３は、マスタ状態管理部２７に保存されているマスタとなる状態に差分の内容を反映させた上でマスタ情報アップデート管理部３１内のマスタ環境の最新更新日時を更新し、状態管理テーブル２６及びマスタ情報アップデート管理部３１を閲覧する。
【０１４１】
このとき、イベント管理部２３は、上書き最終日時がマスタ環境の最新更新日時より以前の日時であり、かつアクセス待機状態にあるサーバ識別子を対象に、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態を差分抽出状態「３」からマスタ上書き状態「４」へ変更する。
【０１４２】
その上で、イベント管理部２３は、当該サーバ識別子に対応するＷｅｂサーバのディレクトリ構成をマスタ管理状態管理部２７に記憶されたマスタ環境で上書きする指示とサーバの識別子およびマスタとなる状態とを含めた通知（図６の１０６を参照）を生成し、リフレッシュ部２２へ通知する。
【０１４３】
このようにして、イベント管理部２３では、アップデート未完了かつアクセス待機状態のＷｅｂサーバのディレクトリ構成を差分反映後のマスタ環境で上書き更新する。
【０１４４】
その後、イベント管理部２３は、リフレッシュ部２２からサーバの識別子を含む上書き完了通知（図６の１０７を参照）を受け付けると、当該サーバ識別子に対応する状態管理テーブル２６内のエントリの状態をマスタ上書き状態「４」からアクセス待機状態「１」へ変更するとともに当該エントリのユーザ端末の情報を削除し、当該サーバ識別子に対応するマスタ情報アップデート管理部３１内のエントリの上書き最終日時を更新する。
【０１４５】
また、イベント管理部２３では、アップデートが未完了であるがアクセス待機状態以外の状態に遷移しているＷｅｂサーバを漏らさずアップデートすべく、タイマーを保有する等の手段を用いて、状態管理テーブル２６とマスタ情報アップデート管理部３１を所定の周期で監視し、アップデートが未完了であるＷｅｂサーバがアクセス待機状態に復帰したことを検知できるように、Ｗｅｂサーバの状態を定期的に確認するのが望ましい。
【０１４６】
なお、ここでは、マスタ情報アップデート管理部３１が図９に示すデータベースを静的に保有し続ける場合について説明したが、本発明はこれに限定されるものではなく、アップデートが未完了であるサーバ識別子だけをエントリし、アップデートが完了したサーバ識別子を削除する時限的なデータベースとして構築することとしてもよい。
【０１４７】
ユーザ応答生成部２９は、Ｗｅｂサーバによるアクセスのレスポンスを一旦受信した上で当該レスポンスをユーザ端末に送信するのを一時保留する機能を有する。
【０１４８】
より具体的には、ユーザ応答生成部２９は、ユーザ端末に対しては処理中である旨を通知する画面を表示するメッセージを送信する一方で、イベント管理部２３に対してはＷｅｂサーバによるアクセスへのレスポンスを受信した旨をサーバ識別子を用いて表現した通知として送信する。
【０１４９】
その後、イベント管理部２３によってＷｅｂサーバからのレスポンスをユーザ端末へ送信するよう指示された場合には、ユーザ応答生成部２９は、一旦受信したレスポンスの中からイベント管理部２３によって指示されたユーザ端末とＷｅｂサーバに対応するレスポンスを抽出し、該抽出したレスポンスを当該ユーザ端末へ送信する。
【０１５０】
一方、イベント管理部２３によってＷｅｂサーバへ依頼された処理を実行できない旨を通知する画面を表示するメッセージをユーザ端末へ送信するよう指示された場合には、ユーザ応答生成部２９は、一旦受信したレスポンスの中から、イベント管理部２３によって指示されたユーザ端末とＷｅｂサーバに対応するレスポンスを抽出し、当該レスポンスを廃棄するとともに、当該ユーザ端末に対して、Ｗｅｂサーバへ依頼された処理を実行できない旨を通知する画面を表示するメッセージを送信する。
【０１５１】
このように、サーバ監視機能部１４ａは、不正なアクセスと見做すアクセス内容をブラックリストとして記憶しておき、差分が確認された場合に、当該差分のアクセス内容と、ブラックリストとを照合する。
【０１５２】
そして、サーバ監視機能部１４ａは、差分の内容がブラックリストに該当する場合には、差分が確認されたサーバのディレクトリ構成をマスタ環境で上書き更新し、差分の内容がブラックリストに該当しない場合には、マスタ環境に差分を反映する更新を行い、該更新後のマスタ環境で他のＷｅｂサーバのディレクトリ構成を上書き更新する。
【０１５３】
したがって、サーバ監視機能部１４ａによれば、ブラックリストを用いて、予め攻撃と擬制されるアクセスの内容と同じパターンのアクセスをユーザ端末から受け付けた場合にＷｅｂサーバの改ざんを目的としたアクセスであると見做すことができ、悪意のあるユーザの攻撃をパターン化して看破することができる結果、Ｗｅｂサーバの改ざんチェックを効率化することが可能になる。
【０１５４】
［マスタ環境に対する更新アクセスの制限］
前述したように、図８に示すサーバ監視機能部では、マスタ状態管理部２７によって保存されたマスタ環境に差分を反映する更新を行う場合について説明したが、複数のＷｅｂサーバで差分が個別に確認された場合には、一方の差分をマスタ環境に反映する更新が実行されている最中に他方の差分を反映する更新アクセスがマスタに行われ、データ更新が競合するおそれがある。
【０１５５】
このようなデータ更新の競合を防止すべく、本発明では、イベント管理部２３によってマスタ環境に差分を反映する更新が実行されている場合に、当該更新以外のマスタへの更新アクセスであって当該差分の反映先のディレクトリを変更対象とする更新アクセスを禁止することもできる。
【０１５６】
具体的には、イベント管理部２３では、ユーザ応答生成部２９へ指示を通知する前であり、且つ、マスタとなる状態を変更する前に、サーバの上書き最終日時とマスタとなる状態の最新更新日時を比較し、前者が後者より以前の日時である場合は、重複書き込みが発生する可能性が高いため、マスタとなる状態への変更を中止する。
【０１５７】
この際、イベント管理部２３は、ユーザ応答生成部２９に対しては、Ｗｅｂサーバへ依
頼された処理を実行できない旨を通知する画面を表示するメッセージをユーザへ送信するよう指示し、ログ管理部２８には、差分となる情報は追記しない。
【０１５８】
これによって、マスタ環境に差分を反映する更新イベントが重複したとしても先の行為新イベントを優先し、先の更新イベントが終了するまでは後の更新イベントを禁止することができるので、複数の更新イベントが競合することがなくなる結果、マスタ環境の原本性を保証することが可能になる。
【０１５９】
［ホワイトリストの利用］
また、本発明では、正当なアクセスと見做すアクセス内容をホワイトリストとして記憶しておき、差分が確認された場合に、当該差分の内容とホワイトリストとを照合し、差分の内容がホワイトリストに該当する場合には、マスタ環境に差分を反映する更新を行い、該更新後のマスタ環境で他のサーバのディレクトリ構成を上書き更新し、差分の内容がホワイトリストに該当しない場合には、差分が確認されたサーバのディレクトリ構成をマスタ環境で上書き更新するようにしてもよい。
【０１６０】
これを図１０を用いて具体的に説明する。図１０は、ホワイトリストを利用する場合のサーバ監視機能部の構成を説明するためのブロック図である。なお、ここでは、図８と対比しながら差異がある部分だけを説明し、同様の部分についてはその説明を省略する。
【０１６１】
図１０に示すように、サーバ監視機能部１４ｂは、図８に示したサーバ監視機能部１４ａに比較して、イベント管理部２３がブラックリスト３０ではなく、ホワイトリスト３２を内在する点が大きく異なる。
【０１６２】
ホワイトリスト３２は、ユーザによるアクセスを許容しているディレクトリやディレクトリ内のファイルをリストとして保有する機能を有する。
【０１６３】
すなわち、ブラックリスト３２は、運用者が正式なものと認定したアクセスパターンをリスト化したものであり、これに該当するアクセスパターンを正当なアクセスと見做すためのものである。
【０１６４】
ここで、アクセス前後にＷｅｂサーバの内容に差分が確認された場合におけるイベント管理部２３の機能は、ブラックリスト３０を適用した場合と表裏の関係にある。
【０１６５】
イベント管理部２３は、差分抽出部２１から差分の確認結果とサーバ識別子を含む通知（図６の１０５を参照）を受け付けた場合に、確認結果として、アクセス前後で差分があるとの確認結果が得られたならば、当該差分の内容がホワイトリスト３２に記載された内容と一致するか否かを照合する。
【０１６６】
ここで、差分の内容がホワイトリスト３２に該当する場合には、イベント管理部２３は、上記のブラックリスト３０に該当しなかった場合と同様の動作を行う一方で、差分の内容がホワイトリスト３２に該当しなかった場合には、上記のブラックリスト３０に該当した場合と同様の動作を行う。
【０１６７】
このように、サーバ監視機能部１４ｂは、正当なアクセスと見做すアクセス内容をホワイトリストとして記憶しておき、差分が確認された場合に、当該差分のアクセス内容と、ホワイトリストとを照合する。
【０１６８】
そして、サーバ監視機能部１４ｂは、差分の内容がホワイトリストに該当する場合には、マスタ環境に差分を反映する更新を行い、該更新後のマスタ環境で他のＷｅｂサーバのディレクトリ構成を上書き更新する一方で、差分の内容がホワイトリストに該当しない場合には、差分が確認されたサーバのディレクトリ構成をマスタ環境で上書き更新する。
【０１６９】
したがって、サーバ監視機能部１４ｂによれば、ホワイトリストを用いて、予めアップデート等の正当なアクセスと擬制されるアクセスの内容と同じパターンのアクセスをユーザ端末から受け付けた場合にＷｅｂサーバの改ざんを目的としたアクセスではないと見做すことができ、正規のユーザによるアクセスをパターン化して看破することができる結果、Ｗｅｂサーバの改ざんチェックやマルウェア感染対策を効率化することが可能になる。
【０１７０】
なお、ここでは、図３に示したサーバ監視機能部１４、図８に示したサーバ監視機能部１４ａ、図１０に示したサーバ監視機能部１４ｂを個別に説明したが、これら３者の機能を任意に組み合わせて実行することができる。
【０１７１】
これらサーバ監視機能部１４、サーバ監視機能部１４ａ及びサーバ監視機能部１４ｂの機能を統合して構成した場合には、Ｗｅｂサーバに代表されるアプリケーション提供サーバを、悪意あるユーザの攻撃から防衛しつつ、多数のユーザに同時にサービスを提供できるアプリケーション提供サーバを構築させることが可能になる。
【０１７２】
［Ｗｅｂサーバによるマスタ上書きの自律制御］
上記の実施例１及び２では、Ｗｅｂサーバのディレクトリ構成をアクセス前のディレクトリ構成、すなわちマスタ環境に戻す手法として、サーバ監視機能部のマスタ状態管理部２７によって保存されるマスタとなる状態でＷｅｂサーバのディレクトリ構成を上書き更新する場合を例示したが、本発明はこれに限定されるものではない。
【０１７３】
例えば、ＵＮＩＸ（登録商標）系コマンドであるｃｈｒｏｏｔなどでアクセスできる限定的なディレクトリ空間にＷｅｂサーバを構築する一方で、その空間とは異なるディレクトリ空間にマスタとなる状態のコピーを配置することもできる。
【０１７４】
このように、Ｗｅｂサーバ上にマスタとなる状態を配置しておき、Ｗｅｂサーバを再起動しつつ当該マスタ環境を限定的なディレクトリ空間に展開することで、マスタとなる状態をＷｅｂサーバとして運用するディレクトリ空間に容易かつ高速に展開することが可能である。
【０１７５】
さらに、サーバ監視機能部がマスタ環境を更新する更新アクセスを行う必要がなくなるので、各Ｗｅｂサーバでマスタ上書きに係る負荷を分散し、もってサーバ監視機能部のトラヒックを低減することが可能になる。
【０１７６】
なお、ＷｅｂサーバをＶＭｗａｒｅという仮想化機能を用いて実装すれば、ＶＭｗａｒｅに搭載されているリバート機能を用いて実現することもできる。
【０１７７】
［アクセスログの保存形態］
上記の実施例１及び２では、イベント管理部２３をサーバ監視機能部内に内在させ、サーバ監視機能部配下に存在する複数のＷｅｂサーバを用いてユーザ端末からのアクセスを並列処理を可能とするアクセス制御システムを例示した。
【０１７８】
かかるアクセス制御システムでは、ログ管理部２８に保存するログを目的に応じて変更することができる。この際、特に差分情報に関して、発生した差分情報を全てログに残す一方でマスタとなる状態に反映された情報にのみフラグをつける形を採用し、可能な限り多くのログを保存する運用方式を採用することが好ましい。
【０１７９】
［イベント管理部の司令塔化］
なお、上記の実施例１及び２では、イベント管理部２３は、アクセススケジューラ２０、差分抽出部２１やリフレッシュ部２２の集中管理装置の位置付けとなっている。例えば、特願２００９−０４３２１０号公報に記載されている監視装置には、差分抽出部やリフレッシュ部が含まれる可能性がある。
【０１８０】
このような監視装置を複数配置したネットワークにおいて、イベント管理部２３を集中制御サーバの位置付けで配置するとともに、複数の監視装置を収容する形で置かれたリバースプロキシのような負荷分散装置にアクセススケジューラ２０を搭載することで、複数の監視装置を用いて、実施例１及び２の動作を実行させることも可能である。
【０１８１】
［アクセス転送順序］
上記の実施例１及び２では、外部アクセスをＷｅｂサーバに転送するアクセスの転送順序を決定する場合にサーバ識別子を昇順または降順にソートしたものを転送順序として決定する場合を例示したが、本発明はこれに限定されるものではなく、アクセス待機状態「１」にあるＷｅｂサーバを対象にするのであれば、任意のＷｅｂサーバに任意の転送順序を付与できる。
【０１８２】
例えば、アクセス待機状態にあるＷｅｂサーバを対象に転送順序をランダムに割り振ることもできる。これによって、たとえば転送順序を構成する各転送順位ごとにアクセス待機状態「１」にあるＷｅｂサーバのサーバ識別子の中からランダムにサーバ識別子を抽出するといった簡易な仕組みでアクセス転送順序を決定でき、アクセス制御システムを低コストで実現することが可能になる。
【０１８３】
また、アクセス待機状態にあるＷｅｂサーバのうち、最後に外部アクセスを受け付けた最終アクセス受付時間が最も古いＷｅｂサーバのサーバ識別子から順にソートしたサーバ識別子の並び順をアクセス転送順序として決定することもできる。これによって、同一のＷｅｂサーバが連続して使用されることを防止できる結果、故障発生リスクを低減させることが可能になる。
【０１８４】
また、Ｗｅｂサーバが外部アクセスを処理したアクセス処理回数をカウントするカウンタをイベント管理部２３に持たせ、そのアクセス処理回数が各Ｗｅｂサーバ間で均等になるようにアクセス転送順序を決定することもできる。
【０１８５】
例を挙げれば、各Ｗｅｂサーバのアクセス処理回数の平均回数を下回るＷｅｂサーバのサーバ識別子だけを対象に転送順序を決定したり、さらには、アクセス処理回数が少ないサーバ識別子から順にソートしたりする。これによって、各Ｗｅｂサーバ間で累計のアクセス処理回数を平滑化でき、特定のＷｅｂサーバだけにアクセスが集中するのを防止できる結果、故障発生リスクを低減させることが可能になる。
【産業上の利用可能性】
【０１８６】
以上のように、本発明に係るアクセス制御システム、アクセス制御装置及びアクセス制御方法は、複数のアクセスに同時に対処しつつ、サーバの改ざんチェックを実施してセキュリティを維持する場合に適している。
【符号の説明】
【０１８７】
１ ネットワーク
２ ネットワーク
３ ネットワーク
４ ネットワーク
５ ネットワーク
６ データ中継装置
７ データ中継装置
８ データ中継装置
９ データ中継装置
１０ ユーザＷｅｂサーバ
１１ ユーザＷｅｂサーバ
１２ ユーザＷｅｂサーバ
１３ ユーザＷｅｂサーバ
１４ サーバ監視機能部
１５ サーバ監視機能部
１６ 囮Ｗｅｂサーバ
１７ 囮Ｗｅｂサーバ
１８ 攻撃者端末
１９ マルウェア配布サーバ
２０ アクセススケジューラ
２１ 差分抽出部
２２ リフレッシュ部
２３ イベント管理部
２４ アクセス管理部
２５ イベント通知部
２６ 状態管理テーブル
２７ マスタ状態管理部
２８ ログ管理部
【特許請求の範囲】
【請求項１】
統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御システムであって、
前記複数のサーバが前記外部ネットワークからのアクセスを待機するアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段と、
前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送手段と、
前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と前記マスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認手段と、
前記差分確認手段による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新手段と、
前記転送手段に対して、前記転送手段、前記差分確認手段および前記更新手段による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御手段と
を有することを特徴とするアクセス制御システム。
【請求項２】
不正なアクセスと見做すアクセス内容をブラックリストとして記憶するブラックリスト記憶手段と、
前記差分確認手段によって前記差分が確認された場合に、当該差分の内容と、前記ブラックリスト記憶手段によって記憶されたブラックリストとを照合する照合手段とをさらに有し、
前記更新手段は、
前記照合手段によって前記差分の内容が前記ブラックリストに該当すると判定された場合には、前記差分が確認されたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新し、前記差分の内容が前記ブラックリストに該当しないと判定された場合には、前記マスタ環境記憶手段によって記憶されたマスタ環境に前記差分を反映する更新を行い、該更新後のマスタ環境で他のサーバのディレクトリ構成を上書き更新することを特徴とする請求項１に記載のアクセス制御システム。
【請求項３】
正当なアクセスと見做すアクセス内容をホワイトリストとして記憶するホワイトリスト記憶手段と、
前記差分確認手段によって前記差分が確認された場合に、当該差分の内容と、前記ホワイトリスト記憶手段によって記憶されたホワイトリストとを照合する照合手段とをさらに有し、
前記更新手段は、
前記照合手段によって前記差分の内容が前記ホワイトリストに該当すると判定された場合には、前記マスタ環境記憶手段によって記憶されたマスタ環境に前記差分を反映する更新を行い、該更新後のマスタ環境で他のサーバのディレクトリ構成を上書き更新し、前記差分の内容が前記ホワイトリストに該当しないと判定された場合には、前記差分が確認されたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新することを特徴とする請求項１に記載のアクセス制御システム。
【請求項４】
前記更新手段は、前記差分確認手段によって前記差分が確認された場合、或いは前記差分が確認されなかった場合のいずれの場合でも、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新することを特徴とする請求項１に記載のアクセス制御システム。
【請求項５】
前記更新手段は、
前記差分確認手段による差分の確認が行われたサーバに対して、前記マスタ環境記憶手段によって記憶されたマスタ環境で当該サーバのディレクトリ構成を上書き更新するように指示し、
前記複数のサーバは、
前記アクセスの送信元端末にサービスを提供するソフトウェアをディレクトリツリー内の制限された部分で動作させるとともに当該制限された部分以外に前記マスタ環境を保存し、
前記更新手段によるマスタ環境の上書き更新指示に応答して、保存したマスタ環境を前記制限された部分に展開する展開手段を有することを特徴とする請求項１〜４のいずれか一つに記載のアクセス制御システム。
【請求項６】
前記更新手段によって前記マスタ環境に前記差分を反映する更新が実行されている場合に、当該更新以外のマスタへの更新アクセスであって当該差分の反映先のディレクトリを変更対象とする更新アクセスを禁止するマスタ変更アクセス禁止手段をさらに有することを特徴とする請求項２または３に記載のアクセス制御システム。
【請求項７】
統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御装置であって、
前記複数のサーバが前記外部ネットワークからのアクセスを待機するアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段と、
前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送手段と、
前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と前記マスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認手段と、
前記差分確認手段による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新手段と、
前記転送手段に対して、前記転送手段、前記差分確認手段および前記更新手段による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御手段と
を有することを特徴とするアクセス制御装置。
【請求項８】
統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御システムに適用するアクセス制御方法であって、
前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送工程と、
前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と、前記複数のサーバがアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認工程と、
前記差分確認工程による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新工程と、
前記転送工程に対して、前記転送工程、前記差分確認工程および前記更新工程による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御工程と
を含んだことを特徴とするアクセス制御方法。
【請求項１】
統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御システムであって、
前記複数のサーバが前記外部ネットワークからのアクセスを待機するアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段と、
前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送手段と、
前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と前記マスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認手段と、
前記差分確認手段による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新手段と、
前記転送手段に対して、前記転送手段、前記差分確認手段および前記更新手段による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御手段と
を有することを特徴とするアクセス制御システム。
【請求項２】
不正なアクセスと見做すアクセス内容をブラックリストとして記憶するブラックリスト記憶手段と、
前記差分確認手段によって前記差分が確認された場合に、当該差分の内容と、前記ブラックリスト記憶手段によって記憶されたブラックリストとを照合する照合手段とをさらに有し、
前記更新手段は、
前記照合手段によって前記差分の内容が前記ブラックリストに該当すると判定された場合には、前記差分が確認されたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新し、前記差分の内容が前記ブラックリストに該当しないと判定された場合には、前記マスタ環境記憶手段によって記憶されたマスタ環境に前記差分を反映する更新を行い、該更新後のマスタ環境で他のサーバのディレクトリ構成を上書き更新することを特徴とする請求項１に記載のアクセス制御システム。
【請求項３】
正当なアクセスと見做すアクセス内容をホワイトリストとして記憶するホワイトリスト記憶手段と、
前記差分確認手段によって前記差分が確認された場合に、当該差分の内容と、前記ホワイトリスト記憶手段によって記憶されたホワイトリストとを照合する照合手段とをさらに有し、
前記更新手段は、
前記照合手段によって前記差分の内容が前記ホワイトリストに該当すると判定された場合には、前記マスタ環境記憶手段によって記憶されたマスタ環境に前記差分を反映する更新を行い、該更新後のマスタ環境で他のサーバのディレクトリ構成を上書き更新し、前記差分の内容が前記ホワイトリストに該当しないと判定された場合には、前記差分が確認されたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新することを特徴とする請求項１に記載のアクセス制御システム。
【請求項４】
前記更新手段は、前記差分確認手段によって前記差分が確認された場合、或いは前記差分が確認されなかった場合のいずれの場合でも、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新することを特徴とする請求項１に記載のアクセス制御システム。
【請求項５】
前記更新手段は、
前記差分確認手段による差分の確認が行われたサーバに対して、前記マスタ環境記憶手段によって記憶されたマスタ環境で当該サーバのディレクトリ構成を上書き更新するように指示し、
前記複数のサーバは、
前記アクセスの送信元端末にサービスを提供するソフトウェアをディレクトリツリー内の制限された部分で動作させるとともに当該制限された部分以外に前記マスタ環境を保存し、
前記更新手段によるマスタ環境の上書き更新指示に応答して、保存したマスタ環境を前記制限された部分に展開する展開手段を有することを特徴とする請求項１〜４のいずれか一つに記載のアクセス制御システム。
【請求項６】
前記更新手段によって前記マスタ環境に前記差分を反映する更新が実行されている場合に、当該更新以外のマスタへの更新アクセスであって当該差分の反映先のディレクトリを変更対象とする更新アクセスを禁止するマスタ変更アクセス禁止手段をさらに有することを特徴とする請求項２または３に記載のアクセス制御システム。
【請求項７】
統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御装置であって、
前記複数のサーバが前記外部ネットワークからのアクセスを待機するアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段と、
前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送手段と、
前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と前記マスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認手段と、
前記差分確認手段による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新手段と、
前記転送手段に対して、前記転送手段、前記差分確認手段および前記更新手段による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御手段と
を有することを特徴とするアクセス制御装置。
【請求項８】
統一資源識別子またはアドレスを共有する複数のサーバに対する外部ネットワークからのアクセスを制御するアクセス制御システムに適用するアクセス制御方法であって、
前記外部ネットワークからのアクセスを前記複数のサーバのうちいずれかのサーバへ転送する転送工程と、
前記サーバによる前記アクセスの発信元へのレスポンスを受け付けた場合に、当該サーバが保有するディレクトリ構成と、前記複数のサーバがアクセス待機状態にある場合に保有させるディレクトリ構成をマスタ環境として記憶するマスタ環境記憶手段によって記憶されたマスタ環境との間の差分を確認する差分確認工程と、
前記差分確認工程による差分の確認結果に基づき、当該確認が行われたサーバのディレクトリ構成を前記マスタ環境記憶手段によって記憶されたマスタ環境で上書き更新する更新工程と、
前記転送工程に対して、前記転送工程、前記差分確認工程および前記更新工程による処理に介在せずに前記アクセス待機状態にあるサーバを前記アクセスの転送先として指定するアクセス制御工程と
を含んだことを特徴とするアクセス制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公開番号】特開２０１１−３１３２（Ｐ２０１１−３１３２Ａ）
【公開日】平成２３年１月６日（２０１１．１．６）
【国際特許分類】
【出願番号】特願２００９−１４７６５４（Ｐ２００９−１４７６５４）
【出願日】平成２１年６月２２日（２００９．６．２２）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２３年１月６日（２０１１．１．６）
【国際特許分類】
【出願日】平成２１年６月２２日（２００９．６．２２）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]