情報処理装置、アクセス制御方法、およびアクセス制御用プログラム
【課題】 ネットワーク環境や、ＯＳ、アプリケーション等に依存しないアクセス制限を実現すること。
【解決手段】 フィルタリングルール管理サーバ１にアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールＦＲを記憶しておき、クライアント１０のＶＭＭに、アクセス制御機能モジュール６０を組み込んでおく。モジュール６０は、クライアント１０の起動時に、フィルタリングルール管理サーバ１からフィルタリングルールＦＲを取得して一時記憶部３１に記憶する。また、モジュール６０は、ゲストＯＳ４０から発行されるパケットがＨＴＴＰ要求パケットであり、且つ、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、フィルタリングルールＦＲによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当する場合に、そのパケットを破棄する。
【解決手段】 フィルタリングルール管理サーバ１にアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールＦＲを記憶しておき、クライアント１０のＶＭＭに、アクセス制御機能モジュール６０を組み込んでおく。モジュール６０は、クライアント１０の起動時に、フィルタリングルール管理サーバ１からフィルタリングルールＦＲを取得して一時記憶部３１に記憶する。また、モジュール６０は、ゲストＯＳ４０から発行されるパケットがＨＴＴＰ要求パケットであり、且つ、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、フィルタリングルールＦＲによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当する場合に、そのパケットを破棄する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ユーザによるウェブへのアクセスを制御する情報処理装置、アクセス制御方法、およびアクセス制御用プログラムに関する。
【背景技術】
【０００２】
近年、誰もがコンピュータなどの情報処理装置を用いて、あらゆる情報をインターネットを通じて容易に取得したり送ったりすることができるようになっている。その一方で、企業内等での私的なインターネット利用、例えば業務中の私的なＷｅｂサイトの閲覧のほか、悪質なＷｅｂサイトの閲覧によるコンピュータウイルスの感染、それによる機密情報漏洩等が問題になっている。
【０００３】
このような問題を解決するために、例えば次のような方法を用いることが考えられる。
【０００４】
１つ目は、ユーザが使用するクライアント機器が接続するネットワーク上に、プロキシサーバ等のフィルタリングを行うサーバ機器（フィルタリングサーバ）を設置し、クライアント機器がこのフィルタリングサーバを介してインターネットへ通信するように構成することで、クライアント機器からインターネットへのアクセスを制限するという方法である。
【０００５】
２つ目は、ユーザが使用するクライアント機器に、アクセス制限を行うアプリケーションを導入することで、クライアント機器からインターネットへのアクセスを制限するという方法である。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００２−０７３５４８号公報
【特許文献２】特開２００４−１１０８０６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、１つ目の方法では、アクセス制限を行うことができる範囲は、フィルタリングサーバ等が設置されている同一のネットワーク内に接続しているクライアント機器だけに限られ、別のネットワークに接続しているクライアント機器についてはアクセスを制限することができない。
【０００８】
ここで言う同一のネットワークとは同一のサブネットマスク内のネットワークを指す。
【０００９】
また、２つ目の方法では、アクセス制限を行うアプリケーションはクライアント機器のＯＳ（オペレーティングシステム）上で動作するため、利用者自身がクライアント機器の故意にアプリケーションを停止させることが可能であり、必ずしもアクセス制限が行われるという保証はない。
【００１０】
本発明は上記実情に鑑みてなされたものであり、ネットワーク環境や、ＯＳ、アプリケーション等に依存しないアクセス制御を実現する情報処理装置、アクセス制御方法、およびアクセス制御用プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明の一態様によるアクセス制御用プログラムは、コンピュータの仮想マシンモニタ（ＶＭＭ：Virtual Machine Monitor）に組み込まれるアクセス制御用プログラムであって、前記コンピュータの起動時に、インターネットを経由して所定のサーバ機器にアクセスし、前記サーバ機器から、少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を取得して前記コンピュータの中の所定の記憶媒体に記憶させるフィルタリングルール取得機能と、ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別する判別機能と、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄するパケット破棄機能とを前記ＶＭＭによりコンピュータに実現させるためのアクセス制御用プログラムである。
【００１２】
本発明の他の態様による情報処理装置は仮想マシンモニタ（ＶＭＭ）に所定のプログラムが組み込まれている情報処理装置であって、前記プログラムは、前記情報処理装置の起動時に、インターネットを経由して所定のサーバ機器にアクセスし、前記サーバ機器から、少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を取得して前記コンピュータの中の所定の記憶媒体に記憶させるフィルタリングルール取得機能と、ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別する判別機能と、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄するパケット破棄機能とを有することを特徴とする情報処理装置。
【００１３】
本発明の更なる他の態様によるアクセス制御方法は、所定のサーバ機器に少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を記憶しておき、クライアント機器の仮想マシンモニタ（ＶＭＭ）に、所定のプログラムを組み込んでおき、前記プログラムが、前記クライアント機器の起動時に、インターネットを経由して前記サーバ機器にアクセスし、前記サーバ機器から、前記フィルタリングルールの情報を取得して前記クライアント機器の中の所定の記憶媒体に記憶し、ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別し、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄することを特徴とする。
【発明の効果】
【００１４】
本発明によれば、ネットワーク環境や、ＯＳ、アプリケーション等に依存しないアクセス制御を実現する情報処理装置、アクセス制御方法、およびアクセス制御用プログラムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態に係るアクセス制御方法が適用される通信システムの一例を示す模式図。
【図２】フィルタリングルールの情報の構成の一例を示す図。
【図３】クライアントの機能構成の一例を示すブロック図。
【図４】サーバの機能構成の一例を示すブロック図。
【図５】クライアントのＶＭＭに組み込まれたアクセス制御用プログラムによる動作の一例を示すフローチャート。
【発明を実施するための形態】
【００１６】
以下、図面を参照して、本発明の実施の形態について説明する。
【００１７】
なお、本実施形態では、便宜上、サーバ機器を「サーバ」と呼び、クライアント機器を「クライアント」と呼ぶ。
【００１８】
図１は、本発明の一実施形態に係るアクセス制御方法が適用される通信システムの一例を示す模式図である。
【００１９】
図１に示される通信システムの中には、インターネットＮを通じて接続可能な、フィルタリング管理サーバ（コンピュータ）１、クライアント（コンピュータ）１０、アクセス制限対象のサーバ（コンピュータ）１０１、およびアクセス制限対象外のサーバ（コンピュータ）１０２が存在する。なお、図１においては、アクセス制限対象のサーバ１０１，アクセス制限対象外のサーバ１０２が１台ずつしか図示されていないが、実際にはそれぞれが複数台存在する。クライアント１０についても、１台しか図示されていないが、実際には複数台存在する。
【００２０】
フィルタリング管理サーバ１は、クライアント１０がＷｅｂ上のリソースである、Ｗｅｂサイトにアクセスする際のアクセス制限の対象となる、ＨＴＴＰ（Hypertext Transfer Protocol）パケット内にあるＵＲＩ（Uniform Resource Identifier）およびリクエストメソッドを示すフィルタリングルールの情報（以下、「フィルタリングルールＦＲ」と称す。）を記憶している。フィルタリングルールＦＲは、少なくともアクセス制限の対象となるＵＲＩ、当該ＵＲＩに対するＧＥＴリクエストの制限の有無、および当該ＵＲＩに対するＰＯＳＴリクエストの制限の有無を示す。
【００２１】
より具体的には、フィルタリングルールＦＲは、図２に示されるような情報を有する。
【００２２】
すなわち、設定項目として、アクセス制限の対象となる「ＵＲＩ」があり、「ＵＲＩ」の設定内容として「http://・・・」などが登録される。ここには、例えば、アクセス制限対象のサーバ１０１のＵＲＩが登録され、一方、アクセス制限対象外のサーバ１０２のＵＲＩは登録されない。
【００２３】
また、このアクセス制限の対象となる「ＵＲＩ」に対し、リクエストメソッド毎にリクエストを許可すべきか禁止すべきかを設定できるように、設定項目として「ＧＥＴリクエスト制限」および「ＰＯＳＴリクエスト制限」が用意されている。なお、ここでは２種類のリクエストメソッドについてのみ設定できる例を示しているが、リクエストメソッド以外に設定項目があってもよい。「ＧＥＴリクエスト制限」の設定内容としては、リクエストメソッド「ＧＥＴ」の許可または禁止を指定するために、「True」（真）または「False」（偽）を示す真偽値が登録される。「ＰＯＳＴリクエスト制限」の設定内容も、同様に、リクエストメソッド「ＰＯＳＴ」の許可または禁止を指定するために、「True」（真）または「False」（偽）を示す真偽値が登録される。これにより、ＧＥＴリクエストとＰＯＳＴリクエストの両方を禁止したり、ＧＥＴリクエストとＰＯＳＴリクエストのいずれか一方のみを禁止したりすることが可能となる。
【００２４】
クライアント１０は、ＮＩＣ（Network Interface Card）２０、ＶＭＭ（Virtual Machine Monitor）３０、ゲストＯＳ４０、およびアプリケーション５０を有する。
【００２５】
ＮＩＣ２０は、クライアント１０がインターネットＮに接続するための通信インタフェースを実現するカードである。
【００２６】
ＶＭＭ３０は、仮想マシンモニタであり、コンピュータを仮想化し、複数の異なる仮想マシンを並列に実行できるようにするためのソフトウェアである。その動作は、クライアントのネットワーク環境や、ＯＳ、アプリケーション等に依存しない。このＶＭＭ３０は、後で詳述する一時記憶部３１、フィルタリングルール取得機能３２、判別機能３３、およびパケット破棄機能３４を有する。
【００２７】
なお、フィルタリングルール取得機能３２、判別機能３３、およびパケット破棄機能３４は、アクセス制御機能モジュール６０を構成する。このアクセス制御機能モジュール６０は、アクセス制御機能を実現するためにＶＭＭ３０に組み込まれたプログラムである。すなわち、アクセス制御機能モジュール６０は、フィルタリングルール取得機能３２、判別機能３３、およびパケット破棄機能３４を、ＶＭＭ３０によりコンピュータに実現させるためのアクセス制御用プログラムである。
【００２８】
一時記憶部３１は、クライアント１０の起動時に、インターネットＮ経由でフィルタリングルール管理サーバ１から取得されるフィルタリングルールＦＲを記憶するものであり、ＲＡＭ等を用いて実現される。
【００２９】
ゲストＯＳ４０は、クライアント１０の動作を統括して制御し、ＶＭＭ３０により監視され、ＶＭＭ３０に対し、Ｗｅｂ上のリソースへのアクセス要求を含む各種の要求を行う。
【００３０】
アプリケーション５０は、ユーザが使用するインターネット閲覧ソフトなどのソフトウェアである。
【００３１】
図３は、クライアント１０の機能構成の一例を示すブロック図である。なお、図１と共通する要素には同一の符号を付している。
【００３２】
クライアント１０は、前述したように、ＮＩＣ２０、ＶＭＭ３０、およびゲストＯＳ４０を有し、ＶＭＭ３０は、一時記憶部３１、フィルタリングルール取得機能３２、判別機能３３、およびパケット破棄機能３４を有し、また、フィルタリングルール取得機能３２、判別機能３３、およびパケット破棄機能３４は、アクセス制御機能モジュール６０を構成している。
【００３３】
一時記憶部３１は、クライアント１０の起動時に、フィルタリングルール取得機能３２によりＮＩＣ２０を通じてインターネットＮ経由でフィルタリングルール管理サーバ１から取得されるフィルタリングルールＦＲを一時的に記憶するものであり、ここに記憶されたフィルタリングルールＦＲは、クライアント１０の動作中、アクセス制御機能を実現するために使用される。このフィルタリングルールＦＲは、クライアント１０がシャットダウンした際には消去される。
【００３４】
また、管理サーバのＩＰアドレスはクライアント１０のフィルタリングルール取得機能３２にあらかじめ設定しておく。
【００３５】
フィルタリングルール取得機能３２は、クライアント１０の起動時に、インターネットＮを経由してフィルタリング管理サーバ１にアクセスし、このフィルタリング管理サーバ１から、アクセス制限の対象となるＵＲＩおよびリクエストメソッドを示すフィルタリングルールＦＲを取得して、クライアント１０の中の一時記憶部３１に記憶させる機能である。
【００３６】
判別機能３３は、ゲストＯＳ４０から発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、一時記憶部３１上のフィルタリングルールＦＲによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別する機能である。
【００３７】
より具体的には、判別機能３３は、ゲストＯＳから発行されるパケットがＨＴＴＰ要求パケットに該当するか否かを判別する第１の判別機能と、この第１の判別機能の判別結果が該当を示す場合に、そのＨＴＴＰ要求パケットのＨＴＴＰコマンドからホスト名、リクエストＵＲＩ、および当該ＵＲＩに対するリクエストメソッドを取得し、取得したホスト名とリクエストＵＲＩとを結合した文字列が、フィルタリングルールＦＲによりアクセス制限の対象とされているＵＲＩに該当するか否かを判別する第２の判別機能と、この第２の判別機能の判別結果が該当を示す場合に、取得したリクエストメソッドが、フィルタリングルールＦＲが当該ＵＲＩについてアクセス制限の対象としているリクエストメソッドに該当するか否かを判別する第３の判別機能とを有する。
【００３８】
パケット破棄機能３４は、一時記憶部３１上のフィルタリングルールＦＲによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットが検出された場合に、そのパケットを破棄する機能である。
【００３９】
図４は、フィルタリングルール管理サーバ１の機能構成の一例を示すブロック図である。なお、図１と共通する要素には同一の符号を付している。
【００４０】
フィルタリングルール管理サーバ１は、ＮＩＣ１１、ＯＳ１２、Ｗｅｂサーバ１３、および記憶部１４を有する。
【００４１】
ＮＩＣ１１は、フィルタリングルール管理サーバ１がインターネットＮに接続するための通信インタフェースを実現するカードである。
【００４２】
ＯＳ１２は、フィルタリングルール管理サーバ１に搭載される通常のオペレーティングシステムである。
【００４３】
Ｗｅｂサーバ１３は、記憶部１４に記憶されているフィルタリングルールＦＲを管理し、ＯＳ１２を介して、クライアント１０からのフィルタリングルール取得要求を受け付け、記憶部１４に記憶されているフィルタリングルールＦＲをクライアント１０へ送信する。
【００４４】
記憶部１４は、フィルタリングルールＦＲを記憶する。このフィルタリングルールＦＲは、特定の管理者のみが更新することができる。
【００４５】
次に、図５のフローチャートを参照して、アクセス制御機能モジュール６０による動作の一例を説明する。
【００４６】
クライアント１０が起動すると、通信確立後に、フィルタリングルール取得機能３２が、ＮＩＣ２０を通じて、インターネットＮに接続し、フィルタリング管理サーバ１にアクセスし（ステップＳ１１）、フィルタリング管理サーバ１から、フィルタリングルールＦＲを取得して、これを一時記憶部３１に一時記憶させる（ステップＳ１２）。
【００４７】
次に、判別機能３３が、ゲストＯＳ４０から発行されるパケットを監視し、ゲストＯＳ４０からパケットを受信するまで待機する（ステップＳ１３）。
【００４８】
判別機能３３は、ゲストＯＳ４０からパケットを受信すると、そのパケットがＨＴＴＰ要求パケットであるか否かを判定する（ステップＳ１４）。そのパケットがＨＴＴＰ要求パケットでない場合（ステップＳ１４のＮＯ）、パケット破棄機能３４は、そのパケットを通過させる（ステップＳ２１）。
【００４９】
一方、そのパケットがＨＴＴＰ要求パケットである場合（ステップＳ１４のＹＥＳ）、判別機能３３は、そのパケットのＨＴＴＰコマンドからホスト名、リクエストＵＲＩ、およびリクエストメソッドを取得し（ステップＳ１５）、取得したホスト名とリクエストＵＲＩを結合した文字列が、一時記憶部３１上のフィルタリングルールＦＲに示されるいずれかのＵＲＩと一致するか否かを判定する（ステップＳ１６）。その文字列がいずれのＵＲＩとも一致しない場合（ステップＳ１６のＮＯ）、パケット破棄機能３４は、そのパケットを通過させる（ステップＳ２１）。
【００５０】
一方、その文字列が、フィルタリングルールＦＲに示されるいずれかのＵＲＩと一致する場合（ステップＳ１６のＹＥＳ）、判別機能３３は、取得したリクエストメソッドが「ＧＥＴ」であるか、それとも「ＰＯＳＴ」であるかを判定する（ステップＳ１７，Ｓ１８）。リクエストメソッドが「ＧＥＴ」でも「ＰＯＳＴ」でもない場合（ステップのＳ１７のＮＯ、ステップＳ１８のＮＯ）、パケット破棄機能３４は、そのパケットを通過させる（ステップＳ２１）。
【００５１】
一方、取得したリクエストメソッドが「ＧＥＴ」である場合（ステップＳ１７のＹＥＳ）、判別機能３３は、フィルタリングルールＦＲ上の当該ＵＲＩに対応するＧＥＴリクエスト制限が「真」を示しているか否かを判定する（ステップＳ１９）。ここで、「真」ではなく、「偽」を示している場合（ステップＳ１９のＮＯ）、パケット破棄機能３４は、そのパケットを通過させる（ステップＳ２１）。一方、「真」を示している場合（ステップＳ１９のＹＥＳ）、パケット破棄機能３４は、そのパケットを破棄する（ステップＳ２２）。以降は、ステップＳ１４からの処理が繰り返される。
【００５２】
また、取得したリクエストメソッドが「ＰＯＳＴ」である場合（ステップＳ１８のＹＥＳ）、判別機能３３は、フィルタリングルールＦＲ上の当該ＵＲＩに対応するＰＯＳＴリクエスト制限が「真」を示しているか否かを判定する（ステップＳ２０）。ここで、「真」ではなく、「偽」を示している場合（ステップＳ２０のＮＯ）、パケット破棄機能３４は、そのパケットを通過させる（ステップＳ２１）。一方、「真」を示している場合（ステップＳ２０のＹＥＳ）、パケット破棄機能３４は、そのパケットを破棄する（ステップＳ２２）。以降は、ステップＳ１４からの処理が繰り返される。
【００５３】
このように上記実施形態によれば、アクセス制御機能モジュールが組み込まれ、管理サーバのＩＰアドレスが設定された、ＶＭＭを各クライアント機器にインストールし、起動時にアクセス制御機能モジュールがフィルタリングルールを取得しこれを用いてアクセス制御を実施することにより、ネットワーク環境や、ＯＳ、アプリケーション等に依存しないセキュリティの高い頑強なアクセス制御機能を容易に実現することができ、ユーザによる不適切なリソースへのアクセスを防ぐことができる。また、これにより、企業内等での私的なインターネット利用、例えば私的なサイトの閲覧のほか、悪質なサイトの閲覧によるコンピュータウイルスの感染、それによる機密情報漏洩等を未然に防ぐことが可能となる。
【００５４】
また、上記実施形態の効果を分類すると以下のようになる。
【００５５】
（１）管理者の負担を軽減できる
アクセス制御機能がクライアント機器のＶＭＭの一機能（モジュール）として組み込まれているため、利用者はアプリケーションやシステムを意識することがなく、また、アクセス制限に必要なフィルタリングルールは、アクセス制御機能モジュールがフィルタリングルール管理サーバと通信を行って取得するため、クライアント毎の個別設定を行う必要がなく、管理者の負担を軽減させることができる。
【００５６】
（２）ネットワークに依存しない
ネットワーク上にアクセス制限を行うフィルタリングサーバ等を設置する必要がなく、アクセス制御機能はクライアントの中のＶＭＭの一機能（モジュール）として組み込まれているため、ネットワークに依存しないアクセス制限を実現することができる。
【００５７】
（３）ＯＳやアプリケーションに依存しない
アクセス制限を行うアプリケーション等を導入する必要がなく、アクセス制御機能はクライアントの中のＶＭＭの一機能（モジュール）として組み込まれているため、ＯＳやアプリケーションに依存しないアクセス制限を実現することができる。
【００５８】
（４）利用者によって操作されない
上記と同様、アクセス制限を行うアプリケーション等を導入する必要がなく、アクセス制御機能はクライアントの中のＶＭＭの一機能（モジュール）として組み込まれているため、利用者によりアクセス制御機能を停止するなどの操作が行われることがなく、高いセキュリティを維持することができる。
【００５９】
なお、上記実施形態では、フィルタリングルールＦＲが「アクセス制限」の対象となるＵＲＩおよびリクエストメソッドを示すものとして説明したが、代わりに、このフィルタリングルールＦＲを「アクセス許可」の対象となるＵＲＩおよびリクエストメソッドを示すものとして構成してもよい。
【００６０】
その場合、判別機能３３は、ゲストＯＳ４０から発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、一時記憶部３１上のフィルタリングルールＦＲが「アクセス許可」の対象としているＵＲＩおよびリクエストメソッドに該当するか否かを判別するものとする。また、パケット破棄機能３４は、一時記憶部３１上のフィルタリングルールＦＲが「アクセス許可」の対象としているＵＲＩおよびリクエストメソッドを有するパケットが検出された場合に、そのパケットを通過させ、これ以外のパケットについては破棄するものとする。
【００６１】
本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【符号の説明】
【００６２】
１…フィルタリング管理サーバ、１０…クライアント、１１…ＮＩＣ、１２…ＯＳ、１３…Ｗｅｂサーバ、１４…記憶部、２０…ＮＩＣ、３０…ＶＭＭ、３１…一時記憶部、３２…フィルタリングルール取得機能、３３…判別機能、３４…パケット破棄機能、４０…ゲストＯＳ、５０…アプリケーション、６０…アクセス制御機能モジュール、１０１…アクセス制限対象のサーバ、１０２…アクセス制限対象外のサーバ、
ＦＲ…フィルタリングルール、Ｎ…インターネット。
【技術分野】
【０００１】
本発明は、ユーザによるウェブへのアクセスを制御する情報処理装置、アクセス制御方法、およびアクセス制御用プログラムに関する。
【背景技術】
【０００２】
近年、誰もがコンピュータなどの情報処理装置を用いて、あらゆる情報をインターネットを通じて容易に取得したり送ったりすることができるようになっている。その一方で、企業内等での私的なインターネット利用、例えば業務中の私的なＷｅｂサイトの閲覧のほか、悪質なＷｅｂサイトの閲覧によるコンピュータウイルスの感染、それによる機密情報漏洩等が問題になっている。
【０００３】
このような問題を解決するために、例えば次のような方法を用いることが考えられる。
【０００４】
１つ目は、ユーザが使用するクライアント機器が接続するネットワーク上に、プロキシサーバ等のフィルタリングを行うサーバ機器（フィルタリングサーバ）を設置し、クライアント機器がこのフィルタリングサーバを介してインターネットへ通信するように構成することで、クライアント機器からインターネットへのアクセスを制限するという方法である。
【０００５】
２つ目は、ユーザが使用するクライアント機器に、アクセス制限を行うアプリケーションを導入することで、クライアント機器からインターネットへのアクセスを制限するという方法である。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００２−０７３５４８号公報
【特許文献２】特開２００４−１１０８０６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
しかしながら、１つ目の方法では、アクセス制限を行うことができる範囲は、フィルタリングサーバ等が設置されている同一のネットワーク内に接続しているクライアント機器だけに限られ、別のネットワークに接続しているクライアント機器についてはアクセスを制限することができない。
【０００８】
ここで言う同一のネットワークとは同一のサブネットマスク内のネットワークを指す。
【０００９】
また、２つ目の方法では、アクセス制限を行うアプリケーションはクライアント機器のＯＳ（オペレーティングシステム）上で動作するため、利用者自身がクライアント機器の故意にアプリケーションを停止させることが可能であり、必ずしもアクセス制限が行われるという保証はない。
【００１０】
本発明は上記実情に鑑みてなされたものであり、ネットワーク環境や、ＯＳ、アプリケーション等に依存しないアクセス制御を実現する情報処理装置、アクセス制御方法、およびアクセス制御用プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明の一態様によるアクセス制御用プログラムは、コンピュータの仮想マシンモニタ（ＶＭＭ：Virtual Machine Monitor）に組み込まれるアクセス制御用プログラムであって、前記コンピュータの起動時に、インターネットを経由して所定のサーバ機器にアクセスし、前記サーバ機器から、少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を取得して前記コンピュータの中の所定の記憶媒体に記憶させるフィルタリングルール取得機能と、ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別する判別機能と、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄するパケット破棄機能とを前記ＶＭＭによりコンピュータに実現させるためのアクセス制御用プログラムである。
【００１２】
本発明の他の態様による情報処理装置は仮想マシンモニタ（ＶＭＭ）に所定のプログラムが組み込まれている情報処理装置であって、前記プログラムは、前記情報処理装置の起動時に、インターネットを経由して所定のサーバ機器にアクセスし、前記サーバ機器から、少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を取得して前記コンピュータの中の所定の記憶媒体に記憶させるフィルタリングルール取得機能と、ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別する判別機能と、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄するパケット破棄機能とを有することを特徴とする情報処理装置。
【００１３】
本発明の更なる他の態様によるアクセス制御方法は、所定のサーバ機器に少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を記憶しておき、クライアント機器の仮想マシンモニタ（ＶＭＭ）に、所定のプログラムを組み込んでおき、前記プログラムが、前記クライアント機器の起動時に、インターネットを経由して前記サーバ機器にアクセスし、前記サーバ機器から、前記フィルタリングルールの情報を取得して前記クライアント機器の中の所定の記憶媒体に記憶し、ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別し、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄することを特徴とする。
【発明の効果】
【００１４】
本発明によれば、ネットワーク環境や、ＯＳ、アプリケーション等に依存しないアクセス制御を実現する情報処理装置、アクセス制御方法、およびアクセス制御用プログラムを提供することができる。
【図面の簡単な説明】
【００１５】
【図１】本発明の一実施形態に係るアクセス制御方法が適用される通信システムの一例を示す模式図。
【図２】フィルタリングルールの情報の構成の一例を示す図。
【図３】クライアントの機能構成の一例を示すブロック図。
【図４】サーバの機能構成の一例を示すブロック図。
【図５】クライアントのＶＭＭに組み込まれたアクセス制御用プログラムによる動作の一例を示すフローチャート。
【発明を実施するための形態】
【００１６】
以下、図面を参照して、本発明の実施の形態について説明する。
【００１７】
なお、本実施形態では、便宜上、サーバ機器を「サーバ」と呼び、クライアント機器を「クライアント」と呼ぶ。
【００１８】
図１は、本発明の一実施形態に係るアクセス制御方法が適用される通信システムの一例を示す模式図である。
【００１９】
図１に示される通信システムの中には、インターネットＮを通じて接続可能な、フィルタリング管理サーバ（コンピュータ）１、クライアント（コンピュータ）１０、アクセス制限対象のサーバ（コンピュータ）１０１、およびアクセス制限対象外のサーバ（コンピュータ）１０２が存在する。なお、図１においては、アクセス制限対象のサーバ１０１，アクセス制限対象外のサーバ１０２が１台ずつしか図示されていないが、実際にはそれぞれが複数台存在する。クライアント１０についても、１台しか図示されていないが、実際には複数台存在する。
【００２０】
フィルタリング管理サーバ１は、クライアント１０がＷｅｂ上のリソースである、Ｗｅｂサイトにアクセスする際のアクセス制限の対象となる、ＨＴＴＰ（Hypertext Transfer Protocol）パケット内にあるＵＲＩ（Uniform Resource Identifier）およびリクエストメソッドを示すフィルタリングルールの情報（以下、「フィルタリングルールＦＲ」と称す。）を記憶している。フィルタリングルールＦＲは、少なくともアクセス制限の対象となるＵＲＩ、当該ＵＲＩに対するＧＥＴリクエストの制限の有無、および当該ＵＲＩに対するＰＯＳＴリクエストの制限の有無を示す。
【００２１】
より具体的には、フィルタリングルールＦＲは、図２に示されるような情報を有する。
【００２２】
すなわち、設定項目として、アクセス制限の対象となる「ＵＲＩ」があり、「ＵＲＩ」の設定内容として「http://・・・」などが登録される。ここには、例えば、アクセス制限対象のサーバ１０１のＵＲＩが登録され、一方、アクセス制限対象外のサーバ１０２のＵＲＩは登録されない。
【００２３】
また、このアクセス制限の対象となる「ＵＲＩ」に対し、リクエストメソッド毎にリクエストを許可すべきか禁止すべきかを設定できるように、設定項目として「ＧＥＴリクエスト制限」および「ＰＯＳＴリクエスト制限」が用意されている。なお、ここでは２種類のリクエストメソッドについてのみ設定できる例を示しているが、リクエストメソッド以外に設定項目があってもよい。「ＧＥＴリクエスト制限」の設定内容としては、リクエストメソッド「ＧＥＴ」の許可または禁止を指定するために、「True」（真）または「False」（偽）を示す真偽値が登録される。「ＰＯＳＴリクエスト制限」の設定内容も、同様に、リクエストメソッド「ＰＯＳＴ」の許可または禁止を指定するために、「True」（真）または「False」（偽）を示す真偽値が登録される。これにより、ＧＥＴリクエストとＰＯＳＴリクエストの両方を禁止したり、ＧＥＴリクエストとＰＯＳＴリクエストのいずれか一方のみを禁止したりすることが可能となる。
【００２４】
クライアント１０は、ＮＩＣ（Network Interface Card）２０、ＶＭＭ（Virtual Machine Monitor）３０、ゲストＯＳ４０、およびアプリケーション５０を有する。
【００２５】
ＮＩＣ２０は、クライアント１０がインターネットＮに接続するための通信インタフェースを実現するカードである。
【００２６】
ＶＭＭ３０は、仮想マシンモニタであり、コンピュータを仮想化し、複数の異なる仮想マシンを並列に実行できるようにするためのソフトウェアである。その動作は、クライアントのネットワーク環境や、ＯＳ、アプリケーション等に依存しない。このＶＭＭ３０は、後で詳述する一時記憶部３１、フィルタリングルール取得機能３２、判別機能３３、およびパケット破棄機能３４を有する。
【００２７】
なお、フィルタリングルール取得機能３２、判別機能３３、およびパケット破棄機能３４は、アクセス制御機能モジュール６０を構成する。このアクセス制御機能モジュール６０は、アクセス制御機能を実現するためにＶＭＭ３０に組み込まれたプログラムである。すなわち、アクセス制御機能モジュール６０は、フィルタリングルール取得機能３２、判別機能３３、およびパケット破棄機能３４を、ＶＭＭ３０によりコンピュータに実現させるためのアクセス制御用プログラムである。
【００２８】
一時記憶部３１は、クライアント１０の起動時に、インターネットＮ経由でフィルタリングルール管理サーバ１から取得されるフィルタリングルールＦＲを記憶するものであり、ＲＡＭ等を用いて実現される。
【００２９】
ゲストＯＳ４０は、クライアント１０の動作を統括して制御し、ＶＭＭ３０により監視され、ＶＭＭ３０に対し、Ｗｅｂ上のリソースへのアクセス要求を含む各種の要求を行う。
【００３０】
アプリケーション５０は、ユーザが使用するインターネット閲覧ソフトなどのソフトウェアである。
【００３１】
図３は、クライアント１０の機能構成の一例を示すブロック図である。なお、図１と共通する要素には同一の符号を付している。
【００３２】
クライアント１０は、前述したように、ＮＩＣ２０、ＶＭＭ３０、およびゲストＯＳ４０を有し、ＶＭＭ３０は、一時記憶部３１、フィルタリングルール取得機能３２、判別機能３３、およびパケット破棄機能３４を有し、また、フィルタリングルール取得機能３２、判別機能３３、およびパケット破棄機能３４は、アクセス制御機能モジュール６０を構成している。
【００３３】
一時記憶部３１は、クライアント１０の起動時に、フィルタリングルール取得機能３２によりＮＩＣ２０を通じてインターネットＮ経由でフィルタリングルール管理サーバ１から取得されるフィルタリングルールＦＲを一時的に記憶するものであり、ここに記憶されたフィルタリングルールＦＲは、クライアント１０の動作中、アクセス制御機能を実現するために使用される。このフィルタリングルールＦＲは、クライアント１０がシャットダウンした際には消去される。
【００３４】
また、管理サーバのＩＰアドレスはクライアント１０のフィルタリングルール取得機能３２にあらかじめ設定しておく。
【００３５】
フィルタリングルール取得機能３２は、クライアント１０の起動時に、インターネットＮを経由してフィルタリング管理サーバ１にアクセスし、このフィルタリング管理サーバ１から、アクセス制限の対象となるＵＲＩおよびリクエストメソッドを示すフィルタリングルールＦＲを取得して、クライアント１０の中の一時記憶部３１に記憶させる機能である。
【００３６】
判別機能３３は、ゲストＯＳ４０から発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、一時記憶部３１上のフィルタリングルールＦＲによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別する機能である。
【００３７】
より具体的には、判別機能３３は、ゲストＯＳから発行されるパケットがＨＴＴＰ要求パケットに該当するか否かを判別する第１の判別機能と、この第１の判別機能の判別結果が該当を示す場合に、そのＨＴＴＰ要求パケットのＨＴＴＰコマンドからホスト名、リクエストＵＲＩ、および当該ＵＲＩに対するリクエストメソッドを取得し、取得したホスト名とリクエストＵＲＩとを結合した文字列が、フィルタリングルールＦＲによりアクセス制限の対象とされているＵＲＩに該当するか否かを判別する第２の判別機能と、この第２の判別機能の判別結果が該当を示す場合に、取得したリクエストメソッドが、フィルタリングルールＦＲが当該ＵＲＩについてアクセス制限の対象としているリクエストメソッドに該当するか否かを判別する第３の判別機能とを有する。
【００３８】
パケット破棄機能３４は、一時記憶部３１上のフィルタリングルールＦＲによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットが検出された場合に、そのパケットを破棄する機能である。
【００３９】
図４は、フィルタリングルール管理サーバ１の機能構成の一例を示すブロック図である。なお、図１と共通する要素には同一の符号を付している。
【００４０】
フィルタリングルール管理サーバ１は、ＮＩＣ１１、ＯＳ１２、Ｗｅｂサーバ１３、および記憶部１４を有する。
【００４１】
ＮＩＣ１１は、フィルタリングルール管理サーバ１がインターネットＮに接続するための通信インタフェースを実現するカードである。
【００４２】
ＯＳ１２は、フィルタリングルール管理サーバ１に搭載される通常のオペレーティングシステムである。
【００４３】
Ｗｅｂサーバ１３は、記憶部１４に記憶されているフィルタリングルールＦＲを管理し、ＯＳ１２を介して、クライアント１０からのフィルタリングルール取得要求を受け付け、記憶部１４に記憶されているフィルタリングルールＦＲをクライアント１０へ送信する。
【００４４】
記憶部１４は、フィルタリングルールＦＲを記憶する。このフィルタリングルールＦＲは、特定の管理者のみが更新することができる。
【００４５】
次に、図５のフローチャートを参照して、アクセス制御機能モジュール６０による動作の一例を説明する。
【００４６】
クライアント１０が起動すると、通信確立後に、フィルタリングルール取得機能３２が、ＮＩＣ２０を通じて、インターネットＮに接続し、フィルタリング管理サーバ１にアクセスし（ステップＳ１１）、フィルタリング管理サーバ１から、フィルタリングルールＦＲを取得して、これを一時記憶部３１に一時記憶させる（ステップＳ１２）。
【００４７】
次に、判別機能３３が、ゲストＯＳ４０から発行されるパケットを監視し、ゲストＯＳ４０からパケットを受信するまで待機する（ステップＳ１３）。
【００４８】
判別機能３３は、ゲストＯＳ４０からパケットを受信すると、そのパケットがＨＴＴＰ要求パケットであるか否かを判定する（ステップＳ１４）。そのパケットがＨＴＴＰ要求パケットでない場合（ステップＳ１４のＮＯ）、パケット破棄機能３４は、そのパケットを通過させる（ステップＳ２１）。
【００４９】
一方、そのパケットがＨＴＴＰ要求パケットである場合（ステップＳ１４のＹＥＳ）、判別機能３３は、そのパケットのＨＴＴＰコマンドからホスト名、リクエストＵＲＩ、およびリクエストメソッドを取得し（ステップＳ１５）、取得したホスト名とリクエストＵＲＩを結合した文字列が、一時記憶部３１上のフィルタリングルールＦＲに示されるいずれかのＵＲＩと一致するか否かを判定する（ステップＳ１６）。その文字列がいずれのＵＲＩとも一致しない場合（ステップＳ１６のＮＯ）、パケット破棄機能３４は、そのパケットを通過させる（ステップＳ２１）。
【００５０】
一方、その文字列が、フィルタリングルールＦＲに示されるいずれかのＵＲＩと一致する場合（ステップＳ１６のＹＥＳ）、判別機能３３は、取得したリクエストメソッドが「ＧＥＴ」であるか、それとも「ＰＯＳＴ」であるかを判定する（ステップＳ１７，Ｓ１８）。リクエストメソッドが「ＧＥＴ」でも「ＰＯＳＴ」でもない場合（ステップのＳ１７のＮＯ、ステップＳ１８のＮＯ）、パケット破棄機能３４は、そのパケットを通過させる（ステップＳ２１）。
【００５１】
一方、取得したリクエストメソッドが「ＧＥＴ」である場合（ステップＳ１７のＹＥＳ）、判別機能３３は、フィルタリングルールＦＲ上の当該ＵＲＩに対応するＧＥＴリクエスト制限が「真」を示しているか否かを判定する（ステップＳ１９）。ここで、「真」ではなく、「偽」を示している場合（ステップＳ１９のＮＯ）、パケット破棄機能３４は、そのパケットを通過させる（ステップＳ２１）。一方、「真」を示している場合（ステップＳ１９のＹＥＳ）、パケット破棄機能３４は、そのパケットを破棄する（ステップＳ２２）。以降は、ステップＳ１４からの処理が繰り返される。
【００５２】
また、取得したリクエストメソッドが「ＰＯＳＴ」である場合（ステップＳ１８のＹＥＳ）、判別機能３３は、フィルタリングルールＦＲ上の当該ＵＲＩに対応するＰＯＳＴリクエスト制限が「真」を示しているか否かを判定する（ステップＳ２０）。ここで、「真」ではなく、「偽」を示している場合（ステップＳ２０のＮＯ）、パケット破棄機能３４は、そのパケットを通過させる（ステップＳ２１）。一方、「真」を示している場合（ステップＳ２０のＹＥＳ）、パケット破棄機能３４は、そのパケットを破棄する（ステップＳ２２）。以降は、ステップＳ１４からの処理が繰り返される。
【００５３】
このように上記実施形態によれば、アクセス制御機能モジュールが組み込まれ、管理サーバのＩＰアドレスが設定された、ＶＭＭを各クライアント機器にインストールし、起動時にアクセス制御機能モジュールがフィルタリングルールを取得しこれを用いてアクセス制御を実施することにより、ネットワーク環境や、ＯＳ、アプリケーション等に依存しないセキュリティの高い頑強なアクセス制御機能を容易に実現することができ、ユーザによる不適切なリソースへのアクセスを防ぐことができる。また、これにより、企業内等での私的なインターネット利用、例えば私的なサイトの閲覧のほか、悪質なサイトの閲覧によるコンピュータウイルスの感染、それによる機密情報漏洩等を未然に防ぐことが可能となる。
【００５４】
また、上記実施形態の効果を分類すると以下のようになる。
【００５５】
（１）管理者の負担を軽減できる
アクセス制御機能がクライアント機器のＶＭＭの一機能（モジュール）として組み込まれているため、利用者はアプリケーションやシステムを意識することがなく、また、アクセス制限に必要なフィルタリングルールは、アクセス制御機能モジュールがフィルタリングルール管理サーバと通信を行って取得するため、クライアント毎の個別設定を行う必要がなく、管理者の負担を軽減させることができる。
【００５６】
（２）ネットワークに依存しない
ネットワーク上にアクセス制限を行うフィルタリングサーバ等を設置する必要がなく、アクセス制御機能はクライアントの中のＶＭＭの一機能（モジュール）として組み込まれているため、ネットワークに依存しないアクセス制限を実現することができる。
【００５７】
（３）ＯＳやアプリケーションに依存しない
アクセス制限を行うアプリケーション等を導入する必要がなく、アクセス制御機能はクライアントの中のＶＭＭの一機能（モジュール）として組み込まれているため、ＯＳやアプリケーションに依存しないアクセス制限を実現することができる。
【００５８】
（４）利用者によって操作されない
上記と同様、アクセス制限を行うアプリケーション等を導入する必要がなく、アクセス制御機能はクライアントの中のＶＭＭの一機能（モジュール）として組み込まれているため、利用者によりアクセス制御機能を停止するなどの操作が行われることがなく、高いセキュリティを維持することができる。
【００５９】
なお、上記実施形態では、フィルタリングルールＦＲが「アクセス制限」の対象となるＵＲＩおよびリクエストメソッドを示すものとして説明したが、代わりに、このフィルタリングルールＦＲを「アクセス許可」の対象となるＵＲＩおよびリクエストメソッドを示すものとして構成してもよい。
【００６０】
その場合、判別機能３３は、ゲストＯＳ４０から発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、一時記憶部３１上のフィルタリングルールＦＲが「アクセス許可」の対象としているＵＲＩおよびリクエストメソッドに該当するか否かを判別するものとする。また、パケット破棄機能３４は、一時記憶部３１上のフィルタリングルールＦＲが「アクセス許可」の対象としているＵＲＩおよびリクエストメソッドを有するパケットが検出された場合に、そのパケットを通過させ、これ以外のパケットについては破棄するものとする。
【００６１】
本発明は上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。
【符号の説明】
【００６２】
１…フィルタリング管理サーバ、１０…クライアント、１１…ＮＩＣ、１２…ＯＳ、１３…Ｗｅｂサーバ、１４…記憶部、２０…ＮＩＣ、３０…ＶＭＭ、３１…一時記憶部、３２…フィルタリングルール取得機能、３３…判別機能、３４…パケット破棄機能、４０…ゲストＯＳ、５０…アプリケーション、６０…アクセス制御機能モジュール、１０１…アクセス制限対象のサーバ、１０２…アクセス制限対象外のサーバ、
ＦＲ…フィルタリングルール、Ｎ…インターネット。
【特許請求の範囲】
【請求項１】
コンピュータの仮想マシンモニタ（ＶＭＭ）に組み込まれるアクセス制御用プログラムであって、
前記コンピュータの起動時に、インターネットを経由して所定のサーバ機器にアクセスし、前記サーバ機器から、少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を取得して前記コンピュータの中の所定の記憶媒体に記憶させるフィルタリングルール取得機能と、
ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別する判別機能と、
前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄するパケット破棄機能と
を前記ＶＭＭによりコンピュータに実現させるためのアクセス制御用プログラム。
【請求項２】
前記判別機能は、
前記仮想マシンから発行されるパケットがＨＴＴＰ要求パケットに該当するか否かを判別する第１の判別機能と、
前記第１の判別機能の判別結果が該当を示す場合に、そのＨＴＴＰ要求パケットのＨＴＴＰコマンドからホスト名、リクエストＵＲＩ、および当該ＵＲＩに対するリクエストメソッドを取得し、取得したホスト名とリクエストＵＲＩとを結合した文字列が、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩに該当するか否かを判別する第２の判別機能と、
前記第２の判別機能の判別結果が該当を示す場合に、取得したリクエストメソッドが、前記フィルタリングルールが当該ＵＲＩについてアクセス制限の対象としているリクエストメソッドに該当するか否かを判別する第３の判別機能とを具備し、
前記パケット破棄機能は、前記第３の判別機能の判別結果が該当を示す場合に、当該ＨＴＴＰ要求パケットを破棄することを特徴とするアクセス制御用プログラム。
【請求項３】
前記フィルタリングルール取得機能が取得するフィルタリングルールの情報は、少なくともアクセス制限の対象となるＵＲＩ、当該ＵＲＩに対するＧＥＴリクエストの制限の有無、および当該ＵＲＩに対するＰＯＳＴリクエストの制限の有無を示すことを特徴とする請求項１に記載のアクセス制御用プログラム。
【請求項４】
仮想マシンモニタ（ＶＭＭ）に所定のプログラムが組み込まれている情報処理装置であって、
前記プログラムは、
前記情報処理装置の起動時に、インターネットを経由して所定のサーバ機器にアクセスし、前記サーバ機器から、少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を取得して前記コンピュータの中の所定の記憶媒体に記憶させるフィルタリングルール取得機能と、
ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別する判別機能と、
前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄するパケット破棄機能と
を有することを特徴とする情報処理装置。
【請求項５】
所定のサーバ機器に少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を記憶しておき、
クライアント機器の仮想マシンモニタ（ＶＭＭ）に、所定のプログラムを組み込んでおき、
前記プログラムが、
前記クライアント機器の起動時に、インターネットを経由して前記サーバ機器にアクセスし、前記サーバ機器から、前記フィルタリングルールの情報を取得して前記クライアント機器の中の所定の記憶媒体に記憶し、
ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別し、
前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄する
ことを特徴とするアクセス制御方法。
【請求項１】
コンピュータの仮想マシンモニタ（ＶＭＭ）に組み込まれるアクセス制御用プログラムであって、
前記コンピュータの起動時に、インターネットを経由して所定のサーバ機器にアクセスし、前記サーバ機器から、少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を取得して前記コンピュータの中の所定の記憶媒体に記憶させるフィルタリングルール取得機能と、
ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別する判別機能と、
前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄するパケット破棄機能と
を前記ＶＭＭによりコンピュータに実現させるためのアクセス制御用プログラム。
【請求項２】
前記判別機能は、
前記仮想マシンから発行されるパケットがＨＴＴＰ要求パケットに該当するか否かを判別する第１の判別機能と、
前記第１の判別機能の判別結果が該当を示す場合に、そのＨＴＴＰ要求パケットのＨＴＴＰコマンドからホスト名、リクエストＵＲＩ、および当該ＵＲＩに対するリクエストメソッドを取得し、取得したホスト名とリクエストＵＲＩとを結合した文字列が、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩに該当するか否かを判別する第２の判別機能と、
前記第２の判別機能の判別結果が該当を示す場合に、取得したリクエストメソッドが、前記フィルタリングルールが当該ＵＲＩについてアクセス制限の対象としているリクエストメソッドに該当するか否かを判別する第３の判別機能とを具備し、
前記パケット破棄機能は、前記第３の判別機能の判別結果が該当を示す場合に、当該ＨＴＴＰ要求パケットを破棄することを特徴とするアクセス制御用プログラム。
【請求項３】
前記フィルタリングルール取得機能が取得するフィルタリングルールの情報は、少なくともアクセス制限の対象となるＵＲＩ、当該ＵＲＩに対するＧＥＴリクエストの制限の有無、および当該ＵＲＩに対するＰＯＳＴリクエストの制限の有無を示すことを特徴とする請求項１に記載のアクセス制御用プログラム。
【請求項４】
仮想マシンモニタ（ＶＭＭ）に所定のプログラムが組み込まれている情報処理装置であって、
前記プログラムは、
前記情報処理装置の起動時に、インターネットを経由して所定のサーバ機器にアクセスし、前記サーバ機器から、少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を取得して前記コンピュータの中の所定の記憶媒体に記憶させるフィルタリングルール取得機能と、
ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別する判別機能と、
前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄するパケット破棄機能と
を有することを特徴とする情報処理装置。
【請求項５】
所定のサーバ機器に少なくともアクセス制限の対象となるＨＴＴＰパケット内にあるＵＲＩおよびリクエストメソッドを示すフィルタリングルールの情報を記憶しておき、
クライアント機器の仮想マシンモニタ（ＶＭＭ）に、所定のプログラムを組み込んでおき、
前記プログラムが、
前記クライアント機器の起動時に、インターネットを経由して前記サーバ機器にアクセスし、前記サーバ機器から、前記フィルタリングルールの情報を取得して前記クライアント機器の中の所定の記憶媒体に記憶し、
ゲストＯＳから発行されるパケットを監視し、当該パケットがＨＴＴＰ要求パケットである場合に、そのパケットのＨＴＴＰコマンドが示すＵＲＩおよびリクエストメソッドが、前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドに該当するか否かを判別し、
前記フィルタリングルールによりアクセス制限の対象とされているＵＲＩおよびリクエストメソッドを有するパケットがある場合にそのパケットを破棄する
ことを特徴とするアクセス制御方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図２】
【図３】
【図４】
【図５】
【公開番号】特開２０１２−２０８６８１（Ｐ２０１２−２０８６８１Ａ）
【公開日】平成２４年１０月２５日（２０１２．１０．２５）
【国際特許分類】
【出願番号】特願２０１１−７３１６６（Ｐ２０１１−７３１６６）
【出願日】平成２３年３月２９日（２０１１．３．２９）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２１年度総務省戦略的情報通信研究開発推進制度（ＳＣＯＰＥ）ＩＣＴイノベーション促進型研究開発に係る研究開発課題「ディペンダブルな自律連合型クラウドコンピューティング基盤の研究開発」に関する研究開発委託研究、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（５９３０５９７７３）富士ソフト株式会社 (28)
【Ｆターム（参考）】
【公開日】平成２４年１０月２５日（２０１２．１０．２５）
【国際特許分類】
【出願日】平成２３年３月２９日（２０１１．３．２９）
【国等の委託研究の成果に係る記載事項】（出願人による申告）平成２１年度総務省戦略的情報通信研究開発推進制度（ＳＣＯＰＥ）ＩＣＴイノベーション促進型研究開発に係る研究開発課題「ディペンダブルな自律連合型クラウドコンピューティング基盤の研究開発」に関する研究開発委託研究、産業技術力強化法第１９条の適用を受ける特許出願
【出願人】（５９３０５９７７３）富士ソフト株式会社 (28)
【Ｆターム（参考）】
[ Back to top ]