情報処理装置、情報処理プログラムおよび管理方法
【課題】通信監視のルールを容易に設定可能とする。
【解決手段】記憶部１ａは、仮想マシン２ｂ，３ｂ上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係および、サービスごとに定義された、仮想ルータ２ａ，３ａによる通信監視のルールを記憶する。制御部１ｂは、記憶部１ａに記憶された通信監視のルールが変更されると、記憶部１ａを参照して、該ルールに対応するサービスを利用するユーザを特定する。制御部１ｂは、該ユーザに割り当てられた仮想マシン２ｂ，３ｂの通信を中継する仮想ルータ２ａ，３ａに、変更後の該ルールを送信し、該ルールに基づく監視を行わせる。
【解決手段】記憶部１ａは、仮想マシン２ｂ，３ｂ上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係および、サービスごとに定義された、仮想ルータ２ａ，３ａによる通信監視のルールを記憶する。制御部１ｂは、記憶部１ａに記憶された通信監視のルールが変更されると、記憶部１ａを参照して、該ルールに対応するサービスを利用するユーザを特定する。制御部１ｂは、該ユーザに割り当てられた仮想マシン２ｂ，３ｂの通信を中継する仮想ルータ２ａ，３ａに、変更後の該ルールを送信し、該ルールに基づく監視を行わせる。
【発明の詳細な説明】
【技術分野】
【０００１】
本件は仮想マシンの運用管理を支援する情報処理装置、情報処理プログラムおよび管理方法に関する。
【背景技術】
【０００２】
現在、情報処理の分野では、物理的なコンピュータ（物理マシンや物理ホストと呼ぶことがある）上で、複数の仮想的なコンピュータ（仮想マシンや論理ホストと呼ぶことがある）を動作させる仮想化技術が利用されている。各仮想マシン上では、ＯＳ（Operating System）などのソフトウェアを実行できる。仮想化技術を利用する物理マシンは、複数の仮想マシンを管理するためのソフトウェアを実行する。
【０００３】
例えば、ハイパーバイザと呼ばれるソフトウェアが、ＣＰＵ（Central Processing Unit）の処理能力やＲＡＭ（Random Access Memory）の記憶領域を、演算のリソースとして複数の仮想マシンに割り振る。また、例えば、ハイパーバイザが、該演算のリソースによりネットワークのルーティング機能を物理マシン上に実現することもある。物理マシン上に実現されたルーティング機能を仮想ルータと呼ぶことがある。仮想ルータに仮想マシンの通信を中継させることで、物理マシン上に仮想マシンのネットワークを構築できる。このように、物理マシン上で仮想マシンを動作させ、該仮想マシン上のソフトウェアをクライアント装置から利用可能とする情報処理システムがある。
【０００４】
ところで、情報処理システムでは機密情報（例えば、個人情報や営業秘密）を扱うことがある。このため、機密情報の不正取得の防止や改ざんの防止など適正な保護対策が望まれる。そこで、ネットワークの経路上にファイアウォール、ＩＤＳ（Intrusion Detection System）およびＩＰＳ（Intrusion Prevention System）などを設けることがある。
【０００５】
ファイアウォールは、ネットワーク上のトラフィックをフィルタルールによりフィルタリングして、許容する通信経路やプロトコル以外の通信を遮断する。ＩＤＳは、ネットワークから取得した通信データを、予め登録された不正な（あるいは正常な）通信の検出ルールと照合することで、情報処理システムに対する不正アクセスを検知する。ＩＰＳは、不正アクセスの検知を行うとともに、該不正アクセスを遮断する。
【０００６】
例えば、加入者側装置と該加入者側装置を収容する局側装置を有する通信システムで、局側装置で不正トラフィックを検出したときに、不正トラフィックの検出された論理リンクに対するフィルタリング設定情報を加入者側装置に送信する提案がある。加入者側装置は、該フィルタリング設定情報により該論理リンクのフィルタリングを行う。
【０００７】
また、ＩＤＳサーバが不正アクセスを検知したときに不正アクセスに関する情報をファイアウォールに送信し、ファイアウォールが該情報に基づきフィルタリングルールを生成して、該ルールによりトラフィックのフィルタリング処理を行う提案がある。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００８−２１１６３７号公報
【特許文献２】特開２００８−１１００８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
仮想マシン上のソフトウェアをクライアント装置から利用可能とする情報処理システムでは、仮想マシンにつき通信のセキュリティ対策がなされていることが望ましい。しかしながら、複数の仮想マシンが複数の物理マシン上で動作している場合がある。その場合、各仮想マシンにつき通信監視のルールをどのように容易に設定可能とするかが問題となる。例えば、該ルールの設定を、複数の仮想マシンごと、または、物理マシンごとに、システム管理者が個別に行うとすると、設定のための作業負担が生ずる。
【００１０】
１つの側面では、本発明は、通信監視のルールを容易に設定できるようにした情報処理装置、情報処理プログラムおよび管理方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信する情報処理装置が提供される。この情報処理装置は、記憶部と制御部とを有する。記憶部は、仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する。制御部は、記憶部に記憶された通信監視のルールが変更されると、記憶部を参照して、該ルールに対応するサービスを利用するユーザを特定し、該ユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の該ルールを送信し、該ルールに基づく監視を行わせる。
【００１２】
また、仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信するコンピュータが実行する情報処理プログラムが提供される。この情報処理プログラムは、コンピュータに、仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部に記憶された通信監視のルールが変更されると、記憶部を参照して、該通信監視のルールに対応するサービスを利用するユーザを特定し、特定したユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の通信監視のルールを送信し、該ルールに基づく監視を行わせる、処理を実行させる。
【００１３】
更に、仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信する情報処理装置が実行する管理方法が提供される。この管理方法では、仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部に記憶された通信監視のルールが変更されると、記憶部を参照して、該通信監視のルールに対応するサービスを利用するユーザを特定する。特定したユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の通信監視のルールを送信し、該ルールに基づく監視を行わせる。
【発明の効果】
【００１４】
一態様によれば、通信監視のルールを容易に設定できる。
【図面の簡単な説明】
【００１５】
【図１】第１の実施の形態の情報処理システムを示す図である。
【図２】第２の実施の形態の情報処理システムを示す図である。
【図３】制御装置のハードウェア例を示す図である。
【図４】各装置の機能を示すブロック図である。
【図５】仮想ルータの機能を示すブロック図である。
【図６】接続リストテーブルのデータ構造例を示す図である。
【図７】フィルタ雛型テーブルのデータ構造例を示す図である。
【図８】ＩＤＳルール雛型テーブルのデータ構造例を示す図である。
【図９】フィルタテーブルのデータ構造例を示す図である。
【図１０】ＩＤＳルールテーブルのデータ構造例を示す図である。
【図１１】仮想マシン起動時の処理を示すフローチャートである。
【図１２】仮想マシン起動時の処理を示すシーケンス図である。
【図１３】不正アクセス検知時の処理を示すフローチャートである。
【図１４】不正アクセス検知時の処理を示すシーケンス図である。
【発明を実施するための形態】
【００１６】
以下、本実施の形態を図面を参照して説明する。
［第１の実施の形態］
図１は、第１の実施の形態の情報処理システムを示す図である。この情報処理システムは、情報処理装置１，２，３を含む。情報処理装置１は、情報処理装置２，３とネットワークで接続され、データ通信する。情報処理装置２は、仮想ルータ２ａおよび仮想マシン２ｂを実行する。情報処理装置３は、仮想ルータ３ａおよび仮想マシン３ｂを実行する。仮想ルータ２ａ，３ａは、それぞれ仮想マシン２ｂ，３ｂの通信を中継する。
【００１７】
情報処理装置１は、記憶部１ａおよび制御部１ｂを有する。
記憶部１ａは、仮想マシン２ｂ，３ｂ上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係を記憶する。記憶部１ａは、サービスごとに定義された仮想ルータ２ａ，３ａによる通信監視のルールを記憶する。通信監視のルールとは、例えば通信のフィルタリングを行うためのルールである。また、通信監視のルールは、例えば、不正アクセスを検知・遮断するためのパターン情報（以下、ＩＤＳルールという）でもよい。記憶部１ａは、ＲＡＭやＨＤＤ（Hard Disk Drive）として実装してもよい。
【００１８】
制御部１ｂは、記憶部１ａに記憶された通信監視のルールが変更されると、記憶部１ａを参照して、該通信監視のルールに対応するサービスを利用するユーザを特定する。ユーザには、該ユーザが利用可能な仮想マシンが割り当てられている。ここで、第１のユーザには仮想マシン２ｂが割り当てられ、第２のユーザには仮想マシン３ｂが割り当てられているとする。制御部１ｂは、特定した該ユーザに割り当てられた仮想マシン２ｂ，３ｂの通信を中継する仮想ルータ２ａ，３ａに、変更後の該ルールを送信し、該ルールに基づく監視を行わせる。制御部１ｂは、ＣＰＵとＲＡＭを用いて実行されるプログラムとして実装してもよい。
【００１９】
情報処理装置１によれば、記憶部１ａに記憶された通信監視のルールが変更されると、制御部１ｂにより、記憶部１ａが参照され、該ルールに対応するサービスを利用するユーザが特定される。制御部１ｂにより、該ユーザごとに割り当てられた仮想マシン２ｂ，３ｂの通信を中継する仮想ルータ２ａ，３ａに、変更後の該ルールが送信される。仮想ルータ２ａ，３ａは、該ルールに基づく監視を行う。
【００２０】
これにより、通信監視のルールに容易に設定できる。具体的には、通信監視のルールが変更されたとき、該ルールに対応するサービスを利用するユーザの仮想ルータ２ａ，３ａに対して、該変更後のルールでの監視を一括して行わせることができる。
【００２１】
このため、情報処理装置２，３それぞれに対する設定作業を省けるので、作業負担を軽減できる。更に、変更後のルールを複数の仮想ルータで共用するので、個別に設定する場合に比べ、誤設定によるセキュリティ低下のリスクを軽減できる。
【００２２】
また、例えば、何れかの仮想マシン上のサービスに対する不正アクセスが検知されたとき、システム管理者により情報処理装置１が操作されて通信監視のルールが変更されることがある。このとき、情報処理装置１によれば、該サービスを利用するユーザに対応する仮想ルータに対して変更後のルールを一斉に利用できるので、該不正アクセスに対する迅速な対処が可能となる。
【００２３】
特に、ユーザごとに割り当てられた複数の仮想マシンでサービスを提供する情報処理システムでは、該複数の仮想マシンに対して、該サービスのセキュリティホールなどを狙った同一手法の不正アクセスを受け易い。そこで、情報処理装置１のように、サービスごとに定義された通信監視のルールを、該サービスを利用するユーザに対する仮想ルータに一括して送信する。これにより、該不正アクセスに対して、容易かつ効率的に対処可能となる。
【００２４】
［第２の実施の形態］
図２は、第２の実施の形態の情報処理システムを示す図である。データセンタ２０は、サービス事業者が運用する事業所である。ユーザ拠点３０は、ユーザが運用する事業所である。サービス事業者は、データセンタ２０上のサーバ装置で複数の仮想マシンを実行させ、仮想マシン上のソフトウェアをユーザ拠点３０から利用可能とする。具体的には、ユーザは、ユーザ拠点３０に設置されたクライアント装置から該仮想マシン上のソフトウェアに所定の処理の実行を要求する。このようなソフトウェアの利用形態は、ＳａａＳ（Software as a Service）と呼ばれることがある。
【００２５】
この情報処理システムは、制御装置１００、仮想マシン管理装置２００、実行サーバ装置３００，３００ａ、ゲートウェイ装置４００，４００ａ、ルータ装置５００、クライアント装置６００，６００ａおよび通信事業者サーバ装置７００を含む。
【００２６】
制御装置１００、仮想マシン管理装置２００、実行サーバ装置３００，３００ａおよびゲートウェイ装置４００，４００ａは、データセンタ２０に設置されており、データセンタ２０内のネットワーク２１にそれぞれ接続されている。ルータ装置５００およびクライアント装置６００，６００ａは、ユーザ拠点３０に設置されており、ユーザ拠点３０内のネットワーク３１にそれぞれ接続されている。通信事業者サーバ装置７００は、通信事業者の事業所（図示を省略）に設置されており、ネットワーク１０に接続される。ネットワーク１０は、通信事業者の管理するＩＰ（Internet Protocol）網である。ネットワーク１０は、例えば、ＰＰＰｏＥ（Point to Point Protocol over Ethernet）網である。
【００２７】
制御装置１００は、実行サーバ装置３００，３００ａ上の仮想ルータとルータ装置５００との間のＬ２ＶＰＮ（Layer2 Virtual Private Network）によるトンネル接続の確立を支援する情報処理装置である。これにより、クライアント装置６００，６００ａから、該仮想ルータと通信する仮想マシンに対して、ＩＰ網を介したＶＰＮ接続を可能とする。
【００２８】
仮想マシン管理装置２００は、実行サーバ装置３００，３００ａ上の仮想マシンや仮想ルータの起動を制御する情報処理装置である。仮想マシン管理装置２００は、何れの実行サーバ装置で何れの仮想マシンや仮想ルータが実行されているか管理する。仮想マシン管理装置２００は、仮想ルータに設けられた仮想のネットワークＩＦ（InterFace）の情報を管理する。
【００２９】
実行サーバ装置３００，３００ａは、仮想マシン管理装置２００からの起動指示に応じて、仮想マシンおよび仮想ルータを起動する情報処理装置である。例えば、実行サーバ装置３００，３００ａは、ハイパーバイザを実行する。ハイパーバイザは、仮想マシン管理装置２００から仮想マシンや仮想ルータの起動の指示を受けると、実行サーバ装置３００，３００ａ上のリソースを用いて仮想マシンや仮想ルータを起動する。
【００３０】
ゲートウェイ装置４００，４００ａは、ネットワーク１０とネットワーク２１と間の通信を中継する通信装置である。
ルータ装置５００は、ネットワーク１０とネットワーク３１との間の通信を中継する通信装置である。ルータ装置５００は、サービス事業者から仮想マシンを割り当てられたユーザが、該仮想マシン上で利用したいサービスの選択を受け付ける機能も備えている。ルータ装置５００は、サービスの選択内容を制御装置１００に送信して、該サービスを該ユーザの仮想マシン上で利用可能とするよう依頼する。
【００３１】
クライアント装置６００，６００ａは、ユーザが利用する情報処理装置である。ユーザは、クライアント装置６００，６００ａを操作して、実行サーバ装置３００，３００ａ上の仮想マシンに対して処理の要求を行える。例えば、クライアント装置６００，６００ａからＷｅｂブラウザ、ＲＤＰ（Remote Desktop Protocol）、ＶＮＣ（Virtual Network Computing）、ＳＳＨ（Secure SHell）およびＦＴＰ（File Transfer Protocol）などを用いて、実行サーバ装置３００，３００ａ上の仮想マシンを利用できる。
【００３２】
通信事業者サーバ装置７００は、制御装置１００からの要求により、ゲートウェイ装置４００，４００ａとルータ装置５００とをネットワーク１０に接続するための情報を提供する。例えば、通信事業者サーバ装置７００は、ゲートウェイ装置４００，４００ａおよびルータ装置５００に、ＰＰＰｏＥのユーザＩＤ（IDentifier）やパスワードなどの情報を送信する。ゲートウェイ装置４００，４００ａおよびルータ装置５００は、提供された情報に基づいて、ネットワーク１０上の所定の認証サーバでＰＰＰｏＥ認証され、ネットワーク１０に接続する。また、通信事業者サーバ装置７００は、例えば、ゲートウェイ装置４００，４００ａおよびルータ装置５００をＩＰ−ＶＰＮ接続するための情報を提供する。
【００３３】
図３は、制御装置のハードウェア例を示す図である。制御装置１００は、ＣＰＵ１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ１０３、ＨＤＤ１０４、グラフィック処理装置１０５、入力インタフェース１０６、ディスクドライブ１０７および通信インタフェース１０８を有する。
【００３４】
ＣＰＵ１０１は、ＯＳやアプリケーションのプログラムを実行して、制御装置１００全体を制御する。
ＲＯＭ１０２は、制御装置１００の起動時に実行されるＢＩＯＳ（Basic Input / Output System）プログラムなどの所定のプログラムを記憶する。ＲＯＭ１０２は、書き換え可能な不揮発性メモリであってもよい。
【００３５】
ＲＡＭ１０３は、ＣＰＵ１０１が実行するＯＳやアプリケーションのプログラムの少なくとも一部を一時的に記憶する。また、ＲＡＭ１０３は、ＣＰＵ１０１の処理に用いられるデータの少なくとも一部を一時的に記憶する。
【００３６】
ＨＤＤ１０４は、ＯＳプログラムやアプリケーションプログラムを記憶する。また、ＨＤＤ１０４は、ＣＰＵ１０１の処理に用いられるデータを記憶する。なお、ＨＤＤ１０４に代えて（または、ＨＤＤ１０４と併せて）、ＳＳＤ（Solid State Drive）など他の種類の不揮発性の記憶装置を用いてもよい。
【００３７】
グラフィック処理装置１０５は、モニタ１１に接続される。グラフィック処理装置１０５は、ＣＰＵ１０１からの命令に従って、画像をモニタ１１に表示させる。
入力インタフェース１０６は、キーボード１２やマウス１３などの入力デバイスに接続される。入力インタフェース１０６は、入力デバイスから送られる入力信号をＣＰＵ１０１に出力する。
【００３８】
ディスクドライブ１０７は、記録媒体１４に格納されたデータを読み取る読取装置である。記録媒体１４には、例えば、制御装置１００に実行させるプログラムが記録されている。制御装置１００は、例えば、記録媒体１４に記録されたプログラムを実行することで、後述するような機能を実現できる。すなわち、当該プログラムはコンピュータ読み取り可能な記録媒体１４に記録して配布可能である。
【００３９】
記録媒体１４としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリを使用できる。磁気記録装置には、ＨＤＤ、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＣＤ（Compact Disc）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−Ｒ／ＲＷ／ＲＡＭなどがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。半導体メモリには、ＵＳＢ（Universal Serial Bus）メモリなどのフラッシュメモリがある。
【００４０】
通信インタフェース１０８は、ネットワーク１０に接続される。通信インタフェース１０８は、ネットワーク２１を介して仮想マシン管理装置２００、実行サーバ装置３００，３００ａおよびゲートウェイ装置４００，４００ａとデータ通信を行える。また、通信インタフェース１０８は、ゲートウェイ装置４００，４００ａおよびネットワーク１０を介してルータ装置５００および通信事業者サーバ装置７００とデータ通信を行える。
【００４１】
なお、仮想マシン管理装置２００、実行サーバ装置３００，３００ａ、クライアント装置６００，６００ａおよび通信事業者サーバ装置７００も、制御装置１００と同様のハードウェア構成により実現できる。
【００４２】
また、以下の説明では、ゲートウェイ装置４００，４００ａのうち、ゲートウェイ装置４００を主に示して説明するが、ゲートウェイ装置４００ａも同様である。
図４は、各装置の機能を示すブロック図である。制御装置１００は、制御情報記憶部１１０、接続制御部１２０およびルール管理部１３０を有する。制御装置１００の構成要素の機能は、例えばＣＰＵ１０１が所定のプログラムを実行することにより、制御装置１００上に実現される。制御装置１００の構成要素の機能の全部または一部を専用のハードウェアで実装してもよい。
【００４３】
制御情報記憶部１１０は、制御情報を記憶する。制御情報には、接続リストテーブル、フィルタ雛型テーブルおよびＩＤＳルール雛型テーブルが含まれる。接続リストテーブルは、ユーザの識別情報と該ユーザが現在利用中のサービスの識別情報とを対応付けたデータである。フィルタ雛型テーブルは、サービスごとのデフォルトのフィルタルールを設定したものである。ＩＤＳルール雛型テーブルは、サービスごとのデフォルトのＩＤＳルールを設定したものである。以下では、フィルタルールとＩＤＳルールとを併せてルールと呼ぶことがある。
【００４４】
接続制御部１２０は、ルータ装置５００からの要求により、ルータ装置５００に対するゲートウェイ装置４００，４００ａの割り当てを仮想マシン管理装置２００に指示する。また、接続制御部１２０は、ルータ装置５００からの要求により、実行サーバ装置３００，３００ａ上の仮想マシンおよび仮想ルータの起動を仮想マシン管理装置２００に指示する。そして、接続制御部１２０は、実行サーバ装置３００，３００ａ上の仮想ルータとルータ装置５００との間のＬ２ＶＰＮ接続を確立する。
【００４５】
具体的には、接続制御部１２０は、通信事業者サーバ装置７００と連携して、ゲートウェイ装置４００とネットワーク１０との間のＰＰＰｏＥ接続を開始させる。また、接続制御部１２０は、通信事業者サーバ装置７００と連携して、ルータ装置５００とネットワーク１０との間のＰＰＰｏＥ接続を開始させる。接続制御部１２０は、ゲートウェイ装置４００とルータ装置５００とをＩＰ−ＶＰＮで接続させる。
【００４６】
また、接続制御部１２０は、仮想ルータとルータ装置５００との間のＥｔｈｅｒＩＰ（Ethernet over IP）によるトンネル接続を開始させる。仮想ルータやルータ装置５００は、クライアント装置６００，６００ａと実行サーバ装置３００，３００ａ上の仮想マシンとの間のＥｔｈｅｒｎｅｔ（登録商標）フレームをＥｔｈｅｒＩＰによりカプセル化して通信を行う。Ｌ２ＶＰＮ接続により、通信事業者のＩＰ網であるネットワーク１０を介して、クライアント装置６００，６００ａと仮想マシンとの間のＶＰＮ接続が可能となる。
【００４７】
更に、接続制御部１２０は、ルータ装置５００からサービスの選択内容を受信する。接続制御部１２０は、選択されたサービスをユーザに割り当てられた仮想マシンで利用可能とする。具体的には、接続制御部１２０は、ユーザに割り当てられた仮想マシンに該サービスを利用するためのソフトウェアを実行させるよう起動制御部２２０に指示する（この指示を、以下ではサービス選択指示という）。また、接続制御部１２０は、該サービスに対応する通信監視のルールを仮想ルータに送信する旨、ルール管理部１３０に指示する。
【００４８】
ルール管理部１３０は、実行サーバ装置３００，３００ａ上の仮想ルータに通信監視用のルールを送信する。具体的には、ルール管理部１３０は、接続制御部１２０からユーザが選択したサービスを受け付けたとき、該サービスに対応したルールを該ユーザに割り当てた仮想マシンに対応する仮想ルータに送信する。また、ルール管理部１３０は、仮想ルータで不正アクセスなどの異常に応じて、制御情報記憶部１１０に記憶されたルールが変更されたとき、該ルールに対応するサービスを利用するユーザの仮想ルータに該ルールを送信する。
【００４９】
仮想マシン管理装置２００は、管理情報記憶部２１０および起動制御部２２０を有する。仮想マシン管理装置２００の構成要素の機能は、例えば仮想マシン管理装置２００が備えるＣＰＵが所定のプログラムを実行することにより、仮想マシン管理装置２００上に実現される。仮想マシン管理装置２００の構成要素の機能の全部または一部を専用のハードウェアで実装してもよい。
【００５０】
管理情報記憶部２１０は、管理情報を記憶する。管理情報には、実行サーバ装置３００，３００ａおよびゲートウェイ装置４００，４００ａに関する情報が含まれる。具体的には、実行サーバ装置３００，３００ａ上で利用可能なリソースの情報、実行中の仮想マシンのユーザへの割り当て状況を示す情報、実行中の仮想マシンと仮想ルータとの対応を示す情報および各仮想ルータ上の仮想のネットワークＩＦを示す情報が含まれる。また、管理情報には、ゲートウェイ装置４００，４００ａ上で利用可能なリソースの情報や、ゲートウェイ装置４００，４００ａのユーザへの割り当て状況を示す情報が含まれる。
【００５１】
起動制御部２２０は、ユーザに対するゲートウェイ装置４００，４００ａの割り当て指示を接続制御部１２０から受け付ける。すると、起動制御部２２０は、管理情報記憶部２１０を参照して、該ユーザに対するゲートウェイ装置４００，４００ａの割り当てを行う。起動制御部２２０は、該ユーザと割り当てたゲートウェイ装置との対応を管理情報記憶部２１０に記録する。
【００５２】
起動制御部２２０は、ユーザに対する仮想マシンの起動指示を接続制御部１２０から受け付ける。すると、起動制御部２２０は、管理情報記憶部２１０を参照して、仮想マシンおよび仮想ルータを起動させる実行サーバ装置を選択する。起動制御部２２０は、選択した実行サーバ装置に仮想マシンおよび仮想ルータを起動させる。起動制御部２２０は、該ユーザ、割り当てた実行サーバ装置、仮想マシンおよび仮想ルータの対応を管理情報記憶部２１０に記録する。起動制御部２２０は、管理情報記憶部２１０を参照して、接続制御部１２０からの問い合わせに応じる。例えば、実行サーバ装置、仮想マシンおよび仮想ルータの対応関係、仮想ルータと該仮想ルータ上のネットワークＩＦの対応関係などの問い合わせに応じることができる。
【００５３】
また、起動制御部２２０は、接続制御部１２０からサービス選択指示を受け付けると、対象のユーザに割り当てられた仮想マシンに該サービスを利用するためのソフトウェアを実行開始させる。
【００５４】
実行サーバ装置３００は、仮想ルータ３１０および仮想マシン３２０，３２０ａを有する。実行サーバ装置３００の構成要素の機能は、例えば実行サーバ装置３００が備えるＣＰＵが所定のプログラムを実行することにより、実行サーバ装置３００上に実現される。実行サーバ装置３００の構成要素の機能の全部または一部を専用のハードウェアで実装してもよい。
【００５５】
仮想ルータ３１０は、ネットワーク２１と仮想マシン３２０，３２０ａとの間の通信を中継する。仮想ルータ３１０は、中継する通信データを監視する。具体的には、仮想ルータ３１０は、ルール管理部１３０から取得したフィルタルールに基づきフィルタリングを行う。また、仮想ルータ３１０は、ルール管理部１３０から取得したＩＤＳルールに基づき不正アクセスを検知する。仮想ルータ３１０は、監視結果をルール管理部１３０に通知する。
【００５６】
仮想マシン３２０，３２０ａは、実行サーバ装置３００上に実現された仮想マシンである。仮想マシン３２０，３２０ａは、それぞれ独立にＯＳを実行している。仮想マシン３２０，３２０ａが実行するＯＳは同一でもよいし、異なっていてもよい。仮想マシン３２０，３２０ａは、それぞれが所定のサービスを利用するためのソフトウェアを実行する。仮想マシン３２０，３２０ａで何れのサービスを利用可能とするかは、上述したようにユーザの選択により決定される。
【００５７】
実行サーバ装置３００ａは、仮想ルータ３１０ａおよび仮想マシン３２０ｂを有する。仮想ルータ３１０ａは、ネットワーク２１と仮想マシン３２０ｂとの間の通信を中継する。また、仮想ルータ３１０ａは、中継する通信データを監視する。仮想マシン３２０ｂは、実行サーバ装置３００ａ上に実現された仮想マシンであり、所定のサービスを利用するためのソフトウェアを実行する。
【００５８】
ゲートウェイ装置４００は、通信処理部４１０を有する。通信処理部４１０は、接続制御部１２０から取得した情報に基づいて、ネットワーク１０とＰＰＰｏＥ接続を確立する。また、通信処理部４１０は、ルータ装置５００との間でＩＰ−ＶＰＮ接続を確立する。
【００５９】
ルータ装置５００は、通信処理部５１０を有する。通信処理部５１０は、接続制御部１２０から取得した情報に基づいて、ネットワーク１０、ゲートウェイ装置４００および仮想ルータ３１０，３１０ａとの間のＬ２ＶＰＮ接続を確立する。また、通信処理部５１０は、サービス事業者がユーザに提供するサービスを選択するためのインタフェースをクライアント装置６００，６００ａに提供する。通信処理部５１０は、選択されたサービスの内容を制御装置１００に送信する。
【００６０】
図５は、仮想ルータの機能を示すブロック図である。仮想ルータ３１０は、ルール記憶部３１１、ネットワークＩＦ３１２，３１３，３１４、トンネル処理部３１５、監視部３１６およびルール設定部３１７を有する。
【００６１】
ルール記憶部３１１は、制御装置１００から受信した通信監視のためのルールを記憶する。
ネットワークＩＦ３１２，３１３，３１４は、仮想ルータ３１０上に実現された仮想的なネットワークＩＦである。ネットワークＩＦ３１２は、仮想マシン３２０と通信する。ネットワークＩＦ３１３は、仮想マシン３２０ａと通信する。ネットワークＩＦ３１２，３１３〜仮想マシン３２０，３２０ａまでのネットワークを、仮想マシン側のネットワークということがある。ネットワークＩＦ３１４は、ネットワーク２１を介してゲートウェイ装置４００と通信する。ネットワークＩＦ３１４〜ゲートウェイ装置４００〜ユーザ拠点３０までのネットワークを、ユーザ側のネットワークということがある。
【００６２】
トンネル処理部３１５は、ＥｔｈｅｒＩＰによるトンネル接続を終端する。具体的には、トンネル処理部３１５は、ＥｔｈｅｒＩＰによりカプセル化された通信データをネットワークＩＦ３１４から取得すると、該通信データからＥｔｈｅｒｎｅｔフレームを取出して、監視部３１６に出力する。また、トンネル処理部３１５は、監視部３１６から取得したＥｔｈｅｒｎｅｔフレームをＥｔｈｅｒＩＰによりカプセル化して、ネットワークＩＦ３１４に出力する。
【００６３】
監視部３１６は、Ｅｔｈｅｒｎｅｔフレームを監視して、ユーザ側のネットワークと仮想マシン側のネットワークの間の通信を制限する。監視部３１６は、フィルタ処理部３１６ａおよび不正アクセス検知部３１６ｂを有する。
【００６４】
フィルタ処理部３１６ａは、ルール記憶部３１１に記憶されたフィルタルールに基づいて宛先や送信元の情報およびポート番号などのフィルタリングを行う。
不正アクセス検知部３１６ｂは、ルール記憶部３１１に記憶されたＩＤＳルールに基づいて仮想マシン３２０，３２０ａに対する不正アクセスを検知する。不正アクセス検知部３１６ｂは、不正アクセスを検知すると、不正アクセスの対象となった仮想マシンを示す情報やポートの情報、通信の送信元／宛先などの情報とともに不正アクセスを検知した旨を制御装置１００に通知する。
【００６５】
ルール設定部３１７は、通信監視のためのルールを制御装置１００から受信して、ルール記憶部３１１に格納する。ルール設定部３１７は、ルール記憶部３１１に既存のルールが格納されている場合には、新たに受信したルールにより既存のルールを更新する。
【００６６】
監視部３１６およびルール設定部３１７は、専用の仮想ネットワークＩＦを備え、ネットワーク２１および制御装置１００と該仮想ネットワークＩＦで通信する。ただし、監視部３１６およびルール設定部３１７は、ネットワークＩＦ３１４を介して制御装置１００と通信してもよい。
【００６７】
なお、仮想ルータ３１０ａも仮想ルータ３１０と同様の機能構成により実現できる。
図６は、接続リストテーブルのデータ構造例を示す図である。接続リストテーブル１１１は、制御情報記憶部１１０に格納される。接続リストテーブル１１１には、ユーザＩＤ、ＳａａＳ種別およびネットワークＩＦを示す項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのユーザに関する情報を示す。
【００６８】
ユーザＩＤの項目には、ユーザＩＤが設定される。ユーザＩＤは、ユーザ拠点３０を運営する事業者を識別する情報である。ＳａａＳ種別の項目には、サービスを示す識別情報が設定される。ネットワークＩＦの項目には、仮想ルータ３１０，３１０ａにおける仮想マシン側のネットワークＩＦの識別情報が設定される。
【００６９】
ここで、ユーザ拠点３０を運営する事業者のユーザＩＤを“Ｕｓｅｒ１”とする。他のユーザ拠点を運営する事業者のユーザＩＤを“Ｕｓｅｒ２”とする。
また、仮想マシン３２０上で利用されているサービスのＳａａＳ種別を“ＳａａＳ１”とする。仮想マシン３２０ａ上で利用されているサービスのＳａａＳ種別を“ＳａａＳ２”とする。仮想マシン３２０ｂ上で利用されているサービスのＳａａＳの識別情報を“ＳａａＳ１”とする。
【００７０】
更に、ネットワークＩＦ３１２の識別情報を“ＩＦ−Ｓ１”とする。ネットワークＩＦ３１３の識別情報を“ＩＦ−Ｓ２”とする。仮想ルータ３１０ａ上の仮想マシン側の１つのネットワークＩＦの識別情報を“ＩＦ−Ｓ３”とする。例えば、ネットワークＩＦ３１１，３１２，３１３の識別情報は、各ＩＦの属するネットワーク上のＩＰアドレスとしてもよい。
【００７１】
例えば、接続リストテーブル１１１には、ユーザＩＤが“Ｕｓｅｒ１”、ＳａａＳ種別が“ＳａａＳ１”、ネットワークＩＦが“ＩＦ−Ｓ１”という情報が設定される。これは、ユーザ拠点３０を運営する事業者（“Ｕｓｅｒ１”）がＳａａＳ種別“ＳａａＳ１”のサービスを利用していることを示す。また、該サービスを利用するために仮想ルータ３１０上のネットワークＩＦ３１２（“ＩＦ−Ｓ１”）を介して通信していることを示す。
【００７２】
また、例えば、接続リストテーブル１１１には、ユーザＩＤが“Ｕｓｅｒ１”、ＳａａＳ種別が“ＳａａＳ２”、ネットワークＩＦが“ＩＦ−Ｓ２”という情報が設定される。これは、ユーザ拠点３０を運営する事業者（“Ｕｓｅｒ１”）がＳａａＳ種別“ＳａａＳ２”のサービスを利用していることを示す。また、該サービスを利用するために仮想ルータ３１０上のネットワークＩＦ３１３（“ＩＦ−Ｓ２”）を介して通信していることを示す。
【００７３】
また、例えば、接続リストテーブル１１１には、ユーザＩＤが“Ｕｓｅｒ２”、ＳａａＳ種別が“ＳａａＳ１”、ネットワークＩＦが“ＩＦ−Ｓ３”という情報が設定される。これは、他のユーザ拠点を運営する事業者（“Ｕｓｅｒ２”）がＳａａＳ種別“ＳａａＳ１”のサービスを利用していることを示す。また、該サービスを利用するために仮想ルータ３１０ａ上のネットワークＩＦ“ＩＦ−Ｓ３”を介して通信していることを示す。
【００７４】
図７は、フィルタ雛型テーブルのデータ構造例を示す図である。フィルタ雛型テーブル１１２，１１２ａは、ＳａａＳ種別ごとに生成され制御情報記憶部１１０に格納される。フィルタ雛型テーブル１１２は、ＳａａＳ種別“ＳａａＳ１”に対するフィルタルールの雛型である。フィルタ雛型テーブル１１２ａは、ＳａａＳ種別“ＳａａＳ２”に対するフィルタルールの雛型である。
【００７５】
以下では、フィルタ雛型テーブル１１２について説明する。フィルタ雛型テーブル１１２ａのデータ構造は、フィルタ雛型テーブル１１２と同一である。
フィルタ雛型テーブル１１２には、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび許可／禁止の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのフィルタルールの雛型を示す。
【００７６】
Ｆｒｏｍポートの項目には、送信元のポート番号が設定される。Ｔｏポートの項目には、宛先のポート番号が設定される。Ｐｒｏｔｏｃｏｌの項目には、プロトコルの種別が設定される。Ｆｒｏｍ−ＩＦの項目には、ユーザ側のネットワークと接続するネットワークＩＦの識別情報が設定される。Ｔｏ−ＩＦの項目には、仮想マシン側のネットワークと接続するネットワークＩＦの識別情報が設定される。許可／禁止の項目には、通信を許可するか禁止するかを示す情報が設定される。
【００７７】
例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“８０”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ（Transmission Control Protocol）”、Ｆｒｏｍ−ＩＦが“＜Ｌｏｃａｌ＞”、Ｔｏ−ＩＦが“＜Ｕｓｅｒ＞”、許可／禁止が“Ｐｅｒｍｉｔ”という情報が設定される。これは、仮想マシン側のネットワークからユーザ側のネットワークに対するポート番号８０でのＴＣＰによる通信（ＨＴＴＰ（Hypertext Transfer Protocol）の通信）を許可することを示す。
【００７８】
また、例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“８０”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ”、Ｆｒｏｍ−ＩＦが“＜Ｕｓｅｒ＞”、Ｔｏ−ＩＦが“＜Ｌｏｃａｌ＞”、許可／禁止が“Ｐｅｒｍｉｔ”という情報が設定される。これは、ユーザ側のネットワークから仮想マシン側のネットワークに対するポート番号８０でのＴＣＰによる通信（ＨＴＴＰの通信）を許可することを示す。
【００７９】
また、例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“＊”、Ｆｒｏｍ−ＩＦが“＜Ｌｏｃａｌ＞”、Ｔｏ−ＩＦが“＜Ｕｓｅｒ＞”、許可／禁止が“Ｄｅｎｙ”という情報が設定される。これは、仮想マシン側のネットワークからユーザ側のネットワークに対する全ての通信を禁止することを示す。
【００８０】
また、例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“＊”、Ｆｒｏｍ−ＩＦが“＜Ｕｓｅｒ＞”、Ｔｏ−ＩＦが“＜Ｌｏｃａｌ＞”、許可／禁止が“Ｄｅｎｙ”という情報が設定される。これは、ユーザ側のネットワークから仮想マシン側のネットワークに対する全ての通信を禁止することを示す。
【００８１】
フィルタ雛型テーブル１１２では、上に記述されたルール程優先度が高い。すなわち、フィルタ雛型テーブル１１２によれば、ＨＴＴＰの通信は、ユーザ側のネットワークと仮想マシン側のネットワークとの双方向で許可されるが、それ以外の通信は全て遮断されることを示す。
【００８２】
仮想ルータは、フィルタ雛型テーブル１１２を取得すると、自身が備えるネットワークＩＦの識別情報をあてはめる。具体的には、“＜Ｌｏｃａｌ＞”には、該当のＳａａＳ種別のサービスを利用可能な仮想マシンと接続するネットワークＩＦの識別情報をあてはめる。“＜Ｕｓｅｒ＞”には、ユーザ側のネットワークと接続するネットワークＩＦの識別情報をあてはめる。
【００８３】
図８は、ＩＤＳルール雛型テーブルのデータ構造例を示す図である。ＩＤＳルール雛型テーブル１１３，１１３ａは、ＳａａＳ種別ごとに生成され制御情報記憶部１１０に格納される。ＩＤＳルール雛型テーブル１１３は、ＳａａＳ種別“ＳａａＳ１”に対するＩＤＳルールの雛型である。ＩＤＳルール雛型テーブル１１３ａは、ＳａａＳ種別“ＳａａＳ２”に対するＩＤＳルールの雛型である。
【００８４】
以下では、ＩＤＳルール雛型テーブル１１３について説明する。ＩＤＳルール雛型テーブル１１３ａのデータ構造は、ＩＤＳルール雛型テーブル１１３と同一である。
ＩＤＳルール雛型テーブル１１３には、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび検出文字列の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのフィルタルールを示す。ここで、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ，Ｆｒｏｍ−ＩＦおよびＴｏ−ＩＦの項目の内容は、図７で説明したフィルタ雛型テーブル１１２の同一名称の項目の内容と同様である。検出文字列の項目には、検出対象とする文字列が設定される。
【００８５】
例えば、ＩＤＳルール雛型テーブル１１３には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“８０”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ”、Ｆｒｏｍ−ＩＦが“＜Ｕｓｅｒ＞”、Ｔｏ−ＩＦが“＜Ｌｏｃａｌ＞”、検出文字列が“．．／．．”という情報が設定される。これは、ユーザ側のネットワークから仮想マシン側のネットワークに対するポート番号８０でのＴＣＰによる通信データ内に“．．／．．”の文字列が含まれる場合、異常を検知することを示す。
【００８６】
仮想ルータは、ＩＤＳルール雛型テーブル１１３を取得すると、自身が備えるネットワークＩＦの識別情報をあてはめる。具体的には、“＜Ｌｏｃａｌ＞”には、該当のＳａａＳ種別のサービスを利用可能な仮想マシンと接続するネットワークＩＦの識別情報をあてはめる。“＜Ｕｓｅｒ＞”には、ユーザ側のネットワークと接続するネットワークＩＦの識別情報をあてはめる。
【００８７】
図９は、フィルタテーブルのデータ構造例を示す図である。フィルタテーブル３１１ａは、ルール記憶部３１１に格納される。フィルタテーブル３１１ａは、フィルタ雛型テーブル１１２を仮想ルータ３１０に適用した場合を例示している。フィルタテーブル３１１ａには、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび許可／禁止の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのフィルタルールを示す。ここで、各項目の内容は、図７で説明したフィルタ雛型テーブル１１２の各項目の内容と同様である。
【００８８】
フィルタ雛型テーブル１１２とフィルタテーブル３１１ａでは、Ｆｒｏｍ−ＩＦおよびＴｏ−ＩＦの設定内容が相違する。フィルタテーブル３１１ａでは、フィルタ雛型テーブル１１２中“＜Ｌｏｃａｌ＞”であった箇所が、仮想マシン３２０と接続するネットワークＩＦ３１２の識別情報（“ＩＦ−Ｓ１”）に置換されている。また、フィルタテーブル３１１ａでは、フィルタ雛型テーブル１１２中“＜Ｕｓｅｒ＞”であった箇所が、ネットワークＩＦ３１４の識別情報（“ＩＦ−Ｕ１”）に置換されている。
【００８９】
フィルタ処理部３１６ａは、フィルタテーブル３１１ａを参照して、フィルタリングを行う。
図１０は、ＩＤＳルールテーブルのデータ構造例を示す図である。ＩＤＳルールテーブル３１１ｂは、ルール記憶部３１１に格納される。ＩＤＳルールテーブル３１１ｂは、ＩＤＳルール雛型テーブル１１３を仮想ルータ３１０に適用した場合を例示している。ＩＤＳルールテーブル３１１ｂには、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび検出文字列の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのＩＤＳルールを示す。ここで、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび検出文字列の項目の内容は、図８で説明したＩＤＳルール雛型テーブル１１３の同一名称の項目の内容と同様である。
【００９０】
ＩＤＳルール雛型テーブル１１３とＩＤＳルールテーブル３１１ｂでは、Ｆｒｏｍ−ＩＦおよびＴｏ−ＩＦの設定内容が相違する。ＩＤＳルールテーブル３１１ｂでは、ＩＤＳルール雛型テーブル１１３中“＜Ｌｏｃａｌ＞”であった箇所が、仮想マシン３２０と接続するネットワークＩＦ３１２の識別情報（“ＩＦ−Ｓ１”）に置換されている。また、ＩＤＳルールテーブル３１１ｂでは、ＩＤＳルール雛型テーブル１１３中“＜Ｕｓｅｒ＞”であった箇所が、ネットワークＩＦ３１４の識別情報（“ＩＦ−Ｕ１”）に置換されている。
【００９１】
不正アクセス検知部３１６ｂは、ＩＤＳルールテーブル３１１ｂを参照して、不正アクセスの検知を行う。
次に、以上の構成の情報処理システムの処理手順を説明する。
【００９２】
図１１は、仮想マシン起動時の処理を示すフローチャートである。以下、図１１に示す処理をステップ番号に沿って説明する。
［ステップＳ１１］通信処理部５１０は、ルータ装置５００がネットワーク１０と物理的に接続されると（例えば、ＷＡＮ（Wide Area Network）ポートをネットワーク線で接続）、既定の接続情報によりネットワーク１０との接続を確立する。更に、通信処理部５１０は、既定の接続情報によりゲートウェイ装置４００との間のＩＰ−ＶＰＮ接続を初期設定用に確立する。既定の接続情報は、例えば、ネットワーク１０とＰＰＰｏＥ接続するためのＩＤやパスワード、ＩＰ−ＶＰＮグループの情報などを含むものであり、ルータ装置５００の工場出荷時などにルータ装置５００が備えるメモリに記録される。なお、ゲートウェイ装置４００は、ネットワーク１０との間で少なくとも１つのＰＰＰｏＥ接続を、初期設定用に常時開設している。
【００９３】
［ステップＳ１２］通信処理部５１０は、制御装置１００に接続通知を行う。接続通知には、起動する仮想マシンの情報（例えば、ＯＳの種別、ＣＰＵの性能、メモリやＨＤＤの容量などを指定する情報）およびユーザの識別情報が含まれる。仮想マシンの情報は、ルータ装置５００の工場出荷時などにルータ装置５００が備えるメモリに記録される。接続通知には、例えば、ＨＴＴＰのリクエストを利用できる。具体的には、通信処理部５１０は、制御装置１００のＵＲＬ（Uniform Resource Locator）を指定したＨＴＴＰのＰＵＴリクエストを利用して、起動する仮想マシンの情報を含む接続通知を行う。接続制御部１２０は、ルータ装置５００から接続通知を受信する。例えば、接続制御部１２０は、Ｗｅｂサーバ機能を有し、ルータ装置５００がＨＴＴＰリクエストとして送信した接続通知を受信する。
【００９４】
［ステップＳ１３］接続制御部１２０は、起動制御部２２０に対して実運用で利用する接続を確立するためのゲートウェイ装置の割り当てを依頼する。また、接続制御部１２０は、接続通知で指定された仮想マシンの要件を満たせる実行サーバ装置の割り当てを依頼する。起動制御部２２０は、管理情報記憶部２１０を参照して、該ユーザに対して、ゲートウェイ装置および実行サーバ装置の割り当てを行う。例えば、起動制御部２２０は、該ユーザに対してゲートウェイ装置４００および実行サーバ装置３００を割り当てたとする。接続制御部１２０は、ゲートウェイ装置４００とルータ装置５００との間のＩＰ−ＶＰＮ接続を確立する。
【００９５】
［ステップＳ１４］起動制御部２２０は、実行サーバ装置３００に仮想マシン３２０と、該仮想マシンに対する通信を中継させるための仮想ルータ３１０を起動させる。起動制御部２２０は、仮想ルータ３１０および仮想マシン３２０の起動が完了したことを実行サーバ装置３００に確認すると、接続制御部１２０にその旨を通知する。ここで、起動された仮想ルータ３１０および仮想マシン３２０が該ユーザに割り当てられる。
【００９６】
［ステップＳ１５］接続制御部１２０は、ステップＳ１４で起動された仮想ルータ３１０とルータ装置５００との間のＬ２ＶＰＮ接続を確立する。接続制御部１２０は、Ｌ２ＶＰＮ接続を確立した後、ゲートウェイ装置４００とルータ装置５００との間の初期設定用のＩＰ−ＶＰＮ接続を切断させる。また、ルータ装置５００とネットワーク１０との間の初期設定用のＰＰＰｏＥ接続を切断させる。
【００９７】
［ステップＳ１６］接続制御部１２０は、ルータ装置５００からユーザが選択したサービスを受け付ける。
［ステップＳ１７］接続制御部１２０は、ステップＳ１４で該ユーザに割り当てた仮想マシン上で、ユーザが選択したサービスを利用可能とする旨のサービス選択指示を、起動制御部２２０に通知する。起動制御部２２０は、指示されたサービスを利用するためのソフトウェアを該ユーザに割り当てた仮想マシンに実行させる。
【００９８】
［ステップＳ１８］接続制御部１２０は、ユーザに割り当てた仮想マシンにつきユーザが選択したサービスの識別情報をルール管理部１３０に通知する。ルール管理部１３０は、制御情報記憶部１１０を参照して、該サービスのＳａａＳ種別に対応するＩＤＳルールの雛型を選択する。例えば、ＳａａＳ種別“ＳａａＳ１”であれば、ＩＤＳルール雛型テーブル１１３を選択する。
【００９９】
［ステップＳ１９］ルール管理部１３０は、ステップＳ１４で起動された仮想ルータ３１０に対して選択したＩＤＳルール雛型を送信する。このとき、ルール管理部１３０は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０と接続するネットワークＩＦ（雛型の＜Ｌｏｃａｌ＞に相当する設定）がネットワークＩＦ３１２であることを仮想ルータ３１０に通知する。
【０１００】
［ステップＳ２０］ルール設定部３１７は、ＩＤＳルール雛型の宛先や送信元を示す箇所を、自身のネットワークＩＦ３１２，３１４の識別情報に変換してルール記憶部３１１に格納する。ルール設定部３１７は、設定が完了した旨を制御装置１００に通知する。
【０１０１】
［ステップＳ２１］ルール管理部１３０は、仮想ルータ３１０からルール設定が完了した旨の通知を受信する。
［ステップＳ２２］接続制御部１２０は、制御情報記憶部１１０に記憶された接続リストテーブル１１１を更新する。具体的には、接続制御部１２０は、新たに起動した仮想マシン３２０上のサービスのＳａａＳ種別の情報および仮想ルータ３１０上のネットワークＩＦの情報をユーザＩＤに対応付けて接続リストテーブル１１１に記録する。
【０１０２】
このようにして、接続制御部１２０は、ルータ装置５００から接続通知を受信すると、仮想マシン管理装置２００に仮想ルータ３１０および仮想マシン３２０の起動を依頼する。接続制御部１２０は、ルータ装置５００と仮想ルータ３１０との間のＬ２ＶＰＮ接続を確立する。接続制御部１２０は、仮想ルータ３１０にＩＤＳルールの雛型を送信する。これにより、仮想ルータ３１０にデフォルトのＩＤＳルールが設定される。
【０１０３】
次に、仮想マシン起動時の処理の流れの具体例を説明する。
図１２は、仮想マシン起動時の処理を示すシーケンス図である。以下、図１２に示す処理をステップ番号に沿って説明する。
【０１０４】
［ステップＳＴ１０１］ルータ装置５００は、ネットワーク１０に接続する。すると、ルータ装置５００は、既定のＩＤおよびパスワードにより、ＰＰＰｏＥ認証を行い、ＰＰＰｏＥ網に接続する。また、ルータ装置５００は、既定のＩＰ−ＶＰＮグループ情報により、ゲートウェイ装置４００との間のＩＰ−ＶＰＮ接続を確立する。
【０１０５】
［ステップＳＴ１０２］ルータ装置５００は、制御装置１００に接続通知を送信する。接続通知には、起動する仮想マシンの情報やユーザＩＤが含まれる。
［ステップＳＴ１０３］ルータ装置５００は、該ユーザに対する実行サーバ装置およびゲートウェイ装置の割り当てを、仮想マシン管理装置２００に依頼する。
【０１０６】
［ステップＳＴ１０４］仮想マシン管理装置２００は、実行サーバ装置３００およびゲートウェイ装置４００を割り当てると、割当結果を制御装置１００に通知する。
［ステップＳＴ１０５］制御装置１００は、ＩＰ−ＶＰＮ用のＰＰＰｏＥ接続情報（ＩＤおよびパスワード）とＩＰ−ＶＰＮグループの接続情報とを、２組分、通信事業者サーバ装置７００から取得する。制御装置１００は、そのうちの１組をルータ装置５００に送信する。
【０１０７】
［ステップＳＴ１０６］制御装置１００は、ステップＳＴ１０５で取得したＰＰＰｏＥ接続情報およびＩＰ−ＶＰＮグループの接続情報のうちのもう一方の１組をゲートウェイ装置４００に送信する。
【０１０８】
［ステップＳＴ１０７］ルータ装置５００およびゲートウェイ装置４００は、制御装置１００から受信したＰＰＰｏＥ接続情報とＩＰ−ＶＰＮグループの情報により、ＩＰ−ＶＰＮ接続を確立する。
【０１０９】
［ステップＳＴ１０８］制御装置１００は、仮想マシン管理装置２００に、仮想マシンおよび仮想ルータの起動指示を送信する。
［ステップＳＴ１０９］仮想マシン管理装置２００は、割り当てた実行サーバ装置３００に対して、仮想ルータ３１０および仮想マシン３２０の起動を指示する。
【０１１０】
［ステップＳＴ１１０］実行サーバ装置３００は、仮想ルータ３１０および仮想マシン３２０の起動が完了すると、仮想マシン管理装置２００に起動完了を通知する。
［ステップＳＴ１１１］仮想マシン管理装置２００は、実行サーバ装置３００上で、仮想ルータ３１０および仮想マシン３２０の起動が完了した旨を、制御装置１００に通知する。
【０１１１】
［ステップＳＴ１１２］制御装置１００は、仮想ルータ３１０およびルータ装置５００の間のＬ２ＶＰＮ接続を確立する。具体的には、制御装置１００は仮想ルータ３１０のＩＰアドレスをルータ装置５００に送信して、該ＩＰアドレスに対するＥｔｈｅｒｎｅｔフレームのＥｔｈｅｒＩＰによるカプセル化のための設定を行わせる。また、制御装置１００は、ルータ装置５００のＩＰアドレスを仮想ルータ３１０に送信して、該ＩＰアドレスに対するＥｔｈｅｒｎｅｔフレームのＥｔｈｅｒＩＰによるカプセル化のための設定を行わせる。制御装置１００は、Ｌ２ＶＰＮ接続が確立されると、ステップＳＴ１０１で確立された初期設定用のＩＰ−ＶＰＮ接続や初期設定用のＰＰＰｏＥ接続を切断させる。
【０１１２】
［ステップＳＴ１１３］クライアント装置６００は、ルータ装置５００が提供するインタフェースにしたがって、仮想マシン３２０上で利用したいサービスを選択する。すると、ルータ装置５００は、ゲートウェイ装置４００を介して制御装置１００に該サービスの選択内容を通知する。
【０１１３】
［ステップＳＴ１１４］制御装置１００は、選択されたサービスを仮想マシン３２０上で利用可能とする旨のサービス選択指示を、仮想マシン管理装置２００に送信する。仮想マシン管理装置２００は、該サービス選択指示に基づいて、仮想マシン３２０に該サービスを利用するためのソフトウェアを実行させる（サービス起動指示）。
【０１１４】
［ステップＳＴ１１５］制御装置１００は、選択されたサービスのＳａａＳ種別に対応するＩＤＳルールの雛型を選択して、仮想マシン３２０の通信を中継する仮想ルータ３１０に送信する。
【０１１５】
［ステップＳＴ１１６］仮想ルータ３１０は、該ＩＤＳルールの雛型に基づいてＩＤＳルールを設定すると、設定完了の旨を制御装置１００に通知する。
［ステップＳＴ１１７］制御装置１００は、制御情報記憶部１１０に記憶された接続リストテーブル１１１を更新する。
【０１１６】
［ステップＳＴ１１８］クライアント装置６００は、実行サーバ装置３００上の仮想マシン３２０にアクセスして、選択したサービスの利用が可能となる。
このようにして、制御装置１００は、ルータ装置５００とゲートウェイ装置４００との間で確立された初期設定用のＩＰ−ＶＰＮ接続により、ルータ装置５００から接続通知を受け付ける。制御装置１００は、通信事業者サーバ装置７００より、実運用で用いるためのＩＰ−ＶＰＮ接続のための情報を取得し、ルータ装置５００とゲートウェイ装置４００との間で該ＩＰ−ＶＰＮ接続を確立させる。制御装置１００は、仮想ルータ３１０が起動すると、仮想ルータ３１０とルータ装置５００との間のＬ２ＶＰＮ接続を確立させる。そして、制御装置１００は、仮想ルータ３１０に選択されたサービスに応じたデフォルトのＩＤＳルールを設定させる。なお、ＩＤＳルールに加えてデフォルトのフィルタルールを設定させてもよい。また、デフォルトのフィルタルールで、全ての通信を許可する設定をしておいてもよい。
【０１１７】
次に、運用中に仮想マシン３２０に対する不正アクセスが検知された場合の処理を説明する。
図１３は、不正アクセス検知時の処理を示すフローチャートである。以下、図１３に示す処理をステップ番号に沿って説明する。
【０１１８】
［ステップＳ３１］不正アクセス検知部３１６ｂは、ルール記憶部３１１に記憶されたＩＤＳルールに基づいて、仮想マシン３２０に対する不正アクセスを検知する。不正アクセス検知部３１６ｂは、仮想マシン３２０に対する不正アクセスを検知した旨を、制御装置１００に通知する。ルール管理部１３０は、該通知を受け付ける。
【０１１９】
［ステップＳ３２］ルール管理部１３０は、仮想マシン３２０のフィルタ雛型テーブル１１２を変更する。例えば、ルール管理部１３０は、不正アクセスが発生した旨をシステム管理者に通知する。そして、ルール管理部１３０は、システム管理者によるフィルタ雛型テーブル１１２の変更や再設定指示の入力を受け付けて、フィルタ雛型テーブル１１２を変更する。ルール管理部１３０は、システム管理者が該変更や指示の入力を行うためのＧＵＩ（Graphical User Interface）をモニタ１１に表示させてもよい。また、例えば、ルール管理部１３０は、制御情報記憶部１１０に予め格納された緊急時用のフィルタルールで、フィルタ雛型テーブル１１２を変更してもよく、該変更後に、以下に示すフィルタの再設定を行ってもよい。
【０１２０】
［ステップＳ３３］ルール管理部１３０は、制御情報記憶部１１０に記憶された接続リストテーブル１１１を参照して、仮想マシン３２０のＳａａＳ種別“ＳａａＳ１”に対応するユーザＩＤを特定する。接続リストテーブル１１１の例によれば、ＳａａＳ種別“ＳａａＳ１”に対応するユーザＩＤとして、“Ｕｓｅｒ１”および“Ｕｓｅｒ２”が設定されている。ルール管理部１３０は、ユーザＩＤ“Ｕｓｅｒ１”および“Ｕｓｅｒ２”を特定する。
【０１２１】
［ステップＳ３４］ルール管理部１３０は、接続リストテーブル１１１を参照して、ステップＳ３３で特定したユーザＩＤに対応するネットワークＩＦを特定する。接続リストテーブル１１１の例によれば、ルール管理部１３０は、ネットワークＩＦ“ＩＦ−Ｓ１”、“ＩＦ−Ｓ２”および“ＩＦ−Ｓ３”を特定する。ルール管理部１３０は、ネットワークＩＦの識別情報から仮想ルータ３１０，３１０ａを特定する。例えば、ネットワークＩＦの識別情報がＩＰアドレスで示されていれば、該ＩＰアドレスにより仮想ルータ３１０，３１０ａを特定できる。また、例えば、ルール管理部１３０は、起動制御部２２０にネットワークＩＦの識別情報を通知して、該ネットワークＩＦを有する仮想ルータが何れの実行サーバ装置で実行されているものか問い合わせてもよい。
【０１２２】
［ステップＳ３５］ルール管理部１３０は、ステップＳ３２で変更されたフィルタ雛型をステップＳ３４で特定した仮想ルータ３１０，３１０ａに送信する。このとき、ルール管理部１３０は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０と接続するネットワークＩＦ（雛型の＜Ｌｏｃａｌ＞に相当する設定）がネットワークＩＦ３１２であることを仮想ルータ３１０に通知する。また、ルール管理部１３０は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０ｂと接続するネットワークＩＦ（雛型の＜Ｌｏｃａｌ＞に相当する設定）が“ＩＦ−Ｓ３”のネットワークＩＦであることを仮想ルータ３１０ａに通知する。
【０１２３】
［ステップＳ３６］ルール設定部３１７は、ルール管理部１３０から受信したフィルタ雛型の“＜Ｌｏｃａｌ＞”の箇所をネットワークＩＦ３１２の識別情報に置換する。ルール設定部３１７は、フィルタ雛型の“＜Ｕｓｅｒ＞”の箇所をネットワークＩＦ３１４の識別情報に置換する。ルール設定部３１７は、置換により生成したフィルタルールでルール記憶部３１１に格納された既存のフィルタテーブル３１１ａを更新する。フィルタ処理部３１６ａは、更新後のフィルタテーブル３１１ａによりフィルタリングを行う。また、同様にして、仮想ルータ３１０ａは、ルール管理部１３０が送信したフィルタ雛型に基づきフィルタルールを生成し、フィルタリングに利用する。
【０１２４】
［ステップＳ３７］ルール設定部３１７は、ルール管理部１３０にフィルタ設定が完了した旨を通知する。ルール管理部１３０は、該通知を受け付ける。
このようにして、ルール管理部１３０は、仮想マシン３２０に対する不正アクセスが発生すると、仮想マシン３２０を利用するユーザのユーザＩＤから該ユーザが利用可能な仮想マシン３２０ｂを特定する。そして、実際に不正アクセスを検知した仮想ルータ３１０だけでなく、仮想マシン３２０ｂに対応する仮想ルータ３１０ａに対しても、変更後のフィルタルールを設定させる。
【０１２５】
なお、ステップＳ３２において、ルール管理部１３０は、管理者によるフィルタ雛型テーブル１１２の変更を受け付ける、または、予め用意されたフィルタ雛型でフィルタ雛型テーブル１１２の内容を変更することを例示した。他の例として、ルール管理部１３０は、不正アクセスの内容に基づいて、新たなフィルタ雛型を生成してもよい。具体的には、不正アクセスのあったポートを不正アクセス検知部３１６ｂから取得し、該ポートに対するフィルタ雛型を生成して、生成したフィルタ雛型のルールを追加することで、フィルタ雛型テーブル１１２を変更してもよい。このとき、ユーザ側／仮想マシン側のネットワークの双方向（あるいは、一方向）の通信につき不正アクセスのあった該ポートに対するフィルタ雛型を生成するようにしてもよい。例えば、ルール管理部１３０は、ＳＳＨ（ポート番号２２）に対する不正アクセスが検知された場合に、該ポート番号２２に対して、ユーザ側／仮想マシン側のネットワークの双方向（あるいは、一方向）の通信を禁止するフィルタ雛型を生成してもよい。
【０１２６】
また、ステップＳ３２において、ルール管理部１３０がフィルタルールの変更を行うものとしたが、同様にして該変更を行う変更部を別個に設けてもよい。
次に、不正アクセス検知時の処理の流れの具体例を説明する。
【０１２７】
図１４は、不正アクセス検知時の処理を示すシーケンス図である。以下、図１４に示す処理をステップ番号に沿って説明する。以下に示す手順の直前では不正アクセスを受けるポートへのフィルタが未設定あるいは該ポートへの通信が許可されているとする。
【０１２８】
［ステップＳＴ１２１］仮想ルータ３１０は、実行サーバ装置３００上の仮想マシン３２０に対するクライアント装置６００ａからの所定のポート（例えば、ｆｔｐ、Ｔｅｌｎｅｔ、ＳＳＨおよびＶＮＣなど）に対する不正アクセスを検知する。
【０１２９】
［ステップＳＴ１２２］仮想ルータ３１０は、仮想マシン３２０（ＳａａＳ種別“ＳａａＳ１”）に対する不正アクセスを検知した旨を制御装置１００に通知する。
［ステップＳＴ１２３］制御装置１００は、制御情報記憶部１１０に記憶されたフィルタ雛型テーブル１１２（ＳａａＳ種別“ＳａａＳ１”に対応）の設定内容を変更する。フィルタ雛型テーブル１１２が変更された結果、図７で示した設定内容になったとする。
【０１３０】
［ステップＳＴ１２４］制御装置１００は、制御情報記憶部１１０に記憶された接続リストテーブル１１１を参照して、仮想マシン３２０を利用するユーザのユーザＩＤ“Ｕｓｅｒ１”、“Ｕｓｅｒ２”を特定する。制御装置１００は、該ユーザＩＤおよびＳａａＳ種別に対応するネットワークＩＦ“ＩＦ−Ｓ１”、“ＩＦ−Ｓ３”を特定する。更に、制御装置１００は、各ネットワークＩＦを有する仮想ルータ３１０，３１０ａを特定する。
【０１３１】
［ステップＳＴ１２５］制御装置１００は、実行サーバ装置３００上の仮想ルータ３１０に対して変更後のフィルタ雛型を送信する。このとき、制御装置１００は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０が接続されたネットワークＩＦが“ＩＦ−Ｓ１”であることを仮想ルータ３１０に通知する。仮想ルータ３１０は、受信したフィルタ雛型に自身が備えるインタフェースＩＦの情報をあてはめ、自身のフィルタルールとして設定する。
【０１３２】
［ステップＳＴ１２６］制御装置１００は、実行サーバ装置３００ａ上の仮想ルータ３１０ａに対して変更後のフィルタ雛型を送信する。このとき、制御装置１００は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０ｂが接続されたネットワークＩＦが“ＩＦ−Ｓ３”であることを仮想ルータ３１０ａに通知する。仮想ルータ３１０ａは、受信したフィルタ雛型に自身が備えるインタフェースＩＦの情報をあてはめ、自身のフィルタルールとして設定する。
【０１３３】
［ステップＳＴ１２７］仮想ルータ３１０は、フィルタの設定が完了した旨を制御装置１００に通知する。図７の設定内容によれば、仮想ルータ３１０では、ユーザ側／仮想マシン側のネットワーク間でＨＴＴＰ通信のみが許可される。
【０１３４】
［ステップＳＴ１２８］仮想ルータ３１０ａは、フィルタの設定が完了した旨を制御装置１００に通知する。図７の設定内容によれば、仮想ルータ３１０ａでは、仮想ルータ３１０と同様にユーザ側／仮想マシン側のネットワーク間でＨＴＴＰ通信のみが許可される。
【０１３５】
［ステップＳＴ１２９］クライアント装置６００ａは、実行サーバ装置３００上の仮想マシン３２０に対して、所定のポート（ｆｔｐなど）で不正アクセスを試みる。仮想ルータ３１０は、変更後のフィルタルールにより、該ポートに対する不正アクセスを遮断する。
【０１３６】
［ステップＳＴ１３０］クライアント装置６００ａは、実行サーバ装置３００ａ上の仮想マシン３２０ｂに対して、ステップＳＴ１２９と同様に不正アクセスを試みる。仮想ルータ３１０ａは、変更後のフィルタルールにより、該ポートに対する不正アクセスを遮断する。
【０１３７】
このようにして、制御装置１００は、仮想ルータ３１０，３１０ａに変更後のフィルタルールを設定させる。これにより、仮想マシン３２０，３２０ｂに対するクライアント装置６００ａからの不正アクセスが仮想ルータ３１０，３１０ａで遮断される。なお、ルール管理部１３０は、同一の実行サーバ装置上の異なるユーザの仮想ルータそれぞれに対して変更後のルールを送信することもある。その場合には、ルール管理部１３０は、該サービスを利用可能な仮想マシンと接続する該ユーザごとの仮想ルータ上のネットワークＩＦを指定して、同一の実行サーバ装置上の各仮想ルータに変更後のルールを送信する。
【０１３８】
また、クライアント装置６００も仮想ルータ３１０，３１０ａを介して仮想マシン３２０，３２０ｂにアクセスする。このため、悪意のあるユーザがクライアント装置６００を利用して仮想マシン３２０，３２０ｂに不正アクセスしようとしても、該アクセスは同様に遮断される。
【０１３９】
これにより、各仮想マシンに対する通信監視のルールを容易に設定可能となる。具体的には、それぞれの仮想ルータに対する設定作業を省けるので、作業負担を軽減できる。更に、変更後のルールを複数の仮想ルータで共用するので、個別に設定する場合に比べ、誤設定によるセキュリティ低下のリスクを軽減できる。
【０１４０】
また、不正アクセスに容易に対処可能となる。具体的には、実際に不正アクセスを受けた仮想マシンだけでなく、不正アクセスを受ける可能性のある他の仮想マシンに対しても、不正アクセスへの事前の対応が可能となる。また、複数の仮想マシンに対して、変更後のルールを一括して設定させることで、不正アクセスへの迅速な対処が可能となる。
【０１４１】
特に、第２の実施の形態で示したように、ユーザごとに割り当てられた複数の仮想マシンでサービスを提供する情報処理システムでは、該複数の仮想マシンに対して、該サービスのセキュリティホールなどを狙った同一手法の不正アクセスを受け易い。そこで、制御装置１００のように、サービスごとに定義された通信監視のルールを、該サービスを利用するユーザに対する仮想ルータに一括して送信する。これにより、該不正アクセスに対して、容易かつ効率的に対処可能となる。
【０１４２】
なお、フィルタ雛型テーブル１１２の設定によって、ユーザ側／仮想マシン側のネットワーク間の通信を一層厳しく制限することもできる。例えば、図７の例では、ＨＴＴＰ通信のみを許可するものとしたが、全ての通信を禁止するよう設定してもよい。具体的には、図７で示したフィルタ雛型テーブル１１２において、許可／禁止の項目に“Ｐｅｒｍｉｔ”の設定された２つのレコードを削除し、該項目が“Ｄｅｎｙ”の２つのレコードを残せば、全ての通信を遮断する設定が可能である。これにより、不正アクセス検知時のセキュリティを一層高めることができる。
【０１４３】
また、第２の実施の形態では、フィルタルールを変更するものとしたが、ＩＤＳルールを変更してもよい。例えば、不正アクセスなどに伴って、ＩＤＳルール雛型テーブル１１３が変更されたときに、変更後のＩＤＳルール雛型を図１３と同様の手順によって各仮想ルータに送信してもよい。このようにすれば、各仮想マシンに対する不正アクセスを容易に検出可能となる。
【０１４４】
また、不正アクセス検知部３１６ｂは、ＩＤＳの機能を有するものとしたがＩＰＳの機能を有してもよい。
また、第２の実施の形態では、ネットワーク１０として通信事業者の管理するＩＰ網を例示したが、ネットワーク１０として例えばインターネット網を利用してもよい。その場合、制御装置１００は、仮想ルータとルータ装置５００との間でインターネットＶＰＮによる接続を確立させる。例えば、制御装置１００は、ＧＲＥ（Generic Routing Encapsulation）により、両者間のトンネル接続を確立させることもできる。
【符号の説明】
【０１４５】
１，２，３ 情報処理装置
１ａ 記憶部
１ｂ 制御部
２ａ，３ａ 仮想ルータ
２ｂ，３ｂ 仮想マシン
【技術分野】
【０００１】
本件は仮想マシンの運用管理を支援する情報処理装置、情報処理プログラムおよび管理方法に関する。
【背景技術】
【０００２】
現在、情報処理の分野では、物理的なコンピュータ（物理マシンや物理ホストと呼ぶことがある）上で、複数の仮想的なコンピュータ（仮想マシンや論理ホストと呼ぶことがある）を動作させる仮想化技術が利用されている。各仮想マシン上では、ＯＳ（Operating System）などのソフトウェアを実行できる。仮想化技術を利用する物理マシンは、複数の仮想マシンを管理するためのソフトウェアを実行する。
【０００３】
例えば、ハイパーバイザと呼ばれるソフトウェアが、ＣＰＵ（Central Processing Unit）の処理能力やＲＡＭ（Random Access Memory）の記憶領域を、演算のリソースとして複数の仮想マシンに割り振る。また、例えば、ハイパーバイザが、該演算のリソースによりネットワークのルーティング機能を物理マシン上に実現することもある。物理マシン上に実現されたルーティング機能を仮想ルータと呼ぶことがある。仮想ルータに仮想マシンの通信を中継させることで、物理マシン上に仮想マシンのネットワークを構築できる。このように、物理マシン上で仮想マシンを動作させ、該仮想マシン上のソフトウェアをクライアント装置から利用可能とする情報処理システムがある。
【０００４】
ところで、情報処理システムでは機密情報（例えば、個人情報や営業秘密）を扱うことがある。このため、機密情報の不正取得の防止や改ざんの防止など適正な保護対策が望まれる。そこで、ネットワークの経路上にファイアウォール、ＩＤＳ（Intrusion Detection System）およびＩＰＳ（Intrusion Prevention System）などを設けることがある。
【０００５】
ファイアウォールは、ネットワーク上のトラフィックをフィルタルールによりフィルタリングして、許容する通信経路やプロトコル以外の通信を遮断する。ＩＤＳは、ネットワークから取得した通信データを、予め登録された不正な（あるいは正常な）通信の検出ルールと照合することで、情報処理システムに対する不正アクセスを検知する。ＩＰＳは、不正アクセスの検知を行うとともに、該不正アクセスを遮断する。
【０００６】
例えば、加入者側装置と該加入者側装置を収容する局側装置を有する通信システムで、局側装置で不正トラフィックを検出したときに、不正トラフィックの検出された論理リンクに対するフィルタリング設定情報を加入者側装置に送信する提案がある。加入者側装置は、該フィルタリング設定情報により該論理リンクのフィルタリングを行う。
【０００７】
また、ＩＤＳサーバが不正アクセスを検知したときに不正アクセスに関する情報をファイアウォールに送信し、ファイアウォールが該情報に基づきフィルタリングルールを生成して、該ルールによりトラフィックのフィルタリング処理を行う提案がある。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００８−２１１６３７号公報
【特許文献２】特開２００８−１１００８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
仮想マシン上のソフトウェアをクライアント装置から利用可能とする情報処理システムでは、仮想マシンにつき通信のセキュリティ対策がなされていることが望ましい。しかしながら、複数の仮想マシンが複数の物理マシン上で動作している場合がある。その場合、各仮想マシンにつき通信監視のルールをどのように容易に設定可能とするかが問題となる。例えば、該ルールの設定を、複数の仮想マシンごと、または、物理マシンごとに、システム管理者が個別に行うとすると、設定のための作業負担が生ずる。
【００１０】
１つの側面では、本発明は、通信監視のルールを容易に設定できるようにした情報処理装置、情報処理プログラムおよび管理方法を提供することを目的とする。
【課題を解決するための手段】
【００１１】
仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信する情報処理装置が提供される。この情報処理装置は、記憶部と制御部とを有する。記憶部は、仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する。制御部は、記憶部に記憶された通信監視のルールが変更されると、記憶部を参照して、該ルールに対応するサービスを利用するユーザを特定し、該ユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の該ルールを送信し、該ルールに基づく監視を行わせる。
【００１２】
また、仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信するコンピュータが実行する情報処理プログラムが提供される。この情報処理プログラムは、コンピュータに、仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部に記憶された通信監視のルールが変更されると、記憶部を参照して、該通信監視のルールに対応するサービスを利用するユーザを特定し、特定したユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の通信監視のルールを送信し、該ルールに基づく監視を行わせる、処理を実行させる。
【００１３】
更に、仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信する情報処理装置が実行する管理方法が提供される。この管理方法では、仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部に記憶された通信監視のルールが変更されると、記憶部を参照して、該通信監視のルールに対応するサービスを利用するユーザを特定する。特定したユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の通信監視のルールを送信し、該ルールに基づく監視を行わせる。
【発明の効果】
【００１４】
一態様によれば、通信監視のルールを容易に設定できる。
【図面の簡単な説明】
【００１５】
【図１】第１の実施の形態の情報処理システムを示す図である。
【図２】第２の実施の形態の情報処理システムを示す図である。
【図３】制御装置のハードウェア例を示す図である。
【図４】各装置の機能を示すブロック図である。
【図５】仮想ルータの機能を示すブロック図である。
【図６】接続リストテーブルのデータ構造例を示す図である。
【図７】フィルタ雛型テーブルのデータ構造例を示す図である。
【図８】ＩＤＳルール雛型テーブルのデータ構造例を示す図である。
【図９】フィルタテーブルのデータ構造例を示す図である。
【図１０】ＩＤＳルールテーブルのデータ構造例を示す図である。
【図１１】仮想マシン起動時の処理を示すフローチャートである。
【図１２】仮想マシン起動時の処理を示すシーケンス図である。
【図１３】不正アクセス検知時の処理を示すフローチャートである。
【図１４】不正アクセス検知時の処理を示すシーケンス図である。
【発明を実施するための形態】
【００１６】
以下、本実施の形態を図面を参照して説明する。
［第１の実施の形態］
図１は、第１の実施の形態の情報処理システムを示す図である。この情報処理システムは、情報処理装置１，２，３を含む。情報処理装置１は、情報処理装置２，３とネットワークで接続され、データ通信する。情報処理装置２は、仮想ルータ２ａおよび仮想マシン２ｂを実行する。情報処理装置３は、仮想ルータ３ａおよび仮想マシン３ｂを実行する。仮想ルータ２ａ，３ａは、それぞれ仮想マシン２ｂ，３ｂの通信を中継する。
【００１７】
情報処理装置１は、記憶部１ａおよび制御部１ｂを有する。
記憶部１ａは、仮想マシン２ｂ，３ｂ上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係を記憶する。記憶部１ａは、サービスごとに定義された仮想ルータ２ａ，３ａによる通信監視のルールを記憶する。通信監視のルールとは、例えば通信のフィルタリングを行うためのルールである。また、通信監視のルールは、例えば、不正アクセスを検知・遮断するためのパターン情報（以下、ＩＤＳルールという）でもよい。記憶部１ａは、ＲＡＭやＨＤＤ（Hard Disk Drive）として実装してもよい。
【００１８】
制御部１ｂは、記憶部１ａに記憶された通信監視のルールが変更されると、記憶部１ａを参照して、該通信監視のルールに対応するサービスを利用するユーザを特定する。ユーザには、該ユーザが利用可能な仮想マシンが割り当てられている。ここで、第１のユーザには仮想マシン２ｂが割り当てられ、第２のユーザには仮想マシン３ｂが割り当てられているとする。制御部１ｂは、特定した該ユーザに割り当てられた仮想マシン２ｂ，３ｂの通信を中継する仮想ルータ２ａ，３ａに、変更後の該ルールを送信し、該ルールに基づく監視を行わせる。制御部１ｂは、ＣＰＵとＲＡＭを用いて実行されるプログラムとして実装してもよい。
【００１９】
情報処理装置１によれば、記憶部１ａに記憶された通信監視のルールが変更されると、制御部１ｂにより、記憶部１ａが参照され、該ルールに対応するサービスを利用するユーザが特定される。制御部１ｂにより、該ユーザごとに割り当てられた仮想マシン２ｂ，３ｂの通信を中継する仮想ルータ２ａ，３ａに、変更後の該ルールが送信される。仮想ルータ２ａ，３ａは、該ルールに基づく監視を行う。
【００２０】
これにより、通信監視のルールに容易に設定できる。具体的には、通信監視のルールが変更されたとき、該ルールに対応するサービスを利用するユーザの仮想ルータ２ａ，３ａに対して、該変更後のルールでの監視を一括して行わせることができる。
【００２１】
このため、情報処理装置２，３それぞれに対する設定作業を省けるので、作業負担を軽減できる。更に、変更後のルールを複数の仮想ルータで共用するので、個別に設定する場合に比べ、誤設定によるセキュリティ低下のリスクを軽減できる。
【００２２】
また、例えば、何れかの仮想マシン上のサービスに対する不正アクセスが検知されたとき、システム管理者により情報処理装置１が操作されて通信監視のルールが変更されることがある。このとき、情報処理装置１によれば、該サービスを利用するユーザに対応する仮想ルータに対して変更後のルールを一斉に利用できるので、該不正アクセスに対する迅速な対処が可能となる。
【００２３】
特に、ユーザごとに割り当てられた複数の仮想マシンでサービスを提供する情報処理システムでは、該複数の仮想マシンに対して、該サービスのセキュリティホールなどを狙った同一手法の不正アクセスを受け易い。そこで、情報処理装置１のように、サービスごとに定義された通信監視のルールを、該サービスを利用するユーザに対する仮想ルータに一括して送信する。これにより、該不正アクセスに対して、容易かつ効率的に対処可能となる。
【００２４】
［第２の実施の形態］
図２は、第２の実施の形態の情報処理システムを示す図である。データセンタ２０は、サービス事業者が運用する事業所である。ユーザ拠点３０は、ユーザが運用する事業所である。サービス事業者は、データセンタ２０上のサーバ装置で複数の仮想マシンを実行させ、仮想マシン上のソフトウェアをユーザ拠点３０から利用可能とする。具体的には、ユーザは、ユーザ拠点３０に設置されたクライアント装置から該仮想マシン上のソフトウェアに所定の処理の実行を要求する。このようなソフトウェアの利用形態は、ＳａａＳ（Software as a Service）と呼ばれることがある。
【００２５】
この情報処理システムは、制御装置１００、仮想マシン管理装置２００、実行サーバ装置３００，３００ａ、ゲートウェイ装置４００，４００ａ、ルータ装置５００、クライアント装置６００，６００ａおよび通信事業者サーバ装置７００を含む。
【００２６】
制御装置１００、仮想マシン管理装置２００、実行サーバ装置３００，３００ａおよびゲートウェイ装置４００，４００ａは、データセンタ２０に設置されており、データセンタ２０内のネットワーク２１にそれぞれ接続されている。ルータ装置５００およびクライアント装置６００，６００ａは、ユーザ拠点３０に設置されており、ユーザ拠点３０内のネットワーク３１にそれぞれ接続されている。通信事業者サーバ装置７００は、通信事業者の事業所（図示を省略）に設置されており、ネットワーク１０に接続される。ネットワーク１０は、通信事業者の管理するＩＰ（Internet Protocol）網である。ネットワーク１０は、例えば、ＰＰＰｏＥ（Point to Point Protocol over Ethernet）網である。
【００２７】
制御装置１００は、実行サーバ装置３００，３００ａ上の仮想ルータとルータ装置５００との間のＬ２ＶＰＮ（Layer2 Virtual Private Network）によるトンネル接続の確立を支援する情報処理装置である。これにより、クライアント装置６００，６００ａから、該仮想ルータと通信する仮想マシンに対して、ＩＰ網を介したＶＰＮ接続を可能とする。
【００２８】
仮想マシン管理装置２００は、実行サーバ装置３００，３００ａ上の仮想マシンや仮想ルータの起動を制御する情報処理装置である。仮想マシン管理装置２００は、何れの実行サーバ装置で何れの仮想マシンや仮想ルータが実行されているか管理する。仮想マシン管理装置２００は、仮想ルータに設けられた仮想のネットワークＩＦ（InterFace）の情報を管理する。
【００２９】
実行サーバ装置３００，３００ａは、仮想マシン管理装置２００からの起動指示に応じて、仮想マシンおよび仮想ルータを起動する情報処理装置である。例えば、実行サーバ装置３００，３００ａは、ハイパーバイザを実行する。ハイパーバイザは、仮想マシン管理装置２００から仮想マシンや仮想ルータの起動の指示を受けると、実行サーバ装置３００，３００ａ上のリソースを用いて仮想マシンや仮想ルータを起動する。
【００３０】
ゲートウェイ装置４００，４００ａは、ネットワーク１０とネットワーク２１と間の通信を中継する通信装置である。
ルータ装置５００は、ネットワーク１０とネットワーク３１との間の通信を中継する通信装置である。ルータ装置５００は、サービス事業者から仮想マシンを割り当てられたユーザが、該仮想マシン上で利用したいサービスの選択を受け付ける機能も備えている。ルータ装置５００は、サービスの選択内容を制御装置１００に送信して、該サービスを該ユーザの仮想マシン上で利用可能とするよう依頼する。
【００３１】
クライアント装置６００，６００ａは、ユーザが利用する情報処理装置である。ユーザは、クライアント装置６００，６００ａを操作して、実行サーバ装置３００，３００ａ上の仮想マシンに対して処理の要求を行える。例えば、クライアント装置６００，６００ａからＷｅｂブラウザ、ＲＤＰ（Remote Desktop Protocol）、ＶＮＣ（Virtual Network Computing）、ＳＳＨ（Secure SHell）およびＦＴＰ（File Transfer Protocol）などを用いて、実行サーバ装置３００，３００ａ上の仮想マシンを利用できる。
【００３２】
通信事業者サーバ装置７００は、制御装置１００からの要求により、ゲートウェイ装置４００，４００ａとルータ装置５００とをネットワーク１０に接続するための情報を提供する。例えば、通信事業者サーバ装置７００は、ゲートウェイ装置４００，４００ａおよびルータ装置５００に、ＰＰＰｏＥのユーザＩＤ（IDentifier）やパスワードなどの情報を送信する。ゲートウェイ装置４００，４００ａおよびルータ装置５００は、提供された情報に基づいて、ネットワーク１０上の所定の認証サーバでＰＰＰｏＥ認証され、ネットワーク１０に接続する。また、通信事業者サーバ装置７００は、例えば、ゲートウェイ装置４００，４００ａおよびルータ装置５００をＩＰ−ＶＰＮ接続するための情報を提供する。
【００３３】
図３は、制御装置のハードウェア例を示す図である。制御装置１００は、ＣＰＵ１０１、ＲＯＭ（Read Only Memory）１０２、ＲＡＭ１０３、ＨＤＤ１０４、グラフィック処理装置１０５、入力インタフェース１０６、ディスクドライブ１０７および通信インタフェース１０８を有する。
【００３４】
ＣＰＵ１０１は、ＯＳやアプリケーションのプログラムを実行して、制御装置１００全体を制御する。
ＲＯＭ１０２は、制御装置１００の起動時に実行されるＢＩＯＳ（Basic Input / Output System）プログラムなどの所定のプログラムを記憶する。ＲＯＭ１０２は、書き換え可能な不揮発性メモリであってもよい。
【００３５】
ＲＡＭ１０３は、ＣＰＵ１０１が実行するＯＳやアプリケーションのプログラムの少なくとも一部を一時的に記憶する。また、ＲＡＭ１０３は、ＣＰＵ１０１の処理に用いられるデータの少なくとも一部を一時的に記憶する。
【００３６】
ＨＤＤ１０４は、ＯＳプログラムやアプリケーションプログラムを記憶する。また、ＨＤＤ１０４は、ＣＰＵ１０１の処理に用いられるデータを記憶する。なお、ＨＤＤ１０４に代えて（または、ＨＤＤ１０４と併せて）、ＳＳＤ（Solid State Drive）など他の種類の不揮発性の記憶装置を用いてもよい。
【００３７】
グラフィック処理装置１０５は、モニタ１１に接続される。グラフィック処理装置１０５は、ＣＰＵ１０１からの命令に従って、画像をモニタ１１に表示させる。
入力インタフェース１０６は、キーボード１２やマウス１３などの入力デバイスに接続される。入力インタフェース１０６は、入力デバイスから送られる入力信号をＣＰＵ１０１に出力する。
【００３８】
ディスクドライブ１０７は、記録媒体１４に格納されたデータを読み取る読取装置である。記録媒体１４には、例えば、制御装置１００に実行させるプログラムが記録されている。制御装置１００は、例えば、記録媒体１４に記録されたプログラムを実行することで、後述するような機能を実現できる。すなわち、当該プログラムはコンピュータ読み取り可能な記録媒体１４に記録して配布可能である。
【００３９】
記録媒体１４としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリを使用できる。磁気記録装置には、ＨＤＤ、フレキシブルディスク（ＦＤ）、磁気テープなどがある。光ディスクには、ＣＤ（Compact Disc）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−Ｒ／ＲＷ／ＲＡＭなどがある。光磁気記録媒体には、ＭＯ（Magneto-Optical disk）などがある。半導体メモリには、ＵＳＢ（Universal Serial Bus）メモリなどのフラッシュメモリがある。
【００４０】
通信インタフェース１０８は、ネットワーク１０に接続される。通信インタフェース１０８は、ネットワーク２１を介して仮想マシン管理装置２００、実行サーバ装置３００，３００ａおよびゲートウェイ装置４００，４００ａとデータ通信を行える。また、通信インタフェース１０８は、ゲートウェイ装置４００，４００ａおよびネットワーク１０を介してルータ装置５００および通信事業者サーバ装置７００とデータ通信を行える。
【００４１】
なお、仮想マシン管理装置２００、実行サーバ装置３００，３００ａ、クライアント装置６００，６００ａおよび通信事業者サーバ装置７００も、制御装置１００と同様のハードウェア構成により実現できる。
【００４２】
また、以下の説明では、ゲートウェイ装置４００，４００ａのうち、ゲートウェイ装置４００を主に示して説明するが、ゲートウェイ装置４００ａも同様である。
図４は、各装置の機能を示すブロック図である。制御装置１００は、制御情報記憶部１１０、接続制御部１２０およびルール管理部１３０を有する。制御装置１００の構成要素の機能は、例えばＣＰＵ１０１が所定のプログラムを実行することにより、制御装置１００上に実現される。制御装置１００の構成要素の機能の全部または一部を専用のハードウェアで実装してもよい。
【００４３】
制御情報記憶部１１０は、制御情報を記憶する。制御情報には、接続リストテーブル、フィルタ雛型テーブルおよびＩＤＳルール雛型テーブルが含まれる。接続リストテーブルは、ユーザの識別情報と該ユーザが現在利用中のサービスの識別情報とを対応付けたデータである。フィルタ雛型テーブルは、サービスごとのデフォルトのフィルタルールを設定したものである。ＩＤＳルール雛型テーブルは、サービスごとのデフォルトのＩＤＳルールを設定したものである。以下では、フィルタルールとＩＤＳルールとを併せてルールと呼ぶことがある。
【００４４】
接続制御部１２０は、ルータ装置５００からの要求により、ルータ装置５００に対するゲートウェイ装置４００，４００ａの割り当てを仮想マシン管理装置２００に指示する。また、接続制御部１２０は、ルータ装置５００からの要求により、実行サーバ装置３００，３００ａ上の仮想マシンおよび仮想ルータの起動を仮想マシン管理装置２００に指示する。そして、接続制御部１２０は、実行サーバ装置３００，３００ａ上の仮想ルータとルータ装置５００との間のＬ２ＶＰＮ接続を確立する。
【００４５】
具体的には、接続制御部１２０は、通信事業者サーバ装置７００と連携して、ゲートウェイ装置４００とネットワーク１０との間のＰＰＰｏＥ接続を開始させる。また、接続制御部１２０は、通信事業者サーバ装置７００と連携して、ルータ装置５００とネットワーク１０との間のＰＰＰｏＥ接続を開始させる。接続制御部１２０は、ゲートウェイ装置４００とルータ装置５００とをＩＰ−ＶＰＮで接続させる。
【００４６】
また、接続制御部１２０は、仮想ルータとルータ装置５００との間のＥｔｈｅｒＩＰ（Ethernet over IP）によるトンネル接続を開始させる。仮想ルータやルータ装置５００は、クライアント装置６００，６００ａと実行サーバ装置３００，３００ａ上の仮想マシンとの間のＥｔｈｅｒｎｅｔ（登録商標）フレームをＥｔｈｅｒＩＰによりカプセル化して通信を行う。Ｌ２ＶＰＮ接続により、通信事業者のＩＰ網であるネットワーク１０を介して、クライアント装置６００，６００ａと仮想マシンとの間のＶＰＮ接続が可能となる。
【００４７】
更に、接続制御部１２０は、ルータ装置５００からサービスの選択内容を受信する。接続制御部１２０は、選択されたサービスをユーザに割り当てられた仮想マシンで利用可能とする。具体的には、接続制御部１２０は、ユーザに割り当てられた仮想マシンに該サービスを利用するためのソフトウェアを実行させるよう起動制御部２２０に指示する（この指示を、以下ではサービス選択指示という）。また、接続制御部１２０は、該サービスに対応する通信監視のルールを仮想ルータに送信する旨、ルール管理部１３０に指示する。
【００４８】
ルール管理部１３０は、実行サーバ装置３００，３００ａ上の仮想ルータに通信監視用のルールを送信する。具体的には、ルール管理部１３０は、接続制御部１２０からユーザが選択したサービスを受け付けたとき、該サービスに対応したルールを該ユーザに割り当てた仮想マシンに対応する仮想ルータに送信する。また、ルール管理部１３０は、仮想ルータで不正アクセスなどの異常に応じて、制御情報記憶部１１０に記憶されたルールが変更されたとき、該ルールに対応するサービスを利用するユーザの仮想ルータに該ルールを送信する。
【００４９】
仮想マシン管理装置２００は、管理情報記憶部２１０および起動制御部２２０を有する。仮想マシン管理装置２００の構成要素の機能は、例えば仮想マシン管理装置２００が備えるＣＰＵが所定のプログラムを実行することにより、仮想マシン管理装置２００上に実現される。仮想マシン管理装置２００の構成要素の機能の全部または一部を専用のハードウェアで実装してもよい。
【００５０】
管理情報記憶部２１０は、管理情報を記憶する。管理情報には、実行サーバ装置３００，３００ａおよびゲートウェイ装置４００，４００ａに関する情報が含まれる。具体的には、実行サーバ装置３００，３００ａ上で利用可能なリソースの情報、実行中の仮想マシンのユーザへの割り当て状況を示す情報、実行中の仮想マシンと仮想ルータとの対応を示す情報および各仮想ルータ上の仮想のネットワークＩＦを示す情報が含まれる。また、管理情報には、ゲートウェイ装置４００，４００ａ上で利用可能なリソースの情報や、ゲートウェイ装置４００，４００ａのユーザへの割り当て状況を示す情報が含まれる。
【００５１】
起動制御部２２０は、ユーザに対するゲートウェイ装置４００，４００ａの割り当て指示を接続制御部１２０から受け付ける。すると、起動制御部２２０は、管理情報記憶部２１０を参照して、該ユーザに対するゲートウェイ装置４００，４００ａの割り当てを行う。起動制御部２２０は、該ユーザと割り当てたゲートウェイ装置との対応を管理情報記憶部２１０に記録する。
【００５２】
起動制御部２２０は、ユーザに対する仮想マシンの起動指示を接続制御部１２０から受け付ける。すると、起動制御部２２０は、管理情報記憶部２１０を参照して、仮想マシンおよび仮想ルータを起動させる実行サーバ装置を選択する。起動制御部２２０は、選択した実行サーバ装置に仮想マシンおよび仮想ルータを起動させる。起動制御部２２０は、該ユーザ、割り当てた実行サーバ装置、仮想マシンおよび仮想ルータの対応を管理情報記憶部２１０に記録する。起動制御部２２０は、管理情報記憶部２１０を参照して、接続制御部１２０からの問い合わせに応じる。例えば、実行サーバ装置、仮想マシンおよび仮想ルータの対応関係、仮想ルータと該仮想ルータ上のネットワークＩＦの対応関係などの問い合わせに応じることができる。
【００５３】
また、起動制御部２２０は、接続制御部１２０からサービス選択指示を受け付けると、対象のユーザに割り当てられた仮想マシンに該サービスを利用するためのソフトウェアを実行開始させる。
【００５４】
実行サーバ装置３００は、仮想ルータ３１０および仮想マシン３２０，３２０ａを有する。実行サーバ装置３００の構成要素の機能は、例えば実行サーバ装置３００が備えるＣＰＵが所定のプログラムを実行することにより、実行サーバ装置３００上に実現される。実行サーバ装置３００の構成要素の機能の全部または一部を専用のハードウェアで実装してもよい。
【００５５】
仮想ルータ３１０は、ネットワーク２１と仮想マシン３２０，３２０ａとの間の通信を中継する。仮想ルータ３１０は、中継する通信データを監視する。具体的には、仮想ルータ３１０は、ルール管理部１３０から取得したフィルタルールに基づきフィルタリングを行う。また、仮想ルータ３１０は、ルール管理部１３０から取得したＩＤＳルールに基づき不正アクセスを検知する。仮想ルータ３１０は、監視結果をルール管理部１３０に通知する。
【００５６】
仮想マシン３２０，３２０ａは、実行サーバ装置３００上に実現された仮想マシンである。仮想マシン３２０，３２０ａは、それぞれ独立にＯＳを実行している。仮想マシン３２０，３２０ａが実行するＯＳは同一でもよいし、異なっていてもよい。仮想マシン３２０，３２０ａは、それぞれが所定のサービスを利用するためのソフトウェアを実行する。仮想マシン３２０，３２０ａで何れのサービスを利用可能とするかは、上述したようにユーザの選択により決定される。
【００５７】
実行サーバ装置３００ａは、仮想ルータ３１０ａおよび仮想マシン３２０ｂを有する。仮想ルータ３１０ａは、ネットワーク２１と仮想マシン３２０ｂとの間の通信を中継する。また、仮想ルータ３１０ａは、中継する通信データを監視する。仮想マシン３２０ｂは、実行サーバ装置３００ａ上に実現された仮想マシンであり、所定のサービスを利用するためのソフトウェアを実行する。
【００５８】
ゲートウェイ装置４００は、通信処理部４１０を有する。通信処理部４１０は、接続制御部１２０から取得した情報に基づいて、ネットワーク１０とＰＰＰｏＥ接続を確立する。また、通信処理部４１０は、ルータ装置５００との間でＩＰ−ＶＰＮ接続を確立する。
【００５９】
ルータ装置５００は、通信処理部５１０を有する。通信処理部５１０は、接続制御部１２０から取得した情報に基づいて、ネットワーク１０、ゲートウェイ装置４００および仮想ルータ３１０，３１０ａとの間のＬ２ＶＰＮ接続を確立する。また、通信処理部５１０は、サービス事業者がユーザに提供するサービスを選択するためのインタフェースをクライアント装置６００，６００ａに提供する。通信処理部５１０は、選択されたサービスの内容を制御装置１００に送信する。
【００６０】
図５は、仮想ルータの機能を示すブロック図である。仮想ルータ３１０は、ルール記憶部３１１、ネットワークＩＦ３１２，３１３，３１４、トンネル処理部３１５、監視部３１６およびルール設定部３１７を有する。
【００６１】
ルール記憶部３１１は、制御装置１００から受信した通信監視のためのルールを記憶する。
ネットワークＩＦ３１２，３１３，３１４は、仮想ルータ３１０上に実現された仮想的なネットワークＩＦである。ネットワークＩＦ３１２は、仮想マシン３２０と通信する。ネットワークＩＦ３１３は、仮想マシン３２０ａと通信する。ネットワークＩＦ３１２，３１３〜仮想マシン３２０，３２０ａまでのネットワークを、仮想マシン側のネットワークということがある。ネットワークＩＦ３１４は、ネットワーク２１を介してゲートウェイ装置４００と通信する。ネットワークＩＦ３１４〜ゲートウェイ装置４００〜ユーザ拠点３０までのネットワークを、ユーザ側のネットワークということがある。
【００６２】
トンネル処理部３１５は、ＥｔｈｅｒＩＰによるトンネル接続を終端する。具体的には、トンネル処理部３１５は、ＥｔｈｅｒＩＰによりカプセル化された通信データをネットワークＩＦ３１４から取得すると、該通信データからＥｔｈｅｒｎｅｔフレームを取出して、監視部３１６に出力する。また、トンネル処理部３１５は、監視部３１６から取得したＥｔｈｅｒｎｅｔフレームをＥｔｈｅｒＩＰによりカプセル化して、ネットワークＩＦ３１４に出力する。
【００６３】
監視部３１６は、Ｅｔｈｅｒｎｅｔフレームを監視して、ユーザ側のネットワークと仮想マシン側のネットワークの間の通信を制限する。監視部３１６は、フィルタ処理部３１６ａおよび不正アクセス検知部３１６ｂを有する。
【００６４】
フィルタ処理部３１６ａは、ルール記憶部３１１に記憶されたフィルタルールに基づいて宛先や送信元の情報およびポート番号などのフィルタリングを行う。
不正アクセス検知部３１６ｂは、ルール記憶部３１１に記憶されたＩＤＳルールに基づいて仮想マシン３２０，３２０ａに対する不正アクセスを検知する。不正アクセス検知部３１６ｂは、不正アクセスを検知すると、不正アクセスの対象となった仮想マシンを示す情報やポートの情報、通信の送信元／宛先などの情報とともに不正アクセスを検知した旨を制御装置１００に通知する。
【００６５】
ルール設定部３１７は、通信監視のためのルールを制御装置１００から受信して、ルール記憶部３１１に格納する。ルール設定部３１７は、ルール記憶部３１１に既存のルールが格納されている場合には、新たに受信したルールにより既存のルールを更新する。
【００６６】
監視部３１６およびルール設定部３１７は、専用の仮想ネットワークＩＦを備え、ネットワーク２１および制御装置１００と該仮想ネットワークＩＦで通信する。ただし、監視部３１６およびルール設定部３１７は、ネットワークＩＦ３１４を介して制御装置１００と通信してもよい。
【００６７】
なお、仮想ルータ３１０ａも仮想ルータ３１０と同様の機能構成により実現できる。
図６は、接続リストテーブルのデータ構造例を示す図である。接続リストテーブル１１１は、制御情報記憶部１１０に格納される。接続リストテーブル１１１には、ユーザＩＤ、ＳａａＳ種別およびネットワークＩＦを示す項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのユーザに関する情報を示す。
【００６８】
ユーザＩＤの項目には、ユーザＩＤが設定される。ユーザＩＤは、ユーザ拠点３０を運営する事業者を識別する情報である。ＳａａＳ種別の項目には、サービスを示す識別情報が設定される。ネットワークＩＦの項目には、仮想ルータ３１０，３１０ａにおける仮想マシン側のネットワークＩＦの識別情報が設定される。
【００６９】
ここで、ユーザ拠点３０を運営する事業者のユーザＩＤを“Ｕｓｅｒ１”とする。他のユーザ拠点を運営する事業者のユーザＩＤを“Ｕｓｅｒ２”とする。
また、仮想マシン３２０上で利用されているサービスのＳａａＳ種別を“ＳａａＳ１”とする。仮想マシン３２０ａ上で利用されているサービスのＳａａＳ種別を“ＳａａＳ２”とする。仮想マシン３２０ｂ上で利用されているサービスのＳａａＳの識別情報を“ＳａａＳ１”とする。
【００７０】
更に、ネットワークＩＦ３１２の識別情報を“ＩＦ−Ｓ１”とする。ネットワークＩＦ３１３の識別情報を“ＩＦ−Ｓ２”とする。仮想ルータ３１０ａ上の仮想マシン側の１つのネットワークＩＦの識別情報を“ＩＦ−Ｓ３”とする。例えば、ネットワークＩＦ３１１，３１２，３１３の識別情報は、各ＩＦの属するネットワーク上のＩＰアドレスとしてもよい。
【００７１】
例えば、接続リストテーブル１１１には、ユーザＩＤが“Ｕｓｅｒ１”、ＳａａＳ種別が“ＳａａＳ１”、ネットワークＩＦが“ＩＦ−Ｓ１”という情報が設定される。これは、ユーザ拠点３０を運営する事業者（“Ｕｓｅｒ１”）がＳａａＳ種別“ＳａａＳ１”のサービスを利用していることを示す。また、該サービスを利用するために仮想ルータ３１０上のネットワークＩＦ３１２（“ＩＦ−Ｓ１”）を介して通信していることを示す。
【００７２】
また、例えば、接続リストテーブル１１１には、ユーザＩＤが“Ｕｓｅｒ１”、ＳａａＳ種別が“ＳａａＳ２”、ネットワークＩＦが“ＩＦ−Ｓ２”という情報が設定される。これは、ユーザ拠点３０を運営する事業者（“Ｕｓｅｒ１”）がＳａａＳ種別“ＳａａＳ２”のサービスを利用していることを示す。また、該サービスを利用するために仮想ルータ３１０上のネットワークＩＦ３１３（“ＩＦ−Ｓ２”）を介して通信していることを示す。
【００７３】
また、例えば、接続リストテーブル１１１には、ユーザＩＤが“Ｕｓｅｒ２”、ＳａａＳ種別が“ＳａａＳ１”、ネットワークＩＦが“ＩＦ−Ｓ３”という情報が設定される。これは、他のユーザ拠点を運営する事業者（“Ｕｓｅｒ２”）がＳａａＳ種別“ＳａａＳ１”のサービスを利用していることを示す。また、該サービスを利用するために仮想ルータ３１０ａ上のネットワークＩＦ“ＩＦ−Ｓ３”を介して通信していることを示す。
【００７４】
図７は、フィルタ雛型テーブルのデータ構造例を示す図である。フィルタ雛型テーブル１１２，１１２ａは、ＳａａＳ種別ごとに生成され制御情報記憶部１１０に格納される。フィルタ雛型テーブル１１２は、ＳａａＳ種別“ＳａａＳ１”に対するフィルタルールの雛型である。フィルタ雛型テーブル１１２ａは、ＳａａＳ種別“ＳａａＳ２”に対するフィルタルールの雛型である。
【００７５】
以下では、フィルタ雛型テーブル１１２について説明する。フィルタ雛型テーブル１１２ａのデータ構造は、フィルタ雛型テーブル１１２と同一である。
フィルタ雛型テーブル１１２には、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび許可／禁止の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのフィルタルールの雛型を示す。
【００７６】
Ｆｒｏｍポートの項目には、送信元のポート番号が設定される。Ｔｏポートの項目には、宛先のポート番号が設定される。Ｐｒｏｔｏｃｏｌの項目には、プロトコルの種別が設定される。Ｆｒｏｍ−ＩＦの項目には、ユーザ側のネットワークと接続するネットワークＩＦの識別情報が設定される。Ｔｏ−ＩＦの項目には、仮想マシン側のネットワークと接続するネットワークＩＦの識別情報が設定される。許可／禁止の項目には、通信を許可するか禁止するかを示す情報が設定される。
【００７７】
例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“８０”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ（Transmission Control Protocol）”、Ｆｒｏｍ−ＩＦが“＜Ｌｏｃａｌ＞”、Ｔｏ−ＩＦが“＜Ｕｓｅｒ＞”、許可／禁止が“Ｐｅｒｍｉｔ”という情報が設定される。これは、仮想マシン側のネットワークからユーザ側のネットワークに対するポート番号８０でのＴＣＰによる通信（ＨＴＴＰ（Hypertext Transfer Protocol）の通信）を許可することを示す。
【００７８】
また、例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“８０”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ”、Ｆｒｏｍ−ＩＦが“＜Ｕｓｅｒ＞”、Ｔｏ−ＩＦが“＜Ｌｏｃａｌ＞”、許可／禁止が“Ｐｅｒｍｉｔ”という情報が設定される。これは、ユーザ側のネットワークから仮想マシン側のネットワークに対するポート番号８０でのＴＣＰによる通信（ＨＴＴＰの通信）を許可することを示す。
【００７９】
また、例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“＊”、Ｆｒｏｍ−ＩＦが“＜Ｌｏｃａｌ＞”、Ｔｏ−ＩＦが“＜Ｕｓｅｒ＞”、許可／禁止が“Ｄｅｎｙ”という情報が設定される。これは、仮想マシン側のネットワークからユーザ側のネットワークに対する全ての通信を禁止することを示す。
【００８０】
また、例えば、フィルタ雛型テーブル１１２には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“＊”、Ｐｒｏｔｏｃｏｌが“＊”、Ｆｒｏｍ−ＩＦが“＜Ｕｓｅｒ＞”、Ｔｏ−ＩＦが“＜Ｌｏｃａｌ＞”、許可／禁止が“Ｄｅｎｙ”という情報が設定される。これは、ユーザ側のネットワークから仮想マシン側のネットワークに対する全ての通信を禁止することを示す。
【００８１】
フィルタ雛型テーブル１１２では、上に記述されたルール程優先度が高い。すなわち、フィルタ雛型テーブル１１２によれば、ＨＴＴＰの通信は、ユーザ側のネットワークと仮想マシン側のネットワークとの双方向で許可されるが、それ以外の通信は全て遮断されることを示す。
【００８２】
仮想ルータは、フィルタ雛型テーブル１１２を取得すると、自身が備えるネットワークＩＦの識別情報をあてはめる。具体的には、“＜Ｌｏｃａｌ＞”には、該当のＳａａＳ種別のサービスを利用可能な仮想マシンと接続するネットワークＩＦの識別情報をあてはめる。“＜Ｕｓｅｒ＞”には、ユーザ側のネットワークと接続するネットワークＩＦの識別情報をあてはめる。
【００８３】
図８は、ＩＤＳルール雛型テーブルのデータ構造例を示す図である。ＩＤＳルール雛型テーブル１１３，１１３ａは、ＳａａＳ種別ごとに生成され制御情報記憶部１１０に格納される。ＩＤＳルール雛型テーブル１１３は、ＳａａＳ種別“ＳａａＳ１”に対するＩＤＳルールの雛型である。ＩＤＳルール雛型テーブル１１３ａは、ＳａａＳ種別“ＳａａＳ２”に対するＩＤＳルールの雛型である。
【００８４】
以下では、ＩＤＳルール雛型テーブル１１３について説明する。ＩＤＳルール雛型テーブル１１３ａのデータ構造は、ＩＤＳルール雛型テーブル１１３と同一である。
ＩＤＳルール雛型テーブル１１３には、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび検出文字列の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのフィルタルールを示す。ここで、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ，Ｆｒｏｍ−ＩＦおよびＴｏ−ＩＦの項目の内容は、図７で説明したフィルタ雛型テーブル１１２の同一名称の項目の内容と同様である。検出文字列の項目には、検出対象とする文字列が設定される。
【００８５】
例えば、ＩＤＳルール雛型テーブル１１３には、Ｆｒｏｍポートが“＊”、Ｔｏポートが“８０”、Ｐｒｏｔｏｃｏｌが“ＴＣＰ”、Ｆｒｏｍ−ＩＦが“＜Ｕｓｅｒ＞”、Ｔｏ−ＩＦが“＜Ｌｏｃａｌ＞”、検出文字列が“．．／．．”という情報が設定される。これは、ユーザ側のネットワークから仮想マシン側のネットワークに対するポート番号８０でのＴＣＰによる通信データ内に“．．／．．”の文字列が含まれる場合、異常を検知することを示す。
【００８６】
仮想ルータは、ＩＤＳルール雛型テーブル１１３を取得すると、自身が備えるネットワークＩＦの識別情報をあてはめる。具体的には、“＜Ｌｏｃａｌ＞”には、該当のＳａａＳ種別のサービスを利用可能な仮想マシンと接続するネットワークＩＦの識別情報をあてはめる。“＜Ｕｓｅｒ＞”には、ユーザ側のネットワークと接続するネットワークＩＦの識別情報をあてはめる。
【００８７】
図９は、フィルタテーブルのデータ構造例を示す図である。フィルタテーブル３１１ａは、ルール記憶部３１１に格納される。フィルタテーブル３１１ａは、フィルタ雛型テーブル１１２を仮想ルータ３１０に適用した場合を例示している。フィルタテーブル３１１ａには、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび許可／禁止の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのフィルタルールを示す。ここで、各項目の内容は、図７で説明したフィルタ雛型テーブル１１２の各項目の内容と同様である。
【００８８】
フィルタ雛型テーブル１１２とフィルタテーブル３１１ａでは、Ｆｒｏｍ−ＩＦおよびＴｏ−ＩＦの設定内容が相違する。フィルタテーブル３１１ａでは、フィルタ雛型テーブル１１２中“＜Ｌｏｃａｌ＞”であった箇所が、仮想マシン３２０と接続するネットワークＩＦ３１２の識別情報（“ＩＦ−Ｓ１”）に置換されている。また、フィルタテーブル３１１ａでは、フィルタ雛型テーブル１１２中“＜Ｕｓｅｒ＞”であった箇所が、ネットワークＩＦ３１４の識別情報（“ＩＦ−Ｕ１”）に置換されている。
【００８９】
フィルタ処理部３１６ａは、フィルタテーブル３１１ａを参照して、フィルタリングを行う。
図１０は、ＩＤＳルールテーブルのデータ構造例を示す図である。ＩＤＳルールテーブル３１１ｂは、ルール記憶部３１１に格納される。ＩＤＳルールテーブル３１１ｂは、ＩＤＳルール雛型テーブル１１３を仮想ルータ３１０に適用した場合を例示している。ＩＤＳルールテーブル３１１ｂには、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび検出文字列の項目が設けられている。各項目の横方向に並べられた情報同士が互いに関連付けられて、１つのＩＤＳルールを示す。ここで、Ｆｒｏｍポート、Ｔｏポート、Ｐｒｏｔｏｃｏｌ、Ｆｒｏｍ−ＩＦ、Ｔｏ−ＩＦおよび検出文字列の項目の内容は、図８で説明したＩＤＳルール雛型テーブル１１３の同一名称の項目の内容と同様である。
【００９０】
ＩＤＳルール雛型テーブル１１３とＩＤＳルールテーブル３１１ｂでは、Ｆｒｏｍ−ＩＦおよびＴｏ−ＩＦの設定内容が相違する。ＩＤＳルールテーブル３１１ｂでは、ＩＤＳルール雛型テーブル１１３中“＜Ｌｏｃａｌ＞”であった箇所が、仮想マシン３２０と接続するネットワークＩＦ３１２の識別情報（“ＩＦ−Ｓ１”）に置換されている。また、ＩＤＳルールテーブル３１１ｂでは、ＩＤＳルール雛型テーブル１１３中“＜Ｕｓｅｒ＞”であった箇所が、ネットワークＩＦ３１４の識別情報（“ＩＦ−Ｕ１”）に置換されている。
【００９１】
不正アクセス検知部３１６ｂは、ＩＤＳルールテーブル３１１ｂを参照して、不正アクセスの検知を行う。
次に、以上の構成の情報処理システムの処理手順を説明する。
【００９２】
図１１は、仮想マシン起動時の処理を示すフローチャートである。以下、図１１に示す処理をステップ番号に沿って説明する。
［ステップＳ１１］通信処理部５１０は、ルータ装置５００がネットワーク１０と物理的に接続されると（例えば、ＷＡＮ（Wide Area Network）ポートをネットワーク線で接続）、既定の接続情報によりネットワーク１０との接続を確立する。更に、通信処理部５１０は、既定の接続情報によりゲートウェイ装置４００との間のＩＰ−ＶＰＮ接続を初期設定用に確立する。既定の接続情報は、例えば、ネットワーク１０とＰＰＰｏＥ接続するためのＩＤやパスワード、ＩＰ−ＶＰＮグループの情報などを含むものであり、ルータ装置５００の工場出荷時などにルータ装置５００が備えるメモリに記録される。なお、ゲートウェイ装置４００は、ネットワーク１０との間で少なくとも１つのＰＰＰｏＥ接続を、初期設定用に常時開設している。
【００９３】
［ステップＳ１２］通信処理部５１０は、制御装置１００に接続通知を行う。接続通知には、起動する仮想マシンの情報（例えば、ＯＳの種別、ＣＰＵの性能、メモリやＨＤＤの容量などを指定する情報）およびユーザの識別情報が含まれる。仮想マシンの情報は、ルータ装置５００の工場出荷時などにルータ装置５００が備えるメモリに記録される。接続通知には、例えば、ＨＴＴＰのリクエストを利用できる。具体的には、通信処理部５１０は、制御装置１００のＵＲＬ（Uniform Resource Locator）を指定したＨＴＴＰのＰＵＴリクエストを利用して、起動する仮想マシンの情報を含む接続通知を行う。接続制御部１２０は、ルータ装置５００から接続通知を受信する。例えば、接続制御部１２０は、Ｗｅｂサーバ機能を有し、ルータ装置５００がＨＴＴＰリクエストとして送信した接続通知を受信する。
【００９４】
［ステップＳ１３］接続制御部１２０は、起動制御部２２０に対して実運用で利用する接続を確立するためのゲートウェイ装置の割り当てを依頼する。また、接続制御部１２０は、接続通知で指定された仮想マシンの要件を満たせる実行サーバ装置の割り当てを依頼する。起動制御部２２０は、管理情報記憶部２１０を参照して、該ユーザに対して、ゲートウェイ装置および実行サーバ装置の割り当てを行う。例えば、起動制御部２２０は、該ユーザに対してゲートウェイ装置４００および実行サーバ装置３００を割り当てたとする。接続制御部１２０は、ゲートウェイ装置４００とルータ装置５００との間のＩＰ−ＶＰＮ接続を確立する。
【００９５】
［ステップＳ１４］起動制御部２２０は、実行サーバ装置３００に仮想マシン３２０と、該仮想マシンに対する通信を中継させるための仮想ルータ３１０を起動させる。起動制御部２２０は、仮想ルータ３１０および仮想マシン３２０の起動が完了したことを実行サーバ装置３００に確認すると、接続制御部１２０にその旨を通知する。ここで、起動された仮想ルータ３１０および仮想マシン３２０が該ユーザに割り当てられる。
【００９６】
［ステップＳ１５］接続制御部１２０は、ステップＳ１４で起動された仮想ルータ３１０とルータ装置５００との間のＬ２ＶＰＮ接続を確立する。接続制御部１２０は、Ｌ２ＶＰＮ接続を確立した後、ゲートウェイ装置４００とルータ装置５００との間の初期設定用のＩＰ−ＶＰＮ接続を切断させる。また、ルータ装置５００とネットワーク１０との間の初期設定用のＰＰＰｏＥ接続を切断させる。
【００９７】
［ステップＳ１６］接続制御部１２０は、ルータ装置５００からユーザが選択したサービスを受け付ける。
［ステップＳ１７］接続制御部１２０は、ステップＳ１４で該ユーザに割り当てた仮想マシン上で、ユーザが選択したサービスを利用可能とする旨のサービス選択指示を、起動制御部２２０に通知する。起動制御部２２０は、指示されたサービスを利用するためのソフトウェアを該ユーザに割り当てた仮想マシンに実行させる。
【００９８】
［ステップＳ１８］接続制御部１２０は、ユーザに割り当てた仮想マシンにつきユーザが選択したサービスの識別情報をルール管理部１３０に通知する。ルール管理部１３０は、制御情報記憶部１１０を参照して、該サービスのＳａａＳ種別に対応するＩＤＳルールの雛型を選択する。例えば、ＳａａＳ種別“ＳａａＳ１”であれば、ＩＤＳルール雛型テーブル１１３を選択する。
【００９９】
［ステップＳ１９］ルール管理部１３０は、ステップＳ１４で起動された仮想ルータ３１０に対して選択したＩＤＳルール雛型を送信する。このとき、ルール管理部１３０は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０と接続するネットワークＩＦ（雛型の＜Ｌｏｃａｌ＞に相当する設定）がネットワークＩＦ３１２であることを仮想ルータ３１０に通知する。
【０１００】
［ステップＳ２０］ルール設定部３１７は、ＩＤＳルール雛型の宛先や送信元を示す箇所を、自身のネットワークＩＦ３１２，３１４の識別情報に変換してルール記憶部３１１に格納する。ルール設定部３１７は、設定が完了した旨を制御装置１００に通知する。
【０１０１】
［ステップＳ２１］ルール管理部１３０は、仮想ルータ３１０からルール設定が完了した旨の通知を受信する。
［ステップＳ２２］接続制御部１２０は、制御情報記憶部１１０に記憶された接続リストテーブル１１１を更新する。具体的には、接続制御部１２０は、新たに起動した仮想マシン３２０上のサービスのＳａａＳ種別の情報および仮想ルータ３１０上のネットワークＩＦの情報をユーザＩＤに対応付けて接続リストテーブル１１１に記録する。
【０１０２】
このようにして、接続制御部１２０は、ルータ装置５００から接続通知を受信すると、仮想マシン管理装置２００に仮想ルータ３１０および仮想マシン３２０の起動を依頼する。接続制御部１２０は、ルータ装置５００と仮想ルータ３１０との間のＬ２ＶＰＮ接続を確立する。接続制御部１２０は、仮想ルータ３１０にＩＤＳルールの雛型を送信する。これにより、仮想ルータ３１０にデフォルトのＩＤＳルールが設定される。
【０１０３】
次に、仮想マシン起動時の処理の流れの具体例を説明する。
図１２は、仮想マシン起動時の処理を示すシーケンス図である。以下、図１２に示す処理をステップ番号に沿って説明する。
【０１０４】
［ステップＳＴ１０１］ルータ装置５００は、ネットワーク１０に接続する。すると、ルータ装置５００は、既定のＩＤおよびパスワードにより、ＰＰＰｏＥ認証を行い、ＰＰＰｏＥ網に接続する。また、ルータ装置５００は、既定のＩＰ−ＶＰＮグループ情報により、ゲートウェイ装置４００との間のＩＰ−ＶＰＮ接続を確立する。
【０１０５】
［ステップＳＴ１０２］ルータ装置５００は、制御装置１００に接続通知を送信する。接続通知には、起動する仮想マシンの情報やユーザＩＤが含まれる。
［ステップＳＴ１０３］ルータ装置５００は、該ユーザに対する実行サーバ装置およびゲートウェイ装置の割り当てを、仮想マシン管理装置２００に依頼する。
【０１０６】
［ステップＳＴ１０４］仮想マシン管理装置２００は、実行サーバ装置３００およびゲートウェイ装置４００を割り当てると、割当結果を制御装置１００に通知する。
［ステップＳＴ１０５］制御装置１００は、ＩＰ−ＶＰＮ用のＰＰＰｏＥ接続情報（ＩＤおよびパスワード）とＩＰ−ＶＰＮグループの接続情報とを、２組分、通信事業者サーバ装置７００から取得する。制御装置１００は、そのうちの１組をルータ装置５００に送信する。
【０１０７】
［ステップＳＴ１０６］制御装置１００は、ステップＳＴ１０５で取得したＰＰＰｏＥ接続情報およびＩＰ−ＶＰＮグループの接続情報のうちのもう一方の１組をゲートウェイ装置４００に送信する。
【０１０８】
［ステップＳＴ１０７］ルータ装置５００およびゲートウェイ装置４００は、制御装置１００から受信したＰＰＰｏＥ接続情報とＩＰ−ＶＰＮグループの情報により、ＩＰ−ＶＰＮ接続を確立する。
【０１０９】
［ステップＳＴ１０８］制御装置１００は、仮想マシン管理装置２００に、仮想マシンおよび仮想ルータの起動指示を送信する。
［ステップＳＴ１０９］仮想マシン管理装置２００は、割り当てた実行サーバ装置３００に対して、仮想ルータ３１０および仮想マシン３２０の起動を指示する。
【０１１０】
［ステップＳＴ１１０］実行サーバ装置３００は、仮想ルータ３１０および仮想マシン３２０の起動が完了すると、仮想マシン管理装置２００に起動完了を通知する。
［ステップＳＴ１１１］仮想マシン管理装置２００は、実行サーバ装置３００上で、仮想ルータ３１０および仮想マシン３２０の起動が完了した旨を、制御装置１００に通知する。
【０１１１】
［ステップＳＴ１１２］制御装置１００は、仮想ルータ３１０およびルータ装置５００の間のＬ２ＶＰＮ接続を確立する。具体的には、制御装置１００は仮想ルータ３１０のＩＰアドレスをルータ装置５００に送信して、該ＩＰアドレスに対するＥｔｈｅｒｎｅｔフレームのＥｔｈｅｒＩＰによるカプセル化のための設定を行わせる。また、制御装置１００は、ルータ装置５００のＩＰアドレスを仮想ルータ３１０に送信して、該ＩＰアドレスに対するＥｔｈｅｒｎｅｔフレームのＥｔｈｅｒＩＰによるカプセル化のための設定を行わせる。制御装置１００は、Ｌ２ＶＰＮ接続が確立されると、ステップＳＴ１０１で確立された初期設定用のＩＰ−ＶＰＮ接続や初期設定用のＰＰＰｏＥ接続を切断させる。
【０１１２】
［ステップＳＴ１１３］クライアント装置６００は、ルータ装置５００が提供するインタフェースにしたがって、仮想マシン３２０上で利用したいサービスを選択する。すると、ルータ装置５００は、ゲートウェイ装置４００を介して制御装置１００に該サービスの選択内容を通知する。
【０１１３】
［ステップＳＴ１１４］制御装置１００は、選択されたサービスを仮想マシン３２０上で利用可能とする旨のサービス選択指示を、仮想マシン管理装置２００に送信する。仮想マシン管理装置２００は、該サービス選択指示に基づいて、仮想マシン３２０に該サービスを利用するためのソフトウェアを実行させる（サービス起動指示）。
【０１１４】
［ステップＳＴ１１５］制御装置１００は、選択されたサービスのＳａａＳ種別に対応するＩＤＳルールの雛型を選択して、仮想マシン３２０の通信を中継する仮想ルータ３１０に送信する。
【０１１５】
［ステップＳＴ１１６］仮想ルータ３１０は、該ＩＤＳルールの雛型に基づいてＩＤＳルールを設定すると、設定完了の旨を制御装置１００に通知する。
［ステップＳＴ１１７］制御装置１００は、制御情報記憶部１１０に記憶された接続リストテーブル１１１を更新する。
【０１１６】
［ステップＳＴ１１８］クライアント装置６００は、実行サーバ装置３００上の仮想マシン３２０にアクセスして、選択したサービスの利用が可能となる。
このようにして、制御装置１００は、ルータ装置５００とゲートウェイ装置４００との間で確立された初期設定用のＩＰ−ＶＰＮ接続により、ルータ装置５００から接続通知を受け付ける。制御装置１００は、通信事業者サーバ装置７００より、実運用で用いるためのＩＰ−ＶＰＮ接続のための情報を取得し、ルータ装置５００とゲートウェイ装置４００との間で該ＩＰ−ＶＰＮ接続を確立させる。制御装置１００は、仮想ルータ３１０が起動すると、仮想ルータ３１０とルータ装置５００との間のＬ２ＶＰＮ接続を確立させる。そして、制御装置１００は、仮想ルータ３１０に選択されたサービスに応じたデフォルトのＩＤＳルールを設定させる。なお、ＩＤＳルールに加えてデフォルトのフィルタルールを設定させてもよい。また、デフォルトのフィルタルールで、全ての通信を許可する設定をしておいてもよい。
【０１１７】
次に、運用中に仮想マシン３２０に対する不正アクセスが検知された場合の処理を説明する。
図１３は、不正アクセス検知時の処理を示すフローチャートである。以下、図１３に示す処理をステップ番号に沿って説明する。
【０１１８】
［ステップＳ３１］不正アクセス検知部３１６ｂは、ルール記憶部３１１に記憶されたＩＤＳルールに基づいて、仮想マシン３２０に対する不正アクセスを検知する。不正アクセス検知部３１６ｂは、仮想マシン３２０に対する不正アクセスを検知した旨を、制御装置１００に通知する。ルール管理部１３０は、該通知を受け付ける。
【０１１９】
［ステップＳ３２］ルール管理部１３０は、仮想マシン３２０のフィルタ雛型テーブル１１２を変更する。例えば、ルール管理部１３０は、不正アクセスが発生した旨をシステム管理者に通知する。そして、ルール管理部１３０は、システム管理者によるフィルタ雛型テーブル１１２の変更や再設定指示の入力を受け付けて、フィルタ雛型テーブル１１２を変更する。ルール管理部１３０は、システム管理者が該変更や指示の入力を行うためのＧＵＩ（Graphical User Interface）をモニタ１１に表示させてもよい。また、例えば、ルール管理部１３０は、制御情報記憶部１１０に予め格納された緊急時用のフィルタルールで、フィルタ雛型テーブル１１２を変更してもよく、該変更後に、以下に示すフィルタの再設定を行ってもよい。
【０１２０】
［ステップＳ３３］ルール管理部１３０は、制御情報記憶部１１０に記憶された接続リストテーブル１１１を参照して、仮想マシン３２０のＳａａＳ種別“ＳａａＳ１”に対応するユーザＩＤを特定する。接続リストテーブル１１１の例によれば、ＳａａＳ種別“ＳａａＳ１”に対応するユーザＩＤとして、“Ｕｓｅｒ１”および“Ｕｓｅｒ２”が設定されている。ルール管理部１３０は、ユーザＩＤ“Ｕｓｅｒ１”および“Ｕｓｅｒ２”を特定する。
【０１２１】
［ステップＳ３４］ルール管理部１３０は、接続リストテーブル１１１を参照して、ステップＳ３３で特定したユーザＩＤに対応するネットワークＩＦを特定する。接続リストテーブル１１１の例によれば、ルール管理部１３０は、ネットワークＩＦ“ＩＦ−Ｓ１”、“ＩＦ−Ｓ２”および“ＩＦ−Ｓ３”を特定する。ルール管理部１３０は、ネットワークＩＦの識別情報から仮想ルータ３１０，３１０ａを特定する。例えば、ネットワークＩＦの識別情報がＩＰアドレスで示されていれば、該ＩＰアドレスにより仮想ルータ３１０，３１０ａを特定できる。また、例えば、ルール管理部１３０は、起動制御部２２０にネットワークＩＦの識別情報を通知して、該ネットワークＩＦを有する仮想ルータが何れの実行サーバ装置で実行されているものか問い合わせてもよい。
【０１２２】
［ステップＳ３５］ルール管理部１３０は、ステップＳ３２で変更されたフィルタ雛型をステップＳ３４で特定した仮想ルータ３１０，３１０ａに送信する。このとき、ルール管理部１３０は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０と接続するネットワークＩＦ（雛型の＜Ｌｏｃａｌ＞に相当する設定）がネットワークＩＦ３１２であることを仮想ルータ３１０に通知する。また、ルール管理部１３０は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０ｂと接続するネットワークＩＦ（雛型の＜Ｌｏｃａｌ＞に相当する設定）が“ＩＦ−Ｓ３”のネットワークＩＦであることを仮想ルータ３１０ａに通知する。
【０１２３】
［ステップＳ３６］ルール設定部３１７は、ルール管理部１３０から受信したフィルタ雛型の“＜Ｌｏｃａｌ＞”の箇所をネットワークＩＦ３１２の識別情報に置換する。ルール設定部３１７は、フィルタ雛型の“＜Ｕｓｅｒ＞”の箇所をネットワークＩＦ３１４の識別情報に置換する。ルール設定部３１７は、置換により生成したフィルタルールでルール記憶部３１１に格納された既存のフィルタテーブル３１１ａを更新する。フィルタ処理部３１６ａは、更新後のフィルタテーブル３１１ａによりフィルタリングを行う。また、同様にして、仮想ルータ３１０ａは、ルール管理部１３０が送信したフィルタ雛型に基づきフィルタルールを生成し、フィルタリングに利用する。
【０１２４】
［ステップＳ３７］ルール設定部３１７は、ルール管理部１３０にフィルタ設定が完了した旨を通知する。ルール管理部１３０は、該通知を受け付ける。
このようにして、ルール管理部１３０は、仮想マシン３２０に対する不正アクセスが発生すると、仮想マシン３２０を利用するユーザのユーザＩＤから該ユーザが利用可能な仮想マシン３２０ｂを特定する。そして、実際に不正アクセスを検知した仮想ルータ３１０だけでなく、仮想マシン３２０ｂに対応する仮想ルータ３１０ａに対しても、変更後のフィルタルールを設定させる。
【０１２５】
なお、ステップＳ３２において、ルール管理部１３０は、管理者によるフィルタ雛型テーブル１１２の変更を受け付ける、または、予め用意されたフィルタ雛型でフィルタ雛型テーブル１１２の内容を変更することを例示した。他の例として、ルール管理部１３０は、不正アクセスの内容に基づいて、新たなフィルタ雛型を生成してもよい。具体的には、不正アクセスのあったポートを不正アクセス検知部３１６ｂから取得し、該ポートに対するフィルタ雛型を生成して、生成したフィルタ雛型のルールを追加することで、フィルタ雛型テーブル１１２を変更してもよい。このとき、ユーザ側／仮想マシン側のネットワークの双方向（あるいは、一方向）の通信につき不正アクセスのあった該ポートに対するフィルタ雛型を生成するようにしてもよい。例えば、ルール管理部１３０は、ＳＳＨ（ポート番号２２）に対する不正アクセスが検知された場合に、該ポート番号２２に対して、ユーザ側／仮想マシン側のネットワークの双方向（あるいは、一方向）の通信を禁止するフィルタ雛型を生成してもよい。
【０１２６】
また、ステップＳ３２において、ルール管理部１３０がフィルタルールの変更を行うものとしたが、同様にして該変更を行う変更部を別個に設けてもよい。
次に、不正アクセス検知時の処理の流れの具体例を説明する。
【０１２７】
図１４は、不正アクセス検知時の処理を示すシーケンス図である。以下、図１４に示す処理をステップ番号に沿って説明する。以下に示す手順の直前では不正アクセスを受けるポートへのフィルタが未設定あるいは該ポートへの通信が許可されているとする。
【０１２８】
［ステップＳＴ１２１］仮想ルータ３１０は、実行サーバ装置３００上の仮想マシン３２０に対するクライアント装置６００ａからの所定のポート（例えば、ｆｔｐ、Ｔｅｌｎｅｔ、ＳＳＨおよびＶＮＣなど）に対する不正アクセスを検知する。
【０１２９】
［ステップＳＴ１２２］仮想ルータ３１０は、仮想マシン３２０（ＳａａＳ種別“ＳａａＳ１”）に対する不正アクセスを検知した旨を制御装置１００に通知する。
［ステップＳＴ１２３］制御装置１００は、制御情報記憶部１１０に記憶されたフィルタ雛型テーブル１１２（ＳａａＳ種別“ＳａａＳ１”に対応）の設定内容を変更する。フィルタ雛型テーブル１１２が変更された結果、図７で示した設定内容になったとする。
【０１３０】
［ステップＳＴ１２４］制御装置１００は、制御情報記憶部１１０に記憶された接続リストテーブル１１１を参照して、仮想マシン３２０を利用するユーザのユーザＩＤ“Ｕｓｅｒ１”、“Ｕｓｅｒ２”を特定する。制御装置１００は、該ユーザＩＤおよびＳａａＳ種別に対応するネットワークＩＦ“ＩＦ−Ｓ１”、“ＩＦ−Ｓ３”を特定する。更に、制御装置１００は、各ネットワークＩＦを有する仮想ルータ３１０，３１０ａを特定する。
【０１３１】
［ステップＳＴ１２５］制御装置１００は、実行サーバ装置３００上の仮想ルータ３１０に対して変更後のフィルタ雛型を送信する。このとき、制御装置１００は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０が接続されたネットワークＩＦが“ＩＦ−Ｓ１”であることを仮想ルータ３１０に通知する。仮想ルータ３１０は、受信したフィルタ雛型に自身が備えるインタフェースＩＦの情報をあてはめ、自身のフィルタルールとして設定する。
【０１３２】
［ステップＳＴ１２６］制御装置１００は、実行サーバ装置３００ａ上の仮想ルータ３１０ａに対して変更後のフィルタ雛型を送信する。このとき、制御装置１００は、ＳａａＳ種別“ＳａａＳ１”のサービスを利用可能な仮想マシン３２０ｂが接続されたネットワークＩＦが“ＩＦ−Ｓ３”であることを仮想ルータ３１０ａに通知する。仮想ルータ３１０ａは、受信したフィルタ雛型に自身が備えるインタフェースＩＦの情報をあてはめ、自身のフィルタルールとして設定する。
【０１３３】
［ステップＳＴ１２７］仮想ルータ３１０は、フィルタの設定が完了した旨を制御装置１００に通知する。図７の設定内容によれば、仮想ルータ３１０では、ユーザ側／仮想マシン側のネットワーク間でＨＴＴＰ通信のみが許可される。
【０１３４】
［ステップＳＴ１２８］仮想ルータ３１０ａは、フィルタの設定が完了した旨を制御装置１００に通知する。図７の設定内容によれば、仮想ルータ３１０ａでは、仮想ルータ３１０と同様にユーザ側／仮想マシン側のネットワーク間でＨＴＴＰ通信のみが許可される。
【０１３５】
［ステップＳＴ１２９］クライアント装置６００ａは、実行サーバ装置３００上の仮想マシン３２０に対して、所定のポート（ｆｔｐなど）で不正アクセスを試みる。仮想ルータ３１０は、変更後のフィルタルールにより、該ポートに対する不正アクセスを遮断する。
【０１３６】
［ステップＳＴ１３０］クライアント装置６００ａは、実行サーバ装置３００ａ上の仮想マシン３２０ｂに対して、ステップＳＴ１２９と同様に不正アクセスを試みる。仮想ルータ３１０ａは、変更後のフィルタルールにより、該ポートに対する不正アクセスを遮断する。
【０１３７】
このようにして、制御装置１００は、仮想ルータ３１０，３１０ａに変更後のフィルタルールを設定させる。これにより、仮想マシン３２０，３２０ｂに対するクライアント装置６００ａからの不正アクセスが仮想ルータ３１０，３１０ａで遮断される。なお、ルール管理部１３０は、同一の実行サーバ装置上の異なるユーザの仮想ルータそれぞれに対して変更後のルールを送信することもある。その場合には、ルール管理部１３０は、該サービスを利用可能な仮想マシンと接続する該ユーザごとの仮想ルータ上のネットワークＩＦを指定して、同一の実行サーバ装置上の各仮想ルータに変更後のルールを送信する。
【０１３８】
また、クライアント装置６００も仮想ルータ３１０，３１０ａを介して仮想マシン３２０，３２０ｂにアクセスする。このため、悪意のあるユーザがクライアント装置６００を利用して仮想マシン３２０，３２０ｂに不正アクセスしようとしても、該アクセスは同様に遮断される。
【０１３９】
これにより、各仮想マシンに対する通信監視のルールを容易に設定可能となる。具体的には、それぞれの仮想ルータに対する設定作業を省けるので、作業負担を軽減できる。更に、変更後のルールを複数の仮想ルータで共用するので、個別に設定する場合に比べ、誤設定によるセキュリティ低下のリスクを軽減できる。
【０１４０】
また、不正アクセスに容易に対処可能となる。具体的には、実際に不正アクセスを受けた仮想マシンだけでなく、不正アクセスを受ける可能性のある他の仮想マシンに対しても、不正アクセスへの事前の対応が可能となる。また、複数の仮想マシンに対して、変更後のルールを一括して設定させることで、不正アクセスへの迅速な対処が可能となる。
【０１４１】
特に、第２の実施の形態で示したように、ユーザごとに割り当てられた複数の仮想マシンでサービスを提供する情報処理システムでは、該複数の仮想マシンに対して、該サービスのセキュリティホールなどを狙った同一手法の不正アクセスを受け易い。そこで、制御装置１００のように、サービスごとに定義された通信監視のルールを、該サービスを利用するユーザに対する仮想ルータに一括して送信する。これにより、該不正アクセスに対して、容易かつ効率的に対処可能となる。
【０１４２】
なお、フィルタ雛型テーブル１１２の設定によって、ユーザ側／仮想マシン側のネットワーク間の通信を一層厳しく制限することもできる。例えば、図７の例では、ＨＴＴＰ通信のみを許可するものとしたが、全ての通信を禁止するよう設定してもよい。具体的には、図７で示したフィルタ雛型テーブル１１２において、許可／禁止の項目に“Ｐｅｒｍｉｔ”の設定された２つのレコードを削除し、該項目が“Ｄｅｎｙ”の２つのレコードを残せば、全ての通信を遮断する設定が可能である。これにより、不正アクセス検知時のセキュリティを一層高めることができる。
【０１４３】
また、第２の実施の形態では、フィルタルールを変更するものとしたが、ＩＤＳルールを変更してもよい。例えば、不正アクセスなどに伴って、ＩＤＳルール雛型テーブル１１３が変更されたときに、変更後のＩＤＳルール雛型を図１３と同様の手順によって各仮想ルータに送信してもよい。このようにすれば、各仮想マシンに対する不正アクセスを容易に検出可能となる。
【０１４４】
また、不正アクセス検知部３１６ｂは、ＩＤＳの機能を有するものとしたがＩＰＳの機能を有してもよい。
また、第２の実施の形態では、ネットワーク１０として通信事業者の管理するＩＰ網を例示したが、ネットワーク１０として例えばインターネット網を利用してもよい。その場合、制御装置１００は、仮想ルータとルータ装置５００との間でインターネットＶＰＮによる接続を確立させる。例えば、制御装置１００は、ＧＲＥ（Generic Routing Encapsulation）により、両者間のトンネル接続を確立させることもできる。
【符号の説明】
【０１４５】
１，２，３ 情報処理装置
１ａ 記憶部
１ｂ 制御部
２ａ，３ａ 仮想ルータ
２ｂ，３ｂ 仮想マシン
【特許請求の範囲】
【請求項１】
仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信する情報処理装置であって、
仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部と、
前記記憶部に記憶された通信監視のルールが変更されると、前記記憶部を参照して、該ルールに対応するサービスを利用するユーザを特定し、該ユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の該ルールを送信し、該ルールに基づく監視を行わせる制御部と、
を有する情報処理装置。
【請求項２】
仮想ルータから該仮想ルータが通信を中継する仮想マシン上のサービスに対する不正アクセスを検知した旨の通知を受けたときに、前記記憶部に記憶された前記サービスに対する通信監視のルールを変更する変更部を有する、請求項１記載の情報処理装置。
【請求項３】
前記変更部は、前記記憶部に予め記憶されたサービスごとの変更用ルールに基づいて、不正アクセスのあったサービスに対する通信監視のルールを変更する、請求項２記載の情報処理装置。
【請求項４】
前記変更後のルールは、所定の通信を制限するためのルールである、請求項１乃至３の何れか一項に記載の情報処理装置。
【請求項５】
仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信するコンピュータに、
仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部に記憶された通信監視のルールが変更されると、前記記憶部を参照して、該通信監視のルールに対応するサービスを利用するユーザを特定し、
特定した前記ユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の前記通信監視のルールを送信し、該ルールに基づく監視を行わせる、
処理を実行させる情報処理プログラム。
【請求項６】
仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信する情報処理装置が実行する管理方法であって、
仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部に記憶された通信監視のルールが変更されると、前記記憶部を参照して、該通信監視のルールに対応するサービスを利用するユーザを特定し、
特定した前記ユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の前記通信監視のルールを送信し、該ルールに基づく監視を行わせる、
管理方法。
【請求項１】
仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信する情報処理装置であって、
仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部と、
前記記憶部に記憶された通信監視のルールが変更されると、前記記憶部を参照して、該ルールに対応するサービスを利用するユーザを特定し、該ユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の該ルールを送信し、該ルールに基づく監視を行わせる制御部と、
を有する情報処理装置。
【請求項２】
仮想ルータから該仮想ルータが通信を中継する仮想マシン上のサービスに対する不正アクセスを検知した旨の通知を受けたときに、前記記憶部に記憶された前記サービスに対する通信監視のルールを変更する変更部を有する、請求項１記載の情報処理装置。
【請求項３】
前記変更部は、前記記憶部に予め記憶されたサービスごとの変更用ルールに基づいて、不正アクセスのあったサービスに対する通信監視のルールを変更する、請求項２記載の情報処理装置。
【請求項４】
前記変更後のルールは、所定の通信を制限するためのルールである、請求項１乃至３の何れか一項に記載の情報処理装置。
【請求項５】
仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信するコンピュータに、
仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部に記憶された通信監視のルールが変更されると、前記記憶部を参照して、該通信監視のルールに対応するサービスを利用するユーザを特定し、
特定した前記ユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の前記通信監視のルールを送信し、該ルールに基づく監視を行わせる、
処理を実行させる情報処理プログラム。
【請求項６】
仮想マシンおよび該仮想マシンの通信を中継する仮想ルータが動作可能な少なくとも１つの他の情報処理装置と通信する情報処理装置が実行する管理方法であって、
仮想マシン上で実行可能なサービスを示す情報と該サービスを利用するユーザを示す情報との対応関係、および、サービスごとに定義された、仮想ルータによる通信監視のルールを記憶する記憶部に記憶された通信監視のルールが変更されると、前記記憶部を参照して、該通信監視のルールに対応するサービスを利用するユーザを特定し、
特定した前記ユーザに割り当てられた仮想マシンの通信を中継する仮想ルータに、変更後の前記通信監視のルールを送信し、該ルールに基づく監視を行わせる、
管理方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【公開番号】特開２０１３−１７０７７（Ｐ２０１３−１７０７７Ａ）
【公開日】平成２５年１月２４日（２０１３．１．２４）
【国際特許分類】
【出願番号】特願２０１１−１４９１２３（Ｐ２０１１−１４９１２３）
【出願日】平成２３年７月５日（２０１１．７．５）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
【公開日】平成２５年１月２４日（２０１３．１．２４）
【国際特許分類】
【出願日】平成２３年７月５日（２０１１．７．５）
【出願人】（０００００５２２３）富士通株式会社 (25,993)
【Ｆターム（参考）】
[ Back to top ]