検疫ネットワークシステム及び検疫方法
【課題】検疫ネットワークにおける安全性を確保しつつ、検疫ネットワークに隔離されている仮想端末へのリモート端末からのアクセスを可能にし得る、検疫ネットワークシステム、及び検疫方法を提供する。
【解決手段】検疫ネットワークシステム１０は、仮想端末７２０〜７４０とリモート端末１００との通信経路に設置される中継装置４００と、セキュリティポリシーへの適合を判定する、検疫サーバ５００と、適合しない仮想端末を検疫ネットワークに接続させる端末隔離装置７１０とを備える。検疫サーバ５００は、適合しない仮想端末の業務ネットワークでのＩＰアドレス、検疫ネットワークでのＩＰアドレス、許可される特定のポートを中継装置４００に通知する。中継装置４００は、通知を受けると、リモート端末から送信されたＩＰパケットの送信先のＩＰアドレスを検疫ネットワークでのＩＰアドレスに変換し、特定のポートを用いた通信のみを許可する。
【解決手段】検疫ネットワークシステム１０は、仮想端末７２０〜７４０とリモート端末１００との通信経路に設置される中継装置４００と、セキュリティポリシーへの適合を判定する、検疫サーバ５００と、適合しない仮想端末を検疫ネットワークに接続させる端末隔離装置７１０とを備える。検疫サーバ５００は、適合しない仮想端末の業務ネットワークでのＩＰアドレス、検疫ネットワークでのＩＰアドレス、許可される特定のポートを中継装置４００に通知する。中継装置４００は、通知を受けると、リモート端末から送信されたＩＰパケットの送信先のＩＰアドレスを検疫ネットワークでのＩＰアドレスに変換し、特定のポートを用いた通信のみを許可する。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータネットワークに接続された機器、特には仮想化された機器の検疫を行なうための、検疫ネットワークシステム及び検疫方法に関する。
【０００２】
近年、ＩＴ技術の発展により、コンピュータネットワークが急速に普及している。そして、コンピュータネットワークが普及するにつれて、企業で扱っている個人情報及び機密情報の情報漏えいが問題となっている。この情報漏えい対策として、検疫ネットワークシステムが注目されている。
【０００３】
検疫ネットワークシステムは、組織内のネットワークに接続されている端末に対して、ＯＳ（Operating System）及びアプリケーションソフトのセキュリティパッチの適用状態、ウイルス対策ソフトのパターンファイルの更新状況などをチェックし、組織のセキュリティポリシーを満たしているかどうかを判定する。そして、判定の結果、セキュリティポリシーを満たしていない場合は、検疫ネットワークシステムは、この端末を、検疫ネットワークに隔離する。このように、検疫ネットワークシステムによれば、組織内のネットワークのセキュリティレベルを保つことができる。
【０００４】
また、近年では、ハードウェアリソースの有効活用及び省エネ等の観点から、仮想化技術の普及が進んでいる。仮想化技術では、仮想環境において、仮想的な端末（以下、「仮想端末」と表記する）が作成される。そして、ユーザは、ＰＣ（Personal Computer）及びシンクライアント端末等のリモート端末を介して、仮想端末内のアプリケーションソフト及びファイルに、リモートアクセスを行うことができる。
【０００５】
更に、このような仮想端末においても、セキュリティポリシーのチェックは必要である。このため、仮想環境への適用が可能な検疫ネットワークシステムが、提案されている（例えば、特許文献及び特許文献２）。
【０００６】
具体的には、特許文献１は、治療機器を用いて、隔離された仮想端末の治療を行う、検疫ネットワークシステムを開示している。特許文献１に開示された検疫ネットワークシステムによれば、ユーザの端末からの操作無しに、セキュリティポリシーを満たさない仮想端末を自動的に治療することができる。
【０００７】
また、特許文献２は、仮想端末とユーザのリモート端末との間に中継装置が設置された、検疫ネットワークシステムを開示している。特許文献２に開示された検疫ネットワークシステムでは、検疫ネットワークに接続された仮想端末であっても、中継装置を経由することで、業務ネットワークに接続されている機器との送信が許可される。特許文献２に開示された検疫ネットワークシステムによれば、仮想端末における利便性の向上が図られる。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００７−２９９３４２号公報
【特許文献２】特開２０１０−１６１４６８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
ところで、特許文献１に開示された検疫ネットワークシステムでは、仮想端末が業務ネットワークに接続されている場合は、ユーザは、リモート端末から仮想端末のＩＰアドレスを指定することで、アクセスを行うことができる。一方、仮想端末が検疫ネットワークに隔離されている場合は、仮想端末のＩＰアドレスは検疫ネットワーク用のＩＰアドレスに変更されるので、ユーザはリモート端末を用いて仮想端末に対してアクセスを行うことが不可能となる。
【００１０】
これは、特許文献１に開示された検疫ネットワークシステムでは、セキュリティを確保するため、ユーザのリモート端末には、検疫ネットワーク用のＩＰアドレスを通知せず、治療機器のみによって、検疫ネットワークに接続されている仮想端末の治療を行うようにしているからである。
【００１１】
しかしながら、実際の運用局面においては、例えば、パスワードの入力、ＵＡＣ（User Account Control）の昇格確認など、治療の際に、ユーザがリモート端末から仮想端末に対して直接入力操作を行わないと、確実な治療を実行できない場合がある。また、ユーザにおいては、仮想端末を用いた業務を継続しなければならない場合もあり、このような場合では、ユーザがリモート端末から仮想端末を治療する必要がある。
【００１２】
なお、ユーザが、検疫ネットワークに接続されている仮想端末に直接ログインして、治療を行う方法も考えられる。しかし、仮想端末を構築しているサーバが遠隔地に存在する場合、ユーザに当該サーバにログインする権利が付与されていない場合など、ユーザが仮想端末を直接操作することが出来ない場合が殆どであり、直接ログインによる治療は現実的ではない。
【００１３】
一方、特許文献２に開示された検疫ネットワークシステムを用いれば、ユーザは、リモート端末から、中継装置を経由することで、検疫ネットワークに隔離されている仮想端末にアクセスすることができる。
【００１４】
しかしながら、このようなアクセスを行うためには、隔離された仮想端末から中継装置に中継処理要求を送信することが必要となる。このため、ユーザが、リモート端末から、隔離された仮想端末を治療するためには、仮想端末上で治療を行うアプリケーションが、中継装置に対して中継処理の要求を発行する必要があり、当該アプリケーションを改造する必要がある。
【００１５】
このように、特許文献１に開示された検疫ネットワークシステムに、例え、特許文献２に開示された技術を適用したとしても、ユーザが、リモート端末から、検疫ネットワークに隔離されている仮想端末にアクセスすることは困難である。
【００１６】
本発明の目的の一例は、上記問題を解消し、検疫ネットワークにおける安全性を確保しつつ、検疫ネットワークに隔離されている仮想端末へのリモート端末からのアクセスを可能にし得る、検疫ネットワークシステム、及び検疫方法を提供することにある。
【課題を解決するための手段】
【００１７】
上記目的を達成するため、本発明の一側面における検疫ネットワークシステムは、物理サーバが提供する仮想環境に構築された仮想端末に対して、検疫を実行する、検疫ネットワークシステムであって、
前記仮想端末と前記仮想端末にアクセスするリモート端末との通信経路に設置される、中継装置と、前記仮想端末がセキュリティポリシーに適合するかどうかを判定する、検疫サーバと、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、これを検疫ネットワークに接続させる、端末隔離装置と、を備え、
前記検疫サーバは、前記仮想端末が前記セキュリティポリシーに適合しないと判定した場合に、前記仮想端末の業務ネットワークでのＩＰアドレス、前記仮想端末の前記検疫ネットワークでのＩＰアドレス、および前記検疫ネットワークに接続された前記仮想端末に対して許可される特定のポートを、前記中継装置に通知し、
前記中継装置は、前記検疫サーバからの通知を受けると、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスを、前記仮想端末の業務ネットワークでのＩＰアドレスから前記検疫ネットワークでのＩＰアドレスに変換し、更に、前記仮想端末に対して前記特定のポートを用いた通信のみを許可する、
ことを特徴とする。
【００１８】
また、上記目的を達成するため、本発明の一側面における検疫方法は、物理サーバが提供する仮想環境に構築された仮想端末に対して、検疫を実行するための方法であって、
前記仮想端末と前記仮想端末にアクセスするリモート端末との通信経路に設置される、中継装置と、前記仮想端末がセキュリティポリシーに適合するかどうかを判定する、検疫サーバと、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、これを検疫ネットワークに接続させる、端末隔離装置と、を用い、
（ａ）前記検疫サーバが、前記仮想端末が前記セキュリティポリシーに適合しないと判定した場合に、前記検疫サーバによって、前記仮想端末の業務ネットワークでのＩＰアドレス、前記仮想端末の前記検疫ネットワークでのＩＰアドレス、および前記検疫ネットワークに接続された前記仮想端末に対して許可される特定のポートを、前記中継装置に通知する、ステップと、
（ｂ）前記中継装置が、前記（ａ）のステップでの通知を受け取った場合に、前記中継装置によって、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスを、前記仮想端末の業務ネットワークでのＩＰアドレスから前記検疫ネットワークでのＩＰアドレスに変換し、更に、前記仮想端末に対して前記特定のポートを用いた通信のみを許可する、ステップと、
を有することを特徴とする。
【発明の効果】
【００１９】
以上のように、本発明における検疫ネットワークシステム及び検疫方法によれば、検疫ネットワークにおける安全性を確保しつつ、検疫ネットワークに隔離されている仮想端末へのリモート端末からのアクセスを可能にすることができる。
【図面の簡単な説明】
【００２０】
【図１】図１は、本発明の実施の形態における検疫ネットワークシステムの全体構成を示すブロック図である。
【図２】図２は、本発明の実施の形態における、中継装置、検疫サーバ、及び仮想端末管理サーバの構成を示すブロック図である。
【図３】図３は、本実施の形態において、通信ルールデータベースに格納されているＩＰアドレス変換テーブルおよび通信ルールの一例を示す図である。
【図４】図４は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の隔離時の動作を示すシーケンス図である。
【図５】図５は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の治療時の動作を示すシーケンス図である。
【図６】図６は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の復旧時の動作を示すシーケンス図である。
【発明を実施するための形態】
【００２１】
（発明の概要）
本発明では、リモート接続および治療の対象となる仮想端末から治癒サーバまでのアクセスを中継する装置（以下「中継装置」と表記する。）が、リモート端末と仮想端末との通信経路上に設置される。
【００２２】
検疫サーバは、仮想端末を検疫ネットワークに隔離した時に、中継装置に通信制御のために情報を送り、リモート端末と仮想端末との通信を維持する。具体的には、検疫サーバは、仮想端末に隔離を指示すると同時に、中継装置に隔離する仮想端末の業務ネットワークでのIＰアドレスと検疫ネットワークでのＩＰアドレスとの組、及びリモート端末から仮想端末への通信を許可するポート番号を通知する。
【００２３】
仮想端末が隔離されると、仮想端末のＩＰアドレスは検疫ネットワークでのＩＰアドレスに付け替えられるが、中継装置がＮＡＴ（Network Address Translation）処理を実行する。このため、リモート端末から仮想端末へのアクセスする際の宛先ＩＰアドレスが、業務ネットワークでのＩＰアドレスから検疫ネットワークでのＩＰアドレスに変換される。
【００２４】
また、中継装置は、隔離中においては、リモート端末から隔離された仮想端末へのＲＤＰ（Remote Desktop Protocol）接続と、仮想端末から治癒サーバへの特定ポートでの接続とが許可されるように、通信ポートのアクセス制御も行う。
【００２５】
このように、本発明によれば、隔離中であってもユーザはリモート端末から仮想端末への接続を継続することができる。また、ポート制御を行うことで、仮想端末は、治癒サーバのみにアクセスを行うことになり、仮想端末の治療を安全に行うことができる。
【００２６】
（実施の形態）
以下、本発明の実施の形態における、検疫ネットワークシステムおよび検疫方法について、図１〜図６を参照しながら説明する。
【００２７】
［システム構成］
最初に、本実施の形態における検疫ネットワークシステムの構成について図１を用いて説明する。図１は、本発明の実施の形態における検疫ネットワークシステムの全体構成を示すブロック図である。
【００２８】
図１に示すように、本実施の形態における検疫ネットワークシステム１０は、物理サーバ７００に構築された仮想端末７２０〜７４０に対して検疫を実行するシステムである。検疫ネットワークシステム１０は、主に、中継装置４００と、検疫サーバ５００と、端末隔離装置７１０とを備えている。これらは互いに、スイッチ６００を介して接続されている。スイッチ６００の具体例としては、Ｌ２スイッチが挙げられる。
【００２９】
図１に示すように、本実施の形態では、中継装置４００には、ネットワーク３００が接続され、更にネットワーク３００には、リモート端末１００と、治癒サーバ２００とが接続されている。なお、ネットワーク３００は、リモート端末１００と治癒サーバ２００とが所属する組織のネットワークである。
【００３０】
リモート端末１００は、ユーザが仮想端末に対してリモート接続を行なうための端末であり、ユーザはリモート端末１００を介して仮想端末の操作を行うことができる。治癒サーバ２００は、隔離された端末に対して治療を行うサーバであり、治療に必要となるＯＳ及びアプリケーションのセキュリティパッチ、ウイルス対策ソフトウェアのパターンファイル等を提供する。また、治癒サーバ２００が治療対象とする端末は、リモート端末、仮想端末など、ネットワークに接続されている全ての端末である。
【００３１】
また、中継装置４００は、リモート端末１００と仮想端末との間の通信、および仮想端末と治癒サーバ２００との通信を、通信ルールに基づいて制御する装置であり、仮想端末とそれにアクセスするリモート端末との通信経路に設置される（即ち、インラインで設置される）。
【００３２】
検疫サーバ５００は、検疫処理を行なうサーバであり、仮想端末がセキュリティポリシーに適合するかどうかを判定する。物理サーバ７００は、本実施の形態では、ソフトウェアによる仮想環境を提供し、そして、仮想環境上に仮想端末７２０〜７４０を構築し、これらを管理する。また、仮想端末７２０〜７４０は、仮想環境上でＯＳ及びアプリケーションを搭載しており、実際の業務処理を実行する。なお、以降の説明では、物理サーバ７００は、「仮想端末管理サーバ７００」と表記する。
【００３３】
また、仮想端末管理サーバ７００は、端末隔離装置７１０を備えている。端末隔離装置７１０は、検疫サーバ５００によって各仮想端末がセキュリティポリシーに適合しないと判定された場合に、適合しないと判定された仮想端末を、検疫ネットワークに接続させて隔離する。なお、本実施の形態においては、端末隔離装置７１０も、ソフトウェアによって仮想端末管理サーバ７００内部に構築されている。
【００３４】
そして、検疫サーバ５００は、いずれかの仮想端末がセキュリティポリシーに適合しないと判定した場合に、当該仮想端末の業務ネットワークでのＩＰアドレス、当該仮想端末の検疫ネットワークでのＩＰアドレス、および検疫ネットワークに接続された当該仮想端末（以下「検疫対象端末」と表記する）に対して許可される特定のポートを、中継装置４００に通知する。
【００３５】
また、中継装置４００は、検疫サーバ５００からの通知を受けると、リモート端末１００から検疫対象端末へと送信されたＩＰパケットの送信先のＩＰアドレスを、検疫対象端末の業務ネットワークでのＩＰアドレスから検疫ネットワークでのＩＰアドレスに変換する。さらに、この場合において、中継装置４００は、この検疫対象端末に対して特定のポートを用いた通信のみを許可する。
【００３６】
このように、本実施の形態における検疫ネットワークシステム１０では、中継装置によって、ＩＰパケットの送信先のＩＰアドレスが変換されるため、検疫ネットワークに隔離されている検疫対象端末へのリモート端末１００からのアクセスが可能となる。また、中継装置４００は、検疫対象端末に対しては、特定のポートによる通信しか許可しないため、同時に、検疫ネットワークにおける安全性も確保される。
【００３７】
［各装置の構成］
次に、図２を用いて、図１に示した、中継装置４００、検疫サーバ５００、仮想端末管理サーバ７００の構成を具体的に説明する。図２は、本発明の実施の形態における、中継装置、検疫サーバ、及び仮想端末管理サーバの構成を示すブロック図である。また、本実施の形態では仮想端末は複数個生成されていても良いが、説明を分かりやすくするため、仮想端末７２０を例に挙げて説明する。
【００３８】
［中継装置］
図２に示すように、中継装置４００は、ＩＰパケット受信部４１０と、ＩＰパケット送信部４２０と、通信制御部４３０と、通信ルールデータベース４４０と、通信ルール作成部４５０とを備えている。
【００３９】
このうち、ＩＰパケット受信部４１０は、中継装置４００の外部からのＩＰパケットを受信する。一方、ＩＰパケット送信部４２０は、通信制御部４３０から受け取ったＩＰパケットを外部へと送信する。通信ルールデータベース４４０は、通信ルールを格納している。
【００４０】
通信ルール作成部４５０は、検疫対象端末の業務ネットワークでのＩＰアドレスと、検疫対象端末の検疫ネットワークでのＩＰアドレスと、検疫対象端末に対して許可される特定のポート（ポート番号）とに基づいて、通信ルールも作成する。さらに、通信ルール作成部４５０は、検疫サーバ５００から通知された、検疫対象端末の業務ネットワークでのＩＰアドレスと、検疫対象端末の検疫ネットワークでのＩＰアドレスとを用いて、前者を後者へと変換するためのＩＰアドレス変換テーブルも作成する。
【００４１】
また、通信ルール作成部４５０は、作成したＩＰアドレス変換テーブルと、作成した通信ルールとを、通信ルールデータベース４４０に格納する。ここで、通信ルールデータベース４４０に格納されているＩＰアドレス変換テーブルと通信ルールとの具体例を、図３を用いて説明する。図３は、本実施の形態において、通信ルールデータベースに格納されているＩＰアドレス変換テーブルおよび通信ルールの一例を示す図である。なお、以降においては、データベースは「ＤＢ」と表記する。
【００４２】
図３に示すように、通信ルールＤＢ４４０は、ＩＰアドレス変換テーブルと、通信を制御するための通信ルールテーブルとを格納している。ＩＰアドレス変換テーブルは、隔離された仮想端末（検疫対象端末）の業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとの対応関係を規定している。
【００４３】
具体的には、図１に示したように、仮想端末のＩＰアドレスは、「192.168．0.10」から、［10.10．10.10］に変換されるので、図３に示すように、ＩＰアドレス変換テーブルは、これらを対応付けたものとなる。
【００４４】
また、図１に示すように、本実施の形態では、検疫サーバ５００からは、仮想端末からのＩＰパケットの送信に許可されたポートと、仮想端末へのＩＰパケットの送信に許可されたポートとが通知される。即ち、検疫サーバ５００は、リモート端末から仮想端末への通信に使用されるポートとして、ポート番号［720］に代えて、ポート番号［13389］を通知している。さらに、検疫サーバ５００は、仮想端末７２０から治癒サーバ２００への通信に使用されるポートとして、ポート番号［50030］を通知している。なお、治癒サーバのＩＰアドレスは、［10.164.38.1］である。
【００４５】
このため、本実施の形態では、通信ルールは、図３に示す通りとなる。図３に示す通信ルールは、リモート端末１００から仮想端末７２０へのＲＤＰ（Remote Desktop Protocol）接続と、仮想端末７２０から治癒サーバ２００への特定ポート（ポート番号［50030］）での接続とを許可している。なお、図３の例では、説明を分かりやすくするために、取り得る値を具体的に表示しているが、本実施の形態では、各数値はこれらに限定されるものではない。
【００４６】
また、通信制御部４３０は、通信ルールに基づき通信の制御を行なっている。本実施の形態では、通信制御部４３０は、ＩＰパケット受信部４１０で受信したＩＰパケットと、通信ルールＤＢ４４０に格納されている通信ルールとを比較し、ＩＰパケットを通過させるか、またはブロックするかを判断する。通信制御部４３０は、通過させる場合は、受信したＩＰパケットを、ＩＰパケット送信部４２０に受け渡し、ブロックする場合は、受信したＩＰパケットを破棄する。
【００４７】
［検疫サーバ］
また、図２に示すように、検疫サーバ５００は、端末隔離指示部５１０と、ポリシ適合判定部５２０と、端末情報管理ＤＢ５２０とを備え、これらによって検疫処理を行なっている。
【００４８】
ポリシ適合判定部５２０は、仮想端末７２０の端末情報収集部７２１から受け取った情報に基づいて、仮想端末７２０のセキュリティポリシーが適合しているかどうかを判定し、判定結果を端末情報管理ＤＢ５３０に登録する。また、ポリシ適合判定部５２０は、端末隔離指示部５１０に対して、仮想端末の隔離指示または仮想端末の復旧指示を行う。
【００４９】
端末隔離指示部５１０は、ポリシ適合判定部５２０からの指示の内容に応じて、端末隔離装置７１０の端末隔離部７１１に対して、仮想端末７２０のネットワークの切替を指示する。また、端末隔離指示部５１０は、通信ルール作成部４５０に対して、仮想端末７２０の業務ネットワーク用ＩＰアドレスと、仮想端末７２０の検疫ネットワーク用ＩＰアドレスとを通知する。
【００５０】
端末情報管理ＤＢ５３０は、検疫対象となる仮想端末のＭＡＣアドレスを主キーとして、当該ＭＡＣアドレス、セキュリティポリシーの適合状況、業務ネットワーク用ＩＰアドレス、及び治療ネットワーク用ＩＰアドレスを格納する。
【００５１】
［仮想端末管理サーバ］
さらに、図２に示すように、仮想端末管理サーバ７００において、仮想端末隔離装置７１０は、端末隔離部７１１を備えている。端末隔離部７１１は、セキュリティポリシーに適合しない仮想端末のネットワークを切り替え、当該仮想端末を業務ネットワークから検疫ネットワークへと隔離する。つまり、端末隔離部７１１は、仮想端末に対して隔離が必要となる場合は、その仮想端末のＩＰアドレスを、業務ネットワーク用ＩＰアドレスから検疫ネットワーク用ＩＰアドレスへと切り替える。
【００５２】
また、仮想端末７２０〜７４０は、当該仮想端末内の情報を収集する端末情報収集部７２１を備えている。端末情報収集部７２１は、例えば、パスワードの有効期間及びウイルス定義ファイルの更新日時など、セキュリティポリシーの判定に必要な情報と、ＭＡＣアドレスとを収集する。また、端末情報収集部７２１は、収集した情報を検疫サーバ５００に送信する。
【００５３】
［動作説明］
次に、本発明の実施の形態における検疫ネットワークシステム１０の動作について、図４〜図６を用いて説明する。また、本実施の形態では、検疫ネットワークシステム１０を動作させることによって、検疫方法が実施される。よって、本実施の形態における検疫方法の説明は、以下の検疫ネットワークシステム１０の動作説明に代える。なお、以下においては、説明を分かりやすくするため、複数構築されている仮想端末のうち、仮想端末７２０のみを例として取り上げる。
【００５４】
[仮想端末の隔離時の動作]
最初に、本実施の形態における検疫ネットワークシステム１０での仮想端末の隔離時の動作について図４を用いて説明する。図４は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の隔離時の動作を示すシーケンス図である。
【００５５】
図４に示す処理の前提として、端末情報管理ＤＢ５３０（図２参照）には、仮想端末７２０のＭＡＣアドレスと、業務ネットワークでのＩＰアドレスと、前回のセキュリティポリシー判定時のセキュリティポリシーの適合状況とが格納されているものとする。また、中継装置４００は、全てのＩＰパケットを通過させるように設定されているとする。
【００５６】
図４に示すように、最初に、仮想端末７２０において、端末情報収集部７２１は、パスワードの有効期間及びウイルス定義ファイルの更新日時など、セキュリティポリシーの判定に必要な端末情報とＭＡＣアドレスとを収集する。そして、端末情報収集部７２１は、収集した情報を、検疫サーバ５００におけるポリシ適合判定部５２０に送信する（ステップＡ１）。
【００５７】
次に、検疫サーバ５００において、ポリシ適合判定部５２０は、端末情報収集部７２１から受け取った端末情報を用いて、仮想端末７２０におけるセキュリティポリシーの適合状況を判定する（ステップＡ２）。
【００５８】
ここで、仮想端末７２０がセキュリティポリシーを満たしていない場合、ポリシ適合判定部５２０は、端末情報管理ＤＢ５３０において、仮想端末７２０のＭＡＣアドレスを主キーとして検索を行い、仮想端末７２０の情報を特定する。そして、ポリシ適合判定部５２０は、仮想端末７２０の適合状況を「不適合」に更新する（ステップＡ３）。
【００５９】
次に、ポリシ適合判定部５２０は、「不適合」となった仮想端末のＭＡＣアドレスと、「不適合」という判定情報とを、端末隔離指示部５１０に通知する（ステップＡ４）。端末隔離指示部５１０は、端末情報管理ＤＢ５３０を参照し、受け取ったＭＡＣアドレスに基づいて、仮想端末の業務ネットワーク用ＩＰアドレスを取り出す（ステップＡ５）。
【００６０】
次に、端末隔離指示部５１０は、「不適合」となった仮想端末７２１を検疫ネットワークに切り替えるように、端末隔離装置７１０の端末隔離部７１１に指示する（ステップＡ６）。この際、端末隔離指示部５１０は、端末隔離装置７１０に対して、仮想端末７２０の業務ネットワーク用ＩＰアドレスを通知する。
【００６１】
次に、端末隔離装置７１０において、端末隔離部７１１は、受け取った業務ネットワーク用ＩＰアドレスを持つ仮想端末７２０について、そのネットワークを、業務ネットワークから検疫ネットワークへと切り替える。そして、端末隔離部７１１は、仮想端末７２０のＩＰアドレスを検疫ネットワーク用ＩＰアドレスに変更する（ステップＡ７）。
【００６２】
次に、端末隔離部７１１は、仮想端末７２０の検疫ネットワーク用ＩＰアドレスを端末隔離指示部５１０に通知する（ステップＡ８）。端末隔離指示部５１０は、受け取った検疫ネットワーク用ＩＰアドレスを、端末情報管理ＤＢ５３０に登録する（ステップＡ９）。
【００６３】
次に、端末隔離指示部５１０は、端末情報管理ＤＢ５３０から「不適合」となった仮想端末７２０のＭＡＣアドレスをキーとして、その仮想端末７２０の業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとを取り出す（ステップＡ１０）。
【００６４】
次に、端末隔離指示部５１０は、取り出した業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとを、中継装置４００における通信ルール作成部４５０に通知する（ステップＡ１１）。
【００６５】
次に、中継装置４００において、通信ルール作成部４５０は、端末隔離指示部５１０から受け取った業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとから、通信ルールを生成する（ステップＡ１２）。ステップＡ１２において生成される通信ルールは、リモート端末から仮想端末７２０へのＲＤＰ（Remote Desktop Protocol）接続と、仮想端末７２０から治癒サーバへの特定ポートでの接続との、２つの接続のみを許可するルールである。また、ステップＡ１２では、通信ルール作成部４５０は、ＩＰアドレス変換テーブルも作成する（図３参照）。
【００６６】
次に、通信ルール作成部４５０は、端末隔離指示部５１０から受け取った業務ネットワークでのＩＰアドレス及び検疫ネットワークでのＩＰアドレスから作成したＩＰアドレス変換テーブルと、作成した通信ルールとを、通信ルールＤＢ４４０に登録する（ステップＡ１３）。ＩＰアドレス変換テーブル及び通信ルールの例は、図３に示した通りである。
【００６７】
[仮想端末の治療時の動作]
次に、本実施の形態における検疫ネットワークシステム１０での仮想端末の治療時の動作について図５を用いて説明する。図５は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の治療時の動作を示すシーケンス図である。
【００６８】
図５に示す処理の前提として、通信ルールＤＢ４４０には、図３に示したように、隔離された仮想端末７２０の業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとを対応付けたＩＰアドレス変換テーブルと、通信ルールと、が格納されているものとする。また、仮想端末７２０は、検疫ネットワークに接続されているものとする。通信ルールは、図４に示したステップＡ１２で生成されている（図３参照）。
【００６９】
図５に示すように、最初に、中継装置４００において、ＩＰパケット受信部４１０は、通信路に流れるＩＰパケットを受信し（ステップＢ１）、通信制御部４３０へ引き渡す（ステップＢ２）。
【００７０】
次に、通信制御部４３０は、受信したＩＰパケットが通信ルールＤＢ４４０に格納された通信ルールに適合するかどうかを判定する（ステップＢ３）。具体的には、通信制御部４３０は、受信したＩＰパケットの送信先が、隔離された仮想端末７２０の業務ネットワーク用ＩＰアドレスであり、且つリモート端末１００から仮想端末７２０への接続がＲＤＰ接続であるかどうかを判定する（ステップＢ４）。
【００７１】
判定の結果、イエスである場合は、通信制御部４３０は、ＩＰパケットの送信先である業務ネットワーク用ＩＰアドレスを、検疫ネットワーク用ＩＰアドレスに書き換える（ステップＢ５）。一方、判定の結果、ノーである場合は、通信制御部４３０は、ＩＰパケットを破棄する。
【００７２】
次に、通信制御部４３０は、ＩＰパケットの送信先を書き換えた後、そのＩＰパケットをＩＰパケット送信部４２０へ引き渡す（ステップＢ６）。そして、ＩＰパケット送信部４２０は、仮想端末７２０に、受け取ったＩＰパケットを送信する（ステップＢ７）。以上のステップＢ１〜Ｂ７の処理により、リモート端末１００から隔離された仮想端末７２０への通信は、中断されることなく継続される。
【００７３】
また、リモート端末１００から隔離された仮想端末７２０へ治療の指示があった場合、仮想端末７２０から治癒サーバへの通信（ステップＢ８）が発生する。この場合も、ステップＢ１〜Ｂ７と同様の処理が行なわれる。
【００７４】
即ち、中継装置４００のＩＰパケット受信部４１０によるＩＰパケットの受信（ステップＢ９）、通信制御部４３０による通信ルールＤＢ４４０の通信ルールとＩＰパケットの照合（ステップＢ１０、ステップＢ１１）が行なわれる。
【００７５】
また、仮想端末７２０から治癒サーバへの通信である場合は、受信したＩＰパケットは通信ルールに適合すると判断されるので、通信制御部４３０は、送信先のＩＰアドレスを書き換え、ＩＰパケット送信部４２０にＩＰパケットを受け渡す（ステップＢ１２）。なお、通信ルールに適合しない場合は、通信制御部４３０は、ＩＰパケットを破棄する。
【００７６】
その後、ＩＰパケット送信部４２０は、仮想端末７２０に、受け取ったＩＰパケットを送信する（ステップＢ１３）。以上の処理により、仮想端末７２０と治癒サーバ２００との間では、安全な通信が可能となる。
【００７７】
[仮想端末の復旧時の動作]
次に、本実施の形態における検疫ネットワークシステム１０での仮想端末の復旧時の動作について図６を用いて説明する。図６は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の復旧時の動作を示すシーケンス図である。
【００７８】
図６に示す処理の前提として、端末情報管理ＤＢ５３０（図２参照）には、仮想端末７２０のＭＡＣアドレスと、業務ネットワークでのＩＰアドレスと、検疫ネットワークでのＩＰアドレスと、前回のセキュリティポリシー判定時のセキュリティポリシーの適合状況とが格納されているものとする。
【００７９】
図６に示すように、最初に、仮想端末７２０において、端末情報収集部７２１は、パスワードの有効期間及びウイルス定義ファイルの更新日時など、セキュリティポリシーの判定に必要な端末情報とＭＡＣアドレスとを収集する。そして、端末情報収集部７２１は、収集した情報を、検疫サーバ５００におけるポリシ適合判定部５２０に送信する（ステップＣ１）。
【００８０】
次に、検疫サーバ５００において、ポリシ適合判定部５２０は、端末情報収集部７２１から受け取った端末情報を用いて、仮想端末７２０におけるセキュリティポリシーの適合状況を判定する（ステップＣ２）。ここで、仮想端末７２０がセキュリティポリシーを満たしている場合、ポリシ適合判定部５２０は、端末情報管理ＤＢ５３０において、仮想端末７２０のＭＡＣアドレスを主キーとして検索を行い、仮想端末７２０の適合状況を「適合」に更新する（ステップＣ３）。
【００８１】
次に、ポリシ適合判定部５２０は、「適合」となった仮想端末７２０のＭＡＣアドレスと、「適合」という判定情報とを、端末隔離指示部５１０に通知する（ステップＣ４）。端末隔離指示部５１０は、端末情報管理ＤＢ５３０を参照し、受け取ったＭＡＣアドレスに基づいて、仮想端末７２０の業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとを取り出す（ステップＣ５）。
【００８２】
次に、端末隔離指示部５１０は、仮想端末のセキュリティポリシーの適合状況が「適合」であるため、仮想端末７２０を復旧させるよう端末隔離部７１１に指示を与える（ステップＣ６）。具体的には、端末隔離指示部５１０は、端末隔離部７１１に対して、仮想端末が接続されているネットワークを、業務ネットワークに切り替えるように指示し、仮想端末７２０の業務ネットワーク用ＩＰアドレスと検疫ネットワーク用ＩＰアドレスとを通知する。
【００８３】
次に、端末隔離装置７１０において、端末隔離部７１１は、受け取った検疫ネットワークでのＩＰアドレスを持つ仮想端末７２０のネットワークを業務ネットワークに切り替え、仮想端末７２０のＩＰアドレスを業務ネットワークでのＩＰアドレスに変更する（ステップＣ７）。
【００８４】
続いて、検疫サーバ５００において、端末隔離指示部５１０は、中継装置４００の通信ルール作成部４５０に、仮想端末７２０の業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとを通知する（ステップＣ８）。
【００８５】
その後、通信ルール作成部４５０は、通信ルールＤＢ４２０において、受け取った業務ネットワークでのＩＰアドレスをキーとして検索を行ない、その業務ネットワークでのＩＰアドレスに関する通信ルールと、業務ネットワークでのＩＰアドレス及び検疫ネットワークでのＩＰアドレスを対応付けているＩＰアドレス変換テーブルとを削除する（ステップＣ９）。以上のステップＣ１〜Ｃ９により、仮想端末は業務ネットワークへと復旧することになる。
【００８６】
［実施の形態における効果］
以上のように、本実施の形態では、仮想端末が隔離された場合に、検疫サーバが、それまで仮想端末に付与していた業務ネットワークでのＩＰアドレスと、検疫ネットワークでのＩＰアドレスを中継装置に通知する。そして、中継装置は、リモート接続用のプロトコル以外を制限する。このため、本実施の形態によれば、仮想環境上の仮想端末が検疫ネットワークに隔離された場合であっても、仮想端末を利用するユーザは、業務ネットワークでのＩＰアドレスを用いて、仮想端末による業務を継続でき、仮想端末の治療のために、求められる操作を行なうことができる。
【００８７】
また、本実施の形態では、仮想端末が隔離された場合に、中継装置は、通信ルールを用いて通信制御を行い、リモート端末から仮想端末へのアクセス、仮想端末から治癒サーバへのアクセスといった一定のアクセスのみを許可する。このため、本実施の形態によれば、隔離された仮想端末を安全に治療することができる。
【産業上の利用可能性】
【００８８】
以上のように、本発明によれば、検疫ネットワークシステムを仮想環境（シンクライアント環境）に適用でき、仮想マシンが隔離されている時でも、シンクライアント端末（リモート端末）からの通信を中断することなく、シンクライアントの操作を安全に継続させることができる。本発明は、仮想化システムのセキュリティ確保に有用となる。
【符号の説明】
【００８９】
１０ 検疫ネットワークシステム
１００ リモート端末
２００ 治癒サーバ
３００ ネットワーク
４００ 中継装置
４１０ ＩＰパケット受信部
４２０ ＩＰパケット送信部
４３０ 通信制御部
４４０ 通信ルールデータベース
４５０ 通信ルール作成部
５００ 検疫サーバ
５１０ 端末隔離指示部
５２０ ポリシ適合判定部
５３０ 端末情報管理データベース
６００ スイッチ
７００ 仮想端末管理サーバ（物理サーバ）
７１０ 端末隔離装置
７１１ 端末隔離部
７２０、７３０、７４０ 仮想端末
７２１ 端末情報収集部
【技術分野】
【０００１】
本発明は、コンピュータネットワークに接続された機器、特には仮想化された機器の検疫を行なうための、検疫ネットワークシステム及び検疫方法に関する。
【０００２】
近年、ＩＴ技術の発展により、コンピュータネットワークが急速に普及している。そして、コンピュータネットワークが普及するにつれて、企業で扱っている個人情報及び機密情報の情報漏えいが問題となっている。この情報漏えい対策として、検疫ネットワークシステムが注目されている。
【０００３】
検疫ネットワークシステムは、組織内のネットワークに接続されている端末に対して、ＯＳ（Operating System）及びアプリケーションソフトのセキュリティパッチの適用状態、ウイルス対策ソフトのパターンファイルの更新状況などをチェックし、組織のセキュリティポリシーを満たしているかどうかを判定する。そして、判定の結果、セキュリティポリシーを満たしていない場合は、検疫ネットワークシステムは、この端末を、検疫ネットワークに隔離する。このように、検疫ネットワークシステムによれば、組織内のネットワークのセキュリティレベルを保つことができる。
【０００４】
また、近年では、ハードウェアリソースの有効活用及び省エネ等の観点から、仮想化技術の普及が進んでいる。仮想化技術では、仮想環境において、仮想的な端末（以下、「仮想端末」と表記する）が作成される。そして、ユーザは、ＰＣ（Personal Computer）及びシンクライアント端末等のリモート端末を介して、仮想端末内のアプリケーションソフト及びファイルに、リモートアクセスを行うことができる。
【０００５】
更に、このような仮想端末においても、セキュリティポリシーのチェックは必要である。このため、仮想環境への適用が可能な検疫ネットワークシステムが、提案されている（例えば、特許文献及び特許文献２）。
【０００６】
具体的には、特許文献１は、治療機器を用いて、隔離された仮想端末の治療を行う、検疫ネットワークシステムを開示している。特許文献１に開示された検疫ネットワークシステムによれば、ユーザの端末からの操作無しに、セキュリティポリシーを満たさない仮想端末を自動的に治療することができる。
【０００７】
また、特許文献２は、仮想端末とユーザのリモート端末との間に中継装置が設置された、検疫ネットワークシステムを開示している。特許文献２に開示された検疫ネットワークシステムでは、検疫ネットワークに接続された仮想端末であっても、中継装置を経由することで、業務ネットワークに接続されている機器との送信が許可される。特許文献２に開示された検疫ネットワークシステムによれば、仮想端末における利便性の向上が図られる。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００７−２９９３４２号公報
【特許文献２】特開２０１０−１６１４６８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
ところで、特許文献１に開示された検疫ネットワークシステムでは、仮想端末が業務ネットワークに接続されている場合は、ユーザは、リモート端末から仮想端末のＩＰアドレスを指定することで、アクセスを行うことができる。一方、仮想端末が検疫ネットワークに隔離されている場合は、仮想端末のＩＰアドレスは検疫ネットワーク用のＩＰアドレスに変更されるので、ユーザはリモート端末を用いて仮想端末に対してアクセスを行うことが不可能となる。
【００１０】
これは、特許文献１に開示された検疫ネットワークシステムでは、セキュリティを確保するため、ユーザのリモート端末には、検疫ネットワーク用のＩＰアドレスを通知せず、治療機器のみによって、検疫ネットワークに接続されている仮想端末の治療を行うようにしているからである。
【００１１】
しかしながら、実際の運用局面においては、例えば、パスワードの入力、ＵＡＣ（User Account Control）の昇格確認など、治療の際に、ユーザがリモート端末から仮想端末に対して直接入力操作を行わないと、確実な治療を実行できない場合がある。また、ユーザにおいては、仮想端末を用いた業務を継続しなければならない場合もあり、このような場合では、ユーザがリモート端末から仮想端末を治療する必要がある。
【００１２】
なお、ユーザが、検疫ネットワークに接続されている仮想端末に直接ログインして、治療を行う方法も考えられる。しかし、仮想端末を構築しているサーバが遠隔地に存在する場合、ユーザに当該サーバにログインする権利が付与されていない場合など、ユーザが仮想端末を直接操作することが出来ない場合が殆どであり、直接ログインによる治療は現実的ではない。
【００１３】
一方、特許文献２に開示された検疫ネットワークシステムを用いれば、ユーザは、リモート端末から、中継装置を経由することで、検疫ネットワークに隔離されている仮想端末にアクセスすることができる。
【００１４】
しかしながら、このようなアクセスを行うためには、隔離された仮想端末から中継装置に中継処理要求を送信することが必要となる。このため、ユーザが、リモート端末から、隔離された仮想端末を治療するためには、仮想端末上で治療を行うアプリケーションが、中継装置に対して中継処理の要求を発行する必要があり、当該アプリケーションを改造する必要がある。
【００１５】
このように、特許文献１に開示された検疫ネットワークシステムに、例え、特許文献２に開示された技術を適用したとしても、ユーザが、リモート端末から、検疫ネットワークに隔離されている仮想端末にアクセスすることは困難である。
【００１６】
本発明の目的の一例は、上記問題を解消し、検疫ネットワークにおける安全性を確保しつつ、検疫ネットワークに隔離されている仮想端末へのリモート端末からのアクセスを可能にし得る、検疫ネットワークシステム、及び検疫方法を提供することにある。
【課題を解決するための手段】
【００１７】
上記目的を達成するため、本発明の一側面における検疫ネットワークシステムは、物理サーバが提供する仮想環境に構築された仮想端末に対して、検疫を実行する、検疫ネットワークシステムであって、
前記仮想端末と前記仮想端末にアクセスするリモート端末との通信経路に設置される、中継装置と、前記仮想端末がセキュリティポリシーに適合するかどうかを判定する、検疫サーバと、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、これを検疫ネットワークに接続させる、端末隔離装置と、を備え、
前記検疫サーバは、前記仮想端末が前記セキュリティポリシーに適合しないと判定した場合に、前記仮想端末の業務ネットワークでのＩＰアドレス、前記仮想端末の前記検疫ネットワークでのＩＰアドレス、および前記検疫ネットワークに接続された前記仮想端末に対して許可される特定のポートを、前記中継装置に通知し、
前記中継装置は、前記検疫サーバからの通知を受けると、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスを、前記仮想端末の業務ネットワークでのＩＰアドレスから前記検疫ネットワークでのＩＰアドレスに変換し、更に、前記仮想端末に対して前記特定のポートを用いた通信のみを許可する、
ことを特徴とする。
【００１８】
また、上記目的を達成するため、本発明の一側面における検疫方法は、物理サーバが提供する仮想環境に構築された仮想端末に対して、検疫を実行するための方法であって、
前記仮想端末と前記仮想端末にアクセスするリモート端末との通信経路に設置される、中継装置と、前記仮想端末がセキュリティポリシーに適合するかどうかを判定する、検疫サーバと、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、これを検疫ネットワークに接続させる、端末隔離装置と、を用い、
（ａ）前記検疫サーバが、前記仮想端末が前記セキュリティポリシーに適合しないと判定した場合に、前記検疫サーバによって、前記仮想端末の業務ネットワークでのＩＰアドレス、前記仮想端末の前記検疫ネットワークでのＩＰアドレス、および前記検疫ネットワークに接続された前記仮想端末に対して許可される特定のポートを、前記中継装置に通知する、ステップと、
（ｂ）前記中継装置が、前記（ａ）のステップでの通知を受け取った場合に、前記中継装置によって、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスを、前記仮想端末の業務ネットワークでのＩＰアドレスから前記検疫ネットワークでのＩＰアドレスに変換し、更に、前記仮想端末に対して前記特定のポートを用いた通信のみを許可する、ステップと、
を有することを特徴とする。
【発明の効果】
【００１９】
以上のように、本発明における検疫ネットワークシステム及び検疫方法によれば、検疫ネットワークにおける安全性を確保しつつ、検疫ネットワークに隔離されている仮想端末へのリモート端末からのアクセスを可能にすることができる。
【図面の簡単な説明】
【００２０】
【図１】図１は、本発明の実施の形態における検疫ネットワークシステムの全体構成を示すブロック図である。
【図２】図２は、本発明の実施の形態における、中継装置、検疫サーバ、及び仮想端末管理サーバの構成を示すブロック図である。
【図３】図３は、本実施の形態において、通信ルールデータベースに格納されているＩＰアドレス変換テーブルおよび通信ルールの一例を示す図である。
【図４】図４は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の隔離時の動作を示すシーケンス図である。
【図５】図５は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の治療時の動作を示すシーケンス図である。
【図６】図６は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の復旧時の動作を示すシーケンス図である。
【発明を実施するための形態】
【００２１】
（発明の概要）
本発明では、リモート接続および治療の対象となる仮想端末から治癒サーバまでのアクセスを中継する装置（以下「中継装置」と表記する。）が、リモート端末と仮想端末との通信経路上に設置される。
【００２２】
検疫サーバは、仮想端末を検疫ネットワークに隔離した時に、中継装置に通信制御のために情報を送り、リモート端末と仮想端末との通信を維持する。具体的には、検疫サーバは、仮想端末に隔離を指示すると同時に、中継装置に隔離する仮想端末の業務ネットワークでのIＰアドレスと検疫ネットワークでのＩＰアドレスとの組、及びリモート端末から仮想端末への通信を許可するポート番号を通知する。
【００２３】
仮想端末が隔離されると、仮想端末のＩＰアドレスは検疫ネットワークでのＩＰアドレスに付け替えられるが、中継装置がＮＡＴ（Network Address Translation）処理を実行する。このため、リモート端末から仮想端末へのアクセスする際の宛先ＩＰアドレスが、業務ネットワークでのＩＰアドレスから検疫ネットワークでのＩＰアドレスに変換される。
【００２４】
また、中継装置は、隔離中においては、リモート端末から隔離された仮想端末へのＲＤＰ（Remote Desktop Protocol）接続と、仮想端末から治癒サーバへの特定ポートでの接続とが許可されるように、通信ポートのアクセス制御も行う。
【００２５】
このように、本発明によれば、隔離中であってもユーザはリモート端末から仮想端末への接続を継続することができる。また、ポート制御を行うことで、仮想端末は、治癒サーバのみにアクセスを行うことになり、仮想端末の治療を安全に行うことができる。
【００２６】
（実施の形態）
以下、本発明の実施の形態における、検疫ネットワークシステムおよび検疫方法について、図１〜図６を参照しながら説明する。
【００２７】
［システム構成］
最初に、本実施の形態における検疫ネットワークシステムの構成について図１を用いて説明する。図１は、本発明の実施の形態における検疫ネットワークシステムの全体構成を示すブロック図である。
【００２８】
図１に示すように、本実施の形態における検疫ネットワークシステム１０は、物理サーバ７００に構築された仮想端末７２０〜７４０に対して検疫を実行するシステムである。検疫ネットワークシステム１０は、主に、中継装置４００と、検疫サーバ５００と、端末隔離装置７１０とを備えている。これらは互いに、スイッチ６００を介して接続されている。スイッチ６００の具体例としては、Ｌ２スイッチが挙げられる。
【００２９】
図１に示すように、本実施の形態では、中継装置４００には、ネットワーク３００が接続され、更にネットワーク３００には、リモート端末１００と、治癒サーバ２００とが接続されている。なお、ネットワーク３００は、リモート端末１００と治癒サーバ２００とが所属する組織のネットワークである。
【００３０】
リモート端末１００は、ユーザが仮想端末に対してリモート接続を行なうための端末であり、ユーザはリモート端末１００を介して仮想端末の操作を行うことができる。治癒サーバ２００は、隔離された端末に対して治療を行うサーバであり、治療に必要となるＯＳ及びアプリケーションのセキュリティパッチ、ウイルス対策ソフトウェアのパターンファイル等を提供する。また、治癒サーバ２００が治療対象とする端末は、リモート端末、仮想端末など、ネットワークに接続されている全ての端末である。
【００３１】
また、中継装置４００は、リモート端末１００と仮想端末との間の通信、および仮想端末と治癒サーバ２００との通信を、通信ルールに基づいて制御する装置であり、仮想端末とそれにアクセスするリモート端末との通信経路に設置される（即ち、インラインで設置される）。
【００３２】
検疫サーバ５００は、検疫処理を行なうサーバであり、仮想端末がセキュリティポリシーに適合するかどうかを判定する。物理サーバ７００は、本実施の形態では、ソフトウェアによる仮想環境を提供し、そして、仮想環境上に仮想端末７２０〜７４０を構築し、これらを管理する。また、仮想端末７２０〜７４０は、仮想環境上でＯＳ及びアプリケーションを搭載しており、実際の業務処理を実行する。なお、以降の説明では、物理サーバ７００は、「仮想端末管理サーバ７００」と表記する。
【００３３】
また、仮想端末管理サーバ７００は、端末隔離装置７１０を備えている。端末隔離装置７１０は、検疫サーバ５００によって各仮想端末がセキュリティポリシーに適合しないと判定された場合に、適合しないと判定された仮想端末を、検疫ネットワークに接続させて隔離する。なお、本実施の形態においては、端末隔離装置７１０も、ソフトウェアによって仮想端末管理サーバ７００内部に構築されている。
【００３４】
そして、検疫サーバ５００は、いずれかの仮想端末がセキュリティポリシーに適合しないと判定した場合に、当該仮想端末の業務ネットワークでのＩＰアドレス、当該仮想端末の検疫ネットワークでのＩＰアドレス、および検疫ネットワークに接続された当該仮想端末（以下「検疫対象端末」と表記する）に対して許可される特定のポートを、中継装置４００に通知する。
【００３５】
また、中継装置４００は、検疫サーバ５００からの通知を受けると、リモート端末１００から検疫対象端末へと送信されたＩＰパケットの送信先のＩＰアドレスを、検疫対象端末の業務ネットワークでのＩＰアドレスから検疫ネットワークでのＩＰアドレスに変換する。さらに、この場合において、中継装置４００は、この検疫対象端末に対して特定のポートを用いた通信のみを許可する。
【００３６】
このように、本実施の形態における検疫ネットワークシステム１０では、中継装置によって、ＩＰパケットの送信先のＩＰアドレスが変換されるため、検疫ネットワークに隔離されている検疫対象端末へのリモート端末１００からのアクセスが可能となる。また、中継装置４００は、検疫対象端末に対しては、特定のポートによる通信しか許可しないため、同時に、検疫ネットワークにおける安全性も確保される。
【００３７】
［各装置の構成］
次に、図２を用いて、図１に示した、中継装置４００、検疫サーバ５００、仮想端末管理サーバ７００の構成を具体的に説明する。図２は、本発明の実施の形態における、中継装置、検疫サーバ、及び仮想端末管理サーバの構成を示すブロック図である。また、本実施の形態では仮想端末は複数個生成されていても良いが、説明を分かりやすくするため、仮想端末７２０を例に挙げて説明する。
【００３８】
［中継装置］
図２に示すように、中継装置４００は、ＩＰパケット受信部４１０と、ＩＰパケット送信部４２０と、通信制御部４３０と、通信ルールデータベース４４０と、通信ルール作成部４５０とを備えている。
【００３９】
このうち、ＩＰパケット受信部４１０は、中継装置４００の外部からのＩＰパケットを受信する。一方、ＩＰパケット送信部４２０は、通信制御部４３０から受け取ったＩＰパケットを外部へと送信する。通信ルールデータベース４４０は、通信ルールを格納している。
【００４０】
通信ルール作成部４５０は、検疫対象端末の業務ネットワークでのＩＰアドレスと、検疫対象端末の検疫ネットワークでのＩＰアドレスと、検疫対象端末に対して許可される特定のポート（ポート番号）とに基づいて、通信ルールも作成する。さらに、通信ルール作成部４５０は、検疫サーバ５００から通知された、検疫対象端末の業務ネットワークでのＩＰアドレスと、検疫対象端末の検疫ネットワークでのＩＰアドレスとを用いて、前者を後者へと変換するためのＩＰアドレス変換テーブルも作成する。
【００４１】
また、通信ルール作成部４５０は、作成したＩＰアドレス変換テーブルと、作成した通信ルールとを、通信ルールデータベース４４０に格納する。ここで、通信ルールデータベース４４０に格納されているＩＰアドレス変換テーブルと通信ルールとの具体例を、図３を用いて説明する。図３は、本実施の形態において、通信ルールデータベースに格納されているＩＰアドレス変換テーブルおよび通信ルールの一例を示す図である。なお、以降においては、データベースは「ＤＢ」と表記する。
【００４２】
図３に示すように、通信ルールＤＢ４４０は、ＩＰアドレス変換テーブルと、通信を制御するための通信ルールテーブルとを格納している。ＩＰアドレス変換テーブルは、隔離された仮想端末（検疫対象端末）の業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとの対応関係を規定している。
【００４３】
具体的には、図１に示したように、仮想端末のＩＰアドレスは、「192.168．0.10」から、［10.10．10.10］に変換されるので、図３に示すように、ＩＰアドレス変換テーブルは、これらを対応付けたものとなる。
【００４４】
また、図１に示すように、本実施の形態では、検疫サーバ５００からは、仮想端末からのＩＰパケットの送信に許可されたポートと、仮想端末へのＩＰパケットの送信に許可されたポートとが通知される。即ち、検疫サーバ５００は、リモート端末から仮想端末への通信に使用されるポートとして、ポート番号［720］に代えて、ポート番号［13389］を通知している。さらに、検疫サーバ５００は、仮想端末７２０から治癒サーバ２００への通信に使用されるポートとして、ポート番号［50030］を通知している。なお、治癒サーバのＩＰアドレスは、［10.164.38.1］である。
【００４５】
このため、本実施の形態では、通信ルールは、図３に示す通りとなる。図３に示す通信ルールは、リモート端末１００から仮想端末７２０へのＲＤＰ（Remote Desktop Protocol）接続と、仮想端末７２０から治癒サーバ２００への特定ポート（ポート番号［50030］）での接続とを許可している。なお、図３の例では、説明を分かりやすくするために、取り得る値を具体的に表示しているが、本実施の形態では、各数値はこれらに限定されるものではない。
【００４６】
また、通信制御部４３０は、通信ルールに基づき通信の制御を行なっている。本実施の形態では、通信制御部４３０は、ＩＰパケット受信部４１０で受信したＩＰパケットと、通信ルールＤＢ４４０に格納されている通信ルールとを比較し、ＩＰパケットを通過させるか、またはブロックするかを判断する。通信制御部４３０は、通過させる場合は、受信したＩＰパケットを、ＩＰパケット送信部４２０に受け渡し、ブロックする場合は、受信したＩＰパケットを破棄する。
【００４７】
［検疫サーバ］
また、図２に示すように、検疫サーバ５００は、端末隔離指示部５１０と、ポリシ適合判定部５２０と、端末情報管理ＤＢ５２０とを備え、これらによって検疫処理を行なっている。
【００４８】
ポリシ適合判定部５２０は、仮想端末７２０の端末情報収集部７２１から受け取った情報に基づいて、仮想端末７２０のセキュリティポリシーが適合しているかどうかを判定し、判定結果を端末情報管理ＤＢ５３０に登録する。また、ポリシ適合判定部５２０は、端末隔離指示部５１０に対して、仮想端末の隔離指示または仮想端末の復旧指示を行う。
【００４９】
端末隔離指示部５１０は、ポリシ適合判定部５２０からの指示の内容に応じて、端末隔離装置７１０の端末隔離部７１１に対して、仮想端末７２０のネットワークの切替を指示する。また、端末隔離指示部５１０は、通信ルール作成部４５０に対して、仮想端末７２０の業務ネットワーク用ＩＰアドレスと、仮想端末７２０の検疫ネットワーク用ＩＰアドレスとを通知する。
【００５０】
端末情報管理ＤＢ５３０は、検疫対象となる仮想端末のＭＡＣアドレスを主キーとして、当該ＭＡＣアドレス、セキュリティポリシーの適合状況、業務ネットワーク用ＩＰアドレス、及び治療ネットワーク用ＩＰアドレスを格納する。
【００５１】
［仮想端末管理サーバ］
さらに、図２に示すように、仮想端末管理サーバ７００において、仮想端末隔離装置７１０は、端末隔離部７１１を備えている。端末隔離部７１１は、セキュリティポリシーに適合しない仮想端末のネットワークを切り替え、当該仮想端末を業務ネットワークから検疫ネットワークへと隔離する。つまり、端末隔離部７１１は、仮想端末に対して隔離が必要となる場合は、その仮想端末のＩＰアドレスを、業務ネットワーク用ＩＰアドレスから検疫ネットワーク用ＩＰアドレスへと切り替える。
【００５２】
また、仮想端末７２０〜７４０は、当該仮想端末内の情報を収集する端末情報収集部７２１を備えている。端末情報収集部７２１は、例えば、パスワードの有効期間及びウイルス定義ファイルの更新日時など、セキュリティポリシーの判定に必要な情報と、ＭＡＣアドレスとを収集する。また、端末情報収集部７２１は、収集した情報を検疫サーバ５００に送信する。
【００５３】
［動作説明］
次に、本発明の実施の形態における検疫ネットワークシステム１０の動作について、図４〜図６を用いて説明する。また、本実施の形態では、検疫ネットワークシステム１０を動作させることによって、検疫方法が実施される。よって、本実施の形態における検疫方法の説明は、以下の検疫ネットワークシステム１０の動作説明に代える。なお、以下においては、説明を分かりやすくするため、複数構築されている仮想端末のうち、仮想端末７２０のみを例として取り上げる。
【００５４】
[仮想端末の隔離時の動作]
最初に、本実施の形態における検疫ネットワークシステム１０での仮想端末の隔離時の動作について図４を用いて説明する。図４は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の隔離時の動作を示すシーケンス図である。
【００５５】
図４に示す処理の前提として、端末情報管理ＤＢ５３０（図２参照）には、仮想端末７２０のＭＡＣアドレスと、業務ネットワークでのＩＰアドレスと、前回のセキュリティポリシー判定時のセキュリティポリシーの適合状況とが格納されているものとする。また、中継装置４００は、全てのＩＰパケットを通過させるように設定されているとする。
【００５６】
図４に示すように、最初に、仮想端末７２０において、端末情報収集部７２１は、パスワードの有効期間及びウイルス定義ファイルの更新日時など、セキュリティポリシーの判定に必要な端末情報とＭＡＣアドレスとを収集する。そして、端末情報収集部７２１は、収集した情報を、検疫サーバ５００におけるポリシ適合判定部５２０に送信する（ステップＡ１）。
【００５７】
次に、検疫サーバ５００において、ポリシ適合判定部５２０は、端末情報収集部７２１から受け取った端末情報を用いて、仮想端末７２０におけるセキュリティポリシーの適合状況を判定する（ステップＡ２）。
【００５８】
ここで、仮想端末７２０がセキュリティポリシーを満たしていない場合、ポリシ適合判定部５２０は、端末情報管理ＤＢ５３０において、仮想端末７２０のＭＡＣアドレスを主キーとして検索を行い、仮想端末７２０の情報を特定する。そして、ポリシ適合判定部５２０は、仮想端末７２０の適合状況を「不適合」に更新する（ステップＡ３）。
【００５９】
次に、ポリシ適合判定部５２０は、「不適合」となった仮想端末のＭＡＣアドレスと、「不適合」という判定情報とを、端末隔離指示部５１０に通知する（ステップＡ４）。端末隔離指示部５１０は、端末情報管理ＤＢ５３０を参照し、受け取ったＭＡＣアドレスに基づいて、仮想端末の業務ネットワーク用ＩＰアドレスを取り出す（ステップＡ５）。
【００６０】
次に、端末隔離指示部５１０は、「不適合」となった仮想端末７２１を検疫ネットワークに切り替えるように、端末隔離装置７１０の端末隔離部７１１に指示する（ステップＡ６）。この際、端末隔離指示部５１０は、端末隔離装置７１０に対して、仮想端末７２０の業務ネットワーク用ＩＰアドレスを通知する。
【００６１】
次に、端末隔離装置７１０において、端末隔離部７１１は、受け取った業務ネットワーク用ＩＰアドレスを持つ仮想端末７２０について、そのネットワークを、業務ネットワークから検疫ネットワークへと切り替える。そして、端末隔離部７１１は、仮想端末７２０のＩＰアドレスを検疫ネットワーク用ＩＰアドレスに変更する（ステップＡ７）。
【００６２】
次に、端末隔離部７１１は、仮想端末７２０の検疫ネットワーク用ＩＰアドレスを端末隔離指示部５１０に通知する（ステップＡ８）。端末隔離指示部５１０は、受け取った検疫ネットワーク用ＩＰアドレスを、端末情報管理ＤＢ５３０に登録する（ステップＡ９）。
【００６３】
次に、端末隔離指示部５１０は、端末情報管理ＤＢ５３０から「不適合」となった仮想端末７２０のＭＡＣアドレスをキーとして、その仮想端末７２０の業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとを取り出す（ステップＡ１０）。
【００６４】
次に、端末隔離指示部５１０は、取り出した業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとを、中継装置４００における通信ルール作成部４５０に通知する（ステップＡ１１）。
【００６５】
次に、中継装置４００において、通信ルール作成部４５０は、端末隔離指示部５１０から受け取った業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとから、通信ルールを生成する（ステップＡ１２）。ステップＡ１２において生成される通信ルールは、リモート端末から仮想端末７２０へのＲＤＰ（Remote Desktop Protocol）接続と、仮想端末７２０から治癒サーバへの特定ポートでの接続との、２つの接続のみを許可するルールである。また、ステップＡ１２では、通信ルール作成部４５０は、ＩＰアドレス変換テーブルも作成する（図３参照）。
【００６６】
次に、通信ルール作成部４５０は、端末隔離指示部５１０から受け取った業務ネットワークでのＩＰアドレス及び検疫ネットワークでのＩＰアドレスから作成したＩＰアドレス変換テーブルと、作成した通信ルールとを、通信ルールＤＢ４４０に登録する（ステップＡ１３）。ＩＰアドレス変換テーブル及び通信ルールの例は、図３に示した通りである。
【００６７】
[仮想端末の治療時の動作]
次に、本実施の形態における検疫ネットワークシステム１０での仮想端末の治療時の動作について図５を用いて説明する。図５は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の治療時の動作を示すシーケンス図である。
【００６８】
図５に示す処理の前提として、通信ルールＤＢ４４０には、図３に示したように、隔離された仮想端末７２０の業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとを対応付けたＩＰアドレス変換テーブルと、通信ルールと、が格納されているものとする。また、仮想端末７２０は、検疫ネットワークに接続されているものとする。通信ルールは、図４に示したステップＡ１２で生成されている（図３参照）。
【００６９】
図５に示すように、最初に、中継装置４００において、ＩＰパケット受信部４１０は、通信路に流れるＩＰパケットを受信し（ステップＢ１）、通信制御部４３０へ引き渡す（ステップＢ２）。
【００７０】
次に、通信制御部４３０は、受信したＩＰパケットが通信ルールＤＢ４４０に格納された通信ルールに適合するかどうかを判定する（ステップＢ３）。具体的には、通信制御部４３０は、受信したＩＰパケットの送信先が、隔離された仮想端末７２０の業務ネットワーク用ＩＰアドレスであり、且つリモート端末１００から仮想端末７２０への接続がＲＤＰ接続であるかどうかを判定する（ステップＢ４）。
【００７１】
判定の結果、イエスである場合は、通信制御部４３０は、ＩＰパケットの送信先である業務ネットワーク用ＩＰアドレスを、検疫ネットワーク用ＩＰアドレスに書き換える（ステップＢ５）。一方、判定の結果、ノーである場合は、通信制御部４３０は、ＩＰパケットを破棄する。
【００７２】
次に、通信制御部４３０は、ＩＰパケットの送信先を書き換えた後、そのＩＰパケットをＩＰパケット送信部４２０へ引き渡す（ステップＢ６）。そして、ＩＰパケット送信部４２０は、仮想端末７２０に、受け取ったＩＰパケットを送信する（ステップＢ７）。以上のステップＢ１〜Ｂ７の処理により、リモート端末１００から隔離された仮想端末７２０への通信は、中断されることなく継続される。
【００７３】
また、リモート端末１００から隔離された仮想端末７２０へ治療の指示があった場合、仮想端末７２０から治癒サーバへの通信（ステップＢ８）が発生する。この場合も、ステップＢ１〜Ｂ７と同様の処理が行なわれる。
【００７４】
即ち、中継装置４００のＩＰパケット受信部４１０によるＩＰパケットの受信（ステップＢ９）、通信制御部４３０による通信ルールＤＢ４４０の通信ルールとＩＰパケットの照合（ステップＢ１０、ステップＢ１１）が行なわれる。
【００７５】
また、仮想端末７２０から治癒サーバへの通信である場合は、受信したＩＰパケットは通信ルールに適合すると判断されるので、通信制御部４３０は、送信先のＩＰアドレスを書き換え、ＩＰパケット送信部４２０にＩＰパケットを受け渡す（ステップＢ１２）。なお、通信ルールに適合しない場合は、通信制御部４３０は、ＩＰパケットを破棄する。
【００７６】
その後、ＩＰパケット送信部４２０は、仮想端末７２０に、受け取ったＩＰパケットを送信する（ステップＢ１３）。以上の処理により、仮想端末７２０と治癒サーバ２００との間では、安全な通信が可能となる。
【００７７】
[仮想端末の復旧時の動作]
次に、本実施の形態における検疫ネットワークシステム１０での仮想端末の復旧時の動作について図６を用いて説明する。図６は、本発明の実施の形態における検疫ネットワークシステムでの仮想端末の復旧時の動作を示すシーケンス図である。
【００７８】
図６に示す処理の前提として、端末情報管理ＤＢ５３０（図２参照）には、仮想端末７２０のＭＡＣアドレスと、業務ネットワークでのＩＰアドレスと、検疫ネットワークでのＩＰアドレスと、前回のセキュリティポリシー判定時のセキュリティポリシーの適合状況とが格納されているものとする。
【００７９】
図６に示すように、最初に、仮想端末７２０において、端末情報収集部７２１は、パスワードの有効期間及びウイルス定義ファイルの更新日時など、セキュリティポリシーの判定に必要な端末情報とＭＡＣアドレスとを収集する。そして、端末情報収集部７２１は、収集した情報を、検疫サーバ５００におけるポリシ適合判定部５２０に送信する（ステップＣ１）。
【００８０】
次に、検疫サーバ５００において、ポリシ適合判定部５２０は、端末情報収集部７２１から受け取った端末情報を用いて、仮想端末７２０におけるセキュリティポリシーの適合状況を判定する（ステップＣ２）。ここで、仮想端末７２０がセキュリティポリシーを満たしている場合、ポリシ適合判定部５２０は、端末情報管理ＤＢ５３０において、仮想端末７２０のＭＡＣアドレスを主キーとして検索を行い、仮想端末７２０の適合状況を「適合」に更新する（ステップＣ３）。
【００８１】
次に、ポリシ適合判定部５２０は、「適合」となった仮想端末７２０のＭＡＣアドレスと、「適合」という判定情報とを、端末隔離指示部５１０に通知する（ステップＣ４）。端末隔離指示部５１０は、端末情報管理ＤＢ５３０を参照し、受け取ったＭＡＣアドレスに基づいて、仮想端末７２０の業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとを取り出す（ステップＣ５）。
【００８２】
次に、端末隔離指示部５１０は、仮想端末のセキュリティポリシーの適合状況が「適合」であるため、仮想端末７２０を復旧させるよう端末隔離部７１１に指示を与える（ステップＣ６）。具体的には、端末隔離指示部５１０は、端末隔離部７１１に対して、仮想端末が接続されているネットワークを、業務ネットワークに切り替えるように指示し、仮想端末７２０の業務ネットワーク用ＩＰアドレスと検疫ネットワーク用ＩＰアドレスとを通知する。
【００８３】
次に、端末隔離装置７１０において、端末隔離部７１１は、受け取った検疫ネットワークでのＩＰアドレスを持つ仮想端末７２０のネットワークを業務ネットワークに切り替え、仮想端末７２０のＩＰアドレスを業務ネットワークでのＩＰアドレスに変更する（ステップＣ７）。
【００８４】
続いて、検疫サーバ５００において、端末隔離指示部５１０は、中継装置４００の通信ルール作成部４５０に、仮想端末７２０の業務ネットワークでのＩＰアドレスと検疫ネットワークでのＩＰアドレスとを通知する（ステップＣ８）。
【００８５】
その後、通信ルール作成部４５０は、通信ルールＤＢ４２０において、受け取った業務ネットワークでのＩＰアドレスをキーとして検索を行ない、その業務ネットワークでのＩＰアドレスに関する通信ルールと、業務ネットワークでのＩＰアドレス及び検疫ネットワークでのＩＰアドレスを対応付けているＩＰアドレス変換テーブルとを削除する（ステップＣ９）。以上のステップＣ１〜Ｃ９により、仮想端末は業務ネットワークへと復旧することになる。
【００８６】
［実施の形態における効果］
以上のように、本実施の形態では、仮想端末が隔離された場合に、検疫サーバが、それまで仮想端末に付与していた業務ネットワークでのＩＰアドレスと、検疫ネットワークでのＩＰアドレスを中継装置に通知する。そして、中継装置は、リモート接続用のプロトコル以外を制限する。このため、本実施の形態によれば、仮想環境上の仮想端末が検疫ネットワークに隔離された場合であっても、仮想端末を利用するユーザは、業務ネットワークでのＩＰアドレスを用いて、仮想端末による業務を継続でき、仮想端末の治療のために、求められる操作を行なうことができる。
【００８７】
また、本実施の形態では、仮想端末が隔離された場合に、中継装置は、通信ルールを用いて通信制御を行い、リモート端末から仮想端末へのアクセス、仮想端末から治癒サーバへのアクセスといった一定のアクセスのみを許可する。このため、本実施の形態によれば、隔離された仮想端末を安全に治療することができる。
【産業上の利用可能性】
【００８８】
以上のように、本発明によれば、検疫ネットワークシステムを仮想環境（シンクライアント環境）に適用でき、仮想マシンが隔離されている時でも、シンクライアント端末（リモート端末）からの通信を中断することなく、シンクライアントの操作を安全に継続させることができる。本発明は、仮想化システムのセキュリティ確保に有用となる。
【符号の説明】
【００８９】
１０ 検疫ネットワークシステム
１００ リモート端末
２００ 治癒サーバ
３００ ネットワーク
４００ 中継装置
４１０ ＩＰパケット受信部
４２０ ＩＰパケット送信部
４３０ 通信制御部
４４０ 通信ルールデータベース
４５０ 通信ルール作成部
５００ 検疫サーバ
５１０ 端末隔離指示部
５２０ ポリシ適合判定部
５３０ 端末情報管理データベース
６００ スイッチ
７００ 仮想端末管理サーバ（物理サーバ）
７１０ 端末隔離装置
７１１ 端末隔離部
７２０、７３０、７４０ 仮想端末
７２１ 端末情報収集部
【特許請求の範囲】
【請求項１】
物理サーバが提供する仮想環境に構築された仮想端末に対して、検疫を実行する、検疫ネットワークシステムであって、
前記仮想端末と前記仮想端末にアクセスするリモート端末との通信経路に設置される、中継装置と、前記仮想端末がセキュリティポリシーに適合するかどうかを判定する、検疫サーバと、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、これを検疫ネットワークに接続させる、端末隔離装置と、を備え、
前記検疫サーバは、前記仮想端末が前記セキュリティポリシーに適合しないと判定した場合に、前記仮想端末の業務ネットワークでのＩＰアドレス、前記仮想端末の前記検疫ネットワークでのＩＰアドレス、および前記検疫ネットワークに接続された前記仮想端末に対して許可される特定のポートを、前記中継装置に通知し、
前記中継装置は、前記検疫サーバからの通知を受けると、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスを、前記仮想端末の業務ネットワークでのＩＰアドレスから前記検疫ネットワークでのＩＰアドレスに変換し、更に、前記仮想端末に対して前記特定のポートを用いた通信のみを許可する、
ことを特徴とする検疫ネットワークシステム。
【請求項２】
前記中継装置が、前記仮想端末の業務ネットワークでのＩＰアドレスと前記仮想端末の前記検疫ネットワークでのＩＰアドレスとを対応付けるＩＰアドレス変換テーブルを作成し、前記ＩＰアドレス変換テーブルを用いて、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスの変換を行う、請求項１に記載の検疫ネットワークシステム。
【請求項３】
前記検疫サーバが、前記仮想端末からのＩＰパケットの送信に許可された第１のポートと、前記仮想端末へのＩＰパケットの送信に許可された第２のポートとを通知し、
前記中継装置が、通知された前記第１のポートと前記第２のポートとを用いて、前記仮想端末に対して通信ルールを作成し、作成した前記通信ルールに基づいて、前記仮想端末に対する通信を許可する、請求項１または２に記載の検疫ネットワークシステム。
【請求項４】
前記セキュリティポリシーに適合しない仮想端末を治療する治癒サーバを更に備え、
前記中継装置は、前記特定のポートを用いて、前記仮想端末と前記治癒サーバとの通信を許可する、
請求項１〜３のいずれかに記載の検疫ネットワークシステム。
【請求項５】
前記端末隔離装置が、
前記検疫サーバによって、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、前記仮想端末の業務ネットワークでのＩＰアドレスを取得し、更に、前記仮想端末を前記検疫ネットワークに接続させた後、前記仮想端末の前記検疫ネットワークでのＩＰアドレスを取得し、取得した前記業務ネットワークでのＩＰアドレスと前記検疫ネットワークでのＩＰアドレスとを、前記検疫サーバに送信する、
請求項１〜４のいずれかに記載の検疫ネットワークシステム。
【請求項６】
物理サーバが提供する仮想環境に構築された仮想端末に対して、検疫を実行するための方法であって、
前記仮想端末と前記仮想端末にアクセスするリモート端末との通信経路に設置される、中継装置と、前記仮想端末がセキュリティポリシーに適合するかどうかを判定する、検疫サーバと、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、これを検疫ネットワークに接続させる、端末隔離装置と、を用い、
（ａ）前記検疫サーバが、前記仮想端末が前記セキュリティポリシーに適合しないと判定した場合に、前記検疫サーバによって、前記仮想端末の業務ネットワークでのＩＰアドレス、前記仮想端末の前記検疫ネットワークでのＩＰアドレス、および前記検疫ネットワークに接続された前記仮想端末に対して許可される特定のポートを、前記中継装置に通知する、ステップと、
（ｂ）前記中継装置が、前記（ａ）のステップでの通知を受け取った場合に、前記中継装置によって、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスを、前記仮想端末の業務ネットワークでのＩＰアドレスから前記検疫ネットワークでのＩＰアドレスに変換し、更に、前記仮想端末に対して前記特定のポートを用いた通信のみを許可する、ステップと、
を有することを特徴とする検疫方法。
【請求項７】
前記（ｂ）のステップにおいて、前記中継装置によって、前記仮想端末の業務ネットワークでのＩＰアドレスと前記仮想端末の前記検疫ネットワークでのＩＰアドレスとを対応付けるＩＰアドレス変換テーブルを作成し、前記ＩＰアドレス変換テーブルを用いて、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスの変換を行う、請求項６に記載の検疫方法。
【請求項８】
前記（ａ）のステップにおいて、前記検疫サーバによって、前記仮想端末からのＩＰパケットの送信に許可された第１のポートと、前記仮想端末へのＩＰパケットの送信に許可された第２のポートとを通知し、
前記（ｂ）のステップにおいて、前記中継装置によって、前記（ａ）のステップで通知された前記第１のポートと前記第２のポートとを用いて、前記仮想端末に対して通信ルールを作成し、作成した前記通信ルールに基づいて、前記仮想端末に対する通信を許可する、請求項６または７に記載の検疫方法。
【請求項９】
前記セキュリティポリシーに適合しない仮想端末を治療する治癒サーバが更に用いられ、
前記（ｂ）のステップにおいて、前記中継装置によって、前記特定のポートを用いて、前記仮想端末と前記治癒サーバとの通信を許可する、
請求項６〜８のいずれかに記載の検疫方法。
【請求項１０】
（ｃ）前記検疫サーバによって、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、
前記端末隔離装置によって、前記仮想端末の業務ネットワークでのＩＰアドレスを取得し、更に、前記仮想端末を前記検疫ネットワークに接続させた後、前記仮想端末の前記検疫ネットワークでのＩＰアドレスを取得し、取得した前記業務ネットワークでのＩＰアドレスと前記検疫ネットワークでのＩＰアドレスとを、前記検疫サーバに送信する、ステップを更に有する、請求項６〜９のいずれかに記載の検疫方法。
【請求項１】
物理サーバが提供する仮想環境に構築された仮想端末に対して、検疫を実行する、検疫ネットワークシステムであって、
前記仮想端末と前記仮想端末にアクセスするリモート端末との通信経路に設置される、中継装置と、前記仮想端末がセキュリティポリシーに適合するかどうかを判定する、検疫サーバと、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、これを検疫ネットワークに接続させる、端末隔離装置と、を備え、
前記検疫サーバは、前記仮想端末が前記セキュリティポリシーに適合しないと判定した場合に、前記仮想端末の業務ネットワークでのＩＰアドレス、前記仮想端末の前記検疫ネットワークでのＩＰアドレス、および前記検疫ネットワークに接続された前記仮想端末に対して許可される特定のポートを、前記中継装置に通知し、
前記中継装置は、前記検疫サーバからの通知を受けると、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスを、前記仮想端末の業務ネットワークでのＩＰアドレスから前記検疫ネットワークでのＩＰアドレスに変換し、更に、前記仮想端末に対して前記特定のポートを用いた通信のみを許可する、
ことを特徴とする検疫ネットワークシステム。
【請求項２】
前記中継装置が、前記仮想端末の業務ネットワークでのＩＰアドレスと前記仮想端末の前記検疫ネットワークでのＩＰアドレスとを対応付けるＩＰアドレス変換テーブルを作成し、前記ＩＰアドレス変換テーブルを用いて、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスの変換を行う、請求項１に記載の検疫ネットワークシステム。
【請求項３】
前記検疫サーバが、前記仮想端末からのＩＰパケットの送信に許可された第１のポートと、前記仮想端末へのＩＰパケットの送信に許可された第２のポートとを通知し、
前記中継装置が、通知された前記第１のポートと前記第２のポートとを用いて、前記仮想端末に対して通信ルールを作成し、作成した前記通信ルールに基づいて、前記仮想端末に対する通信を許可する、請求項１または２に記載の検疫ネットワークシステム。
【請求項４】
前記セキュリティポリシーに適合しない仮想端末を治療する治癒サーバを更に備え、
前記中継装置は、前記特定のポートを用いて、前記仮想端末と前記治癒サーバとの通信を許可する、
請求項１〜３のいずれかに記載の検疫ネットワークシステム。
【請求項５】
前記端末隔離装置が、
前記検疫サーバによって、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、前記仮想端末の業務ネットワークでのＩＰアドレスを取得し、更に、前記仮想端末を前記検疫ネットワークに接続させた後、前記仮想端末の前記検疫ネットワークでのＩＰアドレスを取得し、取得した前記業務ネットワークでのＩＰアドレスと前記検疫ネットワークでのＩＰアドレスとを、前記検疫サーバに送信する、
請求項１〜４のいずれかに記載の検疫ネットワークシステム。
【請求項６】
物理サーバが提供する仮想環境に構築された仮想端末に対して、検疫を実行するための方法であって、
前記仮想端末と前記仮想端末にアクセスするリモート端末との通信経路に設置される、中継装置と、前記仮想端末がセキュリティポリシーに適合するかどうかを判定する、検疫サーバと、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、これを検疫ネットワークに接続させる、端末隔離装置と、を用い、
（ａ）前記検疫サーバが、前記仮想端末が前記セキュリティポリシーに適合しないと判定した場合に、前記検疫サーバによって、前記仮想端末の業務ネットワークでのＩＰアドレス、前記仮想端末の前記検疫ネットワークでのＩＰアドレス、および前記検疫ネットワークに接続された前記仮想端末に対して許可される特定のポートを、前記中継装置に通知する、ステップと、
（ｂ）前記中継装置が、前記（ａ）のステップでの通知を受け取った場合に、前記中継装置によって、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスを、前記仮想端末の業務ネットワークでのＩＰアドレスから前記検疫ネットワークでのＩＰアドレスに変換し、更に、前記仮想端末に対して前記特定のポートを用いた通信のみを許可する、ステップと、
を有することを特徴とする検疫方法。
【請求項７】
前記（ｂ）のステップにおいて、前記中継装置によって、前記仮想端末の業務ネットワークでのＩＰアドレスと前記仮想端末の前記検疫ネットワークでのＩＰアドレスとを対応付けるＩＰアドレス変換テーブルを作成し、前記ＩＰアドレス変換テーブルを用いて、前記リモート端末から前記仮想端末へと送信されたＩＰパケットの送信先のＩＰアドレスの変換を行う、請求項６に記載の検疫方法。
【請求項８】
前記（ａ）のステップにおいて、前記検疫サーバによって、前記仮想端末からのＩＰパケットの送信に許可された第１のポートと、前記仮想端末へのＩＰパケットの送信に許可された第２のポートとを通知し、
前記（ｂ）のステップにおいて、前記中継装置によって、前記（ａ）のステップで通知された前記第１のポートと前記第２のポートとを用いて、前記仮想端末に対して通信ルールを作成し、作成した前記通信ルールに基づいて、前記仮想端末に対する通信を許可する、請求項６または７に記載の検疫方法。
【請求項９】
前記セキュリティポリシーに適合しない仮想端末を治療する治癒サーバが更に用いられ、
前記（ｂ）のステップにおいて、前記中継装置によって、前記特定のポートを用いて、前記仮想端末と前記治癒サーバとの通信を許可する、
請求項６〜８のいずれかに記載の検疫方法。
【請求項１０】
（ｃ）前記検疫サーバによって、前記仮想端末が前記セキュリティポリシーに適合しないと判定された場合に、
前記端末隔離装置によって、前記仮想端末の業務ネットワークでのＩＰアドレスを取得し、更に、前記仮想端末を前記検疫ネットワークに接続させた後、前記仮想端末の前記検疫ネットワークでのＩＰアドレスを取得し、取得した前記業務ネットワークでのＩＰアドレスと前記検疫ネットワークでのＩＰアドレスとを、前記検疫サーバに送信する、ステップを更に有する、請求項６〜９のいずれかに記載の検疫方法。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図２】
【図３】
【図４】
【図５】
【図６】
【公開番号】特開２０１２−２２２３８３（Ｐ２０１２−２２２３８３Ａ）
【公開日】平成２４年１１月１２日（２０１２．１１．１２）
【国際特許分類】
【出願番号】特願２０１１−８２４３８（Ｐ２０１１−８２４３８）
【出願日】平成２３年４月４日（２０１１．４．４）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成２４年１１月１２日（２０１２．１１．１２）
【国際特許分類】
【出願日】平成２３年４月４日（２０１１．４．４）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]