JP7146124B1 - 端末装置、方法およびプログラム - Google Patents

Abstract

【課題】端末装置が起動してからセキュアなネットワークに接続するまでの間、端末装置上で実行されるアプリケーション、プロセスの実行環境をセキュアなネットワーク以外のネットワークに接続させないようにする。【解決手段】端末装置１は、セキュアな所属先のＬＡＮに外部からネットワーク接続するためのネットワーク接続部と、自身の実動作環境を構成するアプリケーションまたはプロセスを実行するアプリケーション部と、アプリケーション部とネットワーク接続部との間に形成され、ネットワーク接続部が所属先のＬＡＮの内部から接続可能な第１サーバに所属先のＬＡＮの外部からの接続を行うための第２サーバを介してセキュアな接続ができた場合に、アプリケーション部とネットワーク接続部とを接続し、アプリケーション部をネットワーク接続部、第２サーバを介して所属先のＬＡＮと通信可能とする通信処理部とを備える。【選択図】図１

Description

本発明は、端末装置、方法およびプログラムに関する。

近年、あるＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）に所属する端末装置を外部に持ち出し、持ち出し先から所属するＬＡＮに接続することが行われている。端末装置を持ち出し先から所属するＬＡＮに接続する際、端末装置は、所属するＬＡＮ以外のネットワークを通じて所属するＬＡＮに接続することになる。この場合、端末装置は、所属するＬＡＮ以外のネットワークに接続された他の機器とも通信が可能になるが、他の機器からも端末装置に通信できるようになる。このため、端末装置が他の機器からサイバー攻撃を受けた場合、端末装置および所属するＬＡＮ内に保存された情報が漏洩する可能性がある。そこで、端末装置を、所属するＬＡＮ以外のネットワークに接続された他の機器と直接通信できないようにする技術が考えられている。例えば、特許文献１には、端末装置がＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ）接続およびＶＰＮサーバの探索・認証をするための通信以外をファイアウォールで遮断する技術が開示されている。

特許第４７７５１５４号公報

特許文献１に開示されている技術では、端末装置がネットワークに接続されていることを確認した後、ＶＰＮサーバの探索および認証をするための通信以外をファイアウォールで遮断している。

端末装置の起動時には、自動的にＶＰＮ接続するアプリケーションだけではなく、端末装置の実動作環境を構成するためのアプリケーションも複数並行して起動する。アプリケーションによってはスタートアップ処理の時に、端末装置が接続しているネットワークと通信を行うものもある。端末装置は、ＶＰＮ接続を確立する前に、まずは、インターネット、公共のＬＡＮ等のＶＰＮ以外のネットワークに接続する。

上述のとおり、特許文献１に開示されている技術では、端末装置がネットワークに接続されていることを確認した後、ＶＰＮサーバの探索・認証をするための通信以外をファイアウォールで遮断している。このため、端末装置が、ＶＰＮ接続する前の、ＶＰＮ以外のネットワークに接続している時に任意のアプリケーションにより通信が行われた場合、端末装置がセキュリティ上の脅威にさらされるという課題がある。

本発明は、上述のような事情に鑑みてなされたものであり、端末装置が起動してからセキュアなネットワークに接続するまでの間、端末装置上で実行されるアプリケーション、プロセスの実行環境をセキュアなネットワーク以外のネットワークに接続させないようにすることができる端末装置、方法およびプログラムを提供することを目的とする。

上記の目的を達成するため、本発明の第１の観点に係る端末装置は、
セキュアな所属先のＬＡＮに外部からネットワーク接続するためのネットワーク接続部と、
自身の実動作環境を構成するアプリケーションまたはプロセスを実行するアプリケーション部と、
前記アプリケーション部と前記ネットワーク接続部との間に形成され、前記アプリケーション部と前記ネットワーク接続部を接続するための第１仮想ネットワークコントローラおよび第２仮想ネットワークコントローラを含む通信処理部と、
を備え、
前記通信処理部は、前記ネットワーク接続部が前記所属先のＬＡＮの内部からのみ接続可能な第１サーバに前記所属先のＬＡＮの外部からの接続を行うための第２サーバを介してセキュアな接続ができた場合に、前記第１仮想ネットワークコントローラと前記第２仮想ネットワークコントローラとを接続することにより、前記アプリケーション部を前記ネットワーク接続部および前記第２サーバを介して前記所属先のＬＡＮと通信可能とする。

前記ネットワーク接続部は、接続した前記第１サーバに送信したリプライ要求の返答が無い場合、または返答に含まれるサーバ情報の解析結果に基づいて前記第１サーバが真正なサーバではないと判定した場合には、前記第２サーバにセキュアな接続を要求し、セキュアな接続が確立できた場合には前記第２サーバを介して、前記第１サーバに前記リプライ要求を送信する。

さらに、前記ネットワーク接続部は、前記第２サーバを介して前記第１サーバに送信した前記リプライ要求の返答があり、かつ返答に含まれるサーバ情報の解析結果に基づいて前記第１サーバが真正なサーバと判定した場合には、前記通信処理部に前記第１仮想ネットワークコントローラと前記第２仮想ネットワークコントローラとを接続をさせることにより、自身と前記アプリケーション部とを接続させ、前記アプリケーション部を、前記第２サーバを介して前記所属先のＬＡＮと接続させる。

また、上記の目的を達成するため、本発明の第２の観点に係る方法は、
端末装置が実行する方法であって、
セキュアな所属先のＬＡＮに外部からネットワーク接続するためのネットワーク接続手段を、前記所属先のＬＡＮの外部からネットワーク接続させるステップと、
前記所属先のＬＡＮの内部からのみ接続可能な第１サーバに前記所属先のＬＡＮの外部からの接続を行うための第２サーバを介してセキュアな接続ができた場合に、前記ネットワーク接続手段と、実動作環境を構成するアプリケーションまたはプロセスを実行するアプリケーション手段と、を接続するための、第１仮想ネットワークコントローラおよび第２仮想ネットワークコントローラを接続することにより、前記アプリケーション手段を前記ネットワーク接続手段および前記第２サーバを介して前記所属先のＬＡＮと通信可能にするステップと、
を備える。

また、上記の目的を達成するため、本発明の第３の観点に係るプログラムは、
コンピュータを、
セキュアな所属先のＬＡＮに外部からネットワーク接続するネットワーク接続部、
自身の実動作環境を構成するアプリケーションまたはプロセスを実行するアプリケーション部、
前記アプリケーション部と前記ネットワーク接続部との間に形成され、前記アプリケーション部と前記ネットワーク接続部を接続するための第１仮想ネットワークコントローラおよび第２仮想ネットワークコントローラを含み、前記ネットワーク接続部が前記所属先のＬＡＮの内部からのみ接続可能な第１サーバに前記所属先のＬＡＮの外部からの接続を行うための第２サーバを介してセキュアな接続ができた場合に、前記第１仮想ネットワークコントローラと前記第２仮想ネットワークコントローラとを接続することにより、前記アプリケーション部を前記ネットワーク接続部および前記第２サーバを介して前記所属先のＬＡＮと通信可能とする通信処理部、
として機能させる。

本発明によれば、端末装置が起動してからセキュアなネットワークに接続するまでの間、端末装置上で実行されるアプリケーション、プロセスの実行環境をセキュアなネットワーク以外のネットワークに接続させないようにすることができる。

本発明の実施の形態に係るネットワークシステムの概要を示す概要図である。 実施の形態に係る端末装置の構成を示すブロック図である。 実施の形態に係る端末装置のハードウェア構成の一例を示すブロック図である。 実施の形態に係る端末装置とサーバとの接続の概要を示す概要図である。 図４Ａに示した端末装置とサーバとの接続方法についての説明を示す図である。 実施の形態に係る端末装置による初期設定処理の一例を示すフローチャートである。 実施の形態に係る端末装置の機密ＬＡＮとの接続処理の一例を示すフローチャートである。 実施の形態に係る端末装置のネットワーク接続処理を示すフローチャートである。 実施の形態に係る端末装置の機密ＬＡＮとの切断処理の一例を示すフローチャートである。

以下、本発明の実施の形態について、図面を参照しながら詳細に説明する。なお、図中同一又は相当部分には同一符号を付す。

本発明の実施の形態に係る端末装置１は、ハイパーバイザーを用いて１つのコンピュータ上で複数の仮想マシンを並行して動作させることにより、起動してから機密ＬＡＮ２に直接もしくはＶＰＮ経由で接続するまでの間、端末装置１上で実行されるアプリケーション、プロセス等を機密ＬＡＮ２以外のネットワークに接続させないようにすることができる装置である。

本発明の実施の形態に係る端末装置１と、端末装置１が接続するネットワークとを含むネットワークシステム１００の概要を、図１に示す。端末装置１は、企業内、自治体内等の、セキュアなネットワークである機密ＬＡＮ２に所属する装置である。端末装置１は、例えば、ノートパソコン、タブレットＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等の、機密ＬＡＮ２の設定された場所から外部に持ち出すことのできる携帯可能な機器で構成される。

機密ＬＡＮ２は、機密ＬＡＮ２の内部からのみ接続が可能なＤＮＳ（Ｄｏｍａｉｎ Ｎａｍｅ Ｓｙｓｔｅｍ）サーバ２１と、機密ＬＡＮ２の外部からインターネット３を介して端末装置１とネットワーク接続を行うためのＶＰＮサーバ２２とを備えている。なお、以下では、インターネット３は、機密ＬＡＮ２の外部にある各種ネットワーク、すなわち機密ＬＡＮ２以外のネットワークの総称として用いるものとする。端末装置１が、図１に示す直線の経路のように、機密ＬＡＮ２の内部からのみアクセス可能なＤＮＳサーバ２１に接続できた場合、後述する端末装置１に含まれるネットワーク接続部１２は、機密ＬＡＮ２内に端末装置１自身が存在するものと判定し、直接機密ＬＡＮ２内で通信を行う。

また、端末装置１がＤＮＳサーバ２１に接続できなかった場合、後述する端末装置１に含まれるネットワーク接続部１２は、端末装置１自身を機密ＬＡＮ２の外部に存在するものと判定する。この場合、端末装置１のネットワーク接続部１２は、図１に示す一点鎖点の経路のように、インターネット３からＶＰＮサーバ２２を介してＤＮＳサーバ２１と接続する。これにより、端末装置１のネットワーク接続部１２は、機密ＬＡＮ２と通信を行う。なお、ＤＮＳサーバ２１とＶＰＮサーバ２２とは、特許請求の範囲における第１サーバ、第２サーバの一例である。また、機密ＬＡＮ２は、特許請求の範囲における所属先のＬＡＮの一例である。

図２に、端末装置１の構成を示す。端末装置１は、ネットワークに接続するためのインターフェース部１１と、ネットワークとの接続を担保するためのネットワーク接続部１２と、各種のアプリケーション、プロセスを実行するアプリケーション部１３と、第１仮想ＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃｏｎｔｒｏｌｌｅｒ）１４Ａと、第２仮想ＮＩＣ１４Ｂとを備える。なお、以下では、第１仮想ＮＩＣ１４Ａと第２仮想ＮＩＣ１４Ｂとを総称して、仮想ＮＩＣ１４と称する。なお、仮想ＮＩＣ１４は、特許請求の範囲における通信処理部の一例である。

インターフェース部１１は、端末装置１の外部にあるインターネット３、機密ＬＡＮ２等の各種ネットワークと接続するためのインターフェースである。ネットワーク接続部１２は、インターフェース部１１を介して接続しているネットワークが、機密ＬＡＮ２の場合には直接接続し、インターネット３の場合にはＶＰＮなどの手段を用いて機密ＬＡＮ２との接続を確立する接続部である。本実施の形態では、ネットワーク接続部１２は、機密ＬＡＮ２の内部からのみ接続可能なＤＮＳサーバ２１、もしくは機密ＬＡＮ２の外部からインターネット３と接続可能なＶＰＮサーバ２２とを介してＤＮＳサーバ２１と接続することにより、機密ＬＡＮ２との接続を担保できるものとする。なお、ネットワーク接続部１２は、特許請求の範囲におけるネットワーク接続手段の一例である。

ネットワーク接続部１２は、上述のとおり、端末装置１が機密ＬＡＮ２の内部からのみアクセス可能なＤＮＳサーバ２１に接続できた場合、端末装置１自身が機密ＬＡＮ２内に存在すると判定する。これにより、端末装置１は、直接機密ＬＡＮ２内で通信を行うことができる。また、ネットワーク接続部１２は、上述のとおり、端末装置１がＤＮＳサーバ２１に接続できなかった場合、端末装置１自身が機密ＬＡＮ２の外部に存在あるものと判定する。これにより、端末装置１は、インターネット３からＶＰＮサーバ２２を介してＤＮＳサーバ２１に接続することにより、機密ＬＡＮ２と通信することができる。

アプリケーション部１３は、端末装置１の実動作環境を構成する各種のアプリケーション、プロセスを実行する。アプリケーション部１３の実行するアプリケーション、プロセスは、例えば、リモート会議用の会議システム、メーラー、ブラウザ等である。なお、アプリケーション部１３は、特許請求の範囲におけるアプリケーション手段の一例である。

第１仮想ＮＩＣ１４Ａと第２仮想ＮＩＣ１４Ｂとは、ネットワーク接続部１２とアプリケーション部１３との間の通信を制御するためのコントローラである。第１仮想ＮＩＣ１４Ａは、ネットワーク接続部１２側に形成される仮想ＬＡＮのコントローラである。また、第２仮想ＮＩＣ１４Ｂは、アプリケーション部１３側に形成される仮想ＬＡＮのコントローラである。

第１仮想ＮＩＣ１４Ａと第２仮想ＮＩＣ１４Ｂとは、初期状態では切断されている。第１仮想ＮＩＣ１４Ａは、ネットワーク接続部１２により機密ＬＡＮ２との接続を担保できた場合のみ、第２仮想ＮＩＣ１４Ｂとの接続を確立する。これにより、アプリケーション部１３とネットワーク接続部１２との間が接続され、アプリケーション部１３とネットワーク接続部１２との間で通信ができるようになる。

また、第１仮想ＮＩＣ１４Ａは、機密ＬＡＮ２との接続中に、ネットワーク接続部１２により機密ＬＡＮ２との接続を担保できなくなった場合には、第２仮想ＮＩＣ１４Ｂとの接続を切断する。これにより、アプリケーション部１３をネットワーク接続部１２から切断し、アプリケーション部１３とネットワーク接続部１２との間で通信ができないようにする。

ネットワーク接続部１２および第２仮想ＮＩＣ１４Ａと、アプリケーション部１３および第２仮想ＮＩＣ１４Ｂとは、それぞれ別のＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）上で動作するプログラムを実行することにより実現することができる機能である。この機能を実現するためのハードウェア構成の一例を、図３に示す。

端末装置１は、図３に示すように、ハードウェア構成として、プロセッサ１６と、メモリ１７と、インターフェース１８とを備えている。プロセッサ１６と、メモリ１７と、インターフェース１８とは、バスライン１９を介して、相互に電気的に接続されている。

プロセッサ１６は、１つまたは複数のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＭＰＵ（Ｍｉｃｒｏ－Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）等から構成される。プロセッサ１６は、メモリ１７から各種プログラム、データ等を読み出して処理を実行することにより、端末装置１の各種機能を実現する。

メモリ１７は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等から構成される。メモリ１７は、プロセッサ１６が実行する各種プログラム、データ等を記憶している。

インターフェース１８は、図１に示した機密ＬＡＮ２のＤＮＳサーバ２１およびインターネット３と接続するためのＬＡＮポート、Ｗｉ－Ｆｉ（Ｗｉｒｅｌｅｓｓ Ｆｉｄｅｌｉｔｙ）ポート等の通信インターフェースで構成される。なお、インターフェース１８には、ディスプレイ端子等の出力インターフェース、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポート等の入出力インターフェースを含めてもよい。

また、端末装置１のプロセッサ１６上では、ハイパーバイザー１６３が動作している。ハイパーバイザー１６３は、１台のコンピュータの上で複数の仮想マシンを独立に並行して動作させるようにするためのソフトウェアである。

端末装置１は、１つまたは複数のプロセッサ１６上で、ハイパーバイザー１６３により、第１仮想マシン１６１と第２仮想マシン１６２とがそれぞれ独立に並行して動作するように設定することができる。これにより、端末装置１は、複数のＯＳを互いに干渉させずに並行して動作させることができる。例えば、端末装置１は、第１仮想マシン１６１では第１のＯＳ（例えば、Ｌｉｎｕｘ（登録商標））を動作させ、第２仮想マシン１６２では第２のＯＳ（例えば、Ｗｉｎｄｏｗｓ（登録商標））を動作させることができる。なお、第１のＯＳと第２のＯＳは、異なるＯＳであってもよいし、同一のＯＳであってもよい。

また、端末装置１では、ハイパーバイザー１６３により、メモリ１７は複数の領域に分割され、それぞれの領域で異なるアクセス権を設定可能である。具体的には、メモリ１７上に、第１仮想マシン１６１からしかアクセスできない第１メモリ領域１７１、第２仮想マシン１６２からしかアクセスできない第２メモリ領域１７２、第１仮想マシン１６１と第２仮想マシン１６２との両方からアクセスできる共有メモリ領域１７３、という複数の領域を設定することができる。

これにより、第１仮想マシン１６１は、第１メモリ領域１７１を用いて第１のＯＳを実行することができる。また、第２仮想マシン１６２は、第２メモリ領域１７２を用いて第２のＯＳを実行することができる。なお、ハイパーバイザー１６３により、共有メモリ領域１７３について、例えば、第１仮想マシン１６１および第２仮想マシン１６２の両方から読み出しおよび書き込みが可能な設定とする、または、第２仮想マシン１６２からは読み出ししかできないように設定をするなど、自由に設定することが可能である。

本実施の形態では、共有メモリ領域１７３は、第１仮想マシン１６１および第２仮想マシン１６２の両方から読み出しおよび書き込みが可能な設定とする。そして、共有メモリ領域１７３は、仮想ＮＩＣ１４を介して第１仮想マシン１６１と第２仮想マシン１６２との間で、通信データのやりとり等に使用する。

本実施の形態では、図２に示したネットワーク接続部１２および第１仮想ＮＩＣ１４Ａは、第１仮想マシン１６１で動作する第１のＯＳ上で実行されるプログラムにより実現する機能とする。また、アプリケーション部１３および第２仮想ＮＩＣ１４Ｂとは、第２仮想マシン１６２で動作する第２のＯＳ上で実行されるプログラムにより実現する機能とする。

また、端末装置１では、ハイパーバイザー１６３により、インターフェース１８を第１仮想マシン１６１からしかアクセスできない設定、第２仮想マシン１６２からしかアクセスできない設定等、インターフェース１８に対するアクセス権を自由に設定することができる。

本実施の形態では、第２仮想マシン１６２により実現されるアプリケーション部１３は、図２に示した第１仮想マシン１６１により実現されるネットワーク接続部１２を介して、図１に示した機密ＬＡＮ２に接続することができる。アプリケーション部１３が機密ＬＡＮ２以外のネットワークとの接続を防ぐため、端末装置１は、ハイパーバイザー１６３により、インターフェース１８を第１仮想マシン１６１からしかアクセスできないように設定する。

したがって、図４Ａに示すように、第２仮想マシン１６２により実現されるアプリケーション部１３は、第１仮想マシン１６１により実現されるネットワーク接続部１２を介してインターフェース１８に接続する。これにより、アプリケーション部１３は、端末装置１が機密ＬＡＮ２と接続している場合は、ネットワーク接続部１２およびインターフェース１８を介して機密ＬＡＮ２と通信することができる。また、端末装置１が機密ＬＡＮ２以外のネットワーク、すなわちインターネット３と接続している場合は、アプリケーション部１３は、ネットワーク接続部１２、インターフェース１８、インターネット３、およびＶＰＮサーバ２２を介することにより、機密ＬＡＮ２と通信することができる。

端末装置１のネットワーク接続部１２は、図４Ｂに示すように、ＶＰＮサーバ２２と接続するためのＶＰＮクライアント１２１を備えている。ネットワーク接続部１２は、機密ＬＡＮ２以外のネットワークであるインターネット３と接続していると判断する場合、機密ＬＡＮ２以外のネットワークには直接接続せず、必ずＶＰＮクライアント１２１を経由しＶＰＮサーバ２２と接続する。

したがって、ＤＮＳサーバ２１に接続できない場合、すなわち、機密ＬＡＮ２の外部からの接続の場合、ネットワーク接続部１２は、まずＶＰＮクライアント１２１によりＶＰＮサーバ２２と接続する。その後、ネットワーク接続部１２は、ＶＰＮサーバ２２経由でＤＮＳサーバ２１に接続可能なことを確認した上でアプリケーション部１３と接続する。これにより、アプリケーション部１３は、端末装置１が機密ＬＡＮ２と直接接続していない場合には、ネットワーク接続部１２のＶＰＮクライアント１２１を経由してＶＰＮサーバ２２と接続するため、機密ＬＡＮ２とのみ接続することができる。

また、ネットワーク接続部１２は、端末装置１が機密ＬＡＮ２と直接接続していない場合には、ＶＰＮサーバ２２とＶＰＮクライアント１２１との通信以外を遮断する、いわゆるファイアウォールとして機能する。これにより、アプリケーション部１３がセキュアなネットワークである機密ＬＡＮ２に接続し、かつ、セキュアでないネットワークに接続しないことを担保することができる。

以上、端末装置１のハードウェア構成について説明した。続いて、端末装置１の初期設定処理について図５に示すフローチャートを参照して説明する。この初期設定処理は、端末装置１が起動すると、ハイパーバイザー１６３の処理として実行が開始される。

まず、図３に示したプロセッサ１６は、ハイパーバイザー１６３による処理として、第１仮想マシン１６１と第２仮想マシン１６２とを生成する（ステップＳ１０）。その際、ハイパーバイザー１６３により、図３に示したメモリ１７上に、第１仮想マシン１６１用のメモリ領域である第１メモリ領域１７１と、第２仮想マシン１６２用のメモリ領域である第２メモリ領域１７２と、を設定する処理も行われる。なお、第１メモリ領域１７１は第２仮想マシン１６２からアクセスできないメモリ領域であり、また、第２メモリ領域１７２は第１仮想マシン１６１からアクセスできないメモリ領域である。

次に、プロセッサ１６は、ハイパーバイザー１６３による処理として、共有メモリ領域１７３の設定を行う（ステップＳ１１）。具体的には、ハイパーバイザー１６３が、メモリ１７内に共有メモリ領域１７３用の領域を割り当てる。続いて、ハイパーバイザー１６３が、第１仮想マシン１６１と第２仮想マシン１６２からはその領域に対し読み出しおよび書き込みを可能とするように、その共有メモリ領域１７３へのアクセス権を設定する。

次に、プロセッサ１６は、ハイパーバイザー１６３による処理として、インターフェース１８の設定を行う（ステップＳ１２）。具体的には、ハイパーバイザー１６３は、インターフェース１８を第１仮想マシン１６１からのみアクセスできるように設定する。さらに、ハイパーバイザー１６３は、インターフェース１８を第２仮想マシン１６２から直接アクセスできないように設定する。その後、プロセッサ１６は、初期設定処理を終了する。

次に、端末装置１は、図１に示した機密ＬＡＮ２に接続する。機密ＬＡＮ２に接続する接続処理は、上述した初期設定処理が終了すると、第１仮想マシン１６１と第２仮想マシン１６２とで並行に行われる処理として、実行が開始される。第１仮想マシン１６１の実行する処理を第１接続処理とし、第２仮想マシン１６２の実行する処理を第２接続処理とする。また、第１接続処理の中で実行されるネットワークとの接続処理をネットワーク接続処理とする。この第１接続処理、第２接続処理、およびネットワーク接続処理について、図６、図７に示すフローチャートを参照しつつ、以下に説明する。

第１仮想マシン１６１は、図２に示したネットワーク接続部１２を起動する（ステップＳ１０１）。具体的には、第１仮想マシン１６１は、図３に示した第１メモリ領域１７１に保存されているプログラムを起動し、ネットワーク接続部１２の機能を実行する。

並行して、第２仮想マシン１６２は、図２に示したアプリケーション部１３を起動する（ステップＳ１０２）。具体的には、第２仮想マシン１６２が、図３に示した第２メモリ領域１７２に保存されているプログラムを起動し、アプリケーション部１３の機能を実行する。

ネットワーク接続部１２は、ネットワーク接続処理を実行する（ステップＳ１０３）。ネットワーク接続処理については、図７に示すフローチャートを参照しつつ、以下に説明する。ネットワーク接続部１２は、図２に示したインターフェース部１１を介してネットワークに接続する（ステップＳ１１０）。このネットワークは、図１に示した機密ＬＡＮ２、機密ＬＡＮ２とは異なる公共ＬＡＮ、インターネット３等を含む通信路である。このため、この時点では、ネットワーク接続部１２の接続したネットワークが、機密ＬＡＮ２か否か分からない。

ネットワーク接続部１２は、接続したネットワークを経由してＤＮＳサーバ２１に対してリプライ要求を送信する（ステップＳ１１１）。このリプライ要求は、ＤＮＳ情報を含む各種情報、ＰＩＮＧ応答等の要求とする。ネットワーク接続部１２は、リプライ要求に対する返答の有無、返答に含まれているＤＮＳ情報などの各種情報の内容を解析した結果をもとに、ＤＮＳサーバ２１が真正なサーバか否か判定する（ステップＳ１１２）。

ＤＮＳサーバ２１が真正なサーバであった場合（ステップＳ１１２；ＹＥＳ）、ネットワーク接続部１２は、ネットワーク接続処理を終了する。また、ＤＮＳサーバ２１が真正なサーバではなかった場合（ステップＳ１１２；ＮＯ）、ネットワーク接続部１２は、機密ＬＡＮ２の外部のインターネット３等に接続しているものとして、ＶＰＮサーバ２２との接続を実行する（ステップＳ１１３）。

ネットワーク接続部１２は、ＶＰＮサーバ２２との接続が確立できたか否か判定する（ステップＳ１１４）。ＶＰＮにおける相互認証の機能により、ＶＰＮサーバ２２とのＶＰＮ接続が成功した時点で、接続先は正しいＶＰＮサーバ２２となる。

ＶＰＮサーバ２２との接続が確立できなかった場合（ステップＳ１１４；ＮＯ）、ネットワーク接続部１２はステップＳ１１１に戻り、再度ステップＳ１１１以降の処理をくり返す。また、ＶＰＮサーバ２２との接続が確立できた場合（ステップＳ１１４；ＹＥＳ）、ネットワーク接続部１２は、ＶＰＮ以外の通信を遮断する（ステップＳ１１５）。具体的には、ネットワーク接続部１２は、ＶＰＮサーバ２２と図４Ｂに示したＶＰＮクライアント１２１との通信以外を遮断する。これにより、端末装置１は、セキュアなネットワークに接続し、かつ、セキュアでないネットワークに接続しないことを担保することができる。

ネットワーク接続部１２は、ＶＰＮサーバ２２を経由してＤＮＳサーバ２１にリプライ要求を送信する（ステップＳ１１６）。ネットワーク接続部１２は、リプライ要求に対する返答の有無、返答に含まれるＤＮＳ情報などの各種情報の内容を解析した結果をもとに、ＤＮＳサーバ２１が真正なサーバか否か判定する（ステップＳ１１７）。

ＤＮＳサーバ２１が真正なサーバではなかった場合（ステップＳ１１７；ＮＯ）、ネットワーク接続部１２は、ＶＰＮサーバ２２との接続を切断する（ステップＳ１１８）。その後、ネットワーク接続部１２は、ステップＳ１１１に戻り、再度ステップＳ１１１以降の処理をくり返す。また、ＤＮＳサーバ２１が真正なサーバであった場合（ステップＳ１１７；ＹＥＳ）、ネットワーク接続部１２は、ネットワーク接続処理を終了する。

なお、ステップＳ１１１、ステップＳ１１６で、ネットワーク接続部１２がＤＮＳサーバ２１に対して送信したリプライ要求に対するＤＮＳサーバ２１からの応答に含まれるＤＮＳ情報などの各種情報は、特許請求の範囲におけるサーバ情報の一例である。

ここで図６に戻る。ネットワーク接続部１２は、図２に示した第１仮想ＮＩＣ１４Ａから第２仮想ＮＩＣ１４Ｂに接続を要求する（ステップＳ１０４）。第２仮想ＮＩＣ１４Ｂは、第１仮想ＮＩＣ１４Ａから接続の要求を受信すると、第１仮想ＮＩＣ１４Ａとの接続を開始する（ステップＳ１０５）。具体的には、仮想ＮＩＣ１４Ａと仮想ＮＩＣ１４Ｂ間を論理的に接続し、第２仮想マシン１６２は第１仮想マシン１６１からの接続要求に対し応答する。

ネットワーク接続部１２は、第１仮想ＮＩＣ１４Ａと第２仮想ＮＩＣ１４Ｂとが論理的に接続されると、ネットワーク接続部１２とアプリケーション部１３との間に仮想ＬＡＮを確立する（ステップＳ１０６）。本実施の形態では、図３に示した共有メモリ領域１７３に保存された仮想ＬＡＮの識別番号、設定情報等の各種データを、第１仮想マシン１６１（ネットワーク接続部１２）と第２仮想マシン１６２（アプリケーション部１３）とが並行して処理することにより、仮想ＬＡＮを確立する。これにより、アプリケーション部１３は、ネットワーク接続部１２を介して図１に示した機密ＬＡＮ２との通信を行うことが可能となる（ステップＳ１０７）。

また、端末装置１のネットワーク接続部１２は、ＤＮＳサーバ２１との接続、ネットワークに接続するための有線ＬＡＮケーブルの挿抜、無線ＬＡＮの接続状態等を定期的にチェックしている。例えば、ネットワーク接続部１２は、定期的に接続中のＤＮＳサーバ２１に対してリプライ要求を送信する。そして、ネットワーク接続部１２は、リプライ要求に対する返答の有無、返答に含まれているＤＮＳ情報などの各種情報の内容を解析した結果をもとに、ＤＮＳサーバ２１の真正性を判定する。

ネットワーク接続部１２は、ＤＮＳサーバ２１の真正性を担保できた場合、機密ＬＡＮ２に接続しているものと判断し、アプリケーション部１３との接続を維持する。また、ネットワーク接続部１２は、ＤＮＳサーバ２１の真正性を担保できなかった場合、ＤＮＳサーバ２１に接続できていないものと判断し、アプリケーション部１３との接続を終了する。

また、端末装置１のネットワーク接続部１２は、有線ＬＡＮケーブルが抜かれるもしくは、無線ＬＡＮとの接続が切断されたことを検知した場合、アプリケーション部１３との接続を終了する。さらに、端末装置１のシャットダウン要求があった場合、ネットワーク接続部１２はアプリケーション部１３との接続を終了する。

ネットワーク接続部１２とアプリケーション部１３との接続を終了する処理は、第１仮想マシン１６１と第２仮想マシン１６２とで並行に行われる処理として、実行される。以下では、第１仮想マシン１６１の実行する処理を第１切断処理とし、第２仮想マシン１６２の実行する処理を第２切断処理とする。また、以下では、第１仮想マシン１６１は図２に示したネットワーク接続部１２として動作し、第２仮想マシン１６２は図２に示したアプリケーション部１３として動作しているものとする。第１切断処理および第２切断処理について、図８に示すフローチャートを参照しつつ、以下に説明する。

ネットワーク接続部１２は、図１に示したＤＮＳサーバ２１との通信の切断、有線ＬＡＮケーブルの挿抜、無線ＬＡＮとの接続の切断を定期的にチェックし、また、端末装置１のシャットダウン要求を常時監視し、これを検知したか否か判定する（ステップＳ２０１）。ＤＮＳサーバ２１との通信の切断、端末装置１のシャットダウン要求等があったことを検知した場合（ステップＳ２０１；ＹＥＳ）、ネットワーク接続部１２は、上述のステップＳ１０６で確立した仮想ＬＡＮの切断を、アプリケーション部１３に通知する（ステップＳ２０２）。また、ＤＮＳサーバ２１との通信の切断、端末装置１のシャットダウン要求等を検知していない場合（ステップＳ２０１；ＮＯ）、ネットワーク接続部１２は、ステップＳ２０１に留まり、ＤＮＳサーバ２１との通信の切断、シャットダウン要求等の監視を続ける。

ネットワーク接続部１２は、アプリケーション部１３に仮想ＬＡＮの切断を要求（ステップＳ２０２）した後、第１仮想ＮＩＣ１４Ａと第２仮想ＮＩＣ１４Ｂとの間の論理接続を切断する（ステップＳ２０３）。これにより、第１仮想ＮＩＣ１４Ａと第２仮想ＮＩＣ１４Ｂとは、通信することができなくなる。また、ネットワーク接続部１２が機密ＬＡＮ２に再度接続できた場合、第１仮想ＮＩＣ１４Ａと第２仮想ＮＩＣ１４Ｂを再度接続する。

以上で説明したとおり、端末装置１は、自身が起動してから機密ＬＡＮ２に接続するまでの間、端末装置１上のアプリケーション部１３で実行されるアプリケーション、プロセスの実行環境を、機密ＬＡＮ２以外のネットワークに接続させないようにすることができる。言い換えれば、機密ＬＡＮ２に接続する前に、アプリケーションから機密ＬＡＮ２以外のネットワーク経由で通信することを防ぐことができるため、端末装置１を情報セキュリティ上の脅威から守ることができる。

（変形例）
本発明は、上述した実施の形態に限定されるわけではなく、その他の種々の変更が可能である。例えば、上記の実施の形態では、端末装置１が直接、あるいはＶＰＮサーバ２２を介してＤＮＳサーバ２１への接続が確認できた場合、端末装置１のアプリケーション部１３は、仮想ＮＩＣ１４によって接続されたネットワーク接続部１２を介して機密ＬＡＮ２と通信するものとした。これに限らず、ネットワーク接続部１２で機密ＬＡＮ２との接続を確認できた後は、端末装置１のアプリケーション部１３は、ネットワーク接続部１２を介さずにインターフェース部１１に接続し、機密ＬＡＮ２と通信できるようにしてもよい。

具体的には、ネットワーク接続部１２が機密ＬＡＮ２との接続を確認できるまで、端末装置１は、ハイパーバイザー１６３によりインターフェース１８を第１仮想マシン１６１からしかアクセスできないように設定する。そして、端末装置１が機密ＬＡＮ２との接続を確認した後、第１仮想マシン１６１からハイパーバイザー１６３に対し、アプリケーション部１３の機能を実現する第２仮想マシン１６２にインターフェース１８へのアクセス権を与えるよう要求する。これにより、アプリケーション部１３と、ネットワーク接続部１２とは、インターフェース部１１に接続することができる。

なお、端末装置１のアプリケーション部１３が、ネットワーク接続部１２を介さずにインターフェース部１１に接続し機密ＬＡＮ２と通信する場合、インターフェース部１１には、図４Ｂに示したネットワーク接続部１２のＶＰＮクライアント１２１および、ＶＰＮ接続以外の通信をブロックするためのファイアウォールを備えるものとする。これにより、端末装置１が、外部のインターネット３から機密ＬＡＮ２に接続する場合でも、ＶＰＮサーバ２２を経由して機密ＬＡＮ２との接続を維持することができる。

さらに、ネットワーク接続部１２が機密ＬＡＮ２との接続を確立できなくなった場合、端末装置１は、第１仮想マシン１６１からハイパーバイザー１６３に対し、アプリケーション部１３の機能を実現する第２仮想マシン１６２に与えたインターフェース１８へのアクセス権を削除するよう要求する。これにより、アプリケーション部１３を、インターフェース部１１から切断することができる。

また、上記の実施の形態では、端末装置１が機密ＬＡＮ２と通信するものとした。さらに、端末装置１が機密ＬＡＮ２を介して外部のネットワークと通信をできるようにしてもよい。

また、例えば、上記の実施の形態では、端末装置１を、ノートパソコン、タブレットＰＣ等の携帯可能な機器とするものとしたが、これに限らず、端末装置１をスマートフォン、タブレット等の携帯端末機器としてもよい。

また、例えば、上記の実施の形態では、端末装置１が機密ＬＡＮ２内部に存在することを確認するためのサーバとしてＤＮＳサーバ２１を用いるものとした。これに限らず、端末装置１が機密ＬＡＮ２内部に存在することを確認するためのサーバは、ファイルサーバ、メールサーバ、専用に構築したサーバ等、機密ＬＡＮ２内に存在する各種サーバを利用することができる。また、これらのサーバを、複数組合せて使用してもよい。同様に、ＶＰＮサーバ２２についても複数台あってもよい。さらに、一方のサーバが１台で、他方のサーバが複数台であってもよい。

また、例えば、上記の実施の形態では、機密ＬＡＮ２に、その外部から端末装置１を接続する際に経由するネットワークとして、インターネット３を示した。これに限らず、例えば、インターネットに接続しない閉域モバイルネットワーク等であってもよい。

また、例えば、端末装置１は、図３に示したように、メモリ１７上に共有メモリ領域１７３を設定したが、必ずしもメモリ１７上に共有メモリ領域１７３を設定しなくてもよい。ハイパーバイザー１６３によって、第１仮想マシン１６１および第２仮想マシン１６２間でデータの送受が可能なハードウェア資源であれば、メモリ１７以外のハードウェア資源を共有メモリ領域１７３の代わりに用いてもよい。このようなハードウェア資源としては、例えば、ＵＡＲＴ（Ｕｎｉｖｅｒｓａｌ Ａｓｙｎｃｈｒｏｎｏｕｓ Ｒｅｃｅｉｖｅｒ／Ｔｒａｎｓｍｉｔｔｅｒ）、ＵＳＢメモリ、ＦＩＦＯ（Ｆｉｒｓｔ Ｉｎ Ｆｉｒｓｔ Ｏｕｔ）メモリキュー等が考えられる。

また、上記の実施の形態において、端末装置１の動作を規定する各種処理（初期設定処理、第１接続処理、第２接続処理、第１切断処理、第２切断処理等）を実行させるための制御プログラムは、メモリ１７に記憶されているものとして説明した。しかしながら、本発明は、これに限定されず、上記の各種処理を実行させるための制御プログラムを、通常市販されているＰＣ等のコンピュータに実装することにより、当該コンピュータを上記の実施の形態に係る端末装置１に相当する装置として機能させてもよい。

このようなプログラムの提供方法は任意であり、例えば、コンピュータが読取可能な記録媒体（フレキシブルディスク、ＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）、ＢＤ（Ｂｌｕ―ｒａｙ（登録商標） Ｄｉｓｃ）、ＭＯ（Ｍａｇｎｅｔｏ－Ｏｐｔｉｃａｌ Ｄｉｓｃ）、メモリカード、ＵＳＢメモリ等）等に格納して配布してもよいし、インターネットをはじめとするネットワーク上のストレージにプログラムを格納しておき、これをダウンロードさせることにより提供してもよい。

以上、本発明の好ましい実施形態について説明したが、本発明は係る特定の実施形態に限定されるものではなく、本発明には、特許請求の範囲に記載された発明とその均等の範囲が含まれる。

１…端末装置、２…機密ＬＡＮ、３…インターネット、１１…インターフェース部、１２…ネットワーク接続部、１３…アプリケーション部、１４…仮想ＮＩＣ、１４Ａ…第１仮想ＮＩＣ、１４Ｂ…第２仮想ＮＩＣ、１６…プロセッサ、１７…メモリ、１８…インターフェース、１９…バスライン、２１…ＤＮＳサーバ、２２…ＶＰＮサーバ、１００…ネットワークシステム、１２１…ＶＰＮクライアント、１６１…第１仮想マシン、１６２…第２仮想マシン、１６３…ハイパーバイザー、１７１…第１メモリ領域、１７２…第２メモリ領域、１７３…共有メモリ領域。

Claims (6)

1. セキュアな所属先のＬＡＮに外部からネットワーク接続するためのネットワーク接続部と、
   自身の実動作環境を構成するアプリケーションまたはプロセスを実行するアプリケーション部と、
   前記アプリケーション部と前記ネットワーク接続部との間に形成され、前記アプリケーション部と前記ネットワーク接続部を接続するための第１仮想ネットワークコントローラおよび第２仮想ネットワークコントローラを含む通信処理部と、
   を備え、
   前記通信処理部は、前記ネットワーク接続部が前記所属先のＬＡＮの内部からのみ接続可能な第１サーバに前記所属先のＬＡＮの外部からの接続を行うための第２サーバを介してセキュアな接続ができた場合に、前記第１仮想ネットワークコントローラと前記第２仮想ネットワークコントローラとを接続することにより、前記アプリケーション部を前記ネットワーク接続部および前記第２サーバを介して前記所属先のＬＡＮと通信可能とする、
   端末装置。
2. 前記ネットワーク接続部は、接続した前記第１サーバに送信したリプライ要求の返答が無い場合、または返答に含まれるサーバ情報の解析結果に基づいて前記第１サーバが真正なサーバではないと判定した場合には、前記第２サーバにセキュアな接続を要求し、セキュアな接続が確立できた場合には前記第２サーバを介して、前記第１サーバに前記リプライ要求を送信する、
   請求項１に記載の端末装置。
3. 前記ネットワーク接続部は、前記第２サーバを介して前記第１サーバに送信した前記リプライ要求の返答があり、かつ返答に含まれるサーバ情報の解析結果に基づいて前記第１サーバが真正なサーバと判定した場合には、前記通信処理部に前記第１仮想ネットワークコントローラと前記第２仮想ネットワークコントローラとを接続をさせることにより、自身と前記アプリケーション部とを接続させ、前記アプリケーション部を、前記第２サーバを介して前記所属先のＬＡＮと接続させる、
   請求項２に記載の端末装置。
4. 前記ネットワーク接続部は第１のオペレーティングシステム上で動作する機能であり、前記アプリケーション部は、前記第１のオペレーティングシステムと異なる第２のオペレーティングシステム上で動作する機能である、
   請求項１から３の何れか一項に記載の端末装置。
5. 端末装置が実行する方法であって、
   セキュアな所属先のＬＡＮに外部からネットワーク接続するためのネットワーク接続手段を、前記所属先のＬＡＮの外部からネットワーク接続させるステップと、
   前記所属先のＬＡＮの内部からのみ接続可能な第１サーバに前記所属先のＬＡＮの外部からの接続を行うための第２サーバを介してセキュアな接続ができた場合に、前記ネットワーク接続手段と、実動作環境を構成するアプリケーションまたはプロセスを実行するアプリケーション手段と、を接続するための、第１仮想ネットワークコントローラおよび第２仮想ネットワークコントローラを接続することにより、前記アプリケーション手段を前記ネットワーク接続手段および前記第２サーバを介して前記所属先のＬＡＮと通信可能にするステップと、
   を備える方法。
6. コンピュータを、
   セキュアな所属先のＬＡＮに外部からネットワーク接続するネットワーク接続部、
   自身の実動作環境を構成するアプリケーションまたはプロセスを実行するアプリケーション部、
   前記アプリケーション部と前記ネットワーク接続部との間に形成され、前記アプリケーション部と前記ネットワーク接続部を接続するための第１仮想ネットワークコントローラおよび第２仮想ネットワークコントローラを含み、前記ネットワーク接続部が前記所属先のＬＡＮの内部からのみ接続可能な第１サーバに前記所属先のＬＡＮの外部からの接続を行うための第２サーバを介してセキュアな接続ができた場合に、前記第１仮想ネットワークコントローラと前記第２仮想ネットワークコントローラとを接続することにより、前記アプリケーション部を前記ネットワーク接続部および前記第２サーバを介して前記所属先のＬＡＮと通信可能とする通信処理部、
   として機能させるためのプログラム。

Images