JP2004086464A

JP2004086464A - 監視システム、監視対象管理装置及び監視方法

Info

Publication number: JP2004086464A
Application number: JP2002245365A
Authority: JP
Inventors: Kenichiro Kawamoto; 河本　賢一朗; Hiroshi Furuya; 古屋　浩; Masatomo Takechi; 武市　真知
Original assignee: NTT Docomo Inc
Current assignee: NTT Docomo Inc
Priority date: 2002-08-26
Filing date: 2002-08-26
Publication date: 2004-03-18
Anticipated expiration: 2022-08-26
Also published as: JP3838503B2

Abstract

【課題】セキュアルーム内の通信装置について、安全性を確保しつつ遠隔監視を可能とした監視システムを提供する。
【解決手段】部門管理サーバ１２０は、監視対象のサーバ１１０の監視情報を取得すると、当該監視情報をＳＮＭＰトラップに包含して送信する。ファイアウォール装置１３０は、部門管理サーバ１２０からのＳＮＭＰトラップのみ監視サーバ１７０へ送信するとともに、セキュアルーム１９０外の装置からセキュアルーム１９０内の装置への通信を遮断するように、通信制御を行う。監視サーバ１７０は、監視情報を含んだＳＮＭＰトラップを受信することにより、あらゆる監視情報を取得することが可能となる。
【選択図】　　　　図３

Description

【０００１】
【発明の属する技術分野】
本発明は、セキュアルーム内の通信装置を監視する監視システムに関する。
【０００２】
【従来の技術】
従来から、通信システムの円滑な運用を目的とした監視システムが用いられることが多い。特に、監視対象の通信装置を遠隔地から監視することを可能とした遠隔監視システムは、監視対象の通信装置の設置場所毎に監視者が駐在する必要がなく、監視者が複数の通信ネットワークを一箇所で同時に監視することができるという利点を有するため、広く用いられている。
【０００３】
図１は、従来の遠隔監視システムの構成例を示す図である。同図に示す遠隔監視システム５００は、建物５９０内に設置された、監視対象の通信装置であるサーバ５１０−１、５１０−２及び５１０−３（以下、これらサーバ５１０−１、５１０−２及び５１０−３をまとめて、適宜「サーバ５１０」と称する）と、これらサーバ５１０を接続するルータ５２０と、通信回線５３０を介してルータ５２０に接続されるルータ５４０と、サーバ５１０を監視する監視サーバ５５０と、監視者が監視サーバ５５０による監視状況を把握するための監視端末５６０により構成される。これらの構成のうち、監視サーバ５５０及び監視端末５６０は、建物５９０から離れた場所に設置されている。
【０００４】
監視サーバ５５０は、アプリケーションレベルでのヘルスチェックや、サーバ５１０から送信される自律メッセージによる監視、サーバ５１０から送信されるＳＮＭＰ（Ｓｉｍｐｌｅ　Ｎｅｔｗｏｒｋ　Ｍａｎａｇｅｍｅｎｔ　Ｐｒｏｔｏｃｏｌ）トラップによるハード、ネットワークレベルでの監視を行うことにより、サーバ５１０を監視する。
【０００５】
ところで、電子認証局を構成する通信装置等、高い安全性が要求される通信装置は、通常、外部からの不正な進入を防ぐために、セキュアルームと称される物理的に防護された設備内に設置される。セキュアルーム内の通信装置は、外部の通信装置と接続することが可能である。但し、外部の通信装置による不正な通信を遮断するため、セキュアルーム内の通信装置におけるファイアウォールには、外部からの通信を一切許可しないことや、不正なアプリケーションの実行を防止するために不必要なポートを開けないことが要求される。
【０００６】
ところが、セキュアルーム内の通信装置におけるファイアウォールには、上述のような制約条件が存在するため、遠隔地の監視装置によりセキュアルーム内の通信装置を監視する場合、監視装置は、アプリケーションレベルでのヘルスチェックや、セキュアルーム内の通信装置から送信される自律メッセージによる監視、換言すれば、アプリケーションレベルでの監視を行うことができない。従って、監視装置は、セキュアルーム内の通信装置から送信されるＳＮＭＰトラップによるハード、ネットワークレベルでの監視のみを行うこととなり、適切な監視が困難となる。
【０００７】
このため、従来は、セキュアルーム内の通信装置の監視に際しては、遠隔監視の方式を採用せず、監視装置についてもセキュアルーム内に配置した監視方式が採用されることが多い。
【０００８】
図２は、従来のセキュアルーム内の通信装置を監視する監視システムの構成例を示す図である。同図に示す監視システム６００は、セキュアルーム６９０内に設置された、監視対象の通信装置であるサーバ６１０−１、６１０−２及び６１０−３（以下、これらサーバ６１０−１、６１０−２及び６１０−３をまとめて、適宜「サーバ６１０」と称する）と、これらサーバ６１０を監視サーバ６５０と、監視者が監視サーバ６５０による監視状況を把握するための監視端末６６０により構成される。
【０００９】
図２に示す監視システムでは、セキュアルーム６９０内に、監視対象のサーバ６１０と監視サーバ６５０及び監視端末６６０が配置されており、外部との接続は一切行われていない。このため、サーバ６１０は、ファイアフォールの機能を有する必要がなく、監視サーバ６５０は、サーバ６１０から送信されるＳＮＭＰトラップによるハード、ネットワークレベルでの監視のみならず、アプリケーションレベルでのヘルスチェックや、サーバ６１０から送信される自律メッセージによる監視をも行うことが可能となる。
【００１０】
【発明が解決しようとする課題】
しかしながら、図２に示した監視システム６００では、安全性を確保することが可能である一方で、遠隔監視が不可能である。従って、監視者がセキュアルーム６９０内に駐在して、監視端末６６０を利用した監視を行う必要があり、コストが増加するという問題がある。このため、セキュアルーム内の通信装置についても、安全性を確保しつつ遠隔監視を可能としたシステムが要求されている。
【００１１】
本発明は、上記問題点を解決するものであり、その目的は、セキュアルーム内の通信装置について、安全性を確保しつつ遠隔監視を可能とした監視システムを提供することにある。
【００１２】
【課題を解決するための手段】
上記の目的を達成するため、本発明は請求項１に記載されるように、セキュアルーム内において該セキュアルーム内の第１の通信装置を接続して管理する監視対象管理装置と、セキュアルーム外の監視装置と、前記監視対象管理装置と前記監視装置を含むセキュアルーム外の第２の通信装置との間に介在するファイアウォール装置とによって構成される監視システムにおいて、前記監視対象管理装置は、前記第１の通信装置の監視情報を取得する監視情報取得手段と、前記第１の通信装置の監視情報をＳＮＭＰトラップに変換する情報変換手段と、前記ＳＮＭＰトラップを送信するＳＮＭＰトラップ送信手段を備え、前記ファイアウォール装置は、前記監視対象管理装置からのＳＮＭＰトラップを前記監視装置へ通過させるとともに、前記第２の通信装置から前記第１の通信装置及び監視対象管理装置への通信を遮断する通信制御手段を備え、前記監視装置は、前記ファイアウォール装置からのＳＮＭＰトラップを受信するＳＮＭＰトラップ受信手段と、前記ＳＮＭＰトラップに基づく監視を行う監視手段とを備えることを特徴とする。
【００１３】
また、本発明は請求項２に記載されるように、前記監視システムにおいて、前記第１の通信装置の監視情報は、Ｐｉｎｇによる死活情報、システムログの情報、ミドルウェアの異常を示す情報、電子認証局用アプリケーションの処理に応じたログ情報、時刻障害の情報及び前記第１の通信装置内のロードバランサによって検出される情報の少なくとも何れかであることを特徴とする。
【００１４】
また、本発明は請求項３に記載されるように、前記監視システムにおいて、前記監視装置は、前記ファイアウォール装置に対し、Ｐｉｎｇによる死活監視を行う死活監視手段を備えることを特徴とする。
【００１５】
また、本発明は請求項４に記載されるように、セキュアルーム内において該セキュアルーム内の第１の通信装置を接続して管理する監視対象管理装置において、前記第１の通信装置の監視情報を取得する監視情報取得手段と、前記第１の通信装置の監視情報をＳＮＭＰトラップに変換する情報変換手段と、前記ＳＮＭＰトラップを前記セキュアルーム外の監視装置へ送信するＳＮＭＰトラップ送信手段とを備えることを特徴とする。
【００１６】
また、本発明は請求項５に記載されるように、セキュアルーム内において該セキュアルーム内の第１の通信装置を接続して管理する監視対象管理装置と、セキュアルーム外の監視装置と、前記監視対象管理装置と前記監視装置を含むセキュアルーム外の第２の通信装置との間に介在するファイアウォール装置とによって構成される監視システムにて、前記第１の通信装置を監視する監視方法において、前記監視対象管理装置は、前記第１の通信装置の監視情報を取得し、前記第１の通信装置の監視情報をＳＮＭＰトラップに変換し、前記ＳＮＭＰトラップを送信し、前記ファイアウォール装置は、前記監視対象管理装置からのＳＮＭＰトラップを前記監視装置へ通過させるとともに、前記第２の通信装置から前記第１の通信装置への通信を遮断し、前記監視装置は、前記ファイアウォール装置からのＳＮＭＰトラップを受信し、前記ＳＮＭＰトラップに基づく監視を行うことを特徴とする。
【００１７】
ＳＮＭＰトラップは、セキュアルーム内の装置がセキュアルーム外の装置からの要求等によらずに自発的に送信するものであり、当該ＳＮＭＰトラップが送信された場合であっても、セキュアルーム内の安全性は確保される。従って、ファイアウォール装置がセキュアルーム内の装置からのＳＮＭＰトラップのみ外部の装置への通過を許可するとともに、外部の装置から内部の装置への通信を遮断するようにすることによって、セキュアルーム内の安全性を確保することができる。更に、監視対象管理装置が監視対象の通信装置の監視情報をＳＮＭＰトラップに変換して送信することにより、外部の監視装置は、アプリケーションレベルの監視情報等、あらゆる監視情報を取得することが可能となる。このため、安全性を確保しつつ遠隔監視を行うことが可能となる。
【００１８】
【発明の実施の形態】
以下、本発明の実施の形態を図面に基づいて説明する。図３は、本実施形態に係る遠隔監視システムの構成例を示す図である。同図に示す遠隔監視システム１００は、監視対象の通信装置である電子認証局用のサーバ１１０−１、１１０−２及び１１０−３（以下、これらサーバ１１０−１、１１０−２及び１１０−３をまとめて、適宜「サーバ１１０」と称する）と、これらサーバ１１０を管理する監視対象管理装置としての部門管理サーバ１２０と、セキュアルーム１９０内の装置とセキュアルーム１９０外の装置との通信を制御するファイアウォールの機能を有する装置（ファイアウォール装置）１３０と、当該ファイアウォール装置１３０を接続するルータ１４０と、通信回線１５０を介してルータ１６０に接続されたルータ１４０と、サーバ１１０を監視する監視装置としての監視サーバ１７０と、監視者が監視サーバ１７０による監視状況を把握するための監視端末１８０により構成される。これらの構成のうち、サーバ１１０、部門管理サーバ１２０及びファイアウォール装置１３０は、セキュアルーム１９０内に設置され、監視サーバ１７０及び監視端末１８０は、セキュアルーム１９０から離れた場所に設置されている。
【００１９】
図４は、部門管理サーバ１２０の構成例を示す図である。同図に示す部門管理サーバ１２０は、監視情報取得部１２１、情報変換部１２２及びＳＮＭＰトラップ送信部１２３により構成される。
【００２０】
監視情報取得部１２１は、サーバ１１０の監視情報として、Ｐｉｎｇによる死活情報、システムログの情報、ミドルウェアの異常を示す情報、電子認証局用アプリケーションの処理に応じたログ情報、時刻障害の情報及びロードバランサの検出情報を取得する。
【００２１】
ここで、Ｐｉｎｇによる死活情報とは、部門管理サーバ１２０がサーバ１１０へＰｉｎｇを送った場合における当該Ｐｉｎｇに対するサーバ１１０の応答状況に基づいた、部門管理サーバ１２０とサーバ１１０との間の通信障害に関する情報を示し、システムログの情報とは、サーバ１１０のシステム障害に関する情報を示し、ミドルウェアの異常を示す情報とは、サーバ１１０内のデータベース（図示せず）の障害に関する情報を示す。また、電子認証局用アプリケーションの処理に応じたログ情報とは、電子認証局であるサーバ１１０が処理を行う電子認証局用アプリケーションの処理状況のログ情報を示し、時刻障害の情報とは、サーバ１１０に設定されている時刻の障害に関する情報を示し、ロードバランサの検出情報とは、サーバ１１０内のロードバランサが検出する情報を示す。
【００２２】
これら各種の監視情報のうち、Ｐｉｎｇによる死活情報、システムログの情報、ミドルウェアの異常を示す情報、電子認証局用アプリケーションの処理に応じたログ情報及び時刻障害の情報は、監視情報取得部１２１がサーバ１１０に対してポーリングを行い、異常を検知した場合に、当該監視情報取得部１２１によって生成される。一方、ロードバランサの検出情報は、サーバ１１０内のロードバランサが自身の異常を検出した場合に、当該ロードバランサによって生成され、監視情報取得部１２１へ送られる。監視情報取得部１２１によって取得された監視情報は、情報変換部１２２へ送られる。
【００２３】
情報変換部１２２は、監視情報取得部１２１が取得した上述の各種監視情報をＳＮＭＰトラップの形式に変換する。図５は、ＳＮＭＰトラップのフォーマットの一例を示す図である。同図に示すＳＮＭＰトラップは、監視対象のサーバ１１０の装置ＩＤ、当該ＳＮＭＰトラップを一意に特定するためのログＩＤ、当該ＳＮＭＰトラップの生成日時（年、月、日、時、分、秒）、可変長のメッセージ領域により構成される。情報変換部１２１は、監視情報取得部１２１が取得した各種監視情報をＳＮＭＰトラップ内のメッセージ領域に包含する。
【００２４】
監視情報を含んだＳＮＭＰトラップは、ＳＮＭＰトラップ送信部１２３へ送られる。更に、ＳＮＭＰトラップ送信部１２３は、この監視情報を含んだＳＮＭＰトラップを、ファイアウォール装置１３０を介して監視サーバ１７０へ送信する。
【００２５】
図６は、ファイアウォール装置１３０の構成例を示す図である。同図に示すファイアウォール装置１３０は、通信条件設定部１３１及び通信制御部１３２により構成される。
【００２６】
通信条件設定部１３１は、セキュアルーム１９０内の装置とセキュアルーム１９０外の装置との通信に際しての条件を設定する。具体的には、通信条件設定部１３１は、セキュアルーム１９０内の部門管理サーバ１２０からのＳＮＭＰトラップのみをセキュアルーム１９０外の装置へ通過させるとともに、セキュアルーム１９０外の装置からセキュアルーム１９０内のサーバ１１０及び部門管理サーバ１２０への通信を遮断するように通信条件を設定する。
【００２７】
通信制御部１３２は、通信条件設定部１３１によって設定された通信条件に従い、セキュアルーム１９０内の部門管理サーバ１２０からのＳＮＭＰトラップのみをセキュアルーム１９０外の装置へ通過させるとともに、セキュアルーム１９０外の装置からセキュアルーム１９０内のサーバ１１０及び部門管理サーバ１２０への通信を遮断する。このため、部門管理サーバ１２０から送信される、監視情報を含んだＳＮＭＰトラップは、ルータ１４０、通信回線１５０及びルータ１６０を介して、監視サーバ１７０へ送られることになる。
【００２８】
図７は、監視サーバ１７０の構成例を示す図である。同図に示す監視サーバ１７０は、送受信部１７１及び監視処理部１７２により構成される。
【００２９】
送受信部１７１は、部門管理サーバ１２０から送信される、監視情報を含んだＳＮＭＰトラップを受信し、監視処理部１７２へ送る。監視処理部１７２は、ＳＮＭＰトラップ内のメッセージ領域に含まれる、監視情報を抽出する。更に、監視処理部１７２は、抽出した監視情報を解析し、解析結果を監視端末１８０へ送信する。監視端末１８０は、受信した監視情報の解析結果を、画面に表示したり、音声で出力することによって監視者へ通知する。
【００３０】
また、監視処理部１７２は、送受信部１７１を介して、ファイアウォール装置１３０に対し、Ｐｉｎｇを送信する。そして、監視処理部１７２は、当該Ｐｉｎｇに対するファイアウォール装置１３０の応答状況によって、監視サーバ１７０とファイアウォール装置１３０との間の通信障害を検知する。
【００３１】
次に、シーケンス図を参照しつつ、遠隔監視システム１００の動作を説明する。図８は、遠隔監視システム１００の動作を示すシーケンス図である。部門管理サーバ１２０は、サーバ１１０の監視情報を取得する（ステップ１００）。更に、部門管理サーバ１２０は、取得した監視情報を含んだＳＮＭＰトラップを生成し（ステップ１０１）、ファイアウォール装置１３０へ送信する（ステップ１０２）。
【００３２】
ファイアウォール装置１３０は、セキュアルーム１９０内の部門管理サーバ１２０からのＳＮＭＰトラップのみをセキュアルーム１９０外の装置へ通過させるとともに、セキュアルーム１９０外の装置からセキュアルーム１９０内のサーバ１１０及び部門管理サーバ１２０への通信を遮断するように、通信制御を行う（ステップ１０３）。このため、ファイアウォール装置１３０は、部門管理サーバ１２０から送信される、監視情報を含んだＳＮＭＰトラップを監視サーバ１７０へ送信する。
【００３３】
監視サーバ１７０は、監視情報を含んだＳＮＭＰトラップを受信すると、当該ＳＮＭＰトラップ内のメッセージ領域に含まれる、監視情報を抽出する（ステップ１０５）。更に、監視サーバ１７０は、抽出した監視情報を解析し（ステップ１０６）、解析結果を監視端末１８０へ送信する（ステップ１０７）。監視端末１８０は、受信した監視情報の解析結果を監視者へ通知する（ステップ１０８）。
【００３４】
ＳＮＭＰトラップは、セキュアルーム１９０内の装置がセキュアルーム１９０外の装置からの要求等によらずに自発的に送信するものであり、当該ＳＮＭＰトラップが送信された場合であっても、セキュアルーム１９０内の安全性は確保される。従って、本実施形態では、ファイアウォール装置１３０がセキュアルーム１９０内の部門管理サーバ１２０からのＳＮＭＰトラップのみセキュアルーム１９０外の監視サーバ１７０への通過を許可するとともに、セキュアルーム１９０外の装置からセキュアルーム１９０内の装置への通信を遮断するように、通信制御を行うことにより、セキュアルーム１９０内の安全性を確保することができる。
【００３５】
また、従来、ＳＮＭＰトラップは、監視対象の装置のインタフェースが通信不能であること（ｌｉｎｋｄｏｗｎ）、監視対象の装置に電源が投入され起動されたこと（ｃｏｌｄｓｔａｒｔ）、監視対象の装置が電源オンのまま再起動されたこと（ｗａｒｍｓｔａｒｔ）、監視対象の装置が認証違反のｇｅｔｒｅｑｕｅｓｔ及びｓｅｔｒｅｑｕｅｓｔを受信したこと（ａｕｔｈｅｎｉｃａｔｉｏｎｆａｉｌｕｒｅ）等のハード、ネットワークレベルの障害を検知するために用いられていた。しかし、本実施形態では、部門管理サーバ１２０が監視対象のサーバ１１０のあらゆる監視情報をＳＮＭＰトラップのメッセージ領域に包含して送信しており、セキュアルーム１９０外の監視サーバ１７０は、アプリケーションレベルの監視情報等、あらゆる監視情報を取得することが可能となる。このため、安全性を確保しつつ遠隔監視を行うことが可能となる。
【発明の効果】
上述の如く、本発明によれば、ファイアウォール装置がセキュアルーム内の装置からのＳＮＭＰトラップのみ外部の装置への通過を許可するとともに、外部の装置から内部の装置への通信を遮断するようにすることによって、セキュアルーム内の安全性を確保することができる。更に、監視対象管理装置が監視対象の通信装置の監視情報をＳＮＭＰトラップに変換して送信することにより、外部の監視装置は、アプリケーションレベルの監視情報等、あらゆる監視情報を取得することが可能となる。このため、安全性を確保しつつ遠隔監視を行うことが可能となる。
【図面の簡単な説明】
【図１】従来の遠隔監視システムの構成例を示す図である。
【図２】従来のセキュアルーム内の通信装置を監視する監視システムの構成例を示す図である。
【図３】本実施形態の遠隔監視システムの構成例を示す図である。
【図４】部門管理サーバの構成例を示す図である。
【図５】ＳＮＭＰトラップのフォーマットの一例を示す図である。
【図６】ファイアウォール装置の構成例を示す図である。
【図７】監視サーバ１７０の構成例を示す図である。
【図８】本実施形態の遠隔監視システムの動作を示すシーケンス図である。
【符号の説明】
１００　遠隔監視システム
１１０−１、１１０−２、１１０−３　サーバ
１２０　部門管理サーバ
１２１　監視情報取得部
１２２　情報変換部
１２３　ＳＮＭＰトラップ送信部
１３０　ファイアウォール装置
１３１　通信条件設定部
１３２　通信制御部
１４０、１６０　ルータ
１５０　通信回線
１７０　監視サーバ
１７１　送受信部
１７２　監視処理部
１８０　監視端末

Claims

セキュアルーム内において該セキュアルーム内の第１の通信装置を接続して管理する監視対象管理装置と、セキュアルーム外の監視装置と、前記監視対象管理装置と前記監視装置を含むセキュアルーム外の第２の通信装置との間に介在するファイアウォール装置とによって構成される監視システムにおいて、
前記監視対象管理装置は、
前記第１の通信装置の監視情報を取得する監視情報取得手段と、
前記第１の通信装置の監視情報をＳＮＭＰトラップに変換する情報変換手段と、
前記ＳＮＭＰトラップを送信するＳＮＭＰトラップ送信手段を備え、
前記ファイアウォール装置は、
前記監視対象管理装置からのＳＮＭＰトラップを前記監視装置へ通過させるとともに、前記第２の通信装置から前記第１の通信装置及び監視対象管理装置への通信を遮断する通信制御手段を備え、
前記監視装置は、
前記ファイアウォール装置からのＳＮＭＰトラップを受信するＳＮＭＰトラップ受信手段と、
前記ＳＮＭＰトラップに基づく監視を行う監視手段と、
を備えることを特徴とする監視システム。
請求項１に記載の監視システムにおいて、
前記第１の通信装置の監視情報は、Ｐｉｎｇによる死活情報、システムログの情報、ミドルウェアの異常を示す情報、電子認証局用アプリケーションの処理に応じたログ情報、時刻障害の情報及び前記第１の通信装置内のロードバランサによって検出される情報の少なくとも何れかであることを特徴とする監視システム。
請求項１又は２に記載の監視システムにおいて、
前記監視装置は、前記ファイアウォール装置に対し、Ｐｉｎｇによる死活監視を行う死活監視手段を備えることを特徴とする監視システム。
セキュアルーム内において該セキュアルーム内の第１の通信装置を接続して管理する監視対象管理装置において、
前記第１の通信装置の監視情報を取得する監視情報取得手段と、
前記第１の通信装置の監視情報をＳＮＭＰトラップに変換する情報変換手段と、
前記ＳＮＭＰトラップを前記セキュアルーム外の監視装置へ送信するＳＮＭＰトラップ送信手段と、
を備えることを特徴とする監視対象管理装置。
セキュアルーム内において該セキュアルーム内の第１の通信装置を接続して管理する監視対象管理装置と、セキュアルーム外の監視装置と、前記監視対象管理装置と前記監視装置を含むセキュアルーム外の第２の通信装置との間に介在するファイアウォール装置とによって構成される監視システムにて、前記第１の通信装置を監視する監視方法において、
前記監視対象管理装置は、
前記第１の通信装置の監視情報を取得し、
前記第１の通信装置の監視情報をＳＮＭＰトラップに変換し、
前記ＳＮＭＰトラップを送信し、
前記ファイアウォール装置は、
前記監視対象管理装置からのＳＮＭＰトラップを前記監視装置へ通過させるとともに、前記第２の通信装置から前記第１の通信装置及び監視対象管理装置への通信を遮断し、
前記監視装置は、
前記ファイアウォール装置からのＳＮＭＰトラップを受信し、
前記ＳＮＭＰトラップに基づく監視を行うことを特徴とする監視方法。