JP2004272456A - コンピュータシステム - Google Patents

Abstract

【課題】管理者の手間を要することなく、ネットワークに接続されているコンピュータをウィルスから守ることができるコンピュータシステムを得ることを目的とする。
【解決手段】移動エージェント２０の到来を許容するとともに、その移動エージェント２０によるウィルス対策処理の実行を許容するエージェントサーバ１３をコンピュータ１１，１２が搭載する。これにより、管理者の手間を要することなく、ネットワークに接続されているコンピュータ１１，１２をウィルスから守ることができる。
【選択図】 図１

Description

【０００１】
【発明の属する技術分野】
この発明は、複数のコンピュータがネットワークに接続されているコンピュータシステムに関するものである。
【０００２】
【従来の技術】
企業や学校などでは、数多くのコンピュータがネットワークに接続されて利用されている。近年、ワーム型のウィルスなどは、コンピュータのセキュリティホールを攻撃して感染し、急激にネットワーク上のコンピュータに広がるケースが増えている。
このようなウィルスからコンピュータシステムを守る対策としては、コンピュータが使用しているＯＳやソフトウェアに対してパッチを適用することが挙げられる。
【０００３】
通常、パッチの適用は、各コンピュータの管理者が行うことになるが、数多くのコンピュータがネットワークに接続されている場合、パッチの適用を怠る管理者もあり、そのようなコンピュータがウィルス等の攻撃の被害を受ける可能性を残してしまうことになる。被害を防止するためには、ネットワーク上のコンピュータに漏れなくパッチが適用されていることが必要であり、ネットワーク上のコンピュータについてセキュリティパッチの適用状況を確認する仕組みが必要である。
以下の特許文献１では、ネットワーク上のサーバがパッチＤＢを備え、保守管理対象のコンピュータにインストールされているパッチ適応処理部がパッチＤＢを参照して、パッチ適応処理を実施する。
【０００４】
【特許文献１】
特開２００２−５５８３９公報（段落番号［００１９］から［００７２］、図１）
【０００５】
【発明が解決しようとする課題】
従来のコンピュータシステムは以上のように構成されているので、パッチ適応処理部のロジック変更や機能追加が生じると、各コンピュータにインストールされているパッチ適応処理部のバージョンアップが必要になり、ネットワークに接続されているコンピュータの台数が多い場合、非常に多くの手間を要するなどの課題があった。
【０００６】
この発明は上記のような課題を解決するためになされたもので、管理者の手間を要することなく、ネットワークに接続されているコンピュータをウィルスから守ることができるコンピュータシステムを得ることを目的とする。
【０００７】
【課題を解決するための手段】
この発明に係るコンピュータシステムは、移動エージェントの到来を許容するとともに、その移動エージェントによるウィルス対策処理の実行を許容するエージェントサーバを複数のコンピュータが搭載するようにしたものである。
【０００８】
【発明の実施の形態】
以下、この発明の実施の一形態を説明する。
実施の形態１．
図１はこの発明の実施の形態１によるコンピュータシステムを示す構成図であり、図において、パッチ情報ＤＢサーバ１はパッチ情報ＤＢ２、パッチ適用状況ＤＢ３及びパッチ情報ＤＢフロントエンド４から構成されている。パッチ情報ＤＢ２は各種のＯＳやソフトウェアに対して現在リリースされているパッチの情報を格納しており、例えば、図２に示すような情報を格納している。パッチ適用状況ＤＢ３はネットワーク上のコンピュータ１１，１２にインストールされているソフトウェアの情報や、そのソフトウェアに適用されているパッチの情報を格納しており、例えば、図３に示すような情報を格納している。パッチ情報ＤＢフロントエンド４はパッチ情報ＤＢ２とパッチ適用状況ＤＢ３のフロントエンドとなるソフトウェアであり、移動エージェント２０がパッチ情報ＤＢフロントエンド４を通してパッチ情報ＤＢ２とパッチ適用状況ＤＢ３にアクセスする。
【０００９】
パッチダウンロード用サーバ５はパッチＤＢ６及びパッチＤＢフロントエンド７から構成されている。パッチＤＢ６は各種のパッチを格納している。パッチＤＢフロントエンド７はパッチＤＢ６のフロントエンドとなるソフトウェアであり、移動エージェント２０がパッチＤＢフロントエンド７を通じてパッチＤＢ６からパッチをダウンロードする。
この実施の形態１では、パッチダウンロード用サーバ５がコンピュータシステム内に設置されているが、例えば、インターネット上のパッチダウンロード用サイトがパッチダウンロード用サーバ５の機能を担う場合もある。
【００１０】
ウィルス管理ＤＢサーバ８はウィルス管理ＤＢ９及びウィルス管理ＤＢフロントエンド１０から構成されている。ウィルス管理ＤＢ９は移動エージェント２０により検出されて消去されたウィルスの検出消去結果を格納しており、例えば、図４に示すような情報を格納している。ウィルス管理ＤＢフロントエンド１０はウィルス管理ＤＢ９のフロントエンドとなるソフトウェアであり、移動エージェント２０がウィルス管理ＤＢフロントエンド１０を通じてウィルス管理ＤＢ９にアクセスする。
この実施の形態１では、ウィルス管理ＤＢサーバ８とパッチ情報ＤＢサーバ１を別々に構成しているが、１台のサーバで実現するようにしてもよい。
【００１１】
コンピュータ１１，１２は保守管理対象のコンピュータであり、コンピュータ１１，１２は移動エージェント２０の到来を許容するとともに、その移動エージェント２０によるウィルス対策処理の実行を許容するエージェントサーバ１３を搭載している。エージェントサーバ１３はＪａｖａ（登録商標）仮想マシン１４のようなマルチＯＳで移動エージェント２０を動作させる。
移動エージェント２０はネットワークに接続されている保守管理対象のコンピュータ１１，１２・・・に順番に移動して、コンピュータ１１，１２・・・にインストールされているソフトウェアに対するパッチの適正化を図るとともに、コンピュータ内のウィルスを検出して消去するなどの処理を実施する。
図５は移動エージェント２０の処理内容を示すフローチャートである。
【００１２】
次に動作について説明する。
移動エージェント２０は、例えば、ＩＰアドレス順など、予め指定された経路でコンピュータ１１，１２，・・・上を移動する（ステップＳＴ１）。ただし、移動エージェント２０の移動方法は、これに限るものではなく、例えば、移動エージェント２０が自律的に調査対象のコンピュータを探索して、そのコンピュータに移動するなどが考えられる。このような自律的な移動方法については、特開平１０−３２０２６１号公報や特開平１１−３０６１４８号公報に開示されている。
この実施の形態１では、説明の便宜上、以下、移動エージェント２０がコンピュータ１１に移動したものとして説明する。
【００１３】
コンピュータ１１のエージェントサーバ１３は、移動エージェント２０が移動してくると、その移動エージェント２０によるウィルス対策処理の実行を許容するが、移動エージェント２０はコンピュータ１１のパッチ適用状況という重要な資源にアクセスするものであるため、移動エージェント２０の移動の際に認証処理を実施して、悪意のあるエージェントによる移動エージェント２０の成りすましを防止している。
【００１４】
移動エージェント２０は、コンピュータ１１のエージェントサーバ１３から認証が得られると、パッチ情報ＤＢフロントエンド４を通してパッチ適用状況ＤＢ３にアクセスし、コンピュータ１１のＯＳやインストールされているソフトウェアを調査する（ステップＳＴ２）。
次に、移動エージェント２０は、パッチ情報ＤＢフロントエンド４を通してパッチ情報ＤＢ３にアクセスし、コンピュータ１１にインストールされているソフトウェアに対して現在リリースされているパッチのリリース情報を収集する（ステップＳＴ３）。
【００１５】
次に、移動エージェント２０は、パッチ情報ＤＢフロントエンド４を通してパッチ適用状況ＤＢ３にアクセスし、コンピュータ１１にインストールされているソフトウェアにパッチが適用されているか否かを調査し、パッチが適用されていなければ、適正なパッチを適用する（ステップＳＴ４）。
即ち、移動エージェント２０は、コンピュータ１１にインストールされているソフトウェアの中で、パッチが適用されていないソフトウェアが存在する場合（ステップＳＴ１１）、ステップＳＴ３の処理で収集したリリース情報を参照して、そのソフトウェアに対して現在リリースされているパッチを特定し、パッチＤＢフロントエンド７を通じてパッチＤＢ６から当該パッチをダウンロードする（ステップＳＴ１２〜ＳＴ１４）。ただし、移動エージェント２０が予め当該パッチを内蔵しているような場合にはダウンロードしない。
移動エージェント２０は、パッチＤＢ６からパッチをダウンロードすると、そのパッチを当該ソフトウェアに適用し、パッチ適用状況ＤＢ３を更新する（ステップＳＴ１５〜ＳＴ１７）。
【００１６】
移動エージェント２０は、上記のようにして、コンピュータ１１に対するパッチの適用処理が終了すると、次の保守管理対象であるコンピュータ１２に移動し（ステップＳＴ５）、上記と同様のパッチ適用処理を実施する。
【００１７】
以上で明らかなように、この実施の形態１によれば、移動エージェント２０の到来を許容するとともに、その移動エージェント２０によるウィルス対策処理の実行を許容するエージェントサーバ１３をコンピュータ１１，１２が搭載するように構成したので、管理者の手間を要することなく、ネットワークに接続されているコンピュータ１１，１２をウィルスから守ることができる効果を奏する。
即ち、ネットワークに数多くのコンピュータが接続されている場合において、移動エージェント２０の機能等が追加されてバージョンアップの必要が生じても、管理者がコンピュータ１１，１２のエージェントサーバ１３等をバージョンアップする必要がなく、単に移動エージェント２０をバージョンアップするだけで対処することができる。したがって、管理者の手間を要することなく、ネットワークに接続されているコンピュータ１１，１２をウィルスから守ることができる効果を奏する。
【００１８】
また、この実施の形態１によれば、エージェントサーバ１３がＪａｖａ（登録商標）仮想マシン１４上で移動エージェントを動作させるように構成しているので、各ＯＳごとに移動エージェント２０を用意することなく、同一の移動エージェント２０でコンピュータ１１，１２を保護することができる効果を奏する。
【００１９】
実施の形態２．
上記実施の形態１では、移動エージェント２０がコンピュータ１１，１２に対してパッチの適用処理を実施するものについて示したが、ウィルスの検出消去処理を実施するようにしてもよい。
【００２０】
即ち、移動エージェント２０は、例えば、コンピュータ１１のエージェントサーバ１３から認証が得られると、コンピュータ１１内のファイルをスキャンすることによりウィルスを検出する。
そして、ウィルスが見つかると、そのウィルスを消去すると同時に、ウィルス管理ＤＢフロントエンド１０を通じてウィルス管理ＤＢ９にアクセスし、そのウィルスの検出消去結果をウィルス管理ＤＢ９に格納する。
また、移動エージェント２０は、ウィルスを検出して消去した旨を示すメッセージをコンピュータ１１の管理者にメール送信する。
これにより、コンピュータ内のウィルスを自動的に除去することができるので、コンピュータシステムの信頼性を高めることができる効果を奏する。
【００２１】
【発明の効果】
以上のように、この発明によれば、移動エージェントの到来を許容するとともに、その移動エージェントによるウィルス対策処理の実行を許容するエージェントサーバを複数のコンピュータが搭載するように構成したので、管理者の手間を要することなく、ネットワークに接続されているコンピュータをウィルスから守ることができる効果がある。
【図面の簡単な説明】
【図１】この発明の実施の形態１によるコンピュータシステムを示す構成図である。
【図２】パッチ情報ＤＢの格納例を示す説明図である。
【図３】パッチ適用状況ＤＢの格納例を示す説明図である。
【図４】ウィルス管理ＤＢの格納例を示す説明図である。
【図５】移動エージェントの処理内容を示すフローチャートである。
【符号の説明】
１ パッチ情報ＤＢサーバ、２ パッチ情報ＤＢ、３ パッチ適用状況ＤＢ、４ パッチ情報ＤＢフロントエンド、５ パッチダウンロード用サーバ、６ パッチＤＢ、７ パッチＤＢフロントエンド、８ ウィルス管理ＤＢサーバ、９ ウィルス管理ＤＢ、１０ ウィルス管理ＤＢフロントエンド、１１，１２ コンピュータ、１３ エージェントサーバ、１４ Ｊａｖａ（登録商標）仮想マシン、２０ 移動エージェント。

Claims (5)

1. 複数のコンピュータがネットワークに接続されているコンピュータシステムにおいて、上記複数のコンピュータが、移動エージェントの到来を許容するとともに、その移動エージェントによるウィルス対策処理の実行を許容するエージェントサーバを搭載していることを特徴とするコンピュータシステム。
2. エージェントサーバは、Ｊａｖａ（登録商標）仮想マシン上で移動エージェントを動作させることを特徴とする請求項１記載のコンピュータシステム。
3. 移動エージェントは、コンピュータにインストールされているソフトウェアを調査し、そのソフトウェアに適用されているパッチの状況を調査することを特徴とする請求項１または請求項２記載のコンピュータシステム。
4. 移動エージェントは、ソフトウェアに適正なパッチが適用されていない場合、その適正なパッチを当該ソフトウェアに適用することを特徴とする請求項３記載のコンピュータシステム。
5. 移動エージェントは、コンピュータ内のファイルをスキャンしてウィルスを検出し、そのウィルスを消去することを特徴とする請求項１から請求項４のうちのいずれか１項記載のコンピュータシステム。

Images