JP2009181470A - クライアント監視システム及びクライアント監視装置 - Google Patents

Abstract

【課題】 クライアントにおけるＷｅｂアクセスやアプリケーション実行等を監視する監視プログラムのインストールの徹底を実現できるクライアント監視システムの提供。
【解決手段】
クライアント監視システムは、外部ネットワークへのアクセスが許可されたクライアントを識別するための情報が登録されるクライアント記憶手段と、前記外部ネットワークへのアクセスが許可されたクライアント以外からの外部ネットワークへのアクセスを制限するアクセス制限手段と、クライアントからのダウンロード要求に応じて、クライアントの状態を監視する監視プログラムを送信する監視プログラム送信手段と、を備え、初めて外部ネットワークへのアクセスを試みたクライアントに対して、前記監視プログラムのインストールを要求する。当該クライアントにおいて前記監視プログラムのインストールが行われることにより、前記クライアント記憶手段への登録が行われる。
【選択図】 図１

Description

本発明は、クライアント監視システム及びクライアント監視装置に関し、特に、クライアントマシン（以下、単に「クライアント」という。）が適正に利用されているか否かを監視するためのクライアント監視システム及びクライアント監視装置に関する。

近年、企業や組織の内部からのデータ流出や情報漏えい対策、あるいは、従業員の人事評価資料の収集等を目的として、クライアントにおいて行われている操作内容や、アクセス先を記録するとともに、必要に応じて監視サーバに送信し、該監視サーバにおいてリアルタイムかつ集中的に、クライアントの状況の把握を実現する監視プログラム（監視ソフトウェア）が急速に普及している。

特許文献１には、内部のＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）上に送出された信号を取得し、取得した信号の送信元及び送信先を特定し、送信元から送信先へのアクセス権の有無や、送信元が登録されている（非公式ＰＣ（パーソナルコンピュータ）でない）か否かや、送信が禁止されている文書であるか等を判断する通信監視装置が開示されている。取得した信号により問題があると判断した場合、同文献記載の通信監視装置は、送信元あるいは送信先に対して、通信の切断を要求するとともに、システム管理者への報告や送信元への警告を行うと記載されている。

特許文献２には、クライアントにインストールされているプログラムを特定し、報告させる管理プログラムを送信し、不適切なプログラムがインストールされているクライアントに対して、警告を行うプログラム管理装置が開示されている。

特開２００２−２３２４５１号公報 特開２００４−９４２９１号公報

従業員等による不適切なインターネットサイトへのアクセス、クライアントの目的外使用、社内データの持ち出し、不適切なソフトウェアのインストールが行われているか否かを把握するための有効な方策として、上記した監視プログラムの全社的な導入が挙げられる。

上記した監視プログラムを利用したクライアント監視システムの効果を最大限に引き出すには、上記した監視プログラムのインストールを徹底し、維持していくことが重要となるが、情報システム管理者の負担が大きいことから、インストール作業を従業員に委ねざるを得ないことも多い。

一方で、従業員側にも、本来の業務が繁忙であったり、私物ＰＣを業務に用いている場合などの事情があって、監視プログラムのインストールが徹底されないことがある。

本発明は、上記した事情に鑑みてなされたものであってその目的とするところは、簡便かつ確実に、上記した監視プログラムのインストールの徹底を実現できるクライアント監視システム及びクライアント監視装置を提供することにある。

本発明の第１の視点によれば、管理対象のクライアントのうち、外部ネットワークへのアクセスが許可されたクライアントを識別するための情報が登録されるクライアント記憶手段と、前記外部ネットワークへのアクセスが許可されたクライアント以外からの外部ネットワークへのアクセスを制限するアクセス制限手段と、クライアントからのダウンロード要求に応じて、クライアントの状態を監視する監視プログラムを送信する監視プログラム送信手段と、を備え、外部ネットワークへのアクセスが許可されていないにも拘わらず、外部ネットワークへのアクセスを試みたクライアントに対して、前記監視プログラムのインストールを要求し、前記監視プログラムをインストールすることにより、前記クライアント記憶手段への登録が行われるクライアント監視システムが提供される。

本発明の第２の視点によれば、管理対象のクライアントと、外部ネットワークとの間に配設されるクライアント監視装置であって、管理対象のクライアントのうち、外部ネットワークへのアクセスが許可されたクライアントを識別するための情報が登録されるクライアント記憶手段と、前記外部ネットワークへのアクセスが許可されたクライアント以外からの外部ネットワークへのアクセスを制限するアクセス制限手段と、クライアントからのダウンロード要求に応じて、クライアントの状態を監視する監視プログラムを送信する監視プログラム送信手段と、を備え、外部ネットワークへのアクセスが許可されていないにも拘わらず、外部ネットワークへのアクセスを試みたクライアントに対して、前記監視プログラムのインストールを要求し、前記監視プログラムをインストールすることにより、前記クライアント記憶手段への登録が行われるクライアント監視装置が提供される。

本発明によれば、管理対象のクライアントに、上記した監視プログラムを効率よくインストールさせることが可能となる。その理由は、クライアント端末からの外部ネットワークへのアクセス要求をトリガとして、監視プログラムのインストールを要請する仕組みを導入したことにある。

続いて、本発明を実施するための最良の形態について図面を参照して詳細に説明する。図１は、本発明の一実施形態に係るクライアント監視装置が配置された企業内のネットワーク構成を模式的に表したブロック図である。図１を参照すると、オフィスＡ、オフィスＢと、これら２つのオフィス内に配されたクライアント５−１〜５−８を監視する監視室に配置される機器が示されている。

ルータ１は、ファイアウォール２より内側の内部ネットワークと、インターネット（外部ネットワーク）との境界に配置され、両者を相互に接続する機能を提供する。

ファイアウォール２は、ルータ１を通して送られるデータのうち、必要なデータのみを通過させ、不要な通信を遮断する機能を提供する。

クライアント監視装置３は、クライアント５−１〜５−８がインターネットに接続する際に経由しなければならない位置に配置され、オフィスＡに配置されたクライアント５−１〜５−４と、オフィスＢに配置されたクライアント５−５〜５−８とを監視する。本実施形態では、クライアント監視装置３は、ルータ１と、ハブ／スイッチ４−１の間に配設されているものとして説明する。

図２は、クライアント監視装置３の詳細構成を表したブロック図である。図２を参照すると、クライアント監視装置３は、アクセス許可クライアント記憶手段３１と、アクセス制限手段３２と、インストール要求手段３３と、監視プログラム送信手段３４と、クライアント環境情報収集手段３５と、使用制限設定手段３６と、Ｗｅｂアクセス監視手段３７と、チャット監視手段３８と、ファイル転送監視手段３９と、音声通話監視手段４０と、を備えて構成される。

アクセス許可クライアント記憶手段３１には、管理対象のクライアント５−１〜５−８のうち、インターネットへのアクセスが許可されたクライアントを識別するための情報が登録される。本実施形態では、インターネットへのアクセスが許可されたクライアントのハードウェア固有の識別情報であるＭＡＣ（Ｍｅｄｉａ Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ）アドレスのリストにて実現されているものとする。

アクセス制限手段３２は、クライアント５−１〜５−８からの名前解決要求メッセージ等のインターネット接続要求を検知して、アクセス許可クライアント記憶手段３１を参照して、インターネットへのアクセスが禁止されているクライアントからのインターネット接続を制限する。本実施形態では、アクセス許可クライアント記憶手段３１には、ＭＡＣアドレスが登録されているため、アクセス制限手段３２は、クライアント５−１〜５−８からのインターネット接続要求に含まれる送信元ＭＡＣアドレスを照合することによって上記インターネットへのアクセスが許可されているか否かの判断を行うことができる。

更に、アクセス制限手段３２は、インターネットへのアクセスが禁止されているクライアントからのインターネット接続要求を検知した場合に、インストール要求手段３３を作動させる。

インストール要求手段３３は、ＨＴＭＬ（Ｈｙｐｅｒ Ｔｅｘｔ Ｍａｒｋｕｐ Ｌａｎｇｕａｇｅ）等で作成された監視プログラムのインストールを要求するコンテンツを保持し、アクセス制限手段３２からの要求に基づいて、インターネットへのアクセスが禁止されているクライアントに対して、監視プログラムのインストールを要求するコンテンツを送信する。

監視プログラム送信手段３４は、インストール要求手段３３から送信された監視プログラムのインストールを要求するコンテンツを介して、インターネットへのアクセスが禁止されているクライアントからの、監視プログラムの送信要求に応じて、監視プログラムを送信する。

クライアント環境情報収集手段３５〜音声通話監視手段４０は、上記のようにしてクライアントにインストールされた監視プログラムと連携してクライアントの状況を監視する手段である。これらの各手段は、監視プログラムと対応付けて備えられるべき機能の一例であり、顧客要求やシステム環境に応じて適宜改変される。以下、その概要をかいつまんで説明する。

クライアント環境情報収集手段３５は、監視プログラムよりクライアント環境情報として送信された、クライアントにインストールされているプログラムや、ハードウェア情報をクライアント毎に記録し管理する手段である。

使用制限設定手段３６は、クライアントにおけるハードウェアやソフトウェアの使用ポリシを保持し、クライアントにインストールされた監視プログラムからのハードウェアやソフトウェアの使用に関する問い合わせに応じて、当該ハードウェアやソフトウェアの使用制限が課されているか否かを応答する手段である。例えば、特定のクライアントにおける、リムーバブルメディアの接続制限や、特定のアプリケーションプログラムの実行制御を行うことが可能である。なお、クライアントにおけるハードウェアやソフトウェアの使用ポリシは、統一したものである必要はなく、例えば、クライアント毎に設定したものであってもよいし、あるいは、部課グループ等を単位として設定したものであってもよい。

Ｗｅｂアクセス監視手段３７は、インターネットへのアクセスが許可されているクライアントのインターネット上の各種サイトへのアクセス履歴を記録する機能や、当該クライアントにおいて現在表示されている画面をクライアント監視装置３側の表示装置にリアルタイム表示する機能を提供する。

チャット監視手段３８は、クライアント５−１〜５−８のインスタントメッセンジャー機能により、送受信されているチャットメッセージを監視する機能を提供する。

ファイル転送監視手段３９は、クライアント５−１〜５−８から、インターネット側にアップロードされるファイル、又は、インターネット側からダウンロードされるファイルを監視する機能を提供する。

音声通話監視手段４０は、クライアント５−１〜５−８と、インターネット側と音声通話端末との間の音声通話内容を監視する機能を提供する。

続いて、上記したクライアント監視装置３の動作について図面を参照して詳細に説明する。図３は、クライアント５−１〜５−８のうちのインターネットへのアクセスが許可されていないクライアントのユーザが、インターネット接続を試みた際の動作を表したシーケンス図である。

図３を参照すると、まず、前記クライアントからのインターネット接続要求を検知すると（ステップＳ００１−１）、クライアント監視装置３は、検出したクライアントのＭＡＣアドレスがアクセス許可クライアント記憶手段３１に登録されているか否かを確認する（ステップＳ００２−１）。

ここでは、インターネット接続を試みたクライアントは、インターネットへのアクセスが許可されていない状態であるので（ステップＳ００２−１のＮｏ）、クライアント監視装置３は、当該クライアントに対して、監視プログラムのダウンロード及びインストールを行うための画面を送信する（ステップＳ００３）。

図４は、監視プログラムのダウンロード及びインストールを行うための画面の例１００である。同図の例では、画面上の監視プログラムのダウンロードボタン（ＥＳＧソフトダウンロード）を押下することにより、インストーラ形式の監視プログラムのダウンロードが開始され、インストールが自動的に完了するようになっている。

また、監視プログラムは、インストール後の初回実行時に、クライアント監視装置３のアクセス許可クライアント記憶手段３１に自装置のＭＡＣアドレスを登録する処理と、次回以降クライアントを起動した際に、監視プログラムがメモリに常駐し、常時クライアントを監視できるよう設定する処理とを行う。

従って、その後、再度、前記クライアントからのインターネット接続要求が行われると（ステップＳ００１−２）、クライアント監視装置３は、検出したクライアントのＭＡＣアドレスがアクセス許可クライアント記憶手段３１に登録されていることを確認し、インターネット接続を許可する（ステップＳ００２−２のＹｅｓ）。

その後は、当該クライアントの監視プログラムから、インターネット上の各種サイトへのアクセス状況が送出される。クライアント監視装置３は、これらの情報に基づいて、図５に示すＷｅｂサイト閲覧ログ表示画面や、図６に示すクライアントリモート監視画面を表示する。

図７は、上記のようにして監視プログラムがインストールされたクライアント５−１〜５−８において、アプリケーション（プログラム）が実行された場合の動作を表したシーケンス図である。

図７を参照すると、まず、前記クライアントにおいて、アプリケーション（プログラム）の実行操作が行われると（ステップＳ１０１）、監視プログラムは、実行要求されたアプリケーション（プログラム）を記録するとともに（ステップＳ１０２）、クライアント監視装置３に対して、実行要求されたアプリケーション（プログラム）の使用が許可されているか否かを問い合わせる（ステップＳ１０３；使用許可照合）。

クライアント監視装置３は、クライアントにおけるハードウェアやソフトウェアの使用ポリシを参照し、実行要求されたアプリケーション（プログラム）を、使用許可すべきか否かを判定する（ステップＳ１０４）。

ここで、例えば、実行要求されたアプリケーション（プログラム）が、使用許可されていないものである場合には、クライアント監視装置３は、クライアントに対し、否定応答を返す（ステップＳ１０５）。前記否定応答を受けた監視プログラムは、実行要求されたアプリケーション（プログラム）の強制終了処理を実行する（ステップＳ１０６）。

図８は、上記のようにして監視プログラムがインストールされたクライアント５−１〜５−８から、チャットメッセージが送信された場合の動作を表したシーケンス図である。図９は、同様に、クライアント５−１〜５−８に対して、チャットメッセージが送信された場合の動作を表したシーケンス図である。

図８を参照すると、まず、前記クライアントにおいて、チャットメッセージの送信操作行われると（ステップＳ２０１）、監視プログラムは、送信要求されたチャットメッセージを記録した後（ステップＳ２０２）、クライアント監視装置３に対して、送信要求されたチャットメッセージを転送する（ステップＳ２０３）。

クライアント監視装置３は、転送されたチャットメッセージの内容を検査して（ステップＳ２０４）、予め定めた基準に適合するものであれば、インターネット側に転送し（ステップＳ２０５）、送信禁止とすべきと判断した場合は、当該チャットメッセージを廃棄する（ステップＳ２０６；チャットメッセージ遮断）。
る（ステップＳ１０４）。

チャットメッセージの受信時は、図９に示したとおり、まず、クライアント監視装置３は、インターネット側からチャットメッセージを受信すると（ステップＳ２１１）、当該チャットメッセージの内容を検査する（ステップＳ２１２）。ここで、送信禁止とすべきと判断した場合は、クライアント監視装置３は、当該チャットメッセージを廃棄する（ステップＳ２１３；チャットメッセージ遮断）。

一方、チャットメッセージが予め定めた基準に適合するものであれば、クライアント監視装置３は、あて先のクライアントに対して当該チャットメッセージを転送する（ステップＳ２１４）。

前記チャットメッセージがあて先のクライアントに転送されると、当該クライアントにインストールされた監視プログラムが、受信したチャットメッセージを記録した後（ステップＳ２１５）、当該クライアントの表示装置に、チャットメッセージを表示する（ステップＳ２１６）。

ファイル転送や音声通話も、上記したチャットメッセージの監視と同様のフローにより制御される。

以上のとおり、本実施形態によれば、外部ネットワーク（インターネット）への接続要求を契機として、監視プログラムのインストールが行われるため、前述したＷｅｂアクセス監視や、実行アプリケーション（プログラム）の制御、チャットメッセージの監視等が確実に行われる。従って、企業や学校等における情報システム管理者の負担が軽減されることになる。

以上、本発明の好適な実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、上記した実施形態では、クライアントを識別する情報としてＭＡＣアドレスを用いるものとして説明したが、その他の端末ＩＤ、グループＩＤやＩＰアドレス等を用いて実現することも可能である。

上記した実施形態では、図１のシステム構成図を例示して説明を加えたが、その他のネットワーク構成においても同様に適用することが可能である。例えば、一部のクライアントに無線アクセスポイントを介したネットワーク接続を認める構成においても、外部ネットワークへの接続要求時に、同様に管理プログラムのインストールを要求することが可能である。

本発明の一実施形態に係るクライアント監視システムの構成を表したブロック図である。 図１のクライアント監視装置の詳細構成を表したブロック図である。 本発明の一実施形態に係るクライアント監視システムの動作を説明するためのシーケンス図である。 図３のステップＳ００３においてクライアントに送信され、表示される画面の一例である。 クライアント監視装置の表示装置に表示されるＷｅｂサイト閲覧ログ表示画面の例である。 クライアント監視装置の表示装置に表示されるクライアントリモート監視画面の例である。 本発明の一実施形態に係るクライアント監視システムの動作を説明するための第２のシーケンス図である。 本発明の一実施形態に係るクライアント監視システムの動作を説明するための第３のシーケンス図である。 本発明の一実施形態に係るクライアント監視システムの動作を説明するための第４のシーケンス図である。

符号の説明

１ ルータ
２ ファイアウォール
３ クライアント監視装置
４−１、４−２、４−３ ハブ／スイッチ
５−１〜５−８ クライアント
３１ アクセス許可クライアント記憶手段
３２ アクセス制限手段
３３ インストール要求手段
３４ 監視プログラム送信手段
３５ クライアント環境情報収集手段
３６ 使用制限設定手段
３７ Ｗｅｂアクセス監視手段
３８ チャット監視手段
３９ ファイル転送監視手段
４０ 音声通話監視手段
１００ 監視プログラムインストール要求画面
１０１ Ｗｅｂサイト閲覧ログ表示画面
１０２ クライアントリモート監視画面

Claims (4)

1. 管理対象のクライアントのうち、外部ネットワークへのアクセスが許可されたクライアントを識別するための情報が登録されるクライアント記憶手段と、
   前記外部ネットワークへのアクセスが許可されたクライアント以外からの外部ネットワークへのアクセスを制限するアクセス制限手段と、
   クライアントからのダウンロード要求に応じて、クライアントの状態を監視する監視プログラムを送信する監視プログラム送信手段と、を備え、
   外部ネットワークへのアクセスが許可されていないにも拘わらず、外部ネットワークへのアクセスを試みたクライアントに対して、前記監視プログラムのインストールを要求し、前記監視プログラムをインストールすることにより、前記クライアント記憶手段への登録が行われること、
   を特徴とするクライアント監視システム。
2. 更に、外部ネットワークへのアクセスが許可されていないにも拘わらず、前記外部ネットワークへのアクセスを試みたクライアントのブラウザに、インストール処理とともに前記クライアント記憶手段への登録処理を実行する実行ファイル形式の監視プログラムをダウンロードするための画面を表示させるインストール要求手段を備える請求項１に記載のクライアント管理システム。
3. 管理対象のクライアントと、外部ネットワークとの間に配設されるクライアント監視装置であって、
   管理対象のクライアントのうち、外部ネットワークへのアクセスが許可されたクライアントを識別するための情報が登録されるクライアント記憶手段と、
   前記外部ネットワークへのアクセスが許可されたクライアント以外からの外部ネットワークへのアクセスを制限するアクセス制限手段と、
   クライアントからのダウンロード要求に応じて、クライアントの状態を監視する監視プログラムを送信する監視プログラム送信手段と、を備え、
   外部ネットワークへのアクセスが許可されていないにも拘わらず、外部ネットワークへのアクセスを試みたクライアントに対して、前記監視プログラムのインストールを要求し、前記監視プログラムをインストールすることにより、前記クライアント記憶手段への登録が行われること、を特徴とするクライアント監視装置。
4. 更に、外部ネットワークへのアクセスが許可されていないにも拘わらず、前記外部ネットワークへのアクセスを試みたクライアントのブラウザに、インストール処理とともに前記クライアント記憶手段への登録処理を実行する実行ファイル形式の監視プログラムをダウンロードするための画面を表示させるインストール要求手段を備える請求項３に記載のクライアント監視装置。

Images