JP2010271764A - 既存ファイルサーバへのアクセス可能なクライアントコンピュータを制限する方法及びシステム - Google Patents
既存ファイルサーバへのアクセス可能なクライアントコンピュータを制限する方法及びシステム Download PDFInfo
- Publication number
- JP2010271764A JP2010271764A JP2009120728A JP2009120728A JP2010271764A JP 2010271764 A JP2010271764 A JP 2010271764A JP 2009120728 A JP2009120728 A JP 2009120728A JP 2009120728 A JP2009120728 A JP 2009120728A JP 2010271764 A JP2010271764 A JP 2010271764A
- Authority
- JP
- Japan
- Prior art keywords
- file server
- access
- request
- existing file
- existing
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Images
Landscapes
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
- Storage Device Security (AREA)
Abstract
【課題】 現実可能かつ容易な方法で、ファイルサーバへアクセス可能なクライアントコンピュータを制限する方法を実現する。
【解決手段】 既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。
【選択図】 図１
【解決手段】 既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。
【選択図】 図１
Description
本発明は、既存のファイルサーバに対し、アクセス可能なクライアントコンピュータ（以下、ＰＣと略記）を制限する方法及びシステムに関するものである。
従来のファイルサーバの保護で実現されている方法としては、暗号化によって保護する方法や検疫ネットワーク技術を利用した方法がある。
各種製品で実現されている暗号化によって保護する方法（非特許文献１）は、ファイルサーバ上のファイルを暗号化し、特定のアプリケーションが入ったマシン上でしか復号されないことにより、ファイルの内容を保護するものである。しかし、この方法では、特定のアプリケーションが実装されていないマシンでも、暗号化されたファイル自体にはアクセス可能であり、暗号化されたファイルを削除される危険性や、改ざんされる危険性がある。
各種製品で実現されている暗号化によって保護する方法（非特許文献１）は、ファイルサーバ上のファイルを暗号化し、特定のアプリケーションが入ったマシン上でしか復号されないことにより、ファイルの内容を保護するものである。しかし、この方法では、特定のアプリケーションが実装されていないマシンでも、暗号化されたファイル自体にはアクセス可能であり、暗号化されたファイルを削除される危険性や、改ざんされる危険性がある。
一方、検疫ネットワーク技術（特許文献１）は、ファイルサーバを含む組織内ネットワークに、特定のアプリケーションやハードウェアが無いＰＣを接続させない技術である。これを用いれば、不正なＰＣからのファイル削除や改ざんの危険性はなくなるが、導入や管理コストが高く、ファイルサーバ保護のために導入することは現実的ではない。
また、ファイルサーバ機能を提供するアプリケーションやＯＳ（オペレーティングシステム）を改良する方法もある。例えば、ｓａｍｂａ（非特許文献２）はオープンソースであり、これらの改良を行うことは可能である。しかし、クローズドでプロプライエタリなアプリケーションやＯＳでは実現が困難である。また、既存のファイルサーバに適用したい場合には、様々なバージョンに個々に対応しなければならず、コストが高で実現困難である。
また、ファイルサーバ機能を提供するアプリケーションやＯＳ（オペレーティングシステム）を改良する方法もある。例えば、ｓａｍｂａ（非特許文献２）はオープンソースであり、これらの改良を行うことは可能である。しかし、クローズドでプロプライエタリなアプリケーションやＯＳでは実現が困難である。また、既存のファイルサーバに適用したい場合には、様々なバージョンに個々に対応しなければならず、コストが高で実現困難である。
特許文献２では、新たにプロキシーサーバを用意し、特定のアプリケーションが入ったクライアントのみが行う認証が行われたアクセスは、プロキシーサーバ経由でファイルサーバにアクセスできるようにしている。この方法では、上記の問題は解決できる。
しかし、特許文献２では、クライアント上のアプリケーションで、ファイルサーバへのアクセスを全て確実にプロキシーサーバ経由に変更しなければならない。これは、特にクローズドでプロプライエタリなクライアントＯＳでは、完全に行うことは困難である。また、ファイルサーバへの通信を規定しているＣＩＦＳ／ＳＭＢプロトコルは複雑であり、一部の通信が届かない、もしくは誤った通信で拒否されてしまうと、クライアントＰＣの動作が不安定になってしまうリスクがある。さらに、アクセス拒否をプロキシーサーバが行うとしているが、先に述べたようにＣＩＦＳ／ＳＭＢプロトコルは複雑であり、適切なアクセス拒否の通信を実現することは困難である。このため、特許文献２の方法は現実的ではない。
しかし、特許文献２では、クライアント上のアプリケーションで、ファイルサーバへのアクセスを全て確実にプロキシーサーバ経由に変更しなければならない。これは、特にクローズドでプロプライエタリなクライアントＯＳでは、完全に行うことは困難である。また、ファイルサーバへの通信を規定しているＣＩＦＳ／ＳＭＢプロトコルは複雑であり、一部の通信が届かない、もしくは誤った通信で拒否されてしまうと、クライアントＰＣの動作が不安定になってしまうリスクがある。さらに、アクセス拒否をプロキシーサーバが行うとしているが、先に述べたようにＣＩＦＳ／ＳＭＢプロトコルは複雑であり、適切なアクセス拒否の通信を実現することは困難である。このため、特許文献２の方法は現実的ではない。
共有ファイル暗号化サーバソフトウェア http://www.mdis.co.jp/misty/angouserver/index.htm
What is Samba? http://usl.samba.org/samba/what_is_samba.html
本発明の目的は、現実可能かつ容易な方法で、ファイルサーバへアクセス可能なＰＣを制限することができる方法及びシステムを提供することである。
上記の目的を達成するため、本発明は、既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限する方法であって、
既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。
また、前記既存ファイルサーバのフォルダ及びファイルへのアクセスを制限する手段は、前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する手段からのアクセス要求のみを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否するものであることを特徴とする。
既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。
また、前記既存ファイルサーバのフォルダ及びファイルへのアクセスを制限する手段は、前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する手段からのアクセス要求のみを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否するものであることを特徴とする。
また、クライアントコンピュータと既存ファイルサーバと、これらの間に配置された接続制限ファイルサーバとから構成され、既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限するシステムであって、
前記クライアントコンピュータが、
前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する通知手段を備え、
前記接続制限ファイルサーバが、
前記既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、
前記通知手段から一定期間内に前記特定の情報を受信したクライアントコンピュータのアクセス要求に対してのみ前記既存ファイルサーバが公開するフォルダ及びファイルへのアクセスを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否する手段を備えることを特徴とする。
前記クライアントコンピュータが、
前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する通知手段を備え、
前記接続制限ファイルサーバが、
前記既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、
前記通知手段から一定期間内に前記特定の情報を受信したクライアントコンピュータのアクセス要求に対してのみ前記既存ファイルサーバが公開するフォルダ及びファイルへのアクセスを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否する手段を備えることを特徴とする。
本発明によれば、識別アプリケーションが実装されたＰＣであれば、当該ＰＣからのアクセス要求に対し、接続制限ファイルサーバが既存ファイルサーバの公開しているフォルダまたはファイルにアクセスし、その結果をクライアントに返す。一方、識別アプリケーションが実装されたＰＣからのアクセス要求に対しては、接続制限ファイルサーバがＣＩＦＳ／ＳＭＢプロトコルに従ったアクセス拒否を行う。
これにより、既存のファイルサーバに手を加えず、また、実現可能な容易な方法で、識別アプリケーションが実装されていないＰＣから、既存ファイルサーバ上のファイルへのアクセスを禁止することができる。
これにより、既存のファイルサーバに手を加えず、また、実現可能な容易な方法で、識別アプリケーションが実装されていないＰＣから、既存ファイルサーバ上のファイルへのアクセスを禁止することができる。
以下、本発明を実施する場合の一形態を、図面を参照して具体的に説明する。
図１は、本発明の実施形態を示すシステム構成図である。
本実施形態のシステムは、クライアントＰＣ１００と、既存ファイルサーバ群１２０と、接続制限ファイルサーバ１３０で構成され、これらはネットワーク１４０，１５０で結ばれている。
クライアントＰＣ１００には、接続制限ファイルサーバ１３０を通した既存ファイルサーバ群１２０へのアクセスを可能にするための識別アプリケーション１０１が実装されている。この識別アプリケーション１０１は、クライアントＰＣ１００から、接続制限ファイルサーバ１３０が公開しているフォルダへのアクセス要求のパケットをキャプチャし、後述の処理の中で、接続制限ファイルサーバ１３０への要求処理部１５０に、アクセス要求を送信するものである。
既存ファイルサーバ群１２０は、会社等の組織などで既に利用されているファイルサーバＡ１２１やＢ１２２である。
図１は、本発明の実施形態を示すシステム構成図である。
本実施形態のシステムは、クライアントＰＣ１００と、既存ファイルサーバ群１２０と、接続制限ファイルサーバ１３０で構成され、これらはネットワーク１４０，１５０で結ばれている。
クライアントＰＣ１００には、接続制限ファイルサーバ１３０を通した既存ファイルサーバ群１２０へのアクセスを可能にするための識別アプリケーション１０１が実装されている。この識別アプリケーション１０１は、クライアントＰＣ１００から、接続制限ファイルサーバ１３０が公開しているフォルダへのアクセス要求のパケットをキャプチャし、後述の処理の中で、接続制限ファイルサーバ１３０への要求処理部１５０に、アクセス要求を送信するものである。
既存ファイルサーバ群１２０は、会社等の組織などで既に利用されているファイルサーバＡ１２１やＢ１２２である。
接続制限ファイルサーバ１３０は、マウント処理部１３１、ファイルシステム１４０、登録処理部１５０、ファイルサーバアプリケーション１６０で構成される。
マウント処理部１３１及びファイルシステム１４０は、既存の技術であり、既存ファイルサーバ群上のファイルサーバ１２１や１２２が公開しているフォルダを、ファイルシステム１４０上にマウントし、後述する接続制限ファイルサーバ１３１上のファイルサーバアプリケーション１６０から既存ファイルサーバ群１２０が公開しているフォルダ及びファイルに対するアクセスを可能にするものである。
接続制限ファイルサーバ１３１上のアプリケーションは、マウントポイント１４１及び１４２にアクセスすることで、既存ファイルサーバ群１２０のファイルサーバ１２１，１２２が公開しているフォルダにアクセスできる。
要求処理部１５０は、要求受信登録部１５１と要求登録ＤＢ１５２で構成される。
要求受信登録部は、クライアントＰＣ１００上の識別アプリケーション１０１が送信したアクセス要求の受信及び処理を行い、要求登録ＤＢ１５２に登録するものである。
マウント処理部１３１及びファイルシステム１４０は、既存の技術であり、既存ファイルサーバ群上のファイルサーバ１２１や１２２が公開しているフォルダを、ファイルシステム１４０上にマウントし、後述する接続制限ファイルサーバ１３１上のファイルサーバアプリケーション１６０から既存ファイルサーバ群１２０が公開しているフォルダ及びファイルに対するアクセスを可能にするものである。
接続制限ファイルサーバ１３１上のアプリケーションは、マウントポイント１４１及び１４２にアクセスすることで、既存ファイルサーバ群１２０のファイルサーバ１２１，１２２が公開しているフォルダにアクセスできる。
要求処理部１５０は、要求受信登録部１５１と要求登録ＤＢ１５２で構成される。
要求受信登録部は、クライアントＰＣ１００上の識別アプリケーション１０１が送信したアクセス要求の受信及び処理を行い、要求登録ＤＢ１５２に登録するものである。
図２は要求登録ＤＢ１５２のテーブル構造を示すものである。
要求登録ＤＢ１５２は、アクセス要求送信元のＩＰアドレス２０１、アクセス要求元のポート番号２０２、既存ファイルサーバへのアクセスのためのＳＭＢ／ＣＩＦＳプロトコル（Server Message Block/Common Internet File System）で利用されるＳＭＢヘッダの一部である、ＴＩＤ２０３、ＰＩＤ２０４、ＵＩＤ２０５、ＭＩＤ３０６で構成される。ＳＭＢヘッダに関しては後述する。
ファイルサーバアプリケーション１６０は、アクセス要求受信部１６１、アクセス返信部１６２とアクセス処理部１７０で構成される。
要求登録ＤＢ１５２は、アクセス要求送信元のＩＰアドレス２０１、アクセス要求元のポート番号２０２、既存ファイルサーバへのアクセスのためのＳＭＢ／ＣＩＦＳプロトコル（Server Message Block/Common Internet File System）で利用されるＳＭＢヘッダの一部である、ＴＩＤ２０３、ＰＩＤ２０４、ＵＩＤ２０５、ＭＩＤ３０６で構成される。ＳＭＢヘッダに関しては後述する。
ファイルサーバアプリケーション１６０は、アクセス要求受信部１６１、アクセス返信部１６２とアクセス処理部１７０で構成される。
アクセス要求処理部１６１は、クライアントＰＣ１００からのファイルアクセス要求を受信するものである。
アクセス返信部１６２は、アクセス処理部１７０の結果をクライアントＰＣ１００に返信するものである。
アクセス処理部１７０は、アクセス要求処理部１６１で受けたアクセスを実際に処理し、その結果をアクセス返信部１６２に渡すものである。このアクセス処理部１７０は、アクセス要求認証部１７１を含んでいる。
アクセス要求認証部１７１は、実際のアクセスを行う前に、登録要求ＤＢ１５２を用いて、アクセスを行ってその結果を返すか、アクセスを拒否するかを判断するものである。
ここで、アクセス認証処理部１７１以外については、非特許文献２に挙げられるような従来の技術である。本発明の独自性があるのは、後述するアクセス認証処理部１７１の処理のみである。
また、先に述べたように、本発明ではクライアントＰＣ１００及びそのユーザは、既存ファイルサーバ群１２０へ直接アクセスするのではなく、接続制限ファイルサーバ１３０経由でアクセスする。この接続制限ファイルサーバ１３０経由でのアクセスは、接続制限ファイルサーバ１３０のファイルサーバアプリケーション１６０が、ファイルシステム１４０のマウントポイントのフォルダを公開することで実現する。
アクセス返信部１６２は、アクセス処理部１７０の結果をクライアントＰＣ１００に返信するものである。
アクセス処理部１７０は、アクセス要求処理部１６１で受けたアクセスを実際に処理し、その結果をアクセス返信部１６２に渡すものである。このアクセス処理部１７０は、アクセス要求認証部１７１を含んでいる。
アクセス要求認証部１７１は、実際のアクセスを行う前に、登録要求ＤＢ１５２を用いて、アクセスを行ってその結果を返すか、アクセスを拒否するかを判断するものである。
ここで、アクセス認証処理部１７１以外については、非特許文献２に挙げられるような従来の技術である。本発明の独自性があるのは、後述するアクセス認証処理部１７１の処理のみである。
また、先に述べたように、本発明ではクライアントＰＣ１００及びそのユーザは、既存ファイルサーバ群１２０へ直接アクセスするのではなく、接続制限ファイルサーバ１３０経由でアクセスする。この接続制限ファイルサーバ１３０経由でのアクセスは、接続制限ファイルサーバ１３０のファイルサーバアプリケーション１６０が、ファイルシステム１４０のマウントポイントのフォルダを公開することで実現する。
次に、各々の具体的な動作を説明する。
図３は、識別アプリケーション１０１の動作を示すフローチャートである。
本実施形態では、先に述べたようにクライアントＰＣ１００及びそのユーザは、接続制限ファイルサーバ１３０に公開されたファイルやフォルダのアクセス要求を行う。クライアントＰＣ１００上の識別アプリケーション１０１は、この要求を行っているパケットをキャプチャする（ステップ３０１）。
次に、識別アプリケーション１０１はキャプチャしたパケットを解析する（ステップ３０２）。ファイルやフォルダへのアクセス要求は、ＣＩＦＳ／ＳＭＢプロトコルに準拠している。キャプチャしたパケット構造は図４のように、Ｅｔｈｅｒｎｅｔヘッダ４０１、ＩＰヘッダ４０２、ＴＣＰヘッダ４０３、ＳＭＢヘッダ４０４、ＳＭＢデータ４０５で構成され、ＩＰヘッダ４０２には送信元ＩＰアドレス４０６が含まれ、ＴＣＰヘッダ４０３には送信元Ｐｏｒｔ番号４０７が含まれ、ＳＭＢヘッダ４０４にはＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１が含まれているため、これらの情報が正しく取得できるように解析する。
次に、要求受信登録部１５１に渡す登録要求の情報を作成する（ステップ３０３）。
図３は、識別アプリケーション１０１の動作を示すフローチャートである。
本実施形態では、先に述べたようにクライアントＰＣ１００及びそのユーザは、接続制限ファイルサーバ１３０に公開されたファイルやフォルダのアクセス要求を行う。クライアントＰＣ１００上の識別アプリケーション１０１は、この要求を行っているパケットをキャプチャする（ステップ３０１）。
次に、識別アプリケーション１０１はキャプチャしたパケットを解析する（ステップ３０２）。ファイルやフォルダへのアクセス要求は、ＣＩＦＳ／ＳＭＢプロトコルに準拠している。キャプチャしたパケット構造は図４のように、Ｅｔｈｅｒｎｅｔヘッダ４０１、ＩＰヘッダ４０２、ＴＣＰヘッダ４０３、ＳＭＢヘッダ４０４、ＳＭＢデータ４０５で構成され、ＩＰヘッダ４０２には送信元ＩＰアドレス４０６が含まれ、ＴＣＰヘッダ４０３には送信元Ｐｏｒｔ番号４０７が含まれ、ＳＭＢヘッダ４０４にはＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１が含まれているため、これらの情報が正しく取得できるように解析する。
次に、要求受信登録部１５１に渡す登録要求の情報を作成する（ステップ３０３）。
図５に、登録要求５００の情報を示す。登録要求５００は、図４のＩＰヘッダ４０２に含まれる送信元ＩＰアドレス４０６、ＴＣＰヘッダ４０３に含まれる送信元ポート番号４０７、ＳＭＢヘッダ４０４に含まれるＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１から構成される。
ここで、ＳＭＢヘッダ４０４は、ＣＩＦＳ／ＳＭＢプロトコルのヘッダ情報であり、ＳＭＢデータ４０５は、アクセスしたいパスなどのデータである。ＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１は、ＣＩＦＳ／ＳＭＢプロトコルにおける識別子である。既存技術のため詳細は省略するが、これらを組み合わせることで、アクセス要求を識別することが可能である。さらに、この登録要求５００の情報に、図５に含まれるほかの情報を加えても良い。その場合には、図２に示した要求登録ＤＢ１５２のテーブルを拡張する必要がある。
ステップ３０３で登録要求を作成した後、識別アプリケーション１０１は、その登録要求を接続制限ファイルサーバ１３０の要求処理部１５０に送信する（ステップ３０４）。
ここで、ＳＭＢヘッダ４０４は、ＣＩＦＳ／ＳＭＢプロトコルのヘッダ情報であり、ＳＭＢデータ４０５は、アクセスしたいパスなどのデータである。ＴＩＤ４０８、ＰＩＤ４０９、ＵＩＤ４１０、ＭＩＤ４１１は、ＣＩＦＳ／ＳＭＢプロトコルにおける識別子である。既存技術のため詳細は省略するが、これらを組み合わせることで、アクセス要求を識別することが可能である。さらに、この登録要求５００の情報に、図５に含まれるほかの情報を加えても良い。その場合には、図２に示した要求登録ＤＢ１５２のテーブルを拡張する必要がある。
ステップ３０３で登録要求を作成した後、識別アプリケーション１０１は、その登録要求を接続制限ファイルサーバ１３０の要求処理部１５０に送信する（ステップ３０４）。
図６は、要求処理部１５０の要求受信登録部１５１の処理を示すフローチャートである。
要求受信登録部１５１は、まず識別アプリケーション１０１から登録要求を受信する（ステップ６０１）。
次に、その登録要求の解析処理を行う（ステップ６０２）。具体的には、登録要求内の図５に示された情報を取り出すための処理を行う。
次に、その解析結果を要求登録ＤＢ１５２へ登録する（ステップ６０３）。
この要求処理部１５０の処理により、クライアントＰＣ１００から接続制限ファイルサーバ１３０へのアクセス要求で送信されたパケットに含まれる情報のうち、図５に示されるような情報が、要求登録ＢＤ１５２に登録されることになる。
要求受信登録部１５１は、まず識別アプリケーション１０１から登録要求を受信する（ステップ６０１）。
次に、その登録要求の解析処理を行う（ステップ６０２）。具体的には、登録要求内の図５に示された情報を取り出すための処理を行う。
次に、その解析結果を要求登録ＤＢ１５２へ登録する（ステップ６０３）。
この要求処理部１５０の処理により、クライアントＰＣ１００から接続制限ファイルサーバ１３０へのアクセス要求で送信されたパケットに含まれる情報のうち、図５に示されるような情報が、要求登録ＢＤ１５２に登録されることになる。
図７は、ファイルサーバアプリケーション１６０の処理を示すフローチャートである。
まず、アクセス要求受信部１６０でファイルサーバアプリケーション１６０が公開しているマウントポイントＡ１４１もしくはマウントポイントＢ１４２に対する、クライアントＰＣ１００からのアクセス要求を受信する（ステップ７０１）。
次に、アクセス処理部１７０内のアクセス要求認証部１７１において、受信したアクセス要求を解析し、必要な情報を取得する（ステップ７０２）。具体的には、図３のステップ３０２及び３０３と同様に、アクセス要求から図５に示した登録要求ＤＢ１５２のテーブルに利用されている情報を取得する。
次に、ステップ７０２で取得した情報と一致するタプルが、登録要求ＤＢ１５２に登録されているかを判断する（ステップ７０３）。もし、登録されていれば、登録要求ＤＢ１５２から、ステップ７０２で取得した情報と一致するタプルを削除する（ステップ７０４）。そして、アクセス処理部１７０で、ステップ７０１で受信したアクセス要求通りに、マウントポイントへのアクセスを行い（ステップ７０５）、その結果を、アクセス返信部１６２で、クライアントＰＣ１００へ返信する（ステップ７０６）。
まず、アクセス要求受信部１６０でファイルサーバアプリケーション１６０が公開しているマウントポイントＡ１４１もしくはマウントポイントＢ１４２に対する、クライアントＰＣ１００からのアクセス要求を受信する（ステップ７０１）。
次に、アクセス処理部１７０内のアクセス要求認証部１７１において、受信したアクセス要求を解析し、必要な情報を取得する（ステップ７０２）。具体的には、図３のステップ３０２及び３０３と同様に、アクセス要求から図５に示した登録要求ＤＢ１５２のテーブルに利用されている情報を取得する。
次に、ステップ７０２で取得した情報と一致するタプルが、登録要求ＤＢ１５２に登録されているかを判断する（ステップ７０３）。もし、登録されていれば、登録要求ＤＢ１５２から、ステップ７０２で取得した情報と一致するタプルを削除する（ステップ７０４）。そして、アクセス処理部１７０で、ステップ７０１で受信したアクセス要求通りに、マウントポイントへのアクセスを行い（ステップ７０５）、その結果を、アクセス返信部１６２で、クライアントＰＣ１００へ返信する（ステップ７０６）。
一方、ステップ７０３において、ステップ７０２で取得した情報と一致するタプルが、登録要求ＤＢ１５２に登録されていなかった場合は、まず、ステップ７０１でアクセス要求を受信してから一定期間経過したかどうかを判断する（ステップ７０７）。ここで、一定期間経過していなければ、ステップ７０３に戻る。
ステップ７０７で一定期間経過していた場合は、アクセス拒否を示す返信内容を作成し（ステップ７０８）、作成したものをアクセス返信部１６２で、クライアントＰＣ１００へ返信する（ステップ７０９）。
ステップ７０３及びステップ７０７により、アクセス要求受信部１６０で受信したアクセス要求に対応する登録要求が、図４の識別アプリケーション１０１の動作フロー及び図７の要求登録部１５０の要求受信登録部１５１の処理フローを通して、要求登録ＤＢ１５２に一定期間内に登録されなければ、アクセス拒否となる。これにより、識別アプリケーション１０１が実装されていないクライアントＰＣからのアクセスを拒否することが出来る。
ステップ７０７で一定期間経過していた場合は、アクセス拒否を示す返信内容を作成し（ステップ７０８）、作成したものをアクセス返信部１６２で、クライアントＰＣ１００へ返信する（ステップ７０９）。
ステップ７０３及びステップ７０７により、アクセス要求受信部１６０で受信したアクセス要求に対応する登録要求が、図４の識別アプリケーション１０１の動作フロー及び図７の要求登録部１５０の要求受信登録部１５１の処理フローを通して、要求登録ＤＢ１５２に一定期間内に登録されなければ、アクセス拒否となる。これにより、識別アプリケーション１０１が実装されていないクライアントＰＣからのアクセスを拒否することが出来る。
一方、識別アプリケーション１０１が実装されたクライアントＰＣ１００からのアクセス要求は、ステップ７０５及びステップ７０６を通して、既存ファイルサーバ群１２０への実際のアクセスが行われ、その結果が返信される。
ここ場合、ファイルサーバ機能に関しては、接続制限ファイルサーバ１６０のアクセス要求認証部１７１だけを加えるのみで、既存ファイルサーバ群１２０に含まれるファイルサーバ１２１，１２２や、アクセス要求認証部１７１以外の部分に手を加える必要が無く、既存のまま利用できる。
ここ場合、ファイルサーバ機能に関しては、接続制限ファイルサーバ１６０のアクセス要求認証部１７１だけを加えるのみで、既存ファイルサーバ群１２０に含まれるファイルサーバ１２１，１２２や、アクセス要求認証部１７１以外の部分に手を加える必要が無く、既存のまま利用できる。
１００…クライアントＰＣ
１０１…識別アプリケーション
１２０…既存ファイルサーバ群
１２１…既存ファイルサーバＡ
１２２…既存ファイルサーバＢ
１３０…接続制限ファイルサーバ
１３１…マウント処理部
１４０…ファイルシステム
１４１…マウントポイントＡ
１４２…マウントポイントＢ
１５０…要求処理部
１５１…要求受信登録部
１５２…要求登録ＤＢ
１６０…ファイルサーバアプリケーション
１６１…アクセス要求受信部
１６２…アクセス返信部
１７０…アクセス処理部
１７１…アクセス要求認証部
１０１…識別アプリケーション
１２０…既存ファイルサーバ群
１２１…既存ファイルサーバＡ
１２２…既存ファイルサーバＢ
１３０…接続制限ファイルサーバ
１３１…マウント処理部
１４０…ファイルシステム
１４１…マウントポイントＡ
１４２…マウントポイントＢ
１５０…要求処理部
１５１…要求受信登録部
１５２…要求登録ＤＢ
１６０…ファイルサーバアプリケーション
１６１…アクセス要求受信部
１６２…アクセス返信部
１７０…アクセス処理部
１７１…アクセス要求認証部
Claims (3)
- 既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限する方法であって、
既存ファイルサーバに接続し、この既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、公開されたフォルダ及びファイルへアクセス可能なクライアントコンピュータを制限する手段とを備えた接続制限ファイルサーバを、クライアントコンピュータと既存ファイルサーバの間に配置し、接続制限ファイルサーバ経由で既存ファイルサーバへのアクセスを許可する構成とし、前記既存ファイルサーバにアクセス可能なクライアントコンピュータを前記接続制限ファイルサーバにより制限する方法。 - 前記既存ファイルサーバのフォルダ及びファイルへのアクセスを制限する手段は、前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する手段からのアクセス要求のみを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否するものであることを特徴とする請求項１に記載の既存ファイルサーバにアクセス可能なクライアントコンピュータを制限する方法。
- クライアントコンピュータと既存ファイルサーバと、これらの間に配置された接続制限ファイルサーバとから構成され、既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限するシステムであって、
前記クライアントコンピュータが、
前記接続制限ファイルサーバへのアクセス要求をキャプチャし、そのアクセス要求内の特定の情報を一定期間内に前記接続制限ファイルサーバへ通知する通知手段を備え、
前記接続制限ファイルサーバが、
前記既存ファイルサーバが公開するフォルダ及びファイルを代行して公開する手段と、
前記通知手段から一定期間内に前記特定の情報を受信したクライアントコンピュータのアクセス要求に対してのみ前記既存ファイルサーバが公開するフォルダ及びファイルへのアクセスを許可し、前記特定の情報を一定期間内に通知しないクライアントコンピュータからのアクセスは拒否する手段を備えることを特徴とする既存のファイルサーバに対してアクセス可能なクライアントコンピュータを制限するシステム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009120728A JP5339611B2 (ja) | 2009-05-19 | 2009-05-19 | 既存ファイルサーバへのアクセス可能なクライアントコンピュータを制限する方法及びシステム |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2009120728A JP5339611B2 (ja) | 2009-05-19 | 2009-05-19 | 既存ファイルサーバへのアクセス可能なクライアントコンピュータを制限する方法及びシステム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2010271764A true JP2010271764A (ja) | 2010-12-02 |
| JP5339611B2 JP5339611B2 (ja) | 2013-11-13 |
Family
ID=43419767
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2009120728A Expired - Fee Related JP5339611B2 (ja) | 2009-05-19 | 2009-05-19 | 既存ファイルサーバへのアクセス可能なクライアントコンピュータを制限する方法及びシステム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP5339611B2 (ja) |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005275520A (ja) * | 2004-03-23 | 2005-10-06 | Nippon Sogo System Kk | 情報ページ閲覧制限方法、コンピュータ端末とｗｗｗサーバの間に介在する中継サーバ、並びに情報ページ閲覧制限用ネットワークシステム |
| JP2006163696A (ja) * | 2004-12-06 | 2006-06-22 | Murata Mach Ltd | プロキシサーバ装置 |
| JP2009043033A (ja) * | 2007-08-09 | 2009-02-26 | Hitachi Software Eng Co Ltd | クライアントサーバシステム |
-
2009
- 2009-05-19 JP JP2009120728A patent/JP5339611B2/ja not_active Expired - Fee Related
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005275520A (ja) * | 2004-03-23 | 2005-10-06 | Nippon Sogo System Kk | 情報ページ閲覧制限方法、コンピュータ端末とｗｗｗサーバの間に介在する中継サーバ、並びに情報ページ閲覧制限用ネットワークシステム |
| JP2006163696A (ja) * | 2004-12-06 | 2006-06-22 | Murata Mach Ltd | プロキシサーバ装置 |
| JP2009043033A (ja) * | 2007-08-09 | 2009-02-26 | Hitachi Software Eng Co Ltd | クライアントサーバシステム |
Also Published As
| Publication number | Publication date |
|---|---|
| JP5339611B2 (ja) | 2013-11-13 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10298610B2 (en) | Efficient and secure user credential store for credentials enforcement using a firewall | |
| US9762543B2 (en) | Using DNS communications to filter domain names | |
| US10425387B2 (en) | Credentials enforcement using a firewall | |
| US10965716B2 (en) | Hostname validation and policy evasion prevention | |
| US10003616B2 (en) | Destination domain extraction for secure protocols | |
| US9838356B2 (en) | Encrypted peer-to-peer detection | |
| US9843593B2 (en) | Detecting encrypted tunneling traffic | |
| US9047441B2 (en) | Malware analysis system | |
| US8850219B2 (en) | Secure communications | |
| TW201012156A (en) | Secure resource name resolution | |
| WO2009111224A1 (en) | Identification of and countermeasures against forged websites | |
| US11729134B2 (en) | In-line detection of algorithmically generated domains | |
| JP5339611B2 (ja) | 既存ファイルサーバへのアクセス可能なクライアントコンピュータを制限する方法及びシステム | |
| JP2013069016A (ja) | 情報漏洩防止装置及び制限情報生成装置 | |
| Anderson et al. | Assessing and Exploiting Domain Name Misinformation | |
| Koch et al. | Securing HTTP/3 Web Architecture in the Cloud | |
| US20230344866A1 (en) | Application identification for phishing detection | |
| Ivašauskas et al. | In-Kernel Authentication Request Analysis for Human and Bot Distinction | |
| Lakshmiraghavan | HTTP Anatomy and Security | |
| JP2012208681A (ja) | 情報処理装置、アクセス制御方法、およびアクセス制御用プログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20120106 |
|
| A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20121206 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20121210 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20130208 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20130709 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20130718 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20130802 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20130805 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| LAPS | Cancellation because of no payment of annual fees |