JP2011003063A

JP2011003063A - シンクライアントシステム，コンピュータプログラム，携帯型ストレージ及び認証装置

Info

Publication number: JP2011003063A
Application number: JP2009146423A
Authority: JP
Inventors: Hitomi Nagami; 瞳永見
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2009-06-19
Filing date: 2009-06-19
Publication date: 2011-01-06

Abstract

【課題】シンクライアントサーバには係わらず，シンクライアント端末単体で実行できる不正行為に係わる操作履歴を収集できるシンクライアントシステムを提供する。
【解決手段】コンピュータ１０で起動しているシンクライアントＯＳ２は，ユーザの操作によって入力される入力データを起動後から監視し，該ユーザによって実行されたシンクライアントＯＳ２のコマンドのコマンド名とそのパラメータを操作履歴データとしてＲＡＭ１０２内に一時に記憶し，シャットダウンに係わるコマンドの実行の指示を受けると，シャットダウンのコマンドの実行を一時保留し，操作履歴データを認証装置１４へ送信した後，シャットダウンを実行する。認証装置１４は，記操作履歴データを記憶すると共に，操作履歴データの解析結果をユーザ認証に反映させる。
【選択図】図１

Description

本発明は，シンクライアントシステムに係わる発明で，更に詳しくは，シンクライアントシステムのシンクライアント端末として機能するコンピュータ上で行われたユーザの操作履歴を収集し，該操作履歴を活用する技術に関する。

近年、企業などにおいて、クライアントに必要最小限の機能のみを持たせ、企業情報などのデータや、アプリケーションなどをイントラネット (Intranet)内に設置されたサーバに集約させたシンクライアントシステム（Thin Client System）の導入が増えてきている。

シンクライアントシステムの導入の背景には、（１）日本版ＳＯＸ法に対応すべく内部統制の強化、（２）クライアントからの個人情報流出防止などを目的としたセキュリティの強化、（３）クライアントの運用管理コスト（パッチ情報、ライセンス管理など）の削減、（４）テレワーク(Telework)の実現等などが挙げられる。

シンクライアントシステムを実現するとき、最小限の機能のみを備えたシンクライアントオペレーティングシステム（OS: Operating System）を、ＵＳＢメモリなどの携帯可能な記憶デバイスに記憶させ、特許文献１で開示されている発明などを用いて，シンクライアントシステムのクライアントとして利用するコンピュータ上でシンクライアントＯＳを起動させ，イントラネット (Intranet)内に設置されたシンクライアントサーバにリモートアクセス可能とする。

シンクライアントシステムのシンクライアント端末として，イントラネット外（例えば，自宅）のコンピュータを利用するとき，ファイヤーウォール（FireWall）機器によって構築されたＤＭＺ（DeMilitarized Zone）内にＳＳＬ―ＶＰＮ機器が設置され，イントラネットへの不正アクセスや，通信経路からのデータ漏洩が防止され，ＤＭＺ又はイントラネット内に認証サーバを設置することで，イントラネットにリモートアクセスするユーザの正当性が確認される。

シンクライアントシステムにおいては，イントラネットへの不正アクセスの防止やリモートアクセスするユーザの正当性の確認などに加え，リモートアクセス時にユーザが行った操作履歴データを収集することも大切で，特許文献２では，リモートアクセス時にユーザが行った操作履歴データを収集する発明が開示されている。

特許文献３で開示されているアクセス状況監視システムは，個人情報を管理するサーバと、利用者によって操作され、サーバへアクセスすることができる計算機とから少なくとも構成され，サーバは計算機からの個人情報に対するアクセス要求に関連して、計算機における利用者の操作に伴う履歴を収集することを管理する履歴管理機能をし，計算機は、サーバの履歴管理機能からの履歴取得要求に応じて、利用者の操作履歴を収集する履歴取得機能を有している。

特許第３７６７８１８号公報特開２００８−３１０４１７号公報

特許文献３で開示されている発明を用いれば，シンクライアントシステムにおいて，リモートアクセス時にユーザが行った操作履歴データを収集することができるようになるが，シンクライアントサーバからシンクライアント端末で起動しているモジュールに対して操作履歴の取得処理の開始もしくは終了が指示されるため，シンクライアントサーバから指示されていない間に実行された不正行為に関しては，操作履歴が取得できない問題がある。

シンクライアントシステムではデータやアプリケーションがシンクライアントサーバに集約されるため，シンクライアントサーバのデータやアプリケーションをユーザが操作した履歴のみを収集できればよいと思われるかもしれないが，シンクライアントＯＳを改竄しようとする不正行為などは，シンクライアントサーバには係らず，シンクライアント端末のメモリなどを操作して行われる不正行為であるため，このような不正行為に係わる操作履歴も収集できることが望ましい。

加えて，シンクライアントＯＳを改竄しようとするなどの不正行為を行ったユーザに対しては，それ以降，シンクライアントサーバへのリモートアクセスを許可できないようにすることも大切なことである。

そこで，本発明は，シンクライアントＯＳを改竄しようとする不正行為などは，シンクライアントサーバには係わらず，シンクライアント端末単体で実行できる不正行為に係わる操作履歴を収集でき，更に，該不正行為を行おうとした又は行ったユーザへのシンクライアントサーバへのリモートアクセスを許可できないようにすることができるシンクライアントシステムを提供すると共に，該シンクライアントシステムで必要となるコンピュータプログラム，携帯型ストレージ及び認証装置をも提供する。

上述した課題を解決する第１の発明は，ユーザの操作によって入力される入力データを起動後から監視し，該ユーザによって実行されたオペレーティングシステムのコマンドのコマンド名とそのパラメータを操作履歴データとして揮発性メモリ内に一時に記憶し，シャットダウンに係わるコマンドの実行の指示を受けると，シャットダウンのコマンドの実行を一時保留し，ネットワークを介して該操作履歴データを所定の装置に送信した後，シャットダウンに係わるコマンドを実行する手段を備えたコンピュータと，該装置がコンピュータから受信した前記操作履歴データを，前記コンピュータから得られるユーザ識別子に関連付けて記憶するデータベース装置と，を少なくとも含むことを特徴とするシンクライアントシステムである。

更に，第２の発明は，第１の発明に記載のシンクライアントシステムであって，前記データベース装置に記憶される操作履歴データに含まれるデータに，予め許可されていないコマンドやパラメータがあるか解析し，解析結果を該操作履歴データに付加する解析装置と，前記コンピュータを操作するユーザのユーザ識別子を少なくとも含むユーザデータを用いて，該ユーザをユーザ認証する認証装置が含まれ，前記認証装置は，前記データベース装置を参照し，ユーザ認証に用いるユーザ識別子に関連付けられた前記操作履歴データに付加されている解析結果を，該ユーザのユーザ認証に利用することを特徴とするシンクライアントシステムである。

シンクライアントサーバには係わらず，シンクライアント端末単体で実行できる不正行為を行うとき，オペレーティングシステム上で何らかのコマンドが実行されるはずである。例えば，不正な複製を実行するときは，オペレーティングシステムのコマンドの一つであるコピーのコマンドが実行される。また，不正行為のために何らかのアプリケーションの実行が必要とされるとき，該アプリケーションを起動させるコマンドや，該アプリケーションの実行ファイル名がコマンドとして実行される。

よって，第１の発明のように，ユーザによって実行されたオペレーティングシステムのコマンドのコマンド名とそのパラメータを操作履歴データとして起動後から収集しておき，シンクライアントシステムの管理者側で管理しているデータベース装置に操作履歴データを記憶させておけば，シンクライアントサーバには係わらず，シンクライアント端末単体で実行できる不正行為が行われたか否かを該管理者側で判定できるようになる。

また，第２の発明に記載の解析装置のように，該操作履歴データに含まれるコマンド名やパラメータを解析することで，予め許可されていないコマンドやパラメータがあれば，シンクライアント端末として機能するコンピュータ上で何らかの不正行為が行われたことを自動的に検知でき，認証装置が，操作履歴データの解析結果をユーザ認証に反映させれば，不正行為を行おうとした又は行ったユーザへのシンクライアントサーバへのリモートアクセスを許可できないようにすることができる。

更に，第３の発明は，ユーザの操作によって入力される入力データを常時監視し，該ユーザによって実行されたコマンドのコマンド名とそのパラメータを操作履歴データとして揮発性メモリ内に一時記憶し，シャットダウンに係わるコマンドの実行の指示を受けると，シャットダウンのコマンドの実行を一時保留し，該操作履歴データを所定の装置に送信した後，シャットダウンに係わるコマンドを実行する手段として，コンピュータを機能させるためのコンピュータプログラムである。

更に，第４の発明は，ユーザの操作によって入力される入力データを常時監視し，該ユーザによって実行されたコマンドのコマンド名とそのパラメータを操作履歴データとして揮発性メモリ内に一時記憶し，シャットダウンに係わるコマンドの実行の指示を受けると，シャットダウンのコマンドの実行を一時保留し，該操作履歴データを所定の装置に送信した後，シャットダウンに係わるコマンドを実行する手段として，コンピュータを機能させるためのコンピュータプログラムが記憶された携帯型ストレージである。

更に，第５の発明は，コンピュータを操作するユーザのユーザ識別子を少なくとも含むユーザデータを用いて，ユーザをユーザ認証する認証装置であって，ユーザによって実行されたコマンドのコマンド名とそのパラメータが記憶された操作履歴データを解析することで得られ，不正なコマンドの実行の有無を示す解析結果をユーザのユーザ認証に利用することを特徴とする認証装置である。

上述した第３の発明は，第１の発明及び第２の発明を実施するため，シンクライアント端末として機能させるコンピュータに実装させることが必要なコンピュータプログラムに係わる発明で，第4の発明は，該コンピュータプログラムが記憶された携帯型ストレージに係わる発明である。更に，第４の発明は，第２の発明を実施するためにシンクライアントシステムに配置される認証装置に係わる発明である。

上述した本発明によれば，シンクライアントＯＳを改竄しようとする不正行為などは，シンクライアントサーバには係わらず，シンクライアント端末単体で実行できる不正行為に係わる操作履歴を収集でき，更に，該不正行為を行おうとした又は行ったユーザへのシンクライアントサーバへのリモートアクセスを許可できないようにすることができるシンクライアントシステムを提供すると共に，該シンクライアントシステムで必要となるコンピュータプログラム，携帯型ストレージ及び認証装置をも提供する。

本実施形態におけるシンクライアントシステムを説明する図。コンピュータのブロック図。携帯型ストレージのブロック図。認証装置のブロック図。シンクライアントシステムの動作手順を説明するためのフロー図。認証装置が実行するユーザ認証の手順を示したフロー図。

図を参照しながら，本願発明の主旨が明確になり，当業者が本願発明を実施できる程度に，本願発明が適用されたシンクライアントシステム，コンピュータプログラム，携帯型ストレージ及び認証装置について説明する。
なお，本願発明の説明にあたり，本願発明に係わる技術分野において公知である技術内容についての詳細は記載しない。

図１は，本実施形態におけるシンクライアントシステム１を説明する図であり，図１で図示したシンクライアントシステム１には，シンクライアントシステム１のシンクライアント端末として利用されるコンピュータ１０と，シンクライアントＯＳ２が記憶されている携帯型ストレージ１１が含まれている。
図１では，携帯型ストレージをＵＳＢメモリとして図示しているが，携帯型ストレージはＵＳＢメモリ以外であってもよく，例えば，ＣＤ−ＲＯＭやＳＤカードなどの記憶メディアを携帯型ストレージとして利用できる。

更に，図１で図示したシンクライアントシステム１には，ネットワークとして，無線通信回線網など複数のネットワークから構成されるインターネット１７ａと，企業内に構築されたイントラネット１７ｃと，ファイヤーウォール機器１３によって構築されるＤＭＺ１７ｂ（DeMilitarized Zone）が含まれ，ＤＭＺ１７ｂ内にはＳＳＬ―ＶＰＮ機器１２が配置され，イントラネット１７ｃ内には，ＳＳＬ―ＶＰＮ機器１２にログイン要求したユーザをユーザ認証する機能を少なくとも備えた認証装置１４と，コンピュータ１０からのリモートアクセス先となるシンクライアントサーバ１５（例えば，仮想コンピュータサーバ）が配置され，シンクライアントサーバ１５には，複数のシンクライアント端末１６ｂがルータ１６ａを介して接続されている。

図１で図示したシステム構成は一般的な構成だと思われるかもしれないが，本願発明は，ユーザがコンピュータ１０上で実行したコマンドのコマンド名及びパラメータを操作履歴データとして収集しておき，認証装置１４が，コンピュータ１０で収集された操作履歴データを蓄積・解析し，一般的なパスワード照合に加え，操作履歴データの解析結果をユーザ認証に反映させる点において，従来のシステムとは異なる。

なお，図１では，操作履歴データの解析結果をユーザ認証に反映させることを明確にするために，認証装置１４を１台の装置として図示している。本願発明を実施するとき，分散コンピュータ技術を利用し，操作履歴データを蓄積するデータベース装置，操作履歴データを解析する解析装置及びユーザ認証する装置など，認証装置１４を複数の装置から構成させるようにすることもできる。

本願発明において，シンクライアントシステム１のシンクライアント端末として利用されるコンピュータ１０側で操作履歴データを収集するのは，シンクライアントサーバ１５には係わらず，コンピュータ１０単体で実行できる不正行為があり，シンクライアントサーバ１５側で操作履歴に係わるデータを収集しても，該不正行為に係わる該データを収集することができないからである。

シンクライアントサーバ１５には係わらず，コンピュータ１０単体で実行できる不正行為としては，例えば，シンクライアントサーバ１５からコンピュータ１０に送信されたデータの不正な書き出し行為がある。

確かに，一般的なシンクライアントシステムにおいては，シンクライアントサーバがデータを一括して管理するため，シンクライアント端末側における，ハードディスクやリムーバルメディア（例えば，フレキシブルディスク）への該データの書き出し行為がソフトウェア的に禁止されている。

しかし，シンクライアントサーバ１５から送信されたデータのハードディスクやリムーバルメディアへの書き出しが実行可能なように，携帯型ストレージ１１に記憶されているシンクライアントＯＳ２が改竄されてしまうと，シンクライアントサーバ１５から送信されたデータのハードディスクやリムーバルメディアへの書き出しが可能になってしまう。

シンクライアントＯＳ２の改竄や，シンクライアントサーバ１５で管理しているデータの不正な書き出し行為は，シンクライアントサーバ１５に係わらず，コンピュータ１０側単体で実行できる不正行為のため，シンクライアントシステム１の管理者側では，不正なデータ書き出しがコンピュータ１０側で実行されたか検知できないし，加えて、シンクライアントＯＳ２を改竄する行為に失敗し、シンクライアントＯＳ２が改竄されていない安全な状態でシンクライアントサーバ１５にリモートアクセスされたとしても，シンクライアントサーバ１５側では、シンクライアントＯＳ２を改竄する行為が行なわれようとしたこと（＝悪意のあるユーザがいるということ）を検知できない。

そこで，本願発明では，コンピュータ１０が起動してから，ユーザが実行した操作履歴データを収集しておき，コンピュータ１０を終了させる操作が実行されると，コンピュータ１０が認証装置１４へ操作履歴データを送信し，コンピュータ１０から送信された操作履歴データを認証装置１４が蓄積・解析する構成とすることで，シンクライアントサーバに係わらず，コンピュータ１０側単体で実行できる不正行為を，シンクライアントシステム１の管理者側で検知できるようにすると共に，操作履歴データの解析結果をユーザ認証に反映させることで，該不正行為を行ったユーザのその後のリモートアクセスを防止できるようにする。

ここから，コンピュータ１０，携帯型ストレージ１１及び認証装置１４についてそれぞれ説明する。図２はコンピュータ１０のブロック図，図３は携帯型ストレージ１１のブロック図，そして，図４は認証装置１４のブロック図である。

図２に図示しているように，シンクライアント端末として利用されるコンピュータ１０は，中央演算装置１００（CPU: Central Processing Unit）と、コンピュータ１０のメインメモリであるＲＡＭ１０２（RAM: Random Access Memory）と、ＢＩＯＳが実装されるＲＯＭ１０１（ROM: Read-Only Memory）と、外部デバイス（ここでは，携帯型ストレージ１１）とデータ通信するための入出力インターフェース１０４（例えば，ＵＳＢポート）と、ネットワーク通信するためのネットワークインターフェース１０５と、外部記憶装置として大容量のデータ記憶装置であるハードディスク１０３と，表示デバイス１０６（例えば，液晶ディスプレイ）と，文字入力デバイス１０７（例えば，キーボード）と，ポインティングデバイス１０８（例えば，マウス）などを備えている。

本願発明を実現するために必要な機能，すなわち，ユーザが操作した内容が記された操作履歴データを収集し，認証サーバ１４に送信する機能は，携帯型ストレージ１１に記憶されたシンクライアントＯＳ２がコンピュータ１０のＲＡＭ１０２に展開され，シンクライアントＯＳ２がコンピュータ１０上で起動することでコンピュータ１０に備えられるため，コンピュータ10のハードウェアは汎用品でよく、特別なハードウェアはコンピュータ１０に必要とされない。

携帯型ストレージ１１は，シンクライアントシステム１のユーザがシンクライアントＯＳ２のプログラムコードを持ち運ぶために利用され，図３に図示したように，携帯型ストレージ１１は，コンピュータ１０に接続するためのコネクタ１１０（例えば，ＵＳＢコネクタ），携帯型ストレージ１１をコンピュータ１０に外部記憶装置として認識させ，コンピュータ１０の外部記憶装置として機能させるためのドライバ回路１１１に加え，データを記憶するためのストレージ１１２（例えば，フラッシュメモリ）を備え，本願発明を実現するために必要なコンピュータ１０の機能は，携帯型ストレージ１１に記憶されたシンクライアントＯＳ２によって提供される。

携帯型ストレージ１１に記憶されるシンクライアントＯＳ２には，ネットワーク通信機能，文字・図形などの表示機能，文字入力機能，ポインティングデバイス１０８を利用したＧＵＩ機能など，シンクライアントサーバ１５にリモートアクセスし，シンクライアントサーバ１５で提供されているサービスを利用するために必要な最低限の機能を実現するプログラムとしてＲＤプログラム２０と，コンピュータ１０上で起動してからシャットダウンに係わるコマンドの実行の指示を受けるまでに，ユーザが行った操作に係わる操作履歴データを収集し，シャットダウンのコマンドを実行する前に操作履歴データを所定の装置（ここでは，認証装置１４）へ送信する機能を実現する監視プログラム２１が含まれる。

シンクライアントＯＳ２に含まれる監視プログラム２１は，携帯型ストレージ１１に記憶されたシンクライアントＯＳ２がコンピュータ１０上で起動してから，コンピュータ１０が終了するまでの間，コンピュータ１０に常駐するコンピュータプログラムで，文字入力デバイス１０７やポインティングデバイス１０８を用いて入力された入力データを監視し，ユーザが実行したシンクライアントＯＳ２のコマンドのコマンド名及びパラメータを操作履歴データとして，コンピュータ１０のＲＡＭ１０２に一時記憶する。

そして，ＲＤプログラム２０が，コンピュータ１０をシャットダウンさせるコマンドの実行指示を受け，シャットダウンさせるコマンドの実行を一時保留すると，監視プログラム２１は，コンピュータ１０のＲＡＭ１０２に一時記憶していた操作履歴データを認証装置１４に送信する処理を実行し，その後に，ＲＤプログラム２０は，シャットダウンさせるコマンドを実行する。

シンクライアントサーバ１５には係わらず，コンピュータ１０単体で実行できる不正行為を行うとき，シンクライアントＯＳ２上で何らかのコマンドが実行されるはずである。例えば，不正な複製を実行するときは，シンクライアントＯＳ２のコマンドの一つであるコピーのコマンドが実行される。また，不正行為のために何らかのアプリケーションの実行が必要とされるとき，該アプリケーションを起動させるコマンドや，該アプリケーションの実行ファイル名がコマンドとして実行される。

よって，ユーザによって実行されたシンクライアントＯＳ２のコマンドのコマンド名及びパラメータを操作履歴データとして収集し，この操作履歴データを解析すれば，シンクライアントサーバ１５には係わらず，コンピュータ１０単体で実行できる不正行為が行われたか否かを自動的に判定できるようになる。

図４で図示したように，認証装置１４は，ＣＰＵ１４０と、コンピュータ１０のメインメモリであるＲＡＭ１４２と、ＢＩＯＳが実装されるＲＯＭ１４１と、外部デバイスとデータ通信するための入出力インターフェース１４４と、ネットワーク通信するためのネットワークインターフェース１４５と、外部記憶装置として大容量のデータ記憶装置であるハードディスク１４３，表示デバイス１４６，文字入力デバイス１４７，ポインティングデバイス１０８などを備えた汎用のサーバで，認証装置１４のハードディスク１４３に記憶されたコンピュータプログラムをＣＰＵ１４０が解釈実行することで，認証装置１４の振る舞いは制御される。

認証装置１４のハードディスク１４３には，認証装置１４の振る舞いを制御するコンピュータプログラムとして，ＳＳＬ―ＶＰＮ機器１２にログイン要求したユーザをユーザ認証する手段として機能する第１のプログラム１４３ａと，コンピュータ１０から送信された操作履歴データを蓄積する手段として機能する第２のプログラム１４３ｂと，該操作履歴データを解析する手段として機能する第３のプログラム１４３ｃが少なくとも記憶され，更に，コンピュータ１０から送信された操作履歴データを蓄積する操作履歴データベース１４３ｄがハードディスク１４３に設けられている。

ユーザ識別子と認証データ（例えば，パスワード）を含むユーザデータがＳＳＬ―ＶＰＮ機器１２から送信されると，認証装置１４は，ユーザ認証する手段として機能する第１のプログラムを起動させ，ＳＳＬ―ＶＰＮ機器１２から受信したユーザデータを用いユーザ認証を実行する。

そして，認証装置１４は，ユーザデータのユーザ識別子で特定される操作履歴データの解析結果を利用した第１のユーザ認証と，ユーザデータの認証データを利用した第２のユーザ認証の２つのユーザ認証を実施し，２つのユーザ認証に両方成功した場合のみ，ユーザ認証に成功したと判定する。

第１のユーザ認証を実施するために，認証装置１４のハードディスク１４３に設けられた操作履歴データベース１４３ｄには，ユーザ識別子に関連付けて操作履歴データが記憶され，操作履歴データベース１４３ｄに記憶されている操作履歴データには，第３のプログラム１４３ｃが実行されることで，操作履歴データの解析結果が付加されている。

操作履歴データの解析は，ユーザ認証するときに行ってもよいが，不正行為をいち早く検知するために，コンピュータ１０から操作履歴データが送信された時点で操作履歴データの解析を行うようにすることが望ましく，本実施形態において，認証装置１４は，ＳＳＬ―ＶＰＮ機器１２から受信したユーザデータのユーザ識別子に関連付けられた操作履歴データの解析結果を参照し，解析結果で不正行為がないことが示されているとき，第１のユーザ認証の結果を成功と判定する。

第２のユーザ認証の具体的内容は，ユーザデータに含まれる認証データに依存し，認証装置１４のハードディスク１４３に設けられる操作履歴データベース１４３ｄには，ユーザ識別子に関連付けて，第２のユーザ認証に利用される参照データが記憶される。
例えば，認証データがパスワードである場合，ユーザがシンクライアントサービスを利用するときに設定したパスワードが参照データとして記憶される。

また，認証装置１４は，ＳＳＬ―ＶＰＮ機器１２を介して，シンクライアント端末として機能しているコンピュータ１０から操作履歴データが送信されると，第２のプログラム１４３ｂを作動させ，コンピュータ１０を操作しているユーザのユーザ識別子に関連付けて，該操作履歴データを受信した日時を付加して操作履歴データベース１４３ｄに該操作履歴データを記憶する。

なお，コンピュータ１０を操作しているユーザのユーザ識別子は認証装置１４自体が管理する必要はなく，操作履歴データを送信するときに，操作履歴データに加えユーザ識別子がコンピュータ１０から送信されるようにするとよい。

認証装置１４は，コンピュータ１０が送信した操作履歴データを操作履歴データベース１４３ｄに記憶すると，第３のプログラム１４３ｃを作動させ，定められたアルゴリズムに従い該操作履歴データを解析し，解析結果を該操作履歴データに付加する。

第３のプログラム１４３ｃには，予め，予め許可されているコマンド名（例えば，アプリケーションの実行ファイル名）とそのパラメータが登録され，解析対象となる操作履歴データの中に，予め登録されていないコマンド名やパラメータがあれば，第３のプログラム１４３ｃは，ユーザが何らかの不正操作を行ったと判定できる。

例えば，シンクライアントサーバ１５から取得したデータは，シンクライアント端末として機能しているＲＡＭ内であればデータの保持及び複製が許可されるが，データを書き出すコマンド（例えば，コピーコマンド）のパラメータ（例えば，パス）がＲＡＭ以外のメモリ（例えば，外部記憶装置やハードディスク）であれば，ユーザが不正にデータを複製する不正行為を行ったと判定できる。

また，予め登録されていないコマンド名（例えば，アプリケーションの実行ファイル名）があれば，シンクライアントＯＳ２が改竄され，不正行為を行うために，何らかのコマンドやアプリケーションをシンクライアントＯＳ２に追加したと判定できる。

なお，上述した内容は，不正行為を検知する一つの例に過ぎず，シンクライアントシステム１の管理者側で設定した不正行為に応じて，操作履歴データを解析する内容は決定される。

ここから，図１で図示したシンクライアントシステム１の動作手順を説明しながら，上述した内容について詳しく説明する。図５は，シンクライアントシステム１の動作手順を説明するためのフロー図である。

携帯型ストレージ１１を所持するユーザは，シンクライアントサーバ１５にリモートアクセスするとき，まず，携帯型ストレージ１１に記憶されていたシンクライアントＯＳ２をコンピュータ１０のＲＡＭ１０２に読み込ませ，コンピュータ１０上でシンクライアントＯＳ２を起動させる操作を行い，コンピュータ１０上でシンクライアントＯＳ２を起動させる（Ｓ１）。

携帯型ストレージ１１に記憶されたシンクライアントＯＳ２をコンピュータ１０上で起動する手法は様々な公知技術を利用でき，好適には，外部記憶装置（ここでは，携帯型ストレージ１１）に記憶されたコンピュータプログラムを自動的にブートさせるブート機能（例えば，ＵＳＢブート機能）にコンピュータ１０のＲＯＭ１０１に実装されるＢＩＯＳを対応させ，コンピュータ１０が携帯型ストレージ１１の装着を検知すると，携帯型ストレージ１１に記憶されたシンクライアントＯＳ２がコンピュータ１０のＲＡＭ１０２に自動的に読み込まれ，起動するようにするとよい。

上述しているように，携帯型ストレージ１１に記憶されたシンクライアントＯＳ２には，一般的なシンクライアントＯＳ２の機能を実現するためのコンピュータプラグラムとしてＲＤプログラム２０と，コンピュータ１０上で行われたユーザの操作を監視して操作履歴データを収集する監視プログラム２１が含まれ，それぞれ協働して動作する。

まず，シンクライアントＯＳ２に含まれる監視プログラム２１の動作について説明する。

シンクライアントＯＳ２がコンピュータ１０上で自動的に起動すると，シンクライアントＯＳ２に含まれる監視プログラム２１は起動する。

監視プログラム２１は起動すると，コンピュータ１０のＲＡＭ１０２上に操作履歴データを記憶するテキスト形式のファイルを作成し後，ＲＤプログラム２０がシャットダウンのコマンドの実行指示を受けるまで，コンピュータ１０に備えられた文字入力デバイス１０７やポインティングデバイス１０８を用いて入力された入力データを常時監視し，例えば，該入力データの先頭の文字列がコマンド名（シンクライアントＯＳ２のコマンド名，又は，実行ファイル名）であれば，該入力データを該ファイルに追加する処理を実行する（Ｓ２ａ）。

次に，シンクライアントＯＳ２に含まれるＲＤプログラム２０の動作について説明する。

シンクライアントＯＳ２がコンピュータ１０上で自動的に起動すると，シンクライアントＯＳ２に含まれるＲＤプログラム２０が起動し，ＲＤプログラム２０は，ｈｔｔｐｓプロトコルを用いて自動的にＳＳＬ―ＶＰＮ機器１２へアクセスし，ＳＳＬ―ＶＰＮ機器１２に対してログイン要求を行う（Ｓ２ｂ）。

ＳＳＬ−ＶＰＮ機器１２のＵＲＬは，携帯型ストレージ１１に記憶されたシンクライアントＯＳ２のＲＤプログラム２０に予め埋め込まれ，ＳＳＬ―ＶＰＮ機器１２は，コンピュータ１０上で起動しているＲＤプログラム２０からＳＳＬ―ＶＰＮ機器１２にアクセスがあると，ＲＤプログラム２０とＳＳＬ―ＶＰＮ機器１２間でＳＳＬの手順が実行され，ＲＤプログラム２０とＳＳＬ―ＶＰＮ機器１２間の通信がＳＳＬで暗号化される。

コンピュータ１０のＲＤプログラム２０とＳＳＬ―ＶＰＮ機器１２間の通信がＳＳＬで暗号化されると，ＳＳＬ―ＶＰＮ機器１２は，コンピュータ１０上で起動しているＲＤプログラム２０に対して，ユーザを識別するためのデータであるユーザ識別子と認証データを含むユーザデータの送信要求を行う（Ｓ３）。
一般的に，ＳＳＬ―ＶＰＮ機器１２は，ユーザ識別子と認証データを入力するフォームを含むログイン画面をＲＤプログラム２０に対して送信し，ＲＤプログラム２０に対してユーザデータの送信要求が行われる。

コンピュータ１０上で起動しているＲＤプログラム２０は，ＳＳＬ―ＶＰＮ機器１２からユーザデータの送信要求を受けると，例えば，ＲＤプログラム２０は，ＳＳＬ―ＶＰＮ機器１２から送信されたログイン画面にユーザが入力したユーザ識別子及び認証データを少なくともユーザデータとして，ＳＳＬ―ＶＰＮ機器１２へ送信する（Ｓ４）。
なお，ログイン画面にユーザが入力したユーザ識別子は，監視プログラム２１が操作履歴データを送信するときに利用できるように，ＲＤプログラム２０は該ユーザ識別子をコンピュータ１０のＲＡＭ１０２の所定の場所に記憶しておくとよい。

ＳＳＬ―ＶＰＮ機器１２は，コンピュータ１０上で起動しているＲＤプログラム２０からユーザデータを受信すると，該ユーザデータを認証装置１４に引き渡し，ＳＳＬ―ＶＰＮ機器１２にログイン要求したユーザのユーザ認証を認証装置１４に委任し（Ｓ５），認証装置１４では，ＳＳＬ―ＶＰＮ機器１２にログイン要求したユーザから得られたユーザデータを用いてユーザ認証が行われる（Ｓ６）。

上述しているように，認証装置１４は，ＳＳＬ―ＶＰＮ機器１２へログイン要求したユーザのユーザ認証として，ユーザデータに含まれるユーザ識別子で特定される操作履歴データの解析結果を用いた第１のユーザ認証と，ユーザデータに含まれる認証データを用いた第２のユーザ認証の２つのユーザ認証を行う。

図６は，認証装置１４が実行するユーザ認証の手順を示したフロー図である。
認証装置１４は，まず，ユーザ認証として，ユーザデータに含まれるユーザ識別子で特定される操作履歴データの解析結果を用いた第１のユーザ認証を実行する。

前述しているように，認証装置１４に記憶される操作履歴データには解析結果が付加されている。第１のユーザ認証に利用する操作履歴データは，ユーザデータに含まれるユーザ識別子に関連付けられた操作履歴データの中から，操作履歴データに付加された日付が利用されて選択される（Ｓ２０）。
最も単純な例では，操作履歴データの解析結果の確認対象とする操作履歴データとして，最も日付の新しい一つの操作履歴データが選択される。また，日付の新しい順に数個の操作履歴データを選択することもできる。

認証装置１４は，操作履歴データに付加された日付を利用して，第１のユーザ認証に利用する操作履歴データを選択すると，選択した操作履歴データに付加された解析結果を確認し（Ｓ２１），確認結果によって処理を分岐させる（Ｓ２２）。

該解析結果の中に一つでも，不正行為が実行されたことが示されていなければ，第１のユーザ認証に成功したと判定し，不正行為が実行されたことが示されていれば，認証データの認証を実行することなく，ユーザ認証に失敗したと判定し，これ以降の手順を実行することなく，第１のユーザ認証に失敗したことを示す第１の失敗メッセージをＳＳＬ―ＶＰＮ機器１２に送信し（Ｓ２２ａ），図６の手順は終了する。

また，認証装置１４は，第１のユーザ認証に成功すると，ユーザデータに含まれる認証データの認証する第２のユーザ認証を実行する（Ｓ２３）。
認証データの認証には公知技術が利用でき，認証データの認証方法は認証データに依存する。例えば，認証データがパスワードならば，認証装置１４は，ユーザ識別子に関連付けて参照パスワードを記憶し，ユーザデータに含まれる認証データと，ユーザデータに含まれるユーザ識別子に関連付けて記憶している参照パスワードが照合される。

認証装置１４は，第２のユーザ認証の結果によって処理を分岐させる（Ｓ２４）。
第2のユーザ認証に成功すると，最終的にユーザ認証に成功したと判定し、ユーザ認証に成功したことを示す成功メッセージをＳＳＬ―ＶＰＮ機器１２に送信し，図６の手順は終了する（Ｓ２５）。
また，認証装置１４は，第2のユーザ認証に失敗すると，認証データの認証に失敗したことを示す第２の失敗メッセージをＳＳＬ―ＶＰＮ機器１２に送信し，図６の手順は終了する（Ｓ２４ａ）。

ここから，図５の説明に戻る。ＳＳＬ―ＶＰＮ機器１２は，ユーザ認証の結果に係わるメッセージを認証装置１４から受信すると，該メッセージに従い処理を分岐させる（Ｓ７）。

該メッセージが第１の失敗メッセージであるとき，前回のリモートアクセス時に何らかの不正行為がコンピュータ１０側で行われた可能性が高いため，ＳＳＬ―ＶＰＮ機器１２は，ユーザのログインを許可せず，コンピュータ１０との接続を切断し，この手順は終了する。

また，ユーザデータの認証データを認証する第２のユーザ認証には，認証データの入力ミスを考慮して，失敗許容回数が設定されていることが一般的で，該メッセージが第２の失敗メッセージであるとき，該失敗許容回数に達していなければ，図５のＳ３に戻り，ログインの再試行がユーザに許可され，また，該失敗許容回数に達してれば，ユーザのログインを許可せず，コンピュータ１０との接続を切断し，この手順は終了する。

ＳＳＬ―ＶＰＮ機器１２は，ユーザ認証の結果に係わるメッセージとして成功メッセージを認証装置１４から受信すると，ＳＳＬ―ＶＰＮ機器１２は，ユーザ認証に対応するコンピュータ１０がアクセスするインターネット１７ａ上のＩＰアドレス，シンクライアンサーバ１５のイントラネット１７ｃ上におけるＩＰアドレス，リモートアクセスに利用するトンネル名などのＶＰＮパラメータを決定し，コンピュータ１０上で起動しているＲＤプログラム２０に対してＶＰＮパラメータを送信することで，コンピュータ１０とＳＳＬ―ＶＰＮ機器１２間にＶＰＮが確立される（Ｓ８）。

ＶＰＮが確立されると，ＳＳＬ―ＶＰＮ機器１２を経由して，コンピュータ１０からシンクライアントサーバ１５へのリモートアクセスが可能になり，コンピュータ１０を操作するユーザが，シンクライアントサーバ１５が提供しているシンクライアントサービス（例えば，仮想コンピュータ１０）を利用する処理が，ＲＤプログラム２０とシンクライアントサーバ１５間で実行される（Ｓ９）。

コンピュータ１０上で起動しているＲＤプログラム２０において，コンピュータ１０をシャットダウンさせる操作が実行され，コンピュータ１０をシャットダウンさせるコマンドの実行が指示されると，ＲＤプログラム２０は，シャットダウンさせるコマンドの実行を一時中断し，コンピュータ１０をシャットダウンさせるコマンドの実行が指示されたことを監視プログラム２１に通知する（Ｓ１０）。

監視プログラム２１は，コンピュータ１０をシャットダウンさせるコマンドの実行が指示されたことが通知されると，ＲＡＭ１０２に一時的に記憶している操作履歴データと，コンピュータ１０のＲＡＭ１０２に記憶されているユーザ識別子を，所定の装置（ここでは，認証装置１４）に対して送信する（Ｓ１１）。

認証装置１４は，コンピュータ１０上で起動しているＲＤプログラム２０から操作履歴データが送信されると，前述した内容のように該操作履歴データを記憶・解析し，解析結果及びこのときの日時を付加した該操作履歴データをユーザ識別子に関連付けて操作履歴データベースに記憶し（Ｓ１２），該操作履歴データを記憶が完了したことを示すメッセージをＳＳＬ―ＶＰＮ機器１２を介してコンピュータ１０のＲＤプログラム２０に送信し，コンピュータ１０で起動しているＲＤプログラム２０は，該メッセージを受信すると，コンピュータ１０をシャットダウンさせるコマンドを実行する（Ｓ１３）。

１シンクライアントシステム
１０コンピュータ
１１携帯型ストレージ
１２ＳＳＬ―ＶＰＮ機器
１３ＦＷ機器
１４認証装置
１５シンクライアントサーバ
２シンクライアントＯＳ
２０リモートデスクトッププログラム
２１監視プログラム

Claims

ユーザの操作によって入力される入力データを起動後から監視し，該ユーザによって実行されたオペレーティングシステムのコマンドのコマンド名及びパラメータを操作履歴データとして揮発性メモリ内に一時記憶し，シャットダウンに係わるコマンドの実行の指示を受けると，シャットダウンのコマンドの実行を一時保留し，ネットワークを介して該操作履歴データを所定の装置に送信した後，シャットダウンに係わるコマンドを実行する手段を備えたコンピュータと，
該装置がコンピュータから受信した前記操作履歴データを，前記コンピュータから得られるユーザ識別子に関連付けて記憶するデータベース装置と，
を少なくとも含むことを特徴とするシンクライアントシステム。
請求項１に記載のシンクライアントシステムであって，
前記データベース装置に記憶される操作履歴データに含まれるデータに，予め許可されていないコマンドやパラメータがあるか解析し，解析結果を該操作履歴データに付加する解析装置と，
前記コンピュータを操作するユーザのユーザ識別子を少なくとも含むユーザデータを用いて，該ユーザをユーザ認証する認証装置が含まれ，
前記認証装置は，前記データベース装置を参照し，ユーザ認証に用いるユーザ識別子に関連付けられた前記操作履歴データに付加されている解析結果を，該ユーザのユーザ認証に利用することを特徴とするシンクライアントシステム。
ユーザの操作によって入力される入力データを常時監視し，該ユーザによって実行されたコマンドのコマンド名とそのパラメータを操作履歴データとして揮発性メモリ内に一時記憶し，シャットダウンに係わるコマンドの実行の指示を受けると，シャットダウンのコマンドの実行を一時保留し，該操作履歴データを所定の装置に送信した後，シャットダウンに係わるコマンドを実行する手段として，コンピュータを機能させるためのコンピュータプログラム。
ユーザの操作によって入力される入力データを常時監視し，該ユーザによって実行されたコマンドのコマンド名及びパラメータを操作履歴データとして揮発性メモリ内に一時記憶し，シャットダウンに係わるコマンドの実行の指示を受けると，シャットダウンのコマンドの実行を一時保留し，該操作履歴データを所定の装置に送信した後，シャットダウンに係わるコマンドを実行する手段として，コンピュータを機能させるためのコンピュータプログラムが記憶された携帯型ストレージ。
コンピュータを操作するユーザのユーザ識別子を少なくとも含むユーザデータを用いて，ユーザをユーザ認証する認証装置であって，ユーザによって実行されたコマンドのコマンド名及びパラメータが記憶された操作履歴データを解析することで得られ，不正なコマンドの実行の有無を示す解析結果をユーザのユーザ認証に利用することを特徴とする認証装置。