JP2011059913A - ネットワーク端末の運用監視装置および運用監視プログラムと運用監視方法 - Google Patents

Abstract

【課題】端末へのアクセスを過剰に制限することなく、リモートアクセスで端末を操作したユーザを的確に特定する。
【解決手段】リモートアクセス機能を利用した端末へのログインに際して共用アカウントによる通常の認証処理を実行し、コマンドの実行前に、リモートアクセス機能で端末にログインを要求した最初の端末を突き止め、其の端末のネットワークカメラを作動させて端末を操作するユーザの顔画像データを取得し、使用された共用アカウントとログインを要求した最初の端末の情報と顔画像データを対応させてログデータとして記憶する。リモートアクセスによるコマンドの入力に用いられた端末を操作した人物に固有の顔画像データを常にログファイルに残すことで、共用アカウントの盗用によるコマンド入力が行なわれた場合であってもログの顔画像データでコマンドの実行者を容易に特定できる。
【選択図】図２

Description

本発明は、リモートアクセス機能と共用アカウントによるログインを許容されたネットワーク端末の運用監視装置および運用監視プログラムと運用監視方法に関する。

共用アカウントを複数のユーザで利用してネットワーク上の端末にログインし、コマンドの実行などの操作を行う運用がしばしば見られる。
例えば、図１２の例では通常のユーザＩＤとパスワードを併せた共用アカウントを利用し、サーバとして機能する１つのネットワーク端末１０１に対し、クライアントとして機能する複数のネットワーク端末１０２〜１０４から複数のユーザがログインしてコマンドを実行できるようにしている。
また、図１３の例のように、サーバとして機能する端末１０１に直接アクセスする権限が無いユーザであっても、本人がアクセス権を有する端末１０２を操作し、他の端末１０３、および、端末１０１に対するリモートアクセスを許容された更に別の端末１０４を経由して、ネットワーク端末１０１にアクセスするようなケースもあり得る。
以上のような運用方法では、ログイン後にコマンドを実行した場合にログに残る証跡は共用アカウントに関連するものだけであり、実際にコマンドを実行した個人までは特定することができない。このため、内部統制に主眼を置いた考え方からすると、共用アカウントは使用しないことが望ましいとされている。
しかし、その一方で、障害の生じたシステムの復旧を急いでいるにも関わらず、システムの障害のためにユーザＩＤやパスワードを管理するデータベースにアクセスできなくなったような状況下にあっては、システムの主要部を構成する端末、例えば、サーバとして機能する端末等の内部記憶装置に保持されている共用アカウントを数人で使用して復旧作業を行うことができるようにした方が望ましいといった場合も考えられる。
当然、システムを運用する組織やコミュニティ等の内部では原因が分からないような障害の調査を外部の人間に依頼するような場合には、外部の人間は共用アカウントを用いて作業を行わざるを得ない。
これらの点からすると、共用アカウントの使用そのものを制限することは、必ずしも正しい対策とは言い切れない。
また、障害復旧等の場合でも、ログに残る証跡からコマンドを実行したユーザの確認ができることは必須である。特に、重大なコマンドを実行する際には其れを実行するユーザにも多大な責任が伴うことから、ユーザ個人を特定することの必要性は更に増加する。

そこで、ネットワークコンピュータシステムの使い勝手とセキュリティを適度にバランスさせた認証方法として、例えば、特許文献１に開示されるように、代理人用のユーザＩＤとパスワードと共に代理人の顔画像データをコンピュータシステムに登録しておき、代理人のログインに際しては、パスワードの認証を行なった後、更に、カメラを作動させて代理人の顔画像データを取得し、カメラで取得された顔画像データと予めコンピュータシステムに登録されている代理人の顔画像データとを比較し、両者が一致した場合に限って代理人によるログインを許容するようにした認証方法が提案されている。
しかしながら、このような処理操作は、結局のところ、ログインに関わるセキュリティを強化するためのダブルチェックを行なっているに過ぎず、ネットワークコンピュータシステムの使い勝手は十分なものとはならない。前記と同様、代理人用のユーザＩＤやパスワード、更には、代理人の顔画像データを管理するデータベースにアクセスできなくなったような状況下にあっては、代理人のログイン自体が拒絶されるからである。また、顔画像データの事前登録作業も煩わしいといった不都合があり、更に、外部から招いた人間の顔画像データがコンピュータシステムに事前登録されているとは考え難く、システムを運用する組織やコミュニティ等の内部の人間では対処できないような障害復旧作業の実施が阻害され兼ねない。

また、関連する別の発明としては、例えば、特許文献２に開示されるように、共用アカウントにユーザ固有の識別子（チケット）を併せたものをログイン情報として利用するクライアントサーバシステムが提案されている。
既に述べたように、共用アカウントは通常のユーザＩＤとパスワードを併せたものによって構成されるのが普通であるから、特許文献２に開示される技術は、単に、ユーザ固有の識別子（チケット）を加えることによってログイン情報に冗長性を持たせたものに過ぎない。
従って、前記と同様、ユーザ固有の識別子等を管理するデータベースにアクセスできなくなったような状況下にあっては、正当な権限を持つユーザのログインが拒絶される不都合がある。
特許文献２に記載される発明も共用アカウントを使用したログイン時におけるユーザの特定を目的の一部としており、ユーザ固有の識別子がユーザを特定するための証跡として利用できると主張しているが、共用アカウントと共にユーザ固有の識別子が盗用された場合には不正使用者を特定することはできず、また、不適切な識別子が入力された場合にログインを拒絶することはできるが、意味不明な識別子がログに残るだけで、この識別子によって不正使用者を特定することは全く不可能である。
なお、特許文献２ではログイン情報とホスト名を組み合わせたログデータが生成される点を主張しているが、発明の詳細な説明の欄および図面に開示されるコンピュータネットワークシステムの構成は、１つのサーバに対して複数のクライアント装置が直接的に接続されたものに限定されるので、複数のクライアント装置を経由してサーバにアクセスした場合のアクセス状況の把握、つまり、実際にユーザの手動操作を受けてアクセス要求を出力したログイン要求元のクライアント装置の特定や其のクライアント装置からサーバに至る接続経路の特定といった問題に関して格別の注意を払った発明ではないと理解するのが妥当であろう。

ユーザが複数のクライアント装置を経由してサーバの機能を利用する際に、実際にユーザの手動操作を受けて要求を出力した要求元のクライアント装置を特定するための技術としては、ＴＣＰ／ＩＰのリモートアクセスで利用されるパケットから発信元アドレスを抽出することで要求元のクライアント装置を特定する技術が特許文献３として既に公知である。
但し、この技術は、クライアント装置からサーバに至る接続経路を特定できるものではない。また、その適用対象は、必然的に、ＴＣＰヘッダを利用したリモートアクセス機能に制限される。

カメラで撮像された顔画像データがカメラの撮像領域に収まっているか否かを判定するための技術としては特許文献４記載の「顔の撮影／認識方法とその装置」が公知であり、また、カメラで撮像された顔画像データが写真を撮像して得られた顔画像データであるのか人物を直接的に撮像して得られた顔画像データであるのかを判定するための技術としては特許文献５記載の「なりすまし検知装置」が公知である。

特開２００５−１１５５２２号公報（段落００３７−００４０，００４７） 特開２００９−１１００９１号公報（段落００１４，００２０，００６５，図１７） 特開平１０−１４５４４９号公報（段落０００９−００１０） 特開２０００−１６３６００号公報 特開２００８−１５８００号公報

本発明の目的は、リモートアクセス機能と共用アカウントを利用した端末へのアクセスを過剰に制限することなく、リモートアクセスで端末を操作したユーザを的確に特定することのできるネットワーク端末の運用監視装置および運用監視プログラムと運用監視方法を提供することにある。

本発明におけるネットワーク端末の運用監視装置は、リモートアクセス機能と共用アカウントによるログインを許容されたネットワーク端末の運用監視装置であり、前記目的を達成するため、特に、
リモートアクセス機能を利用して前記ネットワーク端末にログインを要求した最初のネットワーク端末と其の接続経路を特定するログイン要求元特定手段と、
前記ログイン要求元特定手段で特定されたネットワーク端末からの共用アカウントの入力を受けてログインの可否を判定する通常認証手段と、
前記通常認証手段がログインを許容した場合に限り前記ログイン要求元特定手段で特定されたネットワーク端末からのコマンドの入力を受け付けて一時記憶するコマンド受付手段と、
前記コマンド受付手段によるコマンドの受け付けを検知すると前記ログイン要求元特定手段で特定されたネットワーク端末に配備されたネットワークカメラを作動させて前記ログイン要求元特定手段で特定されたネットワーク端末を操作するユーザの顔画像データを取得する顔画像データ取得手段と、
前記通常認証手段が受け付けた共用アカウントと、前記ログイン要求元特定手段で特定されたネットワーク端末を表す情報と、前記顔画像データ取得手段で取得された顔画像データと、前記コマンド受付手段が受け付けたコマンドを対応させて記憶するログデータ記憶手段と、
前記顔画像データ取得手段の作動完了後、前記コマンド受付手段が受け付けたコマンドを読み出して当該ネットワーク端末のコマンド実行手段に引き渡すコマンド引き渡し手段とを備えたことを特徴とする構成を有する。

本発明の運用監視プログラムは、リモートアクセス機能と共用アカウントによるログインを許容されたネットワーク端末のアクセスを監視するための運用監視プログラムであり、前記と同様の目的を達成するため、
前記ネットワーク端末のマイクロプロセッサを、
リモートアクセス機能を利用して前記ネットワーク端末にログインを要求した最初のネットワーク端末と其の接続経路を特定するログイン要求元特定手段、
前記ログイン要求元特定手段で特定されたネットワーク端末からの共用アカウントの入力を受けてログインの可否を判定する通常認証手段、
前記通常認証手段がログインを許容した場合に限り前記ログイン要求元特定手段で特定されたネットワーク端末からのコマンドの入力を受け付けて前記ネットワーク端末のメモリに一時記憶させるコマンド受付手段、
前記コマンド受付手段によるコマンドの受け付けを検知すると前記ログイン要求元特定手段で特定されたネットワーク端末に配備されたネットワークカメラを作動させて前記ログイン要求元特定手段で特定されたネットワーク端末を操作するユーザの顔画像データを取得して前記ネットワーク端末のメモリに記憶させる顔画像データ取得手段、
前記通常認証手段が受け付けた共用アカウントと、前記ログイン要求元特定手段で特定されたネットワーク端末を表す情報と、前記顔画像データ取得手段で取得された顔画像データと、前記コマンド受付手段が受け付けたコマンドを対応させてネットワーク端末のメモリにログとして記憶させるログデータ記憶手段、および、
前記顔画像データ取得手段の作動完了後、前記コマンド受付手段が受け付けたコマンドを読み出して当該ネットワーク端末のコマンド実行手段に引き渡すコマンド引き渡し手段として機能させることを特徴とする構成を有する。

本発明の運用監視方法は、リモートアクセス機能と共用アカウントによるログインを許容されたネットワーク端末のアクセスを監視するための運用監視方法であり、前記と同様の目的を達成するため、
リモートアクセス機能を利用して前記ネットワーク端末にログインを要求した最初のネットワーク端末と其の接続経路を特定した後、
前記特定されたネットワーク端末からの共用アカウントの入力を受けてログインの可否を判定し、
入力された共用アカウントが適性であった場合に限り前記特定されたネットワーク端末からのコマンドの入力を受け付けて一時記憶し、
前記コマンドの実行前に、前記特定されたネットワーク端末に配備されたネットワークカメラを作動させて前記特定されたネットワーク端末を操作するユーザの顔画像データを取得し、
前記入力された共用アカウントと、前記特定されたネットワーク端末を表す情報と、前記取得された顔画像データと、前記コマンド受付手段が受け付けたコマンドを対応させてログとして記憶してから、
前記一時記憶したコマンドを読み出して実行することを特徴とした構成を有する。

本発明によるネットワーク端末の運用監視装置および運用監視プログラムと運用監視方法は、リモートアクセス機能を利用したネットワーク端末へのログインに際して共用アカウントによる通常の認証処理を実行し、共用アカウントが適性である場合に限ってコマンドを受け付け、更に、コマンドの実行前に、リモートアクセス機能でネットワーク端末にログインを要求した最初のネットワーク端末を突き止め、其のネットワークカメラを作動させて当該ネットワーク端末を操作するユーザの顔画像データを取得し、ログインに使用された共用アカウントとログインを要求した最初のネットワーク端末の情報と当該ネットワーク端末を操作するユーザの顔画像データと当該ユーザが実行しようとしたコマンドとを対応させてログデータとして記憶するようにしたので、ユーザ毎に固有のユーザＩＤやパスワードを管理するデータベースにアクセスできなくなったような状況下でも共用アカウントを使用して復旧作業を開始することができ、外部の人間に障害の調査や復旧を用意することも容易となる。
また、共有アカウントを使用してログインしたユーザが要求するコマンドが実行される前の段階で当該ユーザが操作している端末のネットワークカメラを作動させてユーザの顔画像データを取得し、使用された共用アカウントとユーザが操作した端末の情報とユーザが実行しようとしたコマンドに対応させて顔画像データをログに保存するようにしているので、ユーザに固有の顔画像データに基いてコマンドの実行者を確実に特定することができ、共用アカウントの盗用によって不正なログインやコマンドか実行された場合であっても、その実行者を容易に探すことができる。

本発明によるネットワーク端末の運用監視装置を適用した一実施形態のネットワークコンピュータシステムについて其の接続環境を簡略化して示した概念図である。 各端末毎に備えられた運用監視装置の構成について簡略化して示した機能ブロック図である。 端末の構成の概略を示したブロック図である。 運用監視プログラムによって実現される処理の概略について示したフローチャートである。 運用監視プログラムによって実現される処理の概略について示したフローチャートの続きである。 運用監視プログラムによって実現される処理の概略について示したフローチャートの続きである。 重要コマンド記憶手段Ｈとして機能する不揮発性メモリに構築された重要コマンド記憶ファイルの一例について示した概念図である。 自端末と他端末との接続状況を記憶する接続端末テーブルの生成過程の一例について示した概念図である。 自端末と他端末との接続状況を記憶する接続端末テーブルの生成過程の他の一例について示した概念図である。 ログイン元の端末の名称と其の接続に利用された接続経路および顔画像データ取得手段で取得された顔画像データと画像の状態を関連付けて記憶する顔画像データ記憶テーブルの構成例を示した概念図である。 共用アカウントの値とログイン元の端末の名称と顔画像データの格納先アドレスと実行対象コマンドとコマンドの実行結果とを対応させて記憶するログファイルの構成例を示した概念図である。 ＩＤとパスワードを併せた共用アカウントを利用し、サーバとして機能する１つの端末に対してクライアントとして機能する複数の端末から複数のユーザが任意にログイできるようにしたネットワークシステムの概念図である。 サーバとして機能する端末に直接アクセスする権限が無いユーザがサーバとして機能する端末へのリモートアクセスを許容された別の端末を経由してサーバとして機能する端末にアクセスする状況について示した概念図である。

次に、本発明の装置およびプログラムと方法を実施するための形態について一例を挙げて図面を参照して具体的に説明する。

図１は本発明を適用した一実施形態のネットワークコンピュータシステムについて其の接続環境を簡略化して示した概念図である。

この実施形態のネットワークコンピュータシステムは、概略において、サーバとして機能するネットワーク端末（以下、単に端末という）１と、クライアントとして機能するネットワーク端末（以下、単に端末という）２，３，４によって構成される。ネットワークを構成する端末の数に格別な制限はない。

図１では端末１におけるtelnet用のポート１ａと端末３におけるtelnet用のポート３ｂを介して端末１と端末３が接続され、端末２におけるtelnet用のポート２ａと端末３におけるtelnet用のポート３ａを介して端末２と端末３が接続され、端末１におけるterminalservice用のポート１ｂと端末４におけるremotedesktop用のポート４ａを介して端末１と端末４が接続された場合の例を示しているが、リモートアクセスのための接続状態はどのようなものであっても構わない。

ここでは、説明の都合上、端末１を表す名称をSV1、端末２を表す名称をPC5、端末３を表す名称をPC1、端末４を表す名称をPC2と規定し、端末１におけるポート１ａのポート番号を23、端末２におけるポート２ａのポート番号を30006、端末３におけるポート３ａのポート番号を23、端末３におけるポート３ｂのポート番号を50002と規定する。
端末１，２，３，４は他にも複数のポートを備えるが、ここでは実施形態の説明について必要となるもののみを記載している。

また、端末１，２，３，４の各々には、各端末１，２，３，４を操作する際にユーザが身を置く位置に合わせ、ユーザの顔を撮像することが可能な位置に、ネットワークカメラ１Ａ，２Ａ，３Ａ，４Ａが設置されている。

これらの端末１，２，３，４は何れもパーソナルコンピュータやワークステーション等によって構成されるもので、その基本的な構成は何れの端末についても同様である。

図２は各端末１，２，３，４毎に備えられたネットワーク端末の運用監視装置（以下、単に運用監視装置という）５，６，７，８の構成について簡略化して示した機能ブロック図である。

運用監視装置５，６，７，８の構成は何れも同様であるので、ここでは運用監視装置５を取り挙げて構成を説明する。

運用監視装置５は、この運用監視装置５を備えた端末１にリモートアクセス機能を利用してログインを要求した最初の端末と其の端末の接続経路を特定するためのログイン要求元特定手段Ａと、ログイン要求元特定手段Ａで特定された端末からの共用アカウントの入力を受けてログインの可否を判定する通常認証手段Ｂと、通常認証手段Ｂがログインを許容した場合に限ってログイン要求元特定手段Ａで特定されている端末からのコマンドの入力を受け付けて一時記憶するコマンド受付手段Ｃと、コマンド受付手段Ｃによるコマンドの受け付けを検知した時点で、ログイン要求元特定手段Ａで特定されている端末に配備されたネットワークカメラを作動させ、ログイン要求元特定手段Ａで特定された端末を操作するユーザの顔画像データを取得する顔画像データ取得手段Ｄと、通常認証手段Ｂが受け付けた共用アカウントとログイン要求元特定手段Ａが特定した端末を表す情報と顔画像データ取得手段Ｄが取得した顔画像データとコマンド受付手段Ｃが受け付けたコマンドとを対応させて記憶するためのログデータ記憶手段Ｅと、顔画像データ取得手段Ｄの作動完了後、コマンド受付手段Ｃによって受け付けられていたコマンドを読み出し、当該運用監視装置５を備えた端末１のコマンド実行手段Ｇに引き渡すコマンド引き渡し手段Ｆを必須の構成要件として備える。

更に、この実施形態の運用監視装置５は、システム管理者が選択したコマンドを重要コマンドとして記憶するための重要コマンド記憶手段Ｈと、顔画像データ取得手段Ｄの作動完了後にコマンド受付手段Ｃが既に受け付けていたコマンドが重要コマンド記憶手段Ｈに記憶されている何れかのコマンドと一致するか否かを判定するコマンド判定手段Ｉと、コマンド判定手段Ｉが不一致の判定を下した場合にコマンド引き渡し手段Ｆを無条件に作動させる一方、コマンド判定手段Ｉが一致の判定を下した場合には、顔画像データ取得手段Ｄで取得された顔画像データとログイン要求元特定手段Ａで特定されている接続経路を参照し、顔画像データ取得手段Ｄで取得された顔画像データがユーザの特定に十分なものであって、且つ、ログイン要求元特定手段Ａで特定されている接続経路が規定外の端末を含まない場合に限ってコマンド引き渡し手段Ｆを作動させるコマンド引き渡し制限手段Ｊをも備えている。

但し、重要コマンド記憶手段Ｈ，コマンド判定手段Ｉ，コマンド引き渡し制限手段Ｊに関しては必ずしも必須の要件ではない。

例えば、顔画像データのみに主眼を置いて重要なコマンドの実行の可否を判定する構成を選択する場合にあっては、前述のコマンド引き渡し制限手段Ｊに代えて、コマンド判定手段Ｉが一致の判定を下した場合に顔画像データ取得手段Ｄが取得している顔画像データを分析し、その顔画像データに基いてユーザの顔が特定できる場合に限ってコマンド引き渡し手段Ｆを作動させる画像対応コマンド引き渡し制限手段Ｋを設ける。

あるいは、リモートアクセス機能によってログインを要求した端末や其の接続経路のみに主眼を置いて重要なコマンドの実行の可否を判定する構成を選択するのであれば、前述のコマンド引き渡し制限手段Ｊに代えて、コマンド判定手段Ｉが一致の判定を下した場合にログイン要求元特定手段Ａで特定されている端末と其の接続経路を参照し、その接続経路が規定外の端末を含まない場合に限ってコマンド引き渡し手段Ｆを作動させる接続経路対応コマンド引き渡し制限手段Ｌを設ける。

この実施形態のコマンド引き渡し制限手段Ｊは、前述の画像対応コマンド引き渡し制限手段Ｋと接続経路対応コマンド引き渡し制限手段Ｌとを並列的に設け、顔画像データ取得手段Ｄが取得している顔画像データに基いてユーザの顔が特定でき、且つ、ログイン要求元特定手段Ａで特定されている端末の接続経路が規定外の端末を含まない場合に限ってコマンド引き渡し手段Ｆを作動させるようにしたものである。

なお、ここでいう「ユーザの顔が特定できる」の意味合いは、厳密には、この運用監視装置５を備えた端末１にリモートアクセス機能を利用してログインを要求した最初の端末を操作したユーザそれ自体を特定することができるという意味ではなく、その「ユーザを特定するに足る顔画像データが得られる」という意味であり、より具体的には、顔画像データ取得手段Ｄで取得された顔画像データがネットワークカメラの撮像領域に収まっており、且つ、その顔画像データが写真からではなく人の顔を直接的にネットワークカメラで撮像して得られたものであるという状況を意味する。

顔画像データがカメラの撮像領域に収まっている否かを判定するための技術に関しては既に特開２０００−１６３６００号公報で公知であり、また、カメラで撮像された顔画像データが写真を撮像して得られた顔画像データであるのか人物を直接的に撮像して得られた顔画像データであるのかを判定するための技術に関しては既に特開２００８−１５８００号公報で公知であるので、ここでは特に説明しない。

また、リモートアクセス機能を利用して入力された共用アカウントが適性である場合に全てのコマンドの実行を許容するような構成、つまり、コマンドの重要度に応じたセキュリティの設定を行なわず、単に、ログイン元となる端末を操作したユーザの顔画像データを残すことのみを目的とした構成にあっては、重要コマンド記憶手段Ｈやコマンド判定手段Ｉは不要である。

通常認証手段ＢはユーザＩＤとパスワードを併せて構成される共用アカウントの適不適を判断するためのもので、既に周知の技術である。共用アカウントは必ずしもユーザＩＤとパスワードを併せて構成されるものでなくてもよく、複数のユーザによって共用される認証情報であれば、どのようなものでも構わない。

既に述べた通り、ネットワークコンピュータシステムを構成する端末１，２，３，４は何れもパーソナルコンピュータやワークステーション等によって構成されるもので、その基本的な構成は何れについても同様であるから、ここでは端末１を取り挙げて其の構成を簡単に説明する。

図３は端末１の構成の概略を示したブロック図である。端末１の主要部は、演算処理用のマイクロプロセッサ（以下、単にＣＰＵという）９と、起動用のプログラム等を格納したリード・オンリー・メモリ（以下、単にＲＯＭという）１０、および、各種のパラメータを記憶した不揮発性メモリ１１と、演算データの一時記憶や実行対象プログラムの読み出し等に利用されるランダム・アクセス・メモリ（以下、単にＲＡＭという）１２、ならびに、各種のアプリケーションプログラム等を格納したハードディスク１３等によって構成される。

そして、ハードディスク１３には、前述のアプリケーションプログラムの他、端末１のＣＰＵ９を運用監視装置５におけるログイン要求元特定手段Ａ，通常認証手段Ｂ，コマンド受付手段Ｃ，顔画像データ取得手段Ｄ，コマンド引き渡し手段Ｆ，コマンド判定手段Ｉ，コマンド引き渡し制限手段Ｊ（画像対応コマンド引き渡し制限手段Ｋおよび接続経路対応コマンド引き渡し制限手段Ｌ）、更には、重要コマンド登録手段として機能させるための運用監視プログラムが保存されている。

この運用監視プログラムは、端末１が動作する間に亘ってＲＡＭ１２上に保持される常駐プログラムである。

コマンドの実行に必要とされるコマンド実行手段ＧはＯＳやアプリケーションプログラムを実行するＣＰＵ９の一般的な機能である。

また、この実施形態にあっては、端末１のハードディスク１３が運用監視装置５におけるログデータ記憶手段Ｅの主要部として機能し、端末１の不揮発性メモリ１１が運用監視装置５における重要コマンド記憶手段Ｈとして機能する。

なお、不揮発性メモリ１１によって重要コマンド記憶手段Ｈを構成することは必須の要件ではないが、重要コマンド記憶手段Ｈに記憶された重要コマンドの情報はシステムに障害が生じた場合であっても利用できることが望ましいので、この実施形態にあっては不揮発性メモリ１１を重要コマンド記憶手段Ｈとして利用するようにしている。

以上に述べた通り、端末１に備えられた運用監視装置５は独立したハードウェアによって構成されるものでなく、端末１のＣＰＵ９と端末１のハードディスク１３に格納された運用監視プログラム、および、端末１のメモリの一種である不揮発性メモリ１１とハードディスク１３によって構成されるものである。

そして、端末１のマン・マシン・インターフェイスとして機能するディスプレイ１４およびキーボード１５とマウス１６は入出力回路１７を介してＣＰＵ９に接続され、キーボード１５やマウス１６から出力される信号がＣＰＵ９に読み込まれる一方、ディスプレイ１４の表示態様がＣＰＵ９によって制御されるようになっている。

この端末１を操作するユーザの顔を撮像するためのネットワークカメラ１Ａは入出力回路１７を介して端末１のＣＰＵ９に接続され、リモートアクセス機能を利用して端末１に接続した他の端末からの指令を受けて端末１のＣＰＵ９の制御の元で画像の取り込み処理が行なわれるようになっている。ネットワークカメラ１Ａは端末１のＣＰＵ９からの指令で画像の取り込み処理を行なう場合もある。

既に述べた通り、図３中のポート１ａはtelnet用のポートであり、また、図３中のポート１ｂはterminalservice用のポートである。端末１の入出力ポートは他にもあるが、ここでは具体的な処理動作の説明に必要とされる最小限度のもののみを記載している。

この端末１へのログインを認証する際に利用される共用アカウントの値は、システムに障害が生じた場合でも利用できるように、端末１それ自体の不揮発性メモリ１１に保存されている。

以上、端末１と其の運用監視装置５およびネットワークカメラ１Ａの構成を例に取って説明したが、端末２と其の運用監視装置６およびネットワークカメラ２Ａの構成、端末３と其の運用監視装置７およびネットワークカメラ３Ａの構成、端末４と其の運用監視装置８およびネットワークカメラ４Ａの構成も上記と同等である。

図４〜図６は各端末１，２，３，４の各々が備えるＣＰＵ９によって実行される運用監視プログラムの処理の概略について示したフローチャートである。

次に、図４〜図６を参照して各運用監視装置５，６，７，８毎のログイン要求元特定手段Ａ，通常認証手段Ｂ，コマンド受付手段Ｃ，顔画像データ取得手段Ｄ，コマンド引き渡し手段Ｆ，コマンド判定手段Ｉ，コマンド引き渡し制限手段Ｊ（画像対応コマンド引き渡し制限手段Ｋおよび接続経路対応コマンド引き渡し制限手段Ｌ），重要コマンド登録手段として機能する各端末１，２，３，４のＣＰＵ９の具体的な処理動作と本実施形態における運用監視方法について説明する。

なお、この段階では、データの削除や環境設定ファイルの書き換え等に関わる重要なコマンドが既にシステム管理者によって選択され、重要コマンド記憶手段Ｈとして機能する各端末１，２，３，４毎の不揮発性メモリ１１に生成された重要コマンド記憶ファイル１８（図７参照）への登録が完了しているものとする。
キーボード１５やマウス１６等を利用したコマンドの登録処理それ自体に関しては自明であるので、重要コマンド登録手段の構成や機能に関しては特に説明しない。

運用監視プログラムは既に述べた通り予めハードディスク１３に格納されており、各端末１，２，３，４が起動された時点で各端末１，２，３，４のハードディスク１３から各端末１，２，３，４のＲＡＭ１２に実行対象プログラムとして展開され、その後、各端末１，２，３，４がシャットダウンされるまでの間に亘ってＲＡＭ１２上に保持される常駐プログラムである。

運用監視プログラムの処理を開始した各端末１，２，３，４毎のＣＰＵ９は、まず、当該端末のキーボード１５やマウス１６等からの指令もしくは他の端末からの指令によりユーザがリモートアクセス機能を利用して当該端末から別の端末への接続を要求しているか否かを判定する判定処理と（ステップＳ１）、他の端末がリモートアクセス機能を利用して当該端末に接続する要求を入力しているか否かを判定する判定処理と（ステップＳ５）、他の端末からのリモートアクセスによってログインのための認証要求が入力されているか否かを判定する判定処理と（ステップＳ９）、他の端末からのリモートアクセスによって画像取得指令が入力されているかを判定する判定処理と（ステップＳ１９）、他の端末へログインするための認証情報の送信を求める指令が当該端末のキーボード１５やマウス１６から入力されているか否かを判定する判定処理を実行する（ステップＳ２２）。

そして、何れの要求も検出されなければ、ＣＰＵ９は従来と同様にしてアプリケーションプログラム等を始めとする通常の処理をステップＳ２４の処理で実行し、再びステップＳ１の判定処理に復帰する。

従って、別の端末への接続要求の入力，他の端末からの接続要求の入力，他の端末からの認証要求の入力，他の端末からの画像取得指令の入力，他の端末に認証情報を送信するための入力操作の何れも検出されなければ、各端末１，２，３，４のＣＰＵ９はステップＳ２４の処理のみを繰り返してアプリケーションプログラム等の処理を継続して実行することになる。

ここで、このＣＰＵ９を設置した端末のキーボード１５やマウス１６等からの指令もしくは他の端末からの指令によりユーザがリモートアクセス機能を利用して当該端末から別の端末に接続する旨の指令が入力されると、当該端末のＣＰＵ９はステップＳ１の判定処理で此の要求を検出し、telnetやremotedesktopあるいはterminalserviceのリモートアクセス機能を利用して対応する端末に接続要求を送信すると共に（ステップＳ２）、当該端末のＲＡＭ１２に自端末と他端末との接続状況を記憶するための接続端末テーブルが既に生成されているか否かを判定し（ステップＳ３）、接続端末テーブルが生成されていれば、前述の接続要求と共に接続端末テーブルのデータを送信する（ステップＳ４）。接続端末テーブルが生成されていない場合に送信されるのは接続要求のみである。接続端末テーブルは自端末と他端末との接続状況を記憶するために各端末１，２，３，４毎のＲＡＭ１２に生成される一時記憶用のテーブルである。

従って、仮に、いま図１に示される端末２が他の端末と未接続の状態にあって、この端末２を使用するユーザが端末２のキーボード１５やマウス１６等を操作することによって初めて他の端末３にリモートアクセスする処理を試みたとすると、この時点では端末２のＲＡＭ１２には未だ接続端末テーブルは生成されていないので、ステップＳ３の判定結果は偽となり、端末２から端末３に接続要求のみが送信されることになる。

そして、端末２のＣＰＵ９から送信された接続要求は、端末２のＣＰＵ９と同様にして運用監視プログラムの処理を実行している端末３のＣＰＵ９によってステップＳ５の判定処理で検出される。

この接続要求を検出した端末３側のＣＰＵ９は、接続要求と共に接続端末テーブルのデータが送信されて来ているか否かを判定するが（ステップＳ６）、この場合は接続端末テーブルのデータが送信されていないのでステップＳ６の判定結果は偽となり、端末３のＣＰＵ９は、まず、端末２と自端末３との接続状況を記憶するための接続端末テーブルを自端末３のＲＡＭ１２内に生成し、接続元となる端末２の名称PC5と接続元となる端末２のポート２ａのポート番号30006の組み合わせ、および、端末２に接続した自端末３の名称PC１と端末２に接続した自端末３のポート３ａのポート番号23の組み合わせを、図８に示されるようにして接続端末テーブルに記憶させることになる（ステップＳ８）。

また、仮に、既に端末２との接続が完了した状態にある端末３、つまり、図８に示されるような接続端末テーブルの生成をおえた端末３を経由して端末１に接続するための接続要求が端末２から端末３に送信されたとすると、この接続要求は前記と同様にしてステップＳ１の判定処理で端末３のＣＰＵ９によって検出され、ステップＳ２の処理で端末３から端末１に前記と同様にして接続要求が送信されることになるが、この段階では既に端末３のＲＡＭ１２内に図８に示されるような接続端末テーブルが生成されているので、ステップＳ３の判定結果は真となり、前述の接続要求と共に図８に示されるような端末３の接続端末テーブルのデータが端末３から端末１に宛てて送信されることになる（ステップＳ４）。

そして、端末３のＣＰＵ９から送信された接続要求は、端末２，３のＣＰＵ９と同様にして運用監視プログラムの処理を実行している端末１のＣＰＵ９によってステップＳ５の判定処理で検出され、接続要求を検出した端末１のＣＰＵ９は、接続要求と共に接続端末テーブルのデータが送信されて来ているか否かを判定する（ステップＳ６）。

この場合は端末３から端末１に図８に示されるような接続端末テーブルのデータが送信されてきているので、ステップＳ６の判定結果は真となり、端末１のＣＰＵ９は、図８に示されるような接続端末テーブルに、当該端末１の直接の接続元となる端末３の名称PC1と接続元となる端末３におけるポート３ｂのポート番号50002の組み合わせ、および、端末３に接続した自端末１の名称SV1と端末３に接続した自端末１におけるポート１ａのポート番号23の組み合わせを図９に示されるようにして付加し、端末２と端末３および端末３と自端末１の接続状況を記憶する接続端末テーブルを当該端末１のＲＡＭ１２内に生成する（ステップＳ７）。

このようにして、リモートアクセス機能で端末を経由した新たな接続が行われる度に接続端末テーブルに新たな端末の名称とポート番号が付加されるため、各端末１，２，３，４のＣＰＵ９は、そのＣＰＵ９を設置した端末のＲＡＭ１２に生成された接続端末テーブルを参照することにより、この端末にリモートアクセス機能を利用してログインを要求する最初の端末（以下、ログイン元の端末という）と其の端末の接続経路を把握することが可能となる。

接続端末テーブルを端末から端末に転送して新たな端末の名称とポート番号を付加することによってログイン元の端末と其の接続経路を特定する構成は、ＴＣＰヘッダに依存するものではない。
従って、リモートアクセスに用いられるプロトコルの種類に関わりなく利用することができる。

例えば、名称がPC1である端末３のＲＡＭ１２に生成されている接続端末テーブルは図８のようなものであるから、当該端末３にリモートアクセス機能を利用してログインを要求したログイン元の端末の名称はPC5で、名称PC5の端末におけるポート番号30006のポートと当該端末PC1におけるポート番号23のポートを介して名称PC5の端末２が名称PC1の当該端末３に接続していることが分かる。
また、名称がSV1である端末１のＲＡＭ１２に生成されている接続端末テーブルは図９のようなものであるから、当該端末１にリモートアクセス機能を利用してログインを要求したログイン元の端末の名称はPC5で、名称PC5の端末におけるポート番号30006のポートと端末PC1におけるポート番号23のポートと端末PC1におけるポート番号50002のポートと当該端末SV1におけるポート番号23のポートを介して名称PC5の端末２が名称SV1の当該端末１に接続していることが分かる。

なお、図９の例ではSV1の名称を有する端末１におけるポート番号23のポート１ａにのみリモートアクセス機能を利用した接続がなされた場合について示しているが、実際には、サーバとして機能する端末１には多数のポートがあるので、別のポートに更に別の端末が接続されているといった場合もある。
しかし、何れの場合も、図９に示されるような接続端末テーブルを参照し、その時点で入力処理を受け付けた端末１のポートを特定することにより、その要求を最初に出力したログイン元の端末の名称と其の端末から当該端末１に至る接続経路を特定することが可能である。
例えば、要求の最終的な受け付け先が名称SV1の端末１であって、名称SV1の端末１におけるポート番号23のポート１ａを介して端末１のＣＰＵ９に要求が入力されたとすれば、名称SV1の端末１におけるポート番号23のポート１ａから要求が入力されたことに基いて、端末１のＣＰＵ９は、前述の通り、その要求を最初に出力したログイン元の端末が名称PC5の端末２であることを把握できる。また、仮に、図１の例で名称SV1の端末１におけるポート１ｂを介して要求が入力されたとすれば、その要求を最初に出力したログイン元の端末は名称PC2の端末４ということになる。
つまり、要求の最終的な受け付け先となった端末は、その端末で要求の受け付けに使用したポートのポート番号を特定し、図８あるいは図９に示されるような接続端末テーブルを参照して其の右端の欄から当該ポート番号と一致するポート番号を求め、接続端末テーブルにおける同一行の左端の欄に記憶された端末名を抽出することによってログイン元の端末を把握できるということである。

そして、このようにして確立されたリモートアクセスの接続を利用し、何れかの端末のキーボード１５を利用してユーザが共用アカウントを入力して他の端末へのログインを求めると、キーボード１５を操作された端末のＣＰＵ９がステップＳ２２の判定処理で此の入力操作を検出し、ログインの対象となる端末に向けて、ユーザが入力した共用アカウントのデータを送信する（ステップＳ２３）。

ログイン先の端末に向けて送信された共用アカウントのデータは、ログインの対象とされた端末のＣＰＵ９によってステップＳ９の判定処理で検出される。

次いで、ログインのための認証要求の入力を検出した端末のＣＰＵ９が、当該端末の不揮発性メモリ１１に記憶されている共用アカウントを読み出し、更に、通常認証手段Ｂとして機能するＣＰＵ９が、ステップＳ９の処理で検出された共用アカウントの値に対して認証処理を実行し（ステップＳ１０）、ステップＳ９の処理で検出された共用アカウントがログインのための共用アカウントとして適切なものであるか否かを判定する（ステップＳ１１）。

ここで、ステップＳ９の処理で検出された共用アカウントがログインのための共用アカウントとして適切なものでないと判定された場合には、ログイン先の端末のＣＰＵ９は、ログインの要求を無視してステップＳ１の判定処理に復帰し、ステップＳ１，ステップＳ５，ステップＳ９，ステップＳ１９，ステップＳ２２の判定処理とステップＳ２４の通常処理のみを繰り返し実行することになる。

また、ステップＳ１１の判定結果が真となってログインが許容された場合には、ログイン先の端末のマイクロプロセッサ９は、ファイルの保存や読み込み或いは削除等といったような何らかのコマンドがログイン元の端末から入力されるまで待機する（ステップＳ１２）。

そして、ステップＳ１２の判定処理でコマンドの入力が検出されると、コマンド受付手段Ｃとして機能するＣＰＵ９が当該コマンドを一時記憶し（ステップＳ１３）、更に、ログイン要求元特定手段Ａとして機能するＣＰＵ９が、ステップＳ１１〜ステップＳ１２の処理で共用アカウントやコマンドの入力に用いられた当該端末のポート番号に基いて、この端末のＲＡＭ１２内に生成されている図９のような接続端末テーブルを参照し、これらの共用アカウントやコマンドの出力元つまりログイン元となる端末の名称と其の接続経路を特定する（ステップＳ１４）。

仮に、名称SV1の端末１がログイン先として他の端末のユーザによって選択されてリモートアクセスによる共用アカウントやコマンドの入力の受け付け先となった際に、当該端末１におけるポート番号２３のポート１ａが用いられたとすれば、図９の例に照らして、当該端末１にリモートアクセス機能を利用してログインを要求した最初の端末の名称はPC5であり、名称PC5の端末２におけるポート番号30006のポート２ａと端末PC1におけるポート番号23のポート３ａと端末PC1におけるポート番号50002のポート３ｂと当該端末SV1におけるポート番号23のポート１ａを介して名称PC5の端末２から共用アカウントやコマンドが入力されたことになる。

次いで、顔画像データ取得手段Ｄとして機能する当該端末のＣＰＵ９が、ステップＳ１４の処理で特定された接続経路の情報と端末の名称に基いて、其の接続経路を利用してログイン元の端末たとえば前述した名称PC5の端末２に画像取得指令と自端末１の名称SV1を出力し（ステップＳ１５）、画像取得指令を送信した端末からの応答を待つ待機状態に入る（ステップＳ１６）。

このようにして出力された画像取得指令と端末名は、ログイン元の端末たとえば名称PC5の端末２のＣＰＵ９によってステップＳ１９の判定処理で検出される。

そして、画像取得指令を受けたログイン元の端末のＣＰＵ９が当該端末のネットワークカメラを作動させ、当該端末を操作するユーザの顔画像データを取得し（ステップＳ２０）、この画像データをログイン先の端末つまり前述の例で言えば名称SV1の端末１に宛てて送信する（ステップＳ２１）。

ログイン先の端末のＣＰＵ９はステップＳ１６の判定処理で顔画像データの受信を検知し、当該顔画像データを分析して此の顔画像データがログイン元の端末のネットワークカメラの撮像領域に収まっている否か、および、ログイン元の端末のネットワークカメラで撮像された顔画像データが写真を撮像して得たものであるのか人物を直接的に撮像して得られたものであるのかを判定する（ステップＳ１７）。既に述べた通り、判定に必要とされる技術それ自体は公知である。

次いで、ログイン先の端末のＣＰＵ９は、ログイン要求元特定手段Ａとして機能するＣＰＵ９がステップＳ１４の処理で特定したログイン元の端末の名称と其の接続に利用されたログイン元の端末のポート番号、および、顔画像データ取得手段Ｄとして機能するＣＰＵ９がステップＳ１７の処理で読み込んだ顔画像データと、此の顔画像データがログイン元の端末のネットワークカメラの撮像領域に収まっている否か、および、ログイン元の端末のネットワークカメラで撮像された顔画像データが人物を直接的に撮像して得られたものであるか否かの判定結果を図１０に示されるようなハードディスク１３の顔画像データ記憶テーブルに格納する（ステップＳ１８）。

図１０に示されるように、この実施形態では、顔画像データが人物を直接的に撮像して得られたものである場合には顔画像データ記憶テーブルの被写体フラグの欄に人物フラグ（例えば値１）がセットされ、写真である場合には被写体フラグの欄に写真フラグ（例えば値０）がセットされるようになっている。また、顔画像データがログイン元の端末のネットワークカメラの撮像領域に収まっている場合には顔画像データ記憶テーブルの枠内フラグの欄に枠内フラグ（例えば値１）がセットされ、顔画像データがログイン元の端末のネットワークカメラの撮像領域に収まっていない場合には枠外フラグ（例えば値０）がセットされるようになっている。

次いで、コマンド判定手段Ｉとして機能するマイクロプロセッサ９は、ステップＳ１３の処理でコマンド受付手段Ｃによって一時記憶されたコマンドが、重要コマンド記憶手段Ｈとして機能する不揮発性メモリ１１の重要コマンド記憶ファイル１８に記憶された何れかのコマンドと一致しているか否かを判定する（ステップＳ２５）。

そして、コマンド受付手段Ｃによって受け付けられたコマンドが重要コマンド記憶ファイル１８に記憶された何れのコマンドとも一致せず、ステップＳ２５の判定結果が偽となった場合には、コマンド引き渡し制限手段Ｊとして機能するＣＰＵ９がコマンド引き渡し手段Ｆの作動を無条件に許容する。
要求されたコマンドが重要なものでなければ、仮に、適切でないユーザが適切でないリモートアクセスの経路でコマンドの実行を依頼しているとした場合であっても、そのコマンドの実行によって大きな問題たとえばファイルの削除や書き換えといった不都合は生じないからである。当然、ファイルの削除や書き換えのためのコマンドは重要コマンド記憶ファイル１８に登録しておくことが望ましい。

次いで、コマンド引き渡し手段Ｆとして機能するＣＰＵ９が、ステップＳ１３の処理でＲＡＭ１２に一時記憶されたコマンドを実行対象コマンドとして読み出し（ステップＳ２６）、このコマンドをコマンド実行手段Ｇとして機能するＣＰＵ９に引き渡し、コマンド実行手段Ｇとして機能するＣＰＵ９が、コマンドに応じた処理を実行する（ステップＳ２７）。

次いで、ログデータ記憶手段Ｅの一部として機能するＣＰＵ９は、通常認証手段ＢがステップＳ１０の処理で認証処理の対象とした共用アカウントの値と、ログイン要求元特定手段Ａとして機能するＣＰＵ９がステップＳ１４の処理で特定したログイン元の端末の名称と其の接続に利用されたログイン元の端末のポート番号、および、顔画像データ取得手段Ｄとして機能するＣＰＵ９がステップＳ１８の処理でハードディスク１３に格納した顔画像データの格納先アドレス（ハイパーリンク等）と、コマンド受付手段Ｃとして機能するＣＰＵ９がステップＳ１３の処理で実行対象として一時記憶したコマンドと、当該コマンドの実行の成否を示す実行結果（成功または失敗）とを対応させて、図１１に示されるようにして、ログデータ記憶手段Ｅの主要部として機能するハードディスク１３のログファイルにログとして記憶させる（ステップＳ２８）。

従って、さほど重要ではないコマンドが実行された場合であっても、コマンドを実行したユーザがログインに使用した端末の名称と其の接続経路およびユーザの顔画像データ等は無条件にハードディスク１３のログファイルにログとして自動的に記憶されることになる。
但し、この場合は、顔画像データ取得手段Ｄによって取得された顔画像データがユーザの顔の特定に十分なものであるという保証はなく、また、コマンドの実行依頼が適切なリモートアクセスによって行なわれたといった保証もない。

一方、コマンド受付手段Ｃによって受け付けられたコマンドが重要コマンド記憶ファイル１８に記憶されている何れかのコマンドと一致してステップＳ２５の判定結果が真となった場合には、このコマンドの実行によって例えばファイルの削除等といった重大な不都合が生じる可能性もあるので、更に、コマンド引き渡し制限手段Ｊの一部を構成する画像対応コマンド引き渡し制限手段Ｋとして機能するＣＰＵ９が、ステップＳ１８の処理で登録された図１０のような顔画像データ記憶テーブルを参照し、顔画像データ記憶テーブルの被写体フラグの欄に人物を直接的に撮像して得られたものであることを示す人物フラグがセットされているか否かを判定すると共に（ステップＳ２９）、顔画像データ記憶テーブルの枠内フラグの欄に顔画像データがネットワークカメラの撮像領域に収まっていることを示す枠内フラグがセットされているか否かを判定する（ステップＳ３０）。
また、コマンド引き渡し制限手段Ｊの一部を構成する接続経路対応コマンド引き渡し制限手段Ｌとして機能するＣＰＵ９は、ＲＡＭ１２内に保持されている図９のような接続端末テーブルを参照し、ログイン元の端末から当該端末に至る経路に規定外の端末が含まれているか否かを判定する（ステップＳ３１）。

但し、リモートアクセスによるコマンドの入力や転送を許容する端末、つまり、規定された端末は、アクセス許容端末として不揮発性メモリ１１に予め記憶させておくものとする。
例えば、他の端末からのリモートアクセスによるコマンドの実行を完全に拒絶するとした場合では、リモートアクセスによるコマンドの実行を許容するアクセス許容端末として自らの端末名のみを不揮発性メモリ１１に登録するようにする。この場合、コマンド受付手段Ｃによって受け付けられたコマンドが重要コマンド記憶ファイル１８に記憶されている重要コマンドであってステップＳ２５の判定結果が真となる場合にあっては、入力されたコマンドが実際に実行されるのは、共有アカウントやコマンドの入力に際して当該端末それ自体のキーボード１５が使用された場合に制限される。その理由は、他の端末を利用したリモートアクセスで共有アカウントやコマンドを入力した場合には、コマンドの実行対象として指定された端末とは異なる別の端末名つまりログイン元となる端末の名称が少なくとも１つは図９のような接続端末テーブルから検出され、この端末が規定外の端末として認識されるからである。
実際には各端末にキーボード１５用のポートが設けられているので、各端末それ自体の端末名の代わりにキーボード１５用のポートのポート番号を不揮発性メモリ１１にアクセス許容ポートとして記憶させ、このポート番号に対応するポート以外からのコマンドの入力を規定外の経路を介したコマンドの入力として拒絶するようにしても、前記と同様の効果、つまり、他の端末からのリモートアクセスによるコマンドの実行を完全に拒絶するといった効果を得ることができる。

無論、アクセス許容端末やアクセス許容ポートを必要に応じて幾つか選択して不揮発性メモリ１１に予め記憶させておくようにすれば、これらの端末やポートのみを介して入力されるコマンドを受け付けるようにすることも可能であり、例えば、キーボード１５およびマウス１６やディスプレイ１４等のマン・マシン・インターフェイスを省略した端末をサーバとして利用し、クライアントとして機能する他の端末のキーボード１５およびマウス１６等を利用してサーバとして機能する端末を操作するといった場合では、クライアントとして機能する幾つかの端末の内からリモートアクセスによってサーバにコマンドを実行させることを許容する端末を予め選択しておき、その端末の名称をアクセス許容端末として不揮発性メモリ１１に事前に記憶させておくことになる。

そして、ステップＳ２９およびステップＳ３０の判定結果が真、つまり、顔画像データ取得手段Ｄが取得した顔画像データに基いてユーザの顔が特定でき、且つ、ステップＳ３１の判定結果が偽であって接続経路に規定外の端末が含まれていないと判定された場合に限り、適切なユーザが適切なリモートアクセスでコマンドの実行を依頼しているものと見做して、画像対応コマンド引き渡し制限手段Ｋおよび接続経路対応コマンド引き渡し制限手段Ｌからなるコマンド引き渡し制限手段Ｊとして機能するＣＰＵ９が、コマンド引き渡し手段Ｆの作動を許容する。

この場合は前記と同様にしてステップＳ２６〜ステップＳ２８の処理が実行されることになる。
ここで、仮に、適切でないユーザが適切な共用アカウントと適切なリモートアクセスの経路でコマンドの実行を依頼していたとすれば、其のコマンドの実行自体を阻止することはできないが、顔画像データ取得手段Ｄで取得された顔画像データは生身のユーザの顔全体を写したものとなっているから、そのユーザを特定することは容易であり、更には、そのユーザの責任を追及することも可能である。

これに対し、ステップＳ２９もしくはステップＳ３０の判定結果が偽となった場合には、重要コマンド記憶ファイル１８に記憶された重要なコマンドの実行が要求されているにも関わらず、顔画像データ取得手段Ｄが取得した顔画像データに基いてユーザの顔を特定することが困難であることを意味するので、コマンド引き渡し制限手段Ｊの一部を構成する画像対応コマンド引き渡し制限手段Ｋとして機能するＣＰＵ９は、ステップＳ２６〜ステップＳ２８の処理を非実行として、コマンド引き渡し手段Ｆの作動を禁止する。
同様に、ステップＳ３１の判定結果が真となった場合には、重要コマンド記憶ファイル１８に記憶された重要なコマンドの実行が要求されているにも関わらず、共有アカウントやコマンドの入力が規定外の端末もしくは接続経路を介して行なわれていることを意味するので、コマンド引き渡し制限手段Ｊの一部を構成する接続経路対応コマンド引き渡し制限手段Ｌとして機能するＣＰＵ９は、ステップＳ２６〜ステップＳ２８の処理を非実行として、コマンド引き渡し手段Ｆの作動を禁止する。

このようにしてコマンド引き渡し手段Ｆの作動が禁止された場合にはコマンドは実行されず、ログデータ記憶手段Ｅの一部として機能するＣＰＵ９は、通常認証手段ＢがステップＳ１０の処理で認証処理の対象とした共用アカウントの値と、ログイン要求元特定手段Ａとして機能するＣＰＵ９がステップＳ１４の処理で特定したログイン元の端末の名称と其の接続に利用されたログイン元の端末のポート番号、および、顔画像データ取得手段Ｄとして機能するＣＰＵ９がステップＳ１８の処理でハードディスク１３に格納した顔画像データの格納先アドレス（ハイパーリンク等）と、コマンド受付手段Ｃとして機能するＣＰＵ９がステップＳ１３の処理で実行対象として一時記憶したコマンドと、当該コマンドの実行が拒絶された理由（ステップＳ２９〜ステップＳ３１の判定処理の内で実行された判定処理の結果）とを対応させて、図１１に示されるようにして、ログデータ記憶手段Ｅの主要部として機能するハードディスク１３のログファイルにログとして記憶させることになる（ステップＳ３２）。

このようにして顔画像データの取得が不確かな状況下での重要コマンドの実行を強制的に禁止することにより、重要なコマンドが不用意に実行される不都合が生じる可能性を軽減することができ、また、重要なコマンドが実行されたにも関わらず其の実行者を特定できないといった不都合の発生を未然に防止することができる。

ここで、もし仮に、適切でないユーザが適切な共用アカウントと適切なリモートアクセスの経路を使用して適切な位置に身を置いてコマンドの実行を依頼していたとすれば、やはり其のコマンドの実行自体を阻止することはできないが、顔画像データ取得手段Ｄで取得された顔画像データは生身のユーザの顔全体を写したものであるから、そのユーザを特定することは容易であり、更には、その責任を追及することも可能である。

ハードディスク１３のログファイルに記憶されたログは、其の端末が備えるディスプレイ、あるいは、其の端末のＣＰＵ９に入出力回路１７を介して接続された図示しないプリンタ等に出力することができるようになっている。

以上に述べた通り、この実施形態では、リモートアクセス機能を利用した端末へのログインに際して通常認証手段Ｂが共用アカウントによる通常の認証処理を実行し（ステップＳ９〜ステップＳ１１参照）、共用アカウントが適性である場合に限ってコマンド受付手段Ｃがリモートアクセスで入力されるコマンドを受け付け（ステップＳ１２〜ステップＳ１３参照）、コマンド実行手段Ｇがコマンドを実行する前に、リモートアクセス機能で端末にログインを要求した最初のネットワーク端末つまりコマンドを入力したログイン元の端末をログイン要求元特定手段Ａが突き止め（ステップＳ１４参照）、顔画像データ取得手段Ｄがログイン元の端末のネットワークカメラを作動させてログイン元の端末を操作するユーザの顔画像データを取得し（ステップＳ１５〜ステップＳ１６参照）、コマンド実行手段Ｇが実際にコマンドを実行したか否かには関わりなく、ログデータ記憶手段Ｅが、コマンド入力時のログインの際に使用された共用アカウントと其の際に使用された端末の名称および其の際に実行しようとしたコマンドと当該ユーザの顔画像データとを対応させてハードディスク１３のログファイルにログとして記憶するようにしている（ステップＳ２８，ステップＳ３２参照）。
従って、リモートアクセスによるコマンドの入力に用いられた端末を操作した人物に固有の顔画像データが常にログファイルに残されることになり、共用アカウントの盗用による不正なログインでコマンドが入力された場合であっても、ログに記憶された顔画像データに基いてコマンドの実行者を特定することができる。

また、重要コマンド記憶手段Ｈとして機能する不揮発性メモリ１１の重要コマンド記憶ファイルにシステム管理者が重要と考えるコマンドを予め選択的に記憶させておき、コマンド実行手段Ｇがリモートアクセスで受け付けたコマンドを実行する前に、当該コマンドが重要コマンド記憶ファイル１８に登録された重要なコマンドであるか否かをコマンド判定手段Ｉが判定し（ステップＳ２５）、重要なコマンドである場合には、更に、画像対応コマンド引き渡し制限手段Ｋと接続経路対応コマンド引き渡し制限手段Ｌを併合したコマンド引き渡し制限手段Ｊにより、顔画像データ取得手段Ｄが取得した顔画像データによってユーザの顔が特定できるか否か（ステップＳ２９〜ステップＳ３０参照）、および、ログイン元の端末からコマンドの実行対象となる端末に至る経路に規定外の端末が含まれているか否かを判定し（ステップＳ３１）、顔画像データ取得手段Ｄが取得した顔画像データに基いてユーザの顔が特定でき、且つ、接続経路に規定外の端末が含まれていないと判定された場合に限って、コマンド引き渡し制限手段Ｊがコマンド引き渡し手段Ｆを作動させてコマンド実行手段Ｇによるコマンドの実行を許容するようにしているので、ユーザ毎に固有のユーザＩＤやパスワードを管理するデータベースを使用せずに、共有アカウントの入力のみでコマンドの実行を許容するようにしても、重要なコマンドが不用意に実行されるといった問題が生じにくい。
従って、ユーザ毎に固有のユーザＩＤやパスワードを格別に設ける必要はなく、システムの障害で外部のデータベースつまりコマンドの実行対象となる端末を除く他の端末や専用のファイルサーバ等にアクセスできなくなった状況下であっても、共用アカウントのみを使用して復旧作業を開始することができ、外部の人間に障害の調査や復旧を用意することも容易となる。

特に、重要コマンドの実行が許容される条件下では直接的に撮像されたユーザの顔が撮像領域に収まり、ユーザを特定するに十分な顔画像データが必ず取得された状態となっているので、重要なコマンドを実行したユーザを確実に特定することができ、また、さほど重要でないコマンドに関しては共有アカウントの入力さえ適切であれば実行を許容するようにしているので、端末の使い勝手とセキュリティを適度にバランスさせた運営を実現することができる。

また、コマンドの入力操作に際してネットワークカメラで取得された顔画像データを既登録の顔画像データと照らし合わせて重要コマンドの実行の可否を決めるわけではないので、端末それ自体に予め適正なユーザの顔画像データを登録しておくといった煩わしさはない。
ネットワークカメラで取得された顔画像データを既登録の顔画像データと比較する構成ではないので、盗用された共用アカウントが適切に入力され、且つ、素顔のユーザが適切な位置に身を置いて端末の操作を行なったような場合に重要コマンドの実行を禁止することは難しいが、素顔のユーザが適切な位置に身を置いて端末の操作を行なった場合には其のユーザの素顔の全容が顔画像データとしてログに保存されることになるので、コマンドを実行したユーザを特定して責任を追及することは容易である。

更に、ログイン元の端末を特定するための手段としては、ＴＣＰヘッダの情報に代え、新たな接続の度に接続元の端末から送られる接続端末テーブルに自端末の名称と接続に用いたポート番号を付加し、最終的にコマンドの受け付け先となる端末が当該端末で使用されたポート番号と接続端末テーブルとに基いてログイン元の端末を特定する処理を利用するようにしているので、リモートアクセスに用いられるプロトコルによって利用上の制限を受けないといったメリットもある。

本発明は、企業や学校などの多人数が共通のマシンとシステムを使うことがある環境において、個人の証跡を管理するための装置あるいはプログラムといった用途に適用できる。また、内部統制を実現するための要素として、認証装置の機能として組み込むといった用途にも適用可能である。

１ 端末（サーバ）
１Ａ ネットワークカメラ
１ａ ポート（telnet）
１ｂ ポート（terminalservice）
２ 端末（クライアント）
２Ａ ネットワークカメラ
２ａ ポート（telnet）
３ 端末（クライアント）
３Ａ ネットワークカメラ
３ａ ポート（telnet）
３ｂ ポート（telnet）
４ 端末（クライアント）
４Ａ ネットワークカメラ
４ａ ポート（remotedesktop）
５，６，７，８ ネットワーク端末の運用監視装置
９ マイクロプロセッサ（ログイン要求元特定手段，通常認証手段，コマンド受付手段，顔画像データ取得手段，コマンド引き渡し手段，コマンド判定手段，コマンド引き渡し制限手段，重要コマンド登録手段）
１０ リード・オンリー・メモリ
１１ 不揮発性メモリ（重要コマンド記憶手段）
１２ ランダム・アクセス・メモリ
１３ ハードディスク（ログデータ記憶手段の主要部）
１４ ディスプレイ
１５ キーボード
１６ マウス
１７ 入出力回路
１８ 重要コマンド記憶ファイル
１０１ ネットワーク端末（サーバ）
１０２〜１０４ ネットワーク端末（クライアント）
Ａ ログイン要求元特定手段
Ｂ 通常認証手段
Ｃ コマンド受付手段
Ｄ 顔画像データ取得手段
Ｅ ログデータ記憶手段
Ｆ コマンド引き渡し手段
Ｇ コマンド実行手段
Ｈ 重要コマンド記憶手段
Ｉ コマンド判定手段
Ｊ コマンド引き渡し制限手段
Ｋ 画像対応コマンド引き渡し制限手段
Ｌ 接続経路対応コマンド引き渡し制限手段

Claims (15)

1. リモートアクセス機能と共用アカウントによるログインを許容されたネットワーク端末の運用監視装置であって、
   リモートアクセス機能を利用して前記ネットワーク端末にログインを要求した最初のネットワーク端末と其の接続経路を特定するログイン要求元特定手段と、
   前記ログイン要求元特定手段で特定されたネットワーク端末からの共用アカウントの入力を受けてログインの可否を判定する通常認証手段と、
   前記通常認証手段がログインを許容した場合に限り前記ログイン要求元特定手段で特定されたネットワーク端末からのコマンドの入力を受け付けて一時記憶するコマンド受付手段と、
   前記コマンド受付手段によるコマンドの受け付けを検知すると前記ログイン要求元特定手段で特定されたネットワーク端末に配備されたネットワークカメラを作動させて前記ログイン要求元特定手段で特定されたネットワーク端末を操作するユーザの顔画像データを取得する顔画像データ取得手段と、
   前記通常認証手段が受け付けた共用アカウントと、前記ログイン要求元特定手段で特定されたネットワーク端末を表す情報と、前記顔画像データ取得手段で取得された顔画像データと、前記コマンド受付手段が受け付けたコマンドを対応させて記憶するログデータ記憶手段と、
   前記顔画像データ取得手段の作動完了後、前記コマンド受付手段が受け付けたコマンドを読み出して当該ネットワーク端末のコマンド実行手段に引き渡すコマンド引き渡し手段とを備えたことを特徴とするネットワーク端末の運用監視装置。
2. システム管理者が選択したコマンドを重要コマンドとして記憶する重要コマンド記憶手段と、
   前記顔画像データ取得手段の作動完了後、前記コマンド受付手段が受け付けたコマンドが前記重要コマンド記憶手段に記憶されている何れかのコマンドと一致するか否かを判定するコマンド判定手段と、
   前記コマンド判定手段が不一致の判定を下した場合には前記コマンド引き渡し手段を無条件に作動させる一方、前記コマンド判定手段が一致の判定を下した場合には、前記顔画像データ取得手段で取得された顔画像データを分析し、前記顔画像データに基いて前記ユーザの顔が特定できる場合に限って前記コマンド引き渡し手段を作動させる画像対応コマンド引き渡し制限手段を備えたことを特徴とする請求項１記載のネットワーク端末の運用監視装置。
3. 前記画像対応コマンド引き渡し制限手段は、前記顔画像データ取得手段で取得された顔画像データが前記ネットワークカメラの撮像領域に収まり、且つ、前記顔画像データが写真を撮像した顔画像データでない場合に、前記ユーザの顔が特定できると判定することを特徴とした請求項２記載のネットワーク端末の運用監視装置。
4. システム管理者が選択したコマンドを重要コマンドとして記憶する重要コマンド記憶手段と、
   前記顔画像データ取得手段の作動完了後、前記コマンド受付手段が受け付けたコマンドが前記重要コマンド記憶手段に記憶されている何れかのコマンドと一致するか否かを判定するコマンド判定手段と、
   前記コマンド判定手段が不一致の判定を下した場合には前記コマンド引き渡し手段を無条件に作動させる一方、前記コマンド判定手段が一致の判定を下した場合には、前記ログイン要求元特定手段で特定された接続経路を参照し、その接続経路が規定外の端末を含まない場合に限って前記コマンド引き渡し手段を作動させる接続経路対応コマンド引き渡し制限手段を備えたことを特徴とする請求項１記載のネットワーク端末の運用監視装置。
5. システム管理者が選択したコマンドを重要コマンドとして記憶する重要コマンド記憶手段と、
   前記顔画像データ取得手段の作動完了後、前記コマンド受付手段が受け付けたコマンドが前記重要コマンド記憶手段に記憶されている何れかのコマンドと一致するか否かを判定するコマンド判定手段と、
   前記コマンド判定手段が不一致の判定を下した場合には前記コマンド引き渡し手段を無条件に作動させる一方、前記コマンド判定手段が一致の判定を下した場合には、前記顔画像データ取得手段で取得された顔画像データと前記ログイン要求元特定手段で特定された接続経路を参照し、前記顔画像データ取得手段で取得された顔画像データが前記ネットワークカメラの撮像領域に収まり、且つ、前記顔画像データが写真を撮像した顔画像データでなく、しかも、前記ログイン要求元特定手段で特定された接続経路が規定外の端末を含まない場合に限って前記コマンド引き渡し手段を作動させるコマンド引き渡し制限手段を備えたことを特徴とする請求項１記載のネットワーク端末の運用監視装置。
6. リモートアクセス機能と共用アカウントによるログインを許容されたネットワーク端末のアクセスを監視するための運用監視プログラムであって、
   前記ネットワーク端末のマイクロプロセッサを、
   リモートアクセス機能を利用して前記ネットワーク端末にログインを要求した最初のネットワーク端末と其の接続経路を特定するログイン要求元特定手段、
   前記ログイン要求元特定手段で特定されたネットワーク端末からの共用アカウントの入力を受けてログインの可否を判定する通常認証手段、
   前記通常認証手段がログインを許容した場合に限り前記ログイン要求元特定手段で特定されたネットワーク端末からのコマンドの入力を受け付けて前記ネットワーク端末のメモリに一時記憶させるコマンド受付手段、
   前記コマンド受付手段によるコマンドの受け付けを検知すると前記ログイン要求元特定手段で特定されたネットワーク端末に配備されたネットワークカメラを作動させて前記ログイン要求元特定手段で特定されたネットワーク端末を操作するユーザの顔画像データを取得して前記ネットワーク端末のメモリに記憶させる顔画像データ取得手段、
   前記通常認証手段が受け付けた共用アカウントと、前記ログイン要求元特定手段で特定されたネットワーク端末を表す情報と、前記顔画像データ取得手段で取得された顔画像データと、前記コマンド受付手段が受け付けたコマンドを対応させてネットワーク端末のメモリにログとして記憶させるログデータ記憶手段、および、
   前記顔画像データ取得手段の作動完了後、前記コマンド受付手段が受け付けたコマンドを読み出して当該ネットワーク端末のコマンド実行手段に引き渡すコマンド引き渡し手段として機能させることを特徴とした運用監視プログラム。
7. 前記マイクロプロセッサを、更に、
   システム管理者が選択したコマンドを重要コマンドとして前記ネットワーク端末のメモリに記憶させる重要コマンド登録手段、
   前記顔画像データ取得手段の作動完了後、前記コマンド受付手段が受け付けたコマンドが前記ネットワーク端末のメモリに重要コマンドとして登録されている何れかのコマンドと一致するか否かを判定するコマンド判定手段、
   前記コマンド判定手段が不一致の判定を下した場合には前記コマンド引き渡し手段を無条件に作動させる一方、前記コマンド判定手段が一致の判定を下した場合には、前記顔画像データ取得手段で取得された顔画像データを分析し、前記顔画像データに基いて前記ユーザの顔が特定できる場合に限って前記コマンド引き渡し手段を作動させる画像対応コマンド引き渡し制限手段として機能させることを特徴とする請求項６記載の運用監視プログラム。
8. 前記画像対応コマンド引き渡し制限手段は、前記顔画像データ取得手段で取得された顔画像データが前記ネットワークカメラの撮像領域に収まり、且つ、前記顔画像データが写真を撮像した顔画像データでない場合に、前記ユーザの顔が特定できると判定することを特徴とした請求項７記載の運用監視プログラム。
9. 前記マイクロプロセッサを、更に、
   システム管理者が選択したコマンドを重要コマンドとして前記ネットワーク端末のメモリに記憶させる重要コマンド登録手段、
   前記顔画像データ取得手段の作動完了後、前記コマンド受付手段が受け付けたコマンドが前記ネットワーク端末のメモリに重要コマンドとして登録されている何れかのコマンドと一致するか否かを判定するコマンド判定手段、
   前記コマンド判定手段が不一致の判定を下した場合には前記コマンド引き渡し手段を無条件に作動させる一方、前記コマンド判定手段が一致の判定を下した場合には、前記ログイン要求元特定手段で特定された接続経路を参照し、その接続経路が規定外の端末を含まない場合に限って前記コマンド引き渡し手段を作動させる接続経路対応コマンド引き渡し制限手段として機能させることを特徴とする請求項６記載の運用監視プログラム。
10. 前記マイクロプロセッサを、更に、
    システム管理者が選択したコマンドを重要コマンドとして前記ネットワーク端末のメモリに記憶させる重要コマンド登録手段、
    前記顔画像データ取得手段の作動完了後、前記コマンド受付手段が受け付けたコマンドが前記ネットワーク端末のメモリに重要コマンドとして登録されている何れかのコマンドと一致するか否かを判定するコマンド判定手段、
    前記コマンド判定手段が不一致の判定を下した場合には前記コマンド引き渡し手段を無条件に作動させる一方、前記コマンド判定手段が一致の判定を下した場合には、前記顔画像データ取得手段で取得された顔画像データと前記ログイン要求元特定手段で特定された接続経路を参照し、前記顔画像データ取得手段で取得された顔画像データが前記ネットワークカメラの撮像領域に収まり、且つ、前記顔画像データが写真を撮像した顔画像データでなく、しかも、前記ログイン要求元特定手段で特定された接続経路が規定外の端末を含まない場合に限って前記コマンド引き渡し手段を作動させるコマンド引き渡し制限手段として機能させることを特徴とする請求項６記載の運用監視プログラム。
11. リモートアクセス機能と共用アカウントによるログインを許容されたネットワーク端末のアクセスを監視するための運用監視方法であって、
    リモートアクセス機能を利用して前記ネットワーク端末にログインを要求した最初のネットワーク端末と其の接続経路を特定した後、
    前記特定されたネットワーク端末からの共用アカウントの入力を受けてログインの可否を判定し、
    入力された共用アカウントが適性であった場合に限り前記特定されたネットワーク端末からのコマンドの入力を受け付けて一時記憶し、
    前記コマンドの実行前に、前記特定されたネットワーク端末に配備されたネットワークカメラを作動させて前記特定されたネットワーク端末を操作するユーザの顔画像データを取得し、
    前記入力された共用アカウントと、前記特定されたネットワーク端末を表す情報と、前記取得された顔画像データと、前記コマンド受付手段が受け付けたコマンドを対応させてログとして記憶してから、
    前記一時記憶したコマンドを読み出して実行することを特徴とした運用監視方法。
12. 前記顔画像データを取得した段階で、前記一時記憶されたコマンドが予め決められた重要コマンドの何れかと一致するか否かを判定し、
    何れの重要コマンドとも不一致の場合には前記一時記憶したコマンドを読み出して直ちに実行する一方、何れかの重要コマンドと一致した場合には、前記取得した顔画像データを分析し、この顔画像データに基いて前記ユーザの顔が特定できる場合に限って前記一時記憶したコマンドを読み出して実行することを特徴とする請求項１１記載の運用監視方法。
13. 前記取得された顔画像データが前記ネットワークカメラの撮像領域に収まり、且つ、前記顔画像データが写真を撮像した顔画像データでない場合に、前記ユーザの顔が特定できると判定することを特徴とした請求項１２記載の運用監視方法。
14. 前記顔画像データを取得した段階で、前記一時記憶されたコマンドが予め決められた重要コマンドの何れかと一致するか否かを判定し、
    何れの重要コマンドとも不一致の場合には前記一時記憶したコマンドを読み出して直ちに実行する一方、何れかの重要コマンドと一致した場合には、前記特定された接続経路を参照し、その接続経路が規定外の端末を含まない場合に限って前記一時記憶したコマンドを読み出して実行することを特徴とする請求項１１記載の運用監視方法。
15. 前記顔画像データを取得した段階で、前記一時記憶されたコマンドが予め決められた重要コマンドの何れかと一致するか否かを判定し、
    何れの重要コマンドとも不一致の場合には前記一時記憶したコマンドを読み出して直ちに実行する一方、何れかの重要コマンドと一致した場合には、前記取得した顔画像データと前記特定された接続経路を参照し、前記取得された顔画像データが前記ネットワークカメラの撮像領域に収まり、且つ、前記顔画像データが写真を撮像した顔画像データでなく、しかも、前記特定された接続経路が規定外の端末を含まない場合に限って前記一時記憶したコマンドを読み出して実行することを特徴とする請求項１１記載の運用監視方法。

Images