JP2011199749A - 検疫ネットワークシステム、検疫管理サーバ、仮想端末へのリモートアクセス中継方法およびそのプログラム - Google Patents

Abstract

【課題】業務ネットワークと治療ネットワークのどちらに接続されていてもユーザが仮想端末にアクセスすることを可能とする検疫ネットワークシステム等を提供する。
【解決手段】仮想端末管理サーバ１０、検疫管理サーバ２０および端末隔離サーバ３０が相互に接続され、シンクライアント端末１１が仮想端末１１０にリモートアクセスする検疫ネットワークシステムで、仮想端末１１０が予め与えられたセキュリティポリシーを満たしていない場合に、この仮想端末を業務ネットワークから切り離して治療ネットワークに接続させる端末隔離指示部２１２と、隔離指示を受けた場合に通信手段２０３に第１のＩＰアドレスに対する通信を受信するよう設定する通信制御部２１３と、隔離指示を受けた場合に第１のＩＰアドレスに対するリモートアクセス要求を第２のＩＰアドレスに転送するようプロキシサーバ部２１４を設定するプロキシ制御部２１５とを有する。
【選択図】図１

Description

本発明は検疫ネットワークシステム、検疫管理サーバ、仮想端末へのリモートアクセス中継方法およびそのプログラムに関し、特に仮想端末が治療ネットワークに接続されていてもその仮想端末にリモートアクセスすることが可能な検疫ネットワークシステム、検疫管理サーバ、仮想端末へのリモートアクセス中継方法およびそのプログラムに関する。

コンピュータネットワークが社会的に普及するにつれて、企業や公的機関などの組織で多く扱っている個人情報や業務上の機密情報の漏洩が多く発生するようになり、社会的な問題となっている。たとえば構成員によるデータの持ち出しや個人所有のコンピュータの無断接続、コンピュータウィルス感染やＰ２Ｐ（Peer to Peer）ソフトウェアの利用などが、そのような情報漏洩の原因となる。

そのため、組織においてはネットワークを安全に運用し、機密情報の漏洩を防止するために、ネットワーク管理上の方針であるセキュリティポリシーを策定することが既に一般的である。セキュリティポリシーでは、たとえばパスワードが頻繁に更新されていること、ＯＳ（Operating System）やアプリケーションソフトに対して最新のパッチ（更新ソフト）が適用されていること、セキュリティソフト（アンチウィルス、ファイアウォールなど）に対して最新のパターンファイルが適用されていることなどのような条件が指定されていて、これらの条件をネットワークに接続する各々のコンピュータが満たしていることを求めている。

組織内のネットワークに対して新しいコンピュータを接続するには、そのコンピュータがセキュリティポリシーを満たしていることを確認できていることが必要である。その確認のために、検疫ネットワークと呼ばれる技術がある。

これは、組織内の業務ネットワークに接続されているコンピュータがセキュリティポリシーを満たしているか否かを判定し、満たしていないコンピュータを業務ネットワークとは別系統の治療ネットワークに強制的に再接続して（これを「隔離」という）、最新のパッチやパターンファイルなどを適用してセキュリティポリシーを満たす状態にして（これを「治療」という）から改めて業務ネットワークに接続させる（これを「復旧」という）というシステムである。

検疫ネットワークシステムには数種類の方式が存在するが、その中で認証ＶＬＡＮ（Virtual Local Area Network）方式、認証ＤＨＣＰ（Dynamic Host Configuration Protocol）方式などは端末を隔離する際に、端末のＩＰアドレスを自動的に変更して所属するネットワークを切り替えることができる。これによって、組織内ネットワークのセキュリティを高く保つことが可能である。

また、組織内ネットワークの安全な運用に関する別の技術として、シンクライアントシステムと呼ばれる技術がある。これは、データの入出力だけが可能で保存ができないシンクライアント（Thin Client）と呼ばれる端末からサーバにリモートアクセスし、アプリケーションソフトによるデータの処理およびデータファイルの保存を全てサーバの側で行うというものである。

シンクライアントによる組織内ネットワークについても、サーバベース方式、ブレードＰＣ方式、仮想ＰＣ方式など複数の方式が存在する。その中でも仮想ＰＣは、サーバ内に各構成員の操作するＰＣ（Personal Computer）を仮想的に生成して、各構成員はシンクライアント端末から各自の仮想ＰＣにリモートアクセスして操作するという方式である。各構成員にとっては各自のＰＣを操作するのと同等の環境で、組織にとってはデータの一切をサーバ内で一元管理して情報漏洩のリスクを大きく減らすことができる。

これら検疫ネットワーク、あるいはシンクライアントに関連して、次の技術文献が存在する。その中でも特許文献１には、サーバおよびクライアントの双方が相手の正式なＩＰアドレスを知らなくてもその中間に介在するアドレス変換用サーバがＩＰアドレスを変換することによってデータ通信が可能となるというＩＰアドレス変換装置などが記載されている。特許文献２には、ＶＰＮを利用したＬＡＮ環境で検疫ネットワークを実現することについて記載されている。

特許文献３には、業務ネットワークからユーザ端末を隔離して治療するという検疫ネットワークについて記載されている。特許文献４には、ユーザ端末が検疫ネットワークと治療ネットワークとの間で端末の所属が変わっても通信を継続できるという端末所属切換システムが記載されている。

特開２００５−２１０３５２号公報 特開２００６−２６００２７号公報 特開２００７−２９９３４２号公報 特開２００８−１９３２３１号公報

シンクライアント端末によって操作される仮想ＰＣといえども、コンピュータウィルスに感染する可能性は否定できないので、やはりセキュリティポリシーに則って運用されることが望ましい。その意味で、仮想ＰＣに対して検疫ネットワークシステムを適用することは有用である。

しかしながら、仮想ＰＣ方式の仮想端末に対して特許文献３にあるような検疫ネットワークシステムを適用した場合、当該仮想端末が隔離されて治療ネットワークに接続されるとＩＰアドレスが変更されるので、その結果として、該端末の利用者がその端末にリモートアクセスしようとしてもその端末のＩＰアドレスがわからないのでアクセスできなくなり、この端末を治療して業務ネットワークに復旧させるために必要な操作（たとえばパスワードの変更など）ができなくなるという問題がある。

特に、仮想端末が含まれるサーバが遠隔地に存在する場合や、そのサーバにユーザがログインする権利を持たない場合など、ユーザが仮想端末を直接操作することができない場合も多く存在するため、そのような場合に必要な操作ができないことが問題となる。

ここで、特許文献１に記載の技術を利用して、シンクライアント端末から送られたその仮想端末の業務ネットワーク上のＩＰアドレス宛のリモートアクセス要求を、その仮想端末の治療ネットワーク上のＩＰアドレス宛に転送するように設定することを考える。シンクライアント端末は業務ネットワーク上にあるその仮想端末のＩＰアドレスに対して接続要求を発信するが、その仮想端末が治療ネットワーク上にある間は、この接続要求をＩＰアドレス変換サーバが受けて治療ネットワーク上にあるその仮想端末のＩＰアドレス宛に転送する。

しかしながら、特許文献１にはＩＰアドレスの変換についての技術が記載されてはいるが、ＩＰアドレスを変換しない状態から変換する状態に移行することや、その逆に移行することについては記載されていない。特許文献４に記載の技術は、検疫ネットワークシステムで、ユーザ端末が業務ネットワークと治療ネットワークとの間で端末の所属が変わっても通信を継続するという技術であるので、特許文献１および特許文献４の技術を組み合わせても、仮想端末のＩＰアドレスを変換しない状態と変換する状態との間で移行することはできない。

一方、特許文献２に記載されているようなＶＰＮを利用すれば上記の問題は解決可能ではあるが、ただでさえ検疫ネットワークおよびシンクライアントを利用するために高価な設備を導入しているのに加えて、ＶＰＮを利用するための専用機器が必要となるので、大幅なコストの増大を招くこととなる。即ち、特許文献１〜４の技術を全て組み合わせても、当該仮想端末が業務ネットワークと治療ネットワークのどちらに接続されていてもユーザがその仮想端末にアクセスできるという問題を本質的に解決することはできない。

本発明の目的は、仮想端末に対して検疫ネットワークシステムを適用した場合に、当該仮想端末が業務ネットワークと治療ネットワークのどちらに接続されていてもユーザがその仮想端末にアクセスすることを可能とする検疫ネットワークシステム、検疫管理サーバ、仮想端末へのリモートアクセス中継方法およびそのプログラムを提供することにある。

上記目的を達成するため、本発明に係る検疫ネットワークシステムは、仮想端末管理サーバ、検疫管理サーバおよび端末隔離サーバが相互に接続され、シンクライアント端末が仮想端末管理サーバ内に仮想的に設定される仮想端末にリモートアクセスして操作することが可能な検疫ネットワークシステムであって、仮想端末管理サーバが、仮想端末と、仮想端末が接続可能なネットワークである業務ネットワークおよび治療ネットワークを仮想的に生成する仮想端末管理部を有し、端末隔離サーバが、仮想端末に業務ネットワークに接続するための第１のＩＰアドレスおよび治療ネットワークに接続するための第２のＩＰアドレスのうちのいずれか一方を与える端末隔離部を有し、検疫管理サーバが、仮想端末へのシンクライアント端末からのリモートアクセスを中継するプロキシサーバ部と、仮想端末が予め与えられたセキュリティポリシーを満たすか否かを判定するポリシー適合判定部とを備えると共に、仮想端末がセキュリティポリシーを満たしていない場合に、仮想端末を業務ネットワークから切り離して治療ネットワークに接続させる隔離指示を発する端末隔離指示部と、隔離指示を受けた場合に予め備えられた通信手段に第１のＩＰアドレスに対する通信を受信するよう設定する通信制御部と、隔離指示を受けた場合に第１のＩＰアドレスに対するリモートアクセス要求を第２のＩＰアドレスに転送するようプロキシサーバ部を設定するプロキシ制御部とを有し、端末隔離部が検疫管理サーバの端末隔離指示部から隔離指示を受けた場合に第２のＩＰアドレスを仮想端末に与えることを特徴とする。

上記目的を達成するため、本発明に係る検疫管理サーバは、仮想端末管理サーバおよび端末隔離サーバと相互に接続され、シンクライアント端末の仮想端末管理サーバ内に仮想的に設定される仮想端末へのリモートアクセスを仲介する検疫管理サーバであって、仮想端末へのシンクライアント端末からのリモートアクセスを中継するプロキシサーバ部と、仮想端末が予め与えられたセキュリティポリシーを満たすか否かを判定するポリシー適合判定部と、仮想端末が予め与えられたセキュリティポリシーを満たしていない場合に、仮想端末を業務ネットワークから切り離して治療ネットワークに接続させる隔離指示を発する端末隔離指示部と、隔離指示を受けた場合に予め備えられた通信手段に第１のＩＰアドレスに対する通信を受信するよう設定する通信制御部と、隔離指示を受けた場合に仮想端末が業務ネットワークに接続するための第１のＩＰアドレスに対するリモートアクセス要求を仮想端末が治療ネットワークに接続するための第２のＩＰアドレスに転送するようプロキシサーバ部を設定するプロキシ制御部とを有することを特徴とする。

上記目的を達成するため、本発明に係る検疫仮想端末へのリモートアクセス中継方法は、仮想端末管理サーバ、検疫管理サーバおよび端末隔離サーバが相互に接続され、シンクライアント端末が仮想端末管理サーバ内に仮想的に設定される仮想端末にリモートアクセスして操作することが可能な検疫ネットワークシステムにあって、仮想端末に対して端末隔離サーバの端末隔離部が第１のＩＰアドレスを与え、業務ネットワークおよび治療ネットワークを仮想端末管理サーバの仮想端末管理部が仮想的に生成すると共に仮想端末を業務ネットワークに接続し、仮想端末が予め与えられたセキュリティポリシーを満たすか否かを検疫管理サーバのポリシー適合判定部が判定し、仮想端末がセキュリティポリシーを満たしていない場合に、仮想端末を業務ネットワークから切り離して治療ネットワークに接続させる隔離指示を検疫管理サーバの端末隔離指示部が発し、隔離指示を受けて仮想端末に対して治療ネットワークに接続するための第２のＩＰアドレスを端末隔離サーバの端末隔離部が与え、仮想端末を業務ネットワークから切り離して仮想端末管理サーバの仮想端末管理部が治療ネットワークに接続し、予め備えられた通信手段に第１のＩＰアドレスに対する通信を受信するよう検疫管理サーバの通信制御部が設定し、第１のＩＰアドレスに対するリモートアクセス要求を第１のＩＰアドレスから第２のＩＰアドレスに転送するよう検疫管理サーバのプロキシ制御部が設定し、第１のＩＰアドレスに対するリモートアクセス要求を検疫管理サーバのプロキシサーバ部が受け付けると共にこれを第２のＩＰアドレスに転送することを特徴とする。

上記目的を達成するため、本発明に係る検疫仮想端末へのリモートアクセス中継プログラムは、仮想端末管理サーバ、検疫管理サーバおよび端末隔離サーバが相互に接続され、シンクライアント端末が仮想端末管理サーバ内に仮想的に設定される仮想端末にリモートアクセスして操作することが可能な検疫ネットワークシステムにあって、検疫管理サーバが備えるコンピュータに、仮想端末が予め与えられたセキュリティポリシーを満たすか否かを判定する手順、仮想端末がセキュリティポリシーを満たしていない場合に、仮想端末を業務ネットワークから切り離して治療ネットワークに接続させる隔離指示を発する手順、予め備えられた通信手段に第１のＩＰアドレスに対する通信を受信するよう設定する手順、第１のＩＰアドレスに対するリモートアクセス要求を第１のＩＰアドレスから第２のＩＰアドレスに転送するよう設定する手順、および第１のＩＰアドレスに対するリモートアクセス要求を受け付けると共にこれを第２のＩＰアドレスに転送する手順を実行させることを特徴とする。

本発明は、上述したように仮想端末がセキュリティポリシーを満たさない場合に端末隔離サーバに仮想端末を業務ネットワークから切り離して治療ネットワークに接続させ、同時にプロキシサーバ部をＩＰアドレスを転送するように設定するように構成したので、仮想端末が治療ネットワークに接続されている時も、業務ネットワーク用のＩＰアドレスがわかっていればユーザはその仮想端末にリモートアクセスできる。

これによって、仮想端末に対して検疫ネットワークシステムを適用した場合に、当該仮想端末が業務ネットワークと治療ネットワークのどちらに接続されていてもユーザがその仮想端末にアクセスすることを可能である検疫ネットワークシステム、検疫管理サーバ、仮想端末へのリモートアクセス中継方法およびそのプログラムを提供することができる。

図２に示した仮想端末管理サーバ、検疫管理サーバ、および端末隔離サーバの主にソフトウェア的な構成を示す説明図である。 本実施形態にかかる検疫ネットワークシステムの主に物理的な構成を示す説明図である。 図１〜２に示したシンクライアント端末が、仮想端末が業務ネットワークに接続されている場合に、仮想端末にアクセスする際の接続経路を示す説明図である。 図１〜２に示したシンクライアント端末が、仮想端末が治療ネットワークに接続されている場合に、仮想端末にアクセスする際の接続経路を示す説明図である。 図１〜２に示した端末情報管理データのデータ構成を示す説明図である。 図１〜２に示した検疫ネットワークシステムで仮想端末を隔離する際の動作の流れを示す説明図である。 図６で示した動作を説明するシーケンス図である。 図１〜２に示した検疫ネットワークシステムで隔離されていた仮想端末を復旧させる際の動作の流れを示す説明図である。 図８で示した動作を説明するシーケンス図である。

（第１の実施形態）
以下、本発明の第１の実施形態の構成について添付図１〜２に基づいて説明する。
最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
本実施形態に係る検疫ネットワークシステム１は、仮想端末管理サーバ１０、検疫管理サーバ２０および端末隔離サーバ３０が相互に接続され、シンクライアント端末１１が仮想端末管理サーバ１０内に仮想的に設定される仮想端末１１０にリモートアクセスして操作することが可能な検疫ネットワークシステムであって、仮想端末管理サーバ１０が、仮想端末１１０と、仮想端末が接続可能なネットワークである業務ネットワーク１３０および治療ネットワーク１４０を仮想的に生成する仮想端末管理部１０５を有し、端末隔離サーバ３０が、仮想端末１１０に業務ネットワーク１３０に接続するための第１のＩＰアドレス（業務ネットワーク用ＩＰアドレス２１６ｃ）および治療ネットワーク１４０に接続するための第２のＩＰアドレス（治療ネットワーク用ＩＰアドレス２１６ｄ）のうちのいずれか一方を与える端末隔離部３１１を有し、検疫管理サーバ２０が、仮想端末１１０へのシンクライアント端末からのリモートアクセスを中継するプロキシサーバ部２１４と、仮想端末１１０が予め与えられたセキュリティポリシーを満たすか否かを判定するポリシー適合判定部２１１とを備えると共に、仮想端末１１０がセキュリティポリシーを満たしていない場合に、仮想端末１１０を業務ネットワーク１３０から切り離して治療ネットワーク１４０に接続させる隔離指示を発する端末隔離指示部２１２と、隔離指示を受けた場合に予め備えられた通信手段２０３に第１のＩＰアドレスに対する通信を受信するよう設定する通信制御部２１３と、隔離指示を受けた場合に第１のＩＰアドレスに対するリモートアクセス要求を第２のＩＰアドレスに転送するようプロキシサーバ部２１４を設定するプロキシ制御部２１５とを有する。そして、端末隔離部３１１が検疫管理サーバの端末隔離指示部から隔離指示を受けた場合に、第２のＩＰアドレスを仮想端末１１０に与える。

また、プロキシ制御部２１５は、隔離指示を受けた場合に第１のＩＰアドレスに対するリモートアクセスを行なうためのプロトコル以外の通信を破棄するようプロキシサーバ部２１４を設定する。

そして端末隔離指示部２１２は、治療ネットワークに接続されていた仮想端末がセキュリティポリシーを満たすようになった場合に、仮想端末を治療ネットワークから切り離して業務ネットワークに接続させる復旧指示を発する機能を有する。これに対して通信制御部２１３が通信手段２０３の第１のＩＰアドレスに対する通信を受信する設定を削除し、プロキシ制御部２１５が第１のＩＰアドレスに対するリモートアクセス要求を第２のＩＰアドレスに転送する設定を削除する。

そして仮想端末管理部１０５は、仮想端末１１０に固有のＭＡＣアドレス２１６ａを付与し、端末隔離指示部２１２は、端末隔離部３１１から第２のＩＰアドレスを受信し、これらをＭＡＣアドレスに対応させて予め備えられた記憶手段に端末情報管理データ２１６として記憶する。

さらに仮想端末１１０は、ポリシー適合判定部が仮想端末のセキュリティポリシーに対する適否を判定するために必要な情報を収集してポリシー適合判定部に送信する端末情報収集部１２１を有し、ポリシー適合判定部２１１が、端末情報収集部１２１から受信した情報に基づいて仮想端末がセキュリティポリシーを満たすか否かを判定する。

この構成を備えることにより、この検疫ネットワークシステムは仮想端末が業務ネットワークと治療ネットワークのどちらに接続されていてもユーザがその仮想端末にアクセスすることが可能となる。
以下、これをより詳細に説明する。

図２は、本実施形態にかかる検疫ネットワークシステム１の主に物理的な構成を示す説明図である。検疫ネットワークシステム１では、仮想端末管理サーバ１０が内部に仮想端末１１０を仮想的に作成する。シンクライアント端末１１を操作するユーザは、ネットワーク１２を介して仮想端末１１０にリモートアクセスし、仮想端末１１０上のＯＳ（Operating System）、アプリケーションソフトやファイルを操作することが可能である。

シンクライアント端末１１は、ユーザから受け付けた操作を仮想端末管理サーバ１０（仮想端末１１０）に送信する機能と、仮想端末管理サーバ１０（仮想端末１１０）での処理結果をユーザに提示する機能、およびネットワークに接続するための通信手段１１ａのみを持つ端末である。シンクライアント端末１１は、アプリケーションソフトの動作やデータファイルの保存のための機能や手段を持たず、仮想端末１１０上で仮想的に実現されているこれらの機能を利用する。

仮想端末管理サーバ１０は、端末隔離サーバ３０、および検疫管理サーバ２０と、ハブ１３を介して相互に接続される。シンクライアント端末１１も、ネットワーク１２を介してハブ１３に接続される。シンクライアント端末１１は、ネットワーク１２およびハブ１３を介して検疫管理サーバ２０に接続して、仮想端末管理サーバ１０内の仮想端末１１０にアクセスする。

ハブ１３では、仮想端末管理サーバ１０、端末隔離サーバ３０、検疫管理サーバ２０、およびネットワーク１２経由のシンクライアント端末１１の各々の接続に対する物理的な接続インターフェイス（Network Interface Card）である通信手段１３ａ〜１３ｄが介在している。

検疫管理サーバ２０および端末隔離サーバ３０は、物理的には仮想端末管理サーバ１０と同一のコンピュータ装置であってもよいし、また互いに異なるコンピュータ装置であってもよい。ここでは、説明をしやすくするため、仮想端末管理サーバ１０、検疫管理サーバ２０および端末隔離サーバ３０は物理的にはいずれも異なるコンピュータ装置であるものとする。

仮想端末１１０は、シンクライアント端末１１からの操作に基づいて動作し、仮想端末管理サーバ１０内の仮想ネットワークである業務ネットワーク１３０に接続され、同じサーバ内の他の仮想端末や外部ネットワークを介したその他の（物理的な）コンピュータとデータを交換することが可能である。また仮想端末１１０は、外部のネットワークに接続するための仮想接続手段１１０ａを有する。

図１は、図２に示した仮想端末管理サーバ１０、検疫管理サーバ２０、および端末隔離サーバ３０の主にソフトウェア的な構成を示す説明図である。仮想端末管理サーバ１０、検疫管理サーバ２０、および端末隔離サーバ３０は、ハブ１３を介して接続されている。図２に記載した、ハブ１３の通信手段１３ａ〜１３ｄについては記載を省略している。

仮想端末管理サーバ１０は、プロセッサ１０１と記憶手段１０２と通信手段１０３とを備えるコンピュータ装置である。プロセッサ１０１では、仮想端末１１０を生成し、これをシンクライアント端末１１からの操作に応じて動作させる仮想端末管理部１０５がコンピュータプログラムとして動作する。仮想端末管理部１０５は、業務ネットワーク１３０および後述の治療ネットワーク１４０も仮想的に生成して機能させる。

仮想端末１１０では、通常のコンピュータ装置と同様にコンピュータプログラムを実行する主体となるプロセッサ、記憶手段、通信手段などのコンピュータ資源が仮想端末管理部１０５によって仮想的に生成され、シンクライアント端末１１を操作して仮想端末１１０にアクセスしたユーザは、それらの仮想的コンピュータ資源を通常のコンピュータ装置と同じように使用することができる。従って、仮想端末１１０にはＩＰアドレスやＭＡＣアドレスも、物理的なコンピュータ装置と同様に存在する。

仮想端末１１０では、仮想端末１１０のセキュリティポリシーに関連する各種情報を収集して後述の検疫管理サーバ２０に送付する端末情報収集部１２１がコンピュータプログラムとして動作する。

仮想端末管理サーバ１０内には、業務ネットワーク１３０の他に治療ネットワーク１４０と呼ばれる仮想ネットワークも存在する。治療ネットワーク１４０は、新規に業務ネットワーク１３０に接続しようとする仮想端末１１０がその前に接続し、この仮想端末１１０がセキュリティポリシーに適合していることを確認し、適合しない部分を改善させてから業務ネットワーク１３０に接続させるものである。

治療ネットワーク１４０上には、仮想端末１１０にＯＳやアプリケーションソフトのパッチや、セキュリティソフトのパターンファイルなどを与えて適用させる治療サーバ１４１が接続されているが、この治療サーバの動作は公知であり、本実施形態を特定するものではない。また、治療サーバ１４１は物理的なコンピュータであっても仮想的なコンピュータであってもよい。

また、治療ネットワーク１４０は仮想端末１１０がウィルス、ワームなどのような不正プログラムに感染した場合にこの不正プログラムを除去してから業務ネットワーク１３０に接続させる。以下、仮想端末１１０の接続先を業務ネットワーク１３０から治療ネットワーク１４０に変更することを「隔離」、その逆を「復旧」という。

仮想端末１１０がウィルス、ワームなどのような不正プログラムに感染した場合、端末隔離サーバ３０で動作する端末隔離部３１１が仮想端末１１０を業務ネットワーク１３０から切り離し、仮想端末１１０からこの不正プログラムを除去するために治療ネットワーク１４０に接続する。より具体的には、端末隔離部３１１は仮想端末１１０に治療ネットワーク１４０用のＩＰアドレスを新たに与え、こうすることによって仮想端末１１０のＩＰアドレスを業務ネットワーク１３０用から治療ネットワーク１４０用に変更する。

検疫管理サーバ２０は、プロセッサ２０１と記憶手段２０２と通信手段２０３とを備えるコンピュータ装置である。プロセッサ２０１では、ポリシー適合判定部２１１と、端末隔離指示部２１２と、通信制御部２１３と、プロキシサーバ部２１４と、プロキシ制御部２１５が、コンピュータプログラムとして動作する。そして記憶手段２０２には、端末情報管理データ２１６が記憶されている。

ポリシー適合判定部２１１は、端末情報収集部１２１より受け取った情報から仮想端末１１０がセキュリティポリシーに適合しているか否かを判定する。また、判定情報の端末情報管理データ２１６への登録、端末隔離指示部２１２への端末隔離／復旧指示を行なう。

端末隔離指示部２１２は、ポリシー適合判定部２１１からの端末隔離／復旧指示を受けて、以下の各々を行なう機能を持つ。
・端末隔離部３１１への仮想端末１１０のネットワーク切替指示
・通信制御部２１３への通信手段２０３の制御指示
・プロキシ制御部２１５へのプロキシサーバ部２１４の制御指示
・端末情報管理データ２１６への情報登録／参照

通信制御部２１３は、端末隔離指示部２１２からの制御指示を受けて通信手段２０３を制御し、検疫管理サーバ２０のＩＰアドレスの追加／削除を行なう。プロキシ制御部２１５は、端末隔離指示部２１２からのプロキシ制御指示を受けて、プロキシサーバ部２１４の設定変更を行なう。

端末隔離サーバ３０は、プロセッサ３０１と記憶手段３０２と通信手段３０３とを備えるコンピュータ装置である。プロセッサ３０１では、端末隔離部３１１が、コンピュータプログラムとして動作する。端末隔離部３１１は、仮想端末１１０を業務ネットワーク１３０に接続する場合には業務ネットワーク用のＩＰアドレスを、治療ネットワーク１４０に接続する場合には治療ネットワーク用のＩＰアドレスを仮想端末１１０に与え、これによって仮想端末１１０を業務ネットワーク１３０および治療ネットワーク１４０のうちのいずれかに接続させることができる。

端末隔離部３１１のＩＰアドレスを仮想端末１１０に与える動作そのものは、ＤＨＣＰサーバの動作として公知のものである。ただ、業務ネットワークおよび治療ネットワークの各々に別々のＩＰアドレスの範囲からＩＰアドレスを選択し、選択されたＩＰアドレスを各々の仮想端末に対して割り振るようにすればよい。

即ち、仮想端末１１０が業務ネットワークおよび治療ネットワークの間で接続先を変更した場合、割り振られるＩＰアドレスは端末隔離部３１１が決定し、決定したＩＰアドレスは仮想端末１１０と端末隔離指示部２１２に通知される。端末隔離指示部２１２は、端末隔離部３１１から通知されたＩＰアドレスを端末情報管理データ２１６に保存する。

図３〜４は、図１〜２に示したシンクライアント端末１１が、仮想端末１１０にアクセスする際の接続経路を示す説明図である。図３は、仮想端末１１０が業務ネットワーク１３０に接続されている場合について、図４は、仮想端末１１０が治療ネットワーク１４０に接続されている場合について、各々示している。

図３に示すように、仮想端末１１０が業務ネットワーク１３０に接続されている場合、シンクライアント端末１１は仮想端末１１０の業務ネットワーク１３０上でのＩＰアドレスを入力して、その仮想端末１１０にアクセスする。仮想端末１１０が治療ネットワーク１４０に接続されている場合、仮想端末１１０のＩＰアドレスは変更されているので、そのＩＰアドレスを入力しても仮想端末１１０には接続できない。

その場合、図４に示すように、シンクライアント端末１１から発せられたそのＩＰアドレスへの接続要求は、検疫管理サーバ２０のプロキシサーバ部２１４が受け、仮想端末１１０の治療ネットワーク１４０上でのＩＰアドレスにその接続要求の宛先を変換して改めて発するので、治療ネットワーク１４０上の仮想端末１１０がその接続要求を受けて動作することができる。

図５は、図１〜２に示した端末情報管理データ２１６のデータ構成を示す説明図である。端末情報管理データ２１６は、各々の仮想端末１１０のＭＡＣアドレス２１６ａ、適合状況２１６ｂ、業務ネットワーク用ＩＰアドレス２１６ｃ、治療ネットワーク用ＩＰアドレス２１６ｄといった各データを記憶している。適合状況２１６ｂは、その端末がセキュリティポリシーに適合しているか否かを示す２値データである（図５では適合を○、不適合を×として示している）。また、これらのデータの中で、主キーとなるのはＭＡＣアドレス２１６ａである。

（仮想端末１１０の隔離と復旧の動作）
仮想端末１１０を業務ネットワーク１３０から治療ネットワーク１４０に隔離する場合、端末隔離指示部２１２は端末隔離部３１１に隔離を指示し、その際に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃを渡す。これを受けた端末隔離部３１１は、仮想端末１１０の所属するネットワークを業務ネットワーク１３０から治療ネットワーク１４０に変更し、仮想端末１１０のＩＰアドレスを治療ネットワーク用ＩＰアドレス２１６ｄに変更する。

端末隔離指示部２１２は端末隔離部３１１から仮想端末１１０の治療ネットワーク用ＩＰアドレス２１６ｄを取得し、これを通信制御部２１３に渡す。これを受けた通信制御部２１３は、検疫管理サーバ２０に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃ宛の通信を受信するように、通信手段２０３を制御する。

端末隔離指示部２１２はプロキシ制御部２１５に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃと治療ネットワーク用ＩＰアドレス２１６ｄを渡す。これを受けたプロキシ制御部２１５は、仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃに向けて送信されたＩＰパケットを仮想端末１１０の治療ネットワーク用ＩＰアドレス２１６ｄを持つ端末に転送するように、プロキシサーバ部２１４に対して設定を行なう。

また、プロキシ制御部２１５は、仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃに向けて送信されたＩＰパケットについて、リモートアクセスを行なうためのプロトコルのみ転送されるようにプロキシサーバ部２１４に対して設定を行なう。

仮想端末１１０を治療ネットワーク１４０から業務ネットワーク１３０に復旧させる場合、端末隔離指示部２１２は通信制御部２１３に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃを渡す。これを受けた通信制御部２１３は、検疫管理サーバの通信手段２０３に付与されている仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃを削除する。

端末隔離指示部２１２は端末隔離部３１１に復旧を指示し、その際に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃと治療ネットワーク用ＩＰアドレス２１６ｄを渡す。端末隔離部３１１は仮想端末１１０の所属するネットワークを治療ネットワーク１４０から業務ネットワーク１３０に変更し、仮想端末１１０のＩＰアドレスを業務ネットワーク用ＩＰアドレス２１６ｃに変更する。

端末隔離指示部２１２はプロキシ制御部２１５に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃを渡す。これを受けたプロキシ制御部２１５は、仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃに向けて送信されたＩＰパケットを転送する設定を無効化するように、プロキシサーバ部２１４に対して設定を行なう。

（端末隔離時の動作）
図６は、図１〜２に示した検疫ネットワークシステム１で仮想端末１１０を隔離する際の動作の流れを示す説明図である。また、図７は、図６で示した動作を説明するシーケンス図である。なお、図６は、データおよび制御信号の流れを観念的に示す図である。

まず端末情報収集部１２１が、仮想端末１１０がセキュリティポリシーに適合しているか否かを判定するために必要な情報、たとえばパスワードの有効期限、パッチの適用状況、アンチウィルスの更新状況などのような情報を収集して、これをポリシー適合判定部２１１に送付する（ステップＳ４０１）。

これを受けたポリシー適合判定部２１１は、端末情報収集部１２１から受け取った端末情報から仮想端末１１０がセキュリティポリシーに適合しているか否かを判定する（ステップＳ４０２）。満たしていればそこで処理は終了する。仮想端末１１０がセキュリティポリシーに適合していない場合、ポリシー適合判定部２１１は端末情報管理データ２１６から仮想端末１１０のＭＡＣアドレスを主キーとして検索し、仮想端末１１０の適合状況２１６ｂを不適合を示す「×」に更新する。

さらにポリシー適合判定部２１１は、端末情報管理データ２１６からこの仮想端末１１０のＭＡＣアドレス２１６ａを取り出し（ステップＳ４０３）、この仮想端末１１０について適合状況２１６ｂが「×」であるとの判定情報と、取り出したＭＡＣアドレス２１６ａを端末隔離指示部２１２に通知する（ステップＳ４０４）。

これを受けた端末隔離指示部２１２は、受け取ったＭＡＣアドレス２１６ａから、端末情報管理データ２１６を参照し、仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃを取り出す（ステップＳ４０５）。そして端末隔離指示部２１２は「不適合」の判定を受けた当該仮想端末１１０を治療ネットワーク１４０に切り替えるように端末隔離部３１１に指示し、その際に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃを渡す（ステップＳ４０６）。

これを受けた端末隔離部３１１は、受け取った業務ネットワーク用ＩＰアドレス２１６ｃを持つ端末（仮想端末１１０）に治療ネットワーク用ＩＰアドレス２１６ｄを与え、この端末の所属するネットワークを業務ネットワーク１３０から治療ネットワーク１４０に切り替える（ステップＳ４０７）。

端末隔離部３１１はさらに、仮想端末１１０の治療ネットワーク用ＩＰアドレス２１６ｄを端末隔離指示部２１２に通知する（ステップＳ４０８）。これを受けた端末隔離指示部２１２は、受け取った治療ネットワークＩＰアドレス２１６ｄを端末情報管理データ２１６に登録し（ステップＳ４０９）、通信制御部２１３に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃと判定情報２１６ｂ＝「×」である旨を渡す（ステップＳ４１０）。これを受けた通信制御部２１３は通信手段２０３に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃを追加し、このＩＰアドレス宛の通信を受けられるようにする（ステップＳ４１１）。

ステップＳ４１０〜４１１と並行して、端末隔離指示部２１２は、プロキシ制御部２１５に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃと治療ネットワーク用ＩＰアドレス２１６ｄと判定情報２１６ｂ＝「×」である旨を渡す（ステップＳ４１２）。

これを受けたプロキシ制御部２１５はプロキシサーバ部２１４を制御し、仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃに向けて送信されたＩＰパケットで、リモートアクセスを行なうためのプロトコルのみを仮想端末１１０の治療ネットワーク用ＩＰアドレス２１６ｄを持つ端末に転送するように、プロキシサーバ部２１４の設定を行なう（ステップＳ４１３）。

これで、シンクライアント端末１１から仮想端末１１０にリモートアクセスしようとする場合のみ、業務ネットワーク用ＩＰアドレス２１６ｃから治療ネットワーク用ＩＰアドレス２１６ｄにＩＰパケットが転送されるので、仮想端末１１０へのリモートアクセスが可能となる。それ以外の端末やプロトコルでは仮想端末１１０へのリモートアクセスは不可能であるので、仮想端末１１０は業務ネットワーク１３０上の他のコンピュータに悪影響を及ぼさずに、セキュリティポリシーを満たすようにするためのシンクライアント端末１１からの操作が可能となる。

（端末復旧時の動作）
図８は、図１〜２に示した検疫ネットワークシステム１で隔離されていた仮想端末１１０を復旧させる際の動作の流れを示す説明図である。また、図９は、図８で示した動作を説明するシーケンス図である。なお、図８は、データおよび制御信号の流れを観念的に示す図である。

まず端末情報収集部１２１が、仮想端末１１０がセキュリティポリシーに適合しているか否かを判定するために必要な情報、たとえばパスワードの有効期限、パッチの適用状況、アンチウィルスの更新状況などのような情報を収集して、これをポリシー適合判定部２１１に送付する（ステップＳ５０１）。これを受けたポリシー適合判定部２１１は、受け取った端末情報から仮想端末１１０がセキュリティポリシーに適合しているか否かを判定する（ステップＳ５０２）。満たしていなければ、仮想端末１１０を復旧させることはできないので、そこで処理は終了する。

仮想端末１１０がセキュリティポリシーに適合している場合、ポリシー適合判定部２１１は端末情報管理データ２１６から仮想端末１１０のＭＡＣアドレスを主キーとして検索し、仮想端末１１０の適合状況２１６ｂを適合を示す「○」に更新する。さらにポリシー適合判定部２１１は、端末情報管理データ２１６からこの仮想端末１１０のＭＡＣアドレス２１６ａを取り出し（ステップＳ５０３）、この仮想端末１１０について適合状況２１６ｂが「○」であるとの判定情報と、取り出したＭＡＣアドレス２１６ａを端末隔離指示部２１２に通知する（ステップＳ５０４）。

これを受けた端末隔離指示部２１２は、受け取ったＭＡＣアドレス２１６ａから、端末情報管理データ２１６を参照し、仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃと治療ネットワーク用ＩＰアドレス２１６ｄを取り出す（ステップＳ５０５）。そして端末隔離指示部２１２は、仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃと判定情報２１６ｂ＝「○」である旨を渡す（ステップＳ５０６）。これを受けた通信制御部２１３は通信手段２０３を制御し、付与されていた仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃを削除する（ステップＳ５０７）。

ステップＳ５０６〜５０７と並行して、端末隔離指示部２１２は、「○」である判定情報２１６ｂから、仮想端末１１０を業務ネットワーク１３０に切り替えるように端末隔離部３１１に指示し、その際に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃと治療ネットワーク用ＩＰアドレス２１６ｄを渡す（ステップＳ５０８）。

これを受けた端末隔離部３１１は、受け取った治療ネットワーク用ＩＰアドレス２１６ｄを持つ端末（仮想端末１１０）のＩＰアドレスを元の業務ネットワーク用ＩＰアドレス２１６ｃに戻し、この端末の属するネットワークを治療ネットワークから業務ネットワークに切り替える（ステップＳ５０９）。

ステップＳ５０６〜５０７およびＳ５０８〜５０９とさらに並行して、端末隔離指示部２１２は、プロキシ制御部２１５に仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃと判定情報を渡す（ステップＳ５１０）。これを受けたプロキシ制御部２１５は、仮想端末１１０の業務ネットワーク用ＩＰアドレス２１６ｃに向けて送信されたＩＰパケットを転送する設定を無効化するように、プロキシサーバ部２１４に対して設定を行なう（ステップＳ５１１）。

これで、シンクライアント端末１１からは通常通りに仮想端末１１０にリモートアクセスして、仮想端末１１０に対する全ての操作が可能となる。

（第１の実施形態の全体的な動作）
次に、上記の実施形態の全体的な動作について説明する。本実施形態に係るリモートアクセス中継方法は、仮想端末管理サーバ、検疫管理サーバおよび端末隔離サーバが相互に接続され、シンクライアント端末が仮想端末管理サーバ内に仮想的に設定される仮想端末にリモートアクセスして操作することが可能な検疫ネットワークシステムにあって、仮想端末に対して端末隔離サーバの端末隔離部が第１のＩＰアドレスを与え、業務ネットワークおよび治療ネットワークを仮想端末管理サーバの仮想端末管理部が仮想的に生成すると共に仮想端末を業務ネットワークに接続し、仮想端末が予め与えられたセキュリティポリシーを満たすか否かを検疫管理サーバのポリシー適合判定部が判定し（図７・ステップＳ４０２）、仮想端末がセキュリティポリシーを満たしていない場合に、仮想端末を業務ネットワークから切り離して治療ネットワークに接続させる隔離指示を検疫管理サーバの端末隔離指示部が発し（図７・ステップＳ４０４）、隔離指示を受けて仮想端末に対して治療ネットワークに接続するための第２のＩＰアドレスを端末隔離サーバの端末隔離部が与え、仮想端末を業務ネットワークから切り離して仮想端末管理サーバの仮想端末管理部が治療ネットワークに接続し（図７・ステップＳ４０７〜４０８）、予め備えられた通信手段に第１のＩＰアドレスに対する通信を受信するよう検疫管理サーバの通信制御部が設定し（図７・ステップＳ４１０〜４１１）、第１のＩＰアドレスに対するリモートアクセス要求を第１のＩＰアドレスから第２のＩＰアドレスに転送するよう検疫管理サーバのプロキシ制御部が設定し（図７・ステップＳ４１２〜４１３）、第１のＩＰアドレスに対するリモートアクセス要求を検疫管理サーバのプロキシサーバ部が受け付けると共にこれを第２のＩＰアドレスに転送する。

ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行するコンピュータである仮想端末管理サーバ１０、検疫管理サーバ２０および端末隔離サーバ３０に実行させるようにしてもよい。
この構成および動作により、本実施形態は以下のような効果を奏する。

本実施形態によれば、仮想端末が業務ネットワークと治療ネットワークのいずれに接続されている場合でも、ユーザは業務ネットワーク上でのＩＰアドレスを知ってさえいれば、その仮想端末にアクセスして復旧に必要な操作を行って、早期に復旧を完了させることができる。その際、ユーザは仮想端末が現在業務ネットワークと治療ネットワークのいずれに接続されているかを知っていなくてもよい。また、仮想端末が治療ネットワークに接続されている場合は、リモートアクセス以外の操作はできず、かつ業務ネットワークに対して特に影響を与えることはないので、セキュリティポリシーを満たしていないコンピュータ装置が業務ネットワークに接続されることに伴う悪影響を生じさせることはない。

なお、ここではシンクライアントによる組織内ネットワークの実現方法について、仮想ＰＣ方式による実施形態を説明してきたが、これ以外のサーバベース方式やブレードＰＣ方式などでも適用できる。また、業務ネットワークおよび治療ネットワークが物理的なものであっても仮想的なものであってもよい。

これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。

上述した各々の実施形態について、その新規な技術内容の要点をまとめると、以下のようになる。なお、上記実施形態の一部または全部は、新規な技術として以下のようにまとめられるが、本発明は必ずしもこれに限定されるものではない。

（付記１） 仮想端末管理サーバ、検疫管理サーバおよび端末隔離サーバが相互に接続され、シンクライアント端末が前記仮想端末管理サーバ内に仮想的に設定される仮想端末にリモートアクセスして操作することが可能な検疫ネットワークシステムであって、
前記仮想端末管理サーバが、前記仮想端末と、前記仮想端末が接続可能なネットワークである業務ネットワークおよび治療ネットワークを仮想的に生成する仮想端末管理部を有し、
前記端末隔離サーバが、
前記仮想端末に前記業務ネットワークに接続するための第１のＩＰアドレスおよび前記治療ネットワークに接続するための第２のＩＰアドレスのうちのいずれか一方を与える端末隔離部を有し、
前記検疫管理サーバが、
前記仮想端末への前記シンクライアント端末からのリモートアクセスを中継するプロキシサーバ部と、前記仮想端末が予め与えられたセキュリティポリシーを満たすか否かを判定するポリシー適合判定部とを備えると共に、
前記仮想端末が前記セキュリティポリシーを満たしていない場合に、前記仮想端末を前記業務ネットワークから切り離して前記治療ネットワークに接続させる隔離指示を発する端末隔離指示部と、前記隔離指示を受けた場合に予め備えられた通信手段に前記第１のＩＰアドレスに対する通信を受信するよう設定する通信制御部と、前記隔離指示を受けた場合に前記第１のＩＰアドレスに対するリモートアクセス要求を前記第２のＩＰアドレスに転送するよう前記プロキシサーバ部を設定するプロキシ制御部とを有し、
前記端末隔離部が前記検疫管理サーバの前記端末隔離指示部から前記隔離指示を受けた場合に前記第２のＩＰアドレスを前記仮想端末に与えることを特徴とする検疫ネットワークシステム。

（付記２） 前記プロキシ制御部が、前記隔離指示を受けた場合に前記第１のＩＰアドレスに対するリモートアクセスを行なうためのプロトコル以外の通信を破棄するよう前記プロキシサーバ部を設定する機能を有することを特徴とする、付記１に記載の検疫ネットワークシステム。

（付記３） 前記端末隔離指示部が、前記治療ネットワークに接続されていた前記仮想端末が前記セキュリティポリシーを満たすようになった場合に、前記仮想端末を前記治療ネットワークから切り離して前記業務ネットワークに接続させる復旧指示を発する機能を有すると共に、
前記通信制御部が、前記復旧指示を受けた場合に前記通信手段の前記第１のＩＰアドレスに対する通信を受信する設定を削除する機能を有し、
前記プロキシ制御部が、前記復旧指示を受けた場合に前記第１のＩＰアドレスに対するリモートアクセス要求を前記第２のＩＰアドレスに転送する設定を削除する機能を有することを特徴とする、付記１に記載の検疫ネットワークシステム。

（付記４） 前記仮想端末管理部が、前記仮想端末に固有のＭＡＣアドレスを付与する機能を有し、
前記端末隔離指示部が、前記隔離指示を発行した場合に前記端末隔離部から前記第２のＩＰアドレスを受信し、これらを前記ＭＡＣアドレスに対応させて予め備えられた記憶手段に端末情報管理データとして記憶する機能を有することを特徴とする、付記１に記載の検疫ネットワークシステム。

（付記５） 前記仮想端末が、前記ポリシー適合判定部が前記仮想端末の前記セキュリティポリシーに対する適否を判定するために必要な情報を収集して前記ポリシー適合判定部に送信する端末情報収集部を有し、
前記ポリシー適合判定部が、前記端末情報収集部から受信した情報に基づいて前記仮想端末が前記セキュリティポリシーを満たすか否かを判定することを特徴とする、付記１に記載の検疫ネットワークシステム。

（付記６） 仮想端末管理サーバおよび端末隔離サーバと相互に接続され、シンクライアント端末の前記仮想端末管理サーバ内に仮想的に作成された仮想端末へのリモートアクセスを仲介する検疫管理サーバであって、
前記仮想端末への前記シンクライアント端末からのリモートアクセスを中継するプロキシサーバ部と、
前記仮想端末が予め与えられたセキュリティポリシーを満たすか否かを判定するポリシー適合判定部と、
前記仮想端末が予め与えられたセキュリティポリシーを満たしていない場合に、前記仮想端末を前記業務ネットワークから切り離して前記治療ネットワークに接続させる隔離指示を発する端末隔離指示部と、
前記隔離指示を受けた場合に予め備えられた通信手段に前記第１のＩＰアドレスに対する通信を受信するよう設定する通信制御部と、
前記隔離指示を受けた場合に前記仮想端末が前記業務ネットワークに接続するための第１のＩＰアドレスに対するリモートアクセス要求を前記仮想端末が前記治療ネットワークに接続するための第２のＩＰアドレスに転送するよう前記プロキシサーバ部を設定するプロキシ制御部と
を有することを特徴とする検疫管理サーバ。

（付記７） 仮想端末管理サーバ、検疫管理サーバおよび端末隔離サーバが相互に接続され、シンクライアント端末が前記仮想端末管理サーバ内に仮想的に作成された仮想端末にリモートアクセスして操作することが可能な検疫ネットワークシステムにあって、
前記仮想端末に対して前記端末隔離サーバの端末隔離部が第１のＩＰアドレスを与え、
業務ネットワークおよび治療ネットワークを前記仮想端末管理サーバの仮想端末管理部が仮想的に生成すると共に前記仮想端末を前記業務ネットワークに接続し、
前記仮想端末が予め与えられたセキュリティポリシーを満たすか否かを前記検疫管理サーバのポリシー適合判定部が判定し、
前記仮想端末が前記セキュリティポリシーを満たしていない場合に、前記仮想端末を前記業務ネットワークから切り離して前記治療ネットワークに接続させる隔離指示を前記検疫管理サーバの端末隔離指示部が発し、
前記隔離指示を受けて前記仮想端末に対して前記治療ネットワークに接続するための第２のＩＰアドレスを前記端末隔離サーバの前記端末隔離部が与え、
前記仮想端末を前記業務ネットワークから切り離して前記仮想端末管理サーバの前記仮想端末管理部が前記治療ネットワークに接続し、
予め備えられた通信手段に前記第１のＩＰアドレスに対する通信を受信するよう前記検疫管理サーバの通信制御部が設定し、
前記第１のＩＰアドレスに対するリモートアクセス要求を前記第１のＩＰアドレスから前記第２のＩＰアドレスに転送するよう前記検疫管理サーバのプロキシ制御部が設定し、
前記第１のＩＰアドレスに対するリモートアクセス要求を前記検疫管理サーバのプロキシサーバ部が受け付けると共にこれを前記第２のＩＰアドレスに転送する
ことを特徴とするリモートアクセス中継方法。

（付記８） 仮想端末管理サーバ、検疫管理サーバおよび端末隔離サーバが相互に接続され、シンクライアント端末が前記仮想端末管理サーバ内に仮想的に作成された仮想端末にリモートアクセスして操作することが可能な検疫ネットワークシステムにあって、
前記検疫管理サーバが備えるコンピュータに、
前記仮想端末が予め与えられたセキュリティポリシーを満たすか否かを判定する手順、
前記仮想端末が前記セキュリティポリシーを満たしていない場合に、前記仮想端末を前記業務ネットワークから切り離して前記治療ネットワークに接続させる隔離指示を発する手順、
予め備えられた通信手段に前記第１のＩＰアドレスに対する通信を受信するよう設定する手順、
前記第１のＩＰアドレスに対するリモートアクセス要求を前記第１のＩＰアドレスから前記第２のＩＰアドレスに転送するよう設定する手順、
および前記第１のＩＰアドレスに対するリモートアクセス要求を受け付けると共にこれを前記第２のＩＰアドレスに転送する手順
を実行させることを特徴とするリモートアクセス中継プログラム。

本発明は、仮想端末に対して検疫ネットワークシステムを適用した場合に適用可能である。特にシンクライアントによる組織内ネットワークに検疫ネットワークシステムを適用する場合に有用である。

１ 検疫ネットワークシステム
１０ 仮想端末管理サーバ
１１ シンクライアント端末
１１ａ、１３ａ、１３ｄ、１０３、２０３、３０３ 通信手段
１２ ネットワーク
１３ ハブ
２０ 検疫管理サーバ
３０ 端末隔離サーバ
１０１、２０１、３０１ プロセッサ
１０２、２０２、３０２ 記憶手段
１０５ 仮想端末管理部
１１０ 仮想端末
１１０ａ 仮想接続手段
１２１ 端末情報収集部
１３０ 業務ネットワーク
１４０ 治療ネットワーク
１４１ 治療サーバ
２１１ ポリシー適合判定部
２１２ 端末隔離指示部
２１３ 通信制御部
２１４ プロキシサーバ部
２１５ プロキシ制御部
２１６ 端末情報管理データ
２１６ａ ＭＡＣアドレス
２１６ｂ 適合状況
２１６ｃ 業務ネットワーク用ＩＰアドレス
２１６ｄ 治療ネットワーク用ＩＰアドレス
３１１ 端末隔離部

Claims (8)

1. 仮想端末管理サーバ、検疫管理サーバおよび端末隔離サーバが相互に接続され、シンクライアント端末が前記仮想端末管理サーバ内に仮想的に設定される仮想端末にリモートアクセスして操作することが可能な検疫ネットワークシステムであって、
   前記仮想端末管理サーバが、前記仮想端末と、前記仮想端末が接続可能なネットワークである業務ネットワークおよび治療ネットワークを仮想的に生成する仮想端末管理部を有し、
   前記端末隔離サーバが、
   前記仮想端末に前記業務ネットワークに接続するための第１のＩＰアドレスおよび前記治療ネットワークに接続するための第２のＩＰアドレスのうちのいずれか一方を与える端末隔離部を有し、
   前記検疫管理サーバが、
   前記仮想端末への前記シンクライアント端末からのリモートアクセスを中継するプロキシサーバ部と、前記仮想端末が予め与えられたセキュリティポリシーを満たすか否かを判定するポリシー適合判定部とを備えると共に、
   前記仮想端末が前記セキュリティポリシーを満たしていない場合に、前記仮想端末を前記業務ネットワークから切り離して前記治療ネットワークに接続させる隔離指示を発する端末隔離指示部と、前記隔離指示を受けた場合に予め備えられた通信手段に前記第１のＩＰアドレスに対する通信を受信するよう設定する通信制御部と、前記隔離指示を受けた場合に前記第１のＩＰアドレスに対するリモートアクセス要求を前記第２のＩＰアドレスに転送するよう前記プロキシサーバ部を設定するプロキシ制御部とを有し、
   前記端末隔離部が前記検疫管理サーバの前記端末隔離指示部から前記隔離指示を受けた場合に前記第２のＩＰアドレスを前記仮想端末に与えることを特徴とする検疫ネットワークシステム。
2. 前記プロキシ制御部が、前記隔離指示を受けた場合に前記第１のＩＰアドレスに対するリモートアクセスを行なうためのプロトコル以外の通信を破棄するよう前記プロキシサーバ部を設定する機能を有することを特徴とする、請求項１に記載の検疫ネットワークシステム。
3. 前記端末隔離指示部が、前記治療ネットワークに接続されていた前記仮想端末が前記セキュリティポリシーを満たすようになった場合に、前記仮想端末を前記治療ネットワークから切り離して前記業務ネットワークに接続させる復旧指示を発する機能を有すると共に、
   前記通信制御部が、前記復旧指示を受けた場合に前記通信手段の前記第１のＩＰアドレスに対する通信を受信する設定を削除する機能を有し、
   前記プロキシ制御部が、前記復旧指示を受けた場合に前記第１のＩＰアドレスに対するリモートアクセス要求を前記第２のＩＰアドレスに転送する設定を削除する機能を有することを特徴とする、請求項１に記載の検疫ネットワークシステム。
4. 前記仮想端末管理部が、前記仮想端末に固有のＭＡＣアドレスを付与する機能を有し、
   前記端末隔離指示部が、前記隔離指示を発行した場合に前記端末隔離部から前記第２のＩＰアドレスを受信し、これらを前記ＭＡＣアドレスに対応させて予め備えられた記憶手段に端末情報管理データとして記憶する機能を有することを特徴とする、請求項１に記載の検疫ネットワークシステム。
5. 前記仮想端末が、前記ポリシー適合判定部が前記仮想端末の前記セキュリティポリシーに対する適否を判定するために必要な情報を収集して前記ポリシー適合判定部に送信する端末情報収集部を有し、
   前記ポリシー適合判定部が、前記端末情報収集部から受信した情報に基づいて前記仮想端末が前記セキュリティポリシーを満たすか否かを判定することを特徴とする、請求項１に記載の検疫ネットワークシステム。
6. 仮想端末管理サーバおよび端末隔離サーバと相互に接続され、シンクライアント端末の前記仮想端末管理サーバ内に仮想的に作成された仮想端末へのリモートアクセスを仲介する検疫管理サーバであって、
   前記仮想端末への前記シンクライアント端末からのリモートアクセスを中継するプロキシサーバ部と、
   前記仮想端末が予め与えられたセキュリティポリシーを満たすか否かを判定するポリシー適合判定部と、
   前記仮想端末が予め与えられたセキュリティポリシーを満たしていない場合に、前記仮想端末を前記業務ネットワークから切り離して前記治療ネットワークに接続させる隔離指示を発する端末隔離指示部と、
   前記隔離指示を受けた場合に予め備えられた通信手段に前記第１のＩＰアドレスに対する通信を受信するよう設定する通信制御部と、
   前記隔離指示を受けた場合に前記仮想端末が前記業務ネットワークに接続するための第１のＩＰアドレスに対するリモートアクセス要求を前記仮想端末が前記治療ネットワークに接続するための第２のＩＰアドレスに転送するよう前記プロキシサーバ部を設定するプロキシ制御部と
   を有することを特徴とする検疫管理サーバ。
7. 仮想端末管理サーバ、検疫管理サーバおよび端末隔離サーバが相互に接続され、シンクライアント端末が前記仮想端末管理サーバ内に仮想的に作成された仮想端末にリモートアクセスして操作することが可能な検疫ネットワークシステムにあって、
   前記仮想端末に対して前記端末隔離サーバの端末隔離部が第１のＩＰアドレスを与え、
   業務ネットワークおよび治療ネットワークを前記仮想端末管理サーバの仮想端末管理部が仮想的に生成すると共に前記仮想端末を前記業務ネットワークに接続し、
   前記仮想端末が予め与えられたセキュリティポリシーを満たすか否かを前記検疫管理サーバのポリシー適合判定部が判定し、
   前記仮想端末が前記セキュリティポリシーを満たしていない場合に、前記仮想端末を前記業務ネットワークから切り離して前記治療ネットワークに接続させる隔離指示を前記検疫管理サーバの端末隔離指示部が発し、
   前記隔離指示を受けて前記仮想端末に対して前記治療ネットワークに接続するための第２のＩＰアドレスを前記端末隔離サーバの前記端末隔離部が与え、
   前記仮想端末を前記業務ネットワークから切り離して前記仮想端末管理サーバの前記仮想端末管理部が前記治療ネットワークに接続し、
   予め備えられた通信手段に前記第１のＩＰアドレスに対する通信を受信するよう前記検疫管理サーバの通信制御部が設定し、
   前記第１のＩＰアドレスに対するリモートアクセス要求を前記第１のＩＰアドレスから前記第２のＩＰアドレスに転送するよう前記検疫管理サーバのプロキシ制御部が設定し、
   前記第１のＩＰアドレスに対するリモートアクセス要求を前記検疫管理サーバのプロキシサーバ部が受け付けると共にこれを前記第２のＩＰアドレスに転送する
   ことを特徴とするリモートアクセス中継方法。
8. 仮想端末管理サーバ、検疫管理サーバおよび端末隔離サーバが相互に接続され、シンクライアント端末が前記仮想端末管理サーバ内に仮想的に作成された仮想端末にリモートアクセスして操作することが可能な検疫ネットワークシステムにあって、
   前記検疫管理サーバが備えるコンピュータに、
   前記仮想端末が予め与えられたセキュリティポリシーを満たすか否かを判定する手順、
   前記仮想端末が前記セキュリティポリシーを満たしていない場合に、前記仮想端末を前記業務ネットワークから切り離して前記治療ネットワークに接続させる隔離指示を発する手順、
   予め備えられた通信手段に前記第１のＩＰアドレスに対する通信を受信するよう設定する手順、
   前記第１のＩＰアドレスに対するリモートアクセス要求を前記第１のＩＰアドレスから前記第２のＩＰアドレスに転送するよう設定する手順、
   および前記第１のＩＰアドレスに対するリモートアクセス要求を受け付けると共にこれを前記第２のＩＰアドレスに転送する手順
   を実行させることを特徴とするリモートアクセス中継プログラム。

Images