JP2012064007A - 情報処理装置、通信中継方法およびプログラム - Google Patents

Abstract

【課題】端末からサーバに接続して作業を行うシステムにおいて、ログの改ざんを防止することを課題とする。
【解決手段】アクセスゲートウェイ１０に、端末９からサーバ３の指定を受け付けるサーバ指定受付部２３と、受け付けられた指定のサーバ３に接続するサーバ接続部２５と、接続された指定のサーバ３に対する端末９からの通信をサーバ３に代わって受信し、サーバ３からの通信をサーバ３に代わって端末９へ送信するサーバ代理部２６と、サーバ代理部２６によって受信された端末９からの通信を端末９に代わってサーバ３へ送信し、サーバ代理部２６によって送信されるサーバ３からの端末９への通信を端末９に代わって受信する、端末代理部２７と、サーバ代理部２６および端末代理部２７によって中継される、端末９とサーバ３との間の通信の内容を、少なくとも端末９からのアクセスが制限される記憶領域に蓄積する蓄積部２８と、を備えた。
【選択図】図２

Description

本発明は、通信中継方法に関する。

従来、推薦サイトがユーザＰＣに対して中継装置のＵＲＬを通知することで、ユーザＰＣから商用サイトへのアクセスを中継装置に中継させ、ユーザＰＣと商用サイトとの間の通信状況を中継装置が保存する、オンライン広告システムがある（特許文献１を参照）。

特開２００６−２１５９５６号公報

従来、クライアント端末からサーバに接続して作業を行うシステムにおいて、クライアント端末で作業者のオペレーションを自動的にロギングすることが行われている。しかし、例えば自動ロギングをクライアント端末において行った場合、保存されたログは作業者等によって改ざんされるおそれがある。

本発明は、上記した問題に鑑み、端末からサーバに接続して作業を行うシステムにおいて、ログの改ざんを防止することを課題とする。

本発明では、上記課題を解決するために、以下の手段を採用した。即ち、本発明は、端末に対してサービスを提供するサーバに接続される情報処理装置であって、前記端末から、サービスの提供を受けたいサーバの指定を受け付けるサーバ指定受付手段と、前記サーバ指定受付手段によって受け付けられた指定のサーバに接続するサーバ接続手段と、前記サーバ接続手段によって接続された前記指定のサーバに対する前記端末からの通信を該サーバに代わって受信し、該サーバからの通信を該サーバに代わって該端末へ送信するサーバ代理手段と、前記サーバ代理手段によって受信された前記端末からの通信を該端末に代わって前記サーバへ送信し、前記サーバ代理手段によって送信される該サーバからの該端末への通信を該端末に代わって受信する、端末代理手段と、前記サーバ代理手段および前記端末代理手段によって中継される、前記端末と前記サーバとの間の通信の内容を、少なくとも前記端末からのアクセスが制限される記憶領域に蓄積する蓄積手段と、を備える情報処理装置である。

即ち、本発明に係る情報処理装置は、サーバ代理手段および端末代理手段を備えることで、端末とサーバとの間の通信を中継し、中継される通信を蓄積することで、端末でもサーバでもない装置における、オペレーションのログ収集を可能としている。そして、本発明では、端末とサーバとの間の通信の内容が、少なくとも端末からのアクセスが制限される記憶領域に蓄積されることで、端末からのログの改ざんを防止する。

また、本発明に係る情報処理装置は、前記端末毎または該端末を操作するユーザ毎に異なる、前記指定のサーバへの接続用情報を取得する接続用情報取得手段を更に備え、前記サーバ接続手段は、前記接続用情報取得手段によって取得された接続用情報を用いることで、前記端末または前記ユーザを代理して、前記サーバに接続してもよい。

接続用情報取得手段を更に備え、情報処理装置においてサーバへの接続用情報を取得するようにすることで、本発明によれば、情報処理装置とサーバとの間での通信に用いられる情報（例えば、ユーザ名、パスワード、暗号通信に用いられる暗号鍵等）を、端末およびユーザに対して隠蔽することが可能となり、セキュリティレベルを向上させることが出来る。また、端末における接続用情報の管理が不要となるため、ユーザの手間を軽減することが可能となる。また、接続用情報が情報処理装置において管理されるために、端末における操作ミス等による、誤ったサーバへのログイン等、オペレーションのミスを低減させることが出来る。

また、本発明に係る情報処理装置は、前記端末から送信された、前記サーバへの接続要求を受け付ける接続要求受付手段と、前記接続要求の送信元の前記端末を認証する認証手段と、を更に備え、前記サーバ指定受付手段は、前記認証手段による認証に成功した場合に、前記サーバの指定を受け付けてもよい。

接続用情報を用いる、情報処理装置によるサーバへの接続とは別に、端末から情報処理装置への接続を認証手段によって認証することで、端末と情報処理装置との間の接続と、情報処理装置とサーバとの間の接続とを、異なる手続を用いた接続とすることができる。このような互いに独立した手続によって端末と情報処理装置との間の接続と、情報処理装置とサーバとの間の接続とを行うことで、本発明によれば、端末と情報処理装置との間の接続に係るセキュリティを確保しつつ、情報処理装置とサーバとの間の接続のための接続用情報の管理の手間を軽減することが出来る。

また、本発明に係る情報処理装置は、前記サーバ代理手段によって受信された、前記サーバに対する前記端末からの通信の内容を解釈することで、該通信が、中継を制限されるべき通信であるか否かを判断する解釈手段と、前記解釈手段によって、前記通信が中継を制限されるべき通信であると判断された場合に、前記端末代理手段による前記サーバへの該通信の送信を制限する制限手段と、を更に備えてもよい。

解釈手段および制限手段を備えることで、本発明によれば、中継を制限されるべき通信の中継を制限することが可能となり、システムのセキュリティレベルを向上させることが出来る。

また、本発明に係る情報処理装置は、前記サーバ代理手段によって受信される通信を第一の鍵情報を用いて復号し、該サーバ代理手段によって送信される通信を該第一の鍵情報を用いて暗号化する、第一の暗号通信処理手段と、前記端末代理手段によって受信される通信を前記第一の鍵情報とは異なる第二の鍵情報を用いて復号し、該端末代理手段によって送信される通信を該第二の鍵情報を用いて暗号化する、第二の暗号通信処理手段と、を更に備えてもよい。

端末と情報処理装置との間の暗号化通信を処理する第一の暗号化通信処理手段と、情報処理装置とサーバとの間の暗号化通信を処理する第二の暗号化通信処理手段と、を備えることで、本発明によれば、端末による通信とサーバによる通信とを、互いに独立させることが可能となる。

更に、本発明は、方法、又はコンピュータによって実行されるプログラムとしても把握することが可能である。また、本発明は、そのようなプログラムをコンピュータその他の装置、機械等が読み取り可能な記録媒体に記録したものでもよい。ここで、コンピュータ等が読み取り可能な記録媒体とは、データやプログラム等の情報を電気的、磁気的、光学的、機械的、または化学的作用によって蓄積し、コンピュータ等から読み取ることができる記録媒体をいう。

例えば、本発明は、端末に対してサービスを提供するサーバに接続されるコンピュータが、前記端末から、サービスの提供を受けたいサーバの指定を受け付けるサーバ指定受付ステップと、前記サーバ指定受付ステップにおいて受け付けられた指定のサーバに接続するサーバ接続ステップと、前記サーバ接続ステップにおいて接続された前記指定のサーバに対する前記端末からの通信を該サーバに代わって受信し、該サーバからの通信を該サーバに代わって該端末へ送信するサーバ代理ステップと、前記サーバ代理ステップにおいて受信された前記端末からの通信を該端末に代わって前記サーバへ送信し、前記サーバ代理ステップにおいて送信される該サーバからの該端末への通信を該端末に代わって受信する、端末代理ステップと、前記サーバ代理ステップおよび前記端末代理ステップにおいて中継される、前記端末と前記サーバとの間の通信の内容を、少なくとも前記端末からのアクセスが制限される記憶領域に蓄積する蓄積ステップと、を実行する通信中継方法である。

本発明によれば、端末からサーバに接続して作業を行うシステムにおいて、ログの改ざんを防止することが可能となる。

実施形態に係る情報処理システムの構成を示す概略図である。 実施形態に係るアクセスゲートウェイの機能構成の概略を示す図である。 実施形態に係るサーバ接続処理の流れを示すシーケンス図である。 実施形態に係るログ収集処理の流れを示すシーケンス図である。 実施形態に係るサーバ接続処理の流れを示すシーケンス図である。 実施形態に係る情報処理システムの構成を示す概略図である。

以下、本発明の実施の形態について、図面に基づいて説明する。以下に説明する実施の形態は、本発明を実施する場合の一例を示すものであって、本発明を以下に説明する具体的構成に限定するものではない。本発明を実施するにあたっては、実施の形態に応じた具体的構成が適宜採用されることが好ましい。

＜システムの構成＞
図１は、本実施形態に係る情報処理システム１の構成を示す概略図である。本実施形態に係る情報処理システム１は、複数のクライアント９が接続されるネットワーク２と、クライアント９に対して種々のサービスを提供する複数のサーバ３（図にはサーバＡからＣを示す）が接続されるネットワーク４と、ネットワーク２とネットワーク４との間の通信を中継するアクセスゲートウェイ１０と、を備える。但し、ネットワークの構成は図１に示した構成に限定されない。例えば、クライアント９とサーバ３は同一のネットワークに属していてもよい。

ここで、アクセスゲートウェイ１０は、本発明の情報処理装置に相当する。但し、本発明の情報処理装置に相当する装置は、ゲートウェイとしてではなく、サーバ３へのアクセス中継用装置として、クライアント９またはサーバ３が属するネットワークや、その他のネットワークに接続されてもよい。

アクセスゲートウェイ１０は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２、ＲＡＭ（Ｒａｎｄｏｍ
Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ ａｎｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）やＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等の記憶装置１４、ＮＩＣ（Ｎｅｔｗｏ
ｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）１５等の通信ユニット、等を備えるコンピュータである。

また、サーバ３およびクライアント９は、何れも、ＣＰＵ、ＲＡＭ、ＲＯＭ、記憶装置、および通信ユニット等を備えるコンピュータである。サーバ３は、記憶装置に記録されているプログラムがＲＡＭに読み出され、ＣＰＵによって実行されることで、アクセスゲートウェイ１０を介して、業務等において必要とされる様々なサービスをクライアント９に提供するサーバとして機能する。また、クライアント９は、記憶装置に記録されているプログラムがＲＡＭに読み出され、ＣＰＵによって実行されることで、アクセスゲートウェイ１０を介してサーバ３から提供されるサービスを受ける端末として機能する。

図２は、本実施形態に係るアクセスゲートウェイ１０の機能構成の概略を示す図である。アクセスゲートウェイ１０は、記憶装置１４に記録されている通信中継用プログラムが、ＲＡＭ１３に読み出され、ＣＰＵ１１によって実行されることで、接続要求受付部２１、認証部２２、サーバ指定受付部２３、接続用情報取得部２４、サーバ接続部２５、サーバ代理部２６、端末代理部２７、蓄積部２８、解釈部２９、制限部３０、第一暗号通信処理部３１および第二暗号通信処理部３２を備える情報処理装置として機能する。なお、本実施形態では、アクセスゲートウェイ１０の備える各機能は、汎用プロセッサであるＣＰＵ１１によって実行されるが、これらの機能の一部または全部は、１または複数の専用プロセッサによって実行されてもよい。

また、アクセスゲートウェイ１０の記憶装置１４には、予めアカウント管理テーブルが記録されている。アカウント管理テーブルには、クライアント９がアクセスゲートウェイ１０に接続するためのユーザ名とパスワードの組み合わせと、アクセスゲートウェイ１０がサーバ３にログインするためのサーバ３へのログイン用アカウント（ユーザ名とパスワードの組み合わせを含む接続用情報）と、が記録される。但し、アカウント管理テーブルは、記憶装置１４上ではなく、外部データベースに保持されてもよい。なお、パスワードは、暗号化された状態で保持されるか、ハッシュ値のみ保持される等の方法を用いて、平文以外の形態で保持されることが好ましい。

＜処理の流れ＞
次に、本実施形態において実行される処理の流れを説明する。なお、以下に説明する処理では、クライアント９、アクセスゲートウェイ１０、およびサーバ３間で通信が行われるが、ここでの通信のために採用される通信プロトコルは、実施の形態に応じて適宜選択することが可能である。例えば、通信プロトコルには、ｔｅｌｎｅｔ（Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ ｎｅｔｗｏｒｋ）またはＳＳＨ（Ｓｅｃｕｒｅ ＳＨｅｌｌ）が採用されてよい。

図３は、本実施形態に係るサーバ接続処理の流れを示すシーケンス図である。本実施形態に係るサーバ接続処理は、クライアント９においてサーバ３への接続操作が行われたことや、予め設定された、サーバ３への接続時刻が到来したこと等を契機として開始される。なお、本シーケンス図に示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。

ステップＳ１０１およびステップＳ１０２では、接続要求が送受信され、クライアント９が認証される。クライアント９は、アクセスゲートウェイ１０に対して、ユーザ名およびパスワード等の、認証用の情報を含む、サーバ３への接続要求を送信する。そして、アクセスゲートウェイ１０の接続要求受付部２１は、クライアント９から送信された、サーバ３への接続要求を受け付ける（ステップＳ１０１）。接続要求が受信されると、アクセ
スゲートウェイ１０の認証部２２は、受信された接続要求に含まれる認証用の情報（ユーザ名およびパスワード等）と、予めアカウント管理テーブルに保持されているアカウント情報とを比較することで、ユーザの認証を行う（ステップＳ１０２）。

このようにして、アクセスゲートウェイ１０の認証部２２は、通信相手のクライアント９が、サーバ３への接続を中継してよいクライアント９であるか否か、またはアクセスゲートウェイ１０の管理下にあるクライアント９であるか否か、を判断することが出来る。但し、認証は省略されてもよい。アクセスゲートウェイ１０の認証部２２は、認証結果をアクセスゲートウェイ１０のサーバ指定受付部２３（ＳＳＨ受付部）へ通知する。認証が失敗した場合、アクセスゲートウェイ１０は、クライアント９からのアクセスを拒否し、クライアント９からの接続を切断する。

なお、本実施形態において、クライアント９からアクセスゲートウェイ１０への接続要求は、例えば、ＳＳＨセッションの確立要求である。この場合、アクセスゲートウェイ１０において行われるクライアント９の認証処理は、ＳＳＨのログイン処理であり、アクセスゲートウェイ１０による認証が成功すると、クライアント９とアクセスゲートウェイ１０との間でＳＳＨセッションが確立される。アクセスゲートウェイ１０による認証が成功すると、処理はステップＳ１０３へ進む。

ステップＳ１０３では、クライアント９に対して、指定サーバ入力要求が送信される。ステップＳ１０２における認証およびクライアント９とアクセスゲートウェイ１０との間でのＳＳＨセッション確立が成功した場合、アクセスゲートウェイ１０のサーバ指定受付部２３は、クライアント９に対して、クライアント９またはそのユーザがサービスの提供を受けたいと欲するサーバ３（以下、「指定サーバ３」と称する）の入力要求を送信することで、指定サーバ３を問い合わせる。指定サーバ入力要求を受信したクライアント９は、クライアント９に備えられたディスプレイ等の出力装置を介してユーザに対して指定サーバ入力要求を出力し、ユーザによる指定サーバ３の入力を受け付ける。

ステップＳ１０４およびステップＳ１０５では、サーバ指定が送受信され、サーバ接続用のアカウント情報が取得される。クライアント９は、ユーザによって入力された指定サーバ３を通知するためのサーバ指定を、アクセスゲートウェイ１０へ送信する（ステップＳ１０４）。アクセスゲートウェイ１０のサーバ指定受付部２３がサーバ指定を受信すると、アクセスゲートウェイ１０の接続用情報取得部２４は、アカウント管理テーブルから、ステップＳ１０２において認証されたユーザと、ステップＳ１０４において受信された指定サーバ３と、の組み合わせに係るログイン用アカウントを読み出すことで、指定サーバ３へのログイン用アカウント（接続用情報）を取得する（ステップＳ１０５）。

ここで取得されるログイン用アカウントは、ステップＳ１０１およびステップＳ１０２に示した処理において、クライアント９がアクセスゲートウェイ１０に接続する際に用いた認証用の情報（ユーザ名およびパスワード等）とは異なるアカウントである。即ち、本実施形態に係る情報処理システム１では、クライアント９とアクセスゲートウェイ１０との間での接続（例えば、ＳＳＨセッション）において用いられるアカウントと、アクセスゲートウェイ１０とサーバ３との間での接続（例えば、ＳＳＨセッション）において用いられるアカウントとは、異なるアカウントである。換言すれば、本実施形態に係るアクセスゲートウェイ１０は、クライアント９がサーバ３によるサービスを受けようとする際に用いるアカウントの変換機能を備えている。例えば、このようなアカウント変換機能を採用することにより、クライアント９とアクセスゲートウェイ１０との間で用いられる鍵情報と、アクセスゲートウェイ１０とサーバ３との間で用いられる鍵情報と、を異ならせることも出来る。アクセスゲートウェイ１０が、このようなアカウント変換機能を備えることによって、アクセスゲートウェイ１０とサーバ３との間での通信に用いられる情報（ユ
ーザ名、パスワード、ＳＳＨの暗号通信に用いられる暗号鍵等）を、クライアント９およびユーザに対して隠蔽することが可能となり、セキュリティが向上する。

なお、アクセスゲートウェイ１０が管理しているサーバ３へのログイン用アカウントは、ユーザに固定されずに用いられてもよい。例えば、アクセスゲートウェイ１０の接続用情報取得部２４は、ユーザに対して現時点で使用されていないログイン用アカウントを所定の順に又はランダムに取得してユーザに割り当て、ユーザによってログイン用アカウントが使用されている間、当該ログイン用アカウントが使用中である旨を記録する。

ステップＳ１０５においてログイン用アカウントの取得に失敗した場合、処理はステップＳ１０６へ進む。また、ステップＳ１０５においてログイン用アカウントの取得に成功した場合、処理はステップＳ１０７へ進む。

ステップＳ１０６では、クライアント９に対して、該当権限が無い旨の通知が行われる。アクセスゲートウェイ１０は、指定サーバ３へのログイン用アカウントの取得に失敗した場合、ログイン用アカウントの取得に失敗した旨、およびクライアント９から指定されたサーバ３へのアクセス権限をクライアント９（またはクライアント９を使用するユーザ）が有していない旨を、クライアント９に対して通知する。その後、本シーケンス図に示された処理は終了する。

ステップＳ１０７からステップＳ１０９では、指定サーバ３への接続が行われ、接続結果が通知される。指定サーバ３へのログイン用アカウントの取得に成功した場合、アクセスゲートウェイ１０のサーバ接続部２５は、ステップＳ１０５において取得されたログイン用アカウントを用いて、クライアント９を代理して、指定サーバ３に接続（ログイン）する（ステップＳ１０７）。サーバ３は、アクセスゲートウェイ１０からの接続要求を受けると、接続要求に含まれるログイン用アカウントを参照して接続の許可または不許可を決定し、接続成功または接続失敗を示す情報を送信する（ステップＳ１０８）。また、接続成功または接続失敗を示す情報は、アクセスゲートウェイ１０のサーバ代理部２６および端末代理部２７（ＳＳＨプロキシ）によって中継されて、クライアント９に到達する（ステップＳ１０９）。サーバ代理部２６および端末代理部２７による中継の方法の詳細は、図４を用いて後述する。ここで、接続成功の場合、クライアント９とアクセスゲートウェイ１０との間の接続（例えば、ＳＳＨセッション）とは異なる、アクセスゲートウェイ１０とサーバ３との間の接続（例えば、ＳＳＨセッション）が確立される。その後、本フローチャートに示された処理は終了し、その後図４に示すログ収集処理が開始される。

図４は、本実施形態に係るログ収集処理の流れを示すシーケンス図である。本実施形態に係るログ収集処理は、上記説明したサーバ接続処理が終了し、クライアント９とサーバ３との間での通信が発生したこと等を契機として開始される。ここでいうクライアント９とサーバ３との間における通信には、例えば、クライアント９から送信されるコマンドや、コマンドを受けてサーバ３から送信される処理結果等が含まれる。なお、本シーケンス図に示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。

上記サーバ接続処理において説明した通り、本実施形態では、クライアント９とアクセスゲートウェイ１０との間の接続（例えば、ＳＳＨセッション）とは異なる、アクセスゲートウェイ１０とサーバ３との間の接続（例えば、ＳＳＨセッション）が確立される。そして、本実施形態に係るログ収集処理では、アクセスゲートウェイ１０において、クライアント側プロセス（サーバ代理部２６）およびサーバ側プロセス（端末代理部２７）が実行される。アクセスゲートウェイ１０のサーバ代理部２６および端末代理部２７は、クラ
イアント９において入力および送信されたコマンドを、ステップＳ１０７で接続した指定サーバ３に転送し、また、コマンドの処理結果として指定サーバ３から送信された処理結果応答を、クライアント９に転送する。以下、サーバ代理部２６および端末代理部２７によって行われるログ収集処理の詳細について説明する。

以下に説明するログ収集処理において、クライアント９とアクセスゲートウェイ１０との間の通信は、クライアント９とアクセスゲートウェイ１０との間の接続（例えば、ＳＳＨセッション）において用いられる第一の鍵情報を用いて暗号化される。ここで、第一の鍵情報は、クライアント９とアクセスゲートウェイ１０との間の通信（例えば、ＳＳＨセッション）において用いられる鍵情報であり、予め設定されたものであってもよいし、クライアント９とアクセスゲートウェイ１０との間の接続の確立に際して新たに生成されたものであってもよい。

同様に、アクセスゲートウェイ１０とサーバ３との間の通信は、アクセスゲートウェイ１０とサーバ３との間の接続（例えば、ＳＳＨセッション）において用いられる第二の鍵情報を用いて暗号化される。ここで、第二の鍵情報は、アクセスゲートウェイ１０とサーバ３との間の通信（例えば、ＳＳＨセッション）において用いられる鍵情報であり、予め設定されたものであってもよいし、アクセスゲートウェイ１０とサーバ３との間の接続の確立に際して新たに生成されたものであってもよい。

但し、通信は必ずしも暗号化される必要はない。例えば、通信プロトコルにｔｅｌｎｅｔが採用された場合、通信は暗号化されない。暗号化付きの通信プロトコルが採用されない場合、後述する第一暗号通信処理部３１および第二暗号通信処理部３２による暗号化処理および復号処理（ステップＳ２０２、ステップＳ２０６、ステップＳ２０９およびステップＳ２１３）は省略される。

ステップＳ２０１およびステップＳ２０２では、クライアント９から送信されたコマンド等が受信および復号される。アクセスゲートウェイ１０のサーバ代理部２６は、サーバ接続部２５によって接続された指定サーバ３に対するクライアント９からの通信を、指定サーバ３に代わって受信する（ステップＳ２０１）。そして、アクセスゲートウェイ１０の第一暗号通信処理部３１は、サーバ代理部２６によって受信された通信を、第一の鍵情報を用いて復号する（ステップＳ２０２）。その後、処理はステップＳ２０３へ進む。

ステップＳ２０３では、クライアント９から送信された通信の内容（コマンド等）が蓄積（ロギング）される。アクセスゲートウェイ１０の蓄積部２８は、ステップＳ２０１およびステップＳ２０２で受信および復号された、指定サーバ３に対するクライアント９からの通信の内容（即ち、サーバ代理部２６および端末代理部２７によって中継される通信の内容）を、記憶装置１４上の、少なくともクライアント９からのアクセスが制限される記憶領域に蓄積する。より具体的には、蓄積部２８は、ステップＳ２０２で復号された通信ストリームを、変更せずにそのまま蓄積する。このような蓄積方法が採用されることで、例えば、サーバ３の処理状況（情報、警告、エラー）や、オペレーターによって入力されたコマンド、コマンドに対するサーバ３から応答、等、サーバ３の操作内容を含む全ての通信内容がロギングされる。その後、処理はステップＳ２０４へ進む。

なお、従来、通常のコマンド操作については、アクセスログにロギングすることが出来たが、データベース（例えば、ＭｙＳＱＬ等）呼び出し後のＳＱＬコマンド操作は、ロギングが困難であり、不正操作が無いことの監査が困難であった。これに対して、本実施形態によれば、データベースのアクセスログについても詳細にロギングすることが可能となったため、データベースへの不正操作防止・作業時のミスの早期発見が可能となる。

ステップＳ２０４では、コマンド等の中継の制限の要否が判断される。アクセスゲートウェイ１０の解釈部２９は、サーバ代理部２６によって受信された、指定サーバ３に対するクライアント９からの通信の内容を解釈することで、該通信が、中継を制限されるべき通信であるか否かを判断する。より具体的には、解釈部２９は、復号された通信に含まれるコマンド等を、予め保持している禁則コマンドリストと比較することで禁則コマンドを特定する方法や、クライアント９からの通信のパターン等を、予め保持している攻撃パターン定義リストと比較することで攻撃を検出する方法等を用いて、該通信が、中継を制限されるべき通信であるか否かを判断する。

ステップＳ２０４において、中継の制限が必要であると判断された場合、処理はステップＳ２０５へ進む。ステップＳ２０５では、コマンド等の中継が制限される。アクセスゲートウェイ１０の制限部３０は、ステップＳ２０４で中継の制限が必要であると判断された通信の、端末代理部２７によるサーバ３への送信を制限する。例えば、制限部３０は、端末代理部２７によるサーバ３への送信を禁止するか、または少なくとも一部を送信させないことで、中継の制限を行う。ステップＳ２０５に示された処理が終了すると、本シーケンス図に示された処理は終了する。

ステップＳ２０４において、中継の制限は不要であると判断された場合、処理はステップＳ２０６へ進む。ステップＳ２０６およびステップＳ２０７では、コマンド等が再び暗号化され、中継される。アクセスゲートウェイ１０の第二暗号通信処理部３２は、ステップＳ２０２において復号された通信を、第一の鍵情報とは異なる第二の鍵情報を用いて暗号化する（ステップＳ２０６）。

第二暗号通信処理部３２による暗号化が行われると、アクセスゲートウェイ１０の端末代理部２７は、暗号化された通信を、クライアント９に代わってサーバ３へ送信する（ステップＳ２０７）。なお、ここで送信される通信の内容は、サーバ代理部２６によって受信されたクライアント９からの通信と同一である。その後、処理はステップＳ２０８へ進む。

ステップＳ２０８からステップＳ２１０では、サーバ３から送信された処理結果等が受信、復号され、更に蓄積（ロギング）される。サーバ３は、ステップＳ２０１においてクライアント９から送信され、ステップＳ２０８においてアクセスゲートウェイ１０によって中継された通信（例えば、コマンド）等を受信すると、受信されたコマンドに従った処理を実行し、コマンド等の発行元クライアント９への処理結果を、アクセスゲートウェイ１０とサーバ３との間で確立されたＳＳＨセッションを介して、アクセスゲートウェイ１０宛に送信する。アクセスゲートウェイ１０の端末代理部２７は、サーバ３からのクライアント９への通信をクライアント９に代わって受信する（ステップＳ２０８）。

そして、アクセスゲートウェイ１０の第二暗号通信処理部３２は、端末代理部２７によって受信された通信を、第二の鍵情報を用いて復号する（ステップＳ２０９）。アクセスゲートウェイ１０の蓄積部２８は、ステップＳ２０８およびステップＳ２０９で受信および復号された、クライアント９に対するサーバ３からの通信の内容（即ち、サーバ代理部２６および端末代理部２７によって中継される通信の内容）を、少なくともクライアント９からのアクセスが制限される記憶領域に蓄積する（ステップＳ２１０）。蓄積される具体的な情報は、ステップＳ２０３において説明したものと概略同様であるため、説明を省略する。その後、処理はステップＳ２１１へ進む。但し、ステップＳ２１１およびステップＳ２１２に示す処理は、下りトラフィックの制限を行う処理であるため、付加的な機能として実行されることとしもよいし、当該処理を実行するための機能自体実装されなくてもよい。ステップＳ２１１およびステップＳ２１２に示す処理が省略される場合には、ステップＳ２１０の処理が終了すると、処理はステップＳ２１３へ進む。

ステップＳ２１１およびステップＳ２１２では、処理結果等の中継の制限の要否が判断され、中継を制限すべきと判断された場合には、処理結果等の中継が制限される。アクセスゲートウェイ１０の解釈部２９は、端末代理部２７によって受信された、クライアント９に対するサーバ３からの通信の内容を解釈することで、該通信が、中継を制限されるべき通信であるか否かを判断する（ステップＳ２１１）。そして、アクセスゲートウェイ１０の制限部３０は、ステップＳ２１１で中継の制限が必要であると判断された通信の、サーバ代理部２６によるクライアント９への送信を制限する（ステップＳ２１２）。具体的な判断および制限の処理内容は、ステップＳ２０４およびステップＳ２０５において説明したものと概略同様であるため、説明を省略する。ステップＳ２１２に示された処理が終了すると、本シーケンス図に示された処理は終了する。また、ステップＳ２１１において中継の制限は不要であると判断された場合、処理はステップＳ２１３へ進む。

ステップＳ２１３およびステップＳ２１４では、処理結果等が再び暗号化され、中継される。アクセスゲートウェイ１０の第一暗号通信処理部３１は、ステップＳ２０９において復号された通信を、第一の鍵情報を用いて暗号化する（ステップＳ２１３）。第一暗号通信処理部３１による暗号化が行われると、アクセスゲートウェイ１０のサーバ代理部２６は、暗号化された通信を、サーバ３に代わってクライアント９へ送信する（ステップＳ２１４）。なお、ここで送信される通信の内容は、端末代理部２７によって受信されたサーバ３からの通信と同一である。その後、本シーケンス図に示された処理は終了する。

本シーケンス図に示された処理によれば、通信ストリームの生ログ（例えば、パケット自体）が蓄積されるため、その後パケットを組立てる等の方法で、ユーザ毎、サーバ３毎のログを採集することが出来る。

なお、本実施形態では、クライアント９とアクセスゲートウェイ１０との間の通信プロトコル、およびアクセスゲートウェイ１０とサーバ３との間の通信プロトコルとして、何れもＳＳＨが採用された場合について説明したが、中継される通信プロトコルには、その他の通信プロトコルが採用されてもよい。例えば、アクセスゲートウェイ１０は、ｔｅｌｎｅｔ、ＦＴＰ（Ｆｉｌｅ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）、ＨＴＴＰ（ＨｙｐｅｒＴｅｘｔ Ｔｒａｎｓｆｅｒ Ｐｒｏｔｏｃｏｌ）等を中継してもよい。

また、クライアント９とアクセスゲートウェイ１０との間の通信プロトコルと、アクセスゲートウェイ１０とサーバ３との間の通信プロトコルとを、異なるプロトコルとしてもよい。但し、クライアント９−アクセスゲートウェイ１０間と、アクセスゲートウェイ１０−サーバ３間とで異なるプロトコルを採用する場合には、アクセスゲートウェイ１０は、送受信されるコマンドやデータを翻訳する手段を備えることが好ましい。プロトコルの翻訳は、翻訳対象となる複数のプロトコル間での、対応するコマンドやデータ形式の対応テーブルを参照することで行うことが出来る。

また、アクセスゲートウェイ１０は、クライアント９に対して、限定された所定のポートのみを開放することとしてもよい。例えば、アクセスゲートウェイ１０は、２２番ポートおよび２３番ポートのみを開放する。このようにすることで、サービスの提供に用いられるサーバ３の種類や数に拘らず、クライアント９からの接続先ポートを限定することが出来、情報処理システム１のセキュリティを向上させることが出来る。また、クライアント９が何れのサーバ３に接続したい場合であっても、クライアント９から接続すべきポート番号が限られているため、ユーザによるオペレーションの負担を軽減することが出来る。

＜サーバ接続処理のバリエーション＞
図５は、本実施形態に係るサーバ接続処理の流れを示すシーケンス図である。本実施形態に係るサーバ接続処理は、上記説明した情報処理システム１において、クライアント９においてサーバ３への接続操作が行われたことや、予め設定された、サーバ３への接続時刻が到来したこと等を契機として開始される。図３を用いて説明した、予め登録されたユーザ名とパスワードを利用して宛先サーバ３へ認証する認証方式（固定ユーザ認証方式）と異なり、図５に示すサーバ接続処理では、認証プロンプトをクライアント９のディスプレイに表示し、ユーザ名とパスワードをユーザに入力させる認証方式（ユーザ入力認証方式）が採用されている。ユーザ入力認証方式を採用した場合、アクセスゲートウェイ１０における接続用情報の管理が不要となる。

以下、ユーザ入力認証方式を用いたサーバ接続処理の一例について説明する。なお、本シーケンス図に示された処理の具体的な内容および処理順序は、本発明を実施するための一例である。具体的な処理内容および処理順序は、本発明の実施の形態に応じて適宜選択されてよい。

ステップＳ３０１からステップＳ３０４に示す処理は、図３を用いて説明したステップＳ１０１からステップＳ１０４の処理と概略同様であるため、説明を省略する。アクセスゲートウェイ１０のサーバ指定受付部２３がサーバ指定を受信すると、処理はステップＳ３０５へ進む。

ステップＳ３０５からステップＳ３０７では、指定サーバ３への接続が行われ、接続結果が通知される。アクセスゲートウェイ１０のサーバ接続部２５は、クライアント９を代理して、ステップＳ３０４において指定された指定サーバ３に接続する（ステップＳ３０５）。サーバ３は、アクセスゲートウェイ１０に係る情報、および／またはアクセスゲートウェイ１０によって通知されたクライアント９の情報（例えば、ＩＰアドレス等）を参照し、これらの情報と予め設定されている基準とを比較することで接続の許可または不許可を決定する。サーバ３は、接続を不許可とする場合には、接続失敗を示す通知をアクセスゲートウェイ１０へ送信する（ステップＳ３０６）。

なお、ステップＳ３０５においてアクセスゲートウェイ１０からサーバ３に対して送信される接続要求には、ログインに必要な接続用情報は含まれない。このため、サーバ３は、アクセスゲートウェイ１０からの接続要求を受信し、接続の許可を決定すると、アクセスゲートウェイ１０に対して認証プロンプトを送信することで、ログインのための接続用情報（ユーザ名およびパスワード）を要求する（ステップＳ３０６）。アクセスゲートウェイ１０の端末代理部２７が、サーバ３から送信された接続用情報の要求（認証プロンプト）を受信すると（ステップＳ３０６）、アクセスゲートウェイ１０のサーバ代理部２６は、認証プロンプトをクライアント９へ送信することで、接続用情報の要求を中継する（ステップＳ３０７）。即ち、ステップＳ３０６およびステップＳ３０７では、アクセスゲートウェイ１０による中継によって、サーバ３からクライアント９に対して、認証プロンプトが発行される。その後、処理はステップＳ３０８へ進む。

ステップＳ３０８からステップＳ３１１では、クライアント９からサーバ３への認証用の情報が中継され、また、サーバ３からクライアント９への認証結果が中継される。クライアント９によって表示された認証プロンプトを見たユーザは、認証プロンプトに応じて、サーバログイン用のユーザ名およびパスワードを入力する。入力された情報は、クライアント９によって認証要求としてアクセスゲートウェイ１０宛に送信される（ステップＳ３０８）。認証要求は、アクセスゲートウェイ１０のサーバ代理部２６および端末代理部２７によって中継されて、サーバ３に到達する（ステップＳ３０９）。

サーバ３は、アクセスゲートウェイ１０からの認証要求を受けると、認証要求に含まれ
るログイン用アカウントを参照して接続の許可または不許可を決定し、認証成功または認証失敗を示す情報を送信する（ステップＳ３１０）。また、認証成功または認証失敗を示す情報は、アクセスゲートウェイ１０のサーバ代理部２６および端末代理部２７によって中継されて、クライアント９に到達する（ステップＳ３１１）。ここで、認証成功の場合、クライアント９とアクセスゲートウェイ１０との間の接続（例えば、ＳＳＨセッション）とは異なる、アクセスゲートウェイ１０とサーバ３との間の接続（例えば、ＳＳＨセッション）が確立される。その後、本フローチャートに示された処理は終了し、その後図４に示すログ収集処理が開始される。

＜ネットワーク構成のバリエーション＞
図６は、本実施形態に係る情報処理システム１ｂの構成を示す概略図である。本実施形態に係る情報処理システム１ｂは、図１を用いて説明した情報処理システム１と同様、複数のクライアント９が接続されるネットワーク２と、クライアント９に対して種々のサービスを提供する複数のサーバ３が接続されるネットワーク４と、を備える。但し、図１を用いて説明した情報処理システム１では、ネットワーク２とネットワーク４との間の通信を中継するための情報処理装置として、アクセスゲートウェイ１０を用いたのに対して、情報処理システム１ｂでは、ネットワーク２に設置されるアクセスサーバ１０ｂを用いる。図６に示した構成によれば、ネットワーク２において、クライアント９が直接ネットワーク４等の外部ネットワークと通信することを制限し、クライアント９がサーバ３と通信するには、アクセスサーバ１０ｂを介さなければサーバ３と通信できないようにすることで、情報処理システム１ｂのセキュリティを向上させることが出来る。

なお、情報処理システム１ｂは、情報処理システム１と比較して、ネットワークにおけるアクセスサーバ１０ｂの接続形態が異なるのみであり、アクセスサーバ１０ｂが有する機能（図２を参照）や、アクセスサーバ１０ｂによって実行される処理（サーバ接続処理およびログ収集処理）等の内容は、図２から図５を用いて説明したアクセスゲートウェイ１０と概略同様であるため、説明を省略する。

＜効果＞
上記実施形態に係る情報処理システム１、１ｂでは、クライアント９と指定サーバ３間の通信を中継しながら、クライアント９と指定サーバ３間の通信をログとして自動的に採取し、監査に提出するまでの期間はログを閲覧できないようにしている。本実施形態に係る情報処理システム１、１ｂによれば、ログが採取されてから監査に提出されるまでの期間に、ログが改ざんされるリスクを解消することが出来る。また、本実施形態に係る情報処理システム１、１ｂによれば、該システムを経由して各サーバ３へログインするため、アカウント管理が集約され、アカウント管理等のメンテナンス作業の負荷が軽減される。

１、１ｂ 情報処理システム
３ サーバ
９ クライアント（端末）
１０ アクセスゲートウェイ
１０ｂ アクセスサーバ

Claims (7)

1. 端末に対してサービスを提供するサーバに接続される情報処理装置であって、
   前記端末から、サービスの提供を受けたいサーバの指定を受け付けるサーバ指定受付手段と、
   前記サーバ指定受付手段によって受け付けられた指定のサーバに接続するサーバ接続手段と、
   前記サーバ接続手段によって接続された前記指定のサーバに対する前記端末からの通信を該サーバに代わって受信し、該サーバからの通信を該サーバに代わって該端末へ送信するサーバ代理手段と、
   前記サーバ代理手段によって受信された前記端末からの通信を該端末に代わって前記サーバへ送信し、前記サーバ代理手段によって送信される該サーバからの該端末への通信を該端末に代わって受信する、端末代理手段と、
   前記サーバ代理手段および前記端末代理手段によって中継される、前記端末と前記サーバとの間の通信の内容を、少なくとも前記端末からのアクセスが制限される記憶領域に蓄積する蓄積手段と、
   を備える情報処理装置。
2. 前記端末毎または該端末を操作するユーザ毎に異なる、前記指定のサーバへの接続用情報を取得する接続用情報取得手段を更に備え、
   前記サーバ接続手段は、前記接続用情報取得手段によって取得された接続用情報を用いることで、前記端末または前記ユーザを代理して、前記サーバに接続する、
   請求項１に記載の情報処理装置。
3. 前記端末から送信された、前記サーバへの接続要求を受け付ける接続要求受付手段と、
   前記接続要求の送信元の前記端末を認証する認証手段と、を更に備え、
   前記サーバ指定受付手段は、前記認証手段による認証に成功した場合に、前記サーバの指定を受け付ける、
   請求項１または２に記載の情報処理装置。
4. 前記サーバ代理手段によって受信された、前記サーバに対する前記端末からの通信の内容を解釈することで、該通信が、中継を制限されるべき通信であるか否かを判断する解釈手段と、
   前記解釈手段によって、前記通信が中継を制限されるべき通信であると判断された場合に、前記端末代理手段による前記サーバへの該通信の送信を制限する制限手段と、
   を更に備える請求項１から３の何れか一項に記載の情報処理装置。
5. 前記サーバ代理手段によって受信される通信を第一の鍵情報を用いて復号し、該サーバ代理手段によって送信される通信を該第一の鍵情報を用いて暗号化する、第一の暗号通信処理手段と、
   前記端末代理手段によって受信される通信を前記第一の鍵情報とは異なる第二の鍵情報を用いて復号し、該端末代理手段によって送信される通信を該第二の鍵情報を用いて暗号化する、第二の暗号通信処理手段と、
   を更に備える請求項１から４の何れか一項に記載の情報処理装置。
6. 端末に対してサービスを提供するサーバに接続されるコンピュータが、
   前記端末から、サービスの提供を受けたいサーバの指定を受け付けるサーバ指定受付ステップと、
   前記サーバ指定受付ステップにおいて受け付けられた指定のサーバに接続するサーバ接続ステップと、
   前記サーバ接続ステップにおいて接続された前記指定のサーバに対する前記端末からの通信を該サーバに代わって受信し、該サーバからの通信を該サーバに代わって該端末へ送信するサーバ代理ステップと、
   前記サーバ代理ステップにおいて受信された前記端末からの通信を該端末に代わって前記サーバへ送信し、前記サーバ代理ステップにおいて送信される該サーバからの該端末への通信を該端末に代わって受信する、端末代理ステップと、
   前記サーバ代理ステップおよび前記端末代理ステップにおいて中継される、前記端末と前記サーバとの間の通信の内容を、少なくとも前記端末からのアクセスが制限される記憶領域に蓄積する蓄積ステップと、
   を実行する通信中継方法。
7. 端末に対してサービスを提供するサーバに接続されるコンピュータに、
   前記端末から、サービスの提供を受けたいサーバの指定を受け付けるサーバ指定受付ステップと、
   前記サーバ指定受付ステップにおいて受け付けられた指定のサーバに接続するサーバ接続ステップと、
   前記サーバ接続ステップにおいて接続された前記指定のサーバに対する前記端末からの通信を該サーバに代わって受信し、該サーバからの通信を該サーバに代わって該端末へ送信するサーバ代理ステップと、
   前記サーバ代理ステップにおいて受信された前記端末からの通信を該端末に代わって前記サーバへ送信し、前記サーバ代理ステップにおいて送信される該サーバからの該端末への通信を該端末に代わって受信する、端末代理ステップと、
   前記サーバ代理ステップおよび前記端末代理ステップにおいて中継される、前記端末と前記サーバとの間の通信の内容を、少なくとも前記端末からのアクセスが制限される記憶領域に蓄積する蓄積ステップと、
   を実行させるための通信中継用プログラム。

Images