JP2015082787A - クラウド環境においてセキュアなクレジットカードシステムを実現するための情報処理システムおよびファイアウォール装置 - Google Patents

Abstract

【課題】ＰＣＩ ＤＳＳに準拠したシステムの効率的な実現を支援する。【解決手段】ＤＢサーバ７４は、外部網の装置と通信すべき場合に、送信元アドレスとしてＤＢサーバ７４のアドレスを指定し、宛先アドレスとして外部網の装置のアドレスを指定したパケットを送出する。ユーザＡ−ＦＷ３２は、ＤＢサーバ７４から送出されたパケットを受信し、指定された送信元アドレスが内部セグメント７０のアドレスである場合に、当該パケットを中継サーバ６４へ転送する。中継サーバ６４は、ファイアウォールから転送されたパケットの送信元アドレスを自装置のアドレスへ変更して送出する。ユーザＡ−ＦＷ３２は、中継サーバ６４から送出されたパケットを受信し、指定された送信元アドレスがＤＭＺ６０のアドレスであって、そのパケットが所定の基準を満たす場合に、受信したパケットを外部網へ転送することを許可する。【選択図】図２

Description

本発明は、データ処理技術に関し、特に、クラウド環境においてセキュアなクレジットカードシステムを実現するための情報処理システムおよびファイアウォール装置に関する。

クレジットカードの加盟店や決済代行事業者等のサービスプロバイダにおいてクレジットカードの会員データを安全に取り扱うために、クレジットカード業界の国際セキュリティ基準として、ＰＣＩ ＤＳＳ（Payment Card Industry Data Security Standard）が策定されている。クレジットカード決済代行事業者は、事業の前提としてカード会社との包括代理契約が必要であるが、現在カード会社は、決済代行事業者のシステムがＰＣＩ ＤＳＳに準拠していることを契約の条件とすることがある。また、クレジットカードの加盟店にも、国際カードブランドや国内のクレジットカード会社等からＰＣＩ ＤＳＳへの準拠が要請されている。したがって、ＰＣＩ ＤＳＳに準拠したシステムを構築することがますます重要になってきている。

Payment Card Industry（PCI） データセキュリティ基準 要件とセキュリティ基準 バージョン２．０、[online]、２０１０年１０月、[平成２５年９月２６日検索]、インターネット <ＵＲＬ : https://ja.pcisecuritystandards.org/_onelink_/pcisecurity/en2ja/minisite/en/docs/pci_dss_v2-0.pdf>

ＰＣＩ ＤＳＳには数百項目もの要件が含まれ、ＰＣＩ ＤＳＳに準拠したシステムを実現するために、システムの構築および運用に多大なコストを要していた。

本発明は上記課題を鑑みてなされたものであり、その主な目的は、ＰＣＩ ＤＳＳに準拠したシステムを効率的に実現することを支援する技術を提供することである。

上記課題を解決するために、本発明のある態様の情報処理システムは、ファイアウォールと、外部網からの通信をファイアウォールが禁止する内部セグメントに配置された装置であって、クレジットカード情報を処理する第１装置と、外部網からの通信をファイアウォールが許可するＤＭＺに配置された第２装置と、を備える。第１装置は、外部網の装置と通信すべき場合に、送信元アドレスとして第１装置のアドレスを指定し、宛先アドレスとして外部網の装置のアドレスを指定したパケットを送出し、ファイアウォールは、第１装置から送出されたパケットを受信し、受信したパケットで指定された送信元アドレスが内部セグメントのアドレスである場合に、受信したパケットを第２装置へ転送し、第２装置は、ファイアウォールから転送されたパケットを受信し、受信したパケットで指定された送信元アドレスを第２装置のアドレスへ変更したパケットを送出し、ファイアウォールは、第２装置から送出されたパケットを受信し、受信したパケットで指定された送信元アドレスがＤＭＺのアドレスであり、かつ、受信したパケットが所定の基準を満たす場合に、受信したパケットを外部網へ転送することを許可する。

本発明の別の態様は、ファイアウォール装置である。この装置は、内部セグメントに配置されたクレジットカード情報を処理する第１装置に対する外部網からの通信を禁止する一方、ＤＭＺに配置された第２装置に対する外部網からの通信を許可する通信許否部と、第１装置から送出された、送信元アドレスとして第１装置のアドレスを指定し、宛先アドレスとして外部網の装置のアドレスを指定したパケットを受信するパケット受信部と、パケット受信部が受信したパケットで指定された送信元アドレスが内部セグメントのアドレスである場合に、当該パケットを第２装置へ転送するパケット転送部と、を備える。第２装置は、本装置が転送したパケットで指定された送信元アドレスを第２装置のアドレスへ変更したパケットを送出するものであり、パケット受信部は、第２装置から送出されたパケットを受信し、通信許否部は、パケット受信部が受信したパケットで指定された送信元アドレスがＤＭＺのアドレスであり、かつ、受信したパケットが所定の基準を満たす場合に、受信したパケットを外部網へ転送することを許可する。

なお、以上の構成要素の任意の組合せ、本発明の表現を方法、プログラム、プログラムを格納した記録媒体などの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、ＰＣＩ ＤＳＳに準拠したシステムを効率的に実現することを支援できる。

実施の形態のクラウドシステムの物理構成を示す図である。 実施の形態のクラウドシステムの論理構成を示す図である。 仮想サーバのテンプレートを示す図である。 図１のファイアウォールの機能構成を示すブロック図である。 図２の中継サーバの機能構成を示すブロック図である。 図２の作業用サーバの機能構成を示すブロック図である。 クラウドシステムにおける通信制御ポリシーを模式的に示す図である。

図１は、実施の形態のクラウドシステム１０の物理構成を示す。クラウドシステム１０は、ユーザ企業のシステムのＰＣＩ ＤＳＳ準拠を支援するクラウドサービスを提供する情報処理システムである。例えば、クラウドシステム１０は、ＰＣＩ ＤＳＳが定めるネットワーク要件を充足するよう通信を制御する。また、クラウドシステム１０は、各ユーザ企業に専用サーバのＰａａＳ（Platform as a Service）環境を提供する。そして複数のユーザ企業に、共通のファイアウォール装置等の通信装置を利用させることにより、個々のユーザ企業が負担するシステム構築コストおよびシステム運用コストを低減させる。典型的なユーザ企業はＰＣＩ ＤＳＳの準拠を要請される企業であり、例えばクレジットカードの加盟店や決済代行事業者、ＥＣサイト事業者、カード会社である。

図１は、クラウドシステム１０の物理的な網構成、ハードウェア構成を示している。クラウドシステム１０は、複数のユーザ間で共用される基盤装置として、レイヤ３スイッチ（Ｌ３スイッチ１２）と、レイヤ２スイッチ（Ｌ２スイッチ１４）と、ファイアウォール１６と、ロードバランサ１８を備える。Ｌ３スイッチ１２、Ｌ２スイッチ１４、ファイアウォール１６、ロードバランサ１８のそれぞれは、現用機と予備機の冗長構成である（予備機は不図示）。

クラウドシステム１０では、クラウドサービスを利用するユーザ企業（実施の形態ではユーザＡ、ユーザＢと呼ぶ）ごとに２台ずつ物理サーバを割り当てる。言い換えれば、ユーザが増加する都度、そのユーザ専用の２台の情報処理装置を追加する。ユーザＡに割り当てられたユーザＡサーバ２０ａ、ユーザＡサーバ２０ｂ（総称して「ユーザＡサーバ２０」と呼ぶ。）と、ユーザＢに割り当てられたユーザＢサーバ２２ａ、ユーザＢサーバ２２ｂ（総称して「ユーザＢサーバ２２」と呼ぶ。）のそれぞれはＬ２スイッチ１４に接続される。

また、ユーザＡサーバ２０、ユーザＢサーバ２２のそれぞれには、仮想化ソフトウェア（例えばＶＭＷａｒｅ（商標または登録商標））がインストールされている。ユーザＡおよびユーザＢは、１台の物理サーバ内に、ウェブサーバやアプリケーションサーバ（ＡＰサーバ）、データベースサーバ（ＤＢサーバ）等、論理的に複数台の仮想サーバを構築する。そして、複数の仮想サーバを連携させて電子商取引サイト、クレジットカード決済、カード会員情報管理、購買履歴管理・分析等の業務処理を実行させる。

また、ユーザＡ端末２４は、ユーザＡの管理者がユーザＡサーバ２０に対する操作（各種の設定作業や保守作業等）を入力する情報処理端末である。ユーザＡ端末２４は、インターネットを経由してクラウドシステム１０と接続される。また、図１には不図示だが、クラウドシステム１０全体を管理するための物理サーバであり、後述する図２のログサーバ４２、中継サーバ４４、クラウド管理サーバ５２の機能を提供する管理用サーバもＬ２スイッチ１４に接続される。

図２は、実施の形態のクラウドシステム１０の論理構成を示す。同図は、図１に示したクラウドシステム１０の論理的な網構成、機能構成を示している。以下、ＤＭＺ４０および内部セグメント５０により構成されるクラウド管理用のネットワークを「クラウド管理網」と呼ぶ。また、ＤＭＺ６０および内部セグメント７０により構成されるユーザＡ用のネットワークを「ユーザＡ網」と呼ぶ。また、ＤＭＺ８０および内部セグメント９０により構成されるユーザＢ用のネットワークを「ユーザＢ網」と呼ぶ。また、クラウド管理網にとっての外部網は、ユーザＡ網、ユーザＢ網、インターネットを含むネットワークとし、ユーザＡ網にとっての外部網は、ユーザＢ網、クラウド管理網、インターネットを含むネットワークとし、ユーザＢ網にとっての外部網は、ユーザＡ網、クラウド管理網、インターネットを含むネットワークとする。

ルートＦＷ３０は、ファイアウォール１６により実現される論理的なファイアウォールである。ルートＦＷ３０は、クラウド管理網の外部網からＤＭＺ４０への直接アクセスを許可する（例えばパケットを通過させる）一方、その外部網から内部セグメント５０への直接アクセスを禁止する（例えばパケットを廃棄する）。ユーザＡ−ＦＷ３２も、ファイアウォール１６により実現される論理的なファイアウォールである。ユーザＡ−ＦＷ３２は、ユーザＡ網の外部網からＤＭＺ６０への直接アクセスを許可する一方、その外部網から内部セグメント７０への直接アクセスを禁止する。ユーザＢ−ＦＷ３４も、ファイアウォール１６により実現される論理的なファイアウォールである。ユーザＢ−ＦＷ３４は、ユーザＢ網の外部網からＤＭＺ８０への直接アクセスを許可する一方、その外部網から内部セグメント９０への直接アクセスを禁止する。

実施の形態では、物理的に１台のファイアウォール１６を論理的に複数台のファイアウォールとして機能させるために、Ｌ２スイッチ１４のＶＬＡＮ機能を使用する。例えば、Ｌ２スイッチ１４は、ユーザＡ網から受け付けたパケットに、ユーザＡに対して予め割り当てられたＶＬＡＮ−ＩＤを付与する。また、ユーザＢ網から受け付けたパケットに、ユーザＢに対して予め割り当てられたＶＬＡＮ−ＩＤを付与する。ファイアウォール１６は、ユーザＡを示すＶＬＡＮ−ＩＤが付与されたパケットを、ユーザＡ網から送出されたパケットとして識別する。そして、ユーザＡにより予め定められたポリシーにしたがってパケットフィルタリングを実行することでユーザＡ−ＦＷ３２として機能する。同様に、ユーザＢを示すＶＬＡＮ−ＩＤが付与されたパケットを、ユーザＢ網から送出されたパケットとして識別する。そして、ユーザＢにより予め定められたポリシーにしたがってパケットフィルタリングを実行することでユーザＢ−ＦＷ３４として機能する。

ユーザＡ網にはユーザＡの業務処理を実行するシステムが構築され、ユーザＢ網にはユーザＢの業務処理を実行するシステムが構築される。図２では、プレゼンテーション層、アプリケーション層、データ層に分割した３層構成を示している。具体的には、ユーザＡ網のＤＭＺ６０には２つの仮想サーバ、すなわちウェブサーバ６２と中継サーバ６４が配置され、内部セグメント７０には４つの仮想サーバ、すなわちＡＰサーバ７２とＤＢサーバ７４とディレクトリサーバ７６と作業用サーバ７８が配置されている。ユーザＢ網のＤＭＺ８０には、ウェブサーバ８２と中継サーバ８４が配置され、内部セグメント９０には、ＡＰサーバ９２とＤＢサーバ９４とディレクトリサーバ９６と作業用サーバ９８が配置されている。

ユーザＡ網における各仮想サーバのネットワークセグメントは、ＰＣＩ ＤＳＳに則ってユーザＡが決定する。典型的には、高度なセキュリティレベルが要求されるサーバであり、例えばクレジットカード情報を用いたデータ処理を実行するＡＰサーバ７２と、クレジットカード情報や決済情報を保持するＤＢサーバ７４を内部セグメント７０に配置する。その一方、外部網の装置と直接通信をすべきサーバ、例えばウェブサーバ６２と中継サーバ６４をＤＭＺ６０に配置する。なお、ウェブサーバ６２は、電子商取引に関するウェブページを提供し、外部網からのＨＴＴＰアクセスを受け付ける。中継サーバ６４は、内部セグメント７０のサーバと外部網の装置との通信を中継する。

例えばユーザＡは、ユーザＡサーバ２０にインストールされた仮想化ソフトウェアを使用してウェブサーバ６２と中継サーバ６４を構築し、各サーバにＤＭＺ６０のＩＰアドレスを設定する。同様に、ユーザＡサーバ２０にインストールされた仮想化ソフトウェアを使用してＡＰサーバ７２とＤＢサーバ７４とディレクトリサーバ７６を構築し、各サーバに内部セグメント７０のＩＰアドレスを設定する。ユーザＢ網における各仮想サーバのネットワークセグメントも同様に、ＰＣＩ ＤＳＳに則ってユーザＢが決定する。

また、ユーザＡ網の各仮想サーバおよびネットワーク機器には、ユーザＡの管理者ごとに異なるログインアカウント、すなわちログインＩＤおよびパスワードが設定される。その一方、各仮想サーバおよびネットワーク機器へのログインアカウントは、管理者単位で共通に設定される。すなわち、ユーザＡに属するある管理者のアカウントは、他の管理者のアカウントとは異なるが、同じアカウントでユーザＡ−ＦＷ３２、ウェブサーバ６２、中継サーバ６４、ＡＰサーバ７２・・・にログインできる。

ディレクトリサーバ７６は、このようなユーザＡの管理者ごとに定められたアカウント情報であって、ユーザＡ網の各仮想サーバおよびネットワーク機器にログインするための管理者単位で共通のアカウント情報を一括して保持する。ディレクトリサーバ９６も同様であり、ユーザＢの管理者ごとに定められたアカウント情報であって、ユーザＢ網の各仮想サーバおよびネットワーク機器にログインするための管理者単位で共通のアカウント情報を一括して保持する。

また、クラウド管理網のＤＭＺ４０にはログサーバ４２と中継サーバ４４が配置され、内部セグメント５０にはクラウド管理サーバ５２が配置される。ログサーバ４２は、ユーザ網の各装置が出力したログデータを、ユーザ単位および仮想サーバ単位に逐次蓄積する機能と、蓄積したログデータをユーザの要求に応じて提供する機能を備える。

クラウド管理サーバ５２は、ユーザＡやユーザＢからの要求にしたがって、ユーザＡサーバ２０およびユーザＢサーバ２２に対する各種設定を実行する機能を備える。中継サーバ４４は、クラウドシステム１０外部の装置（例えばユーザＡ端末２４）から送信された、ユーザＡサーバ２０に仮想サーバ（例えばウェブサーバ）を構築する旨の設定要求を受け付けて、クラウド管理サーバ５２へ転送する機能を備える。

具体的には、クラウド管理サーバ５２は仮想サーバのテンプレートデータを保持する。クラウド管理サーバ５２は、中継サーバ４４を介して、テンプレート選択画面をクラウドシステム１０外部の装置（例えばユーザＡ端末２４）へ送信して表示させ、ユーザによる選択結果を取得する。なお、クラウド管理サーバ５２には、ＶＭＷａｒｅ（商標または登録商標）のクラウド管理用アプリケーションがインストールされてもよい。そして、このアプリケーションからユーザＡサーバ２０およびユーザＢサーバ２２のＶＭＷａｒｅ（商標または登録商標）へ仮想サーバの設定指示が通知されてもよい。

図３は、仮想サーバのテンプレートを示す。同図は１６種類のテンプレートを示している。例えばＩＤ「５」は、ＯＳがＷｉｎｄｏｗｓ（登録商標）で、ウェブサーバソフトウェアおよびウイルス対策ソフトウェアをインストールしたサーバを示すテンプレートである。またＩＤ「４」は、ＯＳがＬｉｎｕｘ（登録商標）で、ウイルス対策ソフトウェアをインストールしないサーバを示すテンプレートである。後者の場合、典型的には仮想サーバが構築された後に、必要なアプリケーションをユーザが適宜インストールする。図３には不図示だが、ディレクトリサーバ、ＤＮＳサーバ、中継サーバ等、他の種類のサーバを示すテンプレートがさらに含まれてよい。

ファイアウォール１６を詳細に説明する。
ファイアウォール１６は、レイヤ３〜レイヤ７に亘るパケットデータに基づいて、通信の許否を決定し、パケットの方路を制御する。例えば、ＩＰパケットに設定されたＩＰアドレス、ポート番号、ペイロードのアプリケーションデータ、およびこれらの任意の組み合わせに基づいて、パケットの通過を許可し、またはパケットの通過を禁止する。ファイアウォール１６は、レイヤ３〜レイヤ７スイッチとして機能するとも言える。

図４は、図１のファイアウォール１６の機能構成を示すブロック図である。本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵやメモリをはじめとする素子や機械装置、電子回路で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。

ファイアウォール１６は、各種データを記憶する記憶領域であるデータ保持部１００と、パケットの通過・廃棄を制御する制御部１１０を備える。データ保持部１００はポリシー保持部１０２を含む。制御部１１０は、パケット受信部１１２と、通信許否部１１４と、パケット転送部１１６と、認証部１１８と、ポリシー更新部１２０を含む。

ポリシー保持部１０２は、ユーザ（ユーザ企業）ごとの、パケットの通過または廃棄を決定するための基準となる規則（以下、「通信制御ポリシー」と呼ぶ。）を保持する。例えば、各ユーザに予め割り当てられたＶＬＡＮ−ＩＤと対応づけて各ユーザの通信制御ポリシーを保持する。通信制御ポリシーは、パケットの条件と、接続・遮断等のフィルタリング処理の内容とを対応づけて定めたものである。

実施の形態のファイアウォール１６はホワイトリスト方式である。例えばユーザＡ用の通信制御ポリシーは、送信元ＩＰアドレスとして内部セグメント７０のＩＰアドレスが指定されたパケットであり、かつ、ユーザＡにより予め定められた通過許可条件を満たすパケットを、中継サーバ６４へ転送する旨のポリシーを含む。また、送信元ＩＰアドレスとしてＤＭＺ６０のＩＰアドレスが指定されたパケットであり、かつ、ユーザＡにより予め定められた通過許可条件を満たすパケットを、その送信元ＩＰアドレスを所定のグローバルアドレスに変換した上で、その宛先ＩＰアドレスに応じてユーザＡ網外部へ転送することを許可する旨のポリシーを含む。

ユーザＢ用の通信制御ポリシーは、送信元ＩＰアドレスとして内部セグメント９０のＩＰアドレスが指定されたパケットであり、かつ、ユーザＢにより予め定められた通過許可条件を満たすパケットを、中継サーバ８４へ転送する旨のポリシーを含む。また、送信元ＩＰアドレスとしてＤＭＺ８０のＩＰアドレスが指定されたパケットであり、かつ、ユーザＢにより予め定めた通過許可条件を満たすパケットを、その送信元ＩＰアドレスを所定のグローバルアドレスに変換した上で、その宛先ＩＰアドレスに応じてユーザＢ網外部へ転送することを許可する旨のポリシーを含む。

通過許可条件は、例えば、宛先ＩＰアドレス、ポート番号、ペイロードの内容のうち少なくとも１つ、もしくはこれらの任意の組み合わせが満たすべき条件を定めたものである。具体的には、宛先ポート番号が、Ｓｙｓｌｏｇ、ＳＮＭＰ、ＳＳＨまたはＮＴＰを示す番号である場合に充足される条件を含む。また、ペイロードの内容（例えばアプリケーションデータ）が、ウイルス定義の更新ファイルの取得要求またはＯＳの更新ファイルの取得要求を示す場合に充足される条件を含む。ユーザＡ用とユーザＢ用のいずれの通信制御ポリシーにおいても、通過許可条件を充足しないパケット、例えば予め定められた宛先ポート番号以外を指定するパケットの通過を拒否する旨、例えば当該パケットを廃棄する旨を定める。

パケット受信部１１２は、Ｌ２スイッチ１４から転送されたパケットを取得する。通信許否部１１４は、ポリシー保持部１０２に保持された通信制御ポリシーにしたがって、パケット受信部１１２で受信されたパケットの通過を許可し、または廃棄し、または転送先を決定する。パケット転送部１１６は、通信許否部１１４で通過が許可されたパケットをＬ２スイッチ１４へ送出し、また、通信許否部１１４で決定された転送先宛にパケットをＬ２スイッチ１４へ送出する。後者の場合、パケット転送部１１６は、通信許否部１１４で決定された転送先装置のＭＡＣアドレスを送信先ＭＡＣアドレスとして設定したＭＡＣフレームであり、パケット受信部１１２で受信されたＩＰパケットを含むＭＡＣフレームをＬ２スイッチ１４へ送出してもよい。

ＤＭＺ６０から送出されたパケットをユーザＡ網外部へ転送する際、パケット転送部１１６は、ＮＡＴ処理を実行するアドレス変換部としても機能する。具体的には、パケット転送部１１６は、パケットの送信元ＩＰアドレスとして指定されたＤＭＺ６０のローカルアドレス（例えば中継サーバ６４のＩＰアドレス）を、外部網（インターネット等）との通信用に予め保持するグローバルアドレスへ変換する。パケット転送部１１６は、送信元ＩＰアドレスをグローバルアドレスに変換後のパケットをユーザＡ網外部へ転送する。これにより、ユーザＡ網内部の装置に対してユーザＡは任意のＩＰアドレスを付与することができる。

認証部１１８は、ユーザＡ端末２４や中継サーバ６４から送出されて、Ｌ２スイッチ１４により中継された、ログインＩＤおよびパスワードを指定したログイン要求を受信する。典型的には、パケット受信部１１２で受信され、通信許否部１１４を通過したログイン要求を取得する。認証部１１８は、ログイン要求元ユーザのネットワークセグメントを示す情報（例えばログイン要求パケットが示すＶＬＡＮ−ＩＤ）と、ログインＩＤを指定した、アカウント問い合わせのためのＬＤＡＰ電文をディレクトリサーバ７６へ送信する。認証部１１８は、ログイン要求元ユーザのパスワードをディレクトリサーバ７６から取得する。そして、ログイン要求で指定されたアカウント情報と、ディレクトリサーバ７６から取得したアカウント情報が整合し、例えば、ログインＩＤとパスワードの組み合わせが一致する場合にログインを許可する。

図４には不図示であるが、ファイアウォール１６は、認証部１１８によりログインが許可されたユーザの装置に、ファイアウォール１６を操作するためのコンソール画面のデータを送信して表示させるコンソール画面表示制御部を備えてもよい。ポリシー更新部１２０は、ユーザＡ端末２４や中継サーバ６４から送出され、Ｌ２スイッチ１４により中継された、ポリシー変更情報を受信する。例えば、ファイアウォール１６のコンソール画面に入力されたポリシー変更情報を受信する。そして、ポリシー保持部１０２に格納された通信制御ポリシーのうち、ログインユーザのネットワークセグメント（例えばログインユーザのＶＬＡＮ−ＩＤ）に対応づけられた通信制御ポリシーを、ポリシー変更情報にしたがって変更する。

次に中継サーバ６４を詳細に説明する。
中継サーバ６４は、内部セグメント７０の装置がユーザＡ網外部の装置へアクセスするための踏み台サーバ・プロキシサーバとして機能する。同様に、中継サーバ８４は、内部セグメント９０の装置がユーザＢ網外部の装置へアクセスするための踏み台サーバ・プロキシサーバとして機能する。以下、中継サーバ６４の機能を示すが中継サーバ８４も同様である。

図５は、図２の中継サーバ６４の機能構成を示すブロック図である。中継サーバ６４は、各種情報処理を実行する制御部１４０を備える。制御部１４０は、パケット受信部１４２と、パケット変換部１４４と、パケット転送部１４６を含む。

パケット受信部１４２は、Ｌ２スイッチ１４から転送されたパケットを取得する。パケット変換部１４４は、パケット受信部１４２で受け付けられたパケットのうち、送信元ＩＰアドレスが内部セグメント７０のアドレスで、かつ、宛先ＩＰアドレスがユーザＡ網の外部網の装置であるパケットを変換対象パケットとして特定する。データ保持部１３０は、この特定のためのアドレス情報、例えば、内部セグメントのＩＰアドレス体系、ＤＭＺのＩＰアドレス体系を示す情報を保持してもよい。パケット変換部１４４はこのアドレス情報を参照して、内部セグメント７０のアドレス、および、ユーザＡ網の外部網のアドレスを識別してもよい。

パケット変換部１４４は、変換対象パケットの送信元ＩＰアドレスを自装置、すなわち中継サーバ６４のＩＰアドレスに変更する。当該パケットの他のヘッダ情報およびペイロードは変更しない。パケット転送部１４６は、パケット変換部１４４により送信元ＩＰアドレスが変換されたパケットをＬ２スイッチ１４へ送信する。なお、パケット変換部１４４は、変換対象パケットのオリジナルの送信元ＩＰアドレスを記録しておく。変換対象パケットに対する外部装置からの応答パケット、すなわち宛先ＩＰアドレスが内部セグメント７０のアドレスで、送信元ＩＰアドレスがユーザＡ網の外部網の装置であるパケットが受け付けられた場合、パケット変換部１４４は、応答パケットの宛先ＩＰアドレスをオリジナルの送信元ＩＰアドレスへ変換する。そして、パケット転送部１４６は、変換後の応答パケットをＬ２スイッチ１４へ送信する。

次に作業用サーバ７８を詳細に説明する。
作業用サーバ７８は、ユーザＡ網外部の装置が内部セグメント７０の装置へアクセスするための中継サーバ・踏み台サーバ・プロキシサーバとして機能する。同様に、作業用サーバ９８は、ユーザＢ網外部の装置が内部セグメント９０の装置へアクセスするための中継サーバ・踏み台サーバ・プロキシサーバとして機能する。以下、作業用サーバ７８の機能を示すが作業用サーバ９８も同様である。

図６は、図２の作業用サーバ７８の機能構成を示すブロック図である。作業用サーバ７８は、各種データを記憶する領域であるデータ保持部１３０と、各種情報処理を実行する制御部１４７を備える。データ保持部１３０は画像保持部１３２を含む。制御部１４７は、認証部１４８と、コンソール画面表示制御部１５０と、画像記録部１５２と、コマンド受信部１５４と、コマンド実行部１５６を含む。

画像保持部１３２は、作業用サーバ７８のコンソール画面の画像データを、ログインユーザの識別情報（例えばログインユーザのリモート端末のＰＣ名とログインＩＤ）と対応づけて保持する。実施の形態で蓄積する画像データは、ユーザＡの管理者がログインしている全期間に亘るコンソール画面の表示内容と、その変遷を示す動画像データである。言い換えれば、ユーザのログイン期間に亘る中継サーバ６４に対する操作内容と、ユーザＡ網の各装置に対する操作内容を時系列に示す動画像データである。変形例として、ユーザのログイン期間中におけるコンソール画面の定期的なスナップショット、すなわち複数枚の静止画データであってもよい。

作業用サーバ７８は、ＶＰＮ（Virtual Private Network）経由でのユーザＡ端末２４からのアクセスを受け付ける。セキュリティはＶＰＮにより担保されるため、作業用サーバ７８は、予め定められたＶＰＮ以外、言い換えれば、ユーザＡ端末２４以外からのアクセスを拒否する。

認証部１４８は、ユーザＡ端末２４から送信され、ＶＰＮを介して伝送された、ログインＩＤおよびパスワードを指定したログイン要求を受信する。認証部１４８は、認証部１１８と同様に、ログイン要求元ユーザのネットワークセグメントを示す情報と、ログインＩＤを指定した、アカウント問い合わせのためのＬＤＡＰ電文をディレクトリサーバ７６へ送信する。認証部１４８は、ログイン要求元ユーザのパスワードをディレクトリサーバ７６から取得する。そして、ログイン要求で指定されたアカウント情報と、ディレクトリサーバ７６から取得したアカウント情報が整合する場合にログインを許可する。

コンソール画面表示制御部１５０は、認証部１４８によりログインが許可されたユーザＡ端末２４に、作業用サーバ７８を操作するためのＧＵＩ画面であるコンソール画面を送信して表示させる。コンソール画面は、リモートデスクトップ（Ｘ Ｗｉｎｄｏｗ ＳｙｓｔｅｍやＲｅｍｏｔｅ Ｄｅｓｋｔｏｐ Ｐｒｏｔｏｃｏｌ等）のＧＵＩ画面でもよい。変形例として、コンソール画面はＣＬＩ画面であってもよい。

画像記録部１５２は、ユーザのログイン期間中に亘るコンソール画面の表示内容を示す動画像データ、言い換えれば映像データをログインユーザの識別情報と対応づけて画像保持部１３２へ格納する。画像記録部１５２は、ユーザのログイン期間中、継続して画像保持部１３２に動画像データを蓄積させる。

コマンド受信部１５４は、ユーザＡ端末２４に表示されたコンソール画面に対する操作内容を示す情報であり、コンソール画面に対してユーザが入力した情報を含むコマンド情報をユーザＡ端末２４から取得する。コマンド実行部１５６は、コマンド受信部１５４により取得されたコマンド情報に応じて各種プログラムを実行する。ここで、コマンド情報がユーザＡ網の他の仮想サーバ（例えばＡＰサーバ７２やＤＢサーバ７４）に対する操作、また、ユーザＡ−ＦＷ３２（ファイアウォール１６）に対する操作を示す場合に、コマンド実行部１５６は、そのコマンド情報を操作対象装置へ転送する。そして、操作対象装置からの応答電文であり、コマンド実行結果を含む応答情報を取得する。

コンソール画面表示制御部１５０は、自装置もしくは他装置におけるコマンド実行結果をユーザＡ端末２４へ送信し、ユーザＡ端末２４で表示中のコンソール画面にコマンド実行結果を表示させる。画像記録部１５２は、コマンド実行結果を示すコンソール画面の画像を画像保持部１３２へ記録する。すなわち、コンソール画面表示制御部１５０は、ユーザＡ端末２４へ送信するコンソール画面のデータを画像記録部１５２にも渡し、画像保持部１３２に保存させる。

図６には不図示だが、作業用サーバ７８は、各ユーザ企業の権限を有する特定の管理者から画像提供要求を受け付けた場合に、要求元ユーザのリモート端末のＰＣ名とログインＩＤに対応づけられた画像データを提供する画像提供部をさらに備えてもよい。なお、画像データと対応づけられるユーザの識別情報は、ユーザのＯＳのＩＤであってもよく、画像提供部は、要求元ユーザのＯＳのＩＤに対応づけられた画像データを提供してもよい。また、画像データと対応づけられるユーザの識別情報は、リモート端末のＰＣ名と、ログインＩＤと、ＯＳのＩＤとの任意の組み合わせであってもよい。また、図６の認証部１４８、コンソール画面表示制御部１５０、コマンド受信部１５４、コマンド実行部１５６は、ユーザＡサーバ２０およびユーザＢサーバ２２に構築された他の仮想サーバも備える。

以上の構成によるクラウドシステム１０の動作を図１、図２を参照しつつ説明する。
まず、ユーザＡ網の内部セグメント７０の仮想サーバが発信元となり、ユーザＡ網外部の装置が宛先となる通信を行う際の動作を説明する。ここでは例として、ＤＢサーバ７４が、Ｓｙｓｌｏｇを使用して、自サーバのログデータをログサーバ４２へ格納する動作を説明する。クラウドシステム１０では、ユーザＡサーバ２０およびユーザＢサーバ２２に構築された各仮想サーバは、自サーバのログデータをクラウド管理網のログサーバ４２へ格納する。言い換えれば、ログデータの蓄積先としてログサーバ４２を共用する。これにより、各ユーザはログ管理のためのシステムコストを低減できる。

ＤＢサーバ７４は、実行中のアプリケーションがログデータを出力し、そのログデータを不揮発に保存すべきときに、そのログデータを含むログ通知パケットを送出する。ログ通知パケットでは、送信元ＩＰアドレスとしてＤＢサーバ７４のＩＰアドレスが指定され、宛先ＩＰアドレスとしてログサーバ４２のＩＰアドレスが指定され、宛先ポート番号としてＳｙｓｌｏｇの番号が指定される。Ｌ２スイッチ１４は、ユーザＡ網、ユーザＢ網、および外部網から受信したパケットを一旦ファイアウォール１６へ転送する。ここでもＬ２スイッチ１４は、内部セグメント７０と接続されたポートで受信したログ通知パケット（実際にはログ通知パケットを含むＭＡＣフレーム）に、ユーザＡを示すＶＬＡＮ−ＩＤを付与し、ログ通知パケットをファイアウォール１６へ転送する。

ファイアウォール１６は、ユーザＡを示すＶＬＡＮ−ＩＤを認識して、ユーザＡ−ＦＷ３２として動作する。すなわち、ログ通知パケットの送信元ＩＰアドレスを参照し、送信元ＩＰアドレスが内部セグメント７０のアドレスであることを識別し、ユーザＡの通信制御ポリシーにしたがってログ通知パケットを中継サーバ６４へ転送する。すなわち、ログ通知パケットの送信元ＩＰアドレスが内部セグメント７０のアドレスであり、かつ、宛先ポート番号がＳｙｓｌｏｇを示すものであるため、このパケットの通過を許可し、このパケットを中継サーバ６４へ転送する。中継サーバ６４は、ログ通知パケットの送信元ＩＰアドレスを中継サーバ６４自身のＩＰアドレスに変更し、変更後のログ通知パケットを送出する。Ｌ２スイッチ１４は、ログ通知パケットをファイアウォール１６へ転送する。

ユーザＡ−ＦＷ３２として動作するファイアウォール１６は、ログ通知パケットの送信元ＩＰアドレスがＤＭＺ６０のアドレスであり、かつ、宛先ポート番号がＳｙｓｌｏｇを示すものであるため、ユーザＡの通信制御ポリシーにしたがって、ログ通知パケットを外部網へ転送することを許可する。このとき、ユーザＡ−ＦＷ３２として動作するファイアウォール１６は、送信元ＩＰアドレスを予め用意されたグローバルアドレスに変換した上で、ログ通知パケットを外部網へ転送する。

具体的には、ユーザＡ−ＦＷ３２として動作するファイアウォール１６は、ログ通知パケットを含み、ルートＦＷ３０のＭＡＣアドレスを送信先ＭＡＣアドレスとして指定したＭＡＣフレームをＬ２スイッチ１４へ送出する。ここで指定するルートＦＷ３０のＭＡＣアドレスは、ユーザごとに予め定められた異なる複数のＭＡＣアドレスのうちユーザＡに割り当てられたＭＡＣアドレスである。なお、ルートＦＷ３０のＭＡＣアドレスは１つで、ＶＬＡＮ−ＩＤとの組み合わせにより、実質的に異なるアドレスとして認識されてもよい。Ｌ２スイッチ１４は、ログ通知パケットを含むＭＡＣフレームをファイアウォール１６へ転送し、ルートＦＷ３０として動作するファイアウォール１６は、当該ＭＡＣフレームをログサーバ４２へ転送する。ログサーバ４２は、ログ通知パケットを受信し、ログ通知パケットからログデータを抽出して、ユーザＡのＤＢサーバのログとしてストレージに保存する。

ユーザＡ網の内部セグメント７０の仮想サーバから、ウイルス定義の更新ファイルを取得し、ＯＳの更新ファイルを取得し、ＮＴＰにより時刻を同期し、ＳＮＭＰのＴＲＡＰ通知を行う場合もログの記録と同様の動作になる。なお、外部網の宛先装置から応答電文が送信される場合、Ｌ２スイッチ１４は一旦ファイアウォール１６へ応答電文を転送する。ファイアウォール１６は、送信先ＩＰアドレスをグローバルアドレスから中継サーバ６４のＩＰアドレスへ変換した上で、中継サーバ６４へ応答電文を転送する。中継サーバ６４は、応答電文の宛先ＩＰアドレス（ここでは中継サーバ６４のアドレス）を、先の変換時に記録しておいた内部セグメント７０の仮想サーバのＩＰアドレスに書き戻す。これにより、要求元の仮想サーバへ応答電文を返信する。

既述したように、ユーザＡ網の内部セグメント７０の仮想サーバからユーザＡ網外部の装置への通信を許可すべき状況が発生する。しかし、ＰＣＩ ＤＳＳの要件では、ユーザＡ網外部の装置への通信は、ユーザＡ網のＤＭＺ６０のサーバからのみに制限する必要がある。そこでクラウドシステム１０では、ＤＭＺ６０の中継サーバ６４を踏み台として使用し、宛先装置への代理アクセスを中継サーバ６４に実行させる。これにより、ＰＣＩ ＤＳＳの要件を充足しつつ、ユーザＡ網の内部セグメント７０のサーバからユーザＡ網外部の装置への通信を実現する。また、ログ記録サーバ、ウイルス定義およびＯＳの更新ファイルの取得サーバ、ＮＴＰサーバ、ＴＲＡＰ通知サーバ等をＤＭＺ６０に設ける必要がなく、システム構築および運用のコストを低減できる。すなわち、ＰＣＩ ＤＳＳに準拠したセキュリティ強度を有するシステムを効率的に実現できる。

図７は、クラウドシステム１０における通信制御ポリシーを模式的に示す。「○」はパケットの伝送を許可することを示し、「×」はパケットの伝送を禁止することを示している。これまでのシステムでは、通常、内部セグメントの装置は信用できるものと見なし、内部セグメント発、外部網宛のパケットは通過させていた。しかし、内部セグメント発、外部網宛の通信を何ら制限しないと、コンピュータウイルスへの感染や、悪意のある第三者による攻撃等により、意図しない形で内部セグメント内に保持された秘密情報が外部網へ漏洩する可能性がある。クラウドシステム１０では、内部セグメント発、外部網宛の通信を原則禁止し、中継サーバ６４を経由し、かつ、ユーザが予め定めた基準に合致するパケットのみを外部網へ伝送させることでセキュリティ強度を一層高める。

ユーザＢ網の内部セグメント９０の仮想サーバが、ユーザＢ網外部の装置へパケットを送信する際も上記同様の動作となる。Ｌ２スイッチ１４は、内部セグメント９０と接続されたポートで受信したログ通知パケットに、ユーザＢを示すＶＬＡＮ−ＩＤを付与し、ログ通知パケットをファイアウォール１６へ転送する。ファイアウォール１６は、ユーザＢを示すＶＬＡＮ−ＩＤを認識して、ユーザＢ−ＦＷ３４として動作する。すなわち、ログ通知パケットの送信元ＩＰアドレスが内部セグメント９０のアドレスである場合に、ユーザＢの通信制御ポリシーにしたがってログ通知パケットを中継サーバ８４へ転送する。中継サーバ８４は中継サーバ６４と同様に、ログ通知パケットの送信元ＩＰアドレスを中継サーバ８４自身のＩＰアドレスに変更する。

ファイアウォール１６は、ログ通知パケットの送信元ＩＰアドレスがＤＭＺ８０のアドレスであり、かつ、宛先ポート番号がＳｙｓｌｏｇを示すものであるため、ユーザＢの通信制御ポリシーにしたがって、ログ通知パケットを外部網へ転送することを許可する。このように、クラウドシステム１０では、ユーザＡサーバ２０に設けられた仮想サーバ間、もしくは仮想サーバと外部網の装置との通信と、ユーザＢサーバ２２に設けられた仮想サーバ間、もしくは仮想サーバと外部網の装置との通信のいずれでも、Ｌ３スイッチ１２、Ｌ２スイッチ１４、ファイアウォール１６、ロードバランサ１８を共用する。これにより、個々のユーザが負担すべきシステム構築および運用のコストを一層低減できる。

次に、ユーザＡ網外部の装置が発信元となり、ユーザＡ網の各装置へアクセスする際の動作を説明する。ここでは例として、ユーザＡ端末２４からユーザＡ−ＦＷ３２へログインするときの動作を説明する。この場合、クラウドシステム１０では、作業用サーバ７８を踏み台として使用する。なお、ユーザＢ網外部の装置が発信元となり、ユーザＢ網の各装置へアクセスする際も同様の動作となる。

ユーザＡの管理者は、ユーザＡ端末２４を操作して、ユーザＡ端末２４と作業用サーバ７８をＶＰＮ経由で接続させる。そして、ＶＰＮ経由で作業用サーバ７８へのログイン要求を送信させる。ＶＰＮによる接続であるため、ユーザＡ−ＦＷ３２は、ログイン要求の通過を許可する。作業用サーバ７８は、ログイン要求を受け付けると、ユーザＡの管理者のアカウント情報をディレクトリサーバ７６に問い合わせ、ディレクトリサーバ７６は、ユーザＡの管理者のアカウント情報を作業用サーバ７８へ提供する。作業用サーバ７８は、ログイン要求で指定されたアカウント情報と、ディレクトリサーバ７６から提供されたアカウント情報が整合する場合にログインを許可し、作業用サーバ７８を操作するためのコンソール画面の表示内容を示すデータをユーザＡ端末２４へ送信する。それとともに作業用サーバ７８は、コンソール画面の表示内容を示す画像データの記録を開始する。

作業用サーバ７８へのログインが許可された場合に、ユーザＡ端末２４は、作業用サーバ７８のコンソール画面をモニターに表示させる。ユーザＡの管理者は、作業用サーバ７８のコンソール画面に対して、ユーザＡ−ＦＷ３２へのログインを指示する操作を入力する。例えば、ＣＬＩのシェルを起動して、ユーザＡ−ＦＷ３２へのリモートログインを要求するＳＳＨコマンドを入力してもよい。ユーザＡ端末２４は、ユーザＡ−ＦＷ３２へのログイン要求を作業用サーバ７８へ送信し、作業用サーバ７８は、そのログイン要求をユーザＡ−ＦＷ３２へ送信する。また、作業用サーバ７８は、コンソール画面に対するユーザＡの管理者の操作内容を示す画像データを保存する。

内部セグメント７０の作業用サーバ７８が発信元であり、宛先ポート番号がＳＳＨを示すため、ユーザＡ−ＦＷ３２は、ログイン要求パケットを通過させ、ログイン要求を受け付ける。ユーザＡ−ＦＷ３２は、ユーザＡの管理者のアカウント情報をディレクトリサーバ７６に問い合わせ、ディレクトリサーバ７６は、ユーザＡの管理者のアカウント情報をユーザＡ−ＦＷ３２へ提供する。ユーザＡ−ＦＷ３２は、ログイン要求で指定されたアカウント情報と、ディレクトリサーバ７６から提供されたアカウント情報が整合する場合にログインを許可する。ユーザＡ−ＦＷ３２は、ログインを許可する場合、その旨のメッセージを作業用サーバ７８へ送信し、コマンドを受け付け可能な状態で待機する。作業用サーバ７８は、ユーザＡ−ＦＷ３２から送信されたメッセージをコンソール画面の表示データとしてユーザＡ端末２４へ送信する。それとともに作業用サーバ７８は、そのメッセージを含むコンソール画面の画像データを保存する。

以降、ユーザＡ端末２４は、ユーザＡ−ＦＷ３２に対する操作コマンドを、作業用サーバ７８を介してユーザＡ端末２４へ送信し、ユーザＡ−ＦＷ３２はその操作コマンドに応じた処理を実行する。例えば、ユーザＡ用の通信制御ポリシーの変更処理を実行する。またユーザＡ−ＦＷ３２は、操作コマンドの実行結果を示すメッセージを作業用サーバ７８へ送信する。作業用サーバ７８は、ユーザＡ−ＦＷ３２から送信されたメッセージをコンソール画面の表示データとしてユーザＡ端末２４へ送信する。それとともに作業用サーバ７８は、そのメッセージを含むコンソール画面の画像データを保存する。ユーザＡ端末２４がユーザＡ−ＦＷ３２からログアウトし、さらに作業用サーバ７８からログアウトすると、作業用サーバ７８は、コンソール画面の画像データの記録を終了する。

ユーザＡ端末２４から、ウェブサーバ６２、ＡＰサーバ７２、ＤＢサーバ７４等へログインする際の動作も同様である。例えば、作業用サーバ７８は、作業用サーバ７８のコンソール画面に入力された、ＤＢサーバ７４をログイン先に指定するログイン要求をユーザＡ端末２４から受け付けると、そのログイン要求をＤＢサーバ７４へ送信する。内部セグメント７０の作業用サーバ７８が発信元であり、宛先ポート番号がＳＳＨを示すため、ユーザＡ−ＦＷ３２は、ログイン要求を通過させる。ＤＢサーバ７４は、ユーザＡの管理者のアカウント情報をディレクトリサーバ７６に問い合わせ、ディレクトリサーバ７６は、ユーザＡの管理者のアカウント情報をＤＢサーバ７４へ提供する。ＤＢサーバ７４は、ログイン要求で指定されたアカウント情報と、ディレクトリサーバ７６から提供されたアカウント情報が整合する場合にログインを許可する。

このように、クラウドシステム１０では、ユーザのアカウント情報を、そのユーザ網のディレクトリサーバが一元管理する。これにより、ユーザアカウントの効率的な管理および保守を実現する。ユーザ網のファイアウォールおよび各仮想サーバにログインするアカウントは管理者単位で共通であるため、ユーザの負担も低減できる。また、クラウドシステム１０では、外部網の管理者端末からのアクセスを、所定のＶＰＮ経由であることを条件に作業用サーバ７８が受け付け、作業用サーバ７８を踏み台として各仮想サーバへのアクセスを許可する。このとき作業用サーバ７８は、ユーザのログイン期間中、ユーザの操作入力内容を示す画像を継続して記録する。これにより、不正操作がなされたことの証左物を残すことができる。

次に、ユーザＡサーバ２０に仮想サーバを構築する際の動作を説明する。
ユーザＡの管理者は、ユーザＡ端末２４を操作し、中継サーバ４４を踏み台にしてクラウド管理サーバ５２へログインする。クラウド管理サーバ５２は、図３に示した仮想サーバの複数種類のテンプレートを示す選択画面をユーザＡ端末２４へ提供する。ユーザＡの管理者が選択画面において特定のテンプレートを選択すると、ユーザＡ端末２４は、選択されたテンプレートを示す情報をクラウド管理サーバ５２へ送信する。クラウド管理サーバ５２は、選択されたテンプレートに対応づけられた仮想サーバの設定指示をユーザＡサーバ２０へ送信する。ユーザＡサーバ２０のＶＭＷａｒｅ（商標または登録商標）は、設定指示にしたがって、選択されたテンプレートが示す態様の仮想サーバを構築する。

これにより、仮想サーバの構築におけるユーザの負担を低減できる。ユーザは、テンプレート選択すれば仮想サーバが自動で構築されるため、あとは、構築された仮想サーバにＤＭＺもしくは内部セグメントのＩＰアドレスを付与し、適宜アプリケーションを導入すればよい。ユーザＢサーバ２２に仮想サーバを構築する際の動作も同様である。

以上、本発明を実施の形態をもとに説明した。これらの実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せによりいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。

また、請求項に記載の各構成要件が果たすべき機能は、実施の形態および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。

１６ ファイアウォール、 ６０ ＤＭＺ、 ６４ 中継サーバ、 ７０ 内部セグメント、 ７４ ＤＢサーバ、 ７６ ディレクトリサーバ、 ７８ 作業用サーバ、 １１２ パケット受信部、 １１４ 通信許否部、 １１６ パケット転送部、 １４４ パケット変換部、 １５０ コンソール画面表示制御部、 １５２ 画像記録部。

Claims (5)

1. ファイアウォールと、
   外部網からの通信を前記ファイアウォールが禁止する内部セグメントに配置された装置であって、クレジットカード情報を処理する第１装置と、
   前記外部網からの通信を前記ファイアウォールが許可するＤＭＺに配置された第２装置と、
   を備え、
   前記第１装置は、前記外部網の装置と通信すべき場合に、送信元アドレスとして前記第１装置のアドレスを指定し、宛先アドレスとして前記外部網の装置のアドレスを指定したパケットを送出し、
   前記ファイアウォールは、前記第１装置から送出されたパケットを受信し、受信したパケットで指定された送信元アドレスが前記内部セグメントのアドレスである場合に、前記受信したパケットを前記第２装置へ転送し、
   前記第２装置は、前記ファイアウォールから転送されたパケットを受信し、受信したパケットで指定された送信元アドレスを前記第２装置のアドレスへ変更したパケットを送出し、
   前記ファイアウォールは、前記第２装置から送出されたパケットを受信し、受信したパケットで指定された送信元アドレスが前記ＤＭＺのアドレスであり、かつ、受信したパケットが所定の基準を満たす場合に、受信したパケットを前記外部網へ転送することを許可することを特徴とする情報処理システム。
2. 前記ファイアウォールは、第１ユーザの内部セグメントに配置された第１ユーザの第１装置から送出された前記外部網の装置宛のパケットと、第２ユーザの内部セグメントに配置された第２ユーザの第１装置から送出された前記外部網の装置宛のパケットの両方を受信し、前者のパケットを第１のユーザのＤＭＺに配置された第１ユーザの第２装置へ転送する一方、後者のパケットを第２のユーザのＤＭＺに配置された第２ユーザの第２装置へ転送し、
   前記第１ユーザの第２装置と前記第２ユーザの第２装置のそれぞれは、前記ファイアウォールから転送されたパケットを受信し、受信したパケットで指定された送信元アドレスを自装置のアドレスへ変更したパケットを送出し、
   前記ファイアウォールは、前記第１のユーザの第２装置から送出されたパケットと、前記第２ユーザの第２装置から送出されたパケットの両方を受信し、前者のパケットで指定された送信元アドレスが前記第１ユーザのＤＭＺのアドレスであり、かつ、第１ユーザによって予め定められた基準を前者のパケットが満たす場合に、前者のパケットを前記外部網へ転送することを許可する一方、後者のパケットで指定された送信元アドレスが前記第２ユーザのＤＭＺのアドレスであり、かつ、第２ユーザによって予め定められた基準を後者のパケットが満たす場合に、後者のパケットを前記外部網へ転送することを許可することを特徴とする請求項１に記載の情報処理システム。
3. 管理者ごとに定められたアカウントの情報であって、前記ファイアウォール、前記第１装置、前記第２装置にログインするための管理者単位で共通のアカウント情報を一括して保持するディレクトリサーバをさらに備え、
   前記ファイアウォール、前記第１装置、前記第２装置のそれぞれは、ログイン要求を受け付けた場合に、前記ログイン要求で指定されたアカウント情報と、前記ディレクトリサーバに保持されたアカウント情報とが整合するか否かにもとづいてログインの許否を決定することを特徴とする請求項１または２に記載の情報処理システム。
4. 前記外部網の装置から管理者のログインを受け付け、本装置を操作するためのコンソール画面を前記外部網の装置へ送信して表示させる第３装置をさらに備え、
   前記第３装置は、前記コンソール画面に対する管理者の操作を示すデータを前記外部網の装置から受け付け、前記操作が前記ファイアウォールまたは前記第１装置に対する指示を示す場合に、その指示を前記ファイアウォールまたは前記第１装置へ通知し、前記ファイアウォールまたは前記第１装置の応答結果を前記外部網の装置へ送信して表示させ、
   前記第３装置は、管理者のログイン期間中に亘る前記コンソール画面の画像データを所定の記憶装置に保存することを特徴とする請求項１から３のいずれかに記載の情報処理システム。
5. 内部セグメントに配置されたクレジットカード情報を処理する第１装置に対する外部網からの通信を禁止する一方、ＤＭＺに配置された第２装置に対する前記外部網からの通信を許可する通信許否部と、
   前記第１装置から送出された、送信元アドレスとして前記第１装置のアドレスを指定し、宛先アドレスとして前記外部網の装置のアドレスを指定したパケットを受信するパケット受信部と、
   前記パケット受信部が受信したパケットで指定された送信元アドレスが前記内部セグメントのアドレスである場合に、当該パケットを前記第２装置へ転送するパケット転送部と、
   を備え、
   前記第２装置は、本装置が転送したパケットで指定された送信元アドレスを前記第２装置のアドレスへ変更したパケットを送出するものであり、
   前記パケット受信部は、前記第２装置から送出されたパケットを受信し、
   前記通信許否部は、前記パケット受信部が受信したパケットで指定された送信元アドレスが前記ＤＭＺのアドレスであり、かつ、受信したパケットが所定の基準を満たす場合に、受信したパケットを前記外部網へ転送することを許可することを特徴とするファイアウォール装置。

Images