JP7142664B2 - 情報処理装置、情報処理方法、及び情報処理プログラム - Google Patents

Description

本発明の実施形態は、情報処理装置、情報処理方法、及び情報処理プログラムに関する。

企業や団体の内部ネットワークに配置された複数のクライアント端末が、インターネットへアクセスする際、クライアント端末の代わりにアクセスを代理実行する情報処理装置（プロキシサーバ）が広く用いられている。情報処理装置を用いてクライアント端末のインターネットへのアクセスを制御することで、クライアント端末がアクセスした際に、マルウェアなどをダウンロードさせるような悪性（有害）なサイトへのアクセスを未然に防止することが可能となり、内部ネットワークのセキュリティを高めることができる。

従来では、マルウェアなどのプログラムをダウンロードさせる、またはフィッシングサイトなどの悪性サイトを情報処理装置において予め保存しておき、クライアント端末からインターネットへのアクセスがあった際に、保存された悪性サイトに一致しないＵＲＬへのアクセスのみを許可するアクセス制御の技術が開示されている。

また、インターネットへアクセスした場合にクライアント端末にとって無害となる良性のＵＲＬを情報処理装置において複数登録しておき、クライアント端末が良性のＵＲＬにアクセスした場合にのみアクセスを許可する制御方法もある。この制御方法のように、良性と判明しているサイトのみにクライアント端末をアクセスさせるものであれば、日々生成される悪性のＵＲＬに対してクライアント端末がアクセスするリスクを未然に予防できる。

特開２０１４－１７９０２５号公報

しかしながら、社内ネットワーク内のクライアント端末が万が一マルウェアに感染してしまった場合、悪意のプログラムによってユーザが知らないうちに外部の第三者サーバとの接続が実行されるおそれがある。

良性のＵＲＬにアクセスした場合にのみアクセスを許可する制御方法であっても、その良性のサイトが脆弱性を有していることで悪意の第三者により当該サイトが改ざんされてしまった場合には、このサイトを利用して、端末に侵入した悪意のプログラムによりユーザが知らないうちに接続が実行されてしまうおそれがある。

本発明はこのような事情を考慮してなされたもので、クライアント端末にマルウェアが入り込んでしまった場合であっても、クライアント端末からの意図しない外部アクセスを防止できる情報処理装置、情報処理方法、及び情報処理プログラムを提供することを目的とする。

本発明の実施形態に係る情報処理装置は、クライアント端末からの外部アクセスを制御する情報処理装置であって、前記クライアント端末のブラウザに対して予め設定されたブラウザ識別情報を登録するホワイトブラウザ登録部と、前記クライアント端末の外部アクセス時に、前記クライアント端末から外部アクセスに係るブラウザのブラウザ識別情報を受け付けて、登録された前記ブラウザ識別情報と照合する照合部と、前記クライアント端末からの外部アクセス要求の際に、前記ブラウザ識別情報の照合結果に基づいて外部アクセスを制御するアクセス制御部と、良性のＵＲＬを含むＵＲＬ情報を登録するＵＲＬ情報データベースと、を備えて、前記ブラウザ識別情報は、複数の前記クライアント端末をグループとしてグループ単位に設定されて、前記アクセス制御部は、前記クライアント端末からの外部アクセス要求が、良性のＵＲＬに対応する要求であり、かつ前記ブラウザ識別情報が整合したときにアクセスを許可する、ことを特徴とする。

本発明の実施形態により、クライアント端末にマルウェアが入り込んでしまった場合であっても、クライアント端末からの意図しない外部アクセスを防止できる情報処理装置、情報処理方法、及び情報処理プログラムが提供される。

本実施形態に係る情報処理装置の構成の一例を示す構成図。 本実施形態において、ＵＲＬ情報データベースに登録された良性のＵＲＬが悪意の第三者に改ざんされた場合に、悪意のアプリケーションによる当該良性のＵＲＬへのアクセスが実行された際の状態を説明する説明図。 従来において、ＵＲＬ情報データベースに登録された良性のＵＲＬが悪意の第三者に改ざんされた場合に、悪意のアプリケーションによる当該良性のＵＲＬへのアクセスが実行された際の状態を説明する説明図。 認証情報発行部において発行されたブラウザ識別情報が、クライアント端末のブラウザに設定される設定フローの一例を示すフローチャート。 本実施形態にかかる情報処理装置によるアクセス制御の一例を示すフローチャート。

以下、本発明の実施形態を添付図面に基づいて説明する。
図１は、本実施形態に係る情報処理装置１０の構成の一例を示す図である。

情報処理装置１０は、例えば内部ネットワークに配置されたクライアント端末２０からの外部ネットワーク（インターネット）への外部アクセスを中継制御などする装置である。情報処理装置１０は、例えば外部ネットワークへの出入り口に配置されて、クライアント端末２０から外部ネットワークへのアクセス要求を受け付けて、当該アクセス要求に係るアクセス先ＵＲＬに応じて、クライアント端末２０のＷｅｂサーバ５０へのアクセスを制御する。

なお、図１では、内部ネットワークに設けられるクライアント端末２０a、２０ｂ、２０ｃの３つで記載しているが、この構成に限定されるものではなく、情報処理装置１０は、複数のクライアント端末２０に接続され、クライアント端末２０のそれぞれの外部ネットワークへのアクセス要求を受け付けて、当該アクセス要求に係るアクセス先ＵＲＬに応じてクライアント端末２０のアクセスを制御してもよい。また、外部ネットワーク上に存在するクライアント端末２０から、情報処理装置１０を介してＷｅｂサーバ５０へのアクセスを実行してもよい。

クライアント端末２０は、外部アクセス部２１と、識別情報出力部２２と、を備えている。

外部アクセス部２１は、外部ネットワークのＷｅｂサーバ５０にコンテンツを要求して、Ｗｅｂサーバ５０から返されたコンテンツを取得するブラウザである。以下では、外部アクセス部２１を「ブラウザ」と適宜読み替えて記載する。

識別情報出力部２２は、クライアント端末２０が外部アクセスする際に、情報処理装置１０に対して、端末のブラウザに設定されている、ブラウザそれぞれを識別するブラウザの識別情報を出力する。ブラウザの識別情報（ブラウザ識別情報）については、以下で詳述する。

実施形態に係る情報処理装置１０は、アクセス制御部１１と、ＵＲＬ情報データベース１２と、ホワイトブラウザ登録部１３と、照合部１４と、認証情報発行部１５と、を備えている。

情報処理装置１０を構成する各ユニットの機能は、所定のプログラムコードを、プロセッサを用いて実行することによって実現しても良く、このようなソフトウェア処理に限らず、例えば、ＡＳＩＣ等を用いたハードウェア処理で実現してもよいし、ソフトウェア処理とハードウェア処理とを組み合わせて実現してもよい。

なお、図１では、それぞれの機能を１つの装置で実装するものとして一体で記載しているが、それぞれの機能を別々の装置で実装して、それらを組み合わせて実現してもよく、例えば認証情報発行部１５の機能を備えた装置を遠隔地に配置してもよい。

アクセス制御部１１は、クライアント端末２０からの外部アクセス要求の際に、アクセス要求にかかるＵＲＬ情報、クライアント端末２０が利用するブラウザの識別情報などの情報をクライアント端末２０から受け付ける。アクセス制御部１１は、受け付けたＵＲＬ情報、ブラウザ識別情報などに基づいて外部アクセスを制御する。具体的には、クライアント端末２０から受け付けたブラウザ識別情報が、ホワイトブラウザ登録部１３に予め登録されている識別情報と一致する場合には、外部アクセスを許可する。一方で、識別情報が一致しない場合には、外部アクセスを不許可にする。

また、アクセス制御部１１は、予めＵＲＬ情報データベース１２に登録されている良性のＵＲＬ情報に基づいてクライアント端末２０の外部ネットワークへのアクセス制御を実行してもよい。具体的には、クライアント端末２０から受け付けたアクセス要求にかかるＵＲＬ情報を、ＵＲＬ情報データベース１２内の良性ＵＲＬの情報と照合する。アクセス要求にかかるＵＲＬ情報が良性ＵＲＬの情報に一致し、かつクライアント端末２０から受け付けたブラウザ識別情報が、登録されている識別情報と一致する場合に外部アクセスを許可する。いずれか一方が一致しない場合には、外部アクセスを不許可にしてアクセスさせない。

アクセス制御部１１は、Ｗｅｂサーバ５０への外部アクセスを許可した場合には、アクセス先ＵＲＬに対応するＷｅｂサーバ５０にコンテンツを要求し、Ｗｅｂサーバ５０から返されたコンテンツをクライアント端末２０に送信する。

ＵＲＬ情報データベース１２は、クライアント端末２０がアクセスした際に無害である良性のＵＲＬ群をホワイトリストとして保存する。また、ＵＲＬ情報データベース１２は、クライアント端末２０がアクセスした際に有害となる悪性のＵＲＬのリストを保存してもよい。

悪性ＵＲＬとは、より具体的には、クライアント端末２０がアクセスした際に、クライアント端末２０にウィルスなどのマルウェアをダウンロードさせるコンテンツサイト、ウェブブラウザやＯＳに異常を発生させることを目的とするクラシャーサイト、フィッシング（詐欺）サイトなど、悪意のあるファイルのダウンロード、クライアント端末２０のソフトウェアを破壊、あるいはＷｅｂサイトへの接続にクライアント端末２０を誘導するような、クライアント端末２０に対して有害なＵＲＬを意味する。一方、良性ＵＲＬは、クライアント端末２０がアクセスした際に、クライアント端末２０に対して無害なＵＲＬを意味する。

ホワイトブラウザ登録部１３は、クライアント端末２０が外部アクセスのために利用するソフトウェアであるブラウザのそれぞれを識別するブラウザ識別情報を予め登録する。このブラウザ識別情報は、クライアント端末２０が利用するブラウザが適切（正規）なものであるかを情報処理装置１０において判断するための認証情報であり、例えば数字や文字列から構成される複数桁のコードが用いられる。

ホワイトブラウザ登録部１３は、クライアント端末２０のユーザ名や端末のそれぞれを識別する端末番号と関連付けてブラウザ識別情報を登録する。

ホワイトブラウザ登録部１３のブラウザ識別情報は、クライアント端末２０のブラウザに対してすでに設定されている識別情報を登録してもよい。また、ホワイトブラウザ登録部１３は、認証情報発行部１５から発行されてクライアント端末２０のそれぞれに送信される識別情報を登録してもよい。

なお、ブラウザ識別情報は、クライアント端末２０のそれぞれに別々の識別情報が設定されてもよいし、また社内ネットワークに属する複数のクライアント端末２０は同一の識別情報を設定するなど、複数のクライアント端末２０をグループとしてグループ単位で別の識別情報が設定されてもよい。

照合部１４は、クライアント端末２０の外部アクセス時に、クライアント端末２０から受け付けたブラウザ識別情報を、ホワイトブラウザ登録部１３に登録されている識別情報と照合する。識別情報が一致した場合には、受け付けたブラウザ識別情報が整合した旨の通知をアクセス制御部１１に送信する。一致しない場合には、受け付けたブラウザ識別情報が不整合である旨の通知をアクセス制御部１１に送信する。なお、ブラウザ識別情報が不整合である場合、すなわち登録されていないブラウザによる外部アクセスの場合には、正規ではないブラウザによる外部アクセスであるとして、情報処理装置１０の管理者及びクライアント端末２０に通知してもよい。

認証情報発行部１５は、クライアント端末２０のそれぞれを識別するブラウザ識別情報を発行して、クライアント端末２０に送信する。認証情報発行部１５は、一定期間ごと（例えば１日）にブラウザ識別情報を発行して、クライアント端末２０に送信してもよい。ブラウザ識別情報は、外部アクセス部２１（ブラウザ）に対して設定してもよい。また、クライアント端末２０の識別情報出力部２２は、情報処理装置１０から送信された識別情報を受け付けて保持してもよい。識別情報出力部２２は、外部アクセスする際に、保持されているブラウザ識別情報を出力する。

また、認証情報発行部１５は、ブラウザ識別情報を暗号化して送信してもよい。この場合、クライアント端末２０は、受け付けた識別情報を復号してブラウザに対して設定する。なお、識別情報を復号するための復号鍵は、情報処理装置１０のホワイトブラウザ登録部１３に登録されているクライアント端末２０にのみ送信される。

ここで、従来における情報処理装置１００におけるアクセス制御の方法を説明する。図３は、従来におけるプロキシサーバの構成の一例を示している。ここでは、ＵＲＬ情報データベース１０２に良性のＵＲＬ情報が登録されており、アクセス制御部１０１は、クライアント端末２０から良性のＵＲＬへのアクセス要求を受け付けた際に、アクセスを許可するものとする。

このとき、クライアント端末２０がマルウェアに感染してしまい、外部との通信を実行させるような悪意のアプリケーションが他の端末に侵入してまった場合であっても、クライアント端末２０から悪性のＵＲＬなど、ユーザが意図しない外部へのアクセスが実行されることはない。

さらに、良性のＵＲＬに対応するＷｅｂサーバ５０が悪意の第三者に侵入されて、Ｗｅｂサイトが改ざんされた場合について検討する。この場合、良性のサイトはアクセスを許可するように制御動作が実行されるため、悪意のアプリケーションが他の端末に侵入してまったとき、当該アプリケーションから改ざんされたＷｅｂサイトへのアクセスは可能となる。このため、改ざんされたサイトを介して悪意の第三者のサーバへの接続が実行されてしまうおそれがある。

図２は、本実施形態における情報処理装置１０によるアクセス制御の方法を説明する模式図である。

本実施形態においても、良性のＵＲＬに対応するＷｅｂサーバ５０が悪意の第三者に侵入されて、Ｗｅｂサイトが改ざんされた場合について検討する。

クライアント端末２０がマルウェアに感染してしまい、外部との通信を実行させるような悪意のアプリケーションが他の端末に侵入してまった場合には、従来の構成と同様に、クライアント端末２０から悪性のＵＲＬなど、ユーザが意図しない外部へのアクセスが実行されることはない。

そして、悪意のアプリケーションから改ざんされたＷｅｂサイトへのアクセスを実行したとしても、情報処理装置１０で登録されているブラウザ識別情報と整合しないため、アクセス制御部１１がアクセスを許可することはなくアクセスはされない。このため、悪意のアプリケーションから、ユーザが意図しないうちに改ざんされたサイトにアクセスが実行されることが防止される。

続いて、本実施形態に係る情報処理装置１０の動作の一例について説明する。

図４は、認証情報発行部１５において発行されたブラウザ識別情報が、クライアント端末２０に設定される設定フローの一例を示すフローチャートである（適宜、図１参照）。

認証情報発行部１５は、クライアント端末２０のそれぞれを識別するブラウザ識別情報を発行する（Ｓ１０）。

そして、認証情報発行部１５は、クライアント端末２０に送信する（Ｓ１１）。クライアント端末２０の識別情報出力部２２は、情報処理装置１０から送信された識別情報を受け付けて保持する。

図５は、本実施形態にかかる情報処理装置１０によるアクセス制御方法の一例を示すフローチャートである（適宜、図１参照）。

アクセス制御部１１は、クライアント端末２０から外部アクセス要求を受け付ける（Ｓ２０）。

アクセス制御部１１は、アクセス要求にかかるＵＲＬ情報とともに、クライアント端末２０の識別情報出力部２２に保持されているブラウザ識別情報などの情報をクライアント端末２０から受け付ける（Ｓ２１）。

照合部１４は、クライアント端末２０の外部アクセス時に、クライアント端末２０から受け付けたブラウザ識別情報を、ホワイトブラウザ登録部１３に登録されている識別情報と照合する（Ｓ２２）。

照合部１４は、識別情報が一致した場合には、受け付けたブラウザ識別情報が整合した旨の通知をアクセス制御部１１に送信する（Ｓ２３：ＹＥＳ）。

一方で、照合部１４は、一致しない場合には、受け付けたブラウザ識別情報が不整合である結果をアクセス制御部１１に送信する（Ｓ２３：ＮＯ、終了）。

アクセス制御部１１は、クライアント端末２０から受け付けたブラウザ識別情報が、ホワイトブラウザ登録部１３に予め登録されている識別情報と整合する場合には、外部アクセスを許可する（Ｓ２４）。

以上述べた実施形態の情報処理装置によれば、ブラウザを認証するためのブラウザ識別情報に基づきクライアント端末２０のブラウザを認証して外部アクセスを制御することで、マルウェアに感染した場合であっても、ユーザが意図しない外部アクセスを防止できる。

なお、情報処理装置１０で実行されるプログラムは、ＲＯＭ等の記憶回路に予め組み込んで提供される。もしくは、このプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、メモリカード、ＤＶＤ、フレキシブルディスク等のコンピュータで読み取り可能な記憶媒体に記憶されて提供するようにしてもよい。また、情報処理装置１０で実行されるプログラムは、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせて提供するようにしてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１０…情報処理装置、１１…アクセス制御部、１２…ＵＲＬ情報データベース、１３…ホワイトブラウザ登録部、１４…照合部、１５…認証情報発行部、２０…クライアント端末、２１…外部アクセス部、２２…識別情報出力部、５０…Ｗｅｂサーバ。

Claims (4)

1. クライアント端末からの外部アクセスを制御する情報処理装置であって、
   前記クライアント端末のブラウザに対して予め設定されたブラウザ識別情報を登録するホワイトブラウザ登録部と、
   前記クライアント端末の外部アクセス時に、前記クライアント端末から外部アクセスに係るブラウザのブラウザ識別情報を受け付けて、登録された前記ブラウザ識別情報と照合する照合部と、
   前記クライアント端末からの外部アクセス要求の際に、前記ブラウザ識別情報の照合結果に基づいて外部アクセスを制御するアクセス制御部と、
   良性のＵＲＬを含むＵＲＬ情報を登録するＵＲＬ情報データベースと、を備えて、
   前記ブラウザ識別情報は、複数の前記クライアント端末をグループとしてグループ単位に設定されて、
   前記アクセス制御部は、前記クライアント端末からの外部アクセス要求が、良性のＵＲＬに対応する要求であり、かつ前記ブラウザ識別情報が整合したときにアクセスを許可する、
   ことを特徴とする情報処理装置。
2. 前記クライアント端末のそれぞれを識別する前記ブラウザ識別情報を発行して、前記クライアント端末に送信する認証情報発行部を、
   備えることを特徴とする請求項１に記載の情報処理装置。
3. クライアント端末からの外部アクセスを、情報処理装置を介して制御する情報処理方法であって、
   前記情報処理装置が、前記クライアント端末のブラウザに対して予め設定されたブラウザ識別情報を登録するステップと、
   前記情報処理装置が、前記クライアント端末の外部アクセス時に、前記クライアント端末から外部アクセスに係るブラウザのブラウザ識別情報を受け付けて、登録された前記ブラウザ識別情報と照合するステップと、
   前記情報処理装置が、前記クライアント端末からの外部アクセス要求の際に、前記ブラウザ識別情報の照合結果に基づいて外部アクセスを制御するステップと、
   良性のＵＲＬを含むＵＲＬ情報を登録するステップと、を含み、
   前記ブラウザ識別情報は、複数の前記クライアント端末をグループとしてグループ単位に設定されて、
   前記クライアント端末からの外部アクセス要求が、良性のＵＲＬに対応する要求であり、かつ前記ブラウザ識別情報が整合したときにアクセスを許可する、
   ことを特徴とする情報処理方法。
4. コンピュータを、
   クライアント端末のブラウザに対して予め設定されたブラウザ識別情報を登録する機能、
   前記クライアント端末の外部アクセス時に、前記クライアント端末から外部アクセスに係るブラウザのブラウザ識別情報を受け付けて、登録された前記ブラウザ識別情報と照合する機能、
   前記クライアント端末からの外部アクセス要求の際に、前記ブラウザ識別情報の照合結果に基づいて外部アクセスを制御する機能、
   良性のＵＲＬを含むＵＲＬ情報を登録する機能、として機能させて、
   前記ブラウザ識別情報は、複数の前記クライアント端末をグループとして予めグループ単位に設定されて、
   前記クライアント端末からの外部アクセス要求が、良性のＵＲＬに対応する要求であり、かつ前記ブラウザ識別情報が整合したときにアクセスを許可する、
   ことを特徴とする情報処理プログラム。

Images