トップ :: G 物理学 :: G06 計算;計数




【発明の名称】 エンタープライズシステムにおける優先Ｗｅｂ業務管理方法
【発明者】 【氏名】服部 宇春

【氏名】齋藤 洋子
【要約】 【課題】エンタープライズシステムでの優先Web業務を柔軟に、セキュアに実現することにある。

【解決手段】Webブラウザ20が予めWWWサーバ4及びセキュリティ管理サーバ40(ES40)に対して認証処理を済ましてから、優先Web業務要求(証明書付き)をWWWサーバ4介してアプリケーションサーバ42(AS42)に行うと、AS42はES40にアクセス権限の確認をし、ネットワーク管理サーバ41にインターネット運用状況の確認をした後、優先Web業務用コネクション確立依頼をES40に対して行い、ES40は、優先Web業務要求に関連するファイアウォール上のセキュリティエージェントに優先Web業務要求を送信し、該要求に対し許容応答を得た場合にAS42に優先Web業務用コネクションの確立を通知する。また、セキュリティエージェントは優先Web業務要求の許容時から解除時までの履歴情報を取得し、ES40に送信する。
【特許請求の範囲】
【請求項１】 Webブラウザ、WWWサーバ、オンライン業務サーバ,DBサーバ、業務レベルのセキュリティを管理するセキュリティ管理サーバ、ファイアウォールなどのネットワークレベルのセキュリティを管理するネットワーク管理サーバ等が接続された複数のネットワークシステムがファイアウォール等のネットワーク装置を介して広域ネットワークシステムに接続されている形態のエンタープライズシステムにおける優先Web業務管理方法であって、業務レベルのセキュリティとネットワークレベルのセキュリティを統合するアプリケーションサーバを設け、該アプリケーションサーバは、前記Webブラウザから前記WWWサーバを介して送信された優先Web業務要求を受信すると、前記セキュリティ管理サーバにアクセス権限の確認依頼を、前記ネットワーク管理サーバにインターネット運用状況確認依頼を送信し、両確認依頼に対して許容の応答を受信した場合に前記セキュリティ管理サーバに優先Web業務用コネクション確立依頼を送信し、該優先Web業務用コネクション確立依頼を受信した前記セキュリティ管理サーバは、前記優先Web業務要求に関連する前記ファイアウォール上のセキュリティエージェントに優先Web業務要求を送信し、該優先Web業務要求に対して許容の応答を受信した場合に前記アプリケーションサーバに優先Web業務用コネクションの確立を通知することを特徴とする優先Web業務管理方法。
【請求項２】 請求項１記載の優先Web業務管理方法において、セキュリティエージェントは、前記優先Web業務要求の許容時から優先Web業務の解除時までの履歴情報を取得し、取得した履歴情報を前記セキュリティ管理サーバに送信することを特徴とする優先Web業務管理方法。
【発明の詳細な説明】【０００１】
【発明の属する技術分野】インターネットの普及に伴いインターネットからの不正侵入を防止するためのファイアウォール製品が導入されている。ファイアウォール製品は、ネットワークレベルでのセキュリティ製品であるが、エンタープライズシステム全体のセキュリティを管理する役割のセキュリティ管理サーバと連携をして初めてシームレスな運用が可能となる。業務レベルのセキュリティとネットワークレベルのセキュリティを統合させる機能をアプリケーションサーバで実現する。また、業務の実行にリンクさせてセキュリティ運用の変更も要求されることがある。本発明は、エンタープライズシステムで優先的にWeb業務を実行するために、一時的にファイアウォールの運用を変更させるための方法を対象とする。
【０００２】
【従来の技術】ファイアウォール製品は、イントラネットとインターネットとの間に設置し、インターネット外部からの不正侵入を防止するための製品である。ファイアウォールの機能としては、外部から内部に通過しようとするパケットをチェックし、許可されたパケットだけを通すパケットフィルタリング機能、全てのパケットをプロクシサーバ(Proxy Server)を経由させることにより通信するアプリケーションゲートウェイ機能等に分類される。ファイアウォールでは、あらかじめ許可された運用しか許さないわけであるが、エンタープライズシステムには、一時的に優先Web業務用のコネクションを設定したいというニーズもある。しかし、そのためには、エンタープライズシステム全体のセキュリティ運用と矛盾しないように、セキュリティ管理サーバとの連携が必要である。ファイアウォールを動的に制御する先願発明としては、移動端末について内部ネットワークとの間の通信を許可するようなフィルタを設ける方法(特開平10-70576)がある。また、新サービス提供時にファイアウォール更新させずに対応する先願発明としては、パケットオブジェクトを利用する方法(特開平9-270788)がある。さらにアプリケーションゲートウェイのインストール位置の変更による影響を最小限にするための方法としては、フィルタリング条件設定ファイルにセキュリティ情報を付加する方法(特開平9-233113)等がある。しかし、これらの方法は、エンタープライズシステムの運用全体を見渡した方法ではなく、業務レベルのセキュリティを管理するセキュリティ管理サーバとの連携は対象になっていなかった。また、ファイアウォールの利用もポート番号や送信元アドレス単位であり、エンドユーザを認証した上での利用許可を行っているわけではなかった。
【０００３】
【発明が解決しようとする課題】本発明の目的は、エンタープライズシステム全体のセキュリティ運用を管理するセキュリティ管理サーバとファイアウォールを連携させることにより、エンタープライズシステムでの優先Web業務を柔軟に、セキュアに実現することにある。
【０００４】
【課題を解決するための手段】上記目的を達成するため、本発明の優先Web業務管理方法は以下のような構成されている。Webブラウザ、WWWサーバ、オンライン業務サーバ,DBサーバ、業務レベルのセキュリティを管理するセキュリティ管理サーバ、ファイアウォールなどのネットワークレベルのセキュリティを管理するネットワーク管理サーバ等が接続された複数のネットワークシステムがファイアウォール等のネットワーク装置を介して広域ネットワークシステムに接続されている形態のエンタープライズシステムにおいてユーザがWebブラウザから優先Web業務を行う場合の優先Web業務管理方法であり、業務レベルのセキュリティとネットワークレベルのセキュリティを統合するアプリケーションサーバを設ける。アプリケーションサーバは、WebブラウザからWWWサーバを介して送信された優先Web業務要求を受信すると、セキュリティ管理サーバにアクセス権限の確認依頼を送信し、前記ネットワーク管理サーバにインターネット運用状況確認依頼を送信して、両確認依頼に対して許容の応答を受信した場合にセキュリティ管理サーバに優先Web業務用コネクション確立依頼を送信する。優先Web業務用コネクション確立依頼を受信したセキュリティ管理サーバは、この優先Web業務要求に関連する前記ファイアウォール上のセキュリティエージェントに優先Web業務要求を送信する。セキュリティエージェントはこの要求に対処するための処理をした後、優先Web業務要求に対して許容の応答を受信した場合に前記アプリケーションサーバに優先Web業務用コネクションの確立を通知するようにしている。また、セキュリティエージェントは、優先Web業務要求の許容時から解除時までの履歴情報を取得し、取得した履歴情報を前記セキュリティ管理サーバに送信するようにしている。
【０００５】
【発明の実施の形態】以下本発明の一実施形態について図面を用いて説明する。図１は、本実施形態のネットワークシステムの構成図である。インターネットのような広域ネットワーク10には、企業ネットワークシステム１と企業ネットワークシステム9がそれぞれファイアウォール60、61(以降FWと記す)を介して接続される。企業ネットワークシステム１には、Webブラウザの他に、業務レベルのセキュリティを管理するセキュリティ管理サーバ40、ネットワークレベルのセキュリティを管理するネットワーク管理サーバ41とデータベース(DB)サーバ5、オンライン業務サーバ6、WWWサーバ４等のサーバが接続される。DBサーバ5およびオンライン業務サーバ6は、バックエンドシステム(既存システム)に位置付けられ、フロントエンドシステムであるWebブラウザからラッパーサーバ43を介してアクセスされるような業務処理のために利用されるサーバである。
【０００６】本実施例では、WWWサーバを利用した公開見積り処理をモデルとして想定しており、WWWサーバ4は、Webブラウザへ最初の業務メニュー画面を送ったり、Webブラウザの電子メールの送受信管理をしたり、各ユーザのスケジュールを管理したりする。これは、従来のグループウェア製品のWeb化機能に相当する。アプリケーションサーバ42は、上記バックエンドシステムとフロントエンドシステムの中間に位置し、Webで基幹業務を実現するための必須機能を提供する。Webで基幹業務を実現する上で必要な機能としては、セキュリティの他にも、ロードバランス（負荷分散）、フォーレトトレラント機能などがある。また、アプリケーションサーバ42では、Webでの新規業務（ここでは公開見積り処理）を短期間で開発させるためのアプリケーション開発環境を提供するが、前記開発環境については本実施例では説明しない。
【０００７】一方、業務レベルのセキュリティには様々な機能が必要になる。例えば、ユーザ認証、アクセス制御、証明書発行、暗号化、鍵管理といった業務やユーザ管理上で必要なセキュリティ機能が提供されていなければならない。図１では、ユーザ認証を行う認証サーバ２，セキュリティ情報を管理するサーバ3、ユーザのアクセスを管理するアクセス制御サーバ50、証明書発行サーバ18、鍵管理サーバ17、証明書取り消しリスト管理サーバ54を記述しているが、これらのサーバ機能が１つのセキュリティ管理サーバ40上で実装されていてもかまわない。以降の本実施例では、これらのサーバ群機能を総称してセキュリティ管理サーバ40と呼ぶことにする。
【０００８】ネットワーク管理サーバ41は、セキュリティを管理するサーバ群には含まれず、ネットワークの構成管理や利用状況の監視やファイアウォール等ネットワーク装置の管理を行う。前記セキュリティ管理サーバ40やネットワーク管理サーバ41の機能は、企業ネットワークシステムがWeb化される以前から提供されているので、アプリケーションサーバ42のセキュリティ機能とどのように連携させるかが、セキュリティに関するアプリケーションインテグレーションの課題であるが、この点については、別発明として出願している。企業ネットワークシステム9にはWebブラウザ20が接続しており(実際にはもっと沢山のWebブラウザが接続されている)、企業ネットワークシステム1と企業ネットワークシステム9の全体がエンタープライズシステムに相当する。そして、セキュリティ管理サーバ40は、エンタープライズシステム全体のセキュリティを管理する役割を担っているので、例えば、Webブラウザからログインするユーザのユーザ認証、アクセス制御リスト、Webブラウザ8からログインしたユーザ11とWebブラウザ20からログインしたユーザ11に許可されている優先Web業務などを業務運用ポリシーによって管理している。なお、実際の優先Web業務は大容量かつ緊急度を要する業務が数千から数万人のオーダーのユーザから一斉に要求されることを想定している。
【０００９】図２には、ユーザ11がWebブラウザ8から優先Web業務要求をセキュリティ管理サーバ40に送る処理シーケンスを示す。ユーザ11はWWWサーバ4にログインし(20001)、WWWサーバ4はユーザID，パスワード入力画面をユーザ11に送り(20002)、ユーザ11はこの画面によりユーザID，パスワードを入力し、WWWサーバ4に送り(20003)、WWWサーバ4は、さらユーザID，パスワードをセキュリティ管理サーバ41に送る。セキュリティ管理サーバ41は認証処理を行い、その結果をアプリケーションサーバ42に送る(20004)。アプリケーションサーバ42は、認証処理結果がＯＫであるか判定し、ＮＯであれば、認証処理結果がＮＯであることをWWWサーバ4に通知し、WWWサーバ4は、さらに認証処理結果がＮＯであることをユーザ11に通知する。ＯＫであれば、業務選択画面(公開見積り処理)をWWWサーバ4に送り(20006)、WWWサーバ4、さらにこれをユーザ11に送る。ユーザがエンタープライズシステムを利用する場合には、通常、少なくとも１回はセキュリティ管理サーバ40によりユーザ認証処理を行う。当ユーザ認証処理はローカルに実装することも可能だが、実装方法によらず、セキュリティ管理サーバ40はどのユーザが認証されているか、そのユーザにどのようなアクセス権限が許可されているかを管理している必要がある。
【００１０】ユーザ11が公開見積り処理選択をし、優先Web業務要求(証明書30)をWWWサーバ4に送ると(20007)、WWWサーバ4はこれをアプリケーションサーバ42に送る。アプリケーションサーバ42は、WWWサーバ4から上記の優先Web業務要求を受け付けると、セキュリティ管理サーバ40に前記ユーザ11のアクセス権限についての確認処理を依頼し(20008)、同時に、ネットワーク管理サーバ41に現在のネットワーク運用状況の確認を取る(20011)。セキュリティ管理サーバ40は、確認処理を行い(20009)、アプリケーションサーバ42にＯＫ／ＮＧの応答をする(20010)。また、ネットワーク管理サーバ41においても確認処理を行い(20012)、アプリケーションサーバ42にＯＫ／ＮＧの応答をする(20013)。アプリケーションサーバ42は、上記の応答を受け、優先Web業務可能か否かの判定をする(20014)。ユーザのアクセス権限も問題無く現在のネットワーク状況にも問題がなかった場合には、アプリケーションサーバ42は、優先Web業務用コネクション確立依頼をする(20016)。ユーザのアクセス権限に問題ある場合には優先Web業務不可の通知をWWWサーバ4に対して行い。WWWサーバ4はこれをユーザ11に送る(20015)。また、ユーザのアクセス権限に問題はないがネットワーク状況により優先Web業務を一定期間までに実行できないと判定した場合には、「優先Web業務を一定期間に実行できないこと」をWWWサーバ4を介してユーザ11に通知する(20015)。例えば、インターネット上のトラフィック監視によりインターネット内の混雑が予想される場合には、上記優先Web業務を他の時間帯にするように指示することもある。
【００１１】セキュリティ管理サーバ40は優先Web業務用コネクション確立要求を実行する。この実行については、図３を用いて後述する。優先Web業務用コネクション確立要求が実行され、その応答ＯＫ*Aがアプリケーションサーバ42に通知されると(20017)、アプリケーションサーバ42は優先Web業務入力処理のための画面の作成処理を行い、WWWサーバ4を介してユーザ11に画面を送る。ユーザ11は、受け取った画面を用いてデータを入力し、入力データはWWWサーバ4を介してアプリケーションサーバ42に送られる(20018)。アプリケーションサーバ42は入力データに対する処理を行い、処理結果データをWWWサーバ4に送り、WWWサーバ4は処理結果データをWeb画面に直し、ユーザ11に送る(20019)。ユーザ11は送られたWeb画面を表示する。
【００１２】また、インターネットの企業レベルでの利用に伴い、今後、プロバイダがより信頼度の高いサービスレベルの通信サービスを提供することが想定されるため、前記優先Web業務には、より高いサービスレベルのインターネットを適用することも必要になる。ユーザ11には、いくつかの優先Web業務の権限が許されているとしよう。優先Web業務としては、企業ネットワークシステム内に閉じたサービスもあるし、FW60、61を超えて広域ネットワーク10を介した別企業ネットワークシステムのオンライン業務サーバやDBサーバを利用する電子取引業務や、本発明で対象としているような形態の業務もある。優先する内容についても、他ユーザからの処理要求よりも優先させて前記ユーザの処理を実行させる場合や、ある一定時間の間に前記ユーザの処理を終了させる場合や、前記ユーザの処理に強度のセキュリティを適用する場合等が考えられる。本実施例では、わかりやすさのために、ユーザ11がFW60、61を超えてWWWサーバ4による公開見積り処理を行なう優先Web業務について、最優先にかつ、高度なセキュリティを適用して実現する場合について説明する。前記公開見積り処理とは、WWWサーバ4に公開された入札条件に基づき、Webブラウザからユーザが条件を入力し、公正な受注処理を実現するシステムである。その他にも、インターネットを利用した電子投票処理などへの適用が有効と考えられ、実際には、FW60,61の間のコネクションを利用して数千から数万人のユーザが前記優先Web業務を行なうケースを想定している。
【００１３】次に、アプリケーションサーバ42が優先Web業務可能と判断し(20014)、セキュリティ管理サーバ40に対して優先Web業務用コネクション確立依頼を行った(20016)場合におけるセキュリティ管理サーバ40が行う処理について図３を用いて説明する。当実施例では、優先Web業務がハイトラフィックな公開見積り処理であるため、FW60とFW61との間の通信の確保が必要になる。セキュリティ管理サーバ40は、アプリケーションサーバ42からの依頼(20016)を受けて、FW60及びFW61上のセキュリティエージェント601、611に対して、ユーザ11（実際には数千から数万人のユーザに対応）が申請する優先Web業務を許可する旨を通知し、一時的にFW60とFW61の間に優先Web業務用コネクションを確立している。なお、セキュリティ管理サーバ40と前記セキュリティエージェントとの間の通信は、VPN(Virtual Private Network)等の利用により安全に保護されている前提である。FW60、61での優先Web業務用コネクションの確立方法としては、使用中のポート番号のコネクションを当優先Web業務のために割り当てる方法、優先Web業務向けのコネクションのために特定のポート番号を割り当てる方法等がある。
【００１４】図３では、ある時間帯(9時から15時まで)についてポート番号#1050と送信元アドレス192.1.4.1(アプリケーションサーバアドレス)によってフィルタリングされるコネクションをユーザ11からの優先Web業務に専用とする。その内容を指示する優先Web業務要求（具体的にはポート番号とアドレス情報、時間帯等を指定）がセキュリティ管理サーバ40から各セキュリティエージェントに送られる（30001、30002）。そして、応答(30003)と応答(30004)に問題がなければ、セキュリティ管理サーバ40から各セキュリティエージェントに割り当て対象となるコネクションIDとユーザ認証に使う証明書30を送信する(30005、30006)。各セキュリティエージェントは、上記のコネクションIDとユーザ認証に使う証明書30をを受信すると、コネクション優先割り当て処理を開始する。
【００１５】コネクションの優先割り当てが開始すると、セキュリティエージェント601、611では、入ってくるパケットについてポート番号とアドレス情報に加えてコネクションIDの内容を確認する(30007、30008)。確認ができない場合には、アプリケーションサーバ42にＮＧを通知する。セキュリティエージェント601、611で確認ができた場合には、セキュリティエージェント601がＯＫをセキュリティエージェント611に通知し(30009)、セキュリティエージェント601からＯＫをセキュリティ管理サーバ40に通知する。これにより、FW60とFW61との間に論理的な優先Web業務用コネクションを確立する。
【００１６】優先Web業務をセキュアに実行するためには、優先Web業務の実行状態についての履歴情報12をセキュリティエージェントで取得する必要がある(30011、30012)。当実施例のFW60とFW61間の通信は、VPN(Virtual Private Network)により暗号化されているため、途中で盗聴される心配はあまりない。さらに、優先Web業務用コネクションを利用するユーザについては証明書30を用いて認証するために、第３者による優先Web業務用コネクションの利用はほとんど不可能である。しかし、業務監査という観点から、前記履歴情報12とエンドユーザ側（Webブラウザ20側）で取得した履歴情報16(30010)を比較することは有効と考える。従って、セキュリティエージェント601,611は、指定された時間帯について、当コネクションの利用状況の履歴情報12を取得し、セキュリティ管理サーバ40からの解除要求(30013、30014)を受信した後、優先割り当てを解除し、この解除した時点で前記履歴情報12をセキュリティ管理サーバ40に送るものとする(30015、30016)。セキュリティ管理サーバ40は、解除要求(30013、30014)をセキュリティエージェント601、611に送信した後、優先Web業務用コネクション確立要求が実行されたことを示す応答ＯＫ*Aがアプリケーションサーバ42に通知される。このＯＫ*Aと図２におけるＯＫ*Aは同様のものであり、両者の対応を取るために「*A」を付けている。なお、優先割り当てを解除する契機としては、セキュリティ管理サーバ40からの優先割り当て終了要求時の他に、前記指定された時間帯の終了時等が考えられる。
【００１７】
【発明の効果】本実施例によれば、ファイアウォールは、エンタープライズシステムの運用全体を見渡したセキュリティ管理サーバと連携することにより、ポート番号や送信元アドレスに加えてユーザの証明書を確認することにより、該当業務の該当ユーザに対して優先Web業務向けコネクションを利用させることができる。また、ファイアウォールで取得する履歴情報の確認により、優先Web業務をセキュアに実現できる。
【出願人】 【識別番号】０００００５１０８
【氏名又は名称】株式会社日立製作所
【出願日】 平成１２年１０月２０日（２０００．１０．２０）
【代理人】 【識別番号】１０００９９２９８
【弁理士】
【氏名又は名称】伊藤 修 （外１名）
【公開番号】 特開２００２−１３２７１８（Ｐ２００２−１３２７１８Ａ）
【公開日】 平成１４年５月１０日（２００２．５．１０）
【出願番号】 特願２０００−３２０４１３（Ｐ２０００−３２０４１３）