JP4415928B2 - デバイス設定制御システム及びデバイス設定制御方法 - Google Patents

Description

本発明は、クライアントに接続されたデバイスの使用の有効化／無効化の設定を制御するデバイス設定制御システム及びデバイス設定制御方法に関する。

昨今、企業内の情報共有化のため、多くの企業でイントラネットと呼ばれるインフラストラクチャが構築され、一般的には、サーバに備えられた文書管理装置において、各社員に対して与えられた利用者ＩＤ及びパスワード等を利用したアクセス認証処理を行うことにより、文書の管理を行っている。この場合、管理対象となるコンテンツの中には、顧客情報や社員の人事情報等、各企業の機密情報が存在するが、アクセス権限の与えられている社員は、機密情報に該当する機密文書についても利用可能となっているため、社外への持出しによる情報漏洩が問題となっている。

近年、これら権限のあるユーザによる外部持ち出しに対して、様々なアプローチから外部持ち出しを防止する手段が提案されている。例えば、特許文献１には、リソースへのアクセスに必要な全てのＡＰＩ（Application Programming Interface）を監視するルーチンを設けることで情報漏洩を防止する技術が開示されている。このＡＰＩを監視する手法では、例えば、BluetoothデバイスやＩｒＤＡデバイスなどの、ハードウェアに依存したデバイスドライバに対応させる必要がある。つまり、外部への持ち出しを行うため、漏洩する可能性のあるデバイスを利用するために必要なＡＰＩを網羅する必要がある。また、ドライバの制御を実施するＡＰＩを監視することは可能であるが、そのデータを解析する必要があるため、新規に追加されるデバイスでも制御することが困難であった。

また、特許文献２には、デバイスチェックにより、ハードウェアの構成変更を監視するとともに、動作環境設定の変更を監視し、変更内容が装置の追加であったときは該当するデバイスドライバを組み込み、また変更内容が装置の故障や取り外しであったときは該当するデバイスドライバの無効化を行うという技術が開示されている。

また、特許文献３には、サーバから提供されるアクセスポリシー情報に基づいて、周辺装置の有効／無効化を設定する技術が開示されている。
特開２００２−２８８０３０号公報 特開平７−６４７７２号公報 特開２００３−２６３４１６号公報

しかしながら、従来の機密情報持ち出し防止システムでは、デバイス単位で制御するといったきめ細かな利用制限を行えることができなかった。例えば、印刷を制御する場合、すべてのプリンタへの印刷が制御されてしまうため、特定のプリンタだけ許可するということができなかった。この実現には、クライアントコンピュータ単位でデバイスドライバのインストールを制限することなど可能となるが、運用の手間がかかるという問題だけでなく、デバイス単位で、動的にデバイスの利用を許可したり禁止したりする制御が困難であった。また、運用管理が煩雑であるという問題もあった。

また、上述した特許文献２，３に記載された技術を組み合わせた場合であっても、例えば、一旦有効とされたデバイスをデバイスドライバの脆弱性等の問題から無効とすることができない等といった、サーバ側にてきめ細やかな利用制限を行うことができないという問題点がある。

本発明は、上述したような従来の技術が有する問題点に鑑みてなされたものであって、クライアントに接続されたデバイスの使用の有効化／無効化の設定を、クライアントの状態に応じて制御することができるデバイス設定制御システム及びデバイス設定制御方法を提供することを目的とする。

上記目的を達成するために本発明は、
デバイスが接続されたクライアントと、前記デバイスの使用の有効化／無効化を示すポリシの設定を行うための管理サーバとを有し、前記管理サーバにて設定されたポリシが前記クライアントに与えられ、該クライアントにて前記ポリシに基づいて前記デバイスの使用の有効化／無効化が制御されるデバイス設定制御システムにおいて、
前記クライアントは、該クライアントに接続されたデバイスのデバイスドライバの状態を前記管理サーバに通知するデバイス管理手段を有し、
前記管理サーバは、前記クライアントから通知されたデバイスドライバの状態に基づいてデバイスの使用の有効化／無効化を示すポリシを設定するためのポリシ設定手段を有することを特徴とする。

また、前記デバイス管理手段は、前記ポリシを解除する旨が指定された場合、当該クライアントに接続された全てのデバイスのデバイスドライバを有効化とすることを特徴とする。

また、前記クライアントは、該クライアントに接続されたデバイスのデバイスドライバの環境設定の状態が変更された場合、前記ポリシに基づいて当該デバイスの有効化／無効化を制御する変更検知手段を有することを特徴とする。

上記のように構成された本発明においては、クライアントに接続されたデバイスのデバイスドライバの状態がクライアントから管理サーバに通知され、管理サーバにおいて、クライアントから通知されたデバイスドライバの状態に基づいてデバイスの使用の有効化／無効化を示すポリシが設定され、このポリシがクライアントに与えられ、クライアントに接続されたデバイスの使用の有効化／無効化が制御される。

このようにして、本発明においては、クライアントのデバイスドライバの情報を管理サーバ側で、遠隔による一括管理できるため、機密情報の持ち出しの管理を容易化することが可能となる。また、デバイスドライバ単位で管理サーバにおける管理が可能であるため、一度、有効とされたデバイスドライバであっても、脆弱性などの理由でドライバが更新された場合、リモートにある管理サーバから脆弱性のある古いドライバの利用を無効とすることが可能となる。

本発明は、以上説明したように構成されているため、クライアントに接続されたデバイスの使用の有効化／無効化の設定を、管理サーバ側にてクライアントの状態に応じて制御することができ、それにより、例えば、一度、有効とされたデバイスドライバであっても、ドライバが更新された場合、セキュリティの面で脆弱性のある古いドライバを無効化することができる。

以下に、本発明の実施の形態について図面を参照して説明する。

図１は、本発明のデバイス設定制御システムの実施の一形態を示す図である。

本形態は図１に示すように、管理サーバ１０とクライアント２０とが、インターネットやイントラネット等のネットワーク３０を介して接続されて構成されている。

管理サーバ１０は、インタフェース部１１と、通信部１２と、ドライバ情報１３と、ポリシ設定部１４と、設定ＧＵＩ部１５とから構成されている。

インタフェース部１１は、クライアント２０との通信を行うデバイスであり、例えば、IEEE 802.3で標準化されているEthernet（登録商標）を利用するためのハードウェア等である。クライアント２０からポリシの取得要求を受けた場合、通信部１２を介してドライバ情報１３を読み出し、クライアント２０に送信する。

通信部１２は、クライアント２０との通信を司るものであり、例えば、データを送受信するために使用されるプロトコルであるＨＴＴＰ（HyperText Transfer Protocol）に、ＳＳＬ（Secure Socket Layer）によるデータの暗号化機能を付加したプロトコルＨＴＴＰＳ（Hypertext Transfer Protocol Security）等を使用する。

ドライバ情報１３は、ユーザ単位やグループ単位でデバイスドライバ等の許可／禁止の情報をポリシとして格納した記憶装置である。例えば、ある一人のユーザやグループ毎に、デバイスの種別や対象ドライバ名、ドライバファイルのハッシュ値、許可／禁止といった情報を格納するためのハードディスク等である。

ポリシ設定部１４は、管理ＧＵＩ部１５を介して入力されたポリシをドライバ情報１３に保存し、また、ドライバ情報１３を読み出したり、変更したりする。

管理ＧＵＩ部１５は、システム管理者へのドライバ情報の表示のために、グラフィックを利用したユーザインタフェース等を提供し、ポリシを入力するためのものである。

クライアント２０は、インタフェース部２１と、通信部２２と、デバイス管理部２３と、制御対象ドライバ情報２４と、変更検知部２５と、デバイス変更部２６と、デバイスドライバ２７と、デバイス２８とから構成されている。

インタフェース部２１は、管理サーバ１０との通信を行うデバイスであり、インタフェース部１１と同様なデバイスである。

通信部２２は、管理サーバ１０の通信機能１２との通信が可能な方式を利用し、管理サーバ１０からインタフェース２１を経由してドライバの制御情報を含むポリシをダウンロードする。

デバイス管理部２３は、クライアント２０に設定されているデバイスドライバの情報を取得する機能と、管理サーバ１０から与えられたポリシとを照合する機能とを有し、クライアント２０インストールされているデバイスドライバの情報をデバイスドライバ２７から取得し、管理サーバ１０から与えられたポリシと照合する。制御対象として制御対象ドライバ情報２４に保存されたドライバであれば、ポリシに従ってデバイス変更部２６にデバイスドライバの状態を変更するように指示し、制御対象として制御対象ドライバ情報２４に保存されていないドライバであれば、そのデバイスドライバの情報を制御対象ドライバ情報２４に保存する。

デバイス変更部２６は、デバイス管理部２３からの指示に従って、デバイスドライバ２７に対し、有効化（インストール）または無効化（アンインストール）を行い、クライアントマシンの環境を変更する。これにより、デバイス２８は、様々なアプリケーションから利用を制限されることとなる。

変更検知部２５は、デバイスドライバ２７の環境設定の状態の変更を検知する。クライアント２０上で、デバイスドライバが新規にインストールされたり、ポリシにより無効化とされていたデバイスドライバ２７が有効化されていたりといった、状態の変更を検知すると、制御対象ドライバ情報２４から、対応するデバイスに関するドライバ情報を読み出し、デバイス変更機能２６に対し、本来設定されるべき状態となるよう、デバイスドライバ２７の変更を指示する。これにより、クライアントマシンの環境を変更する。

制御対象ドライバ情報２４は、デバイスドライバ２７を制御する前に、制御前の情報を格納する記憶装置であり、ディスクとメモリとから構成される。また、ポリシ情報が取得できない場合に制御するドライバの種別情報も含まれる。

デバイスドライバ２７は、プリンタや、機密情報をクライアント２０の外部に持ち出せる周辺機器等のデバイス２８を動作させるためのソフトウェアである。オペレーティングシステムで提供される場合やメーカーが周辺機器を制御するために提供するケースがある。

デバイス２８は、クライアント２０に接続された周辺機器である。

以下に、上記のように構成されたデバイス設定制御システムにおけるデバイス設定制御方法について説明する。

図２は、図１に示したデバイス設定制御システムにおけるデバイス設定制御方法を説明するためのフローチャートである。

まず、クライアント２０からポリシのダウンロードが要求されると、管理サーバ１０において、ドライバ情報１３からドライバの制御情報を含むポリシが読み出され、このポリシが通信部１２及びインタフェース部１１を介してネットワーク３０に送信され、クライアント２０のインタフェース部２１及び通信部２２を介してデバイス管理部２３にて受信される。これにより、管理サーバ１０からクライアントにポリシがダウンロードされることになる（ステップＳ１）。

すると、デバイス管理部２３において、ダウンロードされたポリシが解析される。

図３は、図１に示した管理サーバ１０からクライアント２０にダウンロードされたポリシの一例を示す図である。

図３に示すように、本例におけるポリシは、ドライバの種別、ドライバ名、ドライバファイルのハッシュ値及び許可（有効化）／禁止（無効化）を設定するポリシから構成される。

デバイス管理部２３においては、管理サーバ１０からのポリシのダウンロードに成功した場合、ポリシが制御対象ドライバ情報２４のディスクに保存されるとともに、ポリシにて有効化とされたドライバの情報が制御対象ドライバ情報２４のメモリに記録される（ステップＳ２）。

また、管理サーバ１０からのポリシのダウンロードに失敗した場合は、デバイス管理部２３において、制御対象ドライバ情報２４のディスクにデフォルトとして保存された全ての制御対象ドライバが対象となるように、それら全ての制御対象ドライバが有効化であるものとして制御対象ドライバ情報２４のメモリに記録される（ステップＳ３）。ここで、制御対象ドライバ情報２４のディスクには、ポリシが一切取得できない場合に、予め決められたデバイスのみが制御対象となるようにデフォルトの状態が保有されている。

次に、デバイス管理部２３において、クライアント２０にインストールされているデバイスドライバの情報及び状態が、オペレーティングシステムを介してデバイスドライバ２７から１つずつ取得される（ステップＳ４）。

そして、デバイス管理部２３において、ドライバ情報が取得された場合は（ステップＳ５）、取得されたドライバ情報が管理サーバ１０から取得されたポリシと照合され（ステップＳ６）、両者が一致している場合は、次のドライバ情報が取得される。

一方、取得されたドライバ情報と管理サーバ１０から取得されたポリシとが一致していない場合は、取得されたドライバ情報が制御対象ドライバ情報２４のメモリ及びディスクに保存される（ステップＳ７）。すなわち、取得されたドライバ情報によるドライバを有効として制御対象ドライバ情報２４に保存されることになる。

また、デバイス管理部２３においては、制御対象ドライバ情報２４が参照され、取得されたドライバ情報が、状態を有効化とする制御対象ドライバのものである場合は（ステップＳ８）、そのドライバ情報によるデバイスドライバ２７を有効化とする指示がデバイス変更部２６に出される（ステップＳ９）。

一方、取得されたドライバ情報が、状態を無効化とする制御対象ドライバのものである場合は（ステップＳ８）、デバイス管理部２３において、そのドライバ情報によるデバイスドライバ２７を無効化とする指示がデバイス変更部２６に出される（ステップＳ１０）。

また、デバイス管理部２３においてドライバ情報が取得されなくなった場合は、処理が終了する。

このようにして、クライアント２８に接続されたデバイス２８のうち、制御ドライバ情報２４に保存されたポリシにて無効化とされたデバイス２８のデバイスドライバ２７が無効とされ、また、制御ドライバ情報２４に保存されたポリシにて有効化とされたデバイス２８と制御ドライバ情報２４に保存されていないデバイス２８とのデバイスドライバ２７が有効とされるというようにクライアント２０の環境が変更され、デバイス２８は、様々なアプリケーションから利用を制限されることとなる。

次に、図１に示したクライアント２０におけるポリシの解除手順について説明する。

図４は、図１に示したクライアント２０におけるポリシの解除手順を説明するためのフローチャートである。

クライアント２０において、管理サーバ１０からダウンロードされて制御対象ドライバ情報２４に保存されたポリシを解除する旨が外部から入力されると、まず、デバイス管理部２３において、制御対象ドライバ情報２４にて保存されているドライバ情報が取得される（ステップＳ１０１）。

次に、デバイス管理部２３において、クライアント２０にインストールされているデバイスドライバの情報及び状態が、オペレーティングシステムを介してデバイスドライバ２７から１つずつ取得される（ステップＳ１０２）。

デバイス管理部２３において、デバイスドライバ２７からデバイスドライバの情報及び状態が取得された場合は（ステップＳ１０３）、そのドライバ情報によるデバイスドライバ２７を有効化とする指示がデバイス変更部２６に出される（ステップＳ１０４）。

一方、デバイス管理部２３において、デバイスドライバ２７からデバイスドライバの情報及び状態が取得されなかった場合は、処理が終了する。

次に、クライアント２０におけるデバイスドライバの状態変更時の持ち出し防止の手順について説明する。

図５は、図１に示したクライアント２０におけるデバイスドライバの状態変更時の持ち出し防止の手順を説明するためのフローチャートである。

変更検知部２５においては、クライアント２０に接続されたデバイス２８のそれぞれのデバイスドライバ２７の環境設定の状態の変更が監視されており、状態の変更が検知されると（ステップＳ２０１）、制御対象ドライバ情報２４から、対応するデバイスに関するドライバ情報が読み出される（ステップＳ２０２）。

そして、変更検知部２５において、制御対象ドライバ情報２４から対応するデバイスに関するドライバ情報が読み出された場合は（ステップＳ２０３）、読み出されたドライバ情報によるポリシに応じて、状態変更されたデバイスドライバが有効なものであれば（ステップＳ２０４）、そのドライバ情報によるデバイスドライバ２７を有効化とする指示がデバイス変更部２６に出される（ステップＳ２０５）。

一方、状態変更されたデバイスドライバが無効なものであれば、そのドライバ情報によるデバイスドライバ２７を無効化とする指示がデバイス変更部２６に出される（ステップＳ２０６）。

また、変更検知部２５において、制御対象ドライバ情報２４から対応するデバイスに関するドライバ情報が読み出されなかった場合は、処理が終了する。

これにより、状態変更されたデバイスドライバが、本来設定されるべき状態となるように制御され、クライアントマシンの環境が変更される。

次に、クライアント２０におけるデバイスドライバの情報を管理サーバ１０に通知する手順について説明する。

図６は、図１に示したクライアント２０におけるデバイスドライバの情報を管理サーバ１０に通知する手順を説明するためのフローチャートである。

まず、デバイス管理部２３において、クライアント２０にインストールされているデバイスドライバの情報がデバイスドライバ２７から１つずつ取得される（ステップＳ３０１）。

デバイスドライバ２７からの情報が取得された場合は（ステップＳ３０２）、取得されたドライバ情報がデバイス管理部２３にて保存される（ステップＳ３０３）。

図７は、図１に示したデバイス管理部２３にて取得されて保存される情報の一例を示す図である。

図７に示すように、本例においては、プリンタやＩｒＤＡ、Bluetoothといったドライバ種別、対象ドライバのファイル名、そのドライバファイルのハッシュ値が、デバイス管理部２３にて取得されて保存される。なお、ハッシュ値としては、ＭＤ５やＳＨＡ−１等、様々なアルゴリズムがあるが、いずれのものでも良い。

デバイス管理部２３におけるデバイスドライバ２７からの情報の取得は、ドライバの情報が取得できなくなるまで繰り返し行われ、取得されなくなったら、デバイス管理部２３にて保存されたドライバの情報が、通信部２２及びインタフェース部２１を介して一括で管理サーバ１０に送信される（ステップＳ３０４）。

その後、管理サーバ１０においては、クライアント２０から送信されてきた情報が、管理ＧＵＩ部１５のインプットとなるようにドライバ情報１３に保存される。

次に、管理サーバ１０におけるポリシの設定手順について説明する。

図８は、管理サーバ１０におけるポリシの設定手順を説明するためのフローチャートである。

管理者が管理サーバ１０のＧＵＩを起動すると（ステップＳ４０１）、設定ＧＵＩ部１５において、ポリシ設定部１４を介してドライバ情報１３から、現在設定されている情報が取得され、ＧＵＩ上に表示される（ステップＳ４０２）。なお、ＧＵＩの起動は、例えば、Ｗｅｂブラウザ経由でも良いし、専用アプリケーションでも良い。このとき、ＩＤとパスワードなどによる管理者認証を行うことが最も一般的な方法である。また、ドライバ情報１３には、図６に示した手順によって取得されたクライアント２０のドライバの情報が保存されているため、この情報が表示されることになる。

そして、管理者によってポリシを設定する場合（ステップＳ４０３）、設定ＧＵＩ部１５に設定情報が入力されると、設定情報がポリシ設定部１４に通知され、ドライバ情報１３に保存された情報が更新される（ステップＳ４０４）。

また、処理を終了する操作が行われた場合は（ステップＳ４０５）、設定ＧＵＩ部１５における処理が終了し（ステップＳ４０６）、また、設定行為でも終了行為でもない場合は、ステップＳ４０２の状態に戻る。

これにより、管理サーバ１０において、クライアント２０から通知されたクライアント２０のドライバの状態に応じたポリシが設定可能となる。そして、その後、クライアント２０にてそのポリシがダウンロードされることにより、クライアント２０のドライバの状態に応じたポリシがクライアント２０に与えられることになる。

（他の実施の形態）
図１に示した管理サーバ１０において、複数のクライアント２０の情報を取得することにより、管理サーバ１０においてクライアント２０のドライババージョンの管理が可能となる。

上述したようなデバイスドライバの情報をクライアント２０から管理サーバ１０に通知する手順を利用することで、管理サーバ１０の設定ＧＵＩ部１５により、複数のクライアントのドライバ情報を取得可能である。これにより、最新のドライバのハッシュと以前のバージョンハッシュのリストを持つことにより、クライアント２０にインストールされているドライバがどのバージョンのものか管理サーバで確認することが可能となる。

本発明のデバイス設定制御システムの実施の一形態を示す図である。 図１に示したデバイス設定制御システムにおけるデバイス設定制御方法を説明するためのフローチャートである。 図１に示した管理サーバからクライアントにダウンロードされたポリシの一例を示す図である。 図１に示したクライアントにおけるポリシの解除手順を説明するためのフローチャートである。 図１に示したクライアントにおけるデバイスドライバの状態変更時の持ち出し防止の手順を説明するためのフローチャートである。 図１に示したクライアントにおけるデバイスドライバの情報を管理サーバに通知する手順を説明するためのフローチャートである。 図１に示したデバイス管理部にて取得されて保存される情報の一例を示す図である。 管理サーバにおけるポリシの設定手順を説明するためのフローチャートである。

符号の説明

１０ 管理サーバ
１１，２１ インタフェース
１２，２２ 通信部
１３ ドライバ情報
１４ ポリシ設定部
１５ 設定ＧＵＩ部
２０ クライアント
２３ デバイス管理部
２４ 制御対象ドライバ情報
２５ 変更検知部
２６ デバイス変更部
２７ デバイスドライバ
２８ デバイス
３０ ネットワーク

Claims (6)

1. デバイスが接続されたクライアントと、前記デバイスの使用の有効化／無効化を示すポリシの設定を行うための管理サーバとを有し、前記管理サーバにて設定されたポリシが前記クライアントに与えられ、該クライアントにて前記ポリシに基づいて前記デバイスの使用の有効化／無効化が制御されるデバイス設定制御システムにおいて、
   前記クライアントは、該クライアントに接続されたデバイスのデバイスドライバの状態を前記管理サーバに通知するデバイス管理手段を有し、
   前記管理サーバは、前記クライアントから通知されたデバイスドライバの状態に基づいてデバイスの使用の有効化／無効化を示すポリシを設定するためのポリシ設定手段を有することを特徴とするデバイス設定制御システム。
2. 請求項１に記載のデバイス設定制御システムにおいて、
   前記デバイス管理手段は、前記ポリシを解除する旨が指定された場合、当該クライアントに接続された全てのデバイスのデバイスドライバを有効化とすることを特徴とするデバイス設定制御システム。
3. 請求項１または請求項２に記載のデバイス設定制御システムにおいて、
   前記クライアントは、該クライアントに接続されたデバイスのデバイスドライバの環境設定の状態が変更された場合、前記ポリシに基づいて当該デバイスの有効化／無効化を制御する変更検知手段を有することを特徴とするデバイス設定制御システム。
4. デバイスが接続されたクライアントと、前記デバイスの使用の有効化／無効化を示すポリシの設定を行うための管理サーバとを有してなるデバイス設定制御システムにおいて、前記管理サーバにて設定されたポリシを前記クライアントに与え、該クライアントにて前記ポリシに基づいて前記デバイスの使用の有効化／無効化を制御するデバイス設定制御方法であって、
   前記クライアントが、該クライアントに接続されたデバイスのデバイスドライバの状態を前記管理サーバに通知し、
   前記管理サーバが、前記クライアントから通知されたデバイスドライバの状態に基づいて、デバイスの使用の有効化／無効化を示すポリシを設定するための情報を表示出力するデバイス設定制御方法。
5. 請求項４に記載のデバイス設定制御方法において、
   前記クライアントが、前記ポリシを解除する旨が指定された場合、当該クライアントに接続された全てのデバイスのデバイスドライバを有効化とすることを特徴とするデバイス設定制御方法。
6. 請求項４または請求項５に記載のデバイス設定制御方法において、
   前記クライアントが、該クライアントに接続されたデバイスのデバイスドライバの環境設定の状態が変更された場合、前記ポリシに基づいて当該デバイスの有効化／無効化を制御することを特徴とするデバイス設定制御方法。

Images