JP2002268945A - サーバー情報処理システムのセキュリティー強化方法 - Google Patents

Abstract

(57)【要約】 【課題】 アクセス制御リストによるＡＣＬアクセス制
御機能を備えたサーバー情報処理システムにも適用可能
でＡＣＬアクセス制御の特質を活かしながら新たなアク
セス権設定の柔軟性を高めると共に、サーバーにアカウ
ントを有する人物のシステム内部からのハッキングや誤
操作を防止する。 【解決手段】 アクセス制御リストを用いるＡＣＬアク
セス制御手段が実装されているサーバー情報処理システ
ムに、階層的セキュリティーレベルを用いるＳＬＡ階層
アクセス制御手段を実装し、先ずＡＣＬアクセス制御手
段でユーザーからファイルへのアクセスの可否を判別
し、次いでＳＬＡ階層アクセス制御手段で前記アクセス
の可否の判別を行い、両者の許可判別に基づいてユーザ
ーからファイルへのアクセスの続行を許可する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、アクセス制御リ
スト（Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ＝ＡＣ
Ｌ）を用いたアクセス制御技術と、グラフ解析に基づく
セキュリティーレベル設定（Ｓｅｃｕｒｉｔｙ Ｌｅｖ
ｅｌ Ａｓｓｉｇｎｍｅｎｔ＝ＳＬＡ）アルゴリズムに
よって設定される階層的セキュリティーレベルを用いる
階層アクセス制御技術とを併用したサーバー情報処理シ
ステムのセキュリティー強化方法に関するものである。

【０００２】

【従来の技術】コンピューターと通信ネットワークの結
合を基盤とする情報化社会の進展に伴い、サーバーを中
核とする情報処理システムに対するセキュリティー機能
の強化とその普及の重要性が高まっている。サーバー情
報処理システムのセキュリティー機能は、故意的行為か
偶発的行為かを問わず、サーバー情報処理システムにお
ける情報（データ、ファイル、ディレクトリー、など）
の機密漏洩や改竄を防止する機能であり、サーバー情報
処理システムのセキュリティー強化手段は、それが普及
する上でも既存の情報処理システムにも適用できること
が重要である。

【０００３】従来からこのセキュリティー対策として、
情報へのアクセス権を適正に制限するアクセス制御技術
が研究開発されている。また情報へのアクセスは、ユー
ザーやプログラムのようなアクセス動作を起こす主体
（Ｓｕｂｊｅｃｔ）と、その主体のアクセスの対象とな
るデータ、ファイル、ディレクトリーのような客体（Ｏ
ｂｊｅｃｔ）との係わりであり、これらの主体と客体は
総じてエンティティーと称されている。

【０００４】アクセス制御の方式には、エンティティー
の全てにセキュリティーレベルを割り当てこのセキュリ
ティーレベルに対応したアクセスが実行される強制アク
セス制御と、エンティティーがアクセスを許可するため
のアクセス権を保持しそのアクセス権の存在によりアク
セスが制御される任意アクセス制御がある。

【０００５】強制アクセス制御として、階層的セキュリ
ティーレベルを用いる階層アクセス制御、そしてグラフ
解析に基づくセキュリティーレベル設定（Ｓｅｃｕｒｉ
ｔｙＬｅｖｅｌ Ａｓｓｉｇｎｍｅｎｔ＝ＳＬＡ）アル
ゴリズムによって設定される階層的セキュリティーレベ
ルを用いる階層アクセス制御（本願では「ＳＬＡ階層ア
クセス制御」と略す）が従来から知られており、任意ア
クセス制御として、アクセス制御リスト（Ａｃｃｅｓｓ
Ｃｏｎｔｒｏｌ Ｌｉｓｔ＝ＡＣＬ）を用いたアクセ
ス制御（本願では「ＡＣＬアクセス制御」と略す）が知
られている。

【０００６】ＡＣＬアクセス制御は、各客体（ファイ
ル）のそれぞれについて、その客体にアクセスできる主
体（ユーザ）とそのアクセス権限を特定するものであ
る。したがって、ＡＣＬアクセス制御はファイル単位の
細かなアクセス制御指定が可能である反面、アクセス権
の設定量はファイル数に比例して増加するため、アクセ
ス権の設定作業は容易ではない。

【０００７】また、ＡＣＬアクセス制御は現在多用され
ている既存のコンピューターのオペレーティングシステ
ム（ＯＳ）にも採用されており、例えばＵＮＩＸ（登録
商標）系のオペレーションシステム（以下「ＵＮＩＸ系
システム」と略す）には通常、ＡＣＬアクセス制御機能
が標準的に備わっている。

【０００８】ＡＣＬアクセス制御は情報の機密保持機能
面からの評価が高いが、情報処理システムにＡＣＬアク
セス制御を実装するためには各エンティティーに個々に
アクセス権を設定しなければならず、その設定は基本的
にサーバーを設置し運営するシステム管理者が、ユーザ
ー間の関係を把握して手動で行う必要がある。そのため
情報処理システムが大規模になるに従い、ユーザー間の
関係が複雑となってシステム管理者が考慮しなければな
らない内容が増大することから、各エンティティーにア
クセス権を設定するために要する時間が増加し、アクセ
ス権の設定ミスが生ずる可能性も高くなる。

【０００９】このような実態から、ＡＣＬアクセス制御
をサーバー情報処理システムに実装する際のシステム管
理者の負担を軽減するために、アクセス権設定支援シス
テムが考えられおり、例えばＵＮＩＸ系システムでは、
当初から持つファイルに対して、ＵＮＩＸ系システムの
設計者が勧める標準的なアクセス権が自動的に設定され
るようになっており、その限りにおいてシステム管理者
が改めて各ファイルにアクセス権を設定する作業の必要
はない。

【００１０】しかしこのようなＡＣＬアクセス制御のア
クセス権設定支援システムが備わっている場合であって
も、システム管理者が後で追加したファイルやプログラ
ム群、あるいはユーザーが作成したファイル群に対し
て、そのアクセス権設定支援システムが自動的に適用さ
れるものではない。またＵＮＩＸ系システムが当初から
持っているファイルのアクセス権を変更した場合は、そ
の部分がシステムの弱点となる可能性があり、システム
管理者は、そのような変更に対して、プログラムとユー
ザーの間の関係を調べ上げて十分に検討しなければなら
ないという問題がある。またアクセスの主体となるユー
ザの区分は３区分で、ファイル所有者本人、同所有者と
同グループに属するユーザー、同所有者とは異なるグル
ープに属するユーザーの３区分でしか分けることができ
ない。したがって、複数のプロジェクトグループが単一
のサーバーを利用する運営において、あるグループに対
しては情報の読み出し（ｒｅａｄ）と情報の書き込み
（ｗｒｉｔｅ）の双方を許可し、別のグループに対して
は情報の読み出しのみを許可したいと考える場合でも、
グループ別にそのアクセス権を変更する運営をＡＣＬ制
御で実現することはできない。

【００１１】さらにＡＣＬアクセス制御手段を備えた従
来の情報処理システムには、セキュリティーレベルの高
い権限の強いユーザーが、セキュリティーレベルの低い
ユーザーの所有するファイルに対し読み出しと書き込み
の両権限を有するものがあるが、この強い権限が悪用さ
れた場合に、権限の強い人物によってファイルの改竄を
行うことが可能となり、サーバー情報処理システムの内
部からのハッキングや誤操作により、システムに大きな
損傷が生ずる恐れもある。例えばＵＮＩＸ系システムに
おいてセキュリティー上の危険性が高いと考えられる作
業の一つに、ルートユーザー（Ｒｏｏｔ Ｕｓｅｒ）の
業務がある。ＵＮＩＸ系システムにおいて、ルートユー
ザは最大権限者であるが、実務の内容によっては過大な
ものとなり、その過大な権限の上でシステムの誤操作が
生じた場合には、サーバ情報処理システムに致命的な損
傷を与える恐れがあり、その予防手段が求められる。

【００１２】一方、ＳＬＡ階層アクセス制御を含む階層
アクセス制御は、情報の流れ（Ｉｎｆｏｒｍａｔｉｏｎ
Ｆｌｏｗ）が一方向的であることが大きな特徴で、こ
のためセキュリティーレベルの上下関係で情報の流れの
有無が明確に判定できる利点がある。そして階層アクセ
ス制御の概念を導入したセキュリティーモデルとして、
Ｂｅｌｌ ａｎｄＬａＰａｄｕｌａモデル（以下「ＢＬ
Ｐモデル」と略す）が知られている。なおセキュリティ
ーモデルは、機密情報の管理、保護、配布に関する規則
や行動規範を形式的に定義したものである。

【００１３】図１は、ＢＬＰモデルの性質を図式化して
示したものである。ＢＬＰモデルは、幾つかのアクセス
制御の規定に基づいて設計されており、具体的には、階
層的なセキュリティーレベルが存在する中で、上位セキ
ュリティーレベルの情報に対しては情報の書き込みのみ
が許可され、下位セキュリティーレベルの情報に対して
は情報の読み出しのみが許可され、同位セキュリティー
レベル間においては、情報の書き込みと読み出しが共に
許可される。すなわち例えば、ユーザー（主体）１１が
ファイル（客体）１０を読み出すためには、ユーザー１
１のセキュリティーレベルがファイル１０のセキュリテ
ィーレベルよりも上位でなければならず、ユーザー１２
（客体）がファイル１０に書き込むためには、ユーザー
１２のセキュリティレベルがファイル１０のセキュリテ
ィーレベルよりも下位でなければならない。したがっ
て、所望のファイルを読み出すことができるユーザー
は、そのファイルのセキュリティーレベルに対し上位セ
キュリティーレベルのユーザーに限定され、下位セキュ
リティーレベルの主体が上位セキュリティーレベルのフ
ァイルを読み出すことはできないので、通常生じ易い下
位セキュリティーレベルのユーザーを通じた情報漏洩は
防止される。このように情報の流れの一方向性というＢ
ＬＰモデルの特徴によって、上位セキュリティーレベル
の情報の機密性が確保される。また上位セキュリティー
レベルの主体が下位セキュリティーレベルの客体に書き
込みすることができないので、上位セキュリティーレベ
ルの主体によって下位セキュリティーレベルの客体が改
竄されることを防止できる。

【００１４】

【発明が解決しようとする課題】この発明は、サーバー
情報処理システムのセキュリティー機能における上記の
ような現状と問題点を改善するもので、ＡＣＬアクセス
制御手段が既に実装されそれに基づくアクセス権が設定
されて稼動しているサーバー情報処理システムにも適用
可能で、そのＡＣＬアクセス制御の特質を活かしながら
新たなアクセス権設定の柔軟性を高め、アクセス権に関
して新たに区分される複数のユーザーグループが従来の
一つのサーバー情報処理システム利用するような運用形
態においても、当初設定されていたセキュリティーレベ
ル区分から新たなセキュリティーレベルへの変更割付を
も可能にしようとするものである。

【００１５】同時にこの発明は、サーバーにアカウント
を有するユーザー、殊に強力なアクセス権を有するルー
トユーザーによるサーバー情報処理システムの内部から
のハッキングや誤操作でによって、サーバー情報処理シ
ステムが大きなダメージを受けることを防止しようとす
るものである。

【００１６】

【課題を解決するための手段】上記の目的を達するため
に、この発明のサーバー情報処理システムのセキュリテ
ィー強化方法は、アクセス制御リストを用いるＡＣＬア
クセス制御手段が既に実装されているサーバー情報処理
システムに、グラフ解析に基づくセキュリティーレベル
設定アルゴリズムによって設定される階層的セキュリテ
ィーレベルを用いるＳＬＡ階層アクセス制御手段を実装
し、先ず前記ＡＣＬアクセス制御手段において、主体エ
ンティティーからの客体エンティティーへのアクセス要
求を受けてそのアクセス可否の判別を行いその判別結果
に基づいて客体エンティティーへのアクセスを許可し、
次いで前記ＳＬＡ階層アクセス制御手段において、前記
主体エンティティーからのアクセス要求に対するアクセ
ス可否の判別を行い、その判別結果に基づいて客体エン
ティティーへのアクセス続行を許可するものである。

【００１７】

【発明の実施の形態】この発明の実施形態の一つは、ア
クセス制御リストを用いるＡＣＬアクセス制御手段が既
に実装されているサーバー情報処理システムに、グラフ
解析に基づくセキュリティーレベル設定アルゴリズムに
よって設定されるＳＬＡ階層アクセス制御手段を実装
し、先ず前記ＡＣＬアクセス制御手段において、主体エ
ンティティーからの客体エンティティーへのアクセス要
求を受けてそのアクセス可否の判別を行いその判別結果
に基づいて客体エンティティーへのアクセスを許可する
と共に、その間、各客体のファイルが持つタイムスタン
プ情報を監視してそのタイムスタンプ情報の変化によっ
て前記客体エンティティーへのアクセスを検知し、この
アクセス検知に次いで、前記ＳＬＡ階層アクセス制御手
段において、前記主体エンティティーからのアクセス要
求のアクセス可否の判別を行いその判別結果に基づいて
客体エンティティーへのアクセス続行を許可するサーバ
ー情報処理システムのセキュリティー強化方法である。

【００１８】この発明の他の実施形態は、アクセス制御
リストを用いるＡＣＬアクセス制御手段が既に実装され
ているサーバー情報処理システムに、グラフ解析に基づ
くセキュリティーレベル設定アルゴリズムによって設定
される階層的セキュリティーレベルを用いるＳＬＡ階層
アクセス制御手段を実装し、先ず前記ＡＣＬアクセス制
御手段において、主体エンティティーからの客体エンテ
ィティーへのアクセス要求を受けてそのアクセス可否の
判別を行いその判別結果に基づいて客体エンティティー
へのアクセスを許可すると共に、各客体エンティティー
のファイルサイズを監視するクォータプログラムによっ
て前記客体エンティティーへのアクセスを検知し、この
アクセス検知に次いで、前記ＳＬＡ階層アクセス制御手
段において、前記主体エンティティーからのアクセス要
求のアクセス可否の判別を行いその判別結果に基づいて
客体エンティティーへのアクセス続行を許可するサーバ
ー情報処理システムのセキュリティー強化方法である。

【００１９】

【実施例】以下、この発明の実施例を図面を参考に説明
する。ＳＬＡ階層アクセス制御はＡＣＬアクセス制御と
共存し得るものである、図２はこの発明に係るサーバー
情報処理システムのセキュリティー強化方法の一例を説
明するためのブロック図である。このサーバー情報処理
システムは、現在多用されているＵＮＩＸ系システムの
ような、アクセス制御リストを用いるＡＣＬアクセス制
御手段２３が既に実装されている情報処理システムに、
グラフ解析に基づくセキュリティーレベル設定アルゴリ
ズムによって設定される階層的セキュリティーレベルを
用いるＳＬＡ階層アクセス制御手段２４を付加実装した
情報処理システムで、２０はアクセスの客体となるファ
イル、２１はアクセスの主体となるユーザーである。

【００２０】同システムで情報処理が行われる場合、次
の順序でファイル２０へのアクセスが実行される。 ステップＡ１：ユーザー２１からファイル２０へのアク
セス要求が発生する。 ステップＡ２：ＡＣＬアクセス制御手段２３がステップ
Ａ１のアクセス要求を受けて動作しそのアクセス可否の
判断を行う。そしてシステム管理者がＡＣＬに基づいて
予め設定したアクセス条件に適合しない場合そのアクセ
ス要求はこの時点で中断され、適合したアクセス要求に
ついてはファイル２０へのファイルアクセスを進行させ
る。 ステップＡ３：ステップＡ２でＡＣＬアクセス制御手段
２３がアクセス要求をチェックしている間、ＡＣＬアク
セス制御手段２３が各ファイル２０が持つタイムスタン
プ２０ａを常に監視し、そのタイムスタンプ２０ａの内
容に変化が生じた場合、前記ファイルアクセスが試みら
れたと判断する。タイムスタンプ２０ａは、アクセス要
求の種類が情報の読み出しあるいは書き込みのいずれで
あっても書き換えられるので、タイムスタンプ２０ａの
情報変化（情報の書き換え）を感知することにより、フ
ァイルへアクセスが試みられたと判断できる。なお、タ
イムスタンプ情報の取得にはｉ−ｎｏｄｅ情報を用いる
もので、図３に示すように、ｉ−ｎｏｄｅ情報のラスト
アクセス（ｌａｓｔ ａｃｃｅｓｓ）部分に示される値
が、ファイルアクセスの前後において変化を起こす特徴
がある。 ステップＡ４：タイムスタンプ情報の変化によってファ
イル２０へのアクセスが検知された後、次いでＳＬＡ階
層アクセス制御手段２４において前記ユーザーからのア
クセス要求のアクセス可否の判別を行う。そしてシステ
ム管理者が予め設定したセキュリティーレベルに適合し
ないアクセス要求と判断された場合は、直ちに前記ファ
イルアクセスの進行処理に割り込んでファイル２０への
アクセスを中断させ、上記セキュリティーレベルに適合
するアクセス要求と判断された場合は、ファイル２０に
対する処理が続行される。

【００２１】このようにこの発明の方法では、ユーザー
からのアクセス要求が、ＡＣＬアクセス制御のアクセス
適合条件とＳＬＡ階層アクセス制御のセキュリティーレ
ベルの適合条件とを共に満たすＡＮＤ条件で判別され、
いずれか一方の条件でも適合しなければそのアクセス要
求が受け付けられないので、サーバー情報処理システム
のセキュリティー機能は強化され、またＡＣＬアクセス
制御手段が既に実装されている既存の情報処理システム
にも適用できるので、セキュリティー対策を普及させる
上でも効果的である。

【００２２】しかしファイルのタイムスタンプの監視に
よってファイルアクセスを検知する図２に示した方法で
は、ＡＣＬアクセス制御と並行してファイルアクセス検
知が実行されるため、ファイルの監視に十分短い間隔を
設定しない場合、ファイルアクセスの中断処理が遅れて
間に合わなくなる事態も考えられる。

【００２３】図４はこの発明に係るサーバー情報処理シ
ステムのセキュリティー強化方法の他の実施例を示すも
ので、図２の実施例における上記の危惧を除くことがで
きる。図４の実施例では、図２の実施例におけるタイム
スタンプの監視によるファイルアクセス検知に代え、フ
ァイルサイズを監視してアクセス制御を行うクォータプ
ログラムを、システム管理者の設定した階層レベル情報
を監視するように拡張してファイルアクセスを検知する
ようにしている。図４に示すサーバー情報処理システム
の基本は、図２に示したところと同様で、ＵＮＩＸ系シ
ステムのような、アクセス制御リストを用いるＡＣＬア
クセス制御手段４３が既に実装されている情報処理シス
テムに、グラフ解析に基づくセキュリティーレベル設定
アルゴリズムによって設定される階層的セキュリティー
レベルを用いるＳＬＡ階層アクセス制御手段４４を付加
実装した情報処理システムで、４０はアクセスの客体と
なるファイル、４０ａはデフォルトアクセス制御手段、
４１はアクセスの主体となるユーザー、４５はクォータ
プログラムである。

【００２４】このシステムで情報処理が行われる場合、
次の順序でファイル４０へのアクセスが実行される。 ステップＢ１：ユーザー４１からファイル４０へのアク
セス要求が発生する。 ステップＢ２：ＡＣＬアクセス制御手段４３がステップ
Ｂ１のアクセス要求を受けて動作しそのアクセス可否の
判断を行う。そしてシステム管理者がＡＣＬに基づいて
予め設定したアクセス条件に適合しないアクセス要求は
この時点で中断され、適合したアクセス要求については
続いてクォータプログラム４５でチェックされる。 ステップＢ３：ステップＢ２でＡＣＬアクセス制御手段
４３をパスしたアクセス要求は、クォータプログラム４
５を介してＳＬＡ階層アクセス制御手段４４に送られ、
前記ユーザーからのアクセス要求のアクセス可否の判別
を行う。そこで前記ユーザーからのアクセス要求がシス
テム管理者が予め設定したセキュリティーレベルに適合
しないと判断された場合は、直ちに前記アクセス要求の
ファイルアクセスを中断させる。 ステップＢ４：そして前記ユーザーからのアクセス要求
がシステム管理者が予め設定した上記セキュリティーレ
ベルに適合すると判断された場合は、ファイル４０に対
する処理が続行される。

【００２５】次にこの発明のサーバー情報処理システム
のセキュリティー強化方法をＵＮＩＸ系システムに適用
する場合について見る。この発明の実施のためにＳＬＡ
階層アクセス制御手段をＵＮＩＸ系システムに実装する
方式は、大別して、独自のプログラムによる割り込み処
理方式、またはＵＮＩＸ系システムのオリジナルソース
プログラムの拡張方式となる。現在提供されている幾つ
かのＵＮＩＸ系システムでは、ソースプログラムも合わ
せて提供されているため、前記のクォータプログラム方
式を選択する方が、ＵＮＩＸ系システム自身の機能とし
て無理なく実装可能と考えられる。ソースプログラムが
提供されていないＵＮＩＸ系システムにかんしては、タ
イムスタンプ方式を用いることになるが、タイムスタン
プ方式ではＵＮＩＸ系システムのアクセス制御と並行し
てファイルアクセス監視を行うため十分短い間隔でのア
クセス監視が必要と考えられるほか、動作の確実性に関
してもクォータプログラム方式に比して不利と考えられ
る。なお図１０は、タイムスタンプ方式とクォータプロ
グラム方式の特徴を示したものである。

【００２６】次にこの発明におけるＳＬＡ階層アクセス
制御の適用範囲について見る。このＳＬＡ階層アクセス
制御手段（プログラム）は、ＵＮＩＸ系システムの最大
権限者であるルートユーザーを除く範囲で動作する。ル
ートユーザーはＳＬＡ階層アクセス制御を開始および停
止させることのできる唯一のユーザーであり、ＳＬＡ階
層アクセス制御の動作を開始した場合でも、ＳＬＡ階層
アクセス制御がルートユーザーに対して適用されること
はない。また、ルートユーザー以外のユーザーは、この
ＳＬＡ階層アクセス制御を独自に解除したり中断するこ
とはできない。ＵＮＩＸ系システムでは原則として、ル
ートユーザーによって開始されたサービスは、他のユー
ザーが中断することができないように設計されている。
図５は、ルートユーザーの位置付けを表すもので、ＵＮ
ＩＸ系システムに存在するユーザーは、ルートユーザー
５１０と、それ以外のユーザー５１１に区分に分かれ、
ルートユーザー５１０以外のユーザー５１１は、さらに
幾つかのセキュリティーレベルに区分される。なお、同
図に見られるバックアップユーザーは、階層アクセス制
御を利用した場合に形成が可能となる特殊なユーザーで
ある。

【００２７】次にこの発明の実施によって解決できる問
題や著しい実施効果について説明する。問題解決の一つ
は、下位権限に位置する情報（ファイル）の改竄を防止
できることである。ＵＮＩＸ系システムでは、セキュリ
ティーレベルが上位にある権限の大きな人物は、セキュ
リティーレベルが下位の人物が所有するファイルに対し
読み出しと書き込みの両方の権限を有する。このような
条件下おいては、この強い権限が悪用された場合、書類
の改竄を容易に行うことが可能となる。現に実社会にお
いて、大きな権限を有する人物がファイルの改竄や破棄
によって、不正を隠蔽する構造が見られることがある。
これに対し、この発明で主要な構成をなすＳＬＡ階層ア
クセス制御の特徴として、情報（ファイル）の流れが一
方向性であることから、下位ユーザーから上位ユーザー
に送られるファイルに対し上位ユーザーが読み出し・書
き込みの操作が可能であるが、下位ユーザーが所有する
オリジナルファイルに対しては、読み出しのみが可能
で、書き込みは不可であるので、大きな権限を有する上
位ユーザーによる情報の改竄を防止することができる。
すなわち図６に示すように、セキュリティーレベル：１
に設定された下位ユーザー６２がオリジナルファイル６
０を作成しそのコピーファイル６０１を複製しコピーフ
ァイル６０２をセキュリティーレベル：２の上位ユーザ
ー６１に送付することができるが、セキュリティーレベ
ル：２の上位ユーザー６１は、送られてきたコピーファ
イル６０２に対しては読み出し・書き込み双方の権限を
持つが、セキュリティーレベル：１の下位ユーザー６２
が所有するオリジナルファイル６０に書き込みをして編
集することは許されておらず、したがってオリジナルフ
ァイル６０を改竄することはできない。

【００２８】また、この発明による実用上の大きな効果
の一つは、サーバー情報処理システムのユーザーの中に
準システム管理者の権限を形成できることである。ＵＮ
ＩＸ系システムにおいて、危険性が高いと考えられる作
業の一つにルートユーザーの権限を用いる業務がある
が、業務の内容によっては、ルートユーザーの権限が過
剰なものになる場合がある。例えばファイルのバックア
ップ業務は単純な作業であるが、全てのファイルを読み
出す必要があるためルートユーザーの権限を必要とす
る。しかしルートユーザーはどのような作業も可能であ
るという性質上、この状態でのルートユーザーとしての
誤操作はサーバー情報処理システムに致命的な損傷を与
える恐れが大きい。このような危険に対し、階層アクセ
ス制御を併用するこの発明では、サーバー情報処理シス
テムのユーザーの中に準システム管理者の権限を形成す
ることができ、これによってルートユーザー強大な権限
にからむシステムの不測のダメージを予防することがで
きる。

【００２９】例えば大学において、サーバーの運営に学
生が関与する情況を想定した場合、サーバーのルートユ
ーザーの権限は、基本的にはその情報処理システムを熟
知した教員によって管理されるが、管理業務にボランテ
ィアとして参画する学生にも、バックアップ業務を依頼
するために、ルートユーザーの権限が与えられる。この
ような場合に、学生の知識・経験の不足からくる誤操作
によって、ファイルに大きな損傷が生ずる危険性が考え
られる。これに対しこの発明のセキュリティー強化方法
によれば、情報の流れが一方向である階層アクセス制御
を用いているので、最上位のセキュリティーレベルを設
定されたユーザーは全ての下位ユーザーのファイルの読
み出しのみが可能であり、準システム管理者あるいはバ
ックアップ業務に支障のないバックアップユーザーとし
ての役割を持つユーザーが形成されることになる。そし
てこの準システム管理者あるいはバックアップユーザー
は、階層アクセス制御の特徴から、下位のセキュリティ
ーレベルのファイルへの書き込みが許可されていないの
で、バックアップ作業中に誤操作によってファイルを損
傷させる危険を防止することができる。なお図７は、上
記の準システム管理者の形成構造と、この発明のサーバ
ー情報処理システムのセキュリティー強化方法における
機能を示している。

【００３０】さらにまた、ハッキング行為の察知・予防
に関して見れば、上記のような準システム管理者を形成
した場合、スイッチユーザー（Ｓｗｉｔｃｈ Ｕｓｅ
ｒ）と呼ばれるルートユーザーへの移行を準システム管
理者に限定させることで、ハッキング行為の発見を助け
ることができる。すなわち、侵入者は通常、ルートユー
ザーへ移行すると自分の侵入痕跡を消去する。この消去
の対象となるのはＵＮＩＸシステムが自動的に作成する
ログファイルであり、ルートユーザーの場合はこのログ
ファイルが編集可能となる。しかし、準システム管理者
を経由しなければルートユーザーへ移行できないという
原則を設定することによって、侵入者は一旦、ファイル
の変更を一切行えない準システム管理者の権限を経由し
なければならないことになる。このことは、侵入者が準
システム管理者への移行に成功したとしても更にルート
ユーザーに移行するまでの時間が余分に必要となること
を意味する。したがって、この時間を長くすることは、
正規のシステム管理者が侵入者の存在を察知できる機会
を増すことにつながり、ハッキング行為の予防に効果を
奏するものである。

【００３１】次にこの発明のサーバー情報処理システム
のセキュリティー強化方法を、コンピューターを活用し
た大学の授業に適用する例を説明する。ＵＮＩＸ系シス
テムに用いられていた初期のＡＣＬでは、自分と同グル
ープのユーザーであれば、それらのユーザーが所持する
ファイルは閲覧が許可されている。ユーザーがその許可
設定に修正を加えることもできるが、大部分のユーザー
は初期設定のまま利用を続ける。このような場合、過去
の演習内容が参照されてしまう危険がある。すなわち、
既に演習を終えた人物のファイルが閲覧または複写さ
れ、不正なレポートが作成され、正常な授業の障害にな
ることが考えられる。このような情況に、この発明にか
かるサーバー情報処理システムのセキュリティー強化方
法を取り入れ、学年を単位としたセキュリティーレベル
を設定することにより、下位レベルに設定された学年生
は上位学年のファイルの閲覧ができなくなり、コンピュ
ーターを活用した授業の実を上げることができる。

【００３２】

【発明の効果】上記の実施例からも明らかなように、こ
の発明のサーバー情報処理システムのセキュリティー強
化方法によれば、従来から多用されているＡＣＬアクセ
ス制御の特質を活かしながら新たなアクセス権設定の柔
軟性を高めることができる。したがって当初設定されて
いたセキュリティーレベル区分から新たなセキュリティ
ーレベル区分への変更も柔軟に可能になる。またこの発
明によれば、サーバーにアカウントを有するユーザー、
殊に強力なアクセス権を有するルートユーザーによるサ
ーバー情報処理システムの内部からのハッキングや誤操
作を防止して、サーバー情報処理システムセキュリティ
ー機能を強化することができる。

【図面の簡単な説明】

【図１】従来公知のＢＬＰモデルの機能説明図。

【図２】この発明の一実施例を示すサーバー情報処理シ
ステムのセキュリティー強化方法の説明図。

【図３】同セキュリティー強化方法において用いるｉ−
ｎｏｄｅ情報の変化図。

【図４】この発明の他の実施例を示すサーバー情報処理
システムのセキュリティー強化方法の説明図。

【図５】この発明のサーバー情報処理システムのセキュ
リティー強化方法におけるユーザーの構成図。

【図６】この発明のサーバー情報処理システムのセキュ
リティー強化方法の機能説明図。

【図７】この発明のサーバー情報処理システムのセキュ
リティー強化方法の機能説明図。

【図８】この発明のサーバー情報処理システムのセキュ
リティー強化方法の機能説明図。

【図９】この発明のサーバー情報処理システムのセキュ
リティー強化方法の機能説明図。

【図１０】この発明の実施例の特徴比較図。

【図１１】ＡＣＬアクセス制御とＳＬＡ階層アクセス制
御の比較図。

【符号の説明】

２０ ： ファイル（客体） ２０ａ： タイムスタンプ ２１ ： ユーザー（主体） ２３ ： ＡＣＬアクセス制御手段 ２４ ： ＳＬＡ階層アクセス制御手段 ４０ ： ファイル（客体） ４１ ： ユーザー（主体） ４３ ： ＡＣＬアクセス制御手段 ４４ ： ＳＬＡ階層アクセス制御手段 ４５ ： クォータプログラム ５１０： ルートユーザー（システム管理者） ５１１： ルートユーザー以外のユーザー ５１２： バックアップユーザー（準システム管理者） ５１３： ユーザー ６１ ： オリジナルファイル ６０１： コピーファイル ６０２： コピーファイル ６１ ： 上位ユーザー ６２ ： 下位ユーザー

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B017 AA03 BA06 BB09 CA16 5B082 EA11 5B085 AE06 BG07

Claims (4)

【特許請求の範囲】
1. 【請求項１】 アクセス制御リストを用いるＡＣＬアク
   セス制御手段が既に実装されているサーバー情報処理シ
   ステムに、グラフ解析に基づくセキュリティーレベル設
   定アルゴリズムによって設定される階層的セキュリティ
   ーレベルを用いるＳＬＡ階層アクセス制御手段を実装
   し、先ず前記ＡＣＬアクセス制御手段において、主体エ
   ンティティーからの客体エンティティーへのアクセス要
   求を受けてそのアクセス可否の判別を行いその判別結果
   に基づいて客体エンティティーへのアクセスを許可し、
   次いで前記ＳＬＡ階層アクセス制御手段において、前記
   主体エンティティーからのアクセス要求に対するアクセ
   ス可否の判別を行い、その判別結果に基づいて客体エン
   ティティーへのアクセス続行を許可することを特徴とす
   るサーバー情報処理システムのセキュリティー強化方
   法。
2. 【請求項２】 アクセス制御リストを用いるＡＣＬアク
   セス制御手段が既に実装されているサーバー情報処理シ
   ステムに、グラフ解析に基づくセキュリティーレベル設
   定アルゴリズムによって設定されるＳＬＡ階層アクセス
   制御手段を実装し、先ず前記ＡＣＬアクセス制御手段に
   おいて、主体エンティティーからの客体エンティティー
   へのアクセス要求を受けてそのアクセス可否の判別を行
   いその判別結果に基づいて客体エンティティーへのアク
   セスを許可すると共に、その間、各客体のファイルが持
   つタイムスタンプ情報を監視してそのタイムスタンプ情
   報の変化によって前記客体エンティティーへのアクセス
   を検知し、このアクセス検知に次いで、前記ＳＬＡ階層
   アクセス制御手段において、前記主体エンティティーか
   らのアクセス要求のアクセス可否の判別を行いその判別
   結果に基づいて客体エンティティーへのアクセス続行を
   許可することを特徴とするサーバー情報処理システムの
   セキュリティー強化方法。
3. 【請求項３】 スタンプ情報としてｉ−ｎｏｄｅ情報を
   用いることを特徴とする請求項２に記載のサーバー情報
   処理システムのセキュリティー強化方法。
4. 【請求項４】 アクセス制御リストを用いるＡＣＬアク
   セス制御手段が既に実装されているサーバー情報処理シ
   ステムに、グラフ解析に基づくセキュリティーレベル設
   定アルゴリズムによって設定される階層的セキュリティ
   ーレベルを用いるＳＬＡ階層アクセス制御手段を実装
   し、先ず前記ＡＣＬアクセス制御手段において、主体エ
   ンティティーからの客体エンティティーへのアクセス要
   求を受けてそのアクセス可否の判別を行いその判別結果
   に基づいて客体エンティティーへのアクセスを許可する
   と共に、各客体エンティティーのファイルサイズを監視
   するクォータプログラムによって前記客体エンティティ
   ーへのアクセスを検知し、このアクセス検知に次いで、
   前記ＳＬＡ階層アクセス制御手段において、前記主体エ
   ンティティーからのアクセス要求のアクセス可否の判別
   を行いその判別結果に基づいて客体エンティティーへの
   アクセス続行を許可することを特徴とするサーバー情報
   処理システムのセキュリティー強化方法。