JP2003006027A - アクセス制御ポリシーの自動設定方法およびそのシステム - Google Patents

Abstract

(57)【要約】 【課題】情報処理装置が管理するファイルを保護するた
めのアクセス制御ポリシーの自動設定を可能にし、特別
な知識を有していなくてもアクセス制御システムを使用
可能にする。 【解決手段】情報処理装置１００が管理するファイルへ
のアクセスの正当性を判断するためのアクセス制御ポリ
シーを格納したポリシーファイル１０９と、アクセス制
御ポリシーを設定するためのアクセス制御ポリシー設定
部１０７と、ファイルアクセス要求の正当性をアクセス
制御ポリシーに基づき判定するアクセス制御処理部１０
６と、情報処理装置１００へのファイルアクセス要求の
発行を監視し、発行されたファイルアクセス要求を下部
に伝え、正当性判定結果を受信するアクセス監視処理部
１０２と、プログラムが起動しているか否かを監視する
プロセス起動終了監視部１０５とを備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報処理装置が管
理する情報を不正なアクセスから保護するアクセス制御
システムにおいて、実際に行われたアクセス情報を利用
してアクセス制御ポリシーを自動設定することにより、
情報管理方法に関する特別な知識を有していなくてもア
クセス制御システムを使用することを可能にしたアクセ
ス制御ポリシーの自動設定方法およびそのシステムに関
する。

【０００２】

【従来の技術】近年、インターネットサービスプログラ
ム等に潜むセキュリティホールやバグなどを利用した外
部からの情報処理装置への不正アクセスが増加している
が、これらの不正アクセスからファイルを保護する技術
としては、例えば、特開平１１−１４９４１３号公報に
記載の「改ざん防止／検出機能を有するファイル管理シ
ステム」などがある。

【０００３】上記ファイル管理システムでは、主ファイ
ルから生成された認証子を副ファイルに格納し、副ファ
イルから生成された認証子をシステムファイルに格納す
る。計算機側の相互認証部は計算機と記憶装置の双方の
間で相互認証を行い、成功したならば、共通のアクセス
許可鍵を生成し、記憶装置側に渡し、双方に格納する。
ファイルアクセス部は、記憶装置を介してアクセスする
媒体上のセキュア領域にアクセスする場合に、記憶装置
のセキュア領域アクセス部に対してアクセス要求ととも
にアクセス許可鍵を送付する。送付されたアクセス許可
鍵と同一の鍵がアクセス許可鍵記憶部内に存在したなら
ば、セキュア領域アクセス部はセキュア領域へのアクセ
スを行う。

【０００４】

【発明が解決しようとする課題】しかしながら、情報処
理装置への不正アクセスからファイルを保護するための
アクセス制御ポリシーには、当該ファイルにアクセスを
行うユーザ名、アクセスを行うプログラム名などといっ
た情報が必要であり、アクセス制御ポリシーを設定する
には、当該ファイルにアクセスを行うプログラムにはど
のようなものがあるのかなどのファイルアクセスに関す
る知識を必要とするため、誰でも簡単に設定ができると
いうものではなかった。そのため、システム管理者など
特定の有識者でないとアクセス制御システムを使用する
ことができなかった。また、管理すべき情報は数多くあ
り、また日夜更新追加が頻繁になされている。従って、
このような状況下で、システム管理者でさえも見落とし
たり、設定操作を誤ってしまうこともあるため、ハッカ
ーが入り込むセキュリティホールを人的に作り出す危険
性があった。

【０００５】そこで、本発明の目的は、情報管理に関す
る特定の知識およびポリシー設定操作の正確さを必要と
するアクセス制御ポリシーの設定を自動的に行うことが
でき、かつ特別な知識を有していなくてもアクセス制御
システムを構築し、それを使用可能にすることができる
アクセス制御ポリシーの自動設定方法およびそのシステ
ムを提供することにある。

【０００６】

【課題を解決するための手段】上記目的を達成するた
め、本発明のアクセス制御システムは、情報処理装置が
管理するファイルへのアクセスの正当性を判断するため
のアクセス制御ポリシーと、前記アクセス制御ポリシー
を格納したポリシーファイルと、前記アクセス制御ポリ
シーを設定するためのアクセス制御ポリシー設定手段
と、当該ファイルアクセス要求の正当性を前記アクセス
制御ポリシーに基づき判定するアクセス制御処理部と、
情報処理装置へのファイルアクセス要求の発行を監視
し、発行されたファイルアクセス要求を前記アクセス制
御処理部に伝え、正当性判定結果を受信するアクセス監
視処理部とを備え、ファイルアクセス要求が発行された
時に取得したファイルアクセスに関する情報を利用し
て、アクセス制御ポリシーを自動的にポリシーファイル
へ設定することを特徴としている。

【０００７】なお、本発明のアクセス制御ポリシーと
は、ファイル名、該ファイルにアクセス可能なプログラ
ム名、アクセスタイプ、アクセス可能なユーザ名および
プログラムのハッシュ値などのアクセス許可指定物を総
称したものであって、これらの指定物以外からアクセス
したことを検出する手段を言う。従来、例えば、Ｗｅｂ
サーバのようなシステムにアクセス制御システムを導入
して、アクセス制御ポリシーを設定する際には、どのよ
うなユーザがどのプログラムを使用して保護すべきファ
イルにアクセスしてくるか、ということを調査する必要
があり、その作業は極めて手間と時間がかかってしま
う。そこで、本発明では、該当ファイルへアクセス要求
がある毎に、その要求に対して制御を行うときに取得す
る情報を利用して、アクセス制御ポリシーの設定を行う
ことができる点に着目した。

【０００８】そして、本発明においては、ファイル保護
のためのポリシーファイルを設定する場合に、下記
（イ）〜（ハ）の３つの方針のいずれかを選択できるよ
うにする。 （イ）アクセス制御を行うときに取得する情報を利用し
て直ちにポリシーファイルを作成する。（ロ）アクセス
制御を行うとき取得する情報を一旦、ログファイルに蓄
積しておき、その後、その中からポリシーがあるものだ
けを選択して、ポリシーファイルに移管する（ハ）上記
（イ）のうち、ノーマルモード、チェックモードおよび
自動ポリシー設定モードを判断して、ポリシー設定モー
ドのときだけ自動設定する。

【０００９】

【発明の実施の形態】以下、本発明の実施例を、図面に
より詳細に説明する。 （第１の実施例（システム構成））図１は、本発明の第
１の実施例（請求項１に対応）を示すアクセス制御シス
テムの構成図である。図１において、１００は情報処理
装置であり、使用者がプログラムを通じてファイルにア
クセスを行った時の当該ファイルアクセス要求を発行す
るＩ／Ｏマネージャ１０１と、Ｉ／Ｏマネージャ１０１
が発行したファイルアクセス要求をフックするファイル
アクセス監視処理部１０２と、発行されたファイルアク
セス要求を基にファイルへのアクセスを行うファイルシ
ステムドライバ１０３と、ファイルアクセス監視処理部
１０２がフックしたファイルアクセス要求に関する情報
を記憶しておくメモリ１０４とを備えている。

【００１０】また、情報処理装置１００上でプログラム
が起動しているか起動していないかを監視するプロセス
監視処理部１０５と、ファイルアクセス監視処理部１０
２がフックしたファイルアクセス要求の正当性を判断す
るアクセス制御処理部１０６と、ファイルアクセスの正
当性を判断するためのアクセス制御ポリシーをポリシー
ファイル１０９に設定するためのアクセス制御ポリシー
設定処理部１０７と、情報処理装置１００が管理するフ
ァイルが格納された記憶装置（ＤＫ）１０８とを備えて
いる。この記憶装置（ＤＫ）１０８には、アクセス制御
ポリシー設定処理部１０７によって設定されたアクセス
制御ポリシーを格納するためのポリシーファイル１０９
と、ファイルアクセス監視処理がフックしたファイルア
クセス要求に関する情報を、ファイルアクセスログとし
て格納するためのアクセスログファイル１１０が蓄積さ
れる。

【００１１】図１において、Ｉ／Ｏマネージャ１０１で
受けた要求を全てファイルに格納する場合には、Ｉ／Ｏ
マネージャ１０１とファイルシステムドライバ１０３と
記憶装置（ＤＫ）１０８とがあれば足りる。しかるに、
本発明の目的を達成させるために、本発明のアクセス制
御システムでは、Ｉ／Ｏマネージャ１０１で受けた要求
を途中でフック（横取り）して、それらの要求を解析
し、ポリシーとして良ければ、記憶装置（ＤＫ）１０８
のポリシーファイル１０９に自動設定するための新たな
処理部を情報処理装置１００内に配置する。すなわち、
要求をフックするファイルアクセス監視処理部１０２
と、プロセスの起動と終了を監視するプロセス起動終了
監視処理部１０５と、ファイルアクセス要求を解析して
その正当性を判断するアクセス制御処理部１０６と、正
当性が判断されたならば、ポリシーファイル１０９に設
定するためのアクセス制御ポリシー設定処理部１０７と
を配置する。

【００１２】（ファイル、テーブル、メモリの構造）図
２は、図１におけるポリシーファイルのデータ構造を示
した図である。図２において、アクセスファイル名２０
１は、アクセスを制限すべきファイルの名称を示す。ア
クセス可能プログラム２０２は、例外的にアクセスファ
イル名２０１に示されたファイルに対してアクセスを許
可されたプログラムの名称を示す。アクセスタイプ２０
３は、アクセスファイル名２０１に示されたファイルに
対し、例外的に許可されたアクセス方法を示す。アクセ
ス可能ユーザ名２０４は、アクセスファイル名２０１に
示されたファイルに対し、例外的にアクセスを許可され
たユーザ名を示す。プログラムのハッシュ値２０５は、
アクセス可能プログラム２０２に示されたプログラムの
特徴値を表し、アクセス可能プログラムの正当性、一意
性をより確実にするために使用するものである。つま
り、プログラムのハッシュ値を計算して、格納された値
と一致すれば、本物のプログラムであることが確認でき
る。

【００１３】図３は、図１におけるファイルアクセス監
視処理がファイルアクセス要求をフック時に取得する情
報を格納するメモリ（１０４）のデータ構造を示す図で
ある。図３において、メモリ１０４に格納されるアクセ
スファイル名３０１は、使用者がファイルアクセスを行
ったファイルの名称を示す。また、プロセスＩＤ３０２
は、使用者がファイルアクセスを行った時に使用したプ
ログラムのプロセスＩＤを示す。アクセス実行プログラ
ム名３０３は、使用者がファイルアクセスを行った時に
使用したプログラムの名称を示し、プロセスＩＤ３０２
をもとに取得する。プログラムのハッシュ値３０４は、
アクセス実行プログラム名３０３に示されたプログラム
の特徴値を示す。アクセスタイプ３０５は、使用者がフ
ァイルアクセスを行った時のアクセス方法を示す。アク
セス実行ユーザ名３０６は、使用者がファイルアクセス
を行った時のユーザ名を示す。ファイルアクセス監視処
理部１０２によりフックされた各データがメモリ１０４
に格納された後、アクセス制御ポリシー設定処理部１０
７により読み出されて、ポリシーファイル１０９に順次
格納される。

【００１４】図４は、プロセス監視処理部（１０５）が
管理するプロセス管理テーブルのデータ構造図である。
このプロセス管理テーブルは、プロセス監視処理部１０
５内に設置される。テーブル内のプロセスＩＤ４０１
は、使用者が実行したプログラムのプロセスＩＤを示
す。実行プログラム名４０２は、使用者が実行したプロ
グラムの名称を示し、プロセスＩＤ４０１をもとに取得
する。プロセス実行ユーザ名４０３は、プログラムを実
行したユーザ名を示す。プログラムのハッシュ値４０４
は、実行プログラム名４０２に示されたプログラムの特
徴値を示す。

【００１５】（全体の構成と動作）図１および図１１を
用いて、本発明のシステムの全体構成とその動作を説明
する。情報処理装置にアクセス制御システムを導入し
て、アクセス制御ポリシーを設定する際には、どのよう
なユーザがどのプログラムを使用して保護すべきファイ
ルにアクセスしてくるか、ということを調査する必要が
あり、調査するだけでも膨大な手間と時間がかかる。そ
こで、本発明のアクセス制御システムは、図１に示すよ
うに、通常のアクセス要求の入力等でアクセス制御を行
うときに取得する情報を利用して、アクセス制御ポリシ
ーの設定を行うのである。そのために、受けた要求を途
中でフックして、下部の処理部に処理を依頼するファイ
ルアクセス監視処理部１０２と、プロセスの起動と終了
を監視するプロセス起動終了監視処理部１０５と、ファ
イルアクセス要求を解析してその正当性を判断するアク
セス制御処理部１０６と、それらの要求を解析し、ポリ
シーとして良ければ、記憶装置（ＤＫ）１０８のポリシ
ーファイル１０９に自動設定するアクセス制御ポリシー
設定処理部１０７とを新たに配置する

【００１６】（第２の実施例（全体動作））図１１は、
本発明の第２の実施例（請求項２に対応）を示すアクセ
ス制御ポリシーの自動設定方法の全体動作のフローチャ
ートである。本発明のアクセス制御ポリシー自動設定方
法では、図１１に示すように、最初からアクセス要求時
に取得する情報を利用して、アクセス制御ポリシーの設
定を行うか、あるいは一旦、ログファイルに設定する
か、あるいはノーマルモード（通常動作）を行わせるか
の選択を行い（ステップ１１０１）、最初からポリシー
の設定を行う場合には、さらに自動設定を行うか（ステ
ップ１１０２）、２回目以降のポリシー設定であるか
（ステップ１１０３）、あるいは取得した情報のチェッ
クのみを行うかの選択を行う（ステップ１１０４）。自
動設定の場合（特に１回目）には、アクセス制御を行う
とき取得する情報を利用して直ちにポリシーファイルを
作成する自動設定モードを動作させ（ステップ１１０
５）、２回目以降の設定の場合には、既にポリシーファ
イルに存在しないものだけを設定する追加モードを動作
させ（ステップ１１０６）、チェックのみの場合には、
チェックモードを動作させる（ステップ１１０７）。

【００１７】一方、ノーマルモードが選択された場合に
は（ステップ１１０１）、本発明の処理は行わずに、直
ちに処理を終了する。また、ログファイルに格納するモ
ードが選択された場合には（ステップ１１０１）、アク
セス制御を行うとき取得する情報を一旦、ログファイル
に蓄積しておき（ステップ１１０８）、その後、その中
からポリシーがあるものだけを選択して（ステップ１１
０９）、ポリシーファイルに移管する（ステップ１１１
０）。本発明においては、その時の状況により、アクセ
ス要求の情報を利用して直ちにポリシーファイルを作成
するか、チェックのみを行うか、ログファイルからポリ
シーに必要なものだけをポリシーファイルに移すか、を
選択できるようにすることも特徴としている。

【００１８】（プロセス監視処理）図５は、プロセス監
視処理部（１０５）によるプログラムの起動または終了
検知時の処理フローチャートである。使用者がプログラ
ムを起動または終了すると、プロセス監視処理部１０５
はプログラムが起動されたか終了されたかを判定し（ス
テップ５０１）、プログラムが起動された場合は、起動
されたプログラムのプロセスＩＤ４０１を取得し（ステ
ップ５０２）、取得したプロセスＩＤ４０１が図４に示
すプロセス管理テーブルに既に登録済みの場合は処理を
終了する（ステップ５０３）。

【００１９】取得したプロセスＩＤ４０１が図４に示す
プロセス管理テーブルに登録されていない場合は（ステ
ップ５０３）、取得したプロセスＩＤ４０１をもとに実
行プログラム名４０２を取得し（ステップ５０４）、プ
ログラムを実行したユーザ名４０３を取得し（ステップ
５０５）、プログラムのハッシュ値４０４の算出を行い
（ステップ５０６）、プロセスＩＤ４０１、実行プログ
ラム名４０２、プログラム実行ユーザ名４０３、プログ
ラムのハッシュ値４０４を図４に示すプロセス管理テー
ブルに登録する（ステップ５０７）。

【００２０】一方、使用者がプログラムを終了した場合
は（ステップ５０１）、終了されたプログラムのプロセ
スＩＤ４０１を取得し（ステップ５０８）、取得したプ
ロセスＩＤ４０１が図４に示すプロセス管理テーブルに
登録されていない場合は直ちに処理を終了する（ステッ
プ５０９）。また、取得したプロセスＩＤ４０１が図４
に示すプロセス管理テーブルに登録されている場合は
（ステップ５０９）、該当するプロセスＩＤ４０１、実
行プログラム名４０２、プログラム実行ユーザ名４０
３、プログラムのハッシュ値４０４を図４に示すプロセ
ス管理テーブルから削除する。

【００２１】（第３の実施例（自動設定））図６は、本
発明の第３の実施例（請求項３に対応）を示すアクセス
制御ポリシーの自動設定方法の動作フローチャートであ
る。ファイルアクセス監視処理１０２は、ノーマルモー
ド（通常動作モード）であるか否かを判別し（ステップ
６０１）、そうであれば処理を終了する。そうでなけれ
ば、次に使用者がファイルへのアクセスを行うと、Ｉ／
Ｏマネージャ１０１がファイルアクセス要求を発行し、
ファイルシステムドライバ１０３に通知時に、発行され
たファイルアクセス要求をフックし（ステップ６０
２）、アクセスが行われたファイル名３０１を取得し
（ステップ６０３）、ファイルアクセス実行時のアクセ
スタイプ３０５を取得し（ステップ６０４）、アクセス
を行ったプログラムのプロセスＩＤ３０２を取得し（ス
テップ６０５）、取得したプロセスＩＤ３０２をもとに
該当する実行プログラム名、ユーザ名、ハッシュ値を取
得する（ステップ６０６）。

【００２２】この動作（６０６）を詳述すると、第１段
階で、取得したプロセスＩＤ３０２を基に図４に示すプ
ロセス管理テーブルから該当する実行プログラム名４０
２を取得し、図３に示すメモリ１０４上のアクセス実行
プログラム名３０３に格納し、プログラム実行ユーザ名
４０３を取得し、図３に示すメモリ１０４上のアクセス
実行ユーザ名３０６に格納し、プログラムのハッシュ値
４０４を、図３に示すメモリ１０４上のプログラムのハ
ッシュ値３０４に格納する。次に、自動設定モードか否
かを判別し（ステップ６０７）、そうでなければ、チェ
ックモードであることを確認し（ステップ６０９）、チ
ェックモードのときには取得した各要素をチェックした
後（ステップ６１０）、処理を終了する。一方、自動設
定モードの場合には、ステップ６０８でポリシーファイ
ルに各要素を設定する。

【００２３】先ず、ポリシーファイル１０９へのアクセ
ス制御ポリシー登録通知をアクセス制御ポリシー設定処
理部１０７に行い、アクセス制御ポリシー設定処理部１
０７は、ファイルアクセス監視処理部１０２が図３に示
すメモリ１０４上のアクセスファイル名３０１を図２に
示すポリシーファイル１０９のアクセスファイル名２０
１に、図３に示すメモリ１０４上のアクセス実行プログ
ラム名３０３を、図２に示すポリシーファイル１０９の
アクセス可能プログラム名２０２に、図３に示すメモリ
１０４上のアクセスタイプ３０５を、図２に示すポリシ
ーファイル１０９のアクセスタイプ２０３に、図３に示
すメモリ１０４上のアクセス実行ユーザ名を、図２に示
すポリシーファイル１０９のアクセス可能ユーザ名２０
４に、図３に示すメモリ１０４上のプログラムのハッシ
ュ値３０４を、図２に示すポリシーファイル１０９のプ
ログラムのハッシュ値２０５に設定することで（ステッ
プ６０８）、実際に行われたアクセス情報をもとにアク
セス制御ポリシーの自動設定を実現する。

【００２４】（第４の実施例（自動追加））図７は、本
発明の第４の実施例（請求項４に対応）を示すアクセス
制御ポリシーの自動追加動作のフローチャートである。
ファイルアクセス監視処理部１０２は、使用者がファイ
ルへのアクセスを行うと、Ｉ／Ｏマネージャ１０１がフ
ァイルアクセス要求を発行しファイルシステムドライバ
１０３に通知時に、発行されたファイルアクセス要求を
フックし（ステップ７０１）、アクセスが行われたファ
イル名３０１を取得し（ステップ７０２）、ファイルア
クセス実行時のアクセスタイプ３０５を取得し（ステッ
プ７０３）、アクセスを行ったプログラムのプロセスＩ
Ｄ３０２を取得する（ステップ７０４）。

【００２５】次に、取得したプロセスＩＤ３０２をもと
に、図４に示すプロセス管理テーブルから該当する実行
プログラム名４０２を取得し、図３に示すメモリ１０４
上のアクセス実行プログラム名３０３に格納し、プログ
ラム実行ユーザ名４０３を取得し、図３に示すメモリ１
０４上のアクセス実行ユーザ名３０６に格納し、プログ
ラムのハッシュ値４０４を、図３に示すメモリ１０４上
のプログラムのハッシュ値３０４に格納する（ステップ
７０５）。次に、ポリシーファイル１０９へのアクセス
制御ポリシー登録通知を、アクセス制御ポリシー設定処
理部１０７に行うことで、アクセス制御ポリシー設定処
理部１０７は、ファイルアクセス監視処理部１０２が取
得した、図３に示すメモリ１０４上のアクセスファイル
名３０１、アクセス実行プログラム名３０３、プログラ
ムのハッシュ値３０４、アクセスタイプ３０５、アクセ
ス実行ユーザ名３０６と同一の情報をもつアクセス制御
ポリシーがあるかどうか判定する（ステップ７０６）。

【００２６】メモリ１０４上に同一の情報をもつアクセ
ス制御ポリシーがある場合は、アクセス制御ポリシーの
自動設定を行わずに処理を終了する。一方、メモリ１０
４上に同一の情報をもつアクセス制御ポリシーがない場
合は（ステップ７０６）、図３に示すメモリ１０４上の
アクセスファイル名３０１を、図２に示すポリシーファ
イル１０９のアクセスファイル名２０１に、図３に示す
メモリ１０４上のアクセス実行プログラム名３０３を、
図２に示すポリシーファイル１０９のアクセス可能プロ
グラム名２０２に、図３に示すメモリ１０４上のアクセ
スタイプ３０５を、図２に示すポリシーファイル１０９
のアクセスタイプ２０３に、図３に示すメモリ１０４上
のアクセス実行ユーザ名３０６を、図２に示すポリシー
ファイル１０９のアクセス可能ユーザ名２０４に、図３
に示すメモリ１０４上のプログラムのハッシュ値３０４
を図２に示すポリシーファイル１０９のプログラムのハ
ッシュ値２０５にそれぞれ設定することで（ステップ７
０７）、実際に行われたアクセス情報をもとにアクセス
制御ポリシーの自動追加を実現することができる。

【００２７】（ログファイル構造）図８は、本発明にお
いて、アクセスログをもとにしたアクセス制御ポリシー
の設定方法に用いられるアクセスログファイル（１１
０）のデータ構造図である。アクセス日時８０１は、フ
ァイルにアクセスした日時を示す。アクセスファイル名
８０２は、アクセスを行ったファイルの名称を示す。ア
クセス実行プログラム名８０３は、アクセスを行った時
に使用したプログラムの名称を示す。アクセスタイプ８
０４は、アクセスを行った時のアクセス方法を示す。ア
クセス実行ユーザ名８０５は、アクセスを行ったユーザ
の名称を示す。

【００２８】プログラムのハッシュ値８０６は、アクセ
ス実行プログラム８０４に示されたプログラムの特徴値
を示す。アクセス結果８０７は、ファイルアクセス要求
に対するアクセス制御の正当性の判定結果を示し、アク
セス制御ポリシーに許可されたファイルアクセス要求で
あった場合は正常、アクセス制御ポリシーに許可されて
いないファイルアクセス要求であった場合は不正、アク
セス制御ポリシーに設定されていないファイルアクセス
要求であった場合はアクセス制御対象外が設定される。

【００２９】（ログファイル格納動作）図９は、本発明
において、アクセスログをもとにしたアクセス制御ポリ
シーの設定方法に用いられるアクセスログファイル（１
１０）の記録方法のフローチャートである。ファイルア
クセス監視処理部１０２は、使用者がファイルへのアク
セスを行うと、Ｉ／Ｏマネージャ１０１がファイルアク
セス要求を発行し、ファイルシステムドライバ１０３に
通知時に、発行されたファイルアクセス要求をフックし
（ステップ９０１）、アクセスが行われたファイル名３
０１を取得し（ステップ９０２）、ファイルアクセス実
行時のアクセスタイプ３０５を取得する（ステップ９０
３）。

【００３０】同じく、アクセスを行ったプログラムのプ
ロセスＩＤ３０２を取得し（ステップ９０４）、取得し
たプロセスＩＤ３０２をもとに図４に示すプロセス管理
テーブルから該当する実行プログラム名４０２を取得
し、図３に示すメモリ１０４上のアクセス実行プログラ
ム名３０３に格納し、プログラム実行ユーザ名４０３を
取得し、図３に示すメモリ１０４上のアクセス実行ユー
ザ名３０６に格納し、プログラムのハッシュ値４０４
を、図３に示すメモリ１０４上のプログラムのハッシュ
値３０４に格納する（ステップ９０５）。次に、アクセ
ス制御処理部１０６に対し、ファイルアクセス要求の正
当性判定を依頼する。

【００３１】アクセス制御処理部１０６は、アクセスさ
れたファイルに対応するアクセス制御ポリシーが存在す
るかどうか検索し（ステップ９０６）、存在しない場合
（Ｎｏ）は、当該ファイルアクセス要求をアクセス制御
対象外としてアクセスログファイル１１０に記録する
（ステップ９１０）。アクセスされたファイルに対応す
るアクセス制御ポリシーが存在する場合（Ｙｅｓ）は、
当該ファイルアクセスがアクセス制御ポリシーにて許可
されているかどうか判定し（ステップ９０７）、許可さ
れている場合（Ｙｅｓ）は、当該ファイルアクセス要求
を正常アクセスとしてアクセスログファイル１１０に記
録する（ステップ９０８）。許可されていない場合（Ｎ
ｏ）は、当該ファイルアクセス要求を不正アクセスとし
てアクセスログファイル１１０に記録する（ステップ９
０９）。このようにして、アクセスログファイルには、
正常、不正、および対象外であることがセットされる。

【００３２】（第５の実施例（ログファイルからの移
動））図１０は、本発明の第５の実施例（請求項５に対
応）を示すアクセスログをもとにしたアクセス制御ポリ
シーの設定方法のフローチャートである。使用者はアク
セス制御ポリシー設定処理部１０７において、アクセス
ログファイル１１０からアクセス制御ポリシーとして追
加するアクセスログ情報を選択すると（ステップ１００
１）、アクセス制御ポリシー設定処理部１０７は選択さ
れたアクセスログに対応するアクセスファイル名８０
２、アクセス実行プログラム名８０３、アクセスタイプ
８０４、アクセス実行ユーザ名８０５、プログラムのハ
ッシュ値８０６をアクセスログファイル１１０から取得
する（ステップ１００２）。

【００３３】次に、取得した情報と同一内容のアクセス
制御ポリシーが存在するかどうか判定し（ステップ１０
０３）、存在する場合（Ｙｅｓ）は、アクセス制御ポリ
シーの追加は行わずに終了する。取得した情報と同一内
容のアクセス制御ポリシーが存在しない場合（Ｎｏ）は
（ステップ１００３）、図８に示すアクセスログファイ
ル１１０から取得したアクセスファイル名８０２を、図
２に示すポリシーファイル１０９のアクセスファイル名
２０１に、図８に示すアクセスログファイル１１０から
取得したアクセス実行プログラム名８０３を、図２に示
すポリシーファイル１０９のアクセス可能プログラム名
２０２に、図８に示すアクセスログファイル１１０から
取得したアクセスタイプ８０４を、図２に示すポリシー
ファイル１０９のアクセスタイプ２０３に、図８に示す
アクセスログファイル１１０から取得したアクセス実行
ユーザ名８０５を、図２に示すポリシーファイル１０９
のアクセス可能ユーザ名２０４に、図８に示すアクセス
ログファイル１１０から取得したプログラムのハッシュ
値８０６を、図２に示すポリシーファイル１０９のプロ
グラムのハッシュ値２０５に、それぞれ設定することで
（ステップ１００４）、アクセスログをもとにアクセス
制御ポリシーの自動追加を実現する。

【００３４】

【発明の効果】以上説明したように、本発明によれば、
情報処理装置が管理するファイルの内容（情報）を、不
正なアクセスから保護するアクセス制御システムのアク
セス制御ポリシーを自動的に設定することができるの
で、特別な知識を有していなくてもアクセス制御システ
ムを構築するとともに使用することが可能になる。

【図面の簡単な説明】

【図１】本発明の第１の実施例を示すアクセス制御シス
テム構成図である。

【図２】図１におけるポリシーファイル（１０９）のデ
ータ構造を示す図である。

【図３】図１におけるファイルアクセス監視処理（１０
２）がファイルアクセス要求をフック時に取得する情報
を格納するメモリ（１０４）のデータ構造を示す図であ
る。

【図４】図１におけるプロセス監視処理（１０５）が管
理するプロセス管理テーブルを示す図である。

【図５】本発明におけるプロセス監視処理（１０５）が
プログラムの起動または終了検知時の処理を示すフロー
チャートである。

【図６】本発明の第３の実施例を示すアクセス制御ポリ
シーの自動設定方法の動作フローチャートである。

【図７】本発明の第４の実施例を示すアクセス制御ポリ
シーの自動追加方法の動作フローチャートである。

【図８】本発明におけるアクセスログをもとにしたアク
セス制御ポリシーの設定方法に用いるアクセスログファ
イル（１１０）の構造を示す図である。

【図９】本発明におけるアクセスログをもとにしたアク
セス制御ポリシーの設定方法でのアクセスログファイル
（１１０）の記録方法のフローチャートである。

【図１０】本発明の第５の実施例を示すアクセスログフ
ァイル（１１０）からのアクセス制御ポリシーの設定方
法の動作フローチャートである。

【図１１】本発明の第２の実施例を示すアクセス制御ポ
リシー自動設定方法の全体動作フローチャートである。

【符号の説明】

１００…情報処理装置、１０１…Ｉ／Ｏマネージャ、１
０２…ファイルアクセス監視処理、１０４…メモリ、１
０５…プロセス起動終了監視処理、１０６…アクセス制
御処理、１０７…アクセス制御ポリシー設定処理、１０
８…記憶装置（ＤＫ）、１０９…ポリシーファイル、１
１０…アクセスログファイル。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 小川 千晴 愛知県尾張旭市晴丘町池上１番地 株式会 社日立製作所情報機器事業部内 (72)発明者 梅都 利和 愛知県尾張旭市晴丘町池上１番地 株式会 社日立製作所情報機器事業部内 (72)発明者 冨田 理 愛知県尾張旭市晴丘町池上１番地 株式会 社日立製作所情報機器事業部内 Ｆターム(参考） 5B017 AA04 AA07 BA06 CA16 5B082 EA11

Claims (5)

【特許請求の範囲】
1. 【請求項１】 情報処理装置が管理するファイルへのア
   クセスの正当性を判断するためのアクセス制御ポリシー
   を格納するポリシーファイルと、 ファイルアクセス要求が発行される毎に、取得したファ
   イルアクセスに関する情報を利用して、前記アクセス制
   御ポリシーを自動的にポリシーファイルへ設定するた
   め、情報処理装置へのファイルアクセス要求の発行を監
   視し、発行されたファイルアクセス要求を配下の処理部
   に転送して、該処理部から正当性判定結果を受信するア
   クセス監視処理部と、 該アクセス監視処理部から転送された当該ファイルアク
   セス要求の正当性を前記アクセス制御ポリシーに基づき
   判定するアクセス制御処理部と、 前記正当性が判定されたファイルアクセス要求の情報で
   アクセス制御ポリシーを完成し、該完成したアクセス制
   御ポリシーを前記ポリシーファイルに自動設定するアク
   セス制御ポリシー設定部とを備え、 前記アクセス制御ポリシーを基に当該ファイルアクセス
   の正当性を判断し、不正なアクセスから情報処理装置が
   管理するファイルの内容を保護することを特徴とするア
   クセス制御システム。
2. 【請求項２】 アクセス要求時に取得する情報を利用し
   て、アクセス制御ポリシーの設定を行うか、これを行わ
   ずに通常運用時の動作を行うか、あるいは一旦、ログフ
   ァイルに設定するかを判定し、 前記アクセス制御ポリシーの設定を行う場合には、さら
   に自動設定を行うか、２回目以降のポリシー設定である
   か、あるいは取得した情報のチェックのみを行うかの選
   択を行い、 前記自動設定の場合には、アクセス制御を行うとき取得
   する情報を利用して直ちにポリシー制御ファイルを作成
   する自動設定モードを動作させ、 前記２回目以降の設定の場合には、既にポリシーファイ
   ルに存在しないものだけを設定する追加モードを動作さ
   せ、 前記チェックのみの場合には、チェックモードを動作さ
   せ、 一方、前記ログファイルに一旦格納する場合には、アク
   セス制御を行うとき取得する情報を一旦、ログファイル
   に蓄積しておき、その後、その中からポリシーがあるも
   のだけを選択して、ポリシー制御ファイルに移管するこ
   とを特徴とするアクセス制御ポリシーの自動設定方法。
3. 【請求項３】 請求項２に記載のアクセス制御ポリシー
   の自動設定方法において、 前記自動設定の場合には、アクセス制御ポリシー設定処
   理部は、アクセスファイル名、アクセス実行プログラム
   名、アクセスタイプ、アクセス実行ユーザ名およびハッ
   シュ値の全部ないしそのいずれかを、ファイルアクセス
   要求をフック時に取得して格納したメモリから取り出し
   て、アクセスポリシーファイルに設定することを特徴と
   するアクセス制御ポリシーの自動設定方法。
4. 【請求項４】 請求項２に記載のアクセス制御ポリシー
   の自動設定方法において、 前記２回目以降の設定の場合には、ファイルアクセス要
   求発行時、前記ファイルアクセスがアクセス制御ポリシ
   ーとして前記ポリシーファイルに登録されていない情報
   であるか否かを判別し、該登録されていない情報のみ前
   記ポリシーファイルに設定することにより、アクセス制
   御ポリシーの自動追加を行うことを特徴とするアクセス
   制御ポリシーの自動設定方法。
5. 【請求項５】 請求項２に記載のアクセス制御ポリシー
   の自動設定方法において、 前記ログファイルに一旦格納する場合には、アクセス監
   視処理部が検出したファイルアクセス要求をアクセスロ
   グとして一旦アクセスログファイルに格納しておき、そ
   の後、格納したアクセスログをもとにアクセス制御ポリ
   シーのポリシーファイルへ自動設定することを特徴とす
   るアクセス制御ポリシーの自動設定方法。