JP2006178855A - 利用者権限制御装置、利用者権限制御方法、及び利用者権限制御プログラム - Google Patents

Abstract

【課題】日々のユーザのセキュリティに対する意識を反映したユーザ権限を付与することができる。
【解決手段】ユーザ権限制御装置１は、定期的に取得したＩＤＳログデータに基づいて、ユーザのセキュリティ管理レベルを定量的に算出し、該セキュリティ管理レベルを反映したユーザ権限をユーザに付与する装置で、ユーザの情報システム１０へのアクセスに際して、ユーザ認証を行う認証部１１、ＩＤＳ６から定期的にＩＤＳログデータを取得する検査部１２、取得したＩＤＳログデータから所定の計算方法によりセキュリティポイントを計算する計算部１３、計算されたセキュリティポイントから、現在、与えられているユーザ権限が適正であるか否かを判定する判定部１４、ユーザ権限が適正でないときは、適正なユーザ権限に変更する権限制御部１５、及びユーザ権限の制御に関する様々な情報を記憶するユーザ権限制御情報記憶部１６を具備する。
【選択図】図２

Description

本発明は、コンピュータシステムの利用者権限を制御する利用者権限制御技術に関する。

インターネットなど外部の通信ネットワークと接続されることが一般的である昨今の情報システムにおいては、外部から情報システムに対する不正アクセスやウイルスによる情報資産破壊などセキュリティに関する問題が、頻繁に発生している。そのため、セキュリティ管理者は、セキュリティ対策として、ファイアウォールの設置やウイルス対策ソフトの導入などを図り、このようなセキュリティリスクから情報システムを防御している。

また、情報システムに内在するセキュリティ状態を評価するセキュリティ評価ツールを導入し、これに従ってセキュリティ対策を行う場合もある。このようなセキュリティ評価ツールは、情報システム内のコンピュータに対して、セキュリティホールの有無や設定不備など数百種類もの検査項目を実施し、発見した問題点（以下、「脆弱性」という）をそのリスク評価とともに列挙したレポートを出力するようになっているので、セキュリティ管理者は、該レポートに基づいて脆弱性を有するコンピュータに対して、パッチを適用するなどの対処を行うことにより、セキュリティ対策を施すことができるようになっている。

また、最近においては、「パッチを適用していない」「アンチウイルス・ソフトのパターン・ファイルのバージョンが古い」など、セキュリティ対策が不十分なコンピュータは、情報システムにネットワーク接続させない「検疫ネットワーク」という考えも広がってきており、情報システム、即ち、コンピュータ自身に対するセキュリティ意識はかなり高くなっている。

一方、情報システムを利用するユーザに対するセキュリティ対策においては、ユーザの役割に応じて、ユーザごとにユーザ権限を設定し、情報システム内の共有資源（ファイル、プログラムなど）をアクセス制御するのが一般的な方法として普及している。

尚、この出願に関連する先行技術文献情報としては、次のものがある。
特開２００１−１０１１３５公報 特開２００２−２７８７９７公報 マイクロソフト株式会社、"Active Directory 技術情報"、［online］、［平成１６年１２月１５日検索］、インターネット＜ＵＲＬ：http://www.microsoft.com/japan/windowsserver2003/techinfo/overview/activedirectory.mspx＞

上述したように、従来の情報システムにおいては、各ユーザごとにユーザ権限が設定されているが、一旦、設定されてしまうと、部署や役職などの変更がない限り、ユーザ権限は変更されず、ユーザ権限は固定的に設定される傾向がある。

本来、ユーザに対するセキュリティ対策として、ユーザ権限を付与する場合、そのユーザの組織における役割だけでなく、セキュリティに対する意識も考慮すべきであるが（例えば、高いセキュリティ管理レベルのユーザ権限を与えられたとしても、セキュリティリテラシーが低く、不正アクセスをしたり、コンピュータウィルスの感染の被害を招くようなユーザに対しては、低いセキュリティ管理レベルのユーザ権限を付与し直すべきである）、従来の情報システムにおいては、このような対応はなされてはいない。

本発明は、上記の事情を鑑みたものであり、日々のユーザのセキュリティに対する意識を反映したユーザ権限を付与することができる利用者権限制御装置、利用者権限制御方法、及び利用者権限制御プログラムを提供することを目的とする。

上記目的を達成するため、請求項１記載の本発明は、コンピュータシステムの利用者権限を動的に設定する利用者権限制御装置であって、利用者のセキュリティ管理レベルを示す利用者権限情報を取得する利用者権限情報取得手段と、所定の期間における、前記利用者が行った不正アクセスに関する情報、又は前記利用者が使用したコンピュータの脆弱性に関する情報のうち少なくともいずれか一方を取得する利用者情報取得手段と、取得したそれぞれの情報が示す危険度を定量化した所定の計算方法により、前記利用者の前記所定の期間におけるセキュリティ管理レベルをセキュリティポイント値として算出するセキュリティポイント算出手段と、算出したセキュリティポイント値に基づいて、取得した利用者権限情報を更新する利用者権限情報更新手段と、を有することを特徴とする。

請求項２記載の本発明は、請求項１記載の発明において、前記利用者権限情報は、セキュリティ管理レベルの上限又は下限に関する情報のうち少なくともいずれか一方を備えており、前記利用者権限情報更新手段は、前記セキュリティ管理レベルの限度内において前記利用者権限情報を更新することを特徴とする。

請求項３記載の本発明は、請求項１又は２記載の発明において、前記利用者権限情報を利用者ごとに記憶し、管理する利用者権限情報記憶手段を有することを特徴とする。

請求項４記載の本発明は、請求項１乃至３のいずれか１項に記載の発明において、前記所定の計算方法は、取得したそれぞれの情報が示す危険度に、前記不正アクセス又は前記脆弱性の発見時から対処時までの経過時間を加味して、前記セキュリティポイント値を算出することを特徴とする。

請求項５記載の本発明は、コンピュータシステムの利用者権限を動的に設定する利用者権限制御方法であって、利用者のセキュリティ管理レベルを示す利用者権限情報を取得する利用者権限情報取得ステップと、所定の期間における、前記利用者が行った不正アクセス、又は前記利用者が使用したコンピュータの脆弱性に関する情報に関する情報のうち少なくともいずれか一方を取得する利用者情報取得ステップと、取得したそれぞれの情報が示す危険度を定量化した所定の計算方法により、前記利用者の前記所定の期間におけるセキュリティ管理レベルをセキュリティポイント値として算出するセキュリティポイント算出ステップと、算出したセキュリティポイント値に基づいて、取得した利用者権限情報を更新する利用者権限情報更新ステップと、を有することを特徴とする。

請求項６記載の本発明は、コンピュータシステムの利用者権限を動的に設定する利用者権限制御装置が読み取り可能な利用者権限制御プログラムであって、利用者のセキュリティ管理レベルを示す利用者権限情報を取得する利用者権限情報取得ステップと、所定の期間における、前記利用者が行った不正アクセス、又は前記利用者が使用したコンピュータの脆弱性に関する情報に関する情報のうち少なくともいずれか一方を取得する利用者情報取得ステップと、取得したそれぞれの情報が示す危険度を定量化した所定の計算方法により、前記利用者の前記所定の期間におけるセキュリティ管理レベルをセキュリティポイント値として算出するセキュリティポイント算出ステップと、算出したセキュリティポイント値に基づいて、取得した利用者権限情報を更新する利用者権限情報更新ステップと、を前記利用者権限制御装置に実行させることを特徴とする。

請求項７記載の本発明は、請求項６記載の発明において、前記利用者権限情報は、セキュリティ管理レベルの上限又は下限に関する情報のうち少なくともいずれか一方を備えており、前記利用者権限情報更新ステップは、前記セキュリティ管理レベルの限度内において前記利用者権限情報を更新することを特徴とする。

請求項８記載の本発明は、請求項６又は７記載の発明において、前記所定の計算方法は、取得したそれぞれの情報が示す危険度に、前記不正アクセス又は前記脆弱性の発見時から対処時までの経過時間を加味して、前記セキュリティポイント値を算出することを特徴とする。

本発明によれば、ユーザが行った不正アクセスに関する情報又はユーザが使用したコンピュータの脆弱性に関する情報のうち少なくともいずれか一方を取得し、取得したそれぞれの情報が示す危険度を定量化し、定量化したセキュリティポイント値に基づいてユーザ権限を更新するので、日々のユーザのセキュリティに対する意識を反映したユーザ権限を付与することができる。

以下、本発明の実施の形態を図面を用いて説明する。

図１は、本発明の実施の形態に係るユーザ権限制御装置１が適用される情報システム１０の概略構成図である。図１に示す情報システム１０は、所定の組織（企業、団体など）内に構築された情報システムであり、ファイアウォール３を介して、インターネット網など外部の通信ネットワーク４と接続されている。情報システム１０は、組織の各ユーザが利用するコンピュータ５ｉ（ｉ＝ａ，ｂ，…，ｎ）、ユーザの不正行為（例えば、他のコンピュータに対する不正アクセスなど）を検出するＩＤＳ（Intrusion Detection System；侵入検知システム）６、及び情報システム１０を利用する各ユーザのユーザ権限を動的に設定するユーザ権限制御装置１を備えている。

詳しくは、ユーザ権限制御装置１は、ＩＤＳ６から定期的にＩＤＳログデータ６０１を取得し、該ＩＤＳログデータ６０１に基づいて、所定の期間におけるユーザのセキュリティ管理レベルを定量的に算出し、該セキュリティ管理レベルを反映したユーザ権限をユーザに付与するようになっている。ユーザ権限制御装置１は、図２に示すように、ユーザの情報システム１０へのアクセスに際してユーザ認証を行う認証部１１、ＩＤＳ６から定期的にＩＤＳログデータ６０１を取得する検査部１２、取得したＩＤＳログデータ６０１から後述する計算方法によりセキュリティポイントを計算する計算部１３、計算されたセキュリティポイントから、現在、与えられているユーザ権限が適正であるか否かを判定する判定部１４、ユーザ権限が適正でないときは、適正なユーザ権限に変更する権限制御部１５、及びユーザ権限の制御に関する様々な情報を記憶するユーザ権限制御情報記憶部１６を具備する構成である。尚、セキュリティポイントは、日々のユーザの不正行為を定量的に数値化したものであり、本実施形態においては、数値が高いほどセキュリティ管理レベルが低い状態を示している。

ここで、ユーザ権限制御情報記憶部１６は、グループマスタデータベース（以下、グループマスタＤＢという）１０１、ユーザ権限データベース（以下、ユーザ権限ＤＢという）１０２、認証ログデータベース（以下、認証ログＤＢという）１０３、セキュリティポイントデータベース（以下、以下、セキュリティポイントＤＢという）１０４、ポイントマスタデータベース（以下、ポイントマスタＤＢという）１０５を含む構成となっている。

グループマスタＤＢ１０１は、図３（ａ）に示すように、ユーザが属するグループのセキュリティ権限を管理するデータベースで、各グループごとに与えられたグループ権限情報の他、セキュリティポイント限界値Ｔｈを備えている。図３（ａ）によれば、具体的には、グループ“ａｄｍｉｎ”は、情報システム１０の共有資源に対して読み・書き・実行のすべてが許可されており、グループ“ｐｏｗｅｒ”は、情報システム１０の共有資源に対して読み・書きは許可されているが、実行が許可されていないことを示している。尚、図３（ａ）に示す表は、所定の共有資源に対するグループ権限を示しているが、これとは別に各グループがどの資源をアクセス可能であるかを示す表も、グループマスタＤＢ１０１で管理されている。また、セキュリティポイント限界値Ｔｈは、グループに属するための閾値となるセキュリティポイントである。例えば、グループ“ａｄｍｉｎ”は、セキュリティポイントが１００以下であることが要求されるので、グループ“ａｄｍｉｎ”に属するユーザは、自己の算出されたセキュリティポイントが７０であれば、引き続き、グループ“ａｄｍｉｎ”に所属することができるが、セキュリティポイントが１３０であるときは、グループ“ａｄｍｉｎ”に所属することができず、より低いセキュリティ権限のグループ“ｐｏｗｅｒ”に変更される。

ユーザ権限ＤＢ１０２は、図３（ｂ）に示すように、各ユーザのセキュリティ権限を管理するデータベースであり、ユーザの所属するグループ、及び最高権限に関する情報を備えている。例えば、ユーザＡは、グループ“ａｄｍｉｎ”に属するので、上述した図３（ａ）を参照すると、情報システム１０の共有資源に対して読み・書き・実行のすべてが可能なユーザであることがわかる。また、最高権限は、ユーザの所属可能なグループのうち、最高のセキュリティ権限（セキュリティ管理レベルが最も高い）を有するグループを意味し、例えば、グループ“ａｄｍｉｎ”に所属するユーザＡの場合には、グループ“ａｄｍｉｎ”が最高権限である（どんなにユーザＡの行為がよくても、グループ“ａｄｍｉｎ”を上限とする）。尚、本実施形態においては、最高権限を設けて、グループの変更に制限を加えているが、他の方法、例えば、最低権限（ユーザの所属可能なグループのうち最低のセキュリティ権限（セキュリティ管理レベルが最も低い）を設けてもよいし、最高権限及び最低権限の双方を設けて、グループの変更に制限を加えるようにしてもよい。

認証ログＤＢ１０３は、ユーザが情報システム１０にログインし、認証されるたびに、蓄積されるアクセスログを管理するデータベースで、図３（ｃ）に示すように、ログイン日時、ログアウト日時、ユーザＩＤ、アクセスしたコンピュータ５ｉのＩＰアドレスに関する情報を備えるようになっている。尚、ユーザＩＤとアクセスしたコンピュータ５ｉのＩＰアドレスを対応づけて管理しているのは、自己以外のコンピュータ５ｉを利用して情報システム１０にアクセスすることも考えられるからである。

セキュリティポイントＤＢ１０４は、図４（ａ）に示すように、ユーザの日ごとのセキュリティポイントを管理するデータベースであり、後述するセキュリティポイントの算出方法により、ＩＤＳログデータ６０１から算出されたセキュリティポイントを記録するようになっている。尚、本実施の形態においては、日ごとにセキュリティポイントを算出し、記録するようにしているが、これ以外の一定期間（例えば、１週間、１ヶ月など）ごとにセキュリティポイントを計算するようにしてもよい。

図４（ｂ）は、定期的にＩＤＳ６から取得するＩＤＳログデータ６０１のデータ構成を示しており、ＩＤＳログデータ６０１は、ユーザ権限制御装置１が上述したセキュリティポイントを算出するのに用いられる。ここで、ＩＤＳ６は、日々、ＩＤＳログデータ６０１を蓄積するものであるが、ＩＤＳログデータ６０１は、具体的には、日時、ログ内容、危険度、送信元アドレス、送信先アドレスに関する情報を備えており、「日時」には、不正アクセスを行った日時、「ログ内容」には、不正アクセスの内容、「危険度」には、不正アクセスの危険度（高、中、低）、「送信元ＩＰアドレス」には、不正アクセスを行ったユーザが使ったコンピュータ５ｉのＩＰアドレス、「送信先ＩＰアドレス」には、不正アクセスの対象となったコンピュータ５ｉのＩＰアドレスが記録されている。例えば、ＩＤＳログデータ６０１Ａは、2004年11月1日にＩＰアドレスa.a.a.aを有するコンピュータ５ａがＩＰアドレスb.b.b.bを有するコンピュータ５ｂに対してポートスキャン（危険度は中）を行ったことを示している。

ポイントマスタＤＢ１０５は、図４（ｃ）に示すように、各ＩＤＳログデータ６０１の危険度をポイントに換算するためのポイントデータを管理するデータベースで、具体的には、危険度が高い行為には、ポイント３、危険度が中の行為には、ポイント２、危険度が低い行為には、ポイント１を対応させて記憶している。尚、本実施の形態においては、危険度を３段階に分けているが、危険度をより細分化して、ポイント化してもよい。

ここで、セキュリティポイントの算出方法について説明する。

ユーザ権限制御装置１は、定期的にＩＤＳログデータ６０１を取得すると、ＩＤＳログデータ６０１の送信元ＩＰアドレス及び日時に基づいて、認証ログＤＢ１０３を検索し、該送信元ＩＰアドレス及び日時を備える認証ログデータを特定する。例えば、ＩＤＳログデータ６０１Ａの場合には、ＩＰアドレス「a.a.a.a」及び日時「2004年11月1日10:10」から、認証ログデータ１０３Ａを特定する（ログイン日時2004年11月1日9:30≦不正アクセス日時2004年11月1日10:10≦ログアウト日時2004年11月1日20:00である）。

認証ログデータの特定により、不正アクセスをしたユーザがわかるので、ポイントマスタＤＢ１０５を参照して、該ユーザのセキュリティポイントとして加算する。例えば、ＩＤＳログデータ６０１Ａの場合には、ユーザＡがポートスキャンをしたことがわかるので、ポイントマスタＤＢ１０５を参照して、ポートスキャンの危険度２ポイントをユーザＡのセキュリティポイントとして加算する。取得したＩＤＳログデータ６０１から、このようにして、ユーザＡの不正アクセス行為すべてをユーザＡのセキュリティポイントとして加算する。例えば、ユーザＡが、ＩＤＳログデータ６０１Ａ及び６０１Ｂに示す不正アクセス行為をしたときは、「ポートスキャン」のポイント２、及び「ｓｓｈ ｖ１のセキュリティホールを攻撃」のポイント３を加算し、セキュリティポイントは５ポイントとなる。

尚、上述したユーザ権限制御装置１は、少なくとも演算機能および制御機能を備えた中央演算装置（ＣＰＵ）、プログラムやデータを格納する機能を有するＲＡＭ等からなる主記憶装置（メモリ）を有する電子的な装置から構成されているものである。また、ユーザ権限制御装置１は、主記憶装置の他、ハードディスクなどの補助記憶装置を具備していてもよい。

このうち、認証部１１、検査部１２、計算部１３、判定部１４、及び権限制御部１５は、上記ＣＰＵによる演算制御機能を具体的に示したものに他ならない。また、ユーザ権限制御情報記憶部１６は、上記主記憶装置及び補助記憶装置の機能を備えたものである。

また、本実施の形態に係る各種処理を実行するプログラムは、前述した主記憶装置またはハードディスクに格納されているものである。そして、このプログラムは、ハードディスク、フレキシブルディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ−ＲＯＭなどのコンピュータ読み取り可能な記録媒体に記録することも、通信ネットワークを介して配信することも可能である。

さらに、ユーザ権限制御装置１は、物理的に一つからなる装置の他、複数の装置がネットワーク接続されたシステムなどのいずれの構成であってもよい。

尚、本実施の形態においては、情報システム１０内を流れるパケットを検出するため、ＩＤＳ６を情報システム１０内に配置したが、ＩＤＳ６の配置は、用途に応じて、種々考えられるものである。例えば、情報システム１０と外部の通信ネットワーク４とやりとりのパケットを検出するときは、ＩＤＳ６をファイアウォール３と通信ネットワーク４の間に配置し、情報システム１０と外部のネットワークを相互に流れるパケットを検出するようにしてもよい。また、情報システム２に構築されたＬＡＮ（Local Area Network）の各セグメントの境界にそれぞれ配置し、ＬＡＮ間を流れるパケットを検出するようにしてもよい。

次に、本実施の形態に係るユーザ権限制御装置１を適用した情報システム１０の動作を図５及び６を用いて説明する。ここで、図５は、ユーザが情報システム１０に対して所定の処理をするときのユーザ権限制御装置１及びＩＤＳ６の動作を説明するシーケンス図であり、図６は、ユーザ権限制御装置１がユーザのセキュリティポイントを計算し、ユーザ権限を制御する動作を説明するシーケンス図である。

まず、ユーザは、コンピュータ５ｉから情報システム１０に対してログインする（ステップＳ１０）。尚、ログインに用いるコンピュータ５ｉは、自己の端末でも、他人の端末でもよい。

これにより、ユーザ権限制御装置１は、ユーザ認証を行う（ステップＳ２０）。尚、ユーザ認証の方法は、何であってもよく、パスワードを用いた認証でも、指紋等の生体情報を用いた認証でもよい。

ユーザ認証後、ユーザ権限制御装置１は、認証ログデータを認証ログＤＢ１０３に記録する（ステップＳ３０）。具体的には、図３（ｃ）に示すログイン日時、ユーザＩＤ及びＩＰアドレスが記録される。尚、記録されるＩＰアドレスは、ユーザが情報システム１０にログインする際に用いたコンピュータ５ｉのＩＰアドレスである。

次に、ユーザは、情報システム１０に対して所望の処理を行う（ステップＳ４０）。このとき、ユーザが悪意ある行為（不正アクセス；例えば、ポートスキャンや大量パケット送出など）をしたときは、ＩＤＳ６はネットワーク上を流れるパケットから不正アクセスを検知し、不正アクセスの行為をＩＤＳログデータ６０１として記録する（ステップＳ５０，Ｓ６０）。

次に、ユーザは、情報システム１０に対する上記処理を終了し、情報システム１０からログアウトする（ステップＳ７０）。これにより、ユーザ権限制御装置１は、認証ログデータを認証ログＤＢ１０３に記録する（ステップＳ８０）。具体的には、図３（ｃ）に示すログアウト日時が記録される。

次に、予め定められた日時を契機として、ユーザ権限制御装置１は、ＩＤＳ６からＩＤＳログデータ６０１を取得する（ステップＳ１１０，Ｓ１２０，Ｓ１３０）。本実施の形態においては、ユーザ権限制御装置１がＩＤＳ６に定期的に取得指示を出し、これにより、ＩＤＳ６がＩＤＳログデータ６０１をユーザ権限制御装置１に送信するようになっているが、ＩＤＳ６が予め定められた日時になると（又はＩＤＳログデータ６０１を取得すると）、自発的にＩＤＳログデータ６０１をユーザ権限制御装置１に送信するようにしてもよい。

ＩＤＳログデータ６０１を受信したユーザ権限制御装置１は、該ＩＤＳログデータ６０１と認証ログＤＢ１０３に記録された認証ログデータから、不正アクセスをしたユーザを割り出し、ポイントマスタＤＢ１０５を参照して、割り出したユーザのセキュリティポイントを算出する（ステップＳ１４０）。これは、上述したように、取得したＩＤＳログデータ６０１をユーザごとに集計してポイント化するものである。

次に、ユーザ権限制御装置１は、算出されたセキュリティポイントをセキュリティポイントＤＢ１０４に記録する（ステップＳ１５０）。

次に、ユーザ権限制御装置１は、セキュリティポイントＤＢ１０４に記録したセキュリティポイントからセキュリティ管理レベルを判定する（ステップＳ１６０）。これは、ユーザが属するグループのセキュリティポイント限界値ＴｈをグループマスタＤＢ１０１及びユーザ権限ＤＢ１０２から取得し、取得したセキュリティポイント限界値Ｔｈと算出されたセキュリティポイントを比較するものである。

その結果、算出されたセキュリティポイント＞セキュリティポイント限界値Ｔｈであるときは、適正なユーザ権限が設定されていないので、ユーザ権限を変更、即ち、ユーザが所属するグループを、算出されたセキュリティポイント≦セキュリティポイント限界値Ｔｈとなるように、セキュリティ権限の低いグループに変更し、ユーザ権限ＤＢ１０２を更新する（ステップＳ１７０，Ｓ１８０）。

これに対して、算出されたセキュリティポイント≦セキュリティポイント限界値Ｔｈであるときは、適正なユーザ権限が設定されているので、ユーザ権限の変更は行わない（ステップＳ１７０）。

従って、本実施の形態によれば、ユーザが情報システム１０に対して行った不正アクセスに関するＩＤＳログデータ６０１を取得し、不正アクセスを行ったユーザを特定し、該ユーザのセキュリティポイントを不正アクセスの危険度に応じたポイント計算により定量化し、定量化したセキュリティポイント値に基づいてユーザ権限を更新するので、日々のユーザの不正アクセス行為をユーザ権限に反映することができる。

この結果、きちんとしたセキュリティ対策を講じていないユーザは、情報システム１０の共有資源に対するアクセスが制限されるので、セキュリティ対策を講じていないユーザが引き起こすセキュリティ被害を未然に防ぐことが可能となる。

また、ユーザ権限（セキュリティポイント）を定期的にユーザに提示することにより、ユーザのセキュリティリテラシーの向上を図ることができる。

＜その他の実施の形態＞
以上、本発明の実施の形態について説明してきたが、本発明の要旨を逸脱しない範囲において、本発明の実施の形態に対して種々の変形や変更を施すことができる。例えば、上記実施の形態においては、ＩＤＳ６に蓄積されるＩＤＳログデータ６０１から不正アクセスに関するセキュリティポイントを算出したが、本発明はこれに限定されるものではなく、例えば、コンピュータ５ｉの脆弱性を検査する脆弱性検査装置７をさらに備えるようにし、脆弱性に関するセキュリティポイントを算出するようにしてもよい。

図７は、本発明の第２の実施の形態に係るユーザ権限制御装置２が適用される情報システム２０の概略構成図である。図７に示す情報システム２０は、情報システム１０のシステム構成に、上述した脆弱性検査装置７を加えており、ユーザ権限制御装置２は、不正アクセスに関する情報の他、コンピュータ５ｉの脆弱性に関する情報も取得して、ユーザのセキュリティポイントを算出するようになっている。尚、本実施の形態の脆弱性検査には、ハードウェアの欠陥やソフトウェアのバグに関する検査の他、ウィルス対策ソフトが備えるようなウィルス検査を含めるようにしてもよい。

詳しくは、ユーザが情報システム２０にログインしている際に、脆弱性検査装置７がログインしているコンピュータ５ｉの脆弱性を検査し、検査結果から発見された脆弱性に関する情報を脆弱性ログデータ７０１として記録するようになっている。脆弱性ログデータは、具体的には、図８に示すように、日時、ログ内容、脆弱度、ＩＰアドレスに関する情報を備えており、「日時」には、脆弱性検査を行った日時、「ログ内容」には、発見された脆弱性の内容、「脆弱度」には、脆弱性の危険度（高、中、低）、「ＩＰアドレス」には、ユーザが情報システム２０にログインしたコンピュータ５ｉのＩＰアドレスが記録される。

ユーザ権限制御装置２のセキュリティポイント算出方法について説明する。

ユーザ権限制御装置２は、定期的にＩＤＳログデータ６０１及び脆弱性ログデータ７０１を取得し、認証ログＤＢ１０３に記録された認証ログデータから、不正アクセスしたユーザ又は脆弱性を備えるコンピュータ５ｉを使ったユーザを割り出し、ポイントマスタＤＢ１０５’（ポイントマスタＤＢ１０５’は、不正アクセスの危険度とポイントを対応付ける他、脆弱性の危険度とポイントを対応付けて管理している）を参照して、割り出したユーザのセキュリティポイントを算出する。即ち、セキュリティポイントＤＢ１０４に記録されるセキュリティポイントは、不正アクセスに関するセキュリティポイントに加えて、コンピュータの脆弱性に関するセキュリティポイントも加算されるものである。

従って、本実施の形態によれば、第１の実施の形態の効果に加えて、ユーザが用いるコンピュータ５ｉの脆弱性の危険度に応じたポイント計算を加味して、セキュリティポイント値を算出しているので、より適正なユーザ権限の設定を可能とすることができる。

尚、第２の実施の形態においては、ＩＤＳ６及び脆弱性検査装置７の双方を備えるようにしたが、脆弱性検査装置７だけを備え、脆弱性に関するセキュリティポイントだけを算出し、算出されたセキュリティポイントに基づいて、ユーザ権限を制御するようにしてもよい。

また、第２の実施の形態においては、セキュリティポイントを算出するに際して、単純に不正アクセスに関するセキュリティポイントとコンピュータの脆弱性に関するセキュリティポイントを加算するようにしたが、本発明はこれに限定されるものではなく、例えば、不正アクセス又は脆弱性が発見された場合には、ユーザに通知するようにし、ユーザが発見された不正アクセス又は脆弱性に対処したかどうかをセキュリティポイントに反映するようにしてもよい。

図９は、この一例を示す計算式である。この計算方法においては、セキュリティポイントＲＬは、脆弱性に関するセキュリティポイントＲＬ_1と、不正アクセスに関するセキュリティポイントＲＬ_2を加算し、加算したセキュリティポイントにコンピュータ重要度を乗じて算出される。ここで、コンピュータ重要度は、情報システム２０におけるそれぞれのコンピュータ５ｉの重要性を示す指数である。また、脆弱性のセキュリティポイントＲＬ_1は、発見された個々の脆弱度に経過時間（脆弱性が発見されてから対処されるまでの時間。尚、対処がされていない場合には、セキュリティポイント計算時までの時間）を乗じて、個々の脆弱性のセキュリティポイントrl_1を算出し、個々の脆弱性のセキュリティポイントrl_1の総和をとるものである。同様に、不正アクセスのセキュリティポイントＲＬ_2は、個々の危険度に経過時間を乗じて、個々の不正アクセスのセキュリティポイントrl_2を算出し、個々の不正アクセスのセキュリティポイントrl_2の総和をとるものである。尚、上述した計算式の各要素は、それぞれ図９に示すようにその程度に応じた数値を持っており、計算されたセキュリティポイントＲＬは、数値が高いほどセキュリティ管理レベルが低い状態を示すようになっている。

従って、図９に示すような計算式を用いて、不正アクセス又は脆弱性が発見されてから対処までの経過時間をセキュリティポイントに反映する場合には、不正アクセス又は脆弱性を放置したままのユーザは、セキュリティポイントが高く算出されるので、低いセキュリティ管理レベルとなり、情報システム２０の共有資源へのアクセスが制限される。即ち、より迅速に不正アクセス又は脆弱性に対応するユーザでなければ高いセキュリティ管理レベルのユーザ権限を与えないといった運用が可能となる。

さらには、上記実施の形態においては、ＩＤＳ６又は脆弱性検査装置７は、情報システム１０又は２０内のネットワーク上に配置されたが、コンピュータ５ｉが、ＩＤＳ６又は脆弱性検査装置７の機能を備えるようにし（例えば、ＩＤＳ６又は脆弱性検査装置７として機能させるプログラムがコンピュータ５ｉにインストールされている）、ユーザ権限制御装置１又２がコンピュータ５ｉからＩＤＳログデータ６０１及び脆弱性ログデータ７０１を定期的に取得するようにし、コンピュータ５ｉから取得したログデータに基づいてセキュリティポイントを算出するようにしてもよい。

本発明の実施の形態に係るユーザ権限制御装置が適用される情報システムの概略構成図である。 本発明の実施の形態に係るユーザ権限制御装置の構成を示す図である。 ユーザ権限制御情報を格納するデータベースの構成を説明する図である。 ユーザ権限制御情報を格納するデータベースの構成を説明する図である。 本発明の実施の形態に係るユーザ権限制御装置の動作を説明するシーケンス図である。 本発明の実施の形態に係るユーザ権限制御装置の動作を説明するシーケンス図である。 本発明の他の実施の形態に係るユーザ権限制御装置が適用される情報システムの概略構成図である。 ユーザ権限制御情報を格納するデータベースの構成を説明する図である。 本発明の他の実施の形態に係るユーザ権限制御装置のセキュリティポイントを計算する計算式の一例を示す図である。

符号の説明

１，２ ユーザ権限制御装置
３ ファイアウォール
４ インターネット網（外部の通信ネットワーク）
５ｉ コンピュータ
６ ＩＤＳ
７ 脆弱性検査装置
１０，２０ 情報システム
１１ 認証部
１２ 検査部
１３ 計算部
１４ 判定部
１５ 権限制御部
１６ ユーザ権限制御情報記憶部
１０１ グループマスタＤＢ
１０２ ユーザ権限ＤＢ
１０３ 認証ログＤＢ
１０４ セキュリティポイントＤＢ
１０５ ポイントマスタＤＢ
６０１ ＩＤＳログデータ
７０１ 脆弱性ログデータ

Claims (8)

1. コンピュータシステムの利用者権限を動的に設定する利用者権限制御装置であって、
   利用者のセキュリティ管理レベルを示す利用者権限情報を取得する利用者権限情報取得手段と、
   所定の期間における、前記利用者が行った不正アクセスに関する情報、又は前記利用者が使用したコンピュータの脆弱性に関する情報のうち少なくともいずれか一方を取得する利用者情報取得手段と、
   取得したそれぞれの情報が示す危険度を定量化した所定の計算方法により、前記利用者の前記所定の期間におけるセキュリティ管理レベルをセキュリティポイント値として算出するセキュリティポイント算出手段と、
   算出したセキュリティポイント値に基づいて、取得した利用者権限情報を更新する利用者権限情報更新手段と、
   を有することを特徴とする利用者権限制御装置。
2. 前記利用者権限情報は、セキュリティ管理レベルの上限又は下限に関する情報のうち少なくともいずれか一方を備えており、
   前記利用者権限情報更新手段は、前記セキュリティ管理レベルの限度内において前記利用者権限情報を更新することを特徴とする請求項１記載の利用者権限制御装置。
3. 前記利用者権限情報を利用者ごとに記憶し、管理する利用者権限情報記憶手段を有することを特徴とする請求項１又は２記載の利用者権限制御装置。
4. 前記所定の計算方法は、取得したそれぞれの情報が示す危険度に、前記不正アクセス又は前記脆弱性の発見時から対処時までの経過時間を加味して、前記セキュリティポイント値を算出することを特徴とする請求項１乃至３のいずれか１項に記載の利用者権限制御装置。
5. コンピュータシステムの利用者権限を動的に設定する利用者権限制御方法であって、
   利用者のセキュリティ管理レベルを示す利用者権限情報を取得する利用者権限情報取得ステップと、
   所定の期間における、前記利用者が行った不正アクセス、又は前記利用者が使用したコンピュータの脆弱性に関する情報に関する情報のうち少なくともいずれか一方を取得する利用者情報取得ステップと、
   取得したそれぞれの情報が示す危険度を定量化した所定の計算方法により、前記利用者の前記所定の期間におけるセキュリティ管理レベルをセキュリティポイント値として算出するセキュリティポイント算出ステップと、
   算出したセキュリティポイント値に基づいて、取得した利用者権限情報を更新する利用者権限情報更新ステップと、
   を有することを特徴とする利用者権限制御方法。
6. コンピュータシステムの利用者権限を動的に設定する利用者権限制御装置が読み取り可能な利用者権限制御プログラムであって、
   利用者のセキュリティ管理レベルを示す利用者権限情報を取得する利用者権限情報取得ステップと、
   所定の期間における、前記利用者が行った不正アクセス、又は前記利用者が使用したコンピュータの脆弱性に関する情報に関する情報のうち少なくともいずれか一方を取得する利用者情報取得ステップと、
   取得したそれぞれの情報が示す危険度を定量化した所定の計算方法により、前記利用者の前記所定の期間におけるセキュリティ管理レベルをセキュリティポイント値として算出するセキュリティポイント算出ステップと、
   算出したセキュリティポイント値に基づいて、取得した利用者権限情報を更新する利用者権限情報更新ステップと、
   を前記利用者権限制御装置に実行させることを特徴とする利用者権限制御プログラム。
7. 前記利用者権限情報は、セキュリティ管理レベルの上限又は下限に関する情報のうち少なくともいずれか一方を備えており、
   前記利用者権限情報更新ステップは、前記セキュリティ管理レベルの限度内において前記利用者権限情報を更新することを特徴とする請求項６記載の利用者権限制御プログラム。
8. 前記所定の計算方法は、取得したそれぞれの情報が示す危険度に、前記不正アクセス又は前記脆弱性の発見時から対処時までの経過時間を加味して、前記セキュリティポイント値を算出することを特徴とする請求項６又は７記載の利用者権限制御プログラム。
   
   

Images