JP2007065825A - ドライブ装置のアクセス制御システム - Google Patents

Abstract

【課題】データベース等が構築される個々のドライブ装置に対して、書き込み制限を極めて容易にかつ高セキュリティで設定できるアクセス制御技術、設定が楽で秘密情報の漏洩を防止できる、すなわち「設楽漏止技術」を実現する。
【解決手段】２以上のドライブ装置毎に書き込み許可フラグを設定可能なファイル保護設定レジスタと、ファイル保護設定レジスタのフラグを参照して、各ドライブ装置へのアクセスを制御するアクセス制御スイッチモジュールとからなるドライブ装置のアクセス制御システムにおいて、アクセス制御スイッチモジュールは、生成したバイパスを通過する入出力要求パケットデータを監視し、フラグによって書き込み禁止に設定されたドライブ装置への書き込み要求パケットデータを、対象となるドライブ装置のデバイスドライバに受け渡さずに、ＯＳ側に書き込み拒否通知を返信することによってドライブ装置へのデータの書き込みを制限する。
【選択図】図１

Description

本発明は、サーバ装置やパーソナルコンピュータ等の情報処理装置に接続されたドライブ装置へのアクセス制御技術に関する。

ネットワークに接続されたサーバ、クライアント装置等の情報処理装置において、個人情報保護法等の法規制により、データの漏洩防止が急務となっている。

この点について、従前のセキュリティシステムにおいては、ファイアウォールを設定して外部からのアクセスを制限したり、ファイル自体を暗号化する等の対策をとることが一般的だった。
特開２００５−１２２４７４号公報

しかし、ネットワーク外部からのアクセス制限技術では、ネットワーク内部に接続された端末装置からのアクセスには脆弱であり、ファイルデータを書き換えられてしまう等の問題を解決できなかった。

また、ファイル自体を暗号化する技術は、暗号化アルゴリズムに依存するためセキュリティ自体はアルゴリズムの高度化で対応できるものの、暗号化・復号化に時間がかかり、至急のデータ閲覧等に対応できなかった。

本発明は、このような点に鑑みてなされたものであり、データベース等が構築される個々のドライブ装置に対して、書き込み制限を極めて容易にかつ高セキュリティで設定できるアクセス制御技術、設定が楽で秘密情報の漏洩を防止できる、すなわち設楽漏止技術を実現することを技術的課題とする。

前記課題を解決するために、本発明では、以下の手段を採用した。

本発明の請求項１は、ドライブ装置が接続された情報処理装置において、２以上のドライブ装置毎に書き込み許可フラグを設定可能なファイル保護設定レジスタと、前記ファイル保護設定レジスタの前記フラグを参照して、各ドライブ装置へのアクセスを制御するアクセス制御スイッチモジュールとからなるドライブ装置のアクセス制御システムである。

そして、請求項２は、前記アクセス制御スイッチモジュールは、ＯＳのファイルＩ／Ｏと各ドライブ装置のデバイスドライバとの間に介在してデータのバイパスを生成し、当該バイパスを通過する入出力要求パケットデータ（I/O Request Packet Data）を監視し、
前記フラグによって書き込み禁止に設定されたドライブ装置への書き込み要求パケットデータを、対象となるドライブ装置のデバイスドライバに受け渡さずに、ＯＳ側に書き込み拒否通知を返信することによって当該ドライブ装置へのデータの書き込みを制限することを特徴とする請求項１記載のドライブ装置のアクセス制御システムである。

このように、ファイル保護設定レジスタで個々のドライブ装置に対するアクセス制御を設定できるようにして、とアクセス制御スイッチモジュールとの連携によって、ドライブ装置毎にファイルの書き込みを制御できるようにすることで、管理が容易でかつセキュリ
ティの高い、ドライブ装置へのアクセス制御を実現できる。

さらに、アクセス制御スイッチモジュールは、ＯＳのファイルＩ／Ｏと各ドライブ装置のデバイスドライバとの間に介在させてデータのバイパスを生成するようにして、このバイパスを通過する入出力要求パケットデータ（I/O Request Packet Data）を監視して、
書き込み禁止に設定されたドライブ装置への書き込み要求パケットデータを、対象となるドライブ装置のデバイスドライバに受け渡さずに、ＯＳ側に書き込み拒否通知を返信することで、各ドライブ装置へのアクセスを制御している。

したがって、既存のＯＳやデバイスドライバを変更することなく、ドライブ装置毎にアクセスの可否を変更することができる。

以上のように、本発明によれば、個々のドライブ装置に対して、書き込み制限を極めて容易にかつ高セキュリティで設定できる。

図を用いて本発明の実施形態を説明する。

本実施形態の情報処理システムは、図１に示すように、ルータを介してネットワークで接続されている端末装置ＴＭ１〜ＴＭ３と、セキュリティサーバＳＳＶとで構成されている。

セキュリティサーバＳＳＶには、ネットワークインターフェース(Network Interface Card)に対してネットワーク監視部(Network Audit)を有しており、各端末装置ＴＭ１〜Ｔ
Ｍ３からの個々のアクセスが制御されるようになっている。具体的にはネットワーク監視部は、アクセス制御テーブルを有しており、たとえば端末装置ＴＭ１からセキュリティサーバＳＳＶへのアクセスは許可するが、端末装置ＴＭ２，ＴＭ３からのアクセスは禁止するというような設定が可能となっている。

セキュリティサーバＳＳＶのファイル保護部(File Protection)は、後述のファイル保
護設定レジスタと、アクセス制御スイッチモジュールとで構成されており、内蔵または外部のドライブ装置毎の読み出し、書き込みを制御可能となっている。

また、ファイル保護部は、前記ドライブ装置の他に、プリンタスプーラも制御対象としており、保護設定レジスタの設定によりプリンタ装置への出力を制御できるようになっている。

図２は、ファイル保護部の機能ブロック図である。

本実施形態のセキュリティ設定ツール（セキュリティ設定プログラム）は、ＵＳＢメモリ等に格納されて提供される。

このＵＳＢメモリは、メモリ領域をROM領域とRAM領域に分割されており、ＵＳＢメモリを情報処理装置の汎用シリアルインターフェース（ＵＳＢ）に接続した場合、情報処理装置からはＲＯＭ領域がＣＤ−ＲＯＭとして認識され、このＲＯＭ領域に格納されている自動実行プログラム（インストールプログラム）が起動されて、情報処理装置（ここではセキュリティサーバＳＳＶ）にファイル保護部(設楽FP Service)が登録されるようになっている。なお、このＵＳＢメモリのROM領域に本実施形態の設楽漏止システムに必要な全モ
ジュール、RAM領域には管理者が設定した設定ファイルが登録可能となっている。

また、このＵＳＢメモリには、ＵＳＢキーとしてそれぞれ固有のシリアルナンバーがＲＯＭ領域に登録されており、当該ファイル保護システムが情報処理装置にインストールされると、同じく情報処理装置側にインストールされた専用ライブラリに暗号化された固有のシリアルナンバーが登録され、インストール時に使用したＵＳＢキー内の管理者用設定ツールからのみ、設定変更が受け付けられるようになっている。

情報処理装置（セキュリティサーバＳＳＶ）にＵＳＢメモリからインストールされて設定されたファイル保護部(設楽FP Service)は、カーネル側にインストールされた設楽フィルタドライバ（データのバイパス）に対して、ファイルＩ／Ｏと各ドライブ装置のデバイスドライバとの間の入出力要求パケットデータ（I/O Request Packet Data）を監視させ
るようになっている。

図４は、保護設定レジスタの構成を示す説明図である。

同図に示すように保護設定レジスタは、０〜２５ビットまでにドライブ装置がマッピングされており、各ビット（フラグ）の状態で割り当てられたドライブ装置に対して書き込みが可能か否かが制御できるようになっている。同図では、ＡドライブとＤドライブとが書き込み禁止に設定されており、ＣドライブとＺドライブとが書き込み許可に設定されている。

図５は、ファイル保護部(設楽FP Service)による制御概念をブロック図にしたものである。

この図に示すように、保護設定レジスタの内容をアクセス制御ドライバ(ApSysServer.dll)が読み込んで、Ｉ／Ｏ管理部(ApSec Device I/O Controler)に通知する。Ｉ／Ｏ管理
部は、この設定内容に応じて、アクセス制御スイッチモジュール(ApSec)の設定を変更す
るステータス変更要求命令を出力し、アクセス制御スイッチモジュールが設定の変更を完了すると、ステータス変更結果通知を受信するようになっている。このアクセス制御スイッチモジュールは、前記保護設定レジスタの設定内容に応じてバイパスのフィルタを実体化する機能を有している。

図６は、図５をさらに詳しくした説明図である。

ユーザ層において、ＵＳＢメモリからインストールされた設楽漏止プログラムが起動すると、カーネル層のアクセス制御スイッチモジュール(ApSec)が機能する。このアクセス
制御スイッチモジュールは、前述のように、ＯＳのファイルＩ／Ｏと各ドライブ装置のデバイスドライバとの間に介在してデータのバイパスを生成し、当該バイパスを通過する入出力要求パケットデータ（I/O Request Packet Data）を監視し、前述のフラグによって
書き込み禁止に設定されたドライブ装置への書き込み要求パケットデータを、対象となるドライブ装置のデバイスドライバに受け渡さずに、ＯＳ側に書き込み拒否通知を返信することによって当該ドライブ装置へのデータの書き込みを制限している。

同図では、図４に示した保護設定レジスタの設定に基づいて、ドライブ装置ＡおよびＣの書き込みが禁止され、ドライブ装置Ｂの書き込みが許可されるようになっている。したがって、ドライブ装置ＡおよびＣに対する書き込み要求パケットデータをアクセス制御スイッチモジュールが受け取ったときには、当該書き込み要求パケットデータをドライブ装置ＡおよびＣには引き渡さずに、ＯＳ側に対してこれらのドライブ装置Ａ，Ｃへの書き込み拒否通知を返信する。

図７は、各ドライブ装置への書き込み制御を設定するためのインターフェース画面を示している。当該インターフェース画面生成データもＵＳＢメモリに格納されている。同図に示すように、各ドライブ装置のステータスのカラムをマウス等の補助入力装置で指定することによって、書き込み許可（○印）、書き込み禁止（×印）が設定変更可能となっている。なお、この設定変更は情報処理装置（セキュリティサーバＳＳＶ）にＵＳＢメモリが装着された状態で行わなければならず、前述のＵＳＢメモリ内のシリアルナンバーを、情報処理装置（セキュリティサーバＳＳＶ）内にインストールされた専用ライブラリのシリアルナンバーと照合し、その結果が一致した場合のみ設定変更が許可されるようになっている。

図１０は、本実施形態のアクセス制御の設定に用いられるプロセス間通信用データ構造を示す説明図である。同図に示すように０〜３１ビットで構成されており、変更・停止・再開等を意味する動作コード(Operation ID)と、数値の引数(Operation Code)、文字列、長いデータ等の引数(Data String:256byte)で構成されている。このように固定長化する
ことで管理を容易にするとともに、プロセス間通信を使用することによって、ユーザから検知しにくいようになっている。

図１２は、ＵＳＢメモリからインストールされるファイルのフォーマットを示している。同図に示すように、４４ｂｙｔｅの固定長データと可変長データで構成されている。

まお、ここで格納されているＵＳＢキーシリアルナンバーはオリジナルのナンバーではなく、特定の暗号化処理を行った結果の数値となっている。また、データの改竄等が行われ、データブロックに矛盾点が発見された場合、直ちに設定内容が無効となる。

図１３〜１４は、本実施形態のアクセス制御スイッチモジュールがドライブ装置の種別を判定するための手順を示すブロック図である。

これらの図に示すように、ドライブ装置の種別判定は、アクセス制御モジュールと、ドライブマスクモジュールと、保護設定レジスタとが連携して行われる。

アクセス制御スイッチモジュールは、保護設定レジスタからのファイル保護解除データと、ドライブマスクモジュールからのマスクデータとを論理和で結合して新たなファイル保護解除データを生成し、これを保護設定通知として出力するようになっている。
ここで、初期起動時にはファイル保護解除データは存在しないので、アクセス制御スイッチモジュールにおいて、システムドライブと内蔵ドライブだけが解除された（書き込み許可）状態となっている。

ドライブマスクモジュールでは、接続されているドライブ装置から内蔵ＡＴＡバスのハードディスク装置を検出し、マスク変数内の該当ドライブを表すビットを１にセットする処理を行う。この詳細は図１５〜１６に示している。

デバイスクリエは、Win32API Device Control制御のコードにIOCTL＿STRAGE＿QUERY＿PROPERTYをセットして発行する。これによってデバイスデスクリプタに制御バスの種別を
表す値がセットされる。

図１５に示すように、デバイスクエリから出力されるデバイスデスクリプタは、同図の上図に示すように、ＡドライブからＺドライブまで１ビットずつが割り当てられている。

ここでWIN32APIにより、ドライブが存在することを認識した場合、該当するビットに１が立つ。同図ではＡ，Ｃ，ＤおよびＥの各論理ドライブが存在していることを意味する。

次に接続バス判定により、デバイスクリエからデバイスデスクリプタを受信すると、内蔵バス（ＡＴＡバス）に該当するビットだけが残り（「１」を維持）、それ以外のビットは「０」となる。同図下図では、ＣドライブおよびＤドライブのみが内蔵ハードディスク装置であると判定されている。

図１６は、図１３で説明したアクセス制御スイッチモジュールにおけるＯＳシステムディレクトリ判定を示したものである。

同図に示すように、システムドライブの取得は、システムドライブに該当するビットが「１」となることにより判定可能となっている。

また、設定保護レジスタからのファイル保護解除データを受信した場合（管理者による解除要求があった場合）には、解除要求に該当するドライブのビットに「１」が立つ。同図では、ファイル保護解除データとしてＥドライブの解除要求があった場合、Ｅドライブに該当するビットに「１」が立っている。

次に、ネットワークセキュリティについて説明する。

図３は、ネットワーク監視部(Network Audit)の機能ブロック図である。同図に示すよ
うに、ネットワーク監視部(Network Audit)は、情報処理装置（セキュリティサーバＳＳ
Ｖ）に設楽ネットワーク監視プログラム(設楽Network Audit Service)がインストールさ
れることで実現されており、この設楽ネットワーク監視プログラム(設楽Network Audit Service)も前述のＵＳＢメモリからインストールされるようになっている。

この設楽ネットワーク監視プログラムは、後述の設楽設定プログラム（設楽設定ツール）によって設定可能なアクセス制御テーブルを有しており、このアクセス制御テーブルの内容にしたがってネットワークドライバを監視して、データの入出力を監視・制御するようになっている。

図８は、ネットワーク監視部(Network Audit)が備えているネットワークセキュリティ
設定画面である。

通常はＩＰアドレスのみを入力すればよいが、ＩＰアドレスが不明な場合には、「ホスト名」を入力することでＩＰアドレスとネットマスクのフィールドが自動登録されるようになっている。また、ＩＰアドレスのみわかっている場合も、ＩＰアドレスの入力によりネットマスクのフィールドが自動登録されるようになっている。

図９は、ＩＰアドレスとネットマスクとの登録規則を示すための図である。同図に示すように、ＩＰアドレスとして「０．０．０．０」を指定したときには、全ての読み書きを許可することを意味する。そしてＩＰアドレス中の「ｘ」は１〜２５４のユーザ任意の値を意味している。そしてネットマスクにおいて、「２５５．２５５．２５５．２５５」は指定したＩＰのみを許可することを意味する。

このように、管理者は単一のＩＰ指定とサブネット単位での指定とを意識することなくネットワークアクセスの管理が可能となる。

また図１１は、ネットワーク監視制御の設定に用いられるプロセス間通信用データ構造を示す説明図である。同図に示すように固定長のデータで構成されており、変更・停止・再開等を意味する動作コード(Operation ID)と、主にＩＰを格納する引数(Src Data)、主
にネットマスクを格納する引数(Mask Data)とで構成されている。

本発明は、ネットワークシステムのファイル保護システムに適用できる。

本発明の実施形態の情報処理システムを示すブロック図 ファイル保護部の機能ブロック図 ネットワーク監視部(Network Audit)の機能ブロック図 保護設定レジスタの構成を示す説明図 ファイル保護部(設楽FP Service)による制御概念を示すブロック図 図５の詳細図 各ドライブ装置への書き込み制御を設定するためのインターフェース画面を示す図 ネットワーク監視部(Network Audit)が備えているネットワークセキュリティ設定画面 ＩＰアドレスとネットマスクとの登録規則を示すための説明図 本実施形態のアクセス制御の設定に用いられるプロセス間通信用データ構造を示す説明図 ネットワーク監視制御の設定に用いられるプロセス間通信用データ構造を示す説明図 ＵＳＢメモリからインストールされるファイルのフォーマットを示す図 アクセス制御スイッチモジュールがドライブ装置の種別を判定するための手順を示すブロック図（１） アクセス制御スイッチモジュールがドライブ装置の種別を判定するための手順を示すブロック図（２） 論理ドライブと接続バス判定後のビットの変化を示す説明図 ドライブ解除要求があった場合のビットの変化を示す説明図

符号の説明

ＳＳＶ セキュリティサーバ
ＴＭ１ 端末装置
ＴＭ２ 端末装置
ＴＭ３ 端末装置

Claims (2)

1. ドライブ装置が接続された情報処理装置において、
   ２以上のドライブ装置毎に書き込み許可フラグを設定可能なファイル保護設定レジスタと、
   前記ファイル保護設定レジスタの前記フラグを参照して、各ドライブ装置へのアクセスを制御するアクセス制御スイッチモジュールと
   からなるドライブ装置のアクセス制御システム。
2. 前記アクセス制御スイッチモジュールは、ＯＳのファイルＩ／Ｏと各ドライブ装置のデバイスドライバとの間に介在してデータのバイパスを生成し、
   当該バイパスを通過する入出力要求パケットデータ（I/O Request Packet Data）を監
   視し、前記フラグによって書き込み禁止に設定されたドライブ装置への書き込み要求パケットデータを、対象となるドライブ装置のデバイスドライバに受け渡さずに、ＯＳ側に書き込み拒否通知を返信することによって当該ドライブ装置へのデータの書き込みを制限することを特徴とする請求項１記載のドライブ装置のアクセス制御システム。
   

Images