JP2007140798A - コンピュータの情報漏洩防止システム - Google Patents

Abstract

【課題】ＰＣに侵入したウイルスやワームに対してそのアクセス設定にユーザ自身が柔軟に関わることができ、ウイルスが活性を示す間に引き起こす様々な不正アクセスに対して汎用的かつ効果的に対処することができ、個々のユーザの利用実態に合った防御機能を発揮することのできるコンピュータの情報漏洩防止システムを提供する。
【解決手段】コンピュータ上で実行されるアプリケーション２０がハードディスクなどの記憶部４０に記憶された情報にアクセスしようとした時点で、予め設定されたアクセス許容条件を満たすかどうかを判定部５０により判定して、不正なアクセスと判定された場合に前記情報のアプリケーション２０への受け渡しを禁止するようにした。
【選択図】 図１

Description

本発明は、インターネットなどのネットワークに接続されたコンピュータにおいて外部からの不正アクセスによる情報漏洩を防止するようにしたコンピュータの情報漏洩防止システムに関する。

インターネットの発展に伴って、コンピュータウイルスが様々な障害や情報漏洩を起こしている。このため、パーソナルコンピュータ（ＰＣ）内のファイルを盗み出してネット上で公開するような、企業にダメージを与える悪質なウイルスやワームに対抗するために、コンピュータの情報漏洩防止システムが必要とされている。

従来、ＰＣの情報はファイルシステムを通じてハードディスクなどの記憶部に保存され、必要に応じて記憶部から読み出される。このようなファイルシステムは、オペレーティングシステムＯＳの配下の機能であり、アプリケーションから要求された操作はその要求内容が実行可能である限り無条件に実行される。つまり、アプリケーションの要求に従って情報を指定された場所に保存するか、所定の場所の情報を読み出すだけを行い、ファイルシステム自身が自律的な判断を行って自身の機能や行動を変化させることはない（図１参照）。
一方、ファイルシステムを呼び出す側のアプリケーションは、ユーザがＰＣの利用開始時のログオンで認証され、これによりアプリケーションが実行される。したがって、ファイルシステムに対するアクセス権限の一部は、間接的にログオン時に決定され、いったん与えられたユーザの情報アクセス権限は、そのセッション中で変化することはない。

このようなファイルシステムを備えたコンピュータからの情報漏洩を防止するための従来システムとしては、特定のファイルを予め暗号化しておき、当該ファイルにアクセスする権限を有するユーザがファイルを参照した場合にだけ当該ファイルを復号化するようにしてアクセスを制御するものや、ユーザが起動するアプリケーションのプロセス中に挿入されるフィルタモジュールで不正アプリケーションを発見し、アプリケーションからシステムのＡＰＩの利用制限機能などを持たせることによってアプリケーションのアクセス制御を実現するものなどがある。

例えば特許文献１には、コンピュータ内のファイルなどのリソースに対するアプリケーションの起動を検出するステップと、起動されたアプリケーションから発行された前記リソースに対する処理要求を一時保留するステップと、起動されたアプリケーションが正規のアプリケーションであるか否かを認証するステップと、起動されたアプリケーションの認証結果が認証成功の場合にのみ、前記一時保留した処理要求による処理を許可するステップとを備えるようにしたアプリケーションの監視方法が記載されている。
特開２００３−１０８２５３号公報

しかしながら、前記従来のコンピュータの情報漏洩防止システムでは、事前に管理者等によって定められた静的に機能する防御機能しか持たないため、ＰＣの内部に一旦侵入したウイルスやワームによる動的に変化する、あるは事前に想定が不可能なアクセスに対しては無防備であるという問題点があった。また、ファイルに対するアクセス範囲を規定するようにした従来のアクセスコントロールリスト（ＡＣＬ）などを適用するシステムのものは、個別のフォルダやファイルに対して、ユーザ個々の読み込み属性や書き込み属性などのアクセス権限を事前に設定するものであるが、アプリケーションのログオン認証と同様、管理者がその権限によってユーザ毎に固定的に設定を行うことが必要であり、通常、ユーザ自身が関わることができない。つまり、現行の汎用ＯＳであるウインドウズ（登録商標）やユニックス（登録商標）、リナックスなどにおいては、ＰＣ内部に保存された情報に対する利用権限は、ユーザを基本単位にし、事前に設定した権限がログオン認証時に一度だけ反映され、あるいは管理者によって予め設定されたアクセス権限のチェックがファイルのオープン時に一度だけ機能するシステムである。このように、このＡＣＬなどを適用したものでは、ファイルに対するアクセスを規制できる点では防御の機能を持つが、その設定が固定的かつ硬直的で柔軟性や汎用性に乏しいという問題点があった。

特に、特許文献１のアプリケーションの監視方法では、アプリケーションの起動を検出してリソースに対する処理要求を一時保留することが必要であり、ＰＣに侵入したウイルスがその活性を示すまでのタイムラグを有する不正アクセスに対して的確に対応させるのが困難であり、前述の問題点の解決が得られないという問題点がある。また、個々のユーザの利用実態に合わせてその防御機能を適切に設定したり、動的に切り替えたりするもののような機構を備えていないため、不正なアプリケーションの発見と挙動を制限することのみしかできず、得られる効果が著しく狭いという問題点もあった。

本発明は、前記従来の問題点を解決するためになされたもので、ＰＣに侵入したウイルスやワームに対してそのアクセス設定にユーザ自身が柔軟に関わることができ、ウイルスが活性を示す間に引き起こす様々な不正アクセスに対して、汎用的かつ効果的に対処することができるとともに、ファイルシステム自身が監視と判断の能力を備え、必要であれば、ユーザと対話を行ってその許容条件を動的かつ柔軟に変化させながら、個々のユーザの利用実態に合った防御機能を発揮することのできる、コンピュータの情報漏洩防止システムを提供することを目的とする。

本発明の請求項１に記載のコンピュータの情報漏洩防止システムは、コンピュータ上で実行されるアプリケーションがその記憶部に記憶された情報にアクセスしようとした時点で、予め設定されたアクセス許容条件を満たすかどうかをユーザ認証やアクセスコントロールによる制約の仕組とは独立に判定して、不正なアクセスと判定された場合に前記情報の前記アプリケーションへの受け渡しを禁止するように構成されていることを特徴とする。

請求項２に記載のコンピュータの情報漏洩防止システムは、請求項１において、前記アクセス許容条件には前記コンピュータのユーザインタフェースを介して入力される以下のチェック項目が含まれていることを特徴とする。
（ａ）ファイルデータの書き込みなどの操作を表すＩＯタイプ
（ｂ）実行プログラム・ファイル名
（ｃ）実行プログラムの操作対象となるファイル名
（ｄ）実行プログラムの実行制約条件(日時、範囲等)

請求項３に記載のコンピュータの情報漏洩防止システムは、請求項２において、前記実行プログラム・ファイル名や実行プログラムの操作対象となるファイル名には、単一の対象が特定されるファイル名の他に正規表現やワイルドカードによる指定ができ、選択された複数の対象からなる集合に対して制約操作が機能するようにすることを特徴とする。

請求項４に記載のコンピュータの情報漏洩防止システムは、請求項１〜３のいずれかにおいて、前記アクセス許容条件は、ユーザ環境における現実の実行内容を反映した実行履歴に基づいて自動生成されることを特徴とする。

請求項５に記載のコンピュータの情報漏洩防止システムは、請求項１〜４のいずれかにおいて、前記アクセス許容条件表は、データベースなどを利用して複数のアクセス許容条件表を管理でき、ＰＣの利用場所、時間帯あるいは営業日かそうでないかなどによって、手動あるいは自動でアクセス許容条件表を切り替えることができ、同一のＰＣであっても提供する機能範囲を動的に変化させることができるように選択的にアクセス許容条件表をアクティブにできることを特徴とする。

請求項６に記載のコンピュータの情報漏洩防止システムは、請求項１〜５のいずれかにおいて、前記アクセス許容条件表による制約はファイルシステムのユーザインタフェースに対しても適用され、その時点でアクティブになっているアクセス許容条件表の判定結果に従って、拒否されたフォルダやファイルの存在情報を非表示にして、あたかもそこにファイルが存在していないかのような画面表示とすることによって、モニタ画面からの情報の存在それ自体の情報漏洩を防止することを特徴とする。

請求項７に記載の情報漏洩防止システムは、請求項１〜６のいずれかにおいて、前記アクセス許容条件表とその情報の実体を記憶する前記記憶部が外部接続のハードディスクであって、そのハードディスクをコンピュータに接続することで当該利用者に対して、同一の制約的な情報利用環境を再現し、アクセス許容条件によって実行が許可された書き込み要求の実行では、全ての情報は暗号化されて記録され、前記ハードディスクが実装されていないＰＣからの不正読み出しが禁止されることを特徴とする。

本発明によれば、予め設定されたアクセス許容条件を満たすかどうかを動的に判定して、ＰＣ内に保存された情報がアプリケーションへ受け渡されるのを禁止するので、ＰＣに侵入したウイルスやワームに対して、常時プロテクトとして機能させることができる。
また、そのアクセス許容条件を定義したアクセス許容条件表は管理者やユーザ自身が、該当のＰＣの利用環境や条件を反映させて柔軟に設定することができ、ウイルスなどの活性化により引き起こされる様々な不正アクセスに対して、汎用的かつ効果的に対処することができる。
さらに、ファイルシステム自身に監視と判断の機能を持たせたり、必要であればユーザと対話的に条件変更を行ったりすることができ、その許容条件を即時的に動的に変化させ、個々のユーザの利用実態に合った防御機能を段階的に充実させて行くことができるコンピュータの情報漏洩防止システムを提供することができる。

本実施形態のコンピュータの情報漏洩防止システムは、コンピュータ上で実行されるアプリケーションがハードディスクなどの記憶部に記憶された情報にアクセスしようとした時点で、予め設定されたアクセス許容条件を満たすかどうかを、ユーザ認証やアクセスコントロールによる制約の仕組とは独立に判定して、不正なアクセスと判定された場合に、前記記憶部に記憶された情報のアプリケーションへの受け渡しを禁止するようにしている。
これによって、ウイルスが活性化によって引き起こされる様々な不正アクセスに対して、柔軟かつ効果的に対処することができる。

本実施形態のコンピュータの情報漏洩防止システムは、前記アクセス許容条件には前記コンピュータのユーザインタフェースを介して入力される（ａ）ファイルデータの書き込みなどの操作を表すＩＯタイプや、（ｂ）実行プログラム・ファイル名（アプリケーション名）、（ｃ）実行プログラムの操作対象となるファイル名（データ・ファイル名）、（ｄ）実行プログラムの実行制約条件（日時、範囲等）などの所定のチェック項目が含まれるようにすることができる。これによって、ユーザの設定によりファイルシステム自身にその監視機能と判断機能を保持させ、必要であればユーザと対話を行ってその許容条件を動的かつ柔軟に変化させながら個々のユーザの利用実態や利用環境に対応した不正アクセスへの防御システムを構築することができる。

本実施形態のコンピュータの情報漏洩防止システムは、前記実行プログラム・ファイル名や実行プログラムの操作対象となるファイル名には、単一の対象が特定されるファイル名の他に、正規表現やワイルドカードの指定もできる。これによって、複数の対象からなるファイル集合に対して一括して制約条件を適用させることができる。さらに許容件表に正規表現を導入することによって、プロテクトの機能対象を柔軟かつきめ細かに設定することができる。

本実施形態のコンピュータの情報漏洩防止システムは、前記アクセス許容条件がユーザ環境における実行履歴に基づいて自動生成されるようにすることもできる。これによって、ユーザ自身によるアクセス許容条件の設定にかかる負荷を軽減するとともに、汎用性に優れたシステムとすることができる。すなわち、一般の利用者が把握するのが困難なＯＳ（Operating System）の一部を成すシステムプロス等を自動的にアクセス許容条件表に取り込むことができる。

本実施形態のコンピュータの情報漏洩防止システムは、前記アクセス許容条件表は、データベースなどを利用して複数のアクセス許容条件表を管理でき、ＰＣの利用場所、時間帯あるいは営業日かそうでないかなどによって、手動あるいは自動でアクセス許容条件表を切り替えることができ、同一のＰＣであっても提供する機能範囲を動的に変化させることができるように選択的にアクセス許容条件表をアクティブにできる。
たとえば、前記アクセス許容条件がハードディスクなどの記憶部に暗号化された状態で複数ロードされ、特定の復号データを有するＵＳＢキーの前記コンピュータへの装着操作、又はインタフェースを介した復号データのユーザ指定によって、対応したアクセス許容条件が選択されるようにすることもできる。これによって、アクセス許容条件となるデータ自体はＰＣ内に暗号化して保存され、ＩＤなどを表すＵＳＢキーを差し込むことで自動的に対応したアクセス許容条件のアクセス許容条件表が復号されるのと同時にアクティブになるようにすることができる。
また、ユーザ毎に異なるアクセス許容条件を設定し、その設定の切り替えをユーザのログインに連動させて、ユーザ毎の個別のセキュリティ要件を満たしても良い。

本実施形態のコンピュータの情報漏洩防止システムは、前記アクセス許容条件による制約はファイルシステムのユーザインタフェース（ウインドウズの場合はエキスプーラ）に対しても適用され、その時点で適用されているアクセス許容条件表の判定結果に従って、拒否されたフォルダやファイルを非表示として、モニタ画面からの情報漏洩を防止することもできる。これによって、許容されていないフォルダやファイルは、それが実在するにもかかわらずあたかも存在しないような表示とすることができるので、画面におけるファイルの一覧等でディスクなどの情報の存在それ自身を隠して、画面からの情報漏洩を確実に防止することができ、そのコンピュータシステムにおけるセキュリティ性をさらに向上させることができる。

本実施形態のコンピュータの情報漏洩防止システムは、前記アクセス許容条件のアクセス許容条件表とその情報の実体を記憶する前記記憶部が外部接続のハードディスクであって、そのハードディスクをコンピュータに接続することで当該利用者に対して、同一の制約的な情報利用環境を再現し、アクセス許容条件によって実行が許可された書き込み要求の実行では、全ての情報は暗号化されて記録され、前記ハードディスクが実装されていないＰＣからの不正読み出しが禁止されるようにすることもできる。たとえば、許容条件によって正当と判断された要求は受け入れられ実行される。その際、共通鍵方式を用いた暗号化方式により、書き込みではデータの暗号化と書き込み、読み出しの操作では読み出しと復号が本機能中で行われる。従って、拾得されたリ盗まれたハードディスクが本機能を実装されていないＰＣからアクセスされても、読み出した情報の復号ができず、情報の漏洩を阻止することができる。

（実施例）
図２は、本実施例に係るコンピュータの情報漏洩防止システムの説明図である。以下、図面を参照しながら、さらに本発明を具体的に説明する。
本実施例のコンピュータの情報漏洩防止システム１０では、いくつかの関門を突破して侵入したウイルスのような不正なアプリケーションが、ハードディスク４０などの情報にアクセスしようとしたその時点で、本情報漏洩防止システム（本機能）１０を実現するためのアクセス許容条件表を備えた判定部を介して、ユーザによって与えられたアクセス許容条件を参照して、不正なアクセスの判定するようになっている。こうして、ユーザ認証やＡＣＬとは独立に、ユーザが設定した許容条件を満たすかどうかの判断を行い、不正なアクセスと判断した場合は、あたかも格納場所に情報が存在しないような偽の行動をとり、情報をアプリケーションに渡さないようになっている。

このようなコンピュータの情報漏洩防止システム１０によれば、以下に示すようにアクセス許容条件を明示化してその範囲外のアクセス要求を拒否するようにしているので、アプリケーションからの要求を無条件に受け入れる従来のファイルシステムとは異なり、ファイルシステム自身が監視と判断の能力を持ち、情報の盗み出しに対する防御を実行する。また、必要であればユーザと対話を行い、動的に許容条件を変化させながら、個々のユーザの利用実態に合った防御機能を提供することができる。

ただし、ＰＣ本来としては、できるだけ広範かつ多彩な機能を提供することを旨としている。しかし、ＰＣを企業などがビジネスの道具として利用する際は、その業務に必要な最小限の機能と情報が利用できれば良い。そのような最小充分な利用環境を実現するために、以下に示すようなユーザの現実利用に即したファイルのアクセスの動的かつ知的な制限機能を設ける。

本実施例のコンピュータの情報漏洩防止システム１０は、これまでのユーザ認証やＡＣＬの静的な防御機能に加えて、ファイルのアクセス権限を利用実態に合わせて適切化する仕組をファイルシステムの付加機能として実現する。これにより、万一、ウイルスなどに犯されても、被害を最小限にとどめられるＰＣの安全利用の環境を作り出す。また、同時にＰＣの盗難や紛失などの事故が生じてもそこからの情報漏洩を最小化することも実現することができる。
なお、情報の判定部におけるファイルのアクセス権限を利用実態に合わせて適切化する仕組は、具体的に以下に示すようなアクセス許容条件の設定によって実現され、コンピュータの情報漏洩防止システムに付加されるものである。

ＡＣＬなどを適用した従来のコンピュータの情報漏洩防止システムでは、漏洩防止機能が働くのは個々の特定の対象物に対して、予め決められた制約が働くようになっている。例えば、具体的に述べると、xxxxx.yyファイルに読み込み／書き込み権限を与えそれ以外は禁止することや、xxxx.exeファイルを監視してそのファイルが改竄されていたらアクセス禁止とすることなどが挙げられる。
本実施例のコンピュータの情報漏洩防止システムでは、アクセス許容条件表に正規表現やワイルドカードなどの指定を適用して、（*.exe）などの表記を用いて、全ての実行ファイルをWrite禁止にすることや、あるいは、全てのMSWord(マイクロソフト社登録商標)のファイルである（*.doc）ファイルへの書き込みを休日には禁止するなどの条件を設定して、ＰＣ利用の側面からも幅広くかつ柔軟な制約をかけることができる。そして、このように正規表現による指定をセキュリティ機能の一部として実現することができる。

（１）さらに、監視機能によって、既存のユーザ認証やＡＣＬでは対応できない以下のような防御機能を実現することもできる。
（１−１）ユーザの業務対象範囲外のアプリケーションからのアクセス制限（疑わしきは拒否する）
例えば以下の制限が考えられる。
・経理業務の部署ではＣＡＤアプリケーションは利用しない。
・ソフトウエア開発部門では経理ソフトウエアは利用しない。
等の、業務要件から発生する制約事項を適用することが可能になる。
また、侵入したウイルスが書き込んだ、ユーザから見て未知のファイル名を持つ実行ファイルの情報を、事前に許容条件に含むことは不可能なので、その実行ファイルが何らかのイベントを契機に起動され、ファイルアクセスが起きても要求を拒否し情報流出を防止することができる。
以上のような要件を許容条件として明示化して、その条件範囲外のアクセス要求を拒否する。

（１−２）実行ファイルの書き込み（ウイルス寄生、侵入の防止）
ユーザ部門における通常の利用では、実行形式のファイルやＯＳだけが利用する一部の特殊ファイルを書き変えることはない。ウイルスは、不正なコードを密かに忍び込ませるために既存のアプリケーションの実行ファイルを書き換える。あるいは独自の実行形式のファイルを書き込む。これを防ぐだけで、大幅に危険が低減できる。
ソフトウエアのインストールなど実行ファイルの書き換えが必要な場合は、一時的に別の許容条件に切り替える。
以上の要件を許容条件として明示化して、その条件範囲外のアクセス要求を拒否する。

（１−３）なりすましアプリケーションからのアクセス（流出の防止）
ウイルスは、自分の存在を隠すために既存のアプリケーションの実行ファイルを書き換え、そこに不正なコードを忍ばせる。知らずにこれを実行すると、不正コードが情報を盗み出したり、汚染された実行コードを他のＰＣに伝播させたりする。
それを発見するために、真正なアプリケーションのコードのハッシュ値を事前に保存し、それと情報を要求している同名のアプリケーションの実行ファイルのハッシュ値を比較することによって、実行ファイルの改竄の有無を検査する。改竄を発見した場合は、要求を拒否する。
以上の要件を許容条件として明示化して、その条件範囲外のアクセス要求を拒否する。

（１−４）アプリケーションとファイルタイプの不整合（不正アプリケーションの拒否）
多くのアプリケーションは、そのアプリケーションが扱えるファイルをファイルの拡張子で決めている。例えば、ワード（Ｗｏｒｄ）は基本的にその拡張子がｄｏｃであるファイルを扱う。
ユーザの利便のために、他のアプリケーションのファイルも扱えるようにしている例も多いが、その種類は限定的で、それらを許容情報に含めることができる。
ファイルへの操作を要求したアプリケーションとそれが要求しているファイルタイプが不整合である場合は、不正なプリケーションが情報を盗み出だそうとしているケースが多い。
以上の要件を許容条件として明示化して、その条件範囲外のアクセス要求を拒否する。

（１−５）サービス時間や曜日あるいは期間を超えたアクセス（業務外アクセスの拒否）
業務の実施時間や曜日などが厳密に確定している場合は、その範囲外で発生する情報アクセスは、不正利用である可能が高い。さらに、ノートＰＣなどの場合、社内のＬＡＮに接続されている場合の許容情報と、ＬＡＮから切り離され社外で利用する場合の許容情報を区別する。
ＬＡＮから切り離されると、より強い制約をもつ社外用の許容情報に自動的に切り替えて、危険性が高いモバイル利用時の情報流出の防止を強化する。
以上の要件を許容条件として明示化して、その条件範囲外のアクセス要求を拒否する。

（１−６）ＰＣのＯＳシャットダウンの際に、自動的に最小限のアクセスを許すアクセス許容条件表に切り替える。これによって、万一そのＰＣが盗難や紛失し、拾得者がＰＣ内の情報にアクセスしようとしても、制限された範囲の情報にしかアクセスできないため、漏洩を防ぐことができる。
以上は、ユーザの実利用環境を反映した柔軟性を持つ防衛機能であり、従来の事前設定による一律的な硬直した機能とは本質的に異なり、実アクセスが発生する度毎に監視機能が実現する。
これにより、いつ活性化するかわからないウイルスなどの活動を動的に監視して、実効性のあるＰＣ情報の持ち出し防御の仕組とすることができる。
また、ソフトウエアのインストールや業務担当範囲の変更など、日常利用とは異なる利用条件下においては、許容条件を切り替えて、監視範囲や強度を変化させることもできる。これにより、厳格でありながら実務の遂行を妨げない柔軟な防御を実現することができる。

さらに、表管理部７０はユーザとの間で直接の対話機能を持ち、ユーザの意志で制約条件を随時変更できる。これによってファイルシステムが明確に判断できない状態のときに、画面を通してユーザに問いかけ、ユーザがそれに答えることによって、要求された操作の許諾を決定することができる。また、この対話による許容条件の変更内容は、既存の許容条件に追加され、あらたな許容条件とすることもできる。このようなユーザとの対話によって、厳格すぎるセキュリティが業務遂行の妨げにならないようなアドホックな柔軟性も併せ持つことができる。

また、既存のユーザの認証機能と連動して、サーバのデータベースで集中管理されている許容情報の集合から、集中管理コンソール機能が特定の許容情報を選択し、それを該当のＰＣに配布する構造とすることもできる。

（２）構造と機能及びその関係
（２−１）全体構造
図３は、本発明のコンピュータの情報漏洩防止システムの構造と機能の説明図である。
図３において、２１は真正なアプリケーション、２２はウイルスなど不正なアプリケーション２０である。その他にＯＳなどが適宜起動するアプリケーションもあるが、それは真正なアプリケーション２１に含まれる。真正なアプリケーション２１及び不正なアプリケーション２２は、ＡＰＩあるいはシステムコールを通じてＯＳのサービスを受ける。
本発明のコンピュータの情報漏洩防止システム１０が対象とするのは、そのうちのファイルシステム３０の入出力に関する機能である。本発明では、既存のファイルシステムの一部に改造を加える、あるいはフックなどの外部プロセスの呼び出し機能を利用して、既存のファイルシステムから呼び出される。既存のファイルシステムに対する改造は全く不要か、あるいは極く限られた小部分である。その内容と規模は、既存のファイルシステムの実装方法に依存する。

また、コンピュータの情報漏洩防止システム１０ではＯＳを書き換えることなく適用することもできる。すなわち、ＯＳのフック機能を利用することで、ある状態が発生したら、指定した外部の機能を呼び出すことができる。これは、ＯＳを書き換えるわけではなく、ＯＳに対して条件を指定しておくと、それをＯＳが解釈して、実際に該当の外部機能を呼び出す。全体機能は、ＯＳファイルシステム中のＩＯイベントのフックによって、呼び出される。よって、全てのアプリケーションの全てのＩＯ要求をチェックすることができ、これは、ＯＳが元来備える機能であることから、ＯＳ自身の改造は不要であり、コンピュータの情報漏洩防止システム１０は優れた汎用性を備えている。

該当のファイル要求がファイルシステム３０に到達すると判定部５０を呼び出し、アプリケーション２０からの要求内容を引き渡す。
判定部５０は、要求内容と要求元であるアプリケーション２０が、実行を許されるかどうかを判定し、要求を受け入れるか否かの判定結果をファイルシステム３０に返す。
ファイルシステム３０は、その結果に応じて、本来のファイルシステムの機能を実行し、結果をアプリケーション２０に返す。ウイルスなどの不正なアプリケーション２２には、常に偽の結果を返す。その判断が正しく働くように、以下の「（２−２）判定部」以降に記述する情報と機能を有する。

その結果として、ウイルスなど不正なアプリケーション２２に対しては、常にハードディスク４０などの長期記憶装置への書き込み、あるいは、記憶されている情報の読み出しの禁止が行われる。これらの動作は、認証やＡＣＬの防御とは独立にアプリケーション２０からの要求が発行された時点でリアルタイムに動作する。これによって、情報漏洩を引き起こす原因となるウイルスなど不正なプリケーション２２が監視をすり抜けることが絶対に無い１００％の監視を実現することができる。

（２−２）判定部
判定部５０は、真正なアプリケーション２１又は不正なアプリケーション２２かを判定し、真正なアプリケーション２１には実際のハードディスク４０などに対する実行を行い、その実行結果を返す。また、ウイルスなどの不正なアプリケーション２２からの要求には、常に偽りの結果を返すよう構成されている。
判定部５０は、ウイルスなどの不正なアプリケーション２２から与えられた、要求元と要求内容とアクセス許容条件表６０の内容を参照して実行の許諾を決定し、その結果をファイルシステム３０に伝える。ファイルシステム３０は、判定部５０からの結果を、あたかも実際の実行結果のように、真正なアプリケーション１又は不正なアプリケーション２に返す。

図３において、表管理部７０は、アクセス許容条件表６０の管理を行うもので、アクセス許容条件表６０の内容を維持、管理することを目的とする。主な機能として新規作成、追加、変更、削除、検索の機能を持つ。また、アクセス許容条件表の記入、改定、実行履歴の収集などの機能の実現には、適宜ユーザインタフェースが用意されても良い。

（２−３）アクセス許容条件表と表管理部
図４はアクセス許容条件表の構成を示す説明図である。
図４において、アクセス許容条件表６０には、デフォルトでアプリケーションの要求を受け入れる対象を記述する情報（ホワイトリスト）であるか、あるいは逆に、この表に含まれる対象は、デフォルトでアプリケーションの要求を拒む（ブラックリスト）記述の２種類の何れか一方を記録することができ、アクセス許容条件表６０全体としては、単一あるいは複数の表で構成され、データベースで管理されても良い。

以下にアクセス許容条件表６０の項目の例を挙げる。以下の例は、特に断らない限り要求を受け入れる対象を記述する情報（ホワイトリスト）として示す。
・Ｉ／Ｅ区分（６１）
（Ｉ：許諾対象の記述、Ｅ：除外対象の記述）
この項目に記述された対象は、前記デフォルトに対して、Ｉ：表にこの行の記述内容を含める、Ｅ：この行の記述内容を前記Ｉで表される集合から除外するために利用する。例えば、前記のＩを用いて営業日に特定のアプリケーション利用を許可する。その一方で、Ｅを用いて１２：００から１３：００までの休憩時間には許可を除外して、該当のアプリケーションの利用を禁止するような場合に利用する。Ｉ又はＥを記述する。
この行の各項目は以下のように関係する。
Ｎａｍｅ（６４）：実行プログラムの名称で、具体的には実行プログラムのファイル名である。
File（６５）：前記の実行プログラム（６４）がアクセスするファイル名あるいはフォルダ名である。
Ｌｉｍｉｔａｔｉｏｎ（６６）：前記実行プログラム（６４）がファイル名（６５）にアクセスを許すための条件を記入する。
以上により、アクセス許容条件表の各行は、実行プログラム（６４）がファイルにアクセス（６５）するに当たり、制約（６６）を満たさなくてはならないことを表現する。この行に記述された条件を満たさないアプリケーションからの情報アクセス要求は拒否される。さらに、詳細に各項目を説明する。
・Ｉ／Ｏタイプ（６２）
真正なアプリケーション２１又は不正なアプリケーション２２の要求内容を記述する。ディレクトリの参照要求なども含む。
・ＰＩＤ（６３）
真正なアプリケーション２１又は不正なアプリケーション２２の内部での識別子が記述される。これは、ユーザが指定するのではなく、本機能が実行に必要な情報としてOSより取得し、セットする。
・Ｎａｍｅ（６４）
真正なアプリケーション２１又は不正なアプリケーション２２の外部名称、又は、ユーザが認識できる真正なアプリケーション２１又は不正なアプリケーション２２の呼び名を記述する。具体的にはアプリケーションの実行ファイル名である。
・Ｆｉｌｅ（６５）
要求されたファイル名を記述する。
・Ｌｉｍｉｔａｔｉｏｎ（６６）
Ｎａｍｅ（６４）の実行とＦｉｌｅ（６５）へのアクセスを許すサービス範囲条件を記述する。

アクセス許容条件表６０の各項目には、正規表現を用いてファイルやフォルダの集合（任意の長さの任意文字列を表す＊、任意の１文字を表す？などの組み合わせ）を記入することもできる。また、アクセス許容条件表６０には、表管理部７０によって、既知のウイルスやその亜種の名称、アクセスするファイル名などは非諾（拒否）条件として自動的に設定されても良い。
また、システム内でＯＳの補助として常時起動されるシステムプロセスの名称、アクセスするファイルなど真正なシステムアプリケーション情報が自動的に収集され、表管理部７０の初期化機能によって許容条件の対象として初期設定される。
また、ユーザに利用を許す真正なプリケーションも許容条件の対象としてアクセス許容条件表６０に表管理部７０によって記述される。そのための画面インタフェースなども備える。

さらに、各アクセス許容条件表６０には名称、キーワード、注記などが付けられ、表管理部７０のインタフェースを通じて、ユーザが選択したり、検索したり改訂したりすることも可能である。

以上のようなアクセス許容条件表６０の具体例について表１を参照して説明する。なお、ここでは前提としてディスクに存在するファイルを、abc.txt、xyz.doc、jklm.ppt、efjk.doc、Excel.exeとして説明する。
（ケース：１）表が暗黙で拒否を意味する場合であって、表の各行には拒否すべき条件を明記する。また、表に記されていない対象は暗黙で全て受け入れとなる。従って、始めのＩの行は拒否条件となり、全てアプリケーションからの、全てのファイルに対する、Read、Write、Delete、Listを、無条件に禁止することを意味している。ただし、２行目に於いてシステムタスクである、taskmgr.exeのＩ／Ｅ（６１）項目をＥに設定することによって、前記の制約からこの行の条件を除き、選択的に実行可能にしている。
（ケース：２）表が暗黙で拒否を意味する場合であって、始めの行はＩで拒否条件であり、全ての実行プログラムから、Excel.exeファイルに対して無条件に書き込みを許さない設定となる。
（ケース：３）表が暗黙で受け入れを意味する場合であって、（ホワイトリスト）なので、Ｉが記された行の条件のみが許容条件となり、この表に含まれない対象は全て拒否となる。従って、この例はkeiri.exeアプリケーションだけに、週日の9時から21時まで、xyz.docとefjk.docに対して、Ｗｒｉｔｅ（書込み）を許可する。また、それ以外のあらゆるアプリケーションの一切の情報アクセスを禁止することを表している。なお、表中の記載で「""」は、無指定を表す。

このようにアクセス許容条件表には２種類があり、表の各行の条件が許諾を明示するものを受け入れ表（ホワイトリスト）と呼び、表が規定外の対象は全て拒否となる。逆に、拒否の表（ブラックリスト）は、表中の各行の条件は、拒否の条件を明示する。表が拒否である場合、表に規定する以外の対象は、全て受け入れとなる。
Ｉ／Ｅ＝Ｉの場合は、その行はそれが属する表が持つ特性に含まれる。Ｉ／Ｅ＝Ｅの場合は、その行は表の特性には含まれず、逆の制約として働く（例外指定）。
例えば、拒否表とする場合、Type＝Ｉの場合は、アクセス許容条件表の項目に含まれる記述は、実行やアクセスを拒否する対象を表す。
逆に、肯定表（受け入れ）とする場合、Type=Ｉは、この行が表す対象（*.docであればディスク中の全てのファイルの拡張子として.docを持つファイル）は、IOType（６２）の項目に記述されている要求を受け入れて実行することを意味する。ただし、Type=Eでは、以上にもかかわらず、指定のＩＯを拒否する指定として働く。

正規表現などの指定内容、例えば「＊」などは、一種の検索条件の指定になっているので必ずしも具体的に特定の対象を指さない場合もある。各行は順次解釈することを原則とするが、必ずそれが実行順になるとは限らない。

（３）次に判定部の詳細を説明する。
図５は判定部の関連説明図である。
（３−１）判定部
判定部５０はファイルシステム３０から呼び出される。
その際のパラメータにはプロセスを特定するＰＩＤが含まれる。
プロセス発見５１は、与えられた内部ＰＩＤから、ＯＳが持つプロセステーブルを参照して、アプリケーションの外部名を得る。この２つのパラメータが図４の項目ＰＩＤ（６３）とＮａｍｅ（６４）に該当し、表からの選択や、表に登録する際の見出し情報となり、プロセスとその外部名称で対象の記述内容を特定する。
表検索５２は、アクセス許容条件表６０の検索を行い、登録済であれば、その内容をアクセス許容条件表６０に返す。実際に検索を実行するのは、表管理部７０の検索機能であってもかまわない。
判定５３は、該当の許容条件の記述を基準に判定を行い、真正なアプリケーション２１、あるいは真正なアクセス要求と判断すると、結果返送５４をへて、ファイルシステム３０に実行の継続を促す返事を返す。あるいは、否認の結果になった場合は、結果返送５４をへて、ファイルシステム３０からアプリケーション２０に対して、偽りの回答を行うように促す。

判定５３で、アクセス許容条件表６０内に正規表現が指定されている場合など、判断が一意に決定できない場合は、ユーザインタラクション５５をへて、画面に選択肢と関連情報を表示し、ユーザインタフェース５６を経てユーザの判断を受けることができる。その結果、実行の許諾か非諾が決まり、その結果を表更新５７に送り、アクセス許容条件表６０を更新する。さらにそれは、適切なタイミングで表管理部７０の変更機能で、アクセス許容条件表６０のデータベースに反映される。

（３−２）アクセス許容条件表の暗号化とリカバリ
アクセス許容条件表６０は、アプリケーション２０が活動して、ファイルにアクセスした時点で動的に働く監視と防御の基になる情報であり、それ自身の改竄や漏洩を防がなくては、ＰＣの安全が保てない。そこで、アクセス許容条件表６０を暗号化保存することや、自動的なバックアップと改竄の検知を行う。また、必要な場合はロールバックできるようにする。

（３−３）アクセス許容条件表のキー
アクセス許容条件表６０あるいは、そのグループに対して特定のユーザキーを割り当てることができる。また、ユーザキーとアクセス許諾条件表をメモリ機器上に保存することができ、この記憶媒体を挿入し、ユーザキーの認証が済むとそのキーに割り当てられたアクセス許容条件表が自動的に図５のアクセス許容条件表６０にロードされ、即時にそのユーザの利用範囲や権限が、該当のＰＣ上に固定される。
これによって、個人の利用環境を表すアクセス許容条件表６０を持ち歩くことができ、物理的なＰＣの実体と利用者の利用環境を切り離すことができる。

これにより、ポータブルのハードディスクなどに記憶されたアクセス許容条件表と情報の実体をペアーで保管できる場合は、そのハードディスクさえ持参すれば、どこのＰＣを利用しても、同一の情報利用環境を任意のＰＣ上に再現でき、ポータブルな情報機器間の移動における情報的な透過性を確保できる。

（４）画面からの漏洩防止
（４−１）アクセス制御の対象
ＰＣで扱う情報は、いくら厳格に情報アクセスを制約したとしても、それを活用できなければ意味がない。そのため、最小限でも、画面に表示できる必要がある。しかしながら、画面に表示されれば、それを写真に取ったり、メモしたり、あるいは記憶によって画面から情報が流出することは防止できない。本発明では、怪しいアプリケーションには、情報がディスクに存在しないよう偽装することによって、その情報を渡たさず、流出を生じさせないようにすることを基本原理としている。

ＰＣ内の情報を画面に表示するファイルシステムのユーザインタフェース（ウインドウズであればエキスプローラ）に対して、前述の本発明の基本原理を適用すると、実際にはディスクに存在するファイルやフォルダであっても、ファイルシステムのユーザインタフェースに偽りの情報を返すことによって、あたかもディスク中にそれらのファイルやフォルダが存在しないように見せることができる。

この場合の、アプリケーションからの要求は、ＩＯＴｙｐｅ（図４の符号６２）は、一般的なファイルのＯｐｅｎやＣｌｏｓｅあるいは、Ｒｅａｄ、Ｗｒｉｔｅではなく、ファイルの一覧や、ファイル属性のリストの取得や設定などである。

（４−２）画面表示の制約
その実現のためには、図６のディスク内容の選択的表示の説明図に示すように、これまで述べた機能を、ファイルシステムＧＵＩ（８１）であるアプリケーションに適用する。これによって、アクセス許容条件表６０の記述内容に従って、ファイルシステムＧＵＩ（８１）には、選択的な情報だけが返される。

この場合の情報内容は、ファイルの中身でなくて、ファイル名やフォルダ名を含む属性値のリストである。つまり、アクセス許諾条件表６０の記述に従った範囲内のファイルやフォルダに関する名称や属性情報しかファイルシステムＧＵＩ（８１）に返さないため、それ以外のファイルやフォルダに関する情報は、画面にも表示されず、ディスク中に存在しないようにしか見えない。

また、実行スペースに置かれるアクセス許容条件表６０を複数利用可能とし、画面からユーザが指定する。
あるいは、前述の「（３−３）アクセス許容条件表のキー」に述べた、キー等の挿入と取り去りの切り替え（８２）に連動して、対応するアクセス許容条件表を切り替えることを実現する。
これによって、以下の（ａ）〜（ｄ）の機能を実現することができる。

（ａ）正規社員が利用する際は、キーを挿入して、フルアクセス可能なアクセス許容条件表に切り替えて、全てのＰＣ内の情報を画面に表示する。例えば、正規社員でないアルバイト社員が利用する際は、キーを抜くと別のアクセス許容条件表に切り替わり、重要情報が収められた一部のファイルやフォルダは、画面にその名前さえも表示されなくなる。

（ｂ）時間監視機能が自動的に働いていて、急な電話や来客があっても、一定の経過時間後に自動でアクセス許容条件表が切り替わり、一部のファイルやフォルダは画面にその名前さえも表示されなくなる。

（ｃ）ノートＰＣを会社外に持ち出す際に、社内ＬＡＮの接続を切ると、自動でアクセス許容条件表が切り替わり、一部のファイルやフォルダは、画面にその名前さえも表示されなくなる。戻って、ＬＡＮに接続すると、自動で元のアクセス許容条件表に切り替わり、フルに画面表示ができるようになる。

（ｄ）ＰＣのＯＳシャットダウンの際に、自動的に最小限のファイル情報にアクセスを許すアクセス許容条件表に切り替える。こうすることによって、万一、そのＰＣに盗難や紛失が生じて、拾得者がＰＣ内の情報にアクセスしようとしても、最小限のファイル名やフォルダ名しか表示されず、アタックを避けることができ、漏洩を防ぐことができる。

以上説明したように本実施形態のコンピュータの情報漏洩防止システム１０は、コンピュータ上で実行されるアプリケーションがハードディスク４０などの記憶部に記憶された情報にアクセスしようとした時点で、予め設定されたアクセス許容条件を満たすかどうかをユーザ認証やアクセスコントロールなどによる制約の仕組とは独立に判定部５０により判定して、不正なアクセスと判定された場合に情報のアプリケーションへの受け渡しを禁止することを要旨としたものである。これによって、ファイルシステム自身に監視と判断の機能を持たせてそのアクセス許容条件を柔軟に設定することができ、ウイルスなどが活性を示す間に引き起こす様々な不正アクセスに対して汎用的かつ柔軟に対処することができる。したがって、この要旨に属するものは本発明の権利範囲である。例えばユーザの情報の保存先となる記憶部はＰＣ内臓のハードディスクとは限らず、ＬＡＮに接続されたサーバ、あるいはフラッシュメモリなどのような不揮発性の半導体メモリであってもよい。また、本実施例におけるアクセス許容条件のチェック項目はその使用環境などによって変わりうるものであってこれらのものに限定されるものではない。

従来例の情報漏洩防止システムの説明図である。 本発明の実施例の情報漏洩防止システムの説明図である。 本発明の実施例の情報漏洩防止システムの構造と機能の説明図である。 本発明の実施例の情報漏洩防止システムにおけるアクセス許容条件表の構成図である。 本発明の実施例の情報漏洩防止システムにおける判定部の関連説明図である。 本発明の実施例の情報漏洩防止システムのディスク内容選択表示の説明図である。

符号の説明

１０ コンピュータの情報漏洩防止システム
２０ アプリケーション
２１ 真正なアプリケーション
２２ 不正なアプリケーション
３０ ファイルシステム
４０ ハードディスク（記録部）
５０ 判定部
５１ プロセス発見
５２ 表検索
５３ 判定
５４ 結果返送
５５ ユーザインタラクション
５６ ユーザ指示
５７ 表更新
６０ アクセス許容条件表
６１ Ｉ／Ｅ
６２ ＩＯ Ｔｙｐｅ
６３ ＰＩＤ
６４ Ｎａｍｅ
６５ Ｆｉｌｅ
６６ Ｌｉｍｉｔａｔｉｏｎ
７０ 表管理部
８１ ファイルシステムＧＵＩ
８２ 切り替え

Claims (7)

1. コンピュータ上で実行されるアプリケーションがその記憶部に記憶された情報にアクセスしようとした時点で、予め設定されたアクセス許容条件を満たすかどうかをユーザ認証やアクセスコントロールによる制約の仕組とは独立に判定して、不正なアクセスと判定された場合に前記情報の前記アプリケーションへの情報の受け渡しを禁止することを特徴とするコンピュータの情報漏洩防止システム。
2. 前記アクセス許容条件には前記コンピュータのユーザインタフェースを介して入力される以下のチェック項目が含まれていることを特徴とする請求項１記載のコンピュータの情報漏洩防止システム。
   （ａ）ファイルデータの書き込みなどの操作を表すＩＯタイプ
   （ｂ）実行プログラム・ファイル名
   （ｃ）実行プログラムの操作対象となるファイル名
   （ｄ）実行プログラムの実行制約条件
3. 前記実行プログラム・ファイル名や実行プログラムの操作対象となるファイル名には、単一の対象が特定されるファイル名の他に正規表現やワイルドカードによる指定ができ、選択された複数の対象からなる集合に対して制約操作が機能することを特徴とする請求項２記載のコンピュータの情報漏洩防止システム。
4. 前記アクセス許容条件は、ユーザ環境における現実の実行内容を反映した実行履歴に基づいて自動生成されることを特徴とする請求項１〜３のいずれかに記載のコンピュータの情報漏洩防止システム。
5. 前記アクセス許容条件を定義するアクセス許容条件表は、データベースなどを利用して複数のアクセス許容条件表を管理でき、ＰＣの利用場所、時間帯あるいは営業日かそうでないかなどによって、手動あるいは自動でアクセス許容条件表を切り替えることができ、同一のＰＣであっても提供する機能範囲を動的に変化させることができるように選択的にアクセス許容条件表をアクティブにできることを特徴とする請求項１〜４のいずれかに記載のコンピュータの情報漏洩防止システム。
6. 前記アクセス許容条件表による制約はファイルシステムのユーザインタフェースに対しても適用され、その時点でアクティブになっているアクセス許容条件表の判定結果に従って、拒否されたフォルダやファイルの存在情報を非表示にして、あたかもそこにファイルが存在していないかのような画面表示とすることによって、モニタ画面からの情報の存在それ自体の情報漏洩を防止することを特徴とする請求項１〜５のいずれかに記載のコンピュータの情報漏洩防止システム。
7. 前記アクセス許容条件表とその情報の実体を記憶する前記記憶部が外部接続のハードディスクであって、そのハードディスクをコンピュータに接続することで当該利用者に対して、同一の制約的な情報利用環境を再現し、アクセス許容条件によって実行が許可された書き込み要求の実行では、全ての情報は暗号化されて記録され、前記ハードディスクが実装されていないＰＣからの不正読み出しが禁止されることを特徴とする請求項１〜６のいずれかに記載のコンピュータの情報漏洩防止システム。
   

Images