JP2007249519A - 任意アプリケーションによる外部記憶装置への情報持ち出し制御方法 - Google Patents

Abstract

【課題】 任意のアプリケーションによる外部記憶装置への情報持ち出しを制御すること。
【解決手段】 外部記憶装置の接続を監視モジュールによって監視し、外部接続装置の接続を検知した場合には、当該外部接続装置に対する任意アプリケーションからの入出力要求を監視し、かつ情報持ち出し可否情報が設定された第１の入出力要求監視手段と、前記任意アプリケーション独自の入出力要求を監視し、かつ情報持ち出し可否情報が設定された第２の入出力要求監視手段とを生成する第１のステップと、接続された外部記憶装置に対する任意のアプリケーションからの入出力要求に対し、前記第１及び第２の入出力要求監視手段が捕捉し、それぞれに設定された情報持ち出し可否情報を参照し、当該情報持ち出し可否情報に従って外部記憶装置に対する入出力要求を許可、または禁止する第２のステップとを備える。
【選択図】 図２

Description

本発明は、任意アプリケーションによる外部記憶装置への情報持ち出し制御方法に関するものである。

近年、顧客情報などの個人情報の漏洩が社会的問題となっている。情報の漏洩は、外部記憶装置に情報を格納して持ち出すことにより行われることが多く、外部記憶装置への情報の持ち出しを禁止する技術へのニーズが高くなっている。その一方、重要な情報のバックアップなどの目的で、許可されたユーザに対しては外部記憶装置へ情報を持ち出したいというニーズも存在する。
これらの背景から、外部記憶装置への情報の持ち出しを制御する技術について関心が高まっている。

持ち出し制御に関連する公知技術文献として、下記特許文献１が挙げられる。この特許文献１に開示された技術にあっては、情報の持ち出し制御をアプリケーションの認証をもとに実現している。
図１０は、前記特許文献１に開示されたアプリケーション認証モジュールの構成図であり、１００１はアプリケーション認証モジュールを表し、１００２はハッシュ管理テーブルを表す。
アプリケーション認証モジュール１００１は、内部にハッシュ管理テーブル１００２を持ち、アプリケーションの認証は、起動されたアプリケーションやアプリケーションに挿入されたフィルタモジュールのハッシュ値と、ハッシュ管理テーブル９０２に登録されたハッシュ値の比較により行われる。ハッシュ値が等しい場合に当該アプリケーションによる情報の持ち出しを許可し、ハッシュ値が異なる場合に持ち出しを禁止することで、不正なアプリケーションによる持ち出し制御を実現している。

特開２００３−１０８２５３号公報

しかしながら、上記特許文献１に開示された技術のように、アプリケーションの認証のみによる情報の持ち出し制御では、監視対象となるアプリケーションの認証情報を、認証情報テーブルに予め登録しておく必要がある。このため、未知のアプリケーションを制御することができないという問題がある。
しかし、持ち出し制御を行いたい対象は、多くの場合、アプリケーション単位ではなく、アプリケーションが既知及び未知であるかを問わず、外部記憶装置の種類単位での制御である。例えば、ＣＤへの書き込みを考える場合、特定のアプリケーションについてＣＤへの持ち出しを制御したいのではなく、ＣＤという外部記憶装置単位で、任意のアプリケーションからの情報の持ち出しを制御したい場合が多く、特許文献１に示すような技術では、このようなアプリケーションの種類を問わない、ＣＤやＦＤなどの外部記憶装置単位での持ち出し制御要求を実現する事ができない。

本発明の目的は、アプリケーションが既知及び未知であるかを問わず、任意のアプリケーションによる外部記憶装置単位での情報の持ち出しを制御することができる情報の持ち出し制御方法を提供することにある。

上記目的を達成するために、本発明に係る任意アプリケーションによる外部記憶装置への情報持ち出し制御方法は、
外部記憶装置の接続を監視モジュールによって監視し、外部接続装置の接続を検知した場合には、当該外部接続装置に対する任意アプリケーションからの入出力要求を監視し、かつ情報持ち出し可否情報が設定された第１の入出力要求監視手段と、前記任意アプリケーション独自の入出力要求を監視し、かつ情報持ち出し可否情報が設定された第２の入出力要求監視手段とを生成する第１のステップと、
接続された外部記憶装置に対する任意のアプリケーションからの入出力要求を前記第１及び第２の入出力要求監視手段が捕捉し、それぞれに設定された情報持ち出し可否情報を参照し、当該情報持ち出し可否情報に従って外部記憶装置に対する入出力要求を許可、または禁止する第２のステップとを備えることを特徴とする。

本発明によれば、アプリケーションが既知及び未知、または認証済みか、認証済みでないかを問わず、任意のアプリケーションによるＣＤやＦＤなどの外部記憶装置単位での持ち出しを制御することができる。

以下、本発明を実施する場合の一形態を、図面を参照して具体的に説明する。
図１は、本発明を適用したコンピュータシステムの実施の一形態を示す機能ブロック図である。
クライアントコンピュータ１は、キーボード２、マウス３、ディスプレイ４、ＣＰＵ５、フロッピィディスク装置などの外部記憶装置６、メモリ７を備え、メモリ７には各種の業務に用いる業務アプリケーション１０１、Ｉ／０制御部１０３を持つオペレーティングシステムシステム（ＯＳ）１０２、Ｉ／Ｏ監視モジュール１０４、通信モジュール１０５が記憶されている。

図２は、Ｉ／０制御部１０３、Ｉ／Ｏ監視モジュール１０４、通信モジュール１０５の詳細構成を示す機能ブロック図である。
図２において、１０１は情報の持ち出しを行おうとする任意の業務アプリケーション、１０３はオペレーティングシステム１０２のＩ／Ｏ制御部である。
１０３１は外部記憶装置６の接続を監視する外部記憶装置追加監視部であり、外部記憶装置６が接続されたことを検出する機能を有し、外部記憶装置６の入出力を監視するＩ／Ｏ制御部１０３内の全てのモジュールのうち、外部記憶装置６が接続されたという接続通知を最も遅く受信するように設定されている。
１０３２はオペレーティングシステム１０２の標準Ｉ／Ｏ処理部であり、通常これはデバイスドライバが該当し、例えばＷｉｎｄｏｗｓ（Microsoft社の登録商標）の場合はＣＤ−ＲＯＭクラスドライバなどが該当する。
１０３３は業務アプリケーション独自のＩ／Ｏ処理部であり、業務アプリケーションによって存在する場合と存在しない場合があり、オペレーティングシステム標準Ｉ／Ｏを使用せずに独自に外部記憶装置６へＩ／Ｏを発行するアプリケーションの場合に存在する。
１０３４は汎用のＩ／Ｏ監視部であり、外部記憶装置６の接続通知を、外部記憶装置６のＩ／Ｏを管理するＩ／Ｏ制御部１０３内の全モジュールのうち最も早く受信するよう設定されており、オペレーティングシステム１０２の標準Ｉ／Ｏの許可、禁止を制御する。
１０３５は業務アプリケーション独自Ｉ／Ｏを監視する監視部、１０３６は業務アプリケーション独自Ｉ／Ｏの受信部である。受信部１０３６は業務アプリケーション１０１からの要求を直接受信する部位であり、業務アプリケーション１０１によって生成される。なお、業務アプリケーションによっては生成されない場合がある。

１０４はＩ／Ｏ監視モジュールであり、外部記憶装置接続監視処理部１０４１、アプリケーション独自Ｉ／Ｏ監視処理部１０４２、汎用Ｉ／Ｏ監視処理部１０４３で構成されている。
外部記憶装置接続監視処理部１０４１は、外部記憶装置６の接続時に実際に動作するルーチン群である。
アプリケーション独自Ｉ／Ｏ監視処理部１０４２は、アプリケーション独自Ｉ／Ｏを捕捉して処理を行うルーチン群である。
汎用Ｉ／Ｏ監視処理部１０４３は、外部記憶装置６に対するＩ／Ｏを捕捉して処理を行うルーチン群である。
１０５は通信モジュールを表し、持ち出し可否の情報をクライアントコンピュータ１の外部の管理コンピュータと通信する部位である。
１０５１は持ち出し可否情報のメモリ表現である。持ち出し「許可」または持ち出し「禁止」のいずれかの状態を持つ。
なお、監視部１０３１、１０３４、１０３５は、後述するように、ＯＳ１０２が外部記憶装置６の接続を検知した場合に生成するものである。
Ｉ／Ｏ監視モジュール１０４は、オペレーティングシステム１０２が提供するＩ／Ｏ監視機能を用いて実現する。例えばＷｉｎｄｏｗｓ（マイクロソフト社の登録商標）システムの場合はフィルタドライバのＩ／Ｏ監視機能で実現する。

以下、外部記憶装置接続時の処理と各Ｉ／Ｏ監視部１０３１、１０３４，１０３５の処理について説明する。
図３は、外部記憶装置６が接続された際のＯＳ１０２の動作概要図である。
外部記憶装置６が接続されると、接続通知がＯＳ１０２から汎用Ｉ／Ｏ監視処理部１０４３、外部記憶装置接続監視処理部１０４１へ送信され、それに応じて、汎用Ｉ／Ｏ監視処理部１０４３によって汎用Ｉ／Ｏ監視部１０３４が生成され、また外部記憶装置接続監視処理部１０４１によって外部記憶装置接続監視部１０３１、アプリケーション独自Ｉ／Ｏ監視部１０３５がオペレーティングシステム１０２のＩ／Ｏ制御部１０３内に生成される。

図４は、図２の動作を実現する処理シーケンスである。
まず、Ｉ／Ｏ監視モジュール１０４は、ＯＳ１０２が認識していない新規の外部記憶装置６の接続に対する事前準備として、汎用Ｉ／Ｏ監視処理部１０４３が新規の外部記憶装置の接続通知をアプリケーション独自Ｉ／Ｏ処理部１０３３より先に受け取るように設定する（ステップ４０１）。接続通知を受け取る設定は、例えばＷｉｎｄｏｗｓ（マイクロソフト社の登録商標）システムの場合は、デバイスドライバのAddDeviceルーチンの設定で行う事ができる。
接続通知をアプリケーション独自Ｉ／Ｏ処理部１０３３より先に受け取る設定は、Ｗｉｎｄｏｗｓ（マイクロソフト社の登録商標）システムでＣＤ−ＲＯＭ装置を例にすると、ＣＤ−ＲＯＭクラスドライバのLowerFiltersレジストリにモジュール名を設定することにより可能である。

次に、外部記憶装置追加監視処理部１０４１が新規の外部記憶装置の接続通知をオペレーティングシステム１０２の標準Ｉ／Ｏ処理部１０３２より後に受け取るように設定する（ステップ４０２）。
接続通知をオペレーティングシステム１０２の標準Ｉ／Ｏ処理部１０３２より後に受け取るように受け取る設定は、Ｗｉｎｄｏｗｓ（マイクロソフト社の登録商標）システムでＣＤ−ＲＯＭ装置を例にすると、ＣＤ−ＲＯＭクラスドライバのＵｐｐｅｒＦｉｌｔｅｒｓレジストリに本システムの外部記憶装置追加監視処理部１０４１のモジュール名を設定することにより可能である。

次に、Ｉ／Ｏ監視モジュール１０４は新規の外部記憶装置６の接続が発生するまで受信待ちを行う（ステップ４０３）。
新規の外部記憶装置６の追加が発生してＯＳ１０２に検出されると、ステップ４０１の設定により、汎用Ｉ／Ｏ監視処理部１０４３が外部記憶装置追加監視処理部１０４１より先にＯＳ１０２から追加通知を受信する（ステップ４０４）。

次に、汎用Ｉ／Ｏ監視処理部１０４３は、接続通知に含まれる、追加外部記憶装置を管理するデータ構造（制御しているドライバの情報や、装置の種別など）等の情報をもとに、接続された装置の汎用Ｉ／Ｏ監視部１０３４をオペレーティングシステム１０２のＩ／Ｏ制御部１０３内に生成して追加する（ステップ４０５）。
この監視部１０３４の生成は、Ｗｉｎｄｏｗｓ（マイクロソフト社の登録商標）システムの場合は、フィルタドライバにより、監視部１０３４のデータ構造生成（デバイスの生成）と、外部記憶装置６へのフィルタの追加（デバイススタックへのアタッチ）で実現する。

次に、ステップ４０２の設定により、外部記憶装置追加監視処理部１０４１が外部記憶装置６の接続通知を受信する（ステップ４０６）。
次に、外部記憶装置追加監視処理部１０４１は、ステップ４０５と同様の機構を用いて、外部記憶装置追加監視部１０３１をオペレーティングシステムのＩ／Ｏ制御部１０３内に生成して追加する（ステップ４０７）。

次に、外部記憶装置追加監視処理部１０３１は、接続された外部記憶装置６のＩ／Ｏを処理するモジュールの一覧を生成する（ステップ４０８）。
これらの一覧取得はオペレーティングシステム１０２に問い合わせる事で可能である。Ｗｉｎｄｏｗｓ（マイクロソフト社の登録商標）システムの場合は、１０３４、１０３３、１０３２、１０３１と、各部位を上方に辿り、それぞれの部位のデータ構造（デバイスオブジェクト）のDriverObjectフィールドを確認する事で可能である。
上記モジュール一覧の生成により、外部規則装置６へＩ／Ｏを発行する可能性がある全モジュールを確認することが可能となる。これによって、アプリケーション独自Ｉ／Ｏ受信部の存在有無を確認し、存在時にその監視部を生成することができる。

次に、生成したモジュール（外部記憶装置追加監視１０３１〜汎用Ｉ／Ｏ監視部１０３４を管理するモジュール）について、ステップ４１０以降の処理を繰り返す（ステップ４０９）。
初めに、生成したモジュールが本システムのモジュールかどうか、すなわちＩ／Ｏ監視モジュール１０４が生成したモジュールであるかを、DriverObjectがＩ／Ｏ監視モジュール１０４のアドレスと一致するかどうかによって確認する。
ここでの処理はアプリケーション独自Ｉ／Ｏ受信部１０３６を特定することが目的であり、本システムのモジュールであればＩ／Ｏ監視は不要であるため次のモジュールを処理する。
本システムのモジュールで無い場合はＩ／Ｏ監視が必要かどうか確認を行なう（ステップ４１０）。ここで、DriverObjectの確認で本システムのモジュールで無いと判断されれば監視対象と扱う。

次に、そのＩ／Ｏ監視対象となるモジュールに対して、既にアプリケーション独自Ｉ／Ｏ監視部１０３５を生成したかどうかを確認する（ステップ４１１）。Ｗｉｎｄｏｗｓ（マイクロソフト社の登録商標）システムの場合は、確認対象のモジュールが生成したデータ構造（デバイスオブジェクト）のAttachedDeviceフィールドに設定されたリストを辿り、その先に本システムが生成したデータ構造が存在するか確認することで確認可能である。
ここで、既に生成済みの場合は、これ以上のＩ／Ｏの監視は不要であるので、次のモジュールについて処理する。未生成の場合は、ステップ４０５と同様の機構を用いて、アプリケーション独自Ｉ／Ｏ監視部１０３５を追加する（ステップ４１２）。
なお、本システムのモジュールで無いアプリケーションの例としては、ＣＤ書き込みソフト等があり、Ｉ／Ｏをアプリケーション独自で処理しているため、それを監視する必要がある。

全てのモジュールについて繰り返しが終わると、ステップ４３０１へ戻る。
ここで、ステップ４０１、４０２の設定により、追加通知が開始されてから終了するまでの間のＩ／Ｏを本システムで制御可能となる。また、ステップ４０２で追加通知を最後に受信するよう設定されているため、ステップ４０８の段階では、この装置の処理を行うモジュールを全て知る事ができる。従って、ステップ４０８の一覧を参照することで、新規の外部記憶装置６にＩ／Ｏを行う全モジュールを知ることが可能となる。

図５は、汎用Ｉ／Ｏ監視部１０３４へのＩ／Ｏに対する処理シーケンスである。
汎用Ｉ／Ｏ監視部１０３４は、Ｉ／Ｏ要求を待つ（ステップ５０１）。
汎用Ｉ／Ｏ監視部１０３４にＩ／Ｏ要求が発生すると（ステップ５０２）、次に持ち出し可否情報１０５１を参照する（ステップ５０３）。
次に、持ち出し可否情報１０５１の値が「許可」であるか確認し（ステップ５０４）、「許可」の場合はＩ／Ｏ要求を外部記憶装置６へ送信する（ステップ５０５）。その場合は外部記憶装置６のＩ／Ｏが行われ、ステップ５０１へ戻る。持ち出し可否情報の値が「許可」でない場合は、Ｉ／Ｏ要求を却下し（ステップ５０６）、Ｉ／Ｏを行わずにステップ５０１へ戻る。

図６はアプリケーション独自Ｉ／Ｏ監視部１０３５へのＩ／Ｏに対する処理シーケンスである。
アプリケーション独自Ｉ／Ｏ監視部１０３５は、Ｉ／Ｏ要求を待つ（ステップ６０１）。
アプリケーション独自Ｉ／Ｏ監視部１０３５にＩ／Ｏ要求が発生すると（ステップ６０２）、次に持ち出し可否情報１０５１を参照する（ステップ６０３）。
次に、持ち出し可否情報１０５１の値が「許可」であるか確認し（ステップ６０４）、「許可」の場合はＩ／Ｏ要求をアプリケーション独自Ｉ／Ｏ受信部１０３６へ送信する（ステップ６０５）。その場合は汎用Ｉ／Ｏ監視部１０３４を経て、外部記憶装置６へのＩ／Ｏが行われ、ステップ６０１へ戻る。
持ち出し可否情報の値が「許可」でない場合は、Ｉ／Ｏ要求を却下し（ステップ６０６）、Ｉ／Ｏを行わずにステップ６０１へ戻る。

図２の持ち出し可否情報１０５１は、通信モジュール１０５により任意のタイミングで図示しない管理コンピュータからの指示により変更可能な値である。これにより、持ち出しの許可・禁止を制御する事ができる。
通信モジュール１０５は、本システム外部の管理コンピュータから、持ち出し許可・禁止の情報（持ち出し可否情報）を取得する役割を持つ。持ち出し可否情報１０５１は、同一コンピュータ上のファイルとして保持してもよいし、ネットワーク上の別のコンピュータに保持し、それをネットワーク経由で受信してもよい。この通信モジュール１０５は、他のアプリケーションと連携させてもよい。例えば、特許文献１により認証を行うアプリケーションと連携する事ができる。これによりセキュリティを保ちつつ、持ち出し制御を行う事が出来る。

図７は通信モジュール１０５と連携するシステムの一例である。
７０１は本システムと連携するログインアプリケーションを表す。ここでは、アプリケーション７０１は特許文献１などの技術で認証機能を持つものとする。
７０２はログインアプリケーション７０１のログイン処理モジュールを表す。
７０３はユーザ毎の持ち出し制御情報を格納したファイルを表す。
７０４はアプリケーション認証モジュールを表す。特許文献１などの技術を使用する。
７０５は認証に用いるハッシュ管理テーブルを表す。ここではログインアプリケーション７０１の管理情報が登録されており、ログインアプリケーション７０１以外からは通信モジュール１０５へのＩ／Ｏが許可されない設定が行われているとする。１０５１は持ち出し可否情報を表す。初期値として「拒否」が設定されているとする。

図８は、ログイン時の処理シーケンスである。
ログインアプリケーション７０１は、ユーザのログイン要求を待つ（ステップ８０１）。
ログイン要求が発生すると、ログインアプリケーション７０１に要求が到達する（ステップ８０２）。
次に、持ち出し可否情報７０３から、ログインしたユーザに該当する値を参照する（ステップ８０３）。
次に、ログインアプリケーション７０１は認証モジュール７０４に認証要求を出す（ステップ８０４）。
認証要求は認証モジュール７０４により認証成功・失敗が確認される（ステップ８０５）。
認証成功時は、通信モジュール１０５へ持ち出し可否情報の更新要求を出すと（ステップ８０６）、要求が成功する（ステップ８０７）。該当ユーザの持ち出し可否設定が「許可」であれば持ち出しは許可され、「禁止」であれば持ち出しは禁止される。
認証失敗時は、同要求を出すと（ステップ８０８）、要求が却下される（ステップ８０９）。持ち出し可否設定はそのままで、ステップ８０１へ戻る。

図９はログアウト時の処理シーケンスである。
ログインアプリケーション７０１は、ユーザのログアウト要求を待つ（ステップ９０１）。
ログアウト要求が発生すると、ログインアプリケーション７０１に要求が到達する（ステップ９０２）。
次に、持ち出し可否情報７０３から、デフォルトの持ち出し可否情報を参照する（ステップ９０３）。
次に、ログインアプリケーション７０１は認証モジュール７０４に認証要求を出す（ステップ９０４）。
認証要求は認証モジュール７０４により認証成功・失敗が確認される（ステップ９０５）。
認証成功時は、通信モジュール１０５へ持ち出し可否情報の更新要求を出すと（ステップ９０６）、要求が成功する（ステップ９０７）。デフォルトの持ち出し可否設定が「許可」であれば持ち出しは許可され、「禁止」であれば持ち出しは禁止される。ログアウトは成功し、図８のステップ８０１へ戻る（ステップ９１０）。
認証失敗時は、同要求を出すと（ステップ９０８）、要求が却下される（ステップ９０９）。持ち出し可否設定はそのままで、ステップ９０１へ戻る。

以上の説明から明らかなように、本発明によれば、外部記憶装置が接続された場合には、当該外部記憶装置に対する入出力要求を一旦捕捉し、情報持ち出し許可の設定情報を参照し、情報持ち出し許可が設定されていた場合にのみ、外部記憶装置に対する入出力を可能にするモジュールをオペレーティングシステムのＩ／Ｏ制御部に自動的に組み込むようにしたことにより、アプリケーションが既知及び未知、または認証済みか、認証済みでないかを問わず、ＣＤやＦＤなどの外部記憶装置単位での持ち出しを制御することが可能となる。

本発明を適用したシステムの構成を示す図である。 本発明におけるオペレーティングシステムのＩ／Ｏ制御部及びＩ／Ｏ監視モジュールの詳細を示す図である。 外部記憶装置追加時の動作概要図である。 外部記憶装置追加時の処理シーケンス図である。 汎用Ｉ／Ｏ監視部へのＩ／Ｏ処理シーケンス図である。 アプリケーション独自Ｉ／Ｏ監視部へのＩ／Ｏ処理シーケンス図である。 通信モジュールと連携するログインアプリケーションの構成例を示す図である。 ログイン時の処理シーケンス図である。 ログアウト時の処理シーケンス図である。 従来におけるアプリケーション認証モジュールの例を示す図である。

符号の説明

１０１ 業務アプリケーション
１０２ オペレーティングシステム
１０３ オペレーティングシステムのＩ／Ｏ制御部
１０４ Ｉ／Ｏ監視モジュール
１０５ 通信モジュール
１０３１ 外部記憶装置追加監視部
１０３４ 汎用Ｉ／Ｏ監視部
１０３５ アプリケーション独自Ｉ／Ｏ監視部

Claims (1)

1. 外部記憶装置の接続を監視モジュールによって監視し、外部接続装置の接続を検知した場合には、当該外部接続装置に対する任意アプリケーションからの入出力要求を監視し、かつ情報持ち出し可否情報が設定された第１の入出力要求監視手段と、前記任意アプリケーション独自の入出力要求を監視し、かつ情報持ち出し可否情報が設定された第２の入出力要求監視手段とを生成する第１のステップと、
   接続された外部記憶装置に対する任意のアプリケーションからの入出力要求を前記第１及び第２の入出力要求監視手段が捕捉し、それぞれに設定された情報持ち出し可否情報を参照し、当該情報持ち出し可否情報に従って外部記憶装置に対する入出力要求を許可、または禁止する第２のステップと
   を備えることを特徴とする任意アプリケーションによる外部記憶装置への情報持ち出し制御方法。

Images