JP2009169661A - セキュアｏｓのセキュリティポリシーの管理方法及びシステム - Google Patents

Abstract

【課題】 セキュアＯＳを利用した情報処理装置に、正規の手続きで作成または変更されたセキュリティポリシーが反映されているかどうかの検証及び管理を自動的に行うこと。
【解決手段】 情報処理装置が、管理装置から新規作成または変更されたセキュアポリシーのファイルを受信し、セキュアＯＳに設定し、設定したセキュアポリシーのファイル及びそのハッシュ値、作成日時の情報を前記管理端末に送信するステップを備え、管理端末が、情報処理装置から受信したセキュアポリシーファイル及びそのハッシュ値、作成日時の情報を第２の記憶手段にバックアップ記憶し、情報処理装置に設定されたセキュアポリシーのハッシュ値、作成日時の情報及び第１の記憶手段に記憶されたセキュアポリシーの設定時刻の情報を取得し、第２の記憶手段にバックアップ記憶したセキュアポリシーのハッシュ値、作成日時の情報との整合性をチェックするステップを備える。
【選択図】 図１

Description

本発明は、セキュアＯＳのセキュリティポリシーの管理方法及びシステムに関する。

セキュアＯＳでは、全てのプロセスと全てのリソースの間で様々な詳細なアクセス制御が可能であり、そのアクセス制御が回避できないため、強固なセキュリティを実現している。このアクセス制御は、セキュリティ管理者が定めたセキュリティポリシーと呼ばれるアクセス制御設定に基づく。したがって、セキュリティポリシーは、セキュアＯＳを利用するシステムの中核といえる。
このセキュリティポリシーは、設定により様々なレベルのセキュリティが実現できる。
Linuxの代表的なSELinuxでは、ユーザや全てのプロセスに厳密なアクセス制御設定を施したstrictポリシーと、外部向けのプロセスを中心に一部のプロセスしか保護しないtargetedポリシーが存在し、一般的には扱い易さのため、後者のtargetedポリシーが利用される。他のセキュアＯＳでも、targetedポリシー相当のセキュリティポリシーが多く使われている。

セキュリティポリシーは、実運用中のトラブルの原因となる場合があり、その際には適宜修正を加える必要がある。targetedポリシーのようなセキュリティポリシーでは、一般のLinuxのrootのような管理者権限を持つユーザが、セキュリティポリシーを容易に変えられるようになっている。
これは、システムを運用する上ではやむを得ないことである。しかし、正規の手続きを経たセキュリティポリシーが、システムに適用されているかどうか分からない。このため、正規の手続きで変更されたセキュリティポリシーが適用されているかどうかの監視と、セキュリティポリシーの運用が必要である。
このセキュリティポリシーの監視と運用については、完全な方法やシステムは存在していない。例えば、TOMOYO Linux（非特許文献１）では、自動生成されたポリシーの名前が作成日時になっているため、バージョン管理がし易くなっている。

原田季栄、"TOMOYO Linuxへの道"、［online］、２００５年１１月１１日、 インターネット＜URL： http://tomoyo.sourceforge.jp/＞

しかしながら、上記の非特許文献１に開示された技術にあっては、セキュリティポリシーがテキストファイルで構成されているため、容易に変更可能であり、正規の手続きを経たセキュリティポリシーであることを保証できない。また、正規の手続きを経たセキュリティポリシーが、システムに適用されているかどうかをチェックする仕組みも持たない。

本発明は、このような問題点に鑑みなされたものであり、その目的は、対象とするセキュアＯＳを利用した情報処理装置に、正規の手続きで作成または変更されたセキュリティポリシーが反映されているかどうかの検証及び管理を自動的に行うことができるセキュアＯＳのセキュリティポリシーの管理方法及びシステムを提供することにある。

上記目的を達成するために、本発明に係るセキュアＯＳのセキュリティポリシーの管理方法は、リソースのアクセス制御をセキュアＯＳに設定されたセキュリティポリシーよって実施している情報処理装置における前記セキュリティポリシーの管理方法であって、
前記セキュアポリシーを管理する管理端末が、
新規のセキュアポリシーまたは既設定のセキュアポリシーを変更するセキュアポリシーを作成し、そのセキュアポリシーのファイルを前記情報処理装置に送信する第１のステップを備え、
前記情報処理装置が、
前記管理装置から新規作成または変更されたセキュアポリシーのファイルを受信し、セキュアＯＳに設定し、その設定時刻を第１の記憶手段に記憶すると共に、設定したセキュアポリシーのファイル及びそのハッシュ値、作成日時の情報を前記管理端末に送信する第２のステップを備え、
前記管理端末が、
前記情報処理装置から受信したセキュアポリシーファイル及びそのハッシュ値、作成日時の情報を第２の記憶手段にバックアップ記憶する第３のステップと、
管理者からの指示に応じて、または予め設定された時期に、前記情報処理装置に設定されたセキュアポリシーのハッシュ値、作成日時の情報及び前記第１の記憶手段に記憶されたセキュアポリシーの設定時刻の情報を取得し、前記第２の記憶手段にバックアップ記憶したセキュアポリシーのハッシュ値、作成日時の情報との整合性をチェックし、その整合性のチェック結果を管理者に通知する第４のステップと
を備えることを特徴とする。
また、前記管理端末が、前記整合性のチェックの結果、整合性がない場合には、前記第２の記憶手段にバックアップ記憶したセキュアポリシーのファイルを前記情報処理装置に送信し、セキュアポリシーを再設定する第５のステップをさらに備えることを特徴とする。

本発明に係るセキュアＯＳの管理システムは、リソースのアクセス制御をセキュアＯＳに設定されたセキュリティポリシーよって実施している情報処理装置における前記セキュリティポリシーの管理システムであって、
前記セキュアポリシーを管理する管理端末が、
新規のセキュアポリシーまたは既設定のセキュアポリシーを変更するセキュアポリシーを作成し、そのセキュアポリシーのファイルを前記情報処理装置に送信する第１の手段を備え、
前記情報処理装置が、
前記管理装置から新規作成または変更されたセキュアポリシーのファイルを受信し、セキュアＯＳに設定し、その設定時刻を第１の記憶手段に記憶すると共に、設定したセキュアポリシーのファイル及びそのハッシュ値、作成日時の情報を前記管理端末に送信する第２の手段を備え、
前記管理端末が、
前記情報処理装置から受信したセキュアポリシーファイル及びそのハッシュ値、作成日時の情報を第２の記憶手段にバックアップ記憶する第３の手段と、
管理者からの指示に応じて、または予め設定された時期に、前記情報処理装置に設定されたセキュアポリシーのハッシュ値、作成日時の情報及び前記第１の記憶手段に記憶されたセキュアポリシーの設定時刻の情報を取得し、前記第２の記憶手段にバックアップ記憶したセキュアポリシーのハッシュ値、作成日時の情報との整合性をチェックし、その整合性のチェック結果を管理者に通知する第４の手段と
を備えることを特徴とする。
また、前記管理端末が、前記整合性のチェックの結果、整合性がない場合には、前記第２の記憶手段にバックアップ記憶したセキュアポリシーのファイルを前記情報処理装置に送信し、セキュアポリシーを再設定する第５の手段をさらに備えることを特徴とする。

本発明によれば、対象とするセキュアＯＳを利用したサーバ等の情報処理装置に、正規の手続きで作成変更されたセキュリティポリシーが反映されているかどうかを自動的に検証することができる。
また、セキュリティポリシーのバージョン管理が出来ると共に、セキュリティポリシーの変更によるトラブルの際に、以前のセキュリティポリシーに戻すことができるなど、運用におけるトラブルの対処などの管理が容易になる。

以下、本発明を実施する場合の一形態を図面を参照して具体的に説明する。
図１は、本発明の適用対象となる情報システムの実施の形態を示すシステム構成図である。
この実施形態における情報システムは、セキュアＯＳ１１６を利用した運用監視対象のサーバ１１０と、管理端末１２０で構成される。
運用監視対象のサーバ１１０は、セキュリティポリシー１１１、ポリシー反映履歴１１２、運用監視エージェント群１１３及びセキュアＯＳ１１６、他のアプリケーションやファイルなどから構成される。なお、他のアプリケーションやファイルなどは図示を省略している。
セキュリティポリシー１１１は、セキュアＯＳ１１６のセキュリティポリシーである。ポリシー反映履歴１１２は、セキュリティポリシー１１１が、作成や変更された際のログを残したファイルである。これは、セキュアＯＳ１１６によって、セキュアＯＳ機能が独自に管理している専用ログファイルである場合や、一般的なＯＳと同様に、セキュアＯＳ機能以外のログ情報と合わせて管理しているログファイルの場合もある。

運用監視エージェント群１１３は、作成変更エージェント１１４と監視エージェント１１５から構成される。
作成変更エージェント１１４は、管理端末１２０上の管理端末ソフトウェア１２１の操作に応じて、セキュリティポリシー１１１の作成や変更及び反映に関し、サーバ１００上の処理を行うエージェントである。
監視エージェント１２２は、管理端末１２０上の管理端末ソフトウェア１２１の操作に応じて、セキュリティポリシー１１１が正規の手順で作成変更されたものかどうかのチェックに関し、サーバ１００上の処理を行うエージェントである。

管理端末１２０は、基本的にはセキュリティポリシー１１１の運用監視のためのクライアントＰＣなどであり、それに管理端末ソフトウェア１２１が導入される。
管理端末ソフトウェア１２１は、変更作成モジュール１２２、監視モジュール１２３、設定ファイル１２４、管理テーブル１２５、セキュリティポリシーバックアップ群１２６から構成される。
変更作成モジュール１２２は、ユーザの操作に受けて、セキュリティポリシー１１１の作成や変更及び反映に関し、管理端末１２０上の処理を行うモジュールである。
監視モジュール１２３は、ユーザの操作に受けて、セキュリティポリシー１１１が正規の手順で作成変更されたものかどうかのチェックに関し、管理端末１２０上の処理を行うモジュールである。

設定ファイル１２４は、図２に示すように、項番２０１と、セキュリティポリシー１１１を構成するファイルのファイルパス情報２０２が記述された設定ファイルである。これは、セキュアＯＳ１１６ごとに本発明のシステムの導入時に設定する。
管理テーブル１２５は、図３に示すように、登録日時３０１、項番３０２、作成変更日時３０３、ハッシュ値３０４、ファイル名３０５で構成されるテーブルである。
登録日時３０１は、ハッシュ値３０４、ファイル名３０５が管理テーブル１２５に登録された日時であり、管理端末１２０の内部時計を利用して得たものである。
項番３０２は、設定ファイル１２４の項番２０１に対応するものである。
作成変更日時３０３は、サーバ１００上でセキュリティポリシー１１１が作成または変更され、サーバ１００に反映された日時であり、サーバ１００の内部時計を利用したものである。
ハッシュ値３０４は、サーバ１００上で、設定ファイル１２４のファイルパス情報２０２にあるファイルのハッシュ値である。
ファイル名３０５は、設定ファイル１２４のファイルパス情報２０２にあるファイルに対し、管理端末１２０上で保管しているバックアップのファイル名である。
セキュリティポリシーバックアップ群１２６は、管理テーブル１２５のファイル名３０５で示されたファイルの集合である。

図４は、セキュリティポリシーの作成・変更の処理の概要を示したフローチャートである。
セキュリティ管理者は、管理端末ソフトウェア１２１の変更作成モジュール１２２を用いて、セキュリティポリシー１１１の変更・作成操作を行い、運用監視対象のサーバ１１０上の作成変更エージェント１１４を通じて、変更作成したセキュリティポリシーを運用監視対象サーバ１１０上に配置する（ステップ４０１）。
このセキュリティポリシーの変更・作成については、ユーザ操作は管理端末ソフトウェア１２１で行い、作成変更エージェント１１４が配置することになるが、実際の作成・変更処理は、管理端末ソフトウェア１２１上の変更作成モジュール１２２が行う方式でも、運用監視対象サーバ１１０上の作成変更エージェント１１４が行う方式でも良いし、セキュアＯＳ１１６が持つ既存の変更作成ツールを利用しても良い。

次に、セキュリティ管理者が、管理端末ソフトウェア１２１の作成変更モジュール１２２を通じて、新しいセキュリティポリシーを、運用監視対象サーバ１１０に反映させる処理を指示する。
作成変更モジュール１２２は、このユーザの指示を、図２に示した設定ファイル１２４の情報と共に、運用監視対象サーバ１１０上の作成変更エージェント１１４に通知する。作成変更エージェント１１４が、セキュアＯＳ１１６の機能を用いて、新しいセキュリティポリシーを、運用監視対象サーバ１１０に反映させる（ステップ４０２）。
運用監視対象のサーバ１１０上の作成変更エージェント１１４は、ステップ４０２の処理の後に、ステップ４０２で通知された設定ファイル１２４の各項番２０１に対し、ファイルパス情報２０２に対応するファイルの作成変更日時及びハッシュ値を取得する。そして、図５に示すように、項番５０１、作成変更日時５０２、ハッシュ値５０３、ファイルパス情報２０２に対応するファイルのファイル名５０４をまとめたファイルを作成する（ステップ４０３）。

次に、作成変更エージェント１１４は、ステップ４０３で作成したファイルと、ファイル名５０４を持つファイルパス情報２０２に対応するファイルを、管理端末ソフトウェア１２１の作成変更モジュール１２２に送信する（ステップ４０４）。
管理端末ソフトウェア１２１の作成変更モジュール１２２は、ステップ４０４で送信されたファイルを受信する。そして、まずステップ４０３で作成したファイルを元に、管理テーブル１２５に情報を登録する。この際、管理端末ソフトウェア１２１で登録した日時情報を管理端末１２０のローカル環境から取得し、登録日時３０１に登録する。

また、ファイル名３０５に関しては、セキュリティポリシーバックアップファイルのファイル名重複を避けるために、日時情報を用いるなどして、管理端末ソフトウェア１２１で保管する際のファイル名を決定して登録する。そして、作成変更エージェント１１４から受けた、ファイル名５０４を持つファイルパス情報２０２に対応するファイルを、先に決定し管理テーブル１２５に登録したファイル名に変更し、セキュリティポリシーバックアップ群１２６に保管する（ステップ４０５）。
以上で、セキュリティポリシーの作成変更が完了する。

図６は、セキュリティポリシーの監視の処理概要を示したフローチャートである。
セキュリティ管理者は、管理端末ソフトウェア１２１の監視モジュール１２２を用いて、セキュリティポリシー１１１のチェック依頼を行う。
監視モジュール１２２は、監視エージェント１１５に、設定ファイル１２４と共にその依頼を通知する（ステップ６０１）。
監視エージェント１１５は、その依頼を受け、設定ファイル１２４の各項番２０１に対し、ファイルパス情報２０２に対応するファイルの作成変更日時及びハッシュ値を取得する。そして、図７に示すように、項番７０１、作成変更日時７０２、ハッシュ値７０３をまとめたファイルを作成する（ステップ６０２）。

次に、監視エージェント１１５は、ポリシー反映履歴１１２から、直近のセキュリティポリシーの反映処理した日時を取得する（ステップ６０３）。そして、監視エージェント１１５は、ステップ６０２で作成したファイルと、ステップ６０３で取得したセキュリティポリシーの反映処理した日時の情報を、管理端末ソフトウェア１２１の監視モジュール１２２に送信する（ステップ６０４）。
管理端末ソフトウェア１２１の監視モジュール１２２は、ステップ６０２で作成したファイルの内容が、管理テーブル１２５と整合しているかどうかチェックし、また、セキュリティポリシーの反映処理した日時が、セキュリティポリシーの作成変更日時以降であることをチェックする（ステップ６０５）。このチェックには、その他の判断基準を加えても良い。

ステップ６０５で、チェックが通った場合は、正規の手続きで作成変更されたセキュリティポリシーが反映されているので、それをセキュリティ管理者に通知するなどの処理を行う（ステップ６０６）。
ステップ６０５で、チェックが通らなかった場合は、正規の手続きで作成変更されたセキュリティポリシーが反映されていないため、それをセキュリティ管理者に通知する。さらに、セキュリティ管理者に、セキュリティポリシーバックアップ１２６と、変更作成モジュール１２２を利用して、最新のセキュリティポリシーのバックアップを適用するように促す処理、もしくは、自動的に最新のセキュリティポリシーのバックアップを適用する処理を行う（ステップ６０７）。

以上で、正規の手続きで作成変更されたセキュリティポリシーが対象サーバ１１０に反映されているかどうかの検証、セキュリティポリシーの変更、セキュリティポリシーのバージョン管理を行うことができる。
なお、セキュリティポリシーの検証は管理者からの指示に応じて実行するようにしているが、実行時期を予め設定しておき、その実行時期に達したときに自動的に検証を行うように構成することができる。

本発明の適用対象となる情報システムの実施形態を示すシステム構成図である。 管理端末における設定ファイルの内容例を示す図である。 管理端末における管理テーブルの内容例を示す図である。 セキュリティポリシーの作成・変更処理の概要を示すフローチャートである。 セキュリティポリシーの作成・変更処理時に作成するファイルの内容例を示す図である。 セキュリティポリシーの監視処理の概要を示すフローチャートである。 セキュリティポリシーの監視処理時に作成するファイルの内容例を示す図である。

符号の説明

１１０ サーバ
１１１ セキュリティポリシー
１１２ ポリシー反映記録
１１３ 運用監視エージェント群
１１４ 作成変更エージェント
１１５ 監視エージェント
１１６ セキュアＯＳ
１２０ 管理端末
１２１ 管理端末ソフトウェア
１２２ 作成変更モジュール
１２３ 監視モジュール
１２４ 設定ファイル
１２５ 管理テーブル
１２６ セキュリティポリシーバックアップファイル群

Claims (4)

1. リソースのアクセス制御をセキュアＯＳに設定されたセキュリティポリシーよって実施している情報処理装置における前記セキュリティポリシーの管理方法であって、
   前記セキュアポリシーを管理する管理端末が、
   新規のセキュアポリシーまたは既設定のセキュアポリシーを変更するセキュアポリシーを作成し、そのセキュアポリシーのファイルを前記情報処理装置に送信する第１のステップを備え、
   前記情報処理装置が、
   前記管理装置から新規作成または変更されたセキュアポリシーのファイルを受信し、セキュアＯＳに設定し、その設定時刻を第１の記憶手段に記憶すると共に、設定したセキュアポリシーのファイル及びそのハッシュ値、作成日時の情報を前記管理端末に送信する第２のステップを備え、
   前記管理端末が、
   前記情報処理装置から受信したセキュアポリシーファイル及びそのハッシュ値、作成日時の情報を第２の記憶手段にバックアップ記憶する第３のステップと、
   管理者からの指示に応じて、または予め設定された時期に、前記情報処理装置に設定されたセキュアポリシーのハッシュ値、作成日時の情報及び前記第１の記憶手段に記憶されたセキュアポリシーの設定時刻の情報を取得し、前記第２の記憶手段にバックアップ記憶したセキュアポリシーのハッシュ値、作成日時の情報との整合性をチェックし、その整合性のチェック結果を管理者に通知する第４のステップと
   を備えることを特徴とするセキュアＯＳのセキュリティポリシーの管理方法。
2. 前記管理端末が、
   前記整合性のチェックの結果、整合性がない場合には、前記第２の記憶手段にバックアップ記憶したセキュアポリシーのファイルを前記情報処理装置に送信し、セキュアポリシーを再設定する第５のステップをさらに備えることを特徴とする請求項１に記載のセキュアＯＳのセキュリティポリシーの管理方法。
3. リソースのアクセス制御をセキュアＯＳに設定されたセキュリティポリシーよって実施している情報処理装置における前記セキュリティポリシーの管理システムであって、
   前記セキュアポリシーを管理する管理端末が、
   新規のセキュアポリシーまたは既設定のセキュアポリシーを変更するセキュアポリシーを作成し、そのセキュアポリシーのファイルを前記情報処理装置に送信する第１の手段を備え、
   前記情報処理装置が、
   前記管理装置から新規作成または変更されたセキュアポリシーのファイルを受信し、セキュアＯＳに設定し、その設定時刻を第１の記憶手段に記憶すると共に、設定したセキュアポリシーのファイル及びそのハッシュ値、作成日時の情報を前記管理端末に送信する第２の手段を備え、
   前記管理端末が、
   前記情報処理装置から受信したセキュアポリシーファイル及びそのハッシュ値、作成日時の情報を第２の記憶手段にバックアップ記憶する第３の手段と、
   管理者からの指示に応じて、または予め設定された時期に、前記情報処理装置に設定されたセキュアポリシーのハッシュ値、作成日時の情報及び前記第１の記憶手段に記憶されたセキュアポリシーの設定時刻の情報を取得し、前記第２の記憶手段にバックアップ記憶したセキュアポリシーのハッシュ値、作成日時の情報との整合性をチェックし、その整合性のチェック結果を管理者に通知する第４の手段と
   を備えることを特徴とするセキュアＯＳのセキュリティポリシーの管理システム。
4. 前記管理端末が、
   前記整合性のチェックの結果、整合性がない場合には、前記第２の記憶手段にバックアップ記憶したセキュアポリシーのファイルを前記情報処理装置に送信し、セキュアポリシーを再設定する第５の手段をさらに備えることを特徴とする請求項３に記載のセキュアＯＳのセキュリティポリシーの管理システム。

Images