JP2010055566A - クライアント／サーバシステムとクライアント／サーバシステムの監査方法 - Google Patents

Abstract

【課題】 本発明はサーバ装置の処理の負荷を軽減するとともに、セキュリティポリシーに違反するクライアント装置を素早く見つけ情報漏洩を防止するクライアント／サーバシステムとクライアント／サーバシステムの監査方法を提供する。
【解決手段】 本発明のクライアント／サーバシステムは、監視手段と一次監査手段を有するクライアント装置と、二次監査手段を有するサーバ装置からなるクライアント／サーバシステムで、前記サーバ装置は、前記一次乃至二次監査手段による監査の結果、予め登録されたセキュリティ違反頻度を超えたクライアント装置を違反常習者としてブラックリストに登録するブラックリスト作成手段を有し、前記二次監査手段は前記ブラックリストに登録されたクライアント装置から優先的に監査を実施することを特徴とする。
【選択図】 図１

Description

この発明は、セキュリティ対策を施したクライアント／サーバシステムとクライアント／サーバシステムの監査方法に関する。

ネットワークに接続されたサーバ装置と、このサーバ装置の管理の下、同様にネットワークに接続されたクライアント装置からなるクライアント／サーバ型のシステムにおいて、セキュリティ対策を実施する場合、セキュリティ対策ソフトの導入等により対応することが多いが、従来のセキュリティ対策ソフトにおいては、クライアント装置にインストールされた監視モジュールが、クライアント装置の監視を行い、サーバ装置は、クライアント装置より送られてきたログを監査モジュールで監査していた。

上記では、監視エージェントが、監視対象装置からアラートを取得した場合、一定期間に亘って定期的周期よりも短い周期で動作確認の通知を行なうようにしている（特許文献１参照）。

しかし、クライアント装置が何十、何百台とあり、またログのファイルサイズも大きい場合、監査対象となるログは膨大になってしまい、そのため、迅速に情報漏洩に繋がる行為を検出しようとすると、監査周期を短くしなければならないが、サーバ装置の負荷が大きくなってしまう。

また、モバイルＰＣで無線ＬＡＮを利用し、持ち出しを行っていて、クライアント装置がサーバ装置に一定時間アクセス出来ない場合に、クライアント装置からサーバ装置へのログが送信できないため、最新のログの監査ができないという問題があり、システムの脆弱性が問題視されるようになってきた。
特開２００６−２２１４８４号公報

この発明の目的は、クライアント／サーバシステムのセキュリティ対策においてサーバ装置の監査処理内容を少なくし、サーバ装置の処理の負荷を軽減するとともに、セキュリティポリシーに違反するクライアント装置を素早く見つけ情報漏洩を防止するクライアント／サーバシステムとクライアント／サーバシステムの監査方法を提供することにある。

上記目的を達成するため、本発明のクライアント／サーバシステムは、ネットワークに接続され、監視手段と一次監査手段を有するクライアント装置と、同じくネットワークに接続され、前記クライアント装置の一次監査手段とは別の二次監査手段を有するサーバ装置からなるクライアント／サーバシステムであって、前記サーバ装置は、前記一次乃至二次監査手段による監査の結果、予め登録されたセキュリティ違反頻度を超えたクライアント装置を違反常習者としてブラックリストに登録するブラックリスト作成手段を有し、前記二次監査手段は前記ブラックリストに登録されたクライアント装置から優先的に監査を実施することを特徴とするものである。

また、本発明のクライアント／サーバシステムの監査方法は、ネットワークに接続され、監視手段と一次監査手段を有するクライアント装置と、同じくネットワークに接続され、前記クライアント装置の一次監査手段とは別の二次監査手段を有するサーバ装置からなるクライアント／サーバシステムの監査方法であって、前記クライアント装置の一次監査手段により一次監査を実行し、前記サーバ装置の二次監査手段により二次監査を実行し、前記一次乃至二次監査の結果が予め登録されたセキュリティ違反頻度を超えたクライアント装置である場合、前記クライアント装置をブラックリストに登録し、前記サーバ装置は、次回の二次監査時に前記ブラックリストに登録されたクライアント装置から優先的に監査を実施することを特徴とするものである。

上記発明によれば、クライアント／サーバシステムのセキュリティ対策においてサーバ装置の監査処理内容を少なくし、サーバ装置の処理の負荷を軽減するとともに、セキュリティポリシーに違反するクライアント装置を素早く見つけ情報漏洩を防止するクライアント／サーバシステムとクライアント／サーバシステムの監査方法を提供することが可能となる。

この発明のクライアント／サーバシステムのセキュリティ対策において、サーバ装置の監査処理内容を少なくし、サーバ装置の処理の負荷を軽減するとともに、セキュリティポリシーに違反するクライアント装置を素早く見つけ情報漏洩を防止するクライアント／サーバシステムとクライアント／サーバシステムの監査方法を提供することが可能となる。

以下、本発明のバックアップシステの実施の形態につき図面を参照して説明する。
本実施形態にかかるバックアップシステム全体の概略構成を図１に示す。
＜実施形態＞
図１は本実施形態における、クライアント／サーバシステム構成図を示したものである。
クライアント装置２ａ〜２ｃは、主な構成モジュールとして、（１）監視モジュール２１、（２）１次監査モジュール２３を持ち、監視モジュール２１が作成するログ２２と監査モジュール２３が作成するファイル(以下、監査レポート２４と記す)がある。

（１）監視モジュール２１は、Ｗｉｎｄｏｗｓ（登録商標）のサービスプログラムのような常駐プログラムとして動作し、主にファイル操作、アクセスしたＷｅｂの、アプリケーション動作、デバイス操作、印刷ジョブ、ログオン・ログオフ、メール送信内容などの監視を行い、ログ２２を作成する。

（２）１次監査モジュール２３は、（１）監視モジュール２１と同様に、常駐プログラムとして動作し、クライアント装置２ａの監査を行う。１次監査モジュール２３の監査機能２３２は、１時間毎などのサーバ装置の２次監査モジュール１２よりも短周期で動作し、メール送信のログや、ＵＳＢメモリにファイルコピーしたログなど情報漏洩に繋がる緊急性の高いログに関して監査を行い、監査レポート２４を作成する。

また、セキュリティポリシーに違反する操作があった場合、サーバ装置管理者に警告２５を行う。緊急性の高いログに関して、短周期で監査を行うことにより、迅速に情報漏洩に繋がる行為の検出を行うことが出来る。

一方、サーバ装置１の、主な構成モジュールは２次監査モジュール１２となる。２次監査モジュール１２も１次監査モジュール２３と同様に常駐プログラムとして動作する。

２次監査モジュール１２のブラックリスト作成機能１２１は、サーバ装置１のデータベース１４より過去の監査レポートを参照し、各クライアント装置２ａ〜２ｃのセキュリティポリシーに違反した頻度を計算し、ブラックリスト１２２を作成する機能となる。

監査機能１２４は、1日毎など１次監査モジュール２３よりも長周期で動作し、クライアント装置２ａ〜２ｃより送られてきた監査を行っていないログ２２に関して、ブラックリスト１２２を利用し、セキュリティポリシーに違反する操作頻度の多いクライアント装置２ａ〜２ｃから監査を行う。監査結果は、クライアント装置２ａ〜２ｃより送られた監査レポート２４とマージした監査レポート１３を作成し、サーバ装置１のデータベース１４に登録する。また、クライアント装置２ａ〜２ｃの監査機能２３２と同様に、セキュリティポリシーに違反する操作があった場合、サーバ装置管理者に警告１５を行う。

図２は、クライアント装置２ａ〜２ｃの１次監査モジュール２３の動作フローチャート、図３はサーバ装置１の２次監査モジュール１２の動作フローチャートを示したものであり、詳細説明を行う。

「クライアント装置２ａ〜２ｃの処理」
（１）監視ログ２２の取得（Ｓ２１）
監視モジュール２１が作成するファイル操作やアクセスしたＷｅｂのＵＲＬなどセキュリティに対して緊急性の高いログ２２を取得する。
（２）監査キーワード２３１の取得（Ｓ２２）
予め設定された監査キーワード２３１の取得を行う。監査キーワード２３１は、クライアント装置２ａ〜２ｃとサーバ装置１で異なるキーワードを設定することが可能となる。例えば、以下のようにクライアント装置２ａ〜２ｃでは部門特有の監査キーワード２３１の設定を行い、サーバ装置１は部門共通のキーワード１２３の設定を行う。

●１次監査の監査キーワード２３１
（株）○○○会社 監査キーワード
├ 営業部・・・顧客情報、技術情報（営業に技術情報がある場合もあるため）
├ 技術部・・・技術情報
└ 総務部・・・従業員情報
●２次監査の監査キーワード１２３
（株）○○○会社 監査キーワード
├ 営業部・・・社外秘、極秘
├ 技術部・・・社外秘、極秘
└ 総務部・・・社外秘、極秘
（３）監査実行（Ｓ２３）
一時間毎など設定した周期で実行する。クライアント装置２ａ〜２ｃの1次監査では、サーバ装置１の２次監査よりも短周期で監査周期を設定する。（２）で取得した監査キーワード２３１が（１）で取得したログ２２に含まれるかパターンマッチを行って検出する。
１次監査では、メール送信監視、ＵＳＢメモリへファイルコピーなど緊急性の高いログ、１時間毎などの短周期で監査を行う。
監視モジュール２１が作成する、ファイル操作、Ｗｅｂ操作、アプリケーション動作、デバイス操作、印刷ジョブ、ログオン・ログオフ、メール送信などのログ２２のうち、ＵＳＢメモリへ機密情報が書かれたファイルのコピーを行ったことがわかるファイル操作のログや機密情報をメールで送信したことがわかるメール送信のログなどは、情報漏洩に即つながる可能性がある。

しかし、Ｗｅｂ操作や、ログオン・ログオフ、業務とは関係のないゲームなどのアプリケーション動作といったログは、必ずとも即、情報漏洩と繋がるものではないため、サーバ装置１の２次監査で、監査を行う。

また、クライアント装置２ａ〜２ｃで１次監査を行うことで、クライアント装置２ａ〜２ｃを持ち出しして一定期間サーバ装置１に接続できないなどの場合における脆弱性を解決することができる。

（４）監査レポート作成（Ｓ２５）
監査結果を監査レポート２４として残す。セキュリティポリシーに違反した操作が見つけられた場合は、該当箇所を抽出し、日時、ユーザ名、マシン名と共に監査レポート２４に記載する。

（５）警告発信（Ｓ２７）
監査にて、セキュリティポリシーに違反した操作が見つけられた場合にサーバ装置管理者に対して、警告２５をメールなどの手段を用いて知らせる。
「サーバ装置１の処理」
（６）ブラックリストの作成（Ｓ３２）
ブラックリスト１２２は、監査レポートデータベース１４より過去の監査レポートを参照し、各クライアント装置２ａ〜２ｃ毎のセキュリティポリシーに違反した頻度を計算し、一定頻度（閾値）を超えたクライアント装置２ａ〜２ｃを、違反頻度順に記載したものとなる。

（７）監査実行（Ｓ３５）
一日毎など設定した周期で実行する。サーバ装置１の２次監査は、クライアント装置２ａ〜２ｃよりも長周期で監査周期を設定する。
また、ブラックリスト１２２が有る場合は、ブラックリスト１２２に記載された順序でクライアント装置２ａ〜２ｃのログの監査を実行する。サーバ装置１の２次監査もクライアント装置２ａ〜２ｃの１次監査と同様、設定したキーワード１２３がログ１１に含まれるかのパターンマッチを行う。

（８）監査レポートの作成（Ｓ３６）
サーバ装置１の監査レポート１３の作成では、クライアント装置２ａ〜２ｃより送られた監査レポート２４と監査結果をマージした監査レポート１３を作成する。
＜本実施形態における具体的動作＞
以下、業務中に、業務とは関係のないオークションサイトを閲覧していないか監査する例の具体的動作を述べる。
（ａ）Ｗｅｂ監視ログの監査キーワード２３１に、オークションサイト（○○！オークションなど)と閾値(１０回)を設定する。
（ｂ）クライアント装置２ａ〜２ｃより送られてきたログ１１と設定した監査キーワード１２３で監査を行う。
（ｃ）クライアント装置０１のＷＥＢ監視ログに、○○！オークションの記載が１５回ほど検出され、クライアント装置０２は、８回、クライアント装置０３は、１７回ほど検出されたとする。

（ｄ）監査結果を監査レポート１３に作成し、違反があった場合はサーバ装置管理者へ警告１５を送る。
次回の監査において、
（ａ）監査レポートデータベース１４より、監査レポートを取得する。
（ｂ）クライアント装置０１：２ａが設定している監査キーワード１２３（○○!オークション）を１５回ほど閲覧しているのがわかったため、ブラックリスト１２２にクライアント装置０１：２ａと使用頻度１５、クライアント装置０２：２ｂと使用頻度８、クライアント装置０３：２ｃと使用頻度１７と設定する。

この監査キーワード１２３の閾値は１０回であるため、クライアント装置０１：２ａとクライアント装置０３：２ｃは閾値を超えているため、危険クライアント装置として記録する。クライアント装置０２：２ｂはあと２回履歴がみられると、危険クライアント装置として登録される。

（ｃ）クライアント装置２ａ〜２ｃより送られてきたログ２２の中から、まずはブラックリスト１２２に載っているクライアント装置０３：２ｃのログ２２より監査を行う、次にクライアント装置０１：２ａを監査し、残りは、取得した順に監査を行う。
（ｄ）監査結果を監査レポート１３に作成し、違反があった場合はサーバ装置管理者へ警告１５を送る。
以上述べたように、本実施形態のクライアント／サーバシステムのセキュリティ対策によれば、サーバ装置１の監査処理内容を少なくし、サーバ装置１の処理の負荷を軽減するとともに、セキュリティポリシーに違反するクライアント装置２ａ〜２ｃを素早く見つけ情報漏洩を防止するクライアント／サーバシステムとクライアント／サーバシステムの監査方法を提供することが可能となる。

本実施形態にかかるクライアント／サーバシステムの全体の概略構成を示す図。 本実施形態にかかるクライアント装置の監査モジュールの動作フローチャート。 本実施形態にかかるサーバ装置の監査モジュールの動作フローチャート。

符号の説明

１…サーバ装置、２ａ、２ｂ、２ｃ…クライアント装置、３…ネットワーク、１１…ログ、１２…２次監査モジュール、１２１…ブラックリスト作成機能、１２２…ブラックリスト、１２３…監査キーワード、１２４…監査機能（長周期）、１３…監査レポート、１４…監査レポートデータベース、１５…警告、２１…監視モジュール、２２…ログ、２３…１次監査モジュール、２３１…監査キーワード、２３２…監査機能（短周期）、２４…監査レポート、２５…警告、

Claims (5)

1. ネットワークに接続され、監視手段と一次監査手段を有するクライアント装置と、同じくネットワークに接続され、前記クライアント装置の一次監査手段とは別の二次監査手段を有するサーバ装置からなるクライアント／サーバシステムであって、
   前記サーバ装置は、前記一次乃至二次監査手段による監査の結果、予め登録されたセキュリティ違反頻度を超えたクライアント装置を違反常習者としてブラックリストに登録するブラックリスト作成手段を有し、
   前記二次監査手段は前記ブラックリストに登録されたクライアント装置から優先的に監査を実施する
   ことを特徴とするクライアント／サーバシステム。
2. 前記一次監査手段と前記二次監査手段の監査実行頻度は、前記一次監査手段による監査実行頻度の方が高い
   ことを特徴とする請求項１に記載のクライアント／サーバシステム。
3. 前記一次監査手段による監査は、少なくとも不正メール送信、外部メモリへのファイルコピーを含む緊急性の高い処理が実行された場合に動作する
   ことを特徴とする請求項１に記載のクライアント／サーバシステム。
4. 前記二次監査手段による監査は、少なくともＷＥＢ操作、ログオン・ログオフ操作、ゲームソフト実行を含む緊急性の低い処理が実行された場合に動作する
   ことを特徴とする請求項１に記載のクライアント／サーバシステム。
5. ネットワークに接続され、監視手段と一次監査手段を有するクライアント装置と、同じくネットワークに接続され、前記クライアント装置の一次監査手段とは別の二次監査手段を有するサーバ装置からなるクライアント／サーバシステムの監査方法であって、
   前記クライアント装置の一次監査手段により一次監査を実行し、
   前記サーバ装置の二次監査手段により二次監査を実行し、
   前記一次乃至二次監査の結果が予め登録されたセキュリティ違反頻度を超えたクライアント装置である場合、前記クライアント装置をブラックリストに登録し、
   前記サーバ装置は、次回の二次監査時に前記ブラックリストに登録されたクライアント装置から優先的に監査を実施する
   ことを特徴とするクライアント／サーバシステムの監査方法。

Images