JP2010176485A - セキュリティポリシー管理システム及び監視システムを備えたアクセス制御リスト配布システム - Google Patents

Abstract

【課題】ポリシー変更などに伴うアクセス制御の変更を簡単かつ迅速に対応できるとともに、システム全体に一貫したセキュリティポリシーを共有させることができるようする。
【解決手段】人事情報と重要資産情報に基づいて所属部署や役職などに応じたセキュリティポリシーを設定し、そのセキュリティポリシーに従ってポリシーマスタ部１２により各管理システム２ａ〜２ｅへのアクセスを制御するポリシーマスタを作成する。ポリシー管理部１１は人事情報、重要資産情報、セキュリティポリシー情報に更新があるか定期的にチェックし、これらの情報が更新されると、更新された情報に基づいてポリシーマスタ部１２に格納されたポリシーマスタを更新し、ポリシー配布部１３により更新されたアクセス制御リストを各管理システム２ａ〜２ｅに配布する。
【選択図】図１

Description

本発明は、各種認証装置とネットワークを介して接続され、予め設定したセキュリティポリシーに基づいて認証装置を一元的に管理するセキュリティポリシー管理システム及び監視システムを備えたアクセス制御リスト配布システムに関する。

近年、オフィスの業務では、業務の効率化が図るため、パソコン（ＰＣ）やプリンタなどの情報システムが共有化され、ネットワークを介して必要な情報が簡単にアクセスすることが可能であるから、機密情報など重要な情報を含むファイルの漏洩や改ざんを防ぐために、アクセス制御などのポリシーを定めて管理するセキュリティポリシー管理が非常に重要となってきており、例えば、特許文献１には、コンピュータシステムにおけるファイルやアプリケーションやサービス等などに対して個別のアクセス権限のレベルを設定し、その設定された各情報のルール（規則）全体のアクセス制御リスト（以下、ＡＣＬ：Ａｃｃｅｓｓ Ｃｏｎｔｒｏｌ Ｌｉｓｔ）を作成し、アクセス時において、ＡＣＬと照らし合わせてチェックすることにより、アクセスを許可するか拒否するかを判断する管理システムが提案されている。

特開２００５−１８２４７８号公報

しかし、特許文献１に示す管理システムは、オフィス業務などにおいて、組織的なセキュリティポリシーに従って統一的なアクセス制御を行うためには、例えば、ＩＣカードや各種の認証システムを用いた機密エリアへの入室時のアクセス制御、ＰＣやファイルサーバなどへのネットワーク接続へアクセス制御、ファイルのコピーのアクセス制御といった多種に渡り、また、アクセス制御に際し、アクセス者の地位（例えば、「一般社員」「課長」「部長」「幹部」など）によってもセキュリティレベルが設定されているから、パソコン（ＰＣ）、プリンタ、ファイルなどに対するＡＣＬに変更が生じた場合、瞬時に適切なポリシーへ適用させないと、安全性を確保できないとともに、企業などの組織全体として一貫したセキュリティを確保するためにはシステム開発や運用コストがかかってしまうという問題点があった。

本発明は上記課題を鑑みてなされたものであり、ポリシー変更などに伴うアクセス制御の変更を簡単かつ迅速に対応できるとともに、システム全体に一貫したセキュリティポリシーを共有させることができるセキュリティポリシー管理システム及び監視システムを備えたアクセス制御リスト配布システムを提供することを目的とする。

請求項１のセキュリティポリシー管理システムは、対象機器又はシステムをそれぞれ個別にアクセス制御する各種の認証装置と、この各認証装置とネットワークを介して接続され、予め設定したセキュリティポリシーに基づいて前記各認証装置を一元的に管理するセキュリティポリシー管理システムであって、前記認証装置のセキュリティポリシー情報を蓄積するポリシー管理部と、前記ポリシー情報に基づいてアクセス制御リストを生成するポリシーマスタ部と、このポリシーマスタ部で生成したアクセス制御リストを前記各認証装置に送付するポリシー配布部とを備え、前記ポリシー管理部に入力されるポリシー情報の更新に基づいて前記ポリシーマスタ部によってアクセス制御リストを更新し、その更新したアクセス制御リストを前記ポリシー配布部から前記各認証装置に配布するように構成したことを特徴とする。

請求項１の構成によれば、ポリシー管理部はセキュリティポリシーの基準として設定した各種の情報に更新があるか定期的にチェックし、これらの情報が更新されると、更新された情報に基づいてポリシーマスタ部に格納されたポリシーマスタを更新する。ポリシー配布部はポリシーマスタ部に格納されたポリシーマスタの更新があるか定期的にチェックし、ポリシーマスタの情報に更新があると更新されたアクセス制御リストを各認証装置に配布する。

請求項２のセキュリティポリシー管理システムは、前記ポリシー管理部に人事情報、重要資産情報、セキュリティポリシー情報を出力するデータベースを設けるとともに、ポリシー配布部には配布付先情報を蓄積するデータベースを設け、これら各データベースの更新状況を定期的にチェックし、前記ポリシーマスタ部は更新された情報に基づいて新たなアクセス制御リストを生成して前記ポリシー配布部から前記各認証装置に配布するように構成したことを特徴とする。

請求項２の構成によれば、人事情報データベースには例えばオフィス内の各所属部署毎のユーザ（社員など）に関す情報が記載され、そのユーザの所属部署、部長、課長、一般といった役職、入社年月日、在籍・休職などの情報が蓄積され、重要資産情報データベースには各部署毎に設定した機密レベルに関する情報が蓄積され、これら人事情報と重要資産情報に基づいて所属部署や役職などに応じたセキュリティポリシーを設定し、そのセキュリティポリシー情報をセキュリティポリシーデータベースに蓄積し、そのセキュリティポリシーに従って認証装置へのアクセスを制御する。このようにして人事情報をベースとして重要資産情報、セキュリティポリシーに対応させてポリシーマスタ部によりポリシーマスタを作成し、ユーザ（社員）に応じてアクセスを制御する。ポリシー管理部は人事情報、重要資産情報、セキュリティポリシー情報に更新があるか定期的にチェックし、これらの情報が更新されると、更新された情報に基づいてポリシーマスタ部に格納されたポリシーマスタを更新し、ポリシー配布部により更新されたアクセス制御リストを各認証装置に配布する。

請求項３の監視システムを備えたセキュリティポリシー管理システムは、前記各認証装置から送られるログを監視する監視サーバーを設け、この監視サーバーは前記各認証装置から送られるログを自動収集するログ収集部と、前記各認証装置から送られるそれぞれログの相関関係を分析してポリシー違反の判定ルールを生成するログ分析ルール生成部と、このログ分析ルール生成部で作成した判定ルールに基づいてポリシー違反か否かを分析するログ分析部とを備え、このログ分析部による分析結果によってポリシー違反と判断された時、前記各認証装置の管理者又は違反者に通報するように構成したことを特徴とする。

請求項３の構成によれば、ログ収集部は、各認証装置から出力されるログを収集し、収集したログをログ分析ルール作成部で作成したログ分析ルールに従ってポリシー違反が無いか否かを判定する。ログ分析ルールの判断条件にマッチするログがあると、ログ分析部はログ分析ルール作成部で生成したログ分析ルールに従って管理者に通報またはユーザに警告を行う。

請求項４の監視システムを備えたセキュリティポリシー管理システムは、前記ポリシーマスタ部によって更新された情報に基づいて新たなアクセス制御リストを生成した際、前記ログ分析ルール生成部は、更新した情報に基づいてログを分析する際のポリシー違反の判断ルールを更新することを特徴とする。

請求項４の構成によれば、ログ分析ルール作成部は、ポリシーマスタ部に格納されたポリシーマスタの更新があるか定期的にチェックし、ポリシーマスタの情報に更新があると、更新情報に基づいて新たなログ分析ルールを生成する。

本発明によれば、オフィス内における各種認証装置を一元的に管理できるとともに、人事情報、重要資産情報、セキュリティポリシーの情報が更新されると、更新された情報に基づいてセキュリティポリシーを自動更新し、各認証装置に更新したＡＣＬを送信することによって、アクセス制御対象となる機器やシステムの認証装置毎にＡＣＬを更新することなく、一括処理することが可能である。これにより、セキュリティ管理者の利便性が向上するとともに、既存の各種の認証装置にも簡単に適用可能であるから、新たにアクセス制御システムを構築することなく、コストの削減が可能である。さらに、ＡＣＬの更新が各認証装置に反映され、セキュリティポリシー違反の発見も容易であり、安全性も高めることができるとともに、各認証装置からのログを取得し、これらのログの順番や相関関係を判断し、標準的なログパターンと比較して異なるログの順番などによってポリシー違反を判断することから、ポリシーの適用漏れの可能性も低くなるととともに、ポリシーの改善案にも寄与できる。

本発明の一実施例におけるシステム構成図である。 同上、一連の処理手順を示すフローチャートである。 同上、人事情報データの一例を示す説明図である。 同上、重要資産情報データの一例を示す説明図である。 同上、部署別のセキュリティポリシーデータの一例を示す説明図である。 同上、役職別のセキュリティポリシーデータの一例を示す説明図である。 同上、ポリシーマスタデータの一例を示す説明図である。 同上、配布先管理情報データの一例を示す説明図である。 同上、相関ポリシーデータの一例を示す説明図である。 同上、ログ分析リールデータの一例を示す説明図である。

以下、本発明を実施するための最良の形態としての実施例を図１から図１０を参照して説明する。もちろん、本発明は、その発明の趣旨に反さない範囲で、実施例において説明した以外のものに対しても容易に適用可能なことは説明を要するまでもない。

以下、本実施例におけるセキュリティポリシー管理システムの構成について、添付図面を参照して説明する。図１に示すようにオフィスにおけるアクセス対象機器、例えばファイル１ａ、パソコン（ＰＣ）１ｂ、プリンタ１ｃ、可搬媒体を収納するキャビネット１ｄ、オフィスの各部署などに出入りするためのドア１ｅといった機器やシステム毎に認証装置としてのファイルサーバ管理システム２ａ、ＰＣ利用管理システム２ｂ、印刷管理システム２ｃ、持出管理システム２ｄ、入室管理システム２ｅがそれぞれ個別に接続され、その各管理システム２ａ〜２ｅがセキュリティポリシー管理／配布装置１０によって一元的に管理されている。さらに、各管理システム２ａ〜２ｅから出力されるログがネットワークＮを介して監視サーバの準拠状況管理装置２０に出力される。

前記セキュリティポリシー管理／配布装置１０は、管理システム２ａ〜２ｅのアクセス制御ルールの基準となる情報を蓄積するポリシー管理部１１、このポリシー管理部１１に蓄積したポリシー情報に基づいてＡＣＬ（アクセス制御リスト）を生成するポリシーマスタ部１２、ポリシーマスタ部１２で作成したＡＣＬを各管理システム２ａ〜２ｅを配布するポリシー配布部１３とで構成され、ユーザが前記ファイル１ａ、パソコン（ＰＣ）１ｂ、プリンタ１ｃ、キャビネット１ｄ、ドア１ｅを操作する際、アクセスする権限があるかどうかをポリシーマスタ部１２内に保持しているポリシー設定一覧ファイル１２ａに記述されるアクセス制御ルールに従って判断する。

前記セキュリティポリシー管理／配布装置１０は、人事情報ＤＢ（データベース）１０ａと、重要資産情報ＤＢ１０ｂと、セキュリティポリシーＤＢ１０ｃを備え、前記ポリシー設定一覧ファイル１２ａのアクセス制御ルールを設定する際、前記各ＤＢ１０ａ〜１０ｃからの情報をポリシー管理部１１に出力し、ポリシーマスタ部１２によって前記ポリシー設定一覧ファイル１２ａのアクセス制御ルールを設定するとともに、ポリシー配布部１３は、このポリシー配布部１３から各管理システム２ａ〜２ｅに配布するための情報を蓄積する配布先管理情報ＤＢ１０ｄを備えている。また、前記準拠状況管理装置２０は、管理システム２ａ〜２ｅから出力されるログを収集するログ収集部２０ａ、このログ収集部２０ａで収集したログを分析するログ分析部２０ｂ、このログ分析部２０ｂで分析したログに基づいてセキュリティポリシー違反が無いか否かを判定するためにルールを作成するログ分析ルール作成部２０ｃと、前記ポリシーマスタ部１２からの情報とログ分析ルール作成部２０ｃで作成したログ分析ルールに従ってセキュリティポリシー違反が無いか否かを判定するログ分析ルール部２０ｄとを備える。

前記人事情報ＤＢ（データベース）１０ａには例えばオフィス内の各所属部署毎のユーザ（社員など）に関す情報が記載され、具体的には図３に示すように、ユーザ毎にＩＤを付与し、そのユーザＩＤで管理される社員の所属部署、部長、課長、一般といった役職、入社年月日、在籍・休職などの情報が蓄積される。また、重要資産情報ＤＢ１０ｂには図４に示すように各部署毎に設定した機密レベルに関する情報が蓄積され、これら人事情報と重要資産情報に基づいて所属部署や役職などに応じたセキュリティポリシーを設定し、そのセキュリティポリシー情報をセキュリティポリシーＤＢ１０ｃに蓄積し、そのセキュリティポリシーに従って各管理システム２ａ〜２ｅへのアクセスを制御する。例えば、図５に示すように部署に応じてファイル１ａ、可搬媒体を収納するキャビネット１ｄ、オフィスの各部署などに出入りするためのドア１ｅへのアクセスを制御したり、図６に示すように役職に応じて幹部は全ての各管理システム２ａ〜２ｅへのアクセスを許可し、部長、課長、係長、一般は重要資産情報の機密レベルに従って各管理システム２ａ〜２ｅへのアクセスを制限する。このようにして人事情報をベースとして重要資産情報、セキュリティポリシーに対応させてポリシーマスタ部１２によりポリシー設定一覧ファイル１２ａを作成し、ユーザ（社員）に応じて各管理システム２ａ〜２ｅへのアクセスを制御する。（図７参照）。

配布先管理情報ＤＢ１０ｄは、各管理システム２ａ〜２ｅ毎の配布先アドレスと、配布手段、例えばＯＤＢＣ（Ｏｐｅｎ ＤａｔａＢａｓｅ Ｃｏｎｎｅｃｔｉｖｉｔｙ）やＣＳＶ（Ｃｏｍｍａ Ｓｅｐａｒａｔｅｄ Ｖａｌｕｅ）、セキュリティポリシー情報が格納されている（図８参照）。また、前記準拠状況管理装置２０のログ分析部２０ｂでは、各管理システム２ａ〜２ｅから出力されるログの相関関係を分析し、予め設定した相相関分析ポリシー３０に従って各管理システム２ａ〜２ｅの管理者や対象ユーザにアクションする。具体例として例えば図９に示すように、ポリシー１としてログの出現順序が入室管理システム２ｅの入出ログ、ＰＣ利用管理システム２ｂのＰＣログイン、ファイルサーバ管理システム２ａのログ又は印刷管理システム２ｃの印刷ログ、ＰＣ利用管理システム２ｂのＰＣログオフ、入室管理システム２ｅの退室ログの順に出力されているか否かを監視し、それ以外の順番でログが出力されると、ポリシー違反としてネットワークＮを介して管理者に通報する。ポリシー２としてログの出現順序が入室管理システム２ｅの入出ログ、持出管理システム２ｂの開錠ログ、可搬媒体持ち出しログ、持出管理システム２ｂの施錠ログ、入室管理システム２ｅ退室ログの順に出力されているか否かを監視し、それ以外の順番でログが出力されると、ポリシー違反としてネットワークＮを介して管理者に通報する。ポリシー３として持出管理システム２ｂの開錠ログの時間を監視し、１０分以上経過した場合にポリシー違反として対象ユーザに警告する。ポリシー４として印刷管理システム２ｃの印刷ログからＰＣ利用管理システム２ｂのＰＣログオフが１０分以内であるかを監視し、１０分以上経過した場合にポリシー違反として対象ユーザに警告するといったアクションを設定する。

また、ログ分析ルール作成部２０ｃでは、ポリシーマスタ部１２に蓄積した人事情報や重要資産情報とログ分析部２０ｂで設定した相関分析ポリシー１３に従ってセキュリティポリシー違反が無いか否かを判定し、各管理システム２ａ〜２ｅの管理者や対象ユーザにアクションするか否かのルールを設定する。具体例として例えば図１０に示すように、対象ユーザがオフィスの各部署などに進入する際のドア１ｅを開ける権限があるか（ルール１）、キャビネット１ｄを開ける権限があるか（ルール２）、重要資産扱いの印刷が可能かどうか（ルール３）、印刷の部数は適正か（ルール４）、重要資産扱いの持ち出しは可能か（ルール５）、重要資産扱いの暗号化は適正か（ルール６）、ドア１ｅを開ける対象ユーザが在職中であるか否か（ルール７）、対象ユーザがファイル１ａにアクセスする権限はあるか（ルール８）、ＰＣ１ｂをアクセスする前にドア１ｅの入室ログがあるか（ルール９）可搬媒体の持ち出しログの前にドア１ｅの入室ログがあるか（ルール１０）、ファイル１ａにアクセスする前にドア１ｅの入室ログがあるか（ルール１１）、印刷ログ前にＰＣ１ｂのログはあるか（ルール１２）、持出管理システム２ｂの開錠ログの後、１０分以内に閉錠ログがあるか（ルール１３）、印刷管理システム２ｃの印刷ログが出力されてから１０分以内にＰＣログオフがあるか（ルール１４）を監視する。このログを監視し、ルール違反であればルールに応じたアクションを管理者又は対象ユーザに出力する。具体的にはルール１，２の違反は管理者に通報し、ルール３，４，５，６のルール違反は管理者に通報するとともに対象ユーザに警告する。また、ルール７〜１２のルール違反は管理者に通報し、ルール１３，１４のルール違反は対象ユーザに警告する。

次にセキュリティポリシー管理／配布装置１０における一連の処理手順について図２のフローチャートを参照して説明する。まず、セキュリティポリシー管理／配布装置１０のポリシー管理部１１は図２（ａ）に示すように、人事情報、重要資産情報をセキュリティポリシーの更新があるか定期的にチェックし、管理下にある人事情報ＤＢ１０ａ、重要資産情報ＤＢ１０ｂ、セキュリティポリシーＤＢ１０ｃにあるファイルをチェックする（ステップＳ１）。これら人事情報ＤＢ１０ａ、重要資産情報ＤＢ１０ｂ、セキュリティポリシーＤＢ１０ｃの何れかの情報に更新があると（ステップＳ２）、更新された情報に基づいてポリシーマスタ部１２に格納されたポリシーマスタを更新する（ステップＳ３）。

セキュリティポリシー管理／配布装置１０のポリシー配布部１３は、図２（ｂ）に示すように、ポリシーマスタ部１２に格納されたポリシーマスタの更新があるか定期的にチェックし（ステップＳ１１）、ポリシーマスタの情報に更新があると（ステップＳ１２）、各管理システム２ａ〜２ｅにＡＣＬを配布する（ステップＳ１３）。

準拠状況管理装置２０のログ分析ルール作成部２０ｃは、図２（ｃ）に示すように、ポリシーマスタ部１２にポリシーマスタ部１２に格納されたポリシーマスタの更新があるか定期的にチェックし（ステップＳ２１）、ポリシーマスタの情報に更新があると（ステップＳ２２）、更新情報に基づいてログ分析部２０ｂはポリシーマスタ部３と相相関分析ポリシー３０に更新情報を入力し、ログ分析ルール部２０ｄで更新情報に基づいて新たなログ分析ルールを生成する（ステップＳ２２）。

準拠状況管理装置２０のログ収集部２０ａは、図２（ｄ）に示すように、管理システム２ａ〜２ｅから出力されるログを収集し（ステップＳ３１）、収集したログをログ分析ルール作成部２０ｃで作成したログ分析ルールに従ってセキュリティポリシー違反が無いか否かを判定する（ステップＳ３２）。ログ分析ルールの判断条件にマッチするログがあると（ステップＳ３３）、ログ分析部２０ｂはログ分析ルール作成部２０ｃで生成したログ分析ルールに従って管理者に通報またはユーザに警告を行う（ステップＳ３４）。

このように、本実施例においては、オフィス内におけるファイル１ａ、パソコン（ＰＣ）１ｂ、プリンタ１ｃ、可搬媒体を収納するキャビネット１ｄ、オフィスの各部署などに出入りするためのドア１ｅといった対象機器やシステムのアクセスを制御する各認証装置（ファイルサーバ管理システム２ａ、ＰＣ利用管理システム２ｂ、印刷管理システム２ｃ、持出管理システム２ｂ、入室管理システム２ｅ）をセキュリティポリシー管理／配布装置１０によって一元的に管理するとともに、人事情報ＤＢ１０ａ、重要資産情報ＤＢ１０ｂ、セキュリティポリシーＤＢ１０ｃを定期的にチェックし、これらの情報が更新されると、更新された情報に基づいてセキュリティポリシーを自動更新し、各認証装置（ファイルサーバ管理システム２ａ、ＰＣ利用管理システム２ｂ、印刷管理システム２ｃ、持出管理システム２ｂ、入室管理システム２ｅ）に更新したＡＣＬを送信することが可能である。これにより、アクセスを認証する各管理システム２ａ〜２ｅ毎にＡＣＬの更新を設定する必要はなく、一括処理することが可能であり、セキュリティ管理者の利便性が向上する。また、既存の各種の認証装置にも簡単に適用可能であるから、新たにアクセス制御システムを構築することなく、コストの削減が可能である。さらに、ＡＣＬの更新が各管理システム２ａ〜２ｅ毎に反映され、セキュリティポリシー違反の発見も容易であり、安全性も高めることができる。また、各管理システム２ａ〜２ｅからのログを取得し、これらのログの順番や相関関係を判断し、標準的なログパターンと比較して異なるログの順番などによってアクセス権のルール違反を判断することから、ポリシーの適用漏れの可能性も低くなるとともに、ログ分析ルール作成部２０ｃでは、ポリシーマスタ部１２に蓄積した人事情報や重要資産情報とログ分析部２０ｂで設定した相関分析ポリシー１３に従ってセキュリティポリシー違反が無いか否かを判定し、各管理システム２ａ〜２ｅの管理者や対象ユーザにアクションするか否かのルールを設定することから、印刷の部数の設定や重要資産を持ち出す際などの暗号化の有無など、従来の認証装置では設定できないきめ細かなセキュリティポリシーの設定が可能であり、ポリシーの改善案にも寄与できる。

以上、本発明の一実施例について詳述したが、本発明は前記実施例に限定されるものではなく、本発明の要旨の範囲内で種々の変形実施が可能である。例えば、各認証装置としてファイルサーバ管理システム２ａ、ＰＣ利用管理システム２ｂ、印刷管理システム２ｃ、持出管理システム２ｂ、入室管理システム２ｅを例示したが、これに限らず各種の認証システムに適用可能である。

１ａ〜１ｄ アクセス対象機器
２ａ〜２ｅ 管理システム（認証装置）
１０ セキュリティポリシー管理／配布装置
１０ａ 人事情報ＤＢ
１０ｂ 重要資産情報ＤＢ
１０ｃ セキュリティポリシーＤＢ
１０ｄ 配布先管理情報ＤＢ
１１ ポリシー管理部
１２ ポリシーマスタ部
１３ ポリシー配布部
２０ 準拠状況管理装置（監視サーバ）
２０ａ ログ収集部
２０ｂ ログ分析部
２０ｃ ログ分析ルール作成部
２０ｄ ログ分析ルール部

Claims (4)

1. 対象機器又はシステムをそれぞれ個別にアクセス制御する各種の認証装置と、この各認証装置とネットワークを介して接続され、予め設定したセキュリティポリシーに基づいて前記各認証装置を一元的に管理するセキュリティポリシー管理システムであって、前記認証装置のセキュリティポリシー情報を蓄積するポリシー管理部と、前記ポリシー情報に基づいてアクセス制御リストを生成するポリシーマスタ部と、このポリシーマスタ部で生成したアクセス制御リストを前記各認証装置に送付するポリシー配布部とを備え、前記ポリシー管理部に入力されるポリシー情報の更新に基づいて前記ポリシーマスタ部によってアクセス制御リストを更新し、その更新したアクセス制御リストを前記ポリシー配布部から前記各認証装置に配布するように構成したセキュリティポリシー管理システム。
2. 前記ポリシー管理部に人事情報、重要資産情報、セキュリティポリシー情報を出力するデータベースを設けるとともに、ポリシー配布部には配布付先情報を蓄積するデータベースを設け、これら各データベースの更新状況を定期的にチェックし、前記ポリシーマスタ部は更新された情報に基づいて新たなアクセス制御リストを生成して前記ポリシー配布部から前記各認証装置に配布するように構成したことを特徴とする請求項１記載のセキュリティポリシー管理システム。
3. 前記各認証装置から送られるログを監視する監視サーバーを設け、この監視サーバーは前記各認証装置から送られるログを自動収集するログ収集部と、前記各認証装置から送られるそれぞれログの相関関係を分析してポリシー違反の判定ルールを生成するログ分析ルール生成部と、このログ分析ルール生成部で作成した判定ルールに基づいてポリシー違反か否かを分析するログ分析部とを備え、このログ分析部による分析結果によってポリシー違反と判断された時、前記各認証装置の管理者又は違反者に通報するように構成したことを特徴とする監視システムを備えたセキュリティポリシー管理システム。
4. 前記ポリシーマスタ部によって更新された情報に基づいて新たなアクセス制御リストを生成した際、前記ログ分析ルール生成部は、更新した情報に基づいてログを分析する際のポリシー違反の判断ルールを更新することを特徴とする請求項３記載の監視システムを備えたセキュリティポリシー管理システム。

Images