JP2010211453A

JP2010211453A - ファイル改竄チェック方法および装置

Info

Publication number: JP2010211453A
Application number: JP2009056165A
Authority: JP
Inventors: Yuki Nara; 裕記奈良
Original assignee: Azbil Corp
Current assignee: Azbil Corp
Priority date: 2009-03-10
Filing date: 2009-03-10
Publication date: 2010-09-24

Abstract

【課題】通信トラフィックに対して負荷を与えることなく、組み込み機器におけるファイルの改竄がチェックできるようにする。
【解決手段】改竄判断部１０５は、ネットワーク１２０を経由して取得したハッシュ値と、既に受け付けている機器情報に対応してハッシュ値記憶部１０１に記憶されているハッシュ値とを比較することで、組み込み機器１３０で用いられているファイルの改竄を判断する。例えば、取得したハッシュ値がハッシュ値記憶部１０１に記憶されているハッシュ値と異なる場合、改組判断部１０５は、組み込み機器１３０で用いられているファイルが改竄されているものと判断する。
【選択図】図１

Description

本発明は、組み込み機器で用いられているファイルが不正に改竄されていることをチェックするファイル改竄チェック方法および装置に関するものである。

近年、いわゆるコンピュータウイルスなどによるファイル改竄の被害が増加しており、問題となっている。また、このファイルの改竄による情報セキュリティリスクの問題が、制御機器や携帯電話などのいわゆる組み込み機器においても問題となっている。

このようなファイル改竄の対策として、不正コードまたは不正データのパターンを集めたウイルス定義ファイルと不正コードのチェック対象となる実行プログラムあるいはデータとパターンマッチングを行い、ファイルがコンピュータウイルスを含んでいる（ファイルが改竄されている）ことを検出する技術がある（特許文献１参照）。

特開２００７−２００１０２号公報

しかしながら、組み込み機器におけるファイルの改竄のチェックを、上述した技術で行う場合、組み込み機器に対して最新のウイルス定義ファイルを送出し、このウイルス定義ファイルによるパターンマッチングを、調査対象の組み込み機器で行うことになる。このようなチェックは、ＬＡＮなどのネットワークを介して行うことになるため、組み込み機器が接続されているネットワークにおける通信トラフィックに負荷を与えることになる。多くの組み込み機器に対してチェックを行う場合、通信トラフィックに対する負荷は、特に問題となる。

本発明は、以上のような問題点を解消するためになされたものであり、通信トラフィックに対して大きな負荷を与えることなく、組み込み機器におけるファイルの改竄がチェックできるようにすることを目的とする。

本発明に係るファイル改竄チェック装置は、改竄のチェック対象となる機器で用いられているファイルのハッシュ値を、ファイルの情報と共に組み込み機器の情報に対応して基準ハッシュ値として記憶するハッシュ値記憶部と、改竄チェック対象の機器に対して自機の状態を示す機器情報の送出を指示し、指示した機器から送出された機器情報を取得する機器情報取得手段と、この機器情報取得手段が取得した機器情報の送出元の機器に対して使用しているファイルのハッシュ値を算出を指示するハッシュ値算出指示手段と、このハッシュ値算出指示手段がハッシュ値の算出を指示した機器から送出されたハッシュ値を対象ハッシュ値として取得するハッシュ値取得手段と、機器情報取得手段が取得した機器情報に対応する基準ハッシュ値をハッシュ値記憶部より取り出し、取り出した基準ハッシュ値と、この基準ハッシュ値に対応する対象ハッシュ値とを比較することで、機器情報取得手段が取得した機器情報の送出元の機器で用いられているファイルの改竄を判断する改竄判断手段とを少なくとも備える。

上記ファイル改竄チェック装置において、機器情報は、機器で用いられているファイルの情報を含み、ハッシュ値取得手段は、対象ハッシュ値を、この対象ハッシュ値が算出されたファイルの情報と共に取得し、改竄判断手段は、機器情報に含まれているファイルの情報をもとにこのファイルの情報に組み合わせて基準ハッシュ値を取得し、各々のファイルの情報をもとにして、取り出した基準ハッシュ値と、この基準ハッシュ値に対応する対象ハッシュ値とを比較するようにすればよい。

また、本発明に係るファイル改竄チェック方法は、改竄のチェック対象となる機器で用いられているファイルのハッシュ値を、ファイルの情報と共に組み込み機器の情報に対応して基準ハッシュ値として記憶する第１ステップと、改竄チェック対象の機器に対して自機の状態を示す機器情報の送出を指示する第２ステップと、指示した機器から送出された機器情報を取得する第３ステップと、取得した機器情報の送出元の機器に対して使用しているファイルのハッシュ値の算出を指示する第４ステップと、ハッシュ値の算出を指示した機器から送出されたハッシュ値を対象ハッシュ値として取得する第５ステップと、取得した機器情報に対応する基準ハッシュ値と、この基準ハッシュ値に対応する対象ハッシュ値とを比較することで、機器情報の送出元の機器で用いられているファイルの改竄を判断する第６ステップとを少なくとも備える。

上記ファイル改竄チェック方法において、機器情報は、機器で用いられているファイルの情報を含み、第５ステップでは、対象ハッシュ値を、この対象ハッシュ値が算出されたファイルの情報と共に取得し、第６ステップでは、機器情報に含まれているファイルの情報をもとにこのファイルの情報に組み合わせて基準ハッシュ値を取得し、各々のファイルの情報をもとにして、取り出した基準ハッシュ値と、この基準ハッシュ値に対応する対象ハッシュ値とを比較するようにすればよい。

以上説明したように、本発明によれば、ハッシュ値の算出を指示した機器（改竄チェック対象の機器）から送出されたハッシュ値を対象ハッシュ値として取得し、取得した機器情報に対応する基準ハッシュ値と、この基準ハッシュ値に対応する対象ハッシュ値とを比較することで、機器情報の送出元の機器で用いられているファイルの改竄を判断するようにしたので、通信トラフィックに対して負荷を与えることなく、組み込み機器におけるファイルの改竄がチェックできるようになるという優れた効果が得られる。

本発明の実施の形態におけるファイル改竄チェック装置１００の構成を示す構成図である。本発明の実施の形態におけるファイル改竄チェック装置１００の動作例（ファイル改竄チェック方法）について説明するフローチャートである。本発明の実施の形態における組み込み機器１３０の動作例について説明するフローチャートである。

以下、本発明の実施の形態について図を参照して説明する。図１は、本発明の実施の形態におけるファイル改竄チェック装置１００の構成を示す構成図である。ファイル改竄チェック装置１００は、ハッシュ値記憶部１０１、機器情報取得部１０２、ハッシュ値算出指示部１０３、ハッシュ値取得部１０４、改竄判断部１０５、表示部１０６を備える。

また、ファイル改竄チェック装置１００は、ネットワーク１２０を介し、複数の組み込み機器１３０と接続している。組み込み機器１３０は、ファイル情報記憶部１３１、ファイル情報通知部１３２、ハッシュ値算出部１３３、ハッシュ値通知部１３４、および機器機能部１３５を備える。

ファイル改竄チェック装置１００において、ハッシュ値記憶部１０１は、組み込み機器１３０で用いられているファイルのハッシュ値（基準ハッシュ値）を、ファイルの情報と共に、各々の組み込み機器１３０の情報に対応して記憶している。これら情報は、予め用意されているものである。例えば、ハッシュ値記憶部１０１は、ファイル情報とこのハッシュ値とを関連付け、組み込み機器１３０毎に記憶している。従って、組み込み機器１３０の情報（機器情報）を検索子としてハッシュ値記憶部１０１を検索することで、該当する組み込み機器１３０で用いられている複数のファイルと、これらのファイルのハッシュ値との一覧が得られる。なお、ファイルのハッシュ値は、組み込み機器１３０のソフトウエアバージョンなどにより異なり、複数の組み込み機器１３０で同一の場合もある。

機器情報取得部１０２は、ネットワーク１２０を経由し、ファイル改竄チェック対象の組み込み機器１３０に対し、組み込み機器１３０の情報（機器情報）の送出を指示する。ネットワーク１２０は、例えば、イーサネット（登録商標）などのＬＡＮ（Local Area Network）である。また、機器情報取得部１０２は、ネットワーク１２０を経由し、組み込み機器１３０から送出された機器情報を受け付けて取得する。

ハッシュ値算出指示部１０３は、機器情報取得部１０２が取得した機器情報の送出元の組み込み機器１３０に対し、使用しているファイルのハッシュ値の算出をネットワーク１２０を経由して指示する。また、ハッシュ値取得部１０４は、ネットワーク１２０を経由し、ハッシュ値の算出を指示した組み込み機器１３０から送出されたハッシュ値（対象ハッシュ値）を取得する。例えば、ハッシュ値取得部１０４は、ハッシュ値を、このハッシュ値が算出されたファイルの情報と共に取得する。

改竄判断部１０５は、ネットワーク１２０を経由して取得したハッシュ値と、既に受け付けている機器情報に対応してハッシュ値記憶部１０１に記憶されているハッシュ値とを比較することで、組み込み機器１３０で用いられているファイルの改竄を判断する。例えば、取得したハッシュ値がハッシュ値記憶部１０１に記憶されているハッシュ値と異なる場合、改組判断部１０５は、組み込み機器１３０で用いられているファイルが改竄されているものと判断する。

組み込み機器１３０で用いられているファイルが改竄されていない場合、比較対象となる２つのハッシュ値は、同一のファイルから生成されたものとなり、等しいものとなる。これに対し、組み込み機器１３０で用いられているファイルが改竄されていれば、比較対象となる２つのハッシュ値が異なることになる。従って、取得したハッシュ値と、既に受け付けている機器情報に対応するハッシュ値記憶部１０１に記憶されているハッシュ値とを比較することで、ファイルの改竄が判断できる。

改竄判断部１０５は、上述した比較を、組み込み機器１３０で用いられているプログラムや固定的な定義ファイルなど、対象となるファイルに対して行う。例えば、改竄判断部１０５は、機器情報取得部１０２が取得した機器情報をもとに、組み込み機器１３０で用いられているファイルおよびこのファイルのハッシュ値との組からなる基準一覧データを作製する。また、ハッシュ値取得部１０４が、組み込み機器１３０より、この組み込み機器１３０で用いられているファイルとこのハッシュ値との組からなる比較一覧データを受け付けると、改竄判断部１０４は、ハッシュ値取得部１０４が受け付けた比較一覧データと、上記基準一覧データとを比較し、ハッシュ値が一致しないファイルは改竄されているものと判断する。

次に、組み込み機器１３０について説明する。まず、機器情報記憶部１３１は、自機を識別するための情報（機器情報）を記憶する。例えば、機器情報記憶部１３１は、後述する機器機能部１３５で用いられるファイル（プログラム）が定期的に更新されるなど、機器のバージョンが変化する。機器情報は、このような機器の現状の状態を示すバージョン情報などを含んで構成されている。

機器情報通知部１３２は、ネットワーク１２０を経由し、ファイル改竄チェック装置１００からの機器情報の送出指示を受け付けると、機器情報記憶部１３１に記憶されている機器情報を、ファイル改竄チェック装置１００に対して送出する。ハッシュ値算出部１３３は、ファイル改竄チェック装置１００からのファイルのハッシュ値算出の指示を、ネットワーク１２０を経由して受け付けると、自機で用いている比較対象のファイルのハッシュ値を算出する。例えば、ハッシュ値算出部１３３は、自機で用いている全てのファイルのハッシュ値を算出し、ファイルとこのハッシュ値との組からなる比較一覧データを作成する。

ハッシュ値通知部１３４は、ハッシュ値算出部１３３がハッシュ値を算出すると、算出したハッシュ値を、ネットワーク１２０を経由してファイル改竄チェック装置１００に対して送出する。例えば、ハッシュ値通知部１３４は、ハッシュ値算出部１３３が作成した比較一覧データを送出する。機器機能部１３５は、複数のファイルを備え、組み込み機器１３０における各種の機能を実施する。

次に、本実施の形態におけるファイル改竄チェック装置１００の動作例（ファイル改竄チェック方法）について、図２のフローチャートを用いて説明する。

まず、ファイル改竄チェック装置１００において、機器情報取得部１０２が、ネットワーク１２０を経由し、ファイル改竄チェック対象の組み込み機器１３０に対し、組み込み機器１３０の情報（機器情報）の送出を指示する（ステップＳ２０１）。

この指示をした後に、機器情報取得部１０２が、ネットワーク１２０を経由し、通知先の組み込み機器１３０より機器情報を受け付けると（ステップＳ２０２）、ハッシュ値算出指示部１０３が、ネットワーク１２０を経由し、機器情報の送出元の組み込み機器１３０に対して使用しているファイルのハッシュ値算出を指示する（ステップＳ２０３）。

次に、ハッシュ値取得部１０４が、ネットワーク１２０を経由し、ハッシュ値算出を指示した組み込み機器１３０より送出されたハッシュ値（比較一覧データ）を取得すると（ステップＳ２０４）、改竄判断部１０５が、受け付けたハッシュ値をもとに改竄を判断する。この改竄の判断では、まず、既に（ステップＳ２０２で）受け付けている機器情報で特定されるファイルのハッシュ値を、ハッシュ値記憶部１０１よりより取り出す（ステップＳ２０５）。次いで、取り出したハッシュ値と、取得したハッシュ値とを比較する（ステップＳ２０６）。例えば、取り出したハッシュ値と対応するファイルとの組からなる基準一覧データを作成し（ステップＳ２０５）、作成した基準一覧データと受け付けた比較一覧データとを比較する（ステップＳ２０６）。

この比較で、取得したハッシュ値がハッシュ値記憶部１０１より取り出したハッシュ値と異なる場合、改組判断部１０５は、組み込み機器１３０で用いられているファイルが改竄されているものと判断し（ステップＳ２０７）、この結果を表示部１０６に表示する（ステップＳ２０８）。一方、取得したハッシュ値がハッシュ値記憶部１０１より取り出したハッシュ値と一致する場合、改組判断部１０５は、組み込み機器１３０で用いられているファイルは改竄されていなく、正常であるものと判断し（ステップＳ２０９）、この結果を表示部１０６に表示する（ステップＳ２１０）。

例えば、前述したように、基準一覧データと比較一覧データとを比較した場合、ハッシュ値が一致しないファイルの情報を表示すればよい。また、ハッシュ値の比較をファイル毎に順次に行い、比較の結果を順次に表示するようにしてもよい。また、一連の動作を記憶したログファイルを表示出力するようにしてもよい。

また、個々のファイル単位の指定ではなく、ファイルが格納されている領域（ディレクトリ）内の全てのファイルを対象とし、ハッシュ値を一括で算出し、この結果を比較するようにしてもよい。この場合、差異があった場合は、各ファイル一覧で調査する。このようにすることで、さらに通信負荷を減少させることができる。また、また、ハッシュ値算出結果のファイル自体について再度ハッシュ値を算出し、このハッシュ値の内容を比較対象として用いることで、比較対象のデータ量を減らすことができ、更に通信負荷を減らすことが可能である。

次に、上述したファイル改竄チェック装置１００の動作に伴う組み込み機器１３０の動作について、図３のフローチャートを用いて説明する。

まず、機器情報通知部１３２が、ネットワーク１２０を経由し、ファイル改竄チェック装置１００からの機器情報の送出指示を受け付けると（ステップＳ３０１）、機器情報通知部１３２は、機器情報記憶部１３１に記憶されている機器情報を、ネットワーク１２０を経由し、ファイル改竄チェック装置１００に対して送出する（ステップＳ３０２）。

次に、ハッシュ値算出部１３３が、ネットワーク１２０を経由し、ファイル改竄チェック装置１００からのファイルのハッシュ値算出の指示を受け付けると（ステップＳ３０３）、自機で用いているファイルのハッシュ値を算出する（ステップＳ３０４）。次いで、ハッシュ値通知部１３４が、ネットワーク１２０を経由し、ハッシュ値算出部１３３が算出したハッシュ値をファイル改竄チェック装置１００に対して送出する（ステップＳ３０５）。

例えば、ハッシュ値算出部１３３は、ハッシュ値を算出すると、ファイルとこのハッシュ値との組からなる比較一覧データを作成し（ステップＳ３０４）、ハッシュ値通知部１３４が、作成した比較一覧データをファイル改竄チェック装置１００に対して送出する（ステップＳ３０５）。また、組み込み機器１３０におけるメモリーの量が少ないために、比較一覧データが作成できない場合もある。このような場合は、各々のファイルのハッシュ値を順次に算出し、算出したハッシュ値とファイルとの組のデータを、順次に送出すればよい。

以上に説明したように、本実施の形態によれば、ファイル改竄チェック装置１００と組み込み機器１３０との間で、機器情報の送出指示，機器情報，ハッシュ値算出指示，およびハッシュ値を、ネットワーク１２０を経由して送受信することで、ファイルの改竄をチェックしている。機器情報の送出指示，機器情報，ハッシュ値算出指示，およびハッシュ値は、例えば、テキストデータで構成できる小さなサイズのデータである。従って、例えば、よく知られたリモートファイルアクセスによる比較検証に比較し、ネットワーク１２０における通信負荷を大幅に低下させることができる。

なお、ファイル改竄チェック装置１００は、例えば、ＣＰＵと主記憶装置と外部記憶装置とネットワーク接続装置となどを備えたサーバなどのコンピュータ機器であり、主記憶装置に展開されたプログラムによりＣＰＵが動作することで、上述した各機能が実現される。また、各機能は、複数のコンピュータ機器に分散させるようにしてもよい。

また、ネットワーク１２０は、ＬＡＮに限るものではなく、インターネット通信網などのＷＡＮ（Wide Area Network）や、携帯電話などで用いられている無線による通信網であってもよい。また、ファイル改竄チェック装置１００による組み込み機器１３０への各指示は、例えば、よく知られた「Ｔｅｌｎｅｔ」などの、遠隔操作のプロトコルをエミュレートすることで実現できる。

１０１…ハッシュ値記憶部、１０２…機器情報取得部、１０３…ハッシュ値算出指示部、１０４…ハッシュ値取得部、１０５…改竄判断部、１０６…表示部、１２０…ネットワーク、１３０…組み込み機器、１３１…ファイル情報記憶部、１３２…ファイル情報通知部、１３３…ハッシュ値算出部、１３４…ハッシュ値通知部、１３５…機器機能部。

Claims

改竄のチェック対象となる機器で用いられているファイルのハッシュ値を、ファイルの情報と共に組み込み機器の情報に対応して基準ハッシュ値として記憶するハッシュ値記憶部と、
改竄チェック対象の機器に対して自機の状態を示す機器情報の送出を指示し、指示した機器から送出された機器情報を取得する機器情報取得手段と、
この機器情報取得手段が取得した機器情報の送出元の機器に対して使用しているファイルのハッシュ値を算出を指示するハッシュ値算出指示手段と、
このハッシュ値算出指示手段がハッシュ値の算出を指示した機器から送出されたハッシュ値を対象ハッシュ値として取得するハッシュ値取得手段と、
前記機器情報取得手段が取得した機器情報に対応する基準ハッシュ値を前記ハッシュ値記憶部より取り出し、取り出した基準ハッシュ値と、この基準ハッシュ値に対応する対象ハッシュ値とを比較することで、前記機器情報取得手段が取得した機器情報の送出元の機器で用いられているファイルの改竄を判断する改竄判断手段と
を少なくとも備えることを特徴とするファイル改竄チェック装置。
請求項１記載のファイル改竄チェック装置において、
前記機器情報は、前記機器で用いられているファイルの情報を含み、
前記ハッシュ値取得手段は、前記対象ハッシュ値を、この対象ハッシュ値が算出されたファイルの情報と共に取得し、
前記改竄判断手段は、前記機器情報に含まれているファイルの情報をもとにこのファイルの情報に組み合わせて前記基準ハッシュ値を取得し、各々のファイルの情報をもとにして、取り出した基準ハッシュ値と、この基準ハッシュ値に対応する対象ハッシュ値とを比較する
ことを特徴とするファイル改竄チェック装置。
改竄のチェック対象となる機器で用いられているファイルのハッシュ値を、ファイルの情報と共に組み込み機器の情報に対応して基準ハッシュ値として記憶する第１ステップと、
改竄チェック対象の機器に対して自機の状態を示す機器情報の送出を指示する第２ステップと、
指示した機器から送出された機器情報を取得する第３ステップと、
取得した機器情報の送出元の機器に対して使用しているファイルのハッシュ値の算出を指示する第４ステップと、
ハッシュ値の算出を指示した機器から送出されたハッシュ値を対象ハッシュ値として取得する第５ステップと、
取得した機器情報に対応する前記基準ハッシュ値と、この基準ハッシュ値に対応する対象ハッシュ値とを比較することで、機器情報の送出元の機器で用いられているファイルの改竄を判断する第６ステップと
を少なくとも備えることを特徴とするファイル改竄チェック方法。
請求項３記載のファイル改竄チェック方法において、
前記機器情報は、前記機器で用いられているファイルの情報を含み、
第５ステップでは、前記対象ハッシュ値を、この対象ハッシュ値が算出されたファイルの情報と共に取得し、
前記第６ステップでは、前記機器情報に含まれているファイルの情報をもとにこのファイルの情報に組み合わせて前記基準ハッシュ値を取得し、各々のファイルの情報をもとにして、取り出した基準ハッシュ値と、この基準ハッシュ値に対応する対象ハッシュ値とを比較する
ことを特徴とするファイル改竄チェック方法。