JP2011129023A - 情報漏洩防止システム、情報漏洩防止方法及び情報漏洩防止プログラム - Google Patents

Abstract

【課題】検出対象のファイルを特定する特徴的なキーワードを含むファイルが少数しか存在しない場合であっても、検出対象のファイルが変化したファイルを適切に検出でき、さらに、検出対象のファイル及び変化したファイルを高速に検出して情報漏洩を防止できる情報漏洩防止システムを提供する。
【解決手段】ファイル種別シグネチャ情報生成手段８３は、ファイル種別亜種影響ルール情報に従って検出対象ファイルのシグネチャ情報をファイルの種別ごとに生成する。ブロック単位シグネチャ情報判定手段８４は、流通ファイルのブロックごとに、そのブロックがシグネチャ情報と揺れ許容量の範囲内で一致するか否かを判定する。ファイル判定手段８５は、シグネチャ情報と一致したブロックの数及び判定閾値に基づいて、流通ファイルが検出対象ファイルに相当するファイルか否かを判定する。流通阻止手段８６は、検出対象ファイルと判定したファイルの流通を阻止する。
【選択図】図１４

Description

本発明は、情報漏洩防止システム、情報漏洩防止方法及び情報漏洩防止プログラムに関し、特にピアツーピア型のファイル転送プロトコルによる通信において、機密ファイル及びその類似ファイルを発見し、ファイルの転送を防止する情報漏洩防止システム、情報漏洩防止方法及び情報漏洩防止プログラムに関する。

ネットワーク上を流れる対象ファイルを検知して情報漏洩を防止する方法が各種提案されている。

特許文献１には、ネットワーク上に漏洩した情報を検出する装置が記載されている。特許文献１に記載された装置は、漏洩判定部と、漏洩情報パターン蓄積部とを備えている。漏洩判定部は、漏洩情報の候補のファイルからテキスト情報を抽出し、抽出したテキスト情報と、漏洩情報パターン蓄積部に格納されたパターン群との照合を行う。そして、マッチするパターンの割合があらかじめ定めた閾値以上であった場合、漏洩判定部は、ファイルが漏洩した情報を含んでいると判定する。

特許文献２には、ピアツーピア（以下、Ｐ２Ｐと記す。）型ファイル転送プロトコルによる通信において、指定ファイルに類似するファイルの送信を有効に制限する通信制限システムが記載されている。特許文献２に記載された通信制限システムでは、図１５に示すように、ブロック情報記憶手段と、固定ブロックチェック手段と、要求判定手段と、パタン検索手段と、ブラックリスト記憶手段と、グレイリスト記憶手段と、ファイル判定手段と、セション制限手段とを備えている。

グレイリスト記憶手段には、抽出するファイルの特徴（指定ファイル特徴）として、比較するパターンとパターンの出現位置とを予め記憶しておく。そして、ファイル判定手段は、ファイル送信ＰＤＵ（Ｐｒｏｔｏｃｏｌ Ｄａｔａ Ｕｎｉｔ）に含まれるファイルブロックに、指定ファイル特徴に含まれるパターンと同等の文字列がパターンの出現位置近傍に出現するか否かを判断する。そして、パターンの出現する割合が所定以上の場合、ファイル判定手段は、ファイル送信ＰＤＵのファイルブロックが指定ファイルのブロックに類似すると判断する。

このように、特許文献２に記載された通信制限システムでは、比較するパターンとパターンの出現位置とを予め切り取っておく。そして、その出現位置前後に比較するパターンが出現するファイルを検索することにより、機密ファイルと、その亜種ファイルとをＰ２Ｐネットワーク中から検出することができる。すなわち、特許文献２に記載された通信制限システムでは、Ｐ２Ｐネットワーク上を流通するファイルから、あらかじめ登録された機密ファイルに該当するファイルまたは機密ファイルが部分的に変化したファイルも検出できる。

また、非特許文献１には、機密として登録した文書ファイルに内容が類似した文書ファイルを高精度に検出する自動検出ソフトウエアについて記載されている。非特許文献１に記載されたソフトウエアは、キーワード検索に加えて、機密と非機密に分けて登録した文書ファイルから出現頻度の高い文字列（統計的特徴）を学習型フィルタに学習させる。この際、適切なキーワードを設定するため、非特許文献１に記載されたソフトウエアは、機密に属する統計的特徴と非機密に属する統計的特徴とを学習型フィルタに学習させる。この学習型フィルタが学習したキーワードをもとに、機密ファイルに内容が類似した文書ファイル（以下、亜種ファイルと記す。）を検出する。

このようにして、非特許文献１に記載されたソフトウエアは、複数の機密ファイルを基に機密ファイルと判定できるルールを学習させ、そのルールに適合したファイル及び亜種ファイルを機密ファイルと判定して流出を防止する。

特開２００８−１４０１０２号公報（段落００２２〜００２３） 特開２００９−１５７９１１号公報（段落００７１〜００８０、段落００８５）

三菱電機株式会社、"機密情報自動検出ソフトウエアを開発"、［online］、２００９年３月２５日、"開発No.0910"、インターネット〈URL：http://www.mitsubishielectric.co.jp/news-data/2009/pdf/0325.pdf〉

特許文献１に記載された装置では、漏洩候補のファイル内に、複数の情報からなる漏洩情報パターンが所定数含まれているか否かを判断しなければならない。そのためには、ファイル内の全テキストを対象として漏洩情報パターンを検索しなければならないため、検索に多くの能力が必要になる。そのため、亜種ファイルを高速に検出できないという問題点がある。

一方、特許文献２に記載された通信制限システムでは、Ｐ２Ｐネットワーク上の送信ＰＤＵと候補のパターンとを比較すればよい。しかし、この場合も、指定ファイル特徴として設定された複数の全てのパターンを、各送信ＰＤＵのブロックと比較する必要があるため、検索に多くの能力が必要になる。そのため、このようなシステムにおいても亜種ファイルをより高速に検出できることが好ましい。

また、多くの場合、機密ファイルや亜種ファイルを判断するために、判断に用いられるパターン（キーワード）を適切に設定することが望ましい。このようなキーワードを適切に設定できれば、機密ファイルやその亜種ファイルなど、その機密ファイルに関連する特定のグループのファイルを適切に検出できるようになる。

非特許文献１に記載されたソフトウエアを用いれば、機密ファイルを判断する際に用いられるキーワードを学習するためのファイルを一定数準備することにより、適切なキーワードをある程度抽出することは可能である。

しかし、一般的には、機密ファイルを特定する特徴的なキーワードを含むファイルは、例えば、組織によって異なる。すなわち、どのようなファイルを機密ファイルとして扱うかは、組織によって異なるといえる。したがって、機密ファイルを特定する特徴的なキーワードを含むファイルが、組織など特定のグループに対して少数しか存在しない場合、適切なキーワードを十分抽出することができない。そのため、このような場合には、元の機密ファイルが変化した亜種ファイルを検出することが難しいという課題がある。

そこで、本発明は、検出対象のファイルを特定する特徴的なキーワードを含むファイルが少数しか存在しない場合であっても、検出対象のファイルが変化したファイルを適切に検出でき、さらに、検出対象のファイル及び変化したファイルを高速に検出して情報漏洩を防止できる情報漏洩防止システム、情報漏洩防止方法及び情報漏洩防止プログラムを提供することを目的とする。

本発明による情報漏洩防止システムは、検出対象のファイルの一部であるファイル断片情報と、検出対象ファイル内におけるファイル断片情報の出現位置と、その出現位置と検出対象ファイルに相当するか否かが判定されるファイルである流通ファイルのブロックが出現する位置との揺れ幅の許容量を示す揺れ許容量と、流通ファイルが検出対象ファイルと判定される条件であるファイル断片情報と一致すべきブロックの数の下限を示す判定閾値とを含む情報を検出対象ファイルと対応付けたシグネチャ情報を記憶するシグネチャ情報格納手段と、検出対象ファイルをもとにシグネチャ情報をファイルの種別ごとに生成することを規定したルールであるファイル種別亜種影響ルールを記憶するファイル種別亜種影響ルール情報格納手段と、ファイル種別亜種影響ルール情報に従って検出対象ファイルのシグネチャ情報をファイルの種別ごとに生成し、そのシグネチャ情報をシグネチャ情報格納手段に記憶させるファイル種別シグネチャ情報生成手段と、流通ファイルのブロックごとに、そのブロックがシグネチャ情報格納手段に記憶されたシグネチャ情報と揺れ許容量の範囲内で一致するか否かを判定するブロック単位シグネチャ情報判定手段と、シグネチャ情報と一致したブロックの数及び判定閾値に基づいて、流通ファイルが検出対象ファイルに相当するファイルか否かを判定するファイル判定手段と、ファイル判定手段が検出対象ファイルと判定したファイルの流通を阻止する流通阻止手段とを備えたことを特徴とする。

本発明による情報漏洩防止方法は、検出対象のファイルの一部であるファイル断片情報と、検出対象ファイル内におけるファイル断片情報の出現位置と、その出現位置と検出対象ファイルに相当するか否かが判定されるファイルである流通ファイルのブロックが出現する位置との揺れ幅の許容量を示す揺れ許容量と、流通ファイルが検出対象ファイルと判定される条件であるファイル断片情報と一致すべきブロックの数の下限を示す判定閾値とを含む情報を検出対象ファイルと対応付けたシグネチャ情報を検出対象ファイルをもとにファイルの種別ごとに生成することを規定したルールであるファイル種別亜種影響ルールに従って生成し、生成したシグネチャ情報をシグネチャ情報格納手段に記憶させ、
流通ファイルのブロックごとに、そのブロックがシグネチャ情報格納手段に記憶されたシグネチャ情報と揺れ許容量の範囲内で一致するか否かを判定し、シグネチャ情報と一致したブロックの数及び判定閾値に基づいて、流通ファイルが検出対象ファイルに相当するファイルか否かを判定し、検出対象ファイルに相当するファイルと判定された流通ファイルの流通を阻止することを特徴とする。

本発明による情報漏洩防止プログラムは、検出対象のファイルの一部であるファイル断片情報と、検出対象ファイル内におけるファイル断片情報の出現位置と、その出現位置と検出対象ファイルに相当するか否かが判定されるファイルである流通ファイルのブロックが出現する位置との揺れ幅の許容量を示す揺れ許容量と、流通ファイルが検出対象ファイルと判定される条件であるファイル断片情報と一致すべきブロックの数の下限を示す判定閾値とを含む情報を検出対象ファイルと対応付けたシグネチャ情報を記憶するシグネチャ情報格納手段と、検出対象ファイルをもとにシグネチャ情報をファイルの種別ごとに生成することを規定したルールであるファイル種別亜種影響ルールを記憶するファイル種別亜種影響ルール情報格納手段とを備えたコンピュータに適用される情報漏洩防止プログラムであって、コンピュータに、ファイル種別亜種影響ルール情報に従って検出対象ファイルのシグネチャ情報をファイルの種別ごとに生成し、そのシグネチャ情報をシグネチャ情報格納手段に記憶させるファイル種別シグネチャ情報生成処理、流通ファイルのブロックごとに、そのブロックがシグネチャ情報格納手段に記憶されたシグネチャ情報と揺れ許容量の範囲内で一致するか否かを判定するブロック単位シグネチャ情報判定処理、シグネチャ情報と一致したブロックの数及び判定閾値に基づいて、流通ファイルが検出対象ファイルに相当するファイルか否かを判定するファイル判定処理、および、ファイル判定処理で検出対象ファイルと判定されたファイルの流通を阻止する流通阻止処理を実行させることを特徴とする。

本発明によれば、検出対象のファイルを特定する特徴的なキーワードを含むファイルが少数しか存在しない場合であっても、検出対象のファイルが変化したファイルを適切に検出でき、さらに、検出対象のファイル及び変化したファイルを高速に検出して情報漏洩を防止できる。

本発明の第１の実施形態における情報漏洩防止システムの例を示すブロック図である。 ファイル種別亜種影響ルール情報の例を示す説明図である。 ブロック単位判定結果格納手段に格納された判定結果の例を示す説明図である。 第１の実施形態における動作の例を示すフローチャートである。 第１〜第３の実施形態における動作の例を示すフローチャートである。 本発明の第２の実施形態における情報漏洩防止システムの例を示すブロック図である。 シグネチャ情報取得情報の例を示す説明図である。 第２の実施形態における動作の例を示すフローチャートである。 本発明の第３の実施形態における情報漏洩防止システムの例を示すブロック図である。 第３の実施形態における動作の例を示すフローチャートである。 ブロック情報の例を示す説明図である。 シグネチャ情報の例を示す説明図である。 ブロック単位変更情報の例を示す説明図である。 本発明による情報漏洩防止システムの最小構成の例を示すブロック図である。 特許文献２に記載された通信制限システムを示す説明図である。

以下、本発明の実施形態を図面を参照して説明する。

実施形態１．
図１は、本発明の第１の実施形態における情報漏洩防止システムの例を示すブロック図である。本実施形態における情報漏洩防止システムは、機密ファイル登録手段１０と、機密ファイル格納手段１１と、ファイル種別亜種影響ルール情報格納手段１２と、ファイル種別シグネチャ情報生成手段１３と、シグネチャ情報格納手段１４と、Ｐ２Ｐブロック取得手段１５と、ブロック単位シグネチャ情報判定手段１６と、ファイル判定手段１７と、ブラックリスト格納手段１８と、Ｐ２Ｐ流通阻止手段１９と、ブロック単位判定結果格納手段２０とを備えている。

機密ファイル格納手段１１は、漏洩を防止したいファイル（流出させたくないファイル）を記憶する。以下の説明では、漏洩を防止したいファイルが機密ファイルである場合について説明する。ただし、漏洩を防止したいファイルは、いわゆる機密ファイルに限定されるものではない。漏洩を防止したいファイルとして説明する機密ファイルは、本システムにおいて検出したいファイルであることから、機密ファイルは、検出対象ファイルということができる。また、以下の説明では、検出対象ファイルに相当するファイルか否かが判定されるネットワーク上を流通するファイルのことを、流通ファイルと記す。機密ファイル格納手段１１は、例えば、磁気ディスク装置等によって実現される。また、機密ファイル登録手段１０は、例えば、ユーザの登録指示に応じて、機密ファイルを機密ファイル格納手段１１に記憶させる。

シグネチャ情報格納手段１４は、機密ファイルの一部であるファイル断片情報と、機密ファイル内におけるファイル断片情報の出現位置と、その出現位置と流通ファイルのブロックが出現する位置との揺れ幅の許容量を示す揺れ許容量と、流通ファイルが機密ファイルと判定される条件である、ファイル断片情報と一致すべきブロックの数の下限（以下、判定閾値と記す。）とを機密ファイルと対応付けた情報であるシグネチャ情報を記憶する。すなわち、判定閾値は、流通ファイルを検出対象ファイルに相当するファイルと判定するために、シグネチャ情報とマッチすべきブロックの数を定めたものであり、いくつのブロックがシグネチャ情報とマッチしたときに、元の機密ファイルに相当するファイルとみなすかを決定するための閾値である。

なお、シグネチャ情報は、機密ファイルの断片情報を含むことから、Ｐ２Ｐネットワークを流れるファイル群の中から機密ファイルと同様のファイルを検出するための情報、もしくは、機密ファイルやその亜種ファイルを検索するときのキーとなる情報（例えば、キーワード）であると言える。シグネチャ情報格納手段１４は、後述のファイル種別シグネチャ情報生成手段１３が生成したシグネチャ情報を１組以上記憶する。シグネチャ情報格納手段１４は、例えば、磁気ディスク装置等によって実現される。

上述の通り、揺れ許容量とは、ファイル断片情報が機密ファイル内で出現する位置と流通ファイル内で出現する位置との間に発生するずれ（すなわち、揺れ幅）を許容する量である。一般的に、機密ファイルとその亜種ファイルとを比較したときに、元の機密ファイルのファイル断片情報の出現位置が、亜種ファイルではその出現位置が前後にずれることがある。そのため、出現位置がどの程度ずれていた場合に元のファイルと亜種ファイルとを同じファイルであるとみなすかについて揺れ許容量として定めておくことで、この揺れ許容量以内であれば、ファイル断片情報の出現位置がずれていても機密ファイルの亜種であるとみなすことができる。この場合、機密ファイルの亜種ファイルかどうかを判定するためには、この揺れ許容量の範囲内でパターンマッチングを繰り返せばよい。なお、以上のことから、シグネチャ情報は、ファイル断片同士をマッチングさせるための情報と言うこともできる。

ファイル種別亜種影響ルール情報格納手段１２は、機密ファイルをもとにファイル種別ごとにシグネチャ情報を生成することを規定したルール（以下、ファイル種別亜種影響ルール情報と記す。）を記憶する。ここで、ファイル種別亜種影響ルール情報とは、ファイル断片情報の切り出し位置（範囲）に対して、ファイル断片情報を切り出す個数、切り出す間隔、ファイル断片情報の切り出しサイズ、ファイル断片情報を検索するときのファイル断片情報の揺れ幅の許容範囲（すなわち、揺れ許容量）、及び、判定閾値を含む情報をファイルの種別ごとに１組以上組み合わせた情報である。言い換えると、ファイル種別亜種影響ルール情報は、登録されたファイルと同様のファイルをＰ２Ｐネットワーク上のファイル群から発見するためのシグネチャ情報を生成するためのルールである。

ファイル種別亜種影響ルール情報は、ファイル種別として表わされるファイルの性質に応じて定められる。具体的には、ファイル種別亜種影響ルール情報は、機密ファイルの亜種の傾向を踏まえて定められる。亜種ファイルの傾向として、例えば、ビットの欠落、無関係なビットの追加、ネットワーク上を流れる際に発生したエラーに基づくビットの変化、アプリケーションの操作によって生じる文書内容の部分的な変化、文章以外で設定情報が変化したときの元のファイルと亜種ファイルとの間で発生する変化の内容、などが挙げられる。

また、ファイルの種別として、例えば、機密ファイルとして登録されたファイルを作成するアプリケーションの種類やメディアの種別（具体的には、画像ファイル、ｊｐｅｇファイル、Ｏｆｆｉｃｅファイル、Ｗｏｒｄファイルなど）が挙げられる。なお、Ｏｆｆｉｃｅ及びＷｏｒｄは、いずれも商標である。ファイル種別亜種影響ルール情報格納手段１２は、ファイルの種別として例示した上記種別ごとに、ファイル種別亜種影響ルール情報を記憶する。ファイル種別亜種影響ルール情報格納手段１２は、例えば、ユーザ等により設定されるファイル種別亜種影響ルール情報を予め記憶する。

ファイル種別シグネチャ情報生成手段１３は、登録された機密ファイルに対するシグネチャ情報をファイル種別亜種影響ルール情報に従って生成する。具体的には、ファイル種別シグネチャ情報生成手段１３は、機密ファイル登録手段１０により登録された機密ファイルのファイル種別に対応するファイル種別亜種影響ルール情報をファイル種別亜種影響ルール情報格納手段１２から取り出す。そして、ファイル種別シグネチャ情報生成手段１３は、取り出したルールに基づいて、機密ファイルからシグネチャ情報を生成し、生成したシグネチャ情報をシグネチャ情報格納手段１４に記憶させる。

ファイル種別シグネチャ情報生成手段１３は、例えば、ファイルの断片を切り取る範囲（以下、切取範囲と記す）、各切取範囲から切り取るファイルの断片の個数、ファイルの断片を切り取る間隔、切り取るファイルの断片の長さ、そのファイルの断片と流通ファイルとを比較する際の揺れ許容量、切取範囲内で一致することが必要なファイル断片の個数の閾値（すなわち、判定閾値）などを規定したファイル種別亜種影響ルール情報に従ってシグネチャ情報を生成する。

ファイル種別シグネチャ情報生成手段１３がシグネチャ情報を生成する方法について、具体的に説明する。図２は、ファイル種別亜種影響ルール情報の例を示す説明図である。図２に例示するファイル種別亜種影響ルール情報は、ファイル種別ごとに、切取範囲である「ファイル断片情報取得位置」、ファイル断片情報取得数、ファイル断片情報取得間隔、ファイル断片情報長さ、揺れ許容量である揺れ許容数及び判定閾値を含んでいる。

例えば、ファイル種別が「Ｏｆｆｉｃｅ２００７ＷｏｒｄのＯＯＸＭＬ（Office Open XML（Extensible Markup Language ））形式」で、「先頭から３０％」の位置の情報を機密ファイルから切り取るとする。この場合、ファイル種別シグネチャ情報生成手段１３は、ファイルの先頭から３個の１０ｂｉｔ長ファイル断片を、１２８ｂｉｔ間隔で切り取る。そして、ファイル種別シグネチャ情報生成手段１３は、機密ファイルと、切り取った各ファイルの断片、及び切り取った位置（すなわち、ファイル断片の出現位置）を対応付け、さらに、これらの組に、揺れ許容数「１０ｂｉｔ」及び、判定閾値「１個」を付加して、シグネチャ情報を生成する。

Ｐ２Ｐブロック取得手段１５は、Ｐ２Ｐネットワーク（図示せず）に接続し、Ｐ２Ｐネットワークの情報流通の単位であるブロックに分割された情報を抽出する。そして、Ｐ２Ｐブロック取得手段１５は、抽出したファイルの断片（流通ファイルの一部）といえるブロックを、ブロック単位シグネチャ情報判定手段１６に通知する。Ｐ２Ｐブロック取得手段１５が抽出するブロックには、例えば、ブロックの送信順に付与された通し番号又は元のファイルを断片化した際の先頭からの通し番号、ファイル内の分割位置を示すブロック開始位置、ファイルを断片化したデータ（ブロック断片情報）などが含まれる。

ブロック単位シグネチャ情報判定手段１６は、Ｐ２Ｐブロック取得手段１５から受け取ったブロックごとに、シグネチャ情報格納手段１４に記憶されたシグネチャ情報と比較し、各ブロックがシグネチャ情報と一致するか否かを判定する。ここで、ブロック単位シグネチャ情報判定手段１６は、揺れ許容量の範囲内で両者を比較する。そして、ブロック単位シグネチャ情報判定手段１６は、判定結果をファイル判定手段１７に通知する。このようにして、ブロック単位シグネチャ情報判定手段１６は、受け取ったブロックが機密ファイルの一部かどうかを判定し、判定結果として両者の揺れ幅を含む情報をブロック単位判定結果格納手段２０に記憶させる。なお、ブロック単位シグネチャ情報判定手段１６は、ブロック単位の判定結果をファイル判定手段１７に通知してもよい。

なお、以下の説明では、ブロックが機密ファイルの一部と判定された場合に、ブロック単位シグネチャ情報判定手段１６がその判定結果をブロック単位判定結果格納手段２０に記憶させる場合について説明する。ただし、ブロック単位シグネチャ情報判定手段１６が判定結果をブロック単位判定結果格納手段２０に記憶させるタイミングは、ブロックを機密ファイルの一部と判定した場合に限定されない。例えば、ブロック単位シグネチャ情報判定手段１６は、一致したか否かを示す情報を含む判定結果をブロック単位判定結果格納手段２０に記憶させてもよい。

ブロック単位シグネチャ情報判定手段１６が、ブロックとシグネチャ情報とが一致するか否かを判定する方法について説明する。まず、ブロック単位シグネチャ情報判定手段１６は、Ｐ２Ｐブロック取得手段１５からブロックを受け取り、ブロック開始位置を判断する。そして、ブロック単位シグネチャ情報判定手段１６は、ブロック開始位置に対応するシグネチャ情報を読み取り、出現位置から揺れ許容量の範囲内にファイル断片情報が存在するか検索する。例えば、ブロック単位シグネチャ情報判定手段１６は、抽出したブロックから元のファイルの何ビット目かを判断し、該当するシグネチャ情報のファイル断片情報を１ｂｉｔずつ比較すればよい。そして、揺れ許容量の範囲内にファイル断片情報が存在する場合、ブロック単位シグネチャ情報判定手段１６は、両者が一致すると判定する。一方、揺れ許容量の範囲内にファイル断片情報が存在しない場合、ブロック単位シグネチャ情報判定手段１６は、両者が一致しないと判定する。

ファイル判定手段１７は、ブロック単位の判定結果とシグネチャ情報とを基に、Ｐ２Ｐネットワーク上を流通するファイル（流通ファイル）が機密ファイルに相当するファイルか否かを判定する。具体的には、ファイル判定手段１７は、例えば、シグネチャ情報に一致すると判定されたブロックの数が判定閾値以上の場合に、流通ファイルを機密ファイルやその亜種ファイルと判定する。そして、ファイル判定手段１７は、機密ファイルやその亜種ファイルであった場合、そのファイルの情報をブラックリスト格納手段１８に記憶させる。

ファイル判定手段１７が、機密ファイルに相当するファイルか否かを判定する方法について、具体例を用いて説明する。上述の通り、ブロック単位シグネチャ情報判定手段１６がブロック単位で判定した判定結果をブロック単位判定結果格納手段２０に記憶させる。その際、ファイル判定手段１７は、記憶させる判定結果のシグネチャ情報のうち、ファイル名が同じものを探索する。同じファイル名の判定結果がブロック単位判定結果格納手段２０に記憶されている場合、ファイル判定手段１７は、その個数を調べ、シグネチャ情報の判定閾値と比較する。その個数が閾値を越えていない場合、ファイル判定手段１７は、ブロックの元になったファイルがまだ流出していないと判定する。ファイル判定手段１７は、ブロック単位に閾値との比較を繰り返し、ブロックがマッチした判定結果が閾値を超える数だけブロック単位判定結果格納手段２０に格納されたときに該当のファイルを検知したと判定する。

なお、ファイル判定手段１７は、ブロック単位シグネチャ情報判定手段１６から受け取った判定結果を基に機密ファイルに相当するファイルか否かを判定してもよく、ブロック単位判定結果格納手段２０に記憶された判定結果を基に機密ファイルに相当するファイルか否かを判定してもよい。

ブラックリスト格納手段１８は、流通を阻止するファイルの情報を記憶する。なお、流通を阻止するファイルの情報は、ファイル判定手段１７によって記憶される。ブラックリスト格納手段１８は、例えば、流通ファイルのファイル名やファイルハッシュなどのファイルを特定できるＩＤを記憶する。ブラックリスト格納手段１８は、例えば、磁気ディスク装置等によって実現される。

Ｐ２Ｐ流通阻止手段１９は、ブラックリスト格納手段１８に記憶されたファイルについて、Ｐ２Ｐネットワーク上でのファイル送信を阻止する。例えば、Ｐ２Ｐ流通阻止手段１９は、マッチしたブロックが含まれるネットワークパケットの送信元や送信先に対して、通信をやめさせるリセットパケットを送信してもよい。他にも、Ｐ２Ｐ流通阻止手段１９は、パケットの送信元や送信先が利用しているポート番号やＩＰアドレスを、ネットワークフィルタリング機能を持つ機器に通知し、ネットワークを遮断させてもよい。

あるいは、Ｐ２Ｐ流通阻止手段１９は、ブロック単位シグネチャ情報判定手段１６がマッチしたと判定したブロックが閾値を越えているファイルの場合、それ以降、そのファイルのブロックをネットワークパケット中から削除してもよい。このようにして、対象のファイルが、それ以上流通することを防止できる。

ブロック単位判定結果格納手段２０は、ブロックごとにシグネチャ情報と一致するか否かが判定された判定結果を記憶する。なお、判定結果には、シグネチャ情報やマッチした際の揺れ幅が含まれる。ブロック単位判定結果格納手段２０は、例えば、磁気ディスク装置等によって実現される。図３は、ブロック単位判定結果格納手段２０に格納された判定結果の例を示す説明図である。図３に示す例では、ブロック単位判定結果格納手段２０が、シグネチャ情報としてファイル名及びファイル断片情報の出現位置を、また、そのシグネチャ情報がマッチしたときの揺れ幅及び抽出したブロックを識別するブロック番号を記憶していることを示す。

機密ファイル登録手段１０と、ファイル種別シグネチャ情報生成手段１３と、Ｐ２Ｐブロック取得手段１５と、ブロック単位シグネチャ情報判定手段１６と、ファイル判定手段１７と、Ｐ２Ｐ流通阻止手段１９とは、プログラム（情報漏洩防止プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、情報漏洩防止装置の記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、機密ファイル登録手段１０、ファイル種別シグネチャ情報生成手段１３、Ｐ２Ｐブロック取得手段１５、ブロック単位シグネチャ情報判定手段１６、ファイル判定手段１７及びＰ２Ｐ流通阻止手段１９として動作してもよい。また、機密ファイル登録手段１０と、ファイル種別シグネチャ情報生成手段１３と、Ｐ２Ｐブロック取得手段１５と、ブロック単位シグネチャ情報判定手段１６と、ファイル判定手段１７と、Ｐ２Ｐ流通阻止手段１９とは、それぞれが専用のハードウェアで実現されていてもよい。

次に、動作について説明する。図４及び図５は、第１の実施形態における動作の例を示すフローチャートである。

まず、ユーザ等の指示に応じ、機密ファイル登録手段１０は、機密ファイル格納手段１１に機密ファイルを登録する（すなわち、記憶させる）（ステップＳ１）。次に、ファイル種別シグネチャ情報生成手段１３は、登録された機密ファイルの種別に合わせて、ファイル種別亜種影響ルール情報をファイル種別亜種影響ルール情報格納手段１２から読み取る（ステップＳ２）。そして、ファイル種別シグネチャ情報生成手段１３は、登録されたファイルのシグネチャ情報を読み取ったファイル種別亜種影響ルール情報に従って生成し（ステップＳ３）、シグネチャ情報格納手段１４に記憶させる。なお、登録された機密ファイルすべてに対して、ステップＳ１からステップＳ３の処理が行われる。

そのあと、Ｐ２Ｐブロック取得手段１５は、Ｐ２Ｐネットワークに流通しているファイルの断片であるブロックを抽出し、そのブロックをブロック単位シグネチャ情報判定手段１６に通知する（ステップＳ４）。そして、ブロック単位シグネチャ情報判定手段１６は、受け取ったブロックと、シグネチャ情報格納手段１４に記憶されたシグネチャ情報とを比較し（ステップＳ５）、そのブロックが機密ファイルまたはその亜種ファイルの断片か否かを判断する（ステップＳ６）。

ブロックが機密ファイルまたはその亜種ファイルに含まれるファイルの断片だと判断された場合（ステップＳ６におけるＹＥＳ）、ブロック単位シグネチャ情報判定手段１６は、その判定結果をブロック単位の比較結果としてブロック単位判定結果格納手段２０に記憶させる（ステップＳ７）。なお、ブロックが機密ファイルまたはその亜種ファイルに含まれるファイルの断片だと判断されなかった場合には（ステップＳ６におけるＮＯ）、ブロック単位シグネチャ情報判定手段１６は、比較結果をブロック単位判定結果格納手段２０に記憶させない。

次に、ファイル判定手段１７は、ブロック単位判定結果格納手段２０に記憶された複数の判定結果と、シグネチャ情報格納手段１４に記憶された閾値とをもとに、ブロックの元となる流通ファイルが機密ファイルもしくはその亜種ファイルに相当するかどうかを判定する（ステップＳ８）。流通ファイルが機密ファイルもしくはその亜種ファイルに相当すると判定された場合（ステップＳ９におけるＹＥＳ）、ファイル判定手段１７は、ファイル名やファイルハッシュなどのファイルを特定できるＩＤをブラックリスト格納手段１８に記憶させる（ステップＳ１０）。なお、流通ファイルが機密ファイルもしくはその亜種ファイルに相当しないと判定された場合（ステップＳ９におけるＮＯ）、ファイル判定手段１７は、その流通ファイルのファイル名などをブラックリスト格納手段１８に記憶させない。

そして、Ｐ２Ｐ流通阻止手段１９は、ブラックリスト格納手段１８に記憶されたファイルの情報を取り出し（ステップＳ１１）、Ｐ２Ｐネットワーク上の該当ファイルの流通を阻止する（ステップＳ１２）。

次に、本実施形態の効果について説明する。以上のように、本実施形態によれば、ファイル種別シグネチャ生成手段１３が、ファイル種別亜種影響ルールに従って生成したシグネチャ情報をシグネチャ情報格納手段１４に記憶させる。そして、ブロック単位シグネチャ情報判定手段１６は、シグネチャ情報格納手段１４に記憶されたシグネチャ情報と流通ファイルのブロックとが揺れ許容量の範囲内で一致するか否かを判定する。その後、ファイル判定手段１７は、シグネチャ情報と一致したブロックの数及び判定閾値に基づいて、流通ファイルが機密ファイルに相当するファイルか否かを判定する。そして、Ｐ２Ｐ流通阻止手段１９は、機密ファイルに相当するファイルと判定された流通ファイルの流通を阻止する。そのため、検出対象のファイルを特定する特徴的なキーワードを含むファイルが少数しか存在しない場合であっても、検出対象のファイルが変化したファイルを適切に検出でき、さらに、検出対象のファイル及び変化したファイルを高速に検出して情報漏洩を防止できる。

すなわち、本実施形態では、ブロック単位シグネチャ情報判定手段１６が、ファイル種別シグネチャ情報生成手段１３が生成したシグネチャ情報とそのシグネチャ情報に含まれる揺れ許容数とを基にブロック単位でシグネチャ情報判定を実施する。そして、閾値以上のシグネチャ情報がマッチしたときに、ファイル判定手段１７が機密ファイルもしくはその亜種ファイルであると判定する。そのため、検出対象のファイルが変化したファイル（例えば、亜種ファイル）を高速に検出することができる。

また、ファイル種別シグネチャ情報生成手段１３が、ひとつの機密ファイルとファイル種別亜種影響ルール情報とを基に機密ファイルとその亜種ファイルを検出するためのシグネチャ情報を生成する。そのため、少数の機密ファイルを基に亜種を検出することができる。すなわち、検出対象のファイルを特定する特徴的なキーワードを含むファイルが少数しか存在しない場合であっても、検出対象のファイルが変化したファイルを適切に検出できる。

さらに、ファイル種別シグネチャ情報生成手段１３が、ファイル種別ごとに設定されたファイル種別亜種影響ルール情報に基づいて機密ファイルとその亜種ファイルを検出するためのシグネチャ情報をファイル種別ごとに生成する。そのため、ファイルの種別に適合したシグネチャ情報を生成できるとともに、ブロック単位での比較回数を少なくできる。

実施形態２．
図６は、本発明の第２の実施形態における情報漏洩防止システムの例を示すブロック図である。なお、第１の実施形態と同様の構成については、図１と同一の符号を付し、説明を省略する。

本実施形態における情報漏洩防止システムは、機密ファイル登録手段１０と、機密ファイル格納手段１１と、シグネチャ情報取得情報格納手段２２と、シグネチャ情報生成手段２３と、シグネチャ情報格納手段１４と、Ｐ２Ｐブロック取得手段１５と、ブロック単位シグネチャ情報判定手段１６と、ファイル判定手段１７と、ブラックリスト格納手段１８と、Ｐ２Ｐ流通阻止手段１９と、ブロック単位判定結果格納手段２０と、ブロック単位変更情報格納手段２４と、ブロック判定結果反映手段２５とを備えている。

すなわち、第２の実施形態における情報漏洩防止システムでは、ファイル種別シグネチャ情報生成手段１３がシグネチャ情報生成手段２３に変更され、ファイルの種別とは無関係にシグネチャ情報を生成するルールを格納するシグネチャ情報取得情報格納手段２２にファイル種別亜種影響ルール情報格納手段１２が変更されている点で第１の実施形態における情報漏洩防止システムと異なる。また、第２の実施形態における情報漏洩防止システムでは、ブロック単位変更情報格納手段２４及びブロック判定結果反映手段２５をさらに備えている点で第１の実施形態における情報漏洩防止システムと異なる。

シグネチャ情報取得情報格納手段２２は、ファイル種別にかかわらず、機密ファイルをもとにシグネチャ情報を生成することを規定したルール（以下、シグネチャ情報取得情報と記す。）を記憶する。ここで、シグネチャ情報取得情報とは、機密ファイルからシグネチャ情報（より具体的には、ファイル断片情報）を切り出す位置（範囲）、シグネチャ情報（より具体的には、ファイル断片情報）を切り出す数、切り出す間隔、ファイル断片情報の切り出しサイズ、流通ファイルとシグネチャ情報とのマッチングを行うときに、元の機密ファイルの位置とのずれをどの程度許容するかを定めた揺れ許容量（例えば、揺れ許容数）、及び、複数あるシグネチャ情報のうち、いくつのシグネチャ情報がマッチしたときに、元の機密ファイルに相当するファイルとみなすかを決定するための閾値（すなわち、判定閾値）のうち、少なくとも１つ以上を含む情報の組合せである。

図７は、シグネチャ情報取得情報格納手段２２が記憶するシグネチャ情報取得情報の例を示す説明図である。図７に示す例では、シグネチャ情報取得情報として、ファイル断片情報取得位置情報、ファイル断片情報取得数、ファイル断片情報取得間隔、ファイル断片情報長さ、揺れ許容量である揺れ許容数及び閾値を含んでいることを示す。例えば、図７に例示する表の１行目は、機密ファイル格納手段１１に格納された機密ファイルに対し、「先頭から３０％〜７０％」の位置については、１０ｂｉｔのファイル断片情報を１２８ｂｉｔ間隔で３個切り出し、それぞれ揺れ許容数「１０ｂｉｔ」及び閾値「１個」の情報を付与したシグネチャ情報を作成するルールを表す。

シグネチャ情報生成手段２３は、登録された機密ファイルに対するシグネチャ情報をシグネチャ情報取得情報に従って生成する。具体的には、シグネチャ情報生成手段２３は、シグネチャ情報取得情報に基づいて、機密ファイル登録手段１０により登録された機密ファイルからシグネチャ情報を生成し、生成したシグネチャ情報をシグネチャ情報格納手段１４に記憶させる。なお、シグネチャ情報生成手段２３がシグネチャ情報を生成する方法は、第１の実施形態におけるファイル種別シグネチャ情報生成手段１３がシグネチャ情報を生成する方法と同様である。

なお、第１の実施形態では、ファイル種別シグネチャ情報生成手段１３は、ファイル種別ごとにシグネチャ情報をシグネチャ情報格納手段１４に記憶させる。一方、第２の実施形態では、シグネチャ情報生成手段２３は、ファイル種別にかかわらず、シグネチャ情報をシグネチャ情報格納手段１４に記憶させる。

ブロック単位変更情報格納手段２４は、シグネチャ情報におけるファイル断片情報の出現位置を調整する際に用いられる値（以下、オフセット率と記す。）と、シグネチャ情報における揺れ許容量を減少させる際に用いられる値（以下、揺れ許容量倍率と記す。）のうちの少なくとも１つを含む情報をファイル断片情報の出現位置ごとに規定した情報（以下、ブロック単位変更情報と記す。）を記憶する。揺れ許容量倍率として設定される値は、揺れ許容量を変化させる割合であってもよく、揺れ許容量を減少させる割合であってもよい。ブロック単位変更情報は、例えば、ユーザ等により、ブロック単位変更情報格納手段２４に予め記憶される。ブロック単位変更情報格納手段２４は、例えば、磁気ディスク装置等によって実現される。

ブロック判定結果反映手段２５は、ブロック単位シグネチャ情報判定手段１６が判定したブロックの判定結果と、そのブロックを含んだ元の流通ファイルと同一の流通ファイルに対応するブロック単位変更情報とをもとに、その流通ファイルにおける他のブロックと比較する際に用いられるシグネチャ情報を変更する。すなわち、ブロック判定結果反映手段２５は、ブロック単位シグネチャ情報判定手段１６の要求に従い、シグネチャ情報に含まれるシグネチャ情報取得位置や揺れ許容量を、すでに判定されたブロック単位の判定結果と、ブロック単位変更情報格納手段２４に格納されたブロック単位変更情報をもとに変更する。このようにすることで、すでに判定されたブロックの判定結果をシグネチャ情報に反映させることができる。

ブロック判定結果反映手段２５が、シグネチャ情報を変更する方法について具体的に説明する。ブロック判定結果反映手段２５は、ブロック単位シグネチャ情報判定手段１６が受け取ったブロックを含んだ元の流通ファイルの情報を受け取ると、その流通ファイルに対応するブロックの判定結果がブロック単位判定結果格納手段２０に記憶されているか判断する。判定結果が記憶されている場合、ブロック判定結果反映手段２５は、そのブロックに対応するブロック単位変更情報をブロック単位変更情報格納手段２４から読み取る。そして、ブロック判定結果反映手段２５は、ブロック単位変更情報の揺れ許容量倍率に基づいて、シグネチャ情報の揺れ許容量を更新し、更新した揺れ許容量をブロック単位シグネチャ情報判定手段１６に通知する。このとき、ブロック単位シグネチャ情報判定手段１６は、更新された揺れ許容量の範囲内で、ブロックとシグネチャ情報とが一致するか否かを判定する。

ここで、ファイル断片情報と一致した位置とシグネチャ情報の開始位置とのずれを示す情報がブロックの判定結果に含まれている場合、ブロック判定結果反映手段２５は、そのずれを示す情報にオフセット率を乗じた値を算出し、その算出結果をブロック単位シグネチャ情報判定手段１６に通知してもよい。この場合、ブロック単位シグネチャ情報判定手段１６は、算出結果に従ってブロック断片情報の出現位置をずらしたシグネチャ情報とブロックとを比較し、両者が一致するか否かを判定してもよい。

なお、ここで、同一の流通ファイルとは、流通ファイルそのものが同一の場合だけでなく、ファイル種別が同一の場合の流通ファイルも含まれる。

機密ファイル登録手段１０と、シグネチャ情報生成手段２３と、Ｐ２Ｐブロック取得手段１５と、ブロック単位シグネチャ情報判定手段１６と、ファイル判定手段１７と、Ｐ２Ｐ流通阻止手段１９と、ブロック判定結果反映手段２５とは、プログラム（情報漏洩防止プログラム）に従って動作するコンピュータのＣＰＵによって実現される。また、機密ファイル登録手段１０と、シグネチャ情報生成手段２３と、Ｐ２Ｐブロック取得手段１５と、ブロック単位シグネチャ情報判定手段１６と、ファイル判定手段１７と、Ｐ２Ｐ流通阻止手段１９と、ブロック判定結果反映手段２５とは、それぞれが専用のハードウェアで実現されていてもよい。

次に、動作について説明する。図８及び図５は、第２の実施形態における動作の例を示すフローチャートである。なお、ブロック単位シグネチャ情報判定手段１６が、ブロックとシグネチャ情報とを比較して、そのブロックが機密ファイルか否かを判定し、ファイル判定手段１７が、判定結果を基に、流通ファイルが機密ファイルもしくはその亜種ファイルに相当すると判定するまでの処理、および、Ｐ２Ｐ流通阻止手段１９がそれらの流通ファイルを阻止する処理については、第１の実施形態におけるステップＳ５〜ステップＳ１２までの処理と同様である。

まず、ユーザ等の指示に応じ、機密ファイル登録手段１０は、機密ファイル格納手段１１に機密ファイルを登録する（すなわち、記憶させる）（ステップＳ１）。次に、シグネチャ情報生成手段２３は、登録されたファイルのシグネチャ情報をシグネチャ情報取得情報に従って生成し（ステップＳ２１）、シグネチャ情報格納手段１４に記憶させる。登録された機密ファイルすべてに対して、ステップＳ１からステップＳ２１の処理が行われる。

そのあと、Ｐ２Ｐブロック取得手段１５は、Ｐ２Ｐネットワークに流通しているファイルの断片であるブロックを抽出し、そのブロックをブロック単位シグネチャ情報判定手段１６に通知する（ステップＳ４）。

ここで、ブロック判定結果反映手段２５は、ブロック単位シグネチャ情報判定手段１６に通知されたブロックを含む元の流通ファイルに関連する他のブロック（すなわち元の流通ファイルと同一のファイルに含まれる他のブロック）が比較済みかどうかを判定する（ステップＳ２２）。初めて比較する流通ファイルのブロックである場合（ステップＳ２２におけるＮＯ）、ブロック単位シグネチャ情報判定手段１６は、受け取ったブロックと、シグネチャ情報格納手段１４に記憶されたシグネチャ情報とを比較する（ステップＳ５）。

一方、すでに比較済みのブロックがある場合（ステップＳ２２におけるＹＥＳ）、ブロック判定結果反映手段２５は、ブロック単位変更情報をブロック単位変更情報格納手段２４から読み取り、シグネチャ情報を変更する（ステップＳ２３）。そして、ブロック単位シグネチャ情報判定手段１６は、受け取ったブロックと、変更後のシグネチャ情報とを比較する（ステップＳ５）。以降の処理は、第１の実施形態におけるステップＳ６〜ステップＳ１２の処理と同様である。

次に、本実施形態の効果について説明する。以上のように、本実施形態によれば、シグネチャ情報生成手段２３が、シグネチャ情報取得情報に従って生成したシグネチャ情報をシグネチャ情報格納手段１４に記憶させる。そして、ブロック単位シグネチャ情報判定手段１６が、流通ファイルのブロックごとに、シグネチャ情報格納手段１４に記憶されたシグネチャ情報と上記ブロックとが揺れ許容量の範囲内で一致するか否かを判定する。その後、ファイル判定手段１７は、シグネチャ情報と一致したブロックの数及び判定閾値に基づいて、流通ファイルが機密ファイルに相当するファイルか否かを判定し、判定した結果をブロック単位判定結果格納手段２０に記憶させる。

さらに、ブロック判定結果反映手段２５は、ブロック単位変更情報及びブロック単位判定結果格納手段２０に記憶された揺れ幅に基づいて、シグネチャ情報を更新すると、ブロック単位シグネチャ情報判定手段１６は、更新されたシグネチャ情報と流通ファイルのブロックとが揺れ許容量の範囲内で一致するか否かを判定する。ファイル判定手段１７は、その流通ファイルが機密ファイルに相当するファイルか否かを判定する。そして、Ｐ２Ｐ流通阻止手段１９は、機密ファイルに相当するファイルと判定された流通ファイルの流通を阻止する。そのため、検出対象のファイルを特定する特徴的なキーワードを含むファイルが少数しか存在しない場合であっても、検出対象のファイルが変化したファイルを適切に検出でき、さらに、検出対象のファイル及び変化したファイルを高速に検出して情報漏洩を防止できる。

すなわち、本実施形態では、ブロック単位シグネチャ情報判定手段１６が、シグネチャ情報生成手段２３が生成したシグネチャ情報とそのシグネチャ情報に含まれる揺れ許容数とを基にブロック単位でシグネチャ情報判定を実施する。そして、閾値以上のシグネチャ情報がマッチしたときに、ファイル判定手段１７が機密ファイルもしくはその亜種ファイルであると判定する。そのため、検出対象のファイルが変化したファイル（例えば、亜種ファイル）を高速に検出することができる。

また、シグネチャ情報生成手段２３が、ひとつの機密ファイルとシグネチャ情報取得情報とを基に機密ファイルとその亜種ファイルを検出するためのシグネチャ情報を生成する。そのため、少数の機密ファイルを基に亜種を検出することができる。すなわち、検出対象のファイルを特定する特徴的なキーワードを含むファイルが少数しか存在しない場合であっても、検出対象のファイルが変化したファイルを適切に検出できる。

さらに、ブロック判定結果反映手段２５が、過去の判定結果を基にシグネチャ情報を更新して比較する位置を調整するため、検出対象のファイルが変化したファイル（例えば、亜種ファイル）をより高速に検出することができる。

また、シグネチャ情報生成手段２３は、ファイル種別に関わらず、設定されたシグネチャ情報取得情報に基づいて機密ファイルとその亜種ファイルを検出するためのシグネチャ情報を生成する。そのため、第１の実施形態に比べ、シグネチャ情報を生成するために設定するシグネチャ情報取得情報の量を抑制することができる。

実施形態３．
図９は、本発明の第３の実施形態における情報漏洩防止システムの例を示すブロック図である。なお、第１の実施形態と同様の構成、及び、第２の実施形態と同様の構成については、図１及び図６と同一の符号を付し、説明を省略する。

本実施形態における情報漏洩防止システムは、機密ファイル登録手段１０と、機密ファイル格納手段１１と、ファイル種別亜種影響ルール情報格納手段１２と、ファイル種別シグネチャ情報生成手段１３と、シグネチャ情報格納手段１４と、Ｐ２Ｐブロック取得手段１５と、ブロック単位シグネチャ情報判定手段１６と、ファイル判定手段１７と、ブラックリスト格納手段１８と、Ｐ２Ｐ流通阻止手段１９と、ブロック単位判定結果格納手段２０と、ブロック単位変更情報格納手段２４と、ブロック判定結果反映手段２５とを備えている。

すなわち、第３の実施形態における情報漏洩防止システムは、第２の実施形態におけるシグネチャ情報生成手段２３が第１の実施形態におけるファイル種別シグネチャ情報生成手段１３に変更され、第２の実施形態におけるシグネチャ情報取得情報格納手段２２が第１の実施形態におけるファイル種別亜種影響ルール情報格納手段１２に変更されている点で第２の実施形態における情報漏洩防止システムと異なる。

言い換えると、第３の実施形態における情報漏洩防止システムは、第２の実施形態におけるブロック単位変更情報格納手段２４及びブロック判定結果反映手段２５をさらに備えている点で第１の実施形態における情報漏洩防止システムと異なる。なお、各手段の動作については、第１の実施形態及び第２の実施形態と同様である。

また、機密ファイル登録手段１０と、ファイル種別シグネチャ情報生成手段１３と、Ｐ２Ｐブロック取得手段１５と、ブロック単位シグネチャ情報判定手段１６と、ファイル判定手段１７と、Ｐ２Ｐ流通阻止手段１９と、ブロック単位変更情報格納手段２４と、ブロック判定結果反映手段２５とは、プログラム（情報漏洩防止プログラム）に従って動作するコンピュータのＣＰＵによって実現される。

次に、動作について説明する。図１０及び図５は、第３の実施形態における動作の例を示すフローチャートである。なお、ブロック単位シグネチャ情報判定手段１６が、ブロックとシグネチャ情報とを比較して、そのブロックが機密ファイルか否かを判定し、ファイル判定手段１７が、判定結果を基に、流通ファイルが機密ファイルもしくはその亜種ファイルに相当すると判定するまでの処理、および、Ｐ２Ｐ流通阻止手段１９がそれらの流通ファイルを阻止する処理については、第１の実施形態におけるステップＳ５〜ステップＳ１２までの処理と同様である。

まず、ユーザ等の指示に応じ、機密ファイル登録手段１０は、機密ファイル格納手段１１に機密ファイルを登録する（すなわち、記憶させる）（ステップＳ１）。次に、ファイル種別シグネチャ情報生成手段１３は、登録された機密ファイルの種別に合わせて、ファイル種別亜種影響ルール情報をファイル種別亜種影響ルール情報格納手段１２から読み取る（ステップＳ２）。そして、ファイル種別シグネチャ情報生成手段１３は、登録されたファイルのシグネチャ情報を読み取ったファイル種別亜種影響ルール情報に従って生成し（ステップＳ３）、シグネチャ情報格納手段１４に記憶させる。なお、登録された機密ファイルすべてに対して、ステップＳ１からステップＳ３の処理が行われる。

そのあと、Ｐ２Ｐブロック取得手段１５は、Ｐ２Ｐネットワークに流通しているファイルの断片であるブロックを抽出し、そのブロックをブロック単位シグネチャ情報判定手段１６に通知する（ステップＳ４）。

ここで、ブロック判定結果反映手段２５は、ブロック単位シグネチャ情報判定手段１６に通知されたブロックを含む元の流通ファイルに関連する他のブロック（すなわち元の流通ファイルと同一のファイルに含まれる他のブロック）が比較済みかどうかを判定する（ステップＳ２２）。初めて比較する流通ファイルのブロックである場合（ステップＳ２２におけるＮＯ）、ブロック単位シグネチャ情報判定手段１６は、受け取ったブロックと、シグネチャ情報格納手段１４に記憶されたシグネチャ情報とを比較する（ステップＳ５）。

一方、すでに比較済みのブロックがある場合（ステップＳ２２におけるＹＥＳ）、ブロック判定結果反映手段２５は、ブロック単位変更情報をブロック単位変更情報格納手段２４から読み取り、シグネチャ情報を変更する（ステップＳ２３）。そして、ブロック単位シグネチャ情報判定手段１６は、受け取ったブロックと、変更後のシグネチャ情報とを比較する（ステップＳ５）。以降の処理は、第１の実施形態におけるステップＳ６〜ステップＳ１２の処理と同様である。

次に、本実施形態の効果について説明する。以上のように、本実施形態によれば、第１の実施形態と同様に、ブロック単位シグネチャ情報判定手段１６が、ファイル種別シグネチャ情報生成手段１３が生成したシグネチャ情報とそのシグネチャ情報に含まれる揺れ許容数とを基にブロック単位でシグネチャ情報判定を実施する。そして、閾値以上のシグネチャ情報がマッチしたときに、ファイル判定手段１７が機密ファイルもしくはその亜種ファイルであると判定する。そのため、検出対象のファイルが変化したファイル（例えば、亜種ファイル）を高速に検出することができる。

また、ファイル種別シグネチャ情報生成手段１３が、ひとつの機密ファイルとファイル種別亜種影響ルール情報とを基に機密ファイルとその亜種ファイルを検出するためのシグネチャ情報を生成する。そのため、少数の機密ファイルを基に亜種を検出することができる。すなわち、検出対象のファイルを特定する特徴的なキーワードを含むファイルが少数しか存在しない場合であっても、検出対象のファイルが変化したファイルを適切に検出できる。

また、ファイル種別シグネチャ情報生成手段１３が、ファイル種別ごとに設定されたファイル種別亜種影響ルール情報に基づいて機密ファイルとその亜種ファイルを検出するためのシグネチャ情報をファイル種別ごとに生成する。そのため、ファイルの種別に適合したシグネチャ情報を生成できるとともに、ブロック単位での比較回数を少なくできる。

さらに、第２の実施形態と同様に、ブロック判定結果反映手段２５が、過去の判定結果を基にシグネチャ情報を更新して比較する位置を調整するため、検出対象のファイルが変化したファイル（例えば、亜種ファイル）をより高速に検出することができる。

以下、図９に例示する情報漏洩防止システムについて、具体的な実施例により本発明を説明するが、本発明の範囲は以下に説明する内容に限定されない。

図１１は、Ｐ２Ｐブロック取得手段１５が抽出したブロック情報の例を示す説明図である。本実施例では、Ｐ２Ｐネットワーク中を流れる図１１に例示するブロック情報が存在し、そのブロック番号順にＰ２Ｐブロック取得手段１５がブロックを抽出した場合の動作を説明する。また、ファイル種別亜種影響ルール情報格納手段１２は、図２に例示するファイル種別亜種影響ルール情報を記憶しているものとする。

まず、機密ファイル格納手段１１に「Ｏｆｆｉｃｅ２００７ＷｏｒｄのＯＯＸＭＬ形式」であるファイル「機密ファイル１」が記憶されると、ファイル種別シグネチャ情報生成手段１３は、ファイル種別亜種影響ルール情報格納手段１２から、対応するファイル種別亜種影響ルール情報（すなわち、「Ｏｆｆｉｃｅ２００７ＷｏｒｄのＯＯＸＭＬ形式」の情報）を取り出す。そして、ファイル種別シグネチャ情報生成手段１３は、ファイル断片情報取得位置、ファイル断片情報取得数、ファイル断片情報取得間隔及びファイル断片情報長さに従って、元の「機密ファイル１」を切り出す。

さらに、ファイル種別シグネチャ情報生成手段１３は、ファイル種別亜種影響ルール情報の「Ｏｆｆｉｃｅ２００７ＷｏｒｄのＯＯＸＭＬ形式」の情報に従って、揺れ許容量（ここでは、１０または５）及び閾値（ここでは、１または２）を付与してシグネチャ情報を生成し、シグネチャ情報格納手段１４に記憶させる。生成されたシグネチャ情報の例を図１２に示す。なお、図１２に示す例では、シグネチャ情報格納手段１４は、「Ｏｆｆｉｃｅ２００３以前のＷｏｒｄ」のファイルである「機密ファイル２」のシグネチャ情報も合わせて記憶しているものとする。

次に、Ｐ２Ｐブロック取得手段１５が、Ｐ２Ｐネットワーク上から図１１に例示するブロック番号１のブロックを抽出したときの動作を説明する。

ブロック番号１のファイルは「Ｏｆｆｉｃｅ２００３のＷｏｒｄ」形式の「機密でないファイル」である。しかし、この時点では「機密でないファイル」に関するブロックは検出されていないものとする。そこで、ブロック単位シグネチャ情報判定手段１６は、シグネチャ情報のうち、「機密でないファイル」と同形式のファイル「機密ファイル２」のシグネチャ情報とブロック番号１のブロックとの間でマッチングを実施する。

元のファイルの位置情報（例えば、ファイル全体のサイズ及びブロックの開始位置）から、ブロック１の出現位置が判断できる。ここでは、ブロック１の出現位置が、「先頭から３０％から７０％以内であると判断されたものとする。ブロック単位シグネチャ情報判定手段１６は、ブロック１に含まれるパターンとシグネチャ情報とを比較する。なお、このとき比較に利用されるシグネチャ情報は、図１２に例示するシグネチャ情報のうち、ファイルが「機密ファイル２」、ファイル断片情報の出現位置が１４０８ｂｉｔのものになる。

この場合、ブロック１のファイル断片情報の先頭からマッチングを始めてもシグネチャ情報のファイル断片情報のパターンと一致しない。そこで、ブロック単位シグネチャ情報判定手段１６は、シグネチャ情報に含まれる揺れ許容量に従い、前後３ｂｉｔ分ずらしてマッチングを行う。このように、揺れ許容量はファイルの種類によって決められているため、ブロック単位シグネチャ情報判定手段１６は、パターンマッチは３Ｂｉｔ分繰り返すだけでよい。ただし、この場合は、前後３ｂｉｔ分ずらしてもパターンが一致しないため、ブロック単位シグネチャ情報判定手段１６は、両者が一致しないと判定する。

次に、Ｐ２Ｐブロック取得手段１５が、ブロック番号２のブロックを抽出したときの動作を説明する。ブロック２をマッチングするこの段階では、ファイル「機密ファイル１の亜種」に関するブロックが検出されていない。そのため、ブロック単位シグネチャ情報判定手段１６は、シグネチャ情報に含まれるファイルのうち、ファイル形式が同じ「Ｏｆｆｉｃｅ２００７ＷｏｒｄのＯＯＸＭＬ形式」であるファイル「機密ファイル１」のシグネチャ情報とブロック番号２のブロックとの間でのマッチングを実施する。

ブロック２のブロック開始位置は１２８ｂｉｔ目である。そのため、ブロック単位シグネチャ情報判定手段１６は、この情報に対応する「機密ファイル１」のファイル断片情報出現位置が１２８ｂｉｔであるファイル断片情報とブロック２のブロック断片情報とのマッチングを実施する。

この場合、ファイル断片情報出現位置を完全に一致させてマッチングしても、ファイル断片情報は一致しない。これは、ブロック２に含まれるファイル断片情報が、５ｂｉｔ分後ろ方向にずれているためである。そこで、ブロック単位シグネチャ情報判定手段１６は、シグネチャ情報の揺れ許容量をもとに、最大１０ｂｉｔ分ずらしてマッチングを実施する。ここでは、５ｂｉｔずれているので、５ｂｉｔ分ずらして比較すると、ファイル断片情報は一致する。そこで、ブロック単位シグネチャ情報判定手段１６は、ブロック単位判定結果格納手段２０に、ブロック２と５ｂｉｔずれたファイル断片情報とが一致したことを示す判定結果を記録する。

次に、Ｐ２Ｐブロック取得手段１５が、ブロック番号３のブロックを抽出したときの動作を説明する。ブロック単位シグネチャ情報判定手段１６がブロック３を受信したときには、既にすでにブロック２との比較でマッチした情報（判定結果）が存在する。そこで、ブロック判定結果反映手段２５は、ブロック単位判定結果格納手段２０からこの情報を取り出す。さらに、ブロック単位シグネチャ情報判定手段１６は、ブロック単位変更情報格納手段２４から、ブロック単位変更情報を取り出す。

図１３は、ブロック単位変更情報格納手段２４に記憶されたブロック単位変更情報の例を示す説明図である。ここでは、ブロック２の開始位置がファイル全体の先頭から３０％であるものとし、ブロック単位シグネチャ情報判定手段１６は、ブロック単位変更情報として、ファイル種別が「Ｏｆｆｉｃｅ２００７ＷｏｒｄのＯＯＸＭＬ形式」で、ファイル断片情報位置が「先頭から３０％」のブロック単位変更情報を取り出すものとする。このブロック単位変更情報から、オフセット率が５０％であり、揺れ許容量倍率（揺れ許容数倍率と記すこともある。）も５０％であることがわかる。

これは、ブロック単位変更情報からオフセット率が５０％、すなわち、他のブロックとは５０％ずれている可能性が高いことを意味し、その位置からの揺れ許容数倍率が５０％であることを意味する。このことから、ブロック単位シグネチャ情報判定手段１６は、５ｂｉｔずれの半分（５０％）に相当する２ｂｉｔ目を中心に、もともとの揺れ許容数倍率（１０ｂｉｔｂｉｔ）の半分（５０％）にあたる５ｂｉｔをずらしてパターンマッチをすれば良いことがわかる。

ここで、ブロック３のブロック断片情報は、シグネチャ情報の「機密ファイル１」の２５６ｂｉｔ目からのファイル断片情報が４ｂｉｔずれているものである。まず、ブロック単位シグネチャ情報判定手段１６は、ブロック単位変更情報をもとに変更されたシグネチャ情報に従い、２ｂｉｔずらした位置からマッチングを開始する。ただし、２ｂｉｔずらした位置でも両者は一致しない。そこで、ブロック単位シグネチャ情報判定手段１６は、さらに２ｂｉｔ分（１回あたり１ｂｉｔずつ比較する場合は２回分）ずらしてマッチングを行うと、両者は一致する。すなわち、両者が４ｂｉｔずれていても２ｂｉｔ分の移動でファイル断片情報のマッチングを終了させることができる。

このように、ブロック単位シグネチャ情報判定手段１６は、ブロックとシグネチャ情報とのマッチングを順次実施する。

次に、ファイル判定手段１７は、１つのブロックのマッチング処理が終了するごとに、それまでマッチングしたブロックを検査し、マッチしているブロックの数とシグネチャ情報の閾値とを比較する。マッチしているブロックの数がシグネチャ情報の閾値を越えているファイルがあれば、ファイル判定手段１７は、該当ファイルの情報をブラックリスト格納手段１８に記憶させる。そして、Ｐ２Ｐ流通阻止手段１９は、該当ファイルがＰ２Ｐネットワーク上を流通することを阻止する。

次に、本発明による情報漏洩防止システムの最小構成の例を説明する。図１４は、本発明による情報漏洩防止システムの最小構成の例を示すブロック図である。本発明による情報漏洩防止システムは、検出対象のファイル（例えば、機密ファイル）の一部であるファイル断片情報と、検出対象ファイル内におけるファイル断片情報の出現位置（例えば、ファイル断片情報出現位置）と、その出現位置と検出対象ファイルに相当するか否かが判定されるファイルである流通ファイルのブロックが出現する位置との揺れ幅の許容量を示す揺れ許容量と、流通ファイルが検出対象ファイルと判定される条件であるファイル断片情報と一致すべきブロックの数の下限を示す判定閾値とを含む情報を検出対象ファイルと対応付けたシグネチャ情報を記憶するシグネチャ情報格納手段８１（例えば、シグネチャ情報格納手段１４）と、検出対象ファイルをもとにシグネチャ情報をファイルの種別ごとに生成することを規定したルールであるファイル種別亜種影響ルールを記憶するファイル種別亜種影響ルール情報格納手段８２（例えば、ファイル種別亜種影響ルール情報格納手段１２）と、ファイル種別亜種影響ルール情報に従って検出対象ファイルのシグネチャ情報をファイルの種別ごとに生成し、そのシグネチャ情報をシグネチャ情報格納手段８１に記憶させるファイル種別シグネチャ情報生成手段８３（例えば、ファイル種別シグネチャ情報生成手段１３）と、流通ファイルのブロックごとに、そのブロックがシグネチャ情報格納手段８１に記憶されたシグネチャ情報と揺れ許容量の範囲内で一致するか否かを判定するブロック単位シグネチャ情報判定手段８４（例えば、ブロック単位シグネチャ情報判定手段１６）と、シグネチャ情報と一致したブロックの数及び判定閾値に基づいて、流通ファイルが検出対象ファイルに相当するファイル（例えば、機密ファイルもしくはその亜種ファイル）か否かを判定するファイル判定手段８５（例えば、ファイル判定手段１７）と、ファイル判定手段８５が検出対象ファイルと判定したファイルの流通を阻止する流通阻止手段８６（例えば、Ｐ２Ｐ流通阻止手段１９）とを備えている。

そのような構成により、検出対象のファイルを特定する特徴的なキーワードを含むファイルが少数しか存在しない場合であっても、検出対象のファイルが変化したファイルを適切に検出でき、さらに、検出対象のファイル及び変化したファイルを高速に検出して情報漏洩を防止できる。

なお、少なくとも以下に示すような情報漏洩防止システムも、上記に示すいずれかの実施形態に開示されている。

（１）検出対象のファイル（例えば、機密ファイル）の一部であるファイル断片情報と、検出対象ファイル内におけるファイル断片情報の出現位置（例えば、ファイル断片情報出現位置）と、その出現位置と検出対象ファイルに相当するか否かが判定されるファイルである流通ファイルのブロックが出現する位置との揺れ幅の許容量を示す揺れ許容量と、流通ファイルが検出対象ファイルと判定される条件であるファイル断片情報と一致すべきブロックの数の下限を示す判定閾値とを含む情報を検出対象ファイルと対応付けたシグネチャ情報を記憶するシグネチャ情報格納手段（例えば、シグネチャ情報格納手段１４）と、検出対象ファイルをもとにシグネチャ情報をファイルの種別ごとに生成することを規定したルールであるファイル種別亜種影響ルールを記憶するファイル種別亜種影響ルール情報格納手段（例えば、ファイル種別亜種影響ルール情報格納手段１２）と、ファイル種別亜種影響ルール情報に従って検出対象ファイルのシグネチャ情報をファイルの種別ごとに生成し、そのシグネチャ情報をシグネチャ情報格納手段に記憶させるファイル種別シグネチャ情報生成手段（例えば、ファイル種別シグネチャ情報生成手段１３）と、流通ファイルのブロックごとに、そのブロックがシグネチャ情報格納手段に記憶されたシグネチャ情報と揺れ許容量の範囲内で一致するか否かを判定するブロック単位シグネチャ情報判定手段（例えば、ブロック単位シグネチャ情報判定手段１６）と、シグネチャ情報と一致したブロックの数及び判定閾値に基づいて、流通ファイルが検出対象ファイルに相当するファイル（例えば、機密ファイルもしくはその亜種ファイル）か否かを判定するファイル判定手段（例えば、ファイル判定手段１７）と、ファイル判定手段が検出対象ファイルと判定したファイルの流通を阻止する流通阻止手段（例えば、Ｐ２Ｐ流通阻止手段１９）とを備えた情報漏洩防止システム。

（２）流通ファイルのブロックごとに、そのブロックとシグネチャ情報とが一致すると判定されたときの揺れ幅を記憶するブロック単位判定結果格納手段（例えば、ブロック単位判定結果格納手段２０）と、シグネチャ情報におけるファイル断片情報の出現位置を調整する値であるオフセット率と、シグネチャ情報における揺れ許容量を減少させる値である揺れ許容量倍率のうちの少なくとも１つを含む情報をファイル断片情報の出現位置ごとに規定した情報であるブロック単位変更情報を記憶するブロック単位変更情報格納手段（例えば、ブロック単位変更情報格納手段２４）と、ブロック単位判定結果格納手段に記憶された揺れ幅及びブロック単位変更情報に基づいて、シグネチャ情報を更新するブロック判定結果反映手段（例えば、ブロック判定結果反映手段２５）とを備え、ブロック単位シグネチャ情報判定手段が、ブロック判定結果反映手段が更新したシグネチャ情報とブロックとが一致するか否かを判定し、そのブロックとシグネチャ情報とが一致すると判定されたときの揺れ幅をブロック単位判定結果格納手段に記憶させる情報漏洩防止システム。

（３）ブロック判定結果反映手段が、ブロック単位判定結果格納手段に記憶された揺れ幅及びブロック単位変更情報のオフセット率に基づき、ブロックと比較するファイル断片情報の出現位置を更新し、ブロック単位シグネチャ情報判定手段が、ブロック判定結果反映手段が更新した出現位置から揺れ許容量の範囲内でファイル断片情報とブロックとが一致するか否かを判定する情報漏洩防止システム。

（４）ブロック判定結果反映手段が、揺れ許容量倍率に基づいて揺れ許容量の範囲を更新し、ブロック単位シグネチャ情報判定手段が、ブロック判定結果反映手段が更新した揺れ許容量の範囲内でシグネチャ情報とブロックとが一致するか否かを判定する情報漏洩防止システム。

（５）流通ファイルの断片であるブロックごとに、そのブロックとシグネチャ情報とが一致すると判定されたときの揺れ幅を記憶するブロック単位判定結果格納手段（例えば、ブロック単位判定結果格納手段２０）を備え、ブロック単位シグネチャ情報判定手段が、ブロックとシグネチャ情報とが一致すると判定されたときの揺れ幅をブロック単位判定結果格納手段に記憶し、ファイル判定手段が、ブロック単位判定結果格納手段に記憶されたブロックの数及び判定閾値に基づいて、流通ファイルが検出対象ファイルに相当するファイルか否かを判定する情報漏洩防止システム。

（６）検出対象ファイルを記憶する検出対象ファイル記憶手段（例えば、機密ファイル格納手段１１）と、検出対象ファイル記憶手段に検出ファイルを記憶させる検出対象ファイル登録手段（例えば、機密ファイル登録手段１０）とを備え、ファイル種別シグネチャ情報生成手段が、検出対象ファイル記憶手段に記憶されたファイル種別亜種影響ルール情報に従って、検出対象ファイルのシグネチャ情報を生成する情報漏洩防止システム。

（７）流通を阻止するファイルの情報を記憶するブラックリスト格納手段（例えば、ブラックリスト格納手段１８）を備え、ファイル判定手段が、検出対象ファイルに相当すると判定した流通ファイルの情報をブラックリスト格納手段に記憶させ、流通阻止手段が、ブラックリスト格納手段に記憶されたファイルの流通を阻止する情報漏洩防止システム。

（８）ピアツーピア型ネットワークから流通ファイルのブロックを抽出するブロック取得手段（例えば、Ｐ２Ｐブロック取得手段１５）を備え、ブロック単位シグネチャ情報判定手段が、シグネチャ情報格納手段に記憶されたシグネチャ情報とブロックとが揺れ許容量の範囲内で一致するか否かを判定する情報漏洩防止システム。

本発明は、ピアツーピア型のファイル転送プロトコルによる通信において、機密ファイル及びその類似ファイルを発見し、ファイルの転送を防止する情報漏洩防止システムに好適に適用される。

（付記１）シグネチャ情報におけるファイル断片情報の出現位置を調整する値であるオフセット率と、シグネチャ情報における揺れ許容量を減少させる値である揺れ許容量倍率のうちの少なくとも１つを含む情報をファイル断片情報の出現位置ごとに規定した情報であるブロック単位変更情報及びブロック単位判定結果格納手段に記憶された揺れ幅に基づいて、シグネチャ情報を更新し、更新されたシグネチャ情報とブロックとが前記揺れ許容量の範囲内で前記流通ファイルのブロックに一致するか否かを判定し、ブロックとシグネチャ情報とが一致すると判定されたときの揺れ幅をブロック単位判定結果格納手段に記憶させる情報漏洩防止方法。

（付記２）流通ファイルのブロックごとにシグネチャ情報と一致するか否かを判定した結果を記憶するブロック単位判定結果格納手段と、シグネチャ情報におけるファイル断片情報の出現位置を調整する値であるオフセット率と、シグネチャ情報における揺れ許容量を減少させる値である揺れ許容量倍率のうちの少なくとも１つを含む情報をファイル断片情報の出現位置ごとに規定した情報であるブロック単位変更情報を記憶するブロック単位変更情報格納手段とを備えたコンピュータに適用される情報漏洩防止プログラムであって、前記コンピュータに、前記ブロック単位判定結果格納手段に記憶された揺れ幅及び前記ブロック単位変更情報に基づいて、シグネチャ情報を更新するブロック判定結果反映処理を実行させ、ブロック単位シグネチャ情報判定処理で、前記ブロック判定結果反映処理で更新されたシグネチャ情報とブロックとが一致するか否かを判定させ、ブロックとシグネチャ情報とが一致すると判定されたときの揺れ幅を前記ブロック単位判定結果格納手段に記憶させる情報漏洩防止プログラム。

１０ 機密ファイル登録手段
１１ 機密ファイル格納手段
１２ ファイル種別亜種影響ルール情報格納手段
１３ ファイル種別シグネチャ情報生成手段
１４ シグネチャ情報格納手段
１５ Ｐ２Ｐブロック取得手段
１６ ブロック単位シグネチャ情報判定手段
１７ ファイル判定手段
１８ ブラックリスト格納手段
１９ Ｐ２Ｐ流通阻止手段
２０ ブロック単位判定結果格納手段
２２ シグネチャ情報取得情報格納手段
２３ シグネチャ情報生成手段
２４ ブロック単位変更情報格納手段
２５ ブロック判定結果反映手段

Claims (10)

1. 検出対象のファイルの一部であるファイル断片情報と、検出対象ファイル内におけるファイル断片情報の出現位置と、当該出現位置と検出対象ファイルに相当するか否かが判定されるファイルである流通ファイルのブロックが出現する位置との揺れ幅の許容量を示す揺れ許容量と、前記流通ファイルが検出対象ファイルと判定される条件である前記ファイル断片情報と一致すべきブロックの数の下限を示す判定閾値とを含む情報を検出対象ファイルと対応付けたシグネチャ情報を記憶するシグネチャ情報格納手段と、
   前記検出対象ファイルをもとにシグネチャ情報をファイルの種別ごとに生成することを規定したルールであるファイル種別亜種影響ルールを記憶するファイル種別亜種影響ルール情報格納手段と、
   前記ファイル種別亜種影響ルール情報に従って前記検出対象ファイルのシグネチャ情報をファイルの種別ごとに生成し、当該シグネチャ情報を前記シグネチャ情報格納手段に記憶させるファイル種別シグネチャ情報生成手段と、
   前記流通ファイルのブロックごとに、当該ブロックが前記シグネチャ情報格納手段に記憶されたシグネチャ情報と前記揺れ許容量の範囲内で一致するか否かを判定するブロック単位シグネチャ情報判定手段と、
   シグネチャ情報と一致したブロックの数及び前記判定閾値に基づいて、前記流通ファイルが前記検出対象ファイルに相当するファイルか否かを判定するファイル判定手段と、
   前記ファイル判定手段が検出対象ファイルと判定したファイルの流通を阻止する流通阻止手段とを備えた
   ことを特徴とする情報漏洩防止システム。
2. 流通ファイルのブロックごとに、当該ブロックとシグネチャ情報とが一致すると判定されたときの揺れ幅を記憶するブロック単位判定結果格納手段と、
   シグネチャ情報におけるファイル断片情報の出現位置を調整する値であるオフセット率と、シグネチャ情報における揺れ許容量を減少させる値である揺れ許容量倍率のうちの少なくとも１つを含む情報をファイル断片情報の出現位置ごとに規定した情報であるブロック単位変更情報を記憶するブロック単位変更情報格納手段と、
   前記ブロック単位判定結果格納手段に記憶された揺れ幅及び前記ブロック単位変更情報に基づいて、シグネチャ情報を更新するブロック判定結果反映手段とを備え、
   ブロック単位シグネチャ情報判定手段は、前記ブロック判定結果反映手段が更新したシグネチャ情報とブロックとが一致するか否かを判定し、当該ブロックとシグネチャ情報とが一致すると判定されたときの揺れ幅を前記ブロック単位判定結果格納手段に記憶させる
   請求項１記載の情報漏洩防止システム。
3. ブロック判定結果反映手段は、ブロック単位判定結果格納手段に記憶された揺れ幅及びブロック単位変更情報のオフセット率に基づき、ブロックと比較するファイル断片情報の出現位置を更新し、
   ブロック単位シグネチャ情報判定手段は、前記ブロック判定結果反映手段が更新した出現位置から揺れ許容量の範囲内でファイル断片情報とブロックとが一致するか否かを判定する
   請求項２記載の情報漏洩防止システム。
4. ブロック判定結果反映手段は、揺れ許容量倍率に基づいて揺れ許容量の範囲を更新し、
   ブロック単位シグネチャ情報判定手段は、前記ブロック判定結果反映手段が更新した揺れ許容量の範囲内でシグネチャ情報とブロックとが一致するか否かを判定する
   請求項２または請求項３記載の情報漏洩防止システム。
5. 流通ファイルのブロックごとに、当該ブロックとシグネチャ情報とが一致すると判定されたときの揺れ幅を記憶するブロック単位判定結果格納手段を備え、
   ブロック単位シグネチャ情報判定手段は、前記ブロックとシグネチャ情報とが一致すると判定されたときの揺れ幅を前記ブロック単位判定結果格納手段に記憶し、
   ファイル判定手段は、前記ブロック単位判定結果格納手段に記憶されたブロックの数及び判定閾値に基づいて、流通ファイルが検出対象ファイルに相当するファイルか否かを判定する
   請求項１記載の情報漏洩防止システム。
6. 検出対象ファイルを記憶する検出対象ファイル記憶手段と、
   前記検出対象ファイル記憶手段に検出ファイルを記憶させる検出対象ファイル登録手段とを備え、
   ファイル種別シグネチャ情報生成手段は、前記検出対象ファイル記憶手段に記憶されたファイル種別亜種影響ルール情報に従って、検出対象ファイルのシグネチャ情報を生成する
   請求項１から請求項５のうちのいずれか１項に記載の情報漏洩防止システム。
7. 流通を阻止するファイルの情報を記憶するブラックリスト格納手段を備え、
   ファイル判定手段は、検出対象ファイルに相当すると判定した流通ファイルの情報を前記ブラックリスト格納手段に記憶させ、
   流通阻止手段は、前記ブラックリスト格納手段に記憶されたファイルの流通を阻止する
   請求項１から請求項６のうちのいずれか１項に記載の情報漏洩防止システム。
8. ピアツーピア型ネットワークから流通ファイルのブロックを抽出するブロック取得手段を備え、
   ブロック単位シグネチャ情報判定手段は、シグネチャ情報格納手段に記憶されたシグネチャ情報とブロックとが揺れ許容量の範囲内で一致するか否かを判定する
   請求項１から請求項７のうちのいずれか１項に記載の情報漏洩防止システム。
9. 検出対象のファイルの一部であるファイル断片情報と、検出対象ファイル内におけるファイル断片情報の出現位置と、当該出現位置と検出対象ファイルに相当するか否かが判定されるファイルである流通ファイルのブロックが出現する位置との揺れ幅の許容量を示す揺れ許容量と、前記流通ファイルが検出対象ファイルと判定される条件である前記ファイル断片情報と一致すべきブロックの数の下限を示す判定閾値とを含む情報を検出対象ファイルと対応付けたシグネチャ情報を検出対象ファイルをもとにファイルの種別ごとに生成することを規定したルールであるファイル種別亜種影響ルールに従って生成し、
   生成したシグネチャ情報をシグネチャ情報格納手段に記憶させ、
   前記流通ファイルのブロックごとに、当該ブロックが前記シグネチャ情報格納手段に記憶されたシグネチャ情報と前記揺れ許容量の範囲内で一致するか否かを判定し、
   シグネチャ情報と一致したブロックの数及び前記判定閾値に基づいて、前記流通ファイルが前記検出対象ファイルに相当するファイルか否かを判定し、
   前記検出対象ファイルに相当するファイルと判定された流通ファイルの流通を阻止する ことを特徴とする情報漏洩防止方法。
10. 検出対象のファイルの一部であるファイル断片情報と、検出対象ファイル内におけるファイル断片情報の出現位置と、当該出現位置と検出対象ファイルに相当するか否かが判定されるファイルである流通ファイルのブロックが出現する位置との揺れ幅の許容量を示す揺れ許容量と、前記流通ファイルが検出対象ファイルと判定される条件である前記ファイル断片情報と一致すべきブロックの数の下限を示す判定閾値とを含む情報を検出対象ファイルと対応付けたシグネチャ情報を記憶するシグネチャ情報格納手段と、前記検出対象ファイルをもとにシグネチャ情報をファイルの種別ごとに生成することを規定したルールであるファイル種別亜種影響ルールを記憶するファイル種別亜種影響ルール情報格納手段とを備えたコンピュータに適用される情報漏洩防止プログラムであって、
    前記コンピュータに、
    前記ファイル種別亜種影響ルール情報に従って前記検出対象ファイルのシグネチャ情報をファイルの種別ごとに生成し、当該シグネチャ情報を前記シグネチャ情報格納手段に記憶させるファイル種別シグネチャ情報生成処理、
    前記流通ファイルのブロックごとに、当該ブロックが前記シグネチャ情報格納手段に記憶されたシグネチャ情報と前記揺れ許容量の範囲内で一致するか否かを判定するブロック単位シグネチャ情報判定処理、
    シグネチャ情報と一致したブロックの数及び前記判定閾値に基づいて、前記流通ファイルが前記検出対象ファイルに相当するファイルか否かを判定するファイル判定処理、および、
    前記ファイル判定処理で検出対象ファイルと判定されたファイルの流通を阻止する流通阻止処理
    を実行させるための情報漏洩防止プログラム。

Images