JP2023063811A - アクセス制御システム - Google Patents

Abstract

【課題】ＮＩＣを個別に用意することなく、コンピュータ内の複数のプロセスを個別にアクセス制御することが可能なアクセス制御システムを提供する。【解決手段】アクセス制御システム１は、コンピュータネットワーク２０に接続されたコンピュータ１０を備える。コンピュータ１０は、プログラムの実行によりプロセスが起動されたとき、予め用意されたグループポリシーリストに基づいてプロセスをグループ分けしてグループ管理テーブルに登録し、グループに関連付けされたアクセス制御情報に従って前記プロセスのアクセス制御を行うアクセス制御ドライバ４０を備える。【選択図】図１

Description

本発明は、コンピュータのネットワークアクセスを制御するアクセス制御システムに関する。

インターネット等のコンピュータネットワークを介して接続されるノード間のアクセス制御としては、通信プロトコル（ICMP, TCP等）、ＩＰアドレス及びポート番号によるアクセス制御が一般的である。例えば図８（ａ）に示すようにノードＡ（クライアント）からノードＢ（サーバ）へのアクセス制御では、ノードＡが通信プロトコル、ターゲットＩＰアドレス及びターゲットポート番号にネットワークアクセスを実施する。また、ノードＢはノードＡからのアクセス要求パケットに含まれる通信プロトコルおよびソースＩＰアドレスを参照してアクセスを許可するか否かを判断する。

図８（ｂ）に示すように２つのノードＡ，Ｂ間にゲートウェイが介在する場合には、ノードＢの代わりにゲートウェイがアクセスの拒否を判断する。ノードＡからノードＢへのアクセス要求はゲートウェイに転送され、ゲートウェイはノードＡからのアクセス要求パケットに含まれる通信プロトコル、ソースＩＰアドレス、ターゲットＩＰアドレスおよびターゲットポートを参照してアクセスを許可するか否かを判断する。

ネットワークアクセス制御に関し、例えば特許文献１には、ネットワーク上にアクセスを管理する専用装置を必要とせず、セキュリティポリシーの柔軟性に優れた情報漏洩防止システムが記載されている。この情報漏洩防止システムは、取得したセキュリティポリシーに応じてネットワーク制御を行うクライアント処理部を有するクライアント端末と、前記クライアント端末を利用するユーザに関する情報を格納するユーザデータベースと、ユーザの属性ごとにネットワーク制御内容を定めたセキュリティポリシーを格納するセキュリティポリシーデータベースと、ユーザの属性及びセキュリティポリシーを配布する時刻に基づいてセキュリティポリシーを選択し、選択された前記セキュリティポリシーを対応する前記クライアント端末に送信するサーバ処理部とを有する管理サーバとを有する。

特開２０１７－１１７３５４号公報

ＩＰアドレス及びポート番号を用いた従来のアクセス制御システムにおいて、同じノード内のプログラムごとのアクセス制御を行うには、プログラムごとにアクセス制御機能を実装する必要がある。例えば、クライアント内の２つのプロセスＡ１，Ａ２が同一サーバの同一プロセスと通信する場合、サーバのターゲットＩＰアドレスとターゲットポート番号およびソースＩＰアドレスは共通であるため、プロセスＡ１とプロセスＡ２をネットワークレイヤでは識別できない。

コンピュータ上に生成するコンテナ環境（仮想環境）とローカル環境（コンテナ環境外）それぞれのネットワーク通信を別々に制御するためには、コンテナ環境用の仮想ＮＩＣ（Network Interface Card）を作成する必要があり、それぞれ別々にアクセス制御が必要となる。この場合、ＩＰアドレスが仮想ＮＩＣと物理ＮＩＣの二つが必要になり、ネットワーク構成が複雑になる。

また、コンピュータ上に生成したコンテナ環境（仮想環境）ごとにネットワークアクセス制御を行いたい場合、ネットワークレイヤ上のアクセス制御機能だけでは制御できない。そのため、ユーザ認証や電子証明書などのアプリケーションレイヤ上のアクセス制御機能を追加する必要がある。例えば、コンテナ環境内のプロセスＡはアクセス許可し、プロセスＢのアクセスは禁止するといった制御は、ネットワークレイヤだけでは制御できない。

また、コンピュータ上に複数のコンテナ環境（仮想環境）を構築する場合、各コンテナ環境に対して仮想ＮＩＣを個別に作成することなく、一つのＮＩＣでネットワークアクセス制御を行いたいという要求がある。

したがって、本発明の目的は、ＮＩＣを個別に用意することなく、コンピュータ内の複数のプロセスを個別にアクセス制御することが可能なアクセス制御システムを提供することにある。

上記課題を解決するため、本発明によるアクセス制御システムは、コンピュータネットワークに接続されたコンピュータを備え、前記コンピュータは、プログラムの実行によりプロセスが起動されたとき、予め用意されたグループポリシーリストに基づいて前記プロセスをグループ分けしてグループ管理テーブルに登録し、前記プロセスが属するグループに関連付けされたアクセス制御情報に従って前記プロセスのアクセス制御を行うアクセス制御ドライバを備えることを特徴とする。

本発明によれば、プロセスをアクセス制御対象とし、所定の条件に従って各プロセスのアクセス内容ごとにアクセス制御を行うので、既存のプログラムに手を加えることなくアクセス制御が可能となる。また、制御ソフトウェアをドライバソフトに実装することで高速・軽量なアクセス制御を実行できる。さらに、アクセス制御条件をいつでも即時に反映させることができる。

本発明において、前記アクセス制御ドライバは、前記プログラムの属性データ、前記プロセスを実行するユーザの属性データ又は環境変数に基づいて前記プロセスをグループ分けすることが好ましい。またアクセス制御のみならず時間帯や通信状況を鑑みた帯域制御も可能となる。このように、本発明によれば、種々のグループ判別条件に基づいてプロセスをグループ分けすることができる。

本発明において、前記アクセス制御ドライバは、前記グループと前記アクセス制御情報との関係を記録した動的に更新可能なアクセス制御情報リストに基づき前記グループ毎にアクセス制御することができる。

本発明において、前記アクセス制御ドライバは、第１及び第２のプロセスが起動されたとき、前記グループポリシーリストに従って前記第１のプロセスのプロセスＩＤを第１のグループに設定すると共に、前記第２のプロセスのプロセスＩＤを第２のグループに設定し、前記第１のグループに関連付けられた第１のアクセス制御情報に基づいて前記第１のプロセスに対するアクセス制御を行い、前記第２のグループに関連付けられた第２のアクセス制御情報に基づいて前記第２のプロセスに対するアクセス制御を行うことが好ましい。このように、本発明によれば、第１のプロセスに対するアクセス制御と第２のプロセスに対するアクセス制御を別々に行うことができる。

本発明において、前記コンピュータは、コンテナ型仮想化ソフトを含み、前記アクセス制御ドライバは、コンテナ環境下のプロセスをローカル環境下のプロセスと異なるグループに設定することが好ましい。これにより、コンテナ環境から特定のネットワークやホストへのアクセスを許可することができ、ローカル環境から特定のネットワークやホストへのアクセスを禁止することができる。

本発明において、前記コンピュータは、コンテナ型仮想化ソフトを含み、前記アクセス制御ドライバは、コンテナ環境ごとに前記プロセスをグループ化することが好ましい。これにより、複数のコンテナ環境に共通のネットワークインターフェースを用いてコンテナ環境ごとにアクセス制御を行うことができる。

本発明によれば、ＮＩＣを個別に用意することなく、ノード内の複数のプロセスを個別にアクセス制御することが可能なアクセス制御システムを提供することができる。

図１は、本発明の第１の実施の形態によるアクセス制御システムの構成を概略的に示すブロック図である。 図２は、アクセス制御システムの動作を説明するための模式図である。 図３は、アクセス制御ドライバの判定制御を示すフローチャートである。 図４は、アクセス制御方法の第１の応用例を示すブロック図である。 図５は、アクセス制御方法の第２の応用例を示すブロック図である。 図６は、アクセス制御方法の第３の応用例を示すブロック図である。 図７は、アクセス制御方法の第４の応用例を示すブロック図である。 図８（ａ）及び（ｂ）は、従来のアクセス制御方法を示すブロック図である。

以下、添付図面を参照しながら、本発明の好ましい実施の形態について詳細に説明する。

図１は、本発明の実施の形態によるアクセス制御システムの構成を示すブロック図である。

図1に示すように、このアクセス制御システム１は、インターネット等のコンピュータネットワーク２０に接続されたコンピュータ１０のネットワークアクセスを制御するためのシステムであって、コンピュータ１０にインストールされたアクセス制御ドライバ４０によって主に構成されている。コンピュータ１０は、コンピュータネットワーク２０を通じて種々のサーバ３０に接続可能に構成されている。

コンピュータ１０は、ＣＰＵ、メモリ、ＮＩＣ等の周知のハードウェア１１を有する。またコンピュータ１０にはＯＳ（オペレーションシステム）１２、各種デバイスドライバ１３、ミドルウェア１４、アプリケーションソフト１５がインストールされている。アプリケーションソフト１５は特に限定されず、Ｗｅｂブラウザ、メールソフト、オフィスソフト、PDFソフト、画像編集ソフト、ゲームソフトなど、様々である。

コンピュータ１０には仮想化ソフト１６がインストールされていてもよい。例えば、コンテナ型仮想化ソフトは、コンテナと呼ばれる仮想環境をホストマシン上に構築し、コンテナ内でアプリケーションソフト、ミドルウェア、ＯＳなどを実行するプラットフォームである。仮想化ソフトによれば、複数のアプリケーションソフト１５を相互に分離した環境で動かすことが可能であり、アプリケーションごとに仮想マシンを用意する必要がないため、ハードウェアリソースを有効に利用することができる。また、ローカル環境から分離されたコンテナ環境下でプログラムを実行することにより、ローカル環境のシステムの破損やウィルス感染を防止することができ、ローカル環境のセキュリティを向上させることができる。

アクセス制御ドライバ４０は、コンピュータ１０のネットワークアクセスをプロセス単位で制御するドライバソフトウェアである。アクセス制御ドライバ４０は、各種プログラムの実行により起動されるプロセスを検知するプロセス検知機能と、起動されたプロセスをグループ化してグループ管理テーブルに登録するグループ判定機能と、グループ別に設定されたアクセス制御情報に従って各プロセスのアクセス制御を行うフィルタ機能を有している。

例えば、6個のプロセスPID1～PID6は、所定のグルーピングポリシーに従って、グループＧ１＝（PID1,PID2,PID3）、グループＧ２＝（PID4,PID5,PID6）のようにグループ分けされる。その後、プロセスPID1,PID2,PID3についてはグループＧ１に設定されたアクセス制御情報に従って、またプロセスPID4,PID5,PID6についてはグループＧ２に設定されたアクセス制御情報に従って、それぞれアクセス制御を行う。

プロセスのグルーピングルールは様々である。例えば、特定フォルダ内のプログラムによって起動されるプロセスをグループＧ１とし、それ以外のプロセスをグループＧ２とすることができる。またプロセスを起動したユーザごとにグループを分けてもよい。また環境変数などの外部のパラメータによりグループ分けしてもよく、コンピュータ１０内に構築されるコンテナ環境ごとにグループ分けてしてもよい。

このようなプロセスのグループ化は、予め用意されたグループポリシーリストに従って行われる。グループポリシーリストは、不図示の管理サーバからコンピュータネットワーク２０経由で提供されてもよく、あるいはコンピュータ１０内に保存されているものを初期設定ファイルとして読み込んでもよい。グループポリシーリストは任意のタイミングで更新（追加・変更・削除）でき、更新結果はアクセス制御に即時に反映される。したがって、アクセス制御条件をリアルタイムに変更することができる。

アクセス制御ドライバ４０はアクセス制御情報リスト（ＡＣＬ）を有しており、アクセス制御情報リストにはアクセス制御情報がグループ別に設定されている。アクセス制御情報リストは、グループ値とアクセス制御情報とを紐づけたデータテーブルであり、ドライバソフトウェアのメモリ上で動的に管理される。アクセス制御情報は、一般的なネットワークゲートウェイが持つアクセス制御情報と同様であり、許可、禁止、IPアドレス、ポート番号などを含む。

次に、プロセスが起動されてからアクセス制御の実行に至るまでの手順について詳細に説明する。

図２は、アクセス制御システム１の動作を説明するための模式図である。

図２に示すように、コンピュータ１０の起動時にはアクセス制御ドライバ４０が常駐起動され、アクセス制御ドライバ４０にはグループポリシーリスト４１（グルーピングルール）と各グループのアクセス制御情報リスト４２（ＡＣＬ）がそれぞれ設定され（ステップＳ１ａ，Ｓ１ｂ）、さらにOS標準のネットワークアクセス制御機能１２ｂにアクセス制御情報４４が設定される（ステップＳ１ｃ）。

ポリシーエンフォーサ５０は、グループポリシーリスト４１及びアクセス制御情報リスト４２を管理するためのソフトウェアツールである。グループポリシーリスト４１及びアクセス制御情報リスト４２は、ポリシーエンフォーサ５０上で生成及び編集が可能であり、ポリシーエンフォーサ５０からアクセス制御ドライバ４０に提供される。

コンピュータ１０上でプログラムが実行されて新しいプロセスPID1が任意のタイミングで起動されると（ステップＳ２）、アクセス制御ドライバ４０がプロセスPID1をプロセスＩＤ：pid=1000として検知し（ステップＳ３）、さらに予め用意されたグループ判定条件に従ってプロセスPID1の属性に応じたグループを決定する。プロセスＩＤは、アクセス制御ドライバ４０が独自に管理するＩＤであってもよく、ＯＳ１２がプロセスを管理するために付与する値を用いてもよい。

プロセスのグループ判定では、例えば、プロセスPID1を実行するプログラムのプログラム名が"Prog1"ならば当該プロセスPID1をグループＧ１に登録するなど、プログラムごとにグループを決定する。また、プロセスPID1を起動したユーザのユーザ名（ユーザＩＤ）が"User1"ならば当該プロセスPID1をグループＧ２に登録するなど、ユーザごとにグループを決定してもよい。こうして決定されたプロセスPID1のプロセスＩＤ：pid=1000は、グループＩＤと関連付けてグループ管理テーブル４３に登録される（ステップＳ４）。

その後、アクセス制御ドライバ４０は、グループ管理テーブル４３及び各グループのアクセス制御情報に基づいて各プロセスのアクセス制御をリアルタイムに実行する。アクセス制御ドライバ４０は、ＯＳ１２のネットワークドライバ１２ａの前段で機能し、各プロセスが属するグループに関連付けられたアクセス制御情報に基づいてネットワークアクセスを許可又は禁止する。

プロセスPID1：pid=1000が任意のタイミングでネットワーク通信パケットを生成すると、OS標準のネットワークアクセス制御機能１２ｂを介してアクセス制御ドライバ４０のフィルタ制御が行われ、パケット送信の許可／禁止が判断される。許可されたパケットはネットワークドライバ１２ａを通じてコンピュータネットワーク２０に出力される。プロセスPID1の終了時にはプロセスＩＤ：pid=1000がグループ管理テーブル４３から削除され、アクセス制御の対象ではなくなる。

図３は、アクセス制御ドライバ４０の判定制御を示すフローチャートである。

図３に示すように、アクセス制御では、グループポリシーリストに定義されたグループ判定条件に基づいてプロセスがグループ分けされる（ステップＳ２１）。その後、プロセスからアクセス制御要求があったときにネットワーク制御情報リストが参照されて、アクセス許可／拒否のチェックが行われる（ステップＳ２２）。その結果、アクセス許可の場合にはパケット送信が行われ（ステップＳ２３）、アクセス禁止の場合にはパケット送信が遮断される（ステップＳ２４）。アクセス制御の実行条件は、時間（時間帯）、事前に実行された別のプログラムの実行結果、データベースやファイルに格納された任意の条件などである。ネットワーク条件は、ソースＩＰアドレス及びソースポート番号、ターゲットＩＰアドレス及びターゲットポート番号などである。

図４は、アクセス制御方法の第１の応用例を示すブロック図である。

図４に示すように、コンピュータ１０は例えば３つのプロセスを同時に実行している。各プロセスはグループポリシーに従ってグループ分けされ、例えばプロセスＡ１はグループＧ１に割り当てられ、プロセスＡ２、Ａ３はグループＧ２に割り当てられる。上記のように、グループポリシーは、プログラムの属性データ、プロセスを実行するユーザの属性データ、環境変数等に基づいて定めることができる。

アクセス制御情報リストにおいて、例えば、グループＧ１によるサーバ３０へのアクセスが許可され、且つ、グループＧ２によるサーバ３０へのアクセスは禁止されている場合、プロセスＡ１はサーバ３０のプロセスＢ１にアクセスすることができる。一方、プロセスＡ２、Ａ３はグループＧ２に属しているので、サーバ３０のプロセスＢ１にアクセスすることができない。このように、本実施形態によれば、複数のプロセスＡ１，Ａ２，Ａ３をグループ毎にアクセス制御することができる。

図５は、アクセス制御方法の第２の応用例を示すブロック図である。

図５に示すように、コンピュータ１０は例えば４つのプロセスを同時に実行しており、このうちプロセスＡ１、Ａ２はホスト内に構築されたコンテナ環境ＣＯＮ下で実行されており、プロセスＢ１、Ｂ２はローカル環境ＬＯＣ下で実行されている。各プロセスはグループポリシーに従ってグループ分けされ、例えば、コンテナ環境ＣＯＮ下のプロセスＡ１、Ａ２はグループＧ１に割り当てられ、ローカル環境ＬＯＣ下のプロセスＢ１、Ｂ２はグループＧ２に割り当てられる。

アクセス制御情報リストにおいて、例えば、グループＧ１による特定のネットワークやサーバへのアクセスは許可され、且つ、グループＧ２による特定のネットワークやサーバへのアクセスは禁止されている場合、プロセスＡ１、Ａ２は特定のネットワークやサーバにアクセスすることができる。一方、プロセスＢ１，Ｂ２は特定のネットワークやサーバにアクセスすることができない。このように、本実施形態によれば、コンテナ内外のプロセスを区別してアクセス制御することができる。

図６は、アクセス制御方法の第３の応用例を示すブロック図である。

図６に示すように、コンピュータ１０は例えば２つのプロセスＡ、Bを同時に実行しており、プロセスＡ、Bはともに同じコンテナ環境ＣＯＮ下で実行されている。各プロセスはグループポリシーに従ってグループ分けされ、例えば、プロセスＡはプログラムProg1の実行プロセスであるためグループＧ１に割り当てられ、プロセスBはプログラムProg2の実行プロセスであるためグループＧ２に割り当てられる。グループ分けの条件はプログラム属性に限定されず、様々な条件を採用できる。

アクセス制御情報リストにおいて、例えば、グループＧ１によるネットワークアクセスは許可され、且つ、グループＧ２によるネットワークアクセスは禁止されている場合、プロセスＡは任意のネットワークにアクセスすることができるが、プロセスＢはネットワークにアクセスすることができない。このように、本実施形態によれば、単一コンテナ内の複数のプロセスを個別にアクセス制御することができる。

図７は、アクセス制御方法の第４の応用例を示すブロック図である。

図７に示すように、コンピュータ１０は同一プログラムの３つのプロセスＡ１、Ａ２、Ａ３を同時に実行しており、このうち、プロセスＡ１は第１のコンテナ環境ＣＯＮ１下で実行されており、プロセスＡ２は第１のコンテナ環境ＣＯＮ１とは別の第２のコンテナ環境ＣＯＮ２下で実行されており、プロセスＡ３は第３のコンテナ環境ＣＯＮ３下で実行されている。

各グループはグループポリシーに従ってグループ分けされ、例えば、第１のコンテナ環境ＣＯＮ１下のプロセスＡはグループＧ１に割り当てられ、第２のコンテナ環境ＣＯＮ２下のプロセスＢはグループＧ２に割り当てられ、第３のコンテナ環境ＣＯＮ３下のプロセスCはグループＧ３に割り当てられる。

アクセス制御情報リストによれば、例えば、グループＧ１、Ｇ２、Ｇ３にはサーバＢ１、Ｂ２、Ｂ３へのアクセスがそれぞれ許可されているので、プロセスＡ１、Ａ２、Ａ３は、サーバＢ１、Ｂ２、Ｂ３にそれぞれアクセスすることができる。このように、本実施形態によるアクセス制御システム１は、複数のコンテナを個別にアクセス制御することができ、複数のコンテナ環境に共通のＮＩＣを使用することができる。

以上説明したように、本実施形態によるアクセス制御システム１は、プロセスをアクセス制御の対象とし、所定のアクセス制御条件に従ってプロセスごとにアクセス制御を行うので、既存のプログラムに手を加えることなく、またＮＩＣを個別に用意することなくアクセス制御が可能となる。また、制御ソフトウェアをドライバソフトとして実装することで高速・軽量なアクセス制御を実行できる。さらに、アクセス制御条件をいつでも即時に反映させることができる。

本発明は、以上の実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲で種々の変更を加えることが可能である。

１ アクセス制御システム
１０ コンピュータ
１１ ハードウェア
１２ ＯＳ（オペレーションシステム）
１２ａ ネットワークドライバ
１２ｂ ネットワークアクセス制御機能
１３ 種デバイスドライバ
１４ ミドルウェア
１５ アプリケーションソフト
１６ 仮想化ソフト
２０ コンピュータネットワーク
３０ サーバ
４０ アクセス制御ドライバ
４１ グループポリシーリスト
４２ アクセス制御情報リスト
４２（ＡＣＬ アクセス制御情報リスト
４３ グループ管理テーブル
４４ アクセス制御情報
５０ ポリシーエンフォーサ
Ａ、Ａ１、Ａ２、Ａ３ プロセス
Ｂ、Ｂ１、Ｂ２ プロセス
Ｃ プロセス
ＣＯＮ、ＣＯＮ１、ＣＯＮ２、ＣＯＮ３ コンテナ環境
ＬＯＣ ローカル環境
PID1～PID6 プロセス
Prog1、Prog2 プログラム
Ｇ１、Ｇ２、Ｇ３ グループ

Claims (6)

1. コンピュータネットワークに接続されたコンピュータを備え、
   前記コンピュータは、プログラムの実行によりプロセスが起動されたとき、予め用意されたグループポリシーリストに基づいて前記プロセスをグループ分けしてグループ管理テーブルに登録し、グループに関連付けされたアクセス制御情報に従って前記プロセスのアクセス制御を行うアクセス制御ドライバを備えることを特徴とするアクセス制御システム。
2. 前記アクセス制御ドライバは、前記プログラムの属性データ、前記プロセスを実行するユーザの属性データ又は環境変数に基づいて前記プロセスをグループ分けする、請求項１に記載のアクセス制御システム。
3. 前記アクセス制御ドライバは、前記グループと前記アクセス制御情報との関係を記録した動的に更新可能なアクセス制御情報リストに基づき前記グループ毎にアクセス制御する、請求項１又は２に記載のアクセス制御システム。
4. 前記アクセス制御ドライバは、
   第１及び第２のプロセスが起動されたとき、前記グループポリシーリストに従って前記第１のプロセスのプロセスＩＤを第１のグループに設定すると共に、前記第２のプロセスのプロセスＩＤを第２のグループに設定し、
   前記第１のグループに関連付けられた第１のアクセス制御情報に基づいて前記第１のプロセスに対するアクセス制御を行い、
   前記第２のグループに関連付けられた第２のアクセス制御情報に基づいて前記第２のプロセスに対するアクセス制御を行う、請求項３に記載のアクセス制御システム。
5. 前記コンピュータは、コンテナ型仮想化ソフトを含み、
   前記アクセス制御ドライバは、コンテナ環境下のプロセスをローカル環境下のプロセスと異なるグループに設定する、請求項１乃至４のいずれか一項に記載のアクセス制御システム。
6. 前記コンピュータは、コンテナ型仮想化ソフトを含み、
   前記アクセス制御ドライバは、コンテナ環境ごとに前記プロセスをグループ化する、請求項１乃至５のいずれか一項に記載のアクセス制御システム。

Images