JP2023085210A - 情報処理装置及び判定方法 - Google Patents

Abstract

【課題】アクセス要求の正当性を精度良く判定することができる情報処理装置を提供する。【解決手段】情報処理装置２は、ゲストＯＳ８と、ゲストＯＳ８からのアクセス要求に応じて、外部記憶デバイス１２に記憶されたセクタ群にアクセスするホストＯＳ１０と、ハードウェア４上で実行され、ゲストＯＳ８及びホストＯＳ１０の実行を制御する仮想化制御システム６とを備える。ホストＯＳ１０は、ゲストＯＳ８からのアクセス要求を取得するバックエンド－デバイスドライバ２０と、外部記憶デバイス１２に記憶されたセクタ群にアクセスするためのルールを示すセクタ群アクセスルールデータベース３４に基づいて、アクセス要求が不正であるか否かを判定するセクタ群アクセス判定部２６とを有する。【選択図】図１

Description

本開示は、情報処理装置及び判定方法に関する。

サービス用オペレーティングシステム（以下、「サービス用ＯＳ」という）と、セキュリティ用オペレーティングシステム（以下、「セキュリティ用ＯＳ」という）と、サービス用ＯＳ及びセキュリティ用ＯＳの実行を制御する制御プログラムとを備えた情報処理装置が知られている（例えば、特許文献１参照）。

サービス用ＯＳは、サーバプログラムからの磁気ディスクに対するアクセス要求をフック（取得）し、フックしたアクセス要求の正当性の判定をセキュリティ用ＯＳに要求する。セキュリティ用ＯＳにより、サーバプログラムからのアクセス要求が不正であると判定された場合には、サービス用ＯＳは、セキュリティ用ＯＳからの判定結果に基づいて、エラーコードを生成する。

一方、セキュリティ用ＯＳにより、サーバプログラムからのアクセス要求が不正ではないと判定された場合には、サービス用ＯＳは、セキュリティ用ＯＳからの判定結果に基づいて、サーバプログラムからのアクセス要求に基づいて磁気ディスクへのアクセスを実行する。

特許第４１７７９５７号公報

上述した従来の情報処理装置では、サービス用ＯＳ自体が不正なプログラムにより攻撃された場合、サーバプログラムからのアクセス要求をフックする機能等が無効化されてしまうおそれがある。その結果、セキュリティ用ＯＳにおいて、サーバプログラムからのアクセス要求の正当性を精度良く判定することができないという課題が生じる。

そこで、本開示は、アクセス要求の正当性を精度良く判定することができる情報処理装置及び判定方法を提供する。

本開示の一態様に係る情報処理装置は、車両における不正アクセスを判定するための情報処理装置であって、第１のオペレーティングシステムと、前記第１のオペレーティングシステムからのアクセス要求に応じて、記憶装置に記憶されたセクタ群にアクセスする第２のオペレーティングシステムと、プロセッサ上で実行され、前記第１のオペレーティングシステム及び前記第２のオペレーティングシステムの実行を制御する仮想化制御システムと、を備え、前記第２のオペレーティングシステムは、前記第１のオペレーティングシステムからの前記アクセス要求を取得する取得部と、前記記憶装置に記憶された前記セクタ群にアクセスするためのルールを示すルール情報に基づいて、前記アクセス要求が不正であるか否かを判定する判定部と、を有する。

本明細書において、セクタ群とは、ファイル自体やファイルの情報を記載している情報（例えば、Ｌｉｎｕｘ（登録商標）のｉ－ｎｏｄｅ情報等）、ファイルシステムの情報を意味する。また、セクタ群名とは、ファイル自体を表すファイル名、あるいは、ファイルの情報が記載されている情報の特定名称（例えば、ディレクトリ名での指定等）を意味する。ファイルの情報とは、ファイル名やファイルのサイズ、アクセスのパーミッション、変更履歴、アクセス制御システムに要する情報等を含むメタ情報を意味する。

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ－Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

本開示の一態様に係る情報処理装置等によれば、アクセス要求の正当性を精度良く判定することができる。

実施の形態に係る情報処理装置の構成を示すブロック図である。 実施の形態に係るデバイスアクセスログの一例を示す図である。 実施の形態に係るセクタ群データベースの一例を示す図である。 実施の形態に係るセクタ群アクセスログの一例を示す図である。 実施の形態に係るセクタ群アクセス情報の一例を示す図である。 実施の形態に係るセクタ群アクセスルールデータベースの一例を示す図である。 実施の形態に係るホストＯＳの全体動作の流れを示すフローチャートである。 実施の形態に係るアクセスログ解析部の動作の流れを示すフローチャートである。 実施の形態に係るセクタ群アクセス判定部の動作の流れを示すフローチャートである。 図９のフローチャートのステップＳ３０５の処理を具体的に示すフローチャートである。 図９のフローチャートのステップＳ３０５の処理を具体的に示すフローチャートである。 第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第１の例を示すフローチャートである。 第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第２の例を示すフローチャートである。 第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第３の例を示すフローチャートである。 第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第４の例を示すフローチャートである。 第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第５の例を示すフローチャートである。 第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第６の例を示すフローチャートである。 第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第７の例を示すフローチャートである。 第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第８の例を示すフローチャートである。

本開示の第１の態様に係る情報処理装置は、車両における不正アクセスを判定するための情報処理装置であって、第１のオペレーティングシステムと、前記第１のオペレーティングシステムからのアクセス要求に応じて、記憶装置に記憶されたセクタ群にアクセスする第２のオペレーティングシステムと、プロセッサ上で実行され、前記第１のオペレーティングシステム及び前記第２のオペレーティングシステムの実行を制御する仮想化制御システムと、を備え、前記第２のオペレーティングシステムは、前記第１のオペレーティングシステムからの前記アクセス要求を取得する取得部と、前記記憶装置に記憶された前記セクタ群にアクセスするためのルールを示すルール情報に基づいて、前記アクセス要求が不正であるか否かを判定する判定部と、を有する。

ここで、仮想化制御システムとは、ハイパーバイザを通して仮想化システム上で動作するオペレーティングシステムのＩ／Ｏ情報を受け取り、実際のデバイスとの間でＩ／Ｏ情報をやりとりするシステムを示す。

本態様によれば、第２のオペレーティングシステムにおいて第１のオペレーティングシステムからのアクセス要求をフック（取得）し、フックした当該アクセス要求を解析することにより、当該アクセス要求の正当性を判定する。これにより、仮に第１のオペレーティングシステムのセキュリティ機能が不正なコンピュータプログラムにより無効化又は改ざん等された場合であっても、第２のオペレーティングシステムにおいてフックしたアクセス要求を、第１のオペレーティングシステムの異常を監視するための情報として用いることができるので、第１のオペレーティングシステムからのアクセス要求の正当性を精度良く判定することができる。

また、本開示の第２の態様に係る情報処理装置では、第１の態様において、前記第２のオペレーティングシステムは、さらに、セクタ番号と当該セクタ番号に対応する前記記憶装置の記憶領域に記憶された前記セクタ群のセクタ群名との対応関係を示す対応情報を参照することにより、前記アクセス要求から、当該アクセス要求に含まれる前記セクタ番号と前記セクタ群名とを紐付けたアクセスログ情報を生成する解析部を有し、前記判定部は、前記ルール情報及び前記アクセスログ情報に基づいて、前記アクセス要求が不正であるか否かを判定するように構成してもよい。

本態様によれば、アクセス要求にセクタ群名が含まれていない場合であっても、対応情報を参照することにより、アクセス要求から、セクタ群名を含むアクセスログ情報を生成することができる。これにより、ルール情報及びアクセスログ情報に基づいて、アクセス要求が不正であるか否かを容易に判定することができる。

また、本開示の第３の態様に係る情報処理装置では、第１の態様又は第２の態様において、前記第２のオペレーティングシステムは、さらに、前記判定部により前記アクセス要求が不正であると判定された場合に、外部に通知する対応部を有するように構成してもよい。

本態様によれば、例えば不正なコンピュータプログラムが第１のオペレーティングシステム上で実行された場合に、第１のオペレーティングシステムに対して適切な対応を行うことができる。

また、本開示の第４の態様に係る情報処理装置では、第３の態様において、前記対応部は、さらに、前記判定部により前記アクセス要求が不正であると判定された場合に、外部に通知し、且つ、前記記憶装置に記憶されたセクタ群へのアクセスを停止するように構成してもよい。

本態様によれば、例えば不正なコンピュータプログラムが第１のオペレーティングシステム上で実行された場合に、記憶装置に記憶されたセクタ群を適切に保護することができる。

また、本開示の第５の態様に係る情報処理装置では、第１の態様～第４の態様のいずれか一態様において、前記ルール情報は、前記ルールとして、前記記憶装置に記憶された前記セクタ群に対してアクセスが許可されるプロセス及び操作の少なくとも一方を含むように構成してもよい。

本態様によれば、ルール情報に基づいて、アクセス要求によるプロセス及び／又は操作が、許可されたプロセス及び／又は操作であるか否かを判定することにより、第１のオペレーティングシステムからのアクセス要求の正当性を容易に判定することができる。

また、本開示の第６の態様に係る情報処理装置では、第１の態様において、前記判定部は、前記セクタ群に対して付与されたｒｅａｄ・ｗｒｉｔｅ権限に関する前記ルール情報に基づいて、前記アクセス要求が不正であるか否かを判定するように構成してもよい。

本態様によれば、判定部は、セクタ群に対して付与されたｒｅａｄ・ｗｒｉｔｅ権限を考慮して、アクセス要求が不正であるか否かを判定することができる。

また、本開示の第７の態様に係る情報処理装置では、第１の態様において、前記第２のオペレーティングシステムは、外部のデバイスにアクセス可能であり、前記判定部は、前記ルール情報及び前記外部のデバイスの状態に基づいて、前記アクセス要求が不正であるか否かを判定するように構成してもよい。

本態様によれば、判定部は、外部のデバイスの状態を考慮して、アクセス要求が不正であるか否かを判定することができる。

また、本開示の第８の態様に係る情報処理装置では、第１の態様において、前記判定部は、前記ルール情報及び前記情報処理装置の状態に基づいて、前記アクセス要求が不正であるか否かを判定するように構成してもよい。

本態様によれば、判定部は、情報処理装置の状態を考慮して、アクセス要求が不正であるか否かを判定することができる。

また、本開示の第９の態様に係る情報処理装置では、第１の態様において、前記判定部は、前記ルール情報及び前記セクタ群の状態に基づいて、前記アクセス要求が不正であるか否かを判定するように構成してもよい。

本態様によれば、判定部は、セクタ群の状態を考慮して、アクセス要求が不正であるか否かを判定することができる。

また、本開示の第１０の態様に係る情報処理装置では、第１の態様において、前記判定部は、前記ルール情報、及び、書き込み許可された前記セクタ群に対するアクセス内容に基づいて、前記アクセス要求が不正であるか否かを判定するように構成してもよい。

本態様によれば、判定部は、書き込み許可されたセクタ群に対するアクセス内容を考慮して、アクセス要求が不正であるか否かを判定することができる。

本開示の第１１の態様に係る判定方法は、第１のオペレーティングシステムと、前記第１のオペレーティングシステムからのアクセス要求に応じて、記憶装置に記憶されたセクタ群にアクセスする第２のオペレーティングシステムと、プロセッサ上で実行され、前記第１のオペレーティングシステム及び前記第２のオペレーティングシステムの実行を制御する仮想化制御システムと、を備えた情報処理装置を用いて車両における不正アクセスを判定する判定方法であって、前記第２のオペレーティングシステムが前記第１のオペレーティングシステムからの前記アクセス要求を取得し、前記記憶装置に記憶された前記セクタ群にアクセスするためのルールを示すルール情報に基づいて、取得した前記アクセス要求が不正であるか否かを判定し、前記アクセス要求が不正であると判定した場合に、その結果を外部に出力する。

本態様によれば、第２のオペレーティングシステムにおいて第１のオペレーティングシステムからのアクセス要求をフックし、フックした当該アクセス要求を解析することにより、当該アクセス要求の正当性を判定する。これにより、仮に第１のオペレーティングシステムのセキュリティ機能が不正なコンピュータプログラムにより無効化又は改ざん等された場合であっても、第２のオペレーティングシステムにおいてフックしたアクセス要求を、第１のオペレーティングシステムの異常を監視するための情報として用いることができるので、第１のオペレーティングシステムからのアクセス要求の正当性を精度良く判定することができる。

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。

以下、実施の形態について、図面を参照しながら具体的に説明する。

なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

（実施の形態）
［１．情報処理装置の構成］
まず、図１～図６を参照しながら、実施の形態に係る情報処理装置２の構成について説明する。図１は、実施の形態に係る情報処理装置２の構成を示すブロック図である。図２は、実施の形態に係るデバイスアクセスログ３６の一例を示す図である。図３は、実施の形態に係るセクタ群データベース３０の一例を示す図である。図４は、実施の形態に係るセクタ群アクセスログ３８の一例を示す図である。図５は、実施の形態に係るセクタ群アクセス情報３２の一例を示す図である。図６は、実施の形態に係るセクタ群アクセスルールデータベース３４の一例を示す図である。

図１に示すように、実施の形態に係る情報処理装置２は、ハードウェア４と、仮想化制御システム６と、複数のゲストオペレーティングシステム８（以下、「ゲストＯＳ８」という）と、仮想化制御システム６上で動作するホストオペレーティングシステム１０（以下、「ホストＯＳ１０」という）とを備えている。情報処理装置２は、例えば自動車等の車両における不正アクセスを判定するための装置である。

情報処理装置２には、外部記憶デバイス１２が電気的に接続されている。外部記憶デバイス１２は、記憶装置の一例であり、例えばハードディスクドライブ（ＨＤＤ）等で構成される。外部記憶デバイス１２は、セクタ群（データ）を記憶するための複数の記憶領域を有している。これらの複数の記憶領域にはそれぞれ、複数のセクタ番号が割り当てられている。セクタ番号は、後述するようにホストＯＳ１０がゲストＯＳ８からのアクセス要求に応じて外部記憶デバイス１２に記憶されたセクタ群にアクセスする際に、当該セクタ群が記憶された外部記憶デバイス１２の記憶領域を指定するためのものであり、例えば４桁の数字で構成される。

本明細書において、セクタ群とは、ファイル自体やファイルの情報を記載している情報（例えば、Ｌｉｎｕｘ（登録商標）のｉ－ｎｏｄｅ情報等）、ファイルシステムの情報を意味する。また、セクタ群名とは、ファイル自体を表すファイル名、あるいは、ファイルの情報が記載されている情報の特定名称（例えば、ディレクトリ名での指定等）を意味する。ファイルの情報とは、ファイル名やファイルのサイズ、アクセスのパーミッション、変更履歴、アクセス制御システムに要する情報等を含むメタ情報を意味する。

また、情報処理装置２には、ネットワークデバイス１１及び画面描画デバイス１３が電気的に接続されている。ネットワークデバイス１１及び画面描画デバイス１３の各々は、外部のデバイスの一例である。

ハードウェア４は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）又はＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）等を有するプロセッサを含み、複数のコンピュータプログラムの実行環境を提供する。なお、ハードウェア４は、１つのプロセッサで構成されてもよいし、複数のプロセッサで構成されてもよい。

仮想化制御システム６は、ハードウェア４（プロセッサ）上で実行され、複数のゲストＯＳ８及びホストＯＳ１０の実行を制御する仮想化ソフトウェアである。この仮想化制御システム６により、１つのハードウェア４上に異なる複数のＯＳ（複数のゲストＯＳ８及びホストＯＳ１０）を仮想化して搭載することができる。なお、本実施の形態では、仮想化制御システム６は、いわゆるＴｙｐｅ１型（ベアメタル型）と呼ばれるハイパーバイザである。

複数のゲストＯＳ８の各々は、仮想化制御システム６上で動作する例えばＬｉｎｕｘ（登録商標）等の仮想マシン（ＶＭ）であり、第１のオペレーティングシステムの一例である。複数のゲストＯＳ８の各々は、複数のプロセス１４と、アクセス制御機能１６と、フロントエンド－デバイスドライバ１８とを有している。図１では、説明の都合上、１つのゲストＯＳ８のみを図示してある。なお、本実施の形態では、複数のゲストＯＳ８が仮想化制御システム６上で動作するように構成したが、これに限定されず、１つのゲストＯＳ８のみが仮想化制御システム６上で動作するように構成してもよい。

複数のプロセス１４の各々は、ゲストＯＳ８の各種機能を実行するためのコンピュータプログラムである。複数のプロセス１４の各々は、ゲストＯＳ８の各種機能を実行するために、外部記憶デバイス１２に記憶されたセクタ群へのアクセス（例えば、セクタ群への書き込み、又は、セクタ群の読み出し）を要求するためのアクセス要求を生成する。図１では、説明の都合上、１つのプロセス１４のみを図示してある。

アクセス制御機能１６は、複数のプロセス１４の各々により生成されたアクセス要求を監視するためのセキュリティ機能である。例えば、マルウェア等の不正なコンピュータプログラムがゲストＯＳ８上で実行され、外部記憶デバイス１２に記憶されたセクタ群に不正にアクセスしようとした場合に、アクセス制御機能１６は、不正なコンピュータプログラムにより生成されたアクセス要求を破棄する。

フロントエンド－デバイスドライバ１８は、ゲストＯＳ８に構成された仮想的なネットワークインターフェースを駆動するための仮想デバイスドライバ（ＶｉｒｔＩＯ）である。フロントエンド－デバイスドライバ１８は、複数のプロセス１４の各々により生成されたアクセス要求を、仮想化制御システム６を介してホストＯＳ１０のバックエンド－デバイスドライバ２０（後述する）に送信する。また、フロントエンド－デバイスドライバ１８は、ホストＯＳ１０のバックエンド－デバイスドライバ２０からのアクセス応答（後述する）を、仮想化制御システム６を介して受信する。

ホストＯＳ１０は、仮想化制御システム６上で動作する例えばＬｉｎｕｘ（登録商標）等の仮想マシンであり、第２のオペレーティングシステムの一例である。ここで、仮想化制御システムとは、ハイパーバイザを通して仮想化システム上で動作するゲストＯＳ８のＩ／Ｏ情報を受け取り、実際の外部記憶デバイス１２との間でＩ／Ｏ情報をやりとりするシステムを示す。ホストＯＳ１０は、バックエンド－デバイスドライバ２０と、記憶部２２と、アクセスログ解析部２４と、セクタ群アクセス判定部２６と、制御対応部２８とを有している。

バックエンド－デバイスドライバ２０は、ホストＯＳ１０に構成された仮想的なネットワークインターフェースを駆動するための仮想デバイスドライバ（ＶｉｒｔＩＯ）であり、取得部の一例である。バックエンド－デバイスドライバ２０は、ゲストＯＳ８のフロントエンド－デバイスドライバ１８からのアクセス要求を、仮想化制御システム６を介して取得（受信）し、取得したアクセス要求をアクセスログ解析部２４に出力する。

また、後述するようにセクタ群アクセス判定部２６によりアクセス要求が不正ではないと判定された場合には、バックエンド－デバイスドライバ２０は、当該アクセス要求に応じて、外部記憶デバイス１２に記憶されたセクタ群にアクセスする。この場合、バックエンド－デバイスドライバ２０は、外部記憶デバイス１２に記憶されたセクタ群にアクセスした結果を示すアクセス応答を、仮想化制御システム６を介してゲストＯＳ８のフロントエンド－デバイスドライバ１８に送信する。さらに、バックエンド－デバイスドライバ２０は、ネットワークデバイス１１及び画面描画デバイス１３の各々にもアクセス可能である。

記憶部２２は、セクタ群データベース３０、セクタ群アクセス情報３２及びセクタ群アクセスルールデータベース３４を記憶するメモリである。これらのセクタ群データベース３０、セクタ群アクセス情報３２及びセクタ群アクセスルールデータベース３４については、後述する。

アクセスログ解析部２４は、解析部の一例であり、バックエンド－デバイスドライバ２０により取得されたアクセス要求のログとして、デバイスアクセスログ３６を取得する。ここで、デバイスアクセスログ３６は、例えば図２に示すようなテーブル形式のデータベースである。図２に示すように、デバイスアクセスログ３６では、タイムスタンプと、操作対象ＶＭと、操作種別と、セクタ番号と、ペイロードとが対応付けられている。タイムスタンプは、ゲストＯＳ８のフロントエンド－デバイスドライバ１８がアクセス要求を送信した日時を示す情報である。操作対象ＶＭは、アクセス要求の送信元であるゲストＯＳ８を示す情報であり、例えば複数のゲストＯＳ８にそれぞれ割り当てられた、「１」、「２」、・・・、「ｎ」の連続番号である。操作種別は、アクセス要求によるセクタ群の操作の種別を示す情報であり、例えば「ｒｅａｄ」（セクタ群の読み出し）又は「ｗｒｉｔｅ」（セクタ群への書き込み）である。セクタ番号は、外部記憶デバイス１２におけるセクタ群の記憶領域を指定するための情報である。ペイロードは、操作要求の内容（例えば、どのような内容を書き込むか等の情報）を示す情報である。

図２に示す例では、デバイスアクセスログ３６の１行目には、ａ）タイムスタンプ「２０２１年９月３日１８：３９：０１．０３２」、ｂ）操作対象ＶＭ「１」、ｃ）操作種別「ｒｅａｄ」、ｄ）セクタ番号「１１１１」、ｅ）ペイロード「ｅ３８１８２（以下略）」がそれぞれ格納されている。すなわち、デバイスアクセスログ３６の１行目は、「２０２１年９月３日１８：３９：０１．０３２」の日時に、番号「１」が割り当てられたゲストＯＳ８が、セクタ番号「１１１１」に対応する外部記憶デバイス１２の記憶領域に記憶されたセクタ群の読み出し（ｒｅａｄ）を要求するためのアクセス要求を送信したことを意味している。

また、アクセスログ解析部２４は、記憶部２２に記憶されたセクタ群データベース３０に基づいて、デバイスアクセスログ３６からセクタ群アクセスログ３８を生成する。ここで、セクタ群データベース３０は、例えば図３に示すようなテーブル形式のデータベースであり、対応情報の一例である。図３に示すように、セクタ群データベース３０は、セクタ番号と、当該セクタ番号に対応する外部記憶デバイス１２の記憶領域に記憶されたセクタ群のセクタ群名との対応関係を示すデータベースである。このセクタ群データベース３０は、例えば情報処理装置２の初回起動時に生成される。

図３に示す例では、セクタ群データベース３０の１行目には、ａ）セクタ番号「１１１１」、ｂ）セクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」が格納されている。すなわち、セクタ群データベース３０の１行名は、セクタ番号「１１１１」に対応する外部記憶デバイス１２の記憶領域には、セクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」のセクタ群が記憶されていることを意味している。なお、アクセス要求のログが増大することにより、セクタ番号が追加された場合には、セクタ群データベース３０が更新される。

アクセスログ解析部２４は、まず、デバイスアクセスログ３６から監視対象のゲストＯＳ８（例えば、番号「１」が割り当てられたゲストＯＳ８）に関するログのみを抽出する。次に、アクセスログ解析部２４は、記憶部２２に記憶されたセクタ群データベース３０を参照し、抽出したデバイスアクセスログ３６のログに含まれるセクタ番号と、当該セクタ番号に対応するセクタ群名とを紐付けることにより、セクタ群アクセスログ３８を生成する。アクセスログ解析部２４は、生成したセクタ群アクセスログ３８をセクタ群アクセス判定部２６に出力する。

ここで、セクタ群アクセスログ３８は、例えば図４に示すようなテーブル形式のデータベースであり、アクセスログ情報の一例である。図４に示すように、セクタ群アクセスログ３８では、タイムスタンプと、操作種別と、セクタ番号と、セクタ群名と、ペイロードとが対応付けられている。

図４に示す例では、セクタ群アクセスログ３８の１行目には、ａ）タイムスタンプ「２０２１年９月３日１８：３９：０１．０３２」、ｂ）操作種別「ｒｅａｄ」、ｃ）セクタ番号「１１１１」、ｄ）セクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」、ｅ）ペイロード「ｅ３８１８２（以下省略）」がそれぞれ格納されている。すなわち、セクタ群アクセスログ３８の１行目は、「２０２１年９月３日１８：３９：０１．０３２」の日時に、番号「１」が割り当てられたゲストＯＳ８が、セクタ番号「１１１１」に対応する外部記憶デバイス１２の記憶領域に記憶された、セクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」のセクタ群の読み出し（ｒｅａｄ）を要求するためのアクセス要求を送信したことを意味している。

また、アクセスログ解析部２４は、生成したセクタ群アクセスログ３８に基づいて、記憶部２２に記憶されたセクタ群アクセス情報３２を更新する。ここで、セクタ群アクセス情報３２は、例えば図５に示すようなテーブル形式のデータベースである。図５に示すように、セクタ群アクセス情報３２では、セクタ群名と、最終アクセス日時と、最後にアクセスしたプロセスと、最後の操作と、最終のセクタ番号とが対応付けられている。

図５に示す例では、セクタ群アクセス情報３２の１行目には、ａ）セクタ群名「／ｖａｒ／ｌｏｇ／ｓｙｓｔｅｍ．ｌｏｇ」、ｂ）最終アクセス日時「２０２１年９月１７日０４：４３：２１．２１３」、ｃ）最後にアクセスしたプロセス「ｓｙｓｔｅｍｌｏｇｄ」、ｄ）最後の操作「ｗｒｉｔｅ」、ｅ）最終のセクタ番号「１２３４」がそれぞれ格納されている。すなわち、セクタ群アクセス情報３２の１行目は、セクタ群名「／ｖａｒ／ｌｏｇ／ｓｙｓｔｅｍ．ｌｏｇ」のセクタ群に対する最後のアクセスが、「２０２１年９月１７日０４：４３：２１．２１３」の日時に、プロセス「ｓｙｓｔｅｍｌｏｇｄ」による、セクタ番号「１２３４」に対応する外部記憶デバイス１２の記憶領域へのセクタ群の書き込みであったことを意味している。

セクタ群アクセス判定部２６は、判定部の一例であり、記憶部２２に記憶されたセクタ群アクセス情報３２及びセクタ群アクセスルールデータベース３４と、セクタ群アクセスログ３８とに基づいて、ゲストＯＳ８からのアクセス要求が不正であるか否かを判定する。

ここで、セクタ群アクセスルールデータベース３４は、外部記憶デバイス１２に記憶されたセクタ群毎に、当該セクタ群のセクタ群名と、当該セクタ群にアクセスするためのルールとの対応関係を示すデータベースである。具体的には、セクタ群アクセスルールデータベース３４は、例えば図６に示すようなテーブル形式のデータベースであり、ルール情報の一例である。図６に示すように、セクタ群アクセスルールデータベース３４では、セクタ群名と、アクセス許可プロセスと、アクセス許可操作と、セクタ群種別とが対応付けられている。アクセス許可プロセスは、セクタ群に対してアクセスが許可されたプロセスを示す情報（ルール）である。アクセス許可操作は、セクタ群に対してアクセスが許可された操作を示す情報（ルール）である。セクタ群種別は、セクタ群の種別（個人情報又はログ）を示す情報である。

図６に示す例では、セクタ群アクセスルールデータベース３４の１行目には、ａ）セクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」、ｂ）アクセス許可プロセス「ｕｐｄａｔｅｓｅｒｖｉｃｅ」、ｃ）アクセス許可操作「ｒｅａｄ」、ｄ）セクタ群種別「個人情報」がそれぞれ格納されている。すなわち、セクタ群アクセスルールデータベース３４の１行目は、「個人情報」を含むセクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」のセクタ群に対して、アクセスが許可されるプロセスは「ｕｐｄａｔｅｓｅｒｖｉｃｅ」であり、且つ、アクセスが許可される操作は読み出し（ｒｅａｄ）であることを意味している。

なお、本実施の形態では、セクタ群アクセスルールデータベース３４は、外部記憶デバイス１２に記憶されたセクタ群にアクセスするためのルールとして、当該セクタ群に対してアクセスが許可されるプロセス及び操作を含むようにしたが、これに限定されず、プロセス及び操作のいずれか一方のみを含むようにしてもよい。

セクタ群アクセス判定部２６は、セクタ群アクセスルールデータベース３４とセクタ群アクセスログ３８とを比較することにより、外部記憶デバイス１２に記憶されたセクタ群にアクセスしようとしているプロセス及び操作が、セクタ群アクセスルールデータベース３４により規定されたルールに合致しているか否かを判定する。また、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２とセクタ群アクセスログ３８とを比較することにより、ゲストＯＳ８によるセクタ群へのアクセスのビヘイビア（振る舞い）が、許可されたビヘイビアであるか否かを判定する。セクタ群アクセス判定部２６は、判定結果を制御対応部２８に出力する。

なお、許可されたビヘイビアは、例えば、ａ）ログファイル（ログを示すセクタ群）に追記する操作、ｂ）情報処理装置２の初回起動時におけるセクタ群の読み込み操作等である。前者については、一般に、ログファイルにｗｒｉｔｅ権限が与えられていたとしても、ログファイルに対する追記が発生するのみであるため、ログファイルの一部を改変又は消去しようとする操作は、不正なアクセスであると判定可能である。また、後者については、一般に、例えばゲストＯＳ８のアクセス制御機能１６のポリシー等を示すセクタ群は、情報処理装置２の初回起動時にのみ読み込まれるため、初回起動時から相当時間が経過した後に当該セクタ群を読み込もうとする操作は、不正なアクセスであると判定可能である。

また、セクタ群アクセス判定部２６は、情報処理装置２に関する情報、例えば情報処理装置２の起動時刻を示す情報、及び、情報処理装置２の起動モードを示す情報等を取得可能である。なお、情報処理装置２は、起動モードとして、通常モード及びリプロモードのいずれかで起動される。

制御対応部２８は、対応部の一例であり、セクタ群アクセス判定部２６の判定結果に基づいて、対応を制御する。具体的には、制御対応部２８は、セクタ群アクセス判定部２６によりアクセス要求が不正であると判定された場合には、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ）機能を備える外部サーバ４０へのエラー通知等を行う。また、制御対応部２８は、セクタ群アクセス判定部２６によりアクセス要求が不正ではないと判定された場合には、アクセス要求に応じて外部記憶デバイス１２に記憶されたセクタ群にアクセスするようにバックエンド－デバイスドライバ２０に指示する。

［２．情報処理装置の動作］
［２－１．ホストＯＳの全体動作］
図７を参照しながら、実施の形態に係るホストＯＳ１０の全体動作について説明する。図７は、実施の形態に係るホストＯＳ１０の全体動作の流れを示すフローチャートである。

図７に示すように、まず、アクセスログ解析部２４は、バックエンド－デバイスドライバ２０により取得されたアクセス要求のログとして、デバイスアクセスログ３６を取得する（Ｓ１０１）。

次に、アクセスログ解析部２４は、デバイスアクセスログ３６から監視対象のゲストＯＳ８に関するログのみを抽出した上で、記憶部２２に記憶されたセクタ群データベース３０を参照し、抽出したログに含まれるセクタ番号と、当該セクタ番号に対応するセクタ群名とを紐付けることにより、セクタ群アクセスログ３８を生成する（Ｓ１０２）。

次に、セクタ群アクセス判定部２６は、記憶部２２に記憶されたセクタ群アクセス情報３２及びセクタ群アクセスルールデータベース３４と、セクタ群アクセスログ３８とに基づいて、ゲストＯＳ８のアクセス要求が不正であるか否かを判定する（Ｓ１０３）。セクタ群アクセス判定部２６は、判定結果を制御対応部２８に出力する。

セクタ群アクセス判定部２６によりアクセス要求が不正であると判定された場合には（Ｓ１０３でＹＥＳ）、制御対応部２８は、セクタ群アクセスログ３８に含まれるセクタ群名に基づいて、当該アクセス要求の対象となっているセクタ群の種別を判定する（Ｓ１０４）。

セクタ群の種別が「ログ」である場合には（Ｓ１０４で「ログ」）、制御対応部２８は、外部サーバ４０にエラーを通知する（Ｓ１０５）。この場合、制御対応部２８が外部サーバ４０にエラーを通知するタイミングは、予め定められた定期的なタイミング（例えば、５分毎のタイミング）である。この時、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２のうち、不正なアクセス要求に関する内容を消去する。その後、図７のフローチャートを終了する。

一方、セクタ群の種別が「個人情報」である場合には（Ｓ１０４で「個人情報」）、制御対応部２８は、外部サーバ４０にエラーを通知するとともに、当該アクセス要求に応じたセクタ群へのアクセスを停止するようにバックエンド－デバイスドライバ２０に指示する（Ｓ１０６）。この場合、制御対応部２８が外部サーバ４０にエラーを通知し、且つ、セクタ群へのアクセスを停止するタイミングは、即時のタイミングである。なお、制御対応部２８は、外部サーバ４０にエラーを通知する際に、不正と判定されたセクタ群アクセスログ３８を併せて通知してもよい。この時、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２のうち、不正なアクセス要求に関する内容を消去する。その後、図７のフローチャートを終了する。

ステップＳ１０３に戻り、セクタ群アクセス判定部２６によりアクセス要求が不正ではないと判定された場合には（Ｓ１０３でＮＯ）、制御対応部２８は、アクセス要求に応じて外部記憶デバイス１２に記憶されたセクタ群にアクセスするようにバックエンド－デバイスドライバ２０に指示する（Ｓ１０７）。この時、セクタ群アクセス判定部２６は、アクセス要求の内容に基づいて、セクタ群アクセス情報３２を更新する。その後、図７のフローチャートを終了する。

［２－２．アクセスログ解析部の動作］
図８を参照しながら、アクセスログ解析部２４の動作について具体的に説明する。図８は、実施の形態に係るアクセスログ解析部２４の動作の流れを示すフローチャートである。

図８に示すように、アクセスログ解析部２４は、まず、デバイスアクセスログ３６から最新のログを取得する（Ｓ２０１）。次に、アクセスログ解析部２４は、取得した最新のログに含まれる操作対象ＶＭが、監視対象のゲストＯＳ８であるか否かを判定する（Ｓ２０２）。取得した最新のログに含まれる操作対象ＶＭが監視対象のゲストＯＳ８でない場合には（Ｓ２０２でＮＯ）、図８のフローチャートを終了する。

一方、取得した最新のログに含まれる操作対象ＶＭが監視対象のゲストＯＳ８である場合には（Ｓ２０２でＹＥＳ）、アクセスログ解析部２４は、取得した最新のログに含まれるセクタ番号がセクタ群データベース３０に登録されているか否かを判定する（Ｓ２０３）。

取得した最新のログに含まれるセクタ番号がセクタ群データベース３０に登録されている場合には（Ｓ２０３でＹＥＳ）、アクセスログ解析部２４は、取得した最新のログに含まれるセクタ番号と、セクタ群データベース３０に登録されている当該セクタ番号に対応するセクタ群名とを紐付けることにより、セクタ群アクセスログ３８を生成する（Ｓ２０４）。その後、図８のフローチャートを終了する。

一方、取得した最新のログに含まれるセクタ番号がセクタ群データベース３０に登録されていない場合には（Ｓ２０３でＮＯ）、アクセスログ解析部２４は、取得した最新のログに含まれる操作種別が「ｗｒｉｔｅ」であるか否かを判定する（Ｓ２０５）。取得した最新のログに含まれる操作種別が「ｗｒｉｔｅ」でない場合には（Ｓ２０５でＮＯ）、図８のフローチャートを終了する。

一方、取得した最新のログに含まれる操作種別が「ｗｒｉｔｅ」である場合には（Ｓ２０５でＹＥＳ）、アクセスログ解析部２４は、取得した最新のログが、セクタ群アクセスルールデータベース３４に登録されているセクタ群に対する操作であるか否かを判定する（Ｓ２０６）。取得した最新のログが、セクタ群アクセスルールデータベース３４に登録されているセクタ群に対する操作でない場合には（Ｓ２０６でＮＯ）、図８のフローチャートを終了する。

一方、取得した最新のログが、セクタ群アクセスルールデータベース３４に登録されているセクタ群に対する操作である場合には（Ｓ２０６でＹＥＳ）、アクセスログ解析部２４は、セクタ群データベース３０に、セクタ番号及び当該セクタ番号に対応するセクタ群名を登録し（Ｓ２０７）、ステップＳ２０４に進む。

［２－３．セクタ群アクセス判定部の動作］
図９を参照しながら、セクタ群アクセス判定部２６の動作について具体的に説明する。図９は、実施の形態に係るセクタ群アクセス判定部２６の動作の流れを示すフローチャートである。

図９に示すように、セクタ群アクセス判定部２６は、まず、セクタ群アクセスログ３８から最新のログを取得する（Ｓ３０１）。次に、セクタ群アクセス判定部２６は、取得した最新のログに含まれる操作種別が、セクタ群アクセスルールデータベース３４に含まれる、上記最新のログのセクタ群名に対応するアクセス許可操作であるか否かを判定する（Ｓ３０２）。すなわち、セクタ群アクセス判定部２６は、セクタ群に対して付与されたｒｅａｄ・ｗｒｉｔｅ権限に関するルール情報に基づいて、アクセス要求が不正であるか否かを判定する。取得した最新のログに含まれる操作種別がアクセス許可操作でない場合には（Ｓ３０２でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ３０３）。その後、図９のフローチャートを終了する。

一方、取得した最新のログに含まれる操作種別がアクセス許可操作である場合には（Ｓ３０２でＹＥＳ）、セクタ群アクセス判定部２６は、プロセスが、セクタ群アクセスルールデータベース３４に含まれる、上記最新のログのセクタ群名に対応するアクセス許可プロセスであるか否かを判定する（Ｓ３０４）。プロセスがアクセス許可プロセスでない場合には（Ｓ３０４でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ３０３）。その後、図９のフローチャートを終了する。

一方、プロセスがアクセス許可プロセスである場合には（Ｓ３０４でＹＥＳ）、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２に基づいて、外部記憶デバイス１２に記憶されたセクタ群に対するアクセスのビヘイビアが許可されたビヘイビアであるか否かを判定する（Ｓ３０５）。ビヘイビアが許可されたビヘイビアではない場合には（Ｓ３０５でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ３０３）。その後、図９のフローチャートを終了する。

一方、ビヘイビアが許可されたビヘイビアである場合には（Ｓ３０５でＹＥＳ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正ではないと判定する（Ｓ３０６）。その後、図９のフローチャートを終了する。

ここで、図１０及び図１１を参照しながら、図９のフローチャートのステップＳ３０５の処理について具体的に説明する。図１０及び図１１は、図９のフローチャートのステップＳ３０５の処理を具体的に示すフローチャートである。

セクタ群アクセス判定部２６は、第１のビヘイビアルール～第Ｎのビヘイビアルールに基づいて、ビヘイビアがこれらの第１のビヘイビアルール～第Ｎのビヘイビアルールの各々で許可されたビヘイビアであるか否かを判定する。

図１０に示すように、セクタ群アクセス判定部２６は、上記以外の場合には、ビヘイビアが第１のビヘイビアルールで許可されたビヘイビアであるか否かを判定する（Ｓ４０１）。ビヘイビアが第１のビヘイビアルールで許可されたビヘイビアでない場合には（Ｓ４０１でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ４０２）。その後、図１０のフローチャートを終了する。

一方、ビヘイビアが第１のビヘイビアルールで許可されたビヘイビアである場合には（Ｓ４０１でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第２のビヘイビアルールで許可されたビヘイビアであるか否かを判定する（Ｓ４０３）。ビヘイビアが第２のビヘイビアルールで許可されたビヘイビアでない場合には（Ｓ４０３でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ４０２）。その後、図１０のフローチャートを終了する。

以下同様に、ビヘイビアが第２のビヘイビアルールで許可されたビヘイビアである場合には（Ｓ４０３でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアであるか否かを判定する（Ｓ４０４）。ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアでない場合には（Ｓ４０４でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ４０２）。その後、図１０のフローチャートを終了する。

ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアである場合には（Ｓ４０４でＹＥＳ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正ではないと判定する（Ｓ４０５）。その後、図１０のフローチャートを終了する。

次に、図１１を参照しながら、第１のビヘイビアルールを用いたビヘイビアの判定方法について説明する。第１のビヘイビアルールは、例えば情報処理装置２の初回起動時における、セクタ群へのアクセスのビヘイビアに関するルールである。

図１１に示すように、情報処理装置２の初回起動時以外のセクタ群へのアクセスが禁止されていない場合には（Ｓ５０１でＮＯ）、図１１のフローチャートを終了する。一方、情報処理装置２の初回起動時以外のセクタ群へのアクセスが禁止されている場合には（Ｓ５０１でＹＥＳ）、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２にゲストＯＳ８からのアクセス要求が記憶されているか否かを判定する（Ｓ５０２）。

セクタ群アクセス情報３２にゲストＯＳ８からのアクセス要求が記憶されている場合には（Ｓ５０２でＹＥＳ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ５０３）。その後、図１１のフローチャートを終了する。

一方、セクタ群アクセス情報３２にゲストＯＳ８からのアクセス要求が記憶されていない場合には（Ｓ５０２でＮＯ）、セクタ群アクセス判定部２６は、アクセス要求のタイムスタンプが想定される初回起動時間（例えば１分）内であるか否かを判定する（Ｓ５０４）。アクセス要求のタイムスタンプが想定される初回起動時間内でない場合には（Ｓ５０４でＮＯ）、セクタ群アクセス判定部２６は、アクセス要求が不正であると判定する（Ｓ５０３）。その後、図１１のフローチャートを終了する。

一方、アクセス要求のタイムスタンプが想定される初回起動時間内である場合には（Ｓ５０４でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第１のビヘイビアルールで許可されたビヘイビアであると判定する（Ｓ５０５）。この場合、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２に、ゲストＯＳ８からのアクセス要求を記憶させる。その後、図１１のフローチャートを終了する。

以下、図１２～図１９を参照しながら、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の各種例について説明する。

まず、図１２を参照しながら、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第１の例について説明する。図１２は、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第１の例を示すフローチャートである。第Ｎのビヘイビアルールは、例えばクライアント証明書の秘密鍵へのアクセスのビヘイビアに関するルールである。

図１２に示すように、セクタ群アクセス判定部２６は、アクセス要求がクライアント証明書の秘密鍵へのアクセスであるか否かを判定する（Ｓ６０１）。アクセス要求がクライアント証明書の秘密鍵へのアクセスでない場合には（Ｓ６０１でＮＯ）、図１２のフローチャートを終了する。

一方、アクセス要求がクライアント証明書の秘密鍵へのアクセスである場合には（Ｓ６０１でＹＥＳ）、セクタ群アクセス判定部２６は、アクセスログ解析部２４のログからネットワークデバイス１１についての現在の接続先を示す情報を取得する（Ｓ６０２）。これにより、セクタ群アクセス判定部２６は、正規の接続先であるネットワークデバイス１１に対してアクセス中であるか否か（すなわち、クライアント証明書のリクエストがあるか否か）を判定する（Ｓ６０３）。

正規の接続先であるネットワークデバイス１１に対してアクセス中である場合には（Ｓ６０３でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアであると判定する（Ｓ６０４）。その後、図１２のフローチャートを終了する。

一方、正規の接続先であるネットワークデバイス１１に対してアクセス中でない場合には（Ｓ６０３でＮＯ）、セクタ群アクセス判定部２６は、アクセス要求が不正であると判定する（Ｓ６０５）。その後、図１２のフローチャートを終了する。

このように、セクタ群アクセス判定部２６は、ネットワークデバイス１１の状態を考慮して、アクセス要求が不正であるか否かを判定する。これにより、攻撃者がクライアント証明書の秘密鍵を不正に読み取ろうとした場合に、不正なアクセス要求として検出することができる。

次に、図１３を参照しながら、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第２の例について説明する。図１３は、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第２の例を示すフローチャートである。第Ｎのビヘイビアルールは、例えば電話番号が記載されているファイルへのアクセスのビヘイビアに関するルールである。

図１３に示すように、セクタ群アクセス判定部２６は、アクセス要求が、電話番号が記載されているファイルへのアクセスであるか否かを判定する（Ｓ７０１）。アクセス要求が、電話番号が記載されているファイルへのアクセスでない場合には（Ｓ７０１でＮＯ）、図１３のフローチャートを終了する。

一方、アクセス要求が、電話番号が記載されているファイルへのアクセスである場合には（Ｓ７０１でＹＥＳ）、セクタ群アクセス判定部２６は、アクセスログ解析部２４のログから画面描画デバイス１３における現在の操作を示す情報を取得する（Ｓ７０２）。これにより、セクタ群アクセス判定部２６は、画面描画デバイス１３において電話を掛けるなどの電話番号に関連した操作中であるか否かを判定する（Ｓ７０３）。

電話を掛けるなどの電話番号に関連した操作中である場合には（Ｓ７０３でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアであると判定する（Ｓ７０４）。その後、図１３のフローチャートを終了する。

一方、電話を掛けるなどの電話番号に関連した操作中でない場合には（Ｓ７０３でＮＯ）、セクタ群アクセス判定部２６は、アクセス要求が不正であると判定する（Ｓ７０５）。その後、図１３のフローチャートを終了する。

このように、セクタ群アクセス判定部２６は、画面描画デバイス１３の状態を考慮して、アクセス要求が不正であるか否かを判定する。これにより、攻撃者が外部記憶デバイス１２に記憶されているファイルに記載の電話番号に不正にアクセスしようとした場合に、不正なアクセス要求として検出することができる。

次に、図１４を参照しながら、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第３の例について説明する。図１４は、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第３の例を示すフローチャートである。第Ｎのビヘイビアルールは、例えば情報処理装置２の起動後一定時間内に読み込まれるファイルへのアクセスのビヘイビアに関するルールである。

図１４に示すように、セクタ群アクセス判定部２６は、アクセス要求が、情報処理装置２の起動後一定時間内に読み込まれるファイルへのアクセスであるか否かを判定する（Ｓ８０１）。アクセス要求が、情報処理装置２の起動後一定時間内に読み込まれるファイルへのアクセスでない場合には（Ｓ８０１でＮＯ）、図１４のフローチャートを終了する。

一方、アクセス要求が、情報処理装置２の起動後一定時間内に読み込まれるファイルへのアクセスである場合には（Ｓ８０１でＹＥＳ）、セクタ群アクセス判定部２６は、情報処理装置２の起動時刻を示す情報を取得する（Ｓ８０２）。これにより、セクタ群アクセス判定部２６は、ファイルへのアクセス時刻がルールで定められている時間内（すなわち、情報処理装置２の起動後一定時間内）であるか否かを判定する（Ｓ８０３）。

ファイルへのアクセス時刻がルールで定められている時間内である場合には（Ｓ８０３でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアであると判定する（Ｓ８０４）。その後、図１４のフローチャートを終了する。

一方、ファイルへのアクセス時刻がルールで定められている時間内でない場合には（Ｓ８０３でＮＯ）、セクタ群アクセス判定部２６は、アクセス要求が不正であると判定する（Ｓ８０５）。その後、図１４のフローチャートを終了する。

このように、セクタ群アクセス判定部２６は、情報処理装置２の状態を考慮して、アクセス要求が不正であるか否かを判定する。これにより、攻撃者が情報処理装置２の起動後一定時間内に読み込まれるべきファイル（例えば、カーネルモジュール又は初期設定ファイル等）を、情報処理装置２の起動後一定時間外に不正に読み込もうとした場合に、不正なアクセス要求として検出することができる。

次に、図１５を参照しながら、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第４の例について説明する。図１５は、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第４の例を示すフローチャートである。第Ｎのビヘイビアルールは、例えばリプロ（プログラムの書き換え処理）用の復号鍵へのアクセスのビヘイビアに関するルールである。なお、リプロ用の復号鍵は、情報処理装置２のシステム更新を行うために、情報処理装置２をリプロモードで起動した場合にのみ読み込まれるファイルである。

図１５に示すように、セクタ群アクセス判定部２６は、アクセス要求が、リプロ用の復号鍵へのアクセスであるか否かを判定する（Ｓ９０１）。アクセス要求が、リプロ用の復号鍵へのアクセスでない場合には（Ｓ９０１でＮＯ）、図１５のフローチャートを終了する。同様のユースケースとして、書き込み先のセクタ領域がリプロ対象のセクタ領域か否かを判定することができる。この場合、以降のステップＳ９０２以降の処理によってアクセスの正常／異常を判定してもよい。

一方、アクセス要求が、リプロ用の復号鍵へのアクセスである場合には（Ｓ９０１でＹＥＳ）、セクタ群アクセス判定部２６は、情報処理装置２の起動モードを示す情報を取得し、取得した起動モードの種類（通常モード又はリプロモード）を判定する（Ｓ９０２）。

起動モードの種類がリプロモードである場合には（Ｓ９０３で「リプロモード」）、セクタ群アクセス判定部２６は、ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアであると判定する（Ｓ９０４）。その後、図１５のフローチャートを終了する。

一方、起動モードの種類が通常モードである場合には（Ｓ９０３で「通常モード」）、セクタ群アクセス判定部２６は、アクセス要求が不正であると判定する（Ｓ９０５）。その後、図１５のフローチャートを終了する。

このように、セクタ群アクセス判定部２６は、情報処理装置２の状態を考慮して、アクセス要求が不正であるか否かを判定する。これにより、情報処理装置２が通常モードで起動された際に、攻撃者が、リプロ用の復号鍵に不正にアクセスして秘密鍵の情報を取得しようとした場合に、不正なアクセス要求として検出することができる。

次に、図１６を参照しながら、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第５の例について説明する。図１６は、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第５の例を示すフローチャートである。第Ｎのビヘイビアルールは、例えば起動面とは異なる面への書き込みのビヘイビアに関するルールである。なお、情報処理装置２がリプロモードで起動された場合にのみ、起動面とは異なる面への書き込みが行われる。

図１６に示すように、セクタ群アクセス判定部２６は、アクセス要求が、起動面とは異なる面への書き込みであるか否かを判定する（Ｓ１００１）。アクセス要求が、起動面とは異なる面への書き込みでない場合には（Ｓ１００１でＮＯ）、図１６のフローチャートを終了する。

一方、アクセス要求が、起動面とは異なる面への書き込みである場合には（Ｓ１００１でＹＥＳ）、セクタ群アクセス判定部２６は、情報処理装置２の起動モードを示す情報を取得し、取得した起動モードの種類（通常モード又はリプロモード）を判定する（Ｓ１００２）。

起動モードの種類がリプロモードである場合には（Ｓ１００３で「リプロモード」）、セクタ群アクセス判定部２６は、ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアであると判定する（Ｓ１００４）。その後、図１６のフローチャートを終了する。

一方、起動モードの種類が通常モードである場合には（Ｓ１００３で「通常モード」）、セクタ群アクセス判定部２６は、アクセス要求が不正であると判定する（Ｓ１００５）。その後、図１６のフローチャートを終了する。

このように、セクタ群アクセス判定部２６は、情報処理装置２の状態を考慮して、アクセス要求が不正であるか否かを判定する。これにより、攻撃者が、通常モードでは書き込みが行われるはずの無い面への書き込みを行うことにより、ファームウェアを不正に書き換えたり、強制ロールバック等で書き換えた面の起動を強制的に行ったりした場合に、不正なアクセス要求として検出することができる。

次に、図１７を参照しながら、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第６の例について説明する。図１７は、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第６の例を示すフローチャートである。第Ｎのビヘイビアルールは、例えば情報処理装置２の起動後に一回のみ読み込まれるべきファイルへのアクセスのビヘイビアに関するルールである。

図１７に示すように、セクタ群アクセス判定部２６は、アクセス要求が、情報処理装置２の起動後に一回のみ読み込まれるべきファイルへのアクセスであるか否かを判定する（Ｓ１１０１）。アクセス要求が、情報処理装置２の起動後に一回のみ読み込まれるべきファイルへのアクセスでない場合には（Ｓ１１０１でＮＯ）、図１７のフローチャートを終了する。

一方、アクセス要求が、情報処理装置２の起動後に一回のみ読み込まれるべきファイルへのアクセスである場合には（Ｓ１１０１でＹＥＳ）、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２から最終のアクセスに関する情報を取得する（Ｓ１１０２）。これにより、セクタ群アクセス判定部２６は、情報処理装置２の起動後に一回のみ読み込まれるべきファイルへのアクセスが、情報処理装置２の起動後初めての読み込みであるか否かを判定する（Ｓ１１０３）。

情報処理装置２の起動後に一回のみ読み込まれるべきファイルへのアクセスが、情報処理装置２の起動後初めての読み込みである場合には（Ｓ１１０３でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアであると判定する（Ｓ１１０４）。その後、図１７のフローチャートを終了する。

一方、情報処理装置２の起動後に一回のみ読み込まれるべきファイルへのアクセスが、情報処理装置２の起動後初めての読み込みでない場合には（Ｓ１１０３でＮＯ）、セクタ群アクセス判定部２６は、アクセス要求が不正であると判定する（Ｓ１１０５）。その後、図１７のフローチャートを終了する。

このように、セクタ群アクセス判定部２６は、、ファイル（セクタ群）の状態を考慮して、アクセス要求が不正であるか否かを判定する。これにより、攻撃者が、情報処理装置２の起動後に一回しか読み込まれないファイル（例えば、初回起動の設定ファイル等）を不正に読み込み、情報処理装置２の初期設定を偵察しようとした場合に、不正なアクセス要求として検出することができる。

次に、図１８を参照しながら、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第７の例について説明する。図１８は、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第７の例を示すフローチャートである。第Ｎのビヘイビアルールは、例えばアプリケーション（以下、「アプリ」という）のアップデートのビヘイビアに関するルールである。

図１８に示すように、セクタ群アクセス判定部２６は、アクセス要求が、アプリのアップデートであるか否かを判定する（Ｓ１２０１）。アクセス要求が、アプリのアップデートでない場合には（Ｓ１２０１でＮＯ）、図１８のフローチャートを終了する。

一方、アクセス要求が、アプリのアップデートである場合には（Ｓ１２０１でＹＥＳ）、セクタ群アクセス判定部２６は、セクタ群アクセスログ３８のペイロードを監視して、「ｈｔｔｐ」から始まる文字列を検索する（Ｓ１２０２）。

セクタ群アクセスログ３８のペイロードにおいて、該当する文字列（「ｈｔｔｐ」から始まる文字列）があり、且つ、ホワイトリストにあるＵＲＬ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｌｏｃａｔｏｒ）が記載されている場合には（Ｓ１２０３でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアであると判定する（Ｓ１２０４）。その後、図１８のフローチャートを終了する。

一方、セクタ群アクセスログ３８のペイロードにおいて、該当する文字列が無い、又は、ホワイトリストにあるＵＲＬが記載されていない場合には（Ｓ１２０３でＮＯ）、セクタ群アクセス判定部２６は、アクセス要求が不正であると判定する（Ｓ１２０５）。その後、図１８のフローチャートを終了する。

このように、セクタ群アクセス判定部２６は、書き込み許可されたセクタ群に対するアクセス内容を考慮して、アクセス要求が不正であるか否かを判定する。これにより、攻撃者が、正規のアプリのアップデートになりすまして、外部の許可されていないＵＲＬ（例えば、Ｃ＆Ｃサーバ等）をセクタ群に不正に書き込んだ場合に、不正なアクセス要求として検出することができる。

次に、図１９を参照しながら、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第８の例について説明する。図１９は、第Ｎのビヘイビアルールを用いたビヘイビアの判定方法の第８の例を示すフローチャートである。第Ｎのビヘイビアルールは、例えばログファイルに対する書き込みのビヘイビアに関するルールである。なお、ログファイルは、最終セクタにしか書き込みが行われない（すなわち、追記のみが発生する）。

図１９に示すように、セクタ群アクセス判定部２６は、アクセス要求が、ログファイルに対する書き込みであるか否かを判定する（Ｓ１３０１）。アクセス要求が、ログファイルに対する書き込みでない場合には（Ｓ１３０１でＮＯ）、図１９のフローチャートを終了する。

一方、アクセス要求が、ログファイルに対する書き込みである場合には（Ｓ１３０１でＹＥＳ）、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２から最終のセクタ番号を取得する（Ｓ１３０２）。これにより、セクタ群アクセス判定部２６は、書き込みの対象セクタが最終セクタであるか否かを判定する（Ｓ１３０３）。

書き込みの対象セクタが最終セクタである場合には（Ｓ１３０３でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアであると判定する（Ｓ１３０４）。その後、図１９のフローチャートを終了する。

一方、書き込みの対象セクタが最終セクタでない場合には（Ｓ１３０３でＮＯ）、セクタ群アクセス判定部２６は、アクセス要求が不正であると判定する（Ｓ１３０５）。その後、図１９のフローチャートを終了する。

このように、セクタ群アクセス判定部２６は、書き込み許可されたセクタ群に対するアクセス内容を考慮して、アクセス要求が不正であるか否かを判定する。これにより、攻撃者が、攻撃の痕跡が残っているログの途中部分を改ざんして痕跡を消去するために、ログファイルの最終セクタ以外に不正に書き込みを行った場合に、不正なアクセス要求として検出することができる。

［３．効果］
本実施の形態では、ホストＯＳ１０においてゲストＯＳ８からのアクセス要求をフックし、フックした当該アクセス要求を解析することにより、当該アクセス要求の正当性を判定する。これにより、仮にゲストＯＳ８のアクセス制御機能１６が不正なコンピュータプログラムにより無効化又は改ざん等された場合であっても、ホストＯＳ１０でフックしたアクセス要求を、ゲストＯＳ８における異常を監視するための情報として用いることができ、ゲストＯＳ８からのアクセス要求の正当性を精度良く判定することができる。

（他の変形例）
以上、一つ又は複数の態様に係る情報処理装置及び判定方法について、上記実施の形態に基づいて説明したが、本開示は、上記実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思い付く各種変形を上記実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つ又は複数の態様の範囲内に含まれてもよい。

なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したコンピュータプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたコンピュータプログラムを読み出して実行することによって実現されてもよい。

また、上記実施の形態では、仮想化制御システムとして、ハイパーバイザ（ＴＹＰＥ１型）を採用したが、これに限定されず、あるオペレーティングシステム上で動作するハイパーバイザを含むアプリケーション（ＴＹＰＥ２型）を採用してもよい。

また、上記実施の形態に係る情報処理装置の機能の一部又は全てを、ＣＰＵ等のプロセッサがコンピュータプログラムを実行することにより実現してもよい。

上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。

本開示は、上記に示す方法であるとしても良い。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムを含むデジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な非一時的な記録媒体、例えばフレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしても良い。また、前記コンピュータプログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記コンピュータプログラム又は前
記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。

本開示に係る情報処理装置は、例えばＶＭ間通信における異常を検出する機能を有する仮想ＥＣＵ等に適用可能である。

２ 情報処理装置
４ ハードウェア
６ 仮想化制御システム
８ ゲストＯＳ
１０ ホストＯＳ
１１ ネットワークデバイス
１２ 外部記憶デバイス
１３ 画面描画デバイス
１４ プロセス
１６ アクセス制御機能
１８ フロントエンド－デバイスドライバ
２０ バックエンド－デバイスドライバ
２２ 記憶部
２４ アクセスログ解析部
２６ セクタ群アクセス判定部
２８ 制御対応部
３０ セクタ群データベース
３２ セクタ群アクセス情報
３４ セクタ群アクセスルールデータベース
３６ デバイスアクセスログ
３８ セクタ群アクセスログ
４０ 外部サーバ

Claims (11)

1. 車両における不正アクセスを判定するための情報処理装置であって、
   第１のオペレーティングシステムと、
   前記第１のオペレーティングシステムからのアクセス要求に応じて、記憶装置に記憶されたセクタ群にアクセスする第２のオペレーティングシステムと、
   プロセッサ上で実行され、前記第１のオペレーティングシステム及び前記第２のオペレーティングシステムの実行を制御する仮想化制御システムと、を備え、
   前記第２のオペレーティングシステムは、
   前記第１のオペレーティングシステムからの前記アクセス要求を取得する取得部と、
   前記記憶装置に記憶された前記セクタ群にアクセスするためのルールを示すルール情報に基づいて、前記アクセス要求が不正であるか否かを判定する判定部と、を有する
   情報処理装置。
2. 前記第２のオペレーティングシステムは、さらに、セクタ番号と当該セクタ番号に対応する前記記憶装置の記憶領域に記憶された前記セクタ群のセクタ群名との対応関係を示す対応情報を参照することにより、前記アクセス要求から、当該アクセス要求に含まれる前記セクタ番号と前記セクタ群名とを紐付けたアクセスログ情報を生成する解析部を有し、
   前記判定部は、前記ルール情報及び前記アクセスログ情報に基づいて、前記アクセス要求が不正であるか否かを判定する
   請求項１に記載の情報処理装置。
3. 前記第２のオペレーティングシステムは、さらに、前記判定部により前記アクセス要求が不正であると判定された場合に、外部に通知する対応部を有する
   請求項１に記載の情報処理装置。
4. 前記対応部は、さらに、前記判定部により前記アクセス要求が不正であると判定された場合に、外部に通知し、且つ、前記記憶装置に記憶されたセクタ群へのアクセスを停止する
   請求項３に記載の情報処理装置。
5. 前記ルール情報は、前記ルールとして、前記記憶装置に記憶された前記セクタ群に対してアクセスが許可されるプロセス及び操作の少なくとも一方を含む
   請求項１～４のいずれか１項に記載の情報処理装置。
6. 前記判定部は、前記セクタ群に対して付与されたｒｅａｄ・ｗｒｉｔｅ権限に関する前記ルール情報に基づいて、前記アクセス要求が不正であるか否かを判定する
   請求項１に記載の情報処理装置。
7. 前記第２のオペレーティングシステムは、外部のデバイスにアクセス可能であり、
   前記判定部は、前記ルール情報及び前記外部のデバイスの状態に基づいて、前記アクセス要求が不正であるか否かを判定する
   請求項１に記載の情報処理装置。
8. 前記判定部は、前記ルール情報及び前記情報処理装置の状態に基づいて、前記アクセス要求が不正であるか否かを判定する
   請求項１に記載の情報処理装置。
9. 前記判定部は、前記ルール情報及び前記セクタ群の状態に基づいて、前記アクセス要求が不正であるか否かを判定する
   請求項１に記載の情報処理装置。
10. 前記判定部は、前記ルール情報、及び、書き込み許可された前記セクタ群に対するアクセス内容に基づいて、前記アクセス要求が不正であるか否かを判定する
    請求項１に記載の情報処理装置。
11. 第１のオペレーティングシステムと、前記第１のオペレーティングシステムからのアクセス要求に応じて、記憶装置に記憶されたセクタ群にアクセスする第２のオペレーティングシステムと、プロセッサ上で実行され、前記第１のオペレーティングシステム及び前記第２のオペレーティングシステムの実行を制御する仮想化制御システムと、を備えた情報処理装置を用いて車両における不正アクセスを判定する判定方法であって、
    前記第２のオペレーティングシステムが前記第１のオペレーティングシステムからの前記アクセス要求を取得し、
    前記記憶装置に記憶された前記セクタ群にアクセスするためのルールを示すルール情報に基づいて、取得した前記アクセス要求が不正であるか否かを判定し、
    前記アクセス要求が不正であると判定した場合に、その結果を外部に出力する
    判定方法。

Images