JP4177957B2 - アクセス制御システム - Google Patents
アクセス制御システム Download PDFInfo
- Publication number
- JP4177957B2 JP4177957B2 JP2000300561A JP2000300561A JP4177957B2 JP 4177957 B2 JP4177957 B2 JP 4177957B2 JP 2000300561 A JP2000300561 A JP 2000300561A JP 2000300561 A JP2000300561 A JP 2000300561A JP 4177957 B2 JP4177957 B2 JP 4177957B2
- Authority
- JP
- Japan
- Prior art keywords
- access
- file
- program
- communication
- access control
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Images
Landscapes
- Storage Device Security (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は、情報処理装置が管理する情報を不正なアクセスから保護する場合に好適なアクセス制御技術に関する。
【０００２】
【従来の技術】
一般のコンピュータシステムでは、マルチユーザー・マルチタスクＯＳが備えるユーザー認証機構と、該認証結果に基づいたファイルアクセス制御機構を用いて機密情報ファイルの保護を実現しているケースが多い。具体的には、前記ＯＳが実装された情報処理装置を利用する際に、ユーザーは必ず自己のユーザーＩＤとパスワードを入力し、認証を受ける。前記情報処理装置が管理する全てのファイル各々には、ファイルリードやライト等のアクセスタイプ毎に、ユーザーＩＤとグループＩＤを用いてアクセス可能なユーザーを定義したアクセスコントロールリストがセキュリティ属性情報として割り当てられている。ユーザーがアプリケーションプログラムを介してファイルへアクセスした場合、上記ＯＳは、アクセス要求元となるユーザーのＩＤ及び該ユーザーが所属するグループＩＤを、アクセス対象となるファイルに割り当てられたアクセスコントロールリストと照合し、当該リストに前記ユーザーが含まれている場合に限りアクセスを許可するといった制御を行なう。
【０００３】
一方で、インターネットを介した情報発信、情報収集や、各種サービス提供を行なう手段としてＷｏｒｌｄＷｉｄｅＷｅｂ（ＷＷＷ）のサービスが広く使われている。ＷＷＷでは、ＨｙｐｅｒＴｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ（ＨＴＴＰ）と呼ばれる通信プロトコルが、リクエストデータとレスポンスデータの転送に用いられている。また、ＷＷＷシステムではコンテンツの不正な差し替えや、ネットワークを経由した機密情報流出を未然に防ぐためのセキュリティ技術がいくつか用意されている。
【０００４】
ＨＴＴＰが有するセキュリティ機構として、基本認証（ＢａｓｉｃＡｕｔｈｅｎｔｉｃａｔｉｏｎ）と呼ばれるものがある。基本認証では、認証情報としてユーザーＩＤとパスワードを予めＷＷＷサーバに登録しておき、ブラウザを通じてユーザーから送信されるユーザーＩＤとパスワードを、前記認証情報と比較して認証を行なう。各コンテンツへのアクセス権限設定を記述したポリシーファイルと、該ポリシーに基づくアクセス制御機構も前記ＷＷＷサーバに実装されている。同様な機構を、ＣｏｍｍｏｎＧａｔｅｗａｙＩｎｔｅｒｆａｃｅ（ＣＧＩ）プログラムに実装し、ユーザー認証とコンテンツへのアクセス制御を実現することも可能である。
【０００５】
ＷＷＷでは、他のセキュリティ技術として、認証局から発行される証明書に基づき、ユーザーとＷＷＷサーバの相互認証と通信データの暗号化を行なうことが可能である。この技術は、消費者のクレジットカード番号がネットワーク上に流れる一部のインターネットショッピングのようなサービスにおいて、必須の技術とされている。これらの技術によるユーザー（クライアント）認証は、ＷＷＷサーバ側のＯＳが具備するユーザー認証機構とは通常独立したものであるが、前記認証に用いるユーザーＩＤや、ユーザーの証明書を、ＯＳが管理するユーザーアカウントに関連付けて使用することができるWWWサーバプログラムもある。つまり、認証されたユーザーは、ＯＳのアクセス制御下でＷＷＷコンテンツにアクセスする。これらのセキュリティ技術については、“Web Security:A Step-by-Step Reference Guide”Lincoln D. Stein著、Addison-Wesley Pub Co;（ISBN:0201634899）などに記載されている。
【０００６】
近年増加しているインターネットサービスプログラム等に潜むセキュリティホールやバグを利用した不正アクセスを解決する他の技術としては、常駐型のファイル監視プログラムを情報処理装置上に設け、定期的にファイルの破壊の有無をチェックする方法が、特開平１０−０６９４１７号公報に開示されている。これと同様の技術として、特定のファイルについてそのサイズの増減やタイムスタンプを定期的にチェックするプログラムを情報処理装置上に設け、該ファイルの変化を検知するツールが、シェアウエアやフリーウエアとして幾つか公開されている。
【０００７】
【発明が解決しようとする課題】
先に述べたセキュリティホールやバグに関する情報は、ｈｔｔｐ：／／ｗｗｗ．ｃｅｒｔ．ｏｒｇ／等で報告され、バグ修正用のプログラムも各メーカーから配布されるようになっている。しかし、攻撃者あるいは侵入者は、あらゆる手段を用いて外部ネットワークから情報処理装置への侵入を試みる。たとえば、前記マルチユーザー・マルチタスクなＯＳが具備するアクセス制御機構では、アクセス要求元のユーザーＩＤとその所属グループに基づいてアクセスの可否を判断しているため、ＯＳの管理者のような強い権限をもつユーザーに成りすまして侵入すれば、システム中のいかなるファイルにもアクセスできるので、システム中の情報を書き換えたり、機密情報を盗み出すことがてきてしまう。
【０００８】
また、前記ファイルの変化を定期的にチェックする手法では、ファイルが改ざんされた後の検出になるため、不正アクセスが発生したことは分かるが、それを未然に防ぐことができないと共に、ファイルの不正な読み出しについては事後検出もできない。
【０００９】
また、前記ＷＷＷサーバやＣＧＩプログラムを利用してコンテンツのアクセス制御機能を実現したシステムにおいては、各コンテンツへのアクセス権限設定を記述したポリシーファイルも、その他のファイルと同じく不正アクセスの対象になる。したがって、該ポリシーファイルが破壊あるいは改ざんされた場合には、前記アクセス制御機能が正常に働かない。
【００１０】
本発明の目的は、アクセス要求元（サブジェクト）がいかなる権限をもつ場合でも、そのアクセス手段およびアクセス対象（オブジェクト）を制限することが可能なアクセス制御システム及びその方法を提供することにある。
【００１１】
本発明の他の目的は、不正なファイルアクセスを未然に防ぐことが可能なアクセス制御システム及びその方法を提供することにある。
【００１２】
本発明の他の目的は、アクセス権限設定を記述したポリシーファイルと、該ポリシーファイルに基づいてアクセス制御を施行するプログラムを、外部からの不正アクセスや攻撃から保護可能なアクセス制御システム及びその方法を提供することにある。
【００１３】
本発明の他の目的は、例えば機密情報にアクセスしながらサービスを提供するようなアプリケーションプログラムを、外部からの不正アクセスから保護可能なアクセス制御システム及びその方法を提供することにある。
【００１４】
【課題を解決するための手段】
上記目的を達成するために、本発明では、ファイルアクセスに関するアクセス制御ポリシーとして、より厳密にアクセス要求を特定する情報、すなわち、アクセス要求元とアクセス実行手段とアクセスタイプとを特定する情報を用いる。
【００１５】
さらに具体的には、特定のファイルへのアクセスを、特定のユーザーが特定のプログラムを用いた場合のみ許可するアクセス制御ポリシーを記述したポリシーファイルを作り、アクセス制御手段が、ファイルへのアクセスが発生したときに、前記ポリシーファイルの記述に従ってアクセスの正当性すなわち可否を判定する。前記アクセス制御ポリシーには、アクセス対象となるファイルの名称と、アクセスが許可されたユーザー名とプログラム名の組合せを、ファイルのオープン・リード・ライト・削除・リネームといったアクセスタイプ毎に予め規定しておく。
【００１６】
また、不正なファイルアクセスを未然に防ぐために、本発明では、前記ファイルアクセスを監視するファイルＩ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）フック手段を前記情報処理装置に設け、該ファイルＩ／Ｏフック手段は、前記アクセスを検知した時に、当該アクセスタイプ及びアクセス対象となるファイルの名称と、該アクセスの要求元となるユーザー名及びプログラム名を取得して前記アクセス制御手段に送信する。前記アクセス制御手段は、受信内容を前記ポリシーファイルの内容と照合し、該ポリシーに違反するアクセスであれば当該アクセスを無効にし、前記ファイルＩ／Ｏフック手段を経由して前記アクセス要求元にエラーを返す。
【００１７】
また、前記ポリシーファイルと前記アクセス制御手段を保護するために、本発明では、１台の情報処理装置上に２つのＯＳと、両ＯＳ間でデータ通信するためのプロセス間通信手段と、両ＯＳが互いに排他的に占有するメモリや磁気ディスクおよびネットワークデバイスを設ける。前記２つのＯＳのうち一方をアクセス監視対象となるサービス用ＯＳとして使用し前記ファイルＩ／Ｏフック手段を前記サービス用ＯＳのカーネルレベルのモジュールとして設ける。もう一方をセキュリティ用ＯＳとして使用し、前記アクセス制御手段および前記ポリシーファイルを占有する磁気ディスクに格納すると共に、前記アクセス制御手段をプロセスとして動作させ、該アクセス制御手段とポリシーファイルを前記サービス用ＯＳ上の、サービスを受けるユーザが使うプロセスからアクセスできないようにする。
【００１８】
一方、よりセキュリティを高めるために、機密情報を取り扱うようなアプリケーションプログラム（以後、機密プログラムと称す）とのプロセス間通信に関するアクセス制御ポリシーとして、より厳密にアクセス要求を特定する情報、すなわち、アクセス要求元とアクセス実行手段とを特定する情報を用いてもよい。具体的には、特定の機密プログラムとのプロセス間通信を、特定のユーザーが特定のプログラムを用いた場合のみ許可するアクセス制御ポリシーを記述したポリシーファイルを作り、複数のアプリケーションプログラム間で通信が発生したときに、プロセス間通信手段が当該通信を検知してアクセス制御手段に通知し、アクセス制御手段が前記ポリシーファイルの記述に従って通信の正当性すなわち可否を判定する。前記アクセス制御ポリシーには、通信機能を備える機密プログラムの名称と、当該機密プログラムとの通信が許可されたユーザー名とプログラム名の組合せを予め規定しておく。
【００１９】
この場合は，前記機密プログラムと当該機密プログラムがアクセスする機密情報ファイルについても、前記セキュリティ用ＯＳが占有する磁気ディスクに格納すると共に、前記機密プログラムをセキュリティ用ＯＳ上のプロセスとして動作させることでサービス用ＯＳ側からの不正アクセスから保護する。もしくは、セキュリティ用ＯＳやサービス用ＯＳとは別の第３のＯＳと、各ＯＳ間で通信するためのプロセス間通信手段と、各ＯＳが互いに排他的に占有するメモリや磁気ディスクおよびネットワークデバイスを設け、前記機密プログラムと当該プログラムがアクセスする機密情報ファイルを、前記第３のＯＳが占有する磁気ディスクに格納すると共に、第３のＯＳ上のプロセスとして動作させることで、サービス用ＯＳ側からの不正アクセスから保護する。
【００２０】
本発明におけるＯＳとは、ユーザーまたはプログラムからの要求に応じて記憶媒体中のデータ、ファイルへのアクセスを実行する機能と、アクセス要求元のユーザーやプログラムを識別する機能と、排他制御機構により占有する記憶手段を有するプログラムモジュールを意味しており、
・データ（ファイル）アクセスを管理しており、検知が可能である。
・アクセス要求元のユーザーを識別できる。
・アクセス要求元のアプリケーションを識別できる。
【００２１】
といった特徴を持つ。したがって、一般的にＯＳと呼ばれるものに限らず上記特徴を持つものであれば、本発明を適用することは可能である。
【００２２】
また，サービス提供とは，リクエストに応じて所定の処理を実行し、その処理結果を要求元に返すことを指し，また，サービス利用とは，上記サービス提供をおこなうものに対して、リクエストを発行し、その処理結果を受け取ることを指す。
【００２３】
また，機密情報とは、システム利用者のうち、権限を持つものだけがその内容および存在自体を知り得るような情報を指し，機密プログラムとは、このような情報を扱いながら所定を処理を実行するプログラムを指す。
【００２４】
本発明を実現するのに必要な各プログラム（コード、モジュール、ユニットともいう）は，ネットワークに接続される他のサーバからコンピュータが読み取り可能な媒体，すなわちネットワーク上の伝送信号，またはＣＤＲＯＭ，ＦＤなどの可搬型記憶媒体，を経由して，事前にまたは必要なときに導入してもよい。
【００２５】
【発明の実施の形態】
以下、図を用いて本発明の実施の一形態を説明する。
【００２６】
図１は、本発明のアクセス制御システムの一構成例である。１００はサーバ情報処理装置であり、サービス用オペレーティングシステム（ＯＳ）１０３が管理するメモリ１０１、当該サービス用ＯＳ１０３が占有するディスクコントローラ１１２ａと磁気ディスク１１４ａとＬＡＮコントローラ１１３、セキュリティ用ＯＳ１０４が管理するメモリ１０２と、当該セキュリティ用ＯＳ１０４が占有するディスクコントローラ１１２ｂと磁気ディスク１１４ｂその他を備える。
【００２７】
複数ＯＳ制御プログラム１１６は、サーバ情報処理装置上で複数のＯＳ（本実施例ではサービス用ＯＳ１０３とセキュリティ用ＯＳ１０４）が動作するための各種の制御をする部分で、各ハードウェアの初期化および、メモリと磁気ディスクの分割占有処理、ＣＰＵのスケジューリング、割り込み処理等を行う。ＯＳ間通信処理部１０８は、複数ＯＳ制御プログラム１１６の中に存在し、サーバ情報処理装置上で動作するＯＳ間での通信機能を提供する。や
サーバ情報処理装置１００の起動時には、前記複数ＯＳ制御プログラム１１６が各ハードウェアの初期化およびＯＳ毎のハードウェア分割占有処理等を行い、サービス用ＯＳ１０３とサーバプログラム１０９がディスクコントローラ１１２ａを介して磁気ディスク１１４ａからメモリ１０１上にロードされると共に、セキュリティ用ＯＳ１０４とアクセス制御プログラム１１０がディスクコントローラ１１２ｂを介して磁気ディスク１１４ｂからメモリ１０２上にロードされる。前記ＯＳ間通信処理部１０８は、ファイルＩ／Ｏフックプログラムと前記アクセス制御プログラム１１０との間でデータ交換を行なうために使用するものとし、前記サーバプログラム１０９からは直接使用できないインタフェースとなっている。
【００２８】
なお、ＯＳ間通信処理部１０８は、サービス用ＯＳ１０３に含まれるプロセス間通信プログラムとして、構成することも可能である。
【００２９】
また、サービス用ＯＳ１０３は、流通している既存のマルチユーザー・マルチタスクなＯＳと同様、ユーザーの識別・認証機能を具備しているものとする。前記サーバ情報処理装置１００と複数のクライアント情報処理装置１２０は、ローカルエリアネットワーク（ＬＡＮ）１１５を介して相互に接続されており、前記サーバプログラム１０９は、ＬＡＮコントローラ１１３とＬＡＮ１１５を介して、クライアントプログラム１２１からのリクエストの受信と、当該クライアントプログラム１２１へのレスポンスの送信を行なう。サーバプログラム１０９とクライアントプログラム１２１は、例えばＷＷＷサーバとブラウザに相当するプログラムである。なお、前記サーバ情報処理装置１００とクライアント情報処理装置１２０は、電話回線やインターネットを介して接続されていてもよい。また、サービス用ＯＳ１０３とセキュリティＯＳとは、ＯＳ間通信のインタフェースを非公開にすれば別々の装置上にあっても良く、セキュリティ的にも問題はない。
【００３０】
前記サーバプログラム１０９のようにＯＳ上で動作するアプリケーションプログラムは、一般にユーザーレベルのプロセスと呼ばれている。該サーバプログラム１０９は、前述のようにクライアントプログラム１２１からのリクエストに基いて処理を実行するものであり、言い換えればネットワークからの攻撃の対象にもなり得るプログラムである。これに対し、ファイルＩ／Ｏフックプログラム１０６やファイルシステムドライバ１０７のようにＯＳの一機能として動作するプログラムは、一般にカーネルレベルのモジュールと呼ばれており、多くのコンピュータシステムではアクセス制御機能をカーネルレベルのモジュールとして実装している。
【００３１】
図１のサーバ情報処理装置１００のように、１台の情報処理装置上に複数のＯＳを同時に動作させるための技術としては、仮想計算機あるいはマイクロカーネルがある。その他、リアルタイムＯＳを一般的なＯＳのカーネルレベルのモジュールとして実装すると共に、前記リアルタイムＯＳがシステム障害を検知すると、リアルタイム処理を継続しながらもシステムを自動的に再起動する方法が、特開平１１−０２４９４３号公報に開示されている。また、ＯＳ間通信処理部１０８のような、異種ＯＳ上のプロセス間通信を実現する方法は、特開平１１−０８５５４６号公報に開示されている。これらを本発明の前提条件として、引続き実施の形態を述べる。
【００３２】
図２は、前記ポリシーファイル２００のデータ構造を示したものである。
【００３３】
２１０から２１２は、ポリシー記述の一例を示したものである。オブジェクト名２０１は、アクセスを制限すべきファイルの名称を示す。オブジェクト名として、２１０や２１２のようにファイル単位の指定と、２１１のようなディレクトリ単位の指定が可能となっている。ディレクトリ単位の指定では、該ディレクトリ名に続くファイル名を所定の文字、記号（たとえばアスタリスク（＊））で表記する。前記オブジェクトに対して禁止すべきアクセスを、禁止されたアクセスのタイプ２０２に示す。エラーコード２０３は、前記禁止されたアクセスのタイプ２０２が発生した際に、当該アクセス発行元（サブジェクト）となるプログラムに返すべきエラーコードを示す。例外サブジェクト２０４は、特別にアクセスを許されたプログラムの名称である。プログラムのハッシュ値２０５は、前記例外サブジェクトとして指定されたプログラムファイルの特徴値（ハッシュ値）をたとえば８バイトで表したものである。ユーザー名２０６は、前記例外サブジェクト２０４のプログラムを利用可能なユーザーを、前記サービス用ＯＳ１０３が管理するユーザー名またはグループ名で表したものである。
【００３４】
つまり前記ポリシーは、前記プログラムのハッシュ値２０５に登録されたハッシュ値を有するプログラムが前記例外サブジェクトとして登録され、且つ該プログラムをユーザー名２０６に登録されたユーザーあるいはグループのメンバーが利用している場合に限り、例外としてアクセスを許可することを表している。同時に、これら条件が整っていない場合は、アクセス発行元のプログラムに対して前記エラーコード２０３を返すことを意味する。
【００３５】
前記ポリシーファイル２００の設定は、システムのセキュリティ管理者が行なうものとする。例えば、ＨＴＭＬファイルなどのＷＷＷコンテンツを侵入者によって不正に書き換えられないようにするには、該ＨＴＭＬファイルへのライトアクセスを原則として禁止しておき、例外としてコンテンツ管理者に任命されているユーザーが特定のＨＴＭＬ編集用プログラムを用いた場合に限りライトアクセスを許可するといったポリシーを前記ポリシーファイル２００に記述すればよい。
【００３６】
例外サブジェクトには、サーバプログラム１０９のように、ネットワークからの攻撃を受けやすいプログラムを指定しないことが重要である。更に例外サブジェクトとして登録するプログラムを、ＣＤ−ＲＯＭ等の取り外し可能な記憶媒体に格納しておき、必要なときだけ媒体を装着して使用すればより確実に保護できるので、さらなるセキュリティ効果が期待できる。図１の構成に当該媒体の駆動装置を追加し、ディスクコントローラ１１２ａが当該駆動装置に対応すれば、このような記憶媒体が使用可能となる。
【００３７】
図３は、アクセスログファイル３００のデータ構造の一例を示したものである。アクセスログファイル３００は、前記ポリシーファイル２００にて禁じられているアクセスが発生した事実を、アクセス制御プログラム１１０のアクセスログ登録ルーチン４０６が書き込むためのファイルであり、当該アクセスが発生した日時３０１と、当該アクセスの対象となったファイルを表すオブジェクト名３０２と、当該アクセスのタイプ３０３、当該アクセスを発行したプログラムを表すサブジェクト名３０４、そして前記プログラムを利用していたユーザーを表すユーザー名３０５から構成される。
【００３８】
図４に、ファイルＩ／Ｏフックプログラム１０６と、アクセス制御プログラム１１０の構成を示す。
【００３９】
ファイルＩ／Ｏフックプログラム１０６は、前記サーバ情報処理装置１００の起動時に、サービス用ＯＳ１０３と共にメモリ１０１上にロードされる。アクセス制御プログラム１１０は、前記サーバ情報処理装置１００の起動時に、セキュリティ用ＯＳ１０４と共にメモリ１０２上にロードされる。
【００４０】
図５と図６を用いて、本発明のアクセス制御の概要を記す。
【００４１】
図５は、Ｉ／Ｏマネージャ１０５と、ファイルＩ／Ｏフックプログラム１０６と、アクセス制御プログラム１１０の三者間における処理の流れを示すものである。５０１は、サーバプログラム１０９が発行したファイルアクセスが、Ｉ／Ｏマネージャ１０５を経由してファイルＩ／Ｏフックプログラム１０６に到達するまでの通信経路であり、サービス用ＯＳ１０３の上で動作する全てのアプリケーションプログラムからのファイルアクセスについて共通なものである。ファイルＩ／Ｏフックプログラム１０６には、図６に示すＩ／Ｏパケット６００のデータが渡される。Ｉ／Ｏパケット６００は、Ｉ／Ｏフックプログラム１０６に渡される前にサービス用ＯＳ１０３が具備するアクセス制御機構をパスしていることと仮定して説明するが、これに限ったものではなく、前記アクセス制御プログラム１１０のチェックをパスしてからサービス用ＯＳ１０３が具備するアクセス制御機構のチェックを受けるものであってもよい。
【００４２】
図６は、前記三者間を流れるパケットのデータ構造を示したものである。６０１はアクセス対象のファイルを表すオブジェクト名である。６０２は前記オブジェクトへのアクセスタイプを示す。６０３は、当該アクセスを発行したプログラムのプロセスＩＤを示す。６０４は当該アクセスの処理結果を示すステータスを示す。６０５は当該アクセスに関連するデータの長さを示すものであり、例えば前記アクセスタイプ６０２がファイルへの書込み（ライト）要求であれば、書込みデータがデータ領域６０７に格納され、当該書込みデータの長さがデータ長６０５に格納される。６０６は、前記データ領域６０７へのポインタである。
【００４３】
図５において、５０２は、ファイルＩ／Ｏフックプログラム１０６が検知したファイルオープン要求に関するアクセス権限チェックと、アクセスログ３００への書き込みを、アクセス制御プログラム１１０に対してリクエストするに用いる通信経路である。前記リクエストのデータ構造を、図６のリクエストパケット６１０に示す。サブジェクト名６１１は、ファイルアクセスの発行元となるプログラムの名称であり、ユーザー名６１２は、前記プログラムの利用者をユーザー名とグループ名で表すものである。サブジェクト名６１１及びユーザー名６１２は、受信したＩ／Ｏパケット６００に含まれるプロセスＩＤ６０３を指定して、前記サービス用ＯＳ１０３として用いる標準のＯＳに対してシステムコールを発行することで取得できる。
【００４４】
前記リクエストパケット６１０は、ＯＳ間通信処理部１０８が当該パケットのデータを、ファイルＩ／Ｏフックプログラムのメモリ空間６３０からアクセス制御プログラムのメモリ空間６４０に複写することで伝達される。アクセス制御プログラム１１０では、受信したリクエストパケットに含まれる情報を、ポリシーファイル２００の内容と照合し、その結果をレスポンスパケット６２０に登録して前記ファイルＩ／Ｏフックプログラムに伝達する。この伝達は、前記通信経路５０２と同様に、ＯＳ間通信処理部１０８が前記パケットのデータを、アクセス制御プログラムのメモリ空間６４０からファイルＩ／Ｏフックプログラムのメモリ空間６３０に複写することで達成される。５０３は、当該レスポンスパケットの通信経路を示すものである。
【００４５】
ファイルＩ／Ｏフックプログラム１０６は、受信したレスポンスパケット６２０の内容から当該アクセスの可否を判断し、アクセス不可であればエラーコード２０３をＩ／Ｏパケット６００のステータス６０４に設定し、当該Ｉ／Ｏパケットを前記Ｉ／Ｏマネージャ１０５に返す。前記ステータス６０４にエラーコードが設定されている場合、前記Ｉ／Ｏマネージャ１０５は、通信経路５０６を用いてファイルアクセス発行元のサーバプログラム１０９に当該エラーを返す。一方、前記ステータス６０４にエラーコードが設定されていなければ、通信経路５０５を用いてファイルシステムドライバ１０７及びディスクコントローラ１１２ａを介して磁気ディスク１１４ａへのファイルアクセスを続行し、通信経路５０６を用いて当該アクセスの結果を前記サーバプログラム１０９に返す。
【００４６】
本発明のアクセス制御の具体的処理内容を、図７から図１６を用いて説明する。
【００４７】
図７は、ファイルＩ／Ｏフックプログラム１０６が具備するファイルＩ／Ｏフックルーチンの処理内容を示すフロー図である。
【００４８】
サーバプログラム１０９が、ステップ７０１でクライアントプログラム１２１からのリクエストを受信し、ステップ７０２で前記リクエストに応じたファイルアクセスをサービス用ＯＳ１０３に対して発行した場合を想定する。
【００４９】
当該ファイルアクセスは、通信経路５０１を経由して、ファイルＩ／Ｏフックルーチン４００にＩ／Ｏパケット６００として渡される（ステップ７０３）。ステップ７０３からステップ７１２は、ファイルＩ／Ｏフックルーチン４００の処理フローである。ステップ７０４では、Ｉ／Ｏパケット６００に含まれるプロセスＩＤ６０３から、ファイルアクセス発行元のサブジェクト名６１１とユーザー名６１２を取得する。
【００５０】
ステップ７０５からステップ７０８では、アクセスタイプ６０２を調べ、ファイルオープン、ファイルクローズ、ファイルリード又はライト、またはファイル削除又はリネームにそれぞれ対応する処理ルーチンを実行する。これらに該当しない場合、又は対応する処理ルーチンを実行した後は、通信経路５０４を経由して、ステップ７１３にてＩ／Ｏマネージャ１０５の処理に戻る。
【００５１】
図８を用いてオープン処理ルーチン４０１の処理フローを説明する。ステップ８０１では、アクセス日時として現在の日付と時刻を取得する。ステップ８０２では、リクエストパケット６１０を作成すると共に、当該パケット中のエラーコード２０３とハッシュ値２０５を０に初期設定する。次にステップ８０３にて、アクセス制御プログラム１１０のオープン制御ルーチン４０５をコールすると共に、前記リクエストパケット６１０をオープン制御ルーチン４０５に渡す。
【００５２】
オープン制御ルーチン４０５の処理フローを、図９を用いて説明する。ステップ９０１では、受信したリクエストパケット６１０のうち、オブジェクト名６０１とアクセスタイプ６０２の内容を、ポリシーファイル２００と照合する。ステップ９０２では、当該アクセスが禁止されたアクセスのタイプとして登録されているかどうかを判別する。このとき、禁止されたアクセスタイプに該当しなければ正当なアクセスとみなし、ステップ９０３にて、許可されたアクセスタイプをレスポンスパケット６２０の認可アクセス６１３に登録し、オープン処理ルーチン４０１の処理に戻る。ここで、許可されたアクセスタイプとは、オブジェクト名６０１で示されるファイルに対するリードとライトの内、サブジェクト名６１１で示されるプログラムから実行可能なアクセスタイプのことを表す。したがって、オブジェクト名６０１で示されるファイルに対して、ポリシーファイル２００の中でリードとライト共に許可されていれば、認可アクセス６１３にはリードとライトの両方を登録する。また、リードのみが許可されている場合はリードのみを、ライトのみが許可されている場合はライトのみを前記認可アクセス６１３に登録する。リードとライトの両方を禁じる場合には、ポリシーとして当該ファイルのオープンを禁止するよう、予めポリシーファイル２００に記述しておけばよい。
【００５３】
ステップ９０２にて禁止されたアクセスだと判断した場合、ステップ９０４にて、前記サブジェクト名６１１とユーザー名６１２が、共にポリシーファイル２００に記述された例外サブジェクト２０４とユーザー名２０６に該当するか否かを判別する。このとき、サブジェクト名については該プログラムファイルのパス名が完全に一致するか否かを判別する。またユーザー名については、ユーザー名６１２に含まれるユーザー名とグループ名のいずれかが一致するか否かを判別する。判別の結果、例外サブジェクト２０４かつユーザー名２０６に該当する場合、ステップ９０５にて当該プログラムファイルのハッシュ値２０５をポリシーファイル２００から取得して、レスポンスパケット６２０に設定する。また、ステップ９０６では、ステップ９０３と同様に、許可されたアクセスタイプをレスポンスパケット６２０の認可アクセス６１３として設定する。その後、ステップ９０８で、該当するエラーコード２０３をレスポンスパケット６２０に設定してから、オープン処理ルーチン４０１へ戻る。ここでのエラーコード設定は、オープン処理ルーチン４０１のステップ８０４からステップ８１２の処理の中で意味を持つものである。
【００５４】
ステップ９０４にて、例外サブジェクト２０４とユーザー名２０６とに該当しないと判断した場合、ステップ９０７にて、当該アクセスの内容をアクセスログファイル３００に書込む。その後、ステップ９０８で、該当するエラーコード２０３をレスポンスパケット６２０に設定してから、オープン処理ルーチン４０１へ戻る。
【００５５】
次に、図８において、ステップ８０４ではレスポンスパケット中のハッシュ値２０５の値を調べ、０であれば例外として認められたアクセスではないと判断し、ステップ８０５でエラーコードの値をチェックする。エラーコードが０でなければ禁止されたアクセスであったと判断し、ステップ８０６にて、Ｉ／Ｏパケット６００のステータス６０４に、当該エラーコード２０３を設定して処理を終了する。ステップ８０５で、エラーコードが０であれば、正当なアクセスであったと判断し、ステップ８１０にて当該アクセス情報を後述するオープンファイルテーブルの先頭アドレスに登録してから処理を終了する。
【００５６】
ステップ８０４でハッシュ値が０でない場合は、例外として認められたサブジェクトであると判断し、ステップ８０７にてサブジェクト名６０１で示されるプログラムファイルのハッシュ値を算出し、ステップ８０８にてレスポンスパケット中のハッシュ値２０５と比較する。両者が等しければ、例外サブジェクト２０４に相当するとみなして、ステップ８１２にて当該アクセス情報をオープンファイルテーブルの先頭アドレスに登録してから本ルーチンの処理を終了する。ハッシュ値が等しくなければ、前記プログラムファイルが不正なプログラムであるとみなして、ステップ８０９にて前記リクエストパケットにおけるサブジェクト名６１１を例外サブジェクトにならないように、例えばサブジェクト名としてnullデータに、変更し、、ステップ８１０にてアクセスログ登録ルーチン４０６をコールすると共に前記リクエストパケット６１０をアクセスログ登録ルーチン４０６に渡す。
【００５７】
該アクセスログ登録ルーチン４０６の処理フローを、図１４を用いて説明する。ステップ１４０１で、リクエストパケット６１０の内容をポリシーファイル２００と照合する。予め前記ステップ８０９で例外サブジェクト扱いにならぬようにサブジェクト名６１１をクリアしておくことにより、必ず禁止されたオープンアクセスとして扱われる。ステップ１４０２にて、該当するエラーコードをポリシーファイル２００から読み出してレスポンスパケット６２０に設定し、当該パケットを返す。ステップ１４０３にて当該アクセス内容を、アクセスログファイル３００に書き込み、オープン処理ルーチン４０１の処理に戻る。
【００５８】
図８のオープン処理ルーチン４０１において、ステップ８１１でレスポンスパケット中のエラーコード２０３をＩ／Ｏパケットのステータス６０４に設定して本ルーチンの処理を終了する。
【００５９】
図１０を用いてオープンファイルテーブルについて説明する。オープンファイルテーブル１０００は、現在オープン中のファイルに関する情報を格納した構造体データ１００２の集合である。１個の構造体には１件のオープンファイルの情報を記憶しており、ファイルＩ／Ｏフックプログラム１０６では、各構造体を先頭アドレス１００１とポインタ１００３によりリストとして管理する。本オープンファイルテーブル１０００の一例を図１１に示す。
【００６０】
オープンファイルテーブル１０００に登録された情報に該当するアクセスであれば、該アクセスを許可することになるため、オープンファイルテーブル１０００を不正に書換えられないよう保護することが重要である。サービス用ＯＳ１０３として、プロセス毎に独立したメモリ空間が割当てられると共にメモリ空間の排他制御機構が働くＯＳを使うことで、前記オープンファイルテーブル１０００も別プロセスからは不正に書換えできない仕組みにすることが可能になる。
【００６１】
図１２は、クローズ処理ルーチン４０２の処理フローを示したものである。ステップ１２０１では、受信したＩ／Ｏパケット６００の中にあるオブジェクト名６０１と、プロセスＩＤ６０３、並びにプロセスＩＤ６０３から取得したサブジェクト名６１１およびユーザー名６１２の組み合わせと同じものをオープンファイルテーブル１０００から検索する。ステップ１２０２で、該当する情報がテーブルにあれば、ステップ１２０３にて該当する情報をテーブルから削除する。一方、テーブルに存在しなければ、ポリシーファイル２００に登録されていないファイルへのクローズ要求とみなし、本ルーチンの処理を終了する。
【００６２】
図１３は、リード・ライト処理ルーチン４０３の処理フローを表したものである。ステップ１３０１では、受信したＩ／Ｏパケット６００の中にあるオブジェクト名６０１と、プロセスＩＤ６０３と、プロセスＩＤ６０３から取得したサブジェクト名６１１と、ユーザー名６１２との組み合わせと同じものをオープンファイルテーブル１０００から検索し、更にアクセスタイプ６０２が認可されたアクセスタイプ６１３に含まれるか否かをチェックする。ステップ１３０２にて、前記オブジェクト名６０１と、プロセスＩＤ６０３と、サブジェクト名６１１と、ユーザー名６１２と、アクセスタイプ６０２との組合せがテーブル１０００にあれば、本ルーチンの処理を終了する。このことは、オープンファイルテーブル１０００に登録されたアクセスであれば正当なアクセスであるとみなし、アクセス制御プログラム１１０の処理を行わないことを意味する。これは、本発明のアクセス制御によって生じるシステムのパフォーマンス低下を軽減する効果がある。
【００６３】
ステップ１３０２にて、オープンファイルテーブルに登録されたアクセスでなければ前記ポリシーファイル２００により禁止されたアクセスとみなし、ステップ１３０３でアクセス日時を取得し、ステップ１３０４でリクエストパケット６１０を作成する。このとき、エラーコード２０３を０に初期設定する。この後、ステップ１３０５にてアクセスログ登録ルーチン４０６の処理にジャンプする。
【００６４】
図１４のアクセスログ登録ルーチン４０６において、ステップ１４０１ではリクエストパケット６１０の内容をポリシーファイル２００と照合し、ステップ１４０２にて、該当するエラーコードをポリシーファイル２００から読み出してレスポンスパケット６２０に設定する。次に、ステップ１４０３にて当該アクセス内容を、アクセスログファイル３００に書き込み、リード・ライト処理ルーチン４０３の処理に戻る。リード・ライト処理ルーチン４０３では、図１３のステップ１３０６において、レスポンスパケットで受信したエラーコードをＩ／Ｏパケットのステータス６０４に設定し、本ルーチンの処理を終了する。
【００６５】
図１５は、削除・リネーム処理ルーチン４０４の処理フローを表したものである。図８のオープン処理ルーチン４０１と同じ処理内容のステップには同じ番号を付している。
【００６６】
ステップ１５０３にて、アクセス制御プログラム１１０の削除・リネーム制御ルーチン４０７をコールすると共に、前記リクエストパケット６１０を削除・リネーム制御ルーチンに渡す。
【００６７】
削除・リネーム制御ルーチン４０７の処理フローを、図１６を用いて説明する。図９のオープン制御ルーチン４０５と同じ処理内容のステップには同じ番号を付している。ステップ１６０２では、当該アクセスが禁止されたアクセスのタイプとして登録されているかどうかを判別する。禁止されたアクセスタイプに該当しなければ正当なアクセスとみなし、削除・リネーム処理ルーチン４０４の処理に戻る。
【００６８】
ステップ１６０２にて禁止されたアクセスだと判断した場合、図９と同様にステップ９０４、９０５の処理を行い、ステップ１６０３にて、例外サブジェクト２０４とユーザー名２０６に該当しないと判断した場合、図９と同様にステップ９０７の処理を行う。
【００６９】
ステップ９０５または９０７の処理を済ませると、ステップ９０８で、該当するエラーコード２０３をレスポンスパケット６２０に設定してから、削除・リネーム処理ルーチン４０４へ戻る。
【００７０】
次に図１５において、図８と同様にステップ８０４の処理を行う。ステップ１５０５では、エラーコードが０であれば、正当なアクセスであったと判断し、本ルーチンの処理を終了する。ステップ８０７にてサブジェクト名６０１で示されるプログラムファイルのハッシュ値を算出し、ステップ８０８にてレスポンスパケット中のハッシュ値２０５と比較して、両者が等しければ、例外サブジェクト２０４に相当するとみなして本ルーチンの処理を終了する。ハッシュ値が等しくない場合は図８と同様の処理を行い、アクセスログ登録ルーチン４０６を呼び出す。当該ルーチンが処理を済ませると削除・リネーム処理ルーチン４０４の処理に戻る。
【００７１】
図１５において、ステップ１５１１でレスポンスパケット中のエラーコード２０３をＩ／Ｏパケットのステータス６０４に設定して本ルーチンの処理を終了する。
【００７２】
以上、本発明の実施の一形態を説明したが、ＯＳが備えるファイルシステムの種類によっては、ファイルオープン要求を表すＩ／Ｏパケットの中に、目的となるアクセスタイプを付属情報として含むものがある。つまり、ファイルのリードアクセスをするためのオープン要求なのか、リード・ライトのためのオープン要求なのかを、前記Ｉ／Ｏパケット６００中のアクセスタイプ６０２から検知できる。このようなファイルシステムを前提とした場合には、図７に示すファイルＩ／Ｏフックルーチン４００の処理フローと、図８に示すオープン処理ルーチン４０１の処理フローと、更に図９に示すオープン制御ルーチン４０５の処理フローとを変更することにより、前記オープンファイルテーブル１０００の管理が不要なアクセス制御システムが実現できる。
【００７３】
図７においてはファイルＩ／Ｏフックルーチン４００の処理フローから、ステップ７０６と、ステップ７０７と、ステップ７１０と、ステップ７１１を省く。つまり、ファイルオープン要求と、ファイル削除要求と、ファイルのリネーム要求のいずれかを検知し、ファイルのオープン要求であれば、ステップ７０９にてオープン処理ルーチン４０１の処理に移り、削除又はリネーム要求であれば、ステップ７１２にて削除・リネーム処理ルーチン４０４の処理に移るよう、ファイルＩ／Ｏフックルーチン４００の処理フローを変更すればよい。
【００７４】
図８においては，オープン処理ルーチンの処理フローから、ステップ８１２の処理を省く。つまり、ステップ８０８でのハッシュ値照合処理の結果、等しければ本ルーチンの処理を終了するよう、オープン処理ルーチン４０１の処理フローを変更する。
【００７５】
更に、図９で説明したオープン制御ルーチン４０５の処理フローは、図２６に示す処理フローに変更する。図２６のステップ２８０１における処理，すなわち，受信したリクエストパケット６１０のうち、オブジェクト名６０１とアクセスタイプ６０２の内容を、ポリシーファイル２００と照合するといった処理において、このときアクセスタイプ６０２の中に含まれる前記オープン要求の付属情報（リードやライト）まで取得して、前記ポリシーファイル２００と照合する。本発明では、前記オープン要求の付属情報として、リードとライトの両方が含まれる場合、リードとライトの両方、もしくはいずれか一方が禁止されたアクセスとしてポリシーファイル２００に記述されていれば、当該オープン要求を禁止されたアクセスとしてみなす。
【００７６】
ステップ２８０２では、当該アクセスが禁止されたアクセスのタイプとして登録されているかどうかを判別する。このとき、禁止されたアクセスタイプに該当しなければ正当なアクセスとみなし、ステップ２８０３にて、レスポンスパケット６２０のエラーコード２０３と、ハッシュ値２０５を共に０を設定し、オープン処理ルーチン４０１の処理に戻る。リードとライトの両方を禁じる場合には、ポリシーとして当該ファイルのオープンを禁止するよう、予めポリシーファイル２００に記述しておけばよい。
【００７７】
ステップ２８０２にて禁止されたアクセスだと判断した場合、ステップ２８０４にて、前記サブジェクト名６１１とユーザー名６１２が、共にポリシーファイル２００に記述された例外サブジェクト２０４とユーザー名２０６に該当するか否かを判別する。このとき、サブジェクト名については該プログラムファイルのパス名が完全に一致するか否かを判別する。またユーザー名については、ユーザー名６１２に含まれるユーザー名とグループ名のいずれかが一致するか否かを判別する。判別の結果、例外サブジェクト２０４かつユーザー名２０６に該当する場合、ステップ２８０５にて当該プログラムファイルのハッシュ値２０５をポリシーファイル２００から取得して、レスポンスパケット６２０に設定する。その後、ステップ２８０８で、該当するエラーコード２０３をレスポンスパケット６２０に設定してから、オープン処理ルーチン４０１へ戻る。
【００７８】
ステップ２８０４にて、例外サブジェクト２０４とユーザー名２０６とに該当しないと判断した場合、ステップ２８０７にて、当該アクセスの内容をアクセスログファイル３００に書込む。その後、ステップ２８０８で、該当するエラーコード２０３をレスポンスパケット６２０に設定してから、オープン処理ルーチン４０１へ戻る。
【００７９】
次に、本発明のアクセス制御システムのうち、プロセス間通信に関するアクセス制御について説明する。図１７は、機密性の高い情報と、それにアクセスするプログラムを不正アクセスから保護するためのアクセス制御システムの一構成例であり，図１と同じ構成要素には，同じ番号を付している。この構成は、情報の機密性を確保しつつ、外部ネットワークに対してサービスを提供する場合に有効であり、高い安全性を確保することができる。
【００８０】
図１７の構成は，図１の構成と同様であるが，さらに，機密用ＯＳ１２２が管理するメモリ１７０８と、当該機密用ＯＳ１２２が占有するディスクコントローラ１１２ｃと磁気ディスク１１４ｃとＬＡＮコントローラ１２３その他を備える。
【００８１】
前記サービス用ＯＳ１０３が占有するＬＡＮコントローラ１１３ａは、インターネット等の外部ネットワーク１７０６に接続されたクライアント情報処理装置１２０等との通信に用いる。一方、前記機密用ＯＳ１２２が占有するＬＡＮコントローラ１１３ｃは、内部ネットワーク１７０７に接続された機器との通信に用いる。
【００８２】
複数ＯＳ制御プログラム１１６は、機密用ＯＳ１２２まで含めた複数のＯＳの制御を行う。
【００８３】
前記サービス用ＯＳ１０３とセキュリティ用ＯＳ１０４と機密用ＯＳ１２２は、各々ドライバ部１１７とドライバ部１１８とドライバ部１１９を含んでおり、各ＯＳ上のアプリケーションプログラムは、必ずこれらドライバを経由してＯＳ間通信処理部１０８へアクセスする。この方法は、すでに説明したプロセス間通信方法と同様なものである。
【００８４】
一般的なプロセス間通信の種類には、共有メモリやセマフォ、メッセージキューなど様々なものがあり、いずれも予め取り決められた名称や番号を用いて通信相手を識別することになっている。
【００８５】
更に本発明は、以下の特徴を持つ。すなわち，プロセス間通信の不正利用を防止するために、プロセス間通信に関するセキュリティポリシーを記述した通信制御ポリシー１８００を前記磁気ディスク１１４ｂに格納しておき、前記ＯＳ間通信処理部１０８を利用したプロセス間通信の要求については、セキュリティ用ＯＳ１０４側で動作する通信制御プログラム１７００が、前記通信制御ポリシー１８００の記述に基づいてアクセス制御を行う。また、当該プロセス間通信に関するアクセスログを、前記磁気ディスク１１４ｂ中の通信ログ１９００に記録する機能を備える。また、前記通信制御プログラム１７００は、実行中のプロセス間通信に関する情報を、セキュリティ用ＯＳ１０４が管理するメモリ１０２の中に設けた通信管理テーブル２０００にて保持する。
【００８６】
中継プログラム１７０１は、前記サービス用ＯＳ１０３の上で動作するアプリケーションプログラムの１つである。本実施例では、外部ネットワークに接続されたクライアント情報処理装置１２０からの要求に応じて、後述する機密プログラム１７０３とのプロセス間通信を行ない、処理結果を前記クライアント情報処理装置１２０に返信する役割をもったプログラムを中継プログラムと称す。なお、前記クライアント情報処理装置１２０とのデータ通信をサーバプログラム１０９により実施し、前記中継プログラム１７０１は、必要に応じてサーバプログラム１０９が呼び出して利用するものであってもよい。
【００８７】
機密プログラム１７０３は、機密用ＯＳ１２２の上で動作するアプリケーションプログラムの１つであり、本実施例では、機密用ＯＳ１２２が占有するディスクコントローラ１１２ｃを利用して磁気ディスク１１４ｃに格納された機密情報１７０４にアクセスしたり、同じく機密用ＯＳ１２２が占有するＬＡＮコントローラ１１３ｃを経由して、占有する内部ネットワークに接続された記憶媒体中の機密情報１７０５にアクセスしながらサービスを提供するものと仮定して説明する。
【００８８】
前記サーバ情報処理装置１００の起動時には、前記複数ＯＳ制御プログラム１１６が各ハードウェアの初期化、メモリ領域の分割、ＣＰＵのスケジューリング等を行う。
【００８９】
次に、サービス用ＯＳ１０３とサーバプログラム１０９と中継プログラム１７０１がディスクコントローラ１１２ａを介して磁気ディスク１１４ａからメモリ１０１上にロードされ、セキュリティ用ＯＳ１０４とアクセス制御プログラム１１０がディスクコントローラ１１２ｂを介して磁気ディスク１１４ｂからメモリ１０２上にロードされ、更に機密用ＯＳ１２２と機密プログラム１７０３がディスクコントローラ１１２ｃを介して磁気ディスク１１４ｃからメモリ１７０８上にロードされる。
【００９０】
図１８は、前記通信制御ポリシー１８００のデータ構造の一例を示したものである。アプリケーション名１８０１は、機密用ＯＳ１２２の上で動作する機密プログラムの名称であり、機密用ＯＳ１２２上でユニークな識別子となるよう、例えばプログラムファイルの絶対パス名等を用いる。サービス番号１８０２は、前記アプリケーション名１８０１に対応する機密プログラムが提供するサービスの識別子であり、例えばＴＣＰ／ＩＰ通信におけるポート番号や、メッセージ通信におけるメッセージキュー番号（メッセージキュー名称）等に相当する。本実施の形態では、１つの機密プログラムに対して１つのサービス番号を登録する場合を例に説明するが、これに限ったものではなく、複数のサービス番号を登録してもよい。サービス番号は、通信する双方で事前に取り決めておくものとし、中継プログラム１７０１から通信制御ポリシー１８００の参照はできないものとする。
【００９１】
許可アプリケーション名１８０３は、サービス用ＯＳ１０３上で動作するプログラムであり、且つ前記アプリケーション名１８０１で示される機密プログラムとの通信を許可されたプログラムの名称であり、例えば中継プログラム１７０１に相当する。特徴値１８０４は、前記許可アプリケーション名１８０３で示されるプログラムが備える特徴値であり、例えば当該プログラムファイルのサイズやハッシュ値等に相当する。ユーザー名１８０５は、前記許可アプリケーション名１８０３で示されるプログラムが実行中に使用する権限をユーザー名で表したものである。これは、一般的なマルチユーザー・マルチタスクのＯＳにおいて、アプリケーションプログラムが必ず何れかのユーザー権限を使用して動作することを前提としている。特にユーザー名を限定したくない場合は、ユーザー名を所定の文字、記号（たとえばアスタリスク（＊））で表記する。なお、本通信制御ポリシー１８００は、システムの運用に先立って、管理者が予め登録しておくものである。また、図１８では機密プログラムと中継プログラムの組み合わせが１対１の場合を例に記述しているが、１つの機密プログラムの利用許可を、複数の中継プログラムに与えても良い。
【００９２】
図１９は、前記通信ログ１９００のデータ構造の一例を示したものである。通信ログ１９００は、前記通信制御ポリシー１８００に違反する通信が発生した事実を書き込むためのファイルであり、当該通信が発生した日時１９０１と、当該通信の対象となった機密プログラム名１９０２と、機密プログラムとの通信要求を発行したサービス用ＯＳ１０３側プログラムを表すサブジェクト名１９０３、そしてエラーの内容を表すエラー番号１９０４から構成される。
【００９３】
図２０は、通信管理テーブル２０００のデータ構造の一例を示したものである。通信管理テーブル２０００は、機密プログラムの識別子２００１と、当該機密プログラムが提供するサービスの番号２００２と、機密プログラムとのプロセス間通信のために使用する暗証データ２００３と、サービス用ＯＳ１０３のドライバ部１１７が提供する通信中のプログラムの識別子２００４、とから構成される。図２０では、各識別子にそれぞれプログラム名称を用いているが、例えば機密用ＯＳ１２２とサービス用ＯＳ１０３が各々管理するプロセスＩＤのような、プロセス特有の情報と組み合わせて管理してもよい。
【００９４】
図２１から図２５は、中継プログラム１７０１と機密プログラム１７０３が、前記ＯＳ間通信処理部１０８の通信機能を利用してプロセス間通信をする際の、処理フローを示したものである。本実施の形態において、中継プログラム１７０１と機密プログラム１７０３は、クライアントとサーバの関係にあることから、前もって機密プログラム１７０３がデータ受信可能な状態になるものとして説明する。また、プロセス間通信手段には様々な種類があるが、どの手段を用いた場合でもその手順は、ハンドルの取得処理、データ送信処理とデータ受信処理、ハンドルの解放処理に大別できる。ハンドルとは、アプリケーションプログラムがファイル、メモリなどのオブジェクトをアクセスする際にアクセス対象となるオブジェクトを指定するデータであり，ＯＳから与えられる。ハンドルは、オブジェクトごとにシステム内でユニークな数値であることが保証されている。この場合のオブジェクトとは、例えばファイルやソケットなど、データ処理の際に用いるアクセス対象全般を指す。本発明では、機密用ＯＳ１２２やサービス用ＯＳ１０３上のプログラムがハンドル値を取得する際に、各ＯＳのドライバ部を経由して必ず通信制御プログラム１７００によるポリシーチェックを受け，正当性を確認するところに特徴がある。
【００９５】
図２１は、前記ＯＳ間通信処理部１０８を介して、機密プログラム１７０３が通信制御プログラム１７００に対してサービスを登録し、中継プログラム１７０１からのデータ受信待ち状態になるまでの処理フローを示したものである。ステップ２１００にて、前記通信制御プログラム１７００は、ＯＳ間通信処理部１０８の機能を用いて機密用ＯＳ１２２側からのデータ受信が可能な状態となっている。機密プログラム１７０３は、ステップ２１０１にて暗証データを作成し、ステップ２１０２にて、機密用ＯＳ１２２のドライバ部１１９に対してサービス番号と暗証データを送付し、中継プログラム１７０１とのプロセス間通信に利用するハンドルを要求する。
【００９６】
機密用ＯＳ１２２のドライバ部１１９は、ステップ２１０３にて通信制御プログラム１７００との通信路を確立し、ステップ２１０４にて前記機密プログラム１７０３の識別子とサービス番号と暗証データを、通信制御プログラム１７００に送付する。
【００９７】
通信制御プログラム１７００は、ステップ２１０５にて通信制御ポリシー１８００を参照し、機密プログラムとサービス番号が登録されているかどうかを調べ，正当性を確認する。通信制御ポリシー１８００に記述されていれば、ステップ２１０６にて前記機密プログラム１７０３の識別子情報とサービス番号と暗証データを、通信管理テーブル２０００に登録する。通信制御ポリシー１８００に記述されていなければ、ステップ２１０７にてその旨を前記ドライバ部１１９に返信するためのエラー設定を行う。ステップ２１０８では、通信制御ポリシーとの照合結果を返信するとともに、ドライバ部１１８を介して、ドライバ部１１９との通信路を解放する。
【００９８】
前記ドライバ部１１９は、ステップ２１０９にて通信制御プログラム１７００からの返信データをチェックし、通信管理テーブル２０００への登録に成功していれば、ステップ２１１１にて中継プログラム１７０１と通信するために利用するハンドルをＯＳ間通信処理部１０８から取得し、ステップ２１１２にて前記機密プログラム１７０３への返信データとして、前記ハンドル値を設定する。一方、通信管理テーブルへの登録に失敗した場合は、ステップ２１１０にて、前記機密プログラム１７０３への返信データとしてエラーを設定する。
【００９９】
機密プログラム１７０３は、ステップ２１１３にてドライバ部１１９からの返信データをチェックする。要求したハンドル取得に成功していれば、ステップ２１１４にてサービス用ＯＳ１０３側からのデータ受信待ち状態になり、ハンドル取得に失敗していれば、ステップ２１１５にて所定のエラー処理を実行する。
【０１００】
図２２は、前記機密プログラム１７０３がプロセス間通信に利用していたハンドルを解放する際の処理フローを示したものである。ステップ２２００にて、前記通信制御プログラム１７００は、ＯＳ間通信処理部１０８の機能を用いて機密用ＯＳ１２２側からのデータ受信が可能な状態となっている。機密プログラム１７０３は、ステップ２２０１にて、機密用ＯＳ１２２のドライバ部１１９に対してハンドル値を指定し、当該ハンドルの解放を要求する。
【０１０１】
機密用ＯＳ１２２のドライバ部１１９は、ステップ２２０２にて通信制御プログラム１７００との通信路を確立し、ステップ２２０３にて前記機密プログラム１７０３の識別子とサービス番号を、通信制御プログラム１７００に送付する。
【０１０２】
通信制御プログラム１７００では、ステップ２２０４にて通信管理テーブル２０００を参照し、登録された機密プログラムであるかを確認する。通信管理テーブル２０００に記述されていれば、ステップ２２０５にて前記機密プログラムの情報を、通信管理テーブル２０００から削除する。通信管理テーブル２０００に記述されていなければ、ステップ２２０６にてその旨を前記ドライバ部１１９に返信するためのエラー設定を行う。ステップ２２０７では、通信管理テーブル２０００との照合結果を返信するとともに、ドライバ部１１９との通信路を解放する。
【０１０３】
前記ドライバ部１１９は、ステップ２２０８にて通信制御プログラム１７００からの返信データをチェックし、通信管理テーブルからの削除に成功していれば、ステップ２２１０にて今度は中継プログラム１７０１との通信に利用していたハンドルの解放処理を実行する。一方、通信管理テーブルからの削除に失敗した場合は、ステップ２２０９にて、前記機密プログラム１７０３への返信データとしてエラーを設定する。
【０１０４】
機密プログラム１７０３は、ステップ２２１１にてドライバ部１１９からの返信データをチェックし、ハンドル解放に成功していれば、ステップ２２１２にて処理を終了する。一方、ハンドル解放に失敗していれば、ステップ２２１３にて所定のエラー処理を実行する。
【０１０５】
図２３と図２４は、前記ＯＳ間通信処理部１０８を介して、中継プログラム１７０１が機密プログラム１７０３とのプロセス間通信用のハンドルを取得するまでの処理フローを示したものである。図２３のステップ２３００にて、前記通信制御プログラム１７００は、ＯＳ間通信処理部１０８の機能を用いてサービス用ＯＳ１０３側からのデータ受信が可能な状態となっている。中継プログラム１７０１は、ステップ２３０１にて、サービス用ＯＳ１０３のドライバ部１１７に対して利用したいサービス番号を送付し、機密プログラムとのプロセス間通信に利用するハンドルを要求する。サービス番号は、上述の通り、ポート番号と同様に、事前に取り決めておくものとする。参照のために、プログラムに固定的に埋め込んでおくか、定義ファイルに記述しておくなどが考えられる。
【０１０６】
サービス用ＯＳ１０３のドライバ部１１７は、ステップ２３０２にて通信制御プログラム１７００との通信路を確立し、ステップ２３０３にて前記中継プログラム１７０１の識別子とその特徴値、および中継プログラム１７０１が使用しているユーザー権限を表すユーザー名を取得し、利用したいサービス番号と共に通信制御プログラム１７００に送付する。
【０１０７】
通信制御プログラム１７００では、ステップ２３０４にて通信管理テーブル２０００と通信制御ポリシー１８００を参照し、指定されたサービスが有効であり、且つ当該サービスの利用を許可されたプログラムか否かを調べ，正当性を確認する。具体的には、ドライバ部１１７から渡された中継プログラムの識別子と特徴値とユーザー名とが、通信制御ポリシー１８００の内容に一致すればポリシーに合致していると言える。もしサービスが有効で、且つポリシーに合致していれば、ステップ２３０５にて前記中継プログラム１７０１の識別子情報を、前記サービス利用中のプログラムとして通信管理テーブル２０００に登録し、該当するサービスの利用に必要な暗証データを中継プログラムに返信するために、通信管理テーブル２０００から取得する。一方、サービスが有効でない、あるいはポリシーに合致していなければ、ステップ２３０６にてその旨を通信ログ１９００に書き込むと共に、前記ドライバ部１１７に返信するためのエラー設定を行う。ステップ２３０７では、通信制御ポリシーとの照合結果を返信するとともに、ドライバ部１１７との通信路を解放する。
【０１０８】
前記ドライバ部１１７は、ステップ２３０８にて通信制御プログラム１７００からの返信データをチェックし、通信管理テーブル２０００への登録に成功していれば、つまり中継プログラム１７０１の認証に成功していれば、ステップ２３１０にて今度は機密プログラムとの通信用ハンドルを取得する処理（図２４）に移る。一方、通信管理テーブルへの登録に失敗した場合は、ステップ２３０９にて、前記中継プログラム１７０１にエラーを返して終了する。
【０１０９】
図２４では、図２１のステップ２１１４で示したように、前記機密プログラム１７０３がサービス用ＯＳ１０３側からデータ受信可能であることを前提にして、中継プログラム１７０１の通信用ハンドル取得処理を説明する。サービス用ＯＳ１０３のドライバ部１１７は、ＯＳ間通信処理部１０８の機能を利用して、機密プログラム１７０３との通信用ハンドルを取得する。ステップ２４０２では、先に図２３のステップ２３０７にて通信制御プログラム１７００から受信した暗証データを、機密用ＯＳ１２２のドライバ部１１９を経由して機密プログラム１７０３に送付する。
【０１１０】
機密プログラム１７０３では、ステップ２４０３にて、ドライバ部１１７から受信した暗証データと、機密プログラム１７０３が作成した（図２１のステップ２１０１）暗証データとを照合し、結果を前記ドライバ部１１７に返信する。
【０１１１】
前記ドライバ部１１７は、ステップ２４０４にて機密プログラム１７０３からの返信データをチェックする。前記暗証データが一致している場合には、前記機密プログラム１７０３との通信を許可されたと判断し、ステップ２４０５にて、中継プログラム１７０１への返信データとして、機密プログラム１７０３との通信ハンドル値を設定する。一方、前記暗証データに誤りがあった場合は、ステップ２４０６にて、機密プログラム１７０３との通信用ハンドルを解放すると共に、前記中継プログラム１７０１への返信データとしてエラーを設定する。
【０１１２】
中継プログラム１７０１は、ステップ２４０７にてドライバ部１１７からの返信データをチェックし、ハンドル取得に成功していれば、以後、ＯＳ間通信処理部１０８の機能を利用して機密プログラム１７０３とのデータ通信が可能となる（ステップ２４０８）。一方、ハンドル取得に失敗していれば、ステップ２４０９にて所定のエラー処理を実行する。
【０１１３】
図２５は、前記中継プログラム１７０１が機密プログラムとのプロセス間通信に利用していたハンドルを解放する際の処理フローを示したものである。ステップ２５００にて、前記通信制御プログラム１７００は、ＯＳ間通信処理部１０８の機能を用いてサービス用ＯＳ１０３側からのデータ受信が可能な状態となっている。中継プログラム１７０１は、ステップ２５０１にて、サービス用ＯＳ１０３のドライバ部１１７に対してハンドル値を指定して、当該ハンドルの解放を要求する。
【０１１４】
サービス用ＯＳ１０３のドライバ部１１７は、ステップ２５０２にて通信制御プログラム１７００との通信路を確立し、ステップ２５０３にて前記中継プログラム１７０１の識別子とサービス番号を、通信制御プログラム１７００に送付する。
【０１１５】
通信制御プログラム１７００では、ステップ２５０４にて通信管理テーブル２０００を参照し、当該テーブルに登録された中継プログラムであるかを確認する。通信管理テーブル２０００に登録されていれば、ステップ２５０５にて前記中継プログラムに該当する情報を、通信管理テーブル２０００から削除する。通信管理テーブル２０００に記述されていなければ、ステップ２５０６にてその旨を前記ドライバ部１１７に返信するためのエラー設定を行う。ステップ２５０７では、通信管理テーブル２０００との照合結果を返信するとともに、ドライバ部１１７との通信路を解放する。
【０１１６】
前記ドライバ部１１７は、ステップ２５０８にて通信制御プログラム１７００からの返信データをチェックし、通信管理テーブルからの削除に成功していれば、ステップ２５１０にて今度は機密プログラム１７０３との通信に利用していたハンドルの解放処理を実行する。一方、通信管理テーブルからの削除に失敗した場合は、ステップ２５０９にて、前記中継プログラム１７０１への返信データとしてエラーを設定する。
【０１１７】
中継プログラム１７０１は、ステップ２５１１にてドライバ部１１７からの返信データをチェックし、ハンドル解放に成功していれば、ステップ２５１２にて処理を終了する。一方、ハンドル解放に失敗していれば、ステップ２５１３にて所定のエラー処理を実行する。
【０１１８】
以上説明したように、本発明によれば、侵入者が強い権限をもつユーザーに成りすました場合でも、ファイルへのアクセスを制限できるという効果がある。
【０１１９】
また、不正なファイルアクセスを未然に防ぐことができるという効果がある。
【０１２０】
また、機密性の高い情報へのアクセス手段となるプログラム自体を保護できるという効果がある。また、前記ポリシーファイルとアクセス制御手段を、外部からの不正アクセスや攻撃から保護できるという効果がある。
【０１２１】
また、図１に示すシステムの、サーバ情報処理装置とクライアント情報処理装置とを結ぶLAN１１５や、図１７に示すシステムの、サーバ情報処理装置とクライアント情報処理装置とを結ぶ外部ネットワーク１７０６などの通信回線上にファイアウォールを設け、さらに本発明を併用すれば、より強固なセキュリティを確保することが出来る。
【０１２２】
【発明の効果】
本発明によれば、情報処理装置が管理するファイル、情報、および実行中のプロセスを不正なアクセスから保護することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態におけるアクセス制御システムの一構成例を示す図。
【図２】アクセス制御ポリシーの設定を格納するためのポリシーファイルを示す図。
【図３】不正アクセスが発生した事実を記録するためのアクセスログファイルを示す図。
【図４】ファイルＩ／Ｏフックプログラム１０６とアクセス制御プログラム１１０を構成するプログラムルーチンを示す図。
【図５】本発明の実施の一形態において、各モジュール間を流れるデータの通信経路を示す図。
【図６】本発明の実施の一形態において、各モジュール間を流れるデータの構造を示す図。
【図７】ファイルＩ／Ｏフックルーチン４００の処理のフローチャートを示す図。
【図８】オープン処理ルーチン４０１の処理のフローチャートを示す図。
【図９】オープン制御ルーチン４０５の処理のフローチャートを示す図。
【図１０】オープンファイルテーブルの構造体とそのリストを示す図。
【図１１】オープンファイルテーブルに登録されるデータの一例を示す図。
【図１２】クローズ処理ルーチン４０２の処理のフローチャートを示す図。
【図１３】リード・ライト処理ルーチン４０３の処理のフローチャートを示す図。
【図１４】アクセスログ登録ルーチン４０６の処理のフローチャートを示す図。
【図１５】削除・リネーム処理ルーチン４０４の処理のフローチャートを示す図。
【図１６】削除・リネーム処理ルーチン４０７の処理のフローチャートを示す図。
【図１７】プロセス間通信に関するアクセス制御システムの一構成例を示す図。
【図１８】プロセス間通信に関するポリシーの設定を格納するためのファイルを示す図。
【図１９】不正なプロセス間通信が発生した事実を記録するためのログファイルを示す図。
【図２０】通信管理テーブルのリストを示す図。
【図２１】機密用ＯＳ１２２上のプログラムによる通信用ハンドル取得処理のフローチャートを示す図。
【図２２】機密用ＯＳ１２２上のプログラムによる通信用ハンドル解放処理のフローチャートを示す図。
【図２３】サービス用ＯＳ１０３上のプログラムによる通信用ハンドル取得処理のフローチャート（前半）を示す図。
【図２４】サービス用ＯＳ１０３上のプログラムによる通信用ハンドル取得処理のフローチャート（後半）を示す図。
【図２５】サービス用ＯＳ１０３上のプログラムによる通信用ハンドル解放処理のフローチャートを示す図。
【図２６】オープン制御ルーチン４０５の処理のフローチャート（その２）を示す図。
【符号の説明】
１００・・・サーバ情報処理装置、１０１・・・サービス用ＯＳが管理するメモリ、１０２・・・セキュリティ用ＯＳが管理するメモリ、１０３・・・サービス用ＯＳ、１０４・・・セキュリティ用ＯＳ、１０５・・・Ｉ／Ｏマネージャ、１０６・・・ファイルＩ／Ｏフックプログラム、１０７・・・ファイルシステムドライバ、１０８・・・ＯＳ間通信制御部、１０９・・・サーバプログラム、１１０・・・アクセス制御プログラム、１１１・・・ＣＰＵ、１１２・・・ディスクコントローラ、１１３・・・ＬＡＮコントローラ、１１４・・・磁気デバイス、１１５・・・ＬＡＮ、１１６・・・複数ＯＳ制御プログラム、１１７〜１１９・・・ドライバ部、１２０・・・クライアント情報処理装置、１２１・・・クライアントプログラム、２００・・・ポリシーファイル、３００・・・アクセスログファイル、５０１〜５０６・・・通信経路、６００・・・Ｉ／Ｏパケット、６１０・・・リクエストパケット、６２０・・・レスポンスパケット、１０００・・・オープンファイルテーブル、１７００・・・通信制御プログラム、１７０１・・・中継プログラム、１７０３・・・機密プログラム、１７０４〜１７０５・・・機密情報、１７０６・・・外部ネットワークとの接続回線、１７０７・・・内部ネットワークとの接続回線、１７０８・・・機密用ＯＳが管理するメモリ、１８００・・・通信制御ポリシー、１９００・・・通信ログ、２０００・・・通信管理テーブル
【発明の属する技術分野】
本発明は、情報処理装置が管理する情報を不正なアクセスから保護する場合に好適なアクセス制御技術に関する。
【０００２】
【従来の技術】
一般のコンピュータシステムでは、マルチユーザー・マルチタスクＯＳが備えるユーザー認証機構と、該認証結果に基づいたファイルアクセス制御機構を用いて機密情報ファイルの保護を実現しているケースが多い。具体的には、前記ＯＳが実装された情報処理装置を利用する際に、ユーザーは必ず自己のユーザーＩＤとパスワードを入力し、認証を受ける。前記情報処理装置が管理する全てのファイル各々には、ファイルリードやライト等のアクセスタイプ毎に、ユーザーＩＤとグループＩＤを用いてアクセス可能なユーザーを定義したアクセスコントロールリストがセキュリティ属性情報として割り当てられている。ユーザーがアプリケーションプログラムを介してファイルへアクセスした場合、上記ＯＳは、アクセス要求元となるユーザーのＩＤ及び該ユーザーが所属するグループＩＤを、アクセス対象となるファイルに割り当てられたアクセスコントロールリストと照合し、当該リストに前記ユーザーが含まれている場合に限りアクセスを許可するといった制御を行なう。
【０００３】
一方で、インターネットを介した情報発信、情報収集や、各種サービス提供を行なう手段としてＷｏｒｌｄＷｉｄｅＷｅｂ（ＷＷＷ）のサービスが広く使われている。ＷＷＷでは、ＨｙｐｅｒＴｅｘｔＴｒａｎｓｆｅｒＰｒｏｔｏｃｏｌ（ＨＴＴＰ）と呼ばれる通信プロトコルが、リクエストデータとレスポンスデータの転送に用いられている。また、ＷＷＷシステムではコンテンツの不正な差し替えや、ネットワークを経由した機密情報流出を未然に防ぐためのセキュリティ技術がいくつか用意されている。
【０００４】
ＨＴＴＰが有するセキュリティ機構として、基本認証（ＢａｓｉｃＡｕｔｈｅｎｔｉｃａｔｉｏｎ）と呼ばれるものがある。基本認証では、認証情報としてユーザーＩＤとパスワードを予めＷＷＷサーバに登録しておき、ブラウザを通じてユーザーから送信されるユーザーＩＤとパスワードを、前記認証情報と比較して認証を行なう。各コンテンツへのアクセス権限設定を記述したポリシーファイルと、該ポリシーに基づくアクセス制御機構も前記ＷＷＷサーバに実装されている。同様な機構を、ＣｏｍｍｏｎＧａｔｅｗａｙＩｎｔｅｒｆａｃｅ（ＣＧＩ）プログラムに実装し、ユーザー認証とコンテンツへのアクセス制御を実現することも可能である。
【０００５】
ＷＷＷでは、他のセキュリティ技術として、認証局から発行される証明書に基づき、ユーザーとＷＷＷサーバの相互認証と通信データの暗号化を行なうことが可能である。この技術は、消費者のクレジットカード番号がネットワーク上に流れる一部のインターネットショッピングのようなサービスにおいて、必須の技術とされている。これらの技術によるユーザー（クライアント）認証は、ＷＷＷサーバ側のＯＳが具備するユーザー認証機構とは通常独立したものであるが、前記認証に用いるユーザーＩＤや、ユーザーの証明書を、ＯＳが管理するユーザーアカウントに関連付けて使用することができるWWWサーバプログラムもある。つまり、認証されたユーザーは、ＯＳのアクセス制御下でＷＷＷコンテンツにアクセスする。これらのセキュリティ技術については、“Web Security:A Step-by-Step Reference Guide”Lincoln D. Stein著、Addison-Wesley Pub Co;（ISBN:0201634899）などに記載されている。
【０００６】
近年増加しているインターネットサービスプログラム等に潜むセキュリティホールやバグを利用した不正アクセスを解決する他の技術としては、常駐型のファイル監視プログラムを情報処理装置上に設け、定期的にファイルの破壊の有無をチェックする方法が、特開平１０−０６９４１７号公報に開示されている。これと同様の技術として、特定のファイルについてそのサイズの増減やタイムスタンプを定期的にチェックするプログラムを情報処理装置上に設け、該ファイルの変化を検知するツールが、シェアウエアやフリーウエアとして幾つか公開されている。
【０００７】
【発明が解決しようとする課題】
先に述べたセキュリティホールやバグに関する情報は、ｈｔｔｐ：／／ｗｗｗ．ｃｅｒｔ．ｏｒｇ／等で報告され、バグ修正用のプログラムも各メーカーから配布されるようになっている。しかし、攻撃者あるいは侵入者は、あらゆる手段を用いて外部ネットワークから情報処理装置への侵入を試みる。たとえば、前記マルチユーザー・マルチタスクなＯＳが具備するアクセス制御機構では、アクセス要求元のユーザーＩＤとその所属グループに基づいてアクセスの可否を判断しているため、ＯＳの管理者のような強い権限をもつユーザーに成りすまして侵入すれば、システム中のいかなるファイルにもアクセスできるので、システム中の情報を書き換えたり、機密情報を盗み出すことがてきてしまう。
【０００８】
また、前記ファイルの変化を定期的にチェックする手法では、ファイルが改ざんされた後の検出になるため、不正アクセスが発生したことは分かるが、それを未然に防ぐことができないと共に、ファイルの不正な読み出しについては事後検出もできない。
【０００９】
また、前記ＷＷＷサーバやＣＧＩプログラムを利用してコンテンツのアクセス制御機能を実現したシステムにおいては、各コンテンツへのアクセス権限設定を記述したポリシーファイルも、その他のファイルと同じく不正アクセスの対象になる。したがって、該ポリシーファイルが破壊あるいは改ざんされた場合には、前記アクセス制御機能が正常に働かない。
【００１０】
本発明の目的は、アクセス要求元（サブジェクト）がいかなる権限をもつ場合でも、そのアクセス手段およびアクセス対象（オブジェクト）を制限することが可能なアクセス制御システム及びその方法を提供することにある。
【００１１】
本発明の他の目的は、不正なファイルアクセスを未然に防ぐことが可能なアクセス制御システム及びその方法を提供することにある。
【００１２】
本発明の他の目的は、アクセス権限設定を記述したポリシーファイルと、該ポリシーファイルに基づいてアクセス制御を施行するプログラムを、外部からの不正アクセスや攻撃から保護可能なアクセス制御システム及びその方法を提供することにある。
【００１３】
本発明の他の目的は、例えば機密情報にアクセスしながらサービスを提供するようなアプリケーションプログラムを、外部からの不正アクセスから保護可能なアクセス制御システム及びその方法を提供することにある。
【００１４】
【課題を解決するための手段】
上記目的を達成するために、本発明では、ファイルアクセスに関するアクセス制御ポリシーとして、より厳密にアクセス要求を特定する情報、すなわち、アクセス要求元とアクセス実行手段とアクセスタイプとを特定する情報を用いる。
【００１５】
さらに具体的には、特定のファイルへのアクセスを、特定のユーザーが特定のプログラムを用いた場合のみ許可するアクセス制御ポリシーを記述したポリシーファイルを作り、アクセス制御手段が、ファイルへのアクセスが発生したときに、前記ポリシーファイルの記述に従ってアクセスの正当性すなわち可否を判定する。前記アクセス制御ポリシーには、アクセス対象となるファイルの名称と、アクセスが許可されたユーザー名とプログラム名の組合せを、ファイルのオープン・リード・ライト・削除・リネームといったアクセスタイプ毎に予め規定しておく。
【００１６】
また、不正なファイルアクセスを未然に防ぐために、本発明では、前記ファイルアクセスを監視するファイルＩ／Ｏ（Ｉｎｐｕｔ／Ｏｕｔｐｕｔ）フック手段を前記情報処理装置に設け、該ファイルＩ／Ｏフック手段は、前記アクセスを検知した時に、当該アクセスタイプ及びアクセス対象となるファイルの名称と、該アクセスの要求元となるユーザー名及びプログラム名を取得して前記アクセス制御手段に送信する。前記アクセス制御手段は、受信内容を前記ポリシーファイルの内容と照合し、該ポリシーに違反するアクセスであれば当該アクセスを無効にし、前記ファイルＩ／Ｏフック手段を経由して前記アクセス要求元にエラーを返す。
【００１７】
また、前記ポリシーファイルと前記アクセス制御手段を保護するために、本発明では、１台の情報処理装置上に２つのＯＳと、両ＯＳ間でデータ通信するためのプロセス間通信手段と、両ＯＳが互いに排他的に占有するメモリや磁気ディスクおよびネットワークデバイスを設ける。前記２つのＯＳのうち一方をアクセス監視対象となるサービス用ＯＳとして使用し前記ファイルＩ／Ｏフック手段を前記サービス用ＯＳのカーネルレベルのモジュールとして設ける。もう一方をセキュリティ用ＯＳとして使用し、前記アクセス制御手段および前記ポリシーファイルを占有する磁気ディスクに格納すると共に、前記アクセス制御手段をプロセスとして動作させ、該アクセス制御手段とポリシーファイルを前記サービス用ＯＳ上の、サービスを受けるユーザが使うプロセスからアクセスできないようにする。
【００１８】
一方、よりセキュリティを高めるために、機密情報を取り扱うようなアプリケーションプログラム（以後、機密プログラムと称す）とのプロセス間通信に関するアクセス制御ポリシーとして、より厳密にアクセス要求を特定する情報、すなわち、アクセス要求元とアクセス実行手段とを特定する情報を用いてもよい。具体的には、特定の機密プログラムとのプロセス間通信を、特定のユーザーが特定のプログラムを用いた場合のみ許可するアクセス制御ポリシーを記述したポリシーファイルを作り、複数のアプリケーションプログラム間で通信が発生したときに、プロセス間通信手段が当該通信を検知してアクセス制御手段に通知し、アクセス制御手段が前記ポリシーファイルの記述に従って通信の正当性すなわち可否を判定する。前記アクセス制御ポリシーには、通信機能を備える機密プログラムの名称と、当該機密プログラムとの通信が許可されたユーザー名とプログラム名の組合せを予め規定しておく。
【００１９】
この場合は，前記機密プログラムと当該機密プログラムがアクセスする機密情報ファイルについても、前記セキュリティ用ＯＳが占有する磁気ディスクに格納すると共に、前記機密プログラムをセキュリティ用ＯＳ上のプロセスとして動作させることでサービス用ＯＳ側からの不正アクセスから保護する。もしくは、セキュリティ用ＯＳやサービス用ＯＳとは別の第３のＯＳと、各ＯＳ間で通信するためのプロセス間通信手段と、各ＯＳが互いに排他的に占有するメモリや磁気ディスクおよびネットワークデバイスを設け、前記機密プログラムと当該プログラムがアクセスする機密情報ファイルを、前記第３のＯＳが占有する磁気ディスクに格納すると共に、第３のＯＳ上のプロセスとして動作させることで、サービス用ＯＳ側からの不正アクセスから保護する。
【００２０】
本発明におけるＯＳとは、ユーザーまたはプログラムからの要求に応じて記憶媒体中のデータ、ファイルへのアクセスを実行する機能と、アクセス要求元のユーザーやプログラムを識別する機能と、排他制御機構により占有する記憶手段を有するプログラムモジュールを意味しており、
・データ（ファイル）アクセスを管理しており、検知が可能である。
・アクセス要求元のユーザーを識別できる。
・アクセス要求元のアプリケーションを識別できる。
【００２１】
といった特徴を持つ。したがって、一般的にＯＳと呼ばれるものに限らず上記特徴を持つものであれば、本発明を適用することは可能である。
【００２２】
また，サービス提供とは，リクエストに応じて所定の処理を実行し、その処理結果を要求元に返すことを指し，また，サービス利用とは，上記サービス提供をおこなうものに対して、リクエストを発行し、その処理結果を受け取ることを指す。
【００２３】
また，機密情報とは、システム利用者のうち、権限を持つものだけがその内容および存在自体を知り得るような情報を指し，機密プログラムとは、このような情報を扱いながら所定を処理を実行するプログラムを指す。
【００２４】
本発明を実現するのに必要な各プログラム（コード、モジュール、ユニットともいう）は，ネットワークに接続される他のサーバからコンピュータが読み取り可能な媒体，すなわちネットワーク上の伝送信号，またはＣＤＲＯＭ，ＦＤなどの可搬型記憶媒体，を経由して，事前にまたは必要なときに導入してもよい。
【００２５】
【発明の実施の形態】
以下、図を用いて本発明の実施の一形態を説明する。
【００２６】
図１は、本発明のアクセス制御システムの一構成例である。１００はサーバ情報処理装置であり、サービス用オペレーティングシステム（ＯＳ）１０３が管理するメモリ１０１、当該サービス用ＯＳ１０３が占有するディスクコントローラ１１２ａと磁気ディスク１１４ａとＬＡＮコントローラ１１３、セキュリティ用ＯＳ１０４が管理するメモリ１０２と、当該セキュリティ用ＯＳ１０４が占有するディスクコントローラ１１２ｂと磁気ディスク１１４ｂその他を備える。
【００２７】
複数ＯＳ制御プログラム１１６は、サーバ情報処理装置上で複数のＯＳ（本実施例ではサービス用ＯＳ１０３とセキュリティ用ＯＳ１０４）が動作するための各種の制御をする部分で、各ハードウェアの初期化および、メモリと磁気ディスクの分割占有処理、ＣＰＵのスケジューリング、割り込み処理等を行う。ＯＳ間通信処理部１０８は、複数ＯＳ制御プログラム１１６の中に存在し、サーバ情報処理装置上で動作するＯＳ間での通信機能を提供する。や
サーバ情報処理装置１００の起動時には、前記複数ＯＳ制御プログラム１１６が各ハードウェアの初期化およびＯＳ毎のハードウェア分割占有処理等を行い、サービス用ＯＳ１０３とサーバプログラム１０９がディスクコントローラ１１２ａを介して磁気ディスク１１４ａからメモリ１０１上にロードされると共に、セキュリティ用ＯＳ１０４とアクセス制御プログラム１１０がディスクコントローラ１１２ｂを介して磁気ディスク１１４ｂからメモリ１０２上にロードされる。前記ＯＳ間通信処理部１０８は、ファイルＩ／Ｏフックプログラムと前記アクセス制御プログラム１１０との間でデータ交換を行なうために使用するものとし、前記サーバプログラム１０９からは直接使用できないインタフェースとなっている。
【００２８】
なお、ＯＳ間通信処理部１０８は、サービス用ＯＳ１０３に含まれるプロセス間通信プログラムとして、構成することも可能である。
【００２９】
また、サービス用ＯＳ１０３は、流通している既存のマルチユーザー・マルチタスクなＯＳと同様、ユーザーの識別・認証機能を具備しているものとする。前記サーバ情報処理装置１００と複数のクライアント情報処理装置１２０は、ローカルエリアネットワーク（ＬＡＮ）１１５を介して相互に接続されており、前記サーバプログラム１０９は、ＬＡＮコントローラ１１３とＬＡＮ１１５を介して、クライアントプログラム１２１からのリクエストの受信と、当該クライアントプログラム１２１へのレスポンスの送信を行なう。サーバプログラム１０９とクライアントプログラム１２１は、例えばＷＷＷサーバとブラウザに相当するプログラムである。なお、前記サーバ情報処理装置１００とクライアント情報処理装置１２０は、電話回線やインターネットを介して接続されていてもよい。また、サービス用ＯＳ１０３とセキュリティＯＳとは、ＯＳ間通信のインタフェースを非公開にすれば別々の装置上にあっても良く、セキュリティ的にも問題はない。
【００３０】
前記サーバプログラム１０９のようにＯＳ上で動作するアプリケーションプログラムは、一般にユーザーレベルのプロセスと呼ばれている。該サーバプログラム１０９は、前述のようにクライアントプログラム１２１からのリクエストに基いて処理を実行するものであり、言い換えればネットワークからの攻撃の対象にもなり得るプログラムである。これに対し、ファイルＩ／Ｏフックプログラム１０６やファイルシステムドライバ１０７のようにＯＳの一機能として動作するプログラムは、一般にカーネルレベルのモジュールと呼ばれており、多くのコンピュータシステムではアクセス制御機能をカーネルレベルのモジュールとして実装している。
【００３１】
図１のサーバ情報処理装置１００のように、１台の情報処理装置上に複数のＯＳを同時に動作させるための技術としては、仮想計算機あるいはマイクロカーネルがある。その他、リアルタイムＯＳを一般的なＯＳのカーネルレベルのモジュールとして実装すると共に、前記リアルタイムＯＳがシステム障害を検知すると、リアルタイム処理を継続しながらもシステムを自動的に再起動する方法が、特開平１１−０２４９４３号公報に開示されている。また、ＯＳ間通信処理部１０８のような、異種ＯＳ上のプロセス間通信を実現する方法は、特開平１１−０８５５４６号公報に開示されている。これらを本発明の前提条件として、引続き実施の形態を述べる。
【００３２】
図２は、前記ポリシーファイル２００のデータ構造を示したものである。
【００３３】
２１０から２１２は、ポリシー記述の一例を示したものである。オブジェクト名２０１は、アクセスを制限すべきファイルの名称を示す。オブジェクト名として、２１０や２１２のようにファイル単位の指定と、２１１のようなディレクトリ単位の指定が可能となっている。ディレクトリ単位の指定では、該ディレクトリ名に続くファイル名を所定の文字、記号（たとえばアスタリスク（＊））で表記する。前記オブジェクトに対して禁止すべきアクセスを、禁止されたアクセスのタイプ２０２に示す。エラーコード２０３は、前記禁止されたアクセスのタイプ２０２が発生した際に、当該アクセス発行元（サブジェクト）となるプログラムに返すべきエラーコードを示す。例外サブジェクト２０４は、特別にアクセスを許されたプログラムの名称である。プログラムのハッシュ値２０５は、前記例外サブジェクトとして指定されたプログラムファイルの特徴値（ハッシュ値）をたとえば８バイトで表したものである。ユーザー名２０６は、前記例外サブジェクト２０４のプログラムを利用可能なユーザーを、前記サービス用ＯＳ１０３が管理するユーザー名またはグループ名で表したものである。
【００３４】
つまり前記ポリシーは、前記プログラムのハッシュ値２０５に登録されたハッシュ値を有するプログラムが前記例外サブジェクトとして登録され、且つ該プログラムをユーザー名２０６に登録されたユーザーあるいはグループのメンバーが利用している場合に限り、例外としてアクセスを許可することを表している。同時に、これら条件が整っていない場合は、アクセス発行元のプログラムに対して前記エラーコード２０３を返すことを意味する。
【００３５】
前記ポリシーファイル２００の設定は、システムのセキュリティ管理者が行なうものとする。例えば、ＨＴＭＬファイルなどのＷＷＷコンテンツを侵入者によって不正に書き換えられないようにするには、該ＨＴＭＬファイルへのライトアクセスを原則として禁止しておき、例外としてコンテンツ管理者に任命されているユーザーが特定のＨＴＭＬ編集用プログラムを用いた場合に限りライトアクセスを許可するといったポリシーを前記ポリシーファイル２００に記述すればよい。
【００３６】
例外サブジェクトには、サーバプログラム１０９のように、ネットワークからの攻撃を受けやすいプログラムを指定しないことが重要である。更に例外サブジェクトとして登録するプログラムを、ＣＤ−ＲＯＭ等の取り外し可能な記憶媒体に格納しておき、必要なときだけ媒体を装着して使用すればより確実に保護できるので、さらなるセキュリティ効果が期待できる。図１の構成に当該媒体の駆動装置を追加し、ディスクコントローラ１１２ａが当該駆動装置に対応すれば、このような記憶媒体が使用可能となる。
【００３７】
図３は、アクセスログファイル３００のデータ構造の一例を示したものである。アクセスログファイル３００は、前記ポリシーファイル２００にて禁じられているアクセスが発生した事実を、アクセス制御プログラム１１０のアクセスログ登録ルーチン４０６が書き込むためのファイルであり、当該アクセスが発生した日時３０１と、当該アクセスの対象となったファイルを表すオブジェクト名３０２と、当該アクセスのタイプ３０３、当該アクセスを発行したプログラムを表すサブジェクト名３０４、そして前記プログラムを利用していたユーザーを表すユーザー名３０５から構成される。
【００３８】
図４に、ファイルＩ／Ｏフックプログラム１０６と、アクセス制御プログラム１１０の構成を示す。
【００３９】
ファイルＩ／Ｏフックプログラム１０６は、前記サーバ情報処理装置１００の起動時に、サービス用ＯＳ１０３と共にメモリ１０１上にロードされる。アクセス制御プログラム１１０は、前記サーバ情報処理装置１００の起動時に、セキュリティ用ＯＳ１０４と共にメモリ１０２上にロードされる。
【００４０】
図５と図６を用いて、本発明のアクセス制御の概要を記す。
【００４１】
図５は、Ｉ／Ｏマネージャ１０５と、ファイルＩ／Ｏフックプログラム１０６と、アクセス制御プログラム１１０の三者間における処理の流れを示すものである。５０１は、サーバプログラム１０９が発行したファイルアクセスが、Ｉ／Ｏマネージャ１０５を経由してファイルＩ／Ｏフックプログラム１０６に到達するまでの通信経路であり、サービス用ＯＳ１０３の上で動作する全てのアプリケーションプログラムからのファイルアクセスについて共通なものである。ファイルＩ／Ｏフックプログラム１０６には、図６に示すＩ／Ｏパケット６００のデータが渡される。Ｉ／Ｏパケット６００は、Ｉ／Ｏフックプログラム１０６に渡される前にサービス用ＯＳ１０３が具備するアクセス制御機構をパスしていることと仮定して説明するが、これに限ったものではなく、前記アクセス制御プログラム１１０のチェックをパスしてからサービス用ＯＳ１０３が具備するアクセス制御機構のチェックを受けるものであってもよい。
【００４２】
図６は、前記三者間を流れるパケットのデータ構造を示したものである。６０１はアクセス対象のファイルを表すオブジェクト名である。６０２は前記オブジェクトへのアクセスタイプを示す。６０３は、当該アクセスを発行したプログラムのプロセスＩＤを示す。６０４は当該アクセスの処理結果を示すステータスを示す。６０５は当該アクセスに関連するデータの長さを示すものであり、例えば前記アクセスタイプ６０２がファイルへの書込み（ライト）要求であれば、書込みデータがデータ領域６０７に格納され、当該書込みデータの長さがデータ長６０５に格納される。６０６は、前記データ領域６０７へのポインタである。
【００４３】
図５において、５０２は、ファイルＩ／Ｏフックプログラム１０６が検知したファイルオープン要求に関するアクセス権限チェックと、アクセスログ３００への書き込みを、アクセス制御プログラム１１０に対してリクエストするに用いる通信経路である。前記リクエストのデータ構造を、図６のリクエストパケット６１０に示す。サブジェクト名６１１は、ファイルアクセスの発行元となるプログラムの名称であり、ユーザー名６１２は、前記プログラムの利用者をユーザー名とグループ名で表すものである。サブジェクト名６１１及びユーザー名６１２は、受信したＩ／Ｏパケット６００に含まれるプロセスＩＤ６０３を指定して、前記サービス用ＯＳ１０３として用いる標準のＯＳに対してシステムコールを発行することで取得できる。
【００４４】
前記リクエストパケット６１０は、ＯＳ間通信処理部１０８が当該パケットのデータを、ファイルＩ／Ｏフックプログラムのメモリ空間６３０からアクセス制御プログラムのメモリ空間６４０に複写することで伝達される。アクセス制御プログラム１１０では、受信したリクエストパケットに含まれる情報を、ポリシーファイル２００の内容と照合し、その結果をレスポンスパケット６２０に登録して前記ファイルＩ／Ｏフックプログラムに伝達する。この伝達は、前記通信経路５０２と同様に、ＯＳ間通信処理部１０８が前記パケットのデータを、アクセス制御プログラムのメモリ空間６４０からファイルＩ／Ｏフックプログラムのメモリ空間６３０に複写することで達成される。５０３は、当該レスポンスパケットの通信経路を示すものである。
【００４５】
ファイルＩ／Ｏフックプログラム１０６は、受信したレスポンスパケット６２０の内容から当該アクセスの可否を判断し、アクセス不可であればエラーコード２０３をＩ／Ｏパケット６００のステータス６０４に設定し、当該Ｉ／Ｏパケットを前記Ｉ／Ｏマネージャ１０５に返す。前記ステータス６０４にエラーコードが設定されている場合、前記Ｉ／Ｏマネージャ１０５は、通信経路５０６を用いてファイルアクセス発行元のサーバプログラム１０９に当該エラーを返す。一方、前記ステータス６０４にエラーコードが設定されていなければ、通信経路５０５を用いてファイルシステムドライバ１０７及びディスクコントローラ１１２ａを介して磁気ディスク１１４ａへのファイルアクセスを続行し、通信経路５０６を用いて当該アクセスの結果を前記サーバプログラム１０９に返す。
【００４６】
本発明のアクセス制御の具体的処理内容を、図７から図１６を用いて説明する。
【００４７】
図７は、ファイルＩ／Ｏフックプログラム１０６が具備するファイルＩ／Ｏフックルーチンの処理内容を示すフロー図である。
【００４８】
サーバプログラム１０９が、ステップ７０１でクライアントプログラム１２１からのリクエストを受信し、ステップ７０２で前記リクエストに応じたファイルアクセスをサービス用ＯＳ１０３に対して発行した場合を想定する。
【００４９】
当該ファイルアクセスは、通信経路５０１を経由して、ファイルＩ／Ｏフックルーチン４００にＩ／Ｏパケット６００として渡される（ステップ７０３）。ステップ７０３からステップ７１２は、ファイルＩ／Ｏフックルーチン４００の処理フローである。ステップ７０４では、Ｉ／Ｏパケット６００に含まれるプロセスＩＤ６０３から、ファイルアクセス発行元のサブジェクト名６１１とユーザー名６１２を取得する。
【００５０】
ステップ７０５からステップ７０８では、アクセスタイプ６０２を調べ、ファイルオープン、ファイルクローズ、ファイルリード又はライト、またはファイル削除又はリネームにそれぞれ対応する処理ルーチンを実行する。これらに該当しない場合、又は対応する処理ルーチンを実行した後は、通信経路５０４を経由して、ステップ７１３にてＩ／Ｏマネージャ１０５の処理に戻る。
【００５１】
図８を用いてオープン処理ルーチン４０１の処理フローを説明する。ステップ８０１では、アクセス日時として現在の日付と時刻を取得する。ステップ８０２では、リクエストパケット６１０を作成すると共に、当該パケット中のエラーコード２０３とハッシュ値２０５を０に初期設定する。次にステップ８０３にて、アクセス制御プログラム１１０のオープン制御ルーチン４０５をコールすると共に、前記リクエストパケット６１０をオープン制御ルーチン４０５に渡す。
【００５２】
オープン制御ルーチン４０５の処理フローを、図９を用いて説明する。ステップ９０１では、受信したリクエストパケット６１０のうち、オブジェクト名６０１とアクセスタイプ６０２の内容を、ポリシーファイル２００と照合する。ステップ９０２では、当該アクセスが禁止されたアクセスのタイプとして登録されているかどうかを判別する。このとき、禁止されたアクセスタイプに該当しなければ正当なアクセスとみなし、ステップ９０３にて、許可されたアクセスタイプをレスポンスパケット６２０の認可アクセス６１３に登録し、オープン処理ルーチン４０１の処理に戻る。ここで、許可されたアクセスタイプとは、オブジェクト名６０１で示されるファイルに対するリードとライトの内、サブジェクト名６１１で示されるプログラムから実行可能なアクセスタイプのことを表す。したがって、オブジェクト名６０１で示されるファイルに対して、ポリシーファイル２００の中でリードとライト共に許可されていれば、認可アクセス６１３にはリードとライトの両方を登録する。また、リードのみが許可されている場合はリードのみを、ライトのみが許可されている場合はライトのみを前記認可アクセス６１３に登録する。リードとライトの両方を禁じる場合には、ポリシーとして当該ファイルのオープンを禁止するよう、予めポリシーファイル２００に記述しておけばよい。
【００５３】
ステップ９０２にて禁止されたアクセスだと判断した場合、ステップ９０４にて、前記サブジェクト名６１１とユーザー名６１２が、共にポリシーファイル２００に記述された例外サブジェクト２０４とユーザー名２０６に該当するか否かを判別する。このとき、サブジェクト名については該プログラムファイルのパス名が完全に一致するか否かを判別する。またユーザー名については、ユーザー名６１２に含まれるユーザー名とグループ名のいずれかが一致するか否かを判別する。判別の結果、例外サブジェクト２０４かつユーザー名２０６に該当する場合、ステップ９０５にて当該プログラムファイルのハッシュ値２０５をポリシーファイル２００から取得して、レスポンスパケット６２０に設定する。また、ステップ９０６では、ステップ９０３と同様に、許可されたアクセスタイプをレスポンスパケット６２０の認可アクセス６１３として設定する。その後、ステップ９０８で、該当するエラーコード２０３をレスポンスパケット６２０に設定してから、オープン処理ルーチン４０１へ戻る。ここでのエラーコード設定は、オープン処理ルーチン４０１のステップ８０４からステップ８１２の処理の中で意味を持つものである。
【００５４】
ステップ９０４にて、例外サブジェクト２０４とユーザー名２０６とに該当しないと判断した場合、ステップ９０７にて、当該アクセスの内容をアクセスログファイル３００に書込む。その後、ステップ９０８で、該当するエラーコード２０３をレスポンスパケット６２０に設定してから、オープン処理ルーチン４０１へ戻る。
【００５５】
次に、図８において、ステップ８０４ではレスポンスパケット中のハッシュ値２０５の値を調べ、０であれば例外として認められたアクセスではないと判断し、ステップ８０５でエラーコードの値をチェックする。エラーコードが０でなければ禁止されたアクセスであったと判断し、ステップ８０６にて、Ｉ／Ｏパケット６００のステータス６０４に、当該エラーコード２０３を設定して処理を終了する。ステップ８０５で、エラーコードが０であれば、正当なアクセスであったと判断し、ステップ８１０にて当該アクセス情報を後述するオープンファイルテーブルの先頭アドレスに登録してから処理を終了する。
【００５６】
ステップ８０４でハッシュ値が０でない場合は、例外として認められたサブジェクトであると判断し、ステップ８０７にてサブジェクト名６０１で示されるプログラムファイルのハッシュ値を算出し、ステップ８０８にてレスポンスパケット中のハッシュ値２０５と比較する。両者が等しければ、例外サブジェクト２０４に相当するとみなして、ステップ８１２にて当該アクセス情報をオープンファイルテーブルの先頭アドレスに登録してから本ルーチンの処理を終了する。ハッシュ値が等しくなければ、前記プログラムファイルが不正なプログラムであるとみなして、ステップ８０９にて前記リクエストパケットにおけるサブジェクト名６１１を例外サブジェクトにならないように、例えばサブジェクト名としてnullデータに、変更し、、ステップ８１０にてアクセスログ登録ルーチン４０６をコールすると共に前記リクエストパケット６１０をアクセスログ登録ルーチン４０６に渡す。
【００５７】
該アクセスログ登録ルーチン４０６の処理フローを、図１４を用いて説明する。ステップ１４０１で、リクエストパケット６１０の内容をポリシーファイル２００と照合する。予め前記ステップ８０９で例外サブジェクト扱いにならぬようにサブジェクト名６１１をクリアしておくことにより、必ず禁止されたオープンアクセスとして扱われる。ステップ１４０２にて、該当するエラーコードをポリシーファイル２００から読み出してレスポンスパケット６２０に設定し、当該パケットを返す。ステップ１４０３にて当該アクセス内容を、アクセスログファイル３００に書き込み、オープン処理ルーチン４０１の処理に戻る。
【００５８】
図８のオープン処理ルーチン４０１において、ステップ８１１でレスポンスパケット中のエラーコード２０３をＩ／Ｏパケットのステータス６０４に設定して本ルーチンの処理を終了する。
【００５９】
図１０を用いてオープンファイルテーブルについて説明する。オープンファイルテーブル１０００は、現在オープン中のファイルに関する情報を格納した構造体データ１００２の集合である。１個の構造体には１件のオープンファイルの情報を記憶しており、ファイルＩ／Ｏフックプログラム１０６では、各構造体を先頭アドレス１００１とポインタ１００３によりリストとして管理する。本オープンファイルテーブル１０００の一例を図１１に示す。
【００６０】
オープンファイルテーブル１０００に登録された情報に該当するアクセスであれば、該アクセスを許可することになるため、オープンファイルテーブル１０００を不正に書換えられないよう保護することが重要である。サービス用ＯＳ１０３として、プロセス毎に独立したメモリ空間が割当てられると共にメモリ空間の排他制御機構が働くＯＳを使うことで、前記オープンファイルテーブル１０００も別プロセスからは不正に書換えできない仕組みにすることが可能になる。
【００６１】
図１２は、クローズ処理ルーチン４０２の処理フローを示したものである。ステップ１２０１では、受信したＩ／Ｏパケット６００の中にあるオブジェクト名６０１と、プロセスＩＤ６０３、並びにプロセスＩＤ６０３から取得したサブジェクト名６１１およびユーザー名６１２の組み合わせと同じものをオープンファイルテーブル１０００から検索する。ステップ１２０２で、該当する情報がテーブルにあれば、ステップ１２０３にて該当する情報をテーブルから削除する。一方、テーブルに存在しなければ、ポリシーファイル２００に登録されていないファイルへのクローズ要求とみなし、本ルーチンの処理を終了する。
【００６２】
図１３は、リード・ライト処理ルーチン４０３の処理フローを表したものである。ステップ１３０１では、受信したＩ／Ｏパケット６００の中にあるオブジェクト名６０１と、プロセスＩＤ６０３と、プロセスＩＤ６０３から取得したサブジェクト名６１１と、ユーザー名６１２との組み合わせと同じものをオープンファイルテーブル１０００から検索し、更にアクセスタイプ６０２が認可されたアクセスタイプ６１３に含まれるか否かをチェックする。ステップ１３０２にて、前記オブジェクト名６０１と、プロセスＩＤ６０３と、サブジェクト名６１１と、ユーザー名６１２と、アクセスタイプ６０２との組合せがテーブル１０００にあれば、本ルーチンの処理を終了する。このことは、オープンファイルテーブル１０００に登録されたアクセスであれば正当なアクセスであるとみなし、アクセス制御プログラム１１０の処理を行わないことを意味する。これは、本発明のアクセス制御によって生じるシステムのパフォーマンス低下を軽減する効果がある。
【００６３】
ステップ１３０２にて、オープンファイルテーブルに登録されたアクセスでなければ前記ポリシーファイル２００により禁止されたアクセスとみなし、ステップ１３０３でアクセス日時を取得し、ステップ１３０４でリクエストパケット６１０を作成する。このとき、エラーコード２０３を０に初期設定する。この後、ステップ１３０５にてアクセスログ登録ルーチン４０６の処理にジャンプする。
【００６４】
図１４のアクセスログ登録ルーチン４０６において、ステップ１４０１ではリクエストパケット６１０の内容をポリシーファイル２００と照合し、ステップ１４０２にて、該当するエラーコードをポリシーファイル２００から読み出してレスポンスパケット６２０に設定する。次に、ステップ１４０３にて当該アクセス内容を、アクセスログファイル３００に書き込み、リード・ライト処理ルーチン４０３の処理に戻る。リード・ライト処理ルーチン４０３では、図１３のステップ１３０６において、レスポンスパケットで受信したエラーコードをＩ／Ｏパケットのステータス６０４に設定し、本ルーチンの処理を終了する。
【００６５】
図１５は、削除・リネーム処理ルーチン４０４の処理フローを表したものである。図８のオープン処理ルーチン４０１と同じ処理内容のステップには同じ番号を付している。
【００６６】
ステップ１５０３にて、アクセス制御プログラム１１０の削除・リネーム制御ルーチン４０７をコールすると共に、前記リクエストパケット６１０を削除・リネーム制御ルーチンに渡す。
【００６７】
削除・リネーム制御ルーチン４０７の処理フローを、図１６を用いて説明する。図９のオープン制御ルーチン４０５と同じ処理内容のステップには同じ番号を付している。ステップ１６０２では、当該アクセスが禁止されたアクセスのタイプとして登録されているかどうかを判別する。禁止されたアクセスタイプに該当しなければ正当なアクセスとみなし、削除・リネーム処理ルーチン４０４の処理に戻る。
【００６８】
ステップ１６０２にて禁止されたアクセスだと判断した場合、図９と同様にステップ９０４、９０５の処理を行い、ステップ１６０３にて、例外サブジェクト２０４とユーザー名２０６に該当しないと判断した場合、図９と同様にステップ９０７の処理を行う。
【００６９】
ステップ９０５または９０７の処理を済ませると、ステップ９０８で、該当するエラーコード２０３をレスポンスパケット６２０に設定してから、削除・リネーム処理ルーチン４０４へ戻る。
【００７０】
次に図１５において、図８と同様にステップ８０４の処理を行う。ステップ１５０５では、エラーコードが０であれば、正当なアクセスであったと判断し、本ルーチンの処理を終了する。ステップ８０７にてサブジェクト名６０１で示されるプログラムファイルのハッシュ値を算出し、ステップ８０８にてレスポンスパケット中のハッシュ値２０５と比較して、両者が等しければ、例外サブジェクト２０４に相当するとみなして本ルーチンの処理を終了する。ハッシュ値が等しくない場合は図８と同様の処理を行い、アクセスログ登録ルーチン４０６を呼び出す。当該ルーチンが処理を済ませると削除・リネーム処理ルーチン４０４の処理に戻る。
【００７１】
図１５において、ステップ１５１１でレスポンスパケット中のエラーコード２０３をＩ／Ｏパケットのステータス６０４に設定して本ルーチンの処理を終了する。
【００７２】
以上、本発明の実施の一形態を説明したが、ＯＳが備えるファイルシステムの種類によっては、ファイルオープン要求を表すＩ／Ｏパケットの中に、目的となるアクセスタイプを付属情報として含むものがある。つまり、ファイルのリードアクセスをするためのオープン要求なのか、リード・ライトのためのオープン要求なのかを、前記Ｉ／Ｏパケット６００中のアクセスタイプ６０２から検知できる。このようなファイルシステムを前提とした場合には、図７に示すファイルＩ／Ｏフックルーチン４００の処理フローと、図８に示すオープン処理ルーチン４０１の処理フローと、更に図９に示すオープン制御ルーチン４０５の処理フローとを変更することにより、前記オープンファイルテーブル１０００の管理が不要なアクセス制御システムが実現できる。
【００７３】
図７においてはファイルＩ／Ｏフックルーチン４００の処理フローから、ステップ７０６と、ステップ７０７と、ステップ７１０と、ステップ７１１を省く。つまり、ファイルオープン要求と、ファイル削除要求と、ファイルのリネーム要求のいずれかを検知し、ファイルのオープン要求であれば、ステップ７０９にてオープン処理ルーチン４０１の処理に移り、削除又はリネーム要求であれば、ステップ７１２にて削除・リネーム処理ルーチン４０４の処理に移るよう、ファイルＩ／Ｏフックルーチン４００の処理フローを変更すればよい。
【００７４】
図８においては，オープン処理ルーチンの処理フローから、ステップ８１２の処理を省く。つまり、ステップ８０８でのハッシュ値照合処理の結果、等しければ本ルーチンの処理を終了するよう、オープン処理ルーチン４０１の処理フローを変更する。
【００７５】
更に、図９で説明したオープン制御ルーチン４０５の処理フローは、図２６に示す処理フローに変更する。図２６のステップ２８０１における処理，すなわち，受信したリクエストパケット６１０のうち、オブジェクト名６０１とアクセスタイプ６０２の内容を、ポリシーファイル２００と照合するといった処理において、このときアクセスタイプ６０２の中に含まれる前記オープン要求の付属情報（リードやライト）まで取得して、前記ポリシーファイル２００と照合する。本発明では、前記オープン要求の付属情報として、リードとライトの両方が含まれる場合、リードとライトの両方、もしくはいずれか一方が禁止されたアクセスとしてポリシーファイル２００に記述されていれば、当該オープン要求を禁止されたアクセスとしてみなす。
【００７６】
ステップ２８０２では、当該アクセスが禁止されたアクセスのタイプとして登録されているかどうかを判別する。このとき、禁止されたアクセスタイプに該当しなければ正当なアクセスとみなし、ステップ２８０３にて、レスポンスパケット６２０のエラーコード２０３と、ハッシュ値２０５を共に０を設定し、オープン処理ルーチン４０１の処理に戻る。リードとライトの両方を禁じる場合には、ポリシーとして当該ファイルのオープンを禁止するよう、予めポリシーファイル２００に記述しておけばよい。
【００７７】
ステップ２８０２にて禁止されたアクセスだと判断した場合、ステップ２８０４にて、前記サブジェクト名６１１とユーザー名６１２が、共にポリシーファイル２００に記述された例外サブジェクト２０４とユーザー名２０６に該当するか否かを判別する。このとき、サブジェクト名については該プログラムファイルのパス名が完全に一致するか否かを判別する。またユーザー名については、ユーザー名６１２に含まれるユーザー名とグループ名のいずれかが一致するか否かを判別する。判別の結果、例外サブジェクト２０４かつユーザー名２０６に該当する場合、ステップ２８０５にて当該プログラムファイルのハッシュ値２０５をポリシーファイル２００から取得して、レスポンスパケット６２０に設定する。その後、ステップ２８０８で、該当するエラーコード２０３をレスポンスパケット６２０に設定してから、オープン処理ルーチン４０１へ戻る。
【００７８】
ステップ２８０４にて、例外サブジェクト２０４とユーザー名２０６とに該当しないと判断した場合、ステップ２８０７にて、当該アクセスの内容をアクセスログファイル３００に書込む。その後、ステップ２８０８で、該当するエラーコード２０３をレスポンスパケット６２０に設定してから、オープン処理ルーチン４０１へ戻る。
【００７９】
次に、本発明のアクセス制御システムのうち、プロセス間通信に関するアクセス制御について説明する。図１７は、機密性の高い情報と、それにアクセスするプログラムを不正アクセスから保護するためのアクセス制御システムの一構成例であり，図１と同じ構成要素には，同じ番号を付している。この構成は、情報の機密性を確保しつつ、外部ネットワークに対してサービスを提供する場合に有効であり、高い安全性を確保することができる。
【００８０】
図１７の構成は，図１の構成と同様であるが，さらに，機密用ＯＳ１２２が管理するメモリ１７０８と、当該機密用ＯＳ１２２が占有するディスクコントローラ１１２ｃと磁気ディスク１１４ｃとＬＡＮコントローラ１２３その他を備える。
【００８１】
前記サービス用ＯＳ１０３が占有するＬＡＮコントローラ１１３ａは、インターネット等の外部ネットワーク１７０６に接続されたクライアント情報処理装置１２０等との通信に用いる。一方、前記機密用ＯＳ１２２が占有するＬＡＮコントローラ１１３ｃは、内部ネットワーク１７０７に接続された機器との通信に用いる。
【００８２】
複数ＯＳ制御プログラム１１６は、機密用ＯＳ１２２まで含めた複数のＯＳの制御を行う。
【００８３】
前記サービス用ＯＳ１０３とセキュリティ用ＯＳ１０４と機密用ＯＳ１２２は、各々ドライバ部１１７とドライバ部１１８とドライバ部１１９を含んでおり、各ＯＳ上のアプリケーションプログラムは、必ずこれらドライバを経由してＯＳ間通信処理部１０８へアクセスする。この方法は、すでに説明したプロセス間通信方法と同様なものである。
【００８４】
一般的なプロセス間通信の種類には、共有メモリやセマフォ、メッセージキューなど様々なものがあり、いずれも予め取り決められた名称や番号を用いて通信相手を識別することになっている。
【００８５】
更に本発明は、以下の特徴を持つ。すなわち，プロセス間通信の不正利用を防止するために、プロセス間通信に関するセキュリティポリシーを記述した通信制御ポリシー１８００を前記磁気ディスク１１４ｂに格納しておき、前記ＯＳ間通信処理部１０８を利用したプロセス間通信の要求については、セキュリティ用ＯＳ１０４側で動作する通信制御プログラム１７００が、前記通信制御ポリシー１８００の記述に基づいてアクセス制御を行う。また、当該プロセス間通信に関するアクセスログを、前記磁気ディスク１１４ｂ中の通信ログ１９００に記録する機能を備える。また、前記通信制御プログラム１７００は、実行中のプロセス間通信に関する情報を、セキュリティ用ＯＳ１０４が管理するメモリ１０２の中に設けた通信管理テーブル２０００にて保持する。
【００８６】
中継プログラム１７０１は、前記サービス用ＯＳ１０３の上で動作するアプリケーションプログラムの１つである。本実施例では、外部ネットワークに接続されたクライアント情報処理装置１２０からの要求に応じて、後述する機密プログラム１７０３とのプロセス間通信を行ない、処理結果を前記クライアント情報処理装置１２０に返信する役割をもったプログラムを中継プログラムと称す。なお、前記クライアント情報処理装置１２０とのデータ通信をサーバプログラム１０９により実施し、前記中継プログラム１７０１は、必要に応じてサーバプログラム１０９が呼び出して利用するものであってもよい。
【００８７】
機密プログラム１７０３は、機密用ＯＳ１２２の上で動作するアプリケーションプログラムの１つであり、本実施例では、機密用ＯＳ１２２が占有するディスクコントローラ１１２ｃを利用して磁気ディスク１１４ｃに格納された機密情報１７０４にアクセスしたり、同じく機密用ＯＳ１２２が占有するＬＡＮコントローラ１１３ｃを経由して、占有する内部ネットワークに接続された記憶媒体中の機密情報１７０５にアクセスしながらサービスを提供するものと仮定して説明する。
【００８８】
前記サーバ情報処理装置１００の起動時には、前記複数ＯＳ制御プログラム１１６が各ハードウェアの初期化、メモリ領域の分割、ＣＰＵのスケジューリング等を行う。
【００８９】
次に、サービス用ＯＳ１０３とサーバプログラム１０９と中継プログラム１７０１がディスクコントローラ１１２ａを介して磁気ディスク１１４ａからメモリ１０１上にロードされ、セキュリティ用ＯＳ１０４とアクセス制御プログラム１１０がディスクコントローラ１１２ｂを介して磁気ディスク１１４ｂからメモリ１０２上にロードされ、更に機密用ＯＳ１２２と機密プログラム１７０３がディスクコントローラ１１２ｃを介して磁気ディスク１１４ｃからメモリ１７０８上にロードされる。
【００９０】
図１８は、前記通信制御ポリシー１８００のデータ構造の一例を示したものである。アプリケーション名１８０１は、機密用ＯＳ１２２の上で動作する機密プログラムの名称であり、機密用ＯＳ１２２上でユニークな識別子となるよう、例えばプログラムファイルの絶対パス名等を用いる。サービス番号１８０２は、前記アプリケーション名１８０１に対応する機密プログラムが提供するサービスの識別子であり、例えばＴＣＰ／ＩＰ通信におけるポート番号や、メッセージ通信におけるメッセージキュー番号（メッセージキュー名称）等に相当する。本実施の形態では、１つの機密プログラムに対して１つのサービス番号を登録する場合を例に説明するが、これに限ったものではなく、複数のサービス番号を登録してもよい。サービス番号は、通信する双方で事前に取り決めておくものとし、中継プログラム１７０１から通信制御ポリシー１８００の参照はできないものとする。
【００９１】
許可アプリケーション名１８０３は、サービス用ＯＳ１０３上で動作するプログラムであり、且つ前記アプリケーション名１８０１で示される機密プログラムとの通信を許可されたプログラムの名称であり、例えば中継プログラム１７０１に相当する。特徴値１８０４は、前記許可アプリケーション名１８０３で示されるプログラムが備える特徴値であり、例えば当該プログラムファイルのサイズやハッシュ値等に相当する。ユーザー名１８０５は、前記許可アプリケーション名１８０３で示されるプログラムが実行中に使用する権限をユーザー名で表したものである。これは、一般的なマルチユーザー・マルチタスクのＯＳにおいて、アプリケーションプログラムが必ず何れかのユーザー権限を使用して動作することを前提としている。特にユーザー名を限定したくない場合は、ユーザー名を所定の文字、記号（たとえばアスタリスク（＊））で表記する。なお、本通信制御ポリシー１８００は、システムの運用に先立って、管理者が予め登録しておくものである。また、図１８では機密プログラムと中継プログラムの組み合わせが１対１の場合を例に記述しているが、１つの機密プログラムの利用許可を、複数の中継プログラムに与えても良い。
【００９２】
図１９は、前記通信ログ１９００のデータ構造の一例を示したものである。通信ログ１９００は、前記通信制御ポリシー１８００に違反する通信が発生した事実を書き込むためのファイルであり、当該通信が発生した日時１９０１と、当該通信の対象となった機密プログラム名１９０２と、機密プログラムとの通信要求を発行したサービス用ＯＳ１０３側プログラムを表すサブジェクト名１９０３、そしてエラーの内容を表すエラー番号１９０４から構成される。
【００９３】
図２０は、通信管理テーブル２０００のデータ構造の一例を示したものである。通信管理テーブル２０００は、機密プログラムの識別子２００１と、当該機密プログラムが提供するサービスの番号２００２と、機密プログラムとのプロセス間通信のために使用する暗証データ２００３と、サービス用ＯＳ１０３のドライバ部１１７が提供する通信中のプログラムの識別子２００４、とから構成される。図２０では、各識別子にそれぞれプログラム名称を用いているが、例えば機密用ＯＳ１２２とサービス用ＯＳ１０３が各々管理するプロセスＩＤのような、プロセス特有の情報と組み合わせて管理してもよい。
【００９４】
図２１から図２５は、中継プログラム１７０１と機密プログラム１７０３が、前記ＯＳ間通信処理部１０８の通信機能を利用してプロセス間通信をする際の、処理フローを示したものである。本実施の形態において、中継プログラム１７０１と機密プログラム１７０３は、クライアントとサーバの関係にあることから、前もって機密プログラム１７０３がデータ受信可能な状態になるものとして説明する。また、プロセス間通信手段には様々な種類があるが、どの手段を用いた場合でもその手順は、ハンドルの取得処理、データ送信処理とデータ受信処理、ハンドルの解放処理に大別できる。ハンドルとは、アプリケーションプログラムがファイル、メモリなどのオブジェクトをアクセスする際にアクセス対象となるオブジェクトを指定するデータであり，ＯＳから与えられる。ハンドルは、オブジェクトごとにシステム内でユニークな数値であることが保証されている。この場合のオブジェクトとは、例えばファイルやソケットなど、データ処理の際に用いるアクセス対象全般を指す。本発明では、機密用ＯＳ１２２やサービス用ＯＳ１０３上のプログラムがハンドル値を取得する際に、各ＯＳのドライバ部を経由して必ず通信制御プログラム１７００によるポリシーチェックを受け，正当性を確認するところに特徴がある。
【００９５】
図２１は、前記ＯＳ間通信処理部１０８を介して、機密プログラム１７０３が通信制御プログラム１７００に対してサービスを登録し、中継プログラム１７０１からのデータ受信待ち状態になるまでの処理フローを示したものである。ステップ２１００にて、前記通信制御プログラム１７００は、ＯＳ間通信処理部１０８の機能を用いて機密用ＯＳ１２２側からのデータ受信が可能な状態となっている。機密プログラム１７０３は、ステップ２１０１にて暗証データを作成し、ステップ２１０２にて、機密用ＯＳ１２２のドライバ部１１９に対してサービス番号と暗証データを送付し、中継プログラム１７０１とのプロセス間通信に利用するハンドルを要求する。
【００９６】
機密用ＯＳ１２２のドライバ部１１９は、ステップ２１０３にて通信制御プログラム１７００との通信路を確立し、ステップ２１０４にて前記機密プログラム１７０３の識別子とサービス番号と暗証データを、通信制御プログラム１７００に送付する。
【００９７】
通信制御プログラム１７００は、ステップ２１０５にて通信制御ポリシー１８００を参照し、機密プログラムとサービス番号が登録されているかどうかを調べ，正当性を確認する。通信制御ポリシー１８００に記述されていれば、ステップ２１０６にて前記機密プログラム１７０３の識別子情報とサービス番号と暗証データを、通信管理テーブル２０００に登録する。通信制御ポリシー１８００に記述されていなければ、ステップ２１０７にてその旨を前記ドライバ部１１９に返信するためのエラー設定を行う。ステップ２１０８では、通信制御ポリシーとの照合結果を返信するとともに、ドライバ部１１８を介して、ドライバ部１１９との通信路を解放する。
【００９８】
前記ドライバ部１１９は、ステップ２１０９にて通信制御プログラム１７００からの返信データをチェックし、通信管理テーブル２０００への登録に成功していれば、ステップ２１１１にて中継プログラム１７０１と通信するために利用するハンドルをＯＳ間通信処理部１０８から取得し、ステップ２１１２にて前記機密プログラム１７０３への返信データとして、前記ハンドル値を設定する。一方、通信管理テーブルへの登録に失敗した場合は、ステップ２１１０にて、前記機密プログラム１７０３への返信データとしてエラーを設定する。
【００９９】
機密プログラム１７０３は、ステップ２１１３にてドライバ部１１９からの返信データをチェックする。要求したハンドル取得に成功していれば、ステップ２１１４にてサービス用ＯＳ１０３側からのデータ受信待ち状態になり、ハンドル取得に失敗していれば、ステップ２１１５にて所定のエラー処理を実行する。
【０１００】
図２２は、前記機密プログラム１７０３がプロセス間通信に利用していたハンドルを解放する際の処理フローを示したものである。ステップ２２００にて、前記通信制御プログラム１７００は、ＯＳ間通信処理部１０８の機能を用いて機密用ＯＳ１２２側からのデータ受信が可能な状態となっている。機密プログラム１７０３は、ステップ２２０１にて、機密用ＯＳ１２２のドライバ部１１９に対してハンドル値を指定し、当該ハンドルの解放を要求する。
【０１０１】
機密用ＯＳ１２２のドライバ部１１９は、ステップ２２０２にて通信制御プログラム１７００との通信路を確立し、ステップ２２０３にて前記機密プログラム１７０３の識別子とサービス番号を、通信制御プログラム１７００に送付する。
【０１０２】
通信制御プログラム１７００では、ステップ２２０４にて通信管理テーブル２０００を参照し、登録された機密プログラムであるかを確認する。通信管理テーブル２０００に記述されていれば、ステップ２２０５にて前記機密プログラムの情報を、通信管理テーブル２０００から削除する。通信管理テーブル２０００に記述されていなければ、ステップ２２０６にてその旨を前記ドライバ部１１９に返信するためのエラー設定を行う。ステップ２２０７では、通信管理テーブル２０００との照合結果を返信するとともに、ドライバ部１１９との通信路を解放する。
【０１０３】
前記ドライバ部１１９は、ステップ２２０８にて通信制御プログラム１７００からの返信データをチェックし、通信管理テーブルからの削除に成功していれば、ステップ２２１０にて今度は中継プログラム１７０１との通信に利用していたハンドルの解放処理を実行する。一方、通信管理テーブルからの削除に失敗した場合は、ステップ２２０９にて、前記機密プログラム１７０３への返信データとしてエラーを設定する。
【０１０４】
機密プログラム１７０３は、ステップ２２１１にてドライバ部１１９からの返信データをチェックし、ハンドル解放に成功していれば、ステップ２２１２にて処理を終了する。一方、ハンドル解放に失敗していれば、ステップ２２１３にて所定のエラー処理を実行する。
【０１０５】
図２３と図２４は、前記ＯＳ間通信処理部１０８を介して、中継プログラム１７０１が機密プログラム１７０３とのプロセス間通信用のハンドルを取得するまでの処理フローを示したものである。図２３のステップ２３００にて、前記通信制御プログラム１７００は、ＯＳ間通信処理部１０８の機能を用いてサービス用ＯＳ１０３側からのデータ受信が可能な状態となっている。中継プログラム１７０１は、ステップ２３０１にて、サービス用ＯＳ１０３のドライバ部１１７に対して利用したいサービス番号を送付し、機密プログラムとのプロセス間通信に利用するハンドルを要求する。サービス番号は、上述の通り、ポート番号と同様に、事前に取り決めておくものとする。参照のために、プログラムに固定的に埋め込んでおくか、定義ファイルに記述しておくなどが考えられる。
【０１０６】
サービス用ＯＳ１０３のドライバ部１１７は、ステップ２３０２にて通信制御プログラム１７００との通信路を確立し、ステップ２３０３にて前記中継プログラム１７０１の識別子とその特徴値、および中継プログラム１７０１が使用しているユーザー権限を表すユーザー名を取得し、利用したいサービス番号と共に通信制御プログラム１７００に送付する。
【０１０７】
通信制御プログラム１７００では、ステップ２３０４にて通信管理テーブル２０００と通信制御ポリシー１８００を参照し、指定されたサービスが有効であり、且つ当該サービスの利用を許可されたプログラムか否かを調べ，正当性を確認する。具体的には、ドライバ部１１７から渡された中継プログラムの識別子と特徴値とユーザー名とが、通信制御ポリシー１８００の内容に一致すればポリシーに合致していると言える。もしサービスが有効で、且つポリシーに合致していれば、ステップ２３０５にて前記中継プログラム１７０１の識別子情報を、前記サービス利用中のプログラムとして通信管理テーブル２０００に登録し、該当するサービスの利用に必要な暗証データを中継プログラムに返信するために、通信管理テーブル２０００から取得する。一方、サービスが有効でない、あるいはポリシーに合致していなければ、ステップ２３０６にてその旨を通信ログ１９００に書き込むと共に、前記ドライバ部１１７に返信するためのエラー設定を行う。ステップ２３０７では、通信制御ポリシーとの照合結果を返信するとともに、ドライバ部１１７との通信路を解放する。
【０１０８】
前記ドライバ部１１７は、ステップ２３０８にて通信制御プログラム１７００からの返信データをチェックし、通信管理テーブル２０００への登録に成功していれば、つまり中継プログラム１７０１の認証に成功していれば、ステップ２３１０にて今度は機密プログラムとの通信用ハンドルを取得する処理（図２４）に移る。一方、通信管理テーブルへの登録に失敗した場合は、ステップ２３０９にて、前記中継プログラム１７０１にエラーを返して終了する。
【０１０９】
図２４では、図２１のステップ２１１４で示したように、前記機密プログラム１７０３がサービス用ＯＳ１０３側からデータ受信可能であることを前提にして、中継プログラム１７０１の通信用ハンドル取得処理を説明する。サービス用ＯＳ１０３のドライバ部１１７は、ＯＳ間通信処理部１０８の機能を利用して、機密プログラム１７０３との通信用ハンドルを取得する。ステップ２４０２では、先に図２３のステップ２３０７にて通信制御プログラム１７００から受信した暗証データを、機密用ＯＳ１２２のドライバ部１１９を経由して機密プログラム１７０３に送付する。
【０１１０】
機密プログラム１７０３では、ステップ２４０３にて、ドライバ部１１７から受信した暗証データと、機密プログラム１７０３が作成した（図２１のステップ２１０１）暗証データとを照合し、結果を前記ドライバ部１１７に返信する。
【０１１１】
前記ドライバ部１１７は、ステップ２４０４にて機密プログラム１７０３からの返信データをチェックする。前記暗証データが一致している場合には、前記機密プログラム１７０３との通信を許可されたと判断し、ステップ２４０５にて、中継プログラム１７０１への返信データとして、機密プログラム１７０３との通信ハンドル値を設定する。一方、前記暗証データに誤りがあった場合は、ステップ２４０６にて、機密プログラム１７０３との通信用ハンドルを解放すると共に、前記中継プログラム１７０１への返信データとしてエラーを設定する。
【０１１２】
中継プログラム１７０１は、ステップ２４０７にてドライバ部１１７からの返信データをチェックし、ハンドル取得に成功していれば、以後、ＯＳ間通信処理部１０８の機能を利用して機密プログラム１７０３とのデータ通信が可能となる（ステップ２４０８）。一方、ハンドル取得に失敗していれば、ステップ２４０９にて所定のエラー処理を実行する。
【０１１３】
図２５は、前記中継プログラム１７０１が機密プログラムとのプロセス間通信に利用していたハンドルを解放する際の処理フローを示したものである。ステップ２５００にて、前記通信制御プログラム１７００は、ＯＳ間通信処理部１０８の機能を用いてサービス用ＯＳ１０３側からのデータ受信が可能な状態となっている。中継プログラム１７０１は、ステップ２５０１にて、サービス用ＯＳ１０３のドライバ部１１７に対してハンドル値を指定して、当該ハンドルの解放を要求する。
【０１１４】
サービス用ＯＳ１０３のドライバ部１１７は、ステップ２５０２にて通信制御プログラム１７００との通信路を確立し、ステップ２５０３にて前記中継プログラム１７０１の識別子とサービス番号を、通信制御プログラム１７００に送付する。
【０１１５】
通信制御プログラム１７００では、ステップ２５０４にて通信管理テーブル２０００を参照し、当該テーブルに登録された中継プログラムであるかを確認する。通信管理テーブル２０００に登録されていれば、ステップ２５０５にて前記中継プログラムに該当する情報を、通信管理テーブル２０００から削除する。通信管理テーブル２０００に記述されていなければ、ステップ２５０６にてその旨を前記ドライバ部１１７に返信するためのエラー設定を行う。ステップ２５０７では、通信管理テーブル２０００との照合結果を返信するとともに、ドライバ部１１７との通信路を解放する。
【０１１６】
前記ドライバ部１１７は、ステップ２５０８にて通信制御プログラム１７００からの返信データをチェックし、通信管理テーブルからの削除に成功していれば、ステップ２５１０にて今度は機密プログラム１７０３との通信に利用していたハンドルの解放処理を実行する。一方、通信管理テーブルからの削除に失敗した場合は、ステップ２５０９にて、前記中継プログラム１７０１への返信データとしてエラーを設定する。
【０１１７】
中継プログラム１７０１は、ステップ２５１１にてドライバ部１１７からの返信データをチェックし、ハンドル解放に成功していれば、ステップ２５１２にて処理を終了する。一方、ハンドル解放に失敗していれば、ステップ２５１３にて所定のエラー処理を実行する。
【０１１８】
以上説明したように、本発明によれば、侵入者が強い権限をもつユーザーに成りすました場合でも、ファイルへのアクセスを制限できるという効果がある。
【０１１９】
また、不正なファイルアクセスを未然に防ぐことができるという効果がある。
【０１２０】
また、機密性の高い情報へのアクセス手段となるプログラム自体を保護できるという効果がある。また、前記ポリシーファイルとアクセス制御手段を、外部からの不正アクセスや攻撃から保護できるという効果がある。
【０１２１】
また、図１に示すシステムの、サーバ情報処理装置とクライアント情報処理装置とを結ぶLAN１１５や、図１７に示すシステムの、サーバ情報処理装置とクライアント情報処理装置とを結ぶ外部ネットワーク１７０６などの通信回線上にファイアウォールを設け、さらに本発明を併用すれば、より強固なセキュリティを確保することが出来る。
【０１２２】
【発明の効果】
本発明によれば、情報処理装置が管理するファイル、情報、および実行中のプロセスを不正なアクセスから保護することが可能になる。
【図面の簡単な説明】
【図１】本発明の実施の形態におけるアクセス制御システムの一構成例を示す図。
【図２】アクセス制御ポリシーの設定を格納するためのポリシーファイルを示す図。
【図３】不正アクセスが発生した事実を記録するためのアクセスログファイルを示す図。
【図４】ファイルＩ／Ｏフックプログラム１０６とアクセス制御プログラム１１０を構成するプログラムルーチンを示す図。
【図５】本発明の実施の一形態において、各モジュール間を流れるデータの通信経路を示す図。
【図６】本発明の実施の一形態において、各モジュール間を流れるデータの構造を示す図。
【図７】ファイルＩ／Ｏフックルーチン４００の処理のフローチャートを示す図。
【図８】オープン処理ルーチン４０１の処理のフローチャートを示す図。
【図９】オープン制御ルーチン４０５の処理のフローチャートを示す図。
【図１０】オープンファイルテーブルの構造体とそのリストを示す図。
【図１１】オープンファイルテーブルに登録されるデータの一例を示す図。
【図１２】クローズ処理ルーチン４０２の処理のフローチャートを示す図。
【図１３】リード・ライト処理ルーチン４０３の処理のフローチャートを示す図。
【図１４】アクセスログ登録ルーチン４０６の処理のフローチャートを示す図。
【図１５】削除・リネーム処理ルーチン４０４の処理のフローチャートを示す図。
【図１６】削除・リネーム処理ルーチン４０７の処理のフローチャートを示す図。
【図１７】プロセス間通信に関するアクセス制御システムの一構成例を示す図。
【図１８】プロセス間通信に関するポリシーの設定を格納するためのファイルを示す図。
【図１９】不正なプロセス間通信が発生した事実を記録するためのログファイルを示す図。
【図２０】通信管理テーブルのリストを示す図。
【図２１】機密用ＯＳ１２２上のプログラムによる通信用ハンドル取得処理のフローチャートを示す図。
【図２２】機密用ＯＳ１２２上のプログラムによる通信用ハンドル解放処理のフローチャートを示す図。
【図２３】サービス用ＯＳ１０３上のプログラムによる通信用ハンドル取得処理のフローチャート（前半）を示す図。
【図２４】サービス用ＯＳ１０３上のプログラムによる通信用ハンドル取得処理のフローチャート（後半）を示す図。
【図２５】サービス用ＯＳ１０３上のプログラムによる通信用ハンドル解放処理のフローチャートを示す図。
【図２６】オープン制御ルーチン４０５の処理のフローチャート（その２）を示す図。
【符号の説明】
１００・・・サーバ情報処理装置、１０１・・・サービス用ＯＳが管理するメモリ、１０２・・・セキュリティ用ＯＳが管理するメモリ、１０３・・・サービス用ＯＳ、１０４・・・セキュリティ用ＯＳ、１０５・・・Ｉ／Ｏマネージャ、１０６・・・ファイルＩ／Ｏフックプログラム、１０７・・・ファイルシステムドライバ、１０８・・・ＯＳ間通信制御部、１０９・・・サーバプログラム、１１０・・・アクセス制御プログラム、１１１・・・ＣＰＵ、１１２・・・ディスクコントローラ、１１３・・・ＬＡＮコントローラ、１１４・・・磁気デバイス、１１５・・・ＬＡＮ、１１６・・・複数ＯＳ制御プログラム、１１７〜１１９・・・ドライバ部、１２０・・・クライアント情報処理装置、１２１・・・クライアントプログラム、２００・・・ポリシーファイル、３００・・・アクセスログファイル、５０１〜５０６・・・通信経路、６００・・・Ｉ／Ｏパケット、６１０・・・リクエストパケット、６２０・・・レスポンスパケット、１０００・・・オープンファイルテーブル、１７００・・・通信制御プログラム、１７０１・・・中継プログラム、１７０３・・・機密プログラム、１７０４〜１７０５・・・機密情報、１７０６・・・外部ネットワークとの接続回線、１７０７・・・内部ネットワークとの接続回線、１７０８・・・機密用ＯＳが管理するメモリ、１８００・・・通信制御ポリシー、１９００・・・通信ログ、２０００・・・通信管理テーブル
Claims (5)
- 情報処理装置において，第１のＯＳと第２のＯＳとを実行し，前記第１のＯＳの管理下で実行されるアプリケーションプログラムによるファイルへのアクセスを制御するアクセス制御システムであって，
前記アクセス制御システムを構成するハードウェアは，前記第１のＯＳが排他的に占有する第１のＯＳ用ハードウェアと前記第２のＯＳが排他的に占有する第２のＯＳ用ハードウェアと，前記第１のＯＳと前記第２のＯＳ間の通信機能を提供し，前記アプリケーションプログラムが利用できるインタフェースを備えない通信手段と，を含み，
前記第１のＯＳ用ハードウェアを利用し前記第１のＯＳの管理下でカーネルレベルで動作し，前記第１のＯＳ用ハードウェアに含まれる記憶部に格納されているファイルへのアクセスを監視するファイルアクセス監視部と，
前記第２のＯＳ用ハードウェアを利用し前記第２のＯＳの管理下で動作するアクセス制御部と，を備え，
前記ファイルアクセス監視部は，前記第 1 のＯＳの管理下で実行される前記アプリケーションプログラムによる，前記第１のＯＳ用ハードウェアに含まれる前記記憶部に格納されている前記ファイルへの前記アクセスを受信した場合に，前記通信手段を介して，前記第２のＯＳの管理下で動作する前記アクセス制御部に，前記ファイルへの前記アクセスを通知し，
前記アクセス制御部は，前記ファイルへの前記アクセスの正当性を判定し，
当該判定結果を，前記通信手段を介して，前記第１のＯＳの管理下で動作する前記ファイルアクセス監視部に送信し，
前記ファイルアクセス監視部は，前記判定結果が前記アクセスが正当であることを示す場合に，前記アプリケーションプログラムによる，前記第１のＯＳ用ハードウェアに含まれる記憶部に格納された前記ファイルへの前記アクセスを続行する
ことを特徴とするアクセス制御システム。 - 請求項１に記載のアクセス制御システムであって，
前記ファイルアクセス監視部は，前記アクセスが正当でないことを前記判定結果が示す場合に，前記アプリケーションプログラムに対して，前記ファイルへの前記アクセスに対するエラーを送信する
ことを特徴とするアクセス制御システム。 - 請求項１または２に記載のアクセス制御システムであって，
前記第１のＯＳ用ハードウェアに含まれる前記記憶部に格納されている前記ファイルへのアクセス制御ポリシーが記載され，前記第２のＯＳ用ハードウェアに含まれる記憶部に格納されたポリシーファイルを備え，
前記アクセス制御部は，前記ポリシーファイルを参照して，前記アクセスの正当性を判定する
ことを特徴とするアクセス制御システム。 - 請求項３に記載のアクセス制御システムであって，
前記第２のＯＳ用ハードウェアに含まれる記憶部に格納されるアクセスログファイルを備え，
前記アクセス制御部は，前記ポリシーファイルを参照して正当でないと判定した前記アクセスに係わる情報を
前記アクセスログファイルに書き込む
ことを特徴とするアクセス制御システム。 - 請求項１ないし４いずれか一に記載のアクセス制御システムであって，
前記アクセス制御システムを，複数ＯＳ制御部を備える１台の情報処理装置を用いて構成し，
前記複数ＯＳ制御部は，
前記第１のＯＳと前記第２のＯＳ間の前記通信手段の提供と，
前記情報処理装置を構成するハードウェアの分割による，前記第１のＯＳが排他的に占有する第１のＯＳ用ハードウェアと前記第２のＯＳが排他的に占有する第２のＯＳ用ハードウェアとの割り当てと，を行う
ことを特徴とするアクセス制御システム。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000300561A JP4177957B2 (ja) | 2000-03-22 | 2000-09-28 | アクセス制御システム |
Applications Claiming Priority (3)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2000084706 | 2000-03-22 | ||
| JP2000-84706 | 2000-03-22 | ||
| JP2000300561A JP4177957B2 (ja) | 2000-03-22 | 2000-09-28 | アクセス制御システム |
Related Child Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2008058919A Division JP2008204468A (ja) | 2000-03-22 | 2008-03-10 | アクセス制御システム |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JP2001337864A JP2001337864A (ja) | 2001-12-07 |
| JP2001337864A5 JP2001337864A5 (ja) | 2004-12-24 |
| JP4177957B2 true JP4177957B2 (ja) | 2008-11-05 |
Family
ID=26588305
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2000300561A Expired - Fee Related JP4177957B2 (ja) | 2000-03-22 | 2000-09-28 | アクセス制御システム |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP4177957B2 (ja) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE102022131633A1 (de) | 2021-12-08 | 2023-06-15 | Panasonic Intellectual Property Management Co., Ltd. | Informationsverarbeitungsvorrichtung und bestimmungsverfahren |
| DE102023107350A1 (de) | 2022-03-28 | 2023-09-28 | Panasonic Intellectual Property Management Co., Ltd. | Informationsverarbeitungsvorrichtung und Steuerverfahren der Informationsverarbeitungsvorrichtung |
Families Citing this family (41)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4582682B2 (ja) | 2002-07-08 | 2010-11-17 | 株式会社日立製作所 | セキュリティウォールシステム |
| US7143288B2 (en) * | 2002-10-16 | 2006-11-28 | Vormetric, Inc. | Secure file system server architecture and methods |
| JP4400059B2 (ja) | 2002-10-17 | 2010-01-20 | 株式会社日立製作所 | ポリシー設定支援ツール |
| US7814021B2 (en) * | 2003-01-23 | 2010-10-12 | Verdasys, Inc. | Managed distribution of digital assets |
| US7472272B2 (en) * | 2003-01-23 | 2008-12-30 | Verdasys, Inc. | Digital asset usage accountability via event journaling |
| JP2004302516A (ja) * | 2003-03-28 | 2004-10-28 | Ntt Docomo Inc | 端末装置およびプログラム |
| JP2007034341A (ja) * | 2003-08-22 | 2007-02-08 | Nec Corp | コンピュータシステム及びそれに用いるプログラム実行環境実現方法並びにそのプログラム |
| US20050091658A1 (en) * | 2003-10-24 | 2005-04-28 | Microsoft Corporation | Operating system resource protection |
| JP2006004008A (ja) | 2004-06-15 | 2006-01-05 | Sony Computer Entertainment Inc | 処理管理装置、コンピュータ・システム、分散処理方法及びコンピュータプログラム |
| KR100861822B1 (ko) * | 2004-07-05 | 2008-10-07 | 싸이언스 파크 가부시키가이샤 | 데이터 관리 방법 |
| JP2006053788A (ja) * | 2004-08-12 | 2006-02-23 | Ntt Docomo Inc | ソフトウェア動作監視装置及びソフトウェア動作監視方法 |
| US7707586B2 (en) * | 2004-09-08 | 2010-04-27 | Intel Corporation | Operating system independent agent |
| JP2006114020A (ja) * | 2004-09-17 | 2006-04-27 | Ricoh Co Ltd | 電子装置システムとその電子装置，制御方法，プログラム，および記録媒体 |
| KR100685672B1 (ko) * | 2004-11-29 | 2007-02-23 | 주식회사 안철수연구소 | 컴퓨터 프로그램에 의한 자동입력 방지방법 |
| JP4664055B2 (ja) * | 2004-12-10 | 2011-04-06 | 株式会社エヌ・ティ・ティ・ドコモ | プログラム分割装置、プログラム実行装置、プログラム分割方法及びプログラム実行方法 |
| EP1873678A4 (en) * | 2005-03-24 | 2013-10-09 | Nec Corp | ACCESS RIGHTS ASSESSMENT SYSTEM, ACCESS RIGHTS ASSESSMENT PROCEDURE AND ACCESS RIGHTS ASSESSMENT PROGRAM |
| JP4647392B2 (ja) * | 2005-05-23 | 2011-03-09 | 京セラ株式会社 | デバイス制御装置、デバイス制御方法およびプログラム |
| CN101233525A (zh) | 2005-05-26 | 2008-07-30 | 松下电器产业株式会社 | 数据处理装置 |
| JP4116024B2 (ja) | 2005-07-29 | 2008-07-09 | 株式会社ソニー・コンピュータエンタテインメント | ペリフェラルの使用管理方法、電子システム及びその構成装置 |
| JP4762693B2 (ja) * | 2005-11-22 | 2011-08-31 | 株式会社日立製作所 | ファイルサーバ、ファイルサーバのログ管理システム及びファイルサーバのログ管理方法 |
| JP2007286905A (ja) * | 2006-04-17 | 2007-11-01 | Nec System Technologies Ltd | 情報処理端末装置、ファイル流出防止方法およびファイル流出防止プログラム |
| JP4737762B2 (ja) * | 2006-06-12 | 2011-08-03 | 株式会社日立ソリューションズ | 機密情報の管理プログラム |
| EP1901190A1 (en) * | 2006-09-15 | 2008-03-19 | Sony DADC Austria AG | Method and system for managing access to add-on data files |
| JP5097130B2 (ja) * | 2006-12-27 | 2012-12-12 | パナソニック株式会社 | 情報端末、セキュリティデバイス、データ保護方法及びデータ保護プログラム |
| JP4806751B2 (ja) * | 2007-03-19 | 2011-11-02 | Ｎｅｃパーソナルプロダクツ株式会社 | ファイルアクセス先制御装置、その方法及びそのプログラム |
| JP2008234188A (ja) * | 2007-03-19 | 2008-10-02 | Toyota Motor Corp | 情報処理装置 |
| JP2008299409A (ja) * | 2007-05-29 | 2008-12-11 | Nippon Telegr & Teleph Corp <Ntt> | データ登録方法、データ登録プログラムおよび記録媒体 |
| JP5387415B2 (ja) * | 2007-12-26 | 2014-01-15 | 日本電気株式会社 | 仮想計算機システム、ポリシ強制システム、ポリシ強制方法及び仮想計算機制御用プログラム |
| WO2009102006A1 (ja) * | 2008-02-14 | 2009-08-20 | Nec Corporation | アクセス制御装置、その方法及び情報記録媒体 |
| JP5260081B2 (ja) * | 2008-02-25 | 2013-08-14 | パナソニック株式会社 | 情報処理装置及びその制御方法 |
| US8225390B2 (en) * | 2008-06-27 | 2012-07-17 | Microsoft Corporation | Licensing protected content to application sets |
| JP5138527B2 (ja) * | 2008-09-29 | 2013-02-06 | 株式会社日立ソリューションズ | ポリシーベースのファイルサーバアクセス制御方法及びシステム |
| KR101113820B1 (ko) * | 2010-03-16 | 2012-02-29 | 소프트캠프(주) | 응용프로그램의 파일 입출력 보안방법과 보안시스템 |
| JP2011198256A (ja) * | 2010-03-23 | 2011-10-06 | Nomura Research Institute Ltd | コンテント保護装置 |
| US9015807B2 (en) * | 2011-12-01 | 2015-04-21 | Microsoft Technology Licensing, Llc | Authorizing application access to secure resources |
| US9165150B2 (en) * | 2013-02-19 | 2015-10-20 | Symantec Corporation | Application and device control in a virtualized environment |
| JP6092057B2 (ja) * | 2013-09-13 | 2017-03-08 | 株式会社日立ソリューションズ | ファイルアクセス制御装置、ファイルアクセス制御プログラム及びファイルアクセス制御方法 |
| JP6536109B2 (ja) * | 2015-03-20 | 2019-07-03 | アイシン・エィ・ダブリュ株式会社 | セキュリティ管理システムおよびセキュリティ管理方法 |
| KR102107277B1 (ko) * | 2016-08-08 | 2020-05-06 | (주)나무소프트 | 피싱 또는 랜섬웨어 공격을 차단하는 방법 및 시스템 |
| JP6782900B2 (ja) * | 2018-12-13 | 2020-11-11 | デジタルア−ツ株式会社 | 情報処理装置、情報処理方法、及び情報処理プログラム |
| KR102542213B1 (ko) * | 2022-11-11 | 2023-06-14 | 펜타시큐리티시스템 주식회사 | 네트워크 기반 스토리지의 데이터 실시간 암복호화 보안 시스템 및 방법 |
-
2000
- 2000-09-28 JP JP2000300561A patent/JP4177957B2/ja not_active Expired - Fee Related
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE102022131633A1 (de) | 2021-12-08 | 2023-06-15 | Panasonic Intellectual Property Management Co., Ltd. | Informationsverarbeitungsvorrichtung und bestimmungsverfahren |
| DE102023107350A1 (de) | 2022-03-28 | 2023-09-28 | Panasonic Intellectual Property Management Co., Ltd. | Informationsverarbeitungsvorrichtung und Steuerverfahren der Informationsverarbeitungsvorrichtung |
Also Published As
| Publication number | Publication date |
|---|---|
| JP2001337864A (ja) | 2001-12-07 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP4177957B2 (ja) | アクセス制御システム | |
| JP2008204468A (ja) | アクセス制御システム | |
| US6658571B1 (en) | Security framework for dynamically wrapping software applications executing in a computing system | |
| JP5013882B2 (ja) | 保護ドメインに基づいたセキュリティ用の方法及び装置 | |
| Provos et al. | Preventing privilege escalation | |
| US7379918B2 (en) | Method and system for single reactivation of software product licenses | |
| EP1435030B1 (en) | Stateful reference monitor | |
| JP4878647B2 (ja) | 信頼できないコンテントを安全に実行するための方法およびシステム | |
| JP4809530B2 (ja) | 制限付きのトークンを使用したセキュリティモデル | |
| JP5620374B2 (ja) | アプリケーションセットに対する保護されたコンテンツの許可 | |
| US9336369B2 (en) | Methods of licensing software programs and protecting them from unauthorized use | |
| US20120137375A1 (en) | Security systems and methods to reduce data leaks in enterprise networks | |
| US20040078591A1 (en) | Security System And Methodology For Providing Indirect Access Control | |
| JP2001067135A (ja) | 電気通信システムにおける機能作動の違法使用の防止 | |
| US20060031937A1 (en) | Pre-emptive anti-virus protection of computing systems | |
| JP4023654B2 (ja) | アプリケーションの監視方法およびプログラム | |
| US20070162909A1 (en) | Reserving resources in an operating system | |
| GB2403827A (en) | Kernel cryptographic module signature verification system and method | |
| US20050038790A1 (en) | Device and method for establishing a security policy in a distributed system | |
| US7150041B2 (en) | Disk management interface | |
| WO2003034687A1 (en) | Method and system for securing computer networks using a dhcp server with firewall technology | |
| Iglio | Trustedbox: a kernel-level integrity checker | |
| EP1944676B1 (en) | Stateful reference monitor | |
| JP2004005377A (ja) | 多重システム停止の再発防止方法 | |
| JP4412489B2 (ja) | 不正アクセスに対する防御ポリシ作成システム及び方法とそのプログラム |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A711 | Notification of change in applicant |
Free format text: JAPANESE INTERMEDIATE CODE: A712 Effective date: 20050223 |
|
| RD02 | Notification of acceptance of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7422 Effective date: 20060510 |
|
| RD04 | Notification of resignation of power of attorney |
Free format text: JAPANESE INTERMEDIATE CODE: A7424 Effective date: 20060510 |
|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20080108 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20080310 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20080805 |
|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20080825 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110829 Year of fee payment: 3 |
|
| R150 | Certificate of patent or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120829 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130829 Year of fee payment: 5 |
|
| LAPS | Cancellation because of no payment of annual fees |