JP4643204B2 - サーバ装置 - Google Patents

Description

本発明は、クライアント装置、サーバ装置及び権限制御方法に関する。

コンテンツや機能などのリソースを他の機器に提供する機器（以下において、「サーバ装置」と呼ぶ。）は、不正アクセスからリソースを保護するため、他の機器（以下において、「クライアント装置」と呼ぶ。）のアクセス権限を制御する手段を持つ。ここで、「他の機器」とは、例えば、携帯電話機等、情報家電、ＰＣやＰＡＤ、ワークステーションなどの機器が含まれる。

例えば、サーバ装置はアクセス制御リスト（ACL:Access Control List）に基づき、クライアント装置上のプロセスからのコンテンツのダウンロード要求やファイルの書き込み要求、クライアント装置から送り込まれたモバイルコードのローカルのファイルの読み書き要求の許諾・拒否を決定することで、リソースを保護する。

しかし、クライアント装置が攻撃者やコンピュータウィルスに侵入を許し、ソフトウェアの権限の奪取や改ざんがなされた場合、サーバ装置の不正利用や、改ざんがされたソフトウェアによるコンテンツの外部流出の恐れがある。

その対策として、クライアント装置に不正侵入・改ざん検知システムを導入して不正侵入・改ざんを検知し、あらかじめ設定した管理者やサーバ装置への異常情報の通知、ファイアウォールを利用した通信の遮断、クライアント装置の復旧などの対処をさせることが可能である。侵入検知システムは、コマンド履歴やログ、ネットワークを流れるパケットを監視し、侵入（不正アクセス）と思われるコマンド実行やパケットを発見した際、アラームの提示、通信ログの収集、ファイアウォールへ通知して当該パケットの遮断、正常なコンテンツや設定ファイルの復旧などのアクションをとる。実行中のプログラムの動作系列を監視し、あらかじめ構築したプログラムの正常動作モデルに沿っているかを監視することで、プログラムの権限の奪取などの攻撃を検知する技術が開示されている（例えば、非特許文献１参照。）。又、不正改ざん検知システムの例としては、システムファイルやログファイル等のハッシュ値を計算し、正常時の値と比較することで不正改ざんを検知する技術が開示されている（例えば、非特許文献２〜４参照。）。
Wagner,Dean,"Intrusion Detection via Static Analysis,"IEEE Symposium on Security and Privacy，2001 Tripwire:http://WWW.Tripwireseurity.com AIDE（Advanced Intrusion Detection Environment）:http://www.cs.tut.fi/-rammer/aide.html Osiris:http://www.shmoo.com/osiris/

上述したように、従来のクライアント装置上の不正侵入・改ざん検知システムは、異常情報の検出の際、あらかじめ設定ファイル等で決定された規則に従って、指定された宛先への異常情報の通知や通信の遮断等の権限制限要求を行う手段を持つ。

しかし、クライアント装置が任意のサーバ装置にアクセスする可能性があるのに対して、アクセス中のサーバ装置を通知や要求の宛先として設定する手段を持たないため、保護できるサーバ装置が限定される問題がある。又、サーバ装置が通知された異常情報を解釈して権限の制限に反映する手段を持たないため、クライアントの異常情報やサーバ装置の提供するリソースの重要性や性質を考慮した柔軟な権限の制限が困難であり、クライアント装置のユーザの利便性を損なう可能性がある。

例えば、危険度の低い侵入や関連性の低いコンポーネントの改ざんの場合も、不正侵入・改ざん検知システムの規則は安全を優先して設定され、サーバ装置がクライアント装置からのあらゆる要求を拒否するように権限制限要求を行うかもしれない。この権限要求はクリティカルなサーバ装置には適切であるが、寛容なサーバ装置にとっては過剰な制限となる。

本発明は、上記の課題に鑑み、サーバ装置の不正利用やコンテンツの流出の防止と、ユーザの利便性の確保とを両立するクライアント装置、サーバ装置及び権限制御方法を提供することを目的とする。

上記目的を達成するため、本発明の第１の特徴は、サーバ装置からデータあるいは機能を提供されるクライアント装置であって、（イ）監視対象ソフトウェアを監視し、当該対象ソフトウェアの異常状態あるいは不正状態を検出する監視手段と、（ロ）アクセス中のサーバ装置のアドレスを管理するサーバ管理手段と、（ハ）監視手段によって検出された異常状態あるいは不正状態から異常情報を作成する異常情報作成手段と、（ニ）異常情報をサーバ管理手段が管理するサーバ装置に通知する異常情報通知手段とを備えるクライアント装置であることを要旨とする。

第１の特徴に係るクライアント装置によると、自身の不正侵入や改ざんを監視すると共にアクセス中のサーバ装置を管理し、異常検出の際はアクセス中のサーバ装置に異常情報を通知することができる。このため、サーバ装置の不正利用やコンテンツの流出の防止と、ユーザの利便性の確保とを両立することができる。

又、第１の特徴に係るクライアント装置は、異常状態あるいは不正状態の危険度を計算する危険度判定手段を更に備えてもよい。このクライアント装置によると、サーバ装置は、危険度が高い場合は権限を厳しく制限し、危険度が低い場合は権限の制限を緩めることができ、リソースの保護とユーザの利便性の確保とを両立することができる。

又、第１の特徴に係るクライアント装置において、異常情報は、異常状態あるいは不正状態の種別、危険度、箇所、確信度、あるいは復旧状態の種別、箇所の少なくともいずれか１を含んでもよい。このクライアント装置によると、サーバ装置は侵入あるいは改ざんの種別や箇所に基づいて、きめ細かに権限の設定を行うことができる。例えば、侵入や改ざんの種別や箇所に関係するアクセス要求のみを制限することができ、保護と利便性の両立を図ることができる。又、確信度が低い場合には権限の制限を緩めることもできる。

又、第１の特徴に係るクライアント装置は、異常情報にデジタル署名を施すデジタル署名手段あるいは異常情報を暗号化する暗号化手段を更に備えてもよい。このクライアント装置によると、サーバ装置は正しいクライアント装置から異常情報を受信したことを検証でき、暗号化により、異常情報を途中で盗み見されることを防止できる。

本発明の第２の特徴は、クライアント装置へデータあるいは機能を提供するサーバ装置であって、（イ）クライアント装置から異常情報を受信する異常情報受信手段と、（ロ）異常情報を解釈する異常情報解釈手段と、（ハ）解釈した異常情報に対する権限設定規則を管理するポリシー管理手段と、（ニ）権限設定規則に従って、クライアント装置の権限を設定する権限設定手段と、（ホ）設定された権限に従って、クライアント装置の権限を制御する権限制御手段とを備えるサーバ装置であることを要旨とする。

第２の特徴に係るサーバ装置によると、異常情報を受信、解釈して権限制御規則に従ってクライアント装置のアクセス権限を適切に制限することができる。このため、サーバ装置の不正利用やコンテンツの流出の防止と、ユーザの利便性の確保とを両立することができる。

又、第２の特徴に係るサーバ装置は、クライアント装置に異常情報を問い合わせる異常情報問い合わせ手段を更に備えてもよい。このサーバ装置によると、クライアント装置の状態を所望のタイミングで確認でき、より柔軟かつ安全にリソースを保護することができる。

又、第２の特徴に係るサーバ装置において、異常情報は、異常状態あるいは不正状態の種別、危険度、箇所、確信度、あるいは復旧状態の種別、箇所の少なくともいずれか１を含んでもよい。このサーバ装置によると、危険度が高い場合は権限を厳しく制限し、危険度が低い場合は権限の制限を緩めたり、侵入や改ざんの種別や箇所に関係するアクセス要求のみを制限したり、確信度が低い場合には権限の制限を緩めるなど、保護と利便性の両立をはかることができる。

又、第２の特徴に係るサーバ装置は、異常情報のデジタル署名を検証するデジタル署名検証手段あるいは暗号化された異常情報を復号化する復号化手段を更に備えてもよい。このサーバ装置によると、正しいクライアント装置から正しい異常情報を受信したことを検証でき、暗号化により、途中で盗み見されることを防止できる。

又、第２の特徴に係るサーバ装置は、異常情報を通知する手段を持たないクライアント装置に対して権限を制限するクライアント識別手段を更に備えてもよい。このサーバ装置によると、異常情報の検出や通知能力を持たないクライアント装置から、リソースを保護することができる。

本発明の第３の特徴は、クライアント装置と、当該クライアント装置へデータあるいは機能を提供するサーバ装置とを備えるシステムにおいて、クライアント装置の権限を制御する権限制御方法であって、（イ）監視対象ソフトウェアを監視するステップと、（ロ）監視するステップによって検出された監視対象ソフトウェアの異常状態あるいは不正状態から異常情報を作成するステップと、（ハ）異常情報をアクセス中のサーバ装置に通知するステップと、（ニ）受信した異常情報を解釈するステップと、（ホ）解釈した異常情報に対する権限設定規則に従って、クライアント装置の権限を設定するステップと、（へ）設定された権限に従って、クライアント装置の権限を制御するステップとを含む権限制御方法であることを要旨とする。

第３の特徴に係る権限制御方法によると、権限設定規則と異常情報に従って、きめ細かにクライアント装置の権限を設定することができる。このため、サーバ装置の不正利用やコンテンツの流出の防止と、ユーザの利便性の確保とを両立することができる。

本発明によると、サーバ装置の不正利用やコンテンツの流出の防止と、ユーザの利便性の確保とを両立するクライアント装置、サーバ装置及び権限制御方法を提供することができる。

次に、図面を参照して、本発明の第１〜第３の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には、同一又は類似の符号を付している。ただし、図面は模式的なものであることに留意すべきである。

＜第１の実施の形態＞
（権限制御システム）
第１の実施の形態に係る権限制御システムは、図１に示すように、クライアント装置１０と、クライアント装置１０へデータあるいは機能を提供するサーバ装置２０とを備える。

クライアント装置１０とサーバ装置２０は、別々の機器、あるいは同一の機器に実装される。クライアント装置１０とサーバ装置２０は通信部によって接続されるが、その接続形態は有線、無線のいずれかでもよく、パケット、回線交換、シリアル／パラレル通信など方式を問わない。第１の実施の形態では、クライアント装置１０とサーバ装置２０が別々の機器で実装され、無線で接続されているものとする。

クライアント装置１０は、図１に示すように、サーバ装置２０へのアクセス要求を送信するアクセス要求送信部１７と、監視対象ソフトウェア１１とその状態や動作を監視する不正侵入・改ざん監視部１２（監視手段）と、侵入あるいは改ざんの危険度を計算する危険度判定部１３（危険判定手段）と、アクセス中のサーバ装置のアドレスを管理する通知先サーバリスト管理部１８（サーバ管理手段）と、検出された異常状態あるいは不正状態から異常情報を作成する異常情報作成部１４（異常情報作成手段）と、異常情報にデジタル署名を行うデジタル署名部１５（デジタル署名手段）と、異常情報を暗号化する暗号化部１９（暗号化手段）と、異常情報を通知する異常情報通知部１６（異常情報通知手段）とを備える。

監視対象ソフトウェア１１は、クライアント装置１０上のアプリケーション、ミドルウェア、オペレーティングシステムなど任意のソフトウェアである。

不正侵入・改ざん監視部１２は、コマンド実行列、システムファイル、通信ログ、ソフトウェアのシステムコール実行列、入出力パケットを監視して、不正侵入、不正改ざんの有無を検査する。

危険度判定部１３は、異常状態あるいは不正状態の種別、具体的には、侵入あるいは改ざんの種別や箇所などに応じて危険度の計算を行う。危険度の計算においては、例えば外部機関（セキュリティ団体や企業など）が提供するウィルス情報の危険度などを取得し、危険度と設定してもよい。

通知先サーバリスト管理部１８は、クライアント装置１０のサーバ装置２０へのアクセスを監視し、サーバ装置２０のアドレスのリストを保持する。通知先サーバリスト管理部１８は、ある一定時間前までにアクセスがなされたサーバ装置２０のリストを保持することもできるし、現在セッションが確立されているサーバ装置２０のリストを保持してもよい。

異常情報作成部１４は、検出された異常状態あるいは不正状態から異常情報を作成する。ここで、「異常情報」には、異常状態あるいは不正状態の種別、危険度、箇所、確信度の少なくともいずれか１が含まれる。又、後述するサーバ装置２０の制限制御部２７において、クライアント装置１０の権限が制限された場合、復旧状態の種別、箇所を含んだ異常情報を作成し、通知することにより、クライアント装置１０の権限を回復することができる。

デジタル署名部１５は、異常情報にデジタル署名を行う。デジタル署名のアルゴリズムはＲＳＡ、Ｅｌ Ｇａｍａｌ、ＤＳＡ、Ｒａｂｉｎ方式などいずれでもよい。又、ＰＫＩ（公開鍵基盤）を利用して、証明書を付与してもよい。

暗号化部１９は、異常情報を暗号化する。暗号化の方式は、秘密鍵（共有鍵）暗号化方式、ＳＳＬ認証方式、ＰＧＰなどいずれでもよい。

異常情報通知部１６は、通信部３０を介して、通知先サーバリスト管理部１８が保持するリストに含まれるサーバ装置２０に異常情報を通知する。

サーバ装置２０は、図１に示すように、クライアント装置１０からアクセス要求を受信するアクセス要求受信部２９と、クライアント装置１０から異常情報を受信する異常情報受信部２１（異常情報受信手段）と、クライアント装置１０に異常情報を問い合わせる異常情報問い合わせ部２８（異常情報問い合わせ手段）と、受信した異常情報のデジタル署名を検証するデジタル署名検証部２４（デジタル署名検証手段）と、暗号化された異常情報を復号化する復号化部２１０（復号化手段）と、異常情報を解釈する異常情報解釈部２３（異常情報解釈手段）と、解釈した異常情報に対して権限設定規則を管理するポリシー管理部２６（ポリシー管理手段）と、権限設定規則に従ってクライアント装置の権限を設定する権限設定部２５（権限設定手段）と、権限設定に従ってクライアント装置の権限を制限する権限制御部２７（権限制御手段）と、異常情報を通知する手段を持たないクライアント装置に対して権限を制限するクライアント識別部２２（クライアント識別手段）とを備える。

異常情報受信部２１は、クライアント装置１０から通信部３０を介して異常情報を受信する。ここで、「異常情報」には、異常状態あるいは不正状態の種別、危険度、箇所、確信度、あるいは、復旧状態の種別、箇所の少なくともいずれか１が含まれる。

異常情報問い合わせ部２８は、クライアント装置１０に異常情報を問い合わせるもので、クライアント装置１０からの受信を待つだけでなく、サーバ装置２０から確認をすることもできる。

デジタル署名検証部２４は、異常情報に付与された署名を、クライアント装置の公開鍵を使って検証する。異常情報に証明書が付与されている際は証明書に検証した後、署名の検証を行う。

復号化部２１０は、異常情報が暗号化されている場合は、復号化を行う。

ポリシー管理部２６は、異常状態あるいは不正状態の種別、具体的には侵入あるいは改ざんの種別や箇所、危険度、確認度に対して、サーバ装置２０上のコンテンツや機能に対する権限設定規則を保持する。

異常情報解釈部２３は、ポリシー管理部２６が保持している権限設定規則に従って、異常情報を解釈し、侵入あるいは改ざんの種別や箇所から危険度や確信度などを判定する。

権限設定部２５は、異常情報解釈部２３が解釈した危険度やポリシー管理部２６が保持している権限設定規則に従ってクライアント装置１０の権限を設定する。例えば、異常情報に含まれる危険度が高い場合は権限を厳しく制限し、危険度が低い場合は権限の制限を緩める。

権限制御部２７は、権限設定部２５によって設定された権限に従ってクライアント装置１０の権限を制限する。

又、異常情報に、復旧状態の種別、箇所が含まれていた場合は、サーバ装置２０の権限回復部（図示せず）によって、クライアント装置１０の権限を回復する。

図２及び図３は、ポリシー管理部２６が保持する権限設定規則の例を示す。

図２は、異常情報の種別と箇所に応じて、危険度を判定するための設定規則を示している。ファイル改ざんについて、ドキュメントファイル、アプリケーション設定ファイル、システムファイルの順で危険度を大きく設定している。通信異常については、通信量の増加、不正パケットの検出についてそれぞれ危険度１，２を設定している。そして、コマンド異常については、通常コマンドと重要コマンドについてそれぞれ危険度１，２を設定している。又、システムコールなどの実行列の異常について、正常動作か異常動作かが区別できず、確信度が低い場合には危険度１を、異常動作であることが明らかである場合、危険度２を設定している。

図３では、危険度に応じてリソースに対して許可する操作を決定するための設定規則の例を示している。ここでは、サーバ装置２０として携帯電話、クライアント装置１０としてラップトップＰＣを想定している。サーバ装置２０（携帯電話）上のリソースとして、電話帳、ネットワークアクセス、仮想端末があり、それぞれ危険度に応じて読み書き、送受信、接続の許諾、拒否を設定している。具体的には、危険度が２の場合、クライアント装置１０がサーバ装置２０上の電話帳を読み取ったり、電話帳にデータを書き込んだりすることの権限要求は拒否される。又、クライアント装置１０（ラップトップＰＣ）上のプロセスがサーバ装置２０（携帯電話）の無線通信を利用して外部にデータを送信したり、外部からデータを受信したりすることの権限要求も拒否される。さらに、クライアント装置１０の仮想端末をサーバ装置２０に接続することも拒否される。このようにして、サーバ装置１０上のリソースは保護される。一方、危険度が１の場合はクライアント装置からの電話帳の読み取りや、サーバ装置を経由したデータ受信は許諾され、ユーザの利便性が確保される。

又、上述したクライアント装置１０及びサーバ装置２０では、サーバ装置２０において権限を制限することについて説明したが、クライアント装置１０において権限を制限しても構わない。例えば、不正侵入・改ざん監視部１２が、設定ファイルが壊れている、あるいは、ウィルスに感染していることを検出した場合、当該アプリケーションの起動を拒否することができる。又、不正侵入・改ざん監視部１２が、通信に関わるモジュールの異常を検出した場合、クライアント装置１０の通信の機能を停止することができる。この場合、クライアント装置１０が上述したポリシー管理部２６を備え、当該ポリシー管理部２６が異常情報の種別や危険度に対して、クライアント装置１０上のリソースに対する権限設定規則を有することにより、クライアント装置１０において、クライアント装置１０の権限を制限することができる。

又、第１の実施の形態に係るクライアント装置１０及びサーバ装置２０は、処理制御装置（ＣＰＵ）を有し、上述した不正侵入・改ざん監視部１２、危険度判定部１３、異常情報作成部１４、デジタル署名部１５、異常情報通知部１６、アクセス要求送信部１７、通知先サーバリスト管理部１８、異常情報受信部２１、クライアント識別部２２、異常情報解釈部２３、デジタル署名検証部２４、権限設定部２５、ポリシー管理部２６、権限制御部２７、異常情報問い合わせ部２８、アクセス要求受信部２９などをモジュールとして、それぞれのＣＰＵに内蔵する構成とすることができる。これらのモジュールは、パーソナルコンピュータ等の汎用コンピュータにおいて、所定のプログラム言語を利用するための専用プログラムを実行することにより実現することができる。

又、図示していないが、クライアント装置１０及びサーバ装置２０は、不正侵入・改ざん監視部処理、危険度判定処理、異常情報作成処理、異常情報受信処理、異常情報解釈処理、権限制御処理などを処理制御装置（ＣＰＵ）に実行させるためのプログラムを蓄積するプログラム保持部を備えてもよい。プログラム保持部は、例えば、ＲＡＭ、ＲＯＭ、ハードディスク、フレキシブルディスク、コンパクトディスク、ＩＣチップ、カセットテープなどの記録媒体である。このような記録媒体によれば、プログラムの蓄積、運搬、販売などを容易に行うことができる。

（権限制御方法）
次に、第１の実施の形態に係る権限制御方法について、図４を用いて説明する。

まず、ステップＳ１０１において、クライアント装置１０の不正侵入・改ざん監視部１２は、コマンド実行列、システムファイル、通信ログ、ソフトウェアのシステムコール実行列、入出力パケットを監視して、不正侵入、不正改ざんの有無を検査する。

次に、ステップＳ１０２において、危険度判定部１３は、侵入あるいは改ざんの種別や箇所などに応じて危険度の計算を行う。

次に、ステップＳ１０３において、異常情報作成部１４は、検出された異常状態あるいは不正状態から異常情報を作成する。

次に、ステップＳ１０４において、デジタル署名部１５は、異常情報にデジタル署名を行う。

次に、ステップＳ１０５において、異常情報通知部１６は、通信部３０を介して、通知先サーバリスト管理部１８が保持するリストに含まれるサーバ装置２０へ異常情報を送信する。

次に、ステップＳ１０６において、サーバ装置２０の異常情報受信部２１は、クライアント装置１０から通信部３０を介して異常情報を受信する。

次に、ステップＳ１０７において、デジタル署名検証部２４は、異常情報に付与された署名を、クライアント装置の公開鍵を使って検証する。異常情報に証明書が付与されている際は証明書に検証した後、署名の検証を行う。

次に、ステップＳ１０８において、異常情報解釈部２３は、ポリシー管理部２６が保持している権限設定規則に従って、異常情報を解釈し、侵入あるいは改ざんの種別や箇所から危険度や確信度などを判定する。

次に、ステップＳ１０９において、権限設定部２５は、異常情報解釈部２３が解釈した危険度やポリシー管理部２６が保持している権限設定規則に従ってクライアント装置１０の権限を設定する。

次に、ステップＳ１１０において、権限制御部２７は、権限設定部２５によって設定された権限に従ってクライアント装置１０の権限を制限する。

その後、サーバ装置２０が、クライアント装置１０から復旧状態の種別、箇所が含まれた異常情報を受信した場合は、サーバ装置２０の権限回復部（図示せず）によって、クライアント装置１０の権限を回復する。これにより、クライアント装置１０の権限を元に戻すことができる。

（作用及び効果）
第１の実施の形態に係るクライアント装置１０によると、自身の不正侵入や改ざんを監視すると共にアクセス中のサーバ装置２０を管理し、異常検出の際はアクセス中のサーバ装置に異常情報を通知することができる。このため、サーバ装置２０の不正利用やコンテンツの流出の防止と、ユーザの利便性の確保とを両立することができる。

又、クライアント装置１０は、異常状態あるいは不正状態の危険度を計算する危険度判定部１３を備えるため、サーバ装置は、危険度が高い場合は権限を厳しく制限し、危険度が低い場合は権限の制限を緩めることができ、リソースの保護とユーザの利便性の確保とを両立することができる。

又、異常情報は、異常状態あるいは不正状態の種別、危険度、箇所、確信度の少なくともいずれか１を含む。このようなクライアント装置１０によると、サーバ装置は侵入あるいは改ざんの種別や箇所に基づいて、きめ細かに権限の設定を行うことができる。例えば、侵入や改ざんの種別や箇所に関係するアクセス要求のみを制限することができ、保護と利便性の両立を図ることができる。又、確信度が低い場合には権限の制限を緩めることもできる。

又、クライアント装置１０は、異常情報にデジタル署名を施すデジタル署名部１５あるいは異常情報を暗号化する暗号化部１９を備えるため、サーバ装置２０は正しいクライアント装置１０から異常情報を受信したことを検証でき、暗号化により、異常情報を途中で盗み見されることを防止できる。

第１の特徴に係るサーバ装置２０によると、異常情報を受信、解釈して権限制御規則に従ってクライアント装置のアクセス権限を適切に制限することができる。このため、サーバ装置の不正利用やコンテンツの流出の防止と、ユーザの利便性の確保とを両立することができる。

又、サーバ装置２０は、クライアント装置に異常情報を問い合わせる異常情報問い合わせ部２８を備えるため、クライアント装置の状態を所望のタイミングで確認でき、より柔軟かつ安全にリソースを保護することができる。

又、サーバ装置２０は、異常情報のデジタル署名を検証するデジタル署名検証部２４あるいは暗号化された異常情報を復号化する復号化部２１０を備えるため、正しいクライアント装置から正しい異常情報を受信したことを検証でき、暗号化により、途中で盗み見されることを防止できる。

又、サーバ装置２０は、異常情報を通知する手段を持たないクライアント装置に対して権限を制限するクライアント識別部２２を備えるため、異常情報の検出や通知能力を持たないクライアント装置から、リソースを保護することができる。

＜第２の実施の形態＞
（権限制御システム）
第２の実施の形態に係る権限制御システムは、図５に示すように、クライアント装置１０とサーバ装置２０に加えて、サーバ装置２０の代わりに異常情報の解釈や危険度の判定、権限規則に基づく権限設定を行う検証装置４０とを備える。検証装置４０が代理でこれらの処理を行うことで、サーバ装置２０の機能削減、負荷低減、サーバ装置の管理者の権限規則設定の負荷を減らすことが可能になる。

クライアント装置１０は、異常情報をサーバ装置２０ではなく、検証装置４０へ送信すること以外は、第１の実施の形態と同様であるので、ここでは説明を省略する。

検証装置４０は、図１に示すように、クライアント装置１０から異常情報を受信する異常情報受信部４１（異常情報受信手段）と、クライアント装置１０に異常情報を問い合わせる異常情報問い合わせ部４５と、受信した異常情報のデジタル署名を検証するデジタル署名検証部４３と、異常情報を解釈する異常情報解釈部４２（異常情報解釈手段）と、解釈した異常情報を通知する解釈異常情報通知部４４（解釈異常情報通知手段）とを備える。

異常情報受信部４１、異常情報問い合わせ部４５、デジタル署名検証部４３、異常情報解釈部４２は、第１の実施形態における異常情報受信部２１、異常情報問い合わせ部２８、デジタル署名検証部２４、異常情報解釈部２３と同様の機能であるので、ここでは説明を省略する。

解釈異常情報通知部４４は、解釈した異常情報をサーバ装置２０へ通知する。

サーバ装置２０は、図１に示すように、クライアント装置１０からアクセス要求を受信するアクセス要求受信部２９と、解釈異常情報を受信する解釈異常情報受信部２１１と、解釈した異常情報に対して権限設定規則を管理するポリシー管理部２６と、権限設定規則に従ってクライアント装置１０の権限を設定する権限設定部２５と、権限設定に従ってクライアント装置の権限を制限する権限制御部２７とを備える。

解釈異常情報受信部２１１は、検証装置４０から解釈された異常情報を受信する。

アクセス要求受信部２９、ポリシー管理部２６、権限設定部２５、権限制御部２７については、第１の実施の形態と同様であるので、ここでは説明を省略する。

（権限制御方法）
次に、第２の実施の形態に係る権限制御方法について、図７を用いて説明する。

まず、ステップＳ２０１において、クライアント装置１０の不正侵入・改ざん監視部１２は、コマンド実行列、システムファイル、通信ログ、ソフトウェアのシステムコール実行列、入出力パケットを監視して、不正侵入、不正改ざんの有無を検査する。

次に、ステップＳ２０２において、危険度判定部１３は、侵入あるいは改ざんの種別や箇所などに応じて危険度の計算を行う。

次に、ステップＳ２０３において、異常情報作成部１４は、検出された異常状態あるいは不正状態から異常情報を作成する。

次に、ステップＳ２０４において、デジタル署名部１５は、異常情報にデジタル署名を行う。

次に、ステップＳ２０５において、異常情報通知部１６は、通信部３０を介して、検証装置４０へ異常情報を送信する。

次に、ステップＳ２０６において、検証装置４０の異常情報受信部４１は、クライアント装置１０から通信部３０を介して異常情報を受信する。

次に、ステップＳ２０７において、デジタル署名検証部４３は、異常情報に付与された署名を、クライアント装置の公開鍵を使って検証する。異常情報に証明書が付与されている際は証明書に検証した後、署名の検証を行う。

次に、ステップＳ２０８において、異常情報解釈部４２は、異常情報を解釈し、侵入あるいは改ざんの種別や箇所から危険度や確信度などを判定する。

次に、ステップＳ２０９において、解釈異常情報通知部４４は、解釈した異常情報を通信部３０を介してサーバ装置２０へ送信する。

次に、ステップＳ２１０において、サーバ装置２０の解釈異常情報受信部２１１は、検証装置４０から解釈した異常情報を受信する。

次に、ステップＳ２１１において、権限設定部２５は、異常情報解釈部４２が解釈した危険度やポリシー管理部２６が保持している権限設定規則に従ってクライアント装置１０の権限を設定する。

次に、ステップＳ２１２において、権限制御部２７は、権限設定部２５によって設定された権限に従ってクライアント装置１０の権限を制限する。

その後、サーバ装置２０が、クライアント装置１０から復旧状態の種別、箇所が含まれた異常情報を受信した場合は、サーバ装置２０の権限回復部（図示せず）によって、クライアント装置１０の権限を回復する。これにより、クライアント装置１０の権限を元に戻すことができる。

（作用及び効果）
第２の実施の形態に係る権限制御システムによると、クライアント装置１０、サーバ装置２０とは別に、検証装置４０を備えることができる。このような機能分担により、検証装置４０に集中的に多様な異常情報を解釈するためのアルゴリズムやデータベースを持たせることができ、サーバ装置２０の開発、運用コストを削減できる。

＜第３の実施の形態＞
（権限制御システム）
第３の実施の形態に係る権限制御システムは、図８に示すように、クライアント装置１０とサーバ装置２０というリソースを利用する側と提供する側の区分ではなく、相互に相手のリソースを利用するようなピアツーピアの環境におけるクライアント／サーバ装置５０を備える。

クライアント／サーバ装置５０は、監視対象ソフトウェア６０を監視し、異常情報を作成する異常情報管理部７０と、異常情報に基づいて権限の制御を行う異常通知対処部８０とを備える。

異常情報管理部７０のアクセス要求送信部７６、不正侵入・改ざん監視部７１、危険度判定部７２、通知先サーバリスト管理部７７、異常情報作成部７３、デジタル署名部７４、異常情報通知部７５は、それぞれ第１の実施の形態におけるクライアント装置１０のアクセス要求送信部１７、不正侵入・改ざん監視部１２、危険度判定部１３、通知先サーバリスト管理部１８、異常情報作成部１４、デジタル署名部１５、異常情報通知部１６と同様であるので、ここでは説明を省略する。

又、異常通知対処部８０のアクセス要求受信部８９、異常情報受信部８１、デジタル署名検証部８４、異常情報解釈部８３、ポリシー管理部８６、権限設定部８５、権限制御部８７、クライアント識別部８２は、それぞれ第１の実施の形態に係るサーバ装置２０のアクセス要求受信部２９、異常情報受信部２１、デジタル署名検証部２４、異常情報解釈部２３、ポリシー管理部２６、権限設定部２５、権限制御部２７、クライアント識別部２２と同様であるので、ここでは説明を省略する。

（権限制御方法）
第３の実施の形態に係る権限制御方法は、第１の実施の形態に係る権限制御方法（図４）と同様であるので、ここでは説明を省略する。

（作用及び効果）
第３の実施の形態に係るクライアント／サーバ装置よると、第１の形態で説明したクライアント装置１０とサーバ装置２０の両者に同一の機能を持たせることで、双方に異常がないことを確認することができ、安全にリソースを利用することが可能となる。

（その他の実施形態）
本発明は上記の実施形態によって記載したが、この開示の一部をなす論述及び図面はこの発明を限定するものであると理解すべきではない。この開示から当業者には様々な代替実施形態、実施例及び運用技術が明らかとなろう。

例えば、第３の実施の形態に係る権限制御システムは、第２の実施の形態で説明した検証装置４０を導入する構成をとることもできる。この場合、図６のように、クライアント／サーバ装置５０と検証装置４０で機能を分担できるため、コスト削減をはかることができる。

又、第１〜第３の実施の形態において、クライアント装置１０の権限を回復するために、異常情報に回復状態の種別、箇所を含めて通知すると説明したが、クライアント装置１０は、異常情報とは別に、復旧情報のみを作成する復旧情報作成手段、復旧情報を通知する復旧情報通知手段を更に備えてもよい。同様に、サーバ装置２０において、復旧情報を受信する復旧情報受信部、復旧情報を解釈する復旧情報解釈部を更に備えてもよい。

このように、本発明はここでは記載していない様々な実施形態等を含むことは勿論である。従って、本発明の技術的範囲は上記の説明から妥当な特許請求の範囲に係る発明特定事項によってのみ定められるものである。

第１の実施の形態に係るクライアント装置及びサーバ装置の構成ブロック図である。 第１の実施の形態に係る権限設定規則の例である（その１）。 第１の実施の形態に係る権限設定規則の例である（その２）。 第１の実施の形態に係る権限制御方法を示すフローチャートである。 第２の実施の形態に係る権限制御システムを説明する模式図である。 第２の実施の形態に係るクライアント装置、サーバ装置及び検証装置の構成ブロック図である。 第２の実施の形態に係る権限制御方法を示すフローチャートである。 第３の実施の形態に係るクライアント／サーバ装置の構成ブロック図である。

符号の説明

１０…クライアント装置
１１…監視対象ソフトウェア
１２…不正侵入・改ざん監視部
１３…危険度判定部
１４…異常情報作成部
１５…デジタル署名部
１６…異常情報通知部
１７…アクセス要求送信部
１８…通知先サーバリスト管理部
１９…暗号化部
２０…サーバ装置
２１…異常情報受信部
２２…クライアント識別部
２３…異常情報解釈部
２４…デジタル署名検証部
２５…権限設定部
２６…ポリシー管理部
２７…権限制御部
２８…異常情報問い合わせ部
２９…アクセス要求受信部
２１０…復号化部
２１１…解釈異常情報受信部
３０…通信部
４０…検証装置
４１…異常情報受信部
４２…異常情報解釈部
４３…デジタル署名検証部
４４…解釈異常情報通知部
４５…異常情報問い合わせ部
５０…クライアント／サーバ装置
６０…監視対象ソフトウェア
７０…異常情報管理部
７１…不正侵入・改ざん監視部
７２…危険度判定部
７３…異常情報作成部
７４…デジタル署名部
７５…異常情報通知部
７６…アクセス要求送信部
７７…通知先サーバリスト管理部
８０…異常通知対処部
８１…異常情報受信部
８２…クライアント識別部
８３…異常情報解釈部
８４…デジタル署名検証部
８５…権限設定部
８６…ポリシー管理部
８７…権限制御部
８９…アクセス要求受信部

Claims (5)

1. クライアント装置へ、データあるいは機能であるリソースを提供するサーバ装置であって、
   前記リソースに対して所定の操作を実行することを要求するアクセス要求を前記クライアント装置から受信するアクセス要求受信部と、
   前記クライアント装置から、前記クライアント装置において検出された異常状態の種別と、前記異常状態が検出された箇所とを含む異常情報を受信する異常情報受信部と、
   権限設定規則を管理するポリシー管理部と、
   前記権限設定規則に従って、前記異常情報を解釈する異常情報解釈部と、
   前記権限設定規則に従って、前記クライアント装置に対して許諾する許諾操作の種類を設定する権限設定部と、
   前記権限設定部によって設定された前記許諾操作に従って、前記アクセス要求を許諾又は拒否する権限制御部と
   を備え、
   前記権限設定規則は、
   前記異常状態の種別と、前記異常状態が検出された箇所と、前記異常状態の危険度とを対応付ける第１テーブルと、
   前記危険度と、前記リソースの種類と、前記リソースに対する操作として前記クライアント装置に許諾される許諾操作の種類とを対応付ける第２テーブルとを有し、
   前記第２テーブルは、前記危険度の増加に応じて、前記許諾操作の種類を減少させるように、前記危険度と前記許諾操作の種類とを対応付け、
   前記異常情報解釈部は、前記第１テーブルに基づいて、前記異常情報に含まれる前記種別及び前記箇所に対応する前記危険度を判定し、
   前記権限設定部は、前記異常情報解釈部によって判定された前記危険度と前記第２テーブルとに基づいて、前記許諾操作の種類を設定する
   ことを特徴とするサーバ装置。
2. 前記クライアント装置に異常情報を問い合わせる異常情報問い合わせ部を更に備えることを特徴とする請求項１に記載のサーバ装置。
3. 前記異常情報は、前記異常状態あるいは前記不正状態の確信度、あるいは復旧状態の種別、箇所の少なくともいずれかを更に含むことを特徴とする請求項１又は２に記載のサーバ装置。
4. 前記異常情報のデジタル署名を検証するデジタル署名検証部あるいは暗号化された前記異常情報を復号化する復号化部を更に備えることを特徴とする請求項１乃至３のいずれか１項に記載のサーバ装置。
5. 前記異常情報を通知する異常状態通知部を持たない前記クライアント装置に対して権限を制限するクライアント識別部を更に備えることを特徴とする請求項１〜４いずれか１項に記載のサーバ装置。

Images