JP5472604B2 - プロセス検疫装置、検疫システム、ファイル処理方法、及びプログラム - Google Patents

Description

本発明は、サンドボックス技術を利用して検疫対象プロセスに制限を与えるサンドボックス検疫装置と連携する、プロセス検疫装置、これを備えた検疫システム、ファイル処理方法、及びプログラムに関する。

従来から、企業等では、ＬＡＮ等のネットワークの安全性を確保するため、検疫ネットワークシステムの導入が行われている。検疫ネットワークシステムは、先ず、ＬＡＮに接続しようとするコンピュータが存在すると、このコンピュータを、検疫対象として、それが接続しようとするＬＡＮとは隔離されたネットワークに強制的に接続させる。そして、検疫ネットワークシステムは、検疫対象のコンピュータに対して、ウィルスの感染の有無、プログラム又はウィルス定義ファイルの最新バージョンへのアップデートの有無等を検査し、セキュリティ上の問題を有していないかどうか判断する。

判断の結果、検疫対象のコンピュータが問題を有している場合は、検疫ネットワークシステムは、ウィルスの駆除、及び最新バージョンへのアップデートといった治療を実施する。その後、検疫ネットワークシステムは、問題が無いことを確認した上で、検疫対象となったコンピュータのＬＡＮへの接続を許可する。検疫ネットワークシステムは、このような処理により、ＬＡＮに接続されている他のコンピュータへのウィルスの感染拡大等を防いでいる。

また、検疫ネットワークシステムが、検疫対象のコンピュータを検疫隔離するために用いる具体的な方式としては、ＤＨＣＰサーバーによる方式、認証スイッチによる方式、パーソナルファイルウォールによる方式、ゲートウェイによる方式等が知られている。

更に、例えば、特許文献１は、検疫対象のコンピュータを物理的に検疫隔離する代わりに、検疫対象のコンピュータ上に仮想マシンを構築し、この仮想マシンに対して検疫を実行する検疫ネットワークシステムを開示している。特許文献１に開示された検疫ネットワークシステムは、仮想マシンがセキュリティ上の検査に合格して初めて、検疫対象のコンピュータ自体がネットワークに接続することを許可している。

ところで、上述した検疫隔離を実行する検疫ネットワークシステムでは、検疫隔離の方式として、どのような方式を採用しても、検疫対象のコンピュータは、検疫処理の間、ＬＡＮから隔離されてしまう。このため、利用者は、検疫処理の間、検疫対象のコンピュータを用いて、ＬＡＮにおいて、又はＬＡＮ経由でのインターネット接続において、作業を行うことができなくなってしまう。また、このことは、特許文献１に開示された検疫ネットワークシステムでも、仮想マシンのセキュリティが確認されるまで、利用者は、検疫対象のコンピュータを利用できないので、同様である。

一方、コンピュータ上で実行されるプロセス（プログラム）が、ファイル、ネットワーク、他のプロセス等のコンピュータリソースにアクセスする際に、このアクセスを制御する、「サンドボックス」と呼ばれる技術がある（例えば、特許文献２参照。）。特許文献２は、サンドボックス技術を利用することによって、セキュリティを確保する方法を開示している。

具体的には、特許文献２に開示された方法によれば、仮想的なコンピュータのリソースによって仮想領域が構築される。そして、構築された仮想領域の中で、プロセスが実行さ
れ、又はファイルが開かれる。このため、悪意を持つ可能性のあるプロセス、又は悪意を持つ可能性のあるファイルは、仮想領域の中に閉じ込められるので、セキュリティが確保される。また、特許文献２に開示された方法によれば、一部のプロセスのみを隔離でき、コンピュータ全体を隔離しなくても済むので、上述した問題を解消できると考えられる。

特開２００８−０９０７９１号公報 特表２００８−５００６５３号公報

しかしながら、特許文献２に開示された方法では、プロセス毎又はファイル毎に隔離して検疫を実行できるが、疑わしいプロセス又はファイルにウィルス等が含まれていないかどうかが判定されるだけである。そのため、ユーザは、特許文献２に開示された方法による検疫処理の間、処理対象となっているプロセス又はプログラムを扱えない状態となる。つまり、特許文献２に開示された方法を用いても、結局のところ、ユーザが継続してコンピュータ上で作業を行うことは不可能である。

本発明の目的は、上記問題を解消し、サンドボックス技術によって検疫対象プロセスに対して制限が与えられている場合に、ネットワークでのセキュリティを確保しつつ、利用者が検疫対象プロセス上での作業を継続して実行できるようにし得る、プロセス検疫装置、検疫システム、ファイル処理方法、及びプログラムを提供することにある。

上記目的を達成するため、本発明におけるプロセス検疫装置は、外部のサンドボックス検疫装置による制限の対象となっている検疫対象プロセスの起動の検知を行い、前記起動を検知した場合に、前記検疫対象プロセスによって使用される仮想ファイルが格納された仮想ファイル空間を、仮想記憶領域に設定する、プロセス起動検知部と、
前記検疫対象プロセスの実行が終了した場合に、外部からの指示に応じて、前記仮想ファイル空間に格納されている前記仮想ファイルの内容を、前記サンドボックス検疫装置が管理する実体的な記憶領域に格納されている実体ファイルに反映させる、ファイル反映部とを備えている、ことを特徴とする。

また、上記目的を達成するため、本発明における検疫システムは、検疫対象プロセスに対して制限を与えるサンドボックス検疫装置と、前記サンドボックス検疫装置と連携するプロセス検疫装置とを備え、
前記プロセス検疫装置は、
前記検疫対象プロセスの起動の検知を行い、前記起動を検知した場合に、前記検疫対象プロセスによって使用される仮想ファイルが格納された仮想ファイル空間を、仮想記憶領域に設定する、プロセス起動検知部と、
前記検疫対象プロセスの実行が終了した場合に、外部からの指示に応じて、前記仮想ファイル空間に格納されている前記仮想ファイルの内容を、前記サンドボックス検疫装置が管理する実体的な記憶領域に格納されている実体ファイルに反映させる、ファイル反映部とを備えている、ことを特徴とする。

上記目的を達成するため、本発明におけるファイル処理方法は、
（ａ）外部のサンドボックス検疫装置による制限の対象となっている検疫対象プロセスの起動の検知を行い、前記起動を検知した場合に、前記検疫対象プロセスによって使用される仮想ファイルが格納された仮想ファイル空間を、仮想記憶領域に設定する、ステップと
、
（ｂ）前記（ａ）のステップにおける前記検疫対象プロセスの実行が終了した場合に、外部からの指示に応じて、前記仮想ファイル空間に格納されている前記仮想ファイルの内容を、前記サンドボックス検疫装置が管理する実体的な記憶領域に格納されている実体ファイルに反映させる、ステップとを有している、ことを特徴とする。

上記目的を達成するため、本発明におけるプログラムは、
コンピュータに、
（ａ）外部のサンドボックス検疫装置による制限の対象となっている検疫対象プロセスの起動の検知を行い、前記起動を検知した場合に、前記検疫対象プロセスによって使用される仮想ファイルが格納された仮想ファイル空間を、仮想記憶領域に設定する、ステップと、
（ｂ）前記（ａ）のステップにおける前記検疫対象プロセスの実行が終了した場合に、外部からの指示に応じて、前記仮想ファイル空間に格納されている前記仮想ファイルの内容を、前記サンドボックス検疫装置が管理する実体的な記憶領域に格納されている実体ファイルに反映させる、ステップとを実行させる、ことを特徴とする。

以上のように、本発明によれば、サンドボックス技術によって検疫対象プロセスに対して制限が与えられている場合に、ネットワークでのセキュリティを確保しつつ、利用者が検疫対象プロセス上での作業を継続して実行できるようにすることができる。

図１は、本発明の実施の形態における検疫装置及び検疫システムの全体構成を示すブロック図である。 図２は、本発明の実施の形態における検疫装置の動作を説明するための説明図である。 図３は、本発明の実施の形態におけるプロセス検疫装置の動作を示すフロー図である。 図４は、図３に示す検疫ファイル空間の設定処理を具体的に示すフロー図である。 図５は、図３に示す検疫対象プロセスの終了処理を具体的に示すフロー図である。 図６は、図３に示す検疫ファイルの反映処理を示すフロー図である。

（発明の概要）
本発明では、プロセスに対して、それによる、ファイル、ネットワーク、及び他のプロセス等のコンピュータリソースへのアクセスを禁止制御するサンドボックス技術が利用される（例えば、特開２００７−２８０２５５号公報及び特開２００６−１２７１２７号公報参照。）。サンドボックス技術は、例えば、ウィルスへの感染が懸念されるようなセキュリティホールを有しているため、最新バージョンへのアップデートが必要であると判定されたプロセス（以後、「検疫対象プロセス」という。）が、コンピュータ上に確認された時に利用される。

サンドボックス技術によれば、検疫対象プロセスによる、ＬＡＮへの接続、ＬＡＮを経由してのインターネットへの接続、プロセス間通信を利用したコンピュータ上の他のプロセスとの通信等が制限される。この結果、検疫対象プロセスを原因とした、ウィルスの感染、感染の拡大、更には、ウィルスによる情報暴露等が回避される。

具体的には、サンドボックス技術を利用するサンドボックス検疫装置は、検疫対象プロセスに対して、コンピュータ上のファイルの読み込みについては許可する。一方、サンドボックス検疫装置は、ファイルの書き込みについては、一般のプロセス(プログラム)がアクセスできない、検疫用に設けられた仮想記憶領域でのみ許可する。

言い換えると、サンドボックス検疫装置は、ファイルアクセスが仮想化されているファイルシステム（以下「仮想ファイル空間」又は「検疫ファイル空間」とする。）上で、検疫対象プロセスを実行させる。この結果、検疫対象プロセスが実体的な記憶領域に対して書き込みを行おうとしても、書き込み先は仮想記憶領域に変換されるので、検疫対象プロセスの書き込み対象となったファイルは、仮想ファイル空間が設定されている仮想記憶領域へと隔離される。

そして、本発明のプロセス検疫装置は、サンドボックス検疫装置によって、検疫対象プロセスが使用するファイルが、仮想記憶領域上に隔離されている場合において、利用者からの指示に応じて、種々の処理を実行する。先ず、本発明のプロセス検疫装置は、利用者からの指示により、仮想ファイル空間に格納されている仮想ファイルの内容を実体ファイルに反映させる。更に、本発明のプロセス検疫装置は、上記の場合において、利用者からの指示に応じて、仮想ファイル空間の破棄、又は仮想ファイル空間の保管を行うこともできる。

具体的には、本発明のプロセス検疫装置では、仮想ファイル空間の反映は、指定された仮想ファイルをコンピュータのファイルシステムに反映させることによって行われる。また、反映時においては、検疫対象プロセスに対するアップデートプログラムの適用状況の確認、アップデートプログラムが適用済みになった状態から一定の猶予期間が経過しているかどうかの確認等、仮想ファイルがセキュリティポリシーに適合しているかどうかが判断される。更に、反映対象となる仮想ファイルについて、アップデートファイル一覧との照合、署名又はチェックサム等によるチェック、ウィルスチェック等が行われても良い。また、仮想ファイルに対応する実体ファイルの更新により、仮想ファイル空間と、コンピュータのファイルシステムとの間で衝突が発生していないかどうかのチェックが行われても良い。

また、仮想ファイル空間の破棄が行われる場合、検疫対象プロセスの実行の終了と同時に、仮想ファイル空間に格納されている全てのファイル全部が削除される。更に、仮想ファイル空間の保管が行われる場合、検疫対象プロセスの実行の終了と同時に、仮想ファイル空間全体は、現在展開されている仮想記憶領域から、別の一時保管領域に移される。そして、同じ検疫対象プロセスが再度起動されると、一時保管領域に保管されている仮想ファイル空間は、再度、元の仮想記憶領域に展開される。

（実施の形態）
以下、本発明の実施の形態におけるプロセス検疫装置、検疫システム、及びプロセスファイル処理方法について、図１〜図６を参照しながら説明する。最初に、図１を用いて、本実施の形態におけるプロセス検疫装置１００及び検疫システム３０の全体構成を説明する。図１は、本発明の実施の形態における検疫装置及び検疫システムの全体構成を示すブロック図である。

図１に示すように、本実施の形態における検疫システム３０は、プロセス検疫装置１００と、検疫対象プロセス１０６に対して制限を与えるサンドボックス検疫装置１４０とを備えている。また、本実施の形態におけるプロセス検疫装置１００は、プロセス起動部１１０と、ファイル反映部１３０とを備えている。

プロセス検疫装置１００において、プロセス起動検知部１１０は、サンドボックス検疫装置１４０による制限の対象となっている検疫対象プロセス１０６の起動の検知を行う。また、プロセス起動検知部１１０は、起動を検知した場合に、検疫対象プロセス１０６によって使用される仮想ファイルが格納された仮想ファイル空間を、仮想記憶領域１０３に設定する。

また、プロセス検疫装置１００において、ファイル反映部１３０は、検疫対象プロセス１０６の実行が終了した場合に、外部からの指示に応じて、仮想ファイル空間に格納されている仮想ファイルの内容を、実体ファイルに反映させる。実体ファイルは、サンドボックス検疫装置１４０が管理する実体的な記憶領域１０４に格納されている。

なお、以降の説明及び図においては、検疫対象プロセス１０６によって使用される仮想ファイルを「検疫ファイル」、仮想ファイル空間を「検疫ファイル空間」、仮想記憶領域を「検疫ファイル空間領域」とする。また、実体的な記憶領域を「実体ファイル空間領域」とする。

また、本実施の形態では、プロセス検疫装置１００は、コンピュータ１０上で実行されるプログラムによって構築されている。更に、検疫対象プロセス１０６は、このコンピュータ１０によって実行されるプログラムである。そして、検疫ファイル空間領域１０３及び実体ファイル空間領域１０４は、コンピュータ１０が備える記憶装置（図１において図示せず）の記憶領域内に構築されている。また、コンピュータ１０は、ネットワーク２０に接続されている。サンドボックス検疫装置１４０もネットワーク２０に接続されている。

このように、本実施の形態においても、背景技術の欄で説明した特許文献２の場合と同様に、サンドボックス検疫装置１４０が検疫対象プロセス１０６に対して制限を与え、検疫対象プロセス１０６は検疫隔離された状態にある。しかし、プロセス検疫装置１００は、検疫プロセス１０６が使用した検疫ファイルの内容を実体ファイル空間領域１０４に反映させることができる。このため、コンピュータ１０の利用者は、検疫対象プロセス１０６に対して検疫分離が行われていても、検疫対象プロセス１０６上での作業を継続して実行することができる。また、このとき、ネットワーク２０でのセキュリティは確保されている。

ここで、図２を用いて、本実施の形態におけるプロセス検疫装置１００及び検疫システム３０の構成及び機能を更に具体的に説明する。図２は、本発明の実施の形態における検疫装置の動作を説明するための説明図である。

図１及び図２に示すように、本実施の形態では、検疫システム３０は、プロセス検疫装置１００及びサンドボックス検疫装置１４０に加えて、セキュリティポリシーチェック装置１５０と、ウィルスチェック装置１６０とを備えている。セキュリティポリシーチェック装置１５０、及びウィルスチェック装置１６０も、ネットワーク２０に接続されている。これらの機能については後述する。

また、本実施の形態では、プロセス検疫装置１００は、記憶領域として、検疫ファイル空間領域１０３に加え、一時保管領域１０１と、検疫ポリシー格納領域１０２と、チェック結果格納領域１０５とを備えている。また、プロセス検疫装置１００は、プロセス起動検知部１１０とファイル反映部１３０とに加えて、プロセス終了検知部１２０を備えている。

更に、本実施の形態では、プロセス起動検知部１１０は、検疫ファイル空間読込部１１
１と、検疫ファイル空間作成部１１２と、検疫ポリシー適用部１１３とを備えている。この構成により、プロセス起動検知部１１０は、検疫対象プロセス１０６の起動の検知、検疫ファイル空間の設定を行うことができる。

具体的には、検疫ファイル空間読込部１１１は、コンピュータ１０上でプロセスの起動が検知されると、そのプロセスに対応する検疫ファイル空間が一時保管領域１０１に保管されているかどうかを判定する。判定の結果、検疫ファイル空間が一時保管領域１０１に保管されている場合は、検疫ファイル空間読込部１１１は、検疫ファイル空間を読み出し、これを検疫ファイル空間領域１０３に設定する。

また、検疫ファイル空間が一時保管領域１０１に保管されている場合において、検疫ファイル空間読込部１１１は、更に、利用者に対して、検疫ファイル空間の利用を希望するかどうかを問い合わせることができる。そして、利用者が希望している場合にのみ、検疫ファイル空間読込部１１１は、検疫ファイル空間を読み出し、これを検疫ファイル空間領域１０３に設定することもできる。

また、検疫ファイル空間作成部１１２は、検疫ファイル空間読込部１１１により、検疫ファイル空間が一時保管領域１０１に保管されていないと判定されると、起動が検知されたプロセスが検疫対象のプロセス（検疫対象プロセス１０６）であるかどうかを判定する。そして、起動が検知されたプロセスが検疫対象プロセス１０６である場合は、検疫ファイル空間作成部１１２は、新たな検疫ファイル空間を作成し、作成した検疫ファイル空間を検疫ファイル空間領域１０３に設定する。

検疫ポリシー適用部１１３は、検疫ファイル空間読込部１１１及び検疫ファイル空間作成部１１２の動作に応じて、サンドボックス検疫装置１４０が検疫対象プロセス１０６に対して検疫隔離を行う際のポリシー（検疫ポリシー）を組み立てる。また、検疫ポリシー適用部１１３は、組み立てた検疫ポリシーを検疫ポリシー格納領域１０２に格納させる。

プロセス終了検知部１２０は、検疫対象プロセス１０６の実行の終了の検知を行い、終了を検知した場合に、利用者からの指示に応じて、検疫ファイル空間を廃棄又は保管する。本実施の形態では、プロセス終了検知部１２０は、終了を検知すると、利用者に対して、検疫ファイル空間の廃棄、保管、及び実体ファイル空間領域１０４への反映のうちいずれかを希望するか問い合わせることができる。

また、本実施の形態では、プロセス終了検知部１２０は、検疫ファイル空間保管部１２１と、検疫ファイル空間破棄部１２２とを備えている。検疫ファイル空間保管部１２１は、利用者が保管を希望した場合に検疫ファイル空間を一時保管領域１０１に保管する。検疫ファイル空間破棄部１２２は、利用者が廃棄を希望した場合に検疫ファイル空間を廃棄する。

ファイル反映部１３０は、本実施の形態において、プロセス終了部１２０による問い合わせにより、利用者が検疫ファイル空間の反映を希望した場合、又は、任意の時点で利用者が検疫ファイル空間の希望した場合に、反映を実行する。また、ファイル反映部１３０は、反映対象ファイル選択部１３１と、反映対象ファイルチェック部１３２と、検疫隔離期間チェック部１３３と、反映実行部１３４とを備えている。

反映対象ファイルチェック部１３２は、検疫ファイル空間に格納されている各検疫ファイルが、予め定められたセキュリティポリシーに適合しているかどうかを判定する。具体的には、反映対象ファイルチェック部１３２は、セキュリティポリシーチェック装置１５０に、検疫ファイルがセキュリティポリシーに適合しているかどうかのチェックを行わせ
、チェック結果から適合状態を判定する。

検疫隔離期間チェック部１３３は、検疫ファイルがセキュリティポリシーに適合している場合に、セキュリティポリシーの判定時から、設定された期間（検疫隔離期間）が経過しているかどうかを判定する。このとき、判定の対象となる検疫隔離期間の設定は、ほとぼりが冷める程度の期間となるように行うのが良い。

反映対象ファイル選択部１３１は、検疫隔離期間チェック部１３３によって、設定された時間が経過していると判断された場合に、利用者に対して、反映の対象となる検疫ファイル（反映対象ファイル）の選択を受け付けることができる。本実施の形態では、利用者が選択した検疫ファイルのみを反映対象として、反映を行うことができる。

また、上述の反映対象ファイルチェック部１３２は、検疫ファイルの選択の受け付け後に、選択された検疫ファイルに対して、更に、予め設定されたリストへの登録の有無、改竄の有無、及び対応する実体ファイルの更新による衝突の発生の有無等を判定することもできる。この場合、反映対象ファイルチェック部１３２は、これらの判定結果に基づいて、選択された検疫ファイルについて反映を実行するかどうかを最終的に決定することができる。

ここで、予め設定されたリストとしては、アップデートによって作成又は変更されるファイルが登録されたリスト、利用者が検疫対象プロセス１０６を利用して作成したファイルのリスト等が挙げられる。また、改竄の有無は、例えば、検疫ファイルに付与されている電子署名を検証することによって行うことができる。更に、実体ファイルの更新による衝突の発生の有無は、検疫ファイルと、それとファイル名称が同一の実体ファイルとを対比して差分を照合し、検疫ファイル空間の作成後における実体ファイルの修正変更箇所をチェックすることによって判定される。

更に、反映対象ファイルチェック部１３２は、検疫ファイルの選択の受け付け後に、選択された検疫ファイルに対して、コンピュータウィルスに感染していないかどうかを判定することもできる。具体的には、反映対象ファイルチェック部１３２は、後述するウィルスチェック装置１６０に、検疫ファイルのウィルスチェックを行わせ、そのチェック結果に基づいて、上記の判定を実行する。この場合、反映対象ファイルチェック部１３２は、ウィルスに感染していないことが判明した検疫ファイルのみを反映対象ファイルとすることができる。

反映実行部１３４は、検疫隔離期間チェック部１３３及び反映対象ファイルチェック部１３２によって反映対象ファイルと認められた検疫ファイルについて、その内容を、実体ファイル空間領域１０４に格納されている実体ファイルへと反映させる。

サンドボックス検疫装置１４０は、本実施の形態では、検疫ポリシーに従って、検疫対象プロセス１０６に制限を与える。検疫ポリシーは、上述したように、プロセス検疫装置１００の検疫ポリシー適用部１１３によって、組み立てられ、その後、検疫ポリシー格納領域１０２に格納される。また、サンドボックス検疫装置１４０は、本実施の形態では、ネットワーク制御部１４１と、プロセス間通信制御部１４２と、ファイルアクセス制御部１４３とを備え、これらによって検疫対象プロセス１０６に制限を与える。

ネットワーク制御部１４１は、検疫ポリシー格納領域１０２に格納されている検疫ポリシーに基づいて、検疫対象プロセス１０６によるネットワークへの接続を禁止又は許可する制御を実行する。具体的には、ネットワーク制御部１４１は、検疫ポリシーに記述される指示に基づき、検疫対象プロセス１０６による指定のネットワークアドレスとのネット
ワーク通信をブロック又は非ブロックする通信制御を行う。

プロセス間通信制御部１４２は、検疫ポリシー格納領域１０２に格納されている検疫ポリシーに基づいて、検疫対象プロセス１０６と他のプロセスとの間の通信を禁止又は許可する制御を実行する。具体的には、プロセス間通信制御部１４２は、検疫対象プロセス１０６とそれと同一の検疫ポリシーで実行中のプロセスとの間の通信、検疫対象プロセス１０６と既定のシステムプロセス以外のプロセスとの間の通信をブロックする。

また、プロセス間通信制御部１４２は、検疫対象プロセス１０６とサービスを提供するプロセス（サービス提供プロセス）との通信（ＷｉｎｄｏｗｓのＣＯＭ等）においても介入できる。この場合は、プロセス間通信制御部１４２は、元のサービス提供プロセスとは別に、検疫ポリシーが適用されたサービス提供プロセスを新たに起動し、新たなサービス提供プロセスが提供するサービスが呼び出されるように、通信先プロセスをすり替える制御を実行する。

ファイルアクセス制御部１４３は、検疫ポリシー格納領域１０２に格納されている検疫ポリシーに基づいて、検疫対象プロセス１０６がアクセス対象としている実体ファイルを検疫ファイルにすり替える制御を実行する。つまり、本実施の形態では、ファイルアクセス制御部１４３は、検疫対象プロセス１０６が、実体ファイル空間領域１０４の実体ファイルにアクセスしようとすると、アクセス先を検疫ファイル空間領域１０３の検疫ファイルに変更する。これにより、検疫対象プロセス１０６は、検疫ファイルにアクセスし、そこで書き込みを実行する。

具体的には、ファイルアクセス制御部１４３は、先ず、実体ファイル空間領域の実体ファイルへの読込及び書込をブロックするファイル、又は実体ファイルを書込モードでオープンしようとするファイルを検知する。ファイルアクセス制御部１４３は、ファイルを検知すると、その処理対象の実体ファイルのコピーを、検疫ファイルとして、検疫ファイル空間領域１０３に作成する。そして、ファイルアクセス制御部１４３は、コピー元の実体ファイルのオープン時、又はそれ以後に、実体ファイルのオープンを、検疫ファイル空間領域１０３に格納された検疫ファイルのオープンにすり替える制御を実行する。

ここで、サンドボックス検疫装置１４０の具体例について説明する。本実施の形態において、検疫装置１４０としては、オペレーティングシステムが備える機能をアプリケーションが呼び出そうとした時に、その呼び出しを横取りする仕掛けを備えた装置を用いることができる。このような仕掛けとしては、例えば、ＡＰＩフックが挙げられる。

また、ＡＰＩフックの具体例としては、例えば、Ｍｉｃｒｏｏｆｔ（登録商標）社のＷｉｎｄｏｗｓ（登録商標）に備えられた、ＤＬＬ注入を使ったＡＰＩフック、フィルタドライバが挙げられる。その他、Ｕｎｉｘ（登録商標）及びＬｉｎｕｘ（登録商標）におけるプロセストレース又はカーネルモジュールによるシステムコールフック等も挙げられる。

サンドボックス検疫装置１４０は、このようなＡＰＩフックにより、ＴＣＰ／ＩＰ等のプロトコルを用いた通信、検疫対象プロセス１０６に従属する子プロセスの起動、プロセス間の通信、ファイルのオープン又は読み書き等を検出する。そして、サンドボックス検疫装置１４０は、検出後、指定されたポリシーに基づいて、検出した処理の禁止、検出した処理の許可、アクセス対象のすり替え等を実行する。

セキュリティポリシーチェック装置１５０は、ネットワーク２０上のコンピュータ（例えばコンピュータ３０）を検査し、コンピュータにおけるセキュリティポリシーの適合状
態をチェックする。具体的には、セキュリティポリシーチェック装置１５０は、コンピュータ上のプログラムの最新バージョンへのアップデートが未実施かどうかを検査し、該プログラムが検疫対象となっているかどうかをチェックする。また、セキュリティポリシーチェック装置１５０は、ウィルスチェック装置１６０によるウィルスチェックが適切に実施されているかどうかもチェックする。

また、セキュリティポリシーチェック装置１５０は、ネットワーク２０上のコンピュータの起動時又は一定のスケジュール間隔等で、実体ファイル空間領域１０４に格納されている実体ファイルを対象として、セキュリティポリシーの適合状態をチェックする。更に、その後、セキュリティポリシーチェック装置１５０は、セキュリティポリシーの適合状態を特定するチェック結果を、チェック結果格納領域１０５に保管する。

更に、セキュリティポリシーチェック装置１５０は、検疫ファイル空間の読込時、又はファイル反映部１３０による反映処理の実行時においては、検疫ファイル空間領域１０３を対象として、セキュリティポリシーの適合状態をチェックすることもできる。この場合も、セキュリティポリシーチェック装置１５０は、セキュリティポリシーの適合状態を特定するチェック結果を、チェック結果格納領域１０５に保管する。

次に、本発明の実施の形態におけるプロセス検疫装置１００の動作について図３を用いて説明する。図３は、本発明の実施の形態におけるプロセス検疫装置の動作を示すフロー図である。また、本実施の形態では、プロセス検疫装置１００を動作させることによって、ファイル処理方法が実施される。よって、本実施の形態におけるファイル処理方法の説明は、以下のプロセス検疫装置１００の動作説明に代える。なお、以下の説明においては、適宜図１を参酌する。

図３に示すように、先ず、プロセス検疫装置１００において、プロセス起動検知部１１０が、検疫対象プロセス１０６の起動の検知を行い、起動を検知した場合に、検疫ファイルが格納された検疫ファイル空間を、検疫ファイル空間領域１０３に設定する（ステップＡ１）。なお、検疫対象プロセス１０６は、サンドボックス検疫装置１４０による制限の対象となっている。

次に、ステップＡ１の実行後、プロセス検疫装置１００は、検疫対象プロセス１０６の実行が終了するまで、待機状態となる。そして、プロセス終了検知部１２０は、検疫対象プロセス１０６の実行の終了を検知すると、利用者からの指示に応じて、検疫ファイル空間を廃棄又は保管する（ステップＡ２）。また、ステップＡ２における利用者からの指示には、検疫ファイル空間の破棄又は保管の指示に加え、検疫ファイルの実体ファイル空間領域１０４への反映の指示も含まれている。

次に、プロセス検疫装置１００において、ファイル反映部１３０は、仮想ファイル空間に格納されている仮想ファイルの内容を、実体ファイル空間領域１０４に格納されている実体ファイルに反映させる（ステップＡ３）。ステップＡ３の実行後、プロセス検疫装置１００での処理は一旦終了する。なお、ステップＡ２において、利用者が反映を指示していない場合は、ステップＡ３は実行されず。ステップＡ２の実行後に処理は終了する。

ここで、本発明の実施の形態におけるプロセス検疫装置１００の動作を図４〜図６を用いて更に具体的に説明する。最初に、図４を用いて、図３においてステップＡ１に示した検疫ファイル空間の設定処理について説明する。図４は、図３に示す検疫ファイル空間の設定処理を具体的に示すフロー図である。

図４に示すように、先ず、プロセス起動検知部１１０は、プロセスの起動を捕える（ス
テップＡ１１）。次に、検疫ファイル空間読込部１１１は、起動が捕らえられたプロセスに対応する検疫ファイル空間領域が、一時保管領域１０１に保管されているかどうかを判定する（ステップＡ１２）。

ステップＡ１２での判定の結果、検疫ファイル空間が保管されていない場合は、検疫ファイル空間作成部１１２は、起動が捕らえられたプロセスが、現在、サンドボックス検疫装置１０４によって検疫対象プロセス１０６とされているプロセスに相当するかどうかを判定する（ステップＡ１３）。

なお、ステップＡ１３では、起動が捕らえられたプロセスが、検疫対象プロセス１０６であると先に判定されたプロセスから生成されたプロセス（子孫プロセス）である場合も、検疫対象プロセス１０６であると判定される。また、起動が捕らえられたプロセスが、セキュリティポリシーチェック装置１５０によってアップデートプログラムの適用が必要である判定されたプログラムである場合も、検疫対象プロセス１０６であると判定される。

ステップＡ１３の判定の結果、検疫対象プロセスに相当する場合は、検疫ファイル空間作成部１１２は、検疫ファイル空間を新規に作成し、それを検疫ファイル空間領域１０３にセットする（ステップＡ１４）。ステップＡ１３の判定の結果、検疫対象プロセスに相当しない場合については後述する。

次に、ステップＡ１４が実行された場合は、検疫ポリシー適用部１１３は、検疫ポリシーを組み立て、それを検疫ポリシー格納領域１０２に格納する（ステップＡ１５）。ステップＡ１５により、サンドボックス検疫装置１４０は、検疫ポリシーを利用でき、検疫対象プロセス１０６に検疫ポリシーを適用する。

ステップＡ１３の判定の結果、検疫対象プロセスに相当しない場合、及びステップＡ１５が実行された場合は、プロセス起動検知部１１０における処理は終了する。これにより、起動が捕らえられたプロセスでの処理が開始される。

一方、ステップＡ１２での判定の結果、検疫ファイル空間が保管されている場合は、検疫ファイル空間読込部１１１は、コンピュータ１０の利用者によって、保管されている検疫ファイル空間を使用することが選択されているかどうかを判定する（ステップＡ１７）。

ステップＡ１７の判定の結果、検疫ファイル空間の使用が選択されていない場合は、検疫ファイル空間作成部１１２が、上述したステップＡ１３及びＡ１４を実行し、更に、検疫ポリシー適用部１１３が、ステップＡ１５を実行する。その後、プロセス起動検知部１１０における処理は終了する。

一方、ステップＡ１７の判定の結果、検疫ファイル空間の使用が選択されてる場合は、検疫ファイル空間読込部１１１は、一時保管領域１０１から対応する検疫ファイル空間を読み込み、検疫ファイル空間領域１０３にそれをセットする（ステップＡ１８）。ステップＡ１８の実行後は、更に、検疫ポリシー適用部１１３が、ステップＡ１５を実行する。その後、プロセス起動検知部１１０における処理は終了する。

ステップＡ１５では、検疫ポリシー適用部１１３は、例えば、サンドボックス検疫装置１４０のファイルアクセス制御部１４３が、ステップＡ１４で作成された検疫ファイル空間、又はステップＡ１８で読み込まれる検疫ファイル空間を利用できるように、検疫ポリシー１０２を組み立てるのが好ましい。

また、検疫ポリシー適用部１１３は、プロセスが、現在、検疫対象プロセス１０６とされているプロセスに相当する場合は、次のように検疫ポリシーを組み立てる。つまり、検疫ポリシー適用部１１３は、ネットワーク制御部１４１に対して、アップデートファイルのダウンロード先等以外へのネットワーク通信をすべて禁止するよう指示する、検疫ポリシーを組み立てる。また、検疫ポリシー適用部１１３は、プロセス間通信制御部１４２に対して、同一の検疫ポリシーの元で動作しているプロセス又はシステムとの間で通信可能であることが必須のプロセス以外との間での通信を禁止するよう指示する、検疫ポリシー１０２を組み立てる。

但し、検疫ポリシー適用部１１３は、プロセスが、現在、検疫対象プロセス１０６とされていないプロセスに相当し、且つ、ステップＡ１８を経由してステップＡ１５に到達した場合は、上記とは異なる検疫ポリシーを組み立てる。この場合、検疫ポリシー適用部１１３は、サンドボックス検疫装置１４０が、プロセスに対して、ネットワークへのアクセス、及びプロセス間の通信を自由に許可するように、検疫ポリシーを組み立てる。

次に、図５を用いて、図３においてステップＡ２に示した検疫対象プロセスの終了処理について説明する。図５は、図３に示す検疫対象プロセスの終了処理を具体的に示すフロー図である。

図５に示すように、先ず、プロセス終了検知部１２０は、検疫対象プロセス１０６の終了を捕らえ（ステップＡ２１）、検疫対象プロセス１０６の終了を確認する（ステップＡ２２）する。

次に、プロセス終了検知部１２０において、検疫ファイル空間破棄部１２２は、コンピュータ１０の利用者に対して、検疫ファイル空間を破棄するかどうかを問い合わせ、破棄が選択されているかどうかを判定する（ステップＡ２３）。

ステップＡ２３の判定の結果、利用者によって破棄が選択されていう場合は、検疫ファイル空間破棄部１２２は、検疫ファイル空間領域１０３に設定されている検疫ファイル空間を破棄する（ステップＡ２４）。ステップＡ２４の実行により、プロセス終了検知部１２０における処理は終了する。

一方、ステップＡ２３の判定の結果、利用者によって破棄が選択されていない場合は、プロセス終了装置１２０において、検疫ファイル空間保管部１２１が動作する。検疫ファイル空間保管部１２１は、コンピュータ１０の利用者に対して、検疫ファイル空間を反映するかどうかを問い合わせ、反映が選択されているかどうかを判定する（ステップＡ２５）。

ステップＡ２５の判定の結果、利用者によって反映が選択されている場合は、検疫ファイル空間保管部１２１は、ファイル反映部１３０に対して、検疫ファイルの内容を反映する指示を行い（ステップＡ２６）、その後、ステップＡ２７を実行する。また、ステップＡ２５の判定の結果、利用者によって反映が選択されていない場合も、検疫ファイル空間保管部１２１は、ステップＡ２７を実行する。

ステップＡ２７では、検疫ファイル空間保管部１２１は、コンピュータ１０の利用者に対して、検疫ファイル空間を保管するかどうかを問い合わせ、検疫ファイル空間の保管が選択されているかどうかを判定する。なお、ステップＡ２７は、検疫ファイル空間の反映の有無とは関係なく実行されている。

ステップＡ２７の判定の結果、利用者によって検疫ファイル空間の保管が選択されている場合は、検疫ファイル空間保管部１２１は、検疫ファイル空間領域１０３に設定されている検疫ファイル空間を、一時保管領域１０１に保管する（ステップＡ２８）。ステップＡ２８の実行により、プロセス終了検知部１２０における処理は終了する。

一方、ステップＡ２７の判定の結果、利用者によって検疫ファイル空間の保管が選択されていない場合は、ステップＡ２４が実行され、検疫ファイル空間は破棄される。そして、プロセス終了検知部１２０における処理は終了する。

次に、図６を用いて、図３においてステップＡ３に示した検疫ファイルの反映処理について説明する。図６は、図３に示す検疫ファイルの反映処理を示すフロー図である。図６に示された反映処理は、コンピュータ１０の利用者が検疫ファイルの反映を希望し、図５に示したステップＡ２６が実行されると、それをトリガーにして実行される。

図６に示すように、先ず、反映対象ファイルチェック部１３２は、セキュリティポリシーチェック装置１５０に対して、検疫ファイル空間領域１０３がセキュリティポリシーに適合しているかどうかのチェックを実行するよう指示を行う（ステップＡ３１）。

次に、反映対象ファイルチェック部１３２は、チェック結果格納領域１０５に保管されているチェック結果に基づいて、検疫ファイル空間に格納されている各検疫ファイルがセキュリティポリシーに適合しているかどうかを判定する（ステップＡ３２）。

ステップＡ３２の結果、各検疫ファイルがセキュリティポリシーに適合してない場合は、ファイル反映部１３０における処理は終了する。一方、ステップＡ３２の結果、各検疫ファイルがセキュリティポリシーに適合している場合は、反映対象ファイル選択部１３１が、検疫隔離期間チェック部１３３に対して、検疫隔離期間が経過しているかどうかのチェックを行わせる（ステップＡ３３）。ステップＡ３３において、検疫隔離期間は、各検疫ファイルがセキュリティポリシーに適合していると判定された時点から、ほとぼりが冷める程度の期間に設定されている。

次に、反映対象ファイル選択部１３１は、検疫隔離期間チェック部１３３によるチェック結果に基づいて、検疫隔離期間が経過しているかどうかを判定する（ステップＡ３４）。ステップＡ３４の判定の結果、検疫隔離期間が経過していない場合は、ファイル反映部１３０における処理は終了する。

一方、ステップＡ３４の判定の結果、検疫隔離期間が経過している場合は、反映対象ファイル選択部１３１は、利用者による、反映の対象となるファイル（反映対象ファイル）の選択を受け付ける（ステップＡ３５）。

具体的には、ステップＡ３５におけるファイルの選択は、次のようにして行われる。例えば、検疫ファイル空間領域上でプログラムのアップデートが行われている場合は、反映対象ファイル選択部１３１は、予め別途用意されたインストールファイルの一覧をコンピュータ１０の表示画面に表示することができる。利用者は、表示されたインストールファイルの一覧から、アップデートによって作成又は変更されたファイルを選択する。

また、反映対象ファイル選択部１３１は、利用者が検疫対象のプログラムを使用して検疫ファイル空間領域上で作成した文書ファイル等を表示画面に表示することができる。利用者は、表示されたファイルの中から、反映対象となるファイルを選択する。この場合、反映対象ファイル選択部１３１は、利用者に対して対話的に選択させるため、質問形式を用いて適切なファイルを表示し、選択させることもできる。

次に、ステップＡ３５の実行後、反映対象ファイルチェック部１３２は、反映対象として選択されたファイルについて、選択が適切かどうかをチェックする（ステップＡ３６）。具体的には、反映対象ファイルチェック部１３２は、例えば、反映対象ファイルを、アップデートによって作成又は変更されるファイルが登録されたインストールファイルの一覧と照合し、チェックを行う。また、反映対象ファイルチェック部１３２は、反映対象ファイルに付与された署名を検証して改竄の有無を調べて、チェックを行うこともできる。

更に、反映対象ファイルチェック部１３２は、反映対象ファイルと、これとファイル名称が同一である、実体ファイル空間領域１０４に格納されている実体ファイルとを、更新の日付及び内容について比較し、これらの差分を照合する。また、反映対象ファイルチェック部１３２は、検疫ファイル空間が作成された時点からの、実体ファイルファイルにおける修正変更の有無を調べる。そして、反映対象ファイルチェック部１３２は、照合結果と修正変更の有無とから、チェックを行うこともできる。

また、ステップＡ３６においては、反映対象ファイルチェック部１３２は、ウィルスチェック装置１６０に、選択された検疫ファイルについてウィルスチェックを行わせることもできる。これにより、コンピュータウィルスに感染している検疫ファイルを、反映対象ファイルから除外することができる。

次に、反映対象ファイルチェック部１３２は、ステップＡ３６でのチェック結果に基づいて、反映対象ファイルについて反映を行うことが可能かどうかを判定する（ステップＡ３７）。

ステップＡ３７の判定の結果、反映可能と判定された場合は、反映実行部１３４は、検疫ファイル空間領域１０３に隔離されている検疫ファイルを、実体ファイル空間領域１０４に書き戻し、これによって検疫ファイルの反映を行う（ステップＡ３８）。ステップＡ３８の実行により、ファイル反映部１３０による処理は終了する。また、ステップＡ３７の判定の結果、反映不可能と判定された場合も、ファイル反映部１３０による処理は終了する。

次に、本実施の形態におけるプログラムについて説明する。本実施の形態におけるプログラムは、コンピュータに、図３に示すステップＡ１〜Ａ３、図４に示すステップＡ１１〜Ａ１８、図５に示すステップＡ２１〜Ａ２８、図６に示すＡ３１〜Ａ３８を実行させるプログラムであれば良い。このプログラムをコンピュータ１０にインストールし、実行することによって、プロセス検疫装置１００とファイル処理方法とを実現することができる。この場合、コンピュータのＣＰＵ（Central Processing Unit）は、プロセス起動検知部１１０、プロセス終了検知部１２０、ファイル反映部１３０として機能し、処理を行なう。

また、本実施の形態では、一時保管領域１０１、検疫ポリシー格納領域１０２、検疫ファイル空間領域１０３、及びチェック結果格納領域１０５は、コンピュータ１０に備えられた記憶装置（ハードディスク、メモリ等）の記憶領域に構築することができる。

以上のように、本実施の形態によれば、以下の効果を得ることができる。先ず、本実施の形態では、検疫対象プロセス１０６によって作成又は更新されたファイルを、実体ファイル空間に取り出すことができる。よって、コンピュータ１０の利用者は、検疫対象プロセス１０６に対して検疫分離が行われていても、検疫対象プロセス１０６上での作業を継続して実行することができる。

更に、本実施の形態では、実体ファイル空間に取り出される検疫ファイルに対し、ファイル反映部１３０が、自身によるチェック、セキュリティポリシーチェック装置１５０及びウィルスチェック装置１６０を用いたチェックを行い、健全性をチェックする。このため、健全なファイルのみが、実体ファイル空間領域１０４に書き出されるので、安全性の確保も図られている。

また、本実施の形態によれば、検疫対象プロセルの実行中に、万一そのプロセスが外部から攻撃を受け、それにより、ウィルス感染ファイルが生成されたとしても、それらのファイルを安全に抹消することができる。これは、プロセス終了検知部１２０において、検疫ファイル空間部破棄部１２２が、検疫ファイル空間全体を抹消することができるからである。

更に、本実施の形態によれば、検疫対象プロセスの実行を終了するときに、検疫対象プロセスによって作成された検疫ファイルを一時的に隔離された領域（一時保管領域１０１）に保管できる。そして、次に、同じ検疫対象プロセスを起動する時に、検疫空間読込部１１１は、隔離されている検疫ファイルで構成された検疫ファイル空間を、一時保管領域１０１から検索して読み込み、読み込んだ検疫ファイル空間を検疫ファイル空間領域１０３にセットすることができる。このため、利用者は、一旦終了した検疫対象プロセスを、再度起動したときに、再びその隔離されたファイルを用いて作業を継続できる。

また、本実施の形態は、プロセスが、現在、検疫対象となっているかどうかに拘わらず、利用者の指示に応じて、プロセス起動部１１０が、一時保管領域１０１に保管されている検疫ファイル空間を使用してプロセスを起動できるようにするのが好ましい。この態様とした場合は、検疫の対象であったプロセスが検疫の対象でなくなったときにも、一時保管領域１０１に保管されている検疫ファイル空間を用いて、検疫の対象でなくなったプロセスを実行することができる。よって、コンピュータ１０の利用者は、より確実に、検疫対象プロセス１０６上での作業を継続して実行することができる。

以上のように、本発明は、サンドボックス技術によって検疫対象プロセスに対して制限が与えられている場合に、ネットワークでのセキュリティを確保しつつ、利用者が検疫対象プロセス上での作業を継続して実行できるようにすることができる。このため、本発明は、サンドボックス技術による検疫を実施する分野に有用である。

１０ コンピュータ
２０ ネットワーク
３０ 検疫システム
１００ プロセス検疫装置
１０１ 一時保管領域
１０２ 検疫ポリシー格納領域
１０３ 検疫ファイル空間領域
１０４ 実体ファイル空間領域
１０５ チェック結果格納領域
１０６ 検疫対象プロセス
１１０ プロセス起動検知部
１１１ 検疫ファイル空間読込部
１１２ 検疫ファイル空間作成部
１１３ 検疫ポリシー適用部
１２０ プロセス終了検知部
１２１ 検疫ファイル空間保管部
１２２ 検疫ファイル空間破棄部
１３０ ファイル反映部
１３１ 反映対象ファイル選択部
１３２ 反映対象ファイルチェック部
１３３ 検疫隔離期間チェック部
１３４ 反映実行部
１４０ サンドボックス検疫装置
１４１ ネットワーク制御部
１４２ プロセス間通信制御部
１４３ ファイルアクセス制御部
１５０ セキュリティポリシーチェック装置
１６０ ウィルスチェック装置

Claims (20)

1. 外部のサンドボックス検疫装置による制限の対象となっている検疫対象プロセスの起動の検知を行い、前記起動を検知した場合に、前記検疫対象プロセスによって使用される仮想ファイルが格納された仮想ファイル空間を、仮想記憶領域に設定する、プロセス起動検知部と、
   前記検疫対象プロセスの実行が終了した場合に、前記仮想ファイル空間に格納されている前記仮想ファイルが、予め定められたセキュリティポリシーに適合しているかどうかを判定し、前記セキュリティポリシーに適合している前記仮想ファイルについて、外部からの指示に応じて、当該仮想ファイルの内容を、前記サンドボックス検疫装置が管理する実体的な記憶領域に格納されている実体ファイルに反映させる、ファイル反映部とを備えている、ことを特徴とするプロセス検疫装置。
2. 前記検疫対象プロセスの実行の終了の検知を行い、前記終了を検知した場合に、外部からの指示に応じて、前記仮想ファイル空間を廃棄又は保管する、プロセス終了検知部を、更に備えている、請求項１に記載のプロセス検疫装置。
3. 前記ファイル反映部が、前記仮想ファイルが前記セキュリティポリシーに適合している場合に、前記セキュリティポリシーについての判定時から、設定された期間が経過していることを条件にして、前記仮想ファイルの選択を受け付け、そして、選択された前記仮想ファイルについて前記反映を実行する、請求項１に記載のプロセス検疫装置。
4. 前記ファイル反映部が、前記仮想ファイルの選択の受け付け後に、選択された前記仮想ファイルに対して、予め設定されたリストへの登録の有無、改竄の有無、及び対応する前記実体ファイルの更新による衝突の発生の有無の少なくとも一つを判定し、判定結果に基づいて、前記反映を実行するかどうかを決定する、請求項３に記載のプロセス検疫装置。
5. 前記ファイル反映部が、前記仮想ファイルの選択の受け付け後に、選択された前記仮想ファイルに対して、コンピュータウィルスに感染していないかどうかを判定し、感染していない場合に、前記反映を実行する、請求項３又は４に記載のプロセス検疫装置。
6. 検疫対象プロセスに対して制限を与えるサンドボックス検疫装置と、前記サンドボックス検疫装置と連携するプロセス検疫装置とを備え、
   前記プロセス検疫装置は、
   前記検疫対象プロセスの起動の検知を行い、前記起動を検知した場合に、前記検疫対象プロセスによって使用される仮想ファイルが格納された仮想ファイル空間を、仮想記憶領域に設定する、プロセス起動検知部と、
   前記検疫対象プロセスの実行が終了した場合に、前記仮想ファイル空間に格納されている前記仮想ファイルが、予め定められたセキュリティポリシーに適合しているかどうかを判定し、前記セキュリティポリシーに適合している前記仮想ファイルについて、外部からの指示に応じて、当該仮想ファイルの内容を、前記サンドボックス検疫装置が管理する実体的な記憶領域に格納されている実体ファイルに反映させる、ファイル反映部とを備えている、ことを特徴とする検疫システム。
7. 前記プロセス検疫装置が、更に、プロセス終了検知部を備え
   前記プロセス終了検知部が、前記検疫対象プロセスの終了の検知を行い、前記終了を検知した場合に、外部からの指示に応じて、前記仮想ファイル空間を廃棄又は保管する、請求項６に記載の検疫システム。
8. 前記ファイル反映部が、前記仮想ファイルが前記セキュリティポリシーに適合している場合に、前記セキュリティポリシーについての判定時から、設定された期間が経過していることを条件にして、前記仮想ファイルの選択を受け付け、そして、選択された前記仮想ファイルについて前記反映を実行する、請求項６に記載の検疫システム。
9. 前記ファイル反映部が、前記仮想ファイルの選択の受け付け後に、選択された前記仮想ファイルに対して、予め設定されたリストへの登録の有無、改竄の有無、及び対応する前記実体ファイルの更新による衝突の発生の有無の少なくとも一つを判定し、判定結果に基づいて、前記反映を実行するかどうかを決定する、請求項８に記載の検疫システム。
10. 前記ファイル反映部が、前記仮想ファイルの選択の受け付け後に、選択された前記仮想ファイルに対して、コンピュータウィルスに感染していないかどうかを判定し、感染していない場合に、前記反映を実行する、請求項８又は９に記載の検疫システム。
11. （ａ）コンピュータによって、外部のサンドボックス検疫装置による制限の対象となっている検疫対象プロセスの起動の検知を行い、前記起動を検知した場合に、前記検疫対象プロセスによって使用される仮想ファイルが格納された仮想ファイル空間を、仮想記憶領域に設定する、ステップと、
    （ｂ）前記コンピュータによって、前記（ａ）のステップにおける前記検疫対象プロセスの実行が終了した場合に、前記仮想ファイル空間に格納されている前記仮想ファイルが、予め定められたセキュリティポリシーに適合しているかどうかを判定し、前記セキュリティポリシーに適合している前記仮想ファイルについて、外部からの指示に応じて、当該仮想ファイルの内容を、前記サンドボックス検疫装置が管理する実体的な記憶領域に格納されている実体ファイルに反映させる、ステップとを有している、ことを特徴とするファイル処理方法。
12. （ｃ）前記コンピュータによって、前記検疫対象プロセスの実行の終了の検知を行い、前記終了を検知した場合に、外部からの指示に応じて、前記仮想ファイル空間を廃棄又は保管する、ステップを更に有している、請求項１１に記載のファイル処理方法。
13. 前記（ｂ）のステップにおいて、前記仮想ファイルが前記セキュリティポリシーに適合している場合に、前記セキュリティポリシーについての判定時から、設定された期間が経過していることを条件にして、前記仮想ファイルの選択を受け付け、そして、選択された前記仮想ファイルについて前記反映を実行する、請求項１１に記載のファイル処理方法。
14. 前記（ｂ）のステップにおいて、前記仮想ファイルの選択の受け付け後に、選択された前記仮想ファイルに対して、予め設定されたリストへの登録の有無、改竄の有無、及び対応する前記実体ファイルの更新による衝突の発生の有無の少なくとも一つを判定し、判定結果に基づいて、前記反映を実行するかどうかを決定する、請求項１３に記載のファイル処理方法。
15. 前記（ｂ）のステップにおいて、前記仮想ファイルの選択の受け付け後に、選択された前記仮想ファイルに対して、コンピュータウィルスに感染していないかどうかを判定し、感染していない場合に、前記反映を実行する、請求項１３又は１４に記載のファイル処理方法。
16. コンピュータに、
    （ａ）外部のサンドボックス検疫装置による制限の対象となっている検疫対象プロセスの起動の検知を行い、前記起動を検知した場合に、前記検疫対象プロセスによって使用される仮想ファイルが格納された仮想ファイル空間を、仮想記憶領域に設定する、ステップと、
    （ｂ）前記（ａ）のステップにおける前記検疫対象プロセスの実行が終了した場合に、前記仮想ファイル空間に格納されている前記仮想ファイルが、予め定められたセキュリティポリシーに適合しているかどうかを判定し、前記セキュリティポリシーに適合している前記仮想ファイルについて、外部からの指示に応じて、当該仮想ファイルの内容を、前記サンドボックス検疫装置が管理する実体的な記憶領域に格納されている実体ファイルに反映させる、ステップとを実行させる、ことを特徴とするプログラム。
17. （ｃ）前記検疫対象プロセスの実行の終了の検知を行い、前記終了を検知した場合に、外部からの指示に応じて、前記仮想ファイル空間を廃棄又は保管する、ステップを更に前記コンピュータに実行させる、請求項１６に記載のプログラム。
18. 前記（ｂ）のステップにおいて、前記仮想ファイルが前記セキュリティポリシーに適合している場合に、前記セキュリティポリシーについての判定時から、設定された期間が経過していることを条件にして、前記仮想ファイルの選択を受け付け、そして、選択された前記仮想ファイルについて前記反映を実行する、請求項１６に記載のプログラム。
19. 前記（ｂ）のステップにおいて、前記仮想ファイルの選択の受け付け後に、選択された前記仮想ファイルに対して、予め設定されたリストへの登録の有無、改竄の有無、及び対応する前記実体ファイルの更新による衝突の発生の有無の少なくとも一つを判定し、判定結果に基づいて、前記反映を実行するかどうかを決定する、請求項１８に記載のプログラム。
20. 前記（ｂ）のステップにおいて、前記仮想ファイルの選択の受け付け後に、選択された前記仮想ファイルに対して、コンピュータウィルスに感染していないかどうかを判定し、感染していない場合に、前記反映を実行する、請求項１８又は１９に記載のプログラム。
    
    

Images