JP5814138B2

JP5814138B2 - セキュリティ設定システム、セキュリティ設定方法およびプログラム

Info

Publication number: JP5814138B2
Application number: JP2012009490A
Authority: JP
Inventors: 花舘　蔵之; 蔵之花舘; 健佑石津; 基樹柿沼
Original assignee: NTT Data Corp
Current assignee: NTT Data Corp
Priority date: 2012-01-19
Filing date: 2012-01-19
Publication date: 2015-11-17
Anticipated expiration: 2032-01-19
Also published as: JP2013149109A

Description

本発明は、セキュリティ設定システム、セキュリティ設定方法およびプログラムに関する。

近年、ＡＤＳＬ網や光ファイバ網の整備や、各種ネットワークサービスの充実を背景にして、ネットワークに接続される機器の数が飛躍的に増加しており、ネットワークセキュリティの問題が顕著になってきている。

ネットワークセキュリティの問題として挙げられるものとして、ネットワーク機器の脆弱性を突いて機器に感染・増殖するコンピュータウィルスや、機器の脆弱性とユーザの設定ミスなどにつけこんでネットワーク機器の制御を奪ったり、機器内に記録されているデータの窃盗や破壊を行ったりする不正アクセスがある。

このような外部ネットワークからの攻撃を防止するため、ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）やＩＰＳ（ＩｎｔｒｕｓｉｏｎＰｒｏｔｅｃｔｉｏｎＳｙｓｔｅｍ）といった不正を検知する技術が一般的に用いられている。ＩＤＳおよびＩＰＳは、不正アクセスやウイルス等を不正な攻撃として検知するシステムであり、ＩＤＳは不正な攻撃を管理者へ通知するのに対し、ＩＰＳは管理者へ通知するとともに自動的に通信を遮断する。

このようなＩＤＳおよびＩＰＳとして、不正アクセスやコンピュータウィルスを特徴付けるシグネチャデータを、ネットワークを介して配布して監視を行う技術が提案されている（例えば特許文献１）。

特開２００７−１１６２８号公報

しかし、仮想マシンを動作させる仮想化基盤上に特許文献１の技術を適用する場合、多くの仮想マシンの起動が想定され、これら一つ一つの仮想マシンのＯＳやセキュリティ要件に適合したシグネチャデータを設定することが困難となる。また、各仮想マシンのＯＳやセキュリティ要件に適合したシグネチャデータを設定する場合、管理者は各仮想マシンに対応したシグネチャデータを手動で設定し、仮想マシン毎に配信する必要がある。したがって各仮想マシンに適合したシグネチャデータを効率よく設定するという観点からみると未だ十分とは言えない。

本発明は、上述のような事情に鑑みてなされたものであり、各仮想マシンに適合したシグネチャデータを効率よく設定することのできるセキュリティ設定システム、セキュリティ設定方法およびプログラムを提供することを目的としている。

上記目的を達成するため、本発明の第１の観点に係るセキュリティ設定システムは、
起動対象の仮想マシンを定義する仮想マシンイメージの識別情報を取得する仮想マシンイメージ識別情報取得手段と、
前記起動対象の仮想マシンを識別する仮想マシン識別情報を取得する仮想マシン識別情報取得手段と、
前記仮想マシンイメージに基づいて起動される仮想マシンに対して検出すべき通信データを含むシグネチャファイルを識別するシグネチャ識別情報を、前記仮想マシンイメージの識別情報に対応づけて記憶するシグネチャ識別情報記憶手段と、
前記仮想マシンイメージ識別情報取得手段で取得した仮想マシンイメージの識別情報に対応する前記シグネチャ識別情報を、前記シグネチャ識別情報記憶手段に記憶したシグネチャ識別情報に基づいて特定するシグネチャ識別情報特定手段と、
前記仮想マシン識別情報取得手段で取得した仮想マシン識別情報を前記シグネチャ識別情報特定手段で特定したシグネチャ識別情報により示されるシグネチャファイルに対応づけて記憶するシグネチャファイル記憶手段と、
前記シグネチャファイル記憶手段によりシグネチャファイルが記憶されたことに応答して前記起動対象の仮想マシンを起動する仮想マシン起動手段と、
前記仮想マシン起動手段で起動された仮想マシンに対する通信データに前記検出すべき通信データが含まれているか否かを前記シグネチャファイル記憶手段に記憶したシグネチャファイルに基づいて判定し、前記検出すべき通信データが含まれていると判定した場合に前記仮想マシンに対する通信を制限する通信制限手段と、
を備えることを特徴とする。

前記通信制御手段は、
利用が要求される仮想マシンの仮想マシン識別情報と前記仮想マシンに対する通信データを示す操作情報とを記憶する仮想マシン識別情報記憶手段と、
前記シグネチャファイル記憶手段で記憶したシグネチャファイルのうち前記仮想マシン識別情報記憶手段に記憶した仮想マシン識別情報に対応するシグネチャファイルを取得するシグネチャファイル取得手段と、
前記シグネチャファイル取得手段で取得したシグネチャファイルの内容と前記仮想マシン識別情報記憶手段で記憶した操作情報の内容とを照合することにより前記検出すべき通信データの有無を判定する不正通信判定手段と、
前記不正通信判定手段により検出すべき通信データ有りと判定された場合に仮想マシンの管理者端末にネットワークを介して不正通信が行われていることを通知する不正通信通知手段と、
をさらに備えるようにしてもよい。

前記仮想マシン識別情報記憶手段は、前記仮想マシン識別情報と前記操作情報とを仮想マシンの利用を要求するユーザが使用する通信端末からネットワークを介して取得し、
前記不正通信通知手段は、前記不正通信判定手段により検出すべき通信データ有りと判定された場合に前記通信端末との通信を遮断する、
ようにしてもよい。

上記目的を達成するため、本発明の第２の観点に係るセキュリティ設定方法は、
仮想マシンイメージ識別情報取得手段と仮想マシン識別情報取得手段とシグネチャ識別情報記憶手段とシグネチャ識別情報特定手段とシグネチャファイル記憶手段と仮想マシン起動手段と通信制限手段とを備えるセキュリティ設定システムによるセキュリティ設定方法であって、
前記仮想マシンイメージ識別情報取得手段が起動対象の仮想マシンを定義する仮想マシンイメージの識別情報を取得する仮想マシンイメージ識別情報取得ステップと、
前記仮想マシン識別情報取得手段が前記起動対象の仮想マシンを識別する仮想マシン識別情報を取得する仮想マシン識別情報取得ステップと、
前記シグネチャ識別情報記憶手段が前記仮想マシンイメージに基づいて起動される仮想マシンに対して検出すべき通信データを含むシグネチャファイルを識別するシグネチャ識別情報を、前記仮想マシンイメージの識別情報に対応づけて記憶するシグネチャ識別情報記憶ステップと、
前記シグネチャ識別情報特定手段が前記仮想マシンイメージ識別情報取得ステップで取得した仮想マシンイメージの識別情報に対応する前記シグネチャ識別情報を、前記シグネチャ識別情報記憶ステップで記憶したシグネチャ識別情報に基づいて特定するシグネチャ識別情報特定ステップと、
前記シグネチャファイル記憶手段が前記仮想マシン識別情報取得ステップで取得した仮想マシン識別情報を前記シグネチャ識別情報特定ステップで特定したシグネチャ識別情報により示されるシグネチャファイルに対応づけて記憶するシグネチャファイル記憶ステップと、
前記仮想マシン起動手段が前記シグネチャファイル記憶ステップによりシグネチャファイルが記憶されたことに応答して前記起動対象の仮想マシンを起動する仮想マシン起動ステップと、
前記通信制限手段が前記仮想マシン起動ステップで起動された仮想マシンに対する通信データに前記検出すべき通信データが含まれているか否かを前記シグネチャファイル記憶ステップで記憶したシグネチャファイルに基づいて判定し、前記検出すべき通信データが含まれていると判定した場合に前記仮想マシンに対する通信を制限する通信制限ステップと、
を備えることを特徴とする。

上記目的を達成するため、本発明の第３の観点に係るプログラムは、
コンピュータを、
起動対象の仮想マシンを定義する仮想マシンイメージの識別情報を取得する仮想マシンイメージ識別情報取得手段、
前記起動対象の仮想マシンを識別する仮想マシン識別情報を取得する仮想マシン識別情報取得手段、
前記仮想マシンイメージに基づいて起動される仮想マシンに対して検出すべき通信データを含むシグネチャファイルを識別するシグネチャ識別情報を、前記仮想マシンイメージの識別情報に対応づけて記憶するシグネチャ識別情報記憶手段、
前記仮想マシンイメージ識別情報取得手段で取得した仮想マシンイメージの識別情報に対応する前記シグネチャ識別情報を、前記シグネチャ識別情報記憶手段に記憶したシグネチャ識別情報に基づいて特定するシグネチャ識別情報特定手段、
前記仮想マシン識別情報取得手段で取得した仮想マシン識別情報を前記シグネチャ識別情報特定手段で特定したシグネチャ識別情報により示されるシグネチャファイルに対応づけて記憶するシグネチャファイル記憶手段、
前記シグネチャファイル記憶手段によりシグネチャファイルが記憶されたことに応答して前記起動対象の仮想マシンを起動する仮想マシン起動手段、
前記仮想マシン起動手段で起動された仮想マシンに対する通信データに前記検出すべき通信データが含まれているか否かを前記シグネチャファイル記憶手段に記憶したシグネチャファイルに基づいて判定し、前記検出すべき通信データが含まれていると判定した場合に前記仮想マシンに対する通信を制限する通信制限手段、
として機能させることを特徴とする。

本発明によれば、各仮想マシンに適合したシグネチャデータを効率よく設定するこのできるセキュリティ設定システム、セキュリティ設定方法およびプログラムを提供することができる。

本発明の実施形態に係るセキュリティ設定システムの一例を示すブロック図である。シグネチャ管理ＤＢの構成例を示す図である。仮想マシンイメージ管理ＤＢの構成例を示す図である。設定処理の一例を示すフローチャートである。仮想シグネチャ管理ＤＢの一例を示す図である。照合処理の一例を示すフローチャートである。

以下、本発明の実施形態に係るセキュリティ設定システムを、図面を参照して説明する。

本実施形態に係るセキュリティ設定システム１００は、仮想マシン管理装置２００と、ＤＢサーバ３００とから構成される。セキュリティ設定システム１００は、仮想化基盤上で動作する複数の仮想マシンのＯＳや機能に適合するシグネチャであって予め作成されたものを、ＤＢサーバ３００上で管理し、仮想マシンの起動と同時に、各仮想マシンに対応するシグネチャをデータベース上から検索し、配信、設定する、プログラム制御により動作するコンピュータシステムである。

仮想マシン管理装置２００は、主に、仮想マシンの管理者からの入力操作に応じて、起動が要求される仮想マシンに対するシグネチャデータの設定を行うコンピュータであり、図１に示すように、記憶部２１０と、制御部２２０と、通信部２３０と、上記各部を相互に接続するシステムバス２４０を備えている。

記憶部２１０は、フラッシュメモリ、ハードディスク等の不揮発性メモリから構成され、制御部２２０の各機能部を実現させるためのプログラムと仮想マシン識別情報一覧が記憶されている。また、記憶部２１０には、後述する処理により、一の仮想マシン識別情報と複数のシグネチャファイルとを対応付ける仮想シグネチャ管理テーブルが格納される。

制御部２２０は、ＣＰＵ等から構成される。制御部２２０は、プログラムに従って動作し、起動を要求された仮想マシンに適合するシグネチャデータを設定する設定処理や、仮想マシンの利用者からの仮想マシン利用要求にしたがってパケットの照合を行う照合処理に必要な機能を提供する。制御部２２０は、プログラムにより提供される主要な機能部として、仮想マシン管理部２２１と、シグネチャ管理部２２２と、パケット監視部２２３を備えている。

仮想マシン管理部２２１は、詳しくは後述するが、記憶部２１０に格納されている仮想マシン識別情報一覧に従って起動を要求された仮想マシンに一意に対応する仮想マシン識別情報を作成する機能と、シグネチャ管理部２２２に、対応するシグネチャデータの取得を要求する機能と、起動を要求された仮想マシンを起動する機能を有している。

シグネチャ管理部２２２は、詳しくは後述するが、仮想マシン管理部２２１からの要求に応じてＤＢサーバ３００に、対応するシグネチャデータの検索と取得を要求する機能と、取得したシグネチャデータをシグネチャ管理テーブルとして記憶部２１０へ格納する機能を有している。

パケット監視部２２３は、詳しくは後述するが、仮想マシンの利用者からの利用要求に応じて、記憶部２１０に格納されているシグネチャＩＤ管理テーブルを参照してパケットパターンの照合を行い、仮想マシンへのアクセス許可を判定する機能を有している。

通信部２３０は、シリアルインタフェース、或いはアナログ信号を受信するためのアナログインタフェースを有している。通信部２３０は、制御部２２０による制御により、ＤＢサーバ３００と通信を行う。

ＤＢサーバ３００は、仮想マシン管理装置２００からの指示にしたがって、対応するシグネチャデータを検索し、仮想マシン管理装置２００へシグネチャデータを提供するコンピュータである。ＤＢサーバ３００には、図２に示すようなシグネチャ管理ＤＢと図３に示すような仮想マシンイメージ管理ＤＢとが格納される。図２に示すシグネチャ管理ＤＢは、シグネチャファイル管理テーブルとシグネチャＩＤ管理テーブルとから構成され、シグネチャファイル管理テーブルは、不正アクセスやウイルスの情報を定義したシグネチャファイルを、シグネチャを識別するシグネチャ識別情報ごとに対応づけたテーブルである。なお、シグネチャファイルには、不正アクセスやウイルスを検出した際に行われる処理等も含まれている。シグネチャＩＤ管理テーブルは、シグネチャ識別情報を、仮想マシンイメージを識別する仮想マシン識別情報ごとに対応づけたテーブルである。図３に示す仮想マシンイメージ管理ＤＢは、仮想マシンイメージ管理テーブルから構成される。仮想マシンイメージ管理テーブルは、仮想マシンイメージファイルを特定する仮想マシンイメージファイル名を、仮想マシンイメージを識別する仮想マシン識別情報と対応づけたテーブルである。

ＤＢサーバ３００は、仮想マシン管理装置２００からの要求にしたがって仮想マシンイメージファイルやシグネチャファイルを、格納された各種テーブルから検索し、仮想マシン管理装置２００へ提供する。

以上が、セキュリティ設定システム１００の構成である。続いて、セキュリティ設定システム１００の動作について、図４〜図６を参照して説明する。

まず、設定処理におけるセキュリティ設定システム１００の動作について、図４を参照して説明する。設定処理は、仮想マシンの管理者によるコンピュータの入力操作により、仮想マシンの起動要求を、通信部２３０を介して受信することにより開始される。

制御部２２０は、仮想マシン管理部２２１の機能により仮想マシンの起動要求を取得する（ステップＳ１０１）。仮想マシンの起動要求には、起動が要求される仮想マシンの仮想マシンイメージ識別情報が含まれている。

そして、仮想マシン管理部２２１は、記憶部２１０に格納されている仮想マシン識別情報一覧に含まれる複数の仮想マシン識別情報から任意の識別情報を選択するなどして、仮想マシン識別情報を生成する（ステップＳ１０２）。なお、一度選択された仮想マシン識別情報は、仮想マシンの起動が終了するまでは再度選択されることのないように仮想マシン管理部２２１により制御される。また、起動を要求する仮想マシンが複数ある場合には、それぞれの要求に対して仮想マシン識別情報が生成される。

続いて仮想マシン管理部２２１は、仮想マシンイメージ識別情報を、通信部２３０を介してＤＢサーバ３００へ送信し、仮想マシンイメージファイルの送信を要求する（ステップＳ１０３）。仮想マシンイメージファイルは、起動する仮想マシンの構成を定義する構成情報定義ファイルなどであり、仮想マシンを起動する際に参照される。

ＤＢサーバ３００は、仮想マシン管理装置２００から仮想マシンイメージ識別情報を受信すると、仮想マシン管理装置２００からの要求に応じたデータを検索して提供する検索処理を開始する。まず、ＤＢサーバ３００は、仮想マシンイメージ管理ＤＢを参照することにより、当該仮想マシンイメージ識別情報に対応する仮想マシンイメージファイルを検索して特定する（ステップＳ２０１）。そしてＤＢサーバ３００は、検索結果として、特定した仮想マシンイメージファイルを仮想マシン管理装置２００へ送信する（ステップＳ２０２）。

仮想マシン管理装置２００の制御部２２０は、仮想マシン管理部２２１の機能により通信部２３０を介して仮想マシンイメージファイルを取得すると、仮想マシン識別情報と仮想マシンイメージ識別情報とをシグネチャ管理部２２２へ渡す。シグネチャ管理部２２２は、仮想マシン識別情報と仮想マシンイメージ識別情報とを取得すると、取得した仮想マシンイメージ識別情報を、通信部２３０を介してＤＢサーバ３００へ送信してシグネチャファイルの送信を要求する（ステップＳ１０４）。

ＤＢサーバ３００は、仮想マシン管理装置２００から仮想マシンイメージ識別情報を受信すると、当該仮想マシンイメージ識別情報に対応するシグネチャ識別情報を、シグネチャＩＤ管理テーブルを参照して特定する（ステップＳ２０３）。続いてＤＢサーバ３００は、ステップＳ２０３の処理で特定したシグネチャ識別情報に対応するシグネチャファイルを、シグネチャファイル管理テーブルを参照して特定する（ステップＳ２０４）。ステップＳ２０４の処理の後、ＤＢサーバ３００は、特定してシグネチャファイルを仮想マシン管理装置２００に送信して（ステップＳ２０５）、処理を終了する。

仮想マシン管理装置２００の制御部２２０は、シグネチャ管理部２２２の機能により通信部２３０を介してシグネチャファイルを取得すると、図５に示すように、取得したシグネチャファイルをステップＳ１０４の処理で取得した仮想マシン識別情報と対応付けて、記憶部２１０の仮想シグネチャ管理ＤＢのシグネチャ管理テーブルへ格納する（ステップＳ１０５）。ステップＳ１０６の処理の後、シグネチャ管理部２２２は、シグネチャＩＤ管理テーブルへの格納が正常に行われたことを示す格納完了通知を仮想マシン管理部２２１へ渡す。

図４に戻り、仮想マシン管理部２２１は、格納完了通知を取得すると、ステップＳ２０２の処理によりＤＢサーバ３００から送信された仮想マシンイメージファイルに基づいて、仮想マシンの管理者により起動の要求された仮想マシンを起動する（ステップＳ１０６）。

ステップＳ１０６の処理の後、仮想マシン管理部２２１は、仮想マシンの起動が完了したことを示す起動完了通知を、通信部２３０を介して仮想マシンの管理者に送信し（ステップＳ１０７）、設定処理を終了する。

次に、照合処理におけるセキュリティ設定システム１００の動作について、図６を参照して説明する。照合処理は、対象となる仮想マシンの通信を監視する処理であり、仮想マシンが起動されることにより開始される。ここでは、仮想マシンの利用者により仮想マシンに対する利用要求が送信された場合における通信の監視を例に説明する。

制御部２２０は、パケット監視部２２３の機能により、仮想マシンの利用要求を取得する（ステップＳ３０１）。仮想マシンの利用要求には、利用が要求される仮想マシンの仮想マシン識別情報と、当該仮想マシン上での処理の内容や通信データの内容を示す操作情報とが含まれている。なお、当該セキュリティ設定システム１００は、仮想マシンに対する通信を全て監視するため、利用要求に限らず、例えば、通信の宛先やポート番号、プロトコルやパケットのデータ部を取得する機能も有している。

続いてパケット監視部２２３は、取得した仮想マシン識別情報に基づいて、当該仮想マシン識別情報に対応するシグネチャファイルを、記憶部２１０に格納されている仮想シグネチャ管理テーブルから検索して特定する（ステップＳ３０２）。パケット監視部２２３は、ステップＳ３０２の処理で特定したシグネチャファイルを参照することで、当該シグネチャファイルの内容と、ステップＳ３０１の処理で取得した仮想マシンの利用要求に含まれる操作情報とを照合し、不正パケットであるか否かを判定する（ステップＳ３０３）。

ステップＳ３０３の処理では、例えば、当該操作情報により示される通信データパケットのパケットパターンが、ステップＳ３０２の処理で特定したシグネチャファイルに含まれているか否かを、当該シグネチャファイルの内容（シグネチャデータ）を参照して判定する。パケット監視部２２３は、シグネチャファイルに当該パケットパターンが含まれている場合に不正パケットであると判定し、含まれていない場合には、不正パケットではないと判定する。

ステップＳ３０３の処理において、不正パケットではないと判定した場合（ステップＳ３０３；Ｎｏ）、パケット監視部２２３は、ステップＳ３０１で取得した仮想マシンの利用要求により特定される仮想マシンに対してのアクセスを許可し、操作情報により特定される操作を開始させ（ステップＳ３０４）、処理を終了する。

一方、ステップＳ３０３の処理において、不正パケットであると判定した場合（ステップＳ３０３；Ｙｅｓ）、パケット監視部２２３は、当該セキュリティ設定システム１００がＩＤＳを採用しているかＩＰＳを採用しているかに応じた処理を行い（ステップＳ３０６）、処理を終了する。

例えば、当該セキュリティ設定システム１００がＩＤＳを採用している場合には、不正パケットを検知したことを示す不正検知情報を、仮想マシンの管理者へ送信し、ＩＰＳを採用している場合には、不正パケットを検知した場合に、当該パケットを破棄して、仮想マシンの管理者と利用者に通知する。なお、この例では当該セキュリティ設定システム１００における照合処理にて、仮想マシンに対する通信の監視を行う処理について説明したが、当該セキュリティ設定システム１００は、監視対象の仮想マシンから利用者端末等への通信についても同様にして監視を行うことができる。

以上が、セキュリティ設定システム１００の動作である。このような構成によれば、仮想マシンイメージを識別する仮想マシンイメージ識別情報に対応するシグネチャ識別情報が特定され、特定されたシグネチャ識別情報により識別されるシグネチャファイルが動的に設定されることとなる。したがって、各仮想マシンに適合したシグネチャデータを効率よく設定することができる。また、各仮想マシンの起動と同時に動的にシグネチャデータが設定されるため、仮想マシンの起動からシグネチャデータを設定するまでのタイムラグが解消され、その間における不正アクセス等の攻撃を防止することができる。

（変形例）
この発明は、上記の実施形態に限定されず、種々の変形及び応用が可能である。図４に示す設定処理において、ステップＳ１０２の処理の後に、ステップＳ１０３の処理とステップＳ２０１〜Ｓ２０２の処理を実行する例を示したが、これは一例である。当該ステップＳ１０３の処理とステップＳ２０１〜Ｓ２０２の処理は、ステップＳ１０５の処理の後でステップＳ１０６における仮想マシンの起動前に実行してもよい。

また、上記実施形態では、セキュリティ設定システム１００が仮想マシン管理装置２００と、ＤＢサーバ３００とから構成される例を示したが、仮想マシン管理装置２００が、ＤＢサーバ３００が備えるシグネチャ管理ＤＢと仮想マシンイメージ管理ＤＢとを備えていれば、セキュリティ設定システム１００は、仮想マシン管理装置２００から構成されてもよい。

また、上記実施形態では、物理的構成を有する仮想マシン管理装置２００により上記各処理を実行する例を示したが、これは一例である。例えば、図示しないサーバ上で予め格納されている仮想化ソフトウェアを起動し、当該仮想マシン管理装置２００における各構成を仮想化環境で使用してもよい。すなわち、仮想マシン管理装置２００自体を仮想サーバとしてもよい。

上記実施形態では、ステップＳ１０５の処理において、シグネチャファイルを仮想マシン識別情報と対応付けて仮想シグネチャ管理ＤＢのシグネチャ管理テーブルに格納する例を示したが、当該仮想シグネチャ管理テーブルは仮想マシン毎に、仮想マシンの管理者により編集可能であってもよい。この場合には、編集後のシグネチャファイルのファイル名を変更することが望ましい。

また、上述の機能を、ＯＳ（ＯｐｅｒａｔｉｎｇＳｙｓｔｅｍ）とアプリケーションとの分担、またはＯＳとアプリケーションとの協同により実現する場合等には、ＯＳ以外の部分のみを媒体に格納してもよい。

また、搬送波にプログラムを重畳し、通信ネットワークを介して配信することも可能である。例えば、通信ネットワーク上の掲示板（ＢＢＳ、ＢｕｌｌｅｔｉｎＢｏａｒｄＳｙｓｔｅｍ）に当該プログラムを掲示し、ネットワークを介して当該プログラムを配信してもよい。そして、これらのプログラムを起動し、オペレーティングシステムの制御下で、他のアプリケーションプログラムと同様に実行することにより、上述の処理を実行できるように構成してもよい。

１００セキュリティ設定システム
２００仮想マシン管理装置
２１０記憶部
２２０制御部
２２１仮想マシン管理部
２２２シグネチャ管理部
２２３パケット監視部
２３０通信部
２４０システムバス
３００ＤＢサーバ

Claims

起動対象の仮想マシンを定義する仮想マシンイメージの識別情報を取得する仮想マシンイメージ識別情報取得手段と、
前記起動対象の仮想マシンを識別する仮想マシン識別情報を取得する仮想マシン識別情報取得手段と、
前記仮想マシンイメージに基づいて起動される仮想マシンに対して検出すべき通信データを含むシグネチャファイルを識別するシグネチャ識別情報を、前記仮想マシンイメージの識別情報に対応づけて記憶するシグネチャ識別情報記憶手段と、
前記仮想マシンイメージ識別情報取得手段で取得した仮想マシンイメージの識別情報に対応する前記シグネチャ識別情報を、前記シグネチャ識別情報記憶手段に記憶したシグネチャ識別情報に基づいて特定するシグネチャ識別情報特定手段と、
前記仮想マシン識別情報取得手段で取得した仮想マシン識別情報を前記シグネチャ識別情報特定手段で特定したシグネチャ識別情報により示されるシグネチャファイルに対応づけて記憶するシグネチャファイル記憶手段と、
前記シグネチャファイル記憶手段によりシグネチャファイルが記憶されたことに応答して前記起動対象の仮想マシンを起動する仮想マシン起動手段と、
前記仮想マシン起動手段で起動された仮想マシンに対する通信データに前記検出すべき通信データが含まれているか否かを前記シグネチャファイル記憶手段に記憶したシグネチャファイルに基づいて判定し、前記検出すべき通信データが含まれていると判定した場合に前記仮想マシンに対する通信を制限する通信制限手段と、
を備えることを特徴とするセキュリティ設定システム。
前記通信制御手段は、
利用が要求される仮想マシンの仮想マシン識別情報と前記仮想マシンに対する通信データを示す操作情報とを記憶する仮想マシン識別情報記憶手段と、
前記シグネチャファイル記憶手段で記憶したシグネチャファイルのうち前記仮想マシン識別情報記憶手段に記憶した仮想マシン識別情報に対応するシグネチャファイルを取得するシグネチャファイル取得手段と、
前記シグネチャファイル取得手段で取得したシグネチャファイルの内容と前記仮想マシン識別情報記憶手段で記憶した操作情報の内容とを照合することにより前記検出すべき通信データの有無を判定する不正通信判定手段と、
前記不正通信判定手段により検出すべき通信データ有りと判定された場合に仮想マシンの管理者端末にネットワークを介して不正通信が行われていることを通知する不正通信通知手段と、
をさらに備えることを特徴とする請求項１に記載のセキュリティ設定システム。
前記仮想マシン識別情報記憶手段は、前記仮想マシン識別情報と前記操作情報とを仮想マシンの利用を要求するユーザが使用する通信端末からネットワークを介して取得し、
前記不正通信通知手段は、前記不正通信判定手段により検出すべき通信データ有りと判定された場合に前記通信端末との通信を遮断する、
ことを特徴とする請求項２に記載のセキュリティ設定システム。
仮想マシンイメージ識別情報取得手段と仮想マシン識別情報取得手段とシグネチャ識別情報記憶手段とシグネチャ識別情報特定手段とシグネチャファイル記憶手段と仮想マシン起動手段と通信制限手段とを備えるセキュリティ設定システムによるセキュリティ設定方法であって、
前記仮想マシンイメージ識別情報取得手段が起動対象の仮想マシンを定義する仮想マシンイメージの識別情報を取得する仮想マシンイメージ識別情報取得ステップと、
前記仮想マシン識別情報取得手段が前記起動対象の仮想マシンを識別する仮想マシン識別情報を取得する仮想マシン識別情報取得ステップと、
前記シグネチャ識別情報記憶手段が前記仮想マシンイメージに基づいて起動される仮想マシンに対して検出すべき通信データを含むシグネチャファイルを識別するシグネチャ識別情報を、前記仮想マシンイメージの識別情報に対応づけて記憶するシグネチャ識別情報記憶ステップと、
前記シグネチャ識別情報特定手段が前記仮想マシンイメージ識別情報取得ステップで取得した仮想マシンイメージの識別情報に対応する前記シグネチャ識別情報を、前記シグネチャ識別情報記憶ステップで記憶したシグネチャ識別情報に基づいて特定するシグネチャ識別情報特定ステップと、
前記シグネチャファイル記憶手段が前記仮想マシン識別情報取得ステップで取得した仮想マシン識別情報を前記シグネチャ識別情報特定ステップで特定したシグネチャ識別情報により示されるシグネチャファイルに対応づけて記憶するシグネチャファイル記憶ステップと、
前記仮想マシン起動手段が前記シグネチャファイル記憶ステップによりシグネチャファイルが記憶されたことに応答して前記起動対象の仮想マシンを起動する仮想マシン起動ステップと、
前記通信制限手段が前記仮想マシン起動ステップで起動された仮想マシンに対する通信データに前記検出すべき通信データが含まれているか否かを前記シグネチャファイル記憶ステップで記憶したシグネチャファイルに基づいて判定し、前記検出すべき通信データが含まれていると判定した場合に前記仮想マシンに対する通信を制限する通信制限ステップと、
を備えることを特徴とするセキュリティ設定方法。
コンピュータを、
起動対象の仮想マシンを定義する仮想マシンイメージの識別情報を取得する仮想マシンイメージ識別情報取得手段、
前記起動対象の仮想マシンを識別する仮想マシン識別情報を取得する仮想マシン識別情報取得手段、
前記仮想マシンイメージに基づいて起動される仮想マシンに対して検出すべき通信データを含むシグネチャファイルを識別するシグネチャ識別情報を、前記仮想マシンイメージの識別情報に対応づけて記憶するシグネチャ識別情報記憶手段、
前記仮想マシンイメージ識別情報取得手段で取得した仮想マシンイメージの識別情報に対応する前記シグネチャ識別情報を、前記シグネチャ識別情報記憶手段に記憶したシグネチャ識別情報に基づいて特定するシグネチャ識別情報特定手段、
前記仮想マシン識別情報取得手段で取得した仮想マシン識別情報を前記シグネチャ識別情報特定手段で特定したシグネチャ識別情報により示されるシグネチャファイルに対応づけて記憶するシグネチャファイル記憶手段、
前記シグネチャファイル記憶手段によりシグネチャファイルが記憶されたことに応答して前記起動対象の仮想マシンを起動する仮想マシン起動手段、
前記仮想マシン起動手段で起動された仮想マシンに対する通信データに前記検出すべき通信データが含まれているか否かを前記シグネチャファイル記憶手段に記憶したシグネチャファイルに基づいて判定し、前記検出すべき通信データが含まれていると判定した場合に前記仮想マシンに対する通信を制限する通信制限手段、
として機能させることを特徴とするプログラム。