JP7261136B2 - LEAST PRIVILEGE IDENTIFICATION DEVICE AND LEAST PRIVILEGE IDENTIFICATION METHOD - Google Patents

LEAST PRIVILEGE IDENTIFICATION DEVICE AND LEAST PRIVILEGE IDENTIFICATION METHOD Download PDF

Info

Publication number
JP7261136B2
JP7261136B2 JP2019183444A JP2019183444A JP7261136B2 JP 7261136 B2 JP7261136 B2 JP 7261136B2 JP 2019183444 A JP2019183444 A JP 2019183444A JP 2019183444 A JP2019183444 A JP 2019183444A JP 7261136 B2 JP7261136 B2 JP 7261136B2
Authority
JP
Japan
Prior art keywords
authority
information
program
minimum
target program
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2019183444A
Other languages
Japanese (ja)
Other versions
JP2021060702A (en
JP2021060702A5 (en
Inventor
遼 清水
秀行 鹿糠
佳嗣 諸岡
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to JP2019183444A priority Critical patent/JP7261136B2/en
Publication of JP2021060702A publication Critical patent/JP2021060702A/en
Publication of JP2021060702A5 publication Critical patent/JP2021060702A5/ja
Application granted granted Critical
Publication of JP7261136B2 publication Critical patent/JP7261136B2/en
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Debugging And Monitoring (AREA)
  • Stored Programmes (AREA)

Description

本発明は、最小権限特定装置、及び最小権限特定方法に関する。 The present invention relates to a least privilege specifying device and a least privilege specifying method.

近年のプログラム開発の複雑化及びセキュリティ意識の向上に伴い、プログラムには複雑な実行権限が設定されることが多くなっている。そのようなプログラムを利用して業務を行う者は、プログラムの実行に際して適切な権限設定を行わなければならない。 In recent years, as program development has become more complicated and security awareness has increased, complicated execution rights are often set for programs. A person who uses such a program to do business must set appropriate authority when executing the program.

そこで、このようなプログラムを実行するために必要な権限を自動的に検出する技術が提案されている。例えば、特許文献１には、権限の設定を要求するＡＰＩ（権限要求ＡＰＩ）の呼出と、オブジェクトに対して実際に実行したＡＰＩ（実アクセスＡＰＩ）の呼出とをトレースし、権限要求ＡＰＩのトレースログから想定されるアクセスＡＰＩ（想定アクセスＡＰＩ）の呼出を導出して、想定アクセスＡＰＩと実アクセスＡＰＩとが適切に対応付けられない場合には、最小権限違反と判断することが開示されている。 Therefore, techniques have been proposed for automatically detecting the authority required to execute such programs. For example, in Patent Document 1, a call to an API (privilege request API) requesting permission setting and a call to an API (actual access API) actually executed for an object are traced, and a trace of the privilege request API is performed. It is disclosed that a call to an assumed access API (assumed access API) is derived from the log, and if the assumed access API and the actual access API are not appropriately matched, it is determined that a least privilege violation has occurred. .

特開２０１０－１７６１６７号公報JP 2010-176167 A

しかしながら、特許文献１は、ＡＰＩにおける権限の設定の過程、すなわち行使した権限のログを取得可能な場合を想定しており、このようなログを取得できない場合には最小権限を特定できない。近年では、クラウドサービスのようにその処理内容がブラックボックス化されたサービスにより提供されるプログラムを利用するケースが格段に増えているが、特許文献１はこのようなサービスを利用する場合に対して適用が難しい。 However, Japanese Patent Laid-Open No. 2004-101002 assumes that the process of setting privileges in the API, that is, the log of exercised privileges can be acquired, and the minimum privilege cannot be specified if such a log cannot be acquired. In recent years, there has been a marked increase in the number of cases of using programs provided by services whose processing contents are black boxes, such as cloud services. Difficult to apply.

本発明はこのような背景に鑑みてなされたものであり、その目的は、権限の設定に関する情報を取得できないプログラムを実行する場合であってもそのプログラムの実行に必要な最小権限を特定することが可能な、最小権限特定装置、及び最小権限特定方法を提供することにある。 The present invention has been made in view of this background, and its object is to specify the minimum authority required to execute a program even when executing a program for which information on authority settings cannot be obtained. To provide a minimum authority identifying device and a minimum authority identifying method capable of

上記課題を解決するための、本発明の一つは、対象プログラムに対して設定可能な権限の一部又は全部を設定した状態で、他の情報処理装置で前記対象プログラムを実行させ、当該対象プログラムの実行に成功したか否かを示す情報を所定プログラムにより前記他の情報処理装置から受信し、受信した情報に基づき、前記対象プログラムの実行に必要な最小限の権限を特定する最小権限特定処理を実行する演算装置を備える、最小権限特定装置、とする。 In order to solve the above problems, one of the present invention is to execute the target program on another information processing device in a state where all or part of the authority that can be set for the target program is set, and Minimum authority identification for receiving information indicating whether or not the execution of the program has succeeded from the other information processing device by a predetermined program, and identifying the minimum authority required to execute the target program based on the received information. It is assumed to be a least-privilege specifying device comprising an arithmetic device for executing processing.

また、本発明の他の一つは、情報処理装置が、対象プログラムに対して設定可能な権限の一部又は全部を設定した状態で、他の情報処理装置で前記対象プログラムを実行させ、当該対象プログラムの実行に成功したか否かを示す情報を所定プログラムにより前記他の情報処理装置から受信し、受信した情報に基づき、前記対象プログラムの実行に必要な最小限の権限を特定する最小権限特定処理を実行する、最小権限特定方法、とする。 According to another aspect of the present invention, an information processing apparatus causes another information processing apparatus to execute the target program in a state in which a part or all of the authority that can be set for the target program is set, and the Minimum authority for receiving information indicating whether or not the target program has been successfully executed from the other information processing device by a predetermined program, and specifying the minimum authority required to execute the target program based on the received information It is assumed to be a least privileged method for executing specific processing.

本発明によれば、権限の設定に関する情報を取得できないプログラムを実行する場合であってもそのプログラムの実行に必要な最小権限を特定することができる。 According to the present invention, even when executing a program for which information on authority setting cannot be obtained, it is possible to specify the minimum authority required to execute the program.

上記した以外の課題、構成及び効果は、以下の実施形態の説明により明らかにされる。 Problems, configurations, and effects other than those described above will be clarified by the following description of the embodiments.

本実施形態に係るクラウド実行システムの構成の一例を示す図である。It is a figure which shows an example of a structure of the cloud execution system which concerns on this embodiment. 最小権限特定装置が備える機能の一例を説明する図である。It is a figure explaining an example of the function with which a minimum-privilege identification apparatus is provided. 対象プログラムの一例を示す図である。It is a figure which shows an example of a target program. プログラム付与権限情報の一例を示す図である。It is a figure which shows an example of program grant authority information. 最小権限特定処理の一例を説明するフロー図である。FIG. 10 is a flow diagram illustrating an example of minimum authority specifying processing; プログラム特徴解析処理の一例を説明するフロー図である。FIG. 10 is a flow diagram illustrating an example of program feature analysis processing; 解析結果情報の一例を説明する図である。It is a figure explaining an example of analysis result information. 初期付与権限決定処理の一例を説明するフロー図である。FIG. 10 is a flow diagram illustrating an example of initial grant authority determination processing; 過去最小権限特定結果情報の一例を説明する図である。FIG. 11 is a diagram illustrating an example of past minimum privilege identification result information; 初期付与権限選択画面の一例を示す図である。It is a figure which shows an example of an initial grant authority selection screen. 権限要否判定状況情報の一例を示す図である。It is a figure which shows an example of the authority necessity determination status information. 最小権限特定処理の一例を説明するフロー図である。FIG. 10 is a flow diagram illustrating an example of minimum authority specifying processing; 権限分類情報の一例を示す図である。FIG. 10 is a diagram showing an example of authority classification information; 実行結果判定用プログラムの一例を示す図である。It is a figure which shows an example of the program for execution result determination. 最小権限情報の一例を示す図である。It is a figure which shows an example of minimum authority information. 最小権限特定処理の実行中に最小権限特定装置が表示する進捗結果画面の一例を示す図である。FIG. 11 is a diagram showing an example of a progress result screen displayed by the least privileged identifying device during execution of the least privileged identifying process; 最小権限違反判定処理の一例を説明するフロー図である。FIG. 10 is a flow diagram illustrating an example of minimum privilege violation determination processing; 最小権限違反判定処理の実行後に最小権限特定装置が表示する進捗結果画面の一例を示す図である。FIG. 10 is a diagram showing an example of a progress result screen displayed by the least privilege identifying device after execution of the least privilege violation determination process;

［システム構成］
図１は、本実施形態に係るクラウド実行システム１の構成の一例を示す図である。クラウド実行システム１は、所定のユーザが使用する最小権限特定装置１０と、クラウドシステム２０とを含んで構成されている。最小権限特定装置１０及びクラウドシステム２０の間は、例えば、インターネット、ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等の有線又は無線の通信ネットワーク５によって通信可能に接続される。 [System configuration]
FIG. 1 is a diagram showing an example of the configuration of a cloud execution system 1 according to this embodiment. The cloud execution system 1 includes a minimum authority identification device 10 used by a predetermined user and a cloud system 20 . The least privilege identifying device 10 and the cloud system 20 are communicably connected by a wired or wireless communication network 5 such as the Internet, a LAN (Local Area Network), or a WAN (Wide Area Network).

クラウドシステム２０は、クラウドコンピューティングサービス（ウェブサービス）を提供する。具体的には、クラウドシステム２０は、１又は複数の情報処理装置によって構成され、ユーザが利用可能な複数のプログラム又はＡＰＩ（Application Programming Interface）（以下、サービスプログラムという）を記憶している。 The cloud system 20 provides cloud computing services (web services). Specifically, the cloud system 20 is configured by one or a plurality of information processing devices, and stores a plurality of user-usable programs or APIs (Application Programming Interfaces) (hereinafter referred to as service programs).

最小権限特定装置１０は、ＣＰＵ（Central Processing Unit）などの演算装置１１と
、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等のメモリ１２と、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等の外部記憶装置１３と、キーボード、マウス、又はタッチパネル等の入力装置１５と、ディスプレイ及びタッチパネル等の出力装置１４と、通信装置１６とを備える。また、クラウドシステム２０は、ＣＰＵ（Central Processing Unit）などの演算装置２１、ＲＡＭ（Random Access Memory）、
ＲＯＭ（Read Only Memory）等のメモリ２２、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等の外部記憶装置２３、及び、通信装置２４等を備える。 The least privilege identifying device 10 includes an arithmetic unit 11 such as a CPU (Central Processing Unit), a memory 12 such as a RAM (Random Access Memory) and a ROM (Read Only Memory), an HDD (Hard Disk Drive), an SSD (Solid State drive), an input device 15 such as a keyboard, a mouse, or a touch panel, an output device 14 such as a display and a touch panel, and a communication device 16 . In addition, the cloud system 20 includes an arithmetic device 21 such as a CPU (Central Processing Unit), a RAM (Random Access Memory),
It includes a memory 22 such as a ROM (Read Only Memory), an external storage device 23 such as a HDD (Hard Disk Drive) or an SSD (Solid State Drive), a communication device 24, and the like.

最小権限特定装置１０は、ユーザが作成した、各サービスプログラムに関する複数の処
理を記述した所定のプログラム（以下、対象プログラムという）をクラウドシステム２０にアップロードする。具体的には、最小権限特定装置１０は、ユーザから、対象プログラムの入力を受け付け、入力されたプログラムをクラウドシステム２０に送信する。クラウドシステム２０に送信された対象プログラムは、自身が記憶している各サービスプログラムを実行する。 The least privilege identifying device 10 uploads to the cloud system 20 a predetermined program (hereinafter referred to as a target program) created by the user and describing a plurality of processes related to each service program. Specifically, the least privilege identifying device 10 receives input of a target program from the user and transmits the input program to the cloud system 20 . The target program transmitted to the cloud system 20 executes each service program stored therein.

ここで、各サービスプログラムは、その種類に応じて複雑な権限の設定を必要としており、各サービスプログラムを実行するためには、ユーザがそれらに対応した権限を予め設定しなければならない。具体的には、ユーザが、必要な権限を設定した所定のファイル（プログラム付与権限情報）を作成し、これをクラウドシステム２０に送信する。したがって、対象プログラムが複数のサービスプログラムを利用する場合は、処理効率上、また悪意ある第三者からのプログラム乗っ取り時のリスク抑制のため、対象プログラムの実行に必要最小限な権限（以下、最小権限という）を特定しておくことが好ましい。 Here, each service program requires complicated authorization settings according to its type, and in order to execute each service program, the user must preset authorizations corresponding to them. Specifically, the user creates a predetermined file (program grant authority information) in which necessary authority is set, and transmits this to the cloud system 20 . Therefore, when the target program uses multiple service programs, the minimum authority required to execute the target program (hereinafter referred to as "minimum (referred to as authority) should be specified.

しかしながら、最小権限を特定することは、対象プログラムの構成が複雑になるほど困難となる。そこで、本実施形態の最小権限特定装置１０は、この最小権限を特定する。 However, specifying the least privilege becomes more difficult as the structure of the target program becomes more complex. Therefore, the minimum authority identification device 10 of this embodiment identifies this minimum authority.

ここで、最小権限特定装置１０が備える機能について説明する。 Here, functions provided in the least privilege identifying device 10 will be described.

＜最小権限特定装置の機能＞
図２は、最小権限特定装置１０が備える機能の一例を説明する図である。最小権限特定装置１０は、入力部１０１、プログラム特徴解析部１０３、初期付与権限決定部１０５、最小権限特定部１０７、及び最小権限違反判定部１０９の各機能を備える。 <Function of Least Privilege Identification Device>
FIG. 2 is a diagram for explaining an example of the functions of the least privilege identifying device 10. As shown in FIG. The least privilege identification device 10 has functions of an input unit 101 , a program feature analysis unit 103 , an initial grant authority determination unit 105 , a minimum privilege specification unit 107 , and a minimum privilege violation determination unit 109 .

入力部１０１は、ユーザから、対象プログラム４０１の入力を受け付ける。また、入力部１０１は、ユーザから、対象プログラム４０１に設定する権限の情報（プログラム付与権限情報３０１）の入力を受け付ける。 The input unit 101 receives an input of the target program 401 from the user. The input unit 101 also receives input of information on authority to be set in the target program 401 (program grant authority information 301) from the user.

また、入力部１０１は、ユーザから、最小権限を特定するための、後述する実行結果判定用プログラム５０１の入力を受け付ける。実行結果判定用プログラムは、クラウドシステム２０にアップロードされた対象プログラム４０１を実行し、当該対象プログラム４０１の実行に成功したか否かを示す情報を取得するためのプログラムである。 The input unit 101 also receives an input of an execution result determination program 501, which will be described later, for specifying the minimum authority from the user. The execution result determination program is a program for executing the target program 401 uploaded to the cloud system 20 and acquiring information indicating whether or not the execution of the target program 401 was successful.

なお、本実施形態では、対象プログラム４０１、プログラム付与権限情報３０１、及び実行結果判定用プログラム５０１は、後述する最小権限特定処理の実行前にクラウドシステム２０に送信される（アップロードされる）ものとする。 Note that in the present embodiment, the target program 401, the program grant authority information 301, and the execution result determination program 501 are transmitted (uploaded) to the cloud system 20 before execution of the minimum authority specifying process, which will be described later. do.

ここで、対象プログラム４０１及びプログラム付与権限情報３０１について説明する。 Here, the target program 401 and the program grant authority information 301 will be explained.

（対象プログラム）
図３は、対象プログラム４０１の一例を示す図である。対象プログラム４０１は、クラウドシステム２０に記憶されているサービスプログラムを実行するプログラムである。同図の例では、対象プログラム４０１は、クラウドシステム２０が提供するサービスプログラムであるストレージの指定（s3）、領域の特定（some-bucket-name）、オブジェクトの読み込み、及び、オブジェクトの最終更新日の取得、といった複数の処理を行っている。 (target program)
FIG. 3 is a diagram showing an example of the target program 401. As shown in FIG. The target program 401 is a program that executes a service program stored in the cloud system 20 . In the example of FIG. 4, the target program 401 is a service program provided by the cloud system 20, specifying storage (s3), specifying an area (some-bucket-name), reading an object, and specifying the last update date of the object. It performs multiple processes such as obtaining .

（プログラム付与権限情報）
図４は、プログラム付与権限情報の一例を示す図である。プログラム付与権限情報３０１は、クラウドシステム２０に記憶されているサービスプログラムの実行環境及び権限を設定した情報である。 (program grant authority information)
FIG. 4 is a diagram showing an example of program grant authority information. The program grant authority information 301 is information that sets the execution environment and authority of the service programs stored in the cloud system 20 .

同図の例では、プログラム付与権限情報３０１は、各サービスプログラム（Logs、S3等）へのアクセスを行うための権限（Logsに対しては全権限、S3に対してはPutObject）を設定している第１権限設定部３０２と、他のサービスプログラム（Lambda）をクラウドシステム２０で利用することおよび当該サービスプログラム（Lambda）に第１権限設定部３０２で設定された権限を付与することを設定している第２権限設定部３０３とを含む。 In the example shown in the figure, the program grant authority information 301 sets the authority (all authority for Logs, PutObject for S3) for accessing each service program (Logs, S3, etc.). and a first authority setting unit 302 that uses another service program (Lambda) in the cloud system 20 and grants the authority set by the first authority setting unit 302 to the service program (Lambda). and a second authority setting unit 303 .

なお、プログラム付与権限情報３０１は、ユーザが設定してもよいし、所定のプログラムによって自動的に作成されるようにしてもよい。ただし、プログラム付与権限情報３０１には、対象プログラム４０１をクラウドシステム２０で実行するための必要かつ十分な権限が設定されているとは限らない。 The program grant authority information 301 may be set by the user, or may be automatically created by a predetermined program. However, necessary and sufficient authority for executing the target program 401 in the cloud system 20 is not always set in the program grant authority information 301 .

次に、図２に示すように、プログラム特徴解析部１０３は、対象プログラム４０１及びプログラム付与権限情報３０１に基づき、対象プログラム４０１の特徴を解析する。この解析結果（以下、特徴データという）は、後述する解析結果情報７０１に記憶される。 Next, as shown in FIG. 2 , the program feature analysis unit 103 analyzes the features of the target program 401 based on the target program 401 and the program grant authority information 301 . This analysis result (hereinafter referred to as feature data) is stored in analysis result information 701, which will be described later.

初期付与権限決定部１０５は、解析結果情報７０１に基づき、対象プログラム４０１に類似する特徴を有する類似プログラムを特定し、特定した類似プログラムの実行に必要な権限（以下、初期付与権限という）の情報を取得する。初期付与権限は、後述する権限要否判定状況情報９０１に記憶される。 Based on the analysis result information 701, the initial grant authority determination unit 105 identifies a similar program having characteristics similar to the target program 401, and provides information on the authority required to execute the identified similar program (hereinafter referred to as initial grant authority). to get The initially granted authority is stored in authority necessity determination status information 901, which will be described later.

なお、初期付与権限決定部１０５は、類似プログラムを、後述する過去最小権限特定結果情報８０１から特定する。 Note that the initially granted authority determination unit 105 identifies similar programs from past minimum authority identification result information 801, which will be described later.

最小権限特定部１０７は、対象プログラム４０１に対して設定可能な権限の一部又は全部（すなわち、初期付与権限）を付与した状態で、他の情報処理装置（すなわち、クラウドシステム２０）で対象プログラム４０１を実行させ、対象プログラム４０１の実行に成功したか否かを示す情報を所定プログラム（実行結果判定用プログラム５０１）によりクラウドシステム２０から受信し、受信した情報に基づき、対象プログラム４０１の実行に必要な最小限の権限（最小権限）を特定する。 The minimum authority specifying unit 107 grants a part or all of the settable authority to the target program 401 (i.e., initial grant authority), and executes the target program in another information processing device (i.e., the cloud system 20). 401 is executed, information indicating whether or not the target program 401 has been successfully executed is received from the cloud system 20 by a predetermined program (execution result determination program 501), and execution of the target program 401 is performed based on the received information. Identify the minimum required privileges (Least Privilege).

なお、最小権限特定部１０７は、サービスプログラム及び権限の関係を記憶した権限分類情報９２１を参照することにより、付与する権限を具体的に特定する。 Note that the minimum authority identification unit 107 specifically identifies the authority to be granted by referring to the authority classification information 921 that stores the relationship between the service program and authority.

また、最小権限特定部１０７は、対象プログラム４０１と、対象プログラム４０１の特徴と、最小権限特定部１０７が特定した最小限の権限とを対応づけて過去最小権限情報（過去最小権限特定結果情報８０１）として記憶する。 The minimum authority identification unit 107 associates the target program 401, the characteristics of the target program 401, and the minimum authority identified by the minimum authority identification unit 107 with past minimum authority information (past minimum authority identification result information 801). ).

この場合、初期付与権限決定部１０５は、最小権限特定部１０７が記憶した過去最小権限情報に基づき、新たな対象プログラム４０１に対して、その新たな対象プログラム４０１に対応する類似プログラムを特定すると共に、その類似プログラムの実行に必要な権限の情報を過去最小権限情報（過去最小権限特定結果情報８０１）から取得する。すなわち、最小権限特定部１０７は、特定した最小権限の履歴を初期付与権限決定部１０５にフィードバックさせる。 In this case, the initially granted authority determination unit 105 identifies similar programs corresponding to the new target program 401 based on the past minimum authority information stored by the minimum authority identification unit 107, and , the information of the authority necessary for executing the similar program is acquired from the past minimum authority information (the past minimum authority identification result information 801). That is, the minimum authority identifying unit 107 feeds back the history of the identified minimum authority to the initially granted authority determining unit 105 .

なお、最小権限特定部１０７は、対象プログラム４０１の実行の結果を示す情報を出力する。 Note that the least privilege identifying unit 107 outputs information indicating the execution result of the target program 401 .

最小権限違反判定部１０９は、最小権限特定部１０７が特定した最小限の権限の情報と、入力部１０１で入力された権限の情報とを比較し、両者の権限が一致しないと判定した場合に、その旨を示す情報を出力する。なお、最小権限違反判定部１０９の処理結果は、判定結果情報９６１に記憶される。 The minimum authority violation determination unit 109 compares the minimum authority information specified by the minimum authority identification unit 107 and the authority information input by the input unit 101, and when it is determined that the authority does not match, , output information to that effect. Note that the processing result of the least privilege violation determination unit 109 is stored in the determination result information 961 .

以上に説明した最小権限特定装置１０及びクラウドシステム２０の各機能は、それらのハードウェアによって、もしくは、それらの演算装置１１、２１が、メモリ１１、２１や外部記憶装置１３、２３に記憶されている各プログラムを読み出して実行することにより実現される。また、これらのプログラムは、例えば、二次記憶デバイスや不揮発性半導体メモリ、ハードディスクドライブ、ＳＳＤなどの記憶デバイス、又は、ＩＣカード、ＳＤカード、ＤＶＤなどの、各情報処理装置で読み取り可能な非一時的データ記憶媒体に格納される。 Each function of the least privilege identifying device 10 and the cloud system 20 described above is implemented by their hardware, or their computing devices 11 and 21 are stored in the memories 11 and 21 and the external storage devices 13 and 23. It is realized by reading and executing each program in the In addition, these programs are, for example, storage devices such as secondary storage devices, nonvolatile semiconductor memories, hard disk drives, and SSDs, or IC cards, SD cards, DVDs, and other non-temporary programs that can be read by each information processing device. stored on a physical data storage medium.

［処理説明］
続いて、クラウド実行システム１において行われる処理について説明する。 [Description of processing]
Next, processing performed in the cloud execution system 1 will be described.

＜最小権限特定処理＞
図５は、対象プログラム４０１の最小権限を特定する処理（最小権限特定処理）の一例を説明するフロー図である。 <Least Privilege Specific Processing>
FIG. 5 is a flow diagram illustrating an example of processing for specifying the minimum authority of the target program 401 (minimum authority identification processing).

まず、最小権限特定装置１０は、対象プログラム４０１、プログラム付与権限情報３０１、及び実行結果判定用プログラム５０１の入力をユーザから受け付ける入力処理を実行する（ｓ１）。そして、最小権限特定装置１０は、対象プログラム４０１の特徴を推定するプログラム特徴解析処理を実行する（ｓ３）。最小権限特定装置１０は、ｓ３で特定した特徴に基づき、初期付与権限を推定する初期付与権限決定処理を実行する（ｓ５）。 First, the least privilege identifying apparatus 10 executes an input process for accepting inputs from the user for the target program 401, the program granting authority information 301, and the execution result judging program 501 (s1). Then, the least privilege identifying device 10 executes program characteristic analysis processing for estimating the characteristic of the target program 401 (s3). The minimum authority identifying device 10 executes initial grant authority determination processing for estimating the initial grant authority based on the characteristics identified in s3 (s5).

最小権限特定装置１０は、ｓ５で推定した初期付与権限に基づき最小権限を推定する最小権限特定処理を実行する（ｓ７）。そして、最小権限特定装置１０は、ｓ７で推定した最小権限に基づき、ｓ１で作成したプログラム付与権限情報３０１が妥当か否かを判定する最小権限違反判定処理を実行する（ｓ９）。 The minimum authority identification device 10 executes a minimum authority identification process for estimating the minimum authority based on the initial authority estimated in s5 (s7). Then, based on the minimum authority estimated in s7, the minimum authority identification device 10 executes minimum authority violation determination processing for determining whether or not the program grant authority information 301 created in s1 is appropriate (s9).

以下、これらの各処理の詳細を説明する。 The details of each of these processes will be described below.

＜プログラム特徴解析処理＞
図６は、プログラム特徴解析処理の一例を説明するフロー図である。まず、プログラム特徴解析部１０３は、対象プログラム４０１の特徴データを取得する（ｓ６０１）。具体的には、例えば、プログラム特徴解析部１０３は、入力処理ｓ１で入力された対象プログラム４０１に記述されている各サービスプログラム（例えば、s3、s3.Bucket）を特定す
る。 <Program feature analysis processing>
FIG. 6 is a flowchart illustrating an example of program feature analysis processing. First, the program feature analysis unit 103 acquires feature data of the target program 401 (s601). Specifically, for example, the program feature analysis unit 103 identifies each service program (for example, s3, s3.Bucket) described in the target program 401 input in the input process s1.

また、プログラム特徴解析部１０３は、入力処理ｓ１で入力されたプログラム付与権限情報３０１の特徴データを取得する（ｓ６０３）。具体的には、例えば、プログラム特徴解析部１０３は、プログラム付与権限情報３０１の内容を取得し、プログラム付与権限情報３０１に記述されている各サービスプログラム（例えば、AWS::IAM::Role、AWS::Lambda::Function、Logs、s3:PutBoject）を特定する。 Also, the program feature analysis unit 103 acquires feature data of the program grant authority information 301 input in the input process s1 (s603). Specifically, for example, the program feature analysis unit 103 acquires the contents of the program grant authority information 301, and each service program described in the program grant authority information 301 (for example, AWS::IAM::Role, AWS ::Lambda::Function, Logs, s3:PutBoject).

プログラム特徴解析部１０３は、ｓ６０１及びｓ６０２で取得した特徴データを、解析結果情報７０１に記録する（ｓ６０３）。 The program feature analysis unit 103 records the feature data acquired in s601 and s602 in the analysis result information 701 (s603).

ここで、解析結果情報７０１について説明する。 Here, the analysis result information 701 will be described.

（解析結果情報）
図７は、解析結果情報７０１の一例を説明する図である。解析結果情報７０１は、特徴データが記述されていた場所（例えば、対象プログラム４０１、プログラム付与権限情報３０１）を特定する情報が格納される定義場所７０２と、定義場所７０２に係る場所に記述されていた特徴データの内容（例えば、サービスプログラム名又はＡＰＩ名）が格納される特徴７０３の各項目を有する、１以上のレコードで構成される。 (Analysis result information)
FIG. 7 is a diagram illustrating an example of analysis result information 701. As shown in FIG. The analysis result information 701 is described in a definition location 702 that stores information specifying a location where feature data is described (for example, the target program 401 and program grant authority information 301) and a location related to the definition location 702. It is composed of one or more records having each item of the feature 703 in which the content of the feature data (for example, service program name or API name) is stored.

次に、初期付与権限決定処理ｓ５について説明する。 Next, the initial grant authority determination processing s5 will be described.

＜初期付与権限決定処理＞
図８は、初期付与権限決定処理の一例を説明するフロー図である。最小権限特定装置１０の初期付与権限決定部１０５は、解析結果情報７０１及び過去最小権限特定結果情報８０１の内容を取得する（ｓ７０１）。 <Initial Granted Authority Determination Processing>
FIG. 8 is a flow diagram illustrating an example of the initial authorization authority determination process. The initially granted authority determination unit 105 of the least authority identification device 10 acquires the contents of the analysis result information 701 and the past minimum authority identification result information 801 (s701).

（過去最小権限特定結果情報）
図９は、過去最小権限特定結果情報８０１の一例を説明する図である。過去最小権限特定結果情報８０１は、（過去に処理された）類似プログラムの識別子（プログラムＩＤ）が設定されるプログラムＩＤ８０２、プログラムＩＤ８０２に係るプログラムから抽出された特徴データが格納される特徴８０３、及び、プログラムＩＤ８０２に係るプログラムの最小権限（権限のリスト）が格納される最小権限８０４、の各項目を有する、少なくとも１以上のレコードで構成される。なお、最小権限８０４には、過去に最小権限特定処理によって特定された最小権限が設定されてもよいし、それ以外の方法で特定された最小権限が設定されてもよい。 (Past minimum privilege identification result information)
FIG. 9 is a diagram illustrating an example of past minimum privilege identification result information 801. As shown in FIG. The past minimum privilege identification result information 801 includes a program ID 802 in which an identifier (program ID) of a similar program (processed in the past) is set, a feature 803 in which feature data extracted from the program related to the program ID 802 is stored, and , minimum authority 804 in which the minimum authority (list of authority) of the program associated with the program ID 802 is stored. Note that the minimum authority 804 may be set to the minimum authority identified by the minimum authority identification process in the past, or may be set to the minimum authority identified by another method.

次に、図８のｓ７０２に示すように、初期付与権限決定部１０５は、対象プログラム４０１と各類似プログラムとの間の類似度を算出する。具体的には、例えば、初期付与権限決定部１０５は、過去最小権限特定結果情報８０１の各レコードの特徴８０３の内容と、プログラム特徴解析処理ｓ３で作成した解析結果情報７０１の特徴７０３との間の類似度を算出する。なお、類似度の算出方法には様々な手法が可能であり特に限定されないが、例えば、Jaccard係数、Dice係数を用いて、共通集合、差集合等を特定する。 Next, as shown in s702 of FIG. 8, the initially granted authority determination unit 105 calculates the degree of similarity between the target program 401 and each similar program. Specifically, for example, the initially granted authority determination unit 105 determines the difference between the content of the characteristic 803 of each record of the past minimum authority identification result information 801 and the characteristic 703 of the analysis result information 701 created in the program characteristic analysis process s3. Calculate the similarity of Various techniques can be used to calculate the degree of similarity, and there is no particular limitation.

初期付与権限決定部１０５は、ｓ７０２で算出した各類似度を示した画面（初期付与権限選択画面）を表示すると共に、ユーザから、対象プログラム４０１と最も類似する類似プログラムを同画面により選択させる（ｓ７０３）。 The initial grant authority determination unit 105 displays a screen (initial grant authority selection screen) showing each degree of similarity calculated in s702, and prompts the user to select a similar program that is most similar to the target program 401 from the same screen ( s703).

ここで、初期付与権限選択画面の具体例を説明する。 Here, a specific example of the initial authority selection screen will be described.

（初期付与権限選択画面）
図１０は、初期付与権限選択画面の一例を示す図である。初期付与権限選択画面１００１は、類似プログラムのプログラムＩＤが表示されるプログラムＩＤ表示欄１００２、プログラムＩＤ表示欄１００２に係る類似プログラムの特徴データ（過去最小権限特定結果情報８０１の特徴８０３に対応）が表示される特徴表示欄１００３、プログラムＩＤ表示欄１００２に係る類似プログラムの最小権限（権限のリスト。過去最小権限特定結果情報８０１の最小権限８０４に対応。）が表示される最小権限表示欄１００４、プログラムＩＤ表示欄１００２に係る類似プログラムと対象プログラム４０１との間の類似度が表示される類似度表示欄１００５、及び、プログラムＩＤ表示欄１００２に係る類似プログラムをユーザに選択させるための選択欄１００６を備える。 (Initial authorization selection screen)
FIG. 10 is a diagram showing an example of an initial authority selection screen. The initially granted authority selection screen 1001 includes a program ID display column 1002 in which the program ID of the similar program is displayed, and characteristic data of the similar program related to the program ID display column 1002 (corresponding to the characteristic 803 of the past minimum authority identification result information 801). Feature display field 1003 to be displayed, minimum authority display field 1004 for displaying the minimum authority (list of authority, corresponding to the minimum authority 804 of the past minimum authority identification result information 801) of the similar program related to the program ID display field 1002, A similarity display field 1005 for displaying the degree of similarity between the similar program related to the program ID display field 1002 and the target program 401, and a selection field 1006 for allowing the user to select a similar program related to the program ID display field 1002. Prepare.

なお、初期付与権限選択画面１００１は、類似プログラムの一部のみ、例えば、類似度が所定値以上の類似プログラムの情報のみ、を表示するようにしてもよい。これにより、ユーザは、適切な類似プログラムを迅速に選択することができる。 Note that the initially granted authority selection screen 1001 may display only a part of the similar programs, for example, only the information of the similar programs whose degree of similarity is equal to or greater than a predetermined value. This allows the user to quickly select an appropriate similar program.

次に、図８のｓ７０４に示すように、初期付与権限決定部１０５は、ｓ７０３でユーザにより選択された類似プログラムの権限の情報を、初期付与権限の情報として、後述する権限要否判定状況情報に記録する。 Next, as shown in s704 of FIG. 8, the initial grant authority determination unit 105 uses the information of the authority of the similar program selected by the user in s703 as the information of the initial grant authority, and sets the authority necessity determination status information (to be described later). to record.

（権限要否判定状況情報）
図１１は、権限要否判定状況情報の一例を示す図である。権限要否判定状況情報９０１は、後述の最小権限特定処理ｓ７が参照する作業情報である。 (Authority necessity judgment status information)
FIG. 11 is a diagram showing an example of authority necessity determination status information. The authority necessity determination status information 901 is work information referred to by the minimum authority specifying process s7, which will be described later.

権限要否判定状況情報９０１は、ｓ７０４で選択された最小権限（すなわち、初期付与権限）が格納されるチェック対象権限９０２、チェック対象権限９０２に係る権限に関する、最小権限特定処理ｓ７によるチェック状態の情報が格納されるチェック状態９０３、チェック対象権限９０２に係る権限に関する、最小権限特定処理ｓ７によるチェックが完了したことを示す情報が格納されるテスト時利用９０４、及び、最小権限特定処理ｓ７により判定された、チェック対象権限９０２に係る権限の要否を示す情報が格納される要否９０５、の各項目を有する、１以上のレコードで構成される。なお、権限要否判定状況情報９０１のレコード数は、最小権限特定処理によって増減しうる。 The authority necessity determination status information 901 includes the authority to be checked 902 in which the minimum authority (that is, the initially granted authority) selected in s704 is stored, and the authority related to the authority to be checked 902, which is checked by the minimum authority specifying process s7. Check status 903 where information is stored, use during testing 904 where information indicating that the check by the minimum authority specifying process s7 is completed regarding the authority related to the authority to be checked 902, and determination by the minimum authority specifying process s7 905, which stores information indicating whether or not the authority related to the authority to be checked 902 is necessary. Note that the number of records in the authority necessity determination status information 901 can be increased or decreased by the minimum authority specifying process.

続いて、最小権限特定処理ｓ７について説明する。最小権限特定処理ｓ７は、検証対象プログラム４０１、プログラム付与権限情報３０１、及び実行結果判定用プログラム５０１がクラウドシステム２０にアップロードされた後に実行される。 Next, the minimum authority specifying process s7 will be described. The minimum authority specifying process s7 is executed after the verification target program 401, the program grant authority information 301, and the execution result determination program 501 are uploaded to the cloud system 20. FIG.

＜最小権限特定処理＞
図１２は、最小権限特定処理の一例を説明するフロー図である。まず、最小権限特定装置１０の最小権限特定部１０７は、権限分類情報９２１を読み込む（ｓ１３００）。 <Least Privilege Specific Processing>
FIG. 12 is a flow diagram illustrating an example of minimum authority specifying processing. First, the minimum authority identification unit 107 of the minimum authority identification device 10 reads the authority classification information 921 (s1300).

ここで、権限分類情報９２１について説明する。 Here, the authority classification information 921 will be explained.

（権限分類情報）
図１３は、権限分類情報の一例を示す図である。権限分類情報９２１は、構造木として表現され、根ノード１２０１と、根ノード１２０１の下位のノードでありサービスプログラムを表す複数の第１ノード１２０２と、各第１ノード１２０２の下位のノードであり第１ノード１２０２に係るサービスプログラムの実行に必要な権限の大分類を表す１又は複数の第２ノード１２０３と、第２ノード１２０３の下位のノードであり第２ノード１２０３に係る権限の小分類である１又は複数の第３ノード１２０４とを含んで構成されている。同図の例では、サービスプログラムs3にはWrite、Read、Listの権限の設定が考えられ、このうちWrite権限は、PutObjectACL及びPutObjectの各権限を含む。 (privilege classification information)
FIG. 13 is a diagram showing an example of authority classification information. The authority classification information 921 is expressed as a structure tree, comprising a root node 1201, a plurality of first nodes 1202 that are subordinate nodes of the root node 1201 and represent service programs, and subordinate nodes of each first node 1202 that are subordinate nodes. One or a plurality of second nodes 1203 representing a large classification of authority required to execute a service program related to the first node 1202, and a subordinate node of the second node 1203 and a small classification of authority related to the second node 1203. One or more third nodes 1204 are included. In the example of FIG. 2, the service program s3 can have Write, Read, and List permissions, and the Write permission includes PutObjectACL and PutObject permissions.

なお、権限分類情報９２１は、最小権限特定装置１０が予め記憶しておいてもよいし、他の情報処理装置から受信してもよい。また、権限分類情報９２１は、ユーザ入力により作成してもよいし、所定の解析プログラムにより自動的に作成してもよい。 Note that the authority classification information 921 may be stored in advance by the least authority identifying device 10, or may be received from another information processing device. Also, the authority classification information 921 may be created by user input, or may be automatically created by a predetermined analysis program.

図１２に戻り、最小権限特定部１０７は、初期付与権限のうち一部を選択する（ｓ１３０１）。具体的には、例えば、最小権限特定部１０７は、権限分類情報９２１を参照することにより、初期付与権限決定処理ｓ５で作成した権限要否判定状況情報９０１のレコードのうち適切なレコードのチェック対象権限９０２の内容を取得する。 Returning to FIG. 12, the minimum authority specifying unit 107 selects a part of the initially granted authority (s1301). Specifically, for example, the minimum authority identifying unit 107 refers to the authority classification information 921 to determine whether an appropriate record among the records of the authority necessity determination status information 901 created in the initial authority determination process s5 is checked. Acquire the contents of the authority 902 .

最小権限特定部１０７は、ｓ１３０１で選択した権限を設定し、実行結果判定用プログラム５０１を実行する（ｓ１３０２）。 The minimum authority specifying unit 107 sets the authority selected in s1301, and executes the execution result determination program 501 (s1302).

ここで、実行結果判定用プログラムについて説明する。 Here, the execution result determination program will be described.

（実行結果判定用プログラム）
図１４は、実行結果判定用プログラムの一例を示す図である。実行結果判定用プログラム５０１は、対象プログラム４０１の実行部５０２と、対象プログラム４０１が正しく実行されたか否かを判定する判定部５０５とを有する。 (Execution result judgment program)
FIG. 14 is a diagram showing an example of an execution result determination program. The execution result determination program 501 has an execution unit 502 for the target program 401 and a determination unit 505 for determining whether the target program 401 has been correctly executed.

判定部５０５は、対象プログラム４０１の実行結果の内容（例えば、データフォーマット）の妥当性を判定する第１判定部５０３と、実行結果が記録されている所定のログファイルを参照して当該ログファイルが有意なデータを有しているかを判定する第２判定部５０４とを有する。 The determination unit 505 refers to a first determination unit 503 that determines the validity of the content (for example, data format) of the execution result of the target program 401, and refers to a predetermined log file in which the execution result is recorded to determine whether the log file has significant data.

判定部５０５は、対象プログラム４０１が正しく実行されたと判定した場合には、「実行成功」の情報を出力し、対象プログラム４０１が正しく実行されなかったと判定した場合には、「実行失敗」の情報を出力する。 If the determination unit 505 determines that the target program 401 has been correctly executed, the determination unit 505 outputs “execution success” information, and if it determines that the target program 401 has not been correctly executed, outputs “execution failure” information. to output

次に、図１２に示すように、実行結果判定用プログラム５０１の実行の結果、最小権限特定部１０７が、クラウドシステム２０（実行結果判定用プログラム５０１）から実行成功の情報を受信した場合には（ｓ１３０２：成功）、最小権限特定部１０７は、後述するｓ１３０４の処理を実行する。他方、実行結果判定用プログラム５０１の実行の結果、クラウドシステム２０から実行失敗の情報を受信した場合には（ｓ１３０２：失敗）、最小権限特定部１０７は、次述するｓ１３０３の処理を実行する。 Next, as shown in FIG. 12, as a result of execution of the execution result determination program 501, when the least privilege identifying unit 107 receives execution success information from the cloud system 20 (execution result determination program 501), (s1302: success), the minimum authority specifying unit 107 executes the process of s1304, which will be described later. On the other hand, when the execution failure information is received from the cloud system 20 as a result of execution of the execution result determination program 501 (s1302: failure), the minimum authority specifying unit 107 executes the processing of s1303 described below.

ｓ１３０３において最小権限特定部１０７は、新たな権限を追加し、この新たな権限（新たな初期付与権限）により実行結果判定用プログラム５０１を再度実行する（ｓ１３０２）。具体的には、例えば、最小権限特定部１０７は、権限分類情報９２１を参照することにより、権限要否判定状況情報９０１で現在選択されていないレコードのうち適切なレコードのチェック対象権限９０２の内容を取得し、取得した内容（権限）を現在選択されている権限に加えて、その権限を設定した上で実行結果判定用プログラム５０１を実行する。 In s1303, the minimum authority specifying unit 107 adds a new authority, and re-executes the execution result determination program 501 with this new authority (new initial authority) (s1302). Specifically, for example, the minimum authority identification unit 107 refers to the authority classification information 921 to determine the contents of the check target authority 902 of an appropriate record among the records not currently selected in the authority necessity determination status information 901 . is added to the currently selected authority, and the execution result determination program 501 is executed after setting the authority.

他方、ｓ１３０４において最小権限特定部１０７は、現在の未使用の権限が、対象プログラム４０１に不要な権限である旨を記憶する。具体的には、例えば、最小権限特定部１０７は、権限要否判定状況情報９０１のレコードのうち現在選択されていない各レコードの要否９０５に「不要」を設定する。なお、最小権限特定部１０７は、権限要否判定状況情報９０１のレコードのうち現在選択されている各レコードの要否９０５に「要」を設定してもよい。 On the other hand, in s1304, the minimum authority identification unit 107 stores that the currently unused authority is unnecessary authority for the target program 401. FIG. Specifically, for example, the minimum authority specifying unit 107 sets “unnecessary” to the necessity 905 of each record that is not currently selected among the records of the authority necessity determination status information 901 . Note that the minimum authority specifying unit 107 may set the necessity 905 of each record currently selected among the records of the authority necessity determination status information 901 to “necessary”.

（ｓ１３０１～ｓ１３０４の具体例）
ここで、最小権限特定処理におけるｓ１３０１～ｓ１３０４の具体例について説明する。最小権限特定部１０７は、ｓ１３０１～ｓ１３０４において、構造木を下位から上位にたどることで、選択する権限を増やす。 (Specific examples of s1301 to s1304)
A specific example of s1301 to s1304 in the minimum authority specifying process will now be described. In s1301 to s1304, the minimum authority specifying unit 107 increases the authority to be selected by tracing the structure tree from the lower level to the upper level.

すなわち、図１３に示すように、最小権限特定部１０７は、第１ノード１２０２たるS3の下位のうち第２ノード１２０３のWriteに関して、その下位の第３ノード１２０４であ
るPutObject及びCreateLogGroupの各権限を設定し、実行結果判定用プログラム５０１を
実行する（図１２のｓ１３０１、ｓ１３０２）。実行に失敗した場合、最小権限特定部１０７は、「Write」の下位の全ての権限（全ての第３ノード１２０４）を設定し（ｓ１３０３）、設定したこれらの権限により、実行結果判定用プログラム５０１を再び実行する（ｓ１３０２）。 That is, as shown in FIG. 13, the minimum authority specifying unit 107 grants each authority of PutObject and CreateLogGroup, which is the third node 1204, which is the third node 1204, regarding the Write of the second node 1203 among the subordinates of S3, which is the first node 1202. Then, the execution result determination program 501 is executed (s1301, s1302 in FIG. 12). If the execution fails, the minimum authority specifying unit 107 sets all the authorities (all the third nodes 1204) under "Write" (s1303), and the execution result determination program 501 is executed with these set authorities. is executed again (s1302).

最小権限特定部１０７は、この実行結果判定用プログラム５０１の再実行に失敗した場合（ｓ１３０２：失敗）、他の第１ノード１２０２たるLogsの下位の第２ノード１２０３のWriteの下位の全ての権限（全ての第３ノード１２０４）を設定し（ｓ１３０３）、設
定したこれらの権限により、実行結果判定用プログラム５０１を再び実行する（ｓ１３０２）。 When the execution result determination program 501 fails to be re-executed (s1302: failure), the minimum authority identifying unit 107 grants all the authority under Write of the second node 1203 under Logs, which is the other first node 1202. (all third nodes 1204) are set (s1303), and the execution result determination program 501 is executed again with these set authorities (s1302).

最小権限特定部１０７は、この実行結果判定用プログラム５０１の再実行にも失敗した場合（ｓ１３０２：失敗）、第１ノード１２０２たるS3の全ての下位の権限（Write以下
の全権限、Read以下の全権限、List以下の全権限）を設定し（ｓ１３０３）、設定したこれらの権限により、実行結果判定用プログラム５０１を再び実行する（ｓ１３０２）。 If the execution result determination program 501 also fails to be re-executed (s1302: failure), the minimum authority identifying unit 107 grants all lower authority of S3 as the first node 1202 (all authority below Write, authority below Read All authority, all authority below List) are set (s1303), and the execution result determination program 501 is executed again with these set authorities (s1302).

なお、ある時点で実行結果判定用プログラム５０１の実行に成功した場合、最小権限特定部１０７は、その時点で設定されていない権限を、対象プログラム４０１の実行に不要な権限の情報として記憶する（ｓ１３０４）。 Note that if the execution result determination program 501 succeeds in execution at a certain point in time, the minimum authority specifying unit 107 stores the authority that is not set at that time as authority information unnecessary for executing the target program 401 ( s1304).

次に、図１２に示すように、ｓ１３０４の実行後、最小権限特定部１０７は、使用する権限を減少させた新たな権限（新たな初期付与権限）により、ｓ１３０２と同様に実行結果判定用プログラム５０１を再度実行する（ｓ１３０５）。具体的には、例えば、最小権限特定部１０７は、権限分類情報９２１を参照することにより、現在選択されている権限要否判定状況情報９０１のレコードのうち適切なレコードを選択し、その選択したレコードを選択対象から除外する。 Next, as shown in FIG. 12, after execution of s1304, the minimum authority identifying unit 107 uses a new authority (new initial grant authority) with reduced authority to use, as in s1302. 501 is executed again (s1305). Specifically, for example, the minimum authority identifying unit 107 refers to the authority classification information 921 to select an appropriate record among the currently selected records of the authority necessity determination status information 901, and Exclude records from selection.

実行結果判定用プログラム５０１の実行の結果、最小権限特定部１０７が、クラウドシステム２０（実行結果判定用プログラム５０１）から実行成功の情報を受信した場合には（ｓ１３０６：成功）、最小権限特定部１０７は、後述するｓ１３０７の処理を実行する。他方、実行結果判定用プログラム５０１の実行の結果、クラウドシステム２０から実行失敗の情報を受信した場合には（ｓ１３０６：失敗）、最小権限特定部１０７は、次述するｓ１３０８の処理を実行する。 As a result of execution of the execution result determination program 501, when the minimum authority identification unit 107 receives the information of execution success from the cloud system 20 (execution result determination program 501) (s1306: success), the minimum authority identification unit 107 executes the processing of s1307 which will be described later. On the other hand, as a result of the execution of the execution result determination program 501, when the execution failure information is received from the cloud system 20 (s1306: failure), the minimum authority specifying unit 107 executes the processing of s1308 described below.

ｓ１３０７において最小権限特定部１０７は、ｓ１３０５で減少させた権限は対象プログラム４０１に不要であると記憶する。その後は、ｓ１３０９の処理が行われる。 In s1307, the least privilege identifying unit 107 stores that the target program 401 does not need the privilege reduced in s1305. After that, the process of s1309 is performed.

他方、ｓ１３０８においては最小権限特定部１０７は、ｓ１３０５で減少させた権限は対象プログラム４０１に必要であると記憶する。その後は、ｓ１３０９の処理が行われる。 On the other hand, in s1308, the least privilege identifying unit 107 stores that the target program 401 needs the privilege reduced in s1305. After that, the process of s1309 is performed.

ｓ１３０９において最小権限特定部１０７は、ｓ１３０７又はｓ１３０８の結果を権限要否判定状況情報９０１に設定する。具体的には、例えば、最小権限特定部１０７は、ｓ１３０５で除外した権限要否判定状況情報９０１のレコードの要否９０５に「不要」（ｓ１３０７の場合）又は「要」（ｓ１３０８の場合）を設定する。 In s1309, the minimum authority specifying unit 107 sets the result of s1307 or s1308 to the authority necessity determination status information 901. FIG. Specifically, for example, the minimum authority specifying unit 107 sets "unnecessary" (in the case of s1307) or "necessary" (in the case of s1308) to the record necessity 905 of the authority necessity determination status information 901 excluded in s1305. set.

そして、最小権限特定部１０７は、全ての初期付与権限についてｓ１３０６のチェックを行ったか否かを判定する（ｓ１３１０）。具体的には、例えば、最小権限特定部１０７は、ｓ１３０５を最初に実行した際に選択されていた権限要否判定状況情報９０１の全てのレコードを対象にｓ１３０５の処理を行ったか否かを判定する。 Then, the minimum authority specifying unit 107 determines whether or not the check in s1306 has been performed for all initially granted authorities (s1310). Specifically, for example, the minimum authority specifying unit 107 determines whether or not the process of s1305 has been performed for all records of the authority necessity determination status information 901 selected when s1305 was first executed. do.

ｓ１３０５のチェックを行っていない初期付与権限がある場合には（ｓ１３１０：ＮＯ）、最小権限特定部１０７は、その権限についてｓ１３０５の処理を繰り返し、全ての初期付与権限についてｓ１３０５のチェックを行った場合には（ｓ１３１０：ＹＥＳ）、最
小権限特定部１０７は、次述するｓ１３１１の処理を行う。 If there is an initial grant authority that has not been checked in s1305 (s1310: NO), the minimum authority identification unit 107 repeats the process of s1305 for that authority, and checks all the initial grant authorities in s1305. (s1310: YES), the minimum authority specifying unit 107 performs the process of s1311 described below.

ｓ１３１１において最小権限特定部１０７は、これまでの処理で特定した、対象プログラム４０１の最小権限の情報を最小権限情報９４１に登録する。 In s<b>1311 , the minimum authority identifying unit 107 registers information on the minimum authority of the target program 401 identified in the above processes in the minimum authority information 941 .

（最小権限情報）
図１５は、最小権限情報９４１の一例を示す図である。最小権限情報９４１は、権限要否判定状況情報９０１のレコードのうち、要否９０５に「要」が設定されたレコードのチェック対象権限９０２の内容のリスト９４３を含む。 (least privilege information)
FIG. 15 is a diagram showing an example of the minimum authority information 941. As shown in FIG. The minimum authority information 941 includes a list 943 of the contents of the authority to be checked 902 of records for which "necessary" is set in the necessity 905 among the records of the authority necessity determination status information 901 .

（ｓ１３０５～ｓ１３１０の具体例）
ここで、最小権限特定処理におけるｓ１３０５～ｓ１３１０の具体例について説明する。最小権限特定部１０７は、ｓ１３０１～ｓ１３０４とは逆に、構造木を上位から下位に探索して選択していき、選択した各ノードの配下の権限を剥奪する。 (Specific example of s1305 to s1310)
A specific example of s1305 to s1310 in the minimum authority identification process will now be described. Contrary to s1301 to s1304, the minimum authority specifying unit 107 searches and selects the structure tree from the top to the bottom, and revokes the authority under each selected node.

すなわち、図１３に示すように、最小権限特定部１０７は、根ノード１２０１の下位の第１ノード１２０２のうちS3に関して、S3の下位の全ての権限（第１ノード１２０２のWrite、Read、List及びそれらの下位の全ての第３ノード１２０３に係る権限）を剥奪し（
図１２のｓ１３０５）、実行結果判定用プログラム５０１を実行する（ｓ１３０６）。 That is, as shown in FIG. 13 , the least privilege specifying unit 107 acquires all privileges (Write, Read, List, and Authority related to all the third nodes 1203 below them) is revoked (
s1305 in FIG. 12), and the execution result determination program 501 is executed (s1306).

実行結果判定用プログラム５０１の実行に成功した場合、最小権限特定部１０７は、それらの全ての権限（S3以下の全ての権限）が不要と記憶する（ｓ１３０７）。他方、実行結果判定用プログラム５０１の実行に失敗した場合、S3の下位のいずれかの権限（第２ノード１２０３又は第３ノード１２０４）が必要であるため、最小権限特定部１０７は、例えば、S3の下位の第３ノード１２０４のうちWriteについて、その下位の全ての権限（全ての第３ノードに係る権限）を剥奪し（ｓ１３０５）、実行結果判定用プログラム５０１を実行する（ｓ１３０６）。 When the execution result determination program 501 is successfully executed, the minimum authority specifying unit 107 stores that all the authorities (all the authorities of S3 and below) are unnecessary (s1307). On the other hand, if the execution of the execution result determination program 501 fails, any authority (the second node 1203 or the third node 1204) below S3 is required. For Write among the lower third nodes 1204, all lower authority (authority pertaining to all the third nodes) is revoked (s1305), and the execution result determination program 501 is executed (s1306).

（進捗結果画面）
ここで、最小権限特定処理ｓ７を実行中に表示される画面について説明する。 (Progress result screen)
Here, the screen displayed during execution of the minimum authority specifying process s7 will be described.

図１６は、最小権限特定処理の実行中に最小権限特定装置１０が表示する進捗結果画面の一例を示す図である。進捗結果画面１１０１は、処理対象の各権限の項目欄１１０３と、項目欄１１０３に係る権限についての処理の状態（未チェック（未処理）、チェック中（処理中）、チェック済（処理完了））が表示されるチェック状態欄１１０４と、項目欄１１０３に係る権限についての処理が完了したか否かの情報が表示される要否表示欄１１０５とを有する。また、進捗結果画面１１０１は、最小権限特定処理の現在の進捗状況が表示される進捗表示欄１１０６を有する。 FIG. 16 is a diagram showing an example of a progress result screen displayed by the least privilege specifying device 10 during execution of the least privilege specifying process. The progress result screen 1101 includes an item field 1103 for each authority to be processed, and a processing status (unchecked (unprocessed), checking (in process), checked (process completed)) of the authority related to the item field 1103 . and a necessity display column 1105 for displaying information as to whether or not the authority processing related to the item column 1103 has been completed. The progress result screen 1101 also has a progress display field 1106 in which the current progress of the minimum authority specifying process is displayed.

次に、最小権限違反判定処理ｓ７について説明する。 Next, the minimum authority violation determination processing s7 will be described.

＜最小権限違反判定処理＞
図１７は、最小権限違反判定処理の一例を説明するフロー図である。まず、最小権限特定装置１０の最小権限違反判定部１０９は、最小権限情報９４１の内容を取得する（ｓ６０１）。また、最小権限違反判定部１０９は、開発者等のユーザが作成したプログラム付与権限情報３０１の内容を取得する（ｓ６０２）。 <Least Privilege Violation Judgment Processing>
FIG. 17 is a flowchart for explaining an example of the minimum authority violation determination process. First, the least privilege violation determination unit 109 of the least privilege identifying device 10 acquires the content of the least privilege information 941 (s601). Also, the least privilege violation determination unit 109 acquires the contents of the program grant privilege information 301 created by the user such as the developer (s602).

そして、最小権限違反判定部１０９は、ｓ６０１で取得した最小権限情報９４１の内容と、ｓ６０２で取得したプログラム付与権限情報３０１の内容とを比較する（ｓ６０３）。 Then, the minimum authority violation determination unit 109 compares the contents of the minimum authority information 941 acquired in s601 with the contents of the program grant authority information 301 acquired in s602 (s603).

最小権限情報９４１の内容とプログラム付与権限情報３０１の内容とが一致する場合（ｓ６０３：ＹＥＳ）、最小権限違反判定部１０９は、最小権限情報９４１に誤りがないとして、その旨を示す情報を、判定結果情報９６１に設定する（ｓ６０５）。他方、最小権限情報９４１の内容とプログラム付与権限情報３０１の内容とが一致しない場合（ｓ６０３：ＮＯ）、最小権限違反判定部１０９は、最小権限情報９４１に誤りがあるとして、その旨を示す情報を、判定結果情報９６１に設定する（ｓ６０６）。 If the contents of the minimum authority information 941 and the contents of the program grant authority information 301 match (s603: YES), the minimum authority violation determination unit 109 determines that the minimum authority information 941 is correct, It is set in the determination result information 961 (s605). On the other hand, if the contents of the minimum authority information 941 and the contents of the program grant authority information 301 do not match (s603: NO), the minimum authority violation determination unit 109 determines that the minimum authority information 941 is erroneous. is set in the determination result information 961 (s606).

（最小権限進捗結果画面）
ここで、最小権限違反判定処理の実行後に表示される画面について説明する。 (Minimum privilege progress screen)
Here, the screen displayed after execution of the minimum authority violation determination process will be described.

図１８は、最小権限違反判定処理の実行後に最小権限特定装置１０が表示する進捗結果画面の一例を示す図である。この進捗結果画面１４０１は、最小権限情報９４１の内容とプログラム付与権限情報３０１の内容とが一致したか否かを示す情報が表示される違反判定結果表示欄１４０２と、最小権限情報９４１の内容が一覧表示される最小権限表示欄１４０３と、プログラム付与権限情報３０１の内容が一覧表示されるプログラム付与権限表示欄１４０４と、プログラム付与権限情報３０１と最小権限情報９４１との差分の示す情報が権限ごとに表示される差分表示欄１４０５とを有する。 FIG. 18 is a diagram showing an example of a progress result screen displayed by the least privilege identifying device 10 after execution of the least privilege violation determination process. This progress result screen 1401 includes a violation determination result display column 1402 displaying information indicating whether or not the contents of the minimum authority information 941 and the contents of the program grant authority information 301 match, and a violation judgment result display field 1402 in which the contents of the minimum authority information 941 are displayed. The minimum authority display column 1403 displayed in a list, the program grant authority display column 1404 in which the contents of the program grant authority information 301 are displayed in a list, and the information indicating the difference between the program grant authority information 301 and the minimum authority information 941 are displayed for each authority. , and a difference display field 1405 displayed in the .

ユーザは、この進捗結果画面１４０１を参照することにより、プログラム付与権限情報３０１に対して誤って設定した権限（すなわち、過不足のあった権限）を特定し、プログラム付与権限情報３０１を正しい内容（必要かつ十分な権限を設定した情報）に修正することができる。 By referring to the progress result screen 1401, the user can identify the authority set by mistake for the program granting authority information 301 (that is, the authority with excess or deficiency), and change the program granting authority information 301 to the correct contents ( information with necessary and sufficient authority) can be modified.

以上のように、本実施形態の最小権限特定装置１０は、各権限を付与した状態でクラウドシステム２０上で対象プログラム４０１を実行させ、その実行に成功したか否かを示す情報を実行結果判定用プログラム５０１に基づきクラウドシステム２０から受信し、受信した情報に基づいて対象プログラム４０１の最小権限を特定する。 As described above, the least privilege identifying device 10 of this embodiment causes the target program 401 to be executed on the cloud system 20 with each privilege granted, and determines whether or not the execution was successful. It receives from the cloud system 20 based on the program for use 501, and identifies the minimum authority of the target program 401 based on the received information.

すなわち、本実施形態の最小権限特定装置１０は、対象プログラム４０１の実行に必要な権限の情報が不明な場合（例えば、対象プログラム４０１が実行するサービスプログラムがクラウドサービスとして提供されている場合）であっても、類似プログラムに基づき決定した各権限を設定した状態で対象プログラム４０１を実行することで、対象プログラム４０１の最小権限を特定することができる。 That is, the least privilege identifying device 10 of the present embodiment can be used even when the information on the authority required for executing the target program 401 is unknown (for example, when the service program executed by the target program 401 is provided as a cloud service). Even if there is, the minimum authority of the target program 401 can be identified by executing the target program 401 with each authority determined based on the similar program set.

このように、本実施形態の最小権限特定装置１０によれば、権限の設定に関する情報を取得できないプログラムを実行する場合であってもそのプログラムの実行に必要な最小権限を特定することができる。 As described above, according to the minimum authority identifying device 10 of the present embodiment, even when executing a program for which information on authority setting cannot be acquired, the minimum authority required for executing the program can be identified.

以上の実施形態の説明は、本発明の理解を容易にするためのものであり、本発明を限定するものではない。本発明はその趣旨を逸脱することなく、変更、改良され得ると共に本発明にはその等価物が含まれる。 The above description of the embodiments is intended to facilitate understanding of the present invention, and is not intended to limit the present invention. The present invention may be modified and improved without departing from its spirit, and the present invention includes equivalents thereof.

例えば、最小権限特定装置１０の一部の機能は、ユーザ端末等の他の情報処理装置に実装してもよい。 For example, some functions of the least privilege identifying device 10 may be implemented in other information processing devices such as user terminals.

また、実行結果判定用プログラム５０１は、本実施形態では、クラウドシステム２０にアップロードして実行するものとしたが、最小権限特定装置１０に記憶させ、クラウドシステム２０を操作するものとしてもよい。 In addition, although the execution result determination program 501 is uploaded to the cloud system 20 and executed in the present embodiment, it may be stored in the least privilege identifying device 10 to operate the cloud system 20 .

また、本実施形態では、対象プログラム４０１は最小権限特定装置１０からユーザ入力されるものとしたが、最小権限特定装置１０が他の端末から受信するようにしてもよい。 Also, in the present embodiment, the target program 401 is input by the user from the least privileged identifying device 10, but the least privileged identifying device 10 may receive it from another terminal.

また、権限分類情報９２１の構造木は、クラウドサービス（サービスプログラム）及びＡＰＩの種類によって分類したものであるが、サービスやプログラムの種類に応じたその他の分類を行ったものであってもよい。 The structure tree of the authority classification information 921 is classified according to the types of cloud services (service programs) and APIs, but may be classified according to the types of services and programs.

以上の本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態の最小権限特定装置１０においては、前記演算装置が、前記対象プログラムに類似する特徴を有する類似プログラムを特定し、特定した類似プログラムの実行に必要な権限の情報を取得する初期付与権限決定処理を実行し、前記最小権限特定処理において、前記取得した権限の一部又は全部を付与した状態で、前記他の情報処理装置で前記対象プログラムを実行させる、としてもよい。 At least the following will be clarified by the above description of this specification. That is, in the least privilege specifying device 10 of the present embodiment, the computing device specifies a similar program having characteristics similar to the target program, and acquires the information on the privilege necessary for executing the specified similar program. The granted authority determination process may be executed, and in the minimum authority identification process, the target program may be executed by the other information processing device while part or all of the acquired authority is granted.

このように、対象プログラム４０１と類似する特徴を有する類似プログラムに基づき決定した権限を利用することで、最小権限を迅速に特定することができる。 In this way, by using the authority determined based on a similar program having characteristics similar to those of the target program 401, the minimum authority can be quickly identified.

また、本実施形態の最小権限特定装置においては、前記最小権限特定処理において、前記対象プログラムと、前記対象プログラムの特徴と、前記特定した最小限の権限とを対応づけて過去最小権限情報として記憶する記憶装置を備え、前記演算装置が、前記初期権限取得処理において、前記記憶した過去最小権限情報に基づき、新たな対象プログラムに対して、当該新たな対象プログラムに対応する類似プログラムを特定すると共に、当該類似プログラムの実行に必要な前記権限の情報を前記過去最小権限情報から取得する、としてもよい。 Further, in the least privilege specifying device of the present embodiment, in the least privilege specifying process, the target program, the characteristics of the target program, and the specified minimum privilege are associated with each other and stored as past minimum privilege information. wherein, in the initial authority acquisition process, the computing device identifies a similar program corresponding to the new target program based on the stored past minimum authority information, and , the information on the authority necessary for executing the similar program may be acquired from the past minimum authority information.

このように、対象プログラム４０１、対象プログラム４０１の特徴、及び、対象プログラム４０１の実行に必要最小限の権限を対応づけた過去最小権限情報（過去最小権限特定結果情報８０１）に基づき、新たな対象プログラム４０１に対する類似プログラムを特定することにより、最小権限特定装置１０は、最小権限の履歴から適切な類似プログラムを迅速に特定することができる。 In this way, based on the target program 401, the characteristics of the target program 401, and the past minimum privilege information (past minimum privilege identification result information 801) in which the minimum privilege required for execution of the target program 401 is associated, a new target By identifying similar programs to the program 401, the least privilege identifying device 10 can quickly identify appropriate similar programs from the history of least privilege.

また、本実施形態の最小権限特定装置１０においては、前記演算装置が、ユーザから、前記対象プログラムに設定する権限の情報の入力を受け付ける入力処理と、前記特定した最小限の権限の情報と、前記入力された権限の情報とを比較し、両者の権限が一致しないと判定した場合に、その旨を示す情報を出力する最小権限違反判定処理とを実行する、としてもよい。 Further, in the least privilege specifying device 10 of the present embodiment, the computing device receives input of information on the privilege to be set in the target program from the user, the information on the specified minimum privilege, and a least privilege violation determination process for outputting information indicating the fact when it is determined that the two rights do not match by comparing the input information on the rights.

このように、ユーザから入力された、対象プログラム４０１の実行のための権限の情報と、最小権限特定装置１０が特定した最小権限の情報とが一致しないと判定した場合に、その旨を示す情報を出力することで、ユーザは、自身が入力した権限の設定の誤りに容易に気づき、これを修正することができる。 In this way, when it is determined that the information about the authority for executing the target program 401 input by the user does not match the information about the minimum authority specified by the minimum authority identifying device 10, information indicating that fact By outputting , the user can easily notice an error in the authority setting that he or she has entered and correct it.

また、本実施形態の最小権限特定装置１０においては、前記演算装置が、前記最小権限特定処理において、前記対象プログラムの実行の結果を示す情報を出力する、としてもよい。 Further, in the least privilege specifying device 10 of the present embodiment, the computing device may output information indicating the execution result of the target program in the least privilege specifying process.

このように、対象プログラム４０１の実行の結果を示す情報を出力することで、ユーザは、対象プログラム４０１の最小権限の特定のプロセスを確認することができる。 By outputting the information indicating the execution result of the target program 401 in this way, the user can confirm the specific process of the target program 401 with the least authority.

１ クラウド実行システム、１０ 最小権限特定装置、２０ クラウドシステム、１０１
入力部、１０３ プログラム特徴解析部、１０５ 初期付与権限決定部、１０７ 最小権限特定部、１０９ 最小権限違反判定部、４０１ 対象プログラム 1 cloud execution system, 10 least privilege identification device, 20 cloud system, 101
Input unit 103 Program feature analysis unit 105 Initial authority determination unit 107 Minimum authority identification unit 109 Minimum authority violation determination unit 401 Target program

Claims (10)

対象プログラムに対して設定可能な権限の一部又は全部を設定した状態で、他の情報処理装置で前記対象プログラムを実行させ、当該対象プログラムの実行に成功したか否かを示す情報を所定プログラムにより前記他の情報処理装置から受信し、受信した情報に基づき、前記対象プログラムの実行に必要な最小限の権限を特定する最小権限特定処理を実行する演算装置を備える、
最小権限特定装置。 In a state in which a part or all of the authority that can be set for the target program is set, the target program is executed by another information processing apparatus, and information indicating whether or not the execution of the target program is successful is transmitted to the predetermined program. a computing device that receives from the other information processing device by and executes a minimum privilege specifying process for specifying the minimum privilege required for executing the target program based on the received information,
Least privilege specific device. 前記演算装置が、
前記対象プログラムに類似する特徴を有する類似プログラムを特定し、特定した類似プログラムの実行に必要な権限の情報を取得する初期付与権限決定処理を実行し、
前記最小権限特定処理において、前記取得した権限の一部又は全部を前記対象プログラムに設定した状態で、前記他の情報処理装置で前記対象プログラムを実行させる、
請求項１に記載の最小権限特定装置。 The computing device
identifying a similar program having features similar to the target program, and executing an initial grant authority determination process for acquiring information about authority necessary for executing the identified similar program;
causing the other information processing device to execute the target program in a state in which part or all of the acquired authority is set in the target program in the least privilege specifying process;
2. The least privilege specifying device according to claim 1. 前記最小権限特定処理において、前記対象プログラムと、前記対象プログラムの特徴と、前記特定した最小限の権限とを対応づけて過去最小権限情報として記憶する記憶装置を備え、
前記演算装置が、
前記初期付与権限決定処理において、前記記憶した過去最小権限情報に基づき、新たな対象プログラムに対して、当該新たな対象プログラムに対応する類似プログラムを特定すると共に、当該類似プログラムの実行に必要な前記権限の情報を前記過去最小権限情報から取得する、
請求項２に記載の最小権限特定装置。 a storage device that associates the target program, the characteristics of the target program, and the identified minimum authority in the minimum authority identification process and stores them as past minimum authority information;
The computing device
In the initial grant authority determination process , based on the stored past minimum authority information, for a new target program, a similar program corresponding to the new target program is specified, and the similar program necessary for executing the similar program is specified. obtaining authority information from the past minimum authority information;
3. The least privilege specifying device according to claim 2. 前記演算装置が、
ユーザから、前記対象プログラムに設定する権限の情報の入力を受け付ける入力処理と、
前記特定した最小限の権限の情報と、前記入力された権限の情報とを比較し、両者の権限が一致しないと判定した場合に、その旨を示す情報を出力する最小権限違反判定処理と
を実行する、請求項１に記載の最小権限特定装置。 The computing device
an input process for accepting input of authority information to be set in the target program from a user;
a minimum authority violation determination process for comparing the specified minimum authority information and the input authority information, and outputting information indicating that when it is determined that the authority does not match between the two. 2. The least privileged determining device of claim 1, executing. 前記演算装置が、
前記最小権限特定処理において、前記対象プログラムの実行の結果を示す情報を出力する、請求項１に記載の最小権限特定装置。 The computing device
2. The least privilege specifying device according to claim 1, wherein, in said least privilege specifying process, information indicating a result of execution of said target program is output. 情報処理装置が、
対象プログラムに対して設定可能な権限の一部又は全部を設定した状態で、他の情報処理装置で前記対象プログラムを実行させ、当該対象プログラムの実行に成功したか否かを示す情報を所定プログラムにより前記他の情報処理装置から受信し、受信した情報に基づき、前記対象プログラムの実行に必要な最小限の権限を特定する最小権限特定処理を実行する、
最小権限特定方法。 The information processing device
In a state in which a part or all of the authority that can be set for the target program is set, the target program is executed by another information processing apparatus, and information indicating whether or not the execution of the target program is successful is transmitted to the predetermined program. receives from the other information processing device by and executes a minimum authority identification process for identifying the minimum authority required to execute the target program based on the received information;
Least Privilege Identification Method. 前記情報処理装置が、
前記対象プログラムに類似する特徴を有する類似プログラムを特定し、特定した類似プログラムの実行に必要な権限の情報を取得する初期付与権限決定処理を実行し、
前記最小権限特定処理において、前記取得した権限の一部又は全部を前記対象プログラムに設定した状態で、前記他の情報処理装置で前記対象プログラムを実行させる、
請求項６に記載の最小権限特定方法。 The information processing device
identifying a similar program having features similar to the target program, and executing an initial grant authority determination process for acquiring information about authority necessary for executing the identified similar program;
causing the other information processing device to execute the target program in a state in which part or all of the acquired authority is set in the target program in the least privilege specifying process;
7. The method for specifying least privilege according to claim 6. 前記情報処理装置が、
前記最小権限特定処理において、前記対象プログラムと、前記対象プログラムの特徴と、前記特定した最小限の権限とを対応づけて過去最小権限情報として記憶し、
前記初期付与権限決定処理において、前記記憶した過去最小権限情報に基づき、新たな対象プログラムに対して、当該新たな対象プログラムに対応する類似プログラムを特定すると共に、当該類似プログラムの実行に必要な前記権限の情報を前記過去最小権限情報から取得する、
請求項７に記載の最小権限特定方法。 The information processing device
in the least privilege specifying process, the target program, the characteristics of the target program, and the specified minimum privilege are associated with each other and stored as past minimum privilege information;
In the initial grant authority determination process , based on the stored past minimum authority information, for a new target program, a similar program corresponding to the new target program is specified, and the similar program necessary for executing the similar program is specified. obtaining authority information from the past minimum authority information;
The method for specifying least privilege according to claim 7. 前記情報処理装置が、
ユーザから、前記対象プログラムに設定する権限の情報の入力を受け付ける入力処理と、
前記特定した最小限の権限の情報と、前記入力された権限の情報とを比較し、両者の権限が一致しないと判定した場合に、その旨を示す情報を出力する最小権限違反判定処理と
を実行する、請求項６に記載の最小権限特定方法。 The information processing device
an input process for accepting input of authority information to be set in the target program from a user;
a minimum authority violation determination process for comparing the specified minimum authority information and the input authority information, and outputting information indicating that when it is determined that the authority does not match between the two. 7. The method of determining least privilege according to claim 6, wherein: 前記情報処理装置が、
前記最小権限特定処理において、前記対象プログラムの実行の結果を示す情報を出力する、請求項６に記載の最小権限特定方法。 The information processing device
7. The least privilege specifying method according to claim 6, wherein, in said least privilege specifying processing, information indicating a result of execution of said target program is output.
JP2019183444A 2019-10-04 2019-10-04 LEAST PRIVILEGE IDENTIFICATION DEVICE AND LEAST PRIVILEGE IDENTIFICATION METHOD Active JP7261136B2 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2019183444A JP7261136B2 (en) 2019-10-04 2019-10-04 LEAST PRIVILEGE IDENTIFICATION DEVICE AND LEAST PRIVILEGE IDENTIFICATION METHOD

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2019183444A JP7261136B2 (en) 2019-10-04 2019-10-04 LEAST PRIVILEGE IDENTIFICATION DEVICE AND LEAST PRIVILEGE IDENTIFICATION METHOD

Publications (3)

Publication Number Publication Date
JP2021060702A JP2021060702A (en) 2021-04-15
JP2021060702A5 JP2021060702A5 (en) 2022-04-28
JP7261136B2 true JP7261136B2 (en) 2023-04-19

Family

ID=75380121

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2019183444A Active JP7261136B2 (en) 2019-10-04 2019-10-04 LEAST PRIVILEGE IDENTIFICATION DEVICE AND LEAST PRIVILEGE IDENTIFICATION METHOD

Country Status (1)

Country Link
JP (1) JP7261136B2 (en)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005128623A (en) 2003-10-21 2005-05-19 Ntt Data Corp Access history recording device and access control system
JP2010176167A (en) 2009-01-27 2010-08-12 Fujitsu Ltd Program for detecting least privilege violation
US9830469B1 (en) 2016-10-31 2017-11-28 International Business Machines Corporation Automated mechanism to secure customer data
JP2017215785A (en) 2016-05-31 2017-12-07 住友セメントシステム開発株式会社 Authority test device and program
JP2018081384A (en) 2016-11-14 2018-05-24 キヤノン株式会社 Information processing device and authority management method and program

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005128623A (en) 2003-10-21 2005-05-19 Ntt Data Corp Access history recording device and access control system
JP2010176167A (en) 2009-01-27 2010-08-12 Fujitsu Ltd Program for detecting least privilege violation
JP2017215785A (en) 2016-05-31 2017-12-07 住友セメントシステム開発株式会社 Authority test device and program
US9830469B1 (en) 2016-10-31 2017-11-28 International Business Machines Corporation Automated mechanism to secure customer data
JP2018081384A (en) 2016-11-14 2018-05-24 キヤノン株式会社 Information processing device and authority management method and program

Also Published As

Publication number Publication date
JP2021060702A (en) 2021-04-15

Similar Documents

Publication Publication Date Title
USRE42382E1 (en) Volume mount authentication
US10587612B2 (en) Automated detection of login sequence for web form-based authentication
US10587653B2 (en) Policy approval layer
TWI521432B (en) Development environment systems, development environment installations, development environment provision methods and program products
CN110516428B (en) Data reading and writing method and device of mobile storage equipment and storage medium
US10691822B1 (en) Policy validation management
US9596087B2 (en) Token authentication for touch sensitive display devices
Xu et al. How do system administrators resolve access-denied issues in the real world?
US20180143958A1 (en) Automated form generation and analysis
US11899770B2 (en) Verification method and apparatus, and computer readable storage medium
US7814334B2 (en) Method and apparatus for changing and adding activation keys for functions of digital content without having to change and recompile the digital content
US20240202344A1 (en) Use of word embeddings to locate sensitive text in computer programming scripts
JP6634055B2 (en) System and method for preventing unfair evaluation of an application by a user
JP5841818B2 (en) Information processing program, information processing apparatus, information processing method, and information processing system
JP7261136B2 (en) LEAST PRIVILEGE IDENTIFICATION DEVICE AND LEAST PRIVILEGE IDENTIFICATION METHOD
CN106127558B (en) Bill generation method and mobile terminal
US20180089446A1 (en) Apparatus and system for information processing
WO2018175643A1 (en) System and method for providing restricted access to production files in a code development environment
US20180276410A1 (en) System and Method for Providing Secure Access to Production Files in a Code Deployment Environment
Cusack et al. Comparing the Performance of Three Digital Forensic Tools.
RU2534599C1 (en) Access control system to resources of computer system with subject of access &#34;user, processes&#34;
CN113626796B (en) Permission obtaining method and device based on USB flash disk, display equipment and storage medium
KR102573726B1 (en) Method for protecting information and a device thereof
CN115455489A (en) Log export method and device, electronic equipment and storage medium
CN114003861A (en) Digital resource copyright protection method and system based on block chain technology

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20220420

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20220420

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20230220

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20230404

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20230407

R150 Certificate of patent or registration of utility model

Ref document number: 7261136

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150