JPH01315833A - ネットワーク環境でのデジタル・コンピュータ・システムの安全保障検査用巧妙なシステム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 （関連出願への相互参照） エチ・ニス・テンプＸ５ＡＦＥ　：　ＶＡｘ　／ＶＭｓ
システムの安全保障検査に対する原型となる巧妙なシス
テム”、ウォーセスター・ポリテクニック・インスティ
テユート、コンピュータ・サイエンス・デパートメント
を参照出願として本明細書に入れる。

（発明の背景） １、発明の分野 本発明は一般にコンピュータ・システムの分野に関連し
ており、またより詳しく言えば、コンピュータ・システ
ムが悪用されることを可能にすることがある潜在的安全
保障上の欠陥を発見するためコンピュータ・システム内
の安全保障を監視するシステムに関する。

２、従来技術の記載 過去数年、コンピュータは工業的及び政府の活動のいく
つかの領域のなかで非常に重用になった。

始め、コンビ、ユータは大きくて高価な装置で比較的に
孤立して働きまた高度に訓練された人によってプログラ
ムされまた管理された。コンピュータ・システムのコス
トが下がるにつれて、コンピュータ・システムはコンピ
ュータの操作について必ずしも高度に訓練されていない
がその代り組織のなかで営業及び技術の機能を行なう人
々に使用できるようになりまたそれらの人々によって使
用されるようになった。時には、これは組織のなかのす
べてのユーザーを単一の大きい中央処理装置に接続する
ことによって達成されている。またはその代りに同じよ
うな結果を達成するのに数多くの緊密に接続されたコン
ピュータ・システムまたはゆるく接続されたコンピュー
タ・ネットワークを含むシステムが開発されている。多
くの場合、コンピュータ・システムは公共のネットワー
クと公共テレコミュニケーション・システムに接続され
て遠隔地のユーザーによるコンピュータ・システムを呼
び出すことができるようにする。

どの場合にも、ユーザーにコンピュータ・システムの呼
び出しを許したことはいくつかの効果を与えた。１つの
効果は、ユーザーがコンピュータ・システム内のデータ
とプログラムの呼び出しを共有することができることの
要求であった。このようにして、例えば、もしコンピュ
ータ・システムが大きい組織に対していくつかの場所で
簿記を行ない経理の機能を行なうならば、各場所での脱
去かのユーザーはその場所で同じデータ・ベースを呼び
出す必要があるであろう。それに加えて、種々の場所で
のユーザーは他の場所にあるデーターを定期的に呼び出
す必要があるであろう。ユーザーに対してシステムの好
都合度を大きくするため、通常共有が起きることができ
るようにする設備はユーザーに対して透明である、即ち
設備はシステム・マネジャーまた他の高度の訓練を受け
た人の仲介を要求しない。

第２の効果としてまた容易にまた融通性をもって使用さ
れるコンピュータ・システムが開発されているという事
実の直接の結果として、コンピュータ・システム内の安
全保証はシステム設計で重要な考慮である。脱去かのユ
ーザーはほとんどシステムを直接呼び出すことができる
ので、システムのうえに維持される敏感な情報、例えば
人事、給与、及び技術的情報はその情報を悪用するかも
知れない他人には入手されないことを保証することがし
ばしば必要である。ユーザーが意図的にまた意図せずに
彼等が入ったりまたは変更すべきではないことに入りま
た変更することができないことを保証することがしばし
ば必要であるということはこれに密接にかかわっている
。

さらに、増大する数のユーザーがコンピュータ・システ
ムを直接呼び出すことが許されているので、コンピュー
タ・システムの使用には訓練されていない代りに唯書記
的な分野または技術的分野において訓練されているユー
ザーがいるわけである。よって、そのようなコンピュー
タ・システムの操作に悪い影響を与える、例えば操作シ
ステム・プログラムとデーターファイルにシステムが正
しく操作することを禁じる変更をすることまたは彼等に
彼等が近付くべき・でない情報に近付（ことを許すこと
になるような彼等の侵入からコンビュ−夕を保護するこ
とが必要である。それに加えて、システムの使用を知っ
ている人々で彼等に彼等がアクセスを持つべきでない情
報記憶にアクセスすることを許すようシステム・ファイ
ルを意図に変更するかも知らない人々によるそのような
ファイルへのアクセスを制限することが必要である。

コンピュータ・システムの安全保障を大きくするための
安全保障システムは２つの型に沿って設計されている。

１つの型では、システムのバードウエヤ及び主として、
コンピュータ・リソースをコントロールする操作システ
ムは安全保障を破ることの可能性を最小にするよう設計
されている。

そのようなシステムは有効であるかも知れないが、その
ようなシステムは開発するのに高価でありまた他のより
安全度の低いコンピュータ・システムのうえにあるであ
ろう望ましい特徴を持っていないことがある。それに加
えて、他のそのようなシステムは内部の者でその人の操
作特権を悪用する人による悪用及び濫用にしばしば弱い
。

第２の型では、安全保障システムは欠陥を発見しその欠
陥を正すためオペレータに何であるかを確認するためコ
ンピュータ・システムの評価を行なう。この型はコンピ
ュータ・システムが安全保障装置を含むことを仮定して
いるがそれらの装置は不安定なシステムを創るような欠
陥を持っているかも知れないことを仮定する。

（発明の要約） 本発明はデジタル・データ処理（コンピュータ）システ
ム内の安全保障欠陥を発見するための新しいまた改良さ
れたシステムを提供する。特に、新しいシステムは、コ
ンピュータが欠陥を持つことを許し、欠陥を持つことは
次いでコンピュータ・システムの許可なくして使用する
こと及び悪用を許す欠陥を発見する。

節単に要約すると、新しい安全保障システムは複数のイ
ンスベクターを含み、各々は可能な安全保障侵害条件の
特定の組との関連で操作をチェックする。もし、安全保
障チェック作業、一つのインスベクターが安全保障侵害
条件が存在することを決定するならば、インスベクター
はさらに報告または分析を行な゛うために共通の作業記
憶のなかにある条件を記録する。

本発明は特許請求の範囲のなかに特定されて示される。

本発明の上記の利点及び他の利点は次の下記の記載を添
付図と共に参照することによりよく理解されるであろう
。

（実施例の詳細な記載） １、−確約記載 前置きとして、本発明はコンピュータ・システムにプロ
グラム実行の形の新しい安全保障システムでコンピュー
タ・システム内の安全保障の欠陥を発見する新しい安全
保障システムを提供する。

このコンピュータ・システムは単一プロセッサまたは複
数個のプロセッサを含み、これらのプロセッサは多数プ
ロセッサ・コンピュータ・システム内の各プロセッサの
節のところに位置して、ネットワークのうえに緊密に接
続されるかゆるく接続される。各節はまた各節がコンピ
ュータ・システム内で他の節と通信することを許すイン
ター・フェースに加えて大量記憶装置、プリンター、ビ
デオ表示端子、電気通信、インター・フェース、等を含
む従来の周辺機器を含むことができる。代表的な場合、
もし新しい安全保障システムが複数個の節を持つコンピ
ュータ・システム内に使用されるならば、それは１つの
節のところで１人のオペレータによって実行され、その
節は次いで他の節が操作を行なうことができるようにし
また以下記載のように節の安全保障の態様を証明する安
全保障チェック作業を行なうことができるようにする。

新しい安全保障システムの機能のブロック図は第１図に
示される。第１図を参照して、安全保障システムは複数
個の安全保障インスベクター１１から１４をして以下に
記載するように、コンピュータ・システムがオペレータ
・インター・フェース１５から受けるオペレータ・入力
情報に応じてコンピュータ・システムの種々の態様につ
いて安全保障操作を行なうことができるようにするコン
トローラ１０を含む。コントローラ１０は別々に幾個も
の安全保障インスペクタ１１から１４をしてオペレータ
からの入力情報に応することができるようにし、また安
全保障インスベクター１１から１４は以下に記載するそ
れらの安全保障の検査を他とは独立して行なう。

コントローラ１０によってできるようにされることに応
じて各々の安全保障インスベクター１１から１４はその
作業を行なうことのなかに、共通の作業記憶１６から及
びその共通の作業記憶１６のなかの安全保障分析の結果
を表わす保存安全保障情報を得る。安全保障インスベク
ター１１から１４の１つまたは１つ以上による安全保障
の操作に続いて、コントローラ１０は安全保障アナライ
ザー１７をして共通作業記憶装置１６内の安全保障情報
を分析をすることができるようにするであろう。安全保
障のアナライザー１７はその分析の結果をコントローラ
１０に接続してオペレータに提示のためオペレータ・イ
ンター・フェース１５に伝達する。その安全保障分析を
行なうとき、安全保障の分析をする１７は安全保障イン
スベクタ−１１から１４のいくつかによるオペレーショ
ンの結果のうち共通作業記憶装置のなかに保存されたも
のを使用することができる。このようにして、例えば安
全保障アナライザー１７は幾つかの安全保障インスベク
ター１１から１４によって得られた安全保障作業の結果
を内的に関連させることができる。

上述のように、安全保障システムは４つの安全保障イン
スベクター１１から１４を含む。各々の安全保障インス
ベクター１１から１４はコンピュータ・システムに関係
して異なる安全保障作業を行なう。パスワード（合言葉
）検査者１１はコンピュータ・システムを使用すること
を認められているユーザーが容易に言い当てることので
きるパスワードを選んでいるかどうかを発見する。従来
から行なわれているように、ユーザーがコンピュータ・
システムを使用することを始めたいと望むとき、彼は“
記録の記入”をする、即ち彼は彼をコンピュータ・シス
テムに身許証明をする身許証明のコードを入れる。この
記録の記入”の手続きはコンピュータ・システムをして
ユーザーがプログラムを実行しまたアカウントのもとで
許されているデータ・ファイルを使用することを許させ
る。

ユーザーの身許証明の一部として、彼は身許を証明する
好ましい場合彼にだけ知られているパスワードをコンピ
ュータ・システムに与える。パスワードは通常はユーザ
ーによって選ばれるが、しばしばユーザーは容易に言い
当てることのできるパスワードを選ぶ、何故ならばその
パスワードはユーザーまたは彼の誕生日、電話番号等と
関連する名前であるからである。アカウントを使用する
ことを許されていないもう１人の人は容易にパスワード
を言い当てることができ、よって悪い目的のためにプロ
グラム及びデータ・ファイルにアクセスを得る。パスワ
ードインスペクク−１１は容易に言い当てることができ
るパスワードが選ばれその結果オペレータは新しいパス
ワードを要求するかどうかを発見する。

ネットワークの不足アカウント・インスベクター１２は
、もしコンピュータ・システムが例えばネットワークを
通って互いに接続される複数個の節を含むならば、使わ
れる。１つの特別のコンピュータ・システムでは、各節
での操作するシステムは、その節のところでネットワー
クを活性化するために１つのプロセス、目的物と呼ばれ
る、によって使用される不足アカウントを与える。ネッ
トワークの不足アカウント・インスペクク−１２は、ユ
ーザーがプログラムを実行することができるかどうか即
ちユーザーは遠くにある節をして不足アカウントにある
あいだに適用プログラムを実行することができるように
するかどうかを決定する。

それに加えて、１つの特別のコンピュータ・システムで
は、ユーザーが実行するプログラムは複数個の特権レベ
ルの１つまたはいくつかが割り当てられてユーザーのシ
ステム内のファイルを読む、処理する及び書く能力をコ
ントロールする。ネットワークの不足アカウント・イン
スベクター１２はネットワークの不足アカウントの特権
水準を証明する。

１つの特別のコンピュータ・システムでは、従来から行
なわれるように、操作システムは操作システムの処理の
なかで使用されるデータを記憶する複数のシステムを維
持している。各ファイルは特権レベルの異なる範晴の読
み、書き、実行しまた取り消す権利を確認する保護コー
ド・ベクトルを含む。システム・ファイル保護インスベ
クター１３は不適正な保護水準を持つものを発見するた
め各システム・ファイルの保護コード・ベクトルとの関
連のもとに一連の探究操作を行なう。

従来から行なわれているように、ユーザーはコンピュー
タ・システムが適用プログラムをそれからの処理したデ
ータを得るために処理することができるようにする。多
くの場合、適用プログラムはいくつかの他の適用及び何
人かのユーザーと共有されるデータ・ファイルからのデ
ータを使用し、またそのような共有されるデータ・ファ
イルにデータを書き込むこと及びまたデータ並びに全フ
ァイルの取り消しに対してコントロールを与えることが
望ましい。それに加えて、もしコンピュータ・システム
がネットワークによって相互に接続される複数の節を含
むならば、ユーザーは、ユーザー適用によって、ネット
ワーク上の１つの節をしてネットワーク上のデータ送信
をのぞき見することができるようにし、それはユーザー
をして彼がアクセスを持つことを許されていないデータ
へのアクセスを得ることができるようにするであろう。

安全保障システムはユーザー適用インスベクター１４を
含んでユーザー適用に関連した安全保障の侵害を最小に
する。ユーザー適用インスベクターは第２図に示す複数
の部材を含み、それらは、ユーザー・インスベクター・
コントローラ２０のコントロールのもとに、ユーザー適
用に関連するいろいろの検査操作を行ない、それらの部
材はキャプティブ・アカウント・サブ・インスベク１−
２１、ネットワーク通信サブ・インスベクター２２から
２４のすべては共通の作業記憶装ｆ１６に直接接続され
またそれから情報を得てそのなかの情報を安全保障の検
査の結果に関係するそのなかの情報を保存することがで
きる。

適用プログラム・サブ・インスベクター２３は次いで、
２つのスベシアリスト・インスベクター、即ち実行でき
る映像スペシアリスト２５とプログラム・コード専門家
２６をコントワールし、それらのスベシアリストは適用
プログラム・サブ・インスベクター２３の制御のもとに
安全保障検査を行なう。スペシアリスト２５と２６はま
た共通作業記憶装置１６に直接接続されてそれから情報
を得て安全保障の検査の結果に関係するそのなかの情報
を保存することができる。

１つの特別のコンピュータ・システムでは、稼働システ
ム、各適用プログラムに対して、適用プログラムの認可
されたユーザー及びユーザーが適用プログラムを呼び出
すことのできるアカウントを識別するためユーザー認可
ファイルを維持する。

キャプティブ・アカウント・サブ・インスベクター２１
は適用プログラムと関連するユーザー認可ファイルのな
かの情報を検査してアカウントが適用に対する要求に従
うことを保証する。

ネットワーク通信サブ・インスベクター２２はネットワ
ークで通信を行なうユーザー適用に起きる可能な安全保
障の問題を識別する。例えば、ネットワーク通信サブ・
インスベクター２２はユーザー適用が情報をして潜在的
に悪意のある目的のためにネットワークを監視する他人
によって横取りされることのできる平易な文章、即ち暗
号化されていない文章で伝達されることのできるように
するかどうかを決定する。それに加えて、ネットワーク
通信サブ・インスベクター２２はユーザー適用がネット
ワークのうえに、他人によって横取りされまた悪意のも
とに使用される可能性のあるパスワードを伝達するかど
うかを決定する。

記録の記入処理サブ・インスベクター２４はユーザーが
、記録の記入のあいだ、コンピュータ・システムをコン
トロールするためにオペレータによって使用される稼働
システム水準に逃げるかどうかを決定する。記録の記入
のあいだ、ユーザーは本質的に稼働システムをして記録
の記入・ファイルのなかの一連の命令を実行することが
できるようにする。もし記録の記入ファイルのなかの命
令がユーザーが稼働システムに逃げることを許すならば
、彼はシステムをコントロールする稼働システムによっ
て使°用されるファイルを変えることができるであろう
、これは望ましいことではない・前以て決められた命令
がファイルのなかにあるがないかがユーザーが稼働シス
テム水準に逃げることができるかどうかを支配する。記
録の記入処理・サブ・インスベクター２４は記録の記入
ファイルを分析してユーザーをして操作水準に逃げるこ
とができる命令がファイルのなかにあるかどうかまたは
ユーザーが稼働システム水準に逃げることを禁じる他の
命令がないかどうかを決定する。

適用プログラム・サブ・インスベクター２３は実行でき
る映像スペシアリスト２５及びプログラム・コードスペ
シアリスト２６を通して、適用プログラムを検査しそれ
らがユーザーが他の場合であったら彼のコンピュータ・
システム内の操作での彼の特権の濫用であろう操作を行
なうことを許すかどうかを決定する。実行できる映像ス
ペシアリスト２５とプログラム・コード・スペシアリス
ト２６は異なった水準で通用プログラムを検査する。特
に、実行できる映像スペシアリスト２５は適用プログラ
ムの実行できる映像を調べて、それが適用プログラムを
実行しているユーザーがコンピュータ・システムの安全
保障を侵害する、即ち稼働システム・ファイル及び他の
敏感なファイルに近付く、変容する、除去する、及び／
（または）実行することを許すある操作を行なうことが
できるかどうかを決定する。プログラム・コード・スペ
シアリスト２６は適用プログラムの資源コードへの関連
で類似の機能を行なう。

２、特定部材の記載 Ａ、パスワード・インスベクター１１ 以上の背景で、それぞれの安全保障インスベクター１１
から１４までによって行なわれる操作のシーケンスが第
３図から第１０Ｂ図までを参照して詳細に記載されるで
あろう。これらの図はパスワード・インスベクター１１
によってそれの安全保障のチェックのなかで行なわれる
操作を示す。

以上に記されているように、パスワード・インスベクタ
ー１１は、パスワードを検査してそのいずれかが例えば
パスワードを選ぶ人と関連するとして容易に言い当てら
れることのできる成語要素から作られているかどうかを
決定する。パスワード・インスベクター１１は処理シス
テムとして作られ、このシステムは、チェックされるべ
き各パスワードに対して、望ましくない成語要素を順次
検査して、チェックされているパスワードがそのような
成語要素を含むかどうかを決定する。もしパスワード・
インスベクター１１が望ましくない成語要素をパスワー
ドのなかに見出すならば、それは共通作業記憶装置のな
かに入ってオペレーターに知らせる。

第３図を参照して、パスワード・インスベクター１１が
作業を始めると、それはパスワードがチェックされるべ
きアカウントを識別する（ステップ５０）。パスワード
・インスベクター１１の１つの特定の実施例は稼働シス
テムに特にアクセスを得またそれをコントロールするの
に使用されるアカウントに対するパスワードとの関連で
オペレーションをチェックする。１つの特定のコンピュ
ータ・システムでは、それらのアカウントはＳＹＳＴＥ
Ｍアカウント、ＦＩＥＬＤ、及び５ＹＳＴＥＳＴシステ
ムテスト・アカウントとして識別される。ＳＹＳＴＥＭ
アカウントはシステムのオペレーターによってコンピュ
ータ・システムのなかにプログラムを設置しまたその毎
日のオペレーションをＦＩＥＬＤのなかに維持するのに
使用されまた５ＹＳＴＥＳＴシステム・テスト・アカウ
ントは保守人員によってコンピュータ・システムを維持
するために使用されるため設けられる。それに加えて、
コンピュータ・システムはいくつかの特別の目的のアカ
ウントを含むことができ、そのアカウントに対しては、
大量記憶装置のなかに記憶されるデータのバック・アッ
プに使われるアカウント、コンピュータ・システムの緊
急停止に使用されるアカウント、及びネットワークのな
かのメツセージのルート指定をコントロールするための
プログラムに使われるアカウントを含むいくつかの目的
のアカウントでそれに対してアクセスを制限することが
望ましいいくつかのアカウントを含む。

パスワード・インスベクター１１はパスワード保護がテ
ストされるべきアカウントを識別したあと、パスワード
・インスベクター１１はパスワードがテストされるべき
でアカウントが位置される節を識別される（ステップ５
１）。もしコンピュータ・システムが複数の節を持つネ
ットワークであるなら、各々は代表的な場合ネットワー
クを識別するもの即ち名前を持つであろう。その名前は
ステップ５１において与えられる。１つの実施例では、
オペレーターは節の名前はステップ５１において与えら
れる。

ステップ５１に続いて、パスワード・インスベクター１
１はパスワードの一部として使用されるべきでない成語
要素の識別を得る。そのような成語要素のいくつかは決
定されたとして容易に言い当てることができるであろう
成語要素を決定するのにオペレーター及び他の人の経験
によって一部識別される。そのような成語要素は、例え
ば、節の名前または識別するもの、アカウントの名前、
ユーザーまたは′ｍ類の名前、ユーザーの家または仕事
の名前、会社または仕事場の名前または他の識別するも
の、及び電話番号、社会保険番号、またはバッジ・ナン
バーのような識別用ナンバーを含むことがある。この情
報はコンピュータ・システムのなかに維持されるかまた
はオペレーターによって与えられるであろう。

パスワード・インスベクター１１が望ましくないパスワ
ード成語要素を得たあと（ステップ５２）、それはステ
ップ（５３）に進み、そこでそれは望ましくない成語要
素の１つまたは１つ以上を使ってテスト用パスワードを
発生しくステップ５３）、また発生してパスワードを使
って識別された節にアカウントを開くことを試みる（ス
テップ５４）。

もしステップ５４のなかのオペレーションでコンピュー
タ・システムがネットワーク・システムであるならば、
パスワード・インスベクター１１は従来のやり方でネッ
トワークのうえに識別された節をしてアカウントを開く
ことができるようにしまたそれが要請する節に使えるよ
うにするであろう要請を伝達する。もしコンピュータ・
システムが単一システムであるなら、それはネットワー
ク・システムではなく、パスワード・インスベクター１
１は要請を稼働システムに伝達してアカウントを開く。

もしアカウントが要請に応えて開かれると、パスワード
・インスベクター１１は肯定的応答を得、また他の場合
には、否定的応答を得る。

ステップ５４に続いて、パスワード・インスベクター１
１はステップ５４に進んでステップ５３で発生させられ
たパスワードを使ってアカウントを開く要請に対する応
答をテストする。もしパスワード・インスベクター１１
が要請に対する応答が肯定的であると決定するならば、
それはアカウントとパスワード、及びコンピュータ・シ
ステムがネットワークであるならば、節の名前を共通作
業記憶装置１６のなかに記憶する（ステップ５６）。

ステップ５６に続いて、またはもし要請に対する応答が
否定的であるならばステップ５５に続いて、パスワード
・インスベクター１１はステップ５７に進んで、望まし
くない成語要素のすべてがすべてのあり得る組み合わせ
でテスト・オペレーションで使用されているかどうかを
決定する。もし使用されていないならば、パスワード・
インスベクター１１はステップ５３に返って望ましくな
い成語要素を使ってもう１つのパスワードを発生し再び
アカウントを開くことを試みる。すべての望ましくない
成語要素が起こり易い組み合わせで使用されたあと、パ
スワード・インスベクター１１はステップ５８に進んで
退出する。

Ｂ、ネットワーク・不定・アカウント・インスベクター
１２ ネットワークの不足アカウント・インスベクター１２は
第４Ａ図から第４Ｃ図までとの関連で記載され−るであ
ろう。これらの図はネットワークの不足アカウント・イ
ンスベクター１２によって行なわれる一連のオペレーシ
ョンの詳細を与えている。準備として、ネットワークの
不足アカウント・インスベクター１２は、１つのネット
ワーク節のうえにあって、もう１つの節のうえのネット
ワークの不足アカウントの安全保障検査を行なって１つ
の特定のネットワーク・コンピュータ・システムに関係
するいくつかの安全保障についての関心を表明する。

ネットワークによって相互に接続される複数個の節を含
む１つのコンピュータ・システムでは、ネットワークの
不足アカウントはネットワークのうえの通信を支持する
ために使用されるプログラムとファイルを含む。ネット
ワークの不足アカウントは他の節から、それらの節がア
カウント名とパスワードを与えることを要求することな
くその節にアクセスを持つことを許す。よって、ネット
ワークの不足アカウントに稼働システム・ファイルにア
クセスを持つことを許すに充分の特権を持つようネット
ワークの不足アカウントを与えることは望ましくない。

ネットワークの不足アカウント・インスベクター１２は
アカウントに与えられる特権をチェックすることによっ
てネットワークの不足アカウントを検査する。

もしネットワークの１つの節のところのユーザーが遠（
にある節をしてバッチを実行することができるようにす
るならば、即ち相互に作用しないプログラムが遠くにあ
る節のネットワークの不足アカウントのもとで実行され
ることができるようにするならば、関連する問題が起き
る。ネットワークの不足アカウント・インスベクター１
２が遠くにある節がそのネットワークの不足アカウント
のもとでバッチ・プログラムを実行するかどうかを決定
する。

もしネットワークの不足アカウントがシステム・オペレ
ーターまたは稼働システムそれに自身に通常予約される
特権を持ち例えば、もしシステムが仮想アドレスを使う
ならばページリングのマツプを設立するかまたは変容し
、装置名を変えることなどを行なうと、もう１つの関連
する問題が起きる。もしネットワークの不足アカウント
がユーザーが稼働システム・ファイル及びプログラムに
アクセスを持ち、それを実行するまたは変容することが
できるようにするに充分な特権を持つならば、ネットワ
ークのもう１つの節でのユーザーは、ネットワークの不
足アカウントのもとの節に命令を伝達することにより、
そのようなオペレーションを行なう。このようにして、
ネットワークの不足アカウントがそのもとで操作中のユ
ーザーをして稼働システム・ファイルにアクセスを持つ
こと、それを実行することまたは変容することができる
ようにする充分の特権を持たないことが望ましい。

さらに、ネットワークのなかの各節はネットワーク・サ
ービスを提供するいくつかの存在即ち目的物を持つ、１
つの目的物、ＴＡＳＫ目的物は２つのプログラムのあい
だで“仕事対仕事”通信を許す、この通信は、それが異
なる稼働システムのもとで行なわれるとしてもまたそれ
が異なるプログラム言語を使用しても起こり得る。もし
ＴＡＳＫ目的物がネットワークの不足アカウントのなか
で行なわれるならば、ユーザーは相互に作用するプログ
ラムを含むどのようなプログラムでも、彼のシステムの
うえの認可されたアカウントのなかにいなければならな
いということなしに遠くにあるシステムのうえで行なう
ことができる。

もう１つの目的物は、もし、例えば、ネットワークが複
数の局地名ネットワークに分割されているならば、ネッ
トワークを通ってメツセージのルート指定を容易にする
のに使用されるルート指定目的物である。１つの特定の
実施例では、ネットワークはネットワーク・インターフ
ェースによって相互に接続される複数個の局地ネットワ
ークを含むことができ、そのネットワークはまたネット
ワークのうえの節を含む。１つの局地ネットワークのう
えの節がもう１つの局地ネットワークのうえの節との通
信と要求するならば、通信は１つまたは１つ以上のイン
ターフェースを通じて行なわれ、またネットワークの形
態によっては、中間の局地ネットワークを通じて行なわ
れる。ルート指定目的物はユーザーが節を通る一般にネ
ットワークのインターフェースを通る通路を指定するこ
とを許してネットワークのうえでの通信を行ない、また
もしルート指定目的物が中間の節のうえでそれらの節の
ネットワークの不足アカウントのもとで実行されること
ができるならば、ユーザーの身許とソースの節はかくさ
れる。

最後に、１つのネットワーク・システムで、代表向場合
として節はファイルを記憶するのにディスク・ユニット
のような大量記憶装置を含む。そのコンピュータ・シス
テムでは、１つの節でのユーザーがＴＡＳＫ目的物との
関連で遠くにあるネットワークの不足アカウントのもと
て要請を行なうことによって削除されている遠くにある
節のファイルのすべてまたは少なくともいくつかの部分
の内容を検索することが可能である。

この背景で、ネットワークの不足アカウント・インスベ
クター１２のオペレーションは第４Ａ図と第４Ｃ図を参
照して記載されるであろう。第４Ａ図を参照して、ネッ
トワークの不足アカウント・インスベクター１２は第一
にそれが安全保障検査を行なうネットワークのうえの節
を識別する（ステップ７０）。この安全保障の検査は次
いでオペレーターによって使用されている節からの通信
用の遠くにある節となって安全保障の検査をコントロー
ルする。遠くにある節の識別はオペレーターによって与
えられるかまたは、その代りとして、もしネットワーク
の不足アカウント・インスベクター１２が定期的に節の
すべてを検査するならば、コンビエータ・システムは節
のリストを維持して１つの節の識別はそのリストによっ
て与えられるであろう。

ステップ７０において節の身許確認が行なわれたあと、
ネットワークの不足アカウント・インスベクター１２は
、都合のよいやり方で、それがネットワークの不足アカ
ウントを開く要請を発生してその節に伝達する（ステッ
プ７１）。１つの特定のネットワークのあるコンピュー
タ・システムでは、１つの節のうえのユーザーは、彼の
節をして遠くにある節に対する命令を従来のやり方でネ
ットワークのうえに伝達されるパスワードと共に発生す
ることができるようにすることによって遠くにある節の
うえのアカウントを開くことができるであろう。

遠くにある節のネットワークの不足アカウントが開かれ
たあと、ネットワークの不足アカウント・インスベクタ
ー１２は遠くにある節をしてバッチ・ジョブを受は入れ
て実行することができるようにするであろう命令を発生
し、またその命令をネットワークのうえで遠くにある節
に伝達するステップ７２）。開いたアカウントはネット
ワークの不足アカウントであるので、遠くにある節がこ
の点で命令を受は入れるならば、ネットワークの不足ア
カウントのもとでバッチ・ジョブを実行することが可能
であり、これは上記のように望ましくない。よって、も
し遠くにある節が伝達してネットワークの不足アカウン
ト・インスベクター１２が命令に対する肯定的応答を受
は入れるならば（ステップ７３）、ネットワークの不足
アカウント・インスベクター１２は共通作業記憶装置１
６に遠くにある節と安全保障の侵害をそれを確認する適
当なエントリを行なう　（ステップ７４）。

ステップ７４に続いて、またはもしネットワークの不足
アカウント・インスベクター１２が遠（にある節が遠く
にあるバッチ・ジョンを受は入れて実行することを要請
する命令に肯定的応答を受けなかったならばステップ７
３に続いて、ネットワークの不足アカウント・インスベ
クター１２はステップ７５に進む。ステップ７５では、
ネットワークの不足アカウント・インスベクター１２は
ＴＡＳＫ目的物が存在し能力があるかどうかを決定する
要請を遠くにある節に発生し伝達する。１つの特定の実
施例では、ネットワークの不足アカウント・インスベク
ター１２は目的物が存在するかどうかを決定することが
できまたネットワークのうえでそれに対する命令を伝達
することを可能にされている。もし肯定的な応答が受け
られると、通信は遠くにある節のネットワークの不足ア
カウントのもとにあるので、ＴＡＳＫ目的物はネットワ
ークの不足アカウントのもとで存在しまた能力を持たせ
られるであろう。これは前述の通り、望ましくない。

ネットワークの不足アカウント・インスベクター１２が
ステップ７５の命令を伝達してＴＡＳＫ目的物がネット
ワークの不足アカウントのなかに存在しまた能力を持た
せられるかどうかを決定したあと、ネットワークの不足
アカウント・インスベクター１２は遠くにある節からの
応答を持つ（ステップ７６）、もしネットワークの不足
アカウント・インスベクター１２がステップ７６で肯定
的応答を受けるならば、安全保障侵害が示されまたそれ
にはステップ７７に進んで共通作業記憶装置のなかにエ
ントリを行なう。ステップ７７に続いてまたはもし否定
的応答が受けられるならばステップ７６に続いて、ネッ
トワークの不足アカウント・インスベクター１２はステ
ップ８０に進む。

ステップ８０において、ネットワークの不足アカウント
・インスベクター１２はそれをしてルート指定の目的物
が存在するかどうかを決定することができるようにする
命令を発生しそれを遠くにある節に伝達する。ＴＡＳＫ
目的物との関連で記載したように、遠くにある節との通
信はネットワークの不足アカウントのなかにあるので、
肯定的な応答はルート指定の目的物がネットワークの不
足アカウントのなかに存在することを示す。−これは、
上記のように、望ましくない。

ネットワークの不足アカウント・インスペクタ−１２が
ルート指定目的物がネットワークの不足アカウントのな
かにあるかどうかを決定するためステップ８０で命令を
伝達したあと、ネットワークの不足アカウント・インス
ベクター１２は遠くにある節からの応答を持つ（ステッ
プ８１）。もしネットワークの不足アカウント・インス
ベクター１２がステップ８１で肯定的応答を受けるなら
ば、安全保障侵害が示されそれはステップ８２に進んで
共通作業記憶装置１６に適当なエントリを行なう。ステ
ップ８２に続いて、またはもし否定的応答がそのステッ
プで受けられるならばステップ８１に続いて、ネットワ
ークの不足アカウント・インスベクター１２はステップ
８３に進む。

ステップ８２に続いて、ネットワークの不足アカウント
・インスベクター１２は、もし肯定的応答がステップ７
６で受けられてＴＡＳＫ目的物が存在することを示しま
たネットワークの不足アカウントのなかに能力を与えら
れアクセスを持つことができるならば、いくつかの追加
の安全保障チェック作業を行なう、もし肯定的応答がス
テップ７６で受けられるならば、ネットワークの不足ア
カウント・インスベクター１２に遠くにある節をしてネ
ットワークの不足アカウントと関連するユーザーの身許
確認コードを返還させる香令を発生しそれを遠くにある
ノードに伝達する（ステップ８３）、ユーザーの身許確
認コードはネットワークの不足アカウントを使用するこ
とを認可されているユーザーを身許確認する。ユーザー
の身許確認コードを含む遠くの節から応答のメツセージ
を受けると、ネットワークの不足アカウント・インスベ
クター１２はコードは満足すべきであるかどうかを決定
しくステップ８４）またもしそうでなかったなら、安全
保障侵害を示す適当なエントリを共通作業記憶装置１６
のなかに行なう（ステップ８５）。

ステップ８５に続き、またはもし検索されたユーザーの
身許確認コードが満足であるならば及び肯定的応答がス
テップ７６で受けられるならばステップ８４に続き、ネ
ットワークの不足アカウント・インスベクター１２はス
テップ８６に進み、そこでそれは遠くにある節をしてネ
ットワークの不足アカウントによって所有される特権の
身許証明を返還することができるようにする命令メツセ
ージをネットワークのうえに発生して遠くにある節に伝
達する。ネットワークの不足アカウントの特権を身許証
明するコードを含んでいる遠くにある節からの応答メツ
セージを受けると、ネットワークの不足アカウント・イ
ンスペクク−１２は特権のいずれかが望ましくないかど
うか、即ちネットワークの不足アカウントのもとてのユ
ーザーに稼働システム・ファイルのいずれかにアクセス
を持つこと、それを実行することまたは変容することを
許す充分であるかどうかを決定する（ステップ８７）。

もしそうであるならば、ネットワークの不足アカウント
・インスベクター１２は共通作業記憶装置１６のなかに
安全保障侵害を示すエントリを行なう　（ステップ９０
）。

ステップ９０に続いて、またはもし遠くにある節のネッ
トワークの不足アカウントと関連する特権が満足すべき
であるならばステップ８７に続いて、ネットワークの不
足アカウント・インスベクター１２はステップ９１に進
む。ステップ９１では、もしステップ７６で肯定的応答
が受けられて、ＴＡＳＫ目的がネットワークの不足アカ
ウントのなかに存在して可能とされていることを示すな
らば、ネットワークの不足アカウント・インスベクター
１２は、遠くにある節をしてその大量記憶システムのま
えに消した部分からデータを検索したデータをメツセー
ジの形でネットワークのうえをメツセージの形でネット
ワークの不足アカウント・インスベクター１２に返還す
ることを試みることができるようにする命令を発生して
それをネットワークのうえを遠くにある節に伝達する。

もしネットワークの不足アカウント・インスベクター１
２が命令に応答してデータを受ける（ステップ９２）な
らばそれは共通作業記憶装置１６のなかに安全保障侵害
を示す適当なエントリを行なう（ステップ９３）。ステ
ップ９３に続いて、またはもし遠くにある節によってデ
ータが返還されないならばステップ９２に続いて、また
はもし遠くにある節によってデータが返還されないなら
ばステップ９２に続いて、ネットワークの不足アカウン
ト・インスベクター１２が存在し、その安全保障チェッ
ク作業を完了している。

Ｃ，システム・ファイル保護インスベクター１３システ
ム・ファイル保護インスベクター１３は第５図を参照し
て記載されるであろう。準備として、コンピュータ・シ
ステムの１つの特定の実施例ではファイル保護はオペレ
ータまたはユーザーが読み出し、書き込み、ファイルが
プログラムを含むならプログラムの実行、及び打ち消し
に対するアクセスの権利を、ファイルにアクセスを持つ
ことを望むユーザーが（ｉ）システム・オペレータまた
は稼働システム・プログラムがシステム・オペレータの
もとで処理されているかどうか、（ｉｉ　）ファイル設
立したオーナーまたはユーザーであるかどうか、（ｉｉ
ｉ　）オーナーに対するグループ名称であるかどうかに
よって制限されて、選ぶことを許すので、オーナーと関
係のあるグループのなかの他の人はオーナーと同じアク
セスを持つ権利を持ち、また／（あるいは）世界の大ま
たはシステムを使う如何なる人も同じアクセスを持つ権
利を持つことができるであろう。

ファイルのアクセスを持つ権利をそれと確認するには、
各ファイルは６ビツトのアクセス権利ベクトルで各４ビ
ツトの４個のニビルに分割されたものを含んでいる。各
４ビツト・ニビルはユーザーの名称と関連しており、ま
たニビルのなかの各ビットはファイルが呼び出されるこ
とのできる４つの道の１つ即ち１つのビットはファイル
が読み取られる。書き込まれる、実行される及び消され
るかどうかの１つと関連を持つ１つのビットである。こ
のようにして、もしファイルが稼働システムと関連する
ニビルのなかのファイルのアクセス権利ベクトルにおい
て稼働システムによって読み取られ、書き込まれ、実行
されまたは消されると、ファイルの読み出しと関連する
ビットはセットされまた書き込み、実行及びファイルの
消去と関連するビットは再セットされる。

コンピュータ・システムでは、少なくとも稼働システム
・ファイルが“世界”の人、即ちコンピュータ・システ
ムのどのユーザーによってアクセスを持たれることは望
ましい。１つの実施例では、これらのファイルは、例え
ば、稼働システムの管理に関係しており、稼働システム
機能を与え、保守と診断を行なう機能を維持し、等々を
与える。

そして、もしこれらのファイルのいずれかがコンピュー
タ・システムのどのようなユーザーによってもアクセス
を持たれることができるならば、望ましくない条件が存
在する。よって、システム・ファイル・インスベクター
１３はファイルを調べてそのアクセス権利ベクトルを検
索して、ファイルのアクセス権利の名称が不当であるか
どうかを決定する。

特定の場合、第５図を参照して、もしコンピュータ・シ
ステムがネットワークによって相互に接続された複数の
節を含むならば、システム・ファイル保護インスベクタ
ー１３は始めにそれが安全保障の検査を行なう筈の節を
それと識別する（ステップ１００）。ネットワークの不
足アカウント・インスベクク−１２の場合と同じように
、節はオペレーターによってそれと識別されるかまたは
その代りに、もし節が自動的に定期的に検査されるなら
ば節のリストによってそれと識別されることができる０
節がそれと識別されたあと、システム・ファイル保護イ
ンスベクター１３は検査すべき節のところのファイルを
それと識別する（ステップ１０１）。検査されるべきフ
ァイルの身許を確認することはまたオペレーターによっ
て、検査されるべき遠くにある節によって与えられるか
または各節のうえのファイルが均一ならば、システム・
ファイル・インスベクター１３のなかに含まれるかまた
は一部を形成するであろう。

システム・ファイル・インスベクター１３が遠くにある
節とそれが安全保障の検査を行なうべきファイルの識別
を得たあとで、それはステップ１０２に進む。ステップ
１０２では、システム・ファイル・インスベクター１３
は調べる作業を行なう、即ちそれは１つのメツセージを
発生してそれを遠くにある節に伝達し、このメツセージ
は遠くにある節がメツセージのなかで身許を確認されて
いるファイルのアクセス権利を返すことができるように
する命令を含んでいる。メツセージに応答して、遠くに
ある節は身許が分ったファイルのアクセス権利ベクトル
を得てアクセス権利ベクトルを含む。応答メツセージを
発生しまた応答メツセージをシステム・ファイル保護イ
ンスベクター１３に伝達する。

システム・ファイル保護インスベクター１３が遠くにあ
る節からファイルのアクセス権利ベクトルを受けたあと
、それはファイルと関連するアクセス権利が満足すべき
であるか不当であるかを決定する（ステップ１０３）。

特に、システム・ファイル保護インスベクター１３が世
界の人がアクセスを持つことができるかどうかと関連す
るアクセス権利ベクトルのニブルをチェッ゛りし、また
もしニブルのなかのいずれかのビットのいずれかがセッ
トされるとファイルのアクセス特権水準が不当であるこ
とを決定する。もし、ステップ１０３において、システ
ム・ファイル保護インスペクター１３がファイルのアク
セス特権水準が不当であると決定するならば、それはフ
ァイルの身許を確認しまた安全保障侵害を示す適当なエ
ントリを共通作業記憶装置１６のなかに行なう（ステッ
プ１０４）、そこでシステム・ファイル保護インスベク
ター１３は遠（にある節のうえのファイルのすべてが調
べられたかどうかを決定し、もしそうでなければ、次の
ファイルを調べるためステップ１０２に戻る。遠くにあ
る節のうえのファイルのすべてが調べられたならば、シ
ステム・ファイル保護インスベクター１３は存在する（
ステップ１０６）。

第５図に関連した上記のようにシステム・ファイル保護
インスベクター１３はネットワーク・コンビエータ・シ
ステムのなかで稼働する。しかしながら、システム・フ
ァイル保護インスベクター１３はまたネットワークでな
いコンピュータ・システムのなかでもまた有利に稼働す
ることが評価されるであろう、その場合、システム・フ
ァイル保護インスベクター１３は遠くにある節とメツセ
ージを交換することによってファイルのアクセス権利ベ
クトルを得る代りに、それを単一コンピュータ・システ
ムから直接得てそれからベクトルが安全保障の侵害を示
すかどうかを決定する。

Ｄ、ユーザー適用インスベクター１４ 以上において記載した安全保障インスベクター、即ちパ
スワード・インスベクター１１、ネットワークの不足ア
カウント・インスベクター１２、及びシステム・ファイ
ル保護インスベクター１３はすべて処理に基礎を置くも
の、即ちインスベクターが、即ちパスワード・インスベ
クター１１、ネットワークの不足アカウント・インスベ
クター１２、及びシステム・ファイル保護インスベクタ
−１３はすべて処理に基礎を置くもの、即ちインスベク
ターが、安全保障侵害を示す前板て決められた条件の存
在を相互にチェックすることによって安全保障の検査を
行なった。他の一方、ユーザー適用インスベクター１４
では、サブ・インスベクターの数個、即ちキャブテイブ
・アカウント・サブ・インスベクター２１、ネットワー
ク通信すブインスベクター２２及び適用プログラム・サ
ブ・インスベクター２３のなかのスペシアリスト２５と
２６が規則に基づいている、即ちサブ・インスベクター
は、ユーザー・インスベクター・コントローラ２０によ
って能力を与えられると、規則によってそれと確認され
る条件が侵害されているかどうかを決定しまた共通作業
記憶装置１６のなかの条件を識別し、一方記録の記入手
続きサブ・インスベクター２４は手続きに基づいている
。

種々のサブ・インスベクター２１から２４は、スベシア
リスト２５を含んで、第６図から第１０Ｂ図までを参照
して記載されるであろう。

（ｉ）キャブティブ・アカウント・サブ・インスベクタ
ー２１ キャプティブ・アカウント・サブインスベクター２１は
第６図を参照して記載されるであろう。

準備として、１つの特定のコンピュータ・システムがキ
ャプティブ・アカウントを認められる１つのタイプのア
カウントを与え、それは次いで、コンピュータ・システ
ムの残りのうえの適用プログラムの実行で誤りの影響を
最小にしまた次いで適用プログラムの実行を行なうため
他のアカウント内の誤りの影響を最小にするため適用プ
ログラムを実行するのに制限された環境を与える。この
ようにして、キャプティプ・アカウントは、例えば、限
られた技楠のユーザーが命令のエントリの誤りに対して
警戒する一方日常の仕事を行なうことを許すであろう。

キャプティブ・アカウントはまたほとんどスーパーバイ
ザープログラムなしに実行されるべきバッチ稼働に対し
て設けられるであろう。何故ならば、稼働のなかの誤り
がコンピュータ・システムの他のオペレーションにそう
でない場合悪い影響を与えることがあるからである。そ
れに加えて、キャプティブ・アカウントはまたプログラ
ム、例えば財務プログラムまたは給与プログラムに設け
られることができる。コンピュータ・システムへのアク
セスを制限することはキャブティブ・アカウントに対す
るアクセスを得るのに使用される特殊のロング・イン命
令手続きによって達成される。

キャプティブ・アカウントへのアクセスを制限すること
は記録の記入と関連して制限をアカウントに与えまたア
カウント内のユーザーによって行なわれることがある機
能と関係する刻限を与えることによって達成されること
ができる。記録の記入の制限は、例えば、ある選ばれた
時間まで種々のタイプのユーザーによるアクセスを制限
するであろう。よって、例えば、局地的ターミナルにあ
るユーザーはある時間のあいだキャプティブ・アカウン
トにア゛クセスを持つことができ、ネットワークのター
ミナルにある第２のユーザーは他の時間のあいだそれに
アクセスを持つことができ、また第３のユーザーは第３
の組の時間のあいだアカウントのなかのバッチ・プログ
ラムを手続きすることができるのである。制限はキャプ
ティブ・アカウントに対しては前記のユーザーを承認フ
ァイルのなかに含まれているのであろう。

同じようにして、キャプティブ・アカウントを行なうこ
とのできる機能はアカウントに対するユーザー承認ファ
イルのなかにフラッグをセットすることによって制限さ
れる。アカウントに対するユーザー承認ファイルのなか
の種々のフラグはキャプティブ・アカウントとしてアカ
ウントの識別するため及び一連の命令の使用またはロン
グ・イン・オペレーションから逃げることを許すコント
ロールの連続の使用を禁じまたは稼働システムへの適用
プログラムの使用を禁じるために使用される。他のフラ
ッグはあるシステム情報を配達することまたはユーザー
への手紙のようなことをコントロールしまたパスワード
の使用をコントロールするのに使用される。それに加え
て、他のフラッグがアカウントのもとで適用プログラム
によるプログラム実行特にサブ・プロセスの適用プログ
ラムによる発生をコントロールするのに使用されること
ができる。

以上の記載のように、キャプティブ・アカウント・サブ
・インスベクター２１は規則に基づいており、第６図は
２つの法則の構造を示す。第６図の部分６−１は１つの
規則を表わし、その規則では、その適用のあいだ、規則
の前書きを満足させることは安全保障の侵害を示し１．
それは共通作業記憶装置のなかに注目される。他の一方
、部分６−２は１つの規則を表わし、その規則では、規
則の前書きを満足させることは潜在的な安全保障の侵害
の証拠を示し、それはまた共通作業記憶装置１６のなか
に注目される。規則の適用に応じた証拠を表わすことに
応答して、キャプティブ・アカウント・サブ・インスベ
クター２１．またはその代りに、キャプティブ・アカウ
ント・サブ・インスベクター２１による処理のあとのユ
ーザー・インスベクター・コントローラ２０は安全保障
の侵害が示されるかどうかを決定するテストをさらに行
なうであろう。その代りとして、キャプティプ・アカウ
ント・サブ・インスベクター２１はもしそれが潜在的安
全保障の侵害を示す前以て決められた数の規則の前書き
が満足させられることを見出すなら、安全保障侵害が存
在することを決定しまたそれを共通作業記憶装置１６の
なかに記録する。

第６図を、特に第６図の部分６−１を参照して、もしア
カウント内の適用プログラムがキャプティブ・アカウン
トを要求しまたユーザー承認のファイルのなかのアカウ
ントに対するエントリにキャブティプ・アカウント・フ
ラグがセントされないならば安全保障侵害が存在するこ
とを決定する規則が示される。安全保障侵害の理由は、
部分６−１に示されるように、もしキャプティブ・アカ
ウント・フラグがセットされないならば、ユーザーは既
知のキーストローク・コントロール・シーケンスによっ
て稼働システムのスーパーバイザー・プログラムのレベ
ルにアクセスを持つことがあるということである。

安全保障チェック・オペレーションのあいだ、キャプテ
ィブ・アカウント・サブインスベクター２１が何等かの
規則を適用するまえに、オペレーターは始めにキャプテ
ィプ・アカウント・サブ・インスベクター２１に対して
それが安全保障の検査を行なうことになっている適用プ
ログラムをそれとｖａ認する。それに加えて、キャプテ
ィプ・アカウント・サブ・インスベクター２工は適用プ
ログラムが、例えば、キャプティブ・アカウントを要求
するかどうかについての表明をオペレーターから得る。

否定的な応答に答えて、第６−１図に示す規則は適用さ
れない。何故ならば、前書きの１つ、即ち適用はキャブ
ティプ・アカウントを要求する。という前書きは満足さ
れないからである。

他の一方、適用はキャプティブ・アカウントを要求する
というオペレーターからの肯定的応答に答えて、キャプ
ティブ・アカウント・サブインスベクター２１はキャプ
ティプ・アカウント・フラグがアブリケーシッン・プロ
グラムのアカウントのなかにセットされているかどうか
を決定する。もしキャブティブ・アカウント・フラグが
セットされるなら、そのときはキャプティプ・アカウン
ト・サブ・インスベクター２１は次の規則に進むが、も
しキャプティブ・アカウント・フラグがセットされない
ならキャプティブ・アカウント・サブ・インスベクター
２１は次の規則に進むまえに共通作業記憶装置のなかに
安全保障侵害を記憶する。

キャブティブ・アカウント・サブ・インスペククー２１
は部分６−２に示された規則と関連する類似のオペレー
ションを行なう。特に、キャプティブ・アカウント・イ
ンスベクター２１はオペレーターから適用のバッチ使用
が許可されるべきでないかどうかについての表明を得る
。否定的応答に答えて、第６−１図に示される規則は適
用されない。何故ならば前書きの１つ、即ち適用がバッ
チ・ジップを許可しないという前書きが満足されないか
らである。他の一方、バッチ・ジョブは許可されるべき
でないことを示すオペレーターからの肯定的応答に答え
て、キャプティブ・アカウント・サブ・インスベクター
２１は適用プログラムのアカウント内のバッチ・フラグ
の条件を決定する。もしバッチ・フラグがバッチ・ジョ
ブが許可されないことを示すならば、キャプティブ・ア
カウント・サプインスベクター２１は次の規則に進むが
、しかしもしバッチ・フラグがバッチ・ジョブが許され
ることを示すならば、キャプティブ・アカウント・サブ
・インスベクター２１は次の規則に進むまえに共通作業
記憶装置１６のなかの潜在的安全保障侵害の証明の表明
を記憶させる。

第６図に僅か２つの規則だけが示されるが、キャプティ
ブ・アカウント・サプインスベクター２１は以上に記載
したように他の制限に対して同じ規則を含むであろう。

（ｉｉ）ネットワーク通信サブインスベクター２２ネッ
トワーク通信サブインスベクター２２は第７図を参照し
て記載されるであろう。以上に記載したように、ネット
ワーク通信サブ・インスベクター２２は２つの潜在的安
全保障の侵害を識別するため、即ち適用プログラムがま
えに敏感であると確認されているネットワークのうえの
平易な文章で書いた情報を移行させる、即ち伝達するか
受は取るかどうか及び適用プログラムがパスワードまた
はアクセス・コントロールのストリングを移行させるか
どうかを識別するためネットワークの態様を検査する。

アクセス・コントロール・ストリングはユーザーの名前
とパスワードを含みまたプログラムと情報にアクセスを
持つことを許すのに使用されるストリングである。

もし適用プログラムが例えば人事、給与及びアカウント
情報をネットワークのうえに平易な文章で含む敏感な情
報を移行させるならば２つの問題が起きるであろう。１
つの問題は、ネットワークのうえのもう１つの節が平易
な文章で移行させられている情報を横取りして使用する
ということである。それに加えて、もう１つの節は虚偽
の情報を含むメツセージを発しそれは次いで適用プログ
ラムによって使用される。暗号化する技術は情報を暗号
化するのに使用される結果情報は平易な文章で移行され
ない。同じように、もし適用プログラムがネットワーク
のうえにアクセス・コントロール・ストリングを移行さ
せるならば、もう１つの節はそれを横取りしてそれによ
って保護されているプログラムと情報にアクセスを持つ
であろう。

この背景で、ネットワーク・コミュニケーション・サブ
・インスベクター２２は第７図を参照して記載されるで
あろう。キャプティブ・アカウント・サブインスベクタ
ー２１のように、ネットワーク通信サブインスベクター
２２は規則に基づいており、また第７図は２つの部分７
−１と７−２に２つの規則の構造を示す。第７図の部分
７−１に示される規則は、適用プログラムがネットワー
クのうえを平易な文章でデータを移行させるかどうかを
決定するのに適用され、また部分７−２に示される規則
は適用プログラムがアクセス・コントロール・ストリン
グまたはパスワードをネットワークのうえで移行させる
かどうかを決定するのに適用される。

より特定して言えば、ネットワーク通信サブ・インスベ
クター２２を始め開始するとき、オペレーターがチェッ
クされるべき適用プログラムを確認しまた適用プログラ
ムによって使用される情報が敏感であるかどうかを示す
。ネットワーク通信すプインスベクター２２は適用プロ
グラムのコードを通して探してネットワークのうえの移
行を行なう稼働システムへの呼びかけを行なうコード・
シーケンスを見出す。そのようなコード・シーケンスの
位置が決まると、ネットワーク通信サブ・インスベクタ
ー２２は適用プログラムからコード・シーケンスが情報
またはアクセス・コントロール・ストリングの移行を行
なうかどうかを決定する。

もしコード・シーケンスが情報の移行を行なうならば、
ネットワーク通信サブインスベクター２２は第７図の部
分７−１のなかに示される規則を適用する。ネットワー
ク通信サブ・インスベクター２２はさらに適用プログラ
ムのコードを通じて探゛してデータが平易な文章で移行
させられるかどうかを決定する。規則の前書きのすべて
が満足させられると、即ち、もしコード・シーケンスが
ネットワークのうえで情報が敏感であるなら、及びもし
データが平易な文章で書かれている、即ち暗号化されて
いない形にあるならば、部分７−１に示す規則の前書き
は満足させられる。その結果として、規則は安全保障侵
害が存在することを結論として出しまたネットワーク通
信サブ・インスベクター２２は共通作業記憶装置１６の
なかに安全保障侵害の表明を挿入する。

他の一方、もしコード・シーケンスがアクセス・コント
ロール・ストリングの移行を行なうならば、ネットワー
ク通信サブインスベクター２２は第７図の部分７−２に
示される規則を適用する。

部分７−２のなかに示される規則の唯一の前書きはコー
ド・シーケンスがアクセス・コントロール・ストリング
の移行を行なうことを見出すことを要求するので、規則
は安全保障の侵害が存在することを結論してネットワー
ク通信サプインスベクター２２は安全保障侵害の表明を
共通作業記憶装置１６のなかに挿入する。

（ｉｉｉ　）適用プログラム・サブ・インスベクター以
上の通り、適用プログラム・サプインスベクター２３は
２つの安全保障スペシアリスト、即ち第８図を参照して
この図に記載される実行可能なイメージ・スペシアリス
ト２５及び第９図を参照してこの図に記載されるプログ
ラム・コード・スペシアリスト２６を使う、適用プログ
ラム・サブ・インスベクター２３は２つのスペシアリス
トの適用をコントロールしまた協調させ、２つのスペシ
アリストは次いでユーザー適用インスベクター・コント
ローラ２０のコントロールのもとにある。

（ａ）　　実行できるイメージ・スペシアリスト実行で
きるイメージ・スペシアリスト２５は第８図を参照して
記載される。上記の通り、実行できるイメージ・スペシ
アリスト２５は実行できるイメージ、即ち編集され、リ
ンクされまた実行できる適用プログラムを調べて安全保
障侵害を代表するやり方で使用できる機能を確定する。

１つのコンピュータ・システムは稼働システムによって
与えられるいろいろの機能へのアクセスを持つことをコ
ントロールする階層に配置されている複数の特権水準を
与える。増大する水準では、コンピュータ・システムの
オペレーションに対して増大して決定的な重要性を持つ
機能はアクセスされることができる。

適用の機能は、増大する抽象化の機能は階層のなかでよ
り高い水準に位置して階層に配列されることができるこ
とは評価されるであろう。例えば、適用はいくつかの異
なるエディタ・プログラムの１つを使用する言語を処理
する能力を与え、各エディター・プログラムは名前によ
って身許を確かめられる。抽象の１つの水準では、機能
はエディター・プログラムの名前によって身許が確かめ
られることができ、またより抽象の高い水準では機能は
グループ機能を身許確認“エディター”によってそれと
確認されるであろう。

上記の通り、実行可能なイメージ・スペシアリスト２５
は規則に基づいている。上記の機能階層に基づいて、実
行可能なイメージ・スベシアリストにいくつかのタイプ
の規則を提供し、各々は機能階層のなかの水準に関して
いる。規則は、適用の機能、安全保障の侵害を示す実行
可能なイメージの実行環境と要求のなかにあるであろう
条件の組み合わせを確認するため選ばれる。第８図は実
行可能なイメージ・スペシアリスト２５のなかの代表的
規則の構造を示す。第８図を参照して、規則はい（つか
の部分を持つ前書きを含む。

第８図に示される規則に関して、規則の１つの部分（第
８図で“Ａ”で示される）は、実行可能なイメージによ
って表わされる適用プログラムのもとての設置されたま
たは承認された特権が選ばれた値を持つ特権水準ＰＲＩ
Ｖ、ＶＡＬを持つならば満足される。第２の部分（第８
図において“Ｂ”によって示される）は、もし実行可能
なイメージによっ゛て表わされる適用プログラムが前以
て決められた機能ＦＵＮＣ，ＶＡＬを持つならば満足さ
せられる。第３の部分（第８図において“Ｃ″で示され
る）は、もし適用プログラムがユーザーが、適用プログ
ラムを通じて、システムのなかのある物例えばファイル
名、帳簿名などに対してコントロールをしまたは選ぶこ
とを許すならば満足させられる。もし規則の前書きのす
べてが、満足させられると、即ちもし実行可能なイメー
ジ・スペシアリスト２５が第８図に示す部分Ａから部分
Ｃまでのすべてが真実であるならば、規則の結論は、安
全保障侵害の条件が存在するということであり、また実
行可能なイメージ専門家２５は条件ＶＩＤＬ、ＬＡＬの
確認を共通作業記憶装置１６のなかに記録する。

安全保障侵害の条件の存在を確認するため特別の規則の
なかに使用される特定の前書き及びその部分は実行可能
なイメージ専門家２５が使用されている特別のコンピュ
ータ・システムに依存するであろう。一般に、前言きは
、例えば実行可能なイメージによって行なわれるかまた
は呼び出されることのできる機能または複数の機能を確
保することを含む。それに加えて、前さきは特権水準を
含んで実行できるイメージの環境を確かにするであろう
。さらに、前書きは適用の安全上の要求事項例えば適用
がキャブティブであるまたは他のやり方でコントロール
されているかどうかを含むことがある。前書きはまたプ
ログラムがどのようにコントロールされるかについての
言及を含むことがある。

前書きは、ユーザーが、適用プログラムを通じて、稼働
システムのオペレーションに対して重要であるファイル
を適用プログラムを通じて創変容しまたは取り消すこと
のできる条件を明確にするものでなくてはならない。こ
のようにして、１つの実施例は、もしくＡ）放置された
または承認された特権がファイルへのアクセスを調整す
る保護コードベクトルのバイパスを許すならば、（Ｂ）
適用プログラムがユーザーがファイルを読み取ることを
許すならば、及び（Ｃ）適用プログラムがファイル名称
がユーザーによって指定されることを許すかまたはそれ
がユーザーによって変容されることのできる論理的名前
を使うならば安全保障侵害の条件を確認する規則を含む
。この条件はユーザーがシステムのユーザー承認ファイ
ルを含むどのようなファイルにもアクセスを行なう能力
を持つ結果となり、これは望ましくない。他の規則もま
た設けられ、それはユーザーの承認ファイルが適用プロ
グラムによってまたは適用プログラムが発生させること
のできる分離した手続きによって消されるまたは変容さ
れることから保護する。

（ｂｌ　　プログラム・コード・スベシアリスト２６プ
ログラム・コード・スベシアリスト２６は第９図を参照
して記載されるであろう。以上において述べたように、
プログラム・コード・スペシアリスト２６は適用プログ
ラムのソース・コードを調べて適用プログラムのアクセ
スとリソースの使用の可能性をコントロールし、ソース
・コードのなかに確認されるコントロールの目的物のあ
いだの関係が安全保障侵害の条件を構成するかどうかを
決定する。プログラム・コード・スペシアリスト２６は
、実行可能なイメージ・スペシアリスト２５と同様に、
規則に基づいており、規則の前書きはコントロールの目
的物と安全保障侵害の条件を構成する可能性ありと決定
される関係を確定する。

第９図はプログラム・コード・スペシアリスト２６のオ
ペレーションを図示するフロー図である。

第９図を参照して、プログラム・コード・スペシアリス
ト２６は始め適用プログラムの身許確認を得て（ステッ
プ１１０）適用プログラムに対するソースコードが使用
できるかどうかを決定する（ステップ１１１）。もし使
用できないならば、プログラム・コード・スベシアリス
ト２６は終了（ステップ１１２）するが、もしソース、
コードが使用できるならば、それは手続きのオペレーシ
ョンをソース・コードと接続されて行ないそのなかに確
認されるコントロール目的物を確認しくステップ１１３
）また確認されたコントロール目的物のあいだの関係を
確認する（ステップ１１４）。

そのあと（ステップ１１５）プログラム・コード・スペ
シアリスト２６はそれが維持する規則を使っていずれか
の安全保障侵害の条件が存在するがどうかを決定し、も
し存在するなら、それらの身許確認を共通の作業記憶装
置１６のなかに記録する。

（ｉｖ）記録の記入手続きサブ・インスベクター記録の
記入手続きサブ・インスベクター２４は第１Ｏ図を参照
して記載されるであろう。準備として、従来通りに、コ
ンピュータ・システムはユーザー期間の始めにおいて実
行される一連の記録の記入命令を含む記録の記入ファイ
ルを与える。

記録の記人命令手続きはいくつかの機能を行ない、それ
はシンボルの定義、論理的名前の割当て、歓迎の表示、
ある地位の人及び他のメツセージ、ユーザーのターミナ
ルの特性の設立、ある前以て定義された機能を行なうタ
ーミナル・キーの定義、及び適用プログラムのイメージ
の実行の開始を含む。

記録の記入手続きとの関連していくつかの安全保障問題
が起きることができ、それはユーザーが稼働システムの
スーパーバイザー・プログラムの水準に逃げることから
禁じることが望ましいことに主として関係している。ス
ーパーバイザー・プログラムの水準に逃げることはコン
ピュータ・システムの全体に記憶されている適用及び他
の情報にアクセスを持つことを許す。１つの問題は、フ
ァイルのなかに手続き記憶されているので、ファイルに
アクセスを持つことがシステム・オペレーターに限定さ
れて、かくしてユーザーによるアクセスを除去しない限
り、ユーザーが逃げを許すようファイルを変容すること
が可能である。それに加えて、記録の記入手続きのなか
の命令が適当に選ばれない限り、ユーザーが従来の逃げ
のキーストローク手続きによって、記録の記入手続きを
行なっているあいだにシステムの誤りが発見されるかま
たはある他の異常条件が発見されるときスーパーバイザ
ー・プログラムのレベルに逃げることが可能であろう。

記録の記入手続きサブ・インスベクター２４は手続きに
基づいており記録の記入手続きファイルのなかの命令を
分析して安全保障の侵害を提供する命令を発見する。記
録の記入手続きサブ・インスベクター２４によって行な
われる一連のオペレーションは第１０Ａ図と第１０Ｂ図
に示されている。第１０Ａ図を参照して、記録の記入手
続きサブ・インスベクター２４は始めオペレーターから
記録の記入手続きの確認を得、この手続きのファイルの
うえにそれは安全保障のチェックのオペレーションを行
ない（ステップ１２０）、また確認された記録の記入手
続きファイルを検索する（ステップ１２１）。それに加
えて、記録の記入手続きサブ・インスベクター２４は記
録の記入手続きファイルと関連する保護ベクトル・コー
ドをユーザー承認ファイルから検索して、唯システム・
オペレーターだけが記録の記入手続きファイルを変容で
きることを証明する（ステップ１２２）。もし保護コー
ド・ベクトルがシステム・オペレーター以外の人が記録
の記入手続きファイルを変容できることを示すならば、
安全保障の侵害が存在し、それは共通作業記憶装置１６
のなかに記録される。

ステップ１２２に続いて、記録の記入手続きサブインス
ベクター２４は他の安全保障侵害のため記録の記入手続
きファイルの分析を始める。記録の記入手続きサブ・イ
ンスベクター２４はステップ１２３に進んで異常な記録
の記入手続きの終結が逃げのキーストローク・シーケン
スのユーザーによってエントリによって行なわれるかど
うかを決定する。もしそのような終結が行なわれること
ができるならば、ユーザーはロング・イン手続きファイ
ルから稼働システムのスーパーバイザー・プログラムの
水準に逃げることができるであろう。

もし逃げのキーストロークシーケンス（ステップ１２４
）があるなら、記録の記入手続きサブ・インスベクター
２４は共通作業記憶装置１６のなかの安全保障侵害条件
の存在を記録する（ステップ１２５）。

ステップ１２５に続き、またはもしスーパーバイザー・
プログラムへの逃げが逃げキーストロークシーケンスに
よって行なわれないならばステップ１２４に続いて、記
録の記入手続きサブ・インスベクター２４はステップ１
２６に進み、ステップ１２６では、それは記録の記入手
続きファイルのなかの命令をチェックして例えばシステ
ムの誤りの発見によって記録の記入手続きの異常な終結
が稼働システムのスーパーバイザー・プログラムの水準
への逃げに結果としてなるかどうかを決定する。もしそ
うであれば（ステップ１２７）、記録の記入手続きサブ
インスベクター２４は共通作業記憶装置１６のなかに安
全保障侵害の存在を記録する（ステップ１３０）’。

ステップ１３０に続いて、またはスーパーバイザー・プ
ログラムへの逃げがシステムの誤りの発見があって達成
されないならばステップ１２７に続いて、記録の記入手
続きサブインスベクター２４はステップ１３１に進み、
ステップ１３１ではそれは記録の記入手続きファイルの
なかの命令をチェックして稼働システムのスーパーバイ
ザー・プログラムの水準まで逃げることが命令の実行の
あいだユーザーによってキーストロークのエントリによ
って行なわれることができるかどうかを決定する。もし
そうであれば、記録の記人手続きサブ・インスベクター
２４は安全保障の侵害の条件の存在を共通作業記憶装置
１６のなかに記録する（ステップ１３２）。

ステップ１３２に続き、または記録の記入手続きサブ・
インスベクター２４がスーパーバイザー・プログラムの
水準へ逃げることは命令を実行しているあいだユーザー
によってキーストロークのエントリによって達成される
ことができないと決定するならばステップ１３１に続い
て、記録の記入手続きサブ・インスベクター２４はステ
ップ１３３に進み、このステップではそれは記録の記入
手続きファイルがユーザーに、ユーザーが任意のファイ
ルを読み出し、書き込むことを許すテキスト・エディタ
ーへのアクセスをユーザーに与えるかどうかを決定する
。そのようなテキスト・エディターを使用して、ユーザ
ーは記録の記入ファイルと関連する保護コードベクトル
の条件に関係なく記録の記入手続きファイルを変容する
ことができるであろう。もし記録の記入手続きサブ・イ
ンスベクター２４が記録の記入手続きファイルはユーザ
ーにそのようなテキスト・エディターにアクセスを与え
る決定をするなら（ステップ１３４）〜記録の記人手続
きサブインスベクター２４は安全保障侵害の存在を共通
作業記憶装置１６のなかに記録する。記録の記入手続き
サブ・インスベクター２４は、ステップ１３５に続きま
たはもしステップ１３４がステップ１３４のなかでユー
ザーは彼をして任意のファイルを読み出しまた書き込む
ことができるようにするテキスト・エディターへのアク
セスを与えられないならステップ１３４に続いて終了す
る。

以上の記載は本発明の特定の実施例に限定された。しか
しながら、本発明に変化や変容が本発明の利点のあるも
のまたはすべてを得て行なわれることは明らかであろう
。よって本発明の真の精神と範囲のなかに来るすべての
そのような変化と変容に触れることは本発明の特許請求
の範囲の目的である。

【図面の簡単な説明】

第１図は新しい安全保障システムの機能を示すブロック
図、 第２図は第１図に図示される安全保障システムの一部の
詳細な機能図、 第３図から第１０Ｂ図までは第１図と第２図に示される
安全保障システムの操作の詳細を示す図である。 工０・・・・・・Ｘ５ＡＦＥコントローラ、１１・・・
・・・パスワード・インスベクター、工２・・・・・・
ＤＥＣネット・不足アカウント・インスベクター、 １３・・・・・・システム・ファイル保護インスベクタ
ー、１４・・・・・・ユーザー適用インスベクター、１
５・・・・・・ＵＳＥＲインターフェース、１６・・・
・・・Ｘ５ＡＦＥ共通作業記憶装置、１７・・・・・・
Ｘ５ＡＦＥ分析。 ・々 ｏ　　　　　　＋１　　　　　　へ トトト ｖ）＋ｅＰ０　　　　　　　ロ　　　　　ト　　　　０
１−　　　　　トｔ’−ｔ−ｔ−■ −９’）ｉｌ− ０）　　　　　　　　Ｏ）　　　　　　　　Ｃｏ　　　
　　　　　ｉり　　　　　　　　（ｒｌＦｉｇ−４Ｃ ９今終了 １ｇ−５ システムファイル保護インスベクター １０６終了 、！→ ト Ｆｉｇ−８ 実行可能なイメージ・スベシアリスト 前書き：もし くＡ）設立された／承認された特権−（ＰＲＩＶ、　　
ＶＡＬ）−また− （Ｂ）適用の機能を含む＝　（ＦＵＮＣ，ＶＡＬ）−ま
た− 拮論：そのときは ＊共通ず仁鱈己憶装置のなかにあ安全保障侵害が記録さ
れ一侵害（ＶＩＯＬ、　　ＶＡＬ） 図面の浄書（内容に変更なし） Ｆ　　ｉ　　ｇ　−９ プログラム・コードスペシャリスト １１４　　　コントロールの目的物の中での関係を確認
する１１５　　　何れかの関係が安全保障の侵害を構成
するかどうかを決定するフ９ら− ロ＝の浄ご内容に変更なし） Ｆ　　ｉ　　ｇ　−１０Ｂ （Ａ） 手続補正書（方式） ％式％ １、事件の表示　　　平成１年特許願第３８１４７号３
、補正をする者 事件との関係　　出願人 ４、代理人 住　所　東京都千代田区丸の内３丁目３番１号電話（代
）　２０−８７４１ 氏　名　（５９９５）弁理士　中　村　　　　稔１ｚ゛
、・覧ジノ

Claims (1)

1. 【特許請求の範囲】 １、コンピュータ・システムと関係した使用に対する安
   全保障システムにおいて、該システムはＡ、情報記憶用
   の複数個の記憶位置を持つ共通記憶装置、 Ｂ、安全保障侵物件の存在を確認するため前記デジタル
   ・データ処理システムとの関連において前以て決められ
   た保安保障チェック操作を各々が行なう複雑個の検査装
   置を含み、前記検査装置は前記共通記憶装置のなかにあ
   る位置決めされた安全保障侵害条件をそれと確認する徴
   候を記憶し、また Ｃ、１つの操作からの安全保障テスト請求に答えて前記
   検査装置の各々の操作をコントロールするための前記共
   通の記憶装置のなかで前記検査装置によって、記憶され
   た徴候との関連のもとに安全保障評価操作を行なうため
   の、前記検査装置のすべてに接続されるコントロール装
   置を含むことを特徴とする安全保障システム。