WO2011089788A1 - 機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム - Google Patents

機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム Download PDF

Info

Publication number
WO2011089788A1
WO2011089788A1 PCT/JP2010/071838 JP2010071838W WO2011089788A1 WO 2011089788 A1 WO2011089788 A1 WO 2011089788A1 JP 2010071838 W JP2010071838 W JP 2010071838W WO 2011089788 A1 WO2011089788 A1 WO 2011089788A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
server
client
network access
access control
Prior art date
Application number
PCT/JP2010/071838
Other languages
English (en)
French (fr)
Inventor
貴之 佐々木
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority to US13/522,898 priority Critical patent/US20120291106A1/en
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to CN201080061850.2A priority patent/CN102713926B/zh
Priority to JP2011550802A priority patent/JP5704518B2/ja
Publication of WO2011089788A1 publication Critical patent/WO2011089788A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/556—Detecting local intrusion or implementing counter-measures involving covert channels, i.e. data leakage between processes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2101—Auditing as a secondary aspect
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2129—Authenticate client device independently of the user
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Definitions

  • the present invention relates to a technique for preventing leakage of confidential information, and more particularly, to a technique for preventing leakage of confidential information using multilevel security.
  • a multi-level security system (MLS) is known in which a label for specifying a security level is assigned to each access subject and target, and access to the access target is restricted based on the assigned label.
  • the multi-level security system attempts to control access to a folder or the like from this application by giving a label indicating “general” or “confidential” to the application, for example.
  • An example of a technique for applying such a multilevel security system to a network system is described in Patent Document 1 and Patent Document 2.
  • Patent Document 1 Japanese Patent Application Laid-Open No. 2004-220120
  • a label indicating a confidential level is attached to a file in a client terminal, and when the client terminal transmits the labeled file to the outside, the transmission management program on the gateway server stores the file
  • a network system is disclosed in which a label is checked and a file is transmitted to a network outside the organization when the confidentiality level is non-confidential.
  • Japanese Patent Laid-Open No. 2000-174807 discloses a configuration in which a computer system has an operating system kernel that supports a multilevel access control security mechanism for creating an object access packet.
  • an object of the present invention is to provide a mechanism that can provide a network-compatible multi-level security system without modifying the operation system of the existing system.
  • the present invention is a confidential information leakage prevention system configured such that a client and a server can communicate via a network.
  • the client is introduced with network access control means for controlling a network access request transmitted from an application program to the server based on a security level assigned to the application program, and the network access control means.
  • First authentication means for executing an authentication process for authenticating this with the server.
  • the server includes a second authentication unit that executes an authentication process with the client and permits a network access request transmitted from the client when the authentication process is successful.
  • the present invention is a confidential information leakage prevention method in a confidential information leakage prevention system configured such that a client and a server can communicate via a network.
  • the client controls a network access request to the server transmitted from an application program based on a security level assigned to the application program, and a network access control program for executing the control step And an authentication step for executing an authentication process for authenticating with the server that the server is installed.
  • the server includes an authentication step of executing an authentication process with the client, and a step of permitting a network access request transmitted from the client when the authentication process is successful.
  • the present invention controls a network access request to the server transmitted from the application program to a client configured to be able to communicate with the server via the network based on a security level assigned to the application program. And an authentication step for executing an authentication process for authenticating with the server that a network access control program for executing the control step is installed, and causing the server to execute the authentication process. And a step of permitting a network access request transmitted from the client when the authentication process is successful.
  • the present invention is also a computer-readable storage medium storing the program.
  • the program of the present invention can be installed or loaded on a computer through various recording media such as an optical disk such as a CD-ROM, a magnetic disk, and a semiconductor memory, or via a communication network.
  • the term “means” does not simply mean a physical means, but includes a case where the functions of the means are realized by software. Further, the function of one means may be realized by two or more physical means, or the functions of two or more means may be realized by one physical means.
  • FIG. 1 It is a figure which shows schematic structure of the confidential information leakage prevention system which concerns on 1st Embodiment. It is a figure which shows an example of the hardware constitutions of the confidential information leakage prevention system which concerns on 1st Embodiment. It is a figure which shows an example of a label allocation list. It is a figure which shows an example of the data structure of a server information storage means. It is a figure which shows an example of the data structure of an access control rule memory
  • FIG. 1 is a block diagram showing a schematic configuration of a client / server system to which the confidential information leakage prevention system according to the present embodiment is applied.
  • This system includes a client 100 and a server 200, and the client 100 and the server 200 are connected to each other via a network N.
  • the client 100 includes a CPU 10 as a control unit that controls processing and operations of the client 100, a memory such as a ROM 11 and a RAM 12, an external storage device (HDD) 13 that stores various information, a communication interface 14, A general-purpose computer including an input interface 15, an output interface 16 such as a display, and hardware such as a bus connecting them can be applied.
  • the ROM 11, RAM 12, or external storage device 13 is also simply referred to as a storage device.
  • the client 100 functions as various function realizing means such as a label assignment means 102, a network access control means 106, and an authentication means 107, which will be described later, when the CPU 10 executes a predetermined program stored in the memory or the external storage device 13. be able to.
  • FIG. 1 illustrates one client 100, a plurality of clients 100 can be connected to the server 200, and the number of clients 100 can be set as appropriate according to the design.
  • server 200 is illustrated in FIG. 1, a plurality of servers 200 can be connected to the client 100, and the number of servers 200 can be appropriately set according to the design.
  • the client 100 includes a communication unit 101, a label allocation unit 102, an application 103 (general application 103a, confidential application 103b), a server information storage unit 104, an access control rule storage unit 105, a network access control unit 106, Authentication means 107.
  • the communication unit 101 is configured to communicate with the server 200 and other devices (not shown) via the network N so as to be able to input and output information, and is also called a communication unit.
  • a communication unit For example, an existing communication module such as a network interface card (NIC) or a TCP / IP driver is provided.
  • the label assigning means 102 is configured to be able to assign information indicating a security level (hereinafter referred to as “label”) to the application 103, and is also called a label assigning unit.
  • label information indicating a security level
  • a list label allocation list
  • the application 103 and a label allocated to the application 103 are associated with each other can be stored in a predetermined storage area.
  • FIG. 3 shows an example of the data structure of the label assignment list, in which a process ID (process number) for identifying an application and a label assigned to the application are stored in association with each other.
  • the label assigning means 102 when receiving an inquiry about a label assigned to a predetermined application from the network access control means 106, the label assigning means 102 is configured to be able to read and notify the label assigned to the application from the label assignment list. .
  • the label assigned by the label assigning unit 102 can also be used when information distribution within the client 100 from the confidential application 103b to the general application 103a is prohibited.
  • Application 103 is application software that provides a user with a predetermined function by being stored in the external storage device 13 and executed by the CPU 10.
  • the application 103 for example, existing software having an editor having a document creation function, a browser having an information browsing function, or the like can be applied, and is distinguished according to the contents of the label.
  • the application 103 is classified into an application (general application) 103a to which a general label is assigned and an application (confidential application) 103b to which a confidential label is assigned.
  • the server information storage unit 104 is a storage device that stores server information (also referred to as access target management information) that associates the access target of the application 103 with the label information assigned to the access target. It has a function and is also called a server information storage unit.
  • server information storage unit 104 receives a predetermined request including information for specifying an access target from the network access control unit 106, the server information storage unit 104 searches the server information for a label assigned to the access target and sends it to the network access control unit 106. It is configured to notify search results.
  • server information also referred to as access target management information
  • the server information storage unit 104 searches the server information for a label assigned to the access target and sends it to the network access control unit 106. It is configured to notify search results.
  • two types of “general” and “confidential” can be assigned to the label assigned to the access target, but the content of the label is not limited to this, and can be appropriately set according to the design.
  • FIG. 4 shows an example of the data structure of the server information storage means 104.
  • the server information storage means 104 stores server / folder information, and when the access target is the secret folder of server A (serversecretA / secret_folder), “secret” is displayed on the label. If it is assigned and is a general folder of server A (serverfoldA / public_folder B), “general” is assigned to the label.
  • the data structure of the server information storage means 104 is not limited to this.
  • the IP address may be used in place of the server name as information that can be uniquely identified, and if the security level is two levels of “confidential” and “general”, specify only the confidential folder, Others may be regarded as general folders.
  • the access control rule storage unit 105 is a storage device that stores information (access control rule) for restricting access to an access target by the application 103, and is also called an access control rule storage unit. Although there is no particular limitation, the access control rule storage unit 105 stores, for example, the contents of access control restrictions associated with each access target in association with each application. The contents of restriction can be set / changed appropriately according to the design.
  • FIG. 5 shows an example of the data structure of the access control rule storage means. As shown in the figure, in the confidential application, “access permission” is set in association with the confidential folder, and “read permission” is set in correspondence with the general folder. On the other hand, in the general application, “access prohibition” is set in association with the confidential folder, and “access permission” is set in association with the general folder.
  • the network access control means 106 includes a network monitoring means 106a (hereinafter referred to as “monitoring means”) that monitors network communication executed through the communication means 101, and an access control means 106b that executes access control for the application. It is also called a network access control unit.
  • the network access control means 106 is, for example, a program (network access control program) that is stored in the external storage device 13 or the like and is executed by the CPU 10 to provide a function for monitoring network communication or a function for executing access control for applications. ).
  • the monitoring unit 106a monitors all network accesses by the application 103 and is also called a monitoring unit.
  • the monitoring unit 106a can be realized by monitoring events by applying a conventional technique such as a filter driver such as a TDI (Transport Driver Interface) driver or an NDIS (Network Driver Interface Specification) driver.
  • FIG. 6 is a diagram showing an example of the implementation of the monitoring unit 106a.
  • the access control unit 106b is configured to be able to execute access control for an application when the monitoring unit 106a detects network access by the application 103, and is also referred to as an access control unit. Specifically, the access control unit 106b extracts application specifying information (for example, process ID) for specifying an application from the detected access and access target information (for example, file name) for specifying the access target, Based on the ID, an application label is acquired from the label assigning unit 102. Further, the label of the access target (for example, folder) is acquired from the server information storage unit 104 based on the access target information. Then, access control to the application 103 is performed by referring to the access control rule from the access control rule storage unit 105 based on the acquired label of the application 103 and the label of the folder 204.
  • application specifying information for example, process ID
  • access target information for example, file name
  • the access control means 106b holds a list of servers in which the authentication means 202 has been installed (required authentication server list) in a predetermined storage area, and refers to this authentication required server list to determine whether authentication is necessary. Is configured to determine.
  • FIG. 7 is a diagram illustrating an example of the data structure of the authentication-required server list. Although there is no particular limitation on the structure of the authentication server required list, for example, an IP address and a DNS name are stored as information that can uniquely identify the server.
  • the access control means 106b holds an authentication key for proving that the network access control means 106 is installed in a predetermined storage area.
  • This predetermined key is the same as the authentication key held by the authentication unit 202 of the server 200.
  • the authentication unit 107 is for authenticating that the network access control unit 106 is installed in the client 100, and is configured to be able to execute an authentication process with the server 200, and is also called an authentication unit.
  • the authentication unit 107 communicates with the authentication unit 202 of the server 200 using the authentication key held by the network access control unit 106 to perform authentication processing.
  • the authentication unit 107 notifies the network access control unit 106 of the result of the authentication process.
  • the authentication process is not particularly limited in its method, but here, as an example, the authentication process according to the challenge response formula is executed. Details of the authentication process will be described later.
  • the authentication unit 107 is configured to determine whether or not the network access control unit 106 is operating.
  • the determination as to whether or not the network access control means 106 is operating is not particularly limited, but for example, a process list being executed is acquired from the operating system, and the network access control means 106 is added to the acquired process list. This is done by checking whether or not the process ID is included.
  • the server 200 includes a communication unit 201, an authentication unit 202, a server application 203, and a folder 204 (a general folder 204a and a confidential folder 204b).
  • the server 200 is a general-purpose device including a CPU that controls processing and operations of the server 200, a memory such as a ROM and a RAM, an external storage device that stores various types of information, a communication interface, an input / output interface, and a bus that connects them.
  • a server computer can be applied.
  • the hardware configuration of the server computer is the same as the hardware configuration of the client 100 described with reference to FIG.
  • the communication unit 201 communicates with the client 100 and other devices (not shown) via the network N and is configured to be able to input and output information, and is also called a communication unit.
  • a communication unit For example, an existing communication module such as a network interface card (NIC) or a TCP / IP driver is provided.
  • the authentication unit 202 is configured to be able to execute an authentication process with the client 100 in order to authenticate that the network access control unit 106 is installed in the client 100, and is also called an authentication unit. Specifically, the authentication unit 202 holds the same key as the authentication key held by the network access control unit 106 of the client 100, and uses this authentication key to authenticate the client. Is configured to perform authentication processing.
  • the authentication unit 202 is configured to create a list of clients that have been successfully authenticated (authenticated client list).
  • FIG. 8 is a diagram illustrating an example of the configuration of the authenticated client list.
  • the data structure of the authenticated client list is not particularly limited, but as shown in the figure, the IP address of the client is stored as identification information for uniquely identifying the authenticated client.
  • the authentication unit 202 adds the client to the authenticated client list.
  • the valid time (remaining valid time) of the client as an authenticated client is also stored in association with the IP address. This remaining effective time will be described later.
  • the authentication unit 202 monitors the network access to the server application 203 and, when detecting the network access, determines whether or not the client that performs the network access is included in the authenticated client list, and based on the determination result. And determining whether to permit the network access. Specifically, if the client that performs network access is included in the authenticated client list, the authentication unit 202 permits the network access, while the client that performs network access is not included in the authenticated client list. Prohibits the network access.
  • the server application 203 is a program that provides a network service, is stored in an external storage device or the like, and is executed by the CPU. Although there is no particular limitation, for example, an existing program that implements FTP, CIFS, or the like is applicable.
  • the folder 204 stores data to be accessed and is also called a directory.
  • the folder 204 is distinguished by an assigned label.
  • the folder 204 is classified into a folder (general folder) 204a to which a general label is assigned and a folder (secret folder) 204b to which a sensitivity label is assigned. . That is, general information is stored in the general folder, and confidential information is stored in the confidential folder.
  • the content of the label is not limited to this, and can be set as appropriate according to the design.
  • the correspondence between the folder 204 and the label is stored in the server information storage unit 104 (FIG. 4).
  • the network N is a line for transmitting and receiving information between the client 100 and the server 200.
  • the network N may be, for example, the Internet, a dedicated line, a packet communication network, a telephone line, a LAN, a corporate network, other communication lines, a combination thereof, or the like. It doesn't matter.
  • the monitoring unit 106a of the network access control unit 106 starts monitoring network communication at a predetermined timing such as power-on, for example.
  • the application 103 (103a or 103b) executed by the control means (CPU) starts access to the access target on the designated network, for example, in accordance with an operation instruction by the user (step S1).
  • the monitoring unit 106a of the network access control unit 106 hooks network access (or network access event) by the application 103 (103a or 103b) (step S2).
  • the access control means 106b of the network access control means 106 acquires, for example, a process number as application information for specifying an application from the hooked access, and attempts to perform network access based on this process number.
  • the label allocation unit 102 is inquired about the label of the application 103 (103a or 103b) (step S3).
  • the label allocation unit 102 searches the label allocation list (see FIG. 3) for the label allocated to the application 103 (103a or 103b), and notifies the access control unit 106b of the search result. (Step S4)
  • the access control means 106b obtains the label of the application 103 from the label assignment means 102, the access control means 106b obtains access destination information for identifying the access destination from the hooked access, and based on this access destination information, the access destination folder 204 (204a Further, the server information storage means 104 is inquired about the label assigned to 204b) (step S5). For example, when the network access is file sharing, the server name and the folder name of the access destination can be acquired as the access destination information.
  • the server information storage unit 104 searches for the label of the folder specified by the access destination information from the database (see FIG. 4) stored therein, and notifies the access control unit 106b of the search result (step S6).
  • the access control means 106b Upon obtaining the label of the application 103 (103a or 103b) and the label of the access destination folder, the access control means 106b refers to the access control rule (see FIG. 5) stored in the access control rule storage means 105, and Whether or not network access is possible is determined (step S7).
  • the application when the application is a confidential label and the access destination folder is also a confidential label, access is permitted. If the application is a general label and the access destination folder is also a general label, access is permitted. When the application is a general label and the access destination folder is a confidential label, access is prohibited. When the application is a confidential label and the access destination folder is a general label, only reading is permitted.
  • the access control means 106b determines whether or not the access destination is on the authentication server list (see FIG. 7), for example, to determine whether the access destination is on the server 200. To determine whether authentication is required. If the access control unit 106b determines that the access destination is on the authentication-required server list, the access control unit 106b determines that authentication is necessary, and requests authentication from the authentication unit 107 (step S7). On the other hand, if the access destination is not included in the authentication server list requiring access, the access control means 106b determines that authentication is not required and permits network access (step S10). If access is prohibited in step S7, the access control means 106b terminates the process without determining whether or not the access destination is on the authentication-required server list (see FIG. 7).
  • the authentication means 107 When authentication is requested by the access control means 106b, the authentication means 107 performs authentication processing with the server-side authentication means 202 that the network access control means 106 has been introduced and is operating. Details of the authentication process will be described later.
  • the authentication means 107 on the server 200 side succeeds in the authentication that the network access control means 106 is installed and operating between the authentication means 107 on the client 100 side and the authentication means 202 on the server 200 side,
  • the client 100 is added to the authenticated client list (step S8).
  • the authentication unit 107 on the client 100 side notifies the access control unit 106b that the authentication is successful, the access control unit 106b permits network access based on the notification, and the application 103 is the server application 203 of the server 200. And network communication (step S10).
  • the server-side authentication unit 202 Upon receiving an access (connection request) from the application 103, the server-side authentication unit 202 confirms whether or not the client 100 has been authenticated, and if authenticated, permits access from the application 103. The hooked event is executed (step S11). On the other hand, if the authentication in step S8 fails, the authentication unit 202 determines that the client has not been authenticated, and prohibits access from the application 103 (step S11).
  • the server-side authentication unit 202 monitors network access from the application to the server application 203.
  • the client When the access is hooked (detected), the client is included in the authenticated client list (see FIG. 8). If it is included, communication is permitted. If it is not included, communication is not permitted (packet is discarded). For example, when communication is performed using IP, communication is permitted when the source IP address is included in the authenticated client list, and communication is not permitted when the source IP address is not included.
  • the server-side authentication unit 202 When the server-side authentication unit 202 receives an access from a client in which the network access control unit 106 is not installed, the client 100 is not registered in the authenticated client list, so that the application 103 determines that it is not authenticated. Access is prohibited.
  • the server 200 may process the access according to the label according to the conventional technique.
  • step S8 the authentication process in step S8 will be described in detail with reference to FIG.
  • the authentication method is not limited to this, and other authentication methods can be appropriately employed depending on the design or the like.
  • the authentication unit 107 on the client 100 side generates a first challenge code and transmits it to the authentication unit 202 on the server side.
  • the first challenge code can be generated using, for example, a random number (step S20).
  • the authentication means 202 on the server 200 side Upon receiving the first challenge code, the authentication means 202 on the server 200 side generates a first response code from the first challenge code using the key stored in the server 200 (step S21).
  • the first response code can be obtained by converting the key and the first challenge code using a hash function such as SHA1 or MD5.
  • the authentication unit 202 generates a second challenge code (step S22).
  • the second challenge code can be generated using, for example, a random number.
  • the authentication unit 202 transmits the generated first response code and the generated second challenge code to the authentication unit 107 on the client 100 side (step S23).
  • the authentication unit 107 on the client 100 side acquires a key from the network access control unit 106 (step S24).
  • the authentication unit 107 on the client 100 side generates a correct first response code from the first challenge code generated in S20 and the key acquired from the network access control unit 106 (step S25).
  • the authentication unit 107 on the client 100 side compares the correct first response code generated in S25 with the first response code received from the authentication unit 202 on the server 200 side, and confirms whether or not they match. (Step S26).
  • the authentication unit 107 on the client 100 side ends the processing as an authentication failure (not shown). If the two match, the authentication unit 107 on the client 100 side generates a second response code for the second challenge code received from the authentication unit 202 on the server 200 side using the key acquired from the network access control unit 106. (Step S27).
  • the authentication unit 107 can obtain the second response code by converting the key and the second challenge code using, for example, a hash function such as SHA1 or MD5.
  • the authentication unit 107 acquires the process list being executed from the operating system, and determines whether the network access control unit 106 is on the process list based on the process ID of the network access control unit 106. Then, it is determined whether or not the network access control means 106 is operating (step S28).
  • the authenticating means 107 transmits the second response code generated in S27 to the authenticating means 202 on the server side 200 when the judgment result in step S28 is correct (step S29). On the other hand, if the determination result in step S28 is NO, the process ends as an authentication failure (not shown).
  • the authentication unit 202 on the server 200 side Upon receiving the second response code, the authentication unit 202 on the server 200 side generates a correct second response code from the second challenge code and key generated in S22 (step S30).
  • the authentication unit 202 on the server 200 side compares the generated correct second response code with the first response code received from the authentication unit 107 on the client 100 side, and confirms whether or not they match (step S31). .
  • the authentication unit 202 terminates the process as an authentication failure (not shown). If the two match, the authentication unit 202 sets the authentication as successful and records the client 100 as authenticated in the authenticated client list. For example, when communicating using IP, identification information (for example, IP address, DNS name, machine name, etc.) that uniquely identifies the client 100 is recorded in the authenticated client list (see FIG. 8). (Step S32).
  • identification information for example, IP address, DNS name, machine name, etc.
  • the network access control means 106 is installed and operating in the client 100. Therefore, access control is performed on the client 100 side. Can be guaranteed to do. As a result, since it is not necessary to add a label to the packet on the client 100 side, it is possible to provide a network-compatible multi-level security system without modifying the operation or the like.
  • the network access control means 106 of the client 100 holds the key, and at the time of authentication, the key is passed from the network access control means 106 to the authentication means 107, so that the client The server 200 can more reliably authenticate that the network access control means 106 is installed in the server 100.
  • the authentication unit 107 of the client 100 confirms whether or not the network access control unit 106 is included in the process list of the operating system. It is possible to confirm that 100 network access control means 106 are operating.
  • the authenticated client list can further store the remaining time during which authentication is valid.
  • the authentication unit 202 on the server 200 side subtracts the valid time according to a predetermined timing (for example, every second), and when the valid time becomes 0, the authentication unit 202 deletes the entry from the list. Also good. Further, before the effective time becomes 0, the authentication processing may be performed again to reset the authentication effective time. In this case, since authentication is performed at regular intervals, it is possible to prevent the legitimate client 100 or server 200 from being replaced with an unauthorized client or server.
  • the authenticated client list of the authentication unit 202 and the authenticated server list of the authentication unit 107 may record not only the IP address and name but also the port number used by the application 103 of the client 100. .
  • the entry may be deleted from the authenticated client list or the authenticated server list based on the port number. In the case of this operation, since re-authentication is performed only while the application 103 performs communication, unnecessary re-authentication can be avoided.
  • the label is classified into two types, confidential and general, but two or more types of labels may be used.
  • four types of labels such as confidential, confidential, confidential, and unclassified may be assigned.
  • the network access control means 106 like a general multilevel security system, transfers information from the application 103 or folder 204 having a low security level label to the application 103 or folder 204 having a high security level label. Prohibit distribution.
  • the network access control unit 106 has described the case where the network access of the hooked application 103 is permitted in S10 in FIG. 9, but encryption or log recording is performed according to the label. You may perform processes, such as. According to this, it is possible to provide a system capable of controlling the security function according to the security level.
  • the network access control unit 106 controls reading / writing with respect to the folder 204.
  • the contents of the network access control are not limited to this.
  • the network access control means 106 may control transmission / reception with respect to the mail address. Further, the communication of the server 200 to the process may be controlled.
  • a database in which the above-described authentication server list of the network access control unit 106 and the label information of the folder of the server information storage unit 104 are recorded is defined for each user. It can be configured to switch. With this operation, access control according to the user can be performed.
  • the authentication unit 107 of the client 100 and the authentication unit 202 on the server 200 side may confirm that the network access control unit 106 has not been tampered with at a predetermined timing during the authentication process.
  • the confirmation method is not particularly limited.
  • the authentication unit 107 transmits the execution binary hash value of the network access control unit 106 to the authentication unit 202 on the server 200 side.
  • the authentication unit 202 on the server 200 side compares the hash value received from the authentication unit 107 with the hash value of the execution binary stored in the network access control unit 106 in advance, and determines whether or not they match. If the two match, the authentication unit 202 confirms that the network access control unit 106 has not been tampered with. On the other hand, if the two do not match, the authentication unit 202 determines that the network access control unit 106 has been tampered with, and ends the processing as an authentication failure.
  • the access control unit 106b holds the authentication server list required and determines whether or not authentication is required by referring to the authentication server list is required.
  • the method to do is not limited to this.
  • the access control unit 106b can determine whether authentication is necessary by using server / folder information (see FIG. 4) held by the server information storage unit 104. Specifically, the access control unit 106b acquires server / folder information of the access destination server from the server information storage unit 104, and when the acquired folder information includes a confidential folder, the server stores the confidential folder. Since it is held, it can be determined that the server requires authentication.
  • the authentication unit 107 has been described with respect to the case where the introduction check of the network access control unit 106 using a key and the operation check of the network access control unit 106 using a process list are performed. It may be. Specifically, the authentication unit 107 can execute the process of step S29 by omitting the process of step S28 after executing the process of step S27 of FIG. According to this, there is an effect that the authentication process can be performed at a higher speed.
  • the client 100 further includes a setting reception unit 110
  • the server 200 further includes a setting reception unit 210
  • the setting transmission server 300 includes a setting transmission unit 301. Different from the first embodiment.
  • the setting transmission unit 301 of the setting transmission server 300 includes server information stored in the database of the server information storage unit 104, an authentication server list of the network access control unit 106, and an authentication key of the network access control unit 106. Each of them is stored inside and is transmitted to the setting receiving means 110 of the client 100. Further, the authentication key is transmitted to the setting receiving unit 210 of the server 200.
  • the setting receiving unit 110 of the client 100 receives the server information, the authentication required server list, the server information stored in the database of the server information storage unit 104 when receiving the key, and the authentication required server list of the network access control unit 106. Update each authentication key.
  • the setting receiving unit 210 of the server 200 receives the authentication key
  • the setting receiving unit 210 updates the key held by the authentication unit 202.
  • the second embodiment it is possible to remotely update the server information stored in the server information storage unit 104, the authentication server list required for the network access control unit 106, and the key used for authentication.
  • the management can be made efficient.
  • the confidential information leakage prevention system, the confidential information leakage prevention method, and the confidential information leakage prevention program according to the present invention are suitable for providing a network-compatible multi-level security system without modifying the operation system of the existing system. .
  • SYMBOLS 10 CPU, 11 ... ROM, 12 ... RAM, 13 ... External storage device, 14 ... Communication interface, 15 ... Input interface, 16 ... Output interface, 100 ... Client, 101 ... Communication means, 102 ... Label allocation means, 103 ... Application 103a ... General application 103b Confidential application 104 Server information storage means 105 Access control rule storage means 106 Network access control means 106a Monitoring means 106b Access control means 107 Authentication means DESCRIPTION OF SYMBOLS 110 ... Setting receiving means, 200 ... Server, 201 ... Communication means, 202 ... Authentication means, 203 ... Server application, 204 ... Folder, 204a ... General folder, 204b ... Confidential folder, 210 ... Setting receiving means, 300 ... Setting Transmission server, 301 ... setting transmission means, N ... Network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)

Abstract

クライアント１００とサーバ２００がネットワークを介して通信可能に構成される機密情報漏洩防止システムであって、前記クライアント１００は、アプリケーションプログラムから送信される前記サーバ２００へのネットワークアクセス要求を当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御するネットワークアクセス制御手段１０６と、前記ネットワークアクセス制御手段１０６が導入されていることを前記サーバ２００との間で認証する認証処理を実行する第１認証手段１０７とを有し、前記サーバ２００は、前記クライアント１００との間で認証処理を実行し、当該認証処理が成功した場合に、前記クライアントから送信されるネットワークアクセス要求を許可する第２認証手段２０２を有する。

Description

機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム
　本発明は、機密情報の漏洩を防止するための技術に係り、特に、マルチレベルセキュリティを用いて機密情報の漏洩を防止するための技術に関する。
　アクセスの主体や対象にセキュリティレベルを特定するラベルをそれぞれ付与し、この付与されたラベルに基づいてアクセス対象へのアクセスを制限するマルチレベルセキュリティシステム（ＭＬＳ）が知られている。マルチレベルセキュリティシステムは、例えば、アプリケーションに「一般」又は「機密」を示すラベルを付与することにより、このアプリケーションからフォルダ等へのアクセスを制御しようとするものである。このようなマルチレベルセキュリティシステムをネットワークシステムに適用する技術の一例が、特許文献１及び特許文献２に記載されている。
　特許文献１（特開２００４－２２０１２０）には、クライアント端末内のファイルに機密レベルを表すラベルを付け、クライアント端末が、ラベル付きファイルを外部へ送信すると、ゲートウェイサーバ上の送信管理プログラムがファイルのラベルのチェックを行い、機密レベルが非機密の場合は組織外ネットワークへファイルを送信するネットワークシステムが開示されている。
　特許文献２（特開２０００－１７４８０７）には、コンピュータシステムが、オブジェクトアクセスパケットを作成するマルチレベルアクセス制御セキュリティメカニズムを支援するオペレーティングシステムカーネルを有する構成が開示されている。
特開２００３－１７３２８４号公報 特開２０００－１７４８０７号公報
　上記特許文献１及び特許文献２に記載されているような構成を適用してマルチレベルセキュリティシステムを導入する場合には、クライアント端末にてＩＰパケットにラベルを付与する構成が新たに必要となるため、既存システムのオペレーションシステムやネットワークサービスを提供するプログラム等を改造しなければならないという問題がある。
　従って、本発明の目的は、既存システムのオペレーションシステム等を改造することなく、ネットワーク対応のマルチレベルセキュリティシステムを提供することができる仕組みを提供することにある。
　本発明は、クライアントとサーバがネットワークを介して通信可能に構成される機密情報漏洩防止システムである。前記クライアントは、アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御するネットワークアクセス制御手段と、前記ネットワークアクセス制御手段が導入されていることを前記サーバとの間で認証する認証処理を実行する第１認証手段とを有する。前記サーバは、前記クライアントとの間で認証処理を実行し、当該認証処理が成功した場合に、前記クライアントから送信されるネットワークアクセス要求を許可する第２認証手段を有する。
　また、本発明は、クライアントとサーバがネットワークを介して通信可能に構成される機密情報漏洩防止システムにおける機密情報漏洩防止方法である。前記クライアントは、アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する制御ステップと、前記制御ステップを実行するためのネットワークアクセス制御プログラムが導入されていることを前記サーバとの間で認証する認証処理を実行する認証ステップと、を有する。前記サーバは、前記クライアントとの間で認証処理を実行する認証ステップと、前記認証処理が成功した場合に、前記クライアントから送信されるネットワークアクセス要求を許可するステップと、を有する。
　また、本発明は、サーバとネットワークを介して通信可能に構成されるクライアントに、アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する制御ステップと、前記制御ステップを実行するためのネットワークアクセス制御プログラムが導入されていることを前記サーバとの間で認証する認証処理を実行する認証ステップと、実行させ、前記サーバに、前記クライアントとの間で認証処理を実行する認証ステップと、前記認証処理が成功した場合に、前記クライアントから送信されるネットワークアクセス要求を許可するステップと、を実行させるためのプログラムである。また、本発明は、当該プログラムを格納したコンピュータ読み取り可能な記憶媒体でもある。本発明のプログラムは、ＣＤ－ＲＯＭ等の光学ディスク、磁気ディスク、半導体メモリなどの各種の記録媒体を通じて、又は通信ネットワークなどを介してダウンロードすることにより、コンピュータにインストール又はロードすることができる。
　なお、本明細書等において、手段とは、単に物理的手段を意味するものではなく、その手段が有する機能をソフトウェアによって実現する場合も含む。また、１つの手段が有する機能が２つ以上の物理的手段により実現されても、２つ以上の手段の機能が１つの物理的手段により実現されてもよい。
　本発明によれば、既存システムのオペレーションシステム等を改造することなく、ネットワーク対応のマルチレベルセキュリティシステムを提供することが可能になる。
第１の実施形態に係る機密情報漏洩防止システムの概略構成を示す図である。 第１の実施形態に係る機密情報漏洩防止システムのハードウェア構成の一例を示す図である。 ラベル割当リストの一例を示す図である。 サーバ情報記憶手段のデータ構造の一例を示す図である。 アクセス制御ルール記憶手段のデータ構造の一例を示す図である。 ネットワーク監視手段の実装の一例を示す図である。 要認証サーバリストのデータ構造の一例を示す図である。 認証済みクライアントリストの一例を示す図である。 機密情報漏洩防止処理の流れの一例を示すフローチャートである。 認証処理の流れの一例を示すフローチャートである。 第２の実施形態に係る機密情報漏洩防止システムの概略構成を示す図である。
　以下、本発明の実施の形態について図面を参照しつつ詳細に説明する。なお、同一の要素には同一の符号を付し、重複する説明を省略する。
［システム構成］
　図１は、本実施形態に係る機密情報漏洩防止システムが適用されるクライアント・サーバシステムの概略構成を示すブロック図である。本システムは、クライアント１００とサーバ２００とを含み、クライアント１００とサーバ２００はネットワークＮを介して相互に接続される。
　クライアント１００は、図２に示すように、クライアント１００の処理及び動作を制御する制御手段としてのＣＰＵ１０、ＲＯＭ１１やＲＡＭ１２等のメモリ、各種情報を格納する外部記憶装置（ＨＤＤ）１３、通信インタフェース１４、入力インタフェース１５、ディスプレイ等の出力インタフェース１６及びこれらを結ぶバス等のハードウェアを備える汎用のコンピュータを適用することができる。ＲＯＭ１１、ＲＡＭ１２又は外部記憶装置１３は、単に記憶装置とも呼ばれる。クライアント１００は、ＣＰＵ１０がメモリや外部記憶装置１３に記憶される所定のプログラムを実行することにより、後述するラベル割当手段１０２、ネットワークアクセス制御手段１０６、認証手段１０７などの各種機能実現手段として機能することができる。なお、図１では、１つのクライアント１００を例示しているが、サーバ２００には複数のクライアント１００を接続することもでき、クライアント１００の数は設計に応じて適宜設定することができる。また、図１では、１つのサーバ２００を例示しているが、クライアント１００には複数のサーバ２００を接続することもでき、サーバ２００の数は設計に応じて適宜設定することができる。
　クライアント１００は、通信手段１０１と、ラベル割当手段１０２と、アプリケーション１０３（一般アプリケーション１０３ａ、機密アプリケーション１０３ｂ）と、サーバ情報記憶手段１０４と、アクセス制御ルール記憶手段１０５と、ネットワークアクセス制御手段１０６と、認証手段１０７と、を備える。
　通信手段１０１は、ネットワークＮを介してサーバ２００その他の図示しない装置と通信し、情報を入出力可能に構成されており、通信部とも呼ばれる。例えば、ネットワークインタフェースカード（ＮＩＣ）やＴＣＰ／ＩＰドライバ等の既存の通信モジュールを備えている。
　ラベル割当手段１０２は、セキュリティレベルを示す情報（以下、「ラベル」という。）をアプリケーション１０３に対して割り当て可能に構成されており、ラベル割当部とも呼ばれる。また、アプリケーション１０３と当該アプリケーション１０３に割り当てたラベルを対応付けたリスト（ラベル割り当てリスト）を所定の記憶領域に格納可能に構成されている。ラベルには、例えば、セキュリティの低い「一般」とセキュリティの高い「機密」の２種類を割り当てることができるが、ラベルの内容はこれに限られず、設計に応じて適宜設定することができる。図３は、ラベル割り当てリストのデータ構造の一例を示すものであり、アプリケーションを識別するプロセスＩＤ（プロセス番号）と、当該アプリケーションに割り当てられたラベルとが、対応づけて格納されている。
　また、ラベル割当手段１０２は、ネットワークアクセス制御手段１０６から、所定のアプリケーションに割り当てられたラベルについて問合せを受け付けると、当該アプリケーションに割り当てたラベルをラベル割り当てリストから読み出して通知できるように構成されている。また、ラベル割当手段１０２により割り当てられたラベルは、機密アプリケーション１０３ｂから一般アプリケーション１０３ａへのクライアント１００内での情報流通を禁止する際にも用いることができる。
　アプリケーション１０３（一般アプリケーション１０３ａ及び機密アプリケーション１０３ｂ）とは、外部記憶装置１３等に格納され、ＣＰＵ１０によって実行されることにより、ユーザに所定の機能を提供するアプリケーションソフトウェアである。アプリケーション１０３は、特に限定はないが、例えば、文書作成機能を有するエディタや情報閲覧機能を有するブラウザ等を有する既存のソフトウェアを適用することができ、ラベルの内容に応じて区別される。本実施形態では、例えば、アプリケーション１０３は、一般ラベルが割り当てられたアプリケーション（一般アプリケーション）１０３ａと、機密ラベルが割り当てられたアプリケーション（機密アプリケーション）１０３ｂとに区別される。
　サーバ情報記憶手段１０４は、アプリケーション１０３のアクセス対象と当該アクセス対象に割り当てられているラベルの情報とを対応付けたサーバ情報（アクセス対象管理情報ともいう）を記憶する記憶装置であり、データベースとしての機能を有し、サーバ情報記憶部とも呼ばれる。サーバ情報記憶手段１０４は、ネットワークアクセス制御手段１０６からアクセス対象を特定する情報を含む所定の要求を受け付けると、当該アクセス対象に割り当てられているラベルをサーバ情報から検索し、ネットワークアクセス制御手段１０６へ検索結果を通知するように構成されている。アクセス対象に割り当てられるラベルには、例えば、「一般」と「機密」の２種類を割り当てることができるが、ラベルの内容はこれに限られず、設計に応じて適宜設定することができる。
　図４は、サーバ情報記憶手段１０４のデータ構造の一例を示している。同図に示すように、サーバ情報記憶手段１０４には、サーバ／フォルダ情報が格納されており、アクセス対象がサーバＡの機密フォルダ（server A/secret_folder」である場合は、ラベルに「機密」が割り当てられ、サーバＡの一般フォルダ（server A/public_folderＢ」である場合は、ラベルに「一般」が割り当てられている。なお、サーバ情報記憶手段１０４のデータ構造は、これに限られず、例えば、サーバを一意的に特定可能な情報として、サーバ名の代わりにＩＰアドレスを用いてもよい。さらに、セキュリティレベルが、「機密」と「一般」の２レベルの場合は、機密フォルダのみを指定し、それ以外を一般フォルダとみなすようにしてもよい。
　アクセス制御ルール記憶手段１０５は、アプリケーション１０３によるアクセス対象へのアクセスを制限するための情報（アクセス制御ルール）を記憶する記憶装置であり、アクセス制御ルール記憶部とも呼ばれる。アクセス制御ルール記憶手段１０５は、特に限定はないが、例えば、アプリケーション毎に各アクセス対象へのアクセス制御の制限内容を対応付けて格納する。制限内容は、設計に応じて適宜設定／変更することが可能である。図５は、アクセス制御ルール記憶手段のデータ構造の一例を示している。同図に示すように、機密アプリケーションには、機密フォルダに対して「アクセス許可」が、一般フォルダに対して「読み込み許可」が、それぞれ対応づけて設定されている。一方、一般アプリケーションには、機密フォルダに対して「アクセス禁止」が、一般フォルダに対して「アクセス許可」が、それぞれ対応づけて設定されている。
　ネットワークアクセス制御手段１０６は、通信手段１０１を介して実行されるネットワーク通信を監視するネットワーク監視手段１０６ａ（以下、「監視手段」という）と、アプリケーションに対するアクセス制御を実行するアクセス制御手段１０６ｂとを有しており、ネットワークアクセス制御部とも呼ばれる。ネットワークアクセス制御手段１０６は、例えば、外部記憶装置１３等に格納され、ＣＰＵ１０によって実行されることにより、ネットワーク通信を監視する機能やアプリケーションに対するアクセス制御を実行する機能を提供するプログラム（ネットワークアクセス制御プログラム）とすることができる。
　監視手段１０６ａは、アプリケーション１０３による全てのネットワークアクセスを監視するものであり、監視部とも呼ばれる。監視手段１０６ａは、例えば、ＴＤＩ（Transport Driver Interface）ドライバや、ＮＤＩＳ（Network Driver Interface Specification）ドライバといったフィルタドライバなどの従来技術を適用してイベントを監視することにより実現することができる。図６は、監視手段１０６ａの実装の一例を示す図である。
　アクセス制御手段１０６ｂは、監視手段１０６ａによりアプリケーション１０３によるネットワークアクセスを検出した場合に、アプリケーションに対するアクセス制御を実行可能に構成されており、アクセス制御部とも呼ばれる。具体的には、アクセス制御手段１０６ｂは、検出したアクセスからアプリケーションを特定するアプリケーション特定情報（例えば、プロセスＩＤ）やアクセス対象を特定するためのアクセス対象情報（例えば、ファイル名）を抽出し、プロセスＩＤに基づいてアプリケーションのラベルをラベル割当手段１０２から取得する。また、アクセス対象情報に基づいてアクセス対象（例えば、フォルダ）のラベルをサーバ情報記憶手段１０４から取得する。そして、取得したアプリケーション１０３のラベルとフォルダ２０４のラベルとに基づいて、アクセス制御ルール記憶手段１０５からアクセス制御ルールを参照することにより、アプリケーション１０３に対するアクセス制御を行う。
　また、アクセス制御手段１０６ｂは、認証手段２０２が導入されているサーバのリスト（要認証サーバリスト）を所定の記憶領域に保有し、この要認証サーバリストを参照して、認証が必要か否かを判断するように構成されている。図７は、要認証サーバリストのデータ構造の一例を示す図である。要認証サーバリストの構造に、特に限定はないが、サーバを一意的に特定することができる情報として、例えば、ＩＰアドレスやＤＮＳ名が格納される。
　さらにまた、アクセス制御手段１０６ｂは、ネットワークアクセス制御手段１０６が導入されていることを証明するための認証用の鍵を、所定の記憶領域に保持している。この所定の鍵は、サーバ２００の認証手段２０２が保持する認証用の鍵と同じものである。
　認証手段１０７は、クライアント１００にネットワークアクセス制御手段１０６が導入されていることを認証するためのものであり、サーバ２００との間で認証処理を実行可能に構成されており、認証部とも呼ばれる。認証手段１０７は、ネットワークアクセス制御手段１０６が保持している認証用の鍵を用いて、サーバ２００の認証手段２０２と通信を行い、認証処理を行う。認証手段１０７は、認証処理の結果をネットワークアクセス制御手段１０６へ通知する。認証処理は、特にその方法に限定はないが、ここでは一例として、チャレンジレスポンス式に従う認証処理を実行する。なお、認証処理の詳細については、後述する。
　また、認証手段１０７は、ネットワークアクセス制御手段１０６が動作しているか否かを判断するように構成されている。ネットワークアクセス制御手段１０６が動作しているか否かの判断は、特にその内容に限定はないが、例えば、オペレーティングシステムから実行中のプロセスリストを取得し、当該取得したプロセスリストにネットワークアクセス制御手段１０６のプロセスＩＤが含まれている否かを確認することにより行う。
　サーバ２００は、通信手段２０１と、認証手段２０２と、サーバアプリケーション２０３と、フォルダ２０４（一般フォルダ２０４ａ、機密フォルダ２０４ｂ）とを備えている。サーバ２００は、サーバ２００の処理及び動作を制御するＣＰＵ、ＲＯＭやＲＡＭ等のメモリ、各種情報を格納する外部記憶装置、通信インタフェース、入出力インタフェース及びこれらを結ぶバス等のハードウェアを備える汎用のサーバ・コンピュータを適用することができる。なお、サーバ・コンピュータのハードウェア構成は、図２にて説明したクライアント１００のハードウェア構成と同様であるため、説明を省略する。
　通信手段２０１は、ネットワークＮを介してクライアント１００その他の図示しない装置と通信し、情報を入出力可能に構成されており、通信部とも呼ばれる。例えば、ネットワークインタフェースカード（ＮＩＣ）やＴＣＰ／ＩＰドライバ等の既存の通信モジュールを備えている。
　認証手段２０２は、クライアント１００にネットワークアクセス制御手段１０６が導入されていることを認証するために、クライアント１００との間で認証処理を実行可能に構成されており、認証部とも呼ばれる。具体的には、認証手段２０２は、クライアント１００のネットワークアクセス制御手段１０６が保持している認証用の鍵と同じ鍵を保持しており、この認証用の鍵を用いて、クライアントの認証手段１０７と通信を行い、認証処理を行うように構成されている。
　また、認証手段２０２は、認証に成功したクライアントのリスト（認証済みクライアントリスト）を作成するように構成されている。図８は、認証済みクライアントリストの構成の一例を示す図である。認証済みクライアントリストのデータ構成は、特に限定はないが、同図に示すように、認証済みクライアントを一意的に識別する識別情報として当該クライアントのＩＰアドレスが格納される。認証手段２０２は、クライアントの認証に成功した場合、当該クライアントを認証済みクライアントリストに追加する。なお、図８では、ＩＰアドレスと対応付けて、当該クライアントが認証済みクライアントとして有効な時間（残り有効時間）も格納されている。この残り有効時間については、後述する。
　また、認証手段２０２は、サーバアプリケーション２０３へのネットワークアクセスを監視し、ネットワークアクセスを検出すると、当該ネットワークアクセスを行うクライアントが認証済みクライアントリストに含まれるか否かを判断し、判断結果に基づいて、当該ネットワークアクセスを許可するか否かを決定するように構成されている。具体的には、認証手段２０２は、ネットワークアクセスを行うクライアントが認証済みクライアントリストに含まれる場合は、当該ネットワークアクセスを許可し、一方、ネットワークアクセスを行うクライアントが認証済みクライアントリストに含まれない場合は、当該ネットワークアクセスを禁止する。
　サーバアプリケーション２０３は、ネットワークサービスを提供するプログラムであり、外部記憶装置等に格納され、ＣＰＵによって実行される。特に限定はないが、例えば、ＦＴＰやＣＩＦＳなどを実装した既存のプログラムが該当する。
　フォルダ２０４は、アクセス対象となるデータを保管するものであり、ディレクトリとも呼ばれる。フォルダ２０４は、割り当てられるラベルによって区別され、本実施形態では、一例として、一般ラベルが割り当てられたフォルダ（一般フォルダ）２０４ａと、機密ラベルが割り当てられたフォルダ（機密フォルダ）２０４ｂとに区別される。すなわち、一般フォルダには一般情報が保存され、機密フォルダには機密情報が保存されている。なお、ラベルの内容はこれに限られず、設計に応じて適宜設定することができる。フォルダ２０４とラベルの対応関係は、サーバ情報記憶手段１０４に格納されている（図４）。
　次に、ネットワークＮは、クライアント１００とサーバ２００の間で情報を送受信するための回線である。ネットワークＮは、例えば、インターネット、専用線、パケット通信網、電話回線、ＬＡＮ、企業内ネットワーク、その他の通信回線、それらの組み合わせ等のいずれであってもよく、有線であるか無線であるかを問わない。
［機密情報漏洩防止処理の流れ］
　図９を参照して、本実施形態に係る機密情報漏洩防止処理について説明する。なお、図９及び図１０に示すフローチャートに示す各処理ステップは処理内容に矛盾を生じない範囲で任意に順番を変更して又は並列に実行することができる。また、各処理ステップ間に他のステップを追加してもよい。また、便宜上１ステップとして記載されているステップは、複数ステップに分けて実行することができる一方、便宜上複数ステップに分けて記載されているものは、１ステップとして把握することができる。
　前提として、例えば電源投入などの所定のタイミングで、ネットワークアクセス制御手段１０６の監視手段１０６ａは、ネットワーク通信の監視を開始しているものとする。
　制御手段（ＣＰＵ）により実行されるアプリケーション１０３（103a又は103ｂ）は、例えば、ユーザによる操作指示に従って、指定されたネットワーク上のアクセス対象に対するアクセスを開始する（ステップＳ１）。
　ネットワークアクセス制御手段１０６の監視手段１０６ａは、アプリケーション１０３（103a又は103ｂ）によるネットワークアクセス（又はネットワークアクセスイベントともいう）をフックする（ステップＳ２）。
　次に、ネットワークアクセス制御手段１０６のアクセス制御手段１０６ｂは、フックしたアクセスからアプリケーションを特定するアプリケーション情報として、例えば、プロセス番号を取得し、このプロセス番号に基づいて、ネットワークアクセスを行なおうとしているアプリケーション１０３（103a又は103ｂ）のラベルを、ラベル割当手段１０２に問い合わせる（ステップＳ３）。
　ラベル割当手段１０２は、アプリケーション１０３（103a又は103ｂ）へ割り当てられているラベルをラベル割り当てリスト（図３参照）から検索し、検索結果をアクセス制御手段１０６ｂへ通知する。（ステップＳ４）
　アクセス制御手段１０６ｂは、アプリケーション１０３のラベルをラベル割り当て手段１０２から取得すると、フックしたアクセスからアクセス先を特定するアクセス先情報を取得し、このアクセス先情報に基づいて、アクセス先のフォルダ２０４（204a又204b）に割り当てられているラベルを、サーバ情報記憶手段１０４に問い合わせる（ステップＳ５）。例えば、ネットワークアクセスがファイル共有の場合には、サーバ名とアクセス先のフォルダ名とをアクセス先情報として取得することができる。
　サーバ情報記憶手段１０４は、内部に記憶しているデータベース（図４参照）から、アクセス先情報によって特定されるフォルダのラベルを検索し、検索結果をアクセス制御手段１０６ｂへ通知する（ステップＳ６）。
　アクセス制御手段１０６ｂは、アプリケーション１０３（103a又は103ｂ）のラベルとアクセス先のフォルダのラベルを取得すると、アクセス制御ルール記憶手段１０５に記憶されているアクセス制御ルール（図５参照）を参照し、アプリケーションによるネットワークアクセスの可否の判定を行なう(ステップＳ７)。
　例えば、図５に示すように、アプリケーションが機密ラベルであり、アクセス先のフォルダも機密ラベルであるときは、アクセスを許可する。また、アプリケーションが一般ラベルであり、アクセス先フォルダも一般ラベルであるときは、アクセスを許可する。アプリケーションが一般ラベルであり、アクセス先のフォルダが機密ラベルであるときは、アクセスを禁止する。また、アプリケーションが機密ラベルであり、アクセス先のフォルダが一般ラベルであるときは、読み込みのみ許可する。
　アクセスが許可（一部許可を含む）された場合、アクセス制御手段１０６ｂは、例えばアクセス先が要認証サーバリスト（図７参照）に載っているか否かを判断することにより、サーバ２００との間で認証が必要か否かを判断する。アクセス制御手段１０６ｂは、アクセス先が要認証サーバリストに載っていると判断した場合は、認証必要と判断し、認証手段１０７へ認証を要求する（ステップＳ７）。一方、アクセス制御手段１０６ｂは、アクセス先が要認証サーバリストに載っていない場合は、認証不要と判断し、ネットワークアクセスを許可する（ステップＳ１０）。なお、ステップＳ７にて、アクセスが禁止された場合は、アクセス制御手段１０６ｂは、アクセス先が要認証サーバリスト（図７参照）に載っているか否かを判断することなく、処理を終了する。
　認証手段１０７は、アクセス制御手段１０６ｂより認証が要求されると、サーバ側の認証手段２０２との間で、ネットワークアクセス制御手段１０６が導入されかつ動作していることの認証処理を行う。なお、認証処理の詳細については後述する。
　クライアント１００側の認証手段１０７とサーバ２００側の認証手段２０２との間で、ネットワークアクセス制御手段１０６が導入されかつ動作していることの認証に成功した場合、サーバ２００側の認証手段２０２は、当該クライアント１００を認証済みクライアントリストに追加する（ステップＳ８）。
　また、クライアント１００側の認証手段１０７は、認証に成功した旨をアクセス制御手段１０６ｂに通知し、アクセス制御手段１０６ｂは、当該通知によりネットワークアクセスを許可し、アプリケーション１０３は、サーバ２００のサーバアプリケーション２０３とネットワーク通信を行う（ステップＳ１０）。
　アプリケーション１０３からのアクセス（接続要求）を受けると、サーバ側の認証手段２０２は、当該クライアント１００が認証済みであるか否かを確認し、認証済みであればアプリケーション１０３からのアクセスを許可し、フックしていたイベントを実行する（ステップＳ１１）。一方、ステップＳ８の認証に失敗した場合は、認証手段２０２は、当該クライアントが認証済みでないと判断し、当該アプリケーション１０３からのアクセスを禁止する（ステップＳ１１）。
　具体的には、サーバ側の認証手段２０２は、アプリケーションからのサーバアプリケーション２０３へのネットワークアクセスを監視し、当該アクセスをフック（検出）すると、クライアントが認証済みクライアントリスト（図８参照）に含まれているか否かを確認し、含まれている場合は、通信を許可し、含まれていない場合は、通信を許可しない（パケットを破棄する）。例えば、ＩＰを用いて通信を行っている場合は、ソースＩＰアドレスが認証済みクライアントリストに含まれている場合は、通信が許可され、含まれていない場合は、通信は許可されない。
　サーバ側の認証手段２０２が、ネットワークアクセス制御手段１０６が導入されていないクライアントからのアクセスを受けた場合は、認証済みクライアントリストにクライアント１００は登録されていないため、認証済みでないとして当該アプリケーション１０３からのアクセスは禁止される。なお、従来技術を適用したクライアントから、アプリケーションのラベルを含むアクセス要求を受信した場合には、従来技術に従ってサーバ２００が、ラベルに従い当該アクセスを処理するようにしてもよい。
［認証処理の流れ］
　次に、ステップＳ８の認証処理について、図１０を参照して詳細に説明する。なお、本実施形態では、チャレンジレスポンス方式により相互認証を行う場合について説明するが、認証方式はこれに限られず、設計等に応じて他の認証方式を適宜採用することができる。
　まず、クライアント１００側の認証手段１０７は、第１チャレンジコードを生成し、サーバ側の認証手段２０２へ送信する。第１チャレンジコードは、例えば乱数を使用して生成することができる（ステップＳ２０）。
　サーバ２００側の認証手段２０２は、第１チャレンジコードを受け取ると、サーバ２００内に保存されている鍵を用いて、第１チャレンジコードから第１レスポンスコードを生成する（ステップＳ２１）。例えば、ＳＨＡ１やＭＤ５などのハッシュ関数を用いて、鍵と第１チャレンジコードを変換することにより、第１レスポンスコードを得ることができる。
　次に、認証手段２０２は、第２チャレンジコードを生成する（ステップＳ２２）。第２チャレンジコードは、例えば乱数を使用して生成することができる。
　認証手段２０２は、生成した第１レスポンスコードと、生成した第２チャレンジコードを、クライアント１００側の認証手段１０７へ送信する（ステップＳ２３）。
　クライアント１００側の認証手段１０７は、ネットワークアクセス制御手段１０６から鍵を取得する（ステップＳ２４）。
　そして、クライアント１００側の認証手段１０７は、Ｓ２０で生成した第１チャレンジコードとネットワークアクセス制御手段１０６から取得した鍵から、正しい第１レスポンスコードを生成する（ステップＳ２５）。
　クライアント１００側の認証手段１０７は、Ｓ２５にて生成した正しい第１レスポンスコードと、サーバ２００側の認証手段２０２から受け取った第１レスポンスコードとを比較し、両者が一致するか否かを確認する（ステップＳ２６）。
　両者が一致しない場合、クライアント１００側の認証手段１０７は、認証失敗として処理を終了する（図示せず）。両者が一致する場合、クライアント１００側の認証手段１０７は、サーバ２００側の認証手段２０２から受信した第２チャレンジコードに対する第２レスポンスコードを、ネットワークアクセス制御手段１０６から取得した鍵を用いて生成する（ステップＳ２７）。認証手段１０７は、例えば、ＳＨＡ１やＭＤ５などのハッシュ関数を用いて、鍵と第２チャレンジコードを変換することにより、第２レスポンスコードを得ることができる。
　次に、認証手段１０７は、オペレーティングシステムから実行中のプロセスリストを取得し、ネットワークアクセス制御手段１０６のプロセスＩＤに基づいてネットワークアクセス制御手段１０６がプロセスリストに載っているか否かを判断することにより、ネットワークアクセス制御手段１０６が動作しているか否かを判断する（ステップＳ２８）。
　認証手段１０７は、ステップＳ２８の判断結果が是である場合は、Ｓ２７にて生成した第２レスポンスコードをサーバ側２００の認証手段２０２へ送信する（ステップＳ２９）。一方、ステップＳ２８の判断結果が否である場合は、認証失敗として処理を終了する（図示せず）。
　サーバ２００側の認証手段２０２は、第２レスポンスコードを受け取ると、Ｓ２２で生成した第２チャレンジコードと鍵とから、正しい第２レスポンスコードを生成する（ステップＳ３０）。
　サーバ２００側の認証手段２０２は、生成した正しい第２レスポンスコードと、クライアント１００側の認証手段１０７から受け取った第１レスポンスコードとを比較し、両者が一致するか否かを確かめる（ステップＳ３１）。
　両者が一致しない場合、認証手段２０２は、認証失敗として処理を終了する（図示せず）。両者が一致する場合は、認証手段２０２は、認証成功とし、認証済みクライアントリストに、当該クライアント１００を認証済みとして記録する。例えば、ＩＰを用いて通信している場合には、クライアント１００を一意的に特定する識別情報（例えば、ＩＰアドレス、ＤＮＳ名、マシン名など）を認証済みクライアントリスト（図８参照）に記録する（ステップＳ３２）。
　以上、第１の実施形態によれば、クライアント１００とサーバ２００間で、クライアント１００にネットワークアクセス制御手段１０６が導入され動作していることを認証することとしたので、クライアント１００側でアクセス制御を行うことを保証することができる。その結果、クライアント１００側でパケットへラベルを付加する必要がなくなるので、オペレーション等の改造をすることなく、ネットワーク対応のマルチレベルセキュリティシステムを提供することが可能になる。
　また、第１の実施形態によれば、クライアント１００のネットワークアクセス制御手段１０６が鍵を保有し、認証の際には、ネットワークアクセス制御手段１０６から認証手段１０７へ鍵を渡すこととしているので、クライアント１００にネットワークアクセス制御手段１０６が導入されていることをサーバ２００がより確実に認証できるようになる。
　また、第１の実施形態によれば、クライアント１００の認証手段１０７は、オペレーティングシステムのプロセスリストにネットワークアクセス制御手段１０６が含まれているか否かを確認することとしているので、認証処理において、クライアント１００のネットワークアクセス制御手段１０６が動作していることを確認することができるようになる。
［第１の実施形態の変形例］
　上記の説明では、サーバ２００側の認証手段２０２のみが認証済みクライアントリストを保持したが、クライアント１００側の認証手段１０７も、認証済みのサーバ２００のＩＰアドレスや名前が記録された認証済みサーバリストを保持してもよい。この場合、既に認証済みのサーバへの通信は、認証を省略することによって、高速に通信が可能になる効果がある。
　また、認証済みクライアントリストは、図８のように、認証が有効な残り時間をさらに記憶することができる。この場合、サーバ２００側の認証手段２０２は、有効時間を所定タイミング（例えば、毎秒）に従って減算し、有効時間が０になったとき、認証手段２０２は、リストから当該エントリを削除するようにしてもよい。また、有効時間が０になる前に、再度認証処理を行い、認証の有効時間をリセットするようにしてもよい。この場合、一定時間ごとに認証が行われるので、正規のクライアント１００やサーバ２００が、不正なクライアントやサーバへ置き換えられることを防止できる。
　さらにまた、認証手段２０２の認証済みクライアントリストや認証手段１０７の認証済みサーバリストは、ＩＰアドレスや名前のみを記録するのみではなく、クライアント１００のアプリケーション１０３が使用するポート番号も記録してもよい。そして、アプリケーション１０３が終了し、ネットワークコネクションが切断されると、ポート番号をもとに、認証済みクライアントリストや認証済みサーバリストから、エントリを削除するようにしてもよい。この動作の場合、アプリケーション１０３が通信を行う間のみ再認証が行われるため、不必要な再認証を回避できる。
　また、上記の説明では、ラベルは、機密と一般の２種類で説明したが、２種類以上のラベルを用いてもよい。例えば、機密、極秘、秘、区分外のような４種類のラベルを割り当てても良い。この場合、ネットワークアクセス制御手段１０６は、一般的なマルチレベルセキュリティシステムと同様に、セキュリティレベルの低いラベルをもつアプリケーション１０３やフォルダ２０４からセキュリティレベルの高いラベルをもつアプリケーション１０３やフォルダ２０４への情報の流通を禁止する。
　さらにまた、上記の説明では、ネットワークアクセス制御手段１０６は、図９中のＳ１０において、フックしていたアプリケーション１０３のネットワークアクセスを許可する場合について説明したが、ラベルに応じて暗号化やログの記録などの処理を行っても良い。これによれば、セキュリティレベルに応じてセキュリティ機能を制御可能なシステムを提供できる。
　また、上記の説明では、ネットワークアクセス制御手段１０６は、フォルダ２０４に対する読み書きを制御する場合について説明したが、ネットワークアクセス制御の内容は、これに限られない。例えば、アプリケーションによるネットワークアクセスが、フォルダへの読み書きではなく、電子メールの送受信であるような場合、ネットワークアクセス制御手段１０６は、当該メールアドレスに対する送受信の制御を行ってもよい。また、サーバ２００のプロセスへの通信を制御するようにしてもよい。
　また、上述したネットワークアクセス制御手段１０６の要認証サーバリストや、サーバ情報記憶手段１０４のフォルダのラベル情報を記録したデータベースを、ユーザごとに定義し、ログインするユーザによって、要認証サーバリストやデータベースを切り替えるように構成することができる。この動作によって、ユーザに応じたアクセス制御を行うことができる。
　また、クライアント１００の認証手段１０７とサーバ２００側の認証手段２０２は、認証処理中の所定のタイミングで、ネットワークアクセス制御手段１０６の改ざん等が行われていないことを確認するようにしてもよい。確認の方法に特に限定はないが、例えば、図１０中のステップＳ２９のタイミングで、認証手段１０７は、ネットワークアクセス制御手段１０６の実行バイナリのハッシュ値を、サーバ２００側の認証手段２０２へ送信する。サーバ２００側の認証手段２０２は、認証手段１０７から受信したハッシュ値と、予め保持しているネットワークアクセス制御手段１０６の実行バイナリのハッシュ値とを比較し、両者が一致するか否か判断する。両者が一致する場合、認証手段２０２は、ネットワークアクセス制御手段１０６の改ざん等が行われていないことを確認する。一方、両者が一致しない場合は、認証手段２０２は、ネットワークアクセス制御手段１０６の改ざん等が行われたと判断し、認証失敗として処理を終了する。
　また、上記の説明では、アクセス制御手段１０６ｂが、要認証サーバリストを保持し、この要認証サーバリストを参照することにより認証の要否を判断する場合について説明したが、認証の要否を判断する方法は、これに限られない。例えば、アクセス制御手段１０６ｂは、サーバ情報記憶手段１０４が保持するサーバ／フォルダ情報（図４参照）を用いて認証の要否を判断することができる。具体的には、アクセス制御手段１０６ｂは、アクセス先のサーバのサーバ／フォルダ情報をサーバ情報記憶手段１０４から取得し、取得したフォルダ情報に機密フォルダが含まれる場合には、当該サーバは機密フォルダを保持しているので、認証が必要なサーバと判断することができる。
　また、上記の説明では、認証手段１０７は、鍵によるネットワークアクセス制御手段１０６の導入確認と、プロセスリストによるネットワークアクセス制御手段１０６の動作確認とを行う場合について説明したが、導入確認のみを行うようにしてもよい。具体的には、認証手段１０７は、図１０のステップＳ２７の処理を実行後、ステップＳ２８の処理を省略して、ステップＳ２９の処理を実行することができる。これによれば、認証処理をより高速に行うことができるという効果がある。
［第２の実施形態］
　次に、第２の実施形態について図１１を参照して詳細に説明する。第１の実施形態と同様箇所については、説明を省略する。第２の実施形態では、図１１に示すように、クライアント１００が、設定受信手段１１０、サーバ２００が設定受信手段２１０をさらに備え、設定送信サーバ３００が設定送信手段３０１を備えている点が、第１の形態と異なっている。
　設定送信サーバ３００の設定送信手段３０１は、サーバ情報記憶手段１０４のデータベースに記憶されるサーバ情報と、ネットワークアクセス制御手段１０６の要認証サーバリストと、ネットワークアクセス制御手段１０６の認証用の鍵を、それぞれ内部に記憶し、それらをクライアント１００の設定受信手段１１０へ送信するように構成されている。また、サーバ２００の設定受信手段２１０へ、認証用の鍵を送信するように構成されている。
　クライアント１００の設定受信手段１１０は、サーバ情報と、要認証サーバリストと、鍵を受信すると、サーバ情報記憶手段１０４のデータベースに記憶されるサーバ情報や、ネットワークアクセス制御手段１０６の要認証サーバリストと認証用の鍵を、それぞれ更新する。また、サーバ２００の設定受信手段２１０は、認証用の鍵を受信すると、認証手段２０２の持つ鍵を更新する。
　第２の形態によれば、サーバ情報記憶手段１０４に記憶されるサーバ情報、ネットワークアクセス制御手段１０６の要認証サーバリスト、及び認証に用いる鍵を、遠隔から更新することが可能になる。特に、クライアント１００やサーバ２００が複数台あるような場合には、管理を効率化できる。
　この出願は、２０１０年１月１９日に出願された日本出願特願２０１０－９１２４を基礎とする優先権を主張し、その開示の全てをここに取り込む。
　以上、実施形態を参照して本発明を説明したが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　本発明に係る機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラムは、既存システムのオペレーションシステム等を改造することなく、ネットワーク対応のマルチレベルセキュリティシステムを提供することに適している。
１０…ＣＰＵ、１１…ＲＯＭ、１２…ＲＡＭ、１３…外部記憶装置、１４…通信インタフェース、１５…入力インタフェース、１６…出力インタフェース、１００…クライアント、１０１…通信手段、１０２…ラベル割当手段、１０３…アプリケーション、１０３ａ…一般アプリケーション、１０３ｂ…機密アプリケーション、１０４…サーバ情報記憶手段、１０５…アクセス制御ルール記憶手段、１０６…ネットワークアクセス制御手段、１０６ａ…監視手段、１０６ｂ…アクセス制御手段、１０７…認証手段、１１０…設定受信手段、２００…サーバ、２０１…通信手段、２０２…認証手段、２０３…サーバアプリケーション、２０４…フォルダ、２０４ａ…一般フォルダ、２０４ｂ…機密フォルダ、２１０…設定受信手段、３００…設定送信サーバ、３０１…設定送信手段、Ｎ…ネットワーク

Claims (7)

  1. 　クライアントとサーバがネットワークを介して通信可能に構成される機密情報漏洩防止システムであって、
    　前記クライアントは、
    　アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御するネットワークアクセス制御手段と、
    　前記ネットワークアクセス制御手段が導入されていることを前記サーバとの間で認証する認証処理を実行する第１認証手段と、を有し、
    　前記サーバは、
    　前記クライアントとの間で認証処理を実行し、当該認証処理が成功した場合に、前記クライアントから送信されるネットワークアクセス要求を許可する第２認証手段を有する、
    ことを特徴とする機密情報漏洩防止システム。
  2. 　前記第１認証手段は、
    　前記ネットワークアクセス制御手段が保持する鍵を用いて前記第２の認証手段との間で前記認証処理を実行することを特徴とする請求項１に記載の機密情報漏洩防止システム。
  3. 　前記第１認証手段は、
    　第１の乱数を利用して生成した第１チャレンジコードを前記サーバへ送信する第１送信手段と、
    　前記サーバより送信された、前記第１チャレンジコードに基づく第１レスポンスコードと、第２チャレンジコードと、を受信する第１受信手段と、
    　前記ネットワークアクセス制御手段が保持する第１の鍵と、前記生成した第１チャレンジコードとに基づいて、第１レスポンスコードを生成する第１レスポンスコード生成手段と、
    　前記第１受信手段が受信した第１レスポンスコードと、前記第１レスポンスコード生成手段が生成した第１レスポンスコードとが一致するか否かを判定する第１判定手段と、
    　前記第１判定手段による判定結果が是である場合、前記第１受信手段が受信した第２チャレンジコードから生成した第２レスポンスコードを前記サーバへ送信する第２送信手段と、を備え、
    　前記第２認証手段は、
    　前記クライアントより送信された第１チャレンジコードから前記第２認証手段が保持する第２の鍵を用いて生成した第１レスポンスコードと、第２の乱数を利用して生成した第２チャレンジコードとを、前記クライアントへ送信する第３送信手段と、
    　前記クライアントから送信された、前記第２チャレンジコードに基づく第２レスポンスコードを受信する第２受信手段と、
    　前記第２の鍵と前記生成した第２チャレンジコードとに基づいて、第２レスポンスコードを生成する第２レスポンスコード生成手段と、
    　前記クライアントから送信された第２レスポンスコードと、前記第２レスポンスコード生成手段が生成した第２レスポンスコードとが一致するか否かを判定し、判定結果が是である場合に、前記認証処理が成功したとする第２判定手段と、
    を備えることを特徴とする請求項１に記載の機密情報漏洩防止システム。
  4. 　前記第１認証手段は、
    　前記ネットワークアクセス制御手段が動作していることを条件に、前記サーバとの間で前記認証処理を実行することを特徴とする請求項１乃至３いずれか１項に記載の機密情報漏洩防止システム。
  5. 　前記第１認証手段は、
    　オペレーティングシステムから実行中のプロセスリストを取得し、当該取得したプロセスリストに前記ネットワークアクセス制御手段が含まれている否かを確認することにより、前記ネットワークアクセス制御手段が動作しているか否かを判断することを特徴とする請求項４に記載の機密情報漏洩防止システム。
  6. 　クライアントとサーバがネットワークを介して通信可能に構成される機密情報漏洩防止システムにおける機密情報漏洩防止方法であって、
    　前記クライアントは、
    　アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する制御ステップと、
    　前記制御ステップを実行するためのネットワークアクセス制御プログラムが導入されていることを前記サーバとの間で認証する認証処理を実行する第１認証ステップと、を有し、
    　前記サーバは、
    　前記クライアントとの間で認証処理を実行する第２認証ステップと、
    　前記認証処理が成功したる場合に、前記クライアントから送信されるネットワークアクセス要求を許可するステップと、を有する、
    ことを特徴とする機密情報漏洩防止方法。
  7. 　サーバとネットワークを介して通信可能に構成されるクライアントに、
    　アプリケーションプログラムから送信される前記サーバへのネットワークアクセス要求を、当該アプリケーションプログラムに割り当てられているセキュリティレベルに基づいて制御する制御ステップと、
    　前記制御ステップを実行するためのネットワークアクセス制御プログラムが導入されていることを前記サーバとの間で認証する認証処理を実行する第１認証ステップと、実行させ、
    　前記サーバに、
    　前記クライアントとの間で認証処理を実行する第２認証ステップと、
    　前記認証処理が成功した場合に、前記クライアントから送信されるネットワークアクセス要求を許可するステップと、を実行させるためのプログラム。
PCT/JP2010/071838 2010-01-19 2010-12-06 機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム WO2011089788A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US13/522,898 US20120291106A1 (en) 2010-01-19 2010-06-12 Confidential information leakage prevention system, confidential information leakage prevention method, and confidential information leakage prevention program
CN201080061850.2A CN102713926B (zh) 2010-01-19 2010-12-06 机密信息泄露防止系统及方法
JP2011550802A JP5704518B2 (ja) 2010-01-19 2010-12-06 機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2010-009124 2010-01-19
JP2010009124 2010-01-19

Publications (1)

Publication Number Publication Date
WO2011089788A1 true WO2011089788A1 (ja) 2011-07-28

Family

ID=44306605

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2010/071838 WO2011089788A1 (ja) 2010-01-19 2010-12-06 機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム

Country Status (4)

Country Link
US (1) US20120291106A1 (ja)
JP (1) JP5704518B2 (ja)
CN (1) CN102713926B (ja)
WO (1) WO2011089788A1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102739665A (zh) * 2012-06-25 2012-10-17 成都卫士通信息产业股份有限公司 一种实现网络虚拟安全域的方法
JPWO2013080659A1 (ja) * 2011-12-01 2015-04-27 Ｎｅｃソリューションイノベータ株式会社 機密情報漏洩防止システム、機密情報漏洩防止方法、及びプログラム
JP2018147203A (ja) * 2017-03-06 2018-09-20 日本電気株式会社 情報漏洩防止装置、情報漏洩防止方法および情報漏洩防止プログラム
JP7429177B2 (ja) 2020-10-07 2024-02-07 株式会社Ｎｔｔドコモ 認証システム

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102196012B (zh) * 2010-03-17 2013-08-07 华为技术有限公司 服务开放方法及系统、服务开放服务器
JP5153843B2 (ja) * 2010-09-10 2013-02-27 シャープ株式会社 サーバ装置、メールサーバ装置、及びｆａｘサーバ装置
JP5701715B2 (ja) * 2011-08-12 2015-04-15 株式会社東芝 エネルギー管理装置、電力管理システムおよびプログラム
US8799989B1 (en) * 2011-12-16 2014-08-05 Google Inc. Network settings browser synchronization
US8910261B2 (en) * 2012-09-28 2014-12-09 Alcatel Lucent Radius policy multiple authenticator support
US9041766B1 (en) 2013-03-14 2015-05-26 Ca, Inc. Automated attention detection
US8850597B1 (en) 2013-03-14 2014-09-30 Ca, Inc. Automated message transmission prevention based on environment
US9716599B1 (en) 2013-03-14 2017-07-25 Ca, Inc. Automated assessment of organization mood
US9256748B1 (en) 2013-03-14 2016-02-09 Ca, Inc. Visual based malicious activity detection
US8887300B1 (en) 2013-03-14 2014-11-11 Ca, Inc. Automated message transmission prevention based on a physical reaction
US9208326B1 (en) 2013-03-14 2015-12-08 Ca, Inc. Managing and predicting privacy preferences based on automated detection of physical reaction
US9100540B1 (en) 2013-03-14 2015-08-04 Ca, Inc. Multi-person video conference with focus detection
US9055071B1 (en) 2013-03-14 2015-06-09 Ca, Inc. Automated false statement alerts
US9047253B1 (en) 2013-03-14 2015-06-02 Ca, Inc. Detecting false statement using multiple modalities
JP6175679B2 (ja) * 2013-10-16 2017-08-09 株式会社 日立産業制御ソリューションズ 業務管理システム
JP2016208174A (ja) * 2015-04-20 2016-12-08 株式会社リコー 通信システムおよび通信方法
JP2017004133A (ja) * 2015-06-08 2017-01-05 株式会社リコー サービス提供システム、情報処理システム、情報処理装置、サービス提供方法、及びプログラム
US9507929B1 (en) * 2015-06-08 2016-11-29 Tata Institute Of Fundamental Research Decentralized information flow securing method and system for multilevel security and privacy domains
CN106022138B (zh) * 2016-05-17 2018-11-20 飞天诚信科技股份有限公司 安全输入方法及过滤驱动
DE102017005366A1 (de) * 2017-06-01 2018-12-06 Manfred Meissner Verfahren zu einem System der interaktiven Autorisierung für den Schutz von Daten
US10555159B1 (en) * 2019-03-13 2020-02-04 Whelen Engineering Company, Inc. System and method for operating stealth mode of emergency vehicle
CN112511569B (zh) * 2021-02-07 2021-05-11 杭州筋斗腾云科技有限公司 网络资源访问请求的处理方法、系统及计算机设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11272616A (ja) * 1998-03-20 1999-10-08 Nri & Ncc Co Ltd データアクセス制御を行うデータ通信システム
JP2003044297A (ja) * 2000-11-20 2003-02-14 Humming Heads Inc コンピュータリソースの制御を行なう情報処理方法および装置、情報処理システム及びその制御方法並びに記憶媒体、プログラム
JP2003173284A (ja) * 2001-12-05 2003-06-20 Hitachi Ltd 送信制御可能なネットワークシステム
JP2005209181A (ja) * 2003-12-25 2005-08-04 Sorun Corp ファイル管理システム及び管理方法
JP2009043033A (ja) * 2007-08-09 2009-02-26 Hitachi Software Eng Co Ltd クライアントサーバシステム

Family Cites Families (30)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6034618A (en) * 1996-10-31 2000-03-07 Matsushita Electric Industrial Co., Ltd. Device authentication system which allows the authentication function to be changed
US20020056043A1 (en) * 1999-01-18 2002-05-09 Sensar, Inc. Method and apparatus for securely transmitting and authenticating biometric data over a network
WO2003036867A1 (en) * 2001-10-26 2003-05-01 Ktfreetel Co., Ltd. System and method for performing mutual authentication between mobile terminal and server
US7587485B1 (en) * 2002-09-19 2009-09-08 Foundry Networks, Inc. System and method for supplicant based accounting and access
JP2004126889A (ja) * 2002-10-01 2004-04-22 Sharp Corp 電子印鑑、リムーバブルメモリ媒体、事前認証システム、携帯機器、携帯電話装置および車両始動制御装置
US8117639B2 (en) * 2002-10-10 2012-02-14 Rocksteady Technologies, Llc System and method for providing access control
US7206600B2 (en) * 2002-12-26 2007-04-17 Intel Corporation Method and apparatus of antenna detection and authentication
US20050004873A1 (en) * 2003-02-03 2005-01-06 Robin Pou Distribution and rights management of digital content
US20050229004A1 (en) * 2004-03-31 2005-10-13 Callaghan David M Digital rights management system and method
US8112789B2 (en) * 2005-10-11 2012-02-07 Citrix Systems, Inc. Systems and methods for facilitating distributed authentication
US20070113291A1 (en) * 2005-11-17 2007-05-17 Juin-Jia Dai Method for administrating the function access
EP1873674B1 (en) * 2005-12-19 2019-09-04 Nippon Telegraph And Telephone Corporation Terminal identification method, authentication method, authentication system, server, terminal, radio base station, program, and recording medium
US20070143851A1 (en) * 2005-12-21 2007-06-21 Fiberlink Method and systems for controlling access to computing resources based on known security vulnerabilities
US20070199044A1 (en) * 2006-02-17 2007-08-23 Samsung Electronics Co., Ltd. Systems and methods for distributed security policy management
JPWO2007125877A1 (ja) * 2006-04-28 2009-09-10 パナソニック株式会社 通信装置、及び通信システム
US7814531B2 (en) * 2006-06-30 2010-10-12 Intel Corporation Detection of network environment for network access control
JP2008033652A (ja) * 2006-07-28 2008-02-14 Nec Infrontia Corp クライアント・サーバ型分散システム、クライアント装置、サーバ装置及びそれらに用いる相互認証方法
US8272048B2 (en) * 2006-08-04 2012-09-18 Apple Inc. Restriction of program process capabilities
US8261345B2 (en) * 2006-10-23 2012-09-04 Endeavors Technologies, Inc. Rule-based application access management
US8225103B2 (en) * 2006-10-24 2012-07-17 Avatier Corporation Controlling access to a protected network
US8312518B1 (en) * 2007-09-27 2012-11-13 Avaya Inc. Island of trust in a service-oriented environment
US20090205018A1 (en) * 2008-02-07 2009-08-13 Ferraiolo David F Method and system for the specification and enforcement of arbitrary attribute-based access control policies
CN101960465A (zh) * 2008-03-03 2011-01-26 日本电气株式会社 机密信息泄漏防止系统和机密信息泄漏防止方法
US8353041B2 (en) * 2008-05-16 2013-01-08 Symantec Corporation Secure application streaming
US8661252B2 (en) * 2008-06-20 2014-02-25 Microsoft Corporation Secure network address provisioning
KR100997802B1 (ko) * 2008-10-20 2010-12-01 한국전자통신연구원 정보 단말기의 보안 관리 장치 및 방법
US8424071B2 (en) * 2009-04-15 2013-04-16 International Business Machines Corporation Method and apparatus for secure and reliable computing
CN101605325B (zh) * 2009-06-29 2012-06-06 钱袋网（北京）信息技术有限公司 身份认证的方法和移动终端、服务器以及身份认证系统
CN101631113B (zh) * 2009-08-19 2011-04-06 西安西电捷通无线网络通信股份有限公司 一种有线局域网的安全访问控制方法及其系统
WO2011086787A1 (ja) * 2010-01-13 2011-07-21 日本電気株式会社 機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH11272616A (ja) * 1998-03-20 1999-10-08 Nri & Ncc Co Ltd データアクセス制御を行うデータ通信システム
JP2003044297A (ja) * 2000-11-20 2003-02-14 Humming Heads Inc コンピュータリソースの制御を行なう情報処理方法および装置、情報処理システム及びその制御方法並びに記憶媒体、プログラム
JP2003173284A (ja) * 2001-12-05 2003-06-20 Hitachi Ltd 送信制御可能なネットワークシステム
JP2005209181A (ja) * 2003-12-25 2005-08-04 Sorun Corp ファイル管理システム及び管理方法
JP2009043033A (ja) * 2007-08-09 2009-02-26 Hitachi Software Eng Co Ltd クライアントサーバシステム

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPWO2013080659A1 (ja) * 2011-12-01 2015-04-27 Ｎｅｃソリューションイノベータ株式会社 機密情報漏洩防止システム、機密情報漏洩防止方法、及びプログラム
CN102739665A (zh) * 2012-06-25 2012-10-17 成都卫士通信息产业股份有限公司 一种实现网络虚拟安全域的方法
JP2018147203A (ja) * 2017-03-06 2018-09-20 日本電気株式会社 情報漏洩防止装置、情報漏洩防止方法および情報漏洩防止プログラム
JP7429177B2 (ja) 2020-10-07 2024-02-07 株式会社Ｎｔｔドコモ 認証システム

Also Published As

Publication number Publication date
JP5704518B2 (ja) 2015-04-22
US20120291106A1 (en) 2012-11-15
CN102713926A (zh) 2012-10-03
CN102713926B (zh) 2016-05-11
JPWO2011089788A1 (ja) 2013-05-20

Similar Documents

Publication Publication Date Title
JP5704518B2 (ja) 機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム
JP4746266B2 (ja) ネットワーク・ロケーション中のサブ・ロケーションについてのユーザの認証の方法およびシステム
US9942274B2 (en) Securing communication over a network using client integrity verification
US9413750B2 (en) Facilitating single sign-on (SSO) across multiple browser instance
KR101720160B1 (ko) 인간의 개입이 없는 어플리케이션들을 위한 인증 데이터베이스 커넥티비티
US9047458B2 (en) Network access protection
US7774611B2 (en) Enforcing file authorization access
US9438629B2 (en) Sensitive information leakage prevention system, sensitive information leakage prevention method, and computer-readable recording medium
JP6096376B2 (ja) アクセス制御方法、装置、プログラム、及び記録媒体
JP5822078B2 (ja) 機密情報漏洩防止システム、機密情報漏洩防止方法及び機密情報漏洩防止プログラム
US20220345491A1 (en) Systems and methods for scalable zero trust security processing
JP6464544B1 (ja) 情報処理装置、情報処理方法、情報処理プログラム、及び情報処理システム
KR101364610B1 (ko) 웹 스토리지 객체를 이용하는 웹 사이트 접속 인증 방법 및 시스템
KR101066729B1 (ko) 네트워크 위치의 하위 위치에 대한 사용자의 인증을 위한 방법 및 시스템
CN116015692A (zh) 一种网络准入控制方法、装置、终端及存储介质
JP2019061696A (ja) 端末装置
JP2006058995A (ja) アクセス権限設定装置、方法およびシステム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201080061850.2

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10843952

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2011550802

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 13522898

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 10843952

Country of ref document: EP

Kind code of ref document: A1