WO2023135653A1 - 検知装置、検知方法および検知プログラム - Google Patents

検知装置、検知方法および検知プログラム Download PDF

Info

Publication number
WO2023135653A1
WO2023135653A1 PCT/JP2022/000592 JP2022000592W WO2023135653A1 WO 2023135653 A1 WO2023135653 A1 WO 2023135653A1 JP 2022000592 W JP2022000592 W JP 2022000592W WO 2023135653 A1 WO2023135653 A1 WO 2023135653A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
detection
file size
position information
change
Prior art date
Application number
PCT/JP2022/000592
Other languages
English (en)
French (fr)
Inventor
伸浩 千葉
浩義 瀧口
高明 小山
良彰 中嶋
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2022/000592 priority Critical patent/WO2023135653A1/ja
Publication of WO2023135653A1 publication Critical patent/WO2023135653A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures

Definitions

  • the present invention relates to a detection device, a detection method, and a detection program.
  • a method using the digest value of file contents is known as a method for detecting tampering. For example, when checking whether or not the contents of a file in a device have been tampered with, define in advance a list that shows the combination of each file path in the device and the digest value of the file content as a judgment criterion, and then use the device. When confirming whether or not a file has been tampered with, there is a mechanism that sequentially compares this judgment criterion with the digest value of the content of the file in the device, and confirms whether or not there is tampering based on the presence or absence of a difference.
  • methods using file attribute information are also known as methods of detecting alteration.
  • methods using file attribute information are also known as methods of detecting alteration.
  • the present invention has been made in view of the above, and aims to provide a detection device, a detection method, and a detection program that can accurately and quickly detect falsification of files.
  • the detection device of the present invention includes an acquisition unit that acquires location information and a file size of a file to be tampered detected; and a detection unit that determines a change in the file size, and detects falsification of the falsification detection target file when there is a change in the position information or the file size.
  • FIG. 1 is a block diagram illustrating the configuration of the detection device of this embodiment.
  • FIG. 2 is a diagram showing an example of criteria stored in a criteria storage unit.
  • FIG. 3 is a diagram for explaining information used for falsification detection.
  • FIG. 4 is a diagram for explaining position information of a file storage area.
  • FIG. 5 is a diagram for explaining a comparison between the detection time of the detection device of this embodiment and the conventional detection time.
  • FIG. 6 is a diagram explaining another example of the criterion.
  • FIG. 7 is a flowchart illustrating an example of a processing procedure for preprocessing.
  • FIG. 8 is a flowchart illustrating an example of a processing procedure of detection processing.
  • FIG. 9 is a diagram showing a computer that executes a program.
  • FIG. 1 is a block diagram illustrating the configuration of the detection device of this embodiment.
  • the detection device 10 of this embodiment has a communication processing unit 11 , an input unit 12 , an output unit 13 , a control unit 14 and a storage unit 15 .
  • the communication processing unit 11 is realized by a NIC (Network Interface Card) or the like, and communicates with a target device (not shown) that holds a file to be tampered with via an electric communication line such as a LAN (Local Area Network) or the Internet. It controls communication with the control unit 14 .
  • the communication processing unit 11 receives a set of file path, digest value of file contents, file position information, digest value of position information, and file attribute information from the target device.
  • the input unit 12 is implemented using input devices such as a keyboard and a mouse, and inputs various instruction information such as processing start to the control unit 14 in response to input operations by the operator.
  • the output unit 13 is implemented by a display device such as a liquid crystal display. For example, the output unit 13 outputs the result of falsification detection.
  • the storage unit 15 stores data and programs necessary for various processes by the control unit 14, and has a criterion storage unit 15a.
  • the storage unit 15 is a semiconductor memory device such as RAM (Random Access Memory) or flash memory, or a storage device such as a hard disk or optical disk.
  • the criterion storage unit 15a stores pre-created criteria for detecting falsification. For example, as illustrated in FIG. 2, the determination criterion storage unit 15a stores, as determination criteria, a file path, a digest value of file contents, file position information, a digest value of file position information, and file attribute information. .
  • FIG. 2 is a diagram showing an example of criteria stored in a criteria storage unit.
  • the control unit 14 has an internal memory for storing programs defining various processing procedures and required data, and executes various processing using these.
  • the control unit 14 has an acquisition unit 14a, a storage unit 14b, and a detection unit 14c.
  • the control unit 14 is an electronic circuit such as a CPU (Central Processing Unit) or MPU (Micro Processing Unit), or an integrated circuit such as an ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Array).
  • the acquisition unit 14a acquires the location information and file size of the file to be tampered with.
  • the acquisition unit 14a may acquire the digest value of the file position information instead of the file position information, or may acquire the digest value of the file position information together with the file position information.
  • the acquisition unit 14a acquires the digest value and the file size of the location information of the falsification detection target file.
  • the acquisition unit 14a acquires the position information and file size of the file to be tampered with, for example, when the determination criteria are generated and when tampering is detected.
  • the acquisition unit 14a obtains a set of file path, digest value of file content, file location information, digest value of location information, and file attribute information for a file to be tampered with. , obtained from the target device.
  • the acquisition unit 14a acquires the position information and file size of the file targeted for tampering detection from the target device when tampering detection is performed.
  • the acquiring unit 14a obtains a set of file path, digest value of file content, file location information, digest value of location information, and file attribute information for a file to be tampered with, It may be obtained from the target device.
  • the storage unit 14b generates criteria including the position information or file size acquired by the acquisition unit 14a, and stores them in the criteria storage unit 15a. For example, the storage unit 14b generates a set of file path, digest value of file content, file position information, digest value of position information, and file attribute information as the determination criteria, and stores them in the determination criteria storage unit 15a.
  • the detection unit 14c determines a change in the position information or the file size acquired by the acquisition unit 14a, and detects tampering of the file targeted for tampering detection when there is a change in the position information or the file size. Further, the detection unit 14c determines a change in the digest value or the file size of the location information acquired by the acquisition unit 14a, and if there is a change in the digest value or the file size of the location information, the file to be tampered with is detected. tampering may be detected.
  • the detection unit 14c compares the position information and the file size included in the determination criteria stored in the determination criteria storage unit 15a with the location information and the file size acquired when performing the falsification detection. If any of the file sizes do not match, it is assumed that there has been a change in the position information or the file size, and tampering with the tampering detection target file is detected.
  • the detection unit 14c may detect falsification by further using the digest value of the file content. For example, when there is a change in position information or file size, the detection unit 14c further determines whether there is a change in the digest value of the file content. Alteration of the target file may be detected. More specifically, for example, when the detection unit 14c confirms whether or not a file in the target device has been falsified, the detection unit 14c determines whether the file path in the determination criteria, the file location information (or the digest value of the location information), the file attribute Compare the information with each piece of information in the device and check for discrepancies. Then, if there is no mismatch, the detection unit 14c determines that the device has not been tampered with, and terminates the confirmation. If there is a mismatch, the detection unit 14c compares the digest value of the file content in the file path criteria with the digest value of the file in the device. Determine that the contents of the file have been tampered with.
  • FIG. 3 is a diagram for explaining information used for falsification detection.
  • the detection unit 14c cannot detect falsification of the file content only with the file attribute information because the file attribute information (i-node number and file size) does not change in the case of overwrite update.
  • location information makes it possible to detect falsification.
  • the detection unit 14c does not change the position information in the case of additional writing, and in the case of additional writing of a small size, the position information does not change, and the detection unit 14c cannot detect falsification based on only the position information. This makes it possible to detect falsification.
  • the detection unit 14c detects that the file content has been tampered with by combining the location information of the file storage area on the file system and the file size as a file tampering detection method.
  • a file system such as ext2 of Linux (registered trademark)
  • storage areas are divided into units called Blocks and managed, and correspond to data Block numbers.
  • this corresponds to the cluster number.
  • the block number indicates the position on the storage medium, and the entire file can be read by tracing the multiple block numbers associated with the file.
  • the Block number is an address on storage, and it is difficult for the user to easily change it.
  • FIG. 4 is a diagram for explaining position information of a file storage area.
  • a block is the minimum unit (equivalent to a cluster in FAT (File Allocation Table)) for storing data used in an ext file system.
  • FAT File Allocation Table
  • one file consists of a plurality of Blocks and is managed by an i-node table. Also, for example, when the file content is rewritten, the content is written in another block, and the correspondence between the file and the block is updated.
  • the detection device 10 detects falsification of a file using location information (block number, etc.) of the storage area of the file together with the attribute information of the file, so that falsification of the file can be detected quickly and accurately.
  • location information block number, etc.
  • file attribute information per file more than the digest value of the file content.
  • the contents of the files in the device are read sequentially and compared with the original contents to check whether they have been altered. , if you have a lot of files, reading all the file contents can be rigorous, but it takes a long time.
  • the detection device 10 reads the location information of the storage area of the file on the file system and the file size instead of the contents of the file, compares them with the original location information and file size, and confirms whether they have been changed.
  • Only the files whose location information or file size has been changed are read and compared with the original contents. can be detected quickly.
  • File location information and attribute information are generally very small compared to the size of the file itself, and it takes only a short time to acquire them.
  • the detection device 10 checks not only the attribute information but also the position information of the storage area of the file in combination. This makes it possible to more accurately detect that a file has been tampered with.
  • FIG. 6 is a diagram explaining another example of the criterion.
  • FIG. 7 is a flowchart illustrating an example of a processing procedure for preprocessing.
  • FIG. 8 is a flowchart illustrating an example of a processing procedure of detection processing.
  • the acquisition unit 14a of the detection device 10 acquires the position information and file size of the file to be tampered with detected (step S101). For example, when the determination criteria are generated, the acquisition unit 14a obtains a set of file path, digest value of file content, file location information, digest value of location information, and file attribute information for a file to be tampered with. , obtained from the target device.
  • the storage unit 14b generates a determination criterion including the position information or the file size acquired by the acquisition unit 14a (step S102), and stores it in the determination criterion storage unit 15a (step S103). For example, the storage unit 14b generates a set of file path, digest value of file content, file position information, digest value of position information, and file attribute information as the determination criteria, and stores them in the determination criteria storage unit 15a.
  • the acquisition unit 14a acquires the position information and file size of the file to be tampered with when tampering is detected (step S201).
  • the detection unit 14c compares the position information and file size acquired when detecting falsification with the position information and file size of the determination criteria stored in the determination criteria storage unit 15a (step S202). As a result, the detection unit 14c determines whether or not both the position information and the file size match (step S203).
  • the detection unit 14c assumes that there has been no falsification and terminates the process. If one or both of the position information and the file size do not match (No at step S203), the detection unit 14c detects falsification of the falsification detection target file (step S204).
  • the detection device 10 acquires the position information and file size of the file to be tampered with, determines whether the acquired position information or file size has changed, and determines whether the position information or file size has changed. tampering detection target file is detected. As a result, the detection device 10 can accurately and quickly detect falsification of a file.
  • the detection device 10 detects falsification of a file using location information (block number, etc.) of a file storage area together with the file size, falsification of a file can be detected quickly and accurately. be.
  • each component of each device shown in the drawings according to the above embodiment is functionally conceptual, and does not necessarily need to be physically configured as shown in the drawing.
  • the specific form of distribution and integration of each device is not limited to the one shown in the figure, and all or part of them can be functionally or physically distributed and integrated in arbitrary units according to various loads and usage conditions. Can be integrated and configured.
  • each processing function performed by each device may be implemented in whole or in part by a CPU and a program analyzed and executed by the CPU, or implemented as hardware based on wired logic.
  • ⁇ program ⁇ It is also possible to create a program in which the processing executed by the detection device 10 described in the above embodiment is described in a computer-executable language. In this case, the same effects as those of the above embodiments can be obtained by having the computer execute the program. Further, such a program may be recorded in a computer-readable recording medium, and the program recorded in this recording medium may be read by a computer and executed to realize processing similar to that of the above embodiments.
  • FIG. 9 is a diagram showing a computer that executes a program.
  • computer 1000 includes, for example, memory 1010, CPU 1020, hard disk drive interface 1030, disk drive interface 1040, serial port interface 1050, video adapter 1060, and network interface 1070. , and these units are connected by a bus 1080 .
  • the memory 1010 includes a ROM (Read Only Memory) 1011 and a RAM 1012, as illustrated in FIG.
  • the ROM 1011 stores a boot program such as BIOS (Basic Input Output System).
  • BIOS Basic Input Output System
  • Hard disk drive interface 1030 is connected to hard disk drive 1031 as illustrated in FIG.
  • Disk drive interface 1040 is connected to disk drive 1041 as illustrated in FIG.
  • a removable storage medium such as a magnetic disk or optical disk is inserted into the disk drive 1041 .
  • the serial port interface 1050 is connected to, for example, a mouse 1051 and a keyboard 1052 as illustrated in FIG.
  • Video adapter 1060 is connected to display 1061, for example, as illustrated in FIG.
  • the hard disk drive 1031 stores, for example, an OS 1091, application programs 1092, program modules 1093, and program data 1094. That is, the above program is stored in, for example, the hard disk drive 1031 as a program module in which instructions to be executed by the computer 1000 are described.
  • the various data described in the above embodiments are stored as program data in the memory 1010 or the hard disk drive 1031, for example. Then, the CPU 1020 reads the program modules 1093 and program data 1094 stored in the memory 1010 and the hard disk drive 1031 to the RAM 1012 as necessary, and executes various processing procedures.
  • program module 1093 and program data 1094 related to the program are not limited to being stored in the hard disk drive 1031. For example, they may be stored in a removable storage medium and read out by the CPU 1020 via a disk drive or the like. . Alternatively, the program module 1093 and program data 1094 related to the program are stored in another computer connected via a network (LAN (Local Area Network), WAN (Wide Area Network), etc.), and via the network interface 1070 It may be read by CPU 1020 .
  • LAN Local Area Network
  • WAN Wide Area Network
  • detection device 11 communication processing unit 12 input unit 13 output unit 14 control unit 14a acquisition unit 14b storage unit 14c detection unit 15 storage unit 15a criterion storage unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

検知装置（１０）は、改ざん検知対象のファイルの位置情報およびファイルサイズを取得する。そして、検知装置（１０）は、取得した位置情報またはファイルサイズの変化を判定し、位置情報またはファイルサイズの変化があった場合には、改ざん検知対象のファイルの改ざんを検知する。

Description

検知装置、検知方法および検知プログラム
　本発明は、検知装置、検知方法および検知プログラムに関する。
　従来、改ざんを検知する手法として、ファイル内容のダイジェスト値を用いた方式が知られている。例えば、機器内のファイルの内容の改ざん有無を確認する場合には、事前に機器内の各ファイルパスと、ファイル内容のダイジェスト値の組み合わせを示すリストを判定基準として定義して置き、その後、機器内の改ざん有無を確認する際に、この判定基準と、機器内のファイル内容のダイジェスト値とを順次比較し、差分の有無により、改ざんの有無を確認する仕組みがある。
　また、改ざんを検知する手法として、ファイル内容のほか、ファイルの属性情報を用いた方式も知られている、例えば、ファイルの属性情報の変化をもとに、ファイルの改ざんを検出するソフトウェアも存在する。
特開２０１９－００８３７６号公報
ゼロから始めるLinuxセキュリティ（8）　Tripwireによるホスト型IDSの構築、[online]、［2022年1月5日検索］、インターネット＜https://atmarkit.itmedia.co.jp/ait/articles/0203/19/news002_2.html＞
　しかしながら、従来の技術では、正確かつ迅速にファイルの改ざんを検知することができない場合があるという課題があった。例えば、従来のファイル内容のダイジェスト値を用いた方式では、改ざん有無を確認する際、機器内のファイル内容のダイジェスト値を生成するには、一度ファイル内容を全て読み込まなければならず、機器内にサイズの大きいファイルや、大量のファイルがある場合、ファイル内容を全て読み取るには時間がかかり、機器の改ざんに素早く気付くことができなかった。
　また、従来のファイルの属性情報を用いた方式では、ファイル内容を改ざんしても、属性情報が変化しないパターン（同じファイルサイズのままで、内容を書き換えるパターン、ファイル内容変更後、変更前のタイムスタンプに改ざんするパターン等）があり、このようなファイル改ざんを防ぐことが困難であった。
　本発明は、上記に鑑みてなされたものであって、正確かつ迅速にファイルの改ざんを検知することができる検知装置、検知方法および検知プログラムを提供することを目的とする。
　上述した課題を解決し、目的を達成するために、本発明の検知装置は、改ざん検知対象のファイルの位置情報およびファイルサイズを取得する取得部と、前記取得部によって取得された前記位置情報または前記ファイルサイズの変化を判定し、前記位置情報または前記ファイルサイズの変化があった場合には、前記改ざん検知対象のファイルの改ざんを検知する検知部とを有することを特徴とする。
　本発明によれば、正確かつ迅速にファイルの改ざんを検知することが可能となる。
図１は、本実施形態の検知装置の構成を例示するブロック図である。 図２は、判断基準記憶部に記憶された判断基準の一例を示す図である。 図３は、改ざん検知に用いる情報について説明する図である。 図４は、ファイルの格納領域の位置情報について説明する図である。 図５は、本実施形態の検知装置の検知時間と従来の検知時間との比較について説明する図である。 図６は、判断基準のその他の一例について説明する図である。 図７は、事前処理の処理手順の一例を示すフローチャートである。 図８は、検知処理の処理手順の一例を示すフローチャートである。 図９は、プログラムを実行するコンピュータを示す図である。
　以下に、本願に係る検知装置、検知方法および検知プログラムの実施の形態を図面に基づいて詳細に説明する。また、本発明は、以下に説明する実施の形態により限定されるものではない。
［検知装置の構成］
　図１は、本実施形態の検知装置の構成を例示するブロック図である。図１に例示するように、本実施形態の検知装置１０は、通信処理部１１、入力部１２、出力部１３、制御部１４、および記憶部１５を有する。
　通信処理部１１は、ＮＩＣ（Network　Interface　Card）等で実現され、ＬＡＮ（Local　Area　Network）やインターネットなどの電気通信回線を介して、改ざん検知対象のファイルを保持する対象機器（図示せず）と制御部１４との通信を制御する。例えば、通信処理部１１は、ファイルパス、ファイル内容のダイジェスト値、ファイルの位置情報、位置情報のダイジェスト値、ファイルの属性情報の組を対象機器から受信する。
　入力部１２は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１４に対して処理開始などの各種指示情報を入力する。出力部１３は、液晶ディスプレイなどの表示装置等によって実現される。例えば、出力部１３は、改ざん検知の結果を出力する。
　記憶部１５は、制御部１４による各種処理に必要なデータおよびプログラムを格納し、判定基準記憶部１５ａを有する。例えば、記憶部１５は、ＲＡＭ（Random　Access　Memory）、フラッシュメモリ（Flash　Memory）等の半導体メモリ素子、又は、ハードディスク、光ディスク等の記憶装置などである。
　判定基準記憶部１５ａは、改ざんを検知するための予め作成された判定基準を記憶する。例えば、判定基準記憶部１５ａは、図２に例示するように、判定基準として、ファイルパス、ファイル内容のダイジェスト値、ファイルの位置情報、ファイルの位置情報のダイジェスト値およびファイルの属性情報を記憶する。図２は、判断基準記憶部に記憶された判断基準の一例を示す図である。
　制御部１４は、各種の処理手順などを規定したプログラムおよび所要データを格納するための内部メモリを有し、これらによって種々の処理を実行する。例えば、制御部１４は、取得部１４ａ、格納部１４ｂおよび検知部１４ｃを有する。ここで、制御部１４は、ＣＰＵ（Central　Processing　Unit）やＭＰＵ（Micro　Processing　Unit）などの電子回路やＡＳＩＣ（Application　Specific　Integrated　Circuit）やＦＰＧＡ（Field　Programmable　Gate　Array）などの集積回路である。
　取得部１４ａは、改ざん検知対象のファイルの位置情報およびファイルサイズを取得する。取得部１４ａは、ファイルの位置情報に代えてファイルの位置情報のダイジェスト値を取得してもよいし、ファイルの位置情報とともに、ファイルの位置情報のダイジェスト値を取得するようにしてもよい。例えば、取得部１４ａは、改ざん検知対象のファイルの位置情報のダイジェスト値およびファイルサイズを取得する。
　取得部１４ａは、例えば、取得するタイミングとして、判定基準が生成される際と、改ざん検知が行われる際に、改ざん検知対象のファイルの位置情報およびファイルサイズを取得する。
　例えば、取得部１４ａは、判定基準が生成される際に、改ざん検知対象のファイルについて、ファイルパス、ファイル内容のダイジェスト値、ファイルの位置情報、位置情報のダイジェスト値、ファイルの属性情報の組を、対象機器から取得する。
　また、取得部１４ａは、改ざん検知が行われる際に、改ざん検知対象のファイルの位置情報およびファイルサイズを対象機器から取得する。なお、取得部１４ａは、改ざん検知が行われる際に、改ざん検知対象のファイルについて、ファイルパス、ファイル内容のダイジェスト値、ファイルの位置情報、位置情報のダイジェスト値、ファイルの属性情報の組を、対象機器から取得してもよい。
　格納部１４ｂは、取得部１４ａによって取得された位置情報またはファイルサイズを含む判定基準を生成し、判定基準記憶部１５ａに格納する。例えば、格納部１４ｂは、判定基準として、ファイルパス、ファイル内容のダイジェスト値、ファイルの位置情報、位置情報のダイジェスト値、ファイルの属性情報の組を生成し、判定基準記憶部１５ａに格納する。
　検知部１４ｃは、取得部１４ａによって取得された位置情報またはファイルサイズの変化を判定し、位置情報またはファイルサイズの変化があった場合には、改ざん検知対象のファイルの改ざんを検知する。また、検知部１４ｃは、取得部１４ａによって取得された位置情報のダイジェスト値またはファイルサイズの変化を判定し、位置情報のダイジェスト値またはファイルサイズの変化があった場合には、改ざん検知対象のファイルの改ざんを検知してもよい。
　例えば、検知部１４ｃは、判定基準記憶部１５ａに記憶された判定基準に含まれる位置情報およびファイルサイズと、改ざん検知を行う際に取得された位置情報およびファイルサイズとを比較し、位置情報およびファイルサイズのうち、いずれかが一致しない場合には、位置情報またはファイルサイズの変化があったものとして、改ざん検知対象のファイルの改ざんを検知する。
　なお、検知部１４ｃは、さらにファイル内容のダイジェスト値を用いて、改ざんを検知してもよい。例えば、検知部１４ｃは、位置情報またはファイルサイズの変化があった場合に、ファイル内容のダイジェスト値に変化があったかをさらに判定し、ファイル内容のダイジェスト値に変化があった場合には、改ざん検知対象のファイルの改ざんを検知するようにしてもよい。より具体的に説明すると、例えば、検知部１４ｃは、対象機器のファイルの改ざん有無を確認する場合、判定基準内のファイルパスと、ファイルの位置情報（もしくは位置情報のダイジェスト値）、ファイルの属性情報と、機器内の各情報を比較し、不一致の箇所がないか、確認する。そして、検知部１４ｃは、不一致が無ければ、機器が改ざんされていないと判断し、確認を終了する。もし不一致の箇所があった場合は、検知部１４ｃは、そのファイルパスの判定基準内のファイル内容のダイジェスト値と、機器内の当該ファイルのダイジェスト値とを比較し、もし不一致であれば、当該ファイルの内容が改ざんされたと判断する。
　ここで、図３を用いて、改ざん検知に用いる情報について説明する。図３は、改ざん検知に用いる情報について説明する図である。図３に例示するように、ファイル内容改ざんの種類として、例えば、「上書き更新」、「追記」および「ファイル差し替え」がある。図３の例では、検知部１４ｃは、上書き更新の場合には、ファイル属性情報（i-node番号およびファイルサイズ）が変化しないため、ファイル属性情報だけではファイル内容の改ざんを検知することができないが、位置情報により、改ざんを検知することが可能となる。なお、検知部１４ｃは、追記の場合であって、わずかなサイズの追記の場合は、位置情報が変化せず、位置情報だけでは改ざんを検知できないが、ファイル属性情報のうち、ファイルサイズを組み合わせることで、改ざんを検知することが可能となる。
　このように、検知部１４ｃは、ファイル改ざんの検知手法として、ファイルシステム上のファイルの格納領域の位置情報と、ファイルサイズを組み合わせることで、ファイル内容が改ざんされたことを検知する。例えば、Linux（登録商標）のext2等のファイルシステムでは、記憶領域をBlockという単位に分けて管理を行っており、データBlock番号に該当する。なお、Windows（登録商標）のファイルシステムの場合、クラスタ番号に相当する。Block番号は、記憶媒体上の位置を示しており、ファイルに紐づく複数のBlock番号をたどることで、ファイル全体が読みだされる。つまり、Block番号は、ストレージ上のアドレスであり、ユーザから容易に変更することは困難である。
　ここで、図４を用いて、ファイルの格納領域の位置情報について説明する。図４は、ファイルの格納領域の位置情報について説明する図である。Blockは、ext系のファイルシステムで用いるデータを保存するための最小単位（FAT（File　Allocation　Table）だとクラスタに相当）である。図４に例示するように、１つのファイルは、複数のBlockで構成され、i-nodeのテーブルで管理される。また、例えば、ファイル内容が書き換えられた際は、別のブロックに内容が書き込まれ、ファイルとBlockの対応関係が更新される。
　このように、検知装置１０では、ファイルの属性情報と合わせて、ファイルの格納領域の位置情報（Block番号等）を用いてファイルの改ざんを検知するため、素早く、正確にファイルの改ざんを検知できる。また、検知装置１０は、図５に例示するように、検証環境で測定した結果によると、ファイル内容のダイジェスト値に比べ、位置情報（Block番号等）とファイル属性情報を取得したほうが１ファイル当たりの平均検知時間が大幅に短縮できる。つまり、位置情報やファイルの属性情報の取得は、ファイル内容のダイジェスト値の取得に比べて、非常に高速に取得することが可能であり、検知不能時間の短縮化を実現することが可能である。
　通常、機器内のファイルの内容の改ざん有無を確認するには、機器内のファイルの内容を順次読み取り、元の内容と比較し、変更されていないかを確認するが、特にサイズの大きいファイルや、大量のファイルがある場合、ファイル内容を全て読み取るのは、厳密に確認できるものの、時間がかかる。検知装置１０では、ファイルの内容に代えて、ファイルシステム上のファイルの格納領域の位置情報や、ファイルサイズを読み取り、元の位置情報やファイルサイズと比較し、変更されていないかを確認する。ここで位置情報やファイルサイズが変更されていたファイルについてのみ、ファイルの内容を読み取り、元の内容と比較する仕組みとすることで、ファイル内容を読み取る量や頻度を減らすことができ、機器の改ざんを素早く検出できるようになる。なお、ファイルの位置情報や属性情報は、ファイルそのもののサイズに比べて一般的に非常に小さく、取得するにもわずかな時間しかかからない。
　また、属性情報だけでは、ファイル内容を改ざんしても属性情報が変化しないパターンが存在するため、検知装置１０では、属性情報だけでなく、ファイルの格納領域の位置情報の情報を組み合わせて確認することで、ファイルが改ざんされたことを、より正しく検知することが可能となる。
　なお、判定基準の例は、図２に例示したものに限定されるものではない。例えば、図６に例示するように、ブロック番号のダイジェスト値（位置情報のダイジェスト値）があれば位置情報であるブロック番号は不要である。図６は、判断基準のその他の一例について説明する図である。
［検知装置の処理手順］
　次に、図７および図８を用いて、検知装置１０が実行する処理の処理手順の一例について説明する。図７は、事前処理の処理手順の一例を示すフローチャートである。図８は、検知処理の処理手順の一例を示すフローチャートである。
　まず、図７を用いて事前処理の処理手順について説明する。図７に例示するように、検知装置１０の取得部１４ａが、改ざん検知対象のファイルの位置情報およびファイルサイズを取得する（ステップＳ１０１）。例えば、取得部１４ａは、判定基準が生成される際に、改ざん検知対象のファイルについて、ファイルパス、ファイル内容のダイジェスト値、ファイルの位置情報、位置情報のダイジェスト値、ファイルの属性情報の組を、対象機器から取得する。
　そして、格納部１４ｂは、取得部１４ａによって取得された位置情報またはファイルサイズを含む判定基準を生成し（ステップＳ１０２）、判定基準記憶部１５ａに格納する（ステップＳ１０３）。例えば、格納部１４ｂは、判定基準として、ファイルパス、ファイル内容のダイジェスト値、ファイルの位置情報、位置情報のダイジェスト値、ファイルの属性情報の組を生成し、判定基準記憶部１５ａに格納する。
　次に、図８を用いて、検知処理の処理手順について説明する。図８に例示するように、取得部１４ａが、改ざん検知が行われる際に、改ざん検知対象のファイルの位置情報およびファイルサイズを取得する（ステップＳ２０１）。
　そして、検知部１４ｃは、改ざん検知を行う際に取得された位置情報およびファイルサイズと、判定基準記憶部１５ａに記憶された判定基準の位置情報およびファイルサイズとを比較する（ステップＳ２０２）。この結果、検知部１４ｃは、位置情報およびファイルサイズのうち、いずれも一致したか否かを判定する（ステップＳ２０３）。
　そして、検知部１４ｃは、位置情報およびファイルサイズのうち、いずれも一致した場合には（ステップＳ２０３肯定）、改ざんが無かったものとして、そのまま処理を終了する。また、検知部１４ｃは、位置情報およびファイルサイズのうち、いずれか一方または両方が一致しない場合には（ステップＳ２０３否定）、改ざん検知対象のファイルの改ざんを検知する（ステップＳ２０４）。
［実施の形態の効果］
　このように、実施形態に係る検知装置１０は、改ざん検知対象のファイルの位置情報およびファイルサイズを取得し、取得した位置情報またはファイルサイズの変化を判定し、位置情報またはファイルサイズの変化があった場合には、改ざん検知対象のファイルの改ざんを検知する。これにより、検知装置１０は、正確かつ迅速にファイルの改ざんを検知することが可能となる。
　つまり、検知装置１０は、ファイルサイズと合わせて、ファイルの格納領域の位置情報（Block番号等）を用いてファイルの改ざんを検知するため、素早く、正確にファイルの改ざんを検知することが可能である。
〔システム構成等〕
　上記実施形態に係る図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のごとく構成されていることを要しない。すなわち、各装置の分散・統合の具体的形態は図示のものに限られず、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
　また、上記実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部または一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部または一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
〔プログラム〕
　また、上記実施形態において説明した検知装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。
　図９は、プログラムを実行するコンピュータを示す図である。図９に例示するように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有し、これらの各部はバス１０８０によって接続される。
　メモリ１０１０は、図９に例示するように、ＲＯＭ（Read　Only　Memory）１０１１及びＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic　Input　Output　System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、図９に例示するように、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、図９に例示するように、ディスクドライブ１０４１に接続される。例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１０４１に挿入される。シリアルポートインタフェース１０５０は、図９に例示するように、例えば、マウス１０５１、キーボード１０５２に接続される。ビデオアダプタ１０６０は、図９に例示するように、例えばディスプレイ１０６１に接続される。
　ここで、図９に例示するように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、上記のプログラムは、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、例えば、ハードディスクドライブ１０３１に記憶される。
　また、上記実施形態で説明した各種データは、プログラムデータとして、例えば、メモリ１０１０やハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、メモリ１０１０やハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出し、各種処理手順を実行する。
　なお、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local　Area　Network）、ＷＡＮ（Wide　Area　Network）等）を介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
　以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
　１０　検知装置
　１１　通信処理部
　１２　入力部
　１３　出力部
　１４　制御部
　１４ａ　取得部
　１４ｂ　格納部
　１４ｃ　検知部
　１５　記憶部
　１５ａ　判定基準記憶部

Claims (6)

  1. 　改ざん検知対象のファイルの位置情報およびファイルサイズを取得する取得部と、
    　前記取得部によって取得された前記位置情報または前記ファイルサイズの変化を判定し、前記位置情報または前記ファイルサイズの変化があった場合には、前記改ざん検知対象のファイルの改ざんを検知する検知部と
    　を有することを特徴とする検知装置。
  2. 　前記取得部によって取得された前記位置情報または前記ファイルサイズを含む判定基準を生成し、記憶部に格納する格納部をさらに有し、
    　前記取得部は、改ざん検知が行われる際に、改ざん検知対象のファイルの位置情報およびファイルサイズを取得し、
    　前記検知部は、前記記憶部に記憶された前記判定基準に含まれる前記位置情報および前記ファイルサイズと、改ざん検知を行う際に取得された前記位置情報および前記ファイルサイズとを比較し、前記位置情報および前記ファイルサイズのうち、いずれかが一致しない場合には、前記位置情報または前記ファイルサイズの変化があったものとして、前記改ざん検知対象のファイルの改ざんを検知することを特徴とする請求項１に記載の検知装置。
  3. 　前記取得部は、改ざん検知対象のファイルの位置情報のダイジェスト値およびファイルサイズを取得し、
    　前記検知部は、前記取得部によって取得された前記位置情報のダイジェスト値または前記ファイルサイズの変化を判定し、前記位置情報のダイジェスト値または前記ファイルサイズの変化があった場合には、前記改ざん検知対象のファイルの改ざんを検知することを特徴とする請求項１に記載の検知装置。
  4. 　前記検知部は、前記位置情報または前記ファイルサイズの変化があった場合に、ファイル内容のダイジェスト値に変化があったかをさらに判定し、ファイル内容のダイジェスト値に変化があった場合には、改ざん検知対象のファイルの改ざんを検知することを特徴とする請求項１に記載の検知装置。
  5. 　検知装置によって実行される検知方法であって、
    　改ざん検知対象のファイルの位置情報およびファイルサイズを取得する取得工程と、
    　前記取得工程によって取得された前記位置情報または前記ファイルサイズの変化を判定し、前記位置情報または前記ファイルサイズの変化があった場合には、前記改ざん検知対象のファイルの改ざんを検知する検知工程と
    　を含むことを特徴とする検知方法。
  6. 　改ざん検知対象のファイルの位置情報およびファイルサイズを取得する取得ステップと、
    　前記取得ステップによって取得された前記位置情報または前記ファイルサイズの変化を判定し、前記位置情報または前記ファイルサイズの変化があった場合には、前記改ざん検知対象のファイルの改ざんを検知する検知ステップと
    　をコンピュータに実行させることを特徴とする検知プログラム。
PCT/JP2022/000592 2022-01-11 2022-01-11 検知装置、検知方法および検知プログラム WO2023135653A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/000592 WO2023135653A1 (ja) 2022-01-11 2022-01-11 検知装置、検知方法および検知プログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/000592 WO2023135653A1 (ja) 2022-01-11 2022-01-11 検知装置、検知方法および検知プログラム

Publications (1)

Publication Number Publication Date
WO2023135653A1 true WO2023135653A1 (ja) 2023-07-20

Family

ID=87278574

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/000592 WO2023135653A1 (ja) 2022-01-11 2022-01-11 検知装置、検知方法および検知プログラム

Country Status (1)

Country Link
WO (1) WO2023135653A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005111809A1 (ja) * 2004-05-13 2005-11-24 Matsushita Electric Industrial Co., Ltd. ファイル管理装置、ファイル管理方法、ファイル管理プログラム及びファイル管理プログラムを記録したコンピュータ読み取り可能な記録媒体
JP2005346564A (ja) * 2004-06-04 2005-12-15 Hitachi Global Storage Technologies Netherlands Bv ディスク装置及びディスク装置の制御方法並びに改竄検出方法
JP2016081154A (ja) * 2014-10-14 2016-05-16 日本電気株式会社 改ざん検出装置、改ざん検出方法および改ざん検出プログラム
JP2019082967A (ja) * 2017-10-31 2019-05-30 富士通株式会社 変更検出プログラム、変更検出方法および変更検出装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2005111809A1 (ja) * 2004-05-13 2005-11-24 Matsushita Electric Industrial Co., Ltd. ファイル管理装置、ファイル管理方法、ファイル管理プログラム及びファイル管理プログラムを記録したコンピュータ読み取り可能な記録媒体
JP2005346564A (ja) * 2004-06-04 2005-12-15 Hitachi Global Storage Technologies Netherlands Bv ディスク装置及びディスク装置の制御方法並びに改竄検出方法
JP2016081154A (ja) * 2014-10-14 2016-05-16 日本電気株式会社 改ざん検出装置、改ざん検出方法および改ざん検出プログラム
JP2019082967A (ja) * 2017-10-31 2019-05-30 富士通株式会社 変更検出プログラム、変更検出方法および変更検出装置

Similar Documents

Publication Publication Date Title
JP6713954B2 (ja) ファイル管理装置及びファイル管理方法
US20100050257A1 (en) Confirmation method of api by the information at call-stack
US20120296878A1 (en) File set consistency verification system, file set consistency verification method, and file set consistency verification program
WO2020000743A1 (zh) 一种webshell检测方法及相关设备
US11601443B2 (en) System and method for generating and storing forensics-specific metadata
CN108573019B (zh) 一种数据迁移方法、装置、电子设备及可读存储介质
WO2016000541A1 (zh) 垃圾文件自动识别的方法和装置
US8001552B1 (en) Model merger using an export map
WO2008088121A1 (en) Apparatus and method for detecting program plagiarism through memory access log analysis
US20220012230A1 (en) Management system, acquisition device, and management method
US20110099150A1 (en) Method for a cloning process to enable cloning a larger System drive to a smaller system
WO2018188222A1 (zh) 一种a2l文件合并方法及装置
US20150242599A1 (en) Cluster license server
WO2023135653A1 (ja) 検知装置、検知方法および検知プログラム
US9372626B2 (en) Parallel storage system testing wherein I/O test pattern identifies one or more set of jobs to be executed concurrently
CN104751069B (zh) 数据安全存取方法及其系统
US20170169089A1 (en) Method and apparatus for file synchronization based on qualifying trigger actions in industrial control applications
WO2020166397A1 (ja) 校閲方法、情報処理装置および校閲プログラム
WO2022050989A1 (en) Consistent entity tags with multiple protocol data access
Guo et al. A function oriented methodology to validate and verify forensic copy function of digital forensic tools
WO2024105747A1 (ja) 検査装置、検査方法、および検査プログラム
US20230274406A1 (en) Identifying derivatives of data items
US20210216667A1 (en) Systems and methods for protecting against unauthorized memory dump modification
US20240095288A1 (en) System and method of performant content source crawling
WO2019219021A1 (zh) 一种流式文件系统中的索引数据更新方法、装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22920179

Country of ref document: EP

Kind code of ref document: A1