JP2005085026A - アクセス制御装置ならびにそのプログラム - Google Patents

Abstract

【課題】 ＯＳのセキュリティを強化し、アクセス制御情報等への外部からの干渉を回避する。
【解決手段】 状態遷移制御部４が、不正アクセス検知部３によって検知される不正アクセス定義情報に基づく不正アクセスを契機に、監査モードから保護モード、および運用モードから保護モードへの状態遷移を許可し、アクセス制御部５を介し、監査モードでは外部向けの提供サービスを不許可とし、運用モードではセキュリティ管理者によるアクセス権を不許可とし、保護モードではシステムに変更を加え得るパーミッションの全てについて不許可とする。
【選択図】 図１

Description

本発明は、ネットワークを含むコンピュータシステムの各資源に対してユーザから発せられるアクセス要求を制御する、アクセス制御装置ならびにそのプログラムに関する。

不正アクセスの検知、遮断に用いられる手段に、ファイアウォールやＩＤＳ（Intrusion Detection System）が知られている。これら製品は、ネットワークパケット毎、事前に定義されたパターン情報とのマッチングを行い、不正アクセスであると判断されたものについて遮断し、警告を発するものである。
上記した製品は、前提として、既知の攻撃パターンを対象としたものであり、また、パケット監視がベースであるため、通常のリクエストを装った不正なコード実行等の検知には限界がある。最終的には、そのような悪意のあるユーザからのリクエストにより発生する不正なコード実行等の処理過程での逸脱行為を抑え得るのは、基本ソフトウェア（ＯＳ：Operating System）によるアクセス制御の機能である。
ＯＳは、管理者を含むユーザから、ファイル、ディレクトリ、プロセス、ネットワーク、デバイス、メモリ等のシステム資源への、読み取り、書き込み、削除、新規作成、追記、実行、名称変更等のアクセス要求に対し、所定のアクセス制御情報に基づいてそれらの可否を決定する機能を持つ。

ＵＮＩＸ（登録商標）系のＯＳを例示して従来のアクセス制御の概略につき、図１１に示す動作概念図を参照しながら簡単に説明する。
図１１において、まず、ユーザ“ｊｄｏｅ”が、アプリケーションを介して、“ｆｏｏ”というディレクトリの削除要求を発行したとする（コマンド実行ａ）。この要求はシステムコール“ｒｍｄｉｒ（）”により処理がユーザモードからカーネルに委託される（システムコールｂ）。そして、処理関数“ｖｆｓ＿ｒｍｄｉｒ（）”の中で、パーミッションチェック“ｍａｙ＿ｃｒｅａｔｅ（）”が呼ばれ、アクセス制御が実行される（アクセス制御ｃ）。
ここで、カーネルは、サブジェクト（アクセスする側）、オブジェクト（アクセスの対象）、メソッド（アクセスの種類）の組み合わせ対して、アクセス権が与えられているか否かを、アクセス制御情報に基づいて判定する。ＵＮＩＸ（登録商標）系ＯＳでは、ファイルのオーナー、グループ、それ以外のユーザに対しての、“ｒｅａｄ／ｗｒｉｔｅ／ｅｘｅｃｕｔｅ”に関するパーミッションがオブジェクト毎に付与されており、サブジェクトのＵＩＤ（User Identifier）やＧＩＤ（Group Identifier）に基づき、アクセス許可、不許可を判定する（パーミッションチェックｄ）。“ｒｍｄｉｒ：ディレクトリの削除”であれば、削除対象の上位ディレクトリに対してのｗｒｉｔｅ／ｅｘｅｃｕｔｅ権限が必要とされる。そして、アクセスが許可されれば、“ｒｍｄｉｒ”：処理）を実行し、不許可であればユーザにエラーを返す（判定結果に応じた処理ｅ）。

上記したように、ＯＳによるアクセス制御は、一般ユーザはもちろん、管理者に対してもアクセス権への制御を課すことができる。しかしながら、アクセス権設定そのものへの権限を持つ管理者はシステムに必ず存在するため、このユーザ権限を不正に取得することで、システムの全権が掌握されてしまう。
Ｕｎｉｘ（登録商標）系のＯＳにおいては、ｒｏｏｔユーザがこれに該当し、不正にｒｏｏｔ権限が取得できてしまうような種々の脆弱性を解消することが望まれていた。

上記した従来技術においては、アクセス制御情報を保護する上で以下の問題を有している。すなわち、アクセス制御情報そのものもオブジェクトであり、従って、それらへのアクセス、変更が可能な管理者は必ず存在するので、それがアクセス制御情報の改竄というリスクにならないようにする必要がある。
通常のＵＮＩＸ（登録商標）系ＯＳであれば、オブジェクト毎のアクセス権（所有者、グループ・パーミッション）についてはそのオブジェクトの所有者であれば、“ｃｈｏｗｎ／ｃｈｇｒｐ／ｃｈｍｏｄ”等のコマンドにより、変更可能である。また、ｒｏｏｔ等の管理者権限を持ってすれば、全てのオブジェクトについて、アクセス権の変更が可能である。このため、ｒｏｏｔ権限を奪取するような形で、不正侵入が行われた場合には、アクセス権による各オブジェクトの保護の意味が低減する。

このような問題に対し、アクセス制御を管理者が定めるアクセス権設定に基づく「アクセス制御の強制」、あるいは、ｒｏｏｔ権限を縮小してアクセス権設定の権限を別管理者に与える「権限縮小」等によるセキュリティの強化が施された高信頼ＯＳが実用化されている。
また、アクセス対象であるオブジェクト、およびアクセス主体であるオブジェクトを詳細に分類し、その分類に基づいて特有の制限を強制的に加えて単一の特権利用者を排除し、プログラムの乗っ取りによる被害を最小限にとどめ、もしくは排除してセキュリティを高めるアクセス制御方法ならびにアクセス制御装置および記録媒体が出願されている（例えば、特許文献１参照）。
特開２００２−１４９４９４号公報（段落００３２−００３３、第３図）

しかしながら上記した特許文献１を含む従来技術においては、その管理者の権限が奪われてしまえば、結果的にアクセス権の設定変更という自体を招くため、リスクは低減されるものの、根本的な解決とはならない。

本発明は上記事情に鑑みてなされたものであり、不正アクセス定義情報に基づき不正アクセスが検知される毎にセキュリティレベルを更新し、それにあわせて、アクセス制御情報を制御して上記したアクセス権限の縮小を図ることでＯＳのセキュリティを強化し、アクセス制御情報等への外部からの干渉を回避することのできる、アクセス制御装置ならびにそのプログラムを提供することを目的とする。
また、所定の安全性判定に基づき不正アクセスの危険性が低いと判断された時点でセキュリティレベルを下げる制御を行うことで、柔軟なセキュリティ制御が可能な、アクセス制御装置ならびにそのプログラムを提供することも目的とする。

上記した課題を解決するために本発明は、ネットワークを含むコンピュータシステムの各資源に対してユーザから発せられるアクセス要求を制御するアクセス制御装置であって、前記要求されたアクセスを、あらかじめ定義してある所定の不正アクセス定義情報と比較し、要求されたアクセスが不正アクセスであるか否かを判定する不正アクセス検知部と、前記不正アクセスの検知を契機に、監査モードから保護モード、および運用モードから保護モードへの状態遷移を許可する状態遷移制御部と、前記監査モードにおいては少なくとも外部向けの提供サービスを不許可とし、前記運用モードにおいてはセキュリティ管理者によるアクセス権を不許可とし、保護モードにおいては前記システムに変更を加え得るパーミションの全てについて不許可とするアクセス制御部と、を備えたことを特徴とする。

本発明によれば、状態遷移制御部が、不正アクセス定義情報に基づく不正アクセスの検知を契機に、監査モードから保護モード、および運用モードから保護モードへの状態遷移を許可し、アクセス制御部を介し、監査モードでは外部向けの提供サービスを不許可とし、運用モードではセキュリティ管理者によるアクセス権を不許可とし、保護モードではシステムに変更を加え得るパーミッションの全てについて不許可とすることでＯＳのセキュリティ強化をはかり、アクセス制御情報等への外部からの干渉を回避することのできるアクセス制御装置を提供できる。
なお、ここで、「アクセス制御情報」とは、管理者を含むユーザによって発行されるシステム資源（ファイル、ディレクトリ、プロセス、ネットワーク、デバイス、メモリ等）への利用要求（読み取り・書き込み・削除・新規作成・追記・実行・名称変更等）に対し、そのアクセス可否が規定されたものをいう。
また、「不正アクセス定義情報」とは、禁止すべきアクセスの定義情報であり、「アクセス制御情報」で許可されていない全てのアクセスとして定義しても良いし、特に注意深く監視したい不正なアクセスのみを定義しても良い。

また、本発明において、前記状態遷移制御部は、前記監査モードから運用モードへの遷移を除き、前記不正アクセス制御部検知部による不正アクセスの検知により遷移を制御することを特徴とする。

また、本発明において、前記不正アクセス定義情報は、前記モードのそれぞれについて、アクセスする側とされる側とアクセス手段との組から成り、記憶装置に格納されることを特徴とする。

また、本発明において、前記運用モードを少なくとも２つに分けて定義し、前記不正アクセス検知部による不正アクセス検知の頻度に応じて同モード間での遷移を許可することを特徴とする。
本発明によれば、不正アクセス検知の頻度に応じ不正アクセスの危険性が低いと判断された時点で、セキュリティレベルを下げる制御を行うことで、柔軟なセキュリティ制御が可能なアクセス制御装置を提供することができる。

上記した課題を解決するために本発明は、ネットワークを含むコンピュータシステムの各資源に対してユーザから発せられるアクセス要求を制御するアクセス制御装置に用いられるプログラムであって、前記要求されたアクセスを、あらかじめ定義してある所定の不正アクセス定義情報と比較し、要求されたアクセスが不正アクセスであるか否かを判定する第１のステップと、前記不正アクセスの検知を契機に、監査モードから保護モード、および運用モードから保護モードへの状態遷移を許可する第２のステップと、前記監査モードにおいては少なくとも外部向けの提供サービスを不許可とし、前記運用モードにおいてはセキュリティ管理者によるアクセス権を不許可とし、保護モードにおいては前記システムに変更を加え得るパーミションの全てについて不許可とする第３のステップと、を前記コンピュータに実行させることを特徴とする。

また、本発明において、前記第２のステップは、前記運用モードを少なくとも２つに分けて定義し、前記不正アクセス検知の頻度に応じて同モード間での遷移を許可するサブステップを含むことを特徴とする。

本発明によれば、動作中のＯＳに対し、保護モード、運用モード、監査モードといった「セキュリティレベル」という概念を与え、これらセキュリティレベルのアクセス制御情報、不正アクセス定義情報をそれぞれ定義し、不正アクセス定義情報に基づき不正アクセスが検知される毎にセキュリティレベルを更新し、それにあわせてアクセス制御情報を制御し、アクセス権限の縮小を図ることで、ＯＳのセキュリティを強化することができる。
また、アクセス制御情報、不正アクセス定義情報のそれぞれをシステム起動時に読み込み、セキュリティレベルにあわせてＯＳの管理化に置き、一連の制御はＯＳ内部で行わせることで、外部からの干渉なしに安全にアクセス制御情報への変更が可能な状態と、アクセス制御情報への干渉を一切排除可能な状態の双方が両立可能となる。更に、セキュリティレベルの制御は常に高くする（厳格化する）という一方向のみの制御がフェイルセーフの観点からは望ましいが、所定の安全性判定に基づき不正アクセスの危険性が低いと判断された時点で、セキュリティレベルを下げる制御を行うことで、柔軟なセキュリティ制御が可能となる。

図１は、本発明におけるアクセス制御装置の内部構成を示すブロック図である。ここでは、アクセス制御装置は、アクセス制御情報ＤＢ（Database）１、不正アクセス定義情報ＤＢ２、不正アクセス検知部３、状態遷移制御部４、アクセス制御部５で構成される。
ここで「アクセス制御情報」とは、管理者を含むユーザによって発行されるシステム資源（ファイル、ディレクトリ、プロセス、ネットワーク、デバイス、メモリ等）への利用要求（読み取り・書き込み・削除・新規作成・追記・実行・名称変更等）に対し、そのアクセス可否が規定されたものをいい、「不正アクセス定義情報」とは、禁止すべきアクセスの定義情報をいい、それぞれ、アクセス制御情報ＤＢ１、不正アクセス定義情報ＤＢ２に格納される。図２にそのデータ構造が示されている。

図２に示されるように、アクセス制御情報は、アクセスを許可するサブジェクト、オブジェクト、メソッドの３つの組で定義され、不正アクセス定義情報は、許可されないアクセスの中で、不正アクセスとして検知を行うものを、サブジェクト、オブジェクト、メソッドの３つの組で定義される。なお、ここで、「サブジェクト」とは、アクセスを行う側の主体となってプロセスに与えられるラベル、「オブジェクト」とは、アクセスされる側の客体を指し、ファイル、ディレクトリ、デバイス、プロセス等のシステム資源に与えられるラベル、「メソッド」とは、ｒｅａｄ／ｗｒｉｔｅ／ｅｘｅｃｕｔｅ等のアクセス種別をいう。
ここでは、ｒｏｏｔによる／ｅｔｃ／ｐａｓｓｗｄファイルへのアクセスを許可する、ｕｓｅｒによる／ｈｏｍｅ／ｕｓｅｒディレクトリへのアクセスを許可するアクセス制御情報、および、ｕｓｅｒによる／ｅｔｃ／ｐａｓｓｗｄファイルへのｗｒｉｔｅ，ａｐｐｅｎｄ，ｕｎｌｉｎｋ等のアクセスを不正アクセスとして扱う、ｕｓｅｒによる／ｓｂｉｎ／ｓｈｕｔｄｏｗｎファイルへのアクセスを不正アクセスとして扱う不正アクセス定義情報のそれぞれが例示されている。

説明を図１に戻す。不正アクセス検知部３は、要求されたアクセスを、あらかじめ定義してある所定の不正アクセス定義情報（不正アクセス定義情報ＤＢ２）と比較し、要求されたアクセスが不正アクセスであるか否かを判定し、状態遷移制御部４へ通知する。状態遷移制御部４は、不正アクセスの検知を契機に、監査モードから保護モード、および運用モードから保護モードへの状態遷移を許可してアクセス制御部５を制御する。
アクセス制御部５は、監査モードにおいては少なくとも外部向けの提供サービスを不許可とし、運用モードにおいてはセキュリティ管理者によるアクセス権を不許可とし、保護モードにおいてはシステムに変更を加え得るパーミションの全てについて不許可とするようにＯＳの動作を制御する。ここでは、セキュリティレベル（監査モード、運用モード、保護モード）毎にその動作実行部５１、５２、５３を持つこととする。
なお、運用モードのみ動作実行部５２を２つ有しているが、これは、後述するように、不正アクセス検知部３による不正アクセス検知の頻度に応じて同モード間での遷移を許可するオプションを持つためである。このことによりセキュリティレベルに柔軟性を持たせることができる。また、状態遷移制御部４は、監査モードから運用モードへの遷移を除き、不正アクセス検知部３による不正アクセスの検知により遷移を制御する。更に、不正アクセス定義情報は、上記したモードのそれぞれについて、サブジェクト、オブジェクト、メソッドの３つの組から成ることは上記したとおりである。

本発明によれば、以下の観点からアクセス制御情報そのものへの外部アクセスからの保護が可能となる。但し、ここで使用されるＯＳのカーネルは、上記した強制アクセス制御（アクセス権の強制）および管理者権限の分割が可能なセキュリティカーネルであることを前提としている。そして、アクセス制御情報を操作可能なカーネル状態（以下、監査モードという）と、操作不可能なカーネル状態（以下、運用モード、保護モードという）を明確に区分している。また、セキュリティレベルとしての保護モードは、運用モードにおけるパーミッションに、更に、制限が課せられた状態と定義する。
まず、カーネル（不正アクセス検知部３）は、要求されたアクセスを所定の不正アクセス定義情報と比較し、要求されたアクセスが不正アクセスであるか、否かを判定する。不正アクセス検知は許可されないすべてのアクセスを対象としても良いし、特定の（不許可となるような）アクセスのみを対象としても良い。状態遷移制御部４は、カーネルによる不正アクセスの検知を契機として、監査モードから保護モード、及び運用モードから保護モードへの状態遷移を許可する。また、管理者のコマンド指示等による、監査モードから運用モードへの状態遷移も許可し、それ以外の状態遷移は不許可とする。

アクセス制御部５は、監査モードにおいて、Ｗｅｂ（World Wide Web）サーバ、ＤＮＳ（Domain Name Sarver）、メールサーバ等の外部向け提供サービスの動作に必要なアクセス権は不許可とする。万全を期するのであれば、一切のリモートアクセスの権限も不許可とする。その一方で、アクセス制御情報への書き込み等のアクセス権はセキュリティ管理者には認められる。
アクセス制御部５は、運用モードにおいて、逆にセキュリティ管理者によるアクセス制御情報への書き込み等のアクセス権は許可する。万全を期するのであれば、セキュリティ管理者の一切の権限は不許可とする。その一方で、外部向け提供サービスに対しては通常の稼動に必要かつ十分なアクセス権が与えられるものとする。保護モードは、運用モードのアクセス権がさらに制限された状態で、外部向け提供サービスに関連する書き込みや削除、新規生成等、システムに変更を加えるパーミッションについて不許可された状態として定義する。パーミッションを制限することにより、不正アクセスによる被害を抑えることを目的としている。また、各管理者の権限に関しても、制限する。

なお、システム管理者（ｒｏｏｔ）の権限につき、管理者権限の分割という条件の下、アクセス制御情報への書き込み等のアクセスはセキュリティ管理者のみに認められ、システム管理者にはその権限は与えられないものとする。また、カーネルの状態遷移は、監査モードから運用モードへの遷移以外は外部コマンドによる指示ではなく、不正アクセスの検知による、カーネル内部での制御に基づいて行なわれるものとする。これは、カーネル状態への外部からの直接的な干渉を防ぐのが目的である。

図３は、上記したアクセス制御装置の基本動作を説明するために引用した動作概念図である。ここでは本発明のアクセス制御装置をＯＳ上にマッピングして示してある。以下、図３を参照しながら動作説明を行う。
サブジェクト（アクセスする側）、オブジェクト（アクセスされる側）が図示された対応関係となっており、ここでは、ユーザによるコマンド実行に基づき、システムコール“ｒｍｄｉｒ（）”で処理がカーネルに委託されたときの動作が示されている。本発明では、監査モード、運用モード、保護モードのそれぞれにおいて異なるアクセス制御を行うために、カーネルおよびアクセス制御情報について以下の拡張が行なわれる。

すなわち、アクセス制御情報は、セキュリティレベルに応じて用意される監査モード、運用モード、保護モードのそれぞれについて定義され、その内容はアクセス情報ＤＢ１に格納される（アクセス制御情報ａ）。後述するパーミッションチェックの際には、現在のカーネルのセキュリティレベルに基づき、対応するアクセス制御情報を用いてアクセス制御を行う。また、不正アクセス定義情報は、監査モード、運用モード、保護モードそれぞれについての不正アクセスとして検知すべきアクセスについて定義して不正アクセス定義情報ＤＢ２に格納する。なお、不正アクセス定義情報は、アクセス制御情報の補集合として定義しても良く、また、特に注意を要する不正アクセスのみを定義しても良い（不正アクセス定義情報ｂ）。
そして、管理者が、アプリケーション（シェル）を介して、“ｆｏｏ”というディレクトリの削除要求を発行したとする（コマンド実行ｃ）。この要求はシステムコール“ｒｍｄｉｒ（）”により処理がカーネルに委託される（システムコールｄ）。カーネルでは、該当するシステムコール処理関数が呼び出され、アクセス制御が開始される（アクセス制御ｅ）。続いて、運用モードのアクセス制御情報によるパーミッションチェックが行われ（パーミションチェックｆ）、判定結果に応じた処理が実行される（判定結果に応じた処理ｇ）。
不正アクセス検知部３は、カーネル内、パーミッションチェックにより不許可とされたアクセスに関し、不正アクセス定義情報ＤＢ２に格納された不正アクセス定義情報に基づき、それが該当するか否かを判定し、状態遷移制御部４へ伝える。状態遷移制御部４は、不正アクセス検知部３から不正アクセス検知の通知を受け、現在のモードから保護モードへの状態遷移を行い（現在のモードから保護モードへ移行ｈ）、アクセス制御部５による上記したアクセスが実行される。

図４、図５は、本発明の具体的な一実施形態の動作を説明するために引用した動作概念図である。ここでは、ｕｓｅｒによる／ｓｂｉｎ／ｓｈｕｔｄｏｗｎファイルへのアクセスを不正アクセスとして不正アクセス定義情報ＤＢ２に登録されているものとして説明を行う。
カーネルは、起動されると、デフォルトでは運用モードで起動する。（セキュリティ状態は運用モードで初期化される）。運用モードでは、上記したように、ｕｓｅｒによる／ｓｂｉｎ／ｓｈｕｔｄｏｗｎへの全てのアクセスを不正アクセスとして定義されている。まず、一般ユーザｕｓｅｒは、許可されているアクセス“ｒｍｄｉｒ ｆｏｏ”を、シェルを介して実行する（図４、コマンド実行ａ）。このことにより、カーネルに対して、システムコール“ｒｍｄｉｒ（）”が発行される（システムコールｂ）。カーネルでは、該当するシステムコール処理関数が呼び出される。続いて、運用モードのアクセス制御情報によるパーミッションチェックが行われる（パーミションチェックｄ）。パーミッション関数の処理の流れは、図７に示されている。ここでは許可されたアクセスであるため、処理が実行される（アクセス制御ｃとアクセス許可なら処理実行ｅ、および図７、Ｓ７１、Ｓ７２）。

次に、悪意あるユーザが何らかの手段（パスワードクラック、バッファオーバーフロー等）により、ｕｓｅｒの権限を取得したとする。悪意あるユーザの意図は、“／ｓｂｉｎ／ｓｈｕｔｄｏｗｎ”コマンド実行によるシステムの停止である（図５、コマンドの実行ｆ）。
この場合もカーネルに対し、システムコール“ｅｘｅｃｖｅ（ｓｂｉｎ／ｓｈｕｔｄｏｗｎ）”が発行され（システムコールｇ）、該当するシステム処理関数が呼び出される（アクセス制御ｈ）。これは、運用モードのアクセス制御情報によるパーミッションにおいて不許可となってそのコマンドは実行されない（バーミッションチェックｉ、および図７、Ｓ７３）。また、不正アクセス検知部３により運用モードでの不正アクセス定義情報による不正アクセス検知が行われ（不正アクセス検知ｊ、および図７、Ｓ７４）、検知対象に該当するため、状態制御関数を呼ぶ。そして、状態遷移制御部４によって運用モードから保護モードへの状態遷移が行われる（現在のモードから保護モードに移行ｋ、および図７、Ｓ７５）。以後、アクセス制御情報、不正アクセス定義情報は保護モードのものが用いられ、アクセス制御部５による遷移モードに従う動作が実行される。

図９に状態遷移が示されている。図９に示されるように、保護モード（５３）はアクセス権が制限されたカーネル状態を示し、セキュリティ管理者の一切の権限は不許可とされる。また、外部向けの提供サービスについても読み出し専用等、制限されたアクセスのみ許可される。そして、不正アクセスの検知を契機に運用モード（５２）、監査モード（５１）からの遷移が可能であり、他への遷移は禁止される。
また、運用モード（５２）は、アクセス制御情報を操作不可能なカーネル状態を示し、カーネルは、デフォルトとしてこのモードが選択され起動される。万全を期すのであれば、セキュリティ管理者の一切の権限は不許可とされる。また、外部向けの提供サービスについては、通常の稼働に必要かつ十分なアクセス権が与えられる。そして、不正アクセス検知を契機に、監査モード（５１）からの遷移が可能であり、他への遷移は禁止される。更に、監査モード（５１）は、アクセス制御情報を操作可能なカーネル状態を示し、セキュリティ管理者にアクセス制御情報への書込み等のアクセス権が認められ、万全を期すのであれば一切のリモートアクセスの権限を不許可とする。なお、監査モード（５１）は、ブートオプション指定、コマンド等による起動が可能である。

図６は本発明における他の実施形態の動作を説明するために引用した動作概念図である。ここでは、図４、図５に示す実施形態に加え、運用モード（５２）を複数の段階に分割し、さらに安全性判定を入れることにより、運用モード間を相互に遷移可能にした場合を例示している。これは１回の不正アクセス検知により、保護モードに遷移するという処理が、過剰な措置と見られるような場合に適している。アクセス制御情報と不正アクセス定義情報については、ここに示す運用モード１、２を含め、４種類が用意される。
不正アクセス検知した場合、図１０の状態遷移図に示されるように、監査モード（５１）と運用モード２（５２）からは保護モード（５３）に遷移し、運用モード１（５２）からは運用モード２（５２）に遷移する。運用モード２（５２）は運用モード１（５２）のアクセス権に制限を課したものであり、保護モード（５３）ほどは厳しくない。運用モード２（５２）においては安全性判定が適用され、不正アクセスの兆候が一定時間みられない等、安全状態であると判断された場合には運用モード２（５２）から運用モード１（５２）への状態遷移を行い、アクセス権を緩和するような制御を行う。それ以外の遷移については図３、図４に示す実施形態と同様に禁止する。

なお、「安全性判定」とは、不正アクセスが行われている予兆が見られないという判断基準、一例としては「不正アクセス定義情報」で規定される不正アクセスらしき予兆が一定時間見られなかったこと等を判断基準として安全性を判定することをいい、ここでは、一定時間不正アクセス検知されない（例えば、前回の不正アクセス検知から２４時間以上が経過した場合）、サービスの稼動状況、アクセス頻度（利用中のユーザが０になった場合）によって安全と判断する。

図８に、図６に示される実施形態におけるパーミッション関数の処理の流れがフローチャートで示されている。
図８において、パーミッションチェックの結果（Ｓ８１）、アクセスが許可されたときに現在のモードが運用モード２（５２）で動作しているか否かがチェックされる（Ｓ８３）。ここで運用モード２の場合は、更に上記した安全性の判断を行い（Ｓ８４）、安全と判断されたときにモード遷移制御部４により運用モード１（５２）への状態遷移がなされ、アクセス制御部５によりそのモードでの実行が開始される。
一方、パーミッションチェックの結果（Ｓ８１）、アクセスが不許可となった場合（Ｓ８６）、不正アクセス検知部３による不正アクセスのチェックが行われ（Ｓ８７）、ここで不正アクセスが検知された場合に、現在のモードが運用モード１（５２）で動作しているか否かがチェックされる（Ｓ８８）。運用モード１（５２）で動作していた場合は、状態遷移制御部４によって運用モード２（５２）に状態遷移がなされ、運用モード１（５２）以外で動作していた場合は、保護モード（５１）に状態遷移がなされる。そして、アクセス制御部５により、そのモードに従う実行が開始される。

以上説明のように本発明は、不正アクセス定義情報に基づき不正アクセスが検知される毎にセキュリティレベルを更新し、それにあわせてアクセス制御情報を制御して上記したアクセス権限の縮小を図ることでＯＳのセキュリティを強化し、アクセス制御情報等への外部からの干渉を回避するものである。また、所定の安全性判定に基づき不正アクセスの危険性が低いと判断された時点でセキュリティレベルを下げる制御を行うことで、柔軟なセキュリティ制御を行うものである。
なお、図１に示される不正アクセス検知部３、状態遷移制御部４、アクセス制御部５のそれぞれで実行される手順をコンピュータ読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによっても本発明のアクセス制御装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺機器等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現するためのものであっても良い。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

本発明におけるアクセス制御装置の内部構成を示すブロック図である。 図１に示すデータベースのデータ構造の一例を示す図である。 本発明の基本動作を説明するために引用した動作概念図である。 本発明の一実施形態の動作を説明するために引用した動作概念図である。 本発明の一実施形態の動作を説明するために引用した動作概念図である。 本発明における他の実施形態の動作を説明するために引用した動作概念図である。 図４、図５に示す実施形態におけるパーミッション関数の処理の流れを示す図である。 図６に示す実施形態におけるパーミッション関数の処理の流れを示す図である。 図４、図５に示す実施形態によって得られる状態遷移の一例を示す図である。 図６に示す実施形態によって得られる状態遷移の一例を示す図である。 従来のアセス制御装置の動作を説明するために引用した動作概念図である。

符号の説明

１……アクセス制御情報ＤＢ（Database）、２……不正アクセス定義情報ＤＢ、３……不正アクセス検知部、４……状態遷移制御部、５……アクセス制御部

Claims (6)

1. ネットワークを含むコンピュータシステムの各資源に対してユーザから発せられるアクセス要求を制御するアクセス制御装置であって、
   前記要求されたアクセスを、あらかじめ定義してある所定の不正アクセス定義情報と比較し、要求されたアクセスが不正アクセスであるか否かを判定する不正アクセス検知部と、
   前記不正アクセスの検知を契機に、監査モードから保護モード、および運用モードから保護モードへの状態遷移を許可する状態遷移制御部と、
   前記監査モードにおいては少なくとも外部向けの提供サービスを不許可とし、前記運用モードにおいてはセキュリティ管理者によるアクセス権を不許可とし、保護モードにおいては前記システムに変更を加え得るパーミションの全てについて不許可とするアクセス制御部と、
   を備えたことを特徴とするアクセス制御装置。
2. 前記状態遷移制御部は、
   前記監査モードから運用モードへの遷移を除き、前記不正アクセス検知部による不正アクセスの検知により遷移を制御することを特徴とする請求項１に記載のアクセス制御装置。
3. 前記不正アクセス定義情報は、前記モードのそれぞれについて、アクセスする側とされる側とアクセス手段との組から成り、記憶装置に格納されることを特徴とする請求項１または２に記載のアクセス制御装置。
4. 前記運用モードを少なくとも２つに分けて定義し、前記不正アクセス検知部による不正アクセス検知の頻度に応じて同モード間での遷移を許可することを特徴とする請求項１に記載のアクセス制御装置。
5. ネットワークを含むコンピュータシステムの各資源に対してユーザから発せられるアクセス要求を制御するアクセス制御装置に用いられるプログラムであって、
   前記要求されたアクセスを、あらかじめ定義してある所定の不正アクセス定義情報と比較し、要求されたアクセスが不正アクセスであるか否かを判定する第１のステップと、
   前記不正アクセスの検知を契機に、監査モードから保護モード、および運用モードから保護モードへの状態遷移を許可する第２のステップと、
   前記監査モードにおいては少なくとも外部向けの提供サービスを不許可とし、前記運用モードにおいてはセキュリティ管理者によるアクセス権を不許可とし、保護モードにおいては前記システムに変更を加え得るパーミションの全てについて不許可とする第３のステップと、
   を前記コンピュータに実行させるアクセス制御プログラム。
6. 前記第２のステップは、前記運用モードを少なくとも２つに分けて定義し、前記不正アクセス検知の頻度に応じて同モード間での遷移を許可するサブステップを含むことを特徴とする請求項５に記載のアクセス制御プログラム。
   
   

Images