(57)【要約】【課題】デジタル署名を付加する処理負荷を低減する。【解決手段】データ管理装置が、不正アクセスの兆候が検出された場合に、第１記憶手段に記憶された第１データ、および第１データと関連付けられる第２データに対するタイムスタンプを含むデジタル署名を取得するデジタル署名取得手段と、取得されるデジタル署名に対する第１データと、第１データと関連付けられる第２データとを、アクセスが禁止された第２記憶手段にコピーするコピー手段と、取得されたデジタル署名に基づき、第１記憶手段に記憶されている第１データが、デジタル署名が取得された第１データと同じか否かを判断する判断手段と、異なると判断された場合に、第１記憶手段に記憶されている第１データをコピー手段により第２記憶手段にコピーされた第１データに差し替える差替手段と、を備える。【選択図】図４
2014071648.tif 000002
【特許請求の範囲】
【請求項１】
インターネットに接続された端末装置がアクセス可能、かつ書き換え可能なデータを管理するデータ管理装置であって、
前記データを記憶する第１記憶手段を制御する記憶制御手段と、
リクエストに含まれる情報に基づき、不正アクセスの兆候を検出する検出手段と、
前記検出手段により不正アクセスの兆候が検出された場合に、前記第１記憶手段に記憶された第１データ、および前記第１データと関連付けられる第２データに対するタイムスタンプを含むデジタル署名を取得するデジタル署名取得手段と、
前記デジタル署名取得手段により取得されるデジタル署名に対する第１データと、前記第１データと関連付けられる第２データとを、前記端末装置によるアクセスが禁止された第２記憶手段にコピーするコピー手段と、
前記デジタル署名取得手段により取得されたデジタル署名に基づき、前記第１記憶手段に記憶されている第１データが、前記デジタル署名が取得された第１データと同じか否かを判断する判断手段と、
前記判断手段により異なると判断された場合に、前記第１記憶手段に記憶されている前記第１データを前記コピー手段により前記第２記憶手段にコピーされた第１データに差し替える差替手段と、
を備えることを特徴とするデータ管理装置。
【請求項２】
前記記憶制御手段は、保護対象と非保護対象とに分けて複数の前記第１データを前記第１記憶手段に記憶し、
前記デジタル署名取得手段は、前記第１記憶手段に記憶された保護対象の第１データ、および前記保護対象の第１データと関連付けられる第２データのデジタル署名を取得すること
を特徴とするデータ管理装置。
【請求項３】
前記記憶制御手段は、前記不正アクセスの種類に応じて前記保護対象の第１データが定められて、複数の前記第１データを前記第１記憶手段に記憶し、
前記デジタル署名取得手段は、前記検出手段により検出された不正アクセスの種類に対応する保護対象の前記第１データ、および前記保護対象の第１データと関連付けられる第２データにデジタル署名を付加すること
を特徴とするデータ管理装置。
【請求項４】
インターネットに接続された端末装置がアクセス可能であり、第１記憶手段に記憶されたデータを管理するデータ管理装置のコンピュータに、
リクエストに含まれる情報に基づき、不正アクセスの兆候を検出する検出ステップと、
前記検出ステップにより不正アクセスの兆候が検出された場合に、前記第１記憶手段に記憶された第１データ、および前記第１データと関連付けられる第２データ対するタイムスタンプを含むデジタル署名を取得するデジタル署名取得ステップと、
前記デジタル署名取得ステップによりデジタル署名が取得される第１データと、前記第１データと関連付けられる第２データとを、前記端末装置によるアクセスが禁止された第２記憶手段にコピーするコピーステップと、
前記デジタル署名付加ステップにより取得されたデジタル署名に基づき、前記第１記憶手段に記憶された第１データが、前記デジタル署名が取得された第１データと同じか否かを判断する判断ステップと、
前記判断ステップにより異なると判断された場合に、前記第１記憶手段に記憶された第１データを前記コピーステップにより前記第２記憶手段にコピーされた第１データに差し替える差替ステップと、
を実行させることを特徴とするデータ管理プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正アクセスの兆候が検知された場合に、データの真正性を確認可能なデータ管理装置、およびデータ管理プログラムに関するものである。
【背景技術】
【０００２】
サーバに記憶されたデータのセキュリティを向上させるため、外部からのアクセスを許可するデータにデジタル署名を付加するサーバが特許文献１に記載されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特表２００２−５４０５４０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
サーバに記憶されているデータを改竄するなどの不正アクセスが、サーバに行われることがある。この不正アクセスが行われた際に、不正アクセスを行ったユーザは、痕跡を消すために、アクセス元のＩＰアドレス、アクセスされた日時などのアクセスログについて改竄、または削除といった変更を行うことが考えられる。
【０００５】
アクセスログにデジタル署名することにより、不正アクセスされる前と不正アクセスされた後とでアクセスログが変更されたか否かを検出することが考えられる。デジタル署名は、そのデータの内容に対して署名されるので、内容が更新されると、更新前のデジタル署名と更新後のデジタル署名とは異なる。すなわち、アクセスログが変更されたか否かを検出するには、アクセスがある度にアクセスログの内容が追加されるので、アクセスがある度に、アクセスログにデジタル署名する必要がある。この結果、デジタル署名をアクセスログに付加する処理負荷が増大する。
【０００６】
アクセスログに限らず、不正アクセスによりデータが変更されたか否かを検出するために、データの内容が変更される度にデジタル署名がデータに付加されると、デジタル署名を付加する処理負荷が増大する。
【０００７】
本発明は、上述した問題点を解決するためになされたものであり、デジタル署名を付加する処理負荷を低減するデータ管理装置、およびデータ管理装置のプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するために、請求項1記載の本発明は、インターネットに接続された端末装置がアクセス可能、かつ書き換え可能なデータを管理するデータ管理装置であって、前記データを記憶する第１記憶手段を制御する記憶制御手段と、リクエストに含まれる情報に基づき、不正アクセスの兆候を検出する検出手段と、前記検出手段により不正アクセスの兆候が検出された場合に、前記第１記憶手段に記憶された第１データ、および前記第１データと関連付けられる第２データに対するタイムスタンプを含むデジタル署名を取得するデジタル署名取得手段と、前記デジタル署名取得手段により取得されるデジタル署名に対する第１データと、前記第１データと関連付けられる第２データとを、前記端末装置によるアクセスが禁止された第２記憶手段にコピーするコピー手段と、前記デジタル署名取得手段により取得されたデジタル署名に基づき、前記第１記憶手段に記憶されている第１データが、前記デジタル署名が取得された第１データと同じか否かを判断する判断手段と、前記判断手段により異なると判断された場合に、前記第１記憶手段に記憶されている前記第１データを前記コピー手段により前記第２記憶手段にコピーされた第１データに差し替える差替手段と、を備えることを特徴とするものである。
【０００９】
上記目的を達成するために、請求項２記載の本発明は、前記記憶制御手段は、保護対象と非保護対象とに分けて複数の前記第１データを前記第１記憶手段に記憶し、前記デジタル署名取得手段は、前記第１記憶手段に記憶された保護対象の第１データ、および前記保護対象の第１データと関連付けられる第２データのデジタル署名を取得することを特徴とするものである。
【００１０】
上記目的を達成するために、請求項３記載の本発明は、前記記憶制御手段は、前記不正アクセスの種類に応じて前記保護対象の第１データが定められて、複数の前記第１データを前記第１記憶手段に記憶し、前記デジタル署名取得手段は、前記検出手段により検出された不正アクセスの種類に対応する保護対象の前記第１データ、および前記保護対象の第１データと関連付けられる第２データにデジタル署名を付加することを特徴とするものである。
【００１１】
上記目的を達成するために、請求項４記載の本発明は、インターネットに接続された端末装置がアクセス可能であり、第１記憶手段に記憶されたデータを管理するデータ管理装置のコンピュータに、リクエストに含まれる情報に基づき、不正アクセスの兆候を検出する検出ステップと、前記検出ステップにより不正アクセスの兆候が検出された場合に、前記第１記憶手段に記憶された第１データ、および前記第１データと関連付けられる第２データ対するタイムスタンプを含むデジタル署名を取得するデジタル署名取得ステップと、前記デジタル署名取得ステップによりデジタル署名が取得される第１データと、前記第１データと関連付けられる第２データとを、前記端末装置によるアクセスが禁止された第２記憶手段にコピーするコピーステップと、前記デジタル署名付加ステップにより取得されたデジタル署名に基づき、前記第１記憶手段に記憶された第１データが、前記デジタル署名が取得された第１データと同じか否かを判断する判断ステップと、前記判断ステップにより異なると判断された場合に、前記第１記憶手段に記憶された第１データを前記コピーステップにより前記第２記憶手段にコピーされた第１データに差し替える差替ステップと、を実行させることを特徴とするデータ管理プログラム。
【発明の効果】
【００１２】
請求項１に記載のデータ管理装置によれば、検出手段が不正アクセスの兆候を検出した場合に、デジタル署名取得手段が第１記憶手段に記憶された第１データと第２データとのデジタル署名を取得する。判断手段は、このデジタル署名に基づき、第１記憶手段に記憶されている第１データが、デジタル署名が付加された第１データと同じか否かを判断する。差替手段は、異なると判断された場合に第１記憶手段に記憶されている第１データを第２記憶手段にコピーされた第１データに差し替える。この結果、不正アクセスの兆候が検出された場合に、第１記憶手段に記憶された第１データにデジタル署名が付加されるので、第１記憶手段に記憶された第１データが更新される度に、デジタル署名を取得するよりも、デジタル署名を取得する処理を低減することができる。また、判断手段が、第１記憶手段に記憶されている第１データが、デジタル署名が付加された第１データと異なるとタイムスタンプを含むデジタル署名に基づき判断した場合に、差替手段が、第１記憶手段に記憶されている第１データをデジタル署名が付加された第１データに差し替える。このタイムスタンプを含むデジタル署名が付加された第１データが第１記憶手段に記憶されているデータに差し替えられるので、差し替え後の第１記憶手段に記憶されたデータが、タイムスタンプの時刻に第１記憶手段に記憶されていた第１データに差し替えられたことが証明される。従って、第１記憶手段に記憶された第１データを不正アクセスの兆候が検出された以前の第１データに保持することが出来る。
【００１３】
請求項２に記載のデータ管理装置によれば、保護対象のデータにデジタル署名を付加するので、非保護対象のデータについてデジタル署名を付加する処理負荷を低減できる。
【００１４】
請求項３に記載のデータ管理装置によれば、不正アクセスの種類に対応する保護対象のデータにデジタル署名を付加するので、不正アクセスの種類に対応しない保護対象のデータにデジタル署名を付加する処理負荷を低減できる。
【図面の簡単な説明】
【００１５】
【図１】本発明の実施形態に係るデータ管理システム１の概要構成を示す図である。
【図２】ＰＣ、およびサーバのハードウェア図である。
【図３】不正アクセス対応テーブルの内容を表す模式図である。
【図４】サーバ８のメイン処理を表すフローチャートである。
【図５】対象ファイルの署名取得処理を表すシーケンス図である。
【図６】退避ファイル検証、および復旧処理を表すシーケンス図である。
【発明を実施するための形態】
【００１６】
[１．データ管理システム１の概要]
図１を参照して、本発明の実施形態に係るデータ管理システム１について説明する。図１は、データ管理システム１の概要構成を示す図である。データ管理システム１は、パーソナルコンピュータ（ＰＣ）２〜５とを備える。ＰＣ２、およびＰＣ３は、ルータ６を介してインターネットＮＷと接続する。ＰＣ４、およびＰＣ５は、ルータ７を介してインターネットＮＷと接続する。データを管理するサーバ８はインターネットＮＷに接続される。これにより、ＰＣ２〜５はインターネットＮＷを介してサーバ８にアクセス可能である。認証局９は、インターネットＮＷを介してサーバ８と接続される。認証局９は、サーバ８から送信されたデータにデジタル署名を発行する。本実施形態では、ＰＣ５は、サーバ８の管理者が管理するＰＣである。サーバ８が本発明のデータ管理装置の一例である。ＰＣ２〜５が本発明の端末装置の一例である。
【００１７】
[２．ＰＣ２のハードウェア構成]
図２を参照して、データ管理システム１に備えられるＰＣ２のハードウェアの構成について説明する。ＰＣ２は、ＣＰＵ２１と、ＲＯＭ２２と、ＲＡＭ２３と、ＨＤＤ２４と、ネットワークＩ／Ｆ２５とを備える。
【００１８】
ＲＯＭ２２は、ＣＰＵ２１により処理されるプログラムを記憶する。ＲＡＭ２３は、ＣＰＵ２１がＲＯＭ２２に記憶されたプログラム、及びプログラムに従う各処理を実行する際に必要なデータを一時的に記憶する。ＨＤＤ２４は、サーバ８にアップロードされるデータなどを記憶する。ネットワークＩ／Ｆ２５は、通信インタフェース、およびＬＡＮポートを備える。通信インタフェースは、サーバ８からデータが受信される際に信号変換及びプロトコル変換などのインタフェース処理を実行する。ＬＡＮポートは、ＰＣ２がＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）に接続される際、ＬＡＮケーブルが接続される接続端子である。サーバ８に対してＰＣ２が行うデータの送信及び受信は、ＬＡＮを介して行われる。以降の記載では、サーバ８に対するデータの送信及び受信は、ネットワークＩ／Ｆ２５の通信インタフェース及びＬＡＮポートを介して行われる。
【００１９】
[３．サーバ８のハードウェア構成]
図２を参照して、データ管理システム１に備えられるサーバ８のハードウェアの構成について説明する。サーバ８は、ＣＰＵ８１と、ＲＯＭ８２と、ＲＡＭ８３と、ＨＤＤ８４と、ネットワークＩ／Ｆ８５とを備える。ＣＰＵ８１が、本発明の記憶制御手段の一例である。
【００２０】
ＲＯＭ８２は、ＣＰＵ８１により処理されるプログラムを記憶する。ＲＡＭ８３は、ＣＰＵ８１がＲＯＭ８２に記憶されたプログラム、及びプログラムに従う各処理を実行する際に必要なデータを一時的に記憶する。ＲＯＭ８２に記憶されたプログラムに従うＣＰＵ８１の処理が、後述のメイン処理と、退避ファイル検証、および復旧処理とを実現する。ＨＤＤ８４は第１記憶領域８４１と第２記憶領域８４２とを備える。第１記憶領域８４１に、対象ファイル、および不正アクセスの検出パターンと対象のファイルとの関連を示す不正アクセス対応テーブルが記憶される。第２記憶領域８４２に、後述するメイン処理において、署名が付与される対象ファイルが記憶される。第２記憶領域８４２は、インターネットＮＷを介したアクセスが禁じられたセキュリティーポリシーが設定される。後述するが、対象ファイルは、ファイルデータとアクセスログとを含む。ファイルデータ、およびアクセスログが本発明のアクセス可能、かつ書き換え可能なデータの一例である。ファイルデータが本発明の第１データの一例である。アクセスログが本発明の第２データの一例である。不正アクセスの検出パターンが本発明の不正アクセスの種類の一例である。
【００２１】
図３を参照して、不正アクセス対応テーブルを説明する。不正アクセス対応テーブルは、検出パターンと対象ファイルのパスとを関連付けて記憶する。この対象ファイルのパスが示す第１記憶領域８４１に記憶される対象ファイルが、本発明の保護対象のファイルの一例である。すなわち第１記憶領域８４１に記憶されるファイルのうち、不正アクセス対応テーブルの対象ファイルのパスと関連付けられていないファイルが、本発明の非保護対象のファイルである。後述するが、ＣＰＵ８１が不正アクセスの兆候を検出した時、ＣＰＵ８１は、不正アクセス対応テーブルを参照する。ＣＰＵ８１は、検出した不正アクセスに関連付けられた対象ファイルのパスに示される対象ファイルを、インターネットＮＷを介したアクセスが禁じられた記憶装置に記憶する。本実施形態においてこのアクセスが禁じられた記憶装置がＨＤＤ８４の第２記憶領域であるが、この記憶装置は、インターネットＮＷに接続された外部の記憶装置であっても良い。インターネットＮＷを介したアクセスが禁じられた記憶装置が本発明の第２記憶手段の一例である。
【００２２】
ネットワークＩ／Ｆ８５は、通信インタフェース、およびＬＡＮポートを備える。通信インタフェースは、ＰＣ２〜５からデータが受信される際に信号変換及びプロトコル変換などのインタフェース処理を実行する。ＬＡＮポートは、サーバ８がインターネットＮＷに接続される際、ＬＡＮケーブルが接続される接続端子である。以降の記載では、ＰＣ２〜５に対してサーバ８が行うデータの送信及び受信は、ネットワークＩ／Ｆ８５の通信インタフェース及びＬＡＮポートを介して行われる。
【００２３】
［４．サーバ８の処理］
図４に示すフローチャートを参照して、サーバ８のメイン処理を説明する。このサーバ８のメイン処理は、サーバ８のＣＰＵ８１により実行され、サーバ８のＣＰＵ８１に電源が投入されたときに開始される。
【００２４】
Ｓ１において、受信したリクエストに基づき、不正アクセスの兆候があるか否かを判断する。具体的には、サーバ８の管理者によりレベル分けされたレベルに基づき不正アクセスの兆候があるか否かを判断する。たとえば、アクセス元が送信したリクエストのヘッダに含まれるＩＰアドレスなどの送信元情報が、不正アクセス送信元リストに記憶された送信元情報と一致するか否かに基づき判断される。不正アクセス送信元リストは第１記憶領域８４１に記憶される。また、アクセス元が送信したリクエストのペイロード部分に含まれるアプリ起動コマンドが不正とされるコマンドか否かを判断してもよい。サーバ８への脆弱性をねらった攻撃に対する対応の例を挙げて、４つにレベル分けされたレベルを説明する。４つのレベルのいずれかに該当すると判断すれば、不正アクセスの兆候があるとして、Ｓ２に移行する。４つのレベルのいずれにも該当しないと判断すれば、Ｓ１に移行する。不正アクセスの兆候があると判断すれば、兆候があると判断された時刻を示す時刻情報をＲＡＭ８３に記憶する。Ｓ１の処理を実行するサーバ８のＣＰＵ８１が、本発明の検出手段の一例である。
【００２５】
レベル１は、既知のアクセスだが、サーバ８のデータ管理に問題なしとされるレベルである。すなわち、不正アクセスの攻撃対象となるデータなどはサーバ８が管理するデータなどに関係しない場合である。たとえば、攻撃対象となるアプリケーションがサーバ８にインストールされていないケースがレベル１の一例として挙げられる。
【００２６】
レベル２は、既知のアクセスだが、既に問題解決済みとされるレベルである。たとえば、攻撃対象となるアプリケーションについてセキュリティフィックスが適用済みであるケースがレベル２の一例として挙げられる。
【００２７】
レベル３は、既知のアクセスであり、解決が未対応とされるレベルである。たとえば、サーバ８のサービスが停止できないため，既知の脆弱性に対して未対応である、またはセキュリティフィックスがリリースされていないケースがレベル３の一例として挙げられる。
【００２８】
レベル４は、既知のアクセスであり、解決が未対応、かつ問題が重大とされるレベルである。たとえば、サーバ８のサービスが停止できないため，既知の脆弱性に対して未対応である、またはセキュリティフィックスがリリースされていない場合であり、さらに侵入された場合、ｒｏｏｔ権限が取得されるケースがレベル４の一例として挙げられる。
【００２９】
不正アクセスの兆候があると判断された時点では、不正アクセスの攻撃対象となるデータは、まだ改竄、または削除されていないと考えられる。以下、不正アクセスの攻撃対象となるデータ、およびアクセスログの処理について説明する。
【００３０】
Ｓ２において、サーバ８への不正アクセスの兆候が検出されたことを示す不正アクセス１次通知を、サーバ８の管理者が管理するＰＣ５に送信する。管理者のＰＣ５は、サーバ８にインターネットＮＷを介さずＬＡＮなどのネットワークにより接続されてもよい。不正アクセス１次通知を送信すると、Ｓ３に処理を移行する。
【００３１】
Ｓ３において、検出パターンの判別処理を実行する。この判別処理では、Ｓ１において不正アクセスの兆候ありと判断された不正アクセスのアクセス元が送信したデータ、またはリクエストがどの検出パターンに該当するかを判別する処理である。不正アクセスのアクセス元が送信したデータ、またはリクエストと検出パターンとが関連付けられて、図３に示す不正アクセス対応テーブルの図示しない領域に記憶されている。検出パターンの判別処理を終了すると、Ｓ４に処理を移行する。
【００３２】
Ｓ４において、検出パターンから対象ファイルを判別する。具体的には、図３に示す不正アクセス対応テーブルを参照し、検出パターンに関連付けられた対象ファイルのパスに示される対象ファイルを判別する。以下、対象ファイルは、画像、映像、音声、文書、プログラムなどのファイル形式のデータと、このファイル形式のデータにアクセスしたＩＰアドレスを記憶するアクセスログとを含む。以降の記載において、ファイル形式のデータをファイルデータと記載することもある。対象ファイルの判別が終了すると、Ｓ５に処理を移行する。
【００３３】
Ｓ５において、対象ファイルからのデータ抽出が必要か否かを判断する。アクセスログの容量が所定容量以上の場合、データ抽出が必要と判断する。この基準となる所定容量の情報はＨＤＤ８４に記憶される。データ抽出の処理は、Ｓ１において兆候があると判断された時刻情報が示す時刻から、所定時間以前の期間のアクセスログが抽出される。この所定時間は、１時間、または日などの固定された時間でもよいし、前回署名がとられた時刻でもよい。データ抽出が必要であると判断すると、Ｓ６に処理を移行する。データ抽出の必要がないと判断すると、Ｓ７に処理を移行する。
【００３４】
Ｓ６において、データの抽出処理を実行する。この処理は対象ファイルのパスに示される対象ファイルのデータを抽出する処理である。具体的には、上述したように、所定時間以前の期間のアクセスログが抽出される。データの抽出処理を終了すると、Ｓ７に処理を移行する。
【００３５】
Ｓ７において、対象ファイルの退避を実行する。具体的には、Ｓ５においてデータ抽出が必要と判断された場合、Ｓ６において抽出されたアクセスログ、およびファイルデータが第２記憶手段８４２に記憶される。Ｓ５においてデータ抽出が必要でないと判断された場合、対象ファイルのパスが示す第１記憶領域８４１に記憶されるアクセスログとファイルデータとが第２記憶手段８４２に記憶される。Ｓ７の処理において、ＣＰＵ８１が第１記憶手段８４１に記憶されたデータを第２記憶手段８４２に記憶させる処理を退避と記載する。対象ファイルの退避を終了すると、Ｓ８に処理を移行する。
【００３６】
Ｓ８において、対象ファイルの署名を取得する。Ｓ７において第２記憶領域８４２に退避された対象ファイルの署名を取得する。具体的な処理は後述する署名取得処理において説明する。署名の取得が終了すると、Ｓ９に処理を移行する。たとえば、レベル１に該当する場合、署名が取得されるアクセスログは、Ｆｉｒｅｗａｌｌのアクセスログである。Ｆｉｒｅｗａｌｌのアクセスログのすべてのログに対し署名が取得されてもよいが、不正アクセスの兆候があると判断された時刻情報が示す時刻から所定時間以前のアクセスログの署名を取得するのが、署名の取得処理の処理負荷の低減、および短縮の点で好ましい。Ｓ８の処理を実行するサーバ８のＣＰＵ８１が、本発明のデジタル署名取得手段の一例である。
【００３７】
たとえば、レベル２に該当する場合、サーバ８のアクセスログの署名を取得する。不正アクセスが、サーバ８の脆弱性を狙った攻撃の場合、サーバ８のアクセスログに不正アクセスのログが残る。サーバ８のアクセスログのすべてのログに対し署名を取得してもよいが、アクセスログのうち、不正アクセスの攻撃対象となったＩＰアドレスと関連付けられたアクセスログの署名を取得するのが、署名の取得処理の処理負荷の低減、および短縮の点で好ましい。
【００３８】
たとえば、レベル３に該当する場合、サーバ８のアクセスログの署名とともに、ＰＣ２〜４において変更可能なデータの署名を取得する。不正アクセスのアクセス元が、サーバ８のサーバユーザとしてサーバ８に記憶されるデータを改竄、または削除することが可能になるおそれがある。このため、サーバ８のサーバユーザの権限が与えられたアクセス元が変更可能なすべてのデータの署名を取得するのが好ましい。
【００３９】
たとえば、レベル４に該当する場合、すべてのログファイルの署名を取得するとともに、サーバ８に記憶される保護する必要のあるすべてのデータの署名を取得する。保護する必要のあるデータについては、サーバ管理者により、フラグが予め設定される。
【００４０】
Ｓ９において、サーバ８の管理者のＰＣ５にファイルの退避先を通知する。具体的には、Ｓ７において、退避された対象ファイルが記憶された第２記憶装置８４２の記憶領域のＵＲＬを退避先としてＰＣ５に送信する。退避先の通知が終了すると、Ｓ１に処理を移行する。
【００４１】
［対象ファイルの署名取得処理］
図５に示すシーケンス図を参照して、対象ファイルの署名取得処理を説明する。この処理はサーバ８のＣＰＵ８１、および認証局９のＣＰＵにより処理される。
【００４２】
Ｓ２１において、サーバ８のＣＰＵ８１は、対象ファイルのハッシュ値を算出する。具体的には、対象ファイルに含まれるアクセスログの一部、または全部と、対象ファイルに含まれるファイルデータの一部、または全部とのハッシュ値をそれぞれ算出する。ハッシュ値の算出方法は公知技術が用いられれば良い。アクセスログ、およびファイルデータのハッシュ値の算出が終了すると、Ｓ２２に処理を移行する。
【００４３】
Ｓ２２において、サーバ８のＣＰＵ８１は、署名ファイルの取得要求を認証局９に送信する。この取得要求は、アクセスログ、およびファイルデータについての署名ファイルの取得要求であり、アクセスログのハッシュ値、およびファイルデータのハッシュ値を含む。すなわちＳ２１において算出されたハッシュ値を認証局９に送信する。取得要求の送信が終了すると、認証局９の処理であるＳ２３に処理を移行する。
【００４４】
Ｓ２３において、認証局９のＣＰＵは、サーバ８から送信された取得要求を受信する。認証局９のＣＰＵは、サーバ８から送信された取得要求、すなわちアクセスログのハッシュ値、およびファイルデータのハッシュ値を受信すると、Ｓ２４に処理を移行する。
【００４５】
Ｓ２４において、認証局９のＣＰＵは署名ファイルを生成する。具体的には、受信された２つのハッシュ値と時刻情報とに基づき、アクセスログの署名ファイルとファイルデータの署名ファイルとを生成する。時刻情報は、認証局９に備えられる図示しないタイマーにより得られる署名ファイルが生成される時刻の情報である。認証局９による署名ファイルの作成は公知であるので、説明を省略する。署名ファイルが本発明のデジタル署名の一例である。署名ファイルが生成される時刻の情報が本発明のタイムスタンプの一例である。署名ファイルが作成されると、Ｓ２５に処理を移行する。
【００４６】
Ｓ２５において、認証局９のＣＰＵは、生成された署名ファイルをサーバ８に送信する。署名ファイルの送信が終了すると、サーバ８の処理であるＳ２６に処理を移行する。
【００４７】
Ｓ２６において、サーバ８のＣＰＵ８１は、認証局９から送信された署名ファイルを受信する。署名ファイルが受信されるとＳ２７に処理を移行する。
【００４８】
Ｓ２７において、サーバ８のＣＰＵ８１は、受信された署名ファイルを第２記憶領域８４２に保存する。この保存の際、署名ファイルと、対象ファイルのパスなどの対象ファイルを特定する識別情報とが関連付けられて記憶される。署名ファイルの保存が終了するとＳ９に処理を移行する。
【００４９】
[退避ファイルの検証、および復旧処理]
図６に示すシーケンス図を参照し、退避ファイルの検証、および復旧処理について説明する。この処理は、サーバ８のＣＰＵ８１、および認証局９のＣＰＵにより実行される。後述するが、この処理は、Ｓ９において、ファイルの退避先が通知されたサーバ８の管理者のＰＣ５の指示に基づき開始される。
【００５０】
Ｓ３１において、サーバ８のＣＰＵ８１は、第１記憶領域８４１に記憶されているファイルデータのハッシュ値を算出する。この算出処理は、図４に示すＳ９において、ファイルの退避先が通知されたサーバ８の管理者のＰＣ５の指示に基づき開始される。第１記憶領域８４１に記憶されたファイルデータのハッシュ値の算出を終了すると、Ｓ３２に処理を移行する。
【００５１】
Ｓ３２において、サーバ８のＣＰＵ８１は、退避されたファイルデータと関連する第１記憶領域８４１に記憶されたファイルデータの検証要求を認証局９に送信する。この検証要求は、図５のＳ２７において保存された署名ファイルとＳ３１において算出されたハッシュ値とを含む。検証要求を認証局９に送信すると、Ｓ３３に処理を移行する。
【００５２】
Ｓ３３において、認証局９のＣＰＵは、サーバ８から送信された検証要求を受信する。検証要求を受信すると、Ｓ３４に処理を移行する。
【００５３】
Ｓ３４において、認証局９のＣＰＵは、受信された検証要求に含まれる署名ファイルとハッシュ値とに基づき、ファイルデータの内容が変更されていないか否かを検証する。具体的にはハッシュ値により示される第１記憶手段８４１に記憶されているファイルデータの内容が、署名ファイルにより示されるファイルデータの内容と同じか否かが判定される。同じであると判定された場合、不正アクセスがファイルデータを改竄、または削除していないので、対象ファイルについてはデータの内容が変更されていないとの検証結果が得られる。同じでないと判定された場合、不正アクセスがファイルデータを改竄、または削除している可能性があるので、ファイルデータについてはデータの内容が変更されているとの検証結果が得られる。検証処理が終了するとＳ３５に処理を移行する。
【００５４】
Ｓ３５において、認証局９のＣＰＵは検証結果をサーバ８に送信する。検証結果の送信が終了すると、サーバ８のＣＰＵ８１の処理であるＳ３６に処理を移行する。
【００５５】
Ｓ３６において、サーバ８のＣＰＵ８１は、認証局９から検証結果を受信する。検証結果を受信すると、Ｓ３７に処理を移行する。
【００５６】
Ｓ３７において、サーバ８のＣＰＵ８１は、受信された検証結果が変更ありを示すか否かを判定する。変更ありと判定するとＳ３８に処理を移行する。変更なしと判定すると、退避ファイルの検証、および復旧処理を終了する。Ｓ３７の処理を実行するサーバ８のＣＰＵ８１が、本発明の判断手段の一例である。
【００５７】
Ｓ３８において、サーバ８のＣＰＵ８１は、退避した対象ファイルを戻すか否かを判定する。検証結果が変更有と判断されるファイルデータが、ＰＣ２〜４のいずれかにおいて作成されたファイルデータである場合、退避した対象ファイルを戻すか否かをＰＣ２〜４のいずれかに通知する。この通知の返信に含まれる退避した対象ファイルを戻すか否かの可否に基づき、退避した対象ファイルを戻すか否かを判定する。また、予め、ＰＣ２〜４により設定される退避した対象ファイルを戻すか否かの可否情報がファイルデータに関連付けて第１記憶領域８４１に記憶されて、この可否情報に基づく判断が行われてもよい。また、ファイルデータがサーバ８の管理情報である場合、退避した対象ファイルを戻すか否かは、サーバ８の管理者のＰＣ５の指示情報に基づき判断される。退避したデータを戻すと判定すると、Ｓ３９に処理を移行する。退避したデータを戻さないと判定すると、退避ファイルの検証、および復旧処理を終了する。
【００５８】
Ｓ３９において、サーバ８のＣＰＵ８１は、第２記憶領域８４２に退避されたファイルデータを第１記憶領域８４１に戻す。第１記憶領域８４１に戻すと、Ｓ４０の処理に移行する。Ｓ３９の処理を実行するサーバ８のＣＰＵ８１が、本発明の差替手段の一例である。
【００５９】
Ｓ４０において、サーバ８のＣＰＵ８１は、第２記憶領域８４２に記憶されたファイルデータを削除する。この処理により、第２記憶領域８４２の記憶容量が不足になる可能性を低減できる。尚、アクセスログとアクセスログの署名ファイルとは、第２記憶領域８４２に記憶されたままであってもよい。第２記憶領域８４２に記憶されたファイルデータを削除すると、退避ファイルの検証、および復旧処理を終了する。
【００６０】
不正アクセスのアクセス元が、不正アクセスした痕跡を消すために，アクセス時のアクセスログを改竄する可能性が考えられる。不正アクセスの兆候についての通知をサーバ８の管理者のＰＣ５が受信した際に，不正アクセスの兆候が検出された時点で、第２記憶領域８４２に退避されたアクセスログが確かに改変されていないことを証明する必要がある。本実施形態では、アクセスログに対して署名ファイルを取得することにより、第２記憶領域８４２に退避されたアクセスログが確かに改変されていないことが証明される。
【００６１】
[変形例１]
本実施形態では、保護対象と非保護対象とに分けて複数の対象ファイルが第１記憶領域８４１に記憶されたがこれに限られない。Ｓ１において、不正アクセスの兆候が検出された場合に、第１記憶領域８４１に記憶される対象ファイルの署名が取得されてもよい。また、不正アクセスの検出パターンに応じた対象ファイルの署名が取得されたが、不正アクセスの検出パターンに関係なく、保護の対象となる保護対象ファイルの署名が取得されてもよい。
【符号の説明】
【００６２】
１          データ管理システム
２〜５      ＰＣ
８          サーバ
８１        ＣＰＵ
８４        ＨＤＤ
【図１】
2014071648.tif 000003
【図２】
2014071648.tif 000004
【図３】
2014071648.tif 000005
【図４】
2014071648.tif 000006
【図５】
2014071648.tif 000007
【図６】
2014071648.tif 000008