(57)【要約】【課題】サーバ管理者によるセキュリティ管理システムの管理サーバの設定に関する脆弱化を防ぎ、安全な運用を可能にしたサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムを提供する。【解決手段】クライアントマシン３にネットワーク２を介して接続される管理サーバ１が、サーバ管理者によって管理サーバ１の設定項目に変更が加えられると、変更確定後に予測される状態と、不整合ポリシーＤＢ６に格納される不整合ポリシーに存在するいずれかの条件とがマッチするかどうかを検索する手段と、マッチする場合には変更しようとしている箇所を黄色で表示させる手段と、整合性のとれている設定の場合に、セキュリティポリシーＤＢ７に格納されるセキュリティポリシーとのマッチングを行う手段と、変更後の状態のセキュリティレベルが変更前のセキュリティレベルより低い場合に変更しようとしている箇所を赤色で表示させる手段等を備えている。【選択図】図１
2008234249.tif 000002
【特許請求の範囲】
【請求項１】
クライアントマシンにネットワークを介して接続される管理サーバが、
サーバ管理者によって管理サーバの設定項目に変更が加えられると、変更確定後に予測される状態と、前記管理サーバのデータベースに格納される不整合ポリシーに存在するいずれかの条件とがマッチするかどうかを検索する手段と、
マッチする場合、即ち、矛盾した設定、もしくは整合性のとれていない設定である場合には変更しようとしている箇所を第１の色で表示させる手段と、
整合性のとれている設定の場合に、管理サーバのデータベースに格納されるセキュリティポリシーとのマッチングを行う手段と、
変更後の状態のセキュリティレベルが変更前のセキュリティレベルより低い場合、即ち、セキュリティが弱くなる場合に、変更しようとしている箇所を第２の色で表示させる手段とを備えることを特徴とするサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システム。
【請求項２】
前記管理サーバは、
前記変更後の状態のセキュリティレベルが前記変更前のセキュリティレベルより低くならない場合、即ち、セキュリティが弱くならない場合、セキュリティが強くなるかどうかを判定する手段と、
強くなる場合には変更箇所を第３の色で表示させる手段とを備えることを特徴とする請求項１記載のサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システム。
【請求項３】
前記管理サーバは、複数のサーバ管理者が夫々E-mailを確認できる複数のサーバ管理者マシンにネットワークを介して接続され、
前記管理サーバは、変更しようとしている箇所を前記第１の色で表示させたとき、不整合フラグを設定する手段と、
変更しようとしている箇所を前記第２の色で表示させたとき、セキュリティ弱体化フラグを設定する手段と、
変更確定後の前記設定項目に、いずれかの前記フラグが設定されている場合に、設定変更に応じたE-mailをサーバ管理者全員のサーバ管理者マシンに送信する手段と、
前記E-mailが設定された宛先に届かなかった場合に、前記設定変更を無効にする手段と、
前記設定変更が無効となった旨のE-mailをサーバ管理者全員のサーバ管理者マシンに再度送信する手段とを備えることを特徴とする請求項１又は２に記載のサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、セキュリティ管理システムのサーバ管理者によるセキュリティ設定の弱体化の防止を図ったサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムに関するものである。
【背景技術】
【０００２】
従来のシステムでは、一般的にサーバ管理者の設定は必ず適用されるが、サーバ管理者の設定は常に正しく、矛盾のないものという前提条件が存在する。一方、近年のシステムの大規模化に伴い、設定項目の増大化とサーバ管理者の複数設置の傾向が高まってきている。このような状況において、サーバ管理者が矛盾しない、セキュリティの高い設定を常に行うとは限らず、また、複数のサーバ管理者で運用する際に一部のサーバ管理者が悪意を持ってセキュリティ設定を行うことや外部の人間にサーバ管理者権限を渡すことが十分に考えられる。セキュリティシステムは一度設定すれば人の介入なく動作するが、設定自体の脆弱性は管理者に起因している。
【０００３】
そこで、サーバ管理者が無意識に、または意識的にセキュリティ設定を不整合のある状態および弱体化させた状態にするときに、これをチェックする機能を保持し、サーバ管理者自身によるセキュリティ設定の弱体化を防止することが求められている。
この技術を実現する方式として例えば特許文献１が提案されている。
特許文献１では矛盾した設定の通知を画面に表示して設定者本人に通知する方式を提案している。
【特許文献１】特開２００４―３０３１９０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかしながら上記特許文献１の技術は、複数の設定項目が互いに矛盾した際にサーバ管理者へ通知することは可能であるが、セキュリティ設定の弱体化が考慮されておらず、矛盾はせずに正しい設定ではあるがセキュリティの低下を招く場合を考慮していない。
【０００５】
また、上記特許文献１の技術は、設定者本人のみに対する設定の矛盾の通知であり、複数サーバ管理者での運営時に、設定者以外のサーバ管理者がセキュリティ設定の弱体化や矛盾を検知する事ができない。
【０００６】
以上の現状に鑑み、本発明は、セキュリティ管理システムのサーバ管理者による管理サーバの設定に関する脆弱化を防ぎ、複数のサーバ管理者による安全な運用を可能にしたサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムを提供することを目的とする。
【課題を解決するための手段】
【０００７】
上記の課題を解決すべく、本発明は以下の構成を提供する。
請求項１に係る発明は、クライアントマシンにネットワークを介して接続される管理サーバが、
サーバ管理者によって管理サーバの設定項目に変更が加えられると、変更確定後に予測される状態と、前記管理サーバのデータベースに格納される不整合ポリシーに存在するいずれかの条件とがマッチするかどうかを検索する手段と、
マッチする場合、即ち、矛盾した設定、もしくは整合性のとれていない設定である場合には変更しようとしている箇所を第１の色で表示させる手段と、
整合性のとれている設定の場合に、管理サーバのデータベースに格納されるセキュリティポリシーとのマッチングを行う手段と、
変更後の状態のセキュリティレベルが変更前のセキュリティレベルより低い場合、即ち、セキュリティが弱くなる場合に、変更しようとしている箇所を第２の色で表示させる手段とを備えることを特徴とするサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムを提供するものである。
【０００８】
請求項２に係る発明は、前記管理サーバは、前記変更後の状態のセキュリティレベルが前記変更前のセキュリティレベルより低くならない場合、即ち、セキュリティが弱くならない場合、セキュリティが強くなるかどうかを判定する手段と、
強くなる場合には変更箇所を第３の色で表示させる手段とを備えることを特徴とする請求項１記載のサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムを提供するものである。
【０００９】
請求項３に係る発明は、前記管理サーバは、複数のサーバ管理者が夫々E-mailを確認できる複数のサーバ管理者マシンにネットワークを介して接続され、
前記管理サーバは、変更しようとしている箇所を前記第１の色で表示させたとき、不整合フラグを設定する手段と、
変更しようとしている箇所を前記第２の色で表示させたとき、セキュリティ弱体化フラグを設定する手段と、
変更確定後の前記設定項目に、いずれかの前記フラグが設定されている場合に、設定変更に応じたE-mailをサーバ管理者全員のサーバ管理者マシンに送信する手段と、
前記E-mailが設定された宛先に届かなかった場合に、前記設定変更を無効にする手段と、
前記設定変更が無効となった旨のE-mailをサーバ管理者全員のサーバ管理者マシンに再度送信する手段とを備えることを特徴とする請求項１又は２に記載のサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムを提供するものである。
【発明の効果】
【００１０】
本発明の請求項１記載の発明によれば、セキュリティ管理システムのサーバ管理者による管理サーバの設定に関する脆弱化を防ぎ、安全な運用を可能にしたサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムを提供することができる。
【００１１】
本発明の請求項２記載の発明によれば、請求項１記載の発明の効果に加え、セキュリティが強くなる場合に変更箇所を色で表示することができる。
【００１２】
本発明の請求項３記載の発明によれば、請求項１又は２に記載の発明の効果に加え、複数のサーバ管理者による相互監視を可能とし、安全な運用を可能にしたサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムを提供することができる。これによってより堅牢なセキュリティシステムの構築を支援することができる。
【発明を実施するための最良の形態】
【００１３】
以下、実施例を示した図面を参照しつつ本発明の実施の形態を説明する。
図１は本発明のサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムのシステム構成とそのシステムに於けるサーバ管理者の設定変更時の処理の概要を示している。
本発明のシステムは、管理サーバ１と、管理サーバ１にネットワーク２を介して接続される１乃至複数のクライアントマシン３，３…と、管理サーバ１からE-mail（Ｅメール）を送信すると、サーバ管理者がそのE-mailを確認できる複数のサーバ管理者マシン４，４…から構成され、管理サーバ１は、アクセス制御ポリシーを格納するアクセス制御ポリシーデータベース５、不整合ポリシーを格納する不整合ポリシーデータベース６及びセキュリティポリシーを格納するセキュリティポリシーデータベース７を備えている。
【００１４】
本発明の処理の全体概要は次のとおりである。
管理サーバ１に於いて、（Ａ）サーバ管理者がユーザのセキュリティ権限が書かれたユーザ毎のアクセス制御ポリシーの設定を変更する際に、（Ｂ）不整合ポリシー及びセキュリティポリシーのそれぞれと、設定変更しようとする内容とを比較する。（Ｃ）比較の結果、不整合ポリシーに登録された組合せの設定内容である場合やセキュリティの強さに変化がある場合に、設定画面の文字列色を変更し、変更の影響を示す。変更内容に間違いがないことを確認し、変更を確定すると、（Ｄ）不整合があった場合、或いは、セキュリティが弱くなった場合に、サーバ管理者全員に宛てたE-mailが送信される。
【００１５】
上記処理を実現するために、前記管理サーバ１は、サーバ管理者によって管理サーバ１のアクセス制御ポリシーの設定項目に変更が加えられると、変更確定後に予測される状態と、管理サーバ１の不整合ポリシーデータベース６に格納される不整合ポリシーに存在するいずれかの条件とがマッチするかどうかを検索する手段と、マッチする場合、即ち、矛盾した設定、もしくは整合性のとれていない設定である場合には変更しようとしている箇所を第１の色である例えば黄色で表示させる手段と、整合性のとれている設定の場合に、管理サーバ１のセキュリティポリシーデータベース７に格納されるセキュリティポリシーとのマッチングを行う手段と、変更後の状態のセキュリティレベルが変更前のセキュリティレベルより低い場合、即ち、セキュリティが弱くなる場合に、変更しようとしている箇所を第２の色である例えば赤色で表示させる手段と、セキュリティが弱くならない場合、セキュリティが強くなるかどうかを判定する手段と、強くなる場合には変更箇所を第３の色である例えば青色で表示させる手段とを備えている。
【００１６】
更に、前記管理サーバ１は、管理サーバ１が、変更しようとしている箇所を第１の色である例えば黄色で表示させたとき、不整合フラグを設定する手段と、変更しようとしている箇所を第２の色である例えば赤色で表示させたとき、セキュリティ弱体化フラグを設定する手段と、変更確定後の設定項目に、いずれかのフラグが設定されている場合に、設定変更に応じたE-mailをサーバ管理者全員のサーバ管理者マシン４，４…に送信する手段と、E-mailが設定された宛先に届かなかった場合に、設定変更を無効にする手段と、設定変更が無効となった旨のE-mailをサーバ管理者全員のサーバ管理者マシン４，４…に再度送信する手段とを備えている。
【００１７】
図２は不整合ポリシーデータベース６に格納される不整合ポリシーレコードを示す。本レコードに不整合となる設定の組合せが登録されている。
図３はセキュリティポリシーデータベース７に格納されるセキュリティポリシーレコードを示す。本レコードには各設定項目ごとのセキュリティレベルが登録されており、セキュリティレベルが高いほど、セキュリティの高い設定となる。
【００１８】
図４はサーバ管理者が設定を変更する際に、不整合ポリシー及びセキュリティポリシーのそれぞれと比較するフローチャートを示す。
管理サーバ１に於いて、サーバ管理者が設定項目に変更を加えると（ステップＳ１）、不整合ポリシーに存在するいずれかの条件と、変更確定後に予測される状態とがマッチするかを検索する（ステップＳ２）。もしマッチする場合には、矛盾した設定、もしくは整合性のとれていない設定であり、その場合には変更しようとしている箇所を第１の色である例えば黄色で表示させ（ステップＳ３）、注意を促す。また、その際に、変更確定後のE-mailの送信のために不整合フラグを設定する（ステップＳ４）。もし整合性のとれている設定であれば、次に、セキュリティポリシーとのマッチングを行う（ステップＳ５）。変更後の状態のセキュリティレベルが変更前のセキュリティレベルより低い場合には、セキュリティが弱くなることを意味する。その場合には変更しようとしている箇所を第２の色である例えば赤色で表示させ（ステップＳ６）、警告を促す。その際に、変更確定後のE-mailの送信のためにセキュリティ弱体化フラグを設定する（ステップＳ７）。
【００１９】
次に、セキュリティが弱くならない場合、同様にセキュリティが強くなるかを判定し（ステップＳ８）、強くなる場合には変更箇所を第３の色である例えば青色で表示させる（ステップＳ９）。もしセキュリティが強くならない場合にはセキュリティのレベルが変わらないことを意味するので、何もせず通常どおりの表示をおこなう（ステップＳ１０）。
【００２０】
図５はサーバ管理者が設定を変更確定後に、サーバ管理者全員にE-mailし、E-mailが設定された宛先に届かなかった場合に設定を無効にする処理のフローチャートを示す。
図４に示す処理の後、変更確定を行い（ステップＳ２１）、変更項目に、いずれかの前記フラグが設定されている場合に設定変更に応じたE-mailをサーバ管理者全員のサーバ管理者マシン４，４…に夫々送信する（ステップＳ２２）。E-mailが設定された宛先に届かなかった場合には、当該設定項目は無効となり（ステップＳ２３）、無効となった旨のE-mailがサーバ管理者全員のサーバ管理者マシン４，４…に夫々再度送信される（ステップＳ２４）。
尚、ステップＳ２１とＳ２２の間の判断でフラグが設定されていない場合、ステップＳ２２とＳ２３の間の判断でE-mailが届いたことが確認された場合は、処理を終了する。
【図面の簡単な説明】
【００２１】
【図１】本発明のサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムを概略的に説明するシステム構成図である。
【図２】本発明による不整合ポリシーレコードのデータ構造図である。
【図３】本発明によるセキュリティポリシーレコードのデータ構造図である。
【図４】本発明のサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムに於ける不整合ポリシー及びセキュリティポリシーと比較する処理の流れを示すフローチャートである。
【図５】本発明のサーバ管理者による矛盾・不整合のある設定防止セキュリティ管理システムに於ける設定変更確定後の処理の流れを示すフローチャートである。
【符号の説明】
【００２２】
１  管理サーバ
２  ネットワーク
３  クライアントマシン
４  サーバ管理者マシン
【図１】
2008234249.tif 000003
【図２】
2008234249.tif 000004
【図３】
2008234249.tif 000005
【図４】
2008234249.tif 000006
【図５】
2008234249.tif 000007