(57)【要約】【課題】情報処理装置に保存されたファイルに対する改ざんの有無の検出処理、および改ざんされたファイルの回復処理をより強固にする。【解決手段】情報処理装置において、サービス用ＯＳ１１０、セキュリティ用ＯＳ１２０の２つのＯＳを使い分けて稼働するマルチＯＳ環境を構築する。ウィルスなど外部からの操作によって改ざんされる可能性がある監視対象ファイル１１５は、サービス用ＯＳ１１０の管理下に置く。監視対象ファイル１１５の改ざんの有無を監視する機能は、セキュリティ用ＯＳ１２０上で稼働する。改ざんの有無検出に使用される監視情報およびバックアップファイルは、セキュリティ用ＯＳ１２０の管理下に置く。通常の処理で使用されるサービス用ＯＳ１１０から、監視情報等を隔離することにより、これらの改ざんを回避することができ、ファイルの監視、回復機能を強固にすることができる。【選択図】　図１
2004013607.tif 000002
【特許請求の範囲】
【請求項１】
情報処理装置に保存されたファイルを監視するファイル監視装置であって、
前記ファイルにアクセスするためのファイルアクセス部と、
前記ファイルに対する改ざんの有無を監視するための監視情報を記憶する監視情報記憶部と、
監視対象のファイルについて、前記監視情報に対応したパラメータ値を取得するパラメータ取得部と、
該パラメータ値と前記監視情報とを比較して、前記改ざんの有無を判定する改ざん判定部とを備え、
前記監視情報記憶部は、前記ファイルアクセス部による該監視情報へのアクセスが不能に構成されているファイル監視装置。
【請求項２】
請求項１記載のファイル監視装置であって、
改ざんされたファイルを復旧するための復旧情報を併せて記憶する復旧情報記憶部と、
前記改ざんが検出された場合には、前記復旧情報を用いて、該改ざんされたファイルの復旧を行うファイル復旧部を備えるファイル監視装置。
【請求項３】
請求項２記載のファイル監視装置であって、
前記復旧情報記憶部は、前記ファイルアクセス部による該復旧情報へのアクセスが不能に構成されているファイル監視装置。
【請求項４】
請求項２または３記載のファイル監視装置であって、
前記ファイルを正規に更新するための更新情報を入力する更新情報入力部と、該更新情報に基づき、前記復旧情報および前記監視情報を更新する更新部を備えるファイル監視装置。
【請求項５】
請求項２〜４いずれか記載のファイル監視装置であって、
前記ファイルアクセス部は、前記ファイル復旧部に依らない前記ファイルに対する改変を禁止するファイル監視装置。
【請求項６】
請求項１〜５記載のファイル監視装置であって、
前記監視対象のファイルに応じて、前記改ざん判定部による判定に関する条件を変更する判定条件制御部を備えるファイル監視装置。
【請求項７】
請求項１〜６記載のファイル監視装置であって、
前記ファイルアクセス部を動作させるための第１オペレーティングシステムと、
該第１オペレーティングシステムから分離されたハードウェア資源を用いて稼働する第２オペレーティングシステムと、
該第１オペレーティングシステムおよび第２オペレーティングシステム間での情報の授受を制御する通信部とを備え、
前記監視情報記憶部にアクセスする機能は、前記第２オペレーティングシステムによって提供され、
前記改ざん判定部は、前記通信部を用いて前記パラメータ値と前記監視情報を取得するファイル監視装置。
【請求項８】
情報処理装置に保存されたファイルを監視するファイル監視方法であって、
前記ファイルへのアクセスを行うためのプロセスと同一のプロセスでのアクセスが禁じられた状態で管理され、前記ファイルに対する改ざんの有無を監視するための監視情報を取得する工程と、
監視対象のファイルについて、前記監視情報に対応したパラメータ値を取得する工程と、
該パラメータ値と前記監視情報とを比較して、前記改ざんの有無を判定する工程とを備えるファイル監視方法。
【請求項９】
情報処理装置に保存されたファイルを監視するためのコンピュータプログラムであって、
前記ファイルにアクセスするためのファイルアクセス機能と、
前記ファイルに対する改ざんの有無を監視するための監視情報を管理する監視情報管理機能と、
監視対象のファイルについて、前記監視情報に対応したパラメータ値を取得する機能と、
該パラメータ値と前記監視情報とを比較して、前記改ざんの有無を判定する機能とを実現し、
前記監視情報管理機能は、前記ファイルアクセス機能による前記監視情報に対するアクセスが不能となる態様で提供されるコンピュータプログラム。
【請求項１０】
請求項８記載のコンピュータプログラムを記録したコンピュータ読み取り可能な記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、情報処理装置に保存されたファイルに対する不正な改ざんを監視する技術に関する。
【０００２】
【従来の技術】
インターネットを介して送り込まれたウィルスなどによって、情報処理装置に保存されたファイルが不正に改ざん、破壊等されることが問題となっている（以下、ファイルに対する不正な変更を「改ざん」と総称する）。これらの問題に対する対策の一つとして、例えば、特開平１０−６９４１７号公報記載の技術、特開２００１−３３７８６４号公報記載の技術が挙げられる。前者は、常駐型のファイル監視プログラムを情報処理装置上に設け、定期的にファイルの改ざんを監視する技術である。後者は、ポリシーに規定された条件を満足する場合にのみファイルへのアクセスを許容することにより、ファイルの改ざんを防止する技術である。
【０００３】
【発明が解決しようとする課題】
しかし、後者の技術は、仮にファイルの改ざんが行われた場合、それを検出することができなかった。前者の技術では、ファイルの改ざんの監視に使用されるファイル監視プログラム、パラメータ設定ファイルなどの情報自体が改ざんされる恐れがある。これらの情報が改ざんされた場合には、ファイルの監視が正常に機能しなくなる可能性があった。このように、従来技術では、ファイルの改ざんを監視する際の確実性に、改善の余地が残されていた。これは、ウィルスによるものに限らず、ファイルの不正な改ざんに共通の課題であった。
【０００４】
【課題を解決するための手段】
上記課題の少なくとも一部を解決するため、本発明は、情報処理装置に保存されたファイルを監視するファイル監視装置を提供する。このファイル監視装置は、ファイルアクセス部、監視情報記憶部、パラメータ取得部、改ざん判定部を備えている。ファイルアクセス部は、ファイルへのアクセスに使用される。監視情報記憶部は、ファイルに対する改ざんの有無を監視するための監視情報を記憶している。パラメータ取得部は、監視対象のファイルについて、監視情報に対応したパラメータ値を取得する。改ざん判定部は、取得されたパラメータ値と監視情報とを比較して、改ざんの有無を判定する。
【０００５】
監視情報記憶部は、ファイルアクセス部による監視情報へのアクセスができないよう構成されている。かかる構成は、ファイルアクセス部と監視情報記憶部とを、ハードウェア的またはソフトウェア的に、乖離させることによって実現することができる。また、いわゆるファイアウォールと類似の構成を適用し、監視情報記憶部へのアクセスを、所定の規則に基づいて制限する構成を採っても良い。換言すれば、かかる構成は、監視情報記憶部をファイル監視装置外部から秘匿する構成、監視情報記憶部への一般ユーザによるアクセスを禁止する構成と表現することもできる。かかる構成を適用することにより、監視情報が不正な改ざんの対象となることを回避することができ、ファイルへの改ざんをより確実に監視することができる。
【０００６】
監視情報としては、ファイルの改ざんによって変動し得る種々の情報、例えば、ファイルサイズ、更新日付、ハッシュ値、ファイル自体のコピーなどを用いることができる。ファイルが改ざんされた場合には、改ざん後のファイルから得られるこれらの情報と、監視情報記憶部に保存された監視情報とに不整合が生じるため、改ざんの有無を検出することができる。
【０００７】
ファイルにアクセス権限が設定されている場合には、アクセス権限に関する情報を監視情報として用いてもよい。こうすることにより、例えば、機密性の高いファイルを、不正に不特定多数の者が閲覧可能にするといった改ざんを検出することが可能となる。
【０００８】
改ざん判定部が判定を行うタイミングは、種々の設定が可能である。例えば、予め設定された期間で定期的に判定してもよいし、ファイルアクセス部によるアクセスに同期して判定してもよい。
【０００９】
本発明において、改ざんされたファイルを復旧するための復旧情報を併せて記憶しておき、ファイルの改ざんが検出された場合には、これを用いて、ファイルの復旧を行うようにしてもよい。復旧情報としては、例えば、バックアップファイルを用いることができる。必ずしも最新のバックアップファイルを記憶しておく必要はなく、当初のバックアップファイル、およびその後、施された改変に関するログ情報を併せて復旧情報として記憶しておいてもよい。
【００１０】
復旧情報は、監視対象となるファイルと同等の扱い、即ち、ファイルアクセス部がアクセスできるように保存することもできるが、監視情報と同等の扱いとすることが好ましい。こうすることにより、復旧情報も改ざんの対象となることを回避できるため、ファイルの復旧をより確実に行うことが可能となる。
【００１１】
復旧情報を用いてファイルの復旧を行う場合、ファイルを正規に更新するための更新情報が入力された際には、ファイル自体ではなく、復旧情報および監視情報を更新するようにしてもよい。ファイル自体の更新が行われていなくても、監視情報が更新されたことに伴い、ファイル監視装置は、ファイルの改ざんが行われたものとみなして、ファイルの復旧を行う。従って、間接的にファイルの更新を行うことができる。こうすることにより、ファイルの正規の更新時に、監視情報との整合性を保つことが可能となる。
【００１２】
本発明では、ファイルに対する改変を原則的に禁止し、改変は、ファイル復旧時だけに許容するものとしてもよい。ファイルの正規な更新は、先に説明したように復旧情報を更新することによって実現可能である。このようにファイルへの改変を制限することにより、ファイルの不正な改ざんをより回避することが可能となる。
【００１３】
本発明においては、改ざんの判定を行う条件を、監視対象のファイルに応じて変更することが好ましい。判定を行う条件とは、例えば、判定を行うタイミング、判定に用いる監視情報の種類などを意味する。これらの条件を、ファイルに応じて変更することにより、改ざん防止に対するファイルごとの要求に応じて、監視の負荷を調整することができる。
【００１４】
本発明において、監視情報記憶部とファイルアクセス部とをソフトウェア的に乖離させる方法は、種々の態様で実現可能である。一例として、両者を異なるオペレーティングシステム（以下、「ＯＳ」と称する）で動作させるようにしてもよい。ファイルアクセス部は、第１ＯＳで動作する。監視情報記憶部にアクセスする機能は、第１ＯＳから分離されたハードウェア資源を用いて稼働する第２ＯＳによって提供される。第１ＯＳと第２ＯＳとの間には、情報の授受を制御する通信部を備える。更に、第１ＯＳと第２ＯＳのハードウェア資源の分配機能を実現するマルチＯＳ制御部を備えてもよい。先に説明した復旧情報を用いる場合には、復旧情報記憶部にアクセスする機能も第２ＯＳで適用することが好ましい。
【００１５】
改ざんの判定には、第１ＯＳによりファイルへのアクセスを通じて取得されるパラメータ値と、第２ＯＳにより監視情報記憶部から得られる監視情報とが必要とされる。従って、改ざんの判定時には通信部を介してこれらの情報を取得する。改ざんの判定を第１ＯＳにより行う場合には、通信部を介して監視情報を取得することになる。改ざんの判定を第２ＯＳにより行う場合には、通信部を介してパラメータ値を取得することになる。改ざん判定部をソフトウェア的に構成する場合には、そのプログラムファイル自体が改ざん対象となることを回避するため、後者の態様が好ましい。
【００１６】
監視情報記憶部とファイルアクセス部との乖離は、必ずしも複数のＯＳを用いる必要はなく、単一のＯＳによって実現してもよい。例えば、ファイルアクセス部をＯＳが提供する基本的なモジュール（以下、「カーネル」と称する）として構成し、監視情報記憶部へのアクセスは、ファイルアクセス部と異なるカーネルとして構成してもよい。同様に、復旧情報記憶部へのアクセスも、ファイルアクセス部と異なるカーネルとして構成してもよい。
【００１７】
本発明は、上述した種々の特徴を全てを備えている必要はなく、適宜、これらの一部を省略したり組み合わせたりして構成してもよい。本発明のファイル監視装置は、情報処理装置内に内蔵してもよいし、別体として構成してもよい。後者では、情報処理装置とファイル監視装置は、ローカル接続またはネットワークなどの通信回線で接続され、ファイルアクセス部は、この通信回線を介して情報処理装置内のファイルにアクセスすることになる。また、ファイル監視装置を、複数のハードウェアで連携して実現させてもよい。
【００１８】
本発明は、アプリケーションプログラムが使用するファイルを監視対象としても構わないが、システムファイル、機密ファイルなど、改ざん防止の要求が強く、かつ更新の頻度が比較的低いファイルを監視対象とすることがより好ましい。
【００１９】
本発明は、上述したファイル監視装置としての態様の他、コンピュータによるファイル監視方法として構成してもよい。また、コンピュータにインストールすることによって、上述のファイル監視装置を構成するためのコンピュータプログラム、およびこれを記録した記憶媒体として構成してもよい。ここで、記憶媒体としては、フレキシブルディスクやＣＤ−ＲＯＭ、ＤＶＤ、光磁気ディスク、ＩＣカード、ＲＯＭカートリッジ、パンチカード、バーコードなどの符号が印刷された印刷物、コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ）および外部記憶装置などコンピュータが読取り可能な種々の媒体を利用できる。
【００２０】
【発明の実施の形態】
本発明の実施の形態について、以下の順序で説明する。
Ａ．装置構成：
Ｂ．ファイル監視処理：
Ｃ．ファイル更新処理：
Ｄ．効果：
Ｅ．変形例：
【００２１】
Ａ．装置構成：
図１は実施例としてのファイル監視装置１００の概略構成を示す説明図である。ファイル監視装置１００は、図示する各機能ブロックを実現するためのソフトウェアを汎用のコンピュータにインストールすることにより構築されている。本実施例では、コンピュータには、サービス用ＯＳ１１０上で稼働するアプリケーションプログラム１１３（以下、単に「アプリケーション」と称する）もインストールされており、アプリケーション１１３に応じた処理を行う情報処理装置としても機能する。本実施例では、ファイル監視装置１００は、情報処理装置に内蔵、または一体的に構成されていることになる。
【００２２】
コンピュータは、サービス用ＯＳ１１０と、セキュリティ用ＯＳ１２０の２種類のＯＳによって動作する。サービス用ＯＳ１１０としては、例えば、Ｗｉｎｄｏｗｓ（商標）を用いることができ、セキュリティ用ＯＳとしては、例えば、ＬＩＮＵＸ（商標）を用いることができる。サービス用ＯＳ１１０とセキュリティ用ＯＳ１２０とを、同一種類のＯＳで統一しても構わない。
【００２３】
２種類のＯＳの動作は、マルチＯＳ制御部１０２によって制御される。マルチＯＳ制御部１０２は、第１にハードウェアウェア資源分割機能、即ち、ＣＰＵ時間、メモリ、外部デバイス、タイマなどコンピュータのハードウェア資源を、サービス用ＯＳ１１０、セキュリティ用ＯＳ１２０に適宜、割り当てる機能を提供する。マルチＯＳ制御部１０２の第２の機能は、サービス用ＯＳ１１０と、セキュリティ用ＯＳ１２０の間の通信を介在する機能である。この機能は、マルチＯＳ制御部１０２に設けられたＯＳ間通信部１０４によって提供される。マルチＯＳ制御部１０２に相当するソフトウェアは、種々知られているため、ここでは詳細な説明を省略する。
【００２４】
サービス用ＯＳ１１０上では、ユーザが種々の情報処理を行うためのアプリケーション１１３が稼働する。また、サービス用ＯＳ１１０は、第１記憶装置１１４と称する磁気ディスクの所定領域を管理する。第１記憶装置１１４には、アプリケーション１１３が使用する種々のファイルや、システムファイルなどが記憶されている。本実施例では、これらのファイルが改ざんを回避すべきファイルに相当する。以下、第１記憶装置１１４に保存されたファイルを、監視対象ファイル１１５と称する。
【００２５】
サービス用ＯＳ１１０は、監視対象ファイル１１５にアクセスするためのカーネルとして、ファイルアクセス部１１１を有している。ファイルアクセス部１１１は、サービス用ＯＳ１１０上で稼働するソフトウェアとして構成しても構わない。
【００２６】
サービス用ＯＳ１１０上には、ファイル監視装置１００の機能ブロックとして、パラメータ取得部１１２が用意されている。パラメータ取得部１１２は、適宜、監視対象ファイル１１５にアクセスして、改ざんの有無の判定に使用される種々のパラメータを取得する。取得されたパラメータは、ＯＳ間通信部１０４を介して、セキュリティ用ＯＳ１２０側の機能ブロックに受け渡される。
【００２７】
セキュリティ用ＯＳ１２０は、第２記憶装置１２２と称する磁気ディスクの所定領域を管理する。第２記憶装置１２２は、第１記憶装置１１４と区別されたメモリ領域であれば足り、必ずしもハードウェア的に両者を分ける必要はない。第２記憶装置１２２には、セキュリティ用ＯＳ１２０を介してアクセス可能であるが、サービス用ＯＳ１１０側の機能を用いて直接アクセスすることはできない。かかる意味で、第２記憶装置１２２の内容は、一般のユーザから秘匿されており、ファイル監視装置１００外部から隔離されていることになる。
【００２８】
第２記憶装置１２２には、ファイルの監視に使用される監視情報１２３が記憶されている。また、監視対象ファイル１１５が改ざんされた場合に、ファイルを復旧するためのバックアップファイル１２４も記憶されている。バックアップファイル１２４に関しては、第１記憶装置１１４に記憶させてもよい。
【００２９】
セキュリティ用ＯＳ１２０上には、ファイル回復マネージャ１２１が構築されている。ファイル回復マネージャ１２１は、監視対象ファイル１１５の改ざんの有無を検出する機能、改ざんが検出された場合にファイルを復旧する機能の２つの機能を提供する。前者の機能は、パラメータ取得部１１２から受け取ったパラメータと、第２記憶装置１２２に記憶された監視情報１２３との比較によって行う。後者の復旧は、第２記憶装置１２２のバックアップファイル１２４を、監視対象ファイル１１５に上書きすることによって行う。
【００３０】
図２は監視情報１２３の内容を示す説明図である。本実施例では、監視情報１２３として、ファイルの監視動作を行う監視タイミング、ファイルの改ざんを検知するための情報の２種類を、ファイルごとに記憶するものとした。図中の例では、”ＳＹＳＴＥＭ”ファイルの監視タイミングとして、毎日午前７時を意味する”ＡＭ０７００”が記憶されている。監視タイミングは、このように時刻で指定してもよいし、監視を行う周期で指定してもよい。時刻で指定する場合には、曜日、日付などを合わせて指定可能とし、１週間、１月単位での監視を可能としてもよい。本実施例では、監視タイミングは、ファイルごとに個別に指定可能としたが、全ファイルで統一してもよい。但し、ファイルごとに個別に指定することにより、ファイルの監視処理が集中することを回避したり、ファイルの重要性に応じて監視頻度を設定したりして、監視負荷を調整することができる。
【００３１】
後者の情報としては、ファイルのサイズ、最新の更新日付、ファイルのハッシュ値、ファイルへのアクセス権限に関する情報を用いる。アクセス権限とは、ファイルにアクセス可能なユーザ名を意味する。改ざんの有無を検出するために各ファイルについて登録されたこれらの情報を、以下、登録情報と称する。登録情報は、ここに例示したものに限らず、ファイルが改ざんされたことにより変動し得る他の情報を用いてもよいし、例示した情報の一部を省略しても差し支えない。
【００３２】
Ｂ．ファイル監視処理：
図３はファイル監視処理のフローチャートである。右側にセキュリティ用ＯＳ１２０が実行する処理を示し、左側にサービス用ＯＳ１１０が実行する処理を示した。いずれの処理も、コンピュータのＣＰＵが実行する処理であるが、以下、説明の便宜上、各ＯＳが実行するように説明する。
【００３３】
処理が開始されると、セキュリティ用ＯＳ１２０は、監視情報を入力する（ステップＳ２０）。監視情報には、図２で説明した通り、監視タイミングと、監視用の登録情報が含まれている。本実施例では、監視情報は、ファイルごとに記憶されているため、ここでは、監視対象となるファイル名に応じた監視情報が読み込まれる。
【００３４】
セキュリティ用ＯＳ１２０は、監視タイミングに該当する場合には（ステップＳ２１）、ＯＳ間通信部１０４を介して、パラメータの取得指示をサービス用ＯＳ１１０に送信する（ステップＳ２２）。パラメータとは、登録情報に対応した項目について、監視対象ファイルから得られる値を意味する。本実施例では、ファイルサイズ、更新日付、ハッシュ値、アクセス権限がパラメータに相当する。
【００３５】
サービス用ＯＳ１１０は、この指示に応じて、監視対象となるファイルにアクセスし、これらのパラメータを取得する。このパラメータは、再びＯＳ間通信部１０４を介して、セキュリティ用ＯＳ１２０に受け渡される。
【００３６】
セキュリティ用ＯＳ１２０は、パラメータを受け取ると（ステップＳ２３）、監視情報１２３に含まれる登録情報と比較し、改ざんの有無を判定する（ステップＳ２４）。パラメータが全て一致する場合には、監視対象ファイルの改ざんはないものと判断され、一部でも異なる場合には、監視対象ファイルは改ざんされているものと判断される。
【００３７】
改ざんされていると判断した場合、セキュリティ用ＯＳ１２０は、監視対象ファイルの復旧を試みる。即ち、バックアップファイル１２４を読み込み（ステップＳ２５）、ＯＳ間通信部１０４を介して、サービス用ＯＳ１１０に、変更指示を出力する（ステップＳ２６）。バックアップファイル１２４も、変更指示と併せて受け渡される。サービス用ＯＳ１１０は、受け取ったバックアップファイル１２４で、監視対象ファイルを上書きすることにより（ステップＳ１２）、ファイルの復旧を行う。以上の処理を、各監視対象ファイルにつき、順次実行する。
【００３８】
本実施例では、ファイルアクセス部１１１によって、監視対象ファイルへの上書きを行うものとしているが、セキュリティ用ＯＳ１２０側から直接上書きするよう構成してもよい。例えば、セキュリティ用ＯＳ１２０に、第１記憶装置１１４も管理可能な機能を持たせることにより実現することができる。こうすることにより、サービス用ＯＳ１１０のシステムファイルなどが改ざんされ、サービス用ＯＳ１１０自体が稼働不能となった場合でも、ファイルの復旧を行うことができる利点がある。
【００３９】
Ｃ．ファイル更新処理：
図４はファイル更新処理のフローチャートである。監視対象となっているファイルを正規に更新する際の処理である。例えば、ユーザがアプリケーション１１３で監視対象ファイル１１５の改変を正規に行い、これを保存する場合の処理に相当する。
【００４０】
処理が開始されると、サービス用ＯＳ１１０は、ファイルの更新指示を入力し（ステップＳ３０）、ＯＳ間通信部１０４を介して、セキュリティ用ＯＳ１２０に送信する（ステップＳ３１）。更新指示には、更新すべきファイル名、更新後のファイルが含まれる。本実施例では、サービス用ＯＳ１１０側で、更新指示を入力するものとしたが、セキュリティ用ＯＳ１２０側で入力するものとしてもよい。
【００４１】
セキュリティ用ＯＳ１２０は、更新指示を受け取り（ステップＳ４１）、登録情報を生成する（ステップＳ４２）。例えば、更新後のファイルに基づいて、ファイルのサイズ、ハッシュ値などを算出する。登録情報の生成は、更新指示の送信に先立って、サービス用ＯＳ１１０側で行うものとしてもよい。こうして得られた登録情報を監視情報１２３として保存し、更新されたファイルをバックアップファイル１２４として保存する（ステップＳ４３）。
【００４２】
更新すべき対象は、第１記憶装置１１４に保存された監視対象ファイル１１５であるが、本実施例では、監視対象ファイル１１５の更新を直接行うことはせず、第２記憶装置１２２の監視情報およびバックアップファイルの更新を行う。この状態では、第１記憶装置１１４の監視対象ファイル１１５から得られるパラメータと、第２記憶装置の登録情報とに不整合が生じる。この状態で、ファイル監視処理を実行すれば、セキュリティ用ＯＳ１２０は、バックアップファイル１２４の内容で監視対象ファイル１１５の上書きを行う。この結果、監視対象ファイル１１５は間接的に更新される。
【００４３】
Ｄ．効果：
以上で説明した実施例によれば、ファイル監視処理により、監視対象ファイルに対する改ざんの有無を検出し、改ざんされたファイルの復旧を行うことができる。本実施例では、監視情報をサービス用ＯＳ１１０から隔離した状態で保存しているため、監視情報の不正な改ざんを回避することができ、監視機能をより強固にすることができる。また、バックアップファイル１２４も同様に、隔離されているため、ファイルの回復機能も強固にすることができる。
【００４４】
ファイル更新処理では、第２記憶装置１２２を更新することで間接的に第１記憶装置１１４の内容を更新する。かかる処理を行うことにより、アプリケーション１１３が直接、監視対象ファイル１１５を変更することを、禁止することができる。ファイルアクセス部１１１に、ファイル回復マネージャ１２１からの上書き指示が出された場合を除き、監視対象ファイル１１５への書き込みを禁止する機能を持たせればよい。こうすることにより、監視対象ファイル１１５の改ざんを回避しやすくなる利点がある。
【００４５】
本実施例では、改ざんが検出された場合に、ファイルの回復処理を行うものとしているが（図３のステップＳ２５，Ｓ２６）、この処理を、検出結果の単なる表示等に置換してもよい。この場合、ファイルの回復処理は、管理者が別途、行えばよい。
【００４６】
本実施例では、図４に示した処理でファイルの更新を行っているが、ファイルの更新は、必ずしもこの処理に依る必要はなく、アプリケーション１１３からの指示に基づいて直接更新することを許容してもよい。
【００４７】
Ｅ．変形例：
実施例では、２つのＯＳを使い分けて、ファイルの監視機能を実現する場合を例示した。本発明は、単一のＯＳを用いて実現することもできる。図５は第１変形例としてのファイル監視装置１００Ａの概略構成を示す説明図である。第１実施例と同様の機能を奏する機能ブロックには、同一の番号を付して示した。
【００４８】
ファイル監視装置１００Ａは、セキュリティ用ＯＳは存在せず、単一のサービス用ＯＳ１１０Ａ上によって稼働する。サービス用ＯＳ１１０Ａは、ファイル回復マネージャ１２１Ａの機能を実現するカーネルを備えている。ファイルアクセス部１１１Ａ、ファイル回復マネージャ１２１Ａは、第１実施例のようにＯＳ間通信部１０４を介する必要なく、直接、情報の授受を行うことができる。
【００４９】
ファイル回復マネージャ１２１Ａは、第２記憶装置１２２を管理する機能も奏する。ファイルアクセス部１１１Ａは、第２記憶装置１２２へのアクセスが禁じられている。このように限定的に動作するカーネルの管理下に、第２記憶装置１２２を置くことにより、実施例と同様、監視情報等の不正な改ざんを回避することができる。
【００５０】
実施例では、情報処理装置にファイル監視装置が内蔵または一体的に構成されている場合を例示した。ファイル監視装置は、情報処理装置と別体であってもよい。図６は第２変形例としてのファイル監視装置１１０Ｂの概略構成を示す説明図である。
【００５１】
ファイル監視装置１１０Ｂは、情報処理装置としてのクライアントコンピュータ１１４Ｂと、ネットワークＩＮＴを介して接続されている。ネットワークＩＮＴとしては、インターネットその他の広域的なネットワーク、ＬＡＮその他の限定的なネットワーク等を用いることができる。
【００５２】
ファイル監視装置１１０Ｂの内部構造は、第１実施例と同様である。但し、サービス用ＯＳ１１０は、情報処理装置内の監視対象ファイル１１５Ｂにネットワークを介してアクセスするためのネットワークインタフェース１１１Ｂを、備えている。ネットワークインタフェース１１１Ｂの機能は、ファイルの監視処理という観点では、実施例のファイルアクセス部と同じである。アプリケーション１１３は、省略しても差し支えない。また、第２変形例では、２つのＯＳを使い分ける装置の構成例を示したが、第１変形例の構成を適用してもよい。
【００５３】
第２変形例では、ファイル監視処理におけるパラメータの取得、およびファイルの回復処理における監視対象ファイル１１５Ｂの上書きを、ネットワークＩＮＴで行う点で実施例と相違するものの、その他の処理は実施例と同一である。第２変形例によれば、ネットワークＩＮＴに接続された情報処理装置の監視対象ファイル１１５Ｂを遠隔的に監視し、復旧することができる。
【００５４】
以上、本発明の種々の実施例について説明したが、本発明はこれらの実施例に限定されず、その趣旨を逸脱しない範囲で種々の構成を採ることができることはいうまでもない。例えば、以上の制御処理はソフトウェアで実現する他、ハードウェア的に実現するものとしてもよい。
【００５５】
本実施例では、監視情報をソフトウェア的に外部から隔離する方法を例示したが、ハードウェア的に隔離してもよい。例えば、第２記憶装置１２２およびその管理回路を、第１記憶装置１１４等とは別のハードウェアとし、両者間の通信内容を制限する構成を採ることができる。
【００５６】
【発明の効果】
本発明によれば、監視情報をアプリケーション１１３等で使用されるＯＳの管理下とは個別に管理することにより、監視情報が不正な改ざんの対象となることを回避することができ、ファイルへの改ざんの監視機能をより強固にすることができる。
【図面の簡単な説明】
【図１】実施例としてのファイル監視装置１００の概略構成を示す説明図である。
【図２】監視情報１２３の内容を示す説明図である。
【図３】ファイル監視処理のフローチャートである。
【図４】ファイル更新処理のフローチャートである。
【図５】第１変形例としてのファイル監視装置１００Ａの概略構成を示す説明図である。
【図６】第２変形例としてのファイル監視装置１１０Ｂの概略構成を示す説明図である。
【符号の説明】
１００、１００Ａ、１００Ｂ…ファイル監視装置
１０２…マルチＯＳ制御部
１０４…ＯＳ間通信部
１１０…サービス用ＯＳ
１１１、１１１Ａ…ファイルアクセス部
１１１Ｂ…ネットワークインタフェース
１１２…パラメータ取得部
１１３…アプリケーション
１１４…第１記憶装置
１１４Ｂ…クライアントコンピュータ
１１５、１１５Ｂ…監視対象ファイル
１２０…セキュリティ用ＯＳ
１２１、１２１Ａ…ファイル回復マネージャ
１２２…第２記憶装置
１２３…監視情報
１２４…バックアップファイル
【図１】
2004013607.tif 000003
【図２】
2004013607.tif 000004
【図３】
2004013607.tif 000005
【図４】
2004013607.tif 000006
【図５】
2004013607.tif 000007
【図６】
2004013607.tif 000008