(57)【要約】【課題】ポリシーに，過度に厳しい条件が含まれるか否かを調べ，そのポリシーがどこなのかを特定し，また，ポリシーが，過度にゆるい条件になっているか否かを調べ，不足しているポリシーを提示し，適切なポリシーへと修正するのに必要な情報を提供する。【解決手段】ポリシー格納手段と，違反アクセスを格納する違反アクセス格納手段と，違反アクセスの発生した原因となるポリシーの設定項目を特定するポリシー分析手段とを有し，どこで違反アクセスが発生したかを，ポリシーを示す表示領域上で表示する。また，ポリシー格納手段と，既知の不正アクセスとポリシーとの照合に必要な情報と，不正アクセスブロックのためのポリシーを格納する不正アクセス情報格納手段と，不正アクセスをシミュレートし不正アクセスをブロックしているかを確認するポリシー分析手段を有し，ブロックしていない場合に不正アクセス情報格納手段にあるポリシーを提示する。【選択図】図１
2004139292.tif 000002
【特許請求の範囲】
【請求項１】
アクセス制御のポリシーを格納するポリシー格納手段と，システムで発生するアクセスを前記ポリシーと照合することにより違反アクセスを判別し，前記違反アクセスを格納する違反アクセス格納手段と，違反アクセスの発生した原因となるポリシーの設定項目を特定するポリシー分析手段と，前記ポリシーを表示するポリシー表示手段とを有し，前記ポリシーにおけるどこの設定項目で違反アクセスが発生したかを，前記ポリシー表示手段における表示領域上で強調表示することを特徴とするポリシー診断システム。
【請求項２】
既知の不正アクセス情報と，前記不正アクセスをブロックするためのポリシーとを格納する不正アクセス情報格納手段と，請求項１記載の前記ポリシー格納手段に格納されるポリシーと前記不正アクセスとを照合し，前記照合した結果を表示するポリシー照合結果表示手段とを有し，前記ポリシーではブロックできないと判断される前記不正アクセス情報については，当該不正アクセス情報に対応するポリシーを，前記ポリシー照合結果表示手段における表示領域上で表示することを特徴とするポリシー診断システム。
【請求項３】
請求項１記載の前記ポリシー格納手段における前記ポリシーと照合した結果違反アクセスと判定されたアクセスのうち，管理者が真の不正アクセスと判断したアクセスと，請求項２記載の前記不正アクセス情報格納手段に格納される前記不正アクセス情報から前記ポリシーではブロックできないアクセスとを記録する不正アクセス記録手段と，前記不正アクセス情報のブロックに必要となるポリシーを提示する追加修正ポリシー提示手段と，前記追加修正ポリシー提示手段で提示された情報をもとにポリシーを修正するポリシー修正手段とを有し，前記不正アクセス記録手段は，さらに，修正後のポリシーでブロックできていない不正アクセスを記録するものであり，管理者は前記不正アクセス記録手段によって記録される不正アクセスがなくなるまでポリシーを前記ポリシー修正手段によって修正を繰り返すことを特徴とするポリシー診断システム。
【請求項４】
請求項１記載の前記ポリシー格納手段における前記ポリシーと照合した結果違反アクセスと判定されたアクセスのうち，管理者が正当なアクセスであると判断したアクセスと，前記ポリシーと照合した結果正当なアクセスであると判定されたアクセスとを記録する正当アクセス記録手段と，前記違反アクセスのうち管理者が正当なアクセスであると判断したアクセスを許可するのに必要となるポリシーの設定箇所を提示する追加修正ポリシー提示手段と，前記追加修正ポリシー提示手段で提示された情報をもとにポリシーを修正するポリシー修正手段とを有し，前記正当アクセス記録手段は，さらに，修正後のポリシーで許可できていない正当アクセスを記録するものであり，管理者は前記正当アクセス記録手段によって記録される許可できていない正当アクセスがなくなるまで，違反アクセス管理者は前記ポリシー修正手段によって修正を繰り返すことを特徴とするポリシー診断システム。
【請求項５】
請求項１における前記ポリシー表示手段において，当該ポリシーに合致したアクセスが何回あったかを示すカウントを集計するカウント集計手段を有し，前記ポリシー表示手段における表示領域において，前記カウント集計手段で集計したカウントを前記ポリシーとあわせて表示することを特徴とするポリシー診断システム。
【請求項６】
請求項１における前記ポリシー表示手段と，請求項５における前記カウント集計手段とを有し，前記ポリシー表示手段における表示領域において，前記カウント集計手段で集計したカウントが０回である場合に，前記カウントを強調表示することを特徴とするポリシー診断システム。
【請求項７】
違反アクセスの中で管理者が真の不正アクセスであると判断したものがある場合に，前記不正アクセスを再現するための情報および前記不正アクセスをブロックするためのポリシー情報を，請求項２における前記不正アクセス格納手段に格納するための手段を提供することを特徴とするポリシー診断システム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は，計算機のセキュリティに係わり，特に計算機上におけるファイルのアクセス制御において，実環境に適用する前にポリシーの調整をおこなう技術に関する。
【０００２】
【従来の技術】
計算機上でファイルのアクセス制御を実施するために，例えばオペレーティングシステムでは，ファイルにアクセスできる条件（ポリシー）をファイルごとに設定し，上記ポリシーにもとづくアクセス制御をおこなっている。こうしたポリシーにもとづくアクセス制御においては，不当なファイルアクセスをブロックするために，ポリシー設定を適切におこなう必要がある。さらに，計算機を実運用する前には，ポリシー設定が適切であることが十分確認されていなければならない。
【０００３】
特許文献１では，ディレクトリ・ファイル全体のアクセス権設定状況を把握した上で，アクセス権の参照，更新操作を行うことにより，理解容易性を向上させ，設定誤りを減少させる方法が紹介されている。
【０００４】
【特許文献１】
特開平７−２９５９４１号公報
【０００５】
【発明が解決しようとする課題】
上述のように，上記ポリシーにはファイルに対するアクセス条件を設定する。しかし，必要以上の制限をおこなうなど，過度に厳しい条件であれば，アプリケーションの動作に必要なアクセスがブロックされ，計算機を利用した業務遂行ができないことがある。
【０００６】
一方，上記アクセス条件に最低限必要な制限が不足するなど，過度にゆるい条件であれば，不正なアクセスまで許してしまうことになり，情報漏えいや改ざんなどのセキュリティ脅威の発生につながる。
【０００７】
したがって，計算機に適切なポリシーというのは，計算機の用途に必要なアクセスを通し，不必要なアクセスをブロックするものだと言える。
【０００８】
こうした過度に厳しい条件が設定したポリシーに含まれるか否か，あるいは，設定したポリシーが過度にゆるい条件となっているか否かを管理者自身が事前に検査することは，従来技術では難しかった。また，これらの条件を含むポリシーの場合に，必要以上の制限をおこなうポリシーがどこなのかを特定したり，不足しているポリシーが何であるかをを把握することが難しかった。
【０００９】
そこで，本発明の第一の目的は，ポリシーを実環境に適用する前に，上記ポリシーに過度に厳しい条件や過度にゆるい条件があるか否かを調べ，これらの条件を含むポリシーの場合に，必要以上の制限をおこなうポリシーがどこなのかを特定したり，不足しているポリシーが何であるかを提示することで，適切なポリシーへと修正する上で必要な情報を与えるポリシー診断方法を提供することにある。
【００１０】
また，本発明の第二の目的は，実環境にすでに適用したポリシーに過度に厳しい条件があるか否かを調べ，必要以上の制限をおこなうポリシーがどこなのかを特定し，適切なポリシーへと修正する上で必要な情報を与えるポリシー診断方法を提供することである。
【００１１】
【課題を解決するための手段】
上記課題を解決するために，本発明は，アクセス制御のポリシーを格納するポリシー格納手段と，システムで発生するアクセスを上記ポリシーと照合することにより違反アクセスを判別し，上記違反アクセスを格納する違反アクセス格納手段と，違反アクセスの発生した原因となるポリシーの設定項目を特定するポリシー分析手段と，上記ポリシーを表示するポリシー表示手段とを有し，上記ポリシーにおけるどこの設定項目で違反アクセスが発生したかを，上記ポリシー表示手段における表示領域上で強調表示することを特徴とするポリシー診断システムを提供する。
【００１２】
また，既知の不正アクセス情報と，上記不正アクセスをブロックするためのポリシーとを格納する不正アクセス情報格納手段と，上記ポリシー格納手段に格納されるポリシーと上記不正アクセスとを照合し，上記照合した結果を表示するポリシー照合結果表示手段とを有し，上記ポリシーではブロックできないと判断される上記不正アクセス情報については，当該不正アクセス情報に対応するポリシーを，上記ポリシー照合結果表示手段における表示領域上で表示することを特徴とするポリシー診断システムを提供する。
【００１３】
また，上記ポリシー格納手段における上記ポリシーと照合した結果違反アクセスと判定されたアクセスのうち，管理者が真の不正アクセスと判断したアクセスと，上記不正アクセス情報格納手段に格納される上記不正アクセス情報から上記ポリシーではブロックできないアクセスとを記録する不正アクセス記録手段と，上記不正アクセス情報のブロックに必要となるポリシーを提示する追加修正ポリシー提示手段と，上記追加修正ポリシー提示手段で提示された情報をもとにポリシーを修正するポリシー修正手段とを有し，上記不正アクセス記録手段は，さらに，修正後のポリシーでブロックできていない不正アクセスを記録するものであり，管理者は上記不正アクセス記録手段によって記録される不正アクセスがなくなるまでポリシーを上記ポリシー修正手段によって修正を繰り返すことを特徴とするポリシー診断システムを提供する。
【００１４】
また，上記ポリシー格納手段における上記ポリシーと照合した結果違反アクセスと判定されたアクセスのうち，管理者が正当なアクセスであると判断したアクセスと，上記ポリシーと照合した結果正当なアクセスであると判定されたアクセスとを記録する正当アクセス記録手段と，上記違反アクセスのうち管理者が正当なアクセスであると判断したアクセスを許可するのに必要となるポリシーの設定箇所を提示する追加修正ポリシー提示手段と，上記追加修正ポリシー提示手段で提示された情報をもとにポリシーを修正するポリシー修正手段とを有し，上記正当アクセス記録手段は，さらに，修正後のポリシーで許可できていない正当アクセスを記録するものであり，管理者は上記正当アクセス記録手段によって記録される許可できていない正当アクセスがなくなるまで，管理者は上記ポリシー修正手段によって修正を繰り返すことを特徴とするポリシー診断システムを提供する。
【００１５】
また，上記ポリシー表示手段において，当該ポリシーに合致したアクセスが何回あったかを示すカウントを集計するカウント集計手段を有し，上記ポリシー表示手段における表示領域において，上記カウント集計手段で集計したカウントを上記ポリシーとあわせて表示することを特徴とするポリシー診断システムを提供する。
【００１６】
さらに，上記ポリシー表示手段と，上記カウント集計手段とを有し，上記ポリシー表示手段における表示領域において，上記カウント集計手段で集計したカウントが０回である場合に，上記カウントを強調表示することを特徴とするポリシー診断システムを提供する。
【００１７】
また，本発明は別の見地からすれば，違反アクセスの中で管理者が真の不正アクセスであると判断したものがある場合に，上記不正アクセスを再現するための情報および上記不正アクセスをブロックするためのポリシー情報を，上記不正アクセス格納手段に格納するための手段を提供することを特徴とする。
【００１８】
【発明の実施の形態】
本発明の一実施の形態を，図１から図１０ならびに図１２を用いて説明する。図１は，本発明を適用したシステムの全体構成を示す図である。１００はポリシー診断モジュール，１１０はアクセス制御モジュール，１２０はポリシーデータ，１３０はログデータ，１４０は不正アクセスデータである。計算機１０は，ハードウェア要素として，ＣＰＵ１１，メモリ１２，ハードディスクなどの外部記憶装置１３，上記外部記憶装置１３の制御をおこなうコントローラ１４，キーボードやマウスなどの入力装置１５，ディスプレイなどの出力装置１６，ネットワーク３０に接続している他の計算機との通信をおこなう通信装置１７，バス等の信号線１８から構成され，また，ソフトウェア要素として，オペレーティングシステム２０，ファイルシステム２１，アプリケーション２２から構成される。上記ポリシー診断モジュール１００および上記アクセス制御モジュール１１０は，外部記憶装置１３からメモリ１２上にロードされ，ＣＰＵ１１上で処理されるプロセスである。また，上記ポリシーデータ１２０と上記ログデータ１３０は，外部記憶装置１３上に永続的に格納されるデータである。
【００１９】
上記アクセス制御モジュール１１０は，計算機１０上で常駐プロセスとして存在する。上記アクセス制御モジュール１１０は，上記アプリケーション２２がファイルシステム２１を通して外部記憶装置１３上のファイルにアクセスすることを監視し，監視結果を上記ポリシーデータ１２０の内容と比較することにより，違反アクセスを検出する。違反アクセスであれば，該アクセスをブロックし，該アクセスの内容を上記ログデータ１３０に記録する。
【００２０】
上記ポリシー診断モジュール１００は，計算機１０上で管理者が任意のタイミングで起動命令を出すときに実行開始されるプロセスとして存在する。上記ポリシー診断モジュール１００は，上記ログデータ１３０をもとに，上記ポリシーデータ１２０におけるどの設定項目で違反が発生したかを割り出し，出力装置１６に表示する。また，上記ポリシー診断モジュール１００は，入力装置１５から管理者の入力情報を受け取り，上記ポリシーデータ１２０の変更もおこなう。
【００２１】
次に，図２を用いて，ポリシー診断のフェーズ全体について説明する。ポリシーを管理する管理者の作業は，作成フェーズ２１０とテストフェーズ２２０と運用フェーズ２３０とに分類できる。まず，作成フェーズ２１０にてポリシーの草案２３１を作成すると，次にテストフェーズ２２０では，実際に計算機１０のユーザに，後述する運用フェーズ２３０で想定される操作を，例えば年に１度しかおこなわない操作なども含めて一通りおこなってもらい（ステップ２２１），そこで発生した違反アクセスの記録をおこない（ステップ２２２），該違反アクセスの情報をもとにポリシーのどこの設定で違反が起きたかの表示をおこない（ステップ２２３），必要があればポリシーの修正をおこない，修正後の再チェックをおこなう（ステップ２２４）。再チェックの後は，再度計算機１０を使用してもらうこと（ステップ２２１）をおこなう。
【００２２】
上記テストフェーズ２２０においては，計算機を正常動作させる限りは違反アクセスが発生しないと考えられるため，運用フェーズ２３０で想定される操作を一通りおこなう間に発生する違反アクセスの数が一定値を下回るようになればテストフェーズを抜け，該ポリシーを完成したポリシー２３２として確定し，運用フェーズ２３０へとうつる。運用フェーズ２３０では，ポリシーの修正をおこなうことはできない。しかし，違反アクセスがあまりにも多発するなど，ポリシーが計算機１０に適切でないと判断されるならば，上記完成したポリシー２３２を保守が必要なものとみなして，２３３で示すように再度テストフェーズ２２０にうつり，ポリシーの修正をおこなう。
【００２３】
本実施形態のポリシー診断は，おもに上記テストフェーズ２２０の作業を支援するためのものである。
【００２４】
なお，以下では，アクセス制御のポリシーに適合しないアクセスを「違反アクセス」と呼び，一方，悪意のある者がおこなう正当でないアクセスを「不正アクセス」と呼ぶことにする。「違反アクセス」の中には「不正アクセス」も操作ミスも含まれることがあり，また「不正アクセス」の全てが「違反アクセス」に含まれるとは限らない。これは「違反アクセス」がポリシーに依存して定義されるものであるのに対し，「不正アクセス」はポリシーとは関係なく計算機１０上で発生する可能性があるためである。
【００２５】
続いて，図３から図５ならびに図１２を用いて，図２で示した全体フェーズのうち実際に計算機を使用すること（ステップ２２１）から違反アクセスを記録すること（ステップ２２２）にかけての説明を中心にして，ポリシーの詳細と，計算機１０を使用していく上で発生する違反アクセスの詳細，ならびに，アクセス制御モジュール１１０の動作の詳細について説明する。
【００２６】
図３は，上記ポリシーデータ１２０の構造の一例を示した図である。上記ポリシーデータは，ポリシー定義テーブル３００から構成される。上記ポリシー定義テーブル３００は，テーブル内のレコードを一意に特定するための値をもつポリシーＩＤフィールド３０１と，計算機１０上のファイルを一意に特定するための絶対パスを格納するファイルフィールド３０２と，計算機１０上のユーザを一意に特定するためのユーザＩＤあるいはユーザ名を格納するユーザフィールド３０３と，計算機１０上のアプリケーションを一意に特定するための絶対パスを格納するプログラムフィールド３０４と，上記ユーザが上記プログラムをもちいて上記ファイルにアクセスできる種別をあらわすアクセスタイプフィールド３０５と，上記プログラムのファイルサイズあるいはハッシュ値などを格納する特徴値フィールド３０６と，アクセスできるための時間帯を指定する時間帯フィールド３０７とから一つのレコードが構成される，レコードの集まりである。
【００２７】
例えば図３においてポリシーＩＤ３０１が「１」のポリシーは，ファイル「Ｃ：￥ｄｏｃｕｍｅｎｔ￥ｓｅｃｒｅｔ．ｄｏｃ」にアクセスできるのは，ユーザ「ｓｕｚｕｋｉ」が特徴値「０ｘ１２３４」なるプログラム「Ｃ：￥ｐｒｏｇｒａｍ￥ｗｏｒｄ．ｅｘｅ」を使って，時間帯「９：００から１７：００」のあいだに読み込み（ｒ）あるいは書き込み（ｗ）することに限る，という意味をあらわす。
【００２８】
なお，上記ファイル３０２は計算機１０上のフォルダであってもよく，また，上記ユーザ３０３は計算機１０上のユーザグループであってもよい。
【００２９】
図４は，上記ログデータ１３０の構造の一例を示した図である。上記ログデータ１３０は，アクセスログ４００ならびにポリシー照合ログ４２０とから構成される。さらに，図２に示したテストフェーズ２２０にて，ステップ２２１からステップ２２４まで１周することを１回と数えるときに，何回目のテストにおける上記アクセスログ４００と上記ポリシー照合ログ４２０とであるかを示す４３１および４３２のシートから構成される。
【００３０】
上記アクセスログ４００は，計算機１０上で発生した全てのファイルアクセスを記録したものであり，上記ポリシー定義テーブル３００で規定するポリシーに適合したアクセスならば，不正フラグフィールド４１７を「０」とするレコードとして格納し，違反したアクセスならば，不正フラグフィールド４１７を「１」とするレコードとして格納する。上記アクセスログ４００の一つのレコードは，適合アクセスならびに違反アクセスの場合に共通して，アクセス対象となったファイルを示すファイルフィールド４０１と，誰がアクセスしたかを示すユーザフィールド４０２と，どのプログラムでアクセスしたかを示すプログラムフィールド４０３と，読み・書き・実行等のアクセスの種別を示すアクセスタイプフィールド４０４と，いつアクセスしたかを示す時刻フィールド４０６と，上記プログラムの特徴値を示す特徴値フィールド４０５から構成される。
【００３１】
さらに違反アクセスの場合であれば，４１１から４１６に示す理由フィールドには，上記違反アクセスがポリシーのどのフィールドで合致しなかったかを示す情報が格納される。例えば，一つの違反アクセス４０７は，上記ポリシー定義テーブル３００におけるポリシーＩＤが「１」のポリシーとはプログラム・特徴値が異なることが理由で違反となり，ポリシーＩＤが「２」のポリシーとはユーザ・プログラム・アクセスタイプ・特徴値が異なることが理由で違反となり，上位フォルダから継承されたポリシーとなっているポリシーＩＤ「４」のポリシーとは，アクセスタイプが異なることが理由で違反となったものである。
【００３２】
さらに，上記アクセスログ４００は，後述するポリシーの再診断で利用するための再診断フラグフィールド４１８とから構成される。また，上記ポリシー照合ログ４２０は，計算機１０上で発生したファイルアクセスが上記ポリシー定義テーブル３００にあるポリシーのいずれかに合致する（ヒットすると呼ぶことにする）場合に，上記ポリシーのヒット回数を集計したヒット数４２１と，上記ポリシーのポリシーＩＤ３０１とのペアを一つのレコードとする，レコードの集まりである。
【００３３】
また，図１２に上記不正アクセスデータ１４０のデータ構造の一例を示す。上記不正アクセスデータ１４０は，１２０１に示す一つの不正アクセス再現データに，１２０２および１２０３および１２０４に示すような０個以上のポリシーデータとを組み合わせたものを一つのペアとする，複数のペアから構成される。例えば，１２０５に示す不正アクセス再現データには，２つのポリシー１２０６と１２０７とが対応する。
【００３４】
例えば，上記不正アクセスデータ１４０には，コンピュータウィルスやトロイの木馬の挙動を上記不正アクセス再現データ１２０１および１２０５として格納しておく。Ｓｙｓｔｅｍフォルダにある通常は書き換えの行われるはずのないＤＬＬファイルの書き換えをおこなおうとする挙動や，計算機の起動と同時に不正なプログラムを動作させようとするためにスタートアップフォルダにプログラムを書き込もうとする挙動などを，上記不正アクセス再現データ１２０１および１２０５として格納しておく。
【００３５】
つづいて図５を使って，上記アクセス制御モジュール１１０にて実行される処理をあらわすフローチャートを説明する。ユーザが計算機１０を使用していく上でアプリケーション２２を実行すると，ファイルアクセスが発生する。例えば，ワープロソフトを起動する場合，ドキュメントファイルをオープンすることとなる。上記アクセス制御モジュール１１０はこうしたファイルアクセスの監視をおこない（ステップ５０１），
該ファイルアクセスの情報，
ファイル＝（ファイルの絶対パス）
ユーザ＝（ユーザＩＤあるいはユーザ名）
プログラム＝（プログラムの絶対パス）
アクセスタイプ＝（アクセスタイプの種別）
特徴値＝（上記プログラムの特徴値）
時刻＝（システム時刻）
を収集する（ステップ５０２）。
【００３６】
つぎに，収集した該ファイルアクセスの情報における該ファイルが上記ポリシー定義テーブル３００のファイルフィールド３０２に合致するものかどうか，さらに，上記ファイルフィールド３０２が該ファイルの上位フォルダとなっているかどうかを調べる（ステップ５０３）。上記ステップ５０３にて合致しないならば，該ファイルアクセスをファイルシステム２１へとフォワードし，アクセスを許可する（ステップ５０７）。
【００３７】
一方，上記ステップ５０３にて合致するものであれば，次に該ファイルアクセスを上記ポリシー定義テーブル３００にあるポリシーの一つのレコードずつと照合をおこない（ステップ５０４），もしポリシーのいずれかに合致するならば，該ファイルアクセスの情報を上記アクセスログ４００における４０１から４０６のフィールドに記録し，また上記不正フラグフィールド４１７の値を「０」ならびに上記再診断フラグフィールド４１８の値を「１」として記録し（ステップ５０５），合致した上記ポリシーに該当する，上記ポリシー照合ログ４２０のヒット数４２１の値をインクリメントし（ステップ５０６），ファイルシステム２１へと該ファイルアクセスをフォワードする。
【００３８】
一方，上記ステップ５０４においてポリシーのいずれのレコードにも合致しないならば，上記違反アクセスログ４００に該ファイルアクセスの内容を４０１から４０６のフィールドに記録し，また上記不正フラグフィールド４１７の値を「１」ならびに上記再診断フラグフィールド４１８の値を「０」として記録し（ステップ５０８），該アクセスの発行元となるプログラムに対してファイルへのアクセスを禁止した旨のエラーを通知する（ステップ５０９）。以上の処理が完了すると，ふたたび上記ステップ５０１へと戻る。
【００３９】
ここで，ファイルアクセスがポリシーに違反する場合に，ファイルアクセスを禁止されることにより想定しない不具合をアプリケーション２２が起こさないようにするため，違反アクセスである旨のログ記録をおこなった上でファイルアクセスを許可するものとしてもよい。
【００４０】
続いて，図６から図１０を用いて，図２で示した全体フェーズのうちポリシーを見直すこと（ステップ２２３）からポリシーを修正すること（ステップ２２４）にかけての説明を中心に，上記ポリシー診断モジュール１００の動作の詳細について説明する。
【００４１】
図６は，管理者が上記ポリシー診断モジュール１００を起動したときに出力装置１６に表示される画面の一例を表したものである。上記ポリシー診断画面６００は，図２における何周目のテストフェーズ２２０であるかを示す６０１と，計算機１０上で発生した違反アクセスの一覧を示す領域６１０とから構成される。つづいて，上記領域６１０にてプルダウンメニュー６１１から一つの違反アクセスを選択したときに一意に決定される，６２０に示す上記違反アクセスのアクセス対象となったファイルに対するポリシーの一覧と，６３０に示すその他のポリシーの一覧とを表示する。この表示の方法を，図７を使って説明する。
【００４２】
図７は，上記ポリシー診断画面６００を表示するためのフローチャートを示したものである。まず上記ポリシー診断画面６００の表示を開始すると，図４に示す上記違反アクセスログ４００の再診断フラグフィールド４１８が「０」であるレコードを検索し，検索結果であるレコードの一覧を図６の領域６１０に表示する。ここで，図６に示す４１７のチェックボックスを管理者がＯＮにすると図４に示す不正フラグフィールド４１７の値が「２」となり，ＯＦＦにすると値が「１」となるように連動している（ステップ７０１）。
【００４３】
つぎに，上記領域６１０から管理者が一つの違反アクセスを選択すると（ステップ７０２），上記ポリシー定義テーブル３００にあるポリシーのレコードを順に参照していくループ処理を開始する。ここで管理者の選択した違反アクセスをＡと呼び，ループ処理されているときの一つのポリシーをＰと呼ぶことにする。上記違反アクセスＡに対応する上記理由フィールド４１１から４１６にかけての中に上記ポリシーＰが含まれるならば（ステップ７０３），上記ポリシーＰを違反アクセスのアクセス対象となったファイルに対するポリシーとして図６に示す領域６２０に表示する（ステップ７０４）。
【００４４】
このとき，上記理由フィールド４１１から４１６に対応して，図６の６２２に示すように強調表示する（ステップ７０５）。さらに，上記ポリシーＰに対応する，上記ポリシー照合ログ４２０のヒット数フィールド４２１にある値を，図６の４２１に示すように表示し，さらに上記ヒット数４２１の値が「０」ならば６２３に示すように強調表示する（ステップ７０７）。
【００４５】
上記ステップ７０３において，含まれないならば，上記ポリシーＰを図６に示すその他のポリシー一覧の領域６３０に表示する（ステップ７０６）。このとき，上記ポリシーＰに対応する上記ヒット数４２１にある値が「０」ならば，図６の６３１に示すように強調表示する（ステップ７０７）。
【００４６】
例えば図６の表示例は，管理者が上記違反アクセスログ４００における違反アクセス４０７を選択したときのものであり，管理者は図６を見ながら次に述べるようにポリシー診断ならびにポリシー修正を行っていくことができる。まず，違反アクセスのアクセス対象となったファイルに関係するポリシーの一覧６２０を見ると，上記ポリシー定義テーブル３００におけるポリシーＩＤ３０１が「１」と「２」と「４」のポリシーが該当しており，さらにそれぞれのポリシーごとに６２２に示すように違反を引き起こした原因のフィールドを知ることができる。
【００４７】
もし，６２２に示すように強調表示された部分の中に原因があると管理者が判断するならば，該原因となるポリシーをマウスでクリックし選択状態にしたうえでポリシー更新ボタン６５３を押下することで，上記ポリシーの編集をおこなうための図８に示す画面８００を呼び出すことができる。さらに，ヒット数４２１を見ると，ポリシーＩＤが「１」のポリシーはまだ一度もヒットしていないことが分かり，それゆえポリシーＩＤが「１」のポリシーのプログラムフィールドが設定ミスである可能性のあることや，また，図２に示すステップ２２１にて実際に計算機を利用する上で，実行動作させていないアプリケーションとして「Ｃ：￥ｐｒｏｇｒａｍ￥ｗｏｒｄ．ｅｘｅ」が残っている可能性のあることを示唆している。
【００４８】
また，そのほかのポリシー一覧６３０を見ると，ポリシーＩＤ３０１が「３」のポリシーが一度もヒットしていないことも分かる。さらに，管理者が上記違反アクセス４０７を本当の不正アクセスであると判断するならば，図６に示すチェックボックス４１７にて，該違反アクセスにマークをつけることができる。また，上記違反アクセス４０７が実はポリシーで許可すべきアクセスであることを管理者が判断したならば，ポリシー新規追加ボタン６５２を押下することにより図８に示す画面８００を呼び出し，あらたなポリシーを追加したり，違反アクセスをポリシーに追加するボタン６５１を押下するならば，上記違反アクセス４０７を許可するようなポリシーの草案があらかじめ入力される図８に示す画面８００を呼び出して，上記違反アクセス４０７をもとにしたポリシーを適宜修正して設定することをおこなう。
【００４９】
さらに，アプリケーションのバージョンアップなどにより，上記特徴値４０５の値がポリシーで規定されないものと管理者が判断する場合，一括更新ボタン６５４を押下することにより，上記特徴値４０５の値に関するポリシー設定を一括しておこなうことのできる図８に示す画面８１０を呼び出すことをおこなう。
【００５０】
さて，図６において違反アクセスをポリシーに追加するボタン６５１，あるいは，ポリシー新規追加ボタン６５２を押下，あるいは，領域６２０と領域６３０に表示されているポリシーをクリックし選択状態にした上でポリシー更新ボタン６５３を押下したときに表示されるポリシー設定画面８００を図８に示す。上記ポリシー設定画面８００では，上記ポリシー定義テーブル３００にレコードを追加あるいは更新するために，ファイル３０２の絶対パスと，ユーザ３０３のユーザＩＤあるいはユーザ名と，プログラム３０４の絶対パスと，アクセスタイプ３０５の種別と，時間帯３０７と，該プログラムの特徴値３０６を入力するようになっており，管理者がＯＫボタン８０１を押下することで，上記ポリシー定義テーブル３００に上記入力したポリシーの情報を格納し，上記ポリシー設定画面８００を閉じることをおこなう。
【００５１】
あるいは，削除ボタン８０２を押下することで，管理者がポリシーをクリックして選択したことをあらわす表示になっているポリシーのレコードを上記ポリシー定義テーブル３００から削除することをおこなう。あるいは，キャンセルボタン８０３を押下することで，上記ポリシー定義テーブル３００へ上記入力したポリシーの格納をおこなわずに，上記ポリシー設定画面８００を閉じることをおこなう。あるいは，適用ボタン８０３を押下することで，上記ポリシー定義テーブル３００へと上記入力したポリシーの格納をおこない，上記ポリシー設定画面８００を開いたままにしておくことをおこなう。
【００５２】
ここで，図８における６２２に示す強調表示のように，図６で違反アクセスの原因となったポリシーの設定項目を示す６２２の強調表示を，図８においても引き継ぐものとする。
【００５３】
また，図６の一括更新ボタン６５４を押下したときに表示されるポリシー一括更新画面８１０を図８に示す。上記ポリシー一括更新画面８１０では，更新方法についてラジオボタン８１１から８１４の中から一つを選択することができ，例えば８１１を選択した時には，管理者が８１５に指定するファイルをもつポリシーについて，該ポリシーのファイルフィールド３０２を８１６で指定する絶対パスに一括更新することが可能である。
【００５４】
また，図６の「再診断へ」ボタン６５５を押下すると，図９に示すポリシー再診断画面９００へと遷移する。上記ポリシー再診断画面９００は，管理者が図６に示すポリシー診断画面６００にて全ての違反アクセスにわたってポリシーの修正を行ったあとに，ポリシーに適切な修正がおこなわれたかどうかの再チェックをおこなうために呼び出すものであり，図１０に示すフローチャートに沿った処理をおこなう。上記ポリシー再診断画面９００は，不正アクセスデータ１４０に格納される既知の不正アクセスをシミュレートした結果を示す９１０の領域と，違反アクセスの中から管理者が真の不正アクセスであると判断したものについてシミュレートした結果を示す９２０の領域と，違反アクセスの中から上記不正アクセス以外のものについてシミュレートした結果を示す９３０の領域と，システムで発生した適合アクセスについてシミュレートした結果を示す９４０の領域とから構成される。
【００５５】
上記ポリシー再診断画面９００の表示を開始すると，図１２に示す上記不正アクセスデータ１４０を検索し，１２０１や１２０５の全ての不正アクセス再現データを取得する（ステップ１００１）。つぎに上記不正アクセス再現データをポリシーと照合し（ステップ１００２），もし許可ならば，上記領域９１０にて上記不正アクセスデータを表示する部分の真横に，上記不正アクセス再現データをブロックするためのポリシーを設定するためのボタン９１１を表示し，許可という結果を模擬結果フィールド９０１に９１２に示すように強調表示する（ステップ１００４）。もし禁止ならば，上記不正アクセス再現データを表示する部分の真横に上記ポリシー設定ボタン９１１を表示することはせずに，禁止という結果を模擬結果フィールド９０１に表示する（ステップ１００４）。以上のステップ１００２からステップ１００４までの処理を，ステップ１００１で取得した上記不正アクセスデータ１４０にある不正アクセス再現データすべてについておこなう。
【００５６】
上記ポリシー設定ボタン９１１を管理者が押下したときには，図８に示すポリシー設定画面８００を複数回呼び出すことで，図１２に示すポリシー１２０２から１２０４の内容を表示する。これにより管理者は，ポリシーで防止できていない既知の不正アクセスに対してのポリシー追加設定をおこなうことができる。
【００５７】
つぎに，図４に示す上記アクセスログ４００にて，不正フラグフィールド４１７の値が「２」となるレコードを検索する（ステップ１００６）。上記不正フラグフィールド４１７の値が「２」とは，計算機上で発生した違反アクセスの中でも，管理者が不正アクセスであると判断したものである。上記不正アクセスについてポリシーと照合をおこない（ステップ１００６），もし許可ならば上記不正アクセスのレコードにおける上記再診断フラグフィールド４１８の値を「０」に更新し（ステップ１００７），模擬結果フィールド９０１に許可という結果を９２２に示すように強調表示する（ステップ１００９），もし禁止ならば上記再診断フラグフィールド４１８の値を「１」に更新し（ステップ１００８），模擬結果フィールド９０１に禁止という結果を表示する（ステップ１００８）。以上のステップ１００６からステップ１００９までの処理をステップ１００５で検索した全てのレコードにわたっておこなう。
【００５８】
さらに，上記アクセスログ４００にて，上記不正フラグフィールド４１７の値が「１」であるレコードを検索し（ステップ１０１０），ポリシーと照合する（ステップ１０１１）。この場合，違反アクセスの中でも不正アクセスではないため，アクセスが許可となることが想定される。そこで，ポリシー照合の結果が禁止ならば，上記再診断フィールド４１８の値を「０」に更新し，模擬結果フィールド９０１を９３１に示すように強調表示し（ステップ１０１２），ポリシー照合の結果が許可ならば，該値を「１」に更新し（ステップ１０１３），それぞれ禁止あるいは許可の結果を模擬結果フィールド９０１に表示する（ステップ１０１４）。以上のステップ１０１１からステップ１０１４までの処理を，ステップ１０１０で検索したレコード全てにわたっておこなう。
【００５９】
最後に，上記アクセスログ４００にて，上記不正フラグフィールド４１７の値が「０」であるレコードを検索し（ステップ１０１５），ポリシーと照合する（ステップ１０１６）。もし禁止ならば，一度適合アクセスとなったものが，ポリシー修正を行ったことにより，アクセスが禁止されるようになったことが分かり，上記再診断フラグフィールド４１８の値を「０」に更新し，模擬結果フィールド９０１を９４１に示すように強調表示し（ステップ１０１７），許可ならば該値を「１」に更新し（ステップ１０１８），上記模擬結果フィールド９０１に禁止あるいは許可の結果を表示する。以上のステップ１０１６からステップ１０１９までの処理を，ステップ１０１５で検索したレコード全てにわたっておこなう。
【００６０】
以上で，上記ポリシー再診断画面９００の表示を完了する。
【００６１】
ここで，管理者が「ＤＢに追加」ボタン９２１を押下するならば，９２０に示す「システムで発生した違反アクセス中の不正アクセス」の全てを，上記不正アクセスデータ１４０に格納する。このとき，上記不正アクセスをブロックするためのポリシー設定の入力を，図８に示すポリシー設定画面８００と同じ画面を複数回呼び出すことを通じておこなう。
【００６２】
また，図９において，管理者が上記ポリシー再診断画面９００を参照することで，不正アクセスなのに許可をしていたり，正常アクセスなのに禁止をしていたりすることが分かり，ポリシーの修正がさらに必要だと管理者が判断するならば「ポリシー診断へ」ボタン９０２を押下することで遷移する図６に示す上記ポリシー診断画面６００上で，再度ポリシー診断および修正をおこなう。このとき，図４に示す上記アクセスログ４００における上記再診断フラグフィールド４１８の値が「０」であるレコードを再度見直していくこととなる。
【００６３】
また，図９において，管理者がポリシーの修正が一通り終了したことを確認し，まだ計算機１０上で動作させていないアプリケーションがあるなど，図２に示すテストフェーズ２２０をさらにおこなうと判断する場合には，「３回目テストの開始」ボタン９０３を押下すればよい。このとき，図４に示すシート４３１およびシート４３２において，新たに「３回目テスト」のシートが追加され，アクセスログ４００およびヒット数４２１などがリセットされた状態からテストフェーズ２２０を実施することとなる。
【００６４】
また，図９において，不正アクセスなのに許可をしていたり，正常アクセスなのに禁止をしていたりすることが管理者の許容範囲内におさまり，これ以上テストフェーズ２２０をおこなう必要がないと管理者が判断するならば，「テストフェーズを終了する」ボタン９０４を押下すればよい。これにより，上記ポリシー再診断画面９００を閉じる。
【００６５】
以上，本発明の第一の実施例によれば，ポリシーを実環境に適用する前に，想定される利用の全てにわたってユーザに計算機を利用してもらい，計算機上で発生した違反アクセスを記録しておき，上記違反アクセスの発生した原因となるポリシーの設定項目を特定し，上記ポリシーにおけるどこの設定項目で違反アクセスが発生したかを，上記ポリシーを示す表示領域上で強調表示することにより，適切なポリシーへと修正するうえで必要な情報を提供することができる。
【００６６】
ならびに，既知の不正アクセスをシミュレートすることで，必要な制限をポリシーが行っていることを確認し，制限が不足しているならば，上記不正アクセスを防止するためのポリシーの草案を提示することにより，適切なポリシーへと修正するのに必要な情報を提供することができる。
【００６７】
これにより，第一の目的を満たす。
【００６８】
続いて本発明の第二の実施例を説明する。第二の実施例は，図２に示す運用フェーズ２３０において実環境にすでに適用したポリシーに過度に厳しい条件がある場合，例えば，テストフェーズ２２０において想定しなかったアプリケーションを運用フェーズ２３０になってはじめて利用したときに動作できないことが分かった場合などに，適切なポリシーへと修正をおこなうためのものである。
【００６９】
第二の実施例におけるシステム構成は，図１に示すものと同等であり，区別のため，第一の実施例におけるポリシーデータを１２０ａおよびログデータを１３０ａおよび不正アクセスデータを１４０ａとし，第二の実施例におけるポリシーデータを１２０ｂおよびログデータを１３０ｂおよび不正アクセスデータを１４０ｂとする。
【００７０】
運用フェーズ２３０においては，上記ポリシーデータ１２０ｂのもと計算機１０上のファイルにアクセス制御が適用されており，計算機１０上で発生した違反アクセスを上記ログデータ１３０ｂに記録する。運用フェーズ２３０で計算機１０のユーザが動作できないアプリケーションがある旨が管理者に伝えられるなどして，管理者がポリシーを保守すべきだと判断した場合，管理者は図１に示す上記ポリシー診断モジュール１００を起動する。このとき，図２に示す２３３のパスにおいては，上記ポリシーデータ１２０ｂおよび上記ログデータ１３０ｂとをテストフェーズ２２０へとわたす。ここで，テストフェーズ２２０ではステップ２２１とステップ２２２とをスキップし，ステップ２２３へと進む。
【００７１】
上記ポリシー診断モジュール１００は，上記ポリシーデータ１２０ｂおよび上記ログデータ１３０ｂをもとに，図７に示すフローチャートにしたがって動作し，図６に示すポリシー診断画面６００を出力装置１６に表示する。このとき管理者は，第一の実施例における図２に示すステップ２２３と同様にポリシーの診断および修正をおこない，第一の実施例におけるステップ２２４と同様に図９に示すポリシー再診断画面９００を呼び出すことにより，ポリシーの再チェックをおこなう。ここで，上記ポリシー再診断画面９００を呼び出す際には，領域９１０の表示，すなわち，不正アクセスデータ１４０ｂにある既知の不正アクセスとの照合をおこない，結果を表示する。
【００７２】
管理者は，以上のステップ２２３およびステップ２２４における作業を通じて，違反アクセスの発生した原因となるポリシーの設定箇所を容易に特定することができ，適切なポリシーへと修正をおこない，適切な修正をおこなったかの確認をおこなうことができる。以上の管理者の作業が終了したならば，修正後のポリシーデータ１２０ｂを図２に示す完成したポリシー２３２としてふたたび運用フェーズ２３０へとわたすことをおこなう。
【００７３】
続いて本発明の第三の実施例を，図１１をもちいて説明する。計算機１０は図１で示したシステム構成を有しネットワーク３０に接続した複数台の計算機であり，１２０はマスターとなるポリシーを保有するポリシー配布サーバであり，１００はネットワーク経由でリモートから計算機１０上のポリシーを診断するポリシー診断コンソールであり，１４０は上記計算機１０上で発生した不正アクセスの情報を集中的に保持するための不正アクセスＤＢである。上記ポリシー配布サーバ１２０は，図２の全体フェーズでいうポリシーの草案２３１を保有しており，各計算機１０へと上記ポリシーの草案２３１をネットワーク経由で一律に配布する。次に，上記ポリシー診断コンソール１００は，各計算機１０をユーザに使用してもらいながら，管理者はネットワーク３０経由でリモートから図２のテストフェーズを実現する。上記不正アクセスＤＢ１４０は，各計算機１０上で不正アクセスが発生した場合に，上記不正アクセスを再現するための情報を集中保持するものであり，上記再現データをもとに，各計算機１０上では不正アクセスのシミュレートをおこなうことが可能となる。
【００７４】
管理者は，各計算機１０の端末まで行かなくても，ネットワーク経由でリモートからポリシー診断をおこなうことができるとともに，計算機１０の台数が増えた場合にも，ポリシー配布とポリシー診断のスケーラビリティを確保することができる。また，いずれかの計算機１０上で不正アクセスが発生したときには，上記不正アクセスの情報を計算機１０間で共有することができ，対策のためのノウハウを蓄積してくことができる。
【００７５】
以上のように，ポリシーを実環境に適用する前に，想定される利用全てにわたりユーザに計算機を利用してもらい，計算機上で発生した違反アクセスを記録しておき，上記違反アクセスの発生した原因となるポリシーの設定項目を特定し，上記ポリシーにおけるどこの設定項目で違反アクセスが発生したかを，上記ポリシーを示す表示領域上で強調表示することにより，適切なポリシーへと修正するのに必要な情報を提供することができる。これにより，管理者はポリシーの過剰な設定となっている部分を容易に特定でき，適切な修正へと取りかかることができる。
【００７６】
また，既知の不正アクセスをシミュレートすることで，必要な制限をポリシーが行っていることを確認し，制限が不足しているならば，上記不正アクセスを防止するためのポリシーの草案を提示することにより，適切なポリシーへと修正するのに必要な情報を提供することができる。これにより，管理者はポリシーに不足があることに気づくことができ，適切な修正へと取りかかることができる。
【００７７】
また，すでに実環境に適用したポリシーにおいて，上記ポリシーで発生した違反アクセスを記録しておき，上記違反アクセスの発生した原因となるポリシーの設定箇所を特定し，上記ポリシーにおけるどこの設定項目で違反アクセスが発生したかを，上記ポリシーを示す表示領域上で強調表示することにより，適切なポリシーへと修正するのに必要な情報を提供することができる。これにより，管理者はすでに実環境に適用したポリシーの過剰な設定となっている部分を容易に特定でき，適切な修正へと取りかかることができる。
【００７８】
【発明の効果】
本発明によれば，適切なポリシーへと修正する上で必要な情報を与えるポリシー診断方法を提供できる。
【図面の簡単な説明】
【図１】ポリシー診断システムの全体ブロック図。
【図２】ポリシー診断のフェーズ全体をあらわした図。
【図３】ポリシーデータのデータ構成図。
【図４】ログデータのデータ構成図。
【図５】アクセス制御モジュールの動作をあらわすフローチャート図。
【図６】ポリシー診断モジュールのポリシー診断画面例。
【図７】ポリシー診断モジュールの，ポリシー診断画面を表示するための動作をあらわすフローチャート図。
【図８】ポリシー診断モジュールのポリシー設定画面例およびポリシー一括更新画面例。
【図９】ポリシー診断モジュールのポリシー再診断画面例。
【図１０】ポリシー診断モジュールの，ポリシー再診断画面を表示するための動作をあらわすフローチャート図。
【図１１】第二の実施例における，ネットワーク構成図。
【図１２】不正アクセスデータのデータ構成図。
【符号の説明】
１０・・・計算機、１１・・・ＣＰＵ、１２・・・メモリ、１３・・・外部記憶装置、１４・・・コントローラ、１５・・・入力装置、１６・・・出力装置、１７・・・通信装置、１８・・・バス、２０・・・ＯＳ、２１・・・ファイルシステム、２２・・・アプリケーション、３０・・・ネットワーク、１００・・・ポリシー診断モジュール、１１０・・・アクセス制御モジュール、１２０・・・ポリシーデータ、１３０・・・ログデータ、１４０・・・不正アクセスデータ、２１０・・・作成フェーズ、２２０・・・テストフェーズ、２３０・・・運用フェーズ、３００・・・ポリシー定義テーブル、３０１・・・ポリシーＩＤフィールド、３０２・・・ファイルフィールド、３０３・・・ユーザフィールド、３０４・・・プログラムフィールド、３０５・・・アクセスタイプフィールド、３０６・・・特徴値フィールド、３０７・・・時間帯フィールド、４００・・・アクセスログ、４０１・・・ファイルフィールド、４０２・・・ユーザフィールド、４０３・・・プログラムフィールド、４０４・・・アクセスタイプフィールド、４０５・・・特徴値フィールド、４０６・・・時刻フィールド、４１１〜４１６・・・理由フィールド、４１７・・・不正フラグフィールド、４１８・・・再診断フラグフィールド、４２０・・・ポリシー照合ログ、４２１・・・ヒット数、１２０１，１２０５・・・不正アクセス再現データ、１２０２〜１２０４，１２０６〜１２０７，ポリシーデータ。
【図１】
2004139292.tif 000003
【図２】
2004139292.tif 000004
【図３】
2004139292.tif 000005
【図４】
2004139292.tif 000006
【図５】
2004139292.tif 000007
【図６】
2004139292.tif 000008
【図７】
2004139292.tif 000009
【図８】
2004139292.tif 000010
【図９】
2004139292.tif 000011
【図１０】
2004139292.tif 000012
【図１１】
2004139292.tif 000013
【図１２】
2004139292.tif 000014