(57)【要約】      （修正有）【課題】  ファイルへの不正アクセスに対して、効率的、効果的な対処を実現する。【解決手段】  監視対象ファイル１２５については、ポリシーファイル１４２において、アクセスが許容されるための条件、および不正アクセスへの対処方法を規定するための隠蔽レベルが設定されている。アプリケーション１０５から、ファイルへのアクセス要求がなされると、ファイル監視部１１２は、ポリシーファイル１４２を参照し、アクセスが不正か否かを判定する。不正なアクセスに対しては、隠蔽レベルに応じて、監視対象ファイル１２５のカモフラージュ用に設けられたダミーファイル１３５にアクセスを誘導する対処、およびファイルの存在を否定する偽の応答を出力するという対処のいずれかを実行する。このように隠蔽レベルに応じて対処方法を使い分けることで、各対処方法の特徴を活かすことができ、不正アクセスに対して効率的、効果的な対処を実現することができる。【選択図】  図１
2005148913.tif 000002
【特許請求の範囲】
【請求項１】
情報処理装置に保存されたファイルへのアクセスを監視するファイル監視装置であって、
前記ファイルに対するアクセス要求を取得するアクセス要求取得部と、
該アクセス要求が不正アクセスか否かを判定する判定部と、
前記ファイルに対する不正アクセスに対し、予め用意された判断基準に基づき、前記不正アクセスへの対処方法を制御するための隠蔽レベルを特定する隠蔽レベル特定部と、
前記隠蔽レベルに応じて、予め用意された複数種類の対処方法のうち、いずれかを選択的に実行する不正アクセス対処部とを備えるファイル監視装置。
【請求項２】
請求項１記載のファイル監視装置であって、
前記複数種類の対処方法には、前記アクセス要求に対する偽の応答の出力、および予め用意された代替ファイルへの誘導を含むファイル監視装置。
【請求項３】
請求項１記載のファイル監視装置であって、
前記判断基準は、監視対象となるファイル単位で予め設定されているファイル監視装置。
【請求項４】
請求項１記載のファイル監視装置であって、
前記判断基準は、アクセス要求の発信者、および前記ファイルへのアクセス方法の少なくとも一方に応じて設定されているファイル監視装置。
【請求項５】
請求項１記載のファイル監視装置であって、
前記判断基準は、前記アクセス要求の発信または取得の時間帯に応じて設定されているファイル監視装置。
【請求項６】
請求項１記載のファイル監視装置であって、
前記判定部は、前記判定基準として予め用意されたアクセス制御ポリシーを参照して、前記判定を行うファイル監視装置。
【請求項７】
請求項１記載のファイル監視装置であって、
前記不正アクセスにおいて発信されたアクセス要求の少なくとも一部を記録するログ作成部を備えるファイル監視装置。
【請求項８】
情報処理装置に保存されたファイルへのアクセスを監視するファイル監視方法であって、
コンピュータが実行する工程として、
前記ファイルに対するアクセス要求を取得する工程と、
該アクセス要求が不正アクセスか否かを判定する工程と、
前記ファイルに対する不正アクセスに対し、予め用意された判断基準に基づき、前記不正アクセスへの対処方法を制御するための隠蔽レベルを特定する工程と、
前記隠蔽レベルに応じて、予め用意された複数種類の対処方法のうち、いずれかを選択的に実行する工程とを備えるファイル監視方法。
【請求項９】
情報処理装置に保存されたファイルへのアクセスを監視するためのコンピュータプログラムであって、
前記ファイルに対するアクセス要求を取得する機能と、
該アクセス要求が不正アクセスか否かを判定する機能と、
前記ファイルに対する不正アクセスに対し、予め用意された判断基準に基づき、前記不正アクセスへの対処方法を制御するための隠蔽レベルを特定する機能と、
前記隠蔽レベルに応じて、予め用意された複数種類の対処方法のうち、いずれかを選択的に実行する機能とをコンピュータによって実現するためのコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報処理装置が利用するファイルに対する不正なアクセスを監視し、対処する技術に関する。
【背景技術】
【０００２】
情報処理装置に保存された種々のファイルは、外部からの不正な閲覧、改ざんなどの危険にさらされている。これらの不正なアクセスは、インターネットその他のネットワークを介して試みられる場合もあれば、目的とするファイルを保存した情報処理装置を操作することで試みられる場合もある。
【０００３】
こうした不正なアクセスに対する対策の一つとして、例えば、アクセス制御ポリシーに規定された条件を満足する場合にのみファイルへのアクセスを許容することにより、ファイルの改ざんを防止する技術が挙げられる（特許文献１参照）。
【０００４】
また、別の対策として、不正なアクセスに対しては、予め用意されたダミーファイルにアクセス先を誘導することで、正規のファイルを保護する方法、ファイルのアクセス要求に対して偽の応答を返信したり偽の処理を行ったりする方法も提案されている（特許文献２参照）。
【０００５】
【特許文献１】特開２００１−３３７８６４号公報
【特許文献２】特開２００２−４１４６８号公報
【発明の開示】
【発明が解決しようとする課題】
【０００６】
近年、ファイルへの不正アクセスの手口は、高度化してきており、従来の画一的な対策では、必ずしも効果的、効率的とは言えなくなってきた。例えば、ファイルのアクセス要求に対して、ファイルが存在しない旨の偽応答を返信したとしても、アクセス要求を試みた者が目的とするファイルの存在を知っている場合には、不正アクセスを効果的に抑止できないおそれがある。一方、ダミーファイルへの誘導を行う場合には、ファイル数が増えるにつれ、ダミーファイルを作成するための管理者の負担、ダミーファイルを格納しておくためのハードウェア資源、ダミーファイルへの誘導を行うための処理負荷が過大となるおそれがある。本発明は、こうした課題に鑑み、ファイルへの不正アクセスに対して、効率的、効果的に対処するための技術を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本発明は、情報処理装置に保存されたファイルへのアクセスを監視するファイル監視装置として構成することができる。本発明のファイル監視装置は、ファイルに対するアクセス要求を取得し、そのアクセス要求が不正アクセスか否かを判定する。不正アクセスに対しては、予め用意された判断基準に基づき隠蔽レベルを特定する。隠蔽レベルとは、不正アクセスへの対処方法を制御するための制御情報である。ファイル監視装置は、この隠蔽レベルに応じて、予め用意された複数種類の対処方法のうち、いずれかを選択的に実行する。本発明によれば、隠蔽レベルに基づいて不正アクセスに対する対処方法を切り換えることが可能となり、対処方法が画一的となることを回避することができる。この結果、ファイルに対するセキュリティ確保の要求に応じて、種々の対処方法を柔軟に使い分けることが可能となるため、不正アクセスに対して、効率的、効果的に対処することが可能となる。
【０００８】
複数種類の対処方法としては、例えば、アクセス要求に対する偽の応答の出力、および予め用意された代替ファイルへの誘導を含めることができる。偽の応答には、例えば、現実に存在するファイルへのアクセス要求に対し、ファイルの存在を否定する応答が含まれる。偽の応答として、ファイルにパスワードが設定されているか否かに関わらず、パスワードの入力を要求する応答を出力してもよい。入力されたパスワードが正しいか否かに関わらず、パスワードが誤っている旨の応答を出力するようにしてもよい。偽の応答による対処は、代替ファイルなどの準備が不要であるためハードウェア資源を節約することができるとともに、比較的軽い処理負荷で実現できる利点がある。
【０００９】
代替ファイルへの誘導とは、アクセスが要求されたファイルとは異なるファイルにアクセス先を変更することを意味する。この変更は、例えば、ファイル監視装置に、アクセス要求を取得し、その内容を書き換える機能を備えることにより実現できる。代替ファイルへの誘導は、内部事情に詳しいアクセス者、即ち、不正なアクセスの目的となっているファイルが存在していることを知っているアクセス者への対処として有用性が高い。こうした有用性を保証するため、代替ファイルを格納するディレクトリの構造は、正規のファイルを格納するディレクトリの構造と同等にしておくことが好ましい。
【００１０】
このように、偽の応答と、代替ファイルへの誘導という特徴が異なる２種類の対処方法を用いることにより、広汎な不正アクセスに効率的、効果的に対処可能となる。
【００１１】
隠蔽レベルを設定するための判断基準は、種々の態様で設定することができる。例えば、判断基準は、監視対象となるファイル単位で設定してもよい。この態様には、ファイル名に対して隠蔽レベルを一義的に対応づける態様、ファイルごとに個別に判断基準が設定されている態様が含まれる。いずれの場合においても、判断基準を複数のファイルで共有しても構わない。
【００１２】
判断基準は、アクセス要求の発信者、およびファイルへのアクセス方法の少なくとも一方に応じて設定してもよい。発信者は、ユーザＩＤなどの識別情報で特定してもよいし、発信者が使用している端末装置のアドレス情報で特定してもよい。アクセス方法には、アクセスに使用されるアプリケーションの種類；アクセスの経路、即ちファイルが格納されている情報処理装置自体の操作によるアクセスか、ネットワークなど外部からのアクセスかという区別；読み出しか書き込みかというアクセス態様の区別などが含まれる。発信者、アクセス方法による判断基準は、全ファイルに共通の条件として設定してもよいし、ファイルごとに独立に設定してもよい。
【００１３】
判断基準は、アクセス要求の発信または取得の時間帯に応じて設定してもよい。例えば、昼間のアクセスと、夜間のアクセスで、隠蔽レベルを変更することができる。
【００１４】
不正アクセスか否かは、種々の方法で判定可能である。例えば、判定基準として予め用意されたアクセス制御ポリシーを参照して、判定を行う方法を採っても良い。アクセス制御ポリシーには、ファイルへのアクセスが許可されるための条件が設定される。この条件は、例えば、アクセス要求の発信者、アプリケーション名、アプリケーションのハッシュ値、アクセス方法、アクセスの時間帯などに応じて設定することができる。ユーザからのアクセス要求が、アクセス制御ポリシーに適合する場合には、正当なアクセスと判断でき、適合しない場合には、不正アクセスと判断することができる。
【００１５】
本発明においては、不正アクセスにおいて発信されたアクセス要求の少なくとも一部を記録してもよい。こうすることにより、不正アクセスを試みたユーザの特定、ウィルスへの感染の有無など、不正アクセスの原因調査が容易となる。不正アクセスの記録には、これらの原因調査の目的に適合した情報を含めることが好ましく、例えば、アクセス要求の発信者または発信端末を特定可能な情報、アクセスを試みた時刻、アクセス方法の少なくとも一部を含めることが好ましい。
【００１６】
本発明は、上述した種々の特徴を必ずしも全て備えている必要はなく、その一部を省略したり、適宜、組み合わせたりして構成してもよい。本発明は、上述したファイル監視装置としての態様の他、コンピュータによるファイル監視方法として構成してもよい。コンピュータにインストールすることによって、上述のファイル監視装置を構成するためのコンピュータプログラム、およびこれを記録した記憶媒体として構成してもよい。ここで、記憶媒体としては、フレキシブルディスクやＣＤ−ＲＯＭ、ＤＶＤ、光磁気ディスク、ＩＣカード、ＲＯＭカートリッジ、パンチカード、バーコードなどの符号が印刷された印刷物、コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ）および外部記憶装置などコンピュータが読取り可能な種々の媒体を利用できる。
【発明を実施するための最良の形態】
【００１７】
本発明の実施の形態について、説明する。
Ａ．装置構成：
図１は実施例としてのファイル監視装置１００の概略構成を示す説明図である。ファイル監視装置１００は、図示する各機能ブロックを実現するためのソフトウェアを汎用のコンピュータにインストールすることにより構築されている。本実施例では、コンピュータには、オペレーティングシステム（ＯＳ）１１０上で稼働するアプリケーションプログラム１０５（以下、単に「アプリケーション」と称する）もインストールされており、アプリケーション１０５に応じた処理を行う情報処理装置としても機能する。本実施例では、ファイル監視装置１００は、情報処理装置に内蔵、または一体的に構成されていることになる。
【００１８】
ＯＳ１１０上では、ユーザが種々の情報処理を行うためのアプリケーション１０５が稼働する。また、ＯＳ１１０は、磁気ディスクへのアクセスを管理する。磁気ディスクには、第１記憶部１２０、第２記憶部１３０、第３記憶部１４０の三つの領域が設けられており、第１記憶部１２０には、アプリケーション１０５が使用する種々のファイルや、システムファイルなどが記憶されている。本実施例では、これらのファイルが不正な閲覧、改ざんなどの不正アクセスを回避すべきファイルに相当する。以下、第１記憶部１２０に保存されたファイルを、監視対象ファイル１２５と称する。
【００１９】
第２記憶部１３０には、監視対象ファイル１２５に対応するダミーファイル１３５が記憶されている。ダミーファイル１３５は、監視対象ファイル１２５への不正アクセスが行われた時に、カモフラージュのために、監視対象ファイル１２５に代えてアクセス者に提示されるファイルである。かかる目的から、ダミーファイル１３５のファイル名称、ディレクトリ構造は、監視対象ファイル１２５と併せておくことが好ましい。
【００２０】
第３記憶部１４０には、監視対象ファイル１２５へのアクセスの監視に利用する種々のファイルが用意されている。ポリシーファイル１４２は、監視対象ファイル１２５へのアクセスが不正か否かを判断するための情報、および不正アクセスが行われた時の対処方法を表す情報としての「隠蔽レベル」を記憶している。ポリシーファイル１４２の内容については後述する。不正アクセスログ１４４は、不正なアクセスが行われた時に、アクセス要求の発信者、アクセスに使用されたプログラム、アクセス対象となったファイル名などのアクセスログを保持する。
【００２１】
ＯＳ１１０は、監視対象ファイル１２５にアクセスするためのカーネルとして、ファイルアクセス部１１４を有している。ファイルアクセス部１１４は、ＯＳ１１０上で稼働するソフトウェアとして構成しても構わない。
【００２２】
ＯＳ１１０には、ファイルへのアクセスを監視するための機能ブロックとして、アクセス監視部１１２が用意されている。アクセス監視部１１２は、アプリケーションプログラム１０５が監視対象ファイル１２５へのアクセスを行う際に、ファイルアクセス部１１４に出力するアクセス要求１１８を取得する。図中に、アクセス要求１１８の内容を例示した。アクセス要求には、例えば、アクセス対象となるファイル名、プロセスＩＤ、アクセスに利用するアプリケーションプログラム名およびそのハッシュ値、アクセスタイプ、アクセスを試みているユーザ名などが含まれる。プロセスＩＤとプログラム名については、一方を省略してもよい。アクセス監視部１１２は、アクセス要求が、ポリシーファイル１４２に設定された条件を満たす場合には、アクセスを許可し、満たさない場合にはアクセスを禁止する制御信号、およびポリシーファイル１４２に設定された隠蔽レベルをファイルアクセス部１１４に出力する。
【００２３】
本実施例では、ファイルアクセス部１１４は、不正アクセスに対しては、２種類の処理を使い分けて対処する。第１の処理は、ダミーファイル１３５にアクセスさせる処理、即ちアクセス者に対して、監視対象ファイル１２５を閲覧しているかのようにダミーファイル１３５の内容を提示する処理である。以下、この処理を、ダミーファイル１３５への「誘導」と表現するものとする。第２の処理は、アクセス要求に対して偽の応答を出力する処理である。即ち、監視対象ファイル１２５への不正なアクセス要求が行われた場合に、監視対象ファイル１２５が存在するか否かに関わらず、ファイルの存在を否定する応答を出力する。不正アクセスに対しては、他の対処方法を適用しても構わない。不正アクセスに対しては、ファイルアクセス部１１４によるこれらの対処と併せて、ログ保持部１１６が不正アクセスログ１４４の記録を行う。
【００２４】
図２はポリシーファイル１４２の内容を例示する説明図である。ファイル名、アクセス可能プログラム名、アクセスタイプ、アクセス可能ユーザ名、ハッシュ値がポリシーファイル１４２に記憶されている。ここに記憶されている全ての条件を満足する時にのみ、監視対象ファイル１２５へのアクセスが許容されることになる。
【００２５】
ファイル名は、監視対象ファイル１２５の名称である。アクセス可能プログラム名には、監視対象ファイル１２５へのアクセス時に使用が許可されているプログラム名が記憶されている。アクセスタイプには、監視対象ファイル１２５に対して許可されているアクセスのタイプが記憶されており、例えば、「Write」は書き込みのみ、「Read」は読み出しのみ、「R/W」は読み書きがそれぞれ許可されていることを示している。アクセス可能ユーザ名は、監視対象ファイル１２５へのアクセスが許可されているユーザのユーザＩＤである。ハッシュ値は、アクセス可能プログラムのハッシュ値である。ハッシュ値とは、アプリケーションプログラムについて所定のハッシュ関数を用いて算出される特徴値であり、アプリケーションプログラムについての改ざんの有無を判断するために用いられる。
【００２６】
隠蔽レベルとは、不正アクセスへの対処方法を規定する情報であり、本実施例の場合、ダミーファイルへの誘導（符号「Ｄ」）と、偽の応答（符号「Ｒ」）のいずれかが設定されている。図の例では、隠蔽レベルは、アクセスを行ったユーザに応じて、隠蔽レベルが設定されている例を示した。「外部」とは、ファイル監視装置１００の外部からのアクセス、例えば、ネットワークを介したアクセスなどを意味する。「内部」とはその他のアクセスを意味し、例えば、ファイル監視装置１００を直接操作して監視対象ファイル１２５にアクセスする場合などが含まれる。「外部」、「内部」は種々の設定が可能であり、例えば、ファイル監視装置１００が接続されたＬＡＮの外部からのアクセス、例えば、インターネットを介したアクセスを「外部」として取り扱っても良い。
【００２７】
隠蔽レベルは、外部からのアクセスと内部からのアクセスとで、同じ設定としてもよいし、異なる設定としてもよい。例えば、図中の例では、「ＡＡＡ．ＴＸＴ」というファイルに対して「ＤＡＴＶＩＥＷ．ＥＸＥ」というプログラムでアクセスする場合には、両者で異なる隠蔽レベルとした。外部からの不正アクセスの場合には、アクセス者は、該当するファイルの存在を知らない可能性が高いため、システムへのアクセスをできる限り抑制するため、偽の応答（符号「Ｒ」）を行う設定とした。これに対し、内部からの不正アクセスの場合には、アクセス者は、該当するファイルの存在を知っている可能性が高いため、ダミーファイルへの誘導（符号「Ｄ」）を行う設定とした。
【００２８】
図の例では、ファイル名やプログラム名について、「C:\TEMP\」のようにパス名を含めた形で設定されているが、「AAA.TXT」のようにそれぞれの名称のみを設定しておいてもよい。各監視対象ファイルに対して、プログラム名、アクセスタイプなどの条件は一組だけ設定してもよいし、複数組の条件を設定してもよい。図示した各項目については、一部を省略しても良いし、更に付加的な項目を含めてもよい。
【００２９】
図の例では、隠蔽レベルを、外部からのアクセス、内部からのアクセスに分けて設定可能としたが、両者を区別せずに設定してもよい。更に、アクセス可能なプログラム名などに応じて、隠蔽レベルを個別に設定可能としたが、かかる区分に関わらず、ファイル単位で一義的に隠蔽レベルを設定してもよい。逆に、例えば、ファイルへのアクセス時間帯に応じて隠蔽レベルを設定するなど、図の例よりも更に条件を細分化して隠蔽レベルを設定可能としても良い。本実施例では、ポリシーファイル１４２に隠蔽レベルを併せて設定しておく例を示したが、隠蔽レベルをポリシーファイル１４２とは別のファイルとして設定してもよい。こうすることにより、ポリシーファイル１４２に規定される条件、即ちファイルへのアクセスが許容されるための条件とは独立して、柔軟に隠蔽レベルの設定を行うことが可能となる。
【００３０】
Ｂ．アクセス制御処理：
図３はアクセス制御処理のフローチャートである。この処理は、ファイル監視装置１００のＣＰＵが実行する処理であり、図１に示したアクセス監視部１１２、ファイルアクセス部１１４、およびログ保持部１１６が実行する処理に相当する。
【００３１】
処理が開始されると、ＣＰＵはアクセス要求を取得し（ステップＳ１０）、このアクセス要求に含まれるファイル名に基づき、ポリシーファイル１４２を検索する（ステップＳ１２）。そして、アクセスに使用されたプログラム名、アクセスタイプ、ユーザ名、ハッシュ値がポリシーファイル１４２に規定された条件を満たすか否かに基づき、アクセスが正当か否かを判断する（ステップＳ１３）。ポリシーファイルに規定された条件が一つでも満たされない場合には、不正なアクセスと判断される。例えば、ポリシーファイル１４２に規定されていないユーザによるアクセスが行われた場合や、改ざんされることによりポリシーファイル１４２に規定されている値とはハッシュ値が異なるプログラムによるアクアセスが行われた場合などが、不正なアクセスに含まれる。
【００３２】
ＣＰＵは正当なアクセス要求に対しては、要求されたファイルへのアクセスを許可する（ステップＳ１８）。これに対し、不正なアクセスに対しては、ポリシーファイル１４２に基づいて特定される隠蔽レベルに応じた対処方法を実現する。隠蔽レベル「Ｄ」が設定されている場合には（ステップＳ１６）、ダミーファイル１３５にアクセスを誘導する（ステップＳ２０）。隠蔽レベル「Ｒ」が設定されている場合には（ステップＳ１６）、ファイルの存在を否定する応答を行う（ステップＳ２２）。これと併せて、ＣＰＵはアクセスログを不正アクセスログ１４４に記録する（ステップＳ２４）。ＣＰＵは、以上の処理を、アクセス要求に対して実行することにより、監視対象ファイル１２５を不正なアクセスから保護する。
【００３３】
図４は不正アクセスへの対処時の画面表示例を示す説明図である。それぞれファイルのアクセス要求を行った際に、コンピュータのディスプレイに表示される画面例を示した。図の中央の表示ＤＩＳＰ１は、正当なアクセス要求に対する表示として、「顧客リスト」が表示された例を示した。図の上方の表示ＤＩＳＰ２は、隠蔽レベル「Ｄ」に対する表示として、ダミーファイル１３５が表示された例を示した。ダミーファイル１３５の閲覧時は、一見すると、正規なファイルと同様の表示が行われているが、その内容は閲覧されても支障がない内容とされる。図の下方の表示ＤＩＳＰ３は、隠蔽レベル「Ｒ」に対する表示として、偽の応答として、ファイルの存在を否定する応答が行われた例を示した。
【００３４】
以上で説明した実施例のファイル監視装置１００によれば、隠蔽レベルによって、偽の応答とダミーファイルへの誘導という２種類の対処方法を使い分けて不正アクセスに対処することができる。偽の応答による対処は、ダミーファイルなどの準備が不要であるためハードウェア資源を節約することができるとともに、比較的軽い処理負荷で実現できる利点がある。ダミーファイルへの誘導は、内部事情に詳しいアクセス者、即ち、不正なアクセスの目的となっているファイルが存在していることを知っているアクセス者への対処として有用性が高い。このように、本実施例では、特徴が異なる２種類の対処方法を用いることにより、広汎な不正アクセスに効率的、効果的に対処することができる。
【００３５】
以上、本発明の種々の実施例について説明したが、本発明はこれらの実施例に限定されず、その趣旨を逸脱しない範囲で種々の構成を採ることができることはいうまでもない。例えば、実施例では、単一のコンピュータでシステムを構成する場合を例示したが、例えば、第１記憶部１２０、第２記憶部１３０、第３記憶部１４０などを、ファイル監視装置１００とネットワークで接続した構成とし、リモートでファイルへのアクセスを監視するようにしてもよい。
【図面の簡単な説明】
【００３６】
【図１】実施例としてのファイル監視装置１００の概略構成を示す説明図である。
【図２】ポリシーファイル１４２の内容を例示する説明図である。
【図３】アクセス制御処理のフローチャートである。
【図４】不正アクセスへの対処時の画面表示例を示す説明図である。
【符号の説明】
【００３７】
１００...ファイル監視装置
１０５...アプリケーション
１１０...オペレーティングシステム
１１２...アクセス監視部
１１４...ファイルアクセス部
１１６...ログ保持部
１１８...アクセス要求
１２０...第１記憶部
１２５...監視対象ファイル
１３０...第２記憶部
１３５...ダミーファイル
１４０...第３記憶部
１４２...ポリシーファイル
１４４...不正アクセスログ
【図１】
2005148913.tif 000003
【図２】
2005148913.tif 000004
【図３】
2005148913.tif 000005
【図４】
2005148913.tif 000006