(57)【特許請求の範囲】
【請求項１】
オペレーティングシステムと共通のセキュリティ属性を用いてデータベースへのアクセス制御を行うデータベース管理システムに用いられる監査ログ生成システムにおいて、
前記オペレーティングシステムがリファレンスモニタ手段を含み、
前記データベース管理システムが、前記リファレンスモニタ手段に問合せを行うリファレンスモニタ問合せ手段を有し、
当該リファレンスモニタ問合せ手段が、問い合わせ結果に基づいて生成した監査ログ情報を前記監査ログ生成手段へ送信し、
前記オペレーティングシステムの前記監査ログ生成手段を用いて前記データベースへのアクセスに関する監査ログレコードを生成することを特徴とする監査ログ生成システム。
【請求項２】
前記オペレーティングシステムがプロセス間通信手段を含み、前記データベースへのアクセスが前記プロセス間通信手段を通じて行われることを特徴とする請求項１に記載の監査ログ生成システム。
【請求項３】
前記監査ログ生成手段からの前記監査ログレコードを受けて、監査ログに書き込む監査ログサーバを含むことを特徴とする請求項１又は２に記載の監査ログ生成システム。
【請求項４】
前記データベースへのアクセスに関する前記監査ログレコードのメッセージ形式を、前記オペレーティングシステムに関する監査ログレコードのメッセージ形式に統一したことを特徴とする請求項１,２又は３に記載の監査ログ生成システム。
【請求項５】
オペレーティングシステムと共通のセキュリティ属性を用いてデータベースへのアクセス制御を行うデータベース管理システムに用いられる監査ログ生成方法において、
前記データベース管理システムは、前記オペレーティングシステムに対して問合せを行った結果に基づいて監査ログ情報を生成し、
前記データベース管理システムは、当該監査ログ情報を前記オペレーティングシステムへ送り、
前記監査ログ情報に基づいて前記オペレーティングシステムで前記データベースへのアクセスに関する監査ログレコードを生成する、ことを特徴とする監査ログ生成方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監査ログ生成システム及び方法に関し、特に、セキュアＯＳ（Operating System）と共通のセキュリティ属性を用いてデータベースへのアクセス制御を行うセキュアＲＤＢＭＳ（Relational Data Base Management System）に用いられる監査ログ生成システム及び方法に関する。
【背景技術】
【０００２】
関連するセキュアＯＳの一例が非特許文献１に記載されている。なお、「セキュアＯＳ」という用語は、本明細書では、リファレンスモニタ機能を有するオペレーティングシステムを意味する。
【０００３】
非特許文献１に記載されたセキュアＯＳについて図３を参照して説明する。
【０００４】
図３を参照すると、関連するセキュアＯＳ３０は、リファレンスモニタ装置３０１、ＯＳ監査ログ生成装置３０２、ＯＳ資源３０３及びそれにアクセスするためのシステムコール処理装置３０４とエントリポイント３０５を含む。リファレンスモニタ装置３０１は、セキュリティサーバ３０１１とセキュリティポリシー３０１２とを含む。システムコール処理装置３０４は、システムコールセキュリティ検査部３０４１を含む。
【０００５】
セキュアＯＳ３０は、予めＯＳ利用者３２及びＯＳ資源３０３に対して夫々セキュリティ属性を関連付ける。また、セキュアＯＳ３０は、ＯＳ監査ログ管理サーバ３４に接続されている。
【０００６】
ＯＳ監査ログ管理サーバ３４は、ＯＳ監査ログ生成装置３０２からＯＳ監査ログレコードを受け取り、これを所定の形式でＯＳ監査ログ３６に書き込む。
【０００７】
以下、図３のセキュアＯＳ３０の動作について説明する。
【０００８】
まず、ＯＳ利用者３２が、ファイルやネットワークなどのＯＳ資源３０３にアクセスする時、エントリポイント３０５を経由してシステムコール処理装置３０４にＯＳ資源３０３へのアクセスを要求する。
【０００９】
システムコール処理装置３０４に含まれるシステムコールセキュリティ検査部３０４１は、ＯＳ資源３０３へのアクセスに先立って、ＯＳ利用者３２がＯＳ資源３０３へアクセスすることが、セキュリティポリシー３０１２に則って適正か否かを確認するため、セキュリティサーバ３０１１に問合せを行う。この問合せには、ＯＳ利用者３２のセキュリティ属性、アクセスしようとするＯＳ資源３０３のセキュリティ属性、及びアクセス手段（書き込み、読み出し等）の組が含まれる。
【００１０】
セキュリティサーバ３０１１は、セキュリティポリシー３０１２を検索してシステムコール処理装置３０４から受け取った問合せが適正か否かを判断し、当該アクセスを許可又は禁止する応答を呼び出し元へ返す。
【００１１】
システムコール処理装置３０４は、セキュリティサーバ３０１１からの回答が“禁止”であった場合、ＯＳ資源３０３へのアクセスを速やかに中止してＯＳ利用者３２にエラーを返す。一方、回答が”許可”であった場合、ＯＳ資源３０３へのアクセスを行い、その結果をＯＳ利用者に返す。
【００１２】
加えて、システムコールセキュリティ検査部３０４１は、この一連の過程において、どのような問合せが行われたかをＯＳ監査ログ生成装置３０２に送出し、ＯＳ監査ログレコードを生成させることができる。
【００１３】
ＯＳ監査ログ生成装置３０２によって作成されたＯＳ監査ログレコードは、ＯＳ監査ログ管理サーバ３４によってＯＳ監査ログ３６へ書き出される。
【００１４】
このような仕組みによって、セキュアＯＳ３０においては、セキュリティ事故が発生した場合にも、ＯＳ監査ログ３６を解析・検索することによって前後の状況を明らかにすることができる。
【００１５】
次に、関連するセキュアＲＤＢＭＳについて説明する。なお、本明細書では、ここでは「セキュアＲＤＢＭＳ」という用語は、セキュアＯＳのリファレンスモニタ機能を利用したアクセス制御を行うデータベース管理システムを意味する。
【００１６】
関連するセキュアＲＤＢＭＳの一例が非特許文献２又は３に記載されている。そのセキュアＲＤＢＭＳについて図４を参照して説明する。
【００１７】
図４のセキュアＲＤＢＭＳ４０は、セキュアＯＳ４２と連携して動作する。
【００１８】
セキュアＲＤＢＭＳ４０は、少なくとも問合せ命令列処理装置４０１とデータベース４０２とを含む。また、セキュアＲＤＢＭＳ４０は、ＲＤＢＭＳ監査ログ４４に接続される。
【００１９】
問合せ命令列処理装置４０１は、リファレンスモニタ問合せ部４０１１を含み、データベース４０２は、セキュリティ属性が関連付けられたデータベースオブジェクトを内包する。
【００２０】
セキュアＯＳ４２は、少なくともプロセス間通信装置４２１とリファレンスモニタ装置４２２を含む。プロセス間通信装置４２１は、接続端点セキュリティ属性取得部４２１１を含む。リファレンスモニタ装置４２２はセキュリティサーバ４２２１とセキュリティポリシー４２２２を含む。
【００２１】
セキュアＲＤＢＭＳ４０は、以下のように動作する。
【００２２】
まず、ＲＤＢＭＳ利用者４６は、プロセス間通信装置４２１を利用して、セキュアＲＤＢＭＳ４０に対してデータベース問合せ命令列を送出する。セキュアＲＤＢＭＳ４０の問合せ命令列処理装置４０１は、受け取ったデータベース問合せ命令列を実行し、ＲＤＢＭＳ利用者４６のリクエストに応答する。
【００２３】
この過程で、問合せ命令列処理装置４０１に内包されているリファレンスモニタ問合せ部４０１１は、プロセス間通信装置４２１の接続端点セキュリティ属性取得部４２１１を用いて、ＲＤＢＭＳ利用者４６のセキュリティ属性、およびデータベース４０２に格納されているデータベースオブジェクト（テーブル、レコード等）のセキュリティ属性を取得する。このセキュリティ属性は、セキュアＯＳ４２のリファレンスモニタ装置４２２が解釈することのできる形式である。
【００２４】
続いて、リファレンスモニタ問合せ部４０１１は、これらのセキュリティ属性の組とデータベースへのアクセス方法（読出し、更新、削除など）が、セキュリティポリシー４２２２によって許可されているか否かを確認するため、セキュアＯＳ４２のリファレンスモニタ装置４２２に問合せを行う。
【００２５】
問合せを受け取ったセキュアＯＳ４２のセキュリティサーバ４２２１は、セキュリティポリシー４２２２を検索し、その結果（許可、または禁止）を返す。
【００２６】
セキュアＲＤＢＭＳ４０のリファレンスモニタ問合せ部４０１１は、リファレンスモニタ装置４２２からの応答に従って、問合せ命令列処理装置４０１におけるデータベース問合せ命令列の実行を続行又は中止する。
【００２７】
セキュアＲＤＢＭＳ４０の問合せ命令列実行装置４０１（リファレンスモニタ問合せ部４０１１）は、必要に応じてＲＤＢＭＳ監査ログ４４を出力する。
【００２８】
上述したように、セキュアＲＤＢＭＳ４０においては、セキュリティ事故が発生した場合に、データベース問合せ命令列の実行を中止できるとともに、ＲＤＢＭＳ監査ログ４４を解析することにより、その前後の状況を明らかにすることができる。
【００２９】
【非特許文献１】Peter Loscocco、Stephen Smalley著、「Integrating Flexible Support for Security Policies into the Linux Operating System」、February, 2001、［２００８．０２．０５検索］、インターネット＜ＵＲＬ：http://www.nsa.gov/selinux/papers/slinux.pdf＞
【非特許文献２】SE-PostgreSQL development team（海外浩平）著、「The Security-Enhanced PostgreSQL Security Guide」、September, 03, 2007、［２００８．０２．０５検索］、インターネット＜ＵＲＬ：http://sepgsql.googlecode.com/files/sepgsql_security_guide.20070903.en.pdf＞
【非特許文献３】SE-PostgreSQL開発チーム（海外浩平）著、「The Security-Enhanced PostgreSQL Security Guide」、September, 03, 2007、［２００８．０２．０５検索］、インターネット＜ＵＲＬ：http://sepgsql.googlecode.com/files/sepgsql_security_guide.20070903.jp.pdf＞
【発明の開示】
【発明が解決しようとする課題】
【００３０】
関連するセキュアＲＤＢＭＳは、セキュアＯＳと連携するが、監査ログの生成についてはセキュアＯＳとは別に行う。これは、関連するセキュアＲＤＢＭＳが、ＲＤＢＭＳ監査ログのメッセージ形式として、データベースの管理に適した形式、即ちＯＳ監査ログのメッセージ形式とは異なる形式、を採用しているからである。
【００３１】
しかしながら、セキュリティ事故発生時にその前後の状況を把握しようとする場合、ＲＤＢＭＳ監査ログの解析のみならず、ＯＳ監査ログの解析をも必要とする場合がある。この場合、ＯＳ監査ログとＲＤＢＭＳ監査ログの解析・検索を別々に行うことは効率が悪い。それゆえ、ＯＳ監査ログとＲＤＢＭＳ監査ログの解析・検索を共通の解析・検索ツールで行えるようにすることが望まれている。
【００３２】
そこで、本発明は、セキュアＲＤＢＭＳの監査ログの解析・検索をセキュアＯＳの監査ログ用の解析・検索ツールを用いて行うことができる監査ログ生成システム及び方法を提供することを目的とする。
【課題を解決するための手段】
【００３３】
本発明の要旨によれば、オペレーティングシステムと共通のセキュリティ属性を用いてデータベースへのアクセス制御を行うデータベース管理システムに用いられる監査ログ生成システムにおいて、前記オペレーティングシステムがリファレンスモニタ手段を含み、前記データベース管理システムが、前記リファレンスモニタ手段に問合せを行うリファレンスモニタ問合せ手段を有し、当該リファレンスモニタ問合せ手段が、問い合わせ結果に基づいて生成した監査ログ情報を前記監査ログ生成手段へ送信し、前記オペレーティングシステムの前記監査ログ生成手段を用いて前記データベースへのアクセスに関する監査ログレコードを生成することを特徴とする監査ログ生成システムが得られる。
【発明の効果】
【００３４】
オペレーティングシステムと共通のセキュリティ属性を用いてデータベースへのアクセス制御を行うデータベース管理システムに用いられる監査ログ生成システムにおいて、前記オペレーティングシステムの監査ログ生成手段を用いて前記データベースへのアクセスに関する監査ログレコードを生成するようにしたことで、ＯＳ監査ログとＲＤＢＭＳ監査ログとを区別することなく共通の解析・検索ツールを用いてこれらのログを解析することができる。
【発明を実施するための最良の形態】
【００３５】
以下、本発明の実施の形態について図面を参照して詳細に説明する。
【００３６】
図１に、本発明の一実施の形態に係る監査ログ生成システムの概略構成を示す。
【００３７】
図１の監査ログ生成システムは、セキュアＯＳ１０とセキュアＲＤＢＭＳ１２、及びＯＳ監査ログ管理サーバ１４を含む。
【００３８】
セキュアＯＳ１０は、プロセス間通信装置１０１、リファレンスモニタ装置１０２、及びＯＳ監査ログ生成装置１０３を含む。また、図示しないが、関連するセキュアＯＳ（図３参照）と同様に、ＯＳ資源、システムコール処理装置、及びエントリポイントを含む。
【００３９】
プロセス間通信装置１０１は、接続端点セキュリティ属性取得部１０１１を含む。リファレンスモニタ装置１０２は、セキュリティサーバ（リファレンスモニタアクセス可否判断部）１０２１とセキュリティポリシー１０２２を含む。システムコール処理装置は、システムコールセキュリティ検査部１０４１を含む。
【００４０】
セキュアＲＤＢＭＳ１２は、問合せ命令列処理装置１２１、及びデータベース１２２を含む。問合せ命令列処理装置１２１は、リファレンスモニタ問合せ部１２１１を含む。
【００４１】
本実施の形態に係る監査ログ生成システムでは、セキュアＲＤＢＭＳ１２へのアクセス記録（監査ログ）が、セキュアＯＳ１０の監査ログ生成装置１０３を経由して出力される。これにより、セキュアＲＤＢＭＳ１２の監査ログの解析・検索に、セキュアＯＳ１０用の監査ログ解析・検索用のツール類を使用することを可能にする。
【００４２】
以下、図２のフローチャートをも参照して、図１の監査ログ生成システムの動作を説明する。なお、図２の手順Ｓ２１０〜Ｓ２０６及び手順Ｓ２１１〜Ｓ２１３は、関連するセキュアＲＤＢＭＳの動作と同様である。
【００４３】
まず、ＲＤＢＭＳ利用者１６は、セキュアＲＤＢＭＳ１２を利用するため、データベース問合せ命令列をセキュアＯＳ１０に入力する（手順Ｓ２０１）。
【００４４】
セキュアＯＳ１０のプロセス間通信装置１０１は、利用者１６から入力されたデータベース問合せ命令列をセキュアＲＤＢＭＳ１２の問合せ命令列処理装置１２１へ送る（手順Ｓ２０２）。
【００４５】
問合せ命令列処理装置１２１は、プロセス間通信装置１０１からデータベース問合せ命令列を受け取ると（手順Ｓ２０３）、リファレンスモニタ問合せ部１２１１を用いてリファレンスモニタ装置１０２に対して問合せを行う（手順Ｓ２０４）。このとき、リファレンスモニタ問合せ部１２１１は、問合せを実行するに先立って、ＲＤＢＭＳ利用者１６のセキュリティ属性及びアクセスの対象であるデータベースオブジェクトのセキュリティ属性を取得する。このセキュリティ属性の取得には、接続端点セキュリティ属性取得部１０１１が用いられる。また、リファレンスモニタ問合せ部１２１１は、『誰が（アクセス主体）』、『何に（アクセス対象）』、『何をする（アクセス方法）』というセキュアＲＤＢＭＳ１２用のユーザ／データベースオブジェクトの識別情報をセキュアＯＳ１０用の識別情報と同一の形式に変換を行ってから問合せを行う。
【００４６】
レファレンスモニタ装置１０２のセキュリティサーバ１０２１は、リファレンスモニタ問合せ部１２１１からの問合せに応じてセキュリティポリシー１０２２を検索し、要求されたアクションの可否を決定する（手順Ｓ２０５）。なお、セキュリティポリシー１０２２には、ＯＳ利用者可能者及びＲＤＢＭＳ利用者可能者のセキュリティ属性、アクセス対象のＯＳ資源及びデータベースオブジェクトのセキュリティ属性、及びアクセス手段等に関する情報が含まれる。
【００４７】
レファレンスモニタ装置１０２による要求されたアクションの可否の決定は、リファレンスモニタ問合せ部１２１１に伝えられる（手順Ｓ２０６）。
【００４８】
リファレンスモニタ問合せ部１２１１は、セキュリティサーバ１０２１からのアクションの可否の決定を受けると、監査ログを出力するか否か決定する（Ｓ２０７）。この決定は、予め設定された条件に基づいて行われる。
【００４９】
監査ログを生成する場合は、手順Ｓ２０８へ進み、生成しない場合は、手順Ｓ２０８〜２１０をスキップして手順Ｓ２１１へ進む。
【００５０】
監査ログを生成する場合、リファレンス問合せ部１２１１は、データベース監査ログレコードをセキュアＯＳ１０のＯＳ監査ログ生成装置１０３に送出する（手順Ｓ２０８）。データベース監査ログレコードは、ＯＳ監査ログレコードと共通のメッセージ形式（同一形式の識別情報）を採用し、ＲＤＢＭＳ利用者１６のセキュリティ属性、及びデータベースオブジェクトのセキュリティ属性を含む。
【００５１】
ＯＳ監査ログ生成装置１０３は、リファレンスモニタ問合せ部１２１１から受け取ったデータベース監査ログレコードをＯＳ監査ログレコードとしてＯＳ監査ログ管理サーバ１４へ出力する（手順Ｓ２０９）。
【００５２】
ＯＳ監査ログ管理サーバ１４は、ＯＳ監査ログ生成装置１０３から受け取ったＯＳ監査ログレコードを記録ディスク上のＯＳ監査ログ１８に書き出す（手順Ｓ２１０）。
【００５３】
監査ログを生成しない場合及び手順Ｓ２０８を実行した後、問合せ命令列処理装置１２１は、問合せ実行結果をプロセス間通信装置１０１に返す（手順Ｓ２１１）。
【００５４】
プロセス間通信装置１０１は、問合せ命令列処理装置１２１からの問合せ実行結果を受け取り（手順Ｓ２１２）、それをＲＤＢＭＳ利用者１６に返す（手順Ｓ２１３）。
【００５５】
以上のようにして、本実施の形態に係る監査ログ生成システムでは、セキュアＲＤＢＭＳ１２のＲＤＢＭＳ監査ログをＯＳ監査ログとして管理することができる。これにより、セキュアＯＳ１０の監査ログ解析・検索ツール類を用いて、セキュアＲＤＢＭＳ１２におけるセキュリティ事故の状況調査を行うことができる。監査ログの解析・検索には、『誰が（アクセス主体）』、『何に（アクセス対象）』、『何をする（アクセス方法）』といった識別情報が利用できる。
【００５６】
以下、本発明の他の実施の形態について説明する。
【００５７】
本発明の他の実施の形態に係る監査ログ生成システムは、オペレーティングシステムと共通のセキュリティ属性を用いてデータベースへのアクセス制御を行うデータベース管理システムに用いられ、オペレーティングシステムの監査ログ生成装置を用いてデータベースへのアクセスに関する監査ログレコードを生成する。
【００５８】
この監査ログ生成システムは、オペレーティングシステムがリファレンスモニタ装置を含み、データベース管理システムが、リファレンスモニタ装置に問合せを行うリファレンスモニタ問合せ部を有し、リファレンスモニタ問合せ部が、問い合わせ結果に基づいて生成した監査ログ情報を監査ログ生成装置へ送信するように構成されてよい。
【００５９】
また、この監査ログ生成システムは、オペレーティングシステムがプロセス間通信装置を含み、データベースへのアクセスがプロセス間通信装置を通じて行われるように構成されてよい。
【００６０】
さらにこの監査ログ生成システムは、監査ログ生成装置からの監査ログレコードを受けて、監査ログに書き込む監査ログサーバを含んでよい。
【００６１】
さらにまた、この監査ログ生成システムは、データベースへのアクセスに関する監査ログレコードのメッセージ形式を、オペレーティングシステムに関する監査ログレコードのメッセージ形式に統一したものであってよい。
【００６２】
本発明のさらに他の実施の形態に係る監査ログ生成方法は、オペレーティングシステムと共通のセキュリティ属性を用いてデータベースへのアクセス制御を行うデータベース管理システムに用いられ、オペレーティングシステムに対して問合せを行った結果に基づいて監査ログ情報を生成し、監査ログ情報をオペレーティングシステムへ送り、監査ログ情報に基づいてオペレーティングシステムでデータベースへのアクセスに関する監査ログレコードを生成する。
【図面の簡単な説明】
【００６３】
【図１】本発明の一実施の形態に係る監査ログ生成システムの概略構成を示す図である。
【図２】図１の監査ログ生成システムの動作を説明するためのフローチャートである。
【図３】関連するセキュアＯＳを説明するための図である。
【図４】関連するセキュアＲＤＢＭＳを説明するための図である。
【符号の説明】
【００６４】
１０，３０，４２    セキュアＯＳ
１２，４０    セキュアＲＤＢＭＳ
１４，３４    ＯＳ監査ログ管理サーバ
１６，４６    ＲＤＢＭＳ利用者
１８，３６    ＯＳ監査ログ
３２    ＯＳ利用者
４４    ＲＤＢＭＳ監査ログ
１０１，４２１    プロセス間通信装置
１０２，３０１，４２２    リファレンスモニタ装置
１０３，３０２    ＯＳ監査ログ生成装置
１２１，４０１    問合せ命令列処理装置
１２２，４０２    データベース
３０３    ＯＳ資源
３０４    システムコール処理装置
３０５    エントリポイント
１０１１，４２１１    接続端点セキュリティ属性取得部
１０２１，３０１１，４２２１    セキュリティサーバ
１０２２，３０１２，４２２２    セキュリティポリシー
１０４１    システムコールセキュリティ検査部
１２１１，４０１１    リファレンスモニタ問合せ部
３０４１    システムコールセキュリティ検査部
【図１】
0004873185.tif 000002
【図２】
0004873185.tif 000003
【図３】
0004873185.tif 000004
【図４】
0004873185.tif 000005