JP6884652B2 - ホワイトリスト管理システムおよびホワイトリスト管理方法 - Google Patents

Description

本発明は、ホワイトリスト管理システムおよびホワイトリスト管理方法に関するものであり、具体的には、サイバー攻撃に対する安全性とユーザ等の利便性とを両立しつつ、ホワイトリスト更新の運用コストを低減可能とする技術に関する。

近年、民間企業や国家機関を狙ったサイバー攻撃が増加し、それによる大規模な情報漏洩事件も起きるなど、社会の利益や安全性を損なうリスクが高まっている。更に、そうしたサイバー攻撃の内容についても、標的型攻撃、特にＡＰＴ（Ａｄｖａｎｃｅｄ Ｐｅｒｓｉｓｔｅｎｔ Ｔｈｒｅａｔ）攻撃に代表されるような、洗練された高度な攻撃手法が使われるケースが増えている。

この種のサイバー攻撃では、特定の個人、組織をターゲットとし、当該組織等にあわせてカスタマイズしたマルウェアが利用される。マルウェアは、通信先のＣ＆Ｃサーバを頻繁に変更したり、細かい点で異なる大量の亜種が存在するなど、その特徴を定義するのが難しい。

そのため、既存のファイアウォールやアンチウィルスソフトウェアなどで使用される、既知Ｃ＆ＣサーバのＵＲＬや既知マルウェアのハッシュ値のブラックリストに基づいて攻撃を検知および阻止する手法では、対処できない場合が多い。

そこで、ホワイトリストを用いたアクセス制御によるマルウェア対策が注目されている。ホワイトリスト方式では、アクセスを許容するファイルやＵＲＬをあらかじめホワイトリストとして登録しておき、このホワイトリストに基づいて各種アクセスを制御する。

例としては、ホワイトリストに含まれるファイルからのみプロセス起動を許可する、ホワイトリストに含まれるファイルから起動されたプロセスにのみ機密ファイルへのアクセスを許可する、ホワイトリストに含まれるファイルから起動されたプロセスにのみ通信を許可する、ホワイトリストに含まれるＵＲＬへの通信のみを許可する、などの制御形態が挙げられる。

こうしたホワイトリスト方式では、あらかじめホワイトリストに登録された処理のみが許可され、それ以外は許可されない。そのため、攻撃者が様々に攻撃手法を変更しても、それに対処可能である。

ただしホワイトリスト方式には、ユーザの利便性が低下するという問題点がある。例えば制御システムのような、限られた処理のみを行う環境であればまだしも、ユーザが業務で利用する情報システムでは、日々多種多様な処理が発生するため、必要な全ての項目をあらかじめホワイトリストに登録しておくことは難しい。

そのため、当該ユーザが利用可能な機能は限定されがちで、その利便性を大きく損なう恐れがある。一方、当該ユーザの利便性を保つためには、新たな機能等の利用機会が生じるたびにホワイトリスト更新が必要となる。その場合のユーザは、必要あるごとにホワイトリスト更新をシステム管理者等に申請し、また、このシステム管理者等は当該申請の妥当性を判断してホワイトリスト更新作業を行う、といった運用がなされる。従って、ホワイトリスト更新に関し、ユーザおよびシステム管理者双方の手間、負担が大きくなり、運用コストが増大する。

そこで、サイバー攻撃に確実に対処しうる安全性とユーザ等の利便性とを両立しながら、運用コストが増大しないよう、ホワイトリストの更新を簡便に行うための技術が必要となる。

このような技術としては、例えば、プログラムの起動およびプログラムの生成または変更の検知、もしくは、プログラムの検索を行う検知手段と、プログラムを識別する識別手段と、ネットワークアクセスが許可または禁止されたプログラムのリストにプログラムを登録する登録手段とを有し、前記識別手段は、前記検知手段によって起動が検知されたプログラムまたは検出されたプログラムのプログラム情報に基づき、前記プログラムが所定の基準を満たすか否かを判定し、前記登録手段は、前記所定の基準を満たすと判定されたプログラムを前記リストに登録することを特徴とする情報処理装置（特許文献１参照）などが提案されている。

特開２０１４−９６１４３号公報

従来技術においては、マルウェアの活動抑止を目的とした、起動元プログラムファイルのホワイトリスト照合に基づくプロセス起動制御を前提としている。すなわち、ホワイトリストにないファイルからプロセスが起動された場合に、一定の条件を満たすか評価した上で、ホワイトリストへ自動追加するものである。これにより、プログラムのアップデート時などに必要になる、ホワイトリスト更新処理を自動化することとなる。

当該技術では、プログラムのホワイトリストへの追加可否の判定基準として、ファイル名、ファイルパス、ファイルハッシュ値、バージョン情報、ファイルサイズ、デジタル署名、ホスト名などを利用することを想定している。これらが予め設定された条件を満たしている場合、当該プログラムを信用に足るものとみなし、ホワイトリストに追加する。

こうした従来技術は、実質的に、予め設定した条件に合致するプログラムの起動を許可するものである。よって、条件設定を厳密にすれば利便性が損なわれ、条件設定を緩やかにすれば安全性が損なわれる。これらを両立するためには、必要に応じて条件を更新する必要があり、やはり運用コストの増大を招く。

そこで本発明の目的は、上記事情を鑑みてなされたものであり、サイバー攻撃に対する安全性とユーザ等の利便性とを両立しつつ、ホワイトリスト更新の運用コストを低減可能とする技術を提供することにある。

上記課題を解決する本発明のホワイトリスト管理システムは、所定装置におけるアクセスの主体または対象となりうる各リソースに関して、所定事象のセキュリティレベルを規定したセキュリティレベル情報を保持するセキュリティレベル記憶部と、各リソースの間における前記セキュリティレベル情報の依存関係を規定した依存関係情報を保持するセキュリティレベル依存関係記憶部と、所定アクセスに関係する各リソースの前記セキュリティレベル情報に基づき、前記所定アクセスの可否を所定アルゴリズムにて判定するアクセス可否判定部と、前記所定アクセスに関係する各リソースの間での、前記セキュリティレベル情報の依存関係に基づいて、前記セキュリティレベル情報を更新する、セキュリティレベル更新部と、を備えることを特徴とする。

また、本発明のホワイトリスト管理方法は、所定装置におけるアクセスの主体または対象となりうる各リソースに関して、所定事象のセキュリティレベルを規定したセキュリティレベル情報を保持するセキュリティレベル記憶部と、各リソースの間における前記セキュリティレベル情報の依存関係を規定した依存関係情報を保持するセキュリティレベル依存関係記憶部を備えた情報処理装置が、所定アクセスに関係する各リソースの前記セキュリティレベル情報に基づき、前記所定アクセスの可否を所定アルゴリズムにて判定し、前記所定アクセスに関係する各リソースの間での、前記セキュリティレベル情報の依存関係に基づいて、前記セキュリティレベル情報を更新する、ことを特徴とする。

本発明によれば、サイバー攻撃に対する安全性とユーザ等の利便性とを両立しつつ、ホワイトリスト更新の運用コストを低減可能となる。

実施例１におけるホワイトリスト管理システムの機能構成例を示す図である。 実施例１におけるホワイトリスト管理システムを含むハードウェアの構成例を示す図である。 実施例１におけるファイルセキュリティレベルテーブルの例を示す図である。 実施例１におけるドメインセキュリティレベルテーブルの例を示す図である。 実施例１におけるプロセスセキュリティレベルテーブルの例を示す図である。 実施例１における許可通信メソッドテーブルの例を示す図である。 実施例１におけるアクセス制御処理方法の例を示すフロー図である。 実施例１におけるプロセス起動処理方法の例を示すフロー図である。 実施例１におけるプロセス起動時のプロセスセキュリティレベル更新処理方法の例を示すフロー図である。 実施例１における通信制御処理方法の例を示すフロー図である。 実施例１における通信時のプロセスセキュリティレベル更新処理方法の例を示すフロー図である。 実施例１におけるファイル読み取り制御処理方法の例を示すフロー図である。 実施例１におけるファイル読み取り時のプロセスセキュリティレベル更新処理方法の例を示すフロー図である。 実施例１におけるファイル書き込み制御処理方法の例を示すフロー図である。 実施例１におけるファイル書き込み時のファイルセキュリティレベル更新処理方法の例を示すフロー図である。 実施例２におけるホワイトリスト管理装置の機能構成例を示す図である。 実施例２におけるファイルセキュリティレベル依存関係テーブルの例を示す図である。 実施例２におけるプロセスセキュリティレベル依存関係テーブルの例を示す図である。 実施例２におけるダミーファイルセキュリティレベルテーブルの例を示す図である。 実施例２におけるプロセス起動時のプロセスセキュリティレベルおよび依存関係更新処理方法の例を示すフロー図である。 実施例２における通信時のプロセスセキュリティレベルおよび依存関係更新処理方法の例を示すフロー図である。 実施例２におけるファイル読み取り時のプロセスセキュリティレベルおよび依存関係更新処理方法の例を示すフロー図である。 実施例２におけるファイル書き込み時のファイルセキュリティレベルおよび依存関係更新処理方法の例を示すフロー図である。 実施例２におけるセキュリティレベル補正時の関連項目の一括補正処理方法の例を示すフロー図である。 実施例２におけるセキュリティレベル一括補正画面の例を示す図である。 実施例３におけるホワイトリスト管理装置の機能構成例を示す図である。 実施例３におけるセキュリティレベル補正時の補正箇所決定支援のための、影響シミュレート処理方法の例を示すフロー図である。 実施例３におけるセキュリティレベル補正支援画面の例を示す図である。

−−−実施例1−−−
以下に本発明の実施形態について図面を用いて詳細に説明する。図１は、本実施形態のホワイトリスト管理システム１０の機能構成例を示す図である。

＜機能構成例＞
ホワイトリスト管理システム１０は、少なくとも端末１００で構成される。この端末１００は、メモリ１１０にインストールされて端末１００上で動作する複数のプログラム、およびに記憶装置１２０に保存された複数のデータにより、必要な機能を構成している。
この端末１００は、ユーザ１０１が利用するコンピュータ装置である。また、端末１００は、メモリ１１０、記憶装置１２０、通信部１３０、および、入出力部１３１を備える。ユーザ１０１は、入出力部１３１を介して端末１００を操作することとなる。

続いて、実施例１におけるホワイトリスト管理システム１０の端末１００が備える機能について説明する。ここでは、端末１００にて備える適宜なプログラムを実行することで実現される機能について説明するものとする。

端末１００においては、アクセス試行取得プログラム１１１、アクセス可否判定プログラム１１２、セキュリティレベル更新プログラム１１３、および、アクセス可否結果返却プログラム１１４が実行される。また、端末１００においては、ファイルセキュリティレベル１２１、ドメインセキュリティレベル１２２、プロセスセキュリティレベル１２３、および、許可通信メソッド１２４をデータとして保持する。

上述のプログラムのうちアクセス試行取得プログラム１１１は、端末１００にて発生する所定リソースへのアクセス試行をフックし、アクセス可否判定プログラム１１２に引き渡すプログラムである。アクセスとは例えば、プロセスの起動、通信、ファイルアクセスなどである。

また、アクセス可否判定プログラム１１２は、端末１００にて発生した上述のアクセス試行に対し、ホワイトリストに基づいて許可または禁止を判定するプログラムである。

また、セキュリティレベル更新プログラム１１３は、上述のアクセス試行の発生に伴い、当該処理に関連するファイルおよびプロセスのセキュリティレベルを算出し、ファイルセキュリティレベル１２１およびプロセスセキュリティレベル１２３を更新するプログラムである。

また、アクセス可否結果返却プログラム１１４は、上述のアクセス試行の許可または禁止の判定に基づき処理が行われるよう、フック元に処理を返すプログラムである。

また、端末１００が保持するデータのうちファイルセキュリティレベル１２１は、端末
１００に保存された各ファイルに対して付与された、アクセス可否判定の基準となるセキュリティレベルの一覧である。このデータの詳細については後述する（以下同様）。

また、ドメインセキュリティレベル１２２は、ドメインに対して付与された、アクセス可否判定の基準となるセキュリティレベルの一覧である。

また、プロセスセキュリティレベル１２３は、端末１００にて実行中の各プロセスに対して付与された、アクセス可否判定の基準となるセキュリティレベルの一覧である。

また、許可通信メソッド１２４は、アクセス可否判定の基準となる、ドメインのセキュリティレベルと許可される通信メソッドとの対応関係の一覧である。

これらの情報の詳細は、テーブル３００〜６００に記載されている。これらのテーブルの内容については、図３〜図６を用いて後述する。

＜ハードウェア構成＞
続いて、実施例１における端末１００のハードウェア構成について説明する。図２は、実施例１における端末１００のハードウェアの構成例を示す図である。

図２にて例示する端末１００は、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、通信インターフェイス２０４、入力装置２０５、出力装置２０６、およびバス２０７から構成される。

このうちＣＰＵ２０１は中央演算装置であり、メモリ２０２（または記憶装置２０３）に保持しているプログラムを実行することで、必要な機能を実装するものとなる。

また、メモリ２０２は、上述のＣＰＵ２０１が処理を実行する際に利用する主記憶装置であり、ＲＡＭなどの揮発性記憶素子で構成される。

また、記憶装置２０３は、ＣＰＵ２０１へ提供する入力データやＣＰＵ２０１から出力される出力データを補完するための補助記憶装置であり、ハードディスクドライブやＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）など適宜な不揮発性記憶素子で構成される。
また、通信装置２０４は、端末１００が外部装置との通信を行うために用いる通信装置であり、ネットワークインターフェイスカード（ＮＩＣ：Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）などで構成される。

また、入力装置２０５は、操作者からの入力を受け付けるインターフェイスであり、キーボード、タッチパネル、カードリーダ、音声入力装置などで構成される。

また、出力装置２０６は、操作者に対してデータの出力を行うインターフェイスであり、ディスプレイ、スピーカー、プリンタなどで構成される。

また、バス２０７は、ＣＰＵ２０１、メモリ２０２、記憶装置２０３、通信インターフェイス２０４、入力装置２０５、および、出力装置２０６を接続する通信路である。

＜データ構成例＞
次に、実施例１におけるホワイトリスト管理システム１０の端末１００が利用するデータについて、その構成例を説明する。

図３は、実施例１におけるファイルセキュリティレベルテーブル３００の構成例を示す
図である。ファイルセキュリティレベルテーブル３００は、ファイルＩＤ３０１、ファイルパス３０２、ファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５、ファイルハッシュ値３０６をデータ項目として持つ。

このうちファイルＩＤ３０１は、記憶装置２０３に保存されたファイルに対してユニークに割り当てられたＩＤである。また、ファイルパス３０２は、当該ファイルの記憶装置上での保存箇所およびファイル名を特定する情報である。

また、ファイル信頼レベル３０３は、当該ファイルに含まれるデータが、悪性コードや不正情報などを含まないことの確実性を示す情報である。また、ファイル機密レベル３０４は、当該ファイルが含むデータの機密性を示す情報である。また、ファイル保護レベル３０５は、当該ファイルを更新するために必要な権限のレベルを示す情報である。

また、ファイルハッシュ値３０６は、当該ファイルデータを適宜なハッシュ関数によりハッシュ化したものであり、ファイルを一意に特定するための情報である。

なお、ファイル信頼レベル３０３、ファイル機密レベル３０４、および、ファイル保護レベル３０５の総称を、ファイルのセキュリティレベルとする。

図４は、実施例１におけるドメインセキュリティレベルテーブル４００の構成例を示す図である。ドメインセキュリティレベルテーブル４００は、ドメインＩＤ４０１、ドメイン名４０２、ドメイン信頼レベル４０３、ドメイン機密レベル４０４、ドメイン保護レベル４０５をデータ項目として持つ。

このうちドメインＩＤ４０１は、ドメインセキュリティテーブル４００に登録されたドメインに対しユニークに割り当てられたＩＤである。また、ドメイン名４０２は、当該ドメインを表す文字列である。

また、ドメイン信頼レベル４０３は、当該ドメインからダウンロード可能なデータが、悪性コードや不正情報などを含まないことの確実性を示す情報である。また、ドメイン機密レベル４０４は、当該ドメインからダウンロード可能なデータの機密性を示す情報である。また、ドメイン保護レベル３０５は、当該ドメインとの通信時に適用すべき制限の程度を示す情報である。

なお、ドメイン信頼レベル４０３、ドメイン機密レベル４０４、および、ドメイン保護レベル４０５の総称を、ドメインのセキュリティレベルとする。

図５は、実施例１におけるプロセスセキュリティレベルテーブル５００の構成例を示す図である。プロセスセキュリティレベルテーブル５００は、プロセスＩＤ５０１、プロセス信頼レベル５０２、プロセス機密レベル５０３をデータ項目として持つ。

このうちプロセスＩＤ５０１は、メモリ２０２上で動作しているプロセスに対しユニークに割り当てられたＩＤである。

また、プロセス信頼レベル５０２は、当該プロセスが、悪性コードなどを含まないことの確実性を示す情報である。また、プロセス機密レベル５０３は、当該プロセスがメモリ２０２上に保持するデータの機密性を示す情報である。

なお、プロセス信頼レベル５０２およびプロセス機密レベル５０３の総称を、プロセスのセキュリティレベルとする。

図６は、実施例１における許可通信メソッドテーブル６００の構成例を示す図である。許可通信メソッドテーブル６００は、ドメイン保護レベル６０１、および、許可通信メソッド６０２をデータ項目として持つ。

このうちドメイン保護レベル６０１は、上述のドメインセキュリティレベルテーブル４０におけるドメイン保護レベル４０５の値に対応する、該当ドメインとの通信時に適用すべき制限の程度を示す情報である。

また、許可通信メソッドは、該当ドメインとの通信時に適用される制限の内容であり、本実施例では上述のドメイン保護レベル６０１に対し許可される通信メソッドが格納される。

＜フロー例：アクセス制御処理＞
以下、本実施形態におけるホワイトリスト管理方法の実際手順について図に基づき説明する。以下で説明するホワイトリスト管理方法に対応する各種動作は、ホワイトリスト管理システム１０における端末１００がメモリ等に読み出して実行するプログラムによって実現される。そして、このプログラムは、以下に説明される各種の動作を行うためのコードから構成されている。

ここではまず、アクセス試行発生時の処理フロー例について説明する。図７は、実施例１におけるアクセス制御処理の例を示すフロー図である。アクセス試行発生時の処理の概要を、図７に基づき説明する。

この場合、端末１００のアクセス試行取得プログラム１１１は、端末１００にて生じたプロセスによるアクセス試行をフックし、アクセス制御処理７００を開始する。フックとは、当該プロセスの実行に伴う、ファイルやドメイン等のリソースへのアクセスを一旦回避してプロセス遂行を一次停止することである。

続いて、アクセス可否判定プログラム１１２は、上述のアクセス試行の種別を判別する（ステップ７０１）。当該アクセス試行の内容がプロセスの起動に関するものであれば（ステップ７０１：Ｙｅｓ）、アクセス可否判定プログラム１１２は、プロセス制御処理（ステップ７０５）に処理を進める。他方、それ以外の場合（ステップ７０１：Ｎｏ）、アクセス可否判定プログラム１１２は、処理をステップ７０２に進める。

続いて、アクセス可否判定プログラム１１２は、上述のアクセス試行の種別を判別し（ステップ７０２）、当該アクセス試行の内容が通信に関するものであれば（ステップ７０２：Ｙｅｓ）、通信制御処理（ステップ７０６）に処理を進める。他方、それ以外の場合（ステップ７０２：Ｎｏ）、アクセス可否判定プログラム１１２は、処理をステップ７０３に進める。

また、アクセス可否判定プログラム１１２は、上述のアクセス試行の種別を判別し（ステップ７０３）、当該アクセス試行の内容がファイル読み取りに関するものであれば（ステップ７０３：Ｙｅｓ）、処理をファイル読み取り制御処理（ステップ７０７）に進める。それ以外の場合（ステップ７０３：Ｎｏ）、アクセス可否判定プログラム１１２は、処理をステップ７０４に進める。

また、アクセス可否判定プログラム１１２は、上述のアクセス試行の種別を判別し（ステップ７０４）、当該アクセス試行の内容がファイル書き込みに関するものであれば（ステップ７０４：Ｙｅｓ）、処理をファイル書き込み制御処理（ステップ７０８）に進める
。それ以外の場合（ステップ７０４：Ｎｏ）、アクセス可否判定プログラム１１２は、処理をステップ７０９に進める。

ここで上述のプロセス制御処理（ステップ７０５）の概要について説明する。この場合、アクセス可否判定プログラム１１２は、上述のプロセス起動に伴い、当該プロセス起動を許可して、セキュリティレベル更新プログラム１１３およびアクセス可否結果返却プログラム１１４に結果を伝達する。また、セキュリティレベル更新プログラム１１３は、ファイルセキュリティレベルテーブル３００を参照し、当該プロセスに関連するファイルのファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５を取得して、セキュリティレベル更新プログラム１１３に伝達する。また、セキュリティレベル更新プログラム１１３は、伝達された上述の情報に基づき、当該プロセスのプロセス信頼レベル５０２、プロセス機密レベル５０３を算出し、プロセスセキュリティレベルテーブル５００を更新する。また、アクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。本ステップの詳細は、図８を用いて後述する。

また、上述の通信制御処理（ステップ７０６）の概要について説明する。この場合、アクセス可否判定プログラム１１２は、通信に関するアクセス試行に伴い、プロセスセキュリティレベルテーブル５００を参照し、当該通信を試行したプロセスのプロセス信頼レベル５０２およびプロセス機密レベル５０３を取得する。またアクセス可否判定プログラム１１２は、ドメインセキュリティレベルテーブル４００を参照し、通信対象ドメインのドメイン信頼レベル４０３、ドメイン機密レベル４０４、ドメイン保護レベル４０５を取得する。アクセス可否判定プログラム１１２は、これら取得した情報に基づき、当該プロセスによる上述のドメインへの通信可否を判定し、セキュリティレベル更新プログラム１１３およびアクセス可否結果返却プログラム１１４に結果を伝達する。セキュリティレベル更新プログラム１１３は、伝達された情報に基づき、当該プロセスのプロセス信頼レベル５０２、プロセス機密レベル５０３を算出し、プロセスセキュリティレベルテーブル５００を更新する。アクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。本ステップの詳細は、図１０を用いて後述する。

また、上述のファイル読み取り制御処理（ステップ７０７）の概要について説明する。この場合、アクセス可否判定プログラム１１２は、ファイル読み取り試行に伴い、プロセスセキュリティレベルテーブル５００を参照し、ファイル読み取りに関するアクセス試行を行ったプロセスのプロセス信頼レベル５０２およびプロセス機密レベル５０３を取得する。また、アクセス可否判定プログラム１１２は、ファイルセキュリティレベルテーブル３００を参照し、読み取り対象ファイルのファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５を取得する。アクセス可否判定プログラム１１２は、これら取得した情報に基づき、当該プロセスによる上述のファイルへの読み取り可否を判定し、セキュリティレベル更新プログラム１１３およびアクセス可否結果返却プログラム１１４に結果を伝達する。セキュリティレベル更新プログラム１１３は、伝達された情報に基づき、当該プロセスのプロセス信頼レベル５０２、プロセス機密レベル５０３を算出し、プロセスセキュリティレベル５００を更新する。アクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。本ステップの詳細は、図１２を用いて後述する。

また、上述のファイル書き込み制御処理（ステップ７０８）の概要について説明する。この場合、アクセス可否判定プログラム１１２は、ファイル書き込みに関するアクセス試行に伴い、プロセスセキュリティレベルテーブル５００を参照し、ファイル読み取りを試行したプロセスのプロセス信頼レベル５０２およびプロセス機密レベル５０３を取得する。また、アクセス可否判定プログラム１１２は、ファイルセキュリティレベルテーブル３００を参照し、読み取り対象ファイルのファイル信頼レベル３０３、ファイル機密レベル
３０４、ファイル保護レベル３０５を取得する。アクセス可否判定プログラム１１２は、これら取得した情報に基づき、当該プロセスによる上述のファイルへの書き込み可否を判定し、セキュリティレベル更新プログラム１１３およびアクセス可否結果返却プログラム１１４に結果を伝達する。セキュリティレベル更新プログラム１１３は、伝達された情報に基づき、上述のファイルのファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５を算出し、ファイルセキュリティレベル３００を更新する。アクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。本ステップの詳細は、図１４を用いて後述する。

また、上述のアクセス許可処理（ステップ７０９）について説明する。この場合、アクセス可否判定プログラム１１２は、上述のアクセス試行を許可し、許可したことをアクセス可否結果返却プログラム１１４に伝達する。アクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。

＜フロー例：プロセス制御処理＞
図８は、実施例１におけるプロセス制御処理の例を示すフロー図である。以下にてプロセス制御処理（ステップ７０５）について図８に基づき説明する。

この場合、アクセス可否判定プログラム１１２は、アクセス試行取得プログラム１１１から伝達された情報に基づき、プロセス起動処理を実行しようとしているプロセスのＩＤを得る。また、アクセス可否判定プログラム１１２は、プロセスセキュリティレベルテーブル５００を参照し、プロセスＩＤ５０１の値が上述のように得たプロセスのＩＤと一致するレコードを検索して、当該レコードのプロセス信頼レベル５０２およびプロセス機密レベル５０３を取得する（ステップ８０１）。

次に、アクセス可否判定プログラム１１２は、アクセス試行取得プログラム１１１から伝達された情報に基づき、プロセス起動処理において起動元となる実行ファイルのパスを得る。また、アクセス可否判定プログラム１１２は、ファイルセキュリティレベルテーブル３００を参照し、ファイルパス３０２の値が上述のように得た実行ファイルのパスと一致するレコードを検索して、当該レコードのファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５を取得する（ステップ８０２）。

次に、アクセス可否判定プログラム１１２は、アクセス試行取得プログラム１１１から伝達された情報に基づき、プロセス起動処理に伴い読み込まれるライブラリファイル等の全てのファイルのパスを得て、当該ファイルのそれぞれに対し、ステップ８０４を実行する。（ステップ８０３）。

アクセス可否判定プログラム１１２は、ファイルセキュリティレベルテーブル３００を参照し、ファイルパス３０２の値が、ステップ８０３で対象としたファイルのパスと一致するレコードを検索して、当該レコードのファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５を取得する（ステップ８０４）。

また、アクセス可否判定プログラム１１２は、上述のステップ８０１〜ステップ８０４で取得した情報をセキュリティレベル更新プログラムに伝達する。セキュリティレベル更新プログラム１１３は、伝達された情報に基づき、新しく起動されるプロセスのプロセス信頼レベル５０２およびプロセス機密レベル５０３を算出して、プロセスセキュリティレベルテーブル５００に追加する（ステップ８０５）。本ステップ（ステップ８０５）の詳細は、図９を用いて後述する。

＜フロー例：プロセス起動時プロセスセキュリティレベル更新処理＞
ここで、図８のフローにおけるプロセス起動時プロセスセキュリティレベル更新処理（ステップ８０５）の詳細について説明する。図９は、実施例１におけるプロセス起動時のプロセスセキュリティレベル更新処理の例を示すフロー図である。

この場合、セキュリティレベル更新プログラム１１３は、アクセス可否判定プログラム１１２から伝達された情報が示す、実行元ファイルおよびプロセス起動時に読み込む各ファイルの、ファイル信頼レベル３０３およびプロセス信頼レベル５０２の各間での最小値を算出し、今次起動される上述のプロセスのプロセス信頼レベル５０２と特定する。また、セキュリティレベル更新プログラム１１３は、同様に、アクセス可否判定プログラム１１２から伝達された情報が示す、実行元ファイルおよびプロセス起動時に読み込む各ファイルの、ファイル機密レベル３０４およびプロセス機密レベル５０３の各間での最大値を算出し、今次起動される上述のプロセスのプロセス機密レベル５０３と特定する（ステップ９０１）。

また、セキュリティレベル更新プログラム１１３は、プロセスセキュリティレベルテーブル５００に新規のレコードを追加し、この新規レコードのプロセスＩＤ５０１に、上述の今次起動されるプロセスのＩＤを、また新規レコードのプロセス信頼レベル５０２およびプロセス機密レベル５０３に、上述のステップ９０１にて算出した値を格納する（ステップ９０２）。

＜フロー例：通信制御処理＞
図１０は、実施例１における通信制御処理の例を示すフロー図である。以下にて通信制御処理（ステップ７０６）について図１０に基づき説明する。

この場合、アクセス可否判定プログラム１１２は、アクセス試行取得プログラム１１１から伝達された情報に基づき、通信処理を実行しようとしているプロセスのＩＤを得る。また、アクセス可否判定プログラム１１２は、プロセスセキュリティレベルテーブル５００を参照し、プロセスＩＤ５０１の値が、上述のように得た当該プロセスのＩＤと一致するレコードを検索して、当該レコードのプロセス信頼レベル５０２およびプロセス機密レベル５０３を取得する（ステップ１００１）。

続いてアクセス可否判定プログラム１１２は、アクセス試行取得プログラム１１１から伝達された情報に基づき、通信処理における通信先のドメイン名を得る。また、アクセス可否判定プログラム１１２は、ドメインセキュリティレベルテーブル４００を参照し、ドメイン名４０２の値が、上述のように得たドメイン名と一致するレコードを検索して、当該レコードのドメイン信頼レベル４０３、ドメイン機密レベル４０４、ドメイン保護レベル４０５を取得する（ステップ１００２）。

次に、アクセス可否判定プログラム１１２は、上述のステップ１００１で取得したプロセス機密レベル５０３を参照し、その値が０より大きいか否かを判定する（ステップ１００３）。この判定の結果、値が０より大きい場合（ステップ１００３：Ｙｅｓ）、アクセス可否判定プログラム１１２は、処理をステップ１００４に進める。それ以外の場合（ステップ１００３：Ｎｏ）、アクセス可否判定プログラム１１２は、処理をステップ１００６に進める。

次に、アクセス可否判定プログラム１１２は、許可通信メソッドテーブル６００を参照し、ドメイン保護レベル６０１が、上述のステップ１００２で取得したドメイン保護レベル４０５と一致するレコードを検索して、許可通信メソッド６０２を取得する（ステップ１００４）。

また、アクセス可否判定プログラム１１２は、アクセス試行取得プログラム１１１から伝達された通信に関するアクセス試行に関する情報と、上述のステップ１００４で取得した許可通信メソッド６０２とを比較し、当該通信のアクセス試行のメソッドが、上述の許可通信メソッド６０２に含まれるか否かを判定する（ステップ１００５）。

この判定の結果、含まれる場合（ステップ１００５：Ｙｅｓ）、アクセス可否判定プログラム１１２は、処理をステップ１００６に進める。それ以外の場合（ステップ１００５：Ｎｏ）、アクセス可否判定プログラム１１２は、処理をステップ１００７に進める。

上述のステップ１００３または、ステップ１００５で「Ｙｅｓ」となったことに続いて、アクセス可否判定プログラム１１２は、当該プロセスによる通信を許可し（ステップ１００６）、許可したことをアクセス可否結果返却プログラム１１４に伝達する。この場合のアクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。また、アクセス可否判定プログラム１１２は、上述のステップ１００１〜１００２にて取得した情報をセキュリティレベル更新プログラム１１３に伝達する。

一方、上述のステップ１００５で「Ｎｏ」の判定となったことに続いて、アクセス可否判定プログラム１１２は、当該プロセスによる通信を禁止し、禁止したことをアクセス可否結果返却プログラム１１４に伝達する（ステップ１００７）。この場合のアクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。

続いて、セキュリティレベル更新プログラム１１３は、アクセス可否判定プログラム１１２から伝達された情報に基づき、当該プロセスのプロセス信頼レベル５０２およびプロセス機密レベル５０３を算出して、プロセスセキュリティレベルテーブル５００を更新する（ステップ１００８）。本ステップの詳細は、図１１を用いて後述する。

＜フロー例：通信時のプロセスセキュリティレベル更新処理＞
次に、上述の図１０のフローにおけるステップ１００８の処理、すなわち通信時プロセスセキュリティレベル更新処理の詳細について、図１１に基づき説明する。図１１は、実施例１における通信時プロセスセキュリティレベル更新処理の例を示すフロー図である。

この場合、セキュリティレベル更新プログラム１１３は、アクセス可否判定プログラム１１２から伝達された、プロセス信頼レベル５０２とドメイン信頼レベル４０３とを比較する（ステップ１１０１）。この比較の結果、プロセス信頼レベル５０２がドメイン信頼レベル４０３より大きい場合（ステップ１１０１：Ｙｅｓ）、セキュリティレベル更新プログラム１１３は、処理をステップ１１０２に進める。それ以外の場合（ステップ１１０１：Ｎｏ）、セキュリティレベル更新プログラム１１３は、処理をステップ１１０３に進める。

次に、セキュリティレベル更新プログラム１１３は、プロセスセキュリティレベルテーブル５００を参照し、プロセスＩＤ５０１の値が、当該プロセスのＩＤに一致するレコードを検索して、当該レコードのプロセス信頼レベル５０２の値を、上述のドメイン信頼レベル４０３の値で更新する（ステップ１１０２）
また、セキュリティレベル更新プログラム１１３は、プロセス機密レベル５０３とドメイン機密レベル４０４とを比較する（ステップ１１０３）。この比較の結果、プロセス機密レベル５０３がドメイン機密レベル４０４より小さい場合（ステップ１１０３：Ｙｅｓ）、セキュリティレベル更新プログラム１１３は、処理をステップ１１０４に進める。それ以外の場合（ステップ１１０３：Ｎｏ）、セキュリティレベル更新プログラム１１３は、本フローを終了する。

他方、セキュリティレベル更新プログラム１１３は、プロセスセキュリティレベルテーブル５００を参照し、プロセスＩＤ５０１の値が当該プロセスのＩＤと一致するレコードを検索して、当該レコードのプロセス機密レベル５０３の値を、上述のドメイン機密レベル４０４の値で更新する（ステップ１１０４）。

＜フロー例：ファイル読み取り制御処理＞
続いて、図７のフローにおけるファイル読み取り制御処理（ステップ７０７）の詳細について、図１２に基づき説明する。図１２は、実施例１におけるファイル読み取り制御処理の例を示すフロー図である。

この場合、アクセス可否判定プログラム１１２は、アクセス試行取得プログラム１１１から伝達された情報に基づき、ファイル読み取り処理を実行しようとしているプロセスのＩＤを得る。また、アクセス可否判定プログラム１１２は、プロセスセキュリティレベルテーブル５００を参照し、プロセスＩＤ５０１の値が、上述のように得たプロセスのＩＤと一致するレコードを検索して、当該レコードのプロセス信頼レベル５０２およびプロセス機密レベル５０３を取得する（ステップ１２０１）。

続いて、アクセス可否判定プログラム１１２は、アクセス試行取得プログラム１１１から伝達された情報に基づき、ファイル読み取り処理における対象ファイルのパスを得る。また、アクセス可否判定プログラム１１２は、ファイルセキュリティレベルテーブル３００を参照し、ファイルパス３０２の値が、上述で得た対象ファイルのパスと一致するレコードを検索して、当該レコードのファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５を取得する（ステップ１２０２）。

また、アクセス可否判定プログラム１１２は、上述のプロセス信頼レベル５０３とファイル機密レベル３０４とを比較する（ステップ１２０３）。この比較の結果、プロセス信頼レベル５０３がファイル機密レベル３０４と等しいか又はより大きい場合（ステップ１２０３：Ｙｅｓ）、アクセス可否判定プログラム１１２は、処理をステップ１２０４に進める。それ以外の場合（ステップ１２０３：Ｎｏ）、アクセス可否判定プログラム１１２は、処理をステップ１２０５に進める。

次に、上述のステップ１２０３で「Ｙｅｓ」となったことに続き、アクセス可否判定プログラム１１２は、上述のプロセスによるファイル読み取りを許可し、許可したことをアクセス可否結果返却プログラム１１４に伝達する（ステップ１２０４）。この場合のアクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。また、アクセス可否判定プログラム１１２は、前記ステップ１２０１および１２０２にて取得した情報をセキュリティレベル更新プログラム１１３に伝達する。

一方、上述のステップ１２０３で「Ｎｏ」となったことに続き、アクセス可否判定プログラム１１２は、上述のプロセスによるファイル読み取りを禁止し、禁止したことをアクセス可否結果返却プログラム１１４に伝達する（ステップ１２０５）。この場合のアクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。

また、セキュリティレベル更新プログラム１１３は、アクセス可否判定プログラム１１２から伝達された情報に基づき、上述のプロセスのプロセス信頼レベル５０２およびプロセス機密レベル５０３を算出して、プロセスセキュリティレベルテーブル５００を更新する（ステップ１２０６）。本ステップの詳細は、図１３を用いて後述する。

＜フロー例：ファイル読み取り時のプロセスセキュリティレベル更新処理＞
続いて、上述の図１２のフローにおけるステップ１２０６、すなわちファイル読み取り
時プロセスセキュリティレベル更新処理の詳細について、図１３に基づき説明する。

図１３は、実施例１におけるファイル読み取り時のプロセスセキュリティレベル更新処理の例を示すフロー図である。この場合、セキュリティレベル更新プログラム１１３は、アクセス可否判定プログラム１１２から伝達された、プロセス信頼レベル５０２とファイル信頼レベル３０３とを比較する（ステップ１３０１）。この比較の結果、プロセス信頼レベル５０２がファイル信頼レベル３０３より大きい場合（ステップ１３０１：Ｙｅｓ）、セキュリティレベル更新プログラム１１３は、処理をステップ１３０２に進める。他方、それ以外の場合（ステップ１３０１：Ｎｏ）、セキュリティレベル更新プログラム１１３は、処理をステップ１３０３に進める。

ステップ１３０２におけるセキュリティレベル更新プログラム１１３は、プロセスセキュリティレベルテーブル５００を参照し、プロセスＩＤ５０１の値が、上述のプロセスのＩＤに一致するレコードを検索して、当該レコードのプロセス信頼レベル５０２の値を、上述のファイル信頼レベル３０３の値で更新する（ステップ１３０２）
また、セキュリティレベル更新プログラム１１３は、プロセス機密レベル５０３とファイル機密レベル３０４とを比較する（ステップ１３０３）。この比較の結果、プロセス機密レベル５０３がファイル機密レベル３０４より小さい場合（ステップ１３０３：Ｙｅｓ）、セキュリティレベル更新プログラム１１３は、ステップ１３０４の処理を行う。それ以外の場合（ステップ１３０３：Ｎｏ）、セキュリティレベル更新プログラム１１３は、フローを終了する。

ステップ１３０４におけるセキュリティレベル更新プログラム１１３は、プロセスセキュリティレベルテーブル５００を参照し、プロセスＩＤ５０１の値が、上述のプロセスのＩＤと一致するレコードを検索して、当該レコードのプロセス機密レベル５０３の値を、上述のファイル機密レベル３０４の値で更新する（ステップ１３０４）。

＜フロー例：ファイル書き込み制御処理＞
続いて、図７のフローにおけるステップ７０８、すなわちファイル書き込み制御の詳細について図１４に基づき説明する。図１４は、実施例１におけるファイル書き込み制御処理の例を示すフロー図である。

この場合、アクセス可否判定プログラム１１２は、アクセス試行取得プログラム１１１から伝達された情報に基づき、ファイル書き込み処理を実行しようとしているプロセスのＩＤを得る。また、アクセス可否判定プログラム１１２は、プロセスセキュリティレベルテーブル５００を参照し、プロセスＩＤ５０１の値が、上述のように得たプロセスのＩＤと一致するレコードを検索して、当該レコードのプロセス信頼レベル５０２およびプロセス機密レベル５０３を取得する（ステップ１４０１）。

次に、アクセス可否判定プログラム１１２は、アクセス試行取得プログラム１１１から伝達された情報に基づき、ファイル書き込み処理における対象ファイルのパスを得る。また、アクセス可否判定プログラム１１２は、ファイルセキュリティレベルテーブル３００を参照し、ファイルパス３０２の値が、上述の対象ファイルのパスと一致するレコードを検索して、当該レコードのファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５を取得する（ステップ１４０２）。

続いて、アクセス可否判定プログラム１１２は、上述のプロセス信頼レベル５０３とファイル保護レベル３０５とを比較する（ステップ１４０３）。この比較の結果、プロセス信頼レベル５０３がファイル保護レベル３０５と等しいか又はより大きい場合（ステップ１４０３：Ｙｅｓ）、アクセス可否判定プログラム１１２は、処理をステップ１４０４に
進める。他方、それ以外の場合（ステップ１４０３：Ｎｏ）、アクセス可否判定プログラム１１２は、処理をステップ１４０５に進める。

ステップ１４０４におけるアクセス可否判定プログラム１１２は、上述のプロセスによるファイル書き込みを許可し、許可したことをアクセス可否結果返却プログラム１１４に伝達する（ステップ１４０４）。この場合のアクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。また、アクセス可否判定プログラム１１２は、上述のステップ１４０１および１４０２にて取得した情報をセキュリティレベル更新プログラム１１３に伝達する。

また、ステップ１４０５におけるアクセス可否判定プログラム１１２は、上述のプロセスによるファイル書き込みを禁止し、禁止したことをアクセス可否結果返却プログラム１１４に伝達する（ステップ１４０５）。この場合のアクセス可否結果返却プログラム１１４は、伝達された情報に基づき、フック元に処理を返す。

また、セキュリティレベル更新プログラム１１３は、アクセス可否判定プログラム１１２から伝達された情報に基づき、上述の対象ファイルのファイル信頼レベル３０３およびファイル機密レベル３０４を算出して、ファイルセキュリティレベルテーブル３００を更新する（ステップ１４０６）。本ステップの詳細は、図１５を用いて後述する。

＜フロー例：ファイル書き込み時のファイルセキュリティレベル更新処理＞
続いて、上述の図１４のフローにおけるステップ１４０６、すなわちファイル書き込み時ファイルセキュリティレベル更新処理の詳細について、図１５に基づき説明する。図１５は、実施例１におけるファイル書き込み時のファイルセキュリティレベル更新処理の例を示すフロー図である。

この場合、セキュリティレベル更新プログラム１１３は、アクセス可否判定プログラム１１２から伝達された、プロセス信頼レベル５０２とファイル信頼レベル３０３とを比較する（ステップ１５０１）。この比較の結果、プロセス信頼レベル５０２がファイル信頼レベル３０３より小さい場合（ステップ１５０１：Ｙｅｓ）、セキュリティレベル更新プログラム１１３は、処理をステップ１５０２に進める。他方、それ以外の場合（ステップ１５０１：Ｎｏ）、セキュリティレベル更新プログラム１１３は、処理をステップ１５０３に進める。

ステップ１５０２におけるセキュリティレベル更新プログラム１１３は、ファイルセキュリティレベルテーブル３００を参照し、ファイルパス３０２の値が、上述の対象ファイルのパスに一致するレコードを検索して、当該レコードのファイル信頼レベル３０３の値を、上述のプロセス信頼レベル５０２の値で更新する（ステップ１５０２）
また、ステップ１５０３におけるセキュリティレベル更新プログラム１１３は、プロセス機密レベル５０３とファイル機密レベル３０４とを比較する（ステップ１５０３）。この比較の結果、プロセス機密レベル５０３がファイル機密レベル３０４より大きい場合（ステップ１５０３：Ｙｅｓ）、セキュリティレベル更新プログラム１１３は、処理をステップ１５０４に進める。他方、それ以外の場合（ステップ１５０３：Ｎｏ）、セキュリティレベル更新プログラム１１３はフローを終了する。

ステップ１５０４におけるセキュリティレベル更新プログラム１１３は、ファイルセキュリティレベルテーブル３００を参照し、ファイルパス３０２の値が、上述の対象ファイルのパスと一致するレコードを検索して、当該レコードのファイル機密レベル３０４の値を、上述のプロセス機密レベル５０３の値で更新する（ステップ１５０４）。

以上で説明した実施例１におけるホワイトリスト管理システム１０は、プロセスによるプロセス起動、通信およびファイルアクセス等の試行に伴い、ファイル、ドメイン、プロセスに設定されたセキュリティレベルに基づいて当該処理の可否の判定およびセキュリティレベルの更新を行い、ホワイトリストのメンテナンスが不要なアクセス制御を可能とするものである。

−−−実施例２−−−
上述の実施例１においてセキュリティレベルは自動算出される形態を示した。しかしながら、セキュリティポリシーの変更や、脅威情報の更新などに伴い、システム管理者がセキュリティレベルを補正する機会も想定される。実施例１で述べたように、ファイル、ドメイン、プロセスのセキュリティレベルは、関連するファイル、ドメイン、プロセスのセキュリティレベルに基づいて算出されるため、これらの間の整合性を維持するためには、補正対象のセキュリティレベルに基づいて算出された他の全てのセキュリティレベルも補正する必要がある。このため、補正すべきセキュリティレベルの対象が膨大になり、システム管理者が全てを把握できない、運用負担が増す、といった問題が生じる。

そこでこうした問題を解決する手段として、セキュリティレベル算出に伴い、ファイル、ドメイン、プロセスのセキュリティレベル間の依存関係を保存しておき、後にセキュリティレベル補正が必要になった場合に、この依存関係に基づいて関連する全てのセキュリティレベルを再算出する方法が考えられる。以下では、この方法を実施するための形態の一例を、実施例２として説明する。

＜機能構成例＞
図１６は、実施例２におけるホワイトリスト管理システム１０の機能構成例を示す図である。実施例２におけるホワイトリスト管理システム１０は、端末１００＿１〜Ｎにインストールされた、端末１００＿１〜Ｎ上で動作する複数のプログラムおよび端末１００＿１〜Ｎに保存された複数のデータ、サーバ１４０、管理端末１５０、ネットワーク１６０から構成される。こうした、端末１００＿１〜Ｎ、サーバ１４０、および、管理端末１５０は、ネットワーク１６０を介して通信可能に接続されている。

また、端末１００＿１〜Ｎは、ユーザ１０１＿１〜Ｎが利用するコンピュータ装置である。この端末１００＿１〜Ｎは、メモリ１１０、記憶装置１２０、通信部１３０、入出力部１３１を備える。この端末１００＿１〜Ｎのユーザ１０１＿１〜Ｎは、入出力部１３１を介して端末１００＿１〜Ｎを操作する。

また、サーバ１４０は、メモリ１４１、通信部１４２を備えるサーバ装置である。また、管理端末１５０は、通信部１５１、入出力部１５２を備える情報処理端末である。システム管理者１５３は、入出力部１５２を介して管理端末１５０を操作し、ネットワーク１６０を経由してサーバ１４０を操作する。

続いて、実施例２におけるホワイトリスト管理システム１０が備える機能について説明する。ここでは、端末１００＿１〜Ｎおよびサーバ１４０にて備える適宜なプログラムを実行することで実現される機能について説明するものとする。

端末１００＿１〜Ｎにおいては、アクセス試行取得プログラム１１１、アクセス可否判定プログラム１１２、セキュリティレベル更新プログラム１１３、アクセス可否結果返却プログラム１１４、セキュリティレベル依存関係更新プログラム１１５、および、セキュリティレベル補正プログラム１１６が実行される。

また、端末１００＿１〜Ｎにおいては、ファイルセキュリティレベル１２１、ドメイン
セキュリティレベル１２２、プロセスセキュリティレベル１２３、許可通信メソッド１２４、ファイルセキュリティレベル依存関係１２５、プロセスセキュリティレベル依存関係１２６、および、定数ファイルセキュリティレベル１２７をデータとして保持する。

また、サーバ１４０においては、セキュリティレベル補正指示プログラム１４３および管理画面表示プログラム１４４が実行される。

上述のうち、アクセス試行取得プログラム１１１、アクセス可否判定プログラム１１２、セキュリティレベル更新プログラム１１３、アクセス可否結果返却プログラム１１４は、上述の実施例１と同様のプログラムである。

一方、セキュリティレベル依存関係更新プログラム１１５は、上述のセキュリティレベル更新プログラム１１３によるファイルセキュリティレベル１２１およびプロセスセキュリティレベル１２３の更新に伴い、ファイルセキュリティレベル依存関係１２５およびプロセスセキュリティレベル依存関係１２６を更新するプログラムである。

また、セキュリティレベル補正プログラム１１６は、セキュリティレベル補正指示プログラム１４３からの指示を受け、ファイルセキュリティレベル依存関係１２５およびプロセスセキュリティレベル依存関係１２６に基づき、ファイルセキュリティレベル１２１およびプロセスセキュリティレベル１２３を更新するプログラムである。

なお、ファイルセキュリティレベル１２１、ドメインセキュリティレベル１２２、プロセスセキュリティレベル１２３、および、許可通信メソッド１２４は、上述の実施例１と同様の情報である。

一方、ファイルセキュリティレベル依存関係１２５は、端末１００＿１〜Ｎに保存されたファイルに対し、各ファイルのセキュリティレベルの算出に用いられたファイル、ドメインのＩＤを格納した一覧である。また、プロセスセキュリティレベル依存関係１２６は、端末１００＿１〜Ｎ上で動作中のプロセスに対し、各プロセスのセキュリティレベルの算出に用いられたファイル、ドメインのＩＤを格納した一覧である。また、定数ファイルセキュリティレベル１２７は、システム管理者１５３が入力したファイルセキュリティレベルの一覧である。これらの情報の詳細は、図１７〜図１９を用いて後述する。

また、セキュリティレベル補正指示プログラム１４３は、システム管理者１５３からの入力に従い、セキュリティレベル補正プログラム１１６に指示を送信するプログラムである。また、管理画面表示プログラム１４４は、システム管理者１５３がサーバ１４０を操作するにあたり、操作用の画面を表示し、入出力を支援するプログラムである。

＜データ構成例＞
次に、実施例２におけるホワイトリスト管理システム１０が利用するデータのうち、上述の実施例１との差分について、その構成例を説明する。

図１７は、実施例２におけるファイルセキュリティレベル依存関係テーブル２５００の構成例を示す図である。ファイルセキュリティレベル依存関係テーブル２５００は、ファイルＩＤ２５０１、ファイル信頼レベル依存先２５０２、ファイル機密レベル依存先２５０３、および。ファイル保護レベル依存先２５０４をデータ項目として持つ。

このうちファイルＩＤは、端末１００の記憶装置２０３に保存されたファイルに対してユニークに割り当て得られたＩＤであり、ファイルセキュリティレベルテーブル３００におけるファイルＩＤ３０１に対応する。

また、ファイル信頼レベル依存先２５０２は、上述のファイルのファイル信頼レベル３０３の値の根拠となったファイルおよびドメインのＩＤである。また、ファイル機密レベル依存先２５０３は、上述のファイルのファイル機密レベル３０４の値の根拠となったファイルおよびドメインのＩＤである。また、ファイル保護レベル依存先２５０４は、上述のファイルのファイル機密レベル３０５の値の根拠となったファイルおよびドメインのＩＤである。

図１８は、実施例２におけるプロセスセキュリティレベル依存関係テーブル２６００の構成例を示す図である。プロセスセキュリティレベル依存関係テーブル２６００は、プロセスＩＤ２６０１、プロセス信頼レベル依存先２６０２、および、プロセス機密レベル依存先２６０３をデータ項目として持つ。

このうちプロセスＩＤ２６０１は、端末１００のメモリ２０２上で動作しているプロセスに対しユニークに割り当てられたＩＤであり、プログラムセキュリティレベルテーブル５００におけるプロセスＩＤ５０１に対応する。また、プロセス信頼レベル依存先２６０２は、上述のプロセスのプロセス信頼レベル５０２の値の根拠となったファイルおよびドメインのＩＤである。また、プロセス機密レベル依存先２６０３は、上述のプロセスのプロセス機密レベル５０３の値の根拠となったファイルおよびドメインのＩＤである。

図１９は、実施例２における定数ファイルセキュリティレベルテーブル２７００の構成例を示す図である。定数ファイルセキュリティレベルテーブル２７００は、定数ファイルＩＤ２７０１、定数ファイル信頼レベル２７０２、定数ファイル機密レベル２７０３、および、定数ファイル保護レベル２７０４をデータ項目として持つ。

このうち定数ファイルＩＤ２７０１は、定数ファイルセキュリティレベルテーブル２７００のレコードに対しユニークに割り当てられたＩＤである。また、定数ファイル信頼レベル２７０２、定数ファイル機密レベル２７０３、定数ファイル保護レベル２７０４は、それぞれファイルセキュリティレベルテーブル３００におけるファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５に対応する値である。後者が自動的に更新され変化する値であるのに対し、前者はシステム管理者１５３が直接指定する値であり、自動では更新されない。

＜フロー例：プロセス起動時プロセスセキュリティレベルおよび依存関係更新処理＞
実施例２におけるホワイトリスト管理システム１０は、アクセス試行の発生時には、実施例１において図７〜図１５を用いて説明した処理とほぼ同じ処理を実行する。そこで、実施例２における処理フロー例のうち、実施例１との差分について、図２０〜図２３に基づき説明するものとする。

図２０は、実施例２におけるプロセス起動時プロセスセキュリティレベルおよび依存関係の更新処理例を示すフロー図である。実施例１の図９におけるプロセス起動時プロセスセキュリティレベル更新処理９００からの変更点は、ステップ９０２の後にステップ９０３が追加された点である。そこで以下では、ステップ９０３について説明する。

セキュリティレベル依存関係更新プログラム１１５は、プロセスセキュリティレベル依存関係テーブル２６００に新規レコードを追加し、ステップ８０１、８０２および８０４で取得したプロセスＩＤ５０１およびファイルＩＤ３０１を、当該レコードのプロセス信頼レベル依存先２６０２およびプロセス機密レベル依存先２６０３に追加する（ステップ９０３）。

＜フロー例：通信時プロセスセキュリティレベルおよび依存関係更新処理＞
図２１は、実施例２における通信時プロセスセキュリティレベルおよび依存関係の更新処理例を示すフロー図である。実施例１の図１１における通信時プロセスセキュリティレベル更新処理１１００からの変更点は、ステップ１１０４の後にステップ１１０５が追加された点である。そこで以下では、ステップ１１０５について説明する。

セキュリティレベル依存関係更新プログラム１１５は、プロセスセキュリティレベル依存関係テーブル２６００を参照し、プロセスＩＤ２６０１が当該プロセスのプロセスＩＤと一致するレコードを検索して、ステップ１００２で取得したドメインＩＤ４０１を、当該レコードのプロセス信頼レベル依存先２６０２およびプロセス機密レベル依存先２６０３に追加する（ステップ１１０５）。

＜フロー例：ファイル読み取り時プロセスセキュリティレベルおよび依存関係更新処理＞
図２２は、実施例２におけるファイル読み取り時プロセスセキュリティレベルおよび依存関係の更新処理例を示すフロー図である。実施例１の図１３におけるファイル読み取り時プロセスセキュリティレベル更新処理１３００からの変更点は、ステップ１３０４の後にステップ１３０５が追加された点である。以下では、ステップ１３０５について説明する。

セキュリティレベル依存関係更新プログラム１１５は、プロセスセキュリティレベル依存関係テーブル２６００を参照し、プロセスＩＤ２６０１が当該プロセスのプロセスＩＤと一致するレコードを検索して、ステップ１２０２で取得したファイルＩＤ４０１を、当該レコードのプロセス信頼レベル依存先２６０２およびプロセス機密レベル依存先２６０３に追加する（ステップ１３０５）。

＜フロー例：ファイル書き込み時プロセスセキュリティレベルおよび依存関係更新処理＞
図２３は、実施例２におけるファイル書き込み時プロセスセキュリティレベルおよび依存関係の更新処理例を示すフロー図である。実施例１の図１５におけるファイル書き込み時プロセスセキュリティレベル更新処理１５００からの変更点は、ステップ１５０４の後にステップ１５０５が追加された点である。そこで以下では、ステップ１５０５について説明する。

セキュリティレベル依存関係更新プログラム１１５は、プロセスセキュリティレベル依存関係テーブル２６００を参照し、プロセスＩＤ２６０１が当該プロセスのプロセスＩＤと一致するレコードを検索して、当該レコードのプロセス信頼レベル依存先２６０２およびプロセス機密レベル依存先２６０３を得る。更に、セキュリティレベル依存関係更新プログラム１１５は、ファイルセキュリティレベル依存関係テーブル２５００を参照し、ファイルＩＤ２５０１がステップ１４０２で取得したファイルＩＤ３０１と一致するレコードを検索して、当該レコードのファイル信頼レベル依存先２５０２、ファイル機密レベル依存先２５０３、ファイル保護レベル依存先２５０４に、プロセス信頼レベル依存先２６０２およびプロセス機密レベル依存先２６０３の値を追加する（ステップ１５０５）。

＜フロー例：セキュリティレベル一括補正処理＞
次に、実施例２におけるセキュリティレベル補正時の処理フロー例について説明する。図２４は、実施例２におけるセキュリティレベル一括補正処理の例を示すフロー図である。

ここで、システム管理者１５３は、管理端末１５０を介して、サーバ１４０にセキュリティレベル補正指示情報を送信するものとする。このセキュリティレベル補正指示情報は、セキュリティレベル補正対象のファイルまたはドメインの情報およびセキュリティレベ
ル補正値を含む。一方、サーバ１４０のセキュリティレベル補正指示プログラム１４３は、上述の管理端末１５０から受信したセキュリティレベル補正指示情報に基づき、端末１００＿１〜Ｎにセキュリティレベル補正指示情報を送信する。

そこで端末１００＿１〜Ｎにおけるセキュリティレベル補正プログラム１１６は、上述のセキュリティレベル補正指示情報を受信する（ステップ３２０１）。

続いて、セキュリティレベル補正プログラム１１６は、上述のセキュリティレベル補正指示情報に含まれるセキュリティレベル補正対象がファイルであるか否かを判定する（ステップ３２０２）。

上述の判定の結果、ファイルであった場合（ステップ３２０２：Ｙｅｓ）、セキュリティレベル補正プログラム１１６は、処理をステップ３２０４に進める。他方、それ以外の場合（ステップ３２０２：Ｎｏ）、セキュリティレベル補正プログラム１１６は、処理をステップ３２０３に進める。

ステップ３２０３におけるセキュリティレベル補正プログラム１１６は、ドメインセキュリティレベルテーブル４００を参照し、ドメイン名４０２が上述のセキュリティレベル補正指示情報で指定されたセキュリティレベル補正対象のドメイン名と一致するレコードを検索し、当該レコードのドメイン信頼レベル４０３、ドメイン機密レベル４０４、ドメイン保護レベル４０５のうち、上述のセキュリティレベル補正指示情報にて補正値が指定されている項目については、当該項目を補正値で更新する（ステップ３２０３）。

一方、ステップ３２０４におけるセキュリティレベル補正プログラム１１６は、ファイルセキュリティレベルテーブル３００を参照し、ファイルパス４０２またはファイルハッシュ値３０６が、上述のセキュリティレベル補正指示情報で指定されたセキュリティレベル補正対象のファイルパスまたはファイルハッシュ値と一致するレコードを検索し、当該レコードのファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５のうち、上述のセキュリティレベル補正指示情報で補正値が指定されている項目については、当該項目を補正値で更新する（ステップ３２０４）。

続いて、セキュリティレベル補正プログラム１１６は、定数ファイルセキュリティレベルテーブル２７００に新規レコードを追加し、定数ファイル信頼レベル２７０２、定数ファイル機密レベル２７０３、定数ファイル保護レベル２７０４のうち、上述のセキュリティレベル補正指示情報で補正値が指定されている項目については、当該項目に補正値を格納する（ステップ３２０５）。なお、上述のセキュリティレベル補正指示情報で補正値が指定されていない項目については、当該項目の値は空のままとする。

次に、セキュリティレベル補正プログラム１１６は、ファイルセキュリティレベル依存関係テーブル２５００を参照し、ファイルＩＤ２５０１が、上述のステップ３２０４において更新したレコードのファイルＩＤ３０１と一致するレコードを検索し、ファイル信頼レベル依存先２５０２、ファイル機密レベル依存先２５０３、ファイル保護レベル依存先２５０４のうち、上述のステップ３２０４において更新した項目に対応する項目の値を消去し、上述のステップ３２０５において追加したレコードの定数ファイルＩＤの値を格納する（ステップ３２０６）。

また、セキュリティレベル補正プログラム１１６は、ファイルセキュリティレベル依存関係テーブル２５００を参照し、上述のセキュリティレベル補正指示情報で指定されたドメインまたはファイルに依存するすべてのファイルを特定し、当該各ファイルのセキュリティレベルを再算出して、ファイルセキュリティレベルテーブル３００の当該レコードを
更新する（ステップ３２０７〜３２０８）。

具体的には、セキュリティレベル補正プログラム１１６は、以下の処理を行う。セキュリティレベル補正プログラム１１６は、ファイルセキュリティレベル依存関係テーブル２５００を参照し、ファイル信頼レベル依存先２５０２、ファイル機密レベル依存先２５０３、ファイル保護レベル依存先２５０４のいずれかに検索対象ＩＤを含むレコードを検索する。

また、セキュリティレベル補正プログラム１１６は、該当する各レコードについて、ファイル信頼レベル依存先２５０２に含まれるＩＤをファイルＩＤ３０１、ドメインＩＤ４０１、定数ファイルＩＤ２７０１として持つレコードを、ファイルセキュリティレベルテーブル３００、ドメインセキュリティレベルテーブル４００、定数ファイルセキュリティレベルテーブル２７００から検索し、これらのファイル信頼レベル３０３、ドメイン信頼レベル４０３、定数ファイル信頼レベル２７０２の最小値を算出する。

また、セキュリティレベル補正プログラム１１６は、ファイルセキュリティレベルテーブル３００を参照し、ファイルＩＤ３０１が当該ファイルＩＤ２５０１と一致するレコードのファイル信頼レベル３０３の値を、上述の最小値で更新する。セキュリティレベル補正プログラム１１６は、ファイル機密レベル依存先２５０３についても同様の処理を行い、各機密レベルの最大値を算出して該当レコードのファイル機密レベルの値を更新する。また、セキュリティレベル補正プログラム１１６は、ファイル保護レベル依存先２５０４についても同様の処理を行い、登録されている保護レベルを用いて該当レコードのファイル保護レベルの値を更新する。

その後、セキュリティレベル補正プログラム１１６は、各レコードのファイル信頼レベル依存先２５０２、ファイル機密レベル依存先２５０３、ファイル保護レベル依存先２５０４に含まれるすべてのＩＤを新たな検索対象ＩＤとし、各検索対象ＩＤについて上述の処理を再帰的に実行する。

なお、検索対象ＩＤの初期値は、上述のステップ３２０３において検索したレコードのドメインＩＤ４０１またはステップ３２０４において検索したレコードのファイルＩＤ３０１を最初の検索対象ＩＤとする。

続いて、セキュリティレベル補正プログラム１１６は、プロセスセキュリティレベル依存関係テーブル２６００を参照し、上述のステップ３２０３、３２０４および３２０８においてセキュリティレベルを更新したドメインおよびファイルのＩＤを、プロセス信頼レベル依存先２６０２またはプロセス機密レベル依存先２６０３に含むレコードを検索する。

また、セキュリティレベル補正プログラム１１６は、該当する各レコードについて、上述のステップ３２０８と同様に、プロセス信頼レベル依存先２６０２に含まれるＩＤをファイルＩＤ３０１、ドメインＩＤ４０１、定数ファイルＩＤ２７０１として持つレコードを、ファイルセキュリティレベルテーブル３００、ドメインセキュリティレベルテーブル４００、定数ファイルセキュリティレベルテーブル２７００から検索し、これらのファイル信頼レベル３０３、ドメイン信頼レベル４０３、定数ファイル信頼レベル２７０２の最小値を算出する。

また、セキュリティレベル補正プログラム１１６は、プロセスセキュリティレベルテーブル５００を参照し、プロセスＩＤ５０１が当該プロセスＩＤ２６０１と一致するレコードのプロセス信頼レベル５０２の値を、上述の最小値で更新する。

セキュリティレベル補正プログラム１１６は、プロセス機密レベル依存先２６０３についても同様の処理を行い、各機密レベルの最大値を算出して該当レコードのファイル機密レベルの値を更新し、また、プロセスセキュリティレベルテーブル５００を更新する（ステップ３２０９、３２１０）。

図２５は、実施例２におけるセキュリティレベル一括補正画面３３００の例を示す図である。セキュリティレベル一括補正画面３３００は、対象指定画面３３１０およびセキュリティレベル指定画面３３２０を備える。

このうち対象指定画面３３１０は、ファイルパス指定部３３１１、ハッシュ値指定部３３１２、ドメイン指定部３３１３を備える。

また、セキュリティレベル指定画面３３２０は、信頼レベル指定部３３２１、機密レベル指定部３３２２、保護レベル指定部３３２３、確定ボタン３３２４、リセットボタン３３２５を備える。

上述の図２４で示したセキュリティレベル一括補正処理において、システム管理者１５３は、管理端末１５０からネットワーク１６０を経由してサーバ１４０に接続し、管理画面表示プログラム１４４を呼び出し、入出力部１５２から操作を行う。

このシステム管理者１５３によるセキュリティレベル補正の対象がファイルである場合、ファイルパス指定部３３１１、ハッシュ値指定部３３１２のいずれか、または両方に、セキュリティレベル補正対象ファイルのファイルパスおよびハッシュ値が入力されることとなる。

その後、システム管理者１５３は、当該ファイルに新たに設定するファイル信頼レベル３０３、ファイル機密レベル３０４、ファイル保護レベル３０５の値を、それぞれ信頼レベル指定部３３２１、機密レベル指定部３３２２、保護レベル指定部３３２３に入力し、確定ボタン３３２４を押下する。

以上の操作により、上述のセキュリティレベル一括補正処理が開始される。

また、システム管理者１５３によるセキュリティレベル補正の対象がドメインである場合、ドメイン指定部３３１３にセキュリティレベル補正対象ドメイン名が入力されることとなる。その後、システム管理者１５３は、当該ドメインに新たに設定するドメイン信頼レベル４０３、ドメイン機密レベル４０４、ドメイン保護レベル４０５の値を、それぞれ信頼レベル指定部３３２１、機密レベル指定部３３２２、保護レベル指定部３３２３に入力し、確定ボタン３３２４を押下する。

以上の操作により、上述のセキュリティレベル一括補正処理が開始される。

なお、操作を途中で中止する場合、システム管理者１５３は、リセットボタン３３２５を押下する。

以上で説明した実施例２におけるホワイトリスト管理システム１０は、上述の実施例１に加え、セキュリティレベル間の依存関係を保持し、セキュリティレベル補正時に依存関係に基づいて、関連するセキュリティレベルを一括して補正することを可能とするものである。

−−−実施例３−−−
上述の実施例１においては、セキュリティレベルは自動算出されるものとしたが、セキュリティポリシーの変更や、脅威情報の更新などに伴い、システム管理者がセキュリティレベルを補正する必要が発生する場合が想定される。上述の通り、ファイル、ドメイン、プロセスのセキュリティレベルは、関連するファイル、ドメイン、プロセスのセキュリティレベルに基づいて算出されるため、これらの間の整合性を維持するためには、補正対象のセキュリティレベルに基づいて算出された他の全てのセキュリティレベルも補正する必要がある。このとき、補正すべきセキュリティレベルの対象が膨大になることが想定されるため、補正による影響をシステム管理者が把握できず、思わぬ悪影響が発生する可能性がある。

この問題を解決する手段として、セキュリティレベル算出に伴い、各ファイル、ドメイン、プロセスのセキュリティレベル間の依存関係を保存しておき、後にセキュリティレベル補正が必要になった場合に、当該依存関係に基づいて補正による影響をシミュレートし、提示することでシステム管理者の判断を支援し、最適な補正方法を選択できるようにする方法が考えられる。以下では、この方法を実施するための形態の一例を、実施例３として説明する。

＜機能構成例＞
図２６は、実施例３におけるホワイトリスト管理システム１０の機能構成例を示す図である。実施例３におけるホワイトリスト管理システム１０は、端末１００＿１〜Ｎにインストールされた、端末１００＿１〜Ｎ上で動作する複数のプログラムおよび端末１００＿１〜Ｎに保存された複数のデータ、サーバ１４０、管理端末１５０、ネットワーク１６０から構成される。こうした端末１００＿１〜Ｎ、サーバ１４０、管理端末１５０は、ネットワーク１６０を介して通信可能に接続される。

上述の端末１００＿１〜Ｎは、ユーザ１０１が利用するコンピュータ装置である。また、端末１００＿１〜Ｎは、メモリ１１０、記憶装置１２０、通信部１３０、入出力部１３１を備えている。この場合、ユーザ１０１は、入出力部１３１を介して端末１００＿１〜Ｎを操作する。

また、サーバ１４０は、メモリ１４１、通信部１４２を備えるサーバ装置である。また、管理端末１５０は、通信部１５１、入出力部１５２を備える情報処理装置である。システム管理者１５３は、入出力部１５２を介してこの管理端末１５０を操作し、ネットワーク１６０を経由してサーバ１４０を操作する。

続いて、実施例３におけるホワイトリスト管理システム１０が備える機能について説明する。ここでは、端末１００＿１〜Ｎおよびサーバ１４０にて備える適宜なプログラムを実行することで実現される機能について説明するものとする。

端末１００＿１〜Ｎにおいては、アクセス試行取得プログラム１１１、アクセス可否判定プログラム１１２、セキュリティレベル更新プログラム１１３、アクセス可否結果返却プログラム１１４、セキュリティレベル依存関係更新プログラム１１５、セキュリティレベル補正プログラム１１６、および、シミュレート情報取得プログラム１１７が実行される。

また、端末１００＿１〜Ｎにおいては、ファイルセキュリティレベル１２１、ドメインセキュリティレベル１２２、プロセスセキュリティレベル１２３、許可通信メソッド１２４、ファイルセキュリティレベル依存関係１２５、プロセスセキュリティレベル依存関係１２６、および、定数ファイルセキュリティレベル１２７を、データとして保持する。

また、サーバ１４０においては、セキュリティレベル補正指示プログラム１４３、管理画面表示プログラム１４４、および、セキュリティレベル補正シミュレートプログラム１４５が実行される。

このうち、アクセス試行取得プログラム１１１、アクセス可否判定プログラム１１２、セキュリティレベル更新プログラム１１３、アクセス可否結果返却プログラム１１４、セキュリティレベル依存関係更新プログラム１１５、および、セキュリティレベル補正プログラム１１６は、上述の実施例２と同様のプログラムである。

一方、シミュレート情報取得プログラム１１７は、セキュリティレベル補正シミュレートプログラム１４５からの要求に基づき、セキュリティレベル補正シミュレートに必要な情報を、ファイルセキュリティレベルテーブル１２１、ドメインセキュリティレベル１２２、ファイルセキュリティレベル依存関係テーブル１２５、および、定数ファイルセキュリティレベルテーブル１２７から取得して返送するプログラムである。

また、ファイルセキュリティレベル１２１、ドメインセキュリティレベル１２２、プロセスセキュリティレベル１２３、許可通信メソッド１２４、ファイルセキュリティレベル依存関係１２５、プロセスセキュリティレベル依存関係１２６、および、定数ファイルセキュリティレベル１２７は、上述の実施例２と同様の情報である。

また、セキュリティレベル補正シミュレートプログラム１４５は、システム管理者１５３からの要求に基づき、セキュリティレベル補正シミュレートや、そのために必要な情報収集を行うプログラムである。

＜フロー例：セキュリティレベル補正支援処理＞
図２７は、実施例３におけるセキュリティレベル補正支援処理の例を示すフロー図である。以下、この図２７に基づきセキュリティレベル補正支援処理方法について説明する。

この場合のシステム管理者１５３は、管理端末１５０を介して、サーバ１４０にセキュリティレベル補正指示情報を送信するものとする。このセキュリティレベル補正指示情報は、セキュリティレベル補正対象のファイルまたはドメインの情報、セキュリティレベル補正値および指示内容を含んでいる。

サーバ１４０の管理画面表示プログラム１４４は、上述の管理端末１５０からセキュリティレベル補正指示情報を受信する（ステップ４５０１）。

また、管理画面表示プログラム１４４は、上述のセキュリティレベル補正指示情報を参照し、その指示内容が「検索」または「リセット」を示すものであるか否か判定する（ステップ４５０２）。

上述の判定の結果、指示内容が「検索」または「リセット」である場合（ステップ４５０２：Ｙｅｓ）、管理画面表示プログラム１４４は、当該セキュリティレベル補正指示情報をセキュリティレベル補正シミュレートプログラム１４５に伝達し、処理をステップ４５０４に進める。一方、それ以外の場合（ステップ４５０２：Ｎｏ）、管理画面表示プログラム１４４は、処理をステップ４５０３に進める。

ステップ４５０３における管理画面表示プログラム１４４は、上述のセキュリティレベル補正指示情報を参照し、その指示内容が「一時反映」であるか否か判定する（ステップ４５０３）。

この判定の結果、指示内容が「一時反映」である場合（ステップ４５０３：Ｙｅｓ）、管理画面表示プログラム１４４は、上述のセキュリティレベル補正指示情報をセキュリティレベル補正シミュレートプログラム１４５に伝達し、処理をステップ４５０５に進める。 一方、それ以外の場合（ステップ４５０３：Ｎｏ）、管理画面表示プログラム１４４は、上述のセキュリティレベル補正指示情報をセキュリティレベル補正指示プログラム１４３に伝達し、処理をステップ４５０６に進める。

またステップ４５０４におけるセキュリティレベル補正シミュレートプログラム１４５は、上述のセキュリティレベル補正指示情報をシミュレート情報取得プログラム１１７に送信する（ステップ４５０４）。このシミュレート情報取得プログラム１１７は、ファイルセキュリティレベル依存関係テーブル２５００を参照し、上述のセキュリティレベル補正指示情報に含まれる、セキュリティレベル補正対象のファイルまたはドメインと依存関係を持つ全てのファイルおよびドメインのＩＤを取得する。具体的には、以下の処理による。

すなわち、シミュレート情報取得プログラム１１７は、上述のセキュリティレベル補正指示情報の補正対象ファイルまたはドメインのＩＤを起点とし、ファイルＩＤ２５０１をキーとしてファイルセキュリティレベル依存関係テーブル２５００を検索し、該当するレコードのファイル信頼レベル依存先２５０２、ファイル機密レベル依存先２５０３、ファイル保護レベル依存先２５０４に格納されたＩＤを取得する処理を再帰的に繰り返す。

また、シミュレート情報取得プログラム１１７は、上述のセキュリティレベル補正指示情報の補正対象ファイルまたはドメインのＩＤを起点とし、ファイル信頼レベル依存先２５０２、該機密レベル依存先２５０３、ファイル保護レベル依存先２５０４をキーとしてファイルセキュリティレベル依存関係テーブル２５００を検索し、該当するレコードのファイルＩＤ２５０１に格納されたＩＤを取得する処理を再帰的に繰り返す。

次に、シミュレート情報取得プログラム１１７は、ファイルセキュリティレベルテーブル３００、ドメインセキュリティレベルテーブル４００、ファイルセキュリティレベル依存関係テーブル１２５、および、定数ファイルセキュリティレベルテーブル１２７を参照し、取得した当該ファイルおよびドメインのＩＤに合致する全てのレコードを取得して、セキュリティレベル補正シミュレート情報とし、セキュリティレベル補正シミュレートプログラム１４５に送信する。

一方、セキュリティレベル補正シミュレートプログラム１４５は、当該セキュリティレベル補正シミュレート情報を受信して（ステップ４５０４）、これを記憶装置にて保持し、そのコピーを管理画面表示プログラム１４４へ伝達する。なお、既にセキュリティレベル補正シミュレート情報を保持していた場合、セキュリティレベル補正シミュレートプログラム１４５は、新規情報で上書きする。

また、ステップ４５０５におけるセキュリティレベル補正シミュレートプログラム１４５は、上述のセキュリティレベル補正指示情報に基づき、図２４におけるステップ３２０８と同様の処理を実行し、保持しているセキュリティレベル補正シミュレート情報を更新する。また、セキュリティレベル補正シミュレートプログラム１４５は、更新したセキュリティレベル補正シミュレート情報を保持し、そのコピーを管理画面表示プログラム１４４へ伝達する（ステップ４５０５）。

また、ステップ４５０６におけるセキュリティレベル補正指示プログラム１４３は、伝達されたセキュリティレベル補正指示情報をセキュリティレベル補正プログラム１１６に
送信する（ステップ４５０６）。この場合のセキュリティレベル補正プログラム１１６は、セキュリティレベル一括補正処理３２００を実行するものとする。

また、ステップ４５０７における管理画面表示プログラム１４４は、伝達されたセキュリティレベル補正シミュレート情報に基づき、セキュリティレベル補正支援画面４７００を生成して管理端末１５０へ送信する（ステップ４５０７）。セキュリティレベル補正支援画面４７００の詳細については図２８を用いて後述する。

図２８は、実施例３におけるセキュリティレベル補正支援画面４７００の例を示す図である。セキュリティレベル補正支援画面４７００は、対象指定画面４７１０、依存性表示画面４７２０、および、セキュリティレベル指定画面４７３０を備える。

このうち対象指定画面４７１０は、ファイルパス指定部４７１１、ハッシュ値指定部４７１２、ドメイン指定部４７１３、および、検索ボタン４７１４を備える。

また、依存性表示画面は、ファイルおよびドメインのセキュリティレベルの依存関係をグラフ形式で表示する。

また、セキュリティレベル指定画面４７３０は、信頼レベル指定部４７３１、機密レベル指定部４７３２、保護レベル指定部４７３３、確定ボタン４７３４、一時反映ボタン４７３５、および、リセットボタン４７３６を備える。

上述の図２７にて示したセキュリティレベル一括補正処理において、システム管理者１５３は、管理端末１５０からネットワーク１６０を経由してサーバ１４０に接続し、管理画面表示プログラム１４４を呼び出して、入出力部１５２から操作を行うものとする。

このシステム管理者１５３におけるセキュリティレベル補正の対象がファイルである場合、当該システム管理者１５３は、ファイルパス指定部４７１１およびハッシュ値指定部４７１２のいずれか、または両方に、セキュリティレベル補正対象ファイルのファイルパスおよびハッシュ値を入力し、検索ボタン４７１４を押下する。

すると、上述のステップ４５０４およびステップ４５０７が実行され、サーバ１４０が、上述の対象指定画面４７１０で指定されたファイルまたはドメインと関連する情報を、端末１００＿１〜Ｎから収集し、これを依存性表示画面４７２０に表示する。

この依存性表示画面４７２０は、サーバ１４０が収集した情報を、ファイルまたはドメインをノードとし、それらのセキュリティレベルの依存関係をエッジとする有向グラフで表示する。

このうちノードには、上述のファイルまたはドメインを識別可能な、ファイルパス、ハッシュ値およびドメイン名が表示される。また、ノードには、当該ファイルまたはドメインのセキュリティレベルが表示される。なお、当該ファイルまたはドメインが複数の端末に登録されている場合、当該情報が登録されている端末数が表示される。

システム管理者１５３は、上述のノードのうちセキュリティレベル補正対象とするものを画面クリックなどにより指定できる。

また、システム管理者１５３により、上述のセキュリティレベル補正対象に新たに設定するセキュリティレベルの値が、信頼レベル指定部４７３１、機密レベル指定部４７３２、保護レベル指定部４７３３に入力され、一時反映ボタン４７３５が押下されると、上述
のステップ４５０５およびステップ４５０７が実行される。これにより、依存性表示画面４７２０が更新される。

また、システム管理者１５３が確定ボタン４７３４を押下すると、上述のステップ４５０６が実行され、端末１００＿１〜Ｎにおいて、上述のセキュリティレベル一括補正処理３２００が実行されることとなる。他方、システム管理者１５３がリセットボタン４７３６を押下した場合は、検索ボタン４７１４を押下した場合と同様の処理が実行される。

以上で示した実施例３におけるホワイトリスト管理システム１０は、上述の実施例２に加え、セキュリティレベル補正時にセキュリティレベル間の依存関係に基づき、補正の影響をシミュレートすることで、補正に伴う管理者の判断を支援することを可能とするものである。

以上、本発明を実施するための最良の形態などについて具体的に説明したが、本発明はこれに限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能である。

こうした本実施形態によれば、サイバー攻撃に対する安全性とユーザ等の利便性とを両立しつつ、ホワイトリスト更新の運用コストを低減可能となる。

本明細書の記載により、少なくとも次のことが明らかにされる。すなわち、本実施形態のホワイトリスト管理システムにおいて、前記セキュリティレベル更新部は、前記所定アクセスの主体および対象となる各リソースの前記セキュリティレベル情報を比較し、当該リソースの間で、セキュリティレベルがより低いリソースのセキュリティレベル情報で、他のリソースのセキュリティレベル情報を更新するものである、としてもよい。

これによれば、リソース間におけるアクセスの主体および対象の関係に応じて、当該アクセスに伴って想定されうるセキュリティレベル低下の影響を的確に踏まえ、当該リソースに関するセキュリティレベル情報を更新可能となる。

また、本実施形態のホワイトリスト管理システムにおいて、前記セキュリティレベル記憶部は、前記リソースたるファイルに関して前記セキュリティレベル情報を保持し、前記アクセス可否判定部は、所定アクセスに関係する、前記ファイルを含む各リソースの前記セキュリティレベル情報に基づき、前記所定アクセスの可否を所定アルゴリズムにて判定し、前記セキュリティレベル更新部は、前記所定アクセスに関係する前記ファイルまたは当該ファイルをアクセス対象とするリソースの前記セキュリティレベル情報を、所定アルゴリズムにて更新するものである、としてもよい。

これによれば、ファイルを含むリソース間におけるアクセスの主体および対象の関係に応じて、当該アクセスに伴って想定されうるセキュリティレベル低下の影響を的確に踏まえ、当該ファイルまたはこれに関連するリソースに関するセキュリティレベル情報を更新可能となる。

また、本実施形態のホワイトリスト管理システムにおいて、前記セキュリティレベル記憶部は、前記リソースたるドメインに関して前記セキュリティレベル情報を保持し、前記アクセス可否判定部は、所定アクセスに関係する、前記ドメインを含む各リソースの前記セキュリティレベル情報に基づき、前記所定アクセスの可否を所定アルゴリズムにて判定し、前記セキュリティレベル更新部は、前記所定アクセスに関係する前記ドメインをアクセス対象とするリソースの前記セキュリティレベル情報を、所定アルゴリズムにて更新するものである、としてもよい。

これによれば、ドメインを含むリソース間におけるアクセスの主体および対象の関係に応じて、当該アクセスに伴って想定されうるセキュリティレベル低下の影響を的確に踏まえ、当該ドメインをアクセス対象とするリソースに関するセキュリティレベル情報を更新可能となる。

また、本実施形態のホワイトリスト管理システムにおいて、前記セキュリティレベル記憶部は、前記リソースたるプロセスに関して前記セキュリティレベル情報を保持し、前記アクセス可否判定部は、所定アクセスに関係する、前記プロセスを含む各リソースの前記セキュリティレベル情報に基づき、前記所定アクセスの可否を所定アルゴリズムにて判定し、前記セキュリティレベル更新部は、前記所定アクセスに関係する前記プロセスの前記セキュリティレベル情報を、所定アルゴリズムにて更新するものである、としてもよい。

これによれば、プロセスを含むリソース間におけるアクセスの主体および対象の関係に応じて、当該アクセスに伴って想定されうるセキュリティレベル低下の影響を的確に踏まえ、当該プロセスに関連するリソースに関するセキュリティレベル情報を更新可能となる。

また、本実施形態のホワイトリスト管理システムにおいて、各リソースの間における前記セキュリティレベル情報の依存関係を規定した依存関係情報を保持するセキュリティレベル依存関係記憶部と、所定アクセスにおける主体および対象となる各リソースの関係に基づき、前記依存関係情報を更新するセキュリティレベル依存関係更新部と、を更に備えるとしてもよい。

これによれば、リソース間におけるセキュリティレベルの依存関係を、当該リソースに関連したアクセスに伴って適宜に管理することが可能となる。

また、本実施形態のホワイトリスト管理システムにおいて、前記依存関係情報に基づいて前記セキュリティレベル情報を更新するセキュリティレベル補正部を更に備えるとしてもよい。

これによれば、リソース間におけるセキュリティレベルの依存関係に基づき、当該リソースに関連したアクセスに伴うセキュリティレベル情報の更新を適宜に管理することが可能となる。

また、本実施形態のホワイトリスト管理システムにおいて、前記依存関係情報に基づいて前記セキュリティレベル情報の更新処理をシミュレートするセキュリティレベル補正シミュレート部を更に備えるとしてもよい。

これによれば、所定の管理者等に対し、セキュリティレベル情報の更新に伴う影響をシミュレーション結果として提示することが可能となる。ひいては、管理者等における業務効率が従来よりも改善され、ホワイトリスト更新の運用コストが低減可能となる。

また、本実施形態のホワイトリスト管理システムにおいて、前記セキュリティレベル補正シミュレート部は、前記シミュレートの結果を所定装置に表示するものであるとしてもよい。

これによれば、所定の管理者等に対し、セキュリティレベル情報の更新に伴う影響をシミュレーション結果として提示することが可能となる。ひいては、管理者等における業務効率が従来よりも改善され、ホワイトリスト更新の運用コストが低減可能となる。

また、本実施形態のホワイトリスト管理システムにおいて、前記セキュリティレベル記憶部および前記アクセス可否判定部を少なくとも備える複数の端末それぞれに関して、前記セキュリティレベル記憶部の前記セキュリティレベル情報の更新処理を管理するサーバ装置を含むとしてもよい。

これによれば、サーバ側で、各端末におけるセキュリティレベル情報の更新管理を一括で行うことが可能となり、ひいては、各端末の管理者等における業務効率が従来よりも改善され、ホワイトリスト更新の運用コストが低減可能となる。

１０ ホワイトリスト管理システム
２０ セキュリティレベル記憶部
１００ 端末
１０１ ユーザ
１１０ メモリ
１１１ アクセス試行取得プログラム
１１２ アクセス可否判定プログラム
１１３ セキュリティレベル更新プログラム
１１４ アクセス可否結果返却プログラム
１１５ セキュリティレベル依存関係更新プログラム
１１６ セキュリティレベル補正プログラム
１１７ シミュレート情報取得プログラム
１２０ 記憶装置
１２１ ファイルセキュリティレベル
１２２ ドメインセキュリティレベル
１２３ プロセスセキュリティレベル
１２４ 許可通信メソッド
１２５ ファイルセキュリティレベル依存関係
１２６ プロセスセキュリティレベル依存関係
１２７ 定数ファイルセキュリティレベル
１３０ 通信部
１４０ サーバ
１４１ メモリ
１４２ 通信部
１４３ セキュリティレベル補正指示プログラム
１４４ 管理画面表示プログラム
１４５ セキュリティレベル補正シミュレートプログラム
１５０ 管理端末
１５１ 通信部
１５２ 入出力部
１５３ システム管理者
２０１ ＣＰＵ
２０２ メモリ
２０３ 記憶装置
２０４ 通信部
２０５ 入力部
２０６ 出力部
２０７ バス
３００ ファイルセキュリティレベルテーブル
４００ ドメインセキュリティレベルテーブル
５００ プロセスセキュリティレベルテーブル
６００ 許可通信メソッドテーブル
７００ アクセス制御処理
８００ プロセス起動処理
９００ プロセス起動時プロセスセキュリティレベル更新処理
１０００ 通信制御処理
１１００ 通信時プロセスセキュリティレベル更新処理
１２００ ファイル読み取り制御処理
１３００ ファイル読み取り時プロセスセキュリティレベル更新処理
１４００ ファイル書き込み制御処理
１５００ ファイル書き込み時ファイルセキュリティレベル更新処理
２５００ ファイルセキュリティレベル依存関係テーブル
２６００ プロセスセキュリティレベル依存関係テーブル
２７００ 定数ファイルセキュリティレベルテーブル
２８００ プロセス起動時プロセスセキュリティレベルおよび依存関係更新処理
３２００ セキュリティレベル一括補正処理
３３００ セキュリティレベル一括補正画面
４５００ セキュリティレベル補正支援処理
４７００ セキュリティレベル補正支援画面

Claims (10)

1. 所定装置におけるアクセスの主体または対象となりうる各リソースに関して、所定事象のセキュリティレベルを規定したセキュリティレベル情報を保持するセキュリティレベル記憶部と、
   各リソースの間における前記セキュリティレベル情報の依存関係を規定した依存関係情報を保持するセキュリティレベル依存関係記憶部と、
   所定アクセスに関係する各リソースの前記セキュリティレベル情報に基づき、前記所定アクセスの可否を所定アルゴリズムにて判定するアクセス可否判定部と、
   前記所定アクセスに関係する各リソースの間での、前記セキュリティレベル情報の依存関係に基づいて、前記セキュリティレベル情報を更新する、セキュリティレベル更新部と、
   を備えることを特徴とするホワイトリスト管理システム。
2. 前記セキュリティレベル更新部は、
   前記所定アクセスの主体および対象となる前記各リソースの間で、セキュリティレベルがより低いリソースのセキュリティレベル情報で、他のリソースのセキュリティレベル情報を更新するものである、
   ことを特徴とする請求項１に記載のホワイトリスト管理システム。
3. 前記セキュリティレベル記憶部は、
   前記リソースたるファイルに関して前記セキュリティレベル情報を保持し、
   前記アクセス可否判定部は、
   所定アクセスに関係する、前記ファイルを含む各リソースの前記セキュリティレベル情報に基づき、前記所定アクセスの可否を所定アルゴリズムにて判定し、
   前記セキュリティレベル更新部は、
   前記所定アクセスに関係する前記ファイルまたは当該ファイルをアクセス対象とするリソースの前記セキュリティレベル情報を更新するものである、
   ことを特徴とする請求項１に記載のホワイトリスト管理システム。
4. 前記セキュリティレベル記憶部は、
   前記リソースたるドメインに関して前記セキュリティレベル情報を保持し、
   前記アクセス可否判定部は、
   所定アクセスに関係する、前記ドメインを含む各リソースの前記セキュリティレベル情報に基づき、前記所定アクセスの可否を所定アルゴリズムにて判定し、
   前記セキュリティレベル更新部は、
   前記所定アクセスに関係する前記ドメインをアクセス対象とするリソースの前記セキュリティレベル情報を更新するものである、
   ことを特徴とする請求項１に記載のホワイトリスト管理システム。
5. 前記セキュリティレベル記憶部は、
   前記リソースたるプロセスに関して前記セキュリティレベル情報を保持し、
   前記アクセス可否判定部は、
   所定アクセスに関係する、前記プロセスを含む各リソースの前記セキュリティレベル情報に基づき、前記所定アクセスの可否を所定アルゴリズムにて判定し、
   前記セキュリティレベル更新部は、
   前記所定アクセスに関係する前記プロセスの前記セキュリティレベル情報を更新するものである、
   ことを特徴とする請求項１に記載のホワイトリスト管理システム。
6. 所定アクセスにおける主体および対象となる各リソースの関係に基づき、前記依存関係情報を更新するセキュリティレベル依存関係更新部を更に備えることを特徴とする請求項１に記載のホワイトリスト管理システム。
7. 前記依存関係情報に基づいて前記セキュリティレベル情報の更新処理をシミュレートするセキュリティレベル補正シミュレート部を更に備えることを特徴とする請求項６に記載のホワイトリスト管理システム。
8. 前記セキュリティレベル補正シミュレート部は、前記シミュレートの結果を所定装置に表示するものであることを特徴とする請求項７に記載のホワイトリスト管理システム。
9. サーバ装置であって、
   前記セキュリティレベル記憶部および前記アクセス可否判定部を少なくとも備える複数の端末それぞれと、ネットワークを介して接続し、
   前記端末に対して所定の指示を行うことで、当該端末における前記セキュリティレベル情報の更新処理を実行させるサーバ装置、
   を含むことを特徴とする請求項１に記載のホワイトリスト管理システム。
10. 所定装置におけるアクセスの主体または対象となりうる各リソースに関して、所定事象のセキュリティレベルを規定したセキュリティレベル情報を保持するセキュリティレベル記憶部と、各リソースの間における前記セキュリティレベル情報の依存関係を規定した依存関係情報を保持するセキュリティレベル依存関係記憶部を備えた情報処理装置が、
    所定アクセスに関係する各リソースの前記セキュリティレベル情報に基づき、前記所定アクセスの可否を所定アルゴリズムにて判定し、
    前記所定アクセスに関係する各リソースの間での、前記セキュリティレベル情報の依存関係に基づいて、前記セキュリティレベル情報を更新する、
    ことを特徴とするホワイトリスト管理方法。

Images