JP7629333B2

JP7629333B2 - 動的アクセス認可システム及び動的アクセス認可方法

Info

Publication number: JP7629333B2
Application number: JP2021067334A
Authority: JP
Inventors: 信隆川口; 倫宏重本; 克哉西嶋; 一貴安間
Original assignee: Hitachi Ltd
Current assignee: Hitachi Ltd
Priority date: 2021-04-12
Filing date: 2021-04-12
Publication date: 2025-02-13
Anticipated expiration: 2041-04-12
Also published as: JP2022162461A

Description

本発明は、端末からリソースへのアクセスに対して動的認可を行う動的アクセス認可システム及び動的アクセス認可方法に適用して好適なものである。

近年、情報漏洩や不正アクセスなどの脅威をもたらすコンピュータウイルス、スパイウェア、またはボットプログラムといった悪意ある不正プログラム（マルウェア）が増加しており、また、国家や企業を狙った高度標的型攻撃もますます高度化している。また、組織内部犯行者による情報漏洩も大きな社会問題となっている。

このような情勢に対処するため、組織の内外を問わず通信相手の端末及びユーザは悪意を有する可能性があると捉え、サーバやデータベースといった組織が持つ重要なリソースへのアクセスに対して、リスクの観点を踏まえ、様々な観点から慎重な認可を行う「ゼロトラスト」の考え方が注目されている。従来主流だったサイバーセキュリティの考え方は、如何に迅速にサイバー攻撃を検知して対処するかという「事後対処」であったが、ゼロトラストの考え方は、アクセス要求主体（サブジェクト）とリソースとの間における権限、重要度、関係性、または状況などに基づいてアクセス可否を判定することによって、攻撃発生リスクを低減する「事前対処」に属するものである。

ゼロトラストの詳細な定義はなされていないが、米国政府のセキュリティ政策を管轄するＮＩＳＴ（National Institute of Standards and Technology）は、ガイドライン「ＮＩＳＴＳＰ８００－２０７」のなかで、ゼロトラストに資するアクセス認可の指針として、「認可をセッション単位で実施すること」、及び「認可の際は、端末、ユーザ、及びリソースの識別子などの静的情報に加えて、挙動などの動的情報を活用すること」を示している。

ここで、特許文献１に開示された技術では、端末とサーバのセッションが開始する直前に、ユーザの認証または認可情報を含む認可要求パケットが端末より送信され、サーバ、若しくは端末とサーバとの間に設置された認可装置によって、認可処理が行われる。そして、上記認可処理によって認可が下りた場合に限り、セッションが確立される。また、特許文献２には、端末の異常な振る舞いを検知した場合に、その旨を電子メールに記録しアクセス制御機器に送信することで、アクセス遮断を行う技術が開示されている。

米国特許第８４１３２４８号明細書特開２０１８－１９１１２１号公報

ところで、昨今のサイバー攻撃やマルウェアの高速化、及び内部犯行の増加を考えると、端末及び／またはユーザが突然、悪意を持つ攻撃主体に転換する可能性は常にある。このため、リソースを悪意あるアクセスから守るには、いわゆる「端末識別子やユーザ識別子」といった静的情報に加え、「アクセス時のサブジェクトの挙動（プロセスやユーザアクション）」という動的情報を考慮したうえで、リスクを算出し認可を行う必要がある。しかし、現行の認可技術では、このような「セッション単位で、ユーザや端末の挙動に基づく動的認可」を実現することができない、という課題があった。

例えば、特許文献１には、「通信セッション開始の前の事前認可」を実現する技術は開示されているが、通信セッション開始の直前の端末及び／またはユーザの挙動に基づいた「動的認可」の実現方法は開示されていない。また、特許文献２に開示された技術は、電子メールの送受信に掛かる時間を考慮すると、リアルタイム性がある制御は望めない。また、特許文献２に開示された技術は、端末側で異常な振る舞いを検知することが前提とされるため、アクセス先リソースの重要性や属性、リスクなどを取り込んだアクセス制御を実行することができない。すなわち、特許文献１及び特許文献２には、サブジェクトからリソースへのアクセス開始要求のタイミングで、端末及び／またはユーザの直近の挙動情報を収集及び分析して、動的認可を実現する技術は開示されていない。

また、「セッション単位で、ユーザや端末の挙動に基づく動的認可」を、リアルタイム性を維持し、かつ、端末またはネットワークへの負荷を低減しながら実現するためには、特許文献１に開示されたように、１若しくは少数のＩＰパケットに、認可に資する挙動情報を全て格納することが望ましい。しかし、ユーザや端末の挙動情報は多岐に亘り、特に端末内で動作しているプロセスの一覧といった情報を１若しくは少数のパケットにそのまま格納することは困難であった。

本発明は以上の点を考慮してなされたもので、ネットワーク及び端末への負荷を抑制しながら、端末及び／またはユーザの直近の挙動に基づいて、リソースへのアクセス要求の動的認可を実現することが可能な動的アクセス認可システム及び動的アクセス認可方法を提案しようとするものである。

かかる課題を解決するため本発明においては、ユーザ使用する端末からリソース装置が有するリソースへのアクセス要求に対して、前記端末及び／または当該端末のユーザに関する動的な情報に基づいてアクセス要求の認可判定を行う動的アクセス認可システムであって、前記端末に保持される、端末側プログラム及び当該端末側プログラムが参照する端末側データと、前記端末と前記リソース装置との間のネットワークに配置されたアクセス制御装置に保持される、制御装置側プログラム及び当該制御装置側プログラムが参照する制御装置側データと、を備え、前記端末側プログラムは、前記ユーザ及び／または前記端末に関する複数種類の挙動を監視し、定期的に最新の挙動情報を出力する複数の挙動監視部と、前記複数の挙動監視部から出力された複数の前記挙動情報に対して、合計のデータサイズが所定の制限範囲に収まるように調整して、１以上の前記挙動情報を組み合わせた挙動情報一覧を作成する挙動情報調整部と、前記アクセス要求の生成を捕捉し、前記挙動情報調整部によって調整された前記挙動情報一覧を含む認可要求メッセージを作成し、前記認可要求メッセージ及び前記アクセス要求を前記アクセス制御装置に送信する認可要求制御部と、を有し、前記制御装置側プログラムは、前記挙動監視部が出力する前記挙動情報を要素に用いた論理式が記述されたアクセスポリシースクリプトを管理するポリシー管理部と、前記端末から送信された前記認可要求メッセージを受信する認可要求メッセージ受信部と、前記認可要求メッセージを前記アクセスポリシースクリプトに規定された論理式に適用することによって前記認可判定を行うアクセス判定部と、前記アクセス判定部による判定結果に応じて、所定時間内に前記認可要求制御部から受信した前記アクセス要求を前記リソースに通過させるか遮断するかを制御するアクセス制御部と、を有する動的アクセス認可システムが提供される。

また、かかる課題を解決するため本発明においては、ユーザ使用する端末からリソース装置が有するリソースへのアクセス要求に対して、前記端末及び／または当該端末のユーザに関する動的な情報に基づいてアクセス要求の認可判定を行う動的アクセス認可システムによる動的アクセス認可方法であって、前記動的アクセス認可システムは、前記端末に保持される、端末側プログラム及び当該端末側プログラムが参照する端末側データと、前記端末と前記リソース装置との間のネットワークに配置されたアクセス制御装置に保持される、制御装置側プログラム及び当該制御装置側プログラムが参照する制御装置側データと、を有し、前記端末側プログラムが、前記ユーザ及び／または前記端末に関する複数種類の挙動を監視し、定期的に最新の挙動情報を出力する挙動監視ステップと、前記端末側プログラムが、前記挙動監視ステップで出力された複数の前記挙動情報に対して、合計のデータサイズが所定の制限範囲に収まるように調整して、１以上の前記挙動情報を組み合わせた挙動情報一覧を作成する挙動情報調整ステップと、前記端末側プログラムが、前記アクセス要求の生成を捕捉し、前記挙動情報調整ステップで調整された前記挙動情報一覧を含む認可要求メッセージを作成し、前記認可要求メッセージ及び前記アクセス要求を前記アクセス制御装置に送信する認可要求制御ステップと、前記制御装置側プログラムが、前記挙動監視ステップで出力される前記挙動情報を要素に用いた論理式が記述されたアクセスポリシースクリプトを管理するポリシー管理ステップと、前記制御装置側プログラムが、前記認可要求制御ステップで前記端末から送信された前記認可要求メッセージを受信する認可要求メッセージ受信ステップと、前記制御装置側プログラムが、前記認可要求メッセージ受信ステップで受信された前記認可要求メッセージを前記アクセスポリシースクリプトに規定された論理式に適用することによって前記認可判定を行うアクセス判定ステップと、前記制御装置側プログラムが、前記アクセス判定ステップの判定結果に応じて、所定時間内に前記認可要求制御ステップで送信された前記アクセス要求を前記リソースに通過させるか遮断するかを制御するアクセス制御ステップと、を備える動的アクセス認可方法が提供される。

本発明によれば、ネットワーク及び端末への負荷を抑制しながら、端末及び／またはユーザの直近の挙動に基づいて、リソースへのアクセス要求の動的認可を実現することができる。

本発明の一実施形態に係る動的アクセス認可システム１の構成例を示す図である。端末１０、アクセス制御装置２０、リソース３０、及び管理用端末４０のハードウェア構成例を示すブロック図である。端末設定情報の一例を示す図である。挙動監視部管理情報の一例を示す図である。認可要求メッセージ履歴情報の一例を示す図である。アクセス制御設定情報の一例を示す図である。アクセスポリシースクリプトの一例を示す図である。アクセス認可情報の一例を示す図である。認可要求メッセージ５１０のデータフォーマットの一例を示す図である。管理者通知メッセージ５３０の一例を示す図である。端末１０側で実施される処理手順例を示すシーケンス図である。認可要求メッセージ要否判定処理の処理手順例を示すフローチャートである。送信間隔演算処理の処理手順例を示すフローチャートである。アクセス制御装置２０側で実施される処理手順例を示すシーケンス図である。圧縮挙動情報伸長化処理の処理手順例を示すフローチャートである。

以下、図面を参照して、本発明の実施形態を詳述する。なお、本説明においては断りのない限り、端末からリソースへのアクセス要求はＴＣＰ（Transfer Control Protocol）通信により実現されるものとする。また、セッションとは、端末からリソースに対して一定の短期間内に発生する１以上のアクセス要求の集合を示す。例えば、一定の短期間を１秒とした場合、あるアクセス要求Ｒ１と、Ｒ１が発生してから１秒以内に発生した別のアクセス要求Ｒ２とは、同一のセッションに属するものとする。

（１）システム構成
図１は、本発明の一実施形態に係る動的アクセス認可システム１の構成例を示す図である。動的アクセス認可システム１は、ユーザが操作する端末１０からリソース３０に対してアクセスの要求が行われる際に、端末１０及び／またはユーザに関する挙動情報を含む認可要求メッセージ５１０に基づいて、アクセス制御装置２０がアクセス要求５２０をリソース３０に通過させるか遮断するかの認可判定を行うことにより、アクセス要求５２０の動的認可を実現するシステムである。

図１において、動的アクセス認可システム１は、端末側プログラム１００、端末設定ＤＢ３１０、挙動監視部装置ＤＢ３２０、認可要求メッセージ履歴ＤＢ３３０、制御装置側プログラム２００、アクセス制御設定ＤＢ４１０、アクセスポリシースクリプトＤＢ４２０、及びアクセス認可情報ＤＢ４３０を備えて構成される。以下、動的アクセス認可システム１の構成を中心に、図１に示した各要素について詳しく説明する。

図１に示したように、端末１０とアクセス制御装置２０との間は通信ネットワーク４１で接続され、アクセス制御装置２０とリソース３０との間は通信ネットワーク４２で接続される。通信ネットワーク４１，４２はそれぞれ、例えばＬＡＮ（Local Area Network）であるが、ＷＡＮ（Wide Area Network）、携帯電話、またはＰＨＳなどの公衆回線網でもよい。通信ネットワーク４１には、１以上の端末１０及び１以上のアクセス制御装置２０が接続され、通信ネットワーク４２には、１以上のアクセス制御装置２０及び１以上のリソース３０が接続される。なお、通信ネットワーク４１と通信ネットワーク４２は、実体としては同一のネットワークであってもよい。

詳細は後述するが、動的アクセス認可システム１においては、端末１０またはそのユーザがリソース３０に対するアクセス要求を作成し実行しようとする際には、端末１０から通信ネットワーク４１を介してアクセス制御装置２０にアクセス要求５２０が送信される。このとき、端末１０は、アクセス要求の作成を捕捉し、アクセス要求の認可判定が必要とされる場合には、アクセス要求５２０をアクセス制御装置２０に送信する前に、端末１０及び／またはユーザの挙動情報を載せた認可要求メッセージ５１０をアクセス制御装置２０に送信し、認可判定を依頼する。そしてアクセス制御装置２０において、認可要求メッセージ５１０に基づいてアクセス要求の認可判定が行われ、アクセス要求が認可された場合には、アクセス制御装置２０は、端末１０から受信して一時的にバッファリングしていたアクセス要求５２０を、通信ネットワーク４２を介して宛先のリソース３０に転送する。一方、認可判定の結果、アクセス要求の認可が得られなかった場合には、アクセス制御装置２０は、アクセス要求５２０のリソース３０への送信を遮断する。またこのとき、アクセス制御装置２０は、管理用端末４０に対して管理者通知メッセージ５３０を送信することができる。

認可要求メッセージ５１０は、通信ネットワーク４１を介して、端末１０からアクセス制御装置２０に送信される電信文であり、端末１０及び／またはユーザの直近の挙動が暗号化されて格納されている。アクセス制御装置２０は、認可要求メッセージ５１０に基づいてアクセス要求５２０の通信可否を判断する。本発明では、認可要求メッセージ５１０は、通信プロトコルとして、ＴＣＰとは異なり、通信確立のための制御パケットを必要としないＵＤＰ（User Datagram Packet）を使用するものとする。ＵＤＰは一般的にＴＣＰより軽量であり、計算機やネットワーク側の負担が小さくリアルタイム性が高い通信を実現する。一方で、パケットロスが発生した場合のリカバリー方法が無いという欠点がある。また、ゼロトラストに資するアクセス認可の指針を満足させるためには、認可要求メッセージ５１０の送信は、セッション単位で実施されることが好ましい。後述する図９には、認可要求メッセージ５１０のデータフォーマットの具体例が示される。

アクセス要求５２０は、通信ネットワーク４１を介して端末１０からアクセス制御装置２０に送信され、アクセス制御装置２０が通信を許可した場合は、通信ネットワーク４２を介してリソース３０へと送信される電信文である。前述した通り、本発明で想定するアクセスはＴＣＰであり、アクセス要求５２０としては、ＴＣＰの開始に送信されるＴＣＰＳＹＮパケットを想定する。

管理者通知メッセージ５３０は、アクセス制御装置２０における通信制御状況を管理者に通達する電信文であり、管理用端末４０を介してその内容が表示される。後述する図１０には、管理者通知メッセージ５３０の具体例として、管理者通知メッセージ５３０Ａ，５３０Ｂが示される。

（１－１）端末１０
端末１０は、パーソナルコンピュータやサーバといった一般的な計算機であり、例えば端末１０を使用するユーザの業務において、リソース３０へのアクセスを要求するものである。端末１０は、ＯＳ／アプリケーション１１、端末側プログラム１００、端末設定ＤＢ３１０、挙動監視部装置ＤＢ３２０、及び認可要求メッセージ履歴ＤＢ３３０を備える。

ＯＳ／アプリケーション１１は、一般的なオペレーティングシステム（ＯＳ）、及びＯＳ上で動作する一般的なアプリケーション（例えばドキュメント作成ソフト、Ｗｅｂブラウザ、データベースクライアントなど）である。

端末側プログラム１００は、ＯＳ／アプリケーション１１がリソース３０へのアクセスを要求するタイミングにおいて、端末１０及び／またはそのユーザの直近の挙動を収集し、認可要求メッセージ５１０を、端末１０とリソース３０との通信経路上に位置するアクセス制御装置２０に対して送信することで、動的認可を実現する。端末側プログラム１００には、１以上の挙動監視部１１０、挙動情報調整部１２０、認可要求制御部１３０、及び認可要求メッセージ送信部１４０が含まれ、挙動情報調整部１２０にはさらに、挙動情報圧縮部１２１及び挙動情報優先付け部１２２が含まれる。

挙動監視部１１０は、端末１０やそのユーザの挙動を監視し、定期的に、その結果を挙動監視部管理ＤＢ３２０に出力するプログラムである。挙動監視部１１０は、監視対象となる挙動の種類に応じて複数存在する。例えば、プロセス起動及びネットワーク通信の２種類を監視したい場合、挙動監視部１１０の個数は２となる。

挙動情報調整部１２０は、挙動監視部１１０が出力する複数の挙動監視結果を、その価値の損失を出来る限り抑えながら、認可要求メッセージ５１０に格納可能なデータサイズに収まる形に調整する役割を持つ。挙動情報調整部１２０には、挙動情報圧縮部１２１及び挙動情報優先付け部１２２の２つの機能部が含まれる。

挙動情報圧縮部１２１は、挙動監視部１１０が出力した「リスト型」の挙動情報のデータサイズを圧縮する機能を有する。リスト型の挙動情報の例としては、端末１０上で起動している全ての実行プログラムのハッシュ値の一覧、実行中のサービスプログラムの一覧、一定時間内に通信を行ったことがある端末の識別子の一覧、端末１０にインストールされているアプリケーションの一覧などが考えられる。圧縮の方法としては、ＺＩＰなどの可逆型圧縮方式、または後述するＢｌｏｏｍＦｉｌｔｅｒに代表される非可逆圧縮方式がある。ハッシュ値など乱数性が高いデータを圧縮するには、非可逆圧縮方式の方が大きな圧縮効果が認められる。

挙動情報優先付け部１２２は、複数種類の挙動情報が与えられた場合に、個々の情報の価値とサイズとを基に、決められたデータサイズに収まるかたちで価値の総和を最大化する挙動情報の組み合わせを決定する機能を有する。

認可要求制御部１３０は、端末１０からリソース３０へのアクセス要求を捕捉すると、認可要求メッセージ送信部１４０に対して認可要求メッセージ５１０の発行を要求する。また、認可要求制御部１３０は、アクセス制御装置２０における認可要求メッセージ５１０の処理時間を基に、アクセス要求５２０を一定時間バッファリングした後、リソース３０へ送信する。

認可要求メッセージ送信部１４０は、認可要求制御部１３０の指示に基づいて認可要求メッセージ５１０を作成し、アクセス制御装置２０へと送信する。なお、以下の説明では、アクセス要求５２０を送信する認可要求制御部１３０と、認可要求メッセージ５１０を送信する認可要求メッセージ送信部１４０とを、別の機能部として説明するが、本実施形態に係る動的アクセス認可システム１では、例えば、認可要求制御部１３０が認可要求メッセージ送信部１４０による機能を含むように構成されてもよい。

端末設定ＤＢ３１０、挙動監視部管理ＤＢ３２０、及び認可要求メッセージ履歴ＤＢ３３０は、端末１０において端末側プログラム１００が動作する際に参照される各種情報を格納するデータ保持部である。

端末設定ＤＢ３１０は、端末側プログラム１００の種々の設定に関する情報として、端末設定情報を格納する。後述する図３には、端末設定情報の具体例が示される。

挙動監視部管理ＤＢ３２０は、挙動監視部１１０に関するパラメータ、及び端末１０で観測された挙動情報に関連する情報として、挙動監視部管理情報を格納する。後述する図４には、挙動監視部管理情報の具体例が示される。

認可要求メッセージ履歴ＤＢ３３０は、端末１０が過去に発行した認可要求メッセージ５１０の送信日時などに関する情報として、認可要求メッセージ履歴情報を格納する。後述する図５には、認可要求メッセージ履歴情報の具体例が示される。

（１－２）アクセス制御装置２０
アクセス制御装置２０は、認可要求メッセージ５１０に対して認可の可否を判定し、その判定結果を基に、アクセス要求５２０の通過／遮断の処理を実施する計算機であって、例えば、パーソナルコンピュータやサーバといった一般的な計算機で実現することができる。アクセス制御装置２０は、制御装置側プログラム２００、アクセス制御設定ＤＢ４１０、アクセスポリシースクリプトＤＢ４２０、及びアクセス認可情報ＤＢ４３０を備える。なお、図１には不図示であるが、アクセス制御装置２０も、端末１０と同様にＯＳ／アプリケーションを備えると考えてよい。

制御装置側プログラム２００は、端末１０から受信した認可要求メッセージ５１０に対して、端末１０で観測された動的情報（具体的には例えば挙動情報）に基づいてアクセスの認可判定を行い、その判定結果を基に、アクセス要求５２０を通過あるいは遮断する通過／遮断処理を実施する。制御装置側プログラム２００には、ポリシー管理部２１０、認可要求メッセージ受信部２２０、挙動情報伸長部２３０、アクセス判定部２４０、及びアクセス制御部２５０が含まれる。

ポリシー管理部２１０は、アクセス認可を行うためのアクセスポリシースクリプトを管理する。アクセスポリシースクリプトは、ＸＭＬ（eXtensible Markup Language）、ＪＳＯＮ（JavaScript Object Notation）、またはテキスト形式で論理式が記述される文書である。アクセスポリシースクリプトは、例えば管理者によって管理用端末４０で記述されてアクセス制御装置２０に送信され、ポリシー管理部２１０によってアクセスポリシースクリプトＤＢ４２０に格納される。

認可要求メッセージ受信部２２０は、端末１０から送信された認可要求メッセージ５１０を受信する機能を有する。

挙動情報伸長部２３０は、挙動情報圧縮部１２１によって圧縮された挙動情報を伸長する役割を持つ。なお、本実施形態において挙動情報伸長部２３０が実行する伸長処理は、挙動情報がＺＩＰなどの可逆圧縮形式で圧縮されている場合は、いわゆる解凍処理にあたる。一方、挙動情報が非可逆圧縮形式で圧縮されている場合は、圧縮された挙動情報内にある特定データ（本実施形態では、後述する「キーワード」及び「圧縮挙動情報キーワード」に相当）が記録されているかどうかを判定し、記録されている場合は特定データを用いて挙動情報を置き換える処理を、伸長処理とする。

具体的には例えば、圧縮された挙動情報ＸにプロセスＡ，プロセスＢ，プロセスＣなどのプロセスのリストが記録されている場合、挙動情報伸長部２３０は特定のプロセス（例えばプロセスＢ）が当該の挙動情報Ｘに記録されているか否かを判定する。もしプロセスＢが記録されていると判定された場合、挙動情報ＸをプロセスＢで置き換える。これにより、後段のアクセス判定部２４０によるアクセス可否の判定処理（図１４のステップＳ２４２に示す認可判定）において、アクセスポリシースクリプトと挙動情報との対応を基に、アクセスの可否を判定することができる。

アクセス判定部２４０は、挙動情報伸長部２３０により伸長された認可要求メッセージ５１０を、ポリシー管理部２１０が管理し、アクセスポリシースクリプトＤＢ４２０に格納されたアクセスポリシースクリプトに適用することにより、アクセス可否を判定する。

アクセス制御部２５０は、アクセス判定部２４０による認可判定の判定結果に応じて、アクセス要求５２０の通過／遮断処理を実施する。

アクセス制御設定ＤＢ４１０、アクセスポリシースクリプトＤＢ４２０、及びアクセス認可情報ＤＢ４３０は、アクセス制御装置２０において制御装置側プログラム２００が動作する際に参照される各種情報を格納するデータ保持部である。

アクセス制御設定ＤＢ４１０は、アクセス制御装置２０の設定に関する情報として、アクセス制御設定情報を格納する。後述する図６には、アクセス制御設定情報の具体例が示される。

アクセスポリシースクリプトＤＢ４２０は、アクセス認可を行うためのアクセスポリシースクリプトを記録する。前述したように、アクセスポリシースクリプトはポリシー管理部２１０によって管理される。後述する図７には、アクセスポリシースクリプトの具体例が示される。

アクセス認可情報ＤＢ４３０は、アクセス判定部２４０によって実行された認可判定の判定結果を示す情報として、アクセス認可情報を記録する。アクセス認可情報は、アクセス制御部２５０によって利用される。後述する図８には、アクセス認可情報の具体例が示される。

（１－３）リソース３０、管理用端末４０
リソース３０は、端末１０からのアクセス要求の対象となるリソースを保持する計算機であって、Ｗｅｂサーバ、データベースサーバ、計算用サーバ、アカウント管理サーバ、またはメールサーバなど、業務で使用される様々な計算機がその対象となる。本説明では、簡略のため、特段の断りがある場合を除き、アクセス要求５２０でアクセスが要求されるデータとしてのリソースと、当該リソースを保持するリソース装置とを区別することなく、リソース３０として記載する。

管理用端末４０は、管理者が使用する計算機である。先述した通り、管理者は管理用端末４０を通じて、アクセス制御装置２０のポリシー管理部２１０にアクセスし、アクセスポリシースクリプトの作成や編集を行う。また、アクセス制御部２５０によるアクセス要求５２０の制御結果は、管理者通知メッセージ５３０として管理用端末４０に送信され、管理用端末４０のディスプレイ等に表示される。

（２）ハードウェア構成
図２は、端末１０、アクセス制御装置２０、リソース３０、及び管理用端末４０のハードウェア構成例を示すブロック図である。上記の各装置は、例えば、図２に示したハードウェア構成を有する情報処理装置５０によって実現することができる。図２に示した情報処理装置５０は、一般的な情報処理装置であって、ＣＰＵ５１、メモリ５２、外部記憶装置５３、インタフェース（ＩＦ）５４、及び入出力装置５５が、バス５６によって互いに接続されて構成される。

ＣＰＵ５１は、演算処理を行うプロセッサの一例であって、例えばＣＰＵ（Central Processing Unit）である。情報処理装置５０では、ＣＰＵ５１がメモリ５２に記憶されたプログラムを実行することにより、当該装置が有する所定の機能が実現される。具体的には例えば、情報処理装置５０が端末１０である場合、ＣＰＵ５１は、メモリ５２に記憶された端末側プログラム１００を実行することにより、各機能の処理ルーチン（挙動監視部１１０、挙動情報調整部１２０、認可要求制御部１３０、認可要求メッセージ送信部１４０）を具現化する。また例えば、情報処理装置５０がアクセス制御装置２０である場合、ＣＰＵ５１は、メモリ５２に記憶された制御装置側プログラム２００を実行することにより、各機能の処理ルーチン（ポリシー管理部２１０、認可要求メッセージ受信部２２０、挙動情報伸長部２３０、アクセス判定部２４０、アクセス制御部２５０）を具現化する。

メモリ５２は、主記憶装置であって、当該装置における各機能部を実現するために必要な実行プログラム（例えば、端末側プログラム１００）を記憶する。メモリ５２は、上記プログラムの実行に係るデータの短期記憶を行うためにも用いられる。

外部記憶装置５３は、ＨＤＤ（Hard Disk Drive）やＳＳＤ（Solid State Drive）等の非一時的な記憶装置であって、主にデータの長期記憶を行うために用いられる。具体的には例えば、情報処理装置５０が端末１０である場合、端末設定ＤＢ３１０、挙動監視部管理ＤＢ３２０、及び認可要求メッセージ履歴ＤＢ３３０は、当該情報処理装置５０の外部記憶装置５３によって実現することができる。また例えば、情報処理装置５０がアクセス制御装置２０である場合、アクセス制御設定ＤＢ４１０、アクセスポリシースクリプトＤＢ４２０、及びアクセス認可情報ＤＢ４３０は、当該情報処理装置５０の外部記憶装置５３によって実現することができる。

ＩＦ５４は、通信インタフェース及び入出力インタフェース等の各種インタフェースである。例えば、情報処理装置５０が端末１０である場合、通信インタフェースとしてのＩＦ５４は、端末１０を通信ネットワーク４１に接続する。また例えば、情報処理装置５０がアクセス制御装置２０である場合、通信インタフェースとしてのＩＦ５４は、アクセス制御装置２０を通信ネットワーク４１及び通信ネットワーク４２に接続する。

入出力装置５５は、ユーザ等による情報処理装置５０への各種情報の入力を受け付ける入力装置、及び、情報処理装置５０に格納されている情報の外部への出力を行う出力装置である。入力装置としての入出力装置５５は、例えば、キーボード、マウス、またはタッチパネルなどである。出力装置としての入出力装置５５は、例えば、液晶表示装置、有機ＥＬ（Electro Luminescence）ディスプレイ、またはプリンタなどである。

バス５６は、通信線であって、情報処理装置５０を構成する各装置（ＣＰＵ５１、メモリ５２、外部記憶装置５３、ＩＦ５４、入出力装置５５）を接続し、これらの装置間における情報のやり取りを実現する。

なお、情報処理装置５０においてＣＰＵ５１が実行するプログラムや当該プログラムが参照するデータの一部または全ては、メモリ５２または外部記憶装置５３に予め格納されていてもよいし、必要に応じて、ＩＦ５４を介して、ネットワークで接続された他の装置の非一時的記憶装置から、または非一時的な記憶媒体から、情報処理装置５０の外部記憶装置５３に格納されるように構成されてもよい。

（３）データ構成
（３－１）端末設定ＤＢ３１０
図３は、端末設定情報の一例を示す図である。図３の端末設定情報３１００は、端末設定ＤＢ３１０に格納される端末設定情報の一例であり、端末側プログラム１００における種々の設定項目の情報が記録される。図３に示したように、端末設定情報３１００は、ＩＤ３１０１、項目３１０２、及び値３１０３の項目を有する。

ＩＤ３１０１は、データベース内でレコードを一意に識別するための符号である。項目３１０２は、設定項目を指し示す符号であり、例えば文字列で表される。値３１０３は、項目３１０２に対応する値を示すものであり、その値は文字列や数値など任意である。

以下、図３の端末設定情報３１００における具体的な記録内容を説明する。

ＩＤ３１０１＝「１」の項目３１０２に示す「最大許容データサイズ」は、認可要求メッセージ５１０に格納可能な挙動情報の最大データサイズを規定する。図３の場合、当該レコードの値３１０３には「１０００ｂｙｔｅ」が設定されている。

ＩＤ３１０１＝「２」の項目３１０２に示す「挙動情報圧縮方式」は、挙動情報圧縮部１２１が実行する情報圧縮アルゴリズムを規定する。図３の場合、当該レコードの値３１０３には「ＢｌｏｏｍＦｉｌｔｅｒ」が設定されている。ＢｌｏｏｍＦｉｌｔｅｒは、非可逆圧縮アルゴリズムの一種であり、複数のデータをビット配列に登録し、後で任意のデータがビット配列に登録されているかどうかを、一定の誤識別率の下で判定することができる。ＢｌｏｏｍＦｉｌｔｅｒでは、データのビット配列への登録処理において、登録対象データに複数種類のハッシュ関数を適用して得られたハッシュ値に該当するビット配列の要素を「１」に設定する。そして、データがビット配列に登録されているか否かの判定処理において、判定対象データのハッシュ値に対応するビット配列の要素が全て「１」であるか否かを確認する。なお、ＢｌｏｏｍＦｉｌｔｅｒは、一般的な可逆圧縮方式よりも高い圧縮率を実現するが、その仕組み上、判定処理において、ビット配列に実際には入っていない（登録されていない）データが、当該ビット配列に登録されている、と誤識別される場合がある。

ＩＤ３１０１＝「３」の項目３１０２に示す「最大許容誤識別率」は、ＩＤ３１０１＝「２」で述べたＢｌｏｏｍＦｉｌｔｅｒの誤識別率の許容値を規定するパラメータである。図３の場合、当該レコードの値３１０３には「０．０００１」が設定されている。

ＩＤ３１０１＝「４」の項目３１０２に示す「推定平均検証時間」は、アクセス制御装置２０が認可要求メッセージ５１０の検証処理に要する時間の推定値を規定する。この推定値は、認可要求制御部１３０がアクセス要求５２０のパケットをバッファリングする時間を求める際に使用される。図３の場合、当該レコードの値３１０３には「２００ｍｓｅｃ」が設定されている。

ＩＤ３１０１＝「５」の項目３１０２に示す「推定通信許可時間」は、アクセス制御装置２０が、認可要求メッセージ５１０を検証した結果、アクセス要求５２０を許可すると判断した場合に、その判断結果が継続する時間の推定最小値を規定する。図３の場合、当該レコードの値３１０３には「１０ｓｅｃ」が設定されている。

ＩＤ３１０１＝「６」の項目３１０２に示す「挙動情報圧縮部フラグ」は、認可要求メッセージ５１０を作成する際に、挙動情報圧縮部１２１の機能を使用するか否かを規定する。図３の場合、当該レコードの値３１０３には、使用を意味する「Ｏｎ」が設定されている。

ＩＤ３１０１＝「７」の項目３１０２に示す「挙動情報優先付け部フラグ」は、認可要求メッセージ５１０を作成する際に、挙動情報優先付け部１２２の機能を使用するか否かを規定する。図３の場合、当該レコードの値３１０３には、使用を意味する「Ｏｎ」が設定されている。

ＩＤ３１０１＝「８」の項目３１０２に示す「挙動更新間隔」は、挙動監視部１１０が最新の挙動情報を挙動監視部管理ＤＢ３２０（挙動監視部管理情報）に反映する時間間隔を規定する。図３の場合、当該レコードの値３１０３には「１０ｓｅｃ」が設定されている。

ＩＤ３１０１＝「９」の項目３１０２に示す「想定最大パケットロス率」は、通信ネットワーク４１で発生するパケットロス率の想定される最大値を設定する。図３の場合、当該レコードの値３１０３には「２０％」が設定されている。

ＩＤ３１０１＝「１０」の項目３１０２に示す「自端末秘密鍵」は、認可要求メッセージ５１０に付与する電子署名の作成に必要な鍵を規定する。図３の場合、当該レコードの値３１０３には「ｆａ３１ｃｆ３１．．．」が設定されている。

ＩＤ３１０１＝「１１」～「１３」の各レコードは、アクセス制御装置２０の公開鍵に関する情報であり、認可要求メッセージ５１０はこれらの公開鍵で暗号化される。本実施形態に係る動的アクセス認可システム１では、端末１０がアクセスを要求するリソース３０に依存して、認可要求メッセージ５１０の送信先となるアクセス制御装置２０も変わる。図３の場合は、一例として、３台のアクセス制御装置２０（個別には、アクセス制御装置Ｘ，Ｙ，Ｚ）が通信ネットワーク４１に存在すると仮定している。なお、リソース３０とアクセス制御装置２０との対応付けは、データベースで予め定めて管理するとしてもよいし、リソース３０のＩＰアドレスに基づいて、対応するアクセス制御装置２０のＩＰアドレスを一意に特定するとしてもよい。具体的には例えば、リソース３０のＩＰアドレスが「Ａ．Ｂ．Ｃ．Ｄ」である場合に、対応するアクセス制御装置２０のＩＰアドレスを「Ａ．Ｂ．Ｃ．１」とすることなどが考えられる。

ＩＤ３１０１＝「１１」の項目３１０２に示す「アクセス制御装置Ｘ公開鍵」は、アクセス制御装置Ｘの公開鍵を規定する。図３の場合、当該レコードの値３１０３には「ａ３８１ｆ１３．．．」が設定されている。

ＩＤ３１０１＝「１２」の項目３１０２に示す「アクセス制御装置Ｙ公開鍵」は、アクセス制御装置Ｙの公開鍵を規定する。図３の場合、当該レコードの値３１０３には「ｃ３９ｄｄｆｆ１．．．」が設定されている。

ＩＤ３１０１＝「１３」の項目３１０２に示す「アクセス制御装置Ｚ公開鍵」は、アクセス制御装置Ｚの公開鍵を規定する。図３の場合、当該レコードの値３１０３には「ｅ３９０４１３．．．」が設定されている。

（３－２）挙動監視部管理ＤＢ３２０
図４は、挙動監視部管理情報の一例を示す図である。図４の挙動監視部管理情報３２００は、挙動監視部管理ＤＢ３２０に格納される挙動監視部管理情報の一例であり、挙動監視部１１０のパラメータ、及び端末１０で観測し出力された挙動情報の管理に関する情報が記録される。図４に示したように、挙動監視部管理情報３２００は、ＩＤ３２０１、挙動監視部名称３２０２、タイプ３２０３、価値３２０４、出力形式３２０５、圧縮対象３２０６、最新挙動情報３２０７、出力サイズ３２０８、圧縮後サイズ３２０９、及び採用フラグ３２１０の項目を有する。

ＩＤ３２０１は、データベース内でレコードを一意に識別するための符号である。挙動監視部名称３２０２は、個々の挙動監視部１１０の名称を示す。

タイプ３２０３は、監視対象を基に、挙動監視部１１０を分類する識別子である。図４では、一例として、「プロセス」、「通信」、「センサ」、「内部犯行」、及び「通信」の５種類の識別子が示されている。

価値３２０４は、挙動監視部１１０が出力する挙動情報の価値を示す値であり、値が大きいほど価値が高いことを表す。価値３２０４の値は、端末側プログラム１００が端末１０にインストールされる前に、管理者によって予め定められる。但し、動的アクセス認可システム１では、システムの運用中に価値３２０４の値を変更するようにしてもよい。

出力形式３２０５は、挙動監視部１１０が出力する挙動情報の形式である。図４では、一例として、「整数値」、「リスト」、及び「二値」の３種類の形式が示されている。

圧縮対象３２０６は、挙動監視部１１０による挙動監視によって出力される挙動情報が、挙動情報圧縮部１２１による圧縮処理の対象であるか否かを判断するためのフラグである。圧縮対象３２０６の値が「ＹＥＳ」の場合は、圧縮処理の対象であることを表し、「ＮＯ」の場合は圧縮処理の対象ではないことを表す。但し、圧縮対象３２０６＝「ＹＥＳ」の挙動情報であっても、当該挙動情報のデータサイズが、端末設定情報３１００のＩＤ３１０１＝「１」で示される最大許容データサイズと比べて余裕がある場合には、実際には圧縮処理が行われないこともある。

最新挙動情報３２０７は、挙動監視部１１０が出力する最新の挙動情報を記録する。なお、挙動情報圧縮部１２１によって挙動情報に圧縮処理が実施された後は、最新挙動情報３２０７には、圧縮後の挙動情報の値が記録される。

出力サイズ３２０８は、最新挙動情報３２０７のデータサイズを示す。但し、挙動情報圧縮部１２１による圧縮処理が施された挙動情報については、出力サイズ３２０８には、圧縮前の挙動情報のデータサイズが記録される。なお、挙動監視部１１０の仕組みによっては、挙動情報は可変長となるが、その場合、出力サイズ３２０８の値は、その時々で変化してもよい。

圧縮後サイズ３２０９は、圧縮処理が施された後の挙動情報のデータサイズを示す。なお、挙動情報が圧縮処理の対象外である場合、圧縮後サイズ３２０９には、「ｎ／ａ」のように無効を表す値が記録される。

採用フラグ３２１０は、複数の挙動情報の組み合わせを決定する挙動情報優先付け部１２２による処理の対象であるか否かを示すフラグであり、言い換えれば、当該レコードの挙動情報を要求メッセージ５１０に載せるか否かの判断結果を示すフラグである。図４では、採用フラグ３２１０には、「Ｏｎ」または「Ｏｆｆ」の値が記録されている。

以下、図４の挙動監視部管理情報３２００における具体的な記録内容を説明する。

ＩＤ３２０１＝「１」のレコードは、挙動監視部名称３２０２が「不審プロセス起動数」である挙動監視部１１０に関する情報を保持する。この監視挙動部１００は、過去に発生したことがないプロセスが、直近の一定時間以内に発生した回数を、挙動情報として記録する。なお、上記「過去」とは、厳密には、上記「直近の一定時間」よりも前、を意味するものであり、これは、挙動監視部管理情報３２００における他のレコードについて後述する際の「過去」についても同様である。また、上記「直近の一定時間」とは、現在時刻を基点とする一定の時間幅を指す。時間幅の具体的な値としては、例えば「１０秒」、「１分」、「１時間」など、数秒～数時間の範囲が考えられる。時間幅の値は複数の挙動監視部１１０で共通の値を設定しても良いし、各挙動監視部１１０の特性に合わせ個別の値を設定しても良い。また、運用中に設定ファイルなどを通じて値を変更してもよい。挙動情報の記録には、ＯＳ／アプリケーション１１が提供するＡＰＩを利用する。図４の場合、当該レコードにおいて、タイプ３２０３は「プロセス」、価値３２０４は「５」、出力形式３２０５は「整数値」、圧縮対象３２０６は「ＮＯ」、最新挙動情報３２０７は「１」、出力サイズ３２０８は「４ｂｙｔｅ」、圧縮後サイズ３２０９は「ｎ／ａ」、採用フラグ３２１０は「Ｏｎ」が記録されている。

ＩＤ３２０１＝「２」のレコードは、挙動監視部名称３２０２が「不審通信先数」である挙動監視部１１０に関する情報を保持する。この監視挙動部１００は、端末１０が過去に通信した実績は無いが、直近一定時間以内に初めて通信が行われた宛先のユニーク数を、挙動情報として記録する。記録には、ＯＳ／アプリケーション１１が提供するＡＰＩを利用する。図４の場合、当該レコードにおいて、タイプ３２０３は「通信」、価値３２０４は「５」、出力形式３２０５は「整数値」、圧縮対象３２０６は「ＮＯ」、最新挙動情報３２０７は「３」、出力サイズ３２０８は「４ｂｙｔｅ」、圧縮後サイズ３２０９は「ｎ／ａ」、採用フラグ３２１０は「Ｏｎ」が記録されている。

ＩＤ３２０１＝「３」のレコードは、挙動監視部名称３２０２が「プロセスハッシュ値一覧」である挙動監視部１１０に関する情報を保持する。この監視挙動部１００は、端末１０で動作しているプロセスのハッシュ値の一覧を、挙動情報として記録する。記録には、ＯＳ／アプリケーション１１が提供するＡＰＩを利用する。図４の場合、当該レコードにおいて、タイプ３２０３は「プロセス」、価値３２０４は「５」、出力形式３２０５は「リスト」、圧縮対象３２０６は「ＹＥＳ」、最新挙動情報３２０７は「８３ａｆ，３２１ｄ，４１５ｆ，．．．」、出力サイズ３２０８は「２０００ｂｙｔｅ」、圧縮後サイズ３２０９は「１５０ｂｙｔｅ」、採用フラグ３２１０は「Ｏｎ」が記録されている。

ＩＤ３２０１＝「４」のレコードは、挙動監視部名称３２０２が「起動サービス一覧」である挙動監視部１１０に関する情報を保持する。この監視挙動部１００は、端末１０内で起動されているサービスの名称一覧を、挙動情報として記録する。記録には、ＯＳ／アプリケーション１１が提供するＡＰＩを利用する。図４の場合、当該レコードにおいて、タイプ３２０３は「サービス」、価値３２０４は「３」、出力形式３２０５は「リスト」、圧縮対象３２０６は「ＹＥＳ」、最新挙動情報３２０７は「ａ．ｓｅｒｖｉｃｅ，ｂ．ｓｅｒｖｉｃｅ，．．．」、出力サイズ３２０８は「１５００ｂｙｔｅ」、圧縮後サイズ３２０９は「４００ｂｙｔｅ」、採用フラグ３２１０は「Ｏｆｆ」が記録されている。

ＩＤ３２０１＝「５」のレコードは、挙動監視部名称３２０２が「カメラ有効有無」である挙動監視部１１０に関する情報を保持する。この監視挙動部１００は、端末１０の中でカメラ機能が有効化されているか否かを、挙動情報として記録する。具体的には例えば、有効化されている場合は最新挙動情報３２０７に「Ｔｒｕｅ」が記録され、有効化されていない（無効化されている）場合は最新挙動情報３２０７に「Ｆａｌｓｅ」が記録される。記録には、ＯＳ／アプリケーション１１が提供するＡＰＩを利用する。図４の場合、当該レコードにおいて、タイプ３２０３は「センサ」、価値３２０４は「２」、出力形式３２０５は「二値」、圧縮対象３２０６は「ＮＯ」、最新挙動情報３２０７は「Ｆａｌｓｅ」、出力サイズ３２０８は「１ｂｙｔｅ」、圧縮後サイズ３２０９は「ｎ／ａ」、採用フラグ３２１０は「Ｏｎ」が記録されている。

ＩＤ３２０１＝「６」のレコードは、挙動監視部名称３２０２が「マイク有効有無」である挙動監視部１１０に関する情報を保持する。この監視挙動部１００は、端末１０の中でマイク機能が有効化されているか否かを、挙動情報として記録する。具体的には例えば、有効化されている場合は最新挙動情報３２０７に「Ｔｒｕｅ」が記録され、有効化されていない（無効化されている）場合は最新挙動情報３２０７に「Ｆａｌｓｅ」が記録される。記録には、ＯＳ／アプリケーション１１が提供するＡＰＩを利用する。図４の場合、当該レコードにおいて、タイプ３２０３は「センサ」、価値３２０４は「２」、出力形式３２０５は「二値」、圧縮対象３２０６は「ＮＯ」、最新挙動情報３２０７は「Ｔｒｕｅ」、出力サイズ３２０８は「１ｂｙｔｅ」、圧縮後サイズ３２０９は「ｎ／ａ」、採用フラグ３２１０は「Ｏｎ」が記録されている。

ＩＤ３２０１＝「７」のレコードは、挙動監視部名称３２０２が「ユーザアイドル時間」である挙動監視部１１０に関する情報を保持する。この監視挙動部１００は、端末１０に対してユーザがキーボードやマウスなどのインタフェースを通じた操作を最後に行った日時と現在日時との差を、挙動情報として記録する。記録には、ＯＳ／アプリケーション１１が提供するＡＰＩを利用する。図４の場合、当該レコードにおいて、タイプ３２０３は「ユーザ」、価値３２０４は「２」、出力形式３２０５は「二値」、圧縮対象３２０６は「ＮＯ」、最新挙動情報３２０７は「４５０」、出力サイズ３２０８は「４ｂｙｔｅ」、圧縮後サイズ３２０９は「ｎ／ａ」、採用フラグ３２１０は「Ｏｆｆ」が記録されている。

ＩＤ３２０１＝「８」のレコードは、挙動監視部名称３２０２が「印刷実行回数」である挙動監視部１１０に関する情報を保持する。この監視挙動部１００は、一定時間内にユーザが印刷を行った回数を、挙動情報として記録する。記録には、ＯＳ／アプリケーション１１が提供するＡＰＩを利用する。図４の場合、当該レコードにおいて、タイプ３２０３は「内部犯行」、価値３２０４は「３」、出力形式３２０５は「整数値」、圧縮対象３２０６は「ＮＯ」、最新挙動情報３２０７は「３０」、出力サイズ３２０８は「４ｂｙｔｅ」、圧縮後サイズ３２０９は「ｎ／ａ」、採用フラグ３２１０は「Ｏｎ」が記録されている。

ＩＤ３２０１＝「９」のレコードは、挙動監視部名称３２０２が「ＵＳＢメモリ挿入有無」である挙動監視部１１０に関する情報を保持する。この監視挙動部１００は、一定時間以内に、従来使用されたことがないＵＳＢメモリが端末１０に挿入されたか否かを、挙動情報として記録する。具体的には例えば、従来使用されたことがないＵＳＢメモリが端末１０に挿入された場合は最新挙動情報３２０７に「Ｔｒｕｅ」が記録され、上記ＵＳＢメモリが端末１０に挿入されなかった場合は最新挙動情報３２０７に「Ｆａｌｓｅ」が記録される。記録には、ＯＳ／アプリケーション１１が提供するＡＰＩを利用する。図４の場合、当該レコードにおいて、タイプ３２０３は「内部犯行」、価値３２０４は「４」、出力形式３２０５は「二値」、圧縮対象３２０６は「ＮＯ」、最新挙動情報３２０７は「Ｆａｌｓｅ」、出力サイズ３２０８は「１ｂｙｔｅ」、圧縮後サイズ３２０９は「ｎ／ａ」、採用フラグ３２１０は「Ｏｆｆ」が記録されている。

ＩＤ３２０１＝「１０」のレコードは、挙動監視部名称３２０２が「アップロード通信量」である挙動監視部１１０に関する情報を保持する。この監視挙動部１００は、一定時間内に発生した、インターネット上の計算機へのデータ送信量の最大値を、挙動情報として記録する。記録には、ＯＳ／アプリケーション１１が提供するＡＰＩを利用する。図４の場合、当該レコードにおいて、タイプ３２０３は「通信」、価値３２０４は「５」、出力形式３２０５は「」、圧縮対象３２０６は「ＮＯ」、最新挙動情報３２０７は「１３１０」、出力サイズ３２０８は「４ｂｙｔｅ」、圧縮後サイズ３２０９は「ｎ／ａ」、採用フラグ３２１０は「Ｏｎ」が記録されている。

（３－３）認可要求メッセージ履歴ＤＢ３３０
図５は、認可要求メッセージ履歴情報の一例を示す図である。図５の認可要求メッセージ履歴情報３３００は、認可要求メッセージ履歴ＤＢ３３０に格納される認可要求メッセージ履歴情報の一例であり、端末１０が過去に発行した認可要求メッセージ５１０について、送信先や送信日時などの情報が記録される。図５に示したように、認可要求メッセージ履歴情報３３００は、ＩＤ３３０１、宛先アクセス制御装置３３０２、及び認可要求メッセージ送信日時３３０３の項目を有する。

ＩＤ３３０１は、データベース内でレコードを一意に識別するための符号である。宛先アクセス制御装置３３０２は、認可要求メッセージ５１０の宛先とされたアクセス制御装置２０を示す情報である。認可要求メッセージ送信日時３３０３は、宛先アクセス制御装置３３０２で指定されたアクセス制御装置２０に対して認可要求メッセージ５１０を送信した日時である。

以下、図５の認可要求メッセージ履歴情報３３００における具体的な記録内容を説明する。

ＩＤ３３０１＝「１」のレコードは、アクセス制御装置Ｘを宛先として、「２０２１－０３－０８１５：００：００」、「２０２１－０３－０８１５：００：０１」、及び「２０２１－０３－０８１５：００：０２」の日時に、認可要求メッセージ５１０が送信されたことを意味する。

ＩＤ３３０１＝「２」のレコードは、アクセス制御装置Ｙを宛先として、「２０２１－０３－０８１３：００：００」及び「２０２１－０３－０８１４：００：００」の日時に、認可要求メッセージ５１０が送信されたことを意味する。

ＩＤ３３０１＝「３」のレコードは、アクセス制御装置Ｚを宛先として、「２０２１－０３－０８１６：００：００」及び「２０２１－０３－０８１６：００：１０」の日時に、認可要求メッセージ５１０が送信されたことを意味する。

（３－４）アクセス制御設定ＤＢ４１０
図６は、アクセス制御設定情報の一例を示す図である。図６のアクセス制御設定情報４１００は、アクセス制御設定ＤＢ４１０に格納されるアクセス制御設定情報の一例であり、アクセス制御装置２０における種々の設定項目の情報が記録される。図６に示したように、アクセス制御設定情報４１００は、ＩＤ４１０１、項目４１０２、及び値４１０３の項目を有する。

ＩＤ４１０１は、データベース内でレコードを一意に識別するための符号である。項目４１０２は、設定項目を指し示す符号であり、例えば文字列で表される。値４１０３は、項目４１０２に対応する値を示すものであり、その値は文字列や数値など任意である。

以下、図６のアクセス制御設定情報４１００における具体的な記録内容を説明する。

ＩＤ４１０１＝「１」の項目４１０２に示す「制御装置秘密鍵」は、アクセス制御設定情報４１００を保持するアクセス制御装置２０が管理する秘密鍵を規定する。図６の場合、当該レコードの値４１０３には「１ｃｆ３２ｄ３１．．．」が設定されている。

ＩＤ４１０１＝「２」～「４」の各レコードは、アクセス制御装置２０にアクセスする可能性がある端末１０の公開鍵に関する情報である。具体的には、ＩＤ４１０１＝「２」の項目４１０２に示す「端末Ａ公開鍵」は、端末Ａの公開鍵を規定しており、図６の場合、当該レコードの値４１０３は「１ｄｅａｆ１３．．．」である。また、ＩＤ４１０１＝「３」の項目４１０２に示す「端末Ｂ公開鍵」は、端末Ｂの公開鍵を規定しており、図６の場合、当該レコードの値４１０３は「ｆ３９３２ｃｆ１．．．」である。また、ＩＤ４１０１＝「４」の項目４１０２に示す「端末Ｃ公開鍵」は、端末Ｃの公開鍵を規定しており、図６の場合、当該レコードの値４１０３は「ｃ３ｄ０４３６．．．」である。

ＩＤ４１０１＝「５」の項目４１０２に示す「情報伸長対象監視部」は、圧縮処理が行われる可能性がある挙動監視部１１０の挙動監視部名称３２０２を規定する。本説明の構成では、図６に示したように、値４１０３に「プロセスハッシュ値一覧」及び「起動サービス一覧」が規定されている。

ＩＤ４１０１＝「６」の項目４１０２に示す「遮断モード」は、アクセス判定部２４０によるアクセスの認可判定の結果、通信遮断が決定された場合に設定される遮断モードを規定する。当該レコードの値４１０３には、選択可能な遮断モードのフラグが記録される。具体的には例えば、通信遮断が決定された以後のアクセス要求５２０を完全に遮断する遮断モードのフラグを「完全遮断」とし、通信遮断が決定された以後の一定の遮断期間の後に、無条件にアクセス要求５２０を許可する期間を設ける遮断モードのフラグを「一時遮断」とする。「一時遮断」の遮断モードが選択された場合は、正常な通信が誤判断によって遮断されてしまった場合でも、その後の一定の通信許可期間を設けることにより、上記正常な通信の遮断によって業務が完全に停止することを回避することが可能となる。

ＩＤ４１０１＝「７」の項目４１０２に示す「通信遮断間隔」は、「一時遮断」の遮断モードが行われる場合の遮断期間の長さを規定する。図６の場合、当該レコードの値４１０３の値は「３０ｓｅｃ」である。

ＩＤ４１０１＝「８」の項目４１０２に示す「通信通過間隔」は、アクセス判定部２４０によりアクセス要求５２０の通信通過が許可された場合、あるいはアクセス要求５２０の通信が一時遮断されて通信遮断期間が過ぎた場合に、無条件にアクセス要求５２０の通過が許可される期間（通信許可期間）の長さを規定する。この通信許可期間が経過した後は、再び認可要求メッセージ５１０が認可されるまで、アクセス要求５２０は遮断される。図６の場合、当該レコードの値４１０３の値は「４０ｓｅｃ」である。なお、一旦、認可要求メッセージ５１０が認可された通信は、通信通過間隔の規定に拘わらず、通信終了まで遮断されることはないとする。

（３－５）アクセスポリシースクリプトＤＢ４２０
図７は、アクセスポリシースクリプトの一例を示す図である。図７のアクセスポリシースクリプト４２００は、アクセスポリシースクリプトＤＢ４２０に格納されるアクセスポリシースクリプトの一例であり、アクセス制御部２５０が認可要求メッセージ５１０に対する認可判定の処理を行う際に参照される。図７に示したように、アクセスポリシースクリプト４２００は、ＩＤ４２０１、スクリプト４２０２、及び圧縮挙動情報キーワード４２０３の項目を有する。

ＩＤ４２０１は、データベース内でレコードを一意に識別するための符号である。

スクリプト４２０２には、アクセスポリシーのスクリプトが記述される。アクセスポリシースクリプトには、アクセス元である端末１０の属性を示す“ｓｕｂｊｅｃｔ”、アクセス先であるリソース３０の属性を示す“ｒｅｓｏｕｒｃｅ”、及び端末１０で観測された挙動情報である“ｂｅｈａｖｉｏｒ”の３つの観点から論理式が記述される。そして、認可要求メッセージ５１０に含まれる内容が全ての論理式が満たしている場合に限り、“ｊｕｄｇｅｍｅｎｔ”の記載に従って、通過または遮断の判定を行う。“ｓｕｂｊｅｃｔ”の属性としては、端末１０のＩＰアドレスや識別子、端末１０を操作しているユーザ名やアカウントＩＤ、あるいはユーザの職位、所属組織名、与えられたセキュリティクリアランスなどが考えられる。“ｒｅｓｏｕｒｃｅ”の属性としては、リソース３０のＩＰアドレス、提供するサービスのタイプなどが考えられる。

圧縮挙動情報キーワード４２０３は、挙動情報伸長部２３０による圧縮挙動情報伸長化処理（後述する図１５参照）において、非可逆圧縮処理が施された挙動情報内に記録されているか否かの確認対象とされる「キーワード」を示す。圧縮挙動情報キーワード４２０３に記載されるキーワードは、スクリプト４２０２の記述から、アクセス制御設定情報４１００のＩＤ４１０１＝「５」で指定された情報伸長対象監視部の値４１０３に該当する値を抽出したものである。

以下、図７のアクセスポリシースクリプト４２００における具体的な記録内容を説明する。

ＩＤ４２０１＝「１」であるレコードのスクリプト４２０２は、“ｊｕｄｇｅｍｅｎｔ”＝「通過」となるアクセスポリシースクリプトの一例である。ｓｕｂｊｅｃｔが満たす要件として、端末１０を操作しているユーザ名が“Ａｌｉｃｅ”であることが規定されている。次に“ｒｅｓｏｕｒｃｅ”が満たす要件として、リソース３０のＩＰアドレスが“１０．０．０．８／８”に含まれることが規定されている。次に“ｂｅｈａｖｉｏｒ”としては３つの挙動情報に関する論理式が規定されている。複数の論理式が規定されている場合、その中の１つ以上あるいは全てを満たす必要がある。ここでは“ＡＮＤ”により全ての論理式を満たす必要があることを規定している。１つ目の論理式は、挙動監視部管理情報３２００のＩＤ３２０１＝「１」で指定された「不審プロセス起動数」が２０未満であることが規定されている。２つ目の論理式は、挙動監視部管理情報３２００のＩＤ３２０１＝「７」で指定された「ユーザアイドル時間」が１２０秒以内であることが規定されている。３つ目の論理式は、挙動監視部管理情報３２００のＩＤ３２０１＝「４」で指定された「起動サービス一覧」に、“アンチウイルスＸ”及び“セキュリティサービスＹ”が含まれることを規定している。そして、当該レコードにおける圧縮挙動情報キーワード４２０３には、“アンチウイルスＸ”及び“セキュリティサービスＹ”が記載されている。

ＩＤ４２０１＝「２」であるレコードのスクリプト４２０２は、“ｊｕｄｇｅｍｅｎｔ”＝「遮断」となるアクセスポリシースクリプトの一例である。“ｓｕｂｊｅｃｔ”が満たす要件として、端末１０を操作しているユーザのセキュリティクリアランスが“Ｈ”であることが規定されている。次に“ｒｅｓｏｕｒｃｅ”が満たす要件として、リソース３０が提供するサービスのタイプが“データベース”であることが規定されている。次に“ｂｅｈａｖｉｏｒ”では、挙動監視部管理情報３２００のＩＤ３２０１＝「３」で指定された「プロセスハッシュ値一覧」の中に“３ａｂｅ４ｂ２”または“ｆｆａ３ｂｆ２３”が含まれることが規定されている。そして、当該レコードにおける圧縮挙動情報キーワード４２０３には、“３ａｂｅ４ｂ２”及び“ｆｆａ３ｂｆ２３”が記載されている。

（３－６）アクセス認可情報ＤＢ４３０
図８は、アクセス認可情報の一例を示す図である。図８のアクセス認可情報４３００は、アクセス認可情報ＤＢ４３０に格納されるアクセス認可情報の一例であり、アクセス判定部２４０によって実行された認可判定の判定結果を示す情報が記録される。アクセス制御部２５０は、アクセス認可情報に従って、アクセス要求５２０の通過／遮断処理を行う。図８に示したように、アクセス認可情報４３００は、ＩＤ４３０１、端末ＩＰアドレス４３０２、リソースＩＰアドレス４３０３、メッセージタイムスタンプ４３０４、通信遮断期間４３０５、及び通信通過期間４３０６の項目を有する。

ＩＤ４３０１は、データベース内でレコードを一意に識別するための符号である。端末ＩＰアドレス４３０２は、通過若しくは遮断の対象となる端末１０のＩＰアドレスを示す。リソースＩＰアドレス４３０３は、端末１０がアクセス要求するリソース３０のＩＰアドレスを示す。メッセージタイムスタンプ４３０４は、認可要求メッセージ５１０の認可判定が行われた日時を示す。

通信遮断期間４３０５は、認可判定の判定結果が「一時遮断」となった場合に、通信を遮断する期間を示す。認可判定の結果が「完全遮断」または「通過」となった場合は、通信遮断期間４３０５には「Ｎ／Ａ」が記載される。なお、通信遮断期間の開始日時と終了日時との差分は、アクセス制御設定情報４１００においてＩＤ４１０１＝「７」の「通信遮断間隔」レコードで規定される。

通信通過期間４３０６は、端末ＩＰアドレス４３０２からリソースＩＰアドレス４３０３に対してアクセス要求５２０の通過を許可する期間を示す。この期間を過ぎた場合、アクセス要求５２０は須らく遮断される。なお、通信通過期間の開始日時と終了日時との差分は、アクセス制御設定情報４１００においてＩＤ４１０１＝「８」の「通信通過間隔」レコードで規定される。

なお、図８に例示したアクセス認可情報４３００では、リソース３０の宛先ポート番号が項目に含まれていないが、変形例として、アクセス認可情報に宛先ポート番号を含むようにして、宛先のポート番号によって通信の通過／遮断の制御を実行可能にしてもよい。このようにする場合、例えば、８０番ポートへの通信は許可するが、４４３番ポートへの通信は遮断するといった制御も可能である。

以下、図８のアクセス認可情報４３００における具体的な記録内容を説明する。

ＩＤ４３０１＝「１」のレコードは、端末ＩＰアドレス４３０２＝「１０．０．０．１」、リソースＩＰアドレス４３０３＝「２０．０．０．１」、メッセージタイムスタンプ４３０４＝「２０：２３：１０」、通信遮断期間４３０５＝「２０：２３：１０～２０：２３：４０」、通信通過期間４３０６＝「２０：２３：４０～２０：２４：２０」である。

ＩＤ４３０１＝「２」のレコードは、端末ＩＰアドレス４３０２＝「１０．０．０．１」、リソースＩＰアドレス４３０３＝「２０．０．０．２」、メッセージタイムスタンプ４３０４＝「２１：００：００」、通信遮断期間４３０５＝「Ｎ／Ａ」、通信通過期間４３０６＝「２１：００：００～２１：００：４０」である。

ＩＤ４３０１＝「３」のレコードは、端末ＩＰアドレス４３０２＝「１０．０．０．２」、リソースＩＰアドレス４３０３＝「２０．０．０．２」、メッセージタイムスタンプ４３０４＝「２２：１２：０３」、通信遮断期間４３０５＝「２２：１２：０３～２２：１２：３３」、通信通過期間４３０６＝「２２：１２：３３～２２：１３：１３」である。

（３－７）各種メッセージ
図９は、認可要求メッセージ５１０のデータフォーマットの一例を示す図である。図９に示すデータフォーマット５１００は、認可要求メッセージ５１０のデータフォーマットの一例であり、データフォーマット５１００は、ＩＤ５１０１及び項目５１０２を有して構成される。

ＩＤ５１０１は、認可要求メッセージ５１０内の各項目５１０２を一意に識別するための符号である。項目５１０２は、各項目を指し示す符号であり、例えば文字列で表される。

以下、図９のデータフォーマット５１００における各項目の詳細な内容を説明する。

ＩＤ５１０１＝「１」の項目５１０２に示す「タイムスタンプ」は、認可要求メッセージ５１０が作成された日時を示す。この情報は、攻撃者が、盗聴した認可要求メッセージ５１０を何度もアクセス制御装置２０に送信して不正な認可を行おうとするリプレイアタックを防ぐために用いられる。

ＩＤ５１０１＝「２」の項目５１０２に示す「端末識別子・属性」は、端末１０を識別するための端末識別子、及び端末１０の属性情報を示す。端末識別子には、例えばＩＰアドレスや計算機名称などを用いることができ、属性情報には、例えば端末１０の種類や用途などに関する情報を用いることができる。

ＩＤ５１０１＝「３」の項目５１０２に示す「ユーザ識別子・属性」は、端末１０を操作するユーザを識別するためのユーザ識別子、及びユーザの属性情報を示す。ユーザ識別子には、例えばユーザ名や従業員番号などを用いることができ、属性情報には、例えばユーザのセキュリティクリアランスや所属などを用いることができる。

ＩＤ５１０１＝「４」の項目５１０２に示す「アクセス先リソース識別子・属性」は、認可要求メッセージ５１０に対応するアクセス要求５２０がアクセスを要求するリソース３０（アクセス先リソース）を識別するためのアクセス先リソース識別子、及び当該アクセス先リソースの属性情報を示す。アクセス先リソース識別子には、例えば、アクセス先リソースのＩＰアドレスや計算機名称などを用いることができる。また、当該リソース３０のサービスが提供しているポート番号をアクセス先リソース識別子に含めてもよい。属性情報には、例えば、当該リソース３０の種類や用途などに関する情報を用いることができる。

ＩＤ５１０１＝「５」の項目５１０２に示す「挙動情報一覧」には、認可要求メッセージ５１０に含まれる挙動情報の一覧が記載される。言い換えれば、ＩＤ５１０１＝「５」の項目５１０２に示す「挙動情報一覧」には、挙動監視部管理情報３２００においてあるタイミングで採用フラグ３２１０が「Ｏｎ」となる挙動情報が記載される。なお、「挙動情報一覧」に記載される挙動情報は、挙動監視部１１０の識別子ごとに記載されており、後から特定の挙動監視部１１０に関わる挙動情報のみを抜き出すことができるものとする。

ＩＤ５１０１＝「６」の項目５１０２に示す「共通鍵」には、ＩＤ５１０１＝「１」～「５」の各項目を暗号化するための共通鍵暗号が記載される。また、共通鍵自体は、端末設定情報３１００のＩＤ３１０１＝「１１」～「１３」に記録された、アクセス制御装置２０の公開鍵で暗号化される。

ＩＤ５１０１＝「７」の項目５１０２に示す「端末側の電子署名」には、端末設定情報３１００のＩＤ３１０１＝「１０」に記録された自端末秘密鍵を用いて計算された電子署名が記載される。

なお、認可要求メッセージ５１０の送信においては、ＩＤ５１０１＝「１」～「６」の項目は、全て暗号化された状態で送信されることが好ましい。

図１０は、管理者通知メッセージ５３０の一例を示す図である。図１０には、管理者通知メッセージ５３０の具体例として、管理者通知メッセージ５３０Ａ及び管理者通知メッセージ５３０Ｂが示されている。

管理者通知メッセージ５３０Ａ，５３０では、端末１０からリソース３０へのアクセス要求が「完全遮断」されるに至った判断理由が、端末１０若しくはユーザの挙動の観点から述べられている。より具体的には、管理者通知メッセージ５３０Ａでは、挙動監視部管理情報３２００のＩＤ３２０１＝「７」で指定される「ユーザアイドル時間」の挙動情報が規定の値を上回ったことが理由として述べられている。一方、管理者通知メッセージ５３０Ａでは、挙動監視部管理情報３２００のＩＤ３２０１＝「４」で指定される「起動サービス一覧」の挙動情報が条件を満たさなかったことが理由として述べられている。

（４）処理
以下では、ユーザによる操作などに応じて端末１０からリソース３０へのアクセス要求が行われる際に、動的アクセス認可システム１が実行する処理について、詳しく説明する。

（４－１）端末１０による処理
図１１は、端末１０側で実施される処理手順例を示すシーケンス図である。なお、図１１では、挙動情報圧縮部１２１及び挙動情報優先付け部１２２による処理は、挙動情報調整部１２０による処理として記載されている。

図１１に示した挙動監視部１１０は、挙動監視部管理ＤＢ３２０に保持される挙動監視部管理情報３２００の各レコードに記載された挙動監視部に相当する。図１１に示すように、これらの挙動監視部１１０はそれぞれ、端末１０やユーザの挙動を監視する（ステップＳ１０１）。

そして、挙動監視部１１０は、ステップＳ１０１の監視結果に基づいて、挙動監視部管理情報３２００の最新挙動情報３２０７を更新するとともに、定期的に、挙動情報調整部１２０に対して挙動情報の更新通知を行う（ステップＳ１０２）。挙動監視部１１０は、ステップＳ１０２で更新通知を行った後は、ステップＳ１０１に戻り、挙動監視を繰り返す。

なお、ステップＳ１０２における挙動監視部管理情報３２００の更新間隔は、端末設定ＤＢ３１０に保持される端末設定情報３１００におけるＩＤ３１０１＝「８」のレコードに記載された挙動更新間隔に従う。これらの構成により、端末側プログラム１００に掛かる演算負荷と、挙動情報のリアルタイム性とのバランスを調整することができる。

挙動情報調整部１２０は、ステップＳ１０２で挙動監視部１１０から送信された挙動情報の更新通知を受信する（ステップＳ１１１）。次いで、挙動情報調整部１２０は、挙動監視部管理情報３２００の出力サイズ３２０８に記載されている各挙動情報のデータサイズを合計し、その合計値が最大許容データサイズ（端末設定情報３１００のＩＤ＝「１」のレコードを参照）を超えるか否かを確認する（ステップＳ１１２）。ステップＳ１１２において、挙動情報の合計値が最大許容データサイズを超える場合は（ステップＳ１１２のＹＥＳ）、ステップＳ１１３に進み、挙動情報の合計値が最大許容データサイズ以下である場合は（ステップＳ１１２のＮＯ）、ステップＳ１１５に進む。

ステップＳ１１３では、挙動情報調整部１２０の一部である挙動情報圧縮部１２１が、以下に説明する所定の条件を満足する挙動情報に対して圧縮処理を行う。詳しくは、挙動情報圧縮部１２１は、端末設定情報３１００のＩＤ３１０１＝「６」で指定された「挙動情報圧縮部フラグ」を確認し、当該フラグが「Ｏｎ」である場合に、圧縮処理の対象となる挙動情報（挙動監視部管理情報３２００において圧縮対象３２０６＝「ＹＥＳ」となっている挙動情報）の最新挙動情報３２０７に対して、端末設定情報３１００のＩＤ３１０１＝「２」で指定された圧縮方式に従って、圧縮処理を行う。一方、「挙動情報圧縮部フラグ」が「Ｏｆｆ」である場合には、挙動情報圧縮部１２１は、ステップＳ１１３の処理を終了してステップＳ１１４に進む。

また、ステップＳ１１３において挙動情報圧縮部１２１は、圧縮処理の結果を最新挙動情報３２０７及び圧縮後サイズ３２０９に反映する。そして、圧縮処理後も挙動情報のデータサイズの合計値が最大許容データサイズを超える場合には、ステップＳ１１４に進む。

なお、ステップＳ１１３における圧縮処理の仕組みは、端末設定情報３１００のＩＤ３１０１＝「２」で指定される「挙動情報圧縮方式」に依存する。ここで、挙動情報圧縮方式としてＢｌｏｏｍＦｉｌｅｒを使う場合は、各挙動情報のハッシュ値に対応する位置にあるビット配列の要素を「１」に設定する。例えば、圧縮対象の挙動情報に対応する挙動監視部１１０が、挙動監視部管理情報３２００のＩＤ３２０１＝「４」に示された「起動サービスの一覧」である場合は、「ａ．ｓｅｒｖｉｃｅ」及び「ｂ．ｓｅｒｖｉｃｅ」のハッシュ値を基に、ビット配列を操作する。

ステップＳ１１４では、挙動情報調整部１２０の一部である挙動情報優先付け部１２２が、以下に詳述する手順によって、認可要求メッセージ５１０に載せる挙動情報の組み合わせを算出する優先付け処理を行う。

優先付け処理ではまず、挙動情報優先付け部１２２は、端末設定情報３１００のＩＤ３１０１＝「７」で指定された「挙動情報優先付け部フラグ」を確認する。「挙動情報優先付け部フラグ」が「Ｏｆｆ」である場合には、実質的な優先付け処理が不要であることを意味するため、挙動情報優先付け部１２２は、全ての採用フラグ３２１０を「Ｏｎ」に設定し、ステップＳ１１５に進む。

「挙動情報優先付け部フラグ」が「Ｏｎ」である場合には、挙動情報優先付け部１２２は、送信対象となる挙動情報の合計値が最大許容データサイズ以下になる制約の中で、送信対象とする挙動情報の価値３２０４の合計値が最大化する挙動情報の組み合わせを導出する。上記組み合わせの導出後は、ステップＳ１１５に進む。

上記の挙動情報の組み合わせ導出には、遺伝的アルゴリズムや線形計画法などの数理処理を用いることができる。例えば、遺伝的アルゴリズムを使用した場合、送信対象とする挙動情報の組み合わせ（集合）の候補をランダムに一定数、生成する。そして、その中で合計サイズが最大許容データサイズ以下で、価値３２０４の合計値が比較的高い集合に対して、ランダムな操作や他の集合との掛け合わせなどの操作を繰り返し行い、より価値が高い集合を逐次的に求めていく。そして、繰り返し回数が規定回数を超えた時点で、最も価値が高い集合に含まれる最新挙動情報３２０７を送信対象として、挙動情報の組み合わせを導出する。

また、様々な観点で動的認可を行うという点では、出来る限り異なるタイプ３２０３の挙動情報を含む集合を組み合わせることが望ましい。そこで、集合に含まれるタイプの種類を、最適な集合を導出する際のパラメータとして用いてもよい。例えば、遺伝的アルゴリズムの例では、価値３２０４の合計値に、集合に含まれるタイプ３２０３の種類を掛け合わせたものを、集合の価値として使用してもよい。具体的には例えば、挙動監視部管理情報３２００のＩＤ３２０１＝「２」，「１０」の挙動情報を組み合わせた場合、タイプ３２０３の種類は同一であることから、この組み合わせによる価値は（５＋５）×１＝１０となり、出力サイズ３２０８の合計値は８ｂｙｔｅとなる。一方、ＩＤ３２０１＝「１」，「２」の挙動情報を組み合わせた場合には、タイプ３２０３の種類が異なることから、この組み合わせによる価値は（５＋５）×２＝２０となり、出力サイズ３２０８の合計値は８ｂｙｔｅとなる。したがって、この場合は、出力サイズの合計値が同じでも、ＩＤ３２０１＝「１」，「２」の挙動情報を組み合わせた方が、価値が高く望ましいといえる。

ステップＳ１１５では、挙動情報調整部１２０が、ステップＳ１１２～Ｓ１１４の処理結果に基づいて、認可要求メッセージ５１０に採用する挙動情報を確定する。詳しくは、ステップＳ１１２の判定結果が「ＮＯ」である場合（言い換えると、ステップＳ１１４の優先付け処理が実施されなかった場合）、挙動情報調整部１２０は、挙動監視部管理情報３２００における全てのレコードの採用フラグ３２１０を「Ｏｎ」に設定し、全ての挙動情報を認可要求メッセージ５１０による送信対象とする。一方、ステップＳ１１２の判定結果が「ＹＥＳ」である場合（言い換えると、ステップＳ１１４の優先付け処理が実施された場合）、挙動情報調整部１２０は、挙動監視部管理情報３２００において、ステップＳ１１４で選択された集合に含まれる挙動情報に対応する採用フラグ３２１０を「Ｏｎ」に設定し、その他の挙動情報に対応する採用フラグ３２１０を「Ｏｆｆ」に設定する。

以上ステップＳ１１１～Ｓ１１５の処理が行われることにより、最終的に挙動監視部管理情報３２００において採用フラグ３２１０が「Ｏｎ」に設定されたレコードの挙動情報が、認可要求メッセージ５１０に含めて送信される挙動情報として決定される。そして、ステップＳ１１５の処理の完了後は、ステップＳ１１１に戻り、挙動情報調整部１２０は、挙動情報の更新通知を待機する。

認可要求制御部１３０は、端末１０やユーザによるアクセス要求５２０の作成を監視し、アクセス要求５２０が作成されたときにはこれを捕捉する（ステップＳ１２１）。

認可要求制御部１３０は、ステップＳ１２１でアクセス要求５２０の作成を捕捉すると、当該アクセス要求５２０に対して認可要求メッセージ５１０の作成が必要であるか否かを判定する（ステップＳ１２２）。

ここで、認可要求メッセージ５１０の作成要否を判定する最も簡素な方法は、捕捉したすべてのアクセス要求５２０に対して、それぞれ認可要求メッセージ５１０を作成する方法である。一方、短時間のうちに多数のアクセス要求５２０が作成される場合には、必ずしもすべてのアクセス要求５２０に対して認可要求メッセージ５１０を作成する必要はない。また、通信ネットワーク４１上においてはパケットロスが発生する可能性が常に存在するため、過去に端末１０から送信したすべての認可要求メッセージがアクセス制御装置２０によって受理されるとは限らない、という問題もある。そこで、本実施形態の認可要求制御部１３０は、ステップＳ１２２において、図１２に詳述する認可要求メッセージ要否判定処理を実行することによって、認可要求メッセージ５１０の作成要否を判定する。

図１２は、認可要求メッセージ要否判定処理の処理手順例を示すフローチャートである。上述したように、認可要求メッセージ要否判定処理は、認可要求制御部１３０によって実行される。

図１２によればまず、認可要求制御部１３０は、現在日時を基点に、端末設定情報３１００においてＩＤ３１０１＝「５」で指定される「推定通信許可時間」以内の過去に、アクセス要求５２０の送信先のリソース３０に対応するアクセス制御装置２０に向けて認可要求メッセージ５１０を送信した送信回数をカウントし、送信の有無を判定する（ステップＳ１４１）。上記送信回数は、認可要求メッセージ履歴ＤＢ３３０に保持されている認可要求メッセージ履歴情報３３００を参照することによって計数できる。送信回数が「０」以外である場合は（ステップＳ１４１のＹＥＳ）、ステップＳ１４２に進む。一方、送信回数が「０」である場合は（ステップＳ１４１のＮＯ）、ステップＳ１４３に進む。

ステップＳ１４２では、認可要求制御部１３０は、ステップＳ１４１でカウントした送信回数（認可要求メッセージ送信回数）と、端末設定情報３１００においてＩＤ３１０１＝「９」で指定される「想定最大パケットロス率」と、を引数とする所定の関数によって、「送信確率」を算出する。この算出値は、「送信確率」を示す内部パラメータにセットされる。送信確率を算出する関数の一例としては、「想定最大パケットロス率」に対して、認可要求メッセージ送信回数をべき乗する関数が考えられる。ステップＳ１４２の処理後はステップＳ１４４に進む。

一方、ステップＳ１４３に進んだ場合、認可要求制御部１３０は、「送信確率」の内部パラメータに「１．０」を設定し、ステップＳ１４４に進む。

ステップＳ１４４では、認可要求制御部１３０は、ステップＳ１４２またはステップＳ１４３で設定された「送信確率」に比例する形で、認可要求メッセージ５１０の送信要否を判定する。例えば、「送信確率」＝「１．０」の場合は、必ず認可要求メッセージ５１０を送信する必要があると判定されるため、後述するステップＳ１３２で認可要求メッセージ５１０が必ず送信されることになる。

以上、ステップＳ１４１～Ｓ１４４の処理が実行されることにより、認可要求制御部１３０は、捕捉したアクセス要求５２０に対して認可要求メッセージ５１０の作成が必要であるか否かを判定することができる。

図１１の説明に戻る。ステップＳ１２２の処理が終了した後、認可要求制御部１３０は、ステップＳ１２２において認可要求メッセージ５１０の作成が必要と判定されたか否か（言い換えれば、認可要求メッセージ５１０の送信が決定されたか否か）を確認する（ステップＳ１２３）。認可要求メッセージ５１０の作成が必要と判定された場合は（ステップＳ１２３のＹＥＳ）、ステップＳ１２４に進み、認可要求メッセージ５１０の作成が不要と判定された場合は（ステップＳ１２３のＮＯ）、ステップＳ１２１に戻る。

ステップＳ１２４では、認可要求制御部１３０は、認可要求メッセージ５１０の作成要求を認可要求メッセージ送信部１４０に送信する。認可要求メッセージ送信部１４０側の処理は後述する。

ステップＳ１２４の処理後、認可要求制御部１３０は、最後に認可要求メッセージ５１０を送信してから、ステップＳ１２１で捕捉したアクセス要求５２０を送信するまでに待機する時間間隔（送信間隔）を計算する（ステップＳ１２５）。

ここで、上記の送信間隔が短すぎると、アクセス制御装置２０における認可要求メッセージ５１０に対する認可判定が完了する前に、アクセス要求５２０が端末１０から送信されてアクセス制御装置２０に到着してしまい、アクセス制御装置２０において正常に通信を確立できなくなる。一方、上記送信間隔が長すぎると、通信効率が悪化してしまう。そこで、本実施形態の認可要求制御部１３０は、ステップＳ１２５において、図１３に詳述する送信間隔演算処理を実行することによって、アクセス要求５２０を送信するまでの待機時間に相当する「送信間隔」を算出する。

図１３は、送信間隔演算処理の処理手順例を示すフローチャートである。上述したように、送信間隔演算処理は、認可要求制御部１３０によって実行される。

図１３によればまず、認可要求制御部１３０は、端末設定情報３１００においてＩＤ３１０１＝「５」で指定される「推定通信許可時間」以内の過去に、認可要求メッセージ５１０を送信したか否かを判定する（ステップＳ１５１）。過去の認可要求メッセージ５１０の送信履歴は、認可要求メッセージ履歴ＤＢ３３０に保持されている認可要求メッセージ履歴情報３３０を参照することによって確認できる。推定通信許可時間以内の過去に認可要求メッセージ５１０を送信した履歴が存在する場合は（ステップＳ１５１のＹＥＳ）、ステップＳ１５２に進む。一方、推定通信許可時間以内の過去に認可要求メッセージ５１０を送信した履歴が存在しない場合は（ステップＳ１５１のＮＯ）、ステップＳ１５３に進む。

ステップＳ１５２では、認可要求制御部１３０は、端末設定情報３１００においてＩＤ３１０１＝「４」で指定される「推定平均検証時間」と、最後に認可要求メッセージ５１０を送信した日時から現在日時までの経過時間と、を引数とする所定の関数によって、「送信間隔」を算出する。この算出値は、「送信間隔」を示す内部パラメータにセットされる。送信間隔を算出する関数の一例としては、待ち行列理論では処理時間の分布は指数分布で示されることが多いことを利用して、「送信間隔＝経過時間×ＥＸＰ（－１×経過時間／推定平均検証時間）」の算出式から送信間隔を算出するようにしてもよい。ステップＳ１５２の処理が完了すると、認可要求制御部１３０は送信間隔演算処理を終了する。

一方、ステップＳ１５３に進んだ場合、認可要求制御部１３０は、「送信間隔」の内部パラメータに「推定平均検証時間」を設定し、送信間隔演算処理を終了する。

以上、ステップＳ１５１～Ｓ１５３の処理が実行されることにより、認可要求制御部１３０は、捕捉したアクセス要求５２０を送信するまでに待機する時間間隔（送信間隔）を算出することができる。

図１１の説明に戻る。ステップＳ１２５の処理が終了した後、認可要求制御部１３０は、ステップＳ１２５で計算された送信間隔が経過するまで、処理を待機する（ステップＳ１２６）。

そして、送信間隔が経過した後は、認可要求制御部１３０は、ステップＳ１２１で捕捉して待機させていたアクセス要求５２０をアクセス制御装置２０に送信し、その後はステップＳ１２１に戻る。

次に、認可要求メッセージ送信部１４０の処理を説明する。認可要求メッセージ送信部１４０は、まず、ステップＳ１２４で認可要求制御部１３０から送信された認可要求メッセージ５１０の作成要求を受信する（ステップＳ１３１）。

次いで、認可要求メッセージ送信部１４０は、挙動監視部管理情報３２００において採用フラグ３２１０が「Ｏｎ」に設定されている挙動情報を、図９に示したデータフォーマット５１００に載せて、認可要求メッセージ５１０を作成し、アクセス制御装置２０に送信する（ステップＳ１３２）。なお、ステップＳ１３２における認可要求メッセージ５１０の作成において、挙動情報は、データフォーマット５１００のＩＤ５１０１＝「５」で指定される「挙動情報一覧」のレコードに記載される。このとき、より具体的には、採用フラグ３２１０が「Ｏｎ」に設定されたそれぞれの挙動情報は、挙動監視部管理情報３２００における該当レコードのＩＤ３２１０及び最新挙動情報３２０７のペアで表され、該当する全ての挙動情報をまとめた情報が、「挙動情報一覧」として、認可要求メッセージ５１０に組み込まれる。

そして、認可要求メッセージ５１０の送信後、認可要求メッセージ送信部１４０は、認可要求メッセージ履歴ＤＢ３３０に保持される認可要求メッセージ履歴情報３３００を更新し、具体的には、該当するレコードにおいて、上記認可要求メッセージ５１０の送信日時を認可要求メッセージ送信日時３３０３に追記する。以上の処理が終了した後、認可要求メッセージ送信部１４０は、ステップＳ１３１の処理に戻る。

（４－２）アクセス制御装置２０による処理
図１４は、アクセス制御装置２０側で実施される処理手順例を示すシーケンス図である。図１４に示したシーケンスは、アクセス要求の認可処理を行うための準備を行う設定フェイズと、実際に認可処理を行う運用フェイズとに分かれており、少なくとも運用フェイズが開始される前の時点で設定フェイズが完了される。

まず、設定フェイズに含まれる処理として、ポリシー管理部２１０によって実行されるステップＳ２０１～Ｓ２０２の処理、及び挙動情報伸長部２３０によって実行されるステップＳ２１１～Ｓ２１２の処理について説明する。

設定フェイズにおいて、ポリシー管理部２１０は、アクセスポリシースクリプト４２００を作成するためのユーザインタフェースを管理者に対して提供する（ステップＳ２０１）。上記ユーザインタフェースでは、管理者は、スクリプト４２０２に記載されるスクリプト文を直接作成してもよいし、既知の自動入力支援などを用いて、より簡易な形でスクリプトの作成を行うとしてもよい。

そして、ポリシー管理部２１０は、ステップＳ２０１で提供されたユーザインタフェースを利用して管理者が作成したアクセスポリシースクリプトを、アクセスポリシースクリプトＤＢ４２０に保存する（ステップＳ２０２）。

設定フェイズにおいて、挙動情報伸長部２３０は、アクセスポリシースクリプトＤＢ４２０に保持されたアクセスポリシースクリプト４２００の各レコードを読み込む（ステップＳ２１１）。

そして、挙動情報伸長部２３０は、ステップＳ２１１で読み込んだアクセスポリシースクリプト４２００（スクリプト４２０２）のうちから、アクセス制御設定情報４１００においてＩＤ４１０１＝「５」で指定される「情報伸長対象監視部」に関する記述を探し、アクセス制御に用いられる要素を抽出し、当該レコードの圧縮挙動情報キーワード４２０３に記録する（ステップＳ２１２）。具体的には、図７におけるＩＤ４２０１＝「１」のレコードの場合は、「情報伸長対象監視部」に記載された「起動サービス一覧」に含まれる「アンチウイルスＸ」及び「セキュリティサービスＹ」が該当する。同様に、ＩＤ４２０１＝「２」のレコードの場合は、「プロセスハッシュ値一覧」に含まれる「３ａｂｅ４ｂ２．．．」及び「ｆｆａ３ｂｆ２３．．．」が該当する。

以下では、運用フェイズに含まれる処理として、認可要求メッセージ受信部２２０によって実行されるステップＳ２２１～Ｓ２２５の処理、挙動情報伸長部２３０によって実行されるステップＳ２３１～Ｓ２３３の処理、アクセス判定部２４０によって実行されるステップＳ２４１～Ｓ２４３の処理、及びアクセス制御部２５０によって実行されるステップＳ２５１～Ｓ２５２の処理について説明する。

まず、認可要求メッセージ受信部２２０は、図１１のステップＳ１３２において端末１０の認可要求メッセージ送信部１４０から送信された認可要求メッセージ５１０を、受信する（ステップＳ２２１）。

次に、認可要求メッセージ受信部２２０は、ステップＳ２２１で受信した認可要求メッセージ５１０を、アクセス制御設定情報４１００においてＩＤ４１０１＝「１」に示される「制御装置秘密鍵」と、認可要求メッセージ５１０のＩＤ５１０１＝「６」に示される「共通鍵」とを使って復号するとともに、認可要求メッセージ５１０のＩＤ５１０１＝「７」に示される「端末側の電子署名」を検証し、改ざんがないことを確認する（ステップＳ２２２）。さらに、ステップＳ２２２において、認可要求メッセージ受信部２２０は、認可要求メッセージ５１０のＩＤ５１０１＝「１」に示される「タイムスタンプ」を現在日時と比較して、認可要求メッセージ５１０がリプレイアタックに類するものではないことを確認する。

次に、認可要求メッセージ受信部２２０は、ステップＳ２２２で復号化された認可要求メッセージ５１０に含まれるＩＤ５１０１＝「５」の「挙動情報一覧」を挙動情報伸長部２３０に送信し、圧縮されている挙動情報の伸長化を依頼する（ステップＳ２２３）。

次に、認可要求メッセージ受信部２２０は、ステップＳ２２３で依頼した挙動情報の伸長化が行われた後の挙動情報（挙動情報一覧）を挙動情報伸長部２３０から受信して、認可要求メッセージ５１０におけるＩＤ５１０１＝「５」の「挙動情報一覧」の値を、伸長化された挙動情報に置き換える（ステップＳ２２４）。

次に、認可要求メッセージ受信部２２０は、ステップＳ２２４の処理後の認可要求メッセージ５１０をアクセス判定部２４０に送信し、認可判定を依頼する（ステップＳ２２５）。ステップＳ２２５の処理後は、ステップＳ２２１に戻る。

挙動情報伸長部２３０は、ステップＳ２２３で認可要求メッセージ受信部２２０から挙動情報一覧の伸長化が依頼されたとき、この挙動情報一覧を受信する（ステップＳ２３１）。なお、以下では、ステップＳ２３１で受信する挙動情報一覧には、圧縮処理が施された挙動情報が含まれているとして説明するが、必ずしもすべての挙動情報について圧縮処理が施されている必要はなく、また、すべての挙動情報が圧縮処理されていない場合もあり得る。但し、挙動情報一覧に含まれるすべての挙動情報が圧縮処理されていない場合は、ステップＳ２３１～Ｓ２３３の処理は実質的に不要であることから、例えば認可要求メッセージ受信部２２０がステップＳ２２３～Ｓ２２４の処理をスキップするようにしてもよい。

次に、挙動情報伸長部２３０は、ステップＳ２３１で受信した挙動情報一覧に含まれる１以上の挙動情報に対して、圧縮されている挙動情報を伸長化する圧縮挙動情報伸長化処理を実行する（ステップＳ２３２）。

図１５は、圧縮挙動情報伸長化処理の処理手順例を示すフローチャートである。上述したように、圧縮挙動情報伸長化処理は、挙動情報伸長部２３０によって実行される。

図１５によればまず、挙動情報伸長部２３０は、アクセスポリシースクリプトＤＢ４２０に保持されているアクセスポリシースクリプト４２００にアクセスし、圧縮挙動情報キーワード４２０３を収集する（ステップＳ２６１）。

次に、挙動情報伸長部２３０は、認可要求メッセージ受信部２２０から受け取った「挙動情報一覧」に含まれる挙動情報のうちから、アクセス制御設定情報４１００のＩＤ４１０１＝「５」に指定された「情報伸長対象監視部」に該当する挙動監視部１１０による挙動情報を１つずつ選択し、以下のステップＳ２６３～Ｓ２６５の処理を行う（ステップＳ２６２）。

ステップＳ２６３では、挙動情報伸長部２３０は、ステップＳ２６１で収集した圧縮挙動情報キーワード４２０３から、ステップＳ２６２で選択した挙動情報に該当するキーワードのそれぞれについて、１つずつキーワードを選択してステップＳ２６４～Ｓ２６５の処理を行う。図７に示したアクセスポリシースクリプト４２００を用いる場合、「アンチウイルスＸ」、「セキュリティサービスＹ」、「３ａｂｅ４ｂ２．．．」、及び「ｆｆａ３ｂｆ３ｂｆ２３．．．」が、上記キーワードに該当する。

ステップＳ２６４では、挙動情報伸長部２３０は、ステップＳ２６２で選択した挙動情報に、ステップＳ２６３で選択したキーワードが含まれているか否かを確認する。上記挙動情報に上記キーワードが含まれている場合は（ステップＳ２６４のＹＥＳ）、ステップＳ２６５に進む。一方、上記挙動情報に上記キーワードが含まれていない場合は（ステップＳ２６４のＮＯ）、ステップＳ２６３に戻り、次のキーワードが選択される。

ステップＳ２６４においてキーワードを確認する方法は、端末設定情報３１００のＩＤ３１０１＝「２」で指定された「挙動情報圧縮方式」によって異なる。例えば、挙動情報圧縮方式がＢｌｏｏｍＦｉｌｔｅｒである場合、圧縮された挙動情報はビット配列である。このため、ステップＳ２６４において挙動情報伸長部２３０は、図１１のステップＳ１１３において挙動情報調整部１２０がＢｌｏｏｍＦｉｌｔｅｒを使って挙動情報を圧縮するときの処理と同様に、キーワードのハッシュ値に該当する要素が「１」であるか否かを判断することによって、挙動情報のビット配列にキーワードが含まれるか否かを判断することができる。具体的には例えば、「挙動サービス一覧」に該当する挙動情報がビット配列であり、「アンチウイルスＸ」という文字列のハッシュ値に対応する要素が「１」であれば、当該挙動情報には「アンチウイルスＸ」が含まれることになる。

ステップＳ２６５では、挙動情報伸長部２３０は、ステップＳ２６２で選択した挙動情報に、ステップＳ２６３で選択したキーワードを、例えば平文で追記する。

そして、ステップＳ２６５の処理後は、ステップＳ２６３に戻り、次のキーワードが選択される。また、すべてのキーワードに対してステップＳ２６４～Ｓ２６５の処理が完了すると、ステップＳ２６２に戻り、次の挙動情報が選択される。さらに、すべての挙動情報に対してステップＳ２６３～Ｓ２６５の処理が完了すると、挙動情報伸長部２３０は、圧縮挙動情報伸長化処理を終了する。

以上のように圧縮挙動情報伸長化処理が行われることにより、非可逆圧縮方式で圧縮処理された挙動情報からは含まれるキーワードを直接参照できなかったところを、ステップＳ２６５でキーワードが追加されることによって、伸長化処理後の挙動情報からは含まれるキーワードを直接参照できるようになる。

図１４の説明に戻る。ステップＳ２３２の処理が終了した後、挙動情報伸長部２３０は、ステップＳ２３２で伸長化した挙動情報一覧（詳述すれば、キーワードを追加した挙動情報からなる挙動情報一覧）を認可要求メッセージ受信部２２０に返信する（ステップＳ２３３）。ステップＳ２３３の終了後は、ステップＳ２３１に戻る。

アクセス判定部２４０は、ステップＳ２２５で認可要求メッセージ受信部２２０から送信された認可要求メッセージ５１０に対する認可判定の依頼を受信する（ステップＳ２４１）。

次に、アクセス判定部２４０は、アクセスポリシースクリプトＤＢ４２０に保持されたアクセスポリシースクリプト４２００のスクリプト４２０２に基づいて、ステップＳ２４１で受信した認可要求メッセージ５１０の内容を判定し、アクセスの可否を判定する認可判定を行う（ステップＳ２４２）。

ステップＳ２４２において、アクセス判定部２４０は、アクセスポリシースクリプト４２００においてＩＤ４２０１の値が小さいスクリプトから順々に適用する。そして、認可要求メッセージ５１０が、スクリプト４２０２内の“ｓｕｂｊｅｃｔ”、“ｒｅｓｏｕｒｃｅ”、及び“ｂｅｈａｖｉｏｒ”の全ての条件を満たす場合に、“ｊｕｄｇｅｍｅｎｔ”の記載内容が最終的に、アクセスの認可判定の判定結果とされる。なお、アクセスポリシースクリプト４２００において、上記した全ての条件を満たすスクリプト４２０２が存在しない場合には、予め定められたデフォルトの判定結果が適用される。デフォルトの判定結果は、「通過」または「遮断」の何れかとする。

次に、アクセス判定部２４０は、ステップＳ２４２の判定結果に基づいて、アクセス認可情報ＤＢ４３０に保持されるアクセス認可情報４３００を更新する（ステップＳ２４３）。

ステップＳ２４３において、認可判定の判定結果が「通過」である場合は、図８のアクセス認可情報４３００のＩＤ４３０１＝「２」に示されたように、通信遮断期間４３０５が指定されずに（Ｎ／Ａが設定されて）、通信通過期間４３０６が設定される。

一方、ステップＳ２４３において、認可判定の判定結果が「遮断」である場合は、アクセス認可情報４３００のＩＤ４３０１＝「６」に指定される「遮断モード」の設定内容（「完全遮断」または「一時遮断」）に応じて、異なる内容でアクセス認可情報４３００が更新される。具体的には、遮断モードが「一時遮断」の場合、図８のアクセス認可情報４３００のＩＤ４３０１＝「１」または「３」に示されたように、通信遮断期間４３０５及び通信通過期間４３０６が設定される。また、遮断モードが「完全遮断」の場合には、少なくとも通信遮断期間４３０５が設定される。このとき、通信通過期間４３０６は、所定の長期間が設定されるとしてもよいが、特に期間が指定されない（Ｎ／Ａが設定される）としてもよい。

また、ステップＳ２４３において、認可判定の判定結果が「遮断」で、遮断モードが「完全遮断」の場合には、アクセス判定部２４０は、アクセスを遮断する旨の認可判定が下された旨を通知する管理者通知メッセージ５３０を作成し（図１０参照）、これを管理用端末４０に送信する。この結果、管理者は管理用端末４０を介して管理者通知メッセージ５３０を閲覧することにより、アクセス遮断の判定が行われたことを認知することができる。

以上のようにステップＳ２４３の処理が行われた後は、ステップＳ２４１に戻る。

アクセス制御部２５０は、図１１のステップＳ１２７において端末１０の認可要求制御部１３０から送信されたアクセス要求５２０を、受信する（ステップＳ２５１）。

次に、アクセス制御部２５０は、ステップＳ２５１で受信したアクセス要求５２０と、アクセス認可情報ＤＢ４３０に保持されているアクセス認可情報４３００における各レコードとを比較し、アクセス要求５２０を通過させるべきか遮断するべきかを決定し、当該決定の結果に従って、アクセス要求５２０に対する制御を行う（ステップＳ２５２）。

ステップＳ２５２における通過／遮断の決定について詳しく説明すると、アクセス制御部２５０は、アクセス認可情報４３００の各レコードのうちから、端末ＩＰアドレス４３０２及びリソースＩＰアドレス４３０３に基づいて、アクセス要求５２０の送信元の端末１０と宛先のリソース３０との組み合わせに合致するレコードを選別し、さらに、アクセス要求５２０の送信日時（あるいは現在日時）と、上記選別したレコードにおける通信遮断期間４３０５または通信通過期間４３０６とを比較することによって、アクセス要求５２０に対する通過／遮断の決定を行うことができる。すなわち、アクセス要求５２０の送信日時（あるいは現在日時）が、選別したレコードにおける通信通過期間４３０６に含まれる場合は、アクセス要求５２０を通過させると決定する。一方、アクセス要求５２０の送信日時（あるいは現在日時）が、選別したレコードにおける通信遮断期間４３０５に含まれる場合は、アクセス要求５２０を遮断すると決定する。

そして、ステップＳ２５２において、アクセス制御部２５０は、アクセス要求５２０を通過させると決定した場合は、宛先のリソース３０に向けてアクセス要求５２０を転送する。一方、アクセス要求５２０を遮断すると決定した場合は、アクセス要求５２０のリソース３０への転送を行わない。以上、ステップＳ２５２の処理が終了した後は、再びステップＳ２５１に戻る。

以上、図１１～図１５に示した処理が行われることにより、動的アクセス認可システム１では、端末１０からリソース３０へのアクセス要求が発生したとき、セッション単位で、端末１０からアクセス制御装置２０に、ユーザや端末１０の挙動情報を含む認可要求メッセージ５１０が送信され、アクセス制御装置２０において、認可要求メッセージ５１０をアクセスポリシースクリプト４２００と比較することによって、アクセス要求をリソース３０に通過させるか遮断するかの認可判定が行われ、その判定結果に基づいてアクセス要求５２０の制御が行われる。また、アクセス制御装置２０に送信される認可要求メッセージ５１０は、端末１０において圧縮処理や優先付け処理が行われることで、適切なセキュリティレベル及びデータサイズとすることができる。これらの結果、本実施形態に係る動的アクセス認可システム１によれば、通信ネットワーク４１，４２及び端末１０への負荷を抑制しながら、端末１０及び／またはユーザの直近の挙動に基づいて、リアルタイムに、リソース３０へのアクセス要求５２０の動的認可を実現することができる。

（５）変形例
なお、本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。

（５－１）変形例１
図１では、アクセス制御装置２０をリソース３０とは別に独立した装置として示したが、動的アクセス認可システム１の一変形例として、アクセス制御装置２０は、リソース３０に内包される形態で実現してもよい。この場合、図１に示した制御装置側プログラム２００はソフトウェアの形態をとってリソース３０に備えられ、端末１０からリソース３０に送信される認可要求メッセージ５１０及びアクセス要求５２０を受信して、上述した制御装置側プログラム２０としての処理を行う。

（５－２）変形例２
図１１では、挙動情報調整部１２０内の処理として、ステップＳ１１３で挙動情報圧縮部１２１が挙動情報の圧縮処理を行った後に、ステップＳ１１４において挙動情報優先付け部１２２が認可要求メッセージ５１０に載せる挙動情報の組み合わせを算出する優先付け処理を行うとしたが、動的アクセス認可システム１の一変形例として、挙動情報調整部１２０は、ステップＳ１１３の圧縮処理とステップＳ１１４の優先付け処理の何れか一方だけを実行するとしてもよい。また、圧縮処理及び優先付け処理の両方を実行するとした場合には、処理の実行順番を入れ替えてもよい。すなわち、挙動情報優先付け部１２２による優先付け処理（ステップＳ１１４）を、挙動情報圧縮部１２１による圧縮処理（ステップＳ１１３）よりも先に実行するようにしてもよい。

図１１に示したように圧縮処理の後に優先付け処理を行う場合には、端末設定情報３１００のＩＤ３１０１＝「６」で指定された「挙動情報圧縮部フラグ」が「Ｏｎ」である挙動情報を圧縮した後で優先付け処理を行うことから、挙動情報の合計値のデータサイズに拘わらず、最終的に認可要求メッセージ５１０に載せられる挙動情報一覧のデータサイズを可能な限り小さくする効果に期待できる。一方、上記変形例のように圧縮処理よりも前に優先付け処理を行う場合には、例えば、優先付け処理の終了時点で挙動情報のデータサイズの合計値を計算し、この合計値が最大許容データサイズ（端末設定情報３１００のＩＤ＝「１」のレコードを参照）に収まる場合（十分に小さい場合）には圧縮処理をスキップしてもよい。また、優先付け処理の終了時点で最大許容データサイズを超える場合には、圧縮処理を実行し、圧縮処理後に最大許容データサイズに収まる範囲で挙動情報を選択する（優先付け処理の結果を考慮する）ことにより、挙動情報認可要求メッセージ５１０に載せられる挙動情報一覧を決定することができる。上記のように、圧縮処理がスキップされるときには、圧縮処理による処理負荷の増大を抑制できるだけでなく、伸長化処理も不要になることで、処理負荷の更なる抑制効果にも期待できる。

（５－３）変形例３
図７では、アクセス要求時に認可要求メッセージ５１０に対する認可判定において比較されるアクセスポリシースクリプト４２００が例示され、スクリプト４２０２には「不要プロセス起動数」や「ユーザアイドル時間」などといった挙動に関する動的情報が判断基準として記述されていたが、動的アクセス認可システム１の一変形例として、認可判定において比較される要素は、上述した挙動に関する情報に限定されず、その他の種別の情報を含むものであってもよい。具体的には例えば、日時、曜日、または休日／平日などの要素もスクリプト４２０２に記述されてよい。

また、上述した実施形態では、図４で挙動監視部管理情報３２００の挙動監視部名称３２０２で指定される挙動監視部１１０による挙動情報を、認可要求メッセージ５１０に記載される可能性がある情報（言い換えると、認可判定において比較される情報）としたが、動的アクセス認可システム１の一変形例として、端末１０の中にインストールされているパッチプログラムやＯＳ／アプリケーションのバージョン情報といった比較的静的な情報を認可要求メッセージ５１０に載せるようにしてもよく（上述した動的な挙動情報と組み合わせて載せるようにしてもよい）、これらを参照してアクセス制御を行うようにしてもよい。この場合、例えばアクセスポリシースクリプト４２００において、上記静的な情報を要素に用いた論理式が記述されておくことにより、アクセス判定部２４０が静的な情報も考慮した認可判定を実行することができる。かくして、動的アクセス認可システム１は、動的情報だけでなく、既存技術で用いられる静的情報とも組み合わせて、アクセス要求に対する認可判定及びアクセス制御を実現することができる。

なお、上記した実施形態は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。また、実施形態の構成の一部について、他の構成の追加・削除・置換をすることが可能である。

また、上記の各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計するなどによりハードウェアで実現してもよい。また、上記の各構成及び機能などは、プロセッサがそれぞれの機能を実現するプログラムを解釈し、実行することによりソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイルなどの情報は、メモリや、ハードディスク、ＳＳＤ（Solid State Drive）などの記録装置、または、ＩＣカード、ＳＤカード、ＤＶＤなどの記録媒体に置くことができる。

また、図面において制御線や情報線は説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際にはほとんど全ての構成が相互に接続されていると考えてもよい。

１動的アクセス認可システム
１０端末
１１ＯＳ／アプリケーション
２０アクセス制御装置
３０リソース
４０管理用端末
４１，４２通信ネットワーク
５０情報処理装置
５１ＣＰＵ
５２メモリ
５３外部記憶装置
５４インタフェース（ＩＦ）
５５入出力装置
５６バス
１００端末側プログラム
１１０挙動監視部
１２０挙動情報調整部
１２１挙動情報圧縮部
１２２挙動情報優先付け部
１３０認可要求制御部
１４０認可要求メッセージ送信部
２００制御装置側プログラム
２１０ポリシー管理部
２２０認可要求メッセージ受信部
２３０挙動情報伸長部
２４０アクセス判定部
２５０アクセス制御部
３１０端末設定ＤＢ
３２０挙動監視部管理ＤＢ
３３０認可要求メッセージ履歴ＤＢ
４１０アクセス制御設定ＤＢ
４２０アクセスポリシースクリプトＤＢ
４３０アクセス認可情報ＤＢ
５１０認可要求メッセージ
５２０アクセス要求
５３０，５３０Ａ，５３０Ｂ管理者通知メッセージ
３１００端末設定情報
３２００挙動監視部管理情報
３３００認可要求メッセージ履歴情報
４１００アクセス制御設定情報
４２００アクセスポリシースクリプト
４３００アクセス認可情報
５１００データフォーマット

Claims

ユーザ使用する端末からリソース装置が有するリソースへのアクセス要求に対して、前記端末及び／または当該端末のユーザに関する動的な情報に基づいてアクセス要求の認可判定を行う動的アクセス認可システムであって、
前記端末に保持される、端末側プログラム及び当該端末側プログラムが参照する端末側データと、
前記端末と前記リソース装置との間のネットワークに配置されたアクセス制御装置に保持される、制御装置側プログラム及び当該制御装置側プログラムが参照する制御装置側データと、
を備え、
前記端末側プログラムは、
前記ユーザ及び／または前記端末に関する複数種類の挙動を監視し、定期的に最新の挙動情報を出力する複数の挙動監視部と、
前記複数の挙動監視部から出力された複数の前記挙動情報のうちから、合計のデータサイズが所定の制限範囲以内で、各前記挙動情報に付与される価値の合計値を最大化する前記挙動情報の組み合わせを算出する、優先付け処理を実行する挙動情報優先付け部を有し、前記合計値を最大化する前記挙動情報を組み合わせた挙動情報一覧を作成する挙動情報調整部と、
前記アクセス要求の生成を捕捉し、前記挙動情報調整部によって調整された前記挙動情報一覧を含む認可要求メッセージを作成し、前記認可要求メッセージ及び前記アクセス要求を前記アクセス制御装置に送信する認可要求制御部と、
を有し、
前記制御装置側プログラムは、
前記挙動監視部が出力する前記挙動情報を要素に用いた論理式が記述されたアクセスポリシースクリプトを管理するポリシー管理部と、
前記端末から送信された前記認可要求メッセージを受信する認可要求メッセージ受信部と、
前記認可要求メッセージを前記アクセスポリシースクリプトに規定された論理式に適用することによって前記認可判定を行うアクセス判定部と、
前記アクセス判定部による前記認可判定で前記アクセス要求が認可されなかった場合に、前記アクセス要求を第１の所定時間に亘って遮断した後、第２の所定時間に亘って前記アクセス要求の通過を許可する一時遮断のアクセス制御を実行可能とするアクセス制御部と、
を有する
ことを特徴とする動的アクセス認可システム。
前記挙動情報調整部は、
非可逆圧縮方式で前記挙動情報の前記データサイズを圧縮する圧縮処理を実行する挙動情報圧縮部をさらに有し、
前記制御装置側プログラムは、
前記認可要求メッセージ受信部が受信した前記認可要求メッセージに含まれる前記挙動情報一覧を構成する１以上の前記挙動情報に対して、前記挙動情報圧縮部によって圧縮された前記挙動情報のなかに前記アクセスポリシースクリプトで指定されるキーワードが記録されているか否かを判断する伸長化処理を実行する挙動情報伸長部をさらに有する
ことを特徴とする請求項１に記載の動的アクセス認可システム。
前記挙動情報伸長部は、
前記伸長化処理において、前記挙動情報圧縮部によって圧縮された前記挙動情報のなかに前記アクセスポリシースクリプトで指定されるキーワードが記録されているか否かを判断した結果、前記キーワードが記録されていると判断した場合には、当該キーワードを当該挙動情報に追加する
ことを特徴とする請求項２に記載の動的アクセス認可システム。
前記挙動情報調整部は、
前記複数の挙動監視部から出力された前記複数の挙動情報に対して、前記挙動情報圧縮部による前記圧縮処理を行った後、前記挙動情報優先付け部による前記優先付け処理を実行することにより、前記挙動情報一覧を作成する
ことを特徴とする請求項３に記載の動的アクセス認可システム。
前記挙動情報調整部は、
前記複数の挙動監視部から出力された前記複数の挙動情報に対して、前記挙動情報優先付け部による前記優先付け処理を実行し、当該処理後のすべての前記複数の挙動情報の合計のデータサイズが前記所定の制限範囲を超える場合に、前記挙動情報圧縮部による前記圧縮処理を実行して、前記挙動情報一覧を作成する
ことを特徴とする請求項３に記載の動的アクセス認可システム。
前記認可要求制御部は、
前記認可要求メッセージに対する前記制御装置側プログラムによる処理に要する時間を推定し、当該推定した時間が経過するまで、前記アクセス要求の前記アクセス制御装置への送信を遅延させる
ことを特徴とする請求項１に記載の動的アクセス認可システム。
複数の前記リソース装置に対応して複数の前記アクセス制御装置が設けられ、
前記認可要求制御部は、
同一の前記アクセス制御装置に対して一定時間内に送信した前記認可要求メッセージの個数を基に、新たな前記認可要求メッセージを送信するか否かを判定する
ことを特徴とする請求項１に記載の動的アクセス認可システム。
前記アクセス判定部は、前記認可判定において、以後の前記アクセス要求を完全に遮断する完全遮断の判定結果を得た場合に、前記アクセス要求を遮断する旨を通知する管理者通知メッセージを作成し、管理者が使用する管理用端末に送信する
ことを特徴とする請求項１に記載の動的アクセス認可システム。
前記認可要求制御部は、前記挙動情報一覧に加え、前記端末及び／またはユーザに関する所定の静的な情報を含めて前記認可要求メッセージを作成して前記アクセス制御装置に送信し、
前記ポリシー管理部は、前記挙動情報及び前記所定の静的な情報を要素に用いた論理式が記述されたアクセスポリシースクリプトを管理する
ことを特徴とする請求項１に記載の動的アクセス認可システム。
前記挙動情報優先付け部は、遺伝的アルゴリズムを用いて前記挙動情報の組み合わせを算出する
ことを特徴とする請求項１に記載の動的アクセス認可システム。
前記非可逆圧縮方式は、ＢｌｏｏｍＦｉｌｔｅｒアルゴリズムである
ことを特徴とする請求項２に記載の動的アクセス認可システム。
前記アクセス制御装置は、前記リソース装置に内包されて構成される
ことを特徴とする請求項１に記載の動的アクセス認可システム。
ユーザ使用する端末からリソース装置が有するリソースへのアクセス要求に対して、前記端末及び／または当該端末のユーザに関する動的な情報に基づいてアクセス要求の認可判定を行う動的アクセス認可システムによる動的アクセス認可方法であって、
前記動的アクセス認可システムは、
前記端末に保持される、端末側プログラム及び当該端末側プログラムが参照する端末側データと、
前記端末と前記リソース装置との間のネットワークに配置されたアクセス制御装置に保持される、制御装置側プログラム及び当該制御装置側プログラムが参照する制御装置側データと、
を有し、
前記端末が前記端末側プログラムを実行することにより、前記ユーザ及び／または前記端末に関する複数種類の挙動を監視し、定期的に最新の挙動情報を出力する挙動監視ステップと、
前記端末が前記端末側プログラムを実行することにより、前記挙動監視ステップで出力された複数の前記挙動情報のうちから、合計のデータサイズが所定の制限範囲以内で、各前記挙動情報に付与される価値の合計値を最大化する前記挙動情報の組み合わせを算出する、優先付け処理を実行し、前記合計値を最大化する前記挙動情報を組み合わせた挙動情報一覧を作成する挙動情報調整ステップと、
前記端末が前記端末側プログラムを実行することにより、前記アクセス要求の生成を捕捉し、前記挙動情報調整ステップで調整された前記挙動情報一覧を含む認可要求メッセージを作成し、前記認可要求メッセージ及び前記アクセス要求を前記アクセス制御装置に送信する認可要求制御ステップと、
前記動的アクセス認可システムが前記制御装置側プログラムを実行することにより、前記挙動監視ステップで出力される前記挙動情報を要素に用いた論理式が記述されたアクセスポリシースクリプトを管理するポリシー管理ステップと、
前記動的アクセス認可システムが前記制御装置側プログラムを実行することにより、前記認可要求制御ステップで前記端末から送信された前記認可要求メッセージを受信する認可要求メッセージ受信ステップと、
前記動的アクセス認可システムが前記制御装置側プログラムを実行することにより、前記認可要求メッセージ受信ステップで受信された前記認可要求メッセージを前記アクセスポリシースクリプトに規定された論理式に適用することによって前記認可判定を行うアクセス判定ステップと、
前記動的アクセス認可システムが前記制御装置側プログラムを実行することにより、前記アクセス判定ステップによる前記認可判定で前記アクセス要求が認可されなかった場合に、前記アクセス要求を第１の所定時間に亘って遮断した後、第２の所定時間に亘って前記アクセス要求の通過を許可する一時遮断のアクセス制御を実行可能とするアクセス制御ステップと、
を備えることを特徴とする動的アクセス認可方法。