WO2006080380A1 - 情報漏洩分析システム - Google Patents

情報漏洩分析システム Download PDF

Info

Publication number
WO2006080380A1
WO2006080380A1 PCT/JP2006/301195 JP2006301195W WO2006080380A1 WO 2006080380 A1 WO2006080380 A1 WO 2006080380A1 JP 2006301195 W JP2006301195 W JP 2006301195W WO 2006080380 A1 WO2006080380 A1 WO 2006080380A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
route
file
setting
access
Prior art date
Application number
PCT/JP2006/301195
Other languages
English (en)
French (fr)
Inventor
Hiroshi Sakaki
Original Assignee
Nec Corporation
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nec Corporation filed Critical Nec Corporation
Priority to US11/883,067 priority Critical patent/US7797297B2/en
Priority to EP06712377A priority patent/EP1855228A4/en
Priority to CN2006800031751A priority patent/CN101107614B/zh
Priority to JP2007500560A priority patent/JP4883315B2/ja
Publication of WO2006080380A1 publication Critical patent/WO2006080380A1/ja

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database

Definitions

  • the present invention relates to an information leakage analysis system, an information leakage analysis method, and an information leakage analysis program for analyzing the possibility of information leakage such as files.
  • FIG. 53 the system described in Patent Document 1 includes file position detection means, file attribute setting means, file position comparison means, and program execution means, and operates as follows.
  • the file attribute setting means sets an allowable position as a file existing position.
  • the file position detection means detects the existence position of the file.
  • the file position comparing means compares the file existing position set by the file attribute setting means with the file existing position detected by the file position detecting means.
  • the program execution means deletes or encrypts the file.
  • Non-Patent Document 2 shows the following operation. First, the character string included in the file that should not be leaked is registered as a keyword. Next, the distributed file is analyzed, and the character string contained in the file is extracted. Then, it is determined whether or not the character string extracted from the file is included in the registered character string group. Filer When the extracted character string is registered, it is determined that the file has a possibility of information leakage, and the distribution of the file is instructed. With the above operation, it is possible to judge the possibility of information leakage by files and prevent information leakage. [0004] Patent Document 1: Japanese Patent Laid-Open No. 2003-36208 (Page 5-10, Fig. 1)
  • Non-Patent Document 1 “eTrust Secure Content Manager rl. 1”, [online], September 2004, Computer Association Inc., [November 25, 2004 search], Internet, Japan ⁇ Scale: http://www.caj.co.jp/etrust/scm/pdf/pd.pdf>
  • An information leakage analysis system includes a file stored in a file storage system, a user who can access the file or another file which can copy the contents of the file, and a user or other file.
  • Access route information storage means Stored in the system from Access route information storage means for storing access route information that represents the access route to the network, network configuration in the system, file name and storage location of the file stored in the system, operating system or application installed in the system
  • the setting information storage means that stores the setting information including information about the user to be used is compared with the information leakage path information that represents the path where there is a possibility of information leakage and the access path information.
  • Route determination means that determines whether the route indicated in the access route information is valid or not, and the route indicated by the information leakage route information is determined to be indicated in the access route information.
  • the setting information associated with the route is specified, and the setting information is read from the setting information storage means.
  • no configuration information specifying means and further comprising a result output means for outputting the setting information.
  • the route determination unit collates the information leakage route information representing the route with the possibility of information leakage and the access route information, and the route represented by the information leakage route information is determined. If the setting information identification means determines that the route represented by the information leakage route information is represented in the access route information, the The setting information associated with the route is specified, and the result output means outputs the setting information. Therefore, the possibility of information leakage can be determined by outputting the setting information. In addition, since the setting information corresponding to the route with the possibility of information leakage is output, it is possible to identify the setting that causes the information leakage.
  • An information leakage analysis system relates to a network configuration in a system for storing files, a file name and storage location of a file stored in the system, and a user who uses an operating system or application installed in the system.
  • Setting information collecting means for collecting setting information including information to be collected from the system, a file stored in the system, a user who can access the file or another file which can copy the contents of the file, a user or other This means that the access route information that represents the access route to the file stored in the system is generated based on the setting information!
  • the information leakage path information is compared with the access path information, and the information leakage And path determination means for determining force not the path is represented in the access route information represented by the path information, the information When it is determined that the route represented by the leaked route information is represented in the access route information, a result output means for outputting information on the route is provided.
  • the route determination unit compares the information leakage route information representing the route with the possibility of information leakage with the access route information, and the route represented by the information leakage route information is determined. It is determined whether or not the power indicated in the access route information is obtained, and when the result output means determines that the route indicated by the information leakage route information is indicated in the access route information, Output information. Therefore, the possibility of information leakage can be determined by outputting the route. In addition, it is possible to determine where the file that may be leaked is stored by the output path. Further, since the access route information generating means generates access route information based on the setting information, it is possible to determine the possibility of information leakage according to the setting status of the system storing the file.
  • the setting information storage means for storing the setting information used when the access route information generating means generates the access route information together with the information indicating the correspondence relationship with the access route information, and the information leakage route information
  • setting information associated with the route is specified
  • setting information specifying means for reading the setting information from the setting information storage means.
  • the result output means may be configured to output the setting information specified by the setting information specifying means. According to such a configuration, since setting information corresponding to a route with a possibility of information leakage is output, it is possible to specify a setting that causes information leakage.
  • An information leakage countermeasure plan storage means for storing a setting proposal for blocking a path with a possibility of information leakage in association with the description contents of the setting information, and the contents of the setting information specified by the setting information specifying means.
  • An information leakage countermeasure proposal proposing unit that reads and outputs the associated setting proposal from the information leakage countermeasure proposing storage unit may be used. According to such a configuration, it is possible to present to the operator a setting proposal for blocking a route that may cause information leakage, and as a result, file leakage can be prevented.
  • Configuration comprising countermeasure execution means for changing the setting of the system for storing the file in accordance with the setting proposal read by the information leakage countermeasure proposal proposal means from the information leakage countermeasure proposal storage means It may be.
  • the countermeasure execution means changes the system settings in accordance with the setting proposal for blocking the path with the possibility of information leakage, so that file leakage can be prevented in advance.
  • the information leakage countermeasure proposal proposing means displays the setting proposal read from the information leakage countermeasure proposal storing means, displays a user interface for prompting an editing operation on the setting proposal, and performs an editing operation on the setting proposal on the user interface.
  • the configuration may include a setting change input means for updating the setting plan according to the editing operation. According to such a configuration, the operator can edit the setting plan.
  • the information leakage countermeasure plan proposing unit For each setting plan read from the information leakage countermeasure plan storing unit by the information leakage countermeasure plan proposing unit, it is determined that there is little influence on the system when the system setting is changed according to each setting plan. Even if the information leakage countermeasure plan proposal order determining means for determining the order in order is provided, the information leakage countermeasure plan proposing means displays each setting plan according to the order determined by the information leakage countermeasure plan priority order determining means. Yo! / ⁇ . According to such a configuration, the setting plan can be presented to the operator in order with little influence on the system.
  • An information leakage path information input unit for inputting information leakage path information may be provided. According to such a configuration, the operator can specify information leakage route information.
  • Attribute usage information leakage path for inputting attribute usage information leakage path information in which a distribution source and distribution destination in a path with a possibility of information leakage are represented by file or user attributes Information input means and file or user attributes
  • attribute information storage means for storing the correspondence relationship between the file having the attribute or user information, and referring to the correspondence relationship, the attribute included in the attribute usage information leakage path information is replaced with the file or user information.
  • a configuration may be provided that includes conversion means for converting attribute usage information leakage path information into information leakage path information.
  • File and user attribute information is easy for the operator to grasp. Therefore, according to such a configuration, an operator can more easily specify a route that may cause information leakage.
  • An information leakage analysis system includes a file stored in a file storage system, a user who can access the file, another file which can copy the contents of the file, and a user or other file.
  • the route information creation means for creating route information that specifies any user or file as a distribution destination, and the route from the distribution source to the distribution destination specified by the route information created by the route information creation means is displayed in the access route information.
  • the route information creation means designates an arbitrary file included in the access route information as a distribution source, and designates an arbitrary user or file included in the access route information as a distribution destination.
  • Route information is created, and the route judgment means judges whether or not the route from the distribution source to the distribution destination specified by the route information created by the route information creation means is indicated in the access route information.
  • the display means displays the route between the distribution source file and the distribution destination file or user specified by the route information determined to be represented by the access route information, and the distribution source and distribution destination. .
  • the distribution source, distribution destination, and the route between them included in the access route information can be presented to the operator, and the operator can provide each distribution source, distribution destination, and the route between them included in the access route information. , It is possible to determine whether or not there is a possibility of information leakage.
  • the configuration may include a setting information specifying unit that specifies setting information associated with the route and reads the setting information from the setting information storage unit, and a result output unit that outputs the setting information.
  • the setting information specifying unit determines that the route from the distribution source to the distribution destination specified by the route information created by the route information creation unit is represented in the access route information. If it is, the setting information associated with the route is specified, and the result output means outputs the setting information. Therefore, since the operator refers to each distribution source, distribution destination, and the route between them included in the access route information and determines whether there is a possibility of information leakage, setting information is also output. The operator can specify the settings that cause information leakage.
  • An information leakage countermeasure proposal proposing unit that reads and outputs the associated setting proposal from the information leakage countermeasure proposing storage unit may be used. According to such a configuration, it is possible to present to the operator a setting proposal for blocking a route that may cause information leakage, and as a result, file leakage can be prevented.
  • the information leakage countermeasure proposal proposing means may include a countermeasure execution means for changing the setting of the system for storing the file in accordance with the setting proposal read from the information leakage countermeasure proposal storing means.
  • the countermeasure execution means changes the system settings in accordance with the setting proposal for blocking the path with the possibility of information leakage, so that file leakage can be prevented in advance.
  • the information leakage countermeasure proposal proposing means displays the setting proposal read from the information leakage countermeasure proposal storing means, displays a user interface for prompting an editing operation on the setting proposal, and performs an editing operation on the setting proposal on the user interface.
  • the configuration may include a setting change input means for updating the setting plan according to the editing operation. According to such a configuration, the operator can edit the setting plan.
  • the access path information storage means can copy the file stored in the system storing the file and the user who can access the file or the contents of the file.
  • Other file and access path information expressing the access path to the file stored in the user or other file force system, and the setting information storage means is the network configuration in the system, the file stored in the system Information leakage path information that indicates the path where information may be leaked, and the path determination means stores the setting information including information about the user who uses the operating system or application installed in the system. And access route information are compared, and information leakage route information is used.
  • the setting information specifying unit determines that the route represented by the information leakage route information is represented in the access route information. In this case, the setting information associated with the route is specified, the setting information is read from the setting information storage unit, and the result output unit outputs the setting information.
  • the route determination means collates the information leakage route information indicating the route with the possibility of information leakage and the access route information, and the route represented by the information leakage route information is determined. If the setting information identification means determines that the route represented by the information leakage route information is represented in the access route information, the The setting information associated with the route is specified, and the result output means outputs the setting information. Therefore, the possibility of information leakage can be determined by outputting the setting information. In addition, since the setting information corresponding to the route with the possibility of information leakage is output, it is possible to identify the setting that causes the information leakage.
  • the setting information collection means includes a network configuration in the system storing the file, the file name and storage location of the file stored in the system, the operating system installed in the system, or Application Configuration information including information on users who use the Chillon is also collected by the system, and the access path information generation means can copy files stored in the system and users who can access the files or the contents of the files. Access route information that represents the access route to other files and the files stored in the system from the user or other files is generated based on the setting information, and the route judgment means may cause information leakage.
  • the information leakage route information indicating the access route information and the access route information are collated to determine whether or not the route represented by the information leakage route information is represented in the access route information, and the result output means When it is determined that the route represented by the route information is represented in the access route information, the route information is output.
  • the route determination means collates the information leakage route information representing the route having the possibility of information leakage and the access route information, and the route represented by the information leakage route information is determined. It is determined whether or not the power indicated in the access route information is obtained, and when the result output means determines that the route indicated by the information leakage route information is indicated in the access route information, Output information. Therefore, the possibility of information leakage can be determined by outputting the route. In addition, it is possible to determine where the file that may be leaked is stored by the output path. Further, since the access route information generating means generates access route information based on the setting information, it is possible to determine the possibility of information leakage according to the setting status of the system storing the file.
  • the access path information storage means can copy the file stored in the system storing the file and the user who can access the file or the contents of the file.
  • Other file and access route information representing the access route to the file stored in the user or other file force system is stored, and the route information creation means distributes any file included in the access route information.
  • Route information that specifies any user or file included in the access route information as the distribution destination, and the route determination means distributes from the distribution source specified by the route information created by the route information creation means. It is determined whether or not the route to the destination is displayed in the access route information, and the display means displays in the access route information. Determined to be The distribution source file designated by the route information, the distribution destination file or user, and the route between the distribution source and the distribution destination are displayed.
  • the route information creation means designates an arbitrary file included in the access route information as a distribution source, and designates an arbitrary user or file included in the access route information as a distribution destination.
  • Route information is created, and the route judgment means judges whether or not the route from the distribution source to the distribution destination specified by the route information created by the route information creation means is indicated in the access route information.
  • the display means displays the route between the distribution source file and the distribution destination file or user specified by the route information determined to be represented by the access route information, and the distribution source and distribution destination. .
  • the distribution source, distribution destination, and the route between them included in the access route information can be presented to the operator, and the operator can provide each distribution source, distribution destination, and the route between them included in the access route information. , It is possible to determine whether or not there is a possibility of information leakage.
  • an information leakage analysis program includes a file stored in a system for storing a file, a user who can access the file or another file which can copy the contents of the file, a user or other File capacity of access path information storage means for storing access path information expressing access paths to files stored in the system, network configuration in the system, file names and storage locations of files stored in the system, An information leakage analysis program mounted on a computer having a setting information storing means for storing setting information including information on a user who uses an operating system or application installed in the system. Information representing a possible leak route Information leakage route information and access route information are collated and the route indicated by the information leakage route information is shown in the access route information!
  • the setting information associated with the route is specified, and the setting information is read from the setting information storage means. It is characterized by executing processing and result output processing for outputting setting information. According to such a program, the possibility of information leakage can be determined by outputting the setting information. In addition, setting information corresponding to a route with the possibility of information leakage is output. Therefore, it is possible to specify a setting that causes information leakage.
  • the information leakage analysis program includes a network configuration in a system for storing a file in a computer, a file name and storage location of the file stored in the system, an operating system installed in the system, or System information that collects configuration information including information related to users who use the application Configuration information that collects files, files stored in the system, and users who can access the files or other files that can copy the contents
  • access route information generation processing that generates access route information that represents the access route to the file stored in the system by the user or other file based on the setting information, or information leakage Information leakage route information and access route information representing the route
  • the computer can access the route represented by the information leakage route information by comparing the information leakage route information representing the route with the possibility of information leakage with the access route information.
  • Route determination processing for determining whether or not the force is indicated in the route information, and when it is determined that the route represented by the information leakage route information is indicated in the access route information, The result output process to output is executed. Therefore, the possibility of information leakage can be determined by outputting the route.
  • it is possible to determine where the file that may be leaked is stored by the output path.
  • the computer executes access route information generation processing for generating access route information based on the setting information, it is possible to determine the possibility of information leakage according to the setting status of the system storing the file. it can.
  • an information leakage analysis program includes a file stored in a system for storing a file, a user who can access the file or another file which can copy the contents of the file, a user or other File capacity of access path information that stores access path information that represents the access path to the file stored in the system
  • This is an information leakage analysis program installed on a computer equipped with a payment method.
  • the computer designates an arbitrary file included in the access route information as a distribution source, and an arbitrary user or file included in the access route information.
  • Route information creation process that creates route information that specifies the distribution destination, the distribution power specified by the route information created by the route information creation process Whether the route to the distribution destination is represented in the access route information
  • the route determination process and the access route information to determine the route information determined by the route information determined by the distribution source file, the distribution destination file or user, and the distribution source and distribution destination
  • a display process for displaying a route is executed. Accordingly, the distribution source, distribution destination, and the route between them included in the access route information can be presented to the operator, and the operator can provide each distribution source, distribution destination, and the route between them included in the access route information. To determine whether there is a possibility of information leakage.
  • FIG. 1 is a block diagram showing a first embodiment of the present invention.
  • FIG. 2 is a flowchart showing an operation of the information leakage analysis system in the first embodiment.
  • FIG. 3 is a block diagram showing a second embodiment of the present invention.
  • FIG. 4 is a flowchart showing the operation of the information leakage analysis system in the second embodiment.
  • FIG. 5 is a block diagram showing a third embodiment of the present invention.
  • FIG. 6 is a flowchart showing the operation of the information leakage analysis system in the third embodiment.
  • FIG. 7 is a flowchart showing a process progress of an access route model generation process.
  • FIG. 8 is a flowchart showing the processing progress of access route model generation processing.
  • FIG. 9 is a flowchart showing a process progress of an access route model generation process.
  • FIG. 10 is a block diagram showing a fourth embodiment of the present invention.
  • FIG. 11 is a flowchart showing the operation of the information leakage analysis system in the fourth exemplary embodiment.
  • FIG. 12 is a block diagram showing a fifth embodiment of the present invention.
  • ⁇ 13] is a flowchart showing the operation of the information leakage analysis system in the fifth embodiment.
  • FIG. 14 is a block diagram showing a sixth embodiment of the present invention.
  • ⁇ 16 It is a block diagram showing a seventh embodiment of the present invention.
  • FIG. 18 is a block diagram showing an eighth embodiment of the present invention.
  • FIG. 20 is a block diagram showing a ninth embodiment of the present invention.
  • ⁇ 21] is a flowchart showing the operation of the information leakage analysis system in the ninth embodiment.
  • FIG. 22 is a block diagram showing a tenth embodiment of the present invention.
  • FIG. 30 is an explanatory diagram showing an access route model reflecting file information and access right information. [31] It is an explanatory diagram showing an access route model reflecting the setting information of the web client.
  • ⁇ 33 It is an explanatory view showing an example of user information.
  • FIG. 34 is an explanatory diagram showing an access route model reflecting user information.
  • FIG. 35 is an explanatory diagram showing an example of file information and access right information.
  • FIG. 38 is an explanatory diagram showing an access route model reflecting Apache setting information.
  • FIG. 39 is an explanatory diagram showing an example of access right information of a firewall.
  • FIG. 40 is an explanatory diagram showing an access route model reflecting filtering settings.
  • FIG. 41 is an explanatory diagram showing an example of an access route model stored in an access route model storage unit.
  • FIG. 42 is an explanatory diagram showing a description example of the entire access model.
  • FIG. 44 is an explanatory diagram showing an example of a determination result determined as a route with a possibility of information leakage.
  • ⁇ 45 An explanatory diagram showing an example of information obtained by adding setting information to the access route model.
  • ⁇ 46 An explanatory diagram showing an example of information obtained by adding setting information to the access route model.
  • [47] It is an explanatory diagram showing an example of a user interface for displaying a report leakage countermeasure plan.
  • FIG. 48 is an explanatory diagram showing an example of an edit screen.
  • FIG. 50 is an explanatory diagram showing an example of a rewritten apache configuration file.
  • FIG. 51 is an explanatory diagram showing an example of a screen displaying change candidates according to the order.
  • FIG. 52 is an explanatory diagram showing an example of a UI that also displays a setting file name describing setting information.
  • FIG. 53 is a block diagram showing an example of a conventional technique.
  • FIG. 1 is a block diagram showing a first embodiment of the present invention.
  • the information leakage analysis system includes an access route model input unit 110, an access route model storage unit 1040, an analysis target access route input unit 1050, an access route determination unit 1060, and a setting information input unit. 130, setting information storage means 2010, setting information identification means 2020, information leakage countermeasure proposal storage means 3010, information leakage countermeasure proposal proposal means 3040, setting change input means 3030, countermeasure execution means 3050, and verification target Includes system 1010.
  • the access route model is a model that expresses what kind of file a user can access and expresses the access route.
  • the access route model expresses what kind of file a file can access, and may express the access route.
  • Fah Access to a file from a file is a mode in which one file copies the contents of the other file.
  • the access route model is created based on the setting information.
  • the setting information is information including the system setting of the verification target system and the network configuration.
  • the system setting is information representing a setting that defines an OS (operating system) and application behavior! / ⁇ .
  • System settings include user configuration, file configuration, and access rights information.
  • the system setting may include one or more of filtering configuration, alias definition information, filtering information, user set information, and authority acquisition information.
  • the user configuration is user management information including user IDs specified by each application, ⁇ S, and user management server, and includes information on the user ID and the location of the user ID.
  • the user configuration is information about users who use the OS and operating system installed in the verification target system.
  • the user configuration may be described as user information.
  • the file structure is information indicating a file name and its storage location, and may include information such as a directory in addition to the file name.
  • the file access right information is information indicating the user's access right to the file, and represents the read right and write right.
  • the filtering configuration is information indicating network filtering setting by IP address or port number.
  • the alias definition information is information indicating the alias definition of the file. If the application software or operating system uses the same name to represent the same file, it is said that the file is defined with another name. For example, the name “/var/www/htdoc/index.html” is named on the OS, and the name “http://example.com/index.html” on the web server The two files are said to be aliased when they point to the same file.
  • Information indicating that different OSs and application software represent the same file with different names is alias definition information. For example, alias settings based on web server settings and OS symbolic links are alias definition information.
  • the filtering information is information that defines for which access route the network filtering setting defined in the filtering configuration is effective. If there is a filtering configuration that is effective when accessed, it is information that defines a set of the corresponding user configuration and filtering configuration. Other than the combination of the user configuration and the filtering configuration, the network configuration may be a combination of network configurations, a network configuration, and a file configuration.
  • the user set information is information indicating that a plurality of users are handled as a group.
  • the authority acquisition information is information indicating that a user acquires the authority of another user and behaves as that user by setting the user authentication or the execution user of the application.
  • the network configuration is information representing the connection status of the network interface. More specifically, it is information representing a connection relationship between computers in a network.
  • the access path is expressed using a graph structure in which nodes and arc force are also configured, for example.
  • Node nodes include user nodes that model user configurations, file nodes that have file configurations, and network nodes that have filtering configurations as nodes.
  • Arc includes alias definition arc modeled by alias definition information, data movement relation arc modeled by access right information, network arc modeled by filtering information, belonging arc modeled by user set information, authority There is an authority acquisition arc that models acquisition relationships.
  • the access path model can determine whether a file can be accessed with file access rights and whether it can be accessed by network filtering.
  • the access path includes at least one user node, network node, and file node. (Node sequence). It is also possible to use a sequence that includes arcs connected only by nodes (nodes and arcs)! /.
  • the access route model input means 110 inputs an access route model to be inspected.
  • the access route model storage means 1040 stores the access route model input by the access route model input means 110, and outputs the access route model according to the request of the access route determination means 1060.
  • the analysis target access route input means 1050 inputs the analysis target access route as a criterion for information leakage.
  • the analysis target access path that is the criteria for determining information leakage is the distribution source file that is subject to information leakage and the distribution destination file or user. Specified. Also, a part of the access route model may be specified as it is, which may specify the route along which the file passes. In the access route model, if there is a file route that matches the analysis target access route to the user or file in the access route model, this indicates that there is a possibility of information leakage by that route.
  • the access path to be analyzed represents a path (file power is also a path to the user or the file) that must not exist because there is a possibility of information leakage.
  • a file is specified as the file distribution source, and a file or user is specified as the distribution destination.
  • the file distribution destination for example, the user ID for accessing the information leakage judgment target file and the file (copy destination file) to which the judgment target file is written are specified.
  • the intermediate route may be specified by, for example, a network address, a port number, the name of a device including them, or a segment name.
  • the access route determination unit 1060 extracts the access route model from the access route model storage unit 1040, and performs matching with the analysis target access route input by the analysis target access route input unit 1050. Determine whether the route is on the access route model. When it is determined that the analysis target access route is in the access route model, the access route determination means 1060 determines the file of the analysis source access route as a file that may leak information. Further, the access route determination means 1060 determines the portion of the access route model that matches the analysis target access route as the information leakage route.
  • the setting information input unit 130 inputs setting information corresponding to each element of the access route model and information indicating the storage location of the setting information in the verification target system 1010. Then, the setting information and information indicating the storage location of the setting information are stored (stored) in the setting information storage means 2010.
  • the storage location of each setting information in the verification target system 1010 is represented by the host name, file name, number of lines indicating the description position in the file, variable name, and the like.
  • the setting information input means 130 also inputs correspondence information indicating the correspondence between each element of the access route model and each setting information, and stores it in the setting information storage means 2010. .
  • the correspondence information is created by an operator, for example.
  • the access route model input unit 110, the analysis target access route input unit 1050, and the setting information input unit 130 may input information from the operator according to the operation of the operator, for example.
  • the setting information storage means 2010 stores the information (setting information, correspondence information, etc.) input by the setting information input means 130 and outputs the information in accordance with a request from the setting information specifying means 2020.
  • the setting information specifying unit 2020 determines the access route from the access route determined to match the analysis target access route by the access route determining unit 1060 and the correspondence information stored in the setting information storage unit 2010. Specify the setting information that caused the generation (the setting information that defined the access route), and read the setting information.
  • the information leakage countermeasure proposal proposing means 3040 is based on the access path determined to match the analyzed access path by the access path determining means 1060 and the setting information specified by the setting information specifying means 2020. A typical setting example for blocking the matched access route is extracted from the information leakage countermeasure plan storage means 3010 and presented.
  • the information leakage countermeasure proposal proposing means 3040 is retrieved from the information leakage countermeasure proposing storage means 3010 which can be input by the setting change input means 3030 instead of taking the countermeasure proposal from the information leakage countermeasure proposing storage means 3010. Some or all of the proposed measures may be changed.
  • the information leakage countermeasure plan storage means 3010 stores (stores), for each setting information, the content and method of change for taking countermeasures against information leakage and the change validation method. As changes, the current setting text pattern and the change candidate text pattern are stored. The current setting and change candidate patterns are described by regular expressions, for example. As a specific example, in the information leakage countermeasure for the OS file access right, for example, “(. +? +) ⁇ 8 ⁇ (. *)” Is set as the current setting, and “chmod 700 $ 9” is the change candidate. Described. Further, in the countermeasure proposal regarding the packet filtering rule, for example, “(. *) Acceptj” is described as the current setting, and “iptables?
  • the method includes command execution or text rewriting.
  • Command execution is a setting Command (for example, a setting tool attached to an application or an execution command of an application created for changing a setting). If the change method is command execution, the command is described in the information leakage countermeasure proposal information.
  • Text rewriting means a mode in which settings are changed by changing the text when the application settings are made in a text file.
  • the setting validation method is a method for validating the setting. There are a mode in which the setting is validated by executing a command for validating the setting and a mode in which the setting is validated by restarting the application. These aspects are described in the information of the information leakage countermeasure plan.
  • the information leakage countermeasure proposal storage means 3010 stores each information leakage countermeasure proposal in correspondence with various setting information and the description contents.
  • the information leakage countermeasure proposal proposing means 3040 presents the setting information specified by the setting information specifying means 2020 and the setting information that becomes the change candidate extracted from the information leakage countermeasure proposal storing means 3010 (for example, display output) To do. At this time, if the information leakage countermeasure proposal storage means 3010 is not provided, or if the corresponding setting change proposal is not stored in the information leakage countermeasure proposal storage means 3010, the setting information as a change candidate is blank. It is good. Or, the same contents as the current setting may be displayed.
  • the setting change input means 3030 is used by the operator to change the information leakage countermeasure proposal presented by the information leakage countermeasure proposal proposal means 3040, input a new information leakage countermeasure proposal, and select the information leakage countermeasure proposal. Depending on.
  • the countermeasure execution unit 3050 reflects the information leakage countermeasure selected by the setting change input unit 3030 on the verification target system. In other words, the selected setting is reflected in the verification target system.
  • FIG. 2 is a flowchart showing the operation of the information leakage analysis system in the first embodiment.
  • the access route model input means 110 inputs an access route model and stores it in the access route model storage means 1040 (step Sl l).
  • the setting information input means 130 indicates setting information corresponding to the input access route model, information indicating the storage location of the setting information in the verification target system 1010, and a correspondence relationship between the access route model and the setting information. Enter the corresponding information And stored in the setting information storage means 2010 (step S12).
  • the analysis target access route input means 1050 inputs the analysis target access route. (Step S13).
  • the access route determination unit 1060 retrieves the access route model from the access route model storage unit 1040, and collates the access route model with the analysis target access route (step S14).
  • the access route determination means 1060 (which may be the setting information identification means 2020) determines whether or not there is an access route that matches the analysis target access route as a result of the collation processing in step S14 (step S14a). If there is an access route that matches the analysis target access route (YES in step S14a), the setting information identification unit 2020 refers to the correspondence information stored in the setting information storage means 2010 and generates a matched access route.
  • the setting information that caused the problem is extracted (step S15).
  • the information leakage countermeasure proposal proposing means 3040 takes out the information leakage countermeasure proposal stored in the information leakage countermeasure proposing storage means 3010 based on the setting information extracted in step S15 (step S16). Since the information leakage countermeasure plan storage means 3010 stores each information leakage countermeasure plan in correspondence with various setting information and the description contents, in step S16, an information leakage countermeasure plan corresponding to the setting information can be taken out. it can. Subsequently, the information leakage countermeasure proposal proposing means 3040 displays the access route setting information and the corresponding information leakage countermeasure proposal setting information (change candidate), and corrects the change candidate according to the operation of the operator. (Step S17).
  • the information leakage countermeasure proposal proposing means 3040 prompts the operator to select a change candidate to be reflected in the verification target system 1010 from among the displayed change candidates, and the verification target system 1010 is informed according to the operation of the operator. Decide which change candidates should be reflected (step S18).
  • the countermeasure execution means 3050 changes the setting of the verification target system 1010 according to the setting content indicated by the determined change candidate (step S19). As a result, the access route corresponding to the access path to be analyzed is excluded, and information leakage is prevented.
  • a model representing the verification target system, setting information associated with the model, and an analysis target access path that is a criterion for information leakage are input. Based on the input information, the information leakage route is found and corrected. So file access The route can be grasped on the model, and the file with the possibility of information leakage and its access route can be identified.
  • it is configured to present change candidates corresponding to the setting information associated with the model and change the settings, it is easy to prevent files that may leak information from leaking. You can change the setting. As a result, information leakage can be prevented.
  • the information leakage countermeasure proposal proposing means 3040 corresponds to a result output means for outputting the setting information specified by the setting information specifying means.
  • FIG. 3 is a block diagram showing a second embodiment of the present invention.
  • the information leakage analysis system includes information leakage countermeasure priority order determination means 210 in addition to the configuration of the first embodiment.
  • Constituent parts that are the same as those already described in the embodiment will be assigned the same reference numerals as those already explained, and explanations thereof will be omitted.
  • the information leakage countermeasure priority order determining means 210 ranks the plurality of setting change proposals (setting information change candidates) proposed by the information leakage countermeasure proposal proposing means 3040 in the order in which it is appropriate to change them. To do. In order of ranking, ranking is performed in ascending order of impact on the verification target system 1010 due to setting changes to prevent information leakage. There is a method of determining using the position on the route as a method of arranging in order of increasing influence due to the setting change. For example, the information leakage path is arranged in the order of the distribution source, that is, the change candidate related to the storage location of the distribution file, the change candidate related to the access right of the information leakage path, and so on.
  • the ability to change settings that only affect distribution files can be arranged in order, up to setting changes that have a significant effect on non-distribution files.
  • the effect of changing the setting information may be calculated using a model.
  • the information leakage countermeasure priority order determination unit 210 causes the access route determination unit 1060 to determine all routes sharing the node or arc whose settings are to be changed. Then, the information leakage countermeasure priority order determination means 210 may rank the change candidates in order of the number of access routes sharing the setting change node or arc.
  • FIG. 4 is a flowchart showing the operation of the information leakage analysis system in the second exemplary embodiment.
  • the operations in steps S11 to S16 shown in FIG. 4 are the same as the operations in steps S11 to S16 described in the first embodiment.
  • priority is given to measures against information leakage
  • the order determination means 210 rearranges the setting information change candidates extracted in step S16 in the order of least influence on the verification target system 1010 due to the setting change, and changes the order of the setting information by the information leakage countermeasure proposal means 3040.
  • the order in which information leakage countermeasure proposals including candidates for change are displayed (step S21).
  • steps after step S17 are performed.
  • the operation after step S17 is the same as the operation after step S17 described in the first embodiment.
  • the same effect as in the first embodiment can be obtained. Furthermore, since the information leakage countermeasure proposal including the setting information change candidate is rearranged and displayed in the order of least influence on the verification target system 1010 due to the setting change, the operation ⁇ (verifier) Measures can be easily selected with little impact on the verification target system.
  • FIG. 5 is a block diagram showing a third embodiment of the present invention. Constituent parts similar to those of the embodiment already described are denoted by the same reference numerals as those already described, and detailed description thereof is omitted.
  • the information leakage analysis system includes a verification target system 1010 including a computer and a network to be inspected, a setting information collection unit 1020, an access route model generation unit 1030, and an access route.
  • Model storage means 1040, analysis target access path input means 1050, access path determination means 1060, and result output means 1070 are provided.
  • the verification target system 1010 includes an inspection target network 1011, an inspection target computer 1 012, system information storage means 1013 for storing settings of the inspection target computer, and network configuration storage means 1014 for storing settings of the network configuration. Including. This also applies to the first and second embodiments already described.
  • the setting information collection unit 1020 collects setting information from the verification target system 1010.
  • the access route model generation unit 1030 generates an access route model based on the setting information collected by the setting information collection unit 1020.
  • the access route model storage means 1040 stores the access route model generated by the access route model generation means 1030. In response to a request from the access route determination means 1060, an access route model is output.
  • the result output unit 1070 displays the route in the access route model determined by the access route determination unit 1060 to match the analysis target access route and the file in the route.
  • FIG. 6 is a flowchart showing the operation of the information leakage analysis system in the third exemplary embodiment.
  • the setting information collection unit 1020 collects setting information of the verification target system 1010 (step S110).
  • the access route model generation means 1030 models the verification target system 1010 based on the collected setting information, and generates an access route model (step S120).
  • the generated access route model is stored in the access route model storage means 1040.
  • the analysis target access route input means 1050 inputs the analysis target access route (step S130).
  • the access route determination unit 1060 extracts the access route model from the access route model storage unit 1040, and matches the access route model with the analysis target access route. (Step S 140).
  • the result output means 1070 displays the result of matching (route in the access route model determined to match the analysis target access route and information on the file in the route) (step S150). Specifically, the file information and the access path to the file are displayed.
  • FIG. 7, FIG. 8, and FIG. 9 are flowcharts showing the process progress of the access path model generation process.
  • the access route model generation means 1030 inputs the network configuration information of the verification target system 1010 among the setting information collected in step S110 (step S701). Then, one host included in the network configuration information is extracted and set as a verification target computer (step S702).
  • the access route model generation unit 1030 reads the setting information of the verification target computer from the collected setting information (step S703), and also sets the setting information of the application installed in the verification target computer. Is read (step S704).
  • the access route model generation means 1030 analyzes the user information in the read setting information and creates a user node (step S 705).
  • network information is analyzed to create a network node (step S706).
  • the access route model generation unit 1030 analyzes group information (user set information) in the read setting information and creates a group node (step S707).
  • the access route model generation means 1030 analyzes the group information and the user information, and creates a belonging arc (step S708, see FIG. 8). Also, the file information in the read setting information is analyzed to create a file node (step S709). Subsequently, the access route model generation unit 1030 prays for the file information and the access right information, and creates an information transmission arc (step S710). The network information power also creates a network arc (step S711).
  • step S711 the access route model generation means 1030 determines whether or not there is a node in which the setting information power of another application is also created (step S712). If there is no such node, the process proceeds to step S717 (see FIG. 9) described later. If there is such a node, the access route model generation means 1030 creates an alias definition arc from the file information (step S713), and also creates an authority acquisition arc for the user information ability (step S714).
  • the access route model generation means 1030 creates a file information force alias definition arc, and also creates an authority acquisition arc for the user information force (step S716). Subsequently, the access route model generation unit 1030 determines whether there is setting information of an application for which a model has not been created (step S717). If there is such application setting information, the processing from step S704 is repeated. If there is no such application setting information, a network arc that connects network nodes between computers to be verified is created according to the network configuration information (step S718). [0084] After step S718, the access route model generation means 1030 determines whether there is a verification target computer for which a model has not been created (step S719). If there is such a verification target computer, the processing from step S702 is repeated. If there is no such verification target computer, the access route model generation process is terminated.
  • the configuration information of the verification target system is collected, an access route model is generated from the setting information, and whether the input analysis target access route exists on the access route model is analyzed. ing. Therefore, the access path of the file can be grasped, and it can be determined whether there is a possibility of information leakage. In addition, by analyzing the setting information that caused the access path to be generated, it is possible to easily identify the setting information that causes information leakage and prevent information leakage.
  • FIG. 10 is a block diagram showing a fourth embodiment of the present invention. Constituent parts similar to those of the embodiment already described are denoted by the same reference numerals as those already described, and detailed description thereof is omitted.
  • the information leakage analysis system includes a verification target system 1010, setting information collection means 1020, access route model generation means 1030, access route model storage means 1040, and analysis.
  • Target access route input means 1050, access route determination means 1060, setting information storage means 2010, setting information identification means 2020, and result output means 2030 are provided.
  • the verification target system 1010 includes an inspection target network 1011, an inspection target computer 1012, system setting storage means 1013 for storing settings of the inspection target computer, and network configuration storage means 1014 for storing settings of the network configuration.
  • the access route model generation means 1030 generates an access route model based on the setting information collected by the setting information collection means 1020, and at the same time, causes the setting information storage means 2010 to generate an access route model.
  • access route model generation means 1030 generates correspondence information.
  • the correspondence information is information indicating the correspondence between each element of the access route model and each setting information. More specifically, the correspondence information includes the components of the access route model, the type of setting information that caused the creation of the component (setting information that determined the component), and the setting information. Indicates the correspondence with the storage location.
  • the type of setting information represents a type such as system setting or network configuration.
  • the storage location of the setting information is position information for specifying the setting information, and is represented by, for example, a storage host name, a storage file name, a position (row, column, etc.) in the storage file of the setting information.
  • the access route model generation means 1030 collects the setting information in advance and concentrates the setting information storage means in place of storing the setting information storage location information in the verification target system 1010 in the setting information storage means 2010. The information on the storage location of the setting information in the setting information storage means 2010 may also be stored in the setting information storage means 2010. Further, the access route model generation means 1030 may store the setting information itself in the setting information storage means 2010 in accordance with the access route model together with the position where the setting information originally existed.
  • the setting information specifying unit 2020 generates an access route from the access route determined to match the analysis target access route by the access route determining unit 1060 and the correspondence information stored in the setting information storage unit 2010. Identify the setting information that caused the error.
  • the result output unit 1070 displays the setting information specified by the setting information specifying unit 2020 together with the access route that matches the analysis target access route.
  • FIG. 11 is a flowchart showing the operation of the information leakage analysis system in the fourth exemplary embodiment.
  • the setting information collection unit 1020 collects setting information of the verification target system 1010 (step S210).
  • the access route model generation unit 1030 models the verification target system 1010 based on the collected setting information, creates an access route model, and stores the access route model in the access route model storage unit 1040.
  • the access route model generation means 1030 stores the correspondence information between the setting information and the access route model that caused the generation of the access route model in the setting information storage means 2010 (step S220).
  • the analysis target access route input means 1050 inputs the analysis target access route (step S230).
  • the access route determination unit 1060 extracts the access route model from the access route model storage unit 1040, and accesses the access route model. Match the model with the access path to be analyzed. (Step S240).
  • the access route determination unit 1060 (which may be the setting information specifying unit 2020) determines whether or not there is an access route that matches the analysis target access route as a result of the process of step S240 (step S250). If there is an access route that matches the access route to be analyzed (YES in step S250), the setting information specifying unit 2020 refers to the storage location information included in the correspondence information stored in the setting information storage unit 2010. Then, the setting information causing the generation of the matched access route is extracted (step S260). Subsequently, the result output means 1070 outputs (for example, displays and outputs) the matched access route and setting information (step S270).
  • the storage location of the setting information is stored together with the access route model, and the setting information that causes the access route to be generated is specified from the access route that matches the analysis target access route. Therefore, it is possible to easily find a setting that may cause information leakage, and as a result, it is possible to prevent information leakage.
  • FIG. 12 is a block diagram showing a fifth embodiment of the present invention. Constituent parts similar to those of the embodiment already described are denoted by the same reference numerals as those already described, and detailed description thereof is omitted.
  • the information leakage analysis system includes a verification target system 1010, setting information collection means 1020, access route model generation means 1030, access route model storage means 1040, and analysis.
  • Target access route input means 1050, access route determination means 1060, setting information storage means 2010, setting information identification means 2020, information leakage countermeasure proposal storage means 3010, information leakage countermeasure proposal proposal means 3040, setting change Input means 3030 and countermeasure execution means 3050 are provided.
  • the verification target system 1010 includes an inspection target network 1011, an inspection target computer 1012, a system setting storage means 1013 for storing settings of the inspection target computer, and a network configuration storage means 1014 for storing settings of the network configuration. .
  • the information leakage countermeasure proposal proposing means 3040 is analyzed by the access route judging means 1060. From the information leakage countermeasure storage means 3010, a typical setting example that blocks the matched access path based on the access path determined to match the target access path and the setting information specified by the setting information specifying means 2020 Take out and present. In addition, instead of taking a countermeasure proposal from the information leakage countermeasure proposal storage means 3010, a part of the countermeasure proposal extracted from the information leakage countermeasure proposal storage means 3010 may be input by the setting change input means 3030. Or you may change all of them.
  • the setting change input means 3030 is used by the operator to change the information leakage countermeasure proposal proposed by the information leakage countermeasure proposal proposal means 3040, input a new information leakage countermeasure proposal, and select the information leakage countermeasure proposal.
  • the countermeasure execution means 3050 reflects the information leakage countermeasure selected by the setting change input means 3030 on the verification target system.
  • FIG. 13 is a flowchart showing the operation of the information leakage analysis system according to the fifth embodiment.
  • the setting information means 1020 collects setting information from the verification target system 1010 (step S310).
  • the access route model generation means 1030 performs modeling based on the collected setting information, and stores the access route model in the access route model storage means 1040. Also, the correspondence information between the access route model and the setting information is stored in the setting information storage means 2010 (step S320).
  • the analysis target access route input means 1050 inputs the analysis target access route (step S330).
  • the access route determination means 10 60 performs matching between the access route model and the analysis target access route (step S340).
  • the access route determination unit 1060 (may be the setting information specifying unit 2020) determines whether there is an access route that matches the analysis target access route as a result of the processing of step S240 (step S345). ). If no such access path exists, the process is terminated. If there is an access route that matches the analysis target access route (YES in step S345), the setting information specifying unit 2020 refers to the storage location information included in the correspondence information stored in the setting information storage unit 2010, and matches the access route. The setting information that caused the generated access route is extracted (step S350).
  • the information leakage countermeasure proposal proposing means 3040 extracts the information leakage countermeasure proposal stored in the information leakage countermeasure proposing storage means 3010 based on the extracted setting information (step S360). Subsequently, the information leakage countermeasure proposal proposing means 3040 displays the access route setting information and the corresponding information leakage countermeasure proposal setting information, and the information leakage countermeasure proposal setting information (setting Change information candidate (step S370). Next, the information leakage countermeasure proposal proposing means 3040 prompts the operator to select a change candidate to be reflected in the verification target system 1010 among the displayed change candidates, and reflects it in the verification target system 1010 according to the operation of the operator. A candidate for change is determined (step S380). The countermeasure execution means 3050 changes the setting of the verification target system 10 10 according to the setting content indicated by the determined change candidate (step S390).
  • system information of the verification target system is collected, modeled, and an analysis target access path is given to determine an access path that may cause information leakage. Then, the setting information causing the access route is identified, the setting information change candidate is presented, and the setting of the verification target system is changed according to the change candidate designated by the operator. Therefore, it is possible to easily identify an access route that may cause information leakage. In addition, since the configuration information can be easily modified, information leakage can be prevented.
  • the information leakage countermeasure priority order determining means 210 is provided, and the information leakage countermeasure priority order determining means 210 is arranged in accordance with the order determined by the information leakage countermeasure priority order determining means 210.
  • a leakage countermeasure proposal may be displayed.
  • the operation of the information leakage countermeasure priority determining means 210 is the same as that of the second embodiment.
  • FIG. 14 is a block diagram showing a sixth embodiment of the present invention. Constituent parts similar to those of the embodiment already described are denoted by the same reference numerals as those already described, and detailed description thereof is omitted.
  • the information leakage analysis system includes an access route input unit 110, an access route model storage unit 1040, an access route determination unit 1060, an access route analysis unit 5010, and a document list display unit 5020. .
  • the access route analysis means 5010 creates an analysis target access route with an arbitrary file included in the access route model as a distribution source and an arbitrary user or file included in the access route model as a distribution destination.
  • the analysis target case is The distribution source and distribution destination are specified in the service route, but the intermediate route is not specified.
  • the analysis target access route itself created by the access route analyzing means 5010 does not indicate a route that may cause information leakage.
  • the access route analysis means 5010 creates an analysis target access route by combining arbitrary files and users, one or more analysis target access routes are created.
  • the access route determination unit 1060 determines, for each analysis target access route, whether an access route between the distribution source and the distribution destination in the analysis target access route exists in the access route model. Then, the access route determination means 1060 identifies the distribution destination and its access route for each file that has become the distribution source. In other words, the access route determination means 1060 determines the presence or absence of the access route for all combinations of distribution sources and distribution destinations, and identifies the distribution destination and the access route for each distribution source for those with access routes. To do.
  • the document list display means 5020 displays the distribution destination analyzed by the access route analysis means 5010 and its access route for each file that has become the distribution source.
  • FIG. 15 is a flowchart showing the operation of the information leakage analysis system in the sixth exemplary embodiment.
  • the access route model input means 110 inputs an access route model (step S1010).
  • the access route analysis means 5010 creates a pair of distribution source and distribution destination as an analysis target access route using an arbitrary file and user included in the inputted access route model, and an access route determination means 1060 However, it is determined whether or not the access route between the distribution source and the distribution destination in the analysis target access route exists in the access route model (step S 1020). If the access route between the distribution source and the distribution destination in the analysis target access route exists in the access route model, it can be accessed between the distribution source and the distribution destination.
  • the access route determination means 1060 collects access routes having the same file as the distribution source (step S1030). That is, for each file that became the distribution source, the distribution destination and its access Identify the route.
  • the document list display means 5020 displays the distribution source file together with the distribution destination user, the file, and the access path (step S 1040). The operator confirms the display result in step S 1040 to determine whether there is a route that may cause information leakage.
  • the path is a path that may cause information leakage. Judged automatically.
  • the access path to be analyzed itself does not mean a path with a possibility of information leakage, but the determination of a path with a possibility of information leakage is left to the operator.
  • an access route model is input, and an arbitrary combination of distribution source and distribution destination is determined based on the access route model. If there is an access path between the distribution source and the distribution destination, for each distribution source file, the file or user that is the distribution destination of the distribution source file and the access path are presented together. Therefore, the operator (verifier) can confirm at a glance whether each file is properly managed, and can easily identify a file that is not properly managed and may have information leakage. Can do. In addition, because it is configured to display the access route together, it is possible to easily identify the location causing the information leakage without checking all the setting information, correct the setting information, and prevent information leakage in advance. can do.
  • FIG. 16 is a block diagram showing a seventh embodiment of the present invention. Constituent parts similar to those of the embodiment already described are denoted by the same reference numerals as those already described, and detailed description thereof is omitted.
  • the information leakage analysis system includes setting information input means 130, setting information storage means 2010, setting information specifying means 2020, and document list display means 5020 in addition to the configuration of the sixth embodiment.
  • FIG. 17 is a flowchart showing the operation of the information leakage analysis system in the seventh embodiment.
  • the access route model input means 110 inputs the access route model. (Step S1010).
  • the setting information input means 130 inputs the setting information in association with the access route model (step S2020).
  • the access route analyzing means 50 10 force creates a pair of distribution source and distribution destination as an analysis target access route using an arbitrary file and user included in the inputted access route model, and an access route determination means 1 060 However, it is determined whether or not the access route between the distribution source and the distribution destination in the analysis target access route exists in the access route model (step S2030).
  • the setting information specifying unit 2020 specifies the setting information that causes the route determined to be the access route to be created (step S2040).
  • the access route analyzing means 5010 collects access routes having the same file as the distribution source (step S20 50).
  • the information leakage countermeasure proposal proposing means 3040 takes out the information leakage countermeasure proposal of the setting information specified in step S2040 (step S2060).
  • the document list display means 5 020 force presents the distribution source file together with the distribution destination user, the file, the access route, and the information leakage countermeasure (step S2070).
  • an access route model is input, and an arbitrary combination of distribution source and distribution destination is determined based on the access route model. If there is an access route between the distribution source and the distribution destination, the setting information that causes the access route to be generated is identified, and an information leakage countermeasure plan is also identified. Then, for each file of the distribution source, the file or user that is the distribution destination of the distribution source file, its access route, and information leakage countermeasure proposal are presented. Therefore, it is possible to confirm at a glance whether each file is properly managed, and it is possible to easily identify a file that is not properly managed and has a possibility of information leakage. In addition, it is possible to easily prevent the distribution of files with the possibility of information leakage without having to search for a specific setting location from the setting file.
  • FIG. 18 is a block diagram showing an eighth embodiment of the present invention. Constituent parts similar to those of the embodiment already described are denoted by the same reference numerals as those already described, and detailed description thereof is omitted.
  • the information leakage analysis system includes setting change input means 3030 and countermeasure execution means 3050 in addition to the configuration of the seventh embodiment.
  • FIG. 19 is a flowchart showing the operation of the information leakage analysis system in the eighth embodiment. The operations from Steps S3010 to S3070 shown in FIG. 19 are the same as the operations from Steps S2010 to S2070 described in the seventh embodiment.
  • the information leakage countermeasure proposal proposing means 3040 determines whether or not there is an operator's operation for correcting the information leakage countermeasure proposal (setting information change candidate) by the setting change input means 3030 (step S3075). When the correction operation is not performed, the process proceeds to step S3070.
  • the setting change input means 3030 selects the information leakage countermeasure plan designated by the operator, and corrects the information leakage countermeasure plan according to the operation of the operator (step S3080).
  • the information leakage countermeasure proposal proposing means 3040 selects the information leakage countermeasure proposal designated by the operator, and the countermeasure execution means 3050 executes the selected information leakage countermeasure proposal and changes the setting of the verification target system 1010. (Step S3090).
  • the information leakage countermeasure plan is corrected and then the information leakage countermeasure plan is executed, the information leakage countermeasure can be easily executed without knowing the details of the means for taking the information leakage countermeasure. It is easy to prevent leakage.
  • FIG. 20 is a block diagram showing a ninth embodiment of the present invention. Constituent parts similar to those of the embodiment already described are denoted by the same reference numerals as those already described, and detailed description thereof is omitted.
  • the information leakage analysis system includes information leakage countermeasure priority order determining means 210 in addition to the configuration of the eighth embodiment.
  • FIG. 21 is a flowchart showing the operation of the information leakage analysis system in the ninth embodiment.
  • the operations from Steps S4010 to S4060 shown in FIG. 21 are the same as the operations from Steps S2010 to S2060 described in the seventh embodiment.
  • the information leakage countermeasure plan priority order determination means 210 gives priority to the information leakage countermeasure plan taken out in step S4060 (step S4070). This process is the same as the process of step S21 in the second embodiment.
  • the document list display means 5020 displays the distribution source file together with the distribution destination user, the file, the access path, and the information leakage countermeasure (step S4080). At this time, follow the priority order of the information leakage countermeasure plan.
  • the distribution source, distribution destination, access route, and information leakage countermeasure proposal group are displayed. Thereafter, the operations of steps S4085 to S4100 are performed.
  • the operations in steps S4085 to S4100 shown in FIG. 19 are the same as the operations in steps S3075 to S3090 described in the eighth embodiment.
  • Measure execution means When 3050 executes the information leakage countermeasure proposal, the information leakage countermeasure proposal priority order determining means 120 automatically determines the information leakage countermeasure proposal with the highest priority (for example, the highest priority) according to the order determined by the means 120. You can do it.
  • the information leakage countermeasure plan is displayed and executed with priority, so that the information leakage countermeasure plan that has the least influence on the verification target system 1010 due to the setting change can be easily applied.
  • the information leakage countermeasure proposal by adopting a configuration that automatically executes the information leakage countermeasure proposal with the highest priority, it is easy to prevent information leakage even if there is no knowledge of the system configuration and the effects of settings.
  • the information leakage countermeasure proposal proposing means 3040 outputs the setting information specified by the setting information specifying means. It also corresponds to means.
  • FIG. 22 is a block diagram showing a tenth embodiment of the present invention. Constituent parts similar to those of the embodiment already described are denoted by the same reference numerals as those already described, and detailed description thereof is omitted.
  • the information leakage analysis system includes an attribute information analysis means 4010, an attribute information storage means 4020, and an attribute usage analysis target instead of the analysis target access route input means 1050 in the third embodiment. Access path input means 4030 and analysis target access path conversion means 4040 are provided.
  • the attribute information analysis means 4010 analyzes the attribute of the setting information included in the verification target system 1010, and associates the content of the setting information with the attribute.
  • the attribute of the setting information is information indicating the attribute of the content indicated by the setting information. For example, if the setting information shows a user, host, or file, the location on the network (for example, segment name), etc., can be used. It can be attribute information of the user, host, or file. . Further, for example, when a user is indicated in the setting information, the role of the user (for example, a title such as a general manager or a section manager) or the like can be user attribute information.
  • the setting information Is displayed the sensitivity of the file (for example, a category representing confidentiality such as confidential documents or confidential documents) and the role of the file (for example, address book, contact network, etc.) Attribute information.
  • the attribute information of the access route for example, the type of route such as a non-encrypted route is cited.
  • the attribute information analysis means 4010 inputs the setting information from the verification target system, for example.
  • the attribute information analysis means 4010 identifies the file attribute and the user attribute based on the file information and user information described in the setting information, and associates the file information with the file attribute, Further, the user information is associated with the user attribute. Similarly, the attribute information analysis means 4010 identifies the attribute of the route indicated by the information based on the port number, IP address, host name, etc. described in the setting information, and the port number etc. Corresponds to route attributes.
  • the attribute information analysis means 4010 stores correspondence information that associates user information, file information, and route information in the setting information of the search target system with user attributes, file attributes, and route attributes. Store in means 4020.
  • the attribute information analysis means 4010 may perform the following analysis, for example, when specifying the attribute of a file. First, the file is read by referring to the file name indicated by the file information and its storage location. Then, the file is divided into partial areas such as a header, text, and footer. Then, when it is described in each partial area, a phrase (hereinafter referred to as a feature element) indicating that the file may have a specific attribute is detected. For example, if a characteristic element “confidential” is described in the header part, the file may have the attribute “confidential”.
  • Such a feature element is determined in advance for each partial area, and the attribute information analysis unit 4010 detects the feature element for each partial area and specifies a file attribute candidate based on the phrase. Then, based on the arrangement state of the detected feature element in the partial region, it is determined whether or not the attribute is suitable as an attribute of the attribute power file as a candidate. For example, in the partial region, the feature element power that appears first among the detected feature elements is referred to, and the sequence of words up to the feature element that appears last is referred to.
  • the ratio of the number of feature elements to the number of words included in the attribute information analysis means 4010 (this value is referred to as density) is less than or equal to a predetermined threshold value, Attributes that are candidates for detection of the feature elements are excluded from the candidates. Also, if the list of words and phrases determined by the feature element that led to a candidate attribute overlaps with the list of words and phrases determined by the feature candidate that led to another attribute candidate, the density is low and the candidate is excluded. The Then, calculate the ratio of overlapping parts to the sequence of words and phrases determined by the feature element that led to the remaining attribute candidate, and subtract that value from 1 (this subtraction result will be referred to as purity;). If the purity is equal to or lower than a predetermined threshold, the candidate is excluded.
  • a sequence of words and phrases determined by the feature elements that derived attribute candidates for the number of words in the partial area Is excluded if the ratio of the number of words included in () is less than a predetermined threshold.
  • candidates that are not excluded are defined as file attributes. This process may be performed for each partial area.
  • each threshold value may be determined in advance by experiments so that inappropriate candidates are excluded.
  • the attribute information analysis means 4010 assigns the attribute of the file to “confidential document”. Can be specified. Then, the attribute information analysis means 4010 stores the correspondence information between the file information of the file and the attribute “confidential” in the attribute information storage means 4020.
  • “description about the Company's confidential document” is described as the document title in the header portion of the file.
  • attribute analysis shown here is merely an example, and the attribute may be specified by another analysis method.
  • the attribute information analysis means 4010 when specifying the user attribute, performs the following processing. Just do it.
  • the attribute information analysis means 4010 stores information on various attributes such as job titles for each user in advance. Then, when the setting information is input from the verification target system, the attribute information analysis unit 4010 refers to the user information included in the setting information and stores the attribute corresponding to the user information in advance. Extract from The attribute information analysis means 4010 identifies this attribute as an attribute of user information included in the setting information.
  • the attribute information analysis unit 4010 stores correspondence information in which the user information is associated with the identified attribute in the attribute information storage unit 4020. Similarly, the attribute information analysis means 4010 may perform the following process when specifying the attribute of the route.
  • the attribute information analysis unit 4010 stores in advance information on the route indicated by the information (for example, “unencrypted route”) together with information such as the port number, IP address, and host name. Then, when the setting information is input from the verification target system, the attribute information analysis unit 4010 refers to information such as the port number, IP address, and host name included in the setting information.
  • the attribute information analysis means 4010 extracts an attribute corresponding to the referenced port number or the like from previously stored information.
  • the attribute information analysis unit 4010 identifies this attribute as a route attribute, and stores correspondence information in which the identified attribute is associated with the port number or the like included in the setting information in the attribute information storage unit 4020. To do.
  • the attribute information analysis means 4010 may prompt the operator to input attributes. That is, the attribute information analysis means 4010 may prompt the operator to input attribute information having the contents indicated by the setting information by displaying and outputting the setting information of the verification target system. By the attribute information input operation by the operator, the attribute information analysis means 4010 can collect the attribute information corresponding to the setting information.
  • the attribute information storage unit 4020 stores correspondence information between the setting information and the attribute information analyzed by the attribute information analysis unit 4010.
  • the attribute usage analysis target access route input means 4030 inputs the attribute usage analysis target access route.
  • Attribute usage analysis target access route means that instead of using individual names such as users and files (e.g., identification information such as user IDs and file names), the analysis target access route uses attribute information to identify It represents the distribution destination and the route on the way.
  • the attribute usage analysis target access route for example, specify the distribution source by file name etc. Instead, it is represented by an attribute such as “personal information”.
  • the distribution destination is not specified by a file name, user ID, or the like, but by a user or a segment name to which the file belongs, or a file type such as “confidential”.
  • the intermediate route is also represented by an attribute such as “unencrypted route”.
  • the analysis target access route conversion unit 4040 converts the attribute use analysis target access route into a form that can be matched with the access route model by the access route determination unit 1060. If the access route determination unit 1060 can match the access route subject to attribute use analysis indicated by using attribute information and the access route model, the access route conversion unit 4040 to be analyzed is provided. Oh ,.
  • FIG. 23 is a flowchart showing the operation of the information leakage analysis system in the ninth embodiment.
  • the setting information collecting means 1020 collects setting information from the verification target system 1010 (step S410).
  • the access route model generation means 1030 performs modeling based on the collected setting information, and stores the generated access route model in the access route model storage means 1040 (step S420).
  • the attribute information analysis means 4010 collects the setting information of the verification target system 1010 and analyzes the attribute corresponding to the contents described in the setting information. Then, the attribute information analysis unit 4010 stores correspondence information indicating the correspondence relationship between the contents of the setting information and the attribute information specified by the analysis in the attribute information storage unit 4020 (step S430).
  • the attribute usage analysis target access route input unit 4030 uses the attribute information stored in the attribute information storage unit 4020 to input the attribute usage analysis target access route (step S440).
  • the access path to be analyzed in this embodiment represents a path that may cause information leakage, as in the first embodiment. Therefore, the attribute use analysis target access route input means 4030 inputs the attribute use analysis target access route as data representing the route with the possibility of information leakage by the attribute information.
  • the analysis target access route conversion unit 4040 uses the correspondence information between the setting information and the attribute information stored in the attribute information storage unit 4020 to convert the attribute use analysis target access route into the analysis target using the setting information. Conversion to an access route (step S450). After that, the access route determination means 1060 determines whether the access route model and the access route to be analyzed are pine. Ching is performed (step S460), and the result output means 2030 outputs the result (step S47 0). The operations in steps S460 and S470 are the same as the operations in steps S140 and S150 in the third embodiment.
  • FIG. 24 is a flowchart showing a process of inputting an attribute usage analysis target access route and converting it to an analysis target access route. The process shown in FIG. 24 shows the details of steps S430 to S450 shown in FIG.
  • the attribute information analysis unit 4010 collects setting information of the verification target system 1010.
  • Step Dl the attribute information analysis means 4010 analyzes the attribute corresponding to the contents described in the setting information, and stores correspondence information indicating the correspondence between the contents of the setting information and the attribute information identified by the analysis.
  • step D2 as described above, for example, a file force feature element may be detected, and an analysis may be performed to identify the file attribute based on the arrangement state of the feature element.
  • the user and route attributes may be specified by the processing described above.
  • the processing of steps Dl and D2 corresponds to step S430 shown in FIG.
  • the attribute usage analysis target access route input unit 4030 uses the attribute information stored in the attribute information storage unit 4020 to input the attribute usage analysis target access route (step D3).
  • the attribute use analysis target access route input means 4030 reads out the file attributes from the attribute information storage means 4020 as the distribution source candidate attributes, displays a list, and prompts the operator to select the file attributes.
  • the attribute usage analysis target access route input means 4030 describes the distribution source of the attribute usage analysis target access route according to the attribute of the selected file.
  • the attribute usage analysis target access route input means 4030 reads the file and user attributes from the attribute information storage means 4020 as the distribution source candidate attributes, displays them in a list, and displays the file or user attributes to the operator. Encourage selection.
  • the attribute use analysis target access route input means 4030 describes the distribution destination of the attribute use analysis target access route according to the selected file or user attribute. Similarly, the attribute use analysis target access route input unit 4030 reads out the attributes that are candidates for the intermediate route from the attribute information storage unit 4020, displays the list, and prompts the operator to select the attribute. Attribute usage analysis target access route entry The force means 4030 describes the intermediate route of the access route subject to attribute use analysis according to the selected attribute. The attribute usage analysis target access route does not have to describe a route on the way.
  • the processing in step D3 corresponds to step S440 shown in FIG.
  • the analysis target access route conversion unit 4040 stores the contents of the setting information corresponding to the attribute described as the distribution source in the attribute use analysis target access route, and the correspondence information stored in the attribute information storage unit 4020 ( The search is performed from the correspondence information between the setting information and the attribute information (step D4).
  • the analysis target access route conversion means 4040 also has the corresponding information power stored in the attribute information storage means 4020, which is the content of the setting information corresponding to the attribute described as the distribution destination in the attribute use analysis target access route. Search (step D5).
  • the analysis target access route conversion means 4040 determines whether or not the intermediate route is described in the attribute use analysis target access route (step D6). If the route is not described, go to Step D8. If an intermediate route is described, the analyzed access route conversion means 4040 stores the content of the setting information corresponding to the attribute described as the intermediate route in the attribute usage analysis target access route, and stores the attribute information. The corresponding information power stored in the means 4020 is also searched (step D7). After step D7, move to step D8.
  • step D8 the analysis target access route conversion means 4040 replaces the distribution source and distribution destination of the attribute use analysis target access route described by the attribute with the search results in steps D4 and D5, respectively.
  • the route in the attribute usage analysis target access route described in the attribute is replaced with the search result in step D7.
  • the attribute usage analysis target access route is converted to the analysis target access route.
  • Steps D4 to D8 correspond to step S450 shown in Fig. 23.
  • the same effect as in the third embodiment can be obtained. Also, it is easier for operators to specify attributes such as users than to specify analysis target access paths by specifying individual file names or user IDs. In this embodiment, an attribute usage analysis target access route is input using attributes, and the analysis target case is selected. Therefore, convenience for the operator is improved. As a result, information leakage can be more easily prevented.
  • an attribute information analysis means 4010 and an attribute information storage means 4020 instead of the analysis target access route input means 1050, an attribute information analysis means 4010 and an attribute information storage means 4020 And an attribute use analysis target access route input means 4030 and an analysis target access route conversion means 4040.
  • the access route model input unit 110, the setting information input unit 130, and the analysis target access route input unit 1050 are realized by, for example, an input device such as a keyboard and a CPU that operates according to a program. Is done.
  • the information leakage countermeasure proposal proposing means 3040, the result output means 1070, and the document list display means 5020 are realized by, for example, a display device and a CPU that operates according to a program.
  • the setting change input unit 3030 and the attribute use analysis target access path input unit 4030 are realized by, for example, a display device, an input device, and a CPU that operates according to a program.
  • the access route model storage unit 1040, the setting information storage unit 2010, the information leakage countermeasure plan storage unit 3010, and the attribute information storage unit 4020 are realized by a storage device, for example.
  • the access route determination unit 1060, the setting information identification unit 2020, the information leakage countermeasure priority order determination unit 210, and the access route analysis unit 5010 are realized by a CPU that operates according to a program.
  • the countermeasure execution means 3050 and the setting information collection means 1020 are realized by an interface for communication with the verification target system 1010 and a CPU that operates according to a program.
  • the attribute information analysis means 4010 is realized by, for example, an interface for communication with the verification target system 1010 and a CPU that operates according to a program.
  • the CPU for realizing each means may be shared, and the CPU may operate according to a program.
  • the verification target access route means a route with a possibility of information leakage.
  • the access route is input as the access route to be verified and it is confirmed whether or not the access route is represented in the access route model. A little.
  • the access route information storage means described in the claims is realized by an access route model storage means.
  • the route determination unit is realized by an access route determination unit.
  • the access route information generation unit is realized by an access route model generation unit.
  • the route information creation means is realized by the access route analysis means.
  • the display means is realized by a document list display means.
  • the attribute usage information leakage path information input means is realized by the attribute usage analysis target access path input means. Information leakage route information corresponds to the analysis target access route.
  • the attribute usage information leakage route information corresponds to the attribute usage analysis target access route.
  • FIG. 25 is an explanatory diagram showing an example of the verification target system, which is represented by an access route model created based on the network configuration information.
  • the verification target system in this example has a network configuration in which a client computer RD-C and a department server RD-W are connected by a firewall FW. .
  • a web client (not shown in FIG. 25) is installed on the client computer RD-C
  • Apache (not shown in FIG. 25) is installed on the department server RD-W as a web server.
  • Setting information collection means 1020 collects and models the setting information of the verification target system.
  • network configuration information is collected.
  • Figure 26 shows an example of network configuration information that also collects the verification target system power.
  • the access route model generated from the network configuration information shown in FIG. 26 is the model shown in FIG.
  • the access route model generation means 1030 refers to the information (FIG. 26) representing the network interface in the network configuration information, and there are three host elements, which respectively indicate FW, RD-C, and RD—W. Judge that it is.
  • the host element indicating FW includes two nic elements, and the other two host elements each include one nic element.
  • the access route model generation means 1030 also creates a network node with this information power.
  • the access route model generation means 1030 receives network interface connection information.
  • the nic element in the information representing the network interface indicates the IP address and its id number, and the information representing the network interface connection information indicates the set of id numbers of the connected nics.
  • the access route model generation means 1030 recognizes which network nodes are connected from the information indicating the connection information of the network interface, and creates an arc connecting the network nodes.
  • FIG. 27 shows an example of user information in which the client computer RD-C force is also collected.
  • the user information shown in FIG. 27 is OS setting information.
  • the access route model generation means 1030 recognizes from this user information that there are two user IDs “rdc-user- &” and “0-butyou”. Then, the RD-C user information is reflected in the access route model.
  • the access route model is as shown in FIG.
  • the access route model is schematically shown as shown in FIG. 25 and FIG. 28, but the information leakage analysis system holds the access route model as information described in XML or the like, for example.
  • FIG. 29 shows an example of file information and access right information collected from the RD-C card. This information is also OS setting information.
  • the access route model generation means 1030 recognizes the file / rdc-user-a-home / and the file / rdc-user-butyou-home / from the file information. In addition, the access route model generation means 1030, based on the access right information, gives the user rdc-user-a who is the creator of the file / rdc-user-a-home / the right of full access (write authority, read Recognize that the authorization is granted.
  • FIG. 30 shows an example of an access route model reflecting file information and access right information.
  • the user force is also directed to the file.
  • the solid line arrow represents the write permission, and the file force is also directed to the user.
  • the solid line arrow represents the read permission.
  • the access route model generation means 1030 also creates an access route model for the setting information cache of the web client. Since web clients generally have access to port 80 of the web server, the access route model shown in Figure 31 can be created. [0154] Furthermore, the access route model generation means 1030 connects corresponding portions of the access route model created from the setting information of the web client and the access route model created by the setting information power of the OS. Then, the access route model is the model shown in Fig. 32. In FIG. 32, a solid line with diamonds at the ends represents an alias definition.
  • FIG. 33 shows an example of user information that is OS setting information of the department server RD-W.
  • the access route model generation means 1030 recognizes the user apache as the RD-W user from this user information.
  • the access route model generation means 1030 models this user information and adds it to the access route model. Then, the access route model is the model shown in Figure 34.
  • FIG. 35 shows an example of RD-W file information and access right information.
  • the information shown in Fig. 35 is OS setting information.
  • the access route model generation means 1030 reflects this file information and access right information in the access route model.
  • Figure 36 shows an example of an access route model in this case. However, in FIG. 36, only a part of the file shown in FIG. 35 is shown for convenience.
  • FIG. 37 shows an example of Apache setting information.
  • the Apache setting information includes network information, user information, file information, and access right information.
  • the access route model generation means 1030 models the Apache setting information and adds it to the access route model.
  • the access route model generation means 1030 creates an Apache network node “dstport: 80” from the network information shown in FIG.
  • Apache “ user: apac he” is created, and an arc is created between “user: apache” created by the OS configuration information.
  • an Apache file node is created from the file information shown in Fig. 37, and an arc is created between the file node and the OS setting information.
  • FIG. 38 the files “/index.html” and “/leader/index.html” are included in the access route model of apache. “/Index.html” is derived from the file information of line number 10 in FIG. 37 and the file information of line 3 in FIG. Similarly, “/leader/index.html” is the file information of line number 40 in FIG. 37 and the fourth and fifth lines in FIG. And file information.
  • FIG. 39 shows an example of firewall access right information.
  • the access right information shown in 39 is from IP address “10.56.2.5” to IP address “10.56.1.105”.
  • Figure 40 shows an example of an access route model that reflects filtering settings.
  • the access route model generation unit 1030 stores the access route model modeled as described above in the access route model storage unit 1030.
  • the access path model is stored in the information leakage analysis system as information described in XML.
  • FIG. 41 shows an example of the access route model stored in the access route model storage means 1030. However, in Fig. 41, a part of the description in XML format representing the entire access route model is shown.
  • a node includes an ip attribute storing an IP address and an id attribute storing an ID for distinguishing each node.
  • the model created from the application configuration information shows two network nodes and an arc representing the relationship between these network nodes, where the arc is a type attribute, a from attribute, a to attribute,
  • the type attribute represents the type of arc
  • the from attribute represents the ID of the node that is the starting point of the arc
  • the to attribute is the ID of the node that is the end point of the arc.
  • the description of the entire access model is shown in Fig. 42.
  • FIG. 43 is an explanatory diagram showing an example of the analysis target access route input by the analysis target access route input means 1050.
  • the analysis target access path shown in Figure 43 uses the file “10.56.3. 105 / var / www / leader / index.html” for the host “10.56.2.5” user “rdc-user-a” using port 80. If you read it, it will show you what it is.
  • FIG. 44 shows the determination result that the access route determination means 1060 determines as a route with a possibility of information leakage based on the analysis target access route and the access route model.
  • paths that may leak information are indicated by broken lines.
  • the route indicated by the broken line is the file “/var/www/leader/index.html” of the host “10.56.3.105” and the host “10.5
  • the user “rdc-user-a” of “6.2.5” can read using port 80, which means there is a possibility of information leakage.
  • the file “/var/www/leader/index.htmlj” of the host “10.56.3.105” may be leaked.
  • the result output means 1070 displays the access route model shown in FIG. 44 and presents it to the operator (verifier).
  • the verifier can identify a file on a route that matches the access route to be analyzed (that is, a route that may cause information leakage) by viewing the access route model illustrated in FIG.
  • the verifier can change an appropriate setting among the settings related to the route. As a result, it is possible to promptly change settings that prevent information leakage.
  • a second embodiment is shown using the system to be verified shown in the first embodiment.
  • the access route generation model generated based on the setting information collected from the verification target system power is the same as in the first embodiment.
  • the generated access route model is stored, the setting information is also stored, and an information leakage countermeasure plan is presented.
  • FIG. 45 and FIG. 46 show examples of information in which setting information is added to the access route model modeled from the setting information collected by the setting information collecting means 1020.
  • Information illustrated in FIG. 45 and FIG. 46 is stored in the setting information storage means 2010 by the access route model generation means 1030.
  • the setting information shown in Fig. 45 and Fig. 46 includes information such as the location (host name and file name) where the setting information was stored and the location in the file. .
  • Setting information specifying means 2020 specifies setting information determined to cause information leakage. That is, the setting information associated with the access route model of the route with the possibility of information leakage is identified and extracted from the setting information storage means 2010. For example, the setting information associated with the access route model of the route indicated by the broken line in FIG. 44 is extracted from the setting information storage means 2010. As a specific example, the access route model indicated by a broken line in FIG. 44 includes an arc between the file “/leader/index.html” and the user apache. This arc is generated from the apache access right information shown in Figure 46. . The setting information specifying unit 2020 extracts setting information illustrated in FIG. 46 as setting information corresponding to this arc. In the case of the access route indicated by the broken line in Fig. 44, the client RD—C user rdc—user—a and the final / rdc—user—a—home /
  • the information leakage countermeasure proposal proposing means 3040 extracts the information leakage countermeasure proposal (setting information change candidate) from the information leakage countermeasure proposal storing means 3010 and displays it.
  • Figure 47 shows an example of a user interface (hereinafter referred to as UI) for displaying information leakage countermeasures.
  • the setting information determined to cause information leakage is displayed as “current setting”.
  • a “correct” button, a “change candidate” display field, and an “execute” button are displayed.
  • change candidates may not be displayed in the “change candidate” display field.
  • change candidates that are considered to have many items to be determined by the user need not be displayed in the initial display state.
  • each change candidate is displayed in the initial display state may be determined in advance. In this example, it is assumed that the operator cannot edit the change candidate on the UI shown in FIG.
  • the “modify” button is selected (for example, selected by mouse click)
  • the setting change input means 3030 displays a change candidate edit screen corresponding to the button.
  • the setting change input means 3030 displays the change candidate corresponding to the “current setting” corresponding to the selected “correction” button. Take out from the plan storage means 3010 and display the change candidates on the edit screen.
  • FIG. 48 shows an example of a display screen when the “modify” button shown at the bottom in FIG. 47 is selected.
  • Setting change input unit 3030 takes out the information leakage countermeasure corresponding to "current setting” is displayed on the display column of "change candidate" ( Figure 48 reference.)
  • 0 setting change input unit 30 30 is, for example, this It is realized by a display device that displays a screen, an input device such as a keyboard, and a CPU. Then, the setting change input means 3030 displays the displayed change.
  • the display of the change candidate is updated according to the operation. That is, the operator can edit the displayed change candidates using a keyboard or the like.
  • the “Cancel” button is selected on the screen shown in FIG.
  • the information leakage countermeasure proposal proposing means 3040 displays the previous screen (see FIG. 47) again.
  • the information leakage countermeasure proposal proposing means 3040 reflects the content displayed as “change candidate” in FIG. 48 and displays the UI again.
  • Figure 49 shows the UI screen. In the UI shown in Fig. 47, nothing is displayed in the "Change candidate" display field at the bottom, and the status is displayed, but the change candidate is displayed by selecting the "Modify” button (Fig. 48). 48.)
  • change candidates are displayed in the “change candidate” display field at the bottom.
  • the operator edits the change candidate on the screen shown in FIG. 48 the result of the editing is displayed on the UI shown in FIG.
  • the countermeasure execution means 3050 is stored in the information leakage countermeasure plan storage means 3010.
  • the setting indicated as the change candidate is applied to the verification target system.
  • the countermeasure execution means 3050 partially rewrites the apache configuration file using the “change candidate” displayed together with the “execute” button at the bottom, and restarts the server.
  • Figure 50 shows an example of an apache configuration file that has been partially rewritten using the change candidates displayed at the bottom of Figure 49. The partial force of line numbers 51 to 60 shown in Fig. 50 has been rewritten.
  • the verifier can easily find a file that may cause information leakage by inputting the analysis target access path.
  • the information leakage countermeasure proposal suggestion means 3040 can display a plurality of methods for preventing information leakage, it is possible to quickly and easily carry out countermeasures considered to be effective. This can prevent information leakage.
  • the third embodiment will be described using the same verification target system as that of the second embodiment. Also, It is assumed that the setting information is stored together with the path model as in the second embodiment. In the third embodiment, the case where the information leakage countermeasure priority determining means 210 ranks information leakage countermeasure proposals will be described.
  • the information leakage countermeasure priority order determination means 210 has information with the possibility of information leakage.
  • Leaked file 5010 (/var/www/leader/index.html)
  • arc 5020 indicating access rights to information leaked file 5010
  • user 5030 (user: apache) who has access rights to information leaked file
  • the information leakage countermeasure proposal proposing means 3040 displays the setting information corresponding to each ranked model as the “current setting” according to the order, and displays the change candidates corresponding to the setting.
  • FIG. 51 shows an example of a screen displaying change candidates in accordance with the order determined by the information leakage countermeasure priority order determining means 210. However, FIG. 51 shows a state in which the “modify” button is selected, editing is performed, and each change candidate is displayed. After this state, the operation when the “Execute” button is selected is the same as in the second embodiment.
  • Example 2 the same effect as in Example 2 can be obtained.
  • the most effective measures can be implemented quickly and easily.
  • Example 4 shows an example of the operation of the ninth embodiment.
  • Access path analysis means 5010 uses the file /var/www/leader/index.html (see Figure 44) as the distribution source or intermediate node, and all users and files as distribution sources and distribution destinations as the analysis target access Create a route.
  • the access route determination means 1060 determines the presence / absence of all routes.
  • the information leakage countermeasure priority determining unit 210 counts the number of routes determined by the access route determining unit 1060. In the case of the model shown in Fig. 44, the number is 14. Similarly, the path is counted for all elements in the information leakage path.
  • the setting change proposals are ranked in ascending order of the paths counted in this way.
  • the subsequent procedure is the same as in Example 2.
  • the UI illustrated in Fig. 47 is used for the description.
  • the name of the setting file that describes the setting information may be displayed.
  • Figure 52 shows an example of such a UI.
  • an “execute” button, a setting file name, a current setting, a change candidate, and a “modify” button are displayed as a set.
  • the possibility of information leakage can be determined according to the setting status of the system that stores the file.
  • file leakage can be prevented.
  • the present invention can be applied to verification of the possibility of file leakage.

Abstract

ユーザがどのようなファイルにアクセス可能かを表現し、そのアクセス経路を表現するアクセス経路モデルを、アクセス経路モデル入力手段１１０が入力する。また、設定情報入力手段１３０は、検証対象システム１０１０の設定情報を入力する。アクセス経路判定手段１０６０は、情報漏洩の判断基準となる分析対象アクセス経路と、入力されたアクセス経路モデルとを照合する。設定情報特定手段２０２０は、照合の結果、分析対象アクセス経路に合致したモデルに対応する設定情報を特定する。情報漏洩対策案提案手段３０４０は、その設定情報に対応する情報漏洩対策案を情報漏洩対策案格納手段３０１０から取り出し、表示する。

Description

情報漏洩分析システム
技術分野
[0001] 本発明は、ファイル等の情報の漏洩の可能性を分析する情報漏洩分析システム、 情報漏洩分析方法、および情報漏洩分析プログラムに関する。
背景技術
[0002] 情報漏洩の可能性のあるファイルを発見し、情報漏洩を未然に防止するためのシ ステムが種々提案されている（例えば、特許文献 1,非特許文献 1参照。 ) o図 53は、 特許文献 1に記載のシステムを示す説明図である。図 53に示すように、特許文献 1に 記載されたシステムは、ファイル位置検出手段と、ファイル属性設定手段と、ファイル 位置比較手段と、プログラム実行手段とを含んでいて、以下のように動作する。フアイ ル属性設定手段は、ファイルの存在位置として許される位置を設定する。次に、ファ ィル位置検出手段がファイルの存在位置を検出する。ファイル位置比較手段は、ファ ィル属性設定手段によって設定されたファイルの存在位置と、ファイル位置検出手段 によって検出されたファイルの存在位置とを比較する。ファイル属性設定手段によつ て設定された存在位置の範囲外にファイルが存在するならば、情報漏洩ファイルで あると判断し、プログラム実行手段が、そのファイルを削除したり、暗号化したりする。 以上の動作により、情報漏洩の可能性のあるファイルを発見し、情報漏洩を防止でき る。
[0003] また、非特許文献 2には、以下のような動作が示されている。まず、情報漏洩させて はいけないファイルに含まれる文字列をキーワードとして登録する。次に、流通してい るファイルを解析し、ファイル中に含まれる文字列を抜き出す。そして、ファイルから 抜き出された文字列が、登録された文字列群に含まれているかどうかを判定する。フ アイルカ 抜き出された文字列が登録されているときには、そのファイルを情報漏洩 の可能性のあるファイルであると判定し、そのファイルの流通の中断を指令する。以 上の動作により、ファイルによる情報漏洩の可能性を判断し、情報漏洩を防止できる [0004] 特許文献 1 :特開 2003— 36208号公報（第 5— 10ページ、図 1)
[0005] 非特許文献 1： "eTrust Secure Content Manager rl. 1"、 [online]、平成 16 年 9月、コンピュータ'ァソシエイッ株式会社、 [平成 16年 11月 25日検索]、インター ネ、ノ卜<じ尺し： http://www.caj.co.jp/etrust/scm/pdf/pd.pdf >
発明の開示
発明が解決しょうとする課題
[0006] 従来のシステムでは、ファイルを格納するシステムの設定状況 (例えば、ファイルへ のアクセス権の設定や、そのシステムに搭載されたアプリケーションの設定の状況等 )に応じて、情報漏洩の可能性を判定することはできな力つた。その理由は、従来技 術では、ファイルの内容やファイルの存在位置を基準として、情報漏洩の可能性を判 定していたためである。
[0007] また、漏洩したファイルがどこに格納されて 、たファイルであるの力、あるいは、その ファイルの漏洩の起因となった設定等を特定することができな力つた。従来技術では 、ファイルの内容の解析を通信経路途中で行い、漏洩してはならないファイルである と判定された場合にその通信を遮断して、情報漏洩を防止している。そのため、通信 を遮断してファイルの漏洩を防 、だとしても、そのファイルがどこに格納されて 、たか 等については判定できな力つた。
[0008] また、ファイルが流通して 、る場合、そのファイルの流通先を判定できることが好ま しい。
[0009] 本発明は、ファイルを格納するシステムの設定状況に応じて、情報漏洩の可能性を 判定できるようにすることを目的とする。また、ファイルが漏洩することを未然に防げる ようにすることを目的とする。また、本発明は、漏洩する可能性のあるファイルがどこに 格納されているファイルであるの力、あるいは、そのファイルの漏洩の起因となる設定 等を特定できるようにすることを目的とする。
課題を解決するための手段
[0010] 本発明による情報漏洩分析システムは、ファイルを格納するシステムに格納される ファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー 可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイル へのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格納手 段と、システムにおけるネットワーク構成、システムに格納されたファイルのファイル名 および格納場所、システムに搭載されたオペレーティングシステムまたはアプリケー シヨンを利用するユーザに関する情報を含む設定情報を記憶する設定情報格納手 段と、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情報と を照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に表さ れている力否かを判定する経路判定手段と、情報漏洩経路情報によって表される経 路がアクセス経路情報内に表されていると判定された場合に、当該経路に対応付け られた設定情報を特定し、当該設定情報を設定情報格納手段から読み込む設定情 報特定手段と、設定情報を出力する結果出力手段とを備えたことを特徴とする。
[0011] そのような構成によれば、経路判定手段が、情報漏洩の可能性がある経路を表す 情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表 される経路がアクセス経路情報内に表されている力否かを判定し、設定情報特定手 段が、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されてい ると判定された場合に、当該経路に対応付けられた設定情報を特定し、結果出力手 段が、その設定情報を出力する。従って、設定情報が出力されたことにより、情報漏 洩の可能性を判定できる。また、情報漏洩の可能性がある経路に対応する設定情報 が出力されるので、情報漏洩の起因となる設定を特定することができる。
[0012] 本発明による情報漏洩分析システムは、ファイルを格納するシステムにおけるネット ワーク構成、システムに格納されたファイルのファイル名および格納場所、システムに 搭載されたオペレーティングシステムまたはアプリケーションを利用するユーザに関 する情報を含む設定情報をシステムから収集する設定情報収集手段と、システムに 格納されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内 容をコピー可能な他のファイルと、ユーザまたは他のファイル力 システムに格納され るファイルへのアクセス経路を表現したアクセス経路情報を、設定情報に基づ!/、て生 成するアクセス経路情報生成手段と、情報漏洩の可能性がある経路を表す情報漏 洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表される 経路がアクセス経路情報内に表されている力否かを判定する経路判定手段と、情報 漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判定さ れた場合に、当該経路の情報を出力する結果出力手段とを備えたことを特徴とする。
[0013] そのような構成によれば、経路判定手段が、情報漏洩の可能性がある経路を表す 情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表 される経路がアクセス経路情報内に表されている力否かを判定し、結果出力手段が 、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると 判定された場合に、当該経路の情報を出力する。従って、その経路が出力されたこと により、情報漏洩の可能性を判定できる。また、出力された経路により、漏洩する可能 性のあるファイルがどこに格納されているファイルであるのかを判定することができる。 また、アクセス経路情報生成手段が、設定情報に基づいてアクセス経路情報を生成 するので、ファイルを格納するシステムの設定状況に応じた情報漏洩の可能性を判 定することができる。
[0014] アクセス経路情報生成手段がアクセス経路情報を生成する際に用いた設定情報を 、アクセス経路情報との対応関係を示す情報とともに記憶する設定情報格納手段と、 情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると判 定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情報を設 定情報格納手段から読み込む設定情報特定手段とを備え、結果出力手段が、設定 情報特定手段が特定した設定情報を出力する構成であってもよ 、。そのような構成 によれば、情報漏洩の可能性がある経路に対応する設定情報が出力されるので、情 報漏洩の起因となる設定を特定することができる。
[0015] 情報漏洩の可能性がある経路を遮断する設定案を、設定情報の記載内容に対応 付けて記憶する情報漏洩対策案格納手段と、設定情報特定手段が特定した設定情 報の内容に対応付けられた設定案を情報漏洩対策案格納手段から読み込んで出力 する情報漏洩対策案提案手段とを備えた構成であってもよい。そのような構成によれ ば、情報漏洩の可能性がある経路を遮断する設定案をオペレータに提示することが できるので、その結果、ファイル漏洩を未然に防ぐことができる。
[0016] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案に 応じて、ファイルを格納するシステムの設定を変更する対策実行手段を備えた構成 であってもよい。そのような構成によれば、対策実行手段が、情報漏洩の可能性があ る経路を遮断する設定案に応じてシステムの設定を変更するので、ファイル漏洩を未 然に防ぐことができる。
[0017] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案を 表示して、当該設定案に対する編集操作を促すユーザインタフェースを表示し、当 該ユーザインタフェースで設定案に対する編集操作が行われた場合、編集操作に応 じて設定案を更新する設定変更入力手段を備えた構成であってもよい。そのような構 成によれば、オペレータが設定案を編集することができる。
[0018] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ各設定案 に対して、各設定案に応じてシステムの設定を変更した場合におけるシステムへの 影響が少ないと判定される順に順位を決定する情報漏洩対策案優先順位決定手段 を備え、情報漏洩対策案提案手段が、情報漏洩対策案優先順位決定手段に決定さ れた順位に従って各設定案を表示する構成であってもよ！/ヽ。そのような構成によれば 、システムへの影響が少な 、設定案カゝら順にオペレータに提示することができる。
[0019] 情報漏洩経路情報を入力する情報漏洩経路情報入力手段を備えた構成であって もよい。そのような構成によれば、オペレータが情報漏洩経路情報を指定することが できる。
[0020] 情報漏洩の可能性がある経路における流通元と流通先をファイルまたはユーザの 属性によって表した属性利用情報漏洩経路情報を入力する属性利用情報漏洩経路 情報入力手段と、ファイルまたはユーザの属性と、当該属性を有するファイルまたは ユーザの情報との対応関係を記憶する属性情報格納手段と、対応関係を参照して、 属性利用情報漏洩経路情報に含まれる属性をファイルまたはユーザの情報に置き 換えることにより、属性利用情報漏洩経路情報を情報漏洩経路情報に変換する変換 手段とを備えた構成であってもよい。ファイルやユーザの属性情報は、オペレータに とって把握しやすい情報である。従って、そのような構成によれば、情報漏洩の可能 性がある経路をオペレータがより簡単に指定することができる。
[0021] ファイルを格納するシステムから設定情報を収集し、前記設定情報に記述された内 容の属性を解析し、前記設定情報に記述された内容と、解析によって特定した属性 との対応関係を属性情報格納手段に記憶させる属性情報解析手段を備えた構成で あってもよい。
[0022] 本発明による情報漏洩分析システムは、ファイルを格納するシステムに格納される ファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー 可能な他のファイルと、ユーザまたは他のファイルからシステムに格納されるファイル へのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格納手 段と、アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経 路情報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を 作成する経路情報作成手段と、経路情報作成手段によって作成された経路情報が 指定する流通元から流通先への経路がアクセス経路情報に表されているか否かを判 定する経路判定手段と、アクセス経路情報に表されて!/、ると判定された経路情報が 指定する流通元のファイルと、流通先のファイルまたはユーザと、流通元と流通先と の間の経路を表示する表示手段とを備えたことを特徴とする。
[0023] そのような構成によれば、経路情報作成手段が、アクセス経路情報に含まれる任意 のファイルを流通元として指定し、アクセス経路情報に含まれる任意のユーザまたは ファイルを流通先として指定する経路情報を作成し、経路判定手段が、経路情報作 成手段によって作成された経路情報が指定する流通元から流通先への経路がァク セス経路情報に表されている力否かを判定し、表示手段が、アクセス経路情報に表 されて 、ると判定された経路情報が指定する流通元のファイルと、流通先のファイル またはユーザと、流通元と流通先との間の経路を表示する。従って、アクセス経路情 報に含まれる流通元、流通先、およびその間の経路をそれぞれオペレータに提示す ることができ、オペレータは、アクセス経路情報に含まれる各流通元、流通先、および その間の経路を参照して、情報漏洩の可能性がある力否かを判定することができる。
[0024] ファイルを格納するシステムにおけるネットワーク構成、システムに格納されたフアイ ルのファイル名および格納場所、システムに搭載されたオペレーティングシステムま たはアプリケーションを利用するユーザに関する情報を含む設定情報を記憶する設 定情報格納手段と、経路情報作成手段によって作成された経路情報が指定する流 通元力 流通先への経路がアクセス経路情報に表されていると判定された場合に、 当該経路に対応付けられた設定情報を特定し、当該設定情報を設定情報格納手段 から読み込む設定情報特定手段と、設定情報を出力する結果出力手段とを備えた 構成であってもよい。
[0025] そのような構成によれば、設定情報特定手段が、経路情報作成手段によって作成 された経路情報が指定する流通元から流通先への経路がアクセス経路情報に表さ れていると判定された場合に、当該経路に対応付けられた設定情報を特定し、結果 出力手段は、その設定情報を出力する。従って、オペレータが、アクセス経路情報に 含まれる各流通元、流通先、およびその間の経路を参照して、情報漏洩の可能性が ある力否かを判定する際に、設定情報も出力されるので、オペレータは、情報漏洩の 起因となる設定を特定することができる。
[0026] 情報漏洩の可能性がある経路を遮断する設定案を、設定情報の記載内容に対応 付けて記憶する情報漏洩対策案格納手段と、設定情報特定手段が特定した設定情 報の内容に対応付けられた設定案を情報漏洩対策案格納手段から読み込んで出力 する情報漏洩対策案提案手段とを備えた構成であってもよい。そのような構成によれ ば、情報漏洩の可能性がある経路を遮断する設定案をオペレータに提示することが できるので、その結果、ファイル漏洩を未然に防ぐことができる。
[0027] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案に 応じて、ファイルを格納するシステムの設定を変更する対策実行手段を備えた構成 であってもよい。そのような構成によれば、対策実行手段が、情報漏洩の可能性があ る経路を遮断する設定案に応じてシステムの設定を変更するので、ファイル漏洩を未 然に防ぐことができる。
[0028] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案を 表示して、当該設定案に対する編集操作を促すユーザインタフェースを表示し、当 該ユーザインタフェースで設定案に対する編集操作が行われた場合、編集操作に応 じて設定案を更新する設定変更入力手段を備えた構成であってもよい。そのような構 成によれば、オペレータが設定案を編集することができる。
[0029] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ各設定案 に対して、各設定案に応じてシステムの設定を変更した場合におけるシステムへの 影響が少ないと判定される順に順位を決定する情報漏洩対策案優先順位決定手段 を備え、情報漏洩対策案提案手段が、情報漏洩対策案優先順位決定手段に決定さ れた順位に従って各設定案を表示する構成であってもよ！/ヽ。そのような構成によれば 、システムへの影響が少な 、設定案カゝら順にオペレータに提示することができる。
[0030] また、本発明による情報漏洩分析方法は、アクセス経路情報格納手段が、ファイル を格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザま たは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイル 力 システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を 記憶し、設定情報格納手段が、システムにおけるネットワーク構成、システムに格納さ れたファイルのファイル名および格納場所、システムに搭載されたオペレーティング システムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を記 憶し、経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報と アクセス経路情報とを照合して、情報漏洩経路情報によって表される経路がアクセス 経路情報内に表されているか否かを判定し、設定情報特定手段が、情報漏洩経路 情報によって表される経路がアクセス経路情報内に表されていると判定された場合 に、当該経路に対応付けられた設定情報を特定し、当該設定情報を設定情報格納 手段から読み込み、結果出力手段が、設定情報を出力することを特徴とする。
[0031] そのような方法によれば、経路判定手段が、情報漏洩の可能性がある経路を表す 情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表 される経路がアクセス経路情報内に表されている力否かを判定し、設定情報特定手 段が、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されてい ると判定された場合に、当該経路に対応付けられた設定情報を特定し、結果出力手 段が、その設定情報を出力する。従って、設定情報が出力されたことにより、情報漏 洩の可能性を判定できる。また、情報漏洩の可能性がある経路に対応する設定情報 が出力されるので、情報漏洩の起因となる設定を特定することができる。
[0032] また、本発明による情報漏洩分析方法は、設定情報収集手段が、ファイルを格納 するシステムにおけるネットワーク構成、システムに格納されたファイルのファイル名 および格納場所、システムに搭載されたオペレーティングシステムまたはアプリケー シヨンを利用するユーザに関する情報を含む設定情報をシステム力も収集し、ァクセ ス経路情報生成手段が、システムに格納されるファイルと、当該ファイルにアクセス可 能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは 他のファイルからシステムに格納されるファイルへのアクセス経路を表現したアクセス 経路情報を、設定情報に基づいて生成し、経路判定手段が、情報漏洩の可能性が ある経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路 情報によって表される経路がアクセス経路情報内に表されている力否かを判定し、結 果出力手段が、情報漏洩経路情報によって表される経路がアクセス経路情報内に表 されていると判定された場合に、当該経路の情報を出力することを特徴とする。
[0033] そのような方法によれば、経路判定手段が、情報漏洩の可能性がある経路を表す 情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって表 される経路がアクセス経路情報内に表されている力否かを判定し、結果出力手段が 、情報漏洩経路情報によって表される経路がアクセス経路情報内に表されていると 判定された場合に、当該経路の情報を出力する。従って、その経路が出力されたこと により、情報漏洩の可能性を判定できる。また、出力された経路により、漏洩する可能 性のあるファイルがどこに格納されているファイルであるのかを判定することができる。 また、アクセス経路情報生成手段が、設定情報に基づいてアクセス経路情報を生成 するので、ファイルを格納するシステムの設定状況に応じた情報漏洩の可能性を判 定することができる。
[0034] また、本発明による情報漏洩分析方法は、アクセス経路情報格納手段が、ファイル を格納するシステムに格納されるファイルと、当該ファイルにアクセス可能なユーザま たは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイル 力 システムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を 記憶し、経路情報作成手段が、アクセス経路情報に含まれる任意のファイルを流通 元として指定し、アクセス経路情報に含まれる任意のユーザまたはファイルを流通先 として指定する経路情報を作成し、経路判定手段が、経路情報作成手段によって作 成された経路情報が指定する流通元から流通先への経路がアクセス経路情報に表 されている力否かを判定し、表示手段が、アクセス経路情報に表されていると判定さ れた経路情報が指定する流通元のファイルと、流通先のファイルまたはユーザと、流 通元と流通先との間の経路を表示することを特徴とする。
[0035] そのような方法によれば、経路情報作成手段が、アクセス経路情報に含まれる任意 のファイルを流通元として指定し、アクセス経路情報に含まれる任意のユーザまたは ファイルを流通先として指定する経路情報を作成し、経路判定手段が、経路情報作 成手段によって作成された経路情報が指定する流通元から流通先への経路がァク セス経路情報に表されている力否かを判定し、表示手段が、アクセス経路情報に表 されて 、ると判定された経路情報が指定する流通元のファイルと、流通先のファイル またはユーザと、流通元と流通先との間の経路を表示する。従って、アクセス経路情 報に含まれる流通元、流通先、およびその間の経路をそれぞれオペレータに提示す ることができ、オペレータは、アクセス経路情報に含まれる各流通元、流通先、および その間の経路を参照して、情報漏洩の可能性がある力否かを判定することができる。
[0036] また、本発明による情報漏洩分析プログラムは、ファイルを格納するシステムに格納 されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容を コピー可能な他のファイルと、ユーザまたは他のファイル力 システムに格納されるフ アイルへのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格 納手段と、システムにおけるネットワーク構成、システムに格納されたファイルのフアイ ル名および格納場所、システムに搭載されたオペレーティングシステムまたはアプリ ケーシヨンを利用するユーザに関する情報を含む設定情報を記憶する設定情報格 納手段とを備えたコンピュータに搭載される情報漏洩分析プログラムであって、コンビ ユータに、情報漏洩の可能性がある経路を表す情報漏洩経路情報とアクセス経路情 報とを照合して、情報漏洩経路情報によって表される経路がアクセス経路情報内に 表されて!/、る力否かを判定する経路判定処理、情報漏洩経路情報によって表される 経路がアクセス経路情報内に表されていると判定された場合に、当該経路に対応付 けられた設定情報を特定し、当該設定情報を設定情報格納手段から読み込む設定 情報特定処理、および設定情報を出力する結果出力処理を実行させることを特徴と する。そのようなプログラムによれば、設定情報が出力されたことにより、情報漏洩の 可能性を判定できる。また、情報漏洩の可能性がある経路に対応する設定情報が出 力されるので、情報漏洩の起因となる設定を特定することができる。
[0037] また、本発明による情報漏洩分析プログラムは、コンピュータに、ファイルを格納す るシステムにおけるネットワーク構成、システムに格納されたファイルのファイル名およ び格納場所、システムに搭載されたオペレーティングシステムまたはアプリケーション を利用するユーザに関する情報を含む設定情報をシステム力 収集する設定情報 収集処理、システムに格納されるファイルと、当該ファイルにアクセス可能なユーザま たは当該ファイルの内容をコピー可能な他のファイルと、ユーザまたは他のファイル 力もシステムに格納されるファイルへのアクセス経路を表現したアクセス経路情報を、 設定情報に基づ!、て生成するアクセス経路情報生成処理、情報漏洩の可能性があ る経路を表す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情 報によって表される経路がアクセス経路情報内に表されている力否かを判定する経 路判定処理、および情報漏洩経路情報によって表される経路がアクセス経路情報内 に表されていると判定された場合に、当該経路の情報を出力する結果出力処理を実 行させることを特徴とする。
[0038] そのようなプログラムによれば、コンピュータに、情報漏洩の可能性がある経路を表 す情報漏洩経路情報とアクセス経路情報とを照合して、情報漏洩経路情報によって 表される経路がアクセス経路情報内に表されている力否かを判定する経路判定処理 、および情報漏洩経路情報によって表される経路がアクセス経路情報内に表されて いると判定された場合に、当該経路の情報を出力する結果出力処理を実行させる。 従って、その経路が出力されたことにより、情報漏洩の可能性を判定できる。また、出 力された経路により、漏洩する可能性のあるファイルがどこに格納されているファイル であるのかを判定することができる。また、コンピュータに、設定情報に基づいてァク セス経路情報を生成するアクセス経路情報生成処理を実行させるので、ファイルを格 納するシステムの設定状況に応じた情報漏洩の可能性を判定することができる。
[0039] また、本発明による情報漏洩分析プログラムは、ファイルを格納するシステムに格納 されるファイルと、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容を コピー可能な他のファイルと、ユーザまたは他のファイル力 システムに格納されるフ アイルへのアクセス経路を表現したアクセス経路情報を記憶するアクセス経路情報格 納手段を備えたコンピュータに搭載される情報漏洩分析プログラムであって、コンビ ユータに、アクセス経路情報に含まれる任意のファイルを流通元として指定し、ァクセ ス経路情報に含まれる任意のユーザまたはファイルを流通先として指定する経路情 報を作成する経路情報作成処理、経路情報作成処理で作成された経路情報が指定 する流通元力 流通先への経路がアクセス経路情報に表されている力否かを判定す る経路判定処理、およびアクセス経路情報に表されて 、ると判定された経路情報が 指定する流通元のファイルと、流通先のファイルまたはユーザと、流通元と流通先と の間の経路を表示する表示処理を実行させることを特徴とする。従って、アクセス経 路情報に含まれる流通元、流通先、およびその間の経路をそれぞれオペレータに提 示することができ、オペレータは、アクセス経路情報に含まれる各流通元、流通先、 およびその間の経路を参照して、情報漏洩の可能性があるか否かを判定することが できる。
図面の簡単な説明
[図 1]本発明の第 1の実施の形態を示すブロック図である。
[図 2]第 1の実施の形態における情報漏洩分析システムの動作を示すフローチャート である。
[図 3]本発明の第 2の実施の形態を示すブロック図である。
[図 4]第 2の実施の形態における情報漏洩分析システムの動作を示すフローチャート である。
[図 5]本発明の第 3の実施の形態を示すブロック図である。
[図 6]第 3の実施の形態における情報漏洩分析システムの動作を示すフローチャート である。
[図 7]アクセス経路モデル生成処理の処理経過を示すフローチャートである。
[図 8]アクセス経路モデル生成処理の処理経過を示すフローチャートである。
[図 9]アクセス経路モデル生成処理の処理経過を示すフローチャートである。
[図 10]本発明の第 4の実施の形態を示すブロック図である。
[図 11]第 4の実施の形態における情報漏洩分析システムの動作を示すフローチヤ一 トである。 圆 12]本発明の第 5の実施の形態を示すブロック図である。
圆 13]第 5の実施の形態における情報漏洩分析システムの動作を示すフローチヤ一 トである。
圆 14]本発明の第 6の実施の形態を示すブロック図である。
圆 15]第 6の実施の形態における情報漏洩分析システムの動作を示すフローチヤ一 トである。
圆 16]本発明の第 7の実施の形態を示すブロック図である。
圆 17]第 7の実施の形態における情報漏洩分析システムの動作を示すフローチヤ一 トである。
圆 18]本発明の第 8の実施の形態を示すブロック図である。
圆 19]第 8の実施の形態における情報漏洩分析システムの動作を示すフローチヤ一 トである。
圆 20]本発明の第 9の実施の形態を示すブロック図である。
圆 21]第 9の実施の形態における情報漏洩分析システムの動作を示すフローチヤ一 トである。
圆 22]本発明の第 10の実施の形態を示すブロック図である。
圆 23]第 9の実施の形態における情報漏洩分析システムの動作を示すフローチヤ一 トである。
圆 24]属性利用分析対象アクセス経路を入力して、分析対象アクセス経路に変換す る処理を示すフローチャートである。
圆 25]ネットワーク構成情報に基づいて作成したアクセス経路モデルを示す説明図 である。
圆 26]ネットワーク構成情報の例を示す説明図である。
圆 27]ユーザ情報の例を示す説明図である。
圆 28]ユーザ情報を反映したアクセス経路モデルを示す説明図である。
圆 29]ファイル情報とアクセス権情報の例を示す説明図である。
圆 30]ファイル情報とアクセス権情報を反映したアクセス経路モデルを示す説明図で ある。 圆 31]ウェブクライアントの設定情報を反映したアクセス経路モデルを示す説明図で ある。
圆 32]別名定義を反映したアクセス経路モデルを示す説明図である。
圆 33]ユーザ情報の例を示す説明図である。
[図 34]ユーザ情報を反映したアクセス経路モデルを示す説明図である。
圆 35]ファイル情報とアクセス権情報の例を示す説明図である。
圆 36]ファイル情報とアクセス権情報を反映したアクセス経路モデルを示す説明図で ある。
圆 37]アパッチの設定情報の例を示す説明図である。
圆 38]アパッチの設定情報を反映したアクセス経路モデルを示す説明図である。
[図 39]ファイアウォールのアクセス権情報の例を示す説明図である。
[図 40]フィルタリング設定を反映したアクセス経路モデルを示す説明図である。
[図 41]アクセス経路モデル格納手段に格納されたアクセス経路モデルの例を示す説 明図である。
[図 42]アクセスモデル全体の記述例を示す説明図である。
圆 43]分析対象アクセス経路の例を示す説明図である。
圆 44]情報漏洩の可能性のある経路として判定された判定結果の例を示す説明図 である。
圆 45]アクセス経路モデルに設定情報を付加した情報の例を示す説明図である。 圆 46]アクセス経路モデルに設定情報を付加した情報の例を示す説明図である。 圆 47]報漏洩対策案を表示するためのユーザインタフェースの例を示す説明図であ る。
[図 48]編集画面の例を示す説明図である。
圆 49]報漏洩対策案を表示するためのユーザインタフェースの例を示す説明図であ る。
[図 50]書き換えられた apache設定ファイルの例を示す説明図である。
圆 51]順位に従って、変更候補を表示した画面の例を示す説明図である。
圆 52]設定情報を記述した設定ファイル名も表示する UIの例を示す説明図である。 [図 53]従来技術の例を示すブロック図である。
符号の説明
[0041] 110 アクセス経路モデル入力手段
130 設定情報入力手段
1010 検証対象システム
1040 アクセス経路モデル格納手段
1050 分析対象アクセス経路入力手段
1060 アクセス経路判定手段
2010 設定情報格納手段
2020 設定情報特定手段
3010 情報漏洩対策案格納手段
3030 設定変更入力手段
3040 情報漏洩対策案提案手段
3050 対策実行手段
発明を実施するための最良の形態
[0042] 以下、本発明を実施するための最良の形態を図面を参照して説明する。
[0043] 〈実施の形態 1〉
図 1は、本発明の第 1の実施の形態を示すブロック図である。本実施の形態におい て、情報漏洩分析システムは、アクセス経路モデル入力手段 110と、アクセス経路モ デル格納手段 1040と、分析対象アクセス経路入力手段 1050と、アクセス経路判定 手段 1060と、設定情報入力手段 130と、設定情報格納手段 2010と、設定情報特定 手段 2020と、情報漏洩対策案格納手段 3010と、情報漏洩対策案提案手段 3040と 、設定変更入力手段 3030と、対策実行手段 3050と、検証対象システム 1010とを含 む。
[0044] ここで、本発明の説明に用いる語について説明する。
アクセス経路モデルとは、ユーザがどのようなファイルにアクセス可能かを表現し、 そのアクセス経路を表現するモデルである。アクセス経路モデルは、ファイルがどのよ うなファイルにアクセス可能かを表現し、そのアクセス経路を表現していてもよい。ファ ィルからファイルへのアクセスとは、一方のファイルが、他方のファイルの内容をコピ 一する態様である。アクセス経路モデルは、設定情報を元に作成される。
[0045] 設定情報とは、検証対象システムのシステム設定と、ネットワーク構成とを含む情報 である。
[0046] システム設定とは、 OS (オペレーティングシステム）や、アプリケーションの振る舞!/ヽ を規定する設定を表す情報である。システム設定は、ユーザ構成、ファイル構成、ァ クセス権情報を含む。また、システム設定は、フィルタリング構成、別名定義情報、フ ィルタリング情報、ユーザ集合情報、権限獲得情報のうち一つ以上を含んでいてもよ い。ユーザ構成とは、各アプリケーションや、〇S、ユーザ管理サーバで規定されるュ 一ザ IDを含むユーザ管理情報であり、ユーザ IDとそのユーザ IDの存在位置の情報 を含む。すなわち、ユーザ構成は、検証対象システムに搭載された OSやオペレーテ イングシステムを利用するユーザに関する情報である。ユーザ構成を、ユーザ情報と 記す場合もある。ファイル構成とは、ファイル名と、その格納位置を表わす情報であり 、ファイル名のほかディレクトリなどの情報を含んでいてもよい。ファイルアクセス権情 報とは、ファイルに対するユーザのアクセス権を表わす情報であり、読み込み権、書 き込み権を表す。フィルタリング構成とは、 IPアドレスや、ポート番号によるネットヮー クフィルタリング設定を示す情報である。
[0047] 別名定義情報とは、ファイルの別名定義を示す情報である。アプリケーションソフト ウェアや OSが、同一のファイルをそれぞれ別名で表している場合、そのファイルは、 別名定義されているという。例えば、 OSで「/var/www/htdoc/index.html」という名称 がつけられたフアイノレと、ウェブサーバ上で「http://example.com/index.html」と!ヽぅ 名称がつけられたファイルとが同一のファイルを指しているときに、この 2つのファイル は、別名定義されているという。このように異なる OSやアプリケーションソフトウェアが 、同一のファイルを異なる名称で表していることを示す情報が、別名定義情報である 。例えば、ウェブサーバの設定による alias設定や、 OSのシンボリックリンクなどが別名 定義情報となる。
[0048] フィルタリング情報とは、フィルタリング構成で定義されたネットワークフィルタリング の設定が、どのアクセス経路に有効であるかを定義した情報であり、特定のユーザが アクセスしたときに有効なフィルタリング構成があれば、該当するユーザ構成とフィル タリング構成との組が定義された情報となる。ユーザ構成とフィルタリング構成との組 以外に、ネットワーク構成同士、ネットワーク構成と、ファイル構成などの組であっても よい。ユーザ集合情報とは、ユーザを複数まとめグループとして扱うことを表す情報で ある。権限獲得情報とは、ユーザ認証や、アプリケーションの実行ユーザなどの設定 によって、ユーザが他のユーザの権限を獲得し、そのユーザとして振舞うことを表す 情報である。
[0049] ネットワーク構成とは、ネットワークインタフェースの接続状況を表す情報である。よ り具体的には、コンピュータ同士のネットワークでの接続関係を表す情報である。
[0050] アクセス経路は、例えばノードとアーク力も構成されるグラフ構造を用いて表現され る。ノード〖こは、ユーザ構成をモデルィ匕したユーザノード、ファイル構成をノードィ匕し たファイルノード、フィルタリング構成をノード化したネットワークノードがある。アーク には、別名定義情報をモデル化した別名定義アーク、アクセス権情報をモデルィ匕し たデータ移動関係アーク、フィルタリング情報をモデルィ匕したネットワークアーク、ュ 一ザ集合情報をモデル化した所属アーク、権限獲得関係をモデル化した権限獲得 アークがある。アクセス経路モデルにより、ファイルアクセス権によるファイルへのァク セスの可否および、ネットワークフィルタリングによるアクセスの可否が判定でき、その アクセス経路をユーザノードや、ネットワークノード、ファイルノードを少なくとも一つ以 上含む列（ノードの並び)で表現することができる。また、ノードだけでなぐアークを 含めた列（ノードやアークの並び）としてもよ!/、。
[0051] 次に、情報漏洩分析システムの各構成部にっ 、て説明する。アクセス経路モデル 入力手段 110は、検査対象のアクセス経路モデルを入力する。アクセス経路モデル 格納手段 1040は、アクセス経路モデル入力手段 110によって入力されたアクセス経 路モデルを格納し、アクセス経路判定手段 1060の要求に従 、アクセス経路モデル を出力する。
[0052] 分析対象アクセス経路入力手段 1050は、情報漏洩の判断基準として、分析対象 アクセス経路を入力する。情報漏洩の判断基準となる分析対象アクセス経路とは、情 報漏洩の判定対象となる流通元ファイルと、その流通先のファイルまたは、ユーザを 指定したものである。また、ファイルが通過する途中経路を指定してもよぐアクセス経 路モデルの一部をそのまま指定してもよい。分析対象アクセス経路は、アクセス経路 モデルの中に、分析対象アクセス経路と合致するファイルカゝらユーザまたはファイル への経路が存在する場合、その経路による情報漏洩の可能性があることを示して ヽ る。すなわち、分析対象アクセス経路は、情報漏洩の可能性があり、本来存在しては ならな 、経路 (ファイル力もユーザまたはファイルへの経路）を表して!/、る。分析対象 アクセス経路では、ファイルの流通元として、ファイルが指定され、流通先としてフアイ ルまたはユーザが指定される。ファイルの流通先として、例えば、情報漏洩の判定対 象ファイルにアクセスするユーザ IDや、判定対象ファイルを書き込むファイル（コピー 先となるファイル）が指定される。ファイルを指定する場合、そのファイルを含むディレ クトリ名や、ホスト名や、セグメント名で指定してもよい。分析対象アクセス経路におい て途中経路を指定する場合、途中経路は、例えば、ネットワークアドレスや、ポート番 号、または、それらを含む機器の名前、セグメント名で指定すればよい。
[0053] アクセス経路判定手段 1060は、アクセス経路モデル格納手段 1040からアクセス 経路モデルを取り出し、分析対象アクセス経路入力手段 1050によって入力された分 析対象アクセス経路とのマッチングを行うことで、分析対象アクセス経路がアクセス経 路モデル上にあるカゝ否かを判定する。分析対象アクセス経路がアクセス経路モデル にあると判定した場合、アクセス経路判定手段 1060は、分析対象アクセス経路の流 通元のファイルを情報漏洩の可能性のあるファイルと定める。さらに、アクセス経路判 定手段 1060は、アクセス経路モデルのうち、分析対象アクセス経路とマッチした部分 を情報漏洩経路と定める。
[0054] 設定情報入力手段 130は、アクセス経路モデルの各要素に対応する設定情報と、 検証対象システム 1010におけるその設定情報の格納場所を示す情報とを入力する 。そして、設定情報、およびその設定情報の格納場所を示す情報を、設定情報格納 手段 2010に格納させる（記憶させる）。検証対象システム 1010における各設定情報 の格納場所は、ホスト名、ファイル名、ファイル内で記述位置を示す行数、変数名等 で表す。また、設定情報入力手段 130は、アクセス経路モデルの各要素と、各設定 情報との対応関係を示す対応情報も入力し、設定情報格納手段 2010に格納させる 。対応情報は、例えば、オペレータによって作成される。
[0055] アクセス経路モデル入力手段 110、分析対象アクセス経路入力手段 1050、および 設定情報入力手段 130は、例えば、オペレータの操作に応じて、オペレータから情 報を入力すればよい。
[0056] 設定情報格納手段 2010は、設定情報入力手段 130によって入力された情報 (設 定情報、対応情報等)を格納し、設定情報特定手段 2020からの要求に従って、その 情報を出力する。
[0057] 設定情報特定手段 2020は、アクセス経路判定手段 1060によって分析対象ァクセ ス経路にマッチすると判定されたアクセス経路と、設定情報格納手段 2010に格納さ れた対応情報とから、そのアクセス経路を生成する原因となった設定情報 (アクセス 経路を定める元となった設定情報)を特定し、その設定情報を読み込む。
[0058] 情報漏洩対策案提案手段 3040は、アクセス経路判定手段 1060によって分析対 象アクセス経路にマッチすると判定されたアクセス経路と、設定情報特定手段 2020 によって特定された設定情報とをもとに、マッチしたアクセス経路を遮断する典型的 な設定例を情報漏洩対策案格納手段 3010から取り出し、提示する。また、情報漏洩 対策案提案手段 3040は、情報漏洩対策案格納手段 3010から対策案を取り出すか わりに、設定変更入力手段 3030によって対策案を入力してもよぐ情報漏洩対策案 格納手段 3010から取り出された対策案の一部もしくは、その全てを変更してもよい。
[0059] 情報漏洩対策案格納手段 3010は、情報漏洩対策を行うための変更内容と方法と 、変更有効化方法を、設定情報ごとに格納する (記憶する)。変更内容としては、現 在の設定のテキストのパターンと、変更候補のテキストのパターンを格納する。現在 の設定および変更候補のパターンは、例えば、正規表現によって記述される。具体 例を挙げると、 OSのファイルアクセス権に対する情報漏洩対策案では、例えば、現 在の設定として「(.+? +){8}(.*)」、変更候補として「chmod 700 $9」が記述される。また、 パケットフィルタリングのルールに関する対策案では、例えば、現在の設定として「(.*) acceptj、変更候補として「iptables？ A $ldrop」が記述される。なお、ここで示した情報 漏洩対策案は、例示であり、上記のものに限定されない。方法 (設定の変更方法）に ついては、コマンド実行またはテキスト書き換えがある。コマンド実行とは、設定を行う ためのコマンド (例えば、アプリケーションに付属の設定ツールまたは、設定変更用に 作成されたアプリケーションの実行コマンド)を実行することである。変更方法がコマ ンド実行であれば、そのコマンドが情報漏洩対策案の情報の中に記述される。テキス ト書き換えとは、アプリケーションの設定がテキストファイルで行われているときに、そ のテキストを変更することで設定を変更する態様を意味する。設定有効化方法とは、 設定を有効にする方法であり、設定を有効にするコマンドの実行により設定を有効に する態様や、アプリケーションを再起動することで設定を有効にする態様などがある。 これらの態様が、情報漏洩対策案の情報の中に記述される。なお、情報漏洩対策案 格納手段 3010は、各情報漏洩対策案を、各種設定情報およびその記載内容に対 応させて記憶する。
[0060] 情報漏洩対策案提案手段 3040は、設定情報特定手段 2020によって特定された 設定情報と、情報漏洩対策案格納手段 3010から取り出した変更候補となる設定情 報を提示 (例えば、表示出力）する。このとき、情報漏洩対策案格納手段 3010が備 えられていない場合もしくは、該当する設定変更案が情報漏洩対策案格納手段 301 0に格納されていない場合は、変更候補となる設定情報は、空欄としてもよい。あるい は、現在の設定と同一内容を表示してもよい。
[0061] 設定変更入力手段 3030は、情報漏洩対策案提案手段 3040によって提示された 情報漏洩対策案の変更、新たな情報漏洩対策案の入力、および、情報漏洩対策案 の選択を、オペレータの操作に応じて行う。
[0062] 対策実行手段 3050は、設定変更入力手段 3030によって選択された情報漏洩対 策を検証対象システムに反映させる。すなわち、選択された設定を検証対象システム に反映させる。
[0063] 次に、動作について説明する。図 2は、第 1の実施の形態における情報漏洩分析シ ステムの動作を示すフローチャートである。まず、アクセス経路モデル入力手段 110 は、アクセス経路モデルを入力し、アクセス経路モデル格納手段 1040に格納する（ ステップ Sl l)。次に、設定情報入力手段 130は、入力したアクセス経路モデルに対 応する設定情報、検証対象システム 1010におけるその設定情報の格納場所を示す 情報、およびアクセス経路モデルと設定情報との対応関係を示す対応情報を入力し 、設定情報格納手段 2010に格納する (ステップ S12)。次に、分析対象アクセス経路 入力手段 1050は、分析対象アクセス経路を入力する。（ステップ S13)。
[0064] 続いて、アクセス経路判定手段 1060は、アクセス経路モデル格納手段 1040から アクセス経路モデルを取り出し、そのアクセス経路モデルと分析対象アクセス経路と を照合する (ステップ S14)。アクセス経路判定手段 1060 (設定情報特定手段 2020 でもよい。 )は、ステップ S 14の照合処理の結果、分析対象アクセス経路とマッチする アクセス経路が存在したか否かを判定する (ステップ S 14a)。分析対象アクセス経路 とマッチするアクセス経路があれば (ステップ S14aにおける YES)、設定情報特定手 段 2020は、設定情報格納手段 2010に格納された対応情報を参照して、マッチした アクセス経路を生成する原因となった設定情報 (アクセス経路を定める元となった設 定情報)を取り出す (ステップ S 15)。
[0065] 次に、情報漏洩対策案提案手段 3040は、ステップ S15で取り出された設定情報を 元に、情報漏洩対策案格納手段 3010に格納された情報漏洩対策案を取り出す (ス テツプ S16)。情報漏洩対策案格納手段 3010は、各情報漏洩対策案を、各種設定 情報およびその記載内容に対応させて記憶しているので、ステップ S16では、設定 情報に応じた情報漏洩対策案を取り出すことができる。続いて、情報漏洩対策案提 案手段 3040は、アクセス経路の設定情報と、それに対応する情報漏洩対策案の設 定情報 (変更候補)を表示し、オペレータの操作に応じて、変更候補を修正する (ステ ップ S17)。次に、情報漏洩対策案提案手段 3040は、表示した各変更候補のうち、 検証対象システム 1010に反映すべき変更候補の選択をオペレータに促し、ォペレ ータの操作に応じて検証対象システム 1010に反映すべき変更候補を決定する (ステ ップ S18)。対策実行手段 3050は、決定された変更候補が示す設定内容に従って、 検証対象システム 1010の設定を変更する (ステップ S19)。この結果、分析対象ァク セス経路に相当するアクセス経路が除外されることとなり、情報漏洩が防止される。
[0066] 次に、第 1の実施の形態の効果について説明する。本実施の形態では、検証対象 システムを表現したモデルと、モデルとの対応付けを行った設定情報、および情報漏 洩の判断基準となる分析対象アクセス経路を入力する。そして、入力した情報に基づ いて情報漏洩経路を発見し、修正する構成となっている。よって、ファイルのアクセス 経路をモデル上で把握することができ、情報漏洩の可能性があるファイルとそのァク セス経路を特定することができる。また、モデルと対応付けた設定情報に対応する変 更候補を提示し、設定を変更するというように構成されているために、情報漏洩の可 能性のあるファイルが漏洩しな 、ように容易に設定変更することができる。この結果、 情報漏洩を防止することができる。
[0067] また、情報漏洩対策案提案手段 3040は、設定情報特定手段によって特定された 設定情報を出力する結果出力手段にも相当する。
[0068] 〈実施の形態 2〉
図 3は、本発明の第 2の実施の形態を示すブロック図である。本実施の形態におい て、情報漏洩分析システムは、第 1の実施の形態の構成に加えて、情報漏洩対策優 先順位決定手段 210を備える。既に説明した実施の形態と同様の構成部について は、既に説明した構成部と同一の符号を付し、説明を省略する。
[0069] 情報漏洩対策優先順位決定手段 210は、情報漏洩対策案提案手段 3040によつ て提案された複数の設定変更案 (設定情報の変更候補)を、変更することが適切な 順に順位付けする。順位付けでは、情報漏洩防止のための設定変更による検証対 象システム 1010への影響が小さいものから順に順位付けを行う。設定変更による影 響の小さい順に並べる方法として、経路上の位置を用いて決定する方法がある。例 えば、情報漏洩経路の流通元に近い順、すなわち流通ファイルの格納場所に関する 変更候補、情報漏洩経路のアクセス権に関する変更候補等の順に並べる。これによ つて、流通ファイルにだけ影響する設定変更力 流通ファイル以外への影響が大き な設定変更まで順に並べることができる。また、設定情報変更の影響を、モデルを使 つて計算してもよい。例えば、情報漏洩対策優先順位決定手段 210は、設定変更す るノードまたはアークを共有するすべての経路をアクセス経路判定手段 1060に判定 させる。そして、情報漏洩対策優先順位決定手段 210は、設定変更するノードまたは アークを共有するアクセス経路の少な 、順に、変更候補を順位付けしてもよ 、。
[0070] 図 4は、第 2の実施の形態における情報漏洩分析システムの動作を示すフローチヤ ートである。図 4に示すステップ S11〜S16までの動作は、第 1の実施の形態で説明 したステップ S 11〜S 16の動作と同様である。ステップ S 16の後、情報漏洩対策優先 順位決定手段 210は、ステップ S16で取り出した設定情報の変更候補を、設定変更 に伴う検証対象システム 1010への影響が少ない順に並び替え、その順序を、情報 漏洩対策案提案手段 3040による設定情報の変更候補を含む情報漏洩対策案の表 示順とする (ステップ S21)。ステップ S21の後、ステップ S17以降の動作を行う。ステ ップ S17以降の動作は、第 1の実施の形態で説明したステップ S17以降の動作と同 様である。
[0071] 第 2の実施の形態では、第 1の実施の形態と同様の効果を得ることができる。さらに 、さらに、設定情報の変更候補を含む情報漏洩対策案を、設定変更に伴う検証対象 システム 1010への影響が少ない順に並び替えて表示する構成であるので、ォペレ → (検証者)は、できるだけ検証対象システムへの影響が少な 、対策を容易に選択 できる。
[0072] 〈実施の形態 3〉
図 5は、本発明の第 3の実施の形態を示すブロック図である。既に説明した実施の 形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な 説明を省略する。
[0073] 本実施の形態にぉ 、て、情報漏洩分析システムは、検査対象となるコンピュータや ネットワークを含む検証対象システム 1010と、設定情報収集手段 1020と、アクセス 経路モデル生成手段 1030と、アクセス経路モデル格納手段 1040と、分析対象ァク セス経路入力手段 1050と、アクセス経路判定手段 1060と、結果出力手段 1070とを 備える。
[0074] 検証対象システム 1010は、検査対象ネットワーク 1011と、検査対象コンピュータ 1 012と、検査対象コンピュータの設定を格納するシステム情報格納手段 1013と、ネッ トワーク構成の設定を格納するネットワーク構成格納手段 1014とを含む。この点は、 既に説明した第 1の実施の形態および第 2の実施の形態でも同様である。
[0075] 設定情報収集手段 1020は、検証対象システム 1010から設定情報を収集する。ァ クセス経路モデル生成手段 1030は、設定情報収集手段 1020が収集した設定情報 を元に、アクセス経路モデルを生成する。アクセス経路モデル格納手段 1040は、ァ クセス経路モデル生成手段 1030によって生成されたアクセス経路モデルを格納し、 アクセス経路判定手段 1060の要求により、アクセス経路モデルを出力する。
[0076] 分析対象アクセス経路入力手段 1050は、情報漏洩の判断基準として、分析対象 アクセス経路を入力する。アクセス経路判定手段 1060は、アクセス経路モデル格納 手段 1040からアクセス経路モデルを取り出し、分析対象アクセス経路入力手段 105 0によって入力された分析対象アクセス経路力 アクセス経路モデルにあるかどうかを 判定する。
[0077] 結果出力手段 1070は、アクセス経路判定手段 1060によって、分析対象アクセス 経路と合致すると判定されたアクセス経路モデル内の経路と、その経路におけるファ ィルとを表示する。
[0078] 図 6は、第 3の実施の形態における情報漏洩分析システムの動作を示すフローチヤ ートである。まず、設定情報収集手段 1020は、検証対象システム 1010の設定情報 を収集する (ステップ S110)。アクセス経路モデル生成手段 1030は、収集された設 定情報に基づき検証対象システム 1010をモデルィ匕し、アクセス経路モデルを生成 する（ステップ S 120)。また、生成したアクセス経路モデルをアクセス経路モデル格納 手段 1040に格納する。次に、分析対象アクセス経路入力手段 1050は、分析対象ァ クセス経路を入力する (ステップ S 130)。次に、アクセス経路判定手段 1060は、ァク セス経路モデル格納手段 1040から、アクセス経路モデルを取り出し、アクセス経路 モデルと、分析対象アクセス経路とのマッチングを取る。（ステップ S 140)。結果出力 手段 1070は、マッチングの結果 (分析対象アクセス経路と合致すると判定されたァク セス経路モデル内の経路と、その経路におけるファイルの情報）を表示する (ステップ S150)。具体的には、ファイルの情報とそのファイルへのアクセス経路を表示する。
[0079] 次に、アクセス経路モデル生成手段 1030によるアクセス経路モデル生成処理 (ス テツプ S120、図 6参照。）の処理を詳細に説明する。図 7、図 8および図 9は、ァクセ ス経路モデル生成処理の処理経過を示すフローチャートである。アクセス経路モデ ル生成手段 1030は、ステップ S 110で収集された設定情報のうち、検証対象システ ム 1010のネットワーク構成情報を入力する（ステップ S701)。そして、ネットワーク構 成情報に含まれるホストを一つ取り出し、検証対象コンピュータとする (ステップ S 702
) o [0080] 続いて、アクセス経路モデル生成手段 1030は、収集された設定情報のうち、検証 対象コンピュータの設定情報を読み込み (ステップ S703)、また、その検証対象コン ピュータに搭載されたアプリケーションの設定情報を読み込む (ステップ S704)。ァク セス経路モデル生成手段 1030は、読み込んだ設定情報内のユーザ情報を解析し、 ユーザノードを作成する (ステップ S 705)。続いて、ネットワーク情報を解析し、ネット ワークノードを作成する（ステップ S706)。さらに、アクセス経路モデル生成手段 103 0は、読み込んだ設定情報内のグループ情報 (ユーザ集合情報)を解析し、グループ ノードを作成する (ステップ S 707)。
[0081] ステップ S707の後、アクセス経路モデル生成手段 1030は、グループ情報とユー ザ情報を解析し、所属アークを作成する (ステップ S708、図 8参照)。また、読み込ん だ設定情報内のファイル情報を解析し、ファイルノードを作成する (ステップ S 709)。 続いて、アクセス経路モデル生成手段 1030は、ファイル情報とアクセス権情報を解 祈し、情報伝達アークを作成する (ステップ S710)。また、ネットワーク情報力もネット ワークアークを作成する（ステップ S711)。
[0082] ステップ S711の後、アクセス経路モデル生成手段 1030は、他のアプリケーション の設定情報力も作られたノードがある力否かを判定する (ステップ S712)。そのような ノードがなければ、後述のステップ S717 (図 9参照。）に移行する。そのようなノードが あれば、アクセス経路モデル生成手段 1030は、ファイル情報から別名定義アークを 作成し (ステップ S713)、ユーザ情報力も権限獲得アークを作成する (ステップ S714
) o
[0083] ステップ S714の後、アクセス経路モデル生成手段 1030は、ファイル情報力 別名 定義アークを作成し、ユーザ情報力も権限獲得アークを作成する (ステップ S716)。 続いて、アクセス経路モデル生成手段 1030は、モデルを作成していないアプリケー シヨンの設定情報があるか否かを判定する (ステップ S717)。そのようなアプリケーシ ヨンの設定情報があれば、ステップ S704以降の処理を繰り返す。また、そのようなァ プリケーシヨンの設定情報がなければ、ネットワーク構成情報に従い、検証対象コン ピュータ間のネットワークノードを結ぶネットワークアークを作成する（ステップ S718) [0084] ステップ S718の後、アクセス経路モデル生成手段 1030は、モデルを作成していな い検証対象コンピュータがあるか否かを判定する (ステップ S719)。そのような検証 対象コンピュータがあれば、ステップ S702以降の処理を繰り返す。そのような検証対 象コンピュータがなければ、アクセス経路モデル生成処理を終了する。
[0085] 次に、本実施の形態の効果について説明する。
本実施の形態では、検証対象システムの設定情報を収集し、設定情報からァクセ ス経路モデルを生成し、入力した分析対象アクセス経路がそのアクセス経路モデル 上に存在するかどうかを分析する構成となっている。従って、ファイルのアクセス経路 を把握することができ、情報漏洩の可能性があるかどうかを判断することができる。ま た、そのアクセス経路を生成する原因となった設定情報を分析することで、情報漏洩 を引き起こす設定情報を容易に特定し、情報漏洩を未然に防止することができる。
[0086] 〈実施の形態 4〉
図 10は、本発明の第 4の実施の形態を示すブロック図である。既に説明した実施の 形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な 説明を省略する。
[0087] 本実施の形態にぉ 、て、情報漏洩分析システムは、検証対象システム 1010と、設 定情報収集手段 1020と、アクセス経路モデル生成手段 1030と、アクセス経路モデ ル格納手段 1040と、分析対象アクセス経路入力手段 1050と、アクセス経路判定手 段 1060と、設定情報格納手段 2010と、設定情報特定手段 2020と、結果出力手段 2030とを備える。検証対象システム 1010は、検査対象ネットワーク 1011と、検査対 象コンピュータ 1012と、検査対象コンピュータの設定を格納するシステム設定格納 手段 1013と、ネットワーク構成の設定を格納するネットワーク構成格納手段 1014と を含む。
[0088] アクセス経路モデル生成手段 1030は、設定情報収集手段 1020によって収集され た設定情報を元にアクセス経路モデルを生成する同時に、設定情報格納手段 2010 に、アクセス経路モデルを生成する原因となった設定情報とアクセス経路モデルとの 対応情報を格納する（記憶させる)。本実施の形態では、アクセス経路モデル生成手 段 1030が対応情報を生成する。 [0089] 対応情報は、アクセス経路モデルの各要素と各設定情報との対応関係を示す情報 である。より具体的には、対応情報は、アクセス経路モデルの構成要素と、その構成 要素を作成する原因となった設定情報 (その構成要素を定める元となった設定情報） の種類やその設定情報の格納場所との対応関係を示す。設定情報の種類とは、シス テム設定やネットワーク構成といった種類を表す。設定情報の格納場所とは、設定情 報を特定する位置情報であり、例えば、設定情報の格納ホスト名、格納ファイル名、 格納ファイル中の位置 (行、列など)等で表される。また、アクセス経路モデル生成手 段 1030は、検証対象システム 1010における設定情報の格納場所の情報を設定情 報格納手段 2010に格納する代わりに、設定情報を事前に収集し集中して設定情報 格納手段 2010に格納し、さらに設定情報格納手段 2010における設定情報の格納 場所の情報も設定情報格納手段 2010に格納してもよい。また、アクセス経路モデル 生成手段 1030は、設定情報そのものを、その設定情報が本来あった位置とともに、 アクセス経路モデルにあわせて設定情報格納手段 2010に格納してもよい。
[0090] 設定情報特定手段 2020は、アクセス経路判定手段 1060によって分析対象ァクセ ス経路にマッチすると判定されたアクセス経路と、設定情報格納手段 2010に格納さ れた対応情報とから、アクセス経路を生成する原因となった設定情報を特定する。
[0091] 結果出力手段 1070は、分析対象アクセス経路とマッチしたアクセス経路とともに、 設定情報特定手段 2020によって特定された設定情報をあわせて表示する。
[0092] 図 11は、第 4の実施の形態における情報漏洩分析システムの動作を示すフローチ ヤートである。まず、設定情報収集手段 1020は、検証対象システム 1010の設定情 報を収集する (ステップ S210)。そして、アクセス経路モデル生成手段 1030は、収集 された設定情報に基づき検証対象システム 1010をモデルィ匕し、アクセス経路モデル を作成してアクセス経路モデルをアクセス経路モデル格納手段 1040に格納する。ま た、アクセス経路モデル生成手段 1030は、アクセス経路モデルを生成する原因とな つた設定情報とアクセス経路モデルとの対応情報を設定情報格納手段 2010に格納 する (ステップ S220)。次に、分析対象アクセス経路入力手段 1050は、分析対象ァ クセス経路を入力する (ステップ S230)。次に、アクセス経路判定手段 1060は、ァク セス経路モデル格納手段 1040から、アクセス経路モデルを取り出し、アクセス経路 モデルと、分析対象アクセス経路とのマッチングを取る。（ステップ S 240)。アクセス 経路判定手段 1060 (設定情報特定手段 2020でもよい。）は、ステップ S240の処理 の結果、分析対象アクセス経路とマッチするアクセス経路が存在したカゝ否かを判定す る (ステップ S250)。分析対象アクセス経路とマッチするアクセス経路があれば (ステ ップ S250の YES)、設定情報特定手段 2020は、設定情報格納手段 2010に格納さ れた対応情報に含まれる格納場所の情報を参照し、マッチしたアクセス経路を生成 する原因となった設定情報を取り出す (ステップ S260)。続いて、結果出力手段 107 0は、マッチしたアクセス経路と設定情報を出力（例えば表示出力）する (ステップ S2 70)。
[0093] 次に、本実施の形態の効果について説明する。本実施の形態では、アクセス経路 モデルとともに、設定情報の格納場所を格納し、分析対象アクセス経路とマッチした アクセス経路から、そのアクセス経路を生成する原因となった設定情報を特定する。 従って、情報漏洩をおこす可能性のある設定を容易に見つけることができ、その結果 、情報漏洩を未然に防止することができる。
[0094] 〈実施の形態 5〉
図 12は、本発明の第 5の実施の形態を示すブロック図である。既に説明した実施の 形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な 説明を省略する。
[0095] 本実施の形態にぉ 、て、情報漏洩分析システムは、検証対象システム 1010と、設 定情報収集手段 1020と、アクセス経路モデル生成手段 1030と、アクセス経路モデ ル格納手段 1040と、分析対象アクセス経路入力手段 1050と、アクセス経路判定手 段 1060と、設定情報格納手段 2010と、設定情報特定手段 2020と、情報漏洩対策 案格納手段 3010と、情報漏洩対策案提案手段 3040と、設定変更入力手段 3030と 、対策実行手段 3050とを備える。検証対象システム 1010は、検査対象ネットワーク 1011と、検査対象コンピュータ 1012と、検査対象コンピュータの設定を格納するシ ステム設定格納手段 1013と、ネットワーク構成の設定を格納するネットワーク構成格 納手段 1014とを含む。
[0096] 情報漏洩対策案提案手段 3040は、アクセス経路判定手段 1060によって分析対 象アクセス経路にマッチすると判定されたアクセス経路と、設定情報特定手段 2020 によって特定された設定情報をもとに、マッチしたアクセス経路を遮断する典型的な 設定例を情報漏洩対策案格納手段 3010から取り出し、提示する。また、情報漏洩 対策案格納手段 3010から対策案を取り出すかわりに、設定変更入力手段 3030に よって対策案を入力してもよぐ情報漏洩対策案格納手段 3010から取り出された対 策案の一部もしくは、その全てを変更してもよい。
[0097] 設定変更入力手段 3030は、情報漏洩対策案提案手段 3040によって提案された 情報漏洩対策案の変更、新たな情報漏洩対策案の入力、および、情報漏洩対策案 の選択を、オペレータの操作に応じて行う。対策実行手段 3050は、設定変更入力 手段 3030によって選択された情報漏洩対策を検証対象システムに反映させる。
[0098] 図 13は、第 5の実施の形態における情報漏洩分析システムの動作を示すフローチ ヤートである。まず、設定情報手段 1020は、検証対象システム 1010から設定情報を 収集する (ステップ S310)。アクセス経路モデル生成手段 1030は、収集された設定 情報を元にモデルィ匕を行 、、アクセス経路モデルをアクセス経路モデル格納手段 10 40に格納する。また、アクセス経路モデルと設定情報との対応情報を設定情報格納 手段 2010に格納する (ステップ S320)。次に、分析対象アクセス経路入力手段 105 0は、分析対象アクセス経路を入力する (ステップ S330)。アクセス経路判定手段 10 60は、アクセス経路モデルと分析対象アクセス経路とのマッチングを行う（ステップ S 340)。
[0099] アクセス経路判定手段 1060 (設定情報特定手段 2020でもよ ヽ。 )は、ステップ S2 40の処理の結果、分析対象アクセス経路とマッチするアクセス経路が存在したか否 かを判定する（ステップ S345)。そのようなアクセス経路が存在しなければ処理を終 了する。分析対象アクセス経路とマッチするアクセス経路があれば (ステップ S345の YES)、設定情報特定手段 2020は、設定情報格納手段 2010に格納された対応情 報に含まれる格納場所の情報を参照し、マッチしたアクセス経路を生成する原因とな つた設定情報を取り出す (ステップ S350)。
[0100] 次に、情報漏洩対策案提案手段 3040は、取り出された設定情報を元に、情報漏 洩対策案格納手段 3010に格納された情報漏洩対策案を取り出す (ステップ S360)。 続いて、情報漏洩対策案提案手段 3040は、アクセス経路の設定情報と、それに対 応する情報漏洩対策案の設定情報を表示し、オペレータの操作に応じて、情報漏洩 対策案の設定情報 (設定情報の変更候補)を変更する (ステップ S370)。次に、情報 漏洩対策案提案手段 3040は、表示した各変更候補のうち、検証対象システム 1010 に反映すべき変更候補の選択をオペレータに促し、オペレータの操作に応じて検証 対象システム 1010に反映すべき変更候補を決定する (ステップ S380)。対策実行 手段 3050は、決定された変更候補が示す設定内容に従って、検証対象システム 10 10の設定を変更する (ステップ S390)。
[0101] 次に、本実施の形態の効果について説明する。本実施の形態では、検証対象シス テムのシステム情報を収集しモデルィ匕を行 、、分析対象アクセス経路を与えることで 、情報漏洩の可能性のあるアクセス経路を判定する。そして、そのアクセス経路を作 成する原因となった設定情報を特定し、設定情報の変更候補を提示し、オペレータ に指定された変更候補に従って、検証対象システムの設定を変更する。従って、情 報漏洩の可能性のあるアクセス経路を容易に特定できる。また、設定情報を簡単に 修正できる構成としたため、情報漏洩を未然に防止することができる。
[0102] 第 5の実施の形態において、第 2の実施の形態と同様に、情報漏洩対策優先順位 決定手段 210を備え、情報漏洩対策優先順位決定手段 210が決定した順位に従つ て、情報漏洩対策案を表示してもよい。情報漏洩対策優先順位決定手段 210の動 作は、第 2の実施の形態と同様である。
[0103] 〈実施の形態 6〉
図 14は、本発明の第 6の実施の形態を示すブロック図である。既に説明した実施の 形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な 説明を省略する。本実施の形態において、情報漏洩分析システムは、アクセス経路 入力手段 110と、アクセス経路モデル格納手段 1040と、アクセス経路判定手段 106 0と、アクセス経路分析手段 5010と、文書一覧表示手段 5020とを備える。
[0104] アクセス経路分析手段 5010は、アクセス経路モデルに含まれる任意のファイルを 流通元とし、アクセス経路モデルに含まれる任意のユーザまたはファイルを流通先と して分析対象アクセス経路を作成する。ただし、本実施の形態では、分析対象ァクセ ス経路において、流通元および流通先が指定されるが、その途中経路は指定されな い。また、第 1から第 5の実施の形態では、アクセス経路モデルの中に分析対象ァク セス経路と合致するファイル力 ユーザまたはファイルへの経路が存在する場合、そ の経路による情報漏洩の可能性があるものとした。第 6の実施の形態では、アクセス 経路分析手段 5010によって作成された分析対象アクセス経路そのものが情報漏洩 の可能性がある経路を示すわけではないものとする。
[0105] アクセス経路分析手段 5010は、任意のファイルやユーザの組み合わせて分析対 象アクセス経路を作成するので、 1つ以上の分析対象アクセス経路が作成される。
[0106] アクセス経路判定手段 1060は、個々の分析対象アクセス経路毎に、分析対象ァク セス経路における流通元および流通先間のアクセス経路がアクセス経路モデル内に 存在するか否かを判定する。そして、アクセス経路判定手段 1060は、流通元となつ たファイルごとに、流通先とそのアクセス経路を特定する。つまり、アクセス経路判定 手段 1060は、全ての流通元および流通先の組み合わせについて、そのアクセス経 路の有無を判定し、アクセス経路があるものについて、流通元ごとに、流通先とその アクセス経路を特定する。
[0107] 文書一覧表示手段 5020は、流通元となったファイルごとに、アクセス経路分析手 段 5010によって分析された流通先とそのアクセス経路を表示する。
[0108] 図 15は、第 6の実施の形態における情報漏洩分析システムの動作を示すフローチ ヤートである。まず、アクセス経路モデル入力手段 110が、アクセス経路モデルを入 力する (ステップ S 1010)。次に、アクセス経路分析手段 5010が、入力されたァクセ ス経路モデルに含まれる任意のファイルとユーザを用いて、流通元、流通先の組を 分析対象アクセス経路として作成し、アクセス経路判定手段 1060が、分析対象ァク セス経路における流通元および流通先間のアクセス経路がアクセス経路モデル内に 存在するか否かを判定する (ステップ S 1020)。分析対象アクセス経路における流通 元および流通先間のアクセス経路がアクセス経路モデル内に存在するならば、その 流通元および流通先間においてアクセス可能であることになる。ステップ S1020の後 、アクセス経路判定手段 1060は、同じファイルを流通元とするアクセス経路をまとめ る (ステップ S 1030)。すなわち、流通元となったファイルごとに、流通先とそのアクセス 経路を特定する。次に、文書一覧表示手段 5020は、流通元のファイルを流通先の ユーザ、およびファイル、アクセス経路とともに表示する (ステップ S 1040)。オペレー タは、ステップ S 1040における表示結果を確認して、情報漏洩の可能性がある経路 があるかどうかを判断する。
[0109] 第 1から第 5までの各実施の形態では、分析対象アクセス経路と合致するファイル 力 ユーザまたはファイルへの経路があった場合、その経路は情報漏洩の可能性の ある経路であると自動的に判定された。それに対し、本実施の形態では、分析対象ァ クセス経路そのものは、情報漏洩の可能性のある経路を意味するものではなぐ情報 漏洩の可能性のある経路の判断はオペレータに委ねられる。
[0110] 次に、本実施の形態の効果について説明する。本実施の形態では、アクセス経路 モデルを入力し、そのアクセス経路モデルに基づ 、て任意の流通元および流通先の 組み合わせを定める。そして、その流通元および流通先間のアクセス経路がある場 合には、流通元のファイル毎に、流通元ファイルの流通先となるファイルまたはユー ザと、そのアクセス経路をあわせて提示する。従って、オペレータ (検証者）は、個々 のファイルが適切に管理されているかを一目で確認することができ、適切に管理され ておらず、情報漏洩の可能性のあるファイルを簡単に特定することができる。また、ァ クセス経路をあわせて表示する構成としたため、すべての設定情報を確認することな ぐ情報漏洩を引き起こしている場所を簡単に特定ができ、設定情報を修正し、情報 漏洩を未然に防止することができる。
[0111] 〈実施の形態 7〉
図 16は、本発明の第 7の実施の形態を示すブロック図である。既に説明した実施の 形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な 説明を省略する。本実施の形態において、情報漏洩分析システムは、第 6の実施の 形態の構成に加えて、設定情報入力手段 130と、設定情報格納手段 2010と、設定 情報特定手段 2020と、文書一覧表示手段 5020と、情報漏洩対策提案手段 3040と 、情報漏洩対策案格納手段 3010とを備える。
[0112] 図 17は、第 7の実施の形態における情報漏洩分析システムの動作を示すフローチ ヤートである。まず、アクセス経路モデル入力手段 110が、アクセス経路モデルを入 力する (ステップ S1010)。次に、設定情報入力手段 130が、設定情報をアクセス経 路モデルに対応付けて入力する (ステップ S2020)。次に、アクセス経路分析手段 50 10力 入力されたアクセス経路モデルに含まれる任意のファイルとユーザを用いて、 流通元、流通先の組を分析対象アクセス経路として作成し、アクセス経路判定手段 1 060が、分析対象アクセス経路における流通元および流通先間のアクセス経路がァ クセス経路モデル内に存在するか否かを判定する (ステップ S2030)。
[0113] ステップ S2030の後、設定情報特定手段 2020が、アクセス経路と判定された経路 を作成する原因となった設定情報を特定する (ステップ S2040)。次に、アクセス経路 分析手段 5010は、同じファイルを流通元とするアクセス経路をまとめる (ステップ S20 50)。また、情報漏洩対策案提案手段 3040が、ステップ S 2040で特定された設定 情報の情報漏洩対策案を取り出す (ステップ S2060)。そして、文書一覧表示手段 5 020力 流通元のファイルを流通先のユーザ、およびファイル、アクセス経路および、 情報漏洩対策案とともに提示する (ステップ S2070)。
[0114] 次に、本実施の形態の効果について説明する。本実施の形態では、アクセス経路 モデルを入力し、そのアクセス経路モデルに基づ 、て任意の流通元および流通先の 組み合わせを定める。そして、その流通元および流通先間のアクセス経路がある場 合には、そのアクセス経路を生成する原因となった設定情報を特定して、情報漏洩 対策案も特定する。そして、流通元のファイル毎に、流通元ファイルの流通先となるフ アイルまたはユーザ、そのアクセス経路、および情報漏洩対策案を提示する。従って 、個々のファイルが適切に管理されているかを一目で確認することができ、適切に管 理されておらず、情報漏洩の可能性のあるファイルを簡単に特定することができる。 また、設定ファイルから特定の設定箇所を探し出す必要が無ぐ情報漏洩の可能性 のあるファイルの流通を容易に防止することができる。
[0115] 〈実施の形態 8〉
図 18は、本発明の第 8の実施の形態を示すブロック図である。既に説明した実施の 形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な 説明を省略する。本実施の形態において、情報漏洩分析システムは、第 7の実施の 形態の構成に加えて、設定変更入力手段 3030と、対策実行手段 3050とを備える。 [0116] 図 19は、第 8の実施の形態における情報漏洩分析システムの動作を示すフローチ ヤートである。図 19に示すステップ S3010〜S3070までの動作は、第 7の実施の形 態で説明したステップ S2010〜S2070の動作と同様である。ステップ S3070の後、 情報漏洩対策案提案手段 3040は、設定変更入力手段 3030によって情報漏洩対 策案 (設定情報の変更候補)を修正するオペレータの操作の有無を判定する (ステツ プ S3075)。修正操作が行われない場合、ステップ S3070に移行する。修正操作が 行われた場合、設定変更入力手段 3030は、オペレータに指定された情報漏洩対策 案を選択し、その情報漏洩対策案に対して、オペレータの操作に応じた修正を行う（ ステップ S3080)。次に、情報漏洩対策案提案手段 3040は、オペレータに指定され た情報漏洩対策案を選択し、対策実行手段 3050は、選択された情報漏洩対策案を 実行し、検証対象システム 1010の設定を変更する (ステップ S3090)。
[0117] 次に、本実施の形態の効果について説明する。本実施の形態では、情報漏洩対策 案を修正した後、その情報漏洩対策案を実行するので、情報漏洩対策を施す手段 の詳細を知ることなぐ容易に情報漏洩対策を実行することができ、情報漏洩の未然 防止が容易になる。
[0118] 〈実施の形態 9〉
図 20は、本発明の第 9の実施の形態を示すブロック図である。既に説明した実施の 形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細な 説明を省略する。本実施の形態において、情報漏洩分析システムは、第 8の実施の 形態の構成に加えて、情報漏洩対策優先順位決定手段 210を備える。
[0119] 図 21は、第 9の実施の形態における情報漏洩分析システムの動作を示すフローチ ヤートである。図 21に示すステップ S4010〜S4060までの動作は、第 7の実施の形 態で説明したステップ S2010〜S2060の動作と同様である。ステップ S2060の後、 情報漏洩対策案優先順位決定手段 210は、ステップ S4060で取り出された情報漏 洩対策案に優先順位をつける (ステップ S4070)。この処理は、第 2の実施の形態に おけるステップ S21の処理と同様である。次に、文書一覧表示手段 5020は、流通元 のファイルを流通先のユーザ、およびファイル、アクセス経路および、情報漏洩対策 案とともに表示する (ステップ S4080)。このとき、情報漏洩対策案の優先順位に従つ て、流通元、流通先、アクセス経路、情報漏洩対策案の組を表示する。その後、ステ ップ S4085〜S4100の動作を行う。図 19に示すステップ S4085〜S4100の動作は 、第 8の実施の形態で説明したステップ S3075〜S3090の動作と同様である。対策 実行手段 3050が情報漏洩対策案を実行する場合、情報漏洩対策案優先順位決定 手段 120が決定した順位に従い、優先順位の高い (例えば、優先順位が最も高い） 情報漏洩対策案を自動的に実行してもよ 、。
[0120] 次に、本実施の形態の効果について説明する。本実施の形態では、優先順位をつ けて情報漏洩対策案を表示し、実行する形態としたため、設定変更による検証対象 システム 1010への影響が最も少ない情報漏洩対策案の適用が容易になる。また、 優先順位が最も高 、情報漏洩対策案を自動的に実行する構成とすることで、システ ム構成や、設定の影響に対する知識が無くても、情報漏洩の防止が容易になる。
[0121] また、第 7の実施の形態力も第 8の実施の形態までの各実施の形態において、情報 漏洩対策案提案手段 3040は、設定情報特定手段によって特定された設定情報を 出力する結果出力手段にも相当する。
[0122] 〈実施の形態 10〉
図 22は、本発明の第 10の実施の形態を示すブロック図である。既に説明した実施 の形態と同様の構成部については、既に説明した構成部と同一の符号を付し、詳細 な説明を省略する。本実施の形態では、情報漏洩分析システムは、第 3の実施の形 態における分析対象アクセス経路入力手段 1050の代わりに、属性情報解析手段 40 10と、属性情報格納手段 4020と、属性利用分析対象アクセス経路入力手段 4030 と、分析対象アクセス経路変換手段 4040とを備える。
[0123] 属性情報解析手段 4010は、検証対象システム 1010に含まれる設定情報の属性 を解析して、その設定情報の内容と属性とを対応づける。設定情報の属性とは、設定 情報が示す内容の属性を表す情報である。例えば、設定情報にユーザ、ホスト、また はファイルが示されて 、る場合、それらが配置されて 、るネットワーク上の位置 (例え ば、セグメント名）等力 ユーザ、ホスト、ファイルの属性情報となり得る。また、例えば 、設定情報にユーザが示されている場合、そのユーザの役割 (例えば、部長や課長 といった役職)等が、ユーザの属性情報となり得る。また、例えば、設定情報にフアイ ルが示されている場合、そのファイルの機密度 (例えば、マル秘文書、社外秘文書の ような機密度を表すカテゴリ）や、そのファイルの役割 (例えば、住所録、連絡網等）が 、ファイルの属性情報となり得る。また、アクセス経路の属性情報として、例えば、非 暗号ィ匕経路等の経路の種類が挙げられる。
[0124] 属性情報解析手段 4010は、例えば、検証対象システムから設定情報を入力する。
そして、属性情報解析手段 4010は、その設定情報内に記述されているファイル情報 、ユーザ情報に基づいて、ファイルの属性や、ユーザの属性を特定し、ファイル情報 とファイルの属性とを対応付け、また、ユーザ情報とユーザの属性とを対応付ける。同 様に、属性情報解析手段 4010は、設定情報内に記述されているポート番号、 IPアド レス、ホスト名等に基づいて、それらの情報が示す経路の属性を特定し、そのポート 番号等と経路の属性とを対応付ける。属性情報解析手段 4010は、検索対象システ ムの設定情報内のユーザ情報、ファイル情報、経路を示す情報と、ユーザの属性、フ アイルの属性、経路の属性を対応付けた対応情報を属性情報格納手段 4020に格 納させる。
[0125] 属性情報解析手段 4010は、ファイルの属性を特定する場合、例えば、以下のよう な解析を行えばよい。まず、ファイル情報が示すファイル名およびその格納場所を参 照して、そのファイルを読み込む。そして、そのファイルをヘッダ、本文、フッタ等の部 分領域に分割する。そして、各部分領域に記述されている場合にファイルが特定の 属性を有する可能性があることを示す語句 (以下、特徴要素と記す。）を検出する。例 えば、ヘッダ部分に「社外秘」という特徴要素が記載されている場合、そのファイルは 「社外秘文書」 、う属性を有する可能性がある。そのような特徴要素を部分領域毎 に予め定めておき、属性情報解析手段 4010は、部分領域毎に特徴要素を検出し、 その語句に基づいてファイルの属性の候補を特定する。そして、検出した特徴要素 の部分領域内における配置状況に基づいて、候補とした属性力 ファイルの属性とし て適しているカゝ否かを判定する。例えば、部分領域内において、検出した特徴要素 のうち最初に現れる特徴要素力 最後に現れる特徴要素までの語句の並びを参照 する。属性情報解析手段 4010は、その並びに含まれる語句の数に対する特徴要素 数の割合 (この値を密度と記すことにする。 )が予め定められた閾値以下であれば、 その特徴要素の検出に伴って候補とされた属性を候補から除外する。また、ある属性 候補を導いた特徴要素によって定まる語句の並びと、他の属性候補を導いた特徴候 補によって定まる語句の並びとが重複して 、る場合、密度が低 、方の候補を除外す る。そして、残った方の属性候補を導いた特徴要素によって定まる語句の並びに対 する重複部分の割合を算出し、 1からその値を減算する（この減算結果を純度と記す ことにする。；)。純度が、予め定められた閾値以下であれば、その候補を除外する。ま た、部分領域に含まれる語句の数に対する属性候補を導いた特徴要素によって定ま る語句の並び (検出した特徴要素のうち最初に現れる特徴要素から最後に現れる特 徴要素までの語句の並び）に含まれる語句数の割合 (この値を占度と記すことにする 。；)が、予め定められた閾値以下であれば、その候補を除外する。以上のようにして、 除外されなかった候補を、ファイルの属性と定める。この処理を、各部分領域毎に行 えばよい。また、ここでは、密度、純度、占度を用いてファイルの属性を解析する場合 を示した力 密度、純度、占度のうちいずれか 1つまたは 2つを用いて同様の解析を 行ってもよい。なお、各閾値は予め、不適切な候補が除外されるように実験などにより 定めておけばよい。
[0126] このような解析の結果、ファイルの属性を適切に特定することができる。例えば、ファ ィルのヘッダ領域に「社外秘」という特徴要素のみが記載されている場合、密度、純 度、占度とも 1となり、属性情報解析手段 4010は、そのファイルの属性を「社外秘文 書」と特定することができる。そして、属性情報解析手段 4010は、そのファイルのファ ィル情報と属性「社外秘」との対応情報を属性情報格納手段 4020に格納する。また 、例えば、ファイルのヘッダ部分に文書のタイトルとして「当社の社外秘文書に関する 説明」という記載がされていたとする。そして、「社外秘」という語句は含むものの、そ のファイル自体は社外秘ではなぐ社外秘文書という属性を持たないとする。この場 合、占度は低ぐ閾値以下になる。よって、属性情報解析手段 4010は、このファイル の属性が「社外秘」であると特定することはな 、。
[0127] ここで示した属性の解析は一例であり、他の解析方法によって属性を特定してもよ い。
[0128] また、属性情報解析手段 4010は、ユーザの属性を特定する場合、以下のような処 理を行えばよい。属性情報解析手段 4010は、予めユーザ毎に役職等の各種属性 の情報を記憶しておく。そして、属性情報解析手段 4010は、検証対象システムから 設定情報を入力すると、その設定情報に含まれているユーザ情報を参照し、そのュ 一ザ情報に応じた属性を、予め記憶していた情報の中から抽出する。属性情報解析 手段 4010は、この属性を、設定情報に含まれているユーザ情報の属性として特定 する。属性情報解析手段 4010は、このユーザ情報と、特定した属性とを対応付けた 対応情報を属性情報格納手段 4020に格納する。同様に、属性情報解析手段 4010 は、経路の属性を特定する場合、以下のような処理を行えばよい。属性情報解析手 段 4010は、予めポート番号、 IPアドレス、ホスト名等の情報とともに、その情報が示 す経路の属性 (例えば、「非暗号化経路」等)を予め記憶しておく。そして、属性情報 解析手段 4010は、検証対象システムから設定情報を入力すると、その設定情報に 含まれているポート番号、 IPアドレス、ホスト名等の情報を参照する。属性情報解析 手段 4010は、参照したポート番号等に応じた属性を、予め記憶していた情報の中か ら抽出する。属性情報解析手段 4010は、この属性を経路の属性として特定し、設定 情報に含まれて!/ヽるポート番号等と、特定した属性とを対応付けた対応情報を属性 情報格納手段 4020に格納する。
[0129] 属性情報解析手段 4010は、オペレータに属性の入力を促してもよい。すなわち、 属性情報解析手段 4010は、検証対象システムの設定情報を表示出力することによ り、設定情報が示す内容の属性情報の入力をオペレータに促してもよい。オペレータ による属性情報入力操作により、属性情報解析手段 4010は、設定情報に対応する 属性情報を収集することができる。
[0130] 属性情報格納手段 4020は、設定情報と、属性情報解析手段 4010が解析した属 性情報との対応情報を格納する。
[0131] 属性利用分析対象アクセス経路入力手段 4030は、属性利用分析対象アクセス経 路を入力する。属性利用分析対象アクセス経路とは、分析対象アクセス経路をユー ザや、ファイルなどの個々の名前 (例えば、ユーザ IDやファイル名称などの識別情報 )を用いる代わりに、属性情報を用いて流通元や、流通先や、途中経路を表したもの である。属性利用分析対象アクセス経路では、例えば、流通元をファイル名等で指定 するのではなく「個人情報」等の属性で表す。同様に、流通先もファイル名やユーザ I D等で指定するのではなぐユーザやファイルの属するセグメント名や、「社外秘文書 」等のファイルの種類で表す。また、同様に、途中経路も、「非暗号化経路」等の属性 で表す。
[0132] 分析対象アクセス経路変換手段 4040は、属性利用分析対象アクセス経路を、ァク セス経路判定手段 1060によるアクセス経路モデルとのマッチングが取れる形に変換 する。アクセス経路判定手段 1060が、属性情報を用いて示された属性利用分析対 象アクセス経路と、アクセス経路モデルとのマッチングを行える場合には、分析対象 アクセス経路変換手段 4040が備えられて 、なくてょ 、。
[0133] 図 23は、第 9の実施の形態における情報漏洩分析システムの動作を示すフローチ ヤートである。まず、設定情報収集手段 1020が、検証対象システム 1010から設定情 報を収集する (ステップ S410)。アクセス経路モデル生成手段 1030は、収集された 設定情報を元にモデルィヒを行 、、生成したアクセス経路モデルをアクセス経路モデ ル格納手段 1040に格納する (ステップ S420)。次に、属性情報解析手段 4010は、 検証対象システム 1010の設定情報を収集し、設定情報に記述された内容に対応す る属性を解析する。そして、属性情報解析手段 4010は、設定情報の内容と、解析に よって特定した属性情報との対応関係を示す対応情報を属性情報格納手段 4020 に格納する（ステップ S430)。
[0134] 次に、属性利用分析対象アクセス経路入力手段 4030は、属性情報格納手段 402 0に保存された属性情報を利用して、属性利用分析対象アクセス経路を入力する (ス テツプ S440)。なお、本実施の形態における分析対象アクセス経路は、第 1の実施 の形態等と同様に、情報漏洩の可能性がある経路を表す。従って、属性利用分析対 象アクセス経路入力手段 4030は、情報漏洩の可能性がある経路を属性情報によつ て表したデータとして、属性利用分析対象アクセス経路を入力する。
[0135] 次に、分析対象アクセス経路変換手段 4040は、属性情報格納手段 4020に格納 された設定情報と属性情報の対応情報を用いて属性利用分析対象アクセス経路を、 設定情報を用いた分析対象アクセス経路に変換する (ステップ S450)。その後、ァク セス経路判定手段 1060が、アクセス経路モデルと、分析対象アクセス経路とのマツ チングを行い (ステップ S460)、結果出力手段 2030が結果を出力する (ステップ S47 0)。ステップ S460, S470の動作は、第 3の実施の形態におけるステップ S 140, S1 50の動作と同様である。
[0136] 図 24は、属性利用分析対象アクセス経路を入力して、分析対象アクセス経路に変 換する処理を示すフローチャートである。図 24に示す処理は、図 23に示すステップ S430〜S450を詳細に示したものである。
[0137] まず、属性情報解析手段 4010は、検証対象システム 1010の設定情報を収集する
(ステップ Dl)。次に、属性情報解析手段 4010は、設定情報に記述された内容に対 応する属性を解析し、設定情報の内容と、解析によって特定した属性情報との対応 関係を示す対応情報を属性情報格納手段 4020に格納する (ステップ D2)。ステップ D2では、既に説明したように、例えば、ファイル力 特徴要素を検出して特徴要素の 配置状況に基づいてファイルの属性を特定する解析を行えばよい。また、ユーザや 経路の属性は、既に説明した処理によって特定すればよい。ステップ Dl, D2の処 理は、図 23に示すステップ S430に相当する。
[0138] 次に、属性利用分析対象アクセス経路入力手段 4030は、属性情報格納手段 402 0に保存された属性情報を利用して、属性利用分析対象アクセス経路を入力する (ス テツプ D3)。例えば、属性利用分析対象アクセス経路入力手段 4030は、流通元の 候補となる属性として、ファイルの属性を属性情報格納手段 4020から読み出して、 一覧表示し、オペレータにファイルの属性の選択を促す。そして、属性利用分析対 象アクセス経路入力手段 4030は、選択されたファイルの属性によって、属性利用分 析対象アクセス経路の流通元を記述する。同様に、属性利用分析対象アクセス経路 入力手段 4030は、流通元の候補となる属性として、ファイルやユーザの属性を属性 情報格納手段 4020から読み出して、一覧表示し、オペレータにファイルまたはユー ザの属性の選択を促す。そして、属性利用分析対象アクセス経路入力手段 4030は 、選択されたファイルまたはユーザの属性によって、属性利用分析対象アクセス経路 の流通先を記述する。同様に、属性利用分析対象アクセス経路入力手段 4030は、 途中経路の候補となる属性を属性情報格納手段 4020から読み出して、一覧表示し 、オペレータにその属性の選択を促す。そして、属性利用分析対象アクセス経路入 力手段 4030は、選択された属性によって、属性利用分析対象アクセス経路の途中 経路を記述する。属性利用分析対象アクセス経路は、途中経路を記述していなくて もよい。このステップ D3の処理は、図 23に示すステップ S440に相当する。
[0139] 次に、分析対象アクセス経路変換手段 4040は、属性利用分析対象アクセス経路 において流通元として記述された属性に対応する設定情報の内容を、属性情報格 納手段 4020が記憶する対応情報 (設定情報と属性情報との対応情報)から検索す る（ステップ D4)。
[0140] 同様に、分析対象アクセス経路変換手段 4040は、属性利用分析対象アクセス経 路において流通先として記述された属性に対応する設定情報の内容を、属性情報 格納手段 4020が記憶する対応情報力も検索する (ステップ D5)。
[0141] 次に、分析対象アクセス経路変換手段 4040は、属性利用分析対象アクセス経路 に途中経路が記述されている力否かを判定する (ステップ D6)。途中経路が記述さ れていなければ、ステップ D8に移行する。途中経路が記述されている場合、分析対 象アクセス経路変換手段 4040は、属性利用分析対象アクセス経路にお!、て途中経 路として記述された属性に対応する設定情報の内容を、属性情報格納手段 4020が 記憶する対応情報力も検索する (ステップ D7)。ステップ D7の後、ステップ D8に移 行する。
[0142] ステップ D8では、分析対象アクセス経路変換手段 4040は、属性によって記述され た属性利用分析対象アクセス経路の流通元、流通先を、それぞれステップ D4, D5 での検索結果に置き換える。また、ステップ D7の処理を行った場合、属性によいって 記述された属性利用分析対象アクセス経路の途中経路を、ステップ D7での検索結 果に置き換える。この結果、属性利用分析対象アクセス経路は、分析対象アクセス経 路に変換される。ステップ D4〜D8の処理は、図 23〖こ示すステップ S450〖こ相当する
[0143] 第 10の実施の形態では、第 3の実施の形態と同様の効果が得られる。また、個別 のファイル名やユーザ IDなどを指定して分析対象アクセス経路を指定するよりも、フ アイルゃユーザ等の属性を指定する方力 オペレータにとって操作し易い。本実施の 形態では、属性を用いて属性利用分析対象アクセス経路を入力し、分析対象ァクセ ス経路に変換するので、オペレータによっての利便性が向上する。その結果、情報 漏洩をより防止しやすくすることができる。
[0144] 第 1の実施の形態から第 5の実施の形態までの各実施の形態においても、分析対 象アクセス経路入力手段 1050の代わりに、属性情報解析手段 4010と、属性情報格 納手段 4020と、属性利用分析対象アクセス経路入力手段 4030と、分析対象ァクセ ス経路変換手段 4040とを備える構成としてもょ 、。
[0145] 上記の各実施の形態において、アクセス経路モデル入力手段 110、設定情報入力 手段 130、分析対象アクセス経路入力手段 1050は、例えば、キーボード等の入力 デバイスと、プログラムに従って動作する CPUとによって実現される。また、情報漏洩 対策案提案手段 3040、結果出力手段 1070、文書一覧表示手段 5020は、例えば 、ディスプレイ装置と、プログラムに従って動作する CPUとによって実現される。設定 変更入力手段 3030、属性利用分析対象アクセス経路入力手段 4030は、例えば、 ディスプレイ装置と、入力デバイスと、プログラムに従って動作する CPUとによって実 現される。アクセス経路モデル格納手段 1040、設定情報格納手段 2010、情報漏洩 対策案格納手段 3010、属性情報格納手段 4020は、例えば、記憶装置によって実 現される。アクセス経路判定手段 1060、設定情報特定手段 2020、情報漏洩対策優 先順位決定手段 210、アクセス経路分析手段 5010は、プログラムに従って動作する CPUによって実現される。対策実行手段 3050、設定情報収集手段 1020は、検証 対象システム 1010との通信のためのインタフェースと、プログラムに従って動作する CPUとによって実現される。属性情報解析手段 4010は、例えば、検証対象システム 1010との通信のためのインタフェースと、プログラムに従って動作する CPUとによつ て実現される。
[0146] また、各実施の形態において、各手段を実現するための CPUを共通とし、その CP Uがプログラムに従って動作する構成としてもよ 、。
[0147] また、第 1から第 5までの各実施の形態および第 10の実施の形態において、検証 対象アクセス経路は、情報漏洩の可能性がある経路を意味していたが、確立されて V、なければならな 、アクセス経路を検証対象アクセス経路として入力し、そのァクセ ス経路がアクセス経路モデル内に表されている力否かを確認する実施形態であって ちょい。
[0148] なお、上記の各実施の形態にお!、て、特許請求の範囲に記載のアクセス経路情報 格納手段は、アクセス経路モデル格納手段によって実現される。同様に、経路判定 手段は、アクセス経路判定手段によって実現される。アクセス経路情報生成手段は、 アクセス経路モデル生成手段によって実現される。経路情報作成手段は、アクセス 経路分析手段によって実現される。表示手段は、文書一覧表示手段によって実現さ れる。属性利用情報漏洩経路情報入力手段は、属性利用分析対象アクセス経路入 力手段によって実現される。情報漏洩経路情報は、分析対象アクセス経路に相当す る。属性利用情報漏洩経路情報は、属性利用分析対象アクセス経路に相当する。 実施例 1
[0149] 次に、具体的な検証対象システムを例示して、本発明の実施例を説明する。図 25 は、検証対象システムの例を示す説明図であり、ネットワーク構成情報に基づいて作 成したアクセス経路モデルによって表している。図 25に示すように、本例での検証対 象システムは、クライアントコンピュータ RD— Cと、部門サーバ RD— Wを備え、その 間をファイアウォール FWで接続したネットワーク構成になって 、るものとする。また、 クライアントコンピュータ RD— Cには、ウェブクライアント（図 25において図示せず。） が導入され、部門サーバ RD— Wには、ウェブサーバとして、 Apache (図 25におい て図示せず。）が導入されているとする。
[0150] 設定情報収集手段 1020は、検証対象システムの設定情報を収集しモデルィ匕する 。まず、ネットワーク構成情報を収集する。検証対象システム力も収集するネットヮー ク構成情報の例を図 26に示す。図 26に示すネットワーク構成情報から生成したァク セス経路モデルは、図 25に示すモデルとなる。このとき、アクセス経路モデル生成手 段 1030は、ネットワーク構成情報内の、ネットワークインタフェースを表す情報（図 26 )を参照し、 hostエレメントが 3つあり、それぞれ FW, RD-C, RD— Wを示していると 判定する。また、 FWを示す hostエレメントには nicエレメントが 2つ含まれていて、他 の 2つの hostエレメントには nicエレメントがそれぞれ 1つ含まれていることを判定する 。アクセス経路モデル生成手段 1030は、この情報力もネットワークノードを作成する 。次に、アクセス経路モデル生成手段 1030は、ネットワークインタフェースの接続情 報を表す情報（図 26)を参照する。なお、ネットワークインタフェースを表す情報内の nicエレメントでは、 IPアドレスとその id番号が示され、ネットワークインタフェースの接 続情報を表す情報では接続される nicの id番号の組が示される。アクセス経路モデル 生成手段 1030は、ネットワークインタフェースの接続情報を表す情報から、どのネッ トワークノード同士が接続されているかを認識し、ネットワークノードを接続するアーク を作成する。
[0151] 図 27は、クライアントコンピュータ RD— C力も収集されるユーザ情報の例を示す。
なお、図 27に示すユーザ情報は、 OSの設定情報である。アクセス経路モデル生成 手段 1030は、このユーザ情報から、「rdc- user- &」と「 0- butyou」の 2つのユーザ ID があることを認識する。そして、 RD—Cのユーザ情報をアクセス経路モデルに反映さ せる。この結果、アクセス経路モデルは、図 28に示すようになる。なお、ここでは、ァク セス経路モデルを図 25や図 28に示すように模式的に示すが、情報漏洩分析システ ムは、例えば XML等によって記述された情報としてアクセス経路モデルを保持する。
[0152] 図 29は、 RD—Cカゝら収集されるファイル情報とアクセス権情報の例を示す。この情 報も、 OSの設定情報である。アクセス経路モデル生成手段 1030は、ファイル情報か ら、ファィノレ/ rdc— user— a— home/と、フアイノレ/ rdc— user— butyou— home/ ^識する。ま た、アクセス経路モデル生成手段 1030は、アクセス権情報から、ファイル/ rdc-user- a-home/について、その作成者であるユーザ rdc-user-aにフルアクセスの権限 (書き 込み権限、読み込み権限)が与えられていることを認識する。同様に、ファイル/ rdc-u ser- butyou- home/につ 、て、その作成者であるユーザ user- butyouにフルアクセスの 権限 (書き込み権限、読み込み権限)が与えられていることを認識する。そして、フアイ ル情報と、アクセス権情報をアクセス経路モデルに反映させる。図 30は、ファイル情 報とアクセス権情報を反映したアクセス経路モデルの例を示す。図 30では、ユーザ 力もファイルに向力 実線矢印が書き込み権限を表し、ファイル力もユーザに向かう 実線矢印が読み込み権限を表して 、る。
[0153] 次に、アクセス経路モデル生成手段 1030は、ウェブクライアントの設定情報カもァ クセス経路モデルを作成する。ウェブクライアントは、一般にウェブサーバの 80番ポー トにアクセスできることから図 31に示すアクセス経路モデルを作成することができる。 [0154] さらに、アクセス経路モデル生成手段 1030は、ウェブクライアントの設定情報から 作成したアクセス経路モデルと、 OSの設定情報力 作成したアクセス経路モデルの うち、対応する箇所を接続する。すると、アクセス経路モデルは、図 32に示すモデル となる。図 32において、端部を菱形で表した実線は、別名定義を表している。
[0155] 図 33は、部門サーバ RD— Wの OSの設定情報であるユーザ情報の例を示す。ァ クセス経路モデル生成手段 1030は、このユーザ情報から、 RD—Wのユーザとして ユーザ apacheを認識する。アクセス経路モデル生成手段 1030は、このユーザ情報を モデル化し、アクセス経路モデルに追加する。すると、アクセス経路モデルは、図 34 に示すモデルとなる。
[0156] 図 35は、 RD—Wのファイル情報とアクセス権情報の例を示す。図 35に示す情報 は、 OSの設定情報である。アクセス経路モデル生成手段 1030は、このファイル情報 およびアクセス権情報をアクセス経路モデルに反映させる。この場合の、アクセス経 路モデルの例を図 36に示す。ただし、図 36では、便宜上、図 35で示されたファイル の一部のみを示している。
[0157] 図 37は、アパッチの設定情報の例を示す。図 37に示すように、アパッチの設定情 報は、ネットワーク情報、ユーザ情報、ファイル情報、アクセス権情報を含む。アクセス 経路モデル生成手段 1030は、アパッチの設定情報をモデルィ匕し、アクセス経路モ デルに追加する。このとき、アクセス経路モデル生成手段 1030は、図 37に示すネッ トワーク情報から、アパッチのネットワークノード「dstport:80」を作成する。また、図 37 に示すユーザ情報から、アパッチの「user:apache」を作成し、 OSの設定情報力 作 成した「user: apache」との間のアークを作成する。また、図 37に示すファイル情報か ら、アパッチのファイルノードを作成し、 OSの設定情報力も作成したファイルノードと の間のアークを作成する。また、図 37に示すアクセス権情報から、アパッチのユーザ とファイルとの間のアークを作成する。この結果を、図 38に示す。なお、図 38におい て、 apacheのアクセス経路モデル内にファイル「/index.html」、「/leader/index.html」 が含まれている。「/index.html」は、図 37における行番号 10のファイル情報と、図 35 における 3行目のファイル情報とによって導出される。同様に、「/leader/index.html」 は、図 37における行番号 40のファイル情報と、図 35における 4行目および 5行目の ファイル情報とによって導出される。
[0158] 図 39は、ファイアウォールのアクセス権情報の例を示す。 39に示すアクセス権情報 は、 IPアドレス「10.56.2.5」から IPアドレス「10.56.1.105
」への 80番ポートへのアクセスが許可されて!、ることを表して!/、る。フィルタリング設定 を反映したアクセス経路モデルの例を図 40に示す。
[0159] アクセス経路モデル生成手段 1030は、以上のようにモデル化したアクセス経路モ デルをアクセス経路モデル格納手段 1030に格納する。既に説明したように、ァクセ ス経路モデルは、 XML等で記述された情報として情報漏洩分析システムに保持され る。図 41は、アクセス経路モデル格納手段 1030に格納されたアクセス経路モデル の例を示している。ただし、図 41では、アクセス経路モデル全体を表す XML形式の 記述のうち一部を抜粋して示している。図 41に示すように、ノードには、 IPアドレスを 格納した ip属性と、個々のノードを区別する IDを格納した id属性が含まれる。図 41に 示すアクセス経路モデルの記述は、 FWの設定力 作成されたモデルに 2つのネット ワークノード（ίρ="10.56.2.Γと ip="10.56.3.1")力 Sあることを示している。また、アプリケ ーシヨンの設定情報から作成されたモデルでは、 2つのネットワークノードと、これらの ネットワークノードの関係を表すアークを示している。アークは、 type属性と、 from属性 と、 to属性とを含む。 type属性はアークの種類を表す。 from属性は、アークの始点とな るノードの IDを表す。 to属性は、アークの終点となるノードの IDを表す。図 41では、 アクセス経路モデルの一部の記述を示した力 アクセスモデル全体の記述は、例え ば、図 42に示すような記述となる。
[0160] 図 43は、分析対象アクセス経路入力手段 1050が入力する分析対象アクセス経路 の例を示す説明図である。図 43に示す分析対象アクセス経路は、ファイル「10.56.3. 105/var/www/leader/index.html」をホスト「10.56.2.5」のユーザ「rdc- user- a」が 80番 ポートを使って読んでは 、けな 、ことをあらわして 、る。
[0161] 図 44は、アクセス経路判定手段 1060が分析対象アクセス経路とアクセス経路モデ ルとに基づいて、情報漏洩の可能性のある経路として判定した判定結果を示す。図 4 4において、情報漏洩の可能性のある経路は、破線で示している。この破線で示した 経路は、ホスト「10.56.3.105」のファイル「/var/www/leader/index.html」をホスト「10.5 6.2.5」のユーザ「rdc-user-a」が 80番ポートを使って読むことができてしまい、情報漏 洩の可能性があることを表している。つまり、ホスト「10.56.3.105」のファイル「/var/ww w/leader/index.htmljが漏洩する可能性があることを表して 、る。
[0162] 結果出力手段 1070は、図 44に示すアクセス経路モデルを表示して、オペレータ（ 検証者）に提示する。検証者は、図 44に例示するようなアクセス経路モデルを見るこ とで、分析対象アクセス経路にマッチする経路 (すなわち、情報漏洩の可能性のある 経路）上のファイルを特定することができる。また、情報漏洩の可能性のある経路も表 示されているため、検証者は、その経路に関する設定のうち、適当な設定を変更する ことができる。その結果、情報漏洩を未然に防止する設定変更を速やかに行うことが できる。
実施例 2
[0163] 実施例 1で示した検証対象システムを用いて、実施例 2を示す。また、検証対象シ ステム力 収集した設定情報に基づ 、て生成されるアクセス経路生成モデルも、実 施例 1と同様であるとする。本実施例では、生成したアクセス経路モデルを格納する とともに、設定情報も格納し、情報漏洩対策案を提示する場合について説明する。
[0164] 図 45および図 46は、設定情報収集手段 1020に収集された設定情報からモデル ィ匕されたアクセス経路モデルに設定情報を付加した情報の例を示す。図 45および図 46に例示する情報は、アクセス経路モデル生成手段 1030によって設定情報格納手 段 2010に格納される。図 45および図 46に示す設定情報 (アクセス経路モデルに付 加された設定情報）は、その設定情報が格納されていた場所 (ホスト名、ファイル名） や、ファイル中の位置等の情報を含む。
[0165] 設定情報特定手段 2020は、情報漏洩を引き起こすと判定された設定情報の特定 を行う。すなわち、情報漏洩の可能性がある経路のアクセス経路モデルに対応付け られた設定情報を特定し、設定情報格納手段 2010から抽出する。例えば、図 44に 破線で示す経路のアクセス経路モデルに対応付けられた設定情報を設定情報格納 手段 2010から抽出する。具体例を挙げると、図 44において破線で示したアクセス経 路モデルには、ファイル「/leader/index.html」とユーザ apacheとの間のアークが含ま れる。このアークは、図 46に示す apacheのアクセス権情報から生成されたものである 。設定情報特定手段 2020は、このアークに対応する設定情報として、図 46に例示 する設定情報を抽出する。図 44に破線で示したアクセス経路の場合、同様に、クライ アント RD— Cのユーサ rdc— user— aと、ファィノレ/ rdc— user— a— home/
と、その間のアーク (ファイルアクセス権)と、ウェブクライアント中の要素と、ファイアゥォ ール FWのフィルタリングルール「10.56.2.5,*,10.56.3.105,*」と、部門サーバ RD— D の apacheのネットワーク 80と、ファイル/ leader/index.htmlなどについて、それぞれの モデルに対応する設定情報を抽出する。
[0166] 情報漏洩対策案提案手段 3040は、情報漏洩対策案格納手段 3010から情報漏洩 対策案 (設定情報の変更候補)を取り出し、表示する。図 47は、情報漏洩対策案を 表示するためのユーザインタフェース（以下、 UIと記す。）の例を示す。図 47に例示 する UIでは、情報漏洩を引き起こすと判定された設定情報がそれぞれ「現在の設定 」として表示される。そして、各設定情報に対応して、「修正」ボタン、「変更候補」の表 示欄、「実行」ボタンが表示される。初期表示状態において、「変更候補」の表示欄に 変更候補が表示されない場合があってもよい。特に、ユーザによる決定項目が多いと 考えられる変更候補については、初期表示状態において表示しなくてもよい。各変 更候補が、初期表示状態において表示される力否かは、予め定めておけばよい。本 実施例では、図 47に示す UI上でオペレータが変更候補の編集を行うことはできな ヽ ものとする。「修正」ボタンが選択 (例えば、マウスクリック等による選択)されると、設定 変更入力手段 3030は、そのボタンに対応する変更候補の編集画面を表示する。図 47に示す UIにおいて、変更候補が表示されていな力つた場合、設定変更入力手段 3030は、選択された「修正」ボタンに対応する「現在の設定」に応じた変更候補を、 情報漏洩対策案格納手段 3010から取り出し、その変更候補を編集画面上に表示す る。
[0167] 図 48は、図 47において一番下に示した「修正」ボタンが選択されたときの表示画面 の例を示す。設定変更入力手段 3030は、「現在の設定」に応じた情報漏洩対策案 を取り出し、「変更候補」の表示欄に表示する（図 48参照。 )0設定変更入力手段 30 30は、例えば、この画面を表示するディスプレイ装置と、キーボード等の入力デバィ スと、 CPUによって実現される。そして、設定変更入力手段 3030は、表示した変更 候補の修正操作が行われた場合には、その操作に応じて、変更候補の表示を更新 する。すなわち、オペレータは、キーボード等を用いて、表示された変更候補を編集 することができる。図 48に示す画面において「キャンセル」ボタンが選択されると、情 報漏洩対策案提案手段 3040は、前画面（図 47参照。）を再度表示する。図 48に示 す画面にお 、て「決定」ボタンが選択されると、情報漏洩対策案提案手段 3040は、 図 48において「変更候補」として表示した内容を反映させて、再度 UIを表示する。こ の UIの画面を図 49に示す。図 47に示す UIでは、一番下の「変更候補」の表示欄に は何も表示されて 、な 、状態であつたが、「修正」ボタンの選択により変更候補が表 示され（図 48参照。）、図 48に示す決定ボタンが選択されることにより、図 49に示す ように、一番下の「変更候補」の表示欄に変更候補が表示された状態になる。また、 図 48に示す画面で、オペレータによる変更候補の編集が行われた場合、その編集 結果が図 49に示す UIに表示される。
[0168] 図 47,図 49に例示する UIにおいて、表示済みの変更候補に対応する「実行」ボタ ンが選択されると、対策実行手段 3050は、情報漏洩対策案格納手段 3010に格納 された実行方法で、変更候補として示された設定を検証対象システムに施す。例え ば、図 49に例示する表示状態で、一番下の「実行」ボタンが選択されたとする。この 場合、対策実行手段 3050は、一番下の「実行」ボタンとともに表示された「変更候補 」を用いて、 apache設定ファイルを部分的に書き換え、サーバを再起動する。図 49 の一番下に表示された変更候補を用いて部分的に書き換えられた apache設定ファ ィルの例を図 50に示す。図 50に示す行番号 51〜60の部分力 書き換えられた箇 所である。
[0169] このように、検証者は、分析対象アクセス経路を入力することで、情報漏洩を引き起 こす可能性のあるファイルを容易に発見することができる。また、情報漏洩対策案提 案手段 3040により、情報漏洩を防止する方法を複数表示可能であるので、効果的と 考えられる対策をすばやぐ容易に実行することができる。このことにより、情報漏洩 を未然に防止することができる。
実施例 3
[0170] 実施例 3では、実施例 2と同様の検証対象システムを用いて説明する。また、ァクセ ス経路モデルとともに設定情報を格納する態様も、実施例 2と同様であるものとする。 実施例 3では、情報漏洩対策優先順位決定手段 210が、情報漏洩対策案に対し順 位付けを行う場合を示す。
[0171] 図 44に示す情報漏洩の可能性のある経路（図 44において破線で示した経路）に 関して、情報漏洩対策優先順位決定手段 210は、例えば、情報漏洩の可能性のあ る情報漏洩ファイル 5010 (/var/www/leader/index.html)、情報漏洩ファイル 5010 へのアクセス権を示すアーク 5020、情報漏洩ファイルへのアクセス権を有するユー ザ 5030 (user:apache)、アパッチの実行ユーザ設定の user:apache5040、アパッチの アクセス権設定 5050の順に順位付けする。情報漏洩対策案提案手段 3040は、順 位付けられた各モデルに対応する設定情報を順位に従って「現在の設定」として表 示し、その設定に対応する変更候補を表示する。実施例 2と同様に、初期表示状態 にお 、て表示されな!、変更候補があってもよ!、。情報漏洩対策優先順位決定手段 2 10が決定した順位に従って、変更候補を表示した画面の例を図 51に示す。ただし、 図 51では、「修正」ボタンが選択され編集などが行われて、各変更候補が表示されて いる状態を示している。この状態の後、「実行」ボタンが選択されたときの動作は、実 施例 2と同様である。
[0172] 本実施例では、実施例 2と同様の効果が得られる。特に、最も効果的と考えられる 対策をすばやぐ容易に実行することができる。
実施例 4
[0173] 実施例 4では、第 9の実施の形態の動作の例を示す。本例では、実施例 1〜3と同 様のアクセス経路モデルがアクセス経路モデル格納手段 1040に格納されているも のとする。アクセス経路分析手段 5010は、ファイル/ var/www/leader/index.html (図 44参照。）を流通元または、途中のノードとし、すべてのユーザ、ファイルを流通元、 流通先とする分析対象アクセス経路を作成する。次に、アクセス経路判定手段 1060 が全ての経路の有無を判定する。次に、情報漏洩対策優先順位決定手段 210は、 アクセス経路判定手段 1060によって判定された経路の本数を数える。図 44に例示 するモデルの場合、 14本となる。同様に、情報漏洩経路中のすべての要素について 、経路を数える。このようにして数えた経路の少ない順に、設定変更案の順位とする。 この後の手順は、実施例 2と同様である。
[0174] なお、実施例 2や実施例 3等では、図 47に例示する UIを用いて説明した。変更候 補を表示する UIにおいて、設定情報を記述した設定ファイル名を表示してもよい。図 52は、そのような UIの例を示す。図 52に示す UIでは、「実行」ボタン、設定ファイル 名、現在の設定、変更候補、「修正」ボタンを組にして表示している。
[0175] 本発明によれば、ファイルを格納するシステムの設定状況に応じて、情報漏洩の可 能性を判定することができる。また、ファイルが漏洩することを未然に防止することが できる。また、漏洩する可能性のあるファイルがどこに格納されているファイルである の力、あるいは、そのファイルの漏洩の起因となる設定等を特定することができる。 産業上の利用可能性
[0176] 本発明は、ファイル漏洩の可能性の検証に適用することができる。

Claims

請求の範囲
[1] ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能な ユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは 前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現し たアクセス経路情報を記憶するアクセス経路情報格納手段と、
前記システムにおけるネットワーク構成、前記システムに格納されたファイルのファ ィル名および格納場所、前記システムに搭載されたオペレーティングシステムまたは アプリケーションを利用するユーザに関する情報を含む設定情報を記憶する設定情 報格納手段と、
情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記アクセス経路情報と を照合して、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報 内に表されて!/ヽるか否かを判定する経路判定手段と、
前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表され ていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設 定情報を前記設定情報格納手段から読み込む設定情報特定手段と、
前記設定情報を出力する結果出力手段と
を備えたことを特徴とする情報漏洩分析システム。
[2] 情報漏洩の可能性がある経路を遮断する設定案を、設定情報の記載内容に対応 付けて記憶する情報漏洩対策案格納手段と、
設定情報特定手段が特定した設定情報の内容に対応付けられた設定案を情報漏 洩対策案格納手段から読み込んで出力する情報漏洩対策案提案手段とを備えた 請求項 1に記載の情報漏洩分析システム。
[3] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案に 応じて、ファイルを格納するシステムの設定を変更する対策実行手段を備えた 請求項 2に記載の情報漏洩分析システム。
[4] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案を 表示して、当該設定案に対する編集操作を促すユーザインタフェースを表示し、当 該ユーザインタフェースで前記設定案に対する編集操作が行われた場合、前記編集 操作に応じて前記設定案を更新する設定変更入力手段を備えた
請求項 2に記載の情報漏洩分析システム。
[5] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ各設定案 に対して、各設定案に応じてシステムの設定を変更した場合におけるシステムへの 影響が少ないと判定される順に順位を決定する情報漏洩対策案優先順位決定手段 を備え、
情報漏洩対策案提案手段は、情報漏洩対策案優先順位決定手段に決定された順 位に従って前記各設定案を表示する
請求項 2に記載の情報漏洩分析システム。
[6] 情報漏洩経路情報を入力する情報漏洩経路情報入力手段を備えた
請求項 1に記載の情報漏洩分析システム。
[7] 情報漏洩の可能性がある経路における流通元と流通先をファイルまたはユーザの 属性によって表した属性利用情報漏洩経路情報を入力する属性利用情報漏洩経路 情報入力手段と、
ファイルまたはユーザの属性と、当該属性を有するファイルまたはユーザの情報と の対応関係を記憶する属性情報格納手段と、
前記対応関係を参照して、属性利用情報漏洩経路情報に含まれる属性をファイル またはユーザの情報に置き換えることにより、属性利用情報漏洩経路情報を情報漏 洩経路情報に変換する変換手段とを備えた
請求項 1に記載の情報漏洩分析システム。
[8] ファイルを格納するシステム力 設定情報を収集し、前記設定情報に記述された内 容の属性を解析し、前記設定情報に記述された内容と、解析によって特定した属性 との対応関係を属性情報格納手段に記憶させる属性情報解析手段を備えた 請求項 7に記載の情報漏洩分析システム。
[9] ファイルを格納するシステムにおけるネットワーク構成、前記システムに格納された ファイルのファイル名および格納場所、前記システムに搭載されたオペレーティング システムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を前 記システムから収集する設定情報収集手段と、 前記システムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは 当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファ ィルカ 前記システムに格納されるファイルへのアクセス経路を表現したアクセス経 路情報を、前記設定情報に基づ!、て生成するアクセス経路情報生成手段と、 情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記アクセス経路情報と を照合して、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報 内に表されて!/ヽるか否かを判定する経路判定手段と、
前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表され ていると判定された場合に、当該経路の情報を出力する結果出力手段と
を備えたことを特徴とする情報漏洩分析システム。
[10] アクセス経路情報生成手段がアクセス経路情報を生成する際に用いた設定情報を 、前記アクセス経路情報との対応関係を示す情報とともに記憶する設定情報格納手 段と、
情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表されてい ると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設定情 報を前記設定情報格納手段から読み込む設定情報特定手段とを備え、
前記結果出力手段は、前記設定情報特定手段が特定した設定情報を出力する 請求項 9に記載の情報漏洩分析システム。
[11] 情報漏洩の可能性がある経路を遮断する設定案を、設定情報の記載内容に対応 付けて記憶する情報漏洩対策案格納手段と、
設定情報特定手段が特定した設定情報の内容に対応付けられた設定案を情報漏 洩対策案格納手段から読み込んで出力する情報漏洩対策案提案手段とを備えた 請求項 10に記載の情報漏洩分析システム。
[12] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案に 応じて、ファイルを格納するシステムの設定を変更する対策実行手段を備えた 請求項 11に記載の情報漏洩分析システム。
[13] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案を 表示して、当該設定案に対する編集操作を促すユーザインタフェースを表示し、当 該ユーザインタフェースで前記設定案に対する編集操作が行われた場合、前記編集 操作に応じて前記設定案を更新する設定変更入力手段を備えた
請求項 11に記載の情報漏洩分析システム。
[14] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ各設定案 に対して、各設定案に応じてシステムの設定を変更した場合におけるシステムへの 影響が少ないと判定される順に順位を決定する情報漏洩対策案優先順位決定手段 を備え、
情報漏洩対策案提案手段は、情報漏洩対策案優先順位決定手段に決定された順 位に従って前記各設定案を表示する
請求項 11に記載の情報漏洩分析システム。
[15] 情報漏洩経路情報を入力する情報漏洩経路情報入力手段を備えた
請求項 9に記載の情報漏洩分析システム。
[16] 情報漏洩の可能性がある経路における流通元と流通先をファイルまたはユーザの 属性によって表した属性利用情報漏洩経路情報を入力する属性利用情報漏洩経路 情報入力手段と、
ファイルまたはユーザの属性と、当該属性を有するファイルまたはユーザの情報と の対応関係を記憶する属性情報格納手段と、
前記対応関係を参照して、属性利用情報漏洩経路情報に含まれる属性をファイル またはユーザの情報に置き換えることにより、属性利用情報漏洩経路情報を情報漏 洩経路情報に変換する変換手段とを備えた
請求項 9に記載の情報漏洩分析システム。
[17] ファイルを格納するシステム力 設定情報を収集し、前記設定情報に記述された内 容の属性を解析し、前記設定情報に記述された内容と、解析によって特定した属性 との対応関係を属性情報格納手段に記憶させる属性情報解析手段を備えた 請求項 16に記載の情報漏洩分析システム。
[18] ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能な ユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは 前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現し たアクセス経路情報を記憶するアクセス経路情報格納手段と、
アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経路情 報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を作成 する経路情報作成手段と、
前記経路情報作成手段によって作成された経路情報が指定する流通元から流通 先への経路が前記アクセス経路情報に表されているか否かを判定する経路判定手 段と、
前記アクセス経路情報に表されていると判定された経路情報が指定する流通元の ファイルと、流通先のファイルまたはユーザと、前記流通元と前記流通先との間の経 路を表示する表示手段とを備えた
ことを特徴とする情報漏洩分析システム。
[19] ファイルを格納するシステムにおけるネットワーク構成、前記システムに格納された ファイルのファイル名および格納場所、前記システムに搭載されたオペレーティング システムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を記 憶する設定情報格納手段と、
経路情報作成手段によって作成された経路情報が指定する流通元から流通先へ の経路がアクセス経路情報に表されていると判定された場合に、当該経路に対応付 けられた設定情報を特定し、当該設定情報を前記設定情報格納手段から読み込む 設定情報特定手段と、
前記設定情報を出力する結果出力手段とを備えた
請求項 18に記載の情報漏洩分析システム。
[20] 情報漏洩の可能性がある経路を遮断する設定案を、設定情報の記載内容に対応 付けて記憶する情報漏洩対策案格納手段と、
設定情報特定手段が特定した設定情報の内容に対応付けられた設定案を情報漏 洩対策案格納手段から読み込んで出力する情報漏洩対策案提案手段とを備えた 請求項 19に記載の情報漏洩分析システム。
[21] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案に 応じて、ファイルを格納するシステムの設定を変更する対策実行手段を備えた 請求項 20に記載の情報漏洩分析システム。
[22] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ設定案を 表示して、当該設定案に対する編集操作を促すユーザインタフェースを表示し、当 該ユーザインタフェースで前記設定案に対する編集操作が行われた場合、前記編集 操作に応じて前記設定案を更新する設定変更入力手段を備えた
請求項 20に記載の情報漏洩分析システム。
[23] 情報漏洩対策案提案手段が情報漏洩対策案格納手段から読み込んだ各設定案 に対して、各設定案に応じてシステムの設定を変更した場合におけるシステムへの 影響が少ないと判定される順に順位を決定する情報漏洩対策案優先順位決定手段 を備え、
情報漏洩対策案提案手段は、情報漏洩対策案優先順位決定手段に決定された順 位に従って前記各設定案を表示する
請求項 20に記載の情報漏洩分析システム。
[24] アクセス経路情報格納手段が、ファイルを格納するシステムに格納されるファイルと 、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他 のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファ ィルへのアクセス経路を表現したアクセス経路情報を記憶し、
設定情報格納手段が、前記システムにおけるネットワーク構成、前記システムに格 納されたファイルのファイル名および格納場所、前記システムに搭載されたオペレー ティングシステムまたはアプリケーションを利用するユーザに関する情報を含む設定 情報を記憶し、
経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記 アクセス経路情報とを照合して、前記情報漏洩経路情報によって表される経路が前 記アクセス経路情報内に表されている力否かを判定し、
設定情報特定手段が、前記情報漏洩経路情報によって表される経路が前記ァクセ ス経路情報内に表されていると判定された場合に、当該経路に対応付けられた設定 情報を特定し、当該設定情報を前記設定情報格納手段から読み込み、
結果出力手段が、前記設定情報を出力する ことを特徴とする情報漏洩分析方法。
[25] 設定情報収集手段が、ファイルを格納するシステムにおけるネットワーク構成、前記 システムに格納されたファイルのファイル名および格納場所、前記システムに搭載さ れたオペレーティングシステムまたはアプリケーションを利用するユーザに関する情 報を含む設定情報を前記システムから収集し、
アクセス経路情報生成手段が、前記システムに格納されるファイルと、当該ファイル にアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他のファイルと、 前記ユーザまたは前記他のファイル力 前記システムに格納されるファイルへのァク セス経路を表現したアクセス経路情報を、前記設定情報に基づ 、て生成し、 経路判定手段が、情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記 アクセス経路情報とを照合して、前記情報漏洩経路情報によって表される経路が前 記アクセス経路情報内に表されている力否かを判定し、
結果出力手段が、前記情報漏洩経路情報によって表される経路が前記アクセス経 路情報内に表されていると判定された場合に、当該経路の情報を出力する
ことを特徴とする情報漏洩分析方法。
[26] アクセス経路情報格納手段が、ファイルを格納するシステムに格納されるファイルと 、当該ファイルにアクセス可能なユーザまたは当該ファイルの内容をコピー可能な他 のファイルと、前記ユーザまたは前記他のファイルから前記システムに格納されるファ ィルへのアクセス経路を表現したアクセス経路情報を記憶し、
経路情報作成手段が、アクセス経路情報に含まれる任意のファイルを流通元として 指定し、アクセス経路情報に含まれる任意のユーザまたはファイルを流通先として指 定する経路情報を作成し、
経路判定手段が、前記経路情報作成手段によって作成された経路情報が指定す る流通元から流通先への経路が前記アクセス経路情報に表されているか否かを判定 し、
表示手段が、前記アクセス経路情報に表されていると判定された経路情報が指定 する流通元のファイルと、流通先のファイルまたはユーザと、前記流通元と前記流通 先との間の経路を表示する ことを特徴とする情報漏洩分析方法。
[27] ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能な ユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは 前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現し たアクセス経路情報を記憶するアクセス経路情報格納手段と、前記システムにおける ネットワーク構成、前記システムに格納されたファイルのファイル名および格納場所、 前記システムに搭載されたオペレーティングシステムまたはアプリケーションを利用す るユーザに関する情報を含む設定情報を記憶する設定情報格納手段とを備えたコン ピュータに搭載される情報漏洩分析プログラムであって、
前記コンピュータに、
情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記アクセス経路情報と を照合して、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報 内に表されて!/、るか否かを判定する経路判定処理、
前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表され ていると判定された場合に、当該経路に対応付けられた設定情報を特定し、当該設 定情報を前記設定情報格納手段から読み込む設定情報特定処理、および
前記設定情報を出力する結果出力処理
を実行させるための情報漏洩分析プログラム。
[28] コンピュータに、
ファイルを格納するシステムにおけるネットワーク構成、前記システムに格納された ファイルのファイル名および格納場所、前記システムに搭載されたオペレーティング システムまたはアプリケーションを利用するユーザに関する情報を含む設定情報を前 記システムカゝら収集する設定情報収集処理、
前記システムに格納されるファイルと、当該ファイルにアクセス可能なユーザまたは 当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは前記他のファ ィルカ 前記システムに格納されるファイルへのアクセス経路を表現したアクセス経 路情報を、前記設定情報に基づ!、て生成するアクセス経路情報生成処理、
情報漏洩の可能性がある経路を表す情報漏洩経路情報と前記アクセス経路情報と を照合して、前記情報漏洩経路情報によって表される経路が前記アクセス経路情報 内に表されて
いる力否かを判定する経路判定処理、および
前記情報漏洩経路情報によって表される経路が前記アクセス経路情報内に表され ていると判定された場合に、当該経路の情報を出力する結果出力処理
を実行させるための情報漏洩分析プログラム。
ファイルを格納するシステムに格納されるファイルと、当該ファイルにアクセス可能な ユーザまたは当該ファイルの内容をコピー可能な他のファイルと、前記ユーザまたは 前記他のファイルから前記システムに格納されるファイルへのアクセス経路を表現し たアクセス経路情報を記憶するアクセス経路情報格納手段を備えたコンピュータに 搭載される情報漏洩分析プログラムであって、
前記コンピュータに、
アクセス経路情報に含まれる任意のファイルを流通元として指定し、アクセス経路情 報に含まれる任意のユーザまたはファイルを流通先として指定する経路情報を作成 する経路情報作成処理、
前記経路情報作成処理で作成された経路情報が指定する流通元から流通先への 経路が前記アクセス経路情報に表されて 、る力否かを判定する経路判定処理、およ び
前記アクセス経路情報に表されていると判定された経路情報が指定する流通元の ファイルと、流通先のファイルまたはユーザと、前記流通元と前記流通先との間の経 路を表示する表示処理
を実行させるための情報漏洩分析プログラム。
PCT/JP2006/301195 2005-01-28 2006-01-26 情報漏洩分析システム WO2006080380A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
US11/883,067 US7797297B2 (en) 2005-01-28 2006-01-26 Information leak analysis system
EP06712377A EP1855228A4 (en) 2005-01-28 2006-01-26 INFORMATION LEAK ANALYSIS SYSTEM
CN2006800031751A CN101107614B (zh) 2005-01-28 2006-01-26 信息泄漏分析系统
JP2007500560A JP4883315B2 (ja) 2005-01-28 2006-01-26 情報漏洩分析システム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2005021815 2005-01-28
JP2005-021815 2005-01-28

Publications (1)

Publication Number Publication Date
WO2006080380A1 true WO2006080380A1 (ja) 2006-08-03

Family

ID=36740407

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2006/301195 WO2006080380A1 (ja) 2005-01-28 2006-01-26 情報漏洩分析システム

Country Status (5)

Country Link
US (1) US7797297B2 (ja)
EP (1) EP1855228A4 (ja)
JP (1) JP4883315B2 (ja)
CN (2) CN101625717B (ja)
WO (1) WO2006080380A1 (ja)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8521672B2 (en) * 2010-11-22 2013-08-27 Microsoft Corporation Dependency-based query expansion alteration candidate scoring
JP2013077227A (ja) * 2011-09-30 2013-04-25 Fujitsu Ltd 制御プログラム、情報処理装置および方法
CN103716287A (zh) * 2012-09-29 2014-04-09 西门子公司 一种信息泄露路径分析方法和装置
US10379962B1 (en) * 2016-10-03 2019-08-13 EMC IP Holding Company LLC De-duplicating backup files based on data evolution
US11469998B2 (en) * 2020-05-27 2022-10-11 Juniper Networks, Inc. Data center tenant network isolation using logical router interconnects for virtual network route leaking

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000253066A (ja) * 1999-01-29 2000-09-14 Lucent Technol Inc ファイアウォールを管理するための方法および装置
JP2003173301A (ja) * 2001-12-07 2003-06-20 Hitachi Ltd ネットワーク，サーバおよびストレージのポリシーサーバ
JP2004139292A (ja) * 2002-10-17 2004-05-13 Hitachi Ltd アクセス制御のポリシー診断システム
JP2004195455A (ja) * 2002-12-03 2004-07-15 Rohm & Haas Co 熱的に不安定な化合物の高能力精製

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003036208A (ja) 2001-07-25 2003-02-07 Mitsubishi Electric Corp 情報漏洩検出防止装置及び情報漏洩検出防止方法
IL149583A0 (en) * 2002-05-09 2003-07-06 Kavado Israel Ltd Method for automatic setting and updating of a security policy
JP2004185455A (ja) 2002-12-05 2004-07-02 Hitachi Ltd 情報セキュリティポリシーの監査支援方法および装置
CN1219260C (zh) * 2003-09-02 2005-09-14 四川大学 一种安全文件系统的存储及访问控制方法
JP2005196728A (ja) * 2003-12-11 2005-07-21 Nec Corp セキュリティ検証システム、装置、方法、およびセキュリティ検証用プログラム
JP2005190066A (ja) * 2003-12-25 2005-07-14 Hitachi Ltd 情報管理システム、情報管理サーバ、情報管理システムの制御方法、及び、プログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000253066A (ja) * 1999-01-29 2000-09-14 Lucent Technol Inc ファイアウォールを管理するための方法および装置
JP2003173301A (ja) * 2001-12-07 2003-06-20 Hitachi Ltd ネットワーク，サーバおよびストレージのポリシーサーバ
JP2004139292A (ja) * 2002-10-17 2004-05-13 Hitachi Ltd アクセス制御のポリシー診断システム
JP2004195455A (ja) * 2002-12-03 2004-07-15 Rohm & Haas Co 熱的に不安定な化合物の高能力精製

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP1855228A4 *

Also Published As

Publication number Publication date
JPWO2006080380A1 (ja) 2008-08-07
US20080256021A1 (en) 2008-10-16
CN101625717A (zh) 2010-01-13
US7797297B2 (en) 2010-09-14
EP1855228A1 (en) 2007-11-14
CN101107614A (zh) 2008-01-16
EP1855228A4 (en) 2010-10-06
CN101107614B (zh) 2010-08-11
JP4883315B2 (ja) 2012-02-22
CN101625717B (zh) 2012-07-25

Similar Documents

Publication Publication Date Title
JP4747591B2 (ja) 機密文書検索システム、機密文書検索方法、および機密文書検索プログラム
JP4625334B2 (ja) 情報処理装置、情報処理方法、情報処理プログラム及び記録媒体、並びに資源管理装置
JP4876734B2 (ja) 文書利用管理システム及び方法、文書管理サーバ及びそのプログラム
US7891003B2 (en) Enterprise threat modeling
US20130124567A1 (en) Automatic prioritization of policies
US8321382B2 (en) Validating aggregate documents
US20080037789A1 (en) Document Processing Device, Document Reading Device, and Document Processing Method
JP4883315B2 (ja) 情報漏洩分析システム
JPWO2012095971A1 (ja) 分類ルール生成装置及び分類ルール生成プログラム
CN101364221A (zh) 文档管理装置、文档管理系统和方法
JP5422939B2 (ja) 変更プログラム、情報処理装置および変更方法
CN107783766A (zh) 对应用程序的文件进行清理的方法和装置
WO2014119233A1 (ja) ネットワークシステム
CN101211361A (zh) 信息处理装置、信息处理系统和信息处理方法
KR102257139B1 (ko) 다크웹 정보 수집 방법 및 장치
El Hadj et al. Validation and correction of large security policies: A clustering and access log based approach
JP5213758B2 (ja) 情報処理装置及び情報処理方法及びプログラム
JP5808264B2 (ja) コード生成装置及びコード生成方法及びプログラム
JP5783010B2 (ja) インデックス管理プログラム、インデックス管理装置及び検索システム
JP6753525B2 (ja) データ制御システム、データ制御方法およびデータ制御プログラム
JP2009070206A (ja) データ検索システムおよびデータ検索方法ならびにデータ検索装置，検索実行者端末およびプログラム
Cheney Provenance, XML and the scientific web
Odamura et al. Supporting Change Management of Sequence Diagrams
Giannakopoulos et al. On the Usage of NLP on CVE Descriptions for Calculating Risk
WO2023188092A1 (ja) 情報処理装置、情報処理方法、及びコンピュータ読み取り可能な記録媒体

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application
DPE1 Request for preliminary examination filed after expiration of 19th month from priority date (pct application filed from 20040101)
WWE Wipo information: entry into national phase

Ref document number: 2007500560

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 200680003175.1

Country of ref document: CN

WWE Wipo information: entry into national phase

Ref document number: 11883067

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2006712377

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 2006712377

Country of ref document: EP