JP2010128824A - ポリシーグループ識別子を利用したクライアント制御システム - Google Patents

Abstract

【課題】サーバで定義したポリシーによってクライアントの動作を制御するシステムにおいて、ポリシーグループ識別子を使用して、管理者が意図しない、間違ったポリシーやユーザが意図的に自分の所属するグループ以外のポリシーを適用することを禁止する仕組みを提供することを目的とする。
【解決手段】複数のクライアントをグループに分け、サーバからクライアントに制御ポリシーを配布する際には、そのクライアントが属するグループのポリシーグループ識別子と制御ポリシーとを配布する。クライアントは、自機に適用された制御ポリシーとポリシーグループ識別子をパラメータファイルに保持する。以降、制御ポリシーを更新し、クライアントに配布する際には、ポリシー更新前後のポリシーグループ識別子の一致を判定し、不一致の場合は、制御ポリシーの更新を禁止し、一致した場合のみ制御ポリシーの更新を許可する。
【選択図】図１

Description

本発明は、サーバで定義したポリシーによってクライアントの動作を制御するシステムにおいて、ポリシーグループ識別子を用いて、クライアントの制御ポリシーの更新を行う技術に関する。

例えば、情報漏洩防止のためにクライアントで実行できる動作を制限するシステムなど、管理者が指定したポリシーに従ってクライアントの動作を制御するシステムがある。このようなシステムを実現する場合、サーバ上でクライアントの動作を規定する制御情報をポリシーとして定義し、該ポリシーをクライアントに適用することで動作を制御することが考えられる。また、全てのクライアントに対して一つのポリシーを適用するのではなく、クライアントをグループ化して、それぞれのグループに割り当てたポリシーに従い、各グループのクライアントの動作を制御したい場合がある。このようなシステムは、例えば下記特許文献１に開示されている。下記特許文献１に記載のシステムは、中央にポリシーサーバを用意してポリシーを設定し、クライアントにポリシーを配布するシステムである。
特表2003-502757

上記特許文献１に記載の技術では、クライアントをグループ化し、管理者がポリシーサーバを使用してグループ毎のポリシーを生成し、クライアントにポリシーを配布している。しかし、仮に管理者が意図しない間違ったポリシーを配布すると、クライアントがそのまま間違ったポリシーで動作してしまう問題がある。

また、特許文献１に記載のシステムにおいて、専用ソフトウェアがサーバからポリシーをダウンロードしてポリシーを配布するような運用を行う場合、ユーザが自分でポリシーを選択して適用することはないため、ユーザが間違ったポリシーを適用することはない。しかし、専用ソフトウェアでダウンロードするのではなく、ユーザがCDなどの媒体を使用してポリシーを適用するような運用を考えた場合、故意または過失により、ユーザが自分の所属するグループ以外のポリシーを適用し、間違ったポリシーで動作してしまう問題がある。

上記の問題の対策として、グループごとに識別子を用意してクライアントに不正な制御ポリシーを適用することを防止することが考えられる。しかし、仮にポリシーグループ識別子が破損すると、正しいポリシーグループ識別子を配布しても、ポリシーを適用することができなくなる。このような場合は、ポリシーを適用するには、ユーザがシステムの再インストールをしなければならない問題がある。

本発明の目的は、サーバで定義したポリシーによってクライアントの動作を制御するシステムにおいて、ポリシーグループ識別子を使用して、管理者が意図しない、間違ったポリシーやユーザが意図的に自分の所属するグループ以外のポリシーを適用することを禁止する仕組みを提供し、例えば上記のような情報漏洩防止システムにおいて、サーバがクライアントの動作を正しく制御できるような仕組みを提供することである。

上記目的を達成するために、本発明では、複数のクライアントをグループに分け、サーバからクライアントに制御ポリシーを配布する際には、そのクライアントが属するグループのポリシーグループ識別子と制御ポリシーとを配布する。クライアントは、自機に適用された制御ポリシーとポリシーグループ識別子をパラメータファイルに保持する。以降、制御ポリシーを更新し、クライアントに配布する際には、パラメータファイルに保持されているポリシーグループ識別子と更新のために配布されたポリシーグループ識別子とを比較し、一致を判定する。ポリシーグループ識別子が不一致の場合は、制御ポリシーの更新を禁止し、一致した場合のみ制御ポリシーの更新を許可する。これにより、管理者が意図しない、間違ったポリシーの適用を防止することを可能とする。また、制御ポリシーを適用するとき、ユーザが別のグループのポリシーからポリシーグループ識別子をコピーしたりポリシーグループ識別子を直接編集したりすると、上記のポリシーグループ識別子の比較で不一致が検出されるので、ユーザが意図的に、自分の所属するグループ以外のポリシーを適用することを防止することが可能となる。

さらに、ポリシーグループ識別子を配布するとき、クライアントにオリジナルのポリシーグループ識別子を保存すると同時に、ポリシーグループ識別子のバックアップを行う。これにより、ポリシーグループ識別子が破損した場合でも、バックアップデータからポリシーグループ識別子を復元することで、ユーザがシステムの再インストールを行わずに、制御ポリシーの更新が可能となる。

本発明によれば、ポリシーグループ識別子を使用して、ポリシー更新前後のポリシーグループ識別子が一致する場合だけ、制御ポリシーの更新を許可することで、管理者が意図しない、間違った制御ポリシーの更新を防止できる。これにより、例えば情報漏洩防止システムの場合、管理者がクライアントの動作を正しく制御することができ、情報漏洩の防止を強化することができる。また、ユーザが別のグループからポリシーグループ識別子をコピーしたりポリシーグループ識別子を直接編集したりすることによる改ざんを検出し、ポリシーグループ識別子が改ざんされていない場合のみ、制御ポリシーの更新を可能にすることで、ユーザが意図的に不正な制御ポリシーを適用することを防止する。これにより、例えば情報漏洩防止システムの場合、管理者がクライアントの動作を正しく制御することができ、情報漏洩の防止を強化することができる。さらに、クライアントにポリシーグループ識別子のバックアップを行うことで、ポリシーグループ識別子が破損した場合でも、ポリシーグループ識別子を復元できる。これにより、ユーザがシステムの再インストールを行わずに、制御ポリシーの更新を可能でき、利便性を損なわない。

以下、本発明を適用した情報漏洩防止システムの実施の形態について説明する。

図１は、本実施の形態に係る情報漏洩防止システムのシステム構成を示す。本システムは、サーバマシン１００と、複数のクライアントマシンＣＬ＿Ａ１，ＣＬ＿Ａ２，ＣＬ＿Ａ３，ＣＬ＿Ｂ１，ＣＬ＿Ｂ２とを備える。予め管理者がクライアントをグループ化してある。ここでは、クライアントＣＬ＿Ａ１，ＣＬ＿Ａ２，ＣＬ＿Ａ３をクライアントグループＡ１２０とし、クライアントＣＬ＿Ｂ１，ＣＬ＿Ｂ２をクライアントグループＢ１３０とする。サーバマシン１００は、管理者のみが使用する、各クライアントに制御ポリシーを配布するマシンである。グループポリシーテーブル１０１には、各クライアントに配布する制御ポリシーなどが格納されている。１０２，１０３は、それぞれグループポリシーテーブル１０１に登録されている各グループのポリシーグループ識別子と制御ポリシーを具体的に記載したものである。

各クライアントには、そのクライアントが含まれるクライアントグループに対応する制御ポリシーが適用される。例えば、クライアントグループＡに属するクライアントＣＬ＿Ａ１には、矢印１２１に示すように制御ポリシーＡ１が適用され、クライアントＣＬ＿Ａ２には、矢印１２２に示すように制御ポリシーＡ２が適用される。他のクライアントＣＬ＿Ａ３，ＣＬ＿Ｂ１，ＣＬ＿Ｂ２についても、同様に、矢印１２３，１３１，１３２に示すように、それぞれのグループに属する制御ポリシーが最初に適用される。なお、最初に新規に適用される制御ポリシーは、管理者により、各クライアント毎に予め定められているものとする。

クライアントに最初に制御ポリシーが適用されたとき、そのクライアント内にはポリシーグループ識別子が保持される。具体的には、各クライアントは、ユーザレベルでは改ざんすることができないパラメータファイルを保持しており、適用された制御ポリシーおよびグループ識別子はそのパラメータファイル内に記憶される。例えば、クライアントＣＬ＿Ａ１に矢印１２１のように、最初にポリシーＡ１が適用されると、クライアントＣＬ＿Ａ１内のパラメータファイルには、ポリシーＡ１およびポリシーグループ識別子Ａが記憶される。なお、パラメータファイルが「ユーザレベルで改ざんすることができない」とは、パラメータファイルをユーザからアクセスできない領域に記憶したり、パラメータファイルをユーザが更新できないように書き込み制限をかけたりすることなど、パラメータファイル自体にアクセス制限をかけることのほか、例えばユーザが不正な手段を用いてパラメータファイルを変更した場合にそのことをシステム側で検出し、不正に変更されたパラメータファイルの内容が有効に用いられることが無いように自動的に対処することなど、パラメータファイルの内容を実質的に変更することを禁止する手法なども含むものとする。

ポリシーを更新する場合、本システムでは、新たに設定しようとしているポリシーのポリシーグループ識別子とクライアントがパラメータファイル内に保持するポリシーグループ識別子とが一致する場合にのみ、そのポリシーの更新を行うことができるようにしている。例えば、クライアントＣＬ＿Ａ１が、管理者の指示により、あるいは管理者の許可を受けて、制御ポリシーＡ２を適用しようとしたとき、当該クライアントＣＬ＿Ａ１が自機内に保持するポリシーグループ識別子はクライアントグループＡを示す識別子であり、一方、適用しようとする制御ポリシーＡ２はグループＡに属するからポリシーグループ識別子Ａに対応するものであるので、この適用は、矢印１２５のように成功する。同様に、クライアントＣＬ＿Ａ２に、ポリシーＡ１を適用することも可能である（矢印１２４）。

一方、クライアントＣＬ＿Ａ３において、当該クライアントがクライアントグループＢに属するかのように改ざん（１４０）されたとする。この場合、クライアントＣＬ＿Ａ３がパラメータファイル内に所有するグループ識別子はグループＡを示すものであり改ざんすることができない形で保持されているので、グループＢに属する制御ポリシーＢ１を適用しようとしても、矢印１３３に示すように失敗する。同様に、クライアントＣＬ＿Ｂ１に矢印１２６のようにグループＡに属するポリシーを適用しようとしても失敗する。なお、上述の付番１４０の「改ざん」はパラメータファイル中のグループ識別子の改ざんではなく、パラメータファイル以外の部分でグループ識別子を偽装する改ざんを意味する。もしユーザが不正な手段でパラメータファイルの内容を変更した場合は、その不正な変更は自動的に検出され警告などが為されるものとする。

図２は、図１で説明したグループポリシーテーブル１０１の詳細な構造を示す。「グループ名」は、クライアントグループを特定するグループ名である。「ポリシーグループ識別子」は、当該クライアントグループを特定するグループ識別子である。「制御ポリシー」は、そのポリシーグループ識別子のグループに適用可能な制御ポリシーである。このように、グループ名、ポリシーグループ識別子、および制御ポリシーを１組のレコードとして登録しておく。

図３は、クライアントが制御ポリシーをインストールあるいは更新するときの処理フローの概略を示す。この処理は、クライアントが新たにネットワークに接続されたとき、クライアントのユーザから要求があったとき、あるいは定期的などの、任意のタイミングで実行される。

まず、ステップ３０１で、サーバマシン１００から制御ポリシーとポリシーグループ識別子が配布されるので、それらをクライアントで受信する。クライアントは、ステップ３０２で、新規インストールか否か判定する。なお、パラメータファイルにより、既に制御ポリシーが適用済か、あるいは未だ制御ポリシーが不適用かは、判定できるものとする。新規インストールの場合（すなわち、現状で未だ何らの制御ポリシーも適用されていなかった場合）は、ステップ３０３で、配布された制御ポリシーとポリシーグループ識別子を改ざんが不可能な形式でパラメータファイル内に保存し、当該制御ポリシーを適用する。これにより、当該クライアントは、適用された制御ポリシーに従い動作するようになる。また、ステップ３０４で、ポリシーグループ識別子のバックアップを、これも改ざん不可能な形式で、保存する。このバックアップは、パラメータファイル内の所定の領域を利用してもよいが、パラメータファイルとは別のファイルを用いるのが好ましい。ステップ３０２で新規インストールでない場合は、ステップ３０５で制御ポリシーの更新処理を行う。

図４は、クライアントが制御ポリシーを更新するときの処理フローの概略を示す。これは、図３のステップ３０５の詳細である。

まず、ステップ４０１で、パラメータファイル内に保存されているポリシーグループ識別子が改ざんされているか否か判定する。この判定は、パラメータファイルが不正に変更されていないかチェックすることにより行う。改ざんされている場合は、ステップ４０２でエラー表示を行い終了する。改ざんされていない場合は、パラメータファイルの内容は適正であることが保証されているので、ステップ４０３で、当該パラメータファイルに保存されているポリシーグループ識別子と更新を指示されたポリシーグループ識別子（ステップ３０１で配布されたもの）とが一致するか否か判定する。一致しない場合は、ステップ４０４でエラー表示を行い終了する。ステップ４０３でポリシーグループ識別子が一致していた場合は、ステップ４０５で、配布された制御ポリシーを適用して終了する。これにより、パラメータファイル内の制御ポリシーは配布されたものに置き替わる。これ以降、当該クライアントは、新たに適用された制御ポリシーに従い動作する。

図５は、クライアントが所有するポリシーグループ識別子が破損した場合に、ポリシーの更新をするときの処理フローの概略を示す。ステップ５０１で、パラメータファイル内のポリシーグループ識別子が破損されているか判定する。破損されている場合は、ステップ５０２で、バックアップされているポリシーグループ識別子を復元しパラメータファイルに設定する。破損されていない場合は、ステップ５０３に進む。ステップ５０３では、ポリシーグループ識別子に対応する制御ポリシーの更新処理（図４）を実行する。

本発明の実施の形態を示すシステム構成図である。 制御ポリシーとポリシーグループ識別子の組み合わせを登録するテーブルである。 制御ポリシーの新規インストールの処理のフローである。 制御ポリシーの更新処理のフローである。 ポリシーグループ識別子が破損したときのポリシー更新の処理フローである。

符号の説明

１００…サーバマシン、１０１…グループポリシーテーブル、１０２…グループＡ、１０３…グループＢ、１２０…クライアントグループＡ、１３０…クライアントグループＢ。

Claims (2)

1. サーバで定義した制御ポリシーをクライアントに配布し、クライアントに該制御ポリシーを適用することで該クライアントの動作を制御するクライアント制御システムにおいて、
   複数のクライアントは、予め、グループ分けされており、
   前記サーバは、
   前記グループを特定するポリシーグループ識別子と、各グループに属するクライアントに適用可能な制御ポリシーとを、設定したポリシーグループ識別子テーブルと、
   各クライアントに、制御ポリシーとポリシーグループ識別子とを配布する手段と
   を備え、
   前記クライアントは、
   自機に適用されている制御ポリシーとポリシーグループ識別子を、改ざんすることができないパラメータファイルに、保持する手段と、
   前記サーバから配布された制御ポリシーとポリシーグループ識別子を受信する手段と、
   受信したポリシーグループ識別子と前記パラメータファイルに保持されているポリシーグループ識別子とを比較し、不一致の場合は制御ポリシーの更新を禁止し、一致した場合は前記パラメータファイルに保持されている制御ポリシーを前記サーバから配布された制御ポリシーで上書きするとともに、該配布されたポリシーを制御情報として適用する手段と
   を備えることを特徴とするクライアント制御システム。
2. 請求項１に記載のクライアント制御システムにおいて、
   前記サーバからポリシーグループ識別子が配布されたとき、該配布されたポリシーグループ識別子を所定のバックアップ手段に保存する手段と、
   前記パラメータファイル中のポリシーグループ識別子が破損していることが検出されたとき、前記バックアップ手段に保存されているポリシーグループ識別子からポリシーグループ識別子を復元する手段と
   をさらに備えることを特徴とするクライアント制御システム。

Images