JP2015165350A

JP2015165350A - トレースシステム及びトレース方法

Info

Publication number: JP2015165350A
Application number: JP2014040029A
Authority: JP
Inventors: 隆宏松村; Takahiro Matsumura; 敏浩元田; Toshihiro Motoda
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2014-03-03
Filing date: 2014-03-03
Publication date: 2015-09-17
Anticipated expiration: 2034-03-03
Also published as: JP6053182B2

Abstract

【課題】情報の漏洩先を検知するだけでなく、情報のさらなる漏洩を防止し、かつ漏洩してしまった情報を事後的に遠隔削除する。【解決手段】アクティブトレース管理サーバ３は、暗号化されたコンテンツと、補助アプリケーションの機能を利用してアクセス制御を行うための二次流通防止に関するポリシーと、トレース情報と、端末で補助アプリケーションが起動していれば補助アプリケーションに制御を渡し、補助アプリケーションがなければ、コンテナを展開せずに終了する監視アプリケーションを内包し、処理が完了すると再びコンテナに加工される機能も有する自己実行形式のファイルであるコンテナを生成する。アクティブトレースサーバ１は、補助アプリケーションからトレース情報を受け取り、要求に応じてコンテンツの利用状況・コピー状況を閲覧検索する。【選択図】図１

Description

この発明は、情報セキュリティ技術に関し、特にコンピュータシステムでの情報漏洩に対して情報が漏洩した先を追跡する技術に関する。

社会問題となっている情報漏洩やソフトウェアの不正利用に対し、その抑止または対策を行うことを目的とする技術が提案されている。例えば、特許文献１に記載の技術は、情報漏洩先を突き止めたいというニーズに対して、情報の漏洩が発生しそうな場合に、その情報を含むコンテンツの代わりに追跡エージェントにすり替えて情報を取得させ、追跡エージェントが漏洩先の情報を通報する技術である。また、従来から、コンテンツの認証を行うサーバの技術は多く存在していた。例えば、特許文献２には、ある種の認証基準を満たすウェブコンテンツを認証するシステムが記載されている。

特開２００３−０７６６６２号公報特開２００９−３０１２４０号公報

しかしながら、情報の漏洩先を検出できるだけでは、対策として不十分である。漏洩先を検出するだけでなく、それ以降の情報漏洩を防止したり、漏洩した情報を遠隔削除したりできることが求められている。

例えば、ソフトウェアのライセンス管理において、ソフトウェアの実行プログラムや付属ファイル一式を、社内でコピーさせたときに元々どの端末にあったものからコピーされたものなのか、さらにその後どの端末のどのファイルにコピーされたのか、といったコピーの親子孫関係を把握し、ソフトウェアライセンスの利用がどのように拡散していったのかを把握したいというニーズがある。さらに、必要であれば指定した端末のソフトウェアを遠隔から削除したいというニーズもある。これらのようなニーズは従来の技術では実現できていない。

また、例えば、医師が患者の医療画像を研究目的で別の端末にコピーしたが、その端末を紛失したような場合に、その画像を遠隔から削除したいというようなニーズもある。このようなニーズも従来の技術では実現できていない。

この発明はこのような点に鑑みて、情報の漏洩先を検知するだけでなく、情報のさらなる漏洩を防止し、かつ漏洩してしまった情報を事後的に遠隔から削除できる技術を提供することを目的とする。

この発明のトレース技術は上記の課題を以下のように解決する。まず、追跡対象の情報に、その情報の送信先を通報するトレースプログラムを付加し、情報の送信先を検知できるようにする。また、情報及びトレースプログラムとともに、送信先の端末での情報のコピーや編集を禁止し、情報の削除を行うアクセス制御ドライバを、実行形式のファイル（例えば、オペレーティングシステムがWindows（登録商標）であれば、拡張子がEXEであるファイルなど）にラッピングして送信されるように構成する。

ここで、トレースプログラムについて説明すると、電子ファイルを利用（ファイルのタイプに応じて、閲覧、実行等）する際に操作内容等を自発的に発出するトレーサを電子ファイルに組み込んで配布し、該電子ファイルの利用状況をトレースするプログラムである。なお、対象の電子ファイルは、重要情報を含む社内オフィスファイル、アプリケーションソフトウェア等、電子ファイルの内容は任意である。

また、アクセス制御ドライバについて説明すると、実行形式のファイルに内包されるものであって、情報が実行形式で送信されると、受信側で実行されたのちに、アクセス制御ドライバが機能するように設定されることで、受信先での情報のコピーや編集や新規別名保存を禁止し、遠隔削除を実行するプログラムである。

この発明は、暗号化されたコンテンツと、補助アプリケーションの機能を利用してアクセス制御を行うための二次流通防止に関するポリシーと、トレース情報と、端末で補助アプリケーションが起動していれば補助アプリケーションに制御を渡し、補助アプリケーションがなければ、コンテナを展開せずに終了する監視アプリケーションを内包し、処理が完了すると再びコンテナに加工される機能も有する自己実行形式のファイルであるコンテナを生成する機能を有するアクティブトレース管理サーバと、補助アプリケーションからトレース情報を受け取り、要求に応じてコンテンツの利用状況・コピー状況を閲覧検索するアクティブトレースサーバを有するトレースシステムで構成される。

この発明のトレース技術によれば、情報の漏洩先を検知するだけでなく、情報のさらなる漏洩を防止し、かつ漏洩してしまった情報を事後的に遠隔削除できる仕組みを作ることができる。

図１は、トレースシステムの機能構成を例示する図である。図２は、コンテナのデータ構造を例示する図である。図３は、コンテナのデータ構造を例示する図である。

以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

図１を参照して、この発明の実施形態であるトレースシステムの機能構成を説明する。トレースシステムは、アクティブトレース管理サーバ１、アクティブトレースサーバ３、利用者端末５、管理者端末６及びパッケージ作成者端末７を含む。トレースシステムを構成する各装置は、それぞれ通信網に接続されている。この通信網は、各装置が相互に通信可能なように構成されていればよく、例えばインターネットやＬＡＮ、ＷＡＮなどで構成することができる。

トレースシステムの主要な機能は、アクティブトレースログ生成機能及びコンテンツの二次流通防止機能の二つである。

アクティブトレースログ生成機能は、アクティブトレース管理サーバ１、アクティブトレースサーバ３、補助アプリケーション（補助ＡＰＬ）５２、コンテナ５１の機能の連携により、コンテンツを内包したコンテナ５１の複製を検出し、複製状況等をログに記録する機能である。

コンテンツの二次流通防止機能は、補助アプリケーション（補助ＡＰＬ）５２、コンテナ５１の機能の連携により、コンテナ５１が解凍されたのちに、コンテンツ管理者が指定したポリシーに従って、コンテナ５１の中のコンテンツの二次流通等を防止し、情報漏洩があれば事後的にコンテナ５１ごと削除する機能である。

アクティブトレース管理サーバ１は、システム設定部１１、利用者承認部１２、ユーザ管理部１３、ポリシー管理部１４、ＡＴコンバータ部１５、利用者申請部（作成者）１６、鍵管理部１７、ユーザＤＢ１８、ポリシーＤＢ１９、補助アプリケーション（補助ＡＰＬ）配信部２０、利用者申請部（利用者）２１、鍵交換部２２、ポリシー実行時サーバ側機能部２３及びユーザ認証部２４を含む。アクティブトレース管理サーバ１は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。アクティブトレース管理サーバ１は、例えば、中央演算処理装置の制御のもとで各処理を実行する。アクティブトレース管理サーバ１に入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて読み出されて他の処理に利用される。

アクティブトレースサーバ３は、ログ受付部３１、ログ蓄積部３２、ログ参照部３３及びログ集計部３４を含む。アクティブトレースサーバ３は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。アクティブトレースサーバ３は、例えば、中央演算処理装置の制御のもとで各処理を実行する。アクティブトレースサーバ３に入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて読み出されて他の処理に利用される。

利用者端末５は、コンテナ５１及び補助アプリケーション（補助ＡＰＬ）５２を含む。利用者端末５は、例えば、中央演算処理装置（Central Processing Unit、ＣＰＵ）、主記憶装置（Random Access Memory、ＲＡＭ）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。利用者端末５は、具体的には、デスクトップ型もしくはラップトップ型のパーソナル・コンピュータや携帯電話、スマートフォン、タブレット端末などである。

コンテナ５１は、コンテンツを内包する情報であって、コンテナを識別する追跡ＩＤを管理し、追跡ＩＤや利用者端末５を識別する固有値を定期的にアクティブトレースサーバ３宛てに通知する機能を有するプログラムである。

コンテナ５１は、暗号化されたコンテンツ本体、補助アプリケーション５２の機能を利用してアクセス制御を行うための二次流通防止に関するルール（以下、ポリシーと呼ぶ）、トレース情報（例えば、追跡ＩＤ，端末の固有値、時刻情報等を含む）、利用者端末５で補助アプリケーション５２が起動していれば補助アプリケーション５２に制御を渡し、補助アプリケーション５２が起動していなければ、コンテナ５１を展開せずに終了する監視アプリケーションを内包し、処理が完了すると再びコンテナに加工される機能をも有する自己実行形式のファイルである。

図２、３を参照して、コンテナ５１のデータ構造を説明する。コンテナ５１は利用者端末５で補助アプリケーション５２が起動している場合と起動していない場合とで構成が異なる。図２は補助アプリケーションが起動している場合のコンテナ５１ａのデータ構造の例である。コンテナ５１ａは、暗号化コンテンツ５１１、トレーサ５１２、管理ヘッダ５１３、ログ５１４、監視アプリケーション５１５ａ及びポリシー５１７ａから構成される。監視アプリケーション５１５ａは、補助アプリケーション起動５１５１の機能を有するプログラムである。

図３は補助アプリケーションが起動していない場合のコンテナ５１ｂのデータ構造の例である。コンテナ５１ｂは、暗号化コンテンツ５１１、トレーサ５１２、管理ヘッダ５１３、ログ５１４、監視アプリケーション５１５ｂ及びポリシー５１７ｂから構成される。監視アプリケーション５１５ｂは、コンテナ展開５１５２、ドライブウェア制御５１５３、各種認証機能５１５４、ポリシー設定５１５５及び再コンテナ化５１５６の機能を有するプログラムである。

補助アプリケーション５２は、利用者端末５に事前にインストールされて常駐実行している。補助アプリケーション５２は、アクセス制御とアクセス監視と暗号化復号化のためのソフトウェア開発キット（Software Development Kit、ＳＤＫ）、トレース情報をアクティブトレースサーバ３へアップロードするトレースプログラム（トレーサ）及びコンテンツの制御を実施するＡＰＩ利用プログラムから構成されるアプリケーションである。

コンテンツ管理者（もしくは、コンテナ作成者）が二次流通防止のルールをアクティブトレース管理サーバ１に記述した情報をポリシーと呼ぶ。コンテナ５１にはポリシー５１７にアクセスするための情報を内包させる。ポリシー５１７の構成は補助アプリケーション５２が起動しているか否かで異なる。補助アプリケーションが起動している場合のポリシー５１７ａは、図２に示すとおり、アクセス権５１７１及び認証種別５１７２を含む。アクセス権５１７１は、例えば、オープン権５１７１１や実行権５１７１２などが設定されている。認証種別５１７２は、例えば、ユーザパスワード認証５１７２１や端末認証５１７２２の機能を有する。補助アプリケーションが起動していない場合のポリシー５１７ｂは、アクセス権５１７１及び認証情報５１７３を含む。認証情報５１７３は、例えば、ユーザ認証情報５１７３１、端末認証情報５１７３２及びネットワーク認証機能５１７３３の機能を有する。

アクティブトレースサーバ３は、補助アプリケーション５２からコンテナ５１に設定されたトレース情報を受け取り、システム管理者やコンテンツ管理者がコンテンツ５１１の利用状況・コピー状況を閲覧検索するサーバである。このアクティブトレースサーバ３とインタフェースを持つのは、アクティブトレース管理サーバ１である。利用者端末５でコンテナ５１が起動されてのちに、利用状況に関する情報（例えば、どの追跡ＩＤのコンテナ５１がどういう固有値の利用者端末５で利用されようとしたか等）を利用者端末５から受信し、コンテナ５１がコピーされたものかまたは編集されたものである場合は、コンテナ５１の追跡ＩＤを付け直したり、コンテンツ管理者にコンテナ５１又はコンテンツ５１１の利用状況やコンテナ５１のコピー状況を閲覧させたりする。

追跡ＩＤは、コンテナ作成時等に付与されるコンテナ５１を追跡する為の識別子であって、コンテナ５１に内包される。コピーの親子関係は、コンテナ５１の追跡ＩＤと利用者端末５の物理的な固有値（下記の端末固有値）の組合せの変化により検知し、コピーされたコンテナ５１に対しては、追跡ＩＤが新たに振り直される。またコンテナ５１が編集されたものである場合にも、追跡ＩＤが新たに振り直される。

端末固有値は、利用者端末５の物理的な固有値で規定する情報であり、例えば、「BIOS UUID＋コンテナのファイルパス名」で規定する。

アクティブトレース管理サーバ１は、コンテンツ管理者（もしくは、コンテナ作成者）がコンテンツをコンテナ化するために利用するサーバである。アクティブトレース管理サーバ１は、コンテンツ管理者（もしくは、コンテナ作成者）を登録して認証し、利用者端末５の利用者を登録して認証し、コンテンツ管理者にコンテンツの二次流通防止に関するルール（ポリシー）を指定させる。コンテンツ管理者がコンテンツ５１１をアクティブトレース管理サーバ１にアップロードすると、アクティブトレース管理サーバ１はポリシー等を考慮してコンテナ５１を作成し、コンテンツ管理者（もしくは、コンテナ作成者）にダウンロードさせる。コンテンツ管理者は、このコンテナ５１を情報流通に利用することで、コンテンツ５１１の所在場所やコピーの親子関係等を把握しつつ、コンテンツ５１１の二次流通を防止し事後的な削除も行うことができる。コンテンツ管理者がコンテンツ５１１から別のコンテンツを作ったり、コンテンツ５１１をコンテナ５１経由で利用する利用者を登録したり、コンテナ５１を開こうとする利用者を認証し復号鍵を利用者端末５に送信したりするためのサーバとして、アクティブトレース管理サーバ１を利用することができる。アクティブトレース管理サーバ１でコンテナ５１が作成される際には、コンテナ５１を追跡するために追跡ＩＤが付与されており、同時に二次利用防止のためのルールであるポリシー５１７も指定されている。

監視アプリケーション５１５は、コンテナ５１に内包されるプログラムである。利用者がコンテナ５１を開封しようとしたときに、利用者端末５に補助アプリケーション５２がインストールされているか否かをチェックし、補助アプリケーション５２が存在しない場合はコンテナ５１を開封せず、存在する場合は開封処理に入る。

トレースプログラム（トレーサ）５１２は、コンテンツ５１１（フォルダ配下の電子ファイル群からなるコンテンツも含む）自体がその所在場所やコピーの親子関係等を自己発信しつつ、自身の二次流通を防止し削除も可能にするために、その所在場所やコピーの親子関係を自己発信するプログラムであり、コンテナ５１に内包される。

この発明のトレース技術は、例えば、ソフトウェアのライセンス管理において、ソフトウェアの実行プログラムや付属ファイル一式を、社内でコピーさせたときにどの端末にあったものからコピーされたものか、さらにその後どの端末のどのファイルにコピーされたのか、といったコピーの親子孫関係を把握でき、ソフトウェアライセンスの利用がどのように拡散していったかを把握できる。さらに、必要ならば指定した端末のソフトウェアを遠隔から削除できる。

また、例えば、医師が患者の医療画像を研究目的で別の端末にコピーしたが、その端末を紛失したような場合に、その画像を遠隔から削除できる。

このように、この発明のトレース技術によれば、情報の漏洩先を検知するだけでなく、情報のさらなる漏洩を防止し、かつ漏洩してしまった情報を事後的に遠隔削除できる仕組みを作ることができる。

この発明は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上記実施形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１アクティブトレース管理サーバ
３アクティブトレースサーバ
５利用者端末
６管理者端末
７パッケージ作成者端末
５１コンテナ
５２補助アプリケーション
５１１暗号化コンテンツ
５１２トレースプログラム（トレーサ）
５１５監視アプリケーション
５１７ポリシー

Claims

暗号化されたコンテンツと、補助アプリケーションの機能を利用してアクセス制御を行うための二次流通防止に関するポリシーと、トレース情報と、端末で上記補助アプリケーションが起動していれば上記補助アプリケーションに制御を渡し、上記補助アプリケーションがなければ、コンテナを展開せずに終了する監視アプリケーションを内包し、処理が完了すると再びコンテナに加工される機能も有する自己実行形式のファイルであるコンテナを生成する機能を有するアクティブトレース管理サーバと、
上記補助アプリケーションから上記トレース情報を受け取り、要求に応じて上記コンテンツの利用状況・コピー状況を閲覧検索するアクティブトレースサーバと、
を有するトレースシステム。
アクティブトレース管理サーバが、暗号化されたコンテンツと、補助アプリケーションの機能を利用してアクセス制御を行うための二次流通防止に関するポリシーと、トレース情報と、端末で上記補助アプリケーションが起動していれば上記補助アプリケーションに制御を渡し、上記補助アプリケーションがなければ、コンテナを展開せずに終了する監視アプリケーションを内包し、処理が完了すると再びコンテナに加工される機能も有する自己実行形式のファイルであるコンテナを生成し、
アクティブトレースサーバが、上記補助アプリケーションから上記トレース情報を受け取り、要求に応じて上記コンテンツの利用状況・コピー状況を閲覧検索する
トレース方法。