JP4550558B2 - アクセス制御設定システム - Google Patents

Description

本発明は、セキュアOSのアクセス制御ログを利用したアクセス制御設定システムに関する。

現在広く使われているOS（Operating System）のアクセス制御は、リソースの所有者がそのリソースへのアクセス（操作）権限を設定する。また、全ての権限をもつ特権というものが存在する。それに対して、セキュアOSとは、全権を持つ特権を排除し、実際の処理を実行するプロセス毎にドメイン（リソースへのアクセス権限）を割り当て、各プロセスはそれに割り当てられたドメイン内でリソースにアクセスできるようにしたOSである。

セキュアOSのこの機能により、権限のないリソースに対するプロセスからの全てのアクセス及び権限のあるリソースアクセス以外の当該リソースに対するプロセスからの全てのアクセスが排除（拒否）されることが保証される。従って、プログラムにセキュリティホール（欠陥）があり、攻撃者にプロセスが乗っ取られたとしても、このプロセスからアクセス権限がないリソースへのアクセスは排除されるため、その被害を最小限にすることができる。

また、ドメインをプロセスに割り当てる際には、「ドメイン遷移」というメカニズムが使用されている。ドメインＡが割り当てられているプロセスＰが子プロセスＱを生成した場合、この生成された子プロセスＱのドメインは、デフォルトでは、親のプロセスＰと同じドメインＡのままである。しかし、ドメイン遷移を行なうことにより、子プロセスＱのドメインを変えることができる。

ここで、ドメイン遷移とは、生成された子プロセスに、生成されたときにデフォルトとして割り当てられているドメインとは異なるドメインを割り当てる機能のことであり、予めドメイン遷移を設定しておくことでこの機能が有効になる。ドメイン遷移の例としては、「ドメインＡを割り当てられたプロセスＰが子プロセスＱを生成した場合、生成された子プロセスＱにドメインＢを割り当てる」というものである。この例では、子プロセスＱにドメインＢが割り当てられ、親プロセスＰのドメインＡとは異なったドメインが割り当てられたことなる。

セキュアOSは、プロセスのリソースに対するアクセス結果をアクセス制御ログファイルにログとして出力することができる。そこで、アクセス制御ログファイルを解析することにより、セキュアOSの運用管理に活用することができる。

アクセス制御ログファイルを利用して、システムの運用管理に活用する技術の一例として、ログをキーワードでマッチングし、障害に対する対処方法をテキストで表示する技術が知られている（例えば、特許文献１参照）。

また、他の例として、ログの統計情報を取り、システムの運用に活用することができるようにした技術が提案されている（例えば、特許文献２参照）。
特開平８−３１４７６３号公報 特平平１０―３１２３２３号公報

セキュアOSからは、あるドメインが割り当てられているプロセスがリソースにアクセスして拒否された場合、項目「拒否―ドメイン―プロセス―リソース―操作」の組からなる情報が、ログとして、アクセス制御ログファイルに出力される。例えば、「ドメインhttpd_t」が割り当てられている「プロセス/sbin/httpd」がリソースである「ファイル/var/www」に対して操作「読み込み」をしたところ、これが拒否された場合、「拒否―ドメインhttpd_t―プロセス/sbin/httpd―ファイル/var/www―読み込み」というログがアクセス制御ログファイルに出力される。従って、このログから、「ドメインhttpd_t」には、「ファイル/var/www」に対して「読み込み可」という設定を追加することが必要なことが分かる。

なお、アクセスが許可された場合でも、ログが出力される。例えば、「許可―ドメインhttpd_t―プロセス/sbin/httpd―ファイル/var/www―読み込み」というログは、「ドメインhttpd_t」が割り当てられている「プロセス/sbin/httpd」が「ファイル/var/www」に対して「読み込みが許可された」ということを意味している。

実際に、セキュアOSにおいて、アクセス制御の設定（アクセス制御設定）、即ち、ドメインの設定（ドメイン設定）とドメイン遷移の設定（ドメイン遷移設定）をする場合には、システムをテスト稼動し、プロセスのリソースに対するアクセスが拒否されたとき、このアクセス結果のログを見て、このプロセスに対してこのアクセスを許可するドメインの設定とドメイン遷移の設定をすることでアクセス制御設定を行なう。

アクセス制御ログファイルを利用してアクセス制御設定を自動化しようとする場合、上記特許文献１に記載の技術は、キーワードマッチングを利用して、アクセスが拒否されたログを抽出し、そのログに対応するアクセス制御設定を単に提示するだけに留まる。このため、この特許文献１に記載の技術では、可読性の高いドメイン設定やドメイン遷移を考慮したアクセス制御の設定をすることはできない。

また、上記特許文献２に記載の技術は、ログの統計情報を表示するだけであるので、ログからアクセス制御を設定することはできない。

このように従来の技術では、アクセス制御ログファイルから可読性が高いドメイン設定やドメイン遷移を考慮したセキュアOSにおけるアクセス制御を設定することはできなかった。

本発明の目的は、かかる問題を解消し、セキュアOSのアクセス制御ログファイルを利用して、可読性が高いドメイン設定やドメイン遷移を考慮したアクセス制御を設定することができるようにしたアクセス制御設定システムを提供することにある。

上記目的を達成するために、本発明は、プロセス毎に指定されたリソースに対するアクセス制御設定を可能としたアクセス制御設定システムであって、プロセス毎にドメインを割り当て、割り当てたドメインの範囲でプロセスからのリソースに対するアクセスを許可することにより、プロセス毎にリソースに対するアクセス制御を行なうアクセス制御手段と、各ドメイン間の階層関係を表わしたドメイン遷移設定ファイルを基に、ドメインをノードとして、階層関係をツリー構造で表わすドメイン遷移図を描画して表示し、指定されたリソースへの操作が拒否されたプロセスを、ドメイン遷移図での該当するドメインのノード内に、選択可能に描画するドメイン遷移図作成手段と、ドメインのノード内のプロセスを選択することにより、プロセスのドメイン遷移をドメイン遷移設定ファイルに反映させる設定生成手段とを備え、リソースへの操作が拒否されたプロセスに対して、割り当てられたドメインとは異なるドメインに遷移させるものである。

また、プロセス毎のリソースに対する操作が許可されたか、または拒否されたかのアクセス結果を含むログを作成し、アクセス制御ログファイルに出力するログ形成・出力手段と、アクセス制御ログファイルにおいて、リソースに対する操作が拒否されたプロセス毎に、アクセス制御ログファイルから抽出されたログでの「リソース−操作」の組に対する重要度を、予め各「リソース−操作」の組に対して重要度が設定された重要度テーブルを基に、求め、かつ求めた重要度を加算してプロセスに対するドメイン生成推奨度とするドメイン生成推奨度計算手段とを備え、ドメイン遷移図作成手段が、ドメイン遷移図でのノードに描画された当するプロセスにドメイン生成推奨度を描画するとともに、ドメイン生成推奨度が描画されたプロセスを含むノードに色付けをするものである。

また、ドメイン遷移図でのドメインのノード内に描画されたプロセスの１つのプロセスＰが選択されることにより、プロセスＰに対して、プロセスＰを含むノードのドメインＤを基に、新たなドメインＤＮを生成し、ドメインＤＮをドメインＤから遷移されたものとしてドメイン遷移設定ファイルに登録することにより、ドメイン遷移を設定し、かつドメイン設定ファイルに登録することにより、アクセス制御可能なドメインとして設定するものである。

こまた、ドメインＤとプロセスＰとの組「ドメインＤ−プロセスＰ」を表わすログをアクセス制御ログファイルから抽出し、マクロ毎にリソースと操作との組を定義したマクロ定義ファイルでの抽出したログでの「リソース−操作」の組と一致する組数を求め、求めた一致の組数が予め設定された閾値を超えるとき、ログでの「リソース−操作」の組に対する新たなドメインＤＮに対するドメイン記述文をログでの「リソース−操作」の組に共有のマクロで記述した記述文とするものである。

本発明によると、新たにドメインの付与対象となるプロセスが一目で認識することができ、プロセスに新たに割り当てられたドメインを含め、全体のドメイン遷移を明確にかつ容易に把握することができる。

また、マクロを使用してドメイン設定の記述ができるため、ドメイン設定の可読性も高めることができる。

以下、本発明の実施形態を図面を用いて説明する。

図１は本発明よるアクセス制御設定システムの一実施形態の全体構成を概略的に示す図であって、１はサーバ、１０はセキュアOS、２０は設定ファイル、３０はアクセス制御ログファイル、４０は設定ツール、５０はディスプレイ、Ａはオペレータである。

同図において、サーバ１には、セキュアOS１０や設定ファイル２０，アクセス制御ログファイル３０，設定ツール４０などが搭載されてされており、また、ディスプレイ５０を備えている。

セキュアOS１０は、設定ファイル２０を参照してプロセスのリソースへのアクセス制御を行なうものであって、リソースへのアクセス（操作）が行なわれた結果、そのアクセスが拒否されても、また、許可されても、このプロセスに対してかかるアクセス結果を含むログを作成し、アクセス制御ログファイル３０に出力する。

オペレータＡが設定ツール４０を用いてディスプレイ５０での所定の画面操作を行なうと（編集操作）、アクセス制御ログファイル３０から所定のログが読み込まれ、セキュアOS１０でのドメインの設定及びドメイン遷移の設定によるアクセス制御設定が行なわれる。この設定結果は、設定ファイル２０に登録される。これにより、所望のプロセスのドメインの設定及びドメイン遷移の設定が行なわれ、このプロセスに対しては、新たなドメインが付与されたことになる。

図２は図１におけるサーバ１の一具体例を示す機能構成図であって、１１はアクセス制御機能、１２はドメイン制御機能、１３はログ出力機能、２１はドメイン設定ファイル、２２はドメイン遷移設定ファイル、２３はマクロ定義ファイル、２４はドメイン記述文ファイル、４１はドメイン遷移図作成機能、４２はドメイン生成推奨度計算機能、４３は設定生成機能、６０は重要度テーブル、７０は推奨度テーブル、８０はマクロ―閾値テーブル、９０はマクロ展開機能であり、図１に対応する部分には同一符号を付けている。

同図において、セキュアOS１０は、ドメインのアクセス制御機能１１とドメイン遷移機能１２とログ形成・出力機能１３を備えている。

アクセス制御機能１１は、プロセス毎にドメイン（アクセス権限）を割り当て、割り当てたドメインの範囲でプロセスからのリソースに対する操作（アクセス）を許可することにより、プロセス毎にリソースに対するアクセス制御を行なう機能である。

なお、プロセスとは実行中の一つ一つのプログラムのことであり、あるプログラムが並列的に複数（ｎ）の処理を実行中の場合、このプログラムでは、ｎ個のプロセス（プロセスＰ1〜Ｐｎ）が実行中であるという。また、プロセス同士を識別するために、プロセスを生成したOSはプロセス毎にユニークなＩＤを付加する。プロセスに関しては、一般に、同一プログラム内を複数のプロセスが並列的に実行されるマルチプロセス方式であるが、この実施形態では、説明の簡略にするため、同一プログラム内では、１つのプロセスしか実行しないシングルプロセス方式を仮定する。また、この仮定の下に、プロセスをプログラムの名称で表現する。

ドメイン遷移機能１２は、ドメイン遷移により、プロセスにドメインを割り当てる機能である。

ログ形成・出力機能１３は、リソースに対してアクセスしたプログラムのアクセス制御機能１１によるアクセス結果（リソースへの操作が許可または拒否）を含むログを作成し、これをアクセス制御ログファイル３０に出力する機能である。

設定ツール４０は、ドメイン遷移図作成機能４１とドメイン生成推奨度計算機能４２と設定生成機能４３とからなり、これらの機能４１〜４３を用い、アクセス制御ログファイル３０を基に、設定ファイル２０でのドメイン設定ファイル２１やドメイン遷移設定ファイル２２を設定する。

ここで、ドメイン遷移図作成機能４１は、ドメイン遷移によるドメインの階層関係をツリー構造などで表わすドメイン遷移図を作成する機能である。

また、ドメイン生成推奨度計算機能４２は、アクセス制御ログファイル３０を基にリソースへの操作が拒否されたプロセスを検出し、これらプロセスの推奨度を重要度テーブル６０を基に計算し、推奨度テーブル７０に登録する機能である。

また、設定生成機能４３は、ドメイン遷移図作成機能４１によって作成されたドメイン遷移図での選択されたドメインについて、ドメイン設定及びドメイン遷移設定を行なう機能である。

設定ファイル２０は、ドメイン設定ファイル２１とドメイン遷移設定ファイル２２とマクロ定義ファイル２３とドメイン記述文ファイル２４とから構成されている。

ドメイン設定ファイル２１には、アクセス制御機能１１により所定のリソースに対してアクセスが許可されたプロセスのドメインが登録されるものであって、これについては、図３で説明する。

ドメイン遷移設定ファイル２２には、ドメイン遷移機能１２によるドメイン遷移の遷移元ドメインと遷移先ドメインとが登録されているものであって、これについては、図４で説明する。

マクロ定義ファイル２３は、ドメインの設定を簡略化するために用意されたものであって、これについては、図５で説明する。

ドメイン記述文ファイル２４は、ドメインの設定を記述したドメイン記述文を格納したファイルであって、これについては、図６で説明する。

重要度テーブル６０は、ドメイン遷移図作成機能４１によるドメイン遷移図の作成の際に用いるものであって、これについては、図８で説明する。

推奨度テーブル７０は、ドメイン遷移図作成機能４１とドメイン生成推奨度計算機能４２で用いるものであって、これについては、図９で説明する。

マクロ―閾値テーブル８０は、ドメイン設定ファイル２１とドメイン遷移設定ファイル２２を出力する設定生成機能４３で用いるものであって、これについては、図１０で説明する。

マクロ展開機能９０は、マクロ定義ファイル２３に格納されているマクロがドメイン記述文のマクロに一致した場合、マクロ定義ファイル２３に定義されている当該マクロに関する「リソース―操作」を当該ドメイン記述文で記述のドメインの設定としてドメイン設定ファイル２１に設定する機能である。

図３は図２におけるドメイン設定ファイル２１の構成を示した図である。

同図において、このドメイン設定ファイル２１には、アクセスするリソースでの操作が許可（allow）されたプロセスのドメインが設定されているものであって、ドメイン２１ａと、このドメイン２１ａ内（アクセス権限内）のリソース２１ｂと、このリソースに対して許可された操作２１ｃと、これらドメイン２１ａ，リソース２１ｂ及び操作２１ｃをまとめて表現する「allow文」が記述される文字列表現２１ｄとからなっている。

このドメイン設定ファイル２１の、例えば、第１行目のプロセスについてみると、このプロセスの「ドメインkernel_t」は「リソース（この場合、ファイル）/sbin/init」に対して「読み込み可」という設定がなされていることになる。

文字列表現２１ｄには、設定されるドメインを補助的な情報で記述したものであり、ドメイン２１ａ，リソース２１ｂ及びこのリソース２１ｂに対して許可する操作２１ｃを文字列で表現し、この文字列を許可を表わす文字列に続けた「allow文」が記述されている。即ち、「allow文」は「allow ＜ドメイン＞ ＜リソース＞ ＜許可する操作＞;」のように記述する。文字列表現２１ｄには、図６で説明するように、マクロに関する情報を記述することも可能である。

なお、ドメイン設定ファイル２１において、リソース２１ｂとリソース２１ｂへの操作２１ｃとが記述されていないプロセスは、このプロセスからのリソースへの操作が全て不可ということになる。

図４は図２におけるドメイン遷移設定ファイル２２の構成を示した図である。

ドメイン遷移は、上記のように、「ドメインＡを割り当てられたプロセスＰが子プロセスＱを生成した場合、生成した子プロセスＱにはドメインＢを割り当てる」というものである。かかるドメイン遷移は、遷移元ドメインと遷移先プログラムのエントリポイントと遷移先ドメインの組を指定することにより、設定を行なう。この設定が図４に示すドメイン遷移設定ファイル２２で行なわれる。

なお、エントリポイントとは、プログラムが実行される際、このプログラム内の命令の中で最初に実行される命令のアドレスをいう。プロセスＰａがプログラムＢのエントリポイントＥｂを呼び出すと、OSはプログラムＢを実行するユニークなＩＤを付加したプロセスＰｂを生成する。生成されたプロセスＰｂはプログラムＢのエントリポイントＥｂから実行を開始する。この場合、プロセスＰａがプロセスＰｂを生成する（または、生成した）、またはプロセスＰｂはプロセスＰａによって生成される（または、生成された）と表現し、この場合、プロセスＰａをプロセスＰｂの親プロセス、プロセスＰｂをプロセスＰａの子プロセスという。この実施形態では、説明を簡単にするために、エントリポイントＥｂをプログラム名称で表現する。

ドメイン遷移設定ファイル２２は、図４に示すように、遷移元ドメイン２２ａとエントリポイント２２ｃと遷移先ドメイン２２ｄとから構成されている。

例えば、ドメイン遷移設定ファイル２２で第２行目に記載のドメイン遷移の設定では、「ドメインinit_t」が割り当てられている「親プロセスＰｍ(/sbin/init)」が「エントリポイント/etc/init.dプログラム」を実行し、「子プロセスＰｓ(/etc/init.d)」を生成すると、この「子プロセスＰｓ」には「ドメインinitrc_t」が割り当てられることになる。

デフォルトでは、生成された子プロセスＰｓのドメインは親プロセスＰｍのドメインと同じで「ドメインinit_t」であるが、このようにドメイン遷移が設定されている場合には、ドメイン遷移が起こり、上記のように、子プロセスのドメインが変化して「ドメインinitrc_t」が割り当てられることになる。

図５は図２におけるマクロ定義ファイル２３の構成を示す図である。

マクロは、多数のリソースに対して許可するアクセス、即ち、ドメイン設定の記述を簡単にするものであり、また、可読性の高い（一目で認識し易い）ドメイン設定を可能とするものである。

マクロ設定とは、予めマクロ定義されている「リソース―操作」の組を、ドメイン記述文に記述されているドメイン名でドメインを設定するものである。例えば、マクロとして「can_network」が定義されている場合、「can_network(a_domain)」と記述すると、マクロcan_networkで定義されている「リソース―操作」の組をこの記述文に記述されている「ドメインa_domain」でドメイン設定する。マクロ設定でドメインを記述することによりドメイン設定の可読性が高まる。

このように、セキュアOSのアクセス制御ログファイル３０（図１，図２）とマクロ設定を利用して、可読性を高めたドメインの設定やドメイン遷移の設定ができることにより、アクセス制御の設定を容易に行なうことができる。

マクロ定義ファイル２３は、図５に示すように、マクロ２３ａとリソース２３ｂとこのリソース２３ｂで許可される操作２３ｃとで構成される。マクロ２３ａは、リソースやその操作は異なるが、同じドメインをまとめて表わしており、図３に示すドメイン設定ファイル２１と対応させると、このドメイン設定ファイル２１で設定されている同じドメイン２１ａが１つのマクロ２３ａで総称されていることになる。

そこで、マクロ定義ファイル２３では、「ＴＣＰソケット−作成」，「ＴＣＰソケット−データ送信」，……，「１０２４以上のポート−利用」といった１３種の「リソース２３ｂ−操作２３ｃ」の組が同じドメインに対して許可されていることになるが、かかるドメインを「マクロ can_network」とまとめて表現しているものである。「ＵＮＩＸ（登録商標）ソケット−作成」，「ＵＮＩＸ（登録商標）ソケット−データ送信」，「ＵＮＩＸ（登録商標）ソケット−データ受信」といった３種の「リソース２３ｂ−操作２３ｃ」の組が許可されているドメインは「マクロ can_syslog」で表現されている。

このように、ドメインがマクロ定義された場合には、先に図３で説明したドメイン設定ファイル２１では、図６（ｂ）に示すように、マクロ定義されたドメインに対して、文字列表現２１ｄでの記述を、ドメイン毎に「allow文」で記述する代わりに、定義された１つのマクロで記述するものである。ここで、図６（ｂ）に示すように、第１行目から第１３行目までの「ドメインhttpd_t」に対して「マクロcan_network」が定義されているとすると、これら「ドメインhttpd_t」に対して文字列表現２１ｄが共通となり、これに定義されたマクロとドメインとからなる文字列（「マクロ（ドメイン）」）、即ち、この例では、マクロ「can_network（httpd_t）」が記述されることになる。

なお、図６（ｂ）において、第１４行目〜第２４行のドメインはマクロ定義がなされていないものであり、このようなドメインに対しては、図３で説明したように、文字列表現２１ｄには、「allow文」が記述される。

図６（ａ）は図２におけるドメイン記述文ファイル２４の構成を示す図である。なお、図６はこのドメイン記述文ファイル２４とドメイン設定ファイル２１との関係を示しているものである。

ドメイン記述文ファイル２４では、ドメイン設定ファイル２１での文字列表現２１ｄが記述されるものである。従って、図６（ｂ）に示すドメイン設定ファイル２１の場合、マクロ定義された「ドメインhttpd_t」に対しては、マクロ「can_network（httpd_t）」２４ａが記述され、マクロ定義されていないドメイン（例えば、第１４行目以降の「ドメインhttpd_t」や「ドメインkernel_t」など）に対しては、「allow文」２４ｂが記述される。

マクロ展開機能９０は、ドメイン記述文ファイル２４の記述を、ドメイン設定ファイル２１に展開する機能である。ドメイン記述文ファイル２４での記述が、記述２４ａとして示すように、マクロによるものであるときには、マクロ定義ファイル２３（図５）を利用して、展開２４ｃとして示すように、「リソース２１ｂ−操作２１ｃ」の組毎にドメインを展開し、文字列表現２１ｄに定義されたマクロを記述する。また、ドメイン記述文ファイル２４での記述が、記述２４ｂとして示すように、マクロによらず直接のドメイン記述である「allow文」による場合には、展開２４ｄとして示すように、「allow文」毎にドメインを設定し、文字列表現２１ｄに「allow文」を記述する。

文字列表現２１ｄから明らかなように、ドメインを「allow文」によって個々に記述するよりも、マクロを利用した記述の方が記述文の数が少なく、このため、マクロを利用した方がドメイン設定の可読性が増大する。

図７は図２におけるアクセス制御ログファイル３０の構成を示す図である。

同図において、アクセス制御ログファイル３０は、種別３１，ドメイン３２，プロセス３３，リソース３４及び操作３５からなるログのファイルである。

種別３１はアクセスが拒否されたログと許可されたログとを区別するものであり、アクセスが拒否されたログに対しては種別３１を「拒否」とし、許可されたログに対しては種別３１を「許可」とする。ドメイン３２はセキュアOS１０（図２）からのログの出力対象となったドメイン、プロセス３３は同じくログの出力対象となったプロセス、リソース３４はこのプロセスがアクセスしたリソース、操作３５はプロセスがこのリソースに対して行なった操作である。

例えば、アクセス制御ログファイル３０の第２行目のログは、「ドメインinitrc_t」が割り当てられている「プロセス/sbin/httpd」が「ＴＣＰソケット」（リソース）を「作成」（操作）しようとして「拒否」されたということを表わしている。第９行目のログは、「ドメインinitrc_t」が割り当てられている「プロセス/sbin/httpd」が「パケット」（リソース）を「送信」（操作）しようとして「許可」されたことを表わしている。

このように、アクセス制御ログファイル３０には、セキュアOS１０（図２）でアクセス制御されるプロセスのリソースへのアクセス結果が登録されており、アクセス制御ログファイル３０から夫々のアクセス結果を認識できるものである。

図８は図２における重要度テーブル６０の構成を示す図である。

同図において、この重要度テーブル６０は、リソースに対する操作がどの程度重要なのかを示す重要度をリソース毎に設定するためのものであり、リソース６１と、このリソースに対して許可する操作６２と、その操作の重要度６３から構成される。この重要度は１〜１０であって、重要度テーブル６０に存在しない「リソース６１−操作６２」の組の重要度は１とする。

図示する重要度テーブル６０において、第１行目に記述される「リソース６１−操作６２」の組は、「passwd（パスワード）」という重要な情報を格納している「パスワード格納ファイル/etc/passwd」というリソース６１に対する操作６２を「読み込み」とするものであり、高い重要度の「１０」が設定されている。また、第２行目に記述されるリソース「/www/index.html」に対する操作「読み込み」には、重要度６３が「５」と設定されている。

図９は図２における推奨度テーブル７０の構成を示す図である。

推奨度テーブル７０は、図８に示す重要度テーブル６０を基に求めたドメインの推奨度を登録するものであり、この推奨度は子プロセスを生成する場合の目安に用いられる。

この推奨度テーブル７０は、ドメイン７１とプロセス７２とドメイン生成推奨度７３とから構成されている。ここでは、「ドメインinitrc_t−プロセス/sbin/httpd」の組に対しては、ドメイン生成推奨度７３が「１２」と登録されており、「ドメインinitrc_t−プロセス/sbin/xinetd」の組に対しては、ドメイン生成推奨度７３が「１０」と登録されている。

図１０は図２におけるマクロ―閾値テーブル８０の構成を示す図である。

このマクロ―閾値テーブル８０は、図５に示すマクロ定義ファイル２３で定義されたマクロを用いてドメインを定義するか否かを決めるための閾値が設定されているものであり、マクロ８１と閾値８２とから構成されている。この設定されている閾値８２を越えるとき、そのマクロはドメインとして設定されることになる。マクロ―閾値テーブル８０に存在しないマクロの閾値は１００％とする。

次に、この実施形態のドメイン設定，ドメイン遷移の処理の一具体例について説明する。これは、オペレータＡ（図１）の操作のもとに設定ツール４０（図２）が実行されることにより、アクセス制御ログファイル３０（図２）に格納されているリソースへの操作が「拒否」のプロセスのうち、オペレータＡ（図１）が選択したプロセスに対して行なわれるものである。

ここで、ドメイン設定ファイル２１は図３に示すように、ドメイン遷移設定ファイル２２は図４に示すように、アクセス制御ログファイル３０は図７に示すように、重要度テーブル６０は図８に示すように、マクロ―閾値テーブル８０は図１０に示すように夫々構成されているものとする。

図１１は図２に示す設定ツール４０によるドメイン設定及びドメイン遷移の処理の流れの全体を示すフローチャートである。

《ステップ９０》
まず、ドメイン生成推奨度計算機能４２（図２）の実行により、アクセス制御ログファイル３０を基に、新たなドメインを割り当てた方がよいとするプロセスを抽出し、図９に示すように、推奨度テーブル７０を作成する。

《ステップ１００》
そして、ドメイン遷移図作成機能４１（図２）の実行により、図４に示すドメイン遷移設定ファイル２２を基に、設定されているドメイン間の関係、即ち、かかるドメインをノードとしたドメイン遷移を表わすドメイン遷移図を作成し、ディスプレイ５０（図１）に表示する。このドメイン遷移図では、また、上記ステップ９０で抽出された新たなドメインを割り当てた方がよいとするプロセスが存在するノード（ドメイン）を色付けして表示し、オペレータＡがドメイン設定，ドメイン遷移した方がよいドメインを容易に認識できるようにしているので、オペレータは色のついているノードの１つを選択する。

《ステップ１１０》
上記のドメイン遷移図の色付け表示されたノードの１つをオペレータＡが選択すると、この選択されたノード内の新たなドメインを割り当てた方がよいとするプロセスを表わすドメイン生成推奨プロセス一覧画面がディスプレイ５０に表示され、新たなドメインを割り当てたいプロセスをオペレータＡが選択することができるようにする。

《ステップ１２０》
オペレータＡがこのドメイン生成推奨プロセス一覧画面から所望とするプロセスを選択すると、設定生成機能４３（図２）の実行により、選択されたプロセスに関する新たなドメインがドメイン設定ファイル２１に自動的に設定され、また、ドメインの遷移がドメイン遷移設定ファイル２２に自動的になされる。

次に、図１１における各ステップの詳細について説明する。

図１２はドメイン生成推奨度計算機能４２（図２）による図１１におけるステップ９０の処理の流れを示すフローチャートである。

この処理は、アクセス制御ログファイル３０から新たなドメインを割り当てた方がよいプロセスとこのプロセスに割り当てられたドメインとの組を抽出し、これらの組毎に推奨度テーブル７０（図９）を作成するものである。このために、図７に示すアクセス制御ログファイル３０から設定ツール４０にかかる組のログが読み取られる。

《ステップ９１》
アクセス制御ログファイル３０から種別３１が「拒否」のログを抽出する（読み取る）。かかるログを抽出するのは、期待するアクセスが拒否されているのであれば、拒否されたアクセスを許可する設定にしなければならないため、アクセスが拒否されたログに注目する必要があるためである。図７に示すアクセス制御ログファイル３０では、項目「種別」３１が「拒否」となっているログは、第２〜８行目，第１１行目，第１３行目及び第１４行目のログである。

《ステップ９２》
ステップ９１で抽出したログについて、その「ドメイン３２―プロセス３３」（図７）の組毎に、次のステップ９２ａ〜９２ｂの処理を行なう。

《ステップ９２ａ》
即ち、同じ「ドメイン３２―プロセス３３」の組を持つ全ての抽出したログ（以下、抽出ログという）について、その抽出ログの「リソース３４―操作３５」を図８に示す重要度テーブル６０で検索して、この抽出ログの「リソース３４―操作３５」と一致するこの重要度テーブル６０での「リソース６１―操作６２」に対する重要度６３を全て取得する。そして、このようにして取得した同じ「ドメイン３２―プロセス３３」の組を持つ全ての抽出ログの重要度６３の値を加算し、この加算値をこの「ドメイン３２―プロセス３３」の組に対するドメイン生成推奨度とする。

いま、重要度テーブル６０には、図８に示すように、２つの「リソース６１―操作６２」の組に対する重要度６３が登録されているものとして、図７に示すアクセス制御ログファイル３０で「種別」３１が「拒否」であるために抽出される「ドメイン３２―プロセス３３」の組を「ドメインinitrc_t―プロセス/sbin/httpd」の組とすると、図７において、第２〜８行目及び第１１行目のログが抽出の対象となるが、第２〜８行目の「リソース３４―操作３５」の組は図８に示す重要度テーブル６０に存在しないため、夫々の組の重要度６３はデフォルトの「１」とする。また、「リソース３４―操作３５」の組が「リソース/www/index.html−読み込み」である第１１行目の抽出ログについては、図８に示す重要度テーブル６０に重要度「５」として登録されている。以上のことから、この「ドメインinitrc_t―プロセス/sbin/httpd」の組のドメイン生成推奨度は１×７＋５×１＝１２となる。

また、図７に示すアクセス制御ログファイル３０で「種別」３１が「拒否」であるために抽出される「ドメイン３２―プロセス３３」の組を「ドメインinitrc_t―プロセス/sbin/xinetd」の組とすると、図７において、第１３行目及び第１４行目のログが抽出の対象となるが、第１３行目の「リソース３４―操作３５」の組は図８に示す重要度テーブル６０に存在しないため、その組の重要度６３はデフォルトの「１」となる。また、「リソース/etc/passwd−読み込み」の組である第１４行目のログについては、図８に示す重要度テーブル６０に重要度「９」として登録されている。以上のことから、この「ドメインinitrc_t―プロセス/sbin/xinetd」の組のドメイン生成推奨度は１×１＋９×１＝１０となる。

《ステップ９２ｂ》
ステップ９２ａで得られた「ドメイン３２―プロセス３３」の組のドメイン生成推奨度を図９に示す推奨度テーブル７０に「ドメイン７１―プロセス７２―ドメイン生成推奨度７３」として登録する。上記の例では、「ドメインinitrc_t―プロセス/sbin/httpd」の組がドメイン生成推奨度「１２」として登録され、「ドメインinitrc_t―プロセス/sbin/xinetd」の組がドメイン生成推奨度「１０」として登録される。

《ステップ９３》
以上の処理が図７に示すアクセス制御ログファイル３０からの抽出ログの「ドメイン３２―プロセス３３」の組毎に行なわれ、全て組の処理が終了すると、ドメイン生成推奨度計算機能４２の処理（図１１でのステップ９０）が終了する。

図１３はドメイン遷移図作成機能４１（図２）による図１１でのステップ１００の処理の流れの一具体例を示すフローチャートである。

《ステップ１０１》
ドメイン遷移設定ファイル２２（図４）を読み込み、その遷移元ドメイン２２ａ，エントリポイント２２ｃ及び遷移先ドメイン２２ｄを基に、ドメインをノードとし、ドメインの階層関係を示すツリー構造を描画する。

これを図１４によってこれを説明すると、図４での第１行目に記載のドメイン遷移では、親プロセスに「ドメインkernel_t」が割り当てられていて、この親プロセスから生成された子プロセスは、エントリポイントが「/sbin/init」であって、ドメイン遷移により、「ドメインinit_t」が割り当てられていることになる。そこで、図１４に示すように、子プロセスに割り当てられた「ドメインinit_t」を表わす四角枠が親プロセスの「ドメインkernel_t」を表わす四角枠の下側に描画されてこれらプロセスの階層関係が形成されるとともに、子プロセスの「エントリポイント/sbin/init」が子プロセスに割り当てられた「ドメインinit_t」の枠内に描画される。ここで、ドレインを表わす枠とエントリポイントを表わす枠とは異なる形状をなしている。

また、図４での第２行目及び第３行目の記載から、「ドメインinit_t」が割り当てられた上記の子プロセスからは、さらに、この子プロセスが親プロセスとなって、エントリポイントが「/etc/init.d」と「/sbin/login」との２つの子プロセスが生成され、ドメイン遷移により、夫々に「ドメインinitrc_t」と「ドメインlogin_t」とが割り当てられている。これにより、図１４に示すように、この親プロセスの「ドメインinit_t」を表わす枠の下側に「ドメインinitrc_t」の枠と「ドメインlogin_t」の枠とが描画され、「ドメインinit_t」と「ドメインinitrc_t」，「ドメインlogin_t」とのプロセスの階層関係が形成される。また、「ドメインinitrc_t」の枠内に「エントリポイント/etc/init.d」が、「ドメインlogin_t」の枠内に「エントリポイント/sbin/login」が夫々描画される。

さらに、図４の第４行目の記載から、「ドメインinitrc_t」が割り当てられた子プロセスからは、さらに、この子プロセスが親プロセスとなって、エントリポイント「/sbin/sendmail」の子プロセスが生成され、ドメイン遷移により、「ドメインmail_server_t」が割り当てられている。これにより、図１４に示すように、この親プロセスの「ドメインinitrc_t」を表わす枠の下側に「ドメインmail_server_t」の枠が描画され、「ドメインinitrc_t」と「ドメインmail_server_t」とのプロセスの階層関係が形成される。また、この「ドメインmail_server_t」の枠内に「エントリポイント/sbin/sendmail」が描画される。

このようにして、まず、図１３でのステップ１０１の処理により、図４に示すドメイン遷移設定ファイル２２で設定されているドメイン遷移が、ドメインをノードとするツリー構造をなすドメイン遷移図１３０の骨子として、描画される。

《ステップ１０２》
次に、図１２におけるステップ９１の処理でアクセス制御ログファイル３０（図７）から読み込んだ「種別３１」が「拒否」の「ドメイン３２−プロセス３３」の組を該当するノード内に描画する。
上記の例では、図１２におけるステップ９１により、アクセス制御ログファイル３０の第２行目〜第８行目及び第１１行目の「ドメインinitrc_t−プロセス/sbin/httpd」の組が抽出されたが、この組はドメインが「「initrc_t」であるから、「ドメインinitrc_t」のノード１３１内に描画される。この場合、この組の「プロセス/sbin/httpd」が、「エントリポイント/sbin/httpd」１３４として、このノード１３１内に描画されることになる。この「エントリポイント/sbin/httpd」１３４には、デフォルトとして、「ドメインinitrc_t」が付与されているものであり、図７に示すリソース３４に対する操作３５が拒否されているものである。
また、図１２におけるステップ９１により、アクセス制御ログファイル３０の第１３行目及び第１４行目の「ドメインinitrc_t−プロセス/sbin/xinetd」の組も抽出されたが、この組もドメインが「「initrc_t」であるから、「ドメインinitrc_t」のノード１３１内に描画される。この場合、この組の「プロセス/sbin/xinetd」が、「エントリポイント/sbin/xinetd」１３３として、このノード１３１内に描画されることになる。そして、この「エントリポイント/sbin/xinetd」１３３にも、デフォルトとして、「ドメインinitrc_t」が付与されているものであり、図７に示すリソース３４に対する操作３５が拒否されているものである。
このようにして、ノード１３１内に２つのエントリポイント、即ち、「エントリポイント/sbin/httpd」１３４と「エントリポイント/sbin/xinetd」１３３とが描画されるが、これらのエントリポイント、即ち、プロセスは「ドメインinitrc_t」のプロセスの子プロセスであり、これを示すために、ノード１３１において、これら「エントリポイント/sbin/httpd」１３４と「エントリポイント/sbin/xinetd」１３３とは「ドメインinitrc_t」の「エントリポイント/etc/init.d」の下側に描画され、かつ「エントリポイント/etc/init.d」１３２からこれら「エントリポイント/sbin/httpd」１３４と「エントリポイント/sbin/xinetd」１３３とに向けて矢印を描画される。
《ステップ１０３》
次に、図１３のステップ１０２で得られたツリー構造のノード（ドメイン）のうち、ドメインが図９に示す推奨度テーブル７０に存在するノードに対して色付けをし、さらに、この推奨度テーブル７０に存在するプロセスについては、そのドメイン生成推奨度の値も表示する。この推奨度テーブル７０では、「ドメインinitrc_t」が登録されているので、図１４に示すように、この「ドメインinitrc_t」のノード１３１に色付けがなされ（ここでは、点のハッチングで示す）、また、推奨度テーブル７０を基に、このノード１３１での「エントリポイント/etc/init.d」１３２に対して子プロセスとなる「エントリポイント/sbin/httpd」１３４にドメイン生成推奨度「１２」が、同じく子プロセスとなる「エントリポイント/sbin/xinetd」１３３にドメイン生成推奨度「１０」が夫々付加される。

以上の処理結果が、図１４に示すように、ドメイン遷移図１３０としてディスプレイ５０（図１）に表示され、ドメイン遷移図作成機能４１によるこの処理１００が終了する。

このように、ドメイン遷移図１３０では、ドメインの階層関係がドメインをノードとするツリー構造で表示されるので、この階層関係を一目で認識できて見易いものとなるし、また、ドメイン遷移の対象となるプロセスが該当するノード内に、このノードのエントリポイントと階層関係で描画されるので、しかも、かかるエントリポイントを含むノードが色付けされているので、かかるドメイン遷移の対象となるプロセスを簡単に認識することができ、ユーザに対して可読性が向上してドメイン遷移のための操作が容易となる。

次に、このドメイン遷移図１３０において、オペレータＡが色付けされたノードのいずれか、この場合、「ドメインinitrc_t」のノード１３１を選択すると、図１５に示すようなドメイン推奨プロセス一覧画面１４０がディスプレイ５０（図１）に表示される。

このドメイン推奨プロセス一覧画面１４０では、図１４に示すドメイン遷移図１３０の色付けされた「ドメインinitrc_t」のノード１３１内での「エントリポイント/sbin/httpd」１３４及び「エントリポイント/sbin/xinetd」１３３のドメイン生成推奨度が登録される。

即ち、ドメイン推奨プロセス一覧画面１４０では、図１４に示すドメイン遷移図１３０で選択されたノードの「ドメイン名」１４１が表示され、また、このノード（の枠内）に含まれるエントリポイント名によって表わされる「プロセス」１４２とその「ドメイン生成推奨度」１４３との一覧が表示される。

いま、図１４におけるノード１３１が選択されたとすると、ドメイン推奨プロセス一覧画面１４０では、このノード１３１の「ドメインinitrc_t」が「ドメイン」１４１として表示され、この選択されたノード１３１の「エントリポイント/etc/init.d」１３２の下位階層（子プロセス）となり、かつ図９に示す推奨度テーブル７０に登録されているプロセスの「エントリポイント/sbin/httpd」１３４と「エントリポイント/sbin/xinetd」１３３とが「プロセス」１４２として表示され、これら「エントリポイント/sbin/httpd」１３４と「エントリポイント/sbin/xinetd」１３３との推奨度テーブル７０（図９）に登録されている「ドメイン生成推奨度」が「ドメイン生成推奨度」１４３として表示される。ここでは、図１４でのノード１３１が選択され、かつこのノード１３１でのエントリポイント１３４，１３３については、図９に示す推奨度テーブル７０にドメイン生成推奨度が「１２」，「１０」と登録されているので、ドメイン推奨プロセス一覧画面１４０では、「エントリポイント/sbin/httpd」１３４について、「プロセス」１４２が「/sbin/httpd」で、かつ「ドメイン生成推奨度」１４３が「１２」のプロセスとして表示され、「エントリポイント/sbin/xinetd」１３３について、「プロセス」１４２が「/sbin/xinetd」で、かつ「ドメイン生成推奨度」１４３が「１０」のプロセスとして表示される。

図１５に示すドメイン生成推奨プロセス一覧画面１４０から新たなドメインを生成し、そのドメインを割り当てたいプロセスをオペレータＡが選択することができる（図１１でのステップ１１０）。

例えば、図１５において、オペレータＡがドメイン生成推奨プロセス一覧画面１４０での第１行目の「プロセス/sbin/httpd」を選択すると、設定生成機能４３（図２）が起動し、図１６に示すように処理が行なわれて新たなドメインが生成され、この「プロセス/sbin/httpd」、従って、図１４のドメイン遷移図１３０で選択された「エントリポイント/sbin/httpd」１３４のプロセスにこの生成した新たなドメインを割り当てるドメイン遷移設定が行なわれる。また、図１４において、「エントリポイント/sbin/httpd」１３４または「エントリポイント/sbin/xinetd」１３３を直接選択することにより、図１６に示す処理が行なわれて新たなドメインが生成され、これを選択されたエントリポイント（プロセス）に割り当てるようにすることも可能である。

図１６は設定生成機能４３（図２）による図１１でのステップ１２０の処理の流れの一具体例を示すフローチャートである。

《ステップ１２１》
オペレータＡが図１５のドメイン生成推奨一覧画面１４０で、例えば、第１行目に示す「プロセス/sbin/httpd」を選択すると、設定ツール４０（図１，図２）に、この「プロセス/sbin/httpd」に対するドメイン生成推奨一覧画面１４０でのドメイン１４１としての「initrc_t」がドメインＤとして入力され、「/sbin/httpd」１４２がプロセスＰとして入力される。

《ステップ１２２》
そして、このプロセスＰの名称「/sbin/httpd」を基に、新たなドメインＤＮの名称を自動的に生成し、ドメインＤからドメインＤＮに遷移するドメインの遷移をドメイン遷移設定ファイル２２に、図４に示すように、設定する。ここで、新たなドメインＤＮの名称は、プロセスＰの名称に「_t」という文字列を付与したものになる。プロセスＰが「/sbin/httpd」である場合には、新たなドメインＤＮは「httpd_t」となる。従って、ドメイン遷移設定ファイル２２には、図４に示すのと同様、「遷移元ドメインinitrc_t―エントリポイント/sbin/httpd―遷移先ドメインhttpd_t」が新たに設定されることになる。

このドメイン遷移により、図１４に示すドメイン遷移図１３０が図１７に示すドメイン遷移図１３０’に変更される。このドメイン遷移図１３０’では、図１４におけるドメインがデフォルトの「ドメインinitrc_t」である「エントリポイント/sbin/httpd」１３４の子プロセスがドメイン遷移し、新たな「ドメインhttpd_t」１３５のプロセスとして「ドメインinitrc_t」の下側に同じ色付けで描画される。この「ドメインhttpd_t」１３５のエントリポイントはもとの「エントリポイント/sbin/httpd」である。

このようにして、ドメイン遷移があったことも、また、新たにドメイン遷移したドメインも明確に表示され、可読性が向上してドメイン遷移の認識が容易に、かつ確実に行なうことができる。

《ステップ１２３》
次に、この新たなドメインＤＮをドメイン設定ファイル２１（図２，図３）に設定するために、アクセス制御ログファイル３０（図７）から「ドメイン３２―プロセス３３」の組が「ドメインＤ―プロセスＰ」と一致するログを抽出する。ここでは、上記の例から、ドメインＤが「ドメインinitrc_t」、プロセス（エントリポイント）は「エントリポイント/sbin/httpd」であるから、「ドメインＤ―プロセスＰ」は「ドメインinitrc_t−プロセス/sbin/httpd」であり、これと一致する図７でのアクセス制御ログファイル３０での「ドメイン３２―プロセス３３」の組のログは第２行目〜第１１行目のログであり、これらのログが抽出されることになる。このように、アクセス制御ログファイル３０からの抽出されたログを図１８に示す。これら抽出ログのプロセスに新たなドメインＤＮである「ドメインhttpd_t」が設定されることになる。

《ステップ１２４》
次に、ドメイン設定をマクロで行なうかどうかを決めるために、マクロ定義ファイル２３（図５）を読み込む。

《ステップ１２５》
そして、マクロ定義ファイル２３で定義された「マクロ」２３ａ毎に、次のステップ１２５ａ〜１２５ｂの処理を行なう。図５で示すマクロ定義ファイル２３の場合、まず、「マクロcan_network」について処理を行ない、次に、「マクロcan_syslog」について処理を行なうことになる。この処理は、図１８に示すように抽出したログで示すプロセスに新たな「ドメインhttpd_t」を設定する場合、「マクロcan_network」でドメイン設定するか、「マクロcan_syslog」でドメイン設定するか、あるいは個々の「リソース−操作」の組毎にドメイン設定するかを決めるものである。

《ステップ１２５ａ》
マクロ定義ファイル２３の「リソース２３ｂ―操作２３ｃ」の組と図１８に示す抽出ログの「リソース３４―操作３５」とを比較し、一致している抽出ログの個数をカウントする。抽出ログに同一の「リソース３４―操作３５」の組がある場合、これら抽出ログ毎に上記のカウントを行なってもよいし、カウントは１つの抽出ログに対して行なうのみとしてもよく、システムの都合によってどちらかを採用すればよい。「マクロcan_network」については、図１８の第１行目〜第９行目の抽出ログが一致しているので、カウント値（即ち、一致個数）は「９」となる。また、「マクロcan_syslog」については、一致する抽出ログがないので、カウント値（一致個数）は「０」である。

《ステップ１２５ｂ》
次に、夫々のマクロに関して、上記の一致個数をｎ、マクロ定義ファイル２３に定義されているマクロの「リソース―操作」の定義数をｍとして、
「リソース―操作」当りの一致個数Ｎ＝一致個数ｎ÷定義数ｍ
を求め、図１０に示すマクロ−閾値テーブル８０を基に、「リソース―操作」当りの一致個数Ｎを閾値８２と比較し、「リソース―操作」当りの個数Ｎがこの閾値８２を越えるドメインＤＮに対しては、マクロを用いてドメイン設定を行なうようにする。

上記の場合、「マクロcan_network」については、
「一致個数」÷「定義組数」＝９÷１３＝６９％
であって、マクロ―閾値テーブル８０での「マクロcan_network」に対する閾値６０％より大であるから、これら「リソース―操作」のドメイン設定にマクロを利用する。この場合、図６で示すように、「can_network(httpd_t)」という記述２４ａを図６（ａ）に示すドメイン記述文ファイル２４に登録する。「マクロcan_syslog」については、一致個数ｎ＝０であるので、この「マクロcan_syslog」を利用してのドメイン設定は行なわない。

《ステップ１２６》
マクロ定義ファイル２３（図５）で定義される全てのマクロについて以上の処理が行なわれると、次の処理へと進む。

《ステップ１２７》
上記ステップ１２５ｂの処理でマクロによる記述ができなかったプロセスについて、直接のドメイン記述である「allow文」による記述をドメイン記述文ファイル２４に登録する。図１８に示す抽出ログのうち、第１０行目の「/www/index.html―読み込み」の組に対しては、マクロ定義ファイル２３にマクロが定義されていないので、「allow」文による記述２４ｂである「allow httpd_t /www/index/html read」をドメイン記述文ファイル２４に登録する。

以上のステップ１２５ａ，１２７の処理によると、ドメイン記述文ファイル２４に登録される内容は
can_network(httpd_t)
allow httpd_t/var/www read;
の２行となる。ここで、ドメイン記述文「can_network(httpd_t)」は、「（httpd_t）」の記述から、「ドメインhttpd_t」の記述文であることが明確である。このように、マクロを用いることにより、生成されたドメインに対する「リソース―操作」の組が多数あっても、新たに設定されるドメイン記述文が簡単なものとなり、ドメイン記述ファイル２４をディスプレイ５０（図１）に表示してプロセスを確認する場合には、非常に簡潔となって見易いものであり、可読性が向上する。
《ステップ１２８》
次に、マクロ展開機能９０（図２）により、ドメイン記述文ファイル（図６）２４の記述２４ａを、マクロ定義ファイル２３（図５）を利用して、図６に展開２４ｃとして示すように、ドメイン設定ファイル２１（図３，図６（ｂ））に複数のドメインに展開して設定し、その文字列表現２１ｄに記述２４ａと同じものを設定する。また、ドメイン記述文ファイル２４の記述２４ｂの「allow文」は、図６に展開２４ｄとして示すように、ドメイン設定ファイル２１に設定する。

以上のようにして、ドメイン記述文ファイル（図６）２４やドメイン設定ファイル２１へのドメイン設定が行なわれ、図１６に示す処理（図１１でのステップ１２０の処理）が終了する。

このように、デフォルトのドメインから新たに生成された「ドメインhttpd_t」がドメイン遷移設定ファイル２２（図２，図４）に登録されることにより、この「ドメインhttpd_t」のドメイン遷移が設定され、また、ドメイン記述文ファイル２４を介してドメイン設定ファイル２１（図２，図３）に登録されることにより、この「ドメインhttpd_t」がセキュアOS１０（図１，図２）によってアクセス制御可能に設定されることになる。

そして、このように、親プロセスのドメインとしてのデフォルトのドメインから子プロセスのドメインが生成されるドメイン遷移が行なわれるので、親プロセスのアクセス制御の権限が子プロセスに分割されるので、ドメインの権限の細分化が実現し、１つのドメインに多くの権限を与えることによるセキュリティの問題を解消できることになる。

本発明よるアクセス制御設定システムの一実施形態の全体構成を概略的に示す図である。 図１におけるサーバの一具体例を示す機能構成図である。 図２におけるドメイン設定ファイルの構成を示した図である。 図２におけるドメイン遷移設定ファイルの構成を示した図である。 図２におけるマクロ定義ファイルの構成を示す図である。 図２におけるドメイン記述文ファイルの構成及びこのドメイン記述文ファイル，図２におけるドメイン設定ファイル間の関係を示す図である。 図２におけるアクセス制御ログファイルの構成を示す図である。 図２における重要度テーブルの構成を示す図である。 図２における推奨度テーブルの構成を示す図である。 図２におけるマクロ―閾値テーブルの構成を示す図である。 図２に示す設定ツールによるドメイン設定及びドメイン遷移の処理の流れの全体を示すフローチャートである。 図２におけるドメイン生成推奨度計算機能による図１１におけるステップ９０の処理の流れを示すフローチャートである。 図２におけるドメイン遷移図作成機能による図１１でのステップ１００の処理の流れの一具体例を示すフローチャートである。 図１３に示す処理で作成されるドメイン遷移図の一具体例を示す図である。 図１４に示すドメイン遷移図から選択されたプロセスの一覧を示す図である。 図２における設定生成機能による図１１でのステップ１２０の処理の流れの一具体例を示すフローチャートである。 図１６におけるステップ１２２でのドメイン遷移によるドメイン遷移図の一具体例を示す図である。 図１６におけるステップ１２３の処理で図７に示すアクセス制御ログファイルから抽出したログの一覧を示す図である。

符号の説明

Ａ オペレータ
１ サーバ
１０ セキュアＯＳ
２０ 設定ファイル
３０ アクセス制御ログファイル
４０ 設定ツール
５０ ディスプレイ
１１ アクセス制御機能
１２ ドメイン制御機能
１３ ログ出力機能
２１ ドメイン設定ファイル
２２ ドメイン遷移設定ファイル
２３ マクロ定義ファイル
２４ ドメイン記述文ファイル
４１ ドメイン遷移図作成機能
４２ ドメイン生成推奨度計算機能
４３ 設定生成機能
６０ 重要度テーブル
７０ 推奨度テーブル
８０ マクロ―閾値テーブル
９０ マクロ展開機能
１３０，１３０’ ドメイン遷移図
１３１ ノード（ドメイン）
１３２〜１３４ エントリポイント
１３５ ドメイン
１３６ エントリポイント
１４０ ドメイン生成推奨プロセス一覧画面

Claims (4)

1. プロセス毎に指定されたリソースに対するアクセス制御設定を可能としたアクセス制御設定システムであって、
   プロセス毎にドメインを割り当て、割り当てたドメインの範囲で該プロセスからのリソースに対するアクセスを許可することにより、該プロセス毎にリソースに対するアクセス制御を行なうアクセス制御手段と、
   各ドメイン間の階層関係を表わしたドメイン遷移設定ファイルを基に、該ドメインをノードとして、該階層関係をツリー構造で表わすドメイン遷移図を描画して表示し、指定されたリソースへの操作が拒否されたプロセスを、該ドメイン遷移図での該当するドメインのノード内に、選択可能に描画するドメイン遷移図作成手段と、
   該ドメインのノード内の該プロセスを選択することにより、該プロセスのドメイン遷移をドメイン遷移設定ファイルに反映させる設定生成手段と
   を備え、
   該リソースへの操作が拒否された該プロセスに対して、該割り当てられたドメインとは異なるドメインに遷移させることを特徴とするアクセス制御設定システム。
2. 請求項１において、
   前記プロセス毎のリソースに対する操作が許可されたか、または拒否されたかのアクセス結果を含むログを作成し、アクセス制御ログファイルに出力するログ形成・出力手段と、
   該アクセス制御ログファイルにおいて、前記リソースに対する操作が拒否された前記プロセス毎に、該アクセス制御ログファイルから抽出されたログでの「リソース−操作」の組に対する重要度を、予め各「リソース−操作」の組に対して重要度が設定された重要度テーブルを基に、求め、かつ求めた該重要度を加算して前記プロセスに対するドメイン生成推奨度とするドメイン生成推奨度計算手段と
   を備え、
   前記ドメイン遷移図作成手段が、前記ドメイン遷移図での前記ノードに描画された該当する前記プロセスに該ドメイン生成推奨度を描画するとともに、該ドメイン生成推奨度が描画された前記プロセスを含む前記ノードに色付けをすることを特徴とするアクセス制御設定システム。
3. 請求項１または２において、
   前記ドメイン遷移図での前記ドメインのノード内に描画された前記プロセスの１つのプロセスＰが選択されることにより、該プロセスＰに対して、該プロセスＰを含む前記ノードのドメインＤを基に、新たなドメインＤＮを生成し、該ドメインＤＮを該ドメインＤから遷移されたものとして前記ドメイン遷移設定ファイルに登録することにより、ドメイン遷移を設定し、かつドメイン設定ファイルに登録することにより、アクセス制御可能なドメインとして設定することを特徴とするアクセス制御設定システム。
4. 請求項３において、
   前記ドメインＤと前記プロセスＰとの組「ドメインＤ−プロセスＰ」を表わすログを前記アクセス制御ログファイルから抽出し、
   マクロ毎にリソースと操作との組を定義したマクロ定義ファイルでの抽出した該ログでの「リソース−操作」の組と一致する組数を求め、求めた一致の組数が予め設定された閾値を超えるとき、該ログでの「リソース−操作」の組に対する前記新たなドメインＤＮに対するドメイン記述文を該ログでの「リソース−操作」の組に共有のマクロで記述した記述文とすることを特徴とするアクセス制御設定システム。

Images