JP7476140B2 - 情報処理装置、情報処理方法、およびプログラム - Google Patents

Description

本発明の実施形態は、情報処理装置、情報処理方法、およびプログラムに関する。

仮想化技術の一つとして、コンテナ型仮想化技術がある。コンテナ型仮想化技術では、仮想環境（コンテナ）におけるアプリケーションの実行をホストＯＳ（ｏｐｅｒａｔｉｎｇ ｓｙｓｔｅｍ）が制御する。例えば、仮想環境においてアプリケーションを起動しようとすると、ホストＯＳのカーネルに対する呼び出し（システムコール）が行われ、カーネルがシステムコールを処理することにより、アプリケーションが動作する。ゆえに、コンテナ型仮想化技術では、複数の仮想環境がホスト環境のリソースを共有することになる。

しかし、アプリケーションの実行権限を仮想環境ごとに変えたいという要望も多い。そのためには、ホスト環境は、アプリケーションの起動時においていずれの仮想環境において起動されたかを確認し、確認された仮想環境のセキュリティに関する設定（言い換えれば、セキュリティポリシー）に基づき、当該アプリケーションの実行を許可するか否かを決定する必要がある。

管理などの都合上、セキュリティに関する設定が示されたファイルを、ホストではなく、仮想環境に保存したい場合もあり得る。しかし、そのような対応は、仮想環境において当該ファイルが削除されるなどの攻撃を受ける恐れがあり、脆弱性の要因となり得る。

特開第６８４００６３号公報 特許第５１２６４４７号公報

本発明の一実施形態は、仮想環境ごとに個別のセキュリティポリシーを適用しても、脆弱性を小さくすることが可能な情報処理装置を提供する。

本発明の一実施形態である情報処理装置は、展開部と、仮想環境生成部と、記録部と、管理部と、正常判定部と、を備える。展開部は、イメージファイルを展開し、ファイル群を生成する。仮想環境生成部は、当該ファイル群を用いて仮想環境を生成する。記録部は、ファイル群に含まれる第１ファイルの情報を記録する。管理部は、仮想環境内に保存されている第１ファイルにアクセスし、当該アクセスにより取得された情報に基づき、仮想環境において実行が検知されたソフトウェアの実行是非を判定する。正常判定部は、当該アクセスにより取得された情報と、記録された第１ファイルの情報と、の相違に基づき、第１ファイルが正常であるかどうかを判定する。

第１実施形態に係る情報処理装置の一例を示すブロック図。 記録された情報の一例を示す図。 第１実施形態における仮想環境の起動時の処理の概略フローチャート。 第１実施形態のソフトウェアの実行制御に関する処理の概略フローチャート。 第１実施形態における仮想環境の終了時の処理の概略フローチャート。 第２実施形態における仮想環境の起動時の処理の概略フローチャート。 第２実施形態のソフトウェアの実行制御に関する処理の概略フローチャート。 第２実施形態における仮想環境の終了時の処理の概略フローチャート。 第３実施形態における仮想環境の起動時の処理の概略フローチャート。 第３実施形態のソフトウェアの実行制御に関する処理の概略フローチャート。 本発明の一実施形態におけるハードウェア構成の一例を示すブロック図。

以下、図面を参照しながら、本発明の実施形態について説明する。

（第１実施形態）
図１は、第１実施形態に係る情報処理装置の一例を示すブロック図である。第１実施形態に関する情報処理装置１は、仮想環境イメージデータ記憶部１１と、仮想環境生成部１２と、管理部１３と、仮想環境制御部１４と、を備える。仮想環境制御部１４は、制御記憶部１４１と、仮想環境検知部１４２と、展開部１４３と、ソフトウェア検知部１４４と、仮想環境情報取得部１４５と、管理統括部１４６と、記録部１４７と、ソフトウェア実行制御部１４８と、正常判定部１４９と、を備える。なお、図１の符号のアルファベットは、同じ構成要素を区別するために用いている。

なお、図１に示した構成要素は、本実施形態の処理を説明するためのものであり、その他の構成要素が存在していてもよい。また、図１に示した構成要素が複数に分かれていてもよいし、複数の構成要素が一つにまとめられていてもよい。

本実施形態の情報処理装置１は、１以上の仮想環境１２１を提供可能な装置である。仮想環境１２１の実現および提供は、従来手法と同様でよく、例えば、所定の仮想環境イメージファイルを用いて仮想環境１２１を生成することが可能である。仮想環境イメージファイルは、予め情報処理装置１に保存しておいてもよいし、図１に示すように、実行したい仮想環境１２１に対応する仮想環境イメージファイルをレポジトリサーバなどの外部の装置から取得してもよい。

なお、仮想環境イメージファイルには、仮想環境１２１に関するファイルが含まれており、例えば、仮想環境設定ファイル、仮想環境セキュリティファイル、仮想環境ファイルなどが含まれ得る。なお、以降、仮想環境イメージファイルに含まれていたファイル群を総称して仮想環境イメージデータと称する。

仮想環境設定ファイルは、仮想環境１２１を実行するために必要な情報が記載されたファイルである。例えば、仮想環境１２１で実行するＯＳの名前やソフトウェアの名前が記載されている。仮想環境セキュリティファイルは、仮想環境１２１のセキュリティに関する情報を示すものである。仮想環境セキュリティファイルは、例えば、仮想環境１２１での実行を許可するソフトウェアを示す許可リストでもよいし、仮想環境１２１での実行を禁止するソフトウェアを示す不許可リストでもよい。以降では、仮想環境セキュリティファイルを、単に、セキュリティファイルと記載する。仮想環境ファイルは、共有ライブラリ、スクリプトファイル、ソフトウェアの設定ファイルなど仮想環境１２１において実行されるファイルである。

仮想環境１２１ではソフトウェアが実行可能である。ただし、情報処理装置１は、仮想環境１２１においてソフトウェアの起動を検知し、当該ソフトウェアの実行が適切か否か、言い換えれば、当該ソフトウェアが実行されてよいものかどうか、をセキュリティファイルに基づいて確認する。そして、適切と確認されたソフトウェアは実行され、適切と確認されなかったソフトウェアは終了させられる。このように仮想環境１２１におけるソフトウェアの実行制御を行うことにより、仮想環境１２１を保護する。

例えば、レポジトリサーバから情報処理装置１にセキュリティファイルを含む仮想環境イメージファイルが配布されることを想定する。仮想環境イメージファイルの配布方法および展開方法は、既存手法と同様でよい。仮想環境イメージファイルが展開されて仮想環境イメージデータに基づく仮想環境１２１が生成されると、セキュリティファイルは仮想環境１２１においてアクセスすることができる。

なお、セキュリティファイルが含まれていない仮想環境イメージファイルに基づいて仮想環境１２１が生成されることもあり得る。その場合、生成された仮想環境１２１で実行するソフトウェアは制限されないとする。すなわち、仮想環境１２１がセキュリティファイルを有しない場合、当該仮想環境１２１におけるソフトウェアの実行は、セキュリティファイルに基づいて終了されないものとする。

なお、ソフトウェアは用途などによってアプリケーションとも称されるが、本開示ではこれらを区別せずに、ソフトウェアという用語を用いる。すなわち、アプリケーションは、ソフトウェアに含まれるものとする。

なお、仮想環境１２１のソフトウェアは、実行のために、例えば、カーネル、デバイスドライバなどといったホスト環境のリソースを利用する。そのため、ソフトウェアの実行の検知および制御が可能である。

情報処理装置１の各構成要素の処理について説明する。

仮想環境イメージデータ記憶部１１は、仮想環境イメージデータを仮想環境１２１ごとに設けられた領域に記憶する。例えば、仮想環境１２１Ａのイメージデータを「／ｖｉｒｔｕａｌ／ｃｏｎｔａｉｎｅｒ１／」の領域に記憶した場合、仮想環境１２１Ｂのイメージデータは、「／ｖｉｒｔｕａｌ／ｃｏｎｔａｉｎｅｒ１／」とは別の「／ｖｉｒｔｕａｌ／ｃｏｎｔａｉｎｅｒ２／」の領域に記憶させるようにする。

仮想環境１２１で利用されるデータは、仮想環境イメージデータ記憶部１１に格納された仮想環境イメージデータである。また、仮想環境イメージデータ記憶部１１に記憶された仮想環境イメージデータは、仮想環境１２１ごとに異なり得る。ゆえに、各仮想環境１２１内のセキュリティファイルも異なり得るため、セキュリティレベルの異なる複数の仮想環境１２１が同時に存在し得る。

仮想環境生成部１２は、仮想環境イメージデータ記憶部１１内の仮想環境イメージデータを用いて仮想環境１２１を生成（起動）する。言い換えれば、仮想環境生成部１２は、仮想環境１２１のプロセスを生成する。生成された仮想環境１２１においてソフトウェアが実行される。例えば、コンテナ型仮想化技術を用いる場合は、仮想環境生成部１２はコンテナエンジンに相当し、仮想環境１２１はコンテナに相当する。なお、情報処理装置１が用いる仮想化技術がコンテナ型仮想化技術に限られるわけではなく、同様の処理を行うことができる仮想化技術が用いられてもよい。生成される仮想環境１２１は、図１に示すように複数であってもよいし、一つであってもよい。

また、仮想環境生成部１２は、指示を受けて仮想環境１２１を消去（終了）する。言い換えれば、仮想環境生成部１２は、仮想環境１２１のプロセスを消去する。なお、本実施形態では、消去された仮想環境１２１に対応する仮想環境イメージデータは、仮想環境１２１の消去と同時には、仮想環境イメージデータ記憶部１１から削除されないようにする。ゆえに、仮想環境１２１の消去後に、仮想環境イメージデータ記憶部１１に保存されていた仮想環境イメージデータを用いて、同じ仮想環境１２１を再開することが可能である。すなわち、仮想環境１２１を再起動するといったことが可能である。

管理部１３は、仮想環境１２１を管理し、管理する仮想環境１２１においてソフトウェアの起動が検知されたときに、仮想環境制御部１４からの情報に基づき、ソフトウェアの実行是非を判定する実行判定を行う。なお、ソフトウェアの起動の検知は、仮想環境制御部１４によって行われるため、管理部１３は、仮想環境制御部１４から判定を実行するよう指示される。

なお、図１では、管理部１３Ａが仮想環境１２１Ａを管理し、管理部１３Ｂが仮想環境１２１Ｂを管理し、管理部１３Ｃが仮想環境１２１Ｃを管理することを示している。このように、一つの管理部１３が一つの仮想環境１２１を管理してもよいし、一つの管理部１３が複数の仮想環境１２１を管理してもよい。

管理部１３の読込部１３１は、管理する仮想環境１２１内に保存されているセキュリティファイルにアクセスし、セキュリティファイルに関する情報を取得する。例えば、セキュリティファイルに登録された情報を読み込む。当該情報は、仮想環境１２１において実行可能なソフトウェアを示すものでもよいし、実行不可能なソフトウェアを示すものでもよい。なお、仮想環境１２１内にセキュリティファイルが保存されていなかった場合は、セキュリティファイルに関する情報として、セキュリティファイルが存在しないという情報を取得する。また、管理部１３の実行判定部１３２は、仮想環境１２１において起動が検知されたソフトウェアの実行判定を、当該アクセスによって取得された仮想環境１２１のセキュリティに関する情報と、仮想環境制御部１４からの情報と、に基づいて行う。

ソフトウェアの実行判定に用いられる情報は、例えば、ソフトウェアのパス名、ソフトウェアの実行イメージのハッシュ値などがある。例えば、セキュリティファイルに許可されるソフトウェアのパス名が示されている場合に、仮想環境制御部１４から送られてきたソフトウェアのパス名がセキュリティファイルに記載されていたときは、実行判定部１３２はソフトウェアの実行を適切と判定し、そうでないときは、ソフトウェアの実行を不適切と判定する。また、例えば、仮想環境１２１から取得した情報に基づいてハッシュ値を算出し、仮想環境制御部１４から取得したハッシュ値と比較し、同じ場合には正常と判定し、異なる場合には正常ではない、つまり、異常と判定してもよい。

なお、仮想環境１２１にセキュリティファイルが存在しない場合は、実行判定部１３２は、「この仮想環境１２１をソフトウェアの実行を制御する対象ではない」として、全てのソフトウェアに対し実行されてもよいとの判定を行ってもよい。なお、仮想環境１２１にセキュリティファイルが存在しないことを確認した場合は、仮想環境１２１にセキュリティファイルが存在しないことを記録しておき、以降は、当該記録に基づき、ソフトウェアは実行されてもよいとの判定を行ってもよい。なお、仮想環境１２１にセキュリティファイルが存在しない場合に、全てのソフトウェアの実行を不適切と判定してもよいし、所定のソフトウェア以外の実行を不適切と判定してもよい。

仮想環境制御部１４は、仮想環境イメージデータ記憶部１１、仮想環境生成部１２、および管理部１３が上述の処理を行うことを可能にするための処理を行う。また、管理部１３の実行判定に基づいてソフトウェアの実行制御を行う。これにより、仮想環境１２１を保護する。

さらに、仮想環境制御部１４は、管理部１３によるソフトウェアの実行判定とは別に、仮想環境１２１のセキュリティファイルが正常であるかどうかを判定する正常判定を行う。セキュリティファイルは仮想環境１２１からアクセス可能であるため、悪意のあるソフトウェアがセキュリティファイルに攻撃を行うことが可能ある。例えば、前述のように、セキュリティファイルが存在しない場合には全てのソフトウェアは実行されてもよいとの判定を行うと、セキュリティファイルが不正な攻撃により削除されてしまった場合に問題が生じる。当該問題を防ぐために正常判定を行う。

仮想環境制御部１４内の構成要素について説明する。

制御記憶部１４１は、仮想環境制御部１４によって用いられるデータを記憶する。記憶されるデータは、特に限られるものではない。各構成要素の処理に用いられるデータ、各構成要素の処理結果が、制御記憶部１４１に記憶されてよい。例えば、後述するが、管理部１３と仮想環境１２１の対応関係を示すデータなどが記憶される。

仮想環境検知部１４２は、仮想環境１２１の生成および消去を検知する。例えば、仮想環境１２１に該当するプロセスＩＤを監視してもよいし、仮想環境１２１の生成および消去時において実行される所定のソフトウェアの起動を検知してもよい。

なお、本実施形態では、仮想環境制御部１４は、仮想環境１２１の生成および消去を独自に検知することを想定するが、仮想環境生成部１２が仮想環境１２１の生成および消去について仮想環境制御部１４に通知してもよい。

展開部１４３は、生成される仮想環境１２１に対応する仮想環境イメージファイルを展開し、仮想環境イメージデータ、言い換えれば、仮想環境１２１に用いられるファイル群を生成する。これにより、仮想環境生成部１２が仮想環境１２１を生成することが可能になる。なお、仮想環境イメージファイル内にセキュリティファイルがある場合は、生成された仮想環境イメージデータ内にもセキュリティファイルが含まれる。展開部１４３は、前述の通り、生成された仮想環境イメージデータを、仮想環境イメージデータ記憶部１１の仮想環境１２１ごとに異なる領域に保存する。

なお、展開部１４３は、仮想環境１２１を利用するユーザなどから指定された仮想環境イメージファイルを展開してもよいし、当該ユーザの情報に基づいて複数の仮想環境イメージファイルから一つを選出してもよい。

なお、前述のように、仮想環境１２１は、消去されても同じ仮想環境イメージファイルを用いて再生成（再起動）されることもある。ゆえに、展開部１４３は、仮想環境イメージデータ記憶部１１に仮想環境イメージデータが保存されていないときに、仮想環境イメージファイルを展開する。

ソフトウェア検知部１４４は、仮想環境１２１内のソフトウェアの起動を検知する。当該検知は、様々な手段により実現が可能である。例えば、フックと呼ばれるＯＳの仕組みを用いることにより、ソフトウェアの起動を検知することができる。

仮想環境情報取得部１４５は、検知されたソフトウェアに関する情報を取得する。例えば、ソフトウェアの検知手法と同様、フックを用いることにより、ソフトウェアのパス名、ソフトウェアが実行された仮想環境１２１の識別子などの情報を取得することができる。取得されたソフトウェアの情報は、管理部１３に送信され、ソフトウェアの実行判定に用いられる。例えば、ソフトウェアのパス名などに相違がないかに基づいてソフトウェアの実行判定が行われる。

また、仮想環境情報取得部１４５は、仮想環境１２１の識別子、仮想環境１２１内のファイルなどの情報も取得する。例えば、セキュリティファイルのパス名は、仮想環境イメージデータ記憶部１１から、確認対象の仮想環境１２１に対応する仮想環境イメージデータを抽出し、当該仮想環境イメージデータ内のセキュリティファイルを検索することにより、当該セキュリティファイルのパス名を取得することができる。

管理統括部１４６は、各仮想環境１２１を管理し、１以上の仮想環境１２１のいずれかにおいてソフトウェアの実行が検知された場合に、検知された仮想環境１２１を管理する管理部１３に、検知された仮想環境１２１におけるソフトウェアの実行是非を判定するように指示を行う。

なお、管理部１３がいずれの仮想環境１２１を管理するかは、管理統括部１４６によって決定されてよい。また、記録部１４７は、管理部１３がいずれの仮想環境１２１を管理するかを、管理部１３と仮想環境１２１の対応関係を示すデータとして、制御記憶部１４１に記録する。当該記録は、ソフトウェアの実行が検知された場合に、仮想環境１２１を管理する管理部１３を確認する際に用いられる。

なお、管理統括部１４６は、管理部１３を生成してもよい。言い換えれば、管理部１３に相当するプロセスを生成してもよい。例えば、仮想環境検知部１４２によって仮想環境１２１の生成が検知された時点で、管理統括部１４６は、生成された仮想環境１２１の管理を行う管理部１３を新たに生成してもよい。あるいは、管理統括部１４６は、検知された仮想環境１２１を管理する管理部１３がないことが判明した時点で、検知された仮想環境１２１を管理する管理部１３を生成してもよい。また、仮想環境１２１が消去された場合に、消去された仮想環境１２１を管理する管理部１３を消去してもよい。

なお、管理部１３の判定が正常に行われない場合も想定される。そのため、管理統括部１４６は、管理部１３の判定が正常に行われない場合に、エラー処理を行ってもよい。管理部１３の判定が正常に行われなかった原因は様々であることが想定されるが、原因を特に限る必要はなく、単に、管理部１３から判定の結果を所定時間内に取得できなかった場合に、エラー処理を行うとしてよい。管理統括部１４６は、例えば、仮想環境制御部１４の外部にエラーを送信してもよい。また、管理統括部１４６は、管理部１３の代わりに、判定を行ってもよい。例えば、いずれの仮想環境１２１であっても、所定のソフトウェアだけを許可し、その他は拒絶するといった判定を行ってもよい。あるいは、いずれのソフトウェアであっても一律に許可または不許可と判定してもよい。なお、管理部１３の代理で判定を行う場合も、仮想環境１２１ごとに判定結果が異なっていてもよい。

ソフトウェア実行制御部１４８は、管理部１３によるソフトウェアの実行判定の結果などに基づき、仮想環境１２１におけるソフトウェアの実行を制御する。例えば、ソフトウェア実行制御部１４８は、仮想環境１２１において起動されたソフトウェアが不適切と判定された場合は、当該ソフトウェアの実行を終了するよう制御する。なお、ソフトウェア実行制御部１４８は、ソフトウェアの起動処理の途中において、実行判定を行うために当該ソフトウェアの一時停止を行ってもよい。

また、ソフトウェア実行制御部１４８は、ソフトウェアの実行についての情報を出力してもよい。例えば、仮想環境１２１において起動されたソフトウェアが不適切と判定された場合に、ソフトウェア実行制御部１４８は、エラーを出力してもよい。エラーは、仮想環境１２１に対して出力されてもよいし、情報処理装置１の管理者に知らせるために、所定のログ、情報処理装置１に接続されたモニタなどに出力してもよい。

このように、仮想環境から読み込まれたセキュリティファイルに基づいて仮想環境１２１におけるソフトウェアの実行を制御する場合、仮想環境制御部１４が仮想環境１２１ごとにセキュリティポリシーを管理する必要がなく、仮想環境１２１のセキュリティポリシーに沿った仮想環境イメージファイルを展開するだけで済む。そのため、仮想環境制御部１４の管理の手間を減少することができる。また、既存の仮想環境イメージファイルの既存の配布方法および展開方法を用いることもできる。

しかし、前述のように、仮想環境１２１内にセキュリティファイルが含まれることで、仮想環境１２１内の悪意のあるソフトウェアがセキュリティファイルを消去、または、改ざんする恐れもある。例えば、セキュリティファイルが存在しないときには全てのソフトウェアの実行が許可される場合、セキュリティファイル自体が消去されると、実際には禁止されているソフトウェアが実行されてしまう。また、セキュリティファイルが不許可リストである場合に、不許可リストから登録されていたソフトウェアが削除されてしまうと、実際には禁止されているソフトウェアが実行されてしまう。また、セキュリティファイルが許可リストである場合に、ソフトウェアを許可リストに追記する不正が実行される恐れもある。

そのため、本実施形態では、仮想環境１２１内のセキュリティファイルの消去または改ざんにより、禁止されているソフトウェアが実行されることを防ぐ。具体的には、セキュリティファイルに関する情報が、仮想環境１２１が最初に生成された時点における記録と、異なっていないことを確認する。

セキュリティファイルに関する情報の取得は、仮想環境情報取得部１４５により行われる。すなわち、仮想環境情報取得部１４５は、前述の検知されたソフトウェアに関する情報だけでなく、仮想環境１２１の情報を取得する。取得される仮想環境１２１の情報は、例えば、仮想環境１２１を識別するための情報（例えば、仮想環境１２１のＩＤ）、当該仮想環境１２１のセキュリティファイルのパス名などを取得する。仮想環境１２１の情報の取得は、仮想環境検知部１４２によって仮想環境１２１の生成が検知された場合を想定するが、特に限られるわけではない。

また、仮想環境情報取得部１４５は、仮想環境１２１内のファイルの内容などの情報に基づいて、ハッシュ値を算出してもよい。算出されたハッシュ値は、ファイルの改ざんなどが行われたどうかを認識するために用いることができる。

記録部１４７は、仮想環境１２１の正常な情報を記録する。例えば、展開部１４３による仮想環境イメージファイルの展開が行われてから初めて仮想環境１２１が生成されたときに仮想環境情報取得部１４５によって取得された情報は、以前に攻撃を受けていないと考えられるため、記録部１４７は、当該情報を正常な情報とみなして記録してもよい。記録された情報は、正常判定の判定基準として用いられる。なお、仮想環境情報取得部１４５によって取得された情報を全て記録する必要はなく、正常判定に用いられるものを記憶すればよい。

図２は、記録された情報の一例を示す図である。図２の例では、仮想環境１２１を識別するための情報と、当該仮想環境１２１に格納されているセキュリティファイルのパス名と、が含まれており、これらの対応関係が分かるように記憶されている。図２の表の左側１番目の列の項目名として「仮想環境識別情報」と示されているが、これは仮想環境１２１を識別するための情報を表している。例えば、仮想環境１２１のＩＤなどが仮想環境識別情報に該当する。図２の左側２番目の列には、仮想環境１２１に含まれるセキュリティファイルのパス名が示されている。例えば、仮想環境識別情報が「０ｘ１２３４」である仮想環境１２１は、セキュリティファイルを有し、当該セキュリティファイルは、「／ｖｉｒｔｕａｌ／ｃｏｎｔａｉｎｅｒ１／ａｌｌｏｗ－ｌｉｓｔ」に保存されていることを示す。また、図２の例のように、ハッシュ値などの情報が当該記録に含まれていてもよい。このように、記録部１４７は、仮想環境イメージデータに含まれるセキュリティファイルになどの情報を記録する。

正常判定部１４９は、記録部１４７によって記録された仮想環境１２１の情報と、記録後に取得された仮想環境１２１の情報と、に相違があるかを確認することにより、正常か否かを判定する。例えば、記録されたセキュリティファイルのパス名と、記録後に取得されたセキュリティファイルのパス名と、が一致しなかった場合、異常と判定する。異常と判定された場合は、所定の処理を行う。例えば、情報処理装置１の管理者に異常を知らせるために、所定のログ、情報処理装置１に接続されたモニタなどにエラーを出力してもよい。また、異常と判定されたセキュリティファイルを有する仮想環境１２１を停止するよう仮想環境生成部１２に通知してもよい。

次に、情報処理装置１の各処理の流れについて説明する。図３は、第１実施形態における仮想環境１２１の起動時の処理の概略フローチャートである。なお、本開示におけるフローは、例示であって、各処理の順番が例示の通りに限られるわけではない。例えば、順番に記載した二つの処理が、並列に行われる場合もあり得る。

まず、仮想環境検知部１４２が仮想環境１２１の生成を検知する（Ｓ１０１）。当該検知には、仮想環境１２１の再生成（再起動）の検知も含まれるため、展開部１４３は、検知された仮想環境１２１の仮想イメージデータが仮想データ記憶部に記憶されているかを検索する（Ｓ１０２）。

仮想データ記憶部に仮想イメージデータが存在しなかった場合（Ｓ１０３のＮＯ）、展開部１４３は、仮想環境イメージファイルを展開し、仮想環境イメージデータを生成する（Ｓ１０４）。例えば、仮想環境１２１が新規生成された場合が該当する。そして、仮想環境情報取得部１４５は、仮想環境検知部１４２によって生成が検知された仮想環境１２１に関する情報を取得する（Ｓ１０５）。取得される情報には、仮想環境１２１の識別子、セキュリティファイルのパス名などが含まれる。記録部１４７は、取得された情報を記録する（Ｓ１０６）。記録された情報は、正常の情報として扱われる。

そして、管理統括部１４６は生成された仮想環境１２１を管理する管理部１３を生成し（Ｓ１０７）、記録部１４７は、管理部１３および仮想環境１２１の情報を対応関係が分かるように記録する（Ｓ１０８）。そして、仮想環境生成部１２は仮想環境イメージデータを用いて仮想環境１２１を生成し（Ｓ１０９）、本フローは終了する。

一方、仮想データ記憶部に仮想イメージデータが生成されていた場合（Ｓ１０３のＹＥＳ）は、仮想環境イメージファイルの展開は行われず、仮想環境情報取得部１４５が、仮想環境検知部１４２によって生成が検知された仮想環境１２１の仮想環境１２１に関する情報を取得する（Ｓ１１０）。例えば、仮想環境１２１が再起動された場合が該当する。なお、取得された情報は、記録部１４７によって記録されない。取得された情報が、既に第三者からの攻撃によって正常ではない恐れがあるためである。

そして、正常判定部１４９が、取得された情報と、記録された情報と、に基づき、正常判定を行う（Ｓ１１１）。例えば、取得されたセキュリティファイルのパス名がセキュリティファイル記憶部に記録されているものと一致した場合は正常と判定され、そうでない場合は異常と判定してもよい。正常と判定されなかった場合（Ｓ１１２のＮＯ）は、正常判定部１４９が異常を知らせるためのエラーを出力し（Ｓ１１３）、フローは終了する。正常と判定された場合（Ｓ１１２のＹＥＳ）は、仮想環境生成部が仮想環境イメージデータを用いて仮想環境１２１を生成し（Ｓ１０９）、本フローは終了する。

本フローを用いて、実際に悪意のあるソフトウェアがセキュリティファイルに問題を起こした場合の検知について例示する。例えば、悪意のあるソフトウェアが仮想環境１２１Ｂに侵入し、仮想環境１２１Ｂに含まれるセキュリティファイルを削除した後、仮想環境１２１Ｂを再起動する場合を説明する。なお、三つの仮想環境１２１Ａ、Ｂ、およびＣの識別子はそれぞれ、「０ｘ１２３４」、「０ｘ５６７８」、「０ｘ９ａｂｃ」とする。また、仮想環境１２１Ｂのセキュリティファイルの正当なパス名は「／ｖｉｒｔｕａｌ／ｃｏｎｔａｉｎｅｒ２／ａｌｌｏｗ－ｌｉｓｔ」とする。

図３のフローチャートに示す通り、まず、仮想環境１２１起動部が仮想環境１２１Ｂの再起動を検知する（Ｓ１０１）。再起動のため、仮想環境イメージデータが存在するので（Ｓ１０３のＹＥＳ）、仮想環境情報取得部１４５は、仮想環境１２１Ｂの識別子「０ｘ５６７８」、仮想環境１２１Ｂのセキュリティファイルのパス名などを取得する（Ｓ１１０）。仮想環境１２１Ｂのセキュリティファイルは削除されているので、取得されたパス名は「ＮＵＬＬ」である。正常判定部１４９は、記録上の仮想環境１２１Ｂの識別子「／ｖｉｒｔｕａｌ／ｃｏｎｔａｉｎｅｒ２／ａｌｌｏｗ－ｌｉｓｔ」を認識し、仮想環境情報取得部１４５が取得したセキュリティファイルのパス名「ＮＵＬＬ」とは異なることから、異常と判定する（Ｓ１１２）。そして、異常と判定されたため（Ｓ１１２のＮＯ）、異常判定のためエラーが出力される（Ｓ１１３）。

なお、仮想環境１２１上で動作する悪意のあるソフトウェアが、別の仮想環境１２１に悪影響を及ぼすことも想定される。例えば、仮想環境１２１Ａは実行を停止しており（仮想環境１２１Ａの仮想環境イメージデータが削除されていない）、仮想環境１２１Ｂと仮想環境１２１Ｃは稼働しており、仮想環境１２１Ｃ上で動作する悪意のあるソフトウェアが仮想環境イメージデータにある仮想環境１２１Ａをマウントし、仮想環境１２１Ａに含まれるセキュリティファイル（パス名：／ｖｉｒｔｕａｌ／ｃｏｎｔａｉｎｅｒ１／ａｌｌｏｗ－ｌｉｓｔ）を削除した後、仮想環境１２１Ａを起動することもあり得る。しかし、この場合においても、記録上の仮想環境１２１Ａの識別子が、仮想環境情報取得部１４５が取得したセキュリティファイルのパス名「ＮＵＬＬ」とは異なることから、異常としてエラーを出力することができる。

次に、ソフトウェアの実行制御の処理の流れについて説明する。図４は、第１実施形態のソフトウェアの実行制御に関する処理の概略フローチャートである。

ソフトウェア検知部１４４が仮想環境１２１においてソフトウェアの起動を検知し（Ｓ２０１）、仮想環境情報取得部１４５が、仮想環境１２１の識別子、ソフトウェアのパス名などといった仮想環境１２１の情報を取得する（Ｓ２０２）。

管理統括部１４６は、仮想環境１２１と管理部１３の対応関係を示すデータを参照し（Ｓ２０３）、検知された仮想環境１２１を管理する管理部１３に対し、実行判定に用いられる仮想環境１２１の情報を送信して実行判定を行うよう指示する（Ｓ２０４）。指示を受けた管理部１３の読込部１３１は、仮想環境内のセキュリティファイルへのアクセスを試みる（Ｓ２０５）。

仮想環境１２１のセキュリティファイルを読み込み可能な場合（Ｓ２０６のＹＥＳ）は、管理部１３の読込部１３１がセキュリティファイルを読み込み、実行判定部１３２がソフトウェアの実行是非を判定する（Ｓ２０７）。セキュリティファイルが存在しないため、仮想環境１２１のセキュリティファイルを読み込み不可な場合（Ｓ２０６のＮＯ）は、実行判定部１３２は、前述の通り、ソフトウェアの実行は適切と判定する（Ｓ２０８）。

そして、ソフトウェア実行制御部１４８は、ソフトウェアの実行是非の判定結果に基づき、ソフトウェアの実行を制御する（Ｓ２０９）。判定に問題があれば、ソフトウェアは実行されない。なお、ソフトウェアが実行されない場合は、警告メッセージを出力するソフトウェアを実行してもよい。このようにして実行制御が行われて、本フローは終了する。

なお、正常判定部１４９による正常判定は、図３に示したように、仮想環境１２１の起動時または再起動時に行われることを想定しているが、仮想環境１２１の起動時または再起動時以外でも、正常判定が実行されてよい。例えば、仮想環境情報取得部１４５が仮想環境１２１の情報を取得したときに、当該情報を用いて正常判定が実行されてもよい。ゆえに、図４のソフトウェアの起動を検知したときに、正常判定部１４９は、仮想環境１２１の起動検知時と同様、仮想環境情報取得部１４５によって取得された情報と、記録された情報と、に基づいて正常判定を行ってもよい。そして、ソフトウェア実行制御部１４８は、ソフトウェアの実行是非の判定結果と、セキュリティファイルの正常判定結果と、の両方に基づいてソフトウェアの実行を制御してもよい。なお、正常判定の実行タイミングは、適宜に定めてよい。実行判定と並列に実行されてもよいし、実行判定の前後に実行されてもよい。また、実行判定と正常判定のいずれか先に行われたほうの結果が悪かった場合、残りは実行しないとしてもよい。

本フローを用いて、仮想環境１２１におけるソフトウェアの実行判定について例示する。なお、セキュリティファイルの読み込みは、起動時、または、再起動時に行われるものとする。

例えば、仮想環境１２１Ａのセキュリティファイルに登録されているファイル「／ｂｉｎ／ｕｓｅｒ．ｅｘｅ」が、仮想環境１２１Ａ上で実行開始された場合は、次のように処理される。ソフトウェア検知部１４４は、「／ｂｉｎ／ｕｓｅｒ．ｅｘｅ」の実行開始を検知する（Ｓ２０１）。仮想環境情報取得部１４５は、ソフトウェアの情報としてファイル名「／ｂｉｎ／ｕｓｅｒ．ｅｘｅ」を取得する（Ｓ２０２）。取得された情報は、管理統括部１４６を介して、仮想環境１２１Ａを管理する管理部１３Ａに送られ（Ｓ２０４）、管理部１３Ａの読込部１３１Ａは「／ｂｉｎ／ｕｓｅｒ．ｅｘｅ」が仮想環境１２１Ａ内のセキュリティファイルに含まれているかを確認する（Ｓ２０５）。「／ｂｉｎ／ｕｓｅｒ．ｅｘｅ」は仮想環境１２１Ａ内のセキュリティファイルに登録されているため、管理部１３Ａの実行判定部１３２Ａは「／ｂｉｎ／ｕｓｅｒ．ｅｘｅ」の実行は適切と判定する（Ｓ２０７）。そのため、ソフトウェア実行制御部１４８は、仮想環境１２１Ａ内の「／ｂｉｎ／ｕｓｅｒ．ｅｘｅ」の実行を開始する（Ｓ２０９）。

また、例えば、仮想環境１２１Ｂのセキュリティファイルに登録されていないファイル「／ｂｉｎ／ｍａｌ．ｅｘｅ」が仮想環境１２１Ｂ上で実行された場合は、次の通りに処理される。ソフトウェア検知部１４４は、「／ｂｉｎ／ｍａｌ．ｅｘｅ」の実行開始を検知する（Ｓ２０１）。仮想環境情報取得部１４５は、ソフトウェアの情報としてファイル名「／ｂｉｎ／ｍａｌ．ｅｘｅ」を取得する（Ｓ２０２）。取得された情報は、管理統括部１４６を介して、仮想環境１２１Ｂを管理する管理部１３Ｂに送られ（Ｓ２０４）、管理部１３Ｂの読込部１３１Ｂは「／ｂｉｎ／ｍａｌ．ｅｘｅ」が仮想環境１２１Ｂ内のセキュリティファイルに含まれているかを確認する（Ｓ２０５）。「／ｂｉｎ／ｍａｌ．ｅｘｅ」は仮想環境１２１Ｂ内のセキュリティファイルに登録されていないので、管理部１３Ｂの実行判定部１３２Ｂは「／ｂｉｎ／ｍａｌ．ｅｘｅ」を実行してはいけないと判定する（Ｓ２０７）。そのため、ソフトウェア実行制御部１４８は、仮想環境１２１Ｂ内の「／ｂｉｎ／ｍａｌ．ｅｘｅ」の実行を停止する（Ｓ２０９）。

また、例えば、セキュリティファイルが存在しない仮想環境１２１Ｃ上で「／ｂｉｎ／ｃａｆｅ．ｅｘｅ」で実行された場合は、次の通りに処理される。ソフトウェア検知部１４４は、「／ｂｉｎ／ｃａｆｅ．ｅｘｅ」の実行開始を検知する（Ｓ２０１）。仮想環境情報取得部１４５は、仮想環境情報取得部１４５は、ソフトウェアの情報としてファイル名「／ｂｉｎ／ｃａｆｅ．ｅｘｅ」を取得する（Ｓ２０２）。取得された情報は、管理統括部１４６を介して、仮想環境１２１Ｃを管理する管理部１３Ｃに送られ（Ｓ２０４）、管理部１３Ｃの読込部１３１Ｃは仮想環境１２１Ｃ内のセキュリティファイルにアクセスしようとする（Ｓ２０５）。しかし、仮想環境１２１Ｃ内にはセキュリティファイルがなかったため（Ｓ２０６のＮＯ）、管理部１３Ｃの実行判定部１３２は「／ｂｉｎ／ｃａｆｅ．ｅｘｅ」の実行は適切と判定する（Ｓ２０８）。そのため、ソフトウェア実行制御部１４８は、仮想環境１２１Ｃ内の「／ｂｉｎ／ｃａｆｅ．ｅｘｅ」の実行を開始する（Ｓ２０９）。

次に、仮想環境１２１の 終了時の処理の流れについて説明する。図５は、第１実施形態における仮想環境１２１の終了時の処理の概略フローチャートである。

まず、仮想環境検知部１４２が仮想環境１２１の終了を検知する（Ｓ３０１）。次に、仮想環境情報取得部１４５は、消去が検知された仮想環境１２１を識別するための情報を取得する（Ｓ３０２）。管理統括部１４６は、対応関係を示すデータを参照し、仮想環境１２１に対応する管理部１３、つまり、消去された仮想環境１２１を管理する管理部１３を特定して消去する（Ｓ３０４）。記録部１４７は、当該消去を受けて、消去された仮想環境１２１に関する情報を記録から削除する（Ｓ３０５）。

その後、仮想環境イメージデータ記憶部１１は、使用されなくなった期間が所定期間を超えるなどの条件を満たした仮想環境イメージデータを削除し（Ｓ３０５）、本フローは終了する。再起動など、仮想環境イメージデータが短時間で再度使用される場合もあり得るためである。使用されなくなったと判定されるための条件は適宜に定めてよい。例えば、仮想環境１２１が消去されてからの日数が閾値を超えた場合に消去するとしてもよい。

以上のように、本実施形態の情報処理装置１は、複数の仮想環境１２１を制御するが、各仮想環境１２１のセキュリティポリシーを個別に設けることが可能である。さらに、本実施形態では、各仮想環境１２１に格納されたセキュリティファイルが正常であることを確認する。これにより、仮想環境１２１にセキュリティファイルを格納しても、悪意のあるソフトウェアなどによってセキュリティファイルが消去または改ざんされることによって不許可のソフトウェアが実行れてしまうリスクを減らすことができる。

なお、本実施形態では、セキュリティファイルが不正な攻撃を受けた恐れがあるため、ソフトウェアの実行検知時にセキュリティファイルが正常性を確認した。それに加えて、セキュリティファイルが不正な攻撃を受けたときにも、不正な攻撃を回避するような処理を加えることにより、さらに安全性を向上させてもよい。

例えば、ソフトウェア検知部１４４は、ソフトウェアの検知と同様の手段によって、仮想環境１２１におけるファイルの削除、編集といった所定の処理を検知し、対象のファイルのパス名を取得することができる。ゆえに、削除等が不可なファイルがセキュリティファイルに記載されている場合は、図４に示したソフトウェアの実行制御のフローと同様に、処理することが可能である。すなわち、ファイルの削除、編集といった処理もソフトウェアの処理とみなしてよい。

また、セキュリティファイルとは別に、削除等が不可なファイルを示すデータを予め制御記憶部１４１に保存しておいてもよい。その場合は、仮想環境情報取得部１４５が仮想環境１２１の情報を取得した後に、ソフトウェア実行制御部１４８が、当該データを参照し、検知された処理の対象のファイルがセキュリティファイルなどの処理不可とされたファイルであった場合は当該処理を停止し、セキュリティファイルなどの処理不可とされたファイル以外であった場合は当該処理を実行するとしてよい。なお、ソフトウェアの実施制御同様、所定のエラー処理を行い、例えば、所定のログ、情報処理装置１に接続されたモニタなどにエラーを出力してもよい。

なお、上記では、ソフトウェア検知部１４４が、ファイルの削除、編集といった所定の処理も検知するとしたが、検知対象の違いに応じて、前述のように、構成要素を分けてもよい。すなわち、ソフトウェア検知部１４４とは別に、ファイルの削除を検知する検知部、ファイルの編集を検知する検知部などを、情報処理装置１に設けてもよい。

なお、上記では、ソフトウェア検知時に、都度、管理部１３が仮想環境１２１内に保存されているセキュリティファイルにアクセスし、当該セキュリティファイルの情報に基づいて、ソフトウェアの実行判定を行っているが、そのような処理を繰り返さずに、一度、正常と判定されたセキュリティファイルを管理部１３が保存し、保存されたセキュリティファイルを基準として用いて、実行判定を行ってもよい。

また、管理部１３が正常と判定されたセキュリティファイルを仮想環境制御部１４に送信し、以降は、管理部１３ではなく、仮想環境制御部１４がソフトウェアの実行判定を行ってもよい。例えば、仮想環境制御部１４が当該情報を受信してから所定期間が経過するまでは、仮想環境制御部１４が、管理部１３に代わり、当該情報に基づき、実行判定を行うといったことも可能である。

（第２実施形態）
第１実施形態では、一つの管理部１３は一つの仮想環境１２１を管理してもよいし、複数の仮想環境１２１を管理してもよいとした。しかし、一つの管理部１３が一つの仮想環境１２１を管理する場合では、仮想環境１２１の数が多くなるにつれて管理部１３の数も増加し、情報処理装置１のメモリ、ＣＰＵ（Ｃｏｍｐｕｔｉｎｇ Ｐｒｏｃｅｓｓｏｒ Ｕｎｉｔ）使用率などのリソースを消費する。そのため、生成された仮想環境１２１に対する実行判定が不要な場合には、管理部１３を生成しないといった対応もリソースの観点からは有効である。

そこで、本実施形態では、管理統括部１４６は、セキュリティファイルを有しないなどの所定の条件を満たす仮想環境１２１に対しては、管理する管理部１３を生成しない。例えば、仮想環境情報取得部１４５が仮想環境１２１の情報を取得する処理において、仮想環境イメージデータ内のセキュリティファイルを検索し、セキュリティファイルが存在しない場合、管理統括部１４６は、当該仮想環境１２１を管理する管理部１３を生成しないとしてもよい。

図６は、第２実施形態における仮想環境１２１の起動時の処理の概略フローチャートである。本フローでは、仮想環境１２１がセキュリティファイルを有しないことを、管理部１３を生成しない条件とする。第１実施形態におけるフローとの相違点について説明する。

仮想環境イメージデータが存在しなかった場合（Ｓ１０３のＮＯ）に、仮想環境情報取得部１４５は仮想環境１２１の情報を取得し（Ｓ１０５）、取得された情報は記録部１４７によって正常な情報として記録される（Ｓ１０６）ということは、第１実施形態と同様である。ただし、第２実施形態では、仮想環境情報取得部１４５は、仮想環境１２１の情報として、セキュリティファイルの情報も取得する。例えば、セキュリティファイルのパス名を取得する。また、セキュリティファイルの情報も、記録部１４７によって正常な情報として記録される。なお、セキュリティファイルが仮想環境１２１に存在しない場合は、セキュリティファイルが仮想環境１２１に存在しないことを示す情報が記録される。例えば、セキュリティファイルのパス名が「ＮＵＬＬ」と記録される。

そして、管理部１３の生成条件であるセキュリティファイルの存在に応じてフローが分岐するよう、条件分岐（Ｓ１１４）が追加されている。セキュリティファイルが存在する場合（Ｓ１１４のＹＥＳ）は、第１実施形態におけるフローと同様にＳ１０７およびＳ１０８の処理が実施され、仮想環境１２１を管理する管理部１３が生成されて記録される。一方、セキュリティファイルが存在しない場合（Ｓ１１４のＮＯ）は、Ｓ１０７およびＳ１０８の処理は省略される。これにより、管理部１３の数は、仮想環境１２１の数よりも少なくなる。

図７は、第２実施形態のソフトウェアの実行制御に関する処理の概略フローチャートである。図６に示したように、第２実施形態では、仮想環境１２１が生成されても当該仮想環境１２１を管理する管理部１３が存在せず、仮想環境１２１と管理部１３の対応関係を示すデータに、ソフトウェアの実行が検知された仮想環境１２１に対応する管理部１３が記録されていないことがあり得る点が第１実施形態と異なる。そのため、管理統括部１４６が仮想環境と管理部１３の対応関係を示すデータを参照する処理（Ｓ２０３）の後に、条件分岐（Ｓ２１０）が追加されている。また、本フローでは、Ｓ２０８の処理の代わりに、Ｓ２１１の処理が追加されている。

当該データに管理部１３が記載されていない場合（Ｓ２１０のＮＯ）は、管理部１３が存在しないため、管理部１３に対する処理Ｓ２０４からＳ２０８は実行されない。判定が省略された場合は、ソフトウェア実行制御部１４８は、ソフトウェアを実行するように制御する（Ｓ２０９）。こうして、管理する管理部１３が存在しない仮想環境１２１に対しては、ソフトウェアの実行が許可される。

一方、当該データに管理部１３が記載されている場合（Ｓ２１０のＹＥＳ）は、第１実施形態と同様に処理が進むが、管理部１３の読込部１３１が仮想環境内のセキュリティファイルへのアクセスを試行した際に、セキュリティファイルが存在しなかった場合（Ｓ０６のＮＯ）は、管理部１３の実行判定部１３２が異常と判定する（Ｓ２１１）。管理部１３が存在している場合、セキュリティファイルも存在していたはずである。ゆえに、第１実施形態と異なり、セキュリティファイルが存在していない場合は、実行判定は異常と判定され、ソフトウェア実行制御部１４８は、ソフトウェアを停止するように制御する（Ｓ２０９）。

なお、第２実施形態では、管理部１３の読込部１３１がセキュリティファイルにアクセスできなかった時点で異常と分かる。そのため、管理部１３の読込部１３１は、定期的に仮想環境内のセキュリティファイルへのアクセスするようにしてもよい。その場合、アクセスの度に実行判定は行ず、アクセスできなかったときに、その旨を仮想環境制御部１４に通知するようにし、正常判定部１４９は、当該通知をもって異常と判定してもよい。これにより、仮想環境１２１および管理部１３の負荷を高めることなく、セキュリティファイルに対する異常の検知を早めることができる。

図８は、第２実施形態における仮想環境１２１の終了時の処理の概略フローチャートである。図６に示したように、第２実施形態では、仮想環境１２１が生成されても当該仮想環境１２１を管理する管理部１３が存在せず、仮想環境と管理部１３の対応関係を示すデータに、ソフトウェアの実行が検知された仮想環境１２１に対応する管理部１３が記録されていないことがある点が、第１実施形態と異なる。そのため、管理統括部１４６が仮想環境と管理部１３の対応関係を示すデータを参照する処理（Ｓ３０３）の後に、条件分岐（Ｓ３０７）が追加されている。

対応する管理部１３が記録されている場合（Ｓ３０７のＹＥＳ）は、第１実施形態と同様に、管理統括部１４６が消去された仮想環境１２１を管理する管理部１３を消去する（Ｓ３０４）。一方、対応する管理部１３が記録されていない場合（Ｓ３０７のＮＯ）は、消去された仮想環境１２１を管理する管理部１３が存在しないため、Ｓ３０４の処理は省略される。以降の処理は、第１実施形態と同じである。

以上のように、本実施形態では、不要な管理部１３の生成を抑えることができ、情報処理装置１のリソースの消費を抑えることができる。

（第３実施形態）
これまでの実施形態では、仮想環境１２１にアクセスし、攻撃された可能性があるセキュリティファイルを読み込み、読み込まれたセキュリティファイルに基づいてソフトウェアの実行判定を行っていた。そのため、読み込まれたセキュリティファイルが正常であるかを確認する必要があった。

そこで、本実施形態では、攻撃された可能性があるセキュリティファイルを用いずに、実行判定を行う。

図９は、第３実施形態における仮想環境１２１の起動時の処理の概略フローチャートである。

図３に示した第１実施形態におけるフローでは、仮想環境イメージデータが存在しない場合（Ｓ１０３のＮＯ）、仮想環境情報取得部１４５が仮想環境１２１の情報を取得したが（Ｓ１０５）、第３実施形態では、仮想環境情報取得部１４５は仮想環境イメージデータからセキュリティファイルを取得する（Ｓ１１５）。取得されたファイルは、攻撃を受けていない正常なものとして扱われ、管理統括部１４６が取得されたセキュリティファイルを管理部１３に送信する（Ｓ１１６）。これにより、管理部１３は、正常なセキュリティファイルを取得でき、正常なセキュリティファイルに基づいて実行判定を行うことができる。

また、第３実施形態では正常判定を行う必要がないため、仮想環境イメージデータが存在する場合（Ｓ１０３のＹＥＳ）では、単に、仮想環境生成部が仮想環境イメージデータを用いて仮想環境１２１を生成する（Ｓ１０９）。

図１０は、第３実施形態のソフトウェアの実行制御に関する処理の概略フローチャートである。

仮想環境１２１の起動時の処理において管理部１３はセキュリティファイルを取得しているため、管理部１３が仮想環境１２１のセキュリティファイルを読み込む処理（Ｓ２０５）はなく、管理部１３の実行判定部１３２は、管理統括部１４６から取得したセキュリティファイルに基づき実行判定を行う（Ｓ２１２）。その他の処理は、第１実施形態と同様である。

このように、本フローでは、予め取得しておいた正常なセキュリティファイルに基づいて実行判定が行われるため、仮想環境１２１内においてセキュリティファイルが改ざんされても、正常性が保証される。

なお、本フローでは、これまでの実施形態同様、管理部１３が実行判定を行うが、管理部１３が実行判定を行う必要はなく、仮想環境制御部１４が実行判定を行うとしてもよい。仮想環境制御部１４が実行判定を行う場合、仮想環境制御部１４が管理部１３にセキュリティファイルや実行が検知されたソフトウェアの情報を送信する必要がなくなる。

なお、終了処理のフローは、第１実施形態と同様でよいため省略する。

以上のように、本実施形態では、攻撃された可能性があるセキュリティファイルを用いずに実行判定を行う。これにより、実行判定の正当性を保証することができる。

なお、上記の実施形態の少なくとも一部は、プロセッサ、メモリなどを実装しているＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ：集積回路）などの専用の電子回路（すなわちハードウェア）により実現されてもよい。また、上記の実施形態の少なくとも一部は、ソフトウェア（プログラム）を実行することにより、実現されてもよい。例えば、汎用のコンピュータ装置を基本ハードウェアとして用い、コンピュータ装置に搭載されたＣＰＵなどのプロセッサにプログラムを実行させることにより、上記の実施形態の処理を実現することが可能である。すなわち、図１に示された各部は、プロセスとして実現され得る。

例えば、コンピュータが読み取り可能な記憶媒体に記憶された専用のソフトウェアをコンピュータが読み出すことにより、コンピュータを上記の実施形態の装置とすることができる。記憶媒体の種類は特に限定されるものではない。また、通信ネットワークを介してダウンロードされた専用のソフトウェアをコンピュータがインストールすることにより、コンピュータを上記の実施形態の装置とすることができる。こうして、ソフトウェアによる情報処理が、ハードウェア資源を用いて、具体的に実装される。

図１１は、本発明の一実施形態におけるハードウェア構成の一例を示すブロック図である。情報処理装置１は、プロセッサ２１と、主記憶装置２２と、補助記憶装置２３と、ネットワークインタフェース２４と、デバイスインタフェース２５と、を備え、これらがバス２６を介して接続されたコンピュータ装置２として実現できる。情報処理装置１の各記憶部は、主記憶装置２２または補助記憶装置２３により実現可能であり、仮想環境制御部１４などの記憶部以外の構成要素は、プロセッサ２１により実現可能である。

なお、図１１のコンピュータ装置２は、各構成要素を一つ備えているが、同じ構成要素を複数備えていてもよい。また、図１１は、１台のコンピュータ装置２が示されているが、ソフトウェアが複数のコンピュータ装置にインストールされて、当該複数のコンピュータ装置それぞれがソフトウェアの異なる一部の処理を実行してもよい。

プロセッサ２１は、コンピュータの制御装置および演算装置を含む電子回路である。プロセッサ２１は、コンピュータ装置２の内部構成の各装置などから入力されたデータやプログラムに基づいて演算処理を行い、演算結果や制御信号を各装置などに出力する。具体的には、プロセッサ２１は、コンピュータ装置２のＯＳやソフトウェアなどを実行し、コンピュータ装置２を構成する各装置を制御する。プロセッサ２１は、上記の処理を行うことができれば特に限られるものではない。

主記憶装置２２は、プロセッサ２１が実行する命令および各種データなどを記憶する記憶装置であり、主記憶装置２２に記憶された情報がプロセッサ２１により直接読み出される。補助記憶装置２３は、主記憶装置２２以外の記憶装置である。なお、これらの記憶装置は、電子情報を格納可能な任意の電子部品を意味するものとし、メモリでもストレージでもよい。また、メモリには、揮発性メモリと、不揮発性メモリがあるが、いずれでもよい。

ネットワークインタフェース２４は、無線または有線により、通信ネットワーク３に接続するためのインタフェースである。ネットワークインタフェース２４は、既存の通信規格に適合したものを用いればよい。ネットワークインタフェース２４により、通信ネットワーク３を介して通信接続された外部装置４Ａと情報のやり取りが行われてもよい。

デバイスインタフェース２５は、外部装置４Ｂと直接接続するＵＳＢなどのインタフェースである。外部装置４Ｂは、外部記憶媒体でもよいし、データベースなどのストレージ装置でもよい。

外部装置４Ａおよび４Ｂは出力装置でもよい。出力装置は、例えば、画像を表示するための表示装置でもよいし、音声などを出力する装置などでもよい。例えば、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）、ＰＤＰ（Ｐｌａｓｍａ Ｄｉｓｐｌａｙ Ｐａｎｅｌ）、スピーカなどがあるが、これらに限られるものではない。

なお、外部装置４Ａおよび４Ｂは入力装置でもよい。入力装置は、キーボード、マウス、タッチパネルなどのデバイスを備え、これらのデバイスにより入力された情報をコンピュータ装置２に与える。入力装置からの信号はプロセッサ２１に出力される。

上記に、本発明の一実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、移行を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ 情報処理装置
１１ 仮想環境イメージデータ記憶部
１２ 仮想環境生成部
１２１（１２１Ａ、１２１Ｂ、１２１Ｃ） 仮想環境
１３（１３Ａ、１３Ｂ、１３Ｃ） 管理部
１３１（１３１Ａ、１３１Ｂ、１３１Ｃ） 読込部
１３２（１３２Ａ、１３２Ｂ、１３２Ｃ） 実行判定部
１４ 仮想環境制御部
１４１ 制御記憶部
１４２ 仮想環境検知部
１４３ 展開部
１４４ ソフトウェア検知部
１４５ 仮想環境情報取得部
１４６ 管理統括部
１４７ 記録部
１４８ ソフトウェア実行制御部
１４９ 正常判定部
２ コンピュータ装置
２１ プロセッサ
２２ 主記憶装置
２３ 補助記憶装置
２４ ネットワークインタフェース
２５ デバイスインタフェース
２６ バス
３ 通信ネットワーク
４Ａおよび４Ｂ 外部装置

Claims (15)

1. イメージファイルを展開し、仮想環境に用いられるファイル群を生成する展開部と、
   前記ファイル群を用いて前記仮想環境を生成する仮想環境生成部と、
   前記ファイル群に含まれる第１ファイルの情報を記録する記録部と、
   前記仮想環境内に保存されている前記第１ファイルにアクセスし、前記第１ファイルにアクセスしたことにより取得された情報に基づき、前記仮想環境において実行が検知されたソフトウェアの実行是非を判定する管理部と、
   前記第１ファイルにアクセスしたことにより取得された情報と、記録された前記第１ファイルの情報と、の相違に基づき、前記第１ファイルが正常であるかどうかを判定する正常判定部と、
   生成された仮想環境を管理する前記管理部がない場合に、生成された仮想環境を管理する前記管理部を生成する管理統括部と、
   を備える情報処理装置。
2. 前記第１ファイルが正常と判定されなかった場合、または、前記ソフトウェアが実行されてもよいと判定されなかった場合には、前記仮想環境において前記ソフトウェアが実行されないように制御するソフトウェア制御部
   をさらに備える請求項１に記載の情報処理装置。
3. 前記正常判定部は、前記第１ファイルが存在するという情報が記録され、かつ、前記第１ファイルが存在しないという情報が取得されたときに、前記第１ファイルは正常でないと判定する、
   請求項１または２に記載の情報処理装置。
4. 前記正常判定部は、前記第１ファイルの記録されたパス名および取得されたパス名が異なるときに、前記第１ファイルは正常でないと判定する、
   請求項１ないし３のいずれか一項に記載の情報処理装置。
5. 前記正常判定部は、前記第１ファイルの記録されたハッシュ値および取得されたハッシュ値が異なるとき、または、前記第１ファイルの記録されたハッシュ値および取得された情報に基づいて算出されたハッシュ値が異なるときに、前記第１ファイルは正常でないと判定する、
   請求項１ないし４のいずれか一項に記載の情報処理装置。
6. 前記仮想環境におけるソフトウェアの実行を検知する検知部、
   をさらに備え、
   前記管理部が、前記実行が検知されたときに、前記第１ファイルの情報を取得する、
   請求項１ないし５のいずれか一項に記載の情報処理装置。
7. 前記仮想環境におけるファイルの削除を検知する検知部、
   をさらに備え、
   前記正常判定部は、前記第１ファイルの削除が検知され、かつ、前記第１ファイルが存在するという情報が記録されているときに、前記第１ファイルは正常でないと判定する、 請求項１ないし６のいずれか一項に記載の情報処理装置。
8. 前記管理統括部は、生成された仮想環境を管理する管理部がない場合でも、生成された仮想環境に前記第１ファイルが存在するという情報が記録されていないときは、仮想環境に対応する管理部を生成しない、
   請求項１ないし７のいずれか一項に記載の情報処理装置。
9. 前記管理部が、定期的に、前記第１ファイルの情報を取得する、
   請求項１ないし８のいずれか一項に記載の情報処理装置。
10. イメージファイルを展開し、仮想環境に用いられるファイル群を生成する展開部と、
    前記ファイル群を用いて前記仮想環境を生成する仮想環境生成部と、
    前記ファイル群に含まれる第１ファイルの情報を記録する記録部と、
    前記仮想環境内に保存されている前記第１ファイルにアクセスし、前記第１ファイルにアクセスしたことにより取得された情報に基づき、前記仮想環境において実行が検知されたソフトウェアの実行是非を判定する管理部と、
    前記第１ファイルにアクセスしたことにより取得された情報と、記録された前記第１ファイルの情報と、の相違に基づき、前記第１ファイルが正常であるかどうかを判定する正常判定部と、を備え、
    前記正常判定部は、前記第１ファイルが存在するという情報が記録され、かつ、前記第１ファイルが存在しないという情報が取得されたときに、前記第１ファイルは正常でないと判定する、
    情報処理装置。
11. イメージファイルを展開し、仮想環境に用いられるファイル群を生成する展開部と、
    前記ファイル群を用いて前記仮想環境を生成する仮想環境生成部と、
    前記ファイル群に含まれる第１ファイルの情報を記録する記録部と、
    前記仮想環境内に保存されている前記第１ファイルにアクセスし、前記第１ファイルにアクセスしたことにより取得された情報に基づき、前記仮想環境において実行が検知されたソフトウェアの実行是非を判定する管理部と、
    前記第１ファイルにアクセスしたことにより取得された情報と、記録された前記第１ファイルの情報と、の相違に基づき、前記第１ファイルが正常であるかどうかを判定する正常判定部と、を備え、
    前記正常判定部は、前記第１ファイルの記録されたパス名および取得されたパス名が異なるときに、前記第１ファイルは正常でないと判定する、
    情報処理装置。
12. イメージファイルを展開し、仮想環境に用いられるファイル群を生成するステップと、
    前記ファイル群を用いて前記仮想環境を生成するステップと、
    前記ファイル群に含まれる第１ファイルの情報を記録するステップと、
    前記仮想環境内に保存されている前記第１ファイルにアクセスし、前記第１ファイルにアクセスしたことにより取得された情報に基づき、前記仮想環境において実行が検知されたソフトウェアの実行是非を判定するステップと、
    前記第１ファイルにアクセスしたことにより取得された情報と、記録された前記第１ファイルの情報と、の相違に基づき、前記第１ファイルが正常であるかどうかを判定するステップと、を備え、
    前記第１ファイルが正常であるかどうかを判定するステップは、前記第１ファイルの記録されたパス名および取得されたパス名が異なるときに、前記第１ファイルは正常でないと判定する、
    情報処理方法。
13. イメージファイルを展開し、仮想環境に用いられるファイル群を生成するステップと、
    前記ファイル群を用いて前記仮想環境を生成するステップと、
    前記ファイル群に含まれる第１ファイルの情報を記録するステップと、
    前記仮想環境内に保存されている前記第１ファイルにアクセスし、前記第１ファイルにアクセスしたことにより取得された情報に基づき、前記仮想環境において実行が検知されたソフトウェアの実行是非を判定するステップと、
    前記第１ファイルにアクセスしたことにより取得された情報と、記録された前記第１ファイルの情報と、の相違に基づき、前記第１ファイルが正常であるかどうかを判定するステップと、をコンピュータによって実行させ、
    前記第１ファイルが正常であるかどうかを判定するステップは、前記第１ファイルの記録されたパス名および取得されたパス名が異なるときに、前記第１ファイルは正常でないと判定する、
    プログラム。
14. イメージファイルを展開し、仮想環境に用いられるファイル群を生成するステップと、 前記ファイル群を用いて前記仮想環境を生成するステップと、
    前記ファイル群に含まれる第１ファイルの情報を記録するステップと、
    前記仮想環境内に保存されている前記第１ファイルにアクセスするステップと、
    前記第１ファイルにアクセスしたことにより取得された情報に基づき、前記仮想環境において実行が検知されたソフトウェアの実行是非を判定するステップと、
    前記第１ファイルにアクセスしたことにより取得された情報と、記録された前記第１ファイルの情報と、の相違に基づき、前記第１ファイルが正常であるかどうかを判定するステップと、を備え、
    前記第１ファイルが正常であるかどうかを判定するステップは、前記第１ファイルが存在するという情報が記録され、かつ、前記第１ファイルが存在しないという情報が取得されたときに、前記第１ファイルは正常でないと判定する、
    を備える情報処理方法。
15. イメージファイルを展開し、仮想環境に用いられるファイル群を生成するステップと、 前記ファイル群を用いて前記仮想環境を生成するステップと、
    前記ファイル群に含まれる第１ファイルの情報を記録するステップと、
    前記仮想環境内に保存されている前記第１ファイルにアクセスするステップと、
    前記第１ファイルにアクセスしたことにより取得された情報に基づき、前記仮想環境において実行が検知されたソフトウェアの実行是非を判定するステップと、
    前記第１ファイルにアクセスしたことにより取得された情報と、記録された前記第１ファイルの情報と、の相違に基づき、前記第１ファイルが正常であるかどうかを判定するステップと、をコンピュータによって実行させ、
    前記第１ファイルが正常であるかどうかを判定するステップは、前記第１ファイルが存在するという情報が記録され、かつ、前記第１ファイルが存在しないという情報が取得されたときに、前記第１ファイルは正常でないと判定する、
    プログラム。

Images