WO2016152181A1 - アクセス制御システム及びアクセス制御方法 - Google Patents

アクセス制御システム及びアクセス制御方法 Download PDF

Info

Publication number
WO2016152181A1
WO2016152181A1 PCT/JP2016/050210 JP2016050210W WO2016152181A1 WO 2016152181 A1 WO2016152181 A1 WO 2016152181A1 JP 2016050210 W JP2016050210 W JP 2016050210W WO 2016152181 A1 WO2016152181 A1 WO 2016152181A1
Authority
WO
WIPO (PCT)
Prior art keywords
request
access control
launcher
identification information
file
Prior art date
Application number
PCT/JP2016/050210
Other languages
English (en)
French (fr)
Inventor
祐一 清川
井上　浩二
竜二 中山
太田　裕之
Original Assignee
株式会社日立ソリューションズ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立ソリューションズ filed Critical 株式会社日立ソリューションズ
Priority to CN201680002351.3A priority Critical patent/CN106796644B/zh
Priority to US15/505,949 priority patent/US10318745B2/en
Priority to EP16768084.2A priority patent/EP3276524B1/en
Priority to CA2959574A priority patent/CA2959574C/en
Publication of WO2016152181A1 publication Critical patent/WO2016152181A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/30—Monitoring
    • G06F11/34—Recording or statistical evaluation of computer activity, e.g. of down time, of input/output operation ; Recording or statistical evaluation of user activity, e.g. usability assessment
    • G06F11/3466—Performance evaluation by tracing or monitoring
    • G06F11/3485—Performance evaluation by tracing or monitoring for I/O devices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6281—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database at program execution time, where the protection is within the operating system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Definitions

  • the present invention relates to an access control system.
  • JP 2007-140798 discloses that a determination unit determines whether or not a preset access permission condition is satisfied when an application executed on a computer tries to access information stored in a storage unit such as a hard disk.
  • a computer information leakage prevention system is described that prohibits delivery of the information to an application when it is determined that the access is unauthorized.
  • the integrated office software includes multiple applications such as word processors and spreadsheets, and the integrated office software handles various types of files. For this reason, when the confidential information file is edited using the integrated office software, the above-described conventional technology can set access control by paying attention to the extension. However, you must know all the extensions that the application handles and make all the necessary settings.
  • An object of the present invention is to provide a system that simplifies setting of access control of a file system and a firewall as described above.
  • a typical example of the invention disclosed in the present application is as follows. That is, an access control system configured by a computer having a processor that executes a process and a memory that stores the program, a launcher that is a process for starting the process, and an I / O request issued by the process An ACL file in which the control contents of the process are defined, a process search unit that traces the parent of the process and determines whether the process is started from the launcher, and the origin of the launcher according to the contents defined in the ACL file And an access control unit that controls I / O requests issued by processes started as
  • FIG. 1 It is a figure which shows the structure of the system of the Example of this invention. It is a block diagram which shows the physical structure of the user terminal of a present Example. It is a figure explaining the structural example of the ACL table of a present Example. It is a flowchart of the process which registers the I / O detection function of a present Example with a filter manager. It is a flowchart of the process search function of a present Example. It is a flowchart of the access control function of a present Example.
  • FIG. 1 is a diagram showing a system configuration of an embodiment of the present invention.
  • the user terminal 101 includes a storage device 102 and a network adapter 103.
  • an operating system 107, a file system driver 105, and a network driver 106 are installed in the user terminal 101.
  • the user terminal 101 has a filter manager 108 in the operating system 107 for filtering the file I / O request packet 110 and the network I / O request packet 111 generated from the process 109.
  • An I / O detection function 113 is registered in the filter manager 108.
  • the I / O detection function 113 includes a process search function 114 and an access control function 115.
  • a launcher 112 and a setting tool 116 are installed in the user terminal 101.
  • the launcher 112 starts an arbitrary process 109.
  • the I / O detection function 113 receives the file I / O request packet 110 and the network I / O request packet 111 through the filter manager 108.
  • the process search function 114 confirms the parent process of the source process 109 from the request packet received by the I / O detection function 113.
  • the access control function 115 performs access control according to the ACL file 117 when the process search function 114 can confirm that the parent process is the launcher 112.
  • the setting tool 116 records, edits, and deletes access control settings in the ACL file 117.
  • the user When starting an arbitrary process 109 such as a word processor, spreadsheet, Web browser, etc., the user starts the process 109 from the launcher 112 if the ACL file 117 is to be applied.
  • the operating system 107 When the process 109 accesses a file or a network, the operating system 107 generates a packet including access contents and access source process information, and passes the packet to the file system driver 105 and the network driver 106 through the filter manager 108.
  • the filter manager 108 calls the process search function 114 in the I / O detection function 113.
  • the process search function 114 searches the parent process of the process 109 and the parent process, and determines whether the origin of the process 109 is the launcher 112. If the process search function 114 determines that the origin of the process 109 is the launcher 112, the filter manager 108 calls the access control function 115.
  • the access control function 115 performs access control such as permission, denial, and change of the file I / O request packet 110 and the network I / O request packet 111 according to the ACL file 117.
  • the access control of the ACL file 117 can be applied collectively to all child processes and grandchild processes originating from the launcher 112.
  • FIG. 2 is a block diagram showing a physical configuration of the user terminal 101.
  • the user terminal 101 of this embodiment is configured by a computer having a processor (CPU) 1, a memory 2, an auxiliary storage device 3, a communication interface 4, an input interface 5, and an output interface 8.
  • the processor 1 executes a program stored in the memory 2.
  • the memory 2 includes a ROM that is a nonvolatile storage element and a RAM that is a volatile storage element.
  • the ROM stores an immutable program (for example, BIOS).
  • BIOS basic input/output
  • the RAM is a high-speed and volatile storage element such as DRAM (Dynamic Random Access Memory), and temporarily stores a program executed by the processor 1 and data used when the program is executed.
  • the auxiliary storage device 3 is a large-capacity non-volatile storage device such as a magnetic storage device (HDD) or a flash memory (SSD), and constitutes the storage device 102.
  • the auxiliary storage device 3 stores a program executed by the processor 1. That is, the program is read from the auxiliary storage device 3, loaded into the memory 2, and executed by the processor 1.
  • the communication interface 4 is a network interface device that controls communication with other devices (such as a file server and a gateway) according to a predetermined protocol.
  • the input interface 5 is an interface to which a keyboard 6 and a mouse 7 are connected and receives an input from the operator.
  • the output interface 8 is an interface to which a display device 9 or a printer is connected, and the execution result of the program is output in a form that can be visually recognized by the operator.
  • the program executed by the processor 1 is provided to the user terminal 101 via a removable medium (CD-ROM, flash memory, etc.) or a network, and is stored in the nonvolatile auxiliary storage device 3 that is a non-temporary storage medium. For this reason, the user terminal 101 may have an interface for reading data from a removable medium.
  • the user terminal 101 is a computer system that is configured on a single computer or a plurality of computers that are logically or physically configured, and operates in a separate thread on the same computer. Alternatively, it may operate on a virtual machine constructed on a plurality of physical computer resources.
  • FIG. 3 is a diagram for explaining a configuration example of the ACL file 117.
  • the ACL file 117 includes a network ACL 201 that defines network access rules, and a file ACL 202 that defines file access rules.
  • the network ACL 201 holds a rule number 203 for uniquely identifying a rule, a communication source 204, a communication destination 205, and an access control definition 206.
  • the network information of the communication source to which the access control is applied is designated as an IP address and a net mask, “LOCAL” indicating itself, “ANY” indicating all, or the like.
  • the network information of the communication destination to which the access control is applied is designated as an IP address and a netmask, “LOCAL” indicating itself, “ANY” indicating all, or the like.
  • the definition 206 specifies whether communication is permitted or denied when the rule is applicable.
  • the definition 206 can also specify that the communication destination is changed to another address when the rule is met.
  • the file ACL 202 holds a rule number 207 for uniquely identifying a rule, an access path 208 indicating an access destination file or directory, and an access control definition 209.
  • a file path or a directory path to which access control is applied is designated by a character string.
  • the definition 209 specifies whether to permit or deny access to the file or directory when the rule is met. In addition, the definition 209 can also specify that the access path is changed to another path when the rule is met.
  • FIG. 4 is a flowchart of processing for registering the I / O detection function 113 in the filter manager 108.
  • the filter manager 108 is a function provided by the operating system 107.
  • the operator can pass the file I / O request packet 110 and the network I / O request packet 111 processed by the operating system 107 to the I / O detection function 113 through the filter manager 108 by instructing the operating system 107. .
  • the filter manager 108 sets to transfer the file I / O request packet 110 to the I / O detection function 113 in accordance with the operator's instruction (step 301). Further, the filter manager 108 sets to transfer the network I / O request packet 111 to the I / O detection function 113 in accordance with the operator's instruction (step 302).
  • FIG. 5 is a flowchart of the process search function 114.
  • the process search function 114 executes a process of tracing the parent process of the process that generated the file I / O request packet 110 and the network I / O request packet 111.
  • the process search function 114 When the process search function 114 receives the file I / O request packet 110 and the network I / O request packet 111 from the filter manager 108 through the I / O detection function 113, the process search function 114 starts a parent process search process.
  • the process search function 114 acquires the process ID of the calling process 109 from the file I / O request packet 110 or the network I / O request packet 111 and sets it as CheckID (step 401).
  • Step 402 it is determined whether the Check ID acquired in Step 401 matches the process ID of the launcher 112 (Step 402).
  • step 402 If it is determined in step 402 that CheckID matches the process ID of the launcher 112 (YES in step 403), the process 109 returns to the caller that it is activated from the launcher 112 and ends the process (step 407). .
  • step 404 the process ID of the parent process of the Check ID is acquired (step 404).
  • step 405 If the process ID of the parent process could not be acquired (NO in step 405), the process 109 returns to the caller that it has not been started from the launcher 112 (step 408), and the process ends.
  • step 405 when the process ID of the parent process can be acquired (YES in step 405), the process ID acquired in step 404 is newly set as CheckID (step 406), and the process returns to step 402 to search for the parent process.
  • FIG. 6 is a flowchart of the access control function 115.
  • the access control function 115 executes network and file access control.
  • step 408 if the caller process 109 is a process started from the launcher 112, the I / O request packet 110 and the network I / O request packet 111 are processed in the I / O request processing. It is determined whether the O request packet is a file I / O or a network I / O (step 501).
  • one rule is acquired from the file ACL 202 of the ACL file 117 (step 502).
  • the I / O request packet is the network I / O request packet 111
  • one rule is acquired from the network ACL 201 of the ACL file 117 (step 503).
  • step 504 If the rule cannot be acquired in step 502 and step 503 (NO in step 504), the access control process is terminated.
  • step 504 if the rule can be acquired in step 502 and step 503 (YES in step 504), the contents of the I / O request packet (communication source, communication destination, access path, etc.) and acquired in step 502 and step 503 It is determined whether the rules (communication source 204, communication destination 205, access path 208, etc.) match (step 505).
  • the I / O request packet is updated according to the definitions 206 and 209 of the ACL file 117 (step 507), and access control is performed. The process ends.
  • step 506 when the rule does not match the content of the I / O request packet (NO in step 506), one next rule is acquired from the ACL file 117 (step 508), and the process returns to step 504 to continue the processing.
  • the access control set in the ACL file 117 can be applied to all processes 109 started from the launcher 112 using the parent-child relationship of the processes.
  • the rules may be registered in the ACL file 117 in order of priority.
  • the priority order may be defined in the ACL file 117, all rules corresponding to the I / O request packet may be selected, and the access control definition may be applied to the I / O request packet according to the defined priority order. .
  • the launcher 112 that is a process that starts a process
  • the ACL file 202 that defines the control contents of an I / O request issued by the process
  • the process search function 114 for determining whether the process is started from the launcher 112 and the I / O request issued by the process started from the launcher 112 according to the contents defined in the ACL file 202
  • the access control function 115 controls the process
  • the user sets the access control in the filter manager 108 without setting the access control for each process or for each file, and the process to which the security is to be applied is started from the launcher 112.
  • the process search function 114 acquires the identification information of the process that issued the I / O request, and issues the I / O request if the identification information of the process that started the process is the same as the identification information of the launcher 112 If it is determined that the process is a process started from the launcher 112, and the process identification information is different from the identification information of the launcher 112, the parent process is traced and the identification information of the parent process becomes the identification information of the launcher 112. Since they are determined to be identical, it is possible to reliably determine the process that originated the process.
  • the access control function 115 determines the type of the I / O request.
  • the access control function 115 refers to the file ACL 202 and determines the I / O request depending on the access destination of the I / O request.
  • the control content is determined and the I / O request is a network I / O request, the I / O control content is determined by referring to the network ACL 201 and the communication source and destination of the I / O request. Different rules can be reliably applied depending on the target of O.
  • the present invention is not limited to the above-described embodiments, and includes various modifications and equivalent configurations within the scope of the appended claims.
  • the above-described embodiments have been described in detail for easy understanding of the present invention, and the present invention is not necessarily limited to those having all the configurations described.
  • a part of the configuration of one embodiment may be replaced with the configuration of another embodiment.
  • another configuration may be added, deleted, or replaced.
  • each of the above-described configurations, functions, processing units, processing means, etc. may be realized in hardware by designing a part or all of them, for example, with an integrated circuit, and the processor realizes each function. It may be realized by software by interpreting and executing the program to be executed.
  • Information such as programs, tables, and files that realize each function can be stored in a storage device such as a memory, a hard disk, and an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, and a DVD.
  • a storage device such as a memory, a hard disk, and an SSD (Solid State Drive), or a recording medium such as an IC card, an SD card, and a DVD.
  • control lines and information lines indicate what is considered necessary for the explanation, and do not necessarily indicate all control lines and information lines necessary for mounting. In practice, it can be considered that almost all the components are connected to each other.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Databases & Information Systems (AREA)
  • Automation & Control Theory (AREA)
  • Quality & Reliability (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Computer And Data Communications (AREA)
  • Storage Device Security (AREA)

Abstract

プロセスを実行するプロセッサと、前記プログラムを格納するメモリとを有する計算機によって構成されるアクセス制御システムであって、前記プロセスを起動するプロセスであるランチャと、前記プロセスが発行するＩ／Ｏ要求の制御内容が定義されたＡＣＬファイルと、前記プロセスの親を辿り、前記ランチャを起源として起動されたプロセスかを判定するプロセス探索部と、前記ＡＣＬファイルに定義された内容に従って、前記ランチャを起源として起動されたプロセスが発行するＩ／Ｏ要求を制御するアクセス制御部とを有する。

Description

アクセス制御システム及びアクセス制御方法 参照による取り込み
　本出願は、平成２７年（２０１５年）３月２５日に出願された日本出願である特願２０１５－６２９９９の優先権を主張し、その内容を参照することにより、本出願に取り込む。
　本発明は、アクセスコントロールシステムに関する。
　従来、機密情報ファイルを取り扱うＰＣ等の端末において、機密情報保護を目的にファイアウォールやファイルシステムへのアクセスコントロールを設定し、悪意のある利用者からの不正なアクセスや機密情報ファイルの持ち出しなどを防ぐ技術がある。
　本技術の背景技術として、特開２００７－１４０７９８号公報がある。特開２００７－１４０７９８号公報は、コンピュータ上で実行されるアプリケーションがハードディスクなどの記憶部に記憶された情報にアクセスしようとした時点で、予め設定されたアクセス許容条件を満たすかどうかを判定部により判定して、不正なアクセスと判定された場合に前記情報のアプリケーションへの受け渡しを禁止するコンピュータの情報漏洩防止システムが記載されている。
　一方、統合オフィスソフトにはワードプロセッサ、表計算など複数のアプリケーションが含まれており、統合オフィスソフトは様々な形式のファイルを取り扱う。このため、統合オフィスソフトを利用して機密情報ファイルを編集する場合、前述した従来の技術では、拡張子に着目してアクセスコントロールを設定できる。しかし、アプリケーションが取り扱う全ての拡張子を把握して、必要な全ての設定をしなければならない。
　また、ネットワークによる通信をファイアウォールで制御する場合、通信先や通信プログラムなどを個々にアクセスコントロールを設定しなければならない。
　本発明の目的は、前述したようなファイルシステムやファイアウォールのアクセスコントロールの設定を簡略化するシステムを提供することにある。
　本願において開示される発明の代表的な一例を示せば以下の通りである。すなわち、プロセスを実行するプロセッサと、前記プログラムを格納するメモリとを有する計算機によって構成されるアクセス制御システムであって、前記プロセスを起動するプロセスであるランチャと、前記プロセスが発行するＩ／Ｏ要求の制御内容が定義されたＡＣＬファイルと、前記プロセスの親を辿り、前記ランチャを起源として起動されたプロセスかを判定するプロセス探索部と、前記ＡＣＬファイルに定義された内容に従って、前記ランチャを起源として起動されたプロセスが発行するＩ／Ｏ要求を制御するアクセス制御部とを有する。
　本発明の代表的な実施の形態によれば、アクセスコントロールの設定を簡略化できる。前述した以外の課題、構成及び効果は、以下の実施例の説明により明らかにされる。
本発明の実施例のシステムの構成示す図である。 本実施例のユーザ端末の物理的な構成を示すブロック図である。 本実施例のＡＣＬテーブルの構成例を説明する図である。 本実施例のＩ／Ｏ検出機能をフィルタマネージャに登録する処理のフローチャートである。 本実施例のプロセス探索機能のフローチャートである。 本実施例のアクセスコントロール機能のフローチャートである。
　以下、本発明を実施する場合について、図面を用いて詳細に説明する。
　図１は、本発明の実施例のシステムの構成を示す図である。
　図１において、ユーザ端末１０１は、記憶装置１０２、ネットワークアダプタ１０３を有する。また、ユーザ端末１０１には、オペレーティングシステム１０７、ファイルシステムドライバ１０５、ネットワークドライバ１０６がインストールされている。さらに、ユーザ端末１０１には、プロセス１０９から生じるファイルＩ／Ｏ要求パケット１１０及びネットワークＩ／Ｏ要求パケット１１１をフィルタするフィルタマネージャ１０８を、オペレーティングシステム１０７内に有する。フィルタマネージャ１０８には、Ｉ／Ｏ検出機能１１３が登録されている。Ｉ／Ｏ検出機能１１３は、プロセス探索機能１１４と、アクセスコントロール機能１１５とを含む。また、ユーザ端末１０１内には、ランチャ１１２と、設定ツール１１６がインストールされている。
　ランチャ１１２は、任意のプロセス１０９を起動する。Ｉ／Ｏ検出機能１１３は、フィルタマネージャ１０８を通じてファイルＩ／Ｏ要求パケット１１０やネットワークＩ／Ｏ要求パケット１１１を受け取る。プロセス探索機能１１４は、Ｉ／Ｏ検出機能１１３にて受け取った要求パケットから送信元のプロセス１０９の親プロセスを確認する。アクセスコントロール機能１１５は、プロセス探索機能１１４にて親プロセスがランチャ１１２であることが確認できた場合にＡＣＬファイル１１７に従ってアクセスコントロールを行う。設定ツール１１６は、ＡＣＬファイル１１７にアクセスコントロール設定を記録、編集、削除する。
　ワードプロセッサ、表計算、Ｗｅｂブラウザなど任意のプロセス１０９を起動する際に、ＡＣＬファイル１１７を適用したい場合、ユーザはランチャ１１２からプロセス１０９を起動する。プロセス１０９がファイルやネットワークへのアクセスする場合、オペレーティングシステム１０７は、アクセス内容やアクセス元のプロセス情報を含むパケットを生成し、フィルタマネージャ１０８を通じて、ファイルシステムドライバ１０５やネットワークドライバ１０６に渡す。
　フィルタマネージャ１０８は、Ｉ／Ｏ検出機能１１３内のプロセス探索機能１１４を呼び出す。プロセス探索機能１１４は、プロセス１０９の親プロセス、さらに親のプロセスを探索しプロセス１０９の起源がランチャ１１２であるかを判定する。プロセス探索機能１１４がプロセス１０９の起源がランチャ１１２であると判定した場合、フィルタマネージャ１０８はアクセスコントロール機能１１５を呼び出す。
　アクセスコントロール機能１１５は、ＡＣＬファイル１１７に従って、ファイルＩ／Ｏ要求パケット１１０やネットワークＩ／Ｏ要求パケット１１１の許可、拒否、変更などのアクセス制御を行う。
　上記により、ランチャ１１２を起源とする全ての子プロセスや孫プロセスに一括してＡＣＬファイル１１７のアクセスコントロールを適用することができる。
　図２は、ユーザ端末１０１の物理的な構成を示すブロック図である。
　本実施形態のユーザ端末１０１は、プロセッサ（ＣＰＵ）１、メモリ２、補助記憶装置３、通信インターフェース４、入力インターフェース５及び出力インターフェース８を有する計算機によって構成される。
　プロセッサ１は、メモリ２に格納されたプログラムを実行する。メモリ２は、不揮発性の記憶素子であるＲＯＭ及び揮発性の記憶素子であるＲＡＭを含む。ＲＯＭは、不変のプログラム（例えば、ＢＩＯＳ）などを格納する。ＲＡＭは、ＤＲＡＭ（Dynamic Random Access Memory）のような高速かつ揮発性の記憶素子であり、プロセッサ１が実行するプログラム及びプログラムの実行時に使用されるデータを一時的に格納する。
　補助記憶装置３は、例えば、磁気記憶装置（ＨＤＤ）、フラッシュメモリ（ＳＳＤ）等の大容量かつ不揮発性の記憶装置であり、記憶装置１０２を構成する。また、補助記憶装置３は、プロセッサ１が実行するプログラムを格納する。すなわち、プログラムは、補助記憶装置３から読み出されて、メモリ２にロードされて、プロセッサ１によって実行される。
　通信インターフェース４は、所定のプロトコルに従って、他の装置（ファイルサーバやゲートウェイなど）との通信を制御するネットワークインターフェース装置である。
　入力インターフェース５は、キーボード６やマウス７などが接続され、オペレータからの入力を受けるインターフェースである。出力インターフェース８は、ディスプレイ装置９やプリンタなどが接続され、プログラムの実行結果をオペレータが視認可能な形式で出力するインターフェースである。
　プロセッサ１が実行するプログラムは、リムーバブルメディア（ＣＤ－ＲＯＭ、フラッシュメモリなど）又はネットワークを介してユーザ端末１０１に提供され、非一時的記憶媒体である不揮発性の補助記憶装置３に格納される。このため、ユーザ端末１０１は、リムーバブルメディアからデータを読み込むインターフェースを有するとよい。
　ユーザ端末１０１は、物理的に一つの計算機上で、又は、論理的又は物理的に構成された複数の計算機上で構成される計算機システムであり、同一の計算機上で別個のスレッドで動作してもよく、複数の物理的計算機資源上に構築された仮想計算機上で動作してもよい。
　図３は、ＡＣＬファイル１１７の構成例を説明する図である。
　ＡＣＬファイル１１７は、ネットワークアクセスのルールを定義するネットワークＡＣＬ２０１と、ファイルアクセスのルールを定義するファイルＡＣＬ２０２とを含む。
　ネットワークＡＣＬ２０１は、ルールを一意に識別するためのルール番号２０３と、通信元２０４、通信先２０５、アクセスコントロールの定義２０６を保持する。
　通信元２０４には、アクセスコントロールを適用する通信元のネットワーク情報をＩＰアドレス及びネットマスク、自身を示す「ＬＯＣＡＬ」、または全てを示す「ＡＮＹ」などを指定する。通信先２０５には、アクセスコントロールを適用する通信先のネットワーク情報をＩＰアドレス及びネットマスク、自身を示す「ＬＯＣＡＬ」、または全てを示す「ＡＮＹ」などを指定する。定義２０６には、ルールに該当する場合に通信を許可するか拒否するかを指定する。また、定義２０６には、ルールに該当する場合に通信先を別のアドレスへ変更することも指定できる。
　ファイルＡＣＬ２０２は、ルールを一意に識別するためのルール番号２０７と、アクセス先のファイルまたはディレクトリを示すアクセスパス２０８、アクセスコントロールの定義２０９を保持する。
　アクセスパス２０８には、アクセスコントロールが適用されるファイルパス、またはディレクトリパスを文字列で指定する。定義２０９には、ルールに該当する場合にファイルまたはディレクトリへのアクセスを許可するか拒否するかを指定する。また、定義２０９には、ルールに該当する場合にアクセスパスを別のパスへ変更することも指定できる。
　図４は、Ｉ／Ｏ検出機能１１３をフィルタマネージャ１０８に登録する処理のフローチャートである。
　フィルタマネージャ１０８は、オペレーティングシステム１０７によって提供される機能である。オペレータは、オペレーティングシステム１０７に命令することによって、オペレーティングシステム１０７が処理するファイルＩ／Ｏ要求パケット１１０やネットワークＩ／Ｏ要求パケット１１１を、フィルタマネージャ１０８を通じてＩ／Ｏ検出機能１１３へ渡すことができる。
　まず、フィルタマネージャ１０８は、オペレータの指示に従って、ファイルＩ／Ｏ要求パケット１１０をＩ／Ｏ検出機能１１３に転送するように設定する（ステップ３０１）。さらに、フィルタマネージャ１０８は、オペレータの指示に従って、ネットワークＩ／Ｏ要求パケット１１１をＩ／Ｏ検出機能１１３に転送するように設定する（ステップ３０２）。
　図５は、プロセス探索機能１１４のフローチャートである。
　プロセス探索機能１１４は、ファイルＩ／Ｏ要求パケット１１０やネットワークＩ／Ｏ要求パケット１１１を生成したプロセスの親プロセスを辿る処理を実行する。
　プロセス探索機能１１４は、フィルタマネージャ１０８からＩ／Ｏ検出機能１１３を通じてファイルＩ／Ｏ要求パケット１１０やネットワークＩ／Ｏ要求パケット１１１を受け取ると、親プロセス探索処理を開始する。
　まず、プロセス探索機能１１４は、ファイルＩ／Ｏ要求パケット１１０やネットワークＩ／Ｏ要求パケット１１１から呼び出し元のプロセス１０９のプロセスＩＤを取得し、ＣｈｅｃｋＩＤとする（ステップ４０１）。
　次に、ステップ４０１で取得したＣｈｅｃｋＩＤがランチャ１１２のプロセスＩＤと一致するか判定する（ステップ４０２）。
　ステップ４０２でＣｈｅｃｋＩＤがランチャ１１２のプロセスＩＤと一致すると判定された場合（ステップ４０３でＹＥＳ）、プロセス１０９はランチャ１１２から起動されている旨を呼出元に返信して処理を終了する（ステップ４０７）。
　一方、ＣｈｅｃｋＩＤがランチャ１１２のプロセスＩＤと一致しないと判定された場合（ステップ４０３でＮＯ）、ＣｈｅｃｋＩＤの親プロセスのプロセスＩＤを取得する（ステップ４０４）。
　親プロセスのプロセスＩＤを取得できなかった場合（ステップ４０５でＮＯ）、プロセス１０９はランチャ１１２から起動されていない旨を呼出元に返信して（ステップ４０８）処理を終了する。
　一方、親プロセスのプロセスＩＤを取得できた場合（ステップ４０５でＹＥＳ）、ステップ４０４で取得したプロセスＩＤを新しくＣｈｅｃｋＩＤとし（ステップ４０６）、ステップ４０２に戻り、さらに親のプロセスを探索する。
　図６は、アクセスコントロール機能１１５のフローチャートである。
　アクセスコントロール機能１１５は、ネットワークやファイルのアクセスコントロールを実行する。
　ステップ４０８の結果、呼び出し元のプロセス１０９がランチャ１１２から起動されたプロセスであった場合、ファイルＩ／Ｏ要求パケット１１０やネットワークＩ／Ｏ要求パケット１１１に対してアクセスコントロールを処理するため、Ｉ／Ｏ要求パケットがファイルＩ／ＯかネットワークＩ／Ｏかを判定する（ステップ５０１）。
　Ｉ／Ｏ要求パケットがファイルＩ／Ｏ要求パケット１１０である場合、ＡＣＬファイル１１７のファイルＡＣＬ２０２からルールを一つ取得する（ステップ５０２）。
　一方、Ｉ／Ｏ要求パケットがネットワークＩ／Ｏ要求パケット１１１である場合、ＡＣＬファイル１１７のネットワークＡＣＬ２０１からルールを一つ取得する（ステップ５０３）。
　ステップ５０２及びステップ５０３にてルールを取得できなかった場合（ステップ５０４でＮＯ）、アクセスコントロール処理を終了する。
　一方、ステップ５０２及びステップ５０３にてルールを取得できた場合（ステップ５０４でＹＥＳ）、Ｉ／Ｏ要求パケットの内容（通信元、通信先、アクセスパスなど）と、ステップ５０２及びステップ５０３で取得したルール（通信元２０４、通信先２０５、アクセスパス２０８など）が一致するかを判定する（ステップ５０５）。
　その結果、Ｉ／Ｏ要求パケットの内容とルールとが一致する場合（ステップ５０６でＹＥＳ）、ＡＣＬファイル１１７の定義２０６、２０９に従って、Ｉ／Ｏ要求パケットを更新して（ステップ５０７）、アクセスコントロール処理を終了する。
　一方、前記Ｉ／Ｏ要求パケットの内容とルールが一致しない場合（ステップ５０６でＮＯ）、ＡＣＬファイル１１７から次のルールを一つ取得して（ステップ５０８）、ステップ５０４に戻り、処理を続ける。
　前述した方法によって、プロセスの親子関係を利用し、ランチャ１１２から起動した全てのプロセス１０９に対して、ＡＣＬファイル１１７で設定したアクセスコントロールを適用することができる。
　なお、複数のルールが該当する場合、優先して適用する順にＡＣＬファイル１１７にルールを登録するとよい。また、ＡＣＬファイル１１７に優先順位を定義しておき、Ｉ／Ｏ要求パケットに該当するルールを全て選択し、定義された優先順位に従って、Ｉ／Ｏ要求パケットにアクセスコントロール定義を適用してもよい。
　以上に説明したように、本発明の実施例によると、プロセスを起動するプロセスであるランチャ１１２と、プロセスが発行するＩ／Ｏ要求の制御内容が定義されたＡＣＬファイル２０２と、起動されたプロセスの親を辿り、ランチャ１１２を起源として起動されたプロセスかを判定するプロセス探索機能１１４と、ＡＣＬファイル２０２に定義された内容に従って、ランチャ１１２を起源として起動されたプロセスが発行するＩ／Ｏ要求を制御するアクセスコントロール機能１１５とを有するので、利用者はプロセス毎やファイル毎にアクセスコントロールを設定しなくても、フィルタマネージャ１０８にアクセスコントロールを設定して、セキュリティを適用したいプロセスをランチャ１１２から起動することによって、ネットワークやファイルシステムへのアクセスを一意に制御することができる。
　また、プロセス探索機能１１４は、Ｉ／Ｏ要求を発行したプロセスの識別情報を取得し、プロセスを起動したプロセスの識別情報がランチャ１１２の識別情報と同一であれば、Ｉ／Ｏ要求を発行したプロセスがランチャ１１２を起源として起動されたプロセスであると判定し、プロセスの識別情報が前記ランチャ１１２の識別情報と異なれば、親プロセスを辿って、親プロセスの識別情報がランチャ１１２の識別情報と同一かを判定するので、プロセスを起動した起源のプロセスを確実に判定できる。
　また、アクセスコントロール機能１１５は、Ｉ／Ｏ要求の種別を判定し、Ｉ／Ｏ要求がファイルＩ／Ｏ要求である場合、ファイルＡＣＬ２０２を参照し、Ｉ／Ｏ要求のアクセス先によってＩ／Ｏの制御内容を決定し、Ｉ／Ｏ要求がネットワークＩ／Ｏ要求である場合、ネットワークＡＣＬ２０１を参照し、Ｉ／Ｏ要求の通信元及び通信先によってＩ／Ｏの制御内容を決定するので、Ｉ／Ｏの対象によって異なるルールを確実に適用できる。
　なお、本発明は前述した実施例に限定されるものではなく、添付した特許請求の範囲の趣旨内における様々な変形例及び同等の構成が含まれる。例えば、前述した実施例は本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに本発明は限定されない。また、ある実施例の構成の一部を他の実施例の構成に置き換えてもよい。また、ある実施例の構成に他の実施例の構成を加えてもよい。また、各実施例の構成の一部について、他の構成の追加・削除・置換をしてもよい。
　また、前述した各構成、機能、処理部、処理手段等は、それらの一部又は全部を、例えば集積回路で設計する等により、ハードウェアで実現してもよく、プロセッサがそれぞれの機能を実現するプログラムを解釈し実行することにより、ソフトウェアで実現してもよい。
　各機能を実現するプログラム、テーブル、ファイル等の情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）等の記憶装置、又は、ＩＣカード、ＳＤカード、ＤＶＤ等の記録媒体に格納することができる。
　また、制御線や情報線は説明上必要と考えられるものを示しており、実装上必要な全ての制御線や情報線を示しているとは限らない。実際には、ほとんど全ての構成が相互に接続されていると考えてよい。

Claims (6)

  1. 　プロセスを実行するプロセッサと、前記プロセスを実行するためのプログラムを格納するメモリとを有する計算機によって構成されるアクセス制御システムであって、
    　前記プロセスを起動するプロセスであるランチャと、
    　前記プロセスが発行するＩ／Ｏ要求の制御内容が定義されたＡＣＬファイルと、
    　前記プロセスの親を辿り、前記ランチャを起源として起動されたプロセスかを判定するプロセス探索部と、
    　前記ＡＣＬファイルに定義された内容に従って、前記ランチャを起源として起動されたプロセスが発行するＩ／Ｏ要求を制御するアクセス制御部とを有することを特徴とするアクセス制御システム。
  2. 　請求項１に記載のアクセス制御システムであって、
    　前記プロセス探索部は、
    　前記Ｉ／Ｏ要求を発行したプロセスの識別情報を取得し、
    　前記プロセスを起動したプロセスの識別情報が前記ランチャの識別情報と同一であれば、前記Ｉ／Ｏ要求を発行したプロセスが前記ランチャを起源として起動されたプロセスであると判定し、
    　前記プロセスの識別情報が前記ランチャの識別情報と異なれば、当該プロセスの親のプロセスを辿って、さらに、前記親のプロセスの識別情報が前記ランチャの識別情報と同一かを判定することを特徴とするアクセス制御システム。
  3. 　請求項１に記載のアクセス制御システムであって、
    　前記アクセス制御部は、
    　前記Ｉ／Ｏ要求の種別を判定し、
    　前記Ｉ／Ｏ要求がファイルＩ／Ｏ要求である場合、前記ＡＣＬファイルを参照し、前記Ｉ／Ｏ要求のアクセス先によってＩ／Ｏの制御内容を決定し、
    　前記Ｉ／Ｏ要求がネットワークＩ／Ｏ要求である場合、前記ＡＣＬファイルを参照し、前記Ｉ／Ｏ要求の通信元及び通信先によってＩ／Ｏの制御内容を決定することを特徴とするアクセス制御システム。
  4. 　プロセスを実行するプロセッサと、前記プロセスを実行するためのプログラムを格納するメモリとを有する計算機におけるアクセス制御方法であって、
    　前記計算機は、前記プロセッサがプロセスを起動するプロセスであるランチャと、前記プロセッサが前記プロセスの親を辿るプロセス探索部と、前記プロセッサがＩ／Ｏ要求を制御するアクセス制御部とを有し、
    　前記計算機は、前記Ｉ／Ｏ要求の制御内容が定義されたＡＣＬファイルを格納し、
    　前記方法は、
    　前記プロセス探索部が、前記プロセスの親を辿り、前記ランチャを起源として起動されたプロセスかを判定し、
    　前記アクセス制御部が、前記ＡＣＬファイルに定義された内容に従って、前記ランチャを起源として起動されたプロセスが発行するＩ／Ｏ要求を制御することを特徴とするアクセス制御方法。
  5. 　請求項４に記載のアクセス制御方法であって、
    　前記プロセス探索部は、
    　前記Ｉ／Ｏ要求を発行したプロセスの識別情報を取得し、
    　前記プロセスを起動したプロセスの識別情報が前記ランチャの識別情報と同一であれば、前記Ｉ／Ｏ要求を発行したプロセスが前記ランチャを起源として起動されたプロセスであると判定し、
    　前記プロセスの識別情報が前記ランチャの識別情報と異なれば、前記Ｉ／Ｏ要求を発行したプロセスの親のプロセスを辿って、さらに、前記親のプロセスの識別情報が前記ランチャの識別情報と同一かを判定することを特徴とするアクセス制御方法。
  6. 　請求項４に記載のアクセス制御方法であって、
    　前記アクセス制御部は、
    　前記Ｉ／Ｏ要求の種別を判定し、
    　前記Ｉ／Ｏ要求がファイルＩ／Ｏ要求である場合、前記ＡＣＬファイルを参照し、前記Ｉ／Ｏ要求のアクセス先によってＩ／Ｏの制御内容を決定し、
    　前記Ｉ／Ｏ要求がネットワークＩ／Ｏ要求である場合、前記ＡＣＬファイルを参照し、前記Ｉ／Ｏ要求の通信元及び通信先によってＩ／Ｏの制御内容を決定することを特徴とするアクセス制御方法。
PCT/JP2016/050210 2015-03-25 2016-01-06 アクセス制御システム及びアクセス制御方法 WO2016152181A1 (ja)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201680002351.3A CN106796644B (zh) 2015-03-25 2016-01-06 访问控制***及访问控制方法
US15/505,949 US10318745B2 (en) 2015-03-25 2016-01-06 Access control system and access control method
EP16768084.2A EP3276524B1 (en) 2015-03-25 2016-01-06 Access control system and access control method
CA2959574A CA2959574C (en) 2015-03-25 2016-01-06 Access control system and access control method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-062999 2015-03-25
JP2015062999A JP6529304B2 (ja) 2015-03-25 2015-03-25 アクセス制御システム及びアクセス制御方法

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US15/505,949 Continuation US10318745B2 (en) 2015-03-25 2016-01-06 Access control system and access control method

Publications (1)

Publication Number Publication Date
WO2016152181A1 true WO2016152181A1 (ja) 2016-09-29

Family

ID=56977084

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/050210 WO2016152181A1 (ja) 2015-03-25 2016-01-06 アクセス制御システム及びアクセス制御方法

Country Status (6)

Country Link
US (1) US10318745B2 (ja)
EP (1) EP3276524B1 (ja)
JP (1) JP6529304B2 (ja)
CN (1) CN106796644B (ja)
CA (1) CA2959574C (ja)
WO (1) WO2016152181A1 (ja)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10291654B2 (en) * 2015-09-30 2019-05-14 Symantec Corporation Automated construction of network whitelists using host-based security controls
JP7040467B2 (ja) * 2019-01-11 2022-03-23 日本電信電話株式会社 更新装置および更新方法
CN110990874A (zh) * 2019-12-04 2020-04-10 厦门安胜网络科技有限公司 一种用于Android文件的安全防护方法和***

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007041631A (ja) * 2005-07-29 2007-02-15 Fujitsu Ltd 情報処理装置、アプリケーション起動制御プログラムおよびアプリケーション起動制御方法
WO2009110275A1 (ja) * 2008-03-03 2009-09-11 日本電気株式会社 機密情報漏洩防止システム及び機密情報漏洩防止方法

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3228182B2 (ja) * 1997-05-29 2001-11-12 株式会社日立製作所 記憶システム及び記憶システムへのアクセス方法
US6343324B1 (en) * 1999-09-13 2002-01-29 International Business Machines Corporation Method and system for controlling access share storage devices in a network environment by configuring host-to-volume mapping data structures in the controller memory for granting and denying access to the devices
JP4719957B2 (ja) * 2000-05-24 2011-07-06 株式会社日立製作所 記憶制御装置及び記憶システム並びに記憶システムのセキュリティ設定方法
JP2003208269A (ja) * 2002-01-10 2003-07-25 Hitachi Ltd セキュリティ機構を備えた二次記憶装置およびそのアクセス制御方法
US7143288B2 (en) * 2002-10-16 2006-11-28 Vormetric, Inc. Secure file system server architecture and methods
FI20030104A0 (fi) * 2003-01-23 2003-01-23 Stonesoft Oyj Ilkivaltaisten yhteyksien ilmaisu ja estäminen
US7814554B1 (en) * 2003-11-06 2010-10-12 Gary Dean Ragner Dynamic associative storage security for long-term memory storage devices
JP4244319B2 (ja) * 2003-12-17 2009-03-25 株式会社日立製作所 計算機システム管理プログラム，記録媒体，ならびに計算機システム管理システムおよびそのための管理装置および記憶装置
JP4093482B2 (ja) * 2003-12-24 2008-06-04 インターナショナル・ビジネス・マシーンズ・コーポレーション アクセス制御システム、アクセス制御装置、アクセス制御方法、プログラム、及び記録媒体
JP2007140798A (ja) 2005-11-16 2007-06-07 Eugrid Kk コンピュータの情報漏洩防止システム
CN101453327B (zh) * 2007-11-29 2011-02-16 北京鼎信高科信息技术有限公司 一种信息防泄密***
CN102135892B (zh) * 2010-01-22 2015-03-04 广州华多网络科技有限公司 应用程序运行方法、装置及***
WO2013126615A1 (en) * 2012-02-21 2013-08-29 Pulselocker, Inc. Method and apparatus for limiting access to data by process or computer function with stateless encryption

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007041631A (ja) * 2005-07-29 2007-02-15 Fujitsu Ltd 情報処理装置、アプリケーション起動制御プログラムおよびアプリケーション起動制御方法
WO2009110275A1 (ja) * 2008-03-03 2009-09-11 日本電気株式会社 機密情報漏洩防止システム及び機密情報漏洩防止方法

Also Published As

Publication number Publication date
CN106796644B (zh) 2020-08-18
CA2959574A1 (en) 2016-09-29
EP3276524B1 (en) 2020-08-26
JP6529304B2 (ja) 2019-06-12
US20180225465A1 (en) 2018-08-09
JP2016184214A (ja) 2016-10-20
US10318745B2 (en) 2019-06-11
EP3276524A4 (en) 2018-12-26
CA2959574C (en) 2019-05-14
EP3276524A1 (en) 2018-01-31
CN106796644A (zh) 2017-05-31

Similar Documents

Publication Publication Date Title
US10242186B2 (en) System and method for detecting malicious code in address space of a process
KR101201118B1 (ko) 바이러스 방지 소프트웨어 어플리케이션들의 지식 베이스를모으는 시스템 및 방법
US20170091482A1 (en) Methods for data loss prevention from malicious applications and targeted persistent threats
TWI659328B (zh) Computer system and file access control method
US10528723B2 (en) Systems and methods for generating policies for an application using a virtualized environment
JP4532237B2 (ja) 計算機および計算機におけるアクセス制御方法
JP6712922B2 (ja) データ漏洩防止システム及びデータ漏洩防止方法
WO2016152181A1 (ja) アクセス制御システム及びアクセス制御方法
JP4728871B2 (ja) 機器検疫方法、検疫機器、集約クライアント管理機器、集約クライアント管理プログラム、ネットワーク接続機器およびユーザ端末
JP6829615B2 (ja) 送信パケットを監視する装置
JP6253333B2 (ja) 情報処理装置、情報処理システムおよび情報処理方法
KR100985073B1 (ko) 네트워크 공유폴더 접근 제어 장치 및 방법
US8640244B2 (en) Declared origin policy
RU2592383C1 (ru) Способ формирования антивирусной записи при обнаружении вредоносного кода в оперативной памяти
CN112580023B (zh) 影子栈管理方法及装置、介质、设备
JP2001350663A (ja) 情報処理装置
US20230350997A1 (en) Secure offloaded data transfer
US8332940B2 (en) Techniques for securing a computing environment
JP2005157682A (ja) ネットワーク防御システムおよび共有ストレージ装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16768084

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15505949

Country of ref document: US

ENP Entry into the national phase

Ref document number: 2959574

Country of ref document: CA

NENP Non-entry into the national phase

Ref country code: DE