WO2021014539A1 - セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体 - Google Patents

セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体 Download PDF

Info

Publication number
WO2021014539A1
WO2021014539A1 PCT/JP2019/028680 JP2019028680W WO2021014539A1 WO 2021014539 A1 WO2021014539 A1 WO 2021014539A1 JP 2019028680 W JP2019028680 W JP 2019028680W WO 2021014539 A1 WO2021014539 A1 WO 2021014539A1
Authority
WO
WIPO (PCT)
Prior art keywords
inspection
processing means
normality
inspection target
security management
Prior art date
Application number
PCT/JP2019/028680
Other languages
English (en)
French (fr)
Inventor
佑亮 森田
貴之 佐々木
俊輝 小林
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2021534431A priority Critical patent/JP7290166B2/ja
Priority to US17/626,975 priority patent/US20220261476A1/en
Priority to PCT/JP2019/028680 priority patent/WO2021014539A1/ja
Publication of WO2021014539A1 publication Critical patent/WO2021014539A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • This disclosure relates to security management devices, security management methods, and non-temporary computer-readable media.
  • Patent Document 1 A technique for verifying the system integrity of an electronic device has been proposed (for example, Patent Document 1).
  • the secure environment verification module (security function) verifies the integrity of the normal environment scan module (security function), and then the normal environment kernel or the normal environment kernel or the scan module is subjected to the security function.
  • the application etc. that is, the execution environment
  • the application etc. that is, the execution environment
  • the security function of the secure environment is inspected for the normality of the security function of the normal environment before the security function of the normal environment inspects the execution environment.
  • the security function of the secure environment is usually inspecting the security function of the normal environment, or the security function of the normal environment is inspecting the execution environment. It does not consider that the security functions of the environment will be attacked. For this reason, the security function of the normal environment operates in an abnormal state, and the inspection result of the execution environment obtained is treated as normal, which may reduce the security.
  • the purpose of this disclosure is to provide security management devices, security management methods, and non-temporary computer-readable media that can improve security.
  • the security management device is a security management device that manages the security of a processing device having a normal environment and a secure environment.
  • a first processing means operating in the normal environment for acquiring information about the inspection target including a program executed in the execution environment included in the normal environment, which is an inspection target for normality.
  • a second processing means operating in the secure environment, which inspects the normality of the first processing means after the inspection regarding the normality of the inspection target based on the acquired information about the inspection target is performed, To be equipped.
  • the security management method is a security management method executed by a security management device that manages the security of a processing device having a normal environment and a secure environment.
  • the first processing means of the security management device operating in the normal environment acquires information on the inspection target including the program executed in the execution environment included in the normal environment, which is the inspection target related to normality.
  • the second processing means of the security management device operating in the secure environment After the second processing means of the security management device operating in the secure environment has been inspected for the normality of the inspection target based on the acquired information on the inspection target, the first processing means is normal. Inspect sex.
  • the non-temporary computer-readable medium is a security management device that manages the security of a processing device having a normal environment and a secure environment.
  • the first processing means of the security management device operating in the normal environment acquires information on the inspection target including the program executed in the execution environment included in the normal environment, which is the inspection target related to normality.
  • the second processing means of the security management device operating in the secure environment After the second processing means of the security management device operating in the secure environment has been inspected for the normality of the inspection target based on the acquired information on the inspection target, the first processing means is normal.
  • Inspect sex The program that executes the process is stored.
  • This disclosure makes it possible to provide security management devices, security management methods, and non-temporary computer-readable media that can improve security.
  • FIG. 1 is a block diagram showing an example of an electronic device including a processing device according to the first embodiment.
  • the electronic device 1 includes a processing device (processor) 10, a memory 11, an input / output interface 12, and a communication device 13.
  • FIG. 2 is a block diagram showing an example of a processing device (processor) according to the first embodiment.
  • the processing unit (processor) 10 has a virtual processor (normal environment) 10A and a virtual processor (secure environment) 10B.
  • the normal environment 10A corresponds to REE (Rich Execution Environment)
  • the secure environment 10B corresponds to TEE (Trusted Execution Environment).
  • TEE is provided as Trust Zone in the processor architecture of ARM (Advanced RISC Machines), and is provided as SGX (Software Guard Extensions) in the processor architecture of Intel.
  • the security management device 20 manages the security of the processing device 10 having the normal environment 10A and the secure environment 10B.
  • the security management device 20 has a processing unit (security function) 21 and a processing unit (security function) 22.
  • the processing unit 21 operates in the normal environment 10A
  • the processing unit 22 operates in the secure environment 10B.
  • the processing unit operating in the normal environment 10A may be referred to as a “first processing unit”
  • the processing unit operating in the secure environment 10B may be referred to as a “second processing unit”.
  • the processing unit 21 acquires information about the inspection target from the "inspection target (not shown)".
  • the “inspection target” is an inspection target related to normality, and includes a program (OS (Operating System) or the like) executed in the “execution environment” included in the normal environment 10A.
  • the processing unit 21 may acquire the information regarding the inspection target not from the inspection target but through the API of the OS. Further, the processing unit 21 may access the memory 11 and acquire information about the inspection target from the memory 11.
  • the information regarding the inspection target is, for example, an execution state of a program execution code stored in a memory or storage, a program setting file, an internal variable of the program stored in the memory, or the like.
  • the processing unit 22 inspects the normality of the processing unit 21 after the inspection regarding the normality of the inspection target based on the information regarding the inspection target acquired by the processing unit 21 is performed.
  • the security management device 20 includes a processing unit (security function) 21 that operates in the normal environment 10A and a processing unit (security function) 22 that operates in the secure environment 10B. Have.
  • the processing unit 21 acquires information regarding the “inspection target (not shown)”.
  • the “inspection target” is an inspection target related to normality, and includes a program (OS (Operating System) or the like) executed in the execution environment included in the normal environment 10A.
  • the processing unit 22 inspects the normality of the processing unit 21 after the inspection regarding the normality of the inspection target based on the information regarding the inspection target acquired by the processing unit 21 is performed.
  • the normality of the inspection target is inspected after the normality of the inspection target is inspected based on the information about the inspection target acquired by the processing unit 21, so that the inspection target is inspected. It is possible to obtain an inspection result indicating the normality or abnormality of the processing unit 21 at the time when the inspection regarding the normality of the above is performed.
  • the inspection result indicating the normality or abnormality of the processing unit 21 can be a determination index for the reliability (effectiveness) of the inspection result regarding the normality of the inspection target. Therefore, for example, when an inspection result indicating an abnormality of the processing unit 21 is obtained, the inspection result regarding the normality of the inspection target can be treated as an unreliable inspection result, so that security can be improved. Can be done.
  • the inspection of the normality of the processing unit 21 is performed not only after the inspection of the normality of the inspection target based on the information about the inspection target acquired by the processing unit 21 is performed, but also in a series of procedures. It may be done both before and after the test for normality. As a result, security can be further improved.
  • the inspection regarding the normality of the processing unit 21 performed before the above-mentioned inspection regarding the normality of the inspection target may be simply referred to as “pre-inspection”.
  • the inspection regarding the normality of the processing unit 21 performed after the above-mentioned inspection regarding the normality of the inspection target may be simply referred to as "post-inspection”.
  • processing unit 22 may execute the above-mentioned "pre-inspection” by setting that the current timing is a periodic inspection execution timing as an "execution trigger”.
  • the second embodiment relates to a specific example of an inspection regarding the normality of the first processing unit.
  • FIG. 3 is a block diagram showing an example of the security management device according to the second embodiment.
  • the security management device 20 has a processing unit 21 and a processing unit 22.
  • the processing unit 22 includes a virtual address acquisition unit 22A, an execution code acquisition unit 22B, a hash value calculation unit 22C, and an inspection processing execution unit 22D.
  • the virtual address acquisition unit 22A indicates the memory area in which the operation program of the processing unit 21 is stored in the memory 11, and indicates the above-mentioned memory area corresponding to the first virtual address used by the processing unit 21 and the processing unit. Acquires the second virtual address used by 21. For example, the processing unit 21 sends the physical address obtained by converting the first virtual address to the processing unit 22. Then, the virtual address acquisition unit 22A acquires the second virtual address by converting (mapping) the physical address sent from the processing unit 21 into the second virtual address. As a result, even if the address spaces of the processing unit 21 and the processing unit 22 are different, the execution code acquisition unit 22B can reliably access the above memory area.
  • the conversion from the physical address to the second virtual address may be omitted in the case of an OS or processor that can directly access the memory using the physical address.
  • the execution code acquisition unit 22B accesses the memory area (that is, scans the memory area) using the second virtual address acquired by the virtual address acquisition unit 22A, and operates the operation program of the processing unit 21. Get the executable code of.
  • the hash value calculation unit 22C calculates the hash value of the execution code based on the execution code acquired by the execution code acquisition unit 22B.
  • the algorithm used for calculating this hash value is not particularly limited, and may be, for example, SHA1 or SHA256.
  • the inspection processing execution unit 22D holds the correct hash value of the execution code of the operation program of the processing unit 21. This correct hash value may be calculated at the time of development of the processing device 10 and held in the inspection processing execution unit 22D, or may be calculated by the hash value calculation unit 22C at the start of the processing device 10 and held in the inspection processing execution unit 22D. May be held in. Since the inspection processing execution unit 22D operating in the secure environment 10B holds the correct hash value in this way, it is possible to prevent the correct hash value from being tampered with.
  • the inspection processing execution unit 22D inspects the normality of the processing unit 21 based on the hash value calculated by the hash value calculation unit 22C and the correct hash value. For example, when the hash value calculated by the hash value calculation unit 22C and the correct hash value match, the inspection processing execution unit 22D determines that the processing unit 21 is normal (not tampered with) and does not match. In this case, it is determined that the processing unit 21 is abnormal (tampered with). By using the hash value in this way, the normality of the processing unit 21 can be inspected with high accuracy.
  • the processing unit 22 discards the result of the inspection regarding the normality of the inspection target regardless of the content of the inspection result. You may.
  • a third embodiment relates to a variation of the above "execution trigger". Since the configuration of the electronic device in the third embodiment is the same as the configuration of the electronic device 1 in the first embodiment and the second embodiment, FIG. 1 is referred to.
  • FIG. 4 is a block diagram showing an example of a processing device including the security management device according to the third embodiment.
  • the security management device 30 has a processing unit (first processing unit) 31 and a processing unit (second processing unit) 32.
  • the processing unit 31 and the processing unit 32 execute the same processing as the processing unit 21 and the processing unit 22 of the first embodiment and the second embodiment.
  • the processing unit 31 monitors the inspection target and detects a specific event of the inspection target, the processing unit 31 sends an "inspection request" to the processing unit 32.
  • the specific event may be, for example, a process start, a file open, or the like.
  • the processing unit 31 may send an "inspection request" to the processing unit 32 when the current timing is a periodic inspection request timing.
  • the processing unit 31 when the processing unit 31 receives the "inspection request for the inspection target" from the processing unit 32, the processing unit 31 sends an "information transmission request" to the inspection target. In response to this information transmission request, the inspection target sends information about the inspection target to the processing unit 31. Further, the processing unit 31 may acquire information about the inspection target from the API of the OS or the memory instead of from the inspection target.
  • the processing unit 31 acquires the information regarding the inspection target sent from the inspection target, the processing unit 31 inspects the normality of the inspection target based on the information and sends the inspection result to the processing unit 32.
  • the processing unit 32 executes the "pre-inspection" of the processing unit 31 by receiving the "inspection request” from the processing unit 31 as an execution trigger.
  • the processing unit 32 sends an "inspection request for the inspection target" to the processing unit 31.
  • the processing unit 32 may execute, for example, a control for limiting the processing operation in the normal environment 10A.
  • processing unit 32 executes the "post-inspection" for the processing unit 31.
  • the processing unit 32 executes the processing according to the result of the "post-inspection" of the processing unit 31. For example, when the result of the "post-inspection" for the processing unit 31 indicates an abnormality in the processing unit 31, the processing unit 32 determines the inspection result for the inspection target received from the processing unit 31 regardless of the content of the inspection result. It may be discarded without. Then, the processing unit 32 may execute control for limiting the processing operation in the normal environment 10A, for example.
  • FIG. 5 is a diagram showing an example of the processing operation of the security management device according to the third embodiment.
  • FIG. 5 shows a series of procedures, and the series of procedures will be repeatedly executed.
  • the processing unit (security function) 31 sends the address information indicating the memory area in the memory 11 in which the operation program of the processing unit 31 is stored to the processing unit (security function) 32 (step S101).
  • the sent address information is, for example, the physical address described in the second embodiment.
  • the processing unit 31 constantly monitors the execution environment (inspection target) of a program such as an OS (step S102).
  • the processing unit 31 When the processing unit 31 detects a specific event to be inspected, it sends an "inspection request" to the processing unit 32 (step S103).
  • the processing unit 32 Upon receiving the "inspection request" from the processing unit 31, the processing unit 32 executes an inspection regarding the normality of the processing unit 31 (step S104).
  • the processing unit 32 sends an "inspection request for the inspection target" to the processing unit 31 (step S105).
  • the processing unit 31 When the processing unit 31 receives the "inspection request for the inspection target" from the processing unit 32, the processing unit 31 sends an "information transmission request" to the inspection target (step S106). Further, the processing unit 31 may acquire information about the inspection target from the API of the OS or the memory instead of from the inspection target.
  • the inspection target When the inspection target receives the "information transmission request" from the processing unit 31, the inspection target sends information about the inspection target to the processing unit 31 (step S107).
  • the processing unit 31 calls the API of the OS in step 106, the OS sends information about the inspection target to the processing unit 31 in step S107.
  • the processing unit 31 When the processing unit 31 acquires the information regarding the inspection target sent from the inspection target, the processing unit 31 inspects the normality of the inspection target based on the information (step S108), and sends the inspection result to the processing unit 32 (step S108). Step S109).
  • the processing unit 32 executes the inspection regarding the normality of the processing unit 31 again (step S110).
  • the processing unit 32 executes processing according to the result of the inspection regarding the normality of the processing unit 31 performed in step S110 (step S111).
  • the processing unit 31 sends the address information to the processing unit 32 only once before the first inspection by the processing unit 32 regarding the normality of the processing unit 31.
  • the processing unit 31 may send the address information to the processing unit 32 before each inspection regarding the normality of the processing unit 31 by the processing unit 32.
  • the processing unit 31 may send the address information every time the inspection is performed, and when the memory area does not change, the first inspection The address information need only be sent once before.
  • a fourth embodiment relates to a variation of a trigger for which an "inspection request" is sent. Since the configuration of the electronic device in the fourth embodiment is the same as the configuration of the electronic device 1 in the first embodiment and the second embodiment, FIG. 1 is referred to. Further, since the configuration of the security management device in the fourth embodiment is the same as that of the security management device 30 in the third embodiment, it will be described with reference to FIG. In the following, the points that the fourth embodiment differs from the third embodiment will be mainly described.
  • the processing unit 31 when the processing unit 31 receives the "execution permission" from the processing unit 32, the processing unit 31 sends the received execution permission to the execution environment (inspection target).
  • the processing unit 32 executes processing according to the result of the "post-inspection” of the processing unit 31. For example, the processing unit 32 sends an "execution permission" to the processing unit 31 when the "permission condition" is satisfied.
  • the "permission condition” is, for example, that the result of the "post-inspection” for the processing unit 31 indicates the normality of the processing unit 31, and the result of the inspection sent from the processing unit 31 indicates the normality of the inspection target. is there.
  • FIG. 6 is a diagram showing an example of the processing operation of the security management device according to the fourth embodiment.
  • FIG. 6 shows a series of procedures, and the series of procedures will be repeatedly executed.
  • the inspection target sends an "execution permission request" for the specific function to the processing unit 31 at a stage before executing the specific function (step S201).
  • the processing unit 31 Upon receiving this execution permission request, the processing unit 31 sends an "inspection request" to the processing unit 32 (step S103).
  • the processing unit 32 sends an "execution permission" to the processing unit 31 (step S202).
  • the processing unit 31 When the processing unit 31 receives the "execution permission" from the processing unit 32, the processing unit 31 sends the execution permission to the inspection target (step S203).
  • the inspection target executes the above specific function (step S204).
  • a fifth embodiment relates to a variation of the above "execution trigger". Since the configuration of the electronic device in the fifth embodiment is the same as the configuration of the electronic device 1 in the first embodiment and the second embodiment, FIG. 1 is referred to. Further, since the configuration of the security management device in the fifth embodiment is the same as that of the security management device 30 in the third embodiment, it will be described with reference to FIG. In the following, the points that the fifth embodiment differs from the third embodiment will be mainly described.
  • the processing unit 32 performs a "pre-inspection” of the processing unit 31 and an "inspection target" from the security management server 2 (see FIG. 7) existing outside the electronic device 1. It is executed by receiving the "inspection request" as an execution trigger.
  • the processing unit 32 When the result of the "pre-inspection" for the processing unit 31 indicates that the processing unit 31 is normal, the processing unit 32 sends an "inspection request for the inspection target" to the processing unit 31.
  • the processing unit 32 may execute, for example, a control for limiting the processing operation in the normal environment 10A. In this case, the processing unit 32 may report the result of the inspection regarding the normality of the processing unit 31 to the security management server 2. This report is transmitted via the communicator 13 shown in FIG.
  • processing unit 32 executes the "post-inspection" for the processing unit 31.
  • the processing unit 32 has the result of the inspection on the normality of the processing unit 31 (that is, the result of the "pre-inspection” and the "post-inspection") performed before and after the inspection on the normality of the inspection target, and
  • the result of the inspection sent from the processing unit 31 is reported to the security management server 2. This report is transmitted via the communicator 13 shown in FIG.
  • FIG. 7 is a diagram showing an example of the processing operation of the security management device according to the fifth embodiment.
  • FIG. 7 shows a series of procedures, and the series of procedures will be repeatedly executed.
  • the security management function of the security management server 2 transmits an "inspection request for the inspection target" to the electronic device 1 (step S301).
  • the electronic device 1 and the security management server 2 are connected via a network, and the "inspection request for the inspection target" may be transmitted to the electronic device 1 via the network.
  • This "inspection request for the inspection target” is received by the communication device 13 of the electronic device 1 and received by the processing unit 32 via the input / output interface 12.
  • the processing unit 32 transmits the result of the inspection regarding the normality of the processing unit 31 obtained in step S104 and step S110 and the result of the inspection sent from the processing unit 31 in step S109 to the security management server 2. Transmit (step S302).
  • the processing unit 32 reports the results of the "pre-inspection” and "post-inspection” of the processing unit 31 and the inspection results sent from the processing unit 31 to the security management server 2. Although it has been explained as a thing, it is not limited to this.
  • the processing unit 32 may report the result of the "post-inspection” for the processing unit 31 and the result of the inspection sent from the processing unit 31 to the security management server 2. That is, the result of the "pre-inspection" for the processing unit 31 does not have to be reported.
  • the processing unit 31 executes an inspection related to the normality of the inspection target and sends the inspection result to the processing unit 32 (second processing unit).
  • the first processing unit sends the information regarding the inspection target received from the inspection target to the second processing unit without performing the inspection regarding the normality of the inspection target.
  • the second processing unit executes the inspection regarding the normality of the inspection target based on the information regarding the inspection target received from the first processing unit.
  • the method of the sixth embodiment can be applied to any of the third to fifth embodiments, but here, a case where the method is applied to the third embodiment will be described as an example.
  • FIG. 1 Since the configuration of the electronic device in the sixth embodiment is the same as the configuration of the electronic device 1 in the first embodiment and the second embodiment, FIG. 1 is referred to. Further, since the configuration of the security management device in the sixth embodiment is the same as that of the security management device 30 in the third embodiment, it will be described with reference to FIG. Hereinafter, the points that the sixth embodiment differs from the third embodiment will be mainly described.
  • the processing unit 31 acquires the information regarding the inspection target sent from the inspection target in the security management device 30 of the sixth embodiment, the processing unit 31 sends the information to the processing unit 32. Further, the processing unit 31 may acquire information about the inspection target from the API of the OS or the memory instead of from the inspection target.
  • the processing unit 32 When the processing unit 32 acquires the information regarding the inspection target from the processing unit 31 in the security management device 30 of the sixth embodiment, the processing unit 32 inspects the normality of the inspection target based on the information. Then, the processing unit 32 re-executes the inspection regarding the normality of the processing unit 31.
  • FIG. 8 is a diagram showing an example of the processing operation of the security management device according to the sixth embodiment.
  • FIG. 8 shows a series of procedures, and the series of procedures will be repeatedly executed.
  • the processing unit 31 When the processing unit 31 acquires the information regarding the inspection target sent from the inspection target, the processing unit 31 sends the information to the processing unit 32 (step S401).
  • the processing unit 32 acquires information on the inspection target from the processing unit 31, the processing unit 32 inspects the normality of the inspection target based on the information (step S402). Then, the processing unit 32 re-executes the inspection regarding the normality of the processing unit 31 (step S110).
  • the electronic device 1 has a processor 10 and a memory 11 as described above.
  • the processor 10 may be, for example, a microprocessor, an MPU (Micro Processing Unit), or a CPU (Central Processing Unit).
  • the processor 10 may include a plurality of processors.
  • the memory 11 is composed of a combination of a volatile memory and a non-volatile memory.
  • the memory 11 may include storage located away from the processor 10. In this case, the processor 10 may access the memory 11 via the input / output interface 12.
  • the processing units 21, 22, 31 and 32 of the security management devices 20 and 30 of the first to sixth embodiments may be realized by the processor 10 reading and executing the program stored in the memory 11. ..
  • This program is stored using various types of non-transitory computer readable medium and can be supplied to the security management devices 20 and 30.
  • Examples of non-temporary computer-readable media include magnetic recording media (eg, flexible disks, magnetic tapes, hard disk drives), magneto-optical recording media (eg, magneto-optical disks).
  • examples of non-temporary computer-readable media include CD-ROM (Read Only Memory), CD-R, and CD-R / W.
  • examples of non-transitory computer-readable media include semiconductor memory.
  • the semiconductor memory includes, for example, a mask ROM, a PROM (Programmable ROM), an EPROM (Erasable PROM), a flash ROM, and a RAM (Random Access Memory).
  • this program may be supplied to the security management devices 20 and 30 by various types of temporary computer readable media (transitory computer readable medium). Examples of temporary computer-readable media include electrical, optical, and electromagnetic waves.
  • the temporary computer-readable medium can supply this program to the security management devices 20 and 30 via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.
  • a security management device that manages the security of processing devices that have a normal environment and a secure environment.
  • a first processing means operating in the normal environment for acquiring information about the inspection target including a program executed in the execution environment included in the normal environment, which is an inspection target for normality.
  • a second processing means operating in the secure environment, which inspects the normality of the first processing means after the inspection regarding the normality of the inspection target based on the acquired information about the inspection target is performed,
  • a security management device equipped with is
  • the second processing means is Indicates the memory area in which the operation program of the first processing means is stored in the memory and corresponds to the first virtual address used by the first processing means, and indicates the memory area and is used by the second processing means.
  • a virtual address acquisition means for acquiring a second virtual address to be used
  • An execution code acquisition means that accesses the memory area using the acquired second virtual address and acquires the execution code of the operation program.
  • a hash value calculating means for calculating the hash value of the execution code based on the acquired execution code
  • An inspection processing execution means that inspects the normality of the first processing means based on the calculated hash value and the correct hash value of the execution code.
  • the first processing means sends the physical address obtained by converting the first virtual address to the second processing means.
  • the virtual address acquisition means converts the physical address sent from the first processing means into the second virtual address.
  • the second processing means further inspects the normality of the first processing means before the inspection regarding the normality of the inspection target is performed.
  • the security management device according to any one of Appendix 1 to 3.
  • the second processing means triggers the execution of the inspection regarding the normality of the first processing means, which is performed before the inspection regarding the normality of the inspection target is performed, when the current timing is the periodic inspection execution timing.
  • the security management device according to Appendix 4.
  • the second processing means triggers an execution of an inspection regarding the normality of the first processing means, which is performed before the inspection regarding the normality of the inspection target is performed, by receiving an inspection request from the first processing means.
  • the security management device according to Appendix 4.
  • the first processing means requests the inspection request when the inspection target is monitored and a specific event of the inspection target is detected, or when the current timing is a periodic inspection request timing. Send to processing means, The security management device according to Appendix 6.
  • the first processing means inspects the normality of the inspection target based on the acquired information on the inspection target, and sends the result of the inspection to the second processing means.
  • the second processing means indicates an abnormality of the first processing means, the first processing means. Discard the inspection result sent from the processing means regardless of the content of the inspection result.
  • the security management device according to any one of Appendix 1 to 7.
  • the first processing means inspects the normality of the inspection target based on the acquired information on the inspection target, and sends the result of the inspection to the second processing means.
  • the second processing means indicates an abnormality of the first processing means, the first processing means. Discard the inspection result sent from the processing means regardless of the content of the inspection result.
  • the second processing means requests an inspection from a security management server existing outside the processing apparatus to perform an inspection on the normality of the first processing means, which is performed before the inspection on the normality of the inspection target is performed. Is executed with the receipt of The security management device according to Appendix 4.
  • the first processing means inspects the normality of the inspection target based on the acquired information on the inspection target, and sends the result of the inspection to the second processing means.
  • the second processing means is the result of the inspection on the normality of the first processing means performed before and after the inspection on the normality of the inspection target, and the result of the inspection sent from the first processing means. Is sent to the security management server.
  • the security management device according to Appendix 12.
  • the first processing means sends information about the acquired inspection target to the second processing means.
  • the second processing means inspects the normality of the inspection target based on the information regarding the inspection target sent from the first processing means, and is performed after the inspection regarding the normality of the inspection target is performed.
  • the result of the inspection regarding the normality of the first processing means indicates an abnormality of the first processing means
  • the result of the inspection regarding the normality of the inspection target is discarded regardless of the content of the inspection result.
  • the security management device according to any one of Appendix 1 to 7.
  • the first processing means sends information about the acquired inspection target to the second processing means.
  • the second processing means inspects the normality of the inspection target based on the information regarding the inspection target sent from the first processing means, and is performed after the inspection regarding the normality of the inspection target is performed.
  • the result of the inspection regarding the normality of the first processing means indicates an abnormality of the first processing means
  • the result of the inspection regarding the normality of the inspection target is discarded regardless of the content of the inspection result.
  • the security management device according to Appendix 9.
  • the first processing means sends information about the acquired inspection target to the second processing means.
  • the second processing means inspects the normality of the inspection target based on the information regarding the inspection target sent from the first processing means, and is performed before and after the inspection regarding the normality of the inspection target is performed.
  • the result of the inspection regarding the normality of the first processing means and the result of the inspection regarding the normality of the inspection target are sent to the security management server.
  • the security management device according to Appendix 12.
  • the first processing means of the security management device operating in the normal environment acquires information on the inspection target including the program executed in the execution environment included in the normal environment, which is the inspection target related to normality.
  • the second processing means of the security management device operating in the secure environment After the second processing means of the security management device operating in the secure environment has been inspected for the normality of the inspection target based on the acquired information on the inspection target, the first processing means is normal.
  • Inspect sex Security management method.
  • the first processing means of the security management device operating in the normal environment acquires information on the inspection target including the program executed in the execution environment included in the normal environment, which is the inspection target related to normality. After the second processing means of the security management device operating in the secure environment has been inspected for the normality of the inspection target based on the acquired information on the inspection target, the first processing means is normal.
  • Inspect sex A non-transitory computer-readable medium that contains a program that executes processing.
  • Security management server 10
  • Processing device 10A virtual processor (normal environment) 10B virtual processor (secure environment) 11
  • Memory 12
  • Communication device 20
  • Security management device 21
  • Processing unit (1st processing unit, security function) 22
  • Processing unit (second processing unit, security function) 22A
  • Virtual address acquisition unit 22B
  • Execution code acquisition unit 22C
  • Hash value calculation unit 22D Inspection processing execution unit
  • Security management device 31
  • Processing unit (1st processing unit, security function) 32
  • Processing unit second processing unit, security function)

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Debugging And Monitoring (AREA)
  • Storage Device Security (AREA)

Abstract

セキュリティ管理装置（２０）は、通常環境（１０Ａ）にて動作する処理部（２１）と、セキュア環境（１０Ｂ）にて動作する処理部（２２）とを有している。処理部（２１）は、「検査対象」に関する情報を取得する。この「検査対象」は、正常性に関する検査対象であり、通常環境（１０Ａ）に含まれる実行環境にて実行されるプログラム（ＯＳ（Operating System）等）を含む。処理部（２２）は、処理部（２１）にて取得された検査対象に関する情報に基づく検査対象の正常性に関する検査が行われた後に、処理部（２１）についての正常性を検査する。

Description

セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体
　本開示は、セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体に関する。
　電子装置のシステムインテグリティを検証する技術が提案されている（例えば、特許文献１）。特許文献１に開示されている技術では、セキュア環境の検証モジュール（セキュリティ機能）は、通常環境のスキャンモジュール（セキュリティ機能）のインテグリティを検証した後に、該スキャンモジュールに対して、通常環境のカーネル又はアプリケーション等（つまり、実行環境）を検査させている。すなわち、セキュア環境のセキュリティ機能は、通常環境のセキュリティ機能が実行環境を検査する前に、該通常環境のセキュリティ機能の正常性に関する検査を行っている。
特表２０１８－５１９７０５号公報
　しかしながら、特許文献１に開示されている技術では、セキュア環境のセキュリティ機能が通常環境のセキュリティ機能を検査している最中や通常環境のセキュリティ機能が実行環境を検査している最中に、通常環境のセキュリティ機能が攻撃されることを考慮していない。このため、通常環境のセキュリティ機能が異常な状態で動作して得られた、実行環境についての検査結果を正常なものとして扱ってしまうので、セキュリティが低下する可能性がある。
　本開示の目的は、セキュリティを向上させることができる、セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体を提供することにある。
　第１の態様にかかるセキュリティ管理装置は、通常環境及びセキュア環境を有する処理装置のセキュリティを管理するセキュリティ管理装置であって、
　正常性に関する検査対象であって前記通常環境に含まれる実行環境にて実行されるプログラムを含む検査対象に関する情報を取得する、前記通常環境にて動作する第１処理手段と、
　前記取得された検査対象に関する情報に基づく前記検査対象の正常性に関する検査が行われた後に、前記第１処理手段についての正常性を検査する、前記セキュア環境にて動作する第２処理手段と、
　を具備する。
　第２の態様にかかるセキュリティ管理方法は、通常環境及びセキュア環境を有する処理装置のセキュリティを管理するセキュリティ管理装置によって実行されるセキュリティ管理方法であって、
　前記通常環境にて動作する前記セキュリティ管理装置の第１処理手段が、正常性に関する検査対象であって前記通常環境に含まれる実行環境にて実行されるプログラムを含む検査対象に関する情報を取得し、
　前記セキュア環境にて動作する前記セキュリティ管理装置の第２処理手段が、前記取得された検査対象に関する情報に基づく前記検査対象の正常性に関する検査が行われた後に、前記第１処理手段についての正常性を検査する。
　第３の態様にかかる非一時的なコンピュータ可読媒体は、通常環境及びセキュア環境を有する処理装置のセキュリティを管理するセキュリティ管理装置に、
　前記通常環境にて動作する前記セキュリティ管理装置の第１処理手段が、正常性に関する検査対象であって前記通常環境に含まれる実行環境にて実行されるプログラムを含む検査対象に関する情報を取得し、
　前記セキュア環境にて動作する前記セキュリティ管理装置の第２処理手段が、前記取得された検査対象に関する情報に基づく前記検査対象の正常性に関する検査が行われた後に、前記第１処理手段についての正常性を検査する、
　処理を、実行させるプログラムが格納している。
　本開示により、セキュリティを向上させることができる、セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体を提供することができる。
第１実施形態における処理装置を含む電子機器の一例を示すブロック図である。 第１実施形態における処理装置（プロセッサ）の一例を示すブロック図である。 第２実施形態におけるセキュリティ管理装置の一例を示すブロック図である。 第３実施形態におけるセキュリティ管理装置を含む処理装置の一例を示すブロック図である。 第３実施形態におけるセキュリティ管理装置の処理動作の一例を示す図である。 第４実施形態におけるセキュリティ管理装置の処理動作の一例を示す図である。 第５実施形態におけるセキュリティ管理装置の処理動作の一例を示す図である。 第６実施形態におけるセキュリティ管理装置の処理動作の一例を示す図である。
　以下、図面を参照しつつ、実施形態について説明する。なお、実施形態において、同一又は同等の要素には、同一の符号を付し、重複する説明は省略される。また、実施形態において、同一又は同等の処理ステップには、同一の符号を付し、重複する説明は省略される。
＜第１実施形態＞
　図１は、第１実施形態における処理装置を含む電子機器の一例を示すブロック図である。図１において電子機器１は、処理装置（プロセッサ）１０と、メモリ１１と、入力／出力インタフェース１２と、通信機１３とを有している。
　図２は、第１実施形態における処理装置（プロセッサ）の一例を示すブロック図である。図２において処理装置（プロセッサ）１０は、仮想プロセッサ（通常環境）１０Ａと、仮想プロセッサ（セキュア環境）１０Ｂとを有している。通常環境１０Ａは、ＲＥＥ（Rich Execution Environment）に相当し、セキュア環境１０Ｂは、ＴＥＥ（Trusted Execution Environment）に相当する。ＴＥＥは、例えば、ＡＲＭ（Advanced RISC Machines）のプロセッサアーキテクチャではＴｒｕｓｔ　Ｚｏｎｅとして提供され、また、インテルのプロセッサアーキテクチャではＳＧＸ（Software Guard Extensions）として提供される。
　図２においてセキュリティ管理装置２０は、通常環境１０Ａ及びセキュア環境１０Ｂを有する処理装置１０のセキュリティを管理する。例えば、セキュリティ管理装置２０は、処理部（セキュリティ機能）２１と、処理部（セキュリティ機能）２２とを有している。処理部２１は、通常環境１０Ａにて動作する一方、処理部２２は、セキュア環境１０Ｂにて動作する。以下では、通常環境１０Ａにて動作する処理部を「第１処理部」、セキュア環境１０Ｂにて動作する処理部を「第２処理部」と呼ぶことがある。
　処理部２１は、「検査対象（不図示）」から、該検査対象に関する情報を取得する。「検査対象」は、正常性に関する検査対象であり、通常環境１０Ａに含まれる「実行環境」にて実行されるプログラム（ＯＳ（Operating System）等）を含む。処理部２１は、該検査対象に関する情報を、検査対象からではなく、ＯＳのＡＰＩを通じて取得してもよい。また、処理部２１は、メモリ１１にアクセスし、該検査対象に関する情報を、メモリ１１から取得してもよい。ここで、検査対象に関する情報とは、例えば、メモリやストレージに格納されたプログラムの実行コード、プログラムの設定ファイル、メモリ上に保存されているプログラムの内部変数などの実行状態である。
　処理部２２は、処理部２１にて取得された検査対象に関する情報に基づく検査対象の正常性に関する検査が行われた後に、処理部２１についての正常性を検査する。
　以上のように第１実施形態によれば、セキュリティ管理装置２０は、通常環境１０Ａにて動作する処理部（セキュリティ機能）２１と、セキュア環境１０Ｂにて動作する処理部（セキュリティ機能）２２とを有している。処理部２１は、「検査対象（不図示）」に関する情報を取得する。「検査対象」は、正常性に関する検査対象であり、通常環境１０Ａに含まれる実行環境にて実行されるプログラム（ＯＳ（Operating System）等）を含む。処理部２２は、処理部２１にて取得された検査対象に関する情報に基づく検査対象の正常性に関する検査が行われた後に、処理部２１についての正常性を検査する。
　このセキュリティ管理装置２０の構成により、処理部２１にて取得された検査対象に関する情報に基づく検査対象の正常性に関する検査が行われた後に、処理部２１についての正常性を検査するので、検査対象の正常性に関する検査が行われた時点における処理部２１の正常又は異常を示す検査結果を得ることができる。この処理部２１の正常又は異常を示す検査結果は、検査対象の正常性に関する検査結果の信頼性（有効性）についての判定指標となり得る。このため、例えば、処理部２１の異常を示す検査結果が得られた場合には、検査対象の正常性に関する検査の結果を信頼性が低い検査結果として扱うことができるので、セキュリティを向上させることができる。
　なお、処理部２１についての正常性に関する検査は、処理部２１にて取得された検査対象に関する情報に基づく検査対象の正常性に関する検査が行われた後だけでなく、一連の手順において、検査対象の正常性に関する検査が行われる前後の両方にて行われてもよい。これにより、セキュリティを更に向上させることができる。なお、以下では、上記の検査対象の正常性に関する検査の前に行われる、処理部２１についての正常性に関する検査を、単に「前検査」と呼ぶことがある。また、以下では、上記の検査対象の正常性に関する検査の後に行われる、処理部２１についての正常性に関する検査を、単に「後検査」と呼ぶことがある。
　また、処理部２２は、上記の「前検査」を、現タイミングが定期的な検査実行タイミングであることを「実行トリガ」として、実行してもよい。
＜第２実施形態＞
　第２実施形態は、第１処理部についての正常性に関する検査の具体例に関する。
　図３は、第２実施形態におけるセキュリティ管理装置の一例を示すブロック図である。図３においてセキュリティ管理装置２０は、処理部２１と、処理部２２とを有している。処理部２２は、仮想アドレス取得部２２Ａと、実行コード取得部２２Ｂと、ハッシュ値算出部２２Ｃと、検査処理実行部２２Ｄとを有している。
　仮想アドレス取得部２２Ａは、処理部２１の動作プログラムがメモリ１１にて格納されているメモリ領域を示し且つ処理部２１によって用いられる第１仮想アドレスに対応する、上記のメモリ領域を示し且つ処理部２１によって用いられる第２仮想アドレスを取得する。例えば、処理部２１が、上記の第１仮想アドレスを変換して得られた物理アドレスを処理部２２へ送出する。そして、仮想アドレス取得部２２Ａは、処理部２１から送出された物理アドレスを上記の第２仮想アドレスに変換（マッピング）することにより、上記の第２仮想アドレスを取得する。これにより、処理部２１及び処理部２２のアドレス空間が異なる場合でも、実行コード取得部２２Ｂは、上記のメモリ領域に確実にアクセスすることができる。なお、物理アドレスから上記の第２仮想アドレスへの変換は、直接物理アドレスを用いてメモリにアクセス可能なＯＳやプロセッサの場合には、省略してもよい。
　実行コード取得部２２Ｂは、仮想アドレス取得部２２Ａにて取得された第２仮想アドレスを用いて、上記のメモリ領域にアクセスし（つまり、上記のメモリ領域をスキャンし）、処理部２１の動作プログラムの実行コードを取得する。
　ハッシュ値算出部２２Ｃは、実行コード取得部２２Ｂにて取得された実行コードに基づいて、該実行コードのハッシュ値を算出する。このハッシュ値の算出に用いられるアルゴリズムは、特に限定されるものではなく、例えば、ＳＨＡ１又はＳＨＡ２５６等であってもよい。
　検査処理実行部２２Ｄは、処理部２１の動作プログラムの実行コードの正解ハッシュ値を保持している。この正解ハッシュ値は、処理装置１０の開発時に計算されて検査処理実行部２２Ｄに保持されてもよいし、又は、処理装置１０の起動時にハッシュ値算出部２２Ｃによって計算されて検査処理実行部２２Ｄに保持されてもよい。このようにセキュア環境１０Ｂにて動作する検査処理実行部２２Ｄが正解ハッシュ値を保持しているので、正解ハッシュ値が改竄されることを防止することができる。
　そして、検査処理実行部２２Ｄは、ハッシュ値算出部２２Ｃにて算出されたハッシュ値と、正解ハッシュ値とに基づいて、処理部２１についての正常性を検査する。例えば、検査処理実行部２２Ｄは、ハッシュ値算出部２２Ｃにて算出されたハッシュ値と正解ハッシュ値とが一致する場合、処理部２１が正常である（改竄されていない）と判定し、一致しない場合、処理部２１が異常である（改竄されている）と判定する。このようにハッシュ値を用いることにより、処理部２１についての正常性を精度良く検査することができる。
　なお、処理部２２は、処理部２１についての「後検査」の結果が処理部２１の異常を示す場合、検査対象についての正常性に関する検査の結果を該検査の結果の内容に関わらず破棄してもよい。
＜第３実施形態＞
　第３実施形態は、上記の「実行トリガ」のバリエーションに関する。第３実施形態における電子機器の構成は、第１実施形態及び第２実施形態の電子機器１の構成と同じなので、図１を参照する。
　＜セキュリティ管理装置の構成例＞
　図４は、第３実施形態におけるセキュリティ管理装置を含む処理装置の一例を示すブロック図である。図４においてセキュリティ管理装置３０は、処理部（第１処理部）３１と、処理部（第２処理部）３２とを有している。処理部３１及び処理部３２は、第１実施形態及び第２実施形態の処理部２１及び処理部２２と同様の処理を実行する。
　処理部３１は、検査対象を監視して検査対象の特定のイベントを検出したときに、「検査要求」を処理部３２へ送出する。特定のイベントとは、例えば、プロセス起動、ファイルオープン等であってもよい。又は、処理部３１は、現タイミングが定期的な検査要求タイミングであるときに、「検査要求」を処理部３２へ送出してもよい。
　また、処理部３１は、「検査対象についての検査要求」を処理部３２から受け取ると、「情報送出要求」を検査対象へ送出する。この情報送出要求に応答して、検査対象は、検査対象に関する情報を処理部３１へ送出することになる。また、処理部３１は、検査対象からではなく、ＯＳのＡＰＩや、メモリから検査対象に関する情報を取得しても良い。
　また、処理部３１は、検査対象から送出された検査対象に関する情報を取得すると、該情報に基づいて、検査対象の正常性を検査して、該検査の結果を処理部３２へ送出する。
　処理部３２は、処理部３１についての「前検査」を、処理部３１からの「検査要求」を受け取ることを実行トリガとして、実行する。
　また、処理部３２は、処理部３１についての「前検査」の結果が処理部３１の正常を示す場合、「検査対象についての検査要求」を処理部３１へ送出する。なお、この処理部３１についての正常性に関する検査の結果が処理部３１の異常を示す場合、処理部３２は、例えば、通常環境１０Ａにおける処理動作を制限する制御を実行してもよい。
　また、処理部３２は、処理部３１から送出された、検査対象の正常性に関する検査の結果を受け取ると、処理部３１についての「後検査」を実行する。
　そして、処理部３２は、処理部３１についての「後検査」の結果に応じた処理を実行する。例えば、処理部３２は、処理部３１についての「後検査」の結果が処理部３１の異常を示す場合、処理部３１から受け取った検査対象についての検査の結果を該検査の結果の内容に関わらず破棄してもよい。そして、処理部３２は、例えば、通常環境１０Ａにおける処理動作を制限する制御を実行してもよい。
　＜セキュリティ管理装置の動作例＞
　以上の構成を有するセキュリティ管理装置３０の処理動作の一例について説明する。図５は、第３実施形態におけるセキュリティ管理装置の処理動作の一例を示す図である。図５には、一連の手順が示されており、この一連の手順が繰り返し実行されることになる。
　処理部（セキュリティ機能）３１は、処理部３１の動作プログラムが格納されているメモリ１１におけるメモリ領域を示すアドレス情報を処理部（セキュリティ機能）３２へ送出する（ステップＳ１０１）。この送出されるアドレス情報は、例えば、第２実施形態で説明した物理アドレスである。
　処理部３１は、常に、ＯＳ等のプログラムの実行環境（検査対象）を監視している（ステップＳ１０２）。
　処理部３１は、検査対象の特定のイベントを検出すると、「検査要求」を処理部３２へ送出する（ステップＳ１０３）。
　処理部３２は、処理部３１からの「検査要求」を受け取ると、処理部３１についての正常性に関する検査を実行する（ステップＳ１０４）。
　この処理部３１についての正常性に関する検査の結果が処理部３１の正常を示す場合、処理部３２は、「検査対象についての検査要求」を処理部３１へ送出する（ステップＳ１０５）。
　処理部３１は、処理部３２からの「検査対象についての検査要求」を受け取ると、「情報送出要求」を検査対象へ送出する（ステップＳ１０６）。また、処理部３１は、検査対象からではなく、ＯＳのＡＰＩや、メモリから検査対象に関する情報を取得しても良い。
　検査対象は、処理部３１からの「情報送出要求」を受け取ると、検査対象に関する情報を処理部３１へ送出する（ステップＳ１０７）。ステップ１０６において、処理部３１がＯＳのＡＰＩを呼び出した場合、ステップＳ１０７では、ＯＳが検査対象に関する情報を処理部３１へ送出する。
　処理部３１は、検査対象から送出された検査対象に関する情報を取得すると、該情報に基づいて、検査対象の正常性を検査し（ステップＳ１０８）、該検査の結果を処理部３２へ送出する（ステップＳ１０９）。
　処理部３２は、検査対象の正常性に関する検査の結果を処理部３１から受け取ると、処理部３１についての正常性に関する検査を再度実行する（ステップＳ１１０）。
　処理部３２は、ステップＳ１１０にて行われた処理部３１についての正常性に関する検査の結果に応じた処理を実行する（ステップＳ１１１）。
　なお、以上の説明では、処理部３１が、最初の処理部３２による処理部３１の正常性に関する検査の前に１回だけ、アドレス情報を処理部３２へ送出することを前提に説明を行ったが、これに限定されない。例えば、処理部３１は、処理部３２による処理部３１の正常性に関する検査が行われる度に、その検査の前にアドレス情報を処理部３２へ送出してもよい。例えば、処理部３１の動作プログラムのメモリ領域が変わる場合には、処理部３１は、検査の度にアドレス情報を送出すればよいし、また、そのメモリ領域が変わらない場合には、最初の検査の前に１回だけアドレス情報を送出すればよい。
＜第４実施形態＞
　第４実施形態は、「検査要求」が送出されるトリガのバリエーションに関する。第４実施形態における電子機器の構成は、第１実施形態及び第２実施形態の電子機器１の構成と同じなので、図１を参照する。また、第４実施形態におけるセキュリティ管理装置の構成は、第３実施形態のセキュリティ管理装置３０と同じなので、図４を参照して説明する。なお、以下では、主に第４実施形態が第３実施形態と異なる点について説明する。
　＜セキュリティ管理装置の構成例＞
　第４実施形態のセキュリティ管理装置３０にて処理部３１は、検査対象からの「実行許可要求」を受け取ったときに、「検査要求」を処理部３２へ送出する。すなわち、第４実施形態の処理部３１は、第３実施形態と比べて、「検査要求」を処理部３２へ送出するトリガが異なっている。
　また、処理部３１は、処理部３２から「実行許可」を受け取ると、受け取った実行許可を実行環境（検査対象）へ送出する。
　処理部３２は、処理部３１についての「後検査」の結果に応じた処理を実行する。例えば、処理部３２は、「許可条件」が満たされた場合、「実行許可」を処理部３１へ送出する。「許可条件」は、例えば、処理部３１についての「後検査」の結果が処理部３１の正常を示し、且つ、処理部３１から送出された検査の結果が検査対象の正常を示す、ことである。
　＜セキュリティ管理装置の動作例＞
　以上の構成を有するセキュリティ管理装置３０の処理動作の一例について説明する。図６は、第４実施形態におけるセキュリティ管理装置の処理動作の一例を示す図である。図６には、一連の手順が示されており、この一連の手順が繰り返し実行されることになる。
　検査対象は、特定の機能を実行する前の段階で該特定の機能についての「実行許可要求」を処理部３１へ送出する（ステップＳ２０１）。処理部３１は、この実行許可要求を受け取ると、「検査要求」を処理部３２へ送出する（ステップＳ１０３）。
　処理部３２は、上記の「許可条件」が満たされた場合、「実行許可」を処理部３１へ送出する（ステップＳ２０２）。
　処理部３１は、処理部３２からの「実行許可」を受け取ると、該実行許可を検査対象へ送出する（ステップＳ２０３）。
　検査対象は、処理部３１を介して実行許可を受け取ると、上記の特定の機能を実行する（ステップＳ２０４）。
＜第５実施形態＞
　第５実施形態は、上記の「実行トリガ」のバリエーションに関する。第５実施形態における電子機器の構成は、第１実施形態及び第２実施形態の電子機器１の構成と同じなので、図１を参照する。また、第５実施形態におけるセキュリティ管理装置の構成は、第３実施形態のセキュリティ管理装置３０と同じなので、図４を参照して説明する。なお、以下では、主に第５実施形態が第３実施形態と異なる点について説明する。
　＜セキュリティ管理装置の構成例＞
　第５実施形態のセキュリティ管理装置３０にて処理部３２は、処理部３１についての「前検査」を、電子機器１の外部に存在するセキュリティ管理サーバ２（図７参照）からの「検査対象についての検査要求」を受け取ることを実行トリガとして、実行する。
　処理部３２は、処理部３１についての「前検査」の結果が処理部３１の正常を示す場合、「検査対象についての検査要求」を処理部３１へ送出する。なお、この処理部３１についての正常性に関する検査の結果が処理部３１の異常を示す場合、処理部３２は、例えば、通常環境１０Ａにおける処理動作を制限する制御を実行してもよい。この場合、処理部３２は、この処理部３１についての正常性に関する検査の結果を、セキュリティ管理サーバ２に報告してもよい。この報告は、図１に示した通信機１３を介して送信される。
　また、処理部３２は、処理部３１から送出された、検査対象の正常性に関する検査の結果を受け取ると、処理部３１についての「後検査」を実行する。
　そして、処理部３２は、検査対象の正常性に関する検査が行われる前後に行われる処理部３１についての正常性に関する検査の結果（つまり、「前検査」及び「後検査」の結果）、及び、処理部３１から送出された検査の結果を、セキュリティ管理サーバ２に報告する。この報告は、図１に示した通信機１３を介して送信される。
　＜セキュリティ管理装置の動作例＞
　以上の構成を有するセキュリティ管理装置３０の処理動作の一例について説明する。図７は、第５実施形態におけるセキュリティ管理装置の処理動作の一例を示す図である。図７には、一連の手順が示されており、この一連の手順が繰り返し実行されることになる。
　セキュリティ管理サーバ２のセキュリティ管理機能は、「検査対象についての検査要求」を電子機器１へ送信する（ステップＳ３０１）。例えば、電子機器１とセキュリティ管理サーバ２とはネットワークを介して接続されており、「検査対象についての検査要求」は、ネットワークを介して電子機器１へ送信されてもよい。この「検査対象についての検査要求」は、電子機器１の通信機１３によって受信され、入力／出力インタフェース１２を介して処理部３２によって受け取られる。
　処理部３２は、ステップＳ１０４及びステップＳ１１０にて得られた処理部３１についての正常性に関する検査の結果、及び、ステップＳ１０９にて処理部３１から送出された検査の結果を、セキュリティ管理サーバ２へ送信する（ステップＳ３０２）。
　なお、以上の説明では、処理部３２は、処理部３１についての「前検査」及び「後検査」の結果、及び、処理部３１から送出された検査の結果を、セキュリティ管理サーバ２に報告するものとして説明を行ったが、これに限定されない。例えば、処理部３２は、処理部３１についての「後検査」の結果及び処理部３１から送出された検査の結果を、セキュリティ管理サーバ２に報告してもよい。すなわち、処理部３１についての「前検査」の結果は、報告されなくてもよい。
＜第６実施形態＞
　第３実施形態から第５実施形態においては、処理部３１（第１処理部）が検査対象の正常性に関する検査を実行して検査結果を処理部３２（第２処理部）へ送出するものとして説明を行った。第６実施形態では、第１処理部は、検査対象の正常性に関する検査を行わずに、検査対象から受け取った検査対象に関する情報を第２処理部へ送出する。そして、第２処理部が、第１処理部から受け取った、検査対象に関する情報に基づいて、検査対象の正常性に関する検査を実行する。この第６実施形態の方法は、第３実施形態から第５実施形態の何れに対しても適用可能であるが、ここでは、第３実施形態に適用した場合を例にとって説明する。なお、第６実施形態における電子機器の構成は、第１実施形態及び第２実施形態の電子機器１の構成と同じなので、図１を参照する。また、第６実施形態におけるセキュリティ管理装置の構成は、第３実施形態のセキュリティ管理装置３０と同じなので、図４を参照して説明する。以下では、主に第６実施形態が第３実施形態と異なる点について説明する。
　＜セキュリティ管理装置の構成例＞
　第６実施形態のセキュリティ管理装置３０にて処理部３１は、検査対象から送出された検査対象に関する情報を取得すると、該情報を処理部３２へ送出する。また、処理部３１は、検査対象からではなく、ＯＳのＡＰＩや、メモリから検査対象に関する情報を取得しても良い。
　第６実施形態のセキュリティ管理装置３０にて処理部３２は、検査対象に関する情報を処理部３１から取得すると、該情報に基づいて、検査対象の正常性を検査する。そして、処理部３２は、処理部３１についての正常性に関する検査を再度実行する。
　＜セキュリティ管理装置の動作例＞
　図８は、第６実施形態におけるセキュリティ管理装置の処理動作の一例を示す図である。図８には、一連の手順が示されており、この一連の手順が繰り返し実行されることになる。
　処理部３１は、検査対象から送出された検査対象に関する情報を取得すると、該情報を処理部３２へ送出する（ステップＳ４０１）。
　処理部３２は、検査対象に関する情報を処理部３１から取得すると、該情報に基づいて、検査対象の正常性を検査する（ステップＳ４０２）。そして、処理部３２は、処理部３１についての正常性に関する検査を再度実行する（ステップＳ１１０）。
　＜他の実施形態＞
　図１に示すように電子機器１は、上記の通り、プロセッサ１０と、メモリ１１とを有している。プロセッサ１０は、例えば、マイクロプロセッサ、MPU（Micro Processing Unit）、又はCPU（Central Processing Unit）であってもよい。プロセッサ１０は、複数のプロセッサを含んでもよい。メモリ１１は、揮発性メモリ及び不揮発性メモリの組み合わせによって構成される。メモリ１１は、プロセッサ１０から離れて配置されたストレージを含んでもよい。この場合、プロセッサ１０は、入力／出力インタフェース１２を介してメモリ１１にアクセスしてもよい。
　第１実施形態から第６実施形態のセキュリティ管理装置２０，３０の処理部２１，２２，３１，３２は、プロセッサ１０がメモリ１１に記憶されたプログラムを読み込んで実行することにより実現されてもよい。このプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、セキュリティ管理装置２０，３０に供給することができる。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）を含む。さらに、非一時的なコンピュータ可読媒体の例は、ＣＤ－ＲＯＭ（Read Only Memory）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗを含む。さらに、非一時的なコンピュータ可読媒体の例は、半導体メモリを含む。半導体メモリは、例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ（Random Access Memory）を含む。また、このプログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってセキュリティ管理装置２０，３０に供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、このプログラムをセキュリティ管理装置２０，３０に供給できる。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
　通常環境及びセキュア環境を有する処理装置のセキュリティを管理するセキュリティ管理装置であって、
　正常性に関する検査対象であって前記通常環境に含まれる実行環境にて実行されるプログラムを含む検査対象に関する情報を取得する、前記通常環境にて動作する第１処理手段と、
　前記取得された検査対象に関する情報に基づく前記検査対象の正常性に関する検査が行われた後に、前記第１処理手段についての正常性を検査する、前記セキュア環境にて動作する第２処理手段と、
　を具備する、セキュリティ管理装置。
（付記２）
　前記第２処理手段は、
　前記第１処理手段の動作プログラムがメモリにて格納されているメモリ領域を示し且つ前記第１処理手段によって用いられる第１仮想アドレスに対応する、前記メモリ領域を示し且つ前記第２処理手段によって用いられる第２仮想アドレスを取得する、仮想アドレス取得手段と、
　前記取得された第２仮想アドレスを用いて前記メモリ領域にアクセスして、前記動作プログラムの実行コードを取得する、実行コード取得手段と、
　前記取得された実行コードに基づいて、前記実行コードのハッシュ値を算出するハッシュ値算出手段と、
　前記算出されたハッシュ値と、前記実行コードの正解ハッシュ値とに基づいて、前記第１処理手段についての正常性を検査する、検査処理実行手段と、
　を具備する付記１記載のセキュリティ管理装置。
（付記３）
　前記第１処理手段は、前記第１仮想アドレスを変換して得られた物理アドレスを前記第２処理手段へ送出し、
　前記仮想アドレス取得手段は、前記第１処理手段から送出された物理アドレスを前記第２仮想アドレスに変換する、
　付記２記載のセキュリティ管理装置。
（付記４）
　前記第２処理手段は、さらに前記検査対象の正常性に関する検査が行われる前に、前記第１処理手段についての正常性を検査する、
　付記１から３のいずれか１項に記載のセキュリティ管理装置。
（付記５）
　前記第２処理手段は、前記検査対象の正常性に関する検査が行われる前に行われる前記第１処理手段についての正常性に関する検査を、現タイミングが定期的な検査実行タイミングであることを実行トリガとして、実行する、
　付記４記載のセキュリティ管理装置。
（付記６）
　前記第２処理手段は、前記検査対象の正常性に関する検査が行われる前に行われる前記第１処理手段についての正常性に関する検査を、前記第１処理手段からの検査要求を受け取ることを実行トリガとして、実行する、
　付記４記載のセキュリティ管理装置。
（付記７）
　前記第１処理手段は、前記検査対象を監視して前記検査対象の特定のイベントを検出したときに、又は、現タイミングが定期的な検査要求タイミングであるときに、前記検査要求を前記第２処理手段へ送出する、
　付記６記載のセキュリティ管理装置。
（付記８）
　前記第１処理手段は、前記取得した検査対象に関する情報に基づいて、前記検査対象の正常性を検査して、該検査の結果を前記第２処理手段へ送出し、
　前記第２処理手段は、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の異常を示す場合、前記第１処理手段から送出された検査の結果を該検査の結果の内容に関わらず破棄する、
　付記１から７のいずれか１項に記載のセキュリティ管理装置。
（付記９）
　前記第１処理手段は、前記検査対象からの実行許可要求を受け取ったときに、前記検査要求を前記第２処理手段へ送出する、
　付記６記載のセキュリティ管理装置。
（付記１０）
　前記第１処理手段は、前記取得した検査対象に関する情報に基づいて、前記検査対象の正常性を検査して、該検査の結果を前記第２処理手段へ送出し、
　前記第２処理手段は、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の異常を示す場合、前記第１処理手段から送出された検査の結果を該検査の結果の内容に関わらず破棄する、
　付記９記載のセキュリティ管理装置。
（付記１１）
　前記第２処理手段は、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の正常を示し、且つ、前記第１処理手段から送出された検査の結果が前記検査対象の正常を示す場合、前記検査対象に向けて実行許可を送出する、
　付記１０記載のセキュリティ管理装置。
（付記１２）
　前記第２処理手段は、前記検査対象の正常性に関する検査が行われる前に行われる前記第１処理手段についての正常性に関する検査を、前記処理装置の外部に存在するセキュリティ管理サーバからの検査要求を受け取ることを実行トリガとして、実行する、
　付記４記載のセキュリティ管理装置。
（付記１３）
　前記第１処理手段は、前記取得した検査対象に関する情報に基づいて、前記検査対象の正常性を検査して、該検査の結果を前記第２処理手段へ送出し、
　前記第２処理手段は、前記検査対象の正常性に関する検査が行われる前後に行われる前記第１処理手段についての正常性に関する検査の結果、及び、前記第１処理手段から送出された検査の結果を、前記セキュリティ管理サーバに向けて送出する、
　付記１２記載のセキュリティ管理装置。
（付記１４）
　前記第１処理手段は、前記取得した検査対象に関する情報を前記第２処理手段へ送出し、
　前記第２処理手段は、前記第１処理手段から送出された検査対象に関する情報に基づいて、前記検査対象の正常性を検査し、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の異常を示す場合、前記検査対象の正常性に関する検査の結果を該検査の結果の内容に関わらず破棄する、
　付記１から７のいずれか１項に記載のセキュリティ管理装置。
（付記１５）
　前記第１処理手段は、前記取得した検査対象に関する情報を前記第２処理手段へ送出し、
　前記第２処理手段は、前記第１処理手段から送出された検査対象に関する情報に基づいて、前記検査対象の正常性を検査し、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の異常を示す場合、前記検査対象の正常性に関する検査の結果を該検査の結果の内容に関わらず破棄する、
　付記９記載のセキュリティ管理装置。
（付記１６）
　前記第２処理手段は、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の正常を示し、且つ、前記検査対象の正常性に関する検査の結果が前記検査対象の正常を示す場合、前記検査対象に向けて実行許可を送出する、
　付記１５記載のセキュリティ管理装置。
（付記１７）
　前記第１処理手段は、前記取得した検査対象に関する情報を前記第２処理手段へ送出し、
　前記第２処理手段は、前記第１処理手段から送出された検査対象に関する情報に基づいて、前記検査対象の正常性を検査し、前記検査対象の正常性に関する検査が行われる前後に行われる前記第１処理手段についての正常性に関する検査の結果、及び、前記検査対象の正常性に関する検査の結果を、前記セキュリティ管理サーバに向けて送出する、
　付記１２記載のセキュリティ管理装置。
（付記１８）
　付記１から１７のいずれか１項に記載のセキュリティ管理装置を具備する処理装置。
（付記１９）
　通常環境及びセキュア環境を有する処理装置のセキュリティを管理するセキュリティ管理装置によって実行されるセキュリティ管理方法であって、
　前記通常環境にて動作する前記セキュリティ管理装置の第１処理手段が、正常性に関する検査対象であって前記通常環境に含まれる実行環境にて実行されるプログラムを含む検査対象に関する情報を取得し、
　前記セキュア環境にて動作する前記セキュリティ管理装置の第２処理手段が、前記取得された検査対象に関する情報に基づく前記検査対象の正常性に関する検査が行われた後に、前記第１処理手段についての正常性を検査する、
　セキュリティ管理方法。
（付記２０）
　通常環境及びセキュア環境を有する処理装置のセキュリティを管理するセキュリティ管理装置に、
　前記通常環境にて動作する前記セキュリティ管理装置の第１処理手段が、正常性に関する検査対象であって前記通常環境に含まれる実行環境にて実行されるプログラムを含む検査対象に関する情報を取得し、
　前記セキュア環境にて動作する前記セキュリティ管理装置の第２処理手段が、前記取得された検査対象に関する情報に基づく前記検査対象の正常性に関する検査が行われた後に、前記第１処理手段についての正常性を検査する、
　処理を、実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
　１　電子機器
　２　セキュリティ管理サーバ
　１０　処理装置（プロセッサ）
　１０Ａ　仮想プロセッサ（通常環境）
　１０Ｂ　仮想プロセッサ（セキュア環境）
　１１　メモリ
　１２　入力／出力インタフェース
　１３　通信機
　２０　セキュリティ管理装置
　２１　処理部（第１処理部、セキュリティ機能）
　２２　処理部（第２処理部、セキュリティ機能）
　２２Ａ　仮想アドレス取得部
　２２Ｂ　実行コード取得部
　２２Ｃ　ハッシュ値算出部
　２２Ｄ　検査処理実行部
　３０　セキュリティ管理装置
　３１　処理部（第１処理部、セキュリティ機能）
　３２　処理部（第２処理部、セキュリティ機能）

Claims (20)

  1. 　通常環境及びセキュア環境を有する処理装置のセキュリティを管理するセキュリティ管理装置であって、
    　正常性に関する検査対象であって前記通常環境に含まれる実行環境にて実行されるプログラムを含む検査対象に関する情報を取得する、前記通常環境にて動作する第１処理手段と、
    　前記取得された検査対象に関する情報に基づく前記検査対象の正常性に関する検査が行われた後に、前記第１処理手段についての正常性を検査する、前記セキュア環境にて動作する第２処理手段と、
    　を具備する、セキュリティ管理装置。
  2. 　前記第２処理手段は、
    　前記第１処理手段の動作プログラムがメモリにて格納されているメモリ領域を示し且つ前記第１処理手段によって用いられる第１仮想アドレスに対応する、前記メモリ領域を示し且つ前記第２処理手段によって用いられる第２仮想アドレスを取得する、仮想アドレス取得手段と、
    　前記取得された第２仮想アドレスを用いて前記メモリ領域にアクセスして、前記動作プログラムの実行コードを取得する、実行コード取得手段と、
    　前記取得された実行コードに基づいて、前記実行コードのハッシュ値を算出するハッシュ値算出手段と、
    　前記算出されたハッシュ値と、前記実行コードの正解ハッシュ値とに基づいて、前記第１処理手段についての正常性を検査する、検査処理実行手段と、
    　を具備する請求項１記載のセキュリティ管理装置。
  3. 　前記第１処理手段は、前記第１仮想アドレスを変換して得られた物理アドレスを前記第２処理手段へ送出し、
    　前記仮想アドレス取得手段は、前記第１処理手段から送出された物理アドレスを前記第２仮想アドレスに変換する、
    　請求項２記載のセキュリティ管理装置。
  4. 　前記第２処理手段は、さらに、前記検査対象の正常性に関する検査が行われる前に、前記第１処理手段についての正常性を検査する、
    　請求項１から３のいずれか１項に記載のセキュリティ管理装置。
  5. 　前記第２処理手段は、前記検査対象の正常性に関する検査が行われる前に行われる前記第１処理手段についての正常性に関する検査を、現タイミングが定期的な検査実行タイミングであることを実行トリガとして、実行する、
    　請求項４記載のセキュリティ管理装置。
  6. 　前記第２処理手段は、前記検査対象の正常性に関する検査が行われる前に行われる前記第１処理手段についての正常性に関する検査を、前記第１処理手段からの検査要求を受け取ることを実行トリガとして、実行する、
    　請求項４記載のセキュリティ管理装置。
  7. 　前記第１処理手段は、前記検査対象を監視して前記検査対象の特定のイベントを検出したときに、又は、現タイミングが定期的な検査要求タイミングであるときに、前記検査要求を前記第２処理手段へ送出する、
    　請求項６記載のセキュリティ管理装置。
  8. 　前記第１処理手段は、前記取得した検査対象に関する情報に基づいて、前記検査対象の正常性を検査して、該検査の結果を前記第２処理手段へ送出し、
    　前記第２処理手段は、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の異常を示す場合、前記第１処理手段から送出された検査の結果を該検査の結果の内容に関わらず破棄する、
    　請求項１から７のいずれか１項に記載のセキュリティ管理装置。
  9. 　前記第１処理手段は、前記検査対象からの実行許可要求を受け取ったときに、前記検査要求を前記第２処理手段へ送出する、
    　請求項６記載のセキュリティ管理装置。
  10. 　前記第１処理手段は、前記取得した検査対象に関する情報に基づいて、前記検査対象の正常性を検査して、該検査の結果を前記第２処理手段へ送出し、
    　前記第２処理手段は、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の異常を示す場合、前記第１処理手段から送出された検査の結果を該検査の結果の内容に関わらず破棄する、
    　請求項９記載のセキュリティ管理装置。
  11. 　前記第２処理手段は、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の正常を示し、且つ、前記第１処理手段から送出された検査の結果が前記検査対象の正常を示す場合、前記検査対象に向けて実行許可を送出する、
    　請求項１０記載のセキュリティ管理装置。
  12. 　前記第２処理手段は、前記検査対象の正常性に関する検査が行われる前に行われる前記第１処理手段についての正常性に関する検査を、前記処理装置の外部に存在するセキュリティ管理サーバからの検査要求を受け取ることを実行トリガとして、実行する、
    　請求項４記載のセキュリティ管理装置。
  13. 　前記第１処理手段は、前記取得した検査対象に関する情報に基づいて、前記検査対象の正常性を検査して、該検査の結果を前記第２処理手段へ送出し、
    　前記第２処理手段は、前記検査対象の正常性に関する検査が行われる前後に行われる前記第１処理手段についての正常性に関する検査の結果、及び、前記第１処理手段から送出された検査の結果を、前記セキュリティ管理サーバに向けて送出する、
    　請求項１２記載のセキュリティ管理装置。
  14. 　前記第１処理手段は、前記取得した検査対象に関する情報を前記第２処理手段へ送出し、
    　前記第２処理手段は、前記第１処理手段から送出された検査対象に関する情報に基づいて、前記検査対象の正常性を検査し、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の異常を示す場合、前記検査対象の正常性に関する検査の結果を該検査の結果の内容に関わらず破棄する、
    　請求項１から７のいずれか１項に記載のセキュリティ管理装置。
  15. 　前記第１処理手段は、前記取得した検査対象に関する情報を前記第２処理手段へ送出し、
    　前記第２処理手段は、前記第１処理手段から送出された検査対象に関する情報に基づいて、前記検査対象の正常性を検査し、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の異常を示す場合、前記検査対象の正常性に関する検査の結果を該検査の結果の内容に関わらず破棄する、
    　請求項９記載のセキュリティ管理装置。
  16. 　前記第２処理手段は、前記検査対象の正常性に関する検査が行われた後に行われる前記第１処理手段についての正常性に関する検査の結果が前記第１処理手段の正常を示し、且つ、前記検査対象の正常性に関する検査の結果が前記検査対象の正常を示す場合、前記検査対象に向けて実行許可を送出する、
    　請求項１５記載のセキュリティ管理装置。
  17. 　前記第１処理手段は、前記取得した検査対象に関する情報を前記第２処理手段へ送出し、
    　前記第２処理手段は、前記第１処理手段から送出された検査対象に関する情報に基づいて、前記検査対象の正常性を検査し、前記検査対象の正常性に関する検査が行われる前後に行われる前記第１処理手段についての正常性に関する検査の結果、及び、前記検査対象の正常性に関する検査の結果を、前記セキュリティ管理サーバに向けて送出する、
    　請求項１２記載のセキュリティ管理装置。
  18. 　請求項１から１７のいずれか１項に記載のセキュリティ管理装置を具備する処理装置。
  19. 　通常環境及びセキュア環境を有する処理装置のセキュリティを管理するセキュリティ管理装置によって実行されるセキュリティ管理方法であって、
    　前記通常環境にて動作する前記セキュリティ管理装置の第１処理手段が、正常性に関する検査対象であって前記通常環境に含まれる実行環境にて実行されるプログラムを含む検査対象に関する情報を取得し、
    　前記セキュア環境にて動作する前記セキュリティ管理装置の第２処理手段が、前記取得された検査対象に関する情報に基づく前記検査対象の正常性に関する検査が行われた後に、前記第１処理手段についての正常性を検査する、
    　セキュリティ管理方法。
  20. 　通常環境及びセキュア環境を有する処理装置のセキュリティを管理するセキュリティ管理装置に、
    　前記通常環境にて動作する前記セキュリティ管理装置の第１処理手段が、正常性に関する検査対象であって前記通常環境に含まれる実行環境にて実行されるプログラムを含む検査対象に関する情報を取得し、
    　前記セキュア環境にて動作する前記セキュリティ管理装置の第２処理手段が、前記取得された検査対象に関する情報に基づく前記検査対象の正常性に関する検査が行われた後に、前記第１処理手段についての正常性を検査する、
    　処理を、実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
PCT/JP2019/028680 2019-07-22 2019-07-22 セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体 WO2021014539A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2021534431A JP7290166B2 (ja) 2019-07-22 2019-07-22 セキュリティ管理装置、セキュリティ管理方法、及びプログラム
US17/626,975 US20220261476A1 (en) 2019-07-22 2019-07-22 Security management device, security management method and non-transitory computer-readable medium
PCT/JP2019/028680 WO2021014539A1 (ja) 2019-07-22 2019-07-22 セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/028680 WO2021014539A1 (ja) 2019-07-22 2019-07-22 セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体

Publications (1)

Publication Number Publication Date
WO2021014539A1 true WO2021014539A1 (ja) 2021-01-28

Family

ID=74193512

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/028680 WO2021014539A1 (ja) 2019-07-22 2019-07-22 セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体

Country Status (3)

Country Link
US (1) US20220261476A1 (ja)
JP (1) JP7290166B2 (ja)
WO (1) WO2021014539A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022254519A1 (ja) * 2021-05-31 2022-12-08 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 監視装置、監視システムおよび監視方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007226277A (ja) * 2004-04-02 2007-09-06 Matsushita Electric Ind Co Ltd 仮想マシン改ざん検査方法、および仮想マシン改ざん検査装置
EP2819053A1 (en) * 2013-06-27 2014-12-31 ABB Technology AG Diagnosing a device in an automation and control system
JP2017033248A (ja) * 2015-07-31 2017-02-09 パナソニックＩｐマネジメント株式会社 処理装置、車載端末装置、処理装置の起動方法、及び処理装置の起動プログラム
JP2019057167A (ja) * 2017-09-21 2019-04-11 大日本印刷株式会社 コンピュータプログラム、デバイス及び判定方法

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4464454B1 (ja) * 2008-11-27 2010-05-19 Ｎｅｃエレクトロニクス株式会社 半導体装置及び半導体装置におけるベリファイ方法
EP2348444B1 (en) * 2009-12-16 2014-03-19 Nxp B.V. Data processing apparatus
KR102327782B1 (ko) * 2015-05-29 2021-11-18 한국과학기술원 전자 장치 및 커널 데이터 접근 방법
KR101834522B1 (ko) * 2016-04-22 2018-03-06 단국대학교 산학협력단 데이터 확인 장치 및 이를 이용하여 데이터를 확인하는 방법
JP6380468B2 (ja) * 2016-06-21 2018-08-29 マツダ株式会社 四輪駆動車の制御装置
KR102511451B1 (ko) * 2016-11-09 2023-03-17 삼성전자주식회사 리치 실행 환경에서 보안 어플리케이션을 안전하게 실행하는 컴퓨팅 시스템
CN111052116B (zh) * 2017-08-18 2023-11-03 日本电信电话株式会社 非法入侵防止装置、非法入侵防止方法以及记录介质
KR102416501B1 (ko) * 2017-09-20 2022-07-05 삼성전자주식회사 전자 장치 및 그의 제어 방법

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007226277A (ja) * 2004-04-02 2007-09-06 Matsushita Electric Ind Co Ltd 仮想マシン改ざん検査方法、および仮想マシン改ざん検査装置
EP2819053A1 (en) * 2013-06-27 2014-12-31 ABB Technology AG Diagnosing a device in an automation and control system
JP2017033248A (ja) * 2015-07-31 2017-02-09 パナソニックＩｐマネジメント株式会社 処理装置、車載端末装置、処理装置の起動方法、及び処理装置の起動プログラム
JP2019057167A (ja) * 2017-09-21 2019-04-11 大日本印刷株式会社 コンピュータプログラム、デバイス及び判定方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2022254519A1 (ja) * 2021-05-31 2022-12-08 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 監視装置、監視システムおよび監視方法
WO2022255247A1 (ja) * 2021-05-31 2022-12-08 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 監視装置、監視システム及び監視方法
JP2023002832A (ja) * 2021-05-31 2023-01-10 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 監視装置、監視システム及び監視方法
JP7253663B2 (ja) 2021-05-31 2023-04-06 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカ 監視装置、監視システム及び監視方法

Also Published As

Publication number Publication date
JPWO2021014539A1 (ja) 2021-01-28
US20220261476A1 (en) 2022-08-18
JP7290166B2 (ja) 2023-06-13

Similar Documents

Publication Publication Date Title
JP5639725B2 (ja) ソフトウェアの信頼性を測定する方法及び装置
JP5793764B2 (ja) マルウェアの誤検出を低減する方法及び装置
US8474037B2 (en) Stateless attestation system
KR101692817B1 (ko) 손상된 소프트웨어의 치료
CN112929326A (zh) 恶意域名访问的检测方法、装置及计算机可读存储介质
US8880667B2 (en) Self regulation of the subject of attestation
JP5920169B2 (ja) 不正コネクション検出方法、ネットワーク監視装置及びプログラム
US11055416B2 (en) Detecting vulnerabilities in applications during execution
JP2016144040A (ja) 情報処理端末、情報処理方法、及び情報処理システム
CN112685745B (zh) 一种固件检测方法、装置、设备及存储介质
US20190205219A1 (en) Data recovery with authenticity
US20160014123A1 (en) Apparatus and method for verifying integrity of applications
JP2009169661A (ja) セキュアｏｓのセキュリティポリシーの管理方法及びシステム
CN108306739A (zh) 一种用于检测用户身份信息的方法、服务器及计算机设备
CN105791250B (zh) 应用程序检测方法及装置
WO2021014539A1 (ja) セキュリティ管理装置、セキュリティ管理方法、及び非一時的なコンピュータ可読媒体
CN111433774B (zh) 用于***的完整性确认的方法和确认装置
US20220277083A1 (en) Backdoor inspection device, user device, system, method, and non-transitory computer-readable medium
JP2006146600A (ja) 動作監視サーバ、端末装置及び動作監視システム
CN111752819B (zh) 一种异常监控方法、装置、***、设备和存储介质
JP2016010031A (ja) 遠隔完全性検証システム、方法及びプログラム
WO2020233044A1 (zh) 一种插件校验方法、设备、服务器及计算机可读存储介质
CN109871294B (zh) 用于校验数据、处理请求的方法和装置
CN113157543B (zh) 一种可信度量方法及装置、服务器、计算机可读存储介质
KR20140037442A (ko) 모바일 환경에서 ｓｎｓ 콘텐츠의 사전 검증 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19938781

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021534431

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19938781

Country of ref document: EP

Kind code of ref document: A1