JP7765871B2 - 情報処理装置及び情報処理装置の制御方法 - Google Patents

Description

本開示は、情報処理装置及び情報処理装置の制御方法に関する。

サービス用オペレーティングシステム（以下、「サービス用ＯＳ」という）と、セキュリティ用オペレーティングシステム（以下、「セキュリティ用ＯＳ」という）と、サービス用ＯＳ及びセキュリティ用ＯＳの実行を制御する制御プログラムとを備えた情報処理装置が知られている（例えば、特許文献１参照）。

サービス用ＯＳは、サーバプログラムからの磁気ディスク内のファイルに対するアクセス要求をフック（取得）し、フックしたアクセス要求の正当性の判定をセキュリティ用ＯＳに要求する。セキュリティ用ＯＳは、ファイル毎に指定されたルールに基づいて、サーバプログラムからのアクセス要求が不正であるか否かを判定する。セキュリティ用ＯＳにより、サーバプログラムからのアクセス要求が不正であると判定された場合には、サービス用ＯＳは、セキュリティ用ＯＳからの判定結果に基づいて、エラーコードを生成する。

一方、セキュリティ用ＯＳにより、サーバプログラムからのアクセス要求が不正ではないと判定された場合には、サービス用ＯＳは、セキュリティ用ＯＳからの判定結果に基づいて、サーバプログラムからのアクセス要求に基づいて磁気ディスク内のファイルへのアクセスを実行する。

特許第４１７７９５７号公報

上述した従来の情報処理装置では、サービス用ＯＳに新たなアプリケーションが追加された場合に、セキュリティ用ＯＳには当該アプリケーションに関するファイルを保護するためのルールが存在せず、アクセス要求の正当性を精度良く判定することができない。

そこで、本開示は、アクセス要求の正当性を精度良く判定することができる情報処理装置及び情報処理装置の制御方法を提供する。

本開示の一態様に係る情報処理装置は、アプリケーションが保存されたアプリケーション保存領域を有し、前記アプリケーションを実行するオペレーティングシステムと、前記オペレーティングシステムからのアクセス要求に応じて、記憶装置に記憶されたセクタ群にアクセスする制御システムと、を備え、前記制御システムは、セクタ番号と当該セクタ番号に対応する前記記憶装置の記憶領域に記憶された前記セクタ群のセクタ群識別子との対応関係を示す対応情報を参照することにより、前記アクセス要求から、当該アクセス要求に含まれる前記セクタ番号と前記セクタ群識別子とを紐付けたアクセスデータを生成する解析部と、前記アクセスデータ、及び、前記記憶装置に記憶された前記セクタ群にアクセスするためのルールを示すルール情報に基づいて、前記アクセス要求が不正であるか否かを判定する監視部と、前記アクセスデータに基づいて、前記アクセス要求が前記記憶装置に記憶された前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであるか否かを判定する判定部と、前記アクセス要求が前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであると判定され、且つ、前記オペレーティングシステムにより前記アプリケーション保存領域の変更が行われた場合に、前記アプリケーションに関するアプリケーション情報を取得し、取得した前記アプリケーション情報に基づいて前記ルール情報及び前記対応情報を更新する管理部と、を有する。

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ－Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム及び記録媒体の任意な組み合わせで実現されてもよい。

本開示の一態様に係る情報処理装置等によれば、アクセス要求の正当性を精度良く判定することができる。

実施の形態に係る情報処理装置の構成を示すブロック図である。 実施の形態に係るデバイスアクセスログの一例を示す図である。 実施の形態に係るセクタ群データベースの一例を示す図である。 実施の形態に係るセクタ群アクセスログの一例を示す図である。 実施の形態に係るセクタ群アクセス情報の一例を示す図である。 実施の形態に係るセクタ群アクセスルールデータベースの一例を示す図である。 実施の形態に係る管理部の機能構成を示すブロック図である。 実施の形態に係るアプリケーションデータベースの一例を示す図である。 実施の形態に係る開発者定義ポリシーの一例を示す図である。 実施の形態に係るディレクトリ生成先ポリシーの一例を示す図である。 実施の形態に係るホストＯＳの全体動作の流れを示すフローチャートである。 実施の形態に係るアクセスログ解析部の動作の流れを示すフローチャートである。 実施の形態に係るセクタ群アクセス判定部の動作の流れを示すフローチャートである。 図１３のフローチャートのステップＳ３０５の処理を具体的に示すフローチャートである。 図１３のフローチャートのステップＳ３０５の処理を具体的に示すフローチャートである。 実施の形態に係るセクタ群アクセス判定部及び管理部の動作の流れを示すフローチャートである。 図１６のフローチャートのステップＳ６０２の処理を具体的に示すフローチャートである。 ゲストＯＳによりアプリケーションの追加が行われた場合における、図１６のフローチャートのステップＳ６０３の処理を具体的に示すフローチャートである。 ゲストＯＳによりアプリケーションの追加が行われた場合における、セクタ群アクセスルールデータベースの更新前後の一例を示す図である。 ゲストＯＳによりアプリケーションの追加が行われた場合における、セクタ群データベースの更新前後の一例を示す図である。 ゲストＯＳによりアプリケーションの削除が行われた場合における、図１６のフローチャートのステップＳ６０３の処理を具体的に示すフローチャートである。 ゲストＯＳによりアプリケーションの削除が行われた場合における、セクタ群アクセスルールデータベースの更新前後の一例を示す図である。 ゲストＯＳによりアプリケーションの削除が行われた場合における、セクタ群データベースの更新前後の一例を示す図である。 ゲストＯＳによりアプリケーションの更新が行われた場合における、図１６のフローチャートのステップＳ６０３の処理を具体的に示すフローチャートである。 ゲストＯＳによりアプリケーションの更新が行われた場合における、セクタ群アクセスルールデータベースの更新前後の一例を示す図である。 ゲストＯＳによりアプリケーションの更新が行われた場合における、セクタ群データベースの更新前後の一例を示す図である。

本開示の一態様に係る情報処理装置は、アプリケーションが保存されたアプリケーション保存領域を有し、前記アプリケーションを実行するオペレーティングシステムと、前記オペレーティングシステムからのアクセス要求に応じて、記憶装置に記憶されたセクタ群にアクセスする制御システムと、を備え、前記制御システムは、セクタ番号と当該セクタ番号に対応する前記記憶装置の記憶領域に記憶された前記セクタ群のセクタ群識別子との対応関係を示す対応情報を参照することにより、前記アクセス要求から、当該アクセス要求に含まれる前記セクタ番号と前記セクタ群識別子とを紐付けたアクセスデータを生成する解析部と、前記アクセスデータ、及び、前記記憶装置に記憶された前記セクタ群にアクセスするためのルールを示すルール情報に基づいて、前記アクセス要求が不正であるか否かを判定する監視部と、前記アクセスデータに基づいて、前記アクセス要求が前記記憶装置に記憶された前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであるか否かを判定する判定部と、前記アクセス要求が前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであると判定され、且つ、前記オペレーティングシステムにより前記アプリケーション保存領域の変更が行われた場合に、前記アプリケーションに関するアプリケーション情報を取得し、取得した前記アプリケーション情報に基づいて前記ルール情報及び前記対応情報を更新する管理部と、を有する。

本態様によれば、オペレーティングシステムによりアプリケーション保存領域の変更が行われるのに応じて、ルール情報及び対応情報を更新する。これにより、例えばオペレーティングシステムに新たなアプリケーションが追加された際において、仮にオペレーティングシステムのアクセス制御機能が不正なコンピュータプログラムにより無効化又は改ざん等された場合であっても、更新されたルール情報及び対応情報に基づいて、オペレーティングシステムからのアクセス要求の正当性を精度良く判定することができる。

例えば、前記アプリケーション保存領域の変更は、前記アプリケーションの追加、削除及び更新のいずれかであるように構成してもよい。

本態様によれば、オペレーティングシステムによりアプリケーションの追加、削除及び更新のいずれかが行われるのに応じて、ルール情報及び対応情報を更新することができる。

例えば、前記管理部は、前記アプリケーション保存領域に保存された前記アプリケーションに関するアプリケーションデータベースを有しており、前記アクセス要求が前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであると判定された場合に、前記アプリケーション保存領域と前記アプリケーションデータベースとを比較することにより、前記オペレーティングシステムにより前記アプリケーションの追加、削除及び更新のいずれが行われたかを判定するように構成してもよい。

本態様によれば、アプリケーション保存領域とアプリケーションデータベースとを比較することにより、オペレーティングシステムによりアプリケーションの追加、削除及び更新のいずれが行われたかを容易に判定することができる。

例えば、前記管理部は、前記オペレーティングシステムにより前記アプリケーションの追加が行われた場合に、追加された前記アプリケーションに関する前記ルールを前記ルール情報に追加し、且つ、追加された前記アプリケーションに関する前記対応関係を前記対応情報に追加するように構成してもよい。

本態様によれば、オペレーティングシステムによりアプリケーションの追加が行われた場合に、ルール情報及び対応情報を適切に更新することができる。

例えば、前記管理部は、前記オペレーティングシステムにより前記アプリケーションの削除が行われた場合に、削除された前記アプリケーションに関する前記ルールを前記ルール情報から削除し、且つ、削除された前記アプリケーションに関する前記対応関係を前記対応情報から削除するように構成してもよい。

本態様によれば、オペレーティングシステムによりアプリケーションの削除が行われた場合に、ルール情報及び対応情報を適切に更新することができる。

例えば、前記管理部は、前記オペレーティングシステムにより前記アプリケーションの更新が行われた場合に、前記ルール情報において更新された前記アプリケーションに関する前記ルールを変更し、且つ、前記対応情報において更新された前記アプリケーションに関する前記対応関係を変更するように構成してもよい。

本態様によれば、オペレーティングシステムによりアプリケーションの更新が行われた場合に、ルール情報及び対応情報を適切に更新することができる。

例えば、前記管理部は、前記アプリケーション情報として、前記アプリケーションを保護するための条件が定義された開発者定義ポリシー、又は、前記アプリケーションを保護するために設けられた保護ルールに基づいて、前記ルール情報及び前記対応情報を更新するように構成してもよい。

本態様によれば、開発者定義ポリシー又は保護ルールに基づいて、ルール情報及び対応情報を容易に更新することができる。

本開示の一態様に係る情報処理装置の制御方法は、アプリケーションが保存されたアプリケーション保存領域を有し、前記アプリケーションを実行するオペレーティングシステムと、前記オペレーティングシステムからのアクセス要求に応じて、記憶装置に記憶されたセクタ群にアクセスする制御システムと、を備えた情報処理装置の制御方法であって、セクタ番号と当該セクタ番号に対応する前記記憶装置の記憶領域に記憶された前記セクタ群のセクタ群識別子との対応関係を示す対応情報を参照することにより、前記アクセス要求から、当該アクセス要求に含まれる前記セクタ番号と前記セクタ群識別子とを紐付けたアクセスデータを生成するステップと、前記アクセスデータ、及び、前記記憶装置に記憶された前記セクタ群にアクセスするためのルールを示すルール情報に基づいて、前記アクセス要求が不正であるか否かを判定するステップと、前記アクセスデータに基づいて、前記アクセス要求が前記記憶装置に記憶された前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであるか否かを判定するステップと、前記アクセス要求が前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであると判定され、且つ、前記オペレーティングシステムにより前記アプリケーション保存領域の変更が行われた場合に、前記アプリケーションに関するアプリケーション情報を取得し、取得した前記アプリケーション情報に基づいて前記ルール情報及び前記対応情報を更新するステップと、を含む。

本態様によれば、オペレーティングシステムによりアプリケーション保存領域の変更が行われるのに応じて、ルール情報及び対応情報を更新する。これにより、例えばオペレーティングシステムに新たなアプリケーションが追加された際において、仮にオペレーティングシステムのアクセス制御機能が不正なコンピュータプログラムにより無効化又は改ざん等された場合であっても、更新されたルール情報及び対応情報に基づいて、オペレーティングシステムからのアクセス要求の正当性を精度良く判定することができる。

なお、これらの包括的又は具体的な態様は、システム、方法、集積回路、コンピュータプログラム又はコンピュータで読み取り可能なＣＤ－ＲＯＭ等の記録媒体で実現されてもよく、システム、方法、集積回路、コンピュータプログラム又は記録媒体の任意な組み合わせで実現されてもよい。

以下、実施の形態について、図面を参照しながら具体的に説明する。

なお、以下で説明する実施の形態は、いずれも包括的又は具体的な例を示すものである。以下の実施の形態で示される数値、形状、材料、構成要素、構成要素の配置位置及び接続形態、ステップ、ステップの順序等は、一例であり、本開示を限定する主旨ではない。また、以下の実施の形態における構成要素のうち、最上位概念を示す独立請求項に記載されていない構成要素については、任意の構成要素として説明される。

（実施の形態）
［１．情報処理装置の構成］
まず、図１～図６を参照しながら、実施の形態に係る情報処理装置２の構成について説明する。図１は、実施の形態に係る情報処理装置２の構成を示すブロック図である。図２は、実施の形態に係るデバイスアクセスログ３６の一例を示す図である。図３は、実施の形態に係るセクタ群データベース３０の一例を示す図である。図４は、実施の形態に係るセクタ群アクセスログ３８の一例を示す図である。図５は、実施の形態に係るセクタ群アクセス情報３２の一例を示す図である。図６は、実施の形態に係るセクタ群アクセスルールデータベース３４の一例を示す図である。

図１に示すように、実施の形態に係る情報処理装置２は、ハードウェア４と、仮想化制御システム６と、複数のゲストオペレーティングシステム８（以下、「ゲストＯＳ８」という）と、ホストオペレーティングシステム１０（以下、「ホストＯＳ１０」という）とを備えている。情報処理装置２は、例えば自動車等の車両における不正アクセスを判定するための装置である。

情報処理装置２には、外部記憶デバイス１２が電気的に接続されている。外部記憶デバイス１２は、記憶装置の一例であり、例えばハードディスクドライブ（ＨＤＤ）等で構成される。外部記憶デバイス１２は、セクタ群（データ）を記憶するための複数の記憶領域を有している。これらの複数の記憶領域にはそれぞれ、複数のセクタ番号が割り当てられている。セクタ番号は、後述するようにホストＯＳ１０がゲストＯＳ８からのアクセス要求に応じて外部記憶デバイス１２に記憶されたセクタ群にアクセスする際に、当該セクタ群が記憶された外部記憶デバイス１２の記憶領域を指定するためのものであり、例えば４桁の数字で構成される。

本明細書において、セクタ群とは、ファイル自体やファイルの情報を記載している情報（例えば、Ｌｉｎｕｘ（登録商標）のｉ－ｎｏｄｅ情報等）、ファイルシステムの情報を意味する。セクタ群は、例えばアプリケーション１５（後述する）に関するファイル等を含む。また、セクタ群名とは、セクタ群識別子の一例であり、ファイル自体を表すファイル名、あるいは、ファイルの情報が記載されている情報の特定名称（例えば、ディレクトリ名での指定等）を意味する。ファイルの情報とは、ファイル名やファイルのサイズ、アクセスのパーミッション、変更履歴、アクセス制御システムに要する情報等を含むメタ情報を意味する。

ハードウェア４は、例えばＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）又はＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ Ｃｏｎｔｒｏｌ Ｕｎｉｔ）等を有するプロセッサを含み、複数のコンピュータプログラムの実行環境を提供する。なお、ハードウェア４は、１つのプロセッサで構成されてもよいし、複数のプロセッサで構成されてもよい。

仮想化制御システム６は、ハードウェア４上で実行され、複数のゲストＯＳ８及びホストＯＳ１０の実行を制御する仮想化ソフトウェアであり、制御システムの一例である。この仮想化制御システム６により、１つのハードウェア４上に異なる複数のＯＳ（複数のゲストＯＳ８及びホストＯＳ１０）を仮想化して搭載することができる。なお、本実施の形態では、仮想化制御システム６は、いわゆるＴｙｐｅ１型（ベアメタル型）と呼ばれるハイパーバイザである。ここで、仮想化制御システム６とは、ハイパーバイザを通して仮想化システム上で動作するゲストＯＳ８のＩ／Ｏ情報を受け取り、実際の外部記憶デバイス１２との間でＩ／Ｏ情報をやりとりするシステムを示す。

複数のゲストＯＳ８の各々は、仮想化制御システム６上で動作する例えばＬｉｎｕｘ等のフロントエンドＶＭ（Ｖｉｒｔｕａｌ Ｍａｃｈｉｎｅ）であり、オペレーティングシステムの一例である。複数のゲストＯＳ８の各々は、複数のプロセス１４と、アプリケーション１５と、アクセス制御機能１６と、フロントエンド－デバイスドライバ１８とを有している。図１では、説明の都合上、１つのゲストＯＳ８のみを図示してある。なお、本実施の形態では、複数のゲストＯＳ８が仮想化制御システム６上で動作するように構成したが、これに限定されず、１つのゲストＯＳ８のみが仮想化制御システム６上で動作するように構成してもよい。

複数のプロセス１４の各々は、ゲストＯＳ８の各種機能を実行するためのコンピュータプログラムである。複数のプロセス１４の各々は、ゲストＯＳ８の各種機能を実行するために、外部記憶デバイス１２に記憶されたセクタ群へのアクセス（例えば、セクタ群への書き込み、又は、セクタ群の読み出し）を要求するためのアクセス要求を生成する。また、複数のプロセス１４の各々は、例えばユーザの操作等に基づいて、アプリケーション保存領域の変更、具体的には、アプリケーション１５の追加（インストール）、削除（アンインストール）及び更新（バージョンアップ等）を行う。図１では、説明の都合上、１つのプロセス１４のみを図示してある。ここで、アプリケーション保存領域とは、アプリケーション１５を保存するためのディレクトリ、又は、外部記憶装置内のアプリケーション専用のセクタ群等を意味する。

アプリケーション１５は、アプリケーション配信プラットフォームからゲストＯＳ８にダウンロードされ、ゲストＯＳ８内のアプリケーション保存領域に保存されたアプリケーションソフトウェアである。アプリケーション１５は、例えば、ナビゲーション機能を実行可能なアプリケーション、及び、音楽又は映像等のコンテンツの再生機能を実行可能なアプリケーション等である。ゲストＯＳ８内のアプリケーション保存領域には、アプリケーション１５に関するファイルが格納されたディレクトリが保存されている。このディレクトリには、アプリケーション１５に関するファイルとして、例えばアプリケーション１５を保護するための条件が定義された開発者定義ポリシー１５ａ等が格納されている。開発者定義ポリシー１５ａは、アプリケーション１５に関するアプリケーション情報の一例である。なお、図１では、説明の都合上、１つのアプリケーション１５のみを図示しているが、複数のアプリケーション１５がアプリケーション保存領域に保存されていてもよい。

アクセス制御機能１６は、複数のプロセス１４の各々により生成されたアクセス要求を監視するためのセキュリティ機能である。例えば、マルウェア等の不正なコンピュータプログラムがゲストＯＳ８上で実行され、外部記憶デバイス１２に記憶されたセクタ群に不正にアクセスしようとした場合に、アクセス制御機能１６は、不正なコンピュータプログラムにより生成されたアクセス要求を破棄する。

フロントエンド－デバイスドライバ１８は、ゲストＯＳ８に構成された仮想的なネットワークインターフェースを駆動するための仮想デバイスドライバ（ＶｉｒｔＩＯ）である。フロントエンド－デバイスドライバ１８は、複数のプロセス１４の各々により生成されたアクセス要求を、仮想化制御システム６を介してホストＯＳ１０のバックエンド－デバイスドライバ２０（後述する）に送信する。また、フロントエンド－デバイスドライバ１８は、ホストＯＳ１０のバックエンド－デバイスドライバ２０からのアクセス応答（後述する）を、仮想化制御システム６を介して受信する。

ホストＯＳ１０は、仮想化制御システム６上で動作する例えばＬｉｎｕｘ等のバックエンドＶＭであり、制御システムの一例である。ホストＯＳ１０は、バックエンド－デバイスドライバ２０と、記憶部２２と、アクセスログ解析部２４と、セクタ群アクセス判定部２６と、制御対応部２８とを有している。

バックエンド－デバイスドライバ２０は、ホストＯＳ１０に構成された仮想的なネットワークインターフェースを駆動するための仮想デバイスドライバ（ＶｉｒｔＩＯ）である。バックエンド－デバイスドライバ２０は、ゲストＯＳ８のフロントエンド－デバイスドライバ１８からのアクセス要求を、仮想化制御システム６を介して取得（受信）し、取得したアクセス要求をアクセスログ解析部２４に出力する。

また、後述するようにセクタ群アクセス判定部２６によりアクセス要求が不正ではないと判定された場合には、バックエンド－デバイスドライバ２０は、当該アクセス要求に応じて、外部記憶デバイス１２に記憶されたセクタ群にアクセスする。この場合、バックエンド－デバイスドライバ２０は、外部記憶デバイス１２に記憶されたセクタ群にアクセスした結果を示すアクセス応答を、仮想化制御システム６を介してゲストＯＳ８のフロントエンド－デバイスドライバ１８に送信する。

記憶部２２は、セクタ群データベース３０、セクタ群アクセス情報３２及びセクタ群アクセスルールデータベース３４を記憶するメモリである。これらのセクタ群データベース３０、セクタ群アクセス情報３２及びセクタ群アクセスルールデータベース３４については、後述する。

アクセスログ解析部２４は、解析部の一例であり、バックエンド－デバイスドライバ２０により取得されたアクセス要求のログとして、デバイスアクセスログ３６を取得する。ここで、デバイスアクセスログ３６は、例えば図２に示すようなテーブル形式のデータベースである。図２に示すように、デバイスアクセスログ３６では、タイムスタンプと、操作対象ＶＭと、操作種別と、セクタ番号と、ペイロードとが対応付けられている。タイムスタンプは、ゲストＯＳ８のフロントエンド－デバイスドライバ１８がアクセス要求を送信した日時を示す情報である。操作対象ＶＭは、アクセス要求の送信元であるゲストＯＳ８を示す情報であり、例えば複数のゲストＯＳ８にそれぞれ割り当てられた、「１」、「２」、・・・、「ｎ」の連続番号である。操作種別は、アクセス要求によるセクタ群の操作の種別を示す情報であり、例えば「ｒｅａｄ」（セクタ群の読み出し）又は「ｗｒｉｔｅ」（セクタ群への書き込み）である。セクタ番号は、外部記憶デバイス１２におけるセクタ群の記憶領域を指定するための情報である。ペイロードは、操作要求の内容（例えば、どのような内容を書き込むか等の情報）を示す情報である。

図２に示す例では、デバイスアクセスログ３６の１行目には、ａ）タイムスタンプ「２０２１年９月３日１８：３９：０１．０３２」、ｂ）操作対象ＶＭ「１」、ｃ）操作種別「ｒｅａｄ」、ｄ）セクタ番号「１１１１」、ｅ）ペイロード「ｅ３８１８２（以下略）」がそれぞれ格納されている。すなわち、デバイスアクセスログ３６の１行目は、「２０２１年９月３日１８：３９：０１．０３２」の日時に、番号「１」が割り当てられたゲストＯＳ８が、セクタ番号「１１１１」に対応する外部記憶デバイス１２の記憶領域に記憶されたセクタ群の読み出し（ｒｅａｄ）を要求するためのアクセス要求を送信したことを意味している。

また、アクセスログ解析部２４は、記憶部２２に記憶されたセクタ群データベース３０に基づいて、デバイスアクセスログ３６からセクタ群アクセスログ３８を生成する。ここで、セクタ群データベース３０は、例えば図３に示すようなテーブル形式のデータベースであり、対応情報の一例である。図３に示すように、セクタ群データベース３０は、セクタ番号と、当該セクタ番号に対応する外部記憶デバイス１２の記憶領域に記憶されたセクタ群のセクタ群名との対応関係を示すデータベースである。このセクタ群データベース３０は、例えば情報処理装置２の初回起動時に生成される。なお、図３では、セクタ群名とセクタ群とが１対１に対応している例を示しているが、これに限定されず、１つのセクタ群名に対して複数のセクタ群が対応していてもよい。

図３に示す例では、セクタ群データベース３０の１行目には、ａ）セクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」、ｂ）セクタ番号「１１１１」が格納されている。すなわち、セクタ群データベース３０の１行名は、セクタ番号「１１１１」に対応する外部記憶デバイス１２の記憶領域には、セクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」のセクタ群が記憶されていることを意味している。なお、アクセス要求のログが増大することにより、セクタ番号が追加された場合には、セクタ群データベース３０が更新される。

アクセスログ解析部２４は、まず、デバイスアクセスログ３６から監視対象のゲストＯＳ８（例えば、番号「１」が割り当てられたゲストＯＳ８）に関するログのみを抽出する。次に、アクセスログ解析部２４は、記憶部２２に記憶されたセクタ群データベース３０を参照し、抽出したデバイスアクセスログ３６のログに含まれるセクタ番号と、当該セクタ番号に対応するセクタ群名とを紐付けることにより、セクタ群アクセスログ３８を生成する。アクセスログ解析部２４は、生成したセクタ群アクセスログ３８をセクタ群アクセス判定部２６に出力する。

ここで、セクタ群アクセスログ３８は、例えば図４に示すようなテーブル形式のデータベースであり、アクセスデータの一例である。図４に示すように、セクタ群アクセスログ３８では、タイムスタンプと、操作種別と、セクタ番号と、セクタ群名と、ペイロードとが対応付けられている。

図４に示す例では、セクタ群アクセスログ３８の１行目には、ａ）タイムスタンプ「２０２１年９月３日１８：３９：０１．０３２」、ｂ）操作種別「ｒｅａｄ」、ｃ）セクタ番号「１１１１」、ｄ）セクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」、ｅ）ペイロード「ｅ３８１８２（以下省略）」がそれぞれ格納されている。すなわち、セクタ群アクセスログ３８の１行目は、「２０２１年９月３日１８：３９：０１．０３２」の日時に、番号「１」が割り当てられたゲストＯＳ８が、セクタ番号「１１１１」に対応する外部記憶デバイス１２の記憶領域に記憶された、セクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」のセクタ群の読み出し（ｒｅａｄ）を要求するためのアクセス要求を送信したことを意味している。

また、アクセスログ解析部２４は、生成したセクタ群アクセスログ３８に基づいて、記憶部２２に記憶されたセクタ群アクセス情報３２を更新する。ここで、セクタ群アクセス情報３２は、例えば図５に示すようなテーブル形式のデータベースである。図５に示すように、セクタ群アクセス情報３２では、セクタ群名と、最終アクセス日時と、最後にアクセスしたプロセスと、最後の操作と、最終のセクタ番号とが対応付けられている。

図５に示す例では、セクタ群アクセス情報３２の１行目には、ａ）セクタ群名「／ｖａｒ／ｌｏｇ／ｓｙｓｔｅｍ．ｌｏｇ」、ｂ）最終アクセス日時「２０２１年９月１７日０４：４３：２１．２１３」、ｃ）最後にアクセスしたプロセス「ｓｙｓｔｅｍｌｏｇｄ」、ｄ）最後の操作「ｗｒｉｔｅ」、ｅ）最終のセクタ番号「１２３４」がそれぞれ格納されている。すなわち、セクタ群アクセス情報３２の１行目は、セクタ群名「／ｖａｒ／ｌｏｇ／ｓｙｓｔｅｍ．ｌｏｇ」のセクタ群に対する最後のアクセスが、「２０２１年９月１７日０４：４３：２１．２１３」の日時に、プロセス「ｓｙｓｔｅｍｌｏｇｄ」による、セクタ番号「１２３４」に対応する外部記憶デバイス１２の記憶領域へのセクタ群の書き込み（ｗｒｉｔｅ）であったことを意味している。

セクタ群アクセス判定部２６は、監視部の一例であり、記憶部２２に記憶されたセクタ群アクセス情報３２及びセクタ群アクセスルールデータベース３４と、セクタ群アクセスログ３８とに基づいて、ゲストＯＳ８からのアクセス要求が不正であるか否かを判定する。

ここで、セクタ群アクセスルールデータベース３４は、外部記憶デバイス１２に記憶されたセクタ群毎に、当該セクタ群のセクタ群名と、当該セクタ群にアクセスするためのルールとの対応関係を示すデータベースである。具体的には、セクタ群アクセスルールデータベース３４は、例えば図６に示すようなテーブル形式のデータベースであり、ルール情報の一例である。図６に示すように、セクタ群アクセスルールデータベース３４では、セクタ群名と、アクセス許可プロセスと、アクセス許可操作と、セクタ群種別とが対応付けられている。アクセス許可プロセスは、セクタ群に対してアクセスが許可されたプロセスを示す情報（ルール）である。アクセス許可操作は、セクタ群に対してアクセスが許可された操作を示す情報（ルール）である。セクタ群種別は、セクタ群の種別（個人情報、ログ、ｉ－ｎｏｄｅ）を示す情報である。

図６に示す例では、セクタ群アクセスルールデータベース３４の１行目には、ａ）セクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」、ｂ）アクセス許可プロセス「ｕｐｄａｔｅｓｅｒｖｉｃｅ」、ｃ）アクセス許可操作「ｒｅａｄ」、ｄ）セクタ群種別「個人情報」がそれぞれ格納されている。すなわち、セクタ群アクセスルールデータベース３４の１行目は、「個人情報」を含むセクタ群名「／ｈｏｍｅ／ｋｅｙ／ｓｅｃｒｅｔ．ｄａｔ」のセクタ群に対して、アクセスが許可されるプロセスは「ｕｐｄａｔｅｓｅｒｖｉｃｅ」であり、且つ、アクセスが許可される操作は読み出し（ｒｅａｄ）であることを意味している。

なお、本実施の形態では、セクタ群アクセスルールデータベース３４は、外部記憶デバイス１２に記憶されたセクタ群にアクセスするためのルールとして、当該セクタ群に対してアクセスが許可されるプロセス及び操作を含むようにしたが、これに限定されず、プロセス及び操作のいずれか一方のみを含むようにしてもよい。

セクタ群アクセス判定部２６は、セクタ群アクセスルールデータベース３４とセクタ群アクセスログ３８とを比較することにより、外部記憶デバイス１２に記憶されたセクタ群にアクセスしようとしているプロセス及び操作が、セクタ群アクセスルールデータベース３４により規定されたルールに合致しているか否かを判定する。また、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２とセクタ群アクセスログ３８とを比較することにより、ゲストＯＳ８によるセクタ群へのアクセスのビヘイビア（振る舞い）が、許可されたビヘイビアであるか否かを判定する。セクタ群アクセス判定部２６は、判定結果を制御対応部２８に出力する。

なお、許可されたビヘイビアは、例えば、ａ）ログファイル（ログを示すセクタ群）に追記する操作、ｂ）情報処理装置２の初回起動時におけるセクタ群の読み込み操作等である。前者については、一般に、ログファイルにｗｒｉｔｅ権限が与えられていたとしても、ログファイルに対する追記が発生するのみであるため、ログファイルの一部を改変又は消去しようとする操作は、不正なアクセスであると判定可能である。また、後者については、一般に、例えばゲストＯＳ８のアクセス制御機能１６のポリシー等を示すセクタ群は、情報処理装置２の初回起動時にのみ読み込まれるため、初回起動時から相当時間が経過した後に当該セクタ群を読み込もうとする操作は、不正なアクセスであると判定可能である。

また、セクタ群アクセス判定部２６は、判定部の一例であり、セクタ群アクセスログ３８に含まれるセクタ番号に基づいて、ゲストＯＳ８からのアクセス要求が、外部記憶デバイス１２に記憶されたアプリケーション１５に関するセクタ群へのアクセスを要求するものであるか否かを判定する。セクタ群アクセス判定部２６は、判定結果を管理部４２（後述する）に出力する。

制御対応部２８は、セクタ群アクセス判定部２６の判定結果に基づいて、対応を制御する。具体的には、制御対応部２８は、セクタ群アクセス判定部２６によりアクセス要求が不正であると判定された場合には、ＳＩＥＭ（Ｓｅｃｕｒｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ ａｎｄ Ｅｖｅｎｔ Ｍａｎａｇｅｍｅｎｔ）機能を備える外部サーバ４０へのエラー通知等を行う。また、制御対応部２８は、セクタ群アクセス判定部２６によりアクセス要求が不正ではないと判定された場合には、アクセス要求に応じて外部記憶デバイス１２に記憶されたセクタ群にアクセスするようにバックエンド－デバイスドライバ２０に指示する。

図１に示すように、ホストＯＳ１０は、さらに、管理部４２を有している。以下、図７～図１０を参照しながら、管理部４２の機能構成について説明する。図７は、実施の形態に係る管理部４２の機能構成を示すブロック図である。図８は、実施の形態に係るアプリケーションデータベース４４の一例を示す図である。図９は、実施の形態に係る開発者定義ポリシー１５ａの一例を示す図である。図１０は、実施の形態に係るディレクトリ生成先ポリシー５２の一例を示す図である。

図７に示すように、管理部４２は、アプリケーションデータベース４４と、変更種別判定部４６と、取得部４８と、更新部５０とを有している。

アプリケーションデータベース４４は、ゲストＯＳ８のアプリケーション保存領域に保存されているアプリケーション１５に関するデータベースである。具体的には、アプリケーションデータベース４４は、例えば図８に示すようなテーブル形式のデータベースである。図８に示すように、アプリケーションデータベース４４では、アプリケーション名と、監視・保護対象セクタ群名と、セクタ群属性と、最終更新日時とが対応付けられている。アプリケーション名は、アプリケーション１５の名称である。監視・保護対象セクタ群名は、ゲストＯＳ８のアプリケーション保存領域内のディレクトリに格納されている、アプリケーション１５に関するセクタ群の名称である。セクタ群属性は、セクタ群の属性（アプリケーション本体、アプリケーション構成要素、開発者定義ポリシー）を示す情報である。最終更新日時は、セクタ群が最後に更新された日時である。なお、アプリケーションデータベース４４は、例えば所定の期間毎に、ゲストＯＳ８のアプリケーション保存領域と同期するように更新される。

変更種別判定部４６は、セクタ群アクセス判定部２６によりアクセス要求がアプリケーション１５に関するセクタ群へのアクセスを要求するものであると判定されたことをトリガーとして、ゲストＯＳ８のアプリケーション保存領域を探索する。そして、変更種別判定部４６は、アプリケーション保存領域とアプリケーションデータベース４４とを比較することにより、ゲストＯＳ８によりアプリケーション１５の追加、削除及び更新のいずれが行われたかを判定する。変更種別判定部４６は、判定結果を取得部４８及び更新部５０に出力する。

取得部４８は、変更種別判定部４６からの判定結果に基づいて、仮想化制御システム６を介して、ゲストＯＳ８のアプリケーション保存領域からアプリケーション１５の開発者定義ポリシー１５ａを取得する。取得部４８は、取得した開発者定義ポリシー１５ａを更新部５０に出力する。

ここで、開発者定義ポリシー１５ａは、例えば図９に示すようなテーブル形式のデータベースである。図９に示すように、開発者定義ポリシー１５ａでは、保存先ディレクトリＩＤと、セクタ群名と、アクセス許可プロセスと、アクセス許可操作と、種別とが対応付けられている。

なお、ゲストＯＳ８のアプリケーション保存領域には、開発者定義ポリシー１５ａとともに、ディレクトリ生成先ポリシー５２が保存されている。ディレクトリ生成先ポリシー５２は、開発者定義ポリシー１５ａの保存先であるディレクトリを生成するためのポリシーであり、例えば図１０に示すようなテーブル形式のデータベースである。図１０に示すように、ディレクトリ生成先ポリシー５２では、ディレクトリＩＤと、ディレクトリ作成場所と、ディレクトリ名と、アクセス許可操作と、種別とが対応付けられている。ディレクトリ生成先ポリシー５２のディレクトリＩＤは、開発者定義ポリシー１５ａの保存先ディレクトリＩＤに対応している。なお、ディレクトリ作成場所のアプリケーション関連ファイル保存領域は、アプリケーション保存領域とは別のファイルパスでもよいし、アプリケーション保存領域と同じファイルパスでもよい。

更新部５０は、セクタ群アクセス判定部２６によりアクセス要求がアプリケーション１５に関するセクタ群へのアクセスを要求するものであると判定され、且つ、変更種別判定部４６によりゲストＯＳ８がアプリケーション１５の追加、削除及び更新のいずれかを行ったと判定されたことをトリガーとして、セクタ群データベース３０及びセクタ群アクセスルールデータベース３４を更新する。

［２．情報処理装置の動作］
［２－１．ホストＯＳの全体動作］
図１１を参照しながら、実施の形態に係るホストＯＳ１０の全体動作について説明する。図１１は、実施の形態に係るホストＯＳ１０の全体動作の流れを示すフローチャートである。

図１１に示すように、まず、アクセスログ解析部２４は、バックエンド－デバイスドライバ２０により取得されたアクセス要求のログとして、デバイスアクセスログ３６を取得する（Ｓ１０１）。

次に、アクセスログ解析部２４は、デバイスアクセスログ３６から監視対象のゲストＯＳ８に関するログのみを抽出した上で、記憶部２２に記憶されたセクタ群データベース３０を参照し、抽出したログに含まれるセクタ番号と、当該セクタ番号に対応するセクタ群名とを紐付けることにより、セクタ群アクセスログ３８を生成する（Ｓ１０２）。

次に、セクタ群アクセス判定部２６は、記憶部２２に記憶されたセクタ群アクセス情報３２及びセクタ群アクセスルールデータベース３４と、セクタ群アクセスログ３８とに基づいて、ゲストＯＳ８のアクセス要求が不正であるか否かを判定する（Ｓ１０３）。セクタ群アクセス判定部２６は、判定結果を制御対応部２８に出力する。

セクタ群アクセス判定部２６によりアクセス要求が不正であると判定された場合には（Ｓ１０３でＹＥＳ）、制御対応部２８は、セクタ群アクセスログ３８に含まれるセクタ群名に基づいて、当該アクセス要求の対象となっているセクタ群の種別を判定する（Ｓ１０４）。

セクタ群の種別が「ログ」である場合には（Ｓ１０４で「ログ」）、制御対応部２８は、外部サーバ４０にエラーを通知する（Ｓ１０５）。この場合、制御対応部２８が外部サーバ４０にエラーを通知するタイミングは、予め定められた定期的なタイミング（例えば、５分毎のタイミング）である。この時、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２のうち、不正なアクセス要求に関する内容を消去する。その後、図１１のフローチャートを終了する。

一方、セクタ群の種別が「個人情報」である場合には（Ｓ１０４で「個人情報」）、制御対応部２８は、外部サーバ４０にエラーを通知するとともに、当該アクセス要求に応じたセクタ群へのアクセスを停止するようにバックエンド－デバイスドライバ２０に指示する（Ｓ１０６）。この場合、制御対応部２８が外部サーバ４０にエラーを通知し、且つ、セクタ群へのアクセスを停止するタイミングは、即時のタイミングである。なお、制御対応部２８は、外部サーバ４０にエラーを通知する際に、不正と判定されたセクタ群アクセスログ３８を併せて通知してもよい。この時、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２のうち、不正なアクセス要求に関する内容を消去する。その後、図１１のフローチャートを終了する。

ステップＳ１０３に戻り、セクタ群アクセス判定部２６によりアクセス要求が不正ではないと判定された場合には（Ｓ１０３でＮＯ）、制御対応部２８は、アクセス要求に応じて外部記憶デバイス１２に記憶されたセクタ群にアクセスするようにバックエンド－デバイスドライバ２０に指示する（Ｓ１０７）。この時、セクタ群アクセス判定部２６は、アクセス要求の内容に基づいて、セクタ群アクセス情報３２を更新する。その後、図１１のフローチャートを終了する。

［２－２．アクセスログ解析部の動作］
図１２を参照しながら、アクセスログ解析部２４の動作について具体的に説明する。図１２は、実施の形態に係るアクセスログ解析部２４の動作の流れを示すフローチャートである。

図１２に示すように、アクセスログ解析部２４は、まず、デバイスアクセスログ３６から最新のログを取得する（Ｓ２０１）。次に、アクセスログ解析部２４は、取得した最新のログに含まれる操作対象ＶＭが、監視対象のゲストＯＳ８であるか否かを判定する（Ｓ２０２）。取得した最新のログに含まれる操作対象ＶＭが監視対象のゲストＯＳ８でない場合には（Ｓ２０２でＮＯ）、図１２のフローチャートを終了する。

一方、取得した最新のログに含まれる操作対象ＶＭが監視対象のゲストＯＳ８である場合には（Ｓ２０２でＹＥＳ）、アクセスログ解析部２４は、取得した最新のログに含まれるセクタ番号がセクタ群データベース３０に登録されているか否かを判定する（Ｓ２０３）。

取得した最新のログに含まれるセクタ番号がセクタ群データベース３０に登録されている場合には（Ｓ２０３でＹＥＳ）、アクセスログ解析部２４は、取得した最新のログに含まれるセクタ番号と、セクタ群データベース３０に登録されている当該セクタ番号に対応するセクタ群名とを紐付けることにより、セクタ群アクセスログ３８を生成する（Ｓ２０４）。その後、図１２のフローチャートを終了する。

一方、取得した最新のログに含まれるセクタ番号がセクタ群データベース３０に登録されていない場合には（Ｓ２０３でＮＯ）、アクセスログ解析部２４は、取得した最新のログに含まれる操作種別が「ｗｒｉｔｅ」であるか否かを判定する（Ｓ２０５）。取得した最新のログに含まれる操作種別が「ｗｒｉｔｅ」でない場合には（Ｓ２０５でＮＯ）、図１２のフローチャートを終了する。

一方、取得した最新のログに含まれる操作種別が「ｗｒｉｔｅ」である場合には（Ｓ２０５でＹＥＳ）、アクセスログ解析部２４は、取得した最新のログが、セクタ群アクセスルールデータベース３４に登録されているセクタ群に対する操作であるか否かを判定する（Ｓ２０６）。取得した最新のログが、セクタ群アクセスルールデータベース３４に登録されているセクタ群に対する操作でない場合には（Ｓ２０６でＮＯ）、図１２のフローチャートを終了する。

一方、取得した最新のログが、セクタ群アクセスルールデータベース３４に登録されているセクタ群に対する操作である場合には（Ｓ２０６でＹＥＳ）、アクセスログ解析部２４は、セクタ群データベース３０に、セクタ番号及び当該セクタ番号に対応するセクタ群名を登録し（Ｓ２０７）、ステップＳ２０４に進む。

［２－３．セクタ群アクセス判定部の動作］
図１３を参照しながら、セクタ群アクセス判定部２６の動作について具体的に説明する。図１３は、実施の形態に係るセクタ群アクセス判定部２６の動作の流れを示すフローチャートである。

図１３に示すように、セクタ群アクセス判定部２６は、まず、セクタ群アクセスログ３８から最新のログを取得する（Ｓ３０１）。次に、セクタ群アクセス判定部２６は、取得した最新のログに含まれる操作種別が、セクタ群アクセスルールデータベース３４に含まれる、上記最新のログのセクタ群名に対応するアクセス許可操作であるか否かを判定する（Ｓ３０２）。すなわち、セクタ群アクセス判定部２６は、セクタ群に対して付与されたｒｅａｄ・ｗｒｉｔｅ権限に関するルール情報に基づいて、アクセス要求が不正であるか否かを判定する。取得した最新のログに含まれる操作種別がアクセス許可操作でない場合には（Ｓ３０２でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ３０３）。その後、図１３のフローチャートを終了する。

一方、取得した最新のログに含まれる操作種別がアクセス許可操作である場合には（Ｓ３０２でＹＥＳ）、セクタ群アクセス判定部２６は、プロセスが、セクタ群アクセスルールデータベース３４に含まれる、上記最新のログのセクタ群名に対応するアクセス許可プロセスであるか否かを判定する（Ｓ３０４）。プロセスがアクセス許可プロセスでない場合には（Ｓ３０４でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ３０３）。その後、図１３のフローチャートを終了する。

一方、プロセスがアクセス許可プロセスである場合には（Ｓ３０４でＹＥＳ）、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２に基づいて、外部記憶デバイス１２に記憶されたセクタ群に対するアクセスのビヘイビアが許可されたビヘイビアであるか否かを判定する（Ｓ３０５）。ビヘイビアが許可されたビヘイビアではない場合には（Ｓ３０５でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ３０３）。その後、図１３のフローチャートを終了する。

一方、ビヘイビアが許可されたビヘイビアである場合には（Ｓ３０５でＹＥＳ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正ではないと判定する（Ｓ３０６）。その後、図１３のフローチャートを終了する。

ここで、図１４及び図１５を参照しながら、図１３のフローチャートのステップＳ３０５の処理について具体的に説明する。図１４及び図１５は、図１３のフローチャートのステップＳ３０５の処理を具体的に示すフローチャートである。

セクタ群アクセス判定部２６は、第１のビヘイビアルール～第Ｎのビヘイビアルールに基づいて、ビヘイビアがこれらの第１のビヘイビアルール～第Ｎのビヘイビアルールの各々で許可されたビヘイビアであるか否かを判定する。

図１４に示すように、セクタ群アクセス判定部２６は、上記以外の場合には、ビヘイビアが第１のビヘイビアルールで許可されたビヘイビアであるか否かを判定する（Ｓ４０１）。ビヘイビアが第１のビヘイビアルールで許可されたビヘイビアでない場合には（Ｓ４０１でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ４０２）。その後、図１４のフローチャートを終了する。

一方、ビヘイビアが第１のビヘイビアルールで許可されたビヘイビアである場合には（Ｓ４０１でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第２のビヘイビアルールで許可されたビヘイビアであるか否かを判定する（Ｓ４０３）。ビヘイビアが第２のビヘイビアルールで許可されたビヘイビアでない場合には（Ｓ４０３でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ４０２）。その後、図１４のフローチャートを終了する。

以下同様に、ビヘイビアが第２のビヘイビアルールで許可されたビヘイビアである場合には（Ｓ４０３でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアであるか否かを判定する（Ｓ４０４）。ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアでない場合には（Ｓ４０４でＮＯ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ４０２）。その後、図１４のフローチャートを終了する。

ビヘイビアが第Ｎのビヘイビアルールで許可されたビヘイビアである場合には（Ｓ４０４でＹＥＳ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正ではないと判定する（Ｓ４０５）。その後、図１４のフローチャートを終了する。

次に、図１５を参照しながら、第１のビヘイビアルールを用いたビヘイビアの判定方法について説明する。第１のビヘイビアルールは、例えば情報処理装置２の初回起動時における、セクタ群へのアクセスのビヘイビアに関するルールである。

図１５に示すように、情報処理装置２の初回起動時以外のセクタ群へのアクセスが禁止されていない場合には（Ｓ５０１でＮＯ）、図１５のフローチャートを終了する。一方、情報処理装置２の初回起動時以外のセクタ群へのアクセスが禁止されている場合には（Ｓ５０１でＹＥＳ）、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２にゲストＯＳ８からのアクセス要求が記憶されているか否かを判定する（Ｓ５０２）。

セクタ群アクセス情報３２にゲストＯＳ８からのアクセス要求が記憶されている場合には（Ｓ５０２でＹＥＳ）、セクタ群アクセス判定部２６は、ゲストＯＳ８からのアクセス要求が不正であると判定する（Ｓ５０３）。その後、図１５のフローチャートを終了する。

一方、セクタ群アクセス情報３２にゲストＯＳ８からのアクセス要求が記憶されていない場合には（Ｓ５０２でＮＯ）、セクタ群アクセス判定部２６は、アクセス要求のタイムスタンプが想定される初回起動時間（例えば１分）内であるか否かを判定する（Ｓ５０４）。アクセス要求のタイムスタンプが想定される初回起動時間内でない場合には（Ｓ５０４でＮＯ）、セクタ群アクセス判定部２６は、アクセス要求が不正であると判定する（Ｓ５０３）。その後、図１５のフローチャートを終了する。

一方、アクセス要求のタイムスタンプが想定される初回起動時間内である場合には（Ｓ５０４でＹＥＳ）、セクタ群アクセス判定部２６は、ビヘイビアが第１のビヘイビアルールで許可されたビヘイビアであると判定する（Ｓ５０５）。この場合、セクタ群アクセス判定部２６は、セクタ群アクセス情報３２に、ゲストＯＳ８からのアクセス要求を記憶させる。その後、図１５のフローチャートを終了する。

［２－４．セクタ群アクセス判定部及び管理部の動作］
図１６を参照しながら、セクタ群アクセス判定部２６及び管理部４２の動作について具体的に説明する。図１６は、実施の形態に係るセクタ群アクセス判定部２６及び管理部４２の動作の流れを示すフローチャートである。

以下、ゲストＯＳ８が、外部記憶デバイス１２に記憶された複数のセクタ群のうち、アプリケーション１５に関するセクタ群へのアクセスを要求した場合について説明する。

図１６に示すように、セクタ群アクセス判定部２６は、セクタ群アクセスログ３８に含まれるセクタ番号に基づいて、ゲストＯＳ８からのアクセス要求がアプリケーション１５に関するセクタ群へのアクセスを要求するものであると判定する（Ｓ６０１）。セクタ群アクセス判定部２６は、判定結果を管理部４２の変更種別判定部４６に出力する。

管理部４２の変更種別判定部４６は、アプリケーション保存領域をホストＯＳ１０にマウントして参照し、アプリケーション保存領域とアプリケーションデータベース４４とを比較することにより、ゲストＯＳ８によりアプリケーション１５の追加、削除及び更新のいずれが行われたかを判定する（Ｓ６０２）。変更種別判定部４６は、判定結果を取得部４８及び更新部５０に出力する。

管理部４２の更新部５０は、セクタ群データベース３０及びセクタ群アクセスルールデータベース３４を更新する（Ｓ６０３）。

ここで、図１７を参照しながら、図１６のフローチャートのステップＳ６０２の処理について具体的に説明する。図１７は、図１６のフローチャートのステップＳ６０２の処理を具体的に示すフローチャートである。

図１７に示すように、管理部４２の変更種別判定部４６は、セクタ群アクセス判定部２６によりアクセス要求がアプリケーション１５に関するセクタ群へのアクセスを要求するものであると判定されたことをトリガーとして、ゲストＯＳ８のアプリケーション保存領域を探索する（Ｓ７０１）。

変更種別判定部４６は、アプリケーションデータベース４４と比較して、アプリケーション保存領域でアプリケーション１５が増えていると判定した場合には（Ｓ７０２でＹＥＳ）、ゲストＯＳ８によりアプリケーション１５の追加が行われたと判定する（Ｓ７０３）。例えば、図８に示すアプリケーションデータベース４４に「ｎａｖｉｇａｔｉｏｎ」及び「Ｍｕｓｉｃ Ｓｔｏｒｅ」の各アプリケーション１５に関するデータが格納されている一方で、アプリケーション保存領域に「ｎａｖｉｇａｔｉｏｎ」、「Ｍｕｓｉｃ Ｓｔｏｒｅ」及び「Ｃｏｕｐｏｎ Ｓｔｒａｇｅ」の各アプリケーション１５が保存されている場合には、変更種別判定部４６は、ゲストＯＳ８により「Ｃｏｕｐｏｎ Ｓｔｒａｇｅ」のアプリケーション１５の追加が行われたと判定する。

ステップＳ７０２に戻り、変更種別判定部４６は、アプリケーションデータベース４４と比較して、アプリケーション保存領域でアプリケーション１５が減っていると判定した場合には（Ｓ７０２でＮＯ、Ｓ７０４でＹＥＳ）、ゲストＯＳ８によりアプリケーション１５の削除が行われたと判定する（Ｓ７０５）。例えば、図８に示すアプリケーションデータベース４４に「ｎａｖｉｇａｔｉｏｎ」、「Ｍｕｓｉｃ Ｓｔｏｒｅ」及び「Ｃｏｕｐｏｎ Ｓｔｒａｇｅ」の各アプリケーション１５に関するデータが格納されている一方で、アプリケーション保存領域に「ｎａｖｉｇａｔｉｏｎ」及び「Ｍｕｓｉｃ Ｓｔｏｒｅ」の各アプリケーション１５が保存されている場合には、変更種別判定部４６は、ゲストＯＳ８により「Ｃｏｕｐｏｎ Ｓｔｒａｇｅ」のアプリケーション１５の削除が行われたと判定する。

ステップＳ７０４に戻り、変更種別判定部４６は、アプリケーションデータベース４４と比較して、アプリケーション保存領域の開発者定義ポリシー１５ａが更新されていると判定した場合には（Ｓ７０４でＮＯ、Ｓ７０６でＹＥＳ）、ゲストＯＳ８によりアプリケーション１５の更新が行われたと判定する（Ｓ７０７）。例えば、図８に示すアプリケーションデータベース４４において、「Ｃｏｕｐｏｎ Ｓｔｒａｇｅ」の開発者定義ポリシー１５ａの最終更新日時が「２０２１年９月２５日１４：２５：０４．０６７」である一方で、アプリケーション保存領域における「Ｃｏｕｐｏｎ Ｓｔｒａｇｅ」の開発者定義ポリシー１５ａの最終更新日時が「２０２１年９月３０日１２：１０：０３．１２７」である場合には、変更種別判定部４６は、ゲストＯＳ８により「Ｃｏｕｐｏｎ Ｓｔｒａｇｅ」のアプリケーション１５の更新が行われたと判定する。なお、ステップＳ７０６において、開発者定義ポリシー１５ａが更新されているか否かだけでなく、アプリケーション１５毎のセクタ情報の変化も含めて判断してもよい。

なお、本実施の形態では、アプリケーション情報として開発者定義ポリシー１５ａを用いたが、これに限定されない。ＯＥＭやサプライヤが特定の拡張子を持つファイルに対して独自の保護ルールを設けている場合は、アプリケーション情報としてそのファイル名と拡張子とを取得し、当該ファイルに対してＯＥＭ・サプライヤが設けた保護ルールに従うアクセスルールを自動的に生成し追加してもよい。

例えば、ログデータの拡張子（.log）を持つ場合には、追記専用の保護ルールを適用し、実行アプリケーションの拡張子（.exe）を持つ場合には、書き込み禁止の保護ルールを適用する。その他、アプリケーション１５内に定義されたファイル毎のパーミッション情報（Read,Write,実行）等の情報に応じて、保護ルールを設定してもよい。

これにより、制御システム（ホストＯＳ１０やハイパーバイザ等）で定義された保護方針に従って、アプリケーション１５を適切に保護することができる。

ステップＳ７０６に戻り、変更種別判定部４６は、アプリケーションデータベース４４と比較して、アプリケーション保存領域の開発者定義ポリシー１５ａが更新されていないと判定した場合には（Ｓ７０６でＮＯ）、図１７のフローチャートを終了する。この場合、上述した図１１のフローチャートのステップＳ１０３～Ｓ１０７が実行される。

次に、図１８～図２０を参照しながら、変更種別判定部４６によりゲストＯＳ８がアプリケーション１５の追加を行ったと判定された場合における、図１６のフローチャートのステップＳ６０３の処理について具体的に説明する。図１８は、ゲストＯＳ８によりアプリケーション１５の追加が行われた場合における、図１６のフローチャートのステップＳ６０３の処理を具体的に示すフローチャートである。図１９は、ゲストＯＳ８によりアプリケーション１５の追加が行われた場合における、セクタ群アクセスルールデータベース３４の更新前後の一例を示す図である。図２０は、ゲストＯＳ８によりアプリケーション１５の追加が行われた場合における、セクタ群データベース３０の更新前後の一例を示す図である。

図１８に示すように、管理部４２の取得部４８は、変更種別判定部４６からの判定結果（ゲストＯＳ８によりアプリケーション１５の追加が行われたという判定結果）に基づいて、仮想化制御システム６を介して、ゲストＯＳ８のアプリケーション保存領域からアプリケーション１５の開発者定義ポリシー１５ａを取得する（Ｓ８０１）。取得部４８は、取得した開発者定義ポリシー１５ａを更新部５０に出力する。

管理部４２の更新部５０は、取得部４８からの開発者定義ポリシー１５ａに基づいて、図１９の（ａ）に示すセクタ群アクセスルールデータベース３４に対して、追加したアプリケーション１５（例えば、「Ｃｏｕｐｏｎ Ｓｔｒａｇｅ」）に関するルールを追加する（Ｓ８０２）。これにより、セクタ群アクセスルールデータベース３４は、例えば図１９の（ｂ）に示すように更新される。

さらに、更新部５０は、図２０の（ａ）に示すセクタ群データベース３０に対して、追加したアプリケーション１５に関するセクタ群名及びセクタ番号を追加する（Ｓ８０３）。これにより、セクタ群データベース３０は、例えば図２０の（ｂ）に示すように更新される。

次に、図２１～図２３を参照しながら、変更種別判定部４６によりゲストＯＳ８がアプリケーション１５の削除を行ったと判定された場合における、図１６のフローチャートのステップＳ６０３の処理について具体的に説明する。図２１は、ゲストＯＳ８によりアプリケーション１５の削除が行われた場合における、図１６のフローチャートのステップＳ６０３の処理を具体的に示すフローチャートである。図２２は、ゲストＯＳ８によりアプリケーション１５の削除が行われた場合における、セクタ群アクセスルールデータベース３４の更新前後の一例を示す図である。図２３は、ゲストＯＳ８によりアプリケーション１５の削除が行われた場合における、セクタ群データベース３０の更新前後の一例を示す図である。

図２１に示すように、管理部４２の更新部５０は、変更種別判定部４６からの判定結果（ゲストＯＳ８によりアプリケーション１５の削除が行われたという判定結果）に基づいて、図２２の（ａ）に示すセクタ群アクセスルールデータベース３４から、削除したアプリケーション１５（例えば、「Ｃｏｕｐｏｎ Ｓｔｒａｇｅ」）に関するルールを削除する（Ｓ９０１）。これにより、セクタ群アクセスルールデータベース３４は、例えば図２２の（ｂ）に示すように更新される。

さらに、更新部５０は、図２３の（ａ）に示すセクタ群データベース３０から、削除したアプリケーション１５に関するセクタ群名及びセクタ番号を削除する（Ｓ９０２）。これにより、セクタ群データベース３０は、図２３の（ｂ）に示すように更新される。

次に、図２４～図２６を参照しながら、変更種別判定部４６によりゲストＯＳ８がアプリケーション１５の更新を行った場合における、図１６のフローチャートのステップＳ６０３の処理について具体的に説明する。図２４は、ゲストＯＳ８によりアプリケーション１５の更新が行われた場合における、図１６のフローチャートのステップＳ６０３の処理を具体的に示すフローチャートである。図２５は、ゲストＯＳ８によりアプリケーション１５の更新が行われた場合における、セクタ群アクセスルールデータベース３４の更新前後の一例を示す図である。図２６は、ゲストＯＳ８によりアプリケーション１５の更新が行われた場合における、セクタ群データベース３０の更新前後の一例を示す図である。

図２４に示すように、管理部４２の取得部４８は、変更種別判定部４６からの判定結果（ゲストＯＳ８によりアプリケーション１５の更新が行われたという判定結果）に基づいて、仮想化制御システム６を介して、ゲストＯＳ８のアプリケーション保存領域からアプリケーション１５の開発者定義ポリシー１５ａを取得する（Ｓ１００１）。取得部４８は、取得した開発者定義ポリシー１５ａを更新部５０に出力する。

管理部４２の更新部５０は、取得部４８からの開発者定義ポリシー１５ａに基づいて、セクタ群アクセスルールデータベース３４における、更新されたアプリケーション１５（例えば、「Ｃｏｕｐｏｎ Ｓｔｒａｇｅ」）に関するルールを変更する（Ｓ１００２）。より具体的には、更新部５０は、図２５の（ａ）に示すセクタ群アクセスルールデータベース３４から更新前のアプリケーション１５に関するルールを削除した後に、更新後のアプリケーション１５に関するルールをセクタ群アクセスルールデータベース３４に追加する。これにより、セクタ群アクセスルールデータベース３４は、例えば図２５の（ｂ）に示すように更新される。

さらに、更新部５０は、セクタ群データベース３０における、更新されたアプリケーション１５に関するセクタ群名及びセクタ番号を変更する（Ｓ１００３）。より具体的には、更新部５０は、図２６の（ａ）に示すセクタ群データベース３０から更新前のアプリケーション１５に関するセクタ群名及びセクタ番号を削除した後に、更新後のアプリケーション１５に関するセクタ群名及びセクタ番号を追加する。これにより、セクタ群データベース３０は、例えば図２６の（ｂ）に示すように更新される。

［３．効果］
上述したように、本実施の形態では、ゲストＯＳ８がアプリケーション１５の追加、削除及び更新のいずれかを行うのに応じて、セクタ群データベース３０及びセクタ群アクセスルールデータベース３４を更新する。これにより、仮にゲストＯＳ８のアクセス制御機能１６が不正なコンピュータプログラムにより無効化又は改ざん等された場合であっても、更新されたセクタ群データベース３０及びセクタ群アクセスルールデータベース３４に基づいて、ゲストＯＳ８からのアクセス要求の正当性を精度良く判定することができる。

（他の変形例）
以上、一つ又は複数の態様に係る情報処理装置及び情報処理装置の制御方法について、上記実施の形態に基づいて説明したが、本開示は、上記実施の形態に限定されるものではない。本開示の趣旨を逸脱しない限り、当業者が思い付く各種変形を上記実施の形態に施したものや、異なる実施の形態における構成要素を組み合わせて構築される形態も、一つ又は複数の態様の範囲内に含まれてもよい。

なお、上記実施の形態において、各構成要素は、専用のハードウェアで構成されるか、各構成要素に適したコンピュータプログラムを実行することによって実現されてもよい。各構成要素は、ＣＰＵ又はプロセッサ等のプログラム実行部が、ハードディスク又は半導体メモリなどの記録媒体に記録されたコンピュータプログラムを読み出して実行することによって実現されてもよい。

また、上記実施の形態では、仮想化制御システム６として、ハイパーバイザ（ＴＹＰＥ１型）を採用したが、これに限定されず、あるオペレーティングシステム上で動作するハイパーバイザを含むアプリケーション（ＴＹＰＥ２型）を採用してもよい。

また、上記実施の形態では、仮想化制御システム６とホストＯＳ１０とを別々に構成したが、これに限定されず、仮想化制御システム６がホストＯＳ１０の機能を備えていてもよい。この場合、ホストＯＳ１０の機能を備えた仮想化制御システム６は、制御システムを構成する。

また、上記実施の形態に係る情報処理装置の機能の一部又は全てを、ＣＰＵ等のプロセッサがコンピュータプログラムを実行することにより実現してもよい。

上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしても良い。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ等から構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしても良い。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしても良い。

本開示は、上記に示す方法であるとしても良い。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしても良いし、前記コンピュータプログラムを含むデジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な非一時的な記録媒体、例えばフレキシブルディスク、ハードディスク、ＣＤ－ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ－ＲＯＭ、ＤＶＤ－ＲＡＭ、ＢＤ（Ｂｌｕ－ｒａｙ（登録商標） Ｄｉｓｃ）、半導体メモリ等に記録したものとしても良い。また、これらの記録媒体に記録されている前記デジタル信号であるとしても良い。また、本開示は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしても良い。また、本開示は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしても良い。また、前記コンピュータプログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記コンピュータプログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしても良い。

本開示に係る情報処理装置は、例えばＶＭ間通信における異常を検出する機能を有する仮想ＥＣＵ等に適用可能である。

２ 情報処理装置
４ ハードウェア
６ 仮想化制御システム
８ ゲストＯＳ
１０ ホストＯＳ
１２ 外部記憶デバイス
１４ プロセス
１５ アプリケーション
１５ａ 開発者定義ポリシー
１６ アクセス制御機能
１８ フロントエンド－デバイスドライバ
２０ バックエンド－デバイスドライバ
２２ 記憶部
２４ アクセスログ解析部
２６ セクタ群アクセス判定部
２８ 制御対応部
３０ セクタ群データベース
３２ セクタ群アクセス情報
３４ セクタ群アクセスルールデータベース
３６ デバイスアクセスログ
３８ セクタ群アクセスログ
４０ 外部サーバ
４２ 管理部
４４ アプリケーションデータベース
４６ 変更種別判定部
４８ 取得部
５０ 更新部
５２ ディレクトリ生成先ポリシー

Claims (8)

1. アプリケーションが保存されたアプリケーション保存領域を有し、前記アプリケーションを実行するオペレーティングシステムと、
   前記オペレーティングシステムからのアクセス要求に応じて、記憶装置に記憶されたセクタ群にアクセスする制御システムと、を備え、
   前記制御システムは、
   セクタ番号と当該セクタ番号に対応する前記記憶装置の記憶領域に記憶された前記セクタ群のセクタ群識別子との対応関係を示す対応情報を参照することにより、前記アクセス要求から、当該アクセス要求に含まれる前記セクタ番号と前記セクタ群識別子とを紐付けたアクセスデータを生成する解析部と、
   前記アクセスデータ、及び、前記記憶装置に記憶された前記セクタ群にアクセスするためのルールを示すルール情報に基づいて、前記アクセス要求が不正であるか否かを判定する監視部と、
   前記アクセスデータに基づいて、前記アクセス要求が前記記憶装置に記憶された前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであるか否かを判定する判定部と、
   前記アクセス要求が前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであると判定され、且つ、前記オペレーティングシステムにより前記アプリケーション保存領域の変更が行われた場合に、前記アプリケーションに関するアプリケーション情報を取得し、取得した前記アプリケーション情報に基づいて前記ルール情報及び前記対応情報を更新する管理部と、を有する
   情報処理装置。
2. 前記アプリケーション保存領域の変更は、前記アプリケーションの追加、削除及び更新のいずれかである
   請求項１に記載の情報処理装置。
3. 前記管理部は、前記アプリケーション保存領域に保存された前記アプリケーションに関するアプリケーションデータベースを有しており、前記アクセス要求が前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであると判定された場合に、前記アプリケーション保存領域と前記アプリケーションデータベースとを比較することにより、前記オペレーティングシステムにより前記アプリケーションの追加、削除及び更新のいずれが行われたかを判定する
   請求項２に記載の情報処理装置。
4. 前記管理部は、前記オペレーティングシステムにより前記アプリケーションの追加が行われた場合に、追加された前記アプリケーションに関する前記ルールを前記ルール情報に追加し、且つ、追加された前記アプリケーションに関する前記対応関係を前記対応情報に追加する
   請求項２又は３に記載の情報処理装置。
5. 前記管理部は、前記オペレーティングシステムにより前記アプリケーションの削除が行われた場合に、削除された前記アプリケーションに関する前記ルールを前記ルール情報から削除し、且つ、削除された前記アプリケーションに関する前記対応関係を前記対応情報から削除する
   請求項２又は３に記載の情報処理装置。
6. 前記管理部は、前記オペレーティングシステムにより前記アプリケーションの更新が行われた場合に、前記ルール情報において更新された前記アプリケーションに関する前記ルールを変更し、且つ、前記対応情報において更新された前記アプリケーションに関する前記対応関係を変更する
   請求項２又は３に記載の情報処理装置。
7. 前記管理部は、前記アプリケーション情報として、前記アプリケーションを保護するための条件が定義された開発者定義ポリシー、又は、前記アプリケーションを保護するために設けられた保護ルールに基づいて、前記ルール情報及び前記対応情報を更新する
   請求項１～６のいずれか１項に記載の情報処理装置。
8. アプリケーションが保存されたアプリケーション保存領域を有し、前記アプリケーションを実行するオペレーティングシステムと、前記オペレーティングシステムからのアクセス要求に応じて、記憶装置に記憶されたセクタ群にアクセスする制御システムと、を備えた情報処理装置の制御方法であって、
   前記制御システムは、解析部と、監視部と、判定部と、管理部と、を備え、
   前記制御方法は、
   前記解析部が、セクタ番号と当該セクタ番号に対応する前記記憶装置の記憶領域に記憶された前記セクタ群のセクタ群識別子との対応関係を示す対応情報を参照することにより、前記アクセス要求から、当該アクセス要求に含まれる前記セクタ番号と前記セクタ群識別子とを紐付けたアクセスデータを生成するステップと、
   前記監視部が、前記アクセスデータ、及び、前記記憶装置に記憶された前記セクタ群にアクセスするためのルールを示すルール情報に基づいて、前記アクセス要求が不正であるか否かを判定するステップと、
   前記判定部が、前記アクセスデータに基づいて、前記アクセス要求が前記記憶装置に記憶された前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであるか否かを判定するステップと、
   前記管理部が、前記アクセス要求が前記アプリケーションに関する前記セクタ群へのアクセスを要求するものであると判定され、且つ、前記オペレーティングシステムにより前記アプリケーション保存領域の変更が行われた場合に、前記アプリケーションに関するアプリケーション情報を取得し、取得した前記アプリケーション情報に基づいて前記ルール情報及び前記対応情報を更新するステップと、を含む
   情報処理装置の制御方法。