特許 7354074 情報処理装置、情報処理方法およびプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-09-22

(45)【発行日】2023-10-02

(54)【発明の名称】情報処理装置、情報処理方法およびプログラム

(51)【国際特許分類】

   G06F 21/51 20130101AFI20230925BHJP

   G06F 21/56 20130101ALI20230925BHJP

【ＦＩ】

G06F21/51

G06F21/56 350

【請求項の数】 8

(21)【出願番号】P 2020157718

(22)【出願日】2020-09-18

(65)【公開番号】P2022051303

(43)【公開日】2022-03-31

【審査請求日】2022-08-30

(73)【特許権者】

【識別番号】000003078

【氏名又は名称】株式会社東芝

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】蒋 丹

(72)【発明者】

【氏名】川端 健

【審査官】岸野 徹

(56)【参考文献】

【文献】特開２０２０－０４６８２９（ＪＰ，Ａ）

【文献】特開２０１８－１９５３２９（ＪＰ，Ａ）

【文献】特開２０１７－０３３２４８（ＪＰ，Ａ）

【文献】特開２０２０－０８６４６９（ＪＰ，Ａ）

【文献】特開２０１９－１９１６９８（ＪＰ，Ａ）

【文献】米国特許出願公開第２０２０／００８９９１４（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／５１

Ｇ０６Ｆ ２１／５６

(57)【特許請求の範囲】

【請求項1】

外部からアクセス可能な第１実行環境と外部からアクセス不可能な第２実行環境を備える情報処理装置であって、
１以上のソフトウェアに含まれる各ソフトウェアについて、前記各ソフトウェアを識別するファイル情報と、前記各ソフトウェアの実行制御に利用するフラグと、を対応付けたフラグテーブルを記憶するフラグテーブル記憶部と、
前記１以上のソフトウェアのうちの１つである第１ソフトウェアの書き換えを検出した場合、前記第１ソフトウェアに対応する前記ファイル情報である第１ファイル情報を抽出し、抽出した前記第１ファイル情報に基づき前記フラグテーブル内の前記第１ファイル情報に対応する第１フラグを、書き換えが検出された前記第１ソフトウェアの完全性の検証が必要であることを示す第１の値に変更する書き換え処理部と、
前記第１ソフトウェアを正規に変更する正規ソフトウェア変更部と、
前記第２実行環境に設けられ、前記１以上のソフトウェアに含まれる前記各ソフトウェアについて、前記各ソフトウェアを識別する前記ファイル情報と、前記各ソフトウェアの実行制御に利用する前記フラグと、前記各ソフトウェアの完全性を検証するための検証値と、を対応付けたホワイトリストを記憶するホワイトリスト記憶部と、
前記ホワイトリストから前記フラグテーブルを複製するフラグ複製部と、
前記第１ソフトウェアの実行開始が検出された場合、実行が検出された前記第１ソフトウェアの前記第１ファイル情報を抽出し、抽出した前記第１ファイル情報に対応する前記第１フラグが前記第１の値のときに前記第１ソフトウェアの完全性の検証が必要であると判断し、前記第１フラグが第２の値のときに前記第１ソフトウェアの実行を許可し、前記第１フラグが第３の値のときに前記第１ソフトウェアの実行を拒否する、実行制御部と、
前記第１ソフトウェアの完全性の検証を行う検証値照合部と、
を備え、
前記正規ソフトウェア変更部は、前記第１ソフトウェアの正規な変更を行った場合、前記書き換え処理部によって変更された前記第１の値を前記第１ソフトウェアの実行を許可することを示す第２の値に変更し、
前記フラグテーブル記憶部は、前記第１実行環境に設けられ、
前記フラグテーブル記憶部が記憶する前記フラグテーブルは、前記フラグ複製部が前記ホワイトリストから複製したものであり、
前記実行制御部は、前記実行が検出された前記第１ソフトウェアについて完全性の検証が必要であると判断した場合、前記実行が検出された前記第１ソフトウェアの第１ファイル情報から前記第１ソフトウェアのファイルを取得し、取得した前記ファイルに基づき前記第１ソフトウェアの前記検証値を計算し、
前記検証値照合部は、前記実行制御部が計算した前記第１ソフトウェアの前記検証値と、前記ホワイトリスト内の前記第１ファイル情報に対応する前記検証値とが一致する場合に、前記第１ソフトウェアの完全性の検証が成功と判断し、一致しない場合に、前記第１ソフトウェアの完全性の検証が失敗と判断し、
前記実行制御部は、前記検証値照合部が前記第１ソフトウェアの完全性の検証が成功であると判断した場合に、前記第１フラグの値を前記第２の値に変更し、前記検証値照合部が前記第１ソフトウェアの完全性の検証が失敗であると判断した場合に、前記第１ソフトウェアに対し復旧処理を行う、
情報処理装置。

【請求項2】

前記正規ソフトウェア変更部による前記第１ソフトウェアの正規な変更は、前記第１ソフトウェアのファイルを復旧する復旧処理または前記第１ソフトウェアのファイルを更新する更新処理である、請求項１に記載の情報処理装置。

【請求項3】

前記第１ソフトウェアに対して前記正規ソフトウェア変更部が正規な変更を行う前に、前記正規ソフトウェア変更部から前記第１ファイル情報と前記第１ソフトウェアの正規な変更用のファイルの前記検証値を取得し、前記ホワイトリスト内の前記第１ファイル情報に対応する前記検証値を前記正規ソフトウェア変更部から取得した前記正規な変更用ファイルの前記検証値に更新する、検証値更新部と、
をさらに備える、
請求項１に記載の情報処理装置。

【請求項4】

前記ホワイトリスト内の前記第１ファイル情報に対応する前記フラグの値を前記フラグテーブルの前記第１ファイル情報に対応する前記第１フラグの値にする、フラグ反映部と、
をさらに備える、
請求項１に記載の情報処理装置。

【請求項5】

前記フラグテーブル内の前記第１フラグの値が前記第２の値または前記第３の値である場合、前記フラグ反映部は、前記第１フラグの値を前記ホワイトリスト内の前記第１ファイル情報に対応する前記フラグに反映させ、
前記フラグテーブル内の前記第１フラグの値が前記第１の値である場合、前記フラグ反映部は、前記第１ソフトウェアのファイル情報から前記第１ソフトウェアのファイルを取得し、取得した前記ファイルに基づき前記第１ソフトウェアの前記検証値を計算し、
前記検証値照合部は、前記フラグ反映部が計算した前記第１ソフトウェアの検証値と、前記ホワイトリスト内の前記第１ファイル情報に対応する前記検証値とを比較することで、前記第１ソフトウェアの完全性の検証を行う、
請求項４に記載の情報処理装置。

【請求項6】

前記検証値照合部は、前記フラグ反映部が計算した前記第１ソフトウェアの前記検証値と、前記ホワイトリスト内の前記第１ファイル情報に対応する前記検証値とが一致する場合に、前記第１ソフトウェアの完全性の検証が成功と判断し、一致しない場合に、前記第１ソフトウェアの完全性の検証が失敗と判断し、
前記フラグ反映部は、前記検証値照合部が前記第１ソフトウェアの完全性の検証が成功と判断した場合に、前記第１フラグの値を前記第２の値に変更し、前記検証値照合部が前記第１ソフトウェアの完全性の検証が失敗と判断した場合に、前記第１フラグの値を前記第３の値に変更し、前記ホワイトリスト内の前記第１ソフトウェアに対応する前記フラグを変更した前記第１フラグの値にする、
請求項５に記載の情報処理装置。

【請求項7】

外部からアクセス可能な第１実行環境と外部からアクセス不可能な第２実行環境を備える情報処理装置において実行される情報処理方法であって、
前記情報処理装置が、１以上のソフトウェアに含まれる各ソフトウェアについて、前記各ソフトウェアを識別するファイル情報と、前記各ソフトウェアの実行制御に利用するフラグと、を対応付けたフラグテーブルをフラグテーブル記憶部に記憶するフラグテーブル記憶ステップと、
前記情報処理装置が、前記１以上のソフトウェアのうちの１つである第１ソフトウェアの書き換えを検出した場合、前記第１ソフトウェアに対応する前記ファイル情報である第１ファイル情報を抽出し、抽出した前記第１ファイル情報に基づき前記フラグテーブル内の前記第１ファイル情報に対応する第１フラグを、書き換えが検出された前記第１ソフトウェアの完全性の検証が必要であることを示す第１の値に変更する書き換え処理ステップと、
前記情報処理装置が、前記第１ソフトウェアを正規に変更する正規ソフトウェア変更ステップと、
前記情報処理装置が、前記第２実行環境に設けられ、前記１以上のソフトウェアに含まれる前記各ソフトウェアについて、前記各ソフトウェアを識別する前記ファイル情報と、前記各ソフトウェアの実行制御に利用する前記フラグと、前記各ソフトウェアの完全性を検証するための検証値と、を対応付けたホワイトリストをホワイトリスト記憶部に記憶するホワイトリスト記憶ステップと、
前記情報処理装置が、前記ホワイトリストから前記フラグテーブルを複製するフラグ複製ステップと、
前記情報処理装置が、前記第１ソフトウェアの実行開始が検出された場合、実行が検出された前記第１ソフトウェアの前記第１ファイル情報を抽出し、抽出した前記第１ファイル情報に対応する前記第１フラグが前記第１の値のときに前記第１ソフトウェアの完全性の検証が必要であると判断し、前記第１フラグが第２の値のときに前記第１ソフトウェアの実行を許可し、前記第１フラグが第３の値のときに前記第１ソフトウェアの実行を拒否する、実行制御ステップと、
前記情報処理装置が、前記第１ソフトウェアの完全性の検証を行う検証値照合ステップと、
を含み、
前記正規ソフトウェア変更ステップは、前記第１ソフトウェアの正規な変更を行った場合、前記書き換え処理ステップによって変更された前記第１の値を前記第１ソフトウェアの実行を許可する第２の値に変更し、
前記フラグテーブル記憶部は、前記第１実行環境に設けられ、
前記フラグテーブル記憶部が記憶する前記フラグテーブルは、前記フラグ複製ステップが前記ホワイトリストから複製したものであり、
前記実行制御ステップは、前記実行が検出された前記第１ソフトウェアについて完全性の検証が必要であると判断した場合、前記実行が検出された前記第１ソフトウェアの第１ファイル情報から前記第１ソフトウェアのファイルを取得し、取得した前記ファイルに基づき前記第１ソフトウェアの前記検証値を計算し、
前記検証値照合ステップは、前記実行制御ステップが計算した前記第１ソフトウェアの前記検証値と、前記ホワイトリスト内の前記第１ファイル情報に対応する前記検証値とが一致する場合に、前記第１ソフトウェアの完全性の検証が成功と判断し、一致しない場合に、前記第１ソフトウェアの完全性の検証が失敗と判断し、
前記実行制御ステップは、前記検証値照合ステップが前記第１ソフトウェアの完全性の検証が成功であると判断した場合に、前記第１フラグの値を前記第２の値に変更し、前記検証値照合ステップが前記第１ソフトウェアの完全性の検証が失敗であると判断した場合に、前記第１ソフトウェアに対し復旧処理を行う、
情報処理方法。

【請求項8】

外部からアクセス可能な第１実行環境と外部からアクセス不可能な第２実行環境を備える情報処理装置が備えるコンピュータを、
１以上のソフトウェアに含まれる各ソフトウェアについて、前記各ソフトウェアを識別するファイル情報と、前記各ソフトウェアの実行制御に利用するフラグと、を対応付けたフラグテーブルをフラグテーブル記憶部に記憶するフラグテーブル記憶手段と、
前記１以上のソフトウェアのうちの１つである第１ソフトウェアの書き換えを検出した場合、前記第１ソフトウェアに対応する前記ファイル情報である第１ファイル情報を抽出し、抽出した前記第１ファイル情報に基づき前記フラグテーブル内の前記第１ファイル情報に対応する第１フラグを、書き換えが検出された前記第１ソフトウェアの完全性の検証が必要であることを示す第１の値に変更する書き換え処理手段と、
前記第１ソフトウェアを正規に変更する正規ソフトウェア変更手段と、
前記第２実行環境に設けられ、前記１以上のソフトウェアに含まれる前記各ソフトウェアについて、前記各ソフトウェアを識別する前記ファイル情報と、前記各ソフトウェアの実行制御に利用する前記フラグと、前記各ソフトウェアの完全性を検証するための検証値と、を対応付けたホワイトリストをホワイトリスト記憶部に記憶するホワイトリスト記憶手段部と、
前記ホワイトリストから前記フラグテーブルを複製するフラグ複製手段と、
前記第１ソフトウェアの実行開始が検出された場合、実行が検出された前記第１ソフトウェアの前記第１ファイル情報を抽出し、抽出した前記第１ファイル情報に対応する前記第１フラグが前記第１の値のときに前記第１ソフトウェアの完全性の検証が必要であると判断し、前記第１フラグが第２の値のときに前記第１ソフトウェアの実行を許可し、前記第１フラグが第３の値のときに前記第１ソフトウェアの実行を拒否する、実行制御手段と、
前記第１ソフトウェアの完全性の検証を行う検証値照合手段と、
して機能させるためのプログラムであって、
前記正規ソフトウェア変更手段は、前記第１ソフトウェアの正規な変更を行った場合、前記書き換え処理手段によって変更された前記第１の値を前記第１ソフトウェアの実行を許可する第２の値に変更し、
前記フラグテーブル記憶部は、前記第１実行環境に設けられ、
前記フラグテーブル記憶部が記憶する前記フラグテーブルは、前記フラグ複製手段が前記ホワイトリストから複製したものであり、
前記実行制御手段は、前記実行が検出された前記第１ソフトウェアについて完全性の検証が必要であると判断した場合、前記実行が検出された前記第１ソフトウェアの第１ファイル情報から前記第１ソフトウェアのファイルを取得し、取得した前記ファイルに基づき前記第１ソフトウェアの前記検証値を計算し、
前記検証値照合手段は、前記実行制御手段が計算した前記第１ソフトウェアの前記検証値と、前記ホワイトリスト内の前記第１ファイル情報に対応する前記検証値とが一致する場合に、前記第１ソフトウェアの完全性の検証が成功と判断し、一致しない場合に、前記第１ソフトウェアの完全性の検証が失敗と判断し、
前記実行制御手段は、前記検証値照合手段が前記第１ソフトウェアの完全性の検証が成功であると判断した場合に、前記第１フラグの値を前記第２の値に変更し、前記検証値照合手段が前記第１ソフトウェアの完全性の検証が失敗であると判断した場合に、前記第１ソフトウェアに対し復旧処理を行う、
プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、情報処理装置、情報処理方法およびプログラムに関する。

【背景技術】

【0002】

自動車やロボットなどの組み込み機器のデジタル化が進んでいる。また、組み込み機器がネットワークと通信することで、遠隔監視、リモート操作、情報共有および自動運転などの様々な高機能を実現している。

【0003】

しかし、組み込み機器がネットワークと接続されることで、ネットワークを介して組み込み機器がサイバー攻撃を受ける可能性が高まっている。

【0004】

組み込み機器で動作するソフトウェアが攻撃者に改ざんされると、意図しない動作を起こし、人命にかかわる事故などが発生するおそれもある。そこで、組み込み機器に正規なソフトウェアのみ実行させることが重要となる。ソフトウェアの実行開始時に、ソフトウェアの完全性を検証して、意図するものと変わらない状態であれば実行を許可するホワイトリスト型の実行制御手法が研究されている。

【0005】

ソフトウェアの実行直前の検証の実施方法にもよるが、一般的に使用されているハッシュ計算やＭＡＣ（メッセージ認証コード）計算等の処理時間は、ソフトウェアのサイズが大きいほど検証時間が長くなる。

【0006】

組み込み機器に高機能を実現するためにソフトウェアのサイズが大きくなる傾向がある一方で、低遅延でソフトウェアを実行するというリアルタイム性も求められている。したがって、ソフトウェアの完全性を守りながら実行時の遅延を抑制する必要がある。

【先行技術文献】

【特許文献】

【0007】

【文献】特開２０２０－４６８２９号公報

【文献】特開２０１９－１８５５７５号公報

【文献】国際公開第２０１９／１５１０１３号

【発明の概要】

【発明が解決しようとする課題】

【0008】

本発明が解決しようとする課題は、遅延を抑制したホワイトリスト型のソフトウェアの実行制御を行う情報処理装置、情報処理方法およびプログラムを提供することである。

【課題を解決するための手段】

【0009】

実施形態の情報処理装置は、フラグテーブル記憶部と、書き換え処理部と、正規ソフトウェア変更部と、を備える。前記フラグテーブル記憶部は、１以上のソフトウェアに含まれる各ソフトウェアについて、前記各ソフトウェアを識別するファイル情報と、前記各ソフトウェアの実行制御に利用するフラグと、を対応付けたフラグテーブルを記憶する。前記書き換え処理部は、前記１以上のソフトウェアのうちの１つである第１ソフトウェアの書き換えを検出した場合、前記第１ソフトウェアに対応する前記ファイル情報である第１ファイル情報を抽出し、抽出した前記第１ファイル情報に基づき前記フラグテーブル内の前記第１ファイル情報に対応する第１フラグを、書き換えが検出された前記第１ソフトウェアの完全性の検証が必要であることを示す第１の値に変更する。前記正規ソフトウェア変更部は、前記第１ソフトウェアを正規に変更する。前記正規ソフトウェア変更部は、前記第１ソフトウェアの正規な変更を行った場合、前記書き換え処理部によって変更された前記第１の値を前記第１ソフトウェアの実行を許可することを示す第２の値に変更する。

【図面の簡単な説明】

【0010】

【図1】第１の実施形態に係る情報処理装置１０の機能的な構成例を示すブロック図。

【図2】ホワイトリストＬ１の一例。

【図3】フラグテーブルＬ２の一例。

【図4】ホワイトリストＬ１からフラグテーブルＬ２に必要な情報を複製する処理手順の一例を示すフローチャート。

【図5】ソフトウェアのファイルが書き換えられるときの処理手順の一例を示すフローチャート。

【図6】ソフトウェアを実行制御する処理手順の一例を示すフローチャート。

【図7】ソフトウェアを更新する処理手順の一例を示すフローチャート。

【図8】ソフトウェアを復旧する処理手順の一例を示すフローチャート。

【図9】フラグテーブルＬ２の情報をホワイトリストＬ１に反映する処理手順の一例を示すフローチャート。

【図10】第１の実施形態に係る情報処理装置１０のハードウェア構成例を示すブロック図。

【発明を実施するための形態】

【0011】

以下、発明を実施するための実施形態について説明する。

【0012】

（第１の実施形態）
（第１の実施形態の概要と構成）
図１から図１０を参照して、第１の実施形態を説明する。

【0013】

図１は、第１の実施形態に係る情報処理装置１０の機能的な構成例を示すブロック図である。図１に示すように、情報処理装置１０は、フラグ複製部１０１、フラグ反映部１０２、書き換え処理部１０３、正規ソフトウェア変更部１０４、実行制御部１０５、検証値照合部１０６、検証値更新部１０７、ホワイトリスト記憶部１０８およびフラグテーブル記憶部１０９を備える。

【0014】

情報処理装置１０は、様々な目的に応じて設計された各種のシステム内でソフトウェアに対してホワイトリスト型の実行制御を行う。情報処理装置１０は、ソフトウェアの実行開始が検出されたときに、当該ソフトウェアに対応付けられたフラグ（実行制御情報の一例）を参照して当該ソフトウェアの実行を許可するか否かの判断や当該ソフトウェアの完全性の検証を行うか否かの判断（実行制御）を行う。

【0015】

また、情報処理装置１０は、予め実行が許可され、ストレージ７６（図１０）内に記憶されているソフトウェアのファイルが書き換えられると、当該ソフトウェアに対応付けられたフラグを操作して、当該ソフトウェアの実行開始時に完全性の検証を行うようにする。さらに、情報処理装置１０は、予め実行が許可されたソフトウェアが正規に変更（復旧もしくは更新）された場合には、一度当該ソフトウェアの完全性の検証を必要とすることを示すフラグの値に書き換えた後、再度フラグを操作することで当該ソフトウェアの実行開始時に当該ソフトウェアの実行を許可する。

【0016】

次に、情報処理装置１０が備える第１実行環境および第２実行環境について説明する。情報処理装置１０は、非セキュアな実行環境である第１実行環境と、セキュアな実行環境である第２実行環境を備える。

【0017】

第１実行環境と第2実行環境の２つの実行環境は同一のハードウェア上に仮想化される。
第１実行環境は、通常の情報処理装置の実行環境に相当する。第２実行環境は、第１実行環境よりもセキュリティを強化した実行環境である。

【0018】

第１実行環境では、例えば、Ｌｉｎｕｘ（登録商標）等のＯＳが使用される。外部ネットワークに接続して遠隔監視等様々な機能を提供する。一方で攻撃者は、情報処理装置１０の外部からネットワーク経由で第１実行環境へのアクセスすることができる。

【0019】

第２実行環境は、同一ハードウェアの上に、仮想化技術によって作られ、ハードウェアのアクセス制御により第１実行環境からのアクセスは限定される。第２実行環境で使用されるＯＳは、例えば、リアルタイムＯＳのＴＯＰＰＥＲＳなどである。規模の小さい脆弱性が低いOSを使用することによって第2実行環境の信頼性を保つ。本実施例において第２実行環境は外部ネットワークと直接通信しない。

【0020】

上述した第１実行環境および第２実行環境の仮想化を実現する技術は、一例として、ＡＲＭ社のＴｒｕｓｔ Ｚｏｎｅ（登録商標）を利用する。

【0021】

次に、情報処理装置１０の各機能部について説明する。

【0022】

図１に示すように、フラグテーブル記憶部１０９、書き換え処理部１０３および実行制御部１０５は、第１実行環境に配置される。検証値更新部１０７およびホワイトリスト記憶部１０８は、第２実行環境に配置される。フラグテーブル複製部１０１、フラグ反映部１０２、正規ソフトウェア変更部１０４および検証値照合部１０６は、両環境でそれぞれ部分的な処理が配置され、環境を跨って全体処理を実行する。すべての処理はそれぞれの実行環境の特権モードで動作する必要があるため、特権モードで動作するＯＳカーネルまたはアプリケーションに組み込む必要がる。

【0023】

ホワイトリスト記憶部１０８は、第２実行環境内でホワイトリストＬ１を記憶する。ホワイトリストＬ１は、情報処理装置１０において実行されて良いソフトウェアを対象に、ソフトウェアのファイル情報、検証値および実行制御情報が対応付けられて、システムの開発者や運用者によって予め作成したリストである。

【0024】

ファイル情報（識別情報と称すこともある）は、そのソフトウェアのファイルを識別可能な情報であり、例えば、そのファイルにアクセスする経路を示すファイルパスである。以下では、ソフトウェアのファイル情報がファイルパスであるものとして説明するが、ソフトウェアのファイルを識別可能な他の情報、例えば、ｉｎｏｄｅ番号やデバイス番号を利用しても良い。

【0025】

また、検証値（検証情報と称すこともある）は、ソフトウェアの完全性（正当性）を検証するための値である。検証値は、例えば、ハッシュ値である。以下では、検証値がハッシュ値であるものとして説明する。なお、ソフトウェアの完全性を検証するために、ＭＡＣ（メッセージ認証コード）を利用してもよい。

【0026】

実行制御情報は、ソフトウェアの実行開始時に当該ソフトウェアに対する実行制御の判断に利用するための情報である。

【0027】

以下では、実行制御情報として、フラグ（実行制御フラグと称すこともある）を利用するものとして説明するが、ソフトウェアの実行制御の判断に利用可能であれば、他の構造形式を利用しても良い。

【0028】

図２は、ホワイトリストＬ１の一例である。図２では、例えば、ファイルパス「ＡＡＡＡＡ」とハッシュ値「ＸＸＸＸＸ」とフラグ「０」が対応付けられている。これはファイルパスが「ＡＡＡＡＡ」であるソフトウェアについて、ハッシュ値が「ＸＸＸＸＸ」でフラグが「０（みなし許可）」であることを示している。

【0029】

図２に示すホワイトリストＬ１の一例において、フラグは「０（みなし許可）」または「２（みなし拒否）」の２つの値のうちの一方をとり得る。

【0030】

「０（みなし許可）」（第２の値と称すこともある）は、このフラグの値に対応付けられたファイルパスが示すソフトウェアの実行開始が検出されたとき（実行開始時）に、当該ソフトウェアの完全性の検証を行わずに実行を許可することを示すフラグの値である。

【0031】

「２（みなし拒否）」（第３の値と称すこともある）は、このフラグの値に対応付けられたファイルパスが示すソフトウェアの実行開始が検出されたときに、当該ソフトウェアを実行しない、すなわち実行を拒否することを示すフラグの値である。

【0032】

ホワイトリスト記憶部１０８は、情報処理装置１０の稼働中、攻撃者からの改ざんを防ぐために、安全な実行環境である第２実行環境においてホワイトリストＬ１を記憶する。

【0033】

具体的には、情報処理装置１０の稼働しているときには、ホワイトリスト記憶部１０８は、第２実行環境のメモリ領域（ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）７３の一部）を利用してホワイトリストＬ１を記憶する。また、情報処理装置１０が停止しているとき、ホワイトリストＬ１は、情報処理装置１０のストレージ７６の指定領域に記憶されている。

【0034】

フラグテーブル記憶部１０９は、第１実行環境のＯＳカーネルメモリ領域（ＲＡＭ７３の一部）を利用してフラグテーブルＬ２を記憶する。初期状態のフラグテーブルＬ２は、フラグ複製部１０１がホワイトリストＬ１からファイルパスとフラグを複製したものである。

【0035】

フラグテーブルＬ２は、後述するように「０（みなし許可）」および「２（みなし拒否）」の２つの値に加えて、「１（要検証）」の値をとり得る。これらによってソフトウェア実行時の遅延を抑制する効果がある。フラグテーブルＬ２を利用せずにホワイトリストＬ１のみでソフトウェアの実行制御を行うとすると、第２実行環境に配置される実行制御部１０５が第１実行環境内に配置されるホワイトリストＬ１のフラグを参照してソフトウェアの実行制御を行うことになる。これでは、フラグを参照する度に実行環境を切り替えるためのオーバヘッドが発生し、ソフトウェア実行時の遅延が生じてしまう。このため、フラグテーブル記憶部１０９が第１実行環境内に設けられる。

【0036】

「１（要検証）」（第１の値と称すこともある）は、このフラグの値に対応付けられたファイルパスが示すソフトウェアの実行開始が検出されたときに、当該ソフトウェアの完全性の検証を行う必要があることを示すフラグの値である。

【0037】

図３は、フラグテーブルＬ２の一例である。図３に示すように、フラグテーブルＬ２の内容はホワイトリストＬ１からファイルパスとこれに対応するフラグとを複製したものであり、ホワイトリストＬ１の部分集合となる。

【0038】

図３では、例えば、ファイルパスが「ＡＡＡＡＡ」であるソフトウェアについて、フラグが「０（みなし許可）」であることを示している。

【0039】

フラグ複製部１０１は、例えば、起動時に、第２実行環境内に配置されるホワイトリスト記憶部１０８が記憶するホワイトリストＬ１からファイルパスとこれに対応するフラグとをフラグテーブルＬ２として複製し、第１実行環境に配置されるフラグテーブル記憶部１０９に記憶させる処理を行う。

【0040】

フラグ反映部１０２は、第１実行環境に配置されるフラグテーブル記憶部１０９が記憶するフラグテーブルＬ２の情報を第２実行環境に配置されるホワイトリスト記憶部１０８が記憶するホワイトリストＬ１に反映する。

【0041】

上述したフラグ複製部１０１とフラグ反映部１０２の協働により、ホワイトリストＬ１とフラグテーブルＬ２の情報の同期を実現する。

【0042】

書き換え処理部１０３は、情報処理装置１０のストレージ７６等に記憶されているソフトウェアのファイルが（不正な変更も正規な変更も区別せずに）書き換えられたこと（変更されたこと）を検出すると、当該ソフトウェアのファイルパスを抽出し、フラグテーブルＬ２内の当該ソフトウェアのファイルパスに対応付けられたフラグを「１（要検証）」に変更する。

【0043】

書き換え処理部１０３がソフトウェアの書き換えを検出する手法としては、一例として、ソフトウェアのファイルへの書き込み処理（例えば、Ｌｉｎｕｘ（登録商標）カーネルのｗｒｉｔｅ関係の処理）が呼ばれたときに、これをソフトウェアの書き換えとして検出する手法が考えられる。

【0044】

正規ソフトウェア変更部１０４は、正規にソフトウェアのファイルを書き換える（正規に変更する）処理を行う。この場合、正規な書き換えであっても書き換え処理部１０３がフラグテーブルＬ２内の書き換え対象のソフトウェアのファイルパスに対応するフラグを「１（要検証）」に変更しているため、正規ソフトウェア変更部１０４は、そのフラグを「０（みなし許可）」に変更する。

【0045】

ソフトウェアの正規変更は、システム管理者が意図するソフトウェアの書き換え処理であり、ソフトウェアの機能追加やソフトウェアにセキュリティバッチを当てるための更新とソフトウェアの故障状態から回復するための復旧が考えられる。

【0046】

なお、正規ソフトウェア変更部１０４が動作する期間中に不正な書き換えが発生しないように、正規ソフトウェア変更部１０４の動作中の割り込みは禁止する。

【0047】

実行制御部１０５は、ソフトウェアの実行開始が検出されたとき（実行開始時）に、フラグテーブルＬ２内の当該ソフトウェアのファイルパスに対応付けられたフラグに基づき、当該ソフトウェアの実行制御を行う。

【0048】

一例として、情報処理装置１０があるソフトウェアの実行を開始しようとすると、実行制御部１０５は、当該ソフトウェアのファイルパスを抽出し、フラグテーブルＬ２内の当該ソフトウェアのファイルパスに対応するフラグを確認する。

【0049】

フラグテーブルＬ２において、実行制御対象のソフトウェアのファイルパスに対応するフラグが「０（みなし許可）」である場合、実行制御部１０５は、フラグに従って直ちに当該ソフトウェアの実行を許可する。

【0050】

また、フラグテーブルＬ２において、実行制御対象のソフトウェアのファイルパスに対応するフラグが見つからない場合や当該ソフトウェアのフラグが「２（みなし拒否）」である場合、実行制御部１０５は、当該ソフトウェアの実行を拒否する。

【0051】

また、フラグテーブルＬ２において、実行制御対象のソフトウェアのファイルパスに対応するフラグの値が「１（要検証）」である場合、実行制御部１０５は、検証値照合部１０６と協働して当該ソフトウェアの完全性の検証を行う。

【0052】

一例として、実行制御部１０５が実行制御対象のソフトウェアの実行ファイル（ストレージ７６内に保持）からハッシュ値を計算し、当該ソフトウェアのファイルパスと計算したハッシュ値を検証値照合部１０６に出力する。そして、検証値照合部１０６が当該ソフトウェアのファイルパスとハッシュ値を利用して、第２実行環境部で保持されているホワイトリストＬ１と連動して当該ソフトウェアの完全性を検証する。

【0053】

実行制御部１０５は、当該ソフトウェアについて、完全性の検証が成功である場合には、当該ソフトウェアの実行を許可し、完全性の検証が失敗である場合には、当該ソフトウェアの実行を拒否する。なお、ソフトウェアの実行を拒否した場合はエラーとしてシステム管理者に通知することが好ましい。

【0054】

検証値照合部１０６は、完全性の検証対象のソフトウェアのファイルパスと実行制御部１０５が計算したハッシュ値を実行制御部１０５から取得し、実行制御部１０５が計算したハッシュ値をホワイトリストＬ１内の当該ソフトウェアのハッシュ値と照合して完全性の検証を行う。さらに検証値照合部１０６は、検証結果を実行制御部１０５に通知する。

【0055】

具体的には、検証値照合部１０６は、完全性の検証対象のソフトウェアのファイルパスがホワイトリストＬ１内に存在するか否かを判断し、存在する場合はさらに当該ソフトウェアのファイルパスに対応付けられたハッシュ値を実行制御部１０５が計算したハッシュ値と照合し、両者の値が一致する場合は「検証成功」という検証結果を実行制御部１０５に通知する。

【0056】

また、ホワイトリストＬ１にファイルパスが存在しない場合やホワイトリストＬ１の当該ソフトウェアのファイルパスに対応付けられたハッシュ値が実行制御部１０５が計算したハッシュ値と一致しない場合は、「検証失敗」という検証結果を実行制御部１０５に通知する。

【0057】

検証値更新部１０７は、正規ソフトウェア変更部１０４によるソフトウェアの正規変更が行われる際、正規ソフトウェア変更部１０４から正規変更対象のソフトウェアのファイルパスと新たなハッシュ値を取得し、ホワイトリストＬ１内の当該ソフトウェアのファイルパスに対応付けられたハッシュ値を更新する。

【0058】

（第１の実施形態の処理）
図４～図９を参照して、本実施形態の情報処理装置１０の処理手順を説明する。

【0059】

まず、フラグ複製部１０１がホワイトリストＬ１の一部をフラグテーブルＬ２として複製する処理の手順を説明する。

【0060】

図４は、ホワイトリストＬ１からフラグテーブルＬ２に必要な情報を複製する処理手順の一例を示すフローチャートである。情報処理装置１０が起動すると、最初に第２実行環境の初期化処理を行い、第２実行環境のＯＳなどが準備でき次第、第１実行環境の初期化処理を行う。そして、フラグテーブルＬ２の複製処理を開始する。

【0061】

フラグテーブル記憶部１０９は、第１実行環境のＯＳカーネルメモリ領域にフラグテーブルＬ２を記憶するための空間を確保する（ステップＳ１００１）。フラグテーブルＬ２は、ホワイトリストＬ１の部分集合であるため、ホワイトリストＬ１の大きさが分かればフラグテーブルＬ２の大きさも決まる。

【0062】

なお、ホワイトリストＬ１の大きさは、事前にシステム管理者が指定する固定値であっても良いし、保護したいソフトウェアのリストの数による変動値にしても良い。

【0063】

同じくステップＳ１００１でフラグテーブル記憶部１０９は、フラグテーブルＬ２の空間が用意できるとフラグテーブルＬ２のための空間を用意できたことをフラグ複製部１０１に通知する。

【0064】

フラグ複製部１０１は、ホワイトリスト記憶部１０８からホワイトリストＬ１内のファイルパスとフラグの各組を取得し、フラグテーブル記憶部１０９に出力することで、ファイルパスとフラグの各組をフラグテーブルＬ２に複製する（ステップＳ１００３）。

【0065】

フラグ複製部１０１は、フラグテーブルＬ２を参照し、フラグテーブルＬ２の複製が成功したか否かの判定を行う（ステップＳ１００５）。フラグ複製部１０１は、ホワイトリストＬ１内のファイルパスとハッシュ値のすべての組がフラグテーブルＬ２に存在する場合、複製処理が成功と判断し（ステップＳ１００５：Ｙｅｓ）、処理を終了する。ステップＳ１００５において、フラグ複製部１０１は、ホワイトリストＬ１内のファイルパスとハッシュ値のいずれかの組がフラグテーブルＬ２内に存在しない場合、複製処理が失敗したと判断し（ステップＳ１００５：Ｎｏ）、エラー通知をシステム管理者に通知し（ステップＳ１００７）、ステップＳ１００３に移行する。そして、一定時間経過後に再度複製処理を行う。

【0066】

なお、エラー通知はあくまでシステム管理者が早期に異常に気づくための仕組みであり、必ずしも必要ではない。

【0067】

また、フラグ複製処理は情報処理装置１０の起動後の初期段階で行われるが、これに限定しない。例えば、情報処理装置１０の起動時とは別のタイミングや定期的に処理を実行しても良い。

【0068】

次に、ストレージ内のソフトウェアのファイルが書き換えられる際の処理手順を説明する。

【0069】

図５は、ソフトウェアのファイルが書き換えられるときの処理手順の一例を示すフローチャートである。

【0070】

書き換え処理部１０３は、情報処理装置１０の稼働中、常に自装置内のシステムの動きを監視する。そして、ストレージ７６（図１０）にデータを書き込む処理（例えば、Ｌｉｎｕｘ（登録商標）カーネルのｗｒｉｔｅ関係の処理）が発生すると、書き換え処理部１０３は、書き換えの発生を検出し、図５に示す処理を開始する。

【0071】

書き換え処理部１０３は、書き換えられたソフトウェアのファイルパスを抽出する（Ｓ２００１）。例えば、ファイルパスが「ＢＢＢＢＢ」であるソフトウェアが書き換えられた場合、書き換え処理部１０３は、ファイルパス「ＢＢＢＢＢ」を抽出する。

【0072】

書き換え処理部１０３は、フラグテーブル記憶部１０９からフラグテーブルＬ２を参照し、書き換えられたソフトウェアのファイルパスがフラグテーブルＬ２内に含まれているか否かを判定する（ステップＳ２００３）。

【0073】

フラグテーブルＬ２内に当該ソフトウェアのファイルパスが含まれている場合（ステップＳ２００３：Ｙｅｓ）、書き換え処理部１０３は、フラグテーブルＬ２内の当該ソフトウェアのファイルパスに対応するフラグの値を「１（要検証）」に変更し（ステップＳ２００５）、処理を終了する。

【0074】

なお、フラグの値を変更する際、書き換え処理部１０３は、変更前のフラグの値を確認する必要はない。

【0075】

また、ステップＳ２００３でフラグテーブルＬ２内に当該ソフトウェアのファイルパスが含まれていない場合（ステップＳ２００３：Ｎｏ）、処理を終了する。

【0076】

次に情報処理装置１０がソフトウェアを実行するときの処理手順を説明する。
図６は、ソフトウェアを実行制御する処理手順の一例を示すフローチャートである。この図６のフローチャートで示す処理は、ソフトウェアの実行開始が検出される度に実行される。なお、実行開始が検出され、実行制御の対象となるソフトウェアを実行制御対象のソフトウェアと称すこともある。

【0077】

情報処理装置１０がソフトウェアの実行を開始しようとすると、第１実行環境のカーネルが処理（例えば、Ｌｉｎｕｘ（登録商標）のｅｘｅｃｖｅ関係の処理）を開始する。図６のステップＳ３００１において、第１実行環境のカーネルは、実行しようとするソフトウェアの実行ファイルを読み込む前に、カーネルの実行処理を一時停止させる。そして、図６のステップ３００３の処理に移行する。なお、カーネルが実行処理を一時停止して、関数（図６のステップ３００３以降の処理）に移行させる方法としては、例えば、ＬＳＭ（Ｌｉｎｕｘ（登録商標） Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌｅ）のセキュリティフックポイントを利用することで実現できる。

【0078】

図６のステップＳ３００３において、実行制御部１０５は、まず実行制御対象のソフトウェアのファイルパスを取得し、さらにフラグテーブルＬ２を参照して当該ソフトウェアのファイルパスがフラグテーブルＬ２内に含まれているか否かを判定する。

【0079】

フラグテーブルＬ２内に実行制御対象のソフトウェアのファイルパスが含まれている場合（ステップＳ３００３：Ｙｅｓ）、実行制御部１０５は、当該ファイルパスに対応付けられたフラグの値が「１（要検証）」であるか否かを判定する（ステップＳ３００５）。

【0080】

ステップＳ３００５において、フラグの値が「１（要検証）」である場合（ステップＳ３００５：Ｙｅｓ）、実行制御部１０５は、実行制御対象のソフトウェアのファイルパスから当該ソフトウェアのファイルを取得してハッシュ値を計算する（ステップＳ３００７）。また、同じくステップＳ３００７において、実行制御部１０５は、検証値照合部１０６に実行制御対象のソフトウェアのファイルパスと計算したハッシュ値を出力する。

【0081】

検証値照合部１０６は、ホワイトリストＬ１を参照し、実行制御部１０５が計算した実行制御対象のソフトウェアのハッシュ値とホワイトリストＬ１内の当該ソフトウェアのハッシュ値とを比較して、一致するか否かを判定する（ステップＳ３００９）。

【0082】

ステップＳ３００９において、２つの検証値が一致する場合（つまり、完全性の検証に成功した場合）（ステップＳ３００９：Ｙｅｓ）、検証値照合部１０６は、「検証成功」という検証結果を実行制御部１０５に通知し、実行制御部１０５は、フラグテーブルＬ２内の実行制御対象のソフトウェアに対応付けられたフラグを「０（みなし許可）」に変更する（ステップＳ３０１１）。

【0083】

そして、情報処理装置１０は、実行制御対象のソフトウェアの実行処理を継続させるように、カーネル実行処理に戻る（ステップＳ３０１３）。そして、処理を終了する。

【0084】

図６のステップＳ３００９において、２つの検証値が一致しない場合（つまり、完全性の検証に失敗した場合）（ステップＳ３００９：Ｎｏ）、ステップ３０１５に移行する。ステップ３０１５において、検証値照合部１０６は、「検証失敗」という検証結果を実行制御部１０５に通知し、実行制御部１０５は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）７２内に当該ソフトウェアの復旧用情報が存在するか否かを確認する。

【0085】

ＲＯＭ７２内に復旧用情報がある場合（ステップＳ３０１５：Ｙｅｓ）、実行制御部１０５は、実行制御対象のソフトウェアのファイルパスを正規ソフトウェア変更部１０４に出力し、正規ソフトウェア変更部１０４が当該ソフトウェアの復旧処理を行う（ステップＳ３０１７）。同じくステップＳ３０１７において、正規ソフトウェア変更部１０４がフラグテーブルＬ２内の実行制御対象のソフトウェアに対応付けられたフラグを「０（みなし許可）」に変更する。そして、ステップＳ３００５に移行する。復旧処理の詳細については、後述する。

【0086】

ステップＳ３０１５において、ＲＯＭ７２内に復旧用情報がない場合（ステップＳ３０１５：Ｎｏ）」、ステップＳ３０１９に移行する。

【0087】

ステップＳ３０１９において、実行制御部１０５は、フラグテーブルＬ２内の実行制御対象のソフトウェアに対応付けられたフラグを「２（みなし拒否）」に変更する。そして、ステップＳ３０２５において、実行制御部１０５は、当該ソフトウェアの実行を拒否し、情報処理装置１０は、一時停止したカーネル実行処理に戻って当該ソフトウェアの実行を中止する。

【0088】

ステップＳ３００５において、実行制御対象のソフトウェアのフラグが「１（要検証）」でない場合（ステップＳ３００５：Ｎｏ）、実行制御部１０５は、フラグの値が「０（みなし許可）」であるか否かを判定する（ステップＳ３０２１）。

【0089】

ステップＳ３０２１において、実行制御対象のソフトウェアのフラグの値が「０（みなし許可）」である場合（ステップＳ３０２１：Ｙｅｓ）、実行制御部１０５は、当該ソフトウェアの実行を許可し、情報処理装置１０は、一時停止したカーネル実行処理に戻って実行制御対象のソフトウェアの実行処理を再開させる（ステップＳ３０１３）。

【0090】

ステップＳ３０２１において、実行制御対象のソフトウェアのフラグの値が「０（みなし許可）」でない場合（ステップＳ３０２１：Ｎｏ）、実行制御部１０５は、フラグが「２（みなし拒否）」であるか否を判断する（ステップＳ３０２３）。

【0091】

ステップＳ３０２３において、実行制御対象のソフトウェアのフラグが「２（みなし拒否）」である場合（ステップＳ３０２３：Ｙｅｓ）、実行制御部１０５は、当該ソフトウェアの実行を拒否し、情報処理装置１０は、一時停止したカーネル実行処理に戻って当該ソフトウェアの実行を中止する（ステップＳ３０２５）。

【0092】

ステップＳ３０２３において、実行制御対象のソフトウェアのフラグが「２（みなし拒否）」でない場合（ステップＳ３０２３：Ｎｏ）、実行制御部１０５は、フラグの状態がエラーであるとみなし、システム管理者にエラー通知を行う（ステップＳ３０２７）。そして、実行制御部１０５は、当該ソフトウェアの実行を拒否し、情報処理装置１０は、一時停止したカーネル実行処理に戻って当該ソフトウェアの実行処理を中止する（ステップＳ３０２５）。

【0093】

ステップＳ３００３において、フラグテーブルＬ２内に実行制御対象のソフトウェアのファイルパスが含まれていない場合（ステップＳ３００３：Ｎｏ）、実行制御部１０５は、当該ソフトウェアの実行を拒否し、情報処理装置１０は、一時停止したカーネル実行処理に戻って当該ソフトウェアの実行処理を中止する（ステップＳ３０２５）。

【0094】

なお、実行を拒否したソフトウェアに対して、当該ソフトウェアの重要度に応じて適切なタイミングにて自動または手動で復旧しても良い。

【0095】

次に、ソフトウェアを正規変更する時の処理手順を説明する。ソフトウェアの正規変更には、更新と復旧がある。まず、更新の場合について説明する。図７は、ソフトウェアを更新する処理手順の一例を示すフローチャートである。

【0096】

情報処理装置１０の内部のソフトウェアのバージョン情報を管理する管理部がソフトウェアの更新が必要と判断すると、情報処理装置１０は、ソフトウェアの更新処理を行う。

【0097】

図７のステップＳ４０００において、正規ソフトウェア変更部１０４は、更新用情報を取得する。例えば、正規ソフトウェア変更部１０４は、通信装置７７（図１０）を利用して外部から更新情報を取得する。なお、更新用情報の正当性は別途の手段で確保済みと仮定する。

【0098】

ここで、更新用情報にはソフトウェアのファイルパス（ファイル情報）、当該ソフトウェアの実行ファイル（更新用ファイル）、当該ソフトウェアのハッシュ値が含まれる。

【0099】

図７のステップＳ４００１において、正規ソフトウェア変更部１０４は、更新対象のソフトウェアのファイルパスとハッシュ値を検証値更新部１０７に出力する。

【0100】

検証値更新部１０７は、ホワイトリストＬ１内の更新対象のソフトウェアに対応付けられたハッシュ値をソフトウェアの旧ファイルのハッシュ値からソフトウェアの更新用ファイルのハッシュ値に更新する（ステップＳ４００３）。

【0101】

次に、正規ソフトウェア変更部１０４がストレージ７６内の更新対象ソフトウェアのファイルについて、新しいファイルで旧ファイルを上書きして更新する（ステップＳ４００５）。

【0102】

上述したように、書き換え処理部１０３は、ストレージ７６内のソフトウェアのファイルが書き換えられることを検出すると、フラグテーブルＬ２の当該ソフトウェアに対応付けられたフラグを「１（要検証）」に変更する機能を持つ。したがって、ステップＳ４００５で更新対象のファイルが更新されると、書き換え処理部１０３がフラグテーブルＬ２の更新対象のソフトウェアに対応付けられたフラグを「１（要検証）」に変更する（ステップＳ４００７）。

【0103】

次に、正規ソフトウェア変更部１０４は、変更対象のソフトウェアのフラグが「１（要検証）」であることを検出し、当該ソフトウェアは正規な変更（更新）のため当該フラグを「０（みなし許可」に変更する（ステップＳ４００９）。そして、処理を終了する。

【0104】

次に復旧処理を説明する。図８は、ソフトウェアを復旧する処理手順の一例を示すフローチャートである。図６のステップＳ３００５乃至ステップＳ３０１７で説明したように、実行制御対象のソフトウェアの完全性の検証に失敗し、当該ソフトウェアに対応する復旧用情報がある場合に、正規ソフトウェア変更部１０４が当該ソフトウェアの復旧処理を行う。

【0105】

図８のステップＳ５０００において、正規ソフトウェア変更部１０４は、復旧用情報を取得する。

【0106】

なお、正規ソフトウェア変更部１０４は、復旧用情報を情報処理装置１０の外部から取得しても良いし、情報処理装置１０の内部（ＲＯＭ７２等）から取得しても良い。

【0107】

情報処理装置１０の内部から取得する場合は、例えば、事前にＲＯＭ７２などに復旧用情報を保存しておくことが必要である。

【0108】

復旧用情報には、古いバージョンの正規のソフトウェア実行ファイル（復旧用ファイル）と、これに対応するハッシュ値が含まれる。

【0109】

図８のステップＳ５００１において、正規ソフトウェア変更部１０４は、復旧対象のソフトウェアのファイルパスと当該ソフトウェアのハッシュ値を検証値更新部１０７に出力する。

【0110】

検証値更新部１０７は、ホワイトリストＬ１内の復旧対象のソフトウェアに対応付けられたハッシュ値を正規ソフトウェア変更部１０４から取得した復旧用ファイルのハッシュ値に更新する（ステップＳ５００３）。

【0111】

次に、正規ソフトウェア変更部１０４がストレージ７６の復旧対象ソフトウェアのファイルに対し、復旧用情報内の復旧用ファイルで上書きすることで、復旧する（ステップＳ５００５）。

【0112】

ステップＳ５００５で復旧対象ソフトウェアの実行ファイルが復旧されると、書き換え処理部１０３がフラグテーブルＬ２の復旧対象のソフトウェアに対応付けられたフラグを「１（要検証）」に変更する（ステップＳ５００７）。

【0113】

次に、正規ソフトウェア変更部１０４は、当該ソフトウェアに対応付けられたフラグが「１（要検証）」であることを検出すると、当該ソフトウェアは正規な変更（復旧）のため、当該フラグを「０（みなし許可」に変更する（ステップＳ５００９）。そして、複製処理を終了する。

【0114】

次に、フラグテーブルＬ２の情報をホワイトリストＬ１に反映する処理手順を説明する。

【0115】

図９は、フラグテーブルＬ２の情報をホワイトリストＬ１に反映する処理手順を示すフローチャートである。以下では、ソフトウェアを実行することで提供するサービスがすべて終了し、情報処理装置１０が停止する直前に反映処理を行うとして説明するが反映処理を行うタイミングを別に設定しても良い。

【0116】

情報処理装置１０は、ソフトウェアを実行して提供するサービスがすべて終了すると、外部との通信インターフェースを閉じて、フラグテーブルＬ２の情報をホワイトリストＬ１に反映する処理を開始する。

【0117】

反映処理では、情報処理装置１０が次回稼働してソフトウェアの実行制御を行う際に、ソフトウェアの完全性を検証する処理を削減するために、停止前のホワイトリストＬ１へのフラグの反映でフラグが「１（要検証）」のものを無くす。

【0118】

フラグ反映部１０２は、まずフラグテーブルＬ２を参照し、値が「１（要検証）」であるフラグの有無を確認する（ステップＳ６００１）。

【0119】

フラグテーブルＬ２に値が「１（要検証）」のフラグがある場合（ステップＳ６００１：Ｙｅｓ）、情報処理装置１０は、ステップＳ６００３とステップＳ６００５の処理で当該フラグに対応するソフトウェアの完全性を検証する。

【0120】

ステップＳ６００３において、フラグ反映部１０２は、フラグテーブルＬ２の値が「１（要検証）」であるフラグの中から一つのフラグを選択し、選択したフラグに対応するソフトウェア（完全性検証対象のソフトウェア）のハッシュ値を計算する。具体的には、フラグ反映部１０２が選択したフラグに対応するソフトウェアのファイルパスから当該ソフトウェアのバイナリファイルをストレージ７６から取得してハッシュ値を計算する。同じくステップＳ６００３において、フラグ反映部１０２は、当該ソフトウェアのファイルパスと計算したハッシュ値を検証値照合部１０６に出力する。

【0121】

検証値照合部１０６は、フラグ反映部１０２から完全性検証対象のソフトウェアのファイルパスと当該ソフトウェアに対応するハッシュ値を取得し、ホワイトリストＬ１を参照して、ホワイトリストＬ１内の当該ソフトウェアに対応付けられたハッシュ値とフラグ反映部１０２が計算したハッシュ値とが一致するか否かを判定する（ステップＳ６００５）。

【0122】

ホワイトリストＬ１内の完全性検証対象のソフトウェアに対応付けられたハッシュ値とフラグ反映部１０２が計算したハッシュ値とが一致する場合（つまり、完全性の検証に成功した場合）（ステップＳ：６００５：Ｙｅｓ）、ステップＳ６００７に移行する。

【0123】

ステップＳ６００７において、検証値照合部１０６は、フラグ反映部１０２に「検証成功」という検証結果を通知し、次にフラグ反映部１０２は、フラグテーブルＬ２の完全性検証対象のソフトウェアに対応付けられたフラグを「０（みなし許可）」に変更し、ステップＳ６００１に移行する。

【0124】

図９のステップＳ６００５において、ホワイトリストＬ１内の完全性検証対象のソフトウェアに対応付けられたハッシュ値とフラグ反映部１０２が計算したハッシュ値が一致しない場合（つまり、完全性の検証に失敗した場合）（ステップＳ：６００５：Ｎｏ）、ステップＳ６００９に移行する。

【0125】

ステップＳ６００９において、検証値照合部１０６は、フラグ反映部１０２に「検証失敗」という検証結果を通知し、フラグ反映部１０２は、フラグテーブルＬ２において完全性の検証対象のソフトウェアのフラグを「２（みなし拒否）」に変更し、ステップＳ６００１に移行する。

【0126】

フラグテーブルＬ２内に値が「１（要検証）」のフラグが存在しない場合（ステップＳ６００１：Ｎｏ）、フラグテーブルＬ２内の各ソフトウェアに対応するフラグの値を第２実行環境のホワイトリストＬ１内の各ソフトウェアに対応するフラグに反映する（ステップＳ６０１１）。

【0127】

そして、情報処理装置１０は、反映処理を終了する。なお、ホワイトリストＬ１は、情報処理装置１０の停止中はストレージ７６内で保持されるため、図９で説明した反映処理の終了後から情報処理装置１０が停止する間に、ホワイトリストＬ１をストレージ７６に記憶させることになる。また、次に情報処理装置１０が起動するときには、その前の情報処置装置１０の稼働時に停止する前に反映処理を経たホワイトリストＬ１を利用することになる。なお、ストレージ７６からホワイトリストＬ１をロードする時に、別途正当性を検証する手段が必要となる。

【0128】

（第１の実施形態の効果）
以上説明したように、本実施形態の情報処理装置１０は、ネットワーク経由でのソフトウェアへの攻撃を想定にして、ソフトウェアに対しホワイトリスト型の実行制御を行う。情報処理装置１０は、ソフトウェアを実行する際に、フラグテーブルＬ２のフラグに基づいて、当該ソフトウェアの実行制御を行う。

【0129】

情報処理装置１０の起動後に、ソフトウェアの書き換えが発生すると、フラグテーブルＬ２内の当該ソフトウェアに対応付けられたフラグを「１（要検証）」に変更する。

【0130】

情報処理装置１０は、フラグが「１（要検証）」のソフトウェアについて、当該ソフトウェアが実行されるときには、そのときに当該ソフトウェアに対して完全性を検証する。

【0131】

また、情報処理装置１０の終了（電源を切る）前までに、フラグの値が「１（要検証）」であるソフトウェアが実行されない場合には、当該ソフトウェアの完全性を検証してから情報処理装置１０は電源を切る。

【0132】

また、ソフトウェアが正規変更される場合には、フラグテーブルＬ２内の当該ソフトウェアに対応付けられたフラグを「１（要検証）」から「０（みなし許可）」に変更し、ソフトウェアが正規変更の場合とネットワーク経由などの攻撃により不正に書き換えられた場合とを区別する。

【0133】

従来は、ソフトウェアに対する更新や復旧に対応せず、一度書き換えられると実行時に完全性検証が行われて、実行時の検証による遅延削減の効果が限られたが、本実施形態の情報処理装置１０は、ソフトウェアの正規変更が行われた場合においても、当該ソフトウェアが実行される際の遅延を有効に抑制して実行制御処理を行うことができる。

【0134】

また、本実施形態の情報処理装置１０は、ソフトウェアを完全性の検証を行うタイミングは情報処理装置１０の起動直後ではなく、不正に書き換えられた時やサービス提供終了後から装置電源切断の前までに行うため、完全性の検証処理によるオーバヘッドがソフトウェアの実行により提供されるサービスへの影響が少ないと考えられる。

【0135】

また、ホワイトリストＬ１を安全な実行環境に配置することにより、情報処理装置１０の稼働時にホワイトリストＬ１の完全性について定期的な保証や確認する処理が不要となる。

【0136】

（補足説明）
上述した実施形態の情報処理装置１０は、例えば、一般的なコンピュータを構成するハードウェアと、コンピュータで実行されるプログラム（ソフトウェア）との協働により実現することができる。ストレージ７６上にあるＯＳイメージ等のソフトウェアは、セキュアブート等の手段により安全に起動することができる。上述の実施形態した実施形態の情報処理装置１０は、ストレージ７６などの記憶媒体に予めファームウェアとして格納されたプログラムを実行することによって実現することができる。

【0137】

図１０は、通信解析装置１０のハードウェア構成図である。図１０に示すように、情報処理装置１０はプロセッサ７１、ＲＯＭ７２、ＲＡＭ７３、ストレージ７６、通信装置７７および各部を接続するバス７９を備えており、一般的なコンピュータ（計算機システム）としてのハードウェア構成を採用することができる。

【0138】

プロセッサ７１は、プログラムに従って処理（各部の制御およびデータの加工など）をする。プロセッサ７１は、ＲＡＭ７３の所定領域を作業領域としてＲＯＭ７２およびストレージ７６などに記憶されたプログラムとの協働により各種処理を実行する。

【0139】

ＲＯＭ７２は、装置で稼働予定のソフトウェアの現在バージョンのイメージを記憶する書き換えできないメモリである。

【0140】

ＲＡＭ７３は、ＳＤＲＡＭ（Ｓｙｎｃｈｒｏｎｏｕｓ Ｄｙｎａｍｉｃ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）などのメモリである。ＲＡＭ７３は、プロセッサ７１による処理対象のデータなどを記憶し、プロセッサ７１の作業領域として機能する。

【0141】

ストレージ７６は、例えば、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）およびフラッシュメモリなどである。ストレージ７６は、オペレーティングシステム、アプリケーションプログラムおよび機能部が使用するデータなどを記憶している。

【0142】

通信装置７７は、ネットワークに接続するためのインターフェース装置である。通信装置７７は、プロセッサ７１からの制御に応じて外部の機器とネットワークを介して通信する。

【0143】

実施形態の情報処理装置で実行されるプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ－ＲＯＭ、ＣＤ－Ｒ、メモリーカード、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋ）、フレキシブルディスクなどのコンピュータで読み取り可能な記憶媒体に記憶されてコンピュータプログラムプロダクトとして提供されるようにしてもよい。

【0144】

また、実施形態の情報処理装置１０で実行されるプログラムをインターネットなどのネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するようにしてもよい。また、実施形態の情報処理装置１０で実行されるプログラムをインターネットなどのネットワーク経由で提供または配布するようにしてもよい。

【0145】

なお、上述の実施形態の情報処理装置１０の各部は、その一部または全部が、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）やＦＰＧＡ（Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍｂｌｅ Ｇａｔｅ Ａｒｒａｙ）などの専用のハードウェアにより実現される構成であってもよい。

【0146】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0147】

１０・・・情報処理装置１０
７１・・・プロセッサ
７２・・・ＲＯＭ
７３・・・ＲＡＭ
７６・・・ストレージ
７７・・・通信装置
７９・・・バス
１０１・・・フラグ複製部
１０２・・・フラグ反映部
１０３・・・書き換え処理部
１０４・・・正規ソフトウェア変更部
１０５・・・実行制御部
１０６・・・検証値照合部
１０７・・・検証値更新部
１０８・・・ホワイトリスト記憶部
１０９・・・フラグテーブル記憶部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】