JP7380251B2 - 仮想マシンにおけるデータ改ざんの監視方法及び装置 - Google Patents

Description

本開示は、仮想マシンにおけるデータ改ざんの監視方法及び装置に関する。

コンピュータのリソースを抽象化する仮想化は、仮想化によって物理サーバ上に構築した仮想マシンによる、物理サーバのリソースの柔軟な利用を可能にする。コンピュータの仮想化環境では、ネットワーク側からの不正アクセスにより仮想マシンのメモリ空間のデータが改ざんされても、その影響が仮想マシンのリソース内で収まり、物理サーバの全体に影響が及ぶのを防ぐことができる。

ところで、物理サーバを仮想化ソフトウェアにより仮想化すると、物理サーバ上に仮想マシンが構築される。仮想マシンでは、アプリケーションソフトウェアがゲストＯＳ（Operation System）上で実行される。ゲストＯＳが異なる複数の仮想マシンを物理サーバ上に構築すれば、対応するＯＳがそれぞれ異なる複数のアプリケーションソフトウェアを、１台の物理サーバ上で動作させることができる。

特許文献１は、仮想化ソフトウェアにより物理サーバ上に構築したホストＯＳ型の仮想マシンにおけるデータ改ざんの防止対策技術を開示している。

特許文献１の技術では、仮想化ソフトウェアによって物理サーバ上に、ホストＯＳ型の２つの仮想マシンを構築する。そして、汎用ＯＳを用いる一方の仮想マシンのアプリケーションソフトウェアが処理要求すると、仮想化ソフトウェアにより物理サーバ上に構築されるロック部が、物理サーバのＣＰＵの特権状態を変更する。この変更により、処理要求したアプリケーションソフトウェアがロードされた物理サーバのメモリ空間は、一方の仮想マシンへのアクセス権限だけでは書き換えできなくなる。

その上で、管理専用ＯＳを用いる他方の仮想マシン上に構築される特定部が、物理サーバの書き換え不可とされたメモリ空間のアプリケーションソフトウェアのハッシュ値を求め、正規のアプリケーションソフトウェアに対応する参照ハッシュ値と照合する。そして、他方の仮想マシン上に構築される判定部が、特定部による照合結果から、アプリケーションソフトウェアのデータ改ざんの有無を検出する。

特開２００９－１９９５３０号公報

特許文献１の技術では、仮想マシン上で稼働されるアプリケーションソフトウェアのデータ改ざんを検査するために、物理サーバの多くのリソースを割いて、管理専用ＯＳを用いる検査専用の仮想マシンを物理サーバ上に構築する必要がある。

本開示は前記事情に鑑みなされたもので、本開示の目的は、物理サーバ上に構築した仮想マシンにおけるデータ改ざんの監視のために割く物理サーバのリソースを、抑制することにある。

本開示に係る仮想マシンにおけるデータ改ざんの監視方法は、
仮想化ソフトウェアにより物理サーバ上に構築された仮想マシンにおいて、前記仮想マシン上で起動されたアプリケーションソフトウェアの稼働が認可された際の、前記アプリケーションソフトウェアの真正性の確認用情報を、前記アプリケーションソフトウェアのデータから生成する認可時生成ステップと、
前記仮想マシンにおいて、前記稼働が認可された前記アプリケーションソフトウェアの実行中に、前記確認用情報を繰り返し生成する実行中生成ステップと、
前記仮想化ソフトウェアにより割り当てられた前記物理サーバの前記仮想マシン以外のリソースにおいて、前記アプリケーションソフトウェアの実行中の前記確認用情報と、前記稼働が認可された際の前記確認用情報との照合により、前記アプリケーションソフトウェアのデータ改ざんの判定を繰り返し実行する判定ステップと、
を含む。

本開示に係る仮想マシンにおけるデータ改ざんの監視装置は、
仮想化ソフトウェアにより物理サーバ上に構築された仮想マシンにおいて、前記仮想マシン上で起動されたアプリケーションソフトウェアのデータから、前記アプリケーションソフトウェアの真正性の確認用情報を生成する情報生成部と、
前記物理サーバの前記仮想マシン以外に割り当てられたリソース上に前記仮想化ソフトウェアにより構築され、前記仮想マシン上での前記アプリケーションソフトウェアの稼働が認可された際の前記確認用情報を記憶する情報記憶部と、
前記仮想化ソフトウェアにより前記リソース上に構築され、前記稼働が認可された前記アプリケーションソフトウェアの実行中に、前記情報生成部が生成した前記確認用情報と前記情報記憶部の前記確認用情報との照合による前記アプリケーションソフトウェアのデータ改ざんの判定を繰り返し実行する判定部と、
を備える。

本開示に係る仮想マシンにおけるデータ改ざんの監視装置において、前記仮想化ソフトウェアにより前記リソース上に構築され、前記アプリケーションソフトウェアの起動時に前記情報生成部が生成した前記稼働の認可前の前記確認用情報に基づいて、前記稼働を認可又は拒否する認否部をさらに備え、前記判定部は、前記認否部による前記稼働の認可後に前記判定を実行してもよい。

本開示に係る仮想マシンにおけるデータ改ざんの監視装置において、前記情報生成部は、前記アプリケーションソフトウェアのアプリケーションデータに対応するハッシュ値を前記確認用情報として生成してもよい。

本開示に係る仮想マシンにおけるデータ改ざんの監視装置において、前記情報生成部は、前記アプリケーションソフトウェアのアプリケーションデータのスナップショットを前記確認用情報として生成してもよい。

本開示によれば、物理サーバ上に構築した仮想マシンにおけるデータ改ざんの監視のために割く物理サーバのリソースを、抑制することができる。

一実施形態に係るデータ改ざんの監視装置を運用可能な仮想マシンが複数構築された物理サーバの一例を示す説明図である。 一実施形態に係り図１の物理サーバに構築された仮想マシンにおけるデータ改ざんの監視装置の詳細な構成を示す説明図である。 図２の物理サーバにおいて実行することができる仮想マシンにおけるデータ改ざんの監視手順の一例を示すフローチャートである。 図２の物理サーバにおいて実行することができる仮想マシンにおけるデータ改ざんの監視手順の一例を示すフローチャートである。 一実施形態に係るデータ改ざんの監視装置を運用可能な仮想マシンが複数構築された物理サーバの他の例を示す説明図である。

以下、いくつかの例示的な実施形態について、図面を参照しながら説明する。図１は一実施形態に係るデータ改ざんの監視装置を運用可能な仮想マシンが複数構築された物理サーバの一例を示す説明図である。

図１に示す物理サーバ１は、不図示のハードウェアを有する。ハードウェアは、例えば、ＣＰＵ、ＲＡＭ、ＲＯＭ、不揮発性の外部記憶装置等を含んでいる。

物理サーバ１のハードウェアのＲＯＭ又は外部記憶装置には、ホストＯＳ（Operation System）３を記憶させることができる。

また、ＲＯＭ又は外部記憶装置には、ホストＯＳ３上で実行される仮想化ソフトウェア５を記憶させることができる。ハードウェアのＣＰＵは、ホストＯＳ３のプログラムを実行する。また、ＣＰＵは、仮想化ソフトウェア（仮想化ソフト）５のプログラムを実行することで、物理サーバ１上に１又は複数の仮想マシン７を仮想的に構築することができる。図１では、物理サーバ１上に２つの仮想マシン７が構築された場合を示している。

各仮想マシン７は、ゲストＯＳ９及びアプリケーションソフトウェア（アプリ）１１をそれぞれ有している。各仮想マシン７は、ゲストＯＳ９上でアプリケーションソフトウェア１１をそれぞれ稼働させることができる。

実施形態に係るデータ改ざんの監視装置は、各仮想マシン７におけるアプリケーションソフトウェア１１のデータ改ざんを監視するために、物理サーバ１上で運用することができる。以下、一実施形態に係るデータ改ざんの監視装置の構成について、図２の説明図を参照して説明する。

図２では、図面の見やすさのため、仮想マシン７を１つだけ図示し、他の仮想マシン７の図示を省略している。図２に示すように、物理サーバ１のハードウェアは、ネットワークインタフェース１３を有している。物理サーバ１は、ネットワークインタフェース１３を介して、ネットワーク１５に接続されている。

各仮想マシン７は、物理サーバ１のハードウェアに仮想的に構築される通信経路により、ネットワークインタフェース１３に接続される。即ち、物理サーバ１のハードウェアのＣＰＵが、仮想化ソフトウェア５のプログラムを実行することで、ネットワークインタフェース１３に仮想ブリッジが割り当てられる。この仮想ブリッジにより、各仮想マシン７とネットワークインタフェース１３とをつなげる仮想的な通信経路が確立される。

各仮想マシン７は、ネットワークインタフェース１３を介して行うパケットの送受信により、他の仮想マシン７又はネットワーク１５上の他の機器とデータをやり取りすることができる。

ハードウェアのＣＰＵには、ユーザインタフェース１９を接続することができる。ユーザインタフェース１９は、例えば、キーボード、マウス等の入力デバイスと、ディスプレイ等の出力デバイスとを有するものとすることができる。

ＣＰＵは、仮想化ソフトウェア５を実行することで、物理サーバ１の仮想マシン７以外に割り当てられたリソース上に、通信制御部２１及びデータベース記憶部（データベース）２３を仮想的に構築することができる。

通信制御部２１は、他の仮想マシン７又はネットワーク１５上の他の機器を宛先とする仮想マシン７からのパケットを受け取り、ネットワークインタフェース１３に出力することができる。また、通信制御部２１は、他の仮想マシン７又はネットワーク１５上の他の機器を送信元とするパケットをネットワークインタフェース１３から受け取り、宛先とする仮想マシン７に出力することができる。

さらに、通信制御部２１は、アプリケーションソフトウェア１１の稼働が認可された際の真正性の確認用情報を、アプリケーションソフトウェア１１を有する仮想マシン７から受け取り、データベース記憶部２３に記憶させることができる。また、記憶させた確認用情報を、必要に応じてデータベース記憶部２３から読み出すことができる。

各仮想マシン７は、アプリケーションデータフォルダ２５に格納されたアプリケーションデータに基づいて、ゲストＯＳ９上でアプリケーションソフトウェア１１を稼働させることができる。アプリケーションデータフォルダ２５のアプリケーションデータは、アプリケーションソフトウェア１１の稼働中に必要とする非実行形式のデータを含むものとすることができる。

各仮想マシン７は、ゲストＯＳ９を実行することで、アプリケーションデータフォルダ２５のアプリケーションデータを用いて、アプリケーションソフトウェア１１の真正性の確認用情報を生成し、通信制御部２１に出力することができる。

なお、上述した確認用情報は、例えば、アプリケーションデータフォルダ２５に格納されているアプリケーションデータに対応するハッシュ値、又は、アプリケーションデータのスナップショットとすることができる。

次に、物理サーバ１において実行することができる仮想マシン７におけるアプリケーションソフトウェア１１のデータ改ざんの監視手順の一例を、図３及び図４のフローチャートを参照しながら説明する。

図２の（１）に示すように、仮想マシン７においてアプリケーションソフトウェア１１が起動されると、仮想マシン７が、アプリケーションソフトウェア１１の真正性の確認用情報を生成する。仮想マシン７は、生成した確認用情報を、アプリケーションソフトウェア１１の起動時における確認用情報として、図２の（２）に示す経路で通信制御部２１に送信する（図３のステップＳ１）。

なお、仮想マシン７は、アプリケーションソフトウェア１１の起動後、アプリケーションソフトウェア１１の実行中に、確認用情報を繰り返し生成する。確認用情報の生成を繰り返す周期は、例えば、一定周期毎とすることができる。この周期は、例えば、ゲストＯＳ９のライブラリ環境変数（図示せず）の環境変数において定めることができる。

通信制御部２１は、仮想マシン７から取得した確認用情報を、図２の（３）に示す経路でホストＯＳ３に転送する（図３のステップＳ３）。ホストＯＳ３のプログラムを実行した物理サーバ１のＣＰＵは、転送された確認用情報を、図２の（４）に示すように、ユーザインタフェース１９の出力デバイスから出力させる。確認用情報の出力は、例えば、ディスプレイでの表示等によって実行することができる。

確認用情報を出力デバイスから出力させたＣＰＵは、図２の（４）に示すように、ユーザインタフェース１９の入力デバイスから不図示のユーザが入力した指示を受け付けることができる。この指示は、例えば、出力デバイスの出力を元にユーザが決定した、仮想マシン７におけるアプリケーションソフトウェア１１の稼働に対する認可又は拒否の指示とすることができる。

ユーザは、例えば、アプリケーションソフトウェア１１のプログラムに対するデバッグ処理の際に、アプリケーションソフトウェア１１の稼働の認可又は拒否を自ら決定し、決定した認可又は拒否の指示を入力デバイスから入力することができる。

そして、ＣＰＵは、ホストＯＳ３のプログラムを実行することで、仮想マシン７におけるアプリケーションソフトウェア１１の稼働の認可判定を実行する（図３のステップＳ５）。ＣＰＵは、この認可判定を、例えば、図３のステップＳ１において仮想マシン７から取得した確認用情報に基づいて行うことができる。

即ち、ＣＰＵは、例えば、ステップＳ１で取得した確認用情報と、予め取得しておいた、アプリケーションデータフォルダ２５のアプリケーションデータが正規の内容である場合の確認用情報とを照合し、一致するか否かで認可の可否を判定することができる。ＣＰＵは、例えば、入力デバイスからの認可又は拒否の指示の入力をＣＰＵが受け付けの待ち時間内に受け付けなかった場合に、確認用情報の照合による認可判定を実行することができる。

なお、ＣＰＵは、入力デバイスからの指示の入力を受け付けの待ち時間内に受け付けた場合に、受け付けた指示が示す内容を、そのまま認可判定の結果としてもよい。

ＣＰＵは、認可判定の結果の情報を、図２の（５）に示すように、通信制御部２１に送信する（図３のステップＳ７）。通信制御部２１は、判定結果の情報を、図２の（６）に示すように、仮想マシン７に送信する（図３のステップＳ９）。通信制御部２１の判定結果が認可でない、即ち、拒否である場合（図３のステップＳ１１でＮＯ）、仮想マシン７は、アプリケーション強制終了処理を実行する（図３のステップＳ１３）。

アプリケーション強制終了処理では、仮想マシン７は、アプリケーションデータフォルダ２５のアプリケーションデータが改ざんされているものとして、起動されたアプリケーションソフトウェア１１を強制終了させる。そして、アプリケーションソフトウェア１１のデータ改ざんの監視手順を終了する。

一方、通信制御部２１の判定結果が認可である場合（図３のステップＳ１１でＹＥＳ）、仮想マシン７は、判定結果の取得直後に生成された確認用情報を、図２の（７）に示す経路で通信制御部２１に送信する（図３のステップＳ１５）。通信制御部２１は、仮想マシン７から取得した確認用情報を、図２の（８）に示す経路でデータベース記憶部２３に記憶させる（図３のステップＳ１７）。これにより、データベース記憶部２３には、アプリケーションソフトウェア１１の稼働が認可された際の確認用情報が登録される。そして、仮想マシン７は、起動されたアプリケーションソフトウェア１１を稼働させる（図３のステップＳ１９）。

アプリケーションソフトウェア１１を稼働させると、仮想マシン７は、確認周期の到来を確認する（図４のステップＳ２１）。確認周期が到来していない場合は（図４のステップＳ２１でＮＯ）、後述する図４のステップＳ３５の手順に移行する。確認周期が到来すると（図４のステップＳ２１でＹＥＳ）、仮想マシン７は、確認周期の到来直後に生成された確認用情報を通信制御部２１に送信する（図４のステップＳ２３）。

通信制御部２１は、仮想マシン７から取得した確認用情報を、実行中のアプリケーションソフトウェア１１の確認用情報として、ホストＯＳ３に転送する（図４のステップＳ２５）。また、通信制御部２１は、データベース記憶部２３の稼働認可の際の確認用情報も、ホストＯＳ３に送信する（図４のステップＳ２５）。ホストＯＳ３のプログラムを実行した物理サーバ１のＣＰＵは、実行中のアプリケーションソフトウェア１１の確認用情報を、データベース記憶部２３の稼働認可の際の確認用情報と照合する。そして、ＣＰＵは、照合した両確認用情報が一致するか否かによって、アプリケーションソフトウェア１１のデータ改ざんの有無を判定する（図４のステップＳ２７）。

判定の結果、照合した両確認用情報が一致せず、改ざん有りとの判定結果になった場合は（図４のステップＳ２９でＹＥＳ）、ＣＰＵは、アプリケーションソフトウェア１１の強制終了の指示を通信制御部２１に送信する（図４のステップＳ３１）。通信制御部２１は、強制終了の指示を仮想マシン７に送信する（図４のステップＳ３３）。仮想マシン７は、図３のステップＳ１１に手順を移行して、アプリケーション強制終了処理を実行する。照合した両確認用情報が一致し、改ざん有りとの判定結果にならなかった場合は（図４のステップＳ２９でＮＯ）、図４のステップＳ３５の手順に移行する。

図４のステップＳ３５では、仮想マシン７は、アプリケーションソフトウェア１１の稼働が終了したか否かを確認する。稼働が終了していない場合は（ステップＳ３５でＮＯ）、ステップＳ２１に手順を戻す。稼働が終了した場合は（ステップＳ３５でＹＥＳ）、アプリケーションソフトウェア１１のデータ改ざんの監視手順を終了する。

以上に説明した本実施形態の物理サーバ１では、図３のステップＳ１５で通信制御部２１に送信する確認用情報を仮想マシン７が生成することで、データ改ざんの監視方法における認可時生成ステップを実行することができる。また、図４のステップＳ２３で通信制御部２１に送信する確認用情報を仮想マシン７が生成することで、データ改ざんの監視方法における実行中生成ステップを実行することができる。

さらに、本実施形態の物理サーバ１では、ホストＯＳ３のプログラムを実行したＣＰＵが図４のステップＳ２７及びステップＳ２９の手順を実行することで、データ改ざんの監視方法における判定ステップを実行することができる。また、ＣＰＵが図４のステップＳ２７及びステップＳ２９の手順を実行することで、データ改ざんの監視装置における判定部を物理サーバ１上に実装することができる。

さらに、本実施形態の物理サーバ１では、アプリケーションソフトウェア１１の起動後に仮想マシン７が確認用情報を繰り返し生成することで、データ改ざんの監視装置における情報生成部を物理サーバ１上に実装することができる。また、本実施形態の物理サーバ１では、データベース記憶部２３により、データ改ざんの監視装置における情報記憶部を構成することができる。

さらに、本実施形態の物理サーバ１では、図３のステップＳ１１の手順を実行することで、データ改ざんの監視装置における認否部を物理サーバ１上に実装することができる。

そして、本実施形態の物理サーバ１によれば、アプリケーションソフトウェア１１の稼働が認可された際の確認用情報とその後の実行中における確認用情報とを、物理サーバ１のＣＰＵによって照合する。即ち、物理サーバ１のＣＰＵがホストＯＳ３のプログラムを実行することで、アプリケーションソフトウェア１１のアプリケーションデータの改ざんを監視するための確認用情報の照合を行うことができる。

このため、確認用情報の照合によりデータ改ざんの有無を監視するために、専用の仮想マシン７を物理サーバ１上に構築する必要がなくなる。よって、物理サーバ１上に構築した仮想マシン７におけるデータ改ざんの監視のために割く物理サーバ１のリソースを、抑制することができる。

また、物理サーバ１の仮想マシン７以外に割り当てられたリソース上で、確認用情報の照合を行うことができる。このため、アプリケーションソフトウェア１１のアプリケーションデータの改ざんを、アプリケーションデータの改ざんによる影響を受けないリソース上で監視することができる。

なお、以上に説明した実施形態では、仮想化ソフトウェア５によりホストＯＳ３上に仮想マシン７を構築するホストＯＳ型の仮想化環境において、本開示に係るデータ改ざんの監視方法及び装置を運用する場合について説明した。

しかし、本開示に係るデータ改ざんの監視方法及び装置は、図５の説明図に示すように、ハイパーバイザとしての仮想化ソフトウェア５により物理サーバ１のハードウェア上に仮想マシン７を直接構築するハイパーバイザ型の仮想化環境においても運用可能である。

図５に示すハイパーバイザ型の仮想化環境でも、アプリケーションソフトウェア１１の稼働が認可された際の確認用情報とその後の実行中における確認用情報とは、物理サーバ１のＣＰＵによって照合される。即ち、物理サーバ１のＣＰＵがホストＯＳ３のプログラムを実行することで、アプリケーションソフトウェア１１のアプリケーションデータの改ざんを監視するための確認用情報の照合を行うことができる。

このため、物理サーバ１上に構築した仮想マシン７におけるデータ改ざんの監視のために割く物理サーバ１のリソースを、抑制することができる。

以上にいくつかの実施形態を説明したが、上記開示内容に基づいて実施形態の修正または変形をすることが可能である。上記実施形態のすべての構成要素、及び請求の範囲に記載されたすべての特徴は、それらが互いに矛盾しない限り、個々に抜き出して組み合わせてもよい。

１ 物理サーバ
３ ホストＯＳ
５ 仮想化ソフトウェア（ハイパーバイザ）
７ 仮想マシン
９ ゲストＯＳ
１１ アプリケーションソフトウェア
１３ ネットワークインタフェース
１５ ネットワーク
１９ ユーザインタフェース
２１ 通信制御部
２３ データベース記憶部
２５ アプリケーションデータフォルダ

Claims (4)

1. 仮想化ソフトウェアにより物理サーバ上に構築された仮想マシンにおいて、前記仮想マシン上で起動されたアプリケーションソフトウェアの稼働が認可された際の、前記アプリケーションソフトウェアの真正性の確認用情報を、前記アプリケーションソフトウェアのデータから生成する認可時生成ステップと、
   前記仮想マシンにおいて、前記稼働が認可された前記アプリケーションソフトウェアの実行中に、前記確認用情報を繰り返し生成する実行中生成ステップと、
   前記アプリケーションソフトウェアの起動時に生成した前記稼働の認可前の前記確認用情報に基づいて、前記稼働を認可又は拒否する認否ステップと、
   前記認否ステップにおける前記稼働の認可後に、前記仮想化ソフトウェアにより割り当てられた前記物理サーバの前記仮想マシン以外のリソースにおいて、前記アプリケーションソフトウェアの実行中の前記確認用情報と、前記稼働が認可された際の前記確認用情報との照合により、前記アプリケーションソフトウェアのデータ改ざんの判定を繰り返し実行する判定ステップと、
   を含む仮想マシンにおけるデータ改ざんの監視方法。
2. 仮想化ソフトウェアにより物理サーバ上に構築された仮想マシンにおいて、前記仮想マシン上で起動されたアプリケーションソフトウェアのデータから、前記アプリケーションソフトウェアの真正性の確認用情報を生成する情報生成部と、
   前記物理サーバの前記仮想マシン以外に割り当てられたリソース上に前記仮想化ソフトウェアにより構築され、前記仮想マシン上での前記アプリケーションソフトウェアの稼働が認可された際の前記確認用情報を記憶する情報記憶部と、
   前記仮想化ソフトウェアにより前記リソース上に構築され、前記稼働が認可された前記アプリケーションソフトウェアの実行中に、前記情報生成部が生成した前記確認用情報と前記情報記憶部の前記確認用情報との照合による前記アプリケーションソフトウェアのデータ改ざんの判定を繰り返し実行する判定部と、
   前記仮想化ソフトウェアにより前記リソース上に構築され、前記アプリケーションソフトウェアの起動時に前記情報生成部が生成した前記稼働の認可前の前記確認用情報に基づいて、前記稼働を認可又は拒否する認否部と備え、
   前記判定部は、前記認否部による前記稼働の認可後に前記判定を実行する
   仮想マシンにおけるデータ改ざんの監視装置。
3. 前記情報生成部は、前記アプリケーションソフトウェアのアプリケーションデータに対応するハッシュ値を前記確認用情報として生成する請求項２に記載の仮想マシンにおけるデータ改ざんの監視装置。
4. 前記情報生成部は、前記アプリケーションソフトウェアのアプリケーションデータのスナップショットを前記確認用情報として生成する請求項２に記載の仮想マシンにおけるデータ改ざんの監視装置。

Images