特許ウォッチ

公開番号2024103863
公報種別公開特許公報(A)
公開日2024-08-02
出願番号2023007807
出願日2023-01-23
発明の名称ポリシー整合性検証装置、ポリシー整合性検証方法、およびポリシー整合性検証プログラム
出願人日本電気株式会社
代理人個人,個人
主分類G06F 21/60 20130101AFI20240726BHJP(計算;計数)
要約【課題】ポリシー関数とポリシー定義との間の整合性を効率良く検証することに寄与する。
【解決手段】ポリシー整合性検証装置は、アクセスの属性値とアクセス可否に関する規則を定めたポリシー定義から生成された、前記属性値の入力からアクセス可否の出力を得るポリシー関数を入力とし、前記ポリシー関数を近似したIf-Thenルールを生成するポリシー変換部と、前記If-Thenルールと前記ポリシー定義との整合を検証し、整合しない属性値をエラーサンプルとして生成するエラーサンプル生成部とを備える。
【選択図】図1
特許請求の範囲【請求項１】
アクセスの属性値とアクセス可否に関する規則を定めたポリシー定義から生成された、前記属性値の入力からアクセス可否の出力を得るポリシー関数を入力とし、前記ポリシー関数を近似したIf-Thenルールを生成するポリシー変換部と、
前記If-Thenルールと前記ポリシー定義との整合を検証し、整合しない属性値をエラーサンプルとして生成するエラーサンプル生成部とを備える、ポリシー整合性検証装置。
続きを表示（約 1,600 文字）【請求項２】
前記エラーサンプル生成部は、前記If-Thenルールと前記ポリシー定義とをもとに生成した論理式について充足可能性検査を行うことでエラーサンプルを得る、請求項１に記載のポリシー整合性検証装置。
【請求項３】
前記ポリシー変換部は、前記属性値の組み合わせをランダムに生成し、前記属性値の組み合わせを前記ポリシー関数に入力して得られた出力から決定木を構成し、前記決定木からIf-Thenルールを生成する請求項１に記載のポリシー整合性検証装置。
【請求項４】
前記ポリシー定義を基に機械学習モデルとして前記ポリシー関数を生成するポリシー生成部と、
前記エラーサンプルをもとに学習データを生成し、前記ポリシー生成部を更新するポリシー生成更新部と、を備える請求項１に記載のポリシー整合性検証装置。
【請求項５】
前記エラーサンプルをもとに前記If-Thenルールを更新するルール更新部を備える、請求項４に記載のポリシー整合性検証装置。
【請求項６】
前記エラーサンプルが前記ポリシー関数に起因するエラーであるか前記If-Thenルールに起因するエラーであるかを判別し、前記判別の結果に基づいて前記ポリシー生成部を更新するか、前記If-Thenルールを更新するかを判断する、請求項５に記載のポリシー整合性検証装置。
【請求項７】
アクセスの属性値とアクセス可否に関する規則を定めたポリシー定義から生成された、前記属性値の入力からアクセス可否の出力を得るポリシー関数を入力とし、前記ポリシー関数を近似したIf-Thenルールを生成するポリシー変換ステップと、
前記If-Thenルールと前記ポリシー定義との整合を検証し、整合しない属性値をエラーサンプルとして生成するエラーサンプル生成ステップとを有する、ポリシー整合性検証方法。
【請求項８】
前記エラーサンプルが前記ポリシー関数に起因するエラーであるか前記If-Thenルールに起因するエラーであるかを判別し、前記ポリシー関数に起因するエラーである場合は、前記エラーサンプルをもとに学習データを生成し、前記ポリシー定義を基に機械学習モデルとして前記ポリシー関数を生成するポリシー生成部を更新し、前記If-Thenルールに起因するエラーである場合は、前記エラーサンプルをもとに前記If-Thenルールを更新する、請求項７に記載のポリシー整合性検証方法。
【請求項９】
プログラムを実行するプロセッサと前記プログラムを記憶しているメモリを備えるコンピュータにポリシー整合性を検証させるポリシー整合性検証プログラムであって、
アクセスの属性値とアクセス可否に関する規則を定めたポリシー定義から生成された、前記属性値の入力からアクセス可否の出力を得るポリシー関数を入力とし、前記ポリシー関数を近似したIf-Thenルールを生成するポリシー変換プロセスと、
前記If-Thenルールと前記ポリシー定義との整合を検証し、整合しない属性値をエラーサンプルとして生成するエラーサンプル生成プロセスとを有する、ポリシー整合性検証プログラム。
【請求項１０】
前記エラーサンプルが前記ポリシー関数に起因するエラーであるか前記If-Thenルールに起因するエラーであるかを判別し、前記ポリシー関数に起因するエラーである場合は、前記エラーサンプルをもとに学習データを生成し、前記ポリシー定義を基に機械学習モデルとして前記ポリシー関数を生成するポリシー生成部を更新し、前記If-Thenルールに起因するエラーである場合は、前記エラーサンプルをもとに前記If-Thenルールを更新する、請求項９に記載のポリシー整合性検証プログラム。

発明の詳細な説明【技術分野】
【０００１】
本発明は、ポリシー整合性検証装置、ポリシー整合性検証方法、およびポリシー整合性検証プログラムに関するものである。
続きを表示（約 1,900 文字）【背景技術】
【０００２】
データに対するアクセス制御は、セキュリティを高い状態で維持するための重要な技術である。アクセス制御の一つのやり方には、アクセスを許可するユーザやアクセス先リソースなどの属性（所属や役職など）を示したポリシー定義を作成し、このポリシー定義を基礎にして属性の組み合わせを入力としてアクセスの許可ないし拒否を出力するポリシー関数を作成し、このポリシー関数を用いてアクセス制御を実行する方法がある。
【先行技術文献】
【特許文献】
【０００３】
特表２０２０－５２５８９８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
なお、上記先行技術文献の各開示を、本書に引用をもって組み込むものとする。以下の分析は、本発明者らによってなされたものである。
【０００５】
ところで、作成されたポリシー関数は、ポリシー定義から作成されているとしても、ポリシー定義を正しく反映していない可能性も否定できない。そこで、ポリシー関数とポリシー定義との間の整合性を検証する必要があるが、ユーザやリソースなどのアクセス可否の判断に利用される属性（所属や役職など）のすべての組み合わせに対して整合性を検証することは現実的ではない。これらの属性（所属や役職など）の組み合わせの中から幾つかサンプルを選択して整合性を検証することになる。すると、サンプルから漏れた組み合わせにおける整合性を検証することはできず、ポリシー定義では拒否することが定められているものが、ポリシー関数では許可されている状態を見逃すという問題が発生してしまうことも起こり得る。その他、特許文献１には、比較検証するセキュリティ許可の集合から命題論理を決定し、命題論理同士の同等性を検証する方法が記載されている。
【０００６】
このように、ポリシー関数とポリシー定義との間の整合性を検証することは容易ではない。そこで、ポリシー関数とポリシー定義との間の整合性を効率良く検証する方法が望まれている。
【０００７】
本発明の目的は、上述した課題を鑑み、ポリシー関数とポリシー定義との間の整合性を効率良く検証することに寄与するポリシー整合性検証装置、ポリシー整合性検証方法、およびポリシー整合性検証プログラムを提供する。
【課題を解決するための手段】
【０００８】
本発明の第１の視点では、アクセスの属性値とアクセス可否に関する規則を定めたポリシー定義から生成された、前記属性値の入力からアクセス可否の出力を得るポリシー関数を入力とし、前記ポリシー関数を近似したIf-Thenルールを生成するポリシー変換部と、前記If-Thenルールと前記ポリシー定義との整合を検証し、整合しない属性値をエラーサンプルとして生成するエラーサンプル生成部とを備える、ポリシー整合性検証装置が提供される。
【０００９】
本発明の第２の視点では、アクセスの属性値とアクセス可否に関する規則を定めたポリシー定義から生成された、前記属性値の入力からアクセス可否の出力を得るポリシー関数を入力とし、前記ポリシー関数を近似したIf-Thenルールを生成するポリシー変換ステップと、前記If-Thenルールと前記ポリシー定義との整合を検証し、整合しない属性値をエラーサンプルとして生成するエラーサンプル生成ステップとを有する、ポリシー整合性検証方法が提供される。
【００１０】
本発明の第３の視点では、プログラムを実行するプロセッサと前記プログラムを記憶しているメモリを備えるコンピュータにポリシー整合性を検証させるポリシー整合性検証プログラムであって、アクセスの属性値とアクセス可否に関する規則を定めたポリシー定義から生成された、前記属性値の入力からアクセス可否の出力を得るポリシー関数を入力とし、前記ポリシー関数を近似したIf-Thenルールを生成するポリシー変換プロセスと、前記If-Thenルールと前記ポリシー定義との整合を検証し、整合しない属性値をエラーサンプルとして生成するエラーサンプル生成プロセスとを有する、ポリシー整合性検証プログラムが提供される。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
（【００１１】以降は省略されています）

関連特許