JP5179792B2 - 操作検知システム - Google Patents

Description

本発明は、操作検知システムに関し、特に、利用者による、悪意のある操作又は疑わし操作を検知する操作検知システムに関する。

現状、情報システムや情報資産への利用が許可されているユーザが、故意に悪意のある操作（情報資産の漏洩、システム設定の意図的な変更等）を行っても、それを把握するのは困難であった。

一方、特許文献１には、マシン上での不正操作を防止するシステムが記載されている。
特開２０００−１１２８９０号公報

よって、情報システムや情報資産への利用が許可されているユーザが、故意に悪意のある操作を行った場合、それをいかに検知するかが課題となる。

また、特許文献１に記載の発明は、マシン上での不正操作を防止するシステムである。

そこで本発明は、利用者による、悪意のある操作又は疑わし操作を検知する操作検知システムを提供することを目的とする。

上記目的を達成するため、本発明の操作検知システムは、ネットワークに接続されるクライアントＰＣと、ネットワークに接続されるシステムコンピュータと、ネットワークに接続されるログ分析サーバと、ネットワークに接続される記録手段とを備える操作検知システムにおいて、前記クライアントＰＣは、操作ログのデータベースを有し、当該クライアントＰＣでの操作内容を前記操作ログのデータベースに記録させる処理を行い、前記システムコンピュータは、ログのデータベースを有し、前記クライアントＰＣを利用して行った当該システムコンピュータの処理に関するログを前記ログのデータベースに記録させる処理を行い、前記記録手段には、少なくとも、「操作」、「操作対象」、「実行順序」がパターンごとに記録された不正操作パターンのデータベースを有し、前記ログ分析サーバは、前記クライアントＰＣの前記操作ログ及び前記システムコンピュータの処理に関するログを収集し、正規化し、前記不正操作パターンに基づき前記正規化ログを分析し、前記不正操作パターンと前記正規化ログを比較して、マッチングの割合が予め定めた一定以上の場合、操作の内容を通報する処理を行うことを特徴とする。さらに本発明の操作検知システムは、前記ログ分析サーバは、前記マッチング度の高さに応じて危険度レベルを判断し、当該危険度レベルを通報する処理を行うことを特徴とする。さらに本発明の操作検知システムは、操作パターン登録サーバを有し、前記記録手段は操作パターン登録サーバと接続され、当該操作パターン登録サーバの処理により前記不正操作パターンを前記不正操作パターンのデータベースに登録させることを特徴とする。

また、本発明の操作検知システムは、ネットワークに接続されるクライアントＰＣと、ネットワークに接続されるシステムコンピュータと、ネットワークに接続されるログ分析サーバと、ネットワークに接続される記録手段とを備える操作検知システムにおいて、
前記クライアントＰＣは、操作ログのデータベースを有し、当該クライアントＰＣでの操作内容を前記操作ログのデータベースに記録させる処理を行い、前記システムコンピュータは、ログのデータベースを有し、前記クライアントＰＣを利用して行った当該システムコンピュータの処理に関するログを前記ログのデータベースに記録させる処理を行い、前記記録手段には、正常操作パターンのデータベースを有し、前記ログ分析サーバは、前記クライアントＰＣの前記操作ログ及び前記システムコンピュータの処理に関するログを収集し、正規化し、前記正常操作パターンに基づき前記正規化ログを分析し、前記正常操作パターンと前記正規化したログの関係があらかじめ定めた乖離の条件に当てはまる場合、操作の内容を通報する処理を行い、前記乖離の条件は、少なくとも順序性の乖離と実行時間の乖離を含み、前記順序性の乖離は、実行順序が異なれば乖離とし、前記実行時間の乖離は、定めた標準時間以外の利用は乖離とすることを特徴とする。さらに本発明の操作検知システムは、前記ログ分析サーバは、前記乖離の条件の内容に応じて危険度レベルを判断し、当該危険度レベルを通報する処理を行うことを特徴とする。さらに本発明の操作検知システムは、操作パターン登録サーバを有し、前記記録手段は操作パターン登録サーバと接続され、当該操作パターン登録サーバの処理により正常操作パターンを正常操作パターンのデータベースに登録させることを特徴とする。

さらに本発明の操作検知システムは、前記システムコンピュータは、情報管理サーバ及び各種情報システムのコンピュータで構成されることを特徴とする。さらに本発明の操作検知システムは、前記クライアントＰＣを利用して行ったシステムコンピュータの処理に関するログには、アクセスログ及び設定変更ログが含まれることを特徴とする。

本発明によれば、操作検知システムにおいて、利用者による、悪意のある操作又は疑わし操作を検知することができる。

本発明を実施するための最良の形態を説明する。

図１は、本発明の操作検知システムの一実施形態を示すシステム構成図である。顧客先２１には、顧客先ネットワーク３１に、情報資産管理サーバ４と、各種情報システム５と、クライアントＰＣ３が接続されている。サービスベンダ２２には、顧客先ネットワーク３１からネットワーク３０を介して接続されているサービスベンダ内ネットワーク３２に、操作パターン登録サーバ１と、ログ分析サーバ２が接続されている。

情報資産管理サーバ４は、処理部と記録部を有し、当該記録部にはアクセスログ／設定変更ログ（情報資産管理サーバ）１５ａと、情報資産ファイル１７のデータベースが格納されている。各種情報システム５も、記録部を有し、これにアクセスログ／設定変更ログ（各種情報システム）１５ｂが格納されている。各種情報システム５は必要に応じ接続され、その台数が限定される必要はない。すなわち、これら情報資産管理サーバ４や各種情報システム５のシステムコンピュータはいずれもアクセスログ／設定変更ログ１５が記録されていることになる。クライアントＰＣ３は処理部や記録部を有し、当該記録部には、操作ログ１４が格納されている。そして、処理部にて後述する操作ログの記録を行う。なお、アクセスログ／設定変更ログ１５については、アクセスログ／設定変更ログだけでなく、クライアントＰＣ３を利用して行ったシステムコンピュータの処理に関するログであれば本発明で適用できる。また、クライアントＰＣ３は一台〜複数台で適用可能である。そして、操作ログ１４はクライアントＰＣ３ごとに記録される。

操作パターン登録サーバ１には、処理部や記録部を有し、当該記録部には、設定情報ＤＢ（データベース）１１と、不正操作パターンＤＢ１２と、正常操作パターンＤＢ１３を有する。また、処理部にて後述する操作パターン登録が行われる。また、ログ分析サーバ２にも、処理部や記録部を有し、当該記録部には、ログ格納ＤＢ１６を有する。処理部では、後述するログの収集／分析が行われる。なお、これら上記の記録部を有するとは、内蔵（内部で接続）されている場合だけでなく、外部に接続されている場合も含まれる。

図２は、本発明における操作パターン登録の一実施形態を示すフローチャートである。操作パターン登録は管理者２５の操作により、操作パターン登録サーバ１で行われる。まず、操作パターン登録サーバ１に管理者アカウントでログインする（Ｓ１０１）。次に、分析する操作内容をどのログから取得するかを定義する「操作／ログ対応テーブル」を作成し、設定情報ＤＢ１１に格納する（Ｓ１０２）。次に、利用者の標準的な利用パターンを定義する「ユーザ毎の標準利用状況テーブル」を作成し、設定情報ＤＢ１１に格納する（Ｓ１０３）。次にファイル毎に重要度を定義する「重要情報定義テーブル」を作成し、設定情報ＤＢ１１に格納する（Ｓ１０４）。

そして、不正操作パターン登録なしの場合は、Ｓ１０７へ進み（Ｓ１０５）、不正操作パターン登録ありの場合は、「操作／ログ゛対応テーブル」，「ユーザ毎の標準利用状況テーブル」，「重要情報定義テーブル」を元に「不正操作パターン」を作成し、不正操作パターンＤＢ１２に格納する（Ｓ１０５、Ｓ１０６）。次に、正常操作パターン登録なし場合は終了となり（Ｓ１０７）、正常操作パターン登録ありの場合は、「操作／ログ対応テーブル」，「ユーザ毎の標準利用状況テーブル」，「重要情報定義テーブル」を元に「正常操作パターン」を作成し、正常操作パターンＤＢ１３に格納する（Ｓ１０７、１０８）。

図３は、本発明における「操作／ログ対応テーブル」の一例である。図３には、「Ｎｏ」ごとに、「操作名」、「ログ名」、「ログ内容（実際にログに出力される内容を記述する）」が定義されている。図４は、本発明における「ユーザ毎の標準利用状況テーブル」の一例である。図４では、「Ｎｏ」ごとに、「ユーザ名」、「曜日」、「開始（時刻）」、「終了（時刻）」、「ＩＰアドレス」、「グループ」が定義されている。図５は、本発明における「重要情報定義テーブル」の一例である。「Ｎｏ」ごとに、「名称」、「ファイル名」、「重要度」が定義されている。

図６は、本発明における「不正操作パターン」の一例である。図６では、「パターンＮｏ」ごとに、「操作Ｎｏ」、「操作対象」、「実行順序」、「回数」が示されている。ここで、「操作Ｎｏ」は図３の「操作／ログ対応テーブル」の「Ｎｏ」が指定されている。「操作対象」は、図５の重要情報定義テーブルの「Ｎｏ」若しくは、「重要度」が指定されている。「回数」は、指定値以上の出現を不正とする場合、その回数が指定されている。

図７は、本発明における「正常操作パターン」の一例である。「パターンＮｏ」ごとに、「ユーザ」、「操作Ｎｏ」、「実行順序」、「操作対象」が示されている。ここで、「操作Ｎｏ」は図３の「操作／ログ対応テーブル」の「Ｎｏ」が指定されている。「操作対象」は図５の「重要情報定義テーブル」の「Ｎｏ」若しくは、「重要度」が指定されている。

図８は、本発明における操作ログ記録の一実施形態を示すフローチャートである。まず、クライアントＰＣ３に、利用者の操作を記録するエージェントプログラムをインストールする（Ｓ２０１）。すると、エージェントプログラム（クライアントＰＣ３の処理部による処理）は、利用者がクライアントＰＣ３を利用して行った操作を、すべて「操作ログ１４」に記録する。また、情報資産管理サーバ４及び各種情報システム５は、利用者が、クライアントＰＣ３を利用して行ったアクセスや設定変更を、「アクセスログ／設定変更ログ１５」に記録する（Ｓ２０３）。

図９は、本発明におけるログの収集／分析の一実施形態を示すフローチャートである。これらは、ログ分析サーバ２の処理部で処理される。まず、クライアントＰＣ３の操作ログ１４及び、情報資産管理サーバ４／各種情報システム５のアクセスログ／設定変更ログ１５を収集し、正規化して、ログ分析サーバ２のログ格納ＤＢ１６に格納する（Ｓ３０１）。次に、ログ分析サーバ２は、不正操作パターンに基づき、正規化ログを分析する（Ｓ３０２）。そして、不正操作パターンに類似するログがあるかを判断する（Ｓ３０３）。

不正操作パターンに類似するログが無い場合はＳ３０５へ進み、不正操作パターンに類似するログがある場合は、悪意のある操作の通報を行う（Ｓ３０４）。次に、ログ分析サーバ２は、正常操作パターンに基づき、正規化ログを分析する（Ｓ３０５）。そして、正常操作パターンと乖離するログあるかを判断する（Ｓ３０６）。正常操作パターンと乖離するログが無い場合は終了し、正常操作パターンと乖離するログがある場合は、悪意のある操作の通報を行う（Ｓ３０７）。

ここで、Ｓ３０３の「類似」するか否かは、不正操作パターンと正規化ログのマッチング度を予め定義しておくことで判断することができる。例えば、７０％以上マッチングすれば類似とする等である。そして、危険度レベルをマッチング度と関連づけて定義させることができる。例えば、マッチング度が７０〜８０％は危険度レベルが「小」、マッチング度８０〜９０％は危険度レベルが「中」、マッチング度９０〜１００％は危険度レベルが「高」とする場合である。

また、Ｓ３０６の「乖離」するか否かは、正常操作パターンと正規化ログの乖離度を予め定義しておくことで判断することができる。例えば、順序性の乖離や実行時間の乖離などである。順序性の乖離の例として、実行順序が異なれば乖離とする場合があげられ、実行時間の乖離の例として、定めた標準時間以外の利用は乖離とする場合があげられる。そして、危険度レベルは、乖離度と関連づけて定義させることができる。例えば、順序性の乖離で、実行順序が異なれば、危険度レベルを「高」とし、実行時間の乖離で、定めた標準時間以外の利用は、危険度レベルを「中」とする場合があげられる。

図１０は、本発明におけるログの正規化（Ｓ３０１）の処理の一例を示した図である。図１０では、操作ログ１４（例）とアクセスログ／設定変更ログ１５等（例）を合わせて正規化した正規化ログが示されている。

図１１は、本発明における悪意のある操作の通報（Ｓ３０４、Ｓ３０７）の一実施形態を示すフローチャートである。これらも、ログ分析サーバ２の処理部で処理される。まず、ログ分析サーバ２は、予め定義しておいたマッチング度や乖離度に応じて、危険度レベルを決定する（Ｓ４０１）。そして、危険度レベル及び不正操作の内容をまとめて、顧客２６に通報する（Ｓ４０２）。通報は、例えば、メールなどで行う。

図１２〜図１４は、不正操作パターンと正規化ログの比較の具体的事例を示した各図である。これらは、Ｓ３０２、Ｓ３０３もしくはＳ４０１の処理に該当する。

図１２は、「操作／ログ対応テーブル」と、「重要情報定義テーブル」と、「不正操作パターン」とから、「不正操作パターン比較テーブル」を作成する処理の例を示したものである。
図１２の「不正操作パターン比較テーブル」は、「パターン」と、「比較ログ内容」と、「ログ名」と、「比較操作対象」の各項目が示されている。図１２の「不正操作パターン比較テーブル」は、図６の「不正操作パターン（例）」のパターンＮｏ．１に対応したものである。すなわち、図６の「操作Ｎｏ」や「操作対象」を図３の「操作／ログ対応テーブル」や図５の「重要情報定義テーブル」の内容に当てはめ作成されている。図１３は正規化ログの例である。

図１４は、図１２の「不正操作パターン比較テーブル（パターン１の例）」と図１３の「正規化ログ（例）」の比較結果である。図１３における（ａ）〜（ｄ）と図１４の（ａ）〜（ｄ）が対応している。これにより、図１２の「不正操作パターン比較テーブル」と図１３の「正規化ログ（例）」の比較結果は図１４において、「暗号化『ファイル名』」以外は適合していることになる。よって、図１４の例では８０％のマッチングとなる。そして、上述した危険度レベルの例に当てはめれば、危険度レベルは「中」となる。

図１５〜図１７は、正常操作パターンと正規化ログの比較の具体的事例を示した各図である。これらは、Ｓ３０５、Ｓ３０６もしくはＳ４０１の処理に該当する。

図１５は、「操作／ログ対応テーブル」と、「ユーザ毎の標準利用状況テーブル」と、「重要情報定義テーブル」と、「不正操作パターン」とから、「正常操作パターン比較テーブル」を作成する処理の例を示したものである。図１５の「正常操作パターン比較テーブル」は、「パターン」と、「比較ユーザ」と、「比較ログ内容」と、「ログ名」と、「比較操作対象」と、「時間帯」の各項目が示されている。「正常操作パターン比較テーブル」は、図７に示されている「ユーザ」や「操作Ｎｏ」を図３の「操作／ログ対応テーブル」や図４の「ユーザ毎の標準利用状況テーブル」や図５の「重要情報定義テーブル」の内容に当てはめ作成される。図１６は正規化ログの例である。

図１７は、図１５の「正常操作パターン比較テーブル」と図１６の「正規化ログ（例）」の比較結果である。図１７のＡの部分は、ユーザ、実行順序、時間帯がすべてＯＫなので問題がない。Ｂの部分は、実行順序に「ＮＧ」があるため、上述した危険度レベルの例に当てはめて、危険度レベル「高」と判断する。Ｃの部分は、時間帯に「ＮＧ」があるため、上述した危険度レベルの例に当てはめて、危険度レベル「中」と判断する。

以上のように本発明は、予め管理者２５が悪意のある操作パターンを想定し「不正操作パターンＤＢ１２」に登録する。また、通常の操作パターンを「正常操作パターンＤＢ１３」に登録する（すべての悪意のある操作パターンを想定するのは困難なため、正常操作パターンに当てはまらないものは悪意のある操作の候補と見なす）。そして、クライアントＰＣ３から各種情報システム５／情報資産管理サーバ４に行った操作ログ１４と、各種情報システム５／情報資産管理サーバ４のアクセスログ等１５を定期的に分析し、「不正操作パターンＤＢ１２」に登録されたパターンと類似するパターンを悪意のある操作の兆候と見なし顧客２６へ通報する。通知する内容は、パターンとのマッチング度合いに自動的に変更（マッチング度が高いものは危険度レベルも高く）できるものとする。

また、「正常操作パターンＤＢ１３」に登録されたパターンと明らかに異なるパターンを検出した場合も、悪意のある操作の候補と見なし顧客２６へ通報する。この場合、顧客２６は、受けた通報が正常パターンか不正パターンかの判断を行い、サービスベンダの管理者に判断結果を回答する。サービスベンダの管理者２５は、顧客２６の判断結果に基づき「不正操作パターンＤＢ１２」若しくは「正常操作パターンＤＢ１３」に修正することで、徐々に検出精度を上げることができる。

このように、本発明は、正規の利用者による悪意のある操作（情報漏えいや改ざん等）の防止／抑止が可能となる。また、通常とは明らかに異なる怪しい行為の早期検出も可能となる。

本発明の操作検知システムの一実施形態を示すシステム構成図である。 本発明における操作パターン登録の一実施形態を示すフローチャートである。 本発明における操作／ログ対応テーブルの一例である。 本発明におけるユーザ毎の標準利用状況テーブルの一例である。 本発明における重要情報定義テーブルの一例である。 本発明における不正操作パターンの一例である。 本発明における正常操作パターンの一例である。 本発明における操作ログ記録の一実施形態を示すフローチャートである。 本発明におけるログの収集／分析の一実施形態を示すフローチャートである。 本発明におけるログの正規化の処理の一例を示した図である。 本発明における悪意のある操作の通報の一実施形態を示すフローチャートである。 不正操作パターンと正規化ログの比較の具体的事例を示した第１の図である（不正操作パターン比較テーブルの例）。 不正操作パターンと正規化ログの比較の具体的事例を示した第２の図である（正規化ログの例）。 不正操作パターンと正規化ログの比較の具体的事例を示した第３の図である（比較結果の例）。 正常操作パターンと正規化ログの比較の具体的事例を示した第１の図である（正常操作パターン比較テーブルの例）。 正常操作パターンと正規化ログの比較の具体的事例を示した第２の図である（正規化ログの例）。 正常操作パターンと正規化ログの比較の具体的事例を示した第３の図である（比較結果の例）。

符号の説明

１ 操作パターン登録サーバ
２ ログ分析サーバ
３ クライアントＰＣ
４ 情報資産管理サーバ
５ 各種情報システム
１１ 設定情報ＤＢ
１２ 不正操作パターンＤＢ
１３ 正常操作パターンＤＢ
１４ 操作ログ
１５ アクセスログ／設定変更ログ
１５ａ アクセスログ／設定変更ログ（情報資産管理サーバ）
１５ｂ アクセスログ／設定変更ログ（各種情報システム）
１６ ログ格納ＤＢ
１７ 情報資産ファイル
２１ 顧客先
２２ サービスベンダ
２５ 管理者
２６ 顧客
３０ ネットワーク
３１ 顧客先ネットワーク
３２ サービスベンダ内ネットワーク

Claims (8)

1. ネットワークに接続されるクライアントＰＣと、ネットワークに接続されるシステムコンピュータと、ネットワークに接続されるログ分析サーバと、ネットワークに接続される記録手段とを備える操作検知システムにおいて、
   前記クライアントＰＣは、操作ログのデータベースを有し、当該クライアントＰＣでの操作内容を前記操作ログのデータベースに記録させる処理を行い、
   前記システムコンピュータは、ログのデータベースを有し、前記クライアントＰＣを利用して行った当該システムコンピュータの処理に関するログを前記ログのデータベースに記録させる処理を行い、
   前記記録手段には、少なくとも、「操作」、「操作対象」、「実行順序」がパターンごとに記録された不正操作パターンのデータベースを有し、
   前記ログ分析サーバは、前記クライアントＰＣの前記操作ログ及び前記システムコンピュータの処理に関するログを収集し、正規化し、前記不正操作パターンに基づき前記正規化ログを分析し、前記不正操作パターンと前記正規化ログを比較して、マッチングの割合が予め定めた一定以上の場合、操作の内容を通報する処理を行うことを特徴とする操作検知システム。
2. 請求項１に記載の操作検知システムにおいて、前記ログ分析サーバは、前記マッチング度の高さに応じて危険度レベルを判断し、当該危険度レベルを通報する処理を行うことを特徴とする操作検知システム。
3. 請求項１に記載の操作検知システムにおいて、操作パターン登録サーバを有し、前記記録手段は操作パターン登録サーバと接続され、当該操作パターン登録サーバの処理により前記不正操作パターンを前記不正操作パターンのデータベースに登録させることを特徴とする操作検知システム。
4. ネットワークに接続されるクライアントＰＣと、ネットワークに接続されるシステムコンピュータと、ネットワークに接続されるログ分析サーバと、ネットワークに接続される記録手段とを備える操作検知システムにおいて、
   前記クライアントＰＣは、操作ログのデータベースを有し、当該クライアントＰＣでの操作内容を前記操作ログのデータベースに記録させる処理を行い、
   前記システムコンピュータは、ログのデータベースを有し、前記クライアントＰＣを利用して行った当該システムコンピュータの処理に関するログを前記ログのデータベースに記録させる処理を行い、
   前記記録手段には、正常操作パターンのデータベースを有し、
   前記ログ分析サーバは、前記クライアントＰＣの前記操作ログ及び前記システムコンピュータの処理に関するログを収集し、正規化し、前記正常操作パターンに基づき前記正規化ログを分析し、前記正常操作パターンと前記正規化したログの関係があらかじめ定めた乖離の条件に当てはまる場合、操作の内容を通報する処理を行い、
   前記乖離の条件は、少なくとも順序性の乖離と実行時間の乖離を含み、前記順序性の乖離は、実行順序が異なれば乖離とし、前記実行時間の乖離は、定めた標準時間以外の利用は乖離とすることを特徴とする操作検知システム。
5. 請求項４に記載の操作検知システムにおいて、前記ログ分析サーバは、前記乖離の条件の内容に応じて危険度レベルを判断し、当該危険度レベルを通報する処理を行うことを特徴とする操作検知システム。
6. 請求項４に記載の操作検知システムにおいて、操作パターン登録サーバを有し、前記記録手段は操作パターン登録サーバと接続され、当該操作パターン登録サーバの処理により正常操作パターンを正常操作パターンのデータベースに登録させることを特徴とする操作検知システム。
7. 請求項１乃至請求項６に記載の操作検知システムにおいて、前記システムコンピュータは、情報管理サーバ及び各種情報システムのコンピュータで構成されることを特徴とする操作検知システム。
8. 請求項１乃至請求項６に記載の操作検知システムにおいて、前記クライアントＰＣを利用して行ったシステムコンピュータの処理に関するログには、アクセスログ及び設定変更ログが含まれることを特徴とする操作検知システム。

Images