WO2011111124A1 - 不正操作検知システム及び不正操作検知方法 - Google Patents

不正操作検知システム及び不正操作検知方法 Download PDF

Info

Publication number
WO2011111124A1
WO2011111124A1 PCT/JP2010/002461 JP2010002461W WO2011111124A1 WO 2011111124 A1 WO2011111124 A1 WO 2011111124A1 JP 2010002461 W JP2010002461 W JP 2010002461W WO 2011111124 A1 WO2011111124 A1 WO 2011111124A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
information
output
monitoring
source
Prior art date
Application number
PCT/JP2010/002461
Other languages
English (en)
French (fr)
Inventor
萱島信
角尾晋一
中越洋
礒川弘実
鈴木則夫
Original Assignee
株式会社日立製作所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社日立製作所 filed Critical 株式会社日立製作所
Priority to EP10847357A priority Critical patent/EP2410459A1/en
Priority to CN2010800214918A priority patent/CN102428476A/zh
Priority to US12/808,130 priority patent/US8850592B2/en
Publication of WO2011111124A1 publication Critical patent/WO2011111124A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/556—Detecting local intrusion or implementing counter-measures involving covert channels, i.e. data leakage between processes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/606—Protecting data by securing the transmission between two devices or processes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/16—Program or content traceability, e.g. by watermarking
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2101—Auditing as a secondary aspect
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2119—Authenticating web pages, e.g. with suspicious links

Definitions

  • the present invention relates to an operation detection system, and more particularly, to an unauthorized operation detection system and an unauthorized operation detection method for detecting an operation on a client PC having a high risk of causing an information leakage accident.
  • PC operation log management product that monitors user operations of an information system, detects an operation designated by an administrator in advance (for example, writing information to a removable medium), and raises an alert to the administrator.
  • Patent Document 1 an operation detection system that detects a malicious operation or a suspicious operation.
  • the present invention has been made in view of the above problems of the prior art, and its purpose is to detect unauthorized operations that can identify an operation content and generate an alert for an operation with a high risk of information leakage. It is to provide a system, an unauthorized operation detection method, and an unauthorized operation detection program.
  • the present invention configures a monitoring device that monitors an operation on information on a screen of an output device connected to the monitoring target, with a microprocessor as the monitoring target, In response to an operation for inputting information to the monitoring target, the input source of the input information input to the monitoring target is identified, and an identifier indicating the acquisition source of the input information is given to the input information, In response to an operation for outputting information from the monitoring target, the output destination of the output information output from the monitoring target is identified, and an identifier indicating the acquisition source of the output information is searched, and the identified Determining whether a combination of an output destination of output information and an acquisition source of the searched output information meets an illegal operation condition, and generating an alert according to the determination result That.
  • an alert can be generated for an operation with a high risk of information leakage by identifying the operation content.
  • FIG. 6 is a diagram illustrating an example of a sequence executed between a user operation, a dialog operation monitoring module, a browser monitoring module, and a file operation monitoring module when a file is imported by a Web browser.
  • the operation content of an application program running on a client PC is monitored, the source of the input information input to the client PC is identified, and the source of the input information is specified in the input information.
  • the first means for assigning the identifier to indicate and the output destination of the output information output from the client PC are identified, and the identifier given to the output information is inspected, according to the condition of the source and destination of the output information
  • a second means for generating an alert is generated.
  • FIG. 1 is a system configuration diagram showing an embodiment of the unauthorized operation detection system of the present invention.
  • a LAN (LOCAL Area Network) 117 in an information center 101 and a network 124 in a base 102 are connected by a wide area network 103, and the information center 101 is further connected to the Internet via the wide area network 104. It is assumed that it is connected to
  • the unauthorized operation detection system includes a management server 111 installed in the information center 101 and a client PC 121 installed in the base 102.
  • the management server 111 uses the information center 101 and the base 102 as management areas. For example, a mail server 114, a file server 115, an in-house Web server 116, a client PC 121, and a network printer 123 are arranged in the management area. Etc. are managed, and these managed objects are managed.
  • a manager 112 that controls the entire unauthorized operation detection system, and a PC management DB (DataBase) 113 that the manager uses to manage a plurality of client PCs operate.
  • a PC management DB DataBase
  • Each client PC 121 is composed of a microprocessor loaded with various application programs.
  • each client PC 121 is a monitoring target, and an agent 122 is operated as a monitoring device that monitors an operation on information on the screen of the output device connected to the monitoring target.
  • the user who uses the client PC 121 performs business using e-mail, Web server, file server, and the like. Therefore, in the information center 101, a mail server 114, a file server 115, and an in-house Web server 116 are installed and connected to the LAN 117. Further, an external web server 131 that can be accessed from the client PC 121 is connected to the Internet.
  • a network printer 123 used for printing is connected to the network 124 in the base 102.
  • the reambal media is a device that is excluded from the management target of the management server 111 and is processed as an inspection target.
  • FIG. 2 is a block diagram showing an example of the configuration of the client PC 121 in the present invention.
  • the client PC 121 includes a CPU (Central Processing Unit) 201, a bus 202, a memory 203, a local file system 204, a network I / O 205, and a device I / O 206.
  • the device I / O 206 is configured with, for example, a USB (Universal Serial Bus) interface.
  • An OS (Operating System) 207 is loaded on the memory 203, on which a program of the agent 122, which is a component of the unauthorized operation detection system, and a plurality of files such as a file explorer, a Web browser, a mailer, a word processor, and spreadsheet software.
  • the application program (application program) 208 is operating.
  • the user using the client PC 121 uses any one of the application programs 208, a file attached to a mail addressed to the user arriving at the mail server 114, a file stored in the file server 115, and The file registered in the organization Web server 116 is stored as a file 209 in the local file system 204 of the client PC 121.
  • the file 209 saved in the local file system 204 may be exported to the outside of the client PC 121 using any of the application programs 208.
  • the file is copied to a removable medium connected to the device I / O 206 using a file explorer, or is printed by the network printer 123 using a print function of a word processor or spreadsheet software.
  • a file is attached to the body of an email created by the mailer, and the file is sent to a party inside or outside the organization, or the file is uploaded to a web server inside or outside the organization.
  • FIG. 21 shows the Web browser screen used at this time.
  • FIG. 21 is a diagram showing an example of a screen when the user operates the application on the client PC 121 to import a file.
  • a pop-up window called a context menu is displayed.
  • the context menu 2103 displayed here there is an item “save target in a file (A)...”. By left-clicking this item, a process for displaying a download dialog 2111 for downloading the target is displayed. Executed.
  • the download dialog 2111 includes a field 2112 indicating a location where the downloaded file is stored, a field 2113 displaying a selection of a folder to be stored, and 2114 indicating a file name to be stored.
  • the file name to be saved can be rewritten.
  • the user operates the fields 2112 and 2113 to select a folder in which to save the file, changes the save file name in the field 2114 as necessary, and clicks the save button 2115, so that the file can be saved using a web browser. You can download and save the file in any folder.
  • FIG. 3 is a diagram showing an example of the module configuration of the agent 122 operating on the client PC 121.
  • the agent 122 includes a manager communication function module 301 that is responsible for communication with the manager 112 and a monitoring module control module 302 that controls various monitoring modules that monitor user operations on the client PC 121.
  • the agent 122 includes a process monitoring module 310 that monitors the operation status of the process 303 running on the client PC 121, a printer monitoring module 320 that monitors an output operation to the printer 304 including the network printer 123, and a Web browser Browser monitoring module 330 that monitors user operations by 305 and dialogs that are displayed on the screen of the client PC 121 and used to monitor various dialogs 306 used by the user to select a file during download or upload
  • a pointing device such as a mouse (for example, clicked on a button or displayed in an application window).
  • the file operation monitoring module 350 that monitors the object (such as drag and drop), and an application that sends and receives data over the network, such as a mailer, can be operated by user operation via TCP / IP (Transmission Control Protocol / Internet Protocol).
  • TCP / IP Transmission Control Protocol / Internet Protocol
  • a TCP communication monitoring module 360 that monitors a situation in which a data stream is transmitted or received using the socket 308 or the like is also included as a component.
  • the agent 122 has a system policy 391 that is a setting file for controlling the operation of the module, and a security policy 392 that is a setting file for performing control related to security in particular, and the monitoring module group described above.
  • a system policy 391 that is a setting file for controlling the operation of the module
  • a security policy 392 that is a setting file for performing control related to security in particular, and the monitoring module group described above.
  • the process monitoring module 310 suppresses the activation when the activation detection function 311 that detects that the activation of the process 303 is requested on the client PC 121 and the activated process 303 violates the security policy 392.
  • a suppression function 312 and a user notification function 313 for notifying the user that activation has been suppressed are realized.
  • the printer monitoring module 320 suppresses printing when the print detection function 321 that detects that printing using the printer 304 is requested on the client PC 121 and the data to be printed violate the security policy 392. And a user notification function 323 for notifying the user that activation has been suppressed.
  • the browser monitoring module 330 has an access detection function 331 for detecting that the client PC 121 has accessed the Web server using the browser 305, the URL (Uniform Resource Locator) of the accessed Web server, and the received html (Hypertext Markup Language).
  • the detection content holding function 332 that temporarily holds data and the like is realized.
  • the dialog operation monitoring module 340 uses a dialog detection function 341 that detects that a file selection dialog or a print dialog is displayed when the user operates the application program 208 on the client PC 121, and the dialog. It provides an acquisition source information addition / inspection function 342 that assigns information about the source of the file to the operated file and checks the information about the source of the file that has been assigned.
  • the operation to display the file selection dialog is, for example, an operation to download or upload a file using a web browser, an operation to save an attached file from a received mail using a mailer, or an attachment to a sent mail There is an operation to do.
  • the operation for displaying a print dialog corresponds to an operation for selecting a print function using a word processor or spreadsheet software.
  • the file operation monitoring module 350 detects an operation that detects that the user has performed an operation such as clicking a mouse button on the window of the application program 208 on the client PC 121 or dragging and dropping an object displayed in the window.
  • Realize function 351 and acquisition source information addition / inspection function 352 that assigns information about the source of the file and checks the information about the source from which the file was operated using the mouse Is.
  • the file operation by clicking the mouse button is, for example, an operation of right-clicking the link displayed on the screen of the web browser and saving the object indicated by the link in the displayed menu as a file, Drag and drop the file attached to the received message screen and copy it to the desktop.
  • the TCP communication monitoring module 360 includes a socket reception detection function 361 that detects that a file is transmitted / received via a network as a result of a user performing an operation on a network application on the client PC 121 ⁇ , and When a file is downloaded to the client PC 121 via a socket and a protocol analysis function 362 that analyzes the sent and received data, information on the source of the file is registered in the source DB 393, and information on the source of the file is obtained. It has a registration / notification function 363 that notifies information to the acquisition source information addition / inspection modules 342 and 352.
  • Each monitoring module described above alerts the manager 112 via the monitoring module control 302 and the manager communication mechanism 301 according to the detected contents, the function of communicating with the other monitoring modules and the source DB 393, and the monitoring module control 302 and the manager communication mechanism 301. It has the function to raise (send) and generate the alert and detection content log.
  • information relating to the present invention will be described using expressions such as information relating to files.
  • these pieces of information may be expressed by other than a data structure such as a table. Therefore, in order to show that the information does not depend on the data structure, “information about the file” may be simply referred to as “information”.
  • information about the file may be simply referred to as “information”.
  • the description as a DB may be simply referred to as “information”.
  • program is used as the subject, but the program is executed by the processor to perform a predetermined process using a memory and a communication port (communication control device). Therefore, the description may be made with the processor as the subject. Further, the processing disclosed with the program as the subject may be processing performed by a computer such as the management server 111 or an information processing apparatus. Further, part or all of the program may be realized by dedicated hardware. Further, the present invention is not necessarily realized by using a thread mechanism, and any mechanism may be used as long as it can be executed by a mechanism that manages execution of a program provided by the OS, such as a micro thread or a process mechanism.
  • various programs may be installed in each computer by a program distribution server or a storage medium.
  • the management computer 111 has an input / output device.
  • the input / output device include a display, a keyboard, and a pointer device, but other devices may be used.
  • a serial interface or an Ethernet interface is used as an input / output device, a display computer having a display, keyboard, or pointer device is connected to the interface, and display information is displayed on the display computer.
  • the input and display on the input / output device may be substituted by receiving the input.
  • FIG. 4 is an example of a sequence showing a flow of processing executed by the browser monitoring module 330 and the dialog operation monitoring module 340 when the user downloads a file with a Web browser.
  • a page transition user operation event occurs in the web browser, and the browser monitoring module 330 detects the page transition user operation event ( 402).
  • the browser monitoring module 330 saves the URL after the transition (that is, the URL of the clicked link destination object) and waits for an information provision request from the dialog operation monitoring module 340 (403).
  • a file download dialog is displayed.
  • the dialog operation monitoring module 340 detects a dialog operation event (404), requests the browser monitoring module 330 to provide post-transition URL information, and then the browser monitoring module Obtain post-transition URL information from 330 (405).
  • the dialog operation monitoring module 340 obtains the save destination file name from the information displayed in the dialog (information by processing of the OS 207), and uses the full path as the save destination information of the file. Is obtained (406). Further, when the server included in the post-transition URL acquired in step 405 is the intra-organization Web server 116, the dialog operation monitoring module assigns an identifier indicating the acquisition source to the file (407). This identifier can be realized by using an “alternate stream” if the local file system 204 used by the client PC 121 is Microsoft's NTFS (NT File System).
  • NTFS NT File System
  • FIG. 5 is an example of a sequence showing a flow of processing executed by the browser monitoring module 330, the dialog operation monitoring module 340, and the file operation monitoring module 350 when the user downloads a file with a Web browser.
  • the browser monitoring module 330 detects a user operation event of page transition (501). At this time, the Web browser holds the URL and page source after the transition, and can pass them in response to a request from the browser monitoring module 330.
  • a right click operation (503) on the link displayed on the Web browser in this state, a mouse operation event occurs, and the file operation monitoring module 350 detects the event (505).
  • the file operation monitoring module 350 that has detected the occurrence of the mouse operation event saves information related to the position where the mouse operation event has occurred on the Web browser as object-related information and sends it to the browser monitoring module 330 (506).
  • the browser monitoring module 330 stores the URL of the page after the transition and the page source each time the page is displayed on the Web browser (502).
  • the dialog operation monitoring module 340 Upon detecting the dialog display event (507), the dialog operation monitoring module 340 acquires the URL and page source (page data) of the displayed page from the browser monitoring module 330 (508), and further saves the file. If the server included in the URL of the file is the intra-organization Web server 116 after acquiring the file path obtained (510), it is determined that the file source is not the monitoring target, and the source is stored in the file. An identifier to be shown is assigned (511).
  • FIG. 6 is an example of a sequence showing a flow of processing executed by the TCP communication monitoring module 360 and the dialog operation monitoring module 340 when the user saves the file attached to the mail in the 204 system by the mailer.
  • a user When a user performs a message reception operation such as starting a mailer or performing an email display operation (601), it follows a protocol such as POP (Post Office Protocol) 3 or IMAP (Internet Message Access Protocol) 4 A message is downloaded from the mail server 114. Then, the TCP communication monitoring module 360 that monitors the socket in the network driver or TCP / IP protocol stack performs the analysis processing of the mail body data (603), and acquires the sender name and the attached file name in the message. (604).
  • a protocol such as POP (Post Office Protocol) 3 or IMAP (Internet Message Access Protocol) 4
  • POP Post Office Protocol
  • IMAP Internet Message Access Protocol
  • the TCP communication monitoring module 360 decodes the attached file data encoded with Base64 or the like, and calculates a hash value (605).
  • the attached file name, hash value, and attached file sender name obtained in steps 604 and 605 are registered in the source DB 393 (606).
  • the user may attempt to perform an operation to save the attached file in the local file system 204 while browsing the mail text using the mailer (this operation is not performed immediately after downloading the mail data). , May be executed after a considerable amount of time).
  • the dialog operation monitoring module 340 detects the dialog display event (607) and obtains the file name from the information displayed in the dialog. (608) and obtain the full path of the file storage destination (609). Further, the source DB 393 is searched using the file name displayed in the dialog as a key, and attributes such as the sender name of the file are acquired (610).
  • the attached file name is a general name, for example, “specifications.doc”
  • a plurality of records may be registered in the source DB 393.
  • a hash value is calculated for the file having the save destination file name obtained in step 608, and the sender name of the file is obtained by searching the obtaining source DB 393 using the hash value as a key. It is possible.
  • step 610 if the sender of the file is another user in the organization, an identifier indicating the source is given to the file (611).
  • FIG. 7 is an example of a sequence showing a flow of processing executed by the TCP communication monitoring module 360 and the file operation monitoring module 350 when the user saves the file attached to the mail in the local file system 204 by the mailer. .
  • step 701 to step 706 is the same as the sequence in FIG. 6 (step 601 to step 606). While the user is viewing the mail text using the mailer, the operation to save the attached file to the local file system 204 is not only performed using the file save dialog but also displayed on the mailer screen. There is also a method of dragging and dropping an icon indicating the attached file to the desktop or file explorer.
  • the file operation monitoring module 350 detects a drag-and-drop event with the mouse from the mailer screen (707). Further, the file operation monitoring module 350 monitors a file generation event for the file system, obtains the name of the file generated by the local file system 204 in response to the drag and drop operation by the mouse (708), and displays the full path. Obtained (709), the source DB 393 is searched using the file name and the hash value of the file as a key, and attributes such as the sender name of the file are obtained (710). In step 710, if the sender of the file is another user in the organization, an identifier indicating the source is given to the file (711).
  • FIG. 8 is an example of a sequence showing a flow of processing executed by the browser monitoring module 330 and the dialog operation monitoring module 340 when the user uploads a file with a Web browser.
  • the dialog operation monitoring module 340 detects the event in which the file selection dialog is displayed, acquires the name of the selected file, and starts monitoring the file open (805).
  • the browser monitoring module 330 detects a page transition event that occurs as a result (803), and stores the URL after the transition (804).
  • the dialog operation monitoring module 340 detects a file open for the corresponding file (806), and acquires the file path of the corresponding file from the OS 207 (807).
  • the dialog operation monitoring module 340 acquires the URL after the page transition from the browser monitoring module 330, determines whether or not the output destination of the file is the inspection target, and the Web server that uploaded the file is a server outside the organization. If the file output destination is an object to be inspected, confirm the identifier of the file acquisition source, check the file copied from the file server 115 in the organization, the file downloaded from the Web server 116 in the organization, If the file is attached to the mailer and acquired, an alerting process is performed (809).
  • the process of raising an alert means that the output destination of the output information output from the client PC 121, for example, the Web server that uploaded the file is an inspection target different from the management target of the Web server 131 outside the organization, that is, the management server 111.
  • Output information output from the client PC 121 for example, a file processed by the client PC 121 is a file copied from the file server 115 in the organization, a file downloaded from the organization web server 116, or attached to the mailer If the file is acquired from the management server 111 and managed by the management server 111, the output information (file) output from the client PC 121 is assumed to be information generated by an unauthorized operation. Generates an alert that conforms to the operation conditions and sends the generated alert to the management server 111. It is a process for.
  • the management server 111 manages the information associated with the unauthorized operation as information to be processed by the alert, assuming that an unauthorized operation with a high risk leading to an information leakage accident is detected. As a result, the administrator can execute measures for suppressing information leakage based on the alert collected by the management server 111.
  • FIG. 9 is an example of a sequence showing a flow of processing executed by the TCP communication monitoring module 360 and the dialog operation monitoring module 340 when the user transmits an email with an attached file using the mailer.
  • the dialog operation monitoring module 340 detects the display event of the file selection dialog (906) and is selected. Get the name of the file and the full path of the file (907) and wait until the mail is sent.
  • the TCP communication monitoring module 360 analyzes the data sent by the SMTP (Simple Mail Transfer Protocol) protocol (903), and sends the destination and attachment. Get the file name (904).
  • SMTP Simple Mail Transfer Protocol
  • the TCP communication monitoring module 360 sends the mail to the destination dialog operation monitoring module 340 to a destination outside the organization. This is notified (905).
  • the dialog operation monitoring module 340 confirms the identifier indicating the source of the transmitted file, and the file copied from the file server in the organization, the file downloaded from the web server in the organization, or attached to the mailer. If it is an acquired file, processing for raising an alert is performed (908).
  • FIG. 10 is an example of a sequence showing a flow of processing executed by the TCP communication monitoring module 360 and the file operation monitoring module 350 when the user transmits an email with an attached file using the mailer.
  • the file operation monitoring module 350 drags and drops the file from the file explorer etc. to the mailer window. (1006), obtain the name of the selected file and the full path of the file (1007), and wait until the mail is sent.
  • the TCP communication monitoring module 360 analyzes the data transmitted by the SMTP protocol (1003), and acquires the transmission destination and the attached file name ( 1004).
  • the TCP communication monitoring module 360 sends the mail to the destination dialog operation monitoring module 340 to a destination outside the organization. (1005).
  • the file operation monitoring module 350 confirms the identifier indicating the source of the sent file, and the file copied from the file server in the organization, the file downloaded from the web server in the organization, or attached to the mailer If it is an acquired file, an alert is raised (1008).
  • FIG. 11 is an example of a sequence showing a flow of processing executed by the dialog operation monitoring module 340 when a user performs a printing operation with an application.
  • the dialog operation monitoring module 340 detects a display event of the print dialog (1103), acquires the window title of the application that performs printing (1104), and the application Is opened and the full path of the file to be printed is acquired (1105).
  • the dialog operation monitoring module 340 detects that the dialog is closed (1206), and confirms the identifier indicating the source of the transmitted file. If the file is copied from the file server in the organization, downloaded from the web server in the organization, or obtained by attaching to the mailer, an alert is issued (1107) .
  • FIG. 12 shows a sequence in which the first means is realized by processing executed by the file operation monitoring module 350 when the user copies the information of the file server 115 to the local file system 204 using the file explorer.
  • This is an example of a sequence for realizing the second means by the process executed by the file operation monitoring module 350 when a file is copied to a removable medium using the file explorer.
  • the file operation monitoring module 350 When the user performs a file copy or move operation using File Explorer (1201), the file operation monitoring module 350 performs processing for specifying the file copy source and copy destination (1202), and the copy source is a file.
  • the server 115 when the copy destination is the client PC 121, an identifier indicating the acquisition source is assigned to the operation target file (1203).
  • the file operation monitoring module 350 performs processing for specifying the file copy source and the copy destination (1212) Is the local file system 204 of the client PC 121 and the copy destination is a removable medium connected to the client PC 121, the identifier indicating the source is confirmed in the operation target file, and the file copied from within the organization If it is a file downloaded from a web server in the organization or a file obtained by attaching to a mailer, processing for raising an alert is performed (1213).
  • FIG. 13 shows an example of the format of the acquisition source DB 393 used for storing information about received mail and the identifier 1311 indicating the acquisition source assigned to the file 209 stored in the local file system 204.
  • the acquisition source DB 393 includes a field 1301 for storing the file name, a field 1302 for storing the sender name of the mail, and a field 1303 for storing the hash value of the file described in the field 1301.
  • the identifier 1311 indicating the acquisition source can be realized as data in the ini file format using “alternate stream” in the case of Microsoft NTFS. If the file is obtained from the mail server 114, the sender's email address is described in the From line. If the file is obtained from the file server 115, the server name or IP address of the file server is described in the Server line. If the file is obtained from an internal web server, enter the URL indicating the obtained file. Unused lines may be erased or blanks after the equals.
  • the content included in the identifier 1311 indicating the acquisition source can be raised as an alert by the second means.
  • the information was imported to the client PC 121, by including the time when the exported information was obtained by including it in the identifier 1311 indicating the obtaining source, when the information was obtained Can be included in the alert content.
  • a field for storing the time when the mail including the attached file is received is added as a field of the source DB 393, and the TCP communication module 360 receives the reception time described in the mail header in steps 606 and 706.
  • the contents of the time information field may also be acquired, and the time information may be given to the identifier 1311 indicating the acquisition source.
  • FIG. 14 is an example of a flowchart showing an outline of processing executed by the browser monitoring module 330.
  • the browser monitoring module 330 is activated when the web browser is activated, sets the monitoring of user operation events for the web browser described in FIGS. 4, 5, and 8 (1401), and determines whether an event has occurred Enter the loop (1402). When the occurrence of the event is detected, the browser monitoring module 330 executes a step of determining whether or not the page is changed by the left click operation of the user (1403).
  • the browser monitoring module 330 executes the step (1404) of transmitting the URL to the dialog monitoring module 340 after executing the step (1404) of acquiring the URL after the transition To do.
  • the browser monitoring module 330 executes the step (1405) of acquiring coordinate information on the browser of the mouse event from the file operation monitoring module 350, and is positioned under the mouse cursor.
  • Execute the step (1406) of acquiring the HTML anchor tag execute the step (1407) of extracting the URL selected with the mouse cursor, and then execute the step (1404) of sending the URL to the dialog monitoring module 340 .
  • FIG. 15 is an example of a flowchart showing an outline of processing executed by the dialog operation monitoring module 340.
  • the dialog operation monitoring module 340 is activated when the user logs on to the client PC 121, and monitors file operations using the dialog described in FIG. 4, FIG. 5, FIG. 6, FIG. 8, FIG. For example, after a setup (1501) such as timer monitoring is performed, an event in which a dialog is displayed is monitored (1502).
  • the dialog operation monitoring module 340 checks whether an upload dialog or a download dialog is displayed (1503). If the dialog is displayed, the type of application that displayed the dialog is displayed. Is discriminated (1504). If the application is a mailer, a step (1505) for generating a mailer check thread is executed, and if it is a Web browser, a step (1506) for generating a Web browser check thread is executed.
  • the dialog operation monitoring module 340 determines whether the dialog is for printing (1507), and generates a print check thread (1508). carry out.
  • the dialog operation monitoring module 340 After executing the step of generating each thread, the dialog operation monitoring module 340 returns to the step (1502) of monitoring the event in which the dialog is displayed.
  • FIG. 16 is an example of a flowchart showing an outline of the mailer check thread in the process executed by the dialog operation monitoring module 340.
  • the dialog operation monitoring module 340 checks whether the upload dialog or the download dialog is displayed (1601). If the dialog is displayed, the folder name is determined from the character string displayed in the dialog. Acquisition (1602) and file name acquisition (1603), the full path of the file to be uploaded or downloaded is configured (1604), and the process returns to step 1601.
  • step 1605 when the user clicks a dialog save button or the like to hide the dialog, the processing from step 1605 is executed.
  • the dialog operation monitoring module 340 determines whether the full path is already configured by executing step 1604 and the file indicated by the full path exists (1605). The process is executed, and if the file does not exist, the process returns to step 1601.
  • the dialog operation monitoring module 340 first determines whether or not it is a download dialog (1606), and if it is a download dialog, calculates the hash value of the file identified in step 1604 (1607) As shown in FIG. 6 and FIG. 7, the TCP communication monitoring module 360 searches the information registered in the acquisition source DB (1608), and if the acquisition source is another user in the organization, and if the condition matches, the step The source information is written into the file indicated by the full path acquired in 1604 (1609).
  • Fig. 9 and Fig. 10 wait for the notification from the TCP communication module 360 (1610), and the file specified in the dialog is sent as an email attachment
  • FIG. 17 is an example of a flowchart showing an outline of a Web browser check thread in the processing executed by the dialog operation monitoring module 340.
  • the dialog operation monitoring module 340 checks whether the upload dialog or the download dialog is displayed (1701), and if the dialog is displayed, the folder name is determined from the character string displayed in the dialog. Acquisition (1702) and file name acquisition (1703), the full path of the file to be uploaded or downloaded is configured (1704), and the process returns to step 1701. Thereafter, when the user clicks a dialog save button or the like to hide the dialog, the processing from step 1705 is executed.
  • the dialog operation monitoring module 340 determines whether a full path is configured by executing step 1704 and a file indicated by the full path exists (1705). The process is executed, and if the file does not exist, the process returns to step 1701. If the file exists, it is first determined whether or not it is a download dialog (1706). If it is a download dialog, the download source information held by the browser monitoring module 330 is obtained as shown in FIGS. However, if the acquisition source matches the condition such as being another user in the organization, the acquisition source information is written into the file indicated by the full path acquired in step 1704 (1708).
  • the dialog operation monitoring module 340 obtains the upload destination information held by the browser monitoring module 330 from the browser monitoring module 330 (1709) and designates it in the dialog as shown in FIG. If the registered file is sent, read the source information of the file indicated by the full path of the attached file acquired in step 1704 (1710), check the alert condition, generate an alert, and generate an alert if necessary. It transmits to the management server 111 (1711).
  • FIG. 18 is an example of a flowchart showing an outline of a print check thread by the application in the processing executed by the dialog operation monitoring module 340.
  • the dialog operation monitoring module 340 checks whether the print dialog is displayed (1801) . If the dialog is displayed, the process ID acquisition (1802) of the printing source application and the process The file name is obtained from the open file list (1803), the full path of the file to be printed is constructed (1804), and the process returns to step 1801.
  • the source information of the file to be printed is read (1805), the alert condition is checked, an alert is generated, and In response, an alert is transmitted to the management server 111 (1806).
  • FIG. 19 is an example of a flowchart showing an outline of processing executed by the file operation monitoring module 350.
  • the file operation monitoring module 350 is activated when the user logs on to the client PC 121, starts a mouse event hook (1901), and then monitors the file operation using the mouse described in FIGS. 5, 7, and 10. When an event is detected, it is determined whether the detected mouse operation event is a right click (1902).
  • the file operation monitoring module 350 acquires the mouse cursor coordinates in the foreground window (1903), executes conversion processing to the coordinates of the browser window (1904), and performs browser monitoring.
  • a process of notifying the module 330 of the coordinates acquired in step 1904 is executed (1905), and the process returns to event monitoring.
  • step 1902 if it is determined in step 1902 that the mouse operation event is not a right click, the file operation monitoring module 350 executes processing to determine whether it is a drag event (1906). If it is not a drag event, event monitoring is performed. Return to.
  • the file operation monitoring module 350 detects an event in which the dragged object is dropped, and determines whether it is dragged on the file explorer and dropped on the mailer (1907).
  • step 1907 the file operation monitoring module 350 returns to event monitoring. If it is determined Yes in step 1907, the file operation monitoring module 350 acquires the drag source file path (1908) and acquired in step 1908. Read the source information of the file indicated by the full path of the attached file (1909), check the alert condition, and send an alert to the management server 111 if necessary (1910).
  • step 1907 If it is determined in step 1907 that the object is dropped on the mailer, the file operation monitoring module 350 determines whether the drag and drop event is dragged on the mailer and dropped on the file explorer (1911). .
  • step 1921 the file operation monitoring module 350 returns to event monitoring, and if Yes, obtains the file path to which the attached file is dropped (1912).
  • the file operation monitoring module 350 calculates the hash value of the file acquired in step 1912 (1913), searches for information registered in the acquisition source DB (1914), and the acquisition source is another user in the organization. If the conditions match, the acquisition source information is written into the file indicated by the full path acquired in step 1912 (1915).
  • step 1912 and step 1915 if the drag source is the file server 115 and the drop destination is the local file system 204. Is the local file system 204 and the drop destination is a removable medium, the processing according to steps 1908 and 1910 may be performed.
  • step 1910 may be performed.
  • FIG. 20 is an example of a flowchart showing an outline of processing executed by the TCP communication monitoring module 360.
  • the TCP communication monitoring module 360 is activated when the user logs on to the client PC 121, and monitors communication data in each protocol of SMTP, POP3, and IMAP4. Monitoring of socket communication is started (2001), and it is determined whether the data is transmission / reception data according to the protocol (2002). If step 2002 is No, the process returns to the monitoring of socket communication, and if Yes, the processes after step 2003 are executed.
  • the TCP communication monitoring module 360 analyzes mail data.
  • the sender and the receiver can analyze the information such as the presence / absence of the attached file and the file name by analyzing the MIME (Multipurpose Internet Mail Extension) part.
  • MIME Multipurpose Internet Mail Extension
  • the TCP communication monitoring module 360 identifies whether there is an attached file in the mail (2004), and if attached, if the protocol type is POP3 or IMAP4 for receiving mail, It is determined whether it is SMTP (2005). If the email was received, the sender name and the attached file name are obtained (2006), the attached file data is decoded, the hash value is calculated (2007), registered in the source DB393, and socket communication is performed. Return to monitoring.
  • the TCP communication monitoring module 360 acquires the sender name and the attached file name (2009), and acquired in step 2009 to the dialog monitoring module 350 and the file monitoring module 360. Send information.
  • this system can identify that information (input information) imported to the client PC 121 from a device different from the monitoring target has been exported to the device to be inspected.
  • information input information
  • this system can identify that information (input information) imported to the client PC 121 from a device different from the monitoring target has been exported to the device to be inspected.
  • information input information
  • Web browser download (2) File attached to received mail (3) Copy and move from file server to local file system 204 using File Explorer,
  • the imported information is given an identifier 1311 indicating an acquisition source including information on the import source.
  • an identifier 1311 indicating the source is also assigned to the processed information (including the copied information).
  • the file system has a function that can be used (for example, Microsoft NTFS) As information export operation assumed by this system, (1) File upload with a web browser (2) Sending emails with attached files, (3) Application printing (4) Copy and move to removable media, An alert can be given when
  • the conditions for raising an alert using this system may be determined by the contents of the identifier 1311 indicating the source. For example, if the information is imported by downloading with a Web browser, all Web servers in the organization may be targeted. If the Web server storing important information can be identified, a specific Web server can be identified.
  • the security policy 392 may be set so that only the case where the URL is included in the identifier 1311 indicating the acquisition source is included.
  • 111 ... Management server, 114 ... Mail server, 115 ... File server, 116 ... Internal web server, 121 ... Client PC, 122 ... Agent program, 123 ... Network printer 123, 204 ... Local file system, 310 ... Process monitoring module, 320 ... Printer monitoring module, 330 ... Browser monitoring module, 340 ... Dialog operation monitoring module, 350 ... File operation monitoring module, 360 ... TCP communication monitoring module, 393 ... Source DB, 1311 ... Identifier indicating the source.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Information Transfer Between Computers (AREA)
  • Storage Device Security (AREA)

Abstract

【課題】　操作内容を識別して、情報漏えいのリスクの高い操作に対してアラートを生成する。 【解決手段】　エージェントは、クライアントPCの画面上に表示されたダイアログに対する操作などを監視し、表示されたダイアログに対する操作でファイルが選択されたときには、このファイルに、ファイルの入手元を示す識別子を付与し、ファイルが添付ファイルとして、送信されるときには、ファイルの出力先を識別するとともに、添付ファイルの入出元を識別し、添付ファイルの出力先が、組織外Webサーバであって、添付ファイルの入出元がメールサーバであるときには、不正操作が実行されたとして、アラートを生成し、生成したアラートを管理サーバに送信する。

Description

不正操作検知システム及び不正操作検知方法
　本発明は、操作検知システムに関し、特に、情報漏えい事故につながるリスクの高いクライアントPC上での操作を検知する不正操作検知システム及び不正操作検知方法に関する。
　従来、情報システムのユーザ操作を監視し、管理者があらかじめ指定しておいた動作（例えば、リムーバブルメディアへの情報書込み）を検知し、管理者にアラートを上げるPC操作ログ管理製品がある。
　悪意のある操作、又は、疑わしい操作を検知する操作検知システムとして、特許文献１がある。
特開2009-20812号公報
　従来のクライアントPC操作ログ管理製品では、印刷やリムーバブルメディアへの出力といった情報出力操作をあらかじめ指定しておく必要があった。また、特許文献１で示される技術では、あらかじめ管理者が悪意ある不正操作パターンを作成し、ログ分析サーバのデータベースに登録した上で、ユーザの操作内容のマッチング度により危険性を判断する。いずれの場合においても、管理者が不正な操作の定義を行った後に初期設定を行う必要があった。
　このため、情報漏えいにつながるリスクの高いユーザの操作を検知するために、特定の情報出力操作が行われた場合にアラートをあげる初期設定や、不正な操作パターンを定義する初期設定を行わずに、情報漏えいのリスクの高い行為に対してアラートを上げる機能を実現することが課題である。
　本発明は、前記従来技術の課題に鑑みて為されたものであり、その目的は、操作内容を識別して、情報漏えいのリスクの高い操作に対してアラートを生成することができる不正操作検知システムと不正操作検知方法及び不正操作検知プログラムを提供することにある。
　前記目的を達成するために、本発明は、マイクロプロセッサを監視対象として、前記監視対象に接続された出力装置の画面上の情報に対する操作を監視する監視装置を構成し、前記監視装置は、前記監視対象に情報を入力するための操作に応答して、前記監視対象に入力される入力情報の入手元を識別するとともに、当該入力情報に、前記入力情報の入手元を示す識別子を付与し、前記監視対象から情報を出力するための操作に応答して、前記監視対象から出力される出力情報の出力先を識別するとともに、前記出力情報の入手元を示す識別子を検索し、前記識別された出力情報の出力先と前記検索された出力情報の入手元の組み合わせが不正操作の条件に適合するか否かを判定し、この判定結果に従ってアラートを生成することを特徴とする。
　本発明によれば、操作内容を識別することで、情報漏えいのリスクの高い操作に対してアラートを生成することができる。
本発明の操作検知システムの一実施形態を示すシステム構成図である。 本発明におけるクライアントPCの構成の一例を示す図である。 クライアントPC上で動作するエージェントプログラムの構成の一例を示す図である。 Webブラウザでファイルをインポートする際に、ユーザの操作と、ダイアログ操作監視モジュールと、ブラウザ監視モジュールとの間で実行されるシーケンスの一例を示す図である。 Webブラウザでファイルをインポートする際に、ユーザの操作と、ダイアログ操作監視モジュールと、ブラウザ監視モジュールと、ファイル操作監視モジュールの間で実行されるシーケンスの一例で示す図である。 メーラでファイルをインポートする際に、ユーザの操作と、ダイアログ操作監視モジュールと、TCP通信監視モジュールとの間で実行されるシーケンスの一例を示す図である。 メーラでドラッグ＆ドロップを用いてファイルをインポートする際に、ユーザの操作と、ファイル操作監視モジュールと、TCP通信監視モジュールとの間で実行されるシーケンスの一例を示す図である。 Webブラウザでファイルをエクスポートする際に、ユーザの操作と、ダイアログ操作監視モジュールと、ブラウザ監視モジュールとの間で実行されるシーケンスの一例を示す図である。 メーラでファイルをエクスポートする際に、ユーザの操作と、ダイアログ操作監視モジュールと、TCP通信監視モジュールとの間で実行されるシーケンスの一例を示す図である。 メーラでドラッグ＆ドロップを用いてファイルをエクスポートする際に、ユーザの操作と、ファイル操作監視モジュールと、TCP通信監視モジュールとの間で実行されるシーケンスの一例を示す図である。 ファイルを印刷する際に、ユーザの操作と、ダイアログ操作監視モジュールで実行されるシーケンスの一例を示す図である。 ファイルサーバからファイルをインポートする際と、リムーバブルメディアにファイルをエクスポートする際に、ユーザの操作と、ファイル操作監視モジュールで実行されるシーケンスの一例を示す図である。 エージェント内で使用される入手元DBと、各ファイルに付与される入手元情報のフォーマットの一例を示す図である。 エージェント内のモジュールである、ブラウザ監視モジュールのフローチャートの一例を示す図である。 エージェント内のモジュールである、ダイアログ操作監視モジュールのフローチャートの全体像の一例を示す図である。 エージェント内のモジュールである、ダイアログ操作監視モジュールのメーラによるダウンロード・アップロードスレット部分のフローチャートの一例を示す図である。 エージェント内のモジュールである、ダイアログ操作監視モジュールのブラウザによるダウンロード・アップロードスレット部分のフローチャートの一例を示す図である。 エージェント内のモジュールである、ダイアログ操作監視モジュールの印刷チェックスレッド部分のフローチャートの一例を示す図である。 エージェント内のモジュールである、ファイル操作監視モジュールのフローチャートの一例を示す図である。 エージェント内のモジュールである、TCP通信監視モジュールのフローチャートの一例を示す図である。 本発明の動作に関連する、Webブラウザの画面の一例を示す図である。
　本実施形態は、クライアントPC（Personal　Computer）で稼動するアプリケーションプログラムに対する操作内容を監視し、クライアントPCに入力される入力情報の入手元を識別するとともに、入力情報に、当該入力情報の入手元を示す識別子を付与する第一の手段と、クライアントPCから出力される出力情報の出力先を識別するとともに、出力情報に付与された識別子を検査し、出力情報の入手元と出力先の条件に応じてアラートを生成する第二の手段を有するものである。
　以下、本発明の一実施形態を図面に基づいて説明する。
　図1は、本発明の不正操作検知システムの一実施形態を示すシステム構成図である。本発明の不正操作検知システムは、情報センタ101内のLAN（LOCAL　Area　Network）117と拠点102内のネットワーク124が広域ネットワーク103で接続され、前記情報センタ101は、さらに広域ネットワーク104を介してインターネットに接続されているものとする。不正操作検知システムは、情報センタ101内に設置された管理サーバ111と、拠点102内に設置されたクライアントPC121により構成される。
　管理サーバ111は、情報センタ101内と拠点102内を管理領域とし、この管理領域内に配置された機器、例えば、メールサーバ114、ファイルサーバ115、組織内Webサーバ116、クライアントPC121、ネットワークプリンタ123などを管理対象として、これら管理対象を管理する。この管理サーバ111では、不正操作検知システムの全体を統括するマネージャ112と、前記マネージャが複数のクライアントPCを管理するために使用するPC管理DB（DataBase）113が稼動する。
　各クライアントPC121は、各種アプリケーションプログラムが搭載されたマイクロプロセッサで構成されている。各クライアントPC121では、各クライアントPC121を監視対象とし、この監視対象に接続された出力装置の画面上の情報に対する操作を監視する監視装置としてのエージェント122が稼動する。
　クライアントPC121を使用するユーザは、電子メールやWebサーバ、ファイルサーバ等を用いて業務を遂行する。このため、情報センタ101には、メールサーバ114と、ファイルサーバ115と、組織内Webサーバ116が設置されており、LAN117に接続されている。またインターネットには、クライアントPC121からアクセス可能な組織外Webサーバ131が接続されている。
　また、拠点102内のネットワーク124には、印刷に使用するネットワークプリンタ123が接続されている。なお、組織外Webサーバ131と、クライアントPC121に接続される記憶媒体のうちリームバルメディアは、管理サーバ111の管理対象から外れた機器であって、検査対象として処理される。
　図2は、本発明におけるクライアントPC121の構成の一例を示すブロック構成図である。クライアントPC121は、CPU（Central　Processing　Unit）201、バス202、メモリ203、ローカルファイルシステム204、ネットワークI/O205、デバイスI/O206から構成されている。デバイスI/O206は、例えば、USB（Universal　Serial　Bus）インタフェース等で構成される。メモリ203上にはOS（Operating　System）207がロードされており、その上で不正操作検知システムの構成要素であるエージェント122のプログラムと、ファイルエクスプローラ、Webブラウザ、メーラ、ワードプロセッサや表計算ソフトといった複数のアプリプログラム（アプリケーションプログラム）208が動作している。
　ここで、クライアントPC121を使用するユーザは、アプリプログラム208のいずれかを用いて、メールサーバ114に到着した自分宛のメールに添付されたファイルや、ファイルサーバ115内に格納されたファイル、および、組織内Webサーバ116に登録されたファイルを、ファイル209として、クライアントPC121のローカルファイルシステム204に保存する。
　ローカルファイルシステム204に保存されたファイル209は、アプリプログラム208のいずれかを用いて、クライアントPC121の外部にエクスポートされることがある。例えば、ファイルエクスプローラを用いてデバイスI/O206に接続されたリムーバブルメディアにコピーされたり、ワードプロセッサや表計算ソフトの印刷機能を用いてネットワークプリンタ123で印刷されたりする。
　また、メーラで作成したメール本文にファイルを添付して組織内および組織外の相手にファイルを送信されたり、組織内および組織外にあるWebサーバにファイルをアップロードされたりする。
　このとき用いるWebブラウザ画面を図21に示す。図21は、ユーザがクライアントPC121でアプリケーションを操作して、ファイルをインポートする際の画面の一例を示す図である。
　Webブラウザ画面（クライアントPC121に接続される出力装置の画面）2101上には、いわゆるリンクと呼ばれる、マウス（クライアントPC121に接続される入力装置）を用いてクリックすると、画面遷移等を起こすエリアが存在する。リンク文字列2102上にマウスカーソルを置き、左ボタンをクリックした場合、次の画面（ページとも言う）に遷移するか、もしくはクリックしたリンク先にある対象をダウンロードするためのダウンロードダイアログ2111を表示する処理が実行される。
　また、リンク文字列2102上にマウスカーソルを置き、右ボタンをクリックした場合、いわゆるコンテキストメニューと呼ばれるポップアップウィンドウが表示される。ここで表示されたコンテキストメニュー2103には、「対象をファイルに保存(A)…」という項目があり、この項目を左クリックすることにより、対象をダウンロードするためのダウンロードダイアログ2111を表示する処理が実行される。
　ダウンロードダイアログ2111には、ダウンロードしたファイルを保存する場所を示すフィールド2112と、保存するフォルダの選択肢を表示するフィールド2113と、保存するファイル名を示す2114がある。保存するファイル名は書き換えることが可能である。ユーザは、フィールド2112および2113を操作してファイルを保存するフォルダを選択し、必要に応じてフィールド2114で保存ファイル名を変更し、保存ボタン2115をクリックすることにより、Webブラウザを用いてファイルをダウンロードし、任意のフォルダにファイルを保存することができる。
　図3は、クライアントPC121上で稼動するエージェント122のモジュール構成の一例を示す図である。エージェント122は、マネージャ112との通信を担当するマネージャ通信機能モジュール301と、クライアントPC121でのユーザの操作を監視する各種監視モジュールを統括する監視モジュール制御モジュール302を持つ。
　エージェント122は、クライアントPC121上で稼動するプロセス303の稼働状況を監視対象とするプロセス監視モジュール310と、ネットワークプリンタ123を含むプリンタ304への出力操作を監視対象とするプリンタ監視モジュール320と、Webブラウザ305によるユーザの操作を監視対象とするブラウザ監視モジュール330と、クライアントPC121の画面上に表示され、ユーザがダウンロードやアップロードの際にファイルを選択するために使用する各種ダイアログ306を監視対象とするダイアログ操作監視モジュール340と、同じくクライアントPC121の画面上で、ユーザがマウス等のポインティングデバイスを用いて、前記画面上に表示された各種アプリケーション307に対する操作（例えば、ボタンのクリックやアプリケーションウィンドウ内に表示されたオブジェクトのドラッグ＆ドロップなど）を監視対象とするファイル操作監視モジュール350と、例えば、メーラなど、ネットワークを介してデータを送受信するアプリケーションが、ユーザの操作によりTCP/IP（Transmission　Control　Protocol/　Internet　Protocol）のソケット308等を用いてデータストリームを送信もしくは受信している状況を監視対象とするTCP通信監視モジュール360も構成要素として持つものである。
　また、エージェント122は、モジュールの動作を制御するための設定ファイルであるシステムポリシ391と、特にセキュリティに関連する制御を行うための設定ファイルであるセキュリティポリシ392を持つとともに、先ほど説明した監視モジュール群がユーザ操作に関連する情報を構成する上で必要となる情報を格納する入手元DB393を備えている。入手元DB393の内容や役割については後述する。
　プロセス監視モジュール310は、クライアントPC121上でプロセス303の起動が要求されたことを検知する起動検知機能311と、起動されるプロセス303がセキュリティポリシ392に抵触するものである場合に、起動を抑止する抑止機能312と、ユーザに起動を抑止したことを通知するユーザ通知機能313を実現するものである。
　プリンタ監視モジュール320は、クライアントPC121上でプリンタ304を用いた印刷が要求されたことを検知する印刷検知機能321と、印刷されるデータがセキュリティポリシ392に抵触するものである場合に、印刷を抑止する抑止機能322と、ユーザに起動を抑止したことを通知するユーザ通知機能323を実現するものである。
　ブラウザ監視モジュール330は、クライアントPC121上でブラウザ305を用いてWebサーバにアクセスしたことを検知するアクセス検知機能331と、アクセスしたWebサーバのURL（Uniform　Resource　Locator）、受信したhtml（Hypertext　Markup　Language）データ等を一時的に保持する検知内容保持機能332を実現するものである。
　ダイアログ操作監視モジュール340は、ユーザがクライアントPC121上のアプリケーションプログラム208を操作することにより、ファイル選択用ダイアログ、もしくは印刷用ダイアログが表示されたことを検知するダイアログ検知機能341と、前記ダイアログを用いて操作されたファイルに対し、そのファイルの入手元に関する情報の付与、および、付与された入手元に関する情報の検査を実行する入手元情報付与・検査機能342を実現するものである。
　ここで、ファイル選択用ダイアログを表示する操作とは、例えば、Webブラウザを用いてファイルをダウンロードもしくはアップロードする操作や、メーラを用いて受信メールから添付ファイルを保存する操作もしくは送信メールにファイルを添付する操作がある。また、印刷用ダイアログを表示する操作とは、ワードプロセッサや表計算ソフトで印刷機能を選択する操作が該当する。
　ファイル操作監視モジュール350は、ユーザがクライアントPC121上のアプリケーションプログラム208のウィンドウ上でマウスボタンのクリックや、ウィンドウ内に表示されたオブジェクトのドラッグ＆ドロップなどの操作が行われたことを検知する操作検知機能351と、マウスを用いて操作されたファイルに対し、そのファイルの入手元に関する情報の付与、および、付与された入手元に関する情報の検査を実行する入手元情報付与・検査機能352を実現するものである。
　ここで、マウスボタンのクリックによるファイル操作とは、例えば、Webブラウザの画面上に表示されたリンクを右クリックし、表示されたメニューに、リンクが指し示すオブジェクトをファイルとして保存する操作や、メーラの受信メッセージ画面に添付されていたファイルをドラッグ＆ドロップし、デスクトップ上にコピーする操作が該当する。
　TCP通信監視モジュール360は、ユーザがクライアントPC121 上のネットワークプリケーションで操作を行った結果、ネットワークを介してファイルの送受信が行われたことを検知するソケット受信検知機能361と、前記ソケットを介して送受信されたデータを解析するプロトコル解析機能362と、ソケットを介してファイルがクライアントPC121にダウンロードされた場合に、そのファイルの入手元に関する情報を入手元DB393に登録するとともに、そのファイルの入手元に関する情報を入手元情報付与・検査モジュール342、352に通知する登録・通知機能363を持つ。
　上記で説明した各監視モジュールは、検知した内容に応じて、他の監視モジュールや、入手元DB393と通信する機能と、監視モジュール制御302およびマネージャ通信機構301を介してマネージャ112に対して、アラートをあげる（送信）する機能や、アラートや検知内容ログを生成する機能を持つ。
　なお、以後の説明では、ファイルに関する情報などの表現にて本発明に関する情報を説明するが、これら情報は、テーブル等のデータ構造以外で表現されてもよい。そのため、データ構造に依存しないことを示すために、「ファイルに関する情報」等について、単に「情報」と呼ぶことがある。同様に、ＤＢとして説明した部分についても必ずしもデータベースとしてのデータ構造を有することは必須ではないため、ＤＢとした説明についても単に「情報」と呼ぶことがある。
　また、各情報の内容を説明する際に、「識別情報」、「識別子」、「名」、「名前」、「ID」という表現を用いるが、これらについては互いに置換が可能である。
　さらに、以後の説明では、「プログラム」を主語として説明を行う場合があるが、プログラムは、プロセッサによって実行されることで、定められた処理をメモリ及び通信ポート（通信制御装置）を用いながら行うため、プロセッサを主語とした説明としてもよい。また、プログラムを主語として開示された処理は、管理サーバ111等の計算機、情報処理装置が行う処理としてもよい。また、プログラムの一部または全ては専用ハードウェアによって実現されてもよい。また、本発明は必ずしもスレッド機構を用いて実現する必要なく、マイクロスレッドやプロセス機構等ＯＳが提供するプログラムの実行を管理する機構によって実行できればいかような機構を用いても良い。
　また、各種プログラムは、プログラム配布サーバや記憶メディアによって各計算機にインストールされてもよい。
　なお、管理計算機111は入出力装置を有する。この入出力装置の例としては、ディスプレイとキーボードとポインタデバイスを挙げることができるが、これ以外の装置であってもよい。また、入出力装置の代替として、シリアルインターフェースやイーサーネットインターフェースを入出力装置とし、当該インタフェースにディスプレイ又はキーボード又はポインタデバイスを有する表示用計算機を接続し、表示用情報を表示用計算機で表示を行い、入力を受け付けることで入出力装置での入力及び表示を代替してもよい。
　次に、ユーザが、クライアントPCへのインポート操作を行ったことを検出し、インポート操作されたことを示す識別子を付与する第一の手段を実現するシーケンスを図４～図７に従って説明する。
　図4は、ユーザがWebブラウザでファイルをダウンロードする際に、ブラウザ監視モジュール330とダイアログ操作監視モジュール340が実行する処理の流れを示すシーケンスの一例である。
　ユーザがWebブラウザに表示されたリンクの左クリック操作(401)を行うと、Webブラウザでは、ページ遷移のユーザ操作イベントが発生し、ブラウザ監視モジュール330は、ページ遷移のユーザ操作イベントを検知する(402)。ブラウザ監視モジュール330は、遷移後のURL（すなわちクリックされたリンク先のオブジェクトのURL）を保存し、ダイアログ操作監視モジュール340からの情報提供リクエストを待つ(403)。
　一方、左クリック操作(401)により、リンクで指定されたオブジェクトが、Webブラウザでインライン表示できないタイプのものである場合、ファイルダウンロードダイアログが表示される。この場合、ダイアログ操作監視モジュール340は、ファイルダウンロードダイアログが表示されたときに、ダイアログ操作イベントを検知し(404)、ブラウザ監視モジュール330に遷移後URL情報の提供をリクエストし、その後、ブラウザ監視モジュール330から遷移後URL情報を入手する(405)。
　前記ファイルダウンロードダイアログで保存ボタンがクリックされると、ダイアログ操作監視モジュール340は、ダイアログに表示された情報（OS207の処理による情報）から保存先ファイル名を入手し、前記ファイルの保存先情報としてフルパスを取得する(406)。さらにダイアログ操作監視モジュールは、ステップ405で入手した遷移後URLに含まれるサーバが、組織内Webサーバ116であった場合には、前記ファイルに入手元を示す識別子を付与する(407)。この識別子は、クライアントPC121が利用するローカルファイルシステム204として、Microsoft社のNTFS（NT　File　System）であれば、「代替ストリーム」を用いて実現することができる。
　図5は、ユーザがWebブラウザでファイルをダウンロードする際に、ブラウザ監視モジュール330とダイアログ操作監視モジュール340、およびファイル操作監視モジュール350が実行する処理の流れを示すシーケンスの一例である。
　ユーザがWebブラウザでページを表示すると、ブラウザ監視モジュール330は、ページ遷移のユーザ操作イベントを検知する(501)。この際Webブラウザは、遷移後のURLおよびページソースを保持し、ブラウザ監視モジュール330の要求に応じてそれらを渡すことができるようになる。この状態でWebブラウザに表示されているリンクに対して、ユーザが右クリック操作(503)を行うと、マウス操作イベントが発生し、ファイル操作監視モジュール350は前記イベントを検知する(505)。
　マウス操作イベントの発生を検知したファイル操作監視モジュール350は、Webブラウザ上でマウス操作イベントが発生した位置に関する情報をオブジェクト関連情報として保存し、ブラウザ監視モジュール330に送付する(506)。
　ブラウザ監視モジュール330は、Webブラウザでページが表示されるたびに遷移後のページのURLおよび、ページのソースを保存する(502)。
　ユーザの右クリックにより、表示されたコンテキストメニューの中から、「ファイルの保存」に関する項目が選択される(504)と、ファイル保存ダイアログが表示される。
　ダイアログ操作監視モジュール340は、前記のダイアログ表示イベントを検知すると(507)、ブラウザ監視モジュール330から、表示されたページのURLおよびページソース（ページデータ）を取得(508)し、さらに前記ファイルが保存されたファイルパスを取得(510)した上で、前記ファイルのURLに含まれるサーバが、組織内Webサーバ116であった場合には、ファイルの入手元が監視対象でないとして、ファイルに入手元を示す識別子を付与する(511)。
　図6は、ユーザがメールに添付されたファイルをメーラで204システムに保存する際に、TCP通信監視モジュール360と、ダイアログ操作監視モジュール340が実行する処理の流れを示すシーケンスの一例である。
　ユーザがメーラを起動したり、メールの表示操作を実行したりするなどのメッセージ受信操作を行うと(601)、POP（Post　Office　Protocol）3やIMAP（Internet　Message　Access　Protocol　）4などのプロトコルに従い、メールサーバ114からメッセージがダウンロードされる。すると、ネットワークドライバやTCP/IPプロトコルスタックの中でソケットを監視するTCP通信監視モジュール360は、メール本文データの解析処理を実施し(603)、メッセージ内の送信者名および添付ファイル名を取得する(604)。
　さらにTCP通信監視モジュール360は、Base64等でコード化された添付ファイルデータをデコードし、ハッシュ値を計算する(605)。ステップ604およびステップ605により得られた添付ファイル名、ハッシュ値、および添付ファイルの送信者名は、入手元DB393に登録しておく(606)。
　ユーザが、メーラを用いてメール本文を閲覧している最中に、添付ファイルをローカルファイルシステム204に保存する操作を実行しようとすることがある（この操作は、メールデータをダウンロードした直後ではなく、相当の時間をあけて実行されることがある）。メーラが、ファイル保存ダイアログを用いて添付ファイルを保存する操作を行うと(602)、ダイアログ操作監視モジュール340は、ダイアログ表示イベントを検知し(607)、ダイアログに表示された情報からファイル名を入手し(608)、ファイルの保存先のフルパスを入手する(609)。さらに、前記ダイアログに表示されたファイル名をキーといて入手元DB393を検索し、ファイルの送信者名などの属性を取得する(610)。
　ここで、添付ファイル名が一般的な名称、例えば「仕様書.doc」といったものである場合、入手元DB393には、複数のレコードが登録されている場合も考えられる。そのような場合には、ステップ608で入手した保存先ファイル名のファイルに対してハッシュ値を計算し、前記ハッシュ値をキーとして入手元DB393を検索することにより、ファイルの送信者名を取得することが可能である。
　ステップ610で、ファイルの送信者が組織内の別ユーザであった場合、前記ファイルに入手元を示す識別子を付与する(611)。
　図7は、ユーザがメールに添付されたファイルをメーラでローカルファイルシステム204に保存する際に、TCP通信監視モジュール360と、ファイル操作監視モジュール350が実行する処理の流れを示すシーケンスの一例である。
　ステップ701からステップ706までの処理は、図6におけるシーケンス（ステップ601からステップ606）と同一のものである。ユーザが、メーラを用いてメール本文を閲覧している最中に、添付ファイルをローカルファイルシステム204に保存する操作としては、ファイル保存ダイアログを用いて行う方法だけではなく、メーラ画面内に表示された添付ファイルを示すアイコンをデスクトップやファイルエクスプローラにドラッグ＆ドロップする方法もある。
　このような操作を行う場合、ファイル操作監視モジュール350は、メーラ画面からのマウスによるドラッグ＆ドロップイベントを検知する(707)。さらに、ファイル操作監視モジュール350は、ファイルシステムに対するファイル生成イベントを監視し、マウスによるドラッグ＆ドロップ操作に応答して、ローカルファイルシステム204で生成されたファイルの名称の取得(708)、およびフルパスを取得し (709)、ファイル名およびファイルのハッシュ値をキーとして入手元DB393を検索し、ファイルの送信者名などの属性を取得する(710)。ステップ710で、ファイルの送信者が組織内の別ユーザであった場合、前記ファイルに入手元を示す識別子を付与する(711)。
　次に、ユーザがクライアントPCからのエクスポート操作を行ったことを検出し、インポートされたことを示す識別子を確認し、アラートをあげる第二の手段を実現するシーケンスを図8～図11に従って説明する。
　図8は、ユーザがWebブラウザでファイルをアップロードする際に、ブラウザ監視モジュール330とダイアログ操作監視モジュール340が実行する処理の流れを示すシーケンスの一例である。
　Webブラウザに表示された、ファイルアップロードに使用するフォーム画面で、ユーザが、アップロード対象のファイルを追加するボタンをクリックすると(801)、Webブラウザは、ファイル選択ダイアログを表示する。ダイアログ操作監視モジュール340は、ファイル選択ダイアログが表示されたイベントを検知し、選択されたファイルの名称を取得するとともに、ファイルオープンの監視を開始する(805)。
　ユーザが、ファイル選択ダイアログを用いてファイルを選択し、前記フォーム画面においてファイル登録ボタンをクリックすると(802)、フォーム画面がサブミットされて、Webブラウザに表示された画面が遷移する。
　ブラウザ監視モジュール330は、その結果発生するページ遷移イベントを検知し(803)、遷移後のURLを保存する(804)。
　このとき、ファイルアップロードがサブミットされた場合、ダイアログ操作監視モジュール340は、該当ファイルに対するファイルオープンを検知し(806)、該当ファイルのファイルパスをOS207から取得する(807)。
　さらにダイアログ操作監視モジュール340は、ブラウザ監視モジュール330から、ページ遷移後のURLを取得し、ファイルの出力先が検査対象であるか否かを判定し、ファイルをアップロードしたWebサーバが組織外のサーバであった場合、ファイルの出力先が検査対象であるとして、ファイルの入手元の識別子を確認し、組織内のファイルサーバ115からコピーされたファイルや、組織内Webサーバ116からダウンロードされたファイルや、メーラに添付されて取得したファイルであった場合には、アラートをあげる処理を実施する(809)。
　アラートをあげる処理とは、クライアントPC121から出力される出力情報の出力先、例えば、ファイルをアップロードしたWebサーバが、組織外Webサーバ131、即ち、管理サーバ111の管理対象とは異なる検査対象であって、クライアントPC121から出力される出力情報、例えば、クライアントPC121で処理されたファイルが、組織内のファイルサーバ115からコピーされたファイルや、組織内Webサーバ116からダウンロードされたファイルや、メーラに添付されて取得したファイルであって、ファイルの入手元が、管理サーバ111の管理対象であるときには、クライアントPC121から出力される出力情報（ファイル）は、不正操作によって生成された情報であるとして、不正操作の条件に適合する旨のアラートを生成し、生成したアラートを、管理サーバ111に送信するための処理である。
　この場合、管理サーバ111は、情報漏えい事故につながるリスクの高い不正操作が検出されたとして、不正操作に伴う情報を、アラートで処理すべき情報として管理する。これにより、管理者は、管理サーバ111に収集されたアラートを基に情報漏えいを抑制するための対策などを実行することができる。
　図9は、ユーザがメーラを用いて添付ファイル付きメールを送信する際に、TCP通信監視モジュール360とダイアログ操作監視モジュール340が実行する処理の流れを示すシーケンスの一例である。
　ユーザが、メーラで送信メールを作成中に、ファイル選択ダイアログを用いてファイル添付操作を行うと(901)、ダイアログ操作監視モジュール340は、ファイル選択ダイアログの表示イベントを検知し(906)、選択されたファイルの名称およびファイルのフルパスを取得して(907)、メールが送信されるまで待機する。
　この後、ユーザが、メーラでメール送信操作を実施すると(902)、TCP通信監視モジュール360は、SMTP（Simple　Mail　Transfer　Protocol）のプロトコルで送信されるデータを解析し(903)、送信先および添付ファイル名を取得する(904)。
　送信メールに添付ファイルがつけられており、かつ、メール送信先が組織外であった場合、TCP通信監視モジュール360は、待機中のダイアログ操作監視モジュール340に、メールが組織外のあて先に送信されたことを通知する(905)。
　ダイアログ操作監視モジュール340は、送信されたファイルの入手元を示す識別子を確認し、組織内のファイルサーバからコピーされたファイルや、組織内のWebサーバからダウンロードされたファイルや、メーラに添付されて取得したファイルであった場合には、アラートをあげる処理を実施する(908)。
　図10は、ユーザがメーラを用いて添付ファイル付きメールを送信する際に、TCP通信監視モジュール360とファイル操作監視モジュール350が実行する処理の流れを示すシーケンスの一例である。
　ユーザが、メーラで送信メールを作成中に、ドラッグ＆ドロップを用いてファイル添付操作を行うと(1001)、ファイル操作監視モジュール350は、ファイルエクスプローラ等から、メーラのウィンドウにファイルがドラッグ＆ドロップされたことを検知し(1006)、選択されたファイルの名称およびファイルのフルパスを取得して(1007)、メールが送信されるまで待機する。
　この後、ユーザが、メーラでメール送信操作を実施すると(1002)、TCP通信監視モジュール360は、SMTPのプロトコルで送信されるデータを解析し(1003)、送信先および添付ファイル名を取得する(1004)。
　送信メールに添付ファイルがつけられており、かつ、メール送信先が組織外であった場合、TCP通信監視モジュール360は、待機中のダイアログ操作監視モジュール340に、メールが組織外のあて先に送信されたことを通知する(1005)。
　ファイル操作監視モジュール350は、送信されたファイルの入手元を示す識別子を確認し、組織内のファイルサーバからコピーされたファイルや、組織内のWebサーバからダウンロードされたファイルや、メーラに添付されて取得したファイルであった場合には、アラートをあげる処理を実施する(1008)。
　図11は、ユーザがアプリケーションで印刷操作を行う際に、ダイアログ操作監視モジュール340が実行する処理の流れを示すシーケンスの一例である。
　ユーザが、アプリケーションで印刷操作を行うと(1101)、ダイアログ操作監視モジュール340は、印刷ダイアログの表示イベントを検知し(1103)、印刷を実施するアプリケーションのウィンドウタイトルを取得して(1104)、アプリケーションがオープンし、印刷を実行しようとしているファイルのフルパスを取得する(1105)。
　この後、ユーザが、印刷ダイアログにおいて印刷ボタンをクリックすると(1102)、ダイアログ操作監視モジュール340は、ダイアログがクローズされたことを検知し(1206)、送信されたファイルの入手元を示す識別子を確認し、組織内のファイルサーバからコピーされたファイルや、組織内のWebサーバからダウンロードされたファイルや、メーラに添付されて取得したファイルであった場合にはアラートをあげる処理を実施する(1107)。
　図12は、ユーザが、ファイルエクスプローラを用いて、ファイルサーバ115の情報をローカルファイルシステム204にコピーする際に、ファイル操作監視モジュール350が実行する処理により第一の手段を実現するシーケンスと、ユーザが、ファイルエクスプローラを用いて、ファイルをリムーバブルメディアにコピーする際に、ファイル操作監視モジュール350が実行する処理により第二の手段を実現するシーケンスの一例である。
　ユーザが、ファイルエクスプローラを用いたファイルのコピー、もしくは移動操作を行うと(1201)、ファイル操作監視モジュール350は、ファイルのコピー元とコピー先を特定する処理を行い(1202)、コピー元がファイルサーバ115で、コピー先がクライアントPC121であった場合には、操作対象のファイルに入手元を示す識別子を付与する(1203)。
　一方、ユーザが、ファイルエクスプローラを用いてファイルのコピー、もしくは移動操作を行うと(1211)、ファイル操作監視モジュール350は、ファイルのコピー元とコピー先を特定する処理を行い(1212)、コピー元がクライアントPC121のローカルファイルシステム204で、コピー先がクライアントPC121に接続されたリムーバブルメディアであった場合には、操作対象のファイルに入手元を示す識別子を確認し、組織内のからコピーされたファイルや、組織内のWebサーバからダウンロードされたファイルや、メーラに添付されて取得したファイルであった場合には、アラートをあげる処理を実施する(1213)。
　図13は、受信したメールに関する情報を格納するために使用する入手元DB393および、ローカルファイルシステム204に格納されたファイル209に付与する入手元を示す識別子1311のフォーマットの一例である。
　入手元DB393は、ファイル名を格納するフィールド1301と、メールの送信者名を格納するフィールド1302と、フィールド1301に記載されたファイルのハッシュ値を格納するフィールド1303により構成されている。
　入手元を示す識別子1311は、図５でも述べたように、Microsoft社のNTFSであれば「代替ストリーム」を用いて、iniファイル形式のデータとして実現することができる。メールサーバ114かから入手したファイルであれば、From行に送信者のメールアドレスを記載し、ファイルサーバ115から入手したファイルであれば、Server行にファイルサーバのサーバ名もしくはIPアドレスを記載し、組織内Webサーバから入手したファイルであれば、入手したファイルを示すURLを記載する。未使用の行は消去してあっても、イコール以降が空白であってもよい。
　本発明では、入手元を示す識別子1311に含まれる内容を第二の手段でアラートとしてあげることができる。第一の手段で、情報がクライアントPC121にインポートされた時刻を、入手元を示す識別子1311に含ませることにより、エクスポートされた情報がどこから入手したかということ以外に、いつ入手したものであるかをアラートの中身に含めることができる。
　上記を実現するために入手元DB393のフィールドとして、添付ファイルを含むメールを受信した時刻を格納するフィールドを追加し、TCP通信モジュール360が、ステップ606、706において、メールヘッダに記載された受信時刻も入手元DB393に登録し、ファイル属性を取得するステップ610、710において、前記時刻情報フィールドの内容も取得して、入手元を示す識別子1311に時刻情報を付与するようにしてもよい。
　図14は、ブラウザ監視モジュール330が実行する処理の概要を示すフローチャートの一例である。
　ブラウザ監視モジュール330は、Webブラウザが起動されたタイミングで起動され、図4、図5、図8で説明したWebブラウザに対するユーザ操作イベントの監視を設定し(1401)、イベントが発生したかを判別するループに入る(1402)。イベントの発生を検知した場合、ブラウザ監視モジュール330は、ユーザの左クリック操作でページが遷移したかどうかを判別するステップを実行する(1403)。
　ユーザの左クリック操作でページが遷移した場合には、ブラウザ監視モジュール330は、遷移後のURLを取得するステップ(1404)を実行後、ダイアログ監視モジュール340にURLを送信するステップ(1404)を実行する。
　一方、ページが遷移しなかった場合には、ブラウザ監視モジュール330は、ファイル操作監視モジュール350よりマウスイベントのブラウザ上の座標情報を取得するステップ(1405)を実行し、マウスカーソルの下に位置するHTMLのアンカータグを取得するステップ(1406)を実行し、マウスカーソルで選択したURLを抽出するステップ(1407)を実行した上で、ダイアログ監視モジュール340にURLを送信するステップ(1404)を実行する。
　図15は、ダイアログ操作監視モジュール340が実行する処理の概要を示すフローチャートの一例である。
　ダイアログ操作監視モジュール340は、ユーザがクライアントPC121にログオンしたタイミングで起動され、図4、図5、図6、図8、図9、図11で説明したダイアログを用いたファイル操作を監視するもので、例えば、タイマー監視等のセットアップ(1501)を行った後、ダイアログが表示されるイベントを監視する(1502)。
　イベントが発生した場合、ダイアログ操作監視モジュール340は、アップロードダイアログかもしくはダウンロードダイアログが表示されているかをチェックし(1503)、ダイアログが表示されていた場合には、前記ダイアログを表示させたアプリケーションの種別を判別する(1504)。アプリケーションがメーラであった場合には、メーラチェックスレッドを生成するステップ(1505)、Webブラウザであった場合には、Webブラウザチェックスレッドを生成するステップ(1506)を実施する。
　また、ステップ1503において、表示されているダイアログがアップロードもしくはダウンロードダイアログではなかった場合、ダイアログ操作監視モジュール340は、印刷用ダイアログかどうか判別し(1507)、印刷チェックスレッドを生成するステップ(1508)を実施する。
　各スレッドを生成するステップを実施した後、ダイアログ操作監視モジュール340は、ダイアログが表示されるイベントを監視するステップ(1502)に戻る。
　図16は、ダイアログ操作監視モジュール340が実行する処理の中で、メーラチェックスレッドの概要を示すフローチャートの一例である。
　本スレッドでは、ダイアログ操作監視モジュール340は、アップロードダイアログかもしくはダウンロードダイアログが表示されているかをチェックし(1601)、ダイアログが表示されている場合には、ダイアログに表示されている文字列からフォルダ名の取得(1602)と、ファイル名の取得(1603)を行い、アップロードもしくはダウンロード対象のファイルのフルパスを構成した上で(1604)、ステップ1601に戻る。
　この後、ユーザが、ダイアログの保存ボタン等をクリックしてダイアログが非表示になると、ステップ1605以降の処理を実行する。
　まず、ダイアログ操作監視モジュール340は、ステップ1604を既に実行してフルパスが構成されており、かつフルパスで示されるファイルが存在するか判別し(1605)、ファイルが存在する場合にはステップ1606以降の処理を実行し、ファイルが存在しない場合にはステップ1601に戻る。
　ファイルが存在する場合、ダイアログ操作監視モジュール340は、まずダウンロードダイアログか否かを判別し(1606)、ダウンロードダイアログであった場合には、ステップ1604で特定したファイルのハッシュ値を計算し(1607)、図6、図7で示したように、TCP通信監視モジュール360が入手元DBに登録した情報を検索し(1608)、入手元が組織内の他ユーザであるなど条件に一致する場合、ステップ1604で取得したフルパスで示されるファイルに対し、入手元情報を書き込む(1609)。
　アップロードダイアログであった場合には、図9、図10で示したように、TCP通信モジュール360からの通知を待ちうけ(1610)、ダイアログで指定されたファイルがメールに添付されて送信された場合、ステップ1604で取得した添付ファイルのフルパスで示されるファイルの入手元情報を読み込み(1611)、アラート条件をチェックした上で、アラートを生成し、必要に応じアラートを管理サーバ111に送信する(1612)。
　図17は、ダイアログ操作監視モジュール340が実行する処理の中で、Webブラウザチェックスレッドの概要を示すフローチャートの一例である。
　本スレッドでは、ダイアログ操作監視モジュール340は、アップロードダイアログかもしくはダウンロードダイアログが表示されているかをチェックし(1701)、ダイアログが表示されている場合には、ダイアログに表示されている文字列からフォルダ名の取得(1702)と、ファイル名の取得(1703)を行い、アップロードもしくはダウンロード対象のファイルのフルパスを構成した上で(1704)、ステップ1701に戻る。この後、ユーザが、ダイアログの保存ボタン等をクリックしてダイアログが非表示になると、ステップ1705以降の処理を実行する。
　まず、ダイアログ操作監視モジュール340は、ステップ1704を既に実行してフルパスが構成されており、かつフルパスで示されるファイルが存在するか判別し(1705)、ファイルが存在する場合にはステップ1706以降の処理を実行し、ファイルが存在しない場合にはステップ1701に戻る。ファイルが存在する場合、まずダウンロードダイアログか否かを判別し(1706)、ダウンロードダイアログであった場合には、図４、図５で示したようにブラウザ監視モジュール330が保持するダウンロード元情報を入手し(1707)、入手元が組織内の他ユーザであるなど条件に一致する場合、ステップ1704で取得したフルパスで示されるファイルに対し、入手元情報を書き込む(1708)。
　アップロードダイアログであった場合には、ダイアログ操作監視モジュール340は、図8で示したように、ブラウザ監視モジュール330が保持するアップロード先情報を、ブラウザ監視モジュール330から入手し(1709)、ダイアログで指定されたファイルが送信された場合、ステップ1704で取得した添付ファイルのフルパスで示されるファイルの入手元情報を読み込み(1710)、アラート条件をチェックした上で、アラートを生成し、必要に応じアラートを管理サーバ111に送信する(1711)。
　図18は、ダイアログ操作監視モジュール340が実行する処理の中で、アプリケーションによる印刷チェックスレッドの概要を示すフローチャートの一例である。
　本スレッドでは、ダイアログ操作監視モジュール340は、印刷ダイアログが表示されているかをチェックし(1801)、ダイアログが表示されている場合には、印刷元のアプリのプロセスID取得(1802)と、前記プロセスがオープンしているファイル一覧からファイル名の取得(1803)を行い、印刷対象のファイルのフルパスを構成した上で(1804)、ステップ1801に戻る。
　この後、ユーザが、ダイアログの印刷ボタン等をクリックしてダイアログが非表示になると、印刷対象ファイルの入手元情報を読み込み(1805)、アラート条件をチェックした上で、アラートを生成し、必要に応じアラートを管理サーバ111に送信する(1806)。
　図19は、ファイル操作監視モジュール350が実行する処理の概要を示すフローチャートの一例である。
　ファイル操作監視モジュール350は、ユーザがクライアントPC121にログオンしたタイミングで起動され、マウスイベントのフックを開始(1901)した後、図5、図7、図10で説明したマウスを用いたファイル操作を監視し、イベントを検知したときには、検知したマウス操作イベントが右クリックか判別する(1902)。
　このとき、右クリックであった場合には、ファイル操作監視モジュール350は、フォアグラウンドウィンドウでのマウスカーソル座標を取得し(1903)、ブラウザウィンドウの座標への変換処理を実行し(1904)、ブラウザ監視モジュール330に、ステップ1904で取得した座標を通知する処理を実行し(1905)、イベント監視に戻る。
　一方、ステップ1902で、マウス操作イベントが右クリックでないと判定した場合には、ファイル操作監視モジュール350は、ドラッグイベントか判別する処理を実行し(1906)、ドラッグイベントでなかった場合にはイベント監視に戻る。
　イベントがドラッグイベントである場合は、ファイル操作監視モジュール350は、ドラッグされたオブジェクトがドロップされるイベントを検出し、ファイルエクスプローラ上でドラッグされ、メーラ上でドロップされたかを判定する(1907)。
　ステップ1907でNoと判定した場合には、ファイル操作監視モジュール350は、イベント監視に戻り、ステップ1907でYesと判定した場合には、ドラッグ元ファイルパスを取得し(1908)、ステップ1908で取得した添付ファイルのフルパスで示されるファイルの入手元情報を読み込み(1909)、アラート条件をチェックした上で必要に応じアラートを管理サーバ111に送信する(1910)。
　ステップ1907で、オブジェクトがドロップされた先がメーラ上でない場合には、ファイル操作監視モジュール350は、ドラッグ＆ドロップイベントが、メーラ上でドラッグされ、ファイルエクスプローラ上でドロップされたかを判定する(1911)。
　ステップ1921がNoであった場合には、ファイル操作監視モジュール350は、イベント監視に戻り、Yesであった場合には添付ファイルのドロップ先のファイルパスを取得する(1912)。次に、ファイル操作監視モジュール350は、ステップ1912で取得したファイルのハッシュ値を計算し(1913)、入手元DBに登録した情報を検索し(1914)、入手元が組織内の他ユーザであるなど条件に一致する場合、ステップ1912で取得したフルパスで示されるファイルに対し、入手元情報を書き込む(1915)。
　なお、図12で示したシーケンスに対するファイル操作監視モジュール350の処理も、ドラッグ元がファイルサーバ115でドロップ先がローカルファイルシステム204である場合には、ステップ1912とステップ1915に準じる処理を、ドラッグ元がローカルファイルシステム204で、ドロップ先がリムーバブルメディアであった場合にはステップ1908とステップ1910に準じる処理を行えばよい。
　また、ドラッグ元がファイルサーバ115で、ドロップ先がリムーバブルメディアであった場合には、ステップ1910に準じる処理を行えばよい。
　図20は、TCP通信監視モジュール360が実行する処理の概要を示すフローチャートの一例である。
　TCP通信監視モジュール360は、ユーザがクライアントPC121にログオンしたタイミングで起動され、SMTP、POP3、IMAP4の各プロトコルでの通信データを監視する。ソケット通信の監視を開始し(2001)、前記プロトコルでの送受信データかどうかを判別する(2002)。ステップ2002がNoだった場合にはソケット通信の監視に戻り、Yesだった場合にはステップ2003以降の処理を実施する。
　ステップ2003では、TCP通信監視モジュール360は、メールデータの解析を実施する。この際、メールデータのヘッダ領域より、送信者および受信者が、MIME（Multipurpose　Internet　Mail　Extension）パートの解析により添付ファイルの有無およびファイル名称等の情報を解析することができる。
　次に、TCP通信監視モジュール360は、メールに添付ファイルがあるかどうか識別し(2004)、添付されている場合は、さらにプロトコル種別がメール受信用のPOP3もしくはIMAP4であるか、メール送信用のSMTPであるかを判別する(2005)。メール受信だった場合には、送信者名、添付ファイル名を取得し(2006)、添付ファイルのデータをデコードした後ハッシュ値を計算し(2007)、入手元DB393への登録を行いソケット通信の監視に戻る。
　一方、ステップ2005で、メール送信だった場合には、TCP通信監視モジュール360は、送信者名、添付ファイル名を取得し(2009)、ダイアログ監視モジュール350およびファイル監視モジュール360にステップ2009で取得した情報を送付する。
　以上の構成および処理により、本システムでは、監視対象とは異なる機器よりクライアントPC121にインポートされた情報（入力情報）が、検査対象となる機器にエクスポートされたことを識別することが可能となる。クライアントPC121に情報をインポートする方法としては、
（１）Webブラウザでのダウンロード、
（２）受信メールに添付されたファイル
（３）ファイルエクスプローラを用いたファイルサーバからローカルファイルシステム204へのコピーおよび移動があり、
それらのいずれの操作でも、インポートされた情報にはインポート元に関する情報を含む入手元を示す識別子1311が付与される。
　クライアントPC121のローカルファイルシステム内でインポートされた情報に対しコピー、名前変更、移動の各処理を行った場合、処理後の情報（コピーされた情報を含む）にも入手元を示す識別子1311が付与される機能が備わっているファイルシステム（例えばMicrosoft社のNTFS）であれば、
本システムが想定する情報エクスポート操作として、
（１）Webブラウザでのファイルアップロード、
（２）添付ファイル付きメールの送信、
（３）アプリケーションでの印刷、
（４）リムーバブルメディアへのコピーおよび移動、
が行われる際に、アラートをあげることが可能である。
　本システムを用いてアラートをあげる条件は、入手元を示す識別子1311の内容により決定してもよい。例えば、Webブラウザでのダウンロードでインポートされた情報であれば、組織内のすべてのWebサーバを対象としてもよく、重要な情報が格納されているWebサーバが識別できるのであれば、特定のWebサーバのURLが入手元を示す識別子1311に含まれている場合のみを対象とするようにセキュリティポリシ392に設定してもよい。
　また、エクスポート操作を行う時間帯や、情報の種別、サイズに応じてアラートをあげる条件を変えることも可能である。
　本実施形態によれば、組織内の他の計算機で作成された機密情報を、ユーザが自分の使用するクライアントPC121にインポートした後、組織外にエクスポートした操作を不正操作として検出することが可能であり、ユーザが行った情報漏えいにつながるリスクの高い操作を不正操作として検出することができる。
　これにより、情報漏えいにつながるリスクの高いユーザの操作を検知するために、特定の情報出力操作が行われた場合にアラートをあげる初期設定や、不正な操作パターンを定義する初期設定を行わずに、情報漏えいのリスクの高い不正操作に対して、アラートを上げる機能を実現することができる。
　また、情報漏えい事故につながるリスクの高い不正操作を検出し、不正操作に伴う情報を、アラートで処理すべき情報として管理することで、情報漏えいを抑制することができる。
　111…管理サーバ、114…メールサーバ、115…ファイルサーバ、116…組織内Webサーバ、121…クライアントPC、122…エージェントプログラム、123…ネットワークプリンタ123、204…ローカルファイルシステム、310…プロセス監視モジュール、320…プリンタ監視モジュール、330…ブラウザ監視モジュール、340…ダイアログ操作監視モジュール、350…ファイル操作監視モジュール、360…TCP通信監視モジュール、393…入手元DB、1311…入手元を示す識別子。

Claims (11)

  1. 　アプリケーションプログラムが搭載されたマイクロプロセッサを監視対象として、前記監視対象に接続された出力装置の画面上の情報に対する操作を監視する監視装置と、
    　前記監視装置を管理対象として、前記監視装置の監視結果を管理する管理端末と、を有し、前記出力装置の画面上の情報に対する操作のうち不正操作を検知する不正操作検知システムであって、
    　前記監視装置は、
    　前記監視対象に情報を入力するための操作に応答して、前記監視対象に入力される入力情報の入手元を識別するとともに、前記入力情報に、当該入力情報の入手元を示す識別子を付与し、
    　前記監視対象から情報を出力するための操作に応答して、前記監視対象から出力される出力情報の出力先を識別するとともに、前記出力情報の入手元を示す識別子を検索し、前記識別された出力情報の出力先と前記検索された出力情報の入手元の組み合わせが不正操作の条件に適合するか否かを判定し、この判定結果に従ってアラートを生成することを特徴とする不正操作検知システム。
  2. 　請求項１に記載の不正操作検知システムにおいて、
    　前記監視装置は、
    　前記監視対象に接続された出力装置の画面に表示されたダイアログに対する操作を監視するダイアログ操作監視モジュールを有し、
    　前記ダイアログ操作監視モジュールは、
    　前記ダイアログに対する操作でファイルが選択され、前記ファイルに関する情報が前記入力情報として前記監視対象に入力されるときには、前記ファイルの入手元を識別するとともに、前記ファイルに、当該ファイルの入手元を示す識別子を付与し、
    　前記ダイアログに対する操作で前記ファイルに関する情報が前記出力情報として前記監視対象から出力されるときには、前記ファイルの出力先を識別するとともに、前記ファイルに付与されている識別子を識別することを特徴とする不正検知システム。
  3. 　請求項２に記載の不正操作検知システムにおいて、
    　前記監視装置は、
    　前記出力装置の画面に表示されたWebブラウザに対する操作を監視するブラウザ監視モジュールを有し、
    　前記ブラウザ監視モジュールは、
    　前記Webブラウザに対する操作でファイルが選択され、前記ファイルに関する情報が前記入力情報として前記監視対象に入力されるときには、前記ファイルの入手元を識別するとともに、前記ファイルに、当該ファイルの入手元を示す識別子を付与して保存し、
    　前記ダイアログ操作監視モジュールは、
    　前記ダイアログに対する操作で前記ファイルに関する情報が前記出力情報として前記監視対象から出力されるときには、前記ファイルの出力先を識別するとともに、前記ブラウザ監視モジュールから、前記保存された識別子を取得して、前記ファイルに付与されている識別子を識別することを特徴とする不正検知システム。
  4. 　請求項３に記載の不正操作検知システムにおいて、
    　前記監視装置は、
    　入手元に関する情報を格納する入手元データベースを有し、
    　前記ブラウザ監視モジュールは、
    　前記Webブラウザに対する操作でファイルが選択され、前記ファイルに関する情報が前記入力情報として前記監視対象に入力されるときには、前記ファイルの入手元を識別するとともに、前記ファイルに、当該ファイルの入手元を示す識別子を付与し、前記ファイルの入手元を示す識別子を前記入手元データベースに登録し、
    　前記ダイアログ操作監視モジュールは、
    　前記ダイアログに対する操作で前記ファイルに関する情報が前記出力情報として前記監視対象から出力されるときには、前記ファイルの出力先を識別するとともに、前記ブラウザ監視モジュールから、前記入手元データベースに登録された識別子を取得して、前記ファイルに付与されている識別子を識別することを特徴とする不正操作検知システム。
  5. 　請求項４に記載の不正操作検知システムにおいて、
    　前記監視装置は、
    　前記検査対象のうち前記監視装置の監視領域から外れた領域に配置された検査対象と前記監視対象との間で、前記監視領域から外れた領域のネットワークを介して実行される情報の送受信を監視する通信監視モジュールを有し、
    　前記通信監視モジュールは、
    　前記ダイアログに対する操作でファイルが選択され、前記ファイルに関する情報が前記入力情報として前記監視対象に入力されるときには、前記検査対象から受信した情報を基に前記ファイルの入手元を識別するとともに、前記ファイルに、当該ファイルの入手元を示す識別子を付与することを特徴とする不正検知システム。
  6. 　請求項５に記載の不正操作検知システムにおいて、
    　前記監視装置は、
    　前記出力装置の画面上の情報に対して、前記監視対象に接続された入力装置からの操作を監視するファイル操作監視モジュールを有し、
    　ファイル操作監視モジュールは、
    　前記入力装置からの操作でファイルが選択され、前記ファイルに関する情報が前記入力情報として前記監視対象に入力されるときには、前記ファイルの入手元を識別するとともに、前記ファイルに、当該ファイルの入手元を示す識別子を付与し、
    　前記入力装置からの操作で前記ファイルに関する情報が前記出力情報として前記監視対象から出力されるときには、前記ファイルの出力先を識別するとともに、前記ファイルに付与されている識別子を識別することを特徴とする不正検知システム。
  7. 　請求項６に記載の不正操作検知システムにおいて、
    　前記ファイル操作監視モジュールは、
    　前記識別された出力情報の出力先が、前記管理端末の管理対象とは異なる検査対象であって、前記検索された出力情報の入手元が、前記管理端末の管理対象であると判定したときには、前記監視対象から出力される出力情報は、前記不正操作の条件に適合する旨のアラートを生成し、前記生成したアラートを、前記管理端末に送信することを特徴とする不正検知システム。
  8. 　請求項７に記載の不正操作検知システムにおいて、
    　前記検査対象は、
    　前記監視対象に接続された記憶媒体のうち前記管理端末の管理対象から外れた記憶媒体または前記管理端末の管理領域から外れたネットワークに接続された機器であって、前記管理端末の管理対象から外れた外部機器であることを特徴とする不正操作検知システム。
  9. 　アプリケーションプログラムが搭載されたマイクロプロセッサを監視対象として、前記監視対象に接続された出力装置の画面に対する操作のうち不正操作を検知する不正操作検知方法であって、
    　前記監視対象に情報を入力するための操作に応答して、前記監視対象に入力される入力情報の入手元を識別するとともに、前記入力情報に、当該入力情報の入手元を示す識別子を付与し、
    　前記監視対象から情報を出力するための操作に応答して、前記監視対象から出力される出力情報の出力先を識別するとともに、前記出力情報の入手元を示す識別子を検索し、前記識別された出力情報の出力先と前記検索された出力情報の入手元の組み合わせが不正操作の条件に適合するか否かを判定し、前記判定の結果に従ってアラートを生成することを特徴とする不正操作検知方法。
  10. 　請求項９に記載の不正操作検知方法において、
    　前記識別された出力情報の出力先が、前記管理端末の管理対象とは異なる検査対象であって、前記検索された出力情報の入手元が、前記管理端末の管理対象であると判定したときには、前記監視対象から出力される出力情報は、前記不正操作の条件に適合する旨のアラートを生成し、前記生成したアラートを、管理端末に送信することを特徴とする不正検知方法。
  11. 　アプリケーションプログラムが搭載されたマイクロプロセッサを監視対象として、前記監視対象に接続された出力装置の画面に対する操作のうち不正操作を検知する不正操作検知プログラムであって、
    　コンピュータに実行させるためのステップとして、
    　前記監視対象に情報を入力するための操作に応答して、前記監視対象に入力される入力情報の入手元を識別するステップと、
    　前記ステップで識別された前記入力情報に、当該入力情報の入手元を示す識別子を付与するステップと、
    　前記監視対象から情報を出力するための操作に応答して、前記監視対象から出力される出力情報の出力先を識別するステップと、
    　前記監視対象から出力される出力情報の入手元を示す識別子を検索するステップと、
    　前記ステップで識別された出力情報の出力先と前記ステップで検索された出力情報の入手元の組み合わせが不正操作の条件に適合するか否かを判定するステップと、
    　前記ステップでの判定結果に従ってアラートを生成するステップと、を含むことを特徴とする不正操作検知プログラム。
PCT/JP2010/002461 2010-03-10 2010-04-02 不正操作検知システム及び不正操作検知方法 WO2011111124A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP10847357A EP2410459A1 (en) 2010-03-10 2010-04-02 Unauthorized operation detecting system and unauthorized operation detecting method
CN2010800214918A CN102428476A (zh) 2010-03-10 2010-04-02 非法操作检测系统和非法操作检测方法
US12/808,130 US8850592B2 (en) 2010-03-10 2010-04-02 Unauthorized operation detection system and unauthorized operation detection method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2010-052483 2010-03-10
JP2010052483A JP5396314B2 (ja) 2010-03-10 2010-03-10 不正操作検知システム及び不正操作検知方法

Publications (1)

Publication Number Publication Date
WO2011111124A1 true WO2011111124A1 (ja) 2011-09-15

Family

ID=44562973

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2010/002461 WO2011111124A1 (ja) 2010-03-10 2010-04-02 不正操作検知システム及び不正操作検知方法

Country Status (5)

Country Link
US (1) US8850592B2 (ja)
EP (1) EP2410459A1 (ja)
JP (1) JP5396314B2 (ja)
CN (1) CN102428476A (ja)
WO (1) WO2011111124A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105825124A (zh) * 2015-01-06 2016-08-03 中国移动通信集团广西有限公司 一种服务器非法操作的监测方法和监测系统

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012001765A1 (ja) * 2010-06-29 2012-01-05 株式会社日立製作所 不正操作検知方法、及び、不正操作を検知する計算機
JP5919729B2 (ja) * 2011-10-27 2016-05-18 セイコーエプソン株式会社 周辺機器のステータス監視方法、デバイスドライバーおよびネットワークシステム
WO2016002605A1 (ja) 2014-06-30 2016-01-07 日本電信電話株式会社 検知装置、検知方法及び検知プログラム
US9721094B2 (en) * 2015-05-20 2017-08-01 International Business Machines Corporation Determining privacy leaks
CN105389507B (zh) * 2015-11-13 2018-12-25 小米科技有限责任公司 监控系统分区文件的方法及装置
US9530016B1 (en) 2016-01-29 2016-12-27 International Business Machines Corporation Using source taint analysis to reduce false positives in an advanced persistent threat (APT) protection solution
US10671370B2 (en) * 2018-05-30 2020-06-02 Red Hat, Inc. Distributing file system states
US11301496B2 (en) * 2018-12-26 2022-04-12 Imperva, Inc. Using access logs for network entities type classification

Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003044297A (ja) * 2000-11-20 2003-02-14 Humming Heads Inc コンピュータリソースの制御を行なう情報処理方法および装置、情報処理システム及びその制御方法並びに記憶媒体、プログラム
JP2005149243A (ja) * 2003-11-17 2005-06-09 Intelligent Wave Inc 不正監視プログラム、不正監視の方法及び不正監視システム
JP2006092566A (ja) * 2000-11-20 2006-04-06 Humming Heads Inc 情報処理装置及びその方法、プログラム
JP2007048310A (ja) * 2000-11-20 2007-02-22 Humming Heads Inc 情報処理装置及びその方法、プログラム
JP2007183911A (ja) * 2006-08-17 2007-07-19 Intelligent Wave Inc 不正操作監視プログラム、不正操作監視方法、及び不正操作監視システム
JP2008102827A (ja) * 2006-10-20 2008-05-01 Hitachi Capital Corp 個人情報ファイルの監視システムおよび監視方法
JP2008130077A (ja) * 2007-05-17 2008-06-05 Quality Kk 電子メールシステムおよび電子メール送受信プログラム
JP2009020812A (ja) 2007-07-13 2009-01-29 Hitachi Electronics Service Co Ltd 操作検知システム
JP2009237804A (ja) * 2008-03-26 2009-10-15 Sky Co Ltd 電子メールシステム
JP2010015543A (ja) * 2008-06-03 2010-01-21 Hitachi Ltd ファイル管理システム
JP2010123112A (ja) * 2008-10-22 2010-06-03 Hitachi Software Eng Co Ltd コンテンツ認可装置

Family Cites Families (42)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP3584540B2 (ja) 1995-04-20 2004-11-04 富士ゼロックス株式会社 文書複写関係管理システム
JPH0944432A (ja) 1995-05-24 1997-02-14 Fuji Xerox Co Ltd 情報処理方法および情報処理装置
JPH0954735A (ja) 1995-06-07 1997-02-25 Fuji Xerox Co Ltd 情報処理方法及び情報処理装置
US6412017B1 (en) 1996-07-01 2002-06-25 Microsoft Corporation Urgent replication facility
US6408336B1 (en) 1997-03-10 2002-06-18 David S. Schneider Distributed administration of access to information
US6119208A (en) 1997-04-18 2000-09-12 Storage Technology Corporation MVS device backup system for a data processor using a data storage subsystem snapshot copy capability
US6067541A (en) 1997-09-17 2000-05-23 Microsoft Corporation Monitoring document changes in a file system of documents with the document change information stored in a persistent log
JP3832077B2 (ja) 1998-03-06 2006-10-11 富士ゼロックス株式会社 文書管理装置
US7062649B2 (en) 2001-01-12 2006-06-13 Hewlett-Packard Development Company, L.P. System and method for categorizing security profile rules within a computer system
JP3927376B2 (ja) 2001-03-27 2007-06-06 日立ソフトウエアエンジニアリング株式会社 データ持ち出し禁止用プログラム
US7234144B2 (en) * 2002-01-04 2007-06-19 Microsoft Corporation Methods and system for managing computational resources of a coprocessor in a computing system
US6996672B2 (en) 2002-03-26 2006-02-07 Hewlett-Packard Development, L.P. System and method for active-active data replication
US8374966B1 (en) 2002-08-01 2013-02-12 Oracle International Corporation In memory streaming with disk backup and recovery of messages captured from a database redo stream
CA2791776A1 (en) 2002-10-30 2004-05-13 Portauthority Technologies, Inc. A method and system for managing confidential information
US7353533B2 (en) 2002-12-18 2008-04-01 Novell, Inc. Administration of protection of data accessible by a mobile device
JP2004334574A (ja) 2003-05-08 2004-11-25 Hitachi Ltd ストレージの運用管理プログラム、運用管理方法及び管理計算機
US7177865B2 (en) 2003-06-30 2007-02-13 Sap Ag Data synchronization method and system
JP2005078612A (ja) 2003-09-04 2005-03-24 Hitachi Ltd ファイル共有システム及びファイル共有装置間のファイル移行方法
US20050134894A1 (en) 2003-10-31 2005-06-23 Information Handling Services Inc. Remote access printing systems and methods
JP2005189995A (ja) 2003-12-24 2005-07-14 Hitachi Ltd ファイル授受プロセス管理方法、および、ファイル授受プロセス可視化方法、ならびに、ファイル授受システムにおけるファイル授受プロセス管理装置、および、ユーザ端末
US8180743B2 (en) * 2004-07-01 2012-05-15 Emc Corporation Information management
US8011003B2 (en) 2005-02-14 2011-08-30 Symantec Corporation Method and apparatus for handling messages containing pre-selected data
JP2006302170A (ja) 2005-04-25 2006-11-02 Hitachi Ltd ログ管理方法及び装置
JP4737762B2 (ja) 2006-06-12 2011-08-03 株式会社日立ソリューションズ 機密情報の管理プログラム
JP2008052570A (ja) 2006-08-25 2008-03-06 Hitachi Software Eng Co Ltd 操作履歴管理システム
JP4518056B2 (ja) 2006-09-25 2010-08-04 富士ゼロックス株式会社 文書操作認証装置、及びプログラム
US7788235B1 (en) * 2006-09-29 2010-08-31 Symantec Corporation Extrusion detection using taint analysis
US8181036B1 (en) 2006-09-29 2012-05-15 Symantec Corporation Extrusion detection of obfuscated content
JP2008109380A (ja) 2006-10-25 2008-05-08 Media Exchange Inc 電子メール送受信システム
US7966426B2 (en) 2006-11-14 2011-06-21 Microsoft Corporation Offline synchronization capability for client application
JP5045118B2 (ja) 2007-01-26 2012-10-10 富士ゼロックス株式会社 文書管理装置、文書管理システム及びプログラム
WO2008129915A1 (ja) 2007-04-18 2008-10-30 Hitachi Software Engineering Co., Ltd. 電子メールのフィルタリング手段を備えた機器
KR100912870B1 (ko) 2007-06-12 2009-08-19 삼성전자주식회사 컨텐츠 및 메타데이터의 무결성 보장 시스템 및 방법
JP5127489B2 (ja) 2008-02-07 2013-01-23 株式会社東芝 情報ライフサイクル管理システム、情報管理サーバ装置、電子媒体制御装置及びプログラム
US8370948B2 (en) * 2008-03-19 2013-02-05 Websense, Inc. System and method for analysis of electronic information dissemination events
WO2009147855A1 (ja) 2008-06-03 2009-12-10 株式会社 日立製作所 ファイル管理システム
JP2010003051A (ja) 2008-06-19 2010-01-07 Fuji Xerox Co Ltd 文書情報処理装置、及びプログラム
JP4521462B2 (ja) 2008-12-26 2010-08-11 株式会社東芝 情報ライフサイクル管理システム、情報管理サーバ装置、情報媒体制御装置及びプログラム
US8286253B1 (en) 2009-11-23 2012-10-09 Trend Micro Incorporated Data leakage prevention for resource limited device
US8843567B2 (en) 2009-11-30 2014-09-23 International Business Machines Corporation Managing electronic messages
US8832802B2 (en) 2010-02-01 2014-09-09 Protextion Technologies, Llc System for distribution permissions for network communications
US8407341B2 (en) 2010-07-09 2013-03-26 Bank Of America Corporation Monitoring communications

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2003044297A (ja) * 2000-11-20 2003-02-14 Humming Heads Inc コンピュータリソースの制御を行なう情報処理方法および装置、情報処理システム及びその制御方法並びに記憶媒体、プログラム
JP2006092566A (ja) * 2000-11-20 2006-04-06 Humming Heads Inc 情報処理装置及びその方法、プログラム
JP2007048310A (ja) * 2000-11-20 2007-02-22 Humming Heads Inc 情報処理装置及びその方法、プログラム
JP2005149243A (ja) * 2003-11-17 2005-06-09 Intelligent Wave Inc 不正監視プログラム、不正監視の方法及び不正監視システム
JP2007183911A (ja) * 2006-08-17 2007-07-19 Intelligent Wave Inc 不正操作監視プログラム、不正操作監視方法、及び不正操作監視システム
JP2008102827A (ja) * 2006-10-20 2008-05-01 Hitachi Capital Corp 個人情報ファイルの監視システムおよび監視方法
JP2008130077A (ja) * 2007-05-17 2008-06-05 Quality Kk 電子メールシステムおよび電子メール送受信プログラム
JP2009020812A (ja) 2007-07-13 2009-01-29 Hitachi Electronics Service Co Ltd 操作検知システム
JP2009237804A (ja) * 2008-03-26 2009-10-15 Sky Co Ltd 電子メールシステム
JP2010015543A (ja) * 2008-06-03 2010-01-21 Hitachi Ltd ファイル管理システム
JP2010123112A (ja) * 2008-10-22 2010-06-03 Hitachi Software Eng Co Ltd コンテンツ認可装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
HITACHI SOFTWARE ENGINEERING CO., LTD., JOHO SECURITY GOVERNANCE, 31 January 2008 (2008-01-31), pages 65 - 66, 117 TO 125, XP008167358 *
TOSHIYUKI OMORI: "Client Sosa Kanshi Tool no Erabikata Shokuin Kanshi Jidai Hajimaru", NIKKEI BP GOVERNMENT TECHNOLOGY, 15 December 2004 (2004-12-15), pages 42 - 48 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105825124A (zh) * 2015-01-06 2016-08-03 中国移动通信集团广西有限公司 一种服务器非法操作的监测方法和监测系统

Also Published As

Publication number Publication date
US8850592B2 (en) 2014-09-30
JP5396314B2 (ja) 2014-01-22
JP2011186861A (ja) 2011-09-22
US20110289589A1 (en) 2011-11-24
CN102428476A (zh) 2012-04-25
EP2410459A1 (en) 2012-01-25

Similar Documents

Publication Publication Date Title
JP5525048B2 (ja) 不正操作検知方法、及び、不正操作を検知する計算機
JP5396314B2 (ja) 不正操作検知システム及び不正操作検知方法
JP5417533B2 (ja) 計算機システムの管理方法及びクライアントコンピュータ
US11997115B1 (en) Message platform for automated threat simulation, reporting, detection, and remediation
US11601450B1 (en) Suspicious message report processing and threat response
JP5576262B2 (ja) データを分類してアクセス制御を行う方法、並びに、システム
US8914892B2 (en) Method and system to enhance accuracy of a data leak prevention (DLP) system
EP3114622B1 (en) Communicating status regarding application of compliance policy updates
US20150012815A1 (en) Optimization schemes for controlling user interfaces through gesture or touch
WO2016164844A1 (en) Message report processing and threat prioritization
AU2016246074B2 (en) Message report processing and threat prioritization
US8856140B2 (en) Querying dialog prompts using hash values
US20080117449A1 (en) Method and system for recalling printed documents
US20120215908A1 (en) Method and system for detecting improper operation and computer-readable non-transitory storage medium
US8683373B2 (en) Organizing files based on download locations
CN108885603A (zh) 通过打印操作的打印接口技术不可知数据丢失防护
WO2023168319A1 (en) System and method for light data file upload prevention
Leiba Support for Internet Message Access Protocol (IMAP) Events in Sieve
JP2006099287A (ja) コンピュータシステム、セキュリティポリシー配布装置、セキュリティポリシー利用装置、セキュリティポリシー配信方法、及びプログラム
SOTO WhatsUp Gold helps keep your net from going down
Messmer Symantec pumps up handheld anti-virus products.

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201080021491.8

Country of ref document: CN

WWE Wipo information: entry into national phase

Ref document number: 12808130

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2010847357

Country of ref document: EP

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10847357

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE