JP2001282739A - コンピュータシステムの不正ログイン防御方法およびコンピュータシステム - Google Patents

Abstract

(57)【要約】 【課題】 攻撃者がパスワードを一つずつ試していく総
当たり攻撃によってパスワードを解くまでの時間を長く
し、かつ、正当なユーザが該攻撃に妨げられることなく
コンピュータシステムを利用できるようにする。 【解決手段】 ログイン対象の本来のサーバ１２０の他
に、該サーバ１２０に似せた偽サーバ１３０を設ける。
コンピュータシステム１００は、入力されたパスワード
を解析して攻撃者による攻撃であるかどうかを判定し、
攻撃者に対しては、不正なパスワード試行を何回か行わ
せた後、偽サーバ１３０にログインさせる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、コンピュータやコ
ンピュータシステム（以下、コンピュータシステムで総
称する）を利用しようとするユーザによって入力された
ユーザ固有の識別情報およびパスワードの認証処理に係
り、特にコンピュータシステムを不正に利用しようとす
る攻撃者がパスワードを一つずつ試していく総当たり攻
撃に対するコンピュータシステムの防御方式に関する。

【０００２】

【従来の技術】従来、コンピュータシステムにおいて
は、コンピュータシステムが所有するデータやアプリケ
ーションプログラムなどの資源を不正なユーザが不正使
用できないようにするため、ユーザ固有の識別情報（以
下、ユーザＩＤと呼ぶ）およびパスワードを入力させ、
これらがコンピュータシステム内にあらかじめ登録され
ている正当なユーザのユーザＩＤおよびパスワードと一
致するかどうかの認証処理を実行し、登録されていなけ
れば不正ユーザによるログイン操作であると判定して、
ログインを許可しないようにする方式が一般に採られて
いる。通常、ユーザＩＤにはユーザの名前など比較的わ
かりやすいものが選ばれ、パスワードにはユーザ一人一
人が自分にしかわからないものが選ばれる。

【０００３】このような認証処理を行って不正使用を防
止するように構成したコンピュータシステムに対し、不
正ユーザがコンピュータに不正侵入する際にとる攻撃方
法として、まず、ユーザＩＤを手に入れ、そのユーザＩ
Ｄに対してパスワードを一つずつ試していく、いわゆる
「総当たり攻撃」という方法がある。パスワードの候補
は非常に多く存在するが、「総当たり攻撃」を行うため
の処理は専用のプログラムを作成することにより自動化
できるので、不正ユーザは一秒間程度に何千、何万個も
の非常に多くのパスワードを試すことができる。このよ
うにして多くのパスワードの試行による不正ログイン操
作を許すことにより、いつかはパスワードは解かれてし
まう。

【０００４】そこで、不正ログイン操作の試行回数の上
限を設定し、不正ログイン操作が該上限を超えた場合
は、当該コンピュータシステムをロックアウト状態に遷
移させ、当該コンピュータに対するすべてのユーザのロ
グイン操作を一定期間禁止するようにしたものがある。
これをロックアウト方式と称す。これにより、侵入者は
多くのパスワードを試すことができなくなり、不正ユー
ザによるコンピュータシステムの不正使用を防止し、コ
ンピュータシステム内のデータ等の安全性を保つことが
できる。なお、ロックアウト方式については、例えば特
開平１１−１４３８３４号公報に記載されている。

【０００５】

【発明が解決しようとする課題】ロックアウト方式を採
用する際には、普通、ログイン禁止期間（ロックアウト
期間）はシステム管理者が該当コンピュータシステムの
セキュリティポリシーに沿って定めるが、比較的長い時
間であり、システム管理者がロックアウト状態を解除し
なければ二度とログインできない場合もある。よって、
ロックアウトをかけられてしまうと、正当なユーザも一
定期間、当該コンピュータシステムを利用できなくなっ
てしまう。

【０００６】また、不正ログインの際に用いられたユー
ザＩＤを所有する正当なユーザが、ログアウトをかけら
れてしまうと、一定期間、コンピュータシステムを利用
できなくなることに着目して、攻撃者が特定ユーザのユ
ーザＩＤを利用して不正ログインを試みてわざとロック
アウト状態に陥らせることによって、当該ユーザのコン
ピュータシステム利用を不可能にする攻撃を受けるおそ
れがある。

【０００７】本発明の目的は、パスワード総当たり攻撃
に対し、従来のロックアウト方式よりも正当なユーザに
とってより利便性の高いコンピュータシステムの防御方
式を提供することにある。

【０００８】

【課題を解決するための手段】前記目的を達成するため
に、本発明では、入力されたパスワードを解析して攻撃
者による攻撃であるかどうかを判定し、攻撃者に対して
はパスワード試行を何回か行わせた後、攻撃者が不正な
パスワードを入力した際には、該攻撃者が攻撃対象とす
るコンピュータ（サーバ）とは異なるコンピュータ（偽
サーバ）にログインさせる（以下、疑似ログインと呼
ぶ）方式を採用する。攻撃者が疑似ログインにかかる時
間の分、攻撃者が正しいパスワードを解くまでにかかる
時間を長くすることができる。また、攻撃者による攻撃
を受けている間も、正当なユーザは正しいパスワードを
入力することによって、コンピュータシステムの本来の
サーバを利用することができる。

【０００９】

【発明の実施の形態】以下、本発明の一実施形態につい
て図面を用いて説明する。図１は、本発明の一実施形態
におけるシステム構成のブロック図を示す。図におい
て、コンピュータシステム１００は、インターネットな
どのネットワーク１４０を通してクライアント１５０と
結ばれている。クライアント１５０は、ネットワーク１
４０上に多数存在するが、図１では便宜上、１台のみを
示す。

【００１０】コンピュータシステム１００は、クライア
ント１５０のユーザに対して各種データやアプリケーシ
ョンプログラムなどを提供するシステムであり、ゲート
ウェイ１１０、サーバ１２０、および偽サーバ１３０か
ら構成されている。ゲートウェイ１１０は、ログイン処
理、ルーティング、攻撃者行動解析、および攻撃者行動
制限を行うコンピュータであり、ゲートウェイ制御部１
１１、パスワード格納部１１２、誤入力パターン格納部
１１３、カウンタ１１４、制限行動パターン格納部１１
５、および疑似ログイン情報格納部１１６を持つ。ゲー
トウェイ制御部１１１は、ログイン、ルーティング、攻
撃者行動解析、および攻撃者行動制限などの一連の処理
を制御するためのものである。パスワード格納部１１２
は、コンピュータシステム１００のサーバ１２０を利用
する権限を持つすべてのユーザのパスワードを格納する
ためのものである。誤入力パターン格納部１１３は、パ
スワードの入力誤りのパターンを格納するためのもので
ある。カウンタ１１４は、攻撃者による攻撃の回数をカ
ウントしておくためのものであり、本実施形態では、各
ユーザごとに用意するものとする。制限行動パターン格
納部１１５は、攻撃者に対して偽サーバ１３０内におい
て制限をかける行動のパターン（以下、制限行動パター
ンと呼ぶ）を格納するためのものである。疑似ログイン
情報格納部１１６は、疑似ログイン情報を格納するため
のものである。

【００１１】図２は、疑似ログイン情報格納部１１６に
格納されている疑似ログイン情報の例を示す図である。
図２に示した例では、過去にコンピュータシステム１０
０が攻撃者に対して疑似ログインを行わせた際、攻撃者
が入力したユーザＩＤおよびパスワードが格納されてい
る。疑似ログイン情報は、コンピュータシステム１００
への侵入に成功したと思い込んだ攻撃者が、前回の攻撃
の際に用いたのと同じユーザＩＤおよびパスワードを用
いて、再びコンピュータシステム１００へ侵入を試みる
場合、ゲートウエイ１１０が当該攻撃者に対して再度疑
似ログインを行わせるために使用される。

【００１２】図１に戻り、サーバ１２０は、ユーザに対
して各種のアプリケーションプログラムなどを提供する
コンピュータであり、コンピュータシステム１００にお
ける各種の重要な情報が格納されている。図３は、サー
バ１２０に格納されている情報の例を示す図である。図
３に示した例では、コンピュータシステム１００が管理
する顧客の氏名と電話番号が格納されている。

【００１３】偽サーバ１３０は、攻撃者に対して疑似ロ
グインを行わせ、各種アプリケーションプログラムなど
を提供するためのコンピュータであり、一見コンピュー
タシステム１００における重要な情報であるかのように
見える各種の偽情報が格納されている。図４は、偽サー
バ１３０に格納されている偽情報の例を示す図である。
図４に示した例では、あたかも図３の如く、顧客の偽の
氏名と電話番号が格納されている。

【００１４】クライアント１５０は、ユーザがコンピュ
ータシステム１００を遠隔地から利用するためのクライ
アントコンピュータであり、入力部１５１、クライアン
ト制御部１５２、および表示部１５３を持つ。入力部１
５１は、ユーザが情報を入力するためのものであり、具
体的にはキーボードやマウスなどがあげられる。クライ
アント制御部１５２は、クライアント１５０からのログ
インに伴う一連の処理を制御するためのものである。表
示部１５３は、ユーザに対して情報を表示するためのも
のであり、具体的にはディスプレイが例としてあげられ
る。

【００１５】本実施形態では、ユーザがクライアント１
５０を使用して、遠隔地からコンピュータシステム１０
０のサーバ１２０にログインする状況を対象としてい
る。

【００１６】図５は、本実施形態におけるログイン処理
の全体的フローチャートを示すものである。以下、これ
にしたがって説明する。コンピュータシステム１００の
サーバ１２０を遠隔地から利用したいユーザは、クライ
アント１５０の入力部１５１から、サーバ１２０へのロ
グイン要求を入力する（ステップ５０１）。ログイン要
求が入力されると、クライアント制御部１５２は、該ロ
グイン要求をコンピュータシステム１００へ送信する
（ステップ５０２）。コンピュータシステム１００で
は、ログイン要求をネットワーク１４０を経由して受信
すると、ゲートウェイ制御部１１１が、パスワードを暗
号化するための鍵であるセッション鍵を生成する（ステ
ップ５０３）。セッション鍵は、ログイン要求のたびに
毎回異なる値をランダムに生成するようにする。セッシ
ョン鍵を生成すると、ゲートウェイ制御部１１１は、該
セッション鍵およびログイン画面情報をクライアント１
５０へ送信する（ステップ５０４）。クライアント１５
０側では、セッション鍵およびログイン画面情報をネッ
トワーク１４０を経由して受信すると、クライアント制
御部１５２が、ログイン画面情報に基づいてログイン画
面を表示部１５３に表示する（ステップ５０５）。

【００１７】図６は、ステップ５０５においてクライア
ント１５０の表示部１５３に表示されるログイン画面の
一例を示している。図において、６０１はユーザＩＤ入
力領域、６０２はパスワード入力領域である。

【００１８】ログイン画面が表示されると、ユーザは、
あらかじめ定められたユーザＩＤとパスワードを入力部
１５１から入力する（ステップ５０６）。ユーザＩＤと
パスワードが入力されると、クライアント制御部１５２
は、所定の暗号アルゴリズムを用いて、該パスワードを
受信したセッション鍵で暗号化する（ステップ５０
７）。なお、暗号アルゴリズムは、本発明で問うところ
のものではなく、任意のアルゴリズムでよい。パスワー
ドを暗号化すると、クライアント制御部１５２は、先に
入力されたユーザＩＤおよび暗号化されたパスワードを
コンピュータシステム１００へ送信する（ステップ５０
８）。

【００１９】コンピュータシステム１００では、ユーザ
ＩＤおよび暗号化パスワードをネットワーク１４０を経
由して受信すると、ゲートウェイ制御部１１１にて、ユ
ーザＩＤおよびパスワードの正当性を判定して、正当で
ある場合には、当該ユーザに対してサーバ１２０へのロ
グインを許可し、正当でない場合には該ログインを不許
可とする（ステップ５０９）。

【００２０】図７は、図５のステップ５０９の詳細を示
すフローチャートである。ユーザＩＤおよび暗号化パス
ワードをネットワーク１４０を経由して受信すると、ゲ
ートウェイ制御部１１１は、該暗号化パスワードをセッ
ション鍵で復号する（ステップ７０１）。暗号化パスワ
ードを復号すると、ゲートウェイ制御部１１１は、受信
されたユーザＩＤに対応する正当なパスワードをパスワ
ード格納部１１２から取り出し、復号したパスワード
が、当該正当なパスワードと一致するかどうかを比較す
る（ステップ７０２）。パスワード格納部１１２内のパ
スワードは、所定の暗号アルゴリズムによって暗号化さ
れており、外部のユーザが解読できないように保護され
ている。ステップ７０２において、パスワードが一致す
る場合、ゲートウェイ制御部１１１は、ログイン要求を
してきたユーザをサーバ１２０を利用する権限を持つ正
当なユーザであるとみなし、該ユーザがサーバ１２０に
ログインすることを許可する（ステップ７０７）。ログ
インを許可すると、ゲートウェイ制御部１１１は、該ユ
ーザのユーザＩＤをサーバ１２０へ送信し、クライアン
ト１５０とサーバ１２０との間の通信を中継する。

【００２１】図８は、図７のステップ７０７におけるロ
グイン成功画面の例を示す図である。ログインを許可さ
れたユーザは、クライアント１５０からネットワーク１
４０を通じて、コンピュータシステム１００のサーバ１
２０が提供する各種データやアプリケーションプログラ
ムなどを、前記ユーザが持つ権限の範囲内で利用するこ
とができる。

【００２２】一方、ステップ７０２において、パスワー
ドが一致しない場合、ゲートウェイ制御部１１１は、疑
似ログイン情報格納部１１６から疑似ログイン情報を取
り出し、受信したユーザＩＤおよび復号したパスワード
が、該疑似ログイン情報内のユーザＩＤおよびパスワー
ドと一致するかどうかを比較する（ステップ７０３）。
ステップ７０３において、パスワードが一致する場合、
ステップ７１１に進んで疑似ログイン処理を行う。これ
の詳細は後述する。

【００２３】ステップ７０３において、パスワードが一
致しない場合、ゲートウェイ制御部１１１は、誤入力パ
ターン格納部１１３から誤入力パターンを取り出し、復
号したパスワードが正当なパスワードの誤入力パターン
と一致するかどうかを比較する（ステップ７０４）。

【００２４】図９は、誤入力パターン格納部１１３に格
納されている誤入力パターンの例を示す図である。図９
に示した例では、正しいパスワードの誤入力パターンと
して、９０１の「間違えて隣のキーを打ってしまう」、
９０２「大文字と小文字を間違える」、および、９０３
の「間に余計なキーを打ってしまう」など、正しいパス
ワードを知っている正当なユーザが誤って入力する場合
として考えられるパターンがあげられている。

【００２５】図１０は、図７のステップ７０４における
誤入力パターン一致判定の例を示す図である。図１０に
示す例では、正しいパスワードは「ｋｏｎ２ｃｈｉ＝」
であり、復号したパスワードは「ｋｏｍ２ｃｈｉ」とな
っている。この場合、正しいパスワードと復号したパス
ワードとの違いは、３文字目の「ｎ」と「ｍ」の部分だ
けである。通常、コンピュータのキーボードの配列で
は、「ｎ」のキーと「ｍ」のキーは隣同士になってい
る。よってこの例の場合においては、ゲートウェイ制御
部１１１は、図９の誤入力パターンのうちの、９０１の
「間違えて隣のキーを打ってしまう」に一致するものと
判定する。

【００２６】ステップ７０４において、誤入力パターン
と一致する場合、ゲートウェイ制御部１１１は、サーバ
１２０を利用する権限を持つ正当なユーザがパスワード
を誤って入力したものとみなし、ログイン失敗画面情報
をクライアント１５０へ送信して、ユーザがサーバ１２
０にログインすることを拒絶する。

【００２７】クライアント１５０では、ログイン失敗画
面情報をネットワーク１４０を経由して受信すると、ク
ライアント制御部１５２は、ログイン失敗画面情報に基
づいてログイン失敗画面を表示部１５３に表示する（ス
テップ７０８）。図１１は、ステップ７０８におけるロ
グイン失敗画面の例を示す。ログイン失敗画面が表示さ
れると、ユーザは、あらためてユーザＩＤとパスワード
を入力部１５１から入力する。すなわち、図５のステッ
プ５０６から処理を再開する。

【００２８】図７に戻り、ステップ７０４において、誤
入力パターンと一致しない場合、ゲートウェイ制御部１
１１は、攻撃者が総当たり攻撃においてパスワードをラ
ンダムに入力したものとみなし、該攻撃者が用いたユー
ザＩＤに対応するカウンタ１１４の値に１を加える（ス
テップ７０５）。カウンタ１１４の値を加算すると、ゲ
ートウェイ制御部１１１は、該カウンタ１１４の値が各
ユーザごとにあらかじめ設定しておいたしきい値Ｎｕに
達しているかどうかを判定する（ステップ７０６）。カ
ウンタ１１４の値がＮｕに達していない場合は、ステッ
プ７０８に進み、ゲートウェイ制御部１１１はログイン
を拒絶する。カウンタ１１４の値がＮｕに達している場
合は、ゲートウェイ制御部１１１は、攻撃者が用いたユ
ーザＩＤおよび復号後パスワード等から構成される疑似
ログイン情報を、疑似ログイン情報格納部１１６へ追加
し（ステップ７０９）、すべてのユーザについてカウン
タ１１４の値を０にクリアした後（ステップ７１０）、
該攻撃者がログインを要求しているサーバ１２０とは異
なる、偽サーバ１３０にログインすることを許可する
（ステップ７１１）。ログインを許可すると、ゲートウ
ェイ制御部１１１は、前記攻撃者が用いたユーザＩＤを
偽サーバ１３０へ送信し、クライアント１５０と偽サー
バ１３０との間の通信を中継して、該攻撃者の行動を監
視する。

【００２９】以上説明したように、ゲートウェイ制御部
１１１は、正当なユーザが関与するクライアントとサー
バ１２０の通信と、攻撃者が関与するクライアントと偽
サーバ１３０の通信との両方を中継する。ゲートウェイ
制御部１１１は、中継している通信に関与している者が
正当なユーザであるか、あるいは攻撃者であるかを、擬
似ログイン情報格納部１１６の擬似ログイン情報で把握
できる。ゲートウェイ制御部１１１は、正当なユーザが
関与する通信に対しては、中継の際に特に制限を設けな
い。

【００３０】図１２は、図７のステップ７１１における
疑似ログイン画面の一例を示す。図１２は、図８のログ
イン成功画面と一見変わらないものである。ログインを
許可された攻撃者は、クライアントからネットワーク１
４０を通じて、コンピュータシステム１００の偽サーバ
１３０が提供する各種データやアプリケーションプログ
ラムなどを、後述の制限行動パターンに触れない範囲で
利用することができる。よって、当分の間は攻撃者に対
してあたかもサーバ１２０のログインに成功したかのよ
うに思い込ませることができる。

【００３１】ここで、しきい値Ｎｕを設定する理由を説
明する。正当なユーザに対しては、ログイン時に正しい
パスワードを入力しようとすることを当然期待できる
が、正当なユーザがログイン時に正しいパスワードとは
無関係な文字列を入力してしまう可能性を完全には否定
できない。このため、ステップ７０４において、たとえ
誤入力パターンと一致しないからといって即座に疑似ロ
グインを行わせてしまうと、正当なユーザに対して、偽
サーバ１３０にログインさせてしまう可能性がある。ま
た、攻撃者に対しては、一回目の攻撃でログインが成功
したように見せかけることになるため、攻撃者に完全に
怪しまれてしまう。よって、ある程度大きなしきい値Ｎ
ｕを設定する必要がある。しかしながら、しきい値Ｎｕ
をあまり大きくし過ぎると、前記しきい値Ｎｕに達する
前に攻撃者が正しいパスワードを当ててしまい、サーバ
１２０にログインしてしまう可能性が高くなる。しきい
値Ｎｕを設定する際には、このような事情を勘案した上
で適切な値を設定すべきである。

【００３２】次に、ステップ７１０において、カウンタ
１１４の値をすべてのユーザについてクリアする理由を
説明する。ある攻撃者が疑似ログインを行った後、該攻
撃者とは別の攻撃者がコンピュータシステム１００へ侵
入を試みる可能性が考えられる。このとき、カウンタ１
１４の値をすべてのユーザについてクリアしておかない
と、後から侵入を試みる攻撃者は、しきい値Ｎｕ以下の
回数のパスワード試行で疑似ログインできてしまう。こ
のため、カウンタ１１４の値をすべてのユーザについて
クリアする必要がある。

【００３３】上で述べた複数の攻撃者に対処する方法と
しては、カウンタ１１４を攻撃者ごとに用意することも
考えられる。一般的に、コンピュータシステムに対する
複数の攻撃が同一の者による攻撃か、あるいは別々の者
による攻撃かを判別することは難しいが、判別法の例と
しては、同一のＩＰアドレスから行われた攻撃を同一者
からの攻撃とみなす方法や、同一時間帯に行われた攻撃
を同一者からの攻撃とみなす方法が挙げられる。

【００３４】また、攻撃側は、複数の攻撃者が同一時間
帯に、それぞれ異なるＩＤを利用して一斉に攻撃をかけ
てくることが想定される（グループ攻撃）。これに対処
するには、カウンタ１１４に各ユーザに共通のカウンタ
を用意し、複数の攻撃者による一定時間内の不正パスワ
ード入力回数を該カウンタでカウントし、該カウント値
が所定の値に達した場合にグループ攻撃と判断して偽サ
ーバ１３０にログインを許可するようにする。あるい
は、コンピュータシステム１００を一定期間ロックアウ
トする。

【００３５】次に、図７のステップ７１１における疑似
ログイン後の攻撃者の行動監視について詳述する。図１
３は、この擬似ログイン後の攻撃者の行動監視の処理を
示すフローチャートである。

【００３６】擬似ログインした攻撃者は、クライアント
１５０の入力部１５１から、コンピュータシステム１０
０のサーバ１２０を対象にコマンドを入力する（ステッ
プ１３０１）。コマンドが入力されると、クライアント
制御部１５２は、該コマンドをコンピュータシステム１
００へ送信する（ステップ１３０２）。

【００３７】コンピュータシステム１００では、クライ
アント１５０からコマンドをネットワーク１４０を経由
して受信すると、ゲートウェイ制御部１１１は、該コマ
ンドを解析し、該コマンドによって攻撃者が行おうとす
る行動が、制限行動パターン格納部１１５に格納されて
いる制限行動パターンと一致するかどうかを比較する
（ステップ１３０３）。

【００３８】図１４は、制限行動パターン格納部１１５
に格納されている制限行動パターンの例を示す図であ
る。図１４に示した例では、制限行動パターンとして、
１４０１の「特権ユーザになろうとする」、および１４
０２の「他のコンピュータにログインしようとする」な
どの、攻撃者に対して偽サーバ１３０内において制限を
かける行動のパターンがあげられている。なお、制限行
動パターンは、コンピュータシステム１００内のセキュ
リティポリシーに応じて設定する。

【００３９】図１５は、図１３のステップ１３０３にお
ける制限行動パターン一致判定の一例を示す図である。
図１５に示す例では、ゲートウェイ制御部１１１は、
「ｓｕ」というコマンドを受信すると、該コマンドを解
析して、図１４の制限行動パターンのうちの、１４０１
の「特権ユーザになろうとする」の一致するものと判定
している。

【００４０】図１３に戻り、ステップ１３０３におい
て、制限行動パターンと一致する場合、ゲートウェイ制
御部１１１は、入力されたコマンドを偽サーバ１３０に
中継することなく、該コマンドに応じたコマンド失敗応
答をクライアント１５０へ返す。クライアント１５０で
は、コマンド失敗応答をネットワーク１４０を経由して
受信すると、クライアント制御部１５２は、該コマンド
失敗応答に基づいてコマンド失敗画面を表示部１５３に
表示する（ステップ１３０４）。

【００４１】図１６は、ステップ１３０３において、図
１４の制限行動パターンの「特権ユーザになろうとす
る」１４０１に一致した場合の、ステップ１３０４にお
けるコマンド失敗画面の例を示す図である。図１６に示
した例では、攻撃者が特権ユーザになろうとしてコマン
ドとパスワードを入力したものの、該特権ユーザになる
ことに失敗した状況が表わされている。

【００４２】なお、本実施形態におけるコンピュータシ
ステム１００では、ユーザが遠隔地にあるクライアント
１５０から特権ユーザのユーザＩＤとパスワードを入力
して直接ログインすることを禁止するものとする。

【００４３】図１７は、ステップ１３０３において、図
１４の制限行動パターンの「他のコンピュータにログイ
ンしようとする」１４０２に一致した場合の、ステップ
１３０４におけるコマンド失敗画面の例を示す図であ
る。図１７に示した例では、攻撃者が他のコンピュータ
にログインしようとしてコマンドを入力したものの、何
の応答も返ってこない状況が表わされている。図１７に
示したように、攻撃者が入力したコマンドによっては、
クライアント１５０に何の応答も返ってこない場合があ
る。すなわち、ステップ１３０４におけるコマンド失敗
応答には、ゲートウェイ制御部１１１がクライアント１
５０へ何の応答も返さない場合も含んでいる。

【００４４】再び図１３に戻り、ステップ１３０３にお
いて、制限行動パターンと一致しない場合、ゲートウェ
イ制御部１１１は、受信したコマンドを偽サーバ１３０
へ中継する（ステップ１３０５）。以上で説明したよう
に、コンピュータシステム１００は、攻撃者に対しては
疑似ログインを行わせて、偽サーバ１３０が提供する各
種データやアプリケーションプログラムなどを、制限行
動パターンに触れない範囲で自由に利用させる。コンピ
ュータシステム１００内における重要な情報はサーバ１
２０の方に格納してあり、かつコンピュータシステム１
００内のセキュリティポリシーに応じた制限行動パター
ンを設定してあるので、コンピュータシステム１００が
疑似ログインをさせた攻撃者によって致命的な被害を受
けることはない。

【００４５】侵入に成功したと思い込んだ攻撃者は、前
回の攻撃の際に用いたのと同じユーザＩＤおよびパスワ
ードを用いて、再度、コンピュータシステム１００へ侵
入を試みることが考えられる。その場合、コンピュータ
システム１００は、図７のステップ７０３からステップ
７１１を経由して、攻撃者に対して再び疑似ログインを
行わせることになる。しかしながら、やがて攻撃者は自
分が侵入しているコンピュータが攻撃目標であるサーバ
１２０ではないことに気付き、一旦ログアウトして再び
ユーザＩＤおよびパスワードを変えて総当たり攻撃を仕
掛けてくるかもしれない。そのときは、疑似ログインに
用いるしきい値Ｎｕと、偽サーバ１３０に格納する偽情
報の内容を変えておく。さらに、疑似ログイン情報格納
部１１６に格納してある疑似ログイン情報の内容を消去
し、以前の疑似ログイン時のユーザＩＤおよびパスワー
ドでは再び疑似ログインできないようにしておく。

【００４６】しきい値Ｎｕを変えておかないと、攻撃者
は前回と同じ回数のパスワード試行でログインすること
になり、疑似ログインさせられていることが簡単に判明
してしまう。また、以前の疑似ログイン時のユーザＩＤ
およびパスワードで再び疑似ログインできたままにして
おくのも問題がある。攻撃者はＮｕ回のパスワード入力
によって疑似ログインした場合でも、以前の疑似ログイ
ン時のパスワードを入力することで疑似ログインした場
合でも、どちらでも偽サーバ１３０内の偽情報を閲覧で
きることになる。攻撃者は前記攻撃を両方試みることに
よって、どちらの場合でもログイン先のコンピュータ内
の情報が同一の内容であることを確認できるため、やは
り疑似ログインさせられていることが判明してしまう。
しきい値Ｎｕと偽情報の内容を変え、以前の疑似ログイ
ン時のユーザＩＤおよびパスワードでは再び疑似ログイ
ンできないようにしておけば、再び偽サーバ１３０に疑
似ログインしてきた攻撃者は疑心暗鬼に陥り、自分がロ
グインしたコンピュータが本物のサーバ１２０かどうか
わからなくなることが期待できる。このようにして、パ
スワードの総当たり攻撃を仕掛けてくる攻撃者に対し
て、パスワードを解くまでの時間を稼ぐことができる。

【００４７】以上、本発明の一実施の形態について説明
したが、本発明の疑似ログイン方式は、従来のロックア
ウト方式と併用することも可能である。併用した場合、
どちらかの方式を単独で採用した場合に比べて、攻撃者
は、疑似ログインあるいはロックアウトにかかる時間の
分だけパスワードを解くのに時間がかかることになる。
このため、コンピュータシステムがより安全になるもの
と考えられる。

【００４８】

【発明の効果】以上説明したように、本発明によれば、
コンピュータシステムを不正に利用しようとする攻撃者
が総当たり攻撃によってパスワードを解くまでの時間を
長くし、かつ、正当なユーザが攻撃者の攻撃に妨げられ
ることなくコンピュータシステムを利用することができ
る。

【図面の簡単な説明】

【図１】本発明のの一実施形態におけるシステム構成の
ブロック図である。

【図２】図１の疑似ログイン情報格納部に格納されてい
る疑似ログイン情報の一例を示す図である。

【図３】図１のサーバに格納されている情報の一例を示
す図である。

【図４】図１の偽サーバ１３０に格納されている偽情報
の一例を示す図である。

【図５】本発明の一実施形態におけるログイン処理の全
体的フローチャートである。

【図６】図５のステップ５０５におけるログイン画面の
一例を示す図である。

【図７】図５のステップ５０９の詳細を示すフローチャ
ートである。

【図８】図７のステップ７０７におけるログイン成功画
面の一例を示す図である。

【図９】図１の誤入力パターン格納部１１３に格納され
ている誤入力パターンの一例を示す図である。

【図１０】図７のステップ７０４における誤入力パター
ン一致判定の一例を示す図である。

【図１１】図７のステップ７０８におけるログイン失敗
画面の一例を示す図である。

【図１２】図７のステップ７１１における疑似ログイン
画面の一例を示す図である。

【図１３】図７のステップ７１１における疑似ログイン
後の攻撃者行動監視の処理を示すフローチャートであ
る。

【図１４】図１の制限行動パターン格納部１１５に格納
されている制限行動パターンの一例を示す図である。

【図１５】図１３のステップ１３０３における制限行動
パターン一致判定の一例を示す図である。

【図１６】図１３のステップ１３０４におけるコマンド
失敗画面の一例を示す図である。

【図１７】図１３のステップ１３０４におけるコマンド
失敗画面の他の例を示す図である。

【符号の説明】

１００ コンピュータシステム １１０ ゲートウェイ １１１ ゲートウェイ制御部 １１２ パスワード格納部 １１３ 誤入力パターン格納部 １１４ カウンタ １１５ 禁止行動パターン格納部 １１６ 疑似ログイン情報格納部 １２０ サーバ １３０ 偽サーバ １４０ ネットワーク １５０ クライアント １５１ 入力部 １５２ クライアント制御部 １５３ 表示部

フロントページの続き (72)発明者 鮫島 吉喜 神奈川県横浜市中区尾上町６丁目81番地 日立ソフトウエアエンジニアリング株式会 社内 Ｆターム(参考） 5B076 FB20 5B085 AE02 AE03 BC01 BC02 BG07 5J104 AA07 AA41 KA01 KA07 NA05 PA07 9A001 EE03 LL03

Claims (4)

【特許請求の範囲】
1. 【請求項１】 入力されたユーザ固有の識別情報および
   パスワードを認証して、正当なユーザにログインを許可
   するコンピュータシステムにおける不正ログイン防御方
   法であって、 入力されたパスワードを解析して、コンピュータシステ
   ムを不正に利用しようとする攻撃者が入力したパスワー
   ドであるかどうか判断し、 前記攻撃者によるパスワード入力回数をカウントして、
   前記入力回数が所定の値に達した場合に、攻撃者に対し
   て偽のログインを許可する、ことを特徴とするコンピュ
   ータシステムの不正ログイン防御方法。
2. 【請求項２】 請求項１記載のコンピュータシステムの
   不正ログイン防御方法において、 複数の攻撃者による所定時間内のパスワード入力回数を
   カウントし、前記入力回数が所定の値に達した場合に、
   各攻撃者に対して偽のログインを許可する、ことを特徴
   とするコンピュータシステムの不正ログイン防御方法。
3. 【請求項３】 入力されたユーザ固有の識別情報および
   パスワードを認証して、正当なユーザにログインを許可
   するコンピュータシステムにおいて、 各種有用な情報を格納し、各種アプリケーションプログ
   ラムを提供する第一のサーバと、 前記第一のサーバに格納された情報に似せた無用な偽情
   報を格納し、各種アプリケーションプログラムを提供す
   る第二のサーバと、 コンピュータシステムを利用する権限を持つユーザのパ
   スワードを格納する手段と、 ユーザがパスワードを入力する際に想定される入力誤り
   のパターンを格納する手段と、 入力された識別情報およびパスワードが正当である場合
   には、該識別情報およびパスワードを入力したユーザに
   対して前記第一のサーバを利用することを許可する手段
   と、 入力された識別情報およびパスワードが正当でなく、か
   つ、入力されたパスワードが前記入力誤りのパターンと
   一致しない場合には、前記入力されたパスワードは、コ
   ンピュータシステムを不正に利用しようとする攻撃者が
   入力したパスワードであると判断する手段と、 前記コンピュータシステムを不正に利用しようとする攻
   撃者によるパスワード入力回数をカウントする手段と、 前記パスワード入力回数が所定の値に達した場合には、
   前記攻撃者に対して前記第二のサーバを利用することを
   許可する手段と、を有することを特徴とするコンピュー
   タシステム。
4. 【請求項４】 請求項３記載のコンピュータシステムに
   おいて、 第二のサーバを利用する攻撃者に対して制限をかける行
   動のパターンを格納する手段と、 攻撃者の行動が前記制限をかける行動のパターンに一致
   した場合には、前記攻撃者の行動に制限をかける手段
   と、を有することを特徴とするコンピュータシステム。