JP2002334061A - 不正アクセス監視システムおよびそのプログラム - Google Patents

Abstract

(57)【要約】 【課題】 大量のアクセス情報より自動で不正アクセス
を特定できる不正アクセス監視システムおよびそのプロ
グラムを提供する。 【解決手段】 不正アクセス情報データベース２２ａ
は、不正アクセス情報を逐次格納する。同一者判定処理
部２４は、不正アクセス情報データベース２２ａを参照
し、不正アクセス情報間において、所定の項目に関する
一致の度合を基に同一者による不正アクセス情報かを判
定する。判断条件データベース２３ｂは、予め不正アク
セス行為の判断条件を格納する。不正者判別処理部２５
は、同一者判定処理部２４が同一者と判定した複数の不
正アクセス情報に対し、判断条件データベース２３ｂの
判断条件を参照して不正アクセス行為であるか判断し、
該同一者が不正者であるか判別する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、ネットワークを
介したコンピュータシステムへの不正なアクセスを監視
する不正アクセス監視システムおよびそのプログラムに
関するものである。

【０００２】

【従来の技術】近年、インターネットの普及により、コ
ンピュータ・システムヘのハッキングにより、情報搾
取、欺瞞及びサービス妨害などの情報資源（情報と情報
システム）への攻撃を目的とする不正アクセスは、一般
に侵入検知装置による検知情報やファイアウォールへの
アクセス履歴情報を含むアクセス情報を解読する事によ
り確認を行っていた。

【０００３】

【発明が解決しようとする課題】上述したように、従来
は大量のアクセス情報を解読し、関連付けを行い、不正
アクセスを特定し、攻撃対象や目的を推測していたが、
専門のエンジニアでも極めて高度な技術スキルが必要で
あるため、自動で不正アクセスを特定するシステムの要
求があった。また、専門のエンジニアが状況を理解出来
たとしても、専門のエンジニアは正しい状況を、危機管
理における意思決定権者に的確に伝達できるとは限らな
い。それは、意思決定権者は、一般にコンピュータシス
テムについて非専門家であるからである。更には、組織
的で複雑な不正アクセスによる攻撃も行われており、よ
り状況理解が困難になって来ている。そこで、情報資産
の損失により被る経済的、社会的被害の評価や対処策の
判断を非専門家でも的確に把握できるよう、複雑な状況
理解を支援するシステムの要求があった。

【０００４】この発明は、上述した事情を考慮してなさ
れたもので、大量のアクセス情報より自動で不正アクセ
スを特定できる不正アクセス監視システムおよびそのプ
ログラムを提供することを目的とする。また、組織的で
複雑な不正アクセスによる攻撃の状況理解を支援する不
正アクセス監視システムおよびそのプログラムを提供す
ることを目的とする。

【０００５】

【課題を解決するための手段】この発明は、上述した課
題を解決すべくなされたもので、本発明による不正アク
セス監視システムにおいては、ネットワークを介したコ
ンピュータシステムへのアクセスを監視するアクセス監
視装置より、不正アクセスまたは不正アクセスの可能性
のあるアクセスに関する情報を、不正アクセス情報とし
て逐次受信する不正アクセス監視システムであって、不
正アクセス情報を逐次格納する不正アクセス情報データ
ベースと、不正アクセス情報データベースを参照し、不
正アクセス情報間において、所定の項目に関する一致の
度合を基に同一者による不正アクセス情報かを判定する
同一者判定手段と、予め不正アクセス行為の判断条件を
格納する判断条件データベースと、同一者判定手段が同
一者と判定した複数の不正アクセス情報に対し、判断条
件データベースの判断条件を参照して不正アクセス行為
であるか判断し、該同一者が不正者であるか判別する不
正者判別手段とを具備することを特徴とする。

【０００６】これにより、不正アクセス情報を逐次格納
する不正アクセス情報データベースと、不正アクセス情
報データベースを参照し、不正アクセス情報間におい
て、所定の項目に関する一致の度合を基に同一者による
不正アクセス情報かを判定する同一者判定手段と、予め
不正アクセス行為の判断条件を格納する判断条件データ
ベースと、同一者判定手段が同一者と判定した複数の不
正アクセス情報に対し、判断条件データベースの判断条
件を参照して不正アクセス行為であるか判断し、該同一
者が不正者であるか判別する不正者判別手段とを具備す
るので、逐次増加する不正アクセス情報について、同一
者によるものを判定し、更に、同一者による複数の不正
アクセス情報（不正アクセスである可能性がある不正ア
クセス情報を含む）を基に、時間的変化を考慮して本当
に不正アクセス行為であるかを判別し、不正者を判別す
ることができる。

【０００７】また、本発明による不正アクセス監視シス
テムにおいては、上記同一者判定手段は、不正アクセス
情報間において、該不正アクセス情報に含まれる同種の
項目毎に情報の一致度を算出し、各項目に予め定めた重
み付け係数と一致度の積の和を求め、該和の値と所定の
値との比較により、同一者による不正アクセス情報を判
定することを特徴とする。

【０００８】これにより、同一者判定手段は、不正アク
セス情報間において、該不正アクセス情報に含まれる同
種の項目毎に情報の一致度を算出し、各項目に予め定め
た重み付け係数と一致度の積の和を求め、該和の値と所
定の値との比較により、同一者による不正アクセス情報
を判定するので、同一者であるか判断するための項目に
ついて、その時々の不正アクセスの手口や手法の傾向を
考慮して、重み付け係数を変更し、より精度良く同一者
を判定することができる。

【０００９】また、本発明による不正アクセス監視シス
テムにおいては、上記不正者判別手段において、不正ア
クセス行為が、正規利用者のＩＤを用いたパスワード解
析行為と判断された場合、該正規利用者および／または
所定の連絡先へ、警戒を促す警報情報を送信する警報情
報送信手段を更に具備することを特徴とする。

【００１０】これにより、不正者判別手段において、不
正アクセス行為が、正規利用者のＩＤを用いたパスワー
ド解析行為と判断された場合、該正規利用者および／ま
たは所定の連絡先へ、警戒を促す警報情報を送信する警
報情報送信手段を更に具備するので、不正者によるパス
ワード解析行為の対象となっている正規利用者や、該正
規利用者が利用する端末を管理するネットワーク管理者
など所定の連絡先へ電子メールなどで警戒を促す警報情
報を送信することができる。

【００１１】また、本発明による不正アクセス監視シス
テムにおいては、上記同一者による不正アクセス情報
を、該同一者の識別情報に関連付けて格納する不正者情
報データベースと、上記コンピュータシステムに関する
ネットワークの構成情報であるネットワーク地図情報を
格納するシステム情報データベースと、不正アクセス情
報データベースと、システム情報データベースを参照し
て、ネットワーク地図と不正アクセスとの関係を示す不
正アクセス状況図を作成する不正アクセス状況図作成手
段とを更に具備することを特徴とする。

【００１２】これにより、同一者による不正アクセス情
報を、該同一者の識別情報に関連付けて格納する不正者
情報データベースと、上記コンピュータシステムに関す
るネットワークの構成情報であるネットワーク地図情報
を格納するシステム情報データベースと、不正アクセス
情報データベースと、システム情報データベースを参照
して、ネットワーク地図と不正アクセスとの関係を示す
不正アクセス状況図を作成する不正アクセス状況図作成
手段とを更に具備するので、利用者へ視覚的に不正アク
セスの状況を把握できる不正アクセス状況図を提示でき
る。

【００１３】また、本発明によるプログラムにおいて
は、ネットワークを介したコンピュータシステムへのア
クセスを監視するアクセス監視装置より、不正アクセス
または不正アクセスの可能性のあるアクセスに関する情
報を、不正アクセス情報として逐次受信する不正アクセ
ス監視システム用のプログラムであって、不正アクセス
情報を逐次格納する不正アクセス情報データベースを参
照し、不正アクセス情報間において、所定の項目に関す
る一致の度合を基に同一者による不正アクセス情報かを
判定するステップと、同一者判定手段が同一者と判定し
た複数の不正アクセス情報に対し、予め不正アクセス行
為の判断条件を格納する判断条件データベースの判断条
件を参照して不正アクセス行為であるか判断し、該同一
者が不正者であるか判別するステップとをコンピュータ
に実行させるためのプログラムである。

【００１４】また、本発明によるプログラムにおいて
は、上記同一者による不正アクセス情報を、該同一者の
識別情報に関連付けて格納する不正者情報データベース
と、コンピュータシステムに関するネットワークの構成
情報であるネットワーク地図情報を格納するシステム情
報データベースとを参照して、ネットワーク地図と不正
アクセスとの関係を示す不正アクセス状況図を作成する
ステップを更にコンピュータに実行させるためのプログ
ラムである。

【００１５】

【発明の実施の形態】以下、発明の実施の形態を通じて
本発明を説明する。ただし、以下の実施の形態は特許請
求の範囲に記載された発明を限定するものではなく、ま
た実施の形態の中で説明されている特徴の組み合わせの
すべてが発明の解決手段に必要であるとは限らない。ま
ず、本発明の一実施形態による不正アクセス監視システ
ムを含むシステムの全体構成について、該システムの一
例を示す図を用いて説明する。図１は、本発明の一実施
形態による不正アクセス監視システムを含むシステムの
全体構成を示すブロック図である。この図において符号
１０は、ネットワーク１１へ接続可能な端末Ａ、端末
Ｂ、端末Ｃ、…（以下、端末１０とする）である。１２
は、外部からの不正アクセスを防ぐためのファイアウォ
ール１３を介してネットワーク１１へ接続するＬＡＮ
（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）１４を備え
るコンピュータシステムである。尚、端末１０の中に
は、悪意をもってコンピュータシステム１２へアクセス
してくる者が操作する端末も含まれる。

【００１６】また、コンピュータシステム１２は、不正
アクセスを監視するため以下に示す装置やシステムも具
備する。１５は、ファイアウォール１３やＬＡＮ１４を
構築するサーバ群へのアクセスにおいて、怪しい振る舞
い（不正侵入の目的でよく行われる行為）を検出する侵
入検知装置である。尚、上記の不正侵入の目的で良く行
われる行為の具体例としては、侵入しようとするサーバ
のポートを探知するポートスキャンなどがある。

【００１７】１６は、ファイアウォール１３からのアク
セス履歴情報と、侵入検知装置１５からの検知情報とを
含むアクセス情報を受信し、不正アクセスまたは、不正
アクセスである可能性のあるアクセスに関する不正アク
セス情報を出力するアクセス監視装置である。１７は、
アクセス監視装置１６より不正アクセス情報を受信し、
同一者による不正アクセスを特定し、時系列で該不正ア
クセスに関する情報を管理し、コンピュータシステム１
２に対する不正アクセス状況を示す情報を出力する不正
アクセス監視システムである。尚、不正アクセス監視シ
ステム１７が備える他の機能を含めた詳細な構成は後述
する。

【００１８】以上の構成により、悪意のある者が操作す
る端末１０より、ネットワーク１１を介してコンピュー
タシステム１２に不正侵入を試みるためのアクセスが行
われた場合、不正侵入を試みる行為を侵入検知装置１５
が検知して、該検知情報を出力する。アクセス監視装置
１６は、該検知情報とファイアウォール１３より受信し
たアクセス履歴情報とを含む不正アクセス情報を、不正
アクセス監視システム１７へ送信する。不正アクセス監
視システム１７では、該不正アクセス情報を受信し、同
一者による不正アクセスを特定し、時系列で該不正アク
セスに関する情報を管理し、コンピュータシステム１２
に対する不正アクセス状況を示す情報を適時出力する。

【００１９】次に、不正アクセス監視システム１７の内
部構成について図を用いて説明する。図２は、本発明の
一実施形態による不正アクセス監視システム１７の概略
構成を示すブロック図である。この図において符号２０
は、不正アクセス監視システム内のデータを制御する制
御部である。２１は、アクセス監視装置１６より不正ア
クセス情報を受信する受信処理部である。２２は、不正
アクセス情報を格納する不正アクセス情報データベース
２２ａと、ＬＡＮ１４およびファイアウォール１３を含
むコンピュータシステム１２内のネットワークの構成情
報であるネットワーク地図情報を格納するシステム情報
データベース２２ｂとを具備する分析用データベースで
ある。２２’は、過去のアクセス履歴情報を基に不正ア
クセス者に共通の行動と判断する不正アクセス情報を、
不正アクセス情報データベース２２ａに格納される不正
アクセス情報より抽出する不正アクセス情報分析部であ
る。

【００２０】２３は、同一者による不正アクセス情報
を、該同一者の識別情報に関連付けて格納する不正者情
報データベース２３ａと、予め不正アクセス行為の判断
条件を格納する判断条件データベース２３ｂとを具備す
る管理用データベースである。尚、不正者情報データベ
ース２３ａには、その時点で同一者による他の不正アク
セス情報があると判断できないが、不正アクセス情報分
析部２２’が抽出した不正アクセス情報を更に格納す
る。２４は、不正アクセス情報データベース２２ａを参
照し、不正アクセス情報間において、該不正アクセス情
報に含まれる同種の項目毎に情報の一致度を算出し、各
項目に予め定めた重み付け係数と一致度の積の和を求
め、該和の値と所定の値との比較により、同一者による
不正アクセス情報かを判定する同一者判定処理部であ
る。

【００２１】２５は、同一者判定処理部２４が同一者と
判定した複数の不正アクセス情報に対し、判断条件デー
タベース２３ｂの判断条件を参照して不正アクセス行為
であるか判断し、該同一者が不正者であるか判別する不
正者判別処理部である。２６は、不正者判別処理部２５
において、不正アクセス行為が、正規利用者のＩＤを用
いたパスワード解析行為と判断された場合、該正規利用
者および／または所定の連絡先へ、警戒を促す警報情報
を送信する警報情報送信処理部である。２７は、不正者
情報データベース２３ａと、システム情報データベース
２２ｂを参照して、ネットワーク地図と不正アクセスと
の関係を示す不正アクセス状況図を作成する不正アクセ
ス状況図作成処理部である。

【００２２】ここで、不正者情報データベース２３ａの
詳細な構成について図を用いて説明する。図３は、本発
明の一実施形態における不正者情報データベース２３ａ
の構成を示す図である。図示するように、不正アクセス
情報、不正者情報、被害対象情報から構成される。不正
アクセス情報とは、該不正アクセス情報の識別番号、同
一者と判定された場合の管理番号、不正アクセスの発生
した日時、不正者名称、不正者／正規利用者／不明の３
種類でアクセス者を識別する識別情報、アクセス元の認
証状態を安心／注意／脅威の３種類で表わす認証状態、
不正者のアドレスなどの情報である。不正者情報とは、
不正者が操作する端末１０のＯＳ（オペレーティングシ
ステム）情報、プロクシ情報、所属ドメイン情報、滞在
時間情報、再訪問レートなどの情報である。被害対象情
報とは、不正アクセスにより被害を被害対象、被害装置
情報、被害レベルなどの情報である。ブラックリストと
は、不正行為が確定した不正者に関する情報を一覧でき
るよう、上記の不正アクセス情報および不正者情報よ
り、一覧で確認したい情報を抽出して格納する。

【００２３】尚、上記に示した図２の各処理部は専用の
ハードウェアにより実現されるものであってもよく、ま
た、各処理部はメモリおよびＣＰＵ（中央演算装置）に
より構成され、各処理部の機能を実現する為のプログラ
ムをメモリにロードして実行することによりその機能を
実現させるものであってもよい。また、上記メモリは、
ハードディスク装置や光磁気ディスク装置、フラッシュ
メモリ等の不揮発性のメモリや、ＣＤ−ＲＯＭ等の読み
出しのみが可能な記録媒体、ＲＡＭ（Ｒａｎｄｏｍ Ａ
ｃｃｅｓｓ Ｍｅｍｏｒｙ）のような揮発性のメモリ、
あるいはこれらの組み合わせによるコンピュータ読み取
り、書き込み可能な記録媒体より構成されるものとす
る。

【００２４】次に、上述した不正アクセス監視システム
１７において、複数の不正アクセス情報を基に不正者を
特定する動作について図を用いて説明する。図４は、本
発明の一実施形態による不正アクセス監視システム１７
の動作を示すフロー図である。まず、受信処理部２１が
アクセス監視装置１６より不正アクセス情報を逐次受信
し、不正アクセス情報データベース２２ａへ格納する
（ステップＳ２１）。次に、不正アクセス情報分析部２
２’は、不正アクセス情報データベース２２ａより、不
正アクセスの可能性が高いと分析される不正アクセス情
報を抽出する。次に、同一者判定処理部２４は、不正ア
クセス情報分析部２２’が抽出した不正アクセス情報
と、不正者情報データベース２３ａに格納される不正者
情報について各項目毎に内容を比較し、一致度を算出す
る（ステップＳ２２）。尚、一致度とは、例えば、項目
がＩＰアドレス情報である場合、該ＩＰアドレス（文字
列）の一致の度合を数値化したものである。

【００２５】次に、同一者判定処理部２４は、各項目に
予め設定した重み付けの係数と該項目の一致度の積を求
め、該積の和を求める（ステップＳ２３）。次に、同一
者判定処理部２４は、該和の値が、予め定めた基準値よ
り大きいか判断する（ステップＳ２４）。和の値が基準
値より大きい場合（ステップＳ２４のＹＥＳ）、同一者
判定処理部２４は、比較した不正アクセス情報は同一者
によるものと判定し、該同一者を識別する管理番号を付
加して、不正者情報データベース２３ａへ格納する（ス
テップＳ２５）。また、和の値が基準値より小さい場合
（ステップＳ２４のＮＯ）、同一者判定処理部２４は、
同一者によると判定せず、同一者を識別する管理番号を
付加せずに、該不正アクセス情報を不正者情報データベ
ース２３ａへ格納する。これは、新たに不正アクセス情
報データベース２２ａより抽出される不正アクセス情報
と比較して同一者と判定される可能性があるからであ
る。

【００２６】次に、不正者判別処理部２５は、同一者判
定処理部２４が同一者と判定した複数の不正アクセス情
報に対し、判断条件データベース２３ｂの判断条件を参
照して、時系列的にも考慮して不正アクセス行為である
か判断し、該同一者が不正者であるか判別する（ステッ
プＳ２６）。尚、不正者判別処理部２５は、不正者情報
データベース２３ａに格納した不正アクセス情報の内、
同一者無しと判定された不正アクセス情報は、単独で不
正アクセス行為であるかの判断を行う。また、時系列的
な考慮とは、同一利用者においてパスワードの入力ミス
が定期的に発生している場合など、所定回数を超えた時
点で不正アクセス行為と判断することである。

【００２７】ここで、不正者判別処理部２５が不正行為
でない場合（ステップＳ２６のＮＯ）、処理を終了す
る。また、不正者判別処理部２５が不正行為と判別した
場合（ステップＳ２６のＹＥＳ）、制御部２０は、不正
者情報データベース２３ａの管理番号を不正行為が確定
したことを示す識別子を含む管理番号へ変更し、ブラッ
クリストへ登録する（ステップＳ２７）。更に、不正者
判別処理部２５が該不正行為をパスワード解析行為と判
断した場合（ステップＳ２８のＹＥＳ）、警報情報送信
処理部２６が、パスワード解析行為を受けた利用者の連
絡先、または該当するシステム管理者などの所定の連絡
先へ、電子メールにより警報情報の送信を行う（ステッ
プＳ２９）。これにより、利用者、またはシステム管理
者は、パスワード変更等の適切な処置を行い、不正アク
セスを防ぐことが出来る。

【００２８】更に、本発明の一実施形態における不正者
情報データベース２３ａの構築例を、〜までの６つ
の不正アクセスが発生した場合を例にして以下に説明す
る。図５、図６、図７は、それぞれ、図３で示した不正
アクセス情報、不正者情報、被害対象情報が、〜ま
での不正アクセスによってどう構成されるかを示す図で
ある。尚、〜までの不正アクセスは以下に示すもの
とする ：ファイアウォール１３内のＷｅｂサーバにポートス
キャンがかけられた。 ：同ＷｅｂサーバにＢｕｆｆｅｒｏｖｅｒｆｌｏｗ攻
撃がかけられた。 ：Ｗｅｂサーバで管理するホームページが不正に書き
換えられた。 ：正規利用者のＩＤで複数回のパスワードミスが発生
した。 ：ＬＡＮ１４の管理者用パスワードが盗まれ、ハッキ
ング用プログラムが仕掛けられた。 ：ＬＡＮ１４内の端末から、顧客管理システムへ正規
利用者のＩＤでパスワード解析行為が行われた。

【００２９】以上の、不正アクセスに対して、不正者情
報データベース２３ａは、図５、図６、図７に示すよう
な情報を格納して行く。同一者判定処理部２４は、図６
の不正者情報に含まれる、ＯＳ、プロキシ情報の一致
や、経路情報の一致の度合を数値化した一致度を算出
し、各項目に重み付けた係数との積をとり、該積の和を
求めることで、同一者であるかを判定する。また、の
段階で、不正者判別処理部２５が、同一者の〜まで
のアクセス行為を基に、判断条件データベース２３ｂを
参照して、不正者であると判別し、図５の６番目の項
目”識別”が、「不明」から「不正者」へ変更され、７
番目の項目”認証状態”が、「注意」から「脅威」へと
変更される。

【００３０】以上に示したように、不正アクセス監視シ
ステム１７は、アクセス監視装置１６より、不正アクセ
ス情報を受信し、分析し、同一者からの不正アクセス情
報を特定し、不正者情報データベース２３ａで管理する
ことで、時系列を考慮して不正行為を判別することがで
きる。これにより、大量のアクセス情報より自動で不正
アクセスを特定できるので、専門家でなくても、大量の
アクセス情報に埋もれた、不正アクセス情報を検知する
ことができる。また、パスワード解析行為など特定の利
用者への不正行為がある場合は、該利用者や、該利用者
が利用するシステムの管理者へ警報情報を送信し、注意
を促すことができる。

【００３１】次に、本発明の一実施形態における不正ア
クセス監視システム１７が、不正アクセスの状況理解を
支援する動作について図を用いて説明する。尚、本実施
形態では、図１０に示すような、ネットワークシステム
を視覚的に表わしたネットワーク地図上に、不正アクセ
スが行われた箇所、不正者を表わすシンボルが配置され
た不正アクセス状況図を示すことで、不正アクセスの状
況理解を支援する。

【００３２】図８は、本発明の一実施形態による不正ア
クセス監視システム１７が、不正アクセスの状況理解を
支援する動作を示すフロー図である。まず、利用者より
コンピュータシステム１２のネットワーク構成を示すネ
ットワーク地図を描画する範囲と、該ネットワーク地図
に重ねるレイヤの層設定（レイヤ層数、各レイヤに含ま
せるシンボルの種類などの設定）等のパラメータが入力
された場合、不正アクセス状況図作成処理部２７は、該
パラメータの情報を受信する（ステップＳ３１）。尚、
ネットワーク地図の範囲の指定方法としては、コンピュ
ータシステム１２の全体のネットワーク構成図を表示し
て指定させる方法や、コンピュータシステム１２を予め
幾つかのブロックに分け、該ブロックを指定させる方法
などがある。

【００３３】次に、不正アクセス状況図作成処理部２７
は、システム情報データベース２２ｂに格納されるコン
ピュータシステム１２のネットワークシステム情報を参
照して上記で設定された範囲のネットワーク地図レイヤ
を作成する（ステップＳ３２）。尚、この時、図９
（ａ）に示すような、ネットワーク地図要素として、ノ
ード、リンク、管理範囲、外部インターネットドメイン
等、などのシンボルを予め決めておき、これを利用す
る。次に、不正アクセス状況図作成処理部２７は、不正
アクセス情報の描画範囲、レイヤの層設定等に関するパ
ラメータの入力を受信する（ステップＳ３３）。次に、
不正アクセス状況図作成処理部２７は、不正者情報デー
タベース２３ａを参照して、上記で指定された範囲にお
ける不正アクセス情報を検索する（ステップＳ３４）。

【００３４】次に、不正アクセス状況図作成処理部２７
は、検索結果を全てシンボルとしてネットワーク地図に
付加したか判断する（ステップＳ３５）。全てシンボル
として付加していない場合（ステップＳ３５のＮＯ）、
不正アクセス状況図作成処理部２７は、不正者情報デー
タベース２３ａの”識別”を参照し、図９（ｂ）に示す
ようなシンボル要素を、正規利用者／不正者／不明に分
けて決定する（ステップＳ３６）。次に、不正アクセス
状況図作成処理部２７は、不正者情報データベース２３
ａの”認証状態”を参照し、図９（ｂ）に示すようなフ
レーム要素を、安心／注意／脅威にわけて決定する（ス
テップＳ３７）。次は、ステップＳ３５へ戻る。

【００３５】以上のステップＳ３５〜Ｓ３７を繰り返
し、検索結果である不正アクセス情報を全てシンボルへ
変換し終えた場合（ステップＳ３５のＹＥＳ）、不正ア
クセス状況図作成処理部２７は、図１０に示すような不
正アクセス状況図を表示させる（ステップＳ３８）。
尚、図１０において、薄い色のノードおよびリンクが不
正アクセスを受けている箇所を示す。以上により、不正
アクセス監視システム１７は、各種データベースより情
報を参照し、不正アクセス情報をシンボル化すること
で、不正アクセス状況図を作成し、不正アクセスの状況
理解を支援することができる。

【００３６】尚、図示していないが、不正アクセス状況
図のネットワーク地図要素を色付けして、該色に種々の
意味をもたせてもよい。また、ネットワーク地図上にお
いて、シンボルとフレームの組み合わせで様々な意味を
もたせても良い。以上により、ノードの重要性（機密情
報のデータベースを備えるかどうかなど）を色で表現
し、不正アクセスとの関連性を容易に確認したりでき
る。また、ネットワークの管理範囲が明示されるので、
対象となるネットワーク管理者へ的確な指示を与えるこ
とができる。

【００３７】また、図２における各種処理を行う処理部
の機能を実現する為のプログラムをコンピュータ読み取
り可能な記録媒体に記録して、この記録媒体に記録され
たプログラムをコンピュータシステムに読み込ませ、実
行することにより各処理を行っても良い。なお、ここで
いう「コンピュータシステム」とは、ＯＳや周辺機器等
のハードウェアを含むものとする。また、「コンピュー
タシステム」とは、ＷＷＷシステムを利用している場合
であれば、ホームページ提供環境（あるいは表示環境）
も含むものとする。

【００３８】また、「コンピュータ読み取り可能な記録
媒体」とは、フレキシブルディスク、光磁気ディスク、
ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシス
テムに内蔵されるハードディスク等の記憶装置のことを
いう。さらに「コンピュータ読み取り可能な記録媒体」
とは、インターネット等のネットワークや電話回線等の
通信回線を介してプログラムが送信された場合のサーバ
やクライアントとなるコンピュータシステム内部の揮発
メモリ（ＲＡＭ）のように、一定時間プログラムを保持
しているものも含むものとする。

【００３９】また、上記プログラムは、このプログラム
を記憶装置等に格納したコンピュータシステムから、伝
送媒体を介して、あるいは、伝送媒体中の伝送波により
他のコンピュータシステムに伝送されてもよい。ここ
で、プログラムを伝送する「伝送媒体」は、インターネ
ット等のネットワーク（通信網）や電話回線等の通信回
線（通信線）のように情報を伝送する機能を有する媒体
のことをいう。また、上記プログラムは、前述した機能
の一部を実現する為のものであっても良い。さらに、前
述した機能をコンピュータシステムに既に記録されてい
るプログラムとの組み合わせで実現できるもの、いわゆ
る差分ファイル（差分プログラム）であっても良い。以
上、この発明の実施形態について図面を参照して詳述し
てきたが、具体的な構成はこの実施形態に限られるもの
ではなく、この発明の要旨を逸脱しない範囲の設計等も
含まれる。

【００４０】

【発明の効果】以上説明したように、本発明による不正
アクセス監視システムにおいては、不正アクセス情報を
逐次格納する不正アクセス情報データベースと、不正ア
クセス情報データベースを参照し、不正アクセス情報間
において、所定の項目に関する一致の度合を基に同一者
による不正アクセス情報かを判定する同一者判定手段
と、予め不正アクセス行為の判断条件を格納する判断条
件データベースと、同一者判定手段が同一者と判定した
複数の不正アクセス情報に対し、判断条件データベース
の判断条件を参照して不正アクセス行為であるか判断
し、該同一者が不正者であるか判別する不正者判別手段
とを具備するので、逐次増加する不正アクセス情報につ
いて、同一者によるものを判定し、更に、同一者による
複数の不正アクセス情報（不正アクセスである可能性が
ある不正アクセス情報を含む）を基に、時間的変化を考
慮して本当に不正アクセス行為であるかを判別し、不正
者を判別することができる。これにより、専門家に依頼
しなくも、大量のアクセス情報の中に埋もれている、不
正アクセス情報を自動で検出することができる。

【００４１】また、本発明による不正アクセス監視シス
テムにおいては、上記同一者判定手段は、不正アクセス
情報間において、該不正アクセス情報に含まれる同種の
項目毎に情報の一致度を算出し、各項目に予め定めた重
み付け係数と一致度の積の和を求め、該和の値と所定の
値との比較により、同一者による不正アクセス情報を判
定するので、同一者であるか判断するための項目につい
て、その時々の不正アクセスの手口や手法の傾向を考慮
して、重み付け係数を変更し、より精度良く同一者を判
定することができる。これにより、状況の変化に合わせ
た柔軟な同一者の判定を行うことができる。

【００４２】また、本発明による不正アクセス監視シス
テムにおいては、上記不正者判別手段において、不正ア
クセス行為が、正規利用者のＩＤを用いたパスワード解
析行為と判断された場合、該正規利用者および／または
所定の連絡先へ、警戒を促す警報情報を送信する警報情
報送信手段を更に具備するので、不正者によるパスワー
ド解析行為の対象となっている正規利用者や、該正規利
用者が利用する端末を管理するネットワーク管理者など
所定の連絡先へ電子メールなどで警戒を促す警報情報を
送信することができる。これにより、迅速に不正アクセ
スへの対処を行うことができ、不正者の侵入による被害
を防ぐことができる。

【００４３】また、本発明による不正アクセス監視シス
テムにおいては、上記同一者による不正アクセス情報
を、該同一者の識別情報に関連付けて格納する不正者情
報データベースと、上記コンピュータシステムに関する
ネットワークの構成情報であるネットワーク地図情報を
格納するシステム情報データベースと、不正アクセス情
報データベースと、システム情報データベースを参照し
て、ネットワーク地図と不正アクセスとの関係を示す不
正アクセス状況図を作成する不正アクセス状況図作成手
段とを更に具備するので、利用者へ視覚的に不正アクセ
スの状況を把握できる不正アクセス状況図を提示でき
る。これにより、ネットワークの専門家でない経営者
へ、ネットワーク資源の価値と、それを不正アクセスか
ら守るための防衛システムの構築費用とを、考慮した経
営的判断を支援することもできる。また、チームで不正
アクセスに対処する時も、チーム全員が共通の認識を視
覚的に得ることができる。

【図面の簡単な説明】

【図１】 本発明の一実施形態による不正アクセス監視
システムを含むシステムの全体構成を示すブロック図で
ある。

【図２】 本発明の一実施形態による不正アクセス監視
システム１７の概略構成を示すブロック図である。

【図３】 本発明の一実施形態における不正者情報デー
タベース２３ａの構成を示す図である。

【図４】 本発明の一実施形態による不正アクセス監視
システム１７の動作を示すフロー図である。

【図５】 本発明の一実施形態による図３で示した不正
アクセス情報が、不正アクセスによってどう構成される
かを示す図である。。

【図６】 本発明の一実施形態による図３で示した不正
者情報が、不正アクセスによってどう構成されるかを示
す図である。

【図７】 本発明の一実施形態による図３で示した被害
対象情報が、不正アクセスによってどう構成されるかを
示す図である。

【図８】 本発明の一実施形態による不正アクセス監視
システム１７が、不正アクセスの状況理解を支援する動
作を示すフロー図である。

【図９】 本発明の一実施形態による不正アクセス状況
図に用いるネットワーク地図要素、シンボル要素、フレ
ーム要素を示す図である。

【図１０】 本発明の一実施形態における不正アクセス
状況図を示す図である。

【符号の説明】

１０ 端末Ａ、端末Ｂ、端末Ｃ、…（端末１０） １１ ネットワーク １２ コンピュータシステム １３ ファイアウォール １４ ＬＡＮ １５ 侵入検知装置 １６ アクセス監視装置 １７ 不正アクセス監視システム ２０ 制御部 ２１ 受信処理部 ２２ 分析用データベース ２２ａ 不正アクセス情報データベース ２２ｂ システム情報データベース ２２’ 不正アクセス情報分析部 ２３ 管理用データベース ２３ａ 不正者情報データベース ２３ｂ 判断条件データベース ２４ 同一者判定処理部 ２５ 不正者判別処理部 ２６ 警報情報送信処理部 ２７ 不正アクセス状況図作成処理部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 小貫 龍也 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 (72)発明者 桑田 喜隆 東京都江東区豊洲三丁目３番３号 株式会 社エヌ・ティ・ティ・データ内 Ｆターム(参考） 5B017 AA03 AA07 BA06 BB06 5B085 AC11 AE00 BA07 BG07 5B089 GA19 GB01 KA17 KB13 MC02 MC08

Claims (6)

【特許請求の範囲】
1. 【請求項１】 ネットワークを介したコンピュータシス
   テムへのアクセスを監視するアクセス監視装置より、不
   正アクセスまたは不正アクセスの可能性のあるアクセス
   に関する情報を、不正アクセス情報として逐次受信する
   不正アクセス監視システムであって、 前記不正アクセス情報を逐次格納する不正アクセス情報
   データベースと、 前記不正アクセス情報データベースを参照し、不正アク
   セス情報間において、所定の項目に関する一致の度合を
   基に同一者による不正アクセス情報かを判定する同一者
   判定手段と、 予め不正アクセス行為の判断条件を格納する判断条件デ
   ータベースと、 前記同一者判定手段が同一者と判定した複数の不正アク
   セス情報に対し、前記判断条件データベースの判断条件
   を参照して不正アクセス行為であるか判断し、該同一者
   が不正者であるか判別する不正者判別手段とを具備する
   ことを特徴とする不正アクセス監視システム。
2. 【請求項２】 前記同一者判定手段は、不正アクセス情
   報間において、該不正アクセス情報に含まれる同種の項
   目毎に情報の一致度を算出し、各項目に予め定めた重み
   付け係数と前記一致度の積の和を求め、該和の値と所定
   の値との比較により、同一者による不正アクセス情報を
   判定することを特徴とする請求項１に記載の不正アクセ
   ス監視システム。
3. 【請求項３】 前記不正者判別手段において、前記不正
   アクセス行為が、正規利用者のＩＤを用いたパスワード
   解析行為と判断された場合、 該正規利用者および／または所定の連絡先へ、警戒を促
   す警報情報を送信する警報情報送信手段を更に具備する
   ことを特徴とする請求項１または請求項２に記載の不正
   アクセス監視システム。
4. 【請求項４】 前記同一者による不正アクセス情報を、
   該同一者の識別情報に関連付けて格納する不正者情報デ
   ータベースと、 前記コンピュータシステムに関するネットワークの構成
   情報であるネットワーク地図情報を格納するシステム情
   報データベースと、 前記不正者情報データベースと、前記システム情報デー
   タベースを参照して、ネットワーク地図と不正アクセス
   との関係を示す不正アクセス状況図を作成する不正アク
   セス状況図作成手段とを更に具備することを特徴とする
   請求項１から請求項３のいずれかに記載の不正アクセス
   監視システム。
5. 【請求項５】 ネットワークを介したコンピュータシス
   テムへのアクセスを監視するアクセス監視装置より、不
   正アクセスまたは不正アクセスの可能性のあるアクセス
   に関する情報を、不正アクセス情報として逐次受信する
   不正アクセス監視システム用のプログラムであって、 前記不正アクセス情報を逐次格納する不正アクセス情報
   データベースを参照し、不正アクセス情報間において、
   所定の項目に関する一致の度合を基に同一者による不正
   アクセス情報かを判定するステップと、 前記同一者判定手段が同一者と判定した複数の不正アク
   セス情報に対し、予め不正アクセス行為の判断条件を格
   納する判断条件データベースの判断条件を参照して不正
   アクセス行為であるか判断し、該同一者が不正者である
   か判別するステップとをコンピュータに実行させるため
   のプログラム。
6. 【請求項６】 前記同一者による不正アクセス情報を、
   該同一者の識別情報に関連付けて格納する不正者情報デ
   ータベースと、前記コンピュータシステムに関するネッ
   トワークの構成情報であるネットワーク地図情報を格納
   するシステム情報データベースとを参照して、ネットワ
   ーク地図と不正アクセスとの関係を示す不正アクセス状
   況図を作成するステップを更にコンピュータに実行させ
   るための請求項５に記載のプログラム。