JP2003032252A - 不正アクセス追跡方法、そのプログラム及びそのプログラムが記録された記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 ログインされるサーバを介しての間接的な不
正アクセスに際しても犯人の追跡が行える不正アクセス
追跡方法を提供する。 【解決手段】 不正アクセスの際にログインされるサー
バ２，３といったｔｅｌｎｅｔサーバに搭載された各発
信ログ出力デーモン１３が、このサーバで発信があった
ときに、この発信に行ったログイン元のコンピュータの
ＩＰアドレスが特定できるようなログを逐一記録してお
く。エージェント１２は、コンソール４から移動先のサ
ーバ２へ移動し、サーバ２で記録されたログを元にログ
イン元のコンピュータのＩＰアドレスを求める。このＩ
ＰアドレスがｔｅｌｎｅｔサーバのＩＰアドレスである
ときは、当該ＩＰアドレスの付与されたサーバ、例え
ば、サーバ３に移動する。一方エージェント１２は、求
めたＩＰアドレスがｔｅｌｎｅｔサーバのアドレスでな
いと判定した場合には、かかるＩＰアドレスを不正アク
セスの起点となった犯人のコンピュータのものとして、
コンソール４に戻り、このＩＰアドレス等を出力する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、不正アクセスを行
った犯人のコンピュータを追跡する技術に係り、特にｔ
ｅｌｎｅｔサーバといったログインされるサーバを介し
ての間接アクセスに際しても犯人の追跡が行える不正ア
クセス追跡方法、そのプログラム及びそのプログラムが
記録された記録媒体に関する。

【０００２】

【従来の技術】近年にあっては、サーバへの不正アクセ
スが急増しており、その犯人の追跡の重要性を増してい
る。なお、犯人の追跡とは、犯人の使用したコンピュー
タを特定等することであり、追跡という言葉が便宜的に
使われる。

【０００３】図６は、従来における不正アクセスと犯人
の追跡方法を示す図である。ここでは、直接的な攻撃で
なく、サーバを介した間接的な不正アクセスについて説
明する。

【０００４】犯人はコンピュータ１０４から、ｔｅｌｎ
ｅｔサーバ１０３へログインする。次に、ｔｅｌｎｅｔ
サーバ１０３からプロキシサーバ１０２へｈｔｔｐプロ
トコルで不正アクセスを行う。プロキシサーバ１０２
は、ｈｔｔｐサーバ１０１へ不正アクセス（攻撃）を中
継する。

【０００５】ここで、通常のｈｔｔｐサーバやプロキシ
サーバは、アクセスログとして、アクセス先ＵＲＬとア
クセス元のＩＰアドレス、並びにアクセスのあった時刻
を記録しているので、犯人１０４を特定しようとする場
合、例えば、管理者のコンピュータなどからサーバ１０
２、そしてサーバ１０３までは追跡を行うことが可能で
ある。

【０００６】

【発明が解決しようとする課題】しかしながら、ｔｅｌ
ｎｅｔサーバにあっては、ｗｔｍｐログにてユーザ名、
ログイン元ＩＰアドレス等は記録しているが、ログイン
後のユーザからの発信に関しては記録してないので、サ
ーバ１０３のどのユーザが犯人だったのか分からずコン
ピュータ１０４を特定することができない。つまり、ｔ
ｅｌｎｅｔサーバを介しての不正アクセスの犯人は特定
されず、こうした事情から、ｔｅｌｎｅｔサーバを介し
たｈｔｔｐサーバの攻撃について、その対策が強く要望
されている。

【０００７】そこで本発明は、上記の従来の課題に鑑み
てなされたものであり、その目的とするところは、ログ
インされるサーバを介しての間接的な不正アクセスに際
しても犯人の追跡が行える不正アクセス追跡方法、その
プログラム及びそのプログラムが記録された記録媒体を
提供することにある。

【０００８】

【課題を解決するための手段】上記従来の課題を解決す
るために、請求項１の本発明は、不正アクセスの際にロ
グインされる複数のサーバに搭載された各記録デーモン
が、この記録デーモンの搭載されたサーバで発信があっ
たときに、この発信を行ったログイン元のコンピュータ
のＩＰアドレスが特定できるようなログを逐一記録して
おくステップと、前記複数のサーバのいずれかに少なく
とも移動するエージェントが行うステップであって、移
動先のサーバで記録されたログを元にログイン元のコン
ピュータのＩＰアドレスを求めるとともに、このＩＰア
ドレスが当該複数のサーバのうちのいずれかのＩＰアド
レスであるときは、当該ＩＰアドレスの付与されたサー
バに移動するステップと、前記エージェントが、前記求
めたＩＰアドレスが前記複数のサーバのうちのいずれの
ものでもない場合に、予め定められたコンピュータに移
動して当該ＩＰアドレスを出力するステップとを備える
ことを特徴とする不正アクセス追跡方法をもって解決手
段とする。

【０００９】請求項２の本発明は、前記記録デーモン
は、前記ログイン元のコンピュータのＩＰアドレスが特
定できるようなログに、この記録デーモンの搭載された
サーバが、ログインしてきた各コンピュータに付与する
唯一無二の識別情報と発信の時刻とを含めて記録するこ
とを特徴とする請求項１の不正アクセス追跡方法をもっ
て解決手段とする。

【００１０】請求項３の本発明は、不正アクセスの際に
ログインされる複数のサーバに搭載された各記録デーモ
ンが、この記録デーモンの搭載されたサーバで発信があ
ったときに、この発信を行ったログイン元のコンピュー
タのＩＰアドレスが特定できるようなログを逐一記録し
ておいたときの不正アクセス追跡方法であって、前記複
数のサーバのいずれかに少なくとも移動するエージェン
トが行うステップであって、移動先のサーバで記録され
たログを元にログイン元のコンピュータのＩＰアドレス
を求めるとともに、このＩＰアドレスが当該複数のサー
バのうちのいずれかのＩＰアドレスであるときは、当該
ＩＰアドレスの付与されたサーバに移動するステップ
と、前記エージェントが、前記求めたＩＰアドレスが前
記複数のサーバのうちのいずれのものでもない場合に、
予め定められたコンピュータに移動して当該ＩＰアドレ
スを出力するステップとを備えることを特徴とする不正
アクセス追跡方法をもって解決手段とする。

【００１１】請求項４の本発明は、前記記録デーモンま
たはエージェントをコンピュータで動作させるプログラ
ムである不正アクセス追跡プログラムをもって解決手段
とする。

【００１２】請求項５の本発明は、前記記録デーモンま
たはエージェントをコンピュータで動作させるプログラ
ムである不正アクセス追跡プログラムが記録された記録
媒体をもって解決手段とする。

【００１３】請求項１または請求項３の本発明にあって
は、各記録デーモンが、この記録デーモンの搭載された
サーバで発信があったときに、この発信に行ったログイ
ン元のコンピュータのＩＰアドレスが特定できるような
ログを逐一記録しておく。エージェントは、求めたＩＰ
アドレスが、複数のサーバのうちのいずれかのＩＰアド
レスであるときは、当該ＩＰアドレスの付与されたサー
バに移動して、再度、ログイン元のコンピュータのＩＰ
アドレスを求める。一方、エージェントが、求めたＩＰ
アドレスが複数のサーバのうちのいずれのものでもない
と判定した場合には、かかるＩＰアドレスを不正アクセ
スの起点となった犯人のコンピュータのものとして、予
め定められた管理者等のコンピュータに移動してこのＩ
Ｐアドレスを出力する。

【００１４】請求項２の本発明にあっては、記録デーモ
ンが、ログインしてきた各コンピュータに付与されるｔ
ｔｙといった識別情報と発信の時刻をログに記録するの
で、ｔｅｌｎｅｔサーバ等に複数のユーザが同一のユー
ザ名でログインした場合であっても、犯人のコンピュー
タを特定することができる。

【００１５】請求項４または請求項５の本発明にあって
は、記録デーモンまたはエージェントをコンピュータで
動作させるプログラムを、半導体メモリ、磁気ディス
ク、光ディスク、光磁気ディスク、磁気テープなどのコ
ンピュータ読み取り可能な記録媒体に記録したり、イン
ターネットなどの通信網を介して伝送させて、広く流通
させることができるようにしている。

【００１６】

【発明の実施の形態】以下、本発明の実施の形態を図面
を参照して説明する。

【００１７】図１は、本発明の実施の形態を示すネット
ワークの構成図である。図１に示すように、例えば企業
内のイントラネットにおいて、ｈｔｔｐサーバであるサ
ーバ１と、サーバ２及び３といった複数のｔｅｌｎｅｔ
サーバ（他のサーバは図示せず）と、ネットワーク管理
者のコンピュータであるコンソール４とがＬＡＮ回線で
接続等されている。また、ネットワークには、サーバへ
の攻撃に使用とする犯人のコンピュータ５が接続されて
いる。サーバ１は、例えば、社員への情報提供を行って
おり、犯人にとっては攻撃対象でる。なお、サーバ１
は、プロキシサーバを介してアクセスされるサーバであ
ってもよい。

【００１８】サーバ１には、図示しない侵入者検知シス
テムが動作しており、不正アクセスがあったときは、ア
クセスの時刻とアクセスしてきたコンピュータのＩＰア
ドレスとをコンソール４に通知するようになっている。

【００１９】サーバ２、３は、犯人のコンピュータ５を
含む社員のコンピュータにｔｅｌｎｅｔプロトコルでの
リモートアクセスの環境を提供している。なお、サーバ
２、３は、リモートログインやセキュアシェルによりロ
グインされるサーバであっても良い。

【００２０】サーバ２、サーバ３及びコンソール４に
は、エージェントを動作させるプラットフォーム（基本
プログラム）であるエージェント受容体１１が予め動作
している。したがって、サーバを渡り歩いて犯人を追跡
するプログラムである多段ｔｅｌｎｅｔ追跡エージェン
ト（単にエージェントともいう）１２は、サーバ２、サ
ーバ３及びコンソール４の間を移動し、そのコンピュー
タにおいて動作することができる。

【００２１】また、サーバ２及びサーバ３には、これら
サーバにてＴＣＰプロトコルによる発信があったとき
に、その発信ログを記録する発信ログ出力デーモン１３
が動作している。

【００２２】図２は、サーバ２、３及びコンソール４の
構成を示す図である。

【００２３】サーバ２及びサーバ３は同様の構成を有し
おり、図２の説明ではサーバという。サーバには、エー
ジェント受容体１１と発信ログ出力デーモン１３が動作
していることは既に述べたとおりである。発信ログ出力
デーモン１３は、発信検出機能１３１、プロセス検索機
能１３２、ユーザ検索機能１３３及び発信ログ出力機能
１３４を備えている。

【００２４】発信検出機能１３１は、ユーザの発信を監
視し、発信があったことを検出する機能である。プロセ
ス検索機能１３２は、発信元ポート番号を元に、どのプ
ロセスが発信元ポート番号を利用したかを検索する機能
である。ユーザ検索機能１３３は、プロセスを起動した
ユーザを検出する機能である。発信ログ出力機能１３４
は、これら検出及び検索された情報をログとして記録す
る機能である。

【００２５】一方、コンソール４にも、エージェント受
容体１１が動作しており、このコンソール４には、エー
ジェント１２が待機している。

【００２６】エージェント１２は、情報入力機能１２
１、サーバ移動機能１２２、発信ログ検索機能１２３、
ｗｔｍｐログ検索機能１２４、追跡情報出力機能１２５
を備えている。

【００２７】情報入力機能１２１は、追跡の初期の段階
で入力される情報を追跡ログに格納する機能である。サ
ーバ移動機能１２２は、エージェント自身がサーバ間を
移動し、犯人のコンピュータを発見した後にコンソール
４に戻る機能である。発信ログ検索機能１２３は、蓄積
された発信ログからログを検索し追跡ログに格納する機
能である。ｗｔｍｐログ検索機能１２４は、蓄積された
ｗｔｍｐログからログを検索し追跡ログに格納する機能
である。追跡情報出力機能１２５は、コンソール４の表
示装置等に追跡ログを表示等する機能である。なお、本
実施の形態では、サーバに類するコンピュータには、間
接的な攻撃に利用されるｔｅｌｎｅｔサーバのＩＰアド
レスが予め記憶されており、エージェント１２は、移動
先のコンピュータがかかるｔｅｌｎｅｔサーバか、社員
のコンピュータかを判別できるようになっている。

【００２８】次に、本実施の形態の作用を説明する。

【００２９】図３は、本実施の形態における不正アクセ
スと犯人追跡の様子を示すシーケンス図である。犯人
は、コンピュータ５からサーバ１を直接攻撃するのでは
なく、先ずサーバ３へｔｅｌｎｅｔでログインする（Ｓ
１）。ここでは、ユーザ名（例えば、「user１」とす
る）とパスワードが入力される。このログインの時刻を
時刻ｔ１とする。ログインが行われると、サーバ３はｗ
ｔｍｐログを記録する（Ｓ２）。

【００３０】そして、犯人がユーザ名「user２」を使用
して、サーバ３からサーバ２へと再びｔｅｌｎｅｔでロ
グインすると（Ｓ３）、サーバ２も、サーバ３同様にｗ
ｔｍｐログを記録する（Ｓ４）。そして、このログイン
におけるＴＣＰの発信のとき（発信時刻ｔ２とする）
に、サーバ３の発信ログ出力デーモン１３が、発信ログ
を記録する（Ｓ５）。

【００３１】ここで、図４を参照して、発信ログの構成
と発信ログの記録方法を説明する。なお、ｗｔｍｐログ
についても図４で説明する。

【００３２】ｗｔｍｐログは、ログイン時刻、ログアウ
ト時刻、ユーザ名、ｔｔｙ及びログイン元のＩＰアドレ
スなどを含む情報である。なお、ログイン中にあって
は、ログアウト時刻に代えて、ログイン中の旨を示すス
テータスが記録され、ログアウトの際に、ログアウト時
刻に更新される。ｔｔｙとは、サーバがログインに使用
したユーザ名に対して割り当てる唯一無二の識別情報で
ある。なお、一度割り当てられたｔｔｙはログアウトす
るまで、他に割り当てられることはない。すなわちサー
バの利用時間（ログインからログアウトまで）において
は、ｔｔｙは唯一無二の情報である。

【００３３】したがって、ステップＳ２では、ｗｔｍｐ
ログに、ログイン時刻ｔ１、サーバ３からのログアウト
時刻またはログイン中であることを示すステータス、犯
人が使用したユーザ名「user１」、このユーザ名「user
１」に割り当てられたｔｔｙ、及び犯人のコンピュータ
５のＩＰアドレスが記録される。

【００３４】一方、ステップＳ４では、ｗｔｍｐログ
に、ログイン時刻ｔ２、サーバ２からのログアウト時刻
またはログイン中であることを示すステータス、犯人が
使用したユーザ名「user２」、このユーザ名「user２」
に割り当てられたｔｔｙ、及びサーバ３のＩＰアドレス
が記録される。

【００３５】これに対して発信ログは、発信時刻、宛先
のＩＰアドレス、宛先ポート、発信元のＩＰアドレス、
発信元ポート、ユーザ名、ｔｔｙ、プロセス名及びプロ
セスＩＤを含む情報である。

【００３６】ステップＳ５では、先ず、発信検出機能１
３１が発信を検出すると、発信時刻、宛先のＩＰアドレ
ス、宛先ポート、発信元のＩＰアドレス、発信元ポート
を発信ログとして記録し、プロセス検索機能１３２をコ
ールする。コールされたプロセス検索機能１３２は、こ
の発信元ポート番号を元にプロセス名とプロセスＩＤを
求めて、同じ発信ログに記録し、ユーザ検索機能１３３
をコールする。コールされたユーザ検索機能１３３は、
このプロセスＩＤを元にユーザ名およびｔｔｙを求め、
同じ発信ログに記録する。

【００３７】したがって、ステップＳ５では、発信ログ
に、発信時刻ｔ２、サーバ２のＩＰアドレス及びポート
番号、サーバ３のＩＰアドレス及びポート番号、ユーザ
名「user１」及びこのユーザ名「user１」に割り当てら
れたｔｔｙ、プロセス名及びプロセスＩＤが記録され
る。

【００３８】このように、発信ログ出力デーモン１３
は、ログインに使用したユーザ名に付与されるｔｔｙと
いった識別情報と発信時刻を記録するので、複数のユー
ザが同一のユーザ名でログインした場合であっても、犯
人のコンピュータを特定することができる。

【００３９】さて、図３に戻り説明を続ける。

【００４０】犯人は、ログインしたサーバ２から、サー
バ１へと不正アクセスを行う（Ｓ７）。この不正アクセ
スにおけるＴＣＰの発信のとき（発信時刻ｔ３とする）
に、サーバ２の発信ログ出力デーモン１３が、サーバ３
の発信ログ出力デーモン１３と同様にして、発信ログを
記録する（Ｓ９）。

【００４１】したがって、ステップＳ９では、発信ログ
に、発信時刻ｔ３、サーバ１のＩＰアドレス及びポート
番号、サーバ２のＩＰアドレス及びポート番号、ユーザ
名「user２」及びこのユーザ名「user２」に割り当てら
れたｔｔｙ、プロセス名及びプロセスＩＤが記録され
る。

【００４２】さて、サーバ１にあっては、侵入者検知シ
ステムが、この不正アクセスを検知し（Ｓ１１）、アク
セスログに時刻ｔ３とサーバ２のＩＰアドレスとを記録
するとともに、これら情報をコンソール４に通知する
（Ｓ１３）。

【００４３】すると、コンソール４からサーバ２へとエ
ージェント１２が移動し（Ｓ１５）、さらに追跡が必要
な場合は、エージェント１２はサーバ３へと移動する
（Ｓ１７）。そして、犯人のコンピュータ５が特定でき
た場合に、エージェント１２は、予め戻る場所として設
定されたコンソール４へと移動して戻る（Ｓ１９）。

【００４４】ここで、このエージェントの移動中におけ
る動作を詳しく説明する。

【００４５】図５は、エージェント１２が行う処理を示
すフローチャートである。エージェント１２の情報入力
機能１２１が、侵入者検知システムから不正アクセスの
時刻とＩＰアドレスを通知されると、サーバ移動機能１
２２により、エージェント１２は、そのＩＰアドレスが
付与されたサーバに移動する（ステップＳ２１）。そし
て、発信ログ検索機能１２３が、移動先のサーバに格納
された発信ログを検索し、ユーザ名、ｔｔｙを取得する
（Ｓ２３）。このとき、発信ログ検索機能１２３は、通
知された時刻及びＩＰアドレスに一致する発信時刻及び
宛先のＩＰアドレスが記録された発信ログを求め、その
発信ログに記録されたユーザ名およびｔｔｙを取得す
る。なお、発信ログ検索機能１２３は、取得した情報を
追跡ログに記録する。

【００４６】次に、ｗｔｍｐログ検索機能１２４が、移
動先のｗｔｍｐログを検索してログイン元のコンピュー
タに付与されたＩＰアドレスを取得する（Ｓ２５）。こ
のとき、ｗｔｍｐログ検索機能１２４は、ステップＳ２
３で取得したユーザ名およびｔｔｙに一致するユーザ名
およびｔｔｙが記録され、かつ発信時刻がログイン時刻
とログアウト時刻の間にあるｗｔｍｐログを求め、その
ｗｔｍｐログに記録されたログイン元のＩＰアドレスを
取得する。なお、ｗｔｍｐログ検索機能１２４は、取得
した情報を追跡ログに記録する。

【００４７】次に、そのログイン元のＩＰアドレスが、
予め間接攻撃に利用されるとされたｔｅｌｎｅｔサーバ
のＩＰアドレスであるか否かを判定する（Ｓ２７）。こ
こで、ｔｅｌｎｅｔサーバのものであると判定したとき
は、ステップＳ２１へ戻り、サーバ移動機能１２２によ
り、エージェント１２が、そのログイン元のＩＰアドレ
スが付与されたサーバに移動する。

【００４８】したがって、図３に示すように、コンソー
ル４に待機していたエージェント１２がサーバ２へ移動
し、その後、サーバ３へと移動することができる。

【００４９】さて、図５のステップＳ２７で、ｔｅｌｎ
ｅｔサーバのＩＰアドレスでないと判定したときは、エ
ージェント１２は、サーバ移動機能１２２によりコンソ
ール４へ戻り（Ｓ２９）、追跡情報出力機能１２５が、
移動の間に記録された追跡ログを表示装置等に出力する
（Ｓ３１）。

【００５０】なお、上記説明したエージェント受容体１
１、エージェント１２及び発信ログ出力デーモン１３を
コンピュータで動作させるためのプログラムは、半導体
メモリ、磁気ディスク、光ディスク、光磁気ディスク、
磁気テープなどのコンピュータ読み取り可能な記録媒体
に記録したり、インターネットなどの通信網を介して伝
送させて、広く流通させることができる。

【００５１】また、待機しているエージェント１２は、
侵入者検知システムからの通知により、追跡を開始する
ようにしたが、ネットワーク管理者の操作により、コン
ソール４等に備わったキーボードやマウス等の入力装置
から入力される指令により追跡を開始するようにしても
よい。

【００５２】また、本実施の形態にあっては、エージェ
ント受容体１１や発信ログ出力デーモン１３を、既存の
ｔｅｌｎｅｔデーモンに手を加える必要がないので、簡
単な実装が行える。また、クライアントやサーバのハー
ドウェアやオペレーティングシステムに依存せずに実装
することができる。また、発信ログをサーバに記録する
ため、不正アクセスがあったときでなくとも、犯人追跡
が行える。

【００５３】なお、上記実施の形態では、サーバ１がｈ
ｔｔｐサーバなので、ｈｔｔｐプロトコルで不正アクセ
スが行われるが、サーバの種類によってはｆｔｐプロト
コルやｓｍｔｐプロトコルで攻撃されることもある。し
かしながら、本発明ではこのような攻撃に対しても効果
を発揮するのは勿論である。

【００５４】

【発明の効果】以上説明したように、本発明によれば、
各記録デーモンが、この記録デーモンの搭載されたサー
バで発信があったときに、この発信に行ったログイン元
のコンピュータのＩＰアドレスが特定できるようなログ
を逐一記録しておく。エージェントは、求めたＩＰアド
レスが、複数のサーバのうちのいずれかのＩＰアドレス
であるときは、当該ＩＰアドレスの付与されたサーバに
移動して、再度、ログイン元のコンピュータのＩＰアド
レスを求める。一方、エージェントが、求めたＩＰアド
レスが複数のサーバのうちのいずれのものでもないと判
定した場合には、かかるＩＰアドレスを不正アクセスの
起点となった犯人のコンピュータのものとして、予め定
められた管理者等のコンピュータに移動して、このＩＰ
アドレスを出力する。したがって、ログインされるサー
バを介しての間接的な不正アクセスに際しても犯人の追
跡が行えるようになり、その結果、不正アクセスの抑止
が図れる。

【図面の簡単な説明】

【図１】本発明の実施の形態を示すネットワークの構成
図である。

【図２】サーバ２、３及びコンソール４の構成を示す図
である。

【図３】不正アクセスと犯人追跡の様子を示すシーケン
ス図である。

【図４】発信ログ及びｗｔｍｐログの構成を示す図であ
る。

【図５】エージェント１２が行う処理を示すフローチャ
ートである。

【図６】従来における不正アクセスと犯人の追跡方法を
示す図である。

【符号の説明】

１ ｈｔｔｐサーバ（攻撃対象） ２，３ ｔｅｌｎｅｔサーバ ４ 管理者のコンピュータ ５ 犯人のコンピュータ １１ エージェント受容体 １２ 多段ｔｅｌｎｅｔ追跡エージェント １３ 発信ログ出力デーモン

───────────────────────────────────────────────────── フロントページの続き Ｆターム(参考） 5B017 AA03 BA06 BB09 5B085 AC03 AC11 AC14 AE00 BA07 BG07 5B089 GA11 GA21 GB02 KA17 KB04 KB13 5K030 GA15 HA08 JT06 KA01 KA02 MC08

Claims (5)

【特許請求の範囲】
1. 【請求項１】 不正アクセスの際にログインされる複数
   のサーバに搭載された各記録デーモンが、この記録デー
   モンの搭載されたサーバで発信があったときに、この発
   信を行ったログイン元のコンピュータのＩＰアドレスが
   特定できるようなログを逐一記録しておくステップと、 前記複数のサーバのいずれかに少なくとも移動するエー
   ジェントが行うステップであって、移動先のサーバで記
   録されたログを元にログイン元のコンピュータのＩＰア
   ドレスを求めるとともに、このＩＰアドレスが当該複数
   のサーバのうちのいずれかのＩＰアドレスであるとき
   は、当該ＩＰアドレスの付与されたサーバに移動するス
   テップと、 前記エージェントが、前記求めたＩＰアドレスが前記複
   数のサーバのうちのいずれのものでもない場合に、予め
   定められたコンピュータに移動して当該ＩＰアドレスを
   出力するステップとを備えることを特徴とする不正アク
   セス追跡方法。
2. 【請求項２】 前記記録デーモンは、前記ログイン元の
   コンピュータのＩＰアドレスが特定できるようなログ
   に、この記録デーモンの搭載されたサーバが、ログイン
   してきた各コンピュータに付与する唯一無二の識別情報
   と発信の時刻とを含めて記録することを特徴とする請求
   項１の不正アクセス追跡方法。
3. 【請求項３】 不正アクセスの際にログインされる複数
   のサーバに搭載された各記録デーモンが、この記録デー
   モンの搭載されたサーバで発信があったときに、この発
   信を行ったログイン元のコンピュータのＩＰアドレスが
   特定できるようなログを逐一記録しておいたときの不正
   アクセス追跡方法であって、 前記複数のサーバのいずれかに少なくとも移動するエー
   ジェントが行うステップであって、移動先のサーバで記
   録されたログを元にログイン元のコンピュータのＩＰア
   ドレスを求めるとともに、このＩＰアドレスが当該複数
   のサーバのうちのいずれかのＩＰアドレスであるとき
   は、当該ＩＰアドレスの付与されたサーバに移動するス
   テップと、 前記エージェントが、前記求めたＩＰアドレスが前記複
   数のサーバのうちのいずれのものでもない場合に、予め
   定められたコンピュータに移動して当該ＩＰアドレスを
   出力するステップとを備えることを特徴とする不正アク
   セス追跡方法。
4. 【請求項４】 前記記録デーモンまたはエージェントを
   コンピュータで動作させるプログラムである不正アクセ
   ス追跡プログラム。
5. 【請求項５】 前記記録デーモンまたはエージェントを
   コンピュータで動作させるプログラムである不正アクセ
   ス追跡プログラムが記録された記録媒体。