JP2003114876A - ネットワーク監視システム - Google Patents

Abstract

(57)【要約】 【課題】 不正に正規パスワードを取得した『サーバ管
理者なりすまし』を速やか発見し、改竄前の状態に自動
復旧させるネットワーク監視システムを提供する。 【解決手段】 外部コンピュータ１は、ＷＷＷサーバ３
へ自由にアクセスできるが、バックアップサーバ７へは
アクセスできない。また、バックアップサーバ７はＷＷ
Ｗサーバ３の全データを格納している。外部コンピュー
タ１に潜むハッカが、ＷＷＷサーバ３の管理者認証パス
ワードを不正に取得して使用した場合、ＷＷＷサーバ３
がパスワードを認証した直後に予め規定された一定操作
が行われないときは、外部コンピュータ１のアクセスを
不正アクセスと見なし、不正アクセス者に気付かれるこ
となく、ＷＷＷサーバ３の全操作内容及び変更箇所を記
録する。そして、不正アクセス者がＷＷＷサーバ３から
抜け出た直後に、バックアップサーバ７のデータによっ
て、ＷＷＷサーバ３のデータを改竄前の状態に自動修復
させる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、ネットワーク内に
設置されたＷＷＷ（World Wide Web）サーバに対する不
正操作を監視するネットワーク監視システムに関し、特
に、ＷＷＷサーバに対する外部からの不正改竄の監視及
び自動修復を行い、セキュリティ機能を一層強固に維持
するためのネットワーク監視システムに関するものであ
る。

【０００２】

【従来の技術】従来、インターネットを経由した企業ネ
ットワークへの不正アクセスを遮断するために、一般的
に、企業ネットワークの入口に“ファイアウォール（Fi
re Wall）”と呼ばれるバリア装置が設置されている。
このようなファイアウォールは、インターネットなどの
外部情報源からのパケットに対してアクセス制限を行
い、不正パケットを遮断することにより、企業ネットワ
ークを不正アクセスからガードしている。しかしなが
ら、ハッカなどのように、ファイアウォールを巧妙に通
過して侵入してくる不正アクセスも存在するため、ネッ
トワーク監視システムを企業ネットワーク内に設置し
て、これらの不正アクセスに対処している。

【０００３】以下、従来のネットワーク監視システムに
よって行われている不正アクセス検出方法及び遮断方法
について具体的に説明する。図５は、企業ネットワーク
の不正アクセスを監視するための従来のネットワーク監
視システムの構成図であり、企業ネットワーク内のＷＷ
Ｗサーバに対する一般的な不正アクセス対策方法を実現
するためのネットワーク監視システムの概念を示してい
る。同図において、企業ネットワークは、外部コンピュ
ータ１からはアクセスできない社内ＬＡＮ（Local Area
Network）９と、インターネット１０側からの不正攻撃
からＷＷＷサーバ３などの公開サーバを守るための情報
管理単位であるＤＭＺ（DeMilitarizedZone）８とによ
って構成されている。このように構成された企業ネット
ワークとインターネット１０との接点にファイアウォー
ル２を設置して、ハッカを含む外部コンピュータ１から
企業ネットワークへのアクセスの制限を行っている。

【０００４】通常、企業ネットワークは、ファイアウォ
ール２によって、外部からのアクセスを原則的に遮断す
る第１セグメント（社内ＬＡＮ９）と、インターネット
１０と第１セグメント（社内ＬＡＮ９）の両方から分離
独立された第２セグメント（ＤＭＺ８）とに分割されて
管理されている。前者は同一構内のみでネットワークを
構成する社内ＬＡＮ９として利用され、後者は企業のホ
ームページが置かれているＷＷＷサーバ３や、ダウンロ
ード用ファイルが置かれているＦＴＰ（File Transfer
Protocol）サーバ（図示せず）や、外部からのメールを
受け付けるメールサーバ（図示せず）などの公開サーバ
を設置する分離セグメントとして利用される。

【０００５】ファイアウォール２は、ＤＭＺ８に対して
はホームページ閲覧に使用するＨＴＴＰ（Hyper Text T
ransfer Protocol）ポートや、ｅメールの送受信に使用
するＳＭＴＰ（Simple Mail Transfer protocol）ポー
トに対するアクセスのみを許可している。また、ファイ
アウォール２は、社内ＬＡＮ９に対してはハッカを含む
外部コンピュータ１からのアクセスを全て遮断して不正
アクセスに対応している。つまり、ＤＭＺ８内に備える
ネットワーク監視装置４が、企業ネットワークを流れる
パケットを調査し、不正パケットを検出した場合は、フ
ァイアウォール２に通知して不正パケットの受け取り拒
否を行っている。

【０００６】このように、企業ネットワークがＤＭＺ８
と社内ＬＡＮ９の２つに分割されてセキュリティ管理さ
れているのは、ＤＭＺ８内のＷＷＷサーバ３は制限付き
ではあるが外部コンピュータ１からアクセスが可能であ
るため、外部コンピュータ１に含まれるハッカなどの悪
意を持った第三者による攻撃を受ける可能性があるから
である。例えば、外部コンピュータ１に潜むハッカが、
ＷＷＷサーバ３に対してサーバの処理量を遥かに超える
大量のＨＴＴＰ接続要求パケットを送りつけた場合、パ
ケット自身は“正規の”パケットであるので、ファイア
ウォール２を通過してＤＭＺ８内のＷＷＷサーバ３に到
達してしまうため、結果としてＷＷＷサーバ３が過負荷
となってダウンしてしまうおそれがある。

【０００７】そこで、社内ＬＡＮ９とＷＷＷサーバ３の
設置されるＤＭＺ８とを分割しておけば、仮に、企業ネ
ットワークが外部コンピュータ１に潜むハッカなどから
攻撃を受けたとしても、ＷＷＷサーバ３のみの被害で抑
えられ、社内ＬＡＮ９に対する被害は防止される。ま
た、社内ＬＡＮ９内の非公開サーバ６にＷＷＷサーバ３
の原本を置き、情報の更新作業も原則的には社内ＬＡＮ
９側で対応し、ＷＷＷサーバ３には原本のコピーを置く
ようにすれば、万一、攻撃を受けてＷＷＷサーバ３が破
壊された場合でも迅速に復旧を行うことができる。

【０００８】ところで、外部コンピュータ１からの電文
をＷＷＷサーバ３に渡すアプリケーションを指定する方
法として、機能(アプリケーション)毎に“ポート番号”
と呼ばれる固有の数字が定義されており、外部からＷＷ
Ｗサーバ３のアプリケーションに要求電文を送るとき、
要求内容とともにポート番号も送信される。そして、Ｗ
ＷＷサーバ３側では、受信した要求電文中のポート番号
を照合し、受信したポート番号と一致するポート番号を
持つアプリケーションヘ要求電文を渡す。例えば、ホー
ムページを閲覧するために使用されるＨＴＴＰ(Hyper T
ext Transfer Protocol)のポート番号は“８０”、ファ
イルのダウンロード／アップロードに使用されるＦＴＰ
のポート番号は“２１”と決められている。したがっ
て、ＷＷＷサーバ３にアクセスしてホームページを閲覧
する場合は、外部コンピュータ１よりポート番号“８
０”と要求内容が書かれた電文が送られてくることにな
る。このようにして、目的のアプリケーションヘの電文
の受け渡しを行っている。

【０００９】このように、ＷＷＷサーバ３は外部コンピ
ュータ１に公開されていることから攻撃され易い要素を
内在しており、また、外部コンピュータ１からの攻撃に
は比較的脆弱であるため、不正アクセスがあった場合に
は迅速に対応出来る仕組みが必要となる。現在、このよ
うな問題を解決するために、ネットワーク監視装置４を
設置して、ネットワークを流れるパケット(電文の送受
信単位)を監視する方法がとられている。このネットワ
ーク監視装置４は、ＤＭＺ８のネットワーク上を流れる
パケットを捕捉して、予め登録されている不正アクセス
パターン解析等の方法を用いて不正アクセスのチェック
を行っている。そして、ネットワーク監視装置４が不正
アクセスを検知した場合は、電子メールや別途設置され
た監視用モニタ表示（図示せず）等の手段によって、管
理者に対して通報処理を行っている。また、ネットワー
ク監視装置４は、ファイアウォール２に対して不正パケ
ット送信元のアドレスからのアクセスを遮断させる制御
を行う場合もある。

【００１０】不正アクセスは、主に、サーバアプリケー
ションソフトのセキュリティ部分に関するソフトウェア
バグ(セキュリティホール)を悪用して行われる。ソフト
ウェアにおいて不具合(バグ)を１００パーセント取り除
くことは不可能であり、開発者側でも把握しきれていな
いセキュリティホールが存在する可能性があるため、そ
の部分を狙って攻撃してくることが考えられる。

【００１１】実際問題として、インターネット１０上に
は、セキュリティホールを自動的に探索して不正にアプ
リケーションソフトの管理権を奪うソフトウェアが氾濫
しており、これらのソフトウェアが不正アクセス用に悪
用されている。セキュリティホールの探索及びサーバ管
理権の不正取得には、対象となるサーバコンピュータに
対し、アプリケーションソフトの管理権を奪取すること
を可能にする要求文(コマンド)にランダムなポート番号
を付与し、サーバ内の全アプリケーションソフトに電文
を送りつける方法が多く用いられる。

【００１２】もし、セキュリティホールのあるアプリケ
ーションソフトが存在すれば、そのアプリケーションソ
フトのポートで不正プログラムが隠された要求電文を受
け取ってしまう確率が高く、取り込まれた不正プログラ
ムの起動により、外部コンピュータ１にＷＷＷサーバ３
の管理権を奪われてしまう。但し、本来、ホームページ
を閲覧するために使用される“８０”ポート以外の他の
ポートに対しても電文の送りつけが頻繁に行われるた
め、通常の閲覧のためのアクセスと区別され、その大部
分が不審なアクセスとしてネットワーク監視装置に検出
されることになる。そこで、不正アクセスを検出した場
合は、セッションの遮断や、ファイアウォール２に対す
る不正アクセス元のＩＰ（Internet Protocol）アドレ
スからの通信遮断要求や、監視コンソール（図示せず）
ヘの通知などを行う。このような方法により、ＤＭＺ８
に設置されたＷＷＷサーバ３ヘの攻撃に対する被害拡大
の防止を図っている。

【００１３】

【発明が解決しようとする課題】しかしながら、従来の
不正アクセス監視方法では対処しきれない種々の問題も
ある。つまり、セキュリティホールに関する対策情報
は、サーバアプリケーション利用者が不正アクセスによ
る損害を被らないように、セキュリティ対策が確定次
第、アプリケーション開発者側から、随時、外部コンピ
ュータ１の一般ユーザに公表される。したがって、一般
ユーザを含めて誰でも（つまり、ハッカでも）セキュリ
ティホールに関する対策情報を容易に入手することがで
きる。但し、実際は、全てのユーザ（外部コンピュータ
１）が、セキュリティホールの対策情報が公開された直
後に、直ちにセキュリティ対策を実施するわけではな
い。その結果、外部コンピュータ１に潜むハッカは、こ
れまでに明確になっているセキュリティホールを狙っ
て、ネットワーク監視装置４に発見されることなく、巧
妙にＷＷＷサーバ３へ不正に侵入することも可能とな
る。

【００１４】また、何らかの方法で管理者用パスワード
が盗難されて、正規のパスワードを悪用して管理者にな
りすまされた場合、ＷＷＷサーバ３及びネットワーク監
視装置４は、共に、不正侵入を検知することが非常に困
難になる。場合によっては、一般ユーザの外部コンピュ
ータ１がホームページ閲覧の為にアクセスして、初めて
改竄が発見されることもある。現に、このような不正ア
クセスの事例が多数報告されている。このような不正ア
クセスによって改竄を受けた内容が、企業の財務情報や
株式情報などである場合は、大規模な損害が発生するお
それも予想される。

【００１５】本発明はこのような事情に鑑みてなされた
ものであり、その目的とするところは、不正アクセス等
により、改竄が行われても直ちに改竄以前の状態に復旧
させることにより、改竄による被害を防止することので
き、また、正規なパスワードの不正取得によるサーバ管
理者なりすましなどのように、従来のネットワーク監視
装置では検知することが困難なＷＷＷサーバヘの侵入を
速やか発見することができるネットワーク監視システム
を提供することにある。

【００１６】

【課題を解決するための手段】上記の課題を解決するた
めに、本発明は、インターネットを介して外部コンピュ
ータに接続されたプライベートネットワークへの不正ア
クセスを監視するネットワーク監視システムにおいて、
前記インターネットを経由して前記外部コンピュータへ
公開されるＷＷＷサーバと、前記外部コンピュータに対
して非公開であって、前記ＷＷＷサーバ内に存在するデ
ータと同一のデータをバックアップ用として格納するバ
ックアップサーバとを備え、前記ＷＷＷサーバは、前記
外部コンピュータによって行われたデータ改竄の検知手
段と、前記バックアップサーバに格納されたデータを使
用して改竄個所のデータの修復を行うデータ修復手段と
を備えていることを特徴とする。

【００１７】このような構成によれば、バックアップサ
ーバがＷＷＷサーバのバックアップ用データを格納して
いるので、万一ハッカなどによってＷＷＷサーバのデー
タが改竄された場合でも、改竄個所を記録しておけば、
バックアップサーバに格納されたデータを使用して、改
竄個所のデータを自動的に修復することができる。ま
た、データ改竄の検知により、不正に取得されたパスワ
ードを使用したサーバ管理者へのなりすましを迅速に発
見することも可能となる。

【００１８】また、本発明のネットワーク監視システム
において、前記データ改竄の検知手段は、前記外部コン
ピュータによるデータ改竄が検知されたとき、前記バッ
クアップサーバに格納されたデータを使用して、該ＷＷ
Ｗサーバ内の全データの書き換えを行うことにより、改
竄個所のデータを修復することを特徴とする。

【００１９】このような構成によれば、ＷＷＷサーバの
データの一部が改竄された場合において、ＷＷＷサーバ
の改竄個所を記録しないでも、バックアップサーバに格
納されたデータによって、ＷＷＷサーバの全データを書
き換えて自動修復することができる。

【００２０】また、本発明のネットワーク監視システム
において、前記バックアップサーバがバックアップ用と
して格納するデータは、前記ＷＷＷサーバ内に存在する
ファイルのうち、少なくとも所定のホームページを表示
するために必要なファイルであり、前記修復手段は、前
記外部コンピュータによってデータが改竄されたとき、
ホームページを表示するために必要なファイルの修復を
行うことを特徴とする。

【００２１】ＷＷＷサーバは外部コンピュータに対して
ホームページを公開しているので、ホームページのファ
イルが最も狙われやすく、外部からの攻撃には比較的脆
弱である。したがって、ＷＷＷサーバのホームページの
ファイルをバックアップサーバに格納しておけば、万
一、ＷＷＷサーバのホームページのファイルが改竄され
ても、バックアップサーバに格納されたホームページの
ファイルを用いて自動修復を行うことができる。

【００２２】また、本発明のネットワーク監視システム
において、前記ＷＷＷサーバは、入力装置より入力され
た任意のキー操作を記録する規定操作記録手段と、パス
ワードの認証を完了した直後の被認証者のキー操作を監
視し、前記規定操作記録手段に記録されている規定操作
と前記キー操作との比較を行い、該キー操作の正当性を
判定する規定操作認証手段と、前記規定操作認証手段に
より正当性を欠くキー操作と判定された時点から、キー
操作を終了してアクセス者が前記ＷＷＷサーバから抜け
出るまでのキー操作による変更個所を記録する変更箇所
記録手段とを備えることを特徴とする。

【００２３】本発明のネットワーク監視システムによれ
ば、サーバ管理者認証パスワードを不正に取得されて使
用された場合でも、パスワード認証直後に予め規定され
た一定操作が行われない場合は、そのアクセスを不正ア
クセスと見なして変更箇所などの改竄情報を記録してお
く。これによって、不正アクセス者がＷＷＷサーバから
抜け出した直後に改竄前のデータに修復することができ
る。つまり、不正操作の記録を不正アクセス者、例えば
ハッカなどに気付かれないようにバックグラウンドで処
理を行い、不正に侵入した者に対しては侵入先のＷＷＷ
サーバの内容改竄を一旦黙認し、侵入者の自己満足を敢
えて満たさせる方法を取ることによって、侵入者を刺激
することなく、データ改竄の被害を最小限にくい止める
ことが可能となる。

【００２４】

【発明の実施の形態】以下、図面を用いて、本発明のネ
ットワーク監視システムについて詳細に説明する。図１
は本発明のネットワーク監視システムの構成図である。
図１に示すネットワーク監視システムの構成が、図５に
示す従来のシステム構成と異なるところは、社内ＬＡＮ
９内に、ＷＷＷサーバ３のバックアップ用のデータを保
存し、不正アクセスが行われたときにＷＷＷサーバ３に
対してデータのバックアップを行うバックアップサーバ
７を備えていることと、ＷＷＷサーバ３が、不正侵入の
検知と改竄個所の自動修復とを行うためのアプリケーシ
ョンソフトを備えていることである。

【００２５】図１において、企業ネットワークは、ＤＭ
Ｚ８と社内ＬＡＮ９とにセグメントが分割されている。
そして、インターネット１０と企業ネットワーク（ＤＭ
Ｚ８及び社内ＬＡＮ９）の接点にはファイアウォール２
が設置され、外部コンピュータ１からのアクセスが制限
されて企業ネットワークへの不正アクセスを遮断してい
る。また、ＤＭＺ８には、企業のホームページが置かれ
て外部からのアクセスが可能なＷＷＷサーバ３と、外部
コンピュータ１から企業ネットワークへの不正アクセス
を監視するネットワーク監視装置４とが設置されてい
る。さらに、社内ＬＡＮ９には、ＷＷＷサーバ３のファ
イルの原本を備える非公開サーバ６と、ＤＭＺ８に設置
されたＷＷＷサーバ３のホームページに関するファイル
と全く同じ内容のファイルを格納し、必要に応じてＷＷ
Ｗサーバ３のデータのバックアップを行い、ＷＷＷサー
バ３への改竄を防止するバックアップサーバ７とを備え
ている。

【００２６】また、ＷＷＷサーバ３には、ＷＷＷサーバ
３自身のアプリケーションソフトと連携して不正侵入の
検知、及び改竄箇所の自動修復を行うためのＷＷＷサー
バ３のアプリケーションソフトが導入されている。した
がって、先ず、このようなＷＷＷサーバ３のアプリケー
ションソフトの主要機能について説明する。つまり、こ
のＷＷＷサーバ３のアプリケーションソフトは、少なく
とも次のような幾つかの機能を備えている。

【００２７】第１に、ＷＷＷサーバ３の内容変更操作を
行う際に外部コンピュータ１のパスワードの認証を行う
『パスワード認証機能』を備えている。第２に、ＷＷＷ
サーバ３のデータ記録開始手続きを行ってから、一定期
間内の任意のキー操作手順を記録する『規定操作記録機
能』を備えている。第３に、ＷＷＷサーバ３のＯＳ（オ
ペレーションシステム）、若しくは、他のアプリケーシ
ョンソフトが行うパスワード認証状況をモニタし、認証
完了後に直ちに操作者の操作内容を記録し、予め登録さ
れた操作手順と操作者の操作内容との比較を行い、変更
操作の正当性を判定する『規定操作認証機能（本発明の
検出手段）』を備えている。第４に、変更操作と規定操
作との比較結果が一致した場合は制約を与えることなく
通常通りの操作が出来るようにし、比較結果が不一致の
場合は、認証手続き完了直後から、ＷＷＷサーバ３ヘの
変更操作を終了して、ＷＷＷサーバ３から抜け出るまで
に操作者が行った変更操作による変更箇所を記録する
『変更箇所記録機能』を備えている。第５に、操作者が
ＷＷＷサーバ３から抜け出た直後に、バックアップサー
バ７のデータを使用して、記録していた変更箇所を改竄
前の状態に書き換える『改竄修復機能（本発明の修復手
段）』を備えている。

【００２８】図２は、図１に示すネットワーク監視シス
テムの構成図を機能的に表したブロック図である。つま
り、図２は、ＷＷＷサーバ３のアプリケーション機能を
手段として構成したブロック図である。図２において、
ネットワーク監視システムは、ホームページ閲覧用とし
て外部コンピュータ１に公開される公開用のＷＷＷサー
バ３と、外部コンピュータ１からのアクセスが制限して
企業ネットワーク（ＤＭＺ８及び社内ＬＡＮ９）内への
不正アクセスを遮断するファイアウォール２と、外部コ
ンピュータ１から企業ネットワークへの不正アクセスを
監視するネットワーク監視装置４と、ＷＷＷサーバ３の
データの原本を格納する非公開サーバ６と、ＷＷＷサー
バ３内に存在するファイルのうち、少なくとも所定のホ
ームページを表示するために必要なファイルを改竄修復
用として格納するバックアップサーバ７とによって構成
されている。

【００２９】そして、ＷＷＷサーバ３は、自己の内容変
更操作を行う際に外部コンピュータ１からパスワードを
要求し、入力された文字列と予め設定された文字列との
比較を行い、変更操作の許可若しくは不許可を決定する
パスワード認証手段１１と、パスワード不正取得者対策
用として、キーボード等の入力装置より入力された任意
のキー操作を記録する規定操作記録手段１２と、パスワ
ード認証完了直後の被認証者のキー操作を監視し、規定
操作記録手段１２に記録されている規定操作と認証者の
キー操作との比較を行い、変更操作の正当性を判定する
規定操作認証手段１３と、規定操作認証手段１３により
不正変更操作と判断された時点から、不正変更操作を終
了して、アクセス者がＷＷＷサーバ３から抜け出るまで
の変更(つまり改竄)操作を記録する変更箇所記録手段１
４と、変更箇所記録手段１４による記録情報により、不
正アクセス者がサーバから抜け出た後、バックアップサ
ーバ７のデータを使用して改竄が行われた箇所を修復す
る改竄修復手段１５とによって構成されている。これに
よって、ＷＷＷサーバ３の管理者認証パスワードが不正
に取得されて使用された場合でも、パスワード認証直後
に予め規定された一定操作が行われない場合は、そのア
クセスを不正なアクセスと見なし、不正アクセス者に気
付かれることなくその全操作内容及び変更箇所を記録す
る。そして、不正アクセス者がＷＷＷサーバ３から抜け
出た直後に改竄前の状態にデータを自動修復する。

【００３０】次に、フローチャートを用いて、本発明に
おけるネットワーク監視システムが、データの改竄検出
とデータの自動修復を行う場合の動作の流れを説明す
る。図３は、本発明におけるネットワーク監視システム
がデータの改竄検出と自動修復を行う場合の動作の流れ
を示すフローチャート其の一である。このフローチャー
トの場合は、外部コンピュータによる所定の変更操作が
完了してから、入力されたデータが正当なものであるか
否かを比較判定して改竄検出を行う動作の流れを示して
いる。

【００３１】図３において、先ず、ＷＷＷサーバ３のパ
スワード認証手段１１が、他のプログラムが実行するパ
スワード認証処理が行われるまでの待機状態において、
常にバックグラウンドでパスワード認証処理動作の監視
を行い、パスワード認証が完了したか否かの判定を行う
（ステップＳ１）。そして、パスワード認証処理が完了
し正規の変更操作許可者と見なされた場合には（ステッ
プＳ１，ＹＥＳ）、ＷＷＷサーバ３ヘのアクセス権限が
変更権の無いレベルから変更権のあるレベルに遷移する
ため、これをトリガとして変更操作許可者の操作記録を
開始し、予め規定した時間内や操作回数等の範囲内に行
われた全ての操作情報を記録する（ステップＳ２）。こ
こで、変更操作を行っている時間が規定時間に到達した
か否か、または変更操作を行っている回数が規定回数に
到達してか否かの判定を行う（ステップＳ３）。

【００３２】そして、変更操作が規定時間または規定回
数に到達していなければ（ステップＳ３，ＮＯ）、ステ
ップＳ２に戻り変更操作の記録を継続する。一方、変更
操作が規定時間または規定回数に到達したならば（ステ
ップＳ３，ＹＥＳ）、規定時間や規定回数に達した時点
で、予め登録されている規定操作情報Ａを取得し、その
規定操作情報Ａのデータと今回行った変更操作手順のデ
ータとを比較し（ステップＳ４）、比較結果が一致して
いるか否かの判定を行う（ステップＳ５）。

【００３３】ここで、規定操作情報Ａのデータ内容と今
回の変更操作手順のデータ内容とが一致した場合は（ス
テップＳ５，ＹＥＳ）、正規の操作者と判定して、改竄
判定システムから抜け出るための操作者ログアウトを行
い（ステップＳ６）、その後は、ＣＰＵの無命令処理で
あるＮＯＰ（No-Operation Instruction）を実行し（ス
テップＳ７）、ＷＷＷサーバ３から抜け出るまでの間は
何の処理も行わないでセッションを切断する（ステップ
Ｓ８）。尚、この場合は、操作記録動作を停止させても
よい。

【００３４】一方、ステップＳ５で規定操作情報Ａのデ
ータ内容と今回の変更操作手順のデータ内容とが不一致
の場合は（ステップＳ５，ＮＯ）、先ず、改竄判定シス
テムから抜け出るための操作者ログアウトを行い（ステ
ップＳ９）、パスワードの不正取得による正規操作許可
者へのなりすましと判定し、ＷＷＷサーバ３ヘの変更操
作を終了してＷＷＷサーバ３から抜け出すまでの間、操
作内容や変更を行った箇所(若しくはファイル)の記録を
続行する（ステップＳ１０）。

【００３５】ＷＷＷサーバ３から抜け出たかどうかは、
ステップＳ９でＷＷＷサーバ３からログアウト操作が実
行されたとき、操作者のＩＰ(Internet Protocol)アド
レスを記録し、そのＩＰアドレスからのセッションが切
断されたとき等をトリガにして判定することが可能であ
る。このような方法で操作者がＷＷＷサーバ３から抜け
出たことが確認された直後に（ステップＳ１１）、変更
箇所の該当データをバックアップサーバ７に要求する
（ステップＳ１２）。

【００３６】すると、ＦＴＰ(File Transfer Protocol)
等のファイル転送技術やサーバ間でのファイルコピー技
術などの方法により、ＷＷＷサーバ３に記録された変更
箇所(若しくはファイル)に該当するファイルが、バック
アップサーバ７よりＷＷＷサーバ３の所定位置に転送さ
れてファイル置換が行われ、ＷＷＷサーバ３は変更が行
われる以前の状態にデータ内容が修復される（ステップ
Ｓ１３）。但し、修復操作については、基本的に変更操
作が行われる以前の状態に戻せばよいので、変更箇所を
記録せず、バックアップサーバ７に格納されているホー
ムページ表示に関わる全フアイルを転送してもよい。

【００３７】図４は、本発明におけるネットワーク監視
システムがデータの改竄検出と自動修復を行う場合の動
作の流れを示すフローチャート其の二である。このフロ
ーチャートの場合は、所定の変更操作が行われる度に入
力されたデータが正当なものであるか否かを比較して改
竄検出を行うものである。したがって、前述の図３のフ
ローチャートで、所定の操作が終わったときにデータ比
較を一括して行っていたものを、図４のフローチャート
では、操作ごとにデータ比較を行うようにしたものであ
る。しかし、全体のステップの流れが図３とは若干変わ
るので、図３のステップと重複する部分もあるが、改め
て、図４のフローチャートに従って改竄検出と自動修復
を行う場合の動作の流れを説明する。

【００３８】図４において、先ず、ＷＷＷサーバ３のア
プリケーションソフトのパスワード認証手段１１が、他
のプログラムが実行するパスワード認証処理が行われる
までの待機状態において、常にバックグラウンドでパス
ワード認証処理動作の監視を行い、パスワード認証が完
了したか否かの判定を行う（ステップＳ２１）。そし
て、パスワード認証処理が完了し正規の変更操作許可者
と見なされた場合には（ステップＳ２１，ＹＥＳ）、Ｗ
ＷＷサーバ３ヘのアクセス権限が変更権の無いレベルか
ら変更権のあるレベルに遷移するため、これをトリガと
して変更操作許可者の操作記録を開始し（ステップＳ２
２）、操作が行われる度に、逐一、予め登録されている
規定操作情報Ａのデータと今行った操作の変更操作手順
のデータとを比較し（ステップＳ２３）、比較結果が一
致しているか否かの判定を行う（ステップＳ２４）。

【００３９】ここで、規定操作情報Ａのデータ内容と、
行った変更操作手順のデータ内容とが一致した場合は
（ステップＳ２４，ＹＥＳ）、変更操作を行っている時
間が規定時間に到達したか否か、または変更操作を行っ
ている回数が規定回数に到達してか否かの判定を行う
（ステップＳ２５）。ここで、変更操作が規定時間また
は規定回数に到達していなければ（ステップＳ２５，Ｎ
Ｏ）、ステップＳ２２に戻り変更操作の記録を継続す
る。一方、変更操作が規定時間または規定回数に到達し
たならば（ステップＳ２５，ＹＥＳ）、正規の操作者と
判定して、改竄判定システムから抜け出るための操作者
ログアウトを行い（ステップＳ２６）、その後は、ＣＰ
Ｕの無命令処理であるＮＯＰ（No-Operation Instructi
on）を実行し（ステップＳ２７）、ＷＷＷサーバ３から
抜け出るまでの間は何の処理も行わないでセッションを
切断する（ステップＳ２８）。尚、この場合は、操作記
録動作を停止させてもよい。

【００４０】一方、ステップＳ２４で、規定操作情報Ａ
のデータ内容と、行った変更操作手順のデータ内容とが
一致しなかった場合は（ステップＳ２４，ＮＯ）、変更
操作を行っている時間が規定時間に到達したか否か、ま
たは変更操作を行っている回数が規定回数に到達してか
否かの判定を行う（ステップＳ２９）。ここで、変更操
作が規定時間または規定回数に到達していなければ（ス
テップＳ２９，ＮＯ）、何の処理も行わないで、つまり
無命令処理であるＮＯＰを実行し（ステップＳ３０）、
変更操作が規定時間または規定回数に達するまで判定を
繰り返す（ステップＳ２９に戻る）。

【００４１】そして、変更操作が規定時間または規定回
数に達した時点で（ステップＳ２９，ＹＥＳ）、改竄判
定システムから抜け出るための操作者ログアウトを行い
（ステップＳ３１）、操作者はパスワードの不正取得に
よる正規操作許可者へのなりすましであると判定し、Ｗ
ＷＷサーバ３ヘの変更操作を終了してＷＷＷサーバ３か
ら抜け出すまでの間に、操作内容や変更箇所(若しくは
ファイル)の記録を続行する（ステップＳ３２）。ここ
で、操作者がＷＷＷサーバ３から抜け出たかどうかは、
ステップＳ３１でＷＷＷサーバ３からログアウト操作が
実行されたとき、操作者のＩＰ(Internet Protocol)ア
ドレスを記録し、そのＩＰアドレスからのセッションが
切断されたとき等をトリガにして判定することが可能で
ある。このような方法で操作者がＷＷＷサーバ３から抜
け出たことが確認された直後に（ステップＳ３３）、変
更箇所の該当データをバックアップサーバ７に要求する
（ステップＳ３４）。

【００４２】すると、ＦＴＰ(File Transfer Protocol)
等のファイル転送技術やサーバ間でのファイルコピー技
術などの方法により、ＷＷＷサーバ３に記録された変更
箇所(若しくはファイル)に該当するファイルが、バック
アップサーバ７よりＷＷＷサーバ３の所定位置に転送さ
れてファイル置換が行われ、変更が行われる以前の状態
にデータ内容が修復される（ステップＳ３５）。但し、
修復操作については、基本的に変更操作が行われる以前
の状態に戻せばよいので、変更箇所を記録せず、バック
アップサーバ７に格納されているホームページ表示に関
わる全フアイルを転送してもよい。

【００４３】

【発明の効果】以上説明したように、本発明のネットワ
ーク監視システムは、従来のネットワーク監視システム
に対してバックアップサーバを追加し、そのバックアッ
プサーバがＷＷＷサーバのバックアップ用のデータを格
納している。したがって、若し、ハッカなどによってＷ
ＷＷサーバのデータが改竄された場合は、ＷＷＷサーバ
の改竄個所を記録し、バックアップサーバに格納された
データを使用して改竄個所のデータを自動的に元のデー
タに修復することができる。あるいは、ＷＷＷサーバの
データの一部が改竄された場合は、ＷＷＷサーバの改竄
個所を記録しないで、バックアップサーバに格納された
データによって、ＷＷＷサーバの全データを書き換えて
自動修復することもできる。

【００４４】つまり、従来のネットワーク監視システム
では、サーバ管理者認証パスワードが不正に取得されて
不正アクセスされた場合は、その検知は非常に困難であ
った。しかし、本発明のネットワーク監視システムによ
れば、サーバ管理者認証パスワードが不正に取得されて
ＷＷＷサーバヘ不正アクセスされても、パスワードが認
証された直後に、予め規定された一定操作が行われない
場合は、そのアクセスを不正アクセスと見なすことがで
きる。そして、不正アクセス者に気付かれることなく、
その全操作内容及び変更箇所を自動的に記録し、不正ア
クセス者がＷＷＷサーバから抜け出た直後に改竄前の状
態へ自動修復することができる。また、不正操作の記録
を不正アクセス者などに気付かれないように、バックグ
ラウンドで処理を行い、不正に侵入した者に対しては侵
入先のＷＷＷサーバの内容改竄を一旦黙認することもで
きる。このようにして、侵入者の自己満足を敢えて満た
させる方法を取ることによって、侵入者を下手に刺激す
ることなく、ＷＷＷサーバのデータ改竄の被害を最小限
に食い止めることができる。

【図面の簡単な説明】

【図１】 企業ネットワークの不正アクセスを監視する
ための、本発明のネットワーク監視システムの構成図で
ある。

【図２】 図１に示すネットワーク監視システムの構成
図を機能的に表したブロック図である。

【図３】 本発明におけるネットワーク監視システムが
データの改竄検出と自動修復を行う場合の動作の流れを
示すフローチャート其の一である。

【図４】 本発明におけるネットワーク監視システムが
データの改竄検出と自動修復を行う場合の動作の流れを
示すフローチャート其の二である。

【図５】 企業ネットワークの不正アクセスを監視する
ための従来のネットワーク監視システムの構成図であ
る。

【符号の説明】

１ 外部コンピュータ、２ ファイアウォール、３ Ｗ
ＷＷサーバ、４ ネットワーク監視装置、６ 非公開サ
ーバ、７ バックアップサーバ、８ ＤＭＺ（DeMilita
rized Zone）、９ 社内ＬＡＮ、１０ インターネッ
ト、１１ パスワード認証手段、１２ 規定操作記録手
段、１３ 規定操作認証手段（検出手段）、１４ 変更
箇所記録手段、１５ 改竄修復手段（修復手段）。

Claims (4)

【特許請求の範囲】
1. 【請求項１】 インターネットを介して外部コンピュー
   タに接続されたプライベートネットワークへの不正アク
   セスを監視するネットワーク監視システムにおいて、 前記インターネットを経由して前記外部コンピュータへ
   公開されるＷＷＷサーバと、 前記外部コンピュータに対して非公開であって、前記Ｗ
   ＷＷサーバ内に存在するデータと同一のデータをバック
   アップ用として格納するバックアップサーバとを備え、 前記ＷＷＷサーバは、前記外部コンピュータによって行
   われたデータ改竄の検知手段と、前記バックアップサー
   バに格納されたデータを使用して改竄個所のデータの修
   復を行うデータ修復手段とを備えていることを特徴とす
   るネットワーク監視システム。
2. 【請求項２】 請求項1に記載のネットワーク監視シス
   テムにおいて、 前記データ改竄の検知手段は、前記外部コンピュータに
   よるデータ改竄が検知されたとき、前記バックアップサ
   ーバに格納されたデータを使用して、該ＷＷＷサーバ内
   の全データの書き換えを行うことにより、改竄個所のデ
   ータを修復することを特徴とするネットワーク監視シス
   テム。
3. 【請求項３】 請求項１に記載のネットワーク監視シス
   テムにおいて、 前記バックアップサーバがバックアップ用として格納す
   るデータは、前記ＷＷＷサーバ内に存在するファイルの
   うち、少なくとも所定のホームページを表示するために
   必要なファイルであり、 前記修復手段は、前記外部コンピュータによってデータ
   が改竄されたとき、ホームページを表示するために必要
   なファイルの修復を行うことを特徴とするネットワーク
   監視システム。
4. 【請求項４】 請求項１乃至請求項３のいずれかに記載
   のネットワーク監視システムにおいて、 前記ＷＷＷサーバは、 入力装置より入力された任意のキー操作を記録する規定
   操作記録手段と、 パスワードの認証を完了した直後の被認証者のキー操作
   を監視し、前記規定操作記録手段に記録されている規定
   操作と前記キー操作との比較を行い、該キー操作の正当
   性を判定する規定操作認証手段と、 前記規定操作認証手段により正当性を欠くキー操作と判
   定された時点から、キー操作を終了してアクセス者が前
   記ＷＷＷサーバから抜け出るまでのキー操作による変更
   個所を記録する変更箇所記録手段とを備えることを特徴
   とするネットワーク監視システム。