JP2004147067A

JP2004147067A - 通信分析装置及びこれを用いた通信管理装置

Info

Publication number: JP2004147067A
Application number: JP2002309655A
Authority: JP
Inventors: Takehito Yoshida; 吉田　武央
Original assignee: Fuji Xerox Co Ltd
Current assignee: Fujifilm Business Innovation Corp
Priority date: 2002-10-24
Filing date: 2002-10-24
Publication date: 2004-05-20
Anticipated expiration: 2022-10-24
Also published as: JP3948389B2; US7337155B2; US20040083389A1

Abstract

【課題】問題行動と明確に決めつけることが困難なユーザのネットワーク通信行動に対する対処のためのツールを提供する。
【解決手段】行動分析装置１４は、ゲートウェイ装置１２を介するドメイン１０内の各ユーザＰＣ１６とインターネット２０との間の通信を監視する。検出した通信の中に、例えばユーザの情報漏洩の観点での監視項目に該当するものがあれば、その監視項目に対応する重み値を、当該ユーザの情報漏洩の可能性についての評価値に加算する。そして単位時間ごとにその評価値を集計して記録する。行動分析装置１４は、その集計値の時系列推移のデータを、予測処理のための学習を済ませたニューラルネットワークに入力し、近未来の時点でのユーザの情報漏洩の可能性を予測する。この予測により漏洩のリスクが高まると判断される場合は、行動分析装置１４はセキュリティ管理者に対して警告の電子メールを送る。
【選択図】　　　　図１

Description

【０００１】
【発明の属する技術分野】
本発明は、データ通信ネットワークにおけるユーザの問題行動の分析と、これを利用したセキュリティ技術に関する。
【０００２】
【従来の技術】
近年のネットワーク化された組織環境では、ネットワークを利用した組織スタッフの各種問題行動がセキュリティ上問題となっている。よく知られた問題には、例えば、ウェブページの私的閲覧や私用メール等のネットワーク資源の私的利用や、ネットワークを利用した外部への情報漏洩などがある。
【０００３】
このような組織スタッフによるネットワークの不正利用を防止する方策としては、従来、フィルタリング技術が用いられている。フィルタリング技術では、企業内ＬＡＮとインターネットとの間に設けられるゲートウェイに、アクセス制限対象のＵＲＬ（Ｕｎｉｆｏｒｍ　Ｒｅｓｏｕｒｃｅ　Ｌｏｃａｔｏｒ）や、送信できない電子メール宛先などのフィルタルールを登録しておき、ＬＡＮ内からそのフィルタルールに抵触するＨＴＴＰリクエストや電子メールが発せられた場合は、それをゲートウェイでブロックしたＬＡＮ外部に出さないようにしている。
【０００４】
また、特許文献１には、ユーザが作成した電子メールの送信元及び送信先が、予め登録した送信元と送信先のペアに合致する場合のみ電子メールの発信を許可するというフィルタリング処理により、情報漏洩を防止する電子メールシステムが開示されている。
【０００５】
【特許文献１】
特開２０００−２２７３９
【０００６】
【発明が解決しようとする課題】
このようなフィルタリング処理は、問題があることが明らかなウェブサイトへのアクセスや、問題があるのが明らかなメールの送出を制限できる点では有効である。しかしながら、現実には、問題があるかどうかが不明確なグレーゾーンのウェブサイトや電子メールも多く、このようなグレーゾーンのものに対しても画一的にアクセスやメール送受信の制限を行ったのでは、スタッフの業務遂行に支障を来す可能性もある。
【０００７】
【課題を解決するための手段】
本発明はこのような問題に鑑みなされたものであり、問題行動と明確に決めつけることが困難なユーザのネットワーク通信行動に対する対処のためのツールを提供することを目的とする。
【０００８】
上記目的を達成するため、本発明に係る通信分析装置は、管理対象ドメイン内のユーザのネットワークプロトコルの利用を監視する監視手段と、前記ユーザのネットワークプロトコル利用の監視結果から、所定の分析観点に関する前記ユーザの行動評価値を算出する評価値算出手段と、前記行動評価値に基づき、所定の分析観点についての前記ユーザの状態を判定し、その判定結果を出力する状態分析手段と、を備える。
【０００９】
本発明の好適な態様では、前記状態分析手段は、前記評価値算出手段で算出される前記行動評価値の時系列的な推移を記録し、現時点までの推移のパターンに基づき前記ユーザの状態を判定する。
【００１０】
更に好適な態様では、前記状態分析手段は、前記ユーザの行動評価値の時系列的な推移の記録を用いてその行動評価値の推移の未来予測のための学習を行ったニューラルネットワークを用い、そのニューラルネットワークに対して現時点から遡る所定期間分の前記行動評価値の推移の記録を入力し、その結果ニューラルネットワークの出力として得られる未来の予測結果に基づき、前記ユーザの状態を判定する。
【００１１】
【発明の実施の形態】
以下、本発明の実施の形態（以下実施形態という）について、図面に基づいて説明する。
【００１２】
図１は、本発明の実施形態のシステム構成を示す図である。
【００１３】
このシステムにおいて、ゲートウェイ装置１２は、企業等の組織のドメイン１０に設置され、ドメイン１０内のＬＡＮ１８とインターネット２０との間の通信を中継する装置である。ドメイン１０内のＬＡＮ１８上の各ユーザＰＣ（パーソナルコンピュータ）とインターネット２０上の各種装置との通信は、必ずこのゲートウェイ装置１２を通る。ゲートウェイ装置１２は、例えばコンピュータに、ＬＡＮ１８とインターネット２０との間での各種プロトコルの変換用のプログラムを実行させることにより構成される。
【００１４】
本実施形態では、このゲートウェイ装置１２に対し、行動分析装置１４を組み込む。大まかに言えば、行動分析装置１４は、ゲートウェイ装置１２を通る各種ネットワークプロトコルを用いた通信を監視し、この監視結果に基づきＬＡＮ１８上の各ユーザＰＣ１６を使用する各ユーザの状態を分析する。ここで分析の観点（対象）とするユーザの状態には、例えば情報漏洩やネットワークリソースの無駄遣いなどといったネットワーク上でのユーザの問題行動に関する危険度合いがある。また、別の例として、ユーザが、そのドメイン１０の属する企業から辞職する傾向など、ユーザの心理面での状態を分析することも可能である。
【００１５】
１つの実施例としては、行動分析装置１４は、ゲートウェイ装置１２を通る個々の通信データの内容や、単位期間当たりのユーザの通信に関する統計量を、それら各分析観点についての評価値に換算し、これを集計していく。そして、各観点についての行動評価値から、各観点についてのユーザの状態を判定する。
【００１６】
この状態判定では、例えば、当該分析観点において、ユーザが正常状態であるのか否かを判定する。また、もっと詳細な危険度レベル分けをし、ユーザが、その分析観点においてどの危険度レベルにいる（或いは近い将来至る）かを判定する処理も可能である。
【００１７】
図２は、ユーザがネットワークプロトコルを用いて行う通信に対する監視対象項目と、その監視対象項目に対応する重み値（行動評価値）の対応関係を示す重みテーブルの例である。図２のテーブルにおいて、空欄は重み値が０であることを示す。
【００１８】
例示のテーブルには、情報漏洩、リソースの無駄遣い、辞職傾向という３つの分析観点に対する各監視対象項目の重み値が登録されている。情報漏洩という観点は、ユーザが組織内（社内）の機密情報を漏洩するリスクを見る観点である。またリソースの無駄遣いという観点は、組織の業務遂行に用いるべきネットワークリソース（例えばユーザＰＣ１６やＬＡＮ１８の帯域など）や、ユーザ自身の勤務時間などの資源を、業務以外の目的で用いる傾向を見る観点である。辞職傾向は、ユーザがその組織から辞職しようとする傾向を見る観点である。
【００１９】
監視対象項目は、ゲートウェイ装置１２が中継する各ネットワークプロトコルごとに設定される。図示例では、ネットワークプロトコルとして、電子メールプロトコル（ＳＭＴＰ（Ｓｉｍｐｌｅ　Ｍａｉｌ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）やＰＯＰ（Ｐｏｓｔ　Ｏｆｆｉｃｅ　Ｐｒｏｔｏｃｏｌ）など）、ＨＴＴＰ（Ｈｙｐｅｒ　Ｔｅｘｔ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）、ＦＴＰ（Ｆｉｌｅ　Ｔｒａｎｓｆｅｒ　Ｐｒｏｔｏｃｏｌ）を例示しているが、これはあくまで一例である。これら例示のプロトコルをすべて含む必要は必ずしもないし、逆に例示以外のプロトコルを含んでももちろんよい。
【００２０】
電子メールプロトコルの監視対象項目には、例えば、「Ｃｃ（Ｃａｒｂｏｎ　Ｃｏｐｙ）送信宛先アドレスにメーリングリスト（ＭＬ）のアドレスを含む」、「Ｂｃｃ（Ｂｌｉｎｄ　Ｃａｒｂｏｎ　Ｃｏｐｙ）送信宛先アドレスに社外アドレスを含む」などの項目が含まれる。これら各項目は、これに該当する電子メールが１通送信されただけでは、即座に送信元ユーザが社内情報の漏洩を行っていると断ずることはできないが、かなりの程度の情報漏洩のリスクをはらんでいるというということで、分析観点「情報漏洩」に対して重み値がそれぞれ与えられている。
【００２１】
また、「社外宛のメールにＡ群内の単語が含まれる」、「社外宛のメールにＢ群内の単語が含まれる」という両項目は、それぞれ情報漏洩の可能性がある電子メールに含まれる代表的なキーワードを含んでいるか否かに関する項目である。Ａ群の方が、Ｂ群より情報漏洩の可能性が高いと考えられるキーワードからなるため、大きい重み値が与えられている。例えばＡ群には「社外秘」、「部外秘」、「議事録」などの単語が、Ｂ群には「仕様書」、「マニュアル」などの単語が含まれる。また、「社外宛のメールにＣ群内の単語が含まれる」という項目は、「辞職傾向」と「リソース無駄遣い」という観点に対してそれぞれ異なる重み値が与えられている。ここでＣ群には、「転職」や「年収」などユーザの辞職の意向を表したり示唆したりする代表的なキーワードが含まれる。
【００２２】
なお、電子メールに含まれるキーワードの監視は、電子メールのサブジェクト（件名）や本文、添付ファイルのファイル名やファイル自体を調べることにより行う。このキーワード監視対象を、サブジェクトなど特定の項目に限定してもよい。
【００２３】
また、同じキーワードに対して、サブジェクトと本文と添付ファイルとで、異なる重み値を与えることもできる。
【００２４】
また、各群に含まれるキーワードには、一般的なものから、業界特有や企業特有のものまで、様々なものが考えられるので、ドメイン１０用にカスタマイズすることが好適である。例えば企業特有のものとしては、辞職傾向を表すキーワードとして、同業他社の社名などを挙げることができる。
【００２５】
また「１日の社外とのメール送受信数」は、ユーザの社外とのやり取りの頻度を示しており、これが多いか少ないかは、情報漏洩やリソース無駄遣い、辞職傾向に何らかの関係がある可能性がある。図２のテーブルには、この送受信数を各分析観点の重み値に換算するための換算ルール（例えば換算関数など）がそれぞれ登録されている。なお、ここではメール送受信の頻度を１日単位で集計したが、この単位は１時間単位や１週間単位など、目的等に応じて適宜選択することができる。これは、後述する外部ＵＲＬへのアクセス数や、ダウンロード回数の場合も同様である。
【００２６】
また、ＨＴＴＰについての監視項目では、例えばＤ群には業務に全く関係のないウェブサイトのＵＲＬが登録されており、Ｅ群には同業他社のサイトや転職サイトなど辞職・転職に関連のあるサイトが登録されている。送信されるＨＴＴＰコマンドの解析により、ユーザがそれら各群に該当するサイトにアクセスしたことが分かれば、そのテーブルから求められる重み値が、対応する各分析観点の行動評価値に加算される。「１日の外部ＵＲＬアクセス数」は、電子メールと同様、情報漏洩やリソース無駄遣い、辞職傾向に何らかの関係がある可能性があり、重み値テーブルには、このアクセス数を各分析観点の重み値に換算するための換算ルールがそれぞれ登録されている。また、検索サイトに対する入力キーワードについて、Ｆ群には「転職サイト」などの文字列や同業他社の社名など辞職傾向を示唆するキーワードが登録されている。行動分析装置１４は、予め登録された１又は複数の検索サイトに対して送られる検索キーワードを解析し、その中にＦ群に含まれる単語が見つかれば、「情報漏洩」の観点についての行動評価値にその重み値３を加える。なお、Ｄ，Ｅ群のＵＲＬや、Ｆ群のキーワードも、電子メールのキーワードの場合と同様、一般的なものから、業界特有や企業特有のものまで、様々なものが考えられ、ドメイン１０用にカスタマイズすることが好適である。また、ＨＴＴＰの場合、ファイルのダウンロードが可能なので、ユーザがダウンロードしたファイルの種類によって、リソースの無駄遣いの度合いを測ることも可能である。図示例では、ＪＰＥＧなどの画像ファイルやＭＰ３などの音楽ファイルのダウンロードは、業務に関係がない可能性が高いので、リソースの無駄遣いの観点にある程度の大きさの重み値を割り当てている。
【００２７】
また、ＦＴＰについての監視項目では、例えば、ＪＰＥＧやＭＰ３などのファイルのダウンロードに対してリソース無駄遣いの重み値が割り当てられている。また、「１日のダウンロード数」は、電子メールと同様、情報漏洩やリソース無駄遣い、辞職傾向に何らかの関係がある可能性があり、重み値テーブルには、このアクセス数を各分析観点の重み値に換算するための換算ルールがそれぞれ登録されている。
【００２８】
以上、図２を参照して、ネットワークプロトコルを利用したユーザの通信を、個々の分析観点についての重み値に換算するためのテーブルの例について説明した。ただし、図２の例は、あくまで一例にすぎない。例えば、例示した監視項目以外の様々な条件を、監視項目に含めることができる。また、電子メール等のキーワードについても、単独のキーワードだけでなく、複数のキーワードのアンド条件その他の論理式により、監視項目を設定することもできる。また、ユーザが１日でＦＴＰでアップロード又はダウンロードしたデータの総量や、１日の総ダウンロード時間など、各プロトコルの単位時間当たりの各種統計量を監視項目に含めることも好適である。
【００２９】
なお、通信が同じ監視項目に該当しても、分析観点に対するその意味の重大さが、ユーザごとに異なったり、ユーザの職務ごとや役職ごとに異なったりする場合も考えられる。例えば、１日当たりの社外とのメールの送受信量が同じ１００通でも、社外との交流が多い人にとってはそれが普通のことであるのに対し、社外との交流が少ない人にとっては重大な状況の変化を示すものとなる可能性がある。このような違いは、個人差による場合もあれば、社外とつきあいの多い営業職と、社外とのつきあいの少ない事務職といった職分の違いによる場合もある。したがって、図２に例示した重み値テーブルを、ドメイン１０内のユーザの職務区分や役職区分その他のグループ分けに従って各グループごとに用意し、各ユーザに対してはそのユーザが属するグループのテーブルを用いることで、より精度の高い分析が可能となる。更には、重み値テーブルをドメイン１０内の各ユーザごとにカスタマイズすれば、更なる分析精度の向上が見込める。
【００３０】
図３は、行動分析装置１４の処理手順を示すフローチャートである。この手順では、行動分析装置１４は、ゲートウェイ装置１２を通る各ユーザの通信を監視する（Ｓ１０）。そして、ゲートウェイ装置１２を通る通信を検知すると、該通信のデータに含まれる発信元や宛先のアドレス情報（例えばＩＰアドレス）から、ドメイン１０内のどのユーザがその通信の発信元又は宛先となっているかを判定する（Ｓ１２）。そして、その通信のデータを解析し、重み値テーブルに示される監視対象項目の中で、その通信データに該当するものを調べ、該当する項目がある場合は、その項目についての各分析観点の重み値を求める（Ｓ１４）。このとき、重み値テーブルがユーザグループ単位やユーザ単位で用意されている場合は、そのユーザに対応するテーブルを用いる。そして、このようにして求めた各分析観点の重み値を、それぞれ当該分析観点の行動評価値に加算する（Ｓ１６）。
【００３１】
本実施形態では、予め設定した単位時間（例えば１日単位や、１週間単位など）が経過するまで、以上のステップＳ１０からＳ１６までの処理を繰り返す（Ｓ１８）。そして、その単位時間が経過すると、その間の各分析観点の行動評価値の集計値を、時系列推移データに記録する（Ｓ２０）。時系列推移データは、最も単純には、単位時間ごとの各分析観点の行動評価値を時系列順に並べたものである。単位時間ごとの各集計値に対し、その単位時間を特定する日付や週の番号を対応付けて記録してももちろんよい。なお、監視対象項目の中には、単位時間当たりの各プロトコル利用の統計量に基づくものもあるが、そのようなものについては、この単位時間経過の時点で、その統計量を重み値テーブルにより重み値に換算して行動評価値に加算すればよい。
【００３２】
このようにして各行動評価値についての時系列推移データの情報が増えると、行動分析装置１４は、これら各時系列推移データを元に、ユーザの各分析観点についての状態が今後どのように変化するかを予測分析する（Ｓ２２）。本実施形態では、この予測の手法として、ニューラルネットワークを利用する。ニューラルネットワークの利用の仕方は、例えば株価予測や電力需要予測におけるニューラルネットワーク利用と同様でよい。すなわち、例えば、既存の行動評価値の時系列推移データを学習データとして用い、その中である時点から遡る所定期間の推移データを入力とし、その時点から所定時間後のある時点やある期間の行動評価値（あるいはその評価値が存在する範囲でもよい）が出力となるように、そのニューラルネットワークを学習させる。
【００３３】
例えば図４のグラフは、縦軸に情報漏洩の観点についての行動評価値を、横軸に時間をとっており、曲線が該評価値の時系列推移を表している。この例では、ある基準時点ｔｐから遡る所定幅の各期間Ｐ１，Ｐ２，Ｐ３，Ｐ４の各々について、その期間内の行動評価値の累計を求める。そして、それら期間Ｐ１，Ｐ２，Ｐ３，Ｐ４の各々の累計値をニューラルネットワークに入力として与え、その結果入ラルネットワークから出力される値が、基準時点ｔｐから所定期間後の時点ｔｆでの行動評価値（過去データを用いているので、ｔｆでの値は分かっている）となるように、ニューラルネットワークに教師信号を与え、バックプロパゲーション法等の公知の学習アルゴリズムを用いてニューラルネットワークを学習させる。このニューラルネットワークは、個々のユーザごとに作成することが好適である。各ユーザごとにニューラルネットワークを用意し、当該ユーザの過去の行動評価値の時系列推移データを用いて学習させることで、各ユーザ用の予測用ニューラルネットワークを作成することができる。また、予測用ニューラルネットワークを個人ごとに作成する代わりに、ユーザグループごとに作成し、そのグループに属するユーザにはそのグループのニューラルネットワークを利用する構成とすることもできる。
【００３４】
このようにして十分な予測精度が得られるまで学習したニューラルネットワークをステップＳ２２の予測に用いる。
【００３５】
ステップＳ２２の予測処理では、学習時と同様、現在時点ｔｐから遡る各期間Ｐ１，Ｐ２，Ｐ３，Ｐ４の行動評価値のデータを、学習済みのニューラルネットワークに入力し、その結果ニューラルネットワークから出力される値を、所定期間Ｐ１後の未来時点ｔｆでの行動評価値の予測値とする。そして、行動分析装置１４は、この予測値が正常範囲から逸脱しているか否かを判定する（Ｓ２４）。ここで、予測値が正常範囲ならば、今後しばらくはユーザの当該分析観点についての通信行動には問題がないであろうと判断できるので、ステップＳ１０に戻る。これに対し、ステップＳ２４で、あるユーザのある分析観点についての予測値が正常範囲から逸脱したと判定した場合は、行動分析装置１４は、所定のアラーム処理を実行する（Ｓ２６）。このアラーム処理では、例えば、組織内のセキュリティ管理者や人事管理者などの所定の管理者に対し、そのユーザがその分析観点について、今後問題のある状態となる可能性が高いことを知らせるメッセージを電子メール等で知らせる。これにより、管理者は、ドメイン１０内のユーザが問題を抱えている可能性が高いことを、その問題が重大になる手前で知ることができ、適切な処置をとることができる。例えば、あるユーザの辞職傾向の評価値が正常範囲から逸脱すると予測された場合は、人事管理者がその予測に従って早めにそのユーザに対して心理面その他の手当を行うことができる。また、リソース無駄遣い等の場合は、そのユーザ自身に無駄遣いしていないか注意を促すメッセージを発するなどのアラーム処理も有効である。
【００３６】
なお、正常範囲か否かを区別する行動評価値のしきい値Ｔｈは、当該ドメイン１０における過去の各ユーザの時系列推移データと、それら各ユーザが起こした行動との相関性を統計処理したり、それで足りなければ更に同一業種等、ドメイン１０と類似性を持つ組織群における同様のデータを統計処理することで求めることができる。
【００３７】
図５は、本発明を適用した別のシステム構成の例を示す図である。この例では、インターネット２０上に、図１の構成と同様の行動分析装置１４を含んだドメイン管理サーバ３０に管理されるドメイン１０が複数存在する。ドメイン管理サーバ３０は、各ドメイン１０内のＬＡＮ１８と外部との間で、使用可能なすべてのプロトコルの通信を中継する。ドメイン管理サーバ３０は、それら各プロトコルの通信を制御する通信制御装置３２（プログラムにより実現される）を有している。ドメイン管理サーバ３０は、インターネット２０に対する通信ポートを基本的にすべて閉じておくことで、外部からドメイン１０内への侵入を困難にしている。この場合、例えば電子メールの送信は、ドメイン１０内の各ユーザからの送信メールをドメイン管理サーバ３０が一旦蓄積し、蓄積した送信メール群をインターネット２０上の所定の中継サーバ（図示省略）にアップロードすることにより行う。一方電子メールの受信は、ドメイン管理サーバ３０が定期的にその中継サーバにアクセスし、自ドメイン宛の電子メール群を一括してダウンロードし、これをドメイン１０内の各ユーザ宛に配送することで実現される。この場合、ドメイン管理サーバ３０は、ＳＭＴＰの受信ポートを常に開いておく必要がないので、高いセキュリティを期待できる。また、このシステムでは、各ドメイン管理サーバ３０は、電子メールの中継サーバ等の動的な変更等、システム構成の変更に対応するため、インターネット２０上に設けられたネットワーク構成管理サーバ（図示省略）に対して定期的にアクセスし、システム構成の情報をダウンロードして更新している。
【００３８】
このようなシステム構成において、本実施形態では、インターネット２０上にルール管理サーバ４０を設置する。このルール管理サーバ４０は、行動分析装置１４における分析のためのルール情報を管理するサーバである。ルール情報は、例えば図２に示した重み値テーブルなどである。ルール情報には、管理対象の全ドメイン１０間や全ユーザ間で共通の共通ルール４２と、ドメイン１０ごとやその中のユーザグループごと、ユーザごとに異なる個別ルール４４とがある。
【００３９】
各ドメイン管理サーバ３０のルール更新装置３４は、このルール管理サーバ４０に対して定期的にアクセスし、共通ルール４２や、自ドメインに関連する個別ルール４４の情報をダウンロードし、これに基づいて自ドメインの行動分析装置１４での分析のルールを更新する。また、ルール更新装置３４は、そのアクセスの際、前回のアクセスから今回のアクセスまでに増えた各行動評価値の時系列推移データをルール管理サーバ４０にアップロードする。ルール管理サーバ４０は、このようにアップロードされたデータに対し、ドメイン管理サーバ３０の性能上困難な高度な統計処理を施すことで、重み値テーブルの各重みの値をより適切な値に変更するなどのルールの変更処理を行う。また、ドメイン１０側からのリクエストに応じ、ドメイン固有の監視項目を追加するなどのルール変更も行う。このような変更は、共通ルール４２や個別ルール４４に反映され、その後、各ドメイン管理サーバ３０の定期アクセスにより各行動分析装置１４に反映される。この構成によれば、各ドメイン１０の行動分析装置１４の分析ルールを、必要に応じて自動更新することができる。
【００４０】
また、以上では、予測用ニューラルネットワークの学習では、過去データを元に未来の１時点の行動評価値を予測する学習をしたが、これはあくまで一例である。別の実施例としては、例えば過去の所定期間の時系列推移から、未来の所定期間の行動評価値の平均値を予測したり、その平均値が正常範囲内か否かを予測したりするように学習してもよい。また、以上の説明では、ある分析観点についてのユーザの近未来の状態を予測するのに、その観点の行動評価値の過去データのみを用いていたが、別の分析観点の行動評価値の過去データも利用して予測することも可能である。この場合、別の観点の評価値もニューラルネットワークに入力すればよい。
【００４１】
また、以上の例では、１日単位など１種類の単位期間ごとに行動評価値の集計をとっていたが、１日単位と１週間単位など、複数種類の単位期間ごとに行動評価値を集計することで、１つの分析観点に対し、集計単位期間の異なる複数の時系列推移データを求めることができる。この場合、予測処理では、それら複数種類の時系列推移データの過去データから、未来のユーザ状態を予測することもできる。
【００４２】
また、以上の例では、各分析観点の行動評価値は、ゲートウェイ装置１２が中継しているすべてのプロトコルの監視項目の監視結果を総合したものであったが、これも一例にすぎない。この代わりに、各分析観点の行動評価値を、各プロトコルごとに個別に集計し、個別の時系列推移データを作成してもよい。この場合、予測処理は、着目する分析観点についての、各プロトコルの時系列推移データの過去データをニューラルネットワークに入力し、未来の傾向を予測する構成となる。この構成では、各時点での時系列推移データの値は、各プロトコルの行動評価値を座標値とする多次元空間中の点であり、時系列推移データは時間経過に伴って動くその点の軌跡を示す。予測値も同様であり、その予測値が正常範囲であるかどうかは、予測値が表す点が、その多次元空間中に設定される正常範囲の空間（これは当該ドメイン１０の過去のデータ等から求められる）内にあるか否かの判定となる。
【００４３】
また、このように各プロトコルごとに記録した時系列推移データを総合評価する代わりに、個別のプロトコルごとに予測処理を行い、プロトコルごとのアラーム処理を行う構成とすることもできる。
【００４４】
また、以上の説明では、予測値の判定において、正常範囲であるか否かを判定したが、これは一例にすぎない。予測値をもっと詳細にレベル分けし、予測値が属するレベルに応じたアラーム処理を実行することも可能である。
【００４５】
また、あるユーザのある分析観点についての行動評価値の予測値が正常範囲から逸脱した場合に、アラーム処理を行う代わりに、或いはアラーム処理に加えて、そのユーザがその分析観点についての予想される問題行動を取れないように、予め防御措置をとることもできる。防御措置の例は、例えば、あるユーザが情報漏洩を起こすおそれ有りと行動分析装置１４が判定した場合に、ゲートウェイ装置１２がそのユーザのＳＭＴＰやＦＴＰの使用を制限するなどである。
【００４６】
また、以上の例では、ゲートウェイ装置１２が中継するすべてのプロトコルを監視したが、監視対象を特定のプロトコルに限定する構成ももちろん可能である。この場合、例えば電子メールプロトコルの監視により、あるユーザの情報漏洩の危険性が高まると予測した場合、防御措置としてそのユーザの電子メールプロトコルの使用を禁止することができる。ここで、電子メールプロトコルを禁止する代わりに、又は電子メールプロトコルの禁止に加えて、ＦＴＰやＨＴＴＰなどの大容量データを転送できるプロトコルの使用を禁止することも好適である。
【００４７】
また、以上の例では、重み値テーブル（図２）の監視項目に該当する通信を検知した場合、単にそれを行動評価値に集計するだけであったが、更に各監視項目に対応するフィルタ動作（例えば、監視項目に該当する電子メールは宛先に送信しないという動作や、監視項目に該当したプロトコルの使用を禁止するなど）を行ってももちろん良い。
【００４８】
また、以上の例では、各分析観点の行動評価値の時系列推移データから、近未来のユーザの状態を予測し、この予測に基づきアラーム処理その他の処理を行ったが、この代わりに、例えば行動評価値の現在時点の値、或いは現在時点までの所定期間の値の集合に基づき、現在のユーザの状態を判定してもよい。
【００４９】
また、以上の例では、各監視項目を共通の行動評価値（重み値）の尺度に換算し、足し合わせて評価したが、これは必須のことではない。この代わりに、各監視項目に該当する通信が行われた頻度（単位時間当たりの回数）を、そのまま当該項目についての評価値として用い、この評価値の時系列推移データを各項目ごとに求め、これら各推移データから各分析観点のユーザ状態を判定したり、予測したりしてもよい。この場合、各監視項目の時系列推移データの過去データをニューラルネットワークに入力し、これに対するニューラルネットワークの出力が、着目する分析観点についてのユーザの近未来の状態の予測結果、又は現在状態の判定結果となるように学習を行えばよい。監視項目として予め多めの項目を設定しておけば、学習の過程でその分析観点に関連性の薄い項目は、ニューロンのシナプス接続重みが極めて小さくなる。したがって、学習後に、各入力ニューロン（それぞれが監視項目に対応）から先に延びるシナプス接続のうち、重みが所定のしきい値より小さいものを探し、それに対応する監視項目を各行動分析装置１４での監視対象から外すことで、行動分析装置１４の処理付加負荷を低減することができる。
【００５０】
また、以上の例では、予測にニューラルネットワークを用いたが、エキスパートシステムなど、ニューラルネットワーク以外の予測技術を用いることも可能である。
【００５１】
また、分析観点の別の例として、ドメイン１０内から外部へのクラックの危険性がある。すなわち、クラックはネットワーク倫理上非常に重大な問題があるので、これをゲートウェイ装置１２での監視により未然に防ごうと言うものである。クラックが行われる場合、一般に特定のＩＰアドレスに対して頻繁にポートスキャンが行われる、しかし、ポートスキャンは、ネットワーク管理者が空きポートを調べたり、一般ユーザが相手先サイトがアライブ（ａｌｉｖｅ）状態であるかどうかを確認したりするためにも用いられるので、単にドメイン１０内から外部に対するポートスキャンコマンドが発行されたとしても、それだけではクラックであると即断することはできない。そこで、この場合、行動分析装置１４は、ユーザからのポートスキャンの発生に記録し、このように記録した時系列データにおいて、同一ＩＰアドレスに対するポートスキャンが所定の判定基準以上の頻度で連続している場合に、クラックの可能性があると判定し、アラーム処理や該ユーザに対する各種ネットワークプロトコルの使用禁止の措置を行う。
【図面の簡単な説明】
【図１】本発明に係るシステム構成の一例を示す図である。
【図２】重み値テーブルの例を示す図である。
【図３】行動分析装置の処理手順を示すフローチャートである。
【図４】行動分析装置における予測処理の説明のための図である。
【図５】本発明に係るシステム構成の別の例を示す図である。
【符号の説明】
１０　ドメイン、１２　ゲートウェイ装置、１４　行動分析装置、１６　ユーザＰＣ、１８　ＬＡＮ、２０　インターネット。

Claims

管理対象ドメイン内のユーザのネットワークプロトコルの利用を監視する監視手段と、
前記ユーザのネットワークプロトコル利用の監視結果から、所定の分析観点に関する前記ユーザの行動評価値を算出する評価値算出手段と、
前記行動評価値に基づき、所定の分析観点についての前記ユーザの状態を判定し、その判定結果を出力する状態分析手段と、
を備える通信分析装置。
請求項１記載の装置であって、
前記状態分析手段は、前記評価値算出手段で算出される前記行動評価値の時系列的な推移を記録し、現時点までの推移のパターンに基づき前記ユーザの状態を判定することを特徴とする通信分析装置。
請求項２記載の装置であって、
前記状態分析手段は、前記ユーザの行動評価値の時系列的な推移の記録を用いてその行動評価値の推移の未来予測のための学習を行ったニューラルネットワークを用い、そのニューラルネットワークに対して現時点から遡る所定期間分の前記行動評価値の推移の記録を入力し、その結果ニューラルネットワークの出力として得られる未来の予測結果に基づき、前記ユーザの状態を判定することを特徴とする通信分析装置。
請求項１記載の装置であって、
前記評価値算出手段は、予め定めた１以上のキーワードが、前記ネットワークプロトコルを用いた通信データの中に含まれるか否かに基づき、前記行動評価値を算出する、
ことを特徴とする通信分析装置。
請求項４記載の装置であって、
前記評価値算出手段は、各キーワードごとの重み値を記憶したテーブルを有し、前記ネットワークプロトコルを用いた通信データから検出した各キーワードの重み値に基づき前記行動評価値を算出する、
ことを特徴とする通信分析装置。
請求項１記載の装置であって、
前記評価値算出手段は、ユーザのネットワークプロトコル利用に対して予め設定した各監視対象項目について、予め設定した複数の分析観点の各々について個別に重み値を設定可能なテーブルを有し、前記ユーザのネットワークプロトコル利用から監視対象項目の発生を検知した場合、その監視対象項目に対応する各分析観点の重み値に基づき、それら各分析観点についての行動評価値を算出する、
ことを特徴とする通信分析装置。
請求項１記載の装置であって、
前記評価値算出手段は、所定の単位期間における前記ネットワークプロトコルの使用回数に基づき前記行動評価値を算出することを特徴とする通信分析装置。
請求項１記載の装置であって、
前記状態分析手段の判定結果に基づき、所定の宛先に対して警報を送信する手段を更に備える通信分析装置。
管理対象ドメイン内のユーザに対して１種類以上のネットワークプロトコルの利用サービスを提供する機能を備えた通信管理装置であって、
前記ユーザの少なくとも１つのネットワークプロトコルの利用を監視する監視手段と、
前記ユーザのネットワークプロトコル利用の監視結果から、所定の分析観点に関する前記ユーザの行動評価値を算出する評価値算出手段と、
前記行動評価値に基づき、所定の分析観点についての前記ユーザの状態を判定し、その判定結果を出力する状態分析手段と、
前記状態分析手段の判定結果に基づき、それらネットワークプロトコルのうちの少なくとも１つについての前記ユーザの利用可否を制御する利用制御手段と、
を備える通信管理装置。
管理対象ドメイン内のユーザのネットワークプロトコルの利用を監視する監視ステップと、
前記ユーザのネットワークプロトコル利用の監視結果から、所定の分析観点に関する前記ユーザの行動評価値を算出する評価ステップと、
前記行動評価値に基づき、所定の分析観点についての前記ユーザの状態を判定し、その判定結果を出力する分析ステップと、
を含む通信分析方法。
請求項１０記載の方法であって、
前記分析ステップは、前記評価ステップで算出される前記行動評価値の時系列的な推移を記録し、現時点までの推移のパターンに基づき前記ユーザの状態を判定するステップを含むことを特徴とする通信分析方法。
請求項１１記載の方法であって、
前記分析ステップは、前記ユーザの行動評価値の時系列的な推移の記録を用いてその行動評価値の推移の未来予測のための学習を行ったニューラルネットワークを用い、そのニューラルネットワークに対して現時点から遡る所定期間分の前記行動評価値の推移の記録を入力し、その結果ニューラルネットワークの出力として得られる未来の予測結果に基づき、前記ユーザの状態を判定することを特徴とする通信分析方法。
管理対象ドメイン内のユーザの少なくとも１つのネットワークプロトコルの利用を監視する監視ステップと、
前記ユーザのネットワークプロトコル利用の監視結果から、所定の分析観点に関する前記ユーザの行動評価値を算出する評価ステップと、
前記行動評価値に基づき、所定の分析観点についての前記ユーザの状態を判定し、その判定結果を出力する分析ステップと、
前記分析ステップの判定結果に基づき、それらネットワークプロトコルのうちの少なくとも１つについての前記ユーザの利用可否を制御する制御ステップと、
を含む通信管理方法。
コンピュータシステムに、
管理対象ドメイン内のユーザのネットワークプロトコルの利用を監視する監視テップと、
前記ユーザのネットワークプロトコル利用の監視結果から、所定の分析観点に関する前記ユーザの行動評価値を算出する評価ステップと、
前記行動評価値に基づき、所定の分析観点についての前記ユーザの状態を判定し、その判定結果を出力する分析ステップと、
を実行させるためのプログラム。
コンピュータシステムに、
管理対象ドメイン内のユーザの少なくとも１つのネットワークプロトコルの利用を監視する監視ステップと、
前記ユーザのネットワークプロトコル利用の監視結果から、所定の分析観点に関する前記ユーザの行動評価値を算出する評価ステップと、
前記行動評価値に基づき、所定の分析観点についての前記ユーザの状態を判定し、その判定結果を出力する分析ステップと、
前記分析ステップの判定結果に基づき、それらネットワークプロトコルのうちの少なくとも１つについての前記ユーザの利用可否を制御する制御ステップと、
を実行させるためのプログラム。