JP2006301798A - 電子データの持ち出し監視・牽制システム - Google Patents

Abstract

【課題】
外部内部を問わず、不正持ち出しを監視し、正規にログインしていないユーザに対して牽制することができる電子データの持ち出し監視・牽制システムを提供することを目的とする。
【解決手段】
正規にログインしていないユーザが電子データを不正に持ち出そうとしたとき、偽のデータを無尽蔵に転送するとともに、当該正規にログインしていないユーザに関する情報をログ情報として記録する。これにより、正規にログインしていないユーザのリソースを消費させるだけでなく、転送をいつまでも完了させないようにし、正規にログインしていないユーザに対して牽制する。また、正規にログインしていないユーザが電子データを不正に参照しようとしたとき、偽装ファイルを参照させるとともに、当該正規にログインしていないユーザに関する情報をログ情報として記録する。
【選択図】 図１

Description

本発明は、電子データの不正持ち出しなどを監視・牽制する持ち出し監視・牽制システムに関する。

今日、重要性の高い電子データには、内部外部問わずにアクセス自体を制限することは常識となっている。しかしながら、この手法では、不正に電子データを持ち出そうとした場合、不正に電子データを持ち出そうとしたユーザ（以後、「正規にログインしていないユーザ」と呼ぶ）に不正な処理だと直に通知することになる。そのため、正規にログインしていないユーザに関する情報等（そのユーザがどのような者かを調べるために有用な情報であり、例えば、そのユーザがどのようなユーザＩＤとパスワードでログインしようとしたか、ネットワーク経由であればＩＰアドレスなど）の取得が困難となっている。正規にログインしていないユーザに関する情報を取得する技術として、下記特許文献１に記載の監視システムが知られている。

下記特許文献１に記載のものは、外部ネットワークから企業内情報ネットワークへの不正アクセスを検出したとき、その不正アクセスを偽装サーバに転送し、意図的に擬似データを参照させることで、不正パケットの送信元探知を可能とするシステムである。
特開２０００−２６１４８３号公報

しかしながら、上記特許文献１に記載の技術は、外部ネットワークから不正アクセスされたときという条件があり、内部からの正規にログインしていないユーザに対しての防護策がないことが問題である。また、このシステムでは、正規にログインしていないユーザに対して情報を不正に持ち出すのが困難だと牽制することがない点も問題である。

本発明は、外部内部を問わず、不正持ち出しを監視し、正規にログインしていないユーザに対して牽制することができる電子データの持ち出し監視・牽制システムを提供することを目的とする。

上記目的を達成するため、本発明では、正規にログインしていないユーザが電子データを不正に持ち出そうとしたとき、偽のデータを無尽蔵に転送するとともに、当該正規にログインしていないユーザに関する情報をログ情報として記録するようにしている。これにより、正規にログインしていないユーザのリソースを消費させるだけでなく、転送をいつまでも完了させないようにし、正規にログインしていないユーザに対して牽制する。また、正規にログインしていないユーザが電子データを不正に参照しようとしたとき、偽装ファイルを参照させるとともに、当該正規にログインしていないユーザに関する情報をログ情報として記録する。

本発明によれば、電子データを不正にコンピュータ外に持ち出そうとしたとき、偽のデータを無尽蔵に持ち出し媒体に転送するので、その媒体のリソースを消費させることができる。また、無尽蔵に転送することで、持ち出し処理がいつまでも完了しないため、正規にログインしていないユーザは持ち出すことを諦める可能性があり、さらに、いつまでも完了しないので、偽のデータと気づかれるまでの時間があり、ネットワークからの持ち出し処理の場合には、追跡時間を稼ぐことができる。従って、外部内部を問わず、不正持ち出しを監視し、正規にログインしていないユーザに対して牽制することができる。

以下、本発明を実施する場合の一形態を図面を参照して具体的に説明する。

図１は、本発明の実施の一形態のシステムの動作説明図であり、正規にログインしていないユーザがファイルの持ち出しや参照の要求を出した際の様子を示す。本システムは、単一のコンピュータ１０２上に構築されている。コンピュータ１０２上には、正規にログインしているユーザのみがアクセスできる特殊領域１０３と、任意のユーザがアクセスできる通常領域１０４とが設けられている。特殊領域１０３には、正規のユーザが使用する暗号ファイル１０６とともに、その暗号ファイル１０６を偽装する偽装ファイル１０５が格納される。この偽装ファイル１０５と同じファイルが、通常領域１０４上に偽装ファイル１０８として格納される。正規にログインしていないユーザ１０１が、通常領域１０４中の偽装ファイル１０８を正規のファイルと考えて参照要求を発行したとする。このとき、コンピュータ１０２は、偽装ファイル１０８を参照させるとともに、当該参照要求を発行した正規にログインしていないユーザ１０１に関する種々の情報をログ１０７として特殊領域１０３上に保存する。同様に、正規にログインしていないユーザ１０１が、通常領域１０４中の偽装ファイル１０８を正規のファイルと考えてそのファイルの持ち出し要求（ここでは、持出し先媒体１１１へのコピー）を発行したとする。このとき、コンピュータ１０２は、その正規にログインしていないユーザ１０１の情報を、特殊領域１０３上のログ１０７に保存し、持ち出し先媒体１１１には偽のデータを無尽蔵に転送するものである。

図２は、偽装ファイルの生成方法を示す図である。正規ユーザ２０１は、重要性の高い電子データ（ファイル）２０２を作成したときには、その正規のファイルと同じフォーマット形式・ファイル名である偽装ファイル２０３を作成しておく。また、暗号鍵２０４と偽装ファイル２０３から作成した暗号鍵を用いて前記重要性の高いファイル２０２を暗号化し、暗号化ファイル２０５を生成しておく。これは、偽装ファイル２０３と重要性の高いファイル２０２とを関連付けすることや、重要性の高いファイル２０２を暗号化することで保護することを目的としている。

図３は、図２で生成されたファイルの格納先を示す図である。図１で説明したように、コンピュータ１０２内には、正規ユーザ２０１しか確認できない特殊領域１０３とどんなユーザでも確認できる通常領域１０４とが存在する。図２で作成した偽装ファイル２０３は、特殊領域１０３上の偽装ファイル１０５及び通常領域１０４上の偽装ファイル１０８として両領域に格納される。図２で作成した暗号ファイル１０６は、特殊領域１０３上の暗号ファイル１０６として格納される。偽装ファイルが特殊領域１０３と通常領域１０４の両方に格納される理由は、通常領域１０４に存在する偽装ファイル１０８は意図的に正規にログインしていないユーザに晒すファイルであるため、改竄されることが考えられ、改竄された場合には暗号ファイル１０６が復号できなくなってしまうことがあるので、正規ユーザしか確認できない特殊領域１０３にも格納して保護しておくものである。また、特殊領域１０３は正規の各ユーザごとに用意され、ログイン認証システムはユーザが手動で立ち上げる必要があり、このログイン認証を行わない限り各ユーザごとの特殊領域１０３は不可視である。

図４は、正規にログインしていないユーザ１０１がログインした場合を示す図である。本実施形態では、正規のユーザは、手動で所定のログイン認証システムを立ち上げた後にログインする必要があり、そのようなログインの手順は正規のユーザにのみ知らされているものとする。不正にデータを参照したり持出そうとするユーザは、このような正規のログインの手順を知らないので上記ログイン認証システムを立ち上げることなくログインすることになる。そのようにログインしたユーザは正規にログインしていないユーザ１０１となる。正規にログインしていないユーザ１０１には、特殊領域１０３は確認できないので、通常領域１０４の偽装ファイル１０８を参照することとなり、重要性の高いファイルと同じフォーマット形式・ファイル名のためこの偽装ファイル１０８を重要性の高いファイルと誤認させることができる。

図５と図６は、図１から図４で説明した本システムにおける動作手順を示すフロ−チャ−トであり、図５と図６は別々に起動しているプログラムである。コンピュータ１０２が起動すると、まず通常領域のみを任意のユーザに対して可視とする（ステップ５０１）。次に、コンピュータ１０２は任意のユーザからのログインを受け付けるシーケンスに入る。ここで、ログイン認証システム監視スレッドを起動し、ログイン認証システムが起動するまで監視する（ステップ５０２）。ログイン認証システムが起動したときは、認証に成功したか（例えば、正しいユーザＩＤとパスワードが入力されたか）を判定する（ステップ５０３）。認証に成功した場合は、ログイン認証システム監視スレッドを停止し、正規のユーザとして、当該ユーザに対して、そのユーザに割り当てられている特殊領域を可視とする（ステップ５０４）。特殊領域を可視とすると同時にログアウト監視スレッドを起動する（ステップ５０５）。その後、正規のユーザがログアウトした場合は、ログアウト監視スレッドを停止するとともに特殊領域を不可視とし（ステップ５０６）、再びログイン認証システム監視スレッドでログイン認証システムが起動するまで監視する（ステップ５０２）。認証に成功しなかった場合、または、ログアウトした場合は、正規にログインしていないユーザとして、通常領域のみが可視となる。

前述の図５のログインを受け付けるシーケンスに入ると同時に、コンピュータ１０２は、ユーザからのアクションの受け付けシーケンスの図６にも入る。ユーザがファイルに対して何らかのアクションを起こしたときは、まずアクションを起こしたファイルが通常領域にある偽装ファイルかどうかチェックを行う（ステップ６０１）。通常領域にある偽装ファイルに対してアクションを起こしたユーザは、正規にログインしていないユーザと見なす。アクションを起こしたのが通常領域の偽装ファイルでない場合は、通常の処理を行わせる（ステップ６０２）。通常領域にある偽装ファイルであり、そのアクションの内容が参照であるときは（ステップ６０３）、当該ユーザに当該偽装ファイルを参照させるとともに、その偽装ファイルを作成したユーザの特殊領域に、ファイルのアクセス日時・ログインユーザ・対象となった偽装ファイルなどの情報をログとして保存する（ステップ６０４）。アクションの内容がそのファイルの持ち出しであった場合（ステップ６０３）は、その偽装ファイルを作成したユーザの特殊領域に、ファイルのアクセス日時・ログインユーザ・対象となった偽装ファイルなどの情報をログとして保存し（ステップ６０５）、さらに転送するデータをランダムに生成した偽のデータに置き換えて当該持ち出し先に転送する（ステップ６０６）。この場合、ユーザが持ち出し処理を中止しなければ、無期限・無制限で転送先に偽のデータを送り続けるものとする（ステップ６０７）。ユーザが持ち出し処理を中止した場合は、その中止日時などをログに保存する（ステップ６０８）。なお、ステップ６０４，６０５，６０８で、ネットワークを経由して参照やデータ持ち出しなどのアクセス要求があったときは、その追跡情報もログに付加するものとする。

以上より、正規にログインしていないユーザに関する情報をログとして取得することができる。特に、データの持ち出しが指示された場合、無期限・無制限で偽のデータを送り続けるので、持ち出し先媒体のリソースを消費させ、持ち出し処理がいつまでも完了しないことになる。そのため、正規にログインしていないユーザが持ち出すのを諦める可能性が生じる。また、持ち出し処理がいつまでも完了しないために偽のデータと気づかれにくく、さらにネットワーク経由での持ち出し処理の場合には、追跡時間が稼げるメリットがある。

本発明の実施の一形態のシステムにおいて正規にログインしていないユーザが偽のデータを持ち出す際の構成図 偽装ファイルの生成を示す図 生成された偽装ファイルの格納先を示す図 正規にログインしていないユーザがログインした場合を示す図 システム全体の示すフロ−チャ−ト（ログイン・領域管理） システム全体の示すフロ−チャ−ト（ファイルアクション管理）

符号の説明

１０１…正規にログインしていないユーザ、１０２…コンピュータ、１０３…特殊領域、１０４…通常領域、１０５…偽装ファイル、１０６…暗号ファイル、１０７…ログ、１０８…偽装ファイル、１１１…持出し先媒体。

Claims (3)

1. 電子データの持ち出し監視・牽制システムであって、
   ユーザが正規にログインしていないユーザであることを検出する手段と、
   正規にログインしていないユーザが検知できない特殊記憶手段と、
   正規にログインしていないユーザが検知でき、偽装ファイルを格納した通常記憶手段と、
   正規にログインしていないユーザが前記通常記憶手段に格納されている偽装ファイルを持ち出そうとしたとき、偽のデータを無期限・無制限で送り続けるとともに、当該正規にログインしていないユーザに関する情報を前記特殊記憶手段にログ情報として格納する手段と
   を備えることを特徴とする電子データの持ち出し監視・牽制システム。
2. 電子データの持ち出し監視・牽制システムであって、
   ユーザが正規にログインしていないユーザであることを検出する手段と、
   正規にログインしていないユーザが検知できない特殊記憶手段と、
   正規にログインしていないユーザが検知でき、偽装ファイルを格納した通常記憶手段と、
   正規にログインしていないユーザが前記通常記憶手段に格納されている偽装ファイルを参照しようとしたとき、該偽装ファイルを参照させるとともに、当該正規にログインしていないユーザに関する情報を前記特殊記憶手段にログ情報として格納する手段と
   を備えることを特徴とする電子データの持ち出し監視・牽制システム。
3. 請求項１または２に記載の電子データの持ち出し監視・牽制システムにおいて、
   前記特殊記憶手段は、正規にログインしたユーザのみが検知してアクセスできる記憶領域であり、正規にログインしたユーザが使用する正規ファイルを偽装する偽装ファイルと、所定の暗号鍵と該偽装ファイルとから作成した暗号鍵で前記正規ファイルを暗号化した暗号ファイルとを記憶しており、
   前記特殊記憶手段上に生成した前記偽装ファイルを前記通常記憶手段に格納することを特徴とする電子データの持ち出し監視・牽制システム。

Images