JP2007156681A - インターネットの不正アクセス処理システム及び処理方法 - Google Patents

Abstract

【課題】インターネット上で発生する不正アクセス対策に関し、効率的かつ迅速に感染源を特定し、不正アクセスの防止に寄与するインターネットの不正アクセス処理システム及び処理方法を提供することを課題とする。
【解決手段】情報収集サーバ２からインターネット８を介して送られた不正アクセスに係るログデータを受信し解析する管理サーバ４において、ログデータを受信するデータ受信部２０と、ログデータに含まれる送信元ＩＰアドレスからどのプロバイダが管理するＩＰアドレスに係るアクセスデータであるかを、各プロバイダ毎に分類してプロバイダを特定するＩＰアドレス比較部２４と、上記特定したプロバイダが管理するＩＰアドレス貸出し情報から、このＩＰアドレスに係るクライアントを特定するクライアント検出部２６と、を有する構成である。
【選択図】 図１

Description

本発明は、インターネット上で発生する不正アクセス対策の技術を提供するインターネットの不正アクセス処理システム及び処理方法に関する。

従来、インターネットを利用したビジネス等のサービスが本格化するにつれて不正アクセスが問題となっており、不正アクセス行為の禁止等に関する法律も制定されている。
このような不正アクセスを防止するため、ファイアウォールシステムや個々のコンピュータ等における不正アクセスの強化が行われている。しかし、上記ファイアウォールシステムや不正アクセスの強化等の対策のみでは、不正アクセスの発生を抑止することは困難である。

例えば、社内におけるメールサーバについてみても不正アクセスと思われるアクセスが相当な量で発生している。特に、特定のポート（例えばポート１３５，１４３３等）へのアクセスが異常に多く発生しているものと考えられ、このようなアクセスはＤｏｓ攻撃と呼ばれ、装置のバッファオーバーフローを誘発させる。

また上記ポートはインターネットに直接露出される事はないが、インターネットに無線ＬＡＮやモデムを介して直接接続されるマシンは危険に曝され、通常このような攻撃はアクセス元がコンピュータウィルスに犯されている可能性が高く、このコンピュータウィルスが次第に感染を広げて多大な攻撃が行われる。

特開２０００−３３７９２６公報 特開２００２−２６９４８９公報 特開２００２−２５９２３３公報

上記不正アクセスとウィルス感染に対しては、図３に示すようにファイアウォールを設ける等の対策がとられている。しかし、同図にも示すように、無線ＬＡＮやモデムを使用して直接インターネットに接続されたコンピュータのグループは、ウィルス感染のある危険なグループで、これ以外のファイアウォール或いはルータを介したグループは安全と考えられているが、これらのグループであっても、上記Ｄｏｓ攻撃を受けると一般のルータやファイアウォールはバッファオーバーフローのおそれがある。

このようなバッファオーバーフローが起きた場合、ウィルスを送り込まれたコンピュータは自身が感染源になりかねない。また、例えファイアウォールを有するサーバであってもバッファ領域が少ない場合にはオーバフローの危険があるという問題がある。また、上記不正アクセス自体を根絶するのは困難であるという問題がある。

本発明は上記問題点を解決するためになされたものであり、効率的かつ迅速に感染源を特定し、不正アクセスの防止に寄与するインターネットの不正アクセス処理システム及び処理方法を提供することを目的とする。

以上の技術的課題を解決するため、本発明に係るインターネットの不正アクセス処理システムは、図１に示すように、インターネット８上に設けられ、受信したデータの内から不正アクセスに係るデータに日付時刻情報を付し、これをログデータとして採取する情報収集サーバ２と、上記情報収集サーバ２からインターネット８を介して送られた上記ログデータを受信し解析する管理サーバ４と、を有する不正アクセス処理システムにおいて、上記管理サーバは、上記情報収集サーバ４から送られた上記ログデータを受信するデータ受信部２０と、上記ログデータに含まれる送信元ＩＰアドレスを、各プロバイダに割当てられた業者ＩＰアドレス情報に基づいて比較分類し、各ログデータが、上記送信元ＩＰアドレスからどのプロバイダが管理するＩＰアドレスに係るアクセスデータであるかを、各プロバイダ毎に分類してプロバイダを特定するＩＰアドレス比較部２４と、上記特定したプロバイダが管理するＩＰアドレス貸出し情報に基づき、上記送信元ＩＰアドレス及び日付時刻情報から、この送信元ＩＰアドレスに係るクライアントを特定するクライアント検出部２６と、を有する構成である。

また、上記クライアント検出部２６は、上記ＩＰアドレス貸出し情報から、上記送信元ＩＰアドレスに係るクライアントのＭＡＣアドレスを検出してクライアントを特定することである。

以下、上記クライアントは、インターネットを利用するコンピュータ（パソコン）或いはそのコンピュータの利用者（ユーザー）をさすものとする。また、上記プロバイダにはホスティングサービスも含まれるものとする。
上記不正アクセスとは、受信したデータの内から使用が制限されるポートにアクセスがあったものを指し、これを不正アクセスに係るデータとして採取する。
また、上記業者ＩＰアドレス情報は、各プロバイダにそれぞれ割当てられ、そのプロバイダが利用可能なＩＰアドレスの範囲が規定された情報である。

上記ＩＰアドレス貸出し情報は、プロバイダが管理するクライアントのＩＰアドレス、貸出した時期、クライアントのドメイン名及びコンピュータの固有情報であるＭＡＣアドレスなどが含まれている。さらにＩＰアドレス貸出し情報には、ＩＰアドレスが変動アドレスの場合には、特定のクライアントに貸し出したＩＰアドレス毎に、その貸出し期間が規定された情報が含まれる。このためＩＰアドレス貸出し情報を参照すれば、ログデータに含まれる送信元ＩＰアドレスとそのログを採取した日付時刻から、そのＩＰアドレスを利用したクライアントが特定でき、ドメイン名、ＭＡＣアドレスを見つけ出しこれからクライアントが特定できる。そして、上記特定したプロバイダ及び特定したクライアントのアドレスなどに関するデータをリストアップしまた所定機関に送り、特定したクライアントに係る詳細情報をその管理元のプロバイダから得ることで、各クライアントに対する不正アクセスの防止措置をとる。

本発明に係るインターネットの不正アクセス処理システムは、上記ＩＰアドレス比較部２４において、上記情報収集サーバから受けたログデータに含まれる送信元ＩＰアドレスを、国内に割当てられた国内ＩＰアドレス情報に基づいて比較分類し、上記送信元ＩＰアドレスが国内に割当てられたものか海外のものかを判別し、上記送信元ＩＰアドレスが国内の場合に、上記プロバイダの特定を行う構成である。
ここで上記国内ＩＰアドレス情報は、海外及び国内で使用されるＩＰアドレスのうち国内に割当てられたＩＰアドレスの範囲が規定された情報をさす。

本発明に係るインターネットの不正アクセス処理方法は、インターネット８上に設けられた情報収集サーバ２において、通信のために必要なポート以外のポートにアクセスがあったデータを不正アクセスに係るデータとしてこれに日付時刻情報を付し、これをログデータとして採取し、このログデータを管理サーバ４に送り、上記管理サーバ４において、上記ログデータに含まれる送信元ＩＰアドレスを、各プロバイダに割当てられた業者ＩＰアドレス情報に基づいて比較分類し、各ログデータが、上記送信元ＩＰアドレスからどのプロバイダが管理するＩＰアドレスに係るアクセスデータであるかを、各プロバイダ毎に分類してプロバイダを特定し、上記特定したプロバイダが管理するＩＰアドレス貸出し情報に基づき、上記送信元ＩＰアドレス及び日付時刻情報から、この送信元ＩＰアドレスに係るクライアントを特定することである。

上記通信のために必要なポート以外のポートとは、特定のアプリケーションに割当てられて使用が制限されたポートなどを指す。
上記情報収集サーバからログデータを管理サーバに送る場合、例えばインターネット等の通信回線又は記憶媒体を介して上記ログデータを管理サーバに送り、一方、管理サーバは、データ受信部或いは記憶媒体からのデータ読取り部を設けてログデータの供給を受ける。

本発明に係るインターネットの不正アクセス処理方法は、上記ＩＰアドレス貸出し情報から、上記送信元ＩＰアドレスに係るクライアントのＭＡＣアドレスを検出してクライアントを特定することである。

本発明に係るインターネットの不正アクセス処理方法は、上記情報収集サーバにおいて、上記ログデータから日付時刻情報、送信元ＩＰアドレス及びポート番号を抽出し、これを固定フォーマットの解析用のログデータとして記録し、このログデータを上記管理サーバに送ることである。

本発明に係るインターネットの不正アクセス処理方法は、上記情報収集サーバから、インターネットを介して上記ログデータを上記管理サーバに送ることである。

本発明に係るインターネットの不正アクセス処理方法は、上記管理サーバ４において、上記情報収集サーバから受けたログデータに含まれる送信元ＩＰアドレスを、国内に割当てられた国内ＩＰアドレス情報に基づいて比較分類し、上記送信元ＩＰアドレスが国内に割当てられたものか海外のものかを判別し、上記送信元ＩＰアドレスが国内の場合に、上記プロバイダの特定を行うことである。

本発明に係るインターネットの不正アクセス処理方法は、上記情報収集サーバから、上記ログデータを暗号化し又は圧縮して上記管理サーバに送信する一方、上記管理サーバにおいて、受信したログデータを解読又は解凍伸長して解析することである。

本発明に係るインターネットの不正アクセス処理システムによれば、管理サーバに、ログデータを受信するデータ受信部、送信元ＩＰアドレスからプロバイダを特定するＩＰアドレス比較部及びＩＰアドレスに係るクライアントを特定するクライアント検出部を有する構成を採用したから、効率的かつ迅速に不正アクセスに係る感染源を特定することができ、上記特定された感染源のクライアント（利用ユーザー）に対してコンピュータからウィルスを駆除し、又はコンピュータを初期化する等の不正アクセスの防止処置をとることにより不正アクセスの根絶が図れるという効果を奏する。

本発明に係るインターネットの不正アクセス処理システムによれば、クライアントのＭＡＣアドレスを検出してクライアントを特定することとしたから、クライアントのコンピュータの特定が的確に行え、不正アクセスの根絶が図れるという効果がある。

本発明に係るインターネットの不正アクセス処理システムによれば、ＩＰアドレス比較部において、送信元ＩＰアドレスが国内か海外かを判別し、国内の場合にプロバイダの特定を行う構成としたから、プロバイダの特定の際に処理の効率化が図れ、また海外に対するアクションをとることにより海外からの不正アクセスの防止にも寄与できるという効果がある。

本発明に係るインターネットの不正アクセス処理方法によれば、情報収集サーバにおいて採取したログデータを管理サーバに送り、管理サーバにおいて送信元ＩＰアドレスからプロバイダを特定し、クライアントを特定することとしたから、効率的かつ迅速に感染源を特定することができ、上記特定された感染源のクライアント（利用ユーザー）に対してコンピュータからウィルスを駆除し、又はコンピュータを初期化する等の不正アクセスの防止処置をとることにより不正アクセスの根絶が図れるという効果を奏する。

本発明に係るインターネットの不正アクセス処理方法によれば、クライアントのＭＡＣアドレスを検出してクライアントを特定することとしたから、クライアントの特定が的確に行え、不正アクセスの根絶が図れるという効果がある。

本発明に係るインターネットの不正アクセス処理方法によれば、情報収集サーバにおいて、ログデータから日付時刻情報、送信元ＩＰアドレス及びポート番号を抽出し、これを固定フォーマットのログデータとして管理サーバに送ることとしたから、データ量が縮小されて通信量及び記憶領域の縮小化が図れ、またデータの分析が容易に行えて処理の簡素化、効率化に寄与するという効果がある。

以下、本発明に係る実施の形態を図面に基づいて説明する。
インターネットにおいて、クライアント（インターネットを利用するコンピュータ（パソコン）或いはそのコンピュータの利用者）に対する不正アクセスは、各種サーバ等を経由して送られる。これらの不正アクセスは、多くが特定のポート番号に対するアクセスである。一方、インターネットにおいて、クライアントはプロバイダの変動アドレスサービスを受けているため、一般にはアクセス元のクライアントを特定するのは困難である。しかし、プロバイダであればそのクライアントを判別することができ、コンピュータの識別要素であるＩＰアドレス等からクライアントを特定することが可能である。

このため、この実施の形態では、クライアントサイドに情報収集を行うための情報収集サーバを設置し、このサーバにより不正アクセスデータを取得しそのログを採取する。そして、上記採取したログデータ等を、管理センターに配置された管理サーバに送って分析、分類し、送信元ＩＰアドレス等を解析することで、不正アクセス元の根源であるクライアントを特定する。

図１は、不正アクセス元のクライアントを特定するための不正アクセス処理システムを示したものである。この処理システムでは、クライアントサイドに情報収集サーバ２が設けられ、一方、管理センターには管理サーバ４が設置され、これら両サーバ間はインターネット８を介して通信が行われる。上記情報収集サーバ２は、インターネット８のネットワーク回線とクライアントとの境界に設置し、クライアントが企業等に係る場合は、インターネット回線と企業内ＬＡＮとの境界に設置する。また、クライアントサイドのメールサーバ等に必要な情報収集機能を搭載し、これを情報収集サーバ２として併用するようにしてもよい。また、ファイアウォールとして機能するサーバ内に情報収集サーバ２を併設することもできる。

上記情報収集サーバ２はコンピュータ、メモリ等を中心に構成され、不正アクセスに係るログ採取部１２、ログデータから必要な解析情報を抽出して記録する解析データ抽出部１４、及びログデータを管理サーバに送信するデータ送信部１６を有する。上記ログ採取部１２は、不正アクセスに係るデータのログ（原始ログデータ）を採取し、これに採取した日付及び時刻情報を付して記憶する。ここで、不正アクセスとしてログ採取の対象となるのは、原則として一般クライアントが自由に使えるポート番号（Private Ports）を除いたポート番号、例えば特定のアプリケーションに割り当てられたポート番号（Well Known Ports, Registered Ports）等の使用が制限されたポートにアクセスしようとするデータである。

解析データ抽出部１４は、上記原始ログデータを分析し送信元ＩＰアドレスなどのヘッダ情報を抽出し解析に必要な所定のフォーマットに変換しこれをログ（解析ログデータ）として記憶する。この解析ログデータは、ヘッダ情報など固定サイズで構成可能な情報のみからなり、データ長を固定とし、また情報の配列を一定にして記憶及び分析の際の便宜を図っている。データ送信部１６は、上記原始ログデータ及び解析ログデータの暗号化等を行い、この暗号化等を行ったデータを管理サーバ４に送信する。

上記情報収集サーバ２と管理サーバ４とは、インターネット８を介して接続され通信が行われる。上記インターネット８を利用した通信には種々の接続形態があり、ＶＰＮ（仮想的な専用回線）接続、専用の暗号通信ソフトによりデータを暗号化した接続、公開鍵と秘密鍵を利用した暗号化通信による接続、データを圧縮した通信により通信時間を節約する方式、或いは其のままテキストで通信する方式がある。ここでの情報収集サーバ２と管理サーバ４との通信は、データを暗号化（さらに圧縮することも可能）した通信を行うことでデータの秘密保護を図る。

上記管理サーバ４についてもコンピュータ、メモリを中心に構成され、情報収集サーバ２から送られてきたログデータを受信し、併せてこのログデータを解凍、解読するデータ受信部２０、データベース化部２２、ＩＰアドレスを比較分類するＩＰアドレス比較部２４、送信元ＩＰアドレスからクライアント（不正アクセス元）を特定するクライアント検出部２６、及びデータの出力部２８を有する。上記データベース化部２２は、上記受信したログデータ（原始ログデータ及び解析ログデータと）をデータベース化して記録し、利用の効率化を図る。このとき、原始ログデータとこれを解析した解析ログデータとは関連付けをして記憶する。

上記ＩＰアドレス比較部２４は、上記データベースから読み出したログデータに含まれる送信元ＩＰアドレスの送信元が、国内からのものか又は海外からのものかを比較分類する。この際、原始ログデータに比べて解析ログデータの方が、データ内における送信元ＩＰアドレス等の個別情報の配置位置が固定されているため分析が容易であり処理の効率化が図れるので、ここでは解析ログデータを利用する。なお、情報収集サーバから受けたログデータ（原始ログデータ）を、管理サーバにおいて解析ログデータに変換してこれをデータベース化し、分析に用いるようにしてもよい。

インターネットは国際的なネットワークであるため、送信元を国内と海外に分類して以降の処理を分け、ここでは送信元ＩＰアドレスが国内からのものについて分析する。送信元ＩＰアドレスが海外からのものについては、別途データベース化し、不正アクセス情報の分析整理或いは海外のプロバイダなどからの要請により開示し、不正アクセス防止に利用する。

このとき、国内に割当てられて利用可能なＩＰアドレスの範囲については、国内のＩＰアドレス管理機関であるＮＩＣ；Network Information Center（例えばＪＰＮＩＣ；日本ネットワークインフォメーションセンター）が管理しており、この国内で利用可能なＩＰアドレス情報が記録された国内ＩＰアドレス表に基づいて、ＩＰアドレス比較部２４では送信元ＩＰアドレスが国内のものか海外のものかの分類を行う。

上記国内ＩＰアドレス情報は、ＮＩＣ３０から供給を受け、通信手段により或いは記憶媒体を介して管理サーバ４に取り入れ、国内ＩＰアドレス表として管理する。また上記ＮＩＣは、国内の各プロバイダにＩＰアドレスの割当てを行っており、各プロバイダに割当てられたＩＰアドレスに関する業者ＩＰアドレス情報はＮＩＣ３０からの供給を受け、通信手段により或いは記憶媒体を介して管理サーバ４に取り入れ、業者ＩＰアドレス表として管理する。

さらに、上記ＩＰアドレス比較部２４では、上記業者ＩＰアドレス表を参照し、上記情報収集サーバ２から受けたログデータの送信元ＩＰアドレスが、どのプロバイダに割当てられたＩＰアドレスかを比較し分類する。そして、送信元ＩＰアドレスからそのＩＰアドレスを管理するプロバイダを特定し、併せてログデータをプロバイダ毎に分類し、不正アクセスリストとしてデータベース化する。

さらに、上記データベース化では、同一の送信元ＩＰアドレスについてはその不正アクセスの回数等についても、データベースに加える。また、同一の宛先ＩＰアドレスに連続的に不正アクセスが行われているデータについても、その回数等についてデータベース化して、例えばポートスキャンなどの不正アクセスの判断情報とする。

上記クライアント検出部２６では、国内の各プロバイダ３２が管理するＩＰアドレス貸出し情報を参照し、上記データベース化されたログデータの送信元ＩＰアドレスから、該当するクライアントのドメイン名、ＭＡＣアドレス（Media Access Control Address）を検出してクライアントを特定する。このＭＡＣアドレスは、クライアントのコンピュータの固有情報である。

このＩＰアドレス貸出し情報には、そのプロバイダが管理するクライアントのＩＰアドレス、クライアントのＭＡＣアドレス、クライアントのドメイン名などが含まれている。また、クライアントに貸し出したＩＰアドレスとともに、その貸し出した日付時間情報も含まれている。通常、クライアント（利用ユーザー）はプロバイダのインターネット接続サービスを受けて、インターネットに加入することになる。このため、クライアントの接続情報であるＩＰアドレス、クライアントのドメイン名、コンピュータの固有情報であるＭＡＣアドレスはプロバイダが認識し管理している。

このため管理サーバ４は、国内の各プロバイダが管理するＩＰアドレス貸出し情報を、各プロバイダ３２から得る。各プロバイダ３２は、自己が管理するＩＰアドレス貸出し情報を、圧縮暗号化したデータに変換して秘密を保護し、管理センターの管理サーバ４に暗号化通信により送信する。上記ＩＰアドレス貸出し情報を受信した管理サーバ４では、圧縮されたデータを復元（解凍）し暗号を解読し、ＩＰアドレス貸出し情報をデータベース化して記憶し管理する。

上記のように、上記ログデータの送信元ＩＰアドレスから、このＩＰアドレスを管理するプロバイダが有する上記ＩＰアドレス貸出し情報に基づいて送信元ＩＰアドレスに該当するクライアント（不正アクセス元）が特定できる。ＩＰアドレスが固定の場合には、ＩＰアドレス貸出し情報に基づいて、送信元ＩＰアドレスに該当するクライアントを検出する。

また、クライアントがプロバイダによる変動アドレスサービス（Dynamic DNS）を受けている場合であっても、上記ＩＰアドレス貸出し情報には、特定のクライアントに貸し出したＩＰアドレスが貸出し期間とともに規定され、これからログデータに含まれる送信元ＩＰアドレスとそのログを採取した日時から、そのＩＰアドレスを利用したクライアントのドメイン名、コンピュータのＭＡＣアドレスからクライアントを特定することができる。

上記不正アクセスデータの送信元のクライアントが特定できれば、上記データの出力部２８は、解析ログデータ、不正アクセスの送信元として特定したクライアント（加害者）に関するＭＡＣアドレス、ドメイン名、日時からなるデータを各プロバイダ毎に出力する。なお、ドメイン名からプロバイダを認識することもできる。このデータ出力の形態は選択により、通信によるデータ送信、データの記憶媒体への記憶、又は印字装置へのプリント等の形態で出力する。

ここで、上記処理システムの稼動動作を、図２に示す処理概要フロー図に基づいて説明する。上記クライアントサイドの情報収集サーバ２では、不正アクセスに係るデータを検出採取し、ログを取る（Ｓ１）。

この不正アクセスデータの検出の際には、ログ採取部１２において、ファイアウォールでＴＣＰ、ＵＤＰ及びＩＣＭＰに関する全てのポートを閉塞する。そして、通信のために必要となる最低限のポートをオープンにして、その他のポートにアクセスがあったデータを監視し分析し、不正アクセスと判断したデータのログ（原始ログデータ）を取る。この不正アクセスの範囲は限定されないが、上記特定のアプリケーションに割当てられ使用が制限されたポートへアクセスしようとするデータは不正アクセスの可能性が高い。

上記不正アクセスデータのログ採取と並行して、解析データ抽出部１４においてそのデータのへダー内容等を分析抽出し、抽出したデータを所定のフォーマットに変換したログ（解析ログデータ）を作成しこれを記録する。上記解析ログデータは、不正アクセス元の分析及び特定に必要な情報を集めたものであり、不正アクセスがあった日付及び時刻、アクセス元（加害元）である送信元ＩＰアドレス、アクセスがあったポート番号、が含まれる。このポート番号には、符号に関する情報（tcp,upd）を付加してもよい。また、解析ログデータに、アクセスを受けた宛先ＩＰアドレス、ＴＣＰ／ＵＤＰ或いはＩＣＭＰの種別を含めることとしてもよい。何れにしても、解析ログデータは情報内容及びデータサイズを固定化（例えば、カンマ区切りのＣＳＶフォーマットにより）して解析の便宜を図り、データベース化を容易にする。

そして情報収集サーバ２は、データ送信部１６において上記原始ログデータ及び解析ログデータの圧縮、暗号化処理を行い、このログデータを管理センターの管理サーバ４へ送信する（Ｓ２）。このとき原始ログデータは情報量が多いため、管理サーバ４からの要求があった場合など、必要に応じて管理サーバ４へ送ることができる。

一方、管理センターの管理サーバ４は、データ受信部２０においてログデータを受信し解凍伸長し、さらにデータベース化部２２においてログデータをデータベース化する（Ｓ３）。このとき、解析ログデータはデータ長が固定化されているため、データベースへの入力が簡単に行える。

そして、ＩＰアドレス比較部２４において上記解析ログデータを読み出し、上記取込済の国内に割当てられたＩＰアドレス情報が規定された国内ＩＰアドレス表に基づき、上記解析ログデータにおける不正アクセスデータの送信元ＩＰアドレスを比較分類し、送信元が国内からのものか或いは海外からのものかを区別する（Ｓ４）。上記国内に割当てられた国内ＩＰアドレス情報はＮＩＣより供給を受けておく（Ｓ５）。そして、このログデータの送信元ＩＰアドレスが海外からのものである場合には、海外からの不正アクセスデータとして別途データベース化する（Ｓ６）。

また管理サーバ４では、上記比較の結果、上記ログデータの送信元ＩＰアドレスが国内からのものである場合には、送信元ＩＰアドレスがどのプロバイダの管理下にあるかを分類する。このときはＩＰアドレス比較部２４において、上記業者ＩＰアドレス表を参照し、不正アクセスデータの送信元ＩＰアドレスがどのプロバイダに割当てられたＩＰアドレスであるかを分類しプロバイダを特定する。

さらにクライアント検出部２６において、プロバイダが管理する上記ＩＰアドレス貸し出し情報に基づいてクライアントを特定する（Ｓ７）。このとき、ＩＰアドレスとその貸し出し日時の情報から、このＩＰアドレスを利用したクライアントが特定でき、このＩＰアドレスに関するドメイン名、ＭＡＣアドレスが特定でき、この日時に不正アクセスデータを送信したクライアントを特定する。上記送信元のＩＰアドレスは、固定アドレス或いは変動アドレスがあるが、変動アドレスであっても、プロバイダサーバーのＤＨＣＰのＩＰアドレス貸し出し情報からクライアントのドメイン名及びコンピュータのＭＡＣアドレスを判別し、クライアントを特定することができる。上記ＩＰアドレス貸し出し情報は、これを管理する国内の各プロバイダから供給を受け（Ｓ９，Ｓ１０）、各プロバイダから暗号化通信により送られた情報を、解読復元しデータベース化しておく（Ｓ８）。

そして管理サーバ４において、プロバイダ毎に不正アクセスデータについての不正アクセスリストを作成する。このリストには、上記特定した不正アクセスの送信元のＩＰアドレス、及びこのＩＰアドレスに関連しクライアントを特定するＭＡＣアドレス、ドメイン名、アクセスの日時等を記録し、またこの不正アクセスデータに付随させる。これらＩＰアドレス、ＭＡＣアドレス、ドメイン名に係るクライアントの詳細な情報は上記特定した管理元のプロバイダで登録管理されている。ドメイン名は変更される可能性があるが、日時の情報によりその日時に使用されたドメイン名からクライアントが特定できる。このように、上記クライアントを特定する情報は、プロバイダ毎に記録され、必要に応じて不正アクセスデータを付して記録され、さらに暗号化されて通信により或いは記憶媒体を介して所定の公安委員会に送られる（Ｓ１１）。

公安委員会では、上記感染源のクライアントを、ＩＰアドレス及びこれを貸し出したプロバイダ、及びＭＡＣアドレス、ドメイン名から特定し、管理元のプロバイダ或いはドメイン名の登録管理機関との連携により捜査を行い、法律（不正アクセス禁止法）の適用などの処置をとる。これにより、感染源のクライアント（利用ユーザー）に対して不正アクセスを防止する措置をとることができ、コンピュータからウィルスを駆除し、又はコンピュータを初期化することにより不正アクセスの根絶が図れる。

本発明の実施の形態に係るインターネットの処理システムを示すブロック図である。 実施の形態に係る処理システムの処理概要を示す図である。 インターネットの概要を示す図である。

符号の説明

２ 情報収集サーバ
４ 管理サーバ
８ インターネット

Claims (9)

1. インターネット上に設けられ、受信したデータの内から不正アクセスに係るデータに日付時刻情報を付し、これをログデータとして採取する情報収集サーバと、
   上記情報収集サーバからインターネットを介して送られた上記ログデータを受信し解析する管理サーバと、を有する不正アクセス処理システムにおいて、
   上記管理サーバは、
   上記情報収集サーバから送られた上記ログデータを受信するデータ受信部と、
   上記ログデータに含まれる送信元ＩＰアドレスを、各プロバイダに割当てられた業者ＩＰアドレス情報に基づいて比較分類し、各ログデータが、上記送信元ＩＰアドレスからどのプロバイダが管理するＩＰアドレスに係るアクセスデータであるかを、各プロバイダ毎に分類してプロバイダを特定するＩＰアドレス比較部と、
   上記特定したプロバイダが管理するＩＰアドレス貸出し情報に基づき、上記送信元ＩＰアドレス及び日付時刻情報から、この送信元ＩＰアドレスに係るクライアントを特定するクライアント検出部と、を有することを特徴とするインターネットの不正アクセス処理システム。
2. 上記クライアント検出部は、上記ＩＰアドレス貸出し情報から、上記送信元ＩＰアドレスに係るクライアントのＭＡＣアドレスを検出してクライアントを特定することを特徴とする請求項１記載のインターネットの不正アクセス処理システム。
3. 上記ＩＰアドレス比較部において、上記情報収集サーバから受けたログデータに含まれる送信元ＩＰアドレスを、国内に割当てられた国内ＩＰアドレス情報に基づいて比較分類し、上記送信元ＩＰアドレスが国内に割当てられたものか海外のものかを判別し、
   上記送信元ＩＰアドレスが国内の場合に、上記プロバイダの特定を行うことを特徴とする請求項１又は請求項２記載のインターネットの不正アクセス処理システム。
4. インターネット上に設けられた情報収集サーバにおいて、通信のために必要なポート以外のポートにアクセスがあったデータを不正アクセスに係るデータとしてこれに日付時刻情報を付し、これをログデータとして採取し、このログデータを管理サーバに送り、
   上記管理サーバにおいて、
   上記ログデータに含まれる送信元ＩＰアドレスを、各プロバイダに割当てられた業者ＩＰアドレス情報に基づいて比較分類し、各ログデータが、上記送信元ＩＰアドレスからどのプロバイダが管理するＩＰアドレスに係るアクセスデータであるかを、各プロバイダ毎に分類してプロバイダを特定し、
   上記特定したプロバイダが管理するＩＰアドレス貸出し情報に基づき、上記送信元ＩＰアドレス及び日付時刻情報から、この送信元ＩＰアドレスに係るクライアントを特定することを特徴とするインターネットの不正アクセス処理方法。
5. 上記ＩＰアドレス貸出し情報から、上記送信元ＩＰアドレスに係るクライアントのＭＡＣアドレスを検出してクライアントを特定することを特徴とする請求項４記載のインターネットの不正アクセス処理方法。
6. 上記情報収集サーバにおいて、上記ログデータから日付時刻情報、送信元ＩＰアドレス及びポート番号を抽出し、これを固定フォーマットの解析用のログデータとして記録し、このログデータを上記管理サーバに送ることを特徴とする請求項４又は５記載の不正アクセス処理方法。
7. 上記情報収集サーバから、インターネットを介して上記ログデータを上記管理サーバに送ることを特徴とする請求項４、５又は６記載のインターネットの不正アクセス処理方法。
8. 上記管理サーバにおいて、上記情報収集サーバから受けたログデータに含まれる送信元ＩＰアドレスを、国内に割当てられた国内ＩＰアドレス情報に基づいて比較分類し、上記送信元ＩＰアドレスが国内に割当てられたものか海外のものかを判別し、
   上記送信元ＩＰアドレスが国内の場合に、上記プロバイダの特定を行うことを特徴とする請求項４乃至７の何れかに記載のインターネットの不正アクセス処理方法。
9. 上記情報収集サーバから、上記ログデータを暗号化し又は圧縮して上記管理サーバに送信する一方、上記管理サーバにおいて、受信したログデータを解読又は解凍伸長して解析することを特徴とする請求項４乃至８の何れかに記載のインターネットの不正アクセス処理方法。

Images