JP2008250728A - 情報漏洩監視システムおよび情報漏洩監視方法 - Google Patents
情報漏洩監視システムおよび情報漏洩監視方法 Download PDFInfo
- Publication number
- JP2008250728A JP2008250728A JP2007091729A JP2007091729A JP2008250728A JP 2008250728 A JP2008250728 A JP 2008250728A JP 2007091729 A JP2007091729 A JP 2007091729A JP 2007091729 A JP2007091729 A JP 2007091729A JP 2008250728 A JP2008250728 A JP 2008250728A
- Authority
- JP
- Japan
- Prior art keywords
- information
- access
- database
- leakage monitoring
- security policy
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000012544 monitoring process Methods 0.000 title claims abstract description 98
- 238000000034 method Methods 0.000 title claims abstract description 54
- 230000002159 abnormal effect Effects 0.000 claims abstract description 40
- 238000001514 detection method Methods 0.000 claims description 17
- 230000004044 response Effects 0.000 claims description 8
- 238000012550 audit Methods 0.000 description 65
- 230000008569 process Effects 0.000 description 24
- 238000012423 maintenance Methods 0.000 description 14
- 238000012545 processing Methods 0.000 description 13
- 239000003795 chemical substances by application Substances 0.000 description 12
- 239000003550 marker Substances 0.000 description 9
- 230000009471 action Effects 0.000 description 8
- 230000005856 abnormality Effects 0.000 description 6
- 238000010586 diagram Methods 0.000 description 6
- 238000007726 management method Methods 0.000 description 6
- 238000012790 confirmation Methods 0.000 description 5
- 238000005516 engineering process Methods 0.000 description 5
- 230000005540 biological transmission Effects 0.000 description 4
- 238000011161 development Methods 0.000 description 3
- 230000018109 developmental process Effects 0.000 description 3
- 238000000605 extraction Methods 0.000 description 2
- 125000002066 L-histidyl group Chemical group [H]N1C([H])=NC(C([H])([H])[C@](C(=O)[*])([H])N([H])[H])=C1[H] 0.000 description 1
- 230000004075 alteration Effects 0.000 description 1
- 238000004458 analytical method Methods 0.000 description 1
- 230000000903 blocking effect Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000007796 conventional method Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 230000007257 malfunction Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000007781 pre-processing Methods 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 238000012552 review Methods 0.000 description 1
- 238000012502 risk assessment Methods 0.000 description 1
- 238000007619 statistical method Methods 0.000 description 1
- 230000033772 system development Effects 0.000 description 1
- 238000012360 testing method Methods 0.000 description 1
- 230000007704 transition Effects 0.000 description 1
Images
Landscapes
- Storage Device Security (AREA)
Abstract
【解決手段】秘密情報を蓄積するデータベース10の情報漏洩を抑止する情報漏洩監視システム40であって、アクセス者(32〜34)からのデータベースへのアクセス計画情報51の登録要求を受けて登録済アクセス計画情報52を生成し、承認者39からの登録済アクセス計画情報の承認要求を受けて承認済アクセス計画情報53を生成し、承認済アクセス計画情報からデータベースのセキュリティポリシー情報59を生成し、セキュリティポリシー情報を参照してデータベースの実際のアクセス記録情報12から異常アクセスを検出する。
【選択図】図1
Description
これらの顧客情報は秘密情報であり、情報漏洩が生じないように厳重に管理することが求められている。
従来型の外部侵入に関しては、既に様々な対策技術が開発されている。例えば、社外からの不正アクセスに対して蓄積情報を保護する方法としては、ファイヤウォール、アクセス制御機能等多様な手法が利用されている。さらに、暗号化手法の改善、ハードウェア機器の処理速度の向上等によって、外部侵入に対する堅牢性は更に向上している。
その結果、ネットワークの内部は外部から厳重に保護されるようになっており、外部からの不正アクセスによって非合法的に当該情報が参照、取得される等による情報漏洩の脅威は少なくなっている。
このような、保護されたネットワークの内部での不正アクセスは、前述した既存の対策技術で防止することが難しい。
すなわち、ネットワーク内部の正当なアクセス権限を持った人物のアクセスは、例え情報の引き抜きや複製などの不正アクセスであっても、表面的には正常なシステムの利用状態と何ら変わらない。このため、前述したファイヤウォールや暗号化等の社外を想定した対策技術では、内部不正アクセスの識別が困難である。そして、近年ではこのような内部不正アクセスによる情報漏洩が問題となってきている。
これらは、企業の信頼喪失、ひいては、インターネットを利用した将来のビジネスの発展を阻害しかねない。
また、システム運用者の犯罪を防止する技術として、従来システム運用者へはシステムに対する特権つまり広範なアクセス権限を付与するのが一般的であるが、運用者自体のリスクを低減するために、通常は必要最小限のアクセス権限のみを付与しておき、メンテナンス等の際など必要な場合に限って特権を付与するとした技術が開発されている(特許文献2参照)。
一方、前述した状況によりアクセス権を切り替える手法においては、運用目的で一旦アクセス権が付与された状態では、その権限の範囲内で特定のデータへアクセス可能であり、悪意があればこの段階で情報を取得することが可能となってしまうという問題がある。
このような本発明では、異常アクセスが検出された際に関係者への通知を行うことで、通知を受けた関係者が適宜対応することができ、内部の不正アクセスであっても防止することができる。
このような本発明では、承認者がアクセス者に関するアクセスリスク許容値を設定し、実アクセスにおけるアクセスリスクの評価により異常検出を行うことで、処理負荷の軽減を図りながら確実な検出を行うことができる。
このような本発明では、異常検出をアクセス者のアクセスリスクに絞ることで、処理負荷を軽減でき、かつ十分な検出制度を確保することができる。
このような本発明では、情報に応じてリスクテーブルを参照することでアクセスリスクの計算を簡単かつ確実に行える。
前記データベースに対するアプリケーションソフトウェアのアクセスシーケンスおよびアクセスタイミングをアプリケーション認証情報として登録するアプリケーション認証情報登録手段と、
前記アプリケーション認証情報から前記データベースのセキュリティポリシー情報を生成するセキュリティポリシー生成手段と、
前記セキュリティポリシー情報を参照して前記データベースに対する前記アプリケーションソフトウェアの実際のアクセス記録から異常アクセスを検出する異常アクセス検出手段と
を備えたことを特徴とする。
すなわち、アプリケーションソフトウェアが正常に動作している状態では、そのアクセス挙動は一定のパターンを示す。これに対し、不正アクセス等を実行するようにアプリケーションソフトウェアに改ざん等が行われると、そのアクセス挙動は正常時とは異なったものとなる。このため、アプリケーションソフトウェアの正常時のアクセス挙動(アクセスシーケンスおよびアクセスタイミング)をアプリケーション認証情報として記録しておき、これを参照して実際のアクセス挙動を検査することで、アプリケーションソフトの改ざんあるいは不正アクセスを検出することができる。
このような本発明では、異常検出をアプリケーションソフトウェアのアクセスシーケンスのみに絞ることで、処理負荷を軽減でき、かつ十分な検出制度を確保することができる。
図1には、本発明が適用された電子商取引サービスシステム1が示されている。
電子商取引サービスシステム1は、ネットワークを経由して接続される多数の顧客(サービスユーザ)31に対してデータベースシステム2により電子商取引サービスを提供するものである。
以下、システム各部について詳細に説明する。
なお、以下の説明において、サービスユーザ31等の語はシステムに関与する人のことを指すが、システムに直接関与するのはコンピュータ端末等であるため、図面上では端末機器の絵柄で表示している。
また、データベースサーバ10には複数のデータベースが構築されていてもよく、そのうち少なくとも一つが情報漏洩監視システムの監視対象であればデータベースシステム2は監視対象とされる。データベースサーバ10における複数のデータベースの識別は既存のデータベース名称等で適宜識別される。
図2に示すように、電子商取引サービスシステム1にはDMZ(非武装地帯)3を介してインターネット等の外部ネットワーク4が接続されている。電子商取引サービスシステム1の電子商取引サービス(以下Webサービスとも呼ぶ)を利用するサービスユーザ31は、外部ネットワーク4においてルータ25およびファイヤウォール24を経由してウェブサーバ23に接続される。
ウェブサーバ23は、サービスユーザ31と電子商取引サービスシステム1のインターフェースを提供するもので、Webサービスに必要なサービスユーザ31からの情報入力や物品購入等の指示を行うための画面表示や入出力機能等をサービスユーザ31の端末に提供する。サービスユーザ31により入力される顧客情報は、ファイヤウォール22を経由してアプリケーションサーバ20へ引き渡され、データベースサーバ10に記録される。
従って、データベースサーバ10には秘密情報として厳重に管理すべき顧客情報等が蓄積される。
電子商取引サービスシステム1において、データベースサーバ10へのアクセスとしては、前述したアプリケーションサーバ20に格納されてWebサービスを提供するアプリケーションソフトウェア21によるものがあるほか、システムの保守管理のためのアクセスがある。
図3に示すように、データベースシステム2において、データベースサーバ10およびアプリケーションサーバ20には、その開発から運用にあたってシステム開発者を含むシステム保守担当者32の関与が必要である。また、アプリケーションソフトウェア21の設定ないし保守のために、データベースサーバ10およびアプリケーションサーバ20にはデータ保守担当者を含むアプリケーション運用担当者33の関与が必要である。更に、アプリケーションソフトウェア21の設定あるいは更新などのために、アプリケーション開発者あるいはアプリケーション保守担当者34の関与が必要となる。
ここで、データベースシステム2の内部で発生する問題の多くは、これら付与された権限の範囲内で実施可能なアクセスによって漏洩する可能性があり、従来のセキュリティ技術で防止することは非常に難しい。
そこで、本実施形態の電子商取引サービスシステム1には、データベースシステム2を監視対象とする情報漏洩監視システム40が設置されている。
図1に戻って、本実施形態の情報漏洩監視システム40は、前述したアプリケーション運用担当者33、アプリケーション保守担当者34等の内部のアクセス者からの不正アクセスを監視する機能を有するとともに、前述したアプリケーションソフトウェア21の改ざんによる不正アクセスを監視する機能を有する。
(ワークフローサーバ)
ワークフローサーバ41は、本発明の情報漏洩監視方法に基づいて、アクセス計画の登録、承認、セキュリティポリシーの生成までを行うものである。
本発明に基づく情報漏洩監視方法のうち、アクセス計画の登録、承認、セキュリティポリシーの生成までを行うものである。
図5には、前述したアクセス計画登録機能411により登録されるアクセス計画情報51および登録済アクセス計画情報52、アクセス計画承認機能412で生成される承認済アクセス計画情報53、アプリケーション認証情報登録機能415で生成されるアプリケーション認証情報54の詳細が示されている。
アクセス計画情報51は、監視対象であるデータベースシステム2へアクセスする必要があるアクセス者が、当該システムにアクセスする前に、「誰が、何時、どのような目的でアクセスを実施するか」等を計画情報として設定するものであり、通常は本人がアクセス計画登録機能411から登録要求することで登録済アクセス計画情報52となる。
登録済アクセス計画情報52はアクセス計画情報51と同じ内容である。
承認者39は、アクセス者(32〜34)等の作業者の管理責任者であり、作業者によって登録された登録済アクセス計画情報52を確認し、承認要求および必要な情報の追加入力を行う。
図5において、承認済アクセス計画情報53は、前述した登録済アクセス計画情報52の内容に、「承認者名」、「承認者メールアドレス」、承認者が入力した「アクセスリスク許容値」の情報を追加したものである。
承認者39は、登録済アクセス計画情報52に記載された業務の内容に応じて、このアクセス計画のアクセスリスク許容値を設定する。
図5において、アクセスパターン情報(M1,M2等)と、そのアプリケーションが動作する時間帯を示すアクセス時間(1,2等)の情報によって構成される。
アプリケーション認証は、Webサービスを行うシステム開発やアプリケーション開発の完了後、試験運用を実施する段階で、監視対象データベースをアクセスするアプリケーションのアクセスパターンを分析し、その特徴情報を利用して正規のアプリケーションとして認証するものであり、アプリケーション自体の改ざん、SQL文改ざん等によるデータベースへの異常アクセスを検出することができる。
アプリケーション認証に関する詳細に関しては、後述する。
ポリシーデータベース42は、本発明の情報漏洩監視方法に基づいて生成されたセキュリティポリシーを記録し、必要に応じてこの情報を提供するものである。
図5に示すように、ポリシーデータベース42には、登録済アクセス計画情報52、承認済アクセス計画情報53が登録されるとともに、予め登録されたアプリケーション認証情報54か格納されている。更に、データベースサーバ10に格納された個々のデータベース毎に予め作成されたアクセスリスクテーブル55が登録されている。
リスク指数は、監視対象データベースに蓄積される情報の機密性の度合いにより管理者によって設定され、大きな数値ほど機密性が高く、漏洩リスクも高いことを表している。
このアクセスリスクテーブル55を参照することで、任意のアクセス計画のリスク指数を調査することができる。
エージェント11は、情報漏洩監視システム40が本発明の情報漏洩監視方法に基づいて異常アクセス検出を行う対象であるデータベースサーバ10の実アクセス情報を提供するものである。
図4に示すように、エージェント11は、監視対象であるデータベースシステム2上に設置され、データベースサーバ10にアクセスが行われる毎にアクセスログを生成するものであり、監査ログ設定機能111、監査ログ収集機能112、監査ログ送信機能113、コマンド処理機能114を備えている。
なお、データベースサーバ10に複数のデータベースがある場合、エージェント11も各データベースに対応して複数設けてもよい。
ログ監視サーバ43は、本発明の情報漏洩監視方法に基づいて、エージェント11から送られるデータベースサーバ10の実アクセス情報とポリシーデータベース42から得られるセキュリティポリシー情報59とを参照し、異常アクセスの判定を行うものである。
図4に示すように、ログ監視サーバ43は、監査ログコレクタ機能431、ポリシー判定機能432、アラート機能433、監査ログデータベース439を備えている。
ポリシー判定機能432は、本発明における異常アクセス検出手段であり、ポリシーデータベース42に蓄積されたセキュリティポリシー情報59を参照して、監査ログデータベース439に記録された監査ログ121を分析し、予定外の異常アクセスを検出するものである。
アラート機能433はポリシー判定機能432から異常アクセス情報58が出力された際に、アラート情報57を生成し、メールサーバ44等を介して監視者38に通知するものである。
図7に示すように、監査ログコレクタ機能431におけるデータ受信処理は、予め設定された監視対象のデータベースシステム2の情報を取得し(S71)、エージェント11に接続(S72)して監査ログ要求122を送信し(S73)、エラーチェック(S74)ののち、エージェント11から監査ログ121を取得し(S75)、受信した監査ログ121を監査ログデータベース439に格納する(S76)。
図7に示すように、ポリシー判定機能432は、監視対象のデータベースシステム2に関する監査ログ121を読み込み(S81)、このデータベースシステム2における監査対象データベース名に該当するセキュリティポリシー情報59をポリシーデータベース42から読み込む(S82)。次に、ポリシー判定を行うための前処理として、セキュリティポリシー情報59の構文を解析して判定しやすい情報に分解する(S83)。ポリシー判定(S84)では、アクセス計画情報51に基づく監査ログ121の判定、アプリケーション認証情報54に基づくアプリケーションのアクセス判定、リスク検知等の判定を行う。これらの何れかの判定で問題が発生した場合(S85)、アラートフラグをセットする(S86)。収集されている全てのログの判定を実施したら本処理を終える。ここでアラートフラグがセットされた場合、当該DBに関連するポリシー違反情報を監査ログDBに蓄積し、関係者へ対応を即すため、アラート情報57としてメール等で即座に通知する。
以下に各判定処理の詳細を説明する。
ポリシー判定機能432によるポリシー判定の一つとしてアクセス計画判定機能がある。
図9に示すように、アクセス計画判定機能は、データベースユーザのアクセス権限を監視するALCポリシー、アクセス対象を監視するオブジェクトポリシー、アクセス時間帯を監視するタイムポリシー、アクセスする際に利用するデータベースコマンドを監視するアクションポリシーなどの各ポリシー判定により構成される。
各々のポリシー判定は、ログ監視サーバ43で収集される監査ログ121と、ポリシーデータベース42から読み込まれたセキュリティポリシー情報59とを比較することによって行う。また、何れのポリシー判定を利用するかは、ポリシーデータベース42から読み込まれたセキュリティポリシー情報59により決定される。
図9に示すように、セキュリティポリシー情報59で指定された検査対象データベースの判定指定を調べ(S91)、対応した判定(S92〜S96)を実施し、ポリシー違反情報を監査ログDBに蓄積する(S97)。
アクセス計画判定機能における各ポリシー判定では、セキュリティポリシー情報59に基づく下記の条件判定を利用する。
(a) 監査ログ121のOSユーザ名が承認済アクセス計画情報53のOSユーザ名と一致する。
(b) 監査ログ121のDBユーザ名が承認済アクセス計画情報53のDBユーザ名と一致する。
(c) 監査ログ121の対象データベース名が承認済アクセス計画情報53のアクセス先DB名と一致する。
(d) 監査ログ121のアクションが承認済アクセス計画情報53のアクションと一致する。
(e) 監査ログ121に含まれるホストIPアドレスが承認済アクセス計画情報53の端末IPアドレスと一致する。
(f) 監査ログ121に含まれるアクセス日及び時間が承認済アクセス計画情報53のポリシー有効期限内である。
(g) 監査ログ121に含まれるアクセス日時が承認済アクセス計画情報53のアクセス日及び時間帯の範囲内である。
(h) 監査ログ121に含まれるオブジェクト名が承認済アクセス計画情報53の対象オブジェクトと一致する。
(i) 監査ログ121に含まれるオブジェクトオーナが承認済アクセス計画情報53のDBユーザ名と一致する。
ALCポリシー判定(S92)では、前述した条件リストの条件(b)を必須とし、その他の条件を含めるかどうかはセキュリティポリシー生成機能413の設定に従う。
(アクションポリシー判定)
アクションポリシー判定(S93)では、前述した条件リストの条件(d)を必須とし、その他の条件を含めるかどうかはセキュリティポリシー生成機能413の設定に従う。
(タイムポリシー判定)
タイムポリシー判定(S94)では、前述した条件リストの条件(g)を必須とし、その他の条件を含めるかどうかはセキュリティポリシー生成機能413の設定に従う。
(オブジェクトポリシー判定)
オブジェクトポリシー判定(S95)では、前述した条件リストの条件(h)及び条件(i)を必須とし、その他の条件を含めるかどうかはセキュリティポリシー生成機能413の設定に従う。
(カスタムポリシー判定)
カスタムポリシー判定(S95)では、前述した条件リストの何れかをセキュリティポリシー生成機能413で設定する。
ポリシー判定機能432によるポリシー判定の一つとしてアプリケーション認証機能が行われる。
アプリケーション認証機能では判定にあたってアプリケーション認証情報54(図1参照)を利用する。アプリケーション認証情報54は、データベースサーバ10にアクセスするアプリケーションソフトウェア21のアクセスシーケンスおよびアクセスタイミングを記述したものであり、予めワークフローサーバ41のアプリケーション認証情報登録機能415によって登録される。
これらのアクセスシーケンスおよびアクセスタイミング(以下認証パターンという)は、アプリケーションソフトウェア21の通常動作におけるデータベースアクセスの結果から生成される。具体的には通常動作におけるデータベースアクセスを行った際に得られるアクセスログ12(監査ログ121)を参照する。
こうして抽出されたログ情報から、データベースアクセスの開始を示すマーカを検索し、一連のアクセスブロックの先頭を検出する(S103)。そこで検出されたマーカログより、DBユーザ名、IPアドレスを記録する(S104)。以降の抽出ログから順にSQL文を検出し(S105)、検出したSQL文の情報を記録し(S106)、実行時間の差を記録し(S107)してゆく。これらの処理S105〜S107は終了マーカの検出(S108)まで繰り返す。
終了マーカが検出されたら、全マーカが検出されたかを調べ(S109)、未処理のマーカが残っていれば、次のマーカログのDBユーザ名およびIPアドレスの記録(S104)から繰り返す。
全マーカが検出し終わったなら、全セッションが検出されたかを調べ(S1010)、未処理のセッションが残っていれば、次のセッション情報と同一のログ情報の抽出(S102)から繰り返す。
全セッションが検出し終わったなら処理を終了する(S1011)。その結果、図12に示すDBユーザ毎のアクセスパターン情報54Aが得られる。
アクセスパターンリスト543は、一連のSQL文情報544と、各々の時間間隔情報545とを備えている。
これらにより、DBユーザ名541、IPアドレス542で特定されるアプリケーションソフトウェア21がデータベースサーバ10内のデータベースに対して、ある時はアクセスパターン1に記述されたSQL文の発信パターンでアクセスを行い、別の時にはアクセスパターン2に記述されたパターンの動作を行うことが正常である、ということが識別できる。
このようなアクセスパターン情報54Aは、セキュリティポリシー情報59の一部としてポリシーデータベース42に記録される。そして、ポリシー判定機能432におけるアプリケーション認証機能の際に参照される。
分類されたセッション毎の特定ログから開始マーカを検出する(S125)。開始マーカ以降のSQL文の実行順序と時間間隔を比較し(S126)、その類似性によって、認証されたアプリケーションからのアクセスか否かを判定する(S127)。
類似性が確認できなかった場合、アプリケーションの改ざんがあったと判断し、該当データベース名、マーカ名等、当該アプリケーションを特定する情報を監査ログに蓄積し(S128)、アプリケーション異常フラグをセットする(S129)。
この後、全マーカが検出されたかを調べ(S1210)、未処理のマーカが残っていれば、次のマーカについて処理S125から処理S1210を繰り返す。
全マーカが検出し終わったなら、全セッションが検出されたかを調べ(S1211)、未処理のセッションが残っていれば、処理S125から処理S1211を繰り返す。
全セッションが検出し終わったなら処理を終了する。
ポリシー判定機能432によるポリシー判定の一つとしてアクセスリスク判定が行われる。
アクセスリスク判定ではアクセスリスクテーブル55(図5参照)および承認者により設定されて承認済アクセス計画情報53に記述されるアクセスリスク許容値を利用する。
図13にアクセスリスク判定によるアクセス危険度判定機能の動作フローを示す。
アクセスリスク判定では、先ず監査ログ121を読み込み(S131)、アクセス者(32〜34)によるアクセスの危険度を算出するため、ポリシーデータベース42に記録されたアクセスリスクテーブル55を読み込む(S132)。次に、分析対象のユーザアカウントに関連した監査ログを抽出し(S133)、その抽出されたログをさらにセッション毎に分類する(S134)。そして、アクセスリスクテーブル55に記述されたリスク指数をもとに、SQL文毎のリスク指数を積算し、単位時間毎の積算値の推移を記録してゆく(S135)。同様、特定ユーザアカウントの全てのセッションに関して、処理を実行する(S136)。全セッションの終了後、単位時間当たりのリスク積算値と閾値であるアクセスリスク許容値とを比較し(S137)、このアクセスリスク許容値を上回った場合にはリスク異常インシデントを監査ログDBに格納し(S138)、リスク異常フラグをセットする(S139)。
このようなアクセスリスク判定では、アクセス者に関するアクセスリスク許容値を設定し、実アクセスにおけるアクセスリスクの評価により異常検出を行うことで、処理負荷の軽減を図りながら確実な検出を行うことができる。
また、Webサーバ監視機能418および対策実施確認機能419は以下の監視機能を提供する。
Webサーバ監視機能418は、前述した各判定による異常発生など、データベース毎に発生したインシデントをリアルタイムに表示、対処する機能を備える。ポリシー判定機能432によるポリシー判定の結果は、監査ログデータベース439にその都度蓄積され、迅速な対処を要求するため、その旨をメール等によるアラート情報57として送信する。
アラート情報57を受けた現場の監視者38は、アラートを発生させた監視対象データベースのアクセス者(32〜34)を特定し、実施確認を行ない、承認者39へその旨報告する。
Webサーバ監視機能418は、定期的に監査ログデータベース439をモニターしており、新規のインシデントが発生した場合、関連情報を監査ログデータベース439より取得し、監視端末に表示する。監査報告を受けた監視者38は、実施者報告に問題があった場合は、緊急対応と判断し、アラート発生の要因を作ったアクセス者(32〜34)の端末からの接続を遮断し、監視機能を利用して以降のアクセスを拒否する設定を実施する。
対策実施確認機能419は、Webサーバ監視機能418をモニタし、予め定められた時間内に前述した実施確認が取れない場合は、自動的に先述の遮断処理を実施する。
前記実施形態におけるネットワーク構成あるいはシステム構成は適宜変更することができる。
例えば、前記実施形態では、承認者39とは別に監視者38を設定してアラート情報75が送られるようにしたが、アラート情報57は承認者39にも送ってもよく、あるいは承認者39が兼ねる場合は監視者38を省略してもよい。
前記実施形態における処理の詳細、手順あるいはその順序の詳細は適宜変更することができる。各処理の具体的な手法としてはその機能に応じて既存のソフトウェア技術を適宜採用することができる。
2 データベースシステム
4 外部ネットワーク
10 データベースサーバ
11 エージェント
12 アクセスログ(アクセス記録情報)
20 アプリケーションサーバ
21 アプリケーションソフトウェア
22 ファイヤウォール
23 ウェブサーバ
24 ファイヤウォール
25 ルータ
31 サービスユーザ
32 システム保守担当者
33 アプリケーション運用担当者
34 アプリケーション保守担当者
38 監視者
39 承認者
40 情報漏洩監視システム
41 ワークフローサーバ
42 ポリシーデータベース
43 ログ監視サーバ
44 メールサーバ
51 アクセス計画情報
52 登録済アクセス計画情報
53 承認済アクセス計画情報
54A アクセスパターン情報
54 アプリケーション認証情報
55 アクセスリスクテーブル
57 アラート情報
58 異常アクセス情報
59 セキュリティポリシー情報
111 監査ログ設定機能
112 監査ログ収集機能
113 監査ログ送信機能
114 コマンド処理機能
121 監査ログ
122 監査ログ要求
411 アクセス計画登録機能(アクセス計画登録手段)
412 アクセス計画承認機能(アクセス計画承認手段)
413 セキュリティポリシー生成機能(セキュリティポリシー生成手段)
415 アプリケーション認証情報登録機能(アプリケーション認証情報登録手段)
417 サーバシステム管理機能
418 サーバ監視機能
419 対策実施確認機能
431 監査ログコレクタ機能
432 ポリシー判定機能(異常アクセス検出手段)
433 アラート機能
439 監査ログデータベース
541 ユーザ名
542 アドレス
543 アクセスパターンリスト
544 文情報
545 時間間隔情報
Claims (9)
- 秘密情報を蓄積するデータベースの情報漏洩を抑止する情報漏洩監視システムであって、
前記データベースに対する特定のユーザに関するアクセス計画情報の登録要求を受けて登録済アクセス計画情報を生成するアクセス計画登録手段と、
前記登録済アクセス計画情報の承認要求を受けて承認済アクセス計画情報を生成するアクセス計画承認手段と、
前記承認済アクセス計画情報から前記データベースのセキュリティポリシー情報を生成するセキュリティポリシー生成手段と、
前記セキュリティポリシー情報を参照して前記データベースの実際のアクセス記録情報から異常アクセスを検出する異常アクセス検出手段と
を備えたことを特徴とする情報漏洩監視システム。 - 請求項1に記載した情報漏洩監視システムにおいて、
更に、前記異常アクセスを検出した際に予め指定された関係者へ通知する異常アクセス通知手段
を備えたことを特徴とする情報漏洩監視システム。 - 請求項1または請求項2に記載した情報漏洩監視システムにおいて、
前記アクセス計画承認手段は、前記アクセス計画情報に関するアクセスリスク許容値の入力を受け付けるアクセスリスク許容値入力手段を有し、
前記セキュリティポリシー情報には前記アクセスリスク許容値が含まれ、
前記異常アクセス検出手段は、前記実際のアクセス記録からアクセスリスク値を算出し、このアクセスリスク値が前記アクセスリスク許容値を超えた際に異常アクセスとして検出する
ことを特徴とする情報漏洩監視システム。 - 請求項3に記載した情報漏洩監視システムにおいて、
前記セキュリティポリシー情報は前記アクセスリスク許容値のみで構成される
ことを特徴とする情報漏洩監視システム。 - 請求項3または請求項4に記載した情報漏洩監視システムにおいて、
前記異常アクセス検出手段は、前記アクセスリスク値の計算にあたって、SQL文のステートメント、コマンドの種類、アクセス対象のオブジェクトの少なくとも何れかを含む情報に対して機密性の度合いをリスク指数として重み付けたリスクテーブルを利用する
ことを特徴とする情報漏洩監視システム。 - 秘密情報を蓄積するデータベースの情報漏洩を抑止する情報漏洩監視システムであって、
前記データベースに対するアプリケーションソフトウェアのアクセスシーケンスおよびアクセスタイミングをアプリケーション認証情報として登録するアプリケーション認証情報登録手段と、
前記アプリケーション認証情報から前記データベースのセキュリティポリシー情報を生成するセキュリティポリシー生成手段と、
前記セキュリティポリシー情報を参照して前記データベースに対する前記アプリケーションソフトウェアの実際のアクセス記録から異常アクセスを検出する異常アクセス検出手段と
を備えたことを特徴とする情報漏洩監視システム。 - 請求項6に記載した情報漏洩監視システムにおいて、
前記アプリケーションソフトウェアに関する前記セキュリティポリシー情報は前記アプリケーションソフトウェアのアクセスシーケンスのみで構成される
ことを特徴とする情報漏洩監視システム。 - 秘密情報を蓄積するデータベースの情報漏洩を抑止する情報漏洩監視方法であって、
前記データベースに対するアクセス計画情報の登録要求を受けて登録済アクセス計画情報を生成し、
前記登録済アクセス計画情報の承認要求を受けて承認済アクセス計画情報を生成し、
前記承認済アクセス計画情報から前記データベースのセキュリティポリシー情報を生成し、
前記セキュリティポリシー情報を参照して前記データベースの実際のアクセス記録情報から異常アクセスを検出する
ことを特徴とする情報漏洩監視方法。 - 秘密情報を蓄積するデータベースの情報漏洩を抑止する情報漏洩監視方法であって、
前記データベースに対するアプリケーションソフトウェアのアクセスシーケンスおよびアクセスタイミングをアプリケーション認証情報として登録し、
前記アプリケーション認証情報から前記データベースのセキュリティポリシー情報を生成し、
前記セキュリティポリシー情報を参照して前記データベースに対する前記アプリケーションソフトウェアの実際のアクセス記録から異常アクセスを検出する
ことを特徴とする情報漏洩監視方法。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2007091729A JP4843546B2 (ja) | 2007-03-30 | 2007-03-30 | 情報漏洩監視システムおよび情報漏洩監視方法 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2007091729A JP4843546B2 (ja) | 2007-03-30 | 2007-03-30 | 情報漏洩監視システムおよび情報漏洩監視方法 |
Publications (3)
Publication Number | Publication Date |
---|---|
JP2008250728A true JP2008250728A (ja) | 2008-10-16 |
JP2008250728A5 JP2008250728A5 (ja) | 2009-05-14 |
JP4843546B2 JP4843546B2 (ja) | 2011-12-21 |
Family
ID=39975584
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2007091729A Active JP4843546B2 (ja) | 2007-03-30 | 2007-03-30 | 情報漏洩監視システムおよび情報漏洩監視方法 |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP4843546B2 (ja) |
Cited By (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2012168872A (ja) * | 2011-02-16 | 2012-09-06 | Nec Biglobe Ltd | 特権管理システムおよび特権管理方法 |
JP2012527691A (ja) * | 2009-05-19 | 2012-11-08 | サイバーセキュアー, インコーポレイテッド | アプリケーションレベルセキュリティのためのシステムおよび方法 |
JP2014102822A (ja) * | 2012-11-19 | 2014-06-05 | International Business Maschines Corporation | 特定のデータ・ストアに安全にアクセスするためのプロセッサ実装方法、データ・ストアを安全にするためのコンピュータ・プログラムおよびコンピュータ・システム(データにアクセスするためのコンテキストベース・セキュリティ・スクリーニング) |
US9965624B2 (en) | 2014-02-12 | 2018-05-08 | Mitsubishi Electric Corporation | Log analysis device, unauthorized access auditing system, computer readable medium storing log analysis program, and log analysis method |
KR101920613B1 (ko) * | 2018-06-01 | 2018-11-21 | 주식회사 시큐브 | 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법 |
Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2003233521A (ja) * | 2002-02-13 | 2003-08-22 | Hitachi Ltd | ファイル保護システム |
JP2004046307A (ja) * | 2002-07-09 | 2004-02-12 | Fujitsu Ltd | データ保護プログラムおよびデータ保護方法 |
JP2005234729A (ja) * | 2004-02-18 | 2005-09-02 | Hitachi Omron Terminal Solutions Corp | 不正アクセス防御システム及びその方法 |
JP2006155124A (ja) * | 2004-11-29 | 2006-06-15 | Savant:Kk | 監視プログラム、これを記憶したコンピュータ読み取り可能な記録媒体、並びに前記監視プログラムが格納されたサーバ及び監視装置 |
-
2007
- 2007-03-30 JP JP2007091729A patent/JP4843546B2/ja active Active
Patent Citations (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2003233521A (ja) * | 2002-02-13 | 2003-08-22 | Hitachi Ltd | ファイル保護システム |
JP2004046307A (ja) * | 2002-07-09 | 2004-02-12 | Fujitsu Ltd | データ保護プログラムおよびデータ保護方法 |
JP2005234729A (ja) * | 2004-02-18 | 2005-09-02 | Hitachi Omron Terminal Solutions Corp | 不正アクセス防御システム及びその方法 |
JP2006155124A (ja) * | 2004-11-29 | 2006-06-15 | Savant:Kk | 監視プログラム、これを記憶したコンピュータ読み取り可能な記録媒体、並びに前記監視プログラムが格納されたサーバ及び監視装置 |
Cited By (7)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2012527691A (ja) * | 2009-05-19 | 2012-11-08 | サイバーセキュアー, インコーポレイテッド | アプリケーションレベルセキュリティのためのシステムおよび方法 |
JP2012168872A (ja) * | 2011-02-16 | 2012-09-06 | Nec Biglobe Ltd | 特権管理システムおよび特権管理方法 |
JP2014102822A (ja) * | 2012-11-19 | 2014-06-05 | International Business Maschines Corporation | 特定のデータ・ストアに安全にアクセスするためのプロセッサ実装方法、データ・ストアを安全にするためのコンピュータ・プログラムおよびコンピュータ・システム(データにアクセスするためのコンテキストベース・セキュリティ・スクリーニング) |
US9965624B2 (en) | 2014-02-12 | 2018-05-08 | Mitsubishi Electric Corporation | Log analysis device, unauthorized access auditing system, computer readable medium storing log analysis program, and log analysis method |
KR101920613B1 (ko) * | 2018-06-01 | 2018-11-21 | 주식회사 시큐브 | 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법 |
WO2019231089A1 (ko) * | 2018-06-01 | 2019-12-05 | 주식회사 시큐브 | 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법 |
US20210279329A1 (en) * | 2018-06-01 | 2021-09-09 | Secuve.Co., Ltd. | Security policy and audit log two way inquiry, collation, and tracking system and method |
Also Published As
Publication number | Publication date |
---|---|
JP4843546B2 (ja) | 2011-12-21 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
Swanson et al. | Generally accepted principles and practices for securing information technology systems | |
JP5248612B2 (ja) | 侵入検知の方法およびシステム | |
CN104283889B (zh) | 基于网络架构的电力系统内部apt攻击检测及预警系统 | |
CN114978584A (zh) | 基于单位单元的网络安全防护安全方法及系统 | |
JP2005526311A (ja) | データベースシステムを監視するための方法および装置 | |
CN112653678B (zh) | 一种网络安全态势感知分析方法及装置 | |
CN112787992A (zh) | 一种敏感数据的检测与防护的方法、装置、设备和介质 | |
KR20040035572A (ko) | 정보 인프라에서의 종합 침해사고 대응시스템 및 그운영방법 | |
JP7204247B2 (ja) | 脅威対応自動化方法 | |
CN113542279A (zh) | 一种网络安全风险评估方法、系统及装置 | |
CN107147627A (zh) | 一种基于大数据平台的网络安全防护方法及系统 | |
JP4843546B2 (ja) | 情報漏洩監視システムおよび情報漏洩監視方法 | |
US8978150B1 (en) | Data recovery service with automated identification and response to compromised user credentials | |
CN109150853A (zh) | 基于角色访问控制的入侵检测系统及方法 | |
JP2019075131A (ja) | ファイル・アクセス監視方法、プログラム、および、システム | |
KR102338998B1 (ko) | 로그 무결성 검사 및 이를 통한 로그 위변조 행위 증빙 시스템 및 그 방법 | |
CN110086812B (zh) | 一种安全可控的内网安全巡警系统及方法 | |
JP2002189643A (ja) | 通信トラヒックを走査するための方法および装置 | |
KR101081875B1 (ko) | 정보시스템 위험에 대한 예비경보 시스템 및 그 방법 | |
CN113094715B (zh) | 一种基于知识图谱的网络安全动态预警系统 | |
JPH10107795A (ja) | ネットワーク管理システム | |
Hakkoymaz | Classifying database users for intrusion prediction and detection in data security | |
CN115134106A (zh) | 检测黑客攻击的方法及计算机程序产品 | |
KR20100067383A (ko) | 서버 보안 시스템 및 서버 보안 방법 | |
JP2005228177A (ja) | セキュリティ管理装置及びセキュリティ管理方法及びプログラム |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20090331 |
|
A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20090331 |
|
A977 | Report on retrieval |
Free format text: JAPANESE INTERMEDIATE CODE: A971007 Effective date: 20110630 |
|
A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20110712 |
|
A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20110907 |
|
TRDD | Decision of grant or rejection written | ||
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20110927 |
|
A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 |
|
A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20111007 |
|
R150 | Certificate of patent or registration of utility model |
Ref document number: 4843546 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20141014 Year of fee payment: 3 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
S531 | Written request for registration of change of domicile |
Free format text: JAPANESE INTERMEDIATE CODE: R313531 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
S533 | Written request for registration of change of name |
Free format text: JAPANESE INTERMEDIATE CODE: R313533 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313111 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
R250 | Receipt of annual fees |
Free format text: JAPANESE INTERMEDIATE CODE: R250 |
|
S111 | Request for change of ownership or part of ownership |
Free format text: JAPANESE INTERMEDIATE CODE: R313111 |
|
R350 | Written notification of registration of transfer |
Free format text: JAPANESE INTERMEDIATE CODE: R350 |