JP2009145956A - 不正使用監視装置、及び、不正使用監視プログラム - Google Patents

Abstract

【課題】機器が配備された施設の環境や行事予定に基づいて機器の不正使用の可能性を重大度として複数に分けて判断して通知する不正使用監視装置等を提供する。
【解決手段】通信機能を有する機器の不正使用を監視する不正使用監視装置１において、前記機器とデータ通信を可能とする通信手段と、前記機器が配備されている施設における当該機器の利用に関するスケジュール情報を受け付けるスケジュール受付手段と、前記スケジュール受付手段にて受け付けたスケジュール情報を格納する行事・機器利用テーブル３４０と、通信手段を介して前記機器の起動状態を確認する起動状態確認処理部３１０と、行事・機器利用テーブル３４０に格納されたスケジュール情報及び起動状態確認処理部３１０が確認した前記機器の起動状態に基づいて、当該機器の不正使用の可能性の度合いを設定する重大度設定処理部３１５とを備える。
【選択図】図１

Description

本発明は、コンピュータの不正使用を監視する不正使用監視装置に関し、特に、不正使用の可能性を重大度として複数に分けて判断する不正使用監視装置に関する。

学校や企業において、ログ情報からパソコン等の機器の使用／不使用を確認することができる。しかし、その使用状態が適切なものか不適切なものかどうかの判定はログ情報からだけではできない。つまり、管理者に使用／不使用の通知を行うことはできても、それが不正使用か適正使用かまで判定した通知を行うことはできない。そこで、機器の不正使用を判定して通知する技術が望まれている。

コンピュータの不正使用を未然に防止する技術として、特許文献１に示す技術がある。特許文献１に示す技術は、少なくとも一つの被管理端末と、管理端末がネットワークを介して接続された不正使用検出システムであって、被管理端末は、キーボードやマウスを介して任意のアプリケーションに対してなされた入力操作の内容を示す入力情報を生成する入力情報抽出部と、入力情報を管理端末へ送信する入力情報送信部とを有し、管理端末は、入力情報を被管理端末から受信する入力情報受信部と、受信した入力情報が示す入力操作が所定の入力操作であるか否かを判断する不適切表現抽出部及び不正利用検出部と、受信した入力情報が示す入力操作が所定の入力操作である場合に、その旨を示す情報を出力する出力部とを有する。
特開２００７−１８２３５号公報

しかしながら、特許文献１に示す技術は、不適切な入力操作や表現という無数に存在する情報を予め登録する必要があるため、手間が掛かってしまうという課題を有する。
また、操作の一つ一つをチェックする場合も、操作の組み合わせが無数に存在するため、処理が複雑となり、大変手間が掛かってしまうという課題を有する。

そこで、本発明は前記課題を解決するためになされたものであり、機器が配備された施設の環境や行事予定に基づいて機器の不正使用の可能性を重大度として複数に分けて判断して通知する不正使用監視装置及び不正使用監視プログラムを提供することを目的とする。

（１．スケジュール情報から重大度を設定）
本不正使用監視装置は、通信機能を有する機器の不正使用を監視する不正使用監視装置において、前記機器とデータ通信を可能とする通信手段と、前記機器が配備されている施設における当該機器の利用に関するスケジュール情報を受け付けるスケジュール受付手段と、前記スケジュール受付手段にて受け付けたスケジュール情報を格納するスケジュール情報登録手段と、前記通信手段を介して前記機器の起動状態を確認する確認手段と、前記スケジュール情報登録手段にて格納された前記スケジュール情報及び前記確認手段が確認した前記機器の起動状態に基づいて、当該機器の不正使用の可能性の度合いを設定する設定手段とを備えるものである。

このように、本不正使用監視装置においては、機器が配備されている施設におけるスケジュール情報及び機器の使用状態に基づいて、機器の不正使用の可能性の度合いを重大度として設定するため、機器の使用状態だけではなく、施設全体の環境に応じた新たな観点から不正使用の判断を確実に行うことができるという効果を奏する。ここで言うところの使用状態とは、監視の対象となる機器の起動状態を示し、具体的には電源がＯＮの状態を使用状態とする。

なお、前記設定手段は、不正使用の可能性の度合いを重大度として複数に分けて設定する構成としてもよい。この場合、適正使用か不正使用かの２者の判定のみではなく、不正使用の可能性を段階的に確認することができ、監視者の負担を減らすことができるという効果を奏する。

（２．関連機器情報から重大度を設定）
本不正使用監視装置は、前記機器に予め関連付けられる他の機器に対応する関連機器情報を格納する関連機器登録手段と、前記確認手段は、さらに、前記関連機器登録手段にて格納された前記関連機器情報に対応する前記他の機器の起動状態を確認し、前記関連機器登録手段に格納された関連機器情報及び前記確認手段が確認した当該他の機器の起動状態に基づいて、前記設定手段が設定した前記度合いを補正する補正手段とを備えるものである。

このように、本不正使用監視装置においては、監視対象機器に予め関連付けられた他の機器に関する関連機器情報及び関連機器の使用状態に基づいて重大度を補正するため、機器の使用状態だけではなく、関連する機器の状態に応じた新たな観点から不正使用の判断を確実に行うことができるという効果を奏する。

（３．関連機器の関連性の軽重から重大度を設定）
本不正使用監視装置は、前記関連機器登録手段は、さらに、前記機器と前記他の機器の関係の軽重の度合いを格納し、前記補正手段が、前記関連機器登録手段にて格納された前記機器と前記他の機器の関係の軽重の度合いに応じて当該度合いを補正するものである。

このように、本不正使用監視装置においては、予め区分された前記機器と前記関連機器の関係の軽重の度合いに応じて重大度を補正するため、特に関連性が強い機器同士において、一方のみが使用状態であるような場合には、不正使用の可能性が高いと判断して重大度をより詳細で且つ正確に設定することができるという効果を奏する。

（４．重大度の補正）
本不正使用監視装置は、前記補正手段が、前記機器の使用時間帯における当該機器の使用状態の経時的変化に応じて不正使用の可能性の度合いを補正するものである。

このように、本不正使用監視装置においては、機器の使用時間帯における当該機器の使用状態の経時的変化に応じて不正使用の可能性の度合いを補正するため、例えば、昼間の使用予定時間帯に電源が投入され、深夜の使用予定時間帯ではない時間を経由して、翌日の昼間の時間帯まで使用状態である場合には消し忘れである可能性が高いため、重大度を下げるといった重大度の補正が行われることで、正確な重大度を設定することができるという効果を奏する。

（５．電源の投入状態の確認）
本不正使用監視装置は、前記確認手段が確認する起動状態が、電源の投入状態及び／又はデータ通信状態であるものである。

このように、本不正使用監視装置においては、起動状態が電源の投入状態及び／又はデータ通信状態で確認されるため、機器の使用を確実に検出できると共に、複雑な処理により使用状態を確認する必要がなくなり、処理の効率を上げることができるという効果を奏する。

これら前記の発明の概要は、本発明に必須となる特徴を列挙したものではなく、これら複数の特徴のサブコンビネーションも発明となり得る。

以下、本発明の実施の形態を説明する。本発明は多くの異なる形態で実施可能である。従って、本実施形態の記載内容のみで本発明を解釈すべきではない。また、本実施形態の全体を通して同じ要素には同じ符号を付けている。

本実施の形態では、主に装置について説明するが、所謂当業者であれば明らかな通り、本発明は方法、及び、コンピュータを動作させるためのプログラムとしても実施できる。また、本発明はハードウェア、ソフトウェア、または、ハードウェア及びソフトウェアの実施形態で実施可能である。プログラムは、ハードディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ、光記憶装置、または、磁気記憶装置等の任意のコンピュータ可読媒体に記録できる。さらに、プログラムはネットワークを介した他のコンピュータに記録することができる。

（本発明の第１の実施形態）
（１．構成と機能）
（１−１ システム構成）
図１は、本実施形態に係る不正使用監視装置の構成図である。ここでは、特に学校における不正使用監視装置について説明するが、企業等の様々な組織において対応することが可能である。不正使用監視装置１は、不正監視端末１１０と、管理端末１２０と、学校端末１３０とネットワークを介して接続されている。

不正監視端末１１０は、端末の使用状態や学校のスケジュール等の情報に基づいて端末の使用が不正である可能性の度合いを重大度として複数に分けて設定し、重大度に応じて管理端末１２０に警告を送信する端末である。
管理端末１２０は、学校に配備されている学校端末１３０の全体を管理する端末である。

学校端末１３０は、実際に学校で利用される端末で、職員室や事務室のように先生が利用する端末やパソコン教室のように生徒が利用する端末を含む。一般的に先生が利用する端末は、アクセス条件が厳しく、生徒が利用する端末はアクセス条件があまくなっていることが多い。
なお、不正監視端末１１０と管理端末１２０は一体的な装置と捉えてもよい。

（１−２ ハードウェア構成）
図２は、本実施形態に係る不正使用監視装置を構成するコンピュータのハードウェアの構成図である。コンピュータ２００は、ＣＰＵ(Central Processing Unit)２０１、ＲＡＭ(Random Access Memory)２０２、ＲＯＭ(Read Only Memory)２０３、フラッシュメモリ(Flash memory)２０４、外部記憶装置であるＨＤ(Hard disk)２０５、ＬＡＮ(Local Area Network)カード２０６、マウス２０７、キーボード２０８、ビデオカード２０９、このビデオカード２０９と電気的に接続する表示装置であるディスプレイ２０９ａ、サウンドカード２１０、このサウンドカード２１０と電気的に接続する音出力装置であるスピーカ２１０ａ及びフレキシブルディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ等の記憶媒体を読み書きするドライブ２１１からなる。
なお、上記ハードウェア構成はあくまで一例を示したものであり、構成要素の変更をすることができるのは当然である。

（１−３ モジュール構成と機能）
図３は、本実施形態に係る不正使用監視装置のモジュール構成図である。不正監視端末１１０は、起動状態確認処理部３１０と、重大度設定処理部３１５と、重大度補正処理部３２０と、アラーム送信処理部３２５と、ＩＰアドレスリストテーブル３３０と、稼動状況テーブル３３５と、行事・機器利用テーブル３４０と、関連機器動作テーブル３４５と、ＦｒｏｍＴｏアラームレベルテーブル３５０とを備え、管理端末１２０は、アラーム受信処理部３５５と、アラーム表示処理部３６０とを備える。

（１−３−１ 不正監視端末）
起動状態確認処理部３１０は、学校端末１３０に配備された全ての機器の起動状態を確認する処理を行う。起動状態を確認する具体的な方法として、ＩＰアドレスリストテーブル３３０に格納されている学校端末１３０の各機器のＩＰアドレスに基づいてｐｉｎｇコマンドを発行し、その結果で起動状態を確認することができる。ｐｉｎｇコマンドは所定の時間間隔で定期的に発行される。

なお、起動の確認は上記手法に限定されず、起動の確認が行える手法であれば何でもよい。例えば、電圧値の変化から電源の投入を確認したり、ｐｉｎｇ以外のコマンドを発行して正常値が返ってくれば起動状態、異常値が返ってきれば非起動状態であると判断するようにしてもよい。また、ログ情報から起動を確認するようにしてもよい。

重大度設定処理部３１５は、行事・機器利用テーブル３４０に基づいて監視対象となる機器の不正使用の可能性を重大度として設定する処理を行う。
重大度補正処理部３２０は、関連機器動作テーブル３４５、稼動状況テーブル３３５、及び、ＦｒｏｍＴｏアラームレベルテーブル３５０に基づいて監視対象となる機器の重大度を補正する処理を行う。具体的には、例えば、監視対象となる機器が稼動しているにも関わらず、そのマスタ機器が稼動していないような場合に不正使用の可能性が高いと判断して重大度を上げたり、電源の消し忘れと判断できる場合には不正使用の可能性が低いため重大度を下げる処理を行う。

アラーム送信処理部３２５は、重大度に応じて管理端末１２０にアラームを通知する処理を行う。例えば、不正使用の可能性が非常に高い場合は、「至急現地調査を実施」する旨のアラームを通知したり、不正使用の可能性が低い場合には、「事後調査を実施」する旨のアラームを通知する。

ＩＰアドレスリストテーブル３３０は、学校に配備されている学校端末１３０のＩＰアドレスリストを格納するテーブルである。

稼動状況テーブル３３５は、学校端末１３０の各機器の稼動状況に関するデータを格納するテーブルである。ここでは、ｐｉｎｇコマンドを発行した結果の情報が、時間と機器ごとに格納される。

行事・機器利用テーブル３４０は、学校行事と機器の利用状況を対応付けた情報を格納するテーブルである。例えば、「パソコン授業−パソコン教室の端末−電源ＯＮ」というような情報を格納する。

関連機器動作テーブル３４５は、監視対象機器のマスタとなるマスタ機器や関連する機器を重大度で対応付けた情報を格納するテーブルである。例えば、「職員室機器ＯＮ−パソコン教室の端末ＯＮ＝重大度Ｂ」というような情報を格納する。

なお、ここで格納される重大度は、関連性の軽重に応じた重大度であってもよい。例えば、セキュリティが高いパソコン教室の先生の端末が起動していないにも関わらず、パソコン教室の生徒の端末だけが起動している状態は、不正使用の可能性が非常に高いと判断できる。しかし、パソコン教室の先生の端末も起動していれば、補習等が行われている可能性が高く、不正利用されている可能性は低い。このように関連性の軽重が機器によって異なることを考慮して重大度の設定が行われる。つまり、「パソコン教室の先生端末ＯＦＦ−パソコン教室の生徒端末ＯＮ−関連性重い」といった設定を行うようにしてもよい。

また、関連する機器の起動数に応じて重大度の設定が行われてもよい。例えば、パソコンの授業じゃなくても、パソコン教室で４０台中３５台の端末が起動している場合は、他の授業で使用している可能性が高いが１台だけが起動している場合は、不正使用の可能性が高い。つまり、「パソコン教室−２０台以上−重大度Ｂ」「パソコン教室−３台以下−重大度Ａ」といった設定を行うようにしてもよい。

ＦｒｏｍＴｏアラームレベルテーブル３５０は、学校行事の経時的変化と監視対象機器の起動状態に基づいて重大度を対応付けた情報を格納するテーブルである。例えば、「パソコン授業−パソコン授業＝重大度Ｃ」「パソコン授業−放課後＝重大度Ｂ」というような情報を格納する。

（１−３−２ 管理端末）
アラーム受信処理部３５５は、不正監視端末１１０から送信されたアラームを受信する処理を行う。
アラーム表示処理部３６０は、アラーム受信処理部３５５が受信したアラームを表示する処理を行う。

なお、学校端末１３０は所定のグループ単位にグループ化し、機器グループテーブルとして格納するようにしてもよい。例えば、パソコン教室の端末をパソコン教室グループとしてグループ化したり、先生が使用する端末を先生グループとしてグループ化してもよい。その場合、行事・関連機器利用テーブル３４０には、行事と機器グループを対応付けた情報が格納される。

（２．動作）
図４は、本実施形態に係る不正使用監視装置にインストールされる不正使用監視プログラムの処理動作を示すフローチャートである。まず、起動状態確認処理部３１０がｐｉｎｇコマンドを学校端末１３０の各機器に送信する（ステップＳ４０１）。ｐｉｎｇコマンドは所定の時間間隔で定期的な送信される。ｐｉｎｇコマンドの応答結果は稼動状況テーブル３３５に格納される（ステップＳ４０２）。さらに、起動状態確認処理部３１０は、ｐｉｎｇの結果から通信状態かどうかを判定し（ステップＳ４０３）、通信状態でなければ、ステップＳ４０１に戻って、次の機器について監視処理を行う。通信状態であれば、行事・機器利用テーブル３４０に基づいて重大度が設定される（ステップＳ４０４）。例えば、予定稼動時間帯に監視対象機器が稼動しているのであれば重大度をＤ、予定稼動時間帯以外に監視対象機器が稼動しているのであれば重大度をＢに設定する。関連機器動作テーブル３４５と稼動状況テーブル３３５から、監視対象機器のマスタ機器や関連する機器の稼動状況を確認し、重大度を補正する（ステップＳ４０５）。例えば、監視対象機器のマスタ機器が稼動している場合は重大度Ｂ→重大度Ｃに補正し、マスタ機器が稼動していない場合は重大度Ｂ→重大度Ａに補正する。

ここで、関連性の軽重に応じた重大度が設定されている場合には、それも考慮して重大度が補正される。例えば、上記の場合、監視対象機器とマスタ機器の関連性が「関連性普通」であるとすると、マスタ機器が稼動している場合は重大度Ｂ→重大度Ｃに補正され、マスタ機器が稼動していない場合は重大度Ｂ→重大度Ａに補正されるが、監視対象機器とマスタ機器の関連性が「関連性重い」であるとすると、マスタ機器が稼動している場合は上記と変わらず重大度Ｂ→重大度Ｃに補正され、マスタ機器が稼動していない場合は重大度Ｂ→重大度Ｓ（重大度Ａよりさらに重大度が大きい）に補正される。

また、関連する機器の起動数に応じて重大度が設定されている場合には、それも考慮して重大度が補正される。例えば、パソコン教室の生徒の端末が２０台以上稼動していれば、監視対象機器が予定稼動時間帯以外の時間帯に稼動している場合であっても重大度を上げる補正を行わないようにする。

図４に戻って、稼動状況テーブル３３５、行事・機器利用テーブル３４０、及び、ＦｒｏｍＴｏアラームレベルテーブル３５０から、学校行事の経時的変化に応じて重大度を補正する（ステップ４０６）。例えば、監視対象機器の稼動開始時間が予定稼動時間帯であれば、予定稼動時間帯以外の時間帯に監視対象機器が稼動状態であっても消し忘れと判断して重大度Ｃ→重大度Ｄ、重大度Ａ→重大度Ｃに補正する。監視対象機器の稼動開始時間が予定稼動時間帯以外の時間帯であり、且つ、予定稼動時間帯以外の時間帯に監視対象機器が稼動状態である場合は、不正使用の可能性が高いと判断して重大度Ｃ→重大度Ｂ、重大度Ａ→重大度Ａ（変更なし）に補正する。

重大度が決定したら、重大度に応じたアラームを管理端末１２０に送信する（ステップＳ４０７）。アラームを受信した管理者は、アラームに従って重大度に応じた行動を取る。以下に示す表は重大度に応じたアラームの内容を示した一例である。

このように、本実施形態に係る不正使用監視装置においては、機器が配備されている施設におけるスケジュール情報及び機器の使用状態に基づいて、機器の不正使用の可能性の度合いを重大度として設定するため、機器の使用状態だけではなく、施設全体の環境に応じた新たな観点から不正使用の判断を確実に行うことができる。

また、不正使用の可能性の度合いを重大度として複数に分けて設定するため、適正使用か不正使用かの２者の判定のみではなく、不正使用の可能性を段階的に確認することができ、監視者の負担を減らすことができる。

さらに、監視対象機器に関連する他の機器に関する関連機器情報及び関連機器の使用状態に基づいて重大度を補正するため、機器の使用状態だけではなく、関連する機器の状態に応じた新たな観点から不正使用の判断を確実に行うことができる。

さらにまた、予め区分された前記機器と前記関連機器の関係の軽重の度合いに応じて重大度を補正するため、特に関連性が強い機器同士において、一方のみが使用状態であるような場合には、不正使用の可能性が高いと判断して重大度をより詳細で且つ正確に設定することができる。

さらにまた、機器の使用時間帯における当該機器の使用状態の経時的変化に応じて不正使用の可能性の度合いを補正するため、例えば、昼間の使用予定時間帯に電源が投入され、深夜の使用予定時間帯ではない時間を経由して、翌日の昼間の時間帯まで使用状態である場合には消し忘れである可能性が高いため、重大度を下げるといった重大度の補正が行われることで、正確な重大度を設定することができる。

第１の実施形態に係る不正使用監視装置のシステム構成図である。 第１の実施形態に係る不正使用監視装置を構成するコンピュータのハードウェアの構成図である。 第１の実施形態に係る不正使用監視装置のモジュール構成図である。 第１の実施形態に係る不正使用監視装置の処理動作を示すフローチャートである。

符号の説明

１ 不正使用監視装置
１１０ 不正監視端末
１２０ 管理端末
１３０ 学校端末
２００ コンピュータ
２０１ ＣＰＵ
２０２ ＲＡＭ
２０３ ＲＯＭ
２０４ フラッシュメモリ
２０５ ＨＤ
２０６ ＬＡＮカード
２０７ マウス
２０８ キーボード
２０９ ビデオカード
２０９ａ ディスプレイ
２１０ サウンドカード
２１０ａ スピーカ
２１１ ドライブ
３１０ 起動状態確認処理部
３１５ 重大度設定処理部
３２０ 重大度補正処理部
３２５ アラーム送信処理部
３３０ ＩＰアドレスリストテーブル
３３５ 稼動状況テーブル
３４０ 行事・機器利用テーブル
３４５ 関連機器動作テーブル
３５０ ＦｒｏｍＴｏアラームレベルテーブル
３５５ アラーム受信処理部
３６０ アラーム表示テーブル

Claims (6)

1. 通信機能を有する機器の不正使用を監視する不正使用監視装置において、
   前記機器とデータ通信を可能とする通信手段と、
   前記機器が配備されている施設における当該機器の利用に関するスケジュール情報を受け付けるスケジュール受付手段と、
   前記スケジュール受付手段にて受け付けたスケジュール情報を格納するスケジュール情報登録手段と、
   前記通信手段を介して前記機器の起動状態を確認する確認手段と、
   前記スケジュール情報登録手段にて格納された前記スケジュール情報及び前記確認手段が確認した前記機器の起動状態に基づいて、当該機器の不正使用の可能性の度合いを設定する設定手段とを備えることを特徴とする不正使用監視装置。
2. 請求項１に記載の不正使用監視装置において、
   前記機器に予め関連付けられる他の機器に対応する関連機器情報を格納する関連機器登録手段と、
   前記確認手段は、さらに、前記関連機器登録手段にて格納された前記関連機器情報に対応する前記他の機器の起動状態を確認し、
   前記関連機器登録手段に格納された関連機器情報及び前記確認手段が確認した当該他の機器の起動状態に基づいて、前記設定手段が設定した前記度合いを補正する補正手段とを備えることを特徴とする不正使用監視装置。
3. 請求項２に記載の不正使用監視装置において、
   前記関連機器登録手段は、さらに、前記機器と前記他の機器の関係の軽重の度合いを格納し、
   前記補正手段が、前記関連機器登録手段にて格納された前記機器と前記他の機器の関係の軽重の度合いに応じて当該度合いを補正することを特徴とする不正使用監視装置。
4. 請求項１ないし３のいずれかに記載の不正使用監視装置において、
   前記補正手段が、前記機器の使用時間帯における当該機器の使用状態の経時的変化に応じて不正使用の可能性の度合いを補正することを特徴とする不正使用監視装置。
5. 請求項１ないし４のいずれかに記載の不正使用監視装置において、
   前記確認手段が確認する起動状態が、電源の投入状態及び／又はデータ通信状態であることを特徴とする不正使用監視装置。
6. データ通信可能に接続された機器の不正使用を監視させるようにコンピュータを不正使用監視装置として実行させる不正使用監視プログラムにおいて、
   前記機器とデータ通信を可能とする通信手順と、
   前記機器が配備されている施設における前記機器の利用に関するスケジュール情報を受け付けるスケジュール受付手順と、
   前記スケジュール受付手順にて受け付けた前記スケジュール情報を格納するスケジュール情報登録手順と、
   前記通信処理を介して、前記機器の起動状態を確認する確認手順と、
   前記スケジュール情報登録手順にて格納された前記スケジュール情報及び前記確認処理が確認した前記機器の起動状態に基づいて、当該機器の不正使用の可能性の度合いを設定する設定手順とをコンピュータに実行させるための不正使用監視プログラム。

Images