JP2010250502A - 異常操作検出装置、異常操作検出方法、および異常操作検出プログラム - Google Patents

Abstract

【課題】パラメータの調整にかかる手間を軽減して、企業内部のユーザによる不正行為を的確に検出できる異常操作検出装置等を提供する。
【解決手段】本発明の異常操作検出装置１０は、ユーザ端末の操作内容を取得するログ収集手段１０１と、ログ収集手段が取得した特定のユーザ端末の短時間の操作内容を現状操作として定義する現状操作定義手段１０２と、通常の操作であると判断できる定常操作に該当する内容を予め記憶している定常操作データベース２３０と、現状操作と定常操作との差異が閾値以上である場合に異常であると判断する操作比較手段１０４と、操作比較手段が異常であると判断した場合に管理者端末にその旨を通知して警報を表示させるアラーム通知手段１５０と、管理者端末に表示された警報に対応して管理者端末に入力されたフィードバック情報に応じて閾値を増減するフィードバック情報入力手段１０６とを有する。
【選択図】図１

Description

本発明は企業などの組織内の情報システムに関し、特にそのような情報システム内でのユーザの不正行為の検出に関する。

企業などの組織内にインターネットに接続する情報システムが普及するにつれ、その情報システムの中で適正に情報を管理することが企業にとって重要なことになっている。特に、Ｐ２Ｐ（Peer to Peer）ソフトウェアの利用およびコンピュータウィルスの感染に起因する個人情報漏洩事件が企業内部においても現実に多く発生しており、そのような事件が発生した場合にはその企業にとって重大な金銭的損失と社会的信用の失墜とを招くことになる。このため、情報システムにおいては、企業内部のユーザに対しても、不正行為を的確に検出することが極めて重要になっている。

これに関連する技術として、次の各々の特許文献がある。特許文献１には、操作履歴収集用サーバによってユーザの操作を収集して分析用サーバに転送して分析するという情報分析装置が記載されている。特許文献２には、行動管理サーバによって各クライアント端末の操作端末を監視するという行動管理システムが記載されている。

特許文献３には、ユーザのファイルに対する操作を監視して不正を検出するという不正操作管理装置が記載されている。特許文献４には、同一グループのユーザの操作ログから操作モデルを作成し、この操作モデルから逸脱したユーザの操作を検出可能であるというログ分析システムが記載されている。

特開２００４−００５２３１号公報 特開２００５−３３２３４５号公報 特開２００８−１９１８５７号公報 特開２００８−１９２０９１号公報

特許文献１〜４に記載の技術はいずれも、企業内部のユーザによる不正行為を検出しようとするものであるが、いずれの場合も、不正行為を的確に検出するには専門家による所属部門・職位・業務内容に応じた詳細なセキュリティポリシー策定と、人手による詳細なチェック作業とが必要となる。特に検出の基準となる閾値などの各種パラメータの調整は、定期的に行う必要がある。これらの作業は、いずれも非常に煩雑で、かつ高度の熟練を要する作業である。特に誤検出が生じた場合には、緊急にこのパラメータの調整をしなければならない。

特許文献４記載の技術では、同一グループのユーザの操作ログから操作モデルを生成しているが、このパラメータの調整にかかる手間を軽減できる構成は特に記載されていない。特許文献１〜３についても同様である。

本発明の目的は、パラメータの調整にかかる手間を軽減して、企業内部のユーザによる不正行為を的確に検出できる異常操作検出装置、異常操作検出方法、および異常操作検出プログラムを提供することにある。

上記目的を達成するため、本発明に係る異常操作検出装置は、ネットワークに接続され、ネットワーク上でのユーザ端末の異常な操作を検出して同一ネットワーク上の管理者端末に通知する異常操作検出装置であって、ユーザ端末の操作内容を取得するログ収集手段と、ログ収集手段が取得した特定のユーザ端末の短時間の操作内容を現状操作として定義する現状操作定義手段と、通常の操作であると判断できる定常操作に該当する内容を予め記憶している定常操作データベースと、現状操作と定常操作とから異常操作度数を求め、この異常操作度数が予め決められた閾値よりも大きい場合に異常であると判断する操作比較手段と、操作比較手段が異常であると判断した場合に管理者端末にその旨を通知して警報を表示させるアラーム通知手段と、管理者端末に表示された警報に対応して管理者端末からフィードバック情報の入力を受け付けると共に、入力されたフィードバック情報に応じて差異の比較に使用する閾値を増減するフィードバック情報入力手段とを有することを特徴とする。

上記目的を達成するため、本発明に係る異常操作検出方法は、ネットワークに接続され、ネットワーク上でのユーザ端末の異常な操作を検出して同一ネットワーク上の管理者端末に通知する異常操作検出方法であって、ユーザ端末の操作内容を取得し、取得された特定のユーザ端末の短時間の操作内容を現状操作として定義し、予め定常操作データベースに記憶された通常の操作であると判断できる定常操作と現状操作とから異常操作度数を求め、異常操作度数が予め決められた閾値よりも大きい場合に異常であると判断し、異常であると判断された場合に管理者端末にその旨を通知して警報を表示させ、管理者端末に表示された警報に対応して管理者端末からフィードバック情報の入力を受け付け、入力されたフィードバック情報に応じて差異の比較に使用する閾値を増減することを特徴とする。

上記目的を達成するため、本発明に係る異常操作検出プログラムは、ネットワークに接続され、ネットワーク上でのユーザ端末の異常な操作を検出して同一ネットワーク上の管理者端末に通知する異常操作検出プログラムであって、ネットワークが備えているコンピュータに、ユーザ端末の操作内容を取得する手順と、取得された特定のユーザ端末の短時間の操作内容を現状操作として定義する手順と、予め定常操作データベースに記憶された通常の操作であると判断できる定常操作と現状操作とから異常操作度数を求める手順と、異常操作度数が予め決められた閾値よりも大きい場合に異常であると判断する手順と、異常であると判断された場合に管理者端末にその旨を通知して警報を表示させる手順と、管理者端末に表示された警報に対応して管理者端末からフィードバック情報の入力を受け付ける手順と、入力されたフィードバック情報に応じて差異の比較に使用する閾値を増減する手順とを実行させることを特徴とする。

本発明は、上述したように、異常であると判断された操作に対して管理者にフィードバック情報を入力させ、そのフィードバック情報に応じて閾値を増減するように構成したので、パラメータの煩雑な調整を必要とせずに誤検出を低減できる。これによって、企業内部のユーザによる不正行為を的確に検出できるという、優れた特徴を持つ異常操作検出装置、異常操作検出方法、および異常操作検出プログラムを提供することができる。

本発明の実施形態に係る異常操作検出装置の構成を示す説明図である。 図１で示した異常操作検出装置の構成を示す説明図である。 図２で示した各手段および各ＤＢの動作の流れを示す説明図である。 図２〜３で示した基本定義ＤＢの記録内容を示す表である。 図２〜３で示した全体ログＤＢの記録内容を示す表である。 図５で示した操作種類および操作内容の種類および関連について説明する表である。 図３で示した定常操作定義手段が全体ログＤＢに対して行う操作について示すフローチャートである。 図２〜３で示した定常操作ＤＢの記録内容を示す表である。 図３で示した現状操作定義手段および操作比較手段が行う操作について示すフローチャートである。 図２〜３で示した現状操作ＤＢの記録内容を示す表である。 図２〜３で示したブラックリスト・ホワイトリストＤＢの記録内容を示す表である。 図３で示した操作比較手段、アラーム通知手段およびフィードバック情報入力手段が行う操作を示すフローチャートである。 図２〜３で示した判断ルールＤＢの記録内容を示す表である。 図２〜３で示したアラームログＤＢの記録内容を示す表である。 図１２のステップＳ５０６〜５０７で、管理者端末に表示されるＧＵＩ画面の例を示す説明図である。図１５（ａ）は初期状態のＧＵＩ画面を、図１５（ｂ）は正検知ボタンをクリックした後の状態を、図１５（ｃ）は誤検知ボタンをクリックした後の状態をそれぞれ示す。

（第１の実施形態）
以下、本発明の第１の実施形態の構成について添付図１〜３に基づいて説明する。
最初に、本実施形態の基本的な内容について説明し、その後でより具体的な内容について説明する。
本実施形態に係る異常操作検出装置１０は、ネットワークに接続され、ネットワーク上でのユーザ端末１２の異常な操作を検出して同一ネットワーク上の管理者端末１６に通知する異常操作検出装置である。この異常操作検出装置１０は、ユーザ端末１２の操作内容を取得するログ収集手段１０１と、ログ収集手段が取得した特定のユーザ端末の短時間の操作内容を現状操作として定義する現状操作定義手段１０３と、通常の操作であると判断できる定常操作に該当する内容を予め記憶している定常操作データベース２３０と、現状操作と定常操作とから異常操作度数を求め、この異常操作度数が予め決められた閾値よりも大きい場合に異常であると判断する操作比較手段１０４と、操作比較手段が異常であると判断した場合に管理者端末１６にその旨を通知して警報を表示させるアラーム通知手段１０５と、管理者端末に表示された警報に対応して管理者端末からフィードバック情報の入力を受け付けると共に、入力されたフィードバック情報に応じて差異の比較に使用する閾値を増減するフィードバック情報入力手段１０６とを有する。

ここでいうフィードバック情報は、管理者端末１６に表示された警報が誤検知であったか否かを表す情報である。また操作比較手段１０４は、定常操作データベース２３０に登録された操作から外れる内容の操作がなされた件数である非一致数を、定常操作データベース２３０に登録された操作内容の総件数で除算して異常操作度数を求める。

そして定常操作データベース２３０が、ユーザ端末１２を操作するユーザの属するグループごとに定常操作に該当する内容を記憶しており、操作比較手段１０４は、グループごとに現状操作と定常操作との差異を比較して異常であるか否かを判断する。

異常操作検出装置１０はさらに、ログ収集手段１０１が取得した過去の一定期間の操作内容から定常操作データベース２３０を作成する定常操作定義手段１０２が、ログ収集手段１０１に併設されている。そして、操作比較手段１０４が現状操作と定常操作との差異の比較に利用しない操作内容を記憶するホワイトリストテーブル２５２と、現状操作の中に１回でも検出されれば操作比較手段１０４が異常であると判断する操作内容を記憶するブラックリストテーブル２５１とを含むブラックリスト・ホワイトリストデータベース２５０が、操作比較手段１０４に併設されている。

以上の構成を備えることにより、異常操作検出装置１０はパラメータの煩雑な調整を必要とせずに誤検出を低減することができる。
以下、これをより詳細に説明する。

図１は、本発明の実施形態に係る異常操作検出装置１０の構成を示す説明図である。異常操作検出装置１０は、ネットワーク１１に接続されており、ユーザ端末１２のネットワーク１１上での動作、たとえばインターネット１３を介して行うウェブサーバなどのような外部コンピュータ１４に対する操作、あるいは業務システムサーバ１５などに接続して行う動作を検出して、この動作が異常である場合にその旨を管理者端末１６に通知する。

図２は、図１で示した異常操作検出装置１０の構成を示す説明図である。異常操作検出装置１０は、一般的なコンピュータ装置であり、コンピュータプログラムを実行する主体であるＣＰＵ（Central Processing Unit）２１と、ＣＰＵ２１が実行するコンピュータプログラムおよび処理する対象であるデータが記憶されているＨＤＤ（Hard Disk Drive）２２と、ＣＰＵ２１がＨＤＤ２２から読み込んだプログラムおよびデータが一時的に記憶されるＲＡＭ（Random Access Memory）２３と、ネットワーク１１を介して他のコンピュータ（ユーザ端末１２、管理者端末１６など）と通信を行うＮＩＣ（Network Interface Card）２４とを備える。

ＣＰＵ２１では、ログ収集手段１０１、定常操作定義手段１０２、現状操作定義手段１０３、操作比較手段１０４、アラーム通知手段１０５、フィードバック情報入力手段１０６といった各手段が、コンピュータプログラムとしてＨＤＤ２２から読み出されてＲＡＭ２３上に記憶され、実行される。これらの各機能部の動作については後述する。

また、ＨＤＤ２２には基本定義ＤＢ（データベース）２１０、全体ログＤＢ２２０、定常操作ＤＢ２３０、現状操作ＤＢ２４０、ブラックリスト・ホワイトリストＤＢ２５０、判断ルールＤＢ２６０、アラームログＤＢ２７０といった各データベースが記憶されている。これらについても後述する。

図３は、図２で示した各手段および各ＤＢの動作の流れを示す説明図である。ユーザ端末１２および管理者端末１６は、異常操作検出装置１０内部で動作するコンピュータプログラムやデータベースではないが、動作の流れをわかりやすく示すためにこの図３の中に含めて記載する。

ログ収集手段１０１は、ユーザがユーザ端末１２で行った操作内容を取得する。この操作内容の取得については、任意の公知技術を利用することができる。定常操作定義手段１０２は、グループ内で共通して通常の操作と判断することができる操作内容を「定常操作」として定義する。現状操作定義手段１０３は、ログ収集手段１０１で取得したユーザの操作内容を、特定のユーザが短時間に行った操作である「現状操作」として定義する。操作比較手段１０４は、定義された定常操作と現状操作とを比較して、差異が大きい場合に異常であると判断する。アラーム通知手段１０５は、操作比較手段１０４が異常であると判断した場合に、管理者端末１６にその旨を通知して表示させる。

管理者は、管理者端末１６に表示された異常に対してフィードバック入力を行う。このフィードバック入力は、表示された異常が正しいアラームであるか、それとも誤検知であるかについての入力である。フィードバック情報入力手段１０６は、このフィードバック入力を受けて、各手段およびＤＢに対して、定常操作と現状操作との比較で異常であると判断する基準である閾値の調整を行う。

図４は、図２〜３で示した基本定義ＤＢ２１０の記録内容を示す表である。基本定義ＤＢ２１０は、システム管理者によって、次に説明する内容が予め記憶されている。基本定義ＤＢ２１０は、個人識別テーブル２１１、操作種類テーブル２１２、グループテーブル２１３、ユーザテーブル２１４を含む。

個人識別テーブル２１１は、各ユーザを特定することが可能な個人識別キー種別２１１ａを記憶する。個人識別キー種別２１１ａは、具体的にはたとえばＩＰアドレス、マシン名、ＯＳユーザ名等である。図４では、個人識別キー種別２１１ａを「ＩＰアドレス」として記載している。

操作種類テーブル２１２は、ログ収集手段１０１で取得可能なユーザの操作種類２１２ａを記憶する。操作種類２１２ａは、具体的にはたとえばＷｅｂアクセス、ファイルアクセス、ＤＢアクセス、起動アプリケーション、ＯＳログイン、Ｗｅｂシステムログイン、ＤＢログイン、アプリケーションログイン等である。

グループテーブル２１３は、各ユーザを分類したグループ名２１３ａと、そのグループに属するユーザのユーザＩＤ２１３ｂとを記憶する。ユーザテーブル２１４は、各ユーザのユーザＩＤ２１４ａ（グループテーブル２１３のユーザＩＤ２１３ｂに対応する）と、そのユーザの個人情報である氏名２１４ｂ、電話番号２１４ｃ、使用するユーザ端末のＩＰアドレス２１４ｄとを記憶する。前述の個人識別キー種別２１１ａとして「ＩＰアドレス」が記載されているので、ここではＩＰアドレス２１４ｄが各ユーザの個人特定可能なキーである。ユーザテーブル２１４は、これら以外の各ユーザの個人情報を含んでいてもよい。

図５は、図２〜３で示した全体ログＤＢ２２０の記録内容を示す表である。全体ログＤＢ２２０は、ログ一覧テーブル２２１を含む。ログ収集手段１０１は、ユーザがユーザ端末１２で行った操作内容から取得した情報を、このログ一覧テーブル２２１に記録する。

ログ一覧テーブル２２１は、ＩＰアドレス２２１ｂ、マシン名２２１ｃ、ＯＳユーザ名２２１ｄ、タイムスタンプ（操作実行時間）２２１ｅ、操作種類２２１ｆ、操作内容２２１ｇなどといった情報を、その操作に対応するユーザＩＤ２２１ａと共に記憶する。これらの情報の取得は、公知技術にて可能である。操作種類２２１ｆおよび操作内容２２１ｇの種類および関連については次で説明する。

図６は、図５で示した操作種類２２１ｆおよび操作内容２２１ｇの種類および関連について説明する表である。操作種類２２１ｆは、具体的には、「Ｗｅｂアクセス」「ファイルアクセス」「ＤＢアクセス」「起動アプリケーション」「ＯＳログイン」「Ｗｅｂシステムログイン」「ＤＢログイン」「アプリケーションログイン」などの種類がある。

操作内容２２１ｇは、操作種類２２１ｆに対応して定義される。たとえば操作種類２２１ｆが「Ｗｅｂアクセス」である場合には操作内容２２１ｇは「ＵＲＬ」、操作種類２２１ｆが「ファイルアクセス」である場合には操作内容２２１ｇは「ファイルパス」、操作種類２２１ｆが「ＤＢアクセス」である場合には操作内容２２１ｇは「ＤＢインスタンス名」、操作種類２２１ｆが「起動アプリケーション」である場合には操作内容２２１ｇは「アプリケーション名」、操作種類２２１ｆが「ＯＳログイン」である場合には操作内容２２１ｇは「ＯＳユーザＩＤ」、操作種類２２１ｆが「Ｗｅｂシステムログイン」である場合には操作内容２２１ｇは「ＷｅｂシステムユーザＩＤ」、操作種類２２１ｆが「ＤＢログイン」である場合には操作内容２２１ｇは「ＤＢユーザＩＤ」、操作種類２２１ｆが「アプリケーションログイン」である場合には操作内容２２１ｇは「アプリケーションユーザＩＤ」などのように定義される。

ログ収集手段１０１は、まず個人識別キー種別２１１ａを参照し、取得したＩＰアドレス２２１ｂ、マシン名２２１ｃ、ＯＳユーザ名２２１ｄのうち個人識別キー種別２１１ａに該当する内容（ここではＩＰアドレス２１４ｄ）をユーザテーブル２１４から検索してユーザＩＤ２１４ａを特定し、特定されたユーザＩＤをログ一覧テーブル２２１のユーザＩＤ２２１ａとして、取得された各情報と共に記憶する。

図７は、図３で示した定常操作定義手段１０２が全体ログＤＢ２２０に対して行う操作について示すフローチャートである。定常操作定義手段１０２は、たとえば１日に１回程度、定期的に図７で示す処理を行う。まず、グループテーブル２１３で定義されたグループ名２１３ａの中から任意の一つを選択し（ステップＳ３０１）、さらに操作種類テーブル２１２で定義された操作種類２１２ａの中から任意の一つを選択し（ステップＳ３０２）、グループごと・操作種類ごとに次に示す処理を行う。

まずグループテーブル２１３から、グループ名２１３ａで表されるグループに含まれるメンバのユーザＩＤ２１３ｂを抽出する（ステップＳ３０３）。抽出されたユーザＩＤ２１３ｂを、ログ一覧テーブル２２１のユーザＩＤ２２１ａから検索し、これに対応するタイムスタンプ２２１ｅ、操作種類２２１ｆ、操作内容２２１ｇを抽出する（ステップＳ３０４）。

抽出された内容の中から、タイムスタンプ２２１ｅが現在から一定期間以内（たとえば１ヶ月以内など）に行われた操作を抜き出し、さらに操作内容２２１ｇが重複するものを排除する。その上で、抽出された内容を定常操作ＤＢ２３０に登録する（ステップＳ３０５）。以上の処理を、全ての操作種類、および全てのグループに対して行う（ステップＳ３０６〜３０９）。

図８は、図２〜３で示した定常操作ＤＢ２３０の記録内容を示す表である。定常操作ＤＢ２３０は、定常操作定義手段１０２による図７に示した動作によってデータが記憶される定常操作履歴テーブル２３１を有する。上記ステップＳ３０４で抽出されたタイムスタンプ２２１ｅ、操作種類２２１ｆ、操作内容２２１ｇが、上記ステップＳ３０５で定常操作履歴テーブル２３１上に各々タイムスタンプ２３１ａ、操作種類２３１ｂ、操作内容２３１ｃとして記録される。定常操作履歴テーブル２３１は、各ユーザの属するグループ名２１３ａごとに別々のテーブルであってもよいし、共通していてもよい。

図９は、図３で示した現状操作定義手段１０３および操作比較手段１０４が行う操作について示すフローチャートである。現状操作定義手段１０３は、たとえば１時間に１回程度、定期的に図９で示す処理を行う。現状操作定義手段１０３および操作比較手段１０４は、まずグループテーブル２１３で定義されたユーザＩＤ２１３ｂの中から任意の一つを選択し（ステップＳ４０１）、さらに操作種類テーブル２１２で定義された操作種類２１２ａの中から任意の一つを選択し（ステップＳ４０２）、ユーザごと・操作種類ごとに次に示す処理を行う。

まずグループテーブル２１３から、ユーザＩＤ２１３ｂを抽出する（ステップＳ４０３）。抽出されたユーザＩＤ２１３ｂを、ログ一覧テーブル２２１のユーザＩＤ２２１ａから検索し、これに対応するタイムスタンプ２２１ｅ、操作種類２２１ｆ、操作内容２２１ｇを抽出する（ステップＳ４０４）。

抽出された内容の中から、タイムスタンプ２２１ｅが現在から一定期間以内（たとえば１時間以内など）に行われた操作を抜き出し、さらに操作内容２２１ｇが重複するものを排除する。その上で、抽出された内容を現状操作ＤＢ２４０に登録する（ステップＳ４０５）。

図１０は、図２〜３で示した現状操作ＤＢ２４０の記録内容を示す表である。現状操作ＤＢ２４０は、現状操作定義手段１０３による図９に示した動作によってデータが記憶される現状操作履歴テーブル２４１を有する。上記ステップＳ４０４で抽出されたユーザＩＤ２２１ａ、操作種類２２１ｆ、操作内容２２１ｇが、上記ステップＳ４０５で現状操作履歴テーブル２４１上に各々ユーザＩＤ２４１ａ、グループ２４１ｂ、操作種類２４１ｃ、タイムスタンプ２４１ｄ、操作内容２４１ｅとして記録される。

操作比較手段１０４は、ステップＳ４０５までで現状操作履歴テーブル２４１に記録された内容に対して、数１で示す異常操作度数ｘ（０≦ｘ≦１）を算出する。異常操作度数ｘは、各ユーザの時間毎の不審・不正な操作の度合いを示す。操作比較手段１０４は、異常操作度数ｘを数１により算出し、算出した異常操作度数をユーザおよび操作種類ごとに、後述する判断ルールＤＢ２６０のユーザスコアテーブル２６１に登録する（図９：ステップＳ４０６）。操作比較手段１０４は以上の処理を、全ての操作種類、および全てのユーザに対して行う（図９：ステップＳ４０７〜４１０）。

数１の分母である「グループの操作内容の件数」は、定常操作履歴テーブル２３１で、あるユーザが属するグループの操作内容２３１ｃとして登録されている件数である。この件数が０の場合には、異常操作度数は算出不能となる。数１の分子である「非一致数」は、定常操作履歴テーブル２３１であるユーザが属するグループの操作内容２３１ｃとして登録されている内容と、現状操作履歴テーブル２４１でそのユーザの操作内容２４１ｅとして登録されている内容との間で、一致しないものの数である。

図１１は、図２〜３で示したブラックリスト・ホワイトリストＤＢ２５０の記録内容を示す表である。ブラックリスト・ホワイトリストＤＢ２５０は、後述するフィードバックの操作によって登録されるブラックリストテーブル２５１およびホワイトリストテーブル２５２を含む。ブラックリストテーブル２５１にはブラックリストの対象とする操作種類２５１ａおよび操作内容２５１ｂが、ホワイトリストテーブル２５２にはホワイトリストの対象とする操作種類２５２ａおよび操作内容２５２ｂが、各々記録される。

図９のステップＳ４０６で、非一致数の算出の際には、このホワイトリストテーブル２５２に含まれている内容は含まない。また、このブラックリストテーブル２５１に記載されている内容が１回でも含まれていた場合、後述の通り即座にアラームの対象となる。

図１２は、図３で示した操作比較手段１０４、アラーム通知手段１０５およびフィードバック情報入力手段１０６が行う操作を示すフローチャートである。そして操作比較手段１０４およびアラーム通知手段１０５は、たとえば１日に１回程度、定期的に図９で示す処理を行う。操作比較手段１０４は、数２〜数４で示すアラームを検出する基準となる閾値ｙ（０≦ｙ≦１）を算出する（ステップＳ５０１）。

図１３は、図２〜３で示した判断ルールＤＢ２６０の記録内容を示す表である。判断ルールＤＢ２６０は、ユーザスコアテーブル２６１とグループスコアテーブル２６２とを含む。ユーザスコアテーブル２６１は、操作比較手段１０４によって、前述した図９のステップＳ４０６で算出された異常操作度数２６１ｄが、この異常操作度数の算出対象となったグループ２６１ａ、ユーザＩＤ２６１ｂおよび操作種類２６１ｃごとに記憶される。グループスコアテーブル２６２は、異常操作度数の算出対象となるグループ２６２ａと操作種類２６２ｂごとに、閾値２６２ｃおよび後述の閾値補正値２６２ｄ（ｚ）が記憶される。

ユーザスコアテーブル２６１で、あるグループのある操作種類にｎ人のユーザが登録されており、ｉが自然数で１≦ｉ≦ｎであるとして、ｉ番目のユーザの異常操作度数２６１ｄをｘ（ｉ）とすると、操作比較手段１０４はまず、数２に示すｘ（ｉ）の平均値を求め、続いて数３に示すｘ（ｉ）の標準偏差ρを求める。そして数４に示すｘ（ｉ）の平均値に標準偏差ρと後述の閾値補正値ｚを加算した数値が閾値ｙとなる。

そして操作比較手段１０４は、ステップＳ５０１および数２〜数４で閾値ｙを算出すると、判断ルールＤＢ２６０のユーザスコアテーブル２６１の前日分のデータを破棄して、当日分のデータに更新する（図１２：ステップＳ５０２）。数２〜数４で算出された閾値ｙも、グループスコアテーブル２６２の閾値２６２ｃとして記録する。

そして操作比較手段１０４は、ユーザスコアテーブル２６１およびグループスコアテーブル２６２に格納されている全てのユーザＩＤ２６１ｂ、操作種類２６２ｂ、異常操作度数２６１ｄ、閾値２６２ｃの組に対して、異常操作度数２６１ｄと閾値２６２ｃとを比較し（図１２：ステップＳ５０３）、１つでも異常操作度数２６１ｄ＞閾値２６２ｃとなった場合または１つでも前述のブラックリストテーブル２５１に登録された操作があった場合には、アラーム通知手段１０５にその旨を通知する（図１２：ステップＳ５０４）。図１２のステップＳ５０３で、異常操作度数２６１ｄ＞閾値２６２ｃとなったグループやブラックリストテーブル２５１に登録された操作が存在しない場合は、そのまま処理を終了する。

アラーム通知手段１０５は、操作比較手段１０４からの通知を受けて、管理者端末１６に対してアラームを通知する（図１２：ステップＳ５０５）。これと共にアラーム通知手段１０５は、アラームログＤＢ２７０にそのアラームの内容を記録する（図１２：ステップＳ５０６）。

図１４は、図２〜３で示したアラームログＤＢ２７０の記録内容を示す表である。アラームログＤＢ２７０は、アラームテーブル２７１を含む。アラームテーブル２７１は、アラームの発信時刻２７１ａと、そのアラームの対象となった操作の検知日時２７１ｂ、検出対象となったユーザＩＤ２７１ｃ、操作種類２７１ｄおよび操作内容２７１ｅ、異常操作度数２７１ｆおよびユーザが所属するグループにおける閾値２７１ｇなどを含む。

また、図１２のステップＳ５０５で、アラーム通知手段１０５が管理者端末１６に対してアラームを通知する具体的な方法については、たとえば電子メールの送信、ページャーや携帯電話への発呼、ＳＮＭＰトラップ転送など、任意の公知手段を利用することが可能である。

アラーム通知手段１０５が管理者端末１６に対してアラームを通知すると、同時にフィードバック情報入力手段１０６が管理者端末１６を介して管理者からの管理者からのフィードバックを受け付ける状態になる（図１２：ステップＳ５０７）。より具体的には、フィードバック情報入力手段１０６が管理者端末１６に対して図１５に示すＧＵＩ画面６００を表示する。

図１５は、図１２のステップＳ５０６〜５０７で、管理者端末１６に表示されるＧＵＩ画面６００の例を示す説明図である。図１５（ａ）は初期状態のＧＵＩ画面６００について示す。ＧＵＩ画面６００は、ステップＳ５０５でアラーム通知手段１０５で通知されたアラームの対象となった操作の具体的な内容を表示し、この操作をアラームの対象とすることは適切か否かを管理者に問うダイアログ６０１と、このダイアログ６０１に対する管理者の答えを入力する正検知ボタン６０２と誤検知ボタン６０３を有する。

図１５（ａ）の初期状態から正検知ボタン６０２をクリックすると、図１５（ｂ）に示すように、この操作の内容をブラックリストテーブル２５１に追加するか否かを管理者に問うダイアログ６０４と、これに対する管理者の答えを入力するブラックリスト追加ボタン６０５が表示される。

同様に、図１５（ａ）の初期状態から誤検知ボタン６０３をクリックすると、図１５（ｃ）に示すように、この操作の内容をホワイトリストテーブル２５２に追加するか否かを管理者に問うダイアログ６０６と、これに対する管理者の答えを入力するホワイトリスト追加ボタン６０７が表示される。

ここで、管理者が正検知ボタン６０２もしくは誤検知ボタン６０３によって、このアラームが正しい検知であったか、それとも誤検知であったかを入力する（図１２：ステップＳ５０８）。正しい検知であった場合、閾値補正値ｚには変化はない。誤検知であった場合、フィードバック情報入力手段１０６は閾値補正値ｚの値を、閾値ｙが０≦ｙ≦１を超えない範囲で増加させる。より具体的には、たとえば閾値補正値ｚに０．１を加算するなどである（図１２：ステップＳ５０９）。この閾値は、グループスコアテーブル２６２の閾値補正値２６２ｄとして記憶される。

さらにフィードバック情報入力手段１０６は、管理者からのブラックリスト追加ボタン６０５もしくはホワイトリスト追加ボタン６０７の入力に応じて、図１１で説明したブラックリストテーブル２５１もしくはホワイトリストテーブル２５２に、ダイアログ６０１で表示された内容を追加する（図１２：ステップＳ５１０〜５１１）。また、既にブラックリストテーブル２５１もしくはホワイトリストテーブル２５２に登録済みの内容と同一の内容については、二重に登録されないようにすることもできる。

（第１の実施形態の全体的な動作）
次に、上記の実施形態の全体的な動作について説明する。本発明に係る異常操作検出方法は、ネットワークに接続され、ネットワーク上でのユーザ端末１２の異常な操作を検出して同一ネットワーク上の管理者端末１６に通知する異常操作検出方法であって、ユーザ端末の操作内容を取得し、取得された特定のユーザ端末の短時間の操作内容を現状操作として定義し（図９：ステップＳ４０１〜４０５）、予め定常操作データベースに記憶された通常の操作であると判断できる定常操作と現状操作とから異常操作度数を求め（図１２：ステップＳ５０３）、異常操作度数が予め決められた閾値よりも大きい場合に異常であると判断し（図１２：ステップＳ５０４）、異常であると判断された場合に管理者端末にその旨を通知して警報を表示させ（図１２：ステップＳ５０５）、管理者端末に表示された警報に対応して管理者端末からフィードバック情報の入力を受け付け（図１２：ステップＳ５０７〜５０８）、入力されたフィードバック情報に応じて差異の比較に使用する閾値を増減する（図１２：ステップＳ５０９）。

ここで、上記各動作ステップについては、これをコンピュータで実行可能にプログラム化し、これらを前記各ステップを直接実行する主体である異常操作検出装置１０に実行させるようにしてもよい。
この構成および動作により、本実施形態は以下のような効果を奏する。

本実施形態によれば、過去の操作履歴から定常業務（操作許可範囲）を自動定義するため、システム管理者が事前に詳細な検知ルールを策定することを必要としない。また、フィードバック情報の入力により検出精度を向上させることが可能なため、システム管理者が定期的にパラメータを調整する作業も軽減できる。即ち、本実施形態によって、ネットワークを管理する管理者の負荷を大幅に軽減することができる。

以上で説明した例では、「非一致数」を「グループの操作内容の総件数」で除算して異常操作度数を算出した。そして閾値は、異常操作度数の平均値と標準偏差とから求めた。しかしながら、この異常操作度数および閾値の算出には、それ以外にも任意の統計学的手法を利用することができる。また、フィードバック入力に対する閾値の増減についても、閾値ｙが０≦ｙ≦１の範囲から外れなければ任意の手法を利用することができる。

これまで本発明について図面に示した特定の実施形態をもって説明してきたが、本発明は図面に示した実施形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができる。

企業などの組織内の情報システムにおいて、幅広く利用することができる。

１０ 異常操作検出装置
１１ ネットワーク
１２ ユーザ端末
１３ インターネット
１４ 外部コンピュータ
１５ 業務システムサーバ
１６ 管理者端末
１０１ ログ収集手段
１０２ 定常操作定義手段
１０３ 現状操作定義手段
１０４ 操作比較手段
１０５ アラーム通知手段
１０６ フィードバック情報入力手段
２１０ 基本定義ＤＢ
２１１ 個人識別テーブル
２１２ 操作種類テーブル
２１３ グループテーブル
２１４ ユーザテーブル
２２０ 全体ログＤＢ
２２１ ログ一覧テーブル
２３０ 定常操作ＤＢ
２３１ 定常操作履歴テーブル
２４０ 現状操作ＤＢ
２４１ 現状操作履歴テーブル
２５０ ブラックリスト・ホワイトリストＤＢ
２５１ ブラックリストテーブル
２５２ ホワイトリストテーブル
２６０ 判断ルールＤＢ
２６１ グループスコアテーブル
２７０ アラームログＤＢ
２７１ アラームテーブル
６００ ＧＵＩ画面

Claims (8)

1. ネットワークに接続され、前記ネットワーク上でのユーザ端末の異常な操作を検出して同一ネットワーク上の管理者端末に通知する異常操作検出装置であって、
   前記ユーザ端末の操作内容を取得するログ収集手段と、
   前記ログ収集手段が取得した特定の前記ユーザ端末の短時間の操作内容を現状操作として定義する現状操作定義手段と、
   通常の操作であると判断できる定常操作に該当する内容を予め記憶している定常操作データベースと、
   前記現状操作と前記定常操作とから異常操作度数を求め、この異常操作度数が予め決められた閾値よりも大きい場合に異常であると判断する操作比較手段と、
   前記操作比較手段が異常であると判断した場合に前記管理者端末にその旨を通知して警報を表示させるアラーム通知手段と、
   前記管理者端末に表示された警報に対応して前記管理者端末からフィードバック情報の入力を受け付けると共に、入力された前記フィードバック情報に応じて前記差異の比較に使用する前記閾値を増減するフィードバック情報入力手段と
   を有することを特徴とする異常操作検出装置。
2. 前記フィードバック情報が、前記管理者端末に表示された警報が誤検知であったか否かを表す情報であることを特徴とする、請求項１に記載の異常操作検出装置。
3. 前記操作比較手段が、前記定常操作データベースに登録された操作から外れる内容の操作がなされた件数である非一致数を、前記定常操作データベースに登録されている操作内容の総件数で除算して前記異常操作度数を求めることを特徴とする、請求項１に記載の異常操作検出装置。
4. 前記定常操作データベースが、前記ユーザ端末を操作するユーザの属するグループごとに前記定常操作に該当する内容を記憶しており、
   前記操作比較手段は、前記グループごとに前記現状操作と前記定常操作との差異を比較して異常であるか否かを判断することを特徴とする、請求項１に記載の異常操作検出装置。
5. 前記ログ収集手段が取得した過去の一定期間の前記操作内容から前記定常操作データベースを作成する定常操作定義手段が、前記ログ収集手段に併設されていることを特徴とする、請求項１に記載の異常操作検出装置。
6. 前記操作比較手段が前記現状操作と前記定常操作との差異の比較に利用しない操作内容を記憶するホワイトリストテーブルと、前記現状操作の中に１回でも検出されれば前記操作比較手段が異常であると判断する操作内容を記憶するブラックリストテーブルとを含むブラックリスト・ホワイトリストデータベースが、前記操作比較手段に併設されていることを特徴とする、請求項１に記載の異常操作検出装置。
7. ネットワークに接続され、前記ネットワーク上でのユーザ端末の異常な操作を検出して同一ネットワーク上の管理者端末に通知する異常操作検出方法であって、
   前記ユーザ端末の操作内容を取得し、
   取得された特定の前記ユーザ端末の短時間の操作内容を現状操作として定義し、
   予め定常操作データベースに記憶された通常の操作であると判断できる定常操作と前記現状操作とから異常操作度数を求め、
   前記異常操作度数が予め決められた閾値よりも大きい場合に異常であると判断し、
   前記異常であると判断された場合に前記管理者端末にその旨を通知して警報を表示させ、
   前記管理者端末に表示された警報に対応して前記管理者端末からフィードバック情報の入力を受け付け、
   入力された前記フィードバック情報に応じて前記差異の比較に使用する閾値を増減する
   ことを特徴とする異常操作検出方法。
8. ネットワークに接続され、前記ネットワーク上でのユーザ端末の異常な操作を検出して同一ネットワーク上の管理者端末に通知する異常操作検出プログラムであって、
   前記ネットワークが備えているコンピュータに、
   前記ユーザ端末の操作内容を取得する手順と、
   取得された特定の前記ユーザ端末の短時間の操作内容を現状操作として定義する手順と、
   予め定常操作データベースに記憶された通常の操作であると判断できる定常操作と前記現状操作とから異常操作度数を求める手順と、
   前記異常操作度数が予め決められた閾値よりも大きい場合に異常であると判断する手順と、
   前記異常であると判断された場合に前記管理者端末にその旨を通知して警報を表示させる手順と、
   前記管理者端末に表示された警報に対応して前記管理者端末からフィードバック情報の入力を受け付ける手順と、
   入力された前記フィードバック情報に応じて前記差異の比較に使用する閾値を増減する手順とを
   実行させることを特徴とする異常操作検出プログラム。

Images