JP2012014310A - 情報漏えいファイル検知装置、及びその方法とプログラム - Google Patents

Abstract

【課題】ファイル共有ネットワークに流通するファイルに関する情報を収集し、情報漏えいファイルを検知して対策を実施する技術を提供する。
【解決手段】ファイル共有ネットワークから収集したファイルに関するキー情報に、ファイルの種別や、ファイル名を構成する単語の品詞出現頻度、情報漏えいファイルであるか否かの人手による判断結果を属性として付与して教師情報を生成する。次に、教師情報を決定木学習アルゴリズムに入力することによって情報漏えいファイルの判定ルールを学習させ、情報漏えいファイル判定用決定木を導出する。以降、この決定木を用いて、ファイル共有ネットワークに流通するキー情報の中から情報漏えいファイルを検出し、アラートの発信や、キー情報を無効にして、送信することによって被害の拡大を抑止する。
【選択図】 図１２

Description

本発明は、ファイル共有ネットワークを介して流通する情報漏えいファイルを検知して、被害拡大防止を行う装置およびその方法とプログラムに係る。

ファイル共有ソフトの、設定ミスやウイルスプログラム（以下、ウイルスという）の感染などが原因となって、個人情報や機密情報などが意図せずファイル共有ネットワークへと流出して情報漏えいが発生してしまう事故が多発している。

情報漏えいが発覚した場合は、早急な措置が望まれるが、本人の気がつかないうちにウイルスなどに感染したことによって発生した情報漏えい事故は、発覚まで時間を要してしまう傾向にあり、結果的に、被害が拡大してしまう場合が多い。

ファイル共有ソフトによる情報漏えい対策として、情報漏えいファイルに対応した偽の情報を大量にファイル共有ネットワークへと送信することで情報漏えいファイルをダウンロードしにくくする技術が特許文献１に、開示されている。

特開２００８−１９７８５４号公報

一般的に、情報漏えいの発生を発見するにあたっては、ウイルスによって生成されるファイル名に共通したキーワードを利用した検索が行われているが、ウイルスの種類によってファイル命名規則が異なるため、新たなウイルスが出現するたびにキーワードを設定し直さなければならない。

開示されるのは、ファイル共有ソフトによって構成されるファイル共有ネットワークに流通するファイルに関する情報（キー情報）を収集する装置によって出力されるキー情報の中から、情報漏えいファイルと思しきファイルを特定のキーワードに依らずに検知して、情報漏えい事故への早期対応を支援する技術である。

開示される情報漏えいファイル検知装置は、ファイル共有ネットワークに流通する情報漏えいファイルを検知する装置であって、検知装置が１つ乃至複数のキー収集装置から収集したキー情報から、キー情報を構成する項目や、項目から導出した属性を取得し、これらの情報と、さらに、これらの情報をもとに決定木管理者が情報漏えいファイルであるか否かを判断した結果とから、決定木学習アルゴリズムを用いて情報漏えいファイルの判定用決定木を生成することを特徴とする。さらに、この決定木を用いて、以後、キー収集装置から取得するキー情報を分類し、情報漏えいファイルを検知することを特徴とする。

上記特徴のように、固定的なキーワードとの比較処理を含まない決定木を生成することによって、ウイルスの種類に依存しない汎用的な情報漏えいファイルの検知が可能となる。

開示する技術により、新たなウイルスによる情報漏えいにも早期に対応可能になる。

情報漏えいファイル検知システムの一構成例を示す図である。 解析情報ＤＢの一例を示す図であり、（ａ）は学習情報ＤＢに格納されたキー情報の一例を示す図であり、（ｂ）は学習情報ＤＢに格納された属性情報を示す図である。 （ａ）は、情報漏えいファイルを検知する処理の比較例を説明する図であり、（ｂ）は、情報漏えいファイルを検知する処理の本実施形態の概要を説明する図である。 （ａ）は、日付・時刻の表現パターンの一例を示す図であり、（ｂ）はファイル名（拡張子）とファイル種別の関連性の一例を示す図である。 属性付与プログラムにおける、ファイル名から品詞の属性を導出するための手法の一例を示す図である。 キー学習プログラムにおける、教師情報から決定木および判定用プログラムコードを導出するための手法の一例を示す図である。 情報漏えいファイル検知装置の構成の一例を示す図である。 学習情報ＤＢの一例を示す図である。 属性付与プログラムにおける処理の流れを示す図である。 キー学習プログラムにおける処理の流れを示す図である。 キー解析プログラムにおける処理の流れを示す図である。 本実施形態の情報漏えいファイル検知システムの動作の一例を示す図である。

本発明を実施するための形態（以降、「実施形態」という）について、適宜図面を用いながら詳細に説明する。

まず、ファイル共有ネットワークに流通する情報漏えいファイルの特徴を学習して、類似の情報漏えいファイルを検知する情報漏えいファイル検知システムの構成例を、図１を用いて説明する。図１は、情報漏えいファイル検知システムの一構成例を示す図である。

図１において、情報漏えいファイル検知システム１０は、キー収集装置１１、情報漏えいファイル検知装置１２、およびキー送信装置１３を含んで構成される。なお、キー収集装置１１、キー解析装置１２、およびキー送信装置１３は、図１には１つしか記載していないが、複数あっても構わない。

キー収集装置１１は、インターネット５０と接続し、インターネット５０に接続された複数のファイル共有ノード６１にそれぞれ接続して共有ファイルに関わるキー情報を取得することによって、ファイル共有ネットワークに流通するキー情報を収集する。

キー送信装置１３は、インターネット５０と接続し、インターネット５０に接続された複数のファイル共有ノード６１にそれぞれ接続して任意のキー情報を送信することによって、ファイル共有ネットワークに情報漏えいファイルのキー情報の流通を妨害する。

情報漏えいファイル検知装置１２は、キー収集装置１１の保有する１つあるいは複数のキー情報を収集し、属性付与プログラム１２１によって加工（属性付与）する。次に、情報漏えいファイルのキー情報と、そうではない通常のファイルのキー情報とに手動で分類（クラス分け）し、得られた情報（キー情報、属性、クラス）を教師情報としてキー学習プログラム１２２に読み込ませて情報漏えいファイル判定用の決定木を生成する。さらに、生成した決定木をキー解析プログラム１２３の情報漏えいファイル判定ルールに設定して情報漏えいファイルの判定を行い、情報漏えいファイルに関わる情報をキー送信装置１３に渡す。この情報漏えいファイル検知装置１２における処理の詳細については、後記する。

なお、図１において、各ブロック（１１〜１３）間を結ぶ実線は、キー情報に関わる通信パケットの伝達経路を示している。

ここで、キー情報の一例について、図２の（ａ）を用いて説明する。図２（ａ）は、ファイル共有ソフトＷｉｎｎｙのキー情報の一例である。Ｗｉｎｎｙでは、主にキー情報として、キー作成日時１２５０１、キー取得日時１２５０２、ファイルサイズ１２５０３、公開者ＩＤ（トリップ）１２５０４、ファイル名１２５０５、ファイル所有ノード情報（ＩＰアドレス・ポート番号）１２５０６、キー所有ノード情報（ＩＰアドレス・ポート番号）１２５０７、キー寿命（ＴＴＬ：Ｔｉｍｅ Ｔｏ Ｌｉｖｅ）１２５０８、ダウンロード数（被参照数）１２５０９、およびハッシュ値１２５１０が記録される。

キー作成日時１２５０１は、キー情報を生成した日時であり、ファイルを共有した日時や、キー情報が更新された日時を表す。キー取得日時１２５０２は、キー収集装置１１がキー情報を取得した日時を表す。公開者ＩＤ（トリップ）１２５０４は、ファイルの所有者を一意に識別するための情報である。ファイル所有ノード情報（ＩＰアドレス・ポート番号）１２５０６は、ファイルを所有しているノードのＩＰアドレスおよびポート番号で、キー情報に格納されているノード情報を表す。キー所有ノード情報（ＩＰアドレス・ポート番号）１２５０７は、キー情報を所有しているノードのＩＰアドレスおよびポート番号で、キー収集装置１１が、キー情報を取得するにあたって接続した際に利用したＩＰアドレスおよびポート番号を表す。キー寿命（ＴＴＬ）１２５０８は、キー情報の自動消滅までの残り時間を秒で表す値である。ダウンロード数（被参照数）１２５０９とは、このキー情報をもとにダウンロードされた累計サイズをメガバイトで表した値である。ハッシュ値１２５１０とは、ファイルを一意に判別するための識別子で、ＭＤ５やＳＨＡ−１などのハッシュ関数を用いて算出された情報である。なお、ファイル所有ノード情報（ＩＰアドレス・ポート番号）１２５０６の示すノード情報は、必ずしもファイル所有ノードを示しているとは限らず、他のノードによって書き換えられたＩＰアドレス・ポート番号が格納されている場合もある。

キー収集装置１１、およびキー送信装置１３の構成については、図示を省略するが、各々が、アプリケーションプログラムによって種々の演算処理やキー情報の送受信を司る演算部、情報入力のための入力部、演算結果や指示を画面表示する表示部、他の装置との通信を制御する通信部、およびアプリケーションプログラムや演算結果などを記憶する記憶部を含んでいる。なお、情報漏えいファイル検知装置１２の構成の詳細については、後記する。

ここで、本実施形態の概要を、図３を用いて説明する。図３の（ａ）は、情報漏えいファイル検知における従来の処理の比較例を説明する図であり、（ｂ）は、本実施形態の概要を説明する図である。

図３（ａ）に示す比較例は、情報漏えいファイルをウイルスの命名規則に基づく従来技術（キーワードマッチング）によって処理するケースである（適宜、図１参照）。

まず、操作者は、ウイルスを解析したり、ウイルス情報サイトなどの公開情報などを参考したりすることによって、ウイルスの命名規則を調査する。この際に、ウイルスが複数存在したり、１つのウイルスに複数の命名規則が存在していたりする場合には、複数のキーワードを抽出する（Ｓ３０１）。次に、キー収集装置１１から取得したキー情報のファイル名と、抽出しておいたキーワードとを比較し、キー情報が情報漏えいファイルであるか否かを判定する（Ｓ３０２）。さらに、キー情報が情報漏えいファイルであると判定された場合には、キー情報の構成要素であるファイル所有ノードを、元のＩＰアドレスとは異なるＩＰアドレスに書き換えるなどの処理によって、キー情報を無効にする（Ｓ３０３）。最後に、このキー情報をキー送信装置１３へと渡し、キー情報をファイル共有ネットワークへと送出する（Ｓ３０４）。

次に、図３（ｂ）に示す本実施形態の概要について以下に説明する（適宜、図１参照）。

まず、キー収集装置１１から一定数のキー情報を取得する（Ｓ３０５）。取得したキー情報に対して、ファイルの種別などの属性情報を付与する（Ｓ３０６）。次に、操作者が、それぞれのキー情報から情報漏えいファイルに関わるキー情報であるか、そうではない通常のファイルに関わるキー情報であるかを判断し、個々のキー情報に判断の結果が付与された教師情報を生成する（Ｓ３０７）。この教師情報を決定木学習アルゴリズムに入力し、情報漏えいファイルであると判定するための決定木を生成する（Ｓ３０８）。決定木を情報漏えいファイル検知装置１２に設定し（Ｓ３０９）、情報漏えいファイル検知装置は、以後、キー収集装置１１の収集したキー情報を、この決定木に従って分類し、情報漏えいファイルを判定する（Ｓ３１０）。さらに、キー情報が情報漏えいファイルであると判定された場合には、キー情報の構成要素であるファイル所有ノードのＩＰアドレスを書き換えるなどの処理によって、キー情報を無効にする（Ｓ３１１）。最後に、このキー情報をキー送信装置１３へと渡し、キー情報をファイル共有ネットワークへと送出する（Ｓ３１２）。

すなわち、本実施形態では、最初にキー収集装置１１が実際に収集したキー情報をもとに人間が判断した条件を学習し、以後の情報漏えいファイルの判定に用いることによって、キーワードに依らない、つまりウイルスの種類に依存しない情報漏えいファイルの検知を実現する。

次に、決定木の生成について、Ｗｉｎｎｙのキー情報を例として、図６を用いて説明する。

図６は、決定木６０３を生成する決定木学習アルゴリズム６０２に、予め用意した教師情報６０１を入力して、決定木６０３を導出する例を示す。教師情報６０１は、キー情報と、操作者がファイル名をはじめとするキー情報の構成要素に基づいて情報漏えいファイルか否かを判定して得た情報漏えい判断結果（クラス）とから構成される。図６では、説明を簡単にするために、キー情報とクラスのみ示しているが、教師情報には、これらキー情報とクラス以外に、キー情報から導出される属性情報も含まれる。属性情報の詳細については後記する。

図６では、決定木学習アルゴリズム６０２として一般的に知られているＣ４．５を用い、決定木を生成する場合を示す。Ｃ４．５によって、教師情報６０１の各項目のとる値と、クラスとの関係を示した決定木６０３が生成される。ここでいうクラスとは、情報漏えいファイルであるか（はい）、否か（いいえ）の２種類の値を取り得るパラメータである。

図６では、説明を簡単にするために、２種類の値を持つクラスを例示したが、クラスを多値化した教師情報を用意することによって、多値を持つクラスから構成される決定木６０３を生成することも可能である。一例としては、ファイルカテゴリを表すクラスとして、ウイルス系情報漏えいファイル、人為的情報漏えいファイル、通常ファイル、著作物ファイルの４種類を値に持たせることもできる。ウイルス系情報漏えいファイルは、ウイルスによって勝手に命名されて漏えいしたファイルを指し、人為的情報漏えいファイルは、ウイルスに起因するのではなく、故意あるいは設定ミスによって漏えいしたファイルを指す。また、著作物ファイルは、著作権の存在するコンテンツが含まれたファイルのことを指す。

なお、Ｃ４．５も決定木学習アルゴリズム６０２の一例であり、他のアルゴリズムを用いても良い。

次に、情報漏えいファイル検知装置１２の構成について、図７を用いて説明する。図７は、情報漏えいファイル検知装置の構成の一例を示す図である。

情報漏えいファイル検知装置１２は、演算部１２０１、メモリ１２０２、入力部１２０３、表示部１２０４、通信部１２０５、および記憶部１２０６を含むコンピュータ上に実現することができる。

演算部１２０１は、情報漏えいファイル検知装置１２の各部（１２０２〜１２０６）の制御、および各部（１２０２〜１２０６）間の情報の伝達を司る。演算部１２０１は、例えば、演算処理を実行するＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。そして、このＣＰＵが主記憶装置であるメモリ１２０２に、以下に説明するアプリケーションプログラムを展開して、それを実行することにより、以下に説明する処理を具現化する。メモリ１２０２は、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）により実現される。なお、アプリケーションプログラムは、記憶部１２０６に格納されている。

また、以下では、便宜上、各プログラムを実行主体として説明する。

また、各プログラムは、予め記憶部１２０６に格納されていても良いし、必要なときに、図示しない外部インタフェースや通信部１２０５と、当該情報漏えいファイル検知装置１２が利用可能な媒体を介して、他の装置から記憶部１２０６に導入されてもよい。媒体とは、たとえば、外部インタフェースに着脱可能な記憶媒体、または通信媒体（すなわち有線、無線、光などのネットワーク、または当該ネットワークを伝搬する搬送波やディジタル信号）を指す。

入力部１２０３は、キーボードやマウスなどであり、情報漏えいファイル検知装置１２を操作する操作者などによる情報入力などを受け付ける。

表示部１２０４は、ＣＲＴ（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ）やＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）などであり、入力を促す画面や、演算結果を確認する画面などを表示する。

通信部１２０５は、情報漏えいファイル検知システム１０内の各部（１１，１３）（図１参照）や、インターネット５０に接続されている１つあるいは複数のファイル共有ノード６１との間で情報を送受信する。

記憶部１２０６は、属性付与プログラム１２１、キー学習プログラム１２２、キー解析プログラム１２３、学習情報ＤＢ１２４、および解析情報ＤＢ１２５を記憶している。なお、属性付与プログラム１２１、キー学習プログラム１２２、およびキー解析プログラム１２３は、アプリケーションプログラムとして、メモリ１２０２に展開されて、演算部１２０１によって実行される。

属性付与プログラム１２１は、収集したキー情報に対して、属性情報を付与する。ここで、属性情報とは、キー情報を構成する個々の項目から導出される関連情報を意味する。参照元となったキー情報は、解析情報ＤＢ１２５にキー情報として、学習情報ＤＢ１２４に教師情報（キー情報）として、それぞれ格納する。さらに、付与した属性情報は、解析情報ＤＢ１２５に属性情報として、学習情報ＤＢ１２４に教師情報（属性）として、それぞれ格納する。

キー学習プログラム１２２は、学習情報ＤＢ１２４に格納された教師情報（キー情報）、教師情報（属性）、および教師情報（クラス）から、決定木学習アルゴリズム６０２を用いて、教師情報（クラス）が結論となるための、教師情報（属性）、および教師情報（クラス）のルールを決定木６０３として出力する。ここで、教師情報（クラス）とは、情報漏えいファイルであるか否かの結論を示した値である。キー学習プログラム１２２は、出力した決定木６０３を、学習情報ＤＢ１２４に格納する。

キー解析プログラム１２３は、解析情報ＤＢ１２５に格納されたキー情報、および属性情報、ならびに学習情報ＤＢ１２４に格納された決定木６０３を用いて、キー情報を分類する。ここで、分類とは、解析情報ＤＢ１２５に格納されているキー情報、および属性情報を、学習情報ＤＢ１２４に格納された決定木６０３に示されたルールに従って、結論を導出することを意味する。すなわち、本例においては、情報漏えいファイルであるか否かの二者択一を行う。

次に、学習情報ＤＢ１２４については、図８を用いて説明する。図８は、学習情報ＤＢの一例を示す図である。

学習情報ＤＢ１２４は、決定木６０３を含み、さらにキー情報ごとに、教師情報（キー情報）と、教師情報（属性）と、教師情報（クラス）とを含む。教師情報（キー情報）は、キー収集装置１１（図１参照）から取得したファイル共有ネットワークを流れるファイルに関する情報である。また、教師情報（属性）は、教師情報（キー情報）あるいは解析情報ＤＢ１２５に格納されたキー情報の項目を加工して得られた情報である。

教師情報（キー情報）は、解析情報ＤＢ１２５に格納されたキー情報への参照あるいはコピーであり、内容は同じである。キー情報には、以下の項目がある。

キー作成日時１２４０１は、キー情報を生成した日時であり、ファイルを共有した日時や、キー情報が更新された日時を表す。

キー取得日時１２４０２は、キー収集装置１１がキー情報を取得した日時を表す。

公開者ＩＤ（トリップ）１２４０３は、ファイルの所有者を一意に識別するための情報である。

ファイル所有ノード情報（ＩＰアドレス・ポート番号）１２４０６は、ファイルを所有しているノードのＩＰアドレスおよびポート番号で、キー情報に格納されているノード情報を表す。

キー所有ノード情報（ＩＰアドレス・ポート番号）１２４０７は、キー情報を所有しているノードのＩＰアドレスおよびポート番号で、キー収集装置１１が、キー情報を取得するにあたって接続した際に利用したＩＰアドレスおよびポート番号を表す。

キー寿命（ＴＴＬ）１２４０８は、キー情報の自動消滅までの残り時間を秒で表す値である。

ダウンロード数（被参照数）１２４０９とは、このキー情報をもとにダウンロードされた累計サイズをメガバイトで表した値である。

ハッシュ値１２４１０とは、ファイルを一意に判別するための識別子で、ＭＤ５やＳＨＡ−１などのハッシュ関数を用いて算出された情報である。

次に、教師情報（属性）に格納される項目について図４、および図５を用いて説明する。教師情報（属性）は、解析情報ＤＢ１２５に格納された属性情報への参照あるいはコピーであり、内容は同じである。

キー公開時差１２４１２は、キー情報に記録されたキー作成日時とキー取得日時との時間差を秒で表した値である。

ファイル種別１２４１１は、キー情報のファイル名に含まれる拡張子をもとに、図４（ｂ）に示した表を用いて、映像、アーカイブ、ドキュメント、画像、ゲームロム、実行形式、ウェブコンテンツ、音楽、ディスクイメージ、その他に分類する。この表はファイル分類の一例であって、この限りではない。

日付文字列の有無１２４１９、および時刻文字列１２４２０の有無は、図４（ａ）に示した日付４０１や時刻４０２の表記パターンのいずれかが、キー情報のファイル名１２５０５に含まれているか否かの結果を表す。

ファイル名構成品詞（固有名詞）１２４１４、ファイル名構成品詞（一般名詞）１２４１４、ファイル名構成品詞（記号）１２４１５、ファイル名構成品詞（括弧）１２４１６、ファイル名構成品詞（数値）１２４１７、ファイル名構成品詞（助詞）１２４１８は、図５（ａ）に示すように、ファイル名あるいはファイル名から拡張子を除いた文字列５０１を単語５０２に分解し、その単語の品詞の出現数５０３を品詞ごとに計数する。ファイル名の文字列を単語に分解する一例として、形態素解析を用いる方法がある。また、品詞として、前述した固有名詞、一般名詞、記号、括弧、数値、助詞がある。ここで挙げた単語分解手法、および品詞の種類は一例であって、この限りではない。

属性情報は必要に応じて拡張（属性１〜属性ｍ）できるものとする。

次に、教師情報（クラス）について説明する。教師情報（クラス）は、個々のキー情報の判断結果を示す情報であり、情報漏えいファイル検知装置１２が検知結果として導き出すことを期待する結論である。本例では、情報漏えいファイル、もしくは通常ファイル（情報漏えいファイルではないファイル）の２種の値を取る。教師情報（クラス）は、学習情報ＤＢ１２４に格納された教師情報（キー情報）、および教師情報（属性）を、操作者が判断することによって、値を設定する。

次に、解析情報ＤＢ１２５については、図２を用いて説明する。

解析情報ＤＢ１２５は、キー情報と、属性情報とを含む。キー情報、および属性情報を構成する個々の項目は、前述した学習情報ＤＢ１２４の教師情報（キー情報）、および教師情報（属性）と同様である。

ここで、属性付与プログラム１２１における処理の流れと属性情報例について、図９、および図２（ｂ）を用いて説明する。図９は、属性付与プログラムにおける処理の流れを示す図である。図２（ｂ）は、属性情報の一例を示す図である。

図９に示すように、属性付与プログラム１２１（図７参照）が開始されると、キー収集装置１１からキー情報を読み込む（ステップＳ９０１）。ここでは、図２に示す内容を含むキー情報（ファイル名１２５０５が「［暴露］ＡＢＣ大学卒業生名簿 ２００８１２２５−０５４１１２．ｘｌｓ」であるキー情報）が読み込まれる。

読み込んだキー情報を構成する各項目を、キー情報として解析情報ＤＢ１２５に記録する（ステップＳ９０２）。

キー情報から、キー作成日時１２５０１を取得する。ここでは、キー作成日時１２５０１として「２００９／１／１ ００：００：００」を取得する（図２参照）（ステップＳ９０３）。

また、キー情報から、キー取得日時１２５０２を取得する。ここでは、キー取得日時１２５０２として「２００９／１／１ ００：００：５０」を取得する（図２参照）（ステップＳ９０４）。

取得したキー取得日時１２５０２からキー作成日時１２５０１を引いた値（キー公開時差）を算出する。ここでは、５０秒とするが、単位を秒に限定するものではない（ステップＳ９０５）。

次に、ファイル名１２５０５（［暴露］ＡＢＣ大学卒業生名簿 ２００８１２２５−０５４１１２．ｘｌｓ）から、拡張子「ｘｌｓ」を抽出する（ステップＳ９０６）。

そして、拡張子とファイル種別の対応表（図４（ｂ））からファイル種別を判定する。ここでは、「ドキュメント」４１３という結果を得る（ステップＳ９０７）。

続いて、ファイル名１２５０５（［暴露］ＡＢＣ大学卒業生名簿 ２００８１２２５−０５４１１２．ｘｌｓ）に、図４（ａ）で表現可能な日付パターン４０１が含まれているかを判定する。ここでは、ファイル名に日付表現パターンと一致する「２００８１２２５」なる文字列が含まれていることから、日付文字列が含まれていると判定する（ステップＳ９０８）。

さらに、ファイル名１２５０５（［暴露］ＡＢＣ大学卒業生名簿 ２００８１２２５−０５４１１２．ｘｌｓ）に、図４（ａ）で表現可能な時刻パターン４０２が含まれているかを判定する。ここでは、ファイル名に時刻表現パターンと一致する「０４５１１２」なる文字列が含まれていることから、日付文字列が含まれていると判定する（ステップＳ９０９）。

次に、ファイル名１２５０５（［暴露］ＡＢＣ大学卒業生名簿 ２００８１２２５−０５４１１２．ｘｌｓ）を図５に示す形態素解析手法によって、単語に分割し、個々の単語の品詞を取得する（ステップＳ９１０）。形態素解析を実行するエンジンは、既存のツールやライブラリなどを導入して利用してよい。ここでは解析の結果、「［」が括弧、「暴露」が一般名詞、「］」が括弧、「ＡＢＣ」が固有名詞、「大学」が一般名詞、「卒業」が一般名詞、「名簿」が一般名詞、「２００８１２２５」が数値、「−」が記号、「０５４１１２」が数値、が得られる。

形態素解析によって得られた結果をもとに、各品詞の出現数を計数する（ステップＳ９１１）。ここでは、計数対象として、固有名詞、一般名詞、記号、括弧、数値、および助詞を選択する。結果、ファイル名構成品詞（固有名詞）１２５１３＝１、ファイル名構成品詞（一般名詞）１２５１４＝４、ファイル名構成品詞（記号）１２５１５＝４、ファイル名構成品詞（括弧）１２５１６＝２、ファイル名構成品詞（数値）１２５１７＝２、およびファイル名構成品詞（助詞）１２５１８＝０を得る。なお、計数対象としての品詞として、動詞や、可算名詞などを選んでもよく、さらにファイル名構成品詞（固有名詞）１２５１４の出現数とファイル名構成品詞（一般名詞）１２５１５の出現数とを演算（例えば加算）したファイル名構成品詞数を新たに定義して選択しても構わない。

最後に、これまでの処理によって得られたキー公開時差１２５１２＝５０秒、ファイル種別１２５１１＝ドキュメント、日付文字列の有無１２５１９＝あり、時刻文字列の有無１２５２０＝あり、ファイル名構成品詞（固有名詞）１２５１３＝１、ファイル名構成品詞（一般名詞）１２５１４＝４、ファイル名構成品詞（記号）１２５１５＝４、ファイル名構成品詞（括弧）１２５１６＝２、ファイル名構成品詞（数値）１２５１７＝２、およびファイル名構成品詞（助詞）１２５１８＝０、を解析情報ＤＢ１２５に記録する（ステップＳ９１２）。

次に、キー学習プログラム１２２における処理の流れと決定木の例について、図１０、および図６を用いて説明する。図１０は、キー学習プログラムにおける処理の流れを示す図である。図６は、教師情報、および決定木の一例を示す図である。

まず、キー学習プログラム１２２は、解析情報ＤＢ１２５からキー情報と属性情報との組を読み込む（ステップＳ１００１）。ここでは、図６に示す教師情報６０１の一番上のレコード（ファイル名が「ＸＸデビュー曲 シングル．ｍｐ３」であるキー情報）が読み込まれたとする。

次に、読み込まれたキー情報、および属性情報を操作者が閲覧し、このキー情報が情報漏えいファイルに関連する情報であるかを判断する（ステップＳ１００２）。ここでは、「ＸＸデビュー曲 シングル．ｍｐ３」が、情報漏えいファイルとは関わりがないと判断できることから、情報漏えいファイルではないと判断する。

ステップＳ１００２の判断の結果（情報漏えいファイル＝いいえ）を教師情報（クラス）に設定する（ステップＳ１００３）。

そして、ステップＳ１００１で読み込んだキー情報を教師情報（キー情報）として、属性情報を教師情報（属性）として、それぞれ学習情報ＤＢ１２４に記録する（ステップＳ１００４）。

さらに、ステップＳ１００３で設定した教師情報（クラス）を学習情報ＤＢ１２４に記録する（ステップＳ１００５）。これらの教師情報（キー情報）、教師情報（属性）、および教師情報（クラス）の組が１つのキー情報に対応する教師情報となる。

次に、読み込んだキー情報の数と、予め設定した学習数とを比較し、読み込んだキー情報の数が学習数よりも多いか判定する（ステップＳ１００６）。ここでは、学習数が１０００であるとする。この段階で読み込んだキー情報の数が１であるため、ステップＳ１００１に戻って、さらに教師情報を生成する。

ここからは、ステップＳ１００１〜１００６を繰り返し、ステップＳ１００６で一定数に達したと判定されたことを前提に、次の処理へと進む。すなわち、この段階で、教師情報が１０００個分のキー情報から生成されていることを意味する。

学習情報ＤＢ１２４に格納された教師情報６０１を決定木アルゴリズム６０２に入力して、決定木６０３を得る（ステップＳ１００７）。ここでは、図６に示すように、決定木アルゴリズムとしてＣ４．５を利用し、決定木６０３として図示したルールを得る。ただし、決定木アルゴリズムの種類やアルゴリズムに与えるパラメータは限定するものではない。

ステップＳ１００７によって得られた決定木６０３に基づき、キー学習プログラム１２２が実行可能な判定プログラム６０４を生成する（ステップＳ１００８）。ここでは、図６に示す決定木６０３から、条件分岐を実装した判定用プログラムコードを生成する。

最後に、判定用プログラムコード６０４を決定木６０３として学習情報ＤＢ１２４に記録する（ステップＳ１００９）。

次に、キー解析プログラム１２３における処理の流れについて、図１１を用いて説明する。

まず、キー解析プログラム１２３は、解析情報ＤＢ１２５にキー情報と属性情報の組が存在するか否かを問い合わせる（ステップＳ１１０１）。

その結果、キー情報と属性情報の組が存在しなかった場合は、ステップＳ１１０１に戻る。また、キー情報と属性情報の組が存在した場合は、次の処理へと進む（ステップＳ１１０２）。すなわち、解析情報ＤＢ１２５にキー情報と属性情報の組が格納されるまで待つ処理をする。

解析情報ＤＢ１２５にキー情報と属性情報の組が格納されていれば、キー情報と属性情報の組を解析情報ＤＢ１２５から読み込む（ステップＳ１１０３）。

読み込んだキー情報と属性情報の組を、学習情報ＤＢ１２４に格納された決定木を用いて検査し、情報漏えいファイルであるか否かを判定する（ステップＳ１１０４）。

判定結果を参照し、情報漏えいファイルでなかった場合は、ステップＳ１１０１に戻る。また、情報漏えいファイルであった場合は、次の処理へと進む（ステップＳ１１０５）。

そして、情報漏えいファイルと判定されたキー情報をアラートとして操作者に通知する（ステップＳ１１０６）。アラートは、画面表示、メール、インスタントメッセージ、電話、あるいは無線呼び出しなどの通信手段を用いて、ファイル名１２５０５、ファイルサイズ１２５０３、キー作成日時１２５０１、キー取得日時１２５０２、ファイル所有ノード情報１２５０６、ダウンロード数１２５０９などの項目を含む情報を警告することをいう。

さらに、情報漏えいファイルと判定されたキー情報をキー送信装置１３に通知する（ステップＳ１１０７）。キー送信装置１３に通知する内容として、ファイル名１２５０５、ハッシュ値１２５１０、キー作成日時１２５０１、公開者ＩＤ（トリップ）１２５０３、ファイル所有ノード情報（ＩＰ・ポート番号）１２５０６、キー所有ノード情報（ＩＰ・ポート番号）１２５０７などを含む。

ここで、図１に示すキー送信装置１３のキー送信プログラム１３１における処理の流れについて、図示はしないが説明する。

キー送信プログラム１３１は、情報漏えいファイル検知装置１２のキー解析プログラム１２３から受け取ったキー情報をもとに、当該キー情報を無効にしてインターネット５０に接続された１つあるいは複数のファイル共有ノード６１に送信する。ここでキー情報を無効にするとは、キー情報に含まれるファイル所有ノード情報（ＩＰアドレス・ポート番号）１２５０６を、囮ノードや、自ノード（ＩＰアドレスが１２７．０．０．１）など、本来のノードのＩＰアドレスとは異なるノードのＩＰアドレスに書き換えることによって、ダウンロードが出来ないように、キー情報に細工することをいう。

次に、本実施形態の情報漏えいファイル検知システムの動作を、図１２を用いて説明する。図１２は、本実施形態の攻撃ノード群検知システムの動作の一例を示す図である。

図１２では、インターネット５０（図１参照）に接続された複数のファイル共有ノード６１、６２がウイルスに感染したことによって情報漏えい事故が発生した場合について説明する。なお、図１２において、キー収集装置１１、情報漏えいファイル検知装置１２、キー送信装置１３は、図１に示したものと同様であるので、説明を省略する。

まず、ファイル共有ノード６１のうちの１台が、ウイルスに感染する（ステップＳ１２０１）。次に、そのファイル共有ノード６１において、ウイルスの仕業によって個人情報あるいは機密情報がファイル共有ソフトにアップロード設定され、情報漏えい事故が発生する（ステップＳ１２０２）。

情報漏えい事故によって放出されたファイルに関するキー情報は、キー収集装置１１のキー収集プログラム１１１によって、通常のファイルに関するキー情報と共に収集される（ステップＳ１２０３）。

情報漏えいファイル検知装置１２は、属性付与プログラム１２１によってキー収集装置１１からキー情報を取得し（ステップＳ１２０４）、そのキー情報に含まれるキー情報のそれぞれについて関連する属性を導出し、付与する（ステップＳ１２０５）。操作者は、ステップＳ１２０５の処理までに得られたキー情報に関する情報（キー情報、および属性情報）から、それぞれのキー情報について、情報漏えいに関するファイルであるか否かを判断し（ステップＳ１２０６）、判断結果をクラスとして付与する（ステップＳ１２０７）。これらの処理によって得られたキー情報、属性情報、クラスをまとめて教師情報６０１といい、一定数集まった教師情報をキー学習プログラム１２２の決定木アルゴリズム６０２に入力して決定木学習を行う（ステップＳ１２０８）。決定木学習によって得られた情報漏えいファイルの判定用決定木６０３をキー解析プログラム１２３用に設定する（ステップＳ１２０９）。

ここで新たにファイル共有ノード６２がウイルスに感染したとする（ステップＳ１２１０）。次に、そのファイル共有ノード６２において、ウイルスの仕業によって個人情報あるいは機密情報がファイル共有ソフトにアップロード設定され、情報漏えい事故が発生する（ステップＳ１２１１）。

新たな情報漏えい事故によって放出されたファイルに関するキー情報は、キー収集装置１１のキー収集プログラム１１１によって、通常のファイルに関するキー情報と共に収集される（ステップＳ１２１２）。

情報漏えいファイル検知装置１２は、属性付与プログラム１２１によってキー収集装置１１からキー情報を取得し（ステップＳ１２１３）、そのキー情報に含まれるキー情報のそれぞれについて関連する属性を導出し、付与する（ステップＳ１２１４）。さらに、キー解析プログラム１２３は、ステップＳ１２０９で設定された決定木６０３に従い、ファイル共有ノード６２から取得したキー情報について、決定木判定を行う（ステップＳ１２１５）。そして、情報漏えいファイルであるのと判定結果から、このキー情報に関する情報（ここでは、ファイル名１２５０５、ファイルサイズ１２５０３、およびハッシュ値１２５１０）をキー送信装置１３のキー送信プログラム１３１に送信する（ステップＳ１２１６）。

情報漏えいファイル検知装置１２からキー情報に関する情報を受け取ったキー送信装置１３のキー送信プログラム１３１は、ファイル名１２５０５、ファイルサイズ１２５０３、ハッシュ値１２５１０はそのままに、所有ノード情報（ＩＰアドレス・ポート番号）１２５０６をＩＰアドレス＝１２７．０．０．１、ポート番号＝１００００に設定して、キー情報を無効にする（ステップＳ１２１７）。次に、無効にしたキー情報を、ファイル共有ノード６１、６２など、多数のノードに対して送信する（ステップＳ１２１８）。

上記の処理によって、ファイル共有ノード６１、６２は、無効にしたキー情報を保有することになり、このキー情報を利用してファイル共有ノード６２が漏えいしてしまったファイルをダウンロードしようとしても、無効にしたキー情報の所有ノード情報（ＩＰアドレス・ポート番号）１２５０６に記載されたＩＰアドレス＝１２７．０．０．１、ポート番号＝１００００にダウンロード接続することになり、ダウンロードができなくなる。

１０：情報漏えいファイル検知システム、１１：キー収集装置、１２：情報漏えいファイル検知装置、１３：キー送信装置、５０：インターネット、６１：ファイル共有ノード、６２：ファイル共有ノード、１１１：キー収集プログラム、１２１：属性付与プログラム、１２２：キー学習プログラム、１２３：キー解析プログラム、１２４：学習情報ＤＢ、１２５：解析情報ＤＢ、１３１：キー送信プログラム、１２０１：演算部、１２０２：メモリ、１２０３：入力部、１２０４：表示部、１２０５：通信部、１２０６：記憶部。

Claims (11)

1. ファイル共有ネットワークに接続し、
   前記ファイル共有ネットワークに流通するファイルに関して収集されたキー情報を格納するキー情報データベースを備えるキー情報収集装置と通信可能に接続され、
   前記キー情報データベースから、キー作成日時、キー取得日時、ファイルサイズ、公開者ＩＤ（トリップ）、ファイル名、ファイル所有ノード情報（ＩＰアドレス・ポート番号）、キー所有ノード情報（ＩＰアドレス・ポート番号）、キー寿命（ＴＴＬ）、ダウンロード数（被参照数）、ハッシュ値を含む前記キー情報を取得し、
   該キー情報に含まれる前記ファイル名から導出するファイルの種別と、ファイル名を構成する単語の品詞の出現数と、ファイル作成日時と該ファイルに関わるキー作成日時との差と、日時を表す文字列の有無と、を属性情報として求め、前記キー情報と前記属性情報とを解析情報データベースに格納し、
   前記キー情報および前記属性情報の内容に基づいて、情報漏えいファイルを判定するためのルールである決定木を作成して学習情報データベースに格納し、
   前記解析情報データベースに格納された前記キー情報および前記属性情報と、前記学習情報データベースに格納された前記決定木とに基づき、該キー情報の取得元ファイルが情報漏えいファイルであるか否かを判定する
   ことを特徴とする情報漏えいファイル検知装置。
2. 請求項１記載の情報漏えいファイル検知装置において、
   前記解析情報データベース内の前記キー情報を教師情報（キー情報）として、前記属性情報から教師情報（属性）を取得し、
   該教師情報（キー情報）および該教師情報（属性）に基づいて、操作者が漏えいファイルであるか否かを判断した結果を教師情報（クラス）として受け付け、
   該教師情報（キー情報）と、該教師情報（属性）と、該教師情報（クラス）とを、組として前記学習情報データベースに格納し、
   前記学習情報データベースの該教師情報（キー情報）と、該教師情報（属性）と、該教師情報（クラス）との組を複数含む教師情報に基づき、前記決定木を作成する
   ことを特徴とする情報漏えいファイル検知装置。
3. 請求項１または２に記載の情報漏えいファイル検知装置において、
   前記演算装置が、新たに作成した教師情報に基づいて生成、更新した前記決定木に対応して、情報漏えいファイルの前記判定方法を変更する
   ことを特徴とする情報漏えいファイル検知装置。
4. 請求項１から３のいずれか一に記載の情報漏えいファイル検知装置において、
   前記演算装置が、前記決定木との比較によって情報漏えいファイルであると判定した結果に応じて、該ファイルに関わる前記キー情報をキー送信装置に出力する
   ことを特徴とする情報漏えいファイル検知装置。
5. 請求項１から４のいずれか一に記載の情報漏えいファイル検知装置において、
   前記ファイル共有ネットワークから共有ファイルに関する情報を収集し、前記キー情報を出力可能とし、該ファイル共有ネットワークに接続する任意のノードに対して任意の前記キー情報を送出するキー送信装置と通信可能に接続され、
   前記決定木との比較によって情報漏えいファイルであると判定した結果に応じて、該ファイルに関わる前記キー情報を前記キー送信装置に送信する
   ことを特徴とする情報漏えいファイル検知装置。
6. ファイル共有ネットワークに流通するファイルに関する情報を収集し、情報漏えいファイルの拡散を防止する情報漏えいファイル検知装置において用いられる情報漏えいファイル検知方法であって、
   前記情報漏えいファイル検知装置は、演算部とデータベースとを備え、
   前記データベースは、前記キー収集装置から得られるキー作成日時、キー取得日時、ファイルサイズ、公開者ＩＤ（トリップ）、ファイル名、ファイル所有ノード情報（ＩＰアドレス・ポート番号）、キー所有ノード情報（ＩＰアドレス・ポート番号）、キー寿命（ＴＴＬ）、ダウンロード数（被参照数）、ハッシュ値、のいずれか一つ以上の項目を含む情報をキー情報として、該キー情報に含まれるファイル名の拡張子から導出するファイルの種別と、ファイル名を構成する単語の品詞の出現数と、ファイル作成時間と該ファイルに関わるキー作成時間との差と、日時を表す文字列の有無とを属性情報として、キー情報および属性情報の内容に基づいて情報漏えいファイルを判定するためのルールを決定木として記憶し、
   前記演算部は、キー情報および属性情報と、決定木とを比較し、該キー情報が情報漏えいファイルであるか否かを判定する
   ことを特徴とする情報漏えいファイル検知方法。
7. 請求項６に記載の情報漏えいファイル検知方法であって、
   ファイル共有ネットワークから共有ファイルに関する情報を収集し、情報漏えいファイルの拡散を防止する情報漏えいファイル検知装置において用いられる情報漏えいファイル検知方法であって、
   前記情報漏えいファイル検知装置は、演算部とデータベースとを備え、
   前記データベースは、前記キー情報を教師情報（キー情報）として、属性情報を教師情報（属性）として一定数切り出し、さらに該教師情報（キー情報）および該教師情報（属性）に基づいて操作者が漏えいファイルであるか否かを判断した結果を教師情報（クラス）として設定して得た、該教師情報（キー情報）と、該教師情報（属性）と、該教師情報（クラス）とをそれぞれ記憶し、
   前記演算部は、該教師情報（キー情報）と、該教師情報（属性）と、該教師情報（クラス）との組を複数組作成して得た教師情報を、決定木学習アルゴリズムに入力することによって、情報漏えいファイルを判定するための決定木を生成する
   ことを特徴とする情報漏えいファイル検知方法。
8. 請求項６または７に記載の情報漏えいファイル検知方法であって、
   前記決定木の生成、更新に応じて、情報漏えいファイルの判定アルゴリズムを変更することを特徴とする
   ことを特徴とする情報漏えいファイル検知方法。
9. 請求項６から８のいずれか一に記載の情報漏えいファイル検知方法であって、
   前記決定木との比較によって情報漏えいファイルであると判定した結果に応じて、該ファイルに関わる前記キー情報をキー送信装置に出力する
   ことを特徴とする情報漏えいファイル検知方法。
10. 請求項６から９のいずれか一に記載の情報漏えいファイル検知方法であって、
    前記ファイル共有ネットワークから共有ファイルに関する情報を収集しキー情報を出力可能とし、該ファイル共有ネットワークに接続する任意のノードに対して任意のキー情報を送出するキー送信装置と通信可能に接続される情報漏えいファイル検知装置における情報漏えいファイル検知方法であって、
    前記決定木との比較によって情報漏えいファイルであると判定した結果に応じて、該ファイルに関わる前記キー情報を前記キー送信装置に送信する
    ことを特徴とする情報漏えいファイル検知方法。
11. コンピュータを、請求項１から５のいずれか一に記載の情報漏えいファイル検知装置として、機能させるための情報漏えいファイル検知プログラム。

Images