JP2015225500A - 認証用情報の窃取検知方法、認証用情報の窃取検知装置、及びプログラム - Google Patents

認証用情報の窃取検知方法、認証用情報の窃取検知装置、及びプログラム Download PDF

Info

Publication number
JP2015225500A
JP2015225500A JP2014109914A JP2014109914A JP2015225500A JP 2015225500 A JP2015225500 A JP 2015225500A JP 2014109914 A JP2014109914 A JP 2014109914A JP 2014109914 A JP2014109914 A JP 2014109914A JP 2015225500 A JP2015225500 A JP 2015225500A
Authority
JP
Japan
Prior art keywords
information
login
authentication information
attack
source
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2014109914A
Other languages
English (en)
Inventor
聡美 本多
Toshimi Honda
聡美 本多
悟 鳥居
Satoru Torii
悟 鳥居
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fujitsu Ltd
Original Assignee
Fujitsu Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fujitsu Ltd filed Critical Fujitsu Ltd
Priority to JP2014109914A priority Critical patent/JP2015225500A/ja
Priority to US14/711,290 priority patent/US20150350193A1/en
Priority to EP15168361.2A priority patent/EP2950228A1/en
Publication of JP2015225500A publication Critical patent/JP2015225500A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2135—Metering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/146—Tracing the source of attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities

Abstract

【課題】ログイン要求元の情報を手掛かりにアクセスログから認証用情報が窃取されたことを検知可能とする。
【解決手段】ログイン成功により所定サービスをユーザに提供する通信装置に関して、ユーザがログインに用いる認証用情報の窃取を情報処理装置が検知する方法であって、情報処理装置が、ログイン要求元の情報と、ログイン要求元がログインに際して通信装置に提示した認証用情報と、当該認証用情報を用いたログインの成否を示す情報とを含むログイン要求毎のレコードを記憶し、通信装置に対する攻撃元の情報を通信装置が存するネットワークの管理装置から受信し、攻撃元の情報と一致するログイン要求元の情報を含むレコードにログインの成功を示す情報が記憶されているときに当該レコード中の認証用情報が攻撃元に窃取されたと判定し、窃取されたと判定した認証用情報を出力することを含む。
【選択図】図４

Description

本開示は、認証用情報の窃取検知方法、認証用情報の窃取検知装置、及びプログラムに関する。
従来、ネットワーク管理者（ＮＷ管理者）が管理するネットワークに接続された通信装置（例えば、サーバ）をユーザ（ネットワークユーザ（ＮＷユーザ）と称する）に貸与することが行われている。ＮＷユーザは、貸与された通信装置を用いてエンドユーザに対し所定のサービス（Ｗｅｂサービス、メールサービス、クラウドサービス等）を提供する。
典型的には、ネットワークサービスプロバイダ（ＮＳＰ）がＮＷ管理者として管理するネットワーク上のサーバを企業や学校のような各種の団体或いは個人であるＮＷユーザに貸与する「レンタルサーバ」がある。ＮＷユーザは、貸与されたサーバを用いてＷｅｂサイト（Ｗｅｂサービス）やメールサービス等を運営する。エンドユーザは、各種の団体の所属員であったり、そのような制限のない一般であったりする。
各エンドユーザは、サービスの利用に当たり、予め登録した認証用情報（典型的には、エンドユーザ名及びパスワード）を用いてＮＷユーザのシステムにログインする。エンドユーザのログイン記録（アクセスログ）は、例えば、サービスを提供するサーバにて記録される。アクセスログは、各ＮＷユーザによって管理されるため、ＮＷ管理者はアクセスログにアクセスすることはできない。
近年、エンドユーザの認証用情報がサイバー攻撃により窃取され、攻撃者がエンドユーザになりすましてシステムに不正ログインする事象が発生している。このため、ＮＷユーザからは、エンドユーザ保護の観点で、認証用情報（特にエンドユーザ名）が窃取されていないか否かを知りたいとの要望がある。
特開２００８−２２７９３１号公報 特開２００４−２２０３７３号公報 特開２０１０−２３９３９２号公報 特開２００５−２３４７２９号公報 特開２００５−３３２１５２号公報 特開２０１２−２１２３５４号公報
しかしながら、ＮＷユーザは、サービスへのアクセスログの内容から認証用情報の窃取を判定することは困難であった。これは以下の理由による。典型的なアクセスログは、ログイン要求元（エンドユーザ）のＩＰアドレス（送信元ＩＰアドレス）と、ログインに用いたエンドユーザ名及びパスワードと、ログインの成否とを１つのレコードとして記録する。
エンドユーザ名及びパスワードが窃取されている場合、ログインが不正か否かを判定するレコード中の情報要素はＩＰアドレスとなる。しかしながら、エンドユーザのＩＰアドレスは、通常、Dynamic Host Configuration Protocol（ＤＨＣＰ）サーバによって貸し
出されるものであるので、必ずしも同じＩＰアドレスとはならない。また、エンドユーザが、複数の端末を使い分けたり、ログインを試行する場所を変えたりすることなどによっても、ログイン要求元のＩＰアドレスは異なる結果となる。
従って、アクセスログ中の或るレコードが窃取されたエンドユーザ名及びパスワードを用いた不正ログインのレコードであったとしても、ＮＷユーザは当該レコードのＩＰアドレスから当該ログインが不正ログインか否かを判断することができなかった。
本発明の１つの側面では、ログイン要求元の情報を手掛かりにアクセスログを用いて認証用情報が窃取されたことを検知可能な技術を提供することを目的とする。
１つの側面は、ログイン成功により所定サービスをユーザに提供する通信装置に関して、ユーザがログインに用いる認証用情報の窃取を情報処理装置が検知する方法であって、
前記情報処理装置が、ログイン要求元の情報と、ログイン要求元がログインに際して前記通信装置に提示した認証用情報と、当該認証用情報を用いたログインの成否を示す情報とを含むログイン要求毎のレコードを記憶し、
前記情報処理装置が、前記通信装置に対する攻撃元の情報を前記通信装置が存するネットワークの管理装置から受信し、
前記情報処理装置が、前記攻撃元の情報と一致する前記ログイン要求元の情報を含むレコードにログインの成功を示す情報が記憶されているときに当該レコード中の認証用情報が前記攻撃元に窃取されたと判定し、
前記攻撃元に窃取されたと判定した認証用情報を出力する
ことを含む認証用情報の窃取検知方法である。
１つの側面では、ログイン要求元の情報を手掛かりにアクセスログを用いて認証用情報が窃取されたことを検知することが可能となる。
図１は、実施形態に係る認証用情報の窃取検知方法が適用されるネットワークシステムの一例を示す図である。 図２は、認証用情報の窃取検知方法の説明図である。 図３は、サーバ及び管理装置のそれぞれに適用可能な情報処理装置（コンピュータ）の構成例を示す図である。 図４は、ＩＤＳ装置及びＩＤＳログ分析装置、並びにアクセスログ検証装置の機能的な構成を模式的に示す図である。 図５は、ＩＤＳログＤＢのデータ構造例を示す図である。 図６は、被攻撃先群分析部における処理の説明図である。 図７は、アクセスログＤＢのデータ構造例を示す図である。 図８は、アクセスログ検証部の動作例を示すフローチャートである。 図９は、アクセスログ検証部の処理の説明図である。 図１０は、被窃取ユーザ名リストのデータ構造例を示す図である。 図１１は、インタフェース部が出力する表示画面の例を示す。
以下、図面を参照して本発明の実施形態について説明する。実施形態の構成は例示であり、本発明は、実施形態の構成に限定されない。
＜システム構成例＞
図１は、本実施形態に係るネットワーク管理方法（認証用情報の窃取検知方法）が適用
されるネットワークシステムの一例を示す図である。図２は、認証用情報の窃取検知方法の説明図である。
図１において、ネットワーク１は、ネットワーク管理者（ＮＷ管理者）によって管理されるネットワークである。ネットワーク１は、例えば、通信装置がInternet Protocol（
ＩＰ）パケット（以下単に「パケット」と表記）を用いてデータを送受信するＩＰ網である。例えば、ネットワーク１は、ネットワークサービスプロバイダ（ＮＳＰ）によって管理されるプロバイダ網である。但し、ＮＷ管理者は、ＮＳＰに制限されない。
ネットワーク１には、複数の通信装置が接続されている。図１では、複数の通信装置の一例として、サーバ装置（以下単に「サーバ」と表記）２Ａ，２Ｂ及び２Ｃがネットワーク１内に存在している。以下の説明において、サーバ２Ａ，２Ｂ，２Ｃを区別しない場合には、サーバ２と表記する。
各サーバ２Ａ，２Ｂ，２Ｃのそれぞれは、ＮＷ管理者からネットワークユーザ（ＮＷユーザ）に貸与されている。例えば、サーバ２Ａは、企業であるＮＷユーザＡに貸与されている。サーバ２Ｂは、大学であるＮＷユーザＢに貸与されている。サーバ２Ｃは、或る団体であるＮＷユーザＣに貸与されている。但し、ＮＷユーザは、企業、学校、企業や学校以外の団体、個人のいずれであっても良い。
各ＮＷユーザＡ，Ｂ，Ｃのそれぞれは、貸与されたサーバ２を用いて、エンドユーザに向けたネットワークサービスを提供する。サーバ２Ａ，サーバ２Ｂ，サーバ２Ｃのそれぞれは、各ＮＷユーザＡ，Ｂ，Ｃのサービス提供システムとして動作する。例えば、各サーバ２Ａ，２Ｂ，２Ｃは、各ＮＷユーザＡ，Ｂ，Ｃがそれぞれ運営するＷｅｂサイトを提供するＷｅｂサービス提供システムとして動作する。エンドユーザは、「ユーザ」の一例である。
サーバ２Ａで運営されるＷｅｂサイトに係るサービス提供システム（「システムＡ」と称する）は、企業の所属員である複数の（ｎ人（ｎは正の整数）の）エンドユーザによって利用される。システムＡの各エンドユーザは、自身が使用する端末３を用いてサーバ２Ａ（システムＡ）にアクセスし、Ｗｅｂサイトの閲覧を通じて、テキスト、画像、サウンド，ビデオのような様々な情報の提供を受けることができる。
サーバ２Ｂで運営されるＷｅｂサイトに係るサービス提供システム（「システムＢ」と称する）は、大学の学生や職員である複数の（ｎ人の）エンドユーザによって利用される。システムＢの各エンドユーザは、自身が使用する端末３を用いてサーバ２Ｂ（システムＢ）にアクセスし、Ｗｅｂサイトを閲覧することができる。
サーバ２Ｃで運営されるＷｅｂサイトに係るサービス提供システム（「システムＣ」と称する）は、団体の所属員である複数の（ｎ人の）エンドユーザによって利用される。システムＣの各エンドユーザは、自身が使用する端末３を用いてサーバ２Ｃ（システムＣ）にアクセスし、Ｗｅｂサイトを閲覧することができる。
ＮＷユーザが提供するネットワークサービスは、Ｗｅｂサイト以外のメール，クラウドのような様々なサービスを含み、提供されるサービスの内容に制限はない。但し、各エンドユーザは、サービス利用に当たり、予め登録された認証用情報（本実施形態ではエンドユーザ名及びパスワード）を用いてシステムにログインする。
サービス提供システムとして動作する各サーバ２Ａ，２Ｂ，２Ｃのそれぞれは、エンドユーザが端末３を用いて当該システムへのログインを試行した記録をアクセスログとして
記憶する。すなわち、サーバ２Ａは、システムＡへのアクセスログを記憶し、サーバ２Ｂは、システムＢへのアクセスログを記憶し、サーバ２Ｃは、システムＣへのアクセスログを記憶する。各アクセスログは、少なくとも、アクセス者（ログイン要求元）のＩＰアドレス，認証用情報（エンドユーザ名及びパスワード），ログインの成否を示す情報を含む１以上のレコードを記憶する。エンドユーザ名は、「ユーザ識別子」、「ユーザＩＤ」の一例である。
ネットワーク１は、外部ネットワーク（外部ＮＷ）４と接続されている。外部ネットワーク４は、例えば、インターネット（公衆網），イントラネットに代表されるＩＰ網である。ネットワーク１に接続された端末３は、パケットの送受信によって、外部ネットワーク４に接続された端末との間で通信を行うことができる。
各サーバ２Ａ，２Ｂ，２Ｃのそれぞれは、外部ネットワーク４に接続された攻撃者の端末５からパケットを用いたサイバー攻撃（図１において破線矢印で示す）を受ける虞がある。このため、ＮＷ管理者は、ネットワーク１と外部ネットワーク４との間に、ネットワーク管理装置（以下「管理装置」と表記する）６を設けている。管理装置６は、外部ネットワーク４からネットワーク１へ入るパケットの経路上に設置されている。
管理装置６は、サイバー攻撃の監視のための侵入検知システム（Intrusion Detection System（ＩＤＳ）装置７（図２参照）と呼ばれるセキュリティ装置を含む。ＩＤＳ装置７は、外部ネットワーク４からネットワーク１に入る複数のパケットがサーバ攻撃などの特異事象のパターンを示すか否かを判定する。
複数のパケットが特異事象のパターンを示す場合には、ＩＤＳ装置７はログ（ＩＤＳログ）への記録を行う。ＩＤＳ装置７は、パケットがサーバ攻撃などの特異事象のパターンであるか否かを判定する際には、予め登録してある特異事象のパターンと合致するかに基いて判定したり、過去のパターンとの比較に基づいて判定したりする。
管理装置６は、更に、ＩＤＳ装置７から出力されるログを分析するＩＤＳログ分析装置８（以下「分析装置８」と表記する）を含んでいる（図２参照）。分析装置８は、ＩＤＳ装置から出力されたＩＤＳログの解析を行い、攻撃目的でサーバ２へアクセスしたＩＰアドレス（以下、「攻撃元ＩＰ」と表記することもある）を出力する（図２＜１＞）。出力された攻撃元ＩＰは、攻撃対象となったサーバ２へ送信される。
サーバ２（各サーバ２Ａ，２Ｂ，２Ｃ：図２ではサーバ２Ａを例示）は、アクセスログ検証装置９（以下「検証装置９」と表記する）を含んでいる（図２参照）。検証装置９は、管理装置６の分析装置８から攻撃元ＩＰを受け取ると、アクセスログを参照し、攻撃元ＩＰによるログインが成功していたか否かを判定する（図２＜２＞）。
すなわち、検証装置９は、ログイン要求元のＩＰアドレスが攻撃元ＩＰであり（すなわち、ログイン要求元情報と攻撃元情報とが一致し）、且つログイン成功の情報を含むレコードがアクセスログに記憶されているか否かを判定する。このとき、該当するレコードがアクセスログから発見された場合（図２＜２＞，ＹＥＳ）には、検証装置９は以下の処理を行う。すなわち、検証装置９は、当該レコード中のエンドユーザ名を「被窃取ユーザ名」と判断する（図２＜３＞）。「被窃取ユーザ名」とは、攻撃者によって窃取されたエンドユーザ名を示す。
検証装置９は、被窃取ユーザ名を出力する（図２＜４＞）。被窃取ユーザ名は、例えばリストに登録される。ＮＷユーザＡは、リストの参照によって被窃取ユーザ名を知ると、当該被窃取ユーザ名でのログインを拒絶するようにシステムＡの設定を変更することがで
きる。また、ＮＷユーザＡは、被窃取ユーザ名を有するエンドユーザに対し、エンドユーザ名の変更を依頼することができる。このとき、ＮＷユーザＡは、パスワードの変更も依頼し得る。
＜情報処理装置の構成例＞
図３は、サーバ２及び管理装置６のそれぞれに適用可能な情報処理装置（コンピュータ）の構成例を示す図である。図３において、情報処理装置１０は、バスＢを介して接続されたCentral Processing Unit（ＣＰＵ）１１と、メモリ（主記憶装置）１２と、補助記
憶装置１３と、通信インタフェース（通信ＩＦ）１４と、入出力装置１５とを含む。ＣＰＵ１１は、「プロセッサ」、或いは「制御装置」の一例である。
メモリ１２は、不揮発性記憶媒体と、揮発性記憶媒体とを含む。不揮発性記憶媒体は、例えば、Read Only Memory（ＲＯＭ）である、揮発性記憶媒体は、例えば、Random Access Memory（ＲＡＭ）である。メモリ１２は、ＣＰＵ１１の作業領域として使用される。
補助記憶装置１３は、例えば、ハードディスク，Solid State Drive（ＳＳＤ），Electrically Erasable Programmable Read-Only Memory（ＥＥＰＲＯＭ），フラッシュメモリなどの少なくとも１つである。補助記憶装置１３は、ＣＰＵ１１によって実行されるプログラムや、プログラムの実行に際して使用されるデータを記憶する。メモリ１２，補助記憶装置１３のそれぞれは、「記憶装置」、「記憶媒体」の一例である。
通信ＩＦ１４は、通信に係る信号変換、プロトコル変換を司る装置である。通信ＩＦ１４として、例えば、ネットワークカード、或いはネットワークインタフェースカード（ＮＩＣ）と呼ばれる通信インタフェース装置が適用される。通信ＩＦ１４は、「送信装置」、「受信装置」の一例である。
入出力装置１５は、入力装置と出力装置とを含む。入力装置は、キー，ボタン，マウス等のポインティングデバイス，タッチパネルなどの少なくとも１つを含み、情報の入力に使用される。出力装置は、例えばディスプレイ装置（表示装置）であり、情報の表示に使用される。入出力装置１５は、マイクロフォンのような音声入力装置、スピーカのような音声出力装置を含むこともある。
ＣＰＵ１１は、補助記憶装置１３に記憶されたプログラムをメモリ１２にロードして実行する。これによって、情報処理装置１０は、管理装置６として動作したり、サーバ２として動作したりすることができる。
＜機能的構成＞
図４は、管理装置６に備えられたＩＤＳ装置７及びＩＤＳログの分析装置８、並びにサーバ２（各サーバ２Ａ，２Ｂ，２Ｃ）に備えられた検証装置９の機能的な構成を模式的に示す図である。
＜＜管理装置＞＞
ＩＤＳ装置７は、攻撃検知部７１と、ＩＤＳログデータベース（ＩＤＳログＤＢ）７２とを含む。分析装置８は、被攻撃先群分析部８１と、攻撃元分析部８２と、攻撃元情報送信部８３とを含む。
管理装置６として動作する情報処理装置１０のＣＰＵ１１は、プログラムを実行することによって、攻撃検知部７１，被攻撃先群分析部８１，攻撃元分析部８２，及び攻撃元情報送信部８３として動作する。ＩＤＳログＤＢ７２は、管理装置６として動作する情報処理装置１０の補助記憶装置１３，或いはメモリ１２に記憶される。
[ＩＤＳ装置]
ＩＤＳ装置７は、サイバー攻撃の監視のための侵入検知システム（ＩＤＳ）を運用する装置である。ＩＤＳ装置７は、一例として、攻撃元からのブルートフォース攻撃を検知する。ブルートフォース攻撃とは、考えられる全ての鍵をリストアップすることで暗号文の復号を試みる攻撃である。効率的な攻撃の実施のために、辞書に収集されている単語を候補として検索する辞書攻撃や、システムに初期設定される値を用いた攻撃も存在する。ブルートフォース攻撃には、或るシステムから漏洩したと考えられる大量の識別子（ＩＤ）及びパスワードを別のシステムへのログインに使用する攻撃も含まれる。
ＩＤＳ装置７は、ブルートフォース攻撃を検知し、特定のＩＰアドレスを有する通信装置に向けてのアクセスを重点的に監視するような対策のために用いられる。ＩＤＳ装置７は、攻撃元のＩＰアドレスを特定する機能を有する。ＩＤＳで特定された攻撃元ＩＰに対し、管理装置６は、当該攻撃元ＩＰからの通信を遮断するなどの防御を行い得る。
ＩＤＳ装置７の攻撃検知部７１は、外部ネットワーク４からネットワーク１へ流れるパケットのうち、ブルートフォース攻撃に関わるパケットを検知し、異常を知らせるイベントを分析装置８向けに発行する。攻撃検知部７１は、検知したブルートフォース攻撃に関わるパケットに関する情報をＩＤＳログＤＢ７２に格納する。
図５は、ＩＤＳログＤＢ７２のデータ構造例を示す図である。図５において、ＩＤＳログＤＢ７２は、１以上のレコードで形成されるテーブルを有している。１つのレコードは、 “Hacker(ハッカー)”，“Victim(ビクティム)”，“検知時刻”，“攻撃回数”，“Port（ポート番号）”を情報要素として含んでいる。
“Hacker”は、「攻撃元」を示す。攻撃元とは、サーバ２を用いて提供されるシステムに対して攻撃（本実施形態ではブルートフォース攻撃）を仕掛ける通信の発信元の通信装置を指す。本実施形態では、攻撃元は発信元のＩＰアドレスで特定される。
“Victim”は、「被攻撃先」を示す。被攻撃先とは、ブルートフォース攻撃を受ける通信装置を指す。本実施形態では、被攻撃先は、攻撃される通信装置（サーバ２）に割り当てられたＩＰアドレスで特定される。
“検知時刻”は、侵入検知システム（ＩＤＳ）がブルートフォース攻撃を検知した時刻を示す。“攻撃回数”は、攻撃元がログインを試行した回数を示す。攻撃回数は「ログイン試行回数」とも呼ばれる。攻撃回数は、或る検知時刻を含む或る連続的期間において、攻撃元から被攻撃先へログインを試行するブルートフォース攻撃が検知された回数であり得る。ブルートフォース攻撃は、未知のエンドユーザ名及びパスワードを窃取するために、当てずっぽうのエンドユーザ名及びパスワードでのログインを繰り返し試行するためである。
例えば、或る時刻から５分間に亘って、或る被攻撃先が攻撃元から攻撃を受けた場合、当該５分間における攻撃の総数を攻撃回数としても良い。攻撃回数は、単位時間当たりのブルートフォース攻撃が検知された回数であっても良い。或いは、或る時間帯（例えば５分）における単位時間（例えば１分）あたりの攻撃回数の平均であっても良い。
“Port”は、攻撃が検知された被攻撃先の通信装置（サーバ２）のポート番号である。攻撃検知部７１は、例えば、外部ネットワーク４からネットワーク１へ流れるパケットの送信元ＩＰアドレス及び宛先ＩＰアドレスを参照し、或る送信元から或る宛先へのパケットの送信パターンがブルートフォース攻撃のパターンに合致する場合に、ＩＤＳログＤＢ
７２にレコードを書き込む。
図５に示すレコードの内容からは、以下のことが分かる。例えば、図５に示すテーブルの１番目（上側）のレコードは、以下を示している。すなわち、ＩＰアドレス“11.22.33.44”の攻撃元から、ＩＰアドレス“55.66.77.88”の被攻撃先のポート番号“22”に対しブルートフォース攻撃が行われている。ブルートフォース攻撃の検知時刻は「２０１３年４月１日０時０分」であり、攻撃回数は３０回である。
[分析装置]
図４に戻って、分析装置８の被攻撃先群分析部（分析部）８１は、ＩＤＳログＤＢ７２に格納されたデータ（ＩＤＳログ：図５）に基づいて、ブルートフォース攻撃の被攻撃先と考えられる通信装置のＩＰアドレスを特定する。本実施形態では、攻撃を受けたサーバ２のＩＰアドレスが被攻撃先のＩＰアドレスとして特定される。
被攻撃先群分析部８１は、例えば、周期的にＩＤＳログを取得して分析を開始することができる。或いは、被攻撃先群分析部８１は、ＩＤＳ装置７で発行されたイベント受信を契機として分析を開始することができる。
具体的には、被攻撃先群分析部８１は、ＩＤＳログＤＢ７２に格納されたデータ（ＩＤＳログ）に基づいて、攻撃回数及び検知時刻について、複数の被攻撃先（Victim）の相関係数を計算する。
攻撃回数及び検知時刻のそれぞれに関する相関係数の計算方法としては、たとえば、最大クリーク法を用いることができる。そして、相関係数の高い通信装置（Victim）を選択し、被攻撃先群（Victim群、通信装置群）として特定する。被攻撃先群分析部８１が参照する記憶領域（補助記憶装置１３又はメモリ１２の記憶領域）には、分析設定ＤＢ（図示せず）が記憶されている。分析設定ＤＢには、被攻撃先群を特定するための相関係数の閾値と、分析に使用したＩＤＳログデータの期間（分析の間隔）とを少なくとも含む。被攻撃先群分析部８１は、分析の間隔に合致するデータをＩＤＳログから得て、相関係数の計算結果が閾値を超える被攻撃先を選択（特定）する。
例えば、相関係数Ｒは、通信装置ｖｉが受けたブルートフォース攻撃の回数をｘｉ、検知時刻をｔｉとして、以下の式で定義することができる。
Figure 2015225500
 ここで、ｘａｖはブルートフォース攻撃の回数ｘｉの平均、ｔａｖは検知時刻ｔｉの平均である。ブルートフォース攻撃の回数は、１分間あたりの攻撃回数であっても良い。
図６は、被攻撃先群分析部８１における処理の説明図である。ブルートフォース攻撃は、或る攻撃元から複数の被攻撃先（被攻撃先群）へ向けて行われることがある。また、ブルートフォース攻撃は、検知時刻によって毎回異なる攻撃元から特定の複数の被攻撃先群へ向けて行われることがある。例えば、或る時刻ｔ１では、攻撃元Ｈ１から被攻撃先Ｖ１、Ｖ２、…、Ｖｍ（ｍは正の整数）へブルートフォース攻撃を行い、時刻ｔ２では、攻撃元Ｈ２から被攻撃先Ｖ１、Ｖ２、…、Ｖｍへブルートフォース攻撃を行うことがある。
上記のように、被攻撃先群に対するブルートフォース攻撃が行われる場合、或る１つの攻撃元から、ほぼ同時刻に、ほぼ同じ回数だけ複数の被攻撃先に対して攻撃が行われた形跡がＩＤＳログに残る。
被攻撃先群分析部８１は、複数の通信装置に関して、或る送信元ＩＰアドレスからのアクセス時刻（検知時刻）及びログイン試行回数（攻撃回数）の相関係数を計算する。被攻撃先群分析部８１は、検知時刻及び攻撃回数の相関係数が閾値以上又は閾値を上回るときに、当該或る送信元ＩＰアドレスを攻撃元ＩＰとして特定し、複数の通信装置を被攻撃先群として特定する。
図６に示す例において、例えば、検知時刻“10/1 0:01”において、ＩＰアドレスＨ１
（Ｈｉ（ｉは正の整数））からＩＰアドレスＶ１，Ｖ２，Ｖ３に対してそれぞれ５０回のログイン試行回数が記録されている。このように、被攻撃先群分析部８１は、或るＩＰアドレスから、ほぼ同時刻で、ほぼ同じ回数のログイン試行回数が認められた複数のＩＰアドレス（Ｖ１，Ｖ２，Ｖ３）が、被攻撃先群のＩＰアドレスとして特定する。また、被攻撃先群分析部８１は、ログインを試行したＩＰアドレス（Ｈ１）を攻撃元ＩＰとして特定する。
図６に示す例では、被攻撃先群分析部８１は、上述した処理によって、ＩＰアドレスＨ１，Ｈ２，及びＨ３のそれぞれを攻撃元ＩＰとして特定する。これに対し、ＩＰアドレスＨ４の検知時刻では、ＩＰアドレスＶ２及びＶ３に対するログイン試行回数（攻撃回数）は記録されていない。このため、ＩＰアドレスＨ４は、攻撃元ＩＰとして特定されない。
各ＩＰアドレスＶ１，Ｖ２，Ｖ３が、サーバ２Ａ，２Ｂ，２ＣのそれぞれのＩＰアドレスであると仮定すると、被攻撃先群分析部８１は、被攻撃先群であるサーバ２Ａ，２Ｂ，２Ｃに対する攻撃元ＩＰを特定することができる。
分析装置８の攻撃元分析部（分析部）８２は、ＩＤＳログＤＢ７２からＩＤＳログの情報を得るとともに、被攻撃先群分析部８１から被攻撃先群の情報を得る。攻撃元分析部８２は、各被攻撃先のＩＰアドレス（Victim）を含むレコードをＩＤＳログから特定し、特定したレコード中の攻撃先（Hacker）のＩＰアドレスを攻撃元ＩＰとして特定する。
攻撃元情報送信部（送信部）８３は、被攻撃先群のＩＰアドレスへ向けて、攻撃元ＩＰを含む攻撃元情報を送信する処理を行う。すなわち、攻撃元情報送信部８３は、攻撃元情報を含むパケットを生成する。このとき、パケットの宛先ＩＰアドレスには、被攻撃先のＩＰアドレスが設定される。
管理装置６として動作する情報処理装置１０の通信ＩＦ１４は、パケットを被攻撃先（サーバ２）へ向けて送信する。これによって、被攻撃先群であるサーバ２Ａ，２Ｂ，２Ｃのそれぞれに対し、攻撃元情報（攻撃元ＩＰ）が受信される。
攻撃元情報の送信は、攻撃元情報が得られたことを契機として開始されるようにしても良い。或いは、攻撃元情報が補助記憶装置１３又はメモリ１２の所定の記憶領域に記憶され、検証装置９からの要求に応じて攻撃元情報送信部８３が送信処理を実行するようにしても良い。
＜＜サーバ＞＞
図４に示すように、サーバ２が備える検証装置９は、アクセスログ検証部（検証部）９１と、アクセスログＤＢ９２と、被窃取ユーザ名リスト（リスト）９３と、インタフェー
ス部９４とを含む。サーバ２として動作する情報処理装置１０のＣＰＵ１１は、プログラムを実行することによって、アクセスログ検証部９１として動作する。サーバ２は、「通信装置」の一例であり、検証装置９は、「情報処理装置」の一例である。
アクセスログＤＢ９２及び被窃取ユーザ名リスト９３は、サーバ２として動作する情報処理装置１０の補助記憶装置１３又はメモリ１２に記憶される。サーバ２の入出力装置１５に含まれる出力装置（ディスプレイ装置）は、インタフェース部９４として動作する。
サーバ２として動作する情報処理装置１０のＣＰＵ１１は、補助記憶装置１３に記憶されたプログラムを実行することによって、Ｗｅｂサービスの提供システムとして動作する。すなわち、サーバ２は、Ｗｅｂクライアントであるエンドユーザの端末３にＷｅｂページの情報を提供するＷｅｂサーバとして動作する。サーバ２がＷｅｂサーバとして動作するためのプログラム及びデータは、予め補助記憶装置１３に記憶されている。
ＣＰＵ１１は、エンドユーザの端末３からサーバ２へ送信されたＷｅｂサイトへのログイン要求を通信ＩＦ１４を介して受信する。すると、ＣＰＵ１１は、ログイン画面のＷｅｂページの情報を補助記憶装置１３から読み出し、端末３へ送信する。Ｗｅｂページの情報は、予め補助記憶装置１３に記憶されている。
端末３を用いるエンドユーザは、ログイン画面を用いて、認証用情報（認証コードともいう）、すなわちエンドユーザ名及びパスワードを入力する。認証用情報は、端末３からサーバ２の通信ＩＦ１４で受信され、ＣＰＵ１１に渡される。
ＣＰＵ１１は、補助記憶装置１３に予め記憶された認証用情報を用いて認証用情報が正当か否かを判定する。認証用情報が正当であれば、ＣＰＵ１１は、ログイン“ＯＫ（Ｙｅｓ）”と判定し、次のＷｅｂページの情報を端末３へ送信する処理を行う。これに対し、認証用情報が不正であれば、ＣＰＵ１１は、ログイン“ＮＧ（Ｎｏ）”と判定し、エラーメッセージを端末３へ送る処理を行う。
認証用情報が不正の場合として、例えば、エンドユーザ名が認証用情報として登録されていない場合や、パスワードが認証用情報として登録されたパスワードに一致しない場合が挙げられる。
ＣＰＵ１１は、認証の成否（すなわち、ログインの成否）を含むレコードをアクセスログＤＢ９２に記憶する。このとき、レコードに含まれる情報要素（パラメータ）として、少なくとも、ログイン要求の送信元の通信装置のＩＰアドレスと、認証用情報（エンドユーザ名及びパスワード）と、ログインの成否を示す情報とが含まれる。
図７は、アクセスログＤＢ９２のデータ構造例を示す図である。アクセスログＤＢ９２は、上記したように、ログイン要求元のＩＰアドレスと、エンドユーザ名と、パスワードと、ログインの成功／失敗（Ｙｅｓ／Ｎｏ）を示す情報とを含む１以上のレコードを記憶する。ログイン要求元のＩＰアドレスは、「ログイン要求元の情報」の一例である。
ＣＰＵ１１は、アクセスログＤＢ９２へのレコード登録を、ログイン要求に基づく認証処理を実行する毎に行う。このようなアクセスログＤＢ９２のレコード（ログ）には、正当なエンドユーザの端末３からのログイン要求に対する結果のログと、ブルートフォース攻撃による攻撃元の端末５からのログイン要求に対する結果のログとが含まれ得る。
図８は、アクセスログ検証部９１（ＣＰＵ１１）の動作（処理）例を示すフローチャートである。図８に示す処理は、例えば、周期的又は定期的に実行される。或いは、図８に
示す処理は、周期的又は定期的に攻撃元情報の受信（到着）をチェックし、攻撃元情報が到着している場合に開始されるようにしても良い。或いは、図８に示す処理は、攻撃元情報の受信を契機として開始されるようにしても良い。
図８において、アクセスログ検証部９１は、アクセスログＤＢ９２からログデータ（各レコード）を取得する（０１）。続いて、アクセスログ検証部９１は、分析装置８から攻撃元情報（攻撃元ＩＰ）を取得する（０２）。図８の例では、以下を仮定している。すなわち、アクセスログ検証部９１（サーバ２）が分析装置８（管理装置６）へ攻撃元情報の提供要求のメッセージを送信する。提供要求を受信した分析装置８（攻撃元情報送信部８３）は、提供要求に応じて攻撃元情報を提供要求の送信元のサーバ２へ送る。
次に、アクセスログ検証部９１は、ログデータから攻撃元ＩＰが含まれるレコードを抽出する（０３）。次に、アクセスログ検証部９１は、抽出されたレコード中にログイン成功を示す情報を含んだレコードが存在するか否かを判定する（０４）。
このとき、該当するレコードが存在しない場合（０４，Ｎｏ）には、図８の処理が終了する。これに対し、該当するレコードが存在する場合（０４，Ｙｅｓ）には、アクセスログ検証部９１は、当該レコードに含まれるエンドユーザ名を被窃取ユーザ名リスト９３に登録する（０５）。その後、図８の処理が終了する。
なお、図８における０１の処理と０２の処理とは逆でも良い。また、０３以降の処理は、図８の例では、複数の攻撃元ＩＰが得られた場合において、各攻撃元ＩＰに関して並列に実行される。但し、各攻撃元ＩＰに関して０３〜０５の処理が繰り返し実行されるようにしても良い。
図９は、アクセスログ検証部９１の処理の説明図である。図９では、図９に示す内容のアクセスログに関して、攻撃元ＩＰとしてＨ１，Ｈ２及びＨ３が得られた様子が図示されている。アクセスログ検証部９１は、攻撃元ＩＰ“Ｈ１”，“Ｈ２”を含むレコードを抽出する。このとき、上から２番目のレコード（「レコード２」と称する）と上から３番目のレコード（「レコード３」と称する）とが抽出される。
アクセスログ検証部９１は、レコード２及びレコード３のそれぞれにおける“ログイン成功／失敗”の情報（ステータス）を参照する。このとき、レコード２及びレコード３のそれぞれのステータスは“Ｙｅｓ（ログイン成功）”を示す。このため、アクセスログ検証部９１は、レコード２及びレコード３中の認証用情報が攻撃元に窃取されたと判定する。レコード２の認証用情報は、エンドユーザ名“Alice”及びパスワード“1234”であり
、レコード３の認証用情報は、エンドユーザ名“Bob”及びパスワード“aaaa”である。
アクセスログ検証部９１は、レコード２及びレコード３の各エンドユーザ名（“Alice”
及び“Bob”）を被窃取ユーザ名リスト９３に登録する。
図１０は、被窃取ユーザ名リスト９３（以下、「リスト９３」と表記）のデータ構造例を示す図である。図１０に示すように、リスト９３は、窃取されたと判定された（推定された）エンドユーザ名と、追加日（追加日時）とを含む１以上のレコードを記憶する。リスト９３には、さらにパスワードが記憶されるようにしても良い。
インタフェース部９４は、アクセスログ検証部９１によって特定された被攻撃先に関する情報を表示する。図１１は、インタフェース部９４（入出力装置１５に含まれるディスプレイ装置）が出力する表示画面の例を示す。図１１に示すように、インタフェース部９４は、一例として、被窃取ユーザ名リスト９３の登録内容を表示画面に表示する。サーバ２（例えばサーバ２Ａ）を利用するＮＷユーザＡは、表示画面を参照することで、エンド
ユーザ名“Alice”及び“Bob”が攻撃元に窃取されたことを知ることができる。
上述したように、攻撃元情報（攻撃元ＩＰ）は、被攻撃先群として特定された各サーバ２Ａ，２Ｂ，２Ｃにおける検証装置９のそれぞれに送信される。従って、各サーバ２の検証装置９が上記した処理を行う。これにより、ＮＷユーザＡだけでなく、サーバ２Ｂを利用するＮＷユーザＢ，サーバ２Ｃを利用するＮＷユーザＣも、対応する被窃取ユーザ名リスト９３を参照することで、攻撃元に窃取されたエンドユーザ名を知ることができる。
ＮＷユーザＡは、例えば、エンドユーザ名“Alice”及び“Bob”を用いたログインがパスワードの如何に拘わらず拒絶されるようにシステムＡの設定変更を行う。このような設定変更は、マニュアルで実施することができる。或いは、所定のアルゴリズム（プログラム）を用いて、例えば、被窃取ユーザ名リスト９３にエンドユーザ名が追加されたことを契機として自動的に実行されるようにすることもできる。これによって、攻撃元による不正ログイン（なりすまし）を回避することが可能となる。
また、ＮＷユーザＡは、“Alice”及び“Bob”をそれぞれ有するエンドユーザに対し、エンドユーザ名の変更を依頼する。エンドユーザ名の変更によって、攻撃元のなりすましが不可能となる。また、窃取されたエンドユーザ名でのログインが拒絶される設定となっている場合には、エンドユーザ名変更によって、正規のエンドユーザがシステムＡにログイン可能な環境を得ることができる。変更依頼は、メール，郵送等適宜の手法を用いてエンドユーザに与えられる。
＜実施形態の作用効果＞
実施形態によれば、検証装置９がアクセスログ及び攻撃元ＩＰを用いて認証用情報（エンドユーザ名）が窃取されたことを検知し、被窃取ユーザ名リスト９３に登録する。ＮＷユーザは、出力された被窃取ユーザ名リスト９３を参照して、窃取に対する対策を採ることができる。
サーバ２（検証装置９）は、ＮＷ管理者の運用する管理装置６（ＩＤＳ装置７及び分析装置８）によって得られた攻撃元情報（攻撃元ＩＰ）を受信することで、既存のアクセスログを用いて窃取を検知することができる。このため、ＮＷユーザがアクセスログから認証用情報の窃取を知るための導入コストが小さくて済む。
また、本実施形態による攻撃元ＩＰの特定方法によれば、比較的短い期間で得られたＩＤＳログを用いて攻撃元ＩＰを特定することができる。このため、既存のレピュテーションサービスのように、アクセスログ中のＩＰアドレスが悪性か否かを判断するための十分な評価材料を得るために、長い期間のアクセスログを要するという欠点がない。
また、本実施形態による攻撃元ＩＰの特定方法では、管理装置６で或る時刻で通信装置（サーバ２）を含む被攻撃先群に実質的に同数と認め得る回数の攻撃（ログイン試行）を行ったＩＰアドレスが検証装置９に供給する攻撃元ＩＰとして特定される。このため、比較的少ない攻撃回数（ログイン試行回数）であっても、攻撃元ＩＰを特定することができる。
このため、例えば、大量のログイン試行失敗の後に１回ログインに成功した記録がアクセスログにあるという特徴を不正ログイン成功と判断するような構成に比べて、大量のログイン試行失敗を要しない点で、攻撃元ＩＰ特定が容易化される。
さらに、例えば、ＩＰアドレスとエンドユーザ名とを紐づけ、普段と異なるＩＰアドレスでログイン成功した場合に、当該ログインが不正ログインであると判断する手法がある
。このような手法では、エンドユーザが複数の端末３を使い分ける場合に不正ログインを誤検知する可能性がある。また、１つのエンドユーザ名を複数人で共有する場合にも誤検知が発生し得る。
本実施形態による攻撃元ＩＰの特定方法では、攻撃元ＩＰとして特定する条件が満たされる限り、複数のＩＰアドレスのそれぞれが攻撃元ＩＰとして検知される。よって、上記紐づけによる手法で生じる欠点（誤検知）は発生しない。また、本実兄対の攻撃元ＩＰの特定手法では、複数のＩＰアドレスを用いたブルートフォース攻撃に対して、それぞれの攻撃元ＩＰを検知することができる。
＜変形例＞
本実施形態では、ＩＤＳ装置７及び分析装置８を用い、図６を用いて説明した手法で攻撃元ＩＰを特定する。但し、当該攻撃元ＩＰの特定方法は例示である。すなわち、検証装置９に供給（受信）される攻撃元ＩＰ（攻撃元情報）の特定方法は、実施形態で説明した手法に限定されない。すなわち、既存のＩＤＳを用いたブルートフォース攻撃の攻撃元ＩＰの特定方法を含むあらゆる攻撃元ＩＰの特定方法を適用可能である。このため、攻撃元ＩＰの特定のために被攻撃先群が特定されることは必須要件ではなく、単一の通信装置（サーバ）に対する攻撃元ＩＰが検知される手法が適用されても良い。
また、本実施形態では、攻撃元情報としてＩＰアドレスが使用される。このため、攻撃元の通信装置に依存しない管理を行うことができ、また、ログイン要求元（送信元）のＩＰアドレスを記録する既存のアクセスログとの対応（紐づけ）が容易である。但し、攻撃元情報がＩＰアドレスであることは必須条件ではなく、アクセスログにて攻撃元情報と一致するログイン要求元情報が特定される限り、ＩＰアドレス以外の情報を攻撃元情報として適用しても良い。アクセスログに記録されるログイン要求元の情報も、送信元ＩＰアドレスに限られない。
また、本実施形態では、ＩＤＳ装置７と分析装置８とが一つの情報処理装置１０（管理装置６）上で動作する例について説明している。但し、ＩＤＳ装置７と分析装置８とが個別の情報処理装置上で動作し、情報処理装置間の通信によりＩＤＳ装置７で得られたＩＤＳログが分析装置８へ送信されるようにしても良い。
また、本実施形態では、「情報処理装置」の一例である検証装置９が「通信装置」の一例であるサーバ２に含まれている例を示している。当該構成に代えて、検証装置９がサーバ２と通信可能なサーバ２から独立した情報処理装置に実装されるようにしても良い。この場合、既存のサーバ（サービス提供システム）について、アクセスログを検証装置９に供給する構成を追加するだけで良く、サーバに対する改変度合いを小さくすることができる。また、Ｗｅｂサーバとして動作する情報処理装置とアクセスログＤＢを記憶する情報処理装置とが別の装置であっても良い。
上述した実施形態は、以下の付記を開示する。以下の付記は適宜組み合わせることが可能である。
（付記１） ログイン成功により所定サービスをユーザに提供する通信装置に関して、ユーザがログインに用いる認証用情報の窃取を情報処理装置が検知する方法であって、
前記情報処理装置が、ログイン要求元の情報と、ログイン要求元がログインに際して前記通信装置に提示した認証用情報と、当該認証用情報を用いたログインの成否を示す情報とを含むログイン要求毎のレコードを記憶し、
前記情報処理装置が、前記通信装置に対する攻撃元の情報を前記通信装置が存するネットワークの管理装置から受信し、
前記情報処理装置が、前記攻撃元の情報と一致する前記ログイン要求元の情報を含むレ
コードにログインの成功を示す情報が記憶されているときに当該レコード中の認証用情報が前記攻撃元に窃取されたと判定し、
窃取されたと判定した認証用情報を出力する
ことを含む認証用情報の窃取検知方法。（１）
（付記２） 前記情報処理装置は、或る攻撃元が或る時刻で前記通信装置を含む被攻撃先群に実質的に同数と認め得る回数の攻撃を行ったことを示す情報が前記管理装置で得られたときにおける前記或る攻撃元の情報を受信する
付記１に記載の認証用情報の窃取検知方法。（２）
（付記３） 前記情報処理装置は、或る攻撃元からの攻撃の検知時刻及び攻撃回数のそれぞれの相関係数が閾値以上である被攻撃先群の１つが前記通信装置であることを検知した前記管理装置から前記或る攻撃元の情報を受信する
付記１に記載の認証用情報の窃取検知方法。
（付記４） 前記攻撃元の情報及び前記ログイン要求元の情報がＩＰアドレスである
付記１から３のいずれか１項に記載の認証用情報の窃取検知方法。
（付記５） 前記認証用情報は、ユーザ識別子を含む
付記１から４のいずれか１項に記載の認証用情報の窃取検知方法。
（付記６） ログイン成功により所定サービスをユーザに提供する通信装置に関して、ユーザがログインに用いる認証用情報の窃取を検知する認証用情報窃取検知装置であって、
ログイン要求元の情報と、ログイン要求元がログインに際して前記通信装置に提示した認証用情報と、当該認証用情報を用いたログインの成否を示す情報とを含むログイン要求毎のレコードを記憶する記憶装置と、
前記情報処理装置が、前記通信装置に対する攻撃元の情報を前記通信装置が存するネットワークの管理装置から受信する受信装置と、
前記情報処理装置が、前記攻撃元の情報と一致する前記ログイン要求元の情報を含むレコードにログインの成功を示す情報が記憶されているときに当該レコード中の認証用情報が前記攻撃元に窃取されたと判定する判定部と、
窃取されたと判定した認証用情報を出力する出力装置と、
を含む認証用情報の窃取検知装置。（３）
（付記７） ログイン成功により所定サービスをユーザに提供する通信装置（図４の２）に関して、ユーザがログインに用いる認証用情報（エンドユーザ名）の窃取を検知する処理をコンピュータに実行させるプログラムであって、
ログイン要求元の情報と、ログイン要求元がログインに際して前記通信装置に提示した認証用情報と、当該認証用情報を用いたログインの成否を示す情報とを含むログイン要求毎のレコードを記憶するステップと、
前記通信装置に対する攻撃元の情報を前記通信装置が存するネットワークの管理装置から受信するステップと、
前記攻撃元の情報と一致する前記ログイン要求元の情報を含むレコードにログインの成功を示す情報が記憶されているときに当該レコード中の認証用情報が前記攻撃元に窃取されたと判定するステップと、
前記攻撃元に窃取されたと判定した認証用情報を出力するステップと
をコンピュータに実行させるプログラム。
１・・・ネットワーク
２・・・サーバ
３，５・・・端末
４・・・外部ネットワーク
６・・・ネットワーク管理装置
７・・・ＩＤＳ装置
８・・・ＩＤＳログ分析装置
９・・・アクセスログ検証装置
１０・・・情報処理装置
１１・・・ＣＰＵ
１２・・・メモリ
１３・・・補助記憶装置
１４・・・通信インタフェース
１５・・・入出力装置

Claims (4)

  1. ログイン成功により所定サービスをユーザに提供する通信装置に関して、ユーザがログインに用いる認証用情報の窃取を情報処理装置が検知する方法であって、
    前記情報処理装置が、ログイン要求元の情報と、ログイン要求元がログインに際して前記通信装置に提示した認証用情報と、当該認証用情報を用いたログインの成否を示す情報とを含むログイン要求毎のレコードを記憶し、
    前記情報処理装置が、前記通信装置に対する攻撃元の情報を前記通信装置が存するネットワークの管理装置から受信し、
    前記情報処理装置が、前記攻撃元の情報と一致する前記ログイン要求元の情報を含むレコードにログインの成功を示す情報が記憶されているときに当該レコード中の認証用情報が前記攻撃元に窃取されたと判定し、
    前記攻撃元に窃取されたと判定した認証用情報を出力する
    ことを含む認証用情報の窃取検知方法。
  2. 前記情報処理装置は、或る攻撃元が或る時刻で前記通信装置を含む被攻撃先群に実質的に同数と認め得る回数の攻撃を行ったことを示す情報が前記管理装置で得られているときに前記或る攻撃元の情報を受信する
    請求項１に記載の認証用情報の窃取検知方法。
  3. ログイン成功により所定サービスをユーザに提供する通信装置に関して、ユーザがログインに用いる認証用情報の窃取を検知する装置であって、
    ログイン要求元の情報と、ログイン要求元がログインに際して前記通信装置に提示した認証用情報と、当該認証用情報を用いたログインの成否を示す情報とを含むログイン要求毎のレコードを記憶する記憶装置と、
    前記通信装置に対する攻撃元の情報を前記通信装置が存するネットワークの管理装置から受信する受信装置と、
    前記攻撃元の情報と一致する前記ログイン要求元の情報を含むレコードにログインの成功を示す情報が記憶されているときに当該レコード中の認証用情報が前記攻撃元に窃取されたと判定する制御装置と、
    前記攻撃元に窃取されたと判定した認証用情報を出力する出力装置と
    を含む認証用情報の窃取検知装置。
  4. ログイン成功により所定サービスをユーザに提供する通信装置に関して、ユーザがログインに用いる認証用情報の窃取を検知する処理をコンピュータに実行させるプログラムであって、
    ログイン要求元の情報と、ログイン要求元がログインに際して前記通信装置に提示した認証用情報と、当該認証用情報を用いたログインの成否を示す情報とを含むログイン要求毎のレコードを記憶するステップと、
    前記通信装置に対する攻撃元の情報を前記通信装置が存するネットワークの管理装置から受信するステップと、
    前記攻撃元の情報と一致する前記ログイン要求元の情報を含むレコードにログインの成功を示す情報が記憶されているときに当該レコード中の認証用情報が前記攻撃元に窃取されたと判定するステップと、
    前記攻撃元に窃取されたと判定した認証用情報を出力するステップと
    をコンピュータに実行させるプログラム。
JP2014109914A 2014-05-28 2014-05-28 認証用情報の窃取検知方法、認証用情報の窃取検知装置、及びプログラム Pending JP2015225500A (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2014109914A JP2015225500A (ja) 2014-05-28 2014-05-28 認証用情報の窃取検知方法、認証用情報の窃取検知装置、及びプログラム
US14/711,290 US20150350193A1 (en) 2014-05-28 2015-05-13 Authentication information theft detection method, authentication information theft detection device, and computer-readable recording medium storing program for the same
EP15168361.2A EP2950228A1 (en) 2014-05-28 2015-05-20 Authentication information theft detection method, authentication information theft detection device, and program for the same

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2014109914A JP2015225500A (ja) 2014-05-28 2014-05-28 認証用情報の窃取検知方法、認証用情報の窃取検知装置、及びプログラム

Publications (1)

Publication Number Publication Date
JP2015225500A true JP2015225500A (ja) 2015-12-14

Family

ID=53396177

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2014109914A Pending JP2015225500A (ja) 2014-05-28 2014-05-28 認証用情報の窃取検知方法、認証用情報の窃取検知装置、及びプログラム

Country Status (3)

Country Link
US (1) US20150350193A1 (ja)
EP (1) EP2950228A1 (ja)
JP (1) JP2015225500A (ja)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2017107450A (ja) * 2015-12-10 2017-06-15 富士通株式会社 アクセス監視プログラム、アクセス監視方法およびアクセス監視装置
CN107608679A (zh) * 2017-08-30 2018-01-19 深圳市芯智科技有限公司 一种通过Socket高效烧写机顶盒数据的方法
US10630676B2 (en) 2017-11-24 2020-04-21 Microsoft Technology Licensing, Llc Protecting against malicious discovery of account existence
JP6824151B2 (ja) * 2017-12-26 2021-02-03 三菱電機株式会社 インシデント対応支援装置
CN110545250B (zh) * 2018-05-29 2021-12-21 国际关系学院 一种多源攻击痕迹融合关联的溯源方法
US11108818B2 (en) * 2019-02-17 2021-08-31 Microsoft Technology Licensing, Llc Credential spray attack detection
US11159542B2 (en) * 2019-03-21 2021-10-26 Microsoft Technology Licensing, Llc Cloud view detection of virtual machine brute force attacks
US11936664B2 (en) 2020-03-14 2024-03-19 Microsoft Technology Licensing, Llc Identity attack detection and blocking
CN111600901A (zh) * 2020-05-26 2020-08-28 牛津(海南)区块链研究院有限公司 一种应用鉴权方法、装置、设备及计算机可读存储介质
US11843624B1 (en) 2022-07-12 2023-12-12 Netskope, Inc. Trained model to detect malicious command and control traffic
US11736513B1 (en) 2022-07-12 2023-08-22 Netskope, Inc. Detecting malicious command and control cloud traffic
US11616799B1 (en) * 2022-07-12 2023-03-28 Netskope, Inc. Training a model to detect malicious command and control cloud

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6006334A (en) * 1997-05-01 1999-12-21 International Business Machines Corp. Method and system for authentication over a distributed service to limit password compromise
US7013395B1 (en) * 2001-03-13 2006-03-14 Sandra Corporation Method and tool for network vulnerability analysis
US6952779B1 (en) * 2002-10-01 2005-10-04 Gideon Cohen System and method for risk detection and analysis in a computer network
JP2004220373A (ja) 2003-01-15 2004-08-05 Mitsubishi Electric Corp 不正アクセス検知ログ情報分析支援装置、不正アクセス検知ログ情報分析支援方法及びコンピュータプログラム
JP3999188B2 (ja) * 2003-10-28 2007-10-31 富士通株式会社 不正アクセス検知装置、不正アクセス検知方法および不正アクセス検知プログラム
JP2005234729A (ja) 2004-02-18 2005-09-02 Hitachi Omron Terminal Solutions Corp 不正アクセス防御システム及びその方法
JP2005332152A (ja) 2004-05-19 2005-12-02 Ntt Communications Kk 不正アクセス検知及び拒否を行うシステム、サーバ、及び方法、並びにプログラム
WO2006019451A1 (en) * 2004-07-15 2006-02-23 Anakam L.L.C. System and method for blocking unauthorized network log in using stolen password
US7681234B2 (en) * 2005-06-30 2010-03-16 Microsoft Corporation Preventing phishing attacks
JP4713524B2 (ja) 2007-03-13 2011-06-29 株式会社Ｋｄｄｉ研究所 Ｉｐアドレス視覚化装置、プログラム、および記録媒体
US8695097B1 (en) * 2007-08-28 2014-04-08 Wells Fargo Bank, N.A. System and method for detection and prevention of computer fraud
JP2010239392A (ja) 2009-03-31 2010-10-21 Nec Corp サービス不能攻撃制御システム、装置、および、プログラム
US8572746B2 (en) * 2010-01-21 2013-10-29 The Regents Of The University Of California Predictive blacklisting using implicit recommendation
JP5541215B2 (ja) 2011-03-31 2014-07-09 ダイキン工業株式会社 不正利用検知システム
US9379896B1 (en) * 2011-10-24 2016-06-28 Google Inc. Compromised password mitigation

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
SHINOGI: "不正ログイン対策の整理", マクニカネットワークスセキュリティ研究センターブログ, JPN6017031051, 30 October 2013 (2013-10-30), JP *
本多 聡美、海野 由紀、丸橋 弘治、武仲 正彦、鳥居 悟: "使い捨てＩＰによるブルートフォース攻撃検出手法の評価", ２０１４年 暗号と情報セキュリティシンポジウム ＳＣＩＳ２０１４ ［ＣＤ−ＲＯＭ］ ２０１４年 暗号, JPN6017031052, 21 January 2014 (2014-01-21), JP, pages 1-8 *

Also Published As

Publication number Publication date
EP2950228A1 (en) 2015-12-02
US20150350193A1 (en) 2015-12-03

Similar Documents

Publication Publication Date Title
JP2015225500A (ja) 認証用情報の窃取検知方法、認証用情報の窃取検知装置、及びプログラム
US9942220B2 (en) Preventing unauthorized account access using compromised login credentials
US10264104B2 (en) Systems and methods for malicious code detection accuracy assurance
US9866566B2 (en) Systems and methods for detecting and reacting to malicious activity in computer networks
CN108370381B (zh) 用于使用客户端蜜标检测先进攻击者的系统以及方法
US11089036B2 (en) Identifying security risks and fraud attacks using authentication from a network of websites
CN105939326B (zh) 处理报文的方法及装置
Wu et al. Effective defense schemes for phishing attacks on mobile computing platforms
Ludl et al. On the effectiveness of techniques to detect phishing sites
US10630676B2 (en) Protecting against malicious discovery of account existence
US20160036849A1 (en) Method, Apparatus and System for Detecting and Disabling Computer Disruptive Technologies
US20080295169A1 (en) Detecting and defending against man-in-the-middle attacks
US20140020067A1 (en) Apparatus and method for controlling traffic based on captcha
JP5987627B2 (ja) 不正アクセス検出方法、ネットワーク監視装置及びプログラム
WO2019095856A1 (zh) 一种网络身份认证方法、系统及其使用的用户代理设备
CN111786966A (zh) 浏览网页的方法和装置
CN112714093A (zh) 一种账号异常检测方法、装置、系统及存储介质
US9516059B1 (en) Using mock tokens to protect against malicious activity
CN106209907B (zh) 一种检测恶意攻击的方法及装置
JP2016143320A (ja) ログ監視方法、ログ監視装置、ログ監視システム、及びログ監視プログラム
Beigh et al. Intrusion detection and prevention system: issues and challenges
CN113660222A (zh) 基于强制访问控制的态势感知防御方法及系统
US20150172310A1 (en) Method and system to identify key logging activities
WO2017068714A1 (ja) 不正通信制御装置および方法
JP5743822B2 (ja) 情報漏洩防止装置及び制限情報生成装置

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20170206

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20170822

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20171023

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20171114