JP2018041316A - 不正アクセス検出装置、不正アクセス検出方法およびコンピュータプログラム - Google Patents

Abstract

【課題】不正アクセスを精度よく検出する。【解決手段】不正アクセス検出装置２０は、ユーザ端末１４から不正アクセス検出装置２０へのアクセスに関するデータを取得する。不正アクセス検出装置２０は、上記アクセスに関するデータに基づいて、対象サーバ１２における上記アクセスの重要度を示す第１指標値と、上記アクセスが不正である可能性の高さを示す第２指標値を導出する。不正アクセス検出装置２０は、第１指標値および第２指標値に基づいて、上記アクセスの危険度を判定する。【選択図】図１

Description

この発明は、データ処理技術に関し、特に不正アクセスを検出する技術に関する。

近年、サーバ等に対する不正アクセスによる被害の認知件数が高い水準にある。被害の内訳としては、インターネットバンキングの不正送金と、他人へのなりすましが占める割合が大きい。不正アクセスに対するこれまでの防御手段としては、ファイヤーウォールやＷＡＦ（Web Application Firewall）が存在する（例えば特許文献１参照）。

特開２００８−１１７００７号公報

不正アクセスの手口は年々巧妙化しており、従来の不正アクセス対策では、正常なアクセスと不正アクセスを見分けることは困難なことがあった。本発明は、こうした課題に鑑みてなされたものであり、主たる目的は、不正アクセスを精度よく検出する技術を提供することである。

上記課題を解決するために、本発明のある態様の不正アクセス検出装置は、所定の装置に対する通信網を介したアクセスに関するデータを取得する取得部と、取得部により取得されたデータに基づいて、装置におけるアクセスの重要度を示す第１指標値と、アクセスが不正である可能性の高さを示す第２指標値を導出する導出部と、導出部により導出された第１指標値と第２指標値に基づいて、アクセスの危険度を判定する判定部と、を備える。

本発明の別の態様もまた、不正アクセス検出装置である。この装置は、通信網を介して所定の装置になされたアクセスに関するデータを取得する取得部と、取得部により取得されたデータに基づいて、アクセスが不正である可能性の高さを示す指標値を導出する導出部と、導出部により導出された指標値に基づいて、アクセスの危険度を判定する判定部と、を備える。アクセスに関するデータには複数種類の識別子が含まれ、導出部は、識別子ごとにその値に基づいてアクセスが不正である可能性の高さを検出し、識別子ごとに検出した可能性の高さを集計してアクセスの指標値を導出する。

本発明のさらに別の態様は、不正アクセス検出方法である。この方法は、所定の装置に対する通信網を介したアクセスに関するデータを取得するステップと、取得するステップで取得されたデータに基づいて、装置におけるアクセスの重要度を示す第１指標値と、アクセスが不正である可能性の高さを示す第２指標値を導出するステップと、導出するステップで導出された第１指標値と第２指標値に基づいて、アクセスの危険度を判定するステップと、をコンピュータが実行する。

なお、以上の構成要素の任意の組合せ、本発明の表現をシステム、コンピュータプログラム、コンピュータプログラムを格納した記録媒体などの間で変換したものもまた、本発明の態様として有効である。

本発明によれば、不正アクセスを精度よく検出することができる。

実施例の情報システムの構成を示す図である。 図１の不正アクセス検出装置の機能構成を示すブロック図である。 ＢＬ／ＷＬ保持部のデータ構造の例を示す図である。 アドレス情報保持部のデータ構造の例を示す図である。 ＢＩスコア判定規則のデータ構造の例を示す図である。 ＦＰスコア判定規則のデータ構造の例を示す図である。 第１判定結果保持部および第２判定結果保持部のデータ構造の例を示す図である。 累積スコア保持部のデータ構造の例を示す図である。 ＦＰスコアの正規化の一例を示す図である。 実施例のリスク判定基準を示す図である。 不正アクセス検出装置の動作を示すフローチャートである。

本発明の実施例を説明する前にまず概要を説明する。本実施例における不正アクセスは、アクセス制御（例えばパスワード認証等）がなされているサーバに、ネットワークを通じて、他人の識別符号、または識別符号以外の情報や指令を入力して本来制限されている機能を不正に利用する行為である。以下の説明における「ウェブアクセス」は、所定のサーバに対する通信網を介したリモートアクセスであり、正当な権限を持つユーザの正当なアクセスと、不正者による不正アクセスの両方を含む。

様々な種類の不正アクセスが存在するが、特に、他人の正しいアカウント情報（ユーザＩＤ、パスワード等）を不正に入手し、そのアカウント情報を使用したなりすましログインや不正取引、リスト型アカウントハッキング等は、従来の不正アクセス対策では、正当なアクセスと判別することが難しかった。また、短期間に大量の不正アクセスが自動実行されるのではなく、低頻度の不正アクセス（例えば１回／時間等）が長期的に実行される場合、不正アクセスを正当なアクセスと判別することが一層困難であった。

実施例の不正アクセス検出装置は、サーバに対するウェブアクセスのアイデンティティ（すなわちＩＤ）の振る舞いに基づいて、当該ウェブアクセスが不正アクセスか否かを判定する。具体的には、今回のウェブアクセスのデータに含まれる複数種類のＩＤそれぞれが使用された、過去からの複数回のウェブアクセスの態様に基づいて、今回のウェブアクセスが不正なものか否かを判定する。さらに、実施例の不正アクセス検出装置は、所定の対象装置に対するウェブアクセスを、対象装置における当該ウェブアクセスの重要度（以下「ＢＩ（Business Impact）」とも呼ぶ。）と、当該ウェブアクセスが不正である可能性の高さ（以下「ＦＰ（Fraud Probability）」とも呼ぶ。）の２軸で評価し、当該アクセスの危険度を判定する。これにより不正アクセスを精度よく検出する。

図１は、実施例の情報システムの構成を示す。情報システム１０は、対象サーバ１２、ユーザ端末１４で総称されるユーザ端末１４ａ、ユーザ端末１４ｂ、ユーザ端末１４ｃ、管理者端末１８、不正アクセス検出装置２０を備える。これらの装置は、ＬＡＮ・ＷＡＮ・インターネット等を含む通信網１６を介して互いに接続される。

対象サーバ１２は、通信販売、インターネットバンキング等のウェブサイトをインターネット上に公開する情報処理装置である。実施例の対象サーバ１２は、ウェブサーバの機能を含み、ユーザ端末１４からのウェブアクセス（ＨＴＴＰ要求）を受け付け、所定のサービスを提供するためのウェブページをユーザ端末１４へ提供する。

ユーザ端末１４は、ウェブブラウザソフトウェアがインストールされた情報処理装置であり、ウェブクライアントとして機能する。ユーザ端末１４は、ＰＣ、タブレット端末、スマートフォンであってもよい。ユーザ端末１４ａ、ユーザ端末１４ｂ、ユーザ端末１４ｃを操作するユーザは、対象サーバ１２のウェブサイトへのログインが許可されたユーザ（すなわち正当な権限を有するユーザ）かもしれないし、他人のアカウントを不正使用する等、対象サーバ１２に対して不正アクセスを試みるユーザかもしれない。

管理者端末１８は、ウェブブラウザソフトウェアがインストールされた情報処理装置であり、ウェブクライアントとして機能する。管理者端末１８は、ＰＣ、タブレット端末、スマートフォンであってもよく、対象サーバ１２の管理者により操作される。

不正アクセス検出装置２０は、対象サーバ１２に対するウェブアクセスの属性情報を、ログファイルまたはＡＰＩ（Application Programming Interface）経由で受け付けると、ウェブアクセスごとのリスク判定を実行する。言い換えれば、ユーザ端末１４から対象サーバ１２への複数のウェブアクセスの中に存在する不正アクセスを検出する。不正アクセス検出装置２０は、リスクの判定結果をＡＰＩレスポンスとして対象サーバ１２へ提供し、また、リスクの判定結果を含む統計情報を管理者端末１８へ提供する。

図２は、図１の不正アクセス検出装置２０の機能構成を示すブロック図である。不正アクセス検出装置２０は、制御部２２、記憶部２４、通信部２６を備える。制御部２２は、ユーザ端末１４から対象サーバ１２への不正アクセスを検出するためのデータ処理を実行する。記憶部２４は、制御部２２により参照または更新されるデータを記憶する記憶領域である。通信部２６は、所定の通信プロトコルにしたがって外部装置と通信する。制御部２２は、通信部２６を介して対象サーバ１２および管理者端末１８とデータを送受する。

本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵ・メモリをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。

例えば、制御部２２の各ブロックの機能はコンピュータプログラムとして実装され、そのコンピュータプログラムが不正アクセス検出装置２０のストレージにインストールされてもよい。そして、不正アクセス検出装置２０のＣＰＵが、そのコンピュータプログラムをメインメモリへ読み出して実行することにより制御部２２の各ブロックの機能が発揮されてもよい。記憶部２４は、不正アクセス検出装置２０のメインメモリやストレージにより実現されてもよい。

記憶部２４は、ＢＬ／ＷＬ保持部２８、アドレス情報保持部３０、規則保持部３２、第１判定結果保持部３４、第２判定結果保持部３６、累積スコア保持部３８を含む。このうちＢＬ／ＷＬ保持部２８、アドレス情報保持部３０、第１判定結果保持部３４、累積スコア保持部３８は、高頻度で使用されるデータが格納され、高速のレスポンスが要求されるため、ＮｏＳＱＬ型データストア（実施例ではキーバリューストア）として構成される。第２判定結果保持部３６は、低頻度で読み込みが発生するデータが格納され、通常のＤＢＭＳ（実施例ではＲＤＢＭＳ）として構成される。

ＢＬ／ＷＬ保持部２８は、ブラックリストおよびホワイトリストのデータを保持する。図３は、ＢＬ／ＷＬ保持部２８のデータ構造の例を示す。図３では、キーとしてＩＰアドレス情報（例えばＩＰアドレス（またはネットワークアドレス）＋サブネットマスク長）が設定されている。また、値としてホワイトリストの識別子（図３では「ホワイト」）またはブラックリストの識別子（図３では「ブラック」）が設定されている。ホワイトリストの識別子に対応付けられたキーのリストがホワイトリストに相当し、ブラックリストの識別子に対応付けられたキーのリストがブラックリストに相当する。

例えば、ブラックリストでは、不正者により使用されたことが判明したＩＰアドレス、ネットワークアドレス、デバイスＩＤ（後述）、またはユーザＩＤが記録されてもよい。また、ホワイトリストでは、正当な権限を有するユーザが固定的に使用するＩＰアドレス、ネットワークアドレス、デバイスＩＤ、またはユーザＩＤが記録されてもよい。

図２に戻り、アドレス情報保持部３０は、ＩＰアドレスと地理情報との対応関係を保持する。図４は、アドレス情報保持部３０のデータ構造の例を示す。実施例のアドレス情報保持部３０は、対象サーバ１２に対するウェブアクセスの接続元ＩＰアドレスをキーとし、国・都市・緯度・経度を値として、両者を対応づけたレコードを保持する。接続元ＩＰアドレスは、対象サーバ１２で受信されたＩＰパケットに設定された送信元ＩＰアドレスであってもよい。典型的には、ユーザ端末１４のＩＰアドレスであってもよく、ユーザ端末１４と対象サーバ１２との通信を中継するプロキシサーバやルータ等のＩＰアドレスであってもよい。

図２に戻り、規則保持部３２は、ＢＩの高さを示すＢＩスコアを決定するための規則（言い換えれば基準）であるＢＩスコア判定規則と、ＦＰの高さを示すＦＰスコアを決定するための規則であるＦＰスコア判定規則を保持する。ＢＩスコア判定規則とＦＰスコア判定規則は、高速アクセスを可能にするために半導体メモリ内に格納されてもよく、後述のＢＩスコア導出部４６、ＦＰスコア導出部４８を実装したコンピュータプログラム内にアルゴリズムとして組み込まれてもよい。

図５は、ＢＩスコア判定規則のデータ構造の例を示す。ＢＩスコア判定規則は、判定条件と、判定条件が満たされた場合のＢＩスコアを対応づけて保持する。判定条件は、アクセス先ＵＲＬ、ＧＥＴまたはＰＯＳＴのパラメータ属性等が規定されてもよい。また、ＢＩスコアは、対象サーバ１２において重要な処理またはトランザクションほど大きい値が設定される。例えば、対象サーバ１２によりサービスを提供する企業のビジネスに与える影響が大きい処理またはトランザクションほど大きい値が設定されてよい。

図５の１番目のレコードは、ユーザ端末１４から対象サーバ１２へのアクセスが、ログイン認証を実行するＵＲＬに対するＰＯＳＴ送信である場合に、ＢＩスコアを「１０」とすることを示している。また、図５の４番目のレコードは、送信画面における送金実行用のＵＲＬに対するＰＯＳＴ送信であり、かつ、送金金額のパラメータの値が５０万円未満の場合に、ＢＩスコアに「９０」とすることを示している。

図６は、ＦＰスコア判定規則のデータ構造の例を示す。ＦＰスコア判定規則は、判定条件（図６では識別対象およびルール内容）と、判定条件が満たされた場合に加算すべきＦＰスコア（値は不図示）を対応づけて保持する。図６における識別対象は、アクセスのデータに含まれる複数種類の識別子のうち少なくとも１つである。識別対象は、例えば、国（ＩＰアドレスにより特定される国）、ＩＰアドレス、ＵＡ（User Agent）、ユーザＩＤ（ログイン要求で指定されたユーザＩＤ）、デバイスＩＤを含む。デバイスＩＤは、特定のユーザ端末１４を一意に識別可能な識別子であり、ユーザ端末１４のウェブブラウザ種類およびバージョン、言語設定、インストール済フォント、画面解像度、色深度、ＣＰＵ種別、タイムゾーン等の組み合わせに基づいて生成された情報である。

図６の「ルール内容」は、識別対象である識別子の値（およびその識別子に紐付く別の識別子の値）、および／または、識別対象である識別子の値に紐付く過去のリクエスト履歴（アクセス履歴）の態様を定めたものである。図６の「ＦＰスコア」は、対象サーバ１２が提供するウェブサイトの種類や業務内容に基づいて判定条件ごとに予め定められる。具体的には、複数の判定条件の中で、充足された場合に不正アクセスの疑いが強いものほど大きなＦＰスコアが設定される。

図６の項番２は、ウェブアクセスのデータに含まれる接続元ＩＰアドレスが、ブラックリストで指定されたＩＰアドレスに合致する場合、所定のＦＰスコアを加算するように規定するものである。図６の項番１７は、特定のユーザＩＤを指定したログイン試行アクセスについて、単位時間あたりの上記ログイン試行アクセスが含む接続元ＩＰアドレスの個数（ユニーク数）が所定値以上の場合、所定のＦＰスコアを加算するように規定するものである。ここでの単位時間は５分でもよく、所定値は５個でもよい。図６の項番２０は、同じデバイスＩＤを含むログイン試行アクセスについて、単位時間あたりの上記ログイン試行アクセスが含むユーザＩＤの個数（ユニーク数）が所定値以上の場合、所定のＦＰスコアを加算するように規定する。

なお、図６に示すＦＰスコア判定規則によると、正しいユーザＩＤとパスワードを使用した不正アクセスであっても、その不正アクセスを精度よく検出できる。例えば、図６の項番１０、１１はログイン回数（ログイン成功回数）が基準であり、図６の項番１２、１３はログイン失敗回数が基準である。これに加えて、図６の項番１７〜２０は、ログイン認証を実行するＵＲＬへのアクセス回数であり、ログインが成功か失敗かに関わらないログイン試行回数が基準であるため、仮にログインに成功したウェブアクセスであっても不正アクセスとして検出され得る。

図２に戻り、第１判定結果保持部３４および第２判定結果保持部３６は、リスク判定結果を保持する。図７は、第１判定結果保持部３４および第２判定結果保持部３６のデータ構造の例を示す。レコード群６０は、１つのウェブアクセスあたりに記録される複数のレコードである。アクセス属性６２は、ウェブアクセスの属性値であり、複数種類の識別子の値（ＩＰアドレス、ユーザＩＤ、デバイスＩＤ）を含む。リスク判定結果６４は、アクセス属性６２に基づくリスク判定結果であり、ＢＩスコア、ＦＰスコア、リスクランクを含む。

なお、第１判定結果保持部３４は、１つのウェブアクセスあたりに記録されたレコード群６０を、アクセス日時（例えばアクセス属性６２のＴｉｍｅ）から３０日間のみ保持する。その一方、第２判定結果保持部３６は、１つのウェブアクセスあたりに記録されたレコード群６０を、管理者による明示的な削除がない限り永続的に保持する。

図２に戻り、累積スコア保持部３８は、少なくとも１つのウェブアクセスで指定された複数種類の識別子のそれぞれについて、ＦＰスコアの累積値（以下「ＦＰ累積値」とも呼ぶ。）を含むデータを保持する。図８は、累積スコア保持部３８のデータ構造の例を示す。累積スコア保持部３８は、１つの識別子の値ごとに、型（Ｔｙｐｅ）・ＦＰ累積値（ＳｕｍＳｃｏｒｅ）・最終アクセス日時（ＬａｓｔＡｃｃｅｓｓ）の３レコードを含む。図８では、ＩＰアドレス「１３３．２５０．１９５．１」、デバイスＩＤ「Ｅ６ＪＵ９Ｍｒ・・・」、ユーザＩＤ「ｕｓｅｒ０００１」のそれぞれについて記録された型・ＦＰ累積値・最終アクセス日時を示している。

図２に戻り、制御部２２は、ログ取得部４０、判定要求受付部４２、判定結果提供部４４、ＢＩスコア導出部４６、ＦＰスコア導出部４８、リスク判定部５０、判定結果記録部５２、累積スコア記録部５４、アラート通知部５６、ダッシュボード提供部５８を含む。

ログ取得部４０は、ウェブアクセスに対するリスク判定をバッチ処理として実行させる場合のインタフェースである。ログ取得部４０は、１つ以上のウェブアクセスのデータ（内容または属性とも言え、以下「ウェブアクセス属性」と呼ぶ。）が記録されたアクセスログを対象サーバ１２から定期的に取得し、アクセスログに記録されたウェブアクセス属性を読み込む。ログ取得部４０は、対象サーバ１２から定期的に送信されたアクセスログを受信してもよい。

判定要求受付部４２と判定結果提供部４４は、１つのウェブアクセスに対するリスク判定をリアルタイム処理として実行させる場合のインタフェースである。判定要求受付部４２は、対象サーバ１２で予め定められた所定のＡＰＩがコールされた場合に、その引数で指定された１つのウェブアクセス属性を取得する。判定結果提供部４４は、上記ＡＰＩのコールに対するレスポンスとして、リスク判定結果（例えば図７のリスク判定結果６４）を対象サーバ１２へ送信する。

実施例のウェブアクセス属性は、アクセス日時、アクセス先ＵＲＬ、接続元ＩＰアドレス、ユーザＩＤ、ブラウザ種別（またはＵｓｅｒＡｇｅｎｔ）、デバイスＩＤを含む。ユーザＩＤは、ログイン認証画面に対してパラメータとして送信されたユーザＩＤでもよく、ログイン後のユーザセッションに対応付けられたユーザＩＤでもよい。対象サーバ１２は、デバイスＩＤ取得スクリプト（例えばＪａｖａｓｃｒｉｐｔ（登録商標）プログラム）を保持し、当該スクリプトをウェブページのデータとともにユーザ端末１４へ送信してユーザ端末１４のウェブブラウザで実行させることにより、ユーザ端末１４からデバイスＩＤを取得する。

また、ウェブアクセス属性は、対象サーバ１２のウェブサイトにおける業務固有のパラメータをさらに含む。例えば、ウェブアクセス属性は、ＧＥＴ送信またはＰＯＳＴ送信でパラメータとして付加されたデータをさらに含んでもよい。この場合、ＢＩスコア判定規則とＦＰスコア判定規則の少なくとも一方に、業務固有のパラメータの値に基づく判定条件が設定されてもよい。例えば、インターネットバンキングのウェブサイトの場合、業務固有のパラメータとして口座番号や取引金額を含んでもよい。そして、口座番号や取引金額が判定条件を満たす場合に、ＢＩスコアとＦＰスコアの少なくとも一方を加算してもよい。

ＢＩスコア導出部４６は、ログ取得部４０または判定要求受付部４２により取得されたウェブアクセス属性と、規則保持部３２に保持されたＢＩスコア判定規則にしたがって、ウェブアクセス属性ごとのＢＩスコアを導出する。言い換えれば、ユーザ端末１４から対象サーバ１２へのウェブアクセスごとのＢＩスコアを導出する。

ＢＩスコア導出部４６は、１つのウェブアクセス属性に含まれるアクセス先ＵＲＬと、パラメータ属性値の組み合わせが、ＢＩスコア判定規則に定められた特定の判定条件を充足する場合、その判定条件に対応付けられたＢＩスコア（例えば０〜１００の値）を、当該ウェブアクセスのＢＩスコアとして決定する。図５の例では、１つのウェブアクセス属性に含まれるアクセス先ＵＲＬがログイン認証ＵＲＬと合致する場合、そのウェブアクセスのＢＩスコアを「１０」に決定する。変形例として、ウェブアクセス属性が複数の判定条件を充足する場合、それら複数の判定条件に対応付けられたＢＩスコアの合計値を０〜１００の値に正規化し、正規化後の値を当該ウェブアクセスのＢＩスコアとして決定してもよい。

ＦＰスコア導出部４８は、ログ取得部４０または判定要求受付部４２により取得されたウェブアクセス属性と、規則保持部３２に保持されたＦＰスコア判定規則にしたがって、ウェブアクセス属性ごとのＦＰスコアを導出する。言い換えれば、ユーザ端末１４から対象サーバ１２へのウェブアクセスごとのＦＰスコアを導出する。

実施例のＦＰスコア導出部４８は、１つのウェブアクセス属性に含まれる複数種類の識別子（例えば接続元ＩＰアドレス、ユーザＩＤ、デバイスＩＤ）について、識別子ごとにその値に基づいてＦＰ値を導出し、識別子ごとに導出したＦＰ値を集計して１つのウェブアクセスのＦＰ値を導出する。具体的には、ＦＰスコア導出部４８は、第１判定結果保持部３４に保持された識別子の値（例えば接続元ＩＰアドレスの値）が一致する過去のウェブアクセス属性を参照する。そして、過去の１つ以上のウェブアクセス属性から今回のウェブアクセス属性に基づいて特定される複数のウェブアクセスの振る舞いが、ＦＰスコア判定規則の判定条件（例えば図６の項番９以降）に合致する場合、その判定条件に対応付けられたＦＰスコアを加算する。ＦＰスコア導出部４８は、１つのウェブアクセス属性に含まれる識別子ごとに（言い換えればＦＰスコア判定規則の判定条件ごとに）、判定条件の充足判定処理とＦＰスコア加算処理を繰り返す。

例えば、図６の項番２にしたがって、ＦＰスコア導出部４８は、アクセスデータに含まれる接続元ＩＰアドレスが、ＢＬ／ＷＬ保持部２８のブラックリストで指定されている場合、項番２で定められたＦＰスコアを加算する。また、図６の項番１７にしたがって、ＦＰスコア導出部４８は、判定対象のウェブアクセスに含まれるユーザＩＤに対する、単位時間あたりのログイン試行ＩＰアドレス数が所定値以上の場合、項番１７で定められたＦＰスコアを加算する。この場合、ＦＰスコア導出部４８は、上記ユーザＩＤを指定したログイン試行ＵＲＬへのウェブアクセスを、第１判定結果保持部３４から検索してもよい。そして、検索にヒットした１つ以上のウェブアクセスにおける接続元ＩＰアドレスのユニーク数を計数してもよい。

また、図６の項番２０にしたがって、ＦＰスコア導出部４８は、判定対象のウェブアクセスに含まれるデバイスＩＤを含む所定の単位時間内の１回以上のログイン試行アクセスを特定する。そして、それらのログイン試行アクセスで指定されたユーザＩＤのユニーク数が所定値以上の場合、項番２０で定められたＦＰスコアを加算する。この場合、ＦＰスコア導出部４８は、上記デバイスＩＤを指定したログイン試行ＵＲＬへのウェブアクセスを、第１判定結果保持部３４から検索してもよい。そして、検索にヒットした１つ以上のウェブアクセスで指定されたユーザＩＤのユニーク数を計数してもよい。

実施例のＦＰスコア導出部４８は、１つのウェブアクセス属性に含まれる識別子ごとに（言い換えればＦＰスコア判定規則の判定条件ごとに）積み上げたＦＰスコア（ここでは「合計スコア」と呼ぶ。）を０〜１００の値に正規化し、最終的なＦＰスコアとする。図９は、ＦＰスコアの正規化の一例を示す。ＦＰスコア導出部４８は、合計スコア（ｘ）を予め定められたシグモイド関数６６へ入力し、シグモイド関数６６の出力値（０≦Ｆ（ｘ）≦１００）を最終的なＦＰ値として決定してもよい。なお、図９のシグモイド関数６６におけるａ、ｂの値は、対象サーバ１２の構築フェーズまたはチューニングフェーズにおいて、回帰分析等を使用して適宜決定・調整されてよい。

図２に戻り、リスク判定部５０は、複数のウェブアクセスのそれぞれに対して導出されたＢＩスコアとＦＰスコアに基づいて、各ウェブアクセスの危険度（以下「リスクランク」とも呼ぶ。）を判定する。リスク判定部５０は、各ウェブアクセスのリスクランクを含むリスク判定結果を生成する。判定結果記録部５２は、リスク判定部５０により生成された或るウェブアクセスに対するリスク判定結果（図７のリスク判定結果６４）を、そのウェブアクセス属性のデータ（図７のアクセス属性６２）と対応付けて第１判定結果保持部３４と第２判定結果保持部３６の両方へ格納する。

図１０は、実施例のリスク判定基準を示す。リスク判定部５０は、ＢＩスコアとＦＰスコアの組み合わせが領域７０に該当する場合、リスクランク「低（ＬＯＷ）」と判定する。また、上記組み合わせが領域７２に該当すればリスクランク「中（ＭＩＤ）」、領域７４に該当すればリスクランク「高（ＨＩＧＨ）」、領域７６に該当すればリスクランク「重大（ＳＥＶＥＲＥ）」と判定する。

図１０に示すように、リスク判定部５０は、或るウェブアクセスのＢＩスコアが相対的に大きい場合、当該ウェブアクセスのＦＰスコアが相対的に小さくても、当該ウェブアクセスの危険度を相対的に高く判定する。また、リスク判定部５０は、或るウェブアクセスのＦＰスコアが相対的に大きい場合、当該ウェブアクセスのＢＩスコアが相対的に小さくても、当該ウェブアクセスの危険度を相対的に高く判定する。言い換えれば、リスク判定部５０は、ＦＰスコアが所定値（同一の値）であるとき、ＢＩスコアが大きくなるほど危険度を高く判定する。同様に、リスク判定部５０は、ＢＩスコアが所定値（同一の値）であるとき、ＦＰスコアが大きくなるほど危険度を高く判定する。

累積スコア記録部５４は、ウェブアクセスのデータに含まれる複数種類の識別子（例えばＩＰアドレス、デバイスＩＤ、ユーザＩＤ）について、識別子ごとにその値とＦＰスコアの累積値（すなわちＦＰ累積値）とを対応付けて累積スコア保持部３８に記録する。図８で示したように、実施例では、１つの識別子の値をキーとして、型・ＦＰ累積値・最終アクセス日時（擬似的にＦＰ累積値の更新日時でもよい）を対応付けて記録する。

累積スコア記録部５４は、複数種類の識別子（例えばＩＰアドレス、デバイスＩＤ、ユーザＩＤ）のそれぞれに対するＢＬ追加基準値を保持する。ＢＬ追加基準値は、識別子の種類ごとに異なる値が設定されてよい。累積スコア記録部５４は、或る識別子の値に対応付けて記録されたＦＰスコアの累積値が、ＢＬ追加基準値以下からＢＬ追加基準値を超えた場合に、その識別子の値をブラックリストへ自動的に登録する。具体的には、その識別子の値をキーとし、「ブラック」を値とするレコードをＢＬ／ＷＬ保持部２８へ追加する。

ＦＰスコア導出部４８は、或るウェブアクセスに関するデータに含まれる識別子ごとに、識別子の値に対して予め記録されたＦＰ累積値に基づいて当該ウェブアクセスが不正である可能性の高さを検出する。具体的には、ＦＰスコア導出部４８は、識別子の値がブラックリストに登録されていた場合、言い換えれば、累積値の値をキーとし、かつ「ブラック」を値とするレコードがＢＬ／ＷＬ保持部２８に存在する場合、ＦＰスコアを加算する（例えば図６の項番１〜５）。

また実施例では、累積スコア保持部３８に保持されるＦＰ累積値が、時間の経過とともに一定量減衰するモデルを採用する。累積スコア記録部５４は、或る識別子の値と対応付けて記録したＦＰ累積値を、その識別子の値を含む最終アクセスからの経過時間に応じて減算する。実施例では、最終アクセスからの経過時間が長くなるほど、ＦＰ累積値の減算幅を大きくする。例えば、或るＩＰアドレスの値（ここでは図８の「１３３．２５０．１９５．１」）に対応付けて記録されたＦＰ累積値「３０」について、「１３３．２５０．１９５．１」を接続元ＩＰアドレスとするウェブアクセスがなされない期間が長くなるほど上記ＦＰ累積値を小さくしていく。

具体的には、累積スコア記録部５４は、所定の単位時間あたりの減衰量ｄを保持する。累積スコア記録部５４は、ウェブアクセス属性が受け付けられた場合に、そのウェブアクセス属性に含まれる識別子ごとに、前回更新時におけるＦＰ累積値から、（前回更新時からの経過時間Ｔ×ｄ）を減算する。言い換えれば、累積スコア記録部５４は、以下の計算を実行して、識別子ごとのＦＰ累積値を更新し、新たなＦＰ累積値を累積スコア保持部３８へ格納する。
新たなＦＰ累積値 ＝ 前回更新時のＦＰ累積値 ー Ｔｄ

累積スコア記録部５４は、或る識別子の値に対応付けて記録されたＦＰ累積値が、ＢＬ追加基準値を超えた状態からＢＬ追加基準値以下に変化した場合に、その識別子の値をブラックリストから除外する。具体的には、その識別子の値をキーとし、「ブラック」を値とするレコードをＢＬ／ＷＬ保持部２８から削除する。

アラート通知部５６は、所定のリスクランク以上のウェブアクセスを示すアラート情報（例えば図６のアクセス属性６２およびリスク判定結果６４のデータ）を管理者端末１８へ通知する。通知方法は、電子メール、ファイル送信、プッシュ通知等、公知の方法でよい。アラート通知部５６は、予め定められたタイミングで定期的にアラート情報を管理者端末１８へ送信してもよい。また、所定のリスクランク以上のウェブアクセスが検出されたタイミング、言い換えれば、所定のリスクランク以上を示すリスク判定結果が第１判定結果保持部３４、第２判定結果保持部３６に記録されたタイミングで、アラート情報を送信してもよい。

なお、本実施形態では、所定のリスクランク以上のウェブアクセスを示すアラート情報を管理者端末１８へ通知する構成であったが、その処理に代えて、またはその処理とともに、所定のリスクランク以上のウェブアクセスに対して所定の動作を実行する構成であってもよい。ここで、所定の動作とは、所定のリスクランク以上のウェブアクセスを遮断したり、所定のリスクランク以上のウェブアクセスの対象となる取引を拒否したり、追加の認証を実施することが含まれる。これにより、管理者端末１８に通知することに加え、不正の取引を未然に防ぐことができる。また、所定のリスクランク以上のウェブアクセスを示すアラート情報を管理者端末１８へ通知することに加え、ウェブアクセスの対象となる取引毎、図５の業務処理毎、図５の判定条件毎、図６のルールカテゴリ毎、図６のルール内容毎に、前記所定の動作を設定可能とする構成にすることもできる。

ダッシュボード提供部５８は、リスク判定結果、およびその統計情報を表示するダッシュボードの画面データを生成して管理者端末１８へ送信する。ダッシュボード提供部５８は、第２判定結果保持部３６に保持されたリスク判定結果を読み込んでダッシュボードの画面データを生成する。

以上の構成による情報システム１０の動作を説明する。対象サーバ１２は、通信販売やインターネットバンキング等の所定のウェブサイト（ここでは「監視対象サイト」と呼ぶ。）をインターネット上に公開する。正当な権限を有するユーザまたは不正者は、ユーザ端末１４を操作して監視対象サイトへアクセスする。対象サーバ１２は、監視対象サイトのウェブページをアクセス元のユーザ端末１４へ提供し、ユーザ端末１４のウェブブラウザは、監視対象サイトのウェブページをディスプレイに表示させる。なお、監視対象サイトのウェブページにはデバイスＩＤ取得スクリプトが含まれ、ユーザ端末１４のウェブブラウザは、デバイスＩＤ取得スクリプトを実行し、自機の環境に基づいて生成したデバイスＩＤを対象サーバ１２へ送信する。

この例の対象サーバ１２は、ユーザ端末１４からウェブアクセスを受け付けるたびに、そのウェブアクセス属性（接続元ＩＰアドレス、ユーザＩＤ、デバイスＩＤ等）を含むリスク判定要求を不正アクセス検出装置２０へ送信する。既述したように、対象サーバ１２は、ユーザ端末１４から受け付けたウェブアクセスの属性データをアクセスログへ逐次記録してもよい。そして、不正アクセス検出装置２０に対するリスク判定要求として、定期的にアクセスログを不正アクセス検出装置２０へ送信してもよい。

図１１は、不正アクセス検出装置２０の動作を示すフローチャートである。対象サーバ１２から送信されたリスク判定要求（ウェブアクセス属性）を判定要求受付部４２が受け付けると（Ｓ１０のＹ）、以下のＳ１２〜Ｓ３８の処理が実行される。不正アクセス検出装置２０は、対象サーバ１２から送信されたウェブアクセス属性ごとにＳ１２〜Ｓ３８の処理を繰り返し実行する。対象サーバ１２からアクセスログが入力される場合、不正アクセス検出装置２０は、アクセスログに記録されたウェブアクセス属性ごとにＳ１２〜Ｓ３８の処理を繰り返し実行する。

累積スコア記録部５４は、受け付けられたウェブアクセス属性に含まれる複数種類の識別子（接続元ＩＰアドレス、ユーザＩＤ、デバイスＩＤ等）それぞれの値について、対応するＦＰ累積値が累積スコア保持部３８に保持されていれば、最終アクセス日時から現在日時までの経過時間に応じて、各識別子の値に対応するＦＰ累積値を減算する（Ｓ１２）。Ｓ１２の結果、或る識別子の値に対応付けられたＦＰ累積値が、ＢＬ追加基準値を超えた状態からＢＬ追加基準値以下になれば（Ｓ１４のＹ）、その値をブラックリストから除外する（Ｓ１６）。或る識別子の値に対応付けられたＦＰ累積値が、ＢＬ追加基準値を超えた状態を継続し、または、ＢＬ追加基準値以下の状態を継続する場合（Ｓ１４のＮ）、Ｓ１６をスキップする。すなわちブラックリストの変更を抑制する。

ＢＩスコア導出部４６は、今回のウェブアクセス属性（例えばアクセス先ＵＲＬおよび業務固有パラメータ等）とＢＩスコア判定規則にしたがってＢＩスコアを決定する（Ｓ１８）。ＦＰスコア導出部４８は、今回のウェブアクセス属性と、第１判定結果保持部３４に保持された識別子の値が同一の過去のウェブアクセス属性と、ＦＰスコア判定規則にしたがってＦＰスコアを決定する（Ｓ２０）。Ｓ２０では、今回のウェブアクセス属性に含まれる複数種類の識別子のそれぞれについてＦＰスコアを算出し、識別子ごとのＦＰスコアを集計して、今回のウェブアクセス属性のＦＰスコアを決定する。リスク判定部５０は、ＢＩスコアとＦＰスコアとに正相関するようにリスクランクを決定する（Ｓ２２）。

対象サーバ１２からＡＰＩコールによってリスク判定要求が入力された場合（Ｓ２４のＹ）、判定結果提供部４４は、リスク判定結果（具体的にはＢＩスコア、ＦＰスコア、リスクランク）を、ＡＰＩコールに対する応答として対象サーバ１２へ送信する（Ｓ２６）。対象サーバ１２は、リスク判定結果にしたがって、判定対象のウェブアクセスに対する処理を決定する。例えば、対象サーバ１２は、リスクランクが所定の基準値を上回る場合、ウェブアクセスが示す要求を拒否することを決定し、拒否を示す応答をユーザ端末１４へ送信してもよい。対象サーバ１２からアクセスログによってリスク判定要求が入力された場合（Ｓ２４のＮ）、Ｓ２６をスキップする。

判定結果記録部５２は、今回判定対象となったウェブアクセス属性と、当該属性に基づくリスク判定結果を対応付けて第１判定結果保持部３４と第２判定結果保持部３６の両方に記録する（Ｓ２８）。今回のウェブアクセスのリスクランクが対象サーバ１２（もしくはその管理者）との間で予め定められた閾値（例えばリスクランク「高」または「重大」）以上の場合（Ｓ３０のＹ）、アラート通知部５６は、危険度が高いウェブアクセスがあったことを示すアラート情報を管理者端末１８へ送信する（Ｓ３２）。今回のリスク判定結果におけるリスクランクが閾値以下であれば（Ｓ３０のＮ）、Ｓ３２をスキップする。

累積スコア記録部５４は、今回判定対象となったウェブアクセス属性に含まれる複数種類の識別子について、各識別子の値に対応付けて記録されたＦＰ累積値に対して、Ｓ２０で算出されたＦＰスコアを加算する（Ｓ３４）。Ｓ３４の結果、或る識別子の値に対応付けられたＦＰスコアの累積値が、ＢＬ追加基準値以下の状態からＢＬ追加基準値を超えた場合（Ｓ３６のＹ）、その値をブラックリストへ追加登録する（Ｓ３８）。或る識別子の値に対応付けられたＦＰスコアの累積値が、ＢＬ追加基準値を超えた状態を継続し、または、ＢＬ追加基準値以下の状態を継続する場合（Ｓ３６のＮ）、Ｓ３８をスキップする。すなわちブラックリストの変更を抑制する。

対象サーバ１２からリスク判定要求（ウェブアクセス属性）が未入力であれば（Ｓ１０のＮ）、Ｓ１２〜Ｓ３８をスキップする。管理者端末１８からダッシュボードの参照要求が受け付けられると（Ｓ４０のＹ）、ダッシュボード提供部５８は、第２判定結果保持部３６に保持された１つ以上のウェブアクセスに対するリスク判定結果を参照し、各ウェブアクセスに対するリスク判定結果、および、それらを統計処理した結果を含むダッシュボード画面のデータを管理者端末１８へ送信して表示させる（Ｓ４２）。ダッシュボードの参照要求を受け付けなければ（Ｓ４０のＮ）、Ｓ４２をスキップする。

実施例の不正アクセス検出装置２０によると、対象サーバ１２に対するウェブアクセスをＢＩとＦＰの２軸で評価し、当該ウェブアクセスのリスクランクを決定する。これにより、対象サーバ１２のウェブサイトに対してウェブアクセスが与える影響度合い、言い換えれば、対象サーバ１２が実行する業務やビジネスに対してウェブアクセスが与える現実のリスクの大きさに即して評価したウェブアクセスの危険度を対象サーバまたは管理者へ提供できる。

また現在、複数台の端末、複数のＩＰアドレス、複数のユーザＩＤを切り替えつつ、なりすましログインや不正取引、リスト型アカウントハッキング等が行われることがあるが、不正アクセス検出装置２０では、複数種類の識別子を含むウェブアクセスに対して識別子ごとにＦＰスコアを積み上げていきウェブアクセスのＦＰスコアを決定するため、これらの不正アクセスを検出しやすくなる。例えば、正しいユーザＩＤ・パスワードを用いたアクセスであっても、（１）同じＩＰアドレスで多数のユーザＩＤへのログインが行われた場合、（２）同じユーザＩＤを用いたログインが（異なるＩＰアドレスからも含めて）多数行われた場合、（３）同じデバイスＩＤで多数のユーザＩＤへのログイン試行が行われた場合等、ＦＰスコアの増加により不正アクセスとして検知することができる。

また、実施例の不正アクセス検出装置２０は、識別子の値ごとにＦＰスコアを累積し、閾値を超えると、上記識別子の値をブラックリストへ自動登録する。これにより、同一の識別子の値を用いた過去のウェブアクセスに対して判定された不正の疑いの度合いを、今回のウェブアクセスに対するリスク判定へ反映することができる。さらにまた、不正アクセス検出装置２０は、最終アクセスからの経過時間に応じてＦＰスコアの累積値を減算し、閾値以下になるとブラックリストから自動削除する。これにより、ブラックリストの登録数の増加を抑制でき、ブラックリストとの効率的なマッチングを実現する。また、不正アクセスで使用されなくなってから時間が経過した識別子の値はブラックリストから除外されるため、その後、正当なユーザがその識別子の値を利用する場合に、不正アクセスと誤検知してしまうことを抑制できる。

以上、本発明を実施例をもとに説明した。この実施例は例示であり、各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。以下変形例を示す。

第１変形例を説明する。実施例では言及していないが、ＦＰスコア判定規則は、対象サーバ１２に対して１つのユーザ端末１４からなされた複数回のウェブアクセスに所定の関係がある場合にＦＰスコアを加算することを定めてもよい。例えば、対象サーバ１２のウェブサイトがロイヤリティプログラム（ポイントプログラム）を提供するウェブサイトである場合に、識別対象「ユーザＩＤ」、ルール内容「ポイント交換（モノとの引き替え）のウェブページのＵＲＬを指定したＨＴＴＰ要求から、退会のウェブページのＵＲＬを指定したＨＴＴＰ要求までの時間が所定時間（例えば３分）以内であること」が規定されてもよい。

本発明者は、ロイヤリティプログラムを提供するウェブサイトに対する不正アクセスを調査する中で、ポイント交換を実行後、証拠隠滅のためにすぐに退会するという振る舞いが多いことを発見した。本変形例の態様によると、時間的に前後する複数回のウェブアクセスの関係に着目してＦＰスコアを加算することにより、不正アクセスの検出精度を一層高めることができる。

第２変形例を説明する。実施例の不正アクセス検出装置２０は、対象サーバ１２に対する不正アクセスを検出したが、変形例として、不正アクセス検出装置２０は、自装置に対する外部装置からの不正アクセスを検出してもよい。不正アクセスを検出した場合には、自装置のユーザへその旨を通知してもよく、外部装置からの不正アクセスを遮断するための処理（例えば通信の無効化処理、パーソナルファイアウォールの設定処理等）を実行してもよい。

本変形例の不正アクセス検出装置２０は、一般的なＰＣ、タブレット端末、スマートフォン等の情報端末であってもよく、図２に示した機能ブロックが実装されたコンピュータプログラムが情報端末にインストールされて実行されることにより、実施例の不正アクセス検出装置２０と同様の処理を実行してもよい。本変形例の不正アクセス検出装置２０に保持されるＢＩスコア判定規則は、例えば、外部装置からのアクセスが重要なシステムコールを発生させるアクセスに対して高いＢＩスコアが設定されてもよい。また、ＦＰスコア判定規則は、例えば、管理者権限の乗っ取りやハッキングの典型的なパターンに対して高いＦＰスコアが設定されてもよい。

上述した実施例および変形例の任意の組み合わせもまた本発明の実施の形態として有用である。組み合わせによって生じる新たな実施の形態は、組み合わされる実施例および変形例それぞれの効果をあわせもつ。請求項に記載の各構成要件が果たすべき機能は、実施例および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。

２０ 不正アクセス検出装置、 ４０ ログ取得部、 ４２ 判定要求受付部、 ４４ 判定結果提供部、 ４６ ＢＩスコア導出部、 ４８ ＦＰスコア導出部、 ５０ リスク判定部、 ５２ 判定結果記録部、 ５４ 累積スコア記録部。

Claims (9)

1. 所定の装置に対する通信網を介したアクセスに関するデータを取得する取得部と、
   前記取得部により取得されたデータに基づいて、前記装置における前記アクセスの重要度を示す第１指標値と、前記アクセスが不正である可能性の高さを示す第２指標値を導出する導出部と、
   前記導出部により導出された第１指標値と第２指標値に基づいて、前記アクセスの危険度を判定する判定部と、
   を備えることを特徴とする不正アクセス検出装置。
2. 前記判定部は、第２指標値が所定値であるとき、第１指標値が大きくなるほど前記アクセスの危険度を高く判定することを特徴とする請求項１に記載の不正アクセス検出装置。
3. 前記アクセスに関するデータには複数種類の識別子が含まれ、
   前記導出部は、識別子ごとにその値に基づいて前記アクセスが不正である可能性の高さを検出し、識別子ごとに検出した前記可能性の高さを集計して前記アクセスの第２指標値を導出することを特徴とする請求項１または２に記載の不正アクセス検出装置。
4. 前記導出部は、識別子の値が一致する過去のアクセスに関するデータを参照し、過去からの複数回のアクセスの態様が所定の条件を満たす場合に、前記アクセスが不正である可能性が高いことを検出する処理を、前記アクセスに関するデータに含まれる識別子ごとに実行することを特徴とする請求項３に記載の不正アクセス検出装置。
5. アクセスに関するデータに含まれる複数種類の識別子ごとに、識別子の値と、前記導出部により導出された第２指標値の累積値とを対応付けて記録する記録部をさらに備え、
   前記導出部は、或るアクセスに関するデータに含まれる識別子ごとに、識別子の値に対して予め記録された第２指標値の累積値に基づいて前記或るアクセスが不正である可能性の高さを検出し、識別子ごとに検出した前記可能性の高さを集計して前記或るアクセスの第２指標値を導出することを特徴とする請求項３または４に記載の不正アクセス検出装置。
6. 前記記録部は、或る識別子の値と対応付けて記録した第２指標値の累積値を、その識別子の値を含む最終アクセスからの経過時間に応じて減算することを特徴とする請求項５に記載の不正アクセス検出装置。
7. 通信網を介して所定の装置になされたアクセスに関するデータを取得する取得部と、
   前記取得部により取得されたデータに基づいて、前記アクセスが不正である可能性の高さを示す指標値を導出する導出部と、
   前記導出部により導出された指標値に基づいて、前記アクセスの危険度を判定する判定部と、
   を備え、
   前記アクセスに関するデータには複数種類の識別子が含まれ、
   前記導出部は、識別子ごとにその値に基づいて前記アクセスが不正である可能性の高さを検出し、識別子ごとに検出した前記可能性の高さを集計して前記アクセスの指標値を導出することを特徴とする不正アクセス検出装置。
8. 所定の装置に対する通信網を介したアクセスに関するデータを取得するステップと、
   前記取得するステップで取得されたデータに基づいて、前記装置における前記アクセスの重要度を示す第１指標値と、前記アクセスが不正である可能性の高さを示す第２指標値を導出するステップと、
   前記導出するステップで導出された第１指標値と第２指標値に基づいて、前記アクセスの危険度を判定するステップと、
   をコンピュータが実行することを特徴とする不正アクセス検出方法。
9. 所定の装置に対する通信網を介したアクセスに関するデータを取得する機能と、
   前記取得する機能により取得されたデータに基づいて、前記装置における前記アクセスの重要度を示す第１指標値と、前記アクセスが不正である可能性の高さを示す第２指標値を導出する機能と、
   前記導出する機能により導出された第１指標値と第２指標値に基づいて、前記アクセスの危険度を判定する機能と、
   をコンピュータに実現させるためのコンピュータプログラム。

Images