JP2021077122A - プログラム、情報処理装置及び情報処理方法 - Google Patents

Abstract

【課題】ログイン時間及びログイン時点での地域情報に基づいて異常を判定することが可能なプログラム等を提供すること。【解決手段】一つの側面に係るプログラムは、ウェブアプリケーションファイアウォールプログラムにおいて、ユーザ端末からユーザが保護対象のウェブサイトへログインした第１ログイン時点での第１ＩＰアドレスを取得し、取得した前記第１ＩＰアドレスに基づき、プロバイダ、国及び地域を含む第１地域情報を特定し、前記第１ログイン時点と異なる第２ログイン時点での第２ＩＰアドレスを取得し、取得した前記第２ＩＰアドレスに基づき、第２地域情報を特定し、前記第１ログイン時点での第１ログイン時間及び前記第１地域情報と、前記第２ログイン時点での第２ログイン時間及び前記第２地域情報とに基づき、第１異常を判定する処理をコンピュータに実行させる。【選択図】図１

Description

本発明は、プログラム、情報処理装置及び情報処理方法に関する。

特許文献１には、未知の攻撃を未然に防ぎ、正当なパラメータを有するリクエストを誤って遮断することを防止する検知システムが開示されている。

ＷＯ−Ａ１−２０１７／１５０００３号公報

しかしながら、特許文献１に係る発明は、ログイン時間及びログイン時点での地域情報に基づいて異常を判定することができない恐れがある。

一つの側面では、ログイン時間及びログイン時点での地域情報に基づいて異常を判定することが可能なプログラム等を提供することにある。

一つの側面に係るプログラムは、ウェブアプリケーションファイアウォールプログラムにおいて、ユーザ端末からユーザが保護対象のウェブサイトへログインした第１ログイン時点での第１ＩＰアドレスを取得し、取得した前記第１ＩＰアドレスに基づき、プロバイダ、国及び地域を含む第１地域情報を特定し、前記第１ログイン時点と異なる第２ログイン時点での第２ＩＰアドレスを取得し、取得した前記第２ＩＰアドレスに基づき、第２地域情報を特定し、前記第１ログイン時点での第１ログイン時間及び前記第１地域情報と、前記第２ログイン時点での第２ログイン時間及び前記第２地域情報とに基づき、第１異常を判定する処理をコンピュータに実行させる。

一つの側面では、ログイン時間及びログイン時点での地域情報に基づいて異常を判定することが可能となる。

クラウド型ウェブアプリケーションファイアウォールサービスを提供するシステムの概要を示す説明図である。 サーバの構成例を示すブロック図である。 端末情報ＤＢのレコードレイアウトの一例を示す説明図である。 リスクスコアＤＢのレコードレイアウトの一例を示す説明図である。 操作ログＤＢのレコードレイアウトの一例を示す説明図である。 異常判定結果ＤＢのレコードレイアウトの一例を示す説明図である。 アクセス履歴ＤＢのレコードレイアウトの一例を示す説明図である。 ウェブサーバの構成例を示すブロック図である。 ユーザ端末の構成例を示すブロック図である。 監視者端末の構成例を示すブロック図である。 クラウド型ウェブアプリケーションファイアウォールサービスを提供するシステムの構造図である。 異常を判定する動作を説明する説明図である。 異常を判定する際の処理手順を示すフローチャートである。 異常を判定する際の処理手順を示すフローチャートである。 第１異常を判定する処理のサブルーチンの処理手順を示すフローチャートである。 第２異常を判定する処理のサブルーチンの処理手順を示すフローチャートである。 第３異常を判定する処理のサブルーチンの処理手順を示すフローチャートである。 監視者端末上で異常判定結果を表示するイメージ図である。 多要素認証処理を行う際の処理手順を示すフローチャートである。 多要素認証処理のサブルーチンの処理手順を示すフローチャートである。 合計リスクスコアにより異常を判定する際の処理手順を示すフローチャートである。

以下、本発明をその実施形態を示す図面に基づいて詳述する。

（実施形態１）
実施形態１は、ユーザの行動分析または不正操作検出を行うことにより異常を判定する形態に関する。ユーザの行動は、例えばウェブサイトへのアクセス、またはユーザの移動によるアクセス元の地域情報の変更等を含む。不正操作は、ユーザの操作ログに基づいて検出された不審な操作であり、例えばマウス操作無しのアクセス、存在しないページへのアクセスまたはＶＰＮ（Virtual Private Network）を使用したアクセス等である。

図１は、クラウド型ウェブアプリケーションファイアウォール（ＷＡＦ：Web Application Firewall）サービスを提供するシステムの概要を示す説明図である。本実施形態のシステムは、情報処理装置１、情報処理装置２、情報処理端末３及び情報処理端末４を含み、各装置はインターネット等のネットワークＮを介して情報の送受信を行う。

情報処理装置１は、種々の情報に対する処理、記憶及び送受信を行う情報処理装置である。情報処理装置１は、例えばサーバ装置、パーソナルコンピュータ等である。本実施形態において、情報処理装置１はサーバ装置であるものとし、以下では簡潔のためサーバ１と読み替える。

情報処理装置２は、ウェブアプリケーション、ウェブサイトまたはウェブサービスの運用業務等を行う情報処理装置であり、例えばサーバ装置、パーソナルコンピュータ等である。情報処理装置２は、例えばＥＣ（Electronic Commerce）サイト、通販サイトまたはゲーム等を運営するための情報処理装置であっても良い。なお、情報処理装置２に、該情報処理装置２上のウェブサイトまたはウェブアプリケーションを監視するためのＷＡＦサービスを提供するアプリケーションがインストールされる。本実施形態において、情報処理装置２はサーバ装置であるものとし、以下では簡潔のためウェブサーバ２と読み替える。

情報処理端末３は、ウェブサーバ２へのアクセス、及びウェブサーバ２から送信されたウェブコンテンツの表示等を行う端末装置である。情報処理端末３は、例えばスマートフォン、携帯電話、アップルウォッチ（Apple Watch:登録商標）等のウェアラブルデバイス、タブレット、パーソナルコンピュータ端末等の情報処理機器である。以下では簡潔のため、情報処理端末３をユーザ端末３と読み替える。

情報処理端末４は、ユーザの不正操作または外部の攻撃等の各種の異常の受信及び表示等を行う端末装置である。情報処理端末４は、例えばスマートフォン、携帯電話、アップルウォッチ等のウェアラブルデバイス、タブレット、パーソナルコンピュータ端末等の情報処理機器である。以下では簡潔のため、情報処理端末４を監視者端末４と読み替える。

本実施形態に係るサーバ１は、ユーザがウェブサーバ２上で運営されている保護対象のウェブサイトへアクセスした場合、ユーザのユーザ端末３の端末情報及びログインの有無情報を含むアクセス情報を取得して記憶する。サーバ１は、ログインの有無情報に基づき、ログインありでのアクセスであると判定した場合、端末情報及びユーザの操作ログに基づいて各種の異常を判定する。サーバ１は、異常を判定したユーザのアクセス履歴情報及び異常判定結果を監視者端末４に送信する。

図２は、サーバ１の構成例を示すブロック図である。サーバ１は、制御部１１、記憶部１２、通信部１３、入力部１４、表示部１５、読取部１６及び大容量記憶部１７を含む。各構成はバスＢで接続されている。

制御部１１はＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro-Processing Unit）、ＧＰＵ（Graphics Processing Unit）等の演算処理装置を含み、記憶部１２に記憶された制御プログラム１Ｐを読み出して実行することにより、サーバ１に係る種々の情報処理、制御処理等を行う。なお、図２では制御部１１を単一のプロセッサであるものとして説明するが、マルチプロセッサであっても良い。

記憶部１２はＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等のメモリ素子を含み、制御部１１が処理を実行するために必要な制御プログラム１Ｐ又はデータ等を記憶している。また、記憶部１２は、制御部１１が演算処理を実行するために必要なデータ等を一時的に記憶する。通信部１３は通信に関する処理を行うための通信モジュールであり、ネットワークＮを介して、ウェブサーバ２、ユーザ端末３及び監視者端末４等との間で情報の送受信を行う。

入力部１４は、マウス、キーボード、タッチパネル、ボタン等の入力デバイスであり、受け付けた操作情報を制御部１１へ出力する。表示部１５は、液晶ディスプレイ又は有機ＥＬ（electroluminescence）ディスプレイ等であり、制御部１１の指示に従い各種情報を表示する。

読取部１６は、ＣＤ（Compact Disc）−ＲＯＭ又はＤＶＤ（Digital Versatile Disc）−ＲＯＭを含む可搬型記憶媒体１ａを読み取る。制御部１１が読取部１６を介して、制御プログラム１Ｐを可搬型記憶媒体１ａより読み取り、大容量記憶部１７に記憶しても良い。また、ネットワークＮ等を介して他のコンピュータから制御部１１が制御プログラム１Ｐをダウンロードし、大容量記憶部１７に記憶しても良い。さらにまた、半導体メモリ１ｂから、制御部１１が制御プログラム１Ｐを読み込んでも良い。

大容量記憶部１７は、例えばＨＤＤ（Hard disk drive:ハードディスク）、ＳＳＤ(Solid State Drive:ソリッドステートドライブ)等の記録媒体を備える。大容量記憶部１７は、端末情報ＤＢ１７１、リスクスコアＤＢ１７２、操作ログＤＢ１７３、異常判定結果ＤＢ１７４及びアクセス履歴ＤＢ１７５を含む。

端末情報ＤＢ１７１は、ユーザの端末情報を記憶している。リスクスコアＤＢ１７２は、各種の異常を判定（検出）するための各評価項目に対するリスクスコアの評価ルール等を記憶している。操作ログＤＢ１７３は、ユーザの操作ログを記憶している。異常判定結果ＤＢ１７４は、各種の異常を判定した判定結果を記憶している。アクセス履歴ＤＢ１７５は、ユーザが保護対象のウェブサイトへアクセスした時間等の履歴情報を記憶している。

なお、本実施形態において記憶部１２及び大容量記憶部１７は一体の記憶装置として構成されていても良い。また、大容量記憶部１７は複数の記憶装置により構成されていても良い。更にまた、大容量記憶部１７はサーバ１に接続された外部記憶装置であっても良い。

なお、本実施形態では、サーバ１は一台の情報処理装置であるものとして説明するが、複数台により分散して処理させても良く、または仮想マシンにより構成されていても良い。

図３は、端末情報ＤＢ１７１のレコードレイアウトの一例を示す説明図である。端末情報ＤＢ１７１は、トークン列、端末ＩＤ列、アクセス先ホスト列、アクセス元列、Ｔｏｒネットワーク利用可否列、ＶＰＮ利用可否列、プロキシ利用可否列、パブリッククラウド利用可否列、ＯＳ（Operating System）列及びブラウザ列を含む。

トークン列は、ユーザの端末に対応付けて発行したトークンを記憶している。トークンは、ウェブサービスを利用する際に、サーバがユーザの端末を識別するために発行する情報である。トークンは、例えばユニークなランダムの英数字を所定の長さ（１６桁、３２桁、６４桁等）で発行したトークンＩＤ、生成日時及び有効期間等を含む情報であっても良い。

端末ＩＤ列は、ユーザの端末を識別するための固有のＩＤ、または端末情報（例えば、ＯＳ情報またはブラウザ情報等）に基づいて生成された端末ＩＤを記憶している。アクセス先ホスト列は、アクセス先のホスト情報（ＩＰアドレス、ホスト名等）を記憶している。アクセス元列は、グローバルＩＰアドレス列、プライベートＩＰアドレス列、国列、ＩＳＰ列、シティ列、緯度列及び経度列を含む。

グローバルＩＰアドレス列は、グローバルＩＰアドレス（IzyInternet Protocol Address）を記憶している。グローバルＩＰアドレスは、インターネットに接続するコンピュータまたは通信機器等の機器に割り当てられるＩＰアドレスである。インターネットに接続する機器がインターネット上で通信を行う場合は、重複しないグローバルＩＰアドレスが必要になる。

プライベートＩＰアドレス列は、プライベートＩＰアドレスを記憶している。プライベートＩＰアドレス（ローカルＩＰアドレス）は、組織内のネットワーク（プライベートネットワーク）でのみ使用できるＩＰアドレスである。プライベートＩＰアドレスは、個々のプライベートネットワーク内のみで使うことができるＩＰアドレスであるが、同じネットワーク内で重複して使うことができない。

国列は、アクセス元の国の情報を記憶している。ＩＳＰ（Internet Services Provider）列は、公衆通信回線等を経由して契約者にインターネットへの接続を提供するプロバイダ（事業者）を記憶している。シティ列は、シティの情報を記憶している。緯度列及び経度列は、アクセス元の位置情報を記憶している。具体的には、緯度列は、アクセス元の緯度を記憶している。経度列は、アクセス元の経度を記憶している。

Ｔｏｒネットワーク利用可否列は、Ｔｏｒ（The Onion Router）ネットワークの利用可否情報を記憶している。ＶＰＮ利用可否列は、ＶＰＮの利用可否情報を記憶している。プロキシ利用可否列は、プロキシの利用可否情報を記憶している。パブリッククラウド利用可否列は、業界・業種を問わず企業もしくは個人に向けてクラウドコンピューティング環境を提供しているオープンな形態であるパブリッククラウドの利用可否情報を記憶している。ＯＳ列は、オペレーティングシステムに関する情報（バージョン、セキュリティパッチ等）を記憶している。ブラウザ列は、ブラウザに関する情報（バージョン、プラグイン等）を記憶している。

図４は、リスクスコアＤＢ１７２のレコードレイアウトの一例を示す説明図である。リスクスコアＤＢ１７２は、項目ＩＤ列、項目名称列、リスクスコア評価ルール列及び基準スコア列を含む。項目ＩＤ列は、各評価項目を識別するために、一意に特定される評価項目のＩＤを記憶している。項目名称列は、評価項目の名称を記憶している。リスクスコア評価ルール列は、評価項目に対するリスクスコア（得点）の付与ルール（規則）を記憶している。基準スコア列は、異常を判定するための基準となるリスクスコアを記憶している。

図５は、操作ログＤＢ１７３のレコードレイアウトの一例を示す説明図である。操作ログＤＢ１７３は、番号列、ユーザＩＤ列、端末ＩＤ列、アクセス先ＩＰアドレス列、アクセス元ＩＰアドレス列、操作列及び日時列を含む。番号列は、各操作ログを識別するために、一意に特定される操作ログのＩＤを記憶している。ユーザＩＤ列は、ユーザを特定するユーザＩＤを記憶している。

端末ＩＤ列は、ユーザの端末を識別するための固有のＩＤを記憶している。アクセス先ＩＰアドレス列は、アクセス先のＩＰアドレスを記憶している。アクセス元ＩＰアドレス列は、アクセス元のＩＰアドレスを記憶している。操作列は、操作の名称を記憶している。操作列には、例えば「マウスクリック」、「ページアクセス」、「プロキシ利用あり」または「Ｊａｖａ（登録商標）ｓｃｒｉｐｔブラウザＯＮ」等のユーザ操作の名称が記憶されても良い。日時列は、操作を行った日時情報を記憶している。

図６は、異常判定結果ＤＢ１７４のレコードレイアウトの一例を示す説明図である。異常判定結果ＤＢ１７４は、ユーザＩＤ列、端末ＩＤ列、異常項目列、異常メッセージ列、リスクスコア列及び判定日時列を含む。ユーザＩＤ列は、ユーザを特定するユーザＩＤを記憶している。端末ＩＤ列は、ユーザの端末を識別するための固有のＩＤを記憶している。

異常項目列は、異常項目の名称を記憶している。異常メッセージ列は、異常の内容を示す異常メッセージを記憶している。リスクスコア列は、異常項目に対応するリスクスコアを記憶している。判定日時列は、異常を判定した日時情報を記憶している。

図７は、アクセス履歴ＤＢ１７５のレコードレイアウトの一例を示す説明図である。アクセス履歴ＤＢ１７５は、トークン列、端末ＩＤ列、アクセス先ホスト列、アクセス時間帯列、ログインなしアクセス日時列、ログインありアクセス日時列及びログインユーザＩＤ列を含む。

トークン列は、ユーザの端末に対応付けて発行したトークンを記憶している。端末ＩＤ列は、ユーザの端末を識別するための固有のＩＤを記憶している。アクセス先ホスト列は、アクセス先のホスト情報を記憶している。アクセス時間帯列は、平日列及び休日列を含む。平日列は、ユーザがウェブサイトへアクセスした日が平日である場合、アクセスした時点での時間帯を記憶している。

休日列は、ユーザがウェブサイトへアクセスした日が休日である場合、アクセスした時点での時間帯を記憶している。ログインなしアクセス日時列は、ログインなしでのアクセス日時を記憶している。ログインありアクセス日時列は、ログインありでのアクセス日時を記憶している。ログインユーザＩＤ列は、ログインしたユーザＩＤを記憶している。

なお、上述した各ＤＢの記憶形態は一例であり、データ間の関係が維持されていれば、他の記憶形態であっても良い。

図８は、ウェブサーバ２の構成例を示すブロック図である。ウェブサーバ２は、制御部２１、記憶部２２、通信部２３、入力部２４、表示部２５、読取部２６及び大容量記憶部２７を含む。各構成はバスＢで接続されている。

制御部２１はＣＰＵ、ＭＰＵ、ＧＰＵ等の演算処理装置を含み、記憶部２２に記憶された制御プログラム２Ｐを読み出して実行することにより、ウェブサーバ２に係る種々の情報処理、制御処理等を行う。なお、図８では制御部２１を単一のプロセッサであるものとして説明するが、マルチプロセッサであっても良い。

記憶部２２はＲＡＭ、ＲＯＭ等のメモリ素子を含み、制御部２１が処理を実行するために必要な制御プログラム２Ｐ又はデータ等を記憶している。また、記憶部２２は、制御部２１が演算処理を実行するために必要なデータ等を一時的に記憶する。通信部２３は通信に関する処理を行うための通信モジュールであり、ネットワークＮを介して、サーバ１及びユーザ端末３等との間で情報の送受信を行う。

入力部２４は、マウス、キーボード、タッチパネル、ボタン等の入力デバイスであり、受け付けた操作情報を制御部２１へ出力する。表示部２５は、液晶ディスプレイ又は有機ＥＬディスプレイ等であり、制御部２１の指示に従い各種情報を表示する。

読取部２６は、ＣＤ−ＲＯＭ又はＤＶＤ−ＲＯＭを含む可搬型記憶媒体２ａを読み取る。制御部２１が読取部２６を介して、制御プログラム２Ｐを可搬型記憶媒体２ａより読み取り、大容量記憶部２７に記憶しても良い。また、ネットワークＮ等を介して他のコンピュータから制御部２１が制御プログラム２Ｐをダウンロードし、大容量記憶部２７に記憶しても良い。さらにまた、半導体メモリ２ｂから、制御部２１が制御プログラム２Ｐを読み込んでも良い。

大容量記憶部２７は、例えばＨＤＤ、ＳＳＤ等の記録媒体を備える。なお、本実施形態において記憶部２２及び大容量記憶部２７は一体の記憶装置として構成されていても良い。また、大容量記憶部２７は複数の記憶装置により構成されていても良い。更にまた、大容量記憶部２７はウェブサーバ２に接続された外部記憶装置であっても良い。

なお、本実施形態では、ウェブサーバ２は一台の情報処理装置であるものとして説明するが、複数台により分散して処理させても良く、または仮想マシンにより構成されていても良い。

図９は、ユーザ端末３の構成例を示すブロック図である。ユーザ端末３は、制御部３１、記憶部３２、通信部３３、入力部３４及び表示部３５を含む。各構成はバスＢで接続されている。

制御部３１はＣＰＵ、ＭＰＵ等の演算処理装置を含み、記憶部３２に記憶された制御プログラム３Ｐを読み出して実行することにより、ユーザ端末３に係る種々の情報処理、制御処理等を行う。なお、図９では制御部３１を単一のプロセッサであるものとして説明するが、マルチプロセッサであっても良い。記憶部３２はＲＡＭ、ＲＯＭ等のメモリ素子を含み、制御部３１が処理を実行するために必要な制御プログラム３Ｐ又はデータ等を記憶している。また、記憶部３２は、制御部３１が演算処理を実行するために必要なデータ等を一時的に記憶する。

通信部３３は通信に関する処理を行うための通信モジュールであり、ネットワークＮを介して、サーバ１、ウェブサーバ２等と情報の送受信を行う。入力部３４は、キーボード、マウスまたは表示部３５と一体化したタッチパネルでも良い。表示部３５は、液晶ディスプレイ又は有機ＥＬディスプレイ等であり、制御部３１の指示に従い各種情報を表示する。

図１０は、監視者端末４の構成例を示すブロック図である。監視者端末４は、制御部４１、記憶部４２、通信部４３、入力部４４及び表示部４５を含む。各構成はバスＢで接続されている。

制御部４１はＣＰＵ、ＭＰＵ等の演算処理装置を含み、記憶部４２に記憶された制御プログラム４Ｐを読み出して実行することにより、監視者端末４に係る種々の情報処理、制御処理等を行う。なお、図１０では制御部４１を単一のプロセッサであるものとして説明するが、マルチプロセッサであっても良い。記憶部４２はＲＡＭ、ＲＯＭ等のメモリ素子を含み、制御部４１が処理を実行するために必要な制御プログラム４Ｐ又はデータ等を記憶している。また、記憶部４２は、制御部４１が演算処理を実行するために必要なデータ等を一時的に記憶する。

通信部４３は通信に関する処理を行うための通信モジュールであり、ネットワークＮを介して、サーバ１等と情報の送受信を行う。入力部４４は、キーボード、マウスまたは表示部４５と一体化したタッチパネルでも良い。表示部４５は、液晶ディスプレイ又は有機ＥＬディスプレイ等であり、制御部４１の指示に従い各種情報を表示する。

図１１は、クラウド型ウェブアプリケーションファイアウォールサービスを提供するシステムの構造図である。クラウド型ＷＡＦサービスを提供するシステムは、ユーザ層（プレーヤー）、ＷＡＦ層、ＩＰＳ（Intrusion Prevention System）/ＩＤＳ（Intrusion Detection System）層及びＦＷ（Firewall）層を含む。ユーザ層は、ユーザの行動分析または不正操作検出を行うことにより各種の異常を判定するユーザセキュリティ層である。ＷＡＦ層は、ウェブアプリケーションへの攻撃を防御する層である。ＷＡＦ層は、ウェブアプリケーションの脆弱性を突いた攻撃のパターンを検出し、その通信を遮断する。

ＩＰＳ/ＩＤＳ層は、ネットワークへの攻撃を防御する層である。ＩＰＳは、不正アクセスまたは攻撃等の異常を検出した場合に、自動で通信を遮断するシステムである。ＩＤＳは、不正アクセスまたは攻撃等の異常な通信があった場合に、侵入を検知して管理者に通知するシステムである。ＦＷ層は、企業または組織等の内部ネットワークに外部のネットワークからの攻撃または不正侵入を防御する層である。

該システムは、第１異常、第２異常及び第３異常を含む異常を判定することができる。第１異常は、ログイン時間及びログイン時点での地域情報に基づいて検出する異常である。第２異常は、同一ユーザＩＤで過去ログイン時の端末と異なる端末が利用された場合に検出する異常である。第３異常は、ユーザの操作ログに基づいて不正操作を検出する異常である。図示のように、第１異常及び第２異常がユーザ層から検出され、第３異常が各層から検出される。

図１２は、異常を判定する動作を説明する説明図である。ユーザがウェブサーバ２上で運営されている保護対象のウェブサイトへアクセスした場合、ユーザ端末３の制御部３１は、通信部３３を介して、該ウェブサイトへのアクセスリクエストをサーバ１に送信する。サーバ１の制御部１１は、通信部１３を介して、ユーザ端末３から送信されたアクセスリクエストを受信し、受信したアクセスリクエストからアクセス情報を抽出する。

アクセス情報は、アクセス元の複数種類の端末情報及びログインの有無情報を含む。複数種類の端末情報は、端末ＩＤ、アクセス先ホスト、アクセス元のＩＰアドレス、位置情報（緯度及び経度）、Ｔｏｒネットワークの利用可否情報、ＶＰＮの利用可否情報、プロキシの利用可否情報、パブリッククラウドの利用可否情報、ＯＳ情報またはブラウザ情報を含む。

制御部１１は、抽出したアクセス情報に含まれた端末情報を取得する。制御部１１は、取得した複数種類の端末情報から端末ＩＤを取得する。なお、本実施形態では、端末ＩＤを端末情報から取得した例を説明したが、これに限るものではない。例えば、制御部１１は、取得した複数種類の端末情報中の任意の端末情報（例えば、ＯＳ情報またはブラウザ情報等）に基づき、端末ＩＤを生成しても良い。制御部１１は、取得した端末ＩＤに対応付けて該端末の識別に使用するトークン（Ｔｏｋｅｎ）を発行する。制御部１１は、取得した端末情報からアクセス元のＩＰアドレスを取得する。制御部１１は、取得したＩＰアドレスに基づいて、ＩＰアドレスによる地域情報抽出用のＡＰＩ（Application Programming Interface）を用いて、アクセス元のプロバイダ、国及び地域（例えば、シティ等）を含むアクセス元の地域情報を特定する。

制御部１１は、発行したトークンに対応付けて、受信した端末情報と、特定した地域情報とを大容量記憶部１７の端末情報ＤＢ１７１及びアクセス履歴ＤＢ１７５に記憶する。具体的には、制御部１１は、トークンに対応付けて、端末ＩＤ、アクセス先ホスト、アクセス元のＩＰアドレス、国、プロバイダ、シティ、緯度、経度、Ｔｏｒネットワークの利用可否情報、ＶＰＮの利用可否情報、プロキシの利用可否情報、パブリッククラウドの利用可否情報、ＯＳ情報及びブラウザ情報を一つのレコードとして端末情報ＤＢ１７１に記憶する。制御部１１は、トークン、端末ＩＤ、アクセス先ホスト、アクセス時間帯、ログインなしでのアクセス日時、ログインありでのアクセス日時、及びログイン時に使用されたユーザＩＤを一つのレコードとしてアクセス履歴ＤＢ１７５に記憶する。

制御部１１は、アクセス情報からログインの有無情報を取得し、取得したログインの有無情報に基づき、ユーザがログインしているか否かを判定する。制御部１１は、ユーザがログインしていると判定した場合、第１異常、第２異常及び第３異常を判定する。

具体的には、制御部１１は、第１異常、第２異常及び第３異常を判定するための各評価項目に対応付けられた評価ルール及び基準スコアを大容量記憶部１７のリスクスコアＤＢ１７２から取得する。評価項目は、グローバルＩＰアドレス、プライベートＩＰアドレス、国、ＩＳＰ、シティ、ＶＰＮ、プロキシ、ＯＳ、ブラウザ、レスポンスコード、メソッド、Ｔｏｒネットワーク、パブリッククラウドＩＤ、Ｔｏｒネットワーク、Ｊａｖａｓｃｒｉｐｔ、マウス操作、存在しないＵＲＬへのアクセス、ブラウザプラグインまたはログイン時間帯等を含む。

先ず、第１異常を判定する処理を説明する。制御部１１は端末ＩＤに基づき、大容量記憶部１７のアクセス履歴ＤＢ１７５から前回ログイン時点でのトークン及びログイン時間を取得する。制御部１１は、取得したトークンに基づいて、前回ログイン時点での地域情報（以下、「前回地域情報」と読み替える）を大容量記憶部１７の端末情報ＤＢ１７１から取得する。制御部１１は、取得した前回ログイン時間及び前回地域情報と、今回ログイン時間及び今回地域情報とに基づき、第１異常であるか否かを判定する。第１異常に対する評価項目は、ログイン時間帯、国、プロバイダまたはシティ等を含む。

例えば、制御部１１はログイン時間に基づいて第１異常を判定する場合、「ログイン時間帯」評価項目の評価ルールに応じて、今回ログイン時間の時間帯及び前回ログイン時間の時間帯に基づき、「ログイン時間帯」評価項目のリスクスコアを算出する。制御部１１は、算出したリスクスコアが基準スコア以上である場合、第１異常として判定する。

例えば、制御部１１は地域情報に基づいて第１異常を判定する場合（例えば地域情報に含まれた「国」を例として説明する）、「国」評価項目の評価ルールに応じて、今回ログイン時点での国情報と前回ログイン時点での国情報に基づき、「国」評価項目のリスクスコアを算出する。制御部１１は、算出したリスクスコアが基準スコア以上である場合、第１異常として判定する。

なお、本実施形態では、前回のログイン時間及び前回地域情報の例を説明したが、これに限るものではない。例えば、制御部１１は過去の複数回のログイン時間及び地域情報を取得する。制御部１１は、取得した複数回のログイン時間の平均値に基づいて第１異常を判定しても良い。または、制御部１１は、複数回の地域情報に対し、ログインした地域の回数を集計する。制御部１１は、集計した回数に応じて決められる評価ルールに基づいて第１異常を判定しても良い。例えば、ログインした地域の回数が少ない場合、高いリスクスコアが設定されても良く、またはログインした地域の回数が多い場合、低いリスクスコアが設定されても良い。また、ログインした地域の回数に対し、いくつかのランクを設定しても良い。例えば、回数が「５回以下」である場合、リスクスコアが４０であり、回数が「５回〜１０回」である場合、リスクスコアが３０である。

次に、第２異常を判定する処理を説明する。制御部１１は、ユーザＩＤに基づき、大容量記憶部１７のアクセス履歴ＤＢ１７５から前回ログイン時点でのトークン及び端末ＩＤを取得する。制御部１１は、取得したトークン及び端末ＩＤに基づき、大容量記憶部１７の端末情報ＤＢ１７１に記憶された前回ログイン時点での端末情報を取得する。

制御部１１は、所定の評価項目に基づき、今回ログインの端末情報と前回ログインの端末情報とを比較する。評価項目は、例えば端末ＩＤ、アクセス元のＩＰアドレス、ＯＳまたはブラウザを含む。例えば、制御部１１は今回ログインの端末ＩＤと前回ログインの端末ＩＤとが異なると判定した場合、第２異常として判定する。

制御部１１は、今回ログインの端末ＩＤと前回ログインの端末ＩＤとが一致すると判定した場合、端末ＩＤ以外の評価項目（ＩＰアドレス、ＯＳ等）に対して比較する。制御部１１は、端末ＩＤ以外の不一致の評価項目数が所定数（例えば、２）以上であると判定した場合、第２異常として判定する。

そして、第３異常を判定する処理を説明する。制御部１１は、ユーザＩＤ及び端末ＩＤに基づき、大容量記憶部１７の操作ログＤＢ１７３からユーザの操作ログを取得する。制御部１１は、取得した操作ログから、第３異常を判定するための評価項目を抽出する。評価項目は、例えばレスポンスコード、メソッド、Ｔｏｒネットワーク、Ｊａｖａｓｃｒｉｐｔ、マウス操作、存在しないＵＲＬへのアクセス、またはブラウザプラグイン等を含む。

制御部１１は、取得した各評価項目に対して、各評価項目に対応付けられた評価ルールに基づき、各評価項目のリスクスコアを算出する。制御部１１は、算出した各評価項目のリスクスコアと基準スコアとを比較する。制御部１１は、例えば各評価項目の中のいずれかの評価項目のリスクスコアが基準スコア以上であると判定した場合、第３異常として判定する。または、制御部１１は、評価項目のリスクスコアが基準スコア以上である評価項目数が所定数（例えば、４）以上であると判定した場合、第３異常として判定しても良い。

以下では、「メソッド」評価項目の例として説明する。制御部１１は、不審なメソッドを使用したか否かを判定する。不審なメソッドは、例えば信頼できない引数を与えることにより攻撃のリスクが高いメソッド、または将来廃止されるメソッド等であっても良い。制御部１１は、不審なメソッドを使用したと判定した場合、「メソッド」評価項目の評価ルールに基づき、「メソッド」評価項目のリスクスコアを算出する。

例えば、「メソッド」評価項目の評価ルールが「不審なメソッド使用：３０ 不審なメソッド未使用：０」である場合、制御部１１は、「メソッド」評価項目のリスクスコアが３０であると算出する。制御部１１は、算出した「メソッド」評価項目のリスクスコアと基準スコア（例えば、３０）とを比較する。制御部１１は、算出した「メソッド」評価項目のリスクスコアが基準スコア以上であると判定した場合、第３異常として判定する。

なお、上述した処理で、第１異常、第２異常及び第３異常の判定処理の順に説明したが、これに限らず、任意の順で異常を判定しても良い。

制御部１１は、第１異常、第２異常または第３異常を含む異常を判定した場合、判定した異常の判定結果を大容量記憶部１７の異常判定結果ＤＢ１７４に記憶する。具体的には、制御部１１は、ユーザＩＤ、端末ＩＤ、異常項目、異常メッセージ、リスクスコア及び判定日時を一つのレコードとして異常判定結果ＤＢ１７４に記憶する。

制御部１１は、異常を判定したユーザのアクセス履歴情報を大容量記憶部１７のアクセス履歴情報ＤＢ１７６から取得する。アクセス履歴情報は、端末ＩＤ、アクセス先ホスト、アクセス時間帯、ログイン有無情報付きのアクセス日時、またはログインがある場合のユーザＩＤ等を含む。制御部１１は、取得したユーザのアクセス履歴情報及び異常判定結果を通信部１３により監視者端末４に送信する。制御部１１は、異常を判定した旨を含むメッセージを通信部１３によりユーザ端末３に送信する。

制御部１１は、第１異常、第２異常または第３異常を含む異常を判定していない場合、アクセス情報を通信部１３によりウェブサーバ２に送信する。なお、アクセス情報の代わりに、制御部１１は、ユーザ端末３から送信されたアクセスリクエストをそのままにウェブサーバ２に送信しても良い。

図１３及び図１４は、異常を判定する際の処理手順を示すフローチャートである。ユーザ端末３の制御部３１は、通信部３３を介して、保護対象のウェブサイトへのアクセスリクエストをサーバ１に送信する（ステップＳ３０１）。サーバ１の制御部１１は、通信部１３を介して、ユーザ端末３から送信されたアクセスリクエストを受信する（ステップＳ１０１）。制御部１１は、受信したアクセスリクエストからアクセス情報を抽出する（ステップＳ１０２）。アクセス情報は、アクセス元の端末情報及びログインの有無情報を含む。

制御部１１は、抽出したアクセス情報に含まれた複数種類の端末情報から端末ＩＤを取得し（ステップＳ１０３）、取得した端末ＩＤに対応付けて該端末の識別に使用するトークンを発行する（ステップＳ１０４）。制御部１１は、端末情報からアクセス元のＩＰアドレスを取得する（ステップＳ１０５）。制御部１１は、取得したＩＰアドレスに基づいて、ＩＰアドレスによる地域情報抽出用のＡＰＩを用いて、アクセス元のプロバイダ、国及び地域を含むアクセス元の地域情報を特定する（ステップＳ１０６）。制御部１１は、発行したトークンに対応付けて、受信した端末情報と、特定した地域情報とを大容量記憶部１７の端末情報ＤＢ１７１及びアクセス履歴ＤＢ１７５に記憶する（ステップＳ１０７）。

制御部１１は、アクセス情報からログインの有無情報を取得し、取得したログインの有無情報に基づき、ユーザがログインしているか否かを判定する（ステップＳ１０８）。制御部１１は、ユーザがログインしていないと判定した場合（ステップＳ１０８でＮＯ）、後述するステップＳ１１８に遷移する。制御部１１は、ユーザがログインしていると判定した場合（ステップＳ１０８でＹＥＳ）、第１異常、第２異常及び第３異常を判定するための各評価項目に対応付けられた評価ルール及び基準スコアを大容量記憶部１７のリスクスコアＤＢ１７２から取得する（ステップＳ１０９）。

制御部１１は、第１異常を判定する（ステップＳ１１０）。制御部１１は、第２異常を判定する（ステップＳ１１１）。制御部１１は、第３異常を判定する（ステップＳ１１２）。なお、第１異常、第２異常及び第３異常の判定処理サブルーチンについては後述する。制御部１１は、第１異常、第２異常または第３異常を判定した判定結果に基づき、異常があるか否かを判定する（ステップＳ１１３）。

制御部１１は、異常がないと判定した場合（ステップＳ１１３でＮＯ）、アクセス情報を通信部１３によりウェブサーバ２に送信する（ステップＳ１１８）。ウェブサーバ２の制御部２１は、通信部２３を介して、サーバ１から送信されたアクセス情報を受信する（ステップＳ２０１）。

制御部１１は、異常があると判定した場合（ステップＳ１１３でＹＥＳ）、異常の判定結果を大容量記憶部１７の異常判定結果ＤＢ１７４に記憶する（ステップＳ１１４）。制御部１１は、異常を判定したユーザのアクセス履歴情報を大容量記憶部１７のアクセス履歴情報ＤＢ１７６から取得する（ステップＳ１１５）。制御部１１は、取得したユーザのアクセス履歴情報及び異常判定結果を通信部１３により監視者端末４に送信する（ステップＳ１１６）。制御部１１は、異常を判定した旨を含む異常メッセージを通信部１３によりユーザ端末３に送信する（ステップＳ１１７）。

監視者端末４の制御部４１は、通信部４３を介して、サーバ１から送信されたユーザアクセス履歴情報及び異常判定結果を通信部４３により受信する（ステップＳ４０１）。制御部４１は、受信したユーザアクセス履歴情報及び異常判定結果を表示部４５により表示する（ステップＳ４０２）。ユーザ端末３の制御部３１は、サーバ１から送信された異常メッセージを通信部３３により受信し（ステップＳ３０３）、受信した異常メッセージを表示部３５により表示する（ステップＳ３０４）。

図１５は、第１異常を判定する処理のサブルーチンの処理手順を示すフローチャートである。制御部１１は端末ＩＤに基づき、大容量記憶部１７のアクセス履歴ＤＢ１７５から前回ログイン時点でのトークン及びログイン時間を取得する（ステップＳ１１）。制御部１１は、取得したトークンに基づいて、前回ログイン時点での前回地域情報を大容量記憶部１７の端末情報ＤＢ１７１から取得する（ステップＳ１２）。

制御部１１は、「ログイン時間帯」評価項目の評価ルールに応じて、前回ログイン時間の時間帯と今回ログイン時間の時間帯とに基づき、「ログイン時間帯」評価項目のリスクスコアを算出する（ステップＳ１３）。「ログイン時間帯」評価項目の評価ルールは、過去の時間帯の終了時間と今回の時間帯の開始時間との時間間隔によって設定されても良い。時間間隔が長い場合、高いリスクスコアが設定されても良い。逆に、時間間隔が短い場合、低いリスクスコアが設定されても良い。例えば「ログイン時間帯」評価項目の評価ルールは、「前回（８：００−１２：００）、且つ、今回（１９：００−２１：００）：１５ 前回（８：００−１２：００）、且つ、今回（２１：００−２３：００）：３０」である。前回ログイン時間の時間帯が「８：００−１２：００」であり、且つ、今回ログイン時間の時間帯が「１９：００−２１：００」であると判定した場合、制御部１１は、「ログイン時間帯」評価項目のリスクスコアが１５であると算出する。

制御部１１は、算出した「ログイン時間帯」評価項目のリスクスコアが基準スコア以上であるか否かを判定する（ステップＳ１４）。制御部１１は、算出した「ログイン時間帯」評価項目のリスクスコアが基準スコア以上である場合（ステップＳ１４でＹＥＳ）、第１異常である判定処理結果を出力し（ステップＳ２２）、リターンする。制御部１１は、算出した「ログイン時間帯」評価項目のリスクスコアが基準スコア未満である場合（ステップＳ１４でＮＯ）、「国」評価項目の評価ルールに応じて、前回ログイン時点での国情報と今回ログイン時点での国情報に基づき、「国」評価項目のリスクスコアを算出する（ステップＳ１５）。

「国」評価項目の評価ルールは、過去ログイン時点での国情報と今回ログイン時点での国情報との相違性によって設定されても良い。変更がある場合、高いリスクスコアが設定される。また、変更がない場合、低いリスクスコアが設定される。

例えば「国」評価項目の評価ルールは、「変更あり：７０ 変更なし：０」である。制御部１１は、前回ログイン時点での国情報（例えば、日本）と今回ログイン時点での国情報（例えば、米国）とが一致しないと判定した場合、「国」評価項目の評価ルールに基づき、「国」評価項目のリスクスコアが７０であると算出する。制御部１１は、前回ログイン時点での国情報（例えば、日本）と今回ログイン時点での国情報（例えば、日本）とが一致すると判定した場合、「国」評価項目の評価ルールに基づき、「国」評価項目のリスクスコアが０であると算出する。

制御部１１は、算出した「国」評価項目のリスクスコアが基準スコア以上であるか否かを判定する（ステップＳ１６）。制御部１１は、算出した「国」評価項目のリスクスコアが基準スコア以上である場合（ステップＳ１６でＹＥＳ）、ステップＳ２２に遷移する。制御部１１は、算出した「国」評価項目のリスクスコアが基準スコア未満である場合（ステップＳ１６でＮＯ）、「シティ」評価項目の評価ルールに応じて、前回ログイン時点でのシティ情報と今回ログイン時点でのシティ情報に基づき、「シティ」評価項目のリスクスコアを算出する（ステップＳ１７）。

「シティ」評価項目の評価ルールは、過去ログイン時点でのシティと今回ログイン時点でのシティとの相違性によって設定されても良い。変更がある場合、高いリスクスコアが設定される。また、変更がない場合、低いリスクスコアが設定される。

例えば「シティ」評価項目の評価ルールは、「変更あり：４０ 変更なし：０」である。制御部１１は、前回ログイン時点でのシティ情報（例えば、東京）と今回ログイン時点でのシティ情報（例えば、大阪）とが一致しないと判定した場合、「シティ」評価項目の評価ルールに基づき、「シティ」評価項目のリスクスコアが４０であると算出する。制御部１１は、前回ログイン時点でのシティ情報（例えば、東京）と今回ログイン時点でのシティ情報（例えば、東京）とが一致すると判定した場合、「シティ」評価項目の評価ルールに基づき、「シティ」評価項目のリスクスコアが０であると算出する。

また、「シティ」評価項目の評価ルールは、過去ログイン時点でのシティと今回ログイン時点でのシティとの距離によって設定されても良い。距離が遠い場合、高いリスクスコアが設定される。また、距離が近い場合、低いリスクスコアが設定される。距離に応じて、いくつかのランクを設定しても良い。例えば、「１０ｋｍ（kilometer）以下：５ １０ｋｍ〜３０ｋｍ：１０ ３０ｋｍ〜５０ｋｍ：１５」である評価ルールが設定されても良い。

制御部１１は、算出した「シティ」評価項目のリスクスコアが基準スコア以上であるか否かを判定する（ステップＳ１８）。制御部１１は、算出した「シティ」評価項目のリスクスコアが基準スコア以上である場合（ステップＳ１８でＹＥＳ）、ステップＳ２２に遷移する。制御部１１は、算出した「シティ」評価項目のリスクスコアが基準スコア未満である場合（ステップＳ１８でＮＯ）、「プロバイダ」評価項目の評価ルールに応じて、前回ログイン時点でのプロバイダ情報と今回ログイン時点でのプロバイダ情報に基づき、「プロバイダ」評価項目のリスクスコアを算出する（ステップＳ１９）。

「プロバイダ」評価項目の評価ルールは、過去ログイン時点でのプロバイダと今回ログイン時点でのプロバイダとの相違性によって設定されても良い。変更がある場合、高いリスクスコアが設定される。また、変更がない場合、低いリスクスコアが設定される。

例えば「プロバイダ」評価項目の評価ルールは、「変更あり：３０ 変更なし：０」である。制御部１１は、前回ログイン時点でのプロバイダ情報（例えば、プロバイダＡ）と今回ログイン時点でのプロバイダ情報（例えば、プロバイダＢ）とが一致しないと判定した場合、「プロバイダ」評価項目の評価ルールに基づき、「プロバイダ」評価項目のリスクスコアが３０であると算出する。制御部１１は、前回ログイン時点でのプロバイダ情報（例えば、プロバイダＡ）と今回ログイン時点でのプロバイダ情報（例えば、プロバイダＡ）とが一致すると判定した場合、「プロバイダ」評価項目の評価ルールに基づき、「プロバイダ」評価項目のリスクスコアが０であると算出する。

制御部１１は、算出した「プロバイダ」評価項目のリスクスコアが基準スコア以上であるか否かを判定する（ステップＳ２０）。制御部１１は、算出した「プロバイダ」評価項目のリスクスコアが基準スコア以上である場合（ステップＳ２０でＹＥＳ）、ステップＳ２２に遷移する。制御部１１は、算出した「プロバイダ」評価項目のリスクスコアが基準スコア未満である場合（ステップＳ２０でＮＯ）、第１異常でない判定処理結果を出力し（ステップＳ２１）、リターンする。

なお、第１異常を判定する処理には、上述した「ログイン時間帯」、「国」、「シティ」及び「プロバイダ」評価項目に限らず、他の評価項目にも同様に適用される。例えば制御部１１は、今回のログイン時間と前回のログイン時間との間隔を利用して第１異常を判定しても良い。具体的には、制御部１１は、今回のログイン時間と前回のログイン時間との間隔を算出する。制御部１１は、「ログイン間隔」評価項目の評価ルールに応じて、算出した間隔に基づき、「ログイン間隔」評価項目のリスクスコアを算出する。

「ログイン間隔」評価項目の評価ルールは、過去ログインの時間と今回ログインの時間との時間間隔によって設定されても良い。時間間隔が長い場合、高いリスクスコアが設定されても良い。逆に、時間間隔が短い場合、低いリスクスコアが設定されても良い。

例えば「ログイン間隔」評価項目の評価ルールは、「１０日未満：５ …… 三ヵ月〜半年：３０ 半年〜１年：４０」である。例えば、算出した間隔が「八カ月」である場合、制御部１１は「ログイン間隔」評価項目の評価ルールに基づき、「ログイン間隔」評価項目のリスクスコアが４０であると算出する。制御部１１は、算出した「ログイン間隔」評価項目のリスクスコアが基準スコア（例えば、３０）以上である場合、第１異常として判定する。

また、「ログイン時間帯」及び「ログイン間隔」のほかに、例えば制御部１１は、ログイン時間により平日・休日、曜日等の情報を特定し、特定した、平日・休日、曜日等の評価ルールに基づいて第１異常を判定しても良い。

図１６は、第２異常を判定する処理のサブルーチンの処理手順を示すフローチャートである。制御部１１は、ユーザＩＤに基づき、大容量記憶部１７のアクセス履歴ＤＢ１７５から前回ログイン時点でのトークン及び端末ＩＤを取得する（ステップＳ３１）。制御部１１は、取得したトークン及び端末ＩＤに基づき、大容量記憶部１７の端末情報ＤＢ１７１に記憶された前回ログイン時点での端末情報を取得する（ステップＳ３２）。

制御部１１は、今回ログイン時点での端末ＩＤと前回ログイン時点での端末ＩＤとが一致するか否かを判定する（ステップＳ３３）。制御部１１は、今回ログイン時点での端末ＩＤと前回ログイン時点での端末ＩＤとが一致しないと判定した場合（ステップＳ３３でＮＯ）、第２異常である判定処理結果を出力し（ステップＳ４２）、リターンする。

制御部１１は、今回ログイン時点での端末ＩＤと前回ログイン時点での端末ＩＤとが一致すると判定した場合（ステップＳ３３でＹＥＳ）、今回ログイン時点でのアクセス元のＩＰアドレスと前回ログイン時点でのアクセス元のＩＰアドレスとが一致するか否かを判定する（ステップＳ３４）。制御部１１は、今回ログイン時点でのＩＰアドレスと前回ログイン時点でのＩＰアドレスとが一致しないと判定した場合（ステップＳ３４でＮＯ）、不一致の項目数を累積し（ステップＳ３５）、後述するステップＳ３６に遷移する。

制御部１１は、今回ログイン時点でのＩＰアドレスと前回ログイン時点でのＩＰアドレスとが一致すると判定した場合（ステップＳ３４でＹＥＳ）、今回ログイン時点でのＯＳ情報と前回ログイン時点でのＯＳ情報とが一致するか否かを判定する（ステップＳ３６）。制御部１１は、今回ログイン時点でのＯＳ情報と前回ログイン時点でのＯＳ情報とが一致しないと判定した場合（ステップＳ３６でＮＯ）、不一致の項目数を累積し（ステップＳ３７）、後述するステップＳ３８に遷移する。

制御部１１は、今回ログイン時点でのＯＳ情報と前回ログイン時点でのＯＳ情報とが一致すると判定した場合（ステップＳ３６でＹＥＳ）、今回ログイン時点でのブラウザ情報と前回ログイン時点でのブラウザ情報とが一致するか否かを判定する（ステップＳ３８）。制御部１１は、今回ログイン時点でのブラウザ情報と前回ログイン時点でのブラウザ情報とが一致しないと判定した場合（ステップＳ３８でＮＯ）、不一致の項目数を累積し（ステップＳ３９）、後述するステップＳ４０に遷移する。

制御部１１は、今回ログイン時点でのブラウザ情報と前回ログイン時点でのブラウザ情報とが一致すると判定した場合（ステップＳ３８でＹＥＳ）、累積した不一致の項目数が所定数（例えば、２）以上であるか否かを判定する（ステップＳ４０）。制御部１１は、不一致の項目数が所定数以上であると判定した場合（ステップＳ４０でＹＥＳ）、ステップＳ４２に遷移する。制御部１１は、不一致の項目数が所定数より小さいと判定した場合（ステップＳ４０でＮＯ）、第２異常でない判定処理結果を出力し（ステップＳ４１）、リターンする。

なお、第２異常を判定する処理には、上述した「端末ＩＤ」、「ＩＰアドレス」、「ＯＳ」及び「ブラウザ」評価項目に限らず、他の評価項目にも同様に適用される。

図１７は、第３異常を判定する処理のサブルーチンの処理手順を示すフローチャートである。制御部１１は、ユーザＩＤ及び端末ＩＤに基づき、大容量記憶部１７の操作ログＤＢ１７３からユーザの操作ログを取得する（ステップＳ６１）。制御部１１は、取得した操作ログから、第３異常を判定するための複数の評価項目を抽出する（ステップＳ６２）。評価項目は、例えばレスポンスコード、メソッド、Ｔｏｒネットワーク、Ｊａｖａｓｃｒｉｐｔ、マウス操作、存在しないＵＲＬへのアクセス、またはブラウザプラグイン等を含む。

制御部１１は、抽出した複数の評価項目の中から、一つの評価項目を取得する（ステップＳ６３）。例えば、「Ｔｏｒネットワーク」評価項目を取得する。制御部１１は、取得した評価項目に対応付けられた評価ルールに基づき、該評価項目のリスクスコアを算出する（ステップＳ６４）。例えば、制御部１１は、取得した「Ｔｏｒネットワーク」評価項目に基づき、Ｔｏｒネットワークを利用したか否かを判定する。制御部１１は、Ｔｏｒネットワークを利用したと判定した場合、「Ｔｏｒネットワーク」評価項目の評価ルールを取得する。

例えば、「Ｔｏｒネットワーク」評価項目の評価ルールが「Ｔｏｒネットワーク利用：７０ Ｔｏｒネットワーク未利用：０」である場合、制御部１１は、「Ｔｏｒネットワーク」評価項目のリスクスコアが７０であると算出する。制御部１１は、算出した評価項目のリスクスコアが基準スコア以上であるか否かを判定する（ステップＳ６５）。例えば、「Ｔｏｒネットワーク」評価項目の基準スコアが「５０」である場合、制御部１１は、「Ｔｏｒネットワーク」評価項目のリスクスコアが５０以上であるか否かを判定する。

制御部１１は、算出した評価項目のリスクスコアが基準スコア以上であると判定した場合（ステップＳ６５でＹＥＳ）、評価項目数を累積し（ステップＳ６６）、後述するステップＳ６７に遷移する。制御部１１は、算出した評価項目のリスクスコアが基準スコア未満であると判定した場合（ステップＳ６５でＮＯ）、複数の評価項目の中で該評価項目が最後の項目であるか否かを判定する（ステップＳ６７）。

制御部１１は、該評価項目が最後の項目でないと判定した場合（ステップＳ６７でＮＯ）、ステップＳ６３に遷移する。制御部１１は、該評価項目が最後の項目であると判定した場合（ステップＳ６７でＹＥＳ）、累積した評価項目数が所定数以上であるか否かを判定する（ステップＳ６８）。

制御部１１は、累積した評価項目数が所定数以上であると判定した場合（ステップＳ６８でＹＥＳ）、第３異常である判定処理結果を出力し（ステップＳ７０）、リターンする。制御部１１は、累積した評価項目数が所定数より小さいと判定した場合（ステップＳ６８でＮＯ）、第３異常でない判定処理結果を出力し（ステップＳ６９）、リターンする。

なお、上述した第３異常の判定処理に限るものではない。例えば、制御部１１は、それぞれの評価項目のリスクスコアを合計し、合計した合計リスクスコアと、基準合計リスクスコアとを比較する。制御部１１は、合計した合計リスクスコアが基準合計リスクスコア以上であると判定した場合、第３異常として判定しても良い。

図１８は、監視者端末４上で異常判定結果を表示するイメージ図である。サーバ１の制御部１１は、異常判定結果を通信部１３により監視者端末４に送信する。監視者端末４の制御部４１は、サーバ１から送信された異常判定結果を通信部４３により受信し、受信した異常判定結果を表示部４５により表示する。図示のように、異常判定結果は、端末ＩＤ、ユーザＩＤ、ログイン時間、異常メッセージ、リスクスコア、操作ログ及び詳細情報を含む。

本実施形態によると、ユーザのログイン時間及びアクセス元の地域情報に基づいて異常を検出することが可能となる。

本実施形態によると、同一ユーザＩＤで過去ログイン際の端末と異なる端末を利用する場合の異常を検出することが可能となる。

本実施形態によると、ユーザの操作ログに基づいて不正操作の異常を検出することが可能となる。

本実施形態によると、ユーザ層を含むクラウド型ＷＡＦサービスを提供することにより、ユーザの行動分析または不正操作検出を行うため、高いセキュリティを実現することが可能となる。

（実施形態２）
実施形態２は、ユーザがログインした際に、高いリスクを検出した場合、多要素認証処理を行う形態に関する。なお、実施形態１と重複する内容については説明を省略する。

ユーザが保護対象のウェブサイトへログインした場合、サーバ１の制御部１１は、ログイン認証処理を行う。具体的には、制御部１１は、認証処理を行うための各評価項目を端末情報から抽出する。評価項目は、例えばグローバルＩＰアドレス、プライベートＩＰアドレス、国、プロバイダ、シティ、ＶＰＮ、プロキシ等を含む。制御部１１は、抽出した各評価項目に対応付けられた評価ルール及び基準スコアを大容量記憶部１７のリスクスコアＤＢ１７２から取得する。

制御部１１は、取得した評価ルールに基づき、各評価項目に対してリスクスコアを算出する。なお、リスクスコアの算出処理に関しては、実施形態１でのリスクスコアの算出処理と同様であるため、説明を省略する。制御部１１は、算出した各評価項目のリスクスコアと、各評価項目の基準スコアとを比較する。例えば制御部１１は、リスクスコアが基準スコア以上である評価項目数が所定数（例えば、３つ）以上であると判定した場合、多要素認証処理を行う。

なお、多要素認証処理を行うか否かの判定処理は、上述した判定方法に限るものではない。例えば、各評価項目の中のいずれかの評価項目のリスクスコアが基準スコア以上であると判定した場合、多要素認証処理を行う。

多要素認証処理は、認証の３要素である「知識情報」、「所持情報」、「生体情報」のうち、２つ以上を組み合わせて認証することである。知識情報は、例えばパスワード、ピンコードまたは秘密の質問等を含む。所持情報は、携帯電話、ハードウェアトークンまたはＩＣカード等を含む。生体情報は、指紋、静脈または声紋等を含む。

例えば、ユーザがユーザＩＤ及びパスワードを用いてウェブサイトへログインした場合、サーバ１の制御部１１は、各評価項目に対してリスクスコアを算出する。制御部１１は、各評価項目の中のいずれかの評価項目のリスクスコアが基準スコア以上であると判定した場合、ユーザ端末３へ認証コードの発行指示、または指紋認証指示の送信等を行う。多要素認証処理を行うことにより、攻撃者が正規ユーザのユーザＩＤ及びパスワード等の情報を盗んだ可能性があると判定された場合、不正アクセスを防ぐことができる。

図１９は、多要素認証処理を行う際の処理手順を示すフローチャートである。サーバ１の制御部１１は、認証処理を行うための複数の評価項目を端末情報から抽出する（ステップＳ１２１）。制御部１１は、抽出した各評価項目に対応付けられた評価ルール及び基準スコアを大容量記憶部１７のリスクスコアＤＢ１７２から取得する（ステップＳ１２２）。

制御部１１は、抽出した複数の評価項目の中から、一つの評価項目を取得する（ステップＳ１２３）。制御部１１は、取得した評価項目に対応付けられた評価ルールに基づき、該評価項目のリスクスコアを算出する（ステップＳ１２４）。制御部１１は、算出した評価項目のリスクスコアが基準スコア以上であるか否かを判定する（ステップＳ１２５）。

制御部１１は、算出した評価項目のリスクスコアが基準スコア以上であると判定した場合（ステップＳ１２５でＹＥＳ）、評価項目数を累積する（ステップＳ１２６）、後述するステップＳ１２７に遷移する。制御部１１は、算出した評価項目のリスクスコアが基準スコア未満であると判定した場合（ステップＳ１２５でＮＯ）、複数の評価項目の中で該評価項目が最後の項目であるか否かを判定する（ステップＳ１２７）。

制御部１１は、該評価項目が最後の項目でないと判定した場合（ステップＳ１２７でＮＯ）、ステップＳ１２３に遷移する。制御部１１は、該評価項目が最後の項目であると判定した場合（ステップＳ１２７でＹＥＳ）、累積した評価項目数が所定数以上であるか否かを判定する（ステップＳ１２８）。

制御部１１は、累積した評価項目数が所定数以上であると判定した場合（ステップＳ１２８でＹＥＳ）、多要素認証処理を行う（ステップＳ１２９）。なお、多要素認証処理を行うサブルーチンについては後述する。制御部１１は、多要素認証処理を行った認証結果を通信部１３によりウェブサーバ２に送信する（ステップＳ１３０）。ウェブサーバ２の制御部２１は、サーバ１から送信された認証結果を通信部２３により受信する（ステップＳ２２１）。制御部１１は、累積した評価項目数が所定数より小さいと判定した場合（ステップＳ１２８でＮＯ）、処理を終了する。

図２０は、多要素認証処理のサブルーチンの処理手順を示すフローチャートである。なお、図２０では、多要素認証処理の一つ要素である認証コードをユーザ端末３へ発行する例として説明するが、他の要素を利用して多要素認証処理を行っても良い。

サーバ１の制御部１１は、ユーザＩＤ及び認証コードの発行指示を通信部１３によりウェブサーバ２に送信する（ステップＳ１４１）。ウェブサーバ２の制御部２１は、サーバ１から送信されたユーザＩＤ及び認証コードの発行指示を通信部２３により受信する（ステップＳ２４１）。制御部２１は、受信した認証コードの発行指示に応じて、受信したユーザＩＤに基づいてユーザの電話番号を大容量記憶部１７から取得する（ステップＳ２４２）。制御部２１は、取得した電話番号を通信部２３によりサーバ１に送信する（ステップＳ２４３）。

サーバ１の制御部１１は、ウェブサーバ２から送信されたユーザの電話番号を通信部１３により受信する（ステップＳ１４２）。制御部１１は、受信した電話番号に基づき、例えばＳＭＳ（Short Message Service）経由でユーザ端末３に認証コード（例えば、４桁の数字等）を送信する（ステップＳ１４３）。ユーザ端末３の制御部３１は、ＳＭＳ経由でサーバ１から送信された認証コードを通信部３３により受信する（ステップＳ３４１）。

制御部３１は、入力部３４を介して、例えばユーザにより認証コードの入力画面で入力された認証コードを受け付ける（ステップＳ３４２）。制御部３１は、ユーザにより入力された認証コードを通信部３３によりサーバ１に送信する（ステップＳ３４３）。サーバ１の制御部１１は、通信部１３を介して、ユーザにより入力された認証コードをユーザ端末３から受信する（ステップＳ１４４）。

制御部１１は、ユーザにより入力された認証コードと、ユーザ端末３に発行した認証コードとを比較し、ユーザにより入力された認証コードが正しいか否かを判定する（ステップＳ１４５）。制御部１１は、ユーザにより入力された認証コードが正しいと判定した場合（ステップＳ１４５でＹＥＳ）、多要素認証に成功した結果を出力し（ステップＳ１４６）、リターンする。制御部１１は、ユーザにより入力された認証コードが正しくないと判定した場合（ステップＳ１４５でＮＯ）、多要素認証に失敗した結果を出力し（ステップＳ１４７）、リターンする。

本実施形態によると、高いリスクを検出した場合に多要素認証処理を行うことにより、攻撃者が正規ユーザになりすましてウェブサイトへのアクセスを防止するため、セキュリティレベルの向上を図ることが可能となる。

（実施形態３）
実施形態３は、端末情報に基づき、所定の評価項目のリスクスコアを算出することにより、第２異常を判定する形態に関する。なお、実施形態１〜２と重複する内容については説明を省略する。

サーバ１の制御部１１は、ユーザＩＤに基づき、大容量記憶部１７のアクセス履歴ＤＢ１７５から前回ログイン時点でのトークン及び端末ＩＤを取得する。制御部１１は、取得したトークン及び端末ＩＤに基づき、大容量記憶部１７の端末情報ＤＢ１７１に記憶された前回ログイン時点での端末情報を取得する。制御部１１は、所定の評価項目に基づき、今回ログインの端末情報と前回ログインの端末情報とを比較する。評価項目は、例えば端末ＩＤ、アクセス元のＩＰアドレス、ＯＳまたはブラウザを含む。

具体的には、制御部１１は、今回ログイン時点での評価項目と、前回のログイン時点での評価項目とを比較する。例えば、制御部１１は、「端末ＩＤ」、「アクセス元のＩＰアドレス」、「ＯＳ」、「ブラウザ」評価項目に対し、今回ログイン時点での項目内容と、前回ログイン時点での項目内容とを比較する。

制御部１１は、比較対象の評価項目が一致していないと判定した場合、該評価項目の評価ルールに応じて、該評価項目のリスクスコアを算出する。評価ルールは、例えば「端末ＩＤ 不一致：１００ 一致：０、アクセス元のＩＰアドレス 不一致：６０ 一致：０、ＯＳ 不一致：７０ 一致：０、ブラウザ 不一致：３０ 一致：０」等であっても良い。

例えば、制御部１１は、今回のログイン時点での端末ＩＤと、前回ログイン時点での端末ＩＤとが一致していないと判定した場合、上述した評価ルールに基づき、「端末ＩＤ」評価項目のリスクスコアが１００であると算出する。制御部１１は、算出した「端末ＩＤ」評価項目のリスクスコアが基準スコア（例えば、６０）以上であるか否かを判定する。制御部１１は、「端末ＩＤ」評価項目のリスクスコアが基準スコア以上であると判定した場合、第２異常として判定する。

制御部１１は、今回のログイン時点での端末ＩＤと前回ログイン時点での端末ＩＤとが一致すると判定した場合、端末ＩＤ以外の評価項目（例えば、ＩＰアドレス、ＯＳ等）に対して比較する。この場合、例えば制御部１１は、端末ＩＤ以外の評価項目のリスクスコアが基準スコア以上である評価項目数が所定数（例えば、２）以上であると判定した場合、第２異常として判定する。

なお、上述したリスクスコアにより異常を判定する処理の流れに関しては、実施形態１での判定処理の流れと同様であるため、フローチャートの説明を省略する。

本実施形態によると、端末情報に基づき、所定の評価項目のリスクスコアを算出することにより第２異常を判定することが可能となる。

（実施形態４）
実施形態４は、第１異常、第２異常及び第３異常の合計リスクスコアにより、異常を判定する形態に関する。なお、実施形態１〜３と重複する内容については説明を省略する。

サーバ１の制御部１１は、第１異常を判定した場合、第１異常を判定した各評価項目のリスクスコアに基づき、第１合計リスクスコアを算出する。制御部１１は、第２異常を判定した場合、第２異常を判定した各評価項目のリスクスコアに基づき、第２合計リスクスコアを算出する。制御部１１は、第３異常を判定した場合、第３異常を判定した各評価項目のリスクスコアに基づき、第３合計リスクスコアを算出する。

制御部１１は、算出した第１合計リスクスコア、第２合計リスクスコア及び第３合計リスクスコアの合計リスクスコアを算出する。制御部１１は、算出した合計リスクスコアと、合計リスクスコアにより異常を判定するための基準スコアとを比較する。制御部１１は、算出した合計リスクスコアが基準スコア以上であると判定した場合、異常として判定する。

制御部１１は、第１合計リスクスコア、第２合計リスクスコア、第３合計リスクスコアに基づき、例えば縦棒グラフまたは円グラフを生成する。制御部１１は、通信部１３を介して、生成したグラフ情報を監視者端末４に送信する。監視者端末４は、サーバ１から送信したグラフ情報を通信部４３により受信し、受信したグラフ情報を表示部４５により表示する。なお、上述したグラフに限るものではない。例えば、制御部１１は、第１合計リスクスコア、第２合計リスクスコア、第３合計リスクスコア、または三者の合計リスクスコアに基づき、表の形式でのレポートを生成する。制御部１１は、生成したレポートを通信部１３により監視者端末４に送信しても良い。

図２１は、合計リスクスコアにより異常を判定する際の処理手順を示すフローチャートである。なお、第１異常、第２異常及び第３異常の判定処理に関しては、実施形態１での判定処理と同様であるため、説明を省略する。

サーバ１の制御部１１は、第１異常を判定した各評価項目のリスクスコアに基づき、第１合計リスクスコアを算出する（ステップＳ１６１）。制御部１１は、第２異常を判定した各評価項目のリスクスコアに基づき、第２合計リスクスコアを算出する（ステップＳ１６２）。制御部１１は、第３異常を判定した各評価項目のリスクスコアに基づき、第３合計リスクスコアを算出する（ステップＳ１６３）。

制御部１１は、算出した第１合計リスクスコア、第２合計リスクスコア及び第３合計リスクスコアの合計リスクスコアを算出する（ステップＳ１６４）。制御部１１は、合計リスクスコアにより異常を判定するための基準スコアを記憶部１２または大容量記憶部１７から取得する（ステップＳ１６５）。制御部１１は、算出した合計リスクスコアが基準スコア以上であるか否かを判定する（ステップＳ１６６）。

制御部１１は、算出した合計リスクスコアが基準スコア以上であると判定した場合（ステップＳ１６６でＹＥＳ）、ステップＳ１６７〜Ｓ１６９を実行する。監視者端末４の制御部４１は、ステップＳ４６１〜Ｓ４６２を実行する。なお、ステップＳ１６７〜Ｓ１６９、及びＳ４６１〜Ｓ４６２の処理は、図１４でのステップＳ１１４〜Ｓ１１６、及びＳ４０１〜Ｓ４０２と同様であるため、説明を省略する。制御部１１は、算出した合計リスクスコアが基準スコア未満であると判定した場合（ステップＳ１６６でＮＯ）、図１４でのステップＳ１１８に遷移する。

本実施形態によると、合計リスクスコアにより異常を判定することができるため、総合的に異常を判定することが可能となる。

今回開示された実施形態は全ての点で例示であって、制限的なものではないと考えられるべきである。本発明の範囲は、上記した意味ではなく、特許請求の範囲によって示され、特許請求の範囲と均等の意味及び範囲内での全ての変更が含まれることが意図される。

１ 情報処理装置（サーバ）
１１ 制御部
１２ 記憶部
１３ 通信部
１４ 入力部
１５ 表示部
１６ 読取部
１７ 大容量記憶部
１７１ 端末情報ＤＢ
１７２ リスクスコアＤＢ
１７３ 操作ログＤＢ
１７４ 異常判定結果ＤＢ
１７５ アクセス履歴ＤＢ
１ａ 可搬型記憶媒体
１ｂ 半導体メモリ
１Ｐ 制御プログラム
２ 情報処理装置（ウェブサーバ）
２１ 制御部
２２ 記憶部
２３ 通信部
２４ 入力部
２５ 表示部
２６ 読取部
２７ 大容量記憶部
２ａ 可搬型記憶媒体
２ｂ 半導体メモリ
２Ｐ 制御プログラム
３ 情報処理端末（ユーザ端末）
３１ 制御部
３２ 記憶部
３３ 通信部
３４ 入力部
３５ 表示部
３Ｐ 制御プログラム
４ 情報処理端末（監視者端末）
４１ 制御部
４２ 記憶部
４３ 通信部
４４ 入力部
４５ 表示部
４Ｐ 制御プログラム

Claims (9)

1. ウェブアプリケーションファイアウォールプログラムにおいて、
   ユーザ端末からユーザが保護対象のウェブサイトへログインした第１ログイン時点での第１ＩＰアドレスを取得し、
   取得した前記第１ＩＰアドレスに基づき、プロバイダ、国及び地域を含む第１地域情報を特定し、
   前記第１ログイン時点と異なる第２ログイン時点での第２ＩＰアドレスを取得し、
   取得した前記第２ＩＰアドレスに基づき、第２地域情報を特定し、
   前記第１ログイン時点での第１ログイン時間及び前記第１地域情報と、前記第２ログイン時点での第２ログイン時間及び前記第２地域情報とに基づき、第１異常を判定する
   処理をコンピュータに実行させるプログラム。
2. 前記ユーザ端末から端末情報を取得し、
   前記ユーザ端末の識別に使用するトークンを発行し、
   発行した前記トークンに対応付けて、取得した前記端末情報をデータベースに記憶する
   処理を実行させる請求項１に記載のプログラム。
3. 前記端末情報は、アクセス先ホスト情報、アクセス元情報、ＶＰＮ（Virtual Private Network）利用情報、プロキシ利用情報、位置情報、オペレーティングシステム情報またはブラウザ情報を含む
   請求項２に記載のプログラム。
4. 前記ユーザ端末から複数種類の端末情報を取得し、
   前記データベースから前記ユーザ端末に対応する複数種類の端末情報を読み出し、
   取得した複数種類の端末情報と読み出した複数種類の端末情報とを比較し、
   相互に端末情報が一致しない不一致数を計数し、
   計数した不一致数が所定数以上である場合、第２異常と判定する
   処理を実行させる請求項２又は３に記載のプログラム。
5. ユーザが前記ウェブサイトにログインしていると判定した場合、前記端末情報に基づき、認証処理を行うためのリスクスコアを算出し、
   算出したリスクスコアが所定の基準スコア以上であると判定した場合、多要素認証処理を行う
   処理を実行させる請求項２から４までのいずれかひとつに記載のプログラム。
6. 前記ユーザの操作ログを取得し、
   取得した前記操作ログに基づき、第２リスクスコアを算出し、
   算出した第２リスクスコアが所定の基準スコア以上であると判定した場合、第３異常を判定する
   処理を実行させる請求項１から５までのいずれかひとつに記載のプログラム。
7. 第１異常、第２異常または第３異常を含む異常を判定したユーザのアクセス履歴情報及び異常判定結果を監視者端末に出力する
   処理を実行させる請求項１から６までのいずれかひとつに記載のプログラム。
8. ウェブアプリケーションファイアウォールがインストールされた情報処理装置において、
   ユーザ端末からユーザが保護対象のウェブサイトへログインした第１ログイン時点での第１ＩＰアドレスを取得する第１取得部と、
   取得した前記第１ＩＰアドレスに基づき、プロバイダ、国及び地域を含む第１地域情報を特定する第１特定部と、
   前記第１ログイン時点と異なる第２ログイン時点での第２ＩＰアドレスを取得する第２取得部と、
   取得した前記第２ＩＰアドレスに基づき、第２地域情報を特定する第２特定部と、
   前記第１ログイン時点での第１ログイン時間及び前記第１地域情報と、前記第２ログイン時点での第２ログイン時間及び前記第２地域情報とに基づき、第１異常を判定する判定部と
   を備えることを特徴とする情報処理装置。
9. ウェブアプリケーションファイアウォールがインストールされたコンピュータに、
   ユーザ端末からユーザが保護対象のウェブサイトへログインした第１ログイン時点での第１ＩＰアドレスを取得し、
   取得した前記第１ＩＰアドレスに基づき、プロバイダ、国及び地域を含む第１地域情報を特定し、
   前記第１ログイン時点と異なる第２ログイン時点での第２ＩＰアドレスを取得し、
   取得した前記第２ＩＰアドレスに基づき、第２地域情報を特定し、
   前記第１ログイン時点での第１ログイン時間及び前記第１地域情報と、前記第２ログイン時点での第２ログイン時間及び前記第２地域情報とに基づき、第１異常を判定する
   処理を実行させることを特徴とする情報処理方法。
   
   

Images