JP2022060950A - 欺瞞システム、欺瞞方法および欺瞞プログラム - Google Patents

Abstract

【課題】正規ユーザの利便性を保ちながら攻撃者の活動を阻害できるようにする。【解決手段】管理装置３００は、正規ディレクトリとダミーディレクトリとを含んだ監視対象ディレクトリの内部構成を決定し、前記正規ディレクトリのためのアイコン画像である正規アイコン画像と前記ダミーディレクトリのためのアイコン画像であるダミーアイコン画像とを指定する。そして、ファイルサーバ２００は、決定された内部構成を示す内部構成リストに基づいて前記監視対象ディレクトリを生成し、前記正規ディレクトリに前記正規アイコン画像を設定し、前記ダミーディレクトリに前記ダミーアイコン画像を設定する。【選択図】図１

Description

本開示は、サイバー攻撃を阻害する欺瞞機構に関するものである。

攻撃者は、様々な手法によって標的人物にメールを開かせることでコンピュータをマルウェアに感染させる。その後、攻撃者は、マルウェアを通して組織内部を探索し、情報窃取または破壊活動のような目的を達成する。多層防御の考え方に基づき、攻撃者に侵入された後でも、攻撃者の活動を阻害する技術が求められる。

非特許文献１は、正規の環境に欺瞞機構を搭載する手法を提案している。
欺瞞機構は、監視対象の環境を模擬し、配置した餌情報（ｂａｉｔ ｉｎｆｏｒｍａｔｉｏｎ）を監視する。これにより、欺瞞機構は、攻撃者が餌情報に引っ掛かった際に、攻撃者の活動を検知することができる。欺瞞機構により、マルウェアの活動をプロアクティブに検知すること、および、攻撃者の活動を阻害すること、が可能になる。

非特許文献１の手法では、正規ユーザの利便性向上を目的として、欺瞞機構が、正規ユーザによって操作されているシステム上では欺瞞機能をオフにする。

青池優， 神薗雅紀， 衛藤将史， 松本倫子， ＆ 吉田紀彦． （２０１９）． 欺瞞機構に伴う利便性低下を防止するためのおとりファイル非表示化． コンピュータセキュリティシンポジウム ２０１９ 論文集， ２０１９， ６９１－６９６．

非特許文献１の手法では、正規ユーザを「ＧＵＩを利用するユーザ」と定義し、攻撃者を「ＣＵＩを利用するユーザ」と定義する。
そして、正規ユーザの利用中はダミーファイルが表示されず、正規ユーザの利便性が損なわれない。
しかし、正規ユーザの利用中は、ＣＵＩ上でもダミーファイルが表示されない。そのため、ＣＵＩを用いる攻撃者は、正規ユーザの利用時間を特定することで、どのファイルが正規ファイルであるかを推定することが可能である。
また、正規ユーザが利用するＯＳにおいては、正規プログラムも稼働している。
そのため、非特許文献１のように、単純に「ＣＵＩを利用するユーザ」を攻撃者と定義する手法の場合は、正規プログラムの動作も阻害されてしまう。

本開示は、正規ユーザの利便性を保ちながら攻撃者の活動を阻害できるようにすることを目的とする。

本開示の欺瞞システムは、
グラフィカルユーザインタフェースを使って正規ユーザからアクセスされる正規ディレクトリにキャラクタユーザインインタフェースを使ってアクセスするサイバー攻撃に対処するためのシステムである。
前記欺瞞システムは、
前記正規ディレクトリと前記正規ディレクトリのダミーとなるダミーディレクトリとを含んだ監視対象ディレクトリの内部構成を決定し、前記正規ディレクトリのためのアイコン画像である正規アイコン画像と前記ダミーディレクトリのためのアイコン画像であるダミーアイコン画像とを指定する構成管理部と、
決定された内部構成を示す内部構成リストに基づいて前記監視対象ディレクトリを生成し、前記正規ディレクトリに前記正規アイコン画像を設定し、前記ダミーディレクトリに前記ダミーアイコン画像を設定する監視対象生成部と、を備える。

本開示によれば、ダミーディレクトリの存在によって攻撃者の活動が阻害される。さらに、正規ユーザはアイコン画像を確認して正規ディレクトリとダミーディレクトリとを識別することができるので、正規ユーザの利便性が保たれる。つまり、正規ユーザの利便性を保ちながら攻撃者の活動を阻害することが可能となる。

実施の形態１における欺瞞システム１００の構成図。 実施の形態１におけるファイルサーバ２００の構成図。 実施の形態１における管理装置３００の構成図。 実施の形態１における欺瞞方法（準備）のフローチャート。 実施の形態１におけるステップＳ１２０のフローチャート。 実施の形態１における監視対象ディレクトリ２２０の一例を示す図。 実施の形態１における監視対象ディレクトリ２２０の一例を示す図。 実施の形態１における監視対象ディレクトリ２２０の内部構成リストの生成コードの例を示す図。 実施の形態１におけるステップＳ１３０のフローチャート。 実施の形態１におけるアイコン画像の例を示す図。 実施の形態１におけるアイコン画像群の例を示す図。 実施の形態１における欺瞞方法（記録）のフローチャート。 実施の形態１における欺瞞方法（検知）のフローチャート。 実施の形態１における欺瞞方法（更新）のフローチャート。 実施の形態２における管理装置３００の構成図。 実施の形態２における欺瞞方法（検知）のフローチャート。

実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。

実施の形態１．
欺瞞システム１００について、図１から図１４に基づいて説明する。

＊＊＊構成の説明＊＊＊
図１に基づいて、欺瞞システム１００の構成を説明する。
欺瞞システム１００は、ＧＵＩを使って正規ユーザ１０１からアクセスされるディレクトリにＣＵＩを使ってアクセスするサイバー攻撃に対処するためのシステムである。
ＧＵＩは、グラフィカルユーザインタフェースの略称である。
ＣＵＩは、キャラクタユーザインタフェースの略称である。キャラクタユーザインタフェースは、キャラクタベースユーザインタフェース（ＣＵＩ）、コンソールユーザインタフェース（ＣＵＩ）またはコマンドラインインタフェース（ＣＬＩ）ともいう。

欺瞞システム１００は、ファイルサーバ２００と、管理装置３００と、を備える。
ファイルサーバ２００は、ディレクトリおよびファイルを管理するコンピュータである。
管理装置３００は、サイバー攻撃によるファイルサーバ２００へのアクセスに対処するためのコンピュータである。
正規ユーザ１０１は、ファイルサーバ２００へのアクセスが許可されたユーザである。例えば、正規ユーザ１０１は、ファイルサーバ２００を管理する組織に属する人である。正規ユーザ１０１は、ＧＵＩを使ってファイルサーバ２００にアクセスする。例えば、正規ユーザ１０１は、ユーザ端末に表示されるアイコン画像をクリックすることによって、ディレクトリまたはファイルを開く。
正規プログラム１０２は、ファイルサーバ２００へのアクセスが許可されたプログラムである。例えば、正規プログラム１０２は、正規ユーザ１０１のユーザ端末にインストールされたアンチウィルスソフトウェアである。正規プログラム１０２は、ＣＵＩを使ってファイルサーバ２００にアクセスする。
攻撃者１０３は、サイバー攻撃を行う者である。攻撃者１０３は、不正プログラム１０４を使ってファイルサーバ２００にアクセスする。
不正プログラム１０４は、サイバー攻撃のためのプログラムである。例えば、不正プログラム１０４は、正規ユーザ１０１のユーザ端末にインストールされたマルウェアである。不正プログラム１０４は、ＣＵＩを使ってファイルサーバ２００にアクセスする。

図２に基づいて、ファイルサーバ２００の構成を説明する。
ファイルサーバ２００は、プロセッサ２０１とメモリ２０２と補助記憶装置２０３と通信装置２０４と入出力インタフェース２０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ２０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ２０１は、ＣＰＵ、ＤＳＰまたはＧＰＵである。
ＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略称である。
ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。
ＤＳＰは、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略称である。
ＧＰＵは、Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略称である。

メモリ２０２は揮発性または不揮発性の記憶装置である。メモリ２０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ２０２はＲＡＭである。メモリ２０２に記憶されたデータは必要に応じて補助記憶装置２０３に保存される。
ＲＡＭは、Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略称である。

補助記憶装置２０３は不揮発性の記憶装置である。例えば、補助記憶装置２０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置２０３に記憶されたデータは必要に応じてメモリ２０２にロードされる。
ＲＯＭは、Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙの略称である。
ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略称である。

通信装置２０４はレシーバ及びトランスミッタである。例えば、通信装置２０４は通信チップまたはＮＩＣである。
ＮＩＣは、Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄの略称である。

入出力インタフェース２０５は、入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース２０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。
ＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略称である。

ファイルサーバ２００は、構成通知部２１１と監視対象生成部２１２とアクセスログ記録部２１３といった要素を備える。これらの要素はソフトウェアで実現される。

補助記憶装置２０３には、監視対象ディレクトリ２２０が記憶される。
補助記憶装置２０３には、構成通知部２１１と監視対象生成部２１２とアクセスログ記録部２１３としてコンピュータを機能させるためのファイルサーバプログラムが記憶されている。ファイルサーバプログラムは、メモリ２０２にロードされて、プロセッサ２０１によって実行される。
補助記憶装置２０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ２０２にロードされて、プロセッサ２０１によって実行される。
プロセッサ２０１は、ＯＳを実行しながら、ファイルサーバプログラムを実行する。
ＯＳは、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略称である。

ファイルサーバプログラムの入出力データは記憶部に記憶される。
メモリ２０２は記憶部として機能する。但し、補助記憶装置２０３、プロセッサ２０１内のレジスタおよびプロセッサ２０１内のキャッシュメモリなどの記憶装置が、メモリ２０２の代わりに、又は、メモリ２０２と共に、記憶部として機能してもよい。

ファイルサーバ２００は、プロセッサ２０１を代替する複数のプロセッサを備えてもよい。

ファイルサーバプログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。

図３に基づいて、管理装置３００の構成を説明する。
管理装置３００は、プロセッサ３０１とメモリ３０２と補助記憶装置３０３と通信装置３０４と入出力インタフェース３０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。

プロセッサ３０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ３０１はＣＰＵ、ＤＳＰまたはＧＰＵである。
メモリ３０２は揮発性または不揮発性の記憶装置である。メモリ３０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ３０２はＲＡＭである。メモリ３０２に記憶されたデータは必要に応じて補助記憶装置３０３に保存される。
補助記憶装置３０３は不揮発性の記憶装置である。例えば、補助記憶装置３０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置３０３に記憶されたデータは必要に応じてメモリ３０２にロードされる。
通信装置３０４はレシーバ及びトランスミッタである。例えば、通信装置３０４は通信チップまたはＮＩＣである。
入出力インタフェース３０５は、入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース３０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。

管理装置３００は、欺瞞指示部３１１と構成管理部３１２とダミーアクセス検知部３１３とアラート発生部３１４といった要素を備える。これらの要素はソフトウェアで実現される。

補助記憶装置３０３には、ログデータベース３２０が記憶される。
補助記憶装置３０３には、欺瞞指示部３１１と構成管理部３１２とダミーアクセス検知部３１３とアラート発生部３１４としてコンピュータを機能させるための管理プログラムが記憶されている。管理プログラムは、メモリ３０２にロードされて、プロセッサ３０１によって実行される。
補助記憶装置３０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ３０２にロードされて、プロセッサ３０１によって実行される。
プロセッサ３０１は、ＯＳを実行しながら、管理プログラムを実行する。

管理プログラムの入出力データは記憶部３９０に記憶される。
メモリ３０２は記憶部３９０として機能する。但し、補助記憶装置３０３、プロセッサ３０１内のレジスタおよびプロセッサ３０１内のキャッシュメモリなどの記憶装置が、メモリ３０２の代わりに、又は、メモリ３０２と共に、記憶部３９０として機能してもよい。

管理装置３００は、プロセッサ３０１を代替する複数のプロセッサを備えてもよい。

管理プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。

＊＊＊動作の説明＊＊＊
欺瞞システム１００の動作の手順は欺瞞方法に相当する。また、欺瞞システム１００の動作の手順は欺瞞プログラムによる処理の手順に相当する。欺瞞プログラムは、ファイルサーバプログラムと管理プログラムとを含む。

図４に基づいて、欺瞞方法の準備段階について説明する。
ステップＳ１１０において、欺瞞指示部３１１は、生成指示を送信する。
生成指示は、監視対象ディレクトリ２２０の生成の指示を示すデータである。

ステップＳ１２０において、監視対象生成部２１２は、正規ディレクトリを監視対象ディレクトリ２２０に置き換える。
正規ディレクトリは、ダミーの生成の対象となるディレクトリであり、ファイルサーバ２００に予め存在する。
正規ディレクトリのダミーとなるディレクトリを「ダミーディレクトリ」と称する。
監視対象ディレクトリ２２０は、正規ディレクトリとダミーディレクトリとを含むディレクトリ群である。
ステップＳ１２０の詳細について後述する。

ステップＳ１３０において、監視対象生成部２１２は、監視対象ディレクトリ２２０の中の各ディレクトリのアイコン画像を変更する。
つまり、監視対象生成部２１２は、正規ディレクトリとダミーディレクトリとのそれぞれのアイコン画像を変更する。
ステップＳ１３０の詳細について後述する。

図５に基づいて、ステップＳ１２０の手順を説明する。
ステップＳ１２１において、構成通知部２１１は、生成指示を受信する。
そして、構成通知部２１１は、正規ディレクトリの構成情報を得る。ディレクトリの構成情報はディレクトリの中の構成（内部構成）を示す情報である。例えば、構成通知部２１１は、正規ディレクトリの構成情報をＯＳから取得する。

ステップＳ１２２において、構成通知部２１１は、正規構成通知を送信する。
正規構成通知は、正規ディレクトリの構成情報を示すデータである。

ステップＳ１２３において、構成管理部３１２は、正規構成通知を受信する。
次に、構成管理部３１２は、正規構成通知に示される正規ディレクトリの内部構成に基づいて、監視対象ディレクトリ２２０の内部構成を決定する。
そして、構成管理部３１２は、内部構成リストを生成する。内部構成リストは、監視対象ディレクトリ２２０の内部構成を示す。例えば、内部構成リストは、監視対象ディレクトリ２２０の中の各ディレクトリの名称およびパスを示す。
また、構成管理部３１２は、内部構成リストを記憶部３９０に保存する。これにより、ファイルサーバ２００において、内部構成リストを参照して各ディレクトリが正規ディレクトリとダミーディレクトリとのいずれであるか特定することができる。

ステップＳ１２４において、構成管理部３１２は、内部構成リストを送信する。

ステップＳ１２５において、監視対象生成部２１２は、内部構成リストを受信する。
そして、監視対象生成部２１２は、内部構成リストに示される内部構成を有するディレクトリを生成する。生成されるディレクトリが監視対象ディレクトリ２２０である。このとき、正規ディレクトリは監視対象ディレクトリ２２０に統合される。
その後、監視対象生成部２１２は、内部構成リストを消去する。これにより、ファイルサーバ２００において、各ディレクトリが正規ディレクトリとダミーディレクトリとのいずれであるか特定されない。

図６に、正規ディレクトリ２２１と監視対象ディレクトリ２２０とのそれぞれの構成の例を示す。
正規ディレクトリ２２１は、ディレクトリＡ、ディレクトリＢおよびディレクトリＣで構成されている。ディレクトリＡ、ディレクトリＢおよびディレクトリＣは、ｒｏｏｔディレクトリの下に配置されている。ディレクトリＡ、ディレクトリＢおよびディレクトリＣは階層を成している。
監視対象ディレクトリ２２０は、正規ディレクトリ２２１と、正規ディレクトリ２２１に対するダミーディレクトリと、を含んでいる。
ディレクトリＡ１は、正規ディレクトリ２２１であるディレクトリＡに相当する。
ディレクトリＡ１の下において、ディレクトリＢ１は正規ディレクトリ２２１であるディレクトリＢに相当し、ディレクトリＢ１の下のディレクトリＣ１は正規ディレクトリ２２１であるディレクトリＣに相当する。

監視対象ディレクトリ２２０において、その他のディレクトリは全てダミーディレクトリである。
ディレクトリＡ１の下において、ディレクトリＢ１の下のディレクトリＣ２は、ディレクトリＢ１の下のディレクトリＣ１に対するダミーディレクトリである。
ディレクトリＡ１の下において、ディレクトリＢ２は、ディレクトリＢ１に対するダミーディレクトリであり、ディレクトリＢ１と同じ構成を有している。
ディレクトリＡ２は、ディレクトリＡ１に対するダミーディレクトリであり、ディレクトリＡ１と同じ構成を有している。
このように、監視対象ディレクトリ２２０は、正規ディレクトリ２２１のそれぞれと同じ構成を有するダミーディレクトリを含む。これにより、攻撃者１０３が正規ディレクトリ２２１にアクセスする手間を増やし、攻撃者１０３の攻撃コストを増大させることができる。

図７に、正規ディレクトリ２２１と監視対象ディレクトリ２２０とのそれぞれの構成の例を示す。
正規ディレクトリ２２１は、ディレクトリＡ、ディレクトリＢ、ディレクトリＣおよびディレクトリＤで構成されている。
監視対象ディレクトリ２２０において、ディレクトリＡ１の下のディレクトリＤ１は、正規ディレクトリ２２１であるディレクトリＤに相当する。ディレクトリＤ２は、ディレクトリＤ１に対するダミーディレクトリである。
攻撃者１０３は、監視対象ディレクトリ２２０の中の正規ディレクトリ２２１にアクセスするために、常に２択を迫られる。

監視対象ディレクトリ２２０の構成は、図６または図７に示すような構成に限られない。例えば、監視対象ディレクトリ２２０は、正規ディレクトリ２２１のそれぞれに対して２つ以上のダミーディレクトリを含んでもよい。

図８に、監視対象ディレクトリ２２０の内部構成リストを生成するためのプログラムコードの例を示す。
「ｄｉｒ」は、プログラムコードの入力を表す。入力ｄｉｒは、例えば、辞書形式で与えられる。具体的には、入力ｄｉｒはハッシュテーブルである。

図７の場合、入力ｄｉｒは以下のように表される。
ｄｉｒ ＝ ｛“ｒｏｏｔ”：［“Ａ”］，“Ａ”：［“Ｂ”，“Ｄ”］，“Ｂ”：［“Ｃ”］，“Ｃ”：［］，“Ｄ”：［］｝
“Ｘ”のＸは、ディレクトリ名を表す。
“Ｘ”：［“Ｙ”］は、ディレクトリＹがディレクトリＸの下のディレクトリであることを意味する。

上記の入力ｄｉｒに対してプログラムコードが実行されることにより、以下のような出力が得られる。
｛‘ｒｏｏｔ’：［‘Ａ１’，‘Ａ２’］，‘Ａ１：［‘Ｂ１’，‘Ｂ２’，‘Ｄ１’，‘Ｄ２’］，‘Ａ２’：［‘Ｂ１’，‘Ｂ２’，‘Ｄ１’，‘Ｄ２’］，‘Ｂ１’：［‘Ｃ１’，‘Ｃ２’］，‘Ｂ２’：［‘Ｃ１’，‘Ｃ２’］，‘Ｃ１’：［］，‘Ｃ２’：［］，‘Ｄ１’：［］，‘Ｄ２’：［］｝
‘Ｘ’のＸは、ディレクトリ名を表す。
ディレクトリ名の末尾が「１」であるディレクトリが正規ディレクトリ２２１である。つまり、Ａ１／Ｂ１／Ｃ１およびＡ１／Ｄ１が正規ディレクトリ２２１である。Ｘ／Ｙは、ディレクトリＸおよびディレクトリＸの下のディレクトリＹを表す。

なお、正規ディレクトリ２２１の中にファイルが存在する場合、ダミーディレクトリの中にダミーファイルが生成される。正規ディレクトリ２２１の中のファイルを「正規ファイル」と称する。
ダミーファイルの名称およびアイコン画像は、正規ファイルの名称およびアイコン画像と同じである。
ダミーファイルの中身は、正規ファイルの中身と異なる。具体的には、ダミーファイルを特定する情報がダミーファイルに記載される。例えば、ダミーファイルには「ｄｕｍｍｙ」という単語が記載される。これにより、正規ユーザ１０１がダミーファイルを開いた場合に、正規ユーザ１０１は、誤ってダミーファイルを開いたことに気づくことができる。
ダミーファイルのサイズは、正規ファイルのサイズと同じにする。これにより、攻撃者１０３は、ファイルサイズの情報を参照して正規ファイルとダミーファイルとを識別できない。

図９に基づいて、ステップＳ１３０の手順を説明する。
ステップＳ１３１において、構成管理部３１２は、監視対象ディレクトリ２２０の中の各ディレクトリのためのアイコン画像を得る。
つまり、構成管理部３１２は、正規ディレクトリのためのアイコン画像と、ダミーディレクトリのためのアイコン画像と、を得る。
正規ディレクトリのためのアイコン画像を「正規アイコン画像」と称する。正規アイコン画像は正規ディレクトリを表す。
ダミーディレクトリのためのアイコン画像を「ダミーアイコン画像」と称する。ダミーアイコン画像はダミーディレクトリを表す。

図１０に、正規アイコン画像２２３とダミーアイコン画像２２４とのそれぞれの例を示す。
正規アイコン画像２２３には丸印が記されている。正規アイコン画像２２３のようなアイコン画像が使用されることにより、正規ユーザ１０１は、正規ディレクトリを一目で識別することができる。
ダミーアイコン画像２２４にはバツ印が記されている。ダミーアイコン画像２２４のようなアイコン画像が使用されることにより、正規ユーザ１０１は、ダミーディレクトリを一目で識別することができる。
正規アイコン画像２２３とダミーアイコン画像２２４は、記憶部３９０に予め記憶される。
構成管理部３１２は、正規ディレクトリの数と同じ数だけ正規アイコン画像２２３を複製する。
構成管理部３１２は、ダミーディレクトリの数と同じ数だけダミーアイコン画像２２４を複製する。

図９に戻り、ステップＳ１３２から説明を続ける。
ステップＳ１３２において、構成管理部３１２は、各アイコン画像の名称を生成する。つまり、構成管理部３１２は、正規アイコン画像の名称と、ダミーアイコン画像の名称と、を生成する。
正規アイコン画像の名称を「正規アイコン名」と称する。
ダミーアイコン画像の名称を「ダミーアイコン名」と称する。

正規アイコン名およびダミーアイコン名は以下のように生成される。
まず、構成管理部３１２は、正規アイコン画像のための識別子と、ダミーアイコン画像のための識別子と、をランダムに生成する。
正規アイコン画像のための識別子を「正規識別子」と称する。ダミーアイコン画像のための識別子を「ダミー識別子」と称する。
具体的には、構成管理部３１２は、ランダムに文字列を生成する。生成される文字列を「ランダム文字列」と称する。そして、構成管理部３１２は、正規ディレクトリ用の記号をランダム文字列に付加して正規識別子を生成し、ダミーディレクトリ用の記号をランダム文字列に付加してダミー識別子を生成する。
例えば、「ｇ」が正規ディレクトリ用の記号であり、「ｄ」がダミーディレクトリ用の記号である場合、「ｇ＿ランダム文字列」が正規識別子となり、「ｄ＿ランダム文字列」がダミー識別子となる。
そして、構成管理部３１２は、正規識別子を暗号化して暗号化正規識別子を生成する。暗号化正規識別子が正規アイコン名として使用される。また、構成管理部３１２は、ダミー識別子を暗号化して暗号化ダミー識別子を生成する。暗号化ダミー識別子がダミーアイコン名として使用される。
暗号化または復号に用いられる鍵（暗号鍵）は記憶部３９０に予め登録される。例えば、共通鍵が暗号鍵として用いられる。そして、共通鍵暗号によって正規識別子とダミー識別子とのそれぞれが暗号化される。また、正規アイコン名が正規識別子に復号され、ダミ
ーアイコン名がダミー識別子に復号される。

ステップＳ１３３において、構成管理部３１２は、内部構成リストと正規アイコン画像と正規アイコン名とダミーアイコン画像とダミーアイコン名とを用いて、対象構成リストを生成する。
対象構成リストは、内部構成リストの内容を示し、監視対象ディレクトリ２２０の中の各ディレクトリに対応付けてアイコン画像と名称とを示す。例えば、対象構成リストは表形式で生成される。

また、構成管理部３１２は、対象構成リストを記憶部３９０に保存する。これにより、管理装置３００において、対象構成リストを参照して監視対象ディレクトリ２２０の中の各ディレクトリが正規ディレクトリとダミーディレクトリとのいずれであるか特定することができる。
対象構成リストと内部構成リストとの両方が管理されてもよいし、内部構成リストが対象構成リストに統合されてもよい。

ステップＳ１３４において、構成管理部３１２は、対象構成リストを送信する。
対象構成リストによって、監視対象ディレクトリ２２０の各ディレクトリに対するアイコン画像および名称が指定される。

ステップＳ１３５において、監視対象生成部２１２は、対象構成リストを受信する。
そして、監視対象生成部２１２は、対象構成リストを参照し、監視対象ディレクトリ２２０の中の各ディレクトリに対象構成リストに示されるアイコン画像を設定する。
つまり、監視対象生成部２１２は、正規ディレクトリに正規アイコン画像を設定し、ダミーディレクトリにダミーアイコン画像を設定する。

ステップＳ１３６において、監視対象生成部２１２は、対象構成リストを参照し、各アイコン画像に対象構成リストに示される名称を設定する。
つまり、監視対象生成部２１２は、正規アイコン画像に正規アイコン名を設定し、ダミーアイコン画像にダミーアイコン名を設定する。
その後、監視対象生成部２１２は、対象構成リストを消去する。これにより、ファイルサーバ２００において、各アイコン画像の名称を参照して各アイコン画像が正規アイコン画像とダミーアイコン画像とのいずれであるか特定されない。

図１１に、アイコン画像群の例を示す。
正規アイコン画像２２３のそれぞれには、正規アイコン名が設定されている。
ダミーアイコン画像２２４のそれぞれには、ダミーアイコン名が設定されている。
正規アイコン名とダミーアイコン名とのそれぞれは、暗号化された識別子である。そのため、アイコン画像の名称を参照しても、アイコン画像が正規ディレクトリとダミーディレクトリとのいずれのものであるか判定することはできない。
これにより、不正プログラム１０４は、正規ディレクトリとダミーディレクトリとを判別することができない。

一方、正規プログラム１０２は、暗号鍵を用いてアイコン画像の名称からディレクトリの識別子を復号し、ディレクトリの識別子を参照することによって正規ディレクトリとダミーディレクトリとを判別することができる。暗号鍵は、ダミーアクセス検知部３１３が所持する。

以降において、欺瞞方法の運用段階について説明する。
図１２に基づいて、欺瞞方法におけるアクセスログの記録について説明する。
ステップＳ１４１において、アクセスログ記録部２１３は、監視対象ディレクトリ２２０へのアクセスを監視する。
例えば、アクセスログ記録部２１３は、ＯＳのイベントログを参照する。

ステップＳ１４２において、アクセスログ記録部２１３は、監視対象ログを得る。
監視対象ログは、監視対象ディレクトリ２２０へのアクセスを示すアクセスログである。アクセスログは、アクセス元名称およびアクセス先名称などを示す。
例えば、アクセスログ記録部２１３は、ＯＳのイベントログから監視対象ログを抽出する。

ステップＳ１４３において、アクセスログ記録部２１３は、管理装置３００と通信することによって、監視対象ログをログデータベース３２０に記録する。

図１３に基づいて、欺瞞方法における不正なアクセスの検知について説明する。
ステップＳ１５１において、ダミーアクセス検知部３１３は、ログデータベース３２０を参照し、ダミーディレクトリへのアクセスを検知する。
具体的には、ダミーアクセス検知部３１３は、ダミーディレクトリへのアクセスを示すアクセスログがログデータベース３２０に記録されているか判定する。
アクセスログに示されるアクセス先名称が対象構成リスト（または内部構成リスト）に示されるダミーディレクトリ名またはダミーアイコン名と一致する場合、そのアクセスログはダミーディレクトリへのアクセスを示している。

ステップＳ１５２において、ダミーアクセス検知部３１３は、ダミーディレクトリへのアクセスが正規プログラム１０２によるアクセスであるか判定する。
具体的には、ダミーアクセス検知部３１３は、アクセスログに示されるアクセス元名称がホワイトリストに記されているか判定する。
ホワイトリストは、正規プログラム１０２のリストであり、記憶部３９０に予め記憶される。正規プログラム１０２は、正規ユーザ１０１が利用するＯＳにおいて稼働している。つまり、ホワイトリストには、正規ユーザ１０１が利用するＯＳにおいて稼働している正規プログラム１０２が記されている。そして、ホワイトリストは、正規プログラム１０２と不正プログラム１０４とを切り分けるために使用される。
ダミーディレクトリへのアクセスが正規プログラム１０２によるアクセスである場合、不正プログラム１０４によるダミーディレクトリへのアクセスは検知されず、処理は終了する。
ダミーディレクトリへのアクセスが正規プログラム１０２によるアクセスでない場合、不正プログラム１０４によるダミーディレクトリへのアクセスが検知され、処理はステップＳ１５３に進む。

ステップＳ１５３において、アラート発生部３１４は、アラートを発生させる。
例えば、アラート発生部３１４は、アラートをディスプレイに表示する。

図１４に基づいて、欺瞞方法における監視対象ディレクトリ２２０の更新について説明する。
ステップＳ１６１において、欺瞞指示部３１１は、定期的に更新指示を送信する。例えば、欺瞞指示部３１１は、１日に１回、更新指示を送信する。
更新指示は、監視対象ディレクトリ２２０の更新の指示を示すデータである。

ステップＳ１６２において、構成通知部２１１は、更新指示を受信する。
そして、構成通知部２１１は、監視対象ディレクトリ２２０の構成情報を得る。例えば、構成通知部２１１は、監視対象ディレクトリ２２０の構成情報をＯＳから取得する。

ステップＳ１６３において、構成通知部２１１は、対象構成通知を送信する。
対象構成通知は、監視対象ディレクトリ２２０の構成情報を示すデータである。

ステップＳ１６４において、構成管理部３１２は、対象構成通知を受信する。
そして、構成管理部３１２は、対象構成通知に示される監視対象ディレクトリ２２０の内部構成に基づいて、対象構成リストを更新する。
具体的には、構成管理部３１２は、多重化されていない正規ディレクトリに対するダミーディレクトリ、つまり、ダミーディレクトリが存在しない正規ディレクトリに対するダミーディレクトリ、を監視対象ディレクトリ２２０に追加する。また、構成管理部３１２は、追加されるダミーディレクトリにダミーアイコン画像とダミーアイコン名とを対応付ける。
多重化されていない正規ディレクトリは、監視対象ディレクトリ２２０の構成情報を参照して特定される。多重化されていない正規ディレクトリは、ステップＳ１６２において構成通知部２１１によって特定されてもよいし、ステップＳ１６４において構成管理部３１２によって特定されてもよい。

ステップＳ１６５において、構成管理部３１２は、更新後の対象構成リストを送信する。

ステップＳ１６６において、監視対象生成部２１２は、更新後の対象構成リストを受信する。
そして、監視対象生成部２１２は、更新後の対象構成リストに従って、監視対象ディレクトリ２２０を更新する。つまり、監視対象生成部２１２は、ダミーディレクトリが存在しない正規ディレクトリにダミーディレクトリを追加し、
その後、監視対象生成部２１２は、対象構成リストを消去する。これにより、ファイルサーバ２００において、各ディレクトリが正規ディレクトリとダミーディレクトリとのいずれであるか特定されない。

＊＊＊実施の形態１の効果＊＊＊
実施の形態１により、ダミーディレクトリの存在によって攻撃者１０３の活動が阻害される。さらに、正規ユーザ１０１はアイコン画像を確認して正規ディレクトリとダミーディレクトリとを識別することができるので、正規ユーザ１０１利便性が保たれる。つまり、正規ユーザ１０１の利便性を保ちながら攻撃者１０３の活動を阻害することが可能となる。

各ディレクトリのアイコン画像は、例えば、ＯＳの機能を利用すれば変更することが可能である。
アイコン画像が変更された場合、プロパティ情報を参照することにより、指定されたアイコン画像のパスが判明する。そのため、正規ディレクトリ用のアイコン画像とダミーディレクトリ用のアイコン画像との二種類のアイコン画像だけが用意された場合、次のようなことが懸念される。攻撃者１０３は、いずれかのダミーディレクトリを１つ見付けてしまえば、当該ダミーディレクトリのプロパティ情報を参照してアイコン画像を特定し、特定したアイコン画像を使用しているディレクトリがすべてダミーディレクトリであると判断することができる。そのため、ＣＵＩが使用される場合であっても、どのディレクトリが正規ディレクトリであるか確認することができてしまう。
そこで、欺瞞システム１００は、個々のディレクトリに対して個別のアイコン画像を用意する。ここで、正規ディレクトリが使用するアイコン画像はすべて同じ絵柄である。同様に、ダミーディレクトリが使用するアイコン画像はすべて同じ絵柄である。正規ディレクトリのアイコン画像の名称もダミーディレクトリのアイコン画像の名称も暗号化識別子
となっており、すべてのアイコン画像の名称は異なる。
正規ユーザ１０１はＧＵＩを使用する。そのため、正規ユーザ１０１は、アイコン画像を見て正規ディレクトリとダミーディレクトリとを判別することができる。一方、攻撃者１０３はＣＵＩを使用する。しかし、攻撃者１０３はアイコン画像の名称を見て正規ディレクトリとダミーディレクトリとを判別することができない。

欺瞞システム１００において、全てのディレクトリおよびファイルが多重化される。そのため、ディレクトリの階層ごとに、ダミーを含む二つ以上の選択肢が存在することとなる。また、ダミーディレクトリへのアクセスが発生した際に攻撃者１０３に対する通知はない。そのため、攻撃者１０３は、ダミーファイルを開くまでは、自身がダミーディレクトリを探索していた事実に気づくことはない。また、検索ツールを利用しても、名前が同じディレクトリが複数見つかり、ディレクトリを絞り込むことができない。そのため、検索ツールは攻撃者１０３にとっての有効な手段にはならない。また、ダミーディレクトリへのアクセスは攻撃検知アラートの出力のきっかけとなる。そのため、攻撃者１０３は、何か１つのファイルを探索するにも、ダミーディレクトリへのアクセスを避けながら行う必要がある。よって、攻撃者に負担を与えることができる。

正規ユーザ１０１がダミーディレクトリを含むディレクトリ構成上でファイルブラウジングを実施することを考える。この時、正規ユーザ１０１であっても、ダミーディレクトリを誤って選択する可能性がある。しかし、最下層以外のダミーディレクトリが選択された場合、表示されるディレクトリは全てダミーディレクトリであるため、全てのアイコン画像にバツ印が記されている。そして、表示されている全てのアイコン画像がダミーディレクトリのアイコン画像であるため、正規ユーザ１０１は、ダミーディレクトリを誤って選択してしまったことに気づくことができる。また、最下層のダミーディレクトリが選択された場合、ダミーディレクトリにはファイルしか存在しないので、ダミーディレクトリのアイコン画像は表示されない。この場合、正規ユーザ１０１はダミーディレクトリの中のファイル（ダミーファイル）を開くことになる。しかし、ダミーファイルの中にはダミーファイルを特定する情報が記されている。そのため、正規ユーザ１０１は、ダミーファイルを開いた時点で、ダミーディレクトリを誤って選択してしまったことに気づくことができる。

正規プログラム１０２によるダミーディレクトリへのアクセスについては、ホワイトリストを使って正規プログラム１０２によるアクセスを除外することで、アラートの発生を防ぐことができる。具体的には、ダミーディレクトリにアクセスしたプログラムがホワイトリストに記されているプログラム（正規プログラム１０２）である場合にアラートを発生させないようにすることができる。このように、ホワイトリストを使用することにより、正規プログラム１０２と不正プログラム１０４とを切り分けることができる。

上記の理由から、欺瞞システム１００によって、正規ユーザ１０１および正規プログラム１０２の利便性を保ちながら、不正プログラム１０４によるアクセスの誤検知を減らすことができる。
さらに、サイバー攻撃が発覚した後に、ダミーディレクトリへのアクセス状況を把握することができるため、攻撃者１０３の活動を把握し、インシデントレスポンスを行うことが可能となる。

実施の形態２．
不正なアクセスの誤検知を低減する形態について、主に実施の形態１と異なる点を図１５および図１６に基づいて説明する。

＊＊＊構成の説明＊＊＊
欺瞞システム１００の構成は、実施の形態１における構成と同じである（図１を参照）。但し、管理装置３００の構成の一部が実施の形態１における構成と異なる。

図１５に基づいて、管理装置３００の構成を説明する。
管理装置３００は、さらに、アクセス確認部３１５とアクセス確認ログ記録部３１６といった要素を備える。
管理プログラムは、さらに、アクセス確認部３１５とアクセス確認ログ記録部３１６としてコンピュータを機能させる。

＊＊＊動作の説明＊＊＊
欺瞞方法の準備段階については、実施の形態１における動作と同じである（図４を参照）。
欺瞞方法の運用段階において、記録および更新については、実施の形態１における動作と同じである（図１２および図１４を参照）。

図１６に基づいて、欺瞞方法における不正なアクセスの検知について説明する。

ステップＳ２５１において、ダミーアクセス検知部３１３は、ログデータベース３２０を参照し、ダミーディレクトリへのアクセスを検知する。
ステップＳ２５１は、実施の形態１におけるステップＳ１５１と同じである。

ステップＳ２５２において、ダミーアクセス検知部３１３は、ダミーディレクトリへのアクセスが正規プログラム１０２によるアクセスであるか判定する。
ステップＳ２５２は、実施の形態１におけるステップＳ１５２と同じである。
ダミーディレクトリへのアクセスが正規プログラム１０２によるアクセスである場合、処理は終了する。
ダミーディレクトリへのアクセスが正規プログラム１０２によるアクセスでない場合、処理はステップＳ２５３に進む。

ステップＳ２５３において、アクセス確認部３１５は、正規ユーザ１０１のユーザ端末と通信することによって、正規ユーザ１０１のユーザ端末にアクセス確認画面を表示させる。
アクセス確認画面は、ダミーディレクトリへのアクセスが正規ユーザ１０１の操作によるものであるか確認するための画面である。アクセス確認画面は、ディレクトリ名、パスの情報およびアクセス時間など、ダミーディレクトリへのアクセスについて正規ユーザ１０１の判断に必要な情報を提示する。
アクセス確認画面の具体的な形態は「ポップアップ」である。

ステップＳ２５４において、アクセス確認ログ記録部３１６は、一定時間、アクセス確認画面に対する回答を受け付ける。

ステップＳ２５５において、アクセス確認ログ記録部３１６は、アクセス確認画面に対する回答結果を含んだアクセス確認ログを生成する。
アクセス確認画面に対する回答結果は次のような情報を示す。一定時間に回答が得られなかった（未回答）。正規ユーザ１０１がダミーディレクトリにアクセスした。正規ユーザ１０１がダミーディレクトリにアクセスしていない。アクセス確認画面に対する回答が人間の操作によるものではない。アクセス確認画面に対する回答が人間の操作によるものであるか否かは、ＣＡＰＣＨＡと呼ばれるツールなどを用いて判定することができる。
そして、アクセス確認ログ記録部３１６は、アクセス確認ログをログデータベース３２０に記録する。

ステップＳ２５６において、アラート発生部３１４は、ログデータベース３２０の中のアクセス確認ログを参照し、アクセス確認画面に対する回答結果に基づいてアラートの要否を判定する。
攻撃者１０３および不正プログラム１０４によってダミーディレクトリへのアクセスが発生した場合には、アラートの発生が必要である。
例えば、アクセス確認画面に対する回答が得られなかった場合、アラート発生部３１４はアラートが必要であると判定する。また、正規ユーザ１０１がダミーディレクトリにアクセスしていないという回答が得られた場合、アラート発生部３１４はアラートが必要であると判定する。また、アクセス確認画面に対する回答が人間の操作によるものではない場合、アラート発生部３１４はアラートが必要であると判定する。
アラートが必要である場合、処理はステップＳ２５７に進む。
アラートが必要でない場合、処理は終了する。

ステップＳ２５７において、アラート発生部３１４は、アラートを発生させる。
ステップＳ２５７は、実施の形態１におけるステップＳ１５３と同じである。

＊＊＊実施の形態２の効果＊＊＊
欺瞞システム１００は、ダミーディレクトリへのアクセスを検知した際に、正規ユーザ１０１に対してポップアップ（アクセス確認画面の一例）を表示する。正規ユーザ１０１はＧＵＩを使用するので、正規ユーザ１０１はポップアップに対応することが可能である。そのため、ダミーディレクトリへのアクセスが正規ユーザ１０１によるものか、ＣＵＩを使用する攻撃者１０３によるものか判断することができる。これにより、不正なアクセスの誤検知を低減することができる。

つまり、欺瞞システム１００は、ダミーディレクトリへのアクセスに対してポップアップ承認を行うことができる。ＧＵＩを使用している正規ユーザ１０１であれば、正しく承認を行うことができる。そのため、正規ユーザ１０１の誤操作によるダミーディレクトリへのアクセスについてのログを除外し、不正なアクセスの誤検知を減らすことができる。一方、ＣＵＩを使用する攻撃者１０３は、ポップアップ承認を通過することができない。正規ユーザ１０１は、自身が行った記憶がないアクセスに対してポップアップ承認が要求されるため、サイバー攻撃にいち早く気づくことができる。

＊＊＊実施の形態の補足＊＊＊
各実施の形態は、好ましい形態の例示であり、本開示の技術的範囲を制限することを意図するものではない。各実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。

欺瞞システム１００は、１台の装置（コンピュータ）または３台以上の装置によって実現されてもよい。ファイルサーバ２００と管理装置３００とのそれぞれは、２台以上の装置によって実現されてもよい。
欺瞞システム１００の要素である「部」は、ソフトウェア、ハードウェア、ファームウェアまたはこれらの組み合わせのいずれで実現されてもよい。
欺瞞システム１００の要素である「部」は、「処理」または「工程」と読み替えてもよい。

１００ 欺瞞システム、１０１ 正規ユーザ、１０２ 正規プログラム、１０３ 攻撃者、１０４ 不正プログラム、２００ ファイルサーバ、２０１ プロセッサ、２０２
メモリ、２０３、補助記憶装置、２０４ 通信装置、２０５ 入出力インタフェース、２１１ 構成通知部、２１２ 監視対象生成部、２１３ アクセスログ記録部、２２０ 監視対象ディレクトリ、２２１ 正規ディレクトリ、２２３ 正規アイコン画像、２２４ ダミーアイコン画像、３００ 管理装置、３０１ プロセッサ、３０２ メモリ、３０３ 補助記憶装置、３０４ 通信装置、３０５ 入出力インタフェース、３１１ 欺瞞指示部、３１２ 構成管理部、３１３ ダミーアクセス検知部、３１４ アラート発生部、３１５ アクセス確認部、３１６ アクセス確認ログ記録部、３２０ ログデータベース、３９０ 記憶部。

Claims (9)

1. グラフィカルユーザインタフェースを使って正規ユーザからアクセスされる正規ディレクトリにキャラクタユーザインインタフェースを使ってアクセスするサイバー攻撃に対処するための欺瞞システムであって、
   前記正規ディレクトリと前記正規ディレクトリのダミーとなるダミーディレクトリとを含んだ監視対象ディレクトリの内部構成を決定し、前記正規ディレクトリのためのアイコン画像である正規アイコン画像と前記ダミーディレクトリのためのアイコン画像であるダミーアイコン画像とを指定する構成管理部と、
   決定された内部構成を示す内部構成リストに基づいて前記監視対象ディレクトリを生成し、前記正規ディレクトリに前記正規アイコン画像を設定し、前記ダミーディレクトリに前記ダミーアイコン画像を設定する監視対象生成部と、
   を備える欺瞞システム。
2. 前記構成管理部は、前記正規アイコン画像のための識別子である正規識別子を生成し、前記正規識別子を暗号化して暗号化正規識別子を生成し、前記ダミーアイコン画像のための識別子であるダミー識別子を生成し、前記ダミー識別子を暗号化して暗号化ダミー識別子を生成し、
   前記監視対象生成部は、前記暗号化正規識別子を前記正規アイコン画像の名称として前記正規アイコン画像に設定し、前記暗号化ダミー識別子を前記ダミーアイコン画像の名称として前記ダミーアイコン画像に設定する
   請求項１に記載の欺瞞システム。
3. 前記監視対象ディレクトリへのアクセスを監視し、アクセスログをログデータベースに記録するアクセスログ記録部と、
   前記ログデータベースと前記内部構成リストとを参照して前記ダミーディレクトリへのアクセスを検知し、正規プログラムのリストであるホワイトリストを参照して不正プログラムによる前記ダミーディレクトリへのアクセスを検知するダミーアクセス検知部と、
   前記不正プログラムによる前記ダミーディレクトリへのアクセスが検知された場合にアラートを発生させるアラート発生部と、
   を備える
   請求項１または請求項２に記載の欺瞞システム。
4. 前記監視対象ディレクトリへのアクセスを監視し、アクセスログをログデータベースに記録するアクセスログ記録部と、
   前記ログデータベースと前記内部構成リストとを参照して前記ダミーディレクトリへのアクセスを検知し、正規プログラムのリストであるホワイトリストを参照して前記ダミーディレクトリへのアクセスが正規プログラムによるアクセスであるか判定するダミーアクセス検知部と、
   前記ダミーディレクトリへのアクセスが正規プログラムによるアクセスでない場合に、前記正規ユーザのユーザ端末に、前記ダミーディレクトリへのアクセスが前記正規ユーザの操作によるものであるか確認するためのアクセス確認画面を表示させるアクセス確認部と、
   前記アクセス確認画面に対する回答結果に基づいてアラートの要否を判定し、アラートが必要であると判定した場合にアラートを発生させるアラート発生部と、
   を備える
   請求項１または請求項２に記載の欺瞞システム。
5. 前記欺瞞システムは、
   前記監視対象ディレクトリの生成を指示する生成指示を送信する欺瞞指示部と、
   前記生成指示を受信し、前記正規ディレクトリの内部構成を示す正規構成通知を送信する構成通知部と、
   を備え、
   前記構成管理部は、前記正規構成通知を受信し、前記正規構成通知に示される前記正規ディレクトリの前記内部構成に基づいて前記監視対象ディレクトリの前記内部構成を決定し、前記内部構成リストを送信し、
   前記監視対象生成部は、前記内部構成リストを受信し、前記内部構成リストに基づいて前記監視対象ディレクトリを生成する
   請求項１から請求項４のいずれか１項に記載の欺瞞システム。
6. 前記構成管理部は、前記監視対象ディレクトリの前記内部構成を示し、前記正規ディレクトリに対応付けて前記正規アイコン画像を示し、前記ダミーディレクトリに対応付けて前記ダミーアイコン画像を示す対象構成リストを生成し、前記対象構成リストを送信し、
   前記監視対象生成部は、前記対象構成リストを受信し、前記対象構成リストを参照し、前記正規ディレクトリに前記正規アイコン画像を設定し、前記ダミーディレクトリに前記ダミーアイコン画像を設定する
   請求項５に記載の欺瞞システム。
7. 前記欺瞞指示部は、前記監視対象ディレクトリの更新を指示する更新指示を定期的に送信し、
   前記構成通知部は、前記更新指示を受信し、前記監視対象ディレクトリの内部構成を示す対象構成通知を送信し、
   前記構成管理部は、前記対象構成通知を受信し、前記対象構成通知に示される前記監視対象ディレクトリの前記内部構成に基づいて前記対象構成リストを更新し、更新後の対象構成リストを送信し、
   前記監視対象生成部は、前記更新後の対象構成リストを受信し、前記更新後の対象構成リストに従って前記監視対象ディレクトリを更新する
   請求項６に記載の欺瞞システム。
8. グラフィカルユーザインタフェースを使って正規ユーザからアクセスされる正規ディレクトリにキャラクタユーザインインタフェースを使ってアクセスするサイバー攻撃に対処するための欺瞞方法であって、
   構成管理部が、前記正規ディレクトリと前記正規ディレクトリのダミーとなるダミーディレクトリとを含んだ監視対象ディレクトリの内部構成を決定し、前記正規ディレクトリのためのアイコン画像である正規アイコン画像と前記ダミーディレクトリのためのアイコン画像であるダミーアイコン画像とを指定し、
   監視対象生成部が、決定された内部構成を示す内部構成リストに基づいて前記監視対象ディレクトリを生成し、前記正規ディレクトリに前記正規アイコン画像を設定し、前記ダミーディレクトリに前記ダミーアイコン画像を設定する
   欺瞞方法。
9. グラフィカルユーザインタフェースを使って正規ユーザからアクセスされる正規ディレクトリにキャラクタユーザインインタフェースを使ってアクセスするサイバー攻撃に対処するための欺瞞プログラムであって、
   前記正規ディレクトリと前記正規ディレクトリのダミーとなるダミーディレクトリとを含んだ監視対象ディレクトリの内部構成を決定し、前記正規ディレクトリのためのアイコン画像である正規アイコン画像と前記ダミーディレクトリのためのアイコン画像であるダミーアイコン画像とを指定する構成管理処理と、
   決定された内部構成を示す内部構成リストに基づいて前記監視対象ディレクトリを生成し、前記正規ディレクトリに前記正規アイコン画像を設定し、前記ダミーディレクトリに
   前記ダミーアイコン画像を設定する監視対象生成処理と、
   をコンピュータに実行させるための欺瞞プログラム。

Images