JP4334605B2 - 不正アクセス防止装置および不正アクセス防止プログラム - Google Patents

Description

本発明は、不特定多数あるいは特定多数のクライアント端末とサーバ装置からなるネットワークシステムにおいて、サーバ装置への不正アクセスの防止を行うための不正アクセス防止装置に関する。

近年のネットワークの利用の拡大にともない、悪意の第三者によるサーバ装置やネットワーク内への不正アクセスが増加している。悪意の第三者がパスワードとして辞書に記載の全ての用語等の多種多様な単語を片端から入力し、サーバ装置やネットワーク内への不正アクセスを試みることをパスワードクラックと呼ぶ。この攻撃により、ネットワーク内の情報使用の権限を不正利用される事件が多発している。このため、サーバ装置に対してパスワードクラック攻撃がなされた際に、それを排除し、サーバ装置の信頼性を素早く回復する必要がある。

従来、不特定多数あるいは特定多数のクライアント端末とサーバ装置からなるネットワークシステムにおいて、パスワードクラック攻撃を排除する方法としては、誤ったパスワードを連続して入力した回数などに基づきシステムの不正利用を検出し、不正利用が検出されたときに、当該ユーザに関する登録情報を自動的に削除する方法がある（特許文献１参照。）。

また、誤ったパスワードを連続して入力した回数などに基づきシステムの不正利用を検出し、不正利用が検出されたときに、当該アクセスが利用するプロトコルを自動的に使用不可とする方法がある（特許文献２参照。）。
特開平１０−３４０２５４号公報 特開２００４−１６４４１５号公報

しかしながら、誤ったパスワードの連続入力などにより当該ユーザに関する登録情報を自動的に削除する場合、悪意の第三者によるパスワードクラック攻撃のために不正利用として検出される状態になった場合には正当なユーザの登録情報が削除される。これにより正当なユーザがサーバ装置を使用できなくなってしまうという問題がある。

更に、誤ったパスワードの連続入力などにより使用されるプロトコルを自動的に使用不可能にする場合においても、悪意の第三者によるパスワードクラック攻撃のために不正利用として検出される状態になった場合には当該プロトコルが使用不可能となる。これにより正当なユーザが当該プロトコルを用いてサーバ装置を使用できなくなってしまうという問題がある。

また、いずれの場合においても、正当なユーザが再度サーバ装置を使用できるようにするためには、管理者による当該ユーザの登録情報の復元などの当該プロトコルを再度使用許可する為の復旧作業が必要となり、管理者の手間がかかるという問題がある。

さらに、これら従来の方法は、いずれも認証が必要なサーバ装置のサービス毎に、上記パスワードクラック攻撃を排除する仕組みを実装する必要があり、既存のサーバ装置にパスワードクラック攻撃を排除する能力を付加する場合、当該サーバ装置上で動作するサービス毎に、上記パスワードクラック攻撃を排除する仕組みを追加する為の手間を必要とするという問題もあった。

本発明は上記の問題点に鑑みてなされたものであり、正当なユーザによるサーバ装置の利用を妨げること無く、パスワードクラック攻撃を排除する事ができる不正アクセス防止装置および不正アクセス防止プログラムを提供することを特徴とする目的とする。

上記問題点を解決する為、本発明の第１の特徴は、ネットワークにおいてクライアント端末とサーバ装置の間に配置される不正アクセス防止装置に関する。即ち本発明の第１の特徴に係る不正アクセス防止装置は、サーバ装置より前記クライアント端末に対する認証結果を受信し、前記認証結果を解析して認証成功の通知又は認証失敗の通知、および前記クライアント端末を特定するクライアント識別情報を検出するパケット解析手段と、パスワードクラックの試みがなされている可能性を示す値であるパスワードクラック度を算出する為の連続して認証失敗した回数の計数値を前記クライアント識別情報毎に格納するパスワードクラック度記憶手段と、認証失敗の通知を基に前記パスワードクラック度記憶手段内の前記計数値を加算し前記パスワードクラック度とするパスワードクラック度算出手段と、パスワードクラック度算出手段より取得した前記パスワードクラック度を基に、前記クライアント端末へ対し前記認証結果の通知を送信する際の遅延時間を算出する遅延時間算出手段と、算出された前記遅延時間が経過するまで前記認証結果の通知を保留する保留手段とを備え、クライアント識別情報は、前記サーバ装置での認証に利用するユーザＩＤ情報を含み、パスワードクラック度記憶手段は、前記ユーザＩＤ情報として機密の高い情報を扱うユーザのＩＤには遅延時間が長くなるように設定された重み係数を更に格納し、遅延時間算出手段は、パスワードクラック度及び前記重み係数を基に前記遅延時間を算出し、遅延時間は前記パスワードクラック度の増加に伴い指数関数的に増加するように算出される。

ここで、パスワードクラック度記憶手段は、前記クライアント識別情報として前記クライアント端末のネットワークアドレスの範囲毎に遅延時間算出の係数となる重み係数を格納しても良い。

本発明の第２の特徴は、ネットワークにおいてクライアント端末とサーバ装置の間に配置される不正アクセス防止プログラムに関する。即ち本発明の第２の特徴に係る不正アクセス防止プログラムは、サーバ装置より前記クライアント端末に対する認証結果を受信し、前記認証結果を解析して認証成功の通知又は認証失敗の通知、および前記クライアント端末を特定するクライアント識別情報を検出するパケット解析手段と、パスワードクラックの試みがなされている可能性を示す値であるパスワードクラック度を算出する為の連続して認証失敗した回数の計数値を前記クライアント識別情報毎に格納するパスワードクラック度記憶手段と、認証失敗の通知を基に前記パスワードクラック度記憶手段内の前記計数値を加算し前記パスワードクラック度とするパスワードクラック度算出手段と、パスワードクラック度算出手段より取得した前記パスワードクラック度を基に、前記クライアント端末へ対し前記認証結果の通知を送信する際の遅延時間を算出する遅延時間算出手段と、算出された前記遅延時間が経過するまで前記認証結果の通知を保留する保留手段とを、コンピュータに機能させ、クライアント識別情報は、前記サーバ装置での認証に利用するユーザＩＤ情報を含み、パスワードクラック度記憶手段は、前記ユーザＩＤ情報として機密の高い情報を扱うユーザのＩＤには遅延時間が長くなるように設定された重み係数を更に格納し、遅延時間算出手段は、前記パスワードクラック度及び前記重み係数を基に前記遅延時間を算出し、前記遅延時間は前記パスワードクラック度の増加に伴い指数関数的に増加するように算出される。
ここで、パスワードクラック度記憶手段は、前記クライアント識別情報として前記クライアント端末のネットワークアドレスの範囲毎に遅延時間算出の係数となる重み係数を格納しても良い。

本発明の不正アクセス防止装置および不正アクセス防止プログラムによると、正当なユーザのサーバ装置の利用を妨げること無く、パスワードクラック攻撃を排除する事ができる。

パスワードクラック攻撃の排除に伴う正当なユーザによるサーバ装置の利用停止から、管理者が復旧処理を行うための手間を不要にすることができる。

既存のサーバ装置にパスワードクラック攻撃を排除する能力を付加する場合、当該サーバ装置上で動作するサービス毎に、パスワードクラック攻撃を排除する機構を追加するなどの手間をかけずに、パスワードクラック攻撃を排除する能力を追加することができる。

次に、図面を参照して、本発明の実施の形態を説明する。以下の図面の記載において、同一又は類似の部分には同一又は類似の符号を付している。ただし、図面は模式的なものであることに留意すべきである。

＜第１の実施の形態＞
（不正アクセス防止装置）
本発明の実施の形態に係る不正アクセス防止装置１００は図１に示すように、複数のネットワーク外クライアント端末１３ａ、１３ｂ、１３ｃおよび複数のネットワーク内クライアント端末１４ａ、１４ｂ、１４ｃとルータ１１を介して接続されている。更に複数のネットワーク内サーバ装置１５ａ、１５ｂ、１５ｃと接続されている。不正アクセス防止装置１００はこれらのクライアント端末側およびサーバ装置側装置間のパケット転送を行っている。ネットワーク外クライアント端末はルータ１１に、インターネット１２等を介して接続されている。

不正アクセス防止装置１００は、パスワードクラック度記憶部３、遅延時間算出部４、パケット転送部５、クライアント側インタフェース７、サーバ側インタフェース８及びパスワードクラック度処理部９等を備えている。

パケット転送部５は、クライアントとサーバ装置の間の通信に関わるパケットを転送する機能を持つ。パケット転送部５は保留部６を備える。保留部６は保留手段であり、遅延時間算出部４によって算出された遅延時間が経過するまで認証結果の通知を保留する。

パスワードクラック度処理部９は、パスワードクラックの試みがなされている可能性を示すパスワードクラック度を算出する為の変数、係数および所定データ等を取得し、遅延時間算出部４に出力する機能を持つ。パスワードクラック度処理部９はパケット解析部１およびパスワードクラック度算出部２を備えている。

パケット解析部１は、パケット解析手段であり、サーバ装置よりクライアント端末に対する認証結果を受信し、認証結果を解析して認証成功の通知又は認証失敗の通知、およびクライアント端末を特定するクライアント識別情報を検出する。パケット解析部１は、認証失敗検出部１ａ、認証成功検出部１ｂおよびクライアント識別情報抽出部１ｃ等を備えている。認証失敗検出部１ａは、サーバ装置１５ａ〜１５ｃでの認証処理が失敗したことを検出する。認証成功検出部１ｂは、サーバ装置１５ａ〜１５ｃでの認証処理が成功したことを検出する。クライアント識別情報抽出部１ｃは、送受信されるパケットよりクライアント識別情報を抽出する。

クライアント側から送信されるパケットは、一例として図２（ａ）のように、サーバ識別情報、クライアント識別情報、要求リソース識別情報、ユーザＩＤおよびパスワード等より構成される。サーバ識別情報は図１のサーバ装置１５ａ〜１５ｃのＩＰアドレス（１９２．１６８．１．２００〜１９２．１６８．１．２０２）などである。クライアント識別情報は図１のクライアント端末１３ａ〜１４ｃのＩＰアドレス（１０．０．０．１〜１９２．１６８．０．３３）などである。要求リソース識別情報はサーバのＵＲＬ等である。ユーザＩＤはサーバアクセスの際の認証処理に使用される予め各ユーザに割り当てられているＩＤである。パスワードはサーバアクセスの際の認証処理に使用される予め各ユーザが設定しているパスワードである。サーバ側から送信されるパケットは、一例として図２（ｂ）のように、クライアント識別情報、サーバ識別情報および認証結果等から構成される。認証結果はアクセス要求を受けたサーバ装置１５ａ〜１５ｃが要求元クライアント端末へ対し、アクセスの許可、不許可を伝達する為のデータである。

パスワードクラック度算出部２は、パスワードクラック度算出手段であり、認証成功の通知及び認証失敗の通知を基にパスワードクラック度記憶手段内の係数を更新する。又、パケット解析部１より取得する送信されたパケットが示す認証失敗若しくは成功情報、クライアント識別情報、サーバ識別情報等と、パスワードクラック度記憶部３が保持するパスワードクラック度を算出する為の変数、係数および所定データ等を取得する。

パスワードクラック度記憶部３は、パスワードクラック度記憶手段であり、パスワードクラックの試みがなされている可能性を示すパスワードクラック度を算出する為の係数を格納する。

遅延時間算出部４は、遅延時間算出手段であり、パスワードクラック度記憶部３より取得した係数を基に、クライアント端末へ対し認証結果の通知を送信する際の遅延時間を算出する。又、パケット転送部５の保留部６に対し、算出した遅延時間の間、パケットを保留する指示を出す。

クライアント側インタフェース７はクライアント端末１３ａ〜１４ｃとパケットを送受信する機能を持つ。サーバ側インタフェース８はサーバ装置１５ａ〜１５ｃとパケットを送受信する機能を持つ。

（不正アクセス防止方法）
以下、不正アクセス防止装置１００の動作について図３のフローチャートを参照して説明する。尚、図１のパスワードクラック度記憶部３には、図４および図５のようなテーブルが格納されているものとする。

（ａ）先ずステップＳ１０１において、図１のパケット転送部５が何かのパケットを受信すると、ステップＳ１０２において、そのパケットがクライアント側からサーバ側へのものか、サーバ側からクライアント端末へのものかを判断する。クライアント側からサーバ側へのパケットである場合、図２（ａ）のサーバ識別情報が示すサーバ装置１５ａ〜１５ｃへ転送する（Ｓ１０９）。サーバ側からクライアント端末へのパケットである場合ステップＳ１０３に進み、認証結果通知のパケットであるか否かを判断する。認証結果通知のパケットでない場合、そのパケットはクライアント側へ転送する（Ｓ１０９）。認証結果通知のパケットである場合、ステップＳ１０４に進み、認証失敗検出部１ａが認証結果が失敗であるかを検出し、認証成功検出部１ｂが認証結果が成功であるかを検出する。クライアント識別情報抽出部１ｃは、クライアント端末１３ａ〜１４ｃのＩＰアドレスを検出する。

（ｂ）認証結果が失敗であった場合、ステップＳ１０６において、パスワードクラック度算出部２は、パスワードクラック度記憶部３より係数を取得する。第１の実施の形態では係数として図４のようなこれまで行ったクライアントＩＰアドレス毎の連続失敗回数の計数値を使用する。パスワードクラック度算出部２は、パスワードクラック度記憶部３に保持されたクライアントのＩＰアドレスに対応する計数値を加算する。すなわち、クライアントＩＰアドレスが「１９２．１６８．０．３２」であった場合、対応する計数値を検索し、図４の場合「７」であったものを、「８」へと増加させる。パスワードクラック度算出部２は、増加後の計数値である８を、パスワードクラック度の値として出力する。

（ｃ）ステップＳ１０７において、パスワードクラック度算出部２から、パスワードクラック度値として８を受信した遅延時間算出部４は、この８という値に基づき、遅延時間を算出する。パスワードクラック度が高いほど、長い遅延時間とすべきであることは勿論である。ここでは、パスワードクラック度をｐとして、仮に、遅延時間算出式を２^ｐ−１とすると、遅延時間は２５５秒となる。遅延時間を算出した遅延時間算出部４は、保留部６に、２５５秒という遅延時間を通知する。尚、上記では計算式を用いて計算しているが、図５のように予め遅延時間のテーブルを作成してパスワードクラック度記憶部３に格納しておき、それを参照して遅延時間を決定しても構わない。

（ｄ）ステップＳ１０８においては、遅延時間２５５秒と保留部６は、サーバ側インタフェース８にて受信したサーバ装置１５ａ〜１５ｃからの認証失敗の通知を、指定された２５５秒間保留する。この２５５秒が経過したのちに、パケット転送部５はクライアント側インタフェース７を介して、認証失敗の通知を送信元のクライアント端末１３ａ〜１４ｃへと送出する。

この際、遅延時間の起点として、サーバ側インタフェース８が、サーバ装置１５ａ〜１５ｃからの認証失敗の通知を受信した時刻を用いる方法や、当該受信したサーバ装置１５ａ〜１５ｃからの認証失敗の通知よりも前に、当該クライアント端末１３ａ〜１４ｃへサーバ装置１５ａ〜１５ｃから認証失敗の通知が行なわれた時刻を用いる方法などが考えられるが、いずれにしてもその効果は同様である。

又、遅延時間の間に新たなパケットを受信した場合、遅延時間の終了まで保留部６で保留しても良いし、そのまま廃棄しても良い。

（ｅ）尚、認証が成功していた場合、ステップＳ１１０にて、認証成功処理を行う。認証成功処理としては、例えば、図４の認証失敗回数を０に設定する。これにより、ステップＳ１０７の遅延時間は０となり、ステップＳ１０８にて保留部６は認証成功の通知を保留すること無く、送信元のクライアント端末１３ａ〜１４ｃに送信する（Ｓ１０９）。

上記によると、あるクライアント端末がパスワードクラック攻撃を行なっている場合、パスワードクラック度算出部２から出力されるパスワードクラック度は、加算され、遅延時間は、図５のように次第に延長されていく。これにより、悪意の第三者のクライアント端末が、辞書にある単語を片端から入力して試したり、考えられる全ての鍵をリストアップしてクラッキングを試みようとしても、パスワードが探り当てられる可能性を低くすることができる。例えば、図５の場合、失敗１６回目で遅延時間は約１８時間となり、一日に十数個のパスワードしか試行できないこととなる。

正当なユーザであっても、パスワードを打ち間違えることにより、２〜３回連続してパスワードを誤ることはあるが、一般的なユーザであれば、３回程度の誤りの後には、正しいパスワードが入力可能と思われる。よって、正しいパスワードを含む認証要求が送られると、速やかに認証成功の通知を受けることができ、以降のサーバ装置１５ａ〜１５ｃ間のアクセスに支障がでることもない。

このように、本発明の第１の実施の形態によると、正当なユーザのサーバ装置の利用を妨げること無く、パスワードクラック攻撃を排除する事が可能なサーバ装置保護装置を実現することができ、パスワードクラック攻撃の排除に伴う正当なユーザのサーバ装置の利用停止から、管理者が復旧処理を行うための手間をなくすことができる。又、不正アクセス防止装置１００を当該サーバ装置とクライアントの間に挿入するのみで上記の効果を得ることができるため、装置追加の際の手間が少なくて済む。

（変更例１）
尚、ステップＳ１０７の図４においては、認証失敗の回数のみを数えているが、ステップＳ１１０の認証成功処理において、認証成功の回数を図６のように保持することも可能である。この場合、図１の社内ネットワークのクライアント端末１４ａ〜１４ｃのように認証成功回数の多いＩＰアドレスであれば、遅延時間を少なめに設定したり、社外ネットワークのクライアント端末１３ａ〜１３ｃのように認証成功回数の少ないＩＰアドレスであれば、遅延時間を多めに設定したりすることができる。

（変更例２）
認証失敗回数および認証成功回数の累積値等を基にして、遅延時間の算出を行う際に、重み係数を使用しても良い。

この場合、図７に示すようになり図１と比較して、パスワードクラック度算出部２が重み係数取得部２ａを、パスワードクラック部記憶部３ａが図８の重み係数テーブルを更に備えるようにする。これによると、ステップＳ１０７の遅延時間算出部４の処理は、図１のＩＰアドレス１９２．１６８．０．３１のクライアント端末１４ａの重み係数は１であるため上記の処理と変わらないが、ＩＰアドレス１９２．１６８．０．３２のクライアント端末１４ｂの重み係数は１０であるため、例えば４回認証に失敗すると（２^４−１）＊重み係数となり、１５＊１０＝１５０で、１５０秒の遅延時間を算出することとなる。

この重み係数はクライアント端末毎に決定しても良いし、社内ネットワークのクライアント端末１４ａ〜１４ｃと社外ネットワークのクライアント端末１３ａ〜１３ｃを区別するなど端末の配置を鑑みて、図９に示すようにネットワークのアドレス範囲の単位で決定しても良い。

尚、重み係数はＩＰアドレス毎ではなく、ユーザＩＤ毎に設定することも可能である。この場合、図１と比較して図１０に示すように、パケット解析部１はユーザＩＤ抽出部１ｄを、パスワードクラック度算出部２はユーザＩＤ重み係数取得部２ｂを、パスワードクラック度記憶部３ｂは図１１のユーザＩＤ重み係数テーブルを更に備えるようにする。

ユーザＩＤ抽出部１ｄは、図２（ａ）の受信パケット毎にユーザＩＤを抽出し、図１１のユーザＩＤ重み係数テーブルを参照して重み係数を設定する。図１１の重み設定によると、ユーザＩＤ「ａｂ００００１」を用いてアクセスされた場合に比較して、ユーザＩＤ「ａｂ００００２」を用いてアクセスされた場合は、パスワードを誤った場合の遅延時間が１０倍長くなる。このような構成を取ることにより、例えば、より機密度の高い情報を扱うユーザのユーザＩＤを用いてアクセスされた場合は、パスワードを誤った場合の遅延時間をより長くする事が可能となり、機密度の高い情報へのアクセスほど、より強固にパスワードクラック攻撃を排除する能力を付加することができる。

（変更例３）
重み付けの他、クライアント端末１３ａ〜１４ｃからサーバ装置１５ａ〜１５ｃへのアクセス要求の送信回数をカウントすることにより、クラッキングを検出することも可能である。この場合、図１と比較して図１２に示すよう、パケット解析部１はアクセス要求抽出部１ｅを、パスワードクラック度算出部２はアクセス回数取得部２ｃを、パスワードクラック度記憶部３ｃは図１３のクライアントＩＰアドレスアクセス回数テーブルを更に備えるようにする。

認証成功回数の多いクライアント端末１３ａ〜１４ｃからアクセスされた場合そのアクセスは正当なユーザによるものである可能性が高く、認証成功回数の少ない若しくは０であるクライアント端末１３ａ〜１４ｃからアクセスされた場合は、不正なユーザによるものである可能性が高いと判断することができる。

よって、認証成功回数の少ない若しくは０であるクライアント端末１３ａ〜１４ｃからアクセスされた場合は、認証成功回数の多いクライアント端末１３ａ〜１４ｃからアクセスされた場合と比較して、パスワードを誤った場合の遅延時間を長くする。

このように構成することにより、正当なユーザは遅延時間による不便を被ることがなく、スワードクラック攻撃を排除する能力を付加することができる。

＜第２の実施の形態＞
第１の実施の形態においてはクライアント端末１３ａ〜１４ｃからのアクセスの注目してクラッキング攻撃の検出を行っていたが、サーバ装置１５ａ〜１５ｃの動作やアクセスに注目することにより、クラッキング攻撃を発見することも可能である。

本発明の第２の実施の形態に係る不正アクセス防止装置２００は図１４に示すように、パスワードクラック度記憶部３０およびパスワードクラック度処理部９０を備え、パスワードクラック度処理部９０はパケット解析部１０とパスワードクラック度算出部２０を備える。パケット解析部１０は認証失敗検出部１ａ、認証成功検出部１ｂおよび送受信するパケットよりサーバＩＰアドレス等のサーバ識別情報を抽出するサーバ識別情報抽出部１０ａを備える。その他は図１の不正アクセス防止装置１００と同様の構成を有するため説明を省略する。

以下、不正アクセス防止装置２００の動作について図１５を参照して説明する。

（ａ）ステップＳ２０１〜Ｓ２０３においては、図３のステップＳ１０１〜Ｓ１０３と同様にサーバ装置からクライアント端末への認証結果通知のパケットを検出する動作を行う。

（ｂ）ステップＳ２０４において、認証失敗検出部１ａが認証結果が失敗であるかを検出し、認証成功検出部１ｂが認証結果が成功であるかを検出する。サーバ識別情報抽出部１０ａは、サーバ装置１５ａ〜１５ｃのＩＰアドレスを検出する。認証結果が失敗であった場合、ステップＳ２０６において、パスワードクラック度算出部２０は、パスワードクラック度記憶部３０より係数を取得する。係数としては、例えばサーバＩＰアドレス毎の連続失敗回数の計数値を使用する。パスワードクラック度算出部２０は、パスワードクラック度記憶部３０に保持されたサーバのＩＰアドレスに対応する計数値を加算し、パスワードクラック度の値として出力する。

（ｃ）ステップＳ２０７において、パスワードクラック度算出部２０から、パスワードクラック度を受信した遅延時間算出部４は、遅延時間を算出する。ステップＳ２０８においては、保留部６は、サーバ側インタフェース８にて受信したサーバ装置１５ａ〜１５ｃからの認証失敗の通知を、指定された遅延時間の間保留する。この遅延時間経過後、パケット転送部５はクライアント側インタフェース７を介して、認証失敗の通知を送信元のクライアント端末１３ａ〜１４ｃへと送出する。

このように、サーバ装置１５ａ〜１５ｃ毎に遅延時間を設定することにより、例えばクライアント端末１４ａからサーバ装置１５ａへの認証要求が連続して失敗している場合でも、クライアント端末１４ａからサーバ装置１５ｂ、１５ｃへの認証要求においては影響を受けない為、正当なユーザへの影響を少なくすることが可能となる。又、サーバ装置１５ａへのアクセス遅延時間が通常と比べて長すぎるということは、サーバ装置１５ａがパスワードクラック攻撃を受けている可能性があるため、正当なクライアント端末をそのようなクラック攻撃から守ることが出来、更にこの異変に気づいたクライアント端末が、ネットワーク管理者に通報することも可能となる。

（変更例１）
サーバ装置１５ａ〜１５ｃにおいても、その重要度に応じて重みを設定することができる。

この場合、図１４と比較して図１６のように、パスワードクラック度算出部２０が重み係数取得部２０ａを、パスワードクラック部記憶部３０ａが図１７のサーバ重み係数テーブルを更に備えるようにする。これにより、ステップＳ２０７の遅延時間算出処理は、図１４のサーバＩＰアドレス１９２．１６８．１．２００のサーバ装置１５ａおよびサーバＩＰアドレス１９２．１６８．１．２０２のサーバ装置１５ｃの重み係数は１であるため上記の処理と変わらないが、サーバＩＰアドレス１９２．１６８．１．２０１のサーバ装置１５ｂの重み係数は１０であるため、１０倍の遅延時間を設定することとなる。

この重み係数は社内ネットワークのサーバ装置の配置を鑑みて、ネットワークのアドレス範囲の単位で決定しても良い。

このような構成を取ることにより、より機密度の高い情報が格納されているサーバ装置へアクセスされた場合は、パスワードを誤った場合の遅延時間をより長くすることが可能となり、機密度の高い情報へのアクセスほど、より強固にパスワードクラック攻撃を排除する能力を付加することができる。

（変更例２）
サーバ装置１５ａ〜１５ｃのサーバ識別情報として、ＩＰアドレスではなくＵＲＬなどのリソースを用いて、そのリソースの重要度に応じて重みを設定することも可能である。

この場合、図１４と比較して図１８のように、パケット解析部１０が要求リソース識別情報抽出部１０ｂを、パスワードクラック度算出部２０がリソース重み係数取得部２０ｂを、パスワードクラック部記憶部３０ｂが図１９のリソース重み係数テーブルを更に備えるようにする。これにより、ステップＳ２０７の遅延時間算出処理は、リソース重み係数取得部２０ｂが取得する図１９のリソース重み係数テーブルを基に行われ、「http://abc.def.com/index.html」や「http://abc.def.com/title_logo.jpg」のリソースへのアクセスと比較して「http://abc.def.com/important.dat 」のリソースへのアクセスは、パスワードを誤った場合の遅延時間が１０倍長くなるよう設定される。

このような構成を取ることにより、例えば、より機密度の高い情報を示すＵＲＬへアクセスされた場合は、パスワードを誤った場合の遅延時間をより長くすることが可能となり、機密度の高い情報へのアクセスほど、より強固にパスワードクラック攻撃を排除する能力を付加することができる。

（変更例３）
重み付けの他、サーバ装置１５ａ〜１５ｃのリソースへのアクセス回数をカウントすることにより、クラッキングを検出することも可能である。

この場合、図１４と比較して図２０のように、パケット解析部１０がアクセス要求抽出部１０ｃを、パスワードクラック度算出部２０がリソースアクセス回数取得部２０ｃを、パスワードクラック部記憶部３０ｃが図２１のリソースアクセス回数テーブルを更に備えるようにする。これにより、ステップＳ２０７の遅延時間算出処理は、リソースアクセス回数取得部２０ｃが取得する図２１のアクセス回数を基に算出される。例えば、図２１に示す、アクセス回数が多い上段と下段の「http://abc.def.com/index.html」や「http://abc.def.com/title logo.jpg 」へのアクセスと比較して、中段のアクセス回数が少ない「http://abc.def.com/confidential/important.dat」へのアクセスに対しては、パスワードを誤った場合の遅延時間をより長くする。この他、アクセス回数値が０である場合や、アクセス回数値がリソースアクセス回数テーブルに格納されていない場合、アクセス回数として、１以下の値を遅延時間算出部４に渡すことで、遅延時間を長くする。

アクセス回数の少ない若しくは０であるＵＲＬは、通常はアクセスされることを想定していないリソースであり、機密度の高い情報が格納されている可能性がある。又、そのようなＵＲＬへのアクセスにおいてパスワードを誤るユーザは、不正なユーザの可能性が高いと判断できる。よって、アクセス回数の少ない若しくは０のＵＲＬへの接続は、アクセス回数の多いＵＲＬへの接続と比較して、パスワードを誤った場合の遅延時間を長くする。

このようにリソースのアクセス回数をカウントするよう構成することにより、正当なユーザが遅延時間による不便を被ることがなく、機密度の高い情報へのアクセスほど、より強固にパスワードクラック攻撃を排除する能力を付加することができる。

本発明の第１の実施の形態に係る不正アクセス防止装置の構造を示す構造図である。 送受信するパケットの構造を示すデータ構造図である。 不正アクセス防止装置のパケット転送動作を示すフローチャートである。 パスワードクラック度記憶部内の認証失敗テーブルを示す図である。 パスワードクラック度記憶部内の遅延時間テーブルを示す図である。 パスワードクラック度記憶部内の認証成功テーブルを示す図である。 本発明の第１の実施の形態の変更例に係る不正アクセス防止装置の構造を示す図である。 パスワードクラック度記憶部内の重み係数テーブルを示す図である。 パスワードクラック度記憶部内の重み係数テーブルを示す図である。 本発明の第１の実施の形態の変更例に係る不正アクセス防止装置の構造を示す図である。 パスワードクラック度記憶部内のユーザＩＤ重み係数テーブルを示す図である。 本発明の第１の実施の形態の変更例に係る不正アクセス防止装置の構造を示す図である。 パスワードクラック度記憶部内のクライアントのアクセス回数テーブルを示す図である。 本発明の第２の実施の形態に係る不正アクセス防止装置の構造を示す図である。 不正アクセス防止装置のパケット転送動作を示すフローチャートである。 本発明の第１の実施の形態の変更例に係る不正アクセス防止装置の構造を示す図である。 パスワードクラック度記憶部内のサーバ重み係数テーブルを示す図である。 本発明の第１の実施の形態の変更例に係る不正アクセス防止装置の構造を示す図である。 パスワードクラック度記憶部内のリソース重み係数テーブルを示す図である。 本発明の第１の実施の形態の変更例に係る不正アクセス防止装置の構造を示す図である。 パスワードクラック度記憶部内のリソースアクセス回数テーブルを示す図である。

符号の説明

１…パケット解析部
１ａ…認証失敗検出部
１ｂ…認証成功検出部
１ｃ…クライアント識別情報抽出部
１ｄ…ユーザＩＤ抽出部
１ｅ…アクセス要求抽出部
２…パスワードクラック度算出部
２ａ…重み係数取得部
２ｂ…サーバＩＤ重み係数取得部
２ｃ…アクセス回数取得部
３、３ａ、３ｂ、３ｃ…パスワードクラック度記憶部
４…遅延時間算出部
５…パケット転送部
６…保留部
７…クライアント側インタフェース
８…サーバ側インタフェース
９…パスワードクラック度処理部
１０…パケット解析部
１０ａ…サーバ識別情報抽出部
１０ｂ…要求リソース識別情報抽出部
１０ｃ…アクセス要求抽出部
１１…ルータ
１２…インターネット
１３ａ、１３ｂ、１３ｃ、１４ａ、１４ｂ、１４ｃ…クライアント端末
１５ａ、１５ｂ、１５ｃ…サーバ装置
２０…パスワードクラック度算出部
２０ａ…サーバ重み係数取得部
２０ｂ…リソース重み係数取得部
２０ｃ…リソースアクセス回数取得部
３０、３０ａ、３０ｂ、３０ｃ…パスワードクラック度記憶部
９０…パスワードクラック度処理部
１００、２００…不正アクセス防止装置

Claims (4)

1. ネットワークにおいてクライアント端末とサーバ装置の間に配置される不正アクセス防止装置であって、
   前記サーバ装置より前記クライアント端末に対する認証結果を受信し、前記認証結果を解析して認証成功の通知又は認証失敗の通知、および前記クライアント端末を特定するクライアント識別情報を検出するパケット解析手段と、
   パスワードクラックの試みがなされている可能性を示す値であるパスワードクラック度を算出する為の連続して認証失敗した回数の計数値を前記クライアント識別情報毎に格納するパスワードクラック度記憶手段と、
   前記認証失敗の通知を基に前記パスワードクラック度記憶手段内の前記計数値を加算し前記パスワードクラック度とするパスワードクラック度算出手段と、
   前記パスワードクラック度算出手段より取得した前記パスワードクラック度を基に、前記クライアント端末へ対し前記認証結果の通知を送信する際の遅延時間を算出する遅延時間算出手段と、
   算出された前記遅延時間が経過するまで前記認証結果の通知を保留する保留手段
   とを備え、
   前記クライアント識別情報は、前記サーバ装置での認証に利用するユーザＩＤ情報を含み、
   前記パスワードクラック度記憶手段は、前記ユーザＩＤ情報として機密の高い情報を扱うユーザのＩＤには遅延時間が長くなるように設定された重み係数を更に格納し、
   前記遅延時間算出手段は、前記パスワードクラック度及び前記重み係数を基に前記遅延時間を算出し、前記遅延時間は前記パスワードクラック度の増加に伴い指数関数的に増加するように算出される
   ことを特徴とする不正アクセス防止装置。
2. 前記パスワードクラック度記憶手段は、前記クライアント識別情報として前記クライアント端末のネットワークアドレスの範囲毎に遅延時間算出の係数となる重み係数を格納する
   ことを特徴とする請求項１に記載の不正アクセス防止装置。
3. ネットワークにおいてクライアント端末とサーバ装置の間に配置される不正アクセス防止プログラムであって、
   前記サーバ装置より前記クライアント端末に対する認証結果を受信し、前記認証結果を解析して認証成功の通知又は認証失敗の通知、および前記クライアント端末を特定するクライアント識別情報を検出するパケット解析手段と、
   パスワードクラックの試みがなされている可能性を示す値であるパスワードクラック度を算出する為の連続して認証失敗した回数の計数値を前記クライアント識別情報毎に格納するパスワードクラック度記憶手段と、
   前記認証失敗の通知を基に前記パスワードクラック度記憶手段内の前記計数値を加算し前記パスワードクラック度とするパスワードクラック度算出手段と、
   前記パスワードクラック度算出手段より取得した前記パスワードクラック度を基に、前記クライアント端末へ対し前記認証結果の通知を送信する際の遅延時間を算出する遅延時間算出手段と、
   算出された前記遅延時間が経過するまで前記認証結果の通知を保留する保留手段
   とを、コンピュータに機能させ、
   前記クライアント識別情報は、前記サーバ装置での認証に利用するユーザＩＤ情報を含み、
   前記パスワードクラック度記憶手段は、前記ユーザＩＤ情報として機密の高い情報を扱うユーザのＩＤには遅延時間が長くなるように設定された重み係数を更に格納し、
   前記遅延時間算出手段は、前記パスワードクラック度及び前記重み係数を基に前記遅延時間を算出し、前記遅延時間は前記パスワードクラック度の増加に伴い指数関数的に増加するように算出される
   ことを特徴とする不正アクセス防止プログラム。
4. 前記パスワードクラック度記憶手段は、前記クライアント識別情報として前記クライアント端末のネットワークアドレスの範囲毎に遅延時間算出の係数となる重み係数を格納する
   ことを特徴とする請求項３に記載の不正アクセス防止プログラム。