JP4503260B2

JP4503260B2 - 不正アクセス監視システム

Info

Publication number: JP4503260B2
Application number: JP2003333421A
Authority: JP
Inventors: 義博矢野; 記代子西村
Original assignee: Dai Nippon Printing Co Ltd
Current assignee: Dai Nippon Printing Co Ltd
Priority date: 2003-09-25
Filing date: 2003-09-25
Publication date: 2010-07-14
Anticipated expiration: 2023-09-25
Also published as: JP2005100124A

Description

本発明はネットワークセキュリティに係わり、特にホスト監視型の不正アクセス監視システムに関する。

近年、ネットワークシステムにおいてコンピュータウイルスの不正侵入が大きな関心を集めている。不正侵入するコンピュータウイルスの対策として、既に知られているウイルス（プログラム）の特徴を登録しておき、コンピュータ内の各ファイルをチェックして登録されている特徴をもつプログラムを発見したら駆除するタイプのものが普及している。

また、システムを攻撃するハッカーがウイルス対策システムを解読してしまうと有効に機能しなくなってしまうので、ハッカーによる侵入があったか否かをチェックするシステム状態収拾モジュールがサイバーコンピュータ内にあって、一般操作と差異のない形式で非持続性監視を行い、経験のあるハッカーにもシステム状態収集モジュールの存在を発覚させず、ハッカーによるシステム解読の難度を増加したホストベース侵入検出システムが提案されている（特許文献１）
特開２００２−７３５５３号公報

しかし、既に知られているウイルスの特徴を登録しておき、侵入したコンピュータウイルスをチェックする方法では、登録されていないコンピュータウイルスには無防備であり、一旦侵入されると大きな被害を生じてしまう。
また、特許文献１の方法でも、一旦侵入されたときにはハッキング被害の拡大を防止できない。

本発明は上記課題を解決しようとするものであり、ネットワークに接続された端末のメモリやファイルに対するサイバーアタックを監視し、被害を最小限にくい止めることを目的とする。
そのために本発明は、ネットワーク接続されたコンピュータ、或いはネットワーク接続されたコンピュータ群に対する監視コンピュータに常駐し、コンピュータのメモリ、ファイルを常時監視する不正アクセス監視モジュールと、ユーザ認証手段とを備えたシステムであって、不正アクセス監視モジュールにより登録値以上の処理を実行するプログラムが検出されたとき、ユーザ認証手段によりユーザ認証を行い、ユーザ認証が成立しないことを条件に、前記プログラムの動作を停止することを特徴とする。
また、本発明は、登録値以上の処理が行われたとき、さらに許可プログラムによるものか否か判断し、許可プログラムによるものでないときプログラムの動作を停止することを特徴とする。
また、本発明は、前記登録値は、単位時間当たりに行われる既存ファイルのリネーム数、削除数、変更数、或いは新規ファイルの作成数、または登録メールアドレスへの一斉メール送信数の登録値であることを特徴とする。
また、本発明は、前記認証手段は、不正アクセス監視モジュールが常駐するコンピュータに接続可能で、個人の認証キーを格納したＩＣカードを含み、入力された個人識別情報とＩＣカードに格納された認証キーに基づいてユーザ認証を行うことを特徴とする。
また、本発明は、前記認証をＩＣカード内で行うことを特徴とする。

本発明は、ネットワークに接続された端末のメモリやファイルに対するサイバーアタックを監視し、不正侵入があっても被害を最小限にくい止めることが可能である。

以下、本発明の実施の形態について説明する。
本実施形態の不正監視システムは、ファイヤーウォールやネットワーク型不正アクセス監視プログラムがハッカーに破られた場合、あるいは内部侵入者による不正操作があった場合に、被害を最小限にくい止めようとするものである。すなわち、コンピュータのメモリやファイルを常時監視し、所定時間に所定量以上の既存ファイルのリネーム、削除、変更、新規ファイルの作成が行われたとき、或いは所定数以上の登録メールアドレスへの一斉メール送信が行われたときなど、通常プログラムとは異なる処理が行われた場合に、ハッキンクプログラムによるものと判断し、予め許可されたユーザによる命令であるか否か確認のためＰＩＮ（個人識別番号）入力を促し、正しいＰＩＮが入力された場合は不正アクセスではないものと結論して動作を続け、誤ったＰＩＮが入力された場合には、全ファイルの変更を禁止（停止）する。

図１は本実施形態の不正監視システムを説明する概念図である。
コンピュータ１はインターネット網等のネットワーク３に接続されており、後述する常駐型の不正アクセス監視プログラムが搭載されている。コンピュータ１にはＩＣカード２が接続可能で、ＩＣカードにはコンピュータ１を使用するユーザの認証キーが格納されている。なお、ここでは不正アクセス監視プログラムをネットワーク接続されたコンピュータ毎に常駐させる場合について説明するが、ネットワーク接続されたコンピュータ群に対する監視コンピュータに常駐させるようにしてもよい。

まず、ユーザは、ネットワークコンピュータ１の起動時にＩＣカード２を使用して認証を受ける。この認証はＩＣカード２をコンピュータ１に接続して認証プログラムを起動させ、ＰＩＮ入力することにより行われる。なお、認証処理は認証キーが外部に漏れないようにＩＣカード内で行うことが望ましい。これは、不正アクセスを行うコンピュータウイルスは、ＩＣカード内のＰＩＮを知ることができないからである。

次いで、ユーザレベルに応じてＩＣカードに格納されている不正アクセス監視プログラムの可変項目に対応した登録値をプログラムに設定する。例えば、１秒間に２０個以上のファイルに対する変更、削除、リネーム、新規ファイルの作成は不正、３０件以上の一斉メール送信は不正とするなどの設定を行う。もちろん、この設定値は可変であり、コンピュータ毎、あるいはＩＣカード毎に登録可能であり、こうすることによりコンピュータ毎あるいはユーザ（ＩＣカード）毎にアクセスコントロールが可能である。そして、設定値以上の処理を行うプログラムが検出されると一旦その動作を停止させる。

なお、コンピュータとＩＣカードとは１対１の対応でなくてもよく、例えばネットワーク上の１つ以上のセキュリティ管理者がコンピュータに不正プログラムが検出されたときに認証を求めるようにしてもよい。さらにセキュリティ管理者の不正を防止するために設定した人数のセキュリティ管理者の認証を求めるようにしてもよい。

また、上記説明ではユーザ認証をＩＣカードを利用して行うようにしたが、ＩＣカードを用いないユーザ認証も可能である。例えば、パスワード入力を求めるプログラムによる認証でもよく、或いは認証を求めるプログラムが表示した文字列や数値、色などの入力をユーザに求めるようにしてもよい。

図２は設定値以上の処理を検出する方法を説明するために模式的に示した概念図である。
プログラム１０はコンピュータ内にあって処理を行うプログラムであり、例えば、ファイル作成、ファイル削除、ファイルのリネーム、或いはメール送信などの処理を行うものとする。これらの処理を行う場合にはＯＳ１３が管理するディレクトリ１２にアクセスして該当する処理を行うプログラムを取得し、次いでメモリやファイルを概念的に示したメモリ／ファイル１５にアクセスしてファイル作成、ファイル削除、ファイルのリネーム、或いはメール送信等が行われる。なお、１０はＡＰＩ（アプリケーションインタフェース）を示している。そこで、本実施形態では、プログラム１０がファイル作成等のためにディレクトリ１２にアクセスするときに、情報収集モジュール１１でこれを一旦横取りして１秒間に何回ディレクトリにアクセスしたかを監視し、所定回数以上であれば不正アクセスであると判断する。

こうして、設定値以上の処理が行われた場合、認証ユーザによるものなのかを判断する。この判断は、ユーザに対してＰＩＮ入力を促し、ＩＣカードに格納された認証キーにより入力されたＰＩＮが正しいか否かにより行う。認証の結果正しいＰＩＮが入力されたと判断した場合には動作を再開し、不正アクセスであると判断した場合は、コンピュータの一切の変更を禁止すると共に、ビープ音、画面表示、システム管理端末への通知（メールや画面）等による警告を出す。なお、ユーザ認証はＩＣカード内で行うことが望ましく、さらにバイオメトリクス情報を併用しても良い。

不正監視プログラムによる不正アクセスの監視は、コンピュータのログオフまで継続する。また、ＩＣカードが非接触型である場合、ユーザがＩＣカードとともに離席した場合には、登録値（１秒間２０個、一斉メール送信３０件等）をリセットし、最も難しいレベルのデフォルト値に戻すか、あるいはファイル作成、ファイル削除、ファイルのリネーム、或いはメール送信等一切許可しないようにしてもよい。

なお、不正アクセスか否かを判断する場合、設定値以上の処理が類似動作を行う許可プログラムやアプリケーションによるものか否かのチェックを加えるようにしてもよい。許可プログラムやアプリケーションは予めシステム登録しておき、登録したものに該当するか否かの照合により容易に判断することができる。このように監視動作に類似した動作を行うプログラムは予めシステム登録しておくことで、システム（監視対象の限定）やユーザ（ＰＩＮ入力）に負担をかけないようにすることができる。

図３は不正監視処理フローの例を説明する図である。なお、この処理フローではプログラムの動作停止があった場合に、許可プログラムか否かの判断も加えるようにした例を示している。
不正アクセスの監視を行い、不正動作の検出が行われると（ステップＳ１、Ｓ２）、プログラムの動作を停止する（ステップＳ３）。次いで、不正動作が許可プログラムが原因なのか否かチェックする（ステップＳ４）。許可プログラムはシステム登録しておくことで、容易にチェックすることができる。許可プログラムが原因でない場合には、ＰＩＮ入力を求め（ステップＳ５）、正規のＰＩＮ入力か否かを判断し（ステップＳ６）、正規のＰＩＮでない場合には不正アクセスを警告する（ステップＳ７）。ステップＳ４で許可プログラムが原因の場合、ステップＳ６で正規のＰＩＮである場合には、動作を再開し（ステップＳ８）、ステップＳ１に戻って不正アクセスの監視を行う。

以上のように本発明によれば、ネットワークに接続された端末のメモリやファイルに対するサイバーアタックを監視し、不正侵入があっても被害を最小限にくい止めることが可能であり、産業上の利用価値は大きい。

本実施形態の不正監視システムを説明する概念図である。設定値以上の処理を検出する方法を説明する概念図である。不正監視処理フローの例を説明する図である。

符号の説明

１…コンピュータ、２…ＩＣカード、３…ネットワーク、１０…プログラム、１１…情報収集モジュール、１２…ディレクトリ、１３…ＯＳ、１４…ＡＰＩ、１５…メモリ／ファイル。

Claims

ネットワーク接続されたコンピュータ、或いはネットワーク接続されたコンピュータ群に対する監視コンピュータに常駐し、コンピュータのメモリ、ファイルを常時監視する不正アクセス監視モジュールと、
前記コンピュータの起動時に使用するＩＣカード内に個人の認証キーが格納されたユーザ認証手段とを備えたシステムであって、
前記不正アクセス監視モジュールにより、ＯＳが管理するディレクトリへのアクセスを監視し、ディレクトリへのアクセス回数が所定回数以上である複数の機能を有するプログラムが検出されたとき、ユーザ認証手段によりＩＣカード内でユーザ認証を行い、ユーザ認証が成立しないことを条件に前記プログラムの動作を停止することを特徴とする不正アクセス監視システム。