JP4849205B2 - 不正アクセス防止手段 - Google Patents

Description

本発明は不正なアクセスによる情報の流出を防止するための手段に関する。

従来、下記の特許文献１に示すとおり、不正アクセスによる負荷攻撃を防御する装置が存在した。この装置は、負荷攻撃による不正アクセスに対して、通常の伝送速度より遅い伝送速度によってサーバに伝送することにより、不正アクセスによる負荷攻撃を防御するものである。
特開２００４―２８２２６２号公報

しかし、この装置は外部のネットワークからの不正アクセスを防御するだけであることから、サーバ内部から個人情報や機密情報等を流出させる不正アクセスには無防備である。

そこで、本発明は、個人情報や機密情報等の内部情報を含んだ送信情報が外部に流出するのを防止するための装置を提供することを目的とする。

請求項１に係る発明は、保護対象であるコンピュータ（１）と、不正アクセスを監視する監視用のコンピュータ（２）と、保護対象であるコンピュータ（１）から送信された送信情報（Ａ）を二つの同一情報である一の送信情報（Ａ２）及び他の送信情報（Ａ１）に分配する伝送部（３）とを有した複数のローカルシステム（Ｌ）、並びに、前記複数のローカルシステム（Ｌ）を監視する監視制御システム（９）からなる不正アクセス防止手段であって、
各ローカルシステム（Ｌ）における伝送部（３）は、前記分配した一の送信情報（Ａ２）を監視用のコンピュータ（２）に対して送信すると共に、他の送信情報（Ａ１）をネットワーク（６）に対して伝送するものであり、
前記各ローカルシステム（Ｌ）における監視用のコンピュータ（２）は、伝送部（３）から受け取った前記一の送信情報（Ａ２）の不正アクセスを監視し、
前記監視制御システム（９）は各ローカルシステム（Ｌ）の監視用のコンピュータ（２）からの送信情報（Ｅ１/Ｅ２/Ｅ３）に基づいて不正アクセスを監視し、
前記伝送部（３）は監視用のコンピュータ（２）に対して一の送信情報（Ａ２）を送信し、自由に設定できる遅延時間を経た後に、ネットワーク（６）に対して他の送信情報（Ａ１）を送信し、
当該遅延時間を、監視用のコンピュータ（２）と監視制御システム（９）とによって不正アクセスを検出するための所要時間にあてるものであり、
監視用のコンピュータ（２）において前記一の送信情報（Ａ２）から不正アクセスが検出されると、検出された不正アクセスの危険度に応じて複数レベルのうちから識別したレベルの送信情報（Ｅ１/Ｅ２/Ｅ３）を監視制御システム（９）に送信し、
監視制御システム（９）は、送信された前記送信情報（Ｅ１/Ｅ２/Ｅ３）を、過去に受けた不正アクセスを示すデータと照合して合致するかどうか分析し、合致すれば監視用のコンピュータ（２）に対して制御信号（Ｆ）を出力し、
この出力された制御信号（Ｆ）をうけた監視用のコンピュータ（２）が、ネットワーク（６）への他の送信情報（Ａ１）の送信を遮断することを特徴とする不正アクセス防止手段である。

請求項２に係る発明は、前記監視制御システム（９）が監視部を有し、各ローカルシステム（Ｌ）の監視用のコンピュータ（２）が正常に動作しているかを認識し、監視用のコンピュータ（２）の異常動作を認識した場合には、ネットワーク（１５）を介して接続された端末（１６）に対して、監視用のコンピュータ（２）の状態を通知する請求項１記載の不正アクセス防止手段である。

また、請求項３に係る発明は、監視制御システム（９）が、ネットワーク（１５）を介して端末（１６）がローカルシステム（Ｌ）の所在地に近接して接続され、不正アクセスを検出した場合には、前記端末（１６）に対して、不正アクセス情報を送信する請求項１又は２記載の不正アクセス防止手段である。

また、請求項４に係る発明は、監視用のコンピュータ（２）又は監視制御システム（９）は、受信した一の送信情報（Ａ２）のデータが同一であるか又は同一ＩＰアドレスかをチェックして同一であった場合の回数が警報の第一基準設定回数を超えるかどうかを判定し、
第一基準設定回数を超えた場合には、さらに一の送信情報（Ａ２）のデータが同一であるか又は同一ＩＰアドレスかをチェックして同一であった場合の回数が前記第一基準設定回数よりも大きい警報の第二基準設定回数を超えるかどうかを判定し、
いずれかの判定に該当する場合には、該当内容に応じた不正アクセスの危険度を各警報レベルに識別し、危険度のレベルに応じた送信情報（Ｅ１／Ｅ２／Ｅ３）を監視制御システム（９）又は制御部（４）へ送信する請求項１、２、又は３記載の不正アクセス防止手段である。

また、請求項５に係る発明は、監視用のコンピュータ（２）又は監視制御システム（９）が、受信した一の送信情報（Ａ２）のデータが同一ＩＰアドレスかをチェックして同一であった場合の回数が警報の基準設定回数を超えるかどうかを判定し、
一の送信情報（Ａ２）のデータが顧客データであるかをチェックして顧客データであった場合の回数が警報の基準設定回数を超えるかどうかを判定し、
一の送信情報（Ａ２）のデータが管理者パスワードか、内部機密情報か、或いは許可した通信かをチェックして、
いずれかの判定またはチェックに該当する場合には、該当内容に応じた送信情報（Ｅ１／Ｅ２／Ｅ３）と警報情報を監視制御システム（９）又は制御部（４）へ送信する請求項１、２、３、又は４のいずれか記載の不正アクセス防止手段である。

また、請求項６に係る発明は、監視用のコンピュータ（２）から送信された送信情報（Ｅ１/Ｅ２/Ｅ３）が特定のレベルのものである場合、監視制御システム（９）はネットワーク（８）を介して監視用のコンピュータ（２）へバックアップ機能としての制御信号Ｆを送信する不正アクセス防止手段である。

なお、監視用のコンピュータ（２）が、保護対象たるコンピュータ（１）から内部情報（例えば、個人情報や機密情報等）が流出しているか否か等の検出を行い、機密情報等が流出している等として不正アクセスを検出すると、ネットワーク（６）への送信情報（Ａ１）の送信を遮断することによって、機密情報等の流出を防止するものとし得るが、ここで、上記発明のように送信情報（Ａ１）の送信を遮断すると、不正アクセスをした者は自己の不正アクセス行為が発覚したと理解して、不正アクセス行為を中止し、不正アクセスを行う所在地から直ちに逃げ去ってしまう可能性があるため、不正アクセスに使用された端末の所在や、不正アクセス者の発見が困難となるという問題点がある。そこで、（送信を遮断するのではなく）伝送速度を遅くすれば、不正アクセス者は回線のトラフィックが悪いとかサーバの処理能力が遅いと理解し易く、不正アクセスが発覚したと察知し難いので、別の不正アクセス手段を講じる等することによって不正アクセス者が不正アクセスを継続するため、不正アクセスを行う端末から逃げ去る可能性が低くなり、不正アクセス者を発見し追及し易くなる点で好ましい。

また、監視用のコンピュータ（２）に送信情報（Ａ２）を送信した後にネットワーク（６）に送信情報（Ａ１）を送信すれば、監視用のコンピュータ（２）に送信情報（Ａ２）が送信され、所定時間が経過した後にネットワーク（６）へ送信されることになる。当該所定時間は、送信情報（Ａ２）が不正アクセスか否か、例えば、機密情報が含まれているか否か等の各種の不正アクセスを検出するための所要時間にあてられるため（流出開始時から比較的短い時間で不正アクセスを検出できるので）、機密情報等の流出量を低減できる。

なお、監視用のコンピュータ（２）において送信情報（Ａ２）から不正アクセスが検出されると、保護対象たるコンピュータ（１）が送信情報（Ａ）の送信を中止すること、を特徴とする不正アクセス防止手段もあり得る。

上記発明は、監視用のコンピュータ（２）が不正アクセスを検出すると、伝送部（３）によるネットワーク（６）への送信を遮断し又は伝送速度を遅くすると共に、（監視用のコンピュータ（２）が制御出力（Ａ）を保護対象たるコンピュータ（１）に出力する等して）保護対象たるコンピュータ（１）による送信情報（Ａ）の送信処理を中止
するので、保護対象たるコンピュータ（１）の被害（流出量など）をより低減できる。

なお、伝送部（３）は、受信情報（Ａ）を二つの同一情報に分配して、監視用のコンピュータ（２）に対して一の受信情報（Ａ２）を送信した後に保護対象たるコンピュータ（１）に対して他の受信情報（Ａ１）を送信するものであり、監視用のコンピュータ（２）において受信情報（Ａ２）から不正アクセスが検出されると、伝送部（３）による保護対象たるコンピュータ（１）への受信情報（Ａ１）の送信が遮断されること、を特徴とする不正アクセス防止手段もあり得る。

また、伝送部（３）は、受信情報（Ａ）を二つの同一情報に分配して、監視用のコンピュータ（２）に対して一の受信情報（Ａ２）を送信した後に保護対象たるコンピュータ（１）に対して他の受信情報（Ａ１）を送信するものであり、監視用のコンピュータ（２）において受信情報（Ａ２）から不正アクセスが検出されると、伝送部（３）による保護対象たるコンピュータ（１）への受信情報（Ａ１）の伝送速度を不正アクセスが検出されない場合と比較して遅くすること、を特徴とする不正アクセス防止手段もあり得る。

このような発明であると、受信情報からも不正アクセスか否か検出することができる。監視用のコンピュータ（２）が受信情報（Ａ２）から不正アクセスを検出すると、伝送部（３）を遮断するか或いは伝送速度を遅くすることにより、保護対象たるコンピュータ（１）への不正アクセスを防止する。また、伝送部（３）は監視用のコンピュータ（２）に受信情報（Ａ２）を送信した後に、保護対象であるコンピュータ（１）に受信情報（Ａ１）を送信するものであるから、不正アクセスは監視用のコンピュータ（２）に先に送信され、所定時間が経過した後に保護対象たるコンピュータ（１）に送信される。当該所定時間は、不正アクセスを検出するための所要時間にあてられるため、保護対象たるコンピュータ（１）に及ぶ被害を低減できる。

ところで、上記の発明は、監視用のコンピュータ（２）によって不正アクセスに対する防御を行うが、監視用のコンピュータ（２）は、ＯＳ（オペレーティングシステム）等に含まれるバグ等に起因して、ハングアップ（コンピュータが停止）する恐れ等があり、検出すべき不正アクセスを見過ごしてしまう可能性がある。

そこで、本発明は、保護対象たるコンピュータ（１）からの送信情報を二つの同一情報に分配して、一の送信情報（Ａ２）を監視用のコンピュータ（２）に対して送信し、設定可能な遅延時間を経た後にネットワーク（６）に対して他の送信情報（Ａ１）を送信し、監視用のコンピュータ（２）が送信情報（Ａ２）から不正アクセスを検出するローカルシステム（Ｌ）と、ローカルシステム（Ｌ）を監視する監視制御システム（９）とからなり、監視制御システム（９）は、不正アクセスを検出した監視用のコンピュータ（２）から送信される送信情報（Ｅ）を受信し、監視用コンピュータ（２）を制御する制御信号（Ｆ）を出力することを特徴とする不正アクセス防止手段としている。

上記発明によると、監視制御システム（９）が監視用のコンピュータ（２）を監視する。すなわち、監視用のコンピュータ（２）が正常に動作しているか（ハングアップしていないか）を認識できる。ハングアップしていると認識した場合は、監視制御システム（９）からローカルシステム（Ｌ）（保護対象たるコンピュータ（１））に対して、監視用コンピュータ（２）の状態を通知することもできる。よって、監視用のコンピュータ（２）のハングアップに起因する不正アクセスの見過ごしの可能性を可及的に小さくできる。

ここで、一旦、不正アクセスを防御したとしても、時と場所を変えて再度不正アクセスされる危険性があるところ、不正アクセス者を突き止め、逃がさずに捕らえることが望ましい。ここで、監視用のコンピュータ（２）において不正アクセスを検出しうる状況であっても（例えば、不正アクセス者のＩＰアドレス等から不正アクセスが行われている所在地が明らかとなったとしても）、ローカルシステム（Ｌ）の管理者が不在の時間帯を狙って不正アクセスが行われた場合には、逃がさずに捕らえることが非常に困難である。

そこで、本発明は、保護対象であるコンピュータ（１）と、監視用のコンピュータ（２）と、保護対象たるコンピュータ（１）からの送信情報を二つの同一情報に分配し、一の送信情報（Ａ１）をネットワーク（６）に送信し、他の送信情報（Ａ２）を監視用のコンピュータ（２）に送信する伝送部（３）とを有するローカルシステム（Ｌ）と、複数のローカルシステム（Ｌ）を監視する監視制御システム（９）と、ネットワーク（１５）を介して監視制御システム（９）に接続した複数の端末（１６）からなること、を特徴とする不正アクセス防止手段とし得る。

上記発明によると、不正アクセスによる被害を受けているローカルシステム（Ｌ）に接続した端末（１６）に対して、監視制御システム（９）から不正アクセス情報を送信することができるので、ローカルシステム（Ｌ）の管理者が不在であっても、複数の端末（１６）のうち、管理者が不在のローカルシステム（Ｌ）の近隣の端末（１６）の管理者がローカルシステム（Ｌ）の所在地に赴いて不正アクセス者を逃がさずに捕らえることができる。

また、不正アクセスの手法は次々と開発されてゆくため、監視用のコンピュータ（２）の不正アクセス検出機能を向上させるなどの対応が望まれるが、複数のローカルシステム（Ｌ）のそれぞれの監視用のコンピュータ（２）のメンテナンスを行い、また、高速処理が可能である高性能のハードウェアとすると、多大な時間と費用を要するという問題点がある。

そこで、本発明は、保護対象であるコンピュータ（１）と、監視用のコンピュータ（２）と、保護対象たるコンピュータ（１）からの送信情報を二つの同一情報に分配し、一の送信情報（Ａ１）をネットワーク（６）に送信し、他の送信情報（Ａ２）を監視用のコンピュータ（２）に送信する伝送部（３）とを有するローカルシステム（Ｌ）と、複数のローカルシステム（Ｌ）を監視する監視制御システム（９）とからなり、監視制御システム（９）が監視用のコンピュータ（２）からの送信情報（Ｅ）に基づいて不正アクセスを検出すること、を特徴とする不正アクセス防止手段とし得る。

上記発明によると、不正アクセスを検出する高度な機能を監視制御システム（９）に集約できるので、複数のローカルシステム（Ｌ）内の監視用のコンピュータ（２）は、不正アクセスを検出するための高度な機能を備えなくても足りる。（監視用のコンピュータ（２）は、比較的高度でない判断能力を供えるが、高度な能力を備えないので安価なハードウェアで足りる）。また、本発明によると、複数のローカルシステム（Ｌ）内の監視用のコンピュータ（２）のメンテナンスをする必要はなく（新たな不正アクセス方法に対する検出手法を備えさせる必要がなく）、監視制御システム（９）のメンテナンスをすれば良いので、新たな不正アクセス方法に対する対応が迅速且つ簡易に行うことが出来る。

また、監視制御システム（９）は、複数のローカルシステム（Ｌ）の全てから不正アクセスに関する情報を受信して情報を蓄積している。たとえば、一のローカルシステム（Ｌ）が不正アクセスを受けた場合、送受信元のＩＰアドレス等を解析して、複数のローカルシステム（Ｌ）の全てで生じた不正アクセス情報を蓄積しているので、いずれかのローカルシステム（Ｌ）で生じた不正アクセスが他のローカルシステム（Ｌ）で事後的に生じた場合、監視制御システム（９）は蓄積された情報と照合して不正アクセスであると判断し、前記他のローカルシステム（Ｌ）における送信を遮断等する。よって、事後的に不正アクセスが生じた他のローカルシステム（Ｌ）の監視用のコンピュータ（２）が不正アクセスである判断するよりも早期に不正アクセスを検出し、不正アクセスによる被害を低減できる。

本発明は、不正アクセスによる内部情報（個人情報等）の流出を防止することができる。また、設定可能な遅延時間を経た後にネットワーク（６）に対して他の送信情報（Ａ１）を送信するものであるから、送信情報（Ａ２）が不正アクセスか否か、例えば、機密情報が含まれているか否か等の各種の不正アクセスを検出するための所要時間にあてられるため（流出開始時から比較的短い時間で不正アクセスを検出できるので）、機密情報等の流出量を低減できる。

なお、受信情報（Ａ２）から不正アクセスを検出し、伝送部（３）を遮断するか或いは伝送速度を遅くすると、受信情報に基づく不正アクセスを防止することができる。

また、請求項１等によると、監視用のコンピュータ（２）が正常に動作しているか（ハングアップしていないか）を認識できる。

また、不正アクセスを検出する高度な機能を監視制御システム（９）に集約できると、複数のローカルシステム（Ｌ）内の監視用のコンピュータ（２）について、不正アクセスを検出するための高度な機能を備えない安価なハードウェアとすることができる。また、複数のローカルシステム（Ｌ）内の監視用のコンピュータ（２）のメンテナンスをする必要はなく（新たな不正アクセス方法に対する検出手法を備えさせる必要がなく）、監視制御システム（９）のメンテナンスをすれば良いので、新たな不正アクセス方法に対する対応が迅速且つ簡易に行うことができる。また、事後的に不正アクセスが生じた他のローカルシステム（Ｌ）の監視用のコンピュータ（２）が不正アクセスであると判断するよりも早期に不正アクセスを検出し、不正アクセスによる被害を低減できる。

また、不正アクセスによる被害を受けているローカルシステム（Ｌ）の近隣に存する端末（１６）に、監視制御システム（９）から不正アクセス情報を伝えることができるものとすると、ローカルシステム（Ｌ）の管理者が不在であっても、端末（１６）の管理者がローカルシステム（Ｌ）の所在地に赴いて不正アクセス者を逃がさずに捕らえることができる。

以下、本発明を実施するための最良の形態を、実施例として示す各図と共に説明する。図１〜図５は本発明に係る不正アクセス防止手段の実施例である。

図１、２を参照して実施例１に係る不正アクセス防止手段を説明する。なお、図１が実施例１の要部である。

実施例１に係る不正アクセス防止手段は、保護対象たるコンピュータ１（サーバ）と、監視用のコンピュータ２と、コンピュータ１及び２とネットワーク６を接続する伝送部３と、伝送部３を制御する制御部４と、制御部４に接続された警報部５と、監視用のコンピュータ２に接続する記憶媒体７とを有する。

次に、実施例１に係る各構成要素を説明する。

コンピュータ１（サーバ）は不正アクセスによる内部情報の流出等から保護すべき対象となるコンピュータ（サーバ）である。

コンピュータ２は不正アクセスを検出するための監視用のコンピュータである。不正アクセスの検出方法については後述する。

伝送部３は、コンピュータ１からの送信情報Ａ１をネットワーク６へと送信するものである。伝送部３は制御出力Ｃによって制御される。伝送部３は制御部４からの制御出力Ｃによって伝送を遮断するか、または、制御出力Ｃによって伝送速度を遅くするものである。また、伝送部３は送信情報Ａを二つの同一情報Ａ１、Ａ２に分配し、送信情報Ａ１をネットワーク６に送信し、送信情報Ａ２を監視用のコンピュータ２に送信するものである。

制御部４は、伝送部３と警報部５を制御するものである。制御部４は、監視用のコンピュータ２からの制御出力Ｂを受けると、伝送部３に対して制御出力Ｃを出力する。制御出力Ｃを受けた伝送部３は、上述のとおり、送信情報Ａ１の伝送を遮断するか、あるいは、伝送速度を遅くする。伝送速度は監視用のコンピュータ２において不正アクセスが検出されない場合よりも遅くする（例えば、モデム伝送速度で３３．６ｋｂｐｓ、５６．０ｋｂｐｓである）。また、制御部４は、監視用のコンピュータ２からの制御出力Ｂを受けると、警報部５に対して制御出力Ｄを出力する。制御出力Ｄを受けた警報部５は警報を鳴動する。なお、警報の鳴動により、コンピュータ１の管理者は不正アクセスがあった旨を知る。

記録媒体７は監視用のコンピュータ２に接続され、不正アクセスによる情報を記録するものである。なお、記録媒体７は、記録した不正アクセス情報を解析して、不正アクセス者の身元（ＩＰアドレス等）を追及するためのものである。

次に、実施例１における送信情報による不正アクセスの処理について説明する。

図１を参照して、コンピュータ１からの送信情報Ａを伝送部３が受信する。伝送部３は送信情報Ａを２つの同一情報Ａ１、Ａ２に分配する。分配された送信情報Ａのうち、送信情報Ａ２が監視用のコンピュータ２に送信される。その後、他の送信情報Ａ１がネットワーク６に送信される。ここで、伝送部３は送信情報Ａ２を監視用のコンピュータ２に送信し、自由に設定できる遅延時間を経た後に、ネットワーク６に送信情報Ａ１を送信する。かかる遅延時間は０．１秒〜５秒程度の範囲が好ましい。そして、送信情報Ａ２を受信した監視用のコンピュータ２は送信情報Ａ２が不正アクセスであるか否かをチェック（検出）する。不正アクセスであるか否かは、たとえば、送信情報Ａ２が管理者パスワードではないか、予め定義された（予め監視用コンピュータ２内に記憶し特定されている）顧客情報や機密情報ではないか、等である。たとえば、顧客情報の場合、監視用のコンピュータ２は、流出する顧客情報の数をカウントし、予め設定された回数に達したときに不正アクセスであると検出する。不正アクセスを検出すると、監視用のコンピュータ２は制御部４に制御出力Ｂを出力する。制御出力Ｂを受けた制御部４は、伝送部３に対して制御出力Ｃを出力する。制御出力Ｃを受けた伝送部３は伝送速度を大幅に落とす（または、制御出力Ｃを受けた伝送部３は伝送を遮断する）。制御部４は、伝送部３に制御出力Ｃを出力すると同時に、警報部５に対して制御出力Ｄを出力する。制御出力Ｄを受けた警報部５は鳴動し、コンピュータ１（サーバ）の管理者に不正アクセスがあったことを知らせる。なお、不正アクセスを検出した監視用のコンピュータ２は、コンピュータ１（サーバ）に対して制御出力Ａを出力することにより、制御出力Ａを受けたコンピュータ１における実行中の処理を中断させることもできる。

実施例１は、このようにして内部機密情報等が外部に流出するのを可及的に防止する。

なお、監視用のコンピュータ２は送信情報Ａ２を受けると記録媒体７に送信情報Ａ２を保存する。監視用のコンピュータ２は保存された情報から不正アクセス者の身元（ＩＰアドレス等）を割り出し、コンピュータ１に通知することもできる。なお、不正アクセスが検出されなかった場合は記録媒体７に記録された送信情報Ａ２は削除される。

なお、実施例１の他の実施形態として、伝送部３で送信情報Ａを分配するのではなく、コンピュータ１において送信情報を同一情報に分配し、一の送信情報を伝送部３に送信し、他の送信情報を監視用のコンピュータ２に送信することもできる。その後の処理は上記と同様である。

また、監視用のコンピュータ２から制御出力Ａを受けたコンピュータ１（サーバ）は、内部情報をランダムに拾って情報化することもできる。たとえば、コンピュータ１（サーバ）は、内部情報たる名前、住所、電話番号、年齢等の情報をランダムに組み合わせた情報（でたらめな情報、役に立たない情報）を作成する。このようにして作成された情報を伝送部３に送信するのである。これによれば、伝送部３の伝送速度が大幅に落とした場合に流出する情報が、上記ランダムに組み合わされたでたらめな情報になるため、内部情報は実質的に流出しない。

次に、実施例１における、受信情報Ａによる不正アクセスの処理について説明する。

図２を参照して、ネットワーク６からの受信情報Ａを伝送部３が受信する。伝送部３は受信情報Ａを２つの同一情報Ａ１、Ａ２に分配する。分配された受信情報Ａのうち、受信情報Ａ２が監視用のコンピュータ２に送信される。その後、他の受信情報Ａ１がコンピュータ１に送信される。ここで、伝送部３は受信情報Ａ２を監視用のコンピュータ２に送信し、自由に設定できる遅延時間を経た後に、コンピュータ１に受信情報Ａ１を送信するものである。なお、かかる遅延時間は０．１秒〜５秒程度の範囲が好ましい。そして、受信情報Ａ２を受信した監視用のコンピュータ２は受信情報Ａ２が不正アクセスであるか否かをチェック（検出）する。不正アクセスであるか否かは、同一ＩＰアドレスから大量の受信情報を受けていないか、同一のデータ内容による大量情報を受けていないか、等である。具体的には、監視用のコンピュータ２は、同一ＩＰアドレスと同一データの回数をカウントし、予め設定された回数に達したときに不正アクセスを検出する。不正アクセスを検出すると、監視用のコンピュータ２は制御部４に制御出力Ｂを出力する。制御出力Ｂを受けた制御部４は、伝送部３に対して制御出力Ｃを出力する。制御出力Ｃを受けた伝送部３は伝送速度を大幅に落とす（または、制御出力Ｃを受けた伝送部３は伝送を遮断する）。制御部４は、伝送部３に制御出力Ｃを出力すると同時に、警報部５に対して制御出力Ｄを出力する。制御出力Ｄを受けた警報部５は鳴動し、コンピュータ１（サーバ）の管理者に不正アクセスがあったことを知らせる。また、不正アクセスを検出した監視用のコンピュータ２は、コンピュータ１（サーバ）に対しても制御出力Ａを出力する。制御出力Ａを受けたコンピュータ１は実行中の処理（受信情報Ａ１に応じた処理）を中断することもできる。

このようにして、実施例１は受信情報に基づく不正アクセスを防止する。

図３を参照して実施例２の不正アクセス防止装置を説明する。

実施例２は、コンピュータ１と、監視用のコンピュータ２と、伝送部３と、制御部４と、警報部５とからなるローカルシステムＬと、複数のローカルシステムＬとネットワーク８を介して接続する監視制御システム９と、監視制御システム９にネットワーク１５を介して接続する端末１６とからなる。

ローカルシステムＬは実施例１とほぼ同様の構成であるが、本実施例の監視用のコンピュータ２は不正アクセスを検出する機能のほか、不正アクセスの危険度を識別する機能を有している。本実施例では３段階に危険度を識別する（３段階に限るものではない）。監視用のコンピュータ２は、送信情報Ａ２から不正アクセスを検出し、その不正アクセスの危険度を「軽警報」レベル、「警報」レベル又は「重警報」レベルに識別する。そして、危険度のレベルに応じて異なる情報Ｅ１、Ｅ２、Ｅ３を監視制御システム９に送信する。すなわち、「軽警報」レベルの場合は送信情報Ｅ１、「警報」レベルの場合は送信情報Ｅ２、「重警報」レベルの場合は送信情報Ｅ３を、ネットワーク８を介して監視制御システム９に送信する。

監視制御システム９はネットワーク８を介して監視用のコンピュータ２に接続している。監視制御システム９は、一定時間又は常時、監視用のコンピュータ２を監視しており、監視用のコンピュータ２からの送信情報Ｅ１等を受信するように構成される。監視制御システム９は複数のローカルシステムＬを監視する（Ｎ１・・・）。また、監視制御システム９はネットワーク１５を介して複数の端末１６に接続されている。この点、監視制御システム９の周囲に複数の端末１６を偏在させる。例えば、監視制御システム９を一の所在地に設置した場合は、一の所在地以外の場所である他の所在地に端末１６を設置する。端末１６の所在地はローカルシステムＬの所在地に近接するのが好ましい。また、監視制御システム９は、監視部１０、制御部１１、通報部１２、調査部１３、警報部１４とを有する。これら監視制御システム９を構成する各部の詳細は後述する。

次に、実施例２による不正アクセスの処理について説明する。

図３を参照して、伝送部３はコンピュータ１から送信情報Ａを受信する。送信情報Ａを受信した伝送部３は、送信情報Ａを２つの同一情報Ａ１、Ａ２に分配する。分配された送信情報Ａのうち、送信情報Ａ２が監視用のコンピュータ２に送信される。その後、送信情報Ａ１がネットワーク６に送信される。ここで、伝送部３は送信情報Ａ２を監視用のコンピュータ２に送信し、自由に設定できる約０．１〜５秒の遅延時間を経た後、ネットワーク６に送信情報Ａ１を送信する。送信情報Ａ２を受信した監視用のコンピュータ２は送信情報Ａ２の不正アクセスの危険度を識別すると共に、不正アクセスであるか否かをチェックする。

監視用コンピュータ２は、不正アクセスの危険度に応じて、「軽警報」レベル、「警報」レベル又は「重警報」レベルに識別する。「軽警報」レベルの場合は送信情報Ｅ１、「警報」レベルの場合は送信情報Ｅ２、「重警報」レベルの場合は送信情報Ｅ３を、ネットワーク８を介して監視制御システム９に送信する。たとえば、顧客情報の件数をカウントしてゆき、カウント数の増加に応じて、「軽警報」レベル、「警報」レベル、「重警報」レベルと識別する（カウント数が多くなるほど危険度は高まる）。

監視用のコンピュータ２における送信情報の処理をフローチャートを用いて説明すれば次のとおりである（図５参照）。

ａ．送信情報Ａ２を受信する（ステップ３０。以下、Ｓ３０等と表示）

ｂ．送信情報Ａ２のヘッダーのＩＰアドレスが同一ＩＰアドレスかチェックする（Ｓ３１）。

ｃ．同一ＩＰアドレスであればカウントする（Ｓ３２）。

ｄ．同一ＩＰアドレスであれば、軽警報の基準であるＮ３１回以上か判定する（Ｓ３３）。ＮｏであればＳ３８の上へ戻る。ＹｅｓであればＳ３４へ進む。

ｅ．同一ＩＰアドレスであれば警報の基準であるＮ３２回以上か判定する（Ｓ３４）。Ｎｏであれば送信情報Ｅ１と軽警報情報を監視制御システム９へ送信してＳ３８の上へ戻る（Ｓ３５）。ＹｅｓであればＳ３６へ進む。

ｆ．同一ＩＰアドレスであれば、重警報の基準であるＮ３３回以上か判定する（Ｓ３６）。Ｎｏであれば送信情報Ｅ２と警報情報を監視制御システム９へ送信してＳ３８の上へ戻る（Ｓ３７）。Ｙｅｓであれば送信情報Ｅ３と重警報情報を監視制御システム９へ送信する（Ｓ４８）と制御部４へ制御出力Ｂを送信する（Ｓ４９）。サーバであるコンピュータ１へ制御出力Ａを送信してＳ３０へ戻る（Ｓ５０）。

ｇ．送信情報Ａ２のデータが顧客情報かチェックする（Ｓ３８）。

ｈ．顧客情報であればカウントする（Ｓ３９）。

ｉ．顧客情報であれば軽警報の基準であるＮ４１回以上か判定する（Ｓ４０）。ＮｏであればＳ４５の上へ戻る。ＹｅｓであればＳ４１へ進む。

ｊ．顧客情報であれば警報の基準であるＮ４２回以上か判定する（Ｓ４１）。Ｎｏであれば送信情報Ｅ１と軽警報情報を監視制御システム９へ送信してＳ４５の上へ戻る（Ｓ４２）。ＹｅｓであればＳ４３へ進む。

ｋ．顧客情報であれば重警報の基準であるＮ４３回以上か判定する（Ｓ４３）。Ｎｏであれば送信情報Ｅ２と警報情報を監視制御システム９へ送信してＳ４５の上へ戻る（Ｓ４４）。Ｙｅｓであれば送信情報Ｅ３と重警報情報を監視制御システム９へ送信する（Ｓ４８）と制御部４へ制御出力Ｂを送信する（Ｓ４９）。サーバであるコンピュータ１へ制御出力Ａを送信してＳ３０へ戻る（Ｓ５０）。

ｌ．送信情報Ａ２のデータが管理者パスワードかチェックする（Ｓ４５）。ＮｏであればＳ４６へ進む。Ｙｅｓであれば送信情報Ｅ３と重警報を監視制御システムへ送信する（Ｓ４８）と制御部４へ制御出力Ｂを送信する（Ｓ４９）。サーバであるコンピュータ１へ制御出力Ａを送信する（Ｓ５０）。

ｍ．送信情報Ａ２のデータが内部機密情報かチェックする（Ｓ４６）。ＮｏであればＳ４７へ進む。Ｙｅｓであれば送信情報Ｅ３と重警報情報を監視制御システム９へ送信する（Ｓ４８）と制御部４へ制御出力Ｂを送信する（Ｓ４９）。サーバであるコンピュータ１へ制御出力Ａを送信してＳ３０へ戻る（Ｓ５０）。

ｎ．送信情報Ａ２のデータが許可した通信かチェックする（Ｓ４７）。ＹｅｓであればＳ３０へ戻る。Ｎｏであれば送信情報Ｅ３と重警報情報を監視制御システム９へ送信する（Ｓ４８）と制御部４へ制御出力Ｂを送信する（Ｓ４９）。サーバであるコンピュータ１へ制御出力Ａを送信してＳ３０へ戻る（Ｓ５０）。

次に、監視用のコンピュータ２から送信情報Ｅ１等を受けた監視制御システム９の処理について説明を行う。

図３を参照して、監視制御システム９の監視部１０は、監視用のコンピュータ２からネットワーク８を介して送信情報Ｅ１と軽警報情報を受信する（なお、この段階では、監視用のコンピュータ２は制御部４を介して伝送部３の送信を遮断する段階ではない）。送信情報Ｅ１と軽警報情報を受信した監視部１０は、監視用のコンピュータ２を「要注意」の状態に設定し、コンピュータ１（の管理者）に電子メールでその旨を通知する。また、監視制御システム９の警報部１４において軽警報を鳴動させると共に、監視制御システム９における端末画面に、例えば「軽警報受信-要注意」等の、注意表示を表示する。

なお、監視部１０が送信情報Ｅ２と警報情報を受けた場合は、監視用のコンピュータ２を「要警戒」の状態に設定する。監視制御システム９の警報部１４において警報を鳴動させ、監視制御システム９における端末画面に「警報受信・要警戒」である旨を表示する。また、監視部１０が送信情報Ｅ３と重警報情報を受けた場合は、監視用のコンピュータ２を「緊急事態」の状態に設定する。監視制御システム９の警報部１４において重警報を鳴動させ、監視制御システム９における端末画面に「重警報受信・緊急事態」である旨を表示する。

次に、制御部１１はソフトウェアに基づき送信情報Ｅ１を分析する。分析の結果から、監視用のコンピュータ２に対して制御信号Ｆ（伝送部３の伝送速度を低下させる旨の制御信号か、または、伝送部３の伝送を遮断する旨の制御信号）を出力するか否かを判断し、必要であれば制御信号Ｆを出力する。たとえば、送信情報Ｅ１を分析して得たＩＰアドレスやデータと、複数のローカルシステムＬのうちの一のローカルシステムＬが受けた過去の不正アクセスを示すＩＰアドレスやデータと照合して合致すれば、制御信号Ｆを出力する。具体的には、図５のＳ３５のように、ＩＰアドレスのカウント数がＮ３１の段階で（Ｎ３１＜Ｎ３２＜Ｎ３３）、監視用コンピュータ２に対して制御信号Ｆを出力することができる。すなわち、監視用のコンピュータ２がＳ４９によって伝送を遮断等するよりも早い段階で伝送を遮断できるので、効果的に内部情報の流出を防止できる。

制御部１１が監視用のコンピュータ２に対して制御信号Ｆを出力すると、監視部１０にその旨を通知する。通知を受けた監視部１０は監視制御システム９における警報部１４の重警報を鳴動させ、監視制御システム９の端末画面に「重警報受信・緊急事態」である旨を表示する。

なお、送信情報Ｅ２、Ｅ３の場合は次のとおりである。送信情報Ｅ２を分析し、制御信号Ｆを送信した場合は、監視部１０は監視制御システム９の重警報を鳴動させ、前記端末画面に「重警報受信-緊急事態」である旨を表示する。また、送信情報Ｅ３の場合は、既に制御部４に対して制御出力Ｂが送信されているが（図５、Ｓ４９）、何らかの事情により送信されていない場合を想定して、制御部１１はネットワーク８を介して監視用のコンピュータ２へバックアップ機能として制御信号Ｆを送信し、監視部１０に通知する。

このようにして監視用のコンピュータ２に対して制御信号Ｆが出力されると、監視用のコンピュータ２が制御部４に制御出力Ｂを出力し、制御部４が伝送部３を制御し、伝送部３の伝送速度を落とす（または、伝送部３の伝送を遮断する）。

他方、通報部１２は、予め登録（記録）されている情報に基づき、監視用のコンピュータ２の情報（例えば、場所、地図、電話番号等）と送信情報Ｅ１を端末１６へ送信する。端末１６はネットワーク１５を介して監視制御システム９に離隔して接続された端末である。

例えば、一の所在地（例えば、一の事業所）に監視制御システム９を設置し、ネットワーク１５を介して、一の所在地とは離隔した他の所在地（例えば、他の事業所）に端末１６を設置する。端末１６は、監視制御システム９の通報部１２から情報と受信情報Ｅ１を受けると、警報を鳴動させ、端末１６の画面に「出動準備」である旨を表示する。端末１６の所在地の監視担当員は、情報に示された場所に向けて出動する準備を整える。

次いで、端末１６は携帯端末に「出動準備」である旨の電子メールを送付する。たとえば、他の所在地に属する携帯端末に電子メールを送付する。具体的には、他の所在地に配属されている監視担当員が所持する携帯電話等の携帯端末に電子メールを送付する。これにより、出動準備である旨がより確実に監視担当員に伝わる。

なお、送信情報Ｅ２、Ｅ３の場合は次のとおりである。送信情報Ｅ２の場合は、通報部１２は予め登録されている情報に基づき、監視用のコンピュータ２の情報（場所、地図、電話番号等）と送信情報Ｅ２をネットワーク１５を介して端末１６へ送信すると供に、端末１６の警報を鳴動させ、端末１６の画面に「出動」である旨の表示をさせる。また、携帯電話等の携帯端末に「出動」である旨の電子メールを送付する。また、送信情報Ｅ３の場合は、通報部１２は予め登録されている情報に基づき、監視用のコンピュータ２の情報（場所、地図、電話番号等）と送信情報Ｅ３をネットワーク１５を介して担当している端末１６へ送信すると供に、端末１６の警報を鳴動させ、端末１６の画面に「緊急事態」である旨の表示をさせる。また、携帯電話等の携帯端末に「緊急事態」の電子メールを送付する。

また、調査部１３は、送信情報Ｅ１の送受信元のＩＰアドレスを分析し、予め登録されているユーザの社内のＩＰアドレスを検索して送受信元を割り出す。また、調査部１３は、ネットワーク１７を介して送受信元のプロバイダ情報、経路等を調査する。そして、調査部１３は送信情報Ｅ１の調査結果情報（プロバイダ情報、経路など）と被害内容情報を通報部１２へ通知する。通報部１２は調査部１３から受け取った送信情報Ｅ１の調査結果情報と被害情報（流出した情報の種別・量など）を、ネットワーク８を介して、監視用のコンピュータ２へ送信し（通報信号Ｇとして送信し）、監視用のコンピュータ２の画面に送信情報Ｅ１の調査結果と被害内容を表示させる。なお、監視用のコンピュータ２の画面より、ローカルシステムＬの管理者は送受信元（不正アクセス者）等を知ることができ、逃がさずに捕まえられる可能性が高まる。また、ネットワーク１５を介して端末１６に前記の内容を画面に表示をさせる。端末１６は携帯端末に対して前記内容を電子メールで送付する。たとえば、他の所在地に配属されている監視担当員が所持する携帯電話等の携帯端末に電子メールを送付する。これにより、監視担当員に対しても、送信情報Ｅ１の調査結果と被害内容が伝わるので、不正アクセス者を逃がさずに捕らえることができる可能性が高まる。

本実施例のように、複数のローカルシステムＬと監視制御システム９を有する不正アクセス防止手段は、不正アクセス者の所在を突き止め、逃がさずに捕らえる手段として効果的である。まず、不正アクセス者の所在を突き止め、所在に関する情報をローカルシステムＬ（の管理者）と監視制御システム９に属する端末１６（の監視担当員）が同時に共有している点で効果的である。具体的には、両者が所在地に赴けば、不正アクセス者は容易に逃げることはできない。次に、ローカルシステムＬの管理者が不在の場合でも、監視制御システム９に属する端末１６の監視担当員が不正アクセス者の所在に関する情報を得て、不正アクセス者を逃がさずに捕らえることができる点で効果的である。

また、他の実施態様として、監視制御システム９の処理能力を高めてゆき、相対的に監視用のコンピュータ２の処理能力を低くすることが考えられる。すなわち、新たな不正アクセス手法が次々と生まれてくる現状において、その全てに対応するためには、ハードウェア自体に高度の処理能力を必要となり、さらに、その全てに対して新たな不正アクセス検出手段（ソフトウェア）を備えさせるとなると時間・労力が非常にかかる。そこで、監視制御システム９に高度な処理能力（不正アクセス検出能力）を備えて、監視用コンピュータ２には高度な処理能力ではなく、監視用制御システム９が不正アクセスを検出するために必要となる情報を把握する能力を備えさせる。そして、監視用のコンピュータ２から不正アクセスを検出するために必要となる情報を監視制御システム９に送信するのである。そうすると、新たな不正アクセス検出手段（ソフトウェア）は監視制御システム９だけ備えれば済み、監視用のコンピュータ２に高度な処理能力は不要であると共に新たなメンテナンスも不要となる。

また、本実施例の監視用制御システム９は、監視用のコンピュータ２がハングアップする危険性に備える点で効果的である。すなわち、監視用のコンピュータ２はＯＳ（オペレーティングシステム）等に含まれるバグ等に起因して、ハングアップ（コンピュータが停止）する恐れがあり、検出すべき不正アクセスを見過ごしてしまう恐れがあるところ、監視制御システム９が所定時間毎（例えば１０分）にヘルスチェック（正常に動作しているか否かのチェック）をかけることにより、監視用コンピュータ２の状態を判別することができる。なお、ハングアップしていると判別した場合は、コンピュータ１（の管理者）に対して電子メール等でその旨伝えて、ハングアップ状態を回避することができる。あるいは、監視制御システム９からその旨の通知を受けた端末１６の監視担当員が、ローカルシステムLの所在地に赴いて監視用のコンピュータ２を再起動させることもできる。

なお、本実施例は、中小企業や個人商店にように、ローカルシステムＬを管理する能力を有する者がいない場合に効果的である。ローカルシステムＬ内にシステムを管理する能力を有する者がいなくても、監視制御システム９に属する監視担当員が不正アクセスを防止するからである。

次に、実施例２による不正アクセスの処理（受信情報）について説明する。

図３を参照して、伝送部３はネットワーク６から受信情報Ａを受信する。受信情報Ａを受信した伝送部３は、受信情報Ａを２つの同一情報Ａ１、Ａ２に分配する。分配された受信情報Ａのうち、受信情報Ａ２が監視用のコンピュータ２に送信される。その後、受信情報Ａ１がコンピュータ１（サーバ）に送信される。ここで、伝送部３は受信情報Ａ２を監視用のコンピュータ２に送信し、自由に設定できる約０．１〜５秒の遅延時間を経た後、コンピュータ１（サーバ）に受信情報Ａ１を送信する。受信情報Ａ２を受信した監視用のコンピュータ２は受信情報Ａ２が不正アクセスであるかどうかをチェックする。不正アクセスであるか否かは、たとえば、同一ＩＰアドレスから大量の受信情報を受けていないか、同一のデータ内容による大量情報を受けていないか、である。

監視用のコンピュータ２は、不正アクセスの危険度に応じて、「軽警報」レベル、「警報」レベル又は「重警報」レベルに識別する。「軽警報」レベルの場合は受信情報Ｅ１、「警報」レベルの場合は受信情報Ｅ２、「重警報」レベルの場合は受信情報Ｅ３を、ネットワーク８を介して監視制御システム９に送信する。

監視用のコンピュータ２における受信情報の処理をフローチャートを用いて説明すれば次のとおりである（図４参照）。

ａ．受信情報Ａ２を受信するステップ００（以下、「Ｓ００」のように記述する）。

ｂ．受信情報Ａ２のヘッダーのＩＰアドレスが同一ＩＰアドレスかチェックする（Ｓ０１）。

ｃ．同一ＩＰアドレスであればカウントする（Ｓ０２）。

ｄ．同一ＩＰアドレスであれば「軽警報」の基準であるＮ１１回以上か判定する（Ｓ０３）。ＮｏであればＳ０８の上へ戻る。ＹｅｓであればＳ０４へ進む。

ｅ．同一ＩＰアドレスであれば「警報」の基準であるＮ１２回以上か判定する（Ｓ０４）。Ｎｏであれば受信情報Ｅ１と軽警報情報を監視制御システム９へ送信してＳ０８の上へ戻る（Ｓ０５）。ＹｅｓであればＳ０６へ進む。

ｆ．同一ＩＰアドレスであれば「重警報」の基準であるＮ１３回以上か判定する（Ｓ０６）。Ｎｏであれば受信情報Ｅ２と警報情報を監視制御システム９へ送信してＳ０８の上へ戻る（Ｓ０７）。Ｙｅｓであれば受信情報Ｅ３と重警報情報を監視制御システム９へ送信する（Ｓ２０）と制御部４へ制御出力Ｂを送信するＳ２１へ進み、サーバであるコンピュータ１へ制御出力Ａを送信してＳ００へ戻る（Ｓ２２）。

ｇ．受信情報Ａ２のデータが同一データかチェックする（Ｓ０８）。

ｈ．同一データであればカウントする（Ｓ０９）。

ｉ．同一データであれば、軽警報の基準であるＮ２１回以上か判定する（Ｓ１０）。ＮｏであればＳ１５の上へ戻る。ＹｅｓであればＳ１１へ進む。

ｊ．同一データであれば警報の基準であるＮ２２回以上か判定する（Ｓ１１）。Ｎｏであれば受信情報Ｅ１と軽警報情報を監視制御システム９へ送信してＳ１５の上へ戻る（Ｓ１２）。ＹｅｓであればＳ１３へ進む。

ｋ．同一データであれば、重警報の基準であるＮ２３回以上か判定する（Ｓ１３）。Ｎｏであれば受信情報Ｅ２と警報情報を監視制御システムへ送信してＳ１５の上へ戻る（Ｓ１４）Ｓ１４へ進む。Ｙｅｓであれば受信情報Ｅ３と重警報情報を監視制御システムへ送信する（Ｓ２０）と制御部４へ制御出力Ｂを送信するＳ２１へ進む。サーバであるコンピュータ１へ制御出力Ａを送信してＳ００へ戻る（Ｓ２２）。

ｌ．受信情報Ａ２のデータが、管理者パスワードの要求かチェックする（Ｓ１５）。ＮｏであればＳ１６へ進む。Ｙｅｓであれば受信情報Ｅ３と重警報情報を監視制御システム９へ送信する（Ｓ２０）と制御部４へ制御出力Ｂを送信するＳ２１へ進む。サーバであるコンピュータ１へ制御出力Ａを送信してＳ００へ戻る（Ｓ２２）。

ｍ．受信情報Ａ２のデータが管理者パスワードかチェックする（Ｓ１６）。ＮｏであればＳ１７へ進む。Ｙｅｓであれば受信情報Ｅ３と重警報情報を監視制御システムへ送信する（Ｓ２０）と制御部４へ制御出力Ｂを送信するＳ２１へ進む。サーバであるコンピュータ１へ制御出力Ａを送信してＳ００へ戻る（Ｓ２２）。

ｎ．受信情報Ａ２のデータが許可した通信かチェックする（Ｓ１７）。ＹｅｓであればＳ１８へ進む。Ｎｏであれば受信情報Ｅ３と重警報情報を監視制御システム９へ送信する（Ｓ２０）と制御部４へ制御出力Ｂを送信するＳ２１に進む。サーバであるコンピュータ１へ制御出力Ａを送信してＳ００へ戻る（Ｓ２２）。

ｏ．受信情報Ａ２のデータが内部進入コマンドかチェックする（Ｓ１８）。ＮｏであればＳ１９へ進む。Ｙｅｓであれば受信情報Ｅ３と重警報情報を監視制御システムへ送信する（Ｓ２０）と制御部４へ制御出力Ｂを送信するＳ２１に進む。サーバであるコンピュータ１へ制御出力Ａを送信してＳ００へ戻る（Ｓ２２）。

ｐ．受信情報Ａ２のデータが内部メモリまたはディスクへのアクセスか、チェックする（Ｓ１９）。ＮｏであればＳ００へ戻る。Ｙｅｓであれば受信情報Ｅ３と重警報情報を監視制御システム９へ送信するＳ２０と制御部４へ制御出力Ｂを送信するＳ２１に進む。サーバであるコンピュータ１へ制御出力Ａを送信してＳ００へ戻る（Ｓ２２）。

次に、監視用のコンピュータ２から受信情報Ｅ１等を受けた監視制御システム９の処理について説明を行う。

まず、図３を参照して、監視制御システム９の監視部１０は、監視用のコンピュータ２からネットワーク８を介して受信情報Ｅ１と軽警報情報を受信する。受信情報Ｅ１と軽警報情報を受信した監視部１０は、監視用のコンピュータ２を「要注意」の状態に設定し、コンピュータ１（の管理者）に電子メールでその旨を通知する。また、監視制御システム９の警報部１４において軽警報を鳴動させ、監視制御システム９における端末画面に、例えば「軽警報受信-要注意」等の、注意表示を表示する。

なお、監視部１０が受信情報Ｅ２と警報情報を受けた場合は、監視用のコンピュータ２を「要警戒」の状態に設定する。監視制御システム９の警報部１４において警報を鳴動させ、監視制御システム９における端末画面に「警報受信・要警戒」である旨を表示する。また、監視部１０が受信情報Ｅ３と重警報情報を受けた場合は、監視用のコンピュータ２を「緊急事態」の状態に設定する。監視制御システム９の警報部１４において重警報を鳴動させ、監視制御システムにおける端末画面に「重警報受信・緊急事態」である旨を表示する。

次に、制御部１１は、予め組み込まれているソフトウェアに基づき、受信情報Ｅ１を分析する。分析の結果から、監視用コンピュータ２に対して制御信号Ｆ（伝送部３の伝送速度を低下させる旨の制御信号か、または、伝送部３の伝送を遮断する旨の制御信号）を出力するか否かを判断する。たとえば、制御部１１に記憶された過去に受けた不正アクセスを示すＩＰアドレスやデータと照合して合致すれば、制御信号Ｆを出力する。制御部１１が監視用のコンピュータ２に対して制御信号Ｆを出力すると、監視部１０にその旨を通知する。通知を受けた監視部１０は監視制御システム９における警報部１４の重警報を鳴動させ、監視制御システム９の端末画面に「重警報受信・緊急事態」である旨を表示する。

なお、受信情報Ｅ２、Ｅ３の場合は次のとおりである。受信情報Ｅ２を分析し、制御信号Ｆを送信した場合は、監視部１０は監視制御システム９の重警報を鳴動させ、前記端末画面に「重警報受信-緊急事態」である旨を表示する。また、受信情報Ｅ３の場合は、制御部１１はネットワーク８を介して監視用のコンピュータ２へバックアップ機能として制御信号Ｆを送信し、監視部１０に通知する。

このようにして監視用のコンピュータ２に対して制御信号Ｆが出力されると、監視用のコンピュータ２が制御部４に制御出力Ｂを出力し、制御部４が伝送部３を制御し、伝送部３の伝送速度を落とす（または、伝送部３の伝送を遮断する）。

他方、通報部１２は、予め登録されている情報に基づき、監視用のコンピュータ２の情報（例えば、場所、地図、電話番号等）と受信情報Ｅ１を端末１６へ送信する。端末１６はネットワーク１５を介して監視制御システム９に離隔して接続された端末である。

例えば、一の所在地（例えば、一の事業所）に監視制御システム９を設置し、ネットワーク１５を介して、一の所在地とは離隔した他の所在地（他の事業所）に端末１６を設置する。端末１６は、監視制御システム９の通報部１２から情報と受信情報Ｅ１を受けると警報を鳴動させ、端末１６の画面に「出動準備」である旨を表示する。端末１６の所在地の監視担当員は、情報に示された場所に向けて出動する準備を整える。

次いで、端末１６は携帯端末に「出動準備」である旨の電子メールを送付する。たとえば、他の所在地に属する携帯端末に電子メールを送付する。具体的には、他の所在地に配属されている監視担当員が所持する携帯電話等の携帯端末に電子メールを送付する。これにより、出動準備である旨がより確実に監視担当員まで伝わる。

なお、受信情報Ｅ２、Ｅ３の場合は次のとおりである。受信情報Ｅ２の場合は、通報部１２は予め登録されている情報に基づき、監視用のコンピュータ２の情報（場所、地図、電話番号等）と送信情報Ｅ２をネットワーク１５を介して端末１６へ送信すると供に、端末１６の警報を鳴動させ、端末１６の画面に「出動」の表示をさせる。また、携帯電話等の携帯端末に「出動」である旨の電子メールを送付する。また、受信情報Ｅ３の場合は、通報部１２は予め登録されている情報に基づき、監視用のコンピュータ２の情報（場所、地図、電話番号等）と受信情報Ｅ３をネットワーク１５を介して担当している端末１６へ送信すると供に、端末１６の警報を鳴動させ、端末１６の画面に「緊急事態」である旨の表示をさせる。また、携帯電話等の携帯端末に「緊急事態」の電子メールを送付する。

また、調査部１３は、受信情報Ｅ１の送受信元ＩＰアドレスを分析して送受信元の端末を割り出す。また、ネットワーク１７を介して送受信元のプロバイダ情報、経路等を調査する。そして、調査部１３は受信情報Ｅ１等の調査結果情報（プロバイダ情報、経路など）と被害情報を通報部１２へ通知する。通報部１２は調査部１３から受け取った送信情報Ｅ１等の調査結果情報と被害情報を、ネットワーク８を介して、監視用のコンピュータ２へ送信し（通報信号Ｇとして送信し）、監視用のコンピュータ２の画面に受信情報Ｅ１等の調査結果と被害内容を表示させる。また、ネットワーク１５を介して端末１６に前記の内容を画面に表示をさせる。端末１６は携帯端末に対して前記内容を電子メールで送付する。たとえば、他の所在地に配属されている監視担当員が所持する携帯電話等の携帯端末に電子メールを送付する。これにより、他の所在地に配属されている監視担当員に対しても、受信情報Ｅ１等の調査結果と被害内容が伝わる。

本発明の実施例１を示す図（送信情報の処理）。 本発明の実施例１を示す図（受信情報の処理）。 本発明の実施例２を示す図。 本発明の実施例２における受信情報の処理を示すフローチャート。 本発明の実施例２における送信情報の処理を示すフローチャート。

１ 保護対象コンピュータ（サーバ）
２ 監視用のコンピュータ
３ 伝送部
９ 監視制御システム
４ 制御部
６，８，１５ ネットワーク
１６ 端末
Ａ 送信情報
Ａ１ 他の送信情報
Ａ２ 一の送信情報
Ｅ１／Ｅ２／Ｅ３ 送信情報
Ｆ 制御信号
Ｌ ローカルシステム

Claims (6)

1. 保護対象であるコンピュータ（１）と、不正アクセスを監視する監視用のコンピュータ（２）と、保護対象であるコンピュータ（１）から送信された送信情報（Ａ）を二つの同一情報である一の送信情報（Ａ２）及び他の送信情報（Ａ１）に分配する伝送部（３）とを有した複数のローカルシステム（Ｌ）、並びに、前記複数のローカルシステム（Ｌ）を監視する監視制御システム（９）からなる不正アクセス防止手段であって、
   各ローカルシステム（Ｌ）における伝送部（３）は、前記分配した一の送信情報（Ａ２）を監視用のコンピュータ（２）に対して送信すると共に、他の送信情報（Ａ１）をネットワーク（６）に対して伝送するものであり、
   前記各ローカルシステム（Ｌ）における監視用のコンピュータ（２）は、伝送部（３）から受け取った前記一の送信情報（Ａ２）の不正アクセスを監視し、
   前記監視制御システム（９）は各ローカルシステム（Ｌ）の監視用のコンピュータ（２）からの送信情報（Ｅ１/Ｅ２/Ｅ３）に基づいて不正アクセスを監視し、
   前記伝送部（３）は監視用のコンピュータ（２）に対して一の送信情報（Ａ２）を送信し、自由に設定できる遅延時間を経た後に、ネットワーク（６）に対して他の送信情報（Ａ１）を送信し、
   当該遅延時間を、監視用のコンピュータ（２）と監視制御システム（９）とによって不正アクセスを検出するための所要時間にあてるものであり、
   監視用のコンピュータ（２）において前記一の送信情報（Ａ２）から不正アクセスが検出されると、検出された不正アクセスの危険度に応じて複数レベルのうちから識別したレベルの送信情報（Ｅ１/Ｅ２/Ｅ３）を監視制御システム（９）に送信し、
   監視制御システム（９）は、送信された前記送信情報（Ｅ１／Ｅ２／Ｅ３）を、過去に受けた不正アクセスを示すデータと照合して合致するかどうか分析し、合致すれば監視用のコンピュータ（２）に対して制御信号（Ｆ）を出力し、
   この出力された制御信号（Ｆ）をうけた監視用のコンピュータ（２）が、ネットワーク（６）への他の送信情報（Ａ１）の送信を遮断することを特徴とする不正アクセス防止手段。
2. 前記監視制御システム（９）は監視部を有し、各ローカルシステム（Ｌ）の監視用のコンピュータ（２）が正常に動作しているかを認識し、監視用のコンピュータ（２）の異常動作を認識した場合には、ネットワーク（１５）を介して接続された端末（１６）に対して、監視用のコンピュータ（２）の状態を通知する請求項１記載の不正アクセス防止手段。
3. 監視制御システム（９）は、ネットワーク（１５）を介して端末（１６）がローカルシステム（Ｌ）の所在地に近接して接続され、不正アクセスを検出した場合には、前記端末（１６）に対して、不正アクセス情報を送信する請求項１又は２記載の不正アクセス防止手段。
4. 監視用のコンピュータ（２）又は監視制御システム（９）は、受信した一の送信情報（Ａ２）のデータが同一であるか又は同一ＩＰアドレスかをチェックして同一であった場合の回数が警報の第一基準設定回数を超えるかどうかを判定し、
   第一基準設定回数を超えた場合には、さらに一の送信情報（Ａ２）のデータが同一であるか又は同一ＩＰアドレスかをチェックして同一であった場合の回数が前記第一基準設定回数よりも大きい警報の第二基準設定回数を超えるかどうかを判定し、
   いずれかの判定に該当する場合には、該当内容に応じた不正アクセスの危険度を各警報レベルに識別し、危険度のレベルに応じた送信情報（Ｅ１／Ｅ２／Ｅ３）を監視制御システム（９）又は制御部（４）へ送信する請求項１、２、又は３記載の不正アクセス防止手段。
5. 監視用のコンピュータ（２）又は監視制御システム（９）は、受信した一の送信情報（Ａ２）のデータが同一ＩＰアドレスかをチェックして同一であった場合の回数が警報の基準設定回数を超えるかどうかを判定し、
   一の送信情報（Ａ２）のデータが顧客データであるかをチェックして顧客データであった場合の回数が警報の基準設定回数を超えるかどうかを判定し、
   一の送信情報（Ａ２）のデータが管理者パスワードか、内部機密情報か、或いは許可した通信かをチェックして、
   いずれかの判定またはチェックに該当する場合には、該当内容に応じた送信情報（Ｅ１／Ｅ２／Ｅ３）と警報情報を監視制御システム（９）又は制御部（４）へ送信する請求項１、２、３、又は４のいずれか記載の不正アクセス防止手段。
6. 監視用のコンピュータ（２）から送信された送信情報（Ｅ１/Ｅ２/Ｅ３）が特定のレベルのものである場合、監視制御システム（９）はネットワーク（８）を介して監視用のコンピュータ（２）へバックアップ機能としての制御信号（Ｆ）を送信する請求項１ないし５のいずれか記載の不正アクセス防止手段。

Images