JP6200101B2 - 分析装置、分析システム、分析方法、および、分析プログラム - Google Patents

分析装置、分析システム、分析方法、および、分析プログラム Download PDF

Info

Publication number
JP6200101B2
JP6200101B2 JP2016556526A JP2016556526A JP6200101B2 JP 6200101 B2 JP6200101 B2 JP 6200101B2 JP 2016556526 A JP2016556526 A JP 2016556526A JP 2016556526 A JP2016556526 A JP 2016556526A JP 6200101 B2 JP6200101 B2 JP 6200101B2
Authority
JP
Japan
Prior art keywords
access
authentication information
logs
source
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2016556526A
Other languages
English (en)
Other versions
JPWO2016068007A1 (ja
Inventor
慎吾 折原
慎吾 折原
浩志 朝倉
浩志 朝倉
揚 鐘
揚 鐘
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nippon Telegraph and Telephone Corp
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Publication of JPWO2016068007A1 publication Critical patent/JPWO2016068007A1/ja
Application granted granted Critical
Publication of JP6200101B2 publication Critical patent/JP6200101B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/316—User authentication by observing the pattern of computer usage, e.g. typical user behaviour
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2101—Auditing as a secondary aspect
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2151—Time stamp
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Description

本発明は、分析装置、分析システム、分析方法、および、分析プログラムに関する。
従来、不正ログイン攻撃は、ID/PWD（ＩＤ／パスワード）の総当たりの組で行うものや、特定の単語辞書を用意して総当たりで行うもの等、ブルートフォース攻撃と呼ばれる総当たり法で行われるものが主流であった。ブルートフォース攻撃は、時間あたりの認証要求回数が極端に高くなったり、認証失敗の形跡が多数残ったりするという特徴があり、従来技術ではこのような特徴の有無により、不正ログイン攻撃を検知していた。
リスト型アカウントハッキングによる不正ログインへの対応方策について（サイト管理者などインターネットサービス提供事業者向け対策集）、[online]、[平成26年10月7日検索]、インターネット<URL：http://www.soumu.go.jp/main_content/000265403.pdf> 標的型攻撃、不正ログイン……巧妙化する脅威から身を守る術は、[online]、[平成26年10月7日検索]、インターネット<URL：http://www.atmarkit.co.jp/ait/articles/1406/27/news012.html> 徳丸浩、体系的に学ぶ 安全なWebアプリケーションの作り方、P318、ソフトバンククリエイティブ、2011年3月 ユーザー・アカウントのロックアウトを解除する、[online]、[平成26年10月7日検索]、インターネット<URL：http://www.atmarkit.co.jp/ait/articles/0311/29/news005.html> 不正ログインを食い止めろ！ＯｐｅｎＡＭで認証強化、[online]、[平成26年10月7日検索]、インターネット<URL：http://www.atmarkit.co.jp/ait/articles/1310/17/news003.html>
しかし、近年では他社サービスから情報漏洩等によって流出したID/PWDリストを元に、同じID/PWDを他サービスでも使い回していることを期待し攻撃を行うリスト型攻撃が流行している。このようなリスト型攻撃は、認証に成功する確率が高いため、従来のような時間あたりの認証回数や認証失敗の回数をカウントする方法で不正ログイン攻撃を検知しようとしても、見逃してしまうおそれがある。そこで本発明は、前記した問題を解決し、攻撃を精度よく検知することを課題とする。
前記した課題を解決するため、本発明は、ユーザの認証結果および認証情報を含むアクセスログを分析する分析装置であって、前記アクセスログのうち、同じアクセス元のアクセスログをまとめる抽出部と、前記アクセスログのうち、同じアクセス元の複数のアクセスログにおける認証情報の類似度を算出し、前記算出した類似度が所定値以上であるとき、前記アクセスログの認証情報が人間の入力によるものであると推定する算出部と、前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記算出部において、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定する判定部とを備えることを特徴とする。
本発明によれば、攻撃を精度よく検知することができる。
図１は、システムの構成例を示す図である。 図２は、図１の系列抽出部の処理の具体例を説明するための図である。 図３は、図１の算出部による類似度算出の具体例を説明するための図である。 図４は、図１の算出部による類似度算出の具体例を説明するための図である。 図５は、図１のリスク判定部によるレベル判定の具体例を説明するための図である。 図６は、図１の分析装置の処理手順を示すフローチャートである。 図７は、図１の匿名ＩＰ蓄積部を説明するための図である。 図８は、分析プログラムを実行するコンピュータを示す図である。
以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。なお、本発明は本実施形態に限定されない。
まず、図１を用いて本実施形態のシステムの構成例を説明する。システムは、認証装置１と、分析装置１０とを備える。認証装置１は、１以上のユーザの端末装置（図示省略）からのアクセスを受け付け、認証処理を行う。そして、その認証結果をアクセスログとして記録する。分析装置１０は、認証装置１からアクセスログを受信し、分析する。
なお、このアクセスログは、アクセス元（送信元）の端末装置のＩＰアドレス、認証に用いた認証情報（例えば、ＩＤ、パスワード等）、認証結果、アクセスした日時等の情報を含む。なお、認証結果は、認証に成功したか否かや、認証に失敗した場合、その理由の情報等を含む。認証の失敗の理由は、例えば、認証に用いるＩＤ等が登録されたものと異なるアカウント不正や、ＩＤに対応づけられたパスワードが登録されたものと異なるパスワード不正等である。
（分析装置）
分析装置１０は、受信部１１と、系列抽出部１２と、算出部１３と、リスク判定部（判定部）１４とを備える。破線で示す匿名ＩＰ蓄積部１５は装備する場合と装備しない場合があり、装備する場合については後記する。
受信部１１は、認証装置１から各ユーザのアクセスログを受信する。例えば、受信部１１は認証装置１から時系列で各ユーザのアクセスログを受信する。
系列抽出部１２は、受信部１１で受信したアクセスログをアクセス元（ユーザ）ごとにまとめる。つまり、系列抽出部１２はアクセス元ごとのアクセスログの系列を抽出する。例えば、系列抽出部１２は、受信部１１で受信したアクセスログ群のうち、アクセス元のＩＰアドレスまたはＩＰアドレスレンジが同じアクセスログ群（例えば、図１のユーザ識別子Ａのアクセスログ群とユーザ識別子Ｂのアクセスログ群）をまとめる。なお、系列抽出部１２は、アクセス元のＩＰアドレスまたはＩＰアドレスレンジが同じ場合、同じユーザとみなし、同じユーザ識別子を付与する。
なお、系列抽出部１２は、アクセス元のＩＰアドレスまたはＩＰアドレスレンジが同じアクセスログであっても、その時間間隔が所定値ｔ以上であったとき、別ユーザのアクセスログとしてまとめるようにしてもよい。例えば、系列抽出部１２は、図２に示すように、１〜１２のアクセスログのうち、アクセス元のＩＰアドレスまたはＩＰアドレスレンジが同じアクセスログについて、その時間間隔がｔ未満であるものは同じユーザのアクセスログとしてまとめるが、その時間間隔がｔ以上であるものは別ユーザ（新たなユーザ）のアクセスログとしてまとめる。例えば、図２において「２」、「６」、「１２」のアクセスログはそれぞれアクセス元が同じであるが、「２」と「６」のアクセスログの時間間隔ｔ１がｔ未満であり、「６」と「１２」のアクセスログの時間間隔ｔ２がｔ以上である場合、「２」と「６」のアクセスログは同じユーザ（例えば、ユーザ識別子Ｂ）のアクセスログとしてまとめるが、「１２」のアクセスログは別ユーザ（例えば、ユーザ識別子Ｄ）のアクセスログとする。このようにすることで、系列抽出部１２は、時間経過によりアクセス元のＩＰアドレスまたはＩＰアドレスレンジのユーザが変わった場合でも、これに応じて別ユーザのアクセスログとしてまとめることができる。
算出部１３は、系列抽出部１２によりまとめられた同じユーザのアクセスログにおいて２つのアクセスログの認証情報（例えば、ＩＤ、パスワード等）の類似度を算出する。そして、算出部１３は、算出した類似度が所定値以上であるとき、この２つのアクセスログのうち、いずれか一方のアクセスログにおける認証情報が人間の入力によるものであると推定する。一方、算出部１３は、算出した類似度が所定値未満であるとき、この２つのアクセスログのうち、いずれか一方のアクセスログにおける認証情報が人間の入力によるものではない、つまり、機械の入力によるもの（例えば、リスト型攻撃等によるもの）と推定する。なお、算出部１３は、同じユーザの３つ以上のアクセスログの認証情報の類似度を算出してももちろんよい。
例えば、算出部１３は、系列抽出部１２から、ユーザ識別子と、そのユーザ識別子の一連のアクセスログのうち、時系列で連続する２つのアクセスログ（直近の２つのアクセスログ）に含まれるＩＤとを受け取る。そして、算出部１３は、このユーザ識別子Ｂの直近の２つのアクセスログに含まれるＩＤ（ＩＤ１とＩＤ２）を比較し、類似度を算出する。そして、算出した類似度が所定値以上であるとき、算出部１３は、この認証情報の入力は人間によるものと推定し、その推定結果をリスク判定部１４へ出力する。一方、算出した類似度が所定値未満であるとき、算出部１３は、この認証情報の入力は機械によるものと推定し、その推定結果をリスク判定部１４へ出力する。この算出部１３による類似度算出の具体例は後記する。
リスク判定部１４は、各ユーザのアクセスログの認証結果と、算出部１３による各ユーザのアクセスログの認証情報の推定結果とに基づき、各ユーザが攻撃元となっている可能性の高さ（レベル）を判定する。例えば、リスク判定部１４は、系列抽出部１２によりまとめられたあるユーザのアクセスログについて連続する２つのアクセスログのいずれかの一方のアクセスログの認証結果が認証失敗であり、かつ、算出部１３において、この２つのアクセスログのいずれか一方のアクセスログの認証情報の入力が人間によるものではない（つまり機械の入力によるもの）と推定されたとき、これらのアクセスログにおけるアクセス元のユーザが攻撃元となっている可能性が高いと判定する。
具体例を挙げると、リスク判定部１４は、同じユーザの連続する２つのアクセスログのいずれか一方のアクセスログの認証結果がアカウント不正による認証失敗であり、かつ、算出部１３においてこの２つのアクセスログのいずれか一方のアクセスログの認証情報が機械の入力によるものと推定されたとき、これらアクセスログにおけるアクセス元のユーザが攻撃元となって発生している攻撃リスクの高さ（レベル）を上げる。一方、リスク判定部１４は、２つのアクセスログのいずれか一方のアクセスログの認証結果がアカウント不正による認証失敗であっても、算出部１３において、この２つのアクセスログのいずれかの一方のアクセスログの認証情報が人間の入力によるものと推定されたとき、これらアクセスログにおけるアクセス元のユーザが攻撃元となって発生している攻撃リスクの高さ（レベル）を下げる。なお、リスク判定部１４は２回連続してレベルの上昇があった（例えば、レベルが「１」から「３」以上に達した）アクセス元のユーザのユーザ識別子を攻撃元となっている可能性が高いユーザのユーザ識別子として出力してもよい。これにより、システムの管理者等は、攻撃元となっている可能性の高いユーザのユーザ識別子を知ることができる。
（算出部による類似度の算出の具体例）
ここで、算出部１３による類似度算出の具体例を、図３および図４を用いて説明する。
算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）間で各認証情報を構成する文字、数字、記号の入力装置上での配置が近い、または、入力操作が類似しているものほど類似度を高く算出する。一例を挙げると、算出部１３は、比較対象となる２つの認証情報間で各認証情報を構成する文字、数字、記号のキーボード配列上の距離（キーボード距離）が近いものほど類似度を高く算出する。例えば、図３の符号３０１に示す「yamaea.taro」と「yamada.taro」はキーボード距離が比較的近いので類似度を高く算出する。なお、シフトキーの押し間違えによる大文字、小文字の違い、数字、記号の違いについてもキーボード距離が近いとみなし、例えば、符号３０２に示す「yamada.taro5」と「yamada.taro%」についても類似度を高く算出する。
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）間で各認証情報を構成する文字、数字、記号の編集距離が近いものほど類似度を高く算出してもよい。この場合、例えば、符号３０３に示す「yamata.daro」と「yamada.taro」は編集距離が比較的近いので類似度を高く算出する。
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）のうち一方の認証情報がアットマーク（@）を含まず、区分記号(例えば、下線(_)、ドット(.)、ハイフン(-)等英数字以外)を１つ含む場合において、他方の認証情報がこの認証情報の区分記号の前後を入れ替えた文字列等であるときも類似度を高く算出してもよい。この場合、例えば、符号３０４に示す「yamada.taro」と「taro.yamada」は、後者の認証情報が、前者の認証情報のドット(.)で区切られた文字列を入れ替えたものであるので類似度を高く算出する。
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）がそれぞれ最後に数字を含む場合において、一方の認証情報の数字を省略した形で区分記号の前後を入れ替えてみて、入れ替え後に数字を追加したものが他方の認証情報と同じであれば類似度を高く算出してもよい。例えば、符号３０５に示す「taro.yamada123」と「yamada.taro123」は、前者の認証情報の数字を省略した形で区分記号の前後を入れ替え、数字を追加したものが後者の認証情報と同じになるので類似度を高く算出する。また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）のいずれか一方が最後に数字を含む場合において、認証情報から数字を削除したものが他方の認証情報と同じであれば類似度を高く算出してもよい。例えば、「yamada」と「yamada123」は、後者の認証情報から数字を削除したものが前者の認証情報と同じになるので、算出部１３は類似度を高く算出する。
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）のうち、一方の認証情報がアットマーク（@）を含まず、他方の認証情報がアットマークを含む場合において、これらの認証情報間でアットマークまでの部分文字列が一致するとき、類似度を高く算出してもよい。この場合、例えば、図４の符号４０１に示す「yamada.taro@example.co.jp」と「yamada.taro」は前者のアットマークまでの部分文字列が一致するので類似度を高く算出する。
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）のうち、一方の認証情報が２文字以下の連続する英数字以外の記号を含む場合において、他方の認証情報が記号を取り除くと一致するとき、類似度を高く算出してもよい。この場合、例えば、図４の符号４０２に示す「yamada-taro」と「yamadataro」は、前者の記号（ハイフン（-））を取り除くと後者と一致するので類似度を高く算出する。
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）のうち、一方の認証情報が英数字以外の記号を１つ含む場合において、記号の前または後の部分文字列を一部省略したものが他方の認証情報と一致するとき、類似度を高く算出してもよい。この場合、例えば、図４の符号４０３に示す「yamada-taro」と「yamada-t」や、符号４０４に示す「yamada.taro」と「yama.taro」は記号の前または後の部分文字列を一部省略したものが他方の認証情報と一致するので類似度を高く算出する。さらに、このように一方の認証情報が英数字以外の記号を１つ含む場合において、この記号の前または後の部分文字列を一部省略したものを、記号の前後で入れ替えたものが他方の認証情報と一致するときも、類似度を高く算出してもよい。
このように算出部１３は、比較対象となる２つの認証情報が異なっていたとしても、この２つの認証情報の違いが人間の入力ミスでよくあるパターンのとき、これらの認証情報の類似度を高く算出する。なお、図３、図４に例示した、算出部１３が比較対象となる認証情報について類似度を高く判定するパターン（つまり、人間の入力ミスによくあるパターン）については、例えば、分析装置１０の記憶部（図示省略）の所定領域に記憶しておき、分析装置１０の管理者等が適宜変更できるようにしてよい。
（リスク判定部によるレベル判定の具体例）
ここで、リスク判定部１４によるレベル判定の具体例を、図５を用いて説明する。ここではリスク判定部１４は、図５に示す状態遷移図に基づき、アクセスログにリスト型攻撃に似たビヘイビア（機械により入力された認証情報を用いたログイン等）が観測されるとレベルを上げ、リスト型攻撃に似ていないビヘイビア（人間により入力された認証情報を用いたログイン等）が観測されるとレベルを下げる。具体的には、例えば、リスク判定部１４は、アクセス元のＩＰアドレス＝Ａの一連のアクセスログ群における認証の成否、認証失敗の原因（理由）、入力した認証情報の推定結果（人間による入力か、機械による入力か）に基づき、アクセス元のＩＰアドレス＝Ａのユーザが攻撃元となって発生している攻撃リスクの高さ（脅威レベル）を５段階のレベルで判定する。これにより、攻撃の誤検知を防止したり、リスト型攻撃が成功してしまった可能性があることを判定したりすることができる。
なお、上記の５段階のレベルのうち、レベル１は「通常のＩＰアドレス」であり、レベル２は「要注意」であり、レベル３は「リスト型攻撃の可能性高」であり、レベル４は「リスト型攻撃が継続中」であり、レベル５は「リスト型攻撃が成功した可能性が極めて高い」を示すものとする。
図５の上段の図は、リスク判定部１４によるレベル判定の例を示す状態遷移図である。この状態遷移図におけるノードはレベル（レベル１〜レベル５）を示し、ノード間を接続する矢印（エッジ）は各状態へ遷移するためのイベントを示す。イベントは、例えば、符号６０１に示すようにログインの成否と、認証情報の入力が機械によるものか人間によるものかの判定結果（入力判定）との組み合わせにより記述される。ログインの成否は、ログイン成功（ＬＯＧＩＮ）、パスワード不正によるログイン失敗（ＦＡＩＬ）、アカウント不正によるログイン失敗（ＵＮＫＮＯＷＮ）、ログインの成否を問わない（＊）のいずれかである。また、認証情報の入力が機械によるものか人間によるものかの判定結果は、認証情報の入力が機械によるものか人間によるものかを問わない（入力判定なし）（＊）、機械（ＭＡＣＨＩＮＥ）、人間（ＨＵＭＡＮ）のいずれかである。例えば、ＬＯＧＩＮ−＊は、認証情報の入力が機械によるものか人間によるものかを問わず、ログインに成功したことを示す。また、ＦＡＩＬ−ＭＡＣＨＩＮＥは、パスワード不正によりログインに失敗し、認証情報の入力が機械によるものであることを示す。さらに、＊−ＭＡＣＨＩＮＥは、ログインの成否を問わず、認証情報の入力が機械によるものであることを示す。
次に図５の状態遷移図を説明する。まず、リスク判定部１４はアクセス元のＩＰアドレス＝Ａの最初のアクセスログを参照し、イベントがＦＡＩＬ−＊またはＬＯＧＩＮ−＊のときは、レベル１のままと判定するが、イベントがＵＮＫＮＯＷＮ−＊のときは、レベル２と判定する。
次に、リスク判定部１４は、レベル２と判定した、アクセス元のＩＰアドレス＝Ａの次のアクセスログを参照し、イベントがＵＮＫＮＯＷＮ−ＨＵＭＡＮまたはＦＡＩＬ−ＨＵＭＡＮのときはレベル２のままと判定するが、ＬＯＧＩＮ−＊のときは、レベル１へ戻すと判定する。一方、イベントがＵＮＫＮＯＷＮ−ＭＡＣＨＩＮＥまたはＦＡＩＬ−ＭＡＣＨＩＮＥのときは、レベル３と判定する。
次に、リスク判定部１４は、レベル３と判定した、アクセス元のＩＰアドレス＝Ａの次のアクセスログを参照し、イベントがＵＮＫＮＯＷＮ−ＭＡＣＨＩＮＥまたはＦＡＩＬ−ＭＡＣＨＩＮＥのときはレベル４と判定し、ＬＯＧＩＮ−ＭＡＣＨＩＮＥのときはレベル５と判定する。一方、イベントが＊−ＨＵＭＡＮのときは、レベル２へ戻すと判定する。
次に、リスク判定部１４は、レベル４と判定した、アクセス元のＩＰアドレス＝Ａの次のアクセスログを参照し、イベントがＵＮＫＮＯＷＮ−ＭＡＣＨＩＮＥまたはＦＡＩＬ−ＭＡＣＨＩＮＥのときはレベル４のままと判定し、ＬＯＧＩＮ−ＭＡＣＨＩＮＥのときはレベル５と判定する。一方、イベントが＊−ＨＵＭＡＮのときは、レベル２へ戻すと判定する。
次に、リスク判定部１４は、レベル５と判定した、アクセス元のＩＰアドレス＝Ａの次のアクセスログを参照し、イベントがＬＯＧＩＮ−＊のときはレベル５のままと判定し、ＵＮＫＮＯＷＮ−＊またはＦＡＩＬ−＊のときは、レベル４へ戻すと判定する。
このようにリスク判定部１４は、例えば、認証情報がＭＡＣＨＩＮＥ（機械）により入力されたものと推定されるアクセスログを発見するたびに、そのアクセスログのアクセス元のＩＰアドレスが攻撃元となって発生している攻撃リスクの高さ（レベル）を上げ、認証情報がＨＵＭＡＮ（人間）により入力されたものと推定されるアクセスログを発見するたびに、アクセス元のＩＰアドレスが攻撃元となって発生している攻撃リスクの高さ（レベル）を下げる。つまり、リスク判定部１４は、一連のアクセスログに、リスト型攻撃によくみられる特徴を発見するたびに、当該アクセスログのアクセス元の攻撃リスクの高さ（レベル）を上げ、リスト型攻撃によくみられる特徴を発見しなければ、当該アクセス元の攻撃リスクの高さ（レベル）を下げる。
そして、リスク判定部１４は、例えば、上記のレベル判定の結果、レベル３以上になったＩＰアドレス（ユーザ識別子）について、攻撃元となっている可能性の高いユーザのユーザ識別子として出力する。なお、この後、分析装置１０は、当該ＩＰアドレスの端末に対しアラートを出したり、当該ＩＰアドレスをブロック対象として認証装置１等に通知したりしてもよい。また、図５に示した状態遷移図の各ノードへの状態遷移中、所定時間以上イベントが発生しなかった場合、リスク判定部１４は、レベルをレベル１にリセットしてもよい。
（処理手順）
次に、図６を用いて分析装置１０の処理手順を説明する。
まず、受信部１１は、認証装置１からアクセスログを受信し（Ｓ１）、系列抽出部１２は、受信部１１で受信したアクセスログをユーザごとに分類する（Ｓ２）。例えば、系列抽出部１２は、受信部１１で受信したアクセスログ群のうち、アクセス元のＩＰアドレスやＩＰアドレスレンジが同じアクセスログ同士をまとめる。
次に、算出部１３は、Ｓ２でユーザごとに分類されたアクセスログについて、ユーザごとに直近の２つのアクセスログの認証情報の類似度を算出する（Ｓ３）。例えば、算出部１３は図３、図４に示した方法により、ユーザごとに時系列で連続する２つのアクセスログに含まれる認証情報の類似度を算出する。
ここで算出部１３が算出した類似度が所定値以上であれば（Ｓ４でＹｅｓ）、そのアクセスログに含まれる認証情報は人間による入力であると推定し（Ｓ５）、類似度が所定値未満であれば（Ｓ４でＮｏ）、そのアクセスログに含まれる認証情報は機械による入力であると推定する（Ｓ６）。そして、算出部１３はその推定結果をリスク判定部１４へ出力する。
その後、リスク判定部１４は、系列抽出部１２で分類された各ユーザのアクセスログにおける認証結果と、算出部１３による当該ユーザのアクセスログの認証情報の推定結果とに基づき、各ユーザが攻撃元となっている可能性の高さ（レベル）を判定する（Ｓ７）。例えば、リスク判定部１４は、図５に示した方法により各ユーザが攻撃元となって発生している攻撃リスクの高さ（レベル）を判定する。
そして、リスク判定部１４は、Ｓ７で判定したレベルが所定値以上のユーザのユーザ識別子を出力する（Ｓ８）。例えば、リスク判定部１４は、図５に示した方法により判定したレベルが「３」以上のユーザのユーザ識別情報を出力する。また、Ｓ８の後、Ｓ２でユーザごとに分類したアクセスログのうち、まだ類似度を算出していないアクセスログがあれば（Ｓ９：ログ終了でＮｏ）、Ｓ３へ戻る。一方、Ｓ２でユーザごとに分類したアクセスログのすべてについて類似度を算出済みであれば（Ｓ９：ログ終了でＹｅｓ）、処理を終了する。分析装置１０は、以上の処理を、Ｓ２で分類した各ユーザのアクセスログについて実行する。なお、分析装置１０は、各ユーザのアクセスログを順番に処理してもよいし、各ユーザのアクセスログを並列に処理してもよい。この場合、分析装置１０は、算出部１３およびリスク判定部１４を並列度に応じて複数備えているものとする。
このようにすることで、分析装置１０は、リスト型攻撃が行われている場合でも、これを検知することができる。具体的には、分析装置１０は、各ユーザがリスト型攻撃の攻撃元となっている可能性の高さ（レベル）や、リスト型攻撃の攻撃元となっている可能性の高いユーザのユーザ識別子を出力することができる。さらに、分析装置１０は、攻撃の検知に、認証の成否、認証失敗時の理由、認証情報の入力の推定結果を用いるので、攻撃者が通常のログインにみせかけるためログインの試行回数をゆっくりにした場合であっても、攻撃を検知しやすくなる。
（その他の実施形態）
なお、分析装置１０は、図１に示す匿名ＩＰ蓄積部１５をさらに備えていてもよい。この匿名ＩＰ蓄積部１５は、複数のユーザ間で利用されている可能性が高いＩＰアドレスを蓄積する。そして、受信部１１は、認証装置１から受信したアクセスログのうち、匿名ＩＰ蓄積部１５に蓄積されたＩＰアドレスと同じＩＰアドレスまたはＩＰアドレスレンジのアクセスログを除去して、系列抽出部１２へ出力する。受信部１１がこのような処理を行うことで、系列抽出部１２はアクセスログにおけるアクセス元のＩＰアドレスやＩＰアドレスレンジに基づき、同じユーザからのアクセスログ群をまとめることができる。
この匿名ＩＰ蓄積部１５に蓄積されるＩＰアドレス（匿名ＩＰアドレス）は、例えば、Tor（The onion router）、Proxyサーバ、携帯キャリア、公衆アクセスポイント等に用いられるＩＰアドレスである。
この匿名ＩＰ蓄積部１５に蓄積される匿名ＩＰアドレスは、例えば、図７に示すように、取得部（図１において図示省略）が、Torリスト、公開Proxyリストや、携帯キャリアＩＰアドレスレンジ、その他手動入力等により入手し、蓄積する。また、取得部は、これらのＩＰアドレスを入手するとき、ＩＰアドレスの取得元ごとに決められた入手方法、時間間隔で入手してもよい。
例えば、取得部は、図７の符号５０１に示す匿名ＩＰアドレス入手情報を参照し、Torリストの提供サイトから３０分ごとにＩＰアドレス（ＩＰアドレスのリスト）を入手し、匿名ＩＰ蓄積部１５に蓄積する。また、取得部は、図７の符号５０１に示す匿名ＩＰアドレス入手情報を参照し、携帯キャリアＩＰアドレスレンジから随時手動入力でＩＰアドレス（ＩＰアドレスのリスト）を入手し、匿名ＩＰ蓄積部１５に蓄積する。
（プログラム）
また、上記実施形態に係る分析装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成し、実行することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータに読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、分析装置１０と同様の機能を実現する分析プログラムを実行するコンピュータの一例を説明する。
図８は、分析プログラムを実行するコンピュータを示す図である。図８に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central Processing Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１およびＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
ここで、図８に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した分析装置１０は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
また、分析プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明した分析装置１０が実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。
また、分析プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
なお、分析プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、制御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
１ 認証装置
１０ 分析装置
１１ 受信部
１２ 系列抽出部
１３ 算出部
１４ リスク判定部
１５ 匿名ＩＰ蓄積部

Claims (9)

  1. ユーザの認証結果および認証情報を含むアクセスログを分析する分析装置であって、
    前記アクセスログのうち、同じアクセス元のアクセスログをまとめる抽出部と、
    前記アクセスログのうち、同じアクセス元の複数のアクセスログにおける認証情報の類似度を算出し、前記算出した類似度が所定値以上であるとき、前記アクセスログの認証情報が人間の入力によるものであると推定する算出部と、
    前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記算出部において、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定する判定部と
    を備えることを特徴とする分析装置。
  2. 前記算出部は、同じアクセス元の時系列に連続した複数のアクセスログにおける認証情報の類似度を算出することを特徴とする請求項１に記載の分析装置。
  3. 前記抽出部は、前記同じアクセス元のアクセスログのうち、時間間隔が所定時間未満のアクセスログについては同じアクセス元のアクセスログとしてまとめ、時間間隔が所定時間以上のアクセスログについては新たなアクセス元のアクセスログとしてまとめることを特徴とする請求項１に記載の分析装置。
  4. 前記抽出部は、前記アクセスログのうち、複数のユーザにより利用される可能性が高いＩＰアドレスを送信元とするアクセスログ以外のアクセスログに対し、前記アクセスログをまとめる処理を行うことを特徴とする請求項１に記載の分析装置。
  5. 前記算出部は、前記類似度の算出の対象となる認証情報間で、異なる文字、数字または記号の入力装置上での配置位置が近い、または、入力操作が類似しているものほど、前記類似度を高く算出することを特徴とする請求項１に記載の分析装置。
  6. 前記判定部は、同じアクセス元のアクセスログについて、連続して２回以上、前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記算出部において、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセス元が攻撃元となっている可能性があると判定することを特徴とする請求項１に記載の分析装置。
  7. ユーザの認証結果および認証情報を含むアクセスログを生成する認証装置と、前記アクセスログを分析する分析装置とを備える分析システムであって、
    前記分析装置は、
    前記アクセスログのうち、同じアクセス元のアクセスログをまとめる抽出部と、
    前記アクセスログのうち、同じアクセス元の複数のアクセスログにおける認証情報の類似度を算出し、前記算出した類似度が所定値以上であるとき、前記アクセスログの認証情報が人間の入力によるものであると推定する算出部と、
    前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記算出部において、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定する判定部と
    を備えることを特徴とする分析システム。
  8. ユーザの認証情報を含むアクセスログを分析する分析装置が実行する分析方法であって、
    前記アクセスログのうち、同じアクセス元のアクセスログをまとめるステップと、
    前記アクセスログのうち、同じアクセス元の複数のアクセスログにおける認証情報の類似度を算出し、前記算出した類似度が所定値以上であるとき、前記アクセスログの認証情報が人間の入力によるものであると推定するステップと、
    前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定するステップと
    を含んだことを特徴とする分析方法。
  9. ユーザの認証結果および認証情報を含むアクセスログのうち、同じアクセス元のアクセスログをまとめる抽出部と、
    前記アクセスログのうち、同じアクセス元の複数のアクセスログにおける認証情報の類似度を算出し、前記算出した類似度が所定値以上であるとき、前記アクセスログの認証情報が人間の入力によるものであると推定する算出部と、
    前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記算出部において、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定する判定部と
    を備える分析装置としてコンピュータを機能させるための分析プログラム。
JP2016556526A 2014-10-28 2015-10-22 分析装置、分析システム、分析方法、および、分析プログラム Active JP6200101B2 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2014219276 2014-10-28
JP2014219276 2014-10-28
PCT/JP2015/079796 WO2016068007A1 (ja) 2014-10-28 2015-10-22 分析装置、分析システム、分析方法、および、分析プログラム

Publications (2)

Publication Number Publication Date
JPWO2016068007A1 JPWO2016068007A1 (ja) 2017-04-27
JP6200101B2 true JP6200101B2 (ja) 2017-09-20

Family

ID=55857346

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2016556526A Active JP6200101B2 (ja) 2014-10-28 2015-10-22 分析装置、分析システム、分析方法、および、分析プログラム

Country Status (3)

Country Link
US (1) US10262122B2 (ja)
JP (1) JP6200101B2 (ja)
WO (1) WO2016068007A1 (ja)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6564137B2 (ja) * 2016-06-01 2019-08-21 日本電信電話株式会社 検知装置、検知方法、検知システム、および検知プログラム
US11102207B2 (en) * 2017-11-21 2021-08-24 T-Mobile Usa, Inc. Adaptive greylist processing
US11606372B2 (en) 2017-12-19 2023-03-14 T-Mobile Usa, Inc. Mitigating against malicious login attempts
US11843633B2 (en) * 2018-07-25 2023-12-12 Nippon Telegraph And Telephone Corporation Analysis device, analysis method, and analysis program
JP7231024B2 (ja) * 2019-06-06 2023-03-01 富士通株式会社 情報処理プログラム、情報処理方法、および情報処理装置
CN112069424A (zh) * 2019-06-10 2020-12-11 北京国双科技有限公司 访问行为数据分析方法及装置
US20220247750A1 (en) * 2021-01-29 2022-08-04 Paypal, Inc. Evaluating access requests using assigned common actor identifiers

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH09212458A (ja) * 1996-01-30 1997-08-15 Toshiba Corp パスワード認証方法
US7032026B1 (en) * 2001-08-31 2006-04-18 Oracle International Corp. Method and apparatus to facilitate individual and global lockouts to network applications
US8132018B2 (en) * 2005-06-30 2012-03-06 Intel Corporation Techniques for password attack mitigation
US8613097B2 (en) * 2006-08-31 2013-12-17 Red Hat, Inc. Methods and systems for detecting an access attack
JP5098487B2 (ja) * 2007-07-26 2012-12-12 富士ゼロックス株式会社 認証情報処理装置及びプログラム
US8312540B1 (en) * 2008-06-13 2012-11-13 Juniper Networks, Inc. System for slowing password attacks
JP5365120B2 (ja) * 2008-09-25 2013-12-11 富士通株式会社 情報処理装置、情報処理方法、およびプログラム
JP6201614B2 (ja) * 2013-10-11 2017-09-27 富士通株式会社 ログ分析装置、方法およびプログラム

Also Published As

Publication number Publication date
WO2016068007A1 (ja) 2016-05-06
JPWO2016068007A1 (ja) 2017-04-27
US20170308688A1 (en) 2017-10-26
US10262122B2 (en) 2019-04-16

Similar Documents

Publication Publication Date Title
JP6200101B2 (ja) 分析装置、分析システム、分析方法、および、分析プログラム
US10178107B2 (en) Detection of malicious domains using recurring patterns in domain names
US10721244B2 (en) Traffic feature information extraction method, traffic feature information extraction device, and traffic feature information extraction program
US9813451B2 (en) Apparatus and method for detecting cyber attacks from communication sources
US9479524B1 (en) Determining string similarity using syntactic edit distance
CN107408181B (zh) 恶意软件感染终端的检测装置、恶意软件感染终端的检测系统、恶意软件感染终端的检测方法以及记录介质
JP5972401B2 (ja) 攻撃分析システム及び連携装置及び攻撃分析連携方法及びプログラム
JP6201614B2 (ja) ログ分析装置、方法およびプログラム
US8549314B2 (en) Password generation methods and systems
JP6697123B2 (ja) プロファイル生成装置、攻撃検知装置、プロファイル生成方法、および、プロファイル生成プログラム
KR102271449B1 (ko) 인공지능 모델 플랫폼 및 인공지능 모델 플랫폼 운영 방법
TW201931187A (zh) 統一資源定位符（ｕｒｌ）攻擊檢測方法、裝置及電子設備
Kyaw et al. Dictionary attack on Wordpress: Security and forensic analysis
CN113656807B (zh) 一种漏洞管理方法、装置、设备及存储介质
CN107547490B (zh) 一种扫描器识别方法、装置及系统
JP6039826B2 (ja) 不正アクセスの検知方法および検知システム
WO2016080232A1 (ja) 悪性通信パターン抽出装置、悪性通信パターン抽出方法、および、悪性通信パターン抽出プログラム
JPWO2018066221A1 (ja) 分類装置、分類方法及び分類プログラム
US10348751B2 (en) Device, system and method for extraction of malicious communication pattern to detect traffic caused by malware using traffic logs
US10972500B2 (en) Detection system, detection apparatus, detection method, and detection program
Mohammadmoradi et al. Making whitelisting-based defense work against badusb
Aswani et al. Topic modeling of SSH logs using latent dirichlet allocation for the application in cyber security
CN115906055A (zh) 基于密码库比对带有自动校准功能的密码测评方法和系统
JP6935849B2 (ja) 学習方法、学習装置及び学習プログラム
Lee et al. DGA-based malware detection using DNS traffic analysis

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20161207

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20170822

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20170824

R150 Certificate of patent or registration of utility model

Ref document number: 6200101

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150