JP6690674B2 - 不正アクセス検出システム、不正アクセス検出方法および不正アクセス検出プログラム - Google Patents

Description

本発明は、不正アクセスを検出する不正アクセス検出システム、不正アクセス検出方法および不正アクセス検出プログラムに関する。特に、情報システムへの目的外操作による不正アクセスを検出する不正アクセス検出システム、不正アクセス検出方法および不正アクセス検出プログラムに関する。

現在の情報セキュリティには、例えば下記のような課題がある
（１）「保護すべき情報の増加・多様化のスピードが早い（情報保護要件の拙速な強化）」
（２）「防御者（セキュリティ技術者）の不足」
（３）「防護にかかるコスト（作業量）の増加」
かつては、保護・保全すべき情報量が少なく、また種類も少なかったため、パスワードは参照できない、ＤＢの更新・削除は出来ないといった、「権限範囲」に関して単純なアクセス権のみで保護することが可能であった（ＤＢ：Ｄａｔａｂａｓｅ）。

しかし、現在は、保護すべき情報の多様化・増加により、かつてのような単純なアクセス権では対応できない事例が多数上がっている。例えば、著名人の本籍・年金未払い情報の不正参照や、ＩＴ企業のサーバ管理者による技術情報の不正取得とそれに伴う流出などを例としてあげられる（ＩＴ：Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）。これらの事件は、「参照権限を持っているシステム利用者が、本来参照すべきでない機密情報に目的外アクセスした」ことにより発生している。これらの事象は、「権限付与・削除」といったこれまでのアクセス権管理では対応できず、問題発覚後にログを解析することによって、不正を突き止める事となった。

以上のような「目的外操作・参照」による不正を防ぐには、２つの方法がある。一つは、事前に操作できないようにすることであり、もう一つは、事後に不正を検出する方法である。

事前に操作を出来なくするにはアクセス権粒度を細かく複雑に設定できるようにする必要がある。具体例を上げるならば、「１回のアクセス権付与で参照できるレコードは１つのみ」とすることである。このような設定を実現するためには、既存システムのアクセス権設定機能を強化する必要があるが、「昨日は参照してよかった情報が、今日は不可になった」といった昨今の「情報保護要件の拙速な強化」にシステム改造が追い付いていくことは難しい。

また、事後に不正アクセス検出を行うためには、アクセスログを常に監視する必要がある。しかしながら、時に膨大な量となるアクセスログに対して目的外操作の有無を監視することは、作業量の増加、ログ解析が可能な技術者の不足によって現実的ではなかった。

特許文献１ユーザに負担をかけることなく複雑な電子機器のセキュリティの維持管理を実現する電子機器のセキュリティ監視装置について開示されている。特許文献１のセキュリティ監視装置は、過去のアクセスログをセキュリティ管理情報として蓄積管理し、現在のアクセスが通常のアクセスと異なるか否かをチェックし、異なる場合に警告を発する。

特許文献２には、情報処理装置が管理する情報を不正なアクセスから保護する場合に好適なアクセス制御システムについて開示されている。特許文献２のアクセス制御システムは、特定のユーザが特定のプログラムを使用した場合に限り特定のファイルへのアクセスを許可するといったポリシーを用い、そのポリシーに基づいたアクセス制御を行う。

特許文献３には、コンピュータシステムに対する不正アクセスを検出する不正アクセス装置について開示されている。特許文献３の不正アクセス検出装置は、社内ネットワークにアクセスするユーザからのアクセスに関する申告内容を記憶し、ユーザ端末と社内ネットワークとの間のアクセスログと申告内容との比較結果に基づいて不正アクセスを検出する。

特許文献４には、ネットワークに接続されているコンピュータ装置への不正なアクセスを検出する不正アクセス検出装置について開示されている。特許文献４の不正アクセス検出装置は、作業端末から入力した情報と利用時間を設定した端末利用情報と、業務サーバと作業端末との接続時間を設定したログデータとを突合せ、合致する端末利用情報がないログデータにより不正アクセスを検出する。また、特許文献４の不正アクセス検出装置は、承認された作業内容を示す申請作業内容情報と端末利用情報とを突合せ、合致する申請作業内容情報がない端末利用情報により不正アクセスを検出する。

特許文献５には、業務情報システムの情報セキュリティを向上させることができるようにした業務情報防御装置について開示されている。特許文献５の業務情報防御装置は、アクセスログの内容と、そのアクセスログに紐付けられた申請ナンバーに対応する作業予定情報とを比較して不正アクセスがなされているかをチェックする。

特開２０００−１４８２７６号公報 特開２００１−３３７８６４号公報 特開２００４−２１３４７６号公報 特開２０１２−１３３４０７号公報 特開２０１２−２０３６２４号公報

特許文献１のセキュリティ管理装置によれば、ユーザ認証情報が漏洩したような場合でも、セキュリティの維持管理を強固に行うことができる。しかしながら、特許文献１のセキュリティ管理装置においては、申請という行為を伴わないため、目的外レコードに対する参照は検出できないという問題点がある。

特許文献２のアクセス制御システムによれば、ネットワークからの侵入者がいかなるユーザ権限を利用して不正なファイル読み出しや書き込みを試みようとしてアクセスしても、そのアクセスを抑止することができる。しかしながら、特許文献２のアクセス制御システムにおいては、ファイルレベルでのアクセス制御は可能となるものの、レコードレベルおよび操作目的視点での監視ができないという問題点があった。

特許文献３の不正アクセス検出装置によれば、ユーザ認証をクリアした不正なアクセスをユーザの申告内容に基づいて検出することができる。しかしながら、特許文献３の不正アクセス検出装置においては、アクセスおよび利用サービスの選択に関する不正アクセスに関しては検出できるものの、サービス（業務システム）内の操作に関する不正アクセスまでは検出できないという問題点があった。

特許文献４の不正アクセス検出装置によれば、不正アクセスパターンの管理を必要とせず、目的までも考慮して不正アクセスを検出することができる。しかしながら、特許文献４の不正アクセス検出装置は、業務サーバが解析可能なログを出力することが前提となっており、既存システムに対してログ出力を含めてセキュリティ強化改造が困難な場合には対応できないという問題点があった。

特許文献５の業務情報防御装置によれば、業務情報システムの情報セキュリティを高め、かつ、そのアクセスルールを管理しやすくできる。しかしながら、特許文献５の業務情報防御装置は、アクセスログから申請内容への逆変換が容易である場合には適するものの、アクセスログから申請内容への逆変換が困難である場合には適さないという問題点があった。

本発明の目的は、上述した課題を解決するため、既存システムへの更新なしに、情報システムへの目的外操作を自動的に検出することを可能とする不正アクセス検出システムを提供することにある。

本発明の不正アクセス検出システムは、単一の接続経路で情報システムに接続された利用者端末から出力された情報システムの利用申請を取得し、取得した利用申請の内容から予想されるログメッセージである予想アクセスログを生成するアクセスログ予想手段と、利用申請に基づいて設定されたアクセス権を行使して情報システムを利用する利用者端末によって実際に行われた操作のログメッセージである実アクセスログを取得するアクセスログ取得手段と、アクセスログ予想手段によって生成された予想アクセスログと、アクセスログ取得手段によって取得された実アクセスログとを照合した結果を情報システムへの接続を管理する管理端末に出力する照合手段とを備える。

本発明の不正アクセス検出方法においては、単一の接続経路で情報システムに接続された利用者端末から出力された情報システムの利用申請を取得し、取得した利用申請の内容から予想されるログメッセージである予想アクセスログを生成し、利用申請に基づいて設定されたアクセス権を行使して情報システムを利用する利用者端末によって実際に行われた操作のログメッセージである実アクセスログを取得し、アクセスログ予想手段によって生成された予想アクセスログと、アクセスログ取得手段によって取得された実アクセスログとを照合した結果を情報システムへの接続を管理する管理端末に出力する。

本発明の不正アクセス検出プログラムは、単一の接続経路で情報システムに接続された利用者端末から出力された情報システムの利用申請を取得し、取得した利用申請の内容から予想されるログメッセージである予想アクセスログを生成する処理と、利用申請に基づいて設定されたアクセス権を行使して情報システムを利用する利用者端末によって実際に行われた操作のログメッセージである実アクセスログを取得する処理と、アクセスログ予想手段によって生成された予想アクセスログと、アクセスログ取得手段によって取得された実アクセスログとを照合した結果を情報システムへの接続を管理する管理端末に出力するする処理とをコンピュータに実行させる。

本発明によれば、既存システムへの更新なしに、情報システムへの目的外操作を自動的に検出することが可能になる。

本発明の第１の実施形態に係る不正アクセス検出システムの構成を示すブロック図である。 本発明の第１の実施形態に係る不正アクセス検出システムの構成の詳細を示すブロック図である。 本発明の第１の実施形態に係る不正アクセス検出システムの動作を説明するためのフローチャートである。 本発明の第２の実施形態に係る不正アクセス検出システムの構成の詳細を示すブロック図である。 本発明の第２の実施形態に係るメールシステムにおけるメールサーバ上に格納されたメールの参照権限を説明するための概念図である。 本発明の第２の実施形態に係る不正アクセス検出システムが受け付ける利用申請フォーマットの一例を示す図である。 本発明の第２の実施形態に係る不正アクセス検出システムが収集する利用者端末によるメールサーバへのアクセスログの一例を示す図である。 本発明の第２の実施形態に係る不正アクセス検出システムのマッピングデータベースが格納する操作アクセスログマッピングログの一例を示す図である。 本発明の第２の実施形態に係る不正アクセス検出システムが受け付ける利用申請の記入例を示す図である。 本発明の第２の実施形態に係る不正アクセス検出システムが収集する利用者端末によるメールサーバへのアクセスログの一例を示す図である。 本発明の第２の実施形態に係る不正アクセス検出システムによるアクセスログ予想処理について説明するためのフローチャートである。 本発明の第２の実施形態に係る不正アクセス検出システムの出力アクセスログ予想手段によって出力される予想ログデータの一例を示す図である。 本発明の第２の実施形態に係る不正アクセス検出システムの出力アクセスログ予想手段によって予想アクセスログ管理データベースに格納される予想ログデータ管理テーブルの一例を示す図である。 本発明の第２の実施形態に係る不正アクセス検出システムによるログ照合処理について説明するためのフローチャートである。 本発明の第２の実施形態に係る不正アクセス検出システムによるログ照合処理について説明するためのフローチャートである。 本発明の第２の実施形態に係る不正アクセス検出システムのログ照合手段によってログ照合管理ＤＢに格納されるログの一例を示す図である。

以下に、本発明を実施するための形態について図面を用いて説明する。ただし、以下に述べる実施形態には、本発明を実施するために技術的に好ましい限定がされているが、発明の範囲を以下に限定するものではない。なお、以下の実施形態の説明に用いる全図においては、特に理由が無い限り同様箇所に同一符号を付す。また、以下の実施形態において、同様の構成・動作に関しては繰り返しの説明を省略する場合がある。

（第１の実施形態）
（構成）
まず、図面を用いて、本発明の第１の実施形態に係る不正アクセス検出システム１の構成について説明する。

図１は、本発明の第１の実施形態に係る不正アクセス検出システム１の基本構成と、不正アクセス検出システム１と各システム・端末装置との相互関係を示すブロック図である。図２は、各システムの内部構成の詳細を示すブロック図である。

不正アクセス検出システム１は、アクセス経路を単一に限定した上で利用者の操作をアクセスログに残す。また、不正アクセス検出システム１は、利用者が予め申請した作業内容から出力されるアクセスログを予想する。そして、不正アクセス検出システム１は、実際に出力されたアクセスログ（実アクセスログ）と予想したアクセスログ（予想アクセスログ）とを照合することによって、目的外操作の有無を自動確認する。

不正アクセス検出システム１の構成について説明する前に、不正アクセス検出システム１に関係する各システム・端末装置の構成について説明する。

（業務システム）
業務システム１００は、利用者端末６０を用いた目的外操作を検知する対象となる情報システムである。業務システム１００は、保護されるべき情報をデータベースとして持つ。なお、業務システム１００が実行する処理内容自体については特に限定を加えない。また、業務システム１００は、単一システムとして構成されてもよいし、複数システムの集合として構成されてもよい。

業務システム１００は、業務装置１０１と業務システムデータベース１０３（以下、業務システムＤＢ１０３）とを含む（ＤＢ：Ｄａｔａｂａｓｅ）。

業務装置１０１は、業務システム１００が実行する業務処理を行う装置である。なお、本実施形態において、業務装置１０１は、データアクセスに対する利用者単位でのアクセス権制御機能と、アクセスログ出力機能とを持つものとする。

業務システムＤＢ１０３は、業務システム１００に関する保護されるべき情報を格納する。

（利用者端末）
利用者端末６０は、業務システム１００にアクセスして操作を行うユーザが利用する端末装置である。

利用者端末６０は、ユーザが業務システム１００を利用する際に、ユーザによって記入された利用申請を管理端末６０に出力する。利用申請とは、利用者が行う予定の業務システム１００への操作を記録する申請書である。利用申請に基づいた申請内容登録が業務システム１００になされている場合、利用者端末６０は、与えられたアクセス権に従って業務システム１００にアクセスできる。

例えば、利用申請は、利用者端末６０が業務システム１００に接続する日時（時間）が記入する欄を含む。また、利用申請は、例えば利用者端末６０を識別するための識別子を記入する欄を含む項目、利用者端末６０に与えられるアクセス権限の範囲を識別するための識別子を記入する欄を含む項目を含む。また、利用申請は、例えば利用者端末６０が業務システム１００に接続した際に行う操作に関する情報を記入する欄を含む少なくとも一つの項目を含む。

（管理端末）
管理端末７０は、業務システム１００のアクセス権変更権限を持つ管理者によって利用される端末装置である。

管理端末７０は、利用者端末６０から受け取った利用申請を許可する場合、利用申請に基づいた申請内容登録を業務システム１００に行うとともに、不正アクセス検出システム１に利用申請を出力する。

また、管理端末７０は、不正アクセス検出システム１によって出力された照合結果を受け取る。

利用者端末６０および管理端末７０は、例えば、デスクトップＰＣやノートＰＣ、タブレット、スマートフォン、携帯端末などの端末装置によって実現される（ＰＣ：Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）。利用者端末６０および管理端末７０を実現する装置は、中央演算処理装置、揮発性メモリ、不揮発性メモリ、補助記憶装置、入出力装置、通信装置などを有し、適切なオペレーティングシステムによって動作する情報処理装置である。利用者端末６０および管理端末７０には、ユーザの操作を受け付けるキーボードやタッチパネル、マウスなどの入力装置、操作画面を表示するためのディスプレイなどの表示装置といった周辺機器を接続または内蔵できる。なお、利用者端末６０および管理端末７０は、上記のものに限定されず、例えば専用の端末装置として開発されたものであってもよいし、汎用の装置に専用のアプリケーションをダウンロードして実現されるものであってもよい。

（アクセス管理システム）
アクセス管理システム５０は、利用者端末６０による業務システム１００へのアクセスを単一の経路にまとめるシステムである。

アクセス管理システム５０は、アクセス申請システム５１とアクセス元選別システム５５とを含む。

アクセス中継システム５１は、業務システム１００への利用者の操作を中継し、実際の操作内容を記録する中継記録装置５２を含み、業務システム１００と利用者端末６０との間で操作を中継する機能を持つ。利用者端末６０は、アクセス中継システム５１を通じて業務システム１００を利用する。後述のアクセス元選別システム５５と合わせて、業務システム１００への接続経路を単一にまとめる。アクセス中継システム５１は、認証機能やセッション管理機能による成り済まし防止機能を持ち、不正操作を強力に防止する。

アクセス元選別システム５５は、アクセス中継システム５１を経由しない操作業務システム１００へのアクセスを遮断する。

なお、図１などには、本実施形態に係る不正アクセス検出システム１の外部にアクセス管理システム５０が存在するように描いているが、アクセス管理システム５０を不正アクセス検出システム１に含むように構成してもよい。

（不正アクセス検出システム）
不正アクセス検出システム１は、利用者端末６０によるアクセス管理システム５０を通じた業務システム１００へのアクセスにおける申請内容外操作を不正アクセスとして検出するシステムである。

不正アクセス検出システム１は、アクセスログ予想手段１０と、アクセスログ取得手段２０と、照合手段３０とを含む。

〔アクセスログ予想手段〕
アクセスログ予想手段１０は、利用者端末６０から管理端末７０に対して出力された利用申請を管理端末７０から取得し、取得した利用申請に基づいて許可されるユーザの操作から予想アクセスログ（以下、予想ログ）を生成する。

すなわち、アクセスログ予想手段１０は、単一の接続経路で業務システム１００（情報システム）に接続された利用者端末６０から出力された利用申請を取得し、取得した利用申請の内容から予想されるログメッセージである予想ログを生成する。

アクセスログ予想手段１０は、利用申請受付手段１１、利用申請管理データベース１３、マッピングデータベース１５、出力アクセスログ予想手段１７、予想アクセスログ管理データベース１９を有する。

利用申請受付手段１１は、管理端末７０から利用申請を取得し、取得した利用申請を利用申請管理データベース（以下、利用申請管理ＤＢ１３）に登録する。

利用申請管理ＤＢ１３は、管理端末７０から取得した利用申請の内容を格納するデータベースである。

マッピングデータベース１５（以下、マッピングＤＢ１５）は、利用申請の内容に基づいた処理をアクセスログに変換するための情報を管理するマッピングテーブルを格納する。

マッピングテーブルは、例えば、利用申請に含まれる項目、サブ項目、ログ種別、出力値、比較フラグを含むレコードによって構成される。出力値は、利用申請の内容に基づいた操作によって出力されるログメッセージに相当する。ログ種別は、出力値の種別に相当する。比較フラグは、出力値の特性を示す。サブ項目は、項目ごとの出力値に対応して設定される番号である。

出力アクセスログ予想手段１７は、マッピングテーブルに格納された情報を参照し、利用申請管理ＤＢ１３に格納された利用申請の内容に基づいて、利用者端末６０が利用申請の内容通りにアクセスした場合の予想ログを生成する。

予想ログには、利用申請にある日付と、出力値とが含まれる。出力アクセスログ予想手段１７は、生成した予想ログと、各予想ログの特性を示す比較制御フラグ（以下、比較フラグ）とを対応付けた予想ログデータを予想アクセスログ管理データベース１９に出力する。

予想アクセスログ管理データベース１９は、出力アクセスログ予想手段１７から出力された予想ログデータを格納する。予想アクセスログ管理データベース１９は、例えば、少なくとも一つの予想ログデータをレコードとして含む予想ログデータ管理テーブルによって、各予想ログデータを管理する。

〔アクセスログ取得手段〕
アクセスログ取得手段２０は、アクセス管理システム５０によって単一化されたアクセス経路を通じた利用者端末６０による業務システム１００へのアクセスに関するアクセスログをアクセス管理システム５０から取得する。

すなわち、アクセスログ取得手段２０は、利用申請に基づいて設定されたアクセス権を行使して業務システム１００（情報システム）を利用する利用者端末６０によって実際に行われた操作のログメッセージである実アクセスログを取得する。

アクセスログ取得手段２０は、実アクセスログ収集手段２１、実アクセスログ管理データベース２３（以下、実アクセスログ管理ＤＢ２３）を有する。

実アクセスログ収集手段２１は、アクセス申請システム５１から出力された利用者端末６０による業務システム１００へのアクセスログ５３を取得する。実アクセスログ収集手段２１は、取得したアクセスログ５３を実アクセスログ管理ＤＢ２３に格納する。

実アクセスログ管理ＤＢ２３は、実アクセスログ収集手段２１によって取得されたアクセスログ５３を格納する。

〔照合手段〕
照合手段３０は、利用者端末６０が実際に操作した内容が含まれる実アクセスログが予想アクセスログに含まれるか否かを照合し、照合結果を管理端末７０に出力する。

すなわち、照合手段３０は、アクセスログ予想手段１０によって生成された予想アクセスログと、アクセスログ取得手段２０によって取得された実アクセスログとを照合した結果を業務システム１００（情報システム）への接続を管理する管理端末６０に出力する。

照合手段３０は、ログ照合手段３１、ログ照合管理データベース３３、照合結果出力手段３５を有する。

ログ照合手段３１は、実アクセスログ管理ＤＢ２３に格納された実アクセスログと、予想アクセスログ管理ＤＢ１９に格納された予想ログデータに含まれる予想ログとを比較する。ログ照合手段３１は、実アクセスログと予想ログとの間に予実差がある場合、予想ログとして照合されない差分のログ（以下、目的外操作ログ）をログ照合管理データベース３３（以下、ログ照合管理ＤＢ３３）に出力する。

ログ照合管理ＤＢ３３は、ログ照合手段３１によって出力された目的外操作ログを格納する。

照合結果出力手段３５は、ログ照合管理ＤＢ３３に格納された目的外操作ログを照合結果として管理端末７０に出力する。

以上が、本実施形態に係る不正アクセス検出システム１の構成についての説明である。

（動作）
次に、本実施形態に係る不正アクセス検出システム１の動作について図３のフローチャートを用いて説明する。なお、以下の動作において、各処理の開始終了制御や情報の伝達に関する制御などについては、システムの制御装置（図示しない）が行うものとするが、制御装置に対する入出力と併せて説明は省略する。

図３において、まず、利用者端末６０は、管理端末７０に対して利用申請を出力する（ステップＳ１１）。ステップＳ１１の処理は、業務システム１００にアクセス可能なユーザ（利用者端末６０）が、業務システム１００に対して実施しようとする操作を管理者（管理端末７０）に「利用申請」として伝達することに相当する。

管理端末７０は、利用申請の内容を利用申請受付手段１１に入力する（ステップＳ１２）。なお、管理端末７０によって利用申請の内容を利用申請受付手段１１に入力する処理は、申請内容登録と呼ぶ。このとき、利用申請受付手段１１は、利用申請の内容を利用申請管理ＤＢ１３に記録する。

管理端末７０は、業務システム１００に対して、利用者端末６０が業務システム１００するためのアクセス権を付与する（ステップＳ１３）。ステップ１３の処理は、管理者（管理端末７０）が、業務システム１００に対し、ユーザ（利用者端末６０）へのアクセス権付与を行うことに相当する。

利用者端末６０は、アクセス中継システム５０を経由して、アクセス権が設定された業務システム１００にアクセスする（ステップＳ１４）。ステップＳ１４の処理は、ユーザ（利用者端末６０）が、アクセス中継システム５１を経由して業務システム１００を使用することに相当する。このとき、アクセス中継システム５１は、ユーザの操作（利用者端末６０）をアクセスログ５３に記録する。

図３のフローチャートでは、この段階でユーザによる業務システム１００の利用が終了したものとする。

次に、管理端末７０は、業務システム１００に対し、利用者端末６０のアクセス権を削除する（ステップＳ１５）。ステップＳ１５の処理は、管理者（管理端末７０）が、業務システム１００に対し、ユーザ（利用者端末６０）のアクセス権を削除する処理に相当する。

実アクセスログ収集手段２１は、アクセスログ５３の内容を収集し、実アクセスログ管理ＤＢ２３に格納する（ステップＳ１６）。

次に、出力アクセスログ予想手段１７は、アクセスログ予想処理を実行する（ステップＳ１７）。

アクセスログ予想処理において、出力アクセスログ予想手段１７は、マッピングＤＢ１５に格納されたマッピングテーブルの情報を基に、利用申請管理ＤＢ１３に格納された利用申請に従った操作をアクセスログ（予想ログ）に変換する。出力アクセスログ予想手段１７は、予想ログを含む予想ログデータを予想ログデータ管理テーブルとしてまとめ、予想アクセスログ管理ＤＢ１９に格納する。

次に、ログ照合手段３１は、ログ照合処理を実行する（ステップＳ１８）。

ログ照合処理において、ログ照合手段３１は、予想アクセスログ管理ＤＢ１９から取得した予想ログデータ管理テーブルの情報と、実アクセスログ管理ＤＢ２３に格納された実アクセスログとを照合する。そして、ログ照合手段３１は、予想ログデータ管理テーブルの情報と、実アクセスログとの差分となる目的外操作ログをログ照合管理ＤＢ３３に格納する。

そして、照合結果出力手段３５は、ログ照合管理ＤＢ３３に格納された目的外操作ログをログ照合結果として管理端末７０に出力する（ステップＳ１９）。

以上が、本実施形態に係る不正アクセス検出システムの動作についての説明である。

これまでは、既存業務システムに対し、事後にアクセスログから不正操作を検出するには、アクセスログから実際の操作に逆変換する方式がとられていた。しかし、下記１〜４の点から逆変換は容易ではなく、自動化は困難であり、システムに精通した技術者の勘に頼るのが現実であった。
（１）操作に対して、アクセスログが１対１で対応しない。そのため、１つの操作で複数のアクセスログが出力され、また１つのアクセスログが複数の操作に対応する可能性をもつ場合がありえた。
（２）複数経路から、複数システムに対して、複数ユーザがアクセスする場合があり、１ユーザの１操作を特定することが困難であった。
（３）既存業務システムにおいて、アクセスログにユーザを一意に特定するログが出力されるとは限らなかった。
（４）複数の業務システム間で、アクセスログのフォーマットが異なった。

本発明の第１の実施形態に係る不正アクセス検出システムによれば、アクセス管理システムによって、利用者端末から業務システムへのアクセス経路が単一にまとめられる。また、認証機能やセッション管理機能によってなりすましを防止することができるため、利用者端末を使用するユーザを特定することができる。その結果、上記の１および２の点を解決することができる。

また、本実施形態に係る不正アクセス検出システムによれば、アクセス管理システムから出力されるアクセスログ（実アクセスログ）によってユーザを一意に特定できるため、上記の３の点を解決することができる。さらに、本実施形態に係る不正アクセス検出システムは、利用申請に基づいて予想アクセスログを作成し、作成した予想アクセスログと業務システムに接続された利用者端末の実アクセスログとを比較する。その結果、複数の業務システム間でアクセスログのフォーマットが異なる場合にも不正アクセスを検出することができるため、上記の４の点を解決することができる。

以上のように、本発明の第１の実施形態に係る不正アクセス検出システムによれば、既存システムへの更新なしに、情報システムへの目的外操作を自動的に検出することができるという効果が得られる。

また、本発明の第１の実施形態に係る不正アクセス検出システムによれば、下記１〜７のような効果が得られる。
（１）情報保護要件の強化に対して、既存業務システムに全く改造を必要としない。
（２）業務処理や実データファイルアクセスではなく、操作のログを対象とするため、業務システムの処理内容に依存せずに照合することが可能となる。
（３）手作業に頼らざるを得なかったログから操作へのマッピングに対し、操作からログへのマッピングを行った上での照合となる。そのため、複数の操作が１つのログに紐づいてしまうこれまでの方式と異なり、自動化が容易に可能となる。
（４）本実施形態に係る不正アクセス検出システムの出力アクセスログ予想手段による処理は、操作からアクセスログへの正変換であり、アクセスログから操作に逆変換するのに比較して遥かに難度が低い。そのため、経験が少ない技術者によっても対応可能であり、技術者不足の問題も解決される。
（５）申請目的以外のアクセスは事後自動で検知され、管理者に通知される。
（６）複数システムにまたがった一連の操作についても不正検知が容易に実現可能となる。
（７）ファイルレベルではなく、レコードレベルおよび操作目的視点での監視が可能になる。

（第２の実施形態）
一般に、ＩＴシステムを用いて行われる特定の業務に関して、作業に必要な権限は非常に限定的な場合が多い（ＩＴ：Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ）。しかし、システムのアクセス権管理機能によって設定可能な粒度には限界がある。その結果、作業を行うにあたって設定されるアクセス権を必要最低限に限ることができず、本来不要なアクセス権が設定されてしまうため、不正操作が行われやすい環境が生じる。

第２の実施形態としては、本発明の実施形態に係る不正アクセスシステムをメールサーバ上で行われる監査業務に適用する場合の例を示す。

第２の実施形態は、図４のように、メールサーバ１１０（メールシステムとも呼ぶ）を業務システム１００とする例である。なお、第２の実施形態において、不正アクセス検出システム１を含めた他の装置・システムは、第１の実施形態と同様であるために詳細な説明は省略する。

業務システムを構成するメールシステムは、一般的なインターネットメールサーバであり、メールの配送と保管（メールボックス）の機能をもつ。また、本実施形態で取り扱うメールシステムは、メールプロトコルを介さない直接ログイン機能やアカウント制御機能、アクセス権管理機能を持ち、保管されたメールのファイルをサーバ上で直接参照・取得することが可能である。

本実施形態に係るメールシステムを利用する企業では、部下が業務上の不正をしていると疑われる場合、上司（利用者）は、セキュリティ責任者（管理者）の許可を取った上で、メールサーバ上に保管されたメールを直接参照および取得する。このように、セキュリティ責任者の許可を取った上で、メールサーバ上に保管されたメールを直接参照および取得することを監査業務と呼ぶ。

本実施形態で扱うメールシステムの運用上の問題点として、監査業務で設定されるアクセス権が広すぎるということが挙げられる。

本実施形態におけるメールサーバ１１０上のアクセス権制御は、個人のメールボックス毎に設定することができず、組織単位にしか設定できない。そのため、監査業務用に参照権限を与えられると、同じ組織に所属する監査対象外のユーザのメールボックスも参照できてしまう。

図５に、メールサーバ１１０上に格納されたメールの参照権限を説明するための概念図を示す。

図５において、外側の領域はメールサーバ上に格納された全メールが含まれる範囲（実線）を示す。実線で囲った領域の内側には、監査業務で参照権限が与えられることによって、上司Ａが参照できるメールの範囲（破線）を示す。上司が参照できるメールの範囲（破線）に含まれる全てのメールは、上司Ａによって参照可能である。そして、上司が参照できるメールの範囲（破線）に、監査対象の部下Ｂのメールと、監査対象外の部下Ｃのメールとが含まれる。上司Ａが監査対象の部下Ｂのメールを参照することは利用申請内容の操作に相当し、上司Ａが監査対象外の部下Ｃのメールを参照することは目的外操作（不正アクセス）に相当する。

本実施形態において、監査業務は、ＳＳＨ接続によるコマンドで行われる（ＳＳＨ：Ｓｅｃｕｒｅ Ｓｈｅｌｌ）。

ユーザである上司Ａは、監査業務のため、メールサーバ１１０にＳＳＨ接続して部下Ｂのメールを参照する。また、本実施形態の例において、上司Ａは、悪意ある目的外操作として監査対象外の部下Ｃのメールを参照する。なお、ＳＳＨ接続は、アクセス中継システム５１を経由して確立される。

上司Ａのメールサーバ１１０上のユーザＩＤは「ｎｏｚａｋｉ」、組織ＩＤは「０００００１」とする。

管理者であるメールサーバのセキュリティ責任者は、メールサーバ１１０を利用するユーザのアカウントに都度一時的な管理権限を付与し、ユーザによる処理が完了すると、一時的に付与した管理権限を削除する。

部下Ｂは、監査対象となるユーザであり、メールサーバ１１０に格納された部下Ｂのメールは上司Ａによって参照されることになる。なお、部下Ｂは、本実施形態において特に作業は行わない。

部下Ｂのメールサーバ１１０上のユーザＩＤは「ｆｕｋｕｄａ」、組織ＩＤは「０００００１」とする。

部下Ｃは、監査対象外のユーザである。部下Ｃは、上司Ａが目的外操作としてメールサーバ１１０に格納されたメールを参照しようとする対象である。なお、部下Ｂは、本実施形態において特に作業は行わない。

部下Ｃのメールサーバ１１０上のユーザＩＤは「ｙａｍａｄａ」、組織ＩＤは「０００００１」とする。

ここで、本実施形態において、第２の実施形態において関係する要素を挙げる。

アクセス中継システム５１としては、利用者端末６０からメールサーバ１１０に接続する際の踏み台となるＳＳＨサーバを用いる。ＳＳＨサーバを経由して行われるコマンド操作は、アクセスログ５３として記録される。

図６には、ユーザによって記入されるメールサーバ１１０の利用申請のフォーマットの一例（利用申請フォーマット６１）を示す。利用申請は、ユーザがセキュリティ責任者に対して監査業務を行う際に提出する帳票である。利用申請には、例えば以下の１〜５の事項が記載される。
（１）業務システムの利用日
（２）監査業務を行うユーザのＩＤ
（３）監査対象となるユーザのＩＤと、その組織のＩＤ
（４）監査業務としてメールの参照を行うか否かのチェック（メールの参照を行う場合は、チェックを黒塗りにする）
（５）監査業務としてメールの取得を行うか否かのチェック（メールの取得を行う場合は、チェックを黒塗りする）
図７には、ユーザによる実際のアクセスログ（実アクセスログとも呼ぶ）の一例を示す。図７のアクセスログ５３１は、上司Ａが監査業務として部下Ｂのメールを参照した例が記載されている。アクセスログ５３１には、利用者端末６０がアクセス中継システム５１を通じてメールサーバ１１０に対して実行したコマンドが記録される。なお、図７のアクセスログ５３の枠外（左側）に書かれた数字は行数を示す。

図８には、マッピングＤＢ１５に格納されるマッピングテーブル１７０の一例を示す。マッピングＤＢ１５に格納されるマッピングテーブル１７０には、利用申請に記載されうる全ての作業に関して出力されるログメッセージの情報が格納される。また、アクセスログ５３に含まれる各ログは、「必ず最初に出力される（ｔｏｐ）」、「必ず最後に出力される（ｅｎｄ）」、「１回しか出力されない（１ｔｉｍｅ）」、「複数回出力されうる（ｍａｎｙ ｔｉｍｅ）」といった特性を持つ。マッピングテーブル１７０は、各ログの特性を「比較フラグ」として格納する。

図８のマッピングテーブル１７０が格納する情報について説明する。

項目のフィールドは、利用申請の項目に対応する数字を含む。

サブ項目のフィールドは、利用申請にある各項目に対して、複数種類のログが出力される場合に各ログの種類ごとに記載される数字を含む。

ログ種別のフィールドは、後述する出力アクセスログ予想手段１７の動作を切り分けるためのフラグを含む。

ログ種別のフラグの一つである「属性入力」は、後述する「出力値」の一部を「利用申請」にある文字列で置換することを示す。

ログ種別のフラグの一つである「固定値」は、必ず出力されることを示す。

ログ種別のフラグの一つである「選択」は、項目が選択された場合に出力されることを示し、属性入力と併用される場合がある。

出力値のフィールドは、実際にログに出力される文字列を格納する。なお、ログには、ランダムに生成されるＩＤなど、操作とは紐づかず、可変となる値が含まれる場合がある。本実施形態では、可変となる部分を「＊」として定義し、ログ照合手段３１においては、「＊」を含む可変となる部分の差異を無視するものとする。

比較フラグのフィールドは、出力値に関して、「必ず最初に出力される（ｔｏｐ）」、「必ず最後に出力される（ｅｎｄ）」、「１回しか出力されない（１ｔｉｍｅ）」、「複数回出力されうる（ｍａｎｙ ｔｉｍｅ）」といった特性の情報を格納する。比較フラグは、ログ照合手段３１の動作を切り分けるためのフラグとして利用される。

次に、具体的な例を挙げて、本実施形態について説明する。

まず、ユーザである上司Ａの本来の業務（監査業務）について説明する。上司Ａは、監査対象の部下Ｂのメールを参照することを監査業務として行う。なお、上司Ａが部下Ｃのメールを参照する操作は、ユーザの目的外操作に相当する。

ユーザ（上司Ａ）は、システム利用時に本来の運用業務を目的として、図９のような記入済み利用申請書６２を管理者（セキュリティ責任者）に提出する。図９の記入済み利用申請書６２においては、利用日および項目１〜４に関して記入されている。

一方、ユーザ（上司Ａ）は、メールサーバ１１０上において前述の「目的外操作」を行ったため、実際のアクセスログとして図１０のようなアクセスログ５３２が出力される。図１０アクセスログ５３２は、ユーザ（上司Ａ）による不正作業を含んでいる。なお、図１０のアクセスログ５３２の枠外（左側）の数字は行数を示す。

不正アクセス検出システム１は、図６の利用申請の内容と、図７の実際のアクセスログ５３２とを照合する。不正アクセス検出システム１は、利用申請の内容と、アクセスログ５３２との差異を管理端末７０（管理者）に伝える。

ここで、不正アクセス検出システム１による目的外操作の検出に関して、図３のフローチャートのアクセスログ予想処理（ステップＳ１７）およびログ照合処理（ステップＳ１８）について説明する。

（アクセスログ予想処理）
まず、出力アクセスログ予想手段１７によるアクセスログ予想処理について説明する。
アクセスログ予想処理は、具体的な利用申請に基づいて予想アクセスログ（予想ログ）を生成する処理である。実際に出力されるアクセスログは、操作に使用するＩＤや作業内容によって異なるので、出力アクセスログ予想手段１７は、利用申請に記載された情報を基にアクセスログを予想する。

以下、利用申請が図９、マッピングＤＢの内容が図１０であった場合における処理の流れについて、図１１のフローチャートを参照しながら説明する。

図１１において、まず、出力アクセスログ予想手段１７は、マッピングＤＢ１５からマッピング情報（図１０）を読み込む（ステップＳ２１）。

出力アクセスログ予想手段１７は、利用申請管理ＤＢ１３から利用申請の内容（図９）を読み込む（ステップＳ２２）。

出力アクセスログ予想手段１７は、以下のステップＳ２３〜ステップＳ２６の処理に関して、まずは、マッピング情報のうち項目１・サブ項目１について処理する。そして、出力アクセスログ予想手段１７は、項目１・サブ項目１についての処理が完了すると、項目１・サブ項目２について処理する。続けて、出力アクセスログ予想手段１７は、項目２・サブ項目１、項目３・サブ項目１、項目３・サブ項目２、項目４・サブ項目１、項目４・サブ項目２について順次処理を実行する。

出力アクセスログ予想手段１７は、各項目・サブ項目に関するログ種別を判断し、ログ種別に応じた処理を実行する（ステップＳ２３）。

ステップＳ２３において、出力アクセスログ予想手段１７は、「ログ種別」が「属性入力」であると判断すると、出力値の一部を利用申請の入力値で置換する（ステップＳ２４）。

出力アクセスログ予想手段１７は、利用申請にある日付で置換処理済みの出力値・比較フラグを含む予想ログデータを出力する（ステップＳ２６）。

ステップＳ２６において全ての項目・サブ項目について処理が終了していない場合は、未だ処理されていない項目・サブ項目に関して、ステップＳ２３〜ステップＳ２６の処理を繰り返す。ステップＳ２６において全ての項目・サブ項目について処理が終了した場合は、図１１のアクセスログ予想処理は終了となる。

一方、ステップＳ２３において、出力アクセスログ予想手段１７は、「ログ種別」が「選択」であると判断すると、利用申請で対応する項目が選択されているか否かを判断する（ステップＳ２５）。利用申請で対応する項目が選択されている場合（ステップＳ２５でＹｅｓ）、ステップＳ２６に進む。利用申請で対応する項目が選択されていない場合（ステップＳ２５でＮｏ）、各項番・各サブ項番に関する処理の進行状況に応じて、ステップＳ２３〜ステップＳ２６の処理を繰り返すか、図１１のアクセスログ予想処理を終了とする。

また、ステップＳ２３において、出力アクセスログ予想手段１７は、「ログ種別」が「固定値」であると判断するとステップＳ２６に進む。

ここで、ステップＳ２３〜ステップＳ２６の処理について具体的に説明する。

まず、出力アクセスログ予想手段１７は、マッピングテーブル１７０のマッピング情報のうち項目１・サブ項目２について処理する。

出力アクセスログ予想手段１７は、「ログ種別」が「選択」であると判断する（ステップＳ２３）。出力アクセスログ予想手段１７は、利用申請の項目１（利用者ＩＤ）にある「ｎｏｚａｋｉ」をもって、出力値の「入力値１」の部分を置換する（ステップＳ２４）。出力アクセスログ予想手段１７は、図１２の予想ログデータ１９１Ａを出力する（ステップＳ２６）。なお、実際には、図１２に示す予想ログデータ１９１は予想ログおよび比較フラグの内容をもつデータとして出力される。

次に、出力アクセスログ予想手段１７は、マッピングテーブル１７０のマッピング情報のうち項目１・サブ項目２について処理する。

出力アクセスログ予想手段１７は、「ログ種別」が「固定値」であると判断する（ステップＳ２３）。

出力アクセスログ予想手段１７は、図１２の予想ログデータ１９１Ｂを出力する（ステップＳ２６）。

次に、出力アクセスログ予想手段１７は、マッピングテーブル１７０のマッピング情報のうち項目２・サブ項目１について処理する。

出力アクセスログ予想手段１７は、「ログ種別」が「属性入力」であると判断する（ステップＳ２３）。

出力アクセスログ予想手段１７は、利用申請の項目２に関して、「００００１」をもって出力値の「入力値２」の部分を置換するとともに、「ｆｕｋｕｄａ」をもって出力値の「入力値３」の部分を置換する（ステップＳ２４）。

出力アクセスログ予想手段１７は、図１２の予想ログデータ１９１Ｃを出力する（ステップＳ２６）。

次に、出力アクセスログ予想手段１７は、マッピングテーブル１７０のマッピング情報のうち項目３・サブ項目１について処理する。「ログ種別」が「選択」であると判断する（ステップＳ２３）。出力アクセスログ予想手段１７は、利用申請の対応する項目「項目３のチェックボックス」が選択されているか否かを判断する（ステップＳ２５）。利用申請の対応する項目「項目３のチェックボックス」が選択されている（ステップＳ２５でＹｅｓ）ため、出力アクセスログ予想手段１７は、図１２の予想ログデータ１９１Ｄを出力する（ステップＳ２６）。

以上の各項目・サブ項目に関する処理は、その他のマッピングテーブル１７０のマッピング情報の行について同様に処理される。

図９の利用申請の例では、項目４の「メールの取得」が選択されていないため、項目４に関する処理は行われない。

以上の図１１のアクセスログ予想処理によって、出力アクセスログ予想手段１７は、図１２のような予想ログデータを出力する。予想アクセスログ管理ＤＢ１９は、出力アクセスログ予想手段１７から出力された予想ログデータを予想ログデータ管理テーブル１９２にまとめて格納する。

（ログ照合処理）
続いて、ログ照合手段３１によるログ照合処理について説明する。ログ照合処理は、予想ログデータ管理テーブル１９２に含まれる予想ログと、実アクセスログ管理ＤＢ２３に格納された実アクセスログとの差を検証する処理である。ログ照合処理は、上述のアクセスログ予想処理に引き続いて行われる。

以下、上述のアクセスログ予想処理で用いた具体例について、図１４および図１５のフローチャートを参照しながら説明する。

図１４において、まず、ログ照合手段３１は、実アクセスログ管理ＤＢ２３から実アクセスログ５３２を読み込むとともに、予想アクセスログ管理ＤＢ１９から予想ログの情報を読み込む（ステップＳ３１）。

以下のステップＳ３２〜ステップＳ３７の処理は、図１０の実アクセスログ５３２の行数分処理される。

ログ照合手段３１は、予想ログと実アクセスログとを比較し、予想ログ中の「＊」を除いて一致するか否かを判断する（ステップＳ３２）。なお、ステップＳ３２の処理は、予想ログデータ管理テーブル１９２における予想ログデータのレコード分だけ繰り返される。

予想ログと実アクセスログとが「＊」を除いて一致しなかった場合（ステップＳ３２でＮｏ）、ログ照合手段３１は、検証していない予想ログがある場合はステップＳ３２の処理を繰り返し、全ての予想ログについて検証が終了した場合はステップＳ３７に進む。なお、全ての予想ログに対するステップＳ３２の処理が完了する前に、ステップＳ３７に進んでもよい。

そして、ログ照合手段３１は、予想ログと一致しなかった実アクセスログをログ照合管理ＤＢ３３に書き込む（図１４のステップＳ３７）。このとき、検証されていない実アクセスログがある場合はステップＳ３２に戻り、全ての実アクセスログに関して検証が終了している場合はログ照合処理を終了とする。

一方、予想ログと実アクセスログとが「＊」を除いて一致する場合（ステップＳ３２でＹｅｓ）、図１５のステップＳ３３に進む。

図１５において、ログ照合手段３１は、予想ログの比較フラグが「ｍａｎｙ ｔｉｍｅ」、「ｔｏｐ」、「ｅｎｄ」および「１ｔｉｍｅ」のいずれであるかを判断する（ステップＳ３３）。なお、図１５においては、実アクセスログを実ログと表記している。

ステップＳ３３において、比較フラグが「ｍａｎｙ ｔｉｍｅ」である場合、検証されていない実アクセスログがある場合はステップＳ３２に戻り、全ての実アクセスログに関して検証が終了している場合はログ照合処理を終了とする。

ステップＳ３３において、比較フラグが「ｔｏｐ」である場合、ログ照合手段３１は、実アクセスログが１行目であるか否かを判断する（ステップＳ３４）。

実アクセスログが１行目である場合（ステップＳ３４でＹｅｓ）、検証されていない実アクセスログがある場合はステップＳ３２に戻り、全ての実アクセスログに関して検証が終了している場合はログ照合処理を終了とする。

一方、実アクセスログが１行目ではない場合（ステップＳ３４でＮｏ）、ログ照合手段３１は、その実アクセスログをログ照合管理ＤＢ３３に書き込む（図１４のステップＳ３７）。このとき、検証されていない実アクセスログがある場合はステップＳ３２に戻り、全ての実アクセスログに関して検証が終了している場合はログ照合処理を終了とする。

ステップＳ３３において、比較フラグが「ｅｎｄ」である場合、ログ照合手段３１は、実アクセスログが最終行であるか否かを判断する（ステップＳ３５）。

実アクセスログが最終行である場合（ステップＳ３５でＹｅｓ）、検証されていない実アクセスログがある場合はステップＳ３２に戻り、全ての実アクセスログに関して検証が終了している場合はログ照合処理を終了とする。

一方、実アクセスログが最終行ではない場合（ステップＳ３５でＮｏ）、ログ照合手段３１は、その実アクセスログをログ照合管理ＤＢ３３に書き込む（図１４のステップＳ３７）。このとき、検証されていない実アクセスログがある場合はステップＳ３２に戻り、全ての実アクセスログに関して検証が終了している場合はログ照合処理を終了とする。

ステップＳ３３において、比較フラグが「１ｔｉｍｅ」である場合、ログ照合手段３１は、実アクセスログとの一致が初回であるか否かを判断する（ステップＳ３６）。

実アクセスログとの一致が初回である場合（ステップＳ３６でＹｅｓ）、検証されていない実アクセスログがある場合はステップＳ３２に戻り、全ての実アクセスログに関して検証が終了している場合はログ照合処理を終了とする。

一方、実アクセスログとの一致が初回ではない場合（ステップＳ３６でＮｏ）、ログ照合手段３１は、その実アクセスログをログ照合管理ＤＢ３３に書き込む（図１４のステップＳ３７）。このとき、検証されていない実アクセスログがある場合はステップＳ３２に戻り、全ての実アクセスログに関して検証が終了している場合はログ照合処理を終了とする。

ここで、図１５のステップＳ３３〜ステップＳ３６の処理について、具体例を挙げて説明する。

まず、ログ照合手段３１は、アクセスログ５３２の１行目の実アクセスログ（２０１４／０６／１７ １１：２０：３３ ｓｓｈ ｎｏｚａｋｉ＠１９２．１６８．０．１）について検証する。

ログ照合手段３１は、アクセスログ５３２の１行目の実アクセスログについて、予想ログデータ管理テーブル１９２の予想ログと「＊」を除いて一致するものがあるか否かを検証する（ステップＳ３２）。ログ照合手段３１は、アクセスログ５３２の１行目の実アクセスログが予想ログ１９１Ａと一致することを確認する。

次に、ログ照合手段３１は、１行目の実アクセスログと一致すると判断した予想ログ１９１Ａの比較フラグが「ｔｏｐ」であることを確認する（ステップＳ３３）。そして、ログ照合手段３１は、実アクセスログが１行目であることを確認する（ステップＳ３４）。この段階で、アクセスログ５３２の１行目の実アクセスログの比較は終了である。

次に、ログ照合手段３１は、アクセスログ５３２の２行目の実アクセスログ（２０１４／０６／１７ １１：２０：３６ ｃｄ ／ｈｏｍｅ／０００００１／ｆｕｋｕｄａ）について検証する。

ログ照合手段３１は、アクセスログ５３２の２行目の実アクセスログについて、予想ログデータ管理テーブル１９２の予想ログと「＊」を除いて一致するものがあるか否かを検証する（ステップＳ３２）。ログ照合手段３１は、アクセスログ５３２の２行目の実アクセスログが予想ログ１９１Ｃと一致することを確認する。

次に、ログ照合手段３１は、２行目の実アクセスログと一致すると判断した予想ログ１９１Ｃの比較フラグが「１ｔｉｍｅ」であることを確認する（ステップＳ３３）。そして、ログ照合手段３１は、予想ログ１９１Ｃと実アクセスログとの一致が初回であることを確認する（ステップＳ３４でＹｅｓ）。この段階で、アクセスログ５３２の２行目の実アクセスログの比較は終了である。

次に、ログ照合手段３１は、アクセスログ５３２の３行目の実アクセスログ（２０１４／０６／１７ １１：２０：３９ ｌｓ）について検証する。

ログ照合手段３１は、アクセスログ５３２の３行目の実アクセスログについて、予想ログデータ管理テーブル１９２の予想ログと「＊」を除いて一致するものがあるか否かを検証する（ステップＳ３２）。ログ照合手段３１は、アクセスログ５３２の３行目の実アクセスログが予想ログ１９１Ｄと一致することを確認する。

次に、ログ照合手段３１は、３行目の実アクセスログと一致すると判断した予想ログ１９１Ｄの比較フラグが「ｍａｎｙ ｔｉｍｅ」であることを確認する（ステップＳ３３でＹｅｓ）。この段階で、アクセスログ５３２の３行目の実アクセスログの比較は終了である。

以下、アクセスログ５３２の４〜６行目については１〜３行目と同様に処理される。

アクセスログ５３２の７行目は、目的外操作を含む不正アクセスに相当する。

ログ照合手段３１は、アクセスログ５３２の７行目の実アクセスログ（２０１４／０６／１７ １１：２０：４８ ｃｄ ／ｈｏｍｅ／０００００１／ｙａｍａｄａ）について検証する。

ログ照合手段３１は、アクセスログ５３２の７行目の実アクセスログについて、予想ログデータ管理テーブル１９２の予想ログと「＊」を除いて一致するものがあるか否かを検証する（ステップＳ３２）。ログ照合手段３１は、アクセスログ５３２の７行目の実アクセスログが一致する予想ログが予想ログデータ管理テーブル１９２にないことを判断する（ステップＳ３３でＮｏ）。

このとき、ログ照合手段３１は、アクセスログ５３２の７行目の実アクセスログ（２０１４／０６／１７ １１：２０：４８ ｃｄ ／ｈｏｍｅ／０００００１／ｙａｍａｄａ）をログ照合管理ＤＢ３３に書き込む（ステップＳ３７）。

以降、８〜１１行目の実アクセスログに関しては、一致する予想ログが存在するため、１〜６行目と同様の処理が行われる。

このように、アクセスログ５３２の１〜１１行の実アクセスログと、予想ログデータ管理テーブル１９２に含まれる予想ログとの照合によって、一致する予想ログがなかった実アクセスログ（図１６の枠３５１内）がログ照合管理ＤＢ３３に書き込まれる。

そして、照合結果出力手段３５は、ログ照合管理ＤＢ３３に格納された実アクセスログ（目的外操作ログ）を管理端末７０に出力する。なお、照合結果出力手段３５が目的外操作ログを出力するタイミングは、ログ照合管理ＤＢ３３に目的外操作ログが書き込まれたタイミング、予め決められたスケジュールに従ったタイミングなど任意に設定できる。また、照合結果出力手段３５が目的外操作ログを出力するタイミングは、管理端末７０が要求したタイミングであってもよい。

以上のように、ログ照合処理で検出された予実差は、照合結果出力手段３５によって管理者（管理端末７０）に通知される。その結果、管理者は、メールシステムに対してユーザ（上司Ａ）が目的外操作を行ったことに気付くとともに、目的外操作の内容を知ることができる。例えば、本実施形態に係る不正アクセス検出システム１は、図１６に示すログを管理端末７０の表示部に表示することによって、ユーザの目的外操作の内容を管理者に通知する。

本発明の実施形態に係る不正アクセス検出システムのハードウェアは、パーソナルコンピュータやワークステーション、サーバなどの情報処理装置によって実現される。本実施形態に係る不正アクセス検出システムを実現する情報処理装置は、例えば、中央演算処理装置や主記憶装置、入出力インターフェース、ネットワークインターフェース、補助記憶装置などのハードウェアを含む構成とすることができる。また、本実施形態に係る不正アクセス検出システムを実現する情報処理装置には、ユーザの操作を受け付けるキーボードやタッチパネル、マウスなどの入力機器、操作画面を表示するためのディスプレイなどの表示機器、プリンタといった周辺機器を接続できる。また、本実施形態に係る不正アクセス検出システムを実現する情報処理装置は、適切なオペレーティングシステムの制御によって動作する。

これまで説明してきた本発明の実施形態に係る不正アクセス検出方法は、同様の構成を有するシステムであれば、第１および第２の実施形態とは異なる構成をもつシステムに関しても適用することができる。また、本実施形態に係る不正アクセス検出方法に従った処理をコンピュータに実行させる不正アクセス検出プログラムも本発明の範囲に含まれる。また、本実施形態に係る不正アクセス検出プログラムを格納したプログラム記録媒体も本発明の範囲に含まれる。プログラム記録媒体としては、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、フラッシュメモリ等の半導体記憶装置、光ディスク、磁気ディスク、光磁気ディスクなどを挙げることができる。

以上、実施形態を参照して本発明を説明してきたが、本発明は上記実施形態に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解し得る様々な変更をすることができる。

本発明の不正アクセス検出システムは、キー・バリュー型のデータ構造を持ち、キー自体は機密性が低いものの、バリューが強く保護されるべき情報システムの不正アクセス検出に適用することができる。例えば、本発明の不正アクセス検出システムは、電子カルテシステムや戸籍謄本システム、ＣＲＭシステムなどの情報システムに適用できる（ＣＲＭ：Ｃｕｓｔｏｍｅｒ Ｒｅｌａｔｉｏｎｓｈｉｐ Ｍａｎａｇｅｍｅｎｔ）。

本発明の不正アクセス検出システムは、機能の管理に関する権限と、データ参照に関する権限とを分離できておらず、機能管理権限によって保護されるべき実データの参照・更新まで行うことができる情報システムの不正アクセス検出に適用できる。例えば、本発明の不正アクセス検出システムは、メールサーバシステムや文書管理システムなどの情報システムに適用できる。

本発明の不正アクセス検出システムは、管理者権限のレベルが単一であるために、通常運用管理業務に必要となる権限によってシステム停止やウィルス混入などの致命的な不正操作が可能になってしまう情報システムの不正アクセス検出に適用できる。

１ 不正アクセス検出システム
１０ アクセスログ予想手段
１１ 利用申請受付手段
１３ 利用申請管理データベース
１５ マッピングデータベース
１７ 出力アクセスログ予想手段
１９ 予想アクセスログ管理データベース
２０ アクセスログ取得手段
２１ 実アクセスログ収集手段
２３ 実アクセスログ管理データベース
３０ 照合手段
３１ ログ照合手段
３３ ログ照合管理データベース
３５ 照合結果出力手段
５０ アクセス管理システム
５１ アクセス申請システム
５３ アクセスログ
５５ アクセス元選別システム
６０ 利用者端末
６１ 利用申請フォーマット
６２ 記入済み利用申請書
７０ 管理端末
１００ 業務システム
１０１ 業務装置
１０３ 業務システムデータベース
１１０ メールサーバ
１７０ マッピングテーブル
１９１ 予想ログデータ
１９２ 予想ログデータ管理テーブル
５３１、５３２ アクセスログ

Claims (9)

1. 情報システムに接続された利用者端末から出力された前記情報システムの利用申請を取得し、取得した前記利用申請に含まれる各項目と、前記利用申請の内容に基づいた操作に基づいて出力されるログメッセージに相当する出力値と、前記出力値の種別に相当するログ種別と、前記出力値の特性を示す比較フラグと、前記項目ごとの前記出力値に対応するサブ項目とを対応させたレコードを用いて、前記利用申請の内容から予想される操作を前記ログメッセージに変換した予想アクセスログを生成するアクセスログ予想手段と、
   前記利用申請に基づいて設定されたアクセス権を行使して前記情報システムを利用する前記利用者端末によって実際に行われた操作の実アクセスログを取得するアクセスログ取得手段と、
   前記予想アクセスログと前記実アクセスログとを照合した結果を前記情報システムへの接続を管理する管理端末に出力する照合手段とを備える不正アクセス検出システム。
2. 前記照合手段は、
   前記予想アクセスログと前記実アクセスログとが一致するか否かを判断し、前記予想アクセスログと前記実アクセスログとが一致しない場合に、前記予想アクセスログと一致しなかった前記実アクセスログを前記管理端末に出力する請求項１に記載の不正アクセス検出システム。
3. 前記アクセスログ予想手段は、
   前記利用申請の内容を受け付ける利用申請受付手段と、
   前記利用申請の内容を格納する利用申請管理データベースと、
   前記利用申請の内容に基づいた操作をログメッセージに変換するためのマッピングテーブルを格納するマッピングデータベースと、
   前記利用申請および前記マッピングテーブルを参照して前記利用申請の内容に基づいた操作をログメッセージに変換して前記予想アクセスログを生成する出力アクセスログ予想手段と、
   前記出力アクセスログ予想手段によって予想された前記予想アクセスログを格納する予想アクセスログ管理データベースとを含み、
   前記アクセスログ取得手段は、
   前記利用者端末によって前記情報システムに対して実際に行われた操作に関する前記実アクセスログを取得する実アクセスログ取得手段と、
   前記実アクセスログ取得手段によって取得された前記実アクセスログを格納する実アクセスログ管理データベースとを含み、
   前記照合手段は、
   前記予想アクセスログ管理データベースに格納された前記予想アクセスログと、前記実アクセスログ管理データベースに格納された前記実アクセスログとの照合結果を出力するログ照合手段と、
   前記ログ照合手段によって出力された前記照合結果を格納するログ照合管理データベースと、
   前記ログ照合管理データベースに格納された前記照合結果を前記管理端末に出力する照合結果出力手段とを含む請求項１または２に記載の不正アクセス検出システム。
4. 情報システムに接続された利用者端末から出力された前記情報システムの利用申請を取得し、取得した前記利用申請の内容から予想される操作をログメッセージに変換した予想アクセスログを生成するアクセスログ予想手段と、
   前記利用申請に基づいて設定されたアクセス権を行使して前記情報システムを利用する前記利用者端末によって実際に行われた操作の実アクセスログを取得するアクセスログ取得手段と、
   前記予想アクセスログと前記実アクセスログとを照合した結果を前記情報システムへの接続を管理する管理端末に出力する照合手段とを備え、
   前記アクセスログ予想手段は、
   前記利用申請の内容を受け付ける利用申請受付手段と、
   前記利用申請の内容を格納する利用申請管理データベースと、
   前記利用申請の内容に基づいた操作をログメッセージに変換するためのマッピングテーブルを格納するマッピングデータベースと、
   前記利用申請および前記マッピングテーブルを参照して前記利用申請の内容に基づいた操作をログメッセージに変換して前記予想アクセスログを生成する出力アクセスログ予想手段と、
   前記出力アクセスログ予想手段によって予想された前記予想アクセスログを格納する予想アクセスログ管理データベースとを含み、
   前記アクセスログ取得手段は、
   前記利用者端末によって前記情報システムに対して実際に行われた操作に関する前記実アクセスログを取得する実アクセスログ取得手段と、
   前記実アクセスログ取得手段によって取得された前記実アクセスログを格納する実アクセスログ管理データベースとを含み、
   前記照合手段は、
   前記予想アクセスログ管理データベースに格納された前記予想アクセスログと、前記実アクセスログ管理データベースに格納された前記実アクセスログとの照合結果を出力するログ照合手段と、
   前記ログ照合手段によって出力された前記照合結果を格納するログ照合管理データベースと、
   前記ログ照合管理データベースに格納された前記照合結果を前記管理端末に出力する照合結果出力手段とを含み、
   前記利用申請は、
   前記利用者端末が前記情報システムに接続する時間を記入する欄に加えて、
   前記利用者端末を識別するための識別子を記入する欄を含む項目と、
   前記利用者端末にアクセス権限を与える範囲を識別するための識別子を記入する欄を含む項目と、
   前記利用者端末が前記情報システムに接続した際に行う操作に関する情報を記入する欄を含む少なくとも一つの項目とを含み、
   前記マッピングテーブルは、
   前記利用申請に含まれる各項目と、前記利用申請の内容に基づいた操作に基づいて出力されるログメッセージに相当する出力値と、前記出力値の種別に相当するログ種別と、前記出力値の特性を示す比較フラグと、前記項目ごとの前記出力値に対応するサブ項目とを対応させたレコードを含む不正アクセス検出システム。
5. 前記アクセスログ予想手段は、
   前記マッピングデータベースから前記マッピングテーブルを読み込むとともに、前記利用申請管理データベースから前記利用申請の内容を読み出し、
   前記利用申請の内容を前記マッピングテーブルのいずれかのレコードの前記出力値に当てはめることによって前記予想アクセスログを生成し、
   生成した前記予想アクセスログを前記予想アクセスログ管理データベースに格納する請求項４に記載の不正アクセス検出システム。
6. 前記照合手段は、
   前記予想アクセスログ管理データベースから前記予想アクセスログを読み込むとともに、前記実アクセスログ管理データベースから前記実アクセスログを読み込み、
   前記実アクセスログと前記予想アクセスログとが一致するか否かを判定し、
   前記予想アクセスログと一致しないと判定された前記実アクセスログを前記ログ照合管理データベースに格納し、
   前記ログ照合管理データベースに格納された前記実アクセスログを照合結果として前記管理端末に出力する請求項５に記載の不正アクセス検出システム。
7. 利用者から申請された利用申請を取得し、取得した前記利用申請に含まれる各項目と、前記利用申請の内容に基づいて出力されるログメッセージに相当する出力値と、前記出力値の種別に相当するログ種別と、前記出力値の特性を示す比較フラグと、前記項目ごとの前記出力値に対応するサブ項目とを対応させたレコードを用いて、前記利用申請の内容から予想される操作を前記ログメッセージに変換した予想ログ情報を生成するログ予想手段と、
   前記利用申請に基づく前記利用者の実行により得られた実ログ情報を取得するログ取得手段と、
   前記予想ログ情報と前記実ログ情報とを照合するログ照合手段と、
   照合結果を出力する出力手段とを備える不正検出システム。
8. 情報処理装置が、
   情報システムに接続された利用者端末から出力された前記情報システムの利用申請を取得し、
   取得した前記利用申請に含まれる各項目と、前記利用申請の内容に基づいた操作に基づいて出力されるログメッセージに相当する出力値と、前記出力値の種別に相当するログ種別と、前記出力値の特性を示す比較フラグと、前記項目ごとの前記出力値に対応するサブ項目とを対応させたレコードを用いて、前記利用申請の内容から予想される操作を前記ログメッセージに変換した予想アクセスログを生成し、
   前記利用申請に基づいて設定されたアクセス権を行使して前記情報システムを利用する前記利用者端末によって実際に行われた操作の実アクセスログを取得し、
   前記予想アクセスログと前記実アクセスログとを照合した結果を前記情報システムへの接続を管理する管理端末に出力する不正アクセス検出方法。
9. 情報システムに接続された利用者端末から出力された前記情報システムの利用申請を取得する処理と、
   取得した前記利用申請に含まれる各項目と、前記利用申請の内容に基づいた操作に基づいて出力されるログメッセージに相当する出力値と、前記出力値の種別に相当するログ種別と、前記出力値の特性を示す比較フラグと、前記項目ごとの前記出力値に対応するサブ項目とを対応させたレコードを用いて、前記利用申請の内容から予想される操作を前記ログメッセージに変換した予想アクセスログを生成する処理と、
   前記利用申請に基づいて設定されたアクセス権を行使して前記情報システムを利用する前記利用者端末によって実際に行われた操作の実アクセスログを取得する処理と、
   前記予想アクセスログと前記実アクセスログとを照合した結果を前記情報システムへの接続を管理する管理端末に出力する処理とをコンピュータに実行させる不正アクセス検出プログラム。

Images