JP6707952B2 - 制御装置、制御方法及びプログラム - Google Patents

Description

本発明は、制御装置、制御方法及びプログラムに関する。

サイバー攻撃に対して電子メールやウェブサイトのフィルタリングを実施する方式として、ブラックリスト方式やホワイトリスト方式がある。ブラックリスト方式では、スパムメールを大量に送信した者や有害ウェブサイトのブラックリストを作成し、リストアップされた者やサイトとの通信を通信事業者がブロックする。ホワイトリスト方式では、安全が確認されている者やサイトのリストを作成し、リストアップされた者やサイト以外との通信を通信事業者がブロックする。ブラックリスト方式やホワイトリスト方式によってフィルタリングを行うための様々な提案がなされている。

特許文献１には、管理対象ネットワークの通信ログを収集し、公開ブラックリストの情報と収集した通信ログとに基づいて新たなブラックリストを作成するアクセス制御装置が開示されている。特許文献１のアクセス制御装置では、通信ログの状態に応じて、アクセス頻度の高いブラックリストを絞り込む。

特開２０１４-９３０２７号公報

しかし、特許文献１のアクセス制御装置では、管理対象ネットワークの通信ログを基にブラックリストを作成するため、管理対象ネットワークが過去に受けたことのない攻撃はブラックリストに登録されない。そのため、特許文献１のアクセス制御装置においては、過去に受けたことのない攻撃にブラックリストを用いて対応することができないという問題があった。

また、特許文献１に開示されている技術をホワイトリストの作成に適用すると、過去にアクセスしたことのない対象はホワイトリストに登録されない。そのため、過去にアクセスしたことのない対象にそのホワイトリストを用いてはアクセスすることができないという問題があった。

本発明の目的は、上述の課題を解決する制御装置、制御方法及びプログラムを提供することにある。

本発明の制御装置は、複数の端末から、通信履歴情報を収集する収集部と、特定の通信対象を示す特定通信定義情報が登録されている第１のリストを格納する格納部と、一の端末の通信履歴情報に合致する特定通信定義情報と、他の端末の通信履歴情報に合致する特定通信定義情報と、に基づいて一以上の特定通信定義情報が登録される一の端末のための第１のリストを作成する作成部と、を備える。

本発明の制御方法は、複数の端末から、通信履歴情報を収集する収集ステップと、特定の通信対象を示す特定通信定義情報が登録されている第１のリストを格納する格納ステップと、一の端末の通信履歴情報に合致する特定通信定義情報と、他の端末の通信履歴情報に合致する特定通信定義情報と、に基づいて一以上の特定通信定義情報が登録される一の端末のための第１のリストを作成する作成ステップと、を含む。

本発明のプログラムは、コンピュータに、複数の端末から、通信履歴情報を収集する収集処理と、特定の通信対象を示す特定通信定義情報が登録されている第１のリストを格納する格納処理と、一の端末の通信履歴情報に合致する特定通信定義情報と、他の端末の通信履歴情報に合致する特定通信定義情報と、に基づいて一以上の特定通信定義情報が登録される一の端末のための第１のリストを作成する作成処理と、を実行させる。

本発明によれば、サイバー攻撃への対策において、電子メールやウェブサイトのフィルタリングに用いるリストを最適化することができる。

第１の実施形態にかかる制御装置１００の構成を示す図である。 制御装置１００のハードウェア構成を示す図である。 制御装置１００の動作を説明する図である。 第２の実施形態にかかるアクセス制御装置２１を含むシステム２０００の全体構成を示す図である。 ログ情報データベース１３に格納される情報の一例を示す図である。 不正通信情報データベース１６に格納される情報の一例を示す図である。 重み付けパラメータ対応表の一例を示す図である。 各端末の属するグループを登録した場合の管理対象端末情報の一例を示す図である。 アクセス制御装置２１の動作を説明するフローチャートである。 アクセス制御装置２１の動作を説明するフローチャートである。 アクセス制御装置２１の動作を説明するフローチャートである。 アクセス制御装置２１の動作を説明するフローチャートである。 ステップＳ１１乃至１３の処理が行われた場合に得られるログ情報の一例を示す図である。 ステップＳ３３にてスコアを紐付けた後の不正通信ログの一例を示す図である。 自重みと他重みを計算した結果を示す図である。 重み情報を示すテーブルの一例を示す図である。 ステップＳ３７の処理が行われた際にブラックリストデータベース２３に格納される情報の一例を示す図である。 重み付けパラメータを修正する場合に用いる基準をまとめた図である。

［第１の実施形態］
［処理構成］
図１は、第１の実施形態にかかる制御装置１００の構成を示す図である。制御装置１００は、収集部１０１、格納部１０２、作成部１０３を備える。

収集部１０１は、複数の端末から、通信履歴情報を収集する。端末は、ファイアウォール機能を有する端末である。ファイアウォール機能とは、あるコンピュータやネットワークとそれらの外部のネットワークとの境界に設置され、内外の通信を中継・監視し、外部の攻撃から内部を保護する機能をいう。例えば、端末は、内部ネットワークとしてのイントラネットと外部ネットワークとしてのインターネットとの境界に設置される。内部ネットワークは、接続する端末ごとに異なっていても同じでも良い。

格納部１０２は、特定の通信対象を示す特定通信定義情報が登録されているリスト（第１のリスト）を格納する。リストは、例えばブラックリストである。特定の送信元からの通信を定義する特定通信定義情報は、例えば不正な送信元からの通信を定義する情報であり、危険なユーザ（コンピュータウイルス配布元）のInternet Protocol（ＩＰ）アドレス、アクセスすることが好ましくないＷｅｂサイトのUniform Resource Locator（ＵＲＬ）、及び不正な通信パターンに関する情報のうち少なくともいずれかを含む。不正な通信パターンには、例えば、Ｗｅｂブラウザの「再読み込み」機能を何度も連続して実行することにより大量のページ送信要求を送り、過大な負荷をかけて停止させるＦ５攻撃がある。Ｆ５攻撃の場合、リストには、攻撃元のＩＰアドレスをヘッダ情報として含む通信のパターン（Ｆ５攻撃）が登録される。１つの通信の振る舞いを不正な通信パターンとして登録する他に、複数の通信の振る舞いをまとめて１つの通信パターンとして登録してもよい。

作成部１０３は、一の端末の通信履歴情報に合致する特定通信定義情報と、他の端末の通信履歴情報に合致する特定通信定義情報と、に基づいて一以上の特定通信定義情報が登録される一の端末のためのリストを作成する。作成部１０３により作成されたリストに基づいて設定された端末では、当該リストに登録されている特定通信定義情報で定義される通信をブロック（遮断）することができる。

［ハードウェア構成］
図２は、制御装置１００のハードウェア構成を示す図である。制御装置１００は、プロセッサ１００ａ、メモリ１００ｂ、ストレージ１００ｃ、入出力インタフェース（入出力Ｉ／Ｆ）１００ｄ及び通信インタフェース（通信Ｉ／Ｆ）１００ｅを備える。プロセッサ１００ａ、メモリ１００ｂ、ストレージ１００ｃ、入出力インタフェース１００ｄ及び通信インタフェース１００ｅは、相互にデータを送受信するためのデータ伝送路１００ｆで接続されている。

プロセッサ１００ａは、例えばCentral Processing Unitや Graphics Processing Unitなどの演算処理装置である。プロセッサ１００ａは、後述するストレージ１００ｃに格納されている各プログラムを実行することで、各処理部（収集部１０１、格納部１０２、作成部１０３）の機能をそれぞれ実現する。ここで、プロセッサ１００ａは、各プログラムを実行する際、これらのプログラムを後述するメモリ１００ｂ上に読み出してから実行しても良いし、メモリ１００ｂ上に読み出さずに実行しても良い。

メモリ１００ｂは、例えばRandom Access Memory（ＲＡＭ）やRead Only Memory（ＲＯＭ）などのメモリである。

ストレージ１００ｃは、例えばHard Disk Drive、Solid State Drive、又はメモリカードなどの記憶装置である。また、ストレージ１００ｃは、ＲＡＭやＲＯＭ等のメモリであってもよい。ストレージ１００ｃは、各処理部（収集部１０１、格納部１０２、作成部１０３）の機能を実現するプログラムを格納する。

通信インタフェース１００ｅは、外部装置や外部ネットワークとの間でデータを送受信する。通信インタフェース１００ｅは、例えば有線ネットワーク又は無線ネットワークを介して外部装置や外部ネットワークと通信する。なお、制御装置１００のハードウェア構成は、図２に示される構成に制限されない。

［動作］
図３を用いて、制御装置１００の動作を説明する。複数の端末から、通信履歴情報を収集する（ステップＳ１）。特定の通信対象を示す特定通信定義情報が登録されているリストを格納する（ステップＳ２）。一の端末の通信履歴情報に合致する特定通信定義情報と、他の端末の通信履歴情報に合致する特定通信定義情報と、に基づいて一以上の特定通信定義情報が登録される一の端末のためのリストを作成する（ステップＳ３）。

［作用効果］
第１の実施形態にかかる制御装置１００によれば、作成部１０３は、一の端末の通信履歴情報に合致する特定通信定義情報と、他の端末の通信履歴情報に合致する特定通信定義情報と、に基づいて一以上の特定通信定義情報が登録される一の端末のためのリストを作成する。これにより、サイバー攻撃への対策において、電子メールやウェブサイトのフィルタリングに用いるリストを最適化することができる。

なお、端末をグループ化し、上述した他の端末を、一の端末と同じグループに属する端末とすることができる。端末が属するグループは、例えば教育機関、医療機関、金融機関といった、端末が用いられる業種のグループである。他に、端末が属するグループは、端末が用いられる国や端末に搭載されているOperating System（ＯＳ）のグループであってもよい。ある攻撃を受けた端末Ｔが属するグループと同じグループに属する他の端末は、端末Ｔが受けた攻撃と同じ攻撃を受ける可能性が高いと考えられる。そのため、一の端末と同じグループに属する他の端末の通信履歴情報も用いることにより、より効果的なリストを作成することができる。

第１の実施形態にかかる制御装置１００の構成は、端末内に構成されてもよい。すなわち、一の端末においてリスト及び他の端末の通信履歴情報も収集し、一の端末のためリストを作成してもよい。

［第２の実施形態］
［処理構成］
図４は、第２の実施形態にかかるアクセス制御装置２１を含むシステム２０００の全体構成を示すブロック図である。システム２０００は、端末１乃至３及びアクセス制御装置２１を含む。

端末１乃至３は、ブラックリスト方式でアクセス制御を行う端末である。端末１乃至３は、アクセス制御装置２１により管理される端末であり、以下、管理対象端末とも表記する。端末１乃至３はそれぞれ、ログ送信部４乃至６、及びブラックリスト受信部７乃至９を備える。端末１乃至３は、同じグループ２０に属するが異なる場所に存在する端末である。例えば、本実施例では、グループ２０は金融機関に設置された端末からなるグループである。アクセス制御装置２１が管理する端末として、グループ２０とは別のグループに属する端末を含んで構成してもよい。端末１乃至３は、例えば、ファイアウォール機能を搭載するハードウェアである。

ログ送信部４乃至６は、それぞれ定期的に自端末の通信ログ（通信履歴情報）をアクセス制御装置２１のログ収集部１０（後述）に送信する。送信の周期は任意とする。

ブラックリスト受信部７乃至９は、アクセス制御装置２１のリスト配信部１９（後述）から配信されるブラックリストを受信し、各端末１乃至３のブラックリストを更新する。

次に、アクセス制御装置２１について説明する。アクセス制御装置２１は、第１の実施形態における制御装置１００に対応する。アクセス制御装置２１は、ログ収集部１０、ログ解析部１１、データベース制御部１２、ログ情報データベース１３、ブラックリスト取得部１５、不正通信情報データベース１６、リスト作成部１７、重み付け部１８、リスト配信部１９、パラメータ制御部２２、ブラックリストデータベース２３及び重み付けデータベース２４を備える。

ログ収集部１０は、第１の実施形態における収集部１０１に対応する。ログ収集部１０は、端末１乃至３のログ送信部４乃至６から送信された通信ログを受信し、収集した通信ログをログ解析部１１に対して出力する。

ログ解析部１１は、ログ収集部１０から受け取った通信ログを解析する。ログ解析部１１は、通信ログ、当該通信ログが得られた端末の端末名及び通信の観測時刻を対応づけた情報をログ情報として、データベース制御部１２を介して当該ログ情報をログ情報データベース１３に格納する。

データベース制御部１２は、ログ情報データベース１３、不正通信情報データベース１６、ブラックリストデータベース２３及び重み付けデータベース２４に対する情報の生成、参照、更新、及び削除等の制御を行う。

ログ情報データベース１３は、端末１乃至３の情報（管理対象端末情報）とログ情報とを格納するデータベースである。

図５を参照すると、ログ情報データベース１３には、ログ情報及び管理対象端末情報が格納される。ログ情報は、通信ログ、当該通信ログが得られた端末の端末名及び通信の観測時刻を対応づけた情報である。通信ログは、端末に対して通信を確立したあるいは確立しようとしたコンピュータのＩＰアドレスを含む。また、管理対象端末情報は、例えば、端末名、業種、地域及びＯＳである。管理対象端末情報及びログ情報として格納される情報は、これらに限られない。管理対象端末情報の一例として格納される業種、地域、ＯＳとして、端末を業種、地域、又はＯＳでグルーピングした場合のグループ名やグループ識別子がログ情報データベース１３に格納される。

ブラックリスト取得部１５は、インターネットから公開ブラックリスト１４（第２のリスト）を取得する。公開ブラックリスト１４は、不正通信定義情報とそのスコアを含む。不正通信定義情報は、第１の実施形態における特定通信定義情報に対応する。スコアは、公開ブラックリストであらかじめ設定されている値であり、各不正通信情報定義情報の危険度を表している。スコアが大きい又は高いほど危険度が高い不正通信情報定義情報である。ブラックリスト取得部１５は、取得した公開ブラックリスト１４から、不正通信定義情報とそのスコアとが対応付けられた不正通信情報を抽出し、データベース制御部１２を介して、不正通信情報データベース１６に格納する。なお、ブラックリスト取得部１５は、公開ブラックリスト１４を取得する他、ベンダが独自に保持しているブラックリストを取得してもよい。

図６を参照すると、不正通信情報データベース１６には、ブラックリスト取得部１５が取得した公開ブラックリストに含まれる不正通信定義情報とそのスコアとが対応付けられた不正通信情報が格納される。不正通信情報データベース１６は、最新の不正通信情報だけでなく過去の不正通信情報も保持する。これらの不正通信情報は、パラメータ制御部２２（後述）が重み付けパラメータ対応表を作成する際に使用される。図７は、重み付けパラメータ対応表の一例である。重み付けパラメータ対応表は、端末ごとに作成され、重み付け部１８での重み付けに使用される。図７を参照すると、（ａ）は自重み用の重み付けパラメータ対応表、（ｂ）は他重み用の重み付けパラメータ対応表である。不正通信情報データベース１６は、ブラックリスト取得部１５が取得したブラックリストから抽出された不正通信情報を格納することに代えて、ブラックリスト取得部１５が取得したブラックリストをそのまま格納してもよい。

リスト作成部１７は、第１の実施形態における作成部１０３に対応する。リスト作成部１７は、端末別のブラックリスト（以降、端末別ブラックリストとも表記）を作成する。端末別ブラックリストは、第１の実施形態における第１のリストに対応する。より詳細には、リスト作成部１７は、以下の１乃至６の処理を行う。
１． データベース制御部１２を介して、不正通信情報データベース１６から抽出された一以上の不正通信情報を受け取る。
２． データベース制御部１２を介して、ログ情報データベース１３から不正通信情報の不正通信定義情報に一致する一以上のログ情報を抽出する。当該抽出は、ある一の端末と、当該一の端末と同じグループに属する一以上の他の端末について実施する。例えば、ある時刻に特定のＩＰアドレスから端末に対して大量の通信があった場合、Ｆ５攻撃の可能性がある。この場合、ログ情報からは、送信元ＩＰアドレスの他、不正な通信パターンも抽出することができる。以降は、抽出後のログ情報を不正通信ログとも表記する。
３． 不正通信ログに不正通信情報に含まれる各不正通信定義情報のスコアを紐付けて、重み付け部１８（後述）に対して出力する。
４． 重み付け部１８から受け取った重み情報を基に、端末別にブラックリストを作成する。ブラックリストを作成する場合は、「スコア×自重み」と「スコア×他重み」のそれぞれで、値が大きい不正通信定義情報を所定数抽出して登録することでブラックリストを作成する。一例として、「スコア×自重み」を優先し、「スコア×自重み」の値が大きい不正通信定義情報を２つ、「スコア×他重み」の値が大きい不正通信定義情報を１つ抽出する。「スコア×自重み」の値が大きい不正通信定義情報と「スコア×他重み」の値が大きい不正通信定義情報とが同じになった場合は、例えば、「スコア×自重み」とは異なる値の「スコア×他重み」を有する不正通信定義情報のうち値が大きい不正通信定義情報を抽出する。また例えば、「スコア×自重み」の値が大きい不正通信定義情報を２つ、「スコア×他重み」の値が大きい不正通信定義情報を１つ抽出する場合であって、「スコア×自重み」の値が大きい不正通信定義情報がＡ、Ｄ、「スコア×他重み」の値が大きい不正通信定義情報がＤである場合は、Ａ、Ｄのみを抽出してもよい。
５． 作成したブラックリストをリスト配信部１９に対して出力する。
６． データベース制御部１２を介して、作成したブラックリストをブラックリストデータベース２３に格納する。

重み付け部１８は、リスト作成部１７から受け取った不正通信ログを基に重み付けを行い、重み付けされた不正通信ログをリスト作成部１７に対して出力する。重み付け部１８は、重み付けの際に自重みと他重みの二種類の重みを用いる。自重みは、１つの端末(以降は、自端末と表記する)のログ情報を基に導出する重みである。他重みは、自端末と同じグループに属する他の端末(以降は、他端末と表記する)のログ情報を基に導出する重みである。例として、図３のシステム構成において、端末１のブラックリストを作成するための重み付けを行う場合、端末１のログ情報を基に導出されるのが自重み、端末２と端末３のログ情報を基に導出されるのが他重みである。それぞれの重みの導出方法を下記に示す。
自重み = Ｎ × Ｔ
他重み = Ｎ × Ｍ × Ｔ
変数Ｎ、Ｔ及びＭについては以下の通りである。変数Ｎ、Ｔ及びＭは、重み付けパラメータ対応表に基づいて導出する。
Ｎ： 端末における、不正通信定義情報で示される通信の観測数に関するパラメータである。自重みの計算では自端末での、不正通信定義情報で示される通信の観測数を用い、他重みの計算では他端末での、不正通信定義情報で示される通信の観測数の合計値を用いる。
Ｔ： 不正通信定義情報で示される通信の観測時刻に関するパラメータである。自重みの計算では自端末での、不正通信定義情報で示される通信の観測時刻を用い、他重みの計算では他端末での、不正通信定義情報で示される通信の観測時刻を用いる。複数の他端末で同じ不正通信定義情報で示される通信が観測された場合は、観測時刻が現在に近いものを計算に使用する。
Ｍ： 不正通信定義情報で示される通信が観測された端末の数に関するパラメータである。不正通信定義情報で示される通信が観測された端末の数には、不正通信定義情報で示される通信が観測された他端末の数を用いる。

ここで、例えば、不正通信定義情報で示される通信の観測された時刻が現在時刻から離れている（古い）と、Ｔの値が小さくなり、自重み及び他重みの値が小さくなる。また、他端末で観測されていない通信の場合は、Ｍの値が小さくなり、他重みの値が小さくなる。これらの場合は、たとえ自端末で観測された通信に関する不正通信定義情報であっても、リスト作成部１７が新たに作成する端末別ブラックリストに登録されるとは限らない。

リスト配信部１９は、リスト作成部１７から受け取った端末別ブラックリストを、該当する端末に配信する。

パラメータ制御部２２は、データベース制御部１２を介して、不正通信情報データベース１６の不正通信情報、ログ情報データベース１３のログ情報及びブラックリストデータベース２３のブラックリストを読み取り、重み付けパラメータ対応表（図８）を作成する。

ブラックリストデータベース２３は、各端末に配信した端末別ブラックリストを格納するデータベースである。各端末に配信した端末別ブラックリストは、パラメータ制御部２２が重み付けパラメータ対応表を作成する際に使用される。

重み付けデータベース２４は、各端末の重み付けパラメータ対応表を格納するデータベースである。

［動作］
図９乃至１２は、アクセス制御装置２１の動作を示すフローチャートであり、それぞれ独立した動作を示す。図９は、ログ送信部４乃至６から通信ログを受信した際に行われる処理の流れを示す。図１０乃至１２は、周期的に行われる処理の流れを示す。図９乃至１２の処理を行うにあたり事前に行う処理として、業種、地域、ＯＳなど様々な範囲で端末をグループに分け、各端末が属するグループをログ情報データベース１３に登録する。図７は、各端末の属するグループを登録した際の管理対象端末情報（図５）を示す図である。

まず、図９における各処理について説明する。ログ収集部１０は、端末１乃至３のログ送信部４乃至６から定期的に送信される通信ログを受信する（ステップＳ１１）。ログ解析部１１は、ステップＳ１１にて受信した通信ログを解析してログ情報を作成する（ステップＳ１２）。ログ解析部１１は、データベース制御部１２を介して、ステップＳ１２にて作成したログ情報をログ情報データベース１３に格納する（ステップＳ１３）。

図１３は、ステップＳ１１乃至１３の処理が行われた場合に得られるログ情報（図５）の一例を示す図である。

次に、図９における各処理について説明する。ブラックリスト取得部１５は、インターネット上に公開されている、もしくはベンダが独自に保持しているブラックリスト１４を取得する（ステップＳ２１）。ブラックリスト取得部１５は、データベース制御部１２を介して、ステップＳ２１にて取得したブラックリストを不正通信情報データベース１６に格納する（ステップＳ２２）。ステップＳ２１及びＳ２２の処理が行われた場合に不正通信情報データベース１６に格納されるテーブルは、先述の図６である。

次に、図１１における各処理について説明する。リスト作成部１７は、データベース制御部１２を介して、不正通信情報データベース１６に格納されている不正通信情報を読み取る（ステップＳ３１）。リスト作成部１７は、データベース制御部１２を介して、ログ情報データベース１３から、ステップＳ３１にて読み取った不正通信情報に含まれる不正通信定義情報に一致するログ情報(不正通信ログ)を抽出する（ステップＳ３２）。ここでは、過去の所定の期間に観測されたログ情報を対象とする。

リスト作成部１７は、ステップＳ３２にて抽出した不正通信ログに、不正通信情報に含まれる各不正通信定義情報のスコアを紐付けて、スコアが紐付けられた不正通信ログを重み付け部１８に対して出力する（ステップＳ３３）。

図１４は、ステップＳ３３にてスコアが紐付けられた不正通信ログの一例を示す図である。重み付け部１８は、データベース制御部１２を介して、重み付けデータベース２４に格納されている重み付けパラメータ対応表を読み取る（ステップＳ３４）。重み付け部１８は、不正通信ログと重み付けパラメータ対応表を基に、不正通信情報に重み付けを行う（ステップＳ３５）。重み付けの際は、自重みと他重みの二種類の重みを用いる。

図１５は、例えば端末１について、自重みと他重みを計算した結果を示す図である。例えば、不正通信定義情報Ａで示される通信（通信Ａ）について、自重みの計算には、端末１での通信Ａの観測数に基づくＮ、端末１での通信Ａの観測時刻に基づくＴを用いる。他重みの計算には、端末１と同じグループに属する端末２及び端末３での通信Ａの観測数に基づくＮ、端末２及び端末３での通信Ａの観測時刻に基づくＴ、通信Ａが観測された、同じグループ内の他端末の数に基づくＭが用いられる。なお、計算方法は一例である。重み付け部１８は、自重み、他重み及び不正通信定義情報のスコア(図６)を基に、図１６に示すようなテーブル(以降は、重み情報と表記する)を作成する。図１６において、「スコア×自重み」は、図６のスコアと、図１５で計算した自重みとをかけ合わせた値である。「スコア×他重み」は、図６のスコアと、図１５で計算した他重みとをかけ合わせた値である。

ステップＳ３５の処理を端末別に行い、端末別の重み情報をリスト作成部１７に対して出力する。

リスト作成部１７では、重み付け部１８から受け取った重み情報を基に、端末別ブラックリストを作成する（ステップＳ３６）。リスト作成部１７では、「スコア×自重み」と「スコア×他重み」のそれぞれで、値が大きい不正通信定義情報を所定数抽出し、抽出した不正通信定義情報を登録することでブラックリストを作成する。リスト作成部１７は、作成した端末別のブラックリストをリスト配信部１９に対して出力する。リスト作成部１７は、データ制御部１２を介して、端末別のブラックリストとブラックリスト作成時刻を、図１７に示す形式でブラックリストデータベース２３に格納する（ステップＳ３７）。図１７は、ステップＳ３７の処理が行われた場合にブラックリストデータベース２３に格納される情報を示す図である。図１７を参照すると、（ａ）は端末名ＸＸＸの端末用のリスト、同様に（ｂ）は端末名ＹＹＹの端末用のリスト、（ｃ）は端末名ＺＺＺの端末用のリストである。リスト配信部１９は、リスト作成部１７から受け取った端末別ブラックリストを、端末１乃至３のブラックリスト受信部７乃至９に配信する（ステップＳ３８）。

次に、図１２における各処理について説明する。パラメータ制御部２２は、データベース制御部１２を介して、各端末において過去に配信した端末別ブラックリストのうち最新の端末別ブラックリストとその作成時刻とを、ブラックリストデータベース２３から読み取る（ステップＳ４１）。パラメータ制御部２２は、データベース制御部１２を介して、重み付けデータベース２４から各端末の重み付けパラメータ対応表を読み取る（ステップＳ４２）。パラメータ制御部２２は、データベース制御部１２を介して、端末別ブラックリスト作成時に使用した不正通信情報と、端末別ブラックリスト配信後所定期間の不正通信情報とを、不正通信情報データベース１６から読み取る。ここで、端末別ブラックリスト作成時に使用した不正通信情報と、端末別ブラックリスト配信後の所定期間の不正通信情報とを合わせてブラックリスト配信前後の不正通信情報と呼ぶ。そして、パラメータ制御部２２は、データベース制御部１２を介して、ログ情報データベース１３から、端末別ブラックリスト作成時に使用したログ情報と、端末別ブラックリスト配信後所定期間のログ情報とのうち、ブラックリスト配信前後の不正通信情報に含まれる不正通信定義情報に一致するログ情報（不正通信ログ）を抽出して読み取る（ステップＳ４３）。パラメータ制御部２２は、ステップＳ４３で読み取った不正通信ログに対して、不正通信情報に含まれる各不正通信定義情報のスコアを紐付ける（ステップＳ４４）。

以下に説明するステップＳ４５乃至Ｓ５２の処理は端末別に行い、処理対象の端末での処理が終わり次第、ステップＳ５３へと進む。

パラメータ制御部２２は、ステップＳ４１にて読み取った最新の端末別ブラックリストと、ステップＳ４３で読み取った不正通信ログとを比較し、一致する不正通信定義情報の数を調べる（ステップＳ４５）。パラメータ制御部２２は、ステップＳ４１にて読み取ったブラックリストリストには登録されていないが、配信後の不正通信ログには見られる不正通信定義情報に着目し、重み付けパラメータ対応表を修正する（ステップＳ４６）。図１８は、重み付けパラメータを修正する場合に用いる基準をまとめた表である。重み付けパラメータ修正の観点を以下に示す。
１． 観測数が多い不正通信定義情報ほど危険度が高いため、過去所定期間内の観測数が多い不正通信定義情報ほど、変数Ｎの値を大きくする。
２． 最近攻撃を行った不正ユーザは、再度同じ攻撃を行ってくる可能性が高いため、観測時刻が現在に近いものほど、変数Ｔの値を大きくする。
３． 多くの端末に対して行われている攻撃は、危険度の高い流行りの攻撃である可能性が高いため、観測端末数が多いものほど、変数Ｍの値を大きくする。

重み付けパラメータの修正について、具体例を用いて説明する。あるブラックリスト配信後の自端末の不正通信ログＸが、配信されたブラックリストに含まれていなかったとする。この場合、図１８によると、不正通信ログＸで示される通信が、ブラックリスト配信後であって、現在から過去３日の間に観測された場合、ステップＳ４２で読み取った重み付けパラメータ対応表において、不正通信ログＸに合致する不正通信定義情報の観測時刻に対応する変数Ｔの値を５に修正（変更）する。

パラメータ制御部２２は、修正した重み付けパラメータと、配信後の不正通信ログとを基に不正通信定義情報に重み付けを行い、図１１のステップＳ３６と同様の手順で新たな端末別ブラックリストを作成する（ステップＳ４７）。パラメータ制御部２２は、作成した端末別ブラックリストと、ステップＳ４３にて読み取った配信後の不正通信ログとを比較し、一致する不正通信定義情報の数を調べる（ステップＳ４８）。ステップＳ４８にける一致数がステップＳ４５における一致数よりも大きい場合はステップＳ５３へ進み、小さい場合はＳ５０へと進む（ステップＳ４９）。

ステップＳ４６乃至Ｓ４９の処理を所定の回数行っている場合はステップＳ５２へ進み、行っていない場合はステップＳ５１へ進む（ステップＳ５０）。

ステップＳ５１では、ステップＳ４５の重み付けパターン対応表を用いて、インクリメント数を変更する。そして、再度ステップＳ４６の処理へと進む。

ステップＳ５２では、重み付けパラメータ対応表をステップＳ４５の状態に戻す。

パラメータ制御部２２は、データベース制御部１２を介して、重み付けパラメータ対応表を重み付けデータベース２４に格納する。

［効果］
自端末の通信ログのみに基づいてブラックリストを作成すると、未知の攻撃に対応することができない。本実施形態にかかるアクセス制御装置２１では、端末のグルーピングと重み付け方法の学習を用いる。これにより、一の端末を設定するためのブラックリストを作成する場合に、一の端末と同じグループに属する他の端末に対する攻撃も考慮することができる。すなわち、各端末に対し、各端末に対する未知の攻撃を防ぐことのできるブラックリストを作成し、配信することができる。

なお、本実施形態では、アクセス制御装置２１において、公開されているブラックリストから各端末のブラックリストを作成する態様について説明した。この態様に替えて、一の端末において、他端末のブラックリストを取得し、当該他端末のブラックリストから自端末のブラックリストを作成する態様とすることもできる。

［第３の実施形態］
第３の実施形態では、ブラックリストを作成する際の構成及び動作について説明した。本実施形態では、ホワイトリストを作成する際の構成及び動作について説明する。第１及び第２の実施形態と同様の構成については、説明を省略する。

本実施形態の制御装置は、第２の実施形態におけるブラックリスト取得部１５に代えてホワイトリスト取得部１５´を備える。ホワイトリスト取得部１５´は、複数の端末１乃至３が保持するホワイトリストを取得する。

重み付け部１８´は、ホワイトリスト取得部１５´が取得したホワイトリストに重み付けを行い、リスト作成部１７に対して出力する。重み付け部１８´は、重み付けの際に自重みと他重みの二種類の重みを用いる。自重みと他重みについては、第２の実施形態で説明した通りである。

［効果］
本実施形態では、端末のグルーピングと重み付け方法の学習を用いる。これにより、恣意的になりやすいホワイトリストに対して客観的なホワイトリストを作成することができる。また、例えば、一の端末と同一グループに属する他の端末においてアクセスが許可されているアプリケーションについては、当該一の端末においてもアクセスが許可される蓋然性が高い。この場合、同一グループ内の他の端末のログ情報を参考にして一の端末が保持するホワイトリストを作成することにより、流動的で利便性の高いホワイトリストを作成することができる。

なお、第２の実施形態と第３の実施形態とを組み合わせた態様とすることもできる。

以上、本発明の実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の趣旨を逸脱しない限りにおいて他の変形例、応用例を含むことは言うまでもない。

１、２、３ 端末（管理対象端末）
４、５、６ ログ送信部
７、８、９ ブラックリスト受信部
１０ ログ収集部
１１ ログ解析部
１２ データベース制御部
１３ ログ情報データベース
１４ 公開ブラックリスト
１５ ブラックリスト取得部
１６ 不正通信情報データベース
１７ リスト作成部
１８ 重み付け部
１９ リスト配信部
２０ グループ
２１ アクセス制御装置
２２ パラメータ制御部
２３ ブラックリストデータベース
２４ 重み付けデータベース
１００ 制御装置
１００ａ プロセッサ
１００ｂ メモリ
１００ｃ ストレージ
１００ｄ 入出力インタフェース
１００ｅ 通信インタフェース
１０１ 収集部
１０２ 格納部
１０３ 作成部
２０００ システム

Claims (10)

1. 複数の端末から、通信履歴情報を収集する収集部と、
   特定の通信対象を示す特定通信定義情報が登録されている第１のリストを格納する格納部と、
   前記通信履歴情報に合致する前記特定通信定義情報に、一の前記端末の通信履歴情報に基づいて導出される自重みと、他の前記端末の通信履歴情報に基づいて導出される他重みと、を設定する重み付け部と、
   重み付けされた前記特定通信定義情報のうち、所定の条件を満たす一以上の特定通信定義情報が登録される前記一の端末のための前記第１のリストを作成する作成部と、
   を備える制御装置。
2. 前記特定通信定義情報が登録されている第２のリストを取得する取得部を備え、
   前記作成部は、前記取得部が取得した前記第２のリストから、前記一の端末の通信履歴情報に合致する特定通信定義情報と、前記他の端末の通信履歴情報に合致する特定通信定義情報とを抽出して前記第１のリストを作成する、請求項１に記載の制御装置。
3. 前記作成部は、前記通信履歴情報と合致する前記特定通信定義情報のうち、前記通信履歴情報との合致数が多い前記特定通信定義情報、該特定通信定義情報に合致する前記通信履歴情報が前記第２のリストの作成時刻から過去所定期間内に得られた前記特定通信定義情報、又は該特定通信定義情報に合致する前記通信履歴情報が得られた前記端末数の多い前記特定通信定義情報を優先的に抽出する、請求項２に記載の制御装置。
4. 前記他の端末は、前記一の端末と同じグループに属する、請求項１乃至３のいずれか１項に記載の制御装置。
5. 複数の端末から、通信履歴情報を収集する収集部と、
   特定の通信対象を示す特定通信定義情報が登録されている第１のリストを格納する格納部と、
   一の前記端末の通信履歴情報に合致する特定通信定義情報と、他の前記端末の通信履歴情報に合致する特定通信定義情報と、に基づいて一以上の特定通信定義情報が登録される前記一の端末のための前記第１のリストを作成する作成部と、
   前記通信履歴情報に合致する前記特定通信定義情報に重み付けを設定する重み付け部と、を備え、
   前記重み付け部は、前記一の端末の通信履歴情報に基づいて導出される自重みと、前記一の端末と同じグループに属する前記他の端末の前記通信履歴情報に基づいて導出される他重みと、を設定し、
   前記作成部は、前記重み付けされた結果所定の条件を満たす前記特定通信定義情報に基づいて前記第１のリストを作成する、制御装置。
6. 複数の端末から、通信履歴情報を収集する収集ステップと、
   特定の通信対象を示す特定通信定義情報が登録されている第１のリストを格納する格納ステップと、
   前記通信履歴情報に合致する前記特定通信定義情報に、一の前記端末の通信履歴情報に基づいて導出される自重みと、他の前記端末の通信履歴情報に基づいて導出される他重みと、を設定する重み付けステップと、
   重み付けされた前記特定通信定義情報のうち、所定の条件を満たす一以上の特定通信定義情報が登録される前記一の端末のための前記第１のリストを作成する作成ステップと、を含む制御方法。
7. 前記特定通信定義情報が登録されている第２のリストを取得する第１の取得ステップを含み、
   前記作成ステップでは、前記第１の取得ステップにて取得した前記第２のリストから、前記一の端末の通信履歴情報に合致する特定通信定義情報と、前記他の端末の通信履歴情報に合致する特定通信定義情報とを抽出して前記第１のリストを作成する、請求項６に記載の制御方法。
8. 前記他の端末は、前記一の端末と同じグループに属する、請求項６又は７に記載の制御方法。
9. コンピュータに、
   複数の端末から、通信履歴情報を収集する収集処理と、
   特定の通信対象を示す特定通信定義情報が登録されている第１のリストを格納する格納処理と、
   前記通信履歴情報に合致する前記特定通信定義情報に、一の前記端末の通信履歴情報に基づいて導出される自重みと、他の前記端末の通信履歴情報に基づいて導出される他重みと、を設定する重み付け処理と、
   重み付けされた前記特定通信定義情報のうち、所定の条件を満たす一以上の特定通信定義情報が登録される前記一の端末のための前記第１のリストを作成する作成処理と、を実行させるプログラム。
10. 前記特定通信定義情報が登録されている第２のリストを取得する第１の取得処理を実行させ、
    前記作成処理では、前記第１の取得処理にて取得した前記第２のリストから、前記一の端末の通信履歴情報に合致する特定通信定義情報と、前記他の端末の通信履歴情報に合致する特定通信定義情報とを抽出して前記第１のリストを作成する、請求項９に記載のプログラム。

Images