JP7157200B1 - 分析装置、分析方法及び分析プログラム - Google Patents

Abstract

【課題】大規模なＩＴインフラサービスにおける不正利用を検知すること。【解決手段】分析装置４０は、端末１０から送信されたＡＰＩリクエストを解釈した結果に基づきサーバ３０にＩＴインフラサービスを提供させるゲートウェイ装置２０のログを、所定の形式のデータに変換する。そして、分析装置４０は、変換したデータから、ＩＴインフラサービスの不正利用に関する所定の条件を満たす事象を検出する。【選択図】図１

Description

本発明は、分析装置、分析方法及び分析プログラムに関する。

従来、ＡＰＩ（Application Programming Interface）を介して提供されるＩＴインフラサービスが知られている。また、ＡＰＩを介して提供されるサービスにおいては、サービス利用者の端末から送信されたＡＰＩリクエストを基に新たなリクエストを生成し、当該生成したリクエストを用いてリダイレクトを行うことを端末に要求するＡＰＩの処理方法が用いられる場合がある。

特開２０１７－３３２２１号公報

しかしながら、従来の技術には、大規模なＩＴインフラサービスにおける不正利用を検知することが困難な場合があるという問題がある。例えば、大規模なＩＴインフラサービスを提供するためのネットワークに存在する多数のネットワーク機器及びサーバから、不正検知のためのログを収集することは、量的な観点から困難な場合がある。

上述した課題を解決し、目的を達成するために、分析装置は、端末から送信されたＡＰＩリクエストを解釈し、サーバにＩＴインフラサービスを提供させるゲートウェイ装置のログを、所定の形式のデータに変換する変換部と、前記変換部によって変換されたデータから、前記ＩＴインフラサービスの不正利用に関する所定の条件を満たす事象を検出する検出部と、を有することを特徴とする。

本発明によれば、大規模なＩＴインフラサービスにおける不正利用を検知することができる。

図１は、サービス提供システムの構成例を示す図である。 図２は、分析装置による分析方法を説明する図である。 図３は、分析装置の構成例を示す図である。 図４は、グラフへの変換について説明する図である。 図５は、グラフデータの例を示す図である。 図６は、第１の実施形態に係る分析装置の処理の流れを示すフローチャートである。 図７は、分析プログラムを実行するコンピュータの一例を示す図である。

以下に、本願に係る分析装置、分析方法及び分析プログラムの実施形態を図面に基づいて詳細に説明する。なお、本発明は、以下に説明する実施形態により限定されるものではない。

［第１の実施形態の構成］
まず、図１を用いて、分析装置を含むサービス提供システムの構成について説明する。図１は、サービス提供システムの構成例を示す図である。

図１に示すように、サービス提供システム１は、インターネットを利用してサービス利用者に様々なサービスを提供するためのシステムである。

図１の例では、サービス利用者は端末１０からＡＰＩを実行し、サーバ３０によるサービスの提供を受ける。例えば、端末１０はスマートフォン又はパーソナルコンピュータである。

サービス提供システム１は、ＩＴインフラサービス、金融サービス、飲食サービスといった様々なサービスを提供することができる。例えば、ＩＴインフラサービスは、利用者にネットワーク上のサーバ等を利用させるサービスである。また、例えば、金融サービスは、クレジットカードのオンラインでの決済を行うサービスである。また、例えば、飲食サービスは、飲食店における商品の注文をネットワーク経由で行うサービスである。

まず、端末１０は、利用するサービスの内容に応じたリクエスト（例えば、ＨＴＴＰリクエスト）をインターネットに送信する。ここで、端末１０によって送信されたリクエストはゲートウェイ装置２０によって受信される。

ゲートウェイ装置２０は、受信したリクエストに含まれるＵＲＬからクエリ文字列を抽出し、当該抽出したクエリ文字列を復号する。そして、ゲートウェイ装置２０は、復号したクエリ文字列を基に、端末１０に対してリダイレクトを実行することを要求する。

端末１０は、ゲートウェイ装置２０の要求に従ってリダイレクトを実行する。このとき、リダイレクトによって生じたリクエストはサーバ３０に送信される。サーバ３０は、受け取ったリクエストを基にサービスの提供に関する所定のアプリケーションを実行する。

ここで、分析装置４０は、ゲートウェイ装置２０からサービス利用ログ（ＩＴインフラサービスの利用ログ）を取得し、サーバ３０からＳＳＨ（Secure Shell）ログを取得する。そして、分析装置４０は、取得したログを用いて、サービスの不正利用の検知するための分析を行う。

図２は、分析装置による分析方法を説明する図である。図２に示すように、分析装置４０は、ゲートウェイ装置２０から取得したログをＤＢ（データベース）化する。例えば、分析装置４０は、ゲートウェイ装置２０から取得したＩＴインフラサービスの利用ログ及びサーバ３０から取得したＳＳＨログをグラフデータに変換し、ＤＢ化する。

そして、分析装置４０はＤＢを基にリスクを検出し、検出結果をサービス運用者の端末５０に通知する。

分析装置４０は、サービスの利用ログとＳＳＨログの相関解析によるリスクを検出することができる。ここで、ここで、サービスの利用ログはアプリケーション層のログである。また、ＳＳＨログはネットワーク層のログである。このため、分析装置４０は、アプリケーション層の情報とネットワーク層の情報を組み合わせたセキュリティリスクの検出が可能になる。

図３は、分析装置の構成例を示す図である。図３に示すように、分析装置４０は、通信部４１、記憶部４２及び制御部４３を有する。

通信部４１は、ネットワークを介して、ゲートウェイ装置２０等の装置との間でデータ通信を行う。例えば、通信部４１はＮＩＣ（Network Interface Card）である。

記憶部４２は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、光ディスク等の記憶装置である。なお、記憶部４２は、ＲＡＭ（Random Access Memory）、フラッシュメモリ、ＮＶＳＲＡＭ（Non Volatile Static Random Access Memory）等のデータを書き換え可能な半導体メモリであってもよい。

記憶部４２は、分析装置４０で実行されるＯＳ（Operating System）や各種プログラムを記憶する。記憶部４２は、ログ情報４２２及び検出情報４２３を記憶する。ログ情報４２２は、ＤＢ化されたログであり、例えばグラフデータである。また、検出情報４２３は、不正利用の検出結果である。

制御部４３は、分析装置４０全体を制御する。制御部４３は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＧＰＵ（Graphics Processing Unit）等の電子回路や、ＡＳＩＣ（Application Specific Integrated Circuit）、ＦＰＧＡ（Field Programmable Gate Array）等の集積回路である。また、制御部４３は、各種の処理手順を規定したプログラムや制御データを格納するための内部メモリを有し、内部メモリを用いて各処理を実行する。

また、制御部４３は、各種のプログラムが動作することにより各種の処理部として機能する。例えば、制御部４３は、変換部４３１、検出部４３２、加算部４３３及び通知部４３４を有する。

変換部４３１は、端末１０から送信されたＡＰＩリクエストを解釈した結果に基づきサーバ３０にＩＴインフラサービスを提供させるゲートウェイ装置２０のログを、所定の形式のデータに変換する。

ゲートウェイ装置２０は、ＵＲＬから抽出したクエリ文字列を復号することにより、ＡＰＩリクエストを解釈しているということができる。

例えば、変換部４３１は、ゲートウェイ装置２０から取得したサービス利用ログ及びサーバ３０から取得したＳＳＨログを、端末１０、サーバ３０及びＡＰＩをノードとし、ノード間におけるアクセスをエッジとするグラフに変換する。

図４は、グラフへの変換について説明する図である。変換部４３１は、取得したログを、「ｅｕ（end user）」、「ｃｄ（client device）」、「ＡＰＩ／ホスト」の３種類のノードを持つグラフデータに変換する。ここで得られたグラフデータは、アプリケーション層の情報とネットワーク層の情報を含んでいるということができる。

「ｅｕ」は端末１０を使用してＡＰＩを実行するサービス利用者に相当する。「ｃｄ」は端末１０に相当する。「ＡＰＩ／ホスト」はサービス提供システム１で実行可能なＡＰＩ（又はホスト）に相当する。また、ノード間のエッジはアクセスがあったことを意味している。

また、ある１つのノードから他の１つのノードへ複数回のアクセスがあった場合、図４に示すように、当該ノード間には複数のエッジが配置される。

図５は、グラフデータの例を示す図である。一例として、変換部４３１は、取得したログを図５のようなグラフデータに変換する。

検出部４３２は、変換部４３１によって変換されたデータから、ＩＴインフラサービスの不正利用に関する所定の条件を満たす事象を検出する。

検出部４３２は、ＡＰＩリクエストの成否とＨＴＴＰステータスコードが矛盾している事象を検出することができる。なお、ＡＰＩリクエストの成否はサービス利用ログから取得されたものであり、ＨＴＴＰステータスコードはＳＳＨログから取得されたものであってもよい。

例えば、検出部４３２は、端末１０からのＡＰＩリクエストが失敗していて、かつＨＴＴＰステータスコードが４００番台（エラー）である事象を検出する。

また、例えば、検出部４３２は、端末１０からのＡＰＩリクエストのuserがnot setであって、ＨＴＴＰステータスコードが２００番台（成功）である事象を検出する。

検出部４３２は、所定のパターンのＡＰＩリクエストの数が所定の値を越えていることを検出することができる。

例えば、検出部４３２は、ＡＰＩリクエストのＵＲＩの特定のパターンの単位時間（例えば１０分間）あたりの発生数の平均が過去の単位時間当たりの発生数の平均を越えたことを検出する。

また、例えば、検出部４３２は、所定のユーザによって発行される特定のＵＲＩが増大したことを検出する。

また、検出部４３２は、端末１０とサーバ３０との間に新たなPATH（端末１０とサーバ３０との間の経路）が生じたことを検出する。

また、例えば、図５の「ｅｕ」ノード１０１は、複数の「ｃｄ」ノードにアクセスしているため、検出部４３２は「ｅｕ」ノード１０１をリスクとして検出する。また、例えば、図５の「ＡＰＩ／ホスト」ノード２０１は、複数の「ｃｄ」ノードからアクセスされているため、検出部４３２は「ＡＰＩ／ホスト」ノード２０１をリスクとして検出する。

また、検出部４３２は、「ｃｄ」ノード３０１、３０２、３０３及び３０４についても、リスクとして検出されたノード１０１及びノード２０１との間にアクセスが存在するため、リスクとして検出する。

検出部４３２は、端末１０のサーバ３０へのログインに関する挙動のうち、所定の条件を満たす挙動を検出することができる。

例えば、検出部４３２は、ログインの失敗を検出する。また、例えば、検出部４３２は、ログイン後に複数のサーバ３０を経由したアクセスがあったこと（多段ＳＳＨ（Secure Shell））を検出する。

加算部４３３は、検出部４３２によって検出された事象をリスクとみなし、関連するノードにポイントを加算する。このポイントが大きいほど不正利用の可能性が高くなる。

通知部４３４は、検出結果を運用者に通知する。例えば、加算部４３３によって加算されたポイントが一定値を越えたノードに関する情報を通知する。

［第１の実施形態の処理］
図６は、第１の実施形態に係る分析装置の処理の流れを示すフローチャートである。図６に示すように、まず、分析装置４０は、ゲートウェイ装置２０等から取得したログをグラフデータに変換する（ステップＳ１０１）。

次に、分析装置４０は、グラフデータからリスクを検出する（ステップＳ１０２）。そして、分析装置４０は、リスクに応じてグラフデータのノードにポイントを加算する（ステップＳ１０３）。

そして、分析装置４０は、検出結果を運用者に通知する（ステップＳ１０４）。

［第１の実施形態の効果］
これまで説明してきたように、変換部４３１は、端末１０から送信されたＡＰＩリクエストを解釈した結果に基づきサーバ３０にＩＴインフラサービスを提供させるゲートウェイ装置２０のログを、所定の形式のデータに変換する。検出部４３２は、変換部４３１によって変換されたデータから、ＩＴインフラサービスの不正利用に関する所定の条件を満たす事象を検出する。

分析装置４０は、ゲートウェイ装置２０のログを参照することで、通信に関する情報とアプリケーションの利用に関する情報の両方を得ることができる。このため、本実施形態によれば、大規模なＩＴインフラサービスにおける不正利用を検知することができる。

変換部４３１は、ログを、端末１０、サーバ３０及びＡＰＩをノードとし、ノード間におけるアクセスをエッジとするグラフに変換する。これにより、エッジ数の計測といった既存のグラフ分析手法を用いて検出を行うことができる。

検出部４３２は、ＡＰＩリクエストの成否とＨＴＴＰステータスコードが矛盾している事象を検出する。これにより、不正なＡＰＩの実行を検出することができる。

検出部４３２は、所定のパターンのＡＰＩリクエストの数が所定の値を越えていることを検出する。また、検出部４３２は、端末１０とサーバ３０との間に新たなPATHが生じたことを検出する。これにより、ＡＰＩリクエストに関して通常とは異なる挙動を検出することができる。

検出部４３２は、端末１０のサーバ３０へのログインに関する挙動のうち、所定の条件を満たす挙動を検出する。これにより、不正なログインを検出することができる。

［システム構成等］
また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示のように構成されていることを要しない。すなわち、各装置の分散及び統合の具体的形態は図示のものに限られず、その全部又は一部を、各種の負荷や使用状況等に応じて、任意の単位で機能的又は物理的に分散又は統合して構成することができる。さらに、各装置にて行われる各処理機能は、その全部又は任意の一部が、ＣＰＵ及び当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。なお、プログラムは、ＣＰＵだけでなく、ＧＰＵ等の他のプロセッサによって実行されてもよい。

また、本実施形態において説明した各処理のうち、自動的に行われるものとして説明した処理の全部又は一部を手動的に行うこともでき、あるいは、手動的に行われるものとして説明した処理の全部又は一部を公知の方法で自動的に行うこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

［プログラム］
一実施形態として、分析装置４０は、パッケージソフトウェアやオンラインソフトウェアとして上記の分析処理を実行する分析プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の分析プログラムを情報処理装置に実行させることにより、情報処理装置を分析装置４０として機能させることができる。ここで言う情報処理装置には、デスクトップ型又はノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal Handyphone System）等の移動体通信端末、さらには、ＰＤＡ（Personal Digital Assistant）等のスレート端末等がその範疇に含まれる。

図７は、分析プログラムを実行するコンピュータの一例を示す図である。コンピュータ１０００は、例えば、メモリ１０１０、ＣＰＵ１０２０を有する。また、コンピュータ１０００は、ハードディスクドライブインタフェース１０３０、ディスクドライブインタフェース１０４０、シリアルポートインタフェース１０５０、ビデオアダプタ１０６０、ネットワークインタフェース１０７０を有する。これらの各部は、バス１０８０によって接続される。

メモリ１０１０は、ＲＯＭ（Read Only Memory）１０１１及びＲＡＭ（Random Access Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic Input Output System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。例えば磁気ディスクや光ディスク等の着脱可能な記憶媒体が、ディスクドライブ１１００に挿入される。シリアルポートインタフェース１０５０は、例えばマウス１１１０、キーボード１１２０に接続される。ビデオアダプタ１０６０は、例えばディスプレイ１１３０に接続される。

ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３、プログラムデータ１０９４を記憶する。すなわち、分析装置４０の各処理を規定するプログラムは、コンピュータにより実行可能なコードが記述されたプログラムモジュール１０９３として実装される。プログラムモジュール１０９３は、例えばハードディスクドライブ１０９０に記憶される。例えば、分析装置４０における機能構成と同様の処理を実行するためのプログラムモジュール１０９３が、ハードディスクドライブ１０９０に記憶される。なお、ハードディスクドライブ１０９０は、ＳＳＤ（Solid State Drive）により代替されてもよい。

また、上述した実施形態の処理で用いられる設定データは、プログラムデータ１０９４として、例えばメモリ１０１０やハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０は、メモリ１０１０やハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した実施形態の処理を実行する。

なお、プログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限らず、例えば着脱可能な記憶媒体に記憶され、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、プログラムモジュール１０９３及びプログラムデータ１０９４は、ネットワーク（ＬＡＮ（Local Area Network）、ＷＡＮ（Wide Area Network）等）を介して接続された他のコンピュータに記憶されてもよい。そして、プログラムモジュール１０９３及びプログラムデータ１０９４は、他のコンピュータから、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。

１ サービス提供システム
１０、５０ 端末
２０ ゲートウェイ装置
３０ サーバ
４０ 分析装置
４１ 通信部
４２ 記憶部
４３ 制御部
４２２ ログ情報
４２３ 検出情報
４３１ 変換部
４３２ 検出部
４３３ 加算部
４３４ 通知部

Claims (7)

1. 端末から送信されたＡＰＩリクエストを解釈した結果に基づきサーバにＩＴインフラサービスを提供させるゲートウェイ装置のログを、所定の形式のデータに変換する変換部と、
   前記変換部によって変換されたデータから、前記ＩＴインフラサービスの不正利用に関する所定の条件を満たす事象を検出する検出部と、
   を有し、
   前記検出部は、前記ＡＰＩリクエストの状態と、前記サーバから取得したＳＳＨ（Secure Shell）ログから取得されたＨＴＴＰステータスコードと、を基に前記条件を満たす事象を検出 することを特徴とする分析装置。
2. 前記変換部は、前記ゲートウェイ装置から取得した前記ＩＴインフラサービスの利用ログ及び前記サーバから取得したＳＳＨ（Secure Shell）ログを、端末、サーバ及びＡＰＩをノードとし、ノード間におけるアクセスをエッジとするグラフに変換することを特徴とする請求項１に記載の分析装置。
3. 前記検出部は、所定のパターンのＡＰＩリクエストの数が所定の値を越えていることを検出することを特徴とする請求項１又は２に記載の分析装置。
4. 前記検出部は、端末とサーバとの間に新たなPATHが生じたことを検出することを特徴とする請求項１又は２に記載の分析装置。
5. 前記検出部は、端末のサーバへのログインに関する挙動のうち、所定の条件を満たす挙動を検出することを特徴とする請求項１又は２に記載の分析装置。
6. 分析装置によって実行される分析方法であって、
   端末から送信されたＡＰＩリクエストを解釈した結果に基づきサーバにＩＴインフラサービスを提供させるゲートウェイ装置のログを、所定の形式のデータに変換する変換工程と、
   前記変換工程によって変換されたデータから、前記ＩＴインフラサービスの不正利用に関する所定の条件を満たす事象を検出する検出工程と、
   を含み、
   前記検出工程は、前記ＡＰＩリクエストの状態と、前記サーバから取得したＳＳＨ（Secure Shell）ログから取得されたＨＴＴＰステータスコードと、を基に前記条件を満たす事象を検出する ことを特徴とする分析方法。
7. コンピュータを、請求項１から５のいずれか１項に記載の分析装置として機能させるための分析プログラム。

Images