WO2016185922A1 - アクセス管理装置、アクセス管理方法およびコンピュータプログラム - Google Patents

アクセス管理装置、アクセス管理方法およびコンピュータプログラム Download PDF

Info

Publication number
WO2016185922A1
WO2016185922A1 PCT/JP2016/063711 JP2016063711W WO2016185922A1 WO 2016185922 A1 WO2016185922 A1 WO 2016185922A1 JP 2016063711 W JP2016063711 W JP 2016063711W WO 2016185922 A1 WO2016185922 A1 WO 2016185922A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
information
log
important information
recorded
Prior art date
Application number
PCT/JP2016/063711
Other languages
English (en)
French (fr)
Inventor
小出祐輔
橋本淳
岸謙介
Original Assignee
株式会社野村総合研究所
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社野村総合研究所 filed Critical 株式会社野村総合研究所
Publication of WO2016185922A1 publication Critical patent/WO2016185922A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules

Definitions

  • the present invention relates to data processing technology, and more particularly to an access management device, an access management method, and a computer program.
  • the present applicant has proposed a technique for reducing the security risk of the information processing apparatus (see, for example, Patent Document 1).
  • an access management apparatus performs login to a work target apparatus on behalf of an operator or developer.
  • the account of the work target device can be kept secret from the operator and the developer, and the security risk of the work target device is reduced.
  • the present invention has been made in view of the above problems, and its main purpose is to support the discovery of an illegal operation from a huge amount of operation records.
  • an access management apparatus provides a plurality of logs related to a plurality of operations performed from a user terminal to a server capable of storing a file in which predetermined important information is recorded.
  • the detection unit for detecting that and the important information is recorded in the specific file
  • a notification unit for notifying a predetermined inspector of information for identifying a log relating to an operation for acquiring a specific file when the detection unit detects the file.
  • the apparatus includes: a log holding unit that holds a plurality of logs related to operations performed on a predetermined server from a user terminal; and at least one of the plurality of logs held in the log holding unit.
  • a detection unit that detects the fact and a log in which the predetermined operation has been performed on the file or folder of the server
  • the method includes a step of storing, in a predetermined storage area, a plurality of logs relating to a plurality of operations performed from a user terminal on a server in which a file in which predetermined important information is recorded can be stored; If important information is recorded in a specific file, which is a file obtained from, the detection of that and the step of detecting that important information is recorded in the specific file.
  • the computer executes a step of notifying a predetermined auditor of information for identifying a log relating to the acquisition operation.
  • FIG. 4 It is a figure which shows the structure of the enterprise system of embodiment. It is a block diagram which shows the structure of the access management apparatus of FIG. It is a figure which shows the structure of the log accumulate
  • JP 2009-043020 JP 2011-070427, JP 2012-124787, JP 2012-203624, JP 2012-226461, JP 2013-045278. Gazette, JP2013-21421A JP, JP 2006-004333, JP 2006-221322, JP 2006-276987, JP 2007-226827, JP 2008-117316, JP 2008-117317. JP 2010-267283 A, International Publication No. 2014/091576, International Publication No. 2014/109022, International Publication No. 2015/004743, International Publication No. 2015/004744. The entire contents of these documents are hereby incorporated by reference.
  • the access management apparatus manages access of a user terminal to an information system and accumulates operation records by the user terminal with respect to the information system.
  • This access management device automatically analyzes the accumulated operation records and realizes a function for detecting and notifying important information held by companies and organizations. This reduces the burden of monitoring and analyzing operation records in companies and organizations, and supports early detection of fraud.
  • the important information of the embodiment is information of items predetermined as take-out monitoring targets, and includes so-called personal information.
  • the important information in the embodiment specifically includes a person name, an e-mail address, a telephone number, a postal code, an address, and a credit card number.
  • the operation record can also be called an audit trail, and is called a log in the embodiment.
  • FIG. 1 shows the configuration of the enterprise system of the embodiment.
  • the enterprise system 10 is an information system built in a company, and each apparatus in FIG. 1 is connected via a communication network including a LAN, a WAN, and the Internet.
  • the enterprise system 10 includes a user terminal 12a, a user terminal 12b, a user terminal 12c, and an information providing server 14a, an information providing server 14b, an information providing server 14c, and an access management device. 16.
  • An auditor terminal 18 is provided.
  • Each of the plurality of information providing servers 14 is an information processing apparatus that stores and manages important information.
  • the information providing server 14 is also a file server, and is a device that can store a file including important information in a storage device such as a storage or a memory.
  • a file is a group of data that is a basic unit when the information processing apparatus handles data, and can be said to be content of an arbitrary electronic medium, and can also be called a data set.
  • Each of the plurality of user terminals 12 is an information terminal operated by a user (hereinafter referred to as a “user”) of the enterprise system 10 such as a company employee or an organization member, such as a PC, a smartphone, or a tablet terminal. is there.
  • the user terminal 12 accesses the information providing server 14 by known means such as TELNET, SSH, FTP, SCP, SFTP, CIFS.
  • the access management device 16 relays requests and responses sent and received between the user terminal 12 and the information providing server 14 when each of the plurality of user terminals 12 accesses any of the plurality of information providing servers 14. It is a processing device.
  • the access management device 16 can be said to be a reverse proxy of a plurality of information providing servers 14 and a stepping device.
  • the access management device 16 intensively collects a plurality of logs related to access to a plurality of information providing servers 14 from a plurality of user terminals 12 in the enterprise system 10.
  • the inspector terminal 18 is an information terminal operated by an inspector predetermined in a company or organization. Auditors can be said to be responsible for and responsible for information security in companies and organizations. The inspector refers to the log stored in the access management device 16 to confirm whether the important information has been illegally taken out. When an important information is illegally taken out, the auditor is responsible for carrying out an appropriate response in accordance with the security policy of the company or organization, for example, inquiring the user who has taken out the important information.
  • FIG. 2 is a block diagram showing the configuration of the access management device 16 of FIG.
  • the access management device 16 includes a control unit 20, a storage unit 22, and a communication unit 24.
  • the control unit 20 executes various data processing.
  • the storage unit 22 is a storage area that stores data that is referred to and updated by the control unit 20.
  • the communication unit 24 communicates with an external device according to various communication protocols.
  • the control unit 20 transmits and receives data to and from the user terminal 12, the information providing server 14, and the inspector terminal 18 via the communication unit 24.
  • an access management program including a module corresponding to each block in the control unit 20 may be stored in a recording medium such as a DVD and installed in the access management device 16.
  • the access management device 16 performs the function of each block in the control unit 20 by executing the access management program stored in the storage of the access management device 16 by a processor (CPU or the like) of the access management device 16. Also good.
  • the storage unit 22 may be realized by storing data in the storage or memory of the access management device 16.
  • the storage unit 22 includes a dictionary holding unit 30, a log holding unit 32, and an application information holding unit 34.
  • the dictionary holding unit 30 is a character string to be collated with a character string recorded in a file taken out by the user, and holds dictionary data that defines a character string indicating important information.
  • the dictionary holding unit 30 holds dictionary data for each prefecture name, municipality name, person name, Roman name for mail address, telephone number, postal code, and credit card number.
  • the character string indicating the important information defined by the dictionary data may include a regular expression character string.
  • the postal code may be defined as a three-digit / four-digit sequence pattern separated by a hyphen.
  • Credit card numbers are defined as hyphen-delimited 4-digit, 6-digit and 4-digit sequence patterns, 4-digit, 6-digit and 5-digit sequence patterns, 4-digit, 4-digit, 4-digit and 4-digit sequence patterns. May be.
  • the log holding unit 32 is a plurality of logs related to access from the plurality of user terminals 12 to the plurality of information providing servers 14, and is a storage area for storing a plurality of logs related to a plurality of operations performed at a plurality of timings.
  • FIG. 3 shows a configuration of logs accumulated in the log holding unit 32.
  • the log holding unit 32 includes an access log table.
  • One record in the access log table corresponds to a series of operations on the information providing server 14 performed by a specific user at a specific timing. For example, it corresponds to one or more operations performed in one FTP session until the user of the user terminal 12a logs in to the information providing server 14a by FTP, acquires a file, and logs out.
  • the user name of the access log table is the user name of the user terminal 12 and indicates the name of the user who has input an operation to the information providing server 14, in other words, the name of the operator.
  • the operation start time and operation end time indicate the start timing and end timing of a series of operations on the information providing server 14, for example, the login date and time and the logout date and time by FTP.
  • the important information flag is a flag serving as an alert notification trigger to the auditor.
  • the initial value of the important information flag is off, and the important information flag is turned on when the file taken out by the user contains important information or conforms to it.
  • the ZIP file name is a name (full path name) of a ZIP file, which will be described later, in other words, a pointer to the ZIP file.
  • the non-application file name is a file name other than the file for which the user has applied for acquisition in advance among the files acquired from the information providing server 14.
  • the important information detection file name is a file name that is detected to include important information.
  • the important information unknown file name is a file name for which important information could not be searched. In other words, it is an unknown file name including whether important information is included. Typically, it is an encrypted file, for example, a ZIP file with a password.
  • the ZIP file corresponds to one record of the access log table, that is, corresponds to a series of operations on the information providing server 14 performed by a specific user at a specific timing. Information on one or more commands corresponding to a series of user operations is recorded in the command data file.
  • the ZIP file includes actual data of one or more files (acquired file # 1, acquired file # 2) acquired by the user from the information providing server 14. In other words, the file itself provided to the user terminal 12 by the information providing server 14 according to the user's operation is included.
  • the application information holding unit 34 holds the file name to be acquired that the user of the user terminal 12 applied to the access management device 16 in advance. Note that the user may further apply for a file acquisition scheduled date and time or a time zone during which an operation is performed by logging in to the information providing server 14, and these pieces of information may also be held in the application information holding unit 34.
  • the control unit 20 includes an access relay unit 36, a log recording unit 38, an application information reception unit 40, an important information detection unit 42, an alert notification unit 44, and a log search unit 46.
  • the access relay unit 36 relays access from the user terminal 12 to the information providing server 14. For example, based on protocols such as TELNET, SSH, FTP, SCP, SFTP, and CIFS, the request transmitted from the user terminal 12 is transferred to the information providing server 14 and the response of the information providing server 14 to the request is transmitted to the user terminal 12. Forward to.
  • the access relay unit 36 receives the file acquisition request and transfers it to the information providing server 14.
  • a response (including file data) transmitted by the information providing server 14 in response to the file acquisition request is received, and the response is transferred to the user terminal 12.
  • the log recording unit 38 is a plurality of logs related to access from the plurality of user terminals 12 to the plurality of information providing servers 14, and records a plurality of logs related to a plurality of operations performed at a plurality of timings in the log holding unit 32.
  • the log recording unit 38 acquires a command or file relayed by the access relay unit 36 from the access relay unit 36.
  • the log recording unit 38 stores access source user information, operation date and time, commands, files, and other data in the log holding unit 32.
  • the user terminal 12 and / or the information providing server 14 may record a log related to the access from the user terminal 12 to the information providing server 14.
  • an agent application of the access management device 16 may be installed in the user terminal 12 and / or the information providing server 14, and this agent may transmit log data recorded locally to the access management device 16.
  • the log recording unit 38 may store the log data transmitted from the agent in the log holding unit 32 instead of the command or file data relayed by the access relay unit 36 or together with the data.
  • the application information receiving unit 40 is application information transmitted from the user terminal 12, and receives application information including a file name scheduled to be acquired in the future.
  • the application information receiving unit 40 stores the application information in the application information holding unit 34 in association with the user name of the application source user terminal 12.
  • the application information receiving unit 40 may transfer the application information transmitted from the user terminal 12 to a terminal of another user having a predetermined authority such as a user boss, an auditor, or a system administrator. Then, the application information may be stored in the application information holding unit 34 on condition that the other user has approved. That is, application information approved by a user having a predetermined authority may be stored in the application information holding unit 34.
  • the important information detection unit 42 holds a condition (hereinafter also referred to as “alert notification condition”) for notifying the auditor of an alert, and the alert notification condition when the user terminal 12 acquires a file from the information providing server 14. Whether or not is satisfied is determined.
  • the alert notification condition is satisfied in the following three cases.
  • (Case B) A file containing important information was acquired.
  • the important information detection unit 42 is the name of the file relayed by the access relay unit 36, and the file name acquired by the user terminal 12 from the information providing server 14 (referred to as “acquired file name”) from the access relay unit 36. get.
  • the name of the acquisition file stored in the log holding unit 32 by the log recording unit 38 may be acquired and referenced.
  • the important information detection unit 42 refers to the application information holding unit 34 and is the name of the file to be acquired that the user of the user terminal 12 has applied for in advance, and is stored in association with the user name of the user terminal 12 Identify the name (referred to as "application file name").
  • the important information detection unit 42 collates the acquired file name and the application file name, and detects the fact when they are different.
  • the important information detection unit 42 determines that the alert notification condition is satisfied when the acquired file name and the application file name are different (the above case A). At this time, the important information detection unit 42 sets the important information flag in the access log table of the log holding unit 32 to ON. At the same time, the acquired file name is recorded in the file name of unrequested file in the access log table.
  • the important information detection unit 42 is a file relayed by the access relay unit 36, and the actual data of the file acquired by the user terminal 12 from the information providing server 14 (referred to as “acquired file data”) from the access relay unit 36. get.
  • the log recording unit 38 may acquire and refer to the actual data of the acquired file stored in the log holding unit 32.
  • the important information detection unit 42 searches the acquired file data for important information defined in each of a plurality of types of dictionaries held in the dictionary holding unit 30. In other words, it is determined whether important information is recorded in the acquired file data.
  • the important information detection unit 42 detects the fact when the important information is recorded in the acquired file data regardless of the prior application, and determines that the alert notification condition is satisfied (the above case B). ). At this time, the important information detection unit 42 sets the important information flag in the access log table of the log holding unit 32 to ON. At the same time, the name of the acquired file (that is, the file name) is recorded in the important information detection file name in the access log table. In the embodiment, it is determined that the alert notification condition is satisfied when a character string that completely matches the important information defined by the dictionary is included, but as a modification, if there is a character string that partially matches the important information defined by the dictionary, an alert is generated. It may be determined that the notification condition is satisfied.
  • the important information detection unit 42 detects the fact and determines that the alert notification condition is satisfied (the above case C). In other words, it is determined that the alert notification condition is satisfied when the acquired file data is processed so that important information cannot be searched. At this time, the important information detection unit 42 sets the important information flag in the access log table of the log holding unit 32 to ON. At the same time, the name of the acquired file is recorded in the important information unknown file name in the access log table.
  • the important information detection unit 42 refers to the metadata of the acquired file data and detects that a predetermined encryption flag is on, that is, when it detects that the acquired file data is encrypted Alternatively, it may be determined that the alert notification condition is satisfied. Also, if the retrieval of important information for the acquired file data ends abnormally, for example, if an error occurs during the retrieval process as a result of the file data being encrypted, even if it is determined that the alert notification condition is satisfied Good.
  • the alert notification unit 44 detects that the alert notification condition is satisfied by the important information detection unit 42 or detects that the important information flag in the access log table of the log holding unit 32 is set to ON. Alerts the auditor.
  • the alert notification unit 44 is a log related to a file acquisition operation that has been determined by the important information detection unit 42 that the alert notification condition has been satisfied, and the record (in the access log table with the important information flag set to ON ( That is, log) is identified as a specific log.
  • an electronic mail hereinafter also referred to as “alert mail” including information for identifying a specific log from among the plurality of logs stored in the log holding unit 32 is transmitted to the inspector terminal 18.
  • the alert notification unit 44 sets the identification information of the specific log in the body of the alert mail addressed to the auditor, together with the alert text (important information is detected, a file other than the application is acquired, etc.).
  • the identification information of the specific log can be said to be a keyword for searching the specific log, and specifically includes a user name, an operation start time, and an operation end time recorded in the specific log.
  • operation identification information operation ID or the like
  • the operation ID may be included in the identification information of the specific log.
  • the alert notification unit 44 may notify the alert by other means such as a push notification of an alert message to the auditor terminal 18 instead of transmitting the alert mail.
  • the log search unit 46 displays information regarding a log that matches the input information among the plurality of logs held in the log holding unit 32. 18 to provide. Specifically, the log search unit 46 transmits a search screen (such as a web page) for searching for a log to the auditor terminal 18 and displays it in response to a request from the auditor terminal 18.
  • the log search unit 46 receives the search condition input by the auditor on the search screen from the auditor terminal 18 and searches for a log that matches the search condition from a plurality of logs stored in the log holding unit 32. To do. If there is a log that matches the search condition, a search result screen (web page or the like) in which the log information is set is transmitted to the inspector terminal 18 and displayed.
  • the auditor inputs the user name, operation start time, and operation end time notified by the alert mail to the search screen as search conditions, and further sets the condition that the important information flag is on as a search screen. Press the search execution button.
  • the log search unit 46 identifies a record in the access log table that matches the user name, operation start time, operation end time, and important information flag specified on the search screen, and sets the data of the record. Is transmitted to the inspector terminal 18 and displayed.
  • the search result screen includes the information items of the access log table of FIG. 3, that is, includes the ZIP file name, the non-application file name, the important information detection file name, and the important information unknown file name.
  • the log providing unit (not shown) of the access management device 16 acquires the selected ZIP file from the log holding unit 32 and transmits it to the inspector terminal 18.
  • the inspector can refer to the command data file and the acquisition file to determine whether the user has illegally acquired the file and whether the important information has been leaked.
  • the functions of the functional blocks shown in FIG. 2 may be executed in a distributed manner by a plurality of information processing apparatuses.
  • the log holding unit 32 and the application information holding unit 34 may be realized by a device (such as a database server) that is independent from devices including other functional blocks.
  • the access relay processing between the user terminal 12 and the information providing server 14 and the log storage, analysis, and notification processing may be realized by different information processing apparatuses. That is, it goes without saying that a plurality of information processing apparatuses may cooperate to realize the access management apparatus 16 of the embodiment.
  • FIG. 4 is a flowchart showing the operation of the access management device 16 of FIG.
  • the user of the user terminal 12a logs into the information providing server 14a and acquires a file (for example, FTP-GET) from the information providing server 14a.
  • a file for example, FTP-GET
  • the user terminal 12a acquires an application screen (such as a web page) of a file name to be acquired from the access management device 16 according to a user operation, and displays it on the display.
  • an application screen such as a web page
  • the user terminal 12a displays the file name input on the application screen.
  • Application information is transmitted to the access management device 16.
  • the application information receiving unit 40 of the access management device 16 stores the application information in the application information holding unit 34 in association with the applicant name (user name) (S12). If the application information has not been received (N in S10), S12 is skipped.
  • the user terminal 12a transmits a request message to the information providing server 14a, for example, a message requesting login or file acquisition, to the information providing server 14a in response to a user operation.
  • the access relay unit 36 of the access management device 16 receives a request message sent from the user terminal 12a to the information providing server 14a (Y in S14)
  • the access relay unit 36 transfers the request message to the information providing server 14a (S16).
  • the access relay unit 36 transfers the response message to the user terminal 12a transmitted from the information providing server 14a to the user terminal 12a (S18).
  • the log recording unit 38 stores, in the log holding unit 32, a log indicating a plurality of operations related to a series of operations transmitted from the user terminal 12a to the information providing server 14a during one login session of the user (S20).
  • the log recording unit 38 also stores the actual data of the file as a log.
  • the important information detection unit 42 receives the important information.
  • a detection process is executed (S24).
  • the alert notification unit 44 includes an alert including information for identifying a log related to the file acquisition operation that satisfies the alert condition.
  • the mail is transmitted to the inspector terminal 18 (S28). If the alert condition is not satisfied in the important information detection process and the important information flag is off (N in S26), S28 is skipped.
  • FIG. 5 is a flowchart showing in detail the important information detection process in S24 of FIG.
  • the important information flag is turned on. (S32). If the name of the file actually acquired by the user terminal 12a matches the name of the file applied in advance by the user of the user terminal 12a (Y in S30), S32 is skipped.
  • the important information detection unit 42 searches for important information from the file data actually acquired by the user terminal 12a (S34). If the file is configured so that important information can be searched (N in S36), and it is detected that the important information is recorded in the file (Y in S38), it is determined that the alert notification condition is satisfied, The important information flag is switched on (S40).
  • the access management device 16 provides a user interface for log search.
  • the auditor searches the log held by the access management device 16 using the log identification information set in the alert mail as a key. Based on the search results, appropriate actions are implemented according to the security policy of the company / organization.
  • the auditor has regularly audited the access log to each information providing server 14, but it is necessary to find an illegal file acquisition operation from a huge access log, and the work takes a lot of time. Needed.
  • the access management device 16 of the embodiment it is automatically determined whether or not there is an information security risk in the user's file acquisition operation, and log information related to the file acquisition operation in which the risk exists is sent to the auditor. Notify automatically. Accordingly, it is possible to support the auditor so that the log indicating the file acquisition operation that may present an information security risk can be confirmed early and efficiently, and to perform an appropriate action early and efficiently.
  • the risk of information security is reduced by checking whether the name of the file acquired by the user matches the name of the file previously applied by the user.
  • the file name can be changed and may be spoofed. Therefore, the access management device 16 sets all the files acquired by the user as important information search targets regardless of whether or not there is an application, and notifies the auditor of an alert if the important information is included.
  • the retrieval accuracy of important information depends on the dictionary, and perfect detection of important information may be difficult, but by performing both formal file name check and substantial important information retrieval in parallel, the information Security risks can be effectively reduced.
  • the access management device 16 when the important information cannot be searched for the file acquired by the user, an alert is notified to the auditor. In other words, even when it is unclear whether important information is included, it is possible to further reduce information security risks by notifying an auditor of an alert from the viewpoint of safety.
  • the first modification relates to alert notification conditions.
  • the important information detection unit 42 sets all the files acquired by the user as important information search targets regardless of whether or not there is an application.
  • any file that matches the file name that has been previously applied by the user and approved by another user having a predetermined authority may be excluded from the important information search target. This is because the information security risk is assumed to be low because it matches the approved file name.
  • the processing load of the access management apparatus 16 can be reduced.
  • the important information detection unit 42 indicates that a predetermined operation for changing the attribute of the file, such as changing the file name or creating a ZIP file with or without a password, is not executed in a series of user operations. The determination may be made based on the command relayed by the access relay unit 36 or the log of the log holding unit 32.
  • the fact that the predetermined operation for changing the attribute of the file has not been executed means that the file name is not camouflaged or the processing for interfering with the important information search has not been executed. If such a predetermined operation has not been executed, the important information detection unit 42 may exclude the important information from being searched if the file matches the file name applied in advance. According to this aspect, it is possible to further suppress a decrease in information security. Note that excluding important information retrieval includes skipping alert notification when important information is included in the acquired file, and skipping alert notification when important information retrieval is impossible.
  • file transfer is exemplified as an example of file acquisition.
  • the important information search by the access management device 16 is not limited to this example.
  • file data is provided from the information providing server 14 to the user terminal 12 based on various protocols, for example, when a file is displayed by a remote desktop, it is needless to say that the present invention is applicable in general.
  • the access management device 16 may output logs at relatively short intervals and detect in real time whether or not important information is included in each log. Further, the access management device 16 may detect in real time whether or not important information is included in the log to be saved when the log is saved. When important information is included in the log, the access management device 16 may restrict access from the user terminal 12 to the information providing server 14. According to this aspect, even when an internal party having the authority to operate the information providing server 14 performs an unauthorized operation on the information providing server 14, the important information is illegally acquired from the information providing server 14, that is, the information providing It becomes easy to prevent leakage of important information held by the server 14 at the water's edge.
  • the access relay unit 36 of the fourth modification relays information related to the operation between the user terminal 12 and the information providing server 14 and outputs a log related to the operation (hereinafter referred to as “relay log”).
  • the access relay unit 36 may output a relay log related to the operation at a predetermined interval.
  • the relay log is output to the important information detection unit 42 together with the log recording unit 38.
  • the relay log may include information indicating operation contents (command information) and information indicating operation results.
  • the relay log output interval may be every time one command is transferred, every time an operation result is transferred, or every time a predetermined time (several seconds to about 10 seconds) elapses.
  • the dictionary holding unit 30 holds a dictionary that defines keywords and key phrases to be searched from the relay log as important information.
  • words and phrases corresponding to personal information may be recorded, and information on commands corresponding to illegal operations and dangerous operations may be recorded.
  • the important information detection unit 42 searches the relay log for important information indicated by the dictionary of the dictionary holding unit 30 every time the access relay unit 36 outputs a relay log. When important information is recorded in the relay log, the fact is detected.
  • the access relay unit 36 stops relaying information between the user terminal 12 and the information providing server 14 when the important information detecting unit 42 detects that important information is recorded in the relay log.
  • the session management unit (not shown) may forcibly disconnect the session between the user terminal 12 and the information providing server 14, and the user terminal 12 and the access management device 16 The session may be forcibly disconnected.
  • the alert notification unit 44 may notify the auditor terminal 18 of an alert indicating the fact as in the embodiment.
  • the access relay unit 36 outputs a log “12345678890123456789ABCD4567889012345678901”.
  • the important information detection unit 42 detects the log at an interval of 20 bytes, and the keyword indicating the important information is “ABCD”.
  • the important information detection unit 42 searches for important information by partially overlapping logs according to the length of the keyword.
  • the important information detection unit 42 can sequentially search the log output from the access relay unit 36 every moment, and can quickly detect the presence of the important information. If the length of the important information is several characters to several tens of characters, for example, a log of about 100 characters can be searched once, and a log that is duplicated according to the length of the longest important information (about several tens of characters) You may search.
  • the access management device 16 notifies the auditor of an alert when a predetermined operation is performed on a file or folder (also referred to as a directory) of the information providing server 14.
  • the operation on the detection target file or folder may be an operation related to an illegal act or may be an operation specified in order to reduce a security risk, and is hereinafter referred to as a “specific operation”.
  • the specific operation for the file may be an open operation, a delete operation, a move operation, or a change operation.
  • the specific operation for the folder may be an open operation, a delete operation, a move operation, or a file addition operation.
  • the log holding unit 32 accumulates a plurality of logs related to a plurality of operations performed on the information providing server 14 from a user terminal.
  • the log held in the log holding unit 32 may be a record of the access log table described in the first embodiment. Further, it may be a system log of the access management apparatus 16, an event log in the Windows (registered trademark) OS, or a Syslog message.
  • the log recording unit 38 is a plurality of logs related to the access from the plurality of user terminals 12 to the plurality of information providing servers 14, and a plurality of operations related to a plurality of operations performed at a plurality of timings.
  • the log is recorded in the log holding unit 32.
  • the log recording unit 38 according to the second embodiment records, in the log holding unit 32, logs (operation names and operation targets) indicating various operations performed on the files and folders of the information providing server 14 from the user terminal 12. .
  • the access management device 16 of the second embodiment further includes an operation detection unit (not shown) instead of the important information detection unit 42 of the first embodiment or together with the important information detection unit 42.
  • the operation detection unit detects that a specific operation has been performed on the file or folder of the information providing server 14 in at least one of the plurality of logs held in the log holding unit 32. To do. For example, if an operation name indicated by a log matches the name of a specific operation and the operation target indicated by the log matches a file or folder, it is determined that the specific operation is recorded in the log. May be.
  • the details of the specific operation may be specified in advance by the auditor.
  • the access management device 16 may hold information specifying a specific operation input from the inspector terminal 18 in advance and detect whether or not the specific operation specified by the information is executed. Similarly, a file or folder to be monitored may be designated in advance by an auditor.
  • the access management device 16 holds information indicating the monitoring target file and the monitoring target folder input from the inspector terminal 18 in advance, and the log holding unit 32 indicates whether or not a specific operation is performed on the file and folder specified by the information. It may be detected by referring to a plurality of logs held in the log.
  • the operation detection unit is an identification for distinguishing a log (hereinafter referred to as “specific log”) in which a specific operation has been performed on a file or folder of the information providing server 14 from other logs. Detect information.
  • the identification information may be an ID unique to each log, or may be the keyword when a unique keyword is included in each log.
  • the event ID may be detected as identification information
  • the message ID may be detected as identification information.
  • the alert notification unit 44 notifies the auditor terminal 18 of alert information indicating a specific log when the operation detection unit detects that a specific operation has been performed on the file or folder of the information providing server 14.
  • the alert information includes alert text (text indicating that a specific operation has been performed on a file or a folder) and identification information of a specific log detected by the operation detection unit.
  • the user name, operation start time, and operation end time recorded in the specific log may be set as the identification information of the specific log.
  • the access management device 16 of the second embodiment it is automatically determined whether there is an information security risk in the user operation on the file or folder, and the log information related to the user operation in which the risk exists is stored. Notify the auditor automatically. As a result, similar to the first embodiment, it supports the auditor to check the log indicating the file operation or the folder operation that may have an information security risk early and efficiently, and early and efficiently. Can help take appropriate action.
  • the present invention can be used for an apparatus for managing user access to a server.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Debugging And Monitoring (AREA)

Abstract

ログ保持部３２は、所定の重要情報が記録されたファイルが記憶されうるサーバに対してユーザの端末からなされた複数の操作に関する複数のログを保持する。重要情報検出部４２は、ユーザの端末がサーバから取得したファイルである特定ファイルに重要情報が記録されている場合、そのことを検出する。アラート通知部４４は、特定ファイルに重要情報が記録されていることが検出された場合に、特定ファイルの取得操作に関するログを識別するための情報を予め定められた監査者へ通知する。

Description

アクセス管理装置、アクセス管理方法およびコンピュータプログラム
　この発明は、データ処理技術に関し、特にアクセス管理装置、アクセス管理方法およびコンピュータプログラムに関する。
　本出願人は、情報処理装置のセキュリティ上のリスクを低減するための技術を提案している（例えば特許文献１参照）。特許文献１の情報処理システムでは、作業対象装置へのログインを運用者や開発者に代わってアクセス管理装置が行う。これにより、作業対象装置のアカウントを運用者や開発者から秘匿でき、作業対象装置のセキュリティ上のリスクを低減する。
特開２０１３－４５２７８号公報
　ところで、自社や委託先の社員といった内部関係者の不正行為による企業・組織の情報漏洩事件が発生することがあり、その防止対策が社会的に重要になっている。しかし、正規の情報アクセス権限を与えられた社員が行った操作に関する記録（ログ等）は膨大な量にのぼり、膨大な操作記録の中から、不正な情報持ち出しを見つけ出すことは容易ではなかった。
　本発明は、上記課題を鑑みてなされたものであり、主たる目的は、膨大な操作記録の中から不正な操作を発見することを支援することである。
　上記課題を解決するために、本発明のある態様のアクセス管理装置は、所定の重要情報が記録されたファイルが記憶されうるサーバに対してユーザの端末からなされた複数の操作に関する複数のログを保持するログ保持部と、ユーザの端末がサーバから取得したファイルである特定ファイルに重要情報が記録されている場合、そのことを検出する検出部と、特定ファイルに重要情報が記録されていることが検出部により検出された場合に、特定ファイルの取得操作に関するログを識別するための情報を予め定められた監査者へ通知する通知部と、を備える。
　本発明の別の態様もアクセス管理装置である。この装置は、所定のサーバに対してユーザの端末からなされた操作に関する複数のログを保持するログ保持部と、前記ログ保持部に保持された複数のログの少なくとも１つに、前記サーバのファイルまたはフォルダに対して所定の操作がなされたことが記録されている場合、そのことを検出する検出部と、前記サーバのファイルまたはフォルダに対して前記所定の操作がなされたことが記録されたログを示す情報を予め定められた監査者へ通知する通知部と、を備える。
　本発明の別の態様は、アクセス管理方法である。この方法は、所定の重要情報が記録されたファイルが記憶されうるサーバに対してユーザの端末からなされた複数の操作に関する複数のログを所定の記憶領域へ格納するステップと、ユーザの端末がサーバから取得したファイルである特定ファイルに重要情報が記録されている場合、そのことを検出するステップと、特定ファイルに重要情報が記録されていることを検出するステップで検出した場合に、特定ファイルの取得操作に関するログを識別するための情報を予め定められた監査者へ通知するステップと、をコンピュータが実行する。
　なお、以上の構成要素の任意の組合せ、本発明の表現を、システム、コンピュータプログラム、コンピュータプログラムを格納した記録媒体などの間で変換したものもまた、本発明の態様として有効である。
　本発明によれば、膨大な操作記録の中から不正な操作を発見することを支援できる。
実施の形態のエンタープライズシステムの構成を示す図である。 図１のアクセス管理装置の構成を示すブロック図である。 ログ保持部に蓄積されるログの構成を示す図である。 実施の形態のアクセス管理装置の動作を示すフローチャートである。 図４のＳ２４の重要情報検出処理を詳細に示すフローチャートである。
　本出願人は、情報処理装置のセキュリティ上のリスクを低減するための以下の技術を提案している。特開２００４－２１３４７６号公報、特開平１１－２７２６１６号公報、特開２００４－２１３４７５号公報、特開平０８－０４４６３０号公報、特開２００６－０５３７８０号公報、特開２００６－２７７５１８号公報、特開２００７－０４８２４１号公報、特開２００８－２２６０５７号公報、特開２００８－２０３９３９号公報、特開２００８－１１７００７号公報、特開２００８－２２６０５８号公報、特開２００９－０４３０１９号公報、特開２００９－０４３０１８号公報、特開２００９－０４３０２０号公報、特開２０１１－０７０４２７号公報、特開２０１２－１２４７８７号公報、特開２０１２－２０３６２４号公報、特開２０１２－２２６４６１号公報、特開２０１３－０４５２７８号公報、特開２０１３－２１４２１９号公報、特開２００６－００４３３３号公報、特開２００６－２２１３２２号公報、特開２００６－２７６９８７号公報、特開２００７－２２６８２７号公報、特開２００８－１１７３１６号公報、特開２００８－１１７３１７号公報、特開２０１０－２６７２８３号公報、国際公開第２０１４／０９１５７６号、国際公開第２０１４／１０９０２２号、国際公開第２０１５／００４７４３号、国際公開第２０１５／００４７４４号。これらの文献の内容全体がここで参照により引用される。
　（第１の実施の形態）
　実施の形態のアクセス管理装置は、情報システムに対するユーザ端末のアクセスを管理し、情報システムに対するユーザ端末による操作記録を蓄積する。このアクセス管理装置は、蓄積した操作記録を自動分析し、企業や組織が保有する重要情報の持ち出し検知および通知機能を実現する。これにより、企業や組織における操作記録のモニタリングおよびその分析に関わる負荷を軽減し、また不正行為の早期発見を支援する。
　実施の形態の重要情報は、持ち出し監視対象として予め定められた項目の情報であり、いわゆる個人情報を含む。実施の形態の重要情報は、具体的には人名、メールアドレス、電話番号、郵便番号、住所、クレジットカード番号を含む。また操作記録は監査証跡とも言え、実施の形態ではログと呼ぶ。
　図１は、実施の形態のエンタープライズシステムの構成を示す。エンタープライズシステム１０は、企業に構築された情報システムであり、図１の各装置はＬＡＮ・ＷＡＮ・インターネットを含む通信網を介して接続される。エンタープライズシステム１０は、ユーザ端末１２で総称されるユーザ端末１２ａ、ユーザ端末１２ｂ、ユーザ端末１２ｃ、情報提供サーバ１４で総称される情報提供サーバ１４ａ、情報提供サーバ１４ｂ、情報提供サーバ１４ｃ、アクセス管理装置１６、監査者端末１８を備える。
　複数の情報提供サーバ１４のそれぞれは、重要情報を記憶し、管理する情報処理装置である。具体的には情報提供サーバ１４はファイルサーバとも言え、重要情報を含むファイルがストレージやメモリ等の記憶装置に格納されうる装置である。ファイルは、情報処理装置がデータを扱うときの基本単位となるデータのまとまりであり、任意の電子媒体のコンテンツと言え、データセットとも言える。
　複数のユーザ端末１２のそれぞれは、企業の社員や組織のメンバー等、エンタープライズシステム１０の利用者（以下「ユーザ」と呼ぶ。）により操作される情報端末であり、例えばＰＣ、スマートフォン、タブレット端末である。ユーザ端末１２は、ＴＥＬＮＥＴ、ＳＳＨ、ＦＴＰ、ＳＣＰ、ＳＦＴＰ、ＣＩＦＳ等の公知の手段により情報提供サーバ１４へアクセスする。
　アクセス管理装置１６は、複数のユーザ端末１２のそれぞれが、複数の情報提供サーバ１４のいずれかへアクセスする場合に、ユーザ端末１２～情報提供サーバ１４間で送受される要求やレスポンスを中継する情報処理装置である。アクセス管理装置１６は、複数の情報提供サーバ１４のリバースプロキシとも言え、踏み台装置とも言える。アクセス管理装置１６は、複数のユーザ端末１２から複数の情報提供サーバ１４へのアクセスに関する複数のログを、エンタープライズシステム１０の中で集中的に一括して蓄積する。
　監査者端末１８は、企業や組織において予め定められた監査者により操作される情報端末である。監査者は、企業や組織における情報セキュリティの担当者、責任者とも言える。監査者は、アクセス管理装置１６に蓄積されたログを参照して重要情報の不正な持ち出しがあったかを確認する。監査者は、重要情報の不正な持ち出しがあった場合、企業や組織のセキュリティポリシに則して適切な対応、例えば重要情報を持ち出したユーザへの問い合わせ等を実施する責任を負う。
　図２は、図１のアクセス管理装置１６の構成を示すブロック図である。アクセス管理装置１６は、制御部２０、記憶部２２、通信部２４を備える。制御部２０は、各種データ処理を実行する。記憶部２２は、制御部２０により参照され、また更新されるデータを記憶する記憶領域である。通信部２４は、種々の通信プロトコルにしたがって外部装置と通信する。制御部２０は、通信部２４を介して、ユーザ端末１２、情報提供サーバ１４、監査者端末１８とデータを送受する。
　本明細書のブロック図において示される各ブロックは、ハードウェア的には、コンピュータのＣＰＵをはじめとする素子や機械装置で実現でき、ソフトウェア的にはコンピュータプログラム等によって実現されるが、ここでは、それらの連携によって実現される機能ブロックを描いている。したがって、これらの機能ブロックはハードウェア、ソフトウェアの組合せによっていろいろなかたちで実現できることは、当業者には理解されるところである。
　例えば、制御部２０内の各ブロックに対応するモジュールを含むアクセス管理プログラムがＤＶＤ等の記録媒体に格納され、アクセス管理装置１６にインストールされてもよい。そして、アクセス管理装置１６のストレージに格納されたアクセス管理プログラムをアクセス管理装置１６のプロセッサ（ＣＰＵ等）が実行することで、アクセス管理装置１６は制御部２０内の各ブロックの機能を発揮してもよい。記憶部２２は、アクセス管理装置１６のストレージやメモリがデータを記憶することで実現されてよい。
　記憶部２２は、辞書保持部３０、ログ保持部３２、申請情報保持部３４を含む。辞書保持部３０は、ユーザが持ち出したファイルに記録された文字列と照合すべき文字列であり、重要情報を示す文字列を定めた辞書データを保持する。辞書保持部３０は、都道府県名市町村名、人名、メールアドレス用ローマ字人名、電話番号、郵便番号、クレジットカード番号それぞれの辞書データを保持する。辞書データで定義される重要情報を示す文字列は正規表現の文字列を含んでもよい。例えば郵便番号は、ハイフン区切りの３桁・４桁の数列パターンとして定義されてもよい。またクレジットカード番号は、ハイフン区切りの４桁・６桁・４桁の数列パターン、４桁・６桁・５桁の数列パターン、４桁・４桁・４桁・４桁の数列パターンとして定義されてもよい。
　ログ保持部３２は、複数のユーザ端末１２から複数の情報提供サーバ１４へのアクセスに関する複数のログであり、複数のタイミングでなされた複数の操作に関する複数のログを蓄積する記憶領域である。図３は、ログ保持部３２に蓄積されるログの構成を示す。ログ保持部３２はアクセスログテーブルを含む。アクセスログテーブルの１レコードは、特定のユーザが特定のタイミングで行った情報提供サーバ１４に対する一連の操作に対応する。例えば、ユーザ端末１２ａのユーザが、情報提供サーバ１４ａに対してＦＴＰでログインし、ファイルを取得し、ログアウトするまでの、１つのＦＴＰセッションでなされた１つ以上の操作に対応する。
　アクセスログテーブルのユーザ名は、ユーザ端末１２のユーザ名であり、情報提供サーバ１４に対して操作を入力したユーザ名、言い換えれば操作者名を示す。操作開始時刻と操作終了時刻は、情報提供サーバ１４に対する一連の操作の開始タイミングと終了タイミングを示し、例えばＦＴＰによるログイン日時とログアウト日時を示す。重要情報フラグは、監査者へのアラート通知トリガとなるフラグである。重要情報フラグの初期値はオフであり、ユーザが持ち出したファイルが重要情報を含む場合、またはそれに準ずる場合にオンに切り替えられる。
　ＺＩＰファイル名は、後述のＺＩＰファイルの名称（フルパス名）であり、言い換えれば、ＺＩＰファイルへのポインタである。申請外ファイル名は、ユーザが情報提供サーバ１４から取得したファイルのうち、予め取得することを申請したファイル以外のファイル名である。重要情報検出ファイル名は、重要情報を含むことが検出されたファイル名である。重要情報不明ファイル名は、重要情報の検索ができなかったファイル名であり、言い換えれば、重要情報を含むか否か不明のファイル名である。典型的には暗号化されたファイルであり、例えばパスワード付きＺＩＰファイルが該当する。
　ＺＩＰファイルは、アクセスログテーブルの１レコードに対応し、すなわち特定のユーザが特定のタイミングで行った情報提供サーバ１４に対する一連の操作に対応する。コマンドデータファイルには、ユーザの一連の操作に対応する１つ以上のコマンドの情報が記録される。またＺＩＰファイルは、ユーザが情報提供サーバ１４から取得した１つ以上のファイル（取得ファイル＃１、取得ファイル＃２）の実データを含む。言い換えれば、ユーザの操作に応じて、情報提供サーバ１４がユーザ端末１２へ提供したファイルそのものを含む。
　図２に戻り、申請情報保持部３４は、ユーザ端末１２のユーザがアクセス管理装置１６に対して事前に申請した取得予定のファイル名を保持する。なお、ユーザは、ファイルの取得予定日時や、情報提供サーバ１４へログインして操作を行う時間帯をさらに申請してもよく、これらの情報も申請情報保持部３４に保持されてよい。
　制御部２０は、アクセス中継部３６、ログ記録部３８、申請情報受付部４０、重要情報検出部４２、アラート通知部４４、ログ検索部４６を含む。アクセス中継部３６は、ユーザ端末１２から情報提供サーバ１４へのアクセスを中継する。例えば、ＴＥＬＮＥＴ、ＳＳＨ、ＦＴＰ、ＳＣＰ、ＳＦＴＰ、ＣＩＦＳ等のプロトコルに基づいて、ユーザ端末１２から送信された要求を情報提供サーバ１４へ転送し、その要求に対する情報提供サーバ１４のレスポンスをユーザ端末１２へ転送する。
　例えば、ユーザ端末１２が特定のファイル名を指定したファイル取得要求を送信した場合、アクセス中継部３６はそのファイル取得要求を受け付け、情報提供サーバ１４へ転送する。また、当該ファイル取得要求に対して情報提供サーバ１４が送信したレスポンス（ファイルデータを含む）を受け付け、そのレスポンスをユーザ端末１２へ転送する。
　ログ記録部３８は、複数のユーザ端末１２から複数の情報提供サーバ１４へのアクセスに関する複数のログであり、複数のタイミングでなされた複数の操作に関する複数のログをログ保持部３２へ記録する。ログ記録部３８は、ユーザ端末１２から情報提供サーバ１４へのアクセスをアクセス中継部３６が中継する場合に、アクセス中継部３６が中継したコマンドやファイルをアクセス中継部３６から取得する。図３で示したように、ログ記録部３８は、アクセス元のユーザ情報や、操作日時、コマンド、ファイル等のデータをログ保持部３２へ格納する。
　なお、ユーザ端末１２から情報提供サーバ１４へのアクセスに係るログは、ユーザ端末１２および／または情報提供サーバ１４が記録してもよい。この場合、ユーザ端末１２および／または情報提供サーバ１４にはアクセス管理装置１６のエージェントアプリケーションがインストールされてもよく、このエージェントはローカルで記録されたログデータをアクセス管理装置１６へ送信してもよい。ログ記録部３８は、アクセス中継部３６が中継したコマンドやファイル等データに代えて、もしくはこれらのデータとともに、エージェントから送信されたログデータをログ保持部３２へ格納してもよい。
　申請情報受付部４０は、ユーザ端末１２から送信された申請情報であり、将来取得予定のファイル名を含む申請情報を受け付ける。申請情報受付部４０は、申請元のユーザ端末１２のユーザ名と対応付けて申請情報を申請情報保持部３４へ格納する。なお申請情報受付部４０は、ユーザ端末１２から送信された申請情報を、ユーザの上司や監査者、システム管理者等、所定の権限を有する他のユーザの端末へ転送してもよい。そして、上記の他のユーザが承認したことを条件として、申請情報を申請情報保持部３４へ格納してもよい。すなわち、所定の権限を有するユーザにより承認された申請情報を申請情報保持部３４へ格納してもよい。
　重要情報検出部４２は、監査者へアラートを通知すべき条件（以下「アラート通知条件」とも呼ぶ。）を保持し、ユーザ端末１２が情報提供サーバ１４からファイルを取得した場合に、アラート通知条件が満たされたか否かを判定する。アラート通知条件は、以下の３つのケースにおいて充足される。
　（ケースＡ）事前に申請されたファイル以外が取得された。言い換えれば、未申請のファイルが取得された。
　（ケースＢ）重要情報を含むファイルが取得された。
　（ケースＣ）重要情報の検索ができないように構成されたファイルが取得された。
　重要情報検出部４２は、アクセス中継部３６が中継したファイルの名称であり、ユーザ端末１２が情報提供サーバ１４から取得したファイルの名称（「取得ファイル名称」と呼ぶ。）をアクセス中継部３６から取得する。または、ログ記録部３８がログ保持部３２に格納した取得ファイルの名称を取得、参照してもよい。重要情報検出部４２は、申請情報保持部３４を参照して、ユーザ端末１２のユーザが事前に申請した取得予定のファイルの名称であり、ユーザ端末１２のユーザ名に対応付けて保持されたファイル名称（「申請ファイル名称」と呼ぶ。）を識別する。重要情報検出部４２は、取得ファイル名称と申請ファイル名称を照合し、両者が異なる場合、その事実を検出する。
　重要情報検出部４２は、取得ファイル名称と申請ファイル名称が異なる場合、アラート通知条件が充足されたと判定する（上記のケースＡ）。このとき重要情報検出部４２は、ログ保持部３２のアクセスログテーブルにおける重要情報フラグをオンに設定する。それとともに、アクセスログテーブルにおける申請外ファイル名に、取得ファイル名称を記録する。
　また重要情報検出部４２は、アクセス中継部３６が中継したファイルであり、ユーザ端末１２が情報提供サーバ１４から取得したファイルの実データ（「取得ファイルデータ」と呼ぶ。）をアクセス中継部３６から取得する。または、ログ記録部３８がログ保持部３２に格納した取得ファイルの実データを取得、参照してもよい。重要情報検出部４２は、辞書保持部３０に保持された複数種類の辞書のそれぞれで定められた重要情報を取得ファイルデータから検索する。言い換えれば、取得ファイルデータの中に重要情報が記録されているか否かを判定する。
　重要情報検出部４２は、事前申請の有無に関わらず、取得ファイルデータの中に重要情報が記録されている場合、その事実を検出し、アラート通知条件が充足したと判定する（上記のケースＢ）。このとき重要情報検出部４２は、ログ保持部３２のアクセスログテーブルにおける重要情報フラグをオンに設定する。それとともに、アクセスログテーブルにおける重要情報検出ファイル名に、取得ファイルの名称（すなわちファイル名）を記録する。実施の形態では、辞書が定める重要情報と完全一致する文字列を含む場合にアラート通知条件が充足したと判定するが、変形例として、辞書が定める重要情報と部分一致する文字列があればアラート通知条件が充足したと判定してもよい。
　また重要情報検出部４２は、取得ファイルデータが重要情報の検索ができないように構成されている場合、その事実を検出し、アラート通知条件が充足したと判定する（上記のケースＣ）。言い換えれば、取得ファイルデータが重要情報の検索ができないように加工されたものである場合にアラート通知条件が充足したと判定する。このとき重要情報検出部４２は、ログ保持部３２のアクセスログテーブルにおける重要情報フラグをオンに設定する。それとともに、アクセスログテーブルにおける重要情報不明ファイル名に、取得ファイルの名称を記録する。
　重要情報検出部４２は、取得ファイルデータのメタデータを参照して、予め定められた暗号化フラグがオンであることを検出した場合、すなわち取得ファイルデータが暗号化されていることを検出した場合に、アラート通知条件が充足したと判定してもよい。また、取得ファイルデータに対する重要情報の検索が異常終了した場合、例えばファイルデータが暗号化されている結果、検索処理の中でエラーが発生した場合に、アラート通知条件が充足したと判定してもよい。
　アラート通知部４４は、重要情報検出部４２によりアラート通知条件が充足したと判定された場合に、または、ログ保持部３２のアクセスログテーブルにおける重要情報フラグがオンに設定されたことを検出した場合に、監査者へアラートを通知する。具体的には、アラート通知部４４は、重要情報検出部４２によりアラート通知条件が充足したと判定されたファイル取得操作に関するログであり、重要情報フラグがオンに設定されたアクセスログテーブルのレコード（すなわちログ）を特定ログとして識別する。そして、ログ保持部３２に格納された複数のログの中から特定ログを識別するための情報を含む電子メール（以下「アラートメール」とも呼ぶ。）を監査者端末１８へ送信する。
　アラート通知部４４は、監査者宛のアラートメールの本文に、アラート文章（重要情報が検出された、申請外ファイルが取得された等）とともに、特定ログの識別情報を設定する。特定ログの識別情報は、特定ログを検索するためのキーワードとも言え、具体的には特定ログに記録されたユーザ名、操作開始時刻、操作終了時刻を含む。ログに操作の識別情報（操作ＩＤ等）が設定される場合は、その操作ＩＤを特定ログの識別情報に含めてもよい。なお、アラート通知部４４は、アラートメールの送信に代えて、アラートメッセージを監査者端末１８へプッシュ通知する等、他の手段によりアラートを通知してもよい。
　ログ検索部４６は、監査者端末１８からログを識別するための情報が入力された場合に、ログ保持部３２に保持された複数のログのうち入力情報に合致するログに関する情報を監査者端末１８へ提供する。具体的には、ログ検索部４６は、監査者端末１８の要求に応じて、ログを検索するための検索画面（ウェブページ等）を監査者端末１８へ送信し、表示させる。ログ検索部４６は、検索画面に対して監査者が入力した検索条件を監査者端末１８から受信し、ログ保持部３２に格納された複数のログの中からその検索条件に整合するログを検索する。そして、検索条件に整合するログがあれば、そのログの情報を設定した検索結果画面（ウェブページ等）を監査者端末１８へ送信し、表示させる。
　例えば監査者は、アラートメールで通知された、ユーザ名、操作開始時刻、操作終了時刻を検索条件として検索画面に入力し、さらに重要情報フラグがオンであることを条件に設定した上で検索画面の検索実行ボタンを押下する。ログ検索部４６は、検索画面で指定されたユーザ名、操作開始時刻、操作終了時刻、重要情報フラグがオンに合致するアクセスログテーブルのレコードを識別し、そのレコードのデータを設定した検索結果画面を監査者端末１８へ送信し、表示させる。
　検索結果画面は、図３のアクセスログテーブルの情報項目を含み、すなわちＺＩＰファイル名、申請外ファイル名、重要情報検出ファイル名、重要情報不明ファイル名を含む。監査者が検索結果画面でＺＩＰファイルを選択すると、アクセス管理装置１６のログ提供部（不図示）は、選択されたＺＩＰファイルをログ保持部３２から取得し、監査者端末１８へ送信する。監査者は、コマンドデータファイルや取得ファイルを参照して、ユーザによる不正なファイル取得の有無や、重要情報の漏洩有無を判断することができる。
　なお、図２に示した各機能ブロックの機能は、複数の情報処理装置で分散して実行されてもよい。例えば、ログ保持部３２、申請情報保持部３４は、他の機能ブロックを含む装置から独立した装置（データベースサーバ等）により実現されてもよい。また、ユーザ端末１２～情報提供サーバ１４間のアクセス中継処理と、ログの保存、分析、通知の処理は別の情報処理装置により実現されてもよい。すなわち、複数の情報処理装置が連携して、実施の形態のアクセス管理装置１６を実現してもよいことはもちろんである。
　以上の構成によるエンタープライズシステム１０の動作を説明する。
　図４は、図１のアクセス管理装置１６の動作を示すフローチャートである。ここでは、ユーザ端末１２ａのユーザが、情報提供サーバ１４ａにログインし、情報提供サーバ１４ａからファイルを取得（例えばＦＴＰ－ＧＥＴ）することとする。
　ユーザ端末１２ａは、ユーザの操作に応じて、取得予定のファイル名の申請画面（ウェブページ等）をアクセス管理装置１６から取得し、ディスプレイに表示させる。申請画面に対してユーザが取得予定のファイルの名称（例えば「hoge.doc」「hoge.xls」）を入力し、申請ボタンを選択すると、ユーザ端末１２ａは申請画面に入力されたファイル名を含む申請情報をアクセス管理装置１６へ送信する。アクセス管理装置１６の申請情報受付部４０は、申請情報を受信すると（Ｓ１０のＹ）、その申請情報を申請者名（ユーザ名）に対応付けて申請情報保持部３４へ格納する（Ｓ１２）。申請情報を未受信であれば（Ｓ１０のＮ）、Ｓ１２をスキップする。
　ユーザ端末１２ａは、ユーザの操作に応じて、情報提供サーバ１４ａへの要求電文、例えばログインやファイル取得を要求する電文を情報提供サーバ１４ａへ送信する。アクセス管理装置１６のアクセス中継部３６は、ユーザ端末１２ａから送信された情報提供サーバ１４ａへの要求電文を受信すると（Ｓ１４のＹ）、その要求電文を情報提供サーバ１４ａへ転送する（Ｓ１６）。アクセス中継部３６は、情報提供サーバ１４ａから送信されたユーザ端末１２ａへの応答電文をユーザ端末１２ａへ転送する（Ｓ１８）。ログ記録部３８は、ユーザの１回のログインセッション中に、ユーザ端末１２ａから情報提供サーバ１４ａへ送信された一連の操作に関する複数の操作を示すログをログ保持部３２に格納する（Ｓ２０）。ユーザ端末１２ａが情報提供サーバ１４ａからファイルを取得した場合、ログ記録部３８は、当該ファイルの実データもログとして保存する。
　ユーザ端末１２ａが情報提供サーバ１４ａからファイルを取得した場合、言い換えれば、情報提供サーバ１４ａに対する一連の操作の中にファイル取得操作が含まれる場合（Ｓ２２のＹ）、重要情報検出部４２は重要情報検出処理を実行する（Ｓ２４）。重要情報検出処理でアラート条件が充足され、重要情報フラグがオンに設定されると（Ｓ２６のＹ）、アラート通知部４４は、アラート条件を充足したファイル取得操作に関するログを識別する情報を含むアラートメールを監査者端末１８へ送信する（Ｓ２８）。重要情報検出処理でアラート条件が満たされず、重要情報フラグがオフであれば（Ｓ２６のＮ）、Ｓ２８をスキップする。また、情報提供サーバ１４ａに対する一連の操作の中にファイル取得操作がなければ（Ｓ２２のＮ）、Ｓ２４以降をスキップする。また、ユーザ端末１２ａから送信された情報提供サーバ１４ａへの要求電文を未受信であれば（Ｓ１４のＮ）、Ｓ１６以降をスキップする。
　図５は、図４のＳ２４の重要情報検出処理を詳細に示すフローチャートである。ユーザ端末１２ａが実際に取得したファイルの名称が、ユーザ端末１２ａのユーザが事前に申請したファイルの名称と異なる場合（Ｓ３０のＮ）、アラート通知条件が充足されたと判定し、重要情報フラグをオンに切り替える（Ｓ３２）。ユーザ端末１２ａが実際に取得したファイルの名称が、ユーザ端末１２ａのユーザが事前に申請したファイルの名称と一致すれば（Ｓ３０のＹ）、Ｓ３２をスキップする。さらに重要情報検出部４２は、ユーザ端末１２ａが実際に取得したファイルのデータから重要情報を検索する（Ｓ３４）。重要情報の検索が可能なようにファイルが構成されており（Ｓ３６のＮ）、ファイルに重要情報が記録されていることを検出すると（Ｓ３８のＹ）、アラート通知条件が充足されたと判定し、重要情報フラグをオンに切り替える（Ｓ４０）。
　重要情報を検索した結果、ユーザ端末１２ａが実際に取得したファイルに重要情報が含まれていなければ（Ｓ３８のＮ）、Ｓ４０をスキップする。ユーザ端末１２ａが取得したファイルが暗号化されている場合等、重要情報の検索ができないように構成されている場合（Ｓ３６のＹ）、重要情報を検索できないものの、アラート通知条件が充足されたと判定し、重要情報フラグをオンに切り替える（Ｓ４０）。図４、図５のフローチャートには不図示だが、アクセス管理装置１６はログ検索のためのユーザインタフェースを提供する。監査者は、アラートメールに設定されたログ識別情報をキーとしてアクセス管理装置１６が保持するログを検索する。そして検索結果に基づいて、企業・組織におけるセキュリティポリシに則り適切なアクションを実施する。
　これまでも監査者は各情報提供サーバ１４へのアクセスログを定期的に監査することがあったが、膨大なアクセスログの中から不正なファイル取得操作を見つける必要があり、作業に多大な時間を要していた。実施の形態のアクセス管理装置１６によると、ユーザのファイル取得操作に情報セキュリティ上のリスクが存在しうるか否かを自動で判定し、リスクが存在するファイル取得操作に係るログの情報を監査者へ自動通知する。これにより、情報セキュリティ上のリスクが存在しうるファイル取得操作を示すログを監査者が早期かつ効率的に確認できるよう支援し、早期かつ効率的に適切なアクションを実施できるよう支援できる。
　またアクセス管理装置１６によると、ユーザが取得したファイルの名称が、そのユーザが事前申請したファイルの名称に一致するかをチェックすることで、情報セキュリティ上のリスクを低減する。ただしファイル名は変更可能であり、偽装される可能性もある。そこでアクセス管理装置１６は、申請の有無にかかわらず、ユーザが取得したファイルを全て重要情報検索の対象とし、重要情報が含まれれば監査者へアラートを通知する。重要情報の検索精度は辞書に依存し、重要情報の完璧な検出は難しい可能性があるが、形式的なファイル名チェックと実質的な重要情報検索の両方を並行して実行することで、情報セキュリティ上のリスクを効果的に低減することができる。
　さらにまたアクセス管理装置１６によると、ユーザが取得したファイルに対して重要情報の検索ができない場合に監査者へアラートを通知する。いわば、重要情報が含まれるか否かが不明の場合も、安全の観点から監査者へアラートを通知することで、情報セキュリティ上のリスクを一層低減することができる。
　以上、本発明を第１の実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。
　第１変形例を説明する。第１変形例はアラート通知条件に関する。実施の形態の重要情報検出部４２は、申請の有無にかかわらず、ユーザが取得したファイルを全て重要情報検索の対象とした。変形例として、ユーザにより事前申請され、かつ、所定の権限を有する他のユーザにより承認されたファイル名に合致するファイルであれば、重要情報検索の対象外としてもよい。承認されたファイル名に合致するため、情報セキュリティ上のリスクは低いと想定されるためである。また、この態様によると、アクセス管理装置１６の処理負荷を低減することができる。
　第２変形例を説明する。重要情報検出部４２は、ユーザの一連の操作の中で、ファイル名の変更や、パスワード付きまたはパスワードなしのＺＩＰファイルの作成等、ファイルの属性を変更する所定操作が未実行であることを、アクセス中継部３６が中継したコマンドやログ保持部３２のログに基づいて判定してもよい。ファイルの属性を変更する所定操作が未実行とは、ファイル名の偽装や、重要情報検索を妨害するための加工が未実施であることと言える。重要情報検出部４２は、このような所定操作が未実行である場合に、事前申請されたファイル名に合致するファイルであれば重要情報検索の対象外としてもよい。この態様によると、情報セキュリティの低下を一層抑制できる。なお重要情報検索の対象外にすることは、取得ファイルに重要情報が含まれる場合のアラート通知のスキップ、重要情報検索が不可の場合のアラート通知のスキップを含む。
　第３変形例を説明する。実施の形態ではファイル取得の例としてファイル転送（ＦＴＰ）を例示した。しかし、アクセス管理装置１６による重要情報検索はこの例に限定されない。例えばリモートデスクトップによってファイルを表示させる場合等、様々なプロトコルに基づき実質的にファイルデータが情報提供サーバ１４からユーザ端末１２へ提供される場合全般に適用可能であることはもちろんである。
　第４変形例を説明する。アクセス管理装置１６は、比較的短い間隔でログを出力し、各ログに重要情報が含まれるか否かをリアルタイムに検知してもよい。またアクセス管理装置１６は、ログ保存時に、保存対象のログに重要情報が含まれるか否かをリアルタイムに検知してもよい。ログに重要情報がログに含まれる場合、アクセス管理装置１６は、ユーザ端末１２から情報提供サーバ１４へのアクセスを制限してもよい。この態様によると、情報提供サーバ１４の操作権限を有する内部関係者が情報提供サーバ１４に対して不正な操作を行う場合も、情報提供サーバ１４から重要情報を不正に取得すること、すなわち情報提供サーバ１４が保持する重要情報の漏洩を水際で防止しやすくなる。
　第４変形例のアクセス中継部３６は、ユーザ端末１２と情報提供サーバ１４の間で操作に関する情報を中継し、その操作に関するログ（以下「中継ログ」と呼ぶ。）を出力する。アクセス中継部３６は、ユーザ端末１２から送信された操作情報（コマンド等）を情報提供サーバ１４へ転送する場合に、その操作に関する中継ログを所定間隔で出力してもよい。中継ログは、ログ記録部３８とともに重要情報検出部４２へ出力される。中継ログは、操作内容を示す情報（コマンド情報）や操作結果を示す情報を含んでもよい。中継ログの出力間隔は、１つのコマンドを転送する都度、操作結果を転送する都度、または予め定められた時間（数秒～１０秒程度）が経過する都度でもよい。
　辞書保持部３０は、中継ログから検索すべきキーワードやキーフレーズを重要情報として定めた辞書を保持する。この辞書には、個人情報に該当する単語やフレーズが記録されてよく、また不正な操作や危険な操作に該当するコマンドの情報が記録されてもよい。重要情報検出部４２は、アクセス中継部３６が中継ログを出力する都度、中継ログの中から辞書保持部３０の辞書で示される重要情報を検索する。そして、中継ログに重要情報が記録されている場合、その事実を検出する。
　アクセス中継部３６は、中継ログに重要情報が記録されていることが重要情報検出部４２により検出された場合、ユーザ端末１２と情報提供サーバ１４の間での情報の中継を停止する。例えば、情報中継を停止するために、不図示のセッション管理部に、ユーザ端末１２と情報提供サーバ１４間のセッションを強制的に切断させてもよく、また、ユーザ端末１２とアクセス管理装置１６とのセッションを強制的に切断させてもよい。なお、中継ログから重要情報が検出された場合、実施の形態と同様に、アラート通知部４４はその事実を示すアラートを監査者端末１８へ通知してもよい。
　重要情報検出部４２による重要情報検知の例を説明する。ここではアクセス中継部３６は「１２３４５６７８９０１２３４５６７８９ＡＢＣＤ４５６７８９０１２３４５６７８９０１２」というログを出力する。重要情報検出部４２は２０バイトの間隔でログを検知し、重要情報を示すキーワードは「ＡＢＣＤ」とする。重要情報検出部４２は、キーワードの長さに応じてログを一部重複させて重要情報を検索する。
　例えば、１回目の重要情報検索では、先頭から２０バイトの「１２３４５６７８９０１２３４５６７８９Ａ」を対象として重要情報を検索する。２回目の重要情報検索では、直前のログの末尾３バイト＋２０バイトの「８９ＡＢＣＤ４５６７８９０１２３４５６７８９０」を対象として重要情報を検索する。この例では２回目の検索で「ＡＢＣＤ」が検出される。この態様によると、重要情報検出部４２は、アクセス中継部３６から刻々と出力されたログを逐次検索し、重要情報の存在を迅速に検出できる。なお重要情報の長さが数文字～数十文字程度の場合、例えば１００文字程度のログを１回の検索対象とし、最長の重要情報（数十文字程度）の長さにあわせて重複させたログを検索してもよい。
　（第２の実施の形態）
　第２の実施の形態のアクセス管理装置１６は、情報提供サーバ１４のファイルまたはフォルダ（ディレクトリとも言える）に対する予め定められた操作を契機として監査者へアラートを通知する。検知対象となるファイルまたはフォルダに対する操作は、不正行為に関連する操作であってもよく、セキュリティ上のリスクを低減するために特定された操作であってもよく、以下「特定操作」と呼ぶ。例えば、ファイルに対する特定操作は、オープン操作や削除操作、移動操作、変更操作であってもよい。また、フォルダに対する特定操作は、オープン操作や削除操作、移動操作、ファイル追加操作であってもよい。
　第２の実施の形態のエンタープライズシステム１０およびアクセス管理装置１６の構成は第１の実施の形態（図１、図２）と同様である。ログ保持部３２は、第１の実施の形態と同様に、情報提供サーバ１４に対してユーザの端末からなされた複数の操作に関する複数のログを蓄積する。ログ保持部３２に保持されるログは、第１の実施の形態で説明したアクセスログテーブルのレコードであってもよい。また、アクセス管理装置１６のシステムログ、Ｗｉｎｄｏｗｓ（登録商標）ＯＳにおけるイベントログ、Ｓｙｓｌｏｇメッセージであってもよい。
　ログ記録部３８は、第１の実施の形態と同様に、複数のユーザ端末１２から複数の情報提供サーバ１４へのアクセスに関する複数のログであり、複数のタイミングでなされた複数の操作に関する複数のログをログ保持部３２へ記録する。第２の実施の形態のログ記録部３８は、情報提供サーバ１４のファイルやフォルダに対してユーザ端末１２からなされた各種操作を示すログ（操作名称や操作対象）をログ保持部３２へ記録する。
　第２の実施の形態のアクセス管理装置１６は、第１の実施の形態の重要情報検出部４２に代えて、または重要情報検出部４２とともに操作検出部（不図示）をさらに備える。操作検出部は、ログ保持部３２に保持された複数のログの少なくとも１つに、情報提供サーバ１４のファイルまたはフォルダに対して特定操作がなされたことが記録されている場合、そのことを検出する。例えば、あるログが示す操作名称が特定操作の名称に合致し、そのログが示す操作対象がファイルやフォルダに合致する場合に、そのログに特定操作がなされたことが記録されていると判定してもよい。
　特定操作の内容は監査者により予め指定されてよい。アクセス管理装置１６は、監査者端末１８から入力された特定操作を指定する情報を予め保持し、その情報で指定された特定操作の実行有無を検出してもよい。同様に、監視対象とすべきファイルやフォルダは、監査者により予め指定されてよい。アクセス管理装置１６は、監査者端末１８から入力された監視対象ファイルおよび監視対象フォルダを示す情報を予め保持し、その情報で指定されたファイルおよびフォルダに対する特定操作の実行有無を、ログ保持部３２に保持された複数のログを参照して検出してもよい。
　また、操作検出部は、情報提供サーバ１４のファイルまたはフォルダに対して特定操作がなされたことが記録されているログ（以下「特定ログ」と呼ぶ。）を他のログから区別するための識別情報を検出する。この識別情報は、各ログに固有のＩＤであってもよく、各ログに固有のキーワードが含まれる場合、そのキーワードであってもよい。また、Ｗｉｎｄｏｗｓ（登録商標）ＯＳにおけるイベントログの場合、イベントＩＤを識別情報として検出してもよく、Ｓｙｓｌｏｇメッセージの場合、メッセージＩＤを識別情報として検出してもよい。
　アラート通知部４４は、情報提供サーバ１４のファイルまたはフォルダに対して特定操作がなされたことが操作検出部により検出された場合、特定ログを示すアラート情報を監査者端末１８へ通知する。アラート情報は、アラート文章（ファイルやフォルダに対する特定操作がなされた旨の文章）と、操作検出部により検出された特定ログの識別情報を含む。なお、第１の実施の形態と同様に、特定ログの識別情報として、特定ログに記録されたユーザ名、操作開始時刻、操作終了時刻を設定してもよい。
　第２の実施の形態のアクセス管理装置１６によると、ファイルやフォルダに対するユーザ操作に情報セキュリティ上のリスクが存在しうるか否かを自動で判定し、リスクが存在するユーザ操作に係るログの情報を監査者へ自動通知する。これにより、第１の実施の形態と同様に、情報セキュリティ上のリスクが存在しうるファイル操作またはフォルダ操作を示すログを監査者が早期かつ効率的に確認できるよう支援し、早期かつ効率的に適切なアクションを実施できるよう支援できる。
　以上、本発明を第２の実施の形態をもとに説明した。この実施の形態は例示であり、それらの各構成要素や各処理プロセスの組合せにいろいろな変形例が可能なこと、またそうした変形例も本発明の範囲にあることは当業者に理解されるところである。
　請求項に記載の各構成要件が果たすべき機能は、実施の形態および変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることも当業者には理解されるところである。
　１０　エンタープライズシステム、　１２　ユーザ端末、　１４　情報提供サーバ、　１６　アクセス管理装置、　１８　監査者端末、　３０　辞書保持部、　３２　ログ保持部、　３４　申請情報保持部、　３６　アクセス中継部、　３８　ログ記録部、　４０　申請情報受付部、　４２　重要情報検出部、　４４　アラート通知部。
　この発明は、サーバに対するユーザのアクセスを管理する装置に利用できる。

Claims (7)

  1. 　所定の重要情報が記録されたファイルが記憶されうるサーバに対してユーザの端末からなされた複数の操作に関する複数のログを保持するログ保持部と、
    　前記ユーザの端末が前記サーバから取得したファイルである特定ファイルに前記重要情報が記録されている場合、そのことを検出する検出部と、
    　前記特定ファイルに前記重要情報が記録されていることが前記検出部により検出された場合に、前記特定ファイルの取得操作に関するログを識別するための情報を予め定められた監査者へ通知する通知部と、
    　を備えることを特徴とするアクセス管理装置。
  2. 　ユーザから予め申請された取得予定のファイルの名称を保持する申請情報保持部をさらに備え、
    　前記検出部は、前記特定ファイルの名称が前記取得予定のファイルの名称と異なる場合、そのことをさらに検出し、
    　前記通知部は、前記特定ファイルの名称が前記取得予定のファイルの名称と異なることが検出された場合も、前記特定ファイルの取得操作に関するログを識別するための情報を監査者へ通知することを特徴とする請求項１に記載のアクセス管理装置。
  3. 　前記検出部は、前記特定ファイルが前記重要情報の検索ができないように構成されている場合、そのことをさらに検出し、
    　前記通知部は、前記特定ファイルが前記重要情報の検索ができないように構成されていることが検出された場合も、前記特定ファイルの取得操作に関するログを識別するための情報を監査者へ通知することを特徴とする請求項１または２に記載のアクセス管理装置。
  4. 　前記ユーザの端末と前記サーバの間で操作に関する情報を中継し、その操作に関するログを出力する中継部をさらに備え、
    　前記検出部は、前記中継部から出力されたログに所定の重要情報が記録されている場合、そのことを検出し、
    　前記中継部は、前記ログに所定の重要情報が記録されていることが検出された場合に、前記ユーザの端末と前記サーバの間での情報の中継を停止することを特徴とする請求項１から３のいずれかに記載のアクセス管理装置。
  5. 　所定のサーバに対してユーザの端末からなされた操作に関する複数のログを保持するログ保持部と、
    　前記ログ保持部に保持された複数のログの少なくとも１つに、前記サーバのファイルまたはフォルダに対して所定の操作がなされたことが記録されている場合、そのことを検出する検出部と、
    　前記サーバのファイルまたはフォルダに対して前記所定の操作がなされたことが記録されたログを示す情報を予め定められた監査者へ通知する通知部と、
    　を備えることを特徴とするアクセス管理装置。
  6. 　所定の重要情報が記録されたファイルが記憶されうるサーバに対してユーザの端末からなされた複数の操作に関する複数のログを所定の記憶領域へ格納するステップと、
    　前記ユーザの端末が前記サーバから取得したファイルである特定ファイルに前記重要情報が記録されている場合、そのことを検出するステップと、
    　前記特定ファイルに前記重要情報が記録されていることが前記検出するステップで検出された場合に、前記特定ファイルの取得操作に関するログを識別するための情報を予め定められた監査者へ通知するステップと、
    　をコンピュータが実行することを特徴とするアクセス管理方法。
  7. 　所定の重要情報が記録されたファイルが記憶されうるサーバに対してユーザの端末からなされた複数の操作に関する複数のログを所定の記憶領域へ格納する機能と、
    　前記ユーザの端末が前記サーバから取得したファイルである特定ファイルに前記重要情報が記録されている場合、そのことを検出する機能と、
    　前記特定ファイルに前記重要情報が記録されていることが前記検出する機能により検出された場合に、前記特定ファイルの取得操作に関するログを識別するための情報を予め定められた監査者へ通知する機能と、
    　をコンピュータに実現させるためのコンピュータプログラム。
PCT/JP2016/063711 2015-05-15 2016-05-09 アクセス管理装置、アクセス管理方法およびコンピュータプログラム WO2016185922A1 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015-100042 2015-05-15
JP2015100042A JP2018109795A (ja) 2015-05-15 2015-05-15 アクセス管理装置、アクセス管理方法およびコンピュータプログラム

Publications (1)

Publication Number Publication Date
WO2016185922A1 true WO2016185922A1 (ja) 2016-11-24

Family

ID=57320153

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/063711 WO2016185922A1 (ja) 2015-05-15 2016-05-09 アクセス管理装置、アクセス管理方法およびコンピュータプログラム

Country Status (2)

Country Link
JP (1) JP2018109795A (ja)
WO (1) WO2016185922A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018136610A (ja) * 2017-02-20 2018-08-30 三菱スペース・ソフトウエア株式会社 ファイル監視装置およびファイル監視プログラム

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000148276A (ja) * 1998-11-05 2000-05-26 Fujitsu Ltd セキュリティ監視装置，セキュリティ監視方法およびセキュリティ監視用プログラム記録媒体
JP2008287609A (ja) * 2007-05-21 2008-11-27 Oki Electric Ind Co Ltd メール管理システム
JP2009116616A (ja) * 2007-11-06 2009-05-28 Sky Kk 電子メール監視システム
JP2012203624A (ja) * 2011-03-25 2012-10-22 Nomura Research Institute Ltd 業務情報防護装置および業務情報防護方法、並びにプログラム
JP2012208583A (ja) * 2011-03-29 2012-10-25 Hitachi Solutions Ltd 電子メール保留システム及び方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000148276A (ja) * 1998-11-05 2000-05-26 Fujitsu Ltd セキュリティ監視装置，セキュリティ監視方法およびセキュリティ監視用プログラム記録媒体
JP2008287609A (ja) * 2007-05-21 2008-11-27 Oki Electric Ind Co Ltd メール管理システム
JP2009116616A (ja) * 2007-11-06 2009-05-28 Sky Kk 電子メール監視システム
JP2012203624A (ja) * 2011-03-25 2012-10-22 Nomura Research Institute Ltd 業務情報防護装置および業務情報防護方法、並びにプログラム
JP2012208583A (ja) * 2011-03-29 2012-10-25 Hitachi Solutions Ltd 電子メール保留システム及び方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018136610A (ja) * 2017-02-20 2018-08-30 三菱スペース・ソフトウエア株式会社 ファイル監視装置およびファイル監視プログラム

Also Published As

Publication number Publication date
JP2018109795A (ja) 2018-07-12

Similar Documents

Publication Publication Date Title
US11526611B2 (en) Ransomware protection for cloud storage systems
US9565200B2 (en) Method and system for forensic data tracking
US9507936B2 (en) Systems, methods, apparatuses, and computer program products for forensic monitoring
US9608881B2 (en) Service compliance enforcement using user activity monitoring and work request verification
US9654510B1 (en) Match signature recognition for detecting false positive incidents and improving post-incident remediation
US11449603B2 (en) Managing data exfiltration risk
US10366129B2 (en) Data security threat control monitoring system
CN110417718B (zh) 处理网站中的风险数据的方法、装置、设备及存储介质
US20210110034A1 (en) Audit log enrichment
CN111274276A (zh) 操作审计方法、装置及电子设备和计算机可读存储介质
CN109657462B (zh) 数据检测方法、系统、电子设备和存储介质
CN112714118B (zh) 网络流量检测方法和装置
WO2016185922A1 (ja) アクセス管理装置、アクセス管理方法およびコンピュータプログラム
US20180295145A1 (en) Multicomputer Digital Data Processing to Provide Information Security Control
JP5341695B2 (ja) 情報処理システム、情報処理方法、およびプログラム
CN113032842B (zh) 基于云平台的网页防篡改系统及方法
CN115544541B (zh) 目标对象行为数据的处理方法、设备及存储介质
Millett et al. Analysis of Computer Audit Data to Create Indicators of Compromise for Intrusion Detection
KR101459538B1 (ko) 유닉스 및 리눅스 기반 호스트 단말에 특화된 기능을 제공하는 개인정보보호 방법
Parichha Introduction to Digital Forensics
WO2023070196A1 (en) Tracking security analyst interactions with web-based services
JP2006099287A (ja) コンピュータシステム、セキュリティポリシー配布装置、セキュリティポリシー利用装置、セキュリティポリシー配信方法、及びプログラム
KR20240036218A (ko) 개인정보 접속기록 관리 방법 및 장치
Finnigan et al. Data Breach
Liu Research on Application of Database Forensics Technology

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16796316

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16796316

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: JP