WO2019159809A1 - アクセス分析システム及びアクセス分析方法 - Google Patents
アクセス分析システム及びアクセス分析方法 Download PDFInfo
- Publication number
- WO2019159809A1 WO2019159809A1 PCT/JP2019/004453 JP2019004453W WO2019159809A1 WO 2019159809 A1 WO2019159809 A1 WO 2019159809A1 JP 2019004453 W JP2019004453 W JP 2019004453W WO 2019159809 A1 WO2019159809 A1 WO 2019159809A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- analysis
- access
- communication
- unit
- user
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/105—Multiple levels of security
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
- G06F21/31—User authentication
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/102—Entity profiles
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/142—Network analysis or design using statistical or mathematical methods
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L43/00—Arrangements for monitoring or testing data switching networks
- H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
- H04L43/0876—Network utilisation, e.g. volume of load or congestion level
Definitions
- the present invention relates to an access analysis system and an access analysis method.
- the annual average damage caused by unauthorized access is enormous compared to cyber attacks other than unauthorized access.
- unauthorized access is “spoofing” in which an unauthorized accessor takes over login information such as a third party's ID / password and accesses important information. It is extremely difficult to prevent a person who has obtained the identification code from performing unauthorized access.
- malicious access techniques that attack Web servers and the like by “abnormal communication” such as SQL injection and OS injection.
- IDS Intrusion Detection System
- IPS Intrusion Prevention System
- IDS and IPS the statistical data on the number of packets flowing through the network and the usage status of the protocol is in a normal state, and communications that deviate from the preset normal state are always considered abnormal, so abnormal communication can be detected with high accuracy. Have difficulty.
- Non-Patent Document 1 technology that performs user authentication based on user behavior information such as mouse operation and keyboard operation of PC terminal, smartphone swipe operation (Behavioral Biometrics technology / Password Free technology)
- These technologies use information that is difficult for a third party to accurately simulate, such as “user behavior,” as an authentication factor. Have difficulty.
- it is easier to find impersonation than the conventional technique when someone other than the user accesses, since it is determined that the person is not the person from the difference in behavior, it is easier to find impersonation than the conventional technique.
- the latest abnormal communication detection technology for unauthorized access includes a technology for analyzing network traffic and detecting abnormal communication (UEBA (User and Entity Behavior Analytics) technology).
- UEBA User and Entity Behavior Analytics
- IDS and IPS Internet Protocol Security
- Behavioral Biometrics Technology / Password Free Technology has the advantage that it is easier to detect impersonation than the conventional technology, but if the terminal is used differently than usual, the terminal is used by others. It may be difficult to accurately determine whether the person is the person or the person other than the person himself or herself.
- UEBA technology can detect abnormal communication with higher accuracy than conventional technology, but communication that is out of steady state despite being normal communication is erroneously recognized as abnormal communication. It is difficult to accurately determine whether the communication is normal communication or abnormal communication.
- the present invention has been made in view of the above points, and an object thereof is to improve the accuracy of determining the validity of access through a network.
- the access analysis system performs communication for the access and the first analysis unit that analyzes the legitimacy of the user based on the characteristics of the operation of the terminal by the user regarding the access via the network. Based on the second analysis unit that analyzes the normality of the communication, the analysis result by the first analysis unit, and the analysis result by the second analysis unit, the validity of the access is determined And a determination unit.
- FIG. 1 is a diagram illustrating a configuration example of an access analysis system according to an embodiment of the present invention.
- the access analysis system includes one or more mobile terminals 20a, one or more PC terminals 20b, one or more network devices 30, a server 40, a user operation analysis device 50, a communication analysis device 60, a network control device 10, and traffic.
- a detailed analysis device 70 and the like are included.
- the network device 30 is connected to the mobile terminal 20a, the PC terminal 20b, the server 40, the communication analysis device 60, the traffic detail analysis device 70, and the network control device 10 via a network.
- the user operation analysis device 50 is connected to the mobile terminal 20a, the server 40, and the network control device 10 via a network.
- the communication analysis device 60 and the traffic detail analysis device 70 are connected to the network control device 10 via a network.
- the mobile terminal 20a and the PC terminal 20b are terminals used by the user. However, the legitimacy of the user is not guaranteed.
- the mobile terminal 20a is, for example, a smartphone or a tablet terminal.
- the mobile terminal 20a has a PF score analysis unit 21.
- the PF score analysis unit 21 analyzes a user operation related to the access based on the Password Free technology (hereinafter referred to as “PF technology”), and relates to the validity of the user of the mobile terminal 20a.
- a score (score based on PF technique) is calculated.
- the PF score analysis unit 21 transmits the score to the user operation analysis device 50.
- the access to the server 40 is, for example, communication in units of requests to the server 40.
- the PC terminal 20b since the PF technology is a technology corresponding to the mobile terminal 20a, the PC terminal 20b does not have the PF score analysis unit 21.
- the network device 30 is, for example, a router. That is, the network device 30 is a device that transfers information distributed on the network to a route according to the destination.
- the server 40 is one or more computers that provide some service to the user, such as a Web server.
- the server 40 includes a BB information collection unit 41 in addition to a functional unit for providing a service.
- the BB information collection unit 41 collects information (hereinafter referred to as “operation information”) indicating the characteristics of the user's operation on the PC terminal 20b performed in association with the Web page provided by the server 40 to the PC terminal 20b. .
- the operation information may be input information that is effective by the behavioral biometrics technology (hereinafter referred to as “BB technology”).
- BB information the operation information
- the BB information collection unit 41 transmits BB information for each access to the server 40 to the user operation analysis device 50.
- the server 40 can be an attack target for unauthorized access.
- the user operation analysis device 50 is one or more computers having a PF score receiving unit 51 and a BB score analyzing unit 52.
- the PF score receiving unit 51 receives a PF score from the mobile terminal 20 a and transmits the PF score to the network control device 10.
- the BB score analysis unit 52 receives the BB information transmitted from the BB information collection unit 41 of the server 40, and analyzes the BB information using the BB technology, thereby obtaining a score relating to the legitimacy of the user of the PC terminal 20b. (Score based on BB technology) is calculated for each access to the server 40.
- the BB score analysis unit 52 transmits a score for each access to the network control device 10.
- the communication analyzer 60 is one or more computers having a communication information collection unit 61, a communication analysis unit 62, and the like.
- the communication information collection unit 61 collects communication information transferred by the network device 30 from the network device 30 for communication related to access to the server 40 by the mobile terminal 20a or the PC terminal 20b.
- the communication analysis unit 62 analyzes the communication information collected by the communication information collection unit 61 using, for example, UEBA (User and Entity Behavior Analytics) technology, to the server 40 by the mobile terminal 20a or the PC terminal 20b.
- the normality of communication of each access is determined.
- the communication analysis unit 62 transmits information (normal range, attention range, or abnormal range) indicating the normality of communication analyzed for each access to the network control apparatus 10.
- the network control apparatus 10 includes one or more computers having an access classification unit 11, a detailed analysis method selection unit 12, a network control unit 13, a user operation analysis result storage unit 111, a communication analysis result storage unit 112, a matrix table storage unit 113, and the like. It is.
- the user operation analysis result storage unit 111 stores a score transmitted from the PF score reception unit 51 or the BB score analysis unit 52 of the user operation analysis device 50. That is, for each access to the server 40, the user operation analysis result storage unit 111 stores a score regarding the legitimacy of the user calculated for the access.
- the communication analysis result storage unit 112 stores an analysis result transmitted from the communication analysis unit 62 of the communication analysis device 60. That is, for each access to the server 40, the communication analysis result storage unit 112 stores an analysis result (normal area, caution area, or abnormal area) by the communication analysis section 62 regarding the access.
- the matrix table storage unit 113 has a range in which it is possible to determine whether the access to the server 40 is a legitimate access or an unauthorized access according to the combination of the user legitimacy level and the communication normality level.
- a matrix table which is a table for clarifying the range that cannot be discriminated, is stored.
- FIG. 2 is a diagram showing a configuration example of the matrix table.
- a communication normality level is assigned in the column direction
- a user legitimacy is assigned in the row direction.
- the column direction is classified into three levels (three stages) of normality, cautionary region, and abnormal region regarding the normality of communication related to the access, and the row direction is related to the legitimacy of the user related to the access. Categorized into three levels (three stages): normal, caution and abnormal.
- the values of the elements of the matrix table are values (1) to (9) depending on the combination of the normality level of communication and the user's legitimacy level. Each of (1) to (9) has the following meaning.
- the classification is based on a 2 ⁇ 2 matrix of “is” or “not” (in the example of this embodiment, “is the person”, “is not the person” / “is the normal communication”, “is not the normal communication” ”) Is the most effective for analysis. However, since it is difficult to discriminate them with known security technology, an inaccessible access area is provided and a 3 ⁇ 3 matrix. It was.
- the access classification unit 11 stores, for each access, an analysis result (score) regarding the legitimacy of the user stored in the user operation analysis result storage unit 111 regarding the access and a communication stored in the communication analysis result storage unit 112 regarding the access.
- the analysis result regarding the normality of the access is applied to the matrix table (FIG. 2) stored in the matrix table storage unit 113, and the legitimacy of the access is classified into (1) to (9) (that is, the access To determine the legitimacy of.)
- the access classification unit 11 includes two thresholds for the score relating to the legitimacy of the user (a first threshold that divides a normal area and a caution area, and a second threshold that divides a caution area and an abnormal area) ), The score is classified into a normal range, a caution range, and an abnormal range.
- the access classification unit 11 also applies the analysis results (normal area, caution area, abnormal area) regarding the normality of communication to the normal area, caution area, and abnormal area of the matrix table as they are.
- Each access difference is a combination of identification information (for example, IP address) of the access source mobile terminal 20a or PC terminal 20b (transmission source) and identification information (for example, IP address) of the access destination server 40.
- identification information for example, IP address
- the difference of each access may be distinguished by the 5 tuple of TCP. Further, in consideration of the identity of access contents (for example, request contents), the difference between each access may be distinguished.
- the detailed analysis method selection unit 12 performs the access for an access whose classification result by the access classification unit 11 is any of (2) to (8) (that is, an access for which it is impossible to determine whether it is a legitimate access or an unauthorized access).
- a detailed analysis method for classifying the method into (1) or (9) is selected, and execution of the selected method is instructed to, for example, the traffic detailed analysis device 70 or the like.
- the network control unit 13 controls the communication related to the access classified as (9) by the access classification unit 11 or the access determined to fall under (9) by executing the method selected by the detailed analysis method selection unit 12. (Blocking etc.).
- the traffic detail analysis device 70 is one or more computers having a traffic detail analysis unit 71.
- the traffic detail analysis unit 71 performs a detailed analysis on the communication related to the access instructed from the detail analysis method selection unit 12. For example, in the simple analysis UEBA technique, an analysis is performed on the header portion of a packet, and the traffic detail analysis unit 71 analyzes the presence of illegal information in the access by analyzing the payload portion of the packet and the like. .
- FIG. 3 is a diagram illustrating a hardware configuration example of the network control device 10 according to the embodiment of the present invention.
- the network control device 10 in FIG. 3 includes a drive device 100, an auxiliary storage device 102, a memory device 103, a CPU 104, an interface device 105, and the like that are mutually connected by a bus B.
- a program for realizing processing in the network control apparatus 10 is provided by a recording medium 101 such as a CD-ROM.
- a recording medium 101 such as a CD-ROM.
- the program is installed from the recording medium 101 to the auxiliary storage device 102 via the drive device 100.
- the program need not be installed from the recording medium 101 and may be downloaded from another computer via a network.
- the auxiliary storage device 102 stores the installed program and also stores necessary files and data.
- the memory device 103 reads the program from the auxiliary storage device 102 and stores it when there is an instruction to start the program.
- the CPU 104 executes functions related to the network control device 10 in accordance with a program stored in the memory device 103.
- the interface device 105 is used as an interface for connecting to a network.
- Each device other than the network control device 10 may have a hardware configuration as shown in FIG.
- the access classification unit 11, the detailed analysis method selection unit 12, and the network control unit 13 of the network control device 10 in FIG. 1 are realized by processing that one or more programs installed in the network control device 10 cause the CPU 104 to execute.
- the user operation analysis result storage unit 111, the communication analysis result storage unit 112, and the matrix table storage unit 113 can be realized by using, for example, the auxiliary storage device 102 or a storage device that can be connected to the network control device 10 via a network. It is.
- One or more programs installed in a device that the device has are realized by processing that is executed by the CPU of the device.
- FIG. 4 is a flowchart for explaining an example of a processing procedure executed by the traffic detail analysis unit 71.
- target access a specific access
- step S101 the traffic detail analysis unit 71 branches the processing based on the classification result by the access classification unit 11 for the target access.
- the classification result is information indicating any one of (1) to (9) in the matrix table (FIG. 2).
- the traffic detail analysis unit 71 adds 1 to the variable k corresponding to the target access (S102).
- the variable k is prepared for each access and has an initial value of 0.
- the traffic detail analysis unit 71 determines whether or not the value of the variable k is greater than or equal to the threshold value n (S103).
- the process returns to step S101. That is, in this case, the traffic detail analysis unit 71 executes processing based on the new access classification result that is the same as the target access.
- the traffic detail analysis unit 71 notifies the network control unit 13 that the target access is a legitimate access (S104).
- the traffic detailed analysis unit 71 performs a detailed analysis on the validity of “person (user)” (S105, S106).
- the details of the detailed analysis are not limited to predetermined ones. For example, regarding the target access, the analysis by the PF score analysis unit 21 or the BB score analysis unit 52 may be continued, or the analysis may be performed by another method. As a result of such detailed analysis, the target access is determined to be either legitimate access or unauthorized access.
- the traffic detail analysis unit 71 performs a detailed analysis on the normality of communication (S107, S108).
- the details of the detailed analysis are not limited to predetermined ones.
- the traffic detail analysis unit 71 may be instructed to analyze the payload portion related to the target access. As a result of such detailed analysis, the target access is determined to be either legitimate access or unauthorized access.
- the traffic detailed analysis unit 71 performs detailed analysis on the legitimacy of “person (user)” and detailed analysis on the normality of communication.
- the details of the detailed analysis are not limited to predetermined ones. For example, an analysis in which step S105 or S106 is combined with any of steps S107 to S109 may be performed. As a result of such detailed analysis, the target access is determined to be either legitimate access or unauthorized access.
- the traffic detailed analysis unit 71 notifies the network control unit 13 of the result of the detailed analysis (S112).
- the traffic detail analysis unit 71 notifies the network control unit 13 that the target access is unauthorized access (S113).
- the network control unit 13 transmits a blocking instruction to the network device 30, for example, for the access notified from the traffic detail analysis unit 71 that it is an unauthorized access.
- FIG. 5 is a diagram for explaining an example of a processing procedure executed in the access analysis system.
- the PC terminal 20 b is the attack source and an access in which malware is charged is generated in the payload portion of the packet destined for the server 40. Therefore, the server 40 is an attack target.
- step S201 the PC terminal 20b performs access (hereinafter referred to as “target access”) in which malware is prepared in the payload portion of the packet to the server 40.
- target access access
- the operation information related to the target access is collected by the BB information collection unit 41 of the server 40, and the collected operation information is transmitted to the BB score analysis unit 52 of the user operation analysis device 50.
- step S202 the BB score analysis unit 52 of the user operation analysis device 50 analyzes the legitimacy of the user regarding the target access using the BB technique based on the operation information, and calculates a score.
- the BB score analysis unit 52 transmits the score as a score related to target access to the network control device 10 (S203).
- the score is stored in the user operation analysis result storage unit 111 in association with the identification information of the target access.
- the communication information collection unit 61 of the communication analyzer 60 collects communication information related to the target access from the network device 30 (S204).
- the communication analysis unit 62 analyzes the normality of the communication by analyzing the communication information collected by the communication information collection unit 61 using, for example, UEBA technology (S205), and the analysis result is transmitted to the network control device. 10 (S206).
- the access classification unit 11 of the network control apparatus 10 displays a matrix table (FIG. 2) of the analysis result (score) of the user's legitimacy regarding the target access and the analysis result of the normality score of communication regarding the target access.
- the target access is classified into any one of (1) to (9). Here, it is assumed that it is classified into (7).
- the detailed analysis method selecting unit 12 performs setting for the network device 30 to mirror the target access to the traffic detailed analysis device 70 (S208). As a result, traffic (communication) related to the target access is mirrored to the traffic detail analysis device 70 (S209).
- the traffic detail analysis unit 71 of the traffic detail analysis device 70 detects that the payload part contains malware by analyzing the payload part of the target access packet (S210). Therefore, the traffic detail analysis unit 71 determines that the target access is unauthorized access, and transmits the determination result to the detail analysis method selection unit 12 of the network control device 10 (S211). The network control unit 13 of the network control device 10 instructs the network device 30 to block the target access based on the determination result (S212).
- the BB technique is used as a technique for determining the legitimacy of a user.
- other techniques for example, knowledge authentication, property authentication, biometric authentication, etc.
- the BB score analysis unit 52 and the PF score analysis unit 21 are examples of a first analysis unit.
- the communication analysis unit 62 is an example of a second analysis unit.
- the access classification unit 11 is an example of a determination unit.
- the traffic detail analysis unit 71 is an example of a third analysis unit.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Computing Systems (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
アクセス分析システムは、ネットワークを介したアクセスに関するユーザによる端末の操作の特徴に基づいて、前記ユーザの正当性を分析する第1の分析部と、前記アクセスに関する通信に基づいて、前記通信の正常性を分析する第2の分析部と、前記第1の分析部による分析結果と、前記第2の分析部による分析結果とに基づいて、前記アクセスの正当性を判別する判別部と、を有することで、ネットワークを介したアクセスの正当性の判別精度を向上させる。
Description
本発明は、アクセス分析システム及びアクセス分析方法に関する。
サイバー攻撃の一種である不正アクセスによる年間平均被害額は、不正アクセス以外のサイバー攻撃に比べて甚大な額となっている。不正アクセスの1つに不正アクセス者が第三者のID/パスワードなどのログイン情報を乗っ取り、重要情報へアクセスするなどの「なりすまし」があるが、このような、不正アクセス行為を行う目的で他人の識別符号を入手した者が不正アクセス行為に及ぶことを阻止することは極めて困難である。また、なりすまし以外にも、SQLインジェクションやOSインジェクションなど、「異常通信」により、Webサーバ等に対して攻撃を行う不正アクセス手法による被害も多い。
不正アクセスに対する既存の本人認証技術では、ID/パスワードや秘密の質問など本人しか知りえない情報による認証(知識認証)や、ICカードや電子証明書など本人しか所有していない情報による認証(所有物認証)があるが、第三者にそれらの情報を盗まれてしまった場合、容易になりすましが可能である。また、指紋認証や虹彩認証など身体的な特徴を元にした認証(生体認証)についても、機器等が読み取ったユーザの身体的特徴を数値化し、あらかじめ登録された数値と照合する方法であるため、その数値をあらかじめ盗聴し、サーバへ当該数値を送信することで登録ユーザになりすますことが可能である。第三者になりすまされた場合、これらの従来技術では、本人以外が認証しているにも関わらず常に正常であると判定されてしまうため、なりすましを発見することは困難である。
また、不正アクセスに対する既存の異常通信検知技術では、IDS(Intrusion Detection System)やIPS(Intrusion Prevention System)といった、ネットワークの振る舞いを監視し、通常とは異なる振る舞いを検知する技術がある。IDSやIPSでは、ネットワークを流れるパケット数やプロトコルの使用状況の統計データを正常状態としており、あらかじめ設定された正常状態から外れる通信は常に異常とみなすため、高い精度で異常通信を検知することが困難である。
一方、不正アクセスに対する最新の本人認証技術では、PC端末のマウス操作やキーボード操作、スマートフォンのスワイプ操作など、ユーザの振る舞い情報をもとに、ユーザ認証を行う技術(Behavioral Biometrics技術/Password Free技術)がある(非特許文献1)。これらの技術では「ユーザの振る舞い」といった第三者には正確に模擬することが困難な情報を認証要素として用いているため、上記の技術と比較して、第三者が本人になりすますことが困難である。また、本人以外がアクセスしている場合はその振る舞いの違いから本人以外であることを判別するため、従来技術よりもなりすましを発見しやすい。
また、不正アクセスに対する最新の異常通信検知技術では、ネットワークトラフィックを分析し、異常通信を検知する技術(UEBA(User and Entity Behavior Analytics)技術)がある。UEBA技術では、IDSやIPSなどの従来技術にマシンラーニングを加えることで、より高い精度で異常通信を検知することが可能である。
Yoshitomo Matsubara他, "Keyboard Dependency of Personal Identification Performance by Keystroke Dynamics in Free Text Typing", Journal of Information Security, 2015, 6, 229-240.
山内一将他, "C&Cトラフィック分類のための機械学習手法の評価", 情報処理学会論文誌, Vol.56, No.9, 1745-1753, 2015年9月.
しかしながら、Behavioral Biometrics技術/Password Free技術は、従来技術と比較して、なりすましを発見しやすいという利点があるが、端末を通常と異なる使い方などをすると、その端末を本人以外が使用していると誤認識してしまうことがあるなど、本人か本人以外かを正確に判別することは困難である。
また、UEBA技術は、従来技術と比較して、より高い精度で異常通信を検知することが可能であるが、正常通信であるにも関わらず、定常状態から外れた通信は異常通信と誤認識してしまう場合があるなど、正常通信か異常通信かを正確に判別することは困難である。
本発明は、上記の点に鑑みてなされたものであって、ネットワークを介したアクセスの正当性の判別精度を向上させることを目的とする。
そこで上記課題を解決するため、アクセス分析システムは、ネットワークを介したアクセスに関するユーザによる端末の操作の特徴に基づいて、前記ユーザの正当性を分析する第1の分析部と、前記アクセスに関する通信に基づいて、前記通信の正常性を分析する第2の分析部と、前記第1の分析部による分析結果と、前記第2の分析部による分析結果とに基づいて、前記アクセスの正当性を判別する判別部と、を有する。
ネットワークを介したアクセスの正当性の判別精度を向上させることができる。
以下、図面に基づいて本発明の実施の形態を説明する。図1は、本発明の実施の形態におけるアクセス分析システムの構成例を示す図である。図1において、アクセス分析システムは、1以上のモバイル端末20a、1以上のPC端末20b、1以上のネットワーク装置30、サーバ40、ユーザ操作分析装置50、通信分析装置60、ネットワーク制御装置10及びトラフィック詳細分析装置70等を含む。
ネットワーク装置30は、モバイル端末20a、PC端末20b、サーバ40、通信分析装置60、トラフィック詳細分析装置70及びネットワーク制御装置10とネットワークを介して接続される。ユーザ操作分析装置50は、モバイル端末20a、サーバ40及びネットワーク制御装置10とネットワークを介して接続される。通信分析装置60及びトラフィック詳細分析装置70は、ネットワーク制御装置10とネットワークを介して接続される。
モバイル端末20a及びPC端末20bは、ユーザが利用する端末である。但し、ユーザの正当性は保証されない。なお、モバイル端末20aとは、例えば、スマートフォン又はタブレット端末等である。
モバイル端末20aは、PFスコア分析部21を有する。PFスコア分析部21は、サーバ40に対するアクセスごとに、当該アクセスに係るユーザの操作をPassword Free技術(以下、「PF技術」という。)に基づいて分析し、モバイル端末20aのユーザの正当性に関するスコア(PF技術に基づくスコア)を計算する。PFスコア分析部21は、当該スコアを、ユーザ操作分析装置50へ送信する。サーバ40に対するアクセスとは、例えば、サーバ40への要求単位での通信である。
なお、PF技術は、モバイル端末20aに対応した技術であるため、PC端末20bは、PFスコア分析部21を有さない。
ネットワーク装置30は、例えば、ルータである。すなわち、ネットワーク装置30は、ネットワーク上を流通する情報を宛先に応じた経路に転送する装置である。
サーバ40は、Webサーバ等、ユーザに対して何らかのサービスを提供する1以上のコンピュータである。サーバ40は、サービスを提供するための機能部の他に、BB情報収集部41を有する。BB情報収集部41は、サーバ40がPC端末20bに提供するWebページ等に関連して行われるPC端末20bに対するユーザの操作の特徴を示す情報(以下、「操作情報」という。)を収集する。操作情報は、Behavioral Biometrics技術(以下、「BB技術」という。)によって有効な入力情報であればよい。以下、当該操作情報を「BB情報」という。BB情報収集部41は、サーバ40に対するアクセスごとのBB情報を、ユーザ操作分析装置50へ送信する。なお、サーバ40は、不正アクセスの攻撃対象となりうる。
ユーザ操作分析装置50は、PFスコア受信部51及びBBスコア分析部52を有する1以上のコンピュータである。PFスコア受信部51は、モバイル端末20aからPFスコアを受信し、当該PFスコアをネットワーク制御装置10へ送信する。
BBスコア分析部52は、サーバ40のBB情報収集部41から送信されるBB情報を受信し、当該BB情報をBB技術を利用して分析することで、PC端末20bのユーザの正当性に関するスコア(BB技術に基づくスコア)を、サーバ40へのアクセスごとに算出する。BBスコア分析部52は、アクセスごとのスコアをネットワーク制御装置10へ送信する。
通信分析装置60は、通信情報収集部61及び通信分析部62等を有する1以上のコンピュータである。通信情報収集部61は、モバイル端末20a又はPC端末20bによるサーバ40へのアクセスに関する通信について、ネットワーク装置30によって転送される通信情報をネットワーク装置30から収集する。通信分析部62は、例えば、UEBA(User and Entity Behavior Analytics)技術を利用して、通信情報収集部61によって収集された通信情報を分析することで、モバイル端末20a又はPC端末20bによるサーバ40への各アクセスの通信の正常性を判定する。通信分析部62は、アクセスごとに分析した通信の正常性を示す情報(正常域、注意域又は異常域)を、ネットワーク制御装置10へ送信する。
ネットワーク制御装置10は、アクセス分類部11、詳細分析手法選定部12、ネットワーク制御部13、ユーザ操作分析結果記憶部111、通信分析結果記憶部112、マトリクステーブル記憶部113等を有する1以上のコンピュータである。
ユーザ操作分析結果記憶部111には、ユーザ操作分析装置50のPFスコア受信部51又はBBスコア分析部52から送信されるスコアが記憶される。すなわち、ユーザ操作分析結果記憶部111には、サーバ40に対するアクセスごとに、当該アクセスに関して算出された、ユーザの正当性に関するスコアが記憶される。
通信分析結果記憶部112には、通信分析装置60の通信分析部62から送信される分析結果が記憶される。すなわち、通信分析結果記憶部112には、サーバ40に対するアクセスごとに、当該アクセスに関する通信分析部62による分析結果(正常域、注意域又は異常域)が記憶される。
マトリクステーブル記憶部113には、ユーザの正当性のレベルと、通信の正常性のレベルとの組み合わせに応じて、サーバ40に対するアクセスについて、正当アクセスであるか不正アクセスであるかを判別できる範囲と、判別できない範囲とを明確化するテーブルであるマトリクステーブルが記憶されている。
図2は、マトリクステーブルの構成例を示す図である。図2において、マトリクステーブルは、列方向に通信の正常性のレベルが割り当てられ、行方向にユーザの正当性(ユーザが本人である可能性)のレベルが割り当てられている。
すなわち、列方向は、当該アクセスに係る通信の正常性について、正常域、注意域及び異常域の3つのレベル(3つの段階)に分類され、行方向は、当該アクセスに係るユーザの正当性について、正常域、注意域及び異常域の3つのレベル(3つの段階)に分類されている。マトリクステーブルの各要素の値は、通信の正常性のレベルと、ユーザの正当性のレベルとの組み合わせに応じて、(1)~(9)の値である。(1)~(9)のそれぞれは、以下の意味を有する。
(1)「本人」かつ「正常通信」
(2)「本人」かつ「正常又は異常通信」
(3)「本人」かつ「異常通信」
(4)「本人又は本人でない」かつ「正常通信」
(5)「本人又は本人でない」かつ「正常又は異常通信」
(6)「本人又は本人でない」かつ「異常通信」
(7)「本人でない」かつ「正常通信」
(8)「本人でない」かつ「正常又は異常通信」
(9)「本人でない」かつ「異常通信」
ここで、(1)は、正当アクセス、(9)は、不正アクセス、(2)~(8)は、正当アクセスか不正アクセスかの判別がつかないアクセスの範囲である。
(1)「本人」かつ「正常通信」
(2)「本人」かつ「正常又は異常通信」
(3)「本人」かつ「異常通信」
(4)「本人又は本人でない」かつ「正常通信」
(5)「本人又は本人でない」かつ「正常又は異常通信」
(6)「本人又は本人でない」かつ「異常通信」
(7)「本人でない」かつ「正常通信」
(8)「本人でない」かつ「正常又は異常通信」
(9)「本人でない」かつ「異常通信」
ここで、(1)は、正当アクセス、(9)は、不正アクセス、(2)~(8)は、正当アクセスか不正アクセスかの判別がつかないアクセスの範囲である。
なお、分類学上「である」、「でない」の2×2マトリクスで分類(本実施の形態の例では「本人である」、「本人でない」/「正常通信である」、「正常通信でない」で分類)することが分析する上で最も効果的であるが、公知のセキュリティ技術では、それらの判別を行うことが困難であるため、判別のつかないアクセスの領域を設け、3×3マトリクスとした。
アクセス分類部11は、アクセスごとに、当該アクセスに関してユーザ操作分析結果記憶部111に記憶されたユーザの正当性に関する分析結果(スコア)と、当該アクセスに関して通信分析結果記憶部112に記憶された通信の正常性に関する分析結果とを、マトリクステーブル記憶部113に記憶されているマトリクステーブル(図2)に当てはめて、当該アクセスの正当性を(1)~(9)に分類する(すなわち、当該アクセスの正当性を判別する。)。具体的には、アクセス分類部11は、ユーザの正当性に関するスコアに対する2つの閾値(正常域と注意域とを区分する第1の閾値と、注意域と異常域とを区分する第2の閾値)に基づいて、当該スコアを、正常域、注意域、異常域に分類する。アクセス分類部11は、また、通信の正常性に関する分析結果(正常域、注意域、異常域)を、そのまま、マトリクステーブルの正常域、注意域、異常域に当てはめる。
なお、各アクセスの異同は、アクセス元のモバイル端末20a又はPC端末20b(送信元)の識別情報(例えば、IPアドレス)と、アクセス先のサーバ40の識別情報(例えば、IPアドレス)との組によって区別される。又は、TCPの5tupleによって、各アクセスの異同が区別されてもよい。更に、アクセスの内容(例えば、要求の内容)の同一性も考慮して、各アクセスの異同が区別されてもよい。
詳細分析手法選定部12は、アクセス分類部11による分類結果が、(2)~(8)のいずれかであるアクセス(すなわち、正当アクセスか不正アクセスかの判別がつかないアクセス)について、当該アクセスを(1)又は(9)へ分類するための詳細分析の手法を選定し、選定した手法の実施を、例えば、トラフィック詳細分析装置70等へ指示する。
ネットワーク制御部13は、アクセス分類部11によって(9)へ分類されたアクセス、又は詳細分析手法選定部12によって選定された手法の実施によって(9)に該当すると判定されたアクセスに係る通信の制御(遮断等)を行う。
トラフィック詳細分析装置70は、トラフィック詳細分析部71を有する1以上のコンピュータである。トラフィック詳細分析部71は、例えば、詳細分析手法選定部12から指示されたアクセスに係る通信について、詳細な分析を実行する。例えば、簡易分析UEBA技術では、パケットのヘッダ部分について分析が行われるところ、トラフィック詳細分析部71は、パケットのペイロード部分の分析等を行うことにより、当該アクセスにおける不正な情報の有無等を分析する。
図3は、本発明の実施の形態におけるネットワーク制御装置10のハードウェア構成例を示す図である。図3のネットワーク制御装置10は、それぞれバスBで相互に接続されているドライブ装置100、補助記憶装置102、メモリ装置103、CPU104、及びインタフェース装置105等を有する。
ネットワーク制御装置10での処理を実現するプログラムは、CD-ROM等の記録媒体101によって提供される。プログラムを記憶した記録媒体101がドライブ装置100にセットされると、プログラムが記録媒体101からドライブ装置100を介して補助記憶装置102にインストールされる。但し、プログラムのインストールは必ずしも記録媒体101より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置102は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
メモリ装置103は、プログラムの起動指示があった場合に、補助記憶装置102からプログラムを読み出して格納する。CPU104は、メモリ装置103に格納されたプログラムに従ってネットワーク制御装置10に係る機能を実行する。インタフェース装置105は、ネットワークに接続するためのインタフェースとして用いられる。
なお、ネットワーク制御装置10以外の各装置も、図3に示されるようなハードウェア構成を有してもよい。
また、図1におけるネットワーク制御装置10のアクセス分類部11、詳細分析手法選定部12及びネットワーク制御部13は、ネットワーク制御装置10にインストールされた1以上のプログラムが、CPU104に実行させる処理により実現される。ユーザ操作分析結果記憶部111、通信分析結果記憶部112及びマトリクステーブル記憶部113は、例えば、補助記憶装置102、又はネットワーク制御装置10にネットワークを介して接続可能な記憶装置等を用いて実現可能である。
また、図1におけるPFスコア分析部21、BB情報収集部41、PFスコア受信部51、BBスコア分析部52、通信情報収集部61、通信分析部62及びトラフィック詳細分析部71等は、各部を有する装置にインストールされた1以上のプログラムが、当該装置のCPUに実行させる処理により実現される。
以下、アクセス分析システムにおいて実行される処理手順について説明する。図4は、トラフィック詳細分析部71が実行する処理手順の一例を説明するためのフローチャートである。図4においては、或る特定のアクセス(以下、「対象アクセス」という。)が処理対象であるとする。
ステップS101において、トラフィック詳細分析部71は、対象アクセスについてのアクセス分類部11による分類結果に基づいて、処理を分岐させる。なお、分類結果は、マトリクステーブル(図2)における(1)~(9)のいずれかを示す情報である。
分類結果が(1)である場合、トラフィック詳細分析部71は、対象アクセスに対応する変数kに1を加算する(S102)。変数kは、アクセスごとに用意され、初期値が0の変数である。続いて、トラフィック詳細分析部71は、当該変数kの値が閾値n以上であるか否かを判定する(S103)。当該変数kの値が閾値n未満である場合(S103でNo)、ステップS101に戻る。すなわち、この場合、トラフィック詳細分析部71は、対象アクセスと同一の新たなアクセスの分類結果に基づいて処理を実行する。当該変数kの値が閾値n以上である場合(S103でYes)、トラフィック詳細分析部71は、対象アクセスが正当アクセスであることをネットワーク制御部13に通知する(S104)。
また、分類結果が(4)又は(7)である場合、トラフィック詳細分析部71は、「人(ユーザ)」の正当性に関する詳細分析を実施する(S105、S106)。当該詳細分析の内容は所定のものに限定されない。例えば、対象アクセスに関して、PFスコア分析部21又はBBスコア分析部52による分析が継続されてもよいし、他の方法によって分析が行われてもよい。斯かる詳細分析の結果、対象アクセスが正当アクセス又は不正アクセスのいずれかに判別される。
また、分類結果が、(2)又は(3)である場合、トラフィック詳細分析部71は、通信の正常性に関する詳細分析を実施する(S107、S108)。当該詳細分析の内容は所定のものに限定されない。例えば、トラフィック詳細分析部71に対して、対象アクセスに関するペイロード部分の分析が指示されてもよい。斯かる詳細分析の結果、対象アクセスが正当アクセス又は不正アクセスのいずれかに判別される。
また、分類結果が、(5)、(6)又は(8)である場合、トラフィック詳細分析部71は、「人(ユーザ)」の正当性に関する詳細分析、及び通信の正常性に関する詳細分析を実施する(S109、S110、S111)。当該詳細分析の内容は所定のものに限定されない。例えば、ステップS105又はS106と、ステップS107~S109のいずれかとを組み合わせた分析が行われてもよい。斯かる詳細分析の結果、対象アクセスが正当アクセス又は不正アクセスのいずれかに判別される。
ステップS105~S111に続いて、トラフィック詳細分析部71は、詳細分析の結果をネットワーク制御部13に通知する(S112)。
また、分類結果が(9)である場合、トラフィック詳細分析部71は、対象アクセスが不正アクセスであることをネットワーク制御部13に通知する(S113)。
なお、ネットワーク制御部13は、トラフィック詳細分析部71から不正アクセスであることを通知されたアクセスについて、例えば、ネットワーク装置30に対して遮断指示を送信する。
続いて、アクセス分析システムにおいて実行される処理手順について、一つの具体例を説明する。
図5は、アクセス分析システムにおいて実行される処理手順の一例を説明するための図である。図5では、PC端末20bが攻撃元であり、サーバ40を宛先とするパケットのペイロード部分にマルウェアを仕込んだアクセスを発生させているとする。したがって、サーバ40が攻撃対象である。
ステップS201において、PC端末20bが、パケットのペイロード部分にマルウェアを仕込んだアクセス(以下、「対象アクセス」という。)をサーバ40に対して行う。なお、この際、対象アクセスに関する操作情報が、サーバ40のBB情報収集部41によって収集され、収集された操作情報がユーザ操作分析装置50のBBスコア分析部52へ送信される。
ステップS202において、ユーザ操作分析装置50のBBスコア分析部52は、当該操作情報に基づいて、対象アクセスに関するユーザの正当性をBB技術を利用して分析して、スコアを算出する。BBスコア分析部52は、当該スコアを対象アクセスに関するスコアとして、ネットワーク制御装置10へ送信する(S203)。当該スコアは、対象アクセスの識別情報に関連付けられてユーザ操作分析結果記憶部111へ記憶される。
一方、ステップS202、S203等と並行して、通信分析装置60の通信情報収集部61は、対象アクセスに関する通信情報をネットワーク装置30から収集する(S204)。通信分析部62は、例えば、UEBA技術を利用して、通信情報収集部61によって収集された通信情報を分析することで、当該通信の正常性を分析し(S205)、分析結果をネットワーク制御装置10へ送信する(S206)。
続いて、ネットワーク制御装置10のアクセス分類部11は、対象アクセスに関するユーザの正当性の分析結果(スコア)と、対象アクセスに関する通信の正常性のスコアとの分析結果とをマトリクステーブル(図2)に当てはめて、対象アクセスを(1)~(9)のいずれかへ分類する。ここでは、(7)へ分類されたこととする。
対象アクセスが(7)へ分類されたことに応じ、詳細分析手法選定部12は、対象アクセスをトラフィック詳細分析装置70へミラーリングするための設定をネットワーク装置30に対して実行する(S208)。その結果、対象アクセスに関するトラフィック(通信)が、トラフィック詳細分析装置70へミラーリングされる(S209)。
続いて、トラフィック詳細分析装置70のトラフィック詳細分析部71は、対象アクセスのパケットのペイロード部を分析等することで、当該ペイロード部にマルウェアが含まれていることを検出する(S210)。そこで、トラフィック詳細分析部71は、対象アクセスが不正アクセスであると判別し、当該判別結果をネットワーク制御装置10の詳細分析手法選定部12に送信する(S211)。ネットワーク制御装置10のネットワーク制御部13は、当該判別結果に基づいて、対象アクセスの遮断をネットワーク装置30へ指示する(S212)。
なお、上記では、ユーザの正当性を判別するための技術として、BB技術を利用する例について説明したが、他の技術(例えば、知識認証、所有物認証、生体認証等)が利用されてもよい。
また、上記では、通信の正常性を判別するための技術として、UEBA技術を利用する例について説明したが、他の技術(例えば、IDS(Intrusion Detection System)、IPS(Intrusion Prevention System)等)が利用されてもよい。
但し、BB技術及びUEBA技術を利用することで、高精度にアクセスの正当性を判別できることが期待できる。
上述したように、本実施の形態によれば、ネットワークを介したアクセスについて、当該アクセスに係るユーザの正当性と、当該アクセスに係る通信の正常性とに基づいて、正当アクセスであるか否か(正当性)が判定される。したがって、ユーザの正当性又は通信の正常性のみに基づいて当該アクセスの正当性を判別する場合に比べて、当該正当性の判別精度を向上させることができる。
なお、本実施の形態において、BBスコア分析部52及びPFスコア分析部21は、第1の分析部の一例である。通信分析部62は、第2の分析部の一例である。アクセス分類部11は、判別部の一例である。トラフィック詳細分析部71は、第3の分析部の一例である。
以上、本発明の実施の形態について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
10 ネットワーク制御装置
11 アクセス分類部
12 詳細分析手法選定部
13 ネットワーク制御部
20a モバイル端末
20b PC端末
21 PFスコア分析部
30 ネットワーク装置
40 サーバ
41 BB情報収集部
50 ユーザ操作分析装置
51 PFスコア受信部
52 BBスコア分析部
60 通信分析装置
61 通信情報収集部
62 通信分析部
70 トラフィック詳細分析装置
71 トラフィック詳細分析部
100 ドライブ装置
101 記録媒体
102 補助記憶装置
103 メモリ装置
104 CPU
105 インタフェース装置
111 ユーザ操作分析結果記憶部
112 通信分析結果記憶部
113 マトリクステーブル記憶部
B バス
11 アクセス分類部
12 詳細分析手法選定部
13 ネットワーク制御部
20a モバイル端末
20b PC端末
21 PFスコア分析部
30 ネットワーク装置
40 サーバ
41 BB情報収集部
50 ユーザ操作分析装置
51 PFスコア受信部
52 BBスコア分析部
60 通信分析装置
61 通信情報収集部
62 通信分析部
70 トラフィック詳細分析装置
71 トラフィック詳細分析部
100 ドライブ装置
101 記録媒体
102 補助記憶装置
103 メモリ装置
104 CPU
105 インタフェース装置
111 ユーザ操作分析結果記憶部
112 通信分析結果記憶部
113 マトリクステーブル記憶部
B バス
Claims (6)
- ネットワークを介したアクセスに関するユーザによる端末の操作の特徴に基づいて、前記ユーザの正当性を分析する第1の分析部と、
前記アクセスに関する通信に基づいて、前記通信の正常性を分析する第2の分析部と、
前記第1の分析部による分析結果と、前記第2の分析部による分析結果とに基づいて、前記アクセスの正当性を判別する判別部と、
を有することを特徴とするアクセス分析システム。 - 前記判別部は、ユーザの正当性の分析結果において当該ユーザが正当であるレベルと、通信の正常性の分析結果において当該通信が正常であるレベルとの組み合わせに応じて、ネットワークを介したアクセスの正当性を示すマトリクステーブルに、前記第1の分析部による分析結果と、前記第2の分析部による分析結果とを当てはめて、前記アクセスの正当性を判別する、
ことを特徴とする請求項1記載のアクセス分析システム。 - 前記判別部によって正当であるか不正であるかを判別できないアクセスに係る通信について、前記第2の分析部よりも詳細な分析を実行する第3の分析部を有する、
ことを特徴とする請求項1又は2記載のアクセス分析システム。 - 1以上のコンピュータが、
ネットワークを介したアクセスに関するユーザによる端末の操作の特徴に基づいて、前記ユーザの正当性を分析する第1の分析手順と、
前記アクセスに関する通信に基づいて、前記通信の正常性を分析する第2の分析手順と、
前記第1の分析手順による分析結果と、前記第2の分析手順による分析結果とに基づいて、前記アクセスの正当性を判別する判別手順と、
を実行することを特徴とするアクセス分析方法。 - 前記判別手順は、ユーザの正当性の分析結果において当該ユーザが正当であるレベルと、通信の正常性の分析結果において当該通信が正常であるレベルとの組み合わせに応じて、ネットワークを介したアクセスの正当性を示すマトリクステーブルに、前記第1の分析手順による分析結果と、前記第2の分析手順による分析結果とを当てはめて、前記アクセスの正当性を判別する、
ことを特徴とする請求項4記載のアクセス分析方法。 - 前記1以上のコンピュータが、
前記判別手順において正当であるか不正であるかを判別できないアクセスに係る通信について、前記第2の分析手順よりも詳細な分析を実行する第3の分析手順を実行する、
ことを特徴とする請求項4又は5記載のアクセス分析方法。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US16/969,263 US11722493B2 (en) | 2018-02-16 | 2019-02-07 | Access analysis system and access analysis method |
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2018-026324 | 2018-02-16 | ||
JP2018026324A JP6890559B2 (ja) | 2018-02-16 | 2018-02-16 | アクセス分析システム及びアクセス分析方法 |
Publications (1)
Publication Number | Publication Date |
---|---|
WO2019159809A1 true WO2019159809A1 (ja) | 2019-08-22 |
Family
ID=67618957
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
PCT/JP2019/004453 WO2019159809A1 (ja) | 2018-02-16 | 2019-02-07 | アクセス分析システム及びアクセス分析方法 |
Country Status (3)
Country | Link |
---|---|
US (1) | US11722493B2 (ja) |
JP (1) | JP6890559B2 (ja) |
WO (1) | WO2019159809A1 (ja) |
Families Citing this family (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US11552972B2 (en) * | 2020-07-14 | 2023-01-10 | Bank Of America Corporation | Trusted travel devices equipped with on-the-fly monitoring |
Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20130239191A1 (en) * | 2012-03-09 | 2013-09-12 | James H. Bostick | Biometric authentication |
Family Cites Families (10)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US8424072B2 (en) * | 2010-03-09 | 2013-04-16 | Microsoft Corporation | Behavior-based security system |
US9529777B2 (en) * | 2011-10-28 | 2016-12-27 | Electronic Arts Inc. | User behavior analyzer |
US9245115B1 (en) * | 2012-02-13 | 2016-01-26 | ZapFraud, Inc. | Determining risk exposure and avoiding fraud using a collection of terms |
US20160078365A1 (en) * | 2014-03-21 | 2016-03-17 | Philippe Baumard | Autonomous detection of incongruous behaviors |
US10599501B2 (en) * | 2015-03-17 | 2020-03-24 | Nec Corporation | Information processing device, information processing method, and recording medium |
US10015182B1 (en) * | 2016-06-30 | 2018-07-03 | Symantec Corporation | Systems and methods for protecting computing resources |
US10326787B2 (en) * | 2017-02-15 | 2019-06-18 | Microsoft Technology Licensing, Llc | System and method for detecting anomalies including detection and removal of outliers associated with network traffic to cloud applications |
US11283821B2 (en) * | 2017-09-13 | 2022-03-22 | Informatica Llc | Method, apparatus, and computer-readable medium for determining risk associated with anomalous behavior of a user on a computer network |
US11042475B2 (en) * | 2017-12-19 | 2021-06-22 | Mastercard International Incorporated | Systems and methods for use in certifying interactions with hosted services |
US20190197549A1 (en) * | 2017-12-21 | 2019-06-27 | Paypal, Inc. | Robust features generation architecture for fraud modeling |
-
2018
- 2018-02-16 JP JP2018026324A patent/JP6890559B2/ja active Active
-
2019
- 2019-02-07 WO PCT/JP2019/004453 patent/WO2019159809A1/ja active Application Filing
- 2019-02-07 US US16/969,263 patent/US11722493B2/en active Active
Patent Citations (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US20130239191A1 (en) * | 2012-03-09 | 2013-09-12 | James H. Bostick | Biometric authentication |
Also Published As
Publication number | Publication date |
---|---|
JP6890559B2 (ja) | 2021-06-18 |
JP2019144693A (ja) | 2019-08-29 |
US20210006565A1 (en) | 2021-01-07 |
US11722493B2 (en) | 2023-08-08 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US11044264B2 (en) | Graph-based detection of lateral movement | |
US9866568B2 (en) | Systems and methods for detecting and reacting to malicious activity in computer networks | |
US8819803B1 (en) | Validating association of client devices with authenticated clients | |
US10284580B2 (en) | Multiple detector methods and systems for defeating low and slow application DDoS attacks | |
US10721245B2 (en) | Method and device for automatically verifying security event | |
US10366217B2 (en) | Continuous user authentication | |
CN112182519B (zh) | 一种计算机存储系统安全访问方法及访问系统 | |
CN107465648B (zh) | 异常设备的识别方法及装置 | |
Preuveneers et al. | SmartAuth: dynamic context fingerprinting for continuous user authentication | |
Liu et al. | MACA: A privacy-preserving multi-factor cloud authentication system utilizing big data | |
US20110314558A1 (en) | Method and apparatus for context-aware authentication | |
US20110314549A1 (en) | Method and apparatus for periodic context-aware authentication | |
CN111274046A (zh) | 服务调用的合法性检测方法、装置、计算机设备及计算机存储介质 | |
Olejnik et al. | Towards web-based biometric systems using personal browsing interests | |
WO2019159809A1 (ja) | アクセス分析システム及びアクセス分析方法 | |
WO2017068714A1 (ja) | 不正通信制御装置および方法 | |
Sehgal et al. | Additional security considerations for cloud | |
RU2303811C1 (ru) | Способ дистанционной аутентификации пользователя и система для его осуществления | |
KR101659226B1 (ko) | 완전 동형 암호를 이용한 원격 바이오 인증 방법 및 시스템 | |
Prajapati et al. | A review on different techniques used to detect the malicious applications for securing the android operating system | |
KR102296234B1 (ko) | 특징값 추출 기반의 바이너리 검증 시스템 및 방법 | |
US20230026262A1 (en) | Wireless Channel Selection for Multipath Authentication of a User | |
CN117395658A (zh) | 一种5g双域专网的零信任安全可信审计方法及装置 | |
TEJASWINI et al. | A Novel Secure Protocol for Continuous Authentication using Blowfish Algorithm | |
Stefan et al. | A Cryptographic Provenance Verification Approach For Host-Based Malware Detection |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 19753694 Country of ref document: EP Kind code of ref document: A1 |
|
NENP | Non-entry into the national phase |
Ref country code: DE |
|
122 | Ep: pct application non-entry in european phase |
Ref document number: 19753694 Country of ref document: EP Kind code of ref document: A1 |