WO2019159809A1 - アクセス分析システム及びアクセス分析方法 - Google Patents

アクセス分析システム及びアクセス分析方法 Download PDF

Info

Publication number
WO2019159809A1
WO2019159809A1 PCT/JP2019/004453 JP2019004453W WO2019159809A1 WO 2019159809 A1 WO2019159809 A1 WO 2019159809A1 JP 2019004453 W JP2019004453 W JP 2019004453W WO 2019159809 A1 WO2019159809 A1 WO 2019159809A1
Authority
WO
WIPO (PCT)
Prior art keywords
analysis
access
communication
unit
user
Prior art date
Application number
PCT/JP2019/004453
Other languages
English (en)
French (fr)
Inventor
悠介 浦田
信也 白井
末田　欣子
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US16/969,263 priority Critical patent/US11722493B2/en
Publication of WO2019159809A1 publication Critical patent/WO2019159809A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0876—Network utilisation, e.g. volume of load or congestion level

Definitions

  • the present invention relates to an access analysis system and an access analysis method.
  • the annual average damage caused by unauthorized access is enormous compared to cyber attacks other than unauthorized access.
  • unauthorized access is “spoofing” in which an unauthorized accessor takes over login information such as a third party's ID / password and accesses important information. It is extremely difficult to prevent a person who has obtained the identification code from performing unauthorized access.
  • malicious access techniques that attack Web servers and the like by “abnormal communication” such as SQL injection and OS injection.
  • IDS Intrusion Detection System
  • IPS Intrusion Prevention System
  • IDS and IPS the statistical data on the number of packets flowing through the network and the usage status of the protocol is in a normal state, and communications that deviate from the preset normal state are always considered abnormal, so abnormal communication can be detected with high accuracy. Have difficulty.
  • Non-Patent Document 1 technology that performs user authentication based on user behavior information such as mouse operation and keyboard operation of PC terminal, smartphone swipe operation (Behavioral Biometrics technology / Password Free technology)
  • These technologies use information that is difficult for a third party to accurately simulate, such as “user behavior,” as an authentication factor. Have difficulty.
  • it is easier to find impersonation than the conventional technique when someone other than the user accesses, since it is determined that the person is not the person from the difference in behavior, it is easier to find impersonation than the conventional technique.
  • the latest abnormal communication detection technology for unauthorized access includes a technology for analyzing network traffic and detecting abnormal communication (UEBA (User and Entity Behavior Analytics) technology).
  • UEBA User and Entity Behavior Analytics
  • IDS and IPS Internet Protocol Security
  • Behavioral Biometrics Technology / Password Free Technology has the advantage that it is easier to detect impersonation than the conventional technology, but if the terminal is used differently than usual, the terminal is used by others. It may be difficult to accurately determine whether the person is the person or the person other than the person himself or herself.
  • UEBA technology can detect abnormal communication with higher accuracy than conventional technology, but communication that is out of steady state despite being normal communication is erroneously recognized as abnormal communication. It is difficult to accurately determine whether the communication is normal communication or abnormal communication.
  • the present invention has been made in view of the above points, and an object thereof is to improve the accuracy of determining the validity of access through a network.
  • the access analysis system performs communication for the access and the first analysis unit that analyzes the legitimacy of the user based on the characteristics of the operation of the terminal by the user regarding the access via the network. Based on the second analysis unit that analyzes the normality of the communication, the analysis result by the first analysis unit, and the analysis result by the second analysis unit, the validity of the access is determined And a determination unit.
  • FIG. 1 is a diagram illustrating a configuration example of an access analysis system according to an embodiment of the present invention.
  • the access analysis system includes one or more mobile terminals 20a, one or more PC terminals 20b, one or more network devices 30, a server 40, a user operation analysis device 50, a communication analysis device 60, a network control device 10, and traffic.
  • a detailed analysis device 70 and the like are included.
  • the network device 30 is connected to the mobile terminal 20a, the PC terminal 20b, the server 40, the communication analysis device 60, the traffic detail analysis device 70, and the network control device 10 via a network.
  • the user operation analysis device 50 is connected to the mobile terminal 20a, the server 40, and the network control device 10 via a network.
  • the communication analysis device 60 and the traffic detail analysis device 70 are connected to the network control device 10 via a network.
  • the mobile terminal 20a and the PC terminal 20b are terminals used by the user. However, the legitimacy of the user is not guaranteed.
  • the mobile terminal 20a is, for example, a smartphone or a tablet terminal.
  • the mobile terminal 20a has a PF score analysis unit 21.
  • the PF score analysis unit 21 analyzes a user operation related to the access based on the Password Free technology (hereinafter referred to as “PF technology”), and relates to the validity of the user of the mobile terminal 20a.
  • a score (score based on PF technique) is calculated.
  • the PF score analysis unit 21 transmits the score to the user operation analysis device 50.
  • the access to the server 40 is, for example, communication in units of requests to the server 40.
  • the PC terminal 20b since the PF technology is a technology corresponding to the mobile terminal 20a, the PC terminal 20b does not have the PF score analysis unit 21.
  • the network device 30 is, for example, a router. That is, the network device 30 is a device that transfers information distributed on the network to a route according to the destination.
  • the server 40 is one or more computers that provide some service to the user, such as a Web server.
  • the server 40 includes a BB information collection unit 41 in addition to a functional unit for providing a service.
  • the BB information collection unit 41 collects information (hereinafter referred to as “operation information”) indicating the characteristics of the user's operation on the PC terminal 20b performed in association with the Web page provided by the server 40 to the PC terminal 20b. .
  • the operation information may be input information that is effective by the behavioral biometrics technology (hereinafter referred to as “BB technology”).
  • BB information the operation information
  • the BB information collection unit 41 transmits BB information for each access to the server 40 to the user operation analysis device 50.
  • the server 40 can be an attack target for unauthorized access.
  • the user operation analysis device 50 is one or more computers having a PF score receiving unit 51 and a BB score analyzing unit 52.
  • the PF score receiving unit 51 receives a PF score from the mobile terminal 20 a and transmits the PF score to the network control device 10.
  • the BB score analysis unit 52 receives the BB information transmitted from the BB information collection unit 41 of the server 40, and analyzes the BB information using the BB technology, thereby obtaining a score relating to the legitimacy of the user of the PC terminal 20b. (Score based on BB technology) is calculated for each access to the server 40.
  • the BB score analysis unit 52 transmits a score for each access to the network control device 10.
  • the communication analyzer 60 is one or more computers having a communication information collection unit 61, a communication analysis unit 62, and the like.
  • the communication information collection unit 61 collects communication information transferred by the network device 30 from the network device 30 for communication related to access to the server 40 by the mobile terminal 20a or the PC terminal 20b.
  • the communication analysis unit 62 analyzes the communication information collected by the communication information collection unit 61 using, for example, UEBA (User and Entity Behavior Analytics) technology, to the server 40 by the mobile terminal 20a or the PC terminal 20b.
  • the normality of communication of each access is determined.
  • the communication analysis unit 62 transmits information (normal range, attention range, or abnormal range) indicating the normality of communication analyzed for each access to the network control apparatus 10.
  • the network control apparatus 10 includes one or more computers having an access classification unit 11, a detailed analysis method selection unit 12, a network control unit 13, a user operation analysis result storage unit 111, a communication analysis result storage unit 112, a matrix table storage unit 113, and the like. It is.
  • the user operation analysis result storage unit 111 stores a score transmitted from the PF score reception unit 51 or the BB score analysis unit 52 of the user operation analysis device 50. That is, for each access to the server 40, the user operation analysis result storage unit 111 stores a score regarding the legitimacy of the user calculated for the access.
  • the communication analysis result storage unit 112 stores an analysis result transmitted from the communication analysis unit 62 of the communication analysis device 60. That is, for each access to the server 40, the communication analysis result storage unit 112 stores an analysis result (normal area, caution area, or abnormal area) by the communication analysis section 62 regarding the access.
  • the matrix table storage unit 113 has a range in which it is possible to determine whether the access to the server 40 is a legitimate access or an unauthorized access according to the combination of the user legitimacy level and the communication normality level.
  • a matrix table which is a table for clarifying the range that cannot be discriminated, is stored.
  • FIG. 2 is a diagram showing a configuration example of the matrix table.
  • a communication normality level is assigned in the column direction
  • a user legitimacy is assigned in the row direction.
  • the column direction is classified into three levels (three stages) of normality, cautionary region, and abnormal region regarding the normality of communication related to the access, and the row direction is related to the legitimacy of the user related to the access. Categorized into three levels (three stages): normal, caution and abnormal.
  • the values of the elements of the matrix table are values (1) to (9) depending on the combination of the normality level of communication and the user's legitimacy level. Each of (1) to (9) has the following meaning.
  • the classification is based on a 2 ⁇ 2 matrix of “is” or “not” (in the example of this embodiment, “is the person”, “is not the person” / “is the normal communication”, “is not the normal communication” ”) Is the most effective for analysis. However, since it is difficult to discriminate them with known security technology, an inaccessible access area is provided and a 3 ⁇ 3 matrix. It was.
  • the access classification unit 11 stores, for each access, an analysis result (score) regarding the legitimacy of the user stored in the user operation analysis result storage unit 111 regarding the access and a communication stored in the communication analysis result storage unit 112 regarding the access.
  • the analysis result regarding the normality of the access is applied to the matrix table (FIG. 2) stored in the matrix table storage unit 113, and the legitimacy of the access is classified into (1) to (9) (that is, the access To determine the legitimacy of.)
  • the access classification unit 11 includes two thresholds for the score relating to the legitimacy of the user (a first threshold that divides a normal area and a caution area, and a second threshold that divides a caution area and an abnormal area) ), The score is classified into a normal range, a caution range, and an abnormal range.
  • the access classification unit 11 also applies the analysis results (normal area, caution area, abnormal area) regarding the normality of communication to the normal area, caution area, and abnormal area of the matrix table as they are.
  • Each access difference is a combination of identification information (for example, IP address) of the access source mobile terminal 20a or PC terminal 20b (transmission source) and identification information (for example, IP address) of the access destination server 40.
  • identification information for example, IP address
  • the difference of each access may be distinguished by the 5 tuple of TCP. Further, in consideration of the identity of access contents (for example, request contents), the difference between each access may be distinguished.
  • the detailed analysis method selection unit 12 performs the access for an access whose classification result by the access classification unit 11 is any of (2) to (8) (that is, an access for which it is impossible to determine whether it is a legitimate access or an unauthorized access).
  • a detailed analysis method for classifying the method into (1) or (9) is selected, and execution of the selected method is instructed to, for example, the traffic detailed analysis device 70 or the like.
  • the network control unit 13 controls the communication related to the access classified as (9) by the access classification unit 11 or the access determined to fall under (9) by executing the method selected by the detailed analysis method selection unit 12. (Blocking etc.).
  • the traffic detail analysis device 70 is one or more computers having a traffic detail analysis unit 71.
  • the traffic detail analysis unit 71 performs a detailed analysis on the communication related to the access instructed from the detail analysis method selection unit 12. For example, in the simple analysis UEBA technique, an analysis is performed on the header portion of a packet, and the traffic detail analysis unit 71 analyzes the presence of illegal information in the access by analyzing the payload portion of the packet and the like. .
  • FIG. 3 is a diagram illustrating a hardware configuration example of the network control device 10 according to the embodiment of the present invention.
  • the network control device 10 in FIG. 3 includes a drive device 100, an auxiliary storage device 102, a memory device 103, a CPU 104, an interface device 105, and the like that are mutually connected by a bus B.
  • a program for realizing processing in the network control apparatus 10 is provided by a recording medium 101 such as a CD-ROM.
  • a recording medium 101 such as a CD-ROM.
  • the program is installed from the recording medium 101 to the auxiliary storage device 102 via the drive device 100.
  • the program need not be installed from the recording medium 101 and may be downloaded from another computer via a network.
  • the auxiliary storage device 102 stores the installed program and also stores necessary files and data.
  • the memory device 103 reads the program from the auxiliary storage device 102 and stores it when there is an instruction to start the program.
  • the CPU 104 executes functions related to the network control device 10 in accordance with a program stored in the memory device 103.
  • the interface device 105 is used as an interface for connecting to a network.
  • Each device other than the network control device 10 may have a hardware configuration as shown in FIG.
  • the access classification unit 11, the detailed analysis method selection unit 12, and the network control unit 13 of the network control device 10 in FIG. 1 are realized by processing that one or more programs installed in the network control device 10 cause the CPU 104 to execute.
  • the user operation analysis result storage unit 111, the communication analysis result storage unit 112, and the matrix table storage unit 113 can be realized by using, for example, the auxiliary storage device 102 or a storage device that can be connected to the network control device 10 via a network. It is.
  • One or more programs installed in a device that the device has are realized by processing that is executed by the CPU of the device.
  • FIG. 4 is a flowchart for explaining an example of a processing procedure executed by the traffic detail analysis unit 71.
  • target access a specific access
  • step S101 the traffic detail analysis unit 71 branches the processing based on the classification result by the access classification unit 11 for the target access.
  • the classification result is information indicating any one of (1) to (9) in the matrix table (FIG. 2).
  • the traffic detail analysis unit 71 adds 1 to the variable k corresponding to the target access (S102).
  • the variable k is prepared for each access and has an initial value of 0.
  • the traffic detail analysis unit 71 determines whether or not the value of the variable k is greater than or equal to the threshold value n (S103).
  • the process returns to step S101. That is, in this case, the traffic detail analysis unit 71 executes processing based on the new access classification result that is the same as the target access.
  • the traffic detail analysis unit 71 notifies the network control unit 13 that the target access is a legitimate access (S104).
  • the traffic detailed analysis unit 71 performs a detailed analysis on the validity of “person (user)” (S105, S106).
  • the details of the detailed analysis are not limited to predetermined ones. For example, regarding the target access, the analysis by the PF score analysis unit 21 or the BB score analysis unit 52 may be continued, or the analysis may be performed by another method. As a result of such detailed analysis, the target access is determined to be either legitimate access or unauthorized access.
  • the traffic detail analysis unit 71 performs a detailed analysis on the normality of communication (S107, S108).
  • the details of the detailed analysis are not limited to predetermined ones.
  • the traffic detail analysis unit 71 may be instructed to analyze the payload portion related to the target access. As a result of such detailed analysis, the target access is determined to be either legitimate access or unauthorized access.
  • the traffic detailed analysis unit 71 performs detailed analysis on the legitimacy of “person (user)” and detailed analysis on the normality of communication.
  • the details of the detailed analysis are not limited to predetermined ones. For example, an analysis in which step S105 or S106 is combined with any of steps S107 to S109 may be performed. As a result of such detailed analysis, the target access is determined to be either legitimate access or unauthorized access.
  • the traffic detailed analysis unit 71 notifies the network control unit 13 of the result of the detailed analysis (S112).
  • the traffic detail analysis unit 71 notifies the network control unit 13 that the target access is unauthorized access (S113).
  • the network control unit 13 transmits a blocking instruction to the network device 30, for example, for the access notified from the traffic detail analysis unit 71 that it is an unauthorized access.
  • FIG. 5 is a diagram for explaining an example of a processing procedure executed in the access analysis system.
  • the PC terminal 20 b is the attack source and an access in which malware is charged is generated in the payload portion of the packet destined for the server 40. Therefore, the server 40 is an attack target.
  • step S201 the PC terminal 20b performs access (hereinafter referred to as “target access”) in which malware is prepared in the payload portion of the packet to the server 40.
  • target access access
  • the operation information related to the target access is collected by the BB information collection unit 41 of the server 40, and the collected operation information is transmitted to the BB score analysis unit 52 of the user operation analysis device 50.
  • step S202 the BB score analysis unit 52 of the user operation analysis device 50 analyzes the legitimacy of the user regarding the target access using the BB technique based on the operation information, and calculates a score.
  • the BB score analysis unit 52 transmits the score as a score related to target access to the network control device 10 (S203).
  • the score is stored in the user operation analysis result storage unit 111 in association with the identification information of the target access.
  • the communication information collection unit 61 of the communication analyzer 60 collects communication information related to the target access from the network device 30 (S204).
  • the communication analysis unit 62 analyzes the normality of the communication by analyzing the communication information collected by the communication information collection unit 61 using, for example, UEBA technology (S205), and the analysis result is transmitted to the network control device. 10 (S206).
  • the access classification unit 11 of the network control apparatus 10 displays a matrix table (FIG. 2) of the analysis result (score) of the user's legitimacy regarding the target access and the analysis result of the normality score of communication regarding the target access.
  • the target access is classified into any one of (1) to (9). Here, it is assumed that it is classified into (7).
  • the detailed analysis method selecting unit 12 performs setting for the network device 30 to mirror the target access to the traffic detailed analysis device 70 (S208). As a result, traffic (communication) related to the target access is mirrored to the traffic detail analysis device 70 (S209).
  • the traffic detail analysis unit 71 of the traffic detail analysis device 70 detects that the payload part contains malware by analyzing the payload part of the target access packet (S210). Therefore, the traffic detail analysis unit 71 determines that the target access is unauthorized access, and transmits the determination result to the detail analysis method selection unit 12 of the network control device 10 (S211). The network control unit 13 of the network control device 10 instructs the network device 30 to block the target access based on the determination result (S212).
  • the BB technique is used as a technique for determining the legitimacy of a user.
  • other techniques for example, knowledge authentication, property authentication, biometric authentication, etc.
  • the BB score analysis unit 52 and the PF score analysis unit 21 are examples of a first analysis unit.
  • the communication analysis unit 62 is an example of a second analysis unit.
  • the access classification unit 11 is an example of a determination unit.
  • the traffic detail analysis unit 71 is an example of a third analysis unit.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

アクセス分析システムは、ネットワークを介したアクセスに関するユーザによる端末の操作の特徴に基づいて、前記ユーザの正当性を分析する第１の分析部と、前記アクセスに関する通信に基づいて、前記通信の正常性を分析する第２の分析部と、前記第１の分析部による分析結果と、前記第２の分析部による分析結果とに基づいて、前記アクセスの正当性を判別する判別部と、を有することで、ネットワークを介したアクセスの正当性の判別精度を向上させる。

Description

アクセス分析システム及びアクセス分析方法
　本発明は、アクセス分析システム及びアクセス分析方法に関する。
　サイバー攻撃の一種である不正アクセスによる年間平均被害額は、不正アクセス以外のサイバー攻撃に比べて甚大な額となっている。不正アクセスの１つに不正アクセス者が第三者のＩＤ／パスワードなどのログイン情報を乗っ取り、重要情報へアクセスするなどの「なりすまし」があるが、このような、不正アクセス行為を行う目的で他人の識別符号を入手した者が不正アクセス行為に及ぶことを阻止することは極めて困難である。また、なりすまし以外にも、ＳＱＬインジェクションやＯＳインジェクションなど、「異常通信」により、Ｗｅｂサーバ等に対して攻撃を行う不正アクセス手法による被害も多い。
　不正アクセスに対する既存の本人認証技術では、ＩＤ／パスワードや秘密の質問など本人しか知りえない情報による認証（知識認証）や、ＩＣカードや電子証明書など本人しか所有していない情報による認証（所有物認証）があるが、第三者にそれらの情報を盗まれてしまった場合、容易になりすましが可能である。また、指紋認証や虹彩認証など身体的な特徴を元にした認証（生体認証）についても、機器等が読み取ったユーザの身体的特徴を数値化し、あらかじめ登録された数値と照合する方法であるため、その数値をあらかじめ盗聴し、サーバへ当該数値を送信することで登録ユーザになりすますことが可能である。第三者になりすまされた場合、これらの従来技術では、本人以外が認証しているにも関わらず常に正常であると判定されてしまうため、なりすましを発見することは困難である。
　また、不正アクセスに対する既存の異常通信検知技術では、ＩＤＳ（Intrusion Detection System）やＩＰＳ（Intrusion Prevention System）といった、ネットワークの振る舞いを監視し、通常とは異なる振る舞いを検知する技術がある。ＩＤＳやＩＰＳでは、ネットワークを流れるパケット数やプロトコルの使用状況の統計データを正常状態としており、あらかじめ設定された正常状態から外れる通信は常に異常とみなすため、高い精度で異常通信を検知することが困難である。
　一方、不正アクセスに対する最新の本人認証技術では、ＰＣ端末のマウス操作やキーボード操作、スマートフォンのスワイプ操作など、ユーザの振る舞い情報をもとに、ユーザ認証を行う技術（Ｂｅｈａｖｉｏｒａｌ　Ｂｉｏｍｅｔｒｉｃｓ技術／Ｐａｓｓｗｏｒｄ　Ｆｒｅｅ技術）がある（非特許文献１）。これらの技術では「ユーザの振る舞い」といった第三者には正確に模擬することが困難な情報を認証要素として用いているため、上記の技術と比較して、第三者が本人になりすますことが困難である。また、本人以外がアクセスしている場合はその振る舞いの違いから本人以外であることを判別するため、従来技術よりもなりすましを発見しやすい。
　また、不正アクセスに対する最新の異常通信検知技術では、ネットワークトラフィックを分析し、異常通信を検知する技術（ＵＥＢＡ（User and Entity Behavior Analytics）技術）がある。ＵＥＢＡ技術では、ＩＤＳやＩＰＳなどの従来技術にマシンラーニングを加えることで、より高い精度で異常通信を検知することが可能である。
Yoshitomo Matsubara他, "Keyboard Dependency of Personal Identification Performance by Keystroke Dynamics in Free Text Typing", Journal of Information Security, 2015, 6, 229-240． 山内一将他, "C&Cトラフィック分類のための機械学習手法の評価", 情報処理学会論文誌, Vol.56, No.9, 1745-1753, 2015年9月．
　しかしながら、Ｂｅｈａｖｉｏｒａｌ　Ｂｉｏｍｅｔｒｉｃｓ技術／Ｐａｓｓｗｏｒｄ　Ｆｒｅｅ技術は、従来技術と比較して、なりすましを発見しやすいという利点があるが、端末を通常と異なる使い方などをすると、その端末を本人以外が使用していると誤認識してしまうことがあるなど、本人か本人以外かを正確に判別することは困難である。
　また、ＵＥＢＡ技術は、従来技術と比較して、より高い精度で異常通信を検知することが可能であるが、正常通信であるにも関わらず、定常状態から外れた通信は異常通信と誤認識してしまう場合があるなど、正常通信か異常通信かを正確に判別することは困難である。
　本発明は、上記の点に鑑みてなされたものであって、ネットワークを介したアクセスの正当性の判別精度を向上させることを目的とする。
　そこで上記課題を解決するため、アクセス分析システムは、ネットワークを介したアクセスに関するユーザによる端末の操作の特徴に基づいて、前記ユーザの正当性を分析する第１の分析部と、前記アクセスに関する通信に基づいて、前記通信の正常性を分析する第２の分析部と、前記第１の分析部による分析結果と、前記第２の分析部による分析結果とに基づいて、前記アクセスの正当性を判別する判別部と、を有する。
　ネットワークを介したアクセスの正当性の判別精度を向上させることができる。
本発明の実施の形態におけるアクセス分析システムの構成例を示す図である。 マトリクステーブルの構成例を示す図である。 本発明の実施の形態におけるネットワーク制御装置１０のハードウェア構成例を示す図 トラフィック詳細分析部７１が実行する処理手順の一例を説明するためのフローチャートである。 アクセス分析システムにおいて実行される処理手順の一例を説明するための図である。
　以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態におけるアクセス分析システムの構成例を示す図である。図１において、アクセス分析システムは、１以上のモバイル端末２０ａ、１以上のＰＣ端末２０ｂ、１以上のネットワーク装置３０、サーバ４０、ユーザ操作分析装置５０、通信分析装置６０、ネットワーク制御装置１０及びトラフィック詳細分析装置７０等を含む。
　ネットワーク装置３０は、モバイル端末２０ａ、ＰＣ端末２０ｂ、サーバ４０、通信分析装置６０、トラフィック詳細分析装置７０及びネットワーク制御装置１０とネットワークを介して接続される。ユーザ操作分析装置５０は、モバイル端末２０ａ、サーバ４０及びネットワーク制御装置１０とネットワークを介して接続される。通信分析装置６０及びトラフィック詳細分析装置７０は、ネットワーク制御装置１０とネットワークを介して接続される。
　モバイル端末２０ａ及びＰＣ端末２０ｂは、ユーザが利用する端末である。但し、ユーザの正当性は保証されない。なお、モバイル端末２０ａとは、例えば、スマートフォン又はタブレット端末等である。
　モバイル端末２０ａは、ＰＦスコア分析部２１を有する。ＰＦスコア分析部２１は、サーバ４０に対するアクセスごとに、当該アクセスに係るユーザの操作をＰａｓｓｗｏｒｄ　Ｆｒｅｅ技術（以下、「ＰＦ技術」という。）に基づいて分析し、モバイル端末２０ａのユーザの正当性に関するスコア（ＰＦ技術に基づくスコア）を計算する。ＰＦスコア分析部２１は、当該スコアを、ユーザ操作分析装置５０へ送信する。サーバ４０に対するアクセスとは、例えば、サーバ４０への要求単位での通信である。
　なお、ＰＦ技術は、モバイル端末２０ａに対応した技術であるため、ＰＣ端末２０ｂは、ＰＦスコア分析部２１を有さない。
　ネットワーク装置３０は、例えば、ルータである。すなわち、ネットワーク装置３０は、ネットワーク上を流通する情報を宛先に応じた経路に転送する装置である。
　サーバ４０は、Ｗｅｂサーバ等、ユーザに対して何らかのサービスを提供する１以上のコンピュータである。サーバ４０は、サービスを提供するための機能部の他に、ＢＢ情報収集部４１を有する。ＢＢ情報収集部４１は、サーバ４０がＰＣ端末２０ｂに提供するＷｅｂページ等に関連して行われるＰＣ端末２０ｂに対するユーザの操作の特徴を示す情報（以下、「操作情報」という。）を収集する。操作情報は、Ｂｅｈａｖｉｏｒａｌ　Ｂｉｏｍｅｔｒｉｃｓ技術（以下、「ＢＢ技術」という。）によって有効な入力情報であればよい。以下、当該操作情報を「ＢＢ情報」という。ＢＢ情報収集部４１は、サーバ４０に対するアクセスごとのＢＢ情報を、ユーザ操作分析装置５０へ送信する。なお、サーバ４０は、不正アクセスの攻撃対象となりうる。
　ユーザ操作分析装置５０は、ＰＦスコア受信部５１及びＢＢスコア分析部５２を有する１以上のコンピュータである。ＰＦスコア受信部５１は、モバイル端末２０ａからＰＦスコアを受信し、当該ＰＦスコアをネットワーク制御装置１０へ送信する。
　ＢＢスコア分析部５２は、サーバ４０のＢＢ情報収集部４１から送信されるＢＢ情報を受信し、当該ＢＢ情報をＢＢ技術を利用して分析することで、ＰＣ端末２０ｂのユーザの正当性に関するスコア（ＢＢ技術に基づくスコア）を、サーバ４０へのアクセスごとに算出する。ＢＢスコア分析部５２は、アクセスごとのスコアをネットワーク制御装置１０へ送信する。
　通信分析装置６０は、通信情報収集部６１及び通信分析部６２等を有する１以上のコンピュータである。通信情報収集部６１は、モバイル端末２０ａ又はＰＣ端末２０ｂによるサーバ４０へのアクセスに関する通信について、ネットワーク装置３０によって転送される通信情報をネットワーク装置３０から収集する。通信分析部６２は、例えば、ＵＥＢＡ（User and Entity Behavior Analytics）技術を利用して、通信情報収集部６１によって収集された通信情報を分析することで、モバイル端末２０ａ又はＰＣ端末２０ｂによるサーバ４０への各アクセスの通信の正常性を判定する。通信分析部６２は、アクセスごとに分析した通信の正常性を示す情報（正常域、注意域又は異常域）を、ネットワーク制御装置１０へ送信する。
　ネットワーク制御装置１０は、アクセス分類部１１、詳細分析手法選定部１２、ネットワーク制御部１３、ユーザ操作分析結果記憶部１１１、通信分析結果記憶部１１２、マトリクステーブル記憶部１１３等を有する１以上のコンピュータである。
　ユーザ操作分析結果記憶部１１１には、ユーザ操作分析装置５０のＰＦスコア受信部５１又はＢＢスコア分析部５２から送信されるスコアが記憶される。すなわち、ユーザ操作分析結果記憶部１１１には、サーバ４０に対するアクセスごとに、当該アクセスに関して算出された、ユーザの正当性に関するスコアが記憶される。
　通信分析結果記憶部１１２には、通信分析装置６０の通信分析部６２から送信される分析結果が記憶される。すなわち、通信分析結果記憶部１１２には、サーバ４０に対するアクセスごとに、当該アクセスに関する通信分析部６２による分析結果（正常域、注意域又は異常域）が記憶される。
　マトリクステーブル記憶部１１３には、ユーザの正当性のレベルと、通信の正常性のレベルとの組み合わせに応じて、サーバ４０に対するアクセスについて、正当アクセスであるか不正アクセスであるかを判別できる範囲と、判別できない範囲とを明確化するテーブルであるマトリクステーブルが記憶されている。
　図２は、マトリクステーブルの構成例を示す図である。図２において、マトリクステーブルは、列方向に通信の正常性のレベルが割り当てられ、行方向にユーザの正当性（ユーザが本人である可能性）のレベルが割り当てられている。
　すなわち、列方向は、当該アクセスに係る通信の正常性について、正常域、注意域及び異常域の３つのレベル（３つの段階）に分類され、行方向は、当該アクセスに係るユーザの正当性について、正常域、注意域及び異常域の３つのレベル（３つの段階）に分類されている。マトリクステーブルの各要素の値は、通信の正常性のレベルと、ユーザの正当性のレベルとの組み合わせに応じて、（１）～（９）の値である。（１）～（９）のそれぞれは、以下の意味を有する。
（１）「本人」かつ「正常通信」
（２）「本人」かつ「正常又は異常通信」
（３）「本人」かつ「異常通信」
（４）「本人又は本人でない」かつ「正常通信」
（５）「本人又は本人でない」かつ「正常又は異常通信」
（６）「本人又は本人でない」かつ「異常通信」
（７）「本人でない」かつ「正常通信」
（８）「本人でない」かつ「正常又は異常通信」
（９）「本人でない」かつ「異常通信」
　ここで、（１）は、正当アクセス、（９）は、不正アクセス、（２）～（８）は、正当アクセスか不正アクセスかの判別がつかないアクセスの範囲である。
　なお、分類学上「である」、「でない」の２×２マトリクスで分類（本実施の形態の例では「本人である」、「本人でない」／「正常通信である」、「正常通信でない」で分類）することが分析する上で最も効果的であるが、公知のセキュリティ技術では、それらの判別を行うことが困難であるため、判別のつかないアクセスの領域を設け、３×３マトリクスとした。
　アクセス分類部１１は、アクセスごとに、当該アクセスに関してユーザ操作分析結果記憶部１１１に記憶されたユーザの正当性に関する分析結果（スコア）と、当該アクセスに関して通信分析結果記憶部１１２に記憶された通信の正常性に関する分析結果とを、マトリクステーブル記憶部１１３に記憶されているマトリクステーブル（図２）に当てはめて、当該アクセスの正当性を（１）～（９）に分類する（すなわち、当該アクセスの正当性を判別する。）。具体的には、アクセス分類部１１は、ユーザの正当性に関するスコアに対する２つの閾値（正常域と注意域とを区分する第１の閾値と、注意域と異常域とを区分する第２の閾値）に基づいて、当該スコアを、正常域、注意域、異常域に分類する。アクセス分類部１１は、また、通信の正常性に関する分析結果（正常域、注意域、異常域）を、そのまま、マトリクステーブルの正常域、注意域、異常域に当てはめる。
　なお、各アクセスの異同は、アクセス元のモバイル端末２０ａ又はＰＣ端末２０ｂ（送信元）の識別情報（例えば、ＩＰアドレス）と、アクセス先のサーバ４０の識別情報（例えば、ＩＰアドレス）との組によって区別される。又は、ＴＣＰの５ｔｕｐｌｅによって、各アクセスの異同が区別されてもよい。更に、アクセスの内容（例えば、要求の内容）の同一性も考慮して、各アクセスの異同が区別されてもよい。
　詳細分析手法選定部１２は、アクセス分類部１１による分類結果が、（２）～（８）のいずれかであるアクセス（すなわち、正当アクセスか不正アクセスかの判別がつかないアクセス）について、当該アクセスを（１）又は（９）へ分類するための詳細分析の手法を選定し、選定した手法の実施を、例えば、トラフィック詳細分析装置７０等へ指示する。
　ネットワーク制御部１３は、アクセス分類部１１によって（９）へ分類されたアクセス、又は詳細分析手法選定部１２によって選定された手法の実施によって（９）に該当すると判定されたアクセスに係る通信の制御（遮断等）を行う。
　トラフィック詳細分析装置７０は、トラフィック詳細分析部７１を有する１以上のコンピュータである。トラフィック詳細分析部７１は、例えば、詳細分析手法選定部１２から指示されたアクセスに係る通信について、詳細な分析を実行する。例えば、簡易分析ＵＥＢＡ技術では、パケットのヘッダ部分について分析が行われるところ、トラフィック詳細分析部７１は、パケットのペイロード部分の分析等を行うことにより、当該アクセスにおける不正な情報の有無等を分析する。
　図３は、本発明の実施の形態におけるネットワーク制御装置１０のハードウェア構成例を示す図である。図３のネットワーク制御装置１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。
　ネットワーク制御装置１０での処理を実現するプログラムは、ＣＤ－ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記憶した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
　メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従ってネットワーク制御装置１０に係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。
　なお、ネットワーク制御装置１０以外の各装置も、図３に示されるようなハードウェア構成を有してもよい。
　また、図１におけるネットワーク制御装置１０のアクセス分類部１１、詳細分析手法選定部１２及びネットワーク制御部１３は、ネットワーク制御装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。ユーザ操作分析結果記憶部１１１、通信分析結果記憶部１１２及びマトリクステーブル記憶部１１３は、例えば、補助記憶装置１０２、又はネットワーク制御装置１０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。
　また、図１におけるＰＦスコア分析部２１、ＢＢ情報収集部４１、ＰＦスコア受信部５１、ＢＢスコア分析部５２、通信情報収集部６１、通信分析部６２及びトラフィック詳細分析部７１等は、各部を有する装置にインストールされた１以上のプログラムが、当該装置のＣＰＵに実行させる処理により実現される。
　以下、アクセス分析システムにおいて実行される処理手順について説明する。図４は、トラフィック詳細分析部７１が実行する処理手順の一例を説明するためのフローチャートである。図４においては、或る特定のアクセス（以下、「対象アクセス」という。）が処理対象であるとする。
　ステップＳ１０１において、トラフィック詳細分析部７１は、対象アクセスについてのアクセス分類部１１による分類結果に基づいて、処理を分岐させる。なお、分類結果は、マトリクステーブル（図２）における（１）～（９）のいずれかを示す情報である。
　分類結果が（１）である場合、トラフィック詳細分析部７１は、対象アクセスに対応する変数ｋに１を加算する（Ｓ１０２）。変数ｋは、アクセスごとに用意され、初期値が０の変数である。続いて、トラフィック詳細分析部７１は、当該変数ｋの値が閾値ｎ以上であるか否かを判定する（Ｓ１０３）。当該変数ｋの値が閾値ｎ未満である場合（Ｓ１０３でＮｏ）、ステップＳ１０１に戻る。すなわち、この場合、トラフィック詳細分析部７１は、対象アクセスと同一の新たなアクセスの分類結果に基づいて処理を実行する。当該変数ｋの値が閾値ｎ以上である場合（Ｓ１０３でＹｅｓ）、トラフィック詳細分析部７１は、対象アクセスが正当アクセスであることをネットワーク制御部１３に通知する（Ｓ１０４）。
　また、分類結果が（４）又は（７）である場合、トラフィック詳細分析部７１は、「人（ユーザ）」の正当性に関する詳細分析を実施する（Ｓ１０５、Ｓ１０６）。当該詳細分析の内容は所定のものに限定されない。例えば、対象アクセスに関して、ＰＦスコア分析部２１又はＢＢスコア分析部５２による分析が継続されてもよいし、他の方法によって分析が行われてもよい。斯かる詳細分析の結果、対象アクセスが正当アクセス又は不正アクセスのいずれかに判別される。
　また、分類結果が、（２）又は（３）である場合、トラフィック詳細分析部７１は、通信の正常性に関する詳細分析を実施する（Ｓ１０７、Ｓ１０８）。当該詳細分析の内容は所定のものに限定されない。例えば、トラフィック詳細分析部７１に対して、対象アクセスに関するペイロード部分の分析が指示されてもよい。斯かる詳細分析の結果、対象アクセスが正当アクセス又は不正アクセスのいずれかに判別される。
　また、分類結果が、（５）、（６）又は（８）である場合、トラフィック詳細分析部７１は、「人（ユーザ）」の正当性に関する詳細分析、及び通信の正常性に関する詳細分析を実施する（Ｓ１０９、Ｓ１１０、Ｓ１１１）。当該詳細分析の内容は所定のものに限定されない。例えば、ステップＳ１０５又はＳ１０６と、ステップＳ１０７～Ｓ１０９のいずれかとを組み合わせた分析が行われてもよい。斯かる詳細分析の結果、対象アクセスが正当アクセス又は不正アクセスのいずれかに判別される。
　ステップＳ１０５～Ｓ１１１に続いて、トラフィック詳細分析部７１は、詳細分析の結果をネットワーク制御部１３に通知する（Ｓ１１２）。
　また、分類結果が（９）である場合、トラフィック詳細分析部７１は、対象アクセスが不正アクセスであることをネットワーク制御部１３に通知する（Ｓ１１３）。
　なお、ネットワーク制御部１３は、トラフィック詳細分析部７１から不正アクセスであることを通知されたアクセスについて、例えば、ネットワーク装置３０に対して遮断指示を送信する。
　続いて、アクセス分析システムにおいて実行される処理手順について、一つの具体例を説明する。
　図５は、アクセス分析システムにおいて実行される処理手順の一例を説明するための図である。図５では、ＰＣ端末２０ｂが攻撃元であり、サーバ４０を宛先とするパケットのペイロード部分にマルウェアを仕込んだアクセスを発生させているとする。したがって、サーバ４０が攻撃対象である。
　ステップＳ２０１において、ＰＣ端末２０ｂが、パケットのペイロード部分にマルウェアを仕込んだアクセス（以下、「対象アクセス」という。）をサーバ４０に対して行う。なお、この際、対象アクセスに関する操作情報が、サーバ４０のＢＢ情報収集部４１によって収集され、収集された操作情報がユーザ操作分析装置５０のＢＢスコア分析部５２へ送信される。
　ステップＳ２０２において、ユーザ操作分析装置５０のＢＢスコア分析部５２は、当該操作情報に基づいて、対象アクセスに関するユーザの正当性をＢＢ技術を利用して分析して、スコアを算出する。ＢＢスコア分析部５２は、当該スコアを対象アクセスに関するスコアとして、ネットワーク制御装置１０へ送信する（Ｓ２０３）。当該スコアは、対象アクセスの識別情報に関連付けられてユーザ操作分析結果記憶部１１１へ記憶される。
　一方、ステップＳ２０２、Ｓ２０３等と並行して、通信分析装置６０の通信情報収集部６１は、対象アクセスに関する通信情報をネットワーク装置３０から収集する（Ｓ２０４）。通信分析部６２は、例えば、ＵＥＢＡ技術を利用して、通信情報収集部６１によって収集された通信情報を分析することで、当該通信の正常性を分析し（Ｓ２０５）、分析結果をネットワーク制御装置１０へ送信する（Ｓ２０６）。
　続いて、ネットワーク制御装置１０のアクセス分類部１１は、対象アクセスに関するユーザの正当性の分析結果（スコア）と、対象アクセスに関する通信の正常性のスコアとの分析結果とをマトリクステーブル（図２）に当てはめて、対象アクセスを（１）～（９）のいずれかへ分類する。ここでは、（７）へ分類されたこととする。
　対象アクセスが（７）へ分類されたことに応じ、詳細分析手法選定部１２は、対象アクセスをトラフィック詳細分析装置７０へミラーリングするための設定をネットワーク装置３０に対して実行する（Ｓ２０８）。その結果、対象アクセスに関するトラフィック（通信）が、トラフィック詳細分析装置７０へミラーリングされる（Ｓ２０９）。
　続いて、トラフィック詳細分析装置７０のトラフィック詳細分析部７１は、対象アクセスのパケットのペイロード部を分析等することで、当該ペイロード部にマルウェアが含まれていることを検出する（Ｓ２１０）。そこで、トラフィック詳細分析部７１は、対象アクセスが不正アクセスであると判別し、当該判別結果をネットワーク制御装置１０の詳細分析手法選定部１２に送信する（Ｓ２１１）。ネットワーク制御装置１０のネットワーク制御部１３は、当該判別結果に基づいて、対象アクセスの遮断をネットワーク装置３０へ指示する（Ｓ２１２）。
　なお、上記では、ユーザの正当性を判別するための技術として、ＢＢ技術を利用する例について説明したが、他の技術（例えば、知識認証、所有物認証、生体認証等）が利用されてもよい。
　また、上記では、通信の正常性を判別するための技術として、ＵＥＢＡ技術を利用する例について説明したが、他の技術（例えば、ＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention System）等）が利用されてもよい。
　但し、ＢＢ技術及びＵＥＢＡ技術を利用することで、高精度にアクセスの正当性を判別できることが期待できる。
　上述したように、本実施の形態によれば、ネットワークを介したアクセスについて、当該アクセスに係るユーザの正当性と、当該アクセスに係る通信の正常性とに基づいて、正当アクセスであるか否か（正当性）が判定される。したがって、ユーザの正当性又は通信の正常性のみに基づいて当該アクセスの正当性を判別する場合に比べて、当該正当性の判別精度を向上させることができる。
　なお、本実施の形態において、ＢＢスコア分析部５２及びＰＦスコア分析部２１は、第１の分析部の一例である。通信分析部６２は、第２の分析部の一例である。アクセス分類部１１は、判別部の一例である。トラフィック詳細分析部７１は、第３の分析部の一例である。
　以上、本発明の実施の形態について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
１０　　　　　ネットワーク制御装置
１１　　　　　アクセス分類部
１２　　　　　詳細分析手法選定部
１３　　　　　ネットワーク制御部
２０ａ　　　　モバイル端末
２０ｂ　　　　ＰＣ端末
２１　　　　　ＰＦスコア分析部
３０　　　　　ネットワーク装置
４０　　　　　サーバ
４１　　　　　ＢＢ情報収集部
５０　　　　　ユーザ操作分析装置
５１　　　　　ＰＦスコア受信部
５２　　　　　ＢＢスコア分析部
６０　　　　　通信分析装置
６１　　　　　通信情報収集部
６２　　　　　通信分析部
７０　　　　　トラフィック詳細分析装置
７１　　　　　トラフィック詳細分析部
１００　　　　ドライブ装置
１０１　　　　記録媒体
１０２　　　　補助記憶装置
１０３　　　　メモリ装置
１０４　　　　ＣＰＵ
１０５　　　　インタフェース装置
１１１　　　　ユーザ操作分析結果記憶部
１１２　　　　通信分析結果記憶部
１１３　　　　マトリクステーブル記憶部
Ｂ　　　　　　バス

Claims (6)

  1. 　ネットワークを介したアクセスに関するユーザによる端末の操作の特徴に基づいて、前記ユーザの正当性を分析する第１の分析部と、
    　前記アクセスに関する通信に基づいて、前記通信の正常性を分析する第２の分析部と、
    　前記第１の分析部による分析結果と、前記第２の分析部による分析結果とに基づいて、前記アクセスの正当性を判別する判別部と、
    を有することを特徴とするアクセス分析システム。
  2. 　前記判別部は、ユーザの正当性の分析結果において当該ユーザが正当であるレベルと、通信の正常性の分析結果において当該通信が正常であるレベルとの組み合わせに応じて、ネットワークを介したアクセスの正当性を示すマトリクステーブルに、前記第１の分析部による分析結果と、前記第２の分析部による分析結果とを当てはめて、前記アクセスの正当性を判別する、
    ことを特徴とする請求項１記載のアクセス分析システム。
  3. 　前記判別部によって正当であるか不正であるかを判別できないアクセスに係る通信について、前記第２の分析部よりも詳細な分析を実行する第３の分析部を有する、
    ことを特徴とする請求項１又は２記載のアクセス分析システム。
  4. 　１以上のコンピュータが、
    　ネットワークを介したアクセスに関するユーザによる端末の操作の特徴に基づいて、前記ユーザの正当性を分析する第１の分析手順と、
    　前記アクセスに関する通信に基づいて、前記通信の正常性を分析する第２の分析手順と、
    　前記第１の分析手順による分析結果と、前記第２の分析手順による分析結果とに基づいて、前記アクセスの正当性を判別する判別手順と、
    を実行することを特徴とするアクセス分析方法。
  5. 　前記判別手順は、ユーザの正当性の分析結果において当該ユーザが正当であるレベルと、通信の正常性の分析結果において当該通信が正常であるレベルとの組み合わせに応じて、ネットワークを介したアクセスの正当性を示すマトリクステーブルに、前記第１の分析手順による分析結果と、前記第２の分析手順による分析結果とを当てはめて、前記アクセスの正当性を判別する、
    ことを特徴とする請求項４記載のアクセス分析方法。
  6. 　前記１以上のコンピュータが、
    　前記判別手順において正当であるか不正であるかを判別できないアクセスに係る通信について、前記第２の分析手順よりも詳細な分析を実行する第３の分析手順を実行する、
    ことを特徴とする請求項４又は５記載のアクセス分析方法。
PCT/JP2019/004453 2018-02-16 2019-02-07 アクセス分析システム及びアクセス分析方法 WO2019159809A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US16/969,263 US11722493B2 (en) 2018-02-16 2019-02-07 Access analysis system and access analysis method

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018-026324 2018-02-16
JP2018026324A JP6890559B2 (ja) 2018-02-16 2018-02-16 アクセス分析システム及びアクセス分析方法

Publications (1)

Publication Number Publication Date
WO2019159809A1 true WO2019159809A1 (ja) 2019-08-22

Family

ID=67618957

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/004453 WO2019159809A1 (ja) 2018-02-16 2019-02-07 アクセス分析システム及びアクセス分析方法

Country Status (3)

Country Link
US (1) US11722493B2 (ja)
JP (1) JP6890559B2 (ja)
WO (1) WO2019159809A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11552972B2 (en) * 2020-07-14 2023-01-10 Bank Of America Corporation Trusted travel devices equipped with on-the-fly monitoring

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130239191A1 (en) * 2012-03-09 2013-09-12 James H. Bostick Biometric authentication

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8424072B2 (en) * 2010-03-09 2013-04-16 Microsoft Corporation Behavior-based security system
US9529777B2 (en) * 2011-10-28 2016-12-27 Electronic Arts Inc. User behavior analyzer
US9245115B1 (en) * 2012-02-13 2016-01-26 ZapFraud, Inc. Determining risk exposure and avoiding fraud using a collection of terms
US20160078365A1 (en) * 2014-03-21 2016-03-17 Philippe Baumard Autonomous detection of incongruous behaviors
US10599501B2 (en) * 2015-03-17 2020-03-24 Nec Corporation Information processing device, information processing method, and recording medium
US10015182B1 (en) * 2016-06-30 2018-07-03 Symantec Corporation Systems and methods for protecting computing resources
US10326787B2 (en) * 2017-02-15 2019-06-18 Microsoft Technology Licensing, Llc System and method for detecting anomalies including detection and removal of outliers associated with network traffic to cloud applications
US11283821B2 (en) * 2017-09-13 2022-03-22 Informatica Llc Method, apparatus, and computer-readable medium for determining risk associated with anomalous behavior of a user on a computer network
US11042475B2 (en) * 2017-12-19 2021-06-22 Mastercard International Incorporated Systems and methods for use in certifying interactions with hosted services
US20190197549A1 (en) * 2017-12-21 2019-06-27 Paypal, Inc. Robust features generation architecture for fraud modeling

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130239191A1 (en) * 2012-03-09 2013-09-12 James H. Bostick Biometric authentication

Also Published As

Publication number Publication date
JP6890559B2 (ja) 2021-06-18
JP2019144693A (ja) 2019-08-29
US20210006565A1 (en) 2021-01-07
US11722493B2 (en) 2023-08-08

Similar Documents

Publication Publication Date Title
US11044264B2 (en) Graph-based detection of lateral movement
US9866568B2 (en) Systems and methods for detecting and reacting to malicious activity in computer networks
US8819803B1 (en) Validating association of client devices with authenticated clients
US10284580B2 (en) Multiple detector methods and systems for defeating low and slow application DDoS attacks
US10721245B2 (en) Method and device for automatically verifying security event
US10366217B2 (en) Continuous user authentication
CN112182519B (zh) 一种计算机存储系统安全访问方法及访问系统
CN107465648B (zh) 异常设备的识别方法及装置
Preuveneers et al. SmartAuth: dynamic context fingerprinting for continuous user authentication
Liu et al. MACA: A privacy-preserving multi-factor cloud authentication system utilizing big data
US20110314558A1 (en) Method and apparatus for context-aware authentication
US20110314549A1 (en) Method and apparatus for periodic context-aware authentication
CN111274046A (zh) 服务调用的合法性检测方法、装置、计算机设备及计算机存储介质
Olejnik et al. Towards web-based biometric systems using personal browsing interests
WO2019159809A1 (ja) アクセス分析システム及びアクセス分析方法
WO2017068714A1 (ja) 不正通信制御装置および方法
Sehgal et al. Additional security considerations for cloud
RU2303811C1 (ru) Способ дистанционной аутентификации пользователя и система для его осуществления
KR101659226B1 (ko) 완전 동형 암호를 이용한 원격 바이오 인증 방법 및 시스템
Prajapati et al. A review on different techniques used to detect the malicious applications for securing the android operating system
KR102296234B1 (ko) 특징값 추출 기반의 바이너리 검증 시스템 및 방법
US20230026262A1 (en) Wireless Channel Selection for Multipath Authentication of a User
CN117395658A (zh) 一种5g双域专网的零信任安全可信审计方法及装置
TEJASWINI et al. A Novel Secure Protocol for Continuous Authentication using Blowfish Algorithm
Stefan et al. A Cryptographic Provenance Verification Approach For Host-Based Malware Detection

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19753694

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19753694

Country of ref document: EP

Kind code of ref document: A1