WO2020250444A1 - 情報保護装置、情報保護方法及びプログラム - Google Patents

情報保護装置、情報保護方法及びプログラム Download PDF

Info

Publication number
WO2020250444A1
WO2020250444A1 PCT/JP2019/023747 JP2019023747W WO2020250444A1 WO 2020250444 A1 WO2020250444 A1 WO 2020250444A1 JP 2019023747 W JP2019023747 W JP 2019023747W WO 2020250444 A1 WO2020250444 A1 WO 2020250444A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
unit
input information
monitoring
image
Prior art date
Application number
PCT/JP2019/023747
Other languages
English (en)
French (fr)
Inventor
勝 真田
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to US17/612,081 priority Critical patent/US11977648B2/en
Priority to JP2021525889A priority patent/JP7306456B2/ja
Priority to PCT/JP2019/023747 priority patent/WO2020250444A1/ja
Publication of WO2020250444A1 publication Critical patent/WO2020250444A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V30/00—Character recognition; Recognising digital ink; Document-oriented image-based pattern recognition
    • G06V30/10—Character recognition
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F13/00—Interconnection of, or transfer of information or other signals between, memories, input/output devices or central processing units
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V30/00—Character recognition; Recognising digital ink; Document-oriented image-based pattern recognition
    • G06V30/10—Character recognition
    • G06V30/14—Image acquisition
    • G06V30/1444—Selective acquisition, locating or processing of specific regions, e.g. highlighted text, fiducial marks or predetermined fields
    • G06V30/1452—Selective acquisition, locating or processing of specific regions, e.g. highlighted text, fiducial marks or predetermined fields based on positionally close symbols, e.g. amount sign or URL-specific characters
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V2201/00—Indexing scheme relating to image or video recognition or understanding
    • G06V2201/02—Recognising information on displays, dials, clocks

Definitions

  • the present invention relates to an information protection device, an information protection method and a program.
  • IDS Intrusion Detection System
  • IPS Intrusion Prevention System
  • WAF Web Application Firewall
  • IDS and IPS monitor each packet and WAF monitors HTTP protocol messages, it is not possible to grasp what kind of information is transmitted outside the company. Therefore, with these technologies, it is difficult to monitor and prevent the transmission of information that should be protected within the company to the outside.
  • the present invention has been made in view of the above points, and an object of the present invention is to reduce the possibility that information to be protected leaks to the outside.
  • the information protection device includes a receiving unit that receives an image of the screen displayed on a terminal connected to a certain network, and an extracting unit that extracts input information for the screen from the image. And a determination unit that determines whether or not the input information matches the predetermined information, and when it is determined that the input information matches the predetermined information, the input information is transmitted from the network. It has a control unit that controls for suppression.
  • FIG. 1 is a diagram showing a configuration example of an information protection system according to an embodiment of the present invention.
  • the company network N1 is a network (for example, LAN (Local Area Network) or an intranet) in a company (hereinafter referred to as “company A”).
  • company A a company
  • One or more user terminals 30, an information protection device 10, and a communication monitoring device 20 are connected by a network constituting the corporate network N1. That is, each user terminal 30, the information protection device 10, and the communication monitoring device 20 are installed in the area of the company A.
  • the user terminal 30 is a terminal such as a PC (Personal Computer) used by employees of company A or the like.
  • the user terminal 30 may be assigned to each employee.
  • the communication monitoring device 20 is one or more computers that connect the corporate network N1 to an external network N2 such as the Internet. All communication between the corporate network N1 and the external network N2 passes through (vias) the communication monitoring device 20.
  • a proxy server or the like may be used as the communication monitoring device 20.
  • the communication monitoring device 20 may function as a firewall.
  • the communication monitoring device 20 monitors the communication from the user terminal 30 to the external server connected to the external network N2, and the transmission to the outside is inappropriate (it should be protected from leakage to the outside). The transmission of information (hereinafter referred to as "protection information”) is suppressed.
  • the information protection device 10 is one or more computers that analyze whether or not the information corresponds to the protection information in response to the input of the information on the Web page displayed on the user terminal 30.
  • the information protection device 10 determines that the information corresponds to the protection information, the information protection device 10 instructs the communication monitoring device 20 to take measures (for example, deterrence of transmission to the outside) of the communication (transmission) of the information.
  • FIG. 2 is a diagram showing a hardware configuration example of the information protection device 10 according to the embodiment of the present invention.
  • the information protection device 10 of FIG. 2 includes a drive device 100, an auxiliary storage device 102, a memory device 103, a CPU 104, an interface device 105, and the like, which are connected to each other by a bus B, respectively.
  • the program that realizes the processing in the information protection device 10 is provided by a recording medium 101 such as a CD-ROM.
  • a recording medium 101 such as a CD-ROM.
  • the program is installed in the auxiliary storage device 102 from the recording medium 101 via the drive device 100.
  • the program does not necessarily have to be installed from the recording medium 101, and may be downloaded from another computer via the network.
  • the auxiliary storage device 102 stores the installed program and also stores necessary files, data, and the like.
  • the memory device 103 reads and stores the program from the auxiliary storage device 102 when the program is instructed to start.
  • the CPU 104 executes the function related to the information protection device 10 according to the program stored in the memory device 103.
  • the interface device 105 is used as an interface for connecting to a network.
  • FIG. 3 is a diagram showing a functional configuration example of the information protection system according to the embodiment of the present invention.
  • the user terminal 30 has a Web browser 31 and an operation monitoring unit 32.
  • the Web browser 31 is a general Web browser, and accesses an external server connected to the external network N2 to acquire a Web page.
  • the Web browser 31 displays the acquired Web page.
  • the operation monitoring unit 32 is realized by a process of causing the CPU of the user terminal 30 to execute one or more programs installed in the user terminal 30.
  • the operation monitoring unit 32 monitors the user's operation (input of information such as a character string) on the Web page displayed by the Web browser 31.
  • the operation monitoring unit 32 detects a predetermined operation that is presumed to have high possibility that information has been input
  • the operation monitoring unit 32 acquires a captured image (hereinafter, referred to as “screen image”) of the Web page at the timing when the operation is detected.
  • information including the URL of the Web page and the IP address of the user terminal 30 hereinafter referred to as "monitoring information" is transmitted to the information protection device 10.
  • pressing a specific key may be detected as an information input operation. Examples of specific keys include a return key, a "control key + V", and the like.
  • the information protection device 10 has a monitoring information receiving unit 11, a sequential analysis unit 12, and an aggregate analysis unit 13. Each of these parts is realized by a process of causing the CPU 104 to execute one or more programs installed in the information protection device 10.
  • the information protection device 10 also uses the monitoring information storage unit 14.
  • the monitoring information storage unit 14 can be realized by using, for example, an auxiliary storage device 102, a storage device that can be connected to the information protection device 10 via a network, or the like.
  • the monitoring information receiving unit 11 receives the monitoring information transmitted from the operation monitoring unit 32.
  • the monitoring information receiving unit 11 stores the received monitoring information in the monitoring information storage unit 14 and notifies the sequential analysis unit 12 of the received monitoring information.
  • the sequential analysis unit 12 extracts the information (input information) input to the Web page from the screen image included in the monitoring information notified from the monitoring information receiving unit 11, and the input information becomes the protection information. Determine if this is the case. As is clear from the above, the monitoring information is notified from the monitoring information receiving unit 11 every time the input is made by the user. Therefore, the sequential analysis unit 12 sequentially determines whether or not the input information corresponds to the protection information in response to the input by the user. When the sequential analysis unit 12 determines that the input information corresponds to the protection information, the sequential analysis unit 12 controls the input information to suppress the transmission from the corporate network N1. Specifically, the sequential analysis unit 12 provides a communication monitoring device for instructions (hereinafter, referred to as “action instructions”) for dealing with the input information and communication (transmission) related to the input information (for example, suppressing transmission). Send to 20.
  • action instructions for dealing with the input information and communication (transmission) related to the input information (for example, suppressing transmission).
  • the aggregation analysis unit 13 analyzes the monitoring information stored (accumulated) in the monitoring information storage unit 14 by the timing asynchronous with the timing of input to the Web page, such as periodic timing. , Identify the predetermined access (hereinafter referred to as "inappropriate access") that is likely to have a security problem from the past external access.
  • the analysis unit transmits (notifies) information for identifying inappropriate access to the communication monitoring device 20 as judgment information.
  • the communication monitoring device 20 has a communication monitoring unit 21 and a determination unit 22. Each of these parts is realized by a process of causing the CPU of the communication monitoring device 20 to execute one or more programs installed in the communication monitoring device 20.
  • the communication monitoring device 20 also uses the determination information storage unit 23.
  • the determination information storage unit 23 can be realized by using, for example, a storage device that can be connected to the auxiliary storage device 102 or the communication monitoring device 20 via a network.
  • the communication monitoring unit 21 monitors the communication between the corporate network N1 and the external network N2, and inquires the determination unit 22 whether or not the communication is possible (necessity of suppression).
  • the communication monitoring unit 21 blocks communication for which suppression is instructed by the determination unit 22.
  • the judgment unit 22 determines whether or not communication is possible (necessity of deterrence) based on the input information notified from the sequential analysis unit 12 and the judgment information stored in the judgment information storage unit 23. For example, the determination unit 22 determines that the communication should be suppressed when the information transmitted to the outside by the communication matches the input information or the determination information.
  • the judgment information refers to information registered in advance as information indicating the communication to be suppressed. For example, judgment information may be registered based on publicly available threat information.
  • the input information notified by the sequential analysis unit 12 or the aggregation analysis unit 13 as corresponding to the protection information is also registered as the judgment information. Therefore, the information determined to be protected information by the sequential analysis unit 12 or the aggregation analysis unit 13 even once is suppressed from being transmitted to the outside by the determination unit 22.
  • FIG. 4 is a sequence diagram for explaining an example of a processing procedure for sequential processing of input information.
  • the Web browser 31 of the user terminal 30 displays a Web page (hereinafter, referred to as “target page”) acquired from an external server.
  • the operation monitoring unit 32 of the user terminal 30 detects that a predetermined operation has been performed on the Web page by the user (S101), it transmits monitoring information related to the operation to the information protection device 10 (S102).
  • the monitoring information includes a captured image (screen image) of the Web page acquired by the operation monitoring unit 32 in response to the detection of the operation, the URL of the Web page, the IP address of the user terminal 30, and the like.
  • the monitoring information receiving unit 11 of the information protection device 10 When the monitoring information receiving unit 11 of the information protection device 10 receives the monitoring information, the monitoring information is stored in the monitoring information storage unit 14 (S103), and the monitoring information is sequentially notified to the analysis unit 12.
  • the sequential analysis unit 12 specifies the range of the input field in the screen image included in the monitoring information (hereinafter, referred to as “target monitoring information”) notified from the monitoring information receiving unit 11, and sets the range in the input field.
  • target monitoring information notified from the monitoring information receiving unit 11
  • OCR Optical Character Recognition
  • input information input character string
  • the range of the input field may be specified by using a known technique.
  • the sequential analysis unit 12 may associate the extracted input information with the monitoring information stored in step S103 and store it in the monitoring information storage unit 14.
  • the sequential analysis unit 12 determines whether or not the extracted input information (hereinafter, referred to as “target input information”) corresponds to the protection information (S105).
  • the information corresponding to the protection information includes personal information as an employee of company A (name, affiliated organization information, telephone number of affiliated organization, e-mail address in company A, various IDs / passwords in company A, and other companies. Information related to A) and user's private personal information (name, home address, personal contact information, various SNS accounts, etc.) can be mentioned.
  • information to be protected by company A may be regarded as protected information.
  • confidential information or internal information may be regarded as protected information.
  • a list of character strings indicating the information may be registered in advance in the auxiliary storage device 102 as protection information. Further, when the plurality of character strings registered in this way have a common part, a set of a plurality of character strings may be registered by one character string using a regular expression.
  • the sequential analysis unit 12 determines whether or not the target input information corresponds to the protection information depending on whether or not the target input information matches any character string stored as protection information in the auxiliary storage device 102. Is determined.
  • the sequential analysis unit 12 extracts a message (message indicating an input request) for the input field of the target input information by character recognition for the screen image, and the content (request content) of the message matches the target input information. If not, it may be determined that the target input information corresponds to the protection information.
  • the sequential analysis unit 12 If it is determined that the target input information does not correspond to the protection information, the sequential analysis unit 12 does not execute the subsequent processing. On the other hand, when it is determined that the target input information corresponds to the protection information, the sequential analysis unit 12 transmits a coping instruction indicating that the transmission of the target input information is stopped to the communication monitoring device 20 (S106). The corresponding input information includes the target input information.
  • the determination unit 22 of the communication monitoring device 20 When the determination unit 22 of the communication monitoring device 20 receives the response instruction, the determination unit 22 stores the target input information included in the response instruction in the determination information storage unit 23 as the determination information (S107). If the determination information that matches the target input information is already stored in the determination information storage unit 23, step S107 may be skipped.
  • the Web browser 31 is input to the target page.
  • a request including input information is transmitted to an external server (S108).
  • the communication monitoring unit 21 of the communication monitoring device 20 detects (receives) the request, the communication monitoring unit 21 inquires the determination unit 22 whether or not to transmit the request (S109).
  • the determination unit 22 determines whether or not the request can be transmitted by collating the content of the request with the determination information (S110). That is, the determination unit 22 determines that the request cannot be transmitted if the request contains a character string that matches the determination information, and determines that the request can be transmitted otherwise. To do.
  • the sequential analysis unit 12 determines that the target input information is the protection information
  • the target input information is stored in the judgment information storage unit 23 as the judgment information. Therefore, if the target input information is protected information, it is determined that transmission is not possible.
  • the determination unit 22 responds to the communication monitoring unit 21 with the determination result (“transmission possible” or “transmission impossible”) (S111). If the determination result is "transmission possible”, the communication monitoring unit 21 transmits the request to the destination. On the other hand, if the determination result is "cannot be transmitted", the transmission of the request is suppressed. For example, the request may be discarded. Further, the communication monitoring unit 21 may send a response including a warning message indicating that the request includes protection information to the Web browser 31 of the user terminal 30 (S112). In this case, the Web browser 31 will display the warning message. As a result, the user can know that the information entered by himself / herself includes the protection information, and can redo the input operation.
  • step S101 when there are a plurality of input fields for one Web page, the information (character string) is sequentially executed each time information (character string) is input to each input field.
  • FIG. 5 is a flowchart for explaining an example of a processing procedure executed by the aggregation analysis unit 13.
  • the aggregation analysis unit 13 is waiting for the arrival of the execution time after step S202 (S201). For example, if steps S202 and subsequent steps are executed at regular intervals, the aggregation analysis unit 13 is waiting for the elapse of the cycle.
  • the cycle elapses (Yes in S201)
  • inappropriate access is identified from the past external access by analyzing the past monitoring information stored in the monitoring information storage unit 14 (S202). ..
  • the monitoring information to be analyzed here may be all the monitoring information stored in the monitoring information storage unit 14, or may be the monitoring information stored in the monitoring information storage unit 14 in the cycle. Good.
  • FIG. 6 is a diagram for explaining the analysis of the past monitoring information group by the aggregation analysis unit 13.
  • FIG. 6 shows an example in which the amount of information provided and the accessor are analyzed for each access destination.
  • the access destination can be distinguished based on the URL (URL of the Web page) included in the monitoring information.
  • the amount of information provided is the size of input information for the access destination (for example, the number of bytes). That is, it is considered that the number of accesses and the amount of information provided for each access differ depending on the content of the service provided by each access destination. If it is an access destination that needs to be accessed every day in internal business, the amount of information provided at one access is small, but the accumulated amount of information provided is large.
  • the amount of information provided can be measured based on the input information stored in association with the monitoring information.
  • the accessor can be identified based on the IP address (IP address of the user terminal 30) included in the monitoring information.
  • the aggregation analysis unit 13 may determine an access in which the amount of information provided is extremely small with respect to other access destinations and the accessor is limited to a specific access source as inappropriate access. In this case, in the example of FIG. 6, the access to the access destination X is specified as an inappropriate access.
  • the aggregation analysis unit 13 may analyze the screen image included in each monitoring information to identify inappropriate access. For example, the aggregation analysis unit 13 specifies the screen transition for each URL based on the URL and the screen image included in each monitoring information. In this case, the aggregation analysis unit 13 does not access the monitoring information storage unit 14 in which a screen image group showing a screen transition different from the screen transition specified for the URL is stored in each access to a certain URL. It may be specified as appropriate access. This is because such access can lead to dangerous sites and leak protected information.
  • the aggregation analysis unit 13 generates information for identifying the access determined to be inappropriate access as the determination information (S203). For example, information including the URL of the access destination of the access may be used as the judgment information. Subsequently, the aggregation analysis unit 13 registers the determination information in the determination information storage unit 23 of the communication monitoring device 20 (S204).
  • the judgment information will be used by the judgment unit 22 thereafter.
  • the determination unit 22 will determine that the request addressed to the URL cannot be transmitted.
  • the present embodiment it is possible to reduce the possibility that information to be protected is leaked to the outside from within a certain network such as the corporate network N1.
  • a certain network such as the corporate network N1.
  • the monitoring information receiving unit 11 is an example of the receiving unit.
  • the sequential analysis unit 12 is an example of an extraction unit, a determination unit, and a control unit.
  • the monitoring information storage unit 14 is an example of a storage unit.
  • the aggregate analysis unit 13 is an example of a specific unit.
  • Information protection device 11 Monitoring information receiving unit 12 Sequential analysis unit 13 Aggregation analysis unit 14 Monitoring information storage unit 20 Communication monitoring device 21 Communication monitoring unit 22 Judgment unit 23 Judgment information storage unit 30 User terminal 31 Web browser 32 Operation monitoring unit 100 drive Device 101 Recording medium 102 Auxiliary storage device 103 Memory device 104 CPU 105 Interface device B Bus N1 Corporate network N2 External network

Abstract

情報保護装置は、或るネットワークに接続された端末において表示されている画面の画像を受信する受信部と、前記画像から、前記画面に対する入力情報を抽出する抽出部と、前記入力情報が所定の情報に合致するか否かを判定する判定部と、前記入力情報が前記所定の情報に合致すると判定された場合に、前記入力情報について、前記ネットワークからの送出を抑止するための制御を行う制御部と、を有することで、保護されるべき情報が外部に流出する可能性を低下させる。

Description

情報保護装置、情報保護方法及びプログラム
　本発明は、情報保護装置、情報保護方法及びプログラムに関する。
　従来、企業内のＰＣ等と社外のサーバとの通信内容は、ファイアウォール、ＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention System）、ＷＡＦ（Web Application Firewall）等によって監視、遮断等がなされている。
特開２０１７－１３００３７号公報
　しかしながら、ＩＤＳ及びＩＰＳは一つ一つのパケットを監視対象とし、ＷＡＦはＨＴＴＰプロトコルのメッセージを監視対象としているため、どのような情報が社外に送信されているかは把握できない。したがって、これらの技術では、社内において保護されるべき情報について社外への送出を監視及び防止することは困難である。
　本発明は、上記の点に鑑みてなされたものであって、保護されるべき情報が外部に流出する可能性を低下させることを目的とする。
　そこで上記課題を解決するため、情報保護装置は、或るネットワークに接続された端末において表示されている画面の画像を受信する受信部と、前記画像から、前記画面に対する入力情報を抽出する抽出部と、前記入力情報が所定の情報に合致するか否かを判定する判定部と、前記入力情報が前記所定の情報に合致すると判定された場合に、前記入力情報について、前記ネットワークからの送出を抑止するための制御を行う制御部と、を有する。
　保護されるべき情報が外部に流出する可能性を低下させることができる。
本発明の実施の形態における情報保護システムの構成例を示す図である。 本発明の実施の形態における情報保護装置１０のハードウェア構成例を示す図である。 本発明の実施の形態における情報保護システムの機能構成例を示す図である。 入力情報に対する逐次処理の処理手順の一例を説明するためのシーケンス図である。 集計分析部１３が実行する処理手順の一例を説明するためのフローチャートである。 集計分析部１３による過去の監視情報群の分析を説明するための図である。
　以下、図面に基づいて本発明の実施の形態を説明する。図１は、本発明の実施の形態における情報保護システムの構成例を示す図である。図１において、企業内ネットワークＮ１は、或る企業（以下、「企業Ａ」という。）内のネットワーク（例えば、ＬＡＮ（Local Area Network）又はイントラネット等）である。１以上のユーザ端末３０、情報保護装置１０及び通信監視装置２０は、企業内ネットワークＮ１を構成するネットワークによって接続される。すなわち、各ユーザ端末３０、情報保護装置１０及び通信監視装置２０は、企業Ａの区域内に設置されている。
　ユーザ端末３０は、企業Ａの従業員等によって利用されるＰＣ（Personal Computer）等の端末である。例えば、従業員ごとにユーザ端末３０が割り当てられてもよい。
　通信監視装置２０は、企業内ネットワークＮ１をインターネット等の外部ネットワークＮ２に接続する１以上のコンピュータである。企業内ネットワークＮ１と外部ネットワークＮ２との間の全ての通信は、通信監視装置２０を通過（経由）する。例えば、プロキシサーバ等が通信監視装置２０として利用されてよい。また、通信監視装置２０は、ファイアウォールとして機能してもよい。本実施の形態において、通信監視装置２０は、ユーザ端末３０から外部ネットワークＮ２に接続される外部サーバへ通信を監視し、外部への送信が不適切である（外部への漏洩から保護されるべきである）情報（以下、「保護情報」という。）の送信を抑止する。
　情報保護装置１０は、ユーザ端末３０において表示されているＷｅｂページに対する情報の入力に応じ、当該情報が保護情報に該当するか否かを分析する１以上のコンピュータである。情報保護装置１０は、当該情報が保護情報に該当すると判定すると、当該情報の通信（送信）に対する対処（例えば、外部への送出の抑止等）を通信監視装置２０へ指示する。
　図２は、本発明の実施の形態における情報保護装置１０のハードウェア構成例を示す図である。図２の情報保護装置１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。
　情報保護装置１０での処理を実現するプログラムは、ＣＤ－ＲＯＭ等の記録媒体１０１によって提供される。プログラムを記憶した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
　メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従って情報保護装置１０に係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。
　図３は、本発明の実施の形態における情報保護システムの機能構成例を示す図である。図３において、ユーザ端末３０は、Ｗｅｂブラウザ３１及び操作監視部３２を有する。Ｗｅｂブラウザ３１は、一般的なＷｅｂブラウザであり、外部ネットワークＮ２に接続されている外部サーバへアクセスして、Ｗｅｂページを取得する。Ｗｅｂブラウザ３１は、取得したＷｅｂページを表示する。操作監視部３２は、ユーザ端末３０にインストールされた１以上のプログラムが、ユーザ端末３０のＣＰＵに実行させる処理により実現される。
　操作監視部３２は、Ｗｅｂブラウザ３１によって表示されているＷｅｂページに対するユーザによる操作（文字列等の情報の入力）を監視する。操作監視部３２は、情報が入力された可能性が高いと推定される所定の操作を検知すると、当該操作を検知したタイミングにおけるＷｅｂページのキャプチャ画像（以下、「画面画像」という。）を取得すると共に、当該ＷｅｂページのＵＲＬ、及び当該ユーザ端末３０のＩＰアドレス等を含む情報（以下、「監視情報」という。）を情報保護装置１０へ送信する。例えば、特定のキーが押下されたことが、情報入力の操作として検知されてもよい。特定のキーの一例として、リターンキーや「コントロールキー＋Ｖ」等が挙げられる。
　情報保護装置１０は、監視情報受信部１１、逐次分析部１２及び集計分析部１３を有する。これら各部は、情報保護装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。情報保護装置１０は、また、監視情報記憶部１４を利用する。監視情報記憶部１４は、例えば、補助記憶装置１０２、又は情報保護装置１０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。
　監視情報受信部１１は、操作監視部３２から送信される監視情報を受信する。監視情報受信部１１は、受信した監視情報を監視情報記憶部１４に記憶すると共に、逐次分析部１２に通知する。
　逐次分析部１２は、監視情報受信部１１から通知される監視情報に含まれている画面画像から、Ｗｅｂページに対して入力された情報（入力情報）を抽出し、当該入力情報が保護情報に該当するか否かを判定する。上記より明らかなように、監視情報は、ユーザによる入力が行われるたびに監視情報受信部１１から通知される。したがって、逐次分析部１２は、ユーザによる入力に応じて逐次的に入力情報が保護情報に該当するか否かを判定する。逐次分析部１２は、入力情報が保護情報に該当すると判定すると、当該入力情報について、企業内ネットワークＮ１からの送出を抑止するための制御を行う。具体的には、逐次分析部１２は、当該入力情報と、当該入力情報に関する通信（送信）に対する対処（例えば、送信の抑止等）の指示（以下、「対処指示」という。）を通信監視装置２０へ送信する。
　集計分析部１３は、例えば、定期的なタイミング等、Ｗｅｂページに対する入力のタイミングとは非同期なタイミングで、当該タイミングまでに監視情報記憶部１４に記憶（蓄積）された監視情報を分析することで、過去の外部へのアクセスの中から、セキュリティ上問題の有る可能性が高い所定のアクセス（以下、「不適切なアクセス」という。）を特定する。分析部は、不適切なアクセスを特定するための情報を、判断情報として通信監視装置２０へ送信（通知）する。
　通信監視装置２０は、通信監視部２１及び判断部２２を有する。これら各部は、通信監視装置２０にインストールされた１以上のプログラムが、通信監視装置２０のＣＰＵに実行させる処理により実現される。通信監視装置２０は、また、判断情報記憶部２３を利用する。判断情報記憶部２３は、例えば、補助記憶装置１０２、又は通信監視装置２０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。
　通信監視部２１は、企業内ネットワークＮ１と外部ネットワークＮ２との間の通信を監視し、当該通信の可否（抑止の要否）を判断部２２に照会する。通信監視部２１は、判断部２２によって抑止が指示された通信については遮断する。
　判断部２２は、逐次分析部１２から通知される入力情報や、判断情報記憶部２３に記憶されている判断情報に基づいて、通信の可否（抑止の要否）を判断する。例えば、判断部２２は、当該通信によって外部へ送信される情報が、当該入力情報や当該判断情報に合致する場合に、当該通信を抑止すべきことを判断する。なお、判断情報とは、抑止対象とする通信を示す情報として、予め登録された情報をいう。例えば、公開されている脅威情報に基づいて判断情報が登録されてもよい。また、逐次分析部１２又は集計分析部１３から保護情報に該当するとして通知される入力情報も、判断情報として登録される。したがって、一度でも逐次分析部１２又は集計分析部１３によって保護情報であると判定された情報は、判断部２２によって外部への送信が抑止される。
　以下、情報保護システムにおいて実行される処理手順について説明する。図４は、入力情報に対する逐次処理の処理手順の一例を説明するためのシーケンス図である。図４の初期状態において、ユーザ端末３０のＷｅｂブラウザ３１には、外部サーバから取得されたＷｅｂページ（以下、「対象ページ」という。）が表示されていることとする。
　ユーザ端末３０の操作監視部３２は、ユーザによってＷｅｂページに対して所定の操作が行われたことを検知すると（Ｓ１０１）、当該操作に関する監視情報を情報保護装置１０へ送信する（Ｓ１０２）。当該監視情報には、当該操作の検知に応じて操作監視部３２が取得したＷｅｂページのキャプチャ画像（画面画像）、当該ＷｅｂページのＵＲＬ、当該ユーザ端末３０のＩＰアドレス等が含まれる。
　情報保護装置１０の監視情報受信部１１は、当該監視情報を受信すると、当該監視情報を監視情報記憶部１４に記憶すると共に（Ｓ１０３）、当該監視情報を逐次分析部１２に通知する。
　続いて、逐次分析部１２は、監視情報受信部１１から通知された監視情報（以下、「対象監視情報」という。）に含まれている画面画像において入力欄の範囲を特定し、当該範囲に対して文字認識（ＯＣＲ（Optical Character Recognition））を適用することで、当該画面画像から入力情報（入力された文字列）を抽出する（Ｓ１０４）。なお、入力欄の範囲の特定は、公知技術を用いて行えばよい。また、逐次分析部１２は、抽出した入力情報を、ステップＳ１０３において記憶された監視情報に関連付けて、監視情報記憶部１４に記憶してもよい。
　続いて、逐次分析部１２は、抽出した入力情報（以下、「対象入力情報」という。）が保護情報に該当するか否かを判定する（Ｓ１０５）。例えば、保護情報に該当する情報としては、企業Ａの従業員としての個人情報（氏名、所属組織情報、所属組織の電話番号、企業Ａにおける電子メールアドレス、企業Ａにおける各種ＩＤ・パスワード、その他企業Ａに関連の情報）や、ユーザのプライベートな個人情報（氏名、自宅住所、個人連絡情報、各種ＳＮＳアカウント等）が挙げられる。また、個人情報以外であっても、企業Ａにとって保護すべき情報が保護情報とされてもよい。例えば、秘密情報や社内限り情報が保護情報とされてもよい。
　上記のような情報を保護情報とする場合、当該情報を示す文字列のリストが予め保護情報として補助記憶装置１０２に登録されていてもよい。また、このように登録される複数の文字列に共通部分が有る場合は、正規表現を用いて複数の文字列の集合が１つの文字列によって登録されてもよい。
　この場合、逐次分析部１２は、対象入力情報が、補助記憶装置１０２に保護情報として記憶されているいずれかの文字列に一致するか否かによって、対象入力情報が保護情報に該当するか否かを判定する。
　また、逐次分析部１２は、対象入力情報の入力欄に対するメッセージ（入力の要求を示すメッセージ）を画面画像に対する文字認識によって抽出し、当該メッセージの内容（要求内容）と対象入力情報とが整合していない場合に、対象入力情報が保護情報に該当すると判定してもよい。
　対象入力情報が保護情報に該当しないと判定した場合、逐次分析部１２は、以降の処理は実行しない。一方、対象入力情報が保護情報に該当すると判定した場合、逐次分析部１２は、対象入力情報の送信の中止を示す対処指示を通信監視装置２０へ送信する（Ｓ１０６）。当該対処指示には対象入力情報が含まれる。
　通信監視装置２０の判断部２２は、当該対処指示を受信すると、当該対処指示に含まれている対象入力情報を判断情報として判断情報記憶部２３に記憶する（Ｓ１０７）。なお、対象入力情報に一致する判断情報が既に判断情報記憶部２３に記憶されている場合には、ステップＳ１０７はスキップされてもよい。
　その後、ユーザ端末３０のＷｅｂブラウザ３１に表示されている対象ページに対して、入力を確定させる操作（例えば、ＯＫボタンの押下等）が行われると、Ｗｅｂブラウザ３１は、対象ページに入力された入力情報を含むリクエストを外部サーバ宛てに送信する（Ｓ１０８）。通信監視装置２０の通信監視部２１は、当該リクエストを検知（受信）すると、当該リクエストについて、送信の可否を判断部２２に照会する（Ｓ１０９）。
　判断部２２は、当該リクエストの内容を判断情報と照合することで、当該リクエストの送信の可否を判断する（Ｓ１１０）。すなわち、判断部２２は、当該リクエストに判断情報に合致する文字列が含まれていれば、当該リクエストの送信は不可であると判断し、そうでなければ当該リクエストの送信は可能であると判断する。ここで、逐次分析部１２によって対象入力情報が保護情報であると判定された場合、対象入力情報は判断情報として判断情報記憶部２３に記憶されている。したがって、対象入力情報が保護情報である場合、送信は不可であると判断される。
　続いて、判断部２２は、判断結果（「送信可」又は「送信不可」）を通信監視部２１に応答する（Ｓ１１１）。当該判断結果が「送信可」であれば、通信監視部２１は、当該リクエストを宛先へ送信する。一方、当該判断結果が「送信不可」であれば、当該リクエストの送信を抑止する。例えば、当該リクエストが破棄されてもよい。また、通信監視部２１は、当該リクエストに保護情報が含まれていることを示す警告メッセージを含む応答（レスポンス）をユーザ端末３０のＷｅｂブラウザ３１に対して送信してもよい（Ｓ１１２）。この場合、Ｗｅｂブラウザ３１は、当該警告メッセージを表示することになる。その結果、ユーザは、自らが入力した情報に保護情報が含まれていたことを知ることができ、改めて入力操作をやり直すことができる。
　なお、ステップＳ１０１以降は、１つのＷｅｂページに対して複数の入力欄が有る場合、各入力欄に情報（文字列）が入力されるたびに逐次的に実行される。
　次に、集計分析部１３が実行する処理手順について説明する。図５は、集計分析部１３が実行する処理手順の一例を説明するためのフローチャートである。
　集計分析部１３は、ステップＳ２０２以降の実行時期の到来を待機している（Ｓ２０１）。例えば、一定期間ごとの周期でステップＳ２０２以降が実行されるのであれば、集計分析部１３は、当該周期の経過を待機している。当該周期が経過すると（Ｓ２０１でＹｅｓ）、監視情報記憶部１４に記憶されている過去の監視情報を分析することで、過去の外部へのアクセスの中から不適切なアクセスを特定する（Ｓ２０２）。ここで分析対象とされる監視情報は、監視情報記憶部１４に記憶されている全ての監視情報であってもよいし、当該周期において監視情報記憶部１４に記憶された監視情報であってもよい。
　図６は、集計分析部１３による過去の監視情報群の分析を説明するための図である。図６には、アクセス先ごとに、情報提供量と、アクセス者とが分析される例が示されている。
　アクセス先は、監視情報に含まれているＵＲＬ（ＷｅｂページのＵＲＬ）に基づいて区別することができる。また、情報提供量は、アクセス先に対する入力情報のサイズ（例えば、バイト数）である。すなわち、各アクセス先が提供するサービスの内容により、アクセス回数や、１アクセスごとの情報提供量は異なると考えられる。社内業務で、毎日アクセスする必要があるアクセス先であれば、１アクセス時の情報提供量は少なくても、蓄積された情報提供量は大きくなる。なお、情報提供量は、監視情報に関連付けられて記憶されている入力情報に基づいて計測することができる。
　アクセス者は、監視情報に含まれているＩＰアドレス（ユーザ端末３０のＩＰアドレス）に基づいて特定することができる。
　例えば、集計分析部１３は、情報提供量が、他のアクセス先に対して極端に少なく、アクセス者が特定のアクセス元に限定されているアクセスを不適切なアクセスとして判定してもよい。この場合、図６の例では、アクセス先Ｘに対するアクセスが、不適切なアクセスとして特定される。
　また、集計分析部１３は、各監視情報に含まれている画面画像を分析して、不適切なアクセスを特定してもよい。例えば、集計分析部１３は、各監視情報に含まれているＵＲＬ及び画面画像に基づいて、ＵＲＬ別に画面遷移を特定する。この場合、集計分析部１３は、或るＵＲＬに対する各アクセスの中で、当該ＵＲＬについて特定された画面遷移と異なる画面遷移を示す画面画像群が監視情報記憶部１４に記憶されているアクセスを不適切なアクセスとして特定してもよい。このようなアクセスは、危険なサイトに誘導され、保護情報が漏洩する可能性が有るからである。
　続いて、集計分析部１３は、不適切なアクセスと判定したアクセスを特定する情報を判断情報として生成する（Ｓ２０３）。例えば、当該アクセスのアクセス先のＵＲＬを含む情報が判断情報とされてもよい。続いて、集計分析部１３は、当該判断情報を通信監視装置２０の判断情報記憶部２３に登録する（Ｓ２０４）。
　その結果、以降において、当該判断情報が判断部２２によって利用されるようになる。当該判断情報がＵＲＬである場合、判断部２２は、当該ＵＲＬ宛てのリクエストを送信不可として判断するようになる。
　上述したように、本実施の形態によれば、企業内ネットワークＮ１等の或るネットワーク内からにおいて保護されるべき情報が外部に流出する可能性を低下させることができる。また蓄積された画面画像があることにより、サービスの一連のフローを把握でき、入力情報の正当性について、画面の前後を通して分析することができる。
　なお、本実施の形態において、監視情報受信部１１は、受信部の一例である。逐次分析部１２は、抽出部、判定部及び制御部の一例である。監視情報記憶部１４は、記憶部の一例である。集計分析部１３は、特定部の一例である。
　以上、本発明の実施の形態について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
１０　　　　　情報保護装置
１１　　　　　監視情報受信部
１２　　　　　逐次分析部
１３　　　　　集計分析部
１４　　　　　監視情報記憶部
２０　　　　　通信監視装置
２１　　　　　通信監視部
２２　　　　　判断部
２３　　　　　判断情報記憶部
３０　　　　　ユーザ端末
３１　　　　　Ｗｅｂブラウザ
３２　　　　　操作監視部
１００　　　　ドライブ装置
１０１　　　　記録媒体
１０２　　　　補助記憶装置
１０３　　　　メモリ装置
１０４　　　　ＣＰＵ
１０５　　　　インタフェース装置
Ｂ　　　　　　バス
Ｎ１　　　　　企業内ネットワーク
Ｎ２　　　　　外部ネットワーク

Claims (5)

  1. 　或るネットワークに接続された端末において表示されている画面の画像を受信する受信部と、
    　前記画像から、前記画面に対する入力情報を抽出する抽出部と、
    　前記入力情報が所定の情報に合致するか否かを判定する判定部と、
    　前記入力情報が前記所定の情報に合致すると判定された場合に、前記入力情報について、前記ネットワークからの送出を抑止するための制御を行う制御部と、
    を有することを特徴とする情報保護装置。
  2. 　複数の前記端末から前記受信部が受信した前記画像を記憶する記憶部と、
    　前記記憶部に記憶された画像を分析して、前記ネットワークの外部へのアクセスの中から所定のアクセスを特定する特定部と、
    を有することを特徴とする請求項１記載の情報保護装置。
  3. 　或るネットワークに接続された端末において表示されている画面の画像を受信する受信手順と、
    　前記画像から、前記画面に対する入力情報を抽出する抽出手順と、
    　前記入力情報が所定の情報に合致するか否かを判定する判定手順と、
    　前記入力情報が前記所定の情報に合致すると判定された場合に、前記入力情報について、前記ネットワークからの送出を抑止するための制御を行う制御手順と、
    をコンピュータが実行することを特徴とする情報保護方法。
  4. 　複数の前記端末から前記受信手順が受信した前記画像を記憶部に記憶する記憶手順と、
    　前記記憶部に記憶された画像を分析して、前記ネットワークの外部へのアクセスの中から所定のアクセスを特定する特定手順と、
    を前記コンピュータが実行することを特徴とする請求項３記載の情報保護方法。
  5. 　請求項３又は４記載の情報保護方法をコンピュータに実行させることを特徴とするプログラム。
PCT/JP2019/023747 2019-06-14 2019-06-14 情報保護装置、情報保護方法及びプログラム WO2020250444A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US17/612,081 US11977648B2 (en) 2019-06-14 2019-06-14 Information protection apparatus, information protection method and program
JP2021525889A JP7306456B2 (ja) 2019-06-14 2019-06-14 情報保護装置、情報保護方法及びプログラム
PCT/JP2019/023747 WO2020250444A1 (ja) 2019-06-14 2019-06-14 情報保護装置、情報保護方法及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/023747 WO2020250444A1 (ja) 2019-06-14 2019-06-14 情報保護装置、情報保護方法及びプログラム

Publications (1)

Publication Number Publication Date
WO2020250444A1 true WO2020250444A1 (ja) 2020-12-17

Family

ID=73780983

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/023747 WO2020250444A1 (ja) 2019-06-14 2019-06-14 情報保護装置、情報保護方法及びプログラム

Country Status (3)

Country Link
US (1) US11977648B2 (ja)
JP (1) JP7306456B2 (ja)
WO (1) WO2020250444A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009116616A (ja) * 2007-11-06 2009-05-28 Sky Kk 電子メール監視システム
JP2013084235A (ja) * 2011-09-26 2013-05-09 North Pacific Bank Ltd ネットワークシステム及びその制御方法
JP2017142626A (ja) * 2016-02-09 2017-08-17 アルプスシステムインテグレーション株式会社 情報管理システム及び情報管理プログラム

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8826452B1 (en) * 2012-01-18 2014-09-02 Trend Micro Incorporated Protecting computers against data loss involving screen captures
US8544060B1 (en) * 2012-01-27 2013-09-24 Symantec Corporation Method and system for detecting and protecting against potential data loss from unknown applications
US10262139B2 (en) * 2015-12-02 2019-04-16 Institute For Development And Research In Banxing Technology System and method for detection and prevention of data breach and ransomware attacks
JP6078179B1 (ja) 2016-01-20 2017-02-08 西日本電信電話株式会社 セキュリティ脅威検出システム、セキュリティ脅威検出方法、及びセキュリティ脅威検出プログラム
US20190108355A1 (en) * 2017-10-09 2019-04-11 Digital Guardian, Inc. Systems and methods for identifying potential misuse or exfiltration of data

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009116616A (ja) * 2007-11-06 2009-05-28 Sky Kk 電子メール監視システム
JP2013084235A (ja) * 2011-09-26 2013-05-09 North Pacific Bank Ltd ネットワークシステム及びその制御方法
JP2017142626A (ja) * 2016-02-09 2017-08-17 アルプスシステムインテグレーション株式会社 情報管理システム及び情報管理プログラム

Also Published As

Publication number Publication date
US11977648B2 (en) 2024-05-07
JPWO2020250444A1 (ja) 2020-12-17
JP7306456B2 (ja) 2023-07-11
US20220215105A1 (en) 2022-07-07

Similar Documents

Publication Publication Date Title
US10122746B1 (en) Correlation and consolidation of analytic data for holistic view of malware attack
US9306964B2 (en) Using trust profiles for network breach detection
US9135432B2 (en) System and method for real time data awareness
CN109889547B (zh) 一种异常网络设备的检测方法及装置
CN111400722B (zh) 扫描小程序的方法、装置、计算机设备和存储介质
JP5009244B2 (ja) マルウェア検知システム、マルウェア検知方法及びマルウェア検知プログラム
US20050021791A1 (en) Communication gateway apparatus, communication gateway method, and program product
US9253068B1 (en) Network application classification for network traffic management
US20160036849A1 (en) Method, Apparatus and System for Detecting and Disabling Computer Disruptive Technologies
US20120089926A1 (en) Instant Messaging with Browser Collaboration
JP5980968B2 (ja) 情報処理装置、情報処理方法及びプログラム
JP6502902B2 (ja) 攻撃検知装置、攻撃検知システムおよび攻撃検知方法
JP5549281B2 (ja) 不正侵入検知・防御システム、クライアントコンピュータ、不正侵入検知・防御装置、方法およびプログラム
US8910281B1 (en) Identifying malware sources using phishing kit templates
US11271959B2 (en) Method and apparatus for combining a firewall and a forensics agent to detect and prevent malicious software activity
KR101494329B1 (ko) 악성 프로세스 검출을 위한 시스템 및 방법
US10757118B2 (en) Method of aiding the detection of infection of a terminal by malware
WO2020250444A1 (ja) 情報保護装置、情報保護方法及びプログラム
CN113709136B (zh) 一种访问请求验证方法和装置
EP3971748A1 (en) Network connection request method and apparatus
KR101273519B1 (ko) 서비스 접근 제어 장치 및 방법
JP6693505B2 (ja) ログ解析システム、解析装置、解析方法、および解析用プログラム
WO2017110099A1 (ja) 情報処理装置、情報処理方法及びプログラム
WO2017110100A1 (ja) 情報処理装置、情報処理方法及びプログラム
JP2009081736A (ja) パケット転送装置及びパケット転送プログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19932414

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021525889

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19932414

Country of ref document: EP

Kind code of ref document: A1