(57)【要約】【課題】  セキュリティポリシの改善が、容易に実行できない。【解決手段】  被監視情報処理システムを利用する行為であるイベントの種別に基づいて、被監視システムから複数の判定規則を含むポリシを取得するポリシ取得手段と、そのポリシと、そのポリシの解釈方法を規定する解釈規定とに基づいて、そのイベントの実体に対応するその判定規則を検出し、出力する判定規則検出手段とを含む。【選択図】      図１
2014191426.tif 000002
【特許請求の範囲】
【請求項１】
被監視情報処理システムを利用する行為であるイベントの種別に基づいて、被監視システムから複数の判定規則を含むポリシを取得するポリシ取得手段と、
前記ポリシと、前記ポリシの解釈方法を規定する解釈規定とに基づいて、前記イベントの実体に対応する前記判定規則を検出し、出力する判定規則検出手段とを含む
情報処理装置。
【請求項２】
前記検出した判定規則を変更する指標を示す厳格化指標に基づいて、前記検出した判定規則に対応する厳格化ポリシを生成し、出力するポリシ生成手段を含む、
ことを特徴とする請求項１記載の情報処理装置。
【請求項３】
前記ポリシ生成手段は、前記厳格化ポリシを含むポリシ更新指示を、前記被監視情報処理システムに送信する
ことを特徴とする請求項２記載の情報処理装置。
【請求項４】
前記ポリシ更新指示は、前記厳格化ポリシを適用する範囲を示す情報を含む
ことを特徴とする請求項３記載の情報処理装置。
【請求項５】
厳格化指標は、前記イベントが不正行為である確率、前記実体に対応する人物の数値化された属性、前記イベントで扱われるデータの重要度、前記イベントの数値化された不自然さ、または、前記確率と前記数値化された属性と前記重要度と前記数値化された不自然さとを任意に組み合わせて算出した値である
ことを特徴とする請求項２乃至４のいずれか１項に記載の情報処理装置。
【請求項６】
判定規則検出手段は、前記実体を示すイベント実体情報と前記解釈規定とに基づいて、前記ポリシを使用するポリシ強制手段をエミュレートすることで、前記実体に対応する前記判定規則を検出する
ことを特徴とする請求項１乃至５のいずれか１項に記載の情報処理装置。
【請求項７】
前記イベントの種別と前記イベントの実体とを少なくとも含む不正行為情報を生成し、出力する不正行為検知手段を更に含む、
ことを特徴とする請求項１乃至６のいずれか１項に記載の情報処理装置。
【請求項８】
被監視情報処理システムを利用する行為であるイベントの種別に基づいて、被監視システムから複数の判定規則を含むポリシを取得し、
前記ポリシと、前記ポリシの解釈方法を規定する解釈規定とに基づいて、前記イベントの実体に対応する前記判定規則を検出し、出力する
不正行為対策方法。
【請求項９】
前記検出した判定規則を変更する指標を示す厳格化指標に基づいて、前記検出した判定規則に対応する厳格化ポリシを生成し、出力する
ことを特徴とする請求項７記載の不正行為対策方法。
【請求項１０】
被監視情報処理システムを利用する行為であるイベントの種別に基づいて、被監視システムから複数の判定規則を含むポリシを取得する処理と、
前記ポリシと、前記ポリシの解釈方法を規定する解釈規定とに基づいて、前記イベントの実体に対応する前記判定規則を検出し、出力する処理と、をコンピュータに実行させる
プログラム。
【請求項１１】
前記検出した判定規則を変更する指標を示す厳格化指標に基づいて、前記検出した判定規則に対応する厳格化ポリシを生成し、出力する処理をコンピュータに実行させる
ことを特徴とする請求項９記載のプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報システムに対する不正行為への対策を実行する情報処理装置、不正行為対策方法、及びそのためのプログラムに関する。
【背景技術】
【０００２】
アクセス権限を有する操作者（操作者は、人、コンピュータ及び他の機器を含む、以後アクセス権者と呼ぶ）による、情報システムに対する不正アクセスの検出に関し、さまざまな関連技術が知られている。
【０００３】
特許文献１は、不正行為検知システムを開示する。特許文献１の不正行為検知システムは、履歴記憶部と監査情報開示部と不正行為検出部とを有する。その履歴記憶部は、被監視装置の操作履歴情報を記憶する。その監査情報開示部は、不正行為を検知するための監査を実施することを示す情報を含む監査情報を開示する。不正行為検出部は、監査情報を開示する時刻以前の操作履歴情報である開示前操作履歴情報と、監査情報を開示した時刻以後の操作履歴情報である開示後操作履歴情報とに基づいて、不正行為を検出する。即ち、その不正行為検知システムは、監査の実施計画の通知前と通知後との、不正行為者の操作の変化を解析し、不正行為を検知する。その不正行為検知システムは、上述の構成により、正常な操作と区別が付かない操作によって行われた不正行為を検知することを可能にする。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】ＷＯ２０１２／１５３７４６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上述した特許技術文献に記載された技術においては、セキュリティポリシ（以後、単にポリシと記載する）の改善が、容易に実行できないという問題点がある。
【０００６】
その理由は、特許文献１に記載の不正行為検知システムは、ポリシのどの部分に問題があるのかを、明確に示すことができないからである。
【０００７】
本発明の目的は、上述した問題点を解決できる情報処理装置、不正行為対策方法、及びそのためのプログラムを提供することにある。
【課題を解決するための手段】
【０００８】
本発明の情報処理装置は、被監視情報処理システムを利用する行為であるイベントの種別に基づいて、被監視システムから複数の判定規則を含むポリシを取得するポリシ取得手段と、前記ポリシと、前記ポリシの解釈方法を規定する解釈規定とに基づいて、前記イベントの実体に対応する前記判定規則を検出し、出力する判定規則検出手段とを含む。
【０００９】
本発明の不正行為対策方法は、被監視情報処理システムを利用する行為であるイベントの種別に基づいて、被監視システムから複数の判定規則を含むポリシを取得し、前記ポリシと、前記ポリシの解釈方法を規定する解釈規定とに基づいて、前記イベントの実体に対応する前記判定規則を検出し、出力する。
【００１０】
本発明のプログラムは、被監視情報処理システムを利用する行為であるイベントの種別に基づいて、被監視システムから複数の判定規則を含むポリシを取得する処理と、前記ポリシと、前記ポリシの解釈方法を規定する解釈規定とに基づいて、前記イベントの実体に対応する前記判定規則を検出し、出力する処理と、をコンピュータに実行させる。
【発明の効果】
【００１１】
本発明は、ポリシの改善を容易に実行することが可能になるという効果がある。
【図面の簡単な説明】
【００１２】
【図１】図１は、第１の実施形態に係る不正行為対策装置の構成を示すブロック図である。
【図２】図２は、第１の実施形態に係る不正行為対策装置を実現するコンピュータのハードウェア構成を示すブロック図である。
【図３】図３は、第１の実施形態に係る不正行為対策装置を含む情報処理システムの構成を示すブロック図である。
【図４】図４は、第１の実施形態における不正行為関連情報の一例を示す図である。
【図５】図５は、第１の実施形態におけるポリシの一例を示す図である。
【図６】図６は、第１の実施形態におけるポリシ強制手段リストの一例を示す図である。
【図７】図７は、第１の実施形態における解釈規定の一例を示す図である。
【図８】図８は、第１の実施形態における不正行為対策装置の動作を示すフローチャートである。
【図９】図９は、第２の実施形態に係る不正行為対策装置の構成を示すブロック図である。
【図１０】図１０は、第２の実施形態における不正行為関連情報の一例を示す図である。
【図１１】図１１は、第２の実施形態における厳格化ポリシの一例を示す図である。
【図１２】図１２は、第２の実施形態における不正行為対策装置の動作を示すフローチャートである。
【図１３】図１３は、第２の実施形態における判定条件と対応する数値の一例を示す図である。
【発明を実施するための形態】
【００１３】
本発明を実施するための形態について図面を参照して詳細に説明する。尚、各図面及び明細書記載の各実施形態において、同様の構成要素には同様の符号を付与し、適宜説明を省略する。
【００１４】
＜＜＜第１の実施形態＞＞＞
図１は、本発明の第１の実施形態に係る不正行為対策装置（情報処理装置とも呼ばれる）１００の構成を示すブロック図である。
【００１５】
図１に示すように、本実施形態に係る不正行為対策装置１００は、ポリシ取得部１１０と、判定規則検出部１２０とを含む。
【００１６】
尚、図１に示す構成要素は、ハードウェア単位の構成要素でも、コンピュータ装置の機能単位に分割した構成要素でもよい。ここでは、図１に示す構成要素は、コンピュータ装置の機能単位に分割した構成要素として説明する。
【００１７】
図２は、本実施形態に係る不正行為対策装置１００を実現するコンピュータ７００のハードウェア構成を示すブロック図である。
【００１８】
図２に示すようにコンピュータ７００は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）７０１、記憶部７０２、記憶装置７０３、入力部７０４、出力部７０５及び通信部７０６を含む。更に、コンピュータ７００は、外部から供給される記録媒体（または記憶媒体）７０７を含む。記録媒体７０７は、情報を非一時的に記憶する不揮発性記録媒体であってもよい。
【００１９】
ＣＰＵ７０１は、オペレーティングシステム（不図示）を動作させて、コンピュータ７００の、全体の動作を制御する。また、ＣＰＵ７０１は、例えば記憶装置７０３に装着された記録媒体７０７から、プログラムやデータを読み込み、読み込んだプログラムやデータを記憶部７０２に書き込む。ここで、そのプログラムは、例えば、後述の図８に示すフローチャートの動作をコンピュータ７００に実行させるプログラムである。
【００２０】
そして、ＣＰＵ７０１は、読み込んだプログラムに従って、また読み込んだデータに基づいて、図１に示すポリシ取得部１１０及び判定規則検出部１２０として各種の処理を実行する。
【００２１】
尚、ＣＰＵ７０１は、通信網（不図示）に接続されている外部コンピュータ（不図示）から、記憶部７０２にプログラムやデータをダウンロードするようにしてもよい。
【００２２】
記憶部７０２は、プログラムやデータを記憶する。記憶部７０２は、後述の不正行為関連情報８１０、ポリシ８２０、ポリシ強制手段リスト８３０及び解釈規定８４０を記憶してよい。
【００２３】
記憶装置７０３は、例えば、光ディスク、フレキシブルディスク、磁気光ディスク、外付けハードディスク及び半導体メモリであって、記録媒体７０７を含む。記憶装置７０３（記録媒体７０７）は、プログラムをコンピュータ読み取り可能に記憶する。また、記憶装置７０３は、データを記憶してもよい。記憶装置７０３は、後述の不正行為関連情報８１０、ポリシ８２０、ポリシ強制手段リスト８３０及び解釈規定８４０を記憶してよい。
【００２４】
入力部７０４は、例えばマウスやキーボード、内蔵のキーボタンなどで実現され、入力操作に用いられる。入力部７０４は、マウスやキーボード、内蔵のキーボタンに限らず、例えばタッチパネル、加速度計、ジャイロセンサ、カメラなどでもよい。
【００２５】
出力部７０５は、例えばディスプレイで実現され、出力を確認するために用いられる。
【００２６】
通信部７０６は、被監視システム１０２及び不正行為検知装置１０３とのインタフェースを実現する。通信部７０６は、ポリシ取得部１１０の一部として含まれる。
【００２７】
以上説明したように、図１に示す不正行為対策装置１００の機能単位のブロックは、図２に示すハードウェア構成のコンピュータ７００によって実現される。但し、コンピュータ７００が備える各部の実現手段は、上記に限定されない。すなわち、コンピュータ７００は、物理的に結合した１つの装置により実現されてもよいし、物理的に分離した２つ以上の装置を有線または無線で接続し、これら複数の装置により実現されてもよい。
【００２８】
尚、上述のプログラムのコードを記録した記録媒体７０７が、コンピュータ７００に供給され、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを読み出して実行するようにしてもよい。或いは、ＣＰＵ７０１は、記録媒体７０７に格納されたプログラムのコードを、記憶部７０２、記憶装置７０３またはその両方に格納するようにしてもよい。すなわち、本実施形態は、コンピュータ７００（ＣＰＵ７０１）が実行するプログラム（ソフトウェア）を、一時的にまたは非一時的に、記憶する記録媒体７０７の実施形態を含む。
【００２９】
以上が、本実施形態における不正行為対策装置１００を実現するコンピュータ７００の、ハードウェア単位の各構成要素についての説明である。
【００３０】
図３は、本実施形態に係る不正行為対策装置１００を含む情報処理システム１０１の構成を示すブロック図である。
【００３１】
図３に示すように、情報処理システム１０１は、不正行為対策装置１００と被監視システム１０２と不正行為検知装置１０３とを備える。
【００３２】
＝＝＝不正行為検知装置１０３＝＝＝
不正行為検知装置１０３は、被監視システム１０２を監視し、不正行為（不正なイベント）の発生或いは不正行為と疑われる行為（イベント）の発生（いずれも不審な行為の発生とも言う）を検出する。更に、不正行為検知装置１０３は、そのイベントの情報を含む不正行為関連情報８１０を生成して、不正行為対策装置１００に送信する。
【００３３】
＝＝＝不正行為対策装置１００＝＝＝
不正行為対策装置１００は、不正行為関連情報８１０を受信する。次に、不正行為対策装置１００は、不正行為関連情報８１０に含まれるイベント種別に基づいて、被監視システム１０２からポリシ８２０を取得する。そのイベントは、被監視システム１０２を利用する行為である。また、そのポリシ８２０は、複数の判定規則を含む。
【００３４】
次に、不正行為対策装置１００は、そのポリシ８２０と、そのポリシ８２０の解釈方法を規定する解釈規定とに基づいて、そのイベントの実体に対応するその判定規則を検出し、出力する。
【００３５】
＝＝＝不正行為関連情報８１０＝＝＝
図４は、不正行為関連情報８１０の一例を示す図である。図４に示すように、不正行為関連情報８１０は、イベント種別８１２とイベント実体８１３とを含む。
【００３６】
イベント種別８１２は、そのイベントの種別を示す。例えば、その種別は、メールの送信、メールの受信及びウェブ（ｗｅｂ）の閲覧などである。
【００３７】
イベント実体８１３は、そのイベントの実体である。例えば、その実体は、その種別がメールの送信及び受信である場合、メールの送信元の識別子及びメールの宛先の識別子である。
【００３８】
＝＝＝ポリシ８２０＝＝＝
図５は、ポリシ８２０の一例を示す図である。図５に示すようにポリシ８２０は、イベント実体８２３及び判定条件８２４を含む。
【００３９】
イベント実体８２３の定義は、図４に示すイベント実体８１３の定義と同等である。
【００４０】
判定条件８２４は、対応するイベント実体８２３の処理内容（例えば、「許可」や「禁止」など）とその処理を実行するための条件（例えば、「詳細ログ取得」や「常時」など）を示す。
【００４１】
次に、図１に戻って、不正行為対策装置１００の各構成要素について詳細に説明する。
【００４２】
＝＝＝ポリシ取得部１１０＝＝＝
ポリシ取得部１１０は、不正行為関連情報８１０に含まれるイベント種別８１２に基づいて、そのイベント種別８１２に対するセキュリティを制御するポリシ強制手段（不図示）を検出し、検出したポリシ強制手段からポリシ８２０を取得する。ここで、そのポリシ強制手段は、被監視システム１０２に含まれる構成要素（不図示）或いはその構成要素に含まれる手段（不図示）のいずれかである。
【００４３】
例えば、ポリシ取得部１１０は、記憶部７０２または記憶装置７０３からポリシ強制手段リストを読み出す。次にポリシ取得部１１０は、ポリシ強制手段リストに基づいて、そのイベント種別８１２に対応するポリシ強制手段（後述のポリシ強制手段識別子）を決定する。そしてポリシ取得部１１０は、被監視システム１０２のポリシ強制手段にアクセスし、ポリシ８０２を取得する。
【００４４】
図６は、ポリシ強制手段リスト８３０の一例を示す図である。図６に示すようにポリシ強制手段リスト８３０は、イベント種別８３２とポリシ強制手段識別子８３４との組を含む。
【００４５】
イベント種別８３２の定義は、イベント種別８１２の定義と同等である。
【００４６】
ポリシ強制手段識別子８３４は、ポリシ強制手段を特定する識別子である。
【００４７】
＝＝＝判定規則検出部１２０＝＝＝
判定規則検出部１２０は、不正行為関連情報８１０に含まれるイベント実体８１３に対応する判定規則８２１を検出し、出力する。
【００４８】
例えば、判定規則検出部１２０は、イベント実体８１３に対応するポリシ強制手段をエミュレートして、イベント種別８１２に対応する判定規則８２１を検出する。ここで、判定規則検出部１２０は、ポリシ取得部１１０が取得したポリシ８２０と、その取得したポリシ８２０の解釈方法を規定する解釈規定とに基づいて、ポリシ強制手段をエミュレートする。この解釈規定には、ポリシ８２０の改善策となる、判定規則を検出するための検索条件と検索方法の情報を含む。
【００４９】
図７は、解釈規定の一例を示す図である。図７に示すように、解釈規定８４０は、イベント種別８４２、イベント実体形式８４３、判定規則形式８４４、検索条件８４５及び検索方法８４６を含む。
【００５０】
イベント種別８４２の定義は、イベント種別８１２の定義と同等である。
【００５１】
イベント実体形式８４３は、ポリシ強制手段に入力されるイベント実体８１３のデータ形式を示す。
【００５２】
判定規則形式８４４は、ポリシ８２０に含まれる判定規則８２１のデータ形式を示す。
【００５３】
検索条件８４５は、イベント実体８１３に対応する判定規則８２１を検索する際に利用される条件を示す。例えば、その条件は、イベント実体形式８４３で形式を定義されるイベント実体８１３を、判定規則形式８４４で形式を定義される判定規則８２１に適用するための規則を示す。
【００５４】
検索方法８４６は、判定規則検出部１２０がイベント実体８１３に対応する判定規則８２１を検索する際に実行する検索方法を示す。
【００５５】
具体的には、イベント種別８４２が「メール送信」である場合、イベント実体形式８４３は、イベント実体８１３がメールの送信元とメールの宛先であることを示す、「送信元：Ａ、宛先：Ｂ」である。また、判定規則形式８４４は、判定規則８２１がイベント実体８２３と判定条件８２４とであることを示す、「送信元：Ａ、宛先：Ｂ、判定条件」である。そして、検索条件８４５は、イベント実体８１３が示す送信元の識別子と宛先の識別子とを、判定規則８２１のイベント実体８２３の送信元の識別子と宛先の識別子に対応させることを示す、「Ｘ＝Ａ，Ｙ＝Ｂ」である。また、検索方法８４６は、ポリシ８２０を順に検索し、最初に一致した判定規則８２１を検出することを示す、「ＦＩＲＳＴ  ＭＡＴＣＨ」である。
【００５６】
例えば、イベント種別８４２が「ｗｅｂ閲覧」である場合、イベント実体形式８４３は、イベント実体８１３がｗｅｂページの要求元とアクセス先であることを示す、「要求元：Ａ、アクセス先：Ｂ」である。また、判定規則形式８４４は、判定規則８２１がイベント実体８２３と判定条件８２４とであることを示す、「要求元：Ｘ、アクセス先：Ｙ、判定条件」である。そして、検索条件８４５は、イベント実体８１３が示す要求元の識別子とアクセス先の識別子とを、判定規則８２１のイベント実体８２３の要求元の識別子とアクセス先の識別子に対応させることを示す、「Ｘ＝Ａ，Ｙ＝Ｂ」である。また、検索方法８４６は、アクセス先範囲の最も狭い判定規則８２１を検出することを示す、「ＮＡＲＲＯＷＥＳＴ  ＲＡＮＧＥ」である。
【００５７】
以上が、不正行為対策装置１００の機能単位の各構成要素についての説明である。
【００５８】
次に、本実施形態の動作について、図１〜図８を参照して詳細に説明する。
【００５９】
図８は、本実施形態の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。
【００６０】
ポリシ取得部１１０は、不正行為検知装置１０３から、不正行為関連情報８１０を受信する（ステップＳ６０１）。例えば、ポリシ取得部１１０は、通信部７０６を経由して不正行為関連情報８１０を受信する。また、ポリシ取得部１１０は、図２に示す入力部７０４を介して操作者が入力した、不正行為関連情報８１０を取得するようにしてもよい。また、ポリシ取得部１１０は、記憶装置７０３を介して、記録媒体７０７に記録された不正行為関連情報８１０を取得するようにしてもよい。
【００６１】
次に、判定規則検出部１２０は、ポリシ強制手段リスト８３０に基づいて、イベント種別８１２に対応するポリシ強制手段識別子８３４を検出し、更に、ポリシ強制手段識別子８３４に基づいてポリシ８２０を取得する（ステップＳ６０２）。例えば、ポリシ強制手段リスト８３０は、図２に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、判定規則検出部１２０は、図２に示す入力部７０４を介して操作者が入力した、ポリシ強制手段リスト８３０を取得するようにしてもよい。また、判定規則検出部１２０は、通信部７０６を介して図示しない機器から、ポリシ強制手段リスト８３０を受信するようにしてもよい。また、判定規則検出部１２０は、記憶装置７０３を介して、記録媒体７０７に記録されたポリシ強制手段リスト８３０を取得するようにしてもよい。
【００６２】
次に、判定規則検出部１２０は、ポリシ８２０とイベント実体８１３と解釈規定８４０とに基づいて、イベント実体８１３に対応する判定規則８２１を検出する（ステップＳ６０３）。例えば、その検出で参照される解釈規定８４０は、図２に示す記憶部７０２或いは記憶装置７０３に、予め記憶されていてよい。また、判定規則検出部１２０は、図２に示す入力部７０４を介して操作者が入力した、解釈規定８４０を取得するようにしてもよい。また、判定規則検出部１２０は、通信部７０６を介して図示しない機器から、解釈規定８４０を受信するようにしてもよい。また、判定規則検出部１２０は、記憶装置７０３を介して、記録媒体７０７に記録された解釈規定８４０を取得するようにしてもよい。
【００６３】
次に、判定規則検出部１２０は、ステップＳ６０３で検出した判定規則８２１とイベント種別８１２とそのイベント種別８１２に対応するポリシ強制手段識別子８３４とを出力する（ステップＳ６０４）。例えば、判定規則検出部１２０は、図２に示す出力部７０５を介して、操作者に対してそれらを出力してよい。また、判定規則検出部１２０は、図２に示す通信部７０６を介して図示しない機器へそれらを出力するようにしてもよい。また、判定規則検出部１２０は、記憶装置７０３を介して、記録媒体７０７にそれらを記録するようにしてもよい。
【００６４】
尚、不正行為対策装置１００の図示しない手段が、イベント種別８１２とそのイベント種別８１２に対応するポリシ強制手段識別子８３４とを、ステップＳ６０３で検出した判定規則８２１に関連付けて出力するようにしてもよい。
【００６５】
以上が本実施形態の動作の説明である。
【００６６】
上述した本実施形態における第１の効果は、ポリシの改善を、容易に実行することが可能になる点である。
【００６７】
その理由は、判定規則検出部１２０が、ポリシ取得部１１０より取得されたポリシ８２０と不正行為関連情報８１０とに基づいて、イベント実体８１３に対応する判定規則８２１を検出し、その検出結果を出力するようにしたからである。
【００６８】
例えば、情報処理システム１０１の管理者は、不審な行為に対して、ポリシ改善策を必要とするポリシ強制手段を検出し、そのポリシ強制手段に対するポリシのどの判定規則８２１を改善すればよいかを、上述のようにして不正行為対策装置１００が出力した検出結果を参照することにより、容易に知ることができる。
【００６９】
＜＜＜第２の実施形態＞＞＞
次に、本発明の第２の実施形態について図面を参照して詳細に説明する。以下、本実施形態の説明が不明確にならない範囲で、前述の説明と重複する内容については説明を省略する。
【００７０】
図９は、本発明の第２の実施形態に係る不正行為対策装置２００の構成を示すブロック図である。
【００７１】
図９を参照すると、本実施形態における不正行為対策装置２００は、第１の実施形態の不正行為対策装置１００と比べて、ポリシ生成部２３０を更に含む。
【００７２】
図９に示す不正行為対策装置２００は、図１に示す不正行為対策装置１００に替えて、図３に示す情報処理システム１０１に含まれてもよい。
【００７３】
＝＝＝ポリシ生成部２３０＝＝＝
ポリシ生成部２３０は、後述の図１０に示すような不正行為関連情報８６０に含まれる厳格化指標８６４に基づいて、判定規則検出部１２０が検出した判定規則８２１に対応する厳格化ポリシを生成し、出力する。
【００７４】
例えば、ポリシ生成部２３０は、通信部７０６を介して対応するポリシ強制手段に、厳格化ポリシを含むポリシ更新指示を送信する。その対応するポリシ強制手段は、ポリシ取得部１１０が取得するポリシ８２０を保持する。また、そのポリシ強制手段は、受信したポリシ更新指示に含まれる厳格化ポリシ８２９に基づいて、自身の保持するポリシを変更する。
【００７５】
また、ポリシ生成部２３０は、図２に示す出力部７０５を介して、情報処理システム１０１の管理者に対して、厳格化ポリシ８２９またはポリシ更新指示を出力してよい。この場合、その管理者は、その厳格化ポリシ８２９またはポリシ更新指示を参照して、情報処理システム１０１の対応する厳格化手段のポリシを変更するようにしてよい。
【００７６】
また、ポリシ生成部２３０は、図２に示す通信部７０６を介して図示しない機器へ厳格化ポリシ８２９またはポリシ更新指示を出力するようにしてもよい。また、ポリシ生成部２３０は、記憶装置７０３を介して、記録媒体７０７に厳格化ポリシ８２９またはポリシ更新指示を記録するようにしてもよい。
【００７７】
＝＝＝不正行為関連情報８６０＝＝＝
図１０は、不正行為関連情報８６０の一例を示す図である。図１０に示すように、不正行為関連情報８６０は、不正行為関連情報８１０に比べて、厳格化指標８６４を更に含む。
【００７８】
例えば、厳格化指標８６４は、イベント実体８１３に対応する判定規則８２１を厳格化する際の、その厳格化の程度を示す指標である。その厳格化指標８６４は、例えば機械学習（ニューラルネットワークやベイズ推定など）を用いて算出された確率である。換言すると、厳格化指標８６４は、イベント実体８１３に示す内容が、不正行為である確率である。
【００７９】
尚、厳格化指標８６４は、厳格化の程度を示す、任意の指標であってよい。例えば、厳格化指標８６４は、イベント実体８１３に対応する人物の属性（前歴や部署など）を数値化したものであってよい。また、厳格化指標８６４は、イベントで扱われるデータの重要度であってよい。例えば、厳格化指標８６４は、イベントの不自然さの度合いを数値化したものであってよい。或いは、厳格化指標８６４は、上述の確率、数値化された人物属性、データの重要度及び数値化されたイベントの不自然さを、任意に組み合わせて算出した値であってもよい。
【００８０】
＝＝＝厳格化ポリシ８２９＝＝＝
図１１は、厳格化ポリシ８２９の一例を示す図である。図１１に示すように、厳格化ポリシ８２９の構造は、ポリシ８２０と同等である。
【００８１】
図１１に示す厳格化ポリシ８２９は、ポリシ８２０における判定規則８２１の判定条件８２４が、「自己承認で許可」に厳格化された例を示す。そのポリシ８２０における判定規則８２１は、イベント実体８２３が「送信元：ＣＬ９０２宛先：ＣＬ９１１」であって、判定条件８２４が「詳細ログ取得で許可」である。
【００８２】
図１１は、厳格化された判定条件８２４に対応する判定規則８２１のみを含む厳格化ポリシ８２９の例を示す。厳格化ポリシ８２９は、ポリシ８２０に含まれる全ての判定規則８２１に対応する、判定規則８２１を含むようにしてもよい。
【００８３】
次に、本実施形態の動作について、図面を参照して詳細に説明する。
【００８４】
図１２は、本実施形態の動作を示すフローチャートである。尚、このフローチャートによる処理は、前述したＣＰＵ７０１によるプログラム制御に基づいて、実行されても良い。また、処理のステップ名については、Ｓ６０１のように、記号で記載する。
【００８５】
ステップＳ６０１〜ステップＳ６０４は、図８に示すステップＳ６０１〜ステップＳ６０４と同等である。
【００８６】
次に、ポリシ生成部２３０は、ステップＳ６０４で検出した判定規則８２１と、厳格化指標８６４とに基づいて、厳格化ポリシ８２９を生成し、出力する（ステップＳ６０５）。
【００８７】
ポリシ生成部２３０は、厳格化ポリシ８２９の判定条件８２４を以下のようにして求める。例えば、厳格化指標８６４が確率の場合、ポリシ生成部２３０は、ポリシ８２０の判定条件８２４に対応する数値に、厳格化指標８６４を乗じた値を算出する。次に、ポリシ生成部２３０は、その算出した値に対応する判定条件８２４を、厳格化ポリシ８２９の判定条件８２４として求める。
【００８８】
例えば、判定条件８２４と対応する数値とが、図１３に示すように定義されているものとする。
【００８９】
図１３を参照すると、ポリシ８２０の判定条件８２４が「詳細ログ取得で許可」の場合、対応する数値は、「０．８」である。また、図１０を参照すると、厳格化指標８６４は「０．５」である。この場合、ポリシ生成部２３０は、０．８×０．５＝０．６４を算出する。次に、ポリシ生成部２３０は、０．６４に対応する（最も近い）、「自己承認で許可
」を厳格化ポリシ８２９の判定条件８２４として求める。尚、ポリシ生成部２３０は、算出した値より小さい値の内で、最も近い数値に対応する判定条件８２４を、厳格化ポリシ８２９の判定条件８２４として求めるようにしてもよい。
【００９０】
例えば、厳格化指標８６４が程度を表す数値（例えば、数値化された、イベントの不自然さ）である場合、ポリシ生成部２３０は、ポリシ８２０の判定条件８２４に対応する数値から、厳格化指標８６４を減じた値を算出するようにしてよい。以後、厳格化指標８６４が確率の場合と同様にして、ポリシ生成部２３０は、厳格化ポリシ８２９の判定条件８２４を求める。
【００９１】
次に、本実施形態の変形例について説明する。
【００９２】
ポリシ生成部２３０は、ポリシ変更指示にその厳格化ポリシ８２９を適用する範囲の情報を含める。その適用する範囲の情報は、例えば「同一の宛先識別子を含む判定規則８２１」である。即ち、その適用する範囲は、ある宛先に送るメール全てである。この場合、そのイベントの実行を、全ての人物に対して防止できる。また、その適用する範囲の情報は、「そのイベントを実行した人物に関する全ての判定規則８２１」である。即ち、その適用する範囲は、そのイベントの実行者が送信元であるメール全てである。この場合、不正行為を実行した人物が、更に他の不正行為を実行することを、防止できる。
【００９３】
上述した本実施形態における第１の効果は、第１の実施形態の効果に加えて、ポリシの改善を、より容易に実行することが可能になる点である。
【００９４】
その理由は、ポリシ生成部２３０が、その抽出された判定規則８２１の判定条件８２４を厳格化した厳格化ポリシ８２９を生成し、出力するようにしたからである。
【００９５】
即ち、情報処理システム１０１の管理者は、不審な行為に対して、ポリシ改善策を必要とするポリシ強制手段を検出し、そのポリシ強制手段に対するポリシのどの判定規則８２１をどのように改善すればよいかを、上述のようにして不正行為対策装置２００が出力した検出結果を参照することにより、容易に知ることができる。
【００９６】
上述した本実施形態における第２の効果は、管理者の工数を削減することが可能になる点である。
【００９７】
その理由は、ポリシ生成部２３０が、厳格化ポリシ８２９を含むポリシ変更指示を、対応するポリシ強制手段に送信するようにしたからである。
【００９８】
上述した本実施形態における第３の効果は、ポリシの改善を、より強力に実行することが可能になる点である。
【００９９】
その理由は、ポリシ生成部２３０が、ポリシ変更指示に厳格化ポリシ８２９を適用する範囲の情報を含めるようにしたからである。
【０１００】
上述した本実施形態における第４の効果は、不正行為対策装置２００と被監視システム１０２との間の通信負荷の増加を防止することが可能になる点である。
【０１０１】
その理由は、ポリシ生成部２３０が、厳格化された判定条件８２４に対応する判定規則８２１のみを含む厳格化ポリシ８２９を生成するようにしたからである。
【０１０２】
以上の各実施形態で説明した各構成要素は、必ずしも個々に独立した存在である必要はない。例えば、各構成要素は、複数の構成要素が１個のモジュールとして実現されてよい。また、各構成要素は、１つの構成要素が複数のモジュールで実現されてもよい。また、各構成要素は、ある構成要素が他の構成要素の一部であるような構成であってよい。また、各構成要素は、ある構成要素の一部と他の構成要素の一部とが重複するような構成であってもよい。
【０１０３】
以上説明した各実施形態における各構成要素及び各構成要素を実現するモジュールは、必要に応じ、可能であれば、ハードウェア的に実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、コンピュータ及びプログラムで実現されてよい。また、各構成要素及び各構成要素を実現するモジュールは、ハードウェア的なモジュールとコンピュータ及びプログラムとの混在により実現されてもよい。
【０１０４】
そのプログラムは、例えば、磁気ディスクや半導体メモリなど、不揮発性のコンピュータ可読記録媒体に記録されて提供され、コンピュータの立ち上げ時などにコンピュータに読み取られる。この読み取られたプログラムは、そのコンピュータの動作を制御することにより、そのコンピュータを前述した各実施形態における構成要素として機能させる。
【０１０５】
また、以上説明した各実施形態では、複数の動作をフローチャートの形式で順番に記載してあるが、その記載の順番は複数の動作を実行する順番を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の順番は内容的に支障しない範囲で変更することができる。
【０１０６】
更に、以上説明した各実施形態では、複数の動作は個々に相違するタイミングで実行されることに限定されない。例えば、ある動作の実行中に他の動作が発生したり、ある動作と他の動作との実行タイミングが部分的に乃至全部において重複していたりしていてもよい。
【０１０７】
更に、以上説明した各実施形態では、ある動作が他の動作の契機になるように記載しているが、その記載はある動作と他の動作との全ての関係を限定するものではない。このため、各実施形態を実施するときには、その複数の動作の関係は内容的に支障のない範囲で変更することができる。また各構成要素の各動作の具体的な記載は、各構成要素の各動作を限定するものではない。このため、各構成要素の具体的な各動作は、各実施形態を実施する上で機能的、性能的、その他の特性に対して支障をきたさない範囲内で変更されて良い。
【０１０８】
以上、各実施形態及び実施例を参照して本発明を説明したが、本発明は上記実施形態及び実施例に限定されるものではない。本発明の構成や詳細には、本発明のスコープ内で当業者が理解しえるさまざまな変更をすることができる。
【符号の説明】
【０１０９】
１００    不正行為対策装置
１０１    情報処理システム
１０２    被監視システム
１０３    不正行為検知装置
１１０    ポリシ取得部
１２０    判定規則検出部
２３０    ポリシ生成部
７００    コンピュータ
７０１    ＣＰＵ
７０２    記憶部
７０３    記憶装置
７０４    入力部
７０５    出力部
７０６    通信部
７０７    記録媒体
８１０    不正行為関連情報
８１２    イベント種別
８１３    イベント実体
８２０    ポリシ
８２１    判定規則
８２３    イベント実体
８２４    判定条件
８２９    厳格化ポリシ
８３０    ポリシ強制手段リスト
８３２    イベント種別
８３４    ポリシ強制手段識別子
８４０    解釈規定
８４２    イベント種別
８４３    イベント実体形式
８４４    判定規則形式
８４５    検索条件
８４６    検索方法
８６０    不正行為関連情報
８６４    厳格化指標
【図１】
2014191426.tif 000003
【図２】
2014191426.tif 000004
【図３】
2014191426.tif 000005
【図４】
2014191426.tif 000006
【図５】
2014191426.tif 000007
【図６】
2014191426.tif 000008
【図７】
2014191426.tif 000009
【図８】
2014191426.tif 000010
【図９】
2014191426.tif 000011
【図１０】
2014191426.tif 000012
【図１１】
2014191426.tif 000013
【図１２】
2014191426.tif 000014
【図１３】
2014191426.tif 000015