(57)【要約】  正当な利用者の利便性を阻害せずに精度高くリスト型攻撃を検知することを目的として、取得部（１５ａ）が、複数のＷｅｂサイト（２０）へのログイン試行に使用されたアカウントの情報を取得し、分析部（１５ｂ）が、取得部（１５ａ）が取得したアカウントのうち、所定の期間に異なるＷｅｂサイト（２０）へのログイン試行に共通して使用された各アカウントの使用の度合いを算出し、該使用の度合いが所定のしきい値を超えた場合に、該アカウントが使用されたログイン試行を攻撃と判定し、検知部（１５ｃ）が、分析部（１５ｂ）が攻撃と判定したログイン試行に使用されたアカウントと同一のアカウントを使用したＷｅｂサイト（２０）へのログイン試行を攻撃として検知する。
2017208969.tif 000002
【特許請求の範囲】
【請求項１】
複数のサイトへのログイン試行に使用されたアカウントの情報を取得する取得部と、
前記取得部が取得したアカウントのうち、所定の期間に異なる前記サイトへのログイン試行に共通して使用された各アカウントの使用の度合いを算出し、該使用の度合いが所定のしきい値を超えた場合に、該アカウントが使用されたログイン試行を攻撃と判定する分析部と、
前記分析部により攻撃と判定されたログイン試行に使用されたアカウントと同一のアカウントを使用したサイトへのログイン試行を攻撃として検知する検知部と、
を備えることを特徴とする検知装置。
【請求項２】
前記分析部は、前記各アカウントの使用の度合いを、前記取得部がアカウント情報の取得の対象とした全サイト数に対する該各アカウントを使用してログイン試行されたサイト数の割合として算出することを特徴とする請求項１に記載の検知装置。
【請求項３】
さらに、前記分析部は、前記攻撃と判定されたログイン試行を行った端末から所定の期間に行われたログイン試行に使用された他のアカウントについて、前記使用の度合いを算出することを特徴とする請求項１に記載の検知装置。
【請求項４】
さらに、前記取得部は、攻撃に使用される蓋然性が高いアカウントの情報を取得し、前記分析部は、算出した該アカウントの使用の度合いに対して所定の重み付けを行うことを特徴とする請求項１に記載の検知装置。
【請求項５】
検知装置で実行される検知方法であって、
複数のサイトへのログイン試行に使用されたアカウントの情報を取得する取得工程と、
前記取得工程において取得されたアカウントのうち、所定の期間に異なる前記サイトへのログイン試行に共通して使用された各アカウントの使用の度合いを算出し、該使用の度合いが所定のしきい値を超えた場合に、該アカウントが使用されたログイン試行を攻撃と判定する分析工程と、
前記分析工程において攻撃と判定されたログイン試行に使用されたアカウントと同一のアカウントを使用したサイトへのログイン試行を攻撃として検知する検知工程と、
を含んだことを特徴とする検知方法。
【請求項６】
利用者が使用する端末と複数のサーバと検知装置とを備え、該サーバ上に構築された各サイトが、前記端末によるログイン試行に使用されたアカウントの認証を行い、該認証が成功した場合に、該アカウントによるログインを許可する検知システムにおいて、
前記検知装置は、
複数の前記サイトへのログイン試行に使用されたアカウントの情報を取得する取得部と、
前記取得部が取得したアカウントのうち、所定の期間に異なる前記サイトへのログイン試行に共通して使用された各アカウントの使用の度合いを算出し、該使用の度合いが所定のしきい値を超えた場合に、該アカウントが使用されたログイン試行を攻撃と判定する分析部と、
前記分析部により攻撃と判定されたログイン試行に使用されたアカウントと同一のアカウントを使用したサイトへのログイン試行を攻撃として検知して、該サイトに対応する前記サーバに通知する検知部と、を備え、
前記サーバは、通知されたログイン試行のアカウントを防御する防御部を備える、
ことを特徴とする検知システム。
【請求項７】
複数のサイトへのログイン試行に使用されたアカウントの情報を取得する取得ステップと、
前記取得ステップにおいて取得されたアカウントのうち、所定の期間に異なる前記サイトへのログイン試行に共通して使用された各アカウントの使用の度合いを算出し、該使用の度合いが所定のしきい値を超えた場合に、該アカウントが使用されたログイン試行を攻撃と判定する分析ステップと、
前記分析ステップにおいて攻撃と判定されたログイン試行に使用されたアカウントと同一のアカウントを使用したサイトへのログイン試行を攻撃として検知する検知ステップと、
をコンピュータに実行させるための検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、検知装置、検知方法、検知システム、および検知プログラムに関する。
【背景技術】
【０００２】
一般に、インターネット上のサービスには、アカウント名およびパスワードを用いたアカウント認証が用いられる。すなわち、予め登録されたアカウント名およびパスワードを用いて認証された利用者に対してサービスが提供される。【０００３】
ここで、利用者の多くは、複数のサービスに共通のアカウント名およびパスワードを登録して利用している。このような背景から、近年、登録されたアカウント名およびパスワードのリストを不正に取得した攻撃者が、他の様々なサイトにリストを用いてログイン試行を繰り返して不正にログインする、いわゆるリスト型攻撃が多発している。【０００４】
従来、このようなリスト型攻撃に対して、一定時間内における認証失敗数が一定値を超えた場合に、攻撃として検知する手法が知られている（非特許文献１参照）。あるいは、過去にログインに成功した端末の特徴と比較することにより、攻撃を検知する手法も知られている（非特許文献２参照）。
【先行技術文献】
【非特許文献】
【０００５】
【非特許文献１】「リスト型アカウントハッキングによる不正ログインへの対応方策について」、[online]、２０１３年１２月、総務省、［２０１６年４月２７日検索]、インターネット＜URL:http://www.soumu.go.jp/main_content/000265403.pdf＞
【非特許文献２】「オンライン本人認証方式の実態調査  報告書」、[online]、２０１４年８月、ＩＰＡ、［２０１６年４月２７日検索]、インターネット＜URL:https://www.ipa.go.jp/files/000040778.pdf＞
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、従来の技術では、攻撃者がログイン試行を複数の異なるＩＰアドレスから行ったり頻度を低下させて行ったりすれば、一定時間内における認証失敗数によって攻撃者のログイン試行を攻撃として検知することはできない。また、過去にログインに成功した端末の特徴との比較を行う手法によれば、正当な利用者が異なる端末や異なる環境からログイン試行した場合にも、正当な利用者のログイン試行を攻撃と誤検知してしまう場合があり、利用者の利便性を阻害している。【０００７】
本発明は、上記を鑑み、正当な利用者の利便性を阻害せずに精度高くリスト型攻撃を検知することを目的とする。
【課題を解決するための手段】
【０００８】
上述した課題を解決し、目的を達成するために、本発明に係る検知装置は、複数のサイトへのログイン試行に使用されたアカウントの情報を取得する取得部と、前記取得部が取得したアカウントのうち、所定の期間に異なる前記サイトへのログイン試行に共通して使用された各アカウントの使用の度合いを算出し、該使用の度合いが所定のしきい値を超えた場合に、該アカウントが使用されたログイン試行を攻撃と判定する分析部と、前記分析部により攻撃と判定されたログイン試行に使用されたアカウントと同一のアカウントを使用したサイトへのログイン試行を攻撃として検知する検知部と、を備えることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、正当な利用者の利便性を阻害せずに精度高くリスト型攻撃を検知することができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、本発明の一実施形態に係る検知装置が対象とする検知システムの概略構成を示す模式図である。
【図２】図２は、本実施形態の検知装置の概略構成を示す模式図である。
【図３】図３は、アカウント情報のデータ構成を例示する図である。
【図４】図４は、アカウント分析情報のデータ構成を例示する図である。
【図５】図５は、分析部の処理を説明するための説明図である。
【図６】図６は、アカウント分析情報の他のデータ構成例を示す図である。
【図７】図７は、検知結果を例示する図である。
【図８】図８は、本実施形態の検知処理手順を示すフローチャートである。
【図９】図９は、検知プログラムを実行するコンピュータを例示する図である。
【発明を実施するための形態】
【００１１】
以下、図面を参照して、本発明の一実施形態を詳細に説明する。なお、この実施形態により本発明が限定されるものではない。また、図面の記載において、同一部分には同一の符号を付して示している。
【００１２】
［検知システムの構成］
図１は、本実施形態に係る検知装置１０をふくむ検知システム１の概略構成を例示する図である。図１に例示するように、検知装置１０による検知処理の対象とするシステムは、利用者が使用する端末Ｕと、複数のＷｅｂサーバｓとが、インターネット等のネットワークに接続されて構成される。各Ｗｅｂサーバｓ上には、１または複数のＷｅｂサイトが構築されている。
【００１３】
端末Ｕは、各Ｗｅｂサイトにアカウントを使用してログイン試行を行う。各Ｗｅｂサーバｓは、ワークステーション等の汎用のコンピュータで実現され、各Ｗｅｂサイトに対応するアプリケーションを実行する。また、各Ｗｅｂサイトは、端末Ｕのログイン試行に使用されたアカウントの認証を行い、認証が成功した場合に、このアカウントによるアプリケーションへのログインを許可する。
【００１４】
本実施形態の検知装置１０は、各ＷｅｂサイトとＬＡＮ（Local  Area  Network）やインターネットなどの電気通信回線を介して接続される。検知装置１０は、後述する検知処理を実行し、各Ｗｅｂサイトにおけるログイン試行の履歴情報を表すログイン履歴を参照し、一定期間に多数のＷｅｂサイト２０に対して共通のアカウントを用いて行われたログイン試行を攻撃として検知する。
【００１５】
［検知装置の構成］
図２は、本実施形態に係る検知装置の概略構成を示す模式図である。図２に例示するように、検知装置１０は、ワークステーションやパソコン等の汎用コンピュータで実現され、入力部１１、出力部１２、通信制御部１３、記憶部１４、および制御部１５を備える。
【００１６】
入力部１１は、キーボードやマウス等の入力デバイスを用いて実現され、操作者による入力操作に対応して、制御部１５に対して処理開始などの各種指示情報を入力する。出力部１２は、液晶ディスプレイなどの表示装置、プリンター等の印刷装置、情報通信装置等によって実現される。
【００１７】
通信制御部１３は、ＮＩＣ（Network  Interface  Card）等で実現され、ＬＡＮやインターネットなどの電気通信回線を介したＷｅｂサーバｓ等の外部の装置と制御部１５との通信を制御する。
【００１８】
記憶部１４は、ＲＡＭ（Random  Access  Memory）、フラッシュメモリ（Flash  Memory）等の半導体メモリ素子、または、ハードディスク、光ディスク等の記憶装置によって実現される。なお、記憶部１４は、通信制御部１３を介して制御部１５と通信する構成でもよい。記憶部１４には、アカウント情報１４ａおよびアカウント分析情報１４ｂが格納されている。アカウント情報１４ａおよびアカウント分析情報１４ｂは、後述する検知処理において生成され、記憶部１４に格納される。
【００１９】
図３は、アカウント情報１４ａのデータ構成を例示する図である。図３に例示するように、アカウント情報１４ａには、時刻、アカウント名およびＷｅｂサイト名が含まれる。
【００２０】
ここで、アカウント情報１４ａは、後述する取得部１５ａの処理において生成される。時刻とは、各Ｗｅｂサイト２０への該当のアカウントを使用したログイン試行の時刻を意味する。アカウント名とは、ログイン試行に使用されたアカウントを識別する名称を意味する。Ｗｅｂサイト名とは、ログイン試行の対象のＷｅｂサイト２０を識別する名称を意味する。図３（５行目）には、例えば、２０１５年１月３日０３時０２分００秒に、Ｗｅｂサイト「Ａ．ｃｏｍ」にアカウント「ｕｓｅｒ３」を使用したログイン試行があったことが示されている。
【００２１】
図４は、アカウント分析情報１４ｂのデータ構成を例示する図である。図４に例示するように、アカウント分析情報１４ｂには、アカウント名、最終分析時刻、期間（Ｄ）、スコア（Ｓ）および攻撃判定が含まれる。
【００２２】
ここで、アカウント分析情報１４ｂは、後述する分析部１５ｂの処理において生成される。最終分析時刻とは、分析部１５ｂによる直近の処理の時刻を意味する。期間（Ｄ）とは、後述する分析部１５ｂによる処理の対象とした所定の期間を意味する。スコア（Ｓ）は、後述するが、アカウント名に対応するアカウントの使用の度合いすなわちアカウントの共起性を表す。攻撃判定とは、後述する分析部１５ｂにより攻撃と判定されたか否かを意味する。図４（１行目）には、例えば、分析部１５ｂが、２０１５年１月４日００時００分００秒に、１週間でのアカウント「ｕｓｅｒ１」のスコアＳを０．７５と算出し、攻撃と判定した（攻撃判定＝Ｙｅｓ）分析結果が示されている。
【００２３】
図２の説明に戻る。制御部１５は、ＣＰＵ（Central  Processing  Unit）等を用いて実現され、メモリに記憶された処理プログラムを実行する。これにより、制御部１５は、図２に例示するように、取得部１５ａ、分析部１５ｂおよび検知部１５ｃとして機能して、後述する検知処理を実行する。
【００２４】
取得部１５ａは、複数のＷｅｂサイト２０（ＷｅｂサイトＡ２０ａ、ＷｅｂサイトＢ２０ｂ，ＷｅｂサイトＣ２０ｃ、…）へのログイン試行に使用されたアカウントの情報を取得する。具体的に、取得部１５ａは、各Ｗｅｂサイト２０へのログイン試行の履歴情報を参照し、不審なログイン試行に使用されたアカウントの情報を抽出してアカウント情報１４ａを生成する。すなわち、取得部１５ａは、各Ｗｅｂサイト２０のログイン履歴を参照し、不審なログイン試行に使用されたアカウントについて、時刻、アカウント名およびＷｅｂサイト名を抽出してアカウント情報１４ａを生成し、記憶部１４に格納する。
【００２５】
ここで、不審なログイン試行には、例えば、当該Ｗｅｂサイト２０に登録されていないアカウントへのログイン試行が該当する。あるいは、あるＩＰアドレスから大量のアカウントへのログイン試行かつ認証失敗のケースが不審なログイン試行に該当する。または、あるＩＰアドレスから少量のカウントへのログイン試行かつ認証失敗があり、その後所定の時間が経過しても該当のアカウントへのログイン試行および認証成功がないケースが不審なログイン試行に該当する。その他、Ｗｅｂサイトの管理者等が不審と判断したログイン試行が不審なログイン試行に該当する。
【００２６】
分析部１５ｂは、取得部１５ａが取得したアカウントのうち、所定の期間に異なるＷｅｂサイト２０へのログイン試行に共通して使用された各アカウントの使用の度合いを算出する。また、分析部１５ｂは、該使用の度合いが所定のしきい値を超えた場合に、該アカウントが使用されたログイン試行を攻撃と判定する。
【００２７】
具体的に、分析部１５ｂは、アカウント情報１４ａの各アカウントについて、所定の期間Ｄにおいて、複数のＷｅｂサイト２０へのログイン試行に共通して使用された度合いを意味する共起性を算出する。
【００２８】
各アカウントの共起性は、例えば、取得部１５ａがアカウント情報の取得の対象としたＷｅｂサイト２０上の全サイト数Ｍ（Ｍ＞１）に対する、各アカウントを使用してログイン試行されたＷｅｂサイト数Ｎの割合として算出される。すなわち、共起性を表すスコアＳは、次式（１）で算出される。
【００２９】
Ｓ＝Ｎ／Ｍ  …（１）
【００３０】
次に、分析部１５ｂは、算出したスコアＳが所定のしきい値Ｔを超えた場合に、このアカウントが使用されたログイン試行を攻撃と判定する（攻撃判定＝Ｙｅｓ）。また、分析部１５ｂは、スコアＳがしきい値Ｔを超えない場合には、このアカウントが使用されたログイン試行が正当であり攻撃ではないと判定する（攻撃判定＝Ｎｏ）。そして、分析部１５ｂは、各アカウントについて、アカウント名、最終分析時刻、期間（Ｄ）、スコア（Ｓ）および攻撃判定の情報を用いて、アカウント分析情報１４ｂを生成し、記憶部１４に格納する。
【００３１】
なお、図４に例示したアカウント分析情報１４ｂにおいて、スコアＳの算出の対象とした所定の期間Ｄは１週間、スコアＳの攻撃判定のしきい値Ｔは０．５、また全サイト数Ｍ＝４とされている。そして、例えば、アカウント「ｕｓｅｒ１」から「Ａ．ｃｏｍ」、「Ｂ．ｃｏｍ」および「Ｃ．ｃｏｍ」の３サイトに対してログイン試行されている（Ｎ＝３）ことから、アカウント「ｕｓｅｒ１」のスコアＳは０．７５と算出され、攻撃と判定されている。
【００３２】
さらに、分析部１５ｂは、攻撃と判定したログイン試行を行った端末Ｕから所定の期間に行われたログイン試行に使用された他のアカウントについて、共起性を表すスコアＳを算出する。
【００３３】
具体的に、図５を参照して説明する。例えば、分析部１５ｂは、図５に例示するように、あるＷｅｂサイトＡのログイン履歴を参照して、先に攻撃と判定した、アカウント「ｕｓｅｒ１」を使用してログイン試行を行った端末ＵのＩＰアドレス「ｉｐ４」を特定する。
【００３４】
そして、分析部１５ｂは、所定の期間Ｄ２にＩＰアドレス「ｉｐ４」から行われたログイン試行に使用された、「ｕｓｅｒ１」以外のアカウント「ｕｓｅｒ４」を抽出し、アカウント情報１４ａに追加する。この場合に、分析部１５ｂは、上述した処理と同様に、アカウント「ｕｓｅｒ４」についても共起性を表すスコアＳを算出し、アカウント分析情報１４ｂに追加する。これにより、分析部１５ｂは、不審なアカウントの情報を効率よく収集でき、攻撃を見逃す恐れが低減する。
【００３５】
なお、先に攻撃と判定したログイン試行を行った端末Ｕの特定は、ＩＰアドレスに限定されず、例えば、ＵＡ（ユーザエージェント）等を用いてもよい。
【００３６】
さらに、取得部１５ａが、攻撃に使用される蓋然性が高いアカウントの情報を取得し、分析部１５ｂが、算出した該アカウントのスコアＳに対して所定の重み付けを行ってもよい。具体的に、まず、取得部１５ａは、攻撃に使用される蓋然性が高いアカウントを意味するリークアカウントの情報を取得して、アカウント情報１４ａに追加する。
【００３７】
ここで、リークアカウントの情報は、例えば、漏洩アカウントを監視して取得する。攻撃者は攻撃等で得られた正当な利用者のアカウントに関する情報を、ＰａｓｔｅｂｉｎやＧｉｓｔ等のメッセージ投稿サイトに公開する場合がある。そこで、このような投稿サイト等を監視することによって、漏洩アカウントの情報を取得することができる（参照文献：http://japan.cnet.com/news/service/35016862/）。
【００３８】
投稿サイトの監視手法として、例えば、対象の投稿サイトを定期的にクロールして、ユーザアカウントと思われるＥメールアドレスやパスワードのハッシュ値が大量に存在しないかをチェックする（参照文献：http://raidersec.blogspot.jp/2013/03/introducing-dumpmon-twitter-bot-that.html）。
【００３９】
あるいは、リークアカウントの情報は、Ｔｗｉｔｔｅｒ等の公開されたＳＮＳサイトのユーザの挙動を外部から観測することにより取得する。アカウントがリークしユーザの挙動が大きく変化した場合に、そのアカウントの情報を取得する。アカウントがリークしたか否かは、例えば、メッセージの間隔、言語、メッセージに含まれるＵＲＬ等を用いて検知することができる（参照文献：COMPA：Detecting  Compromised  Accounts  on  Social  Networks，http://www.internetsociety.org/doc/compa-detecting-compromised-accounts-social-networks）。
【００４０】
アカウント情報１４ａにリークアカウントの情報が追加された場合に、分析部１５ｂは、上述した処理と同様に、追加されたリークアカウントについても、共起性を表すスコアＳを算出し、アカウント分析情報１４ｂに追加する。さらに、リークアカウントは漏洩したアカウントであり、攻撃に利用されやすい特性から、分析部１５ｂは、算出したスコアＳに所定の重みＷで重み付けを行う。
【００４１】
この場合、アカウント分析情報１４ｂに、各アカウントに対するスコアＳの重みＷの項目が追加される。また、分析部１５ｂは、重みＷ×スコアＳが攻撃判定のしきい値Ｔを超えた場合に、このアカウントが使用されたログイン試行を攻撃と判定する（攻撃判定＝Ｙｅｓ）。また、分析部１５ｂは、重みＷ×スコアＳがしきい値Ｔを超えない場合に、このアカウントが使用されたログイン試行が正当であり攻撃ではないと判定する（攻撃判定＝Ｎｏ）。これにより、攻撃の早い段階でアカウントの共起性が低くても、攻撃と判定される。
【００４２】
図６は、リークアカウントの情報がアカウント情報１４ａに追加された場合に生成されるアカウント分析情報１４ｂを例示する図である。図６に示す例では、リークアカウント「ｕｓｅｒ２」が追加され、リークアカウントについての重みＷ＝４．０、その他のアカウントについての重みＷ＝１．０とされている。リークアカウント「ｕｓｅｒ２」について、スコアＳは０．２５でありしきい値Ｔ＝０．５より小さいものの、重みＷ＝４で重み付けを行った結果、重みＷ×スコアＳがしきい値Ｔを超えることから、攻撃と判定されている。
【００４３】
図２の説明に戻る。検知部１５ｃは、分析部１５ｂが攻撃と判定したログイン試行に使用されたアカウントと同一のアカウントを使用したＷｅｂサイト２０へのログイン試行を攻撃として検知する。具体的に、検知部１５ｃは、検知対象のＷｅｂサイト２０のログイン履歴を参照し、アカウント分析情報１４ｂで攻撃と判定された（攻撃判定＝Ｙｅｓ）アカウントを使用したログイン試行を攻撃として検知する。また、検知部１５ｃは、検知結果を出力部１２に出力する。
【００４４】
図７は、検知部１５ｃによる検知結果を例示する図である。検知部１５ｃは、アカウント分析情報１４ｂを参照し、攻撃と判定された（攻撃判定＝Ｙｅｓ）アカウントを特定する。例えば、図５に例示したアカウント分析情報１４ｂを参照して、アカウント「ｕｓｅｒ１」およびアカウント「ｕｓｅｒ４」を特定する。そして、検知部１５ｃは、図７に例示するように、検知対象のＷｅｂサイト２０のログイン履歴について、アカウント「ｕｓｅｒ１」およびアカウント「ｕｓｅｒ４」が使用されたログイン試行を攻撃と検知する。なお、図７に示す例では、攻撃と検知された場合に検知結果は「Ａｔｔａｃｋ」、攻撃ではないと検知された場合に検知結果は「Ｎｏｒｍａｌ」とされている。
【００４５】
［検知処理］
次に、図８を参照して、本実施形態に係る検知装置１０による検知処理について説明する。図８は、検知処理手順を示すフローチャートである。図８のフローチャートは、例えば、処理の開始を指示する操作入力があったタイミングで開始される。
【００４６】
取得部１５ａは、各Ｗｅｂサイト２０のログイン履歴を参照し、不審なログイン試行に使用されたアカウントの情報を取得してアカウント情報１４ａを生成し、記憶部１４に保存する（ステップＳ１）。
【００４７】
分析部１５ｂは、一定期間Ｄに取得されたアカウント情報１４ａの各アカウントについて、異なるＷｅｂサイト２０に共通して使用された度合いを意味する共起性を算出し、このログイン試行が攻撃か否かを判定し、アカウント分析情報１４ｂに保存する（ステップＳ２）。
【００４８】
検知部１５ｃは、アカウント分析情報１４ｂの攻撃と判定されたアカウントと、各Ｗｅｂサイト２０のログイン履歴とを照合し、攻撃と判定されたアカウントと一致したアカウントを用いたログイン試行を攻撃と検知する（ステップＳ３）。
【００４９】
また、分析部１５ｂは、各Ｗｅｂサイト２０のログイン履歴を参照して、攻撃と判定したログイン試行が行われた端末のＩＰアドレスまたはＵＡを特定する。そして、分析部１５ｂは、特定したＩＰアドレスまたはＵＡから、一定期間Ｄ２に他の未検知のアカウントを使用したログイン試行の有無を確認する（ステップＳ４）。
【００５０】
特定したＩＰアドレスまたはＵＡから他の未検知のアカウントを使用したログイン試行があった場合に（ステップＳ４，Ｙｅｓ）、分析部１５ｂは、そのログイン試行のアカウントをアカウント情報１４ａに追加して（ステップＳ５）、ステップＳ２に処理を戻す。
【００５１】
一方、特定したＩＰアドレスまたはＵＡから他の未検知のアカウントを使用したログイン試行がなかった場合に（ステップＳ４，Ｎｏ）、分析部１５ｂは、所定の一定期間待機し（ステップＳ６）、処理終了を指示するユーザ入力がなければ（ステップＳ７，Ｎｏ）、ステップＳ１に処理を戻す。また、分析部１５ｂは、処理終了を指示するユーザ入力があった場合（ステップＳ７，Ｙｅｓ）に、一連の検知処理を終了させる。
【００５２】
以上、説明したように、本実施形態の検知装置１０は、取得部１５ａが、複数のＷｅｂサイト２０へのログイン試行に使用されたアカウントの情報を取得する。また、分析部１５ｂが、取得部１５ａが取得したアカウントのうち、所定の期間に異なるＷｅｂサイト２０へのログイン試行に共通して使用された各アカウントの使用の度合いを意味する共起性を算出し、該共起性が所定のしきい値を超えた場合に、該アカウントが使用されたログイン試行を攻撃と判定する。また、検知部１５ｃが、分析部１５ｂが攻撃と判定したログイン試行に使用されたアカウントと同一のアカウントを使用したＷｅｂサイト２０へのログイン試行を攻撃として検知する。
【００５３】
例えば、分析部１５ｂは、各アカウントの共起性を、取得部１５ａがアカウント情報の取得の対象としたＷｅｂサイト２０上の全サイト数Ｍに対する、各アカウントを使用してログイン試行されたＷｅｂサイト数Ｎの割合として算出する。
【００５４】
これにより、検知装置１０は、ログイン試行の頻度ではなく、ログイン試行に利用されるアカウントに着目することで、攻撃者がログイン試行を複数の異なるＩＰアドレスから行ったり頻度を低下させて行ったりしても、有効にリスト型攻撃を検知できる。また、正当な利用者が異なる端末や異なる環境からログイン試行した場合にも、攻撃と誤検知することを回避できる。このように、検知装置１０は、正当な利用者の利便性を阻害せずに精度高くリスト型攻撃を検知することができる。
【００５５】
また、検知装置１０は、分析部１５ｂは、攻撃と判定したログイン試行を行った端末Ｕから所定の期間に行われたログイン試行に使用された他のアカウントについても、共起性を算出する。これにより、検知装置１０は、不審なアカウントの情報を効率よく収集でき、攻撃を見逃す恐れを低減させることができる。
【００５６】
また、取得部１５ａが、攻撃に使用される蓋然性が高いアカウントの情報を取得し、分析部１５ｂが、算出した該アカウントのスコアＳに対して所定の重み付けを行う。これにより、攻撃の早い段階でアカウントの共起性が低くても、リスト型攻撃を検知することができる。
【００５７】
また、検知部１５ｃは、攻撃と検知したログイン試行のアカウントをＷｅｂサイト２０に対応するＷｅｂサーバｓに通知してもよい。この場合に、Ｗｅｂサーバｓは、通知されたログイン試行のアカウントを防御する防御部を備えて構成することができる。例えば、防御部は、攻撃と検知されたログイン試行のアカウントを一時的にロックしてもよい。あるいは、防御部は、このアカウントに対して２段階認証等の追加認証を行ってもよい。
【００５８】
［プログラム］
上記実施形態に係る検知装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成することもできる。一実施形態として、検知装置１０は、パッケージソフトウェアやオンラインソフトウェアとして上記の検知処理を実行する検知プログラムを所望のコンピュータにインストールさせることによって実装できる。例えば、上記の検知プログラムを情報処理装置に実行させることにより、情報処理装置を検知装置１０として機能させることができる。ここで言う情報処理装置には、デスクトップ型またはノート型のパーソナルコンピュータが含まれる。また、その他にも、情報処理装置にはスマートフォン、携帯電話機やＰＨＳ（Personal  Handyphone  System）などの移動体通信端末、さらには、ＰＤＡ（Personal  Digital  Assistants）などのスレート端末などがその範疇に含まれる。また、ユーザが使用する端末装置をクライアントとし、当該クライアントに上記の検知処理に関するサービスを提供するサーバ装置として実装することもできる。例えば、検知装置１０は、Ｗｅｂサイトのログイン履歴を入力とし、検知結果を出力する検知処理サービスを提供するサーバ装置として実装される。この場合、検知装置１０は、Ｗｅｂサーバとして実装することとしてもよいし、アウトソーシングによって上記の検知処理に関するサービスを提供するクラウドとして実装することとしてもかまわない。以下に、検知装置１０と同様の機能を実現する検知プログラムを実行するコンピュータの一例を説明する。
【００５９】
図９に示すように、検知プログラムを実行するコンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００６０】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０３１に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１０４１に接続される。ディスクドライブ１０４１には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１０５１およびキーボード１０５２が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１０６１が接続される。
【００６１】
ここで、図９に示すように、ハードディスクドライブ１０３１は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した各テーブルは、例えばハードディスクドライブ１０３１やメモリ１０１０に記憶される。
【００６２】
また、検知プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュール１０９３として、ハードディスクドライブ１０３１に記憶される。具体的には、上記実施形態で説明した検知装置が実行する各処理が記述されたプログラムモジュール１０９３が、ハードディスクドライブ１０３１に記憶される。
【００６３】
また、検知プログラムによる情報処理に用いられるデータは、プログラムデータ１０９４として、例えば、ハードディスクドライブ１０３１に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０３１に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００６４】
なお、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０３１に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１０４１等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、検知プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮやＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【００６５】
以上、本発明者によってなされた発明を適用した実施形態について説明したが、本実施形態による本発明の開示の一部をなす記述および図面により本発明は限定されることはない。すなわち、本実施形態に基づいて当業者等によりなされる他の実施形態、実施例および運用技術等は全て本発明の範疇に含まれる。
【符号の説明】
【００６６】
１  検知システム
１０  検知装置
１１  入力部
１２  出力部
１３  通信制御部
１４  記憶部
１４ａ  アカウント情報
１４ｂ  アカウント分析情報
１５  制御部
１５ａ  取得部
１５ｂ  分析部
１５ｃ  検知部
２０  Ｗｅｂサイト
ｓ  Ｗｅｂサーバ
Ｕ  端末
【図１】
2017208969.tif 000003
【図２】
2017208969.tif 000004
【図３】
2017208969.tif 000005
【図４】
2017208969.tif 000006
【図５】
2017208969.tif 000007
【図６】
2017208969.tif 000008
【図７】
2017208969.tif 000009
【図８】
2017208969.tif 000010
【図９】
2017208969.tif 000011
【国際調査報告】
2017208969.tif 000012
2017208969.tif 000013
2017208969.tif 000014
2017208969.tif 000015