(57)【要約】      （修正有）【課題】コンピュータ・ネットワークへの不正アクセスを検出するシステム、方法、およびプログラムを提供する。【解決手段】異なるオペレーティング・システム上で動作するコンピュータ・サーバと複数のコンピュータ装置とを有するコンピュータ・ネットワークにおいて、各々のコンピュータ装置は、オペレーティング・システムのレベルでコンピュータ・サーバによって管理されるデータベースを含む。各々のコンピュータ・サーバ上で管理されるコンピュータ装置について識別ファイルのセットを生成し、識別ファイルのセットは、複数のコンピュータ・サーバから中央違反データベースに集められる。コンピュータ装置についてネットワーク・アクセス違反のレベルを判定するために、識別ファイルのセットの各々と情報データベースとの間にリンクが作成される。コンピュータ装置についての違反メッセージが、ネットワーク・アクセス違反のレベルに基づいて生成される。【選択図】図１
2006114044.tif 000002
【特許請求の範囲】
【請求項１】
異なるオペレーティング・システムで動作する複数のコンピュータ・サーバと、オペレーティング・システムのレベルでコンピュータ・サーバによって管理されるコンピュータ装置と、ユーザおよびコンピュータ装置と関連する情報を含む情報データベースを有するコンピュータ・ネットワークに対する不正アクセスを検出するためのシステムであって、
前記コンピュータ・サーバによって管理されるコンピュータ装置についての識別ファイルのセットを、各々のコンピュータ・サーバ上で生成するための手段と、
前記識別ファイルのセットを前記コンピュータ・サーバから中央違反データベースに集めるための手段と、
前記識別ファイルのセットの各々と前記情報データベースとの間にリンクを作成する手段と、
作成された前記リンクを用いて、コンピュータ装置についてネットワーク・アクセス違反のレベルを判定するための手段と、
ネットワーク・アクセス違反のレベルに基づいて、コンピュータ装置についての違反メッセージを生成するための手段と、
を含むシステム。
【請求項２】
前記識別ファイルのセットは、ログオン試行情報を含むファイルと、各々のコンピュータ装置のコンピュータ装置名およびユーザＩＤを含むファイルとを少なくとも有する、請求項１に記載のシステム。
【請求項３】
前記識別ファイルのセットは、空テキスト・ファイルをさらに有する、請求項２に記載のシステム。
【請求項４】
前記集めるための手段は、前記コンピュータ・サーバから前記識別ファイルのセットを受信するための手段と、該識別ファイルのセットを、各々のセットに関連するオペレーティング・システムに応じた前記中央違反データベースの記憶領域に格納するための手段とを含む、請求項１乃至３のいずれかに記載のシステム。
【請求項５】
前記リンクを作成するための手段は、前記複数のコンピュータ・サーバからすべてのユーザＩＤの固有ユーザ・テーブルを作成するための手段を含む、請求項１乃至４のいずれかに記載のシステム。
【請求項６】
前記リンクを作成するための手段は、前記ユーザ・テーブルの各ユーザＩＤと、前記情報データベース内にあるユーザＩＤに関連する情報との間にリンクを作成するための手段を含む、請求項５に記載のシステム。
【請求項７】
前記リンクを作成するための手段は、各々のコンピュータ装置名と、前記情報データベース内にある各々のコンピュータ装置名に関連する情報との間にリンクを作成するための手段をさらに含む、請求項６に記載のシステム。
【請求項８】
前記判定するための手段は、各々のユーザＩＤおよび各々のコンピュータ装置について前記ネットワークにアクセスする権限のレベルを検査するための手段を含む、請求項７に記載のシステム。
【請求項９】
ユーザＩＤおよびコンピュータ装置についての権限のレベルをクロスチェックしてネットワーク違反のレベルを判定するための手段をさらに含む、請求項８に記載のシステム。
【請求項１０】
前記違反メッセージを生成するための手段は、Ｅメール・メッセージを送信するための手段を含む、請求項１乃至９のいずれかに記載のシステム。
【請求項１１】
前記情報データベースは、権限のないユーザＩＤのリストと、権限のないコンピュータ装置のリストと、要注意リストとを含む、請求項１乃至１０のいずれかに記載のシステム。
【請求項１２】
前記情報データベースを更新するための手段をさらに含む、請求項１乃至１１のいずれかに記載のシステム。
【請求項１３】
異なるオペレーティング・システム上で動作する複数のコンピュータ・サーバと、オペレーティング・システムのレベルでコンピュータ・サーバによって管理されるコンピュータ装置と、ユーザおよびコンピュータ装置と関連する情報を含む情報データベースを有するコンピュータ・ネットワークに対するコンピュータ装置の不正アクセスを検出するための方法であって、
前記コンピュータ・サーバによって管理されるコンピュータ装置についての識別ファイルのセットを、各々のコンピュータ・サーバ上で生成するステップと、
前記識別ファイルのセットを前記複数のコンピュータ・サーバから中央違反データベースに集めるステップと、
前記識別ファイルのセットの各々と前記情報データベースとの間にリンクを作成するステップと、
作成された前記リンクを用いて、コンピュータ装置についてネットワーク・アクセス違反のレベルを判定するステップと、
ネットワーク・アクセス違反のレベルに基づいて、コンピュータ装置についての違反メッセージを生成するステップと、
を含む方法。
【請求項１４】
前記識別ファイルのセットは、ログオン試行情報を含むファイルと、各々のコンピュータ装置のコンピュータ装置名およびユーザＩＤを含むファイルとを少なくとも有する、請求項１３に記載の方法。
【請求項１５】
前記識別ファイルのセットは、空テキスト・ファイルをさらに有する、請求項１４に記載の方法。
【請求項１６】
前記集めるステップは、前記コンピュータ・サーバから前記識別ファイルのセットを受信するステップと、該識別ファイルのセットを、各々のセットに関連するオペレーティング・システムに応じた前記中央違反データベースの記憶領域に格納するステップとを含む、請求項１３乃至１５のいずれかに記載の方法。
【請求項１７】
前記リンクを作成するステップは、前記複数のコンピュータ・サーバからすべてのユーザＩＤの固有ユーザ・テーブルを作成するステップを含む、請求項１３乃至１６のいずれかに記載の方法。
【請求項１８】
前記リンクを作成するステップは、前記ユーザ・テーブルの各ユーザＩＤと、前記情報データベース内にあるユーザＩＤに関連する情報との間にリンクを作成するステップを含む、請求項１７に記載の方法。
【請求項１９】
前記リンクを作成するステップは、各々のコンピュータ装置名と、前記情報データベース内にある各々のコンピュータ装置名に関連する情報との間にリンクを作成するステップを含む、請求項１８に記載の方法。
【請求項２０】
前記判定するステップは、各々のユーザＩＤおよび各々のコンピュータ装置について前記ネットワークにアクセスする権限のレベルを検査するステップを含む、請求項１９に記載の方法。
【請求項２１】
各々のユーザＩＤおよび各々のコンピュータ装置についての権限の前記レベルをクロスチェックしてネットワーク違反のレベルを判定するステップをさらに含む、請求項２０に記載の方法。
【請求項２２】
前記違反メッセージを生成するステップは、Ｅメール・メッセージを送信するステップを含む、請求項１３乃至２１のいずれかに記載の方法。
【請求項２３】
前記情報データベースは、権限のないユーザＩＤのリストと、権限のないコンピュータ装置のリストと、要注意リストとを含む、請求項１３乃至２２のいずれかに記載の方法。
【請求項２４】
前記情報データベースを更新するステップをさらに含む、請求項１３乃至２３のいずれかに記載の方法。
【請求項２５】
請求項１３乃至請求項２４のいずれかに記載の方法をコンピュータ装置に実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、一般に、コンピュータ・システムのセキュリティに関する。より具体的には、本発明は、コンピュータ・システムにログオンしてコンピュータ・ネットワークにアクセスしようとする不正試行を検出するシステムおよび方法に関する。
【背景技術】
【０００２】
今日のネットワーク企業の大部分において、セキュリティは、ネットワークの多くのコンピュータ・システムに対する無権限アクセスを防止するための大きな懸案事項となった。１つの営業所内のコンピュータ・システムは、典型的には、ローカル・エリア・ネットワーク（ＬＡＮ）を用いて接続されており、ネットワーク管理者は、ネットワークを維持し、適切に稼動させることに対して責任を負っている。ローカル・エリア・ネットワーク（ＬＡＮ）が増え続け、ＬＡＮに接続されたパーソナル・コンピュータ（ＰＣ）の数が急速に増大するに従って、ネットワークのセキュリティは、ネットワーク管理者にとってますます大きな問題となってきている。分散型ＬＡＮを展開する傾向が続くにつれて、企業ネットワークには多数のアクセス・ポイントが構築される。分散型アクセス・ポイントは、適切に制御されない場合には、ネットワークに対する潜在的なセキュリティ・リスクとなる。このようなリスクの中でも、ウイルス攻撃は、ウイルスの極めて急速な拡散によって、すべてのＩＴインフラストラクチャに大きな影響を与える。特定の種類のウイルスの例として、オペレーティング・システムにおけるセキュリティ・ホールを利用し、標準的なＴＣＰ／ＩＰポート１３７、１３９および４４５を通りネットワークを経由してあるシステムから別のシステムに広がる「ワーム」ウイルスが知られている。また、他のリスクとして、ボランティア攻撃（ｖｏｌｕｎｔｅｅｒ  ａｔｔａｃｋ）や（なりすまし（ｓｐｏｏｆｉｎｇ）を利用する）保護されたリソースに対する無権限アクセスなどが存在している。
【０００３】
ログ・ファイルのようなレポート機構を用いて、ユーザの活動を追跡することができる。ログ・ファイルおよび監査情報の使用は、データ・セットの受動的な分析に頼るものであり、受動検知（ｐａｓｓｉｖｅ  ｄｅｔｅｃｔｉｏｎ）として知られている。システム管理者は、システム攻撃またはセキュリティ違反が発生したかどうかを判定するために、オペレーティング・システムのセキュリティ・イベント・ログを詳しく調査する責任がある。本出願人のＴｉｖｏｌｉ  Ｒｉｓｋ  ＭａｎａｇｅｒおよびＧＦＩ  Ｓｏｆｔｗａｒｅ社のＧＦｉ  ＬＡＮｇｕａｒｄ  Ｓ．Ｅ．Ｌ．Ｍのような既知の製品によって、ログを詳しく調べることが可能になる。
【０００４】
Ｔｉｖｏｌｉ  Ｒｉｓｋ  Ｍａｎａｇｅｒは、オペレーティング・システム間相互の可用性（ＯＳ／２（商標）、Ｗｉｎｄｏｗｓ（商標）、Ｌｉｎｕｘ（商標）、ＡＩＸ（商標））を許容するフレームワーク・インフラストラクチャに基づいて、集中化されたコンソールに警報を発する。このソリューションによって、管理者は、様々なセキュリティ警報間の適切な関係性を見つけることができるようになる。しかし、異なるオペレーティング・システム間のＮｅｔＢＩＯＳ不正試行に関する関係性については、十分な検討がされていない。また、かかる異なるオペレーティング・システム間のＮｅｔＢＩＯＳ不正試行に関する関係性は、外部データベースには関連しないものである。
【０００５】
ＧＦｉ  ＬＡＮｇｕａｒｄ  Ｓ．Ｅ．Ｌ．Ｍは、すべてのセキュリティ・イベントを１つの中央データベースに集めて、レポートおよびカスタム・フィルタを作成するセキュリティ・イベント・ログ・モニタである。このソリューションは、１種類のオペレーティング・システム、すなわちＷｉｎｄｏｗｓ（商標）上でのみ動作するので、他のオペレーティング・システムに対する攻撃の可能性が残るという限界がある。
【０００６】
さらに一般的には、既存のソリューションは、管理者が多数の誤った警告メッセージを受信することを放置しているので、メッセージを手動で分析し、真の違反とそうでないものとを区別するのに多くの時間を費やさざるを得ない。
【０００７】
したがって、前述の課題を克服するソリューションが必要となる。本発明は、こうしたソリューションを提供するものである。
【発明の開示】
【発明が解決しようとする課題】
【０００８】
したがって、本発明の主要な目的は、コンピュータ・システムの不正ログオン試行を判定することによって、コンピュータ・システムのセキュリティを改善するためのシステムを提供し、改善する方法を実現することである。具体的には、不正ログオン試行（ｕｎｖａｌｉｄ  ｌｏｇｏｎ  ａｔｔｅｍｐｔ）は、ＴＣＰポート１３７、１３９、および４４５上の）ＷｉｎｄｏｗｓおよびＯＳ／２  ＮｅｔＢＩＯＳ不良ログオン、Ｓａｍｂａリソースにアクセスしている間のＬｉｎｕｘ不良ログオン、およびＡＩＸオペレーティング・システム・ログオンなどが含まれる。
【０００９】
本発明の別の目的は、不正ログオン試行を分析する固有の中央データベースを提供することである。
【００１０】
本発明の別の目的は、オペレーティング・システム違反を管理する中央データベースを提供することである。
【００１１】
本発明のさらなる目的は、企業コンピュータ・ネットワーク内でワームウイルスに感染した装置を、容易にかつ効率的に特定するためのソリューションを提供することである。
【００１２】
本発明のさらに別の目的は、より少ない人的資源でコンピュータ・システム違反イベントを分析し、それにより迅速で積極的な対応を可能にするソリューションを提供することである。
【課題を解決するための手段】
【００１３】
本発明の一態様によると、異なるオペレーティング・システムで動作する複数のコンピュータ・サーバと、オペレーティング・システムのレベルでコンピュータ・サーバによって管理されるコンピュータ装置と、ユーザおよびコンピュータ装置と関連する情報を含む情報データベースを有するコンピュータ・ネットワークに対する不正アクセスを検出するためのシステム、方法およびプログラムが提案される。
【００１４】
方法は、異なるオペレーティング・システム上で動作するコンピュータ・サーバと複数のコンピュータ装置とを有するコンピュータ・ネットワークにおいて運用することが好ましい。各々のコンピュータ装置は、オペレーティング・システムのレベルでコンピュータ・サーバによって管理される。コンピュータ・ネットワークは、ユーザおよびコンピュータ・ネットワークのコンピュータ装置と関連する情報を含む情報データベースを含む。本方法は、各々のコンピュータ・サーバ上で、コンピュータ・サーバによって管理されるコンピュータ装置について識別ファイルのセットを生成することを可能にする。次いで、識別ファイルのセットは、複数のコンピュータ・サーバから中央違反データベースに集められる。コンピュータ装置についてネットワーク・アクセス違反のレベルを判定するために、識別ファイルのセットの各々と情報データベースとの間にリンクが作成される。コンピュータ装置についての違反メッセージが、ネットワーク・アクセス違反のレベルに基づいて生成される。
【００１５】
商業的な形態においては、方法をコンピュータ装置に実行させるプログラムが、コンピュータ装置によって読み取り可能なプログラム格納装置ないし記録媒体に具体化されることがある。
【発明を実施するための最良の形態】
【００１６】
本発明の上記および他の目的、特徴、および利点は、添付図面とあわせて以下の本発明のより詳細な説明を読むことによって、より良く理解されるであろう。
【００１７】
図面を参照する前に、用いられる用語および本発明の利点に関する全般的な考察を明らかにする。中央分析ツール（これ以降、”Ｃｅｎｔｒａｌ  ＬｏｇＬｏｏｋｅｒ”ともいう）は、中央分析装置上で実行される。実行時に、ツールは、Ｏ／Ｓサーバから受信した情報を用いて常に更新される１つの中央データベース（これ以降、ＤＢＬＯＧという）においてすべての違反を分析する。ローカル分析ツール（これ以降、”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”ともいう）が、各々のＯ／Ｓサーバにインストールされ、対応するオペレーティング・システム（ＯＳ／２、Ｗｉｎｄｏｗｓ、Ｌｉｎｕｘ、またはＡＩＸ）を用いて実行される。
【００１８】
”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”における違反情報を作り出す原因となる装置（ｏｒｉｇｉｎａｔｏｒ  ｄｅｖｉｃｅ）を、アタッカ装置（ａｔｔａｃｋｅｒ  ｄｅｖｉｃｅ）と名付ける。アタッカ装置は、ワークステーション名（すなわち、テキストで＜ｗｏｒｋｓｔａｔｉｏｎ＞として参照される装置名）によって、ログ内部で特定される。
【００１９】
本発明の方法は、異なる”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”において発生する違反の間に存在する関係を分析する利点をもたらす。さらに有利なことに、違反の分析は、企業の内部（例えば、企業の従業員データベース）または外部（例えば、権限のあるワークステーション名のリスト、権限のあるユーザのリスト、など）のいずれかの異なるデータベースにリンクさせることができる。
【００２０】
また、本発明は、システム違反の全体的な監視を提供するものであることを認識されたい。
【００２１】
以下の幾つかの基準の分析によって、違反に対して異なるレベルの警告が発生する。
・そのアクセスが権限のあるユーザによって行われているか、または権限のないユーザによって行われているかの判定
・企業の従業員データベース内での身元調査による違反を犯しているユーザの特定
・企業が保持する要注意リスト（「ＳＰＹ」テーブルなどとして参照される）に属しているかどうか（例えば、Ａｄｍｉｎｉｓｔｒａｔｏｒ、Ａｄｍｉｎ、Ｒｏｏｔなど）
・１つの単一ユーザＩＤについての違反数
・同一のユーザＩＤを有する違反についてのアタッカ装置名
・同一の原因となる装置を有する違反に対するアタッカ装置名
【００２２】
これらの異なる基準を検査することによって得られる結果に従って、以下の違反レベルがそれぞれ割り当てられる。
・権限のあるユーザＩＤによってＯ／Ｓサーバにもたらされた違反については「低」
・Ｏ／Ｓサーバ上で権限のないユーザＩＤを有する違反については「中」
・要注意リストの一員のユーザＩＤを有する違反については「高」
・（例えば自己診断目的または自動走査のために）違反を犯すことについて許可されたとみなされるアタッカ装置によってもたらされた違反については「通知」
【００２３】
最初に図１を参照すると、本発明を実行し、ＦＴＰネットワーク管理プロトコルを用いる、好ましい環境の全体図が示される。ＦＴＰは、業界において一般的なネットワーク・プロトコルであり、構内ネットワーク内で広く使用される。図に示されるように、構内ネットワーク１０は、ルータ１２と、トークン・リング・スイッチ１４と、ブリッジ１６と、管理ハブ１８と、メール・サーバ２０と、Ｏ／Ｓサーバ（ＡＩＸ  ２２、ＯＳ／２  ２４、Ｗｉｎｄｏｗｓ  ２６、ＬＩＮＵＸ  ２８）と、中央分析装置３０とを含む。ネットワークにアクセスしようとするアタッカ装置を示すために、パーソナル・コンピュータ３２が、イーサネット・スイッチ３４を介してネットワークに連結するように示される。アタッカ装置は、ワークステーションもしくはサーバ、または、より一般的には、ネットワークに侵入できるいずれかのコンピュータ装置とすることができることを認識されたい。
【００２４】
”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”は、各々の管理されたＯ／Ｓサーバ（２２、２４、２６、２８）にインストールされており、Ｏ／Ｓサーバは、”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”を定期的に実行して、結果ファイル（識別ファイルのセット）を中央分析装置３０に自動送信する。”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”の実行の頻度は、各々のＯ／Ｓサーバについてパラメータ設定できることに注意されたい。
【００２５】
”Ｃｅｎｔｒａｌ  ＬｏｇＬｏｏｋｅｒ”は、中央分析装置３０にインストールされる。中央分析装置は、ＦＴＰプロトコルを受信することができるネットワーク・エントリ・ポイントに接続されたいずれかのコンピュータ装置とすることができる。”Ｃｅｎｔｒａｌ  ＬｏｇＬｏｏｋｅｒ”は、以下のタスクを体系的に実行するために、ループ方式で動作し、その後、処理は、自動的に再開する。
・”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”から受信した結果ファイルの一覧の作成
・結果ファイルの内容の中央違反データベース（ＤＢＬＯＧ）への格納
・権限のある従業員のデータベースの更新
・”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”が定めたユーザＩＤの固有テーブル（ＵＳＥＲＳ）への集約
・適切な警告を管理者に送信するための、ユーザＩＤと情報データベースとの間の相関処理の開始
【００２６】
ここで図２を参照すると、Ｗｉｎｄｏｗｓ環境（Ｗｉｎｄｏｗｓ２０００  Ｐｒｏｆｅｓｓｉｏｎａｌ、Ｓｅｒｖｅｒ２０００、Ｓｅｒｖｅｒ２００３、またはＷｉｎｄｏｗｓ  ＸＰ  Ｐｒｏｆｅｓｓｉｏｎａｌなど）で動作するＯ／Ｓサーバにおいて実行される”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”の処理ステップが示される。以下、各処理ステップの内容を順に説明する。
【００２７】
ステップ２０１：”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”について、Ｗｉｎｄｏｗｓ  Ｔａｓｋ  Ｓｃｈｅｄｕｌｅｒによってスケジュール設定され、実行が開始される
【００２８】
ステップ２０２：共通に用いられるいくつかの転送パラメータが、Ｏ／Ｓサーバ・ファイル（具体的には「ＣＯＮＦＩＧ．ＤＢＦ」ファイル）から取り出される。具体的には、転送パラメータは以下のものが含まれる。
・”Ｃｅｎｔｒａｌ  ＬｏｇＬｏｏｋｅｒ”のＩＰアドレス
・”Ｃｅｎｔｒａｌ  ＬｏｇＬｏｏｋｅｒ”に対するＦＴＰ転送に必要なＦＴＰユーザＩＤ
・”Ｃｅｎｔｒａｌ  ＬｏｇＬｏｏｋｅｒ”に対するＦＴＰ転送に必要なＦＴＰパスワード
・セキュリティ・イベント・ログ・ファイル（＼％ＳＹＳＴＥＭＲＯＯＴ％＼Ｓｙｓｔｅｍ３２＼ｃｏｎｆｉｇ＼ＳｅｃＥｖｅｎｔ．ｅｖｔ）についての最大許容サイズ
【００２９】
ステップ２０３：セキュリティ・イベント・ログ・ファイルの現在のサイズが最大サイズと比較され、日付、時間、およびセキュリティ・イベント・ログのサイズが（好ましくは「ＬＯＧ」ファイルに）記録される。「ＬＯＧ」ファイルの構造を、図６に例示する。
【００３０】
ステップ２０４：セキュリティ・イベント・ログ・ファイルの現在のサイズが最大サイズに達していると判定された場合には、現在のセキュリティ・イベント・ログ・ファイルを、ファイルの時間および位置を参照する固有の名前を用いて（好ましくは、＜ワークステーション＋日付＋月＋日＋時間＋秒＞．ｅｖｔの形式で）保存する。次いで、現在のファイルが削除され、ステップ２０５に進む。ステップ２０４は、以下の２つの利点を提供する。
ログ信頼性
現在のセキュリティ・イベント・ログ・ファイルのサイズを管理することによって、ログの完全な利用可能性を保証し、保持時間に達する前にファイルが飽和することを防止する。
性能
セキュリティ・イベント・ファイルの削除操作によって、Ｏ／ＳサーバのＣＰＵに対する低負荷を保証し、極めて短い実行時間が可能になる。
【００３１】
ステップ２０５：”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”は、次のステップ２０６から２０７までをバッチ方式で実行するために、”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”手順の各々の実行時に生成されるバッチ・ファイルを作成する。
【００３２】
ステップ２０６：空テキスト・ファイル（＜ワークステーション．ＦＬＡＧ＞と名付けることが好ましい）が、”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”手順の各々の実行時に作成および生成される。変数「ワークステーション」の値は、オペレーティング・システムのワークステーション名から自動的に取得される。以下に（ステップ２０９で）完全に説明されるように、この空ファイルは、”Ｃｅｎｔｒａｌ  ＬｏｇＬｏｏｋｅｒ”によって用いられることになる。
【００３３】
ステップ２０７：”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”は、オペレーティング・システムからローカル・ユーザに関する情報を取り出し、ローカル・ユーザＩＤテーブル（「＜ワークステーション＞．ＤＢＦ」と名付けることが好ましく、「ワークステーション」は、上記のようにこのＯ／Ｓサーバのワークステーション名を参照する）を作成する。このテーブルの構造を、図７に例示する。
【００３４】
ステップ２０８：ＦＴＰ自動転送が実行することが必要なデータを含むファイルが作成される。好ましくは、このファイルは、中央分析装置のアドレス、ログオンＦＴＰのためのユーザＩＤおよびパスワード、並びに、送信命令を含むテキスト・ファイルである。このファイルは、”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”の各々の実行時に生成される。
【００３５】
ステップ２０９：セキュリティ・イベント・ログ・ファイルが読み出される。（違反と考えられる）すべての失敗ログオンおよびすべての無効イベントが、ローカル違反ファイルに書き込まれる。ローカル違反ファイルは、「＜ワークステーション＞．ｔｘｔ」と名付けることが好ましい（＜ワークステーション＞は、Ｏ／Ｓサーバのワークステーション名が参照される）。
【００３６】
ステップ２１０：ステップ２０４、２０６、２０７および２０９で作成されたファイルは、ＦＴＰプロトコルによって中央分析装置に送信される。好ましくは、ファイルは以下の順序で送信される。
・不良ログオン情報（違反）を含む「＜ワークステーション＞．ｔｘｔ」ファイル
・ステップ２０４において作成された場合には、「＜ワークステーション＋日付＋月＋日＋時間＋秒＞．ｅｖｔ」ファイル
・ローカル・ユーザＩＤテーブルを含む「＜ワークステーション＞．ＤＢＦ」
・「＜ワークステーション＞．ｆｌａｇ」空テキスト・ファイル（空ファイルは、他のファイルの転送完了を保証するために、最後に送信される）
【００３７】
当業者であれば、”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”の処理は、それぞれのＯ／Ｓサーバによってサポートされるオペレーティング・システムに容易に適合が可能であることが理解できるだろう。
【００３８】
例えば、ＯＳ／２サーバの場合は、好ましい実施形態においては、以下のように実行が処理される。
”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”の実行は、ＯＳ／２サーバのよく知られた組み込み「ＴＩＭＥＸＥＣ」機能によってスケジュール設定される。
他のステップは、様々な「ワークステーション」ファイルが適切なＯＳ／２サーバ名に関連して作成される点を除いて、図２の処理と同一である。
処理の最後に、作成されたファイルは、以下の好ましい順序、すなわち、
不良ログオン情報（違反）を含む「＜ワークステーション＞．ｔｘｔ」ファイル
以前に作成された場合には、＜ワークステーション＋日付＋月＋日＋時間＋秒＞．ｂｋｐセキュリティ・イベント・ログ・ファイル
ローカル・ユーザＩＤテーブルを含む「＜ワークステーション＞．ＤＢＦ」
＜ワークステーション＞．ｆｌａｇ空テキスト・ファイル
の順序で、ＦＴＰプロトコルによって”Ｃｅｎｔｒａｌ  ＬｏｇＬｏｏｋｅｒ”に送信される。
【００３９】
ＬｉｎｕｘおよびＡＩＸオペレーティング・システムの場合は、よく知られた「ｃｒｏｎｔａｂ」命令によって実行されるスケジュール設定を除いて、すべてのステップはＷｉｎｄｏｗｓの手順と同一である。
【００４０】
次に、図３から図５を参照し、中央分析装置で実行される各処理ステップを説明する。
ステップ３０１：以下の設定パラメータが読み込まれる。
・ディレクトリ・パス（作業ディレクトリ、着信ディレクトリ、およびアーカイブ・ディレクトリ）
・警告メールを送信すべきメール情報（管理者の電子メール・アドレスおよびメール・サーバ・アドレスなど）
・実行頻度
【００４１】
ステップ３０２：対応する「＜ワークステーション＞．ＦＬＡＧ」ファイルを有するすべてのＯＳ／２「＜ワークステーション＞．ＢＫＰ」ファイルが、あらゆる未完了転送ファイルを防止するために、ＦＴＰ着信ディレクトリから読み出される。これにより、”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”は、”Ｃｅｎｔｒａｌ  ＬｏｇＬｏｏｋｅｒ”の周期と同期することなく自らのデータを送信することが可能になる。
【００４２】
ステップ３０３：読み出されたすべてのファイルは、中央分析装置の専用ＯＳ／２メモリ領域に格納される。
【００４３】
ステップ３０４：処理は、メモリ・アレイのファイル終端（ｅｎｄ  ｏｆ  ｆｉｌｅ  ｏｆ  ｍｅｍｏｒｙ  ａｒｒａｙ）を確認する。終端に達した場合には、処理は、次のステップは３０７に進む。終端に達していない場合は、処理は、ステップ３０５および３０６を繰り返すことになる。
【００４４】
ステップ３０５：各々の＜ワークステーション．ＢＫＰ＞ファイルは、各々のファイルについて１つの固有の名前を付けるために、（月、日付、時間、分および秒を追加することによって）名前が変更される。
【００４５】
ステップ３０６：名前を変更されたすべての「．ＢＫＰ」ファイルが、着信ディレクトリからアーカイブ・ディレクトリに移動される。このことは、すべての結果および保存されたイベント・ログ・ファイルをアーカイブに保管する本発明の実施の形態の１つの重要な特徴である。こうすることによって、元のログ・ファイルがハッカーによって悪意で更新された場合に、保存された複製が、安全な装置に格納されたものとして利用可能であることが保証される。
【００４６】
ステップ３０７からステップ３１１：Ｗｉｎｄｏｗｓ上で動作しているＯ／Ｓサーバから発行されたすべての「＊．ＥＶＴ」ファイルを除いて、上述のステップ３０２から３０６までと同様の動作が実行される。
【００４７】
ステップ３１２：「＊．ＴＸＴ」ファイルが、一時的違反データベースに取り込まれる。ステップ３１２では、異なるオペレーティング・システムから取り出された情報が同じデータベース内で照合される。
【００４８】
ステップ３１３：各々の違反が、新たな攻撃かどうかを判定するために、中央違反データベース「ＤＢＬＯＧ」に存在する最後に記録された情報と比較される。
【００４９】
ステップ３１４：この”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”およびこのユーザＩＤについて、違反が「ＤＢＬＯＧ．ＤＢＦ」データベースの内容より新しいものである場合には、新しい記録が中央データベースに追加される。そうでない場合は、処理はステップ３１２に戻る。「ＤＢＬＯＧ」データベースは、すべての”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”についてのすべての違反を含む違反データベースである。このデータベースの構造を、図８に例示する。
【００５０】
ステップ３１５：各々の「＜ワークステーション＞．ＴＸＴ」ファイルは、１つの固有の名前を持つように、（月、日付、時間、分および秒を追加することによって）名前を変更する。名前を変更した各々のファイルが、着信ディレクトリからアーカイブ・ディレクトリに移動される。このステップの後、「＜ワークステーション＞．ＦＬＡＧ」ファイルは削除される。
【００５１】
ステップ３１６：対応する「＜ワークステーション＞．ＦＬＡＧ」ファイルを有するすべての「＜ワークステーション＞．ＤＢＦ」ファイルが、未完了転送ファイルの発生を防止するために、ＦＴＰ着信ディレクトリから読み出される。それらのファイルは、専用メモリ領域に格納される。
【００５２】
ステップ３１７：すべての”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”に関連する「ユーザ」データベースが、以前に格納されたファイルから作成される。「ユーザ」データベースを、図９に例示する。
【００５３】
ステップ３１８：違反データベースに記録された従業員のユーザＩＤを識別するための「従業員」データベースが更新される。従業員データベースを、図１０に例示する。
【００５４】
ステップ３１９：取り込んだ情報を用いてステップ３１４において更新された「ＤＢＬＯＧ」中央データベースが参照される。
【００５５】
ステップ３２０：違反ユーザＩＤが「従業員」テーブルの既存エントリにリンクされているかどうかについて確認が行われる。
【００５６】
ステップ３２１：ユーザＩＤが「従業員」テーブルに発見されない場合には、「未発見（ｎｏｔ  ｆｏｕｎｄ）」フラグが違反記録に追加される。この情報は、警告レベルを評価するのに用いられる。
【００５７】
ステップ３２２：ユーザＩＤが「従業員」テーブルに発見された場合には、対応するＥメール・アドレスが違反記録に追加される。この情報は、ユーザＩＤの所有者に連絡を取るのに用いることができる。
【００５８】
ステップ３２３：ユーザＩＤが「ユーザ」テーブルに存在し、”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”について権限のあるユーザとして定められたかどうかを検査するために、確認が行われる。この情報は、警告レベルを評価するのに用いられる。ユーザＩＤが正常に定められている場合には、その違反に対して低い重要性が割り当てられ、「低」違反警告が発行される。
【００５９】
ステップ３２４：ユーザＩＤが、違反”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”上で権限も持たない場合は、「無権限（ｕｎａｕｔｈｏｒｉｚｅｄ）」フラグが「ＤＢＬＯＧ」テーブルに追加される。この種の違反についての警告レベルは中間的なものと考えられるので、「中」警告が発行される。
【００６０】
ステップ３２５：ユーザＩＤが、違反した”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”装置上に存在する場合には、違反データベース「ＤＢＬＯＧ」の記述領域は、その”Ｌｏｃａｌ  ＬｏｇＬｏｏｋｅｒ”に存在するユーザＩＤの記述を用いて更新される。
【００６１】
ステップ３２６：ユーザＩＤが「ＳＰＹ」テーブルの要注意リストに存在するかどうかを検査するための確認が行われる。これは、本発明の実施の形態における、もう１つの重要な特徴である。このテーブルは、オペレーティング・システムおよびアプリケーション内に存在するすべての既定ユーザＩＤ（ｒｏｏｔ、ｄｂ２ａｄｍｉｎ、ａｄｍｉｎｉｓｔｒａｔｏｒ、ｔｅａｃｈｅｒなど）を含む。このリストは、常に更新される。これらのユーザＩＤは、自分自身をサーバ内に複製しようとするほとんどのワームウイルスによって使用される。
【００６２】
ステップ３２７：ユーザＩＤが「ＳＰＹ」テーブルに発見された場合には、「発見された（ｆｏｕｎｄ）」情報が違反記録に追加される。高レベルの警告が、「ＤＢＬＯＧ」違反テーブルに与えられる。
【００６３】
ステップ３２８：最新の記録について「ＤＢＬＯＧ」テーブルが読み込まれる。
【００６４】
ステップ３２９：各々のアタッカ装置の名前が、企業の規則によって違反状態にあることが許可されている装置名のリストと比較される。名前が発見されない場合には、処理はステップは３３２に進む。
【００６５】
ステップ３３０：許可された装置名のリストに名前が発見された場合には、管理者は、発見された装置名に関する詳細の通知を受け、「通知」レベルの警告が発行される。
【００６６】
ステップ３３１：それらの許可された違反は、前述の分析処理から除外される。処理は、ステップ３３２に進む。
【００６７】
ステップ３３２：アタッカのユーザＩＤは、「従業員」テーブルおよび「ユーザ」テーブルと比較される。発見されない場合には、次のステップは３３５である。
【００６８】
ステップ３３３：アタッカのユーザＩＤが前述の２つのテーブルに存在する場合には、管理者は、ステップ３３２の結果について通知を受け、「低」レベル警告が発行される。
【００６９】
ステップ３３４：それらの低レベル違反は、前述の処理から除外される。
【００７０】
ステップ３３５：アタッカのユーザＩＤは、要注意「ＳＰＹ」テーブルと比較される。発見されない場合には、処理は、ステップは３３８に進む。
【００７１】
ステップ３３６：アタッカのユーザＩＤが発見された場合には、管理者は、ステップ３３５の結果について通知を受け、「高」レベルの警告が発行される。この高レベル警告は、ユーザＩＤによって命令されたすべての要注意不良ログオンを含む。
【００７２】
ステップ３３７：それらの高レベル違反は、前述の処理から除外される。
【００７３】
ステップ３３８：アタッカのユーザＩＤは、「従業員」テーブルおよび「ユーザ」テーブルと比較される。ユーザＩＤが、「従業員」テーブルに発見されたが「ユーザ」テーブルに発見されない場合には、処理は、ステップは３３９に進む。それ以外の場合には、処理はステップ３４１に進む。
【００７４】
ステップ３３９：管理者はステップ３３８の結果について通知を受け、ユーザＩＤによって命令されたすべての無権限不良ログオンを含む「中」レベル警告が発行される。
【００７５】
ステップ３４０：それらの中レベル違反は、前述の処理から除外される。
【００７６】
ステップ３４１：以前に発行されたすべての警告（通知、低、中、高）は、アタッカ装置名の順に並べられ、区別されて分類され、最終レポートとなる。したがって、管理者は、攻撃された装置上でたった１つか２つの違反が行われた場合でも、１つの攻撃が発生していることに直ちに気づく。特定された要注意ユーザＩＤと他の違反（正常な場合であっても）との間のこの関係は、ウイルス攻撃の疑いを示すことが明らかである。
【００７７】
ステップ３４２：それらの「通知、低、中、および高」レベル違反は、前述の処理から除外される。処理全体が、ステップ３０１から再び開始される。
【００７８】
本発明の利点は、すべてのオペレーティング・システムについて、すべての違反情報を１つのリレーショナル・データベースに集めて、前述のクロスチェックを可能にすることであることに注目されたい。本発明の精神から逸脱することなく、ここで説明された方法に対して多くの修正を行うことができること留意すべきである。
【００７９】
本発明は、ハードウエア、ソフトウエア、またはハードウエア及びソフトウエアの組み合わせとして実現可能である。ハードウエアとソフトウエアの組み合わせによる実行において、所定のプログラムを有するコンピュータ・システムにおける実行が典型的な例として挙げられる。かかる場合、該所定プログラムが該コンピュータ・システムにロードされ実行されることにより、該プログラムは、コンピュータ・システムを制御し、本発明にかかる処理を実行させる。このプログラムは、任意の言語・コード・表記によって表現可能な命令群から構成される。そのような命令群は、システムが特定の機能を直接、または１．他の言語・コード・表記への変換、２．他の媒体への複製、のいずれか一方もしくは双方が行われた後に、実行することを可能にするものである。もちろん、本発明は、そのようなプログラム自体のみならず、プログラムを記録した媒体もその範囲に含むものである。本発明の機能を実行するためのプログラムは、フロッピー・ディスク、ＭＯ、ＣＤ−ＲＯＭ、ＤＶＤ、ハード・ディスク装置、ＲＯＭ、ＭＲＡＭ、ＲＡＭ等の任意のコンピュータ読み取り可能な記録媒体に格納することができる。かかるプログラムは、記録媒体への格納のために、通信回線で接続する他のコンピュータ・システムからダウンロードしたり、他の記録媒体から複製したりすることができる。また、かかるプログラムは、圧縮し、または複数に分割して、単一または複数の記録媒体に格納することもできる。」
【図面の簡単な説明】
【００８０】
【図１】本発明の実施形態のコンピュータ・システム環境の全体図である。
【図２】Ｗｉｎｄｏｗｓ  Ｏ／Ｓサーバで実行される本発明の実施形態の処理の主要ステップのフローチャートである。
【図３】中央分析装置で実行される本発明の実施形態の処理の主要ステップのフローチャートである。
【図４】中央分析装置で実行される本発明の実施形態の処理の主要ステップのフローチャートである。
【図５】中央分析装置で実行される本発明の実施形態の処理の主要ステップのフローチャートである。
【図１】
2006114044.tif 000003
【図２】
2006114044.tif 000004
【図３】
2006114044.tif 000005
【図４】
2006114044.tif 000006
【図５】
2006114044.tif 000007