(57)【要約】【課題】同一の認証情報に基づく複数回の対象装置へのアクセスについて不正アクセスである可能性を判定し、被害発生を防止する。【解決手段】ユーザ端末１４から送信される認証情報を受信し、認証情報に基づいてユーザ端末１４の認証を行い、認証されたユーザ端末１４に係るアクセス許可情報を生成し、当該ユーザ端末１４からアクセス要求情報が送信された対象サーバ１２ａに対してアクセス許可情報を送信し、アクセス許可情報が生成されたユーザ端末１４に係る認証情報と同一の認証情報が、当該アクセス許可情報が送信された対象サーバ１２と同一又は異なる対象サーバ１２ａ〜１２ｎに対してアクセス要求情報を送信したユーザ端末１４から送信されると、当該同一の認証情報を送信したユーザ端末１４に係るアクセス要求情報について不正アクセスのリスク判定を行う構成としてある。【選択図】図１
2018142266.tif 000002
【特許請求の範囲】
【請求項１】
ユーザ端末からアクセス要求情報が送信された対象装置に対して、当該ユーザ端末に係る所定のアクセス許可情報を送信する情報処理装置であって、
前記ユーザ端末から送信される認証情報を受信する認証情報受信手段と、
前記認証情報受信手段で受信された認証情報に基づいて、前記ユーザ端末の認証を行う認証手段と、
前記認証手段で認証されたユーザ端末に係る前記アクセス許可情報を生成し、当該ユーザ端末からアクセス要求情報が送信された対象装置に対して前記アクセス許可情報を送信するアクセス許可情報生成手段と、
前記アクセス許可情報が生成されたユーザ端末に係る認証情報と同一の認証情報が、当該アクセス許可情報が送信された対象装置と同一又は異なる対象装置に対してアクセス要求情報を送信したユーザ端末から送信されると、当該同一の認証情報を送信したユーザ端末に係るアクセス要求情報について、所定の不正アクセスのリスク判定を行うリスク判定手段と、を備える
ことを特徴とする不正アクセス検出装置。
【請求項２】
前記認証手段は、
前記リスク判定手段のリスク判定結果に基づいて、
前記同一の認証情報を送信したユーザ端末に、所定の認証情報の送信を要求する
ことを特徴とする請求項１記載の不正アクセス検出装置。
【請求項３】
前記アクセス許可情報生成手段は、
前記リスク判定手段のリスク判定結果に基づいて、
前記同一の認証情報を送信したユーザ端末に係るアクセス許可情報を無効、破棄、削除若しくは変更する、又は、前記同一の認証情報を送信したユーザ端末に対してアクセス許可、再認証若しくは追加認証を要求する、
ことを特徴とする請求項１又は２記載の不正アクセス検出装置。
【請求項４】
ユーザ端末からアクセス要求情報が送信された対象装置に対して、当該ユーザ端末に係る所定のアクセス許可情報を送信する情報処理装置を構成するコンピュータを、
前記ユーザ端末から送信される認証情報を受信する認証情報受信手段、
前記認証情報受信手段で受信された認証情報に基づいて、前記ユーザ端末の認証を行う認証手段、
前記認証手段で認証されたユーザ端末に係る前記アクセス許可情報を生成し、当該ユーザ端末からアクセス要求情報が送信された対象装置に対して前記アクセス許可情報を送信するアクセス許可情報生成手段、
前記アクセス許可情報が生成されたユーザ端末に係る認証情報と同一の認証情報が、当該アクセス許可情報が送信された対象装置と同一又は異なる対象装置に対してアクセス要求情報を送信したユーザ端末から送信されると、当該同一の認証情報を送信したユーザ端末に係るアクセス要求情報について、所定の不正アクセスのリスク判定を行うリスク判定手段、として機能させる
ことを特徴とする不正アクセス検出プログラム。
【請求項５】
ユーザ端末からアクセス要求情報が送信された対象装置に対して、当該ユーザ端末に係る所定のアクセス許可情報を送信する方法であって、
コンピュータが、
前記ユーザ端末から送信される認証情報を受信する認証情報受信手順、
前記認証情報受信手順で受信された認証情報に基づいて、前記ユーザ端末の認証を行う認証手順、
前記認証手順で認証されたユーザ端末に係る前記アクセス許可情報を生成し、当該ユーザ端末からアクセス要求情報が送信された対象装置に対して前記アクセス許可情報を送信するアクセス許可情報生成手順、
前記アクセス許可情報が生成されたユーザ端末に係る認証情報と同一の認証情報が、当該アクセス許可情報が送信された対象装置と同一又は異なる対象装置に対してアクセス要求情報を送信したユーザ端末から送信されると、当該同一の認証情報を送信したユーザ端末に係るアクセス要求情報について、所定の不正アクセスのリスク判定を行うリスク判定手順、とを実行する
ことを特徴とする不正アクセス検出方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、インターネット等のネットワークを介して行われる不正なアクセスを事前に判定・検出して被害発生を有効に防止するための技術に関する。
【背景技術】
【０００２】
インターネットの普及とインターネット上での様々なサービス提供の拡充に伴い、他人のＩＤやパスワード等を不正に用いた不正アクセスの問題が拡大している。
不正アクセスとは、アクセス権限のない他者が、インターネット等のネットワークを介して、各種のシステムやサーバにアクセスして内部情報等を流出・漏洩させて、情報を不正に利用するもので、情報漏洩等は、企業や組織等の信用やイメージなどに大きな影響を及ぼす深刻な問題となっている。
【０００３】
特に近年は、例えば「パスワードリスト攻撃」や「アカウントリスト攻撃」、「リスト型攻撃」等と呼ばれる「リスト型アカウントハッキング」の不正アクセス行為が行われるようになっており、会員制Ｗｅｂサイトや通販サイト、インターネットバンキングなどにおいて、甚大な被害を生じさせる場合がある。
これまで、ネットワーク上の不正アクセスについては、例えばファイヤーウォールやＷＡＦ（Web  Application  Firewall）等の防御手段・防衛技術が知られている（例えば特許文献１参照）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００８−１１７００７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、近年の不正アクセスは、組織的・専門的に行われることも多く、その手口も日々進化し巧妙化しており、これまでの不正アクセス対策技術では、十分な防御とはなりえず、特に、本来の正常なアクセスと不正なアクセスとを正確に見分けることは困難であった。
また、最近では、例えばＯｐｅｎＩＤ（登録商標）Ｃｏｎｎｅｃｔと呼ばれる、一つの認証処理によって複数のサーバやシステムへのアクセスを許可する技術が提案されている。
これは、インターネット上にある様々なＷｅｂサイトやアプリケーションサービスを利用する場合に、各ユーザが一つのＩＤでログイン・認証処理ができるようにするＩＤ連携の技術であり、シングルサインオンの機能を実現する利便性の高いシステム、サービスとして利用・拡大が期待されている。
【０００６】
ところが、このようなシングルサインオンのシステムを含めて、ネットワーク上の認証処理は、正しい認証情報（ＩＤ・パスワード等）が使用されれば、誰が入力・アクセスしたとしても、認証処理が行われサーバやシステム内へのログインが可能となってしまう。
このため、ＩＤやパスワード等の認証情報が漏洩・流出すれば、不正アクセスを防止することは非常に困難乃至不可能となってしまい、これに対しては、特許文献１で開示されているような既存のファイヤーウォールやＷＡＦ等では、有効な防御手段とはなり得なかった。
【０００７】
本発明は、以上のような従来の技術が有する課題を解決するために提案されたものであり、ユーザ端末からの同一の認証情報に基づく複数の対象装置へのアクセス要求について、不正アクセスである可能性を判定して、情報漏洩等の被害発生を事前に防止することができる、不正アクセス検出装置とそれに用いられるプログラム及び方法の提供を目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するため、本発明の不正アクセス検出装置は、ユーザ端末からアクセス要求情報が送信された対象装置に対して、当該ユーザ端末に係る所定のアクセス許可情報を送信する情報処理装置であって、前記ユーザ端末から送信される認証情報を受信する認証情報受信手段と、前記認証情報受信手段で受信された認証情報に基づいて、前記ユーザ端末の認証を行う認証手段と、前記認証手段で認証されたユーザ端末に係る前記アクセス許可情報を生成し、当該ユーザ端末からアクセス要求情報が送信された対象装置に対して前記アクセス許可情報を送信するアクセス許可情報生成手段と、
前記アクセス許可情報が生成されたユーザ端末に係る認証情報と同一の認証情報が、当該アクセス許可情報が送信された対象装置と同一又は異なる対象装置に対してアクセス要求情報を送信したユーザ端末から送信されると、当該同一の認証情報を送信したユーザ端末に係るアクセス要求情報について、所定の不正アクセスのリスク判定を行うリスク判定手段と、を備える構成としてある。
【０００９】
また、本発明は、上記のような本発明に不正アクセス検出装置で実行される不正アクセス検出プログラムとして構成することができる。
さらに、本発明は、上記のような本発明に係る不正アクセス検出装置及びプログラムによって実施可能な不正アクセス検出方法として構成することもできる。
【発明の効果】
【００１０】
本発明によれば、ユーザ端末からの同一の認証情報に基づく複数の対象装置へのアクセス要求について、不正アクセスである可能性を判定して、情報漏洩等の被害発生を事前に防止することができる。
これにより、例えばＯｐｅｎＩＤ  Ｃｏｎｎｅｃｔなどの、一つの認証処理によって複数のサーバやシステムへのアクセスが可能となるシングルサインオンのシステムにおいても、不正アクセスによる情報漏洩やそれに基づく被害発生を有効に防止・排除することが可能となる。
【図面の簡単な説明】
【００１１】
【図１】本発明の一実施形態に係る不正アクセス検出装置を備えたシステムの全体構成を示すブロック図である。
【図２】本発明の一実施形態に係る不正アクセス検出装置を備えたシステムにおけるアクセスパターンを模式的に示す説明図である。
【図３】本発明の一実施形態に係る不正アクセス検出装置の機能構成を示すブロック図である。
【図４】本発明の一実施形態に係る不正アクセス検出装置のＢＬ／ＷＬ保持部のデータ構造の例を示す図である。
【図５】本発明の一実施形態に係る不正アクセス検出装置のアドレス情報保持部のデータ構造の例を示す図である。
【図６】本発明の一実施形態に係る不正アクセス検出装置のＢＩスコア判定規則のデータ構造の例を示す図である。
【図７】本発明の一実施形態に係る不正アクセス検出装置のＦＰスコア判定規則のデータ構造の例を示す図である。
【図８】本発明の一実施形態に係る不正アクセス検出装置の第１判定結果保持部及び第２判定結果保持部のデータ構造の例を示す図である。
【図９】本発明の一実施形態に係る不正アクセス検出装置の累積スコア保持部のデータ構造の例を示す図である。
【図１０】本発明の一実施形態に係る不正アクセス検出装置のリスク判定基準を示す図である。
【図１１】本発明の一実施形態に係る不正アクセス検出装置においてリスク判定される不正アクセスの脅威レベルの設定例を示す説明図である。
【図１２】本発明の一実施形態に係る不正アクセス検出装置を備えたシステムの動作を示すシーケンス図である。
【発明を実施するための形態】
【００１２】
以下、本発明に係る不正アクセス検出装置の実施形態について、図面を参照しつつ説明する。
ここで、以下に示す本発明の不正アクセス検出装置は、プログラム（ソフトウェア）の命令によりコンピュータで実行される処理，手段，機能によって実現される。プログラムは、コンピュータの各構成要素に指令を送り、以下に示す本発明に係る所定の処理や機能等を行わせることができる。すなわち、本発明における各処理や手段，機能は、プログラムとコンピュータとが協働した具体的手段によって実現される。
【００１３】
なお、プログラムの全部又は一部は、例えば、磁気ディスク，光ディスク，半導体メモリ，その他任意のコンピュータで読取り可能な記録媒体により提供され、記録媒体から読み出されたプログラムがコンピュータにインストールされて実行される。また、プログラムは、記録媒体を介さず、通信回線を通じて直接にコンピュータにロードし実行することもできる。また、本発明に係る不正アクセス検出装置は、単一の情報処理装置（例えば一台のパーソナルコンピュータ等）で構成することもでき、複数の情報処理装置（例えば複数台のサーバコンピュータ群等）で構成することもできる。
【００１４】
［システム構成］
図１に、本発明の一実施形態に係る不正アクセス検出装置２０を備えた不正アクセス検出システム１の構成を模式的に示す。
また、図２に、本実施形態に係る不正アクセス検出システム１におけるアクセスパターンを模式的に示す説明図である。
これらの図に示すように、本発明の一実施形態に係る不正アクセス検出システム１は、不正サクセスの監視対象となる複数の対象サーバ１２（１２ａ〜１２ｎ）と、対象サーバ１２にアクセス可能な複数のユーザ端末１４（１４ａ〜１４ｎ）と、各対象サーバ１２に対する不正アクセスを監視・検出する不正アクセス検出装置２０を備えて構成されている。
これら対象サーバ１２・ユーザ端末１４・不正アクセス検出装置２０は、ＬＡＮ・ＷＡＮ・インターネット等を含む通信網１６を介して接続され、それぞれ相互にネットワーク通信が可能となっている。
【００１５】
本実施形態では、図２に示すように、不正アクセス検出装置２０が、ユーザ端末１４からアクセス要求情報が送信された対象サーバ１２に対して、アクセス要求したユーザ端末１４についてのアクセス許可情報（アクセストークン）を送信する認証装置（認証システム）として機能するようになっており、各対象サーバ１２から不正アクセス検出装置２０に対して、アクセス許可情報の検証リクエスト（トークン検証リクエスト）が送信されるようになっている（図２（ｂ）参照）。
これによって、ユーザ端末１４は、一つの認証処理によって複数の対象サーバ１２へのアクセスが許可・可能となり、ユーザ端末１４を操作するユーザが一つのＩＤ等でログイン・認証処理を経て複数の対象サーバ１２へのアクセスが可能となるシングルサインオン機能が提供されるようになる。
【００１６】
そして、シングルサインオンの認証装置となる不正アクセス検出装置２０が、ユーザ端末１４から、同一の認証情報が複数の異なる対象サーバ１２に送信されると、その同一の認証情報を送信した一又は二以上のユーザ端末１４に係るアクセス要求について不正アクセスのリスク判定を実行する不正サクセス検出手段として機能するようになっている。
これによって、本実施形態では、ユーザ端末１４のユーザや対象サーバ１２のサービス提供事業者にとって利便性の高いシングルサインオン機能を提供しつつ、ユーザ端末１４の認証情報を不正に利用した不正アクセスを確実に検出して、ユーザやサービス提供事業者の被害発生を防止するものである。
【００１７】
ここで、「不正アクセス」とは、アクセス制御（例えばパスワード認証等）がなされているサーバに、ネットワークを通じてウェブアクセスを行い、他人の識別符号や、識別符号以外の情報や指令を入力して、本来制限されている機能を不正に利用する行為である。
また、「ウェブアクセス」は、所定のサーバに対する通信網を介したリモートアクセスであり、正当な権限を持つユーザの正当なアクセスと、不正者による不正アクセスの双方を含む。
【００１８】
不正アクセスには、様々な種類のものが存在するが、特に、他人の正しいアカウント情報（ユーザＩＤ、パスワード等）を不正に入手し、そのアカウント情報を使用した、なりすましログインや不正取引、リスト型アカウントハッキング等は、上述したような従来の不正アクセス対策では対応が困難で、特に不正アクセスを正当なアクセスと判別することが難しかった。
また、例えば、短期間に大量のアクセスが自動実行されるような不正アクセスが明らかな場合ではなく、低頻度の不正アクセス（例えば１回／時間等）が長期的に実行されるような場合には、不正アクセスを正当なアクセスと判別することが一層困難となる。
【００１９】
本実施形態に係る不正アクセス検出装置２０は、複数の対象サーバ１２に対するウェブアクセスのアイデンティティ（ＩＤ）の振る舞いに基づいて、当該ウェブアクセスが不正アクセスか否かを判定する。
具体的には、同一の認証情報（ＩＤ・パスワード等）を使用して行われた、複数の対象サーバ１２に対するウェブアクセスのデータに含まれる複数種類のＩＤそれぞれが使用された、複数回のウェブアクセスの態様に基づいて、今回のウェブアクセスが不正なものか否かを判定するものである。
【００２０】
さらに、不正アクセス検出装置２０は、所定の対象サーバ１２に対するウェブアクセスを、対象サーバ１２における当該ウェブアクセスの重要度（以下「ＢＩ（Business  Impact）」とも呼ぶ。）と、当該ウェブアクセスが不正である可能性の高さ（以下「ＦＰ（Fraud  Probability）」とも呼ぶ。）の２軸で評価し、当該アクセスの危険度（脅威レベル）を判定することができる（図６，７参照）。
以下、本実施形態に係る不正アクセス検出装置２０を備えた不正アクセス検出システム１の各構成要素について、順次詳細に説明する。
【００２１】
［対象サーバ（認証・認可依存サイト：ＲＰ）］
対象サーバ１２（１２ａ〜１２ｎ）は、インターネット等の通信網１６を介して、ユーザ端末１４に対してＷｅｂサイトやアプリケーションなどを提供する情報処理装置であり、例えばＷｅｂサイト等を提供するサービス提供事業者等のデータセンタやオフィスなどに設置されるＰＣやサーバ群等によって構成される。
この各対象サーバ１２ａ〜１２ｎが、本発明に係る対象装置を構成している。
【００２２】
具体的には、各対象サーバ１２ａ〜１２ｎは、それぞれ、ユーザ端末１４からアクセス要求情報が送信されると、認証装置（認証システム）となる不正アクセス検出装置２０から、当該ユーザ端末１４に係る所定のアクセス許可情報（例えば後述するアクセストークン等）を受信・管理することにより、そのユーザ端末１４のアクセス要求に応じてデータやサービスの提供を行うようになっている。
このように、対象サーバ１２は、認証・認可を認証装置（不正アクセス検出装置２０）に依存する「認証・認可依存サイト：ＲＰ（Relying  Party）」を構成している。
例えば、各対象サーバ１２ａ〜１２ｎは、通信販売、インターネットバンキング等のウェブサイトをインターネット上に公開するウェブサーバの機能を備え、認証・アクセス許可されたユーザ端末１４からのウェブアクセス（ＨＴＴＰ要求）を受け付け、所定のサービスを提供するためのウェブページをユーザ端末１４へ提供・送信する。
【００２３】
［ユーザ端末］
ユーザ端末１４（１４ａ〜１４ｎ）は、Ｗｅｂブラウザが実装された、例えばＰＣ、タブレット端末、スマートフォン等で構成される情報処理装置であり、インターネット等の通信網１６を介して、対象サーバ１２や不正アクセス検出装置２０に接続可能なウェブクライアントとして機能する、本発明に係るユーザ端末を構成している。
各ユーザ端末１４は、所定の登録情報として、例えばユーザの識別情報・ログインＩＤ・パスワード等の情報が、認証装置となる不正アクセス検出装置２０に登録されるようになっている。したがって、所定の登録情報が登録されていないユーザ端末１４は、認証処理が行えず、対象サーバ１２へのアクセス要求が拒否されることになる。
そして、このユーザ端末１４を操作するユーザが、対象サーバ１２のウェブサイトへのログインが許可されたユーザ（すなわち正当な権限を有するユーザ）であり、また、他人のアカウントを不正使用する等、対象サーバ１２に対して不正アクセスを試みるユーザでもあり得ることになる。
【００２４】
具体的には、各ユーザ端末１４ａ〜１４ｎは、それぞれ、一の対象サーバ１２に対してアクセス要求情報を送信すると、認証装置（認証システム）となる不正アクセス検出装置２０から所定の認証情報（例えばＩＤ・パスワード等）が要求され、所定の認証情報を送信して不正アクセス検出装置２０における認証が行われると、不正アクセス検出装置２０から所定のアクセス許可情報（例えばアクセストークン等）を受信・記憶する。
その後、受信したアクセス許可情報を一の対象サーバ１２に送信することで、その一の対象サーバ１２では、不正アクセス検出装置２０において認証・アクセス許可がなされたユーザ端末１４であると判断され、当該一の対象サーバ１２へのアクセスとサービス提供を受けることができるようになる。
【００２５】
そして、他の対象サーバ１２に対してアクセスする場合には、同一の認証情報（ＩＤ・パスワード等）を不正アクセス検出装置２０に送信して認証を得ることで、既に受信・記憶しているアクセス許可情報を、今回アクセスする他の対象サーバ１２に送信することで、その他の対象サーバ１２においてもアクセスが許可されることになる。
ここで、不正アクセス検出装置２０で生成され、ユーザ端末１４（及び対象サーバ１２）に送信されるアクセス許可情報としては、例えばアクセストークンがある。
【００２６】
アクセストークンとは、認証装置（認証システム）で生成・管理される情報であって、例えば、発行元（不正アクセス検出装置２０）の識別情報・発行先（対象サーバ１２）の識別情報・ユーザ（ユーザ端末１４）の識別情報・発行日時などの情報が含まれる。
このようなアクセストークンが、不正アクセス検出装置２０と各対象サーバ１２の間で受け渡したされて情報共有されることで、ユーザ端末１４からアクセストークンを伴うアクセス要求があれば、それによって各対象サーバ１２では、アクセスを許可することになる。
なお、本発明に係るアクセス許可情報としては、アクセストークンに限定されるものではない。ユーザ端末１４について複数の対象サーバ１２へのアクセス要求の可否を識別・決定できる限り、アクセス許可情報としての名称や情報内容等は、アクセストークン以外の情報であっても良い。
【００２７】
［不正アクセス検出装置（認証・認可提供システム：ｉＤＰ）］
不正アクセス検出装置２０は、インターネット等の通信網１６を介して、ユーザ端末１４からアクセス要求情報が送信された対象サーバ１２に対して、アクセス要求したユーザ端末１４についてのアクセス許可情報を送信する認証装置（認証システム）として機能する情報処理装置であり、例えば複数のＷｅｂサイト等に対して認証処理サービスを提供する事業者等のデータセンタやオフィスなどに設置されるＰＣやサーバ群等によって構成される。この不正アクセス検出装置２０による認証処理によって、ユーザ端末１４は、一つの認証処理によって複数の対象サーバ１２へのアクセスが許可されるシングルサインオンが可能となる（図２参照）。
このように、不正アクセス検出装置２０は、複数の対象サーバ１２に対して、ユーザ端末１４の認証・認可を提供する「認証・認可提供システム：ｉＤＰ（Identity  Provider）」を構成している。
【００２８】
そして、本実施形態に係る不正アクセス検出装置２０は、各ユーザ端末１４の認証処理を実行するとともに、ユーザ端末１４から、同一の認証情報が複数の異なる対象サーバ１２に送信された場合に、その同一の認証情報を送信した一又は二以上のユーザ端末１４に係るアクセス要求について、複数の同一又は異なる対象サーバ１２へのアクセス要求情報を総合的に判断して、不正アクセスのリスク（脅威レベル）判定を実行する。
以下、不正アクセス検出装置２０の詳細について、図３を参照しつつ説明する。
【００２９】
不正アクセス検出装置２０は、対象サーバ１２に対するウェブアクセスの属性情報を、アクセス要求を受けた各対象サーバ１２から送信されるログファイルやＡＰＩ（Application  Programming  Interface）経由で受け付けると、ウェブアクセスごとのリスク判定を実行する。
すなわち、不正アクセス検出装置２０は、同一の認証情報を使用したユーザ端末１４から複数の対象サーバ１２へのウェブアクセスの中に存在する不正アクセスを検出する。
そして、不正アクセス検出装置２０は、リスクの判定結果に応じて、当該ウェブアクセスに係るユーザ端末１４について、アクセスの許可や再認証／追加認証の要求、アクセス許可情報の無効化（破棄・削除・変更）などの処理を実行する。
【００３０】
図３は、本実施形態に係る不正アクセス検出装置２０の機能構成を示すブロック図である。
同図に示すように、不正アクセス検出装置２０は、制御部２２、記憶部２４、通信部２６の各部を備えて構成される。
制御部２２は、ユーザ端末１４の認証と、ユーザ端末１４から対象サーバ１２への不正アクセスを検出するためのデータ処理を実行する。また、制御部２２は、通信部２６を介してユーザ端末１４及び対象サーバ１２とデータを送受する。
記憶部２４は、制御部２２により参照又は更新されるデータを記憶する記憶領域である。
通信部２６は、所定の通信プロトコルにしたがって外部装置と通信する。この通信部２６が、ユーザ端末１４から送信される認証情報を受信する、本発明に係る認証情報受信手段を構成する。
【００３１】
［記憶部］
記憶部２４は、図３に示すように、認証・アクセス許可情報保持部２７、ＢＬ／ＷＬ保持部２８、アドレス情報保持部３０、規則保持部３２、第１判定結果保持部３４、第２判定結果保持部３６、累積スコア保持部３８の各部を備えている。
認証・アクセス許可情報保持部２７は、ユーザ端末１４についての登録情報として、各ユーザ端末１４の識別情報・ログインＩＤ・パスワードなどの情報を保持・記憶している。
この登録情報に基づいて、各ユーザ端末１４から対象サーバ１２に対してアクセス要求が行われると、まず当該ユーザ端末１４の認証処理が認証処理部４２よって実行される。
【００３２】
また、認証・アクセス許可情報保持部２７は、認証処理を経て対象サーバ１２へのアクセス許可されるユーザ端末１４に対して生成・送信される所定のアクセス許可情報を、上記のような登録情報と関連付けて保持・記憶する。
このアクセス許可情報といては、例えば上述したアクセストークンがあり、アクセストークンに含まれる所定情報（発行元識別情報・発行先識別情報・ユーザ識別情報・発行日時等）が、ユーザ端末１４の登録情報として保持される。
【００３３】
ＢＬ／ＷＬ保持部２８は、ユーザ端末１４に係るブラックリスト及びホワイトリストのデータを保持する。
図４は、ＢＬ／ＷＬ保持部２８のデータ構造の例を示す。
同図に示す例では、キーとしてユーザ端末１４のＩＰアドレス情報（例えばＩＰアドレス（又はネットワークアドレス）＋サブネットマスク長）が設定されている。
また、値としてホワイトリストの識別子（図４では「ホワイト」）又はブラックリストの識別子（図４では「ブラック」）が設定されている。ホワイトリストの識別子に対応付けられたキーのリストがホワイトリストに相当し、ブラックリストの識別子に対応付けられたキーのリストがブラックリストに相当する。
【００３４】
ここで、ブラックリストとして登録される情報としては、例えば、不正者により使用されたことが判明したユーザ端末１４のＩＰアドレス、ネットワークアドレス、デバイスＩＤ（後述）、ユーザＩＤなどを記録することができる。
また、ホワイトリストとして登録される情報としては、例えば、正当な権限を有するユーザが固定的に使用するユーザ端末１４のＩＰアドレス、ネットワークアドレス、デバイスＩＤ、ユーザＩＤなどを記録することができる。
【００３５】
アドレス情報保持部３０は、ＩＰアドレスと地理情報との対応関係を保持する。
図５は、アドレス情報保持部３０のデータ構造の例を示す。
同図に示す例では、アドレス情報保持部３０は、対象サーバ１２に対するウェブアクセスの接続元のＩＰアドレスをキーとし、国・都市・緯度・経度を値として、両者を対応づけたレコードを保持する。
ここで、接続元のＩＰアドレスは、対象サーバ１２で受信されたＩＰパケットに設定された送信元ＩＰアドレスであってもよい。例えば、ユーザ端末１４のＩＰアドレスであってもよく、ユーザ端末１４と対象サーバ１２との通信を中継するプロキシサーバやルータ等のＩＰアドレスであってもよい。
【００３６】
規則保持部３２は、ＢＩの高さを示すＢＩスコアを決定するための規則（基準）であるＢＩスコア判定規則と、ＦＰの高さを示すＦＰスコアを決定するための規則であるＦＰスコア判定規則を保持する。
なお、ＢＩスコア判定規則とＦＰスコア判定規則は、高速アクセスを可能にするために半導体メモリ内に格納されてもよく、後述のＢＩスコア導出部４６、ＦＰスコア導出部４８を実装したコンピュータプログラム内にアルゴリズムとして組み込まれてもよい。
【００３７】
図６は、ＢＩスコア判定規則のデータ構造の例を示す。
ＢＩスコア判定規則は、判定条件と、判定条件が満たされた場合のＢＩスコアを対応づけて保持する。判定条件は、アクセス先ＵＲＬ、ＧＥＴ又はＰＯＳＴのパラメータ属性等が規定されてもよい。また、ＢＩスコアは、対象サーバ１２において重要な処理又はトランザクションほど大きい値が設定される。例えば、対象サーバ１２によりサービスを提供する企業のビジネスに与える影響が大きい処理又はトランザクションほど大きい値が設定されてよい。
【００３８】
図６の１番目のレコードは、ユーザ端末１４から対象サーバ１２へのアクセスが、ログイン認証を実行するＵＲＬに対するＰＯＳＴ送信である場合に、ＢＩスコアを「１０」とすることを示している。
また、図６の４番目のレコードは、送信画面における送金実行用のＵＲＬに対するＰＯＳＴ送信であり、かつ、送金金額のパラメータの値が５０万円未満の場合に、ＢＩスコアに「９０」とすることを示している。
【００３９】
図７は、ＦＰスコア判定規則のデータ構造の例を示す。
ＦＰスコア判定規則は、判定条件（図７では識別対象及びルール内容）と、判定条件が満たされた場合に加算すべきＦＰスコア（値は不図示）を対応づけて保持する。
図７における識別対象は、アクセスのデータに含まれる複数種類の識別子のうち少なくとも１つである。識別対象は、例えば、国（ＩＰアドレスにより特定される国）、ＩＰアドレス、ＵＡ（User Agent）、ユーザＩＤ（ログイン要求で指定されたユーザＩＤ）、デバイスＩＤを含む。デバイスＩＤは、特定のユーザ端末１４を一意に識別可能な識別子であり、ユーザ端末１４のウェブブラウザ種類及びバージョン、言語設定、インストール済フォント、画面解像度、色深度、ＣＰＵ種別、タイムゾーン等の組み合わせに基づいて生成された情報である。
【００４０】
図７の「ルール内容」は、識別対象である識別子の値（及びその識別子に紐付く別の識別子の値）、及び／又は、識別対象である識別子の値に紐付く過去のリクエスト履歴（アクセス履歴）の態様を定めたものである。図７の「ＦＰスコア」は、対象サーバ１２が提供するウェブサイトの種類や業務内容に基づいて判定条件ごとに予め定められる。
具体的には、複数の判定条件の中で、充足された場合に不正アクセスの疑いが強いものほど大きなＦＰスコアが設定される。
【００４１】
図７の項番２は、ウェブアクセスのデータに含まれる接続元ＩＰアドレスが、ブラックリストで指定されたＩＰアドレスに合致する場合、所定のＦＰスコアを加算するように規定するものである。
図７の項番１７は、特定のユーザＩＤを指定したログイン試行アクセスについて、単位時間あたりの上記ログイン試行アクセスが含む接続元ＩＰアドレスの個数（ユニーク数）が所定値以上の場合、所定のＦＰスコアを加算するように規定するものである。ここでの単位時間は５分でもよく、所定値は５個でもよい。図７の項番２０は、同じデバイスＩＤを含むログイン試行アクセスについて、単位時間あたりの上記ログイン試行アクセスが含むユーザＩＤの個数（ユニーク数）が所定値以上の場合、所定のＦＰスコアを加算するように規定する。
【００４２】
そして、図７に示すようなＦＰスコア判定規則によると、正しいユーザＩＤとパスワードを使用した不正アクセスであっても、その不正アクセスを精度よく検出できる。
例えば、図７の項番１０、１１はログイン回数（ログイン成功回数）が基準であり、図７の項番１２、１３はログイン失敗回数が基準である。これに加えて、図７の項番１７〜２０は、ログイン認証を実行するＵＲＬへのアクセス回数であり、ログインが成功か失敗かに関わらないログイン試行回数が基準であるため、仮にログインに成功したウェブアクセスであっても不正アクセスとして判定することができる。
【００４３】
第１判定結果保持部３４及び第２判定結果保持部３６は、リスク判定結果を保持する。
図８は、第１判定結果保持部３４及び第２判定結果保持部３６のデータ構造の例を示す。
同図に示すように、レコード群６０は、１つのウェブアクセスあたりに記録される複数のレコードである。
アクセス属性６２は、ウェブアクセスの属性値であり、複数種類の識別子の値（ＩＰアドレス、ユーザＩＤ、デバイスＩＤ）を含む。
リスク判定結果６４は、アクセス属性６２に基づくリスク判定結果であり、ＢＩスコア、ＦＰスコア、リスクランクを含む。
なお、第１判定結果保持部３４は、１つのウェブアクセスあたりに記録されたレコード群６０を、アクセス日時（例えばアクセス属性６２のＴｉｍｅ）から、例えば３０日間のみ保持するようになっている。一方、第２判定結果保持部３６は、１つのウェブアクセスあたりに記録されたレコード群６０を、管理者による明示的な削除がない限り永続的に保持することができるようになっている。
【００４４】
累積スコア保持部３８は、少なくとも１つのウェブアクセスで指定された複数種類の識別子のそれぞれについて、ＦＰスコアの累積値（以下「ＦＰ累積値」とも呼ぶ。）を含むデータを保持する。
図９は、累積スコア保持部３８のデータ構造の例を示す。
累積スコア保持部３８は、１つの識別子の値ごとに、型（Ｔｙｐｅ）・ＦＰ累積値（ＳｕｍＳｃｏｒｅ）・最終アクセス日時（ＬａｓｔＡｃｃｅｓｓ）の３レコードを含む。
図９では、ＩＰアドレス「１３３．２５０．１９５．１」、デバイスＩＤ「Ｅ６ＪＵ９Ｍｒ・・・」、ユーザＩＤ「ｕｓｅｒ０００１」のそれぞれについて記録された型・ＦＰ累積値・最終アクセス日時を示している。
【００４５】
［制御部］
制御部２２は、図３に示すように、ログ取得部４０、認証処理部４２、アクセス許可処理部４４、ＢＩスコア導出部４６、ＦＰスコア導出部４８、リスク判定部５０、判定結果記録部５２、累積スコア記録部５４、アラート通知部５６、ダッシュボード提供部５８の各部を備える構成となっている。
【００４６】
ログ取得部４０は、ユーザ端末１４から認証情報を含むアクセス要求が送信されると、ユーザ端末１４のウェブアクセスに対するリスク判定をバッチ処理として実行させる場合のインタフェースである。
ログ取得部４０は、１つ以上のユーザ端末１４のウェブアクセスのデータ（ウェブアクセス属性）が記録されたアクセスログを対象サーバ１２から取得し、アクセスログに記録されたウェブアクセス属性を読み込む。
なお、ログ取得部４０は、ユーザ端末１４から対象サーバ１２にアクセス要求されたタイミングでアクセスログを受信・取得し、また、対象サーバ１２から定期的に送信されるアクセスログを受信することもできる。
【００４７】
ここで、アクセスログに記録されたウェブアクセス属性としては、アクセス日時、アクセス先ＵＲＬ、接続元ＩＰアドレス、ユーザＩＤ、ブラウザ種別（又はＵｓｅｒＡｇｅｎｔ）、デバイスＩＤ、Ｃｏｏｋｉｅなどが含まれる。
ユーザＩＤは、ログイン認証画面に対してパラメータとして送信されたユーザＩＤでもよく、ログイン後のユーザセッションに対応付けられたユーザＩＤでもよい。
対象サーバ１２は、デバイスＩＤ取得スクリプト（例えばＪａｖａｓｃｒｉｐｔ（登録商標）プログラム）を保持し、当該スクリプトをウェブページのデータとともにユーザ端末１４へ送信してユーザ端末１４のウェブブラウザで実行させることにより、ユーザ端末１４からデバイスＩＤを取得することができる。
【００４８】
また、ウェブアクセス属性は、対象サーバ１２のウェブサイトにおける業務固有のパラメータを含むことができる。
例えば、ウェブアクセス属性は、ＧＥＴ送信又はＰＯＳＴ送信でパラメータとして付加されたデータをさらに含んでもよい。この場合、ＢＩスコア判定規則とＦＰスコア判定規則の少なくとも一方に、業務固有のパラメータの値に基づく判定条件が設定されてもよい。例えば、インターネットバンキングのウェブサイトの場合、業務固有のパラメータとして口座番号や取引金額を含んでもよい。そして、口座番号や取引金額が判定条件を満たす場合に、ＢＩスコアとＦＰスコアの少なくとも一方を加算してもよい。
【００４９】
認証処理部４２は、ユーザ端末１４から認証情報を受信すると、当該認証情報と記憶部２４の認証・アクセス許可情報保持部２７に記憶されている登録認証情報を照合して、当該ユーザ端末１４の認証処理を実行する。認証結果は、通信部２６を介して該当するユーザ端末１４に送信される。
この認証処理部４２が、本発明に係る認証手段を構成する。
ここで、認証処理情報とは、上述した認証・アクセス許可情報保持部２７に登録・記憶されている登録認証情報に対応する情報であり、ユーザ端末１４の識別情報・ログインＩＤ・パスワードなどの情報である。
【００５０】
アクセス許可処理部４４は、認証処理部４２で認証処理されたユーザ端末１４に対して、所定のアクセス許可情報を生成し、当該ユーザ端末１４と、当該ユーザ端末１４からアクセス要求情報が送信された対象サーバ１２装置に対して、アクセス許可情報を送信する。アクセス許可情報は、通信部２６を介して該当するユーザ端末１４及び対象サーバ１２に送信される。また、生成されたアクセス許可情報は、認証・アクセス許可情報保持部２７に登録され、ユーザ端末１４の識別情報・認証情報とともに記憶・保持される。
この認証処理部４２が、本発明に係るアクセス許可情報生成手段を構成する。
【００５１】
そして、これら認証処理部４２及びアクセス許可処理部４４は、リスク判定部５０のリスク判定結果に基づいて、所定のリスクランク以上のウェブアクセスに対して所定の動作を実行する。
認証処理部４２は、リスク判定部５０のリスク判定結果（例えば図８のリスク判定結果６４）に基づいて、該当するアクセス要求情報を送信したユーザ端末１４に、再度の認証情報の送信（追加認証）を要求する。
ここで、再度の認証情報としては、ＯＴＰ（One  Time  Password）を求める所定情報を該当するユーザ端末１４に送信することができる。
【００５２】
アクセス許可処理部４４は、リスク判定部５０のリスク判定結果に基づいて、リスク判定されたアクセス要求情報に対応する認証情報と同一の認証情報を送信した全てのユーザ端末１４に対して生成・送信されたアクセス許可情報（アクセストークン等）を無効化（トークンリボーク）する。
アクセス許可情報の無効化は、認証・アクセス許可情報保持部２７において記憶されているアクセス許可情報を破棄（削除）することにより行われる。
【００５３】
このように、リスク判定結果に応じて、所定のリスクランク以上のウェブアクセスに対して所定の動作を実行することにより、不正アクセスや情報漏洩等の被害発生を未然に防止できるようになる。
ここで、所定の動作としては、上記のような再認証要求やアクセストークンの無効化の他、所定のリスクランク以上のウェブアクセスを遮断したり、所定のリスクランク以上のウェブアクセスの対象となる取引を拒否することが含まれる。これによって、例えば商品や資金などの不正の取引を未然に防ぐことができる。
なお、リスクランクに応じた所定の動作としては、ウェブアクセスの対象となる取引毎、図６に示す業務処理毎、図７に示す判定条件毎・ルールカテゴリ毎・ルール内容毎に、所定の動作を設定することもできる。
【００５４】
ＢＩスコア導出部４６は、ログ取得部４０により取得されたウェブアクセス属性と、規則保持部３２に保持されたＢＩスコア判定規則にしたがって、ウェブアクセス属性ごとのＢＩスコアを導出する。言い換えれば、ユーザ端末１４から対象サーバ１２へのウェブアクセスごとのＢＩスコアを導出する。
【００５５】
ＢＩスコア導出部４６は、１つのウェブアクセス属性に含まれるアクセス先ＵＲＬと、パラメータ属性値の組み合わせが、ＢＩスコア判定規則に定められた特定の判定条件を充足する場合、その判定条件に対応付けられたＢＩスコア（例えば０〜１００の値）を、当該ウェブアクセスのＢＩスコアとして決定する。
上述した図６の例では、１つのウェブアクセス属性に含まれるアクセス先ＵＲＬがログイン認証ＵＲＬと合致する場合、そのウェブアクセスのＢＩスコアを「１０」に決定する。
また、変形例として、ウェブアクセス属性が複数の判定条件を充足する場合、それら複数の判定条件に対応付けられたＢＩスコアの合計値を０〜１００の値に正規化し、正規化後の値を当該ウェブアクセスのＢＩスコアとして決定してもよい。
【００５６】
ＦＰスコア導出部４８は、ログ取得部４０により取得されたウェブアクセス属性と、規則保持部３２に保持されたＦＰスコア判定規則にしたがって、ウェブアクセス属性ごとのＦＰスコアを導出する。すなわち、ＦＰスコア導出部４８は、ユーザ端末１４から対象サーバ１２へのウェブアクセスごとのＦＰスコアを導出する。
本実施形態では、ＦＰスコア導出部４８は、１つのウェブアクセス属性に含まれる複数種類の識別子（例えば接続元ＩＰアドレス、ユーザＩＤ、デバイスＩＤ）について、識別子ごとにその値に基づいてＦＰ値を導出し、識別子ごとに導出したＦＰ値を集計して１つのウェブアクセスのＦＰ値を導出することができる。
【００５７】
具体的には、ＦＰスコア導出部４８は、第１判定結果保持部３４に保持された識別子の値（例えば接続元ＩＰアドレスの値）が一致する過去のウェブアクセス属性を参照する。
そして、例えば一の対象サーバ１２に対する１つ以上のウェブアクセス属性から、今回の他の対象サーバ１２に対するウェブアクセス属性に基づいて特定される複数のウェブアクセスの振る舞いが、ＦＰスコア判定規則の判定条件（例えば図７の項番９以降）に合致する場合、その判定条件に対応付けられたＦＰスコアを加算する。
また、ＦＰスコア導出部４８は、１つのウェブアクセス属性に含まれる識別子ごとに（ＦＰスコア判定規則の判定条件ごとに）、判定条件の充足判定処理とＦＰスコア加算処理を繰り返すことができる。
【００５８】
例えば、図７の項番２にしたがって、ＦＰスコア導出部４８は、アクセスデータに含まれる接続元ＩＰアドレスが、ＢＬ／ＷＬ保持部２８のブラックリストで指定されている場合、項番２で定められたＦＰスコアを加算する。
また、図７の項番１７にしたがって、ＦＰスコア導出部４８は、判定対象のウェブアクセスに含まれるユーザＩＤに対する、単位時間あたりのログイン試行ＩＰアドレス数が所定値以上の場合、項番１７で定められたＦＰスコアを加算する。
この場合、ＦＰスコア導出部４８は、上記ユーザＩＤを指定したログイン試行ＵＲＬへのウェブアクセスを、第１判定結果保持部３４から検索してもよい。そして、検索にヒットした１つ以上のウェブアクセスにおける接続元ＩＰアドレスのユニーク数を計数してもよい。
【００５９】
また、図７の項番２０にしたがって、ＦＰスコア導出部４８は、判定対象のウェブアクセスに含まれるデバイスＩＤを含む所定の単位時間内の１回以上のログイン試行アクセスを特定する。
そして、それらのログイン試行アクセスで指定されたユーザＩＤのユニーク数が所定値以上の場合、項番２０で定められたＦＰスコアを加算する。
この場合、ＦＰスコア導出部４８は、上記デバイスＩＤを指定したログイン試行ＵＲＬへのウェブアクセスを、第１判定結果保持部３４から検索してもよい。そして、検索にヒットした１つ以上のウェブアクセスで指定されたユーザＩＤのユニーク数を計数してもよい。
【００６０】
リスク判定部５０は、複数の対象サーバ１２に対するウェブアクセスのそれぞれに対して導出されたＢＩスコアとＦＰスコアに基づいて、各ウェブアクセスの危険度（以下「リスクランク」とも呼ぶ。）を判定し、各ウェブアクセスのリスクランクを含むリスク判定結果を生成する。
そして、本実施形態では、リスク判定部５０は、アクセス許可情報が生成されたユーザ端末１４に係る認証情報と同一の認証情報が、当該アクセス許可情報が送信された対象サーバ１２と、同一又は異なる対象サーバ１２に対してアクセス要求情報を送信したユーザ端末１４から送信されると、当該同一の認証情報を送信した一又は二以上のユーザ端末１４に係るアクセス要求情報について、各対象サーバ１２に対して送信されたアクセス要求情報について所定の不正アクセスのリスク判定を実行するようになっている（図１１、１２参照）。
このリスク判定部５０が、本発明に係るリスク判定手段を構成する。
【００６１】
判定結果記録部５２は、リスク判定部５０により生成された或るウェブアクセスに対するリスク判定結果（図８のリスク判定結果６４参照）を、そのウェブアクセス属性のデータ（図８のアクセス属性６２参照）と対応付けて第１判定結果保持部３４と第２判定結果保持部３６の両方へ格納する。
図１０は、本実施形態におけるリスク判定基準を示す。
同図に示すように、リスク判定部５０は、ＢＩスコアとＦＰスコアの組み合わせが領域７０に該当する場合、リスクランク「低（ＬＯＷ）」と判定する。
また、上記組み合わせが領域７２に該当すればリスクランク「中（ＭＩＤ）」、領域７４に該当すればリスクランク「高（ＨＩＧＨ）」、領域７６に該当すればリスクランク「重大（ＳＥＶＥＲＥ）」と判定する。
【００６２】
図１０に示すように、リスク判定部５０は、或る対象サーバ１２に対するウェブアクセスのＢＩスコアが相対的に大きい場合、当該ウェブアクセスのＦＰスコアが相対的に小さくても、当該ウェブアクセスの危険度を相対的に高く判定する。
また、リスク判定部５０は、或る対象サーバ１２に対するウェブアクセスのＦＰスコアが相対的に大きい場合、当該ウェブアクセスのＢＩスコアが相対的に小さくても、当該ウェブアクセスの危険度を相対的に高く判定する。
換言すれば、リスク判定部５０は、ＦＰスコアが所定値（同一の値）であるとき、ＢＩスコアが大きくなるほど危険度を高く判定する。同様に、リスク判定部５０は、ＢＩスコアが所定値（同一の値）であるとき、ＦＰスコアが大きくなるほど危険度を高く判定する。
【００６３】
累積スコア記録部５４は、ウェブアクセスのデータに含まれる複数種類の識別子（例えばＩＰアドレス、デバイスＩＤ、ユーザＩＤ）について、識別子ごとにその値とＦＰスコアの累積値（すなわちＦＰ累積値）とを対応付けて累積スコア保持部３８に記録する。
例えば、累積スコア記録部５４は、上述した図９で示したように、１つの識別子の値をキーとして、型・ＦＰ累積値・最終アクセス日時（擬似的にＦＰ累積値の更新日時でもよい）を対応付けて、累積スコア保持部３８に記録することができる。
【００６４】
また、累積スコア記録部５４は、複数種類の識別子（例えばＩＰアドレス、デバイスＩＤ、ユーザＩＤ）のそれぞれに対するＢＬ追加基準値を保持することができる。
ＢＬ追加基準値としては、識別子の種類ごとに異なる値を設定することができる。
さらに、累積スコア記録部５４は、或る識別子の値に対応付けて記録されたＦＰスコアの累積値が、ＢＬ追加基準値以下からＢＬ追加基準値を超えた場合に、その識別子の値をブラックリストへ自動的に登録することができる。具体的には、その識別子の値をキーとし、「ブラック」を値とするレコードをＢＬ／ＷＬ保持部２８へ追加することができる。
【００６５】
ＦＰスコア導出部４８は、或る対象サーバ１２に対するウェブアクセスに関するデータに含まれる識別子ごとに、識別子の値に対して予め記録されたＦＰ累積値に基づいて、当該ウェブアクセスが不正である可能性の高さを検出することができる。
具体的には、ＦＰスコア導出部４８は、識別子の値がブラックリストに登録されていた場合、すなわち、累積値の値をキーとし、かつ「ブラック」を値とするレコードがＢＬ／ＷＬ保持部２８に存在する場合、ＦＰスコアを加算することができる（例えば図７の項番１〜５）。
【００６６】
また、本実施形態では、累積スコア保持部３８に保持されるＦＰ累積値が、時間の経過とともに一定量減衰するモデルを採用することができる。
累積スコア記録部５４は、或る識別子の値と対応付けて記録したＦＰ累積値を、その識別子の値を含む最終アクセスからの経過時間に応じて減算することができる。
具体的には、最終アクセスからの経過時間が長くなるほど、ＦＰ累積値の減算幅を大きくする。例えば、或るＩＰアドレスの値（ここでは図８の「１３３．２５０．１９５．１」）に対応付けて記録されたＦＰ累積値「３０」について、「１３３．２５０．１９５．１」を接続元ＩＰアドレスとするウェブアクセスがなされない期間が長くなるほど上記ＦＰ累積値を小さくしていく。
【００６７】
より具体的には、累積スコア記録部５４は、所定の単位時間あたりの減衰量ｄを保持する。累積スコア記録部５４は、ウェブアクセス属性が受け付けられた場合に、そのウェブアクセス属性に含まれる識別子ごとに、前回更新時におけるＦＰ累積値から、（前回更新時からの経過時間Ｔ×ｄ）を減算する。言い換えれば、累積スコア記録部５４は、以下の計算を実行して、識別子ごとのＦＰ累積値を更新し、新たなＦＰ累積値を累積スコア保持部３８へ格納する。
新たなＦＰ累積値  ＝  前回更新時のＦＰ累積値  −  Ｔｄ
【００６８】
また、累積スコア記録部５４は、或る識別子の値に対応付けて記録されたＦＰ累積値が、ＢＬ追加基準値を超えた状態からＢＬ追加基準値以下に変化した場合に、その識別子の値をブラックリストから除外することができる。
具体的には、その識別子の値をキーとし、「ブラック」を値とするレコードをＢＬ／ＷＬ保持部２８から削除する。
【００６９】
アラート通知部５６は、所定のリスクランク以上のウェブアクセスを示すアラート情報（例えば図７のアクセス属性６２及びリスク判定結果６４のデータ）を、各対象サーバ１２へ通知する。通知方法としては、例えば電子メール、ファイル送信、プッシュ通知等、公知の方法を採用することができる。
また、アラート通知部５６は、予め定められたタイミングで定期的にアラート情報を、各対象サーバ１２の管理者が保持・操作する所定の管理者端末へ送信することができる。
なお、アラート情報の送信タイミングとしては、所定のリスクランク以上のウェブアクセスが検出されたタイミング、言い換えれば、所定のリスクランク以上を示すリスク判定結果が第１判定結果保持部３４、第２判定結果保持部３６に記録されたタイミングで、アラート情報を送信することができる。
【００７０】
ダッシュボード提供部５８は、リスク判定結果やその統計情報等を表示するダッシュボードの画面データを生成して、各対象サーバ１２やその管理者の端末等へ送信する。
例えば、ダッシュボード提供部５８は、第２判定結果保持部３６に保持されたリスク判定結果を読み込んでダッシュボードの画面データを生成し、所定の対象サーバ１２等に送信することができる。
【００７１】
［脅威レベル設定パターン］
次に、以上のような不正アクセス検出装置２０において不正アクセスとして判定・検出される、同一の認証情報を用いて行われる対象サーバ１２への複数のアクセスについての脅威レベルのパターン設定について説明する。
図１１は、複数の同一又は異なる対象サーバ１２に対して、同一の認証情報（ＩＤ／パスワード）が入力・送信されて認証が行われた場合の想定されるパターン（シナリオ）と、その場合の脅威レベルと対応動作を対応付けた設定例である。この例では、同一認証・複数アクセスがあった場合に、セキュリティとユーザの利便性の観点から、脅威レベルを「低・中・高」の３段階に設定している。
このような設定は、不正アクセス検出装置２０の記憶部２４に設定・記憶され、リスク判定部５０によるリスク判定に用いられる。
【００７２】
［脅威レベル：低］
まず、図１１の上段は、１回目のアクセスが行われた一の対象サーバ１２ａと異なる、他の対象サーバ１２ｂに対して行われた２回目のアクセスが、１回目のアクセスと同じＵＡ（User  Agent：Ｗｅｂブラウザの識別情報）からのものであった場合である。
この場合には、同じユーザ端末１４から同一ユーザによってアクセスされたものと判定することができ、「同じＵＡ＝安全」と判断できるので、追加認証等の対応も不要と考えられ、２回目のアクセスの脅威レベルは「低」と設定することができる。
【００７３】
したがって、この場合には、不正アクセス検出装置２０による認証処理（Connect認可ＡＰＩ：Application  Program  Interface）についても、対象サーバ１２ａ、１２ｂにおける個別サービス処理（IntrospectionＡＰＩ）、例えば対象サーバ１２ａ（ＰＲ１）：「決済前」、対象サーバ１２ｂ（ＲＰ２）：「振り込み前」についても、追加認証（ＯＴＰ）の要求やアクセストークンの無効化（トークンリボーク）は行わない。
また、この場合には、不正アクセス検出装置２０では、次回以降に同じＵＡ（ユーザ端末）については追加認証（ＯＴＰ）を求めないようにするために、不正アクセス検知（ＩＦＤ：Identity  Fraud Detection）のリスク情報を初期化することができる。
【００７４】
［脅威レベル：中］
次に、図１２の中段は、２回目のアクセスが、１回目のアクセスと同一の対象サーバ１２ａに対して、異なるＵＡから行われた場合である。
この場合には、同一ユーザが、自己が使用する異なる２つのユーザ端末１４からアクセスを行ったものと判定することができ、「ＵＡ変更」は、例えばＰＣとスマートフォン等のモバイル端末などの間では普通（頻繁）に行われると判断できるので、追加認証を行えば問題ないと考えられ、２回目のアクセスの脅威レベルは「中」と設定することができる。
【００７５】
したがって、この場合には、不正アクセス検出装置２０による認証処理（Connect認可ＡＰＩ）についても、対象サーバ１２ａにおける個別サービス処理（IntrospectionＡＰＩ）についても、確認的に追加認証（ＯＴＰ）を求めるようにし、アクセストークンの無効化（トークンリボーク）は行わない。
また、この場合には、不正アクセス検出装置２０では、次回以降に同じ複数のＵＡ（ユーザ端末）については追加認証（ＯＴＰ）を求めず、過去に使用されていないＵＡからアクセスされた場合にのみ追加認証を求めるようにするために、ＩＦＤのリスク情報を設定・変更等することができる。
【００７６】
［脅威レベル：高］
次に、図１２の下段は、２回目のアクセスが、１回目のアクセスが行われた一の対象サーバ１２ａとは異なる他の対象サーバ１２ｂに対して行われ、かつ、２回目のアクセス元が１回目のアクセス元とは異なる国である場合である。
この場合には、認証情報の漏洩・不正使用による不正アクセスの可能性が高いと判定することができ、追加認証やトークンリボークが必要と考えられ、２回目のアクセスの脅威レベルは「高」と設定することができる。
【００７７】
この場合には、まず、認証処理を経て行われている１回目のアクセスに係る対象サーバ１２での個別サービス処理（IntrospectionＡＰＩ）については、追加認証（ＯＴＰ）を求めるようにし、一度認証処理が行われていることから、アクセストークンの無効化（トークンリボーク）は行わない。認証処理が行われた１回目のアクセスを含めて、既に発行されている全てのアクセストークンを無効化するのは厳しすぎると考えられ、ユーザの利便性を重視して、各対象サーバ１２での追加認証のみを行うようにする。
【００７８】
一方、不正アクセス検出装置２０による認証処理（Connect認可ＡＰＩ）については、認証処理を経ていない２回目のアクセスについては、認証前であり、例えばアカウントハッキングの可能性も高いと考えられるため、最も厳しい判定とすることができる。
この場合には、不正アクセス検出装置２０では、不正使用された可能性の高い認証情報による認証・ログインの後、同意画面を表示させる前に追加認証（ＯＴＰ）を求める。
また、同時に、同一認証情報に基づいて発行されたアクセストークンは、全て無効化（削除）する。これによって、それ以前に発行されたアクセストークンは他の対象サーバ１２で使用された段階でエラー発生となり、アクセストークンが盗難・不正利用された場合にも、被害の発生を防止できるようになる。
【００７９】
［動作（不正アクセス検出方法）］
次に、以上のような構成からなる本実施形態に係る不正アクセス検出装置２０の具体的な動作（不正アクセス検出方法）について、図１２を参照しつつ説明する。
図１２は、本実施形態に係る不正アクセス検出装置２０における処理動作を示すシーケンス図である。
【００８０】
前提として、本実施形態に係る不正アクセス検出システム１では、不正アクセス検出装置２０に対して、複数の対象サーバ１２と、認証処理についてのユーザ登録がなされた一又は二以上のユーザ端末１４が、通信網１６を介してアクセス・通信可能に接続が確立されている（図１参照）。
まず、或るユーザ端末１４から、複数の対象サーバ１２のうち、一の対象サーバ１２ａ（ＲＰ１）に対して、サービス利用要求としてアクセス要求情報が送信される（ステップ(1)）。このアクセス要求情報には、当該ユーザ端末１４に係るウェブアクセス属性を示す情報が含まれる。
【００８１】
ユーザ端末１４から対象サーバ１２ａに送信されたサービス利用要求は、リダイレクト処理を経て、認証認可要求として、不正アクセス検出装置２０（Ｉｄｐ）に送信される（ステップ(2)）。この認証認可要求には、上述した脅威分析用情報を含むウェブアクセス属性を示す情報が含まれる。
認証認可要求が不正アクセス検出装置２０で受信されると、不正アクセス検出装置２０は、ユーザ端末１４の認証情報となるＩＤ／パスワードの入力画面が生成され、ユーザ端末１４に対して送信・提示される（ステップ(3)）。
【００８２】
ユーザ端末１４は、入力画面に対して登録された認証情報となるＩＤ／パスワードが入力され、その情報が不正アクセス検出装置２０に送信される（ステップ(4)）。
不正アクセス検出装置２０では、ユーザ端末１４から送信されたＩＤ／パスワードを、不正アクセス検出装置２０で登録されているＩＤ／パスワードとの検証・照合が行われ、送信されたＩＤ／パスワードが登録されたＩＤ／パスワードと一致すれば、当該ユーザ端末１４の認証が行われる（ステップ(5)）。
その後は、必要な他の処理等を経て、ユーザ認証されたユーザ端末１４から送信されたウェブアクセス属性を含むリクエスト時の情報が記憶され、当該ユーザ端末１４に対して、アクセス許可情報となるアクセストークンが生成・発行される（ステップ(6)）。
【００８３】
アクセストークンが発行されると、応答情報として、不正アクセス検出装置２０から該当するユーザ端末１４及び当該ユーザ端末１４からアクセス要求を受けた対象サーバ１２ａに対してアクセストークンが送信される（ステップ(7)）。
送信されたアクセストークンは、ユーザ端末１４において記憶・保持されるとともに、アクセス要求を受けた対象サーバ１２ａにおいて記憶・管理される（ステップ(8)）。具体的には、対象サーバ１２ａでは、受信したアクセストークンを、ユーザ端末１４のユーザＩＤ等の識別情報と対応付けて記憶・管理する（ステップ(8)）。
【００８４】
この状態で、ユーザ端末１４は、アクセス要求した対象サーバ１２ａへのアクセスが許可・可能となる。そして、ユーザ端末１４から対象サーバ１２ａに対して個別サービスの利用要求が行われると（ステップ(9)）、対象サーバ１２ａでは、管理しているアクセストークンを使ってサービスに必要な情報を不正アクセス検出装置２０に要求するトークン検証リクエスト（図２（ｂ）参照）を送信する（ステップ(10)）。
不正アクセス検出装置２０では、対象サーバ１２ａから送信されたアクセストークンを検証し、記憶・保持されているアクセストークンの情報と照合・対比して、情報が一致すれば検証ＯＫとし（ステップ(11)）、当該ユーザ端末１４には不正等がないものとして正常応答を返信する（ステップ(12)）。
これによって、ユーザ端末１４は、アクセス要求した対象サーバ１２ａとのアクセスが可能となり、対象サーバ１２ａとの間で個別サービスの利用が可能となる（ステップ(13)）。
【００８５】
このような状態において、他の対象サーバ１２ｂ（ＲＰ２）に対するアクセス要求とそれに伴う認証処理が行われ（ステップ(1)〜(5)参照）、その場合に、対象サーバ１２ａに対するアクセス要求と同一の認証情報（ＩＤ／パスワード）が入力・検証されたとする。
そして、この場合に、上述した図１１のパターン設定における「脅威レベル：高」に該当する事象、すなわち、２回目のアクセスが、１回目のアクセスとは異なる対象サーバ１２ｂに対して、１回目とは異なる国から行われたとする。
【００８６】
この場合には、まず、２回目のアクセスについての認証処理（ステップ(1)〜(5)参照）が行われると、不正アクセス検出装置２０は、不正使用された可能性の高い２回目のアクセスに係る認証情報による認証・ログインの後、同意画面を表示させる前に追加認証（ＯＴＰ）を求める。
不正アクセスが行われた場合には、追加認証に合致する情報を入力・送信することはできず、したがって、２回目のアクセスによってアクセストークンの発行を受けたり、対象サーバ１２ｂにアクセスしてサービス等の利用を受けることは不可能となる。
【００８７】
同時に、同一認証情報に基づいて対象サーバ１２ａに対して発行されたアクセストークンは無効化（破棄）される（ステップ(14)）。
これによって、１回目のアクセスを行ったユーザ端末１４から対象サーバ１２ａに対して個別サービスの利用要求が行われると（ステップ(15)）、対象サーバ１２ａは、アクセストークンを使ってサービスに必要な情報を不正アクセス検出装置２０に要求するトークン検証リクエストを送信する（ステップ(16)）。
不正アクセス検出装置２０では、対象サーバ１２ａに対して発行されたアクセストークンを既に破棄しているので、トークン検証はエラーとなり、対象サーバ１２ａに対してはエラー応答が返信される（ステップ(17)）。
【００８８】
したがって、1回目のアクセスを行ったユーザ端末１４においても、対象サーバ１２ａとのアクセスが行えず、対象サーバ１２ａにおける個別サービスの利用が不可能となる（ステップ(13)）。
このようにして、本システムによらなければ「正常応答」してしまうアカウントハッキングのような場合にも、対象サーバ１２ａと対象サーバ１２ｂに対する複数のアクセス内容から異変を察知することができ、被害の発生・拡大を防止できるようになる。
【００８９】
以上説明したように、本実施形態に係る不正アクセス検出装置２０を備えた不正アクセス検出システム１によれば、同一の認証情報を使用して行われた一又は二以上の対象サーバ１２に対する複数回のアクセスを検証し、複数のアクセス内容を総合的に判定して脅威分析を行うことで、不正の可能性の高いアクセスを確実に検出・排除することができる。
これによって、例えばＯｐｅｎＩＤ  Ｃｏｎｎｅｃｔに代表される、一つの認証処理によって複数のサーバやシステムへのアクセスが許可されるシステムにおいても、同一の認証情報を盗用した不正アクセスを検出して、信頼性・安全性の高い認証サービスシステムを実現することができる。
【００９０】
また、本実施形態に係る不正アクセス検出装置２０では、対象サーバ１２に対するウェブアクセスをＢＩとＦＰの２軸で評価し、当該ウェブアクセスのリスクランクを決定することができる。
これにより、対象サーバ１２のウェブサイトに対してウェブアクセスが与える影響度合い、言い換えれば、対象サーバ１２が実行する業務やビジネスに対してウェブアクセスが与える現実のリスクの大きさに即して評価したウェブアクセスの危険度を、対象サーバやその管理者等へ提供することができる。
【００９１】
また、本実施形態に係る不正アクセス検出装置２０によれば、複数台の端末、複数のＩＰアドレス、複数のユーザＩＤを切り替えつつ、なりすましログインや不正取引、リスト型アカウントハッキング等が行われた場合でも、複数種類の識別子を含むウェブアクセスに対して識別子ごとにＦＰスコアを積み上げていきウェブアクセスのＦＰスコアを決定することができるため、これらの不正アクセスを検出しやすくなる。  
例えば、正しいユーザＩＤ・パスワードを用いたアクセスであっても、（１）同じＩＰアドレスで多数のユーザＩＤへのログインが行われた場合、（２）同じユーザＩＤを用いたログインが（異なるＩＰアドレスからも含めて）多数行われた場合、（３）同じデバイスＩＤで多数のユーザＩＤへのログイン試行が行われた場合等、ＦＰスコアの増加により不正アクセスとして検知することができる。
【００９２】
また、本実施形態に係る不正アクセス検出装置２０では、識別子の値ごとにＦＰスコアを累積し、閾値を超えると、上記識別子の値をブラックリストへ自動登録する。これにより、同一の識別子の値を用いた過去のウェブアクセスに対して判定された不正の疑いの度合いを、今回のウェブアクセスに対するリスク判定へ反映することができる。
さらに、不正アクセス検出装置２０は、最終アクセスからの経過時間に応じてＦＰスコアの累積値を減算し、閾値以下になるとブラックリストから自動削除することができる。これにより、ブラックリストの登録数の増加を抑制でき、ブラックリストとの効率的なマッチングを実現することができる。また、不正アクセスで使用されなくなってから時間が経過した識別子の値はブラックリストから除外されることで、その後、正当なユーザがその識別子の値を利用する場合に、不正アクセスと誤検知してしまうことを抑制できる。
【００９３】
以上、本発明について、好ましい実施形態を示して説明したが、本発明は、上述した実施形態に限定されるものではなく、本発明の範囲で種々の変更実施が可能であることは言うまでもない。
例えば、上述した実施形態の第１変形例として、ＦＰスコア判定規則は、対象サーバ１２に対して１つのユーザ端末１４からなされた複数回のウェブアクセスに所定の関係がある場合にＦＰスコアを加算することを定めてもよい。具体的には、対象サーバ１２のウェブサイトがロイヤリティプログラム（ポイントプログラム）を提供するウェブサイトである場合に、識別対象「ユーザＩＤ」、ルール内容「ポイント交換（モノとの引き替え）のウェブページのＵＲＬを指定したＨＴＴＰ要求から、退会のウェブページのＵＲＬを指定したＨＴＴＰ要求までの時間が所定時間（例えば３分）以内であること」が規定されてもよい。
【００９４】
本発明者は、ロイヤリティプログラムを提供するウェブサイトに対する不正アクセスを調査する中で、ポイント交換を実行後、証拠隠滅のためにすぐに退会するという振る舞いが多いことを発見した。本変形例の態様によると、時間的に前後する複数回のウェブアクセスの関係に着目してＦＰスコアを加算することにより、不正アクセスの検出精度を一層高めることができる。
【００９５】
また、第２変形例として、上記実施形態の不正アクセス検出装置２０は、対象サーバ１２に対する不正アクセスを検出したが、変形例として、不正アクセス検出装置２０は、自装置に対する外部装置からの不正アクセスを検出してもよい。不正アクセスを検出した場合には、自装置のユーザへその旨を通知してもよく、外部装置からの不正アクセスを遮断するための処理（例えば通信の無効化処理、パーソナルファイアウォールの設定処理等）を実行してもよい。
【００９６】
また、不正アクセス検出装置２０としては、一般的なＰＣ、タブレット端末、スマートフォン等の情報端末であってもよく、図３に示した機能ブロックが実装されたコンピュータプログラムが情報端末にインストールされて実行されることにより、上述した実施形態の不正アクセス検出装置２０と同様の処理を実行できるものであれば、どのような装置構成であってもよい。
また、不正アクセス検出装置２０に保持されるＢＩスコア判定規則は、例えば、外部装置からのアクセスが重要なシステムコールを発生させるアクセスに対して高いＢＩスコアが設定されてもよい。また、ＦＰスコア判定規則は、例えば、管理者権限の乗っ取りやハッキングの典型的なパターンに対して高いＦＰスコアが設定されてもよい。
【００９７】
さらに、前記実施形態では、ＢＬ／ＷＬ、ＢＩスコア、ＦＰスコアを用いたリスク判定を説明したが、いずれか一つのみを用いたリスク判定であってもよい。
加えて、前記実施形態では、認証・認可提供機能を具備するＩＤＰに不正アクセス検出機能を実装した構成を説明したが、ＩＤＰと独立して不正アクセス検出機能を有する装置を新規に加える構成であってもよく、この新規の装置において、各ＲＰから直接、若しくは、各ＲＰからＩＤＰを介して、アクセスデータを受信してリスク判定を行う動作を行ってもよい。
【００９８】
なお、上述した実施形態及び変形例の任意の組み合わせもまた本発明の実施の形態として有用である。
組み合わせによって生じる新たな実施の形態は、組み合わされる実施形態及び変形例それぞれの効果を併せ持つことができる。
また、請求項に記載の各構成要件が果たすべき機能は、上述した実施形態及び変形例において示された各構成要素の単体もしくはそれらの連携によって実現されることは勿論である。
【産業上の利用可能性】
【００９９】
本発明は、例えばＯｐｅｎＩＤ  Ｃｏｎｎｅｃｔなどの、一つの認証処理によって複数のサーバやシステムへのアクセスが可能となるシングルサインオンのシステムなどに好適に利用可能である。
【符号の説明】
【０１００】
１  不正アクセス検出システム
１２  対象サーバ（認証・認可依存サイト）
１４  ユーザ端末
１６  通信網
２０  不正アクセス検出装置（認証・認可提供システム）
２２  制御部
２４  記憶部
２６  通信部
【図１】
2018142266.tif 000003
【図２】
2018142266.tif 000004
【図３】
2018142266.tif 000005
【図４】
2018142266.tif 000006
【図５】
2018142266.tif 000007
【図６】
2018142266.tif 000008
【図７】
2018142266.tif 000009
【図８】
2018142266.tif 000010
【図９】
2018142266.tif 000011
【図１０】
2018142266.tif 000012
【図１１】
2018142266.tif 000013
【図１２】
2018142266.tif 000014