(57)【要約】【課題】不正のアクセスに対して即時の対策を実施する。【解決手段】認証サーバから認証ログを取得するログ取得部１１０と、ログ取得部１１０が取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更し、パスワードの変更を認証サーバへ通知するアカウント処理部１２０と、アカウント処理部１２０がパスワードを変更した場合、変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施するログイン処理部１３０とを有する。【選択図】図１
2018097660.tif 000002
【特許請求の範囲】
【請求項１】
認証サーバから認証ログを取得するログ取得部と、
前記ログ取得部が取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更し、該パスワードの変更を前記認証サーバへ通知するアカウント処理部と、
前記アカウント処理部が前記パスワードを変更した場合、該変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施するログイン処理部とを有する監視サーバ。
【請求項２】
請求項１に記載の監視サーバにおいて、
前記アカウント処理部は、前記アカウント情報に含まれる、イベント要求元のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスが、あらかじめ設定されたアカウント情報に含まれていない場合、前記パスワードを変更する監視サーバ。
【請求項３】
請求項１に記載の監視サーバにおいて、
前記アカウント処理部は、前記アカウント情報に含まれる、特権割り当ての要求イベントの要求元のアカウントが、あらかじめ設定されたアカウント情報に含まれていない場合、前記パスワードを変更する監視サーバ。
【請求項４】
請求項２に記載の監視サーバにおいて、
前記アカウント処理部は、前記アカウント情報に含まれる、アカウント情報の更新の要求元のＩＰアドレスが、あらかじめ設定されたアカウント情報に含まれていない場合、前記パスワードを変更する監視サーバ。
【請求項５】
請求項２に記載の監視サーバにおいて、
前記アカウント処理部は、前記アカウント情報に含まれる、認証要求の要求元のＩＰアドレスが、あらかじめ設定されたアカウント情報に含まれていない場合、前記パスワードを変更する監視サーバ。
【請求項６】
認証サーバから認証ログを取得するログ取得部と、
前記ログ取得部が取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたかどうかを判定するアカウント処理部と、
前記アカウント処理部が、前記回数が前記閾値を超えたと判定した場合、該ＩＰアドレスが付与された装置からのログイン要求を拒否するログイン処理部とを有する監視サーバ。
【請求項７】
認証サーバから認証ログを取得する処理と、
前記取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更する処理と、
前記パスワードの変更を前記認証サーバへ通知する処理と、
前記パスワードを変更した場合、該変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施する処理とを行うセキュリティ対策方法。
【請求項８】
認証サーバから認証ログを取得する処理と、
前記取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたかどうかを判定する処理と、
前記回数が前記閾値を超えた場合、該ＩＰアドレスが付与された装置からのログイン要求を拒否する処理とを行うセキュリティ対策方法。
【請求項９】
コンピュータに、
認証サーバから認証ログを取得する手順と、
前記取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更する手順と、
前記パスワードの変更を前記認証サーバへ通知する手順と、
前記パスワードを変更した場合、該変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施する手順とを実行させるためのプログラム。
【請求項１０】
コンピュータに、
認証サーバから認証ログを取得する手順と、
前記取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたどうかを判定する手順と、
前記回数が前記閾値を超えた場合、該ＩＰアドレスが付与された装置からのログイン要求を拒否する手順とを実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視サーバ、セキュリティ対策方法およびプログラムに関する。
【背景技術】
【０００２】
近年、サイバー攻撃の巧妙化が進んでいる。この攻撃を突き止めるには、詳細なログの解析が必要となる。ログを詳細に解析するには、手動のログ解析が主流となり、その対策に時間がかかってしまう。
そこで、端末装置のログインの時刻とログアウトの時刻との差分に基づいて、その端末装置が詐称端末であることを検知するシステムが考えられている（例えば、特許文献１参照。）。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２００９−２９６５１０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
特許文献１に記載された技術においては、正規の端末装置のログアウトが実施されないと、不正の端末装置を検知することができず、不正のアクセスに対して即時の対策を実施することができないという問題点がある。
【０００５】
本発明の目的は、上述した課題を解決する監視サーバ、通信システム、セキュリティ対策方法およびプログラムを提供することである。
【課題を解決するための手段】
【０００６】
本発明の監視サーバは、
認証サーバから認証ログを取得するログ取得部と、
前記ログ取得部が取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更し、該パスワードの変更を前記認証サーバへ通知するアカウント処理部と、
前記アカウント処理部が前記パスワードを変更した場合、該変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施するログイン処理部とを有する。
また、認証サーバから認証ログを取得するログ取得部と、
前記ログ取得部が取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたかどうかを判定するアカウント処理部と、
前記アカウント処理部が、前記回数が前記閾値を超えたと判定した場合、該ＩＰアドレスが付与された装置からのログイン要求を拒否するログイン処理部とを有する。
また、本発明のセキュリティ対策方法は、
認証サーバから認証ログを取得する処理と、
前記取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更する処理と、
前記パスワードの変更を前記認証サーバへ通知する処理と、
前記パスワードを変更した場合、該変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施する処理とを行う。
また、認証サーバから認証ログを取得する処理と、
前記取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたかどうかを判定する処理と、
前記回数が前記閾値を超えた場合、該ＩＰアドレスが付与された装置からのログイン要求を拒否する処理とを行う。
また、本発明のプログラムは、
コンピュータに実行させるためのプログラムであって、
認証サーバから認証ログを取得する手順と、
前記取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更する手順と、
前記パスワードの変更を前記認証サーバへ通知する手順と、
前記パスワードを変更した場合、該変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施する手順とをコンピュータに実行させる。
また、認証サーバから認証ログを取得する手順と、
前記取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたどうかを判定する手順と、
前記回数が前記閾値を超えた場合、該ＩＰアドレスが付与された装置からのログイン要求を拒否する手順とをコンピュータに実行させる。
【発明の効果】
【０００７】
以上説明したように、本発明においては、不正のアクセスに対して即時の対策を実施することができる。
【図面の簡単な説明】
【０００８】
【図１】本発明の監視サーバの第１の実施の形態を示す図である。
【図２】図１に示した監視サーバにおけるセキュリティ対策方法の一例を説明するためのフローチャートである。
【図３】本発明の監視サーバの第２の実施の形態を示す図である。
【図４】図３に示した監視サーバにおけるセキュリティ対策方法の一例を説明するためのフローチャートである。
【図５】本発明の監視サーバの第３の実施の形態を示す図である。
【図６】図５に示した監視サーバおよび認証サーバの内部構成の一例を示す図である。
【図７】図５に示した通信システムにおけるセキュリティ対策方法の第１の例を説明するためのシーケンス図である。
【図８】図５に示した通信システムにおけるセキュリティ対策方法の第２の例を説明するためのシーケンス図である。
【図９】図５に示した通信システムにおけるセキュリティ対策方法の第３の例を説明するためのシーケンス図である。
【図１０】本発明の監視サーバの第４の実施の形態を示す図である。
【図１１】図１０に示した監視サーバにおけるセキュリティ対策方法の一例を説明するためのシーケンス図である。
【発明を実施するための形態】
【０００９】
以下に本発明の実施の形態について図面を参照して説明する。
（第１の実施の形態）
【００１０】
図１は、本発明の監視サーバの第１の実施の形態を示す図である。
本形態における監視サーバ１００は図１に示すように、ログ取得部１１０と、アカウント処理部１２０と、ログイン処理部１３０とを有する。なお、図１には、本発明の監視サーバ１００が具備する構成要素のうち、本実施の形態に関わる主要な構成要素の一例を示す。
【００１１】
ログ取得部１１０は、監視サーバ１００と接続された認証サーバから、認証ログを取得する。
アカウント処理部１２０は、ログ取得部１１０が取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更する。アカウント処理部１２０は、パスワードの変更を認証サーバへ通知する。
ログイン処理部１３０は、アカウント処理部１２０がパスワードを変更した場合、変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施する。
【００１２】
以下に、図１に示した監視サーバ１００におけるセキュリティ対策方法について説明する。図２は、図１に示した監視サーバ１００におけるセキュリティ対策方法の一例を説明するためのフローチャートである。
【００１３】
まず、ログ取得部１１０が、認証サーバから認証ログを取得する（ステップＳ１）。続いて、取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、アカウント処理部１２０は、認証に用いるパスワードを変更する（ステップＳ２）。アカウント処理部１２０は、パスワードを変更すると、パスワードの変更を認証サーバへ通知する（ステップＳ３）。
アカウント処理部１２０がパスワードを変更した場合、ログイン処理部１３０は、変更前のパスワードを用いてログインされているアカウントがあるかどうかを判定する（ステップＳ４）。ログイン処理部１３０は、変更前のパスワードを用いてログインされているアカウントがある場合、そのアカウントに対して強制ログアウトを実施する（ステップＳ５）。
【００１４】
このように、監視サーバ１００は、認証ログに含まれるアカウントが想定外のものである場合、認証に用いるパスワードを変更し、変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施する。そのため、不正のアクセスに対して即時の対策を実施することができる。
（第２の実施の形態）
【００１５】
図３は、本発明の監視サーバの第２の実施の形態を示す図である。
本形態における監視サーバ１０１は図３に示すように、ログ取得部１１１と、アカウント処理部１２１と、ログイン処理部１３１とを有する。なお、図３には、本発明の監視サーバ１０１が具備する構成要素のうち、本実施の形態に関わる主要な構成要素の一例を示す。
【００１６】
ログ取得部１１１は、監視サーバ１０１と接続された認証サーバから、認証ログを取得する。
アカウント処理部１２１は、ログ取得部１１１が取得した認証ログにて、互いに同一のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたかどうかを判定する。
ログイン処理部１３１は、アカウント処理部１２１が、ログ取得部１１１が取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたと判定した場合、そのＩＰアドレスが付与された装置からのログイン要求を拒否する。
【００１７】
以下に、図３に示した監視サーバ１０１におけるセキュリティ対策方法について説明する。図４は、図３に示した監視サーバ１０１におけるセキュリティ対策方法の一例を説明するためのフローチャートである。
【００１８】
まず、ログ取得部１１１が、認証サーバから認証ログを取得する（ステップＳ１１）。続いて、アカウント処理部１２１が、ログ取得部１１１が取得した認証ログにて、あらかじめ設定された期間内で、互いに同一のＩＰアドレスが付与された装置からログイン要求が行われた回数をカウントする（ステップＳ１２）。アカウント処理部１２１は、カウントした回数があらかじめ設定された閾値を超えたかどうかを判定する（ステップＳ１３）。アカウント処理部１２１がカウントした回数が閾値を超えている場合、ログイン処理部１３１は、そのＩＰアドレスが付与された装置からのログイン要求を拒否する（ステップＳ１４）。
【００１９】
このように、監視サーバ１０１は、認証ログに基づいて、同一のＩＰアドレスが付与された装置から所定の期間に閾値を超えたログイン要求があった場合、その装置からのログイン要求を拒否する。そのため、不正のアクセスに対して即時の対策を実施することができる。
（第３の実施の形態）
【００２０】
図５は、本発明の監視サーバの第３の実施の形態を示す図である。
本形態における監視サーバ１０２は図５に示すように、認証サーバ２０２と、利用者端末３０２−１〜３０２−３と、通信ネットワーク５０２と接続されている。また、監視サーバ１０２は、通信ネットワーク５０２を介して通信機器４０２と接続されている。図５においては、利用者端末の数が３台である例を示しているが、その数は限定しない。
利用者端末３０２−１〜３０２−３は、ユーザ（クライアント）が所持・操作する通信端末である。
通信機器４０２は、利用者端末３０２−１〜３０２−３が通信ネットワーク５０２を介して接続する通信装置であって、利用者端末３０２−１〜３０２−３に対して所定のサービスを提供する。
【００２１】
図６は、図５に示した監視サーバ１０２および認証サーバ２０２の内部構成の一例を示す図である。
【００２２】
図５に示した監視サーバ１０２は図６に示すように、ログ取得部１１２と、アカウント処理部１２２と、ログイン処理部１３２と、ＲＡＤＩＵＳ  Ｃｌｉｅｎｔ処理部１４２とを有する。なお、図６には、本発明の監視サーバ１０２が具備する構成要素のうち、本実施の形態に関わる主要な構成要素の一例を示す。
【００２３】
ログ取得部１１２は、認証サーバ２０２に具備されたログＤＢ２１２から、認証ログを取得する。具体的には、ログ取得部１１２は、認証ログとして、認証要求のアカウント名、アカウント権限、認証結果、要求時刻、要求元のＩＰアドレス、アカウント情報の更新要求（アカウントの新規登録、削除、権限変更、パスワード変更等）の要求元ＩＰアドレス、特権の割り当てを要求したアカウント等を取得する。
アカウント処理部１２２は、ログ取得部１１２が取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更する。アカウント処理部１２２は、パスワードの変更を認証サーバ２０２へ通知する。具体的には、アカウント処理部１２２は、ログ取得部１１２が取得した認証ログに含まれるアカウント情報に含まれる、イベント要求元のＩＰアドレスが、あらかじめ設定されたアカウント情報に含まれていない場合、パスワードを変更する。または、アカウント処理部１２２は、ログ取得部１１２が取得した認証ログに含まれるアカウント情報に含まれる、特権割り当ての要求イベントの要求元のアカウントが、あらかじめ設定されたアカウント情報に含まれていない場合、パスワードを変更する。さらに具体的には、アカウント処理部１２２は、ログ取得部１１２が取得した認証ログに含まれるアカウント情報に含まれる、アカウント情報の更新の要求元のＩＰアドレスが、あらかじめ設定されたアカウント情報に含まれていない場合、パスワードを変更する。または、アカウント処理部１２２は、ログ取得部１１２が取得した認証ログに含まれるアカウント情報に含まれる、認証要求の要求元のＩＰアドレスが、あらかじめ設定されたアカウント情報に含まれていない場合、パスワードを変更する。
ログイン処理部１３２は、アカウント処理部１２２がパスワードを変更した場合、変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施する。つまり、ログイン処理部１３２は、サイバー対策処理を行う構成要素である。
ＲＡＤＩＵＳ  Ｃｌｉｅｎｔ処理部１４２は、認証サーバ２０２に具備されたＲＡＤＩＵＳ  Ｓｅｒｖｅｒ処理部２４２との間でＲＡＤＩＵＳの認証プロトコルの処理を行う。ＲＡＤＩＵＳ  Ｃｌｉｅｎｔ処理部１４２は、特権アカウントリストを持ち、特権のアカウントをそのリストに登録する。ＲＡＤＩＵＳ  Ｃｌｉｅｎｔ処理部１４２は、管理者用端末ＩＰアドレスリストを持ち、管理者が使う通信端末のＩＰアドレスをそのリストに登録する。ＲＡＤＩＵＳ  Ｃｌｉｅｎｔ処理部１４２は、管理者アカウントを使用する通信端末のＩＰアドレスを変更する場合、監視サーバ１０２の管理者用端末ＩＰアドレスリストも更新する。なお、上述したＲＡＤＩＵＳ  Ｃｌｉｅｎｔ処理部１４２の機能は、アカウント処理部１２２が実行するものであっても良い。
また、監視サーバ１０２は、管理者が使用する通信端末を制限し、その通信端末に固定ＩＰアドレスを割り当てる機能も有する。
【００２４】
図５に示した認証サーバ２０２は図６に示すように、ログＤＢ２１２と、アカウント管理部２２２と、ログイン処理部２３２と、ＲＡＤＩＵＳ  Ｓｅｒｖｅｒ処理部２４２とを有する。
【００２５】
ログＤＢ２１２は、認証ログを格納するデータベースである。この認証ログは上述した通りである。
アカウント管理部２２２は、認証可能なアカウントを管理する。アカウント管理部２２２は、このアカウントをメモリ等に格納しておく。
ログイン処理部２３２は、認証できたクライアント（利用者端末）のログイン処理を行う。
ＲＡＤＩＵＳ  Ｓｅｒｖｅｒ処理部２４２は、監視サーバ１０２に具備されたＲＡＤＩＵＳ  Ｃｌｉｅｎｔ処理部１４２との間でＲＡＤＩＵＳの認証プロトコルの処理を行う。
【００２６】
以下に、図５に示した通信システムにおけるセキュリティ対策方法について説明する。図７は、図５に示した通信システムにおけるセキュリティ対策方法の第１の例を説明するためのシーケンス図である。なお、図７に示した「利用者端末」は図５に示した利用者端末３０２−１〜３０２−３のいずれであっても良い。以下、図８、９、１１においても同様である。
【００２７】
ここで、攻撃者（が操作する通信端末）が認証サーバ２０２に対して、不正に取得した管理者アカウント情報を利用して、監視サーバ１０２および通信機器４０２のアカウントの追加、変更を行っている状態を前提とする。この処理のログは、認証サーバ２０２のログＤＢ２１２に格納されている。
監視サーバ１０２のログ取得部１１２は、ログＤＢ２１２から認証ログを取得する（ステップＳ２１）。この認証ログの取得は、定期的に行われる。続いて、アカウント処理部１２２が、ログ取得部１１２が取得した認証ログを解析する（ステップＳ２２）。具体的には、アカウント処理部１２２は、アカウント情報の更新イベント（ログイン、パスワードの更新イベント）に対し、アカウント情報に含まれる、イベント要求元のＩＰアドレスが、あらかじめ設定された管理者用端末ＩＰアドレスリストに存在するかどうかを判定する。
アカウント情報に含まれる、イベント要求元のＩＰアドレスが管理者用端末ＩＰアドレスリストに存在しない場合、アカウント処理部１２２は、そのアカウント（管理者）のパスワードを変更し、その旨を認証サーバ２０２へ通知する（ステップＳ２３）。認証サーバ２０２は、管理者のパスワードの変更通知を受けると、管理者のパスワードの変更通知の有効化を行う（ステップＳ２４）。
また、アカウント処理部１２２は、認証サーバ２０２に対して、変更前のパスワードを用いた認証要求を認証不可として認証不可リストへの追加を指示する（ステップＳ２５）。認証サーバ２０２は、認証不可リストへの追加の指示を受けると、その追加に基づいて認証不可リストの更新を行う（ステップＳ２６）。
アカウント処理部１２２がパスワードを変更した後、ログイン処理部１３２は、変更前のパスワードを用いて通信機器４０２にログインされているアカウントに対して強制ログアウトを実施する（ステップＳ２７）。
その後、攻撃者が、変更前のパスワードを用いて通信機器４０２にログインした場合、強制ログアウトが実施される（ステップＳ２８）。同様に、攻撃者が、変更前のパスワードを用いて監視サーバ１０２にログインした場合、強制ログアウトが実施される（ステップＳ２９）。
その後、利用者端末が認証サーバ２０２に対して管理者のログインを行うと（ステップＳ３０）、認証サーバ２０２は、利用者端末に対してパスワードの変更を通知する（ステップＳ３１）。
【００２８】
図８は、図５に示した通信システムにおけるセキュリティ対策方法の第２の例を説明するためのシーケンス図である。
【００２９】
ここで、内部犯（が操作する通信端末）が認証サーバ２０２に対して、既知のアカウント（割り当てを要求してきた要求元アカウント）に対して特権の付与を行っている状態を前提とする。この処理のログは、認証サーバ２０２のログＤＢ２１２に格納されている。また、特権とは、ユーザの権利を管理する等、セキュリティ管理者の権限である。
監視サーバ１０２のログ取得部１１２は、ログＤＢ２１２から認証ログを取得する（ステップＳ４１）。この認証ログの取得は、定期的に行われる。続いて、アカウント処理部１２２が、ログ取得部１１２が取得した認証ログを解析する（ステップＳ４２）。具体的には、アカウント処理部１２２は、特権の割り当ての要求イベントに対し、アカウント情報に含まれる、イベント要求元のアカウントまたは特権の割り当ての対象となるアカウントが、あらかじめ設定された特権リスト（特権が割り当てられても良いアカウントの一覧）に存在するかどうかを判定する。
アカウント情報に含まれる、イベント要求元のアカウントまたは特権の割り当ての対象となるアカウントが、あらかじめ設定された特権リストに存在しない場合、アカウント処理部１２２は、そのアカウント（管理者／特権割り当て）のパスワードを変更し、その旨を認証サーバ２０２へ通知する（ステップＳ４３）。ここで、管理者／特権割り当てのアカウントは、全ての管理者権限アカウントおよび特権割り当てのアカウントである。認証サーバ２０２は、管理者／特権割り当てのアカウントのパスワードの変更通知を受けると、管理者／特権割り当てのアカウントのパスワードの変更通知の有効化を行う（ステップＳ４４）。
アカウント処理部１２２がパスワードを変更した後、ログイン処理部１３２は、変更前のパスワードを用いて通信機器４０２にログインされているアカウントに対して強制ログアウトを実施する（ステップＳ４５）。
その後、内部犯が、変更したパスワードの対象となる対象アカウントを用いて通信機器４０２にログインした場合、強制ログアウトが実施される（ステップＳ４６）。同様に、内部犯が、変更したパスワードの対象となる対象アカウントを用いて監視サーバ１０２にログインした場合、強制ログアウトが実施される（ステップＳ４７）。
その後、利用者端末が管理者のログインを行うと（ステップＳ４８）、認証サーバ２０２は、利用者端末に対してパスワードの変更を通知する（ステップＳ４９）。
利用者端末が、監視サーバ１０２に対して、特権割り当てのアカウントのログインを行うと（ステップＳ５０）、監視サーバ１０２は利用者端末に対してパスワードの変更通知を行う（ステップＳ５１）。また、利用者端末が、通信機器４０２に対して、特権割り当てのアカウントのログインを行うと（ステップＳ５２）、通信機器４０２は利用者端末に対してパスワードの変更通知を行う（ステップＳ５３）。
【００３０】
図９は、図５に示した通信システムにおけるセキュリティ対策方法の第３の例を説明するためのシーケンス図である。
【００３１】
ここで、攻撃者（が操作する通信端末）が、不正に取得した管理者アカウント情報を利用して、通信機器４０２および認証サーバ２０２に対してログインの要求を行っている状態を前提とする。この処理のログは、認証サーバ２０２のログＤＢ２１２に格納されている。
監視サーバ１０２のログ取得部１１２は、ログＤＢ２１２から認証ログを取得する（ステップＳ６１）。この認証ログの取得は、定期的に行われる。続いて、アカウント処理部１２２が、ログ取得部１１２が取得した認証ログを解析する（ステップＳ６２）。具体的には、アカウント処理部１２２は、管理者アカウントの認証要求のイベントに対し、アカウント権限が管理者である場合、アカウント情報に含まれる、イベント要求元のＩＰアドレスが、あらかじめ設定された管理者用端末ＩＰアドレスリストに存在するかどうかを判定する。
アカウント情報に含まれる、イベント要求元のＩＰアドレスが、あらかじめ設定された管理者用端末ＩＰアドレスリストに存在しない場合、アカウント処理部１２２は、そのアカウント（管理者）のパスワードを変更し、その旨を認証サーバ２０２へ通知する（ステップＳ６３）。認証サーバ２０２は、管理者アカウントのパスワードの変更通知を受けると、管理者アカウントのパスワードの変更通知の有効化を行う（ステップＳ６４）。
アカウント処理部１２２がパスワードを変更した後、ログイン処理部１３２は、変更前のパスワードを用いて通信機器４０２にログインされているアカウントに対して強制ログアウトを実施する（ステップＳ６５）。
その後、攻撃者が、変更したパスワードの対象となる管理者アカウントを用いて通信機器４０２にログインした場合、強制ログアウトが実施される（ステップＳ６６）。同様に、攻撃者が、変更したパスワードの対象となる管理者アカウントを用いて監視サーバ１０２にログインした場合、強制ログアウトが実施される（ステップＳ６７）。
その後、利用者端末が、監視サーバ１０２に対して、管理者アカウントのログインを行うと（ステップＳ６８）、監視サーバ１０２は利用者端末に対してパスワードの変更通知を行う（ステップＳ６９）。また、利用者端末が、通信機器４０２に対して、管理者アカウントのログインを行うと（ステップＳ７０）、通信機器４０２は利用者端末に対してパスワードの変更通知を行う（ステップＳ７１）。
【００３２】
このように、監視サーバ１０２は、取得した認証ログに含まれるアカウントが、あらかじめ設定されたリスト内に存在しない場合、そのアカウントを用いてログインを行う場合に用いられるパスワードを変更し、変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施する。そのため、不正のアクセスに対して即時の対策を実施することができる。
（第４の実施の形態）
【００３３】
図１０は、本発明の監視サーバの第４の実施の形態を示す図である。
本形態における監視サーバ１０３は図１０に示すように、ログ取得部１１３と、アカウント処理部１２３と、ログイン処理部１３３とを有する。なお、監視サーバ１０３と他の装置やネットワークとの接続形態は、図５に示した監視サーバ１０２の接続形態と同様である。また、図１０には、本発明の監視サーバ１０３が具備する構成要素のうち、本実施の形態に関わる主要な構成要素の一例を示す。
【００３４】
ログ取得部１１３は、監視サーバ１０３と接続された認証サーバ２０２から、認証ログを取得する。
アカウント処理部１２３は、ログ取得部１１３が取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数があらかじめ設定された閾値を超えているかどうかを判定する。
ログイン処理部１３３は、アカウント処理部１２３が、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたと判定した場合、そのＩＰアドレスが付与された装置からのログイン要求を拒否する。
【００３５】
以下に、図１０に示した監視サーバ１０３におけるセキュリティ対策方法について説明する。図１１は、図１０に示した監視サーバ１０３におけるセキュリティ対策方法の一例を説明するためのシーケンス図である。
【００３６】
ここで、攻撃者（が操作する通信端末）が、パスワードの総当たりを行って、認証要求を行い、アカウントリストを攻撃している状態を前提とする。この処理のログは、認証サーバ２０２のログＤＢ２１２に格納されている。
監視サーバ１０３のログ取得部１１３は、ログＤＢ２１２から認証ログを取得する（ステップＳ８１）。この認証ログの取得は、定期的に行われる。続いて、アカウント処理部１２３が、ログ取得部１１３が取得した認証ログを解析する（ステップＳ８２）。アカウント処理部１２３は、ログ取得部１１３が取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数があらかじめ設定された閾値を超えているかどうかを判定する（ステップＳ８３）。アカウント処理部１２３は、例えば、認証要求先毎にイベント回数を統計し、その平均値を計算する。アカウント処理部１２３は、１日分のイベント数が通常平均の１０倍以上である場合、そのログイン要求の回数が異常に多いとみなし、閾値を超えたと判定するものであっても良い。
アカウント処理部１２３が、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたと判定した場合、ログイン処理部１３３は、そのＩＰアドレスが付与された装置（以下、特定ＰＣと称する）からのログイン要求を拒否する処理を通信機器４０２に対して行う（ステップＳ８４）。すると、通信機器４０２は、特定ＰＣからのログイン拒否の処理を行う（ステップＳ８５）。また、監視サーバ１０３のログイン処理部１３３も、特定ＰＣからのログイン拒否の処理を行う（ステップＳ８６）。
その後、クライアントが特定ＰＣから監視サーバ１０３にログインを行った場合（ステップＳ８７）、監視サーバ１０３のログイン処理部１３３は、そのログインを拒否する（ステップＳ８８）。また、クライアントが特定ＰＣから通信機器４０２にログインを行った場合（ステップＳ８９）、通信機器４０２は、そのログインを拒否する（ステップＳ９０）。
【００３７】
このように、監視サーバ１０３は、認証ログに基づいて、同一のＩＰアドレスが付与された特定ＰＣから所定の期間に閾値を超えたログイン要求があった場合、その特定ＰＣからのログイン要求を拒否する。そのため、不正のアクセスに対して即時の対策を実施することができる。
【００３８】
以上、各構成要素に各機能（処理）それぞれを分担させて説明したが、この割り当ては上述したものに限定しない。また、構成要素の構成についても、上述した形態はあくまでも例であって、これに限定しない。
【００３９】
上述した監視サーバ１００〜１０３それぞれに設けられた各構成要素が行う処理は、目的に応じてそれぞれ作製された論理回路で行うようにしても良い。また、処理内容を手順として記述したコンピュータプログラム（以下、プログラムと称する）を監視サーバ１００〜１０３それぞれにて読取可能な記録媒体に記録し、この記録媒体に記録されたプログラムを監視サーバ１００〜１０３それぞれに読み込ませ、実行するものであっても良い。監視サーバ１００〜１０３それぞれにて読取可能な記録媒体とは、フロッピー（登録商標）ディスク、光磁気ディスク、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｃ）、ＣＤ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ）、Ｂｌｕ−ｒａｙ（登録商標）  Ｄｉｓｃなどの移設可能な記録媒体の他、監視サーバ１００〜１０３それぞれに内蔵されたＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）等のメモリやＨＤＤ（Ｈａｒｄ  Ｄｉｓｃ  Ｄｒｉｖｅ）等を指す。この記録媒体に記録されたプログラムは、監視サーバ１００〜１０３それぞれに設けられたＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）にて読み込まれ、ＣＰＵの制御によって、上述したものと同様の処理が行われる。ここで、ＣＰＵは、プログラムが記録された記録媒体から読み込まれたプログラムを実行するコンピュータとして動作するものである。
【００４０】
上記の実施の形態の一部または全部は、以下の付記のようにも記載され得るが、以下には限られない。
（付記１）認証サーバから認証ログを取得するログ取得部と、
前記ログ取得部が取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更し、該パスワードの変更を前記認証サーバへ通知するアカウント処理部と、
前記アカウント処理部が前記パスワードを変更した場合、該変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施するログイン処理部とを有する監視サーバ。
（付記２）前記アカウント処理部は、前記アカウント情報に含まれる、イベント要求元のＩＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｏｔｏｃｏｌ）アドレスが、あらかじめ設定されたアカウント情報に含まれていない場合、前記パスワードを変更する、付記１に記載の監視サーバ。
（付記３）前記アカウント処理部は、前記アカウント情報に含まれる、特権割り当ての要求イベントの要求元のアカウントが、あらかじめ設定されたアカウント情報に含まれていない場合、前記パスワードを変更する、付記１に記載の監視サーバ。
（付記４）前記アカウント処理部は、前記アカウント情報に含まれる、アカウント情報の更新の要求元のＩＰアドレスが、あらかじめ設定されたアカウント情報に含まれていない場合、前記パスワードを変更する、付記２に記載の監視サーバ。
（付記５）前記アカウント処理部は、前記アカウント情報に含まれる、認証要求の要求元のＩＰアドレスが、あらかじめ設定されたアカウント情報に含まれていない場合、前記パスワードを変更する、付記２に記載の監視サーバ。
（付記６）認証サーバから認証ログを取得するログ取得部と、
前記ログ取得部が取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたかどうかを判定するアカウント処理部と、
前記アカウント処理部が、前記回数が前記閾値を超えたと判定した場合、該ＩＰアドレスが付与された装置からのログイン要求を拒否するログイン処理部とを有する監視サーバ。
（付記７）認証サーバから認証ログを取得する処理と、
前記取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更する処理と、
前記パスワードの変更を前記認証サーバへ通知する処理と、
前記パスワードを変更した場合、該変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施する処理とを行うセキュリティ対策方法。
（付記８）認証サーバから認証ログを取得する処理と、
前記取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたかどうかを判定する処理と、
前記回数が前記閾値を超えた場合、該ＩＰアドレスが付与された装置からのログイン要求を拒否する処理とを行うセキュリティ対策方法。
（付記９）コンピュータに、
認証サーバから認証ログを取得する手順と、
前記取得した認証ログに含まれるアカウント情報があらかじめ設定されたものとは異なる場合、認証に用いるパスワードを変更する手順と、
前記パスワードの変更を前記認証サーバへ通知する手順と、
前記パスワードを変更した場合、該変更前のパスワードを用いてログインされているアカウントに対して強制ログアウトを実施する手順とを実行させるためのプログラム。
（付記１０）コンピュータに、
認証サーバから認証ログを取得する手順と、
前記取得した認証ログにて、互いに同一のＩＰアドレスが付与された装置から所定の期間にログイン要求が行われた回数が閾値を超えたどうかを判定する手順と、
前記回数が前記閾値を超えた場合、該ＩＰアドレスが付与された装置からのログイン要求を拒否する手順とを実行させるためのプログラム。
【符号の説明】
【００４１】
１００〜１０３    監視サーバ
１１０〜１１３    ログ取得部
１２０〜１２３    アカウント処理部
１３０〜１３３，２３２    ログイン処理部
１４２    ＲＡＤＩＵＳ  Ｃｌｉｅｎｔ処理部
２０２    認証サーバ
２１２    ログＤＢ
２２２    アカウント管理部
２４２    ＲＡＤＩＵＳ  Ｓｅｒｖｅｒ処理部
３０２−１〜３０２−３    利用者端末
４０２    通信機器
５０２    通信ネットワーク
【図１】
2018097660.tif 000003
【図２】
2018097660.tif 000004
【図３】
2018097660.tif 000005
【図４】
2018097660.tif 000006
【図５】
2018097660.tif 000007
【図６】
2018097660.tif 000008
【図７】
2018097660.tif 000009
【図８】
2018097660.tif 000010
【図９】
2018097660.tif 000011
【図１０】
2018097660.tif 000012
【図１１】
2018097660.tif 000013