(57)【要約】  【課題】ホワイトリスト方式による不正操作検出におけるセキュリティ担当者の負荷を緩和できる不正操作検出装置を提供する。  【解決手段】不正操作検出装置は、ネットワークを介して操作ログを受付け該操作ログから受付操作内容を抽出する操作内容受付部と、それぞれが関連付けられ許可された操作内容である複数の許可項目を記憶したホワイトリスト記憶部と、許可項目と受付操作内容とを比較し、受付操作内容と許可項目との個別の乖離度を算出し、該個別の乖離度に応じて受付操作内容が不正操作内容であるか否かを判定する不正操作判定部と、受付操作内容が不正操作内容である場合、個別の乖離度に基づいて、許可項目の全体に対する不正操作内容の平均乖離度を算出し、且つ、許可項目の各々に対する不正操作内容の項目乖離度を算出し、該項目乖離度の内の最大値を選択し、不正操作内容の平均乖離度及び項目乖離度の内の最大値を不正操作評価情報として生成する不正操作評価部と、を有する。【選択図】図１
2019168913.tif 000002
【特許請求の範囲】
【請求項１】
複数の端末を含むネットワークにおける不正操作を検出する不正操作検出装置であって、
前記ネットワークを介して操作ログを受付け該操作ログから受付操作内容を抽出する操作内容受付部と、
それぞれが関連付けられ許可された操作内容である複数の許可項目を記憶したホワイトリスト記憶部と、
前記許可項目と前記受付操作内容とを比較し、前記受付操作内容と前記許可項目との個別の乖離度を算出し、該個別の乖離度に応じて前記受付操作内容が不正操作内容であるか否かを判定する不正操作判定部と、
前記受付操作内容が不正操作内容である場合、前記個別の乖離度に基づいて、前記許可項目の全体に対する前記不正操作内容の平均乖離度を算出し、且つ、前記許可項目の各々に対する前記不正操作内容の項目乖離度を算出し、該項目乖離度の内の最大値を選択し、前記不正操作内容の前記平均乖離度及び前記項目乖離度の内の最大値を不正操作評価情報として生成する不正操作評価部と、
を有することを特徴とする不正操作検出装置。
【請求項２】
前記ホワイトリスト記憶部の前記許可項目は、許可ユーザ識別子、許可ユーザ端末ＩＤおよび許可ユーザ操作を含み、
前記受付操作内容は、前記操作ログに対応する受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作を含み、
前記不正操作判定部は、
前記許可ユーザ識別子、許可ユーザ端末ＩＤおよび許可ユーザ操作と前記受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作とをそれぞれ比較して、前記許可項目における前記受付ユーザ識別子、前記受付ユーザ端末ＩＤおよび前記受付ユーザ操作のそれぞれに対する前記個別の乖離度を算出する個別乖離度算出部と、
前記個別の乖離度を合計して前記許可項目の群における前記受付操作内容の合計乖離度を算出する合計乖離度算出部と、を含み、
前記不正操作評価部は、
前記合計乖離度に基づき前記許可項目の全体に対応する前記不正操作内容の前記平均乖離度を算出する平均乖離度算出部と、
前記個別乖離度に基づき前記許可項目の各々に対応する前記不正操作内容の前記項目乖離度を算出する項目乖離度算出部と、を含むことを特徴とする請求項１に記載の不正操作検出装置。
【請求項３】
前記不正操作判定部は、前記最大値に対応する前記許可項目の１個を前記不正操作内容と共に不正カテゴリとして記録することを特徴とする請求項１または２に記載の不正操作検出装置。
【請求項４】
前記不正操作内容、前記不正操作評価情報および前記不正カテゴリを、管理端末へ通知する通知手段を更に有することを特徴とする請求項３に記載の不正操作検出装置。
【請求項５】
前記通知手段は、前記不正操作内容、前記不正操作評価情報および前記不正カテゴリを、電子メールとして報告する機能を有することを特徴とする請求項４に記載の不正操作検出装置。
【請求項６】
複数の端末を含むネットワークにおける不正操作を検出する不正操作検出方法であって、
前記ネットワークを介して操作ログを受付け該操作ログから受付操作内容を抽出する抽出ステップと、
それぞれが関連付けられ許可された操作内容である複数の許可項目を記憶したホワイトリストを記憶する記憶ステップと、
前記許可項目と前記受付操作内容とを比較し、前記受付操作内容と前記許可項目との個別の乖離度を算出し、該個別の乖離度に応じて前記受付操作内容が不正操作内容であるか否かを判定する不正操作判定ステップと、
前記受付操作内容が不正操作内容である場合、前記個別の乖離度に基づいて、前記許可項目の全体に対する前記不正操作内容の平均乖離度を算出し、且つ、前記許可項目の各々に対する前記不正操作内容の項目乖離度を算出し、該項目乖離度の内の最大値を選択し、前記不正操作内容の前記平均乖離度及び前記項目乖離度の内の最大値を不正操作評価情報として生成する不正操作評価ステップと、
を有し、
前記ホワイトリストを記憶する記憶ステップの前記許可項目は、許可ユーザ識別子、許可ユーザ端末ＩＤおよび許可ユーザ操作を含み、
前記受付操作内容は、前記操作ログに対応する受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作を含み、
前記不正操作判定ステップは、
前記許可ユーザ識別子、許可ユーザ端末ＩＤおよび許可ユーザ操作と前記受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作とをそれぞれ比較して、前記許可項目における前記受付ユーザ識別子、前記受付ユーザ端末ＩＤおよび前記受付ユーザ操作のそれぞれに対する前記個別の乖離度を算出する個別乖離度算出ステップと、
前記個別の乖離度を合計して前記許可項目の群における前記受付操作内容の合計乖離度を算出する合計乖離度算出ステップと、を含み、
前記不正操作評価ステップは、
前記合計乖離度に基づき前記許可項目の全体に対応する前記不正操作内容の前記平均乖離度を算出する平均乖離度算出ステップと、
前記個別乖離度に基づき前記許可項目の各々に対応する前記不正操作内容の前記項目乖離度を算出する項目乖離度算出ステップと、を含むことを特徴とする不正操作検出方法。
【請求項７】
前記不正操作判定ステップは、前記最大値に対応する前記許可項目の１個を前記不正操作内容と共に不正カテゴリとして記録することを特徴とする請求項６に記載の不正操作検出方法。
【請求項８】
前記不正操作内容、前記不正操作評価情報および前記不正カテゴリを、管理端末へ通知する通知ステップを更に有することを特徴とする請求項７に記載の不正操作検出方法。
【請求項９】
複数の端末を含むネットワークにおける不正操作を検出する不正操作検出プログラムであって、
前記ネットワークを介して操作ログを受付け該操作ログから受付操作内容を抽出する抽出ステップと、
それぞれが関連付けられ許可された操作内容である複数の許可項目を記憶したホワイトリストを記憶する記憶ステップと、
前記許可項目と前記受付操作内容とを比較し、前記受付操作内容と前記許可項目との個別の乖離度を算出し、該個別の乖離度に応じて前記受付操作内容が不正操作内容であるか否かを判定する不正操作判定ステップと、
前記受付操作内容が不正操作内容である場合、前記個別の乖離度に基づいて、前記許可項目の全体に対する前記不正操作内容の平均乖離度を算出し、且つ、前記許可項目の各々に対する前記不正操作内容の項目乖離度を算出し、該項目乖離度の内の最大値を選択し、前記不正操作内容の前記平均乖離度及び前記項目乖離度の内の最大値を不正操作評価情報として生成する不正操作評価ステップと、
を有し、
前記ホワイトリストを記憶する記憶ステップの前記許可項目は、許可ユーザ識別子、許可ユーザ端末ＩＤおよび許可ユーザ操作を含み、
前記受付操作内容は、前記操作ログに対応する受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作を含み、
前記不正操作判定ステップは、
前記許可ユーザ識別子、許可ユーザ端末ＩＤおよび許可ユーザ操作と前記受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作とをそれぞれ比較して、前記許可項目における前記受付ユーザ識別子、前記受付ユーザ端末ＩＤおよび前記受付ユーザ操作のそれぞれに対する前記個別の乖離度を算出する個別乖離度算出ステップと、
前記個別の乖離度を合計して前記許可項目の群における前記受付操作内容の合計乖離度を算出する合計乖離度算出ステップと、を含み、
前記不正操作評価ステップは、
前記合計乖離度に基づき前記許可項目の全体に対応する前記不正操作内容の前記平均乖離度を算出する平均乖離度算出ステップと、
前記個別乖離度に基づき前記許可項目の各々に対応する前記不正操作内容の前記項目乖離度を算出する項目乖離度算出ステップと、を含み、
前記抽出ステップと前記記憶ステップと前記不正操作判定ステップと前記不正操作評価ステップとを不正操作検出装置としてのコンピュータに実行させることを特徴とする不正操作検出プログラム。
【請求項１０】
前記不正操作判定ステップは、前記最大値に対応する前記許可項目の１個を前記不正操作内容と共に不正カテゴリとして記録することを特徴とする請求項９に記載の不正操作検出プログラム。
【請求項１１】
前記不正操作内容、前記不正操作評価情報および前記不正カテゴリを、管理端末へ通知する通知ステップを更に有することを特徴とする請求項１０に記載の不正操作検出プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、監視対象システム内の監視対象装置に通信網を介して接続され、監視対象装置で発生した操作内容を分析し、不正な操作を検知してアラートを発生させる監視装置に属する不正操作検出装置、不正操作検出方法および不正操作検出プログラムに関する。
【背景技術】
【０００２】
監視装置には、監視対象装置の各々で行われたユーザの操作を記録した操作ログを収集し、監視装置上で各操作が不正か否かを判定し、不正な操作と判定されれば事前に登録されたセキュリティ担当者へ通知を行うものがある。操作ログは、クライアントＰＣ等の操作端末において、ログイン／ログアウトしたユーザ名や日時、その端末装置で行なった操作（ファイルの閲覧／実行／書き出し／削除／ネットワーク接続等）の履歴データである。
【０００３】
監視装置において、ユーザの操作の判定に使用される方法としては主にブラックリスト方式とホワイトリスト方式が存在する。
【０００４】
ブラックリスト方式は予め禁止される操作を禁止ルールとして定義しておき、監視装置に転送された操作がブラックリスト上の１つ以上の禁止ルールに合致した場合、その操作を不正と判定する方法である。
【０００５】
ブラックリスト方式では、検出された不正な操作と禁止ルールを紐づけることが可能なため、操作と合致した禁止ルールを参照することでその操作が不正と判定された理由を明確にでき、かつ禁止ルールに重要度などの付帯情報を持たせることで通知を受けたセキュリティ担当者の次のアクションを補助できるなど、運用上の優位性がある。
【０００６】
ホワイトリスト方式は、予め許可される操作を許可ルールとして定義しておき、監査サーバに転送された操作がホワイトリスト上のすべての許可ルールに合致しなかった場合、その操作を不正と判定する方法である。
【０００７】
ホワイトリスト方式では、ホワイトリスト上に登録されていない操作はすべて不正と判定されるため、予め想定することが困難な操作も検知することが可能であり、ブラックリスト方式よりも不正操作の検出力について優位性がある。
【０００８】
ただし、ホワイトリスト方式では、想定されていないが正常な操作についても不正な操作と誤判定する可能性がある。よって、通知を受けたセキュリティ担当者はまず通知の妥当性について、想定されていないが正常な操作かどうかを検証し、必要に応じてホワイトリストのメンテナンスを行う必要があるという運用上の負荷を含んでいる。
【０００９】
特許文献１は、予め一定期間中に行われた操作を収集してホワイトリストに自動登録し、不正と判定された操作を人手で確認し、確認結果をフィードバックして判定閾値を調整することにより、パラメータの調整にかかる手間を軽減して、不正操作を検出する異常操作検出装置を開示している。
【先行技術文献】
【特許文献】
【００１０】
【特許文献１】特開2010-250502号公報
【発明の概要】
【発明が解決しようとする課題】
【００１１】
しかしながら、特許文献１のホワイトリスト方式の異常操作検出装置では、依然として確認結果を人手で解析、評価する必要性があり、セキュリティ担当者にかかる負荷が大きいという問題は依然として残っている。
【００１２】
本発明は、上記した従来の問題に鑑みなされたものであり、ホワイトリスト方式による不正操作検出におけるセキュリティ担当者の負荷を緩和させることができる不正操作検出装置、不正操作検出方法および不正操作検出プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１３】
本発明の不正操作検出装置は、複数の端末を含むネットワークにおける不正操作を検出する不正操作検出装置であって、
前記ネットワークを介して操作ログを受付け該操作ログから受付操作内容を抽出する操作内容受付部と、
それぞれが関連付けられ許可された操作内容である複数の許可項目を記憶したホワイトリスト記憶部と、
前記許可項目と前記受付操作内容とを比較し、前記受付操作内容と前記許可項目との個別の乖離度を算出し、該個別の乖離度に応じて前記受付操作内容が不正操作内容であるか否かを判定する不正操作判定部と、
前記受付操作内容が不正操作内容である場合、前記個別の乖離度に基づいて、前記許可項目の全体に対する前記不正操作内容の平均乖離度を算出し、且つ、前記許可項目の各々に対する前記不正操作内容の項目乖離度を算出し、該項目乖離度の内の最大値を選択し、前記不正操作内容の前記平均乖離度及び前記項目乖離度の内の最大値を不正操作評価情報として生成する不正操作評価部と、
を有することを特徴とする。
【００１４】
本発明の不正操作検出方法は、複数の端末を含むネットワークにおける不正操作を検出する不正操作検出方法であって、
前記ネットワークを介して操作ログを受付け該操作ログから受付操作内容を抽出する抽出ステップと、
それぞれが関連付けられ許可された操作内容である複数の許可項目を記憶したホワイトリストを記憶する記憶ステップと、
前記許可項目と前記受付操作内容とを比較し、前記受付操作内容と前記許可項目との個別の乖離度を算出し、該個別の乖離度に応じて前記受付操作内容が不正操作内容であるか否かを判定する不正操作判定ステップと、
前記受付操作内容が不正操作内容である場合、前記個別の乖離度に基づいて、前記許可項目の全体に対する前記不正操作内容の平均乖離度を算出し、且つ、前記許可項目の各々に対する前記不正操作内容の項目乖離度を算出し、該項目乖離度の内の最大値を選択し、前記不正操作内容の前記平均乖離度及び前記項目乖離度の内の最大値を不正操作評価情報として生成する不正操作評価ステップと、
を有し、
前記ホワイトリストを記憶する記憶ステップの前記許可項目は、許可ユーザ識別子、許可ユーザ端末ＩＤおよび許可ユーザ操作を含み、
前記受付操作内容は、前記操作ログに対応する受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作を含み、
前記不正操作判定ステップは、
前記許可ユーザ識別子、許可ユーザ端末ＩＤおよび許可ユーザ操作と前記受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作とをそれぞれ比較して、前記許可項目における前記受付ユーザ識別子、前記受付ユーザ端末ＩＤおよび前記受付ユーザ操作のそれぞれに対する前記個別の乖離度を算出する個別乖離度算出ステップと、
前記個別の乖離度を合計して前記許可項目の群における前記受付操作内容の合計乖離度を算出する合計乖離度算出ステップと、を含み、
前記不正操作評価ステップは、
前記合計乖離度に基づき前記許可項目の全体に対応する前記不正操作内容の前記平均乖離度を算出する平均乖離度算出ステップと、
前記個別乖離度に基づき前記許可項目の各々に対応する前記不正操作内容の前記項目乖離度を算出する項目乖離度算出ステップと、を含むことを特徴とする。
【００１５】
本発明の不正操作検出プログラムは、複数の端末を含むネットワークにおける不正操作を検出する不正操作検出プログラムであって、
前記ネットワークを介して操作ログを受付け該操作ログから受付操作内容を抽出する抽出ステップと、
それぞれが関連付けられ許可された操作内容である複数の許可項目を記憶したホワイトリストを記憶する記憶ステップと、
前記許可項目と前記受付操作内容とを比較し、前記受付操作内容と前記許可項目との個別の乖離度を算出し、該個別の乖離度に応じて前記受付操作内容が不正操作内容であるか否かを判定する不正操作判定ステップと、
前記受付操作内容が不正操作内容である場合、前記個別の乖離度に基づいて、前記許可項目の全体に対する前記不正操作内容の平均乖離度を算出し、且つ、前記許可項目の各々に対する前記不正操作内容の項目乖離度を算出し、該項目乖離度の内の最大値を選択し、前記不正操作内容の前記平均乖離度及び前記項目乖離度の内の最大値を不正操作評価情報として生成する不正操作評価ステップと、
を有し、
前記ホワイトリストを記憶する記憶ステップの前記許可項目は、許可ユーザ識別子、許可ユーザ端末ＩＤおよび許可ユーザ操作を含み、
前記受付操作内容は、前記操作ログに対応する受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作を含み、
前記不正操作判定ステップは、
前記許可ユーザ識別子、許可ユーザ端末ＩＤおよび許可ユーザ操作と前記受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作とをそれぞれ比較して、前記許可項目における前記受付ユーザ識別子、前記受付ユーザ端末ＩＤおよび前記受付ユーザ操作のそれぞれに対する前記個別の乖離度を算出する個別乖離度算出ステップと、
前記個別の乖離度を合計して前記許可項目の群における前記受付操作内容の合計乖離度を算出する合計乖離度算出ステップと、を含み、
前記不正操作評価ステップは、
前記合計乖離度に基づき前記許可項目の全体に対応する前記不正操作内容の前記平均乖離度を算出する平均乖離度算出ステップと、
前記個別乖離度に基づき前記許可項目の各々に対応する前記不正操作内容の前記項目乖離度を算出する項目乖離度算出ステップと、を含み、
前記抽出ステップと前記記憶ステップと前記不正操作判定ステップと前記不正操作評価ステップとを不正操作検出装置としてのコンピュータに実行させることを特徴とする。
【発明の効果】
【００１６】
本発明によれば、前記不正操作評価部により、不正と判定された前記不正操作内容と共にその評価である前記不正操作内容にかかわる前記平均乖離度及び前記項目乖離度の内の最大値を不正操作評価情報として生成する故に、不正操作評価情報を利用するセキュリティ担当者の負荷を緩和させることができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の実施例の不正操作検出装置を示すシステム構成例の概略説明図である。
【図２】本発明の実施例の不正操作検出装置にかかわるホワイトリストデータベース内に記録されたホワイトリストテーブルの許可ルールの記録内容を示す表である。
【図３】本発明の実施例の不正操作検出装置の動作フロー図である。
【図４】本発明の実施例の不正操作検出装置にかかわるホワイトリストデータベース内に記録された具体例のホワイトリストテーブルの許可ルールの記録内容を示す表である。
【発明を実施するための形態】
【００１８】
以下、図面を参照しつつ本発明による実施例の不正操作検出装置の例について説明する。なお、本発明は以下の実施例に限定されるものではない。
【実施例】
【００１９】
［システム構成例］
図１は、本発明による実施例にかかわる情報セキュリティシステム１００を示すシステム構成の一例の概略説明図である。
【００２０】
このシステム構成例においては、不正操作検出装置１０１とホワイトリストデータベース１０２と通知装置１０３がネットワークＮＷに接続されている。システム１０１は、このネットワークＮＷに接続された、複数のセキュリティ担当者１０４、１０５、１０６の通信端末装置１０４ａ、１０５ａ、１０６ａや、複数の監視対象装置１０７およびオペレータ端末１０８で構成される。ネットワークＮＷの接続形態は、ＩＰネットワーク等のインターネット網の他、例えば各種のＬＡＮ（Local Area Network)、ＷＡＮ(Wide Area Network）、ＶｏＰＮ（Voice over Packet Network）のような専用回線網や、電話回線網、衛星通信網等の公衆回線網を含むものであってもよい。ネットワークＮＷは、通信端末装置である、固定電話機、携帯電話機、スマートフォン、携帯通信端末およびパーソナルコンピュータ（ＰＣ）に接続可能であるものである。なお、不正操作検出装置１０１とネットワークＮＷとの接続には図示しないがファイアウォールを介している。
【００２１】
ネットワーク端末である監視対象装置１０７は、ログ管理対象装置であり、例えば、ファイアウォール、Ｗｅｂプロキシサーバ、システム装置の権限を管理するサーバ（ＬＤＡＰサーバ（Lightweight Directory Access Protocol）、ＲＡＤＩＵＳサーバ（Remote Authentication Dial-in User Service（ダイヤルアップ接続ユーザ認証））等）、メールサーバ、データベースサーバ、ファイルサーバ、クライアントのＰＣ（Personal Computer）が含まれ、例えばサーバやスイッチやルータ等や侵入防止システム（IPS:Intrusion Prevention System）等も含まれる。
【００２２】
セキュリティ担当者１０４、１０５、１０６は、不正操作検出装置１０１からの通知に対して不正操作内容に対応する担当者である。セキュリティ担当者１０４、１０５、１０６の情報は、不正操作検出装置１０１において、それぞれの情報セキュリティインシデントに対応するスキルレベルに応じて事前登録され、該担当者の連絡先も事前登録されている。不正操作検出装置１０１の記憶部には、担当者情報ファイルが構築されている。セキュリティ担当者情報には、セキュリティ担当者を特定できるＥ−ｍａｉｌアドレスや、担当者ＩＤ、担当者名、担当システムのサーバＩＤが対応づけて登録されている。また、セキュリティ担当者を追跡できる連絡先として電話番号も対応づけて登録されていてもよい。
【００２３】
不正操作検出装置１０１は、ホワイトリスト方式で不正な操作を検出する装置であって、ホワイトリストデータベース１０２内のホワイトリストの許可ルールとネットワーク端末の現状操作（操作ログから抽出される）との間の乖離度を求め、さらに不正カテゴリを求め、不正な操作と判定した場合に検出結果に前記乖離度と不正カテゴリとを含めて、通知装置１０３介して、セキュリティ担当者に通知する。
【００２４】
［ホワイトリストデータベース］
図２は、ホワイトリストデータベース１０２内に記録されたホワイトリストテーブルの許可ルールの記録内容を示す表である。
【００２５】
当該許可ルールの一例として、複数の許可項目すなわちルール番号毎に、ユーザＩＤ、対象装置名、許可操作内容、許可操作時間帯、ｅｔｃそれぞれが許可ユーザ識別子、許可ユーザ端末ＩＤ、許可ユーザ操作、許可操作時間帯、ｅｔｃとして、関連付けられ許可された操作内容として各行毎記録されている。
【００２６】
図２に示すように、ホワイトリストテーブルにはｍ個の許可ルール１〜ｍが存在する。各々の許可ルールは１〜ｎ個の許可項目（ユーザＩＤ、対象装置名、許可操作内容、許可操作時間帯、ｅｔｃ）を有する。ここで、許可項目の指定は、許可ルールｊ番目（ｊ＜ｍ）の中の許可項目ｉ番目（ｉ＜ｎ）をｒ（ｉ，ｊ）と表記する。
【００２７】
許可項目には、だれが、どの端末で、どのような操作を、いつ行ったか等の許可されるべき項目が含まれる。許可項目は、システムに応じて適宜設定してもよい。
【００２８】
また、図１の例においてホワイトリストデータベース１０２を不正操作検出装置１０１と別体として設けているが、ホワイトリストテーブルを記憶したホワイトリスト記憶部として、不正操作検出装置１０１と一体に構成することもできる。
【００２９】
［不正操作検出装置］
不正操作検出装置１０１は、監視対象装置１０７から出力されるログデータを収集し、収集したログデータを分析する。不正操作検出装置１０１は、ログデータの分析の結果から脅威がある事象（不正操作イベント等の情報セキュリティインシデント）があると通知（アラーム）を発信する機能を有する。不正操作検出装置１０１は、オペレータ端末１０８からのユーザの操作により監視対象装置１０７を監視し、保守し、操作する機能を備えていてもよい。
【００３０】
不正操作検出装置１０１のハードウエアは、ソフトウエアのオペレーティングシステム（Operating System:OS）で制御される不正操作検出プログラムをインストールしたコンピュータ装置で実現することができる。不正操作検出装置１０１は、図示しないが、ＣＰＵ（Central Processing Unit）と、ＲＡＭ（Random Access Memory）、ハードディスク装置やＳＳＤ（solid state drive）等の記憶部を含み、記憶部に格納されたプログラムに従い、ＣＰＵがＲＡＭを一次記憶用ワークメモリとして利用して、ＳＩＥＭ処理を実行するコンピュータ装置である。不正操作検出装置１０１は、キーボード等の入出力装置や、ＵＳＢ（Universal Serial Bus）や、ネットワーク接続部（NIC:Network Interface Card）をも含む。
【００３１】
不正操作検出装置１０１は、監視対象装置１０７から発出されたネットワークＮＷを介して操作ログを受付け該操作ログから受付操作内容を抽出する操作内容受付部２０１を有する。受付操作内容は、前記操作ログに対応する受付ユーザ識別子、受付ユーザ端末ＩＤ、受付ユーザ操作、受付操作時間帯、ｅｔｃを含む。操作内容受付部２０１における受付操作内容の抽出条件はホワイトリストテーブルの許可ルールの許可項目に対応（一致）させる条件である。
【００３２】
ホワイトリストテーブル及び受付操作内容では、自然言語によって記述された操作内容を示すテキストデータと、コードによって記述された操作内容を示す情報とを対応付ける情報である対応情報コードによって記述された操作内容を示す情報が記録される。当該テキストデータは、例えば、「サーバＡ．＊ログイン」のように、正規表現等を用いたものであってもよく、「サーバＡにログインする。」のように、正規表現を用いていないものであってもよい。コードによって記述された操作内容を示す情報は、例えば、その操作内容の識別情報であって、その操作内容のプロセスや、通信ポート、コマンド等を示す識別コードであってもよい。
【００３３】
不正操作検出装置１０１は、不正操作判定部２０２と不正操作評価部２０３を有する。
【００３４】
不正操作判定部２０２は、前記ホワイトリストテーブルの許可項目と前記受付操作内容とを比較し、前記受付操作内容と前記許可項目との個別の乖離度を算出し、該個別の乖離度に応じて前記受付操作内容が不正操作内容であるか否かを判定する。
【００３５】
不正操作評価部２０３は、前記受付操作内容が不正操作内容である場合、前記個別の乖離度に基づいて、前記許可項目の全体に対する前記不正操作内容の平均乖離度を算出し、且つ、前記許可項目の各々に対する前記不正操作内容の項目乖離度を算出し、該項目乖離度の内の最大値を選択し、前記不正操作内容の前記平均乖離度及び前記項目乖離度の内の最大値を不正操作評価情報として生成する。
【００３６】
不正操作判定部２０２と不正操作評価部２０３の構成と動作を説明する。本実施例の不正操作検出装置の動作フロー図を図３に示す。
【００３７】
まず、図１に示すいずれかの監視対象装置１０７上で何らかの操作が行われると、その操作ログを不正操作検出装置１０１の操作内容受付部２０１が受付け該操作ログから受付操作内容を抽出し（抽出ステップＳ１）、それを不正操作判定部２０２に転送する。
【００３８】
受付操作内容を受け取った不正操作判定部２０２は、ホワイトリストデータベース１０２からホワイトリストテーブルに記録された許可ルールを読み出し、許可項目毎に式１で求められる個別乖離度ｄ（ｉ，ｊ）を計算する（個別乖離算出ステップＳ２）。
【数１】
2019168913.tif 000003
【００３９】
ここで、ｒ（ｉ，ｊ）は、許可項目の許可ルールｊ番目（ｊ＜ｍ）の中の許可項目ｉ番目（ｉ＜ｎ）を意味する。ｏ（ｉ）は、不正操作判定部２０２に転送された受付操作内容のｉ番目の項目を意味する。
【００４０】
かかる（式１）の演算は、不正操作判定部２０２内の個別乖離度算出部２０２ａで実行される。すなわち、個別乖離度算出部２０２ａは、前記ユーザＩＤ、対象装置名、許可操作内容、許可操作時間帯、ｅｔｃと前記受付ユーザ識別子、受付ユーザ端末ＩＤおよび受付ユーザ操作とをそれぞれ比較して、前記許可項目における前記受付ユーザ識別子、受付ユーザ端末ＩＤ、受付ユーザ操作、受付操作時間帯、ｅｔｃのそれぞれに対する個別乖離度ｄ（ｉ，ｊ）を算出する。
【００４１】
次に、合計乖離度算出部２０２ｂは、（式２）により、個別乖離度ｄ（ｉ，ｊ）を合計して前記許可項目の群（許可ルール毎）における前記受付操作内容の合計乖離度ｄｒ（ｊ）を算出する（合計乖離算出ステップＳ３）。
【数２】
2019168913.tif 000004
【００４２】
ここで、不正操作判定部２０２は、許可ルール毎に（式２）で計算される合計乖離度ｄｒ（ｊ）が０となる許可ルールが存在すれば（不正操作判定ステップＳ４：Ｙ）、受付操作内容を正常な操作と判定し処理を終了する（ＥＮＤ）。すなわち不正操作判定部２０２は、全ての許可ルールで合計乖離度ｄｒ（ｊ）が０より大きい場合、受付操作内容を不正な操作と判定する（不正操作判定ステップＳ４：Ｎ）。
【００４３】
不正操作判定部２０２が受付操作内容を不正と判定した場合、不正操作評価部２０３の平均乖離度算出部２０３ａは、合計乖離度ｄｒ（ｊ）に基づいて（式３）により不正操作内容の平均乖離度ｄｍを計算する（平均乖離算出ステップＳ５）。
【数３】
2019168913.tif 000005
【００４４】
ここでｊ番目の許可ルールの合計乖離度をｄｒ（ｊ）とし、ホワイトリストテーブルにはｍ個の許可ルールが記録されているものとする。
【００４５】
さらに、不正操作評価部２０３の項目乖離度算出部２０３ｂは、許可ルール上の許可項目毎に（式４）による項目乖離度ｄｃ（ｉ）を計算する。項目乖離度算出部２０３ｂは、前記個別乖離度ｄ（ｉ，ｊ）に基づき前記許可項目の各々に対応する前記不正操作内容の前記項目乖離度を算出する（項目乖離算出ステップＳ６）。
【数４】
2019168913.tif 000006
【００４６】
ここで、不正操作情報生成部２０３ｃは、算出された項目乖離度ｄｃ（ｉ）の内で最も大きい、すなわち最大値に対応する許可項目を不正カテゴリとして記録する。また、不正操作情報生成部２０３ｃは、受付操作内容と平均乖離度と不正カテゴリとを不正操作情報として生成し、不正操作情報に応じたセキュリティ担当者を割り当て、通知装置１０３へ出力する（不正操作情報生成ステップＳ７）。このように、不正操作評価処理が完了すれば、不正操作判定部２０２は受付操作内容と平均乖離度と不正カテゴリとを不正操作情報として通知装置１０３へ転送する。
【００４７】
不正操作情報を受け取った通知装置１０３は、定義された方法でセキュリティ担当者へ不正操作情報のアラーム通知を行う。すなわち、通知装置１０３は、不正操作情報のアラーム通知を、割り当てたセキュリティ担当者の報告先の通信端末装置１０４ａ、１０５ａ、１０６ａへ電子メール等として自動送信する（自動配信ステップＳ８）。
【００４８】
セキュリティ担当者がアラーム通知を受信する（アラーム受信ステップＳ９）。このように第１の実施例によれば、不正操作検出装置により付与された平均乖離度および不正カテゴリと共に不正操作内容をセキュリティ担当者へ通知しているため、セキュリティ担当者は平均乖離度と不正カテゴリを参考に１次対応方針を決定することが可能となる。
【００４９】
例えば、不正カテゴリがユーザでかつ平均乖離度が低ければ、本来許可されていないユーザが定常的に行われている操作を実施しているため、実施ユーザの特定は必要だが、システムへの影響は軽微と判断できる。
【００５０】
逆に不正カテゴリがユーザでかつ総乖離度が高ければ、本来許可されていないユーザが通常実施されない操作を行っており、操作によるシステムへの影響を注視しつつ早急に対処が必要と判断できる。
【００５１】
更に、セキュリティ担当者１０４が早急に対処を実施する（対処実施ステップＳ１０）。対処が完了したら、不正操作検出装置１０１（ホワイトリストデータベース１０２）にフィードバックとして対処結果を登録できる（対処結果送信ステップＳ１１）。
【００５２】
フィードバックを実行することにより、ホワイトリストデータベース１０２が更に活用され、類似した不正操作が発生した際に、セキュリティ担当者が過去の対応方法等を参照することができるようになる（過去対応項目更新ステップＳ１２）。
【００５３】
以上の実施例によれば、不正操作検出装置１０１は、自動判定をした結果と共にアラームとして関係者に通知するまでをシステム化することで、今まで、グレーリスト情報を人手で評価する工数を削減することができる。
【００５４】
本発明は、情報セキュリティに関するログデータを収集しているＳＩＥＭ装置等の情報セキュリティ装置又はシステムに適応可能である。
【００５５】
具体例として、図４に示すように、３×３の許可ルール例（「ユーザＩＤ、対象装置名、許可操作内容」及び「ルール番号：１，２，３」）の場合、「ｎ＝ｍ＝３」となる。ここで、例えば、「受付操作内容」が「受付ユーザ名：Ａ１２５、受付対象装置名：サーバＡ、装置操作内容：ＤＢオブジェクトの作成」が行われたとする。
【００５６】
そうすると、（式１）の個別乖離度ｄ（ｉ，ｊ）については、ｄ（１，１）＝１、ｄ（１，２）＝０、ｄ（１，３）＝１、ｄ（２，１）＝１、ｄ（２，２）＝１、ｄ（２，３）＝０、ｄ（３，１）＝１、ｄ（３，２）＝０、ｄ（３，３）＝１であるから、（式２）の合計乖離度ｄｒ（ｊ）＝６になり、不正と判定されることになる。よって、（式３）の不正操作内容の平均乖離度ｄｍ＝２が求められ、（式４）の項目乖離度ｄｃ（ｉ）の結果により、許可項目「ユーザ名」が不正カテゴリとして記録され、不正操作検出装置１０１は、現状操作（イベント）内容「ユーザ名：Ａ１２５、対象機器名：サーバＡ、操作内容：ＤＢオブジェクトの作成」と平均乖離度「２」と、不正カテゴリ「ユーザ名」とを不正操作情報として通知装置１０３を介してセキュリティ担当者へ通知することになる。
【００５７】
また、平均乖離度そのものをセキュリティ担当者に通知しているため、平均乖離度の「高い」「低い」の評価は、平均乖離度を見たセキュリティ担当者の主観での評価、あるいはセキュリティ担当者側の端末による評価が容易になる。
【００５８】
端末による評価の場合には、システム毎に手動で適切に閾値を設定して「高い」「低い」を判定したり、上記に加え判定テーブルを用意してランク付けを行ったり、過去発生した不正操作情報（の平均乖離度）と比較して「高い」「低い」を判定する等のような既存の評価手法を利用できる。
【００５９】
これにより、検出された不正操作をセキュリティ担当者が評価する際のセキュリティ担当者の負荷を低減できる。
【符号の説明】
【００６０】
１０１…不正操作検出装置、１０２…ホワイトリストデータベース、１０３…通知装置、１０７…監視対象装置、１０４ａ、１０５ａ、１０６ａ…通信端末装置、２０２…不正操作判定部、２０３…不正操作評価部。
【図１】
2019168913.tif 000007
【図２】
2019168913.tif 000008
【図３】
2019168913.tif 000009
【図４】
2019168913.tif 000010