(57)【要約】  ユーザの認証結果および認証情報を含むアクセスログを分析する分析装置（１０）であって、アクセスログのうち、同じアクセス元のアクセスログを時系列に並べたときの、２つの連続したアクセスログにおける認証情報の類似度を算出し、算出した類似度が所定値以上であるとき、ユーザのアクセスログの認証情報が人間の入力によるものであると推定する算出部（１３）と、２つのアクセスログのいずれかの認証結果が認証失敗であり、かつ、算出部（１３）において、２つのアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定するリスク判定部（１４）とを備える。
2016068007.tif 000002
【特許請求の範囲】
【請求項１】
ユーザの認証結果および認証情報を含むアクセスログを分析する分析装置であって、
前記アクセスログのうち、同じアクセス元のアクセスログをまとめる抽出部と、
前記アクセスログのうち、同じアクセス元の複数のアクセスログにおける認証情報の類似度を算出し、前記算出した類似度が所定値以上であるとき、前記アクセスログの認証情報が人間の入力によるものであると推定する算出部と、
前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記算出部において、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定する判定部と
を備えることを特徴とする分析装置。
【請求項２】
前記算出部は、同じアクセス元の時系列に連続した複数のアクセスログにおける認証情報の類似度を算出することを特徴とする請求項１に記載の分析装置。
【請求項３】
前記抽出部は、前記同じアクセス元のアクセスログのうち、時間間隔が所定時間未満のアクセスログについては同じアクセス元のアクセスログとしてまとめ、時間間隔が所定時間以上のアクセスログについては新たなアクセス元のアクセスログとしてまとめることを特徴とする請求項１に記載の分析装置。
【請求項４】
前記抽出部は、前記アクセスログのうち、複数のユーザにより利用される可能性が高いＩＰアドレスを送信元とするアクセスログ以外のアクセスログに対し、前記アクセスログをまとめる処理を行うことを特徴とする請求項１に記載の分析装置。
【請求項５】
前記算出部は、前記類似度の算出の対象となる認証情報間で、異なる文字、数字または記号の入力装置上での配置位置が近い、または、入力操作が類似しているものほど、前記類似度を高く算出することを特徴とする請求項１に記載の分析装置。
【請求項６】
前記判定部は、同じアクセス元のアクセスログについて、連続して２回以上、前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記算出部において、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセス元が攻撃元となっている可能性があると判定することを特徴とする請求項１に記載の分析装置。
【請求項７】
ユーザの認証結果および認証情報を含むアクセスログを生成する認証装置と、前記アクセスログを分析する分析装置とを備える分析システムであって、
前記分析装置は、
前記アクセスログのうち、同じアクセス元のアクセスログをまとめる抽出部と、
前記アクセスログのうち、同じアクセス元の複数のアクセスログにおける認証情報の類似度を算出し、前記算出した類似度が所定値以上であるとき、前記アクセスログの認証情報が人間の入力によるものであると推定する算出部と、
前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記算出部において、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定する判定部と
を備えることを特徴とする分析システム。
【請求項８】
ユーザの認証情報を含むアクセスログを分析する分析装置が実行する分析方法であって、
前記アクセスログのうち、同じアクセス元のアクセスログをまとめるステップと、
前記アクセスログのうち、同じアクセス元の複数のアクセスログにおける認証情報の類似度を算出し、前記算出した類似度が所定値以上であるとき、前記アクセスログの認証情報が人間の入力によるものであると推定するステップと、
前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定するステップと
を含んだことを特徴とする分析方法。
【請求項９】
ユーザの認証結果および認証情報を含むアクセスログのうち、同じアクセス元のアクセスログをまとめる抽出部と、
前記アクセスログのうち、同じアクセス元の複数のアクセスログにおける認証情報の類似度を算出し、前記算出した類似度が所定値以上であるとき、前記アクセスログの認証情報が人間の入力によるものであると推定する算出部と、
前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記算出部において、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定する判定部と
を備える分析装置としてコンピュータを機能させるための分析プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、分析装置、分析システム、分析方法、および、分析プログラムに関する。
【背景技術】
【０００２】
従来、不正ログイン攻撃は、ID/PWD（ＩＤ／パスワード）の総当たりの組で行うものや、特定の単語辞書を用意して総当たりで行うもの等、ブルートフォース攻撃と呼ばれる総当たり法で行われるものが主流であった。ブルートフォース攻撃は、時間あたりの認証要求回数が極端に高くなったり、認証失敗の形跡が多数残ったりするという特徴があり、従来技術ではこのような特徴の有無により、不正ログイン攻撃を検知していた。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】リスト型アカウントハッキングによる不正ログインへの対応方策について（サイト管理者などインターネットサービス提供事業者向け対策集）、[online]、[平成26年10月7日検索]、インターネット<URL：http://www.soumu.go.jp/main_content/000265403.pdf>
【非特許文献２】標的型攻撃、不正ログイン……巧妙化する脅威から身を守る術は、[online]、[平成26年10月7日検索]、インターネット<URL：http://www.atmarkit.co.jp/ait/articles/1406/27/news012.html>
【非特許文献３】徳丸浩、体系的に学ぶ  安全なWebアプリケーションの作り方、P318、ソフトバンククリエイティブ、2011年3月
【非特許文献４】ユーザー・アカウントのロックアウトを解除する、[online]、[平成26年10月7日検索]、インターネット<URL：http://www.atmarkit.co.jp/ait/articles/0311/29/news005.html>
【非特許文献５】不正ログインを食い止めろ！ＯｐｅｎＡＭで認証強化、[online]、[平成26年10月7日検索]、インターネット<URL：http://www.atmarkit.co.jp/ait/articles/1310/17/news003.html>
【発明の概要】
【発明が解決しようとする課題】
【０００４】
しかし、近年では他社サービスから情報漏洩等によって流出したID/PWDリストを元に、同じID/PWDを他サービスでも使い回していることを期待し攻撃を行うリスト型攻撃が流行している。このようなリスト型攻撃は、認証に成功する確率が高いため、従来のような時間あたりの認証回数や認証失敗の回数をカウントする方法で不正ログイン攻撃を検知しようとしても、見逃してしまうおそれがある。そこで本発明は、前記した問題を解決し、攻撃を精度よく検知することを課題とする。
【課題を解決するための手段】
【０００５】
前記した課題を解決するため、本発明は、ユーザの認証結果および認証情報を含むアクセスログを分析する分析装置であって、前記アクセスログのうち、同じアクセス元のアクセスログをまとめる抽出部と、前記アクセスログのうち、同じアクセス元の複数のアクセスログにおける認証情報の類似度を算出し、前記算出した類似度が所定値以上であるとき、前記アクセスログの認証情報が人間の入力によるものであると推定する算出部と、前記複数のアクセスログのいずれかの認証結果が認証失敗であり、かつ、前記算出部において、前記複数のアクセスログのいずれかの認証情報が人間の入力によるものではないと推定されたとき、前記アクセスログにおけるアクセス元が攻撃元となっている可能性があると判定する判定部とを備えることを特徴とする。
【発明の効果】
【０００６】
本発明によれば、攻撃を精度よく検知することができる。
【図面の簡単な説明】
【０００７】
【図１】図１は、システムの構成例を示す図である。
【図２】図２は、図１の系列抽出部の処理の具体例を説明するための図である。
【図３】図３は、図１の算出部による類似度算出の具体例を説明するための図である。
【図４】図４は、図１の算出部による類似度算出の具体例を説明するための図である。
【図５】図５は、図１のリスク判定部によるレベル判定の具体例を説明するための図である。
【図６】図６は、図１の分析装置の処理手順を示すフローチャートである。
【図７】図７は、図１の匿名ＩＰ蓄積部を説明するための図である。
【図８】図８は、分析プログラムを実行するコンピュータを示す図である。
【発明を実施するための形態】
【０００８】
以下、図面を参照しながら、本発明を実施するための形態（実施形態）について説明する。なお、本発明は本実施形態に限定されない。
【０００９】
まず、図１を用いて本実施形態のシステムの構成例を説明する。システムは、認証装置１と、分析装置１０とを備える。認証装置１は、１以上のユーザの端末装置（図示省略）からのアクセスを受け付け、認証処理を行う。そして、その認証結果をアクセスログとして記録する。分析装置１０は、認証装置１からアクセスログを受信し、分析する。
【００１０】
なお、このアクセスログは、アクセス元（送信元）の端末装置のＩＰアドレス、認証に用いた認証情報（例えば、ＩＤ、パスワード等）、認証結果、アクセスした日時等の情報を含む。なお、認証結果は、認証に成功したか否かや、認証に失敗した場合、その理由の情報等を含む。認証の失敗の理由は、例えば、認証に用いるＩＤ等が登録されたものと異なるアカウント不正や、ＩＤに対応づけられたパスワードが登録されたものと異なるパスワード不正等である。
【００１１】
（分析装置）
分析装置１０は、受信部１１と、系列抽出部１２と、算出部１３と、リスク判定部（判定部）１４とを備える。破線で示す匿名ＩＰ蓄積部１５は装備する場合と装備しない場合があり、装備する場合については後記する。
【００１２】
受信部１１は、認証装置１から各ユーザのアクセスログを受信する。例えば、受信部１１は認証装置１から時系列で各ユーザのアクセスログを受信する。
【００１３】
系列抽出部１２は、受信部１１で受信したアクセスログをアクセス元（ユーザ）ごとにまとめる。つまり、系列抽出部１２はアクセス元ごとのアクセスログの系列を抽出する。例えば、系列抽出部１２は、受信部１１で受信したアクセスログ群のうち、アクセス元のＩＰアドレスまたはＩＰアドレスレンジが同じアクセスログ群（例えば、図１のユーザ識別子Ａのアクセスログ群とユーザ識別子Ｂのアクセスログ群）をまとめる。なお、系列抽出部１２は、アクセス元のＩＰアドレスまたはＩＰアドレスレンジが同じ場合、同じユーザとみなし、同じユーザ識別子を付与する。
【００１４】
なお、系列抽出部１２は、アクセス元のＩＰアドレスまたはＩＰアドレスレンジが同じアクセスログであっても、その時間間隔が所定値ｔ以上であったとき、別ユーザのアクセスログとしてまとめるようにしてもよい。例えば、系列抽出部１２は、図２に示すように、１〜１２のアクセスログのうち、アクセス元のＩＰアドレスまたはＩＰアドレスレンジが同じアクセスログについて、その時間間隔がｔ未満であるものは同じユーザのアクセスログとしてまとめるが、その時間間隔がｔ以上であるものは別ユーザ（新たなユーザ）のアクセスログとしてまとめる。例えば、図２において「２」、「６」、「１２」のアクセスログはそれぞれアクセス元が同じであるが、「２」と「６」のアクセスログの時間間隔ｔ１がｔ未満であり、「６」と「１２」のアクセスログの時間間隔ｔ２がｔ以上である場合、「２」と「６」のアクセスログは同じユーザ（例えば、ユーザ識別子Ｂ）のアクセスログとしてまとめるが、「１２」のアクセスログは別ユーザ（例えば、ユーザ識別子Ｄ）のアクセスログとする。このようにすることで、系列抽出部１２は、時間経過によりアクセス元のＩＰアドレスまたはＩＰアドレスレンジのユーザが変わった場合でも、これに応じて別ユーザのアクセスログとしてまとめることができる。
【００１５】
算出部１３は、系列抽出部１２によりまとめられた同じユーザのアクセスログにおいて２つのアクセスログの認証情報（例えば、ＩＤ、パスワード等）の類似度を算出する。そして、算出部１３は、算出した類似度が所定値以上であるとき、この２つのアクセスログのうち、いずれか一方のアクセスログにおける認証情報が人間の入力によるものであると推定する。一方、算出部１３は、算出した類似度が所定値未満であるとき、この２つのアクセスログのうち、いずれか一方のアクセスログにおける認証情報が人間の入力によるものではない、つまり、機械の入力によるもの（例えば、リスト型攻撃等によるもの）と推定する。なお、算出部１３は、同じユーザの３つ以上のアクセスログの認証情報の類似度を算出してももちろんよい。
【００１６】
例えば、算出部１３は、系列抽出部１２から、ユーザ識別子と、そのユーザ識別子の一連のアクセスログのうち、時系列で連続する２つのアクセスログ（直近の２つのアクセスログ）に含まれるＩＤとを受け取る。そして、算出部１３は、このユーザ識別子Ｂの直近の２つのアクセスログに含まれるＩＤ（ＩＤ１とＩＤ２）を比較し、類似度を算出する。そして、算出した類似度が所定値以上であるとき、算出部１３は、この認証情報の入力は人間によるものと推定し、その推定結果をリスク判定部１４へ出力する。一方、算出した類似度が所定値未満であるとき、算出部１３は、この認証情報の入力は機械によるものと推定し、その推定結果をリスク判定部１４へ出力する。この算出部１３による類似度算出の具体例は後記する。
【００１７】
リスク判定部１４は、各ユーザのアクセスログの認証結果と、算出部１３による各ユーザのアクセスログの認証情報の推定結果とに基づき、各ユーザが攻撃元となっている可能性の高さ（レベル）を判定する。例えば、リスク判定部１４は、系列抽出部１２によりまとめられたあるユーザのアクセスログについて連続する２つのアクセスログのいずれかの一方のアクセスログの認証結果が認証失敗であり、かつ、算出部１３において、この２つのアクセスログのいずれか一方のアクセスログの認証情報の入力が人間によるものではない（つまり機械の入力によるもの）と推定されたとき、これらのアクセスログにおけるアクセス元のユーザが攻撃元となっている可能性が高いと判定する。
【００１８】
具体例を挙げると、リスク判定部１４は、同じユーザの連続する２つのアクセスログのいずれか一方のアクセスログの認証結果がアカウント不正による認証失敗であり、かつ、算出部１３においてこの２つのアクセスログのいずれか一方のアクセスログの認証情報が機械の入力によるものと推定されたとき、これらアクセスログにおけるアクセス元のユーザが攻撃元となって発生している攻撃リスクの高さ（レベル）を上げる。一方、リスク判定部１４は、２つのアクセスログのいずれか一方のアクセスログの認証結果がアカウント不正による認証失敗であっても、算出部１３において、この２つのアクセスログのいずれかの一方のアクセスログの認証情報が人間の入力によるものと推定されたとき、これらアクセスログにおけるアクセス元のユーザが攻撃元となって発生している攻撃リスクの高さ（レベル）を下げる。なお、リスク判定部１４は２回連続してレベルの上昇があった（例えば、レベルが「１」から「３」以上に達した）アクセス元のユーザのユーザ識別子を攻撃元となっている可能性が高いユーザのユーザ識別子として出力してもよい。これにより、システムの管理者等は、攻撃元となっている可能性の高いユーザのユーザ識別子を知ることができる。
【００１９】
（算出部による類似度の算出の具体例）
ここで、算出部１３による類似度算出の具体例を、図３および図４を用いて説明する。
【００２０】
算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）間で各認証情報を構成する文字、数字、記号の入力装置上での配置が近い、または、入力操作が類似しているものほど類似度を高く算出する。一例を挙げると、算出部１３は、比較対象となる２つの認証情報間で各認証情報を構成する文字、数字、記号のキーボード配列上の距離（キーボード距離）が近いものほど類似度を高く算出する。例えば、図３の符号３０１に示す「yamaea.taro」と「yamada.taro」はキーボード距離が比較的近いので類似度を高く算出する。なお、シフトキーの押し間違えによる大文字、小文字の違い、数字、記号の違いについてもキーボード距離が近いとみなし、例えば、符号３０２に示す「yamada.taro5」と「yamada.taro%」についても類似度を高く算出する。
【００２１】
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）間で各認証情報を構成する文字、数字、記号の編集距離が近いものほど類似度を高く算出してもよい。この場合、例えば、符号３０３に示す「yamata.daro」と「yamada.taro」は編集距離が比較的近いので類似度を高く算出する。
【００２２】
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）のうち一方の認証情報がアットマーク（@）を含まず、区分記号(例えば、下線(_)、ドット(.)、ハイフン(-)等英数字以外)を１つ含む場合において、他方の認証情報がこの認証情報の区分記号の前後を入れ替えた文字列等であるときも類似度を高く算出してもよい。この場合、例えば、符号３０４に示す「yamada.taro」と「taro.yamada」は、後者の認証情報が、前者の認証情報のドット(.)で区切られた文字列を入れ替えたものであるので類似度を高く算出する。
【００２３】
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）がそれぞれ最後に数字を含む場合において、一方の認証情報の数字を省略した形で区分記号の前後を入れ替えてみて、入れ替え後に数字を追加したものが他方の認証情報と同じであれば類似度を高く算出してもよい。例えば、符号３０５に示す「taro.yamada123」と「yamada.taro123」は、前者の認証情報の数字を省略した形で区分記号の前後を入れ替え、数字を追加したものが後者の認証情報と同じになるので類似度を高く算出する。また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）のいずれか一方が最後に数字を含む場合において、認証情報から数字を削除したものが他方の認証情報と同じであれば類似度を高く算出してもよい。例えば、「yamada」と「yamada123」は、後者の認証情報から数字を削除したものが前者の認証情報と同じになるので、算出部１３は類似度を高く算出する。
【００２４】
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）のうち、一方の認証情報がアットマーク（@）を含まず、他方の認証情報がアットマークを含む場合において、これらの認証情報間でアットマークまでの部分文字列が一致するとき、類似度を高く算出してもよい。この場合、例えば、図４の符号４０１に示す「yamada.taro@example.co.jp」と「yamada.taro」は前者のアットマークまでの部分文字列が一致するので類似度を高く算出する。
【００２５】
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）のうち、一方の認証情報が２文字以下の連続する英数字以外の記号を含む場合において、他方の認証情報が記号を取り除くと一致するとき、類似度を高く算出してもよい。この場合、例えば、図４の符号４０２に示す「yamada-taro」と「yamadataro」は、前者の記号（ハイフン（-））を取り除くと後者と一致するので類似度を高く算出する。
【００２６】
また、算出部１３は、例えば、比較対象となる２つの認証情報（例えば、ＩＤ）のうち、一方の認証情報が英数字以外の記号を１つ含む場合において、記号の前または後の部分文字列を一部省略したものが他方の認証情報と一致するとき、類似度を高く算出してもよい。この場合、例えば、図４の符号４０３に示す「yamada-taro」と「yamada-t」や、符号４０４に示す「yamada.taro」と「yama.taro」は記号の前または後の部分文字列を一部省略したものが他方の認証情報と一致するので類似度を高く算出する。さらに、このように一方の認証情報が英数字以外の記号を１つ含む場合において、この記号の前または後の部分文字列を一部省略したものを、記号の前後で入れ替えたものが他方の認証情報と一致するときも、類似度を高く算出してもよい。
【００２７】
このように算出部１３は、比較対象となる２つの認証情報が異なっていたとしても、この２つの認証情報の違いが人間の入力ミスでよくあるパターンのとき、これらの認証情報の類似度を高く算出する。なお、図３、図４に例示した、算出部１３が比較対象となる認証情報について類似度を高く判定するパターン（つまり、人間の入力ミスによくあるパターン）については、例えば、分析装置１０の記憶部（図示省略）の所定領域に記憶しておき、分析装置１０の管理者等が適宜変更できるようにしてよい。
【００２８】
（リスク判定部によるレベル判定の具体例）
ここで、リスク判定部１４によるレベル判定の具体例を、図５を用いて説明する。ここではリスク判定部１４は、図５に示す状態遷移図に基づき、アクセスログにリスト型攻撃に似たビヘイビア（機械により入力された認証情報を用いたログイン等）が観測されるとレベルを上げ、リスト型攻撃に似ていないビヘイビア（人間により入力された認証情報を用いたログイン等）が観測されるとレベルを下げる。具体的には、例えば、リスク判定部１４は、アクセス元のＩＰアドレス＝Ａの一連のアクセスログ群における認証の成否、認証失敗の原因（理由）、入力した認証情報の推定結果（人間による入力か、機械による入力か）に基づき、アクセス元のＩＰアドレス＝Ａのユーザが攻撃元となって発生している攻撃リスクの高さ（脅威レベル）を５段階のレベルで判定する。これにより、攻撃の誤検知を防止したり、リスト型攻撃が成功してしまった可能性があることを判定したりすることができる。
【００２９】
なお、上記の５段階のレベルのうち、レベル１は「通常のＩＰアドレス」であり、レベル２は「要注意」であり、レベル３は「リスト型攻撃の可能性高」であり、レベル４は「リスト型攻撃が継続中」であり、レベル５は「リスト型攻撃が成功した可能性が極めて高い」を示すものとする。
【００３０】
図５の上段の図は、リスク判定部１４によるレベル判定の例を示す状態遷移図である。この状態遷移図におけるノードはレベル（レベル１〜レベル５）を示し、ノード間を接続する矢印（エッジ）は各状態へ遷移するためのイベントを示す。イベントは、例えば、符号６０１に示すようにログインの成否と、認証情報の入力が機械によるものか人間によるものかの判定結果（入力判定）との組み合わせにより記述される。ログインの成否は、ログイン成功（ＬＯＧＩＮ）、パスワード不正によるログイン失敗（ＦＡＩＬ）、アカウント不正によるログイン失敗（ＵＮＫＮＯＷＮ）、ログインの成否を問わない（＊）のいずれかである。また、認証情報の入力が機械によるものか人間によるものかの判定結果は、認証情報の入力が機械によるものか人間によるものかを問わない（入力判定なし）（＊）、機械（ＭＡＣＨＩＮＥ）、人間（ＨＵＭＡＮ）のいずれかである。例えば、ＬＯＧＩＮ−＊は、認証情報の入力が機械によるものか人間によるものかを問わず、ログインに成功したことを示す。また、ＦＡＩＬ−ＭＡＣＨＩＮＥは、パスワード不正によりログインに失敗し、認証情報の入力が機械によるものであることを示す。さらに、＊−ＭＡＣＨＩＮＥは、ログインの成否を問わず、認証情報の入力が機械によるものであることを示す。
【００３１】
次に図５の状態遷移図を説明する。まず、リスク判定部１４はアクセス元のＩＰアドレス＝Ａの最初のアクセスログを参照し、イベントがＦＡＩＬ−＊またはＬＯＧＩＮ−＊のときは、レベル１のままと判定するが、イベントがＵＮＫＮＯＷＮ−＊のときは、レベル２と判定する。
【００３２】
次に、リスク判定部１４は、レベル２と判定した、アクセス元のＩＰアドレス＝Ａの次のアクセスログを参照し、イベントがＵＮＫＮＯＷＮ−ＨＵＭＡＮまたはＦＡＩＬ−ＨＵＭＡＮのときはレベル２のままと判定するが、ＬＯＧＩＮ−＊のときは、レベル１へ戻すと判定する。一方、イベントがＵＮＫＮＯＷＮ−ＭＡＣＨＩＮＥまたはＦＡＩＬ−ＭＡＣＨＩＮＥのときは、レベル３と判定する。
【００３３】
次に、リスク判定部１４は、レベル３と判定した、アクセス元のＩＰアドレス＝Ａの次のアクセスログを参照し、イベントがＵＮＫＮＯＷＮ−ＭＡＣＨＩＮＥまたはＦＡＩＬ−ＭＡＣＨＩＮＥのときはレベル４と判定し、ＬＯＧＩＮ−ＭＡＣＨＩＮＥのときはレベル５と判定する。一方、イベントが＊−ＨＵＭＡＮのときは、レベル２へ戻すと判定する。
【００３４】
次に、リスク判定部１４は、レベル４と判定した、アクセス元のＩＰアドレス＝Ａの次のアクセスログを参照し、イベントがＵＮＫＮＯＷＮ−ＭＡＣＨＩＮＥまたはＦＡＩＬ−ＭＡＣＨＩＮＥのときはレベル４のままと判定し、ＬＯＧＩＮ−ＭＡＣＨＩＮＥのときはレベル５と判定する。一方、イベントが＊−ＨＵＭＡＮのときは、レベル２へ戻すと判定する。
【００３５】
次に、リスク判定部１４は、レベル５と判定した、アクセス元のＩＰアドレス＝Ａの次のアクセスログを参照し、イベントがＬＯＧＩＮ−＊のときはレベル５のままと判定し、ＵＮＫＮＯＷＮ−＊またはＦＡＩＬ−＊のときは、レベル４へ戻すと判定する。
【００３６】
このようにリスク判定部１４は、例えば、認証情報がＭＡＣＨＩＮＥ（機械）により入力されたものと推定されるアクセスログを発見するたびに、そのアクセスログのアクセス元のＩＰアドレスが攻撃元となって発生している攻撃リスクの高さ（レベル）を上げ、認証情報がＨＵＭＡＮ（人間）により入力されたものと推定されるアクセスログを発見するたびに、アクセス元のＩＰアドレスが攻撃元となって発生している攻撃リスクの高さ（レベル）を下げる。つまり、リスク判定部１４は、一連のアクセスログに、リスト型攻撃によくみられる特徴を発見するたびに、当該アクセスログのアクセス元の攻撃リスクの高さ（レベル）を上げ、リスト型攻撃によくみられる特徴を発見しなければ、当該アクセス元の攻撃リスクの高さ（レベル）を下げる。
【００３７】
そして、リスク判定部１４は、例えば、上記のレベル判定の結果、レベル３以上になったＩＰアドレス（ユーザ識別子）について、攻撃元となっている可能性の高いユーザのユーザ識別子として出力する。なお、この後、分析装置１０は、当該ＩＰアドレスの端末に対しアラートを出したり、当該ＩＰアドレスをブロック対象として認証装置１等に通知したりしてもよい。また、図５に示した状態遷移図の各ノードへの状態遷移中、所定時間以上イベントが発生しなかった場合、リスク判定部１４は、レベルをレベル１にリセットしてもよい。
【００３８】
（処理手順）
次に、図６を用いて分析装置１０の処理手順を説明する。
【００３９】
まず、受信部１１は、認証装置１からアクセスログを受信し（Ｓ１）、系列抽出部１２は、受信部１１で受信したアクセスログをユーザごとに分類する（Ｓ２）。例えば、系列抽出部１２は、受信部１１で受信したアクセスログ群のうち、アクセス元のＩＰアドレスやＩＰアドレスレンジが同じアクセスログ同士をまとめる。
【００４０】
次に、算出部１３は、Ｓ２でユーザごとに分類されたアクセスログについて、ユーザごとに直近の２つのアクセスログの認証情報の類似度を算出する（Ｓ３）。例えば、算出部１３は図３、図４に示した方法により、ユーザごとに時系列で連続する２つのアクセスログに含まれる認証情報の類似度を算出する。
【００４１】
ここで算出部１３が算出した類似度が所定値以上であれば（Ｓ４でＹｅｓ）、そのアクセスログに含まれる認証情報は人間による入力であると推定し（Ｓ５）、類似度が所定値未満であれば（Ｓ４でＮｏ）、そのアクセスログに含まれる認証情報は機械による入力であると推定する（Ｓ６）。そして、算出部１３はその推定結果をリスク判定部１４へ出力する。
【００４２】
その後、リスク判定部１４は、系列抽出部１２で分類された各ユーザのアクセスログにおける認証結果と、算出部１３による当該ユーザのアクセスログの認証情報の推定結果とに基づき、各ユーザが攻撃元となっている可能性の高さ（レベル）を判定する（Ｓ７）。例えば、リスク判定部１４は、図５に示した方法により各ユーザが攻撃元となって発生している攻撃リスクの高さ（レベル）を判定する。
【００４３】
そして、リスク判定部１４は、Ｓ７で判定したレベルが所定値以上のユーザのユーザ識別子を出力する（Ｓ８）。例えば、リスク判定部１４は、図５に示した方法により判定したレベルが「３」以上のユーザのユーザ識別情報を出力する。また、Ｓ８の後、Ｓ２でユーザごとに分類したアクセスログのうち、まだ類似度を算出していないアクセスログがあれば（Ｓ９：ログ終了でＮｏ）、Ｓ３へ戻る。一方、Ｓ２でユーザごとに分類したアクセスログのすべてについて類似度を算出済みであれば（Ｓ９：ログ終了でＹｅｓ）、処理を終了する。分析装置１０は、以上の処理を、Ｓ２で分類した各ユーザのアクセスログについて実行する。なお、分析装置１０は、各ユーザのアクセスログを順番に処理してもよいし、各ユーザのアクセスログを並列に処理してもよい。この場合、分析装置１０は、算出部１３およびリスク判定部１４を並列度に応じて複数備えているものとする。
【００４４】
このようにすることで、分析装置１０は、リスト型攻撃が行われている場合でも、これを検知することができる。具体的には、分析装置１０は、各ユーザがリスト型攻撃の攻撃元となっている可能性の高さ（レベル）や、リスト型攻撃の攻撃元となっている可能性の高いユーザのユーザ識別子を出力することができる。さらに、分析装置１０は、攻撃の検知に、認証の成否、認証失敗時の理由、認証情報の入力の推定結果を用いるので、攻撃者が通常のログインにみせかけるためログインの試行回数をゆっくりにした場合であっても、攻撃を検知しやすくなる。
【００４５】
（その他の実施形態）
なお、分析装置１０は、図１に示す匿名ＩＰ蓄積部１５をさらに備えていてもよい。この匿名ＩＰ蓄積部１５は、複数のユーザ間で利用されている可能性が高いＩＰアドレスを蓄積する。そして、受信部１１は、認証装置１から受信したアクセスログのうち、匿名ＩＰ蓄積部１５に蓄積されたＩＰアドレスと同じＩＰアドレスまたはＩＰアドレスレンジのアクセスログを除去して、系列抽出部１２へ出力する。受信部１１がこのような処理を行うことで、系列抽出部１２はアクセスログにおけるアクセス元のＩＰアドレスやＩＰアドレスレンジに基づき、同じユーザからのアクセスログ群をまとめることができる。
【００４６】
この匿名ＩＰ蓄積部１５に蓄積されるＩＰアドレス（匿名ＩＰアドレス）は、例えば、Tor（The  onion  router）、Proxyサーバ、携帯キャリア、公衆アクセスポイント等に用いられるＩＰアドレスである。
【００４７】
この匿名ＩＰ蓄積部１５に蓄積される匿名ＩＰアドレスは、例えば、図７に示すように、取得部（図１において図示省略）が、Torリスト、公開Proxyリストや、携帯キャリアＩＰアドレスレンジ、その他手動入力等により入手し、蓄積する。また、取得部は、これらのＩＰアドレスを入手するとき、ＩＰアドレスの取得元ごとに決められた入手方法、時間間隔で入手してもよい。
【００４８】
例えば、取得部は、図７の符号５０１に示す匿名ＩＰアドレス入手情報を参照し、Torリストの提供サイトから３０分ごとにＩＰアドレス（ＩＰアドレスのリスト）を入手し、匿名ＩＰ蓄積部１５に蓄積する。また、取得部は、図７の符号５０１に示す匿名ＩＰアドレス入手情報を参照し、携帯キャリアＩＰアドレスレンジから随時手動入力でＩＰアドレス（ＩＰアドレスのリスト）を入手し、匿名ＩＰ蓄積部１５に蓄積する。
【００４９】
（プログラム）
また、上記実施形態に係る分析装置１０が実行する処理をコンピュータが実行可能な言語で記述したプログラムを作成し、実行することもできる。この場合、コンピュータがプログラムを実行することにより、上記実施形態と同様の効果を得ることができる。さらに、かかるプログラムをコンピュータに読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータに読み込ませて実行することにより上記実施形態と同様の処理を実現してもよい。以下に、分析装置１０と同様の機能を実現する分析プログラムを実行するコンピュータの一例を説明する。
【００５０】
図８は、分析プログラムを実行するコンピュータを示す図である。図８に示すように、コンピュータ１０００は、例えば、メモリ１０１０と、ＣＰＵ（Central  Processing  Unit）１０２０と、ハードディスクドライブインタフェース１０３０と、ディスクドライブインタフェース１０４０と、シリアルポートインタフェース１０５０と、ビデオアダプタ１０６０と、ネットワークインタフェース１０７０とを有する。これらの各部は、バス１０８０によって接続される。
【００５１】
メモリ１０１０は、ＲＯＭ（Read  Only  Memory）１０１１およびＲＡＭ（Random  Access  Memory）１０１２を含む。ＲＯＭ１０１１は、例えば、ＢＩＯＳ（Basic  Input  Output  System）等のブートプログラムを記憶する。ハードディスクドライブインタフェース１０３０は、ハードディスクドライブ１０９０に接続される。ディスクドライブインタフェース１０４０は、ディスクドライブ１１００に接続される。ディスクドライブ１１００には、例えば、磁気ディスクや光ディスク等の着脱可能な記憶媒体が挿入される。シリアルポートインタフェース１０５０には、例えば、マウス１１１０およびキーボード１１２０が接続される。ビデオアダプタ１０６０には、例えば、ディスプレイ１１３０が接続される。
【００５２】
ここで、図８に示すように、ハードディスクドライブ１０９０は、例えば、ＯＳ１０９１、アプリケーションプログラム１０９２、プログラムモジュール１０９３およびプログラムデータ１０９４を記憶する。上記実施形態で説明した分析装置１０は、例えばハードディスクドライブ１０９０やメモリ１０１０に記憶される。
【００５３】
また、分析プログラムは、例えば、コンピュータ１０００によって実行される指令が記述されたプログラムモジュールとして、ハードディスクドライブ１０９０に記憶される。具体的には、上記実施形態で説明した分析装置１０が実行する各処理が記述されたプログラムモジュールが、ハードディスクドライブ１０９０に記憶される。
【００５４】
また、分析プログラムによる情報処理に用いられるデータは、プログラムデータとして、例えば、ハードディスクドライブ１０９０に記憶される。そして、ＣＰＵ１０２０が、ハードディスクドライブ１０９０に記憶されたプログラムモジュール１０９３やプログラムデータ１０９４を必要に応じてＲＡＭ１０１２に読み出して、上述した各手順を実行する。
【００５５】
なお、分析プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ハードディスクドライブ１０９０に記憶される場合に限られず、例えば、着脱可能な記憶媒体に記憶されて、ディスクドライブ１１００等を介してＣＰＵ１０２０によって読み出されてもよい。あるいは、制御プログラムに係るプログラムモジュール１０９３やプログラムデータ１０９４は、ＬＡＮ（Local  Area  Network）やＷＡＮ（Wide  Area  Network）等のネットワークを介して接続された他のコンピュータに記憶され、ネットワークインタフェース１０７０を介してＣＰＵ１０２０によって読み出されてもよい。
【符号の説明】
【００５６】
１      認証装置
１０    分析装置
１１    受信部
１２    系列抽出部
１３    算出部
１４    リスク判定部
１５    匿名ＩＰ蓄積部
【図１】
2016068007.tif 000003
【図２】
2016068007.tif 000004
【図３】
2016068007.tif 000005
【図４】
2016068007.tif 000006
【図５】
2016068007.tif 000007
【図６】
2016068007.tif 000008
【図７】
2016068007.tif 000009
【図８】
2016068007.tif 000010
【国際調査報告】
2016068007.tif 000011
2016068007.tif 000012
2016068007.tif 000013