(57)【要約】　　　（修正有）【課題】複数回の認証が行われるコンピュータシステムに対する不正アクセスを検出できる不正侵入者検知装置の提供。【解決手段】不正侵入者検知システム１の通信記録収集部１１は、サーバへの、ユーザ認証を伴い接続元のアドレスとユーザ識別情報と接続時刻または切断時刻とを含むログを集めた通信記録と、当該サーバへの接続中に接続されるサーバへの、ユーザ認証を伴い接続されたログを集めた通信記録とを通信回線を介して取得する。不正アクセス判定部１３は、先に接続されるサーバの通信記録の中の接続時刻を含むログの当該接続時刻と、当該通信記録の中の当該ログのアドレスおよびユーザ識別情報ならびに当該ログの接続時刻に最も近い切断時刻を含むログの当該切断時刻と、の間のログを、後に接続されるサーバの通信記録の中から検索し、先に接続されるサーバの前記ログのユーザ識別情報と、後に接続されるサーバのログのユーザ識別情報とを比較する。【選択図】　　　図１
2004118699.tif 000002
【特許請求の範囲】
【請求項１】
サーバへの、ユーザ認証を伴う接続および切断により記録された接続元のアドレスとユーザ識別情報と接続時刻または切断時刻とを含むログを集めた通信記録と、当該サーバへの接続中に接続されるサーバへの、ユーザ認証を伴う接続により記録された接続元のアドレスとユーザ識別情報と接続時刻とを含むログを集めた通信記録とを通信回線を介して取得する通信記録取得手段と、
該通信記録取得手段により取得された、先に接続されるサーバの通信記録の中の接続時刻を含むログの当該接続時刻と、当該通信記録の中の当該ログのアドレスおよびユーザ識別情報ならびに当該ログの接続時刻に最も近い切断時刻を含むログの当該切断時刻と、の間の接続時刻と当該アドレスとを含むログを、前記通信記録取得手段により取得された、後に接続されるサーバの通信記録の中から検索するログ検索手段と、
先に接続されるサーバの通信記録の中の、接続時刻を含む前記ログのユーザ識別情報と、後に接続されるサーバの通信記録の中から前記検索されたログのユーザ識別情報とを比較する不正アクセス検出手段と
を備える不正アクセス検出装置。
【請求項２】
前記不正アクセス検出手段は、比較対象のユーザ識別情報同士が異なる場合は、不正アクセスがあった場合のものとして予め設定された処理を行うことを特徴とする請求項１記載の不正アクセス検出装置。
【請求項３】
サーバへの、ユーザ認証を伴う接続および切断により記録された接続元のアドレスとユーザ識別情報と接続時刻または切断時刻とを含むログを集めた通信記録と、当該サーバへの接続中に接続されるサーバへの、ユーザ認証を伴う接続により記録された接続元のアドレスとユーザ識別情報と接続時刻とを含むログを集めた通信記録とを通信回線を介して取得する通信記録取得段階と、
該通信記録取得段階で取得された、先に接続されるサーバの通信記録の中の接続時刻を含むログの当該接続時刻と、当該通信記録の中の当該ログのアドレスおよびユーザ識別情報ならびに当該ログの接続時刻に最も近い切断時刻を含むログの当該切断時刻と、の間の接続時刻と当該アドレスとを含むログを、前記通信記録取得段階で取得された、後に接続されるサーバの通信記録の中から検索するログ検索段階と、
先に接続されるサーバの通信記録の中の、接続時刻を含む前記ログのユーザ識別情報と、後に接続されるサーバの通信記録の中から前記検索されたログのユーザ識別情報とを比較する不正アクセス検出段階と
を備える不正アクセス検出方法。
【請求項４】
前記不正アクセス検出段階の比較対象のユーザ識別情報同士が異なる場合は、不正アクセスがあった場合のものとして予め設定された処理を行うことを特徴とする請求項１記載の不正アクセス検出方法。
【請求項５】
請求項３または４記載の不正アクセス検出方法を実行させるコンピュータプログラム。
【請求項６】
請求項３または４記載の不正アクセス検出方法を実行させるコンピュータプログラムを記録した記録媒体。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、複数回の認証が行われるコンピュータシステムに対する不正アクセスを検出できる不正アクセス検出装置、不正アクセス検出方法、その方法を実行させるコンピュータプログラム及びそのコンピュータプログラムを記録した記録媒体に関する。
【０００２】
【従来の技術】
従来より、個人の重要な情報や機密情報を扱うコンピュータシステムにあっては、高いセキュリティが要求されるので、同一ユーザに対して、例えば目的別に複数回の認証処理を行うことがある。
【０００３】
図１０は、目的別に複数回の認証が行われるコンピュータシステムの動作を示す図である。コンピュータシステムは、アクセスしてきたユーザを特定するための第１認証（ダイヤルアップ認証）を行い、これが成功すると、使用機能を制限するための第２認証を行い、これが成功すると、個人データを特定するための第３認証を行い、これが成功すると、ユーザ個人の情報やユーザの機密情報を利用させる。
【０００４】
具体的には、システムはユーザＡを利用者とした設定がされて、ユーザＡの利用する、システムにとっては発番号１１１１１１１と認識される回線からダイヤルアップされてユーザＡのユーザＩＤ「ＡＡＡ」とパスワード「ａａａ」を入力されると第１認証を成功させる。その後、ユーザＡのユーザＩＤ等の入力により第２認証を成功させる。その後、ユーザＡのユーザＩＤ等の入力により第３認証を成功させる。
【０００５】
システムには、他のユーザＢ等についても同様の設定がされていて、３段階の認証が成功になったユーザに該ユーザの個人情報等を利用させるように動作する。
【０００６】
また、ネットワークへ外部からアクセスする際の認証装置（例えばファイアウォール）において、認証の際にその対象となったユーザへ、アクセスがあったことを通知する技術も公知になっている。例えば、ＡがＢのユーザＩＤ，パスワードを利用してネットワークに入ろうとしたとき、Ｂが予め登録した手段（電子メール，電話等）を用いて、登録されている通知先アドレス（メールアドレス，電話番号等）にネットワークにアクセスがあったことを通知する。これによって、Ｂは、Ａが自分になりすましたことを検出できる（特許文献１参照）。
【０００７】
【特許文献１】
特開２００２−９１９１７号公報
【０００８】
【発明が解決しようとする課題】
しかしながら、従来の複数回の認証が行われるコンピュータシステムにあっては、個々の認証の相関をチェックしないため、なりすまし（他人のユーザＩＤやパスワードを盗用し、その人のふりをしてネットワーク上で活動すること）による不正アクセスがあっても検知できない。
【０００９】
つまり、図１０に示すように、システムはユーザＢを利用者とした設定がされているので、ユーザＢの発番号２２２２２２２と認識される回線からダイヤルアップされて、ユーザＢのユーザＩＤ「ＢＢＢ」とパスワード「ｂｂｂ」を入力されると第１認証を成功させる。その後、ユーザＢのユーザＩＤ等の入力により第２認証を成功させるが、その後、ユーザＡのユーザＩＤ等が入力された場合であっても第３認証を成功させてしまうので、ユーザＢがユーザＡの個人情報等を利用できるようになってしまう。
【００１０】
そこで本発明は、上記の従来の課題に鑑みてなされたものであり、その目的とするところは、複数回の認証が行われるコンピュータシステムに対する不正アクセスを検出できる不正アクセス検出装置、不正アクセス検出方法、その方法を実行させるコンピュータプログラム及びそのコンピュータプログラムを記録した記録媒体を提供することにある。
【００１１】
【課題を解決するための手段】
上記従来の課題を解決するために、請求項１の本発明は、サーバへの、ユーザ認証を伴う接続および切断により記録された接続元のアドレスとユーザ識別情報と接続時刻または切断時刻とを含むログを集めた通信記録と、当該サーバへの接続中に接続されるサーバへの、ユーザ認証を伴う接続により記録された接続元のアドレスとユーザ識別情報と接続時刻とを含むログを集めた通信記録とを通信回線を介して取得する通信記録取得手段と、該通信記録取得手段により取得された、先に接続されるサーバの通信記録の中の接続時刻を含むログの当該接続時刻と、当該通信記録の中の当該ログのアドレスおよびユーザ識別情報ならびに当該ログの接続時刻に最も近い切断時刻を含むログの当該切断時刻と、の間の接続時刻と当該アドレスとを含むログを、前記通信記録取得手段により取得された、後に接続されるサーバの通信記録の中から検索するログ検索手段と、先に接続されるサーバの通信記録の中の、接続時刻を含む前記ログのユーザ識別情報と、後に接続されるサーバの通信記録の中から前記検索されたログのユーザ識別情報とを比較する不正アクセス検出手段とを備える不正アクセス検出装置をもって解決手段とする。
【００１２】
請求項１の本発明によれば、サーバへの、ユーザ認証を伴う接続および切断により記録された接続元のアドレスとユーザ識別情報と接続時刻または切断時刻とを含むログを集めた通信記録と、当該サーバへの接続中に接続されるサーバへの、ユーザ認証を伴う接続により記録された接続元のアドレスとユーザ識別情報と接続時刻とを含むログを集めた通信記録とを通信回線を介して通信記録取得手段が取得し、先に接続されるサーバの通信記録の中の接続時刻を含むログの当該接続時刻と、当該通信記録の中の当該ログのアドレスおよびユーザ識別情報ならびに当該ログの接続時刻に最も近い切断時刻を含むログの当該切断時刻と、の間の接続時刻と当該アドレスとを含むログを、後に接続されるサーバの通信記録の中からログ検索手段が検索し、先に接続されるサーバの通信記録の中の、接続時刻を含む前記ログのユーザ識別情報と、後に接続されるサーバの通信記録の中から前記検索されたログのユーザ識別情報とを不正アクセス検出手段が比較するので、これらユーザ識別情報同士が異なるか否かにより不正アクセスを検出することができる。
【００１３】
また、請求項２の本発明は、前記不正アクセス検出手段は、比較対象のユーザ識別情報同士が異なる場合は、不正アクセスがあった場合のものとして予め設定された処理を行うことを特徴とする請求項１記載の不正アクセス検出装置をもって解決手段とする。
【００１４】
請求項２の本発明によれば、不正アクセス検出手段が、比較対象のユーザ識別情報同士が異なる場合は、不正アクセスがあった場合のものとして予め設定された処理として、これらログを記憶装置に記憶させたり、表示装置に表示させたり、印刷装置に印刷させる等の処理を行うことができる。
【００１５】
また、請求項３の本発明は、サーバへの、ユーザ認証を伴う接続および切断により記録された接続元のアドレスとユーザ識別情報と接続時刻または切断時刻とを含むログを集めた通信記録と、当該サーバへの接続中に接続されるサーバへの、ユーザ認証を伴う接続により記録された接続元のアドレスとユーザ識別情報と接続時刻とを含むログを集めた通信記録とを通信回線を介して取得する通信記録取得段階と、該通信記録取得段階で取得された、先に接続されるサーバの通信記録の中の接続時刻を含むログの当該接続時刻と、当該通信記録の中の当該ログのアドレスおよびユーザ識別情報ならびに当該ログの接続時刻に最も近い切断時刻を含むログの当該切断時刻と、の間の接続時刻と当該アドレスとを含むログを、前記通信記録取得段階で取得された、後に接続されるサーバの通信記録の中から検索するログ検索段階と先に接続されるサーバの通信記録の中の、接続時刻を含む前記ログのユーザ識別情報と、後に接続されるサーバの通信記録の中から前記検索されたログのユーザ識別情報とを比較する不正アクセス検出段階とを備える不正アクセス検出方法をもって解決手段とする。
【００１６】
請求項３の本発明によれば、サーバへの、ユーザ認証を伴う接続および切断により記録された接続元のアドレスとユーザ識別情報と接続時刻または切断時刻とを含むログを集めた通信記録と、当該サーバへの接続中に接続されるサーバへの、ユーザ認証を伴う接続により記録された接続元のアドレスとユーザ識別情報と接続時刻とを含むログを集めた通信記録とを通信回線を介して通信記録取得段階で取得し、先に接続されるサーバの通信記録の中の接続時刻を含むログの当該接続時刻と、当該通信記録の中の当該ログのアドレスおよびユーザ識別情報ならびに当該ログの接続時刻に最も近い切断時刻を含むログの当該切断時刻と、の間の接続時刻と当該アドレスとを含むログを、後に接続されるサーバの通信記録の中からログ検索段階で検索し、先に接続されるサーバの通信記録の中の、接続時刻を含む前記ログのユーザ識別情報と、後に接続されるサーバの通信記録の中から前記検索されたログのユーザ識別情報とを不正アクセス検出段階で比較するので、これらユーザ識別情報同士が異なるか否かにより不正アクセスを検出することができる。
【００１７】
また、請求項４の本発明は、前記不正アクセス検出段階の比較対象のユーザ識別情報同士が異なる場合は、不正アクセスがあった場合のものとして予め設定された処理を行うことを特徴とする請求項１記載の不正アクセス検出方法をもって解決手段とする。
【００１８】
請求項４の本発明によれば、不正アクセス検出段階の比較対象のユーザ識別情報同士が異なる場合は、不正アクセスがあった場合のものとして予め設定された処理として、これらログを記憶装置に記憶させたり、表示装置に表示させたり、印刷装置に印刷させる等の処理を行うことができる。
【００１９】
また、請求項５の本発明は、請求項３または４記載の不正アクセス検出方法を実行させるコンピュータプログラムをもって解決手段とする。
【００２０】
請求項５の本発明によれば、複数回の認証が行われるコンピュータシステムに対する不正アクセスを検出できるコンピュータプログラムであるので該プログラムを流通可能にできる。
【００２１】
また、請求項６の本発明は、請求項３または４記載の不正アクセス検出方法を実行させるコンピュータプログラムを記録した記録媒体をもって解決手段とする。
【００２２】
請求項６の本発明によれば、複数回の認証が行われるコンピュータシステムに対する不正アクセスを検出できるコンピュータプログラムを記録した記録媒体であるので該媒体を配送により流通可能にできる。
【００２３】
【発明の実施の形態】
以下、本発明の実施の形態を図面を参照して説明する。
【００２４】
図１は、本発明の不正侵入者検知装置を実施の形態に適用した不正侵入者検知システム１の構成と利用形態を示す図である。不正侵入者検知システム１は、明細情報提供センタ１００のＷＷＷサーバ１０内に構成されているコンピュータシステムである。明細情報提供センタ１００には、ラディウスサーバ２とファイアウォールサーバ（以下、ファイアウォールという）３とが構成されている。またＷＷＷサーバ１０には明細情報提供システム４が構成されている。また、明細情報提供センタ１００は、ＷＷＷサーバ１０の利用者により使用される各ユーザ端末２００と公衆回線網を介して通信可能に構成されている。
【００２５】
ラディウスサーバ２は認証部２１と通信記録部２２を備え、認証部２１がユーザ端末２００に対してダイヤルアップ認証を行い、それに関わる情報を通信記録部２２が通信記録２３（ルータ通信記録２３ともいう）に記録するようになっている。つまり、通信記録部２２は、認証部２１がユーザ端末２００からの接続要求に対してダイヤルアップ認証を行うとルータ通信記録２３にルータ接続ログ２３Ａを記録し、当該通信リンクが切断されるとルータ通信記録２３にルータ切断ログ２３Ｂを記録する。従って、ルータ通信記録２３は、ルータ接続ログ２３Ａとルータ切断ログ２３Ｂが接続時刻または切断時刻の順に並んだ状態になっている。
【００２６】
ルータ接続ログ２３Ａは、認証が成功した時刻（以下、接続時刻といい、当該語をファイアウォール３および明細情報提供システム４での認証についても適用する）と接続元のＩＰアドレスとユーザ識別情報（以下、ユーザＩＤという）と状態と発番号とを含むものである。ルータ切断ログ２３Ｂは、通信リンクの切断時刻と接続元のＩＰアドレスとユーザＩＤと状態と発番号とを含むものである。
【００２７】
ルータ接続ログ２３Ａにおいて状態は、認証が成功した場合に接続ＯＫとして記録され、成功しなかった場合には接続ＮＧとして記録され、当該判断不能の場合には判断不能と記録される。ルータ切断ログ２３Ｂにおける状態は、通信リンクが正常に切断された場合に切断ＯＫとして記録され、当該判断不能の場合には判断不能と記録される。なお、かかる状態記録は後述するファイアウォール３と明細情報提供システム４におけるログについても同様にしてなされ、記録内容も同様のものである。
【００２８】
なお、ルータ接続ログ２３Ａとルータ切断ログ２３Ｂをルータログと総称する。
【００２９】
ファイアウォール３は認証部３１と通信記録部３２を備え、ラディウスサーバ２の認証部２１での認証が成功した場合は認証部３１がユーザ端末２００に対して認証を行い、それに関わる情報を通信記録部３２が通信記録３３（以下、ＦＷ通信記録３３ともいう）に記録するようになっている。つまり、通信記録部３２は、認証部３１がユーザ端末２００からのプロトコルの利用要求に対して認証を行うとＦＷ通信記録３３にＦＷ接続ログ３３Ａを記録し、認証を成功した場合にファイアウォール３が予め設定されたプロトコルで通信させ、当該通信リンクが切断されるとＦＷ通信記録３３にＦＷ切断ログ３３Ｂを記録する。従って、ＦＷ通信記録３３は、ＦＷ接続ログ３３ＡとＦＷ切断ログ３３Ｂが接続時刻または切断時刻の順に並んだ状態になっている。
【００３０】
ＦＷ接続ログ３３Ａは、接続時刻と接続元のＩＰアドレスとユーザＩＤと状態とを含むものである。ＦＷ切断ログ３３Ｂは、切断時刻と接続元のＩＰアドレスとユーザＩＤと状態とを含むものである。なお、かかる状態記録は前述のラディウスサーバ２におけるログにおける記録と同様にしてなされ、記録内容も同様のものである。
【００３１】
なお、ＦＷ接続ログ３３ＡとＦＷ切断ログ３３ＢをＦＷログと総称する。
【００３２】
明細情報提供システム４は認証部４１と通信記録部４２を備え、ファイアウォール３の認証部３１での認証が成功した場合は認証部４１がユーザ端末２００に対して認証を行い、それに関する情報を通信記録部４２が通信記録４３（以下、ＷＷＷ通信記録４３ともいう）に記録するようになっている。通信記録部４２は、認証部４１がユーザ端末２００からのファイルの利用要求に対して認証を行うとＷＷＷ通信記録４３にＷＷＷ接続ログ４３Ａを記録する。従って、ＷＷＷ通信記録４３はＷＷＷ接続ログ４３Ａが接続時刻の順に並んだ状態になっている。そしてＷＷＷ接続ログ４３Ａは、接続時刻と接続元のＩＰアドレスとユーザＩＤと状態とを含んでいる。なお、かかる状態記録は前述のラディウスサーバ２等のログにおける記録と同様にしてなされ、記録内容も同様のものである。
【００３３】
なお、ルータログとＦＷログとＷＷＷ接続ログを「ログ」と総称する。
【００３４】
また、明細情報提供システム４は明細情報提供部４４とサービス利用者用明細情報４５を備え、認証部４１での認証後に明細情報提供部４４がユーザ端末２００にサービス利用者用明細情報４５を提供するようになっている。
【００３５】
なお、図１においては、ユーザ端末２００からサービス利用者明細情報４５を利用するまでの認証の経路を破線で示している。
【００３６】
さて不正侵入者検知システム１は、通信記録収集部１１と通信記録整理部１２と不正アクセス判定部１３と結果編集部１４を備えるコンピュータシステムである。これら各部は、コンピュータプログラムが該プログラムを記憶した固定磁気ディスク装置等の記憶装置から不正侵入者検知システム１に読み込まれて該システムの演算処理装置で実行されることにより実現されるものである。
【００３７】
通信記録収集部１１は通信記録を収集する、つまりラディウスサーバ２からルータ通信記録２３を、ファイアウォール３からＦＷ通信記録３３を、明細情報提供システム４からＷＷＷ通信記録４３をそれぞれ取得する処理部である。つまり通信記録収集部１１は通信記録取得手段として通信記録取得段階で、サーバへの、ユーザ認証を伴う接続および切断により記録された接続元のアドレスとユーザ識別情報と接続時刻または切断時刻とを含むログを集めた通信記録と、当該サーバへの接続中に接続されるサーバへの、ユーザ認証を伴う接続により記録された接続元のアドレスとユーザ識別情報と接続時刻とを含むログを集めた通信記録とを通信回線を介して取得する。
【００３８】
通信記録整理部１２は、通信記録収集部１１が収集した各通信記録２３，３３，４３を整理する処理部である。
【００３９】
不正アクセス判定部１３は、通信記録整理部１２により整理された後の各通信記録から、明細情報提供システム４への不正アクセスの際に記録されたログと関連するログとを選択する処理部である。
【００４０】
具体的には、不正アクセス判定部１３は、ログ検索手段としてログ検索段階で、通信記録収集部１１により通信記録取得段階で取得された、先に接続されるサーバの通信記録の中の接続時刻を含むログの当該接続時刻と、当該通信記録の中の当該ログのアドレスおよびユーザ識別情報ならびに当該ログの接続時刻に最も近い切断時刻を含むログの当該切断時刻と、の間の接続時刻と当該アドレスとを含むログを、通信記録収集部１１より通信記録取得段階で取得された、後に接続されるサーバの通信記録の中から検索するようになっている。また、不正アクセス判定部１３は、不正アクセス検出手段として不正アクセス検出段階で、先に接続されるサーバの通信記録の中の、接続時刻を含む前記ログのユーザ識別情報と、後に接続されるサーバの通信記録の中から前記検索されたログのユーザ識別情報とを比較するようになっている。さらに不正アクセス判定部１３は、比較対象のユーザ識別情報同士が異なる場合は、不正アクセスがあったことを示す記録として当該ユーザ識別情報同士が異なるログをファイルに記録するようになっている。
【００４１】
結果編集部１４は、不正アクセスの判定結果等を整理する処理部である。また、判定結果等を記録するファイルとしては、不正アクセスユーザ一覧ファイル１５ａ、ルータ切断ユーザ一覧ファイル１５ｂ、ＦＷ切断ユーザ一覧ファイル１５ｃ、エラーファイル１５ｄ、切れ目ファイル１５ｅが利用される。
【００４２】
次に、不正侵入者検知システム１の動作を説明する。なお、説明の便宜上、図２の説明欄で示す２００２年２月２日における処理内容により、ルータ通信記録２３、ＦＷ通信記録３３およびＷＷＷ通信記録４３は、同図２に示すように、当該日の処理内容を反映したものになったこととする。また、ユーザＩＤ「ＸＸＸ」（Ｘはアルファベット１文字）のユーザを「Ｘユーザ」と記す。例えば、ユーザＩＤ「ＡＡＡ」のユーザは「ユーザＡ」と記す。
【００４３】
先ず、通信記録収集部１１が定時刻にまたは手動で起動されると、通信記録を収集する。つまりラディウスサーバ２からルータ通信記録２３を、ファイアウォール３からＦＷ通信記録３３を、明細情報提供システム４からＷＷＷ通信記録４３をそれぞれ取得する。
【００４４】
なお、ルータ通信記録２３とＦＷ通信記録３３についてはｆｔｐ機能を用いてファイルとして取得する。一方、ＷＷＷ通信記録４３については、リードコマンドを用いて取得後ファイル化する。
【００４５】
図３に示すように、ルータ通信記録２３、ＦＷ通信記録３３およびＷＷＷ通信記録４３の各接続ログと切断ログには記録された日付が付されているので、起動する際に過去の日を指定された場合は、この日付が指定日のものだけを抽出することができる。
【００４６】
ラディウスサーバ２とファイアウォール３はそれぞれ、毎日の最後にこれら日付が当日のものだけをファイル化し当該日付をそのファイル名に含ませて、それぞれルータ通信記録２３、ＦＷ通信記録３３として保存しているので、通信記録収集部１１は、指定日をファイル名に含むファイルをラディウスサーバ２とファイアウォール３とからｆｔｐ機能で取得する。
【００４７】
一方、ＷＷＷ通信記録４３については、リードコマンドを用いて取得後ファイル化したものから指定日のものだけを抽出する。
【００４８】
図４は、通信記録収集部１１による上記処理実行後の通信記録２３，３３，４３を例示する図である。このように通信記録２３，３３，４３は、２００２年２月２日が指定されて、図２の処理内容のみを反映したものになったことにする。
【００４９】
次に、通信記録整理部１２は、通信記録２３，３３，４３の中の異常なログ（例えばログフォーマットに従っていないもの等）をエラーファイル１５ｄに移す。また、日付指定がされなかった場合は予め設定された日数の経過したログをエラーファイル１５ｄに出力する。
【００５０】
次に、通信記録整理部１２は、各通信記録２３，３３，４３を、第１のソートキーをＩＰアドレス、第２のソートキーを接続時刻または切断時刻としてソートする。
【００５１】
図５は、通信記録整理部１２による上記処理実行後の通信記録２３，３３，４３を示す図である。この図に示すように、この時点でのルータ通信記録２３では、図４のルータ通信記録２３では存在していた、状態を判断不能と記録された１８：００のログは既にエラーファイル１５ｄに移されている。
【００５２】
次に、不正アクセス判定部１３は、図５に示す通信記録２３，３３，４３について、チェック・マッチング処理を行う。
【００５３】
先ず、ルータ通信記録２３から状態がＯＫ以外のログを抽出してルータ切断ユーザ一覧ファイル１５ｂに出力する。また、ＦＷ通信記録３３から状態がＯＫ以外のログを抽出してＦＷ切断ユーザ一覧ファイル１５ｃに出力する。ルータ通信記録２３、ＦＷ通信記録３３において、接続ログと切断ログがそろってない場合は、余っているログを切れ目ファイル１５ｅに出力する。
【００５４】
従って、図５のルータ通信記録２３の、状態を接続ＮＧとされた１７：００のルータ接続ログ２３Ａは、ＦＷ切断ユーザ一覧ファイル１５ｃに出力される。
【００５５】
次に、３点間同一ＩＰの有無チェックを行う。具体的には、各通信記録２３，３３，４３における最初の各ログ（単にルータログ、ＦＷログ及びＷＷＷ接続ログという）以下の処理５１を行い、続けて処理５２を行う。
【００５６】
【数１】
処理５１：
ルータログのＩＰアドレス＜ＦＷログのＩＰアドレスの場合
→ルータログに対応するＦＷログが無いことになるので当該ルータログを切れ目ファイル１５ｅに出力する。
ルータログのＩＰアドレス＞ＦＷログのＩＰアドレスの場合
→ＦＷログに対応するルータログが無いことになるので当該ＦＷログを切れ目ファイル１５ｅに出力する。
ルータログのＩＰアドレス＝ＦＷログのＩＰアドレスの場合
→当該ルータログとＦＷログの双方を各通信記録２３，３３に残す。
処理５２：
ルータログのＩＰアドレス＝ＦＷログのＩＰアドレス＝ＷＷＷ接続ログのＩＰアドレスの場合
→当該ルータログ、ＦＷログ及びＷＷＷログを各通信記録２３，３３，４３に残す。
ルータログのＩＰアドレス＝ＦＷログのＩＰアドレス＜ＷＷＷ接続ログのＩＰアドレスの場合
→当該ルータログ及びＦＷログに対応するＷＷＷログが無いことになるので当該ルータログ及びＦＷログを切れ目ファイル１５ｅに出力する。
ルータログのＩＰアドレス＝ＦＷログのＩＰアドレス＞ＷＷＷ接続ログのＩＰアドレスの場合
→当該ＷＷＷログに対するルータログ及びＦＷログが無いことになるので当該ＷＷＷログを切れ目ファイル１５ｅに出力する。
【００５７】
図６は、不正アクセス判定部１３による上記処理実行後の通信記録２３，３３，４３を示す図である。この図に示すように、この時点でのルータ通信記録２３では、図５のルータ通信記録２３では存在していた、状態を接続ＮＧと記録された１７：００のログは既に切れ目ファイル１５ｅに移されている。同様に、図５のルータ通信記録２３では存在していた１６：００と１６：０３の各ルータログは、切れ目ファイル１５ｅに移されている。また、図５のＦＷ通信記録３３では存在していた１６：０２と１６：０３の各ＦＷログは、切れ目ファイル１５ｅに移されている。
【００５８】
次に、不正アクセス判定部１３は、図６に示す各通信記録２３，３３，４３について範囲時間チェックを行う。
【００５９】
つまり、同一のＩＰアドレスのログについて以下のチェックを行う。
【００６０】
ルータ接続ログ２３Ａの接続時刻≦ＦＷ接続ログ３３Ａの接続時刻、かつ、ルータ切断ログ２３Ｂの切断時刻≧ＦＷ切断ログ３３Ｂの切断時刻、かつ、ＦＷ接続ログ３３Ａの接続時刻≦ＷＷＷ接続ログ４３Ａの接続時刻、かつ、ＦＷ切断ログ３３Ｂの切断時刻≧ＷＷＷ接続ログ４３Ａの接続時刻である場合は、範囲時間チェックＯＫとして、当該各ログを通信記録２３，３３，４３に残し、そうでないものは切れ目ファイル１５ｅに出力する。
【００６１】
図７は、不正アクセス判定部１３による範囲時間チェック実行後の通信記録２３，３３，４３を示す図である。この図に示すように、この時点でのルータ通信記録２３では、図６のルータ通信記録２３では存在していた１９：００と２０：００のルータログは既に切れ目ファイル１５ｅに移されている。同様に、図６のＦＷ通信記録３３では存在していた１９：０２と２０：００のＦＷログは既に切れ目ファイル１５ｅに移されている。また、図６のＷＷＷ通信記録４３では存在していた１８：５５のＷＷＷ接続ログ４３Ａは既に切れ目ファイル１５ｅに移されている。
【００６２】
次に、不正アクセス判定部１３は、図７に示す各通信記録２３，３３，４３について不正判断を行う。
【００６３】
つまり、同一のＩＰアドレスのログについてユーザＩＤの異なるものを抽出し不正アクセスユーザ一覧ファイル１５ａに出力する。なお、同一のＩＰアドレスは１：１：１で対応するとは限らないためユーザＩＤマッチング方法による処理を行う。
【００６４】
図８は、ユーザＩＤマッチング方法を示す図である。ここでは、説明の便宜上、▲１▼で示すＦＷ接続ログの接続時刻と▲１▼で示すＦＷ切断ログの切断時刻と、▲２▼で示すＦＷ接続ログの接続時刻と▲２▼で示すＦＷ切断ログの切断時刻とは、▲１▼で示すルータ接続ログの接続時刻と、▲１▼で示すルータ切断ログの切断時刻と間の範囲内にあるものとする。
【００６５】
また、▲１▼、▲２▼、▲３▼、▲４▼で示すＷＷＷログの接続時刻は、▲１▼で示すＦＷ接続ログの接続時刻と、▲１▼で示すＦＷ切断ログの切断時刻と間の範囲内にあるものとする。また、▲５▼、▲６▼、▲７▼で示すＷＷＷログの接続時刻は、▲２▼で示すＦＷ接続ログの接続時刻と、▲２▼で示すＦＷ切断ログの切断時刻と間の範囲内にあるものとする。
【００６６】
【数２】
（１）ルータログ▲１▼のユーザＩＤとＦＷログ▲１▼のユーザＩＤをチェックする。
→不一致の場合は、ＦＷで不一致であることを記憶する。
（２）ＦＷログ▲１▼のユーザＩＤと、ＷＷＷログ▲１▼のユーザＩＤをチェックする。
→不一致の場合は、ＷＷＷで不一致であることを記憶する。
（３）ＦＷログ▲１▼のユーザＩＤと、ＷＷＷログ▲２▼のユーザＩＤをチェックする。
→不一致の場合は、ＷＷＷで不一致であることを記憶する。
（４）同様の処理をＷＷＷログ▲３▼からＷＷＷログ▲４▼まで行う。
（５）ルータ接続ログ▲１▼のユーザＩＤとＦＷログ▲２▼のユーザＩＤをチェックする。
→不一致の場合は、ＦＷで不一致であることを記憶する。
（６）ＦＷログ▲２▼のユーザＩＤとＷＷＷログ▲５▼のユーザＩＤをチェックする。
→不一致の場合はＷＷＷで不一致であることを記憶する。
（７）同様の処理をＷＷＷログ▲６▼と▲７▼で行う。
（８）記憶した不一致情報をもとに、不正アクセスユーザ一覧ファイル１５ａへ不一致が発生しているルータ接続ログ▲１▼、ＦＷ接続ログ▲１▼、ＷＷＷログ▲１▼を記述する。
【００６７】
次に、結果編集部１４は、不正アクセスユーザ一覧ファイル１５ａ、ルータ切断ユーザ一覧ファイル１５ｂ、ＦＷ切断ユーザ一覧ファイル１５ｃのデータにヘッダ（タイトル）を付与し、改行等の編集を行うことで見やすい形にする。
【００６８】
図９は、結果編集部１４による処理後の不正アクセスユーザ一覧ファイル１５ａとルータ切断ユーザ一覧ファイル１５ｂとＦＷ切断ユーザ一覧ファイル１５ｃの状態を示す図である。
【００６９】
不正アクセスユーザ一覧ファイル１５ａには、ユーザＩＤを不正なユーザＩＤに変更して行った不正アクセスのログのユーザＩＤを含む結果と、正規のユーザＩＤでアクセスした正規アクセスのログのユーザＩＤを含む結果とが対応づけられているので、不正アクセスのユーザを一覧することができる。
【００７０】
具体的に不正アクセスユーザ一覧ファイル１５ａには、図９に示すように、ユーザＩＤを「ＢＢＢ」から「ＧＧＧ」に変更してなされた不正アクセスと、ユーザＩＤを「ＣＣＣ」から「ＦＦＦ」に変更してなされた不正アクセスのログが記録されている。なお、不正アクセスユーザ一覧ファイル１５ａに記憶されたログを表示装置に表示させたり、印刷装置に印刷させたりするプログラムを不正侵入者検知システム１に設定しておき、このプログラムを起動して当該処理を実際に行うようにしてもよい。
【００７１】
なお、ルータ切断ユーザ一覧ファイル１５ｂは、パスワード誤り等でルータ認証が成功しなかった（ＮＧ）ときの情報が記録されることになる。また、ＦＷ切断ユーザ一覧ファイル１５ｃには、パスワード誤り等でＦＷ認証が成功しなかった（ＮＧ）ときの情報が記録されることになる。
【００７２】
なお、上記説明した処理を不正侵入者検知システム１に実行させるコンピュータプログラムは、半導体メモリ、磁気ディスク、光ディスク、光磁気ディスク、磁気テープなどのコンピュータ読み取り可能な記録媒体に記録してからその記録媒体を運送したり、あるいはインターネット等のサーバに格納してから通信網を介して伝送するなどして広く流通させることができる。また、本発明にあってアドレスは、上記したようなＩＰアドレスだけでなく、他の種類のアドレスであってもよい。
【００７３】
【発明の効果】
以上説明したように、本発明によれば、サーバへの、ユーザ認証を伴う接続および切断により記録された接続元のアドレスとユーザ識別情報と接続時刻または切断時刻とを含むログを集めた通信記録と、当該サーバへの接続中に接続されるサーバへの、ユーザ認証を伴う接続により記録された接続元のアドレスとユーザ識別情報と接続時刻とを含むログを集めた通信記録とを通信回線を介して取得し、先に接続されるサーバの通信記録の中の接続時刻を含むログの当該接続時刻と、当該通信記録の中の当該ログのアドレスおよびユーザ識別情報ならびに当該ログの接続時刻に最も近い切断時刻を含むログの当該切断時刻と、の間の接続時刻と当該アドレスとを含むログを、後に接続されるサーバの通信記録の中から検索し、先に接続されるサーバの通信記録の中の、接続時刻を含む前記ログのユーザ識別情報と、後に接続されるサーバの通信記録の中から前記検索されたログのユーザ識別情報とを比較するので、複数回の認証が行われるコンピュータシステムに対する不正アクセスを検出できる。
【図面の簡単な説明】
【図１】本発明を適用した不正侵入者検知システム１の構成と利用形態を示す図である。
【図２】当初のルータ通信記録２３、ＦＷ通信記録３３およびＷＷＷ通信記録４３を示す図である。
【図３】当初のルータ通信記録２３、ＦＷ通信記録３３およびＷＷＷ通信記録４３に日付が付されていることを示す図である。
【図４】通信記録収集部１１による処理実行後の通信記録２３，３３，４３を例示する図である。
【図５】通信記録整理部１２による処理実行後の通信記録２３，３３，４３を示す図である。
【図６】不正アクセス判定部１３による処理５１及び５２実行後の通信記録２３，３３，４３を示す図である。
【図７】不正アクセス判定部１３による範囲時間チェック実行後の通信記録２３，３３，４３を示す図である。
【図８】ユーザＩＤマッチング方法を示す図である。
【図９】結果編集部１４による処理後の不正アクセスユーザ一覧ファイル１５ａとルータ切断ユーザ一覧ファイル１５ｂとＦＷ切断ユーザ一覧ファイル１５ｃの状態を示す図である。
【図１０】目的別に複数回の認証が行われるコンピュータシステムの動作を示す図である。
【符号の説明】
１　不正侵入者検知システム
２　ラディウスサーバ
３　ファイアウォールサーバ
４　明細情報提供システム
１０　ＷＷＷサーバ
１１　通信記録収集部
１２　通信記録整理部
１３　不正アクセス判定部
２１，３１，４１　認証部
２２，３２，４２　通信記録部
２３，３３，４３　通信記録
１００　明細情報提供センタ
２００　ユーザ端末
【図１】
2004118699.tif 000003
【図２】
2004118699.tif 000004
【図３】
2004118699.tif 000005
【図４】
2004118699.tif 000006
【図５】
2004118699.tif 000007
【図６】
2004118699.tif 000008
【図７】
2004118699.tif 000009
【図８】
2004118699.tif 000010
【図９】
2004118699.tif 000011
【図１０】
2004118699.tif 000012