(57)【要約】【課題】ユーザ認証をクリアした不正なアクセスを、ユーザが申告した内容に基づいて検出する。【解決手段】認証サーバ１は、社内ネットワーク９へアクセスするユーザからそのアクセスに関する申告を受け付け、受け付けた申告内容を記憶する。アクセス監視部１６は、ユーザ端末２と社内ネットワーク９との間のアクセスログ１９と記憶された申告内容とを比較し、比較結果に基づいて、不正アクセスを検出する。【選択図】  図１
2004213476.tif 000002
【特許請求の範囲】
【請求項１】
コンピュータシステムへアクセスするユーザから、前記アクセスに関する申告を受け付ける受付手段と、
前記受け付けた申告内容を記憶するための記憶手段と、
前記ユーザの通信装置と前記コンピュータシステムとの間の通信記録を取得する取得手段と、
前記記憶手段に記憶された申告内容と、前記取得した通信記録とを比較する比較手段と、
前記比較手段の比較結果に基づいて、前記ユーザの不正アクセスを検出する検出手段とを備える不正アクセス検出装置。
【請求項２】
前記受付手段は、複数項目について申告を受け付け、
前記比較手段は、前記項目別に比較を行い、
前記検出手段は、前記項目別に、前記申告内容と前記通信記録との不一致回数を計数し、前記不一致回数が所定回数を超えたときに、不正アクセスを検出する請求項１記載の不正アクセス検出装置。
【請求項３】
前記申告には、少なくとも前記コンピュータシステム内のアクセス先を特定可能な項目を含み、
前記通信記録には、前記ユーザがアクセスした現実のアクセス先を示す情報を含み、
前記比較手段は、前記現実のアクセス先と前記申告されたアクセス先とを比較して、一致するかどうかを判別する請求項１記載の不正アクセス検出装置。
【請求項４】
前記現実のアクセス先と前記申告されたアクセス先とが一致しないとき、前記現実のアクセス先に基づいて定まる対策を実行することを特徴とする請求項３記載の不正アクセス検出装置。
【請求項５】
前記通信記録に基づいて、ユーザのアクセス態様が予め定められた類型に含まれるかどうかを判定する判定手段をさらに備え、
前記検出手段は、前記判定手段の判定結果に基づいて不正アクセスを検出する請求項１記載の不正アクセス検出装置。
【請求項６】
前記検出手段が、前記判定手段の判定結果に基づいて不正アクセスを検出したとき、前記ユーザのアクセス態様が属する類型に基づいて定まる対策を実行することを特徴とする請求項５記載の不正アクセス検出装置。
【請求項７】
不正アクセスを検出する装置の動作のための方法であって、
コンピュータシステムへアクセスするユーザから、前記アクセスに関する申告の入力を受け付けるステップと、
受け付けた申告内容を記憶手段に記憶するステップと、
前記ユーザの通信装置と前記コンピュータシステムとの間の通信記録を取得するステップと、
前記記憶手段に記憶された申告内容と、前記取得した通信記録とを比較するステップと、
前記比較結果に基づいて、前記ユーザの不正アクセスを検出するステップとを備える不正アクセスの検出方法。
【請求項８】
コンピュータに実行されたとき、
コンピュータシステムへアクセスするユーザから、前記アクセスに関する申告の入力を受け付けるステップと、
受け付けた申告内容を記憶手段に記憶するステップと、
前記ユーザの通信装置と前記コンピュータシステムとの間の通信記録を取得するステップと、
前記記憶手段に記憶された申告内容と、前記取得した通信記録とを比較するステップと、
前記比較結果に基づいて、前記ユーザの不正アクセスを検出するステップとを行う不正アクセス検出のためのコンピュータプログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、コンピュータシステムのセキュリティ管理に関し、特にコンピュータシステムに対する不正アクセスを検出する技術に関する。
【０００２】
【従来の技術】
企業の社内システムなど、予め定められたユーザ（例えば、社員等）だけにアクセス権限が与えられている閉じたシステムにおいて、権限あるユーザがシステムの外部からアクセスすることを認めている場合がある。
【０００３】
【発明が解決しようとする課題】
前記のようなシステムが外部からアクセス要求を受けたとき、真に権限あるユーザであるかどうかを確認することは、セキュリティ管理上極めて重要である。
従って、係るシステムでは、通常、不正アクセスを防止するため、ユーザからのアクセス要求またはログイン要求を受けたとき、そのユーザが権限あるユーザであるかどうかを確認する（ユーザ認証）。このユーザ認証の方法として、パスワードによる認証や指紋などを用いた生体認証等が知られている。
【０００４】
しかし、パスワードは盗まれたり、解読されたりすることもあるし、指紋はダミーを作成されてしまえば不正アクセスを許すことになってしまう。そして、一度不正に侵入されてしまうと、その不正侵入者を捜し出して、取り締まることは難しい。
【０００５】
そこで、本発明の目的は、ユーザ認証をクリアした不正なアクセスを検出するための技術を提供することである。
【０００６】
本発明の別の目的は、ユーザが申告した内容に基づいて不正アクセスを検出するための技術を提供することである。
【０００７】
【課題を解決するための手段】
本発明の一つの実施形態に従う不正アクセス検出装置は、コンピュータシステムへアクセスするユーザから、前記アクセスに関する申告を受け付ける受付手段と、前記受け付けた申告内容を記憶するための記憶手段と、前記ユーザの通信装置と前記コンピュータシステムとの間の通信記録を取得する取得手段と、前記記憶手段に記憶された申告内容と、前記取得した通信記録とを比較する比較手段と、前記比較手段の比較結果に基づいて、前記ユーザの不正アクセスを検出する検出手段とを備える。
【０００８】
好適な実施形態では、前記受付手段は、複数項目について申告を受け付け、前記比較手段は、前記項目別に比較を行い、前記検出手段は、前記項目別に、前記申告内容と前記通信記録との不一致回数を計数し、前記不一致回数が所定回数を超えたときに、不正アクセスを検出する。
【０００９】
好適な実施形態では、前記申告には、少なくとも前記コンピュータシステム内のアクセス先を特定可能な項目を含み、前記通信記録には、前記ユーザがアクセスした現実のアクセス先を示す情報を含み、前記比較手段は、前記現実のアクセス先と前記申告されたアクセス先とを比較して、一致するかどうかを判別する。
【００１０】
好適な実施形態では、前記現実のアクセス先と前記申告されたアクセス先とが一致しないとき、前記現実のアクセス先に基づいて定まる対策を実行することを特徴とする。
【００１１】
好適な実施形態では、前記通信記録に基づいて、ユーザのアクセス態様が予め定められた類型に含まれるかどうかを判定する判定手段をさらに備え、前記検出手段は、前記判定手段の判定結果に基づいて不正アクセスを検出する。
【００１２】
好適な実施形態では、前記検出手段が、前記判定手段の判定結果に基づいて不正アクセスを検出したとき、前記ユーザのアクセス態様が属する類型に基づいて定まる対策を実行する。
【００１３】
【発明の実施の形態】
以下、本発明を適用した一実施形態に係るシステムついて、図面を用いて説明する。
【００１４】
本システムの全体構成を図１に示す。本システムは、権限あるユーザ以外のユーザに対してアクセスを制限して、コンピュータシステムを保護するために、ユーザの認証および監視を行うための認証サーバ１を備える。保護すべきコンピュータシステムの好適な例として、本実施形態では企業の社内ネットワーク９を用いて説明する。社内ネットワーク９へアクセスできるのは、その企業の社員等の予め定められている者である。社員等が社内ネットワーク９へアクセスしたいときは、ユーザ端末２からインターネットなどのネットワーク３を介して認証サーバ１へログイン要求をする。このログイン要求が許可されると、そのユーザは社内ネットワーク９へアクセスすることができる。
【００１５】
また、社内ネットワーク９へのアクセス要求の正当性の確認等のため、認証サーバ１はアクセス要求をしたユーザを管理する管理者の携帯電話機５との間で、ネットワーク３、無線基地局４および携帯電話機用無線電話網（図示しない）を通じてデータの送受信を行う。
【００１６】
ここで、「管理者」は「ユーザ」を直接的、または間接的に管理、監督、監視、あるいは指導する立場にある者を含む。典型的には「管理者」と「ユーザ」とは、いわゆる上司と部下の関係であるが、必ずしもこれに限定されない。たとえば、「ユーザ」が外注先の社員であるときは、「管理者」は外注元の社員でもよいし、「ユーザ」と「管理者」とが相互に相手の行動を監視しあう立場でもよい。
【００１７】
認証サーバ１およびユーザ端末２は、いずれも例えば汎用的なコンピュータシステムにより構成され、以下に説明する個々の構成要素または機能は、例えば、コンピュータプログラムを実行することにより実現される。また、携帯電話機５は、必ずしも現在実用されているタイプの携帯電話機でなければならないわけではなく、例えば電子メールやＷＷＷによるインターネット通信機能を有する携帯型およびデスクトップのパーソナルコンピュータやＰＤＡ（パーソナルデータアシスタント）や現在のものから将来的に進化した携帯電話機等の他のタイプの携帯通信機器で置き換えられてもよい。
【００１８】
認証サーバ１は、ネットワークインタフェース部１１と、ログイン処理部１２と、Ｗｅｂページ１３と、管理者インタフェース１４と、管理者テーブル１５と、アクセス監視部１６と、ユーザテーブル１８と、アクセスログ１９とを備える。
【００１９】
ネットワークインタフェース部１１は、ネットワーク３に対するデータの入出力を制御する。さらに、ネットワークインタフェース部１１は、社内ネットワーク９へアクセスが許可されたユーザの通信記録（アクセス先や利用サービス）をアクセスログ１９に記録する。アクセスログ１９は、例えば、ユーザＩＤ、利用時間、容量、アクセス先の識別情報（アドレス等）、送受信コマンド、応答コード、送受信文字列等をデータ項目に含む。
【００２０】
ユーザテーブル１８は、社内ネットワーク９へアクセスする権限を有するユーザの個人情報を記憶する。たとえば、ユーザテーブル１８は、図２（ａ）に示すように、ユーザＩＤ１８１と、パスワード１８２と、電子メールアドレス１８３とをデータ項目として有する。アクセス要求を受けたときに、ログイン処理部１２がこのユーザテーブル１８を参照してユーザ認証を行う。電子メールアドレス１８３は、社内ネットワーク９内（社内）の電子メールアドレスである。ユーザＩＤ１８１のユーザがユーザ端末２からログインしたとき、ログイン処理部１２が電子メールアドレス１８３へログインの事実を通知するための電子メールを送信する。
【００２１】
管理者テーブル１５は、ユーザテーブル１８に登録されているユーザの管理者を示す情報が登録されている。例えば、管理者テーブル１５には、図２（ｂ）に示すように、ユーザＩＤ１５１と、管理者の電子メールアドレス１５２、１５３とが対応づけて記憶されている。ここで、管理者の電子メールアドレスが複数あるのは、以下の理由による。すなわち、後述するように、管理者インタフェース１４がこの管理者テーブル１５を参照して管理者の携帯電話機５へ電子メールを送信する。このとき、複数の電子メールアドレスの中で予め優先順位を定めておき、順位の高い電子メールアドレスから順に送信し、送信できない場合に下位の電子メールアドレスへ送信するようにしてもよい。
【００２２】
Ｗｅｂページ１３は、認証サーバ１へアクセスしたユーザから情報の入力を受け付けたり、ユーザに情報を提供したりする。Ｗｅｂページ１３の一例が図３に示すログイン申請画面１００である。ログイン申請画面１００の詳細については後述する。
【００２３】
ログイン処理部１２は、ユーザ端末２からアクセス要求を受け付けたとき、その要求を許可するかどうかを決定する。
【００２４】
例えば、社内ネットワーク９へログインを希望するユーザが、ユーザ端末２から認証サーバ１へアクセスすると、ログイン申請画面１００がユーザ端末２の図示しない表示部に表示される。そして、ログイン申請画面１００から入力された情報を認証サーバ１が受け付ける。
【００２５】
ここで、ログイン申請画面１００の一例を図３に示す。ログイン申請画面１００は、ユーザＩＤの入力領域１０１およびパスワードの入力領域１０２を有する。ログイン処理部１２は、ここで入力されたユーザＩＤおよびパスワードをユーザテーブル１８に予め記憶されているものと照合してユーザ認証を行う。ユーザ認証の結果、正規のユーザであることが確認されたら、ログイン処理部１２はログインを許可するようにしてもよい。あるいは、後述するようにユーザＩＤおよびパスワードによる認証に加え、管理者からのログイン許可通知があったときにログインを許可するようにしてもよい。さらに、後述するような追加認証を行ってもよい。
【００２６】
ログイン申請画面１００は、ログインの付加情報の入力を受け付ける領域をさらに有する。つまり、ログイン申請画面１００は、ログインした状態を継続する予定時間（アクセスを希望する時間）の入力領域１０３と、社内ネットワーク９内のどこへアクセスするか（アクセス先）、または何をするか（利用サービス）を選択するための入力領域１０４と、ログインする理由の入力領域１０５とを有する。ログイン付加情報に含まれる項目の一部または全部で、ログイン要求の正当性を確認することができる。ここで入力されたログイン付加情報の一部または全部が、後述するようにログインするユーザの管理者の携帯電話機５へ電子メール等で送信される（図４参照）。
【００２７】
ここで入力されたログイン付加情報は、図示しない記憶部に記憶される。このとき、入力領域１０４に入力された情報は、アクセス先のサーバ名またはＵＲＬ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｌｏｃａｔｏｒ）等、アクセス先を一意に識別可能な情報に置き換えられた後、記憶部に記憶するようにしてもよい。
【００２８】
また、ログイン処理部１２は、一度社内ネットワーク９へのアクセスを許可した場合であっても、アクセス監視部１６または管理者インタフェース１４から指示を受けたときなど、所定の場合にはそれを取り消して通信を切断する。
【００２９】
管理者インタフェース１４は、社内ネットワーク９へログインを希望するユーザの管理者との間で情報を送受信する。例えば、管理者インタフェース１４は、電子メール機能を備える。そして、ログイン申請画面１００に入力されたログイン付加情報を含むテキストファイルを生成して、アクセス要求をしたユーザの管理者の通信装置５へネットワークインタフェース１１を介して送信する。このとき、送信先の電子メールアドレスは、管理者インタフェース１４が、管理者テーブル１５を参照してアクセス要求をしたユーザのＩＤと対応する管理者の携帯電話機５の電子メールアドレス１５２，１５３を取得する。
【００３０】
図４は、上記電子メールを受信した管理者の携帯電話機５にログイン付加情報を表示したときの一例である。つまり、携帯電話機５の表示部５１に受信した電子メールの内容が表示される。ここで、付加情報と併せて、アクセス要求をしたユーザを特定するための情報も含まれている。ユーザを特定するための情報は、受信した管理者がユーザを特定するのに十分な情報であればよい。例えば、ユーザＩＤ、ユーザ名（ニックネーム、イニシャル等を含む）、あるいは所属部署とユーザ名の組み合わせなどでもよい。
【００３１】
また、管理者インタフェース１４は、後述するようなアクセス監視部１６からのメール通知指示を受けたときも、管理者のメールアドレスへ電子メールを送信する。
【００３２】
管理者は、携帯電話機５を操作して、受信した電子メールに対する返信メールを送ることができる。返信メールには、ログイン許可、または不許可を示す情報を添付できる。管理者インタフェース１４はこの返信メールを受信し、返信メールがログイン許可を示すときはその旨を、ログイン不許可を示すときはその旨または切断指示をログイン処理部１２へ通知する。
【００３３】
アクセス監視部１６は、アクセスログ１９を参照してユーザのアクセスを監視する。そして、予め申告したアクセス先と異なるところへアクセスしたときなど、不正なアクセスを検出したときは、ログイン処理部１２へ切断指示をする。アクセス監視部１６の処理の詳細は後述する。
【００３４】
以上に説明した構成を備える認証サーバ１が行う処理の手順について、図５〜図８のフローチャートを用いて説明する。
【００３５】
認証サーバ１の処理は、図５に示すように、ユーザのログインを許可するかどうかを判定するログイン処理Ｓ１と、ログインが許可された後、ユーザが社内ネットワーク９へアクセスしている間に行うアクセス中処理Ｓ２とに分かれる。
【００３６】
認証サーバ１はログイン処理Ｓ１として以下の処理を行う。すなわち、社内ネットワーク９へログインを希望するユーザが、ユーザ端末２から認証サーバ１へアクセスすると、これを受け付けてユーザ端末２にログイン申請画面１００を表示させる。ユーザが、ログイン申請画面１００の各入力項目に必要な情報を入力してログイン申請を行う（Ｓ１１）。このログイン申請を受け付けると、ログイン処理部１２が入力されたユーザＩＤおよびパスワードと、ユーザテーブル１８に登録されているユーザＩＤおよびパスワードとを照合して、ユーザ認証を行う（Ｓ１２）。ユーザＩＤおよびパスワードが一致すると、管理者インタフェース１４が、ログイン付加情報を含むテキストファイルを生成する。そして、管理者テーブル１５を参照して、ユーザＩＤに対応する管理者の電子メールアドレス１５２を取得する。管理者インタフェース１４は、生成されたテキストファイルを電子メール機能を利用して管理者へ送信する（Ｓ１３）。なお、ステップＳ１２とステップＳ１３とは順序が逆でもよい。つまり、ステップＳ１３をステップＳ１２より先に行ってもよい。
【００３７】
これにより、アクセスを要求するユーザにはログイン付加情報を入力させ、これをそのユーザの管理者へ通知することができる。ログイン付加情報の通知を受けた管理者は、自分の部下が外部から社内ネットワーク９へログインするために、付加情報としてどのようなことを申請しているか、リアルタイムで確認することができる。この結果、管理者は部下の申請内容が、その部下の業務や直近の行動に照らして矛盾しないかを確認できる。
【００３８】
なお、ログイン付加情報は、本実施形態で例示する項目以外に、社内ネットワーク９へのアクセス要求の正当性を管理者が確認できるような情報であれば、他の項目に関する情報を入力させてもよい。
【００３９】
次に、認証サーバ１は、アクセス中処理Ｓ２として以下の処理を行う。すなわち、図示しない計時部が、ユーザが実際にログインしている時間を計測し、自己申告したログイン予定時間と対比して残り時間を求め、ユーザ端末２に表示させる（Ｓ２１）。社内ネットワーク９へのログインが許可されている間に、ユーザからログイン時間の延長を求める再申請があるとステップＳ１のログイン処理を繰り返し（Ｓ２２：Ｙｅｓ）、再申請された時間を残り時間に追加する。再申請がないときは、ログイン処理部１２が実際にアクセスしている時間が申請されたアクセス時間を超過していないか監視する（Ｓ２３）。そして、実際のログイン時間が申請された時間を超過したとき、ログイン処理部１２が強制的にアクセスを遮断する（Ｓ２４）。
【００４０】
なお、アクセスの強制切断の前に、残り時間が所定の時間（たとえば、２分）以下になったところで、警告をしてもよい。また、ステップＳ２２で再申請があったとき、ログイン処理Ｓ１の繰り返しは省略してもよい。
【００４１】
次に、ログイン処理Ｓ１は、図５に示した処理以外に、以下のような処理でもよい。例えば、図６はログイン処理Ｓ１の他の態様について示す。この態様では、ログインに当たり管理者の承認を必要とする。すなわち、ステップＳ１１〜Ｓ１３のあとに、ログイン許可通知を受信するとログインを許可するステップＳ１４を追加してもよい。このログイン許可通知は、例えば、ステップＳ１３でログイン付加情報を送信した管理者の携帯電話機５からの返信メールである。ステップＳ１４では、所定時間内に返信メールを受信しない場合や、ログインを許可しない旨の電子メールを受信したときは、ログイン処理部１２はそのアクセス要求を許可しない（Ｓ１４：Ｎｏ）。
【００４２】
この態様では、管理者が携帯電話機５でログイン付加情報の通知を受けると、この内容を確認して、管理者がそのログインを許可するかどうかを判断する。これにより、不審なログイン要求は未然に拒否することができる。
【００４３】
また、図６の態様のようにログインに管理者の承認を必要とするかどうかは、ログインをするユーザ、あるいはアクセス先または利用サービスに応じて定めてもよい。この場合は、ユーザに与えられている権限あるいは担当業務、アクセス先等の機密の高さなどに応じて、管理者承認の要否を定めてもよい。
【００４４】
ログイン処理Ｓ１のさらに別の態様について図７に示す。この態様では、ステップＳ１２とＳ１３との間にユーザの追加認証を行うステップＳ１５が挿入されている。追加認証とは、ステップＳ１２のユーザＩＤおよびパスワードによる認証に加えて行われる認証で、ログイン処理部１２が行う。例えば、過去の通信記録に関する情報（前回のログイン時の理由など）をログイン申請時に入力させ、ログイン処理部１２がアクセスログ１９に記録されている情報と照合する。この場合、ログイン申請画面１００に入力領域をさらに設けて入力させるようにしてもよい。
【００４５】
なお、ステップＳ１２のユーザ認証は、ユーザＩＤおよびパスワードによる認証を、電子証明書による認証またはワンタイムパスワードによる認証と置き換えることもできるし、これらの２つ以上を併用して適用することもできる。
【００４６】
次に、アクセス中処理Ｓ２についても同様に、図５に示した処理以外の処理を行うこともできる。他の処理態様の例を図８に示す。
【００４７】
この処理態様では、切断指示を受けたかどうかの判断を行うステップＳ２５が追加されている。このステップＳ２５は、アクセス監視部１６または管理者の携帯電話機５から切断指示を受けたかどうかを判定する。そして、切断指示があったときは、ログイン処理部１２がステップＳ２４で強制的に切断する。これにより、アクセス監視部１６が例えば不正アクセスを検出したとき、あるいは管理者が不正なアクセスであると判断したときに、その時点で強制的にそのユーザのアクセスを切断することができる。
【００４８】
次に、アクセス監視部１６が行う処理の詳細について説明する。なお、以下の処理は、複数のユーザが社内ネットワーク９へアクセスしている場合は、ユーザＩＤをキーにしてユーザごとに行う。
【００４９】
アクセス監視部１６は、ログイン時にユーザによって申告されたログイン付加情報とアクセスログ１９とを比較する。この比較は、例えば、ログイン付加情報の各項目ごとに行い、アクセスログ１９に記録されたアクセス先の識別情報とが、ログイン付加情報のアクセス先とが一致するかどうかを判定する。ここで、現実のアクセス先が申告されたアクセス先と一致しない場合、直ちに不正アクセスとしてもよいが、本実施形態では、不一致の回数が所定のしきい値を越えたときに不正アクセスとして検出する。
【００５０】
これにより、自己申告とは異なるアクセスを繰り返すと不正なアクセスとして検出される。
【００５１】
また、現実のアクセス先に応じて重要度を予め設定しておき（例えば図９参照）、その重要度に応じて不正アクセスとして検出するためのしきい値を定めてもよい。つまり、重要度が高いアクセス先は、重要度が低いアクセス先よりも、少ない（不一致）検出回数で不正アクセスと認定する。
【００５２】
図９には、アクセス先別に重要度、および不正アクセス検出のしきい値が定義された重要度定義テーブル５０を示す。このテーブル５０は、例えば、アクセス監視部１６内の図示しない記憶領域に記憶されている。
【００５３】
アクセス監視部１６は、さらに、上記のアクセス先に基づく不正アクセス判定に加え、またはこれとは別に、ユーザが行っているアクセスの態様が、予め定めた不審な行為の類型に含まれるかどうかを判定する。この判定は、アクセス監視部１６がアクセスログ１９に記憶された内容を分析し、ユーザのアクセスの態様（ユーザが行っている行為）を特定する。そして、そのアクセス態様が不審なアクセスの類型（不審な行為）に属するかどうかを判別する。ここで、不審な行為とは、例えば、一般的に不正と思われるアクセス方法、または、ログイン付加情報に含まれる目的に照らし、その目的とは明らかに異なる行為、あるいはその目的とは関係ないと思われるような行為を含む。一般的に不正と思われるアクセス方法とは、例えば、連続してパスワードエラーを発生させる行為（応答コードを参照して判定する）、および所定時間内に所定数以上のサーバへアクセスするスキャン行為（ＩＰアドレスの末尾を１から１００まで順に辿るなど、実在しないサーバも含めてスキャンする行為）などである。不審な行為の中でも、さらに、危険度に応じて予めレベルを設定しておいてもよい。
【００５４】
これにより、ユーザ認証をクリアしてログインしたときでも、不審な行為を行うと不正なアクセスとして検出される。
【００５５】
ここで、不正なアクセス先を検出したときと同様に、不審な行為を検出すると直ちに不正アクセスとしてもよいが、本実施形態では、不審な行為の回数が所定のしきい値を越えたときに不正アクセスとして検出する。さらに、不正な行為の危険度に応じて不正アクセスとして検出するためのしきい値を定めてもよい（例えば図１０）。つまり、危険度の高い不審な行為を検出したときは、危険度が低いものよりも少ない回数で不正アクセスと認定する。
【００５６】
図１０には、不審な行為別に危険度、および不正アクセス検出のしきい値が定義された危険度定義テーブル６０を示す。このテーブル６０は、例えば、アクセス監視部１６内の図示しない記憶領域に記憶されている。
【００５７】
上述のようにして不正アクセスを検出したと判断したときは、アクセス監視部１６は、予め定められた所定の処理（対策）を実行する。例えば、アクセス監視部１６は、不正アクセスを行っているユーザの管理者のメールアドレス（社内ネットワーク９内の通常のメールアドレス、または携帯電話機５のメールアドレス）へ電子メールで通知するよう管理者インタフェース１４へ指示したり、強制的にアクセスを切断するためにログイン処理部１２へ切断指示をしたりする。管理者へ通知する電子メールには、検出された不正アクセスを行っているユーザを特定するための情報および不正アクセスの内容などが含まれる。
【００５８】
アクセス監視部１６が行う対策は、現実のアクセス先または不審な行為に基づいて定めてもよいし、所定のルールに基づいて、その時々で定めて行ってもよい。所定のルールの一例を、図１１および図１２を用いて説明する。すなわち、図１１は、示すアクセス先の重要度と不審な行為の危険度とから対策レベルを定めるマトリックス７０を示し、図１２は、ユーザＩＤ別の対策レベルに応じた対策テーブル８０を示す。このマトリックス７０および対策テーブル８０は、いずれも、例えば、アクセス監視部１６内の図示しない記憶領域に記憶されている。
【００５９】
まず、アクセス監視部１６がマトリックス７０を用いて対策レベルを定める。対策レベルが定まると、対策テーブル８０を参照し、ユーザＩＤ応じて実施する対策が定まる。
【００６０】
次に、アクセス中処理Ｓ２として行われるアクセス先を監視するときの処理手順を、図１３に示すフローチャートを用いて説明する。
【００６１】
まず、アクセス監視部１６が、図示しない記憶部に記憶されているログイン付加情報およびアクセスログ１９を参照して、アクセス先がユーザが自己申告したアクセス先と一致するかどうかを判定する（Ｓ３１，Ｓ３２）。
【００６２】
現実のアクセス先が申告したものと一致しない場合（Ｓ３２：Ｎｏ）、アクセス先別の回数をカウントするためのカウンタをカウントアップする（Ｓ３３）。
そして、アクセス監視部１６は、そのカウンタのカウント値が所定のしきい値を越えたかどうかを判定する（Ｓ３４）。所定のしきい値を越えていた場合は（Ｓ３４：Ｙｅｓ）、アクセス監視部１６は、所定の対策または所定のルールに基づいて定まる対策を実施する（Ｓ３５）。
【００６３】
また、アクセス行為が不正なものであるかどうかの判定を行うときの処理手順を、図１４に示すフローチャートを用いて説明する。
【００６４】
まず、アクセス監視部１６がアクセスログ１９を参照して、ユーザの行為を分析ながら監視する（Ｓ３６）。そして、ユーザが不審な行為を行っていることを検出すると（Ｓ３７：Ｙｅｓ）、行為別の回数をカウントするためのカウンタをカウントアップする（Ｓ３８）。アクセス監視部１６は、そのカウンタのカウント値が所定のしきい値を越えたかどうかを判定する（Ｓ３９）。所定のしきい値を越えていた場合は（Ｓ３９：Ｙｅｓ）、アクセス監視部１６は、所定の対策または所定のルールに基づいて定まる対策を実施する（Ｓ４０）。
【００６５】
上述した本発明の実施形態は、本発明の説明のための例示であり、本発明の範囲をそれらの実施形態にのみ限定する趣旨ではない。当業者は、本発明の要旨を逸脱することなしに、他の様々な態様で本発明を実施することができる。
【図面の簡単な説明】
【図１】本発明を適用したユーザ認証システムの構成図である。
【図２】管理者テーブルおよびユーザテーブルのデータ項目の一例を示す図である。
【図３】ログイン申請画面の一例を示す図である。
【図４】携帯電話機５が受信した電子メールの内容を表示したときの一例を示す図である。
【図５】認証サーバが行う処理の一例を示すフローチャートである。
【図６】ログイン処理の他の態様を示すフローチャートである。
【図７】ログイン処理の他の態様を示すフローチャートである。
【図８】アクセス中処理の態様を示すフローチャートである。
【図９】重要度定義テーブルの一例を示す図である。
【図１０】危険度定義テーブルの一例を示す図である。
【図１１】対策レベルを定めるマトリックスの一例を示す図である。
【図１２】ユーザＩＤ別対策テーブルの一例を示す図である。
【図１３】アクセス先を監視するための処理の態様を示すフローチャートである。
【図１４】不正な行為を判定するための処理の態様を示すフローチャートである。
【符号の説明】
１…認証サーバ、２…ユーザ端末、３…ネットワーク、４…無線基地局、５…携帯電話機、９…社内ネットワーク、１１…ネットワークインタフェース部、１２…ログイン処理部、１３…Ｗｅｂページ、１４…管理者インタフェース、１５…管理者テーブル、１６…アクセス監視部、１８…ユーザテーブル、１９…アクセスログ。５０…重要度定義テーブル、６０…危険度定義テーブル、７０…対策レベルを定めるマトリックス、８０…ユーザＩＤ別対策テーブル。
【図１】
2004213476.tif 000003
【図２】
2004213476.tif 000004
【図３】
2004213476.tif 000005
【図４】
2004213476.tif 000006
【図５】
2004213476.tif 000007
【図６】
2004213476.tif 000008
【図７】
2004213476.tif 000009
【図８】
2004213476.tif 000010
【図９】
2004213476.tif 000011
【図１０】
2004213476.tif 000012
【図１１】
2004213476.tif 000013
【図１２】
2004213476.tif 000014
【図１３】
2004213476.tif 000015
【図１４】
2004213476.tif 000016