(57)【要約】【課題】  なりすまし等の不正通信を検出して対処できる不正通信検出装置を提供する。【解決手段】  外部ノードから、保護対象ノードへの通信経路上に設けられ、当該保護対象ノードに対する通信内容を監視する不正通信検出装置であって、その制御部１１が、外部ノードから、保護対象ノードへ送出される情報の少なくとも一部を記録し、外部ノードの一つを注目ノードとして、記録された情報のうち、当該注目ノードから送出されて記録された情報の少なくとも一部が、予め定められた所定の不正通信基準ルールに合致するか否かを判断し、判断手段が、記録された情報の少なくとも一部が予め定められた所定の不正通信基準ルールに合致すると判断した場合に、当該通信内容が不正な通信に係るものと検出して、注目ノードとの通信に関する所定の処理を実行する。【選択図】        図１
2005044277.tif 000002
【特許請求の範囲】
【請求項１】
外部ノードから、保護対象ノードへの通信経路上に設けられ、当該保護対象ノードに対する通信内容を監視する不正通信検出装置であって、
前記外部ノードから、前記保護対象ノードへ送出される情報の少なくとも一部を記録する記録手段と、
前記外部ノードの一つを注目ノードとして、前記記録された情報のうち、当該注目ノードから送出されて記録された情報の少なくとも一部が、予め定められた所定の不正通信基準ルールに合致するか否かを判断する判断手段と、
前記判断手段が、前記記録された情報の少なくとも一部が予め定められた所定の不正通信基準ルールに合致すると判断した場合に、当該通信内容が不正な通信に係るものと検出して、前記注目ノードとの通信に関する所定の処理を実行する通信制御手段と、
を含むことを特徴とする不正通信検出装置。
【請求項２】
請求項１に記載の不正通信検出装置であって、
さらに、前記外部ノードごとに、それぞれの外部ノードからの通信条件に関する情報を記憶する手段を含み、
前記不正通信基準ルールは、前記記憶手段に記憶されている注目ノードからの通信条件に関する情報に基づいて定められる、
ことを特徴とする不正通信検出装置。
【請求項３】
請求項１又は２に記載の不正通信検出装置であって、
不正な通信を検出したときの連絡先に関する情報を取得する手段をさらに含み、
前記通信制御手段は、不正な通信を検出したときに、前記取得した連絡先に対して所定の情報を報知する処理を行う、ことを特徴とする不正通信検出装置。
【請求項４】
請求項３に記載の不正通信検出装置であって、
前記連絡先に関する情報を取得する手段は、前記注目ノードから情報を送信するユーザの認証情報を取得し、当該認証されたユーザの連絡先を、不正な通信を検出したときの連絡先として取得する、
ことを特徴とする不正通信検出装置。
【請求項５】
請求項１から４のいずれか一項に記載の不正通信検出装置であって、
前記通信制御手段は、不正な通信を検出したときに、当該不正な通信に係る注目ノードを特定する情報を記憶し、当該記憶した情報によって特定される注目ノードから、前記保護対象ノード側への情報の伝達を停止する処理を行う、ことを特徴とする不正通信検出装置。
【請求項６】
請求項３又は４に記載の不正通信検出装置であって、
前記通信制御手段は、前記所定の情報を報知した連絡先から予め定められた情報が受信されない場合に、当該不正な通信に係る注目ノードを特定する情報を記憶し、当該記憶した情報によって特定される注目ノードから、前記保護対象ノード側への情報の伝達を停止する処理を行う、ことを特徴とする不正通信検出装置。
【請求項７】
請求項１から６のいずれか一項に記載の不正通信検出装置であって、
前記保護対象ノードによって送信可能な情報のうち、少なくとも一部を保護情報として、当該保護情報を特定する情報を記憶する手段を含み、
前記不正通信基準ルールは、当該情報によって特定される保護情報へのアクセス回数によって定められる、ことを特徴とする不正通信検出装置。
【請求項８】
請求項１から７のいずれか一項に記載の不正通信検出装置であって、前記注目ノードから送出されて記録された情報のうち、前記注目ノードから情報を送信するユーザを認証した後の情報に基づき、前記判断手段が予め定められた所定の不正通信基準ルールに合致するか否かを判断することを特徴とする不正通信検出装置。
【請求項９】
第１ネットワークと第２ネットワークとの間の通信を仲介するシステムに含まれ、前記第１ネットワーク上のノードから、前記第２ネットワーク上の保護対象ノードへの通信内容を監視する不正通信検出装置であって、
前記第１ネットワーク上のノードから、前記保護対象ノードへ送出される情報の少なくとも一部を記録する記録手段と、
前記記録された情報のうち、予め定められた所定の不正通信基準ルールに合致するものを検出する手段と、
前記不正通信基準ルールに合致する情報が検出されたときに、前記通信を仲介する処理に関する所定処理を実行する通信制御手段と、
を含むことを特徴とする不正通信検出装置。
【請求項１０】
外部ノードから、保護対象ノードへの通信経路上に設けられ、当該保護対象ノードに対する通信内容を監視する不正通信検出装置の制御方法であって、
前記外部ノードから、前記保護対象ノードへ送出される情報の少なくとも一部を記録し、
前記外部ノードの一つを注目ノードとして、前記記録された情報のうち、当該注目ノードから送出されて記録された情報の少なくとも一部が、予め定められた所定の不正通信基準ルールに合致するか否かを判断し、
前記記録された情報の少なくとも一部が予め定められた所定の不正通信基準ルールに合致すると判断した場合に、当該通信内容が不正な通信に係るものと検出して、前記注目ノードとの通信に関する所定の処理を実行させる、
ことを特徴とする不正通信検出装置の制御方法。
【請求項１１】
外部ノードから、保護対象ノードへの通信経路上に設けられ、当該保護対象ノードに対する通信内容を監視する不正通信検出装置に、
前記外部ノードから、前記保護対象ノードへ送出される情報の少なくとも一部を記録する手順と、
前記外部ノードの一つを注目ノードとして、前記記録された情報のうち、当該注目ノードから送出されて記録された情報の少なくとも一部が、予め定められた所定の不正通信基準ルールに合致するか否かを判断する手順と、
前記記録された情報の少なくとも一部が予め定められた所定の不正通信基準ルールに合致すると判断した場合に、当該通信内容が不正な通信に係るものと検出して、前記注目ノードとの通信に関する所定の処理を実行する手順と、
を実行させることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、組織内ネットワークに接続されたサーバなど、保護の対象となるノードに対する通信内容を監視し、不正な通信を検出する不正通信検出装置に関する。
【背景技術】
【０００２】
近年、インターネットへの接続態様が多様化し、それによって例えば企業の従業者が実際に出社することなく、家庭のパーソナルコンピュータ等からネットワークを介して企業内サーバにアクセスし、作業を遂行したり、あるいは外出先から企業内サーバにアクセスして電子メールを取り出す、などの作業を行うことができるようになっている。
【０００３】
こうした場合に、企業内サーバ側では、ユーザ名とパスワード等を利用した本人認証を行い、本人であると認証された場合にのみ、その内部に保持された情報へのアクセスを許可しているのが一般的である。
【０００４】
しかし、ユーザ名やパスワードといった情報が一旦漏洩すると、いわゆる「なりすまし」と呼ばれる型の不正行為によって企業内サーバから情報が読み出されてしまう。このため、例えば特許文献１に開示されているように、本人認証の際にコンピュータの通信カード等の情報を併せて利用するなど、さらに多くの情報を組み合わせることで認証の強度を強めることが考えられている。
【特許文献１】特開２０００−１８１８６７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記従来のように本人認証による方法は基本的に、ユーザ側に存在する情報を利用して認証を行うものであるため、悪意のユーザ側で、正規のユーザに関する情報を集めてしまえば、上述のなりすましを行うことが原理的に可能となってしまう。
【０００６】
また、「なりすまし」による不正な通信は、ＤｏＳ攻撃やポートスキャンなどの攻撃とは異なるので、一般に正当な利用と識別することが困難であるといった問題点もある。
【０００７】
本発明は上記実情に鑑みて為されたもので、なりすまし等の不正通信を検出して対処できる不正通信検出装置を提供することを、その目的の一つとする。
【課題を解決するための手段】
【０００８】
上記従来例の問題点を解決するための本発明は、外部ノードから、保護対象ノードへの通信経路上に設けられ、当該保護対象ノードに対する通信内容を監視する不正通信検出装置であって、前記外部ノードから、前記保護対象ノードへ送出される情報の少なくとも一部を記録する記録手段と、前記外部ノードの一つを注目ノードとして、前記記録された情報のうち、当該注目ノードから送出されて記録された情報の少なくとも一部が、予め定められた所定の不正通信基準ルールに合致するか否かを判断する判断手段と、前記判断手段が、前記記録された情報の少なくとも一部が予め定められた所定の不正通信基準ルールに合致すると判断した場合に、当該通信内容が不正な通信に係るものと検出して、前記注目ノードとの通信に関する所定の処理を実行する通信制御手段と、を含むことを特徴としている。
【０００９】
ここでさらに、前記外部ノードごとに、それぞれの外部ノードからの通信条件に関する情報を記憶する手段を含み、前記不正通信基準ルールは、前記記憶手段に記憶されている注目ノードからの通信条件に関する情報に基づいて定められる、こととしてもよい。
【００１０】
また、不正な通信を検出したときの連絡先に関する情報を取得する手段をさらに含み、前記通信制御手段は、不正な通信を検出したときに、前記取得した連絡先に対して所定の情報を報知する処理を行う、こととしてもよい。さらにここで、前記連絡先に関する情報を取得する手段は、前記注目ノードから情報を送信するユーザの認証情報を取得し、当該認証されたユーザの連絡先を、不正な通信を検出したときの連絡先として取得してもよい。
【００１１】
また、前記通信制御手段は、不正な通信を検出したときに、当該不正な通信に係る注目ノードを特定する情報を記憶し、当該記憶した情報によって特定される注目ノードから、前記保護対象ノード側への情報の伝達を停止する処理を行う、こととしてもよい。また、前記通信制御手段は、前記所定の情報を報知した連絡先から予め定められた情報が受信されない場合に、当該不正な通信に係る注目ノードを特定する情報を記憶し、当該記憶した情報によって特定される注目ノードから、前記保護対象ノード側への情報の伝達を停止する処理を行う、こととしてもよい。
【００１２】
さらに、これらの装置で、前記保護対象ノードによって送信可能な情報のうち、少なくとも一部を保護情報として、当該保護情報を特定する情報を記憶する手段を含み、前記不正通信基準ルールは、当該情報によって特定される保護情報へのアクセス回数によって定められる、こととしてもよい。さらに、これらにおいて前記注目ノードから送出されて記録された情報のうち、前記注目ノードから情報を送信するユーザを認証した後の情報に基づき、前記判断手段が予め定められた所定の不正通信基準ルールに合致するか否かを判断することとしてもよい。
【００１３】
また、上記従来例の問題点を解決するための本発明は、第１ネットワークと第２ネットワークとの間の通信を仲介するシステムに含まれ、前記第１ネットワーク上のノードから、前記第２ネットワーク上の保護対象ノードへの通信内容を監視する不正通信検出装置であって、前記第１ネットワーク上のノードから、前記保護対象ノードへ送出される情報の少なくとも一部を記録する記録手段と、前記記録された情報のうち、予め定められた所定の不正通信基準ルールに合致するものを検出する手段と、前記不正通信基準ルールに合致する情報が検出されたときに、前記通信を仲介する処理に関する所定処理を実行する通信制御手段と、を含むことを特徴としている。
【００１４】
また、上記従来例の問題点を解決するための本発明は、外部ノードから、保護対象ノードへの通信経路上に設けられ、当該保護対象ノードに対する通信内容を監視する不正通信検出装置の制御方法であって、前記外部ノードから、前記保護対象ノードへ送出される情報の少なくとも一部を記録し、前記外部ノードの一つを注目ノードとして、前記記録された情報のうち、当該注目ノードから送出されて記録された情報の少なくとも一部が、予め定められた所定の不正通信基準ルールに合致するか否かを判断し、前記記録された情報の少なくとも一部が予め定められた所定の不正通信基準ルールに合致すると判断した場合に、当該通信内容が不正な通信に係るものと検出して、前記注目ノードとの通信に関する所定の処理を実行させる、ことを特徴としている。
【００１５】
さらに、上記従来例の問題点を解決するための本発明は、プログラムであって、外部ノードから、保護対象ノードへの通信経路上に設けられ、当該保護対象ノードに対する通信内容を監視する不正通信検出装置に、前記外部ノードから、前記保護対象ノードへ送出される情報の少なくとも一部を記録する手順と、前記外部ノードの一つを注目ノードとして、前記記録された情報のうち、当該注目ノードから送出されて記録された情報の少なくとも一部が、予め定められた所定の不正通信基準ルールに合致するか否かを判断する手順と、前記記録された情報の少なくとも一部が予め定められた所定の不正通信基準ルールに合致すると判断した場合に、当該通信内容が不正な通信に係るものと検出して、前記注目ノードとの通信に関する所定の処理を実行する手順と、を実行させることを特徴としている。
【発明を実施するための最良の形態】
【００１６】
本発明の実施の形態について図面を参照しながら説明する。本発明の実施の形態に係る不正通信検出装置１は、図１に示すように、企業外ネットワーク（例えばインターネット；the Internet）２と、企業内ネットワーク３との間に接続されるもので、企業外ネットワーク２上の端末から、企業内ネットワーク３に接続されたコンピュータ等にアクセスするための通信経路上に設けられている。また企業外ネットワーク２には、外部利用者側端末２１を含む複数の情報処理装置が接続され、企業内ネットワーク３には、サーバ装置３１を含む情報処理装置が複数接続されている。
【００１７】
また、不正通信検出装置１は、制御部１１と、記憶部１２と、通信部１３とを含んで構成されている。ここで制御部１１は、記憶部１２に格納されているプログラムに従って動作しており、企業内ネットワーク３上の情報処理装置宛ての情報を、企業外ネットワーク２から受信して、企業内ネットワーク３へ送出し、また、企業内ネットワーク３上の情報処理装置から企業外ネットワーク２上の情報処理装置宛の情報を受信し、企業外ネットワーク２へ送出する処理（仲介処理）を行っている。
【００１８】
また、制御部１１は、少なくとも指定された宛先への通信の内容を記憶部１２に記録し、その記録した内容に基づいて不正な通信を検出する処理（不正通信検出処理）と、不正な通信を検出したときに行われる処理（対処処理）とを遂行する。これらの処理の具体的内容については、後に詳しく述べる。
【００１９】
記憶部１２は、制御部１１によって実行されるプログラム等を格納したコンピュータ可読な記録媒体と、それからプログラム等を読み出すドライブとを含んでなる。また、この記憶部１２は、制御部１１の指示に従って、制御部１１から入力される情報等を、所定のデータ構造のデータとして記憶する。
【００２０】
通信部１３は、例えばネットワークインタフェースであり、制御部１１から入力される指示に従って、指示された宛先に対して情報を送出し、また、外部から受信した情報を制御部１１に出力している。具体的にこの通信部１３は、図１に示すように、企業外ネットワーク２に接続される第１ネットワークカード１５ａと、企業内ネットワーク３に接続される第２ネットワークカード１５ｂとを含んでもよい。この場合、制御部１１はルータとしての処理を併せて行ってもよい。
【００２１】
外部利用者端末２１は、一般的なパーソナルコンピュータで構わない。また、サーバ装置３１は、例えばウエブサーバであり、ＨＴＴＰ（Hyper Text Transfer Protocol）に基づく要求情報を受信すると、当該要求情報によって示された要求に従って、ファイル等を当該要求元に提供している。また、サーバ装置３１は、ウエブサーバと協働するアプリケーションを動作させ、ウエブサーバが受信した要求情報に基づき、当該アプリケーションに動作を行わせて、その結果を提供するようにしても構わない。そしてここでは、サーバ装置３１がＨＴＴＰにおけるいわゆるベーシック認証によってユーザを認証するものとする。
【００２２】
このようにサーバ装置３１がウエブサーバとして動作している場合は、外部利用者端末２１は、ウエブブラウザを動作させて、サーバ装置３１に対してＨＴＴＰの要求情報（ＨＴＴＰリクエスト）を送信し、当該要求に応じた処理の結果等を受信することになる。またベーシック認証に関する情報として、ユーザを特定する情報（ユーザの認証に関する情報）を、ＨＴＴＰリクエストに含める。具体的には、そのリクエスト・ヘッダのオーソライゼーション（Authorization）フィールドに当該ユーザを特定する情報が含められる。
【００２３】
ここで制御部１１の処理の内容について具体的に説明する。制御部１１によって実行されるプログラムの一例を示すと、当該プログラムは機能的には図２に示すように、仲介処理部４１と、情報記録部４２と、不正通信検出処理部４３と、対処処理部４４とを含んで構成されている。ここで仲介処理部４１は、企業内ネットワーク３上のサーバ装置３１宛ての情報を、企業外ネットワーク２から受信して、当該情報を企業内ネットワーク３へ送出し、また、企業内ネットワーク３上のサーバ装置３１から企業外ネットワーク２上の情報処理装置、例えば外部利用者端末２１宛の情報を受信し、当該情報を企業外ネットワーク２へ送出する仲介処理を制御部１１に行わせる。
【００２４】
情報記録部４２は、予め企業内ネットワーク３上のノードの少なくとも一つ、例えばサーバ装置３１を保護対象とするべき設定を受けて、次の不正通信検出処理を制御部１１に行わせる。すなわち、制御部１１は、この情報記録部４２の処理として、企業外ネットワーク２に接続されている第１ネットワークカード１５ａが受信し、通信部１４が出力する情報のうち、保護対象として設定されているノードに対する情報（すなわち外部ノードから保護対象ノードへ送出される情報）を記憶部１２に記録させる。
【００２５】
具体的に外部利用者端末２１からサーバ装置３１へ要求情報が送出される例について述べると、この処理は次に述べるものになる。なお、以下の説明では、かかる情報のすべてを記録する場合を例としているが、例えば所定のプロトコルに関する／あるいは逆に関しない情報についてのみ記録するようにしてもよい。例えばピン（Ping）については記録しないが、ＨＴＴＰについては記録する、といったようにしてもよいし、サーバ装置３１において開いているポート番号に関連づけられたサービスについては記録し、そもそも開いていないポート番号に関連づけられたサービスについては記録しないこととしてもよい。さらに、制御部１１が外部利用者端末２１のユーザを認証した後の情報についてのみ記録するなど、制御部１１の処理との関連において定められる条件によって情報を記録するか否かを決定してもよい。
【００２６】
制御部１１は、記憶部１２に対し、例えば図３（ａ）に示すように、企業外ネットワーク２側から受け入れた一連のＨＴＴＰの要求情報（リクエスト・メッセージ）と、その受信日時の情報（制御部１１が図示しないカレンダー計時部から取得する）とを記録する。ここでＨＴＴＰリクエストは、リクエスト・ラインとリクエスト・ヘッダとを含み、このリクエスト・ヘッダには、既に述べたように、Authorizationフィールドが含まれ、ここにユーザを識別するための情報が記録されている。なお、ＨＴＴＰの仕様は、例えばＲＦＣ２６１６（Request for Comments 2616）、「Hypertext Transfer Protocol -- HTTP/1.1 」に詳細が記載されている。
【００２７】
また、制御部１１は、これに対するサーバ装置３１の応答に係る情報（すなわち、監視対象となっているサーバ装置３１から外部ノードである外部利用者端末２１へ送出される情報）と、その応答日時に関する情報とを関連づけて、記憶部１２に記録する。この応答に係る情報には、ＨＴＴＰレスポンス・メッセージが含まれ、このメッセージには、データのサイズを表すContent-Lengthフィールドを内包するエンティティ・ヘッダ・フィールドが含まれている。
【００２８】
また、制御部１１は、図３（ｂ）に示すように、上記Authorizationフィールドとして含まれるユーザを特定する情報をキーとして、各ＨＴＴＰの要求情報と、それに対するサーバ装置３１の応答に係る情報とをユーザごとに分けて記録してもよい。
【００２９】
［不正通信検出処理］
次に制御部１１が実行するプログラムの不正通信検出処理部４３は、情報記録部４２の処理により記憶部１２に記録された情報が、予め定められた所定の不正通信基準ルールに合致するか否かを判断し、不正通信基準ルールに合致すると判断された場合に、対処処理部４４を起動する。例えば、記録された情報について、ユーザごと（このユーザごとの記録が本発明の各注目ノードからの情報の例に相当する）に特定期間内に行われたリクエストの内容を調べ、その内容が予め定めた不正通信基準ルールに合致するか否かを判断してもよい。
【００３０】
この不正通信基準ルールは、多様な方法で定め得るので、次にいくつかの例を挙げて説明する。例えば不正通信基準ルールは、リクエストの数として定義することができる。すなわち、ＨＴＴＰリクエストには、それに対する応答として得たい情報の種類やリクエストに対するサーバ側（この例ではサーバ装置３１）の動作（ファイルの削除等）の種類ごとに、いくつかのメソッド情報が含まれている。そこでメソッド情報ごとに、しきい値を設定して、このしきい値群を不正通信基準ルールとしてもよい。
【００３１】
この場合、制御部１１は、例えば記録された情報を元に、過去１０分間に行われたリクエストのメソッドの数を集計する。ＨＴＴＰでは、リクエストに係るメソッドは、HEADメソッド、GETメソッド、POSTメソッド、等があり、各メソッドごとの数をカウントする。そして制御部１１は、各メソッドの数と、それに対応して設定されているしきい値とを比較し、いずれかのメソッドにおいて、メソッドの数がしきい値を超えている場合に、不正な通信が行われたとして、後述の対処の処理を行う。つまり、この例では「ある一定時間内でアクセスされたフォルダの数があるしきい値を超えた」ことや「削除されたファイルの数があるしきい値を超えた」ことなどを検知して、その場合に所定の対処処理部４４の処理を行うことになる。
【００３２】
また、ここではメソッドごとにしきい値を定める例を述べたが、それらの合計が予め定めたしきい値を超えるか否かによって不正な通信が行われたか否かを判断してもよい。
【００３３】
さらに、メソッドの数ではなく、ＨＴＴＰの要求情報に含まれるＵＲＩ（Uniform Resource Identifier、例えばＵＲＬなど）の種別ごとに要求回数のしきい値を設定し、これを不正通信基準ルールとしてもよい。
【００３４】
この場合は、リクエストの対象となったＵＲＩの種別を所定の方法で判断し、当該判断した種別ごとにリクエストの回数をカウントし、各しきい値と比較して不正な通信が行われたか否かを判断することになる。ここでＵＲＩの種別を判断する方法としては、例えばそのＵＲＩに付された拡張子に基づく方法等がある。すなわち、「abcd.html」や、「abcd.txt」等であれば単なるドキュメントであるとして判断でき、「abcd.exe」や、「abcd.cgi」のように、「exe」や、「cgi」といったしきい値である場合に、実行形式であるとして判断する。
【００３５】
そして例えば、不正通信基準ルールとして、実行形式の種別についてしきい値を「３」と定めておけば、１０分間以内に４回以上、実行形式の種別のＵＲＩを要求した場合に、「プログラムの実行があるしきい値を超えている」として、当該要求に係る通信が不正な通信であるとして判断することになる。
【００３６】
また、要求されるＵＲＩの種別ではなく、例えば予め定められたＵＲＩに係る要求の数であってもよい。例えば、記憶部１２に、予め少なくとも一つの注目ＵＲＩの情報（本発明の保護情報に相当する）を格納しておき、制御部１１は、過去１０分間に当該注目ＵＲＩに係るリクエストがいくつあったかをカウントする。ここでは不正通信基準ルールとして、当該注目ＵＲＩのリクエスト回数のしきい値を定めておいて、カウントした値が、当該しきい値を超えた場合に、当該要求に係る通信を不正な通信として判断することになる。具体的に、この注目ＵＲＩとしてサーバ装置３１に格納されている機密性のある情報を特定するＵＲＩを設定しておけば、「機密ファイルへのアクセスの数があるしきい値を超えた」ときに、不正な通信であるとして判断することになる。
【００３７】
さらに、この場合、各注目ＵＲＩに対してそれぞれの機密度情報など、そのカウントの重みを表す情報を関連づけておき、リクエストの回数ではなく、当該重みの情報の総和が、予め定めたしきい値を超えているか否かによって不正な通信であると判断してもよい。
【００３８】
さらに、この場合、注目ＵＲＩのリストをサーバ装置３１側から取得して、記憶部１２に格納するようにしてもよい。すなわち、サーバ装置３１においてドキュメント管理システムが運用されている場合、ドキュメント管理システムにおいて機密情報であるとして定義されているファイルのＵＲＩの一覧をサーバ装置３１が提供し、制御部１１が当該提供された一覧を記憶部１２に格納することとしてもよい。このように、制御部１１は、保護対象ノード側からの情報に基づいて、不正通信基準ルールを生成してもよい。
【００３９】
また別の例では、所定期間内に、ユーザに対して送出された情報の量（バイト数や、ＵＲＩの数）を算出し、当該バイト数が予め定めたしきい値を超えている場合に、不正な通信が行われたと判断してもよい。これにより、「ある一定時間内に、企業外ネットワークへ転送された情報量があるしきい値を超えた」ときに、不正な通信が行われたとして検出されることになる。
【００４０】
［外部ノードからの通信条件を用いた不正通信基準ルール］
さらに、制御部１１において利用される不正通信基準ルールは、外部ノード（ここでは外部利用者端末２１）からの通信条件を用いて定められてもよい。このような条件としては、例えば外部利用者端末２１に割り当てられる可能性のあるＩＰアドレスや、外部利用者端末２１からの通信が行われるべき時間帯、通信を行っている時間等がある。
【００４１】
このような不正通信基準ルールを用いる場合、例えばＩＰアドレスに関する条件を用いて定めた不正通信基準ルールであれば、ユーザを識別する情報（上記Authorizationフィールドに設定される情報）ごとに、予め利用される可能性のあるＩＰアドレスを列挙して、記憶部１２に格納しておき、企業外ネットワーク２側から受け入れたリクエストについて、そのソースＩＰアドレス情報（当該リクエストを生成した端末のＩＰアドレス）が、そのAuthorizationフィールドに設定される情報に関連づけて登録されているＩＰアドレス群に含まれているか否かを調べ、含まれていなければ、当該リクエストは、不正な通信であると判断する。具体的には、企業内にあるサーバ装置３１に対して、企業外ネットワーク２を介してアクセスする正当な権限を有するユーザは、予め、例えば自己が契約しているインターネットサービスプロバイダ（ＩＳＰ）が当該ユーザの利用する外部利用者端末２１に対して割り当てる可能性のあるＩＰアドレスの範囲を記憶部１２に設定しておく。このようにすると、当該ユーザが外部利用者端末２１をネットワークに接続するために、当該ユーザの契約するＩＳＰにグローバルＩＰアドレスの提供を要求したときに、当該設定した範囲のＩＰアドレスのいずれかが割り当てられ（例えばＤＨＣＰ等によって割当がなされる）、当該割り当てられたＩＰアドレスからのリクエストとして、制御部１１に受け入れられるので、正当な通信として扱われる。
【００４２】
一方、悪意のユーザが他のＩＳＰを利用するなどして通信を行おうとすると、たとえサーバ装置３１側でのユーザ認証を通過できたとしても、制御部１１が当該ＩＰアドレスが登録されていないものであることを検出するので、不正な通信として扱われることになる。
【００４３】
また、通信の時間帯を用いる場合、ＨＴＴＰリクエストの記録を受けた時間帯に分けて集計し、その集計の結果に基づいて不正な通信であるか否かを判断することになる。具体的には、企業内にあるサーバ装置３１に対して、企業外ネットワーク２を介してアクセスする正当な権限を有するユーザが、予め、アクセスする時間帯を表す情報を記憶部１２に設定しておき、制御部１１は、当該ユーザからのＨＴＴＰリクエストの時間帯が当該設定されている情報に示される時間帯でないときに、不正な通信であると判断する。
【００４４】
ここで時間帯の情報は、例えば０時から２３時５９分までの時間を、３０分ごとに４８の区間に分けて表すこととし、制御部１１は、記録されたＨＴＴＰリクエストの数を、この４８区間ごとに集計し、設定された時間帯外のリクエストの数が予め定めたしきい値を超えた場合に、不正な通信があったと判断する。さらにここでのアクセスの時間帯の情報は、曜日や、当該日が平日か休日かの別に応じて設定されてもよい。
【００４５】
またこれらの設定は、各ユーザが明示的に行うのではなく、制御部１１が過去の通信履歴に基づいて抽出することとしてもよい。例えば、制御部１１は、ユーザを識別する情報ごとに、当該ユーザが利用したＩＰアドレス（群）を抽出し、記憶部１２に履歴情報として記録しておく。そして企業外ネットワーク２側から受け入れたリクエストについて、そのソースＩＰアドレス情報が、そのAuthorizationフィールドに設定される情報に関連づけて履歴情報として記録されているＩＰアドレス群に含まれているか否かを調べ、含まれていなければ、当該リクエストは、不正な通信であると判断する。
【００４６】
同様に、アクセスの時間帯についても、ユーザを識別する情報ごとに、過去のアクセス時間帯の集計を履歴情報として記憶部１２に格納しておき、そして企業外ネットワーク２側から受け入れたリクエストについて、そのリクエストを受信した時間帯が、そのAuthorizationフィールドに設定される情報に関連づけて履歴情報として記録されている時間帯に一致しているか否かを調べ、一致していなければ、当該リクエストは、不正な通信であると判断する。
【００４７】
また、上記のＩＰアドレスは一例であって、それに代えて、当該ＩＰアドレスの一部（ネットワークアドレス部分）のみを用いてもよいし、デバイスごとに固有なＭＡＣアドレス等（イーサネット（登録商標）のアドレスなど）を用いてもよい。
【００４８】
さらに、不正通信基準ルールとして通信時間を用いる場合は、制御部１１は、ＨＴＴＰリクエストを受けたときに、そのユーザを識別する情報を抽出するとともに、そのリクエストを受けた時間帯から、過去Ｎ個（Ｎは予め定めた数）分の各時間帯にも、当該ユーザのＨＴＴＰリクエストがあったか否かを調べ、当該ユーザのＨＴＴＰリクエストがあったときに、Ｎ個分の時間帯を超えてアクセスが連続しているとして、かかる「長時間のアクセス」を不正な通信と判断する。
【００４９】
［複数の不正通信基準ルールを組み合わせる例］
また、本実施の形態における不正通信基準ルールは、ここまでで説明したものを組み合わせたものとしてもよい。例えば、「ある一定時間内でアクセスされたフォルダの数があるしきい値を超え」ており、かつ、「長時間のアクセス」である場合に、不正な通信があったと検出するようにしてもよい。
【００５０】
また、このように複数の不正通信基準ルールを組み合わせる場合、各不正通信基準ルールに重み（ポイント値）を関連づけておき、その合計を用いて不正な通信を検出してもよい。具体的には、「ある一定時間内でアクセスされたフォルダの数があるしきい値を超えた」ことを３ポイント、「ある一定時間内に、企業外ネットワークへ転送された情報量があるしきい値を超えた」ことを２ポイント、「長時間のアクセス」があったことを４ポイントなどとしておき、「ある一定時間内でアクセスされたフォルダの数があるしきい値を超え」かつ、「長時間のアクセス」があったときに、これらのポイントの和（この例では７ポイント）を算出し、この和が予め定めたしきい値を超えている場合に、不正な通信があったと判断する。
【００５１】
さらに、特定の組み合わせのみを不正な通信とすることとしてもよい。例えば、「過去の履歴にない時間帯のアクセス」で、かつ「ＤＥＬＥＴＥメソッドの数が所定のしきい値を超えた場合」は、不正な通信であると判断するが、「過去の履歴にない時間帯のアクセス」でかつ「ＧＥＴメソッドの数が所定のしきい値を超えた」場合は、不正な通信としない、などとしてもよい。
【００５２】
［対処処理］
制御部１１によって実行されるプログラムの対処処理部４４は、不正通信検出処理部４３からの指示に基づいて起動されると、予め定められた対処の処理を制御部１１に行わせる。具体的に制御部１１は、この対処処理部４４の処理として、予め設定された連絡先に対して報知の情報を送出する処理や、仲介処理の停止などを行う。
【００５３】
具体的には制御部１１は、ＨＴＴＰリクエストのAuthorizationフィールドに含まれるべき情報（ユーザを特定する情報）について、それぞれ所定の連絡先の情報を関連づけて記憶部１２に保持しておき、不正な通信として検出されたＨＴＴＰリクエスト（群）について、そのAuthorizationフィールドに含まれる情報を抽出し、当該情報に関連づけて保持されている連絡先の情報を取り出して、当該連絡先に対して不正な通信があった旨を報知する。
【００５４】
この連絡先及び報知の態様としては、例えば電子メールアドレスを連絡先とし、電子メールにて不正な通信があった旨を報知してもよい。この場合、制御部１１は、電子メールクライアントとして動作し、企業外ネットワーク２又は企業内ネットワーク３に接続されている電子メールサーバ（ＳＭＴＰサーバ）に対して当該連絡先に対する電子メールを送信させる。
【００５５】
また別の態様としては、電話やＦＡＸ等を用いてもよい。例えば電話の場合、制御部１１は、図示しない電話回線接続部を介して連絡先として指定された電話番号を発呼し、着信があったときに、不正な通信があった旨を述べる音声信号を送出する。またＦＡＸの場合は、同様に電話番号を発呼し、着信があったときに、不正な通信があった旨を記述した画像データに係るファクシミリの信号を送出する。
【００５６】
さらに別の態様として、いわゆるインスタントメッセージング（ＩＲＣ；Internet Relay Chatのように、インターネットを介して通信可能な状態にあるユーザ同士が、即時的にメッセージを送信しあう形式の通信態様など）を利用した報知を行ってもよい。例えば制御部１１は、予め定められたユーザの連絡先（ＩＰアドレスやインスタントメッセージング用のサーバ上のユーザ登録符号などで表現できる）に対して、不正な通信があった旨の文字列等を送出する。
【００５７】
なお、ここでは不正な通信として検出されたＨＴＴＰリクエストに係るユーザに対し、その旨の連絡を行っているが、これに代えて、またはこれとともに、予め定められた管理者の連絡先に対して当該不正な通信があったことを報知してもよい。
【００５８】
また、対処処理部４４の処理として制御部１１が仲介処理を停止する場合は、不正な通信として検出されたＨＴＴＰリクエスト（群）について、そのAuthorizationフィールドに含まれる情報（ユーザを特定する情報）を抽出し、当該情報で特定されるユーザを、接続遮断対象ユーザとして記憶部１２に記録する。この際、制御部１１は、仲介処理部４１の処理として、企業内ネットワーク３上のサーバ装置３１宛てのＨＴＴＰリクエストの情報を、企業外ネットワーク２から受信したときに、当該ＨＴＴＰリクエストの情報に含まれる、ユーザを特定する情報を参照し、それが記憶部１２に接続遮断対象ユーザとして記憶部１２に記録されている場合には、ＨＴＴＰの応答として認証不良である旨（いわゆる４０１エラー）や、接続が禁止されている旨（いわゆる４０３エラー）などを送出し、当該ＨＴＴＰリクエストをサーバ装置３１に対して送出せずに破棄する。またこの場合に、不正な通信として検出されたＨＴＴＰリクエスト（群）について、そのソースＩＰアドレスを抽出しておき、サーバ装置３１から当該抽出されたＩＰアドレス宛の情報を受信した場合に、当該情報を企業外ネットワーク２側に送出することなく破棄することとしてもよい。
【００５９】
［ユーザからのフィードバック］
さらにこの対処処理部４４の処理としては、ユーザや管理者等予め設定された通知先に対して不正な通信があったことを報知した後、当該連絡先から情報を受け入れたか否かに基づいて、またはその受け入れた情報の内容に基づいて上記仲介処理を停止するか否かを判断してもよい。具体的には、制御部１１は、ウエブサーバとしての動作を行い、不正な通信が検出されたときに、固有のファイル名を発行して、当該発行したファイル名で、通信継続の可否を問い合わせるためのウエブページを生成して保持しておく。そして、予め設定された通知先に対して不正の通信があった旨の報知を行うとともに、当該報知に、上記生成したウエブページのＵＲＬを含める。
【００６０】
そして、図示しないタイマを用いて報知からの経過時間を監視し、一定の時間内に、通知先から、上記ＵＲＬへのアクセスがない場合に（ウエブサーバのログによってアクセスの有無を検出できる）、仲介処理を停止する処理を行って、保護対象ノードであるサーバ装置３１への企業外ネットワーク２からの通信（の一部）を遮断する。
【００６１】
なお、通知先からの応答は、このようなフィードバックの態様に限られるものではなく、例えばユーザに不正通信装置１が備える電話回線接続部（不図示）の電話番号を発呼させることとし、一定の時間が経過するまでに当該電話番号に着信がなかったときに仲介処理を停止する処理を行うこととしてもよい。
【００６２】
さらに、通信継続の可否を問い合わせるためのフィードバックだけでなく、一旦通信が遮断されてしまったときに、当該通信の再開指示を受け入れるためのＵＲＬや電話番号を報知に含めてもよい。この場合、制御部１１は、当該再開指示を受け入れるＵＲＬへのアクセスがあったり、当該電話番号への着信があったときに、当該アクセスや電話番号の発呼を行ったユーザ（電話の場合、電話回線網側のサービスである発呼者番号通知を利用できる）を、記憶部１２の接続遮断対象ユーザから削除する。
【００６３】
本実施の形態に係る不正通信検出装置１は、上記構成を備えており、次に述べるような動作を行う。すなわち、企業内ネットワーク３上の端末（不図示）から、サーバ装置３１へのＨＴＴＰリクエストについては、この不正通信検出装置１は、何ら関与しない。
【００６４】
一方、企業外ネットワーク２上の端末、例えば外部利用者側端末２１から企業内ネットワーク３へ入来する要求情報等については、ＨＴＴＰのベーシック認証のようなユーザ認証を行った上で、当該ユーザ認証情報を各要求情報に関連づけさせ（ＨＴＴＰの場合は、クライアントソフトウエアの仕様として一般に、ベーシック認証後はＨＴＴＰリクエストにユーザを識別する情報が含められるのでこれを用いればよい）、ユーザ認証情報によって特定されるユーザごとに、受け入れた要求情報を記録する。
【００６５】
また、不正通信検出装置１は、この要求情報を企業内ネットワーク３側に送出し、企業内ネットワーク３側の、当該要求情報の受け入れ元（例えばサーバ装置３１）から、当該要求情報に対する応答の情報を受け入れて、この応答の情報も上記要求情報とともにユーザ認証情報によって特定されるユーザごとに記録し、当該応答の情報を企業外ネットワーク２の外部利用者端末２１へと送出する。
【００６６】
不正通信検出装置１は、所定のタイミング（例えば定期的なタイミング）で、過去の所定期間に記録された要求情報や応答の情報を参照し、例えば、その期間内に企業外ネットワーク２へ転送されたファイル量があるしきい値を超えている場合（ＨＴＴＰの場合、応答の情報に含まれる、Content-Lengthフィールドの情報の累算値などを用いることができる）や、アクセスされたフォルダ数があるしきい値を超えている場合や、予め特定された保護対象のファイルへのアクセスの数があるしきい値を超えている場合や、ファイルの削除に係る要求の数があるしきい値を超えている場合や、プログラム実行の要求の数があるしきい値を超えている場合など、アクセスの内容が過剰である場合に、不正な通信が行われたと判断する。
【００６７】
これは企業外ネットワーク２から企業内ネットワーク３へのアクセスなど、組織に所属する正規のユーザが当該組織内のネットワークへアクセスする場合は、一時的な利用に限られ、またその構成を知悉しているために、目的の情報をすぐにアクセスでき、従ってアクセスの内容は自ずと限られたものになると、経験的に想定できることに基づく。
【００６８】
また、正当なユーザが利用する外部利用者端末２１に割り当てられるＩＰアドレスが知られている場合や、ユーザのアクセス時間帯が予めわかっている場合は、事前にされた設定や、過去の履歴に基づいて、外部利用者端末２１のネットワークアドレス（ＩＰアドレス等）があらかじめ登録されているものや、履歴として記録されているアドレスと異なる場合に不正な通信が行われたと判断する。また、アクセスの時間帯があらかじめ登録されている時間帯や、過去にアクセスした時間帯として履歴に記録されていない場合に、不正な通信が行われたと判断してもよい。さらに、長時間に亘りアクセスが行われている場合に、不正な通信が行われたと判断してもよい。さらに、これらの条件を組み合わせて不正な通信が行われたか否かを判断しても構わない。
【００６９】
そして、不正通信検出装置１は、不正な通信が行われたと判断した場合に、当該不正な通信と判断された要求情報（群）に含まれるユーザ認証情報を抽出し、当該ユーザ認証情報に関連づけて予め設定されている連絡先に対して、不正な通信があったことを報知する。そして、一定の時間、当該連絡先から通信継続の可否に係る情報が受け入れられるか否かを監視し、受け入れられない場合は、当該ユーザ認証情報を含む要求情報の受け入れを停止する。
【００７０】
これにより、上記ベーシック認証などのユーザ認証を通過した悪意のユーザ（なりすましを行うユーザ）による不正な通信を効果的に検出して、これを阻止できる。
【００７１】
［変形例］
ここまでで説明した不正通信検出装置１の構成及び動作は、実施形態の一例を示すものに過ぎない。例えば不正通信検出装置１の制御部１１は、情報記録処理４２を行うことなく、保護対象ノードであるサーバ装置３１側から、当該サーバ装置３１が受け入れた要求情報の記録（例えばウエブサーバのログ）を取得し、そこから企業外ネットワーク２からの通信に係るものだけを抽出して、当該抽出した記録に基づいて不正な通信があったか否かを判断するようにしてもよい。
【００７２】
また、ここでは企業内のサーバ装置に対して企業外ネットワークからアクセスがある場合を例として説明したが、このような例に限られず、例えば同じ企業や組織内であっても、保護すべき情報を提供するサーバが接続されるネットワークを、一般のメンバーが利用するネットワークから切り離して構成し、これらのネットワーク間を不正通信検出装置１で接続するようにしてもよい。
【００７３】
さらに、不正通信検出装置１自身が中継処理を行うのではなく、外部のプロキシサーバ等が行う中継処理を、不正通信検出装置１が制御するようにしてもよい。
【００７４】
また不正通信検出処理部４３が情報記録部４２によって記録された情報のうち、ユーザ認証を行った後の情報のみを対象として不正通信検出処理を行うようにしてもよい。上述のように情報記録部４２が、ユーザ認証が行われた後の情報のみを記録したり、ここで述べたように不正通信検出処理部４３が、ユーザ認証が行われた後の情報のみを対象として不正通信検出処理を行うようにすることで、ユーザを認証した後の情報に基づき、予め定められた所定の不正通信基準ルールに合致するか否かが判断されることになる。
【００７５】
さらに、不正通信検出装置１は、ユーザ認証の結果に基づく処理を行うサーバ装置（上述の例でのサーバ装置３１）と一体の構成となっていてもよい。この場合、企業外ネットワークからのアクセスであるか、企業内ネットワークからのアクセスであるかは、例えばＮＡＴ（Network Address Translation）や、アプリケーション型のファイアウオール（サーバ装置３１によって実行されるプログラムとして実装されるファイアウオール）を用いている場合、これらＮＡＴやファイアウオールを経由して受け入れるアクセスを企業外ネットワークからのアクセスであるとし、そうでない場合のアクセスを企業内ネットワークからのアクセスであると判断すればよい。
【図面の簡単な説明】
【００７６】
【図１】本発明の実施の形態に係る不正通信検出装置とその接続状態の例とを表す構成ブロック図である。
【図２】制御部によって実行されるプログラムの一例を表す機能ブロック図である。
【図３】記憶部に記録される情報の例を表す説明図である。
【符号の説明】
【００７７】
１  不正通信検出装置、２  企業外ネットワーク、３  企業内ネットワーク、１１  制御部、１２  記憶部、１３  通信部、１５  ネットワークカード、２１  外部利用者端末、３１  サーバ装置、４１  仲介処理部、４２  情報記録部、４３  不正通信検出処理部、  ４４  対処処理部。
【図１】
2005044277.tif 000003
【図２】
2005044277.tif 000004
【図３】
2005044277.tif 000005