(57)【要約】【課題】  大量のアクセス情報より自動で不正アクセスを特定できる不正アクセス監視システムおよびそのプログラムを提供する。【解決手段】  不正アクセス情報データベース２２ａは、不正アクセス情報を逐次格納する。同一者判定処理部２４は、不正アクセス情報データベース２２ａを参照し、不正アクセス情報間において、所定の項目に関する一致の度合を基に同一者による不正アクセス情報かを判定する。判断条件データベース２３ｂは、予め不正アクセス行為の判断条件を格納する。不正者判別処理部２５は、同一者判定処理部２４が同一者と判定した複数の不正アクセス情報に対し、判断条件データベース２３ｂの判断条件を参照して不正アクセス行為であるか判断し、該同一者が不正者であるか判別する。【選択図】      図２
2005190484.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを介したコンピュータシステムへのアクセスを監視するアクセス監視装置より受信した、不正アクセスまたは不正アクセスの可能性のあるアクセスに関する情報を、不正アクセス情報として格納する不正アクセス情報データベースと、
前記不正アクセス情報データベースを参照し、不正アクセス情報間において、所定の項目に関する一致の度合を基に同一者による不正アクセス情報かを判定する同一者判定手段と、
予め不正アクセス行為の判断条件を格納する判断条件データベースと、
前記同一者判定手段が同一者と判定した複数の不正アクセス情報に対し、前記判断条件データベースの判断条件を参照して不正アクセス行為であるか判断し、該同一者が不正者であるか判別する不正者判別手段と
前記同一者による不正アクセス情報を、該同一者の識別情報に関連付けて格納する不正者情報データベース記憶手段と、
前記コンピュータシステムに関するネットワークの構成情報であるネットワーク地図情報を格納するシステム情報データベースと、
前記不正者情報データベースと、前記システム情報データベースを参照して、ネットワーク地図と不正アクセスとの関係を示す不正アクセス状況図を作成する不正アクセス状況図作成手段とを備える不正アクセス監視システムであって、
前記不正アクセス状況図作成手段は、
利用者より前記ネットワーク地図の描画範囲を指定する描画範囲パラメータと前記ネットワーク地図に重ねるレイヤのパラメータ情報を受信するパラメータ受信手段と、
前記システム情報データベースを参照して受信した描画範囲パラメータの範囲に該当するネットワーク地図レイヤ作成手段と、
前記不正者情報データベースを参照して前記描画範囲パラメータに該当する不正者情報を検索する手段と、
前記検索された不正者情報の各項目をシンボル化するシンボル変換手段と、
前記ネットワーク地図レイヤと前記シンボルを重畳して表示する不正アクセス状況図表示手段と
を備えた不正アクセス監視システム。
【請求項２】
ネットワークを介したコンピュータシステムへのアクセスを監視するアクセス監視装置から出力される、不正アクセスまたは不正アクセスの可能性のあるアクセスに関する情報を、不正アクセス情報として、不正アクセス情報データベースに格納するステップと、
前記不正アクセス情報データベースを参照し、不正アクセス情報間において、所定の項目に関する一致の度合を基に同一者による不正アクセス情報かを判定する同一者判定処理を行うステップと、
予め不正アクセス行為の判断条件を判断条件データベースに格納するステップと、
前記同一者判定手段が同一者と判定した複数の不正アクセス情報に対し、前記判断条件データベースの判断条件を参照して不正アクセス行為であるか判断し、該同一者が不正者であるか判別する不正者判別処理を行うステップと、
前記同一者による不正アクセス情報を、該同一者の識別情報に関連付けて格納する不正者情報データベース記憶手段と、
前記コンピュータシステムに関するネットワークの構成情報であるネットワーク地図情報をシステム情報データベースに格納するステップと、
前記不正者情報データベースと、前記システム情報データベースを参照して、ネットワーク地図と不正アクセスとの関係を示す不正アクセス状況図を作成する不正アクセス状況図作成処理を行うステップと
を有する不正アクセス監視処理用のプログラムであって、
前記不正アクセス状況図作成のステップが、
利用者より前記ネットワーク地図の描画範囲を指定する描画範囲パラメータと前記ネットワーク地図に重ねるレイヤのパラメータ情報を受信するステップと、
前記システム情報データベースを参照して、受信した描画範囲パラメータの範囲に該当するネットワーク地図レイヤ作成を行うステップと、
前記不正者情報データベースを参照して前記描画範囲パラメータに該当する不正者情報を検索するステップと、
前記検索された不正者情報の各項目をシンボル化するシンボル変換処理を行うステップと、
前記ネットワーク地図レイヤと前記シンボルを重畳して表示する不正アクセス状況図を表示するステップと
を有する不正アクセス監視処理をコンピュータに実行させるためプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、ネットワークを介したコンピュータシステムへの不正なアクセスを監視する不正アクセス監視システムおよびそのプログラムに関するものである。
【背景技術】
【０００２】
近年、インターネットの普及により、コンピュータ・システムヘのハッキングにより、情報搾取、欺瞞及びサービス妨害などの情報資源（情報と情報システム）への攻撃を目的とする不正アクセスは、一般に侵入検知装置による検知情報やファイアウォールへのアクセス履歴情報を含むアクセス情報を解読する事により確認を行っていた。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
上述したように、従来は大量のアクセス情報を解読し、関連付けを行い、不正アクセスを特定し、攻撃対象や目的を推測していたが、専門のエンジニアでも極めて高度な技術スキルが必要であるため、自動で不正アクセスを特定するシステムの要求があった。
また、専門のエンジニアが状況を理解出来たとしても、専門のエンジニアは正しい状況を、危機管理における意思決定権者に的確に伝達できるとは限らない。
それは、意思決定権者は、一般にコンピュータシステムについて非専門家であるからである。更には、組織的で複雑な不正アクセスによる攻撃も行われており、より状況理解が困難になって来ている。そこで、情報資産の損失により被る経済的、社会的被害の評価や対処策の判断を非専門家でも的確に把握できるよう、複雑な状況理解を支援するシステムの要求があった。
【０００４】
この発明は、上述した事情を考慮してなされたもので、大量のアクセス情報より自動で不正アクセスを特定できる不正アクセス監視システムおよびそのプログラムを提供することを目的とする。
また、組織的で複雑な不正アクセスによる攻撃の状況理解を支援する不正アクセス監視システムおよびそのプログラムを提供することを目的とする。
【課題を解決するための手段】
【０００５】
この発明は、上述された課題を解決すべくなされたもので、本発明による不正アクセス監視システムにおいては、ネットワークを介したコンピュータシステムへのアクセスを監視するアクセス監視装置より受信した、不正アクセスまたは不正アクセスの可能性のあるアクセスに関する情報を、不正アクセス情報として格納する不正アクセス情報データベースと、前記不正アクセス情報データベースを参照し、不正アクセス情報間において、所定の項目に関する一致の度合を基に同一者による不正アクセス情報かを判定する同一者判定手段と、予め不正アクセス行為の判断条件を格納する判断条件データベースと、前記同一者判定手段が同一者と判定した複数の不正アクセス情報に対し、前記判断条件データベースの判断条件を参照して不正アクセス行為であるか判断し、該同一者が不正者であるか判別する不正者判別手段と前記同一者による不正アクセス情報を、該同一者の識別情報に関連付けて格納する不正者情報データベース記憶手段と、前記コンピュータシステムに関するネットワークの構成情報であるネットワーク地図情報を格納するシステム情報データベースと、前記不正者情報データベースと、前記システム情報データベースを参照して、ネットワーク地図と不正アクセスとの関係を示す不正アクセス状況図を作成する不正アクセス状況図作成手段とを備える不正アクセス監視システムであって、前記不正アクセス状況図作成手段は、利用者より前記ネットワーク地図の描画範囲を指定する描画範囲パラメータと前記ネットワーク地図に重ねるレイヤのパラメータ情報を受信するパラメータ受信手段と、前記システム情報データベースを参照して受信した描画範囲パラメータの範囲に該当するネットワーク地図レイヤ作成手段と、前記不正者情報データベースを参照して前記描画範囲パラメータに該当する不正者情報を検索する手段と、前記検索された不正者情報の各項目をシンボル化するシンボル変換手段と、前記ネットワーク地図レイヤと前記シンボルを重畳して表示する不正アクセス状況図表示手段とを具備することを特徴とする。
【０００６】
これにより、不正アクセス情報を逐次格納する不正アクセス情報データベースと、不正アクセス情報データベースを参照し、不正アクセス情報間において、所定の項目に関する一致の度合を基に同一者による不正アクセス情報かを判定する同一者判定手段と、予め不正アクセス行為の判断条件を格納する判断条件データベースと、同一者判定手段が同一者と判定した複数の不正アクセス情報に対し、判断条件データベースの判断条件を参照して不正アクセス行為であるか判断し、該同一者が不正者であるか判別する不正者判別手段とを具備するので、逐次増加する不正アクセス情報について、同一者によるものを判定し、更に、同一者による複数の不正アクセス情報（不正アクセスである可能性がある不正アクセス情報を含む）を基に、時間的変化を考慮して本当に不正アクセス行為であるかを判別し、不正者を判別することができる。
【０００７】
また、本発明による不正アクセス監視システムにおいては、上記同一者判定手段は、不正アクセス情報間において、該不正アクセス情報に含まれる同種の項目毎に情報の一致度を算出し、各項目に予め定めた重み付け係数と一致度の積の和を求め、該和の値と所定の値との比較により、同一者による不正アクセス情報を判定することを特徴とする。
【０００８】
これにより、同一者判定手段は、不正アクセス情報間において、該不正アクセス情報に含まれる同種の項目毎に情報の一致度を算出し、各項目に予め定めた重み付け係数と一致度の積の和を求め、該和の値と所定の値との比較により、同一者による不正アクセス情報を判定するので、同一者であるか判断するための項目について、その時々の不正アクセスの手口や手法の傾向を考慮して、重み付け係数を変更し、より精度良く同一者を判定することができる。
【０００９】
また、本発明による不正アクセス監視システムにおいては、上記不正者判別手段において、不正アクセス行為が、正規利用者のＩＤを用いたパスワード解析行為と判断された場合、該正規利用者および／または所定の連絡先へ、警戒を促す警報情報を送信する警報情報送信手段を更に具備することを特徴とする。
【００１０】
これにより、不正者判別手段において、不正アクセス行為が、正規利用者のＩＤを用いたパスワード解析行為と判断された場合、該正規利用者および／または所定の連絡先へ、警戒を促す警報情報を送信する警報情報送信手段を更に具備するので、不正者によるパスワード解析行為の対象となっている正規利用者や、該正規利用者が利用する端末を管理するネットワーク管理者など所定の連絡先へ電子メールなどで警戒を促す警報情報を送信することができる。
【００１１】
また、本発明による不正アクセス監視システムにおいては、上記同一者による不正アクセス情報を、該同一者の識別情報に関連付けて格納する不正者情報データベースと、上記コンピュータシステムに関するネットワークの構成情報であるネットワーク地図情報を格納するシステム情報データベースと、不正アクセス情報データベースと、システム情報データベースを参照して、ネットワーク地図と不正アクセスとの関係を示す不正アクセス状況図を作成する不正アクセス状況図作成手段とを更に具備することを特徴とする。
【００１２】
これにより、同一者による不正アクセス情報を、該同一者の識別情報に関連付けて格納する不正者情報データベースと、上記コンピュータシステムに関するネットワークの構成情報であるネットワーク地図情報を格納するシステム情報データベースと、不正アクセス情報データベースと、システム情報データベースを参照して、ネットワーク地図と不正アクセスとの関係を示す不正アクセス状況図を作成する不正アクセス状況図作成手段とを更に具備するので、利用者へ視覚的に不正アクセスの状況を把握できる不正アクセス状況図を提示できる。
【００１３】
また、本発明によるプログラムにおいては、ネットワークを介したコンピュータシステムへのアクセスを監視するアクセス監視装置から出力される、不正アクセスまたは不正アクセスの可能性のあるアクセスに関する情報を、不正アクセス情報として、不正アクセス情報データベース格納するステップと、前記不正アクセス情報データベースを参照し、不正アクセス情報間において、所定の項目に関する一致の度合を基に同一者による不正アクセス情報かを判定する同一者判定処理を行うステップと、予め不正アクセス行為の判断条件を判断条件データベースに格納するステップと、前記同一者判定手段が同一者と判定した複数の不正アクセス情報に対し、前記判断条件データベースの判断条件を参照して不正アクセス行為であるか判断し、該同一者が不正者であるか判別する不正者判別処理を行うステップと、前記同一者による不正アクセス情報を、該同一者の識別情報に関連付けて格納する不正者情報データベース記憶手段と、前記コンピュータシステムに関するネットワークの構成情報であるネットワーク地図情報をシステム情報データベースに格納するステップと、前記不正者情報データベースと、前記システム情報データベースを参照して、ネットワーク地図と不正アクセスとの関係を示す不正アクセス状況図を作成する不正アクセス状況図作成処理を行うステップとを有する不正アクセス監視処理用のプログラムであって、前記不正アクセス状況図作成のステップが、利用者より前記ネットワーク地図の描画範囲を指定する描画範囲パラメータと前記ネットワーク地図に重ねるレイヤのパラメータ情報を受信するステップと、前記システム情報データベースを参照して、受信した描画範囲パラメータの範囲に該当するネットワーク地図レイヤ作成を行うステップと、前記不正者情報データベースを参照して前記描画範囲パラメータに該当する不正者情報を検索するステップと、前記検索された不正者情報の各項目をシンボル化するシンボル変換処理を行うステップと、前記ネットワーク地図レイヤと前記シンボルを重畳して表示する不正アクセス状況図を表示するステップとを有する不正アクセス監視処理をコンピュータに実行させるためプログラムである。
【発明を実施するための最良の形態】
【００１４】
以下、発明の実施の形態を通じて本発明を説明する。ただし、以下の実施の形態は特許請求の範囲に記載された発明を限定するものではなく、また実施の形態の中で説明されている特徴の組み合わせのすべてが発明の解決手段に必要であるとは限らない。
まず、本発明の一実施形態による不正アクセス監視システムを含むシステムの全体構成について、該システムの一例を示す図を用いて説明する。
図１は、本発明の一実施形態による不正アクセス監視システムを含むシステムの全体構成を示すブロック図である。この図において符号１０は、ネットワーク１１へ接続可能な端末Ａ、端末Ｂ、端末Ｃ、…（以下、端末１０とする）である。１２は、外部からの不正アクセスを防ぐためのファイアウォール１３を介してネットワーク１１へ接続するＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）１４を備えるコンピュータシステムである。尚、端末１０の中には、悪意をもってコンピュータシステム１２へアクセスしてくる者が操作する端末も含まれる。
【００１５】
また、コンピュータシステム１２は、不正アクセスを監視するため以下に示す装置やシステムも具備する。１５は、ファイアウォール１３やＬＡＮ１４を構築するサーバ群へのアクセスにおいて、怪しい振る舞い（不正侵入の目的でよく行われる行為）を検出する侵入検知装置である。尚、上記の不正侵入の目的で良く行われる行為の具体例としては、侵入しようとするサーバのポートを探知するポートスキャンなどがある。
【００１６】
１６は、ファイアウォール１３からのアクセス履歴情報と、侵入検知装置１５からの検知情報とを含むアクセス情報を受信し、不正アクセスまたは、不正アクセスである可能性のあるアクセスに関する不正アクセス情報を出力するアクセス監視装置である。１７は、アクセス監視装置１６より不正アクセス情報を受信し、同一者による不正アクセスを特定し、時系列で該不正アクセスに関する情報を管理し、コンピュータシステム１２に対する不正アクセス状況を示す情報を出力する不正アクセス監視システムである。尚、不正アクセス監視システム１７が備える他の機能を含めた詳細な構成は後述する。
【００１７】
以上の構成により、悪意のある者が操作する端末１０より、ネットワーク１１を介してコンピュータシステム１２に不正侵入を試みるためのアクセスが行われた場合、不正侵入を試みる行為を侵入検知装置１５が検知して、該検知情報を出力する。アクセス監視装置１６は、該検知情報とファイアウォール１３より受信したアクセス履歴情報とを含む不正アクセス情報を、不正アクセス監視システム１７へ送信する。不正アクセス監視システム１７では、該不正アクセス情報を受信し、同一者による不正アクセスを特定し、時系列で該不正アクセスに関する情報を管理し、コンピュータシステム１２に対する不正アクセス状況を示す情報を適時出力する。
【００１８】
次に、不正アクセス監視システム１７の内部構成について図を用いて説明する。
図２は、本発明の一実施形態による不正アクセス監視システム１７の概略構成を示すブロック図である。この図において符号２０は、不正アクセス監視システム内のデータを制御する制御部である。２１は、アクセス監視装置１６より不正アクセス情報を受信する受信処理部である。２２は、不正アクセス情報を格納する不正アクセス情報データベース２２ａと、ＬＡＮ１４およびファイアウォール１３を含むコンピュータシステム１２内のネットワークの構成情報であるネットワーク地図情報を格納するシステム情報データベース２２ｂとを具備する分析用データベースである。２２’は、過去のアクセス履歴情報を基に不正アクセス者に共通の行動と判断する不正アクセス情報を、不正アクセス情報データベース２２ａに格納される不正アクセス情報より抽出する不正アクセス情報分析部である。
【００１９】
２３は、同一者による不正アクセス情報を、該同一者の識別情報に関連付けて格納する不正者情報データベース２３ａと、予め不正アクセス行為の判断条件を格納する判断条件データベース２３ｂとを具備する管理用データベースである。
尚、不正者情報データベース２３ａには、その時点で同一者による他の不正アクセス情報があると判断できないが、不正アクセス情報分析部２２’が抽出した不正アクセス情報を更に格納する。２４は、不正アクセス情報データベース２２ａを参照し、不正アクセス情報間において、該不正アクセス情報に含まれる同種の項目毎に情報の一致度を算出し、各項目に予め定めた重み付け係数と一致度の積の和を求め、該和の値と所定の値との比較により、同一者による不正アクセス情報かを判定する同一者判定処理部である。
【００２０】
２５は、同一者判定処理部２４が同一者と判定した複数の不正アクセス情報に対し、判断条件データベース２３ｂの判断条件を参照して不正アクセス行為であるか判断し、該同一者が不正者であるか判別する不正者判別処理部である。２６は、不正者判別処理部２５において、不正アクセス行為が、正規利用者のＩＤを用いたパスワード解析行為と判断された場合、該正規利用者および／または所定の連絡先へ、警戒を促す警報情報を送信する警報情報送信処理部である。２７は、不正者情報データベース２３ａと、システム情報データベース２２ｂを参照して、ネットワーク地図と不正アクセスとの関係を示す不正アクセス状況図を作成する不正アクセス状況図作成処理部である。
【００２１】
ここで、不正者情報データベース２３ａの詳細な構成について図を用いて説明する。
図３は、本発明の一実施形態における不正者情報データベース２３ａの構成を示す図である。図示するように、不正アクセス情報、不正者情報、被害対象情報から構成される。不正アクセス情報とは、該不正アクセス情報の識別番号、同一者と判定された場合の管理番号、不正アクセスの発生した日時、不正者名称、不正者／正規利用者／不明の３種類でアクセス者を識別する識別情報、アクセス元の認証状態を安心／注意／脅威の３種類で表わす認証状態、不正者のアドレスなどの情報である。不正者情報とは、不正者が操作する端末１０のＯＳ（オペレーティングシステム）情報、プロクシ情報、所属ドメイン情報、滞在時間情報、再訪問レートなどの情報である。被害対象情報とは、不正アクセスにより被害を被害対象、被害装置情報、被害レベルなどの情報である。ブラックリストとは、不正行為が確定した不正者に関する情報を一覧できるよう、上記の不正アクセス情報および不正者情報より、一覧で確認したい情報を抽出して格納する。
【００２２】
尚、上記に示した図２の各処理部は専用のハードウェアにより実現されるものであってもよく、また、各処理部はメモリおよびＣＰＵ（中央演算装置）により構成され、各処理部の機能を実現する為のプログラムをメモリにロードして実行することによりその機能を実現させるものであってもよい。
また、上記メモリは、ハードディスク装置や光磁気ディスク装置、フラッシュメモリ等の不揮発性のメモリや、ＣＤ−ＲＯＭ等の読み出しのみが可能な記録媒体、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）のような揮発性のメモリ、あるいはこれらの組み合わせによるコンピュータ読み取り、書き込み可能な記録媒体より構成されるものとする。
【００２３】
次に、上述した不正アクセス監視システム１７において、複数の不正アクセス情報を基に不正者を特定する動作について図を用いて説明する。
図４は、本発明の一実施形態による不正アクセス監視システム１７の動作を示すフロー図である。まず、受信処理部２１がアクセス監視装置１６より不正アクセス情報を逐次受信し、不正アクセス情報データベース２２ａへ格納する（ステップＳ２１）。次に、不正アクセス情報分析部２２’は、不正アクセス情報データベース２２ａより、不正アクセスの可能性が高いと分析される不正アクセス情報を抽出する。次に、同一者判定処理部２４は、不正アクセス情報分析部２２’が抽出した不正アクセス情報と、不正者情報データベース２３ａに格納される不正者情報について各項目毎に内容を比較し、一致度を算出する（ステップＳ２２）。尚、一致度とは、例えば、項目がＩＰアドレス情報である場合、該ＩＰアドレス（文字列）の一致の度合を数値化したものである。
【００２４】
次に、同一者判定処理部２４は、各項目に予め設定した重み付けの係数と該項目の一致度の積を求め、該積の和を求める（ステップＳ２３）。次に、同一者判定処理部２４は、該和の値が、予め定めた基準値より大きいか判断する（ステップＳ２４）。和の値が基準値より大きい場合（ステップＳ２４のＹＥＳ）、同一者判定処理部２４は、比較した不正アクセス情報は同一者によるものと判定し、該同一者を識別する管理番号を付加して、不正者情報データベース２３ａへ格納する（ステップＳ２５）。また、和の値が基準値より小さい場合（ステップＳ２４のＮＯ）、同一者判定処理部２４は、同一者によると判定せず、同一者を識別する管理番号を付加せずに、該不正アクセス情報を不正者情報データベース２３ａへ格納する。これは、新たに不正アクセス情報データベース２２ａより抽出される不正アクセス情報と比較して同一者と判定される可能性があるからである。
【００２５】
次に、不正者判別処理部２５は、同一者判定処理部２４が同一者と判定した複数の不正アクセス情報に対し、判断条件データベース２３ｂの判断条件を参照して、時系列的にも考慮して不正アクセス行為であるか判断し、該同一者が不正者であるか判別する（ステップＳ２６）。尚、不正者判別処理部２５は、不正者情報データベース２３ａに格納した不正アクセス情報の内、同一者無しと判定された不正アクセス情報は、単独で不正アクセス行為であるかの判断を行う。また、時系列的な考慮とは、同一利用者においてパスワードの入力ミスが定期的に発生している場合など、所定回数を超えた時点で不正アクセス行為と判断することである。
【００２６】
ここで、不正者判別処理部２５が不正行為でない場合（ステップＳ２６のＮＯ）、処理を終了する。また、不正者判別処理部２５が不正行為と判別した場合（ステップＳ２６のＹＥＳ）、制御部２０は、不正者情報データベース２３ａの管理番号を不正行為が確定したことを示す識別子を含む管理番号へ変更し、ブラックリストへ登録する（ステップＳ２７）。更に、不正者判別処理部２５が該不正行為をパスワード解析行為と判断した場合（ステップＳ２８のＹＥＳ）、警報情報送信処理部２６が、パスワード解析行為を受けた利用者の連絡先、または該当するシステム管理者などの所定の連絡先へ、電子メールにより警報情報の送信を行う（ステップＳ２９）。これにより、利用者、またはシステム管理者は、パスワード変更等の適切な処置を行い、不正アクセスを防ぐことが出来る。
【００２７】
更に、本発明の一実施形態における不正者情報データベース２３ａの構築例を、（１）〜（６）までの６つの不正アクセスが発生した場合を例にして以下に説明する。
図５、図６、図７は、それぞれ、図３で示した不正アクセス情報、不正者情報、被害対象情報が、（１）〜（６）までの不正アクセスによってどう構成されるかを示す図である。尚、（１）〜（６）までの不正アクセスは以下に示すものとする
（１）：ファイアウォール１３内のＷｅｂサーバにポートスキャンがかけられた。
（２）：同ＷｅｂサーバにＢｕｆｆｅｒｏｖｅｒｆｌｏｗ攻撃がかけられた。
（３）：Ｗｅｂサーバで管理するホームページが不正に書き換えられた。
（４）：正規利用者のＩＤで複数回のパスワードミスが発生した。
（５）：ＬＡＮ１４の管理者用パスワードが盗まれ、ハッキング用プログラムが仕掛けられた。
（６）：ＬＡＮ１４内の端末から、顧客管理システムへ正規利用者のＩＤでパスワード解析行為が行われた。
【００２８】
以上の、不正アクセスに対して、不正者情報データベース２３ａは、図５、図６、図７に示すような情報を格納して行く。同一者判定処理部２４は、図６の不正者情報に含まれる、ＯＳ、プロキシ情報の一致や、経路情報の一致の度合を数値化した一致度を算出し、各項目に重み付けた係数との積をとり、該積の和を求めることで、同一者であるかを判定する。また、（５）の段階で、不正者判別処理部２５が、同一者の（１）〜（５）までのアクセス行為を基に、判断条件データベース２３ｂを参照して、不正者であると判別し、図５の６番目の項目”識別”が、「不明」から「不正者」へ変更され、７番目の項目”認証状態”が、「注意」から「脅威」へと変更される。
【００２９】
以上に示したように、不正アクセス監視システム１７は、アクセス監視装置１６より、不正アクセス情報を受信し、分析し、同一者からの不正アクセス情報を特定し、不正者情報データベース２３ａで管理することで、時系列を考慮して不正行為を判別することができる。これにより、大量のアクセス情報より自動で不正アクセスを特定できるので、専門家でなくても、大量のアクセス情報に埋もれた、不正アクセス情報を検知することができる。また、パスワード解析行為など特定の利用者への不正行為がある場合は、該利用者や、該利用者が利用するシステムの管理者へ警報情報を送信し、注意を促すことができる。
【００３０】
次に、本発明の一実施形態における不正アクセス監視システム１７が、不正アクセスの状況理解を支援する動作について図を用いて説明する。尚、本実施形態では、図１０に示すような、ネットワークシステムを視覚的に表わしたネットワーク地図上に、不正アクセスが行われた箇所、不正者を表わすシンボルが配置された不正アクセス状況図を示すことで、不正アクセスの状況理解を支援する。
【００３１】
図８は、本発明の一実施形態による不正アクセス監視システム１７が、不正アクセスの状況理解を支援する動作を示すフロー図である。まず、利用者よりコンピュータシステム１２のネットワーク構成を示すネットワーク地図を描画する範囲と、該ネットワーク地図に重ねるレイヤの層設定（レイヤ層数、各レイヤに含ませるシンボルの種類などの設定）等のパラメータが入力された場合、不正アクセス状況図作成処理部２７は、該パラメータの情報を受信する（ステップＳ３１）。尚、ネットワーク地図の範囲の指定方法としては、コンピュータシステム１２の全体のネットワーク構成図を表示して指定させる方法や、コンピュータシステム１２を予め幾つかのブロックに分け、該ブロックを指定させる方法などがある。
【００３２】
次に、不正アクセス状況図作成処理部２７は、システム情報データベース２２ｂに格納されるコンピュータシステム１２のネットワークシステム情報を参照して上記で設定された範囲のネットワーク地図レイヤを作成する（ステップＳ３２）。尚、この時、図９（ａ）に示すような、ネットワーク地図要素として、ノード、リンク、管理範囲、外部インターネットドメイン等、などのシンボルを予め決めておき、これを利用する。次に、不正アクセス状況図作成処理部２７は、不正アクセス情報の描画範囲、レイヤの層設定等に関するパラメータの入力を受信する（ステップＳ３３）。次に、不正アクセス状況図作成処理部２７は、不正者情報データベース２３ａを参照して、上記で指定された範囲における不正アクセス情報を検索する（ステップＳ３４）。
【００３３】
次に、不正アクセス状況図作成処理部２７は、検索結果を全てシンボルとしてネットワーク地図に付加したか判断する（ステップＳ３５）。全てシンボルとして付加していない場合（ステップＳ３５のＮＯ）、不正アクセス状況図作成処理部２７は、不正者情報データベース２３ａの”識別”を参照し、図９（ｂ）に示すようなシンボル要素を、正規利用者／不正者／不明に分けて決定する（ステップＳ３６）。次に、不正アクセス状況図作成処理部２７は、不正者情報データベース２３ａの”認証状態”を参照し、図９（ｂ）に示すようなフレーム要素を、安心／注意／脅威にわけて決定する（ステップＳ３７）。次は、ステップＳ３５へ戻る。
【００３４】
以上のステップＳ３５〜Ｓ３７を繰り返し、検索結果である不正アクセス情報を全てシンボルへ変換し終えた場合（ステップＳ３５のＹＥＳ）、不正アクセス状況図作成処理部２７は、図１０に示すような不正アクセス状況図を表示させる（ステップＳ３８）。尚、図１０において、薄い色のノードおよびリンクが不正アクセスを受けている箇所を示す。以上により、不正アクセス監視システム１７は、各種データベースより情報を参照し、不正アクセス情報をシンボル化することで、不正アクセス状況図を作成し、不正アクセスの状況理解を支援することができる。
【００３５】
尚、図示していないが、不正アクセス状況図のネットワーク地図要素を色付けして、該色に種々の意味をもたせてもよい。また、ネットワーク地図上において、シンボルとフレームの組み合わせで様々な意味をもたせても良い。以上により、ノードの重要性（機密情報のデータベースを備えるかどうかなど）を色で表現し、不正アクセスとの関連性を容易に確認したりできる。また、ネットワークの管理範囲が明示されるので、対象となるネットワーク管理者へ的確な指示を与えることができる。
【００３６】
また、図２における各種処理を行う処理部の機能を実現する為のプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各処理を行っても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータシステム」とは、ＷＷＷシステムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。
【００３７】
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムが送信された場合のサーバやクライアントとなるコンピュータシステム内部の揮発メモリ（ＲＡＭ）のように、一定時間プログラムを保持しているものも含むものとする。
【００３８】
また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。
また、上記プログラムは、前述した機能の一部を実現する為のものであっても良い。さらに、前述した機能をコンピュータシステムに既に記録されているプログラムとの組み合わせで実現できるもの、いわゆる差分ファイル（差分プログラム）であっても良い。
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【００３９】
以上説明したように、本発明による不正アクセス監視システムにおいては、不正アクセス情報を逐次格納する不正アクセス情報データベースと、不正アクセス情報データベースを参照し、不正アクセス情報間において、所定の項目に関する一致の度合を基に同一者による不正アクセス情報かを判定する同一者判定手段と、予め不正アクセス行為の判断条件を格納する判断条件データベースと、同一者判定手段が同一者と判定した複数の不正アクセス情報に対し、判断条件データベースの判断条件を参照して不正アクセス行為であるか判断し、該同一者が不正者であるか判別する不正者判別手段とを具備するので、逐次増加する不正アクセス情報について、同一者によるものを判定し、更に、同一者による複数の不正アクセス情報（不正アクセスである可能性がある不正アクセス情報を含む）を基に、時間的変化を考慮して本当に不正アクセス行為であるかを判別し、不正者を判別することができる。これにより、専門家に依頼しなくも、大量のアクセス情報の中に埋もれている、不正アクセス情報を自動で検出することができる。
【００４０】
また、本発明による不正アクセス監視システムにおいては、上記同一者判定手段は、不正アクセス情報間において、該不正アクセス情報に含まれる同種の項目毎に情報の一致度を算出し、各項目に予め定めた重み付け係数と一致度の積の和を求め、該和の値と所定の値との比較により、同一者による不正アクセス情報を判定するので、同一者であるか判断するための項目について、その時々の不正アクセスの手口や手法の傾向を考慮して、重み付け係数を変更し、より精度良く同一者を判定することができる。これにより、状況の変化に合わせた柔軟な同一者の判定を行うことができる。
【００４１】
また、本発明による不正アクセス監視システムにおいては、上記不正者判別手段において、不正アクセス行為が、正規利用者のＩＤを用いたパスワード解析行為と判断された場合、該正規利用者および／または所定の連絡先へ、警戒を促す警報情報を送信する警報情報送信手段を更に具備するので、不正者によるパスワード解析行為の対象となっている正規利用者や、該正規利用者が利用する端末を管理するネットワーク管理者など所定の連絡先へ電子メールなどで警戒を促す警報情報を送信することができる。これにより、迅速に不正アクセスへの対処を行うことができ、不正者の侵入による被害を防ぐことができる。
【００４２】
また、本発明による不正アクセス監視システムにおいては、上記同一者による不正アクセス情報を、該同一者の識別情報に関連付けて格納する不正者情報データベースと、上記コンピュータシステムに関するネットワークの構成情報であるネットワーク地図情報を格納するシステム情報データベースと、不正アクセス情報データベースと、システム情報データベースを参照して、ネットワーク地図と不正アクセスとの関係を示す不正アクセス状況図を作成する不正アクセス状況図作成手段とを更に具備するので、利用者へ視覚的に不正アクセスの状況を把握できる不正アクセス状況図を提示できる。これにより、ネットワークの専門家でない経営者へ、ネットワーク資源の価値と、それを不正アクセスから守るための防衛システムの構築費用とを、考慮した経営的判断を支援することもできる。また、チームで不正アクセスに対処する時も、チーム全員が共通の認識を視覚的に得ることができる。
【図面の簡単な説明】
【００４３】
【図１】本発明の一実施形態による不正アクセス監視システムを含むシステムの全体構成を示すブロック図である。
【図２】本発明の一実施形態による不正アクセス監視システム１７の概略構成を示すブロック図である。
【図３】本発明の一実施形態における不正者情報データベース２３ａの構成を示す図である。
【図４】本発明の一実施形態による不正アクセス監視システム１７の動作を示すフロー図である。
【図５】本発明の一実施形態による図３で示した不正アクセス情報が、不正アクセスによってどう構成されるかを示す図である。。
【図６】本発明の一実施形態による図３で示した不正者情報が、不正アクセスによってどう構成されるかを示す図である。
【図７】本発明の一実施形態による図３で示した被害対象情報が、不正アクセスによってどう構成されるかを示す図である。
【図８】本発明の一実施形態による不正アクセス監視システム１７が、不正アクセスの状況理解を支援する動作を示すフロー図である。
【図９】本発明の一実施形態による不正アクセス状況図に用いるネットワーク地図要素、シンボル要素、フレーム要素を示す図である。
【図１０】本発明の一実施形態における不正アクセス状況図を示す図である。
【符号の説明】
【００４４】
１０    端末Ａ、端末Ｂ、端末Ｃ、…（端末１０）
１１    ネットワーク
１２    コンピュータシステム
１３    ファイアウォール
１４    LAN
１５    侵入検知装置
１６    アクセス監視装置
１７    不正アクセス監視システム
２０    制御部
２１    受信処理部
２２    分析用データベース
２２ａ  不正アクセス情報データベース
２２ｂ  システム情報データベース
２２’  不正アクセス情報分析部
２３    管理用データベース
２３ａ  不正者情報データベース
２３ｂ  判断条件データベース
２４    同一者判定処理部
２５    不正者判別処理部
２６    警報情報送信処理部
２７    不正アクセス状況図作成処理部  
【図１】
2005190484.tif 000003
【図２】
2005190484.tif 000004
【図３】
2005190484.tif 000005
【図４】
2005190484.tif 000006
【図５】
2005190484.tif 000007
【図６】
2005190484.tif 000008
【図７】
2005190484.tif 000009
【図８】
2005190484.tif 000010
【図９】
2005190484.tif 000011
【図１０】
2005190484.tif 000012