(57)【要約】  【課題】  Ｗｅｂコンテナを有するアプリケーションサーバにおいて、アプリケーション層までのセキュリティ監視を業務アプリケーションに頼らず行うことができる不正アクセス監視システムを提供することを目的とする。  【解決手段】  業務アプリケーションの正常動作時の動作シーケンスを記憶した動作記述ファイル３３１と、複数の業務アプリケーションの実行基盤となるＷｅｂコンテナ１６と、Ｗｅｂコンテナ１６に設けられ、業務アプリケーションの動作ログを取得する監査ログ機能３４と、該監査ログ機能３４が記録しているログを参照し、Ｗｅｂコンテナ１６上の業務アプリケーション１１〜１５の動作シーケンスと前記動作記述ファイル３３１に記憶されている正常動作時の動作シーケンスとを比較し、比較結果に応じた処理を行うアプリケーション監視機能３３とを有する。  【選択図】  図１
2005352673.tif 000002
【特許請求の範囲】
【請求項１】
業務アプリケーションの正常動作時の動作シーケンスを記憶した動作記述ファイルを有するコンピュータを、
複数の業務アプリケーションの実行基盤となるコンテナ機能と、
前記コンテナ機能に設けられ、業務アプリケーションの動作ログを取得する監査ログ機能と、
前記監査ログ機能が記録しているログを参照し、コンテナ機能上の業務アプリケーションの動作シーケンスと前記動作記述ファイルに記憶されている正常動作時の動作シーケンスとを比較し、比較結果に応じた処理を行うアプリケーション監視機能と、
して機能させる不正監視プログラム。
【請求項２】
前記アプリケーション監視機能は、比較結果が異常シーケンスであった場合は、前記コンテナ機能に代替処理を実行させる
事を特徴とする請求項１に記載の不正監視プログラム。
【請求項３】
前記コンピュータを更に、
コンテナ機能に対する入出力情報を記録する第２の監査ログ機能として機能させるとともに、
前記アプリケーション監視機能は前記監査ログ及び前記第２の監査ログの情報を時系列に統合したログを参照し、コンテナ機能上の業務アプリケーションの動作シーケンスと前記動作記述ファイルに記憶されている正常動作時の動作シーケンスとを比較し、比較結果に応じた処理を行う
事を特徴とする請求項１記載の不正監視プログラム。
【請求項４】
入出力動作に対する異常動作シーケンスを記憶したルールファイルを有するコンピュータを、
複数の業務アプリケーションの実行基盤となるコンテナ機能と、
前記コンテナ機能への入力もしくは前記コンテナ機能からの出力のログを取得する監査ログ機能と、
前記監査ログ機能が記録しているログを参照し、前記コンテナ機能の入出力の動作シーケンスと前記ルールファイルに記録された異常動作シーケンスとを比較し、比較結果に応じた処理を行う入出力監視機能と、
して機能させる不正監視プログラム。
【請求項５】
前記入出力監視機能は、比較結果が異常シーケンスであった場合は、前記コンテナ機能に代替処理を実行させる
事を特徴とする請求項４に記載の不正監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークに接続されたサーバに対する不正アクセス防止技術に関するものである。
【背景技術】
【０００２】
近年、コンピュータは、企業内等のイントラネット、プロバイダへの接続によりインターネット接続を行うなど、ネットワークに接続することが一般的となっている。
【０００３】
これに伴い、ＬＡＮ等の企業などが構築したネットワークを、インターネットに接続し、ＬＡＮに接続した機器が、インターネットを経由して他のネットワーク上のサーバと通信したりすることも多くなっている。
【０００４】
このような状況では、ネットワーク外部からネットワーク内部へのアクセスを許すこととなるため、ネットワーク外部より、本来アクセスすべき部分以外のアクセス、すなわち不正アクセスの危険性に晒されることになる。
【０００５】
このため、通常は他のネットワークとの接続点に、外部からの不正なアクセスを防ぐ為のルータやホスト、いわゆるファイアウオールを設置することが一般的である。
【０００６】
このファイアウオールは、基本的に、通過するパケットの各種情報（送信先IPアドレス、発信元IPアドレス、オプション情報等）を読み取り、本来アクセスすべきでないアドレス宛てのパケットを遮断する（パケットフィルタリング）等の機能を有する。
【０００７】
ところで、近年このようなネットワークの普及を背景にインターネットにおける商用サービス、いわゆるｅ−Ｂｕｓｉｎｅｓｓが急速に普及してきている。
【０００８】
Ｗｅｂサービスは、利用者が、サービスを提供する側のネットワーク内にあるサーバに対し接続を行い、サーバとの間で種々の通信・情報交換を行って行われる。
【０００９】
これら、ｅ−Ｂｕｓｉｎｅｓｓに代表されるＷｅｂサービスでは、一般にＨＴＴＰ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）やＨＴＴＰＳ（Ｈｙｐｅｒ  Ｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ  Ｓｅｃｕｒｉｔｙ）といったプロトコルが使用されている。
【００１０】
しかしながら、これらのプロトコルは、パケットの管理を行うネットワーク層の上位にあたるセション層で行われており、実際には、分割されたパケット単位では、そのプロトコルに基づいた記述がどのようなものであるのかの判別かつかない。
【００１１】
このため、ＨＴＴＰやＨＴＴＰＳに記載された内容を、パケット単位でフィルタリングを行うファイアウオールでは判別できないことになり、ＨＴＴＰやＨＴＴＰＳで記載されたリクエストが不正アクセスの危険性のあるものであったとしても、ファイアフォールでは通過してしまう。
【００１２】
これに対応するための手段として、従来では、対象となるサーバとネットワークとの間にアプライアンス機器と呼ばれる機器を入れ、そのアプライアンス機器が、サーバにアクセスするパケットを統合し、到来するｈｔｔｐやｈｔｔｐｓプロトコルに基づくアクセスを解析し、使った不正アクセスが無いかを確認した上で、サーバへパケットを転送するようにしていた。
【００１３】
ところで近年、Ｗｅｂサービスの高度化に伴い、利用者から受けたｈｔｔｐやｈｔｔｐｓプロトコルのリクエストに基づき、たとえば、商品検索等の業務を行う必要があり、これに対応する業務アプリケーションを搭載したアプリケーションサーバが登場してきた。
【００１４】
図１１は、従来のアプリケーションサーバシステムの全体構成である。
【００１５】
図１１にも示されるように、実際のサービスを行うアプリケーションサーバ１０１とインターネット１０２との間には、ファイアウオール１０３、アプライアンス機器１０４が接続され、インターネット１０２から到来するパケットは、ファイアウオール１０３及びアプライアンス機器１０４を経由してアプリケーションサーバ１０１へ送られることとなる。
【００１６】
そして、上記してきたように、インターネット１０２からアプリケーションサーバ１０１への通信は、ファイアウオール１０３ではパケット単位で、また、アプライアンス機器１０４では、ＨＴＴＰレイヤレベルで不正アクセスのチェックを行い、不正でないと想定するパケット／リクエストのみがアプリケーションサーバ１０１へ送られることになる。
【００１７】
また、アプリケーションサーバ１０１内には、Ｗｅｂサービスのリクエストの受け付け及びリクエストに対する結果をリクエスト側に送信するＨＴＴＰサーバ機能１００１、及び、ＨＴＴＰサーバ機能が受け付けたリクエストに対する実際の処理を行うアプリケーション機能１００２を有している。
【００１８】
更に、このアプリケーション機能１００２は、各種業務アプリケーション１０１１〜１０１５及び、それらの実行基盤となり、ＨＴＴＰが受けたリクエストを適宜業務アプリケーション１０１１〜１０１５に配分したり、業務アプリケーションの結果を、ＨＴＭＬ形式に変換しＨＴＴＰへ返すＷｅｂコンテナ１０１６からなっている。
【００１９】
また、図示してはいないが、該アプリケーションサーバ１０１には、必要に応じて、業務アプリケーションで使用するデータベースの実際の検索を行うためのデータベースサーバが接続されている場合もある。
【００２０】
このように構成されたシステムでは、リクエストを行うコンピュータにはＷｅｂブラウザと呼ばれるＨＴＴＰプロトコルの解析に基づく表示などの制御を行うアプリケーションが搭載されており、利用者はこのＷｅｂブラウザを利用してインターネット経由でアプリケーションサーバ１０１へのリクエストを行う。
【００２１】
このリクエストは、上記してきたようにインターネット１０２からアプリケーションサーバ１０１への通信は、ファイアウオール１０３ではパケット単位で、また、アプライアンス機器１０４では、ＨＴＴＰレイヤレベルで不正アクセスのチェックを行い、不正でないと想定するパケット／リクエストのみがアプリケーションサーバ１０１へ送られる。
【００２２】
この情報を受けたアプリケーションサーバ１０１内のＨＴＴＰサーバ機能１００１は、アプリケーション機能１００２へ該リクエストを渡す。
【００２３】
このリクエストを受けたアプリケーション機能１００２中のＷｅｂコンテナ１０１６は、リクエストに応じた業務アプリケーションへ該リクエストを渡す。
【００２４】
その後、リクエストを渡した業務アプリケーションによる処理が完了すると、該業務アプリケーションはＷｅｂコンテナ１０１６へ渡し、Ｗｅｂコンテナ１０１６はＨＴＴＰプロトコルに変換した後、ＨＴＴＰサーバ機能１００１へその結果を渡す。
【００２５】
これを受けたＨＴＴＰサーバ機能１００１は、アプライアンス機器１０４、ファイアウオール１０３及びインターネット１０２を経由して、該結果を、リクエストを行ったコンピュータへ返す。
【００２６】
この結果情報は、リクエストしたコンピュータが受信し、Ｗｅｂブラウザによってその結果の表示が行われることになる。
【００２７】
このようなアプリケーションサーバを利用したＷｅｂサービスでは、ＨＴＴＰプロトコルによる画像表示要求にとどまらず、リクエストに応じて各種業務アプリケーションによる処理が発生する。
【００２８】
このため、たとえアプライアンス機器１０４を設けて、ＨＴＴＰプロトコルのチェックを行ったとしても、業務アプリケーションに対する不正アクセスをチェックすることは不可能である。
【００２９】
このため従来、業務アプリケーションに対するセキュリティ対策は、そのアプリケーションソフトの開発者・業者によりアプリケーションソフト用の対策ソフトやソフトウエアの修正（パッチ）などで対応していた。
【特許文献１】特開２００２−２８８０５１号公報
【発明の開示】
【発明が解決しようとする課題】
【００３０】
上記図１１でもわかるように業務アプリケーションは１つのＷｅｂコンテナ１０１６上に複数搭載されるため、従来のように業務アプリケーションに対し、セキュリティ対策を行うだけであれば、その各々の業務アプリケーションに対し、厳重なセキュリティ対策を施しておく必要性がある。
【００３１】
しかしながら、業務アプリケーションの業務が多岐にわたり、かつ、各業務アプリケーションは複雑なアプリケーション処理を行っているが為に、そのセキュリティ対策は高度なスキルを有する開発者が行わなければいけない。
【００３２】
加えて、Ｗｅｂコンテナ１０１６という共通の基盤上で、複数の業務アプリケーションを実行できる環境ということは、Ｗｅｂコンテナ１０１６で実行できるアプリケーションを開発できる環境がある開発者・業者であれば、どこでも開発が可能である。また、各々の業務アプリケーションが複雑な処理を行いうるアプリケーションを複数搭載するような場合では、同じ開発者・業者が開発を行うことが少なくなり、複数の業者／開発者による業務アプリケーションが並列して実行する環境となり、各々の業務アプリケーションのセキュリティ対策に対する品質管理が非常に難しくなる、という課題があった。
【００３３】
本願発明は、上記した課題に鑑み、複数の業務アプリケーションがＷｅｂコンテナのような共通基盤上で動作する、アプリケーションサーバにおいて、そのアプリケーションレベルの不正アクセスの検出を容易にかつ、包括的に行いうる不正アクセス検出システムを提供することを目的とする。
【課題を解決するための手段】
【００３４】
本発明は、上記従来の課題を解決するために、業務アプリケーションの正常動作時の動作シーケンスを記憶した動作記述ファイルと、コンテナに設けられ、業務アプリケーションの動作ログを取得する監査ログ手段と、監査ログ手段が記録しているログを参照し、コンテナ上の業務アプリケーションの動作シーケンスと前記動作記述ファイルに記憶されている正常動作時の動作シーケンスとを比較し、比較結果に応じた処理を行うアプリケーション監視機能とを有することを特徴とする。
【００３５】
また、入出力動作に対する異常動作シーケンスを記憶したルールファイルと、
コンテナへの入力もしくはコンテナからの出力のログを取得する監査ログ手段と、
前記監査ログ手段が記録しているログを参照し、コンテナの入出力の動作シーケンスとルールファイルに記録された異常動作シーケンスとを比較し、比較結果に応じた処理を行う入出力監視手段とを有する事を特徴とするものである。
【発明の効果】
【００３６】
本発明は上記した構成により、コンテナに対して不正アクセス対策を行うことになるため、業務アプリケーション自体に不正アクセス対策を行わずに済み、アプリケーションレベルの不正アクセスの検出を容易にかつ、包括的に行いうる不正アクセス検出システムを提供することができるようになる。
【発明を実施するための最良の形態】
【００３７】
以下、本発明を実施の形態について説明する。
【００３８】
まず、図１は、本発明の一実施の形態における不正アクセス検知システムのシステム構成図である。
【００３９】
まず、１は本実施の形態におけるアプリケーションサーバであり、ファイアウオール３経由で、インターネット２に接続されている。
【００４０】
このインターネット２・ファイアウオール３は、従来の構成とは変わらないので説明を省略する。
【００４１】
アプリケーションサーバ１は、従来と同じく、ＨＴＴＰサーバ１及びアプリケーション機能４を備える。また、アプリケーション機能４は、業務アプリケーション１１〜１５及び、業務アプリケーション１１〜１５の実行基盤となるＷｅｂコンテナ１６を有している。
このＷｅｂコンテナには、利用できる関数・命令を記憶し、Ｗｅｂコンテナ１６経由で業務アプリケーション１１〜１５からの関数・命令の呼び出し、実行が行われるコンテナＡＰＩ１６が搭載されている。
【００４２】
また、ＨＴＴＰサーバ機能１０には、ファイアウオール３経由で受け取ったリクエストなどの情報の時刻情報・送信元、あて先などの情報をモニタする入出力モニタ機能３１１及び、このモニタされた情報を記録する監視ログ機能３０を有している。
【００４３】
更に、Ｗｅｂコンテナ１６には、Ｗｅｂコンテナ１６からの出力のモニタを行う入出力モニタ機能３１、データベース６の検索機能を有するバックエンドシステム５と通信を行うコネクタ機能１７及び、このコネクタ機能経由で入出力される情報のモニタを行いその履歴を記録する監査ログ機能３６を有している。
【００４４】
なお、このバックエンドシステム５は、たとえばリクエストがデータベース６の検索結果に基づくものであった場合、アプリケーション機能４は該コネクタ機能１７により、バックエンドシステム５に対し検索リクエストをかけ、それを受けたバックエンドシステム５がデータベース６の検索処理を行い、その結果をアプリケーション機能４は、コネクタ機能１７を経由して受信するという際に利用される。
【００４５】
更に、Ｗｅｂコンテナ１６は、Ｗｅｂコンテナ１６がアプリケーションを動作させた再の処理内容のログを取得する監査ログ機能３５、Ｗｅｂコンテナが使用するコンテナＡＰＩ１８に、どのような関数などが呼び出されたか、また、その呼び出し、出力のタイミングのログを取得する監査ログ３４を有している。
【００４６】
加えて、各ログ監視機能が記録しているログを取得・統合しアプリケーションが動作記述ファイル３３１に記録されている処理に合致しているかを監視するアプリケーション監視機能３３、各ログ監視機能が記録しているログを取得・統合し入出力がルールファイル３３１に記録されている以上処理に合致しているかを監視する入出力監視機能３２を有している。
【００４７】
以上のように構成された、不正アクセス監視システムに対し、以下、その動作について図２のフローチャートを用い、以下説明を行う。なお、このフローチャートの処理は、特段の明記がない限りＷｅｂコンテナ１６内の、アプリケーション監視機能３３が行っているものとする。
【００４８】
まず、各監視ログ機能３０，３４，３５，３６は、それぞれ、対象の情報を随時記録している。
【００４９】
監視ログ機能３０は、上記したように入出力モニタ機能３１１により、ＨＴＴＰサーバ１０の入出力のログを記録している。このログの例を図３（ａ）に示す。
【００５０】
このログには、ログの記録時刻、その記録時刻に行われたイベント及び監視ログ機能３０によって記録されたことを示す識別子（１）が記録されている。
【００５１】
また、監視ログ機能３４は、上記したようにコンテナＡＰＩ１８の関数・命令の呼び出しに対するログを記録している。このログの例を図３（ｂ）に示す。
【００５２】
このログには、ログの記録時刻、その記録時刻に行われたイベント及び監視ログ機能３４によって記録されたことを示す識別子（２）が記録されている。
【００５３】
更に、監視ログ機能３５は、上記したようにＷｅｂコンテナ１６による「業務アプリケーションの監視を行い、ログを記録している。このログの例を図３（ｃ）に示す。
【００５４】
このログには、ログの記録時刻、その記録時刻に行われたイベント及び監視ログ機能３５によって記録されたことを示す識別子（３）が記録されている。
【００５５】
加えて、監視ログ機能３６は、上記したようにコネクタ機能１７によるバックエンドモニタ５に対する入出力の監視を行い、ログを記録している。このログの例を図３（ｄ）に示す。
【００５６】
このログには、ログの記録時刻、その記録時刻に行われたイベント及び監視ログ機能３６によって記録されたことを示す識別子（４）が記録されている。
【００５７】
まず、アプリケーション監視機機能３３は、これら各ログ監視機能３０、３４，３５，３６が記憶したログ情報「を取得する（Ｓ２００１〜Ｓ２００４）。
【００５８】
次に、アプリケーション監視機能３３は、この取得したログ情報を時刻順に統合する処理を行う（Ｓ２００５）。この統合されたログ情報を図４に示す。
【００５９】
次に、アプリケーション監視機能３３は、この統合されたログ情報と動作記述ファイル３３１に記憶されている正常動作シーケンス情報とを比較し（Ｓ２００６）、アプリケーション機能４の処理が正常シーケンスに基づくものか否かの判定を行う（Ｓ２００７）。
【００６０】
このとき利用される動作記述ファイル３３１の記録内容を図５に示す。
【００６１】
このように動作記述ファイル３３１には、正常シーケンスの定義と、該正常シーケンスに基づかない場合、異常シーケンスとして出力させる出力内容の記述とを対で記録している。
【００６２】
ここで、正常シーケンスに基づくであると判定できれば、本処理は完了するが、正常シーケンスに基づかない処理であった場合には、アプリケーション監視機能３３は異常シーケンスであったことを記録する（Ｓ２００８）とともに、動作記述ファイル３３１に記録されている本異常シーケンスに対応する出力内容を出力する。この出力は、印刷に基づくもの、該アプリケーションサーバ１の管理者の端末への通知、アプリケーションサーバ１にＣＲＴなどのディスプレイが接続されていた場合、その画面上に表示を行うなどでも良い。
【００６３】
また、異常シーケンスの検出に応じて、アプリケーションを異常以前の状態に戻したり、コンテナＡＰＩの呼び出しの停止を行うなどの対応を行うことで不正アクセスによるアプリケーションの動作異常を防止することが可能となる。
【００６４】
次に、入出力監視機能３２が行う処理について図６のフローチャートを元に説明する。なお、この処理の説明では、特に記載の無い限り、入出力監視機能３２が行っているものとする。
【００６５】
まず、入出力監視機能３２は、監視ログ機能３０、監視ログ機能３４及び監視ログ機能３６からログ情報を取得する（Ｓ３００１〜Ｓ３００３）。これらは、業務アプリケーション監視のログを取得する監査ログ機能３５以外の情報、すなわち入出力に関するログ情報を取得することになる。
【００６６】
次に、入出力監視機能３２は、取得したログ情報を時刻順に統合する。（Ｓ３００４）
この処理は、アプリケーション監視機能３２と同様の統合処理である。
【００６７】
次に、入出力監視機能３２は、このログ情報と、ルールファイル３２１に記憶されている入出力ルールの異常シーケンスとを比較し（Ｓ３００５）、異常シーケンスと合致すれば（Ｓ３００６）、該異常シーケンスを記録し（Ｓ３００７）、不正アクセスとして出力を行う（Ｓ３００８）。
【００６８】
この出力はアプリケーション監視処理機能３３の処理と同様、印刷に基づくもの、該アプリケーションサーバ１の管理者の端末への通知、アプリケーションサーバ１にＣＲＴなどのディスプレイが接続されていた場合、その画面上に表示を行うなどでも良い。
【００６９】
また、異常シーケンスの対応として、警告の出力のほかに、当該不正リクエストの除去・正常リクエストへの差し替え等の対策処理も考えられる。
【００７０】
以上のように、Ｗｅｂコンテナ１６上に、その入出力や業務アプリケーション１１〜１５のモニタを行う機能を設け、これらの情報を時刻順に統合し、Ｗｅｂコンテナ１６でのイベント推移（異常シーケンス）を検出することで、不正アクセスを検出するようにしている。
【００７１】
このようにする事により、不正アクセスの監視をＷｅｂコンテナ１６の機能として行えるようになるので、従来のように各業務アプリケーション個別にセキュリティ対策を施す必要が無くなり、このための対策工数を減らすことができ、かつ、複数の業者の業務アプリケーションを動作可能な環境においても、ある業務アプリケーションのセキュリティ対策具合が低いがばかりに、セキュリティホールが不十分になってしまう、と、言うことを防止する事が可能となる。
【００７２】
次に、上記構成を、Ｊａｖａ（登録商標）を使用したシステムに適用した場合について説明する。
【００７３】
図７は、Ｊａｖａ（登録商標）システムにおける、不正アクセス検出システムの構成を示したものである。
【００７４】
本実施の形態において、上記したアプリケーション機能４に相当するのがコンテナ５０１である。このコンテナではＪａｖａ（登録商標）バーチャルマシン５３７が業務アプリケーション５１１を動作させる基盤機能として搭載され、事実上業務アプリケーション５１１は、Ｊａｖａ（登録商標）バーチャルマシン上で動作することになる。また、Ｊａｖａ（登録商標）  ｄｅｂｕｇｇｉｎｇ  Ｉｎｔｅｒｆａｃｅ（以下ＪＤＩ）５４２は、Ｊａｖａ（登録商標）  Ｄｅｂｕｇ  Ｗｉｒｅ  Ｐｒｏｔｃｏｌ（以下、ＪＤＷＰ）というプロトコルによりＪａｖａ（登録商標）バーチャルマシン５３７との通信を行い、Ｊａｖａ（登録商標）  バーチャルマシン５３７の呼び出しクラスやメソッドなどのリクエスト情報をイベントハンドラ５４４・ログハンドラ５４３及び実行監視も似た５３３へ伝える。イベントハンドラ５４４・ログハンドラ５４３はそれらの情報を取得、記録していく。
【００７５】
また、実行監視ハンドラ５３３は、図１のアプリケーション監視機能３３に相当する機能であり、図１の動作記述ファイル３３１に相当する実行監視ルールファイル５４１に相当し、イベントハンドラ５４４、ログハンドラ５４３などの情報を統合し、不正アクセス（異常シーケンス）の監視を行う処理を行う。
【００７６】
更にコンテナ５０１には、入出力制御フィルタ５３１を有し、この入出力制御フィルタ５３１にはバックエンドシステム（図示せず）との通信を行うためのバックエンドシステムインターフェイス５１７及び図１のＨＴＴＰサーバ１０に相当するＨＴＴＰサーバ５１０が接続・通信可能となっている・
また、入出力制御フィルタ５３１・ＨＴＴＰサーバ５１０の双方に、これらを使ってフィルタ制御を行うためのフィルタ制御機能５３８が接続される。このフィルタ制御機能５３８は、監査ログファイルに該フィルタ制御のログを記録する。
【００７７】
加えて、監査ログファイル５３９はＨＴＴＰサーバ５１０に接続され、ＨＴＴＰサーバの入出力のログを記録している。
【００７８】
また、同じように監査ログファイル５３６は、バックエンドシステムインターフェイス５１７に接続され、バックエンドシステムインターフェイス５１７の入出力の入出力ログを記録している。
【００７９】
また、５３２は入出力監視機能であり、監査ログファイル５３６，５３９，５４０からの情報を取得するとともに、各監視ログファイルからのログ情報を統合し、入出力ルールファイル５２１に記憶されている異常ルールとの比較・判定を行っている。
【００８０】
以上のように構成されたＪａｖａ（登録商標）システムにおける不正アクセス監視システムにおける処理について以下説明を行う。
【００８１】
まず、入出力のフィィルタ制御について図８を用いて説明する。
【００８２】
なお、特段の記載が無い限り、この処理は入出力監視機構５３２が行っているものとする。
【００８３】
まず、入力ＨＴＴＰリクエストがＨＴＴＰサーバ５１０に受信された場合について説明する。
【００８４】
まず、ＨＴＴＰサーバ５１０がリクエスト情報を受信すると（Ｓ４００１）、監査ログファイル５３９にそのログが記録される。
【００８５】
この記録された情報を受信した入出力監視機構５３２は、入力ＨＴＴＰリクエスト中の入力フィールドを判定し、入出力ルールファイル５２１に記憶されているルールを適用し（Ｓ４００２）、正常なリクエストかの判定を行う（Ｓ４００３）。
【００８６】
このとき正当なリクエストであれば、該リクエストをコンテナ５０１側に中継するようフィルタ制御手段５３８に入出力制御フィルタ５３１の制御を行わせる事で（Ｓ４００４）、コンテナ５０１はそのリクエストを受け取り、業務アプリケーション５１１が対応する処理を行う（Ｓ４００５）。
【００８７】
逆に、Ｓ４００３で正当なルールではないと判定した場合は、入出力ルールファイル５２１に記憶している代替処理を行うようにする（Ｓ４００６）。
【００８８】
図９が代替処理時の例である。この例においては、入力リクエストの異常を検出したため、元のリクエストを転送せず、入力が異常であることを出力させる代替処理を行うようにした場合の例である。
【００８９】
このようにすることにより、入力リクエスト時に検出される異常を検出し、異常が発生すれば、不正アクセスをストップし、その警告を出力させることが可能となる。
【００９０】
次に、出力ＨＴＴＰレスポンス、すなわち、入力ＨＴＴＰリクエストに対する応答レスポンスがコンテナ５０１から出力される場合の不正アクセス検出について図１０のフローチャートを用い説明する。
【００９１】
まず、入出力制御フィルタ５３１が出力レスポンス情報を受信すると（Ｓ５００１）、その情報は監査ログファイル５４０に記録される。
【００９２】
この記録された情報を受信した入出力監視機構５３２は、出力ＨＴＴＰレスポンス中の出力フィールドを判定し、入出力ルールファイル５２１に記憶されているルールを適用し（Ｓ５００２）、正常な出力レスポンスかの判定を行う（Ｓ５００３）。
【００９３】
このとき正当な出力レスポンスであれば、該リクエストをＨＴＴＰサーバ５１０に中継するようフィルタ制御手段５３８に入出力制御フィルタ５３１の制御を行わせる事で（Ｓ５００４）、ＨＴＴＰサーバ５１０が、その出力レスポンスを受け取り、ＨＴＴＰサーバ５１０はリクエスト元へ転送する。
【００９４】
逆に、Ｓ４００３で正当なルールではないと判定した場合は、入出力ルールファイル５２１に記憶している代替処理を行い（Ｓ５００５）、代替処理の出力レスポンスをＨＴＴＰサーバ５１０に転送する（Ｓ５００６）。
【００９５】
次に、実行監視モニタ５３３が行うアプリケーションの実行監視処理について、図１１のフローチャートを用い説明する。
【００９６】
まず、実行監視モニタ５３３は、実行監視ルールファイル５４１からアプリケーション実行監視ルールを読み込む（Ｓ６００１）。
【００９７】
次に、業務アプリケーションからＪａｖａ（登録商標）ＡＰＩ５１６の呼び出しが会った場合、Ｊａｖａ（登録商標）バーチャルマシンは、ＪＤＩ５４１を経由してイベントハンドラ５４４・ログハンドラ５４３へその旨を伝える。
これらが受け取ったログ情報を元に、実行監視モニタ５３３は、読み込んでいる監視ルールに合致するかを判定する（Ｓ６００３）。
【００９８】
この判定は具体的には、図１２に示すように行われる。
【００９９】
まず、設計者が、業務アプリケーションをＵＭＬなどの設計書によって、Ｊａｖａ（登録商標）アプリのコード生成に伴い、この実行監視ルールを生成し、実行監視ルールファイル５４１に記憶させておき、実行監視モニタ５３３はこの実行ルールを読み込んで、業務アプリケーション実行時にすなわちＪａｖａ（登録商標）アプリ実行時に、このＪａｖａ（登録商標）アプリの実行状況が実行監視ルールに沿っているかを監視するようにする。
【０１００】
このようにして監視ルールと合致していれば、その処理は正当なものであるから、ＪＡＶＡ（登録商標）バーチャルマシンに対して該Ｊａｖａ（登録商標）ＡＰＩ５１６の実行を許可する（Ｓ６００４）。
【０１０１】
逆に、合致していない場合は、これに代わる処理、たとえば、異常であったことを示す処理に代替した後その代替処理の実行をＪａｖａ（登録商標）バーチャルマシン５３７に許可する（Ｓ６００５）。
【０１０２】
これによりＪａｖａ（登録商標）バーチャルマシン５３７は、正常なＡＰＩ呼び出しに対しては、業務アプリケーションのリクエストどおりのＪａｖａ（登録商標）ＡＰＩを提供し、異常であった場合には、代替処理を行わせるようになり、不正アクセスを防止することが可能となる。
【０１０３】
なお、本実施の形態で示した構成はシステムで明記したが、コンピュータがプログラムを実行することにより各機能を実現するようにしても良い。
【０１０４】
（付記１）  業務アプリケーションの正常動作時の動作シーケンスを記憶した動作記述ファイルを有するコンピュータを、
複数の業務アプリケーションの実行基盤となるコンテナ機能と、
前記コンテナ機能に設けられ、業務アプリケーションの動作ログを取得する監査ログ機能と、
前記監査ログ機能が記録しているログを参照し、コンテナ機能上の業務アプリケーションの動作シーケンスと前記動作記述ファイルに記憶されている正常動作時の動作シーケンスとを比較し、比較結果に応じた処理を行うアプリケーション監視機能と、
して機能させる不正アクセス監視プログラム。
【０１０５】
（付記２）  前記アプリケーション監視機能は、比較結果が異常シーケンスであった場合は、前記コンテナ機能に代替処理を実行させる
事を特徴とする付記１に記載の不正アクセス監視プログラム。
【０１０６】
（付記３）  前記コンピュータを更に、
コンテナ機能に対する入出力情報を記録する第２の監査ログ機能として機能させるとともに、
前記アプリケーション監視機能は前記監査ログ及び前記第２の監査ログの情報を時系列に統合したログを参照し、コンテナ機能上の業務アプリケーションの動作シーケンスと前記動作記述ファイルに記憶されている正常動作時の動作シーケンスとを比較し、比較結果に応じた処理を行う
事を特徴とする付記１記載の不正アクセス監視プログラム。
【０１０７】
（付記４）  入出力動作に対する異常動作シーケンスを記憶したルールファイルを有するコンピュータを、
複数の業務アプリケーションの実行基盤となるコンテナ機能と、
前記コンテナ機能への入力もしくは前記コンテナ機能からの出力のログを取得する監査ログ機能と、
前記監査ログ機能が記録しているログを参照し、前記コンテナ機能の入出力の動作シーケンスと前記ルールファイルに記録された異常動作シーケンスとを比較し、比較結果に応じた処理を行う入出力監視機能と、
して機能させる不正アクセス監視プログラム。
【０１０８】
（付記５）  前記入出力監視機能は、比較結果が異常シーケンスであった場合は、前記コンテナ機能に代替処理を実行させる
事を特徴とする付記４に記載の不正アクセス監視プログラム。
【０１０９】
（付記６）  業務アプリケーションの正常動作時の動作シーケンスを記憶した動作記述ファイルと、
複数の業務アプリケーションの実行基盤となるコンテナ手段と、
前記コンテナ手段に設けられ、業務アプリケーションの動作ログを取得する監査ログ手段と、
前記監査ログ手段が記録しているログを参照し、前記コンテナ手段上の業務アプリケーションの動作シーケンスと前記動作記述ファイルに記憶されている正常動作時の動作シーケンスとを比較し、比較結果に応じた処理を行うアプリケーション監視手段と、
を有する不正アクセス監視システム。
【０１１０】
（付記７）  入出力動作に対する異常動作シーケンスを記憶したルールファイルと、
複数の業務アプリケーションの実行基盤となるコンテナ手段と、
前記コンテナ手段への入力もしくは前記コンテナ手段からの出力のログを取得する監査ログ手段と、
前記監査ログ手段が記録しているログを参照し、前記コンテナ手段の入出力の動作シーケンスと前記ルールファイルに記録された異常動作シーケンスとを比較し、比較結果に応じた処理を行う入出力監視手段と、
を有する不正アクセス監視システム。
【０１１１】
（付記８）  業務アプリケーションの正常動作時の動作シーケンスを記憶した動作記述ファイルを有し、複数の業務アプリケーションの実行基盤となるコンテナ機能を実行可能なコンピュータが、
業務アプリケーションの動作ログを取得する監査ログ取得ステップと、
前記監査ログ取得ステップにより記録したログを参照し、前記コンテナ機能上の業務アプリケーションの動作シーケンスと前記動作記述ファイルに記憶されている正常動作時の動作シーケンスとを比較し、比較結果に応じた処理を行うアプリケーション監視ステップと、
を実行する不正アクセス監視方法。
【０１１２】
（付記９）  入出力動作に対する異常動作シーケンスを記憶したルールファイルを有し、複数の業務アプリケーションの実行基盤となるコンテナ機能を実行可能なコンピュータが、
前記コンテナ機能への入力もしくは前記コンテナ機能からの出力のログを取得する監査ログ取得ステップと、
前記監査ログ取得ステップで記録したログを参照し、前記コンテナ機能の入出力の動作シーケンスと前記ルールファイルに記録された異常動作シーケンスとを比較し、比較結果に応じた処理を行う入出力監視ステップと、
を実行する不正アクセス監視方法。
【図面の簡単な説明】
【０１１３】
【図１】本発明の一実施の形態における不正アクセス監視システムの構成図
【図２】本発明の一実施の形態におけるアプリケーション監視機能３３の処理フローチャート
【図３】本発明の一実施の形態における各監査ログ機能が取得したログ情報を示した図
【図４】本発明の一実施の形態におけるアプリケーション監視機能３３が、各監査ログ機能が記録したログ情報を統合した統合ログ情報を示した図
【図５】本発明の一実施の形態における動作記述ファイル３３１に記憶されているルール情報を示した図
【図６】本発明の一実施の形態における入出力監視機能３２の処理フローチャート
【図７】本発明の一実施の形態におけるＪａｖａ（登録商標）システムの不正アクセス監視システムの構成図
【図８】本発明の一実施の形態における入出力監視機構５３２が行う入力ＨＴＴＰリクエストに対する監査処理の処理フローチャート
【図９】本発明の一実施の形態における入出力監視機構５３２が行う入力ＨＴＴＰリクエストに対する監査処理時に行う代替処理時の例を示した図
【図１０】本発明の一実施の形態における入出力監視機構５３２が行う出力ＨＴＴＰレスポンスに対する監査処理の処理フローチャート
【図１１】本発明の一実施の形態における実行監視モニタ５３３が行うアプリケーション監視の処理フローチャート
【図１２】本発明の一実施の形態における実行監視モニタ５３３が行うアプリケーション監視の処理フローチャート時におけるＳ６００３の処理の具体例を示した図
【図１３】従来の技術における不正監視システムのシステム構成図
【符号の説明】
【０１１４】
１  アプリケーションサーバ
２  インターネット
３  ファイアウオール
４  アプリケーション機能
５    バックエンドシステム
６  データベース
１０  ＨＴＴＰサーバ
１１〜１５  業務アプリケーション
１６  Ｗｅｂコンテナ
１７  コネクタ機能
１８  コンテナＡＰＩ
３０  監査ログ機能
３１  入出力モニタ機能
３２  入出力監視機能
３３  アプリケーション監視機能
３４  監査ログ機能
３５  監査ログ機能
３６  監査ログ機能
３１１  入出力モニタ機能
３２１  ルールファイル
３３１  動作記述ファイル
【図１】
2005352673.tif 000003
【図２】
2005352673.tif 000004
【図３】
2005352673.tif 000005
【図４】
2005352673.tif 000006
【図５】
2005352673.tif 000007
【図６】
2005352673.tif 000008
【図７】
2005352673.tif 000009
【図８】
2005352673.tif 000010
【図９】
2005352673.tif 000011
【図１０】
2005352673.tif 000012
【図１１】
2005352673.tif 000013
【図１２】
2005352673.tif 000014
【図１３】
2005352673.tif 000015