(57)【要約】【課題】  不正アクセスに対する単なるアカウント制限では、次々に他のアカウントが利用されてパスワード辞書攻撃や総当り攻撃が可能なため、適当な他のアカウントでの認証が成功してしまう恐れがあった。【解決手段】  不正アクセスがあった場合、サービスが動作するプラットホーム自体を一定時間停止することにより同一プラットホーム上で動作する全てのサービスを保護する、または、所定のサービスの動作するポートを一定時間クローズする。【選択図】  図４
2005202711.tif 000002
【特許請求の範囲】
【請求項１】
認証を必要とするサービスを公開するシステムにおいて、提供するサービスへの不正アクセス・攻撃を検知すると、サービスへのアクセス手段を遮断することで、不正アクセス・攻撃からサービスを守る事を特徴とする不正アクセス防御方法。
【請求項２】
請求項１の不正アクセス・攻撃からサービスを守る手段として、サービスが動作するプラットホーム自体のサービスを停止する事でサービスへのアクセスを制限する事を特徴とする不正アクセス防御方法。
【請求項３】
請求項１の不正アクセス・攻撃からサービスを守る手段として、サービスが動作するプラットホーム機能を停止させることではなく、サービスに接続するための入出力部、ネットワーク部の制御により制限する事を特徴とする不正アクセス防御。入出力部、ネットワーク部の制御として例えばネットワークポートを閉じる事でサービスへのアクセスを制限する事を特徴とする不正アクセス防御方法。
【請求項４】
請求項３の入出力部、ネットワーク部の制御とは、例えばサービスに接続するためのネットワークポートを閉鎖することでサービスへのアクセスを制限する事である。
【請求項５】
請求項１の不正アクセス・攻撃からサービスを守る手段として、サービスが動作する。
入出力部・ネットワーク部に制限をかけるのではなく、サービス自身を停止する事で不正アクセスを受けたサービスへのアクセスを制限する事を特徴とする不正アクセス防御方法。
【請求項６】
請求項５の不正アクセス防御方法として、不正アクセスを受けたサービスを停止させるのではなく、サービスの動作するプラットホームとサービスとの接続を遮断、もしくはサービスの動作するプラットホームからサービス情報を削除する事でサービスの動作するプラットホームからサービスを呼び出す事を制限することを特徴とする不正アクセス防御方法。
【請求項７】
請求項１の不正アクセス防御方法は、不正アクセス・攻撃を検知し、サービスへのアクセス手段を制限する場合、一定時間後に自動的にサービスへのアクセス受付けを再開する事を特徴とする不正アクセス防御方法。
【請求項８】
請求項１の不正アクセス防御方法は、不正アクセス・攻撃を検知し、サービスへのアクセス手段を制限する場合、サービスへのアクセスを制限する時間を、サービスが動作するプラットホームが指定する事が出来る事を特徴とする不正アクセス防御方法。
【請求項９】
請求項１の不正アクセス防御方法は、不正アクセス・攻撃を検知し、サービスへのアクセス手段を遮断する場合、サービスへのアクセスを制限する時間を、サービスが指定する事が出来る事を特徴とする不正アクセス防御方法。
【請求項１０】
請求項１のサービスの動作するプラットホームとは、例えばＨＴＴＰ  Ｓｅｒｖｅｒを指し、そのサービスとはＣＧＩプログラムであり、例えばウェッブ上のホームページ等の情報公開サービスまたは、プリンタに搭載されるＩＰＰ（Ｉｎｔｅｒｎｅｔ  Ｐｒｉｎｔｉｎｇ  Ｐｒｏｔｏｃｏｌ）サービス、やＳＯＡＰ−ＸＭＬ技術を利用したＷｅｂサービスある。
【請求項１１】
請求項１のサービスの動作するプラットホームとは、例えばオペレーションシステムであり、その場合のサービスとはオペレーションシステム上で動作するソフトウェアを指す。
【請求項１２】
請求項１のサービスの動作するプラットホームとは、例えばあるアプリケーションであり、サービスとはそのアプリケーションで提供している１機能である。
【請求項１３】
請求項６のサービスが復旧する時間はサービス側が指定しても、サービスが動作するプラットホーム側で指定してもよい。
【請求項１４】
請求項１３のサービスが復旧する時間は固定で設定するのではなく、不正アクセスを受けた合計数や不正アクセスを受ける頻度によって動的に変化させても良い。
【発明の詳細な説明】
【技術分野】
【０００１】
自身への不正アクセス・攻撃を検知した場合の不正アクセス防御手段と、不正アクセス防御手段を実行し、サービスへのアクセスを制限した場合の復旧方法に関わる分野。
【背景技術】
【０００２】
従来、サービスを利用する場合に認証を用いた利用者制限を設けているサービスでは、パスワード辞書攻撃、総当り攻撃等による不正アクセス対策として、同一アカウントが特定回数認証に失敗したことを検知すると、そのアカウントの利用を使用不可とする等のアカウント制限を設定することで不正アクセスに対処していた（例えば、特許文献１及び特許文献２）。
【０００３】
また、形態は異なるが、携帯情報端末などでは、機器に対する認証を特定回数連続で失敗した場合、携帯情報端末の電源を切断する事で不正アクセスの対策を講じていた。
【特許文献１】特開平１０−２３２９１８号公報
【特許文献２】特開２０００−３０８１２６号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
しかし、アカウント制限による不正アクセス対策では特定のアカウント利用者に対してのみの制限であるため、他のアカウントを利用する事で再度パスワード辞書攻撃、総当り攻撃が可能なため、再度攻撃され、適当な他のアカウントでの認証が成功してしまう恐れがあった。
【０００５】
また、携帯情報端末のように自身の電源を切断するという手段も存在したが、この場合は自身で提供する全てのサービスも停止となり、さらにこの場合は誰かしらが再度電源を再投入しない限りサービスが利用可能に復帰する事はなかった。
【課題を解決するための手段】
【０００６】
課題を解決するために本発明では３つの手段を用いる。１つ目の手段としてはサービスが動作するプラットホーム自体を一定時間停止する事で、同一プラットホーム上で動作する全てのサービス全てを保護する。
【０００７】
２つ目の手段としてはサービスの動作するポートを一定時間クローズする。これにより同一ポートで動作する全てのサービスを保護する事ができる。また、同一プラットホームの異なるポートで動作するサービスは影響を受けることなく、サービスを提供しつづける事ができる。
【０００８】
３つ目の手段としてはサービスのみ停止する手段である。この場合は不正アクセスを受けたサービスのみ停止するため、同一プラットホーム、同一ポートで動作するサービスは影響を受けることなく、サービスを提供しつづける事ができる。
【０００９】
また、これらの不正アクセス防御手段はたとえ不正アクセスを受けて、不正アクセス防御プログラムが動作した場合でも、一定時間経過後に不正アクセスをうける前の状態に自動的に復旧する事ができるため、管理者による復旧作業をする必要がなく、管理者の手間を省く事ができる。
【００１０】
（具体例）
たとえば、本発明の不正アクセス防止機能とＨＴＴＰサーバー上のＣＧＩとして動作する情報公開サービス（８０番ポートで動作）とプリントサービス（６３１番ポートで動作）を提供する装置が存在し、それらはそれぞれ認証によるサービス利用制限をしているとする。この情報公開サーバーに対し、悪意のある第三者が不正アクセスによる進入を繰り返し試みた場合、情報公開サービスは同一クライアントが頻繁に認証を試み、失敗していることから不正アクセスを受けていると認識し、進入を防ぐために自分のサービスにアクセスするための８０ポートを５分間閉じることをＨＴＴＰサーバーに指示し、ＨＴＴＰサーバーに処理を実行してもらう事で、悪意のある第三者は情報公開サービスにアクセスする事が出来なくなるため、情報公開サービスは不正アクセスを防ぐ事が可能となる。この場合は同一ＨＴＴＰサーバーで動作するプリントサービスは動作可能であり、影響を受けることはない。その後情報公開サービスに指定されたサービス停止時間である５分間が経過するとＨＴＴＰサーバーは再度８０番ポートを接続受付け可能とし、情報公開サービスの提供は再開される。
【発明の効果】
【００１１】
本発明によりサービスが自身に対する不正アクセス・攻撃を検知すると自身へのアクセスを一定時間遮断する事で不正アクセス・攻撃から身を守る事を特徴とする。また、自身へのアクセスの遮断の仕方を幾つかのレベルに分類して動作させる事で、各サービスの都合にあわせたアクセス制御を行う事が出来る。
【発明を実施するための最良の形態】
【００１２】
以下、本発明の実施の形態を図面に基づいて詳細に説明する。
【００１３】
（図表の説明）
（システム構成図（図１））
図１は本発明である不正アクセス防御方法を備えた不正アクセス防御システムの構成例である。本システムは認証を必要とするサービスを提供するサーバー装置１００、１１０内部に存在し、一般的なサーバーＰＣ（１００）、またはサービスを提供するデバイス１１０で動作する。クライアント２００、２１０、２２０は不正アクセス防御システムを搭載する装置１００、１１０のクライアントとなりうる装置である。
【００１４】
（不正アクセス防御システム装置内部構成図（図２））
図２は１００の内部構成図である。不正アクセス防御システム装置の内部構成は一般的なＰＣと同様である。
【００１５】
（不正アクセス防御システムモジュール構成図（図３））
図３は不正アクセス防御システムのモジュール構成例である。
【００１６】
１００は不正アクセス防御機能を具備した装置であり、外部に対してサービスを公開している。Ｐ１１０は本システムで動作するプラットホーム上のサービスに外部からアクセスするための入出力部であり、例えばＮｅｔｗｏｒｋインタフェース部である。Ｐ１２０は不正アクセス防御機能を具備した装置１００が提供するサービスの動作するプラットホームであり、例えばＨＴＴＰ  Ｓｅｒｖｅｒやオペレーションシステム（ＯＳ）である。Ｐ１３０〜Ｐ１５０は不正アクセス防御機能を具備した装置１００が提供するサービスでありこれらのサービスの利用に関しては認証を必要とし、プラットホームＰ１２０上で動作する。これらのサービスは認証によるアクセス制御を行う事を可能とする。
【００１７】
（サービス動作プラットホーム停止フロー（図４））
図４は認証を用いたアクセス制御を利用するサービスＡ（Ｐ１３０）が自身への不正アクセスを検知し、サービスＡ（Ｐ１３０）、サービスＢ（Ｐ１４０）、サービスＣ（Ｐ１５０）が動作するプラットホームＰ１２０の機能を停止させ、不正アクセスを受付けなくすることで、不正アクセスから防御するフローである。
【００１８】
例として、クライアント２００が悪意のあるクライアントであり、不正アクセス防御システム１００に不正なアクセス（辞書攻撃）を試みようとした場合について記す。
【００１９】
クライアント２００はサービスＡ  −Ｐ１３０−に不正アクセスを試みようとＦ１０００で適当な認証を試みる。サービスＡでは受信した認証情報を用い、サービスＡの管理するアカウント情報を検査Ｆ１０１０し、その情報と一致しない事から認証失敗応答Ｆ１０２０を返す。同様な処理が何回か繰り返され、サービスＡは認証Ｆ１０４０で同一システム、又はアカウントが特定回数連続で認証に失敗した事から、自身への不正アクセス・攻撃をうけている事を認識し、サービスＡ、サービスＢとサービスＣの動作するプラットホームＰ１２０に対してプラットホーム停止命令を出すＦ１０７０。プラットホーム停止命令を受信したプラットホームＰ１２０はタイマーＰ１６０に一定時間後に通知してもらうように指示を出しＦ１０８０、現在動作している機能を停止するＦ１０８０。機能停止とは、たとえば、プラットホームがＨＴＴＰ  Ｓｅｒｅｒの場合、現在オープンしているポートを全て閉じ、更に現在動作中の処理を中止し、タイマーから指示があるまでＳｕｓｐｅｎｄ状態に移行する。または、要求を受付けた場合でも何の処理もしないことである。プラットホームＰ１２０から指示を受けたタイマーＰ１６０は指示された時間だけカウントを開始するＦ１１００。Ｆ１０９０でサービスの動作するプラットホーム自体の機能が停止した事から、クライアントからのサービスＡ、サービスＢ、サービスＣへのアクセス（Ｆ１１００〜Ｆ１１２０）は不可能となる。タイマーＰ１６０は一定時間を計測すると、プラットホームＰ１２０に対して指定時間経過した事を通知する。プラットホームはタイマーより時間の経過、またはサービス再開要求を通知Ｆ２１４０されると、Ｆ２０９０で停止した機能を再開し、再度サービスＡ、サービスＢ、サービスＣへのアクセスを可能とさせる。
【００２０】
（サービス接続ポートクローズフロー（図５））
図５は認証を用いたアクセス制御を利用するサービスＡ（Ｐ１３０）が不正アクセスを検知し、サービスＡ（Ｐ１３０）にアクセスするためのポート（８０番ポート）を閉鎖する事で、サービスＡ（Ｐ１３０）に対しての不正アクセスから防御するフローである。
【００２１】
例として、クライアント２００が悪意のあるクライアントであり、不正アクセス防御システムＰ１００に不正なアクセス（辞書攻撃）を試みようとした場合について記す。
【００２２】
クライアント２００はサービスＡ（Ｐ１３０）に不正アクセスを試みようとＦ２０００で適当な認証を試みる。サービスＡ（Ｐ１３０）では受信した認証情報を用い、サービスＡ（Ｐ１３０）の管理するアカウント情報を検査Ｆ２０１０し、その情報と一致しない事から認証失敗応答Ｆ２０２０を返す。同様な認証が何回か繰り返され、サービスＡ（Ｐ１３０）は認証Ｆ２０４０で同一システム、又はアカウントが特定回数連続で認証に失敗した事から、自身への不正アクセス・攻撃をうけている事を認識する。その場合、サービスＡ（Ｐ１３０）は不正アクセスを防ぐために、自身の動作するポート（８０番）のクローズ要求をプラットホームＰ１２０に対して指示するＦ２０７０。プラットホーム停止命令を受信したプラットホームＰ１２０はタイマーに一定時間後に通知してもらうように指示を出し（Ｆ２０８０）、現在オープンしているポートをクローズする（Ｆ２０９０）。プラットホームＰ１２０から指示を受けたタイマーＰ１６０は指示された時間だけカウントを開始する  Ｆ２１００。Ｆ２０８０でサービスＡの動作するポートが削除された事から、サービスＡと、サービスＡと同じポート（８０番）でサービスを提供していたサービスＢへの要求は受付けなくなる。ただしサービスＣは異なるポートで動作するため、接続可能であるＦ２１０１〜Ｆ２１３０。タイマーＰ１６０は一定時間を計測すると、プラットホームＰ１２０に対して指定時間の経過、または機能再開要求を発行する。プラットホームはタイマーより機能再開要求を受け取ると、Ｆ２０８０で停止した機能を再開しＦ２１５０、再度サービスＡ（Ｐ１３０）、サービスＢ（Ｐ１４０）、サービスＣへのアクセスが可能となる。
【００２３】
（サービス停止フロー（図６））
図６は認証を用いたアクセス制御を利用するサービスＡ（Ｐ１３０）が不正アクセスを検知し、サービスＡ（Ｐ１３０）を停止することで、サービスＡ（Ｐ１３０）に対しての不正アクセスから防御するフローである。
【００２４】
例として、クライアント２００が悪意のあるクライアントであり、不正アクセス防御システムＰ１００に不正なアクセス（辞書攻撃）を試みようとした場合について記す。クライアント２００はサービスＡ（Ｐ１３０）に不正アクセスを試みようとＦ３０００で適当な認証を試みる。サービスＡ（Ｐ１３０）では受信した認証情報を用い、サービスＡ（Ｐ１３０）の管理するアカウント情報を検査Ｆ３０１０し、その情報と一致しない事から認証失敗応答Ｆ３０２０を返す。同様な認証が何回か繰り返され、サービスＡ（Ｐ１３０）は認証Ｆ３０４０で同一システム、又はアカウントが特定回数連続で認証に失敗した事から、自身への不正アクセス・攻撃をうけている事を認識する。その場合、サービスＡ（Ｐ１３０）は不正アクセスを防ぐために、自身のサービスを停止するよう、サービスの動作するプラットホームにその趣旨を通知するＦ３０７０。プラットホームＰ１２０から指示を受けたタイマーＰ１６０は指示された時間だけカウントを開始する。その後、サービス動作プラットホームはサービスＡの状態を停止状態に移行させ、サービスＡへの接続を受付けなくするＦ３０９０。これによりクライアントからサービスＡへの接続は遮断されるが、サービスＢ、サービスＣへの接続は制限される事はない。タイマーＰ１６０は指定された時間を計測すると、プラットホームＰ１２０に対して指定時間の経過を通知する。その通知によりサービス動作プラットホームＰ１２０は、Ｆ３０９０で停止したサービスＡを再開しサービスＡ（Ｐ１３０）へのアクセスが可能となる。
【図面の簡単な説明】
【００２５】
【図１】システム構成図
【図２】不正アクセス防御システム内部構成図
【図３】不正アクセス防御システムモジュール構成図
【図４】サービス動作プラットホーム停止フロー
【図５】サービス接続ポートクローズフロー
【図６】サービス停止フロー
【符号の説明】
【００２６】
１００、１１０  不正アクセス防御機能を具備した装置
２００、２１０、２２０  サービスを利用するクライアント
３００  ネットワーク
１２００〜１２１２  不正アクセス防御システム装置内部構成
Ｐ１１０  入出力部（ネットワーク部）
Ｐ１２０  サービスの動作プラットホーム
Ｐ１３０〜１５０  認証を必要とするサービス
Ｐ１６０  タイマー
Ｆ１０００〜Ｆ３１６０  シーケンス
【図１】
2005202711.tif 000003
【図２】
2005202711.tif 000004
【図３】
2005202711.tif 000005
【図４】
2005202711.tif 000006
【図５】
2005202711.tif 000007
【図６】
2005202711.tif 000008