(57)【要約】【課題】不正アクセスによって行われた処理をログとして確実に残すことができる不正アクセス検知システム１０を提供する。【解決手段】ネットワークに接続されたコンピュータに対してサービスを提供するサーバ処理部２１と、サービスを提供する際に行ったイベント情報をイベントログとして格納するイベントログ格納部２２と、イベント情報をイベントログ格納部２２に格納させると共に、不正アクセス検知装置３０へ送信するログ送信部２３とを有するサーバ２０とログ送信部２３から送信されたイベント情報をバックアップログとして格納するバックアップログ格納部３２と、所定のタイミングで、イベントログとバックアップログとを比較する比較部３３と、イベントログとバックアップログとが異なる場合に、その旨をサーバ２０の管理者に通知する通知部３４とを有する不正アクセス検知装置３０とを備える。【選択図】図１
2007058639.tif 000002
【特許請求の範囲】
【請求項１】
サーバへの不正アクセスを検出する不正アクセス検出システムであって、
ネットワークに接続され、前記ネットワークを介してアクセスしてきたコンピュータに対してサービスを提供するサーバと、
前記サーバに接続されている不正アクセス検知装置と
を備え、
前記サーバは、
前記コンピュータに対するサービスの提供およびサーバ内部の制御を行うサーバ処理手段と、
前記サーバ処理手段が行った処理に応じて発生したイベントの情報をイベントログとして格納するイベントログ格納手段と、
前記発生したイベントの情報を前記イベントログ格納手段に格納させると共に、当該イベントの情報を、前記不正アクセス検知装置へ送信するイベント情報送信手段と
を有し、
前記不正アクセス検知装置は、
前記送信された前記イベントの情報をバックアップログとして格納するバックアップログ格納手段と、
予め定められたタイミングで、前記イベントログ格納手段内に格納されたイベントログと、前記バックアップログ格納手段内に格納されたバックアップログとが異なるか否かを判定する比較手段と、
前記比較手段によって、前記イベントログと前記バックアップログとが異なると判定された場合に、その旨を前記サーバの管理者に通知する通知手段と
を有することを特徴とする不正アクセス検知システム。
【請求項２】
請求項１に記載の不正アクセス検知装置であって、
前記サーバは、
前記イベントログ格納手段内に格納されたイベントログのハッシュ値を算出し、算出した前記ハッシュ値を、前記比較手段へ送信するイベントログハッシュ値送信手段をさらに有し、
前記不正アクセス検知装置は、
前記バックアップログ格納手段内に格納されたバックアップログのハッシュ値を算出して前記比較手段へ送信するバックアップログハッシュ値送信手段をさらに有し、
前記比較手段は、
前記イベントログハッシュ値送信手段から受信したハッシュ値と、前記バックアップログハッシュ値送信手段から受信したハッシュ値とを比較することにより、前記イベントログと前記バックアップログとが異なるか否かを判定すること
を特徴とする不正アクセス検知システム。
【請求項３】
請求項１または２に記載の不正アクセス検知装置であって、
前記通知手段は、
前記比較手段によって、前記イベントログと前記バックアップログとが異なると判定された場合に、その旨を記載した電子メールを、前記管理者のメールアドレス宛に送信すること
を特徴とする不正アクセス検知システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、サーバへの不正アクセスを検知する技術に関する。
【背景技術】
【０００２】
近年の情報通信技術の発展に伴って、インターネットを介した情報のやり取りが普及している。企業や官公庁等においては、インターネット上に公開したｗｅｂページを通じて情報提供や情報公開を行うことが一般的になってきている。しかし、公開されているｗｅｂページがハッカー等により改ざんされ、企業等の情報提供や情報公開が妨害される事態が発生する場合があった。
【０００３】
これを回避するために、公開しているサーバ内のｗｅｂページの原本のデータをバックアップとして格納しておき、公開しているｗｅｂページのデータとバックアップしているｗｅｂページの原本のデータとを定期的に比較することにより、ｗｅｂページが改ざんされたか否かを判定する技術が知られている（例えば、特許文献１参照）。ｗｅｂページを改ざんされたことが検出された場合には、改ざんされたｗｅｂページをバックアップしているｗｅｂページの原本で上書きすることにより、改ざん前のｗｅｂページに復元することができる。
【０００４】
【特許文献１】特開２００１−３３１３７４号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかし、ログデータは随時追記されていくため、ｗｅｂページのように変化しないデータと比較する特許文献１の方法では対応できない。
【０００６】
また、インターネットを介した企業活動の妨害には、ｗｅｂページの改ざん以外にも、ハッカー等がｗｅｂページを公開しているサーバの管理者権限を奪い、そのサーバを介して企業内のネットワークに侵入して、機密情報を流出させたり、企業内のネットワークをダウンさせたりする等により、企業活動等を妨害する手段も存在する。ｗｅｂページのデータの比較だけでは、このような企業活動の妨害行為を検出することはできない。
【０００７】
さらに、ハッカー等の中には、不正アクセスを行った後に、サーバ上に残っている、イベントやアクセスに関するログ等を消去することにより、不正アクセスの痕跡を消していくものが存在し、不正アクセスを行ったハッカーを特定することが困難になるだけでなく、不正アクセスが発生したこと自体を検知することも困難になる場合があった。
【０００８】
本発明は上記事情を鑑みてなされたものであり、本発明の目的は、不正アクセスの発生を迅速に検知すると共に、不正アクセスによって行われた処理を確実にログとして残すことができるようにすることにある。
【課題を解決するための手段】
【０００９】
上記課題を解決するために、本発明の不正アクセス検知システムは、サーバが行った処理に応じて発生したイベントに関する情報であるイベント情報を、当該処理が発生する都度、サーバ内にログとして格納すると共に、不正アクセス検知装置へ送信して不正アクセス検知装置内に格納し、予め定められたタイミングでサーバ内に格納されたイベント情報のログと不正アクセス検知装置内に格納されたイベント情報のログとを比較することにより、不正アクセスの有無を判定する。
【００１０】
また、本発明は、例えば、サーバへの不正アクセスを検出する不正アクセス検出システムであって、ネットワークに接続され、ネットワークを介してアクセスしてきたコンピュータに対してサービスを提供するサーバと、サーバに接続されている不正アクセス検知装置とを備え、サーバは、コンピュータに対するサービスの提供およびサーバ内部の制御を行うサーバ処理手段と、サーバ処理手段が行った処理に応じて発生したイベントの情報をイベントログとして格納するイベントログ格納手段と、サーバ処理手段が行った処理によってイベントが発生した場合に、当該イベントの情報をイベントログ格納手段に格納させると共に、当該イベントの情報を、不正アクセス検知装置へ送信するイベント情報送信手段とを有し、不正アクセス検知装置は、イベント情報送信手段から送信されたイベントの情報をバックアップログとして格納するバックアップログ格納手段と、予め定められたタイミングで、イベントログ格納手段内に格納されたイベントログと、バックアップログ格納手段内に格納されたバックアップログとが異なるか否かを判定する比較手段と、比較手段によって、イベントログとバックアップログとが異なると判定された場合に、その旨をサーバの管理者に通知する通知手段とを有することを特徴とする不正アクセス検知システムを提供する。
【発明の効果】
【００１１】
本発明の不正アクセス検知システムによれば、不正アクセスの発生を迅速に検知することができると共に、不正アクセスによって行われた処理を確実にログとして残すことができる。
【発明を実施するための最良の形態】
【００１２】
以下に、本発明の実施形態について、図面を参照しながら説明する。
【００１３】
図１本発明の実施形態に係る不正アクセス検知システム１０のシステム構成図である。不正アクセス検知システム１０は、メールサーバやｗｅｂサーバ、ＤＮＳサーバ等のサーバ２０および不正アクセス検知装置３０を備える。
【００１４】
複数のサーバ２０が接続されているネットワーク４４、ならびに、不正アクセス検知装置３０、複数のサーバ２０、および社内クライアント４１等が接続されているネットワーク４５は、ファイアウォール（ＦＷ）４３を介してインターネット等のネットワーク１１に接続されている。ＦＷ４３は、予め定められたフィルタリング条件に基づいて、ネットワーク４４に接続された各サーバ２０を外部ネットワーク１１に公開する。すなわち、ＦＷ４３は、外部ネットワーク１１からネットワーク４４へ所定のアクセスおよびネットワーク４４から外部ネットワーク１１への所定のアクセスを許可する。
【００１５】
一方、ＦＷ４３は、予め定められたフィルタリング条件に基づいて、ネットワーク４５に接続された不正アクセス検知装置３０、複数のサーバ２０、および社内クライアント４１等を外部ネットワーク１１から隠蔽し、ネットワーク４５から外部ネットワーク１１へのアクセスを許可するが、外部ネットワーク１１からネットワーク４５へのアクセスを遮断する。
【００１６】
ネットワーク４４に接続された各サーバ２０は、外部ネットワーク１１に接続されているＰＣ等の外部クライアント１２からＦＷ４３を介してアクセス可能であり、外部クライアント１２からの要求に応じて、予め定められたサービスを提供する。
【００１７】
また、ネットワーク４４に接続された各サーバ２０は、外部クライアント１２からの要求に応じてサービスを提供したとき、そのサービスの際に行った処理に応じて発生したイベントに関する情報であるイベント情報を、イベントログとして記録すると共に、そのイベント情報を、ＦＷ４３を介して不正アクセス検知装置３０へ送信する。
【００１８】
不正アクセス検知装置３０は、それぞれのサーバ２０から送信されたイベント情報を、それぞれのサーバ２０の識別情報に対応付けてバックアップログとして格納する。そして、不正アクセス検知装置３０は、格納しているバックアップログと、それぞれのサーバ２０に格納されているバックアップログとを、予め定められたタイミングで比較し、一致していない場合に、サーバ２０の管理者にその旨を通知する。１台の不正アクセス検知装置３０が複数のサーバ２０を管理するために、バックアップログには、それぞれのサーバ２０の識別情報が対応付けられている。
【００１９】
ここで、サーバ２０等に不正アクセスを行うハッカー等は、自身を特定される証拠を消すために、侵入したサーバ内のログを消去する場合がある。この場合、不正アクセスが発生したことを検出しても、不正アクセスした者を特定することは困難である。しかし、本発明では、それぞれのサーバ２０内で発生したイベントの情報をそれぞれのサーバ内でログとして格納する共に、外部の外部クライアント１２に対して公開されていない不正アクセス検知装置３０内にもバックアップログとして格納するので、不正アクセスを行ったハッカー等の痕跡を確実に残すことができる。
【００２０】
損害賠償や刑事訴訟等の信頼できる証拠保存手段として、コンピュータフォレンジクスという手段があるが、本発明は、コンピュータフォレンジクスの一手段として特に有効である。
【００２１】
また、サーバ内のイベントログと不正アクセス検知装置３０内のバックアップログとの差異によって不正アクセスを検出するので、ｗｅｂページの改ざんだけでなく、内部のネットワークに不正に侵入して機密情報を持ち出し、ログを改ざん・消去していくような不正アクセスも検知することができる。
【００２２】
図２は、サーバ２０の詳細な機能構成の一例を示すブロック図である。サーバ２０は、サーバ処理部２１、イベントログ格納部２２、ログ送信部２３、およびハッシュ値送信部２４を有する。
【００２３】
サーバ処理部２１は、サーバ２０特有のサービスや、通信の制御、サーバ２０内のシステムの制御等に関する処理を行う機能であり、例えば、サーバ２０がｗｅｂサーバである場合には、外部クライアント１２からのＧＥＴリクエストに応じて、予め格納しているｗｅｂコンテンツをその外部クライアント１２へ送信する等の処理を行う。
【００２４】
ログ送信部２３は、サーバ処理部２１が処理を行った場合に、その処理に応じて発生したイベントの情報を、そのイベントが発生した時刻と対応付ける。そして、ログ送信部２３は、時刻と対応付けたイベントの情報を、イベントログとしてイベントログ格納部２２に格納すると共に、不正アクセス検知装置３０へ送信する。本例において、イベントログ格納部２２は、１か月分のログを格納し、１ヶ月以上古いイベント情報に対応するログを、新しいイベント情報に対応するログで順次上書きする。
【００２５】
ハッシュ値送信部２４は、ハッシュ値の算出指示を不正アクセス検知装置３０から受信した場合に、イベントログ格納部２２からイベントログを取得する。そして、ハッシュ値送信部２４は、取得したイベントログに予め定められたハッシュ演算を施すことによって、予め定められた長さのハッシュ値を生成し、生成したハッシュ値を、不正アクセス検知装置３０へ送信する。
【００２６】
本例において、ハッシュ値送信部２４は、ハッシュ値の算出指示を受信した場合に、イベントログ格納部２２内の全てのイベントログに対するハッシュ値を算出する。
【００２７】
図３は、不正アクセス検知装置３０の詳細な機能構成の一例を示すブロック図である。不正アクセス検知装置３０は、ハッシュ値算出部３１、バックアップログ格納部３２、比較部３３、および通知部３４を有する。
【００２８】
バックアップログ格納部３２は、それぞれのサーバ２０内のログ送信部２３からイベント情報を受信して、受信したイベント情報をバックアップログとして、それぞれのサーバ２０の識別情報に対応付けて格納する。
【００２９】
本例において、不正アクセス検知装置３０は、各サーバ２０の中に組み込まれて一体に構成されてもよい。この場合、ログを転送するログ送信部２３が不要となる。また、不正アクセス検知装置３０は、インターネット側（ＷＡＮ）のネットワーク上に設けられてもよい。この場合、ＩＳＰ（Ｉｎｔｅｒｎｅｔ  Ｓｅｒｖｉｃｅ  Ｐｒｏｖｉｄｅｒ）等の第三者がログを管理するため、内部犯行に対して特に有効となる。
【００３０】
本例において、バックアップログ格納部３２は、ＣＤ−ＲやＤＶＤ−Ｒ等の、追記型であり、かつ、ＷＯＲＭ（Ｗｒｉｔｅ  Ｏｎｃｅ  Ｒｅａｄ  Ｍｅｎｙ）形式の記録媒体に記録するドライブである。他の例として、バックアップログ格納部３２は、ＣＤ−ＲＷやＤＶＤ−ＲＷ等の書き換え可能な記録媒体に記録するドライブや、ハードディスクドライブ等であってもよい。各サーバ２０と不正アクセス検知装置３０との間にＦＷ４３を介さない場合や、不正アクセス検知装置３０を各サーバ２０の中に組み込んで一体に構成された場合には、ＷＯＲＭ形式の記録媒体に記録するほうが望ましい。また、不正アクセス検知装置３０をＩＳＰ等のＷＡＮ側に設ける場合は、ＷＯＲＭ形式の記録媒体では無くとも十分に改ざん・消去から守ることができる。
【００３１】
ハッシュ値算出部３１は、比較部３３からハッシュ値の算出を指示された場合に、バックアップログ格納部３２からバックアップログを取得し、取得したバックアップログに予め定められたハッシュ演算を施すことによって、予め定められた長さのハッシュ値を生成する。そして、ハッシュ値算出部３１は、生成したハッシュ値を比較部３３へ送る。
【００３２】
比較部３３は、例えば１日の所定の時刻等の予め定められたタイミングで、ハッシュ値算出部３１およびサーバ２０内のハッシュ値送信部２４にハッシュ値の算出指示を送信する。そして、比較部３３は、そのハッシュ値の算出指示に応答して返信されたイベントログのハッシュ値とバックアップログのハッシュ値とを比較することにより、イベントログとバックアップログとが異なるか否かを判定する。
【００３３】
また、他の例として、比較部３３は、所定の開始時刻および終了時刻を、ハッシュ値の算出指示と共にハッシュ値算出部３１およびハッシュ値送信部２４へ送信することにより、イベントログとバックアップログにおいて、上記の開始時刻および終了時刻の区間のログに対するハッシュ値を算出させるようにしてもよい。
【００３４】
これにより、それぞれのサーバ２０と不正アクセス検知装置３０とで、イベント情報をログとして格納するタイミングがずれるような場合であっても、現在時刻から所定時間前より以前のログについて比較を行うことができるので、より精度よくイベントログとバックアップログとの比較を行うことができる。
【００３５】
通知部３４は、サーバ２０の管理者の連絡先を保持しており、比較部３３によってイベントログとバックアップログとが異なると判定された場合に、その旨を管理者へ連絡する。本例において、通知部３４は、サーバ２０の管理者のメールアドレスを連絡先として保持しており、イベントログとバックアップログとが異なる場合に管理者にその旨を記載した電子メールを送信する。
【００３６】
また、他の例として、通知部３４は、サーバ２０の管理者の電話番号を保持し、イベントログとバックアップログとが異なる場合に、その旨を固定のメッセージ等によって音声によって管理者に通知してもよい。
【００３７】
このように、イベントログとバックアップログとが異なる場合に、不正アクセスが発生した可能性があるとして管理者に連絡することにより、サーバ２０の管理者に不正アクセスへの対処を迅速に開始させることができる。
【００３８】
なお、本例では、イベントログのハッシュ値とバックアップログのハッシュ値とを比較することによりイベントログとバックアップログとを比較したが、他の例として、イベントログとバックアップログとをそのまま比較してもよい。これにより、不正アクセスによって削除されたイベントログに対応するバックアップログを迅速に特定することができ、サーバ２０の管理者に、不正アクセスへの対処をより迅速に開始させることができる。
【００３９】
また、本例において、イベントログのハッシュ値とバックアップログのハッシュ値とが異なる場合に、通知部３４は、その旨を記載した電子メールをサーバ２０の管理者宛に送信するが、他の例として、通知部３４は、イベントログのハッシュ値とバックアップログのハッシュ値とが異なる場合に、ＦＷ４３のフィルタリングルールを変更して、ネットワーク４４およびネットワーク４５を外部のネットワークから遮断するようにしてもよい。
【００４０】
図４は、サーバ２０の動作の一例を示すフローチャートである。例えば、電源を投入される等の所定のタイミングで、サーバ２０は、本フローチャートに示す動作を開始する。
【００４１】
まず、ログ送信部２３は、サーバ処理部２１が行った処理によってイベントが発生したか否かを判定する（Ｓ１００）。イベントが発生した場合（Ｓ１００：Ｙｅｓ）、ログ送信部２３は、イベントが発生した時刻をイベントの情報に対応付ける。そして、ログ送信部２３は、時刻が対応付けられたイベント情報をイベントログ格納部２２に格納する（Ｓ１０１）。そして、ログ送信部２３は、時刻が対応付けられたイベント情報を、不正アクセス検知装置３０へ送信し（Ｓ１０２）、再びステップ１００に示した処理を行う。
【００４２】
ステップ１００において、イベントが発生していない場合（Ｓ１００：Ｎｏ）、ハッシュ値送信部２４は、不正アクセス検知装置３０からハッシュ値の算出指示を受信したか否かを判定する（Ｓ１０３）。ハッシュ値の算出指示を受信していない場合（Ｓ１０３：Ｎｏ）、ログ送信部２３は、再びステップ１００に示した処理を行う。
【００４３】
ハッシュ値の算出指示を受信した場合（Ｓ１０３：Ｙｅｓ）、ハッシュ値送信部２４は、イベントログ格納部２２からイベントログを全て読み出す（Ｓ１０４）。そして、ハッシュ値送信部２４は、読み出したイベントログに予め定められたハッシュ演算を施すことによって、予め定められた長さのハッシュ値を生成する（Ｓ１０５）。そして、ハッシュ値送信部２４は、生成したハッシュ値を、不正アクセス検知装置３０へ送信し、ログ送信部２３は、再びステップ１００に示した処理を行う。
【００４４】
図５は、不正アクセス検知装置３０の動作の一例を示すフローチャートである。例えば、電源を投入される等の所定のタイミングで、不正アクセス検知装置３０は、本フローチャートに示す動作を開始する。
【００４５】
まず、比較部３３は、イベントログとバックアップログとを比較するタイミングか否かを判定する（Ｓ２００）。本例において、比較部３３は、１日の所定の時刻にイベントログとバックアップログとを比較する。
【００４６】
イベントログとバックアップログとを比較するタイミングでない場合（Ｓ２００：Ｎｏ）、バックアップログ格納部３２は、サーバ２０のいずれかからイベント情報を受信したか否かを判定する（Ｓ２０６）。サーバ２０のいずれからもイベント情報を受信していない場合（Ｓ２０６：Ｎｏ）、比較部３３は、再びステップ２００に示した処理を行う。
【００４７】
サーバ２０のいずれからイベント情報を受信した場合（Ｓ２０６：Ｙｅｓ）、バックアップログ格納部３２は、受信したイベント情報を、そのイベント情報を送信したサーバ２０の識別情報に対応付けて格納し（Ｓ２０７）、比較部３３は、再びステップ２００に示した処理を行う。
【００４８】
ステップ２００において、イベントログとバックアップログとを比較するタイミングである場合（Ｓ２００：Ｙｅｓ）、バックアップログ格納部３２は、ハッシュ値の算出指示をそれぞれのサーバ２０のハッシュ値送信部２４へ送信する。また、バックアップログ格納部３２は、ハッシュ値の算出指示をハッシュ値算出部３１へ送信する（Ｓ２０１）。
【００４９】
そして、ハッシュ値算出部３１は、比較部３３からのハッシュ値の算出指示に応じて、バックアップログ格納部３２からそれぞれのサーバ２０についてのバックアップログを全て読み出し、読み出したバックアップログに予め定められたハッシュ演算を施すことによって、予め定められた長さのハッシュ値を、それぞれのサーバ２０について生成する（Ｓ２０２）。
【００５０】
次に、比較部３３は、送信したハッシュ値の算出指示に応答して送信されたハッシュ値を、ハッシュ値算出部３１およびそれぞれのサーバ２０のハッシュ値送信部２４から受信し（Ｓ２０３）、受信したハッシュ値を比較することにより、それぞれのサーバ２０について、イベントログとバックアップログとが異なるか否かを判定する（Ｓ２０４）。
【００５１】
ハッシュ値が異なる場合（Ｓ２０４：Ｙｅｓ）、通知部３４は、その旨をサーバ２０の管理者へ連絡し（Ｓ２０５）、比較部３３は、再びステップ２００に示した処理を行う。本例において、通知部３４は、イベントログとバックアップログとが異なる旨を記載した電子メールを、サーバ２０の管理者のメールアドレス宛に送信する。ハッシュ値が一致した場合（Ｓ２０４：Ｎｏ）、比較部３３は、再びステップ２００に示した処理を行う。
【００５２】
以上、本発明の実施形態について説明した。
【００５３】
上記説明から明らかなように、本実施形態の不正アクセス検知システム１０によれば、不正アクセスの発生を迅速に検知することができると共に、不正アクセスによって行われた処理をログとして確実に残すことができる。
【００５４】
なお、本発明は上記の実施形態に限定されるものではなく、その要旨の範囲内で数々の変形が可能である。
【００５５】
例えば、サーバ２０内のサーバ処理部２１、ログ送信部２３、およびハッシュ値送信部２４、ならびに、不正アクセス検知装置３０内のハッシュ値算出部３１、比較部３３、および通知部３４の各機能ブロックは、ＡＳＩＣ（Application Specific Integrated Circuit）や、ＦＰＧＡ（Field Programmable Gate Array）等の集積ロジックＩＣによりハード的に実現されるものでもよく、ＤＳＰ（Digital Signal Processor）や汎用計算機等によりソフトウェア的に実現されてもよく、あるいは、部分的にハードウェアまたはソフトウェアで実現させた機能ブロックを組み合わせられていてもよい。
【００５６】
また、本実施形態では、ＦＷ４３を介して外部ネットワーク１１に公開するネットワーク４４いわゆるＤＭＺ（ＤｅＭｉｌｉｔａｒｉｚｅｄ  Ｚｏｎｅ）に各サーバ２０を接続する構成としているが、本発明はこれに限られず、他の形態として、各サーバ２０を配置するネットワーク４４をＦＷ４３を介さずに外部ネットワーク１１に接続し、ネットワーク４４とネットワーク４５とをＦＷ４３を介して接続する構成としてもよい。
【図面の簡単な説明】
【００５７】
【図１】本発明の実施形態に係る不正アクセス検知システム１０のシステム構成図である。
【図２】サーバ２０の詳細な機能構成の一例を示すブロック図である。
【図３】不正アクセス検知装置３０の詳細な機能構成の一例を示すブロック図である。
【図４】サーバ２０の動作の一例を示すフローチャートである。
【図５】不正アクセス検知装置３０の動作の一例を示すフローチャートである。
【符号の説明】
【００５８】
１０・・・不正アクセス検知システム、１１・・・外部ネットワーク、１２・・・外部クライアント、２０・・・サーバ、２１・・・サーバ処理部、２２・・・イベントログ格納部、２３・・・ログ送信部、２４・・・ハッシュ値送信部、３０・・・不正アクセス検知装置、３１・・・ハッシュ値算出部、３２・・・バックアップログ格納部、３３・・・比較部、３４・・・通知部、４１・・・社内クライアント、４３・・・ＦＷ、４４、４５・・・ネットワーク
【図１】
2007058639.tif 000003
【図２】
2007058639.tif 000004
【図３】
2007058639.tif 000005
【図４】
2007058639.tif 000006
【図５】
2007058639.tif 000007