(57)【要約】【課題】  アクセス履歴はOS、DBMS等それぞれのソフトに対して各種存在するが、収集したログから不正アクセスを検知し、情報流出の早期発見、未然防止のための機能は不十分であった。【解決手段】  アクセスログの収集機能に加えて不正アクセスパターンを設定・管理する機能を加えてアクセスログから不正ユーザを検出するとともに、当該不正アクセスユーザの操作に対してさらに詳細のログ出力を実施したりアクセスごとに運用管理者にメール通知する機能を加える事で機密情報漏洩の拡大防止・未然防止につなげる事ができる。【選択図】  図１
2007148946.tif 000002
【特許請求の範囲】
【請求項１】
複数の利用者が利用者端末からアクセス可能なデータベースに格納された情報に対する不正アクセスを検知する不正アクセス検知方法において、
予め、前記データベースに対する各利用者のアクセスの内容を示すアクセスパターンログを記憶装置に記憶しておき、
不正と判断するアクセスパターンである不正パターンを前記記憶装置に記憶しておき、
記憶された前記不正パターンに対応する、前記アクセスパターンログを抽出し、
抽出されたアクセスパターンログの特徴を示す不正アクセス情報を算出し、
前記データベースに対するアクセスを監視し、算出された不正アクセス情報を満たすアクセスを検知することを特徴とする不正アクセス検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、情報資産への不正アクセス／情報漏洩に対する監査技術に関する。その中でも特に、情報資産へのアクセス履歴を識別し、監査者の想定外の履歴より、不正なアクセスを検知し情報資産の流出を早期に発見するための監査支援技術に関する。
【背景技術】
【０００２】
従来、情報資産の漏洩対策として、アクセス制御機能がある。イントラネットや企業内LANでの公開範囲を限定するためにユーザIDによるアクセス制御を行うケースが多い。アクセス制御しないケースではアクセス履歴を取得しておき、システム内の情報資産へのアクセスを常時監視し、情報漏洩の抑止効果となっている。
【０００３】
情報漏洩に関する監査をする場合、監査手段として、特許文献１がある。本方法ではシステム的に監査を行うことにより監査結果をまとめて対策を提示することはできるが、監査結果により、自システムの監査内容を見直し、より精巧な監査をおこなっていく仕組みまでは持っていない。また、アクセス履歴の監査については言及していない。アクセス履歴の監査はとくに利用者数や監査対象情報資産数が大きい場合、システム構築時設定項目が膨大となり、監査作業が煩雑になる。
【０００４】
【特許文献１】特開２００４−２５９１９７号公報
【発明の開示】
【発明が解決しようとする課題】
【０００５】
アクセス履歴を取得し、定期監査を慣行することにより情報漏洩の可能性を排除していくことはできても、本質的な未然阻止にはならない。なぜなら企業内情報資産は多く、情報資産データの複製も容易である。情報資産や情報資産から作成された副データに対するアクセスは履歴データとして膨大な量となりうるため、情報資産や情報資産の利用者および利用手段の数によっては履歴情報が膨大になり、分析の作業が煩瑣となり、情報流出の迅速な発見／未然対応を困難にしているという問題があった。
【課題を解決するための手段】
【０００６】
そこで、本発明では、以下の処理を行う。（１）予め、対象のシステムのデータベースに対する各利用者のアクセスの内容を示すアクセスパターンログを記録しておく。（２）また、不正と判断するアクセスパターン（不正パターン）を記憶しておく。（３）記憶された不正パターンに対応する、前記アクセスパターンログを抽出する。（４）抽出されたアクセスパターンログの特徴（パターンそのもの、ユーザの特定、機器）を示す不正アクセス情報を算出する。（５）前記データベースに対するアクセスを監視し、算出された不正アクセス情報を満たすアクセスを検知する。
【０００７】
なお、（２）の不正パターンの記憶については、その条件を規定してもよい。例えば、アクセスされた時間が何時以上、などが含まれる。
【０００８】
また、本発明には、以下の態様も含まれる。監査手段を監査者によりあらかじめパターン化して決定しておき、システムに入力しておくことにより、履歴の分析作業をバッチ処理化し、また、監査の過程で抽出した脅威に対抗する方法を選択し、システムを改修して監査レベルを調整したり、監査者あるいはシステム管理者に情報提供したりして人手による監査作業を低減する。より具体的には、あらかじめ予想できる脅威をテーブルに表現しておき、そのテーブル情報をもとに監査して所定の条件を満たす履歴を抽出し、より詳細な監査データを取得し、監査者あるいはシステム管理者の人による監査を行うためのデータを提供する機能を提供する。
【０００９】
さらに、本発明には以下の態様も含まれる。システムで取得したアクセス履歴より、アクセス履歴が不正なアクセスによるものまたは不正なアクセスによるものでないことを、あらかじめ登録した記載事項とのマッチングにより分析する。また、この分析により不正アクセス履歴を抽出することによって発見された不正利用者や不正利用端末に対する監査を強化する仕組み。さらに、監査を強化するために、さらに詳細な履歴を取得するようにシステム設定を変更する仕組み。また、同時に不正アクセスと考えられる履歴を発した利用者を通知するもの。
【発明の効果】
【００１０】
本発明によれば、分析対象や分析手段の数が非常に多い場合でも、監査を容易にすることを可能にし、また情報処理システムでの簡易的な監査を可能とし、監査で抽出された不審なアクセスに対する監査強化を迅速に行うことができ、監査を容易にすることが可能になる。
【発明を実施するための最良の形態】
【００１１】
本発明の実施の形態について、図面を用いて説明する。
本発明が対象とするシステムは、図２に示すとおりであり、LANなどのネットワーク上のあるノード（サーバ）にファイルやDBとして格納された情報資産と、情報資産を参照／更新している利用者と、ネットワーク上の情報資産にアクセスする場合に用いる利用端末、システム全体を管理するシステム管理者と管理に使用するシステム管理端末、データ化した情報資産へのシステム的なアクセスを実現する為のアクセス実現機能を含むものとし、各々の個を特定できるIDがあらかじめ付与してあるものとする。ここで、ＩＤおよびパスワードを利用者に入力させ、この入力内容と予めシステム側に格納されているＩＤ、パスワードが一致した場合、アクセスを許可する構成としている。ここで、これらのＩＤ、パスワードの代わりに、生体情報（指静脈、手のひら静脈、指紋、虹彩、声紋など）を用いてもよい。これら生体情報は、ＩＤ、パスワードと共に用いてもよい。つまり、生体情報とＩＤ，パスワードが一致した場合、アクセスを許可する構成も本実施例に含まれる。以下，図１および６に示すフローチャートに従って、本発明の一実施例の処理の流れを説明する。
【００１２】
情報資産へのアクセス実現機能には、使用時にアクセス履歴取得機能を追加しアクセス履歴取得処理（00201）を実現する。情報資産へのアクセスは履歴として、日付、時刻、利用者ID、利用端末ID、アクセス情報資産IDを含むデータとしてディスクに書き込まれる。
【００１３】
また、生体情報を用いた場合、この生体情報もアクセス履歴として含まれる。なお、アクセス履歴として含まれる生体情報は、利用者から入力されたものおよび予めシステム側に格納されているもの少なくとも一方でよい。ここで、システム側に格納された生体情報としては，利用者が管理するＩＤカード（ＩＣカード等）に格納されたものが含まれる。さらに、利用者から入力される生体情報に変換を施して認証を行う場合、この変換された生体情報を、アクセス履歴に含ませてもよい。
【００１４】
また、利用端末は起動時、操作履歴取得機能も起動するように設定してあり、操作履歴は各利用端末上で操作履歴ファイル（D002）に出力されている。操作履歴ファイルはパス指定により利用端末上のあらかじめ決められた場所に格納し、システム管理者がアクセスできるようになっている。指定したパスはDBデータとして管理者側でサーバに格納しテーブルとして参照できる。当該テーブルは利用端末IDとネットワークID、操作履歴パスを持つものとする。また、操作履歴ファイルはディスクを圧迫しないよう、定期的に上書きする。各利用端末は、システム上端末アクセス機能からアクセスできるものとする。
【００１５】
アクセス履歴は日付、時刻、利用者ID、利用端末ID、アクセス実現機能ID、アクセス情報資産IDを持ち、データの区切り、レコードの区切りが明確で、レコード毎に各データのマッチング処理が出来るような文字列が記載されているファイルである。
【００１６】
アクセス履歴の監査条件をシステム管理者があらかじめ取決め、データ化しておく。具体的にはアクセスパターン入力処理（00501）としてシステム管理者があらかじめ正当なアクセスと考えるアクセスパターンをアクセスパターンテーブル（図３、T001）の入力用として、データ入力しておく。アクセスパターンは日付、時刻、利用者ID、利用端末ID、アクセス実現機能ID、アクセス情報資産IDを、アクセス履歴に書き込まれるIDと同じID体系でもつ。アクセスパターンの各項目はすべてワイルドカード指定ができる。ある項目にワイルドカード指定をしてアクセスパターンを作成した場合、その項目は任意であるものとする。
【００１７】
監査対象は、監査条件入力機能で入力したアクセスパターンにあてはまらないアクセス方法で情報資産にアクセスした場合のログとするため、監査条件の入力の際には正当なアクセスと考えられるパターンをレコードとして入力する。また、監査条件の入力は監査者が追加／修正できる機能を持つものとする。また、逆に不正アクセスパターンとして、不正なアクセスと考えられるパターンをアクセスパターンテーブルへ登録してもよい。
【００１８】
本監査処理では、アクセスパターンテーブルとアクセス履歴のレコードマッチングを行い、監査対象履歴を絞り込んでテーブル出力する処理（00701）を行う。アクセス履歴の1件1件に対し、アクセスパターンを１つずつ呼び出して、データを比較し、マッチしなかった場合は次のアクセスパターンとデータ比較を行う。すくなくとも１つのアクセスパターンに含まれるデータ項目にマッチングできたアクセス履歴レコードは監査する必要は無いものとして除外していく。
【００１９】
不正アクセスパターンをアクセスパターンテーブルに登録している場合は、逆にマッチングしたデータを抽出し、マッチングしないレコードは監査するログ用が無いものとして除外していく。
除外されなかったアクセス履歴レコードは、監査対象履歴ファイル（テーブル）（図３）に出力し、すべてのアクセス履歴のマッチング処理が完了したあと、当該ファイルレコードを監査対象として監査対象履歴テーブル（T002）に格納する。
【００２０】
監査対象履歴テーブルの利用者IDを抽出し、不正利用者データ（T003）を作成する。具体的には、監査対象履歴テーブルの利用者IDを抽出し、集約する。これに不正利用件数として利用者IDを集約した際のレコード件数をカウントしておき、利用者IDのマージ終了時にカウント値を添付する。また漏洩の恐れのある情報資産IDには、利用者IDをマージする際に、マージ処理最中のレコードのアクセス情報資産IDを全て添付し、利用者IDのマージ終了時に区切り文字を入れて羅列させたものとする。
【００２１】
不正利用者データ（D003）はファイルに出力され、出力ファイルのネットワークパスを出力したメールメッセージを、あらかじめ記憶していたテーブルに記載されたアドレスに転送する機能で監査者またはシステム管理者に転送する（01001）。メッセージを受け取った監査者またはシステム管理者はファイル出力された監査データを参照し、当該利用者に対する聞き取り調査を行うなど監査に使用する。
【００２２】
また、不正利用された端末での操作をさらに詳細に監査するために、不正利用端末で取得した操作履歴を収集し、システム管理者が確認できるようにする（01101）。
具体的には監査対象履歴テーブル（T002）に格納されたレコードの利用端末IDを抽出・集約し、不正利用端末ID一覧をサーバのメモリまたはディスクのワーク領域に出力する。不正利用された端末の操作履歴は前述しているように操作端末に操作履歴ファイル（D002）として出力されている。不正利用端末ID一覧に格納された端末IDの端末に限り操作履歴を取得する。
【００２３】
不正利用端末IDの端末に限り操作履歴を取得するには、以下のような手段で行う。操作履歴ファイルの出力先は全て利用端末テーブル（図５、T003）にて登録してあるネットワークIDと操作履歴パスから定義できるものとする。これを、操作履歴取得処理引数（D004）として引数ファイルにあらかじめ定義しておく。操作履歴取得用実行ファイルの実行時、D004で定義したパスをファイル取得コマンドに引数として渡し、実行ファイルの実行時に当該操作履歴ファイルを読み取る。操作履歴読み取り後、実行ファイルに指定したサーバディスクの格納先に、不正利用端末IDをファイル名の一部として操作履歴ファイル（D002）を格納する。
【００２４】
操作履歴ファイル（D002）をサーバに取得した場合、不正操作履歴を取得した旨、および格納先をメールメッセージにしてあらかじめ記憶していたテーブルに記載されたアドレスに転送する機能で監査者またはシステム管理者に転送する。メッセージを受け取った監査者またはシステム管理者は操作履歴データを参照し、当該データのなかに不正アクセスと認められるものが存在するかどうか確認し、当該利用者に聞き取り調査など監査を行うなどして監査に使用する。
操作履歴のなかから不正アクセスと断定できる事象を発見することが出来た場合、当該履歴に特徴があった場合、アクセスパターンテーブルに当該履歴の特徴にマッチしないパターンを追加入力することにより、次回監査の精度を上げることが可能となる。
【図面の簡単な説明】
【００２５】
【図１】本発明の実施の形態を表すフローチャートの例（その１）
【図２】本発明の実施の形態を表すシステム構成図の例
【図３】アクセスパターンテーブルの例
【図４】監査対象履歴テーブルの例
【図５】利用端末テーブルの例
【図６】本発明の実施の形態を表すフローチャートの例（その２）
【符号の説明】
【００２６】
Ｄ００１…アクセス履歴、００２０１…アクセス履歴取得機能、Ｄ００２…操作履歴
【図１】
2007148946.tif 000003
【図２】
2007148946.tif 000004
【図３】
2007148946.tif 000005
【図４】
2007148946.tif 000006
【図５】
2007148946.tif 000007
【図６】
2007148946.tif 000008