(57)【要約】【課題】従来よりも精度よく不正アクセスを検出する。【解決手段】アクセスログ取得部１１は、ＷＥＢサーバ２０からアクセスログファイル２１を取得する。不正アクセス判別部１３は、データ記憶部１２に記憶されている情報を参照して、取得したアクセスログファイル２１に記載されているアクセスが不正アクセスである度合いを示す不正度を、異なる観点別に複数取得する。そして、不正アクセス判別部１３は、取得した複数の不正度から評価値を算出し、所定の閾値と比較することで、アクセスログファイル２１に記載されているアクセスが不正アクセスであるか否かを判別する。報知部１４は、不正アクセス判別部１３が不正アクセスを判別した場合、その旨を放置する。【選択図】図１
2013218640.tif 000002
【特許請求の範囲】
【請求項１】
特定のサーバへのアクセスが不正アクセスである度合いを示す不正度を複数の観点別に記憶する不正度記憶手段と、
所定のネットワークを介して、前記サーバから、前記サーバへのクライアントのアクセスが記録されているアクセスログを取得するアクセスログ取得手段と、
前記取得したアクセスログが示すアクセスに対応する不正度を前記複数の観点別に前記不正度記憶手段からそれぞれ取得する不正度取得手段と、
前記不正度取得手段が取得した複数の不正度から、不正アクセス判別用の評価値を算出する評価値算出手段と、
前記評価値算出手段が算出した評価値を所定の閾値と比較して、前記取得したアクセスログが示すアクセスが不正アクセスであるか否かを判別する不正アクセス判別手段と、
を備えることを特徴とする不正アクセス検出装置。
【請求項２】
前記不正アクセス判別手段が不正アクセスと判別した場合、その旨を報知する不正アクセス報知手段をさらに備える、
ことを特徴とする、請求項１に記載の不正アクセス検出装置。
【請求項３】
前記不正度記憶手段は、
前記サーバにアクセスする特定のクライアント種別毎に、不正度が設定されたクライアント別不正度テーブルと、
特定日付の特定国からのアクセス毎に、不正度が設定された日付・国別不正度テーブルと、
を備え、
前記不正度取得手段は、
前記クライアント別不正度テーブルと前記日付・国別不正度テーブルのそれぞれから、前記アクセスログが示すアクセスに対応する不正度を取得する、
ことを特徴とする、請求項１又は２に記載の不正アクセス検出装置。
【請求項４】
前記クライアント別不正度テーブルは、前記クライアント種別のサーバへのアクセス時間帯に応じた複数の不正度が設定される、
ことを特徴とする、請求項３に記載の不正アクセス検出装置。
【請求項５】
前記クライアント種別のドメインが所定の機関に登録されてからの経過日数に応じて、前記クライアント別不正度テーブルに設定されている該クライアント種別の不正度を低下させる不正度低下手段をさらに備える、
ことを特徴とする、請求項３又は４に記載の不正アクセス検出装置。
【請求項６】
前記不正アクセス判別手段が不正アクセスであると判別した場合に実際に不正アクセスであったとユーザに判断された回数をカウントし、カウントした回数が所定値に達する度に、前記不正度記憶手段に記憶されている対応する観点の不正度を増加させる不正度増加手段をさらに備える、
ことを特徴とする、請求項１乃至５の何れか１項に記載の不正アクセス検出装置。
【請求項７】
特定のサーバへのアクセスが不正アクセスである度合いを示す不正度を複数の観点別に記憶する不正度記憶ステップと、
所定のネットワークを介して、前記サーバから、前記サーバへのクライアントのアクセスが記録されているアクセスログを取得するアクセスログ取得ステップと、
前記取得したアクセスログが示すアクセスに対応する不正度を前記複数の観点別に前記不正度記憶ステップで記憶したなかからそれぞれ取得する不正度取得ステップと、
前記不正度取得ステップで取得した複数の不正度から、不正アクセス判別用の評価値を算出する評価値算出ステップと、
前記評価値算出ステップで算出した評価値を所定の閾値と比較して、前記取得したアクセスログが示すアクセスが不正アクセスであるか否かを判別する不正アクセス判別ステップと、
を備えることを特徴とする不正アクセス検出方法。
【請求項８】
コンピュータを、
特定のサーバへのアクセスが不正アクセスである度合いを示す不正度を複数の観点別に記憶する不正度記憶手段、
所定のネットワークを介して、前記サーバから、前記サーバへのクライアントのアクセスが記録されているアクセスログを取得するアクセスログ取得手段、
前記取得したアクセスログが示すアクセスに対応する不正度を前記複数の観点別に前記不正度記憶手段からそれぞれ取得する不正度取得手段、
前記不正度取得手段が取得した複数の不正度から、不正アクセス判別用の評価値を算出する評価値算出手段、
前記評価値算出手段が算出した評価値を所定の閾値と比較して、前記取得したアクセスログが示すアクセスが不正アクセスであるか否かを判別する不正アクセス判別手段、
として機能させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アクセスログを解析して不正アクセスを検出する不正アクセス検出装置、不正アクセス検出方法、及び、プログラムに関する。
【背景技術】
【０００２】
ホームページ等のＷＥＢサービスを提供するＷＥＢサーバは、インターネットを介して不特定多数のクライアントからアクセス可能である。そのため、ＷＥＢサーバは、侵入者（イントルーダ）や攻撃者（アタッカ）の攻撃対象になり易く、不正アクセスされて、無断使用されたり、破壊（クラック）されたりする等の問題が発生している。
【０００３】
また、このような不正アクセスを防ぐため、ファイアウォールが利用されている。即ち、アクセスログの履歴を監視することにより不正アクセスを発見し、不正アクセスを行ったクライアントのＩＰアドレスやＭＡＣアドレスなどの送信元情報をファイアウォール用のコンピュータ内に蓄積しておく。そして、このような送信元情報を含んだクライアントからのアクセスがあった場合、このアクセスを不正アクセスと判別し、ファイアウォールの機能で拒絶（ブロック）することが行われている（例えば、特許文献１）。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００７−１７４４０６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記のファイアウォールを用いた手法では、ＤＤＮＳ（Dynamic Domain Name Server）等を利用して一時的に取得したドメインやＩＰアドレスを利用した不正アクセスを防ぐことが困難であった。また、ＤＤｏＳ（Distributed Denial of Service）攻撃のような多数のクライアントからの攻撃があった場合、各クライアントからのアクセスは正常アクセスと判別されるため、このような攻撃を防ぐことも困難であった。
【０００６】
なお、特定のＩＰアドレスのみしかアクセスを許可しないようにする等、ファイアウォールの設定を厳しくすることで、不正アクセスを防ぐ確率を向上させることも可能である。しかし、このようにファイアウォールの設定を厳しくした場合、正常なアクセスであっても不正なアクセスとみなされてアクセスがブロックされてしまうという問題があった。
【０００７】
本発明は、上記実情に鑑みてなされたものであり、従来よりも精度よく不正アクセスを検出することができる、不正アクセス検出装置、不正アクセス検出方法、及び、プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
上記目的を達成するため、本発明の不正アクセス検出装置は、
特定のサーバへのアクセスが不正アクセスである度合いを示す不正度を複数の観点別に記憶する不正度記憶手段と、
所定のネットワークを介して、前記サーバから、前記サーバへのクライアントのアクセスが記録されているアクセスログを取得するアクセスログ取得手段と、
前記取得したアクセスログが示すアクセスに対応する不正度を前記複数の観点別に前記不正度記憶手段からそれぞれ取得する不正度取得手段と、
前記不正度取得手段が取得した複数の不正度から、不正アクセス判別用の評価値を算出する評価値算出手段と、
前記評価値算出手段が算出した評価値を所定の閾値と比較して、前記取得したアクセスログが示すアクセスが不正アクセスであるか否かを判別する不正アクセス判別手段と、
を備えることを特徴とする。
【発明の効果】
【０００９】
本発明によれば、アクセスログを解析して、当該アクセスログに対応する複数の観点別の不正度を取得する。そして、取得した複数の観点別の不正度に従って、従来よりも精度よく不正アクセスを検出することができる。
【図面の簡単な説明】
【００１０】
【図１】本発明の実施形態に係る不正アクセス検出装置を備えたシステムの構成を示す図である。
【図２】アクセスログファイルの例を示す図である。
【図３】データ記憶部に記憶されている情報を示す図である。
【図４】不正クライアントリストの例を示す図である。
【図５】アクセス許可フォルダテーブルの内容の一例を示す図である。
【図６】クライアント別不正度テーブルの内容の一例を示す図である。
【図７】日付・国別不正度テーブルの内容の一例を示す図である。
【図８】不正アクセス検出処理の動作を説明するためのフローチャートである。
【図９】不正アクセス判別処理の動作を説明するためのフローチャートである。
【発明を実施するための形態】
【００１１】
以下、本発明の実施形態について、図面を参照しながら詳細に説明する。なお、図中同一または相当部分には同一符号を付す。
【００１２】
本発明の実施形態に係る不正アクセス検出装置１０は、図１に示すように、ＷＥＢサーバ２０とＬＡＮ（Local Area Network）３０を介して接続される。ＷＥＢサーバ２０は、インターネット４０を介して不特定多数のＰＣや携帯電話等の複数のクライアント５０からアクセスされ、クライアント５０からの要求に応じて、各種のＷＥＢサービスを提供する。
【００１３】
また、ＷＥＢサーバ２０では、クライアント５０からのアクセスがある度に、当該アクセスに関する情報がアクセスログファイル２１に記録される。アクセスログファイル２１の例を図２に示す。アクセスログファイル２１には、クライアント５０からのアクセス毎にエントリ（ログ）が新規作成されて登録される。このログは、ログＩＤ、アクセス日時、クライアントＩＰアドレス、及び、アクセス先等の情報から構成される。なお、ログＩＤは、ログを一意に識別するための識別情報であり連番が自動採番される。また、アクセス先は、クライアント５０がＷＥＢサーバ２０が提供するどのサービス（フォルダ）にアクセスしたかを示す。
【００１４】
図１に戻り、本発明の実施形態に係る不正アクセス検出装置１０は、上述したＷＥＢサーバ２０内のアクセスログファイル２１を解析して、侵入者（イントルーダ）や攻撃者（アタッカ）等による不正アクセスを検出する装置である。不正アクセス検出装置１０は、ＣＰＵ（Central Processing Unit）と、ＲＯＭ（Read Only Memory）、ＲＡＭ（Random Access Memory）、ハードディスクドライブ等の記憶装置と、キーボードやマウス等の入力装置と、液晶ディスプレイ等の表示装置と、ＮＩＣ（Network Interface Card）等の通信インタフェースと、を備えたコンピュータである。不正アクセス検出装置１０は、機能的には、アクセスログ取得部１１と、データ記憶部１２と、不正アクセス判別部１３と、報知部１４と、データ設定部１５とを備える。
【００１５】
アクセスログ取得部１１は、定期的に、ＬＡＮ３０を介して、ＷＥＢサーバ２０からアクセスログファイル２１を取得する。
【００１６】
データ記憶部１２には、不正アクセス検出装置１０が不正アクセスを検出するために必要な各種の情報が記憶される。データ記憶部１２は、図３に示すように、不正クライアントリスト１２１と、アクセス許可フォルダテーブル１２２と、クライアント別不正度テーブル１２３と、日付・国別不正度テーブル１２４と、を備える。
【００１７】
不正クライアントリスト１２１は、ＷＥＢサーバ２０にアクセスした際にそのアクセスが不正アクセスとみなされるクライアント５０のＩＰアドレスのリストである。例えば、図４に示すような不正クライアントリスト１２１がある場合、ＩＰアドレス「zzz.yyy.xxx.www」からのアクセスは不正アクセスと判別される。
【００１８】
アクセス許可フォルダテーブル１２２には、ＷＥＢサーバ２０が管理するフォルダのうち、クライアント５０にアクセスを許可するフォルダ（アクセス許可フォルダ）が登録される。具体的には、アクセス許可フォルダテーブル１２２には、図５に示すように、アクセス許可フォルダに対応したシステム名と、アクセス許可フォルダにアクセスするためのＵＲＬと、アクセス許可フォルダへのパスとが対応付けられて記憶される。
【００１９】
クライアント別不正度テーブル１２３には、ＷＥＢサーバ２０へのアクセスが想定される会社や団体等のクライアント５０の種別毎に、このクライアント種別からのアクセスが不正アクセスである度合い（不正度）が記憶される。
【００２０】
具体的には、クライアント別不正度テーブル１２３には、図６に示すように、クライアント種別毎に、名称、ＩＰアドレス帯、ドメイン登録経過日数、時差、及び、不正度（平日昼間不正度、平日夜間・休日不正度）が対応付けられて記憶される。名称は、このクライアント種別に付されている名称であり、例えば会社名や団体名である。なお、必ずしも名称を設定する必要は無い。ＩＰアドレス帯は、このクライアント種別に割り当てられているＩＰアドレスの範囲である。ドメイン登録経過日数は、このクライアント種別に割り当てられているドメインがＪＰＮＩＣ（Japan Network Information Center）やＪＰＲＳ（Japan Registry Services）などに登録されてからの経過日数を表すものである。ドメイン登録経過日数は、一旦設定されると、その後は日の経過とともに自動的に更新される。時差は、このクライアント種別が海外の企業等である場合の、日本との時差を示す。また、同じクライアント種別からのアクセスであっても、休日や夜間の方が不正アクセスである可能性が高いため、不正度は、アクセスした時間に応じて、不正度（平日昼間）と不正度（平日夜間・休日）との２つが設定されている。
【００２１】
なお、図６に示すクライアント別不正度テーブル１２３で名称「Others」として登録されているクライアント種別は、登録されているクライアント種別以外のクライアント５０を示す。一般的に、取引関係にある等、信用の有るクライアント種別がクライアント別不正度テーブル１２３に登録される。従って、名称「Others」で登録されているクライアント５０は、登録されている他のクライアント種別よりも高い不正度が設定されるのが望ましい。
【００２２】
図３に戻り、日付・国別不正度テーブル１２４には、特定日に特定国からＷＥＢサーバ２０へのアクセスが有った場合の、当該アクセスが不正アクセスである度合い（不正度）が記憶される。一般に、広く知られた企業や政府機関のＷＥＢサーバに対して、特定日に特定国からＤＤｏＳ攻撃等が行われることが経験的に知られている。そこで、本実施形態の不正アクセス検出装置１０では、このような日付と国の組み合わせを予め登録しておき、不正アクセスか否かの判定に用いている。
【００２３】
具体的には、日付・国別不正度テーブル１２４には、図７に示すように、日付と、国名と、イベント名と、不正度とが対応付けられて記憶される。なお、イベント名は、この日付に付されている一般的な名称であり、必ずしも設定する必要は無い。また、不正度は、日付が示す日に国名が示す国からのＷＥＢサーバ２０へのアクセスが発生した場合の、当該アクセスが不正アクセスである度合いを示す。なお、国名「Ａｎｙ」は、国の指定がないこと、即ち、何れの国からのアクセスにも該当することを示す。また、日付「Others」は、日付・国別不正度テーブル１２４に登録されている日付以外の日付を示す。
【００２４】
図１に戻り、不正アクセス判別部１３は、アクセスログ取得部１１が取得したアクセスログファイル２１と、不正クライアントリスト１２１、アクセス許可フォルダテーブル１２２、クライアント別不正度テーブル１２３、及び、日付・国別不正度テーブル１２４に記憶されている情報とに基づいて、ＷＥＢサーバ２０への不正アクセスの有無を判別する。
【００２５】
報知部１４は、不正アクセス判別部１３が不正アクセスであると判別した場合に、その旨を電子メール等で報知する処理を行う。
【００２６】
データ設定部１５は、キーボード等の入力装置を備え、管理者からの操作を受け付け、受け付けた操作内容に応じて、データ記憶部１２に記憶されている不正クライアントリスト１２１、アクセス許可フォルダテーブル１２２、クライアント別不正度テーブル１２３、日付・国別不正度テーブル１２４内のデータや、不正アクセス検出用の後述する閾値を設定したり更新する。
【００２７】
続いて、不正アクセス検出装置１０の動作について説明する。なお、不正クライアントリスト１２１、アクセス許可フォルダテーブル１２２、クライアント別不正度テーブル１２３、及び、日付・国別不正度テーブル１２４には、図４〜図７に示す情報が格納されているものとする。不正アクセス検出装置１０では、所定期間毎（例えば、１日毎）に、図８のフローチャートに示す不正アクセス検出処理を実行する。
【００２８】
不正アクセス検出処理が実行されると、まず、アクセスログ取得部１１は、ＬＡＮ３０を介して、ＷＥＢサーバ２０からアクセスログファイル２１を取得する（ステップＳ１１）。
【００２９】
続いて、不正アクセス判別部１３は、取得したアクセスログファイル２１の全てのログについて、不正アクセスの有無を判別したか否かを判別する（ステップＳ１２）。例えば、前回の不正アクセス検出処理以降、クライアント５０からＷＥＢサーバ２０へのアクセスが無い場合、アクセスログファイル２１は更新されない。従って、この場合、取得したアクセスログファイル２１の全てのログで不正アクセスの有無が判別されており（ステップＳ１２；Ｙｅｓ）、不正アクセス検出処理は終了する。
【００３０】
一方、取得したアクセスログで不正アクセスを判別していないログが有る場合（ステップＳ１２；Ｎｏ）、不正アクセス判別部１３は、そのログを１つ選択する（ステップＳ１３）。
【００３１】
そして、不正アクセス判別部１３は、選択したログが示すアクセスが不正アクセスであるか否かを判別する不正アクセス判別処理を実行する（ステップＳ１４）。
【００３２】
不正アクセス判別処理の詳細について、図９のフローチャートを用いて説明する。不正アクセス判別処理が開始されると、まず、不正アクセス判別部１３は、選択したログのクライアントＩＰアドレスが、不正クライアントリスト１２１に登録されているか否かを判別する（ステップＳ１４１）。
【００３３】
クライアントＩＰアドレスが不正クライアントリスト１２１に登録されている場合（ステップＳ１４１；Ｙｅｓ）、不正アクセス判別部１３は、不正アクセスが有ったものと判別し（ステップＳ１４２）、不正アクセス判別処理は終了する。なお、実際には、図示せぬファイアウォール等で、不正クライアントリスト１２１に登録されているＩＰアドレスからのアクセスはブロックされる。従って、仕様によっては、アクセスログファイル２１にログが記録されないケースもある。
【００３４】
一方、クライアントＩＰアドレスが不正クライアントリスト１２１に登録されていない場合（ステップＳ１４１；Ｎｏ）、不正アクセス判別部１３は、選択したログが示すアクセス先が、アクセス許可フォルダテーブル１２２に登録されているアクセス許可フォルダであるか否かを判別する（ステップＳ１４３）。
【００３５】
アクセス先がアクセス許可フォルダ以外である場合（ステップＳ１４３；Ｎｏ）、不正アクセス判別部１３は、不正アクセスが有ったものと判定し（ステップＳ１４２）、不正アクセス判別処理は終了する。なお、実際には、図示せぬファイアウォール等で、アクセス許可フォルダ以外のフォルダへのアクセスはブロックされる。従って、仕様によっては、アクセスログファイル２１にログが記録されないケースもある。
【００３６】
アクセス先がアクセス許可フォルダである場合（ステップＳ１４３；Ｙｅｓ）、不正アクセス判別部１３は、クライアント別不正度テーブル１２３から、選択したログに対応するアクセスの不正度を取得する（ステップＳ１４４）。具体的には、アクセス判定部は、選択したログが示すクライアントＩＰアドレスでクライアント別不正度テーブル１２３を検索して、対応するクライアント別不正度テーブル１２３のエントリを特定する。そして、不正アクセス判定部１３は、選択したログのアクセス日時（クライアント元が海外の場合は時差を考慮した現地日時）から、アクセスした時間及び曜日が、平日昼間又は平日夜間・休日の何れかに該当するかを判別し、特定したクライアント別不正度テーブル１２３のエントリから、判別した時間帯及び曜日に対応する不正度を取得すればよい。
【００３７】
例えば、図６に示すクライアント別不正度テーブル１２３から、図２に示すアクセスログファイル２１のログＩＤ「００００１」のログに対応するアクセスの不正度を取得する場合を考える。この場合、このログのクライアントＩＰアドレス「111.111.111.111」を含むＩＰアドレス帯を有する、名称「○○株式会社」のエントリがクライアント別不正度テーブル１２３から特定される。また、このログのアクセス日時「1/Feb/2012:20:00:00」から、平日夜間のアクセスであることがわかる。従って、特定した名称「○○株式会社」のエントリから、平日夜間・休日の不正度「５」が取得される。
【００３８】
また、例えば、図６に示すクライアント別不正度テーブル１２３から、図２に示すアクセスログファイル２１のログＩＤ「００１００」のログに対応するアクセスの不正度を取得する場合を考える。この場合、このログのクライアントＩＰアドレス「222.222.222.222」を含むＩＰアドレス帯を有するクライアント別不正度テーブル１２３のエントリは無いため、名称「Others」のエントリが特定される。また、このログのアクセス時間「2/Feb/2012:08:00:00」から、平日昼間のアクセスであることがわかる。従って、特定した名称「Others」のエントリから、平日昼間の不正度「１０」が取得される。
【００３９】
図９に戻り、続いて、不正アクセス判別部１３は、日付・国別不正度テーブル１２４から、選択したログに対応するアクセスの不正度を取得する（ステップＳ１４５）。具体的には、不正アクセス判定部１３は、選択したログのアクセス日時からアクセス日付、クライアントＩＰアドレスからアクセスのあった国名を取得する。そして、不正アクセス判定部１３は、取得したアクセス日付と国名とで日付・国別不正度テーブル１２４を検索して対応するエントリを特定し、対応する不正度を取得すればよい。
【００４０】
例えば、図７に示す日付・国別不正度テーブル１２４から、図２に示すアクセスログファイル２１のログＩＤ「００００１」のログに対応するアクセスの不正度を取得する場合を考える。この場合、このログのアクセス日時「1/Feb/2012:20:00:00」から、アクセス日付が２月１日とわかる。また、このログのクライアントＩＰアドレス「111.111.111.111」は、○○国からのアクセスを示すものとする。従って、日付「２月１日」、国名「○○国」を有する、イベント名「会社創立記念日」のエントリが、図７に示す日付・国別不正度テーブル１２４から特定される。そして、この特定されたエントリから、不正度「２０」が取得される。
【００４１】
また、例えば、図７に示す日付・国別不正度テーブル１２４から、図２に示すアクセスログファイル２１のログＩＤ「００１００」のログに対応するアクセスの不正度を取得する場合を考える。この場合、このログのアクセス日時「2/Feb/2012:08:00:00」から、アクセス日付が２月２日とわかる。ここで、図７に示す日付・国別不正度テーブル１２４には、日付「２月２日」が登録されていない。従って、この場合、図７に示す日付・国別不正度テーブル１２４から日付「Others」を有するエントリが特定され、そのエントリから、不正度「１」が取得される。
【００４２】
図９に戻り、続いて、不正アクセス判別部１３は、ステップＳ１４４でクライアント別不正度テーブル１２３から取得した不正度と、ステップＳ１４５で日付・国別不正度テーブル１２４から取得した不正度とを乗算した不正アクセス判定用の評価値を算出する（ステップＳ１４６）。
【００４３】
続いて、不正アクセス判別部１３は、算出した評価値が、所定の閾値以上であるか否かを判別する（ステップＳ１４７）。なお、閾値は「１００」であるとして、以下説明する。
【００４４】
評価値が閾値未満である場合（ステップＳ１４７；Ｎｏ）、不正アクセス判別部１３は、選択したログが示すアクセスは、正常なアクセスであると判別して（ステップＳ１４８）、不正アクセス判別処理は終了する。
【００４５】
一方、評価値が閾値以上である場合（ステップＳ１４７；Ｙｅｓ）、不正アクセス判別部１３は、選択したログが示すアクセスは、不正アクセスであると判別して（ステップＳ１４２）、不正アクセス判別処理は終了する。
【００４６】
例えば、前述の例では、ログＩＤ「００００１」のログに対応するアクセスの不正度として、クライアント別不正度テーブル１２３からは不正度「５」、日付・国別不正度テーブル１２４からは不正度「２０」が取得された。従って、これらを乗算した評価値「１００」が算出される。算出された評価値「１００」は閾値「１００」以上であるため、ログＩＤ「００００１」のログに対応するアクセスは不正アクセスと判別される。
【００４７】
また、前述の例では、ログＩＤ「００１００」のログに対応するアクセスの不正度として、クライアント別不正度テーブル１２３からは不正度「１０」、日付・国別不正度テーブル１２４からは不正度「１」が取得された。これらを乗算すると評価値「１０」が算出される。算出された評価値「１０」は閾値「１００」未満であるため、ログＩＤ「００１００」のログに対応するアクセスは正常アクセスと判別される。
【００４８】
図８に戻り、不正アクセス判別処理で不正アクセスが有ったものと判別した場合（ステップＳ１５；Ｙｅｓ）、報知部１４は、不正アクセスが有ったことをユーザに報知するための処理を行う（ステップＳ１６）。例えば、報知部１４は、図示せぬ表示部に不正アクセスが有ったこととそのアクセス情報を示すアラート画面を表示したり、図示せぬスピーカーから警告音を出力したり、ユーザ（管理者）宛に不正アクセスが有ったこととそのアクセス情報を通知する電子メールを送信する等の処理を行う。
【００４９】
不正アクセス判別処理で不正アクセスが無いと判別された場合（ステップＳ１５；Ｎｏ）、又は、ステップＳ１６で不正アクセスを報知した後、ステップＳ１２に処理は戻り、未処理のログについて、不正アクセスの有無を判別して、不正アクセスが有った場合にその旨を報知する処理が繰り返される（ステップＳ１３〜ステップＳ１６）。そして、取得したアクセスログファイル２１の全てのログで不正アクセスの有無が判別された場合（ステップＳ１２；Ｙｅｓ）、不正アクセス検出処理は終了する。
【００５０】
このように、本実施形態によれば、アクセスログファイルに記載されているログが示すアクセスが不正アクセスであるか否かを判別する際に、複数の異なる観点別に不正度（クライアント種別に着目した不正度と、アクセス日付・国に着目した不正度）が取得され、複数の不正度から算出された評価値が閾値と比較されて不正アクセスの有無が判別される。従って、様々な観点を考慮に入れて不正アクセスの有無を判別できるため、従来よりも精度よく不正アクセスを検出することが可能となる。
【００５１】
例えば、送信元のＩＰアドレスから画一的に不正アドレスの有無を判別する従来の手法では、許可されているＩＰアドレスを有する企業からのアクセスは、全て正常なアクセスと判断されることになる。従って、当該企業と関係する企業等からの不正アクセスは検出することが困難であった。これに対し本発明では、不正度を適切に設定することで、ＩＰアドレスから特定されるある程度信用できる既知の企業からのアクセスであっても、夜間からのアクセスであった場合や特定日付からのアクセスであった場合に、不正アクセスとして検出することが可能となる。このため、関係企業等からの不正アクセスも検出することが可能となる。
【００５２】
また、本実施形態では、アクセスログファイル２１から不正アクセスが検出されると、その旨が報知されるため、ユーザは容易に不正アクセスが有ったことを知ることが可能となる。
【００５３】
なお、本発明は、上記実施形態に限定されず、本発明の要旨を逸脱しない部分での種々の変更は勿論可能である。
【００５４】
例えば、一般的に、ドメイン登録経過日数が長いほど、そのクライアント種別の信頼性は高いと考えられる。従って、クライアント別不正度テーブル１２３に記憶されているクライアント種別の不正度の値を、ドメイン登録経過日数が所定期間経過する度に小さくする（例えば、マイナス１する）ようにしてもよい。このようにすることで、ドメイン経過日数が不正度に反映されるため、不正度をより正確に設定することが可能となる。
【００５５】
また、不正アクセス検出処理で不正アクセスと判断されて報知がなされた際に、実際に不正アクセスが有ったか否かをユーザに評価してもらい、不正アクセスが有った場合にユーザに特定のボタンを押下してもらう等して、その回数を、不正アクセスと判断したクライアント種別や日付毎にカウントしてデータ記憶部１２に記憶してもよい。そして、カウントした値が所定値に達する毎に、対応する、クライアント種別のアクセスの不正度、又は、日付・国別のアクセスの不正度を所定値だけ大きくする（例えば、プラス１する）ようにしてもよい。このようにすることで、ユーザによる実際の評価の実績も反映された不正度となるため、不正度をより正確に設定することが可能となる。
【００５６】
また、本実施形態では、クライアント種別のアクセスの不正度と、日付・国別のアクセスの不正度とから、不正アクセスの有無を判断するための評価値を算出した。しかし、これら以外の様々な観点からアクセスの不正度を取得して、評価値を算出してもよい。例えば、アクセスログファイル２１にアクセスの滞在時間も記録されているような場合には、アクセス滞在時間に応じた不正度を定義することも可能である。例えば、極端に短い滞在時間（１秒以下）や、長すぎる滞在時間（１時間以上）の場合に大きな不正度となるような不正度を定義してもよい。そして、この定義を参照してアクセスログの滞在時間から不正度を求め、前述したクライアント種別のアクセスの不正度や日付・国別のアクセスの不正度とから評価値を算出してもよい。
【００５７】
また、アクセスログファイル２１に、同一のＩＰアドレス（又はＩＰアドレス帯）から、所定時間内に所定数以上のログが記載されている場合に、不正アクセスがあったものとして報知してもよい。このようにすることで、ＤＤｏＳ攻撃等による不正アクセスも検出することが可能となる。
【００５８】
また、上記実施形態では、クライアント別不正度テーブル１２３から取得した不正度と、日付・国別不正度テーブル１２４から取得した不正度との積を評価値としたが、両不正度の合計を評価値としてもよく、複数の不正度から評価値を算出する手法は任意である。
【００５９】
また、上記実施形態では、クライアント別不正度テーブル１２３には、アクセス時間に応じて、平日昼間と平日夜間・休日の２つの不正度が設定されているが、より細かく時間帯を分けて３以上の不正度を設定してもよい。
【００６０】
また、例えば、本発明に係る不正アクセス検出装置１０の動作を規定する動作プログラムを既存のパーソナルコンピュータや情報端末機器等に適用することで、当該パーソナルコンピュータ等を本発明に係る不正アクセス検出装置１０として機能させることも可能である。
【００６１】
また、このようなプログラムの配布方法は任意であり、例えば、ＣＤ−ＲＯＭ（Compact Disk Read-Only Memory）、ＤＶＤ（Digital Versatile Disk）、ＭＯ（Magneto Optical Disk）、メモリカードなどのコンピュータ読み取り可能な記録媒体に格納して配布してもよいし、インターネット４０などの通信ネットワークを介して配布してもよい。
【符号の説明】
【００６２】
１０ 不正アクセス検出装置
１１ アクセスログ取得部
１２ データ記憶部
１２１ 不正クライアントリスト
１２２ アクセス許可フォルダテーブル
１２３ クライアント別不正度テーブル
１２４ 日付・国別不正度テーブル
１３ 不正アクセス判別部
１４ 報知部
１５ データ設定部
２０   ＷＥＢサーバ
２１ アクセスログファイル
３０ ＬＡＮ
４０ インターネット
５０ クライアント
【図１】
2013218640.tif 000003
【図２】
2013218640.tif 000004
【図３】
2013218640.tif 000005
【図４】
2013218640.tif 000006
【図５】
2013218640.tif 000007
【図６】
2013218640.tif 000008
【図７】
2013218640.tif 000009
【図８】
2013218640.tif 000010
【図９】
2013218640.tif 000011