(57)【要約】【課題】不正アクセスをより精度良く検出すること。【解決手段】端末装置とＷｅｂサーバとの間の通信を中継する中継装置において取得される情報であって通信に関する情報であるネットワーク情報と、Ｗｅｂサーバにアクセスした端末装置に関する情報である端末情報と、を取得し、ネットワーク情報又は端末情報に基づいて不正のアクセスに関するネットワーク情報又は端末情報を判定し、判定の結果に基づいて、判定に用いられていないネットワーク情報又は端末情報について不正のアクセスに関する情報をさらに判定する。【選択図】図１
2016219893.tif 000002
【特許請求の範囲】
【請求項１】
端末装置とＷｅｂサーバとの間の通信を中継する中継装置において取得される情報であって通信に関する情報であるネットワーク情報と、前記Ｗｅｂサーバにアクセスした前記端末装置に関する情報である端末情報と、を取得する情報取得部と、
前記ネットワーク情報又は前記端末情報に基づいて不正のアクセスに関する前記ネットワーク情報又は前記端末情報を判定し、判定の結果に基づいて、判定に用いられていない前記ネットワーク情報又は前記端末情報について前記不正のアクセスに関する情報をさらに判定する解析部と、を備える解析装置。
【請求項２】
前記解析部は、不正のアクセスに関する情報であると判定された前記ネットワーク情報及び前記端末情報をブラックリストとして記録する、請求項１に記載の解析装置。
【請求項３】
前記解析部は、記録されたブラックリストと、前記ネットワーク情報又は前記端末情報と、に基づいて不正のアクセスに関する前記ネットワーク情報又は前記端末情報を判定する、請求項２に記載の解析装置。
【請求項４】
前記解析部は、判定に用いられていない前記ネットワーク情報又は前記端末情報について前記不正のアクセスに関する情報を判定する際に、前記ネットワーク情報及び前記端末情報に共通する情報に基づいて判定する、請求項１に記載の解析装置。
【請求項５】
前記解析部は、ネットワーク情報又は端末情報において、多数を占める情報と異なる情報を不正アクセスに関する情報であると判定する、請求項１に記載の解析装置。
【請求項６】
前記端末情報は、前記端末装置の入力装置に対する入力操作のパターンを表す入力パターン情報を含む、請求項１に記載の解析装置。
【請求項７】
端末装置とＷｅｂサーバとの間の通信を中継する中継装置において取得される情報であって通信に関する情報であるネットワーク情報と、前記Ｗｅｂサーバにアクセスした前記端末装置に関する情報である端末情報と、を取得する情報取得ステップと、
前記ネットワーク情報又は前記端末情報に基づいて不正のアクセスに関する前記ネットワーク情報又は前記端末情報を判定し、判定の結果に基づいて、判定に用いられていない前記ネットワーク情報又は前記端末情報について前記不正のアクセスに関する情報をさらに判定する解析ステップと、を有する解析方法。
【請求項８】
端末装置とＷｅｂサーバとの間の通信を中継する中継装置において取得される情報であって通信に関する情報であるネットワーク情報と、前記Ｗｅｂサーバにアクセスした前記端末装置に関する情報である端末情報と、を取得する情報取得ステップと、
前記ネットワーク情報又は前記端末情報に基づいて不正のアクセスに関する前記ネットワーク情報又は前記端末情報を判定し、判定の結果に基づいて、判定に用いられていない前記ネットワーク情報又は前記端末情報について前記不正のアクセスに関する情報をさらに判定する解析ステップと、をコンピュータに実行させるためのコンピュータプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワークにおけるセキュリティを向上させるための技術に関する。
【背景技術】
【０００２】
従来、ネットワークのユーザやネットワークに接続された端末装置を識別するための技術が種々提案されている。このような技術の一つとして、Ｗｅｂビーコンという技術がある（特許文献１参照）。Ｗｅｂビーコンは、例えばJavaScript（登録商標）を用いて構成される。Ｗｅｂビーコンは、Ｗｅｂサイトの訪問者の動向や嗜好の調査等のマーケティング目的で使用されることが多かった。
【０００３】
また、Ｗｅｂブラウザの個体識別を行う技術も提案されている。例えば、ＵＵＩＤ、ＤｅｖｉｃｅＩＤなどがある。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特許第５５４３８９６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、従来のＷｅｂブラウザの個体識別では、Ｗｅｂサイトへの攻撃等の不正アクセスを充分に検出することができないという問題があった。
【０００６】
上記事情に鑑み、本発明は、不正アクセスをより精度良く検出することを可能にする技術の提供を目的としている。
【課題を解決するための手段】
【０００７】
本発明の一態様は、端末装置とＷｅｂサーバとの間の通信を中継する中継装置において取得される情報であって通信に関する情報であるネットワーク情報と、前記Ｗｅｂサーバにアクセスした前記端末装置に関する情報である端末情報と、を取得する情報取得部と、前記ネットワーク情報又は前記端末情報に基づいて不正のアクセスに関する前記ネットワーク情報又は前記端末情報を判定し、判定の結果に基づいて、判定に用いられていない前記ネットワーク情報又は前記端末情報について前記不正のアクセスに関する情報をさらに判定する解析部と、を備える解析装置である。
【０００８】
本発明の一態様は、上記の解析装置であって、前記解析部は、不正のアクセスに関する情報であると判定された前記ネットワーク情報及び前記端末情報をブラックリストとして記録する。
【０００９】
本発明の一態様は、上記の解析装置であって、前記解析部は、記録されたブラックリストと、前記ネットワーク情報又は前記端末情報と、に基づいて不正のアクセスに関する前記ネットワーク情報又は前記端末情報を判定する。
【００１０】
本発明の一態様は、上記の解析装置であって、前記解析部は、判定に用いられていない前記ネットワーク情報又は前記端末情報について前記不正のアクセスに関する情報を判定する際に、前記ネットワーク情報及び前記端末情報に共通する情報に基づいて判定する。
【００１１】
本発明の一態様は、上記の解析装置であって、前記解析部は、ネットワーク情報又は端末情報において、多数を占める情報と異なる情報を不正アクセスに関する情報であると判定する。
【００１２】
本発明の一態様は、上記の解析装置であって、前記端末情報は、前記端末装置の入力装置に対する入力操作のパターンを表す入力パターン情報を含む。
【００１３】
本発明の一態様は、端末装置とＷｅｂサーバとの間の通信を中継する中継装置において取得される情報であって通信に関する情報であるネットワーク情報と、前記Ｗｅｂサーバにアクセスした前記端末装置に関する情報である端末情報と、を取得する情報取得ステップと、前記ネットワーク情報又は前記端末情報に基づいて不正のアクセスに関する前記ネットワーク情報又は前記端末情報を判定し、判定の結果に基づいて、判定に用いられていない前記ネットワーク情報又は前記端末情報について前記不正のアクセスに関する情報をさらに判定する解析ステップと、を有する解析方法である。
【００１４】
本発明の一態様は、端末装置とＷｅｂサーバとの間の通信を中継する中継装置において取得される情報であって通信に関する情報であるネットワーク情報と、前記Ｗｅｂサーバにアクセスした前記端末装置に関する情報である端末情報と、を取得する情報取得ステップと、前記ネットワーク情報又は前記端末情報に基づいて不正のアクセスに関する前記ネットワーク情報又は前記端末情報を判定し、判定の結果に基づいて、判定に用いられていない前記ネットワーク情報又は前記端末情報について前記不正のアクセスに関する情報をさらに判定する解析ステップと、をコンピュータに実行させるためのコンピュータプログラムである。
【発明の効果】
【００１５】
本発明により、不正アクセスをより精度良く検出することが可能となる。
【図面の簡単な説明】
【００１６】
【図１】解析システムのシステム構成を示す図である。
【図２】第一集計サーバ５０の機能構成を示す概略ブロック図である。
【図３】第二集計サーバ６０の機能構成を示す概略ブロック図である。
【図４】解析サーバ７０の機能構成を示す概略ブロック図である。
【図５】解析システムにおいてネットワーク情報及び端末情報が記録されるまでの処理の流れを示すシーケンスチャートである。
【図６】解析システムにおいてネットワーク情報及び端末情報が記録されるまでの処理の流れを示すシーケンスチャートである。
【図７】同一端末から複数の異なるログインＩＤでログインが試行された場合に記録される端末情報の具体例を示す図である。
【図８】異なる端末情報の端末装置１０によって同一のログインＩＤを用いたログインが試行された場合に記録される端末情報の具体例を示す図である。
【図９】タイムゾーンを用いた解析処理を説明するための図である。
【図１０】デバイスＩＤとＵＵＩＤとの組み合わせを用いた解析処理を説明するための図である。
【図１１】ネットワーク情報及び端末情報を用いた解析処理の具体例を示す図である。
【図１２】ネットワーク情報及び端末情報を用いた解析処理の具体例を示す図である。
【図１３】解析システムの変形例のシステム構成を示す図である。
【図１４】解析システムの変形例のシステム構成を示す図である。
【発明を実施するための形態】
【００１７】
図１は、解析システムのシステム構成を示す図である。解析システムには、ネットワーク２０を介して端末装置１０が接続される。解析システムは、ゲートウェイ３０、Ｗｅｂサーバ４０、第一集計サーバ５０、第二集計サーバ６０及び解析サーバ７０を備える。
【００１８】
端末装置１０は、ユーザ（エンドユーザ）によって使用される通信装置である。端末装置１０は、ネットワーク２０を介して解析システムに接続可能な情報処理装置であればどのような装置であってもよい。端末装置１０は、例えばスマートフォン、携帯電話器、パーソナルコンピュータ等の情報処理装置である。端末装置１０は、ブラウザを起動可能である。ユーザは、端末装置１０においてブラウザを操作することによって、Ｗｅｂサーバ４０が提供しているＷｅｂページにアクセスすることができる。
【００１９】
ネットワーク２０は、インターネット等の広域ネットワークである。ネットワーク２０は、解析システムと端末装置１０とを通信可能に接続する。
【００２０】
ゲートウェイ３０は、ネットワーク２０と解析システムとのインタフェースとして機能する中継装置である。ゲートウェイ３０は、例えばＷｅｂサーバ４０に対してアクセスしようとする端末装置１０と、Ｗｅｂサーバ４０との間で通信を中継する。ゲートウェイ３０は、ネットワーク情報を取得する。ゲートウェイ３０は、取得されたネットワーク情報を第一集計サーバ５０に出力する。
【００２１】
なお、ゲートウェイ３０は、通信を中継する中継装置であればどのような装置として構成されてもよい。例えば、ゲートウェイ３０は、スイッチ、ルータ、ファイアウォール、ＩＤＳ（Intrusion Detection System）、ＩＤＰ（Intrusion Detection and Protection）等の装置として構成されてもよい。
【００２２】
ネットワーク情報は、端末装置１０とＷｅｂサーバ４０との間の通信に関する情報である。ネットワーク情報は、例えばＯＳＩ参照モデルのレイヤ７以下の情報である。より具体的には、ネットワーク情報は、例えばゲートウェイ３０を通過するパケットのヘッダ又はペイロードに含まれる情報である。ネットワーク情報は、例えば端末装置１０から送信されたデータ（例えばパケット）がゲートウェイ３０を通過した時刻、通信に使用されているプロトコル、パケットＩＤ、パケットのペイロードが示す情報（例えば、Ｗｅｂサーバ４０に対するＨＴＴＰ（Hyper Text Transfer Protocol）リクエストの内容）、端末装置１０のＩＰアドレスやＭＡＣアドレス、である。
【００２３】
Ｗｅｂサーバ４０は、ネットワークを介して端末装置１０に対しＷｅｂサービスを提供する情報処理装置である。Ｗｅｂサーバ４０は、例えばＨＴＴＰＤ（Hyper Text Transfer Protocol Daemon）を起動する情報処理装置である。Ｗｅｂサーバ４０は、端末情報を取得するために用いられるプログラム（以下「情報収集プログラム」という。）を端末装置１０において起動させるためのデータを有している。例えば情報収集プログラムはJavaScript（登録商標）を用いて実装されてもよい。情報収集プログラムを起動させるためのデータは、例えば以下のようなタグを含むHTML（Hyper-Text Markup Language）のデータとして構成されてもよい。”<script src= 情報収集プログラムのURI></script>”。
【００２４】
端末情報は、端末装置１０において動作するブラウザ又は端末装置１０に関する情報である。端末情報は、例えばJavascript（登録商標）等のビーコンによって取得できる情報である。端末情報は、例えばＵＵＩＤ（Universally Unique IDentifier）、Ｗｅｂサイトにおいてログインする際に使用されるログインＩＤ、ログインＩＤを用いたアクセスがなされた日時（以下「アクセス日時」という。）、タイムゾーン、端末装置１０における入力装置（例えばキーボード、マウス、タッチパネル等）に対する入力操作のパターンを示す情報（以下「入力パターン情報」という。）等の情報である。ＵＵＩＤは、ＲＦＣ４１２２に準拠した情報であり、例えばJavaScript（登録商標）を用いて生成され、端末装置１０のブラウザの情報保存領域に保存される。ブラウザの情報保存領域は、例えばlocalStorage（ブラウザにデータを保存する仕組み）で利用される領域であってもよいし、cookieが保存される領域であってもよいし、他の領域であってもよい。ＵＵＩＤには、ＵＵＩＤの生成日時を示す情報が付加されてもよい。ＵＵＩＤには、ＵＵＩＤが最後に利用された日時（以下「最終利用日時」という）が付加されてもよい。ログインＩＤは、例えば上記のタグが設置されたＷｅｂページに、ログインＩＤ及びパスワードを用いたログインをユーザに要求する機能を設けることによって端末装置１０から取得する事が可能である。この場合、ログインが試行される度に、用いられたログインＩＤが端末情報として取得されてもよい。入力パターン情報は、例えば、ユーザがキーボードを操作する際のタイピングパターンであってもよい。タイピングパターンは、例えば所定の文字列を入力する際に各キーボードが押下されるタイミングを表す情報であってもよい。なお、入力パターン情報は、端末装置１０を特定するための情報としてではなく、端末装置１０を使用しているユーザを特定するための情報として利用されてもよい。
【００２５】
端末情報は、Javascript（登録商標）等のビーコンによって取得できる情報に限られない。端末情報は、例えばＷｅｂサーバ４０によって取得されるアクセスログであってもよい。アクセスログは、例えばＷｅｂサーバ４０に対してアクセスがあった日時、アクセス元のＩＰアドレス（ソースアドレス）、アクセスされたポート番号、アクセスされたＷｅｂサイトのＵＲＬ等の情報を含む。
【００２６】
第一集計サーバ５０は、ゲートウェイ３０と通信可能な情報処理装置である。第一集計サーバ５０は、ゲートウェイ３０によって取得されたネットワーク情報をゲートウェイ３０から取得する。第一集計サーバ５０は、取得されたネットワーク情報を蓄積する。
【００２７】
第二集計サーバ６０は、Ｗｅｂサーバ４０と通信可能な情報処理装置である。第二集計サーバ６０は、端末装置１０において情報収集プログラムが実行されることによって端末装置１０から送信される端末情報を、端末装置１０から受信する。第二集計サーバ６０は、受信された端末情報を蓄積する。
【００２８】
解析サーバ７０は、第一集計サーバ５０によって取得されたネットワーク情報と、第二集計サーバ６０によって取得された端末情報と、に基づいて解析処理を行う。解析サーバ７０は、解析処理の実行によって、不正アクセスを実行している可能性のある端末装置１０を判定する。
【００２９】
図２は、第一集計サーバ５０の機能構成を示す概略ブロック図である。第一集計サーバ５０は、バスで接続されたＣＰＵ、メモリ、補助記憶装置、通信インタフェースを備える。第一集計サーバ５０は、第一集計プログラムを実行することによって、通信部５０１、ネットワーク情報取得部５０２及びネットワーク情報記憶部５０３を備える装置として機能する。
【００３０】
通信部５０１は、通信インタフェースを用いて構成される。通信部５０１は、ゲートウェイ３０との間で通信を行う。通信部５０１は、例えばゲートウェイ３０からネットワーク情報を受信する。通信部５０１は、受信されたネットワーク情報をネットワーク情報取得部５０２に出力する。
【００３１】
ネットワーク情報取得部５０２は、ゲートウェイ３０によって取得されるネットワーク情報をゲートウェイ３０から取得する。ネットワーク情報取得部５０２は、取得されたネットワーク情報をネットワーク情報記憶部５０３に記録する。
【００３２】
ネットワーク情報記憶部５０３は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。ネットワーク情報記憶部５０３は、ネットワーク情報取得部５０２によって取得されたネットワーク情報を記憶する。
【００３３】
図３は、第二集計サーバ６０の機能構成を示す概略ブロック図である。第二集計サーバ６０は、バスで接続されたＣＰＵ、メモリ、補助記憶装置、通信インタフェースを備える。第二集計サーバ６０は、第二集計プログラムを実行することによって、通信部６０１、端末情報取得部６０２及び端末情報記憶部６０３を備える装置として機能する。
【００３４】
通信部６０１は、通信インタフェースを用いて構成される。通信部６０１は、Ｗｅｂサーバ４０又は端末装置１０との間で通信を行う。通信部６０１は、例えば端末装置１０から端末情報を受信する。通信部６０１は、受信された端末情報を端末情報取得部６０２に出力する。
【００３５】
端末情報取得部６０２は、Ｗｅｂサーバ４０にアクセスした端末装置１０から端末情報を取得する。端末情報取得部６０２は、取得された端末情報に基づいて、デバイスＩＤを生成する。デバイスＩＤは、例えばＰＨＰを用いて生成される情報である。デバイスＩＤは、例えば端末装置１０のＩＰアドレス、userAgent、端末装置１０におけるブラウザのバージョン、端末装置１０におけるブラウザのアドオンの種別、端末装置１０におけるＯＳ（Operating System）の解像度（長さ及び幅）、ＯＳの解像度からタスクバー領域を差し引いた解像度（長さ及び幅）等の情報に基づいて生成される。デバイスＩＤの生成に用いられる情報は、いずれも端末情報として取得される。端末情報取得部６０２は、取得された端末情報を端末情報記憶部６０３に記録する。また、端末情報取得部６０２は、生成されたデバイスＩＤを端末情報の一つとして端末情報記憶部６０３に記録する。
【００３６】
端末情報記憶部６０３は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。端末情報記憶部６０３は、端末情報取得部６０２によって取得された端末情報を記憶する。
【００３７】
図４は、解析サーバ７０の機能構成を示す概略ブロック図である。解析サーバ７０は、バスで接続されたＣＰＵ、メモリ、補助記憶装置、通信インタフェースを備える。解析サーバ７０は、解析プログラムを実行することによって、通信部７０１、情報取得部７０２、ネットワーク情報記憶部７０３、端末情報記憶部７０４及び解析部７０５を備える装置として機能する。
【００３８】
通信部７０１は、通信インタフェースを用いて構成される。通信部７０１は、第一集計サーバ５０及び第二集計サーバ６０との間で通信を行う。通信部７０１は、例えば第一集計サーバ５０からネットワーク情報を受信する。通信部７０１は、例えば第二集計サーバ６０から端末情報を受信する。通信部７０１は、受信されたネットワーク情報及び端末情報を情報取得部７０２に出力する。
【００３９】
情報取得部７０２は、第一集計サーバ５０によって取得されるネットワーク情報を第一集計サーバ５０から取得する。情報取得部７０２は、第二集計サーバ６０によって取得される端末情報を第二集計サーバ６０から取得する。情報取得部７０２は、取得されたネットワーク情報をネットワーク情報記憶部７０３に記録する。情報取得部７０２は、取得された端末情報を端末情報記憶部７０４に記録する。
【００４０】
ネットワーク情報記憶部７０３は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。ネットワーク情報記憶部７０３は、情報取得部７０２によって取得されたネットワーク情報を記憶する。
【００４１】
端末情報記憶部７０４は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。端末情報記憶部７０４は、情報取得部７０２によって取得された端末情報を記憶する。
【００４２】
解析部７０５は、ネットワーク情報記憶部７０３に記憶されているネットワーク情報と、端末情報記憶部７０４に記憶されている端末情報と、に基づいて解析処理を行う。解析部７０５は、解析処理を行うことによって、不正アクセスを実行している可能性のある端末装置１０を検出する。解析部７０５は、ネットワーク情報に基づいて解析処理を行う場合、既存の解析手法を用いて処理を行ってもよい。解析部７０５は、例えばＩＤＳ（Intrusion Detection System）、ＩＰＳ（Intrusion Prevention System）等の不正アクセス検知手法を用いて解析処理を行ってもよい。解析部７０５は、端末情報に基づいて解析処理を行う場合、既存の解析手法を用いて処理を行ってもよい。
【００４３】
図５及び図６は、解析システムにおいてネットワーク情報及び端末情報が記録されるまでの処理の流れを示すシーケンスチャートである。まず、端末装置１０が所望のＷｅｂサイトを提供するＷｅｂサーバ４０に対してコンテンツ要求を送信する（ステップＳ１０１）。コンテンツ要求は、ＨＴＴＰに準拠したデータとして生成され、パケット化されて送信される。端末装置１０から送信されたコンテンツ要求は、ゲートウェイ３０によって中継され、Ｗｅｂサーバ４０によって受信される。ゲートウェイ３０は、自装置が中継したパケットに関する情報を、ネットワーク情報として第一集計サーバ５０に送信する（ステップＳ１０２）。第一集計サーバ５０は、ゲートウェイ３０からネットワーク情報を受信し、受信されたネットワーク情報を記憶する。
【００４４】
コンテンツ要求を受信したＷｅｂサーバ４０は、コンテンツ要求の内容に応じてコンテンツ応答を生成する。コンテンツ応答には、例えばコンテンツ要求において要求されているＷｅｂサイトに関する情報がマークアップ言語で記載されている。また、コンテンツ応答には、情報収集プログラムを起動させるためのデータが含まれている。Ｗｅｂサーバ４０は、生成されたコンテンツ応答を、コンテンツ要求の送信元である端末装置１０に送信する（ステップＳ１０３）。
【００４５】
端末装置１０は、コンテンツ応答を受信すると、情報収集プログラムを起動させるためのデータにしたがって動作する。具体的には、端末装置１０は、情報収集プログラムを要求することを示すプログラム要求を生成し、第二集計サーバ６０にプログラム要求を送信する（ステップＳ１０４）。例えば、上述したように情報収集プログラムを起動させるためのデータが”<script src= 情報収集プログラムのURI></script>”である場合、情報収集プログラムのURIは第二集計サーバ６０の記憶領域を示す。第二集計サーバ６０は、端末装置１０からプログラム要求を受信する。第二集計サーバ６０は、要求されたプログラム（情報収集プログラム）を含むプログラム応答を、プログラム要求の送信元である端末装置１０に送信する（ステップＳ１０５）。
【００４６】
端末装置１０は、プログラム応答を受信すると、プログラム応答に含まれる情報収集プログラムを実行する。そして、端末装置１０は、プログラムにしたがって以下のように動作する。まず、端末装置１０は、情報収集プログラムにしたがって既にＵＵＩＤを記録しているか否か判定する（ステップＳ１０６）。記録されていない場合（ステップＳ１０６−ＮＯ）、端末装置１０は、情報収集プログラムに定義されたアルゴリズムにしたがって新たにＵＵＩＤを生成する（ステップＳ１０７）。
【００４７】
端末装置１０は、生成されたＵＵＩＤを第二集計サーバ６０に送信する（ステップＳ１０８）。第二集計サーバ６０は、端末装置１０からＵＵＩＤを受信すると、受信されたＵＵＩＤと端末装置１０のＩＰアドレスとを対応付けて端末情報として記録する。第二集計サーバ６０は、記録されたＵＵＩＤを端末装置１０に返信する（ステップＳ１０９）。端末装置１０は、第二集計サーバ６０からＵＵＩＤを受信すると、受信されたＵＵＩＤを保存する（ステップＳ１１０）。このとき、端末装置１０は、ＵＵＩＤを、ブラウザの情報保存領域に記録する。
【００４８】
端末装置１０は、第二集計サーバ６０に対し、端末情報を送信する（ステップＳ１１１）。第二集計サーバ６０は、端末装置１０から端末情報を受信すると、受信された端末情報に基づいてデバイスＩＤを生成する（ステップＳ１１２）。そして、第二集計サーバ６０は、生成されたデバイスＩＤを端末情報として保存する（ステップＳ１１３）。その後、第二集計サーバ６０は、予め定められたデータ（本実施形態では画像データ）を端末装置１０に送信する（ステップＳ１１４）。
【００４９】
所定のタイミングが到来すると、解析サーバ７０は、第一集計サーバ５０に対してネットワーク情報要求を送信する（ステップＳ１１５）。ネットワーク情報要求は、ネットワーク情報の送信を要求することを示す情報である。第一集計サーバ５０は、ネットワーク情報要求を受信すると、解析サーバ７０に対してネットワーク情報応答を送信する（ステップＳ１１６）。ネットワーク情報応答は、解析サーバ７０によって要求されたネットワーク情報を含む。解析サーバ７０は、第一集計サーバ５０からネットワーク情報を受信すると、受信されたネットワーク情報を保存する（ステップＳ１１７）。
【００５０】
所定のタイミングが到来すると、解析サーバ７０は、第二集計サーバ６０に対して端末情報要求を送信する（ステップＳ１１８）。端末情報要求は、端末情報の送信を要求することを示す情報である。第二集計サーバ６０は、端末情報要求を受信すると、解析サーバ７０に対して端末情報応答を送信する（ステップＳ１１９）。端末情報応答は、解析サーバ７０によって要求された端末情報を含む。解析サーバ７０は、第二集計サーバ６０から端末情報を受信すると、受信された端末情報を保存する（ステップＳ１２０）。以上のような処理によって、解析サーバ７０はネットワーク情報及び端末情報を取得する。解析サーバ７０は、所定のタイミングが到来すると、以上の処理によって取得されたネットワーク情報及び端末情報に基づいて解析処理を実行する。
【００５１】
次に、図７〜図１０を用いて、解析処理の具体例について説明する。図７は、同一端末から複数の異なるログインＩＤでログインが試行された場合に記録される端末情報の具体例を示す図である。図７の例では、アクセスログ１〜アクセスログ５において、デバイスＩＤ及びＵＵＩＤが一致している。一方で、ログインに用いられたログインＩＤがいずれも異なっている。このように、デバイスＩＤ及び（又は）ＵＵＩＤが一致しているにも拘わらず所定の閾値が示す種類以上のログインＩＤが所定時間内に用いられた場合、解析サーバ７０の解析部７０５は不正アクセスが行われたと判定する。解析部７０５は、このような判定が行われた場合、不正アクセスを行っていると判定されたデバイスＩＤ及び（又は）ＵＵＩＤを、ブラックリストとして記録してもよい。ブラックリストとして記録される際には、例えば該当するＵＵＩＤを含むレコードに対して設けられる不審フラグをたてて記録されてもよい。ブラックリストは、端末情報記憶部７０４に記録されてもよい。また、解析部７０５は、不正アクセスを行っていると判定されたデバイスＩＤ及び（又は）ＵＵＩＤの端末装置１０によるアクセスを遮断するようにＷｅｂサーバ４０に通知してもよい。Ｗｅｂサーバ４０は、この通知に応じてアクセスを遮断してもよい。解析部７０５は、このような判定が行われた場合、不正アクセスに用いられていると判定されたログインＩＤに予め対応付けられている正規ユーザのメールアドレスに対し、不正アクセスが行われている可能性を示すメールや、ログインＩＤ及びパスワードの変更を促すメールを送信することをＷｅｂサーバ４０に通知してもよい。Ｗｅｂサーバ４０は、この通知に応じてメールを送信してもよい。
【００５２】
図８は、異なる端末情報の端末装置１０によって同一のログインＩＤを用いたログインが試行された場合に記録される端末情報の具体例を示す図である。図８の例では、アクセスログ１〜アクセスログ５において、ログインＩＤが一致している。一方で、アクセスログ３においてデバイスＩＤ及びＵＵＩＤが他のアクセスログと異なる。このように、同一のログインＩＤを用いたログインを試行した端末装置１０のデバイスＩＤ及び（又は）ＵＵＩＤのうち、その出現頻度が低いことを示す条件を満たす場合、解析サーバ７０の解析部７０５は不正アクセスが行われたと判定する。出現頻度が低いことを示す条件とは、例えば、同一のログインＩＤが用いたログインにおいて、最も多く利用されたデバイスＩＤ及び（又は）ＵＵＩＤの回数と、他のデバイスＩＤ及び（又は）ＵＵＩＤが用いられた回数との比が所定の閾値以上であることであってもよい。解析部７０５は、このような判定が行われた場合、不正アクセスを行っていると判定されたデバイスＩＤ及び（又は）ＵＵＩＤを、ブラックリストとして記録してもよい。また、解析部７０５は、不正アクセスを行っていると判定されたデバイスＩＤ及び（又は）ＵＵＩＤの端末装置１０によるアクセスを遮断するようにＷｅｂサーバ４０に通知してもよい。Ｗｅｂサーバ４０は、この通知に応じてアクセスを遮断してもよい。解析部７０５は、このような判定が行われた場合、不正アクセスに用いられていると判定されたログインＩＤに予め対応付けられている正規ユーザのメールアドレスに対し、不正アクセスが行われている可能性を示すメールや、ログインＩＤ及びパスワードの変更を促すメールを送信することをＷｅｂサーバ４０に通知してもよい。Ｗｅｂサーバ４０は、この通知に応じてメールを送信してもよい。
【００５３】
図９は、タイムゾーンを用いた解析処理を説明するための図である。図９（Ａ）では、１回目のアクセスは４月１日１０時２５分に日本から行われており、２回目のアクセスは４月２日１２時１０分に米国のニューヨークから行われている。また、１回目及び２回目においてデバイスＩＤ及びＵＵＩＤは一致しているため、同一の端末装置１０が使用されたと推定できる。図９（Ｂ）では、１回目のアクセスは４月１日１０時２５分に日本から行われており、２回目のアクセスは４月１日（同日）１２時１０分に米国のニューヨークから行われている。また、１回目及び２回目においてデバイスＩＤ及びＵＵＩＤは一致しているため、同一の端末装置１０が使用されたと推定できる。
【００５４】
図９（Ａ）では、１回目のアクセスから２回目のアクセスまでに２５時間以上経過しているため、タイムゾーンが日本から米国のニューヨークに変化しても問題無い。すなわち、物理的に移動が可能である。一方、図９（Ｂ）では、１回目のアクセスから２回目のアクセスまでに２時間も経過していないにもかかわらず、タイムゾーンが日本から米国のニューヨークに変化している。現在の技術では、日本から米国のニューヨークまで２時間未満で移動することは殆ど不可能に近い。このように、タイムゾーンの変化に応じた移動距離が、その変化に要した時間との関係で物理的に困難である場合、解析部７０５は不正アクセスが行われたと判定する。解析部７０５は、例えばタイムゾーンの組み合わせ毎に、現実的に要する移動時間が対応付けられたテーブルを予め記憶してもよい。そのうえで、解析部７０５は、変化したタイムゾーンの組み合わせに応じた移動時間をテーブルから読み出し、読み出された時間よりも実際にアクセスされた時間が短い場合に不正アクセスが行われたと判定してもよい。解析部７０５は、このような判定が行われた場合、不正アクセスを行っていると判定されたデバイスＩＤ及び（又は）ＵＵＩＤを、ブラックリストとして記録してもよい。また、解析部７０５は、不正アクセスを行っていると判定されたデバイスＩＤ及び（又は）ＵＵＩＤの端末装置１０によるアクセスを遮断するようにＷｅｂサーバ４０に通知してもよい。Ｗｅｂサーバ４０は、この通知に応じてアクセスを遮断してもよい。
【００５５】
図１０は、デバイスＩＤとＵＵＩＤとの組み合わせを用いた解析処理を説明するための図である。図１０（Ａ）では、アクセスログ２回目と３回目との間でＵＵＩＤが端末装置１０のユーザによって削除されている。そのため、アクセスログ１回目及び２回目で使用されたＵＵＩＤと、３回目以降に使用されたＵＵＩＤとは異なる。ただし、たとえＵＵＩＤが変化したとしても、同一の端末装置１０からは同一のデバイスＩＤが得られるため、アクセスログ３回目以降のデバイスＩＤとＵＵＩＤとの組み合わせは一致する。一方、図１０（Ｂ）では、アクセスログ３回目のデバイスＩＤ及びＵＵＩＤの組み合わせと、それ以外のデバイスＩＤ及びＵＵＩＤの組み合わせとは異なる。一般的に、同一のＵＵＩＤが短期間の間に得られる可能性は非常に低い。そのため、図１０（Ｂ）に示されるように、短期間の間にＵＵＩＤが一致しているにもかかわらず異なるデバイスＩＤが得られた場合には、不正なＵＵＩＤを用いた不正アクセスが行われた可能性が高い。このように、同一のＵＵＩＤに対して異なるデバイスＩＤが得られた場合、解析部７０５は不正アクセスが行われたと判定する。このとき、出現頻度が低いデバイスＩＤの端末装置１０が、不正アクセスを行っている端末装置１０と判定されてもよい。解析部７０５は、このような判定が行われた場合、不正アクセスを行っていると判定されたデバイスＩＤ及び（又は）ＵＵＩＤを、ブラックリストとして記録してもよい。また、解析部７０５は、不正アクセスを行っていると判定されたデバイスＩＤ及び（又は）ＵＵＩＤの端末装置１０によるアクセスを遮断するようにＷｅｂサーバ４０に通知してもよい。Ｗｅｂサーバ４０は、この通知に応じてアクセスを遮断してもよい。
【００５６】
なお、図７〜図１０を用いて行った上記説明は、解析部７０５による解析処理の具体例の一部にすぎない。すなわち、解析部７０５は、ネットワーク情報又は端末情報において、多数を占める情報と異なる情報を不正アクセスに関する情報であると判定する。解析部７０５は、不正アクセスを行っていると判定されたネットワーク情報又は端末情報をブラックリストとして記録してもよい。また、解析部７０５は、不正アクセスを行っていると判定されたネットワーク情報又は端末情報の端末装置１０によるアクセスを遮断するようにゲートウェイ３０及び（又は）Ｗｅｂサーバ４０に通知してもよい。
【００５７】
解析部７０５は、ネットワーク情報及び端末情報を組み合わせて用いることによって解析処理を行ってもよい。例えば、解析部７０５は、ネットワーク情報を用いた解析処理によって不正アクセスと判定されたログについて、ネットワーク情報及び端末情報に共通する項目（例えばソースアドレス、アクセス時刻）に基づいて端末情報に紐付けしても良い。この場合、解析部７０５は、紐付けされた端末情報についても、不正アクセスに関する端末情報であると判定する。例えば、解析部７０５は、端末情報を用いた解析処理によって不正アクセスと判定されたログについて、ネットワーク情報及び端末情報に共通する項目（例えばソースアドレス、アクセス時刻）に基づいてネットワーク情報に紐付けしても良い。このような解析処理を行う事によって、ネットワーク情報単体や端末情報単体では不正アクセスと判定できないログについても、不正アクセスに関するログを判定することが可能となる。
【００５８】
以下、上述した解析処理の具体例を示す。図１１は、ネットワーク情報及び端末情報を用いた解析処理の具体例を示す図である。図１１（Ａ）は、ネットワーク情報の具体例である。図１１（Ｂ）は、端末情報の具体例である。図１１（Ｃ）は、ネットワーク情報と端末情報とを組み合わせたログの具体例を示す図である。例えば、解析部７０５は、端末情報に基づいて不正なアクセスが行われたと判定した場合に、そのアクセスに用いられた端末装置１０のＩＰアドレス（ソースアドレス）を端末情報から取得する。解析部７０５は、ネットワーク情報に含まれるログのうち、端末情報から取得された上記のソースアドレスに一致するログを取得する。解析部７０５は、取得されたネットワーク情報のログが、不正アクセスにおけるネットワーク情報であると判定する。このように判定した解析部７０５は、ゲートウェイ３０に対して、不正アクセスとして判定されたネットワーク情報に一致する通信を遮断するように通知してもよい。ゲートウェイ３０は、このような通知に応じて通信の一部を遮断してもよい。このように構成されることにより、従来はゲートウェイ３０において取得される情報（ネットワーク情報）のみでは判定が困難であった種類の不正アクセスの通信について、ゲートウェイ３０等の中継装置において遮断することが可能となる。また、Ｗｅｂサーバ４０のみではなくゲートウェイ３０において通信を遮断することにより、より確実に不正アクセスに対する対処を行う事が可能となる。
【００５９】
図１２は、ネットワーク情報及び端末情報を用いた解析処理の具体例を示す図である。図１２（Ａ）は、ネットワーク情報の具体例である。図１２（Ｂ）は、端末情報の具体例である。図１２（Ｃ）は、ネットワーク情報と端末情報とを組み合わせたログの具体例を示す図である。図１２（Ｂ）では、端末装置１０がＷｅｂブラウザを利用せずにＷｅｂサーバ４０にアクセスしている。そのため、図１２（Ｂ）に示されるように、有効な端末情報がログとして取得できない。例えば、解析部７０５は、ネットワーク情報に基づいて不正なアクセスが行われたと判定した場合に、そのアクセスに用いられた端末装置１０のＩＰアドレス（ソースアドレス）をネットワーク情報から取得する。図１２（Ａ）に示されるネットワーク情報の場合、解析部７０５はポートスキャン（不正アクセス）が行われていると判定する。ポートスキャンが行われているか否かは、既存の解析技術を用いることによって判定できる。解析部７０５は、その後に新たに取得される端末情報に含まれるログのうち、不正アクセスと判定されたネットワーク情報から取得された上記のソースアドレスに一致するログについて、不正アクセスを行った端末装置１０におけるネットワーク情報であると判定する。このように判定した解析部７０５は、Ｗｅｂサーバ４０に対して、不正アクセスを行った端末装置１０の端末情報（例えばデバイスＩＤ、ＵＵＩＤ、ＩＰアドレス）を通知することによって、このような端末情報を有した端末装置１０によるアクセスを遮断することを指示してもよい。Ｗｅｂサーバ４０は、このような通知に応じてアクセスの一部を遮断してもよい。このように構成されることにより、従来はＷｅｂサーバ４０において取得される情報（端末情報）のみでは判定が困難であった種類の不正アクセスについて、Ｗｅｂサーバ４０において遮断することが可能となる。また、ゲートウェイ３０のみではなくＷｅｂサーバ４０においてアクセスを遮断することにより、より確実に不正アクセスに対する対処を行う事が可能となる。
【００６０】
また、解析部７０５は、上記の処理によって取得された端末情報（例えばデバイスＩＤ、ＵＵＩＤ）に対応するソースアドレス（ＩＰアドレス）が変化した場合には、変化後のソースアドレスを、新たに取得されるネットワーク情報から検索し、検索されたネットワーク情報のログも不正アクセスに関連するログの可能性があると判定してもよい。解析部７０５は、変化後のソースアドレスを含むネットワーク情報をブラックリストに追加して記録してもよい。
【００６１】
ブラックリストの情報は、解析サーバ７０によってゲートウェイ３０及びＷｅｂサーバ４０に提供されてもよい。この場合、ゲートウェイ３０は、ブラックリストとして記録されたネットワーク情報に関連する通信を遮断してもよい。また、Ｗｅｂサーバ４０は、ブラックリストとして記録された端末情報に関連するアクセスを遮断してもよい。
図５及び図６に示されるシーケンスチャートはどのように変形されてもよい。例えば、ステップＳ１０８及びステップＳ１０９の処理が省略されてもよい。
【００６２】
解析サーバ７０は、端末情報を用いて端末装置１０を同定してもよい。例えば、解析サーバ７０の解析部７０５が同定処理を行う同定部として機能してもよい。この場合、解析部７０５は、端末装置１０から取得された端末情報（例えば入力パターン情報）に基づいて、ある端末情報における端末装置１０が、他の端末情報における端末装置１０と同じ装置であるか否かについて判定する。
【００６３】
ゲートウェイ３０は、ネットワーク情報に基づいて不正アクセスを検出する機能を備えてもよい。このような構成において、ゲートウェイ３０は、不正アクセスを検出した場合に、検出された不正アクセスに関するネットワーク情報を解析サーバ７０に対して送信してもよい。
【００６４】
図１３及び図１４は、解析システムの変形例のシステム構成を示す図である。図１３に示す解析システムでは、Ｗｅｂサーバ４０の所属とは異なるネットワークに第二集計サーバ６０が設置される。図１３の例では、例えばサードパーティとしてのシステム構成（ＡＳＰ型構成）として第二集計サーバ６０が構築されている。このように構成されることにより、第二集計サーバ６０の導入がより容易になる。
【００６５】
図１４の例では、第一集計サーバ５０、第二集計サーバ６０及び解析サーバ７０が、Ｗｅｂサーバ４０とは異なるネットワークに設置される。第一集計サーバ５０は、ゲートウェイ９１及びネットワーク２０を介してゲートウェイ３０からネットワーク情報を取得する。第二集計サーバ６０は、ゲートウェイ９１及びネットワーク２０を介して端末情報を取得する。そして、解析サーバ７０は、ネットワーク情報及び端末情報に基づいて解析処理を実行する。
【００６６】
ゲートウェイ３０は、遮断する処理に代えて、帯域制限又は通信先の切替を行ってもよい。帯域制限とは、例えば使用可能な帯域を狭くすることによって、レスポンスに遅滞が生じるように制御することである。通信先の切替は、他の通信装置（例えばHoneypot用サーバ）に端末装置１０がアクセスするように制御することである。
【００６７】
Ｗｅｂサーバ４０は、遮断する処理に代えて、他のコンテンツへアクセスすることを促す処理を実行してもよい。例えば、Ｗｅｂサーバ４０は、“オペレータに電話して下さい”というメッセージが表示されるＷｅｂページに端末装置１０がアクセスするように制御してもよい。例えば、Ｗｅｂサーバ４０は、複数の認証が行われるＷｅｂページ（多段認証ページ）に端末装置１０がアクセスするように制御してもよい。
【００６８】
図６におけるＳ１１５〜Ｓ１２０の処理は、どのようなタイミングで行われてもよい。例えば、リアルタイム性を出すために、第一集計サーバ５０又は第二集計サーバ６０において新たな情報が収集される度に実行されてもよい。例えば、所定の時間間隔でバッチ処理として実行されてもよい。また、Ｓ１１５〜Ｓ１１７の処理と、Ｓ１１８〜Ｓ１２０の処理とは異なるタイミングでそれぞれ実行されてもよい。
【００６９】
上述した実施形態における機能をコンピュータで実現するようにしても良い。その場合、この機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することによって実現しても良い。なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時間の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時間プログラムを保持しているものも含んでも良い。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
【００７０】
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【符号の説明】
【００７１】
１０…端末装置，  ２０…ネットワーク，  ３０…ゲートウェイ，  ４０…Ｗｅｂサーバ，  ５０…第一集計サーバ，  ５０１…通信部，  ５０２…ネットワーク情報取得部，  ５０３…ネットワーク情報記憶部，  ６０…第二集計サーバ，  ６０１…通信部，  ６０２…端末情報取得部，  ６０３…端末情報記憶部，  ７０…解析サーバ，  ７０１…通信部，  ７０２…情報取得部，  ７０３…ネットワーク情報記憶部，  ７０４…端末情報記憶部，  ７０５…解析部
【図１】
2016219893.tif 000003
【図２】
2016219893.tif 000004
【図３】
2016219893.tif 000005
【図４】
2016219893.tif 000006
【図５】
2016219893.tif 000007
【図６】
2016219893.tif 000008
【図７】
2016219893.tif 000009
【図８】
2016219893.tif 000010
【図９】
2016219893.tif 000011
【図１０】
2016219893.tif 000012
【図１１】
2016219893.tif 000013
【図１２】
2016219893.tif 000014
【図１３】
2016219893.tif 000015
【図１４】
2016219893.tif 000016