(57)【要約】      （修正有）【課題】マルウェアの拡散を検知するネットワーク監視装置、方法及びプログラムを提供する。【解決手段】ネットワーク機器１０は、ネットワークを伝送されるデータから共有接続リクエストと、共有接続リクエストに対する応答とを抽出する。抽出した共有接続リクエストと応答とに基づいて、共有接続リクエストのリクエスト先であるファイルサーバが利用された状況を特定する利用特性を算出する。算出した利用特性と、ファイルサーバの用途によって予め特定される基準利用特性との比較に応じて、ファイルサーバへの不正アクセスを検出する。【選択図】図２
2016157311.tif 000002
【特許請求の範囲】
【請求項１】
ネットワークを伝送されるデータから共有接続リクエストと、該共有接続リクエストに対する応答とを抽出する抽出部と、
前記抽出部が抽出した前記共有接続リクエストと前記応答とに基づいて、前記共有接続リクエストのリクエスト先であるファイルサーバが利用された状況を特定する利用特性を算出する算出部と、
前記算出部が算出した前記利用特性と、前記ファイルサーバの用途によって予め特定される基準利用特性との比較に応じて、前記ファイルサーバへの不正アクセスを検出する検出部と
を有することを特徴とするネットワーク監視装置。
【請求項２】
前記算出部は、前記ファイルサーバに接続した接続者数、前記ファイルサーバが前記共有接続リクエストを受け付けた共有名、前記ファイルサーバが共有接続された接続回数、前記ファイルサーバが有する共有名のうち存在しない共有名へ送信された前記共有接続リクエストの回数、前記ファイルサーバがアクセス権のないユーザから受け付けた前記共有接続リクエストの回数、前記ファイルサーバが共有接続された接続のうち最短の接続時間のうちの少なくとも１つを抽出し、
前記検出部は、前記算出部によって算出された情報が前記基準利用特性と異なる場合に、前記ファイルサーバへの不正アクセスを検出することを特徴とする請求項１に記載のネットワーク監視装置。
【請求項３】
前記算出部は、前記ファイルサーバに接続した接続者数の所定時間ごとの増加率、前記ファイルサーバが共有接続された接続回数の所定時間ごとの増加率、前記ファイルサーバが有する共有名のうち存在しない共有名へ送信された前記共有接続リクエストの回数の所定時間ごとの増加率、前記ファイルサーバがアクセス権のないユーザから受け付けた前記共有接続リクエストの回数の所定時間ごとの増加率のうちの少なくとも１つを算出し、
前記検出部は、前記算出部によって算出された増加率が閾値を超える場合に、前記ファイルサーバへの不正アクセスを検出することを特徴とする請求項１に記載のネットワーク監視装置。
【請求項４】
前記算出部は、前記ファイルサーバを利用する利用者について、前記利用者が要求した前記共有接続リクエストと前記利用者が取得した前記応答とに基づいて、前記利用者が前記ファイルサーバを利用した状況を特定する利用者特性を算出し、
前記検出部は、前記算出部が算出した前記利用者特性と、予め特定される前記利用者の前記ファイルサーバの利用の仕方である基準利用者特性との比較に応じて、前記ファイルサーバへの不正アクセスを検出することを特徴とする請求項１に記載のネットワーク監視装置。
【請求項５】
前記算出部は、前記利用者が利用したアドレス情報、前記利用者がファイルサーバに接続した接続回数、前記利用者が接続要求を送信した共有名、前記利用者が存在しない共有名へ送信した前記共有接続リクエストの回数、前記利用者がアクセス権のない前記ファイルサーバへ送信した前記共有接続リクエストの回数、前記利用者が前記ファイルサーバに接続した接続のうち最短の接続時間のうちの少なくとも１つを抽出し、
前記検出部は、前記算出部によって算出された情報が前記基準利用者特性と異なる場合に、前記ファイルサーバへの不正アクセスを検出することを特徴とする請求項４に記載のネットワーク監視装置。
【請求項６】
前記算出部は、前記利用者がファイルサーバに接続した接続回数の所定時間ごとの増加率、前記利用者が存在しない共有名へ送信した前記共有接続リクエストの回数の所定時間ごとの増加率、前記利用者がアクセス権のない前記ファイルサーバへ送信した前記共有接続リクエストの回数の所定時間ごとの増加率のうちの少なくとも１つを算出し、
前記検出部は、前記算出部によって算出された増加率が閾値を超える場合に、前記ファイルサーバへの不正アクセスを検出することを特徴とする請求項４に記載のネットワーク監視装置。
【請求項７】
コンピュータが
ネットワークを伝送されるデータから共有接続リクエストと、該共有接続リクエストに対する応答とを抽出し、
抽出した前記共有接続リクエストと前記応答とに基づいて、前記共有接続リクエストのリクエスト先であるファイルサーバが利用された状況を特定する利用特性を算出し、
算出した前記利用特性と、前記ファイルサーバの用途によって予め特定される基準利用特性との比較に応じて、前記ファイルサーバへの不正アクセスを検出する
処理を含むことを特徴とするネットワーク監視方法。
【請求項８】
コンピュータに
ネットワークを伝送されるデータから共有接続リクエストと、該共有接続リクエストに対する応答とを抽出し、
抽出した前記共有接続リクエストと前記応答とに基づいて、前記共有接続リクエストのリクエスト先であるファイルサーバが利用された状況を特定する利用特性を算出し、
算出した前記利用特性と、前記ファイルサーバの用途によって予め特定される基準利用特性との比較に応じて、前記ファイルサーバへの不正アクセスを検出する
処理を実行させることを特徴とするネットワーク監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラムに関する。
【背景技術】
【０００２】
従来から、組織内に侵入したマルウェアが、ファイル共有プロトコルを悪用して組織内に拡散することが知られている。マルウェアの拡散を検知する試みとして、ファイル共有時の認証ログを監視する手法、ホストの操作ログを監視する手法、ウイルス対策ソフトウェアを用いた手法などが利用されている。
【０００３】
例えば、認証ログを監視する手法では、ユーザ端末がファイルサーバへログインする時の認証ログが正常なアカウントからの認証要求か否かを監視する。また、ホストの操作ログを監視する手法では、ファイルサーバのログを監視し、正常なアカウントによるファイル操作か否かを監視する。また、ウイルス対策ソフトウェアを用いた手法では、シグネチャを用いてマルウェアを検出する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００６−３３３４３３号公報
【特許文献２】特表２０１３−５１８３４２号公報
【特許文献３】特表２０１３−５３３５５４号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、上記技術では、正当なアカウントを盗んだマルウェアや未知のマルウェアの拡散を検知することができない。
【０００６】
例えば、正当なユーザ端末がファイル共有プロトコルを用いてファイルサーバへの認証が許可された後にマルウェアに感染した場合、ファイルサーバへのアクセスは正当なアカウントで実行される。このため、認証ログや操作ログでは、正常なユーザによるログかマルウェアによるログかの判断ができない。また、シグネチャは、既知のマルウェアに対応するものなので、ウイルス対策ソフトウェアでは未知のマルウェアを検出できない。
【０００７】
１つの側面では、マルウェアの拡散を検知することができるネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラムを提供することを目的とする。
【課題を解決するための手段】
【０００８】
第１の案では、ネットワーク監視装置は、ネットワークを伝送されるデータから共有接続リクエストと、該共有接続リクエストに対する応答とを抽出する抽出部を有する。ネットワーク監視装置は、前記抽出部が抽出した前記共有接続リクエストと前記応答とに基づいて、前記共有接続リクエストのリクエスト先であるファイルサーバが利用された状況を特定する利用特性を算出する算出部を有する。ネットワーク監視装置は、前記算出部が算出した前記利用特性と、前記ファイルサーバの用途によって予め特定される基準利用特性との比較に応じて、前記ファイルサーバへの不正アクセスを検出する検出部を有する。
【発明の効果】
【０００９】
一実施形態によれば、マルウェアの拡散を検知することができる。
【図面の簡単な説明】
【００１０】
【図１】図１は、実施例１に係るシステムの全体構成例を示す図である。
【図２】図２は、実施例１に係るネットワーク機器の機能構成を示す機能ブロック図である。
【図３】図３は、利用基準ＤＢに記憶される基準利用特性の一例を示す図である。
【図４】図４は、利用特性ＤＢに記憶される実測値の一例を示す図である。
【図５】図５は、利用者基準ＤＢに記憶される基準利用者特性の一例を示す図である。
【図６】図６は、利用者特性ＤＢに記憶される実測値の一例を示す図である。
【図７】図７は、全体的な処理の流れを示すフローチャートである。
【図８】図８は、ファイルサーバの基準利用特性を算出する処理の流れを示すフローチャートである。
【図９】図９は、ファイルサーバの基準利用者特性を算出する処理の流れを示すフローチャートである。
【図１０】図１０は、不正アクセスの検出処理の流れを示すフローチャートである。
【図１１】図１１は、ファイルサーバの利用特性の判定を説明する図である。
【図１２】図１２は、利用者特性の判定を説明する図である。
【図１３】図１３は、ハードウェア構成例を示す図である。
【発明を実施するための形態】
【００１１】
以下に、本願の開示するネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラムの実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。
【実施例１】
【００１２】
［全体構成］
図１は、実施例１に係るシステムの全体構成例を示す図である。図１に示すように、このシステムは、複数のユーザ端末１とネットワーク機器１０とファイルサーバ５０とを有する。なお、一例としてファイルサーバ５０が１台の場合を図示しているが、これに限定されるものではなく、複数台のファイルサーバ５０を有していてもよい。
【００１３】
ユーザ端末１は、共有接続手法の一例であるＳＭＢプロトコルを用いて、ネットワーク機器１０を経由してファイルサーバ５０にアクセスする端末装置であり、例えばパーソナルコンピュータ、サーバやスマートフォンなどの一例である。例えば、ユーザ端末１は、ファイルサーバ５０に対してログイン処理を実行し、ログインが許可された後、ＳＭＢプロトコルを用いてファイルサーバ５０へアクセスする。
【００１４】
ファイルサーバ５０は、業務などの用途ごとに設けられた共有のファイルサーバであり、ＳＭＢプロトコルを用いたユーザ端末１が共有で利用する。ファイルサーバ５０は、アクセスしてきたユーザ端末１に対してログイン処理を実行し、ログインを許可したユーザ端末１からの操作を許可する。
【００１５】
このファイルサーバ５０やファイルサーバ５０内の共有フォルダには、アクセス権が設定された共有名が設定されている。ユーザ端末１は、共有名を指定してＳＭＢ共有接続リクエスト（以下、共有接続要求と記載する場合がある）を送信する。そして、ファイルサーバ５０は、ログイン許可されたユーザ端末からのリクエストであり、存在する共有名に対するアクセス権のあるユーザ端末１からのリクエストである場合に、ＳＭＢ共有接続リクエストを許可する。
【００１６】
ネットワーク機器１０は、ユーザ端末１とファイルサーバ５０との通信を中継するネットワーク機器であり、例えばルータやスイッチなどの一例である。ネットワーク機器１０は、ネットワークを伝送されるデータからＳＭＢ共有接続リクエストと、該ＳＭＢ共有接続リクエストに対する応答とを抽出する。そして、ネットワーク機器１０は、抽出したＳＭＢ共有接続リクエストと応答とに基づいて、ＳＭＢ共有接続リクエストのリクエスト先であるファイルサーバ５０が利用された状況を特定する利用特性を算出する。その後、ネットワーク機器１０は、算出した利用特性と、ファイルサーバ５０の用途によって予め特定される基準利用特性との比較に応じて、ファイルサーバ５０への不正アクセスを検出する。
【００１７】
すなわち、ネットワーク機器１０は、ファイルサーバ５０の利用特性を予め算出しておき、ファイルサーバ５０への共有接続（以下、ＴｒｅｅＣｏｎｎｅｃｔと記載する場合がある）から実測した実測値と比較して、利用特性と異なる不正なアクセスを検出する。この結果、ネットワーク機器１０は、マルウェアの拡散を検知することができる。
【００１８】
［ネットワーク機器の機能構成］
次に、図１に示した各装置の機能構成について説明する。なお、ファイルサーバ５０は、一般的なファイルサーバと同様の機能構成を有し、ユーザ端末１は、一般的なパソコンなどと同様の機能を有するので、これらの詳細な説明は省略する。ここでは、ネットワーク機器１０の機能構成について説明する。
【００１９】
図２は、実施例１に係るネットワーク機器の機能構成を示す機能ブロック図である。図２に示すように、ネットワーク機器１０は、通信部１１、記憶部１２、制御部１５を有する。なお、ここで図示した機能部は一例であり、例えばディスプレイ等に情報を表示させる表示部などの他の機能を有していてもよい。
【００２０】
通信部１１は、ユーザ端末１やファイルサーバ５０との通信を制御する処理部であり、例えばネットワークインタフェースなどの一例である。例えば、通信部１１は、ユーザ端末１から受け付けた各種要求をファイルサーバ５０へ送信し、ファイルサーバ５０から受信した応答をユーザ端末１に送信する。
【００２１】
記憶部１２は、制御部１５が実行するプログラムやデータなどを記憶する記憶装置であり、例えばメモリやハードディスクなどの一例である。この記憶部１２は、利用基準ＤＢ１２ａ、利用特性ＤＢ１２ｂ、利用者基準ＤＢ１２ｃ、利用者特性ＤＢ１２ｄを記憶する。
【００２２】
利用基準ＤＢ１２ａは、ファイルサーバ５０の用途によって予め特定される基準利用特性を記憶するデータベースである。ファイルサーバ５０は、サーバ毎に用途が決まっており、使われ方に異なる特徴がみられる。これをファイルサーバの基準利用特性と呼ぶ。
【００２３】
図３は、利用基準ＤＢに記憶される基準利用特性の一例を示す図である。図３に示すように、利用基準ＤＢ１２ａは、基準利用特性として「サーバ名、接続者数（人／日）、クライアントのＩＰアドレス、共有名、接続回数（回／日）、存在しない共有名への接続要求数（回／日）、アクセス権なしの共有名への接続要求数（回／日）、最短接続時間」を対応付けて記憶する。
【００２４】
ここで記憶される「サーバ名」は、ファイルサーバ５０を一意に特定する情報であり、例えばＩＰ（Internet  Protocol）アドレスやホスト名などである。「接続者数（人／日）」は、サーバ名で特定されるファイルサーバ５０へ共有接続した１日のユーザの数であり、ファイルサーバを一意に特定する情報＋アカウント名で１人の接続者と扱う。「クライアントのＩＰアドレス」は、サーバ名で特定されるファイルサーバ５０へ接続したユーザ端末１のＩＰアドレスである。
【００２５】
「共有名」は、ファイルサーバ５０が利用者から接続要求を受け付けた共有名である。「接続回数（回／日）」は、ファイルサーバ５０が利用者から共有接続された１日の述べ回数である。「存在しない共有名への接続要求数（回／日）」は、存在しない共有名に対してファイルサーバ５０が受け付けた接続要求の１日の述べ回数である。「アクセス権なしの共有名への接続要求数（回／日）」は、ファイルサーバ５０が受け付けた、アクセス権のない共有名への接続要求の１日の述べ回数である。「最短接続時間」は、ユーザの接続時間のうち最短の接続時間であり、接続要求と切断要求を紐付けして測定される。
【００２６】
図３の１行目は、サーバ名が「ｓｅｒｖｅｒＡ」のファイルサーバ５０に対する基準利用特性である。この基準利用特性は、１日の接続者数が１８人、１日の接続回数が５４回、存在しない共有名への１日の接続要求が２回、アクセス権がない共有名への１日の接続要求が３回、最短接続時間が３分１５秒であることを示す。また、「ｓｅｒｖｅｒＡ」へ共有接続したユーザ端末のＩＰアドレスが「192.168.1.11、192.168.1.12、192.168.1.13、192.168.1.14、192.168.1.15、192.168.1.16」であることを示す。また、共有接続された共有名が「ｄｏｃ、ｌｉｂ、ｔｍｐ」であることを示す。
【００２７】
なお、ここで記憶される基準利用特性は、ファイルサーバ５０の用途にしたがって、管理者等が予め設定することができる。例えば、業務データを記憶するファイルサーバは、人事データを記憶するファイルサーバよりも１日のアクセスを多くし、人事データを記憶するファイルサーバに対してはセキュリティを厳重に考慮して設定する。また、ここで記憶される基準利用特性は、ファイルサーバ５０への過去のアクセス履歴等から作成することもできる。
【００２８】
利用特性ＤＢ１２ｂは、ファイルサーバ５０に対して実際に実行されたＳＭＢ共有接続リクエストと応答から算出された利用特性を記憶するデータベースである。すなわち、利用特性ＤＢ１２ｂは、実際の共有接続が測定された実測値を記憶する。図４は、利用特性ＤＢに記憶される実測値の一例を示す図である。図４に示すように、利用特性ＤＢ１２ｂは、実測値（利用特性）として「サーバ名、接続者数（人／日）、クライアントのＩＰアドレス、共有名、接続回数（回／日）、存在しない共有名への接続要求数（回／日）、アクセス権なしの共有名への接続要求数（回／日）、最短接続時間」を対応付けて記憶する。なお、各項目は、図３と同様なので詳細な説明は省略する。
【００２９】
図４の１行目は、サーバ名が「ｓｅｒｖｅｒＡ」のファイルサーバ５０に対する実測値である。この実測値は、１日の接続者数が３１人、１日の接続回数が８７回、存在しない共有名への１日の接続要求が２３回、アクセス権がない共有名への１日の接続要求が１９回、最短接続時間が１秒であることを示す。また、「ｓｅｒｖｅｒＡ」へ共有接続したユーザ端末のＩＰアドレスが「192.168.1.11、192.168.1.12、192.168.1.13、192.168.1.14、192.168.1.15、192.168.1.16」であることを示す。また、共有接続された共有名が「ｄｏｃ、ｌｉｂ、Ｔｍｐ、ｃ＄、ｄ＄、Ｅ＄」であることを示す。
【００３０】
なお、ここでは、一例として１日の実測値を説明したが、これに限定されるものではない。例えば、１時間などの所定時間おきに測定された実測値を蓄積することもでき、測定時間や記憶させる情報等は、任意に設定変更することができる。
【００３１】
利用者基準ＤＢ１２ｃは、利用者がファイルサーバ５０を利用した状況を特定する利用者特性を記憶するデータベースである。ファイルサーバ５０を利用するユーザ毎に、ファイルサーバ５０の使い方に異なる特徴がみられる。これをファイルサーバ利用者の基準利用者特性と呼ぶ。
【００３２】
図５は、利用者基準ＤＢに記憶される基準利用者特性の一例を示す図である。図５に示すように、利用者基準ＤＢ１２ｃは、基準利用者特性として「利用者名、クライアントのＩＰアドレス、接続サーバ名、接続回数（回／日）、存在しない共有名への接続要求数（回／日）、アクセス権なしの共有名への接続要求数（回／日）、最短接続時間」を対応付けて記憶する。
【００３３】
ここで記憶される「利用者名」は、ファイルサーバ５０へ共有接続したユーザ名であり、例えばログインＩＤなどである。「クライアントのＩＰアドレス」は、共有接続した利用者の利用者端末が通信に使用したＩＰアドレスである。「接続サーバ名」は、利用者が共有接続したファイルサーバ５０の名称である。「接続者数（回／日）」は、ユーザが１日に各ファイルサーバへ接続した接続回数である。
【００３４】
「存在しない共有名への接続要求数（回／日）」は、存在しない共有名に対してユーザが１日に送信した接続要求の回数であり、共有接続した各ファイルサーバごとに記憶される。なお、存在しない共有名とは、ファイルサーバ５０の管理者により共有の設定が行われていないもののことを意味する。「アクセス権なしの共有名への接続要求数（回／日）」は、アクセス権のない共有名に対してユーザが１日に送信した接続要求の回数であり、共有接続した各ファイルサーバごとに記憶される。「最短接続時間」は、接続した最短時間であり、共有接続した各ファイルサーバごとに記憶される。
【００３５】
図５の１行目は、利用者Ａに対する基準利用者特性である。この基準利用者特性は、ＩＰアドレスが「192.168.1.11」であり、「ｓｅｒｖｅｒＡ」、「ｓｅｒｖｅｒＢ」、「ｓｅｒｖｅｒＣ」に接続したことを示す。また、「ｓｅｒｖｅｒＡ」について、利用者Ａは、１日で２回接続し、存在しない共有名に対して１日で１回接続要求を送信し、アクセス権がない共有名に対する接続要求がなく、最短接続時間が３分１５秒であることを示す。また、「ｓｅｒｖｅｒＢ」について、利用者Ａは、１日で１回接続し、存在しない共有名やアクセス権がない共有名に対する接続要求がなく、最短接続時間が１分２８秒であることを示す。また、「ｓｅｒｖｅｒＣ」について、利用者Ａは、１日で４回接続し、存在しない共有名やアクセス権がない共有名に対する接続要求がなく、最短接続時間が５分４１秒であることを示す。
【００３６】
さらに、利用者基準ＤＢ１２ｃは、ファイルサーバ５０に関する情報を記憶する。具体的には、図５に示すように、利用者基準ＤＢ１２ｃは、「サーバ名、共有名、接続タイミング」を対応付けて記憶する。「サーバ名」は、ファイルサーバ５０の名称等であり、「共有名」は、ファイルサーバ５０において共有されるフォルダ等の名称であり、「接続タイミング」は、共有名への接続タイミングである。
【００３７】
図５の例では、ファイルサーバ「ｓｅｒｖｅｒＡ」については、共有名として「ｄｏｃ」、「ｌｉｂ」、「ｔｍｐ」が設定されている。そして、共有名「ｄｏｃ」および「ｌｉｂ」への接続タイミングがＯＳ（Operating  System）起動時の自動接続であり、共有名「ｔｍｐ」への接続タイミングが随時接続であることを示す。つまり、ログイン許可されているユーザ端末１は、ファイルサーバ「ｓｅｒｖｅｒＡ」が起動した場合に共有名「ｄｏｃ」および「ｌｉｂ」へは自動で接続し、共有名「ｔｍｐ」へは任意のタイミングで接続することを示す。
【００３８】
利用者特性ＤＢ１２ｄは、ファイルサーバ５０へ共有接続した各ユーザが実際に実行したＳＭＢ共有接続リクエストと応答から算出された利用者特性を記憶するデータベースである。すなわち、利用者特性ＤＢ１２ｄは、実際の共有接続が測定された実測値を記憶する。図６は、利用者特性ＤＢに記憶される実測値の一例を示す図である。図６に示すように、利用者特性ＤＢ１２ｄは、実測値（利用特性）として「利用者名、クライアントのＩＰアドレス、接続サーバ名、接続回数（回／日）、存在しない共有名への接続要求数（回／日）、アクセス権なしの共有名への接続要求数（回／日）、最短接続時間、接続タイミング」を対応付けて記憶する。なお、各項目は、図４と同様なので詳細な説明は省略する。
【００３９】
図６の１行目は、利用者Ａに対する基準利用者特性である。この基準利用者特性は、ＩＰアドレス「192.168.2.24，192.168.3.86，192.168.3.154」を用いて共有接続をしたことを示す。また、「ｓｅｒｖｅｒＡ」、「ｓｅｒｖｅｒＢ」、「ｓｅｒｖｅｒＣ」、「ｓｅｒｖｅｒＤ」、「ｓｅｒｖｅｒＥ」、「ｓｅｒｖｅｒＦ」の各ファイルサーバに接続したことを示す。
【００４０】
また、「ｓｅｒｖｅｒＡ」について、利用者Ａは、１日で２０回接続し、存在しない共有名に対して１日で１０回接続要求を送信し、アクセス権がない共有名に対する接続要求を１日で５回送信し、最短接続時間が３秒である。そして、いずれも「ｓｅｒｖｅｒＡ」のＯＳ停止中に送信されていることを示す。また、「ｓｅｒｖｅｒＢ」について、利用者Ａは、１日で１０回接続し、存在しない共有名に対して１日で５回接続要求を送信し、アクセス権がない共有名に対する接続要求を１日で１０回送信し、最短接続時間が５秒である。そして、いずれも「ｓｅｒｖｅｒＢ」のＯＳ停止中に送信されていることを示す。なお、ｓｅｒｖｅｒＣ以降については同様なので詳細な説明を省略する。
【００４１】
なお、ここでは、一例として１日の実測値を説明したが、これに限定されるものではない。例えば、１時間などの所定時間おきに測定された実測値を蓄積することもでき、測定時間や記憶させる情報等は、任意に設定変更することができる。
【００４２】
制御部１５は、ネットワーク機器１０全体を司る処理部であり、例えばプロセッサなどである。この制御部１５は、キャプチャ部１６、抽出部１７、ファイル処理部１８、利用者処理部１９、警告部２０を有する。なお、キャプチャ部１６、抽出部１７、ファイル処理部１８、利用者処理部１９、警告部２０は、例えばプロセッサが有する電子回路の一例やプロセッサが実行するプロセスの一例である。
【００４３】
キャプチャ部１６は、ネットワークに流れるデータをキャプチャする処理部である。具体的には、ユーザ端末１とファイルサーバ５０との間で送受信されるデータをキャプチャして記憶部１２等に格納する。
【００４４】
抽出部１７は、キャプチャ部１６がキャプチャしたデータの中からＳＭＢパケットを抽出し、ＳＭＢ共有接続リクエストおよびその応答を抽出し、ファイル処理部１８や利用者処理部１９に出力する処理部である。
【００４５】
具体的には、抽出部１７は、ＳＭＢパケットのうちＳＭＢヘッダ内のコマンドを参照して、ＳＭＢの認可のプロセスである共有接続の要求と応答を検出し、要求と応答をＩＰアドレス、ポート番号、セッションＩＤで紐づける。そして、抽出部１７は、共有接続が成功した場合はその時間を保持する。
【００４６】
同様に、抽出部１７は、ＳＭＢの認証プロセスであるサーバ接続（ＳｅｓｓｉｏｎＳｅｔｕｐ）の要求と応答を検出し、要求と応答をＩＰアドレス、ポート番号で紐づけ、認証成功時には、ＩＰアドレス、アカウント名もしくはユーザＩＤを保持する。また、抽出部１７は、サーバへ切断（Ｌｏｇｏｆｆ）の要求と応答を検出し、要求と応答をＩＰアドレスおよびポート番号で紐づけし、切断成功時には認証成功時に保持していたＩＰアドレス、ポート番号、アカウント名もしくはユーザＩＤを解放する。
【００４７】
ファイル処理部１８は、ファイルサーバ利用特性算出部１８ａと特性比較部１８ｂとを有し、これらによってファイルの利用特性から不正アクセスを検出する処理部である。
【００４８】
ファイルサーバ利用特性算出部１８ａは、ＳＭＢ共有接続リクエストと応答とに基づいて、ＳＭＢ共有接続リクエストのリクエスト先であるファイルサーバが利用された状況を特定する利用特性を算出する処理部である。具体的には、ファイルサーバ利用特性算出部１８ａは、共有接続リクエストであるＴｒｅｅ  Ｃｏｎｎｅｃｔとその応答を解析して、図４に示すファイルサーバ５０の利用特性を算出して、利用特性ＤＢ１２ｂに格納する。
【００４９】
なお、ファイルサーバ５０毎に利用特性を算出するためには、ファイルサーバ５０を一意に管理することになる。そのために、共有接続要求の送信先、言い換えれば応答送信元のＩＰアドレス、ＭＡＣ（Media  Access  Control）アドレス、もしくはＩＰアドレスから逆引きしたホスト名を用いる。また、ファイルサーバ利用特性算出部１８ａは、ファイルサーバ５０ごとに、１日単位で以下の情報を算出する。なお、ここでは１日単位を例にして説明するが、これに限定されるものではく、例えば１時間おきに算出することもでき、１日の情報を１時間で区分けして管理することもできる。
【００５０】
（接続者数）
例えば、ファイルサーバ利用特性算出部１８ａは、接続元のＩＰアドレス＋アカウント名で１人の接続者と判定して、ファイルサーバ５０ごとに接続者数を計数する。このとき、ファイルサーバ利用特性算出部１８ａは、共有接続要求のタイミングで、保持している接続中のアカウント情報を確認し、これまでに接続要求を出したことのないアカウントであった場合は、接続者数をカウントアップする。
【００５１】
（クライアントのＩＰアドレス）
例えば、ファイルサーバ利用特性算出部１８ａは、ファイルサーバ５０ごとに、共有接続要求を送信した送信元ＩＰアドレスを抽出する。
【００５２】
（共有名）
例えば、ファイルサーバ利用特性算出部１８ａは、ファイルサーバ５０ごとに、共有接続要求に含まれる共有名情報を取得して保持し、これまでに接続要求を出したことのない共有名であった場合に、共有名数を実測値として記録する。
【００５３】
（接続回数）
例えば、ファイルサーバ利用特性算出部１８ａは、ファイルサーバ５０のすべての利用者から送信された共有接続（ＴｒｅｅＣｏｎｎｅｃｔ）要求のうち接続が成功した数を述べ数で計数する。なお、共有接続が成功したかどうかについては、ＴｒｅｅＣｏｎｎｅｃｔの応答を解析して確認することができる。
【００５４】
（存在しない共有名への接続要求数）
例えば、ファイルサーバ利用特性算出部１８ａは、ファイルサーバ５０のすべての利用者から送信された共有接続要求のうち、存在しない共有名に対して送信された要求の数を計数する。また、存在しない共有名に対しての要求かどうかについては、共有接続の応答を解析して、エラー等のメッセージが応答されたか否か等により確認することができる。
【００５５】
（アクセス権なし共有名への接続要求数）
例えば、ファイルサーバ利用特性算出部１８ａは、ファイルサーバ５０のすべての利用者から送信された共有接続要求のうち、アクセス権のない共有名に対して送信された要求の数を計数する。なお、アクセス権のない共有名に対しての要求かどうかについては、共有接続の応答を解析して、エラー等のメッセージが応答されたか否か等により確認することができる。
【００５６】
（最短接続時間）
例えば、ファイルサーバ利用特性算出部１８ａは、ファイルサーバ５０毎に共有切断（ＴｒｅｅＤｉｓｃｏｎｎｅｃｔ）が成功した場合、共有接続が成功した時刻から切断されるまでの時刻を接続時間として計時する。
【００５７】
このようにして、ファイルサーバ利用特性算出部１８ａは、１日単位や１時間単位などの間隔で、上記項目を算出して利用特性の実測値を特定し、利用特性ＤＢ１２ｂに格納する。
【００５８】
図２に戻り、特性比較部１８ｂは、ファイルサーバ利用特性算出部１８ａが算出した利用特性と、ファイルサーバ５０の用途によって予め特定される基準利用特性との比較に応じて、ファイルサーバ５０への不正アクセスを検出する処理部である。具体的には、特性比較部１８ｂは、ファイルサーバ５０ごとに、実測値と基準値とを比較して、基準値と異なる実測値が測定された場合に、マルウェアによる不正アクセスが発生したと検出する。
【００５９】
例えば、図３と図４に示されるＳｅｒｖｅｒＡを例にして説明する。特性比較部１８ｂは、接続者数の実測値が３１人で基準値が１８人であり、実測値が基準値と異なることを理由に、または、実測値が基準値よりも閾値（例えば５人）以上多いことを理由に、ファイルサーバ５０への不正アクセスを検出する。
【００６０】
特性比較部１８ｂは、共有名の実測値のうち「ｃ＄、ｄ＄、E＄」が基準値に含まれないことを理由に、ファイルサーバ５０への不正アクセスを検出する。また、特性比較部１８ｂは、接続回数の実測値が８７人で基準値が５４人であり、実測値が基準値と異なることを理由に、または、実測値が基準値よりも閾値（例えば５人）以上多いことを理由に、ファイルサーバ５０への不正アクセスを検出する。
【００６１】
また、特性比較部１８ｂは、存在しない共有名への接続要求数の実測値が２３人で基準値が２人であり、実測値が基準値と異なることを理由に、または、実測値が基準値よりも閾値（例えば５人）以上多いことを理由に、ファイルサーバ５０への不正アクセスを検出する。
【００６２】
同様に、特性比較部１８ｂは、アクセス権なし共有名への接続要求数の実測値が１９人で基準値が３人であり、実測値が基準値と異なることを理由に、または、実測値が基準値よりも閾値（例えば５人）以上多いことを理由に、ファイルサーバ５０への不正アクセスを検出する。また、特性比較部１８ｂは、最短接続時間の実測値が１秒で基準値が３分１５秒であり、実測値が基準値と異なることを理由に、または、実測値が基準値よりも閾値（例えば１分）以上短いことを理由に、ファイルサーバ５０への不正アクセスを検出する。
【００６３】
また、特性比較部１８ｂは、実測値と基準値との比較以外にも、実測値の所定時間ごとの増加率からファイルサーバ５０への不正アクセスを検出することもできる。例えば、特性比較部１８ｂは、例えば１時間ごとに計数された接続者数の増加率が１０％以上を越えた場合、ファイルサーバ５０への不正アクセスを検出する。
【００６４】
また、特性比較部１８ｂは、例えば１時間ごとに計数された接続回数、存在しない共有名への接続要求数、アクセス権なし共有名への接続要求数などの増加率が１０％以上を越えた場合、ファイルサーバ５０への不正アクセスを検出する。
【００６５】
なお、特性比較部１８ｂは、不正アクセスの検出にどの項目を用いるかについては任意に設定変更することができる。例えば、特性比較部１８ｂは、項目が１つでも条件を満たす場合にファイルサーバ５０への不正アクセスを検出することもでき、３つ以上の項目が条件を満たす場合にファイルサーバ５０への不正アクセスを検出することもできる。
【００６６】
利用者処理部１９は、利用者特性算出部１９ａと利用者特性比較部１９ｂとを有し、これらによってファイルの利用者特性から不正アクセスを検出する処理部である。
【００６７】
利用者特性算出部１９ａは、ファイルサーバ５０を利用する利用者について、利用者が要求したＳＭＢ共有接続リクエストと利用者が取得した応答とに基づいて、利用者がファイルサーバ５０を利用した状況を特定する利用者特性を算出する処理部である。具体的には、利用者特性算出部１９ａは、共有接続リクエストであるＴｒｅｅ  Ｃｏｎｎｅｃｔとその応答を解析して、図６に示すファイルサーバ５０の利用特性を算出して、利用者特性ＤＢ１２ｄに格納する。
【００６８】
なお、ファイルサーバ５０の利用者毎の利用特性を算出するためには、利用者を一意に管理することになる。そのために要求送信元のＩＰアドレス、ＭＡＣアドレス、アカウント名を利用する。利用者特性算出部１９ａは、ユーザごとに、１日単位で以下の情報を算出する。なお、ここでは１日単位を例にして説明するが、これに限定されるものではく、例えば１時間おきに算出することもでき、１日の情報を１時間で区分けして管理することもできる。
【００６９】
（クライアントのＩＰアドレス）
例えば、利用者特性算出部１９ａは、ユーザが送信した共有接続要求が、これまでに接続要求を出したことのないユーザであった場合は、ＩＰアドレスもしくはＩＰアドレスから逆引きしたホスト名を抽出して保持する。
【００７０】
（接続サーバ名）
例えば、利用者特性算出部１９ａは、共有接続要求のタイミングで、保持している接続中のアカウント情報を確認する。そして、利用者特性算出部１９ａは、その利用者がこれまで接続要求を出したことのないサーバの場合、そのサーバのＩＰアドレスを利用者毎に保持する。
【００７１】
（接続回数）
例えば、利用者特性算出部１９ａは、ユーザが送信した共有接続要求のうち接続が成功した数を述べ数で計数する。なお、ＳＭＢ共有接続が成功したかどうかについては、ＴｒｅｅＣｏｎｎｅｃｔの応答を解析して確認することができる。
【００７２】
（存在しない共有名への接続要求数）
例えば、利用者特性算出部１９ａは、ユーザから送信された共有接続要求のうち、存在しない共有名に対して送信された要求の数を計数する。なお、存在しない共有名に対しての要求かどうかについては、ＳＭＢ共有接続の応答を解析して確認することができる。また、存在しない共有名とは、ファイルサーバ５０の管理者により共有の設定が行われていないもののことを意味する。
【００７３】
（アクセス権なし共有名への接続要求数）
例えば、利用者特性算出部１９ａは、ユーザから送信された共有接続要求のうち、アクセス権のない共有名に対して送信された要求の数を計数する。なお、アクセス権のない共有名に対しての要求かどうかについては、ＳＭＢ共有接続の応答を解析して確認することができる。
【００７４】
（最短接続時間）
例えば、利用者特性算出部１９ａは、ユーザ毎かつファイルサーバ毎に、共有切断が成功した場合、共有接続が成功した時刻から切断されるまでの時刻を接続時間として保持する。
【００７５】
（接続タイミング）
例えば、利用者特性算出部１９ａは、ＳＭＢ共有接続要求がＯＳ起動時の自動接続によるものか、それ以外の手動接続によるものかを抽出する。例えば、利用者特性算出部１９ａは、ＤＨＣＰ（Dynamic  Host  Configuration  Protocol）でＩＰが割り当てられている時刻やＮｅｔＢＩＯＳ（Network  Basic  Input  Output  System）名のブロードキャスト時刻、ＷＩＮＳ（Windows（登録商標）  Internet  Name  Service）への登録時刻から判断して抽出する。このようにして、利用者特性算出部１９ａは、１日単位や１時間単位などの間隔で、上記項目を算出して利用者特性の実測値を特定し、利用者特性ＤＢ１２ｄに格納する。
【００７６】
図２に戻り、利用者特性比較部１９ｂは、利用者特性算出部１９ａが算出した利用者特性と、予め特定されるユーザのファイルサーバ５０の利用の仕方である基準利用者との比較に応じて、ファイルサーバ５０へ不正アクセスしたユーザを検出する処理部である。具体的には、利用者特性比較部１９ｂは、ユーザごとに、実測値と基準値とを比較して、基準値と異なる実測値が測定された場合に、マルウェアによる不正アクセスが発生したと検出する。
【００７７】
例えば、図５と図６に示される利用者Ａを例にして説明する。利用者特性比較部１９ｂは、実際に使用されたＩＰアドレスが「192.168.2.24，192.168.3.86，192.168.3.154」であり、基準値「192.168.1.11」と異なることから、マルウェアによる不正アクセスが発生したと検出する。
【００７８】
また、利用者特性比較部１９ｂは、基準値の「ＳｅｒｖｅｒＡ、ＳｅｒｖｅｒＢ、ＳｅｒｖｅｒＣ」以外に、「ＳｅｒｖｅｒＤ、ＳｅｒｖｅｒＥ、ＳｅｒｖｅｒＦ」へ実際に接続されたことから、マルウェアによる不正アクセスが発生したと検出する。
【００７９】
また、利用者特性比較部１９ｂは、基準値の「ＳｅｒｖｅｒＡ、ＳｅｒｖｅｒＢ、ＳｅｒｖｅｒＣ」への各接続回数が「２０、１０、９」であることを検出する。すると、利用者特性比較部１９ｂは、実測値が基準値と異なることを理由に、または、実測値が基準値よりも閾値（例えば５人）以上多いことを理由に、ファイルサーバ５０への不正アクセスを検出する。
【００８０】
また、利用者特性比較部１９ｂは、基準値の「ＳｅｒｖｅｒＡ、ＳｅｒｖｅｒＢ、ＳｅｒｖｅｒＣ」内の存在しない共有名への接続要求数が「１０、５、８」であることを検出する。すると、利用者特性比較部１９ｂは、実測値が基準値と異なることを理由に、または、実測値が基準値よりも閾値（例えば５人）以上多いことを理由に、ファイルサーバ５０への不正アクセスを検出する。
【００８１】
また、利用者特性比較部１９ｂは、基準値の「ＳｅｒｖｅｒＡ、ＳｅｒｖｅｒＢ、ＳｅｒｖｅｒＣ」内のアクセス権がない共有名への接続要求数が「５、１０、４」であることを検出する。すると、利用者特性比較部１９ｂは、実測値が基準値と異なることを理由に、または、実測値が基準値よりも閾値（例えば３人）以上多いことを理由に、ファイルサーバ５０への不正アクセスを検出する。
【００８２】
また、利用者特性比較部１９ｂは、基準値の「ＳｅｒｖｅｒＡ、ＳｅｒｖｅｒＢ、ＳｅｒｖｅｒＣ」に対する最短接続時間の実測値を「３秒、５秒、４１秒」と検出する。すると、利用者特性比較部１９ｂは、実測値が基準値と異なることを理由に、または、実測値が基準値よりも閾値（例えば１分）以上短いことを理由に、ファイルサーバ５０への不正アクセスを検出する。
【００８３】
また、利用者特性比較部１９ｂは、基準値の「ＳｅｒｖｅｒＡ、ＳｅｒｖｅｒＢ、ＳｅｒｖｅｒＣ」への接続タイミングの実測値を「ＯＳ停止中、ＯＳ停止中、ＯＳ起動時」と検出する。すると、利用者特性比較部１９ｂは、「ＳｅｒｖｅｒＡ」に対する実測値が基準値と異なることを理由に、ファイルサーバ５０への不正アクセスを検出する。
【００８４】
また、利用者特性比較部１９ｂは、実測値と基準値との比較以外にも、実測値の所定時間ごとの増加率からファイルサーバ５０への不正アクセスを検出することもできる。例えば、利用者特性比較部１９ｂは、１時間ごとに計数された接続サーバ先への接続者数の増加率が１０％以上を越えた場合、ファイルサーバ５０への不正アクセスを検出することもできる。
【００８５】
同様に、利用者特性比較部１９ｂは、例えば１時間ごとに計数された、存在しない共有名への接続要求数やアクセス権なし共有名への接続要求数などの増加率が１０％以上を越えた場合、ファイルサーバ５０への不正アクセスを検出する。
【００８６】
なお、利用者特性比較部１９ｂは、不正アクセスの検出にどの項目を用いるかについては任意に設定変更することができる。例えば、利用者特性比較部１９ｂは、項目が１つでも条件を満たす場合にファイルサーバ５０への不正アクセスを検出することもでき、３つ以上の項目が条件を満たす場合にファイルサーバ５０への不正アクセスを検出することもできる。
【００８７】
警告部２０は、不正アクセスが検出された場合に、管理者端末やディスプレイ等に不正アクセスが発生したことを示すメッセージや危険回避を促すメッセージなどを出力する処理部である。
【００８８】
［処理の流れ］
次に、ネットワーク機器１０が実行する処理について説明する。ここでは、全体的な処理の流れ、ファイルの基準利用特性の算出処理、ファイルの基準利用者特性の算出処理、検出処理について説明する。
【００８９】
（全体的な処理）
図７は、全体的な処理の流れを示すフローチャートである。図７に示すように、キャプチャ部１６は、ネットワークデータをキャプチャし（Ｓ１０１）、抽出部１７は、ＳＭＢパケットを抽出する（Ｓ１０２）。
【００９０】
続いて、ファイル処理部１８のファイルサーバ利用特性算出部１８ａは、特性算出期間であると判定した場合（Ｓ１０３：Ｙｅｓ）、ファイルサーバ５０の基準利用特性を算出する（Ｓ１０４）。その後、特性比較部１８ｂは、算出した基準利用特性と実データとを比較する（Ｓ１０５）。
【００９１】
同様に、利用者処理部１９の利用者特性算出部１９ａは、特性算出期間であると判定した場合（Ｓ１０３：Ｙｅｓ）、ファイルサーバ５０を利用する利用者の基準利用者特性を算出する（Ｓ１０６）。その後、利用者特性比較部１９ｂは、算出した基準利用者特性と実データとを比較する（Ｓ１０７）。
【００９２】
なお、特性算出期間ではない場合（Ｓ１０３：Ｎｏ）、Ｓ１０４およびＳ１０６を実行せずに、Ｓ１０５およびＳ１０７が実行される。
【００９３】
続いて、警告部２０は、Ｓ１０５またはＳ１０７の比較によって異常が検出された場合（Ｓ１０８：Ｙｅｓ）、異常を記録して監視システムや管理者端末などの、警告を通知する（Ｓ１０９）。その後、終了指示等が受け付けられた場合（Ｓ１１０：Ｙｅｓ）、制御部１５は処理を終了し、終了指示等が受け付けられない場合（Ｓ１１０：Ｎｏ）、Ｓ１０１以降が繰り返される。
【００９４】
一方、Ｓ１０５またはＳ１０７の比較によって異常が検出されなかった場合（Ｓ１０８：Ｎｏ）、ファイルサーバ利用特性算出部１８ａおよび利用者特性算出部１９ａは、特性算出期間であるか否かを判定する（Ｓ１１１）。
【００９５】
そして、ファイルサーバ利用特性算出部１８ａは、特性算出期間であると判定した場合（Ｓ１１１：Ｙｅｓ）、ファイルサーバ５０の基準利用特性を算出して利用基準ＤＢ１２ａに記録する（Ｓ１１２）。さらに、利用者特性算出部１９ａは、ファイルサーバ５０を利用する利用者の基準利用者特性を算出して利用者基準ＤＢ１２ｃに記録する（Ｓ１１３）。その後Ｓ１１０が実行される。なお、特性算出期間ではない場合も（Ｓ１１１：Ｎｏ）、Ｓ１１０が実行される。
【００９６】
（ファイルの基準利用特性の算出処理）
図８は、ファイルサーバの基準利用特性を算出する処理の流れを示すフローチャートである。図８に示すように、ファイルサーバ利用特性算出部１８ａは、抽出部１７が抽出したデータから、パケット送信元としてＩＰアドレス、ＭＡＣアドレスを取得して、ファイルサーバ５０を特定する（Ｓ２０１）。
【００９７】
続いて、ファイルサーバ利用特性算出部１８ａは、抽出部１７が抽出したデータが認証要求である場合（Ｓ２０２：Ｙｅｓ）、接続元情報としてＩＰアドレス、ＭＡＣアドレス、アカウント名を取得して、利用基準ＤＢ１２ａに格納する（Ｓ２０３）。なお、ファイルサーバ利用特性算出部１８ａは、抽出部１７が抽出したデータが認証要求ではない場合（Ｓ２０２：Ｎｏ）、Ｓ２０３を実行せずにＳ２０４を実行する。
【００９８】
そして、ファイルサーバ利用特性算出部１８ａは、抽出部１７が抽出したデータが共有接続要求である場合（Ｓ２０４：Ｙｅｓ）、共有接続情報として共有名、共有接続要求数を取得して、利用基準ＤＢ１２ａに格納する（Ｓ２０５）。また、ファイルサーバ利用特性算出部１８ａは、共有接続要求時刻を記憶部１２等に保持しておく（Ｓ２０６）。なお、ファイルサーバ利用特性算出部１８ａは、抽出部１７が抽出したデータが共有接続要求ではない場合（Ｓ２０４：Ｎｏ）、Ｓ２０５およびＳ２０６を実行せずにＳ２０７を実行する。
【００９９】
さらに、ファイルサーバ利用特性算出部１８ａは、抽出部１７が抽出したデータが共有接続応答である場合（Ｓ２０７：Ｙｅｓ）、Ｓ２０８を実行する。すなわち、ファイルサーバ利用特性算出部１８ａは、共有可否情報として、存在しない共有名への接続要求数、アクセス権がない共有名への接続要求数を取得して、利用基準ＤＢ１２ａに格納する（Ｓ２０８）。なお、ファイルサーバ利用特性算出部１８ａは、抽出部１７が抽出したデータが共有接続応答ではない場合（Ｓ２０７：Ｎｏ）、Ｓ２０８を実行せずにＳ２０９を実行する。
【０１００】
また、ファイルサーバ利用特性算出部１８ａは、抽出部１７が抽出したデータが共有切断である場合（Ｓ２０９：Ｙｅｓ）、Ｓ２０６で取得した共有接続の要求時刻から切断までの時間を算出する（Ｓ２１０）。
【０１０１】
続いて、ファイルサーバ利用特性算出部１８ａは、算出した切断までの時間がこれまでで最短の接続時間である場合（Ｓ２１１：Ｙｅｓ）、Ｓ２１０で算出した時間を最短切断時間として利用基準ＤＢ１２ａに格納する（Ｓ２１２）。なお、ファイルサーバ利用特性算出部１８ａは、算出した切断までの時間がこれまでで最短の接続時間ではない場合（Ｓ２１１：Ｎｏ）、そのまま処理を終了する。また、ファイルサーバ利用特性算出部１８ａは、抽出部１７が抽出したデータが共有切断ではない場合（Ｓ２０９：Ｎｏ）、処理を終了する。
【０１０２】
なお、ここで基準利用特性の算出例を説明したが、利用特性の実測値を算出する場合も同様のフローで処理することができる。
【０１０３】
（ファイルの基準利用者特性の算出処理）
図９は、ファイルの基準利用者特性を算出する処理の流れを示すフローチャートである。図９に示すように、利用者特性算出部１９ａは、抽出部１７が抽出したデータが認証要求である場合（Ｓ３０１：Ｙｅｓ）、パケット送信元として接続元情報としてＩＰアドレス、ＭＡＣアドレス、ホスト名、利用者名を取得して、利用者基準ＤＢ１２ｃに格納する（Ｓ３０２）。なお、利用者特性算出部１９ａは、抽出部１７が抽出したデータが認証要求ではない場合（Ｓ３０１：Ｎｏ）、Ｓ３０２を実行せずにＳ３０３を実行する。
【０１０４】
そして、利用者特性算出部１９ａは、抽出部１７が抽出したデータが共有接続要求である場合（Ｓ３０３：Ｙｅｓ）、Ｓ３０４を実行する。すなわち、利用者特性算出部１９ａは、接続元＋利用者名ごとに、共有接続情報としてサーバ名、ＩＰアドレス、ＭＡＣアドレス、共有名、共有接続要求数を取得して、利用者基準ＤＢ１２ｃに格納する。
【０１０５】
また、利用者特性算出部１９ａは、共有接続要求時刻を記憶部１２等に保持しておき（Ｓ３０５）、共有接続タイミングを記憶部１２等に保持しておく（Ｓ３０６）。なお、利用者特性算出部１９ａは、抽出部１７が抽出したデータが共有接続応答ではない場合（Ｓ３０３：Ｎｏ）、Ｓ３０４−Ｓ３０６を実行せずにＳ３０７を実行する。
【０１０６】
さらに、利用者特性算出部１９ａは、抽出部１７が抽出したデータが共有接続応答である場合（Ｓ３０７：Ｙｅｓ）、Ｓ３０８を実行する。すなわち、利用者特性算出部１９ａは、共有可否情報として、存在しない共有名への接続要求数、アクセス権がない共有名への接続要求数を取得して、利用者基準ＤＢ１２ｃに格納する。なお、利用者特性算出部１９ａは、抽出部１７が抽出したデータが共有接続応答ではない場合（Ｓ３０７：Ｎｏ）、Ｓ３０８を実行せずにＳ３０９を実行する。
【０１０７】
また、利用者特性算出部１９ａは、抽出部１７が抽出したデータが共有切断である場合（Ｓ３０９：Ｙｅｓ）、Ｓ３０５で取得した共有接続の要求時刻から切断までの時間を算出する（Ｓ３１０）。
【０１０８】
続いて、利用者特性算出部１９ａは、算出した切断までの時間がこれまでで最短の接続時間である場合（Ｓ３１１：Ｙｅｓ）、Ｓ３１０で算出した時間を最短切断時間として利用者基準ＤＢ１２ｃに格納する（Ｓ３１２）。なお、利用者特性算出部１９ａは、算出した切断までの時間がこれまでで最短の接続時間ではない場合（Ｓ３１１：Ｎｏ）、そのまま処理を終了する。また、利用者特性算出部１９ａは、抽出部１７が抽出したデータが共有切断ではない場合（Ｓ３０９：Ｎｏ）、処理を終了する。
【０１０９】
なお、ここで基準利用者特性の算出例を説明したが、利用者特性の実測値を算出する場合も同様のフローで処理することができる。
【０１１０】
（不正アクセスの検出処理）
図１０は、不正アクセスの検出処理の流れを示すフローチャートである。なお、ここでは、特性比較部１８ｂと利用者特性比較部１９ｂをあわせて比較部と記載する。
【０１１１】
図１０に示すように、比較部は、比較項目を１つ選択する（Ｓ４０１）。例えば、比較部は、図３や図５に示した項目のうち１つを選択する。そして、比較部は、初期化として異常フラグをオフに設定する（Ｓ４０２）。その後、比較部は、選択した比較項目に適した比較値の生成方法を決定する（Ｓ４０３）。なお、比較値の生成方法は、管理者等によって比較項目ごとに指定することができる。
【０１１２】
そして、比較部は、比較値の生成方法が累積数である場合、指定時間単位で累積数を算出する（Ｓ４０４）。例えば、比較部は、ファイルサーバ５０ごとに、１時間単位で、接続者を算出したり、存在しない共有名への接続者数を算出したりする。また、比較部は、ユーザごとに、１時間単位で、接続回数やアクセス権がない共有名への接続要求数を算出する。
【０１１３】
また、比較部は、比較値の生成方法が累積リストである場合、指定時間単位で累積リストを算出する（Ｓ４０５）。例えば、比較部は、ファイルサーバ５０ごとに、１時間単位で、接続したクライアントのＩＰアドレスの一覧を作成する。また、比較部は、ユーザごとに、１時間単位で、使用したＩＰアドレスのリストや接続したサーバ名のリストを作成する。
【０１１４】
また、比較部は、比較値の生成方法が増加率である場合、指定時間単位で増加率を算出する（Ｓ４０６）。例えば、比較部は、ファイルサーバ５０ごとに１時間における接続者数の増加率やユーザごとに１時間における接続回数の増加率などを算出する。
【０１１５】
また、比較部は、比較値の生成方法が最小値である場合、指定時間単位で最小値を算出する（Ｓ４０７）。例えば、比較部は、ファイルサーバ５０やユーザごとに、最短接続時間などを算出する。
【０１１６】
その後、比較部は、比較項目に基づいて比較方法を決定し（Ｓ４０８）、決定した比較方法に基づいて不正アクセスを検出する（Ｓ４０９〜Ｓ４１２）。
【０１１７】
具体的には、比較部は、増加率が閾値よりも大きい場合（Ｓ４０９：Ｙｅｓ）、異常フラグをオンにする（Ｓ４１２）。また、比較部は、算出した最小値が記録済みの最小値よりも小さい場合（Ｓ４１０：Ｙｅｓ）、異常フラグをＯｎにする（Ｓ４１２）。また、比較部は、作成した累積リストが記録済みの累積リストと異なる場合（Ｓ４１１：Ｙｅｓ）、異常フラグをＯｎにする（Ｓ４１２）。その後、比較部は、比較項目が他にもある場合には（Ｓ４１３：Ｙｅｓ）、Ｓ４０１以降を繰り返し、比較項目が他にない場合には（Ｓ４１３：Ｎｏ）、処理を終了する。
【０１１８】
また、増加率が閾値以下である場合（Ｓ４０９：Ｎｏ）、算出した最小値が記録済みの最小値以下である場合（Ｓ４１０：Ｎｏ）、作成した累積リストが記録済みの累積リストと同じ場合（Ｓ４１１：Ｎｏ）、比較部は、Ｓ４１２を実行せずにＳ４１３を実行する。
【０１１９】
［ファイル特性判定の説明］
図１１は、ファイルサーバの利用特性の判定を説明する図である。図１１に示す例では、Ａさん、マルウェアに感染したＢさん、Ｃさんの３ユーザがファイルサーバ５０へアクセスする例を示す。
【０１２０】
図１１に示すように、いずれのユーザも正当なアカウントで認証処理を実行するので、ファイルサーバ５０への認証は許可される。一般的な検出ソフト等では、この認証処理でマルウェアの検出を実行するので、Ｂさんがマルウェアに感染したことを検出できない。
【０１２１】
ところが、実施例１に係るネットワーク機器１０は、認証許可後に共有接続が認可される各アクセスからマルウェアによりアクセスを検出することができる。具体的には、ネットワーク機器１０は、正当な利用者なら短時間に共有接続と切断を繰り返さないし、接続時間も短くないと判定する。また、ネットワーク機器１０は、正当な利用者なら存在する共有名やアクセス権の有無を知っているので、存在しない共有名やアクセス権がない共有名への接続要求を必要以上に繰り返さないと判定する。
【０１２２】
ネットワーク機器１０は、共有接続の実行状況からこれらの点に該当する共有接続を検出するので、従来では検出対象ではなかった共有接続時の不正アクセスを検出することができる。また、ネットワーク機器１０は、攻撃者に狙われている危険なサーバを見つけることができる。
【０１２３】
［ファイル特性判定の説明］
図１２は、利用者特性の判定を説明する図である。図１２に示す例では、マルウェアに感染したＡさんがファイルサーバ５１とファイルサーバ５２へアクセスする例を示す。
【０１２４】
図１２に示すように、マルウェアに感染したＡさんが使用するユーザ端末１は、正当なアカウントで認証処理を実行するので、ファイルサーバ５１およびファイルサーバ５２への認証は許可される。一般的な検出ソフト等では、この認証処理でマルウェアの検出を実行するので、Ａさんがマルウェアに感染したことを検出できない。
【０１２５】
ところが、実施例１に係るネットワーク機器１０は、認証許可後に共有接続が認可される各アクセスからマルウェアによりアクセスを検出することができる。具体的には、ネットワーク機器１０は、正当な利用者なら短時間に共有接続と切断を繰り返さないし、接続時間も短くないと判定する。また、ネットワーク機器１０は、正当な利用者なら存在する共有名やアクセス権の有無を知っているので、存在しない共有名やアクセス権がない共有名への接続要求を必要以上に繰り返さないと判定する。さらに、ネットワーク機器１０は、ユーザが使用するＩＰアドレス等はおおよそ決まっており、毎回違うＩＰアドレスであることは少ないと判定する。さらに、ネットワーク機器１０は、ユーザＡが使用したことがない共有名などにアクセスする回数は少ないと判定する。
【０１２６】
ネットワーク機器１０は、共有接続の実行状況からこれらの点に該当する共有接続を検出するので、従来では検出対象ではなかった、共有接続を実行するユーザ端末を特定することができる。また、ネットワーク機器１０は、マルウェアが正規の有効なアカウントを利用して、ファイルサーバ経由でマルウェアを拡散させる活動を検知できる。また、ネットワーク機器１０は、リアルタイムでマルウェア拡散を検知でき、未知のマルウェアの拡散も検知できる。さらに、ネットワーク機器１０は、特別なソフトウェア等を用いずにマルウェアによる攻撃等を検出することができるので、マルウェア検出にかかるコストの削減も実現できる。
【実施例２】
【０１２７】
さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。
【０１２８】
［判定処理］
上記実施例では、ファイルの利用特性と利用者の特性の両方を判定する例を説明したが、これに限定されるものではない。例えば、ネットワーク機器１０は、いずれか一方のみを判定することもでき、各判定項目を任意に組み合わせることもできる。一例を挙げると、ネットワーク機器１０は、利用特性の任意の１項目と利用者特性の任意の２項目とを判定項目として利用することもできる。
【０１２９】
［判定手法］
上記実施例では、ネットワーク機器１０が、基準と実測値との比較、実測値の増加率、最小値などを用いて、不正アクセスを検出する例を説明したが、これに限定されるものではない。例えば、ネットワーク機器１０が、最大値などの他の指標を用いることもできる。具体的には、ネットワーク機器１０は、１日の接続者数を１時間おきに測定して、測定値の最大値を抽出する。そして、ネットワーク機器１０は、最大値が閾値を超える場合、不正アクセスを検出することもできる。
【０１３０】
［システム］
また、図示した装置の各構成は、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、任意の単位で分散または統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。
【０１３１】
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともでき、あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。
【０１３２】
［ハードウェア］
図１３は、ハードウェア構成例を示す図である。図１３に示すように、ネットワーク機器１０は、ＨＤＤ（Hard  Disk  Drive）１０ａ、通信インタフェース１０ｂ、メモリ１０ｃ、ＣＰＵ（Central  Processing  Unit）１０ｄを有する。また、図１３に示した各部は、バス等で相互に接続される。なお、ここで示したハードウェアは一例であり、例えばグラフィックインタフェースやマウスなどの他のハードウェアを有していてもよい。
【０１３３】
ＨＤＤ１０ａは、図２等に示した機能を動作させるプログラムやＤＢを記憶する。通信インタフェース１０ｂは、他の装置との通信を制御するインタフェースであり、例えばネットワークインタフェースカードである。
【０１３４】
ＣＰＵ１０ｄは、図２等に示した各処理部と同様の処理を実行するプログラムをＨＤＤ１０ａ等から読み出してメモリ１０ｃに展開することで、図２等で説明した各機能を実行するプロセスを動作させる。
【０１３５】
すなわち、このプロセスは、ネットワーク機器１０が有する各処理部と同様の機能を実行する。具体的には、ＣＰＵ１０ｄは、キャプチャ部１６、抽出部１７、ファイル処理部１８、利用者処理部１９、警告部２０と同様の機能を有するプログラムをＨＤＤ１０ａ等から読み出す。そして、ＣＰＵ１０ｄは、キャプチャ部１６、抽出部１７、ファイル処理部１８、利用者処理部１９、警告部２０と同様の処理を実行するプロセスを実行する。
【０１３６】
このようにネットワーク機器１０は、プログラムを読み出して実行することでネットワーク監方法を実行する情報処理装置として動作する。また、このプログラムは、ハードディスク、フレキシブルディスク（FlexibleDisk）、ＣＤ−ＲＯＭ（Compact  Disk−Read  Only  Memory）、ＭＯ（Magneto  Optical）ディスク、ＤＶＤ（Digital  Versatile  Disk）などのコンピュータで読み取り可能な記録媒体に記録され、コンピュータによって記録媒体から読み出されることによって実行することができる。なお、この他の実施例でいうプログラムは、ネットワーク機器１０によって実行されることに限定されるものではない。例えば、他のコンピュータまたはサーバがプログラムを実行する場合や、これらが協働してプログラムを実行するような場合にも、本発明を同様に適用することができる。
【符号の説明】
【０１３７】
１０  ネットワーク機器
１１  通信部
１２  記憶部
１２ａ  利用基準ＤＢ
１２ｂ  利用特性ＤＢ
１２ｃ  利用者基準ＤＢ
１２ｄ  利用者特性ＤＢ
１５  制御部
１６  キャプチャ部
１７  抽出部
１８  ファイル処理部
１８ａ  ファイルサーバ利用特性算出部
１８ｂ  特性比較部
１９  利用者処理部
１９ａ  利用者特性算出部
１９ｂ  利用者特性比較部
２０  警告部
【図１】
2016157311.tif 000003
【図２】
2016157311.tif 000004
【図３】
2016157311.tif 000005
【図４】
2016157311.tif 000006
【図５】
2016157311.tif 000007
【図６】
2016157311.tif 000008
【図７】
2016157311.tif 000009
【図８】
2016157311.tif 000010
【図９】
2016157311.tif 000011
【図１０】
2016157311.tif 000012
【図１１】
2016157311.tif 000013
【図１２】
2016157311.tif 000014
【図１３】
2016157311.tif 000015