(57)【要約】【課題】管理者に多大な負担をかけることなく、早期に不正アクセスを発見することが可能な不正アクセス検知システム、不正アクセス検知方法を提供する。【解決手段】利用者の入室または退室時刻を記録した入退室ログと、端末に対する利用者の操作を記録した端末操作ログと、端末からサーバへの操作を記録したサーバ操作ログとを記憶する記憶部と、各ログをマージして利用者ごとおよび端末ごとに時系列に並べ替え、利用者の入室または退室時刻と端末操作ログとサーバ操作ログとを突き合わせることにより、サーバに不正にアクセスし、または不正操作を行った利用者を特定したレポートを出力する証跡管理部と、を備える。【選択図】図２
2016066147.tif 000002
【特許請求の範囲】
【請求項１】
利用者の入室または退室時刻を記録した入退室ログと、端末に対する利用者の操作を記録した端末操作ログと、端末からサーバへの操作を記録したサーバ操作ログとを記憶する記憶部と、
前記各ログをマージして利用者ごとおよび端末ごとに時系列に並べ替え、前記利用者の入室または退室時刻と前記端末操作ログと前記サーバ操作ログとを突き合わせることにより、前記サーバに不正にアクセスし、または不正操作を行った利用者を特定したレポートを出力する証跡管理部と、
を備えることを特徴とする不正アクセス検知システム。
【請求項２】
前記証跡管理部は、前記突合せの結果、前記サーバ操作ログに未処理データがある場合、そのサーバ操作は不正操作であると判断し、前記未処理データを不正データファイルに出力する、
ことを特徴とする請求項１に記載の不正アクセス検知システム。
【請求項３】
前記証跡管理部は、前記突合せの結果、前記サーバ操作ログに未処理データがない場合、さらに前記サーバ操作ログがあらかじめ定められた不正操作に合致するか否かを判定し、前記サーバ操作ログがあらかじめ定められた不正操作に合致する場合、そのサーバ操作は不正操作であると判断し、該当するサーバ操作ログを前記レポートに出力する、
ことを特徴とする請求項２に記載の不正アクセス検知システム。
【請求項４】
前記証跡管理部は、前記入退室ログに利用者の入退室履歴がない場合、過去に記録された前記入退室ログの中から前記利用者の入退室履歴の有無を判定し、過去に記録された前記入退室ログの中から前記利用者の入退室履歴がない場合、不正に入退室したと判断し、不正データファイルに出力する、
ことを特徴とする請求項１〜３のいずれか１項に記載の不正アクセス検知システム。
【請求項５】
利用者の入室または退室時刻を記録した入退室ログと、端末に対する利用者の操作を記録した端末操作ログと、端末からサーバへの操作を記録したサーバ操作ログとをマージして利用者ごとおよび端末ごとに時系列に並べ替えるステップと、
前記利用者の入室または退室時刻と前記端末操作ログと前記サーバ操作ログとを突き合わせることにより、前記サーバに不正にアクセスし、または不正操作を行った利用者を特定したレポートを出力するステップと、
を含むことを特徴とする不正アクセス検知方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正アクセス検知システム、不正アクセス検知方法に関する。
【背景技術】
【０００２】
従来から、不正アクセスに関する様々な技術が存在する。例えば、特許文献１では、システムログのうち不正操作を特定するための条件に合致する操作を行った際のログを、不正操作によるものであると判断している。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１１−３０９０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
上記特許文献１によれば、所定の条件に合致する行為を不正アクセスと判断し、不正操作を検知することができる。しかしながら、システムが複数のサーバや端末から構成されている場合には、そのそれぞれのシステムログについて不正アクセスと判断するための条件の設定や監視が必要となり、管理者にとって多大な負担となっていた。また、管理者はそれぞれのシステムログを監視しなければならず、不正アクセスを早期に発見することが難しいという問題があった。
【０００５】
本発明は、管理者に多大な負担をかけることなく、早期に不正アクセスを発見することが可能な不正アクセス検知システム、不正アクセス検知方法を提供することを目的とする。
【課題を解決するための手段】
【０００６】
上述した課題を解決し、目的を達成するために、本発明にかかる不正アクセス検知システムは、利用者の入室または退室時刻を記録した入退室ログと、端末に対する利用者の操作を記録した端末操作ログと、端末からサーバへの操作を記録したサーバ操作ログとを記憶する記憶部と、前記各ログをマージして利用者ごとおよび端末ごとに時系列に並べ替え、前記利用者の入室または退室時刻と前記端末操作ログと前記サーバ操作ログとを突き合わせることにより、前記サーバに不正にアクセスし、または不正操作を行った利用者を特定したレポートを出力する証跡管理部と、を備えることを特徴とする不正アクセス検知システムとして構成される。
【０００７】
また、本発明は、上記不正アクセス検知システムにおいて実行される不正アクセス検知方法として把握される。
【発明の効果】
【０００８】
本発明によれば、管理者に多大な負担をかけることなく、早期に不正アクセスを発見することができる。
【図面の簡単な説明】
【０００９】
【図１】本実施の形態における不正アクセス検知システムの構成例を示す図である。
【図２】本システムの処理概要を示すイメージを示す図である。
【図３】基準日ファイル（上段）、前日入室記録ファイル（下段）の例を示す図である。
【図４】中間ファイル（１）、中間ファイル（２）、中間ファイル（３）の例を示す図である。
【図５】操作証跡ファイルの例を示す図である。
【図６】不正操作定義一覧ファイル（上段）、不正操作一覧ファイル（下段）の例を示す図である。
【図７】不正データファイル（１）、不正データファイル（２）、不正データファイル（３）、不正アクセスファイルの例を示す図である。
【図８】不正アクセス検知処理の処理手順を示すフローチャートである。
【図９】不正アクセス検知処理の処理手順を示すフローチャートである。
【発明を実施するための形態】
【００１０】
以下に添付図面を参照して、本発明にかかる不正アクセス検知システム、不正アクセス検知方法の実施の形態を詳細に説明する。
【００１１】
図１は、本実施の形態における不正アクセス検知システム１０００の構成例を示す図である。図１に示すように、本実施の形態における不正アクセス検知システム１０００は、入退室管理サーバ１００と、複数の作業端末２００と、複数の業務サーバ３００と、ログ収集サーバ４００と、操作証跡管理サーバ５００と、管理端末６００とを有して構成されている。入退室管理サーバ１００、複数の作業端末２００、複数の業務サーバ３００は、例えば、セキュリティが求められるシステムセンタに設置され、これらの各サーバや端末から送信されるログをログ収集サーバ４００が収集し、収集したログを操作証跡管理サーバ５００に送信している。これらの各サーバや端末は、ＬＡＮ（Local Area Network）やＷＡＮ（Wide Area Network）等の一般的なネットワークＮ１、Ｎ２により接続されている。
【００１２】
入退室管理サーバ１００は、システムセンタにある各居室やブース等のセキュリティエリアへの利用者の入退室を管理するサーバである。入退室管理サーバ１００は、一般的なサーバから構成され、利用者の入退室に関するログ（入退室ログ）を出力し、ログ収集サーバ４００に送信する。入退室ログの構成については後述する。
【００１３】
作業端末２００は、セキュリティエリアの利用者が業務に使用する端末である。作業端末２００は、一般的なコンピュータから構成され、利用者が業務サーバ３００を使用して様々な作業（例えば、業務サーバ３００を利用したプログラミング、システム開発、取引処理等）が実行された際のログ（操作ログ）を出力し、ログ収集サーバ４００に送信する。操作ログの構成については後述する。
【００１４】
業務サーバ３００は、利用者による作業の対象となる業務のシステム（例えば、会社の基幹業務システム、統計システム等）についての処理を実行するサーバである。業務サーバ３００は、一般的なサーバから構成され、処理が実行された際のログ（業務サーバログ）を出力し、ログ収集サーバ４００に送信する。業務サーバログの構成については後述する。
【００１５】
ログ収集サーバ４００は、入退室管理サーバ１００、複数の作業端末２００、複数の業務サーバ３００からそれぞれのログを受信して蓄積し、その中であらかじめ定められた日付のログを操作証跡管理サーバ５００に送信するサーバである。ログ収集サーバ４００は、一般的なサーバから構成され、機能的には、記憶部４０１と、ログ収集部４０２とを有している。
【００１６】
記憶部４０１は、各サーバや端末から受信したログを蓄積して記憶する。また、記憶部４０１は、蓄積したログの中からあらかじめ定められた日付に出力されたログを抽出するための基準日ファイル４０１１を記憶する。各ログや基準日ファイル４０１１の例については後述する。
【００１７】
ログ収集部４０２は、記憶部４０１に記憶されているログの中から基準日ファイル４０１１で示されている日付のログを抽出し、操作証跡管理サーバ５００に送信する。ログ収集部４０２が行う具体的な処理については、フローチャートを用いて後述する。
【００１８】
操作証跡管理サーバ５００は、ログ収集サーバ４００から受信した基準日ごとのログを用いて、システムやセンタ等に不正にアクセスした利用者を特定し、その利用者による操作の証跡をレポートするサーバである。操作証跡管理サーバ５００は、一般的なサーバから構成され、機能的には、記憶部５０１と、証跡管理部５０２とを有している。
【００１９】
記憶部５０１は、ログ収集サーバ４００から受信したログを用いて証跡をレポートするまでに必要な各種のファイルを記憶する。記憶部５０１が記憶するファイルについては後述する。
【００２０】
証跡管理部５０２は、記憶部５０１に記憶されたファイルを用いて不正にアクセスした利用者の証跡をレポートする。証跡管理部５０２が行う具体的な処理については、フローチャートを用いて後述する。
【００２１】
管理端末６００は、本システムを管理する管理者が用いる一般的な端末であり、管理者は、管理端末６００を用いて上述したレポートを確認したり、不正操作を定義する。
【００２２】
図２は、本システムの処理概要を示すイメージを示す図である。図２に示すように、利用者が、セキュリティが確保されたシステムセンタに入室する際に、個人を識別するためのユーザＩＤ等の識別情報が記憶されたＩＣカードリーダをカードリーダ読取機にかざすと、入退室管理サーバ１００が、そのＩＣカードを読み取り、入退室ログを記録する（１）。図２では、例えば、ユーザＩＤが「０００００００１」である利用者は、２０１４年３月３日の０時１０分に入室し、その２分後である０時１２分に退室したことを示している。入退室管理サーバ１００は、随時、記録した入退室ログをログ収集サーバ４００に送信する。なお、送信タイミングについてはバッチ処理でもよい。
【００２３】
また、システムセンタに入室した利用者が、あらかじめ定められた作業端末２００を操作すると、作業端末２００は、端末操作ログを記録する（２）。図２では、例えば、ユーザＩＤが「０００００００１」である利用者は、ＩＰアドレス「１２８．１０．１０．１」の作業端末２００を操作して、２０１４年３月３日の０時１０分０３秒にログインしたことを示している。また、ログアウトした記録がないため、現在もログイン状態が続いていることを示している。作業端末２００は、随時、記録した端末操作ログをログ収集サーバ４００に送信する。なお、送信タイミングについてはバッチ処理でもよい。
【００２４】
さらに、作業端末２００を操作した利用者が業務サーバ３００にアクセスすると、業務サーバ３００は、業務サーバログを記録する（３）。図２では、例えば、ＩＰアドレス「１２８．１０．１０．２」の作業端末２００が、ＩＰアドレス「２５５．２５５．２５５．１」の業務サーバ３００に、２０１４年３月３日の０時１０分１０秒にログインしたことを示している。業務サーバ３００は、随時、記録した行うサーバログをログ収集サーバ４００に送信する。なお、送信タイミングについてはバッチ処理でもよい。
【００２５】
ログ収集サーバ４００では、入退室管理サーバ１００、作業端末２００、業務サーバ３００から受信した各ログの中から、記憶部４０１に記憶されている基準日ファイル４０１１に記憶されている日付のログを抽出し、操作証跡管理サーバ５００に送信する（４）。
【００２６】
操作証跡管理サーバ５００は、記憶部５０１に記憶されている各種ファイル（前日入室記録ファイル５００１、中間ファイル（１）５００２、中間ファイル（２）５００３、中間ファイル（３）５００４、操作証跡ファイル５００５、不正操作一覧ファイル５００６、不正操作定義一覧ファイル５００７、不正データファイル（１）５００８、不正データファイル（２）５００９、不正データファイル（３）５０１０、不正アクセスファイル５０１１）を用いて、不正にアクセスした利用者についてのレポートをバッチ処理で作成する（５）。これらのファイルや処理の内容については後述する。
【００２７】
管理端末６００が操作証跡管理サーバ５００にアクセスし、管理者は、作成されたレポートを閲覧する（６）。なお、不正操作定義一覧ファイル５００７については、管理端末６００を用いて管理者が操作証跡管理サーバ５００にアクセスし、その内容があらかじめ登録されている。
【００２８】
図３は、基準日ファイル４０１１（上段）、前日入室記録ファイル５００１（下段）の例を示す図である。図３に示すように、基準日ファイル４０１１は、操作証跡管理サーバ５００が処理する基準日が記憶されている。図３では、２０１４年３月３日に出力されたログについて、上述したレポートが作成されることを示している。
【００２９】
また、前日入室記録ファイル５００１には、利用者の識別情報であるユーザＩＤと、入室した時間（時刻）と、入室または退室の別を示す入退室とが対応付けて記憶されている。図３では、例えば、ユーザＩＤ「０００００００３」の利用者は、２０１４年３月３日の２０時００分に入室したことを示している。操作証跡管理サーバ５００は、ログ収集サーバ４００が入退室管理サーバ１００から受信した入退室ログファイル１００１を、自身の記憶部５０１に日々蓄積して記憶しているため、前日分の入退室ログファイル１００１の内容を得ることができる。本実施例では前日分の入室について前日入室記録ファイル５００１に記憶しているが、長期プロジェクトなどで利用者が長期間に亘ってシステムセンタ内に常駐している場合もあるため、過去1週間、過去１カ月等、適宜設定してもよい。
【００３０】
図４は、中間ファイル（１）５００２、中間ファイル（２）５００３、中間ファイル（３）５００４の例を示す図である。図４に示すように、中間ファイル（１）は、ユーザＩＤと、利用者が入退室した時間（時刻）または作業端末２００を操作してログインした時間（時刻）と、入退室の別と、作業端末２００のＩＰアドレスと、その作業端末２００での操作内容とが対応付けて記憶されている。図４では、例えば、ユーザＩＤ「０００００００１」の利用者は、２０１４年３月３日の１０時００分に入室した後、同日１０時０３分にＩＰアドレスが「１２８．１０．１０．１」の作業端末２００からログインし、同日の１２時００分に退室したことを示している。このように、中間ファイル（１）には、入退室および作業端末への操作の履歴が、利用者ごとにソートされて記憶されている。中間ファイル（１）の作成についてはフローチャートを用いて後述する。
【００３１】
また、中間ファイル（２）は、作業端末２００のＩＰアドレスと、その作業端末２００を用いて利用者が業務サーバ３００に対して操作した時間（時刻）と、操作した業務サーバ３００のＩＰアドレスと、その業務サーバ３００における操作内容とが対応付けて記憶されている。図４では、例えば、２０１４年３月３日の１０時４０分に、ＩＰアドレス「１２８．１０．１０．１」の作業端末２００から、ＩＰアドレス「２５５．２５５．２５５．１」の業務サーバ３００にログインされたことを示している。このように、中間ファイル（２）には、業務サーバへの操作の履歴が、作業端末２００ごとにソートされて記憶されている。中間ファイル（２）の作成についてはフローチャートを用いて後述する。
【００３２】
さらに、中間ファイル（３）は、中間ファイル（１）と同様に、作業端末２００のＩＰアドレスと、その作業端末２００を用いて利用者が業務サーバ３００に対して操作した時間（時刻）と、操作した業務サーバ３００のＩＰアドレスと、そのときの操作内容とが対応付けて記憶されている。中間ファイル（３）は、中間ファイル（１）を、作業端末ごとにさらに時間でソートしたものであるため、ここでは各項目の説明は省略する。中間ファイル（３）の作成についてはフローチャートを用いて後述する。
【００３３】
図５は、操作証跡ファイル５００５の例を示す図である。図５に示すように、操作証跡ファイル５００５は、ユーザＩＤと、入退室または作業端末や業務サーバを操作した時間（時刻）と、入退室の別と、作業端末のＩＰアドレスと、作業端末での操作内容と、業務サーバのＩＰアドレスと、業務サーバにおける操作内容とが対応付けて記憶されている。操作証跡ファイル５００５は、中間ファイル（２）および中間ファイル（３）を突き合わせ、ログインからログアウトまでの操作内容を利用者および作業端末ごとに時間でソートしたものであるため、ここでは各項目の説明は省略する。操作証跡ファイル５００５の作成についてはフローチャートを用いて後述する。
【００３４】
図６は、不正操作一覧ファイル５００６（下段）、不正操作定義一覧ファイル５００７（上段）の例を示す図である。図６に示すように、不正操作一覧ファイル５００６は、ユーザＩＤと、不正操作をした時間（時刻）と、不正操作を行った作業端末のＩＰアドレスと、その作業端末から不正操作がされた業務サーバのＩＰアドレスと、不正操作の内容とが対応付けて記憶されている。図６では、例えば、ユーザＩＤ「０００００００１」の利用者は、２０１４年３月３日の２０時０７分に、ＩＰアドレスが「１２８．１０．１０．５」の作業端末２００から、ＩＰアドレス「２５５．２５５．２５５．１」の業務サーバ３００にアクセスし、プログラムやコマンドを実行して不正操作である大量データの抜き出しを行ったことを示している。不正操作一覧ファイル５００６の作成についてはフローチャートを用いて後述する。
【００３５】
また、不正操作定義一覧ファイル５００７は、不正操作として定義された操作内容の一覧が記憶されている。証跡管理部５０２は、不正操作定義一覧ファイル５００７に定められた操作を不正操作として判断する。図６では、「大量データの抜き出し」、「アカウントパスワードの変更等、９種類の操作が不正であるとしてあらかじめ定められている。これらの不正操作は、実際にはプログラムや入力されるコマンドにより実行され、それらのプログラムやコマンドに対応付けて不正操作が定められている。
【００３６】
図７は、不正データファイル（１）５００８、不正データファイル（２）５００９、不正データファイル（３）５０１０、不正アクセスファイル５０１１の例を示す図である。図７に示すように、不正データファイル（１）には、作業端末のＩＰアドレスと、その作業端末で操作した時間（時刻）と、操作された業務サーバのＩＰアドレスと、操作内容とが対応付けて記憶されている。具体的には後述するが、不正データファイル（１）５００８には、中間ファイル（２）が作成される際に、ログイン→操作→ログアウトというように正規の手順を経ていないと判断されたレコード（つまり、ログインからログアウトまでの間に行われていない操作についてのレコード）が記憶されている。
【００３７】
また、不正データファイル（２）５００９には、操作証跡ファイル５００５と同様の内容が記憶されている。不正データファイル（２）５００９は、操作証跡ファイル５００５の中で、入室した形跡がない利用者（例えば、自身のＩＣカードを用いずに、他の利用者との共連れにより不正に入室した利用者）のレコードを抜き出したものである。不正データファイル（２）５００９の作成についてはフローチャートを用いて後述する。
【００３８】
さらに、不正データファイル（３）５０１０は、不正データファイル（２）と同様に、操作証跡ファイル５００５の中で、退室した形跡がない利用者（例えば、自身のＩＣカードを用いずに、他の利用者との共連れにより不正に退室した利用者）のレコードを抜き出したものである。不正データファイル（３）５０１０の作成についてはフローチャートを用いて後述する。
【００３９】
また、不正アクセスファイル５０１１は、不正データファイル（１）〜（３）をマージしたファイルであり、操作証跡管理サーバ５００が出力するレポートの内容を記憶するファイルである。不正アクセスファイル５０１１の作成についてはフローチャートを用いて後述する。
【００４０】
図８、９は、本システムで行われる処理（不正アクセス検知処理）の処理手順を示すフローチャートである。
【００４１】
図８、９に示すように、不正アクセス検知処理では、まず、ログ収集サーバ４００のログ収集部４０２が、基準日ファイル４０１１を参照して基準日を取得し、各ログ（入退室ログ、端末操作ログ、業務サーバログ）の中から、その基準日に処理されたデータを抽出し、操作証跡管理サーバ５００に送信する（Ｓ８０１）。
【００４２】
操作証跡管理サーバ５００の証跡管理部５０２は、ログ収集サーバ４００から受信した入退室ログファイル１００１の中からユーザＩＤごとにソートし、最終行の入退室の別が「入室」であるレコードを特定し、図３に示したような前日入室記録ファイル５００１を作成する（Ｓ８０２）。証跡管理部５０２が前日入室記録ファイル５００１を作成することにより、前日からシステムセンタに入室し、退室していない利用者を把握することができる。
【００４３】
証跡管理部５０２は、入退室ログファイル１００１、端末操作ログファイル２００１をユーザＩＤ別に時間で昇順にソートし、図４に示したマージファイルである中間ファイル（１）を作成する（Ｓ８０３）。証跡管理部５０２が中間ファイル（１）を作成することにより、利用者ごとの入退室、端末操作を時系列に把握することができる。
【００４４】
さらに、証跡管理部５０２は、業務サーバログファイル３００１を作業端末のＩＰアドレス別に時間で昇順にソートし、図４に示した中間ファイル（２）を作成する（Ｓ８０４）。証跡管理部５０２が、中間ファイル（２）を作成することにより、作業端末ごとに業務サーバへの操作を時系列に把握することができる。
【００４５】
続いて、証跡管理部５０２は、操作証跡データ作成処理（Ｓ８０５〜Ｓ８０８）を実行する。証跡管理部５０２は、ユーザＩＤごとに操作証跡データ作成処理を繰り返し（Ｓ８０５、Ｓ８０８）、中間ファイル（１）を作業端末２００のＩＰアドレスでソートし、中間ファイル（３）を作成する（Ｓ８０６）。証跡管理部５０２が、中間ファイル（３）を作成することにより、中間ファイル（１）について、さらに端末ごとの端末操作を時系列に把握することができる。
【００４６】
証跡管理部５０２は、Ｓ８０４で作成した中間ファイル（２）、Ｓ８０６で作成した中間ファンル（３）を突き合わせ、図５に示したような操作証跡ファイル５００５を作成する（Ｓ８０７）。具体的には、証跡管理部５０２は、作業端末２００のＩＰアドレスをキーとして、中間ファイル（３）の操作内容である「ログイン」から「ログアウト」までの間の時間に該当する中間ファイル（２）のレコードを、中間ファイル（３）のレコードに挿入する。このとき、中間ファイル（３）の操作内容である「ログイン」に対応するユーザＩＤを、挿入したレコードのユーザＩＤに補完する。中間ファイル（２）のレコードを、中間ファイル（３）のレコードに挿入することにより、ユーザごとに、どの作業端末２００を操作してどの業務サーバ３００に対してどのような操作を行ったのかを、時系列に把握することができる。
【００４７】
証跡管理部５０２は、操作証跡ファイル５００５の作成が終了すると、中間ファイル（２）の未処理データがあるか否か（未処理データ件数がゼロであるか否か）を判定し（Ｓ８０９）、未処理データ件数がゼロであると判定した場合（Ｓ８０９；Ｙｅｓ）、Ｓ８０９に進む一方、未処理データ件数がゼロでないと判定した場合（Ｓ８０９；Ｎｏ）、作業端末ログイン・ログアウトの操作をすることなく業務サーバ３００に対する操作を行ったと判断し、そのレコードを不正データファイル（１）に出力する（Ｓ８１０）。証跡管理部５０２が、不正データファイル（１）を出力することにより、正規の手順（作業端末ログイン、ログアウト）を経ずに業務サーバ３００にアクセスした作業端末２００を把握することができる。
【００４８】
証跡管理部５０２は、未処理データ件数がゼロであると判定した場合（Ｓ８０９；Ｙｅｓ）、さらに、操作証跡ファイル５００５の操作内容に、図６に示した不正操作定義一覧ファイル５００７と合致するデータがあるか否か（合致するデータがゼロであるか否か）を判定し（Ｓ８１１）、合致するデータがゼロであると判定した場合（Ｓ８１１；Ｙｅｓ）、Ｓ８１３に進む一方、合致するデータがゼロでないと判定した場合（Ｓ８１１；Ｎｏ）、業務サーバ３００に対する不正操作が行われたと判断し、図６に示した不正操作一覧ファイル５００６を出力する（Ｓ８１２）。証跡管理部５０２が、不正操作一覧ファイル５００６を出力することにより、ユーザごとにどの作業端末２００からどの業務サーバ３００に対してどのような不正操作が行われたのかを時系列に把握することができる。また、未処理データ件数がゼロの場合、すなわち件数としては不正が行われていない場合であっても、さらに操作内容の不正を判定しているので、例えば、なりすましによって一見して正しく業務サーバにログインし、業務サーバからログアウトした場合であっても、不正操作の有無を判断することができる。
【００４９】
証跡管理部５０２は、合致するデータがゼロであると判定した場合（Ｓ８１１；Ｙｅｓ）、さらに、操作証跡ファイル５００５のデータ整合性チェック処理を実行する（Ｓ８１３〜Ｓ８２１）。証跡管理部５０２は、ユーザＩＤごとにデータ整合性チェック処理を繰り返し（Ｓ８１３、Ｓ８２１）、操作証跡ファイル５００５の最初の行が「入室」であるか否かを判定し（Ｓ８１４）、操作証跡ファイル５００５の最初の行が「入室」であると判定した場合（Ｓ８１４；Ｙｅｓ）、Ｓ８１９に進む。
【００５０】
一方、証跡管理部５０２は、操作証跡ファイル５００５の最初の行が「入室」でないと判定した場合（Ｓ８１４；Ｎｏ）、利用者が前日からシステムセンタに入室している可能性があると判断し、Ｓ８０２で作成した基準日前日の前日入室記録ファイル５００１を読込（Ｓ８１５）、当該ユーザＩＤの入室データが存在するか否かを判定する（Ｓ８１６）。
【００５１】
証跡管理部５０２は、当該ユーザＩＤの入室データが存在すると判定した場合（Ｓ８１６；Ｙｅｓ）、操作証跡ファイル５００５に当該データを挿入し（Ｓ８１８）、Ｓ８１９に進む一方、当該ユーザＩＤの入室データが存在しないと判定した場合（Ｓ８１６；Ｎｏ）、正規の手順でシステムセンタに入室せずにログインしたと判断し、図７に示した不正データファイル（２）を出力する（Ｓ８１７）。証跡管理部５０２が不正データファイル（２）を出力することにより、不正に入室した利用者がどの作業端末２００をどのように操作したのかを時系列に把握することができる。
【００５２】
そして、証跡管理部５０２は、「退室」の次の行が「入室」であるか、または次の行が存在しない行であるか（ＥＯＦであるか）を判定し（Ｓ８１９）、次の行が「入室」、またはＥＯＦであると判定した場合（Ｓ８１９；Ｙｅｓ）、Ｓ８２２に進む一方、次の行が「入室」、またはＥＯＦでないと判定した場合（Ｓ８１９；Ｎｏ）、正規の手順で退室していないか未だシステムセンタで不正な操作を行っていると判断し、図７に示した不正データファイル（３）を出力する（Ｓ８２０）。証跡管理部５０２が、不正データファイル（３）を出力することにより、正規の手順を経ずに退室した利用者や未だシステムセンタに残っている利用者がどの作業端末２００からどの業務サーバ３００に対してどのような操作をしたのかを時系列に把握することができる。
【００５３】
証跡管理部５０２は、操作証跡ファイル５００５をテーブル（操作証跡管理テーブル）に格納するとともに、不正データ（１）〜（３）をマージし、図７に示した不正アクセスファイル５０１１を作成する（Ｓ８２２、Ｓ８２３）。具体的には、証跡管理部５０２は、不正データ（３）のレイアウトに合わせて不正データ（１）〜（３）をマージし、該当がない項目については「−」として設定している。証跡管理部５０２が、不正アクセスファイル５０１１を作成することにより、利用者ごと作業端末ごとに業務サーバに対してどのような操作が行われたのかを時系列に把握することができる。なお、上記処理では、不正データ（１）〜（３）をマージすることとしたが、マージせずに別々のレポートとして作成してもよい。
【００５４】
その後、証跡管理部５０２は、本処理で使用した中間ファイル（１）〜（３）、不正データファイル（１）〜（３）、前日入室記録ファイル５００１を削除し（Ｓ８２４）、ログ収集サーバ４００のログ収集部４０１が、基準日ファイル４００１の基準日を次の日付に更新する（Ｓ８２５）。Ｓ８２５の処理が終了すると、図８に示した全ての処理が終了する。
【００５５】
このように、記憶部５０１が、利用者の入室または退室時刻を記録した入退室ログと、端末に対する利用者の操作を記録した端末操作ログと、端末からサーバへの操作を記録したサーバ操作ログとを記憶し、証跡管理部５０２と、各ログをマージして利用者ごとおよび端末ごとに時系列に並べ替え、利用者の入室または退室時刻と端末操作ログとサーバ操作ログとを突き合わせることにより、サーバに不正にアクセスし、または不正操作を行った利用者を特定したレポートを出力するので、管理者に多大な負担をかけることなく、早期に不正アクセスを発見することができる。また、不正アクセスファイル５０１１および不正操作一覧ファイル５００６が日々出力されるので、システムに不正にアクセスした利用者がどのような操作を行ったのかを容易に把握することができる。
【符号の説明】
【００５６】
１０００              不正アクセス検知システム
１００                入退室管理サーバ
２００                作業端末
３００                業務サーバ
４００                ログ収集サーバ
４０１                記憶部
４０２                ログ収集部
４０１１              基準日ファイル
５００                操作証跡管理サーバ
５０１                記憶部
５０２                証跡管理部
５００１              前日入室記録ファイル
５００２              中間ファイル（１）
５００３              中間ファイル（２）
５００４              中間ファイル（３）
５００５              操作証跡ファイル
５００６              不正操作一覧ファイル
５００７              不正操作定義一覧ファイル
５００８              不正データファイル（１）
５００９              不正データファイル（２）
５０１０              不正データファイル（３）
５０１１              不正アクセスファイル
６００                管理端末
Ｎ１、Ｎ２            ネットワーク。
【図１】
2016066147.tif 000003
【図２】
2016066147.tif 000004
【図３】
2016066147.tif 000005
【図４】
2016066147.tif 000006
【図５】
2016066147.tif 000007
【図６】
2016066147.tif 000008
【図７】
2016066147.tif 000009
【図８】
2016066147.tif 000010
【図９】
2016066147.tif 000011