(57)【要約】【課題】  遠隔操作による不正アクセスを確実に検知する。【解決手段】  不正アクセス検知システムは、機械による操作ではないことの検査を行うためのデータであり且つ所定の特徴を有する検査データを端末へ提示する機械操作検査装置と、検査データを端末に提示した後のネットワーク統計情報から特徴を検出することにより、端末の遠隔操作による不正アクセスを検知する特徴観測装置と、を備える。【選択図】  図１
2016071384.tif 000002
【特許請求の範囲】
【請求項１】
機械による操作ではないことの検査を行うためのデータであり且つ所定の特徴を有する検査データを端末へ提示する機械操作検査装置と、
前記検査データを前記端末に提示した後のネットワーク統計情報から前記特徴を検出することにより、前記端末の遠隔操作による不正アクセスを検知する特徴観測装置と
を備えることを特徴とする不正アクセス検知システム。
【請求項２】
前記特徴観測装置は、パケットの通信量、通信レート、およびデータサイズの内の少なくとも１つの変化を前記特徴として検出することを特徴とする請求項１記載の不正アクセス検知システム。
【請求項３】
前記機械操作検査装置は、前記検査データに、前記特徴を観測するための印を付与することを特徴とする請求項１または２記載の不正アクセス検知システム。
【請求項４】
前記機械操作検査装置は、前記印が単位時間あたりのパケット数である前記検査データを生成し、前記特徴観測装置は、単位時間あたりのパケット数の増加を前記特徴として検出することを特徴とする請求項３記載の不正アクセス検知システム。
【請求項５】
前記機械操作検査装置は、前記印がトラフィック量である前記検査データを生成し、前記特徴観測装置は、トラフィック量の増加を前記特徴として検出することを特徴とする請求項３記載の不正アクセス検知システム。
【請求項６】
前記機械操作検査装置は、メール送信前に前記検査データを前記端末へ提示し、
前記特徴観測装置は、前記特徴を検出した場合、前記端末の遠隔操作による不正なメール送信をブロックすることを特徴とする請求項１−５のいずれか１項に記載の不正アクセス検知システム。
【請求項７】
前記機械操作検査装置は、ファイル送信前に前記検査データを前記端末へ提示し、
前記特徴観測装置は、前記特徴を検出した場合、前記端末の遠隔操作による不正なファイル送信をブロックすることを特徴とする請求項１−５のいずれか１項に記載の不正アクセス検知システム。
【請求項８】
機械による操作ではないことの検査を行うためのデータであり且つ所定の特徴を有する検査データを端末へ提示する機械操作検査手段と、
前記検査データを前記端末に提示した後のネットワーク統計情報から前記特徴を検出することにより、前記端末の遠隔操作による不正アクセスを検知する特徴観測手段と
を備えることを特徴とする不正アクセス検知装置。
【請求項９】
機械による操作ではないことの検査を行うためのデータであり且つ所定の特徴を有する検査データを端末へ提示し、
前記検査データを前記端末に提示した後のネットワーク統計情報から前記特徴を検出することにより、前記端末の遠隔操作による不正アクセスを検知する
ことを特徴とする不正アクセス検知方法。
【請求項１０】
不正アクセス検知装置のコンピュータに、
機械による操作ではないことの検査を行うためのデータであり且つ所定の特徴を有する検査データを端末へ提示する機械操作検査機能と、
前記検査データを前記端末に提示した後のネットワーク統計情報から前記特徴を検出することにより、前記端末の遠隔操作による不正アクセスを検知する特徴観測機能と
を実行させるための不正アクセス検知プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不正アクセス、特に、遠隔操作による不正アクセスを検知する不正アクセス検知システム、不正アクセス検知装置、不正アクセス検知方法、および不正アクセス検知プログラムに関する。
【背景技術】
【０００２】
特定のターゲットに対して攻撃を行う標的型攻撃が知られている。標的型攻撃とは、ターゲットに対してマルウェアに感染しているウェブサイトのＵＲＬ（Uniform Resource Locator）を踏ませることにより、あるいは、ターゲットに対してマルウェアを送り込み実行させることにより端末を不正プログラムに感染させ、最終的に支配下に置く攻撃のことを指す。攻撃者は、支配下に置いた端末から組織内部に対して攻撃を行うことによって、情報の窃取や破壊などの攻撃を実行する。そこで、このような攻撃を防ぐための様々な対策が実施されている。
【０００３】
例えば、特許文献１には、ホワイトリストとＣＡＰＴＣＨＡ（Completely Automated Public Turing test to tell Computers and Humans Apart）認証を併用することによって機械による不正アクセスを検知する技術が記載されている。登録されてないＵＲＬへのアクセス要求があった際に、人間であれば容易に回答できるが機械では回答の難しいＣＡＰＴＣＨＡ認証を行うことで、機械によるアクセス（事実上、攻撃者によって実施されるアクセスと見なすことができる）と人間によるアクセスとを区別することが可能となる。人間によるアクセス要求と判断された場合にアクセス要求のあったＵＲＬをホワイトリストに登録し、機械によるアクセス要求と判断された場合は不正アクセスとして遮断する。
【０００４】
また、特許文献２には、アクセスデータに基づいて特徴量データを算出し、特徴量データと統計モデルデータとを比較して、アクセスデータが未知の異常データであるかを判定し、未知の異常データでない場合に当該アクセスデータを通過させる技術が記載されている。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開２０１３−０９２９９８号公報（ページＮｏ．９）
【特許文献２】特開２００５−２５０８０２号公報（ページＮｏ．９）
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１の技術に関して、端末自体が既にマルウェアに感染している状況下においてはマルウェアに感染した通信経路を利用して攻撃者がＣＡＰＴＣＨＡの入力を行うことによりホワイトリストに登録を行うこと自体は困難ではない。
【０００７】
また、特許文献１の場合、マルウェアによるアクセス要求および人間の操作によるアクセス要求の区別なく全ての登録されていないＵＲＬへのアクセス要求に対してＣＡＰＴＣＨＡがユーザに対して提示される。そのため、実際にマルウェアによる通信を制限するためにはＣＡＰＴＣＨＡが提示された際にマルウェアによるＣＡＰＴＣＨＡ入力要求であるとユーザが理解し、ＣＡＰＴＣＨＡ入力しないという判断が必要である。しかしながら、この判断を通信の情報だけで行うことは非常に困難であるという運用上の問題もある。
【０００８】
すなわち、特許文献１の技術では、標的型攻撃等の遠隔操作による不正アクセスを確実に検知することは困難である。
【０００９】
また、遠隔操作による不正アクセスでは、一般的なトラフィックと同じように振る舞うことによってＩＤＳ／ＩＰＳなどのセキュリティアプライアンスなどでの不正アクセスの検出を避けるといった特徴がある。なお、上記において、ＩＤＳは、Intrusion Detection Systemの略であり、ＩＰＳは、Intrusion Prevention Systemの略である。これには、不正アクセスによる通信を極端に低いレートや散発的に行うことや、通常の通信に不正アクセスによる通信を紛れ込ませるなどといった手法が用いられる。そのため、特許文献２の技術の場合、アクセスデータから未知の異常データの検知は行えるが、遠隔操作による不正アクセスでは、一般的なアクセスデータが残るため確実に検知することは困難である。
【００１０】
本発明は、上記課題を解決するためになされたものであり、遠隔操作による不正アクセスを確実に検知することが可能な不正アクセス検知システム、不正アクセス検知装置、不正アクセス検知方法、および不正アクセス検知プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１１】
本発明の不正アクセス検知システムは、機械による操作ではないことの検査を行うためのデータであり且つ所定の特徴を有する検査データを端末へ提示する機械操作検査装置と、前記検査データを前記端末に提示した後のネットワーク統計情報から前記特徴を検出することにより、前記端末の遠隔操作による不正アクセスを検知する特徴観測装置と、を備える。
【００１２】
本発明の不正アクセス検知装置は、機械による操作ではないことの検査を行うためのデータであり且つ所定の特徴を有する検査データを端末へ提示する機械操作検査手段と、前記検査データを前記端末に提示した後のネットワーク統計情報から前記特徴を検出することにより、前記端末の遠隔操作による不正アクセスを検知する特徴観測手段と、を備える。
【００１３】
本発明の不正アクセス検知方法は、機械による操作ではないことの検査を行うためのデータであり且つ所定の特徴を有する検査データを端末へ提示し、前記検査データを前記端末に提示した後のネットワーク統計情報から前記特徴を検出することにより、前記端末の遠隔操作による不正アクセスを検知することを特徴とする。
【００１４】
本発明の不正アクセス検知プログラムは、不正アクセス検知装置のコンピュータに、機械による操作ではないことの検査を行うためのデータであり且つ所定の特徴を有する検査データを端末へ提示する機械操作検査機能と、前記検査データを前記端末に提示した後のネットワーク統計情報から前記特徴を検出することにより、前記端末の遠隔操作による不正アクセスを検知する特徴観測機能とを実行させるためのプログラムである。
【発明の効果】
【００１５】
本発明によれば、遠隔操作による不正アクセスを確実に検知することが可能となる。
【図面の簡単な説明】
【００１６】
【図１】本発明の第１の実施形態に係る不正アクセス検知システムの構成例を示すブロック図である。
【図２】図１に示されるスイッチの構成例を示すブロック図である。
【図３】図１に示されるＣＡＰＴＣＨＡ提示装置の構成例を示すブロック図である。
【図４】図１に示される特徴観測装置の構成例を示すブロック図である。
【図５】図１に示される不正アクセス検知システムの動作例を示すフローチャートである。
【図６】図１に示される端末で表示されるＣＡＰＴＣＨＡの第１の画像例である。
【図７】図１に示される端末で表示されるＣＡＰＴＣＨＡの第２の画像例である。
【図８】図１に示される端末で表示されるＣＡＰＴＣＨＡの第３の画像例である。
【図９】本発明の第２の実施形態に係る不正アクセス検知システムの構成例を示すブロック図である。
【図１０】図９に示されるメール送信サーバの構成例を示すブロック図である。
【図１１】図９に示される不正アクセス検知システムの動作例を示すフローチャートである。
【発明を実施するための形態】
【００１７】
［第１の実施形態］
（構成の説明）
図１は、本発明の第１の実施形態にに係る不正アクセス検知システム１０の構成例を示すブロック図である。不正アクセス検知システム１０は、ローカルネットワーク２０と外部ネットワーク３０を備える。ローカルネットワーク２０は、例えば、イントラネットなどの組織内のネットワークである。外部ネットワーク３０は、例えば、インターネットなどの組織外部のネットワークである。
【００１８】
ローカルネットワーク２０は、スイッチ１００と、端末２００と、ＣＡＰＴＣＨＡ提示装置３００（機械操作検査装置）と、特徴観測装置４００と、サーバ５００と、を備える。
【００１９】
スイッチ１００は、パケットを処理する。端末２００は、スイッチ１００に接続される。ＣＡＰＴＣＨＡ提示装置３００は、端末２００からのアクセスに対して、機械と人間を判断するＣＡＰＴＣＨＡ問題を端末２００に対して提示し、そのアクセスが人間の操作により行われたものであるか否かを判定する。特徴観測装置４００は、ＣＡＰＴＣＨＡ提示装置３００により提示されたＣＡＰＴＣＨＡの特徴（換言すれば、遠隔操作の特徴）を検出する。サーバ５００は、端末２００からアクセスされる。
【００２０】
図２は、スイッチ１００の構成例を示すブロック図である。スイッチ１００は、パケット受信部１１０と、パケット転送部１２０と、通信ルール記憶部１０１と、ネットワーク統計情報記憶部１０２と、を備える。
【００２１】
パケット受信部１１０は、パケットを受信する。パケット転送部１２０は、パケットを転送する。通信ルール記憶部１０１は、パケットの通信ルールを記憶する。ネットワーク統計情報記憶部１０２は、スイッチ１００で処理されたパケットについてのネットワーク統計情報を記憶する。ネットワーク統計情報には、パケットの通信ログ（例えば、受信もしくは送信パケット数、受信もしくは送信バイト数、パケット破棄数、エラー数等）が含まれる。
【００２２】
なお、スイッチ１００は、一般的なスイッチであってもよく、あるいはＯｐｅｎＦｌｏｗスイッチ等であってもよい。また、スイッチ１００は、パケット処理を実行可能な他の装置、例えば、プロキシやファイアーウォールなどのネットワークアプライアンスで構成することもできる。
【００２３】
端末２００は、例えば、クライアントＰＣ（Personal Computer）などである。ユーザは、端末２００を操作することにより、ＣＡＰＴＣＨＡ提示装置３００から提示されたＣＡＰＴＣＨＡに対する回答入力を行う。また、端末２００は、サーバと通信することが可能である。なお、図１では、端末２００がスイッチ１００に直接接続されている状態が示されているが、スイッチ１００と端末２００とは、別の１以上のスイッチを介して接続されてもよい。
【００２４】
図３は、ＣＡＰＴＣＨＡ提示装置３００の構成例を示すブロック図である。ＣＡＰＴＣＨＡ提示装置３００は、ＣＡＰＴＣＨＡ生成部３１０と、ＣＡＰＴＣＨＡ送信部３２０と、ＣＡＰＴＣＨＡ受信部３３０と、ＣＡＰＴＣＨＡ判定部３４０と、を備える。
【００２５】
ＣＡＰＴＣＨＡ生成部３１０は、ＣＡＰＴＣＨＡを生成する。ＣＡＰＴＣＨＡ送信部３２０は、生成されたＣＡＰＴＣＨＡを端末２００へ送信する。ＣＡＰＴＣＨＡ受信部３３０は、端末２００から送信されるＣＡＰＴＣＨＡ回答を受信する。ＣＡＰＴＣＨＡ判定部３４０は、受信したＣＡＰＴＣＨＡ回答の判定を行う。
【００２６】
本実施形態で提示されるＣＡＰＴＣＨＡは、文字、画像、動画やプログラムコードによるレンダリングなどによるアニメーション、音声ファイルなどで構成される。
【００２７】
端末２００のユーザがＣＡＰＴＣＨＡに回答を行う場合、受け取ったデータに対して回答を行うため、ＣＡＰＴＣＨＡの提示により別の新たな通信が発生することはない。一方、外部ネットワーク３０から遠隔操作によってＣＡＰＴＣＨＡへの回答を行う場合、端末２００から遠隔操作元に動画や音声などのデータを転送するか、端末２００の画面を転送する必要があるため、外部ネットワーク３０と通信が必要となるという特徴がある。
【００２８】
そこで、本実施形態で提示されるＣＡＰＴＣＨＡは、例えば、画面に表示されたタイミングに合わせてキーの入力やクリック操作を要求することを特徴とするＣＡＰＴＣＨＡ、あるいは、入力制限時間を短くした上で、巨大な画像や音声、動画などを提示し表示される文字の入力を要求するＣＡＰＴＣＨＡ等である。
【００２９】
図４は、特徴観測装置４００の構成例を示すブロック図である。特徴観測装置４００は、取得部４１０と、特徴検出部４２０と、通知部４３０と、を備える。
【００３０】
取得部４１０は、スイッチ１００のネットワーク統計情報記憶部１０２からネットワーク統計情報を取得する。
【００３１】
特徴検出部４２０は、取得されたネットワーク統計情報に含まれる、端末２００が外部ネットワーク３０に向けて送信したパケットの通信ログから、ＣＡＰＴＣＨＡの特徴を検出する。
【００３２】
ここで、ＣＡＰＴＣＨＡの特徴とは、パケットの送信レート、トラフィック量の増加などである。ＣＡＰＴＣＨＡの特徴が検出された場合、特徴検出部４２０は、端末２００が遠隔操作されていると判断する。遠隔操作によってＣＡＰＴＣＨＡに回答を行う場合、ＣＡＰＴＣＨＡは、外部ネットワーク３０へ送信される。そこで、特徴検出部４２０は、例えば、ネットワーク統計情報の中の送信パケットの数やトラフィックの増加をＣＡＰＴＣＨＡの特徴として捕らえる。
【００３３】
ところで、ユーザに対して組織からＶＰＮ（Virtual Private Network）等の正規のリモートアクセスによる通信サービスが提供される場合がある。このような正規な通信サービスの場合においても、ローカルネットワーク２０から外部ネットワーク３０への通信が発生する。そこで、例えば、正規な通信サービスを経由する通信をホワイトリストに加えることにより、正規な通信サービスによる通信と遠隔操作とを区別することが可能となる。
【００３４】
通知部４３０は、特徴検出部４２０によってＣＡＰＴＣＨＡの特徴が検出された場合、所定の通信相手（例えば、スイッチ１００、コントローラ、あるいは、ネットワークマネジメントシステム等）に対して、不正アクセス検知の通知を行う。
【００３５】
サーバ５００は、ローカルネットワーク２０を通じて端末２００に対して所定のサービスを提供する。
（動作の説明）
図５は、不正アクセス検知システム１０の動作例（不正アクセス検知システム１０で実行される不正アクセス検出の処理手順）を示すフローチャートである。なお、以下では、遠隔操作により端末２００がサーバ５００に対して通信を開始し、ＣＡＰＴＣＨＡ提示装置３００によってＣＡＰＴＣＨＡが提示され、特徴観測装置４００によって遠隔操作が検知される場合を例に挙げて説明する。
【００３６】
スイッチ１００は、パケット受信部１１０を介して、端末２００が発生させた通信のパケットを受信する（ステップＳ１）。
【００３７】
スイッチ１００は、受信したパケットの通信ルールと通信ルール記憶部１０１に記憶された通信ルールとが一致するか否かを判定する（ステップＳ２）。
【００３８】
通信ルールが一致した場合（ステップＳ２においてＹｅｓ）、スイッチ１００は、一致した通信ルールに記載されたアクションに基づいてパケットを処理する（ステップＳ３）。
【００３９】
一方、通信ルールが一致しなかった場合（ステップＳ２においてＮｏ）、ＣＡＰＴＣＨＡ提示装置３００は、ＣＡＰＴＣＨＡ生成部３１０によって生成されたＣＡＰＴＣＨＡを、ＣＡＰＴＣＨＡ送信部３２０を介して、端末２００へ提示する（ステップＳ４）。
【００４０】
ここで、ＣＡＰＴＣＨＡ生成部３１０によって生成されるＣＡＰＴＣＨＡについて説明する。ＣＡＰＴＣＨＡは、ネットワーク中で観測可能となる印を有していると好ましい。ここで、印とは、例えば、単位時間あたりパケット数やトラフィック量、データサイズである。また、印は、データ内に埋め込まれた特定の文字列やパターンであってもよい。
【００４１】
例えば、上記ＣＡＰＴＣＨＡは、１秒以下などの短い応答時間を要求するＣＡＰＴＣＨＡであるか、１０Ｍｂｐｓ（bits per second）以上など大きな通信帯域を要求するＣＡＰＴＣＨＡであると好ましい。その理由は、遠隔操作は、通常の操作よりも大きな通信遅延が発生するといった特徴や通常の操作よりも通信帯域が小さいといった特徴を有しており、上述の特徴を有するＣＡＰＴＣＨＡに対する回答を遠隔操作で行うことが困難となるからである。
【００４２】
また、例えば、上記ＣＡＰＴＣＨＡは、画面に表示されたアニメーションによる指示に従いタイミングを合わせた操作を、例えば、５０ｍｓ以下の応答速度で行うことを要求するＣＡＰＴＣＨＡとすることもできる。または、上記ＣＡＰＴＣＨＡは、巨大な静止画や動画などのサイズの大きいデータによって構成された大きな通信帯域を必要とするＣＡＰＴＣＨＡとすることもできる。
【００４３】
まず、サイズの大きいデータによって構成されるＣＡＰＴＣＨＡについて、図６を用いて説明する。図６で示される画像例は、文字や数字を歪め、さらに一部を覆い隠すことによって機械が自動で読み取ることを困難とした一般的なＣＡＰＴＣＨＡの画像例である。
【００４４】
そして、本実施形態は、上記画像例のファイルに対して、非表示領域に不要なデータを埋め込む、あるいは、画像の縦横幅を大きくするなどして、データサイズの大きいＣＡＰＴＣＨＡを作成する。あるいは、データサイズの大きいＣＡＰＴＣＨＡは、上記ファイルの形式を動画ファイル形式に変換したり、他の動画ファイルの一部に図６のファイルを埋め込んだりして作成される。ここで、“データサイズが大きいファイル”とは、すなわち、外部ネットワーク３０のスループットに対して転送に十分な時間を要するファイルのことを指す。例えば、データサイズが大きいファイルは、ローカルネットワーク２０内でのスループットが１００Ｍｂｐｓであり、外部ネットワーク３０とローカルネットワーク２０との間でのスループットが１０Ｍｂｐｓである環境下において、ＣＡＰＴＣＨＡに対して３０秒以内で回答させる場合に転送に１分以上の時間を必要とする１００Ｍバイト以上のファイルボリュームのＣＡＰＴＣＨＡである。上述した何れかのデータサイズ拡大加工を行った画像ファイルや動画ファイルは、ユーザに提示される。ＣＡＰＴＣＨＡは、ユーザに対して、それらのファイル中に表示される文字や数字を読み取り、同じ文字列を入力するよう要求する。特徴観測装置４００は、正解の判定を行う。図６で示される例では、特徴観測装置４００は、“ｋｅｙ  ｌｉｍｅ  ｐｉｅ”の文字列を応答として受け取ることで正解と判定する。
【００４５】
次に、画面に表示された指示に従ってタイミングを合わせた操作を要求するＣＡＰＴＣＨＡについて、図７および図８を用いて説明する。図７および図８に示される例では、機械による自動読み取りを困難とした文字列の画像を提示すると共に、入力する文字とタイミングとを枠で表現し、文字と枠が重なったタイミングで枠の中にある文字を入力するものである。具体的には、単に文字列画像が表示されたタイミングでは入力は行われず（図７参照）、文字例画像が表示されたタイミングで且つ文字列中の枠と重なった位置にある文字「ｐ」を、しかも、所定の規定時間以内に返すことではじめて正解と判断される。入力タイミングの誤差を許す規定時間は、低遅延な応答（すなわち、外部ネットワーク３０からローカルネットワーク２０へのアクセス遅延）よりも小さな値が望ましい。例えば、ローカルネットワーク２０内での通信遅延が１０ｍｓであり、外部ネットワーク３０とローカルネットワーク２０との間の通信遅延が１００ｍｓ以上である場合、入力タイミングの誤差を許す規定の時間は、外部ネットワーク３０からの通信遅延よりも短くなる５０ｍｓとする。なお、上述の説明では、入力タイミングを枠で表現する場合が例示されているが、各文字のタイミングを指示する方法は、上記に限定されず、例えば、入力を要求する文字の色を変更方法やハイライト表示する方法であってもよい。
【００４６】
以上説明したような特徴を持ったＣＡＰＴＣＨＡを提示することにより、機械による入力および遠隔操作による入力は困難となる。
【００４７】
図５の説明が再開される。端末２００において、表示されたＣＡＰＴＣＨＡに対するユーザによる回答入力が実行される（ステップＳ５）。端末２００は、ユーザによって入力されたＣＡＰＴＣＨＡ回答を、ＣＡＰＴＣＨＡ提示装置３００へ送信する。
【００４８】
ＣＡＰＴＣＨＡ提示装置３００において、ＣＡＰＴＣＨＡ判定部３４０によるＣＡＰＴＣＨＡ回答の判定が実行される（ステップＳ６）。ＣＡＰＴＣＨＡ回答が不正解と判定された場合（ステップＳ６においてＮＧ）、ステップＳ４の処理が再度実行される。
【００４９】
一方、ＣＡＰＴＣＨＡ回答が正解と判定された場合（ステップＳ６においてＯＫ）、特徴観測装置４００は、ＣＡＰＴＣＨＡの特徴検出を実行する（ステップＳ７）。具体的には、特徴観測装置４００の取得部４１０は、スイッチ１００のネットワーク統計情報記憶部１０２からネットワーク統計情報を取得する。次に、特徴観測装置４００の特徴検出部４２０は、取得されたネットワーク統計情報に含まれる、端末２００が外部ネットワーク３０に向けて送信したパケットの通信ログから、ＣＡＰＴＣＨＡの特徴を検出する。
【００５０】
ここで、ＣＡＰＴＣＨＡの特徴とは、例えば、特徴的なパケットやトラフィックである。特徴観測装置４００の特徴検出部４２０は、パケットの量やレート、サイズなどを記したネットワーク統計情報からＣＡＰＴＣＨＡの提示後の、単位時間中のパケット数増加や、外部ネットワーク３０へのトラフィック量増加を特徴として検出する。
【００５１】
例えば、特徴検出部４２０は、提示されたＣＡＰＴＣＨＡが画面に表示され指示に従ってタイミングを合わせて操作を行うＣＡＰＴＣＨＡである場合、端末２００から外部ネットワーク３０に対して１秒間に１０パケット（１０ｐｐｓ）以上の送信があればＣＡＰＴＣＨＡの特徴として検出する。上記において、ｐｐｓは、Packet Per Secondの略である。
【００５２】
一方、特徴検出部４２０は、提示されたＣＡＰＴＣＨＡが動画によるＣＡＰＴＣＨＡである場合、端末２００と外部ネットワーク３０上の端末間の通信において、端末から外部ネットワーク３０へ向かう通信に１Ｍｂｐｓ以上のスループットでトラフィックが流れた場合にＣＡＰＴＣＨＡの特徴として検出する。
【００５３】
ＣＡＰＴＣＨＡの特徴が検出されなかった場合（ステップＳ７においてＮｏ）、当該通信は許可され、パケットは転送される（ステップＳ９）。一方、ＣＡＰＴＣＨＡの特徴が検出された場合（ステップＳ７においてＹｅｓ）、当該通信は、ブロックされる（ステップＳ８）。具体的には、特徴観測装置４００の通知部４３０は、所定の通信相手（例えば、ネットワークマネジメントシステム）に対して、不正アクセス検知の通知を行う。該通知を受けた通信相手は、端末２００が外部ネットワーク３０から遠隔操作されていると判断し、スイッチ１００に対する該当端末２００の通信ブロック処理などの不正アクセスのブロック処理を行うことで不正アクセスの遮断を行う。
（効果の説明）
遠隔操作による不正アクセスは、外部ネットワーク３０からローカルネットワーク２０内の端末２００へ通信を行うため、ローカルネットワーク２０よりも帯域幅の狭い外部ネットワーク３０がボトルネックとなりスループットが出ないという特徴を有する。さらに、遠隔操作による不正アクセスは、遠隔操作されている端末を介して通信を行うために大きな通信遅延が発生するという特徴を有する。
【００５４】
そこで、本実施形態は、ローカルネットワーク２０内でのアクセス認証に対して、敢えて、回答に高スループットや低レイテンシを要求する特徴を有するＣＡＰＴＣＨＡを提示する。このようなＣＡＰＴＣＨＡを提示することにより、ローカルネットワーク２０内での回答ではパケットのロスや遅延は発生しないが、外部ネットワーク３０から回答を行う場合にパケットのロスや遅延が発生するという特徴が出る。そして、本実施形態では、ネットワーク統計情報から上記特徴を捉えることにより、端末２００が外部ネットワーク３０から遠隔操作されていると判断することが可能となる。
【００５５】
すなわち、以上説明した第１の実施形態によれば、遠隔操作による不正アクセスを確実に検出することが可能となる。
【００５６】
さらに、上記特徴は、ネットワーク統計情報、すなわち、パケットの量やレート等の外形的な情報のみから不正アクセスを検知することができるため、パケットの中身などを確認するための複雑な構成は不要である。従って、以上説明した第１の実施形態によれば、簡素かつ低コストな構成で、遠隔操作による不正アクセスを確実に検出することが可能となる。
【００５７】
なお、図１に示す不正アクセス検知システム１０において、太線で囲んだ構成要素（ＣＡＰＴＣＨＡ提示装置３００および特徴観測装置４００）以外の構成要素は、必須の構成要素でない。すなわち、不正アクセス検知システム１０をＣＡＰＴＣＨＡ提示装置３００および特徴観測装置４００のみで構成した場合であっても上記と同様の効果が奏される。
【００５８】
また、ＣＡＰＴＣＨＡ提示装置３００および特徴観測装置４００のそれぞれを個別の装置として扱うのではなく、それらを１つの装置（例えば、不正アクセス検知装置）内の個別処理手段（例えば、ＣＡＰＴＣＨＡ提示手段および特徴観測手段）として扱うことが可能である。
［第２の実施形態］
第１の実施形態では、通信のパケットに対して不正アクセスの検知を実施する場合を例に挙げたが、以下で説明するように、メールの送信に関して不正アクセスの検知を実施することも可能である。
（構成の説明）
図９は、本発明の第２の実施形態に係る不正アクセス検知システム７００の構成例を示すブロック図である。不正アクセス検知システム７００の、図１に示す第１の実施形態の不正アクセス検知システム１０に対する構成上の差異は、サーバ５００がメール送信サーバ６００に変更されている点のみにある。不正アクセス検知システム７００の他の構成に関しては、不正アクセス検知システム１０と同一である。
【００５９】
図１０は、メール送信サーバ６００の構成例を示すブロック図である。メール送信サーバ６００は、メール送信ルール記憶部６０１と、端末接続部６１０と、ＣＡＰＴＣＨＡ提示装置接続部６２０と、特徴観測装置接続部６３０と、メール送信部６４０と、を備える。
（動作の説明）
図１１は、端末２００がメールを送信する場合における、不正アクセス検知システム７００の動作例を示すフローチャートである。
【００６０】
スイッチ１００は、端末２００から送信されたメールを受信する（ステップＳ２１）。スイッチ１００で受信されたメールは、メール送信サーバ６００へ転送される。
【００６１】
メール送信サーバ６００は、受信したメールの宛先に対するルールとメール送信ルール記憶部５０１に記憶されたルールとが一致するか否かを判定する（ステップＳ２２）。ルールが一致した場合（ステップＳ２２においてＹｅｓ）、メール送信部５４０は、ルールに記載されたアクションに基づいてメールを処理する（ステップＳ２３）。一方、ルールが一致しなかった場合（ステップＳ２２においてＮｏ）、ＣＡＰＴＣＨＡ提示装置３００は、ＣＡＰＴＣＨＡ生成部３１０によって生成されたＣＡＰＴＣＨＡを、ＣＡＰＴＣＨＡ送信部３２０を介して、端末２００へ提示する（ステップＳ２４）。ここで端末２００に提示されるＣＡＰＴＣＨＡは、第１の実施形態と同等である。
【００６２】
端末２００において、表示されたＣＡＰＴＣＨＡに対するユーザによる回答入力が実行される（ステップＳ２５）。端末２００は、ユーザによって入力されたＣＡＰＴＣＨＡ回答を、ＣＡＰＴＣＨＡ提示装置３００へ送信する。
【００６３】
ＣＡＰＴＣＨＡ提示装置３００において、ＣＡＰＴＣＨＡ判定部３４０によるＣＡＰＴＣＨＡ回答の判定が実行される（ステップＳ２６）。ＣＡＰＴＣＨＡ回答が不正解と判定された場合（ステップＳ２６においてＮＧ）、ステップＳ２４の処理が再度実行される。
【００６４】
一方、ＣＡＰＴＣＨＡ回答が正解と判定された場合（ステップＳ２６においてＯＫ）、特徴観測装置４００は、ＣＡＰＴＣＨＡの特徴検出を実行する（ステップＳ２７）。具体的には、特徴観測装置４００の取得部４１０は、スイッチ１００のネットワーク統計情報記憶部１０２からネットワーク統計情報を取得する。次に、特徴観測装置４００の特徴検出部４２０は、取得されたネットワーク統計情報に含まれる、端末２００が外部ネットワーク３０に向けて送信したパケットの通信ログから、ＣＡＰＴＣＨＡの特徴を検出する。
【００６５】
ＣＡＰＴＣＨＡの特徴が検出されなかった場合（ステップＳ２７においてＮｏ）、当該メールは転送される（ステップＳ２９）。具体的には、特徴観測装置４００の通知部４３０は、メール送信サーバ６００の特徴観測装置接続部５３０に対して、「メール送信許可情報」を通知する。特徴観測装置接続部６３０は、メール送信ルール記憶部６０１にメールの宛先の許可ルールを追加する。メール送信部６４０は、メールの送信処理を行う。
【００６６】
一方、ＣＡＰＴＣＨＡの特徴が検出された場合（ステップＳ２７においてＹｅｓ）、当該メールは、ブロックされる（ステップＳ２８）。具体的には、通知部４３０は、特徴観測装置接続部６３０に対して、「メール送信遮断情報」を通知する。特徴観測装置接続部６３０は、メール送信ルール記憶部６０１にメールの宛先のブロックルールを追加する。これにより遠隔操作による不正なメールの送信処理をブロックすることが出来る。
（効果の説明）
以上説明した第２の実施形態のメール送信サーバ６００では、メールの送信時に第１の実施形態と同様の遠隔操作検出処理が実施されるので、メールの送信に関して、遠隔操作による不正な送信処理を検知することが可能となる。
【００６７】
なお、以上説明した第２の実施形態では、遠隔操作の検出処理がメール送信時に実行される場合が例示されているが、遠隔操作の検出処理は、メールの送信時に限定されない。例えば、図９に示されるスイッチ１００にファイルサーバやウェブサーバなどを接続することができる。そして、ファイルサーバへのファイルの送信時の操作、あるいはウェブサーバのフォームなどからの情報送信時の操作に対して、ＣＡＰＴＣＨＡを提示し、特徴を検出することにより遠隔操作の検出を行うことが可能である。
【００６８】
以上説明した各実施形態の全部又は一部の機能を実現するためのプログラムは、コンピュータ読み取り可能な記録媒体に記録される。そして、この記録媒体に記録されたプログラムは、コンピュータシステムによって読み込まれ、実行される。
【００６９】
「コンピュータシステム」の例としては、例えば、ＣＰＵ（Central Processing Unit）を挙げることができる。
【００７０】
「コンピュータ読み取り可能な記録媒体」は、例えば、非一時的な記憶装置である。非一時的な記憶装置の例としては、例えば、光磁気ディスク、ＲＯＭ（Read Only Memory）、不揮発性半導体メモリ等の可搬媒体、コンピュータシステムに内蔵されるハードディスクを挙げることができる。また、「コンピュータ読み取り可能な記録媒体」は、一時的な記憶装置であってもよい。一時的な記憶装置の例としては、例えば、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線、あるいは、コンピュータシステム内部の揮発性メモリを挙げることができる。
【００７１】
また、上記プログラムは、前述した機能の一部を実現するためのものであってもよく、更に前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。
【００７２】
以上、各実施形態を用いて本発明を説明したが、本発明の技術的範囲は、上記各実施形態の記載に限定されない。上記各実施形態に多様な変更又は改良を加えることが可能であることは当業者にとって自明である。従って、そのような変更又は改良を加えた形態もまた本発明の技術的範囲に含まれることは説明するまでもない。また、以上説明した各実施形態において使用される、数値や各構成の名称等は例示的なものであり適宜変更可能である。
【符号の説明】
【００７３】
１０    不正アクセス検知システム
２０    ローカルネットワーク
３０    外部ネットワーク
１００    スイッチ
１０１    通信ルール記憶部
１０２    ネットワーク統計情報記憶部
１１０    パケット受信部
１２０    パケット転送部
２００    端末
３００    ＣＡＰＴＣＨＡ提示装置
３１０    ＣＡＰＴＣＨＡ生成部
３２０    ＣＡＰＴＣＨＡ送信部
３３０    ＣＡＰＴＣＨＡ受信部
３４０    ＣＡＰＴＣＨＡ判定部
４００    特徴観測装置
４１０    取得部
４２０    特徴検出部
４３０    通知部
５００    サーバ
６００    メール送信サーバ
６０１    メール送信ルール記憶部
６１０    端末接続部
６２０    ＣＡＰＴＣＨＡ提示装置接続部
６３０    特徴観測装置接続部
６４０    メール送信部
７００    不正アクセス検知システム
【図１】
2016071384.tif 000003
【図２】
2016071384.tif 000004
【図３】
2016071384.tif 000005
【図４】
2016071384.tif 000006
【図５】
2016071384.tif 000007
【図６】
2016071384.tif 000008
【図７】
2016071384.tif 000009
【図８】
2016071384.tif 000010
【図９】
2016071384.tif 000011
【図１０】
2016071384.tif 000012
【図１１】
2016071384.tif 000013