(57)【要約】      （修正有）【課題】各情報処理装置に対するブルートフォース攻撃の検知精度を向上させる。【解決手段】ネットワーク監視装置１０は、複数の情報処理装置（サーバ）２０ａ、２０ｂ、２０ｃ・・・に対する複数の端末からのネットワークＮ１を介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知するＳＴＢＦ（Ｓｉｎｇｌｅ−Ｔｒｉａｌ  Ｂｒｕｔｅ  Ｆｏｒｃｅ  Ａｔｔａｃｋ）検知部１３と、該当するログイン試行が検知された後において、いずれかの前記端末からのいずれかの情報処理装置に対するログイン試行を拒否し、情報処理装置に対する再度のログイン試行を当該端末に通知する拒否部１４と、を有する。【選択図】図４
2017076185.tif 000002
【特許請求の範囲】
【請求項１】
複数の情報処理装置に対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知する検知部と、
該当するログイン試行が検知された後において、いずれかの前記端末からのいずれかの前記情報処理装置に対するログイン試行を拒否し、当該情報処理装置に対する再度のログイン試行を当該端末に通知する拒否部と、
を有することを特徴とするネットワーク監視装置。
【請求項２】
前記検知部は、前記２以上の情報処理装置に対する共通の端末からの前記共通のアカウント情報による前記所定回数以下ずつのログイン試行の発生を検知する、
ことを特徴とする請求項１記載のネットワーク監視装置。
【請求項３】
前記検知部は、２以上の情報処理装置に対する前記共通のアカウント情報による１回ずつのログイン試行の発生を検知する、
ことを特徴とする請求項１又は２記載のネットワーク監視装置。
【請求項４】
前記検知部は、一定時間ごとに、当該一定時間における前記履歴情報に基づいて、前記２以上の情報処理装置に対する共通のアカウント情報による前記所定回数以下ずつのログイン試行の発生を検知し、
前記拒否部は、該当する試行が検知されない場合は、前記ログイン試行の拒否を行わない、
ことを特徴とする請求項１乃至３いずれか一項記載のネットワーク監視装置。
【請求項５】
複数の情報処理装置のいずれかに対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知する検知部と、
前記情報処理装置ごとに、当該情報処理装置に対するログイン試行の周期を前記履歴情報に基づいて算出する算出部と、
前記情報処理装置ごとに、算出された周期で所定時間の間、前記履歴情報に基づいて当該情報処理装置にログインの実績が無いと判定される端末からのログイン試行を拒否する拒否部と、
を有することを特徴とするネットワーク監視装置。
【請求項６】
複数の情報処理装置に対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知し、
該当するログイン試行が検知された後において、いずれかの前記端末からのいずれかの前記情報処理装置に対するログイン試行を拒否し、当該端末からの当該情報処理装置に対する再度のログイン試行を当該端末に通知する、
処理をコンピュータが実行することを特徴とするネットワーク監視方法。
【請求項７】
複数の情報処理装置のいずれかに対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知し、
前記情報処理装置ごとに、当該情報処理装置に対するログイン試行の周期を前記履歴情報に基づいて算出し、
前記情報処理装置ごとに、算出された周期で所定時間の間、前記履歴情報に基づいて当該情報処理装置にログインの実績が無いと判定される端末からのログイン試行を拒否する、
処理をコンピュータが実行することを特徴とするネットワーク監視方法。
【請求項８】
複数の情報処理装置に対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知し、
該当するログイン試行が検知された後において、いずれかの前記端末からのいずれかの前記情報処理装置に対するログイン試行を拒否し、当該情報処理装置に対する再度のログイン試行を当該端末に通知する、
処理をコンピュータに実行させることを特徴とするネットワーク監視プログラム。
【請求項９】
複数の情報処理装置のいずれかに対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知し、
前記情報処理装置ごとに、当該情報処理装置に対するログイン試行の周期を前記履歴情報に基づいて算出し、
前記情報処理装置ごとに、算出された周期で所定時間の間、前記履歴情報に基づいて当該情報処理装置にログインの実績が無いと判定される端末からのログイン試行を拒否する、
処理をコンピュータに実行させることを特徴とするネットワーク監視プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク監視装置、ネットワーク監視方法、及びネットワーク監視プログラムに関する。
【背景技術】
【０００２】
ネットワークを介してサービスを提供するサーバに対してログイン可能なアカウント情報（例えば、ユーザ名及びパスワードの組み合わせ）を不正に割り出すために、考えられる限りの組み合わせによって、端末からログインを試行する攻撃（すなわち、ブルートフォース攻撃）が存在する。
【０００３】
ブルートフォース攻撃に対しては、単位時間当たりのログインの試行回数に上限を設ける等して攻撃の発生を検知することが有効である。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−０５０８１６号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、複数の端末のそれぞれから、アカウント情報を変えながら１回ずつのログインを試行する攻撃が本願発明者によって観測されている。
【０００６】
このような攻撃については、各サーバから見た場合、ログインの試行回数は１回であるため、ログインの試行回数に対する上限によって検知するのは困難である。
【０００７】
また、過去にログイン実績のない端末からのログイン試行を、当該攻撃として検知することが考えられる。しかし、この場合、正当なユーザによって、通常とは異なった端末からログインが試行された場合に、当該攻撃であるとして誤検知されてしまう可能性が有る。
【０００８】
そこで、一側面では、本発明は、各情報処理装置に対する攻撃の検知精度を向上させることを目的とする。
【課題を解決するための手段】
【０００９】
一つの案では、ネットワーク監視装置は、複数の情報処理装置に対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知する検知部と、該当するログイン試行が検知された後において、いずれかの前記端末からのいずれかの前記情報処理装置に対するログイン試行を拒否し、当該情報処理装置に対する再度のログイン試行を当該端末に通知する拒否部と、を有する。
【発明の効果】
【００１０】
一側面によれば、各情報処理装置に対する攻撃の検知精度を向上させることができる。
【図面の簡単な説明】
【００１１】
【図１】第１の実施の形態におけるシステム構成例を示す図である。
【図２】第１の実施の形態において想定される攻撃を説明するための図である。
【図３】第１の実施の形態におけるネットワーク監視装置のハードウェア構成例を示す図である。
【図４】第１の実施の形態におけるネットワーク監視装置の機能構成例を示す図である。
【図５】第１の実施の形態におけるＳＴＢＦの検知処理の処理手順の一例を説明するためのフローチャートである。
【図６】アクセスログ記憶部の構成例を示す図である。
【図７】解析結果記憶部の第１の構成例を示す図である。
【図８】解析結果記憶部の第２の構成例を示す図である。
【図９】対象サーバ一覧記憶部の構成例を示す図である。
【図１０】第１の実施の形態におけるＳＴＢＦの遮断処理の処理手順の一例を説明するためのフローチャートである。
【図１１】監視履歴記憶部の構成例を示す図である。
【図１２】第２の実施の形態において遮断が行われるタイミングの一例を示す図である。
【図１３】第２の実施の形態におけるネットワーク監視装置の機能構成例を示す図である。
【図１４】ログイン実績の抽出処理の処理手順の一例を説明するためのフローチャートである。
【図１５】ログイン実績記憶部の構成例を示す図である。
【図１６】ＳＴＢＦによる将来のログイン試行時期の予測処理の処理手順の一例を説明するためのフローチャートである。
【図１７】予測時期記憶部の構成例を示す図である。
【図１８】第２の実施の形態におけるＳＴＢＦの遮断処理の処理手順の一例を説明するためのフローチャートである。
【発明を実施するための形態】
【００１２】
以下、図面に基づいて本発明の実施の形態を説明する。図１は、第１の実施の形態におけるシステム構成例を示す図である。図１において、サービス提供環境Ｅ１は、それぞれがネットワークを介してサービスを提供するサーバ２０ａ、２０ｂ及び２０ｃ等の複数のサーバコンピュータが設置されている環境である。以下、各サーバコンピュータを区別しない場合、「サーバ２０」という。
【００１３】
ネットワーク監視装置１０は、各サーバ２０への、ネットワークを介したアクセスを監視するために設置される１以上のコンピュータを含む装置であり、例えば、サービス提供環境Ｅ１と外部ネットワークＮ１との境界に設置される。なお、ネットワーク監視装置１０は、汎用的なコンピュータではなく、専用の装置であってもよい。
【００１４】
外部ネットワークＮ１とは、例えば、インターネット等、サービス提供環境Ｅ１に対して外部の通信網である。外部ネットワークＮ１には、いずれかのサーバ２０によって提供されるサービスに対してアクセスする端末３０ａ、３０ｂ、３０ｃ、及び３０ｄ等の複数の情報処理端末が接続されている。以下、各情報処理端末を区別しない場合、「端末３０」という。
【００１５】
或る端末３０が、或るサーバ２０のサービスにアクセスするためには、当該端末３０は、当該サーバ２０に対するネットワークを介したログイン（認証）に成功する必要が有る。すなわち、各サーバ２０は、ログインに成功した端末３０に対して、サービスを提供する。但し、外部ネットワークＮ１には、ログイン可能なアカウント情報を不正に割り出すための攻撃に利用される端末３０も存在する。例えば、本実施の形態では、図２に示されるような攻撃が想定される。
【００１６】
図２は、第１の実施の形態において想定される攻撃を説明するための図である。図２において、端末３０ａ、端末３０ｂ、及び端末３０ｃは、不正ユーザによって利用される端末３０である。各端末３０から各サーバ２０への矢印は、当該端末３０によるサーバ２０に対するログインの試行（以下、「ログイン試行」ともいう。）を示す。なお、ログイン試行とは、ログインが試みられたことをいい、ログインの成否は問われない。また、各矢印の線種（実線、破線、一点鎖線）の違いは、図２の下方に示されているように、ログイン試行において利用されるアカウント情報に違いを示す。
【００１７】
例えば、不正ユーザは、端末３０ａを利用して、各サーバ２０に対して＜Ｕｓｒ−Ａ／ＰＷ−Ａ＞のアカウント情報によるログインを試行する。なお、図２において、アカウント情報は、＜ユーザ名／パスワード＞の書式に従う。当該不正ユーザは、また、端末３０ｂを利用して、各サーバ２０に対して＜Ｕｓｒ−Ｂ／ＰＷ−Ｂ＞のアカウント情報によるログインを試行する。当該不正ユーザは、更に、端末３０ｃを利用して、＜Ｕｓｒ−Ｃ／ＰＷ−Ｃ＞のアカウント情報によるログインを試行する。なお、図２では、説明の便宜上、３つの端末３０が例示されているが、更に多数の端末３０が利用されてもよい。
【００１８】
１つの端末３０による１つのサーバ２０に対するログイン試行は１回である。但し、したがって、図２の例において、各サーバ２０は、３回のログイン試行を受けることになる。ここで、３回のログインの試行のそれぞれのアカウント情報は相互に異なる。したがって、図２に示される攻撃は、不正ユーザから見た場合、複数の端末３０を利用したブルートフォース攻撃であるが、サーバ２０から見た場合、例えば、同一の端末３０からのログイン試行の回数に閾値を設けて、ブルートフォース攻撃として検知するのは困難である。すなわち、サーバ２０から見た場合、図２に示される攻撃は、一般的なブルートフォース攻撃とは異なる。そこで、本実施の形態において、図２に示されるような攻撃を、便宜上、ＳＴＢＦ（Single-Trial Brute Force Attack）という。なお、同一端末３０による同一サーバ２０に対する閾値（ブルートフォース攻撃に対する閾値）以下のログイン試行による攻撃も、ＳＴＢＦの概念に含まれてもよい。
【００１９】
ネットワーク監視装置１０は、ＳＴＢＦを検知するための処理と、ＳＴＢＦによる正しいアカウント情報の割り出しを回避するための処理とを実行する。以下、ネットワーク監視装置１０について具体的に説明する。
【００２０】
図３は、第１の実施の形態におけるネットワーク監視装置のハードウェア構成例を示す図である。図３のネットワーク監視装置１０は、それぞれバスＢで相互に接続されているドライブ装置１００、補助記憶装置１０２、メモリ装置１０３、ＣＰＵ１０４、及びインタフェース装置１０５等を有する。
【００２１】
ネットワーク監視装置１０での処理を実現するプログラムは、記録媒体１０１によって提供される。プログラムを記録した記録媒体１０１がドライブ装置１００にセットされると、プログラムが記録媒体１０１からドライブ装置１００を介して補助記憶装置１０２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１０１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１０２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
【００２２】
メモリ装置１０３は、プログラムの起動指示があった場合に、補助記憶装置１０２からプログラムを読み出して格納する。ＣＰＵ１０４は、メモリ装置１０３に格納されたプログラムに従ってネットワーク監視装置１０に係る機能を実行する。インタフェース装置１０５は、ネットワークに接続するためのインタフェースとして用いられる。
【００２３】
なお、記録媒体１０１の一例としては、ＣＤ−ＲＯＭ、ＤＶＤディスク、又はＵＳＢメモリ等の可搬型の記録媒体が挙げられる。また、補助記憶装置１０２の一例としては、ＨＤＤ（Hard Disk Drive）又はフラッシュメモリ等が挙げられる。記録媒体１０１及び補助記憶装置１０２のいずれについても、コンピュータ読み取り可能な記録媒体に相当する。
【００２４】
図４は、第１の実施の形態におけるネットワーク監視装置の機能構成例を示す図である。図４において、ネットワーク監視装置１０は、アクセスログ収集部１１、アクセスログ解析部１２、ＳＴＢＦ検知部１３、及びＳＴＢＦ遮断部１４等を有する。これら各部は、ネットワーク監視装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。ネットワーク監視装置１０は、また、アクセスログ記憶部１２１、解析結果記憶部１２２、対象サーバ一覧記憶部１２３、及び監視履歴記憶部１２４等を利用する。これら各記憶部は、例えば、補助記憶装置１０２、又はネットワーク監視装置１０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。
【００２５】
アクセスログ収集部１１は、例えば、定期的に各サーバ２０からアクセスログを取得し、取得されたアクセスログをアクセスログ記憶部１２１に記憶する。アクセスログとは、ログイン試行に関する履歴情報をいう。
【００２６】
アクセスログ解析部１２は、アクセスログ記憶部１２１に記憶されたアクセスログを解析して、サーバ２０と、端末３０及びアカウント情報との組み合わせごとに、当該組み合わせに係るログイン試行の発生日時の集合を生成する。生成された各集合は、解析結果記憶部１２２に記憶される。
【００２７】
ＳＴＢＦ検知部１３は、解析結果記憶部１２２を参照して、ＳＴＢＦの発生を検知する。具体的には、複数のサーバ２０に対して共通の端末２０からの共通のアカウント情報でのログインの試行が検出された場合、ＳＴＢＦが発生したと判定される。ＳＴＢＦ検知部１３は、また、ＳＴＢＦとしての攻撃を受けたと判定されるサーバ２０の一覧情報を対象サーバ一覧記憶部１２３に記憶する。
【００２８】
ＳＴＢＦ遮断部１４は、ＳＴＢＦ検知部１３によってＳＴＢＦの発生が検知された場合に、ＳＴＢＦによる正しいアカウント情報の割り出しを回避するために、ログインの試行に対して制限をかける処理（以下、斯かる制限を「遮断」といい、斯かる処理を「遮断処理」という。）を実行する。第１の実施の形態における遮断処理は、以下の（手順１）及び（手順２）の２つの手順を含む。
（手順１）遮断処理の開始後において、ＳＴＢＦの対象とされた各サーバ２０への各端末３０からの最初のログイン試行に対しては、ユーザ名及びパスワードが合致するか否かに関わらず、ログインを拒否する。
（手順２）ログインを拒否した後、同じ端末３０から同じサーバ２０に対してログイン試行が発生したら、正規ユーザからのログイン試行であると判断し、当該ログイン試行に指定されているユーザ名及びパスワードに基づくログインの成否の判定をログイン試行の対象のサーバ２０に実行させる。
【００２９】
一般的に、正規ユーザは、１度目のログインが失敗した場合に、ユーザ名又はパスワードの入力を誤ったと判断し、再度、ログインを試行する可能性が高いと考えられる。第１の実施の形態では、正規ユーザによるこのような行動特性が利用される。すなわち、正規ユーザであれば、（手順１）においてログインが失敗したとしても、（手順２）において、ログインが成功し、所望のサーバ２０を利用させることができる。一方、ＳＴＢＦでは、同一端末３０からの同一のアカウント情報でのログイン試行は１回であるため、（手順１）によって、ＳＴＢＦによる全てのログイン試行を遮断することができる。
【００３０】
監視履歴記憶部１２４には、ログイン試行ごとに、ログイン試行の対象のサーバ２０の名前（以下、「サーバ名」という。）と、ログイン試行元の端末３０のＩＰアドレスと、ログイン試行の発生時刻とが記憶される。
【００３１】
以下、第１の実施の形態においてネットワーク監視装置１０が実行する処理手順について説明する。図５は、第１の実施の形態におけるＳＴＢＦの検知処理の処理手順の一例を説明するためのフローチャートである。図５の処理手順は、例えば、一定時間ごとに実行される。例えば、１時間ごと又は６時間ごとに図５の処理手順が実行されてもよい。又は他の時間間隔で図５の処理手順が実行されてもよい。
【００３２】
ステップＳ１０１において、アクセスログ収集部１１は、監視対象の各サーバ２０から、当該サーバ２０において記憶されているアクセスログを収集する。この際、収集されるアクセスログは、現時点から一定時間前までの間に各サーバ２０において記憶されたアクセスログである。アクセスログ収集部１１は、収集されたアクセスログを、アクセスログ記憶部１２１に記憶する。なお、アクセスログ記憶部１２１は、図５の処理手順の開始時に初期化（クリア）されてもよい。
【００３３】
図６は、アクセスログ記憶部の構成例を示す図である。図６に示されるように、アクセスログ記憶部１２１には、収集されたアクセスログが記憶される。各アクセスログは、サーバ名、ログイン試行日時、端末アドレス、ユーザ名、パスワード、及びログイン結果等を含む。
【００３４】
サーバ名は、ログイン試行の対象のサーバ２０のサーバ名である。ログイン試行日時は、ログイン試行が発生した日時である。端末アドレスは、ログイン試行の送信元の端末３０のＩＰアドレスである。ユーザ名及びパスワードは、ログイン試行に指定されていたアカウント情報を構成するユーザ名及びパスワードである。ログイン結果は、ログインの成否を示す値である。ＮＧは、ログインが失敗したことを示す。ＯＫは、ログインが成功したことを示す。
【００３５】
続いて、アクセスログ解析部１２は、ステップＳ１０１においてアクセスログ記憶部１２１に新たに記憶されたアクセスログ群を解析して、サーバ２０と各端末３０からのアカウント情報との組み合わせごとに、当該組み合わせに関する各アクセスログのログイン試行日時の集合を生成する（Ｓ１０２）。アクセスログ解析部１２は、生成された集合を解析結果記憶部１２２に記憶する。なお、解析結果記憶部１２２は、図５の処理手順が開始されるたびに、初期化（クリア）される。
【００３６】
図７は、解析結果記憶部の第１の構成例を示す図である。図７に示されるように、解析結果記憶部１２２には、サーバ名と、端末アドレス、ユーザ名、及びパスワードとの組み合わせごとに、当該組み合わせに関する各アクセスログのログイン試行日時が記憶される。なお、解析結果記憶部１２２において、当該組み合わせごとの要素の初期値は、０である。したがって、ログイン試行が発生していない組み合わせに対する要素の値は、０である。また、複数回のログイン試行が発生している組み合わせに対しては、複数回のそれぞれのログイン試行日時が記憶される。
【００３７】
なお、ステップＳ１０２において、端末アドレスの違いは無視されてもよい。すなわち、サーバ２０とアカウント情報との組み合わせごとに、当該組み合わせに関するアクセスログのログイン試行日時の集合が生成されてもよい。この場合、解析結果記憶部１２２は、例えば、図８に示されるように構成されてもよい。
【００３８】
図８は、解析結果記憶部の第２の構成例を示す図である。図８に示される解析結果記憶部１２２には、サーバ名と、ユーザ名及びパスワードとの組み合わせごとに、当該組み合わせに関するアクセスログのログイン試行日時が記憶される。すなわち、図８の例では、図７において、端末アドレスは異なるがアカウント情報が共通する列が統合される。
【００３９】
続いて、ＳＴＢＦ検知部１３は、解析結果記憶部１２２を参照して、２以上のサーバ２０に対して同じログイン試行が発生しているか否かを判定する（Ｓ１０３）。ここで、「同じログイン試行」とは、解析結果記憶部１２２における列が共通するログイン試行をいう。すなわち、図７の例では、端末アドレス、ユーザ名、及びパスワードが共通するログイン試行が、同じログイン試行である。一方、図８の例では、ユーザ名及びパスワードが共通するログイン試行が、同じログイン試行である。
【００４０】
図７の例によれば、「ｘｘ．ｘｘ．ｘｘ．ｘｘ／Ａｌｉｃｅ／ａｌｉｃｅ１」に係るログイン試行が、サーバｘとサーバａとに対して発生している。したがって、この場合、２以上のサーバ２０に対して同じログイン試行が発生していると判定される。なお、図７の例では、「ｙｙ．ｙｙ．ｙｙ．ｙｙ／Ｂｏｂ／ｂｏｂ２」に係るログイン試行も、サーバｘ、サーバｙ、及びサーバｂに対して、すなわち、２以上のサーバ２０に対して発生している。
【００４１】
また、図８の例によれば、「Ａｌｉｃｅ／ａｌｉｃｅ１」に係るログイン試行が、サーバｘとサーバａとに対して発生している。したがって、この場合、２以上のサーバ２０に対して同じログイン試行が発生していると判定される。なお、図８の例では、「Ｂｏｂ／ｂｏｂ２」に係るログイン試行も、サーバｘ、サーバｙ、及びサーバｂに対して、すなわち、２以上のサーバ２０に対して発生している。
【００４２】
なお、２以上のサーバ２０のそれぞれに対して同じログイン試行が『１回ずつ』発生していることが、ステップＳ１０３における判定条件とされてもよい。当該判定条件は、検知対象とするＳＴＢＦを行う各端末３０が、一つのサーバ２０に対するログイン試行の回数が１回のみである場合に有効である。
【００４３】
又は、２以上のサーバ２０のそれぞれに対して同じログイン試行が『Ｎ回以下ずつ』発生していることが、ステップＳ１０３における判定条件とされてもよい。ここで、Ｎ回は、一般的なブルートフォース攻撃を検知するための進入検知システム（ＩＤＳ（Intrusion Detection System））に対するログイン試行回数の閾値である。すなわち、当該閾値を超えて同じログイン試行が発生した場合に、進入検知システムは、ブルートフォース攻撃の発生を検知する。
【００４４】
つまり、『１回ずつ』又は『Ｎ回以下ずつ』という条件は、一般的な進入検知システムによって検知可能な一般的なブルートフォース攻撃を、ＳＴＢＦ検知部１３による検知対象（すなわち、ＳＴＢＦ）から除外するための条件である。換言すれば、『１回ずつ』又は『Ｎ回以下ずつ』という条件は、ＳＴＢＦの検知精度を上げるための条件である。
【００４５】
２以上のサーバ２０に対して同じログイン試行が発生している場合（Ｓ１０３でＹｅｓ）、ＳＴＢＦ検知部１３は、ＳＴＢＦが発生していると判断し、当該ログイン試行の対象のサーバ２０のサーバ名と、現在日時とを対応付けて対象サーバ一覧記憶部１２３に記憶する（Ｓ１０４）。なお、対象サーバ一覧記憶部１２３は、図５の処理手順が開始されるたびに、初期化（クリア）される。
【００４６】
図９は、対象サーバ一覧記憶部の構成例を示す図である。図９に示されるように、対象サーバ一覧記憶部１２３には、サーバ名と判断日時とが対応付けられて記憶される。判断日時は、サーバ名に係るサーバ２０がＳＴＢＦの対象とされたことが判断された日時であり、ステップＳ１０４における現在日時である。
【００４７】
続いて、ＳＴＢＦ検知部１３は、ＳＴＢＦの遮断処理が既に実行中であるか否かを判定する（Ｓ１０５）。すなわち、前回以前の図５の処理手順の実行時において、ステップＳ１０６が実行されることにより、既に、ＳＴＢＦ遮断部１４に対して遮断処理の開始が要求されているか否かが判定される。ＳＴＢＦの遮断処理が実行中である場合（Ｓ１０５でＹｅｓ）、図５の処理は終了する。
【００４８】
ＳＴＢＦの遮断処理が実行中でない場合（Ｓ１０５でＮｏ）、ＳＴＢＦ検知部１３は、ＳＴＢＦの遮断処理の開始をＳＴＢＦ遮断部１４に要求する（Ｓ１０６）。当該要求に応じ、ＳＴＢＦ遮断部１４が遮断処理を開始する。
【００４９】
一方、２以上のサーバ２０に対して同じログインが試行されていない場合（Ｓ１０３でＮｏ）、ＳＴＢＦ検知部１３は、ＳＴＢＦの遮断処理が実行中であるか否かを判定する（Ｓ１０７）。ＳＴＢＦの遮断処理の実行中である場合（Ｓ１０７でＹｅｓ）、ＳＴＢＦ検知部１３は、ＳＴＢＦの遮断処理の終了を、ＳＴＢＦ遮断部１４に要求する（Ｓ１０８）。当該要求に応じ、ＳＴＢＦ遮断部１４が遮断処理を終了する。すなわち、直前の一定時間において、２以上のサーバ２０に対して同じログインが試行されていないため、ＳＴＢＦは終了したと判断されて、遮断処理が終了される。
【００５０】
なお、ＳＴＢＦの遮断処理の実行中でない場合（Ｓ１０７でＮｏ）、ステップＳ１０８は実行されない。
【００５１】
続いて、ステップＳ１０６に応じてＳＴＢＦ遮断部１４が実行する、ＳＴＢＦの遮断処理について説明する。図１０は、第１の実施の形態におけるＳＴＢＦの遮断処理の処理手順の一例を説明するためのフローチャートである。
【００５２】
ＳＴＢＦ遮断部１４は、遮断処理を開始すると、いずれかのＳＴＢＦ対象サーバに対するログイン試行の発生を待機する（Ｓ２０１）。ＳＴＢＦ対象サーバとは、ＳＴＢＦ対象サーバ一覧記憶部１２３（図９）に対してサーバ名が記憶されているサーバ２０をいう。
【００５３】
ＳＴＢＦ遮断部１４は、いずれかの端末２０からのＳＴＢＦ対象サーバに対するログイン試行を受信すると（Ｓ２０１でＹｅｓ）、当該ログイン試行（以下、「対象ログイン試行」という。）の送信元の端末３０の端末アドレスと、対象ログイン試行の対象のサーバ２０のサーバ名との組み合わせが、監視履歴記憶部１２４に記憶されているか否かを判定する（Ｓ２０２）。なお、監視履歴記憶部１２４は、遮断処理の開始時に初期化（クリア）される。したがって、遮断処理の開始後に初めてステップＳ２０２が実行される場合には、当該判定はＮｏとなり、ステップＳ２０３に進む。
【００５４】
ステップＳ２０３において、ＳＴＢＦ遮断部１４は、対象ログイン試行の送信元の端末３０に対してログインの失敗を返信する。なお、ステップＳ２０３は、上記における（手順１）に対応する処理である。続いて、ＳＴＢＦ遮断部１４は、対象ログイン試行の送信元の端末３０の端末アドレス、対象ログイン試行の対象のサーバ２０のサーバ名と、現在日時とを対応付けて監視履歴記憶部１２４に記憶する（Ｓ２０４）。
【００５５】
図１１は、監視履歴記憶部の構成例を示す図である。図１１に示されるように、監視履歴記憶部１２４には、遮断処理の開始後にログイン試行の対象とされたＳＴＢＦ対象端末３０ごとに、端末３０名と、当該ログイン試行の送信元の端末３０の端末アドレスと、当該ログイン試行の発生日時とが対応付けられて記憶される。
【００５６】
一方、対象ログイン試行の送信元の端末３０の端末アドレスと、対象ログイン試行の対象のサーバ２０のサーバ名との組み合わせが、監視履歴記憶部１２４に記憶されている場合（Ｓ２０２でＹｅｓ）、ＳＴＢＦ遮断部１４は、対象ログイン試行を、対象のサーバ２０へ転送する（Ｓ２０５）。すなわち、同じ端末３０からの同じサーバ２０への再度のログイン試行については、正規のログイン試行であると判断されて、対象のサーバ２０へ転送される。その結果、当該サーバ２０によって、対象ログイン試行に指定されているユーザ名及びパスワードに関して認証が行われ、当該認証の成否が、対象ログイン試行の送信元の端末３０へ返信される。すなわち、ステップＳ２０５は、上記の（手順２）に対応する処理である。
【００５７】
なお、図５のステップＳ１０３において、２以上のサーバ２０のそれぞれに対して同じログイン試行が『Ｎ回以下ずつ』発生していることが判定条件とされる場合、図１０のステップＳ２０２では、対象ログイン試行の送信元の端末３０の端末アドレスと、対象ログイン試行の対象のサーバ２０のサーバ名との組み合わせを含む履歴がＮ個を超えているか否かが判定されてもよい。該当する履歴がＮ個を超えている場合、ステップＳ２０５が実行され、該当する履歴がＮ個以下である場合、ステップＳ２０３及びＳ２０４が実行されてもよい。すなわち、図５のステップＳ１０３において、２以上のサーバ２０のそれぞれに対して同じログイン試行が『Ｎ回以下ずつ』発生していることが判定条件とされる場合は、ＳＴＢＦにおいて、同じサーバ２０に対して同じログインが最大でＮ回発生する可能性が有る場合である。したがって、この場合、Ｎ＋１回目のログイン試行を正規ユーザからのログイン試行であると判断することで、ＳＴＢＦが遮断される可能性を高めることができる。
【００５８】
上述したように、第１の実施の形態によれば、サーバ２０ごとには１つの端末３０から所定回数以下のログイン試行しか発生していない場合であっても、複数のサーバ２０のアクセスログを解析することで、複数のサーバ２０に対する共通のアクセス情報による所定回数以下ずつのログイン試行を検知することができる。その結果、ＳＴＢＦの発生を検知することができる。
【００５９】
また、ＳＴＢＦによるログイン試行と正規ユーザによるログイン試行の挙動の違いに基づいて、ネットワーク監視装置１０は、各端末３０からの最初（又は所定回数以下）のログイン試行は拒否し、再度の（又は所定回数を超える）ログイン試行は、サーバ２０に通知する。したがって、正規ユーザは、これまでと異なる端末３０からログイン試行した場合であっても、所定回数を超えるログインを試行すれば、当該ログイン試行はサーバ２０に通知される。その結果、正規ユーザによるログイン試行をＳＴＢＦによるログイン試行であるとして誤って検知して遮断してしまうことを回避することができる。
【００６０】
上記より、本実施の形態によれば、各サーバ２０に対して所定回数以下ずつのログインの試行に対する攻撃の検知精度を向上させることができる。
【００６１】
また、本実施の形態では、一定時間ごとにアクセスログが解析されて、ＳＴＢＦの発生の有無が判定される。ＳＴＢＦの発生が検知されない場合には、遮断処理が終了する。したがって、ＳＴＢＦが終了したにも拘わらず、遮断処理が継続することによる、ユーザビリティの低下を回避することができる。
【００６２】
次に、第２の実施の形態について説明する。第２の実施の形態では第１の実施の形態と異なる点について説明する。第２の実施の形態において、特に言及されない点については、第１の実施の形態と同様でもよい。
【００６３】
第２の実施の形態では、遮断処理が第１の実施の形態と異なる。具体的には、第２の実施の形態では、ログイン試行の対象のサーバ２０に対して過去にログインに成功したことのない端末３０からのログイン試行を拒否することで遮断が行われる。但し、この場合、例えば、これまでＰＣ（Personal Computer）からログインしていた正規ユーザが、スマートフォンからログインを試行した場合等に、ログインが拒否されてしまう。
【００６４】
そこで、第２に実施の形態では、ＳＴＢＦにおいて、ログイン試行がサーバ２０ごとに周期的に行われる傾向が有る点に着目し、遮断が行われる時間が限定される。例えば、図１２に示されるようなタイミングで遮断が行われる。
【００６５】
図１２は、第２の実施の形態において遮断が行われるタイミングの一例を示す図である。図１２は、３分周期でログイン試行が行われことが判明した場合について、遮断が行われるタイミングの例を示す。この場合、例えば、１周期のうちの最初の２分は、遮断を行わず、最後の１分に遮断が行われる。すなわち、図１２において、網掛けの矩形が割り当てられた期間に、遮断が行われる。
【００６６】
遮断のタイミングが限定されることで、正規ユーザによるログインが遮断されてしまう可能性を低下させることができ、ユーザビリティの低下を回避することができる。
【００６７】
上記のような遮断を実現するために、第２の実施の形態において、ネットワーク監視装置１０は、例えば、図１３に示されるような機能構成を有する。
【００６８】
図１３は、第２の実施の形態におけるネットワーク監視装置の機能構成例を示す図である。図１３中、図４と同一又は対応する部分には同一符号を付し、その説明は適宜省略する。
【００６９】
図１３において、ネットワーク監視装置１０は、更に、ログイン実績抽出部１５及びＳＴＢＦ予測部１６等を有する。これら各部は、ネットワーク監視装置１０にインストールされた１以上のプログラムが、ＣＰＵ１０４に実行させる処理により実現される。ネットワーク監視装置１０は、また、ログイン実績記憶部１２５及び予測時期記憶部１２６等を更に利用する。これら各記憶部は、例えば、補助記憶装置１０２、又はネットワーク監視装置１０にネットワークを介して接続可能な記憶装置等を用いて実現可能である。
【００７０】
ログイン実績抽出部１５は、アクセスログ記憶部１２１に記憶されたアクセスログからログインに成功したことを示すアクセスログを抽出し、抽出されたアクセスログに係る端末３０とサーバ２０との組について、ログイン実績が有ることを示す情報を、ログイン実績記憶部１２５に記憶する。ログイン実績記憶部１２５には、サーバ２０と端末３０との組ごとに、ログイン実績の有無を示す情報が記憶される。ログイン実績とは、過去においてログインに成功したことの実績をいう。
【００７１】
ＳＴＢＦ予測部１６は、解析結果記憶部１２２（図７又は図８）に記憶された情報と、対象サーバ一覧記憶部１２３（図９）に記憶されている情報とに基づいて、ＳＴＢＦ対象サーバごとに、ＳＴＢＦによるログイン試行の周期（間隔）を算出する。ＳＴＢＦ予測部１６は、算出された周期に基づいて、ＳＴＢＦによる将来のログイン試行時期の予測値を算出する。ＳＴＢＦ予測部１６は、算出された予測値を予測時期記憶部１２６に記憶する。
【００７２】
なお、第２の実施の形態において、ネットワーク監視装置１０は、監視履歴記憶部１２４を利用しなくてもよい。
【００７３】
以下、第２の実施の形態においてネットワーク監視装置１０が実行する処理手順について説明する。図１４は、ログイン実績の抽出処理の処理手順の一例を説明するためのフローチャートである。図１４の処理手順は、例えば、図５のステップＳ１０１に続いて、ステップＳ１０２と並行に実行されてもよいし、ステップＳ１０２の前後においてステップＳ１０２と直列的に実行されてもよい。
【００７４】
ステップＳ３０１において、ログイン実績抽出部１５は、ステップＳ１０１においてアクセスログ記憶部１２１に新たに記憶されたアクセスログ群から、ログイン結果の値がＯＫであるアクセスログを抽出する。続いて、ログイン実績抽出部１５は、抽出されたアクセスログに係るサーバ名と端末アドレスとの組について、ログインに実績が有ることを示す情報を、ログイン実績記憶部１２５に記憶する（Ｓ３０２）。
【００７５】
図１５は、ログイン実績記憶部の構成例を示す図である。図１５に示されるように、ログイン実績記憶部１２５には、サーバ名と端末アドレスとの組ごとに、ログイン実績の有無を示す情報が記憶される。当該情報の値は、１又は０である。１は、ログイン実績が有ることを示す。０は、ログイン実績が無いことを示す。したがって、ステップＳ３０２では、ログイン実績記憶部１２５においてサーバ名と端末アドレスとの組ごとの要素のうち、抽出されたアクセスログに係るサーバ名と端末アドレスとの組に対応する要素に対して１が記憶される。
【００７６】
なお、ログイン実績記憶部１２５については、アクセスログが収集されるたびに初期化は行われない。すなわち、ログイン実績記憶部１２５の内容は、累積的なものである。
【００７７】
図１６は、ＳＴＢＦによる将来のログイン試行時期の予測処理の処理手順の一例を説明するためのフローチャートである。図１６の処理手順は、例えば、図５のステップＳ１０４とステップＳ１０５との間で行われる。
【００７８】
ステップＳ４０１において、ＳＴＢＦ予測部１６は、対象サーバ一覧記憶部１２３（図９）にサーバ名が記憶されているＳＴＢＦ対象サーバごとに、解析結果記憶部１２２（図７又は図８）に記憶されている情報に基づいて、ＳＴＢＦのログイン試行の周期（以下、「ＳＴＢＦ周期」という。）を算出する（Ｓ４０１）。
【００７９】
例えば、或るサーバ２０に関するＳＴＢＦ周期は、解析結果記憶部１２２において、当該サーバ２０のサーバ名に係る行に記憶されているログイン試行日時の集合に基づいて算出される。当該集合からは、ＳＴＢＦのログイン試行に係るログイン試行日時以外のログイン試行日時が除かれてもよいし、そうでなくてもよい。ＳＴＢＦのログイン試行日時とは、図５のステップＳ１０３の判定条件を満たすログイン試行に係るログイン試行日時をいう。
【００８０】
具体的には、当該集合に含まれるログイン試行日時の時系列順において隣り合うログイン試行日時間の間隔の平均値又は中央値等の代表値がＳＴＢＦ周期として算出されてもよい。この際、他の間隔に比べて極端に小さい間隔が除かれてもよい。また、他の統計的手法が利用されて、ＳＴＢＦ周期が算出されてもよい。
【００８１】
なお、ＳＴＢＦ周期は、ＳＴＢＦ対象サーバごとに算出される。
【００８２】
続いて、ＳＴＢＦ予測部１６は、ＳＴＢＦ対象サーバごとに、当該ＳＴＢＦ対象サーバに関して算出されたＳＴＢＦ周期と、当該ＳＴＢＦ対象サーバに関するＳＴＢＦ周期の算出に利用されたログイン試行日時の集合とに基づいて、将来のＳＴＢＦのログイン試行日時の予測値を算出する（Ｓ４０２）。例えば、ログイン試行日時の集合において時系列順で最後のログイン試行日時に対して、ＳＴＢＦ周期を累積的にＮ回加算することで、今後のＮ回分のログイン試行日時の予測値が算出されてもよい。なお、予測値の最大値（すなわち、予測されるログイン試行日時のうちの最後のログイン試行日時）は、次回のアクセスログの収集時期を超えない範囲での最大値であってもよい。
【００８３】
続いて、ＳＴＢＦ予測部１６は、予測値の算出結果を予測時期記憶部１２６に記憶する（Ｓ４０３）。
【００８４】
図１７は、予測時期記憶部の構成例を示す図である。図１７に示されるように、予測時期記憶部１２６には、サーバ名ごとに、ＳＴＢＦのログイン試行日時の予測値が記憶される。図１７では、サーバｘのＳＴＢＦ周期が５分である例が示されている。したがって、各ログイン試行日時の予測値の間隔は、５分である。
【００８５】
図１８は、第２の実施の形態におけるＳＴＢＦの遮断処理の処理手順の一例を説明するためのフローチャートである。図１８の処理手順は、図５のステップＳ１０６に応じてＳＴＢＦ対象サーバごとに開始される。図１８の処理手順において着目されているＳＴＢＦ対象サーバを、「着目サーバ」という。
【００８６】
ＳＴＢＦ遮断部１４は、遮断処理を開始すると、着目サーバに対するログイン試行の発生を待機する（Ｓ５０１）。ＳＴＢＦ遮断部１４は、着目サーバに対するログイン試行（以下、「対象ログイン試行」という。）を受信すると（Ｓ５０１でＹｅｓ）、現時点が、着目サーバに関して予測時期記憶部１２６に記憶されているいずれかの予測時期から所定時間以内であるか否かを判定する（Ｓ５０２）。ここで、所定時間は、例えば、着目サーバに対するＳＴＢＦ周期に対する所定の割合（例えば、５％等）の時間であってもよいし、１０秒や５分等、固定的な時間であってもよい。また、ステップＳ５０２では、現時点が、いずれかの予測時期の前後に所定時間以内（又は所定時間の１／２以内）であるか否かが判定されてもよいし、予測時期から前方に所定時間以内であるか否かが判定されてもよいし、予測時期の後方に所定時間以内であるか否かが判定されてもよい。
【００８７】
現時点が、着目サーバに対するいずれかの予測時期から所定時間以内である場合（Ｓ５０２でＹｅｓ）、ＳＴＢＦ遮断部１４は、ログイン実績記憶部１２５を参照して、対象ログイン試行の送信元の端末３０について、着目サーバに対するログイン実績の有無を判定する（Ｓ５０３）。すなわち、ログイン実績記憶部１２５において、当該端末３０の端末アドレスと、着目サーバのサーバ名との組に対する値が１であるか否かが判定される。
【００８８】
対象ログイン試行の送信元の端末３０について、着目サーバに対するログイン実績が有る場合（Ｓ５０３でＹｅｓ）、ＳＴＢＦ遮断部１４は、対象ログイン試行を着目サーバへ転送する（Ｓ５０４）。その結果、着目サーバによって、対象ログイン試行に指定されているユーザ名及びパスワードに関して認証が行われ、当該認証の成否が、対象ログイン試行の送信元の端末３０へ返信される。
【００８９】
一方、対象ログイン試行の送信元の端末３０について、着目サーバに対するログイン実績が無い場合（Ｓ５０３でＮｏ）、ＳＴＢＦ遮断部１４は、対象ログイン試行の送信元の端末３０に対してログインの失敗を返信する（Ｓ５０５）。
【００９０】
なお、現時点が、着目サーバに対するいずれかの予測時期から所定時間以内でない場合（Ｓ５０２でＮｏ）、ステップＳ５０３は実行されずにステップＳ５０４に進む。すなわち、予測時期から所定時間以内でない期間においては、ログイン試行について遮断は行われない。
【００９１】
上述したように、第２の実施の形態によれば、ログイン試行が遮断される期間を短縮することができる。その結果、ログイン試行の遮断によるユーザビリティの低下を回避することができる。
【００９２】
なお、第１の実施の形態と第２の実施の形態とは組み合わされて実施されてもよい。例えば、第１の実施の形態における遮断処理が有効となる期間が、第２の実施の形態のように、周期的な所定時間に限られるようにしてもよい。また、周期的に、第１の実施の形態による遮断と、第２の実施の形態による遮断との双方が行われてもよい。
【００９３】
なお、上記各実施の形態において、サーバ２０は、情報処理装置の一例である。ＳＴＢＦ検知部１３は、検知部の一例である。ＳＴＢＦ遮断部１４は、拒否部の一例である。ＳＴＢＦ予測部１６は、算出部の一例である。アクセスログは、ログイン試行の履歴情報の一例である。
【００９４】
以上、本発明の実施例について詳述したが、本発明は斯かる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。
【００９５】
以上の説明に関し、更に以下の項を開示する。
（付記１）
複数の情報処理装置に対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知する検知部と、
該当するログイン試行が検知された後において、いずれかの前記端末からのいずれかの前記情報処理装置に対するログイン試行を拒否し、当該情報処理装置に対する再度のログイン試行を当該端末に通知する拒否部と、
を有することを特徴とするネットワーク監視装置。
（付記２）
前記検知部は、前記２以上の情報処理装置に対する共通の端末からの前記共通のアカウント情報による前記所定回数以下ずつのログイン試行の発生を検知する、
ことを特徴とする付記１記載のネットワーク監視装置。
（付記３）
前記検知部は、２以上の情報処理装置に対する前記共通のアカウント情報による１回ずつのログイン試行の発生を検知する、
ことを特徴とする付記１又は２記載のネットワーク監視装置。
（付記４）
前記検知部は、一定時間ごとに、当該一定時間における前記履歴情報に基づいて、前記２以上の情報処理装置に対する共通のアカウント情報による前記所定回数以下ずつのログイン試行の発生を検知し、
前記拒否部は、該当する試行が検知されない場合は、前記ログイン試行の拒否を行わない、
ことを特徴とする付記１乃至３いずれか一項記載のネットワーク監視装置。
（付記５）
複数の情報処理装置のいずれかに対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知する検知部と、
前記情報処理装置ごとに、当該情報処理装置に対するログイン試行の周期を前記履歴情報に基づいて算出する算出部と、
前記情報処理装置ごとに、算出された周期で所定時間の間、前記履歴情報に基づいて当該情報処理装置にログインの実績が無いと判定される端末からのログイン試行を拒否する拒否部と、
を有することを特徴とするネットワーク監視装置。
（付記６）
複数の情報処理装置に対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知し、
該当するログイン試行が検知された後において、いずれかの前記端末からのいずれかの前記情報処理装置に対するログイン試行を拒否し、当該端末からの当該情報処理装置に対する再度のログイン試行を当該端末に通知する、
処理をコンピュータが実行することを特徴とするネットワーク監視方法。
（付記７）
前記検知する処理は、前記２以上の情報処理装置に対する共通の端末からの前記共通のアカウント情報による前記所定回数以下ずつのログイン試行の発生を検知する、
ことを特徴とする付記６記載のネットワーク監視方法。
（付記８）
前記検知する処理は、前記２以上の情報処理装置に対する前記共通のアカウント情報による１回ずつのログイン試行の発生を検知する、
ことを特徴とする付記６又は７記載のネットワーク監視方法。
（付記９）
前記検知する処理は、一定時間ごとに、当該一定時間における前記履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による前記所定回数以下ずつのログイン試行の発生を検知し、
前記通知する処理は、該当する試行が検知されない場合は、前記ログイン試行の拒否を行わない、
ことを特徴とする付記６乃至８いずれか一項記載のネットワーク監視方法。
（付記１０）
複数の情報処理装置のいずれかに対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知し、
前記情報処理装置ごとに、当該情報処理装置に対するログイン試行の周期を前記履歴情報に基づいて算出し、
前記情報処理装置ごとに、算出された周期で所定時間の間、前記履歴情報に基づいて当該情報処理装置にログインの実績が無いと判定される端末からのログイン試行を拒否する、
処理をコンピュータが実行することを特徴とするネットワーク監視方法。
（付記１１）
複数の情報処理装置に対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知し、
該当するログイン試行が検知された後において、いずれかの前記端末からのいずれかの前記情報処理装置に対するログイン試行を拒否し、当該情報処理装置に対する再度のログイン試行を当該端末に通知する、
処理をコンピュータに実行させることを特徴とするネットワーク監視プログラム。
（付記１２）
前記検知する処理は、前記２以上の情報処理装置に対する共通の端末からの前記共通のアカウント情報による前記所定回数以下ずつのログイン試行の発生を検知する、
ことを特徴とする付記１１記載のネットワーク監視プログラム。
（付記１３）
前記検知する処理は、前記２以上の情報処理装置に対する前記共通のアカウント情報による１回ずつのログイン試行の発生を検知する、
ことを特徴とする付記１１又は１２記載のネットワーク監視プログラム。
（付記１４）
前記検知する処理は、一定時間ごとに、当該一定時間における前記履歴情報に基づいて、前記２以上の情報処理装置に対する共通のアカウント情報による前記所定回数以下ずつのログイン試行の発生を検知し、
前記通知する処理は、該当する試行が検知されない場合は、前記ログイン試行の拒否を行わない、
ことを特徴とする付記１１乃至１３いずれか一項記載のネットワーク監視プログラム。
（付記１５）
複数の情報処理装置のいずれかに対する複数の端末からのネットワークを介したログイン試行の履歴情報に基づいて、２以上の情報処理装置に対する共通のアカウント情報による所定回数以下ずつのログイン試行の発生を検知し、
前記情報処理装置ごとに、当該情報処理装置に対するログイン試行の周期を前記履歴情報に基づいて算出し、
前記情報処理装置ごとに、算出された周期で所定時間の間、前記履歴情報に基づいて当該情報処理装置にログインの実績が無いと判定される端末からのログイン試行を拒否する、
処理をコンピュータに実行させることを特徴とするネットワーク監視プログラム。
【符号の説明】
【００９６】
１０          ネットワーク監視装置
１１          アクセスログ収集部
１２          アクセスログ解析部
１３          ＳＴＢＦ検知部
１４          ＳＴＢＦ遮断部
１５          ログイン実績抽出部
１６          ＳＴＢＦ予測部
２０          サーバ
３０          端末
１００        ドライブ装置
１０１        記録媒体
１０２        補助記憶装置
１０３        メモリ装置
１０４        ＣＰＵ
１０５        インタフェース装置
１２１        アクセスログ記憶部
１２２        解析結果記憶部
１２３        対象サーバ一覧記憶部
１２４        監視履歴記憶部
１２５        ログイン実績記憶部
１２６        予測時期記憶部
Ｂ            バス
Ｅ１          サービス提供環境
Ｎ１          外部ネットワーク
【図１】
2017076185.tif 000003
【図２】
2017076185.tif 000004
【図３】
2017076185.tif 000005
【図４】
2017076185.tif 000006
【図５】
2017076185.tif 000007
【図６】
2017076185.tif 000008
【図７】
2017076185.tif 000009
【図８】
2017076185.tif 000010
【図９】
2017076185.tif 000011
【図１０】
2017076185.tif 000012
【図１１】
2017076185.tif 000013
【図１２】
2017076185.tif 000014
【図１３】
2017076185.tif 000015
【図１４】
2017076185.tif 000016
【図１５】
2017076185.tif 000017
【図１６】
2017076185.tif 000018
【図１７】
2017076185.tif 000019
【図１８】
2017076185.tif 000020