(57)【特許請求の範囲】
【請求項１】
複数の接続ポートを具備する複数の認証スイッチと、前記接続ポートを介して前記認証スイッチに接続された複数の端末装置と、前記接続ポートの一つに接続された認証サーバとから構成され、第１の端末装置を操作するユーザのユーザ情報を使って第１の認証スイッチを介して前記認証サーバで認証し、この認証のログを前記第１の認証スイッチと前記認証サーバとで記録し、前記第１の端末装置を接続させる認証ロギングシステムにおいて、
前記認証サーバは、複数の前記認証スイッチが記録した複数のスイッチ認証ログを収集する収集処理部と、複数の前記スイッチ認証ログとサーバ認証ログとをマージしてシステム認証ログを生成するマージ処理部と、前記システム認証ログを解析する解析処理部とを備え、
前記解析処理部は、前記システム認証ログをユーザＩＤごとに時系列にソートし、同一のユーザＩＤかつ異なるＭＡＣアドレスでの認証ロギングがある２つの端末装置について、一方の端末装置のログアウトのタイミングで前記ユーザＩＤの信憑性を判断することを特徴とする認証ロギングシステム。
【請求項２】
ネットワークインタフェースを介して複数の認証スイッチと接続され、前記認証スイッチからの端末装置の認証要求を処理し、その結果をサーバ認証ログとして記録する情報処理装置であって、
前記認証スイッチが記録した複数のスイッチ認証ログを収集する収集処理部と、複数の前記スイッチ認証ログと前記サーバ認証ログとをマージしてシステム認証ログを生成するマージ処理部と、前記システム認証ログを解析する解析処理部とを備え、
前記解析処理部は、前記システム認証ログをユーザＩＤごとに時系列にソートし、同一のユーザＩＤかつ異なるＭＡＣアドレスでの認証ロギングがある２つの端末装置について、一方の端末装置のログアウトのタイミングで前記ユーザＩＤの信憑性を判断することを特徴とする情報処理装置。
【請求項３】
認証スイッチが記録した複数のスイッチ認証ログを収集する収集するステップと、複数のスイッチ認証ログとサーバ認証ログとをマージしてシステム認証ログを生成するステップと、前記システム認証ログをユーザＩＤごとに時系列にソートするステップと、同一のユーザＩＤかつ異なるＭＡＣアドレスでの認証ロギングがある２つの端末装置について、一方の端末装置のログアウトのタイミングで前記ユーザＩＤの信憑性を判断するステップとから構成されるロギング方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ネットワーク認証システムに関わり、特に、スイッチ間を移動するユーザの行動を記録する認証ロギングシステム、情報処理装置およびロギング方法に関する。
【背景技術】
【０００２】
通信ネットワークのインフラ化とともに、セキュリティを強化するさまざまな機能が提案されている。ネットワーク認証もその１つである。ネットワーク認証システムは、ＰＣ等の端末機器、認証スイッチ、認証サーバで構成される。認証システムの基本的な動作は次の通りである。
【０００３】
まず、ＰＣ等の端末機器から認証スイッチに対して認証リクエストパケットを出力する。認証スイッチでは、この認証リクエストパケットを受信すると受信パケット中の認証情報を基に認証サーバに対して、該認証情報が登録されているかを問い合わせる。認証スイッチは、認証サーバから該認証情報が登録済みのものであることを通知されると該認証リクエストパケットのソースＭＡＣアドレスを通信可能とする。これをネットワーク認証におけるログイン処理とする。
【０００４】
また、ＰＣ等の端末機器が、ネットワーク通信可能状態から不可状態に移行することをログアウトと呼ぶ。ログアウトの要因としては、次が挙げられる。（１）ＰＣ等の端末機器が長時間、無通信状態になったとき、（２）認証スイッチからの再認証要求に対して、無応答であったとき、（３）ＰＣ等の端末機器が認証スイッチに対して、認証を解除する通知をしたとき、等である。
【０００５】
これら、ネットワーク認証におけるログイン、ログアウト処理を行ったときの日付、時刻等の情報、認証を行ったスイッチのＩＰアドレスやＭＡＣアドレス情報、認証の結果とその原因の情報を記録したものを認証ログと呼ぶ。認証ログは、認証スイッチ及び、認証サーバで記録され、保存される。
【０００６】
特許文献１は、ネットワーク認証における認証スイッチの認証方式について記載している。特許文献１では、未認証端末のＭＡＣアドレスを参照して、認証サーバへ問い合わせるかどうかを判定し、認証サーバからの問い合わせ結果に応じて、該当ＭＡＣアドレスの通信可否を決定する。特許文献１に記載の発明には、認証ログ情報から不正アクセスＰＣや不正アクセスユーザを検出する手段の記述がない。
【０００７】
【特許文献１】特開２００３−４６５３３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
特許文献１の認証ログは、認証スイッチと認証サーバで個別に記録し管理していたので、スイッチ間を移動するユーザの行動が分からなかった。また、複数の認証スイッチからユーザＩＤを詐称してネットワークにログインしてくる不正ユーザを発見することができなかった。
【課題を解決するための手段】
【０００９】
本発明は、前記の課題を解決するため、認証サーバにおいて複数の認証スイッチから認証ログ情報を取得し、認証サーバの認証ログとマージする手段と認証ログ情報から認証ユーザの認証スイッチ間の移動記録や認証スイッチ内の移動記録を時系列に表示する手段と認証ログ情報からユーザＩＤを詐称する不正ユーザを解析する手段をもつ。
【００１０】
上述した課題は、複数の接続ポートを具備する複数の認証スイッチと、接続ポートを介して認証スイッチに接続された複数の端末装置と、接続ポートの一つに接続された認証サーバとから構成され、第１の端末装置を操作するユーザのユーザ情報を使って第１の認証スイッチを介して認証サーバで認証し、この認証のログを第１の認証スイッチと認証サーバとで記録し、第１の端末装置を接続させ、認証サーバは、複数の認証スイッチが記録した複数のスイッチ認証ログを収集する収集処理部と、複数のスイッチ認証ログとサーバ認証ログとをマージしてシステム認証ログを生成するマージ処理部と、システム認証ログを解析する解析処理部を備える認証ロギングシステムにより、解決できる。
【００１１】
また、ネットワークインタフェースを介して複数の認証スイッチと接続され、認証スイッチからの端末装置の認証要求を処理し、その結果をサーバ認証ログとして記録し、認証スイッチが記録した複数のスイッチ認証ログを収集する収集処理部と、複数のスイッチ認証ログとサーバ認証ログとをマージしてシステム認証ログを生成するマージ処理部と、システム認証ログを解析する解析処理部を備える情報処理装置により、解決できる。
【００１２】
さらに、認証スイッチが記録した複数のスイッチ認証ログを収集する収集するステップと、複数のスイッチ認証ログとサーバ認証ログとをマージしてシステム認証ログを生成するステップと、システム認証ログを解析するステップとから構成されるロギング方法により、達成できる。
【発明の効果】
【００１３】
認証ユーザの認証スイッチ間の移動記録、認証スイッチ内の移動記録を採ることができる。また、複数の認証スイッチからユーザＩＤを詐称してネットワークにログインしてくる不正ユーザを発見することができる。
【発明を実施するための最良の形態】
【００１４】
以下、本発明の実施の形態について、実施例を用い図面を参照しながら説明する。なお、実質同一部位には同じ参照番号を振り、説明は繰り返さない。
【００１５】
図１を参照して、認証ロギングシステムの構成を説明する。ここで、図１は認証ロギングシステムのハードウェアブロック図である。図１において、認証ロギングシステム５００は、Ｌ３スイッチ３００と、Ｌ３スイッチ３００に接続された認証サーバ２００と３台の認証スイッチ１００と、認証スイッチ１００に接続されたＨＵＢ４００と、ＨＵＢ４００に接続された端末１０とから、構成される。
【００１６】
Ｌ３スイッチ３００は、図示しないブロードバンドルータを介して、インターネットと接続されている。認証スイッチ１００は、認証サーバ３００との間の認証の記録を認証ログ１１０に保持する。認証サーバ２００は、認証スイッチ１００との間の認証の記録を認証ログ２２０に保持する。認証サーバ２００は、また、認証スイッチ１００−１〜１００−３の認証ログ１１０−１〜１１０−３を収集し、認証ログ２１０に保持する。認証サーバ２００は、さらに、認証ログ２１０と認証ログ２２０をマージした認証結果を、認証ログ２３０に保持する。認証サーバ２００は、ＭＡＣ認証、ＩＥＥＥ８０２.１ｘ認証、Ｗｅｂ認証に対応する。
【００１７】
認証スイッチ１１０−１には、ＨＵＢ４００−１とＨＵＢ４００−２が接続されている。同様に、認証スイッチ１１０−２には、ＨＵＢ４００−３とＨＵＢ４００−４が接続されている。認証スイッチ１１０−３には、ＨＵＢ４００−５とＨＵＢ４００−６が接続されている。
【００１８】
ＨＵＢ４００−１には、端末１０−１と端末１０−２が接続されている。同様に、ＨＵＢ４００−４には、端末１０−３と端末１０−４が接続されている。ＨＵＢ４００−６には、端末１０−５が接続されている。
【００１９】
図２を参照して、認証サーバの構成を説明する。ここで、図２は認証サーバの機能ブロック図である。図２において、認証サーバ２００は、ネットワークインタフェース２４０、ユーザインタフェース２８０、ネットワーク認証処理部２５０、認証ログ収集処理部２９０、認証ログ解析処理部２６０、認証ログ表示処理部２７０、認証ログ２１０〜２３０で構成される。
【００２０】
ネットワーク認証処理部２５０は、ネットワークインタフェース２４０を介した認証スイッチ１００からの認証要求を処理して、認証結果を認証スイッチ１００に返信する。ネットワーク認証処理部２５０は、認証結果を認証ログ２２０に記録する。認証ログ収集処理部２９０は、ネットワークインタフェース２４０を介して認証スイッチ１００にアクセスして、認証スイッチの認証ログ１１０を収集して、認証ログ２１０にマージして記録する。認証ログ収集処理部２９０は、また、認証ログ２２０と認証ログ２１０をマージして、認証ログ２３０に記録する。認証ログ解析処理部２６０は、認証ログ２３０を解析して、ユーザＩＤの詐称端末を検出する。認証ログ解析処理部２６０は、認証ログ２３０を解析するための認証ログ解析テーブル２６１を含んでいる。認証ログ表示処理部２７０は、ユーザインタフェース２８０に接続された図示しない表示装置に、認証ログ解析処理部の処理結果を表示する。
なお、認証ログ収集処理部２９０は、認証スイッチ１００からの報告により、認証スイッチ１００の認証ログ１１０を収集しても良い。
【００２１】
図３ないし図５を参照して、認証ログの構成を説明する。ここで、図３は認証サーバの認証ログの構成を説明する図である。図４は認証スイッチの認証ログの構成を説明する図である。図５は認証サーバのマージされた認証ログの構成を説明する図である。なお、図３ないし図５は、表題部のみ記載しているが、実際には表題部とレコードとから構成される。
【００２２】
図３において、認証サーバ２００の認証ログ２２０は、シーケンスＮｏ２２１、日付／時刻２２２、イベントＩＤ２２３、認証情報２２４、認証スイッチ識別情報２２５で構成されている。イベントＩＤ２２３は、認証ＯＫまたはＮＧである。認証情報２２４は、ユーザＩＤおよびパスワード等である。認証スイッチ識別情報２２５は、ＩＰアドレスおよびＭＡＣアドレス等である。
【００２３】
図４において、認証スイッチ１００の認証ログ１１０は、シーケンスＮｏ１１１、日付／時刻１１２、イベントＩＤ１１３、認証情報１１４、端末識別情報１１５で構成されている。イベントＩＤ１１３は、ログインまたはログアウトである。認証情報１１４は、ユーザＩＤおよびパスワード等である。端末識別情報２２５は、ＭＡＣアドレス、ＩＰアドレスおよびＶＬＡＮ番号等である。
【００２４】
図５において、認証サーバ２００の認証ログ２３０は、シーケンスＮｏ２３１、日付／時刻２３２、イベントＩＤ（１）２３３、イベントＩＤ（２）２３４、認証情報２３５、認証スイッチ識別情報２３６、端末識別情報２３７で構成されている。イベントＩＤ（１）２３３は、ログインまたはログアウトである。イベントＩＤ（２）２３４は、認証ＯＫまたはＮＧである。認証情報２３５は、ユーザＩＤおよびパスワード等である。認証スイッチ識別情報２３６は、ＩＰアドレスおよびＭＡＣアドレス等である。端末識別情報２３７は、ＭＡＣアドレス、ＩＰアドレスおよびＶＬＡＮ番号等である。
【００２５】
なお、図３の認証ログ２２０をサーバ認証ログとも呼ぶ。図４の認証スイッチ１００の認証ログ１１０をスイッチ認証ログとも呼ぶ。図５の認証サーバ２００の認証ログ２３０をシステム認証ログとも呼ぶ。
【００２６】
図２に戻って、認証サーバ２００内の認証ログ２３０を使って、ＭＡＣアドレスを詐称する不正端末、ユーザＩＤを詐称する不正ユーザの検出方法について説明する。認証ログ解析処理部２６０は、認証ログ２３０に登録されている認証情報を読み込み、以下に示すような認証情報の解析処理を行う。
【００２７】
まず、ネットワーク認証するユーザＩＤ、端末情報（ＭＡＣアドレス）で、認証イベント（ログイン、ログアウト）情報を時系列に読み込む。次に、ログインしたユーザＩＤまたは端末（ＭＡＣアドレス）が、ログアウトをせずに２度目のログインがされたときに注目する。すなわち、１度目にログインしたユーザＩＤが２度目にログインした時刻より、予め定めた時間以内で遅れてログアウトしたときは、正常な端末移動がされたと判断する。しかし、１度目にログインしたユーザＩＤまたはＭＡＣドレスが２度目にログインした時刻より、予め定めた時間以上たってもログアウトしない場合、当該ユーザＩＤまたはＭＡＣアドレスは、不正ユーザＩＤまたは不正端末として検出する。認証ログ解析処理部２６０は、認証ログ表示処理部２７０を制御して、管理者に対して、アラーム通知を行う。
【００２８】
図６を参照して、端末１０が認証スイッチ１００−１の支配エリアから認証スイッチ１００−２の支配エリアへ移動したときのシーケンスを説明する。ここで、図６は端末と２台の認証スイッチと認証サーバとの間のシーケンス図である。図６において、端末１０は、認証スイッチ１００−１に認証要求を送信する（Ｓ５１）。認証スイッチ１００−１は、認証サーバ２００に認証要求パケットを送信する（Ｓ５２）。認証サーバ２００は、認証要求パケット内にある認証情報に対して認証処理を行い、認証結果を認証スイッチ１００−１に返す（Ｓ５３）。このとき、認証サーバ２００は、認証結果を認証ログに記録する（Ｓ５４）。
【００２９】
認証スイッチ１００−１は、認証結果を端末に返す（Ｓ５６）。認証スイッチ１００−１は、認証サーバ２００から認証結果を受信すると認証結果を、認証ログに記録する（Ｓ５７）。ここでは、認証成功なので、ログインの認証ログが記録される。認証スイッチ１００−１は、自身の認証ログ１１０−１に認証結果を記録するとともに、そのログ情報を認証サーバ２００に送信する（Ｓ５８）。ここで、端末１０と認証スイッチ１００−１との間の通常通信が開始される。このあと、端末１０が認証スイッチ１００−１の管理下から、認証スイッチ１００−２の管理下に移動したとする。
【００３０】
認証スイッチ１００−１は、端末１０からの通信がないことを検知すると、端末１０の認証を解除（ログアウト）する。ログアウト処理をした後、ログアウトの認証ログを記録し（Ｓ５９）、ログを認証サーバ２００へ通知する（Ｓ６１）。
【００３１】
認証スイッチ１００−２の管理下に移動した端末１０は、認証スイッチ１００−２に認証要求を送信する（Ｓ６２）。認証要求を受信した認証スイッチ１００−２は、認証サーバ２００に認証要求パケットを送信する（Ｓ６３）。認証サーバ２００は、認証要求パケット内にある認証情報に対して認証処理を行い、認証結果を認証スイッチ１００−２に返す（Ｓ６４）。このとき、認証サーバ２００は、認証結果を認証ログに記録する（Ｓ６５）。そして、認証スイッチ１００−２は、認証結果を端末に返す（Ｓ６６）。認証スイッチ１００−２は、認証サーバ２００から認証結果を受信すると認証結果を、認証ログに記録する（Ｓ６７）。ここでは、認証成功なので、ログインの認証ログが記録される。認証スイッチ１００−２は、自身の認証ログ１１０−２に認証結果を記録するとともに、そのログ情報を認証サーバ２００に送信する（Ｓ６８）。
【００３２】
図７を参照して、端末１０が認証スイッチ１００−１の支配エリアから認証スイッチ１００−２の支配エリアへ移動したときのシーケンスを説明する。ただし、端末１０の移動が速やかなため、認証スイッチ１００−１のログアウト時刻よりも、認証スイッチ１００−２へのログイン時刻が早くなった場合を説明する。図７は端末と２台の認証スイッチと認証サーバとの間のシーケンス図である。図７において、ステップ７１からステップ７８までの説明は、図６のステップ５１からステップ５８と同じなので、説明を省く。
【００３３】
移動に伴って、端末１０は、認証スイッチ１００−２に認証要求を送信する（Ｓ７９）。認証要求を受信した認証スイッチ１００−２は、認証サーバ２００に認証要求パケットを送信する（Ｓ８１）。認証サーバ２００は、認証要求パケット内にある認証情報に対して認証処理を行い、認証結果を認証スイッチ１００−２に返す（Ｓ８２）。このとき、認証サーバ２００は、認証結果を認証ログに記録する（Ｓ８３）。そして、認証スイッチ１００−２は、認証結果を端末に返す（Ｓ８４）。認証スイッチ１００−２は、認証サーバ２００から認証結果を受信すると認証結果を、認証ログに記録する（Ｓ８５）。ここでは、認証成功なので、ログインの認証ログが記録される。認証スイッチ１００−２は、自身の認証ログ１１０−２に認証結果を記録するとともに、そのログ情報を認証サーバ２００に送信する（Ｓ８６）。
【００３４】
認証スイッチ１００−１は、端末１０からの通信がないことを検知すると、端末１０の認証を解除（ログアウト）する。ログアウト処理をした後、ログアウトの認証ログを記録し（Ｓ８７）、ログを認証サーバ２００へ通知する（Ｓ８８）。
【００３５】
図８を参照して、ユーザＩＤ詐称端末の検知を説明する。ここで、図８は２台の端末と２台の認証スイッチと認証サーバとの間のシーケンス図である。図８において、ステップ９１からステップ９８までの説明は、図６のステップ５１からステップ５８と同じなので、説明を省く。
【００３６】
認証スイッチ１００−１と通常通信中の端末１０のユーザＩＤを詐称する詐称端末２０が認証スイッチ１００−２に接続したとする。詐称端末２０は、認証スイッチ１００−２に認証要求を送信する（Ｓ９９）。認証要求を受信した認証スイッチ１００−２は、認証サーバ２００に認証要求パケットを送信する（Ｓ１０１）。認証サーバ２００は、認証要求パケット内にある認証情報に対して認証処理を行い、認証結果を認証スイッチ１００−２に返す（Ｓ１０２）。このとき、認証サーバ２００は、認証結果を認証ログに記録する（Ｓ１０３）。そして、認証スイッチ１００−２は、認証結果を端末２０に返す（Ｓ１０４）。認証スイッチ１００−２は、認証サーバ２００から認証結果を受信すると認証結果を、認証ログに記録する（Ｓ１０６）。ここでは、図７の説明と同様に認証成功なので、ログインの認証ログが記録される。認証スイッチ１００−２は、自身の認証ログ１１０−２に認証結果を記録するとともに、そのログ情報を認証サーバ２００に送信する（Ｓ１０７）。
【００３７】
この時点で、認証スイッチ１００−１と通常通信中の端末１０において業務が終了し、正規ユーザが端末１０の電源をＯＦＦしたとする。認証スイッチ１００−１は、端末１０からの通信がないことを検知すると、端末１０の認証を解除（ログアウト）する。ログアウト処理をした後、ログアウトの認証ログを記録し（Ｓ１０８）、ログを認証サーバ２００へ通知する（Ｓ１０９）。ここで、認証サーバ２００は、認証スイッチ１００−２への端末２０のログイン時刻と、認証スイッチ１００−１からの端末１０のログアウト時刻の、差から端末１０または端末２０がユーザＩＤ詐称端末であると検知する（Ｓ１１１）。
【００３８】
図９を参照して、図８のシーケンスでのユーザＩＤ「Ｕｓｅｒ−Ａ」に注目した認証ログ分析テーブルを説明する。ここで、図９は認証サーバの認証ログ分析テーブルを説明する図である。
【００３９】
図９において、図５で説明した認証スイッチ識別情報２３６は、図示の簡便のため認証位置情報２３６Ａに置き換え、スイッチ情報で記載している。シーケンスＮｏ１は、図８のステップ９４で認証ログ２２０に記録された情報である。シーケンスＮｏ２は、図８のステップ９７で認証ログ１１０−１に記録され、ステップ９８で転送された情報である。シーケンスＮｏ３は、図８のステップ１０３で認証ログ２２０に記録された情報である。シーケンスＮｏ４は、図８のステップ１０６で認証ログ１１０−２に記録され、ステップ１０７で転送された情報である。シーケンスＮｏ５は、図８のステップ１０８で認証ログ１１０−１に記録され、ステップ１０９で転送された情報である。認証ログ解析処理部２６０は、認証ログ解析テーブル２６１のシーケンスＮｏ４とＮｏ５の時間差が２９分もあり、かつ端末のＭＡＣアドレスが異なることから、Ｕｓｅｒ−Ａを用いる端末にユーザＩＤ詐称端末が含まれていると判定する。
【００４０】
図１０を参照して、認証サーバの認証ログ解析処理部の動作を説明する。ここで、図１０は認証ログ解析処理部の動作フローチャートである。図１０において、認証ログ解析処理部２６０は、認証ログ２３０から最新の認証ログ情報を取得する（Ｓ２０１）。認証ログ解析処理部２６０は、認証情報毎に作成した認証ログ分析テーブル２６１に認証ログ情報を格納する（Ｓ２０２）。認証ログ解析処理部２６０は、認証ログ情報はログイン情報か判定する（Ｓ２０３）。ＹＥＳのとき、認証ログ解析処理部２６０は、現在ログイン中に同一ユーザがいるか判定する（Ｓ２０４）。ＹＥＳのとき、認証ログ解析処理部２６０は、端末のＭＡＣアドレスが同一か判定する（Ｓ２０６）。Ｙｅｓのとき、認証ログ解析処理部２６０は、同一ユーザで同一複数端末ログインフラグをＯＮにして（Ｓ２０７）、ステップ２０１に戻る。
【００４１】
ステップ２０６でＮＯのとき、認証ログ解析処理部２６０は、同一ユーザで複数端末ログインフラグをＯＮにして（Ｓ２０８）、ステップ２０１に戻る。ステップ２０４でＮＯのとき、認証ログ解析処理部２６０は、そのままステップ２０１に戻る。
【００４２】
ステップ２０３でＮＯのとき、認証ログ情報がログアウトか判定する（Ｓ２０９）。ＮＯとき、ステップ認証ログ解析処理部２６０は、そのままステップ２０１に戻る。ステップ２０９でＹＥＳのとき、同一ユーザで同一複数端末ログインフラグがＯＮか判定する（Ｓ２１１）。ＹＥＳのとき、認証ログ解析処理部２６０は、そのままステップ２０１に戻る。
【００４３】
ステップ２１１でＮＯのとき、認証ログ解析処理部２６０は、同一ユーザで複数端末ログインフラグがＯＮか判定する（Ｓ２１２）。ＮＯのとき、認証ログ解析処理部２６０は、そのままステップ２０１に戻る。ステップ２１２でＹＥＳのとき、認証ログ解析処理部２６０は、同一ユーザでＭＡＣアドレスの違う端末のログインとログアウトとの時間差が一定時間以上か判定する（Ｓ２１３）。ＹＥＳのとき、認証ログ解析処理部２６０は、詐称端末のアクセスと判断しアラームを挙げ（Ｓ２１４）、ステップ２０１に戻る。ステップ２１３でＮＯのとき、認証ログ解析処理部２６０は、そのままステップ２０１に戻る。
【００４４】
上述した実施例に拠れば、ユーザの認証スイッチ間の移動記録および認証スイッチ内の移動記録を採ることができる。また、複数の認証スイッチが存在する認証ネットワークの中でユーザＩＤを詐称する不正ユーザを発見することができる。
また、上述した実施例では、ユーザＩＤごとにソートしたが、ＭＡＣアドレスごとにソートすれば、ＭＡＣアドレスを詐称する不正ユーザを発見することもできる。
【図面の簡単な説明】
【００４５】
【図１】認証ロギングシステムのハードウェアブロック図である。
【図２】認証サーバの機能ブロック図である。
【図３】認証サーバの認証ログの構成を説明する図である。
【図４】認証スイッチの認証ログの構成を説明する図である。
【図５】認証サーバのマージされた認証ログの構成を説明する図である。
【図６】端末と２台の認証スイッチと認証サーバとの間のシーケンス図である。
【図７】端末と２台の認証スイッチと認証サーバとの間のシーケンス図である（その２）。
【図８】２台の端末と２台の認証スイッチと認証サーバとの間のシーケンス図である。
【図９】認証サーバの認証ログ分析テーブルを説明する図である。
【図１０】認証ログ解析処理部の動作フローチャートである。
【符号の説明】
【００４６】
１０…端末、２０…端末、１００…認証スイッチ、１１０…認証スイッチの認証ログ、２００…認証サーバ、２１０…認証サーバの認証ログ、２２０…認証スイッチから収集した認証ログ、２３０…マージされた認証ログ、２４０…ネットワークインタフェース、２５０…ネットワーク認証処理部、２６０…認証ログ解析処理部、２６１…認証ログ解析テーブル、２７０…認証ログ表示処理部、２８０…ユーザインタフェース、２９０…認証ログ収集処理部、３００…Ｌ３スイッチ、４００…ＨＵＢ、５００…認証ロギングシステム。
【図１】
0005042127.tif 000002
【図２】
0005042127.tif 000003
【図３】
0005042127.tif 000004
【図４】
0005042127.tif 000005
【図５】
0005042127.tif 000006
【図６】
0005042127.tif 000007
【図７】
0005042127.tif 000008
【図８】
0005042127.tif 000009
【図９】
0005042127.tif 000010
【図１０】
0005042127.tif 000011